JP2000331073A - 権利証明書実現方法、その装置、及びそのプログラム記録媒体 - Google Patents

権利証明書実現方法、その装置、及びそのプログラム記録媒体

Info

Publication number
JP2000331073A
JP2000331073A JP11137220A JP13722099A JP2000331073A JP 2000331073 A JP2000331073 A JP 2000331073A JP 11137220 A JP11137220 A JP 11137220A JP 13722099 A JP13722099 A JP 13722099A JP 2000331073 A JP2000331073 A JP 2000331073A
Authority
JP
Japan
Prior art keywords
certificate
public key
black box
ciphertext
signature information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP11137220A
Other languages
English (en)
Inventor
Naoyuki Sato
直之 佐藤
Hideaki Suzuki
英明 鈴木
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP11137220A priority Critical patent/JP2000331073A/ja
Publication of JP2000331073A publication Critical patent/JP2000331073A/ja
Pending legal-status Critical Current

Links

Abstract

(57)【要約】 【課題】 匿名性を強くする。 【解決手段】 ユーザＵは既存の証明書ＣＳy を選び、
その利用条件の鍵ＰB y'、発行する証明書ＣＳj の利用
条件となる公開鍵ＰB i ，ＣＳy 中のブラックボックス
ＢのＩＤB の確率的暗号文ＥP （ｅCH，ＩＤB ，
ｒy ）、確率的符号ＥID（ＩＤB ，ｒ′y ）、証明書発
行局ＣＰの公開鍵ＰCP，ｅCH、証明事項ＭCP j をＢへ送
り、ＢではＥP （ ）を変換した暗号文Ｘ、ＥID（ ）
を変換した符号Ｙを作り（ＰCP，ＰB i ‖Ｘ‖Ｙ‖ＭCP
i ，ｗ）をブラインド関数演算してＺとし、ｗを確率的
暗号化しＷ＝ＥP （ｅCH，ｗ，ｘ）を作り、Ｂの秘密鍵
ＳB i でＺ‖Ｗ‖ＥP （ ）‖ＥID（ ）‖ＭCP j に対
し署名してｓB を得、Ｚ，Ｗ，ｓB、乱数ｕ，ｖ，ｗ，
ｘをＵへ送り、ＵはＺ，Ｗ，ｓB ，ＣＳy をＣＰへ送
り、ＣＰはＣＳy の署名検証を行い、ｓB がＳB y'を用
いた署名であるかの確認を行い両者に合格すると、Ｚを
ＣＰの秘密鍵でブラインド署名し、その署名ｓ′をＵへ
送り、Ｕはｓ′をアンブラインドしてｓj を得、またＣ
Ｓy ，ｕ，ｖからＸ，Ｙを求めてＣＳj を得る。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】この発明は個人のプライバシ
の保護と不正利用防止を両立した権利証明書を実現する
方法、その装置及びプログラム記録媒体に関する。
【０００２】
【従来の技術】パスワードや公開鍵による既存の多くの
認証方式は、個人を認証するために設計されている。こ
れらの認証方式は、端末の前にいるユーザと、あらかじ
め定められた個人識別子とを結び付ける役割を果たす。
だが実際には、認証の目的は、ユーザがある事柄を行う
権利を持っているかどうかを確認することであり、個人
識別子というユーザ単位の情報まで確認する必要がない
ことも多い。個人認証方式のこのような流用は、プライ
バシ保護の面で問題がある。複数のシステム管理者が結
託することによって、個人の特徴を記した情報が集めら
れ、また個人の行動履歴の全てが調べあげられてしまう
可能性もある。
【０００３】実社会においても計算機の世界において
も、個人が、確かにその主張する権利を持つ存在である
かを確認する認証作業は、多くの場面において実施され
ている。最近では、Ｗｅｂサイトにおいても、簡単なパ
スワードや公開鍵を用いた認証が頻繁に用いられるよう
になった。これらの認証の目的を考えてみると、その内
容は場合によって大きく異なる。例えば、銀行のＡＴＭ
では各人で異なる預金を確実に処理するため、また個人
のプライバシを侵害しないためにも、端末の前にいるユ
ーザの名前を確実に知る必要がある。これに対して、ニ
ュースなど一般的情報を提供するＷｅｂサイトや、商品
に対するユーザサポートを行う場面においては、ユーザ
の名前を知る事ではなく、ユーザがその権利を持ってい
るかどうかを確認することが必要とされる。
【０００４】だが、上記の二番目のような場面において
も、現在の多くの場合、個人識別子を利用し、この識別
子に対応したユーザの持つ権限として、資源管理を実施
している。この手法は、本来の目的に対する実現手段の
不自然さに加えて、ユーザのプライバシの保護上の問題
や、サービス提供者側におけるデータベースの管理負荷
など様々な欠点を持つ。
【０００５】プライバシの問題は特に切実で重要であ
る。例えば、各サービスごとに中央集権的なサーバが準
備されていた場合、もちろんそのサーバの管理する範囲
内でのプライバシは、サーバ管理者に対しては無いに等
しい。だが、問題はそれだけに留まらない。各々別々の
サービスを提供する複数のサーバの管理者が結託した場
合、個人が各サーバに提供した自分に関する全ての情報
と、それらサーバに対する行動履歴の全てが、管理者達
に把握されてしまうことも十分に起こり得る（個人情報
の漏洩と追跡不能性の問題）。これは是が非でも避けな
ければならない事態である。
【０００６】このような問題を解決する一つの手法は、
権利の確認に証明書を利用する方法である。権利が確認
された人のみにあらかじめ証明書を配布しておくことに
よって、名前など個人識別情報とは関係なく権利の確認
を実施することができる。だがこの場合、証明書に個人
識別情報が含まれていなければ、証明書のコピーなど不
正利用に対する防御が難しい。またこれに対して、証明
書に短時間の有効期限を設けることや、既存の電子現金
で利用されている技術を用いて証明書の再利用を禁止す
ることで不正利用を防止すると、認証の手段としては、
利便性が著しく損なわれることになる。基盤となる各種技術 この発明を達成するために、用いられるいくつかの重要
な基盤技術を利用する。これらの公知の基盤技術につい
て概略する。ブラインド署名 ブラインド署名の概念は、Ｄ．Ｃｈａｕｍによって示さ
れた。ブラインド署名は、署名者が、自分が署名する文
書の内容を確認しないで（目隠しをしたまま）署名を行
うための技術である。この技術は、多くの場合、封筒に
小切手とカーボン用紙を入れた例で説明される。ユーザ
は、封筒に小切手とカーボン用紙を入れ、この封筒を銀
行に提出する。銀行はボールペンのように先の尖ったペ
ンを用いて、封筒の上からサインを行い、これをユーザ
に返す。この時、封筒の中の小切手には、カーボン用紙
を通して銀行のサインが印刷される。このため、ユーザ
は返された封筒から小切手を取り出し、これをお店で使
用することができる。この明細書では、便宜上、ブライ
ンド署名に関係する以下の四つの関数を定義する。一番
上の関数は署名者装置が実行するもので、二番目は署名
を検証したい任意の存在の装置が実行する。残る二つは
署名を要求するユーザの装置が実行する関数である。ま
た、Ｓは署名生成鍵（署名者の秘密鍵）、Ｐは署名検証
鍵（署名者の公開鍵）、ｍは署名を行う文書、ｓは最終
的に獲得されたｍの署名情報である。 ・署名関数Sign（Ｓ，ｍ′）：ブラインド署名を実施す
る関数 ユーザに示された情報ｍ′に対して署名を実行する関
数。ｓ′＝Sign （Ｓ，ｍ′）。 ・検証関数 Verify（Ｐ，ｍ，ｓ）：署名を検証する関
数 署名者の公開鍵を用いて文書ｍの正当性（署名ｓの正当
性）を検証する関数。
【０００７】 ・ブラインド関数 Blind(Ｐ，ｍ，ｒ）：文書ｍを封筒
に入れる関数 ｒは通常乱数でユーザが選択する。これはブラインドを
行うための指数である。ｍ′＝Blind(Ｐ，ｍ，ｒ）。ブ
ラインド関数Blind では、ｍ′からｍが導出できない。 ・ブラインド解凍関数 Unblind(Ｐ，ｓ′，ｒ）：封筒
を開封して署名ｓを取り出す関数 ｒは、上記のブラインド関数実行時に選択したｒと一致
する。ｓ＝Unblind(Ｐ，ｓ′，ｒ）。
【０００８】上記の各関数式より、Verify（Ｐ，ｍ，Un
blind(Ｐ，Sign（Ｓ，Blind(Ｐ，ｍ，ｒ）），ｒ））＝
１となる。ブラインド署名の実現例は幾つか提案されて
いるが、ＲＳＡを利用した例が最も有名でよく利用され
ている。確率的公開鍵暗号 確率的公開鍵暗号（Probabilistic Public Key Encrypt
ion ）は、一つの平文に対して、複数の暗号文が存在す
る公開鍵暗号である。ここで、公開鍵と秘密鍵のペアを
（ｅ，ｄ）とすると、暗号化と復号化の関数は以下のよ
うに示すことができる。 ・暗号化関数Ｅprob（ｅ，ｍ，ｒ）：文書ｍを公開鍵ｅ
で暗号化 暗号化関数Ｅprobは確率暗号であるから、文書ｍの暗号
文は多数存在する。これらは通常、暗号化時の攪乱パラ
メータｒによって、一意的に決定することができる。ｒ
はランダムに選ばれる。ｃ＝Ｅprob（ｅ，ｍ，ｒ）。Ｒ
ＳＡやＲａｂｉｎ暗号は確率的公開鍵暗号ではない。こ
れらの決定的な暗号方式では、文書ｍに対して暗号文が
一つしかない。これは、上記関数Ｅprobにおいて、ｒが
ない、あるいはｒが既知固定であることと対応する。 ・復号化関数Ｄprob（ｄ，ｃ）：暗号文ｃを秘密鍵ｄで
復号化 暗号文ｃを復号し、文書ｍを取り出す。復号時には、攪
乱パラメータｒが必要ないことに注意を要する。ｍ＝Ｄ
prob（ｄ，ｃ）。
【０００９】この発明では、以下の二つの条件を満たす
確率的公開鍵暗号を利用する。 ・Semantically secure な暗号であること Semantically secure の概念は、S.GoldwasserとS.Mica
liによって１９８０年代に示されている。簡単に言え
ば、暗号文から平文についての情報（部分情報も含む）
を全く得られない暗号をSemantically secure であると
いう。Semantically secure な暗号は、必ず確率的暗号
である。
【００１０】Semantically secure な暗号は、幾つか提
案されている。ＲＳＡやＲａｂｉｎ暗号はSemantically
secure ではないが、これらを用いてSemantically sec
ureな暗号を構成することもできる。 ・一つの暗号文に対して、同じ平文を持つ他の暗号文を
容易に生成できること 秘密鍵及び平文を知らなくても、ある暗号文ｃ＝Ｅprob
（ｅ，ｍ，ｒ）に対して、これと同じ平文ｍを持つ別の
暗号文ｃ′を容易に計算できなければならない（ｃ′＝
Ｅprob（ｅ，ｍ，ｒ′））。また、上記のSemantically
secure の性質より、（ｃ，ｃ′）と（ｃ，Ｅ
prob（ｅ，ｍ′，ｒ″））（ｍ≠ｍ′）の違いを知るこ
とは容易ではない。
【００１１】便宜上、暗号文ｃから、同一平文ｍを持つ
別の暗号文ｃ′を作成する関数をＣｏｎｖcrypt （ｅ，
ｃ，ｒ）とおく。ｃ′＝Ｃｏｎｖcrypt （ｅ，ｃ，ｒ）
である。ここで、ｒは攪乱パラメータでｃ′を一意的に
指定するためにある。ｒは通常ランダムに選ばれる。上
記の全ての条件を満たす暗号としては、Gold wasser と
Micaliらが提案した初歩的な番号の他、ElGamal 暗号、
T.Okamoto とS.Uchiyamaらが１９９８年のEurocrypt で
発表した暗号などがある。確率的符号判定手法 以下に示す特殊な符号判定手法を利用する。ある有限集
合ＩＤ，Ｃ，Ｒ、及び集合Ｂ＝｛０，１｝において、以
下の関係が成り立つ。ただし、ｘ，ｘ′∈ＩＤ、ｃ，
ｃ′，ｃ″∈Ｃ、ｒ，ｒ′，ｒ″∈Ｒである。 ・符号作成関数ＥID（ｘ，ｒ）：ＩＤ，Ｒ→Ｃ（集合Ｉ
Ｄの１つの要素と集合Ｒの１つの要素から集合Ｃの１つ
の要素への写像をとる） ＥIDは、ｒは攪乱パラメータとして、同一ｘに対して異
なる複数の符号ｃを持ち、これらの符号からは、その元
のｘについての情報がほとんど得られないこととする。
特に、ｃ＝ＥID（ｘ，ｒ），ｃ′＝ＥID（ｘ，ｒ′），
ｃ″＝ＥID（ｘ′，ｒ″）（ｒ≠ｒ′，ｘ≠ｘ′）とす
ると、（ｃ，ｃ′）と（ｃ，ｃ″）の違いを知ることは
容易ではない。
【００１２】また、前節の確率的暗号化手法に対する要
求と同様に、ある符号ｃに対して、これと同様の元ｘを
持った別の符号ｃ′を容易に計算できることとする。便
宜上、符号ｃから、同一元ｘを持つ別の符号ｃ′を作成
する関数をＣｏｎｖ ID（ｃ，ｒ）とおく。ｃ′＝Ｃｏｎ
ｖID（ｃ，ｒ）である。ここで、ｒは攪乱パラメータで
ｃ′を一意的に指定するためにある。ｒは通常ランダム
に選ばれる。 ・判定関数ＤID（ｘ，ｃ）：ＩＤ，Ｃ→Ｂ ｃ＝ＥID（ｘ′，ｒ）の場合、以下の式が成り立つ。判
定関数実行時には、上記の攪乱パラメータｒが必要ない
ことに注意する。
【００１３】 ＤID（ｘ，ＥID（ｘ，ｒ））＝１である。上記の定義よ
り、ｃから、その元のｘが導出できないことは明らかで
ある。このような定義を満たす関数群は幾つか考えられ
る。ここでは、具体例の一つとして、Diffie−Hellman
決定問題の困難性に根拠をおいた関数群を以下に挙げ
る。 ・符号作成関数ＥID（ｘ，ｒ）＝ａ（mod ｐ）‖ａ
x （mod ｐ） ｐは十分大きな素数で公知かつ固定の値。ａはmod ｐに
おける任意の原始根。上式ＥIDにおいて、ｒはａを選択
するアルゴリズムの中で利用する（実際には、符号作成
時にランダムに原始根ａを選ぶだけでよい）。‖は結合
を表す。 ・符号間変換関数 ＣｏｎｖID（ｃ，ｒ）＝ＣｏｎｖID（ｃ0 ‖ｃ1 ，ｒ） ＝ｃ0 r （mod ｐ）‖ｃ1 r （mod ｐ） ＝（ａ）r （mod ｐ）‖（ａx ）r （mod ｐ） ＝ａr （mod ｐ）‖（ａr ）x （mod ｐ） ＝ａ′（mod ｐ）‖ａ′x （mod ｐ） ここで、ｒはｇｃｄ（ｒ，ｐ−１）＝１となる乱数とす
る。この場合、ａ′＝ａr は原始根である。対象モデル 次にこの発明で使用する世界のモデルを図１１に示す。
図中にあるように、以下の四つの要素を想定する。 証明書発行装置（Certificate Publisher ：ＣＰ） 証明書を発行する実体。特定ユーザに対して、そのユー
ザがある権利を持っている、あるいはある特徴を持って
いることを保証する証明書を発行する。
【００１４】証明書の保証する内容は任意である。例え
ば『普通自動車の運転資格がある』ことを証明する証明
書や、『２０歳以上である』こと、『東京都内に住んで
いる』『Ａ社の社員である』『Ｂゴルフクラブの会員で
ある』『年収が１，０００万円以上である』等々、様々
な内容を保証する証明書が考えられる。これらは、各々
適当な証明書発行装置ＣＰによって発行される。運転資
格や居住地域については特定の役所が運営する証明書発
行装置ＣＰが関与し、ゴルフクラブについてはそのクラ
ブのオーナーの持つ証明書発行装置ＣＰが関係するかも
しれない。 資源管理装置（Resource Manager：ＲＭ） 資源を管理する実体。資源とは、計算機などの物理的資
源だけでなく、情報（ニュースなど）やサービスなど、
利用することによって何らかの利益が獲得できる全ての
ものを指す。単純に、権利の証明を求めて来る存在と考
えてもよい。一般に、資源管理装置ＲＭは、自分の管理
する資源に対して、ユーザから提示された複数の証明書
をもとに、そのユーザの採れる行動の範囲を決定し管理
する。
【００１５】電車の定期券を駅で利用する場合、駅員あ
るいは自動改札機が資源管理装置ＲＭとなる。また、警
察官が検問等で自動車の運転者に運転免許の提示を求め
る場合、警察官が資源管理装置ＲＭの役割を持つことに
なる。 ユーザ装置（User：Ｕ） ユーザは証明書発行装置ＣＰによって発行された証明書
を管理する。また、資源を利用したいときには、証明書
を適当に選択し、資源管理装置ＲＭに提示する。この明
細書ではユーザの持つ証明書とその入れ物をプロファイ
ルと呼ぶ。 裁判装置（Court House ：ＣＨ） 裁判装置は、既に発行された特定の証明書を無効とした
り、あるユーザに対して発行された全ての証明書を同時
に無効化したりする。裁判装置は複数あってもよい。た
だし、この明細書では最も基本的な、裁判装置が一つの
場合を中心に説明を行う。
【００１６】上記のモデルでは、一つの証明書を複数の
資源管理装置ＲＭで共用することを前提としている。従
来のように資源ごとにＩＤとパスワードを設定する手法
は、図１１の中段右側に示したような、ＣＰとＲＭがペ
アになった場合に対応する。
【００１７】
【発明が解決しようとする課題】以下に、前記世界モデ
ルにおいて、この発明による権利認証方法により得られ
る機能を示す。これらを満たすプロトコルは、ユーザの
プライバシを最大限に保証し、かつ証明書の不正利用を
防止していると考えている。 （１）不必要な個人情報漏洩の防止 資源利用時において、資源管理装置ＲＭの利用が許可さ
れるために最低限必要な情報しか漏洩しない。最低限と
は、ＲＭが指定した情報以外を含まない場合である。
【００１８】例えば、自動車を運転するには、運転資格
があることさえ証明されれば十分なはずである。だが、
既存のシステムでは、運転資格を証明するためには、運
転資格以外にも多量の情報（名前、住所、生年月日、顔
写真など）を含んだ運転免許証を提示することが必要と
なっている。この発明では、運転資格を持っているとい
う情報以外の情報を全く漏らさずに、運転資格の証明を
行うことができる。
【００１９】どの情報を公開して、どの情報を隠すのか
は、最終的には個人が自分自身の判断で決定できる。 （２）行動の追跡不能性 任意の数の証明書発行者と資源管理者が結託しても、ユ
ーザの行動履歴の全貌は把握できない。また行動が把握
される可能性のある範囲は、ユーザ自身が決定する。
【００２０】クレジットカード会社や銀行を証明書発行
者ＣＰとし、お店を資源管理者ＲＭと考える。既存の社
会では、これらのカード会社や銀行とお店が手を結ぶ
と、ユーザがどこで、何を、いつ、いくらで購入したか
などの貴重な個人情報が容易に把握できてしまう。この
ようなことは、現在でも実際に行われているかもしれな
い。この発明では、証明書発行者ＣＰと資源管理者ＲＭ
がどのように手を結んでも、個人の行動の足跡が把握さ
れることはない。
【００２１】また加えて、もしユーザ自身が行動履歴を
ある程度公開したいと考えるならば、これを実現するこ
ともできる。このようなことは、『お得意様には特典が
ある』商店やサービスの利用において重要である。どの
程度の行動履歴を公開にし、どこからを非公開にするか
は、ユーザ自身が決定し制御できる。 （３）証明書再利用性 証明書は何度でも使用することができる。 （４）証明書不正利用不可 証明書は正規のユーザ以外は利用できない。 （５）任意の証明書の無効化 任意の証明書について、これを無効にすることができ
る。 （６）任意のユーザの無力化 任意のユーザについて、このユーザに対して発行された
全ての証明書を同時に無効化することができる。
【００２２】
【課題を解決するための手段】この発明によれば権利証
明書発行の際に、ユーザ装置がブラックボックス装置と
証明書発行装置とに結合され、ブラックボックス装置に
は誰にも引き出すことができない秘密鍵を記憶したメモ
リを備え、証明書発行時に、ユーザ装置は既存の権利証
明書ＣＳy の鍵番号ｙ′又は公開鍵ＰB y'、ブラックボ
ックス装置の識別子ＩＤB の確率的暗号文、ＩＤB の確
率的符号、証明書発行装置の公開鍵ＰCP 、発行される
権利証明書ＣＳj の利用条件とする鍵番号ｉ又は公開鍵
ＰB i 、証明書ＣＳj の証明事項ＭCP j 、裁判所公開鍵
ｅCHをブラックボックス装置へ送り、ブラックボックス
装置は受信した上記確率的暗号文を変換した暗号文Ｘ
と、上記確率的符号を変換した符号Ｙを作り、これら変
換暗号文Ｘと変換符号Ｙと公開鍵ＰB i と、証明事項Ｍ
CP j をブラインド関数演算して演算結果Ｚを求め、ＩＤ
B の確率的暗号文と、ＩＤB の確率的符号と、証明事項
ＭCP j と、演算結果Ｚとに対し秘密鍵ＳB y'を用いて署
名して署名情報ｓB を作り、上記各変換、上記ブライン
ド関数演算に用いた乱数ｕ，ｖ，ｗと上記演算結果Ｚ、
署名情報ｓB をユーザ装置へ送り、ユーザ装置は受信し
たＺ，ｓB と権利証明書ＣＳy を証明書発行装置へ送
り、証明書発行装置はＣＳy 中の署名情報ｓy の正当性
を検証し、また署名情報ｓ B が秘密鍵ＳB y'を用いた署
名情報であることを検証し、これらの検証に合格すれ
ば、証明書発行装置の秘密鍵で演算結果Ｚをブラインド
署名し、その署名情報ｓ′をユーザ装置へ送り、ユーザ
装置は署名情報ｓ′に対しブラインド解凍関数演算して
署名情報ｓj を得、乱数ｕを用いてＩＤB に対する確率
的暗号文を変換して暗号文Ｘを求め、乱数ｖを用いてＩ
ＤB に対する確率的符号を変換して符号Ｙを求め、
ｓj ，Ｘ，Ｙ，ＰB i ，ＭCP j を発行された権利証明書
ＣＳj とする。
【００２３】この発明の他の鑑点によれば、ユーザ装置
はブラックボックス装置へ安全性のパラメータＮCPも送
り、ブラックボックス装置は乱数ｕ，ｖ，ｗ，ｘとして
それぞれＮCP個の乱数ｕk，ｖk ，ｗk ，ｘk （ｋ＝
１，２，…，ＮCP）を生成し、変換暗号文Ｘ、変換符号
Ｙとして各ＮCP個の変換暗号文Ｘk 、変換符号Ｙk を求
め、ＮCP個の乱数ｃj, k を生成し、ｃj,k と公開鍵ＰB
i の結合に対し、一方向性関数演算を行い、その演算結
果ｇK （ＰB i ‖ｃj,k ）を、上記Ｚを求める際にＰB
i の代りに用いてＮCP個のＺk を求め、署名情報ｓB を
求める際の対象文書には全てのＺk を用い、またｗk を
ｅCH，ｘk で確率的暗号化して暗号文Ｗk を求め、ユー
ザ装置にはＺk ，Ｗk ，ｕk ，ｖk ，ｗk ，ｃj,k を送
り、ユーザ装置は全てのＺk ，Ｗk とｓB ，ＣＳy を証
明書発行装置へ送り、証明書発行装置では前記検証の全
てに合格すれば、０＜ｋ′＜ＮCPなるｋ′を選んでユー
ザ装置へ送り、ユーザ装置はｋ≠ｋ′となる全てのｋに
ついてｇK （ＰB i ‖ｃj,k ）を生成し、これらと、ｋ
≠ｋ′なる全ての乱数ｕk ，ｖk ，ｗk とを証明書発行
装置へ送り、証明書発行装置では受信したｇK （ＰB i
‖ｃj,k ），ｕk ，ｖk ，ｗk ，ｘ k とＣＳj を用いて
先に受信したｋ≠ｋ′なる全てのＺk とＷk がブラック
ボッククス装置で作られたと同様に作成されたことを確
認し、この確認に全てに合格することを上記署名情報
ｓ′の作成の条件とし、ユーザ装置での証明書ＣＳj に
おけるＸ及びＹの作成にはそれぞれｕk'，ｖk'を用い、
かつｃj,k をＣＳj の一要素とする。
【００２４】 権利証明書の提示においてはユーザ装置か
ら権利証明書ＣＳj を資源管理装置に送り、資源管理装
置は権利証明書ＣＳj 中のブラックボックス装置の公開
鍵ＰB i と、ブラックボックス装置の識別子ＩＤB に対
する確率的暗号文と、ＩＤB に対する確率的符号と、証
明事項と署名情報ｓj に対し、証明書発行装置の公開鍵
ＰCPを用いて署名検証を行い、またブラックボックス装
置が公開鍵ＰB i に対応した秘密鍵ＳB i を保持してい
ることをユーザ装置を仲立ちとした公開鍵署名を利用し
た認証手順により確認し、これらの検証及び確認に合格
すると、権利証明書ＣＳj が正しいものであると認め
る。
【００２５】この場合権利証明書ＣＳj が、無効となっ
ているか否かを、無効証明書リスト及び無効ブラックボ
ックスリストを用いて調べ、無効となっていない場合
に、権利証明書ＣＳj が正しいものであるとする。この
発明では、認証は、ユーザと個人識別子とを結び付ける
のではなく、ユーザと権利とを直接結び付ける。認証に
よって確認されるのは、端末の前にいるユーザが、権利
を持っているか否かという情報だけである。この発明で
は、個々の権利は、各々別々の証明書を用いて証明す
る。また、証明書は、その正規のユーザしか利用できな
い。
【００２６】この発明では個人のプライバシを最大限に
保ちつつ、その持つ権限を容易に保証する手法を提案す
る。この発明の基盤は、条件付き証明書と、ユーザ自身
にすら秘密のブラックボックスの機構である。この発明
では、個人が自分で把握し制御できる範囲でしか、個人
情報の漏洩が起こらないことを保証する。また、同様の
範囲で行動に対する追跡不能性も保証する。再利用性を
損なって利便性を阻害することなく、証明書の不正利用
も防止する。さらに、万が一にも証明書を使った不正が
発覚した場合、該当証明書を無効にすることはもちろ
ん、不正者が持つ他の全ての証明書を同時に無効にする
ことも可能である。
【００２７】
【発明の実施の形態】この発明では使用する世界のモデ
ルを図１１に示したように、証明書発行装置ＣＰと、資
源管理装置ＲＭと、ユーザ装置Ｕと、裁判装置ＣＨとで
構成される。以下にこれら要素の各初期状態と、その役
割の概略を示す。具体的な動作の詳細については、更に
後で説明する。 証明書発行装置ＣＰ ＣＰはブラインド署名を行うために、各々鍵のペア（Ｐ
CP，ＳCP）を持つ。またこの公開鍵部分ＰCPを公開して
いる。ＣＰは証明書を発行するときに積極的に関与す
る。 資源管理装置ＲＭ ＲＭは資源を管理し、利用者の利用行為を制限する。Ｒ
Ｍは、ユーザが自分の証明書を示して資源の利用許可を
求めた場合に、証明書を確認する作業を行う。 ユーザ装置Ｕ ユーザは、証明書を獲得したり、利用したりする主体で
ある。各ユーザ装置Ｕは、各々自分のプロファイル（ブ
ラックボックス装置Ｂを含む）を持ち、ＣＰによって発
行された証明書を管理する。また、資源を利用したいと
きには、証明書を適当に選択しＲＭに提示する。
【００２８】各ブラックボックス装置Ｂには、あらかじ
め、個別の識別子ＩＤB が割り当てられている。ブラッ
クボックス装置Ｂは始めに、これが正しく動作すること
を保証する証明書（『Ｂの正当性』の証明書）を添付し
て、ユーザ装置Ｕに渡される。識別子ＩＤB は非公開の
情報である。ただし、ユーザＵは、ＩＤB を知っていて
もよい。
【００２９】また、ブラックボックス装置Ｂは公開鍵署
名を行うための鍵のペア（ＰB ，Ｓ B ）を最低一つ持
つ。ブラックボックス装置Ｂの鍵ペアの数は、所有者で
ある、ユーザＵの意志で、自由に増減（追加／削除）を
行うことができる。ただし、鍵ペアはブラックボックス
装置Ｂ自身が作成し、ユーザＵが鍵ペアを直接指定する
ことはできない。ブラックボックス装置Ｂは秘密鍵ＳB
i を、誰にも公開しない。 裁判装置ＣＨ ＣＨは、確率的公開鍵暗号で使用する鍵のペア（ｅCH，
ｄCH）を持ち、公開鍵部分ｅCHを公開している。
【００３０】また、『不正（ブラックボックス装置）リ
スト』と『無効証明書リスト』を持ち、これを管理す
る。これらのリストは始めは空である。これらの役割の
詳細については以降に述べる。証明書の構成 証明書発行装置ＣＰから発行される証明書は図１に示す
ように以下の全ての要素から構成される。これら全てを
まとめて証明書もしくは証明書セット（ＣＳ）と呼ぶ。
なお、ここではユーザの獲得したｊ番目の証明書ＣＳj
に対する要素を示している。 ・署名ｓj ：ＣＰの発行した署名情報 ＣＰがブラインド署名の技術を用いて作成し、発行した
署名情報。証明書の核となる情報である（この情報以外
は、公開情報のみを用いて誰でも容易に作成することが
できる）。 ・ブラックボックス装置Ｂの公開鍵ＰB i ：証明書の利
用条件となる鍵 この鍵は、証明書セットＣＳj を利用できるユーザを一
意に指定するためにある。具体的には、この公開鍵ＰB
i と対応した秘密鍵ＳB i を持ったブラックボックス装
置Ｂの所有者であるユーザＵのみが、証明書ＣＳj を利
用できることとしている。
【００３１】ここで、ＰB i のサフィックスはｉであ
り、ｊとは異なることに注意する。これは、証明書セッ
トごとに鍵ペア（ＰB x ，ＳB x ）が決定するのではな
く、同一の鍵ペアを複数の証明書の利用条件とすること
を許しているためである。 ・証明事項ＭCP j ：証明書が保証する内容 発行者のＣＰが、この証明書で保証する内容を示す文書
である。『普通自動車の運転資格』や、『２０歳以上』
など。また、『普通自動車の運転資格、１９９９年１月
１６日発行、２００４年１月１６日まで有効』などのよ
うに付加的な情報を示してもよい。 ・ＩＤB の暗号文Ｅprob（ｅCH，ＩＤB ，ｒj ）：証明
書と対応したブラックボックス装置Ｂの情報（ＣＨ用） ブラックボックス装置Ｂの識別情報ＩＤB を、裁判所の
公開鍵ｅCHで暗号化した情報。 ・ＩＤB を用いた符号文ＥID（ＩＤB ，ｒ′j ）：証明
書と対応したブラックボックス装置Ｂの情報（ＣＰ，Ｒ
Ｍ用） ブラックボックス装置Ｂの識別情報ＩＤB を用いて作成
した符号。
【００３２】上記二つの情報は、証明書の不正利用など
が発覚し、不正に関係したユーザ（すなわちＢ）を無力
化するために利用される。ｒj 及びｒ′j は任意の値で
ある。 ・指数ｃj ：これについては後述するこの発明のプロト
コルで明らかにする。 実際に証明書を利用する為には、以上の要素を全て含ん
だ証明書セット（ＣＳ j ）に加えて、ＰB i に対応した
秘密鍵ＳB i を持ったブラックボックス装置Ｂが必要で
ある。このブラックボックス装置Ｂを持つのは証明書の
正規のユーザＵだけであるので、正規のユーザしか証明
書を利用できないことを保証できる。
【００３３】ところでユーザは、各証明書発行者装置か
ら発行された証明書をプロファイルとして管理する。図
２は、ユーザのプロファイルをカード（スマートカード
など）として実現した場合の例を示している。プロファ
イルは、誰にも秘密の情報を秘めたブラックボックス装
置Ｂ−ｂｏｘと、各証明書発行者装置より発行された証
明書Ｃｅｒｔ．Ｅ，Ｃｅｒｔ．Ｓ，Ｃｅｒｔ．Ｑ，・・
・のリストとで構成される。Ｂ−ｂｏｘは記憶能力と計
算能力を持ち、後述で定義された関数を忠実に実行す
る。Ｂ−ｂｏｘ以外のデータは、外部記憶媒体等にバッ
クアップを保持することができる。
【００３４】ここで、Ｂ−ｂｏｘは関数として定義でき
るので、証明書発行時及び証明書利用時の通信は、図３
のようにモデル化できる。図中の矢印は、二つの実体の
間で通信が起こることを示している。通信路は、Ｂ−ｂ
ｏｘとユーザ装置間、ユーザ装置とサーバ装置（証明書
発行装置ＣＰあるいは資源管理装置ＲＭ）間の二つが考
えられるが、これらの安全性は同程度で、盗聴が可能で
あると仮定する。
【００３５】なお、この明細書では、プロファイルの実
現例としてＩＣカード（スマートカード）等のように携
帯が容易な計算機端末を仮定して説明を行っている。だ
が、プロファイルは必ずしもこのように携帯が容易な形
状をしていなくてもよい。例えば絶対的に信頼できる存
在（サーバなど）を設定するならば、これがプロファイ
ル（及びＢ−ｂｏｘ）の役割を果たしてもよい。つまり
複数のユーザが１つのブラックボックス装置を共有する
ようにしてもよい。プロトコルの概要 この発明では、二つのプロトコルを提案する。一つは
『証明書獲得プロトコル』で、ユーザ装置Ｕが証明書発
行装置ＣＰから証明書を獲得する手順であり、二つ目は
『証明書提示プロトコル』で、ユーザ装置Ｕが資源管理
装置ＲＭに対して証明書を提示し、権利を主張するため
の手順である。これらは基本的に、ユーザ装置Ｕ、ブラ
ックボックス装置Ｂ、証明書発行装置ＣＰ、資源管理装
置ＲＭの四者からなるプロトコルである。また、これら
二つの具体的なプロトコルに加えて、不正者に対する対
応方法の概略も述べる。
【００３６】詳細に述べるに先だって、ここでこの発明
の基盤となっている基本的な方針を列挙する。以下の具
体的なプロトコルは、これらの方針を基盤として構成さ
れている。 ・ユーザ装置Ｕは固有のブラックボックス装置Ｂを保持
する。 ・ブラックボックス装置Ｂは少くとも１つの鍵ペア
（（ＰB 0 ，ＳB 0 ）（ＰB 1 ，ＳB 1 ）…（ＰB n ，
ＳB n ））（ｎ＞０）を持つ。各鍵ペアの中で秘密鍵部
分ＳB i は、ブラックボックス装置Ｂ以外誰も知らな
い。公開鍵部分ＰB i は、ユーザが知っていてもよい。 ・証明書ＣＳj の核となる署名情報ｓj は、各々特定の
ＰB i と対応する形で発行される。また、証明書ＣＳj
を利用するには、ＳB i が必要であることにする。すな
わち、ＣＳj の利用条件をＰB i を用いて指定する。 ・証明書発行装置ＣＰは署名情報ｓj を発行する際、ブ
ラインド署名の技術を用いて署名を行う。ＣＰは、自分
が署名し発行したｓj と、そこから作成される証明書Ｃ
Ｓj との関係が全く把握できない。（ＣＰが署名した段
階では、ｓj は封筒の中に入っていることに注意） ・ユーザ装置Ｕは、複数のブラックボックス装置Ｂの鍵
ペアと証明書の利用場所を適宜に管理し、ユーザにとっ
て不快な情報漏洩を防ぐ。
【００３７】この発明で提案するプロトコルでは、ＣＰ
やＲＭとＵとが結託しても、ブラックボックス装置Ｂの
持つ秘密鍵ＳB i を引き出すことはできない。従って、
ＰB i を条件として発行された証明書ＣＳj を利用する
ためには、ブラックボックス装置Ｂが必要である。な
お、ブラックボックス装置Ｂに対するユーザ装置Ｕの認
証には、既存の個人認証の技術を用いることができる。
また、証明書の提示が終り権利の確認が正常に終了した
後は、既存のＳＳＬ等のセキュア通信の技術を用いて、
ユーザ装置Ｕは資源を安全に利用することができる。従
って、この明細書においてはこれらについては言及しな
い。証明書獲得プロトコル 『証明書獲得プロトコル』は、ユーザ装置Ｕが証明書発
行装置ＣＰから証明書の発行を受けるために用いるプロ
トコルである。プロトコル開始前に、ユーザ（Ｕ）と証
明書発行者（ＣＰ）の間で、発行される証明書の内容
（証明事項）ＭCP j と安全パラメータＮCPについて打ち
合せてあるものとする（ＮCPは公開鍵と同様に、ＣＰの
公開情報としてもよい）。
【００３８】以下に、ユーザにとってｊ番目の証明書Ｃ
Ｓj を獲得するプロトコルを示す。ここで、ユーザはｉ
番目（ｉ＜ｊ）の鍵ペアを新しく発行を受ける証明書Ｃ
Ｓjの利用条件としている。サフィックスｙはブラック
ボックス装置Ｂ自身の正当性を証明するために必要なデ
ータに付けてある。ただし、証明書セットＣＳy の利用
条件の鍵番号はｙ′（鍵はＰB y'）である。
【００３９】関数ｇK は適当な一方向性ハッシュ関数で
ある。図４にユーザ装置Ｕとブラックボックス装置Ｂ及
び証明書発行装置との間で行われる手順を示し、図５に
ユーザ装置Ｕの機能構成を、図６にブラックボックス装
置Ｂの機能構成を、図７に証明書発行装置ＣＰの機能構
成をそれぞれ示す。
【００４０】（１）ユーザＵは入力操作部１０１と操作
制御部１０２を通じて、既存の『ブラックボックス装置
Ｂの正当性』を保証する証明書セットから適当なものＣ
Ｓyを選び、メモリ１０３からＣＳy が取出される。ま
たユーザ装置Ｕは、ＭCP j と新しく発行を受ける証明書
セットＣＳj の利用条件とするの鍵の番号ｉ（あるいは
鍵ＰB i ）、ＣＳy の鍵の番号ｙ′（あるいは鍵
ＰB y'）、Ｅprob（ｅCH，ＩＤB ，ｒy ）、ＥID（ＩＤ
B ，ｒ′y ）、ＰCP、ｅCH、ＮCPをブラックボックス装
置Ｂに送る。証明書ＭCP j はユーザが入力操作部１０１
を通じて入力するか、メモリ１０３に記憶してある。
【００４１】（２）ブラックボックス装置Ｂは、以下の
値Ｚk Ｗk をＮCP個作成する。ここで、ｕ，ｖ，ｗ，
ｃ，ｘは任意の乱数、‖は結合を表す。 Ｘk ＝Convcrypt （ｅCH，Ｅprob（ｅCH，ＩＤB ，ｒy ），ｕk ） （１） Ｙk ＝ConvID（ＥID（ＩＤB ，ｒ′y ），ｖk ） （２） Ｚk ＝Blind （ＰCP，ｇK （ＰB i ‖ｃj,k ）‖Ｘk ‖Ｙk ‖ＭCP j ，ｗk ） （３） Ｗk ＝Ｅprob（ｅCH，ｗk ，ｘk ） （４） 制御部２０１の制御により、乱数生成部２０２から乱数
ｕk ，ｖk ，ｗk ，ｃ j,k ，ｘk （ｋ＝１，２，…，Ｎ
CP）を生成し、確率的暗号文Ｅprob（ｅCH，ＩＤB ，ｒ
y ）に対しｕk で暗号文変換部２０３において、暗号変
換演算を行い変換暗号文Ｘk を得る。また確率的符号Ｅ
ID（ＩＤB ，ｒ′y ）に対し、ｖk で符号変換部２０４
において、符号変換演算を行い変換符号Ｙk を得る。更
に一方向性関数部２０５において、メモリ２０６より取
出した公開鍵ＰB i と前記ｃj,kとを結合し、これに対
し一方向性ハッシュ関数演算を行い、この演算結果ｇK
（ＰB i ‖ｃj,k ）とＸk とＹk とＭCP j とを結合し、
その結合に対し、ｗk を用い証明書発行装置ＣＰの公開
鍵ＰCPでブラインド関数演算をブラインド関数部２０７
で行いＺk を得る。更に確率的暗号化部２０９で乱数ｗ
k が裁判所の公開鍵ｅCHで乱数ｘk を用いて確率的暗号
化されて暗号文Ｗk とされる。
【００４２】また、ブラックボックス装置Ｂはメモリ２
０６内の秘密鍵ＳB y'を用いて（Ｚ 1 ‖Ｚ2 ‖…‖Ｚ
Ncp ‖Ｗ1 ‖Ｗ2 ‖…‖ＷNcp ‖Ｅprob（ｅCH，Ｉ
ＤB ，ｒy）‖ＥID（ＩＤB ，ｒ′y ）‖ＭCP j ）の署
名情報ｓB を署名部２０８で計算し、全てのＺk ，
Ｗk 、ｓB 、乱数（ｕk ，ｖk ，ｗk ，ｃj,k ，ｘk ）
をユーザ装置Ｕに送る。ただし、ｓB で用いる署名方法
は、ブラインド署名に対応しない通常の方法でよい。
【００４３】（３）ユーザ装置Ｕは、受信した全てのＺ
k ，Ｗk とｓB ，ＣＳy を証明書発行装置ＣＰに送る。 （４）証明書発行装置ＣＰ（図７）は、裁判所によって
公開されている格納部３０１の無効証明書リスト及び格
納部３０２の無効Ｂリストを用いて、ユーザ装置Ｕから
提示されたＣＳy が無効となっていないかを確認部３０
３で調べる。この具体的な検証方法は後述する。また、
証明書発行装置ＣＰは、次式が成り立つかを調べる。こ
の式の検証は、ＣＳy に含まれる情報と、この証明書を
発行した証明書発行局の公開鍵（ここではＰCP y とす
る）があれば実行できる（ＰCP y は公開情報なので、既
知であるとする。またＭCP j はユーザと予め打ち合せし
てあり、入力操作部３０８を通じて入力するか、メモリ
３０５内に格納されてある）。
【００４４】 Ｖerify （ＰCP y ，ｍy ，ｓy ）＝１ （５） （但し、ｍy ＝ｇK （ＰB y'‖ｃy ）‖Ｅprob（ｅCH，ＩＤB ，ｒy ）‖ ＥID（ＩＤB ，ｒ′y ）‖ＭCP y ） （６） つまり図７中のｍy 生成部３０４において受信したＣＳ
y 中のＰB y'とｃy を結合させ、その一方向性ハッシュ
関数演算ｇK （ＰB y'‖ｃy ）を行い、これと、ＣＳy
中のＥprob（ｅCH，ＩＤB ，ｒy ）と、ＥID（ＩＤB ，
ｒ′y ）と証明事項ＭCP y とを結合してｍy を生成す
る。署名検証部３０６に文書ｍy とＣＳy中のｓy を入
力してメモリ３０５中の公開鍵ＰCP y を用いてｍy に対
する署名を検証する。
【００４５】さらに、ｓB がＳB y'を用いた、（Ｚ1 ‖
Ｚ2 ‖…‖ＺNcp ‖Ｗ1 ‖Ｗ2 ‖…‖ＷNcp ‖Ｅ
prob（ｅCH，ＩＤB ，ｒy ）‖ＥID（ＩＤB ，ｒ′y ）
‖ＭCP j ）の署名情報となっているかを、署名検証部３
０７で公開鍵ＰB y'を用いて調べる。この検証に必要な
情報（ＭCP j を含む）は証明書発行装置ＣＰは既に受け
取っているはずである。これらの検証に一つでも失敗す
れば、証明書の発行は行わない。
【００４６】全ての検証に成功した場合、証明書発行装
置ＣＰは０＜ｋ′＜ＮCPとなるｋ′を入力操作部３０８
を操作して制御部３０９を介して選択部３１１で選び、
これをユーザ装置Ｕに送る。ｋ′の選択は例えば乱数を
生成して行う。 （５）ユーザ装置Ｕは、ｋ≠ｋ′となる全てのｋについ
て、乱数ｕk ，ｖk ，ｗk ，ｘk とｇK （ＰB i ‖ｃ
j,k ）を証明書発行装置ＣＰに送る。このｇK （ＰB i
‖ｃj,k ）は一方向性ハッシュ関数部１０６で演算す
る。
【００４７】（６）証明書発行装置ＣＰは、手順（５）
で受け取った情報を用いて、手順（３）で受け取ってい
た情報（Ｚk ，Ｗk ）（０＜ｋ＜ＮCP，ｋ≠ｋ′）が手
順（２）の示す手続き通りに作成されていたことを確認
する。つまり受信したＣＳyとｕk ，ｖk ，ｗk を用
い、ブラックボックス装置ＢにおけるＸk ，Ｙk の生成
と同様に暗号変換部３１２でＸk を生成し、符号変換部
３１３でＹk を生成し、更にこれらＸk ，Ｙk と受信し
たｇK （ＰB i ‖ｃj,k ）とＰCP，ＭCP i を用いてブラ
インド関数演算をブラインド関数部３１４で行い、得ら
れたＺk と受信したＺk を比較部３１５で比較する。ま
た裁判所の公開鍵ｅCHと、受信したｗk ，ｘk とを確率
的暗号化部３１６に入力してｗk を暗号化し、その暗号
文と受信したＷk ＝Ｅprov（ｅCH，ｗk ，ｘk ）とを比
較部３１７で比較する。これら全ての各比較が一致する
ことを確認する。この確認作業は、ｋ≠ｋ′となる全て
のｋに対して行う。検証に一度でも失敗すれば証明書は
発行しない。また、場合によっては、裁判所に不正Ｂの
候補としてＣＳy を訴える。
【００４８】証明書の発行が適切と認められた場合には
証明書発行装置ＣＰは以下の値を署名部３１８で計算
し、これをユーザ装置Ｕに送る。 ｓ′＝Ｓign （ＳCP，Ｚk'） （７） また、証明書発行装置ＣＰが今後、個々の証明書単位で
証明書の無効化を実施することがあると考えられる場合
には、ｓ′とＷk'をメモリ３０５に保存しておく。他の
情報は保存しておく必要はない（ＭCP j に有効期限の情
報を含ませるなどして、証明書発行装置ＣＰ主導での証
明書の無効化を行わない予定ならば、このように情報を
保存しておく必要は全くない。またこの場合、Ｗk 及び
ｘk に係わる全ての処理を割愛することが可能であ
る）。
【００４９】（７）ユーザ装置Ｕは受け取ったｓ′に対
し解凍部１０７で以下の値を計算する。 ｓj ＝Ｕnblind（ＰCP，ｓ′，ｗk'） （８） ユーザＵは、（ｓj ，ＰB i ，ＭCP j ，Ｘk'，Ｙk'，ｃ
j,k'）を新しい証明書セットＣＳj として保管する。Ｘ
k'はＥprob（ｅCH ，ＩＤB ，ｒj ）に対応、Ｙk'はＥ
ID（ＩＤB ，ｒ′j ）に対応する。これらは、ＣＳy と
ｕk'、ｖk'から容易に計算できる。ｃj,k'はｃj に対応
する。
【００５０】つまりＣＳy 中のＩＤB の確率的暗号とＩ
ＤB の確率的符号とｅCH，ｕk'，ｖ k'をそれぞれ用いて
暗号文変換部１０８、符号変換部１０９でそれぞれ以下
の変換を行ってＸk'，Ｙk'を求める。 Ｘk'＝Convcrypt （ｅCH，Ｅprob（ｅCH，ＩＤB ，ｒy ），ｕk'） ＝Ｅprob（ｅCH，ＩＤB ，ｒj ） Ｙk'＝ConvID（ＥID（ＩＤB ，ｒ′y ），ｖk'）＝ＥID
（ＩＤB ，ｒ′j ） なおユーザ装置Ｕの各部に対する順次制御などは制御部
１０２が行わせる。同様にブラックボックス装置Ｂ、証
明書発行装置ＣＰにおいてはそれぞれ制御部２０１，３
０９が各部の制御を行う。証明書提示プロトコル 証明書の提示及び利用のプロトコルは以下のようにな
る。ここでは、利用する証明書セットをＣＳj （利用条
件の鍵はＰB i ）とし、またこの証明書発行装置の公開
鍵をＰCPとしている。ＰCPは公開情報であるから、資源
管理装置ＲＭは既知であるとする。
【００５１】（１）ユーザ装置Ｕは証明書セットＣＳj
を資源管理装置ＲＭに送る。 （２）資源管理装置ＲＭは受け取った証明書ＣＳj に対
して、以下の三つの検証を行う。これらは順不同であ
る。・以下の式が成り立つことを確認する。 Verify（ＰCP，ｇK （ＰB i ‖ｃj ）‖Ｅprob（ｅCH ，ＩＤB ，ｒj ）‖ ＥID（ＩＤB ，ｒ′j ）‖ＭCP j ，ｓj ）＝１ （９） この検証に成功すると、資源管理装置ＲＭは『公開鍵Ｐ
B i と対応した秘密鍵ＳB i を持った存在（ブラックボ
ックス装置Ｂ）つまりブラックボックス装置Ｂを持った
ユーザについて、証明書発行装置ＣＰは証明事項ＭCP j
を保証している』ことを納得する。
【００５２】・既存の公開鍵署名を利用した認証手順を
用いて、ユーザ側（すなわちブラックボックス装置Ｂ）
が公開鍵ＰB i に対応した秘密鍵ＳB i を保持している
ことを確認する。この通信はユーザ装置Ｕを仲立ちとし
て行われる。・『無効証明書リスト』及び『無効Ｂリス
ト』を用いて、ＣＳj が無効となっていないかを調べ
る。
【００５３】この具体的な検証方法は後述する。つまり
資源管理装置ＲＭでは、図８に示すように、受信したＣ
Ｓj 中のＰB iとｃj を一方向性関数部４０１に入力し
て、その結合に対し一方向性ハッシュ関数演算を行い、
その演算結果ｇK （ＰB i ‖ｃj ）と、ＣＳj 中のＩＤ
B の暗号文とＩＤB の符号と、証明事項ＭCP j と署名ｓ
j と、メモリ４０２よりの証明書発行装置ＣＰの公開鍵
ＰCPを署名検証部４０３に入力して、式（９）が成立つ
かの署名検証演算を行う。また検証者側の公開鍵認証部
４０４により、ユーザ装置Ｕを介してブラックボックス
装置Ｂの証明者側の公開鍵認証部２１１と通信をしてブ
ラックボックス装置ＢがＳB i を保持していることを確
認する。更に格納部４０５に格納された無効証明書リス
ト及び格納部４０６に格納された無効ブラックボックス
リストを参照してＣＳj が無効でないことを確認部４０
７で確認する。各部の制御は制御部４０８により行われ
る。証明書の無効化 証明書を発行した証明書発行装置ＣＰは、証明書の発行
時に保存した情報（ｓ′とＷk'）を用いて、ユーザに配
布した証明書を無効とすることができる。
【００５４】証明書発行装置ＣＰは、無効としたい証明
書の情報（ｓ′とＷk'）を裁判装置ＣＨに送る。裁判装
置ＣＨはメモリ５０１（図９）内の自分の秘密鍵ｄCHを
用いて、Ｗk'＝Ｅprob（ｅCH，ｗk'，ｘk'）からｗk'を
確率的復号化部５０２で取り出す。証明書発行時に実際
にユーザ装置が受け取った署名情報（封筒の中身）は、
ｓj ＝Ｕnblind（ＰCP，ｓ′，ｗk'）となるので、裁判
装置ＣＨはこのｓj を解決部５０３でｓ′に対しブライ
ンド解決関数演算を行って求め、これを無効証明書リス
ト格納部５０４に登録する。
【００５５】証明書発行装置ＣＰや資源管理装置ＲＭ
は、ユーザ装置Ｕから提示された証明書セットの有効性
を確かめるために、提示された証明書セットに含まれる
ｓj が、裁判所によって公開された無効証明書リストに
登録されていないかを照合部３０３ａ，４０７ａ（図
７，図８）で確かめる。ｓj が登録されていた場合、そ
の証明書セットは無効である。ユーザの無力化 裁判装置ＣＨは、必要に応じて特定ユーザに対して発行
された全ての証明書を同時に無効とし、ユーザの無力化
を行うことができる。このためには、裁判装置は、該当
ユーザに対して発行された証明書を最低一枚入手しなけ
ればならない。その証明書の入手は例えば警察の指名手
配によりなされる。
【００５６】裁判装置は、無力化したいユーザの装置に
対して発行された証明書セットに含まれる情報Ｅ
prob（ｅCH，ＩＤB ，ｒj ）より、自分の秘密鍵ｄCHを
用いて、確率的復号化部５０５で復号化演算してユーザ
（Ｕ）の持つブラックボックス装置Ｂの識別子ＩＤB を
導出する。裁判所は、この識別子ＩＤB を無効Ｂリスト
格納部５０６に登録する。裁判装置ＣＨの各部に対する
制御は制御部５０７で行う。
【００５７】証明書発行装置ＣＰや資源管理装置ＲＭ
は、ユーザ装置Ｕから提示された証明書の有効性を確か
めるために、提示された証明書セットに含まれるＥ
ID（ＩＤB，ｒ′j ）が、裁判所によって公開された無
効Ｂリストに登録されている各々のＩＤB と対応してい
ないかを確認する。具体的には、無効Ｂリストに登録さ
れている全てのＩＤB k （０＜ｋ＜Ｎ，Ｎは登録総数）
に対して、次の式が成り立つことを確率的判定関数部３
０３ｂ，４０７ｂ（図７，図８）で確認する。
【００５８】 ＤID（ＩＤB k ，ＥID（ＩＤB ，ｒ′j ））＝０（全てのｋ：０＜ｋ＜Ｎに ついて） （１０） この検証に一度でも失敗すれば、ユーザから示された証
明書は無効であると判断する。安全パラメータＮCP この発明において、計算の複雑性から生じる仮定（公開
鍵から秘密鍵の導出が不可能であることなど）や、シス
テム管理に対する仮定（ＣＰの鍵が直接盗まれることは
ない、Ｂの秘密鍵が漏れることはないなど）が完璧に満
たされるのならば、安全パラメータＮCPは常に１で十分
である。この場合、証明書獲得プロトコルは適切に簡略
化できる。ｋ＝ｋ′＝１は常に成り立ち、手順（４）や
手順（５）で証明書発行者装置ＣＰ側からユーザ装置Ｕ
側に問い合わせを行っている部分、及び手順（６）など
でｋ≠ｋ′となるｋに対して情報の確認を行っている部
分は全て省略できる。また、ＮCP＝１の場合、証明書構
成要素のｃj 及び関数ｇKの一方向性も必要ない。この
場合の手順を図１０に示す。
【００５９】２以上のＮCPが有用になるのは、上記の仮
定が破られた場合においてである。この場合において、
ＭCP j やＥprob（ｅCH，ＩＤB ，ｒj ）、ＥID（Ｉ
ＤB ，ｒ′j ）が偽造された証明書が発行される確率を
１／ＮCPとしている。また同時に、このような不正を行
おうとしたユーザＵ（Ｂ）を発見する確率は、（ＮCP−
１）／ＮCPである。
【００６０】ＮCPの値は、その証明書発行装置ＣＰが発
行する権利の内容によって適切に定める必要がある。例
えば『この人は大統領である』ことを保証する証明書を
発行する証明書発行装置ＣＰではＮCP＞１０，０００程
度必要かもしれないが、『この人は、野球を観るのが好
きだ』ということを保証する証明書を発行する証明書発
行装置ＣＰではＮCP＝１として、簡略化したプロトコル
を利用してもよい。適用例 この発明の適用可能分野は、非常に幅広い。ここでは、
代表的な適用例のみを簡単に説明する。既存の個人認証の置き換え 現在用いられているほとんど全ての認証機構は、この発
明方法に置き換えることができる。名前など個人識別子
とパスワードを用いたシステムや、公開鍵を用いたシス
テムなどのこの発明システムへの移行は非常に容易であ
る。
【００６１】このようにすることで、正規ユーザ（Ｂを
持つ人物）しか利用を許さない強固な認証システムを容
易に実現できる。例えば、既存のパスワードを利用した
認証システムでは、正規の利用者がパスワードを他人に
「教える」ことによって、不当に権利を分配することも
可能であるが、この発明ではブラックボックス装置とユ
ーザ装置は一体不可分であるからこのようなことは不可
能である。
【００６２】また、この発明では、資源管理装置にとっ
ては「権利を持っているという情報しか獲得できない」
という特徴があり、利用者にとっては「権利を持ってい
るという情報しか与えない」という大きな特徴がある。
この発明のシステムを用いて、現在実現されていない種
々のサービスを実現することができる。以下は、そのサ
ービス例のほんの一部である。ソフトウェアの無制限配布と利用権オンライン販売 ソフトウェア会社が証明書発行装置ＣＰを運営し、この
会社が製作するソフトウェアには全て、この発明システ
ムの認証系を組み込むことにする。この場合、各ソフト
ウェアは各々資源管理装置ＲＭに対応し、ソフトウェア
会社は、利用料金を支払ったユーザのみにその利用券と
なる証明書を発行する。
【００６３】ソフトウェア会社は、ソフトウェアをネッ
トワークや雑誌の付録ＣＤ−ＲＯＭ等の媒体を通して無
制限に配布できる。またその利用券となる証明書は、電
子ネットワーク等を通して販売することができる。この
手法では、商品の享受をめぐるほとんど全ての処理を、
電子ネットワーク上で実現できる。ソフトウェア自身の
コピーはそもそも問題にならず、また、この発明システ
ムの証明書の性質より、ソフトウェアを利用できるの
は、ソフトウェア会社から利用券を購入した正規ユーザ
のみであることが保証される。コミュニティへの応用 電子掲示板のような、不特定多数の人々が交流を行う場
を考える。このような場において、参加者である個々の
人々は自分の名前を公にしたくない場合が多い（名前を
公表すると、実社会において危害が加わる可能性が高く
なる。ストーカー行為など）。
【００６４】しかし、会話の相手の素性が全くわからな
いと、会話を行う上で不都合が起こることも十分に考え
られる。自分が会話をしているのは、いったいどういう
人物であるか、男性か女性か、社会的に認められている
のか、年代はどの位かなど。このような情報は、個人を
特定するために利用するには漠然としすぎている。従っ
て、会話を行う全ての人が、これらの情報を公開するこ
とに同意することも多いだろう。
【００６５】だが、これまでのシステムでは、利用者に
よって申告された年齢や性別が、本当に正しい値となっ
ているかどうかを確かめることは極めて難しかった。し
かしこの発明システムでは、これらのことは可能かつ容
易である。これは、利用者のプライバシ（匿名性）を守
りつつ、利用者の権利（特徴）を保証する一つの例であ
る。
【００６６】先にも述べたが、証明書を無効とする処理
を行わない場合は、証明書発行装置ＣＰで、証明書発行
の際に、署名情報ｓ′、暗号文Ｗ又はＷk'を保存してお
く必要はない。従って、この場合は、ブラックボックス
装置Ｂあるいはユーザ装置Ｕでの暗号文Ｗ又はＷk は省
略される。また証明書発行装置ＣＰ、資源管理装置ＲＭ
において、送られた証明書ＣＳy ，ＣＳj が無効である
かのチェックは省略してもよい。暗号文Ｗ又はＷk'の生
成はブラックボックス装置Ｂではなく、ユーザ装置Ｕ
が、ブラックボックス装置Ｂから、Ｚ，ｓB ，ｕ，ｖ，
ｗを受信した際にユーザ装置Ｕで生成してもよい。
【００６７】
【発明の効果】以上述べたようにこの発明によれば、正
当な秘密鍵ＳB i を備えたブラックボックス装置をもつ
ユーザに対して証明書を発行し、資源管理装置は証明書
の利用条件の公開鍵ＰB i と対応する秘密鍵ＳB i を備
えたブラックボックス装置Ｂをユーザがもっていること
のチェックを行ってその権利証明書を持っているユーザ
が証明書の証明事項の権利を有していることのみ確認で
き、ユーザの個人情報は資源管理装置に漏洩することは
ない。従ってユーザの行動履歴の全貌を把握することは
できない。
【００６８】この発明はこのように匿名性が非常に強い
ので、不正を行うと、その本人の追求が困難になるが、
その不正の証明書を無効としたり、その不正の証明書を
もつユーザ（ブラックボックス装置）を無効とすること
ができる。つまり不正に対する対処を行うことができ
る。
【図面の簡単な説明】
【図１】権利証明書の構成要素例を示す図。
【図２】ユーザプロファイルの構成例を示す図。
【図３】証明書発行時及び証明書利用時の通信モデルを
示す図。
【図４】この発明における証明書発行手順の例を示す
図。
【図５】ユーザ装置の機能構成例を示す図。
【図６】ブラックボックス装置の機能構成例を示す図。
【図７】証明書発行装置の機能構成例を示す図。
【図８】資源管理装置の機能構成例を示す図。
【図９】裁判所装置の機能構成例を示す図。
【図１０】この発明の他の実施例の手順を示す図。
【図１１】この発明が対象としている世界モデルを示す
図。
フロントページの続き (51)Int.Cl.7 識別記号 ＦＩ テーマコート゛(参考） Ｇ０６Ｆ 15/21 ３４０Ｚ Ｆターム(参考） 2C005 HA03 HB03 JB33 JB40 5B017 AA07 BA05 BA07 CA09 CA14 CA15 CA16 5B049 AA05 BB11 BB31 BB46 CC16 CC39 DD04 DD05 EE03 EE23 EE28 FF08 FF09 GG06 GG07 GG10 5B058 KA11 KA35 YA20 5J104 AA09 JA21 LA03 LA08 NA35 PA10

Claims (50)

    【特許請求の範囲】
  1. 【請求項１】 ユーザ装置がブラックボックス装置と証
    明書発行装置とに結合され、ブラックボックス装置には
    誰にも引き出すことができない秘密鍵を記憶したメモリ
    を備え、 証明書発行時に、ユーザ装置は既存の権利証明書ＣＳy
    の鍵番号ｙ′又は公開鍵ＰB y'、ブラックボックス装置
    の識別子ＩＤB の確率的暗号文、ＩＤB の確率的符号、
    証明書発行装置の公開鍵ＰCP 、発行される権利証明書
    ＣＳj の利用条件とする鍵番号ｉ又は公開鍵ＰB i 、証
    明書ＣＳj の証明事項ＭCP j 、裁判所公開鍵ｅCHをブラ
    ックボックス装置へ送り、 ブラックボックス装置は受信した上記確率的暗号文を変
    換した暗号文Ｘと、上記確率的符号を変換した符号Ｙを
    作り、これら変換暗号文Ｘと変換符号Ｙと公開鍵ＰB i
    と証明事項ＭCP j をブラインド関数演算して演算結果Ｚ
    を求め、ＩＤBの確率的暗号文と、ＩＤB の確率的符号
    と、証明事項ＭCP j と、演算結果Ｚに対し秘密鍵ＳB y'
    を用いて署名して署名情報ｓB を作り、上記各変換、上
    記ブラインド関数演算に用いた乱数ｕ，ｖ，ｗと上記演
    算結果Ｚ、署名情報ｓB をユーザ装置へ送り、 ユーザ装置は受信したＺ，ｓB と権利証明書ＣＳy を証
    明書発行装置へ送り、 証明書発行装置はＣＳy 中の署名情報ｓy の正当性を検
    証し、また署名情報ｓ B が秘密鍵ＳB y'を用いた署名情
    報であることを検証し、これらの検証に合格すれば、証
    明書発行装置の秘密鍵で演算結果Ｚをブラインド署名
    し、その署名情報ｓ′をユーザ装置へ送り、 ユーザ装置は署名情報ｓ′に対しブラインド解凍関数演
    算して署名情報ｓj を得、乱数ｕを用いてＩＤB に対す
    る確率的暗号文を変換して暗号文Ｘを求め、乱数ｖを用
    いてＩＤB に対する確率的符号を変換して符号Ｙを求
    め、ｓj ，Ｘ，Ｙ，ＰB i ，ＭCP j を発行された権利証
    明書ＣＳj とすることを特徴とする権利証明書実現方
    法。
  2. 【請求項２】 ブラックボックス装置は、上記Ｚを求め
    る際に用いた乱数ｗを確率的暗号化した暗号文Ｗを求
    め、その暗号文Ｗを、上記秘密鍵ＳB y'を用いる署名の
    対象に加え、その暗号文Ｗと、これを作る際に用いた乱
    数ｘもユーザ装置へ送り、 ユーザ装置は受信した暗号文Ｗも証明書発行装置へ送
    り、証明書発行装置は受信した暗号文Ｗと上記署名情報
    ｓ′を保存しておくことを特徴とする請求項１記載の権
    利証明書実現方法。
  3. 【請求項３】 ユーザ装置はブラックボックス装置から
    ｕ，ｖ，ｗとＺ，ｓ B を受信すると、そのｗに対する確
    率的暗号化を行って暗号文Ｗを求め、このＷも証明書発
    行装置へ送り、証明書発行装置では受信した暗号文Ｗと
    上記署名情報ｓ′を保存しておくことを特徴とする請求
    項１記載の権利証明書実現方法。
  4. 【請求項４】 ユーザ装置はブラックボックス装置へ安
    全性のパラメータＮ CPも送り、 ブラックボックス装置は乱数ｕ，ｖ，ｗとしてそれぞれ
    ＮCP個の乱数ｕk ，ｖ k ，ｗk （ｋ＝１，２，…，
    ＮCP）を生成し、変換暗号文Ｘ、変換符号Ｙとして各Ｎ
    CP個の変換暗号文Ｘk 、変換符号Ｙk を求め、ＮCP個の
    乱数ｃj,k を生成し、ｃj,k と公開鍵ＰB i の結合に対
    し、一方向性関数演算を行い、その演算結果ｇK （ＰB
    i ‖ｃj,k ）を、上記Ｚを求める際にＰB i の代りに用
    いてＮCP個のＺk を求め、ユーザ装置にはＺk ，ｕk ，
    ｖk ，ｗk ，ｃj,k を送り、 ユーザ装置は全てのＺk とｓB ，ＣＳy を証明書発行装
    置へ送り、 証明書発行装置では前記検証の全てに合格すれば０＜
    ｋ′＜ＮCPなるｋ′を選んでユーザ装置へ送り、 ユーザ装置はｋ≠ｋ′となる全てのｋについてｇK （Ｐ
    B i ‖ｃj,k ）を生成し、これらと、ｋ≠ｋ′なる全て
    の乱数ｕk ，ｖk ，ｗk とを証明書発行装置へ送り、 証明書発行装置では受信したｇK （ＰB i ‖ｃj,k ），
    ｕk ，ｖk ，ｗk とＣＳj を用いて先に受信したｋ≠
    ｋ′なる全てのＺk がブラックボックス装置で作られた
    と同様に作成されたことを確認し、この確認の全てに合
    格することを上記署名情報ｓ′の作成の条件とし、ｓ′
    の作成にはＺk'を用い、 ユーザ装置での証明書ＣＳj におけるＸ及びＹの作成に
    はそれぞれｕk'，ｖk'を用い、かつｃj,k をＣＳj の一
    要素とすることを特徴とする請求項１記載の権利証明書
    実現方法。
  5. 【請求項５】 ブラックボックス装置は上記演算結果Ｚ
    k を求める際に用いた乱数ｗk を確率的暗号化した暗号
    文Ｗk を求め、その全ての暗号文Ｗk を、署名情報ｓB
    を求める際の対象文書に加え、かつ全てのＷk 、その暗
    号化に用いた全ての乱数ｘk もユーザ装置へ送り、 ユーザ装置は全てのＷk も証明書発行装置へ送り、また
    ｋ≠ｋ′なる全てのｘ k を証明書発行装置へ送り、 証明書発行装置は受信したＷk についてもブラックボッ
    クス装置で作られたと同様に作成されたことを確認し、
    この全ての確認に合格することを上記署名情報ｓ′の作
    成の条件とし、かつｓ′とＷk'を保存しておくことを特
    徴とする請求項４記載の権利証明書実現方法。
  6. 【請求項６】 ユーザ装置はｕk ，ｖk ，ｗk とＺk ，
    ｓB を受信するとそのｗk に対する確率的暗号化を行っ
    て暗号文Ｗk を求め、この全てのＷk も証明書発行装置
    へ送り、またＷk を求める際に用いたｘk 中のｋ≠ｋ′
    なる全てを証明書発行装置へ送り、 証明書発行装置は受信したＷk についてもユーザ装置で
    作られたと同様に作成されたことを確認し、この全ての
    確認に合格することを上記署名情報ｓ′の作成の条件と
    し、かつｓ′とＷk'を保存しておくことを特徴とする請
    求項４記載の権利証明書実現方法。
  7. 【請求項７】 証明書発行装置は、上記署名情報ｓy の
    正当性を検証する際に、受信したＣＳy 中の確率的符号
    を無効ブラックボックスリスト中の全てのブラックボッ
    クス装置識別子ＩＤB について確率的判定関数を実行し
    て無効であるか否かを調べ、有効であることを証明書発
    行の条件とすることを特徴とする請求項１乃至６の何れ
    かに記載の権利証明書実現方法。
  8. 【請求項８】 証明書発行装置は、受信したＣＳy が無
    効証明書リストを参照して無効であるか否かを調べ、有
    効であることを証明書発行の条件とすることを特徴とす
    る請求項１乃至７の何れかに記載の権利証明書実現方
    法。
  9. 【請求項９】 証明書発行装置は無効としたい権利証明
    書について証明書発行時に保存した署名情報ｓ′と確率
    的暗号文を裁判装置へ送り、 裁判装置は、裁判装置の秘密鍵で確率的暗号文を復号化
    して乱数を取出し、その乱数と証明書発行装置の公開鍵
    を用いて署名情報ｓ′に対しブラインド解凍関数演算を
    行って署名情報ｓj を求め、このｓj を無効証明書リス
    トに登録し、その無効証明書リストを各証明書発行装置
    及び各資源管理装置へ配布することを特徴とする請求項
    ２、３、５又は６記載の権利証明書実現方法。
  10. 【請求項１０】 無力化したいユーザ装置に対して発行
    された権利証明書を裁判装置に入力し、 裁判装置はその権利証明書中のＩＤB に対する確率的暗
    号文を裁判装置の秘密鍵を用いて復号化してブラックボ
    ックス装置の識別子ＩＤB を導出し、そのＩＤ B を無効
    ブラックボックスリストに登録し、その無効ブラックボ
    ックスリストを各証明書発行装置、各資源管理装置に配
    布することを特徴とする請求項１乃至９の何れかに記載
    の権利証明書実現方法。
  11. 【請求項１１】 ユーザ装置から権利証明書ＣＳj を資
    源管理装置に送り、 資源管理装置は権利証明書ＣＳj 中のブラックボックス
    装置の公開鍵ＰB i と、ブラックボックス装置の識別子
    ＩＤB に対する確率的暗号文と、ＩＤB に対する確率的
    符号と、証明事項と、署名情報ｓj に対し、証明書発行
    装置の公開鍵Ｐ CPを用いて署名検証を行い、 またブラックボックス装置が公開鍵ＰB i に対応した秘
    密鍵ＳB i を保持していることをユーザ装置を仲立ちと
    した公開鍵署名を利用した認証手順により確認し、 これらの検証及び確認に合格すると、権利証明書ＣＳj
    が正しいものであると認めることを特徴とする権利証明
    書実現方法。
  12. 【請求項１２】 権利証明書ＣＳj が、無効となってい
    るか否かを、無効証明書リスト及び無効ブラックボック
    スリストを用いて調べ、無効となっていない場合に、権
    利証明書ＣＳj が正しいものであるとすることを特徴と
    する請求項１１記載の権利証明書実現方法。
  13. 【請求項１３】 ブラックボックス装置と結合され、証
    明書発行装置から権利証明書を発行してもらうユーザ装
    置であって、 既に発行された権利証明書と、証明書発行装置の公開鍵
    ＰCP、裁判装置の公開鍵ｅCHなどを記憶し、また受信デ
    ータを一時蓄積するメモリと、 利用する権利証明書ＣＳy の番号ｙ′や発行する権利証
    明書の利用条件となるブラックボックス装置の公開鍵番
    号などを入力する入力操作手段と、 上記既発行の権利証明書ＣＳy の鍵番号ｙ′又は公開鍵
    ＰB y'、証明書利用条件となる公開鍵番号ｉ又は公開鍵
    ＰB i 、上記既発行権利証明書ＣＳy 中のブラックボッ
    クス装置の識別子ＩＤB に対する確率的暗号文、ＩＤB
    の確率的符号、証明書発行装置の公開鍵ＰCP、裁判装置
    の公開鍵ｅCH、証明書ＣＳj の証明事項ＭCP j をブラッ
    クボックス装置へ送信する手段と、 ブラックボックス装置からブラインド関数演算結果Ｚ、
    署名情報ｓB 、乱数ｕ，ｖ，ｗを受信する手段と、 上記ブラインド関数演算結果Ｚ、署名情報ｓB 、上記既
    発行権利証明書ＣＳyを証明書発行装置へ送信する手段
    と、 証明書発行装置からブラインド署名情報ｓ′を受信する
    手段と、 受信したブラインド署名情報ｓ′に対し、乱数ｗ、公開
    鍵ＰCPでブラインド解凍関数演算を行って署名情報ｓj
    を得る手段と、 上記証明書ＣＳy のＩＤB の確率的暗号文に対し、公開
    鍵ｅCH、乱数ｕを用いて確率的暗号文変換を行って変換
    暗号文Ｘ′を求める手段と、 上記証明書ＣＳy のＩＤB の確率的符号に対し、乱数ｖ
    を用いて確率的符号変換を行って符号Ｙ′を求める手段
    と、 上記署名情報ｓj 、上記公開鍵ＰB i 、上記証明事項Ｍ
    CP j 、上記暗号文Ｘ′、上記符号Ｙ′にて上記権利証明
    書ＣＳj を構成する手段と、 上記各手段を制御させる制御手段とを具備するユーザ装
    置。
  14. 【請求項１４】 ブラックボックス装置から確率的暗号
    文Ｗとその生成に用いた乱数ｘを受信する手段と、 上記暗号文Ｗを証明書発行装置へ送信する手段と、 を具備することを特徴とする請求項１３記載のユーザ装
    置。
  15. 【請求項１５】 乱数ｘを生成する手段と、 上記受信したｗを公開鍵ｅCHと乱数ｘを用いて確率的暗
    号化して暗号文Ｗを生成する手段と、 暗号文Ｗを証明書発行装置へ送信する手段と、 を具備することを特徴とする請求項１３記載のユーザ装
    置。
  16. 【請求項１６】 安全パラメータＮCPをブラックボック
    ス装置へ送る手段と、 上記ブラインド関数演算結果Ｚ（暗号文Ｗ）、乱数ｕ，
    ｖ，ｗ，ｘはそれぞれＺk ，Ｗk ，ｕk ，ｖk ，ｗ
    k （ｘk ）（ｋ＝１，２，…，ＮCP）としてＮCP個用い
    られ、 証明書発行装置からｋ′（０＜ｋ′＜ＮCP）を受信する
    手段と、 ｋ≠ｋ′となる全てのｃj,k （証明書のＣＳj の構成要
    素の１つ）と公開鍵Ｐ B i を結合したものに対し一方向
    性関数演算を行う手段と、 上記一方向性関数演算結果ｇK （ＰB i ‖ｃj,k ）とｋ
    ≠ｋ′となる全ての乱数ｕk ，ｖk ，ｗk （ｘk ）を証
    明書発行装置へ送る手段とを備え、 上記Ｘ′，Ｙ′の演算にそれぞれｕ，ｖとしてｕk'，ｖ
    k'が用いられることを特徴とする請求項１４又は１５記
    載のユーザ装置。
  17. 【請求項１７】 証明書発行装置に権利証明書を発行し
    てもらうユーザ装置ごとに設けられるブラックボックス
    装置であって、 ブラックボックス装置の秘密鍵と公開鍵を格納したメモ
    リと、 証明事項ＭCP j 、権利証明書ＣＳj の使用条件となる鍵
    番号ｉ又は公開鍵ＰB i 、既発行の権利証明書ＣＳy の
    鍵番号ｙ′又は公開鍵ＰB y'、証明書ＣＳy のブラック
    ボックス装置の識別子ＩＤB の確率的暗号文、ＩＤB の
    確率的符号、裁判装置の公開鍵ｅCH、証明書発行装置の
    公開鍵ＰCPを受信する手段と、 乱数ｕ，ｖ，ｗを生成する手段と、 乱数ｕ、公開鍵ｅCHを用いて上記ＩＤB の確率的暗号文
    を変換して暗号文Ｘを得る変換手段と、 乱数ｖを用いて上記ＩＤB の確率的符号を変換して符号
    Ｙを得る手段と、 上記暗号文Ｘ、上記符号Ｙ、上記公開鍵ＰB i 、上記証
    明事項ＭCP j に対し、上記公開鍵ＰCP、乱数ｗを用いて
    ブラインド関数演算を行って演算結果Ｚを得る手段と、 上記演算結果Ｚ、上記ＩＤB の確率的暗号文、上記ＩＤ
    B の確率的符号、上記証明事項ＭCP j に対し、ブラック
    ボックス装置の秘密鍵ＳB i を用いて署名を行って署名
    情報ｓB を得る手段と、 上記演算結果Ｚ、乱数ｕ，ｖ，ｗ、署名情報ｓB をユー
    ザ装置へ送る手段と、 秘密鍵ＳB i を持っていることを認証するための証明者
    側の公開鍵認証手段と、 上記各部を制御する制御手段と、 を具備するブラックボックス装置。
  18. 【請求項１８】 乱数ｘを生成する手段と、 乱数ｗに対し、公開鍵ｅCH、乱数ｘを用いて確率的暗号
    化して暗号文Ｗを生成する手段と、 を備え、上記秘密鍵ＳB i による署名対象に上記暗号文
    Ｗが加えられ、 上記ユーザ装置への送信に上記乱数ｘと暗号文Ｗが加え
    られていることを特徴とする請求項１７記載のブラック
    ボックス装置。
  19. 【請求項１９】 安全パラメータＮCPをユーザ装置から
    受信する手段と、 乱数ｕ，ｖ，ｗはそれぞれｕk ，ｖk ，ｗk （ｋ＝１，
    ２，…，ＮCP）としてのＮCP個とされ、かつ暗号文Ｘ、
    符号Ｙ、演算結果ＺがそれぞれＸk ，Ｙk ，Ｚ k として
    ＮCP個とされ、 乱数ｃj,k を生成する手段と、 上記乱数ｃj,k をユーザ装置へ送る手段と、 公開鍵ＰB i と乱数ｃj,k を結合して一方向性関数演算
    を行う手段とを備え、 上記一方向性関数演算の結果ｇK （ＰB i ‖ｃj,k ）が
    上記ブラインド関数演算におけるＰB i として用いられ
    ることを特徴とする請求項１７記載のブラックボックス
    装置。
  20. 【請求項２０】 安全パラメータＮCPをユーザ装置から
    受信する手段と、 乱数ｕ，ｖ，ｗ，ｘはそれぞれｕk ，ｖk ，ｗk ，ｘk
    のＮCP個とされ、かつ暗号文Ｘ、符号Ｙ、演算結果Ｚ、
    暗号文ＷがそれぞれＸk ，Ｙk ，Ｚk ，Ｗk のＮCP個と
    され、 乱数ｃj,k を生成する手段と、 上記乱数ｃj,k をユーザ装置へ送る手段と、 公開鍵ＰB i と乱数ｃj,k を結合して一方向性関数演算
    を行う手段とを備え、 上記一方向性関数演算の結果ｇK （ＰB i ‖ｃj,k ）が
    上記ブラインド関数演算におけるＰB i として用いられ
    ることを特徴とする請求項１８記載のブラックボックス
    装置。
  21. 【請求項２１】 ユーザ装置からの依頼により権利証明
    書を発行する証明書発行装置であって、 証明書発行装置の秘密鍵ＳCP、公開鍵ＰCP、ブラックボ
    ックス装置の公開鍵Ｐ B y'、裁判装置の公開鍵ｅCHなど
    を格納かつ受信データを一時蓄積するメモリと、 ユーザ装置から、ブラインド関数演算結果Ｚ、署名情報
    ｓB 、既発行権利証明書ＣＳy を受信する手段と、 受信した権利証明書ＣＳy が正当なものであるかを公開
    鍵を用いて署名検証関数を演算して検証する手段と、 署名情報ｓB が秘密鍵ＳB y'によりなされたものである
    ことを公開鍵ＰB y'を用いて検証する手段と、 これらの検証に共に合格すれば演算結果Ｚに対し、秘密
    鍵ＳCPを用いて署名関数演算を行って署名情報ｓ′を得
    る手段と、 署名情報ｓ′をユーザ装置へ送る手段と、 上記各部を制御する制御手段とを具備する証明書発行装
    置。
  22. 【請求項２２】 ユーザ装置から確率的暗号文Ｗを受信
    する手段と、 上記暗号文Ｗと、上記署名情報ｓ′を保存する手段とを
    具備することを特徴とする請求項２１記載の証明書発行
    装置。
  23. 【請求項２３】 上記演算結果ＺはＺk （ｋ＝１，２，
    …，ＮCP）のＮCP個用いられ、 上記両検証に合格すると０＜ｋ′＜ＮCPなる任意のｋ′
    を選択してユーザ装置へ送る手段と、 ユーザ装置から、ｋ≠ｋ′となる乱数ｕk ，ｖk ，
    ｗk 、一方向性関数演算結果ｇK （ＰB i ‖ｃj,k ）の
    全てを受信する手段と、 上記ｕk ，ｖk ，ｗk と上記権利証明書ＣＳy 、上記ｇ
    K （ＰB i ‖ｃj,k ）を用いて、受信した演算結果Ｚk
    が全て（ｋ≠ｋ′を除く）正しいものであることを確認
    する手段と、 その確認に全て合格することを上記署名関数演算を行う
    条件とする手段とを備え、上記ｓ′の作成にはＺk'が用
    いられることを特徴とする請求項２１記載の証明書発行
    装置。
  24. 【請求項２４】 上記演算結果Ｚ、上記暗号文Ｗは
    Ｚk ，Ｗk （ｋ＝１，２ ，…，ＮCP）のＮCP個用いられ、上記両検証に合格する
    と０＜ｋ′＜ＮCPなる任意のｋ′を選択してユーザ装置
    へ送る手段と、 ユーザ装置から、ｋ≠ｋ′となる乱数ｕk ，ｖk ，
    ｗk ，ｘk 、一方向性関数演算結果ｇK （ＰB i ‖ｃ
    j,k ）の全てを受信する手段と、 上記ｕk ，ｖk ，ｗk と上記権利証明書ＣＳy 、上記ｇ
    K （ＰB i ‖ｃj,k ）を用いて受信した演算結果Ｚk が
    全て（ｋ≠ｋ′を除く）正しいものであることを確認す
    る手段と、 上記ｗk ，ｘk 、公開鍵ｅCHを用いて受信した暗号文Ｗ
    k が全て（ｋ≠ｋ′を除く）正しいものであることを確
    認する手段と、 これら両確認に全て合格することを上記署名関数演算を
    行う条件とする手段と、 上記署名情報ｓ′と暗号文Ｗk'を保存する手段とを具備
    し、上記ｓ′の作成にはＺk'が用いられることを特徴と
    する請求項２２記載の証明書発行装置。
  25. 【請求項２５】 無効ブラックボックスＩＤB のリスト
    を格納する手段と、 受信した権利証明書ＣＳy 中のＩＤB の確率的符号と、
    上記無効ブラックボックスＩＤB のリストの各ＩＤB の
    全てについて確率的判定関数演算を行い、無効ＩＤB と
    一致するか否かの判定を行う手段と、 この判定で全て一致しないことを上記署名関数演算を行
    う条件とする手段とを備えることを特徴とする請求項２
    １乃至２４の何れかに記載の証明書発行装置。
  26. 【請求項２６】 無効証明書の署名情報ｓj のリストを
    格納する手段と、 受信した権利証明書ＣＳy 中の署名情報ｓy と上記無効
    証明書の署名情報のリストの各署名情報の全てと照合す
    る手段と、 その照合で全て一致しないことを上記署名関数演算を行
    う条件とする手段とを備えることを特徴とする請求項２
    １乃至２５の何れかに記載の証明書発行装置。
  27. 【請求項２７】 ユーザ装置から送られた権利証明書を
    検証する資源管理装置であって、 証明書発行装置の公開鍵ＰCPなどを格納するメモリと、 ユーザ装置から権利証明書ＣＳj を受信する手段と、 受信した権利証明書ＣＳj と公開鍵ＰCPを用いて署名検
    証関数演算を行ってＣＳj の正当性を検証する手段と、 権利証明書ＣＳj 中の公開鍵ＰB i と対応する秘密鍵Ｓ
    B i がユーザ装置のブラックボックス装置にあることを
    ユーザ装置を介してブラックボックス装置と通信して認
    証する検証者側の公開鍵認証手段と、 各部を制御する制御手段と、 を具備する資源管理装置。
  28. 【請求項２８】 無効ブラックボックスＩＤB のリスト
    を格納する手段と、 受信した権利証明書ＣＳj 中のＩＤB の確率的符号と、
    上記無効ブラックボックスＩＤB のリストの各ＩＤB の
    全てとについて確率的判定関数演算を行い、無効ＩＤB
    と一致するか否かの判定を行う手段と、 この判定で一つでも一致したものがあれば上記権利証明
    書ＣＳj を無効とする手段とを備えることを特徴とする
    請求項２７記載の資源管理装置。
  29. 【請求項２９】 無効証明書の署名情報ｓj のリストを
    格納する手段と、 受信した権利証明書ＣＳj 中の署名情報ｓj と、上記無
    効証明書の署名情報のリストの各署名情報の全てと照合
    する手段と、 その照合で１つでも一致したものがあれば上記証明書Ｃ
    Ｓj を無効とする手段とを備えることを特徴とする請求
    項２７又は２８記載の資源管理装置。
  30. 【請求項３０】 権利証明書を無効とすることができる
    裁判装置であって、 裁判装置の秘密鍵ｄCHなどを格納するメモリと、 無効とされるべきユーザの少なくとも１つの権利証明書
    ＣＳj を受信する手段と、 上記権利証明書ＣＳj 中のブラックボックス装置の識別
    子ＩＤB に対する確率的符号を秘密鍵ｄCHで確率的復号
    化してＩＤB を得る手段と、 この得られたＩＤB が格納される無効ブラックボックス
    リスト格納手段と、 上記無効ブラックボックスリストを各証明書発行装置と
    各資源管理装置に配布する手段と、 上記各部を制御する制御手段と、 を具備する裁判装置。
  31. 【請求項３１】 証明書発行装置から、ブラインド署名
    情報ｓ′、その攪乱乱数を確率的暗号化した暗号文Ｗを
    受信する手段と、 上記暗号文Ｗを秘密鍵ｄCHで確率的復号化して乱数ｗを
    得る手段と、 上記乱数ｗ及び証明書発行装置の公開鍵ＰCPを用いて上
    記署名情報ｓ′にブラインド解凍関数演算を行って署名
    情報ｓj を得る手段と、 上記署名情報ｓj が格納される無効証明書リスト格納手
    段と、 上記無効証明書リストを各証明書発行装置と、各資源管
    理装置へ配布する手段と、 を具備する請求項３０記載の裁判装置。
  32. 【請求項３２】 ブラックボックス装置と結合され、証
    明書発行装置から権利証明書を発行してもらうユーザ装
    置に用いられ、 既発行の権利証明書ＣＳy の鍵番号ｙ′又は公開鍵ＰB
    y'、証明書利用条件となる公開鍵番号ｉ又は公開鍵ＰB
    i 、上記既発行権利証明書ＣＳy 中のブラックボックス
    装置の識別子ＩＤB に対する確率的暗号文、ＩＤB の確
    率的符号、証明書発行装置の公開鍵ＰCP、裁判装置の公
    開鍵ｅCH、証明書ＣＳj の証明事項ＭCP j をブラックボ
    ックス装置へ送信する処理と、 ブラックボックス装置からブラインド関数演算結果Ｚ、
    署名情報ｓB 、乱数ｕ，ｖ，ｗを受信する処理と、 上記ブラインド関数演算結果Ｚ、署名情報ｓB 、上記既
    発行権利証明書ＣＳyを証明書発行装置へ送信する処理
    と、 証明書発行装置からブラインド署名情報ｓ′を受信する
    処理と、 受信したブラインド署名情報ｓ′に対し、乱数ｗ、公開
    鍵ＰCPでブラインド解凍関数演算を行って署名情報ｓj
    を得る処理と、 上記証明書ＣＳy のＩＤB の確率的暗号文に対し、公開
    鍵ｅCH、乱数ｕを用いて確率的暗号文変換を行って変換
    暗号文Ｘ′を求める処理と、 上記証明書ＣＳy のＩＤB の確率的符号に対し、乱数ｖ
    を用いて確率的符号変換を行って符号Ｙ′を求める処理
    と、 上記署名情報ｓj 、上記公開鍵ＰB i 、上記証明事項Ｍ
    CP j 、上記暗号文Ｘ′、上記符号Ｙ′にて上記権利証明
    書ＣＳj を構成する処理と、 をコンピュータに実行させるプログラムを記録した記録
    媒体。
  33. 【請求項３３】 ブラックボックス装置から確率的暗号
    文Ｗとその生成に用いた乱数ｘを受信する処理と、 上記暗号文Ｗを証明書発行装置へ送信する処理と、 を上記コンピュータに実行させるプログラムを記録した
    請求項３２記載の記録媒体。
  34. 【請求項３４】 乱数ｘを生成する処理と、 上記受信したｗを公開鍵ｅCHと乱数ｘを用いて確率的暗
    号化して暗号文Ｗを生成する処理と、 暗号文Ｗを証明書発行装置へ送信する処理と、 を上記コンピュータに実行させるプログラムを記録した
    請求項３２記載の記録媒体。
  35. 【請求項３５】 安全パラメータＮCPをブラックボック
    ス装置へ送る処理と、 上記ブラインド関数演算結果Ｚ（暗号文Ｗ）、乱数ｕ，
    ｖ，ｗ，ｘをそれぞれＺk ，Ｗk ，ｕk ，ｖk ，ｗ
    k （ｘk ）（ｋ＝１，２，…，ＮCP）としてＮCP個用い
    る処理と、 証明書発行装置からｋ′（０＜ｋ′＜ＮCP）を受信する
    処理と、 ｋ≠ｋ′となる全てのｃj,k （証明書のＣＳj の構成要
    素の１つ）と公開鍵Ｐ B i を結合したものに対し一方向
    性関数演算を行う処理と、 上記一方向性関数演算結果ｇK （ＰB i ‖ｃj,k ）とｋ
    ≠ｋ′となる全ての乱数ｕk ，ｖk ，ｗk （ｘk ）を証
    明書発行装置へ送る処理と、 上記Ｘ′，Ｙ′の演算にそれぞれｕ，ｖとしてｕk'，ｖ
    k'を用いる処理とを上記コンピュータに実行させる請求
    項３３又は３４記載の記録媒体。
  36. 【請求項３６】 証明書発行装置に権利証明書を発行し
    てもらうユーザ装置ごとに設けられるブラックボックス
    装置に用いられ、 証明事項ＭCP j 、権利証明書ＣＳj の使用条件となる鍵
    番号ｉ又は公開鍵ＰB i 、既発行の権利証明書ＣＳy の
    鍵番号ｙ′又は公開鍵ＰB y'、証明書ＣＳy のブラック
    ボックス装置の識別子ＩＤB の確率的暗号文、ＩＤB の
    確率的符号、裁判装置の公開鍵ｅCH、証明書発行装置の
    公開鍵ＰCPを受信する処理と、 乱数ｕ，ｖ，ｗを生成する処理と、 乱数ｕ、公開鍵ｅCHを用いて上記ＩＤB の確率的暗号文
    を変換して暗号文Ｘを得る処理と、 乱数ｖを用いて上記ＩＤB の確率的符号を変換して符号
    Ｙを得る処理と、 上記暗号文Ｘ、上記符号Ｙ、上記公開鍵ＰB i 、上記証
    明事項ＭCP j に対し、上記公開鍵ＰCP、乱数ｗを用いて
    ブラインド関数演算を行って演算結果Ｚを得る処理と、 上記演算結果Ｚ、上記ＩＤB の確率的暗号文、上記ＩＤ
    B の確率的符号、上記証明事項ＭCP j に対し、ブラック
    ボックス装置の秘密鍵ＳB i を用いて署名を行って署名
    情報ｓB を得る処理と、 上記演算結果Ｚ、乱数ｕ，ｖ，ｗ、署名情報ｓB をユー
    ザ装置へ送る手段と、秘密鍵ＳB i を持っていることを
    認証するための証明者側の公開鍵認証を行う処理とをコ
    ンピュータに実行させるプログラムを記録した記録媒
    体。
  37. 【請求項３７】 乱数ｘを生成する処理と、 乱数ｗに対し、公開鍵ｅCH、乱数ｘを用いて確率的暗号
    化して暗号文Ｗを生成する処理と、 上記秘密鍵ＳB i による署名対象に上記暗号文Ｗを加え
    る処理と、 上記ユーザ装置への送信に上記乱数ｘと暗号文Ｗを加え
    る処理とを上記コンピュータに実行させるプログラムを
    記録した請求項３６記載の記録媒体。
  38. 【請求項３８】 安全パラメータＮCPをユーザ装置から
    受信する処理と、 乱数ｕ，ｖ，ｗをそれぞれｕk ，ｖk ，ｗk （ｋ＝１，
    ２，…，ＮCP）としてのＮCP個とし、かつ暗号文Ｘ、符
    号Ｙ、演算結果ＺをそれぞれＸk ，Ｙk ，Ｚkとしての
    ＮCP個とする処理と、 乱数ｃj,k を生成する処理と、 上記乱数ｃj,k をユーザ装置へ送る処理と、 公開鍵ＰB i と乱数ｃj,k を結合して一方向性関数演算
    を行う処理と、 上記一方向性関数演算の結果ｇK （ＰB i ‖ｃj,k ）を
    上記ブラインド関数演算におけるＰB i として用いる処
    理とを、 上記コンピュータに実行させるプログラムを記録した請
    求項３６記載の記録媒体。
  39. 【請求項３９】 安全パラメータＮCPをユーザ装置から
    受信する処理と、 乱数ｕ，ｖ，ｗ，ｘをそれぞれｕk ，ｖk ，ｗk ，ｘk
    のＮCP個とし、かつ暗号文Ｘ、符号Ｙ、演算結果Ｚ、暗
    号文ＷをそれぞれＸk ，Ｙk ，Ｚk ，Ｗk のＮ CP個とす
    る処理と、 乱数ｃj,k を生成する処理と、 上記乱数ｃj,k をユーザ装置へ送る処理と、 公開鍵ＰB i と乱数ｃj,k を結合して一方向性関数演算
    を行う処理と、 上記一方向性関数演算の結果ｇK （ＰB i ‖ｃj,k ）を
    上記ブラインド関数演算におけるＰB i として用いる処
    理とを、 上記コンピュータに実行させるプログラムを記録した請
    求項３７記載の記録媒体。
  40. 【請求項４０】 ユーザ装置からの依頼により権利証明
    書を発行する証明書発行装置に用いられ、 ユーザ装置から、ブラインド関数演算結果Ｚ、署名情報
    ｓB 、既発行権利証明書ＣＳy を受信する処理と、 受信した権利証明書ＣＳy が正当なものであるかを公開
    鍵を用いて署名検証関数を演算して検証する処理と、 署名情報ｓB が秘密鍵ＳB y'によりなされたものである
    ことを公開鍵ＰB y'を用いて検証する処理と、 これらの検証に共に合格すれば演算結果Ｚに対し、秘密
    鍵ＳCPを用いて署名関数演算を行って署名情報ｓ′を得
    る処理と、 署名情報ｓ′をユーザ装置へ送る処理と、 をコンピュータに実行させるプログラムを記録した記録
    媒体。
  41. 【請求項４１】 ユーザ装置から確率的暗号文Ｗを受信
    する処理と、 上記暗号文Ｗと、上記署名情報ｓ′を保存する処理とを
    上記コンピュータに実行させるプログラムを記録した請
    求項４０記載の記録媒体。
  42. 【請求項４２】 上記演算結果ＺをＺk （ｋ＝１，２，
    …，ＮCP）のＮCP個用いる処理と、 上記両検証に合格すると０＜ｋ′＜ＮCPなる任意のｋ′
    を選択してユーザ装置へ送る処理と、 ユーザ装置から、ｋ≠ｋ′とする乱数ｕk ，ｖk ，
    ｗk 、一方向性関数演算結果ｇK （ＰB i ‖ｃj,k ）の
    全てを受信する処理と、 上記ｕk ，ｖk ，ｗk と上記権利証明書ＣＳy 、上記ｇ
    K （ＰB i ‖ｃj,k ）を用いて、受信した演算結果Ｚk
    が全て（ｋ≠ｋ′を除く）正しいものであることを確認
    する処理と、 その確認に全て合格することを上記署名関数演算を行う
    条件とする処理と、上記ｓ′の作成にＺk'を用いる処理
    とを上記コンピュータに実行させるプログラムを記録し
    た請求項４０記載の記録媒体。
  43. 【請求項４３】 上記演算結果Ｚ、上記暗号文Ｗを
    Ｚk ，Ｗk （ｋ＝１，２，…，ＮCP）のＮCP個用いる処
    理と、 上記両検証に合格すると０＜ｋ′＜ＮCPなる任意のｋ′
    を選択してユーザ装置へ送る処理と、 ユーザ装置から、ｋ≠ｋ′となる乱数ｕk ，ｖk ，
    ｗk ，ｘk 、一方向性関数演算結果ｇK （ＰB i ‖ｃ
    j,k ）の全てを受信する処理と、 上記ｕk ，ｖk ，ｗk と上記権利証明書ＣＳy 、上記ｇ
    K （ＰB i ‖ｃj,k ）を用いて受信した演算結果Ｚk が
    全て（ｋ≠ｋ′を除く）正しいものであることを確認す
    る処理と、 上記ｗk ，ｘk 、公開鍵ｅCHを用いて受信した暗号文Ｗ
    k が全て（ｋ≠ｋ′を除く）正しいものであることを確
    認する処理と、 これら両確認に全て合格することを上記署名関数演算を
    行う条件とする処理と、 上記署名情報ｓ′と暗号文Ｗk'を保存する処理と、 上記ｓ′の作成にＺk'を用いる処理とを上記コンピュー
    タに実行させるプログラムを記録した請求項４１記載の
    記録媒体。
  44. 【請求項４４】 無効ブラックボックスＩＤB のリスト
    を格納する処理と、 受信した権利証明書ＣＳy 中のＩＤB の確率的符号と、
    上記無効ブラックボックスＩＤB のリストの各ＩＤB の
    全てとについて確率的判定関数演算を行い、無効ＩＤB
    と一致するか否かの判定を行う処理と、 この判定で全て一致しないことを上記署名関数演算を行
    う条件とする処理とを上記コンピュータに実行させるプ
    ログラムを記録した請求項４０乃至４３の何れかに記載
    の記録媒体。
  45. 【請求項４５】 無効証明書の署名情報ｓj のリストを
    格納する処理と、 受信した権利証明書ＣＳy 中の署名情報ｓy と上記無効
    証明書の署名情報のリストの各署名情報の全てと照合す
    る処理と、 その照合で全て一致しないことを上記署名関数演算を行
    う条件とする処理とを上記コンピュータに実行させるプ
    ログラムを記録した請求項４０乃至４４の何れかに記載
    の記録媒体。
  46. 【請求項４６】 ユーザ装置から送られた権利証明書を
    検証する資源管理装置に用いられ、 ユーザ装置から権利証明書ＣＳj を受信する処理と、 受信した権利証明書ＣＳj と公開鍵ＰCPを用いて署名検
    証関数演算を行ってＣＳj の正当性を検証する処理と、 権利証明書ＣＳj 中の公開鍵ＰB i と対応する秘密鍵Ｓ
    B i がユーザ装置のブラックボックス装置にあること
    を、ユーザ装置を介してブラックボックス装置と通信し
    て認証する検証者側の公開鍵認証を行う処理と、 をコンピュータに実行させるプログラムを記録した記録
    媒体。
  47. 【請求項４７】 無効ブラックボックスＩＤB のリスト
    を格納する処理と、 受信した権利証明書ＣＳj 中のＩＤB の確率的符号と、
    上記無効ブラックボックスＩＤB のリストの各ＩＤB の
    全てとについて確率的判定関数演算を行い、無効ＩＤB
    と一致するか否かの判定を行う処理と、 この判定で一つでも一致したものがあれば上記権利証明
    書ＣＳj を無効とする処理とを上記コンピュータに実行
    させるプログラムを記録した請求項４６記載の記録媒
    体。
  48. 【請求項４８】 無効証明書の署名情報ｓj のリストを
    格納する処理と、 受信した権利証明書ＣＳj 中の署名情報ｓj と、上記無
    効証明書の署名情報のリストの各署名情報の全てと照合
    する処理と、 その照合で１つでも一致したものがあれば上記証明書Ｃ
    Ｓj を無効とする処理とを上記コンピュータに実行させ
    るプログラムを記録した請求項４６又は４７記載の記録
    媒体。
  49. 【請求項４９】 権利証明書を無効とすることができる
    裁判装置に用いられ、 無効とされるべきユーザの少なくとも１つの権利証明書
    ＣＳj を受信する処理と、 上記権利証明書ＣＳj 中のブラックボックス装置の識別
    子ＩＤB に対する確率的符号を秘密鍵ｄCHで確率的復号
    化してＩＤB を得る処理と、 この得られたＩＤB を無効ブラックボックスリスト格納
    手段に登録する処理と、 上記無効ブラックボックスリストを各証明書発行装置と
    各資源管理装置に配布する処理と、 をコンピュータに実行させるプログラムを記録した記録
    媒体。
  50. 【請求項５０】 証明書発行装置から、ブラインド署名
    情報ｓ′、その攪乱乱数を確率的符号化した暗号文Ｗを
    受信する処理と、 上記暗号文Ｗを秘密鍵ｄCHで確率的復号化して乱数ｗを
    得る処理と、 上記乱数ｗ及び証明書発行装置の公開鍵ＰCPを用いて上
    記署名情報ｓ′にブラインド解凍関数演算を行って署名
    情報ｓj を得る処理と、 上記署名情報ｓj を無効証明書リスト格納手段に登録す
    る処理と、 上記無効証明書リストを各証明書発行装置と、各資源管
    理装置の配布する処理と、 を上記コンピュータに実行させるプログラムを記録した
    請求項４９記載の記録媒体。
JP11137220A 1999-05-18 1999-05-18 権利証明書実現方法、その装置、及びそのプログラム記録媒体 Pending JP2000331073A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP11137220A JP2000331073A (ja) 1999-05-18 1999-05-18 権利証明書実現方法、その装置、及びそのプログラム記録媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP11137220A JP2000331073A (ja) 1999-05-18 1999-05-18 権利証明書実現方法、その装置、及びそのプログラム記録媒体

Publications (1)

Publication Number Publication Date
JP2000331073A true JP2000331073A (ja) 2000-11-30

Family

ID=15193602

Family Applications (1)

Application Number Title Priority Date Filing Date
JP11137220A Pending JP2000331073A (ja) 1999-05-18 1999-05-18 権利証明書実現方法、その装置、及びそのプログラム記録媒体

Country Status (1)

Country Link
JP (1) JP2000331073A (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010504670A (ja) * 2006-09-23 2010-02-12 西安西▲電▼捷通▲無▼▲綫▼▲網▼絡通信有限公司 公開鍵証明書状態の取得および確認方法
US7730314B2 (en) 2004-10-19 2010-06-01 Samsung Electronics Co., Ltd. Method and apparatus for electronic commerce using digital ticket to provide anonymity

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7730314B2 (en) 2004-10-19 2010-06-01 Samsung Electronics Co., Ltd. Method and apparatus for electronic commerce using digital ticket to provide anonymity
JP2010504670A (ja) * 2006-09-23 2010-02-12 西安西▲電▼捷通▲無▼▲綫▼▲網▼絡通信有限公司 公開鍵証明書状態の取得および確認方法

Similar Documents

Publication Publication Date Title
JP3791131B2 (ja) 電子チケットシステム
JP2020145733A (ja) 信頼できるアイデンティティを管理する方法
Jakobsson et al. Revokable and versatile electronic money
US7028180B1 (en) System and method for usage of a role certificate in encryption and as a seal, digital stamp, and signature
US6148404A (en) Authentication system using authentication information valid one-time
Kou Payment technologies for E-commerce
US20090164796A1 (en) Anonymous biometric tokens
JPH11506222A (ja) マルチステップディジタル署名方法およびそのシステム
JPH09500977A (ja) 制限付きブラインド署名
CN1989731A (zh) 使用一次性私钥执行数字签名的系统和方法
Qiu et al. A new offiine privacy protecting E-cash system with revokable anonymity
US7222362B1 (en) Non-transferable anonymous credentials
CN103858377A (zh) 用于管理和控制来自组织成结构化集合的不同身份域的数据的方法
Impagliazzo et al. Anonymous credentials with biometrically-enforced non-transferability
US7356842B2 (en) Cryptographic revocation method using a chip card
US11539519B2 (en) Privacy solutions for cyber space
Deswarte et al. A Proposal for a Privacy-preserving National Identity Card.
Wang et al. A consumer scalable anonymity payment scheme with role based access control
US20240013170A1 (en) Method for secure, traceable and privacy-preserving digital currency transfer with anonymity revocation on a distributed ledger
Noam et al. Realizing privacy aspects in blockchain networks
JPH096236A (ja) 公開鍵暗号の鍵生成・証明書発行方法及びそのシステム
JP7222436B2 (ja) 保証制御方法、情報処理装置および保証制御プログラム
JP3804245B2 (ja) 電子チケットシステム
JPH11205306A (ja) 認証装置および認証方法
JP2000331073A (ja) 権利証明書実現方法、その装置、及びそのプログラム記録媒体

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20050329

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20050719