JP2001101316A

JP2001101316A - 電子入札方法、デジタル署名方法及び記録媒体並びに情報証明方法

Info

Publication number: JP2001101316A
Application number: JP2000207445A
Authority: JP
Inventors: Koichi Sakurai; 幸一櫻井; Shingo Miyazaki; 真悟宮崎
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1999-07-23
Filing date: 2000-07-07
Publication date: 2001-04-13
Anticipated expiration: 2020-07-07
Also published as: JP3860396B2

Abstract

(57)【要約】【課題】入札者のプライバシを保護し談合を防止し依
頼者利益を保護する。【解決手段】電子的な通信経路を介してオークション
を行う電子入札方法において、その選択した入札金額情
報を暗号化して入札者装置からオークション主催者装置
に送信する入札ステップ（ｓ５）と、すべての入札者装
置が暗号化された入札金額情報を送信した後に、選択可
能な最高若しくは最低入札金額から金額を指定し、オー
クション主催者装置から入札者装置に対し指定金額で入
札したか否かを確認するとともに、指定金額で入札した
ことが何れかの入札者装置から確認されるまで当該指定
金額を順次下げ若しくは上げていく確認ステップ（ｓ
６）と、確認ステップにおいて、指定金額で入札が確認
された場合には当該入札者装置からの入札で落札する落
札決定ステップ（ｓ６）とを有する電子入札方法、デジ
タル署名方法及び記録媒体並びに情報証明方法。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は電子入札方法、デ
ジタル署名方法及びそれらのシステムにおいて用いられ
るプログラムを格納する記録媒体並びに情報証明方法に
関するものである。

【０００２】

【従来の技術】オークション・セールは、公開の場で、
買い手が相互に競ってある品物を入手する方法であり、
資本主義社会の経済原則である自由競争の原理にもっと
も適合している。近年の計算機通信技術の発達により、
このオークション・セールを計算機ネットワークで実現
させることが可能になっている。

【０００３】しかしながら、オークション・セールは、
買い手主導の仕組みであるため、対象の値打ちを買い手
で判断・決定することができる反面、落札価格を操作す
るような談合の問題を有している。

【０００４】電子的にオークション・セールを行うため
のシステム（以下、電子入札システムという。なお、電
子入札システムは、デジタル署名システムの一例であ
る。）においても、談合の問題を回避する必要がある。
そこで、今村らは匿名通信路を仮定し参加者を明らかに
しないような方式（今村幸宏，松本勉，今井秀樹，”電
子匿名入札方法，”SCIS94-11B,1994）を提案してい
る。この方式では不特定多数の競争入札において、応札
者が参加者リストから談合集団を形成する機会を未然に
防ぐことができる。これにより、競争原理を働き易く
し、入札の開催を依頼した売り手の利益を保護する（依
頼者利益の保護）、また入札の匿名性により、応札者の
戦略や入札額の限界といったプライバシに関する情報を
漏らさないという条件も満たしている（応札者のプライ
バシ保護）。

【０００５】しかし、中西らは、今村らの方式では最高
額の入札者が名乗りでないという入札否認によって落札
価格を操作する不正を指摘した。そこで、中西らは談合
によるこの不正を技術的に防止するため、入札否認が不
可能な電子入札方式を提案した（中西透，渡辺創，藤原
融，嵩忠雄，”否認不可署名を用いた匿名入札プロトコ
ル，”SCIS95-B1.4,1995）。彼らは否認不可署名を用い
て、談合による落札価格の操作を行えないようにしてい
る。これにより、公平な自由競争を実現している。ただ
し、今村らの方式も中西らの方式も、匿名通信路（匿名
放送型ネットワーク）という仮定に基づくものである。

【０００６】一方、工藤は時間管理機関を設けた入札方
式（M.Kudo, "Secure electronic sealed-bid auction
protocol with public key cryptography," IEICE Tran
s,Fundamentals,Vol.E81-A(1),pp,20-27,January 199
8）を提案している。この方式では、オークション主催
者は入札金額しか知ることができない。しかし、売り手
と結託することによって全ての入札者と入札金額との関
係を把握することができる。このように入札の匿名性に
より応札者のプライバシを保護する方式では、匿名通信
路や機関の信頼性といった仮定に基づいている。

【０００７】一方、菊池と中西は秘密分散法を用いて、
入札者（応札者）のプライバシを保護する方式（菊池浩
明，中西祥八郎，”利用者登録の不要な匿名オークショ
ン，”コンピュータセキュリティシンポジウム '98,pp.
243-248,1998.）を提案している。彼らの提案は、数論
的テクニックを用いて、落札者以外の入札値が一切露呈
しない入札方式である。この方式では、入札者の識別情
報を秘密分散により複数のオークション主催者に分散し
て配布する。開示・落札時には、複数の主催者により、
最大金額を付けた入札者の識別情報のみが復元される仕
組みになっている。ただし、入札者の識別情報の組み合
わせを計算することが容易い場合、入札額の秘匿性が失
われる危険性がある。

【０００８】

【発明が解決しようとする課題】このように、従来の電
子入札方法では、匿名通信路を用いることや入札機関が
信頼性できるという仮定を考慮しなければ、談合を防止
し、また、入札者のプライバシを保護することができな
い。また、秘密分散法を用いた場合でも必ずしも入札者
プライバシ保護は完全ではない。さらに、匿名通信路や
秘密分散法を用いる電子入札システムでは、システム全
体が複雑化し、実装を容易にすることが困難である。な
お、これらの事情は電子入札システムに限らず、デジタ
ル署名システムでも同様である。

【０００９】本発明は、このような実情を考慮してなさ
れたもので、その第１の目的は、入札者や署名者のプラ
イバシを保護し談合を防止して依頼者利益を保護するこ
とができる電子入札方法、デジタル署名方法及び記録媒
体を提供することにある。

【００１０】また、第２の目的は、プライバシ保護及び
談合防止を図りつつ、入札機関並びに第一検証者装置の
信頼性や匿名通信路といった仮定には依存せずに、一般
的な暗号技術のみでシステム構築可能として実装を容易
にすることができる電子入札方法、デジタル署名方法及
び記録媒体を提供することにある。

【００１１】さらに、第３の目的は、複数の選択情報が
ある場合に、その何れを選択したかを、当該選択内容を
開示することなく証明することを可能とした情報証明方
法を提供することにある。

【００１２】

【課題を解決するための手段】上記課題を解決するため
になされた第１の発明は、電子的な通信経路を介し、入
札者装置とオークション主催者装置との間で情報を送受
信することによりオークションを行う電子入札方法につ
いてなされたものである。

【００１３】本発明にて、まず、入札ステップにおい
て、選択的な入札金額のうち何れかを選択し、その選択
した入札金額情報を暗号化して入札者装置からオークシ
ョン主催者装置に送信する。

【００１４】次に、確認ステップにおいて、すべての入
札者装置が暗号化された入札金額情報を送信した後に、
選択可能な最高若しくは最低入札金額から金額を指定
し、オークション主催者装置から入札者装置に対し指定
金額で入札したか否かを確認する。さらに、指定金額で
入札したことが何れかの入札者装置から確認されるまで
当該指定金額を順次下げ若しくは上げていく。

【００１５】そして、落札決定ステップにおいて、確認
ステップにて、指定金額で入札した入札者装置が確認さ
れた場合には当該入札者装置からの入札で落札するよう
決定する。

【００１６】したがって、入札者のプライバシを保護し
談合を防止して依頼者利益を保護することができ、入札
機関の信頼性や匿名通信路といった仮定には依存せず
に、一般的な暗号技術のみでシステム構築可能として実
装を容易にすることができる。

【００１７】次に、課題解決のための第２の発明は、上
記第１の発明の電子入札方法において、入札ステップに
おいては、暗号化入札金額情報を、非暗号化状態の入札
金額を非添付とした否認不可署名として送付するととも
に、確認ステップにおいては、否認不可署名に含まれる
離散対数の等価・非等価を証明することにより指定金額
での入札有無を確認する。

【００１８】したがって、入札者の発信する情報の秘匿
性が強化され、この結果、プライバシ保護や談合防止が
一層強化される。

【００１９】次に、課題解決のための第３の発明は、上
記第１の発明の電子入札方法において、前記落札決定ス
テップにおいては、落札決定した後に、その落札された
暗号化入札金額情報を復号して確認可能な状態とする電
子入札方法である。したがって、第三者は、落札後にそ
の落札金額を確認することができる。

【００２０】次に、課題解決のための第４の発明は、上
記第１の発明の電子入札方法において、前記入札ステッ
プにおいては、前記選択した入札金額情報を各々暗号化
して互いに異なる第１及び第２の暗号化入札金額情報を
作成するステップと、前記第１の暗号化入札金額情報を
オークション主催者装置に送信すると共に、入札者装置
の属するグループの秘密鍵と前記第２の暗号化入札金額
情報とを用いたグループ署名を当該入札者装置からオー
クション主催者装置に送信するグループ署名送信ステッ
プとを含み、前記選択決定ステップにおいては、落札決
定した後に、前記グループ署名内の第２の暗号化入札金
額情報に含まれる入札金額情報を他の入札者装置から確
認可能な状態とする。

【００２１】従って、グループ署名を用いたことによ
り、落札決定した後に、当該入札者装置に関する公開鍵
等の情報を漏らさずに、他の入札者装置にその落札金額
を確認させることができる。

【００２２】次に、課題解決のための第５の発明は、上
記第４の発明の電子入札方法において、前記入札ステッ
プにおいては、入札者装置が前記オークション主催者装
置にとって未知のデータを当該未知のデータ自身を変数
に用いた暗号化により暗号化未知データに変換し、この
暗号化未知データを用いて前記第１の暗号化入札金額情
報を作成する第１の秘匿ステップと、当該入札者装置が
前記未知のデータを用いて前記第２の暗号化入札金額情
報を作成する第２の秘匿ステップとを含み、前記確認ス
テップにおいては、前記指定金額での入札を確認する際
に、入札者装置が前記未知のデータを前記オークション
主催者装置に送信するステップと、この未知のデータを
用いて前記オークション主催者装置が第１の暗号化入札
金額情報に含まれる入札金額情報を確認するステップ
と、当該未知データを用いて前記オークション主催者装
置が前記グループ署名内の第２の暗号化入札金額情報に
含まれる入札金額情報を確認するステップとを含んでい
る。

【００２３】従って、未知のデータによる第１及び第２
の秘匿ステップを用いたことにより、悪意のオークショ
ン主催者装置による総当り的な攻撃アルゴリズムの適用
を阻止することができる。

【００２４】次に、課題解決のための第６の発明は、上
記第１の発明の電子入札方法において、入札者装置が送
信した暗号化入札金額情報を公開的な電子掲示板装置に
掲示する入札公開ステップを有する。

【００２５】また、確認ステップにおいては、入札者装
置からの当該暗号化入札金額情報が前記電子掲示板装置
にすべて掲示された後に、指定金額の指定が開始され
る。

【００２６】さらに、落札決定ステップにおいては、落
札決定した後に、その落札された暗号化入札金額情報を
復号して前記電子掲示板装置に掲示する。

【００２７】次に、課題解決のための第７の発明は、上
記第６の発明の電子入札方法において、入札ステップに
おいては、暗号化入札金額情報を、非暗号化状態の入札
金額を非添付とした否認不可署名として送付するととも
に、確認ステップは、否認不可署名に含まれる離散対数
の等価・非等価を証明することにより指定金額での入札
有無を確認すると共に、落札決定した後に、その落札さ
れた暗号化入札金額情報を否認不可署名からデジタル署
名に変換して電子掲示板装置に掲示する。

【００２８】次に、課題解決のための第８の発明は、上
記第７の発明の電子入札方法において、確認ステップ開
始前に、電子掲示板装置に掲示された自己の暗号化入札
金額情報が正しいか否かを各入札者装置に確認させ、当
該情報が正しい場合にはその確認のデジタル署名を入札
者装置に送信させる入札情報確認ステップを有する。

【００２９】次に、課題解決のための第９の発明は、上
記第８の発明の電子入札方法において、入札情報確認ス
テップにおいては、署名に用いる鍵を、オークション主
催者装置から与えられ、かつ複数の入札者装置にて共通
して使用される鍵とする。

【００３０】次に、課題解決のための第１０の発明は、
電子的な通信経路を介し、入札者装置とオークション主
催者装置との間で情報を送受信することによりオークシ
ョンを行う電子入札システムにおける主催者装置を制御
するプログラムを格納する記録媒体についてなされたも
のである。この記録媒体に格納されたプログラムは、次
の手段としてコンピュータを機能させる。

【００３１】すなわちまず、選択的な入札金額を提示さ
せるとともに、入札者装置が選択しかつ暗号化した入札
金額情報を受信する入札手段として機能させる。

【００３２】また、すべての暗号化入札金額情報を受信
した後に、選択可能な最高若しくは最低入札金額から金
額を指定させ、入札者装置に対し指定金額で入札したか
否かを確認させる。さらに、指定金額で入札したことが
何れかの入札者装置から確認されるまで当該指定金額を
順次下げさせ若しくは上げさせる。さらに、指定金額で
入札した入札者装置が確認された場合には当該入札者装
置からの入札で落札させる落札手段としてコンピュータ
を機能させる。

【００３３】次に、課題解決のための第１１の発明は、
上記第１０の発明の記録媒体において、入札手段は、暗
号化入札金額情報を、非暗号化状態の入札金額を非添付
とした否認不可署名として受信させるとともに、入札手
段は、否認不可署名に含まれる離散対数の等価・非等価
を証明させることにより指定金額での入札有無を確認さ
せる。

【００３４】次に、課題解決のための第１２の発明は、
上記第１０の発明の記録媒体において、前記入札手段
は、前記入札者装置が選択しかつ各々暗号化した第１及
び第２の暗号化入札金額情報のうち、第１の暗号化入札
金額情報を受信するとともに、第２の暗号化入札金額情
報を含むグループ署名を受信し、前記落札手段は、落札
決定した後に、前記グループ署名内の第２の暗号化入札
金額情報に含まれる入札金額情報を他の入札者装置から
確認可能な状態とする。

【００３５】次に、課題解決のための第１３の発明は、
上記第１２の発明の記録媒体において、前記落札手段
は、前記指定金額での入札を確認する際に、入札者装置
から前記第１及び第２の暗号化入札金額情報の作成に用
いた未知のデータを受信すると、この未知のデータを用
いて第１の暗号化入札金額情報に含まれる入札金額情報
を確認するとともに、当該未知データを用いて前記グル
ープ署名内の第２の暗号化入札金額情報に含まれる入札
金額情報を確認する。

【００３６】次に、課題解決のための第１４の発明は、
電子的な通信経路を介し、入札者装置とオークション主
催者装置との間で情報を送受信することによりオークシ
ョンを行う電子入札システムにおける入札者装置を制御
するプログラムを格納する記録媒体についてなされたも
のである。この記録媒体に格納されたプログラムは、次
の手段としてコンピュータを機能させる。

【００３７】まず、提示された選択的な入札金額のうち
何れかを選択させ、その選択した入札金額情報を暗号化
させてオークション主催者装置に送信させる入札手段と
して機能させる。

【００３８】また、オークション主催者装置から指定金
額で入札したか否かの確認を求められたときに、その確
認に必要な情報を当該主催者装置に送信させる確認手段
としてコンピュータを機能させる。

【００３９】次に、課題解決のための第１５の発明は、
上記第１４の発明の記録媒体において、入札ステップ
は、暗号化入札金額情報を、非暗号化状態の入札金額を
非添付とした否認不可署名として送信させるとともに、
確認手段は、否認不可署名に含まれる離散対数の等価・
非等価を証明させるための情報を送信させる。

【００４０】次に、課題解決のための第１８の発明は、
電子的な通信経路を介し、証明側装置と証明要求装置と
の間で情報を送受信することにより情報証明を行う情報
証明方法についてなされたものである。

【００４１】この方法では、情報提出ステップにおいて
は、選択的な情報のうち何れかを選択し、その選択情報
を非暗号化状態では添付せずかつ否認不可署名に含めて
送信する。

【００４２】また、情報証明ステップにおいては、否認
不可署名に含まれる離散対数の等価・非等価を証明する
ことにより、選択情報を非開示としつつ、ある情報を選
択したか否かを証明する。

【００４３】したがって、複数の選択情報がある場合
に、その何れを選択したかを、当該選択内容を開示する
ことなく証明することができる。

【００４４】次に、課題解決のための第１９の発明は、
電子的な通信経路を介し、入札者装置とオークション主
催者装置との間で情報を送受信することによりオークシ
ョンを行う電子入札方法についてなされたものである。

【００４５】この方法においては、まず、入札者に入札
金額情報の入力を促す。

【００４６】次に、確認段階においては、所定の金額を
指定し、オークション主催者装置から入札者装置に対し
当該指定金額で入力したか否かの確認を促し、入札者装
置から当該指定金額で入力したとの確認がなされない場
合には当該指定金額を変更する。

【００４７】そして、落札決定段階においては、指定金
額で入札した入札者装置が確認された場合には当該入札
者装置からの入札で落札するよう決定する。

【００４８】次に、課題解決のための第２０の発明は、
電子的な通信経路を介し、入札者装置とオークション主
催者装置との間で情報を送受信することによりオークシ
ョンを行う電子入札方法についてなされたものである。

【００４９】この方法においては、まず、入札者に入札
金額情報の入力を促す。

【００５０】次に、確認段階においては、所定の金額を
指定し、オークション主催者装置から入札者装置に対し
当該指定金額で入力したか否かの確認を促し、入札者装
置から当該指定金額で入力したとの確認がなされない場
合には当該指定金額を順次上げ又は順次下げていく。

【００５１】そして、指定金額で入札した入札者装置が
確認された場合には当該入札者装置からの入札で落札す
るよう決定する。

【００５２】次に、課題解決のための第２１の発明は、
第１９又は第２０の発明において、入力を促す段階の後
に、暗号化された入札金額情報を受け付ける段階を有す
る。

【００５３】次に、課題解決のための第２２の発明は、
第２１の発明において、落札決定段階においては、落札
決定した後に、その落札された暗号化入札金額情報を復
号して確認可能な状態とする。

【００５４】次に、課題解決のための第２３の発明は、
電子的な通信経路を介し、署名者装置と第一検証者装置
との間で情報を送受信することにより、前記署名者装置
がメッセージを選択してデジタル署名を行ない、この選
択内容を前記第一検証者装置が確認するデジタル署名方
法についてなされたものである。

【００５５】まず、受付ステップにおいて、選択的なメ
ッセージのうち何れかを選択し、その選択したメッセー
ジ情報を暗号化して署名者装置から第一検証者装置に送
信する。

【００５６】次に、確認ステップにおいて、署名者装置
が暗号化されたメッセージ情報を送信した後に、選択可
能な複数のメッセージのうち、いずれかのメッセージを
指定し、第一検証者装置から署名者装置に対し指定メッ
セージを選択したか否かを確認するとともに、指定メッ
セージを選択したことが何れかの署名者装置から確認さ
れるまで当該指定メッセージを順次、選択可能な他のメ
ッセージに変更していく。

【００５７】また、前記確認ステップにおける選択決定
ステップにおいて、指定メッセージを選択した署名者装
置が確認された場合には当該署名者装置からの選択内容
を確定するよう決定する。

【００５８】従って、署名者のプライバシを保護し談合
を防止して依頼者利益を保護することができ、第一検証
者装置の信頼性や匿名通信路といった仮定には依存せず
に、一般的な暗号技術のみでシステム構築可能として実
装を容易にすることができる。

【００５９】次に、課題解決のための第２４の発明は、
上記第２３の発明のデジタル署名方法において、前記受
付ステップにおいては、暗号化メッセージ情報を、非暗
号化状態のメッセージを非添付とした否認不可署名とし
て送付するとともに、前記確認ステップにおいては、前
記否認不可署名に含まれる離散対数の等価・非等価を証
明することにより指定メッセージの選択有無を確認す
る。

【００６０】従って、署名者の発信する情報の秘匿性が
強化され、この結果、プライバシ保護や談合防止が一層
強化される。

【００６１】次に、課題解決のための第２５の発明は、
上記第２３の発明のデジタル署名方法において、前記選
択決定ステップにおいては、選択内容が確定した後に、
その確定された暗号化メッセージ情報を復号して確認可
能な状態とする。

【００６２】従って、第三者は、選択内容の確定した後
に、その選択されたメッセージを確認することができ
る。

【００６３】次に、課題解決のための第２６の発明は、
上記第２３の発明のデジタル署名方法において、前記受
付ステップにおいては、前記選択したメッセージ情報を
各々暗号化して互いに異なる第１及び第２の暗号化メッ
セージ情報を作成するステップと、前記第１の暗号化メ
ッセージ情報を第一検証者装置に送信すると共に、署名
者装置の属するグループの秘密鍵と前記第２の暗号化メ
ッセージ情報とを用いたグループ署名を当該署名者装置
から第一検証者装置に送信するグループ署名送信ステッ
プとを含み、前記選択決定ステップにおいては、確定し
た後に、前記グループ署名内の第２の暗号化メッセージ
情報に含まれるメッセージ情報を第二検証者装置から確
認可能な状態とする。

【００６４】従って、グループ署名を用いたことによ
り、確定した後に、当該署名者装置に関する公開鍵等の
情報を漏らさずに、第二検証者装置にそのメッセージ情
報を確認させることができる。

【００６５】次に、課題解決のための第２７の発明は、
上記第２３の発明のデジタル署名方法において、前記受
付ステップにおいては、署名者装置が前記第一検証者装
置にとって未知のデータを当該未知のデータ自身を変数
に用いた暗号化により暗号化未知データに変換し、この
暗号化未知データを用いて前記第１の暗号化メッセージ
情報を作成する第１の秘匿ステップと、当該署名者装置
が前記未知のデータを用いて前記第２の暗号化メッセー
ジ情報を作成する第２の秘匿ステップとを含み、前記確
認ステップにおいては、前記指定メッセージの選択を確
認する際に、署名者装置が前記未知のデータを前記第一
検証者装置に送信するステップと、この未知のデータを
用いて前記第一検証者装置が第１の暗号化メッセージ情
報に含まれるメッセージ情報を確認するステップと、当
該未知のデータを用いて前記第一検証者装置が前記グル
ープ署名内の第２の暗号化メッセージ情報に含まれるメ
ッセージ情報を確認するステップとを含んでいる。

【００６６】従って、未知のデータによる第１及び第２
の秘匿ステップを用いたことにより、悪意の第一検証者
装置による総当り的な攻撃アルゴリズムの適用を阻止す
ることができる。

【００６７】次に、課題解決のための第２８の発明は、
電子的な通信経路を介し、署名者装置と第一検証者装置
との間で情報を送受信することにより、前記署名者装置
がメッセージを選択してデジタル署名を行ない、この選
択内容を前記第一検証者装置が確認するデジタル署名シ
ステムに使用されるコンピュータ読取り可能な記録媒体
についてなされたものである。この記録媒体に格納され
たプログラムは、次の各手段として第一検証者装置のコ
ンピュータを機能させる。

【００６８】すなわち、まず、前記第一検証者装置のコ
ンピュータを、選択的なメッセージを提示させるととも
に、前記署名者装置が選択しかつ暗号化したメッセージ
情報を受信する受付手段として機能させる。

【００６９】次に、すべての暗号化メッセージ情報を受
信した後に、選択可能な複数のメッセージのうち、いず
れかのメッセージを指定させ、署名者装置に対し指定メ
ッセージを選択したか否かを確認させるとともに、指定
メッセージを選択したことが何れかの署名者装置から確
認されるまで当該指定メッセージを順次、選択可能な他
のメッセージに変更させ、かつ、前記指定メッセージを
選択した署名者装置が確認された場合には当該署名者装
置からの選択内容を確定させる確認手段として第一検証
者装置のコンピュータを機能させる。

【００７０】次に、課題解決のための第２９の発明は、
上記第２８の発明の記録媒体において、前記受付手段
は、前記暗号化メッセージ情報を、非暗号化状態のメッ
セージを非添付とした否認不可署名として受信させると
ともに、前記確認手段は、前記否認不可署名に含まれる
離散対数の等価・非等価を証明させることにより指定メ
ッセージの選択有無を確認させる。

【００７１】次に、課題解決のための第３０の発明は、
上記第２８の発明の記録媒体において、前記受付手段
は、前記署名者装置が選択しかつ各々暗号化した第１及
び第２の暗号化メッセージ情報のうち、第１の暗号化メ
ッセージ情報を受信するとともに、第２の暗号化メッセ
ージ情報を含むグループ署名を受信し、前記確認手段
は、確定した後に、前記グループ署名内の第２の暗号化
メッセージ情報に含まれるメッセージ情報を第二検証者
装置から確認可能な状態とする。

【００７２】次に、課題解決のための第３１の発明は、
上記第３０の発明の記録媒体において、前記確認手段
は、前記指定メッセージの選択を確認する際に、署名者
装置から前記第１及び第２の暗号化メッセージ情報の作
成に用いた未知のデータを受信すると、この未知のデー
タを用いて第１の暗号化メッセージ情報に含まれるメッ
セージ情報を確認するとともに、当該未知データを用い
て前記グループ署名内の第２の暗号化メッセージ情報に
含まれるメッセージ情報を確認する。

【００７３】次に、課題解決のための第３２の発明は、
電子的な通信経路を介し、署名者装置と第一検証者装置
との間で情報を送受信することにより、前記署名者装置
がメッセージを選択してデジタル署名を行ない、この選
択内容を前記第一検証者装置が確認するデジタル署名シ
ステムに使用されるコンピュータ読取り可能な記録媒体
についてなされたものである。この記録媒体に格納され
たプログラムは、次の各手段として署名者装置のコンピ
ュータを機能させる。

【００７４】すなわち、まず、前記署名者装置のコンピ
ュータを、提示された選択的なメッセージのうち何れか
を選択させ、その選択したメッセージ情報を暗号化させ
て第一検証者装置に送信させる受付手段として機能させ
る。

【００７５】次に、第一検証者装置から指定メッセージ
を選択したか否かの確認を求められたときに、その確認
に必要な情報を当該第一検証者装置に送信させる確認手
段として署名者装置のコンピュータを機能させる。

【００７６】次に、課題解決のための第３３の発明は、
上記第３２の発明の記録媒体において、前記受付手段
は、暗号化メッセージ情報を、非暗号化状態のメッセー
ジを非添付とした否認不可署名として送信させるととも
に、前記確認手段は、前記否認不可署名に含まれる離散
対数の等価・非等価を証明させるための情報を送信させ
る。

【００７７】次に、課題解決のための第３４の発明は、
上記第３２の発明の記録媒体において、前記受付手段
は、前記選択させたメッセージ情報を各々暗号化して互
いに異なる第１及び第２の暗号化メッセージ情報を作成
し、前記第１の暗号化メッセージ情報を第一検証者装置
に送信させると共に、自己の署名者装置の属するグルー
プの秘密鍵と前記第２の暗号化メッセージ情報とを用い
たグループ署名を第一検証者装置に送信させる機能を含
んでいる。

【００７８】次に、課題解決のための第３５の発明は、
上記第３４の発明の記録媒体において、前記受付手段
は、前記第一検証者装置にとって未知のデータを当該未
知のデータ自身を変数に用いた暗号化により暗号化未知
データに変換し、この暗号化未知データを用いて前記第
１の暗号化メッセージ情報を作成する第１の秘匿機能
と、当該未知のデータを用いて前記第２の暗号化メッセ
ージ情報を作成する第２の秘匿機能とを含み、前記確認
手段は、前記指定メッセージを選択した旨を確認させる
際に、前記未知のデータを前記第一検証者装置に送信さ
せる機能を含んでいる。

【００７９】

【発明の実施の形態】以下、本発明の実施の形態につい
て説明する。

【００８０】（発明の第１の実施の形態）まず、本実施
形態の電子入札方法の概略を述べる。本発明では、匿名
通信路といった仮定を必要とせず、従来の暗号テクニッ
クのみでシステム構築する。また、入札・落札の正当性
を全ての応札者が検証できるよう公開掲示板を用いる。
この際、落札値以外の入札額は一切露呈しない。このよ
うなシステムを実現するために、技術的にはMichelsとS
tadlerの否認不可署名方式（M.Michels and M.Stadler,
"Efficient convertible undeniable signature schem
es," Proc.4th Annual Workshop on Selected Areas in
Cryptography,SAC'97,1997.）を応用する。

【００８１】すなわち本実施形態の電子入札方法では、
まず第１の段階において、入札者に暗号化した入札情報
を提出させ、この入札情報を公開掲示板に掲載する。ま
た、入札金額はオークション主催者が予め複数提示した
金額の中から選択するものとする。このように第１段階
において選択的な金額の何れかを入札者に提出させてい
るので、この時点で実質的に落札者が決まっている。か
つ、暗号情報ながらもその入札情報が公開されている。
また、入札情報が暗号化されているために、この時点で
はオークション主催者を含め、誰も真の落札者や落札金
額を知ることができない。したがって、入札否認さえ防
止できれば、不正が確実に防止されることになる。

【００８２】第２の段階では、入札否認を防止しつつ、
入札及び落札情報開示を行う。この段階では、いわゆる
ダッチオークションのように最高（最低）金額から順に
入札者の有無を確認しながら、金額を順次下げて（上げ
て）いく。なお、本方法ではダッチオークションと異な
り、入札処理に入る前に真の落札者は既に決まってい
る。本方法の処理は、決定している落札者を入札否認さ
せることなく確実に確認するものである。この第２の段
階において、本実施形態では上記したMichels−Stadler
法の応用手法が用いられる。

【００８３】そもそもMichels−Stadler法も含め、従来
の否認不可署名方式では、予めメッセージと署名（の一
部）をペアにして検証者に明かすものである。すなわち
否認不可署名はあくまで電子署名の一種であってメッセ
ージ自体を秘密にしようという観点はない。否認不可署
名は、署名者から特定の情報を取得した者のみがメッセ
ージ内容に関する署名確認が行える形式の電子署名であ
る。

【００８４】これに対し、本実施形態では予めメッセー
ジを明かさず、署名をメッセージのビットコミットメン
トとみなす。つまり、上記暗号化された入札情報はこの
ような形式の否認不可署名として提出されている。各入
札者は、否認不可署名の技術を用いることにより、入札
処理において、その金額で入札していないことを入札金
額は明かさずに証明していく。そして、落札時にのみ額
を明かして入札の正当性を証明する。落札者としての容
認後には、入札情報を誰もが検証可能な通常のディジタ
ル署名に変換する。この否認不可署名技術の応用的手法
により、入札額（メッセージ）を秘匿し、同時に否認不
可性の条件を同時に満足することができる。

【００８５】したがって、この電子入札システムにおい
ては、機関の信頼性や匿名通信路といった仮定には依存
せず、従来の暗号テクニックのみでシステム構築できる
こととなる。

【００８６】また、本実施形態では二つの種類の入札モ
デルを考える。一つは、ある商品に対して入札を行い、
最も高値をつけた入札者を落札者とする入札で、これを
“出品入札”と呼ぶ。一般的なオークションのモデルと
して知られているものである。もう一つは、建設工事な
どの仕事に対し、最も低額をつけた入札者を落札者とす
る入札で、これを“請負入札”と呼ぶ。

【００８７】上記説明では、電子入札を２段階に分けて
説明したが、この電子入札方法を実現するには、より具
体的には三つの段階があり、登録プロトコル、入札プロ
トコル、開示・落札プロトコルに分かれている。入札プ
ロトコルでは、参加した入札者が額を秘密にして入札を
行う（上記第１の段階に対応）。ある時刻をもって入札
を終了し、開示・落札プロトコルで最も高値（低値）で
入札した落札者を決定する（上記第２の段階に対応）。

【００８８】以下、本実施形態における具体的な構成及
び処理について説明する。図１は本発明の第１の実施の
形態に係る電子入札方法を適用した電子入札システムの
一例を示す構成図である。この電子入札システムは、イ
ンターネット等の公衆的なネットワーク１にオークショ
ン主催者装置２，公開掲示板装置３，登録機関装置４，
複数の入札者装置５（複数のうち何れかを代表して単に
入札者装置５又は入札者装置５ｊともいう），依頼人装
置６及び監査員装置７が接続されて構成される。ここ
で、ネットワーク１は公衆的なシステムに限られるもの
ではなく、専用回線を用いるものでもよい。また、各装
置２〜７各々は、通信手段を備えた計算機システムであ
り、その制御プログラムにより以下に説明する機能を実
現する。さらに、以下の説明において、装置２〜７を単
にオークション主催者２あるいは主催者２，公開掲示板
３，登録機関４，入札者５，５ｊ，依頼者６及び監査員
７とも呼ぶ。

【００８９】これらの各装置について説明する。図２は
オークション主催者装置の構成例を示すブロック図であ
る。オークション主催者装置２は、依頼人６を集め、オ
ークションを主催する。このために、入札プロトコルに
おける主催者実行部分を実現する入札処理部１１と開示
・落札プロトコルにおける主催者実行部分を実現する開
示落札処理部１２とを備える。また、これらの処理部１
１，１２により公開掲示板３を管理する。

【００９０】入札処理部１１は、依頼人６の出品受付を
行い、また公開掲示板３に入札者５からの入札情報を書
き込む。また、開示落札処理部１２は、最高（低）値が
決定するまで、ある周期で公開掲示板３の金額を更新す
る。最高（低）値で入札した入札者５の送付情報の正当
性を検証し落札者を決定する。検証情報と送付情報全て
を公開掲示板３に書き込み、参加者全てにその正当性を
公開する。

【００９１】登録機関装置４は、入札者５の登録業務を
行う。実際には入札者５の認証を行い、入札者５から送
付された鍵への証明書を発行する。

【００９２】依頼人は、出品入札において、芸術品やプ
ログラムなどをオークションに出品する売り手であり、
一番の高値をつけた落札者に出品物を売る。又は請負入
札においては、工事やプログラムなどの仕事をオークシ
ョンにかけ、一番低い金額をつけた落札者に仕事を依頼
する。依頼人装置６は、ネットワーク１を介し、オーク
ション主催者装置２を対して出品依頼を行う。

【００９３】図３は入札者装置の構成例を示すブロック
図である。入札者装置５は、オークションにかけられた
出品物又は仕事に対し、購入・請負の落札を実現させ
る。このために、ネット情報検索部２１と、入札処理部
２２と、落札処理部２３と、登録処理部２４とを備えて
いる。なお、出品入札においては最高値、請負入札にお
いては底値を示した入札者５が落札者となる。

【００９４】ネット情報検索部２１は、ネットワーク１
を介して公開掲示板３にアクセスし、その掲示情報を取
得する。入札処理部２２及び落札処理部２３は、主催者
装置２と通信し、それぞれ入札プロトコル及び開示・落
札プロトコルにおける入札者実行部分の処理を行う。

【００９５】登録処理部２４は、登録プロトコルにおけ
る入札者実行部分を処理し、オークション参加の際、鍵
を生成して登録機関に鍵証明書を発行してもらう。

【００９６】公開掲示板装置３は、誰もが記載データを
参照できるような形式でデータ掲示を行う。ただし、デ
ータの書き込み・消去は管理者であるオークション主催
者２のみが行える。主催者２は登録機関４の署名を基に
登録を正規に行った参加者（入札者５）のデータのみを
掲示板３に記載する。なお、公開掲示板装置３は、図１
に示すシステムではオークション主催者装置２と別途の
装置として示されているが、当該掲示板３は、例えばオ
ークション主催者装置２に組み込むようにしてもよい。

【００９７】監査員装置７は、図３に示すネット情報検
索部２１と同様な処理部を備え、公開掲示板３に記載さ
れる情報がオークション主催者２によって、途中で改竄
されたり消去されていないかを観察する。オークション
主催者２の不正やミスを検査・告知する。掲示板３のデ
ータは誰でも読むことができるので、入札者５各々が監
査員７を担うようにしてもよい。

【００９８】次に、以上のように構成された本実施形態
における電子入札システムの動作について説明する。以
下の説明では、まず、本電子入札システムにおける時系
列を追った処理について説明し、それから登録、入札、
開示・落札の各プロトコルの処理について詳しく説明す
る。

【００９９】図４は本実施形態の電子入札方法における
処理手順を説明する流れ図である。まず、依頼人６から
オークション出品依頼がオークション主催者２に対して
行われ（ｓ１）、この出品依頼を受け付けた主催者２に
より出品物の情報並びに入札用の金額選択肢が掲示され
る（ｓ２）。

【０１００】この掲示は一定期間行われ、その間に、入
札候補者の装置（図３の示す入札者装置５の機能を有す
る装置）によって公開掲示板３の出品情報が検索される
（ｓ３）。ここで、入札をしたいと考える候補者によ
り、登録機関４に対して入札者登録が要求され、その登
録がなされる。（ｓ４）次に、入札金額等を含む入札情
報にメッセージを公開しない形式の否認不可署名が施さ
れ、すなわち入札情報が事実上暗号化され、登録した入
札者５からオークション主催者２に送付される。この入
札情報は、主催者２により検査され、さらに公開掲示板
３に掲示される。主催者２による入札打ち切りまで入札
は受け入れられる（ｓ５）。

【０１０１】入札がうち切られると、オークション主催
者２による落札処理が開始される（ｓ６）。この落札処
理は、最高金額から順次入札者がいないか否かを確認し
ていくことで進行し、落札者が確定するまで続けられ
る。最後に、落札者の提示した入札金額等の情報が検証
可能な状態で公開掲示板３に掲示され、電子入札が終了
する。

【０１０２】次に、電子入札システムにおける登録、入
札、開示・落札の各プロトコルの処理について説明す
る。なお、ここではまず、出品入札について説明し、請
負入札については後に述べる。

【０１０３】［初期設定］まず、（ｐ，ｑ，α）がシス
テムパラメータとして公開されている。ｐ，ｑは大きな
素数で、ｐ＝２ｑ＋１の関係が成り立っている。αは乗
法群Ｚ_p ^* での位数がｑとなるような生成器である。Ｈ
_l：｛０，１｝^* →｛０，１｝^lを一方向性ハッシュ関
数とする。

【０１０４】［登録プロトコル］登録プロトコルの処理
は、図４のフロー図におけるステップｓ４と対応する。
これは、各入札者５ｊは作成した鍵Ｐ_jに対し、登録機
関から証明書Ｃert_jを発行してもらう処理である。

【０１０５】図５は本実施形態における登録プロトコル
の処理を示す図である。ステップｔ１：このために、各入札者５ｊの登録処理部
２４において、秘密鍵Ｓ_j∈Ｚ_q ^* が生成され、公開鍵
Ｐ_j＝α^Sj（mod p）が定められる。公開鍵Ｐ_j は、身元
を明かした入札者５ｊから登録機関４に送付される。

【０１０６】ステップｔ２：一方、登録機関４において
は、入札者５ｊにグループの番号ＧＩＤを割り当てる。
一つのグループはｎ人で構成される集合とする。ｎは入
札参加人数の見積もりによって決定される。それから、
（Ｐ_j，ＧＩＤ）に対して署名Ｃert_jが入札者５ｊに
返送される。なお、グループ分けを行うのは、公開掲示
板３を見やすいものとし、また、入札プロトコルにおい
て各グループのメンバ（入札者）に掲示板内容について
の確認署名をさせることで公開掲示板に掲示された情報
の証拠能力を高めるためである。

【０１０７】［入札プロトコル］入札プロトコルの処理
は、図４のフロー図におけるステップｓ１，ｓ２，ｓ
３，ｓ５と対応する。

【０１０８】入札プロトコルにおいて、入札者５はオー
クション主催者２の用意した複数の金額値から一つを選
び（ｗ_kとする）。署名σ（ｗ_k）を計算する。それか
ら一方向性関数fを用いて計算した関数値Ｙ＝ｆ（ｗ_k
‖σ（ｗ_k））を主催者に送付する。主催者はＹを公開
掲示板に書き込む。この手順を図６を用いて説明する。

【０１０９】図６は本実施形態における入札プロトコル
の処理を示す図である。ステップｕ１：まず、オークション主催者２の入札処理
部１１によって、入札金額が複数個（ｍ個）用意され
る。ここでは、（ｗ₁，ｗ₂，…，ｗ_m ）とする。ただ
し、表す金額の大小関係はｗ₁＜ｗ₂＜…＜ｗ_mとなっ
ている。

【０１１０】ステップｕ２：一方、入札者５ｊの入札処
理部２２により、出品物に対し、入札金額ｗ_k（１＜ｋ
＜ｍ）が選択され、さらに、乱数ｘ，ｋ∈Ｚ_q ^* が選ば
れ、以下計算がなされる。

【０１１１】

【数１】

【０１１２】ここで、乱数ｘは使い捨ての秘密鍵であ
り、この秘密鍵ｘに対応するのが使い捨ての公開鍵ｈで
ある。

【０１１３】以上の計算結果のうち、入札者５ｊから

【０１１４】

【数２】

【０１１５】がオークション主催者２に送付される。金
額ｗ_kを送らないことに注意する。このときにメッセー
ジである金額ｗ_kを送らないために、否認不可署名とほ
とんど同じ情報を送付しつつ、署名とはなっていないの
である。つまり、この情報送付の仕方により事実上の暗
号情報送付となっている。なお、このとき送付される情
報は金額ｗ_kが添付されていないことを除けば否認不可
署名となっているため、後に秘密鍵ｘが与えられること
により、この時点で送付された否認不可署名形態を通常
のデジタル署名に変換させることができる。これによ
り、金額ｗ_kの検証はその後の時点で可能となる。金額
ｗ_kの検証をどのように検証するかは後述する。

【０１１６】ステップｕ３：次に、オークション主催者
２により、証明書Ｃert_jの正当性が検証される。正当
である場合、主催者２により、入札者５ｊについての

【０１１７】

【数３】

【０１１８】が公開掲示板３の該当するグループの欄に
記載される。

【０１１９】ここまでの様子を図７によって模式的に示
す。

【０１２０】図７は入札段階の様子を模式的に示す図で
ある。

【０１２１】ステップｕ４：予め定めておいた時刻が来
た段階で主催者２によって、入札要求が締め切られる。

【０１２２】ステップｕ５：全ての入札者５により、自
分の送信した入札情報が正しく掲示されているかが確認
される。正しく掲示されている場合は、各入札者５によ
り、同じグループのｎ個全ての入札情報に対し署名

【０１２３】

【数４】

【０１２４】が施される。すなわち、入札者５ｊは（Ｐ
_j，ＧＩＤ，Ｃert_j，σ_j）を主催者３に送る。

【０１２５】ステップｕ６：主催者２により、入札者５
からの（Ｐ_j，ＧＩＤ，Ｃert_j，σ_j）の正当性が検
証される。正当な場合にのみ、主催者２により入札者５
ｊの属すグループ欄に（Ｐ_j，ＧＩＤ，Ｃert_j，
σ_j）が記載される。暗号情報としての入札情報が公開
掲示板に公開され、さらに、その掲示情報に対する入札
者５自身の確認がなされることになる。

【０１２６】［開示・落札プロトコル］入札プロトコル
の処理は、図４のフロー図におけるステップｓ６，ｓ７
と対応する。

【０１２７】開示・落札プロトコルにおいては、オーク
ション主催者２は一番の高値（底値）から始め、入札者
５からの通知を受信するまで、金額のカウントダウン
（アップ）をある時間周期で行う。ある時点で、自分の
入札した額になった時、その入札者５は主催者２にσ
（ｗ_k）を暗号化して送る。主催者２は署名σ（ｗ_k）
の正当性と関数値Ｙとの関連性を検証する。正当である
場合のみ、その入札者５を落札者としオークションを終
了する。σ（ｗ_k）は公開掲示板に記載されるため、全
ての入札者５が落札者決定手続きの正当性を確認するこ
とができる。この手順を図８を用いて説明する。

【０１２８】図８は本実施形態における開示・落札プロ
トコルの処理を示す図である。ステップｖ１：まず、オークション主催者２により、公
開掲示板３における落札処理用の部分に一番高い金額ｗ
_mがセットされる。

【０１２９】ステップｖ２：この金額で入札した入札者
５ｊがいれば（ｖ２−１）、当該入札者５ｊからオーク
ション主催者２にその旨通知され、該当者がいない場合
は（ｖ２−１）、否認プロトコルによる確認が行われる
（ｖ２−２）。例えば金額ｗ _kで入札した入札者５ｊ
は、金額ｗ_mによる入札を否認するため、以下の（ｙ，
ｚ，β′）で否認を行う。

【０１３０】

【数５】

【０１３１】なお、否認プロトコルについては後に細述
する。

【０１３２】金額ｗ_mに対してすべての入札者５につい
ての入札否認が確認された後、次により小さい金額（ｗ
_m-1）が主催者２によって公開掲示板３にセットされる
（ｖ２−３）。そして、その金額で入札した入札者５が
現れるまで、このステップｖ２−１〜ｖ２−３の処理が
繰り返される。

【０１３３】ここまでの様子を図９によって模式的に示
す。

【０１３４】図９は落札までの様子を模式的に示す図で
ある。

【０１３５】ステップｖ３：ある金額ｗ_kにおいて、入
札者５ｊが通知を行った場合（ｖ２−１：ＹＥＳ）に
は、確証プロトコルにより入札の正当性が検証される
（ｖ３−１）。なお、確認プロトコルについては後述す
る。そして、正当性が検証されたときには、当該入札者
５ｊが落札候補者とされる。ここで落札候補者が一人で
ある場合（ｖ３−２）、その入札者５ｊが落札者とされ
る。この場合には、入札者５ｊから使い捨ての秘密鍵ｘ
が開示用情報として主催者２に送信される（ｖ３−
３）。主催者３においては、

【０１３６】

【数６】

【０１３７】によりその署名の正当性が検証される。さ
らに主催者２により

【０１３８】

【数７】

【０１３９】が公開掲示板３に記載され（ｖ３−４）、
オークションが終了する。なお、このとき公開掲示板３
に掲示された情報は、いわゆる通常のデジタル署名とな
っているので、他の入札者５や監視員７，その他の第３
者はその内容を検証することができる。したがって、落
札価格である金額ｗ_kを確認できることになる。

【０１４０】ここまでの様子を図１０によって模式的に
示す。

【０１４１】図１０は落札及びその検証の様子を模式的
に示す図である。

【０１４２】ステップｖ４：ステップｖ３−２において
落札候補者が複数いる場合には、以下のように取り扱わ
れる。

【０１４３】（ａ）まず、候補者の人数が少ない場合
（ｖ４−１：ＮＯ）には、候補者５ｊはｘを送り、主催
者２は

【０１４４】

【数８】

【０１４５】を公開掲示板３に記載し、候補者間で同点
決勝が行われる（ｖ４−２）。

【０１４６】（ｂ）また、候補者の人数が多い場合（ｖ
４−１：ＹＥＳ）には、ｗ_k ＜ｔ＜ｗ_k+1 の金額が主催
者によって複数用意され、これらの金額を用いたオーク
ションを再度行われる（ｖ４−３）。

【０１４７】開示・落札プロトコルにおける処理は以上
の通りであるが、上記否認プロトコル、確認プロトコル
並びに否認不可署名から通常署名（デジタル署名）への
変換について説明する。

【０１４８】すなわち本実施形態の電子入札システム
は、否認不可署名方式としてMichels−Stadler法を利用
するものであるが、上記したようにその利用の仕方に特
徴がある。また、本実施形態では、一方向性関数として
離散対数問題に基づく暗号系を選択している。

【０１４９】つまり、従来の否認不可署名方式では、署
名の対象となるメッセージが明かされた上で署名の確証
・否認を行う。これに対して、本実施形態ではメッセー
ジは署名に添付せず、署名をメッセージ（入札価格）の
ビットコミットメントとみなす応用的手法を取ってい
る。これは入札価格の秘密性と否認不可を同時に満たす
ためである。

【０１５０】以下、Michels−Stadler法による否認プロ
トコル及び確認プロトコル、並びに否認不可署名から通
常署名への変換について説明する。

【０１５１】［離散対数の等価・非等価証明］今、
（ｐ，ｑ，α）が公開されており、ｐはｐ＝２ｑ＋１を
満たす大きな素数である（ただし、ｑは素数とする）。
αは乗法群Ｚ_p ^* での位数がｑとなるような生成器とす
る。Ｈを一方向性ハッシュ関数とする。

【０１５２】以下、ｚ＝β^x(mod p)とｙ＝α^xを満た
すｘ∈Ｚ_q ^* が存在する時、log_βｚ＝log_αyであるこ
とを証明するプロトコルを示す。これは、署名の確証プ
ロトコルで用いられる。また逆に、否認プロトコルはlo
g_βｚ≠log_αyであることの証明である。以下に離散対
数の等価性・非等価性を証明するプロトコルを示す。

【０１５３】

【数９】

【０１５４】［署名生成と通常署名への変換］署名者で
あるアリスが否認不可署名を生成する。アリスには検証
者ボブに対し、その署名の正当性を確証プロトコルと不
当な署名を否認する否認プロトコルがある。更に否認不
可署名を誰もが検証可能な通常のディジタル署名に変換
することができる。

【０１５５】アリスは二つの秘密鍵ｘ₁，ｘ₂∈Ｚq を
選び、ｙ₁＝α^x1（mod p)，ｙ₂＝α^x2（mod p)を公開
鍵とする。メッセージｍ（上記金額ｗ_kに相当する）に
対する署名を生成する時、アリスは乱数ｋ∈Ｚ_qを生成
し、ｒ＝α^k（mod p）を計算する。それから以下を計
算する。

【０１５６】

【数１０】

【０１５７】ここで、

【０１５８】

【数１１】

【０１５９】をメッセージｍへの署名とする。この署名
の正当性を示す際には、上記のように

【０１６０】

【数１２】

【０１６１】であることを証明する。不当な署名の否認
は、log_βＺ≠log_αｙであることを証明する。

【０１６２】この否認不可署名を誰もが検証可能な通常
のディジタル署名を変換するには、アリスが秘密鍵ｘ₂
を公開する。これにより、

【０１６３】

【数１３】

【０１６４】を入手した検証者は署名の正当性を次式に
て検証することができる。

【０１６５】

【数１４】

【０１６６】［請負入札］次に請け負い入札の場合を説
明する。請負入札プロトコルにおいても、出品入札と同
様な処理が行われる。ただし、出品請負入札では最高値
をつけた入札者が落札するのに対し、請負入札では最も
低い金額をつけた入札者が落札者となる。そこで、開示
・落札プロトコルでは一番低い金額から始めてのカウン
トアップ方式に変更される。つまり、図８のステップｖ
１とステップｖ２が以下のように修正される。

【０１６７】ステップｖ１′：オークション主催者２は
公開掲示板３を用いて、一番低い金額ｗ₁をセットす
る。

【０１６８】ステップｖ２′：この金額で入札した入札
者５ｊからオークション主催者２に通知がなされる（ｖ
２−１）。誰もいない場合は、ある時刻で次に小さい金
額（ｗ₂）にセットされる（ｖ２−３′）。その金額で
入札した入札者が現れるまで、この処理が繰り返され
る。その間の否認プロトコルは出品入札と同様に行われ
る（ｖ２−２）。

【０１６９】上述したように、本発明の実施の形態に係
る電子入札方法は、選択的な入札情報を予め暗号化して
入札させ、その後に最高額（若しくは最低額）から順に
入札有無を入札者に確認して落札を決定するようにした
ので、匿名通信路といった仮定を必要とすることなく入
札者のプライバシを保護し、かつ談合を防止して依頼者
利益を保護することができる。

【０１７０】また、落札値以外の入札額は一切露呈しな
いようにしつつ落札情報を公開掲示板に掲示するように
したので、入札・落札の正当性を全ての入札者が検証す
ることができる。

【０１７１】このように、本発明では、入札者プライバ
シ保護、談合防止、公平性等が実現されるが、入札プロ
トコルにおいて、一方向性関数として単にハッシュ関数
を選んだ場合には、入札の否認において不都合が生じる
特殊なケースも考え得る。入札者が開示・落札段階で自
分の入札を名乗りでないという行為によるものである。
この行為を利用すると以下のような状況が生じ得る。

【０１７２】今、請負入札においてＡ社、Ｂ社が結託し
ている。この２社は最小限の金額で落札しようと考え
る。この時、Ｂ社は最低と見積もられる金額Ｐ_minで、
Ａ社は実際に落札したい金額Ｐ_realで入札する。Ｐ_min
とＰ_realとの間に名乗り出る応札者がいない場合には、
Ｂ社は入札Ｐ_minが否認してＡ社がＰ_realで落札する。
このように応札者が結託することで、落札金額を操作し
最小限のコストで仕事を請け負うことができる。

【０１７３】しかしながら、本実施形態では、否認不可
署名技術を利用し、予めメッセージ（入札額）を明かさ
ず、署名をメッセージのビットコミットメントとみなし
て主催者に送信するようにしたので、入札額を明かさず
に入札確認を行い、否認プロトコルによる否認不可を行
いつつ落札することができ、談合をより確実に防止でき
る。さらに、この否認不可署名技術を利用していること
から、落札時にのみ額を明かして入札の正当性を証明す
るとともに、落札者としての容認後、誰もが検証可能な
通常のディジタル署名に変換することができる。したが
って、入札額（メッセージ）を秘匿し、同時に否認不可
性の条件を同時に満足することができる。

【０１７４】さらに、本実施形態では、機関の信頼性や
匿名通信路といった仮定には依存せず、一般的な暗号技
術のみでシステム構築するようにしているので、容易に
実装することができ、システム構築を容易かつ低コスト
のものとすることができる。

【０１７５】また、本実施形態の方法によれば、否認プ
ロトコルを利用した確認を行うので、落札処理に応答し
ない場合には、主催者は誰が途中で降りようとしている
かを特定することができる。また、否認不可署名という
入札事実を示す絶対の証拠が残っているので、これを基
に罰金請求や入札禁止等の種々の措置を取ることができ
る。したがって、談合を防止し、ひいては価格操作の不
正を防止することができる。

【０１７６】また、落札事実の公開は、すべての入札者
についての購入意思や否認証明等の情報がすべて揃った
段階で行うようにすれば、意思・証明の送付順序を悪用
した落札価格操作を防止することができる。

【０１７７】さらに、本実施形態のシステムは、上記の
ように構成され動作するので、以下のような特徴を備え
る。

【０１７８】入札金額の秘匿性：敗者の入札金額はビッ
トコミットメントにより暗号化されているため、本人以
外には分からず、誰にも露呈しない。オークション主催
者にも露呈しない。

【０１７９】入札金額の健全性：入札当事者以外は正当
な入札を行うための秘密鍵を知らないので、入札内容を
改竄することはできない。また、開示・落札時における
主催者による入札情報の改竄は、掲示板に記載されるグ
ループの入札情報への署名にて防ぐことができる。すな
わち第三者は、正規の登録を行った正式な秘密鍵所有者
になりすまして入札することができず、正当な入札情報
を作成することができない。

【０１８０】落札金額の正当性：入札の否認不可性とカ
ウントダウン（アップ）の性質から満足される。また全
ての応札者は、落札額が自分の入札価格よりも高い（低
い）ことを検証することができる。すなわち落札金額が
全ての入札価格の中での最高（最低）金額であることが
確保される。

【０１８１】公平性：入札金額は本人しか知らないこと
と入札の否認不可性による落札額の操作防止により、他
より有利な条件で入札できる応札者はいないことにな
る。

【０１８２】（発明の第２の実施の形態）第１の実施形
態においては、落札者についても公開される情報に身元
を明かす情報を添付する必要がないために、他の入札者
や第三者に対する一応の匿名性はある。また、第１実施
形態では、仮名の概念を導入することで公開される入札
情報に匿名性が持たされている。しかし、入札プロトコ
ルにおいて各入札者は、入札情報確認のために署名を行
うことから、公開鍵と応札者の関係を知っている第三者
は、誰が入札を行ったか、誰が落札したかを、公開情報
より把握することが可能である。

【０１８３】一方、前回の落札者が誰であるか、また、
誰が入札を行っているかという情報がわかることを利用
して、次のような談合を行うことが考えられる。すなわ
ち談合グループは不当に低い値段で落札を続けていく。
これを繰り返し根強く行ってゆくことで、他の参加希望
者の応札意欲を失わせる。入札希望者は談合グループの
メンバを見つけた時点で応札を諦めてしまう。このよう
な状況を作った上で、徐々にグループ以外の参加人数を
減らし、市場を独占することにより、対象物を自分たち
の思うがままの値段で落札することができる。この談合
方法は、入札時の入札者に関する情報公開をいわば印籠
のように扱うことで、参加意欲を操作するものである。

【０１８４】本実施形態では、入札者が誰であるかを匿
名にするべき相手を、主催者以外の全てとして、競争原
理を円滑に働かせる方法について説明する。具体的に
は、入札プロトコルにおける入札者による入札情報確認
にあたり、個人の公開鍵でなく、主催者が与えるグルー
プ鍵を用いて署名させるものである。

【０１８５】図１１は本発明の第２の実施形態における
電子入札方法を説明する概念図である。同図（ａ）は、
第１の実施形態の方法において公開掲示板に掲示される
情報であり、同図（ｂ）は、本実施形態の方法において
公開掲示板に掲示される情報を示している。

【０１８６】同図（ｂ）に示すように本実施形態では、
入札プロトコル時の入札情報確認はグループ鍵によって
行われ、個人情報を知るきっかけとなる公開鍵は開示さ
れない。

【０１８７】また、本実施形態の電子入札システムは、
このようなグループ署名が行われ、これに応じて入札プ
ロトコル及び落札プロトコルが修正される他、第１の実
施形態と同様に構成される。但し、グループ分けは任意
の箇所で行なえるので、ここでは第１の実施形態での登
録機関４によるグループ分けに代えて、主催者２による
グループ分けが行われる場合について述べる。

【０１８８】以下、修正される入札プロトコル及び落札
プロトコルについて説明する。

【０１８９】［入札プロトコル］主催者の処理：主催者２は入札者５をいくつかのグルー
プに分け、各グループＪの署名用秘密鍵Ｓ_Gjを登録時に
秘密吏に送付する。

【０１９０】入札者の処理：例えばあるグループｊに属
す入札者５Ａが入札する場合を考える。このとき、入札
者５Ａが属するグループの秘密鍵をＳ_G、公開鍵をＰ_G
＝α^SG(mod p)とする。また入札者５Ａの常用の秘密鍵
をＳ_A、公開鍵をＰ_A＝α^SA(mod p)とする。

【０１９１】入札者５Ａは出品物に対し、入札金額ｗ_k
（１＜ｋ＜ｍ）を選ぶ。次に、乱数ｘ，ｋ，μ∈Ｚ_q ^*
を選び、以下を計算する。

【０１９２】

【数１５】

【０１９３】［否認プロトコル］

【０１９４】

【数１６】

【０１９５】と現在価格ｗ_iを用いて、第１の実施形態
の場合と同様に応札者Ａと主催者は否認フェーズを実行
する。ここで、

【０１９６】

【数１７】

【０１９７】とし、主催者はβと否認プロトコルでの通
信データを公開掲示板に記載する。なお、Michels−Sta
dler否認不可署名方式では、Ｐ_Aを公開せずとも、離散
対数の等価・非等価を検証できる。

【０１９８】［落札プロトコル］

【０１９９】

【数１８】

【０２００】主催者による個人署名の検証と否認フェー
ズの確認には、個人の公開鍵Ｐ_Aが使用され、落札時の
署名にはグループの公開鍵Ｐ_Gが使用されている。つま
り、公開される情報に個人を所定する情報が含まれてい
ないこととなる。すなわち主催者以外はグループ署名で
ある落札情報を検証する。

【０２０１】なお、図１２にオークション主催者に与え
られる情報と、公開掲示板に掲示される情報とを示す。

【０２０２】上述したように、本発明の実施の形態に係
る電子入札方法は、入札プロトコルで入札者が入札情報
を確認するときに、個人の公開鍵でなく、主催者に与え
られたグループ鍵を用いて署名を行うようにしたので、
各入札者個人に連結した情報が公開されることなく、入
札者が誰であるかを利用した談合を防止することができ
る。すなわち、次回オークションへの影響をなくし市場
独占を防止することができる。

【０２０３】例えば、譲り合いで落札している複数業者
からなるグループがあるときに、一社談合に加わらない
業者が存在すると、この業者が加わる入札では競争原理
が働き、落札価格が予想価格を大きく下回るが、参加し
ない入札ではほぼ予想価格で落札されるという事例があ
る。この場合、ある業者による寄合からの抜けがけが市
場に競争原理を働かせている。

【０２０４】したがって、本実施形態のように、公開情
報から入札者を識別する情報がなくなれば、談合グルー
プでの抜けがけが促進され、寄合、譲り合いによる入札
形式が崩れる。これにより、自由競争による本来のオー
クション形態に導くことができる。つまり、本実施形態
では、オークションにおける匿名性を強め、入札したこ
との証拠を残さないような方式としたので、談合により
不正な価格操作を防止することができる。

【０２０５】また、本実施形態においては、Mitchels−
Stadlerの否認・確証証明プロトコルを利用すること
で、検証者に応じて与える情報量を段階的に制御するこ
とができる。本実施形態では、この手法とグループ署名
を適用することで、主催者には落札者情報まで検証でき
るようにし、第三者は入札者情報や落札者情報を開示せ
ずに落札価格の検証までを行えるようにしている。

【０２０６】また、本実施形態は、次の条件（１）〜
（３）を満足することができる。（１）オークション主催者装置２及び他の入札者装置５
は、落札した入札者装置５が落札時新規データを送らな
い限り、入札者がどの入札金額に署名を施したかを知る
ことができない。（２）入札者装置５は、否認プロトコルにおいて、選択
した入札金額に署名を施した旨を否認できない。（３）オークション主催者装置２及び他の入札者装置５
は、落札した入札者装置５の秘密鍵を知らないので、落
札した入札者装置５の正当な署名及び否認付加署名を計
算できない。

【０２０７】（発明の第３の実施の形態）第２の実施形
態では、選択する入札金額の種類が少ない場合、応札者
が開示情報を送付する前に、主催者は応札者がどの入札
金額に署名をしたかを所定の攻撃アルゴリズムにより察
知する可能性があると、本発明者は考えた。この攻撃ア
ルゴリズムは、入札金額ｗ＝｛ｗ_１，ｗ_２，…，ｗ_ｎ｝
の全ての要素を逐次、検証式に入れて一致／不一致を計
算する方法である。すなわち、検証式を用いる攻撃アル
ゴリズムによれば、入札金額の種類が少ない場合、主催
者が入札金額の署名の秘匿性を打破する可能性がある
と、本発明者は考えた。これは、第２の実施形態の効果
に記載した条件（１）に反する可能性のあることを意味
している。

【０２０８】なお、応札価格の種類が多い場合には攻撃
アルゴリズムの計算量的手間が増大し、攻撃アルゴリズ
ムの効率が著しく低下するので、第２の実施形態でも充
分な秘匿性を有する。しかしながら、応札価格の種類の
多少によらず、署名作成や署名検証時の計算量が多少増
えても、入札金額の署名の秘匿性が保たれる方式が望ま
しい状況もある。

【０２０９】そこで、第３の実施形態は、入札金額の種
類の多少に関わらず、上記攻撃アルゴリズムを阻止し、
常に上記条件（１）〜（３）を満足させるものとなって
いる（以下、文字ｒ，λの上に波線“〜”を付した変数
データ

【０２１０】

【数１９】

【０２１１】を、数式領域［数ｎ］以外の文章領域では
各々ｒ^〜，λ^〜のように表記しながら説明する）。具体
的には、第３の実施形態では、入札プロトコル及び落札
プロトコルで用いられるデータｒ^〜，σ，ｔが次のよう
に変更されている。すなわち、第３の実施形態は、第２
の実施形態におけるｒ^〜＝ｒ^ｘ（ｍｏｄｐ）、σ＝ｋ−
ｃＳ_A（ｍｏｄｑ）、ｔの分母内のハッシュ関数Ｈ
（Ｗ_k，ｒ^〜，λ）に代えて、攻撃アルゴリズムを阻止
する観点から、それぞれｒ^〜＝（ｒ^ｒ）^ｘ（ｍｏｄ
ｐ）、σ＝ｋｒ−ｃＳ_A（ｍｏｄｑ）、ｔの分母内に
てハッシュ関数Ｈ（Ｗ_k，ｒ^〜，ｒ，λ）が使用されて
いる。

【０２１２】本実施形態の電子入札システムは、このよ
うな乱数ｒを自己を含む二変数ｒ，ｘにより秘匿する暗
号化処理と、秘匿前後の乱数ｒ，ｒ^〜に基づくグループ
署名とが行なわれ、これに応じて入札プロトコル、落札
プロトコルが修正される他、第２の実施形態と同様に構
成される。

【０２１３】以下、修正される入札プロトコル及び落札
プロトコルについて説明する。［入札プロトコル］登録時における主催者２のグループ
分けの処理及び各グループＪの署名用秘密鍵のＳ_Gjの送
付処理は前述した通りである。次に、入札者５Ａは、前
述同様に、出品物に対する入札金額Ｗ_k（１＜ｋ＜ｍ）
を選択し、次に、乱数ｘ，ｋ，μ∈Ｚ_q ^*を選び、以下
を計算する。なお、以下の計算中、ｒ^〜，σ，ｔのＨ
は、第２の実施形態とは異なり、乱数ｒを用いた暗号化
が施されている。また、ｒはオークション主催者装置に
とって未知のデータであり、ｒ^〜はその未知のデータｒ
を当該ｒ自身を用いて暗号化した暗号化未知データであ
る。また、σは第１の暗号化入札金額情報であり、ｔ内
のＨ（ｗk，ｒ^〜，ｒ，λ）は第２の暗号化入札金額情
報である。

【０２１４】

【数２０】

【０２１５】更に、グループ署名ｔを計算する。

【０２１６】

【数２１】

【０２１７】以下、前述同様に、応札者５Ａは（Ｐ_A，C
ert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）を主催者２に送
る。主催者２は（ｈ，ｒ^〜，σ，ｔ）を公開掲示板３の
該当するグループ欄に記載する。

【０２１８】［否認プロトコル］否認プロトコルは、第
２の実施形態と同様に実行される。［落札プロトコル］全体の流れは第２の実施形態と同様
であるが、ｒを用いた暗号化に伴い、各検証式がｒを含
む内容に変更されている。以下、前述した文脈に沿って
説明する。

【０２１９】落札時、応札者５Ａは、ｘ，ｒを主催者２
に送付する。主催者２は、（Ｐ_A，Cert_A，ｈ，ｒ^〜，
λ，λ^〜，σ，ｔ）とｘ，ｒを用いて以下の検証式によ
り否認不可署名の正当性を検証する。

【０２２０】

【数２２】

【０２２１】次に、λ^〜＝λ^ｘ（ｍｏｄｐ）の一致性
を検証する。これら否認不可署名が正当である時のみ、
次式によりグループ署名を検証する。

【０２２２】

【数２３】

【０２２３】主催者２は、否認不可署名ｒ^〜，λ^〜と、
グループ署名ｔとが正当である時のみ、（ｒ，λ）を公
開掲示板３に掲載する。

【０２２４】一般応札者は、前述同様に（ｒ，λ，
ｒ^〜，ｔ，Ｗ_k，Ｐ_G）を用いてグループ署名の正当性
（落札価格の正当性）を次式より検証する。

【０２２５】

【数２４】

【０２２６】なお、図１３にオークション主催者２に与
えられる情報と、公開掲示板３に掲示される情報とを示
す。本実施形態では、前述した図１２とは異なり、確証
時にオークション主催者２に与えられる情報にｒが追加
されている。

【０２２７】上述したように本実施形態によれば、入札
プロトコル及び落札プロトコルで用いられるデータ
ｒ^〜，σ，ｔを、乱数ｒを用いた暗号化処理により秘匿
するので、第２の実施形態の効果に加え、主催者２が攻
撃アルゴリズムを用いて総当たりで入札金額の署名の秘
匿性を打破しようとしても、乱数ｒが未知のために打破
することができない。すなわち、本実施形態によれば、
入札金額の種類の多少に関わらず、攻撃アルゴリズムに
よる攻撃を阻止することができる。

【０２２８】係る作用効果を詳しく述べる。すなわち、
第３の実施形態では、第２の実施形態に対し、入札金額
を秘匿する乱数ｒを自身で暗号化する第１の秘匿処理
と、グループ署名ｔのハッシュ関数Ｈに乱数ｒを用いる
第２の秘匿処理とが付加されている。

【０２２９】ここで、第１の秘匿処理は、自身ｒを含め
た２つの秘密変数ｒ，ｘで乱数ｒをべき乗して乱数ｒを
秘匿するものであり、暗号理論の基盤を築いている離散
対数問題の困難性に匹敵する段階まで乱数ｒの秘匿性を
高めている。

【０２３０】第２の秘匿処理は、グループ署名ｔの生成
の際に、図１４に示すように、主催者２の未知の乱数ｒ
を一方向性ハッシュ関数Ｈに入力したハッシュ値Ｈ（ｗ
k，ｒ^〜，ｒ，λ）を用いることにより、主催者２がグ
ループ署名ｔを計算することが不可能となる。なお、第
２の実施形態では、図１５に示すように、グループ署名
ｔにおけるハッシュ関数Ｈの入力値（ｗk，ｒ^〜，λ）
が全て主催者２に既知であるので、悪意の主催者２によ
り、既知の情報と入札金額の種類とから入札金額が限定
される可能性がある。

【０２３１】まとめると、第３の実施形態によれば、第
１の秘匿処理でｒ算出の困難性を高め、第２の秘匿処理
でｒの算出を必須要件としたことにより、総合的に攻撃
アルゴリズムの適用を不可とすることができる。

【０２３２】このような第３の実施形態は、入札金額の
署名の完全な秘匿性が求められる環境に適している。一
方、第２の実施形態は、第３の実施形態よりも計算の手
間が小さいので、入札金額の種類が多い場合や入札金額
の署名の秘匿性よりも処理の高速性が求められる場合に
適している。このような第２及び第３の実施形態は、適
用する環境に応じて、使い分けられることが望ましい。

【０２３３】（発明の第４の実施の形態）第１及び第２
の実施形態では、暗号化されていないメッセージを添付
しない否認不可署名（メッセージ無し否認不可署名とい
う）を用いて、入札者の入札情報を開示することなく、
ある情報を選択したか否かの検証を行うことができる。
また、入札者から開放用の鍵を与えることでメッセージ
無し否認不可署名を通常のデジタル署名（以下、単にデ
ジタル署名）に変換することができる。この技術を用い
ることにより、情報選択者が選択情報を開示することな
く選択情報を証明できる情報証明システムを構築するこ
とが可能となる。本実施形態では、第１の実施形態の方
法を情報証明方法に適用する場合を説明する。

【０２３４】図１６は本発明の第４の実施形態に係る情
報証明方法を適用したインターネットゲームシステムの
構成例を示す図である。

【０２３５】同図に示すシステムは、情報証明方法をイ
ンターネットゲームシステムに適用する場合を示してお
り、インターネット網５１に出題者装置５２及び解答者
装置５３が接続されて構成されている。

【０２３６】出題者装置５２は、第１実施形態における
登録機関装置４とオークション主催者装置２と公開掲示
板装置３とを組み合わせたものであり、登録部６１、公
開掲示板６２、ゲーム進行部６３、解答格納部６４及び
問題格納部６５を備える。

【０２３７】登録部６１は、第１実施形態の登録機関装
置４と同様に構成され、ゲーム参加者の登録を受け付け
る。また、公開掲示板６２は、第１実施形態の公開掲示
板装置３と同様に構成され、ゲーム進行上必要でかつ公
開してもよい情報が掲示される。

【０２３８】ゲーム進行部６３は、第１実施形態におけ
るオークション主催者装置２と同様に構成され、署名検
証や否認・確認プロトコルを実行するための機能を備
え、また、解答者装置５３に対する出題や解答確認処理
等を行う。

【０２３９】解答格納部６４は、ゲーム参加者（解答者
装置５３）からの解答を格納する。この解答は公開掲示
板６２に掲示してもよい。また、問題格納部６５は、ゲ
ームに用いる問題を格納する。

【０２４０】一方、解答者装置５３は、第１実施形態に
おける入札者装置５と同様に構成され、登録部７１、解
答作成部７２及び応答処理部７３を備える。登録部７１
は、出題者装置５２に対してゲーム参加登録を要求し、
解答作成部７２は、メッセージ無し否認不可署名を作成
して出題者装置に送信する。

【０２４１】また、応答処理部７３は、署名検証や否認
・確認プロトコルを実行するための機能を備え、また、
出題者装置５２に対する解答や解答確認処理等を行う。

【０２４２】このように構成を有するインターネットゲ
ームシステムは以下のように動作する。

【０２４３】まず、出題者装置５２がホームページ等を
通じてゲーム参加者を募集し、ゲーム参加を希望する解
答者装置５３はゲーム参加の登録を行う（ｗ１）。この
登録処理は第１実施形態における登録プロトコルと同様
である。

【０２４４】ゲームが開始されると、出題者装置５２か
らは問題が各解答者装置５３に送付され（ｗ２）、又は
公開掲示板６２に掲示される。ただし、問題に対する解
答の候補は選択的に提示される。

【０２４５】解答者装置５３からは、メッセージ無し否
認不可署名の形式で解答が出題者装置５２に送付される
（ｗ３）。このとき出題及び解答形式は、１問１答でも
よく、まとめて問題を出してまとめて解答するようにし
てもよい。

【０２４６】次に、出題者装置５２からは、問題に対す
る正解が解答者装置５３に通知される（ｗ４）。これに
対して、解答者装置５３から出題者装置５２に対して正
答したか否かが通知される（ｗ５）。このとき、通知方
法として、解答者がどの選択肢を選んだかをあくまで伏
せたい場合には、第１実施形態の確認プロトコル及び否
認プロトコルを用いる。また、実際の解答内容そのもの
を公開したい場合には、解答者装置５３から解答開放キ
ーを送付し、出題者装置５２においてはメッセージ無し
否認不可署名をデジタル署名に変換して公開する。何れ
にするかはゲームの性質に応じて選択できる。

【０２４７】上記処理を繰り返すことにより、リアルタ
イムでかつ、インターネットを介した不特定多数のゲー
ム参加希望者を解答者とし、ゲームを進行させていくこ
とができる。

【０２４８】上述したように、本発明の実施の形態に係
る情報証明方法は、メッセージ無し否認不可署名を用い
て選択的な情報に対して解答を行うようにしたので、解
答内容を伏せたままで正解か否かだけを証明することが
できる。

【０２４９】また、本実施形態はインターネットゲーム
に適用する場合を説明したが、この情報証明方法は種々
の状況に適用することができる。

【０２５０】（発明の第５の実施の形態）第２の実施形
態では、入札金額の署名を秘匿する電子入札方式を開示
している。しかしながら、第２の実施形態は、入札金額
ｗ_k（１＜ｋ＜ｍ）及びその種類（ｗ_１，ｗ_２，…，ｗ
_ｍ）に代えて、一般的なメッセージｍ_k（１＜ｋ＜ｎ）
及びその種類（ｍ_１，ｍ_２，…，ｍ_ｎ）を用いることに
より、電子入札に限らず、その上位概念のデジタル署名
方式に拡張可能であると考えられる（ここでいう入札金
額ｗの個数ｍと、メッセージｍの個数ｎとは互いに等し
い）。

【０２５１】そこで、第５の実施形態では、第２の実施
形態のプロトコルに基づくデジタル署名方式について説
明する。なお、本実施形態では、第１及び第２の実施形
態における名称を上位概念を表す名称に変更して用い
る。例えば、前述した入札プロトコルは、内容が同じで
あるが、名称が受付プロトコルに変更され、且つ入札金
額ｗは、名称がメッセージｍという名称に変更されてい
る。同様に、開示・落札プロトコルは、内容が同じであ
るが、名称が公開プロトコルに変更される。さらに、依
頼者６によるオークション出品依頼は、名称が依頼、要
求、問合せ、懸賞応募、クイズ、択一式試験、選挙、ア
ンケート調査、予約受付、人材派遣のような履歴の登
録、のように何らかの選択的なメッセージ応答を伴うも
のの名称に変更される。

【０２５２】図１７は本発明の第５の実施形態に係るデ
ジタル署名方法を適用したデジタル署名システムの一例
を示す構成図であり、図１と同種の部分には同一符号に
アルファベットの添字を付してその詳しい説明を省略
し、異なる部分について主に述べる。なお、以下の各実
施形態も同様にして重複した説明を省略する。

【０２５３】すなわち、本実施形態は、第２の実施形態
を汎用性のあるデジタル署名方法に拡張した変形例であ
り、具体的には、ネットワーク１を介して複数の第一検
証者装置２ｘ、グループ鍵生成機関装置２ｙ、複数の第
二検証者装置３ｘ、鍵登録機関装置４ｘ及び署名者装置
５ｘが互いに接続されている。

【０２５４】ここで、各第一検証者装置２ｘは、前述し
た主催者装置２の機能において、グループ鍵生成機能が
省略されており、且つ公開掲示板装置３に代えて、第二
検証者装置３ｘにデータ（ｈ，ｒ^〜，σ，ｔ），（ｒ，
λ）を順次与える機能をもっている。

【０２５５】グループ鍵生成機関装置２ｙは、前述した
主催者装置２におけるグループ鍵生成機能を有するもの
であり、具体的には図１８に示すように、鍵生成部２ｙ
_ａを備えている。鍵生成部２ｙ_ａは、受付プロトコルの
実行中、署名者装置５ｘ及び図示しない複数の第三者装
置（例、他の署名者装置５ｘ’等）をいくつかのグルー
プに分ける機能と、各グループＪに対する秘密鍵Ｓ_Gj∈
Ｚｑ^＊と公開鍵Ｐ_Gj＝α^ＳGj（ｍｏｄｐ）を生成する
機能と、各グループＪの署名用秘密鍵Ｓ_Gjを秘密裏に当
該署名者装置５ｘ及び各第三者装置に送る機能をもって
いる。

【０２５６】各第二検証者装置３ｘは、第一検証者装置
２ｘよりも少ない情報を用いて可能な範囲（＝グループ
署名）の検証を行なう低レベルの検証者装置であり、前
述した公開掲示板３の情報登録機能（公開機能を除く）
及び前述した入札者装置５におけるグループ署名検証機
能を有するものである。

【０２５７】鍵登録機関装置４ｘは、前述した登録機関
装置４の機能をもつものであり、具体的には、署名者装
置５ｘから送られた公開鍵Ｐ_Aを署名者の個人情報と関
連付けてデータベース（図示せず）に登録する機能と、
この登録後、公開鍵Ｐ_Aに対する鍵証明書Ｃert_Aを発行
して署名者装置５ｘに送る機能をもっている。

【０２５８】署名者装置５ｘは、前述した入札者装置５
の機能を有するものであり、具体的には図１８に示すよ
うに、鍵生成部５ｘ_ａ、署名生成部５ｘ_ｂ、否認処理部
５ｘ _ｃ及び確証処理部５ｘ_ｄを備えている。

【０２５９】鍵生成部５ｘ_ａは、署名者の秘密鍵Ｓ_A∈
Ｚｑ^＊と公開鍵Ｐ_A＝α^ＳA（ｍｏｄｐ）を生成する機能
と、公開鍵Ｐ_Aを鍵登録機関装置４ｘに送る機能をもっ
ている。

【０２６０】署名生成部５ｘ_ｂは、署名者の操作によ
り、メッセージ空間Ｍ＝｛ｍ_１，ｍ_２，…，ｍ_ｎ｝から
１つのメッセージｍ_k（ｋ∈Ｍ）を選択する機能と、乱
数ｘ，ｋ，μ∈Ｚｑ^＊を選択し、当該乱数ｘ，ｋ，μに
基づいて、変数データｈ，ｒ，ｒ^〜，λ，λ^〜，ｃ，σ
及びグループ署名ｔを算出する機能と、算出結果のうち
のｒを除くデータ（ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）、公
開鍵Ｐ_A及び鍵証明書Ｃert_Aを第一検証者装置２ｘに送
る機能とをもっている。

【０２６１】なお、署名生成部５ｘ_ｂは、第一検証者装
置２ｘが第二検証者装置３ｘに一部のデータ（ｈ，
ｒ^〜，σ，ｔ）を送出する機能の無い場合、算出結果の
うちの当該データ（ｈ，ｒ^〜，σ，ｔ）を第二検証者装
置３ｘに送る機能をもつものとなる。換言すると、デー
タ（ｈ，ｒ^〜，σ，ｔ）は、署名者装置５ｘから第一検
証者装置２ｘを経由して第二検証者装置３ｘに送られて
も良く、あるいは、署名者装置５ｘから直接に第二検証
者装置３ｘに送られても良い。

【０２６２】否認処理部５ｘ_ｃは、前述した否認プロト
コルを実行する機能を有し、各第一検証者装置２ｘ、各
第二検証者装置３ｘ又は各第三者装置のいずれかが選択
したメッセージｍ_i∈Ｍ（i≠k）が、署名生成部５ｘ_ｂ
にて選択されたメッセージｍ_kでないこと（ｍ_i≠ｍ_k）
を示す場合、前述同様に、離散対数の非等価性ｌｏｇ_β
ｚ≠ｌｏｇ_αｙを第一検証者装置２ｘに提示する機能を
もっている。

【０２６３】確証処理部５ｘ_ｄは、前述同様の公開プロ
トコル（例、開示・落札プロトコル）を実行する機能を
有し、各第一検証者装置２ｘ、各第二検証者装置３ｘ又
は各第三者装置のいずれかが選択したメッセージｍ_i∈
Ｍ（i＝k）が、署名生成部５ｘ_ｂにて選択されたメッセ
ージｍ_kであること（ｍ_i＝ｍ_k）を示す場合、データｘ
を第一検証者装置２ｘに送る機能をもっている。

【０２６４】次に、以上のように構成されたメッセージ
選択システムの動作を説明する。なお、各プロトコル
は、第２の実施形態と同様であるが、各プロトコル内の
各処理を分担する装置が若干異なっている。以下、前述
した文脈に沿って各プロトコル毎に説明する。

【０２６５】［初期設定］初期設定は、第１及び第２の
実施形態と同様である。［登録プロトコル］登録プロトコルは、署名者装置５ｘ
が署名者の公開鍵Ｐ_Aに対し、鍵登録機関装置４ｘから
鍵証明書Ｃert_Aを発行してもらう処理である。

【０２６６】署名者装置５ｘの鍵生成部５ｘ_ａでは、秘
密鍵Ｓ_A∈Ｚ_q ^* が生成され、公開鍵Ｐ_A＝α^SA（mod
p）が定められる。この公開鍵Ｐ_Aは、身元を明かした
署名者装置５ｘから鍵生成部５ｘ_ａにより、鍵登録機関
装置４ｘに送られる。

【０２６７】一方、鍵登録機関装置４ｘは、この公開鍵
Ｐ_Aを署名者の個人情報と関連付けてデータベースに登
録し、しかる後、公開鍵Ｐ_Aに対する鍵証明書Ｃert_Aを
発行して署名者装置５ｘに送る。

【０２６８】［受付プロトコル］グループ鍵生成機関装
置２ｙの鍵生成部２ｙ_ａは、受付プロトコルの実行中、
署名者装置５ｘ及び図示しない複数の第三者装置をいく
つかのグループに分け、各グループＪに対する秘密鍵Ｓ
_Gj∈Ｚｑ^＊と公開鍵Ｐ_Gj＝α^ＳGj（ｍｏｄｐ）を生成
し、各グループＪの署名用秘密鍵Ｓ_Gjを秘密裏に当該署
名者装置５ｘ及び同グループＪの各第三者装置（図示せ
ず）に送る。

【０２６９】次に、署名者装置５ｘは、、何らかの要求
等に対し、前述同様に、メッセージ空間Ｍ＝｛ｍ_１，ｍ
_２，…，ｍ_ｎ｝から１つのメッセージｍ_k（ｋ∈Ｍ）を
選択し、次に、乱数ｘ，ｋ，μ∈Ｚ_q ^*を選び、以下を
計算する。

【０２７０】

【数２５】

【０２７１】更に、グループ署名ｔを計算する。

【０２７２】

【数２６】

【０２７３】以下、前述同様に、署名者装置５ｘは（Ｐ
_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）を第一検証者
装置２ｘに送る。第一検証者装置２ｘは、（ｈ，ｒ^〜，
σ，ｔ）を第二検証者装置３ｘに送る。

【０２７４】［否認プロトコル］否認プロトコルは、第
２の実施形態と同様に実行される。すなわち、否認時、
署名者装置５ｘの否認処理部５ｘ_ｃは、各第一検証者装
置２ｘ等が選択したメッセージｍ_i∈Ｍ（i≠k）が、署
名生成部５ｘ_ｂにて選択されたメッセージｍ_kでないこ
と（ｍ_i≠ｍ_k）を示す場合、前述同様に、離散対数の非
等価性ｌｏｇ_βｚ≠ｌｏｇ_αｙを第一検証者装置２ｘに
提示する。

【０２７５】［公開プロトコル］公開時、署名者装置５
ｘの確証処理部５ｘ_ｄは、各第一検証者装置２ｘ等が選
択したメッセージｍ_i∈Ｍ（i＝k）が、署名生成部５ｘ
_ｂにて選択されたメッセージｍ_kであること（ｍ_i＝
ｍ_k）を示す場合、データｘを第一検証者装置２ｘに送
る。

【０２７６】第一検証者装置２ｘは、（Ｐ_A，Cert_A，
ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）とｘを用いて以下の検証
式により否認不可署名の正当性を検証する。

【０２７７】

【数２７】

【０２７８】次に、λ^〜＝λ^ｘ（ｍｏｄｐ）の一致性
を検証する。これら否認不可署名が正当である時のみ、

【０２７９】

【数２８】

【０２８０】を計算し、次式によりグループ署名を検証
する。

【０２８１】

【数２９】

【０２８２】第一検証者装置２ｘは、否認不可署名
ｒ^〜，λ^〜と、グループ署名ｔとが正当である時のみ、
データ（ｒ，λ）を第二検証者装置３ｘに送る。

【０２８３】第二検証者装置３ｘは、前述同様に（ｒ，
λ，ｒ^〜，ｔ，ｍ_k，Ｐ_G）を用いてグループ署名の正当
性を次式より検証する。

【０２８４】

【数３０】

【０２８５】なお、図１９に第一検証者装置２ｘに与え
られる情報と、第二検証者装置３ｘに与えられる情報と
を示す。

【０２８６】上述したように本実施形態によれば、電子
入札方法に限らず、その上位概念のデジタル署名方法に
おいても、第２の実施形態と同様の作用効果を得ること
ができる。

【０２８７】すなわち、署名者のプライバシを保護し談
合を防止して依頼者利益を保護することができ、第一検
証者装置２ｘの信頼性や匿名通信路といった仮定には依
存せずに、一般的な暗号技術のみでシステム構築可能と
して実装を容易にすることができる。

【０２８８】また、暗号化メッセージ情報を、非暗号化
状態のメッセージを非添付とした否認不可署名として送
付するとともに、確認の際には、否認不可署名に含まれ
る離散対数の等価・非等価を証明することにより指定メ
ッセージの選択有無を確認するので、署名者の発信する
情報の秘匿性が強化され、この結果、プライバシ保護や
談合防止が一層強化される。

【０２８９】さらに、グループ署名を用いたことによ
り、指定メッセージを選択した旨が確定した後に、当該
署名者装置５に関する公開鍵等の情報を漏らさずに、第
二検証者装置３ｘにそのメッセージ情報を確認させるこ
とができる。

【０２９０】また、本実施形態は、前述同様の条件（１
ｘ）〜（３ｘ）を満足することができる。（１ｘ）第一検証者装置２ｘ及び他の署名者装置は、署
名者装置５ｘが確証時新規データを送らない限り、署名
者がどのメッセージに署名を施したかを知ることができ
ない。（２ｘ）署名者装置５ｘは、否認プロトコルにおいて、
選択したメッセージに署名を施した旨を否認できない。（３ｘ）第一検証者装置２ｘ及び他の署名者装置は、指
定メッセージを選択した署名者装置５ｘの秘密鍵を知ら
ないので、当該選択した署名者装置５ｘの正当な署名及
び否認付加署名を計算できない。

【０２９１】（発明の第６の実施形態）第６の実施形態
は、第２の実施形態の電子入札システムを上位概念化し
た第５の実施形態において、主催者２（第一検証者装置
２ｘ）の攻撃アルゴリズムを阻止する第３の実施形態を
適用させたものである。以下、前述した図１７及び図１
８を用い、第５の実施形態に対する変更部分について第
３の実施形態の文脈に沿って説明する。第６の実施形態
は、メッセージの種類の多少に関わらず、上記攻撃アル
ゴリズムを阻止し、常に上記条件（１ｘ）〜（３ｘ）を
満足させるものとなっている。

【０２９２】具体的には、第６の実施形態では、受付プ
ロトコル及び公開プロトコルで用いられるデータｒ^〜，
σ，ｔが次のように変更されている。すなわち、第６の
実施形態は、第５の実施形態におけるｒ^〜＝ｒ^ｘ（ｍｏ
ｄｐ）、σ＝ｋ−ｃＳ_A（ｍｏｄｑ）、ｔの分母内の
ハッシュ関数Ｈ（Ｗ_k，ｒ^〜，λ）に代えて、攻撃アル
ゴリズムを阻止する観点から、それぞれｒ^〜＝（ｒ^ｒ）
^ｘ（ｍｏｄｐ）、σ＝ｋｒ−ｃＳ_A（ｍｏｄｑ）、
ｔの分母内にてハッシュ関数Ｈ（Ｗ_k，ｒ^〜，ｒ，λ）
が使用されている。

【０２９３】本実施形態のデジタル署名システムは、こ
のような乱数ｒを自己を含む二変数ｒ，ｘにより秘匿す
る暗号化処理と、秘匿前後の乱数ｒ，ｒ^〜に基づくグル
ープ署名とが行なわれ、これに応じて受付プロトコル、
公開プロトコルが修正される他、第５の実施形態と同様
に構成される。

【０２９４】以下、修正される受付プロトコル及び公開
プロトコルについて説明する。［受付プロトコル］登録時におけるグループ鍵生成機関
装置２ｙのグループ分けの処理及び各グループＪの署名
用秘密鍵のＳ_Gjの送付処理は前述した通りである。次
に、署名者装置５ｘは、前述同様に、何らかの要求等に
対し、メッセージ空間Ｍ＝｛ｍ_１，ｍ_２，…，ｍ_ｎ｝か
ら１つのメッセージｍ_k（ｋ∈Ｍ）を選択し、次に、乱
数ｘ，ｋ，μ∈Ｚ_q ^*を選び、以下を計算する。なお、
以下の計算中、ｒ^〜，σ，ｔのＨは、第５の実施形態と
は異なり、乱数ｒを用いた暗号化が施されている。ま
た、ｒは第一検証者装置２ｘにとって未知のデータであ
り、ｒ^〜はその未知のデータｒを当該ｒ自身を用いて暗
号化した暗号化未知データである。また、σは第１の暗
号化メッセージ情報であり、ｔ内のＨ（ｗk，ｒ^〜，
ｒ，λ）は第２の暗号化メッセージ情報である。

【０２９５】

【数３１】

【０２９６】更に、グループ署名ｔを計算する。

【０２９７】

【数３２】

【０２９８】以下、前述同様に、署名者装置５ｘは（Ｐ
_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）を第一検証者
装置２ｘに送る。第一検証者装置２ｘは（ｈ，ｒ^〜，
σ，ｔ）を第二検証者装置３ｘに送る。

【０２９９】なお前述同様に、第一検証者装置２ｘが第
二検証者装置３ｘにデータ（ｈ，ｒ ^〜，σ，ｔ）を送出
せず、署名生成部５ｘ_ｂが当該データ（ｈ，ｒ^〜，σ，
ｔ）を第二検証者装置３ｘに送るようにしても良い。

【０３００】［否認プロトコル］否認プロトコルは、第
５の実施形態と同様に実行される。［公開プロトコル］全体の流れは第５の実施形態と同様
であるが、ｒを用いた暗号化に伴い、各検証式がｒを含
む内容に変更されている。以下、前述した文脈に沿って
説明する。

【０３０１】落札時、署名者装置５ｘは、ｘ，ｒを第一
検証者装置２ｘに送付する。第一検証者装置２ｘは、
（Ｐ_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）とｘ，ｒ
を用いて以下の検証式により否認不可署名の正当性を検
証する。

【０３０２】

【数３３】

【０３０３】次に、λ^〜＝λ^ｘ（ｍｏｄｐ）の一致性
を検証する。これら否認不可署名が正当である時のみ、
次式によりグループ署名を検証する。

【０３０４】

【数３４】

【０３０５】第一検証者装置２ｘは、否認不可署名
ｒ^〜，λ^〜と、グループ署名ｔとが正当である時のみ、
データ（ｒ，λ）を第二検証者装置３ｘに送る。

【０３０６】第二検証者装置３ｘは、前述同様に（ｒ，
λ，ｒ^〜，ｔ，ｍ_k，Ｐ_G）を用いてグループ署名の正当
性を次式より検証する。

【０３０７】

【数３５】

【０３０８】なお、図２０に第一検証者装置２ｘに与え
られる情報と、第二検証者装置３ｘに掲示される情報と
を示す。本実施形態では、前述した図１９とは異なり、
第一検証者装置２ｘに与えられる情報にｒが追加されて
いる。上述したように本実施形態によれば、デジタル署
名方法における第５の実施形態においても、第３の実施
形態と同様の作用効果を付加することができる。すなわ
ち、第６の実施形態は、第５の実施形態の効果に加え、
未知のデータによる第１及び第２の秘匿ステップを用い
たことにより、悪意の第一検証者装置による総当り的な
攻撃アルゴリズムの適用を阻止することができる。

【０３０９】なお、本発明は、上記各実施の形態に限定
されるものでなく、その要旨を逸脱しない範囲で種々に
変形することが可能である。また、各実施形態は可能な
限り適宜組み合わせて実施してもよく、その場合組み合
わされた効果が得られる。

【０３１０】例えば第１〜第３の実施形態においては、
オークション主催者装置から選択的に入札金額が提示さ
れ、これを入札者が選択する場合を説明しているが、こ
こでいう選択的というのは非常に広い意味で用いてい
る。すなわち一円単位での選択であっても選択的なので
あって、このような場合にはオークション主催者装置
は、最高金額又は最低金額（落札プロトコル開始金額）
しか示さない場合もある。この場合は、一円単位で選択
される結果となる。また、最高金額又は最低金額（落札
プロトコル開始金額）すら提示不要の場合もある。この
場合には、オークション主催者装置では、仮の最高金額
（若しくは最低金額）を提示し、この金額以上（若しく
は以下）で入札したかを否認プロトコルで確認すればよ
い。否認できない者がいる場合には、仮の最高金額を上
げればよい。

【０３１１】このように、選択的な入札金額というのは
本明細書では、広い意味を有するが、オークション主催
者装置にて具体的に提示された有限個の金額の中から選
択させるようにすると、効率的な処理を行うには好まし
い。

【０３１２】また、実施形態に記載した手法は、計算機
（コンピュータ）に実行させることができるプログラム
（ソフトウエア手段）として、例えば磁気ディスク（フ
ロッピー（登録商標）ディスク、ハードディスク等）、
光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ
等の記憶媒体に格納し、また通信媒体により伝送して頒
布することもできる。なお、媒体側に格納されるプログ
ラムには、計算機に実行させるソフトウエア手段（実行
プログラムのみならずテーブルやデータ構造も含む）を
計算機内に構成させる設定プログラムをも含むものであ
る。本装置を実現する計算機は、記憶媒体に記録された
プログラムを読み込み、また場合により設定プログラム
によりソフトウエア手段を構築し、このソフトウエア手
段によって動作が制御されることにより上述した処理を
実行する。

【０３１３】なお、本願発明は、上記各実施形態に限定
されるものでなく、実施段階ではその要旨を逸脱しない
範囲で種々に変形することが可能である。また、各実施
形態は可能な限り適宜組み合わせて実施してもよく、そ
の場合、組み合わされた効果が得られる。さらに、上記
各実施形態には種々の段階の発明が含まれており、開示
される複数の構成用件における適宜な組み合わせにより
種々の発明が抽出され得る。例えば実施形態に示される
全構成要件から幾つかの構成要件が省略されることで発
明が抽出された場合には、その抽出された発明を実施す
る場合には省略部分が周知慣用技術で適宜補われるもの
である。

【０３１４】その他、本発明はその要旨を逸脱しない範
囲で種々変形して実施できる。

【０３１５】

【発明の効果】以上詳記したように本発明によれば、入
札者や署名者のプライバシを保護し談合を防止して依頼
者利益を保護することができる電子入札方法、デジタル
署名方法及び記録媒体を提供することができる。

【０３１６】また、本発明によれば、プライバシ保護及
び談合防止を図りつつ、入札機関並びに第一検証者装置
の信頼性や匿名通信路といった仮定には依存せずに、一
般的な暗号技術のみでシステム構築可能として実装を容
易にすることができる電子入札方法、デジタル署名方法
及び記録媒体を提供することができる。

【０３１７】さらに、本発明によれば、複数の選択情報
がある場合に、その何れを選択したかを、当該選択内容
を開示することなく証明することができる情報証明方法
を提供することができる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態に係る電子入札方法
を適用した電子入札システムの一例を示す構成図。

【図２】オークション主催者装置の構成例を示すブロッ
ク図。

【図３】入札者装置の構成例を示すブロック図。

【図４】実施形態の電子入札方法における処理手順を説
明する流れ図。

【図５】実施形態における登録プロトコルの処理を示す
図。

【図６】実施形態における入札プロトコルの処理を示す
図。

【図７】入札段階の様子を模式的に示す図。

【図８】実施形態における開示・落札プロトコルの処理
を示す図。

【図９】落札までの様子を模式的に示す図。

【図１０】落札及びその検証の様子を模式的に示す図。

【図１１】本発明の第２の実施形態における電子入札方
法を説明する概念図。

【図１２】同実施形態におけるオークション主催者に与
えられる情報と公開掲示板に掲示される情報とを示す
図。

【図１３】同実施形態におけるオークション主催者に与
えられる情報と公開掲示板に掲示される情報とを示す
図。

【図１４】同実施形態におけるグループ署名の生成過程
を説明するための模式図。

【図１５】第２の実施形態におけるグループ署名の生成
過程を説明するための模式図。

【図１６】本発明の第４の実施形態に係る情報証明方法
を適用したインターネットゲームシステムの構成例を示
す図。

【図１７】本発明の第５の実施形態に係るデジタル署名
方法を適用したデジタル署名システムの一例を示す構成
図

【図１８】同実施形態におけるグループ鍵生成機関装置
及び署名者装置の構成を示す模式図

【図１９】同実施形態におけるオークション主催者に与
えられる情報と公開掲示板に掲示される情報とを示す
図。

【図２０】本発明の第６の実施形態におけるオークショ
ン主催者に与えられる情報と公開掲示板に掲示される情
報とを示す図。

【符号の説明】

１…ネットワーク２…オークション主催者装置２ｘ…第一検証者装置２ｙ…グループ鍵生成機関装置２ｙ_ａ，５ｘ_ａ…鍵生成部３…公開掲示板装置４…登録機関装置４ｘ…鍵登録機関装置５…入札者装置５ｘ…署名者装置５ｘ_ｂ…署名生成部５ｘ_ｃ…否認処理部５ｘ_ｄ…確証処理部６…依頼人装置７…監査員装置１１…入札処理部１２…開示落札処理部２１…ネット情報検索部２２…入札処理部２３…落札処理部２４…登録処理部５１…インターネット網５２…出題者装置５３…解答者装置６１…登録部６２…公開掲示板６３…ゲーム進行部６４…解答格納部６５…問題格納部７１…登録部７２…解答作成部７３…応答処理部

Claims

【特許請求の範囲】

【請求項１】電子的な通信経路を介し、入札者装置と
オークション主催者装置との間で情報を送受信すること
によりオークションを行う電子入札方法において、選択的な入札金額のうち何れかを選択し、その選択した
入札金額情報を暗号化して入札者装置からオークション
主催者装置に送信する入札ステップと、入札者装置が暗号化された入札金額情報を送信した後
に、選択可能な最高若しくは最低入札金額から金額を指
定し、オークション主催者装置から入札者装置に対し指
定金額で入札したか否かを確認するとともに、指定金額
で入札したことが何れかの入札者装置から確認されるま
で当該指定金額を順次下げ若しくは上げていく確認ステ
ップと、前記確認ステップにおいて、指定金額で入札した入札者
装置が確認された場合には当該入札者装置からの入札で
落札するよう決定する落札決定ステップとを有すること
を特徴とする電子入札方法。
【請求項２】前記入札ステップにおいては、暗号化入
札金額情報を、非暗号化状態の入札金額を非添付とした
否認不可署名として送付するとともに、前記確認ステップにおいては、前記否認不可署名に含ま
れる離散対数の等価・非等価を証明することにより指定
金額での入札有無を確認することを特徴とする請求項１
記載の電子入札方法。
【請求項３】前記落札決定ステップにおいては、落札
決定した後に、その落札された暗号化入札金額情報を復
号して確認可能な状態とすることを特徴とする請求項１
記載の電子入札方法。
【請求項４】前記入札ステップにおいては、前記選択
した入札金額情報を各々暗号化して互いに異なる第１及
び第２の暗号化入札金額情報を作成するステップと、前
記第１の暗号化入札金額情報をオークション主催者装置
に送信すると共に、入札者装置の属するグループの秘密
鍵と前記第２の暗号化入札金額情報とを用いたグループ
署名を当該入札者装置からオークション主催者装置に送
信するグループ署名送信ステップとを含み、前記選択決定ステップにおいては、落札決定した後に、
前記グループ署名内の第２の暗号化入札金額情報に含ま
れる入札金額情報を他の入札者装置から確認可能な状態
とすることを特徴とする請求項１に記載の電子入札方
法。
【請求項５】前記入札ステップにおいては、入札者装
置が前記オークション主催者装置にとって未知のデータ
を当該未知のデータ自身を変数に用いた暗号化により暗
号化未知データに変換し、この暗号化未知データを用い
て前記第１の暗号化入札金額情報を作成する第１の秘匿
ステップと、当該入札者装置が前記未知のデータを用い
て前記第２の暗号化入札金額情報を作成する第２の秘匿
ステップとを含み、前記確認ステップにおいては、前記指定金額での入札を
確認する際に、入札者装置が前記未知のデータを前記オ
ークション主催者装置に送信するステップと、この未知
のデータを用いて前記オークション主催者装置が第１の
暗号化入札金額情報に含まれる入札金額情報を確認する
ステップと、当該未知データを用いて前記オークション
主催者装置が前記グループ署名内の第２の暗号化入札金
額情報に含まれる入札金額情報を確認するステップとを
含んでいることを特徴とする請求項４に記載の電子入札
方法。
【請求項６】前記入札者装置が送信した暗号化入札金
額情報を公開的な電子掲示板装置に掲示する入札公開ス
テップを有し、前記確認ステップにおいては、入札者装置からの当該暗
号化入札金額情報が前記電子掲示板装置にすべて掲示さ
れた後に、指定金額の指定が開始されるとともに、前記落札決定ステップにおいては、落札決定した後に、
その落札された暗号化入札金額情報を復号して前記電子
掲示板装置に掲示することを特徴とする請求項１記載の
電子入札方法。
【請求項７】前記入札ステップにおいては、暗号化入
札金額情報を、非暗号化状態の入札金額を非添付とした
否認不可署名として送付するとともに、前記確認ステップにおいては、前記否認不可署名に含ま
れる離散対数の等価・非等価を証明することにより指定
金額での入札有無を確認するともに、落札決定した後
に、その落札された暗号化入札金額情報を否認不可署名
からデジタル署名に変換して前記電子掲示板装置に掲示
することを特徴とする請求項６記載の電子入札方法。
【請求項８】前記確認ステップ開始前に、前記電子掲
示板装置に掲示された自己の暗号化入札金額情報が正し
いか否かを各入札者装置に確認させ、当該情報が正しい
場合にはその確認のデジタル署名を前記入札者装置に送
信させる入札情報確認ステップを有することを特徴とす
る請求項７記載の電子入札方法。
【請求項９】前記入札情報確認ステップにおいては、
前記署名に用いる鍵を、前記オークション主催者装置か
ら与えられ、かつ複数の入札者装置にて共通して使用さ
れる鍵とすることを特徴とする請求項８記載の電子入札
方法。
【請求項１０】電子的な通信経路を介し、入札者装置
とオークション主催者装置との間で情報を送受信するこ
とによりオークションを行う電子入札システムにおける
主催者装置を制御するプログラムであって、選択的な入札金額を提示させるとともに、前記入札者装
置が選択しかつ暗号化した入札金額情報を受信する入札
手段と、すべての暗号化入札金額情報を受信した後に、選択可能
な最高若しくは最低入札金額から金額を指定させ、入札
者装置に対し指定金額で入札したか否かを確認させると
ともに、指定金額で入札したことが何れかの入札者装置
から確認されるまで当該指定金額を順次下げさせ若しく
は上げさせ、かつ、前記指定金額で入札した入札者装置
が確認された場合には当該入札者装置からの入札で落札
させる落札手段としてコンピュータを機能させるための
プログラムを記録したコンピュータ読み取り可能な記録
媒体。
【請求項１１】前記入札手段は、前記暗号化入札金額
情報を、非暗号化状態の入札金額を非添付とした否認不
可署名として受信させるとともに、前記入札手段は、前記否認不可署名に含まれる離散対数
の等価・非等価を証明させることにより指定金額での入
札有無を確認させることを特徴とする請求項１０記載の
記録媒体。
【請求項１２】前記入札手段は、前記入札者装置が選
択しかつ各々暗号化した第１及び第２の暗号化入札金額
情報のうち、第１の暗号化入札金額情報を受信するとと
もに、第２の暗号化入札金額情報を含むグループ署名を
受信し、前記落札手段は、落札決定した後に、前記グループ署名
内の第２の暗号化入札金額情報に含まれる入札金額情報
を他の入札者装置から確認可能な状態とすることを特徴
とする請求項１０に記載の記録媒体。
【請求項１３】前記落札手段は、前記指定金額での入
札を確認する際に、入札者装置から前記第１及び第２の
暗号化入札金額情報の作成に用いた未知のデータを受信
すると、この未知のデータを用いて第１の暗号化入札金
額情報に含まれる入札金額情報を確認するとともに、当
該未知データを用いて前記グループ署名内の第２の暗号
化入札金額情報に含まれる入札金額情報を確認すること
を特徴とする請求項１２に記載の記録媒体。
【請求項１４】電子的な通信経路を介し、入札者装置
とオークション主催者装置との間で情報を送受信するこ
とによりオークションを行う電子入札システムにおける
入札者装置を制御するプログラムであって、提示された選択的な入札金額のうち何れかを選択させ、
その選択した入札金額情報を暗号化させてオークション
主催者装置に送信させる入札手段と、オークション主催者装置から指定金額で入札したか否か
の確認を求められたときに、その確認に必要な情報を当
該主催者装置に送信させる確認手段としてコンピュータ
を機能させるためのプログラムを記録したコンピュータ
読み取り可能な記録媒体。
【請求項１５】前記入札ステップは、暗号化入札金額
情報を、非暗号化状態の入札金額を非添付とした否認不
可署名として送信させるとともに、前記確認手段は、前記否認不可署名に含まれる離散対数
の等価・非等価を証明させるための情報を送信させるこ
とを特徴とする請求項１４記載の記録媒体。
【請求項１６】前記入札手段は、前記選択させた入札
金額情報を各々暗号化して互いに異なる第１及び第２の
暗号化入札金額情報を作成し、前記第１の暗号化入札金
額情報をオークション主催者装置に送信させると共に、
自己の入札者装置の属するグループの秘密鍵と前記第２
の暗号化入札金額情報とを用いたグループ署名をオーク
ション主催者装置に送信させる機能を含んでいることを
特徴とする請求項１４に記載の記録媒体。
【請求項１７】前記入札手段は、前記オークション主
催者装置にとって未知のデータを当該未知のデータ自身
を変数に用いた暗号化により暗号化未知データに変換
し、この暗号化未知データを用いて前記第１の暗号化入
札金額情報を作成する第１の秘匿機能と、当該未知のデ
ータを用いて前記第２の暗号化入札金額情報を作成する
第２の秘匿機能とを含み、前記確認手段は、前記指定金額で入札した旨を確認させ
る際に、前記未知のデータを前記オークション主催者装
置に送信させる機能を含んでいることを特徴とする請求
項１６に記載の記録媒体。
【請求項１８】電子的な通信経路を介し、証明側装置
と証明要求装置との間で情報を送受信することにより情
報証明を行う情報証明方法において、選択的な情報のうち何れかを選択し、その選択情報を非
暗号化状態では添付せずかつ否認不可署名に含めて送信
する情報提出ステップと、前記否認不可署名に含まれる離散対数の等価・非等価を
証明することにより、前記選択情報を非開示としつつあ
る情報を選択したか否かを証明する情報証明ステップと
を有することを特徴とする情報証明方法。
【請求項１９】電子的な通信経路を介し、入札者装置
とオークション主催者装置との間で情報を送受信するこ
とによりオークションを行う電子入札方法において、入札者に入札金額情報の入力を促す段階と、所定の金額を指定し、オークション主催者装置から入札
者装置に対し当該指定金額で入力したか否かの確認を促
し、入札者装置から当該指定金額で入力したとの確認が
なされない場合には当該指定金額を変更する確認段階
と、前記指定金額で入札した入札者装置が確認された場合に
は当該入札者装置からの入札で落札するよう決定する落
札決定段階とを有することを特徴とする電子入札方法。
【請求項２０】電子的な通信経路を介し、入札者装置
とオークション主催者装置との間で情報を送受信するこ
とによりオークションを行う電子入札方法において、入札者に入札金額情報の入力を促す段階と、所定の金額を指定し、オークション主催者装置から入札
者装置に対し当該指定金額で入力したか否かの確認を促
し、入札者装置から当該指定金額で入力したとの確認が
なされない場合には当該指定金額を順次上げ又は順次下
げていく確認段階と、前記指定金額で入札した入札者装置が確認された場合に
は当該入札者装置からの入札で落札するよう決定する落
札決定段階とを有することを特徴とする電子入札方法。
【請求項２１】前記入力を促す段階の後に、暗号化さ
れた入札金額情報を受け付ける段階を有することを特徴
とする請求項１９又は２０に記載の電子入札方法。
【請求項２２】前記落札決定段階においては、落札決
定した後に、その落札された暗号化入札金額情報を復号
して確認可能な状態とすることを特徴とする請求項２１
記載の電子入札方法。
【請求項２３】電子的な通信経路を介し、署名者装置
と第一検証者装置との間で情報を送受信することによ
り、前記署名者装置がメッセージを選択してデジタル署
名を行ない、この選択内容を前記第一検証者装置が確認
するデジタル署名方法であって、選択的なメッセージのうち何れかを選択し、その選択し
たメッセージ情報を暗号化して署名者装置から第一検証
者装置に送信する受付ステップと、署名者装置が暗号化されたメッセージ情報を送信した後
に、選択可能な複数のメッセージのうち、いずれかのメ
ッセージを指定し、第一検証者装置から署名者装置に対
し指定メッセージを選択したか否かを確認するととも
に、指定メッセージを選択したことが何れかの署名者装
置から確認されるまで当該指定メッセージを順次、選択
可能な他のメッセージに変更していく確認ステップと、前記確認ステップにおいて、指定メッセージを選択した
署名者装置が確認された場合には当該署名者装置からの
選択内容を確定するよう決定する選択決定ステップとを
有することを特徴とするデジタル署名方法。
【請求項２４】前記受付ステップにおいては、暗号化
メッセージ情報を、非暗号化状態のメッセージを非添付
とした否認不可署名として送付するとともに、前記確認ステップにおいては、前記否認不可署名に含ま
れる離散対数の等価・非等価を証明することにより指定
メッセージの選択有無を確認することを特徴とする請求
項２３記載のデジタル署名方法。
【請求項２５】前記選択決定ステップにおいては、選
択内容が確定した後に、その確定された暗号化メッセー
ジ情報を復号して確認可能な状態とすることを特徴とす
る請求項２３記載のデジタル署名方法。
【請求項２６】前記受付ステップにおいては、前記選
択したメッセージ情報を各々暗号化して互いに異なる第
１及び第２の暗号化メッセージ情報を作成するステップ
と、前記第１の暗号化メッセージ情報を第一検証者装置
に送信すると共に、署名者装置の属するグループの秘密
鍵と前記第２の暗号化メッセージ情報とを用いたグルー
プ署名を当該署名者装置から第一検証者装置に送信する
グループ署名送信ステップとを含み、前記選択決定ステップにおいては、確定した後に、前記
グループ署名内の第２の暗号化メッセージ情報に含まれ
るメッセージ情報を第二検証者装置から確認可能な状態
とすることを特徴とする請求項２３に記載のデジタル署
名方法。
【請求項２７】前記受付ステップにおいては、署名者
装置が前記第一検証者装置にとって未知のデータを当該
未知のデータ自身を変数に用いた暗号化により暗号化未
知データに変換し、この暗号化未知データを用いて前記
第１の暗号化メッセージ情報を作成する第１の秘匿ステ
ップと、当該署名者装置が前記未知のデータを用いて前
記第２の暗号化メッセージ情報を作成する第２の秘匿ス
テップとを含み、前記確認ステップにおいては、前記指定メッセージの選
択を確認する際に、署名者装置が前記未知のデータを前
記第一検証者装置に送信するステップと、この未知のデ
ータを用いて前記第一検証者装置が第１の暗号化メッセ
ージ情報に含まれるメッセージ情報を確認するステップ
と、当該未知のデータを用いて前記第一検証者装置が前
記グループ署名内の第２の暗号化メッセージ情報に含ま
れるメッセージ情報を確認するステップとを含んでいる
ことを特徴とする請求項２６に記載のデジタル署名方
法。
【請求項２８】電子的な通信経路を介し、署名者装置
と第一検証者装置との間で情報を送受信することによ
り、前記署名者装置がメッセージを選択してデジタル署
名を行ない、この選択内容を前記第一検証者装置が確認
するデジタル署名システムに使用されるコンピュータ読
取り可能な記録媒体であって、前記第一検証者装置のコンピュータを、選択的なメッセージを提示させるとともに、前記署名者
装置が選択しかつ暗号化したメッセージ情報を受信する
受付手段、すべての暗号化メッセージ情報を受信した後に、選択可
能な複数のメッセージのうち、いずれかのメッセージを
指定させ、署名者装置に対し指定メッセージを選択した
か否かを確認させるとともに、指定メッセージを選択し
たことが何れかの署名者装置から確認されるまで当該指
定メッセージを順次、選択可能な他のメッセージに変更
させ、かつ、前記指定メッセージを選択した署名者装置
が確認された場合には当該署名者装置からの選択内容を
確定させる確認手段、として機能させるためのプログラムを記録したコンピュ
ータ読取り可能な記録媒体。
【請求項２９】前記受付手段は、前記暗号化メッセー
ジ情報を、非暗号化状態のメッセージを非添付とした否
認不可署名として受信させるとともに、前記確認手段は、前記否認不可署名に含まれる離散対数
の等価・非等価を証明させることにより指定メッセージ
の選択有無を確認させることを特徴とする請求項２８記
載の記録媒体。
【請求項３０】前記受付手段は、前記署名者装置が選
択しかつ各々暗号化した第１及び第２の暗号化メッセー
ジ情報のうち、第１の暗号化メッセージ情報を受信する
とともに、第２の暗号化メッセージ情報を含むグループ
署名を受信し、前記確認手段は、確定した後に、前記グループ署名内の
第２の暗号化メッセージ情報に含まれるメッセージ情報
を第二検証者装置から確認可能な状態とすることを特徴
とする請求項２８に記載の記録媒体。
【請求項３１】前記確認手段は、前記指定メッセージ
の選択を確認する際に、署名者装置から前記第１及び第
２の暗号化メッセージ情報の作成に用いた未知のデータ
を受信すると、この未知のデータを用いて第１の暗号化
メッセージ情報に含まれるメッセージ情報を確認すると
ともに、当該未知データを用いて前記グループ署名内の
第２の暗号化メッセージ情報に含まれるメッセージ情報
を確認することを特徴とする請求項３０に記載の記録媒
体。
【請求項３２】電子的な通信経路を介し、署名者装置
と第一検証者装置との間で情報を送受信することによ
り、前記署名者装置がメッセージを選択してデジタル署
名を行ない、この選択内容を前記第一検証者装置が確認
するデジタル署名システムに使用されるコンピュータ読
取り可能な記録媒体であって、前記署名者装置のコンピュータを、提示された選択的なメッセージのうち何れかを選択さ
せ、その選択したメッセージ情報を暗号化させて第一検
証者装置に送信させる受付手段、第一検証者装置から指定メッセージを選択したか否かの
確認を求められたときに、その確認に必要な情報を当該
第一検証者装置に送信させる確認手段、として機能させるためのプログラムを記録したコンピュ
ータ読取り可能な記録媒体。
【請求項３３】前記受付手段は、暗号化メッセージ情
報を、非暗号化状態のメッセージを非添付とした否認不
可署名として送信させるとともに、前記確認手段は、前記否認不可署名に含まれる離散対数
の等価・非等価を証明させるための情報を送信させるこ
とを特徴とする請求項３２記載の記録媒体。
【請求項３４】前記受付手段は、前記選択させたメッ
セージ情報を各々暗号化して互いに異なる第１及び第２
の暗号化メッセージ情報を作成し、前記第１の暗号化メ
ッセージ情報を第一検証者装置に送信させると共に、自
己の署名者装置の属するグループの秘密鍵と前記第２の
暗号化メッセージ情報とを用いたグループ署名を第一検
証者装置に送信させる機能を含んでいることを特徴とす
る請求項３２に記載の記録媒体。
【請求項３５】前記受付手段は、前記第一検証者装置
にとって未知のデータを当該未知のデータ自身を変数に
用いた暗号化により暗号化未知データに変換し、この暗
号化未知データを用いて前記第１の暗号化メッセージ情
報を作成する第１の秘匿機能と、当該未知のデータを用
いて前記第２の暗号化メッセージ情報を作成する第２の
秘匿機能とを含み、前記確認手段は、前記指定メッセージを選択した旨を確
認させる際に、前記未知のデータを前記第一検証者装置
に送信させる機能を含んでいることを特徴とする請求項
３４に記載の記録媒体。