JP2002268545A - 暗号文の平文が区間内にあることの証明システムと証明文の作成方法、その証明文による検証方法 - Google Patents

Abstract

(57)【要約】 【課題】 与えられたコミットメントに対して、そのコ
ミットメントからコミットされた数を求めて、コミット
された数が定められた区間内にある場合は、検証者に対
してコミットされた数を隠したまま、コミットされた数
が定められた区間にあることを証明する。 【解決手段】 確率暗号文の平文である数値が指定され
た範囲内にあることを証明するための証明文を作成する
証明文作成装置において、確率暗号文を復号して、平文
の値及び、当該平文を当該確率暗号文に暗号化するため
に用いられた乱数の値を取得する復号部を備え、復号部
により取得された平文の値と乱数の値を用いて、証明文
を作成することを特徴とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、確率暗号を用いた
ゼロ知識証明に関し、特に、暗号化された数値が定めら
れた区間内に属することを、その数値を隠したまま証明
する暗号文の平文が区間内にあることの証明システム
と、暗号化された数値が定められた区間内に属すること
を証明する証明文の作成方法、及びその証明文による暗
号化された数値が定められた区間内に属することの検証
方法に関する。

【０００２】

【従来の技術】従来、特定の数値が定められた区間にあ
ることを、その値を隠したまま証明する技術について、
例えばファブリーチェ ブード（Fabrice Boudot）によ
る方式がある。これは文献「エフィシエント プルーフ
ス ザット ア コミッテッド ナンバー ライズ イン ア
ン インターバル、アドバンス イン クリプトロジー、
プロシーヂング オブ ユーロクリプト ２０００、エル
エヌシーエス １８０７、シュプリンガー フェアラー
グ、４３１ページから４４４ページまで、２０００年
（Efficient Proofs that a Committed Number Lies in
an Interval, Advancein Cryptology, Proceeding of
Eurocrypt' 2000, LNCS1807, Springer-Verlag,pp. 431
-444, 2000）」に開示されている。この方式では、与え
られた値を、乱数を用いてコミットし、その値が定めら
れた区間内にあることを、その値を隠したまま証明す
る。

【０００３】以下に、図面を参照してこの従来の技術の
概略を説明する。図１０は、この従来技術における、特
定の数値が定められた区間にあることを、その特定の数
値を隠したまま証明するための証明文を作成する証明文
作成装置の構成を説明するためのブロック図であり、図
１１は、この証明文作成装置の処理を説明するためのフ
ローチャートであり、図１２は、この証明文作成装置の
演算処理を詳細に説明するための図である。

【０００４】図１２においては、証明文の上半分（３３
−１ａ、３３−２ａ）を導く過程が点線により省略され
ているが、これは以下に説明する下半分（３３−３ａ、
３３−４ａ）を導く過程と全く同様にして導くことがで
きる。

【０００５】ここでの「xをコミットする」とは、一方
向性関数にxが（と場合により乱数とが）入力された結
果を公開することであり、この結果をコミットメントと
呼ぶ。一方向性関数の性質より、xのコミットメントよ
りxを求めることはできず、また、同じコミットメント
を与えるx以外の入力を求めることも困難となる。こう
して、数値xは、一方向性関数により（と場合により乱
数を用いて）暗号化されるのである。

【０００６】合成数nを、証明者、検証者のいずれも知
らない（十分に大きな）２つの素数p、qの積であるとす
る。g、hを、乗法群Ｚ^* _nの要素で、互いを底とする離散
対数のどちらも証明者と検証者は知らないとする。

【０００７】証明者は、まず図１２の１０１に示される
ように、コメットされる数１５ａ（被コミット数）であ
る“x”と、そのコミットメントに用いる乱数１６ａで
ある“r”を用いて、計算した値“g^xh^rmod n”をxのコ
ミットメント３３−５ａとして算出する（ステップ１１
０１）。このxの値が、指定された区間である[a、b]の
区間内にあることを、xを秘密にしたまま証明するため
の証明文を作成する。

【０００８】そして図１２の１０２において、被コミッ
ト数のx、指定された区間を定める定数１３ａである下
限値a、上限値bのコミットメントから区間の両端値との
差x-a（１０３）、b-x（１０４）のコミットメントを計
算する（ステップ１１０２）。そして図１２の１０５、
１０６において、安全変数１４ａと定められた区間の大
きさから求められる変数Tを用いて、この２つのコミッ
トメントを2^T乗し、2^T(x-1)、2^T(b-x)のコミットメント
を計算する（ステップ１１０３）。

【０００９】そして、コミットされた各値2^T(x-1)、2
^T(b-x)を隠したまま（解読困難性を保ったまま）、これ
らの値が-2^Tより大きいことをそれぞれ証明する。x、
a、bが整数なので、この証明は、x-a、b-xが正であるこ
と、すなわちxが[a、b]の区間内にあることの証明とな
る。以下ではコミットされた数が-2^Tより大きいこと
を、その数を秘密にしたまま（解読困難性を保ったま
ま）、検証者に対して証明する方法について述べる。

【００１０】以下、この秘密の数（つまり、2T(x-1)、2
T(b-x)の一方の値）をXとする。vをXの平方根より小さ
い最大の整数とし、整数zをX-v²として取る（ステップ
１１０４）。

【００１１】ここで、v²、u、Xをコミットする。検証者
は、これらのコミットメントから、コミットされた各数
がv²+u=Xなる関係を満たすことが分かる。

【００１２】そして、図１２の１１０において、uのコ
ミットメントが、絶対値が2^Tより小さい値のコミットメ
ントであることを、uを隠したままで証明するための証
明文３３−４ａを生成する。更に、図１２の１１１にお
いて、v²のコミットメントが、平方数のコミットメント
であることを、vを隠したままで証明するための証明文
３３−３ａを生成する（ステップ１１０５）。

【００１３】正である平方数と、絶対値が2^Tより小さい
値の和であるXは-2^Tより大きくなる。uの絶対値が2^Tよ
り小さいことの証明をuの値を隠して行なうためには、u
の絶対値は2^Tよりずっと小さい必要がある。そのような
絶対値の小さなuと平方数との和で[a、b]の区間内にあ
る整数全てが表せるように十分に大きなTを選ぶことに
よりXの値を隠す。また、これらの証明にはコミットメ
ントを生成するために使った乱数が必要になる。

【００１４】

【発明が解決しようとする課題】しかし、従来の技術で
は、以下に述べるような問題点があった。

【００１５】［問題（１）］定められた区間内にあるこ
とを証明したい数は、証明者自らコミットしたものに限
られるという問題点がある（暗号文のみを与えられても
証明できない）。これは、証明文の作成のために、証明
にコミットした数とコミットするのに使った乱数との両
方を必要とするためである。

【００１６】［問題（２）］証明者が乗法群Ｚ^* _nの位数
（周期）ｎを知らないことが保証されていなければなら
ない。これは、コミットメントのコミットされる数に関
する周期を証明者が知っていると、コミットされた数(v
²)が平方であることの証明は、コミットされた数の存在
する区間を制限できないからである(乗法群Ｚ^* _nの位数
はコミットメントのコミットされる数に関する周期とな
る)。

【００１７】上記２つの問題点の解決が重要となる例を
次に挙げる。

【００１８】[例]例として、アンケート式の個人の性格
の傾向診断サービスを考える。主催者は利用者にアンケ
ートを配り、利用者はそれに回答して主催者に返送し、
主催者は傾向の有無を利用者に返答する。

【００１９】ここで利用者のプライバシー保護のため、
利用者がどの項目に印をつけたか主催者に分からないよ
うにしたい。また、主催者のノウハウを隠すためや、利
用者が結果を意識してアンケートに答えることがないよ
うにするため、アンケートの各項目が診断される傾向に
正に働くのか或は負に働くのか利用者に分からないよう
にしたい。診断の詳細を知らせないために、利用者の傾
向の具体的数値は利用者に分からないようにして、利用
者の傾向がある閾値を超えたかのみを伝えたい。また、
主催者が特定の利用者に故意に偽の診断結果を伝えるこ
とを防ぐために、診断結果を主催者が偽造していないこ
とを利用者に保証したい。

【００２０】主催者はアンケートの各質問項目に対応し
て、１又は０をコミットしたもの(g ¹h^rmod n、又はg⁰h^r
mod n)のどちらかである要素からなる列を利用者に配
る。各コミットメントが１のコミットメントであるか０
のコミットメントであるかが対応する質問項目が診断さ
れる傾向に正に働くのか或は負に働くのかを決める。乱
数rは各コミットメント毎に異なるものを使い、利用者
にコミットメントされている数を分からなくする。利用
者は自分の当てはまると思われる質問に対応するコミッ
トメントと任意の乱数r"を選び、それらコミットメント
とh^r"との積を求め主催者に返送する。この積はg
^{0+,・・・,+1}h^{r'+,・・・,+r+r"}mod nといった形をしており、
判断に正に働く項目の質問を利用者が選んだ数がコミッ
トされている。ここで、コミットされている数と乱数r'
+,・・・,+r+r"とを主催者が知ることができれば、従来の
技術を使うことにより主催者は適正判断の結果を、(傾
向の)具体的な数値を示すことなく利用者に証明するこ
とができる(判断に使われる項目を選んだ数がある値を
超えるかどうかで適正の有無を判断するとする)。

【００２１】この場合に、主催者はこの積からは利用者
がどの項目を選んだかは分からない。

【００２２】[例における問題点]上記アンケートで従来
の技術を使った場合、問題（１）により主催者は、アン
ケート結果であるコミットメントの積からコミットされ
た数及び乱数を知ることができない。また、何らかの新
しい方法でこれらの数が分かったとしても、主催者がＺ
^* _nを定めたのならば、問題（２）により、その数が定め
られた区間にあるかどうかを証明することができない。

【００２３】本発明の目的は、上記従来技術の欠点を解
決し、証明者以外が作成したコミットメントに対して
も、証明者がそのコミットメントからコミットされた数
を求めて、コミットされた数が定められた区間にある場
合は、検証者に対してコミットされた数を隠したまま、
コミットされた数が定められた区間にあることを証明す
る暗号文の平文が区間内にあることの証明システムと証
明文の作成方法、その証明文による検証方法を提供する
ことである。

【００２４】すなわち、従来の技術では、証明者自身が
隠して所持している数に関してその数の属する区間を証
明するものであったが、本発明においては、証明者が
（証明文作成装置が）他より与えらたコミットメントに
対して、コミットされた数の属する区間を証明するので
ある。

【００２５】

【課題を解決するための手段】上記目的を達成するため
本発明の暗号文の平文が区間内にあることの証明システ
ムは、確率暗号文の平文である数値が指定された範囲内
にあることを証明するための証明文を作成し、かつ前記
証明文に基づいて当該平文の値が当該指定された範囲内
にあることを検証する暗号文の平文が区間内にあること
の証明システムにおいて、前記平文の値、当該平文を当
該確率暗号文に暗号化するために用いられた乱数の値、
前記指定された範囲を定める上限値と下限値、及び、正
しく検証される確率を規定する安全変数の値とに基づい
て、前記確率暗号文の解読困難性を失うことなく前記平
文の値が前記指定された範囲内にあるか否かを判定する
ための前記証明文を作成する証明文作成装置と、検証対
象の前記確率暗号文、前記指定された範囲を定める上限
値と下限値、前記証明文、及び、正しく検証される確率
を規定する安全変数の値とに基づいて、前記平文の値が
前記指定された範囲内にあるか否かを、前記安全変数に
規定された以上の確率で正確に検証する検証装置を備え
ることを特徴とする。

【００２６】請求項２の本発明の暗号文の平文が区間内
にあることの証明システムは、前記証明文作成装置は、
前記確率暗号文を復号して、前記平文の値及び、当該平
文を当該確率暗号文に暗号化するために用いられた前記
乱数の値を取得する復号部を備え、前記復号部により取
得された前記平文の値と前記乱数の値を用いて、前記証
明文を作成することを特徴とする。

【００２７】請求項３の本発明の暗号文の平文が区間内
にあることの証明システムは、前記証明文作成装置は、
前記上限値から前記平文の値を減算した値と、前記平文
の値から前記下限値を減算した値との２種類の数値を算
出する両端値との差の算出部と、前記安全変数に基づい
て定められる拡大係数の値を、前記両端値との差の算出
部により算出された２種類の数値のそれぞれに乗じて、
それぞれの拡大値を算出する拡大部と、前記拡大値のそ
れぞれに対して、各前記拡大値以下の最大の平方数と、
各前記拡大値から対応する前記平方数の値を減算した差
の値とを算出することにより、前記拡大値のそれぞれを
前記平方数と前記差の値とに分割する分割部と、各前記
拡大値を分割して得られた各前記数値を暗号化して、暗
号文を生成する暗号化部と、各前記拡大値を分割して得
られた各前記数値に関する証明文を生成する証明文生成
部を備え、前記暗号化部により生成された前記暗号文
と、証明文生成部により生成された前記数値に関する証
明文とを、前記平文の値が指定された範囲内にあること
を証明するための前記証明文として出力することを特徴
とする。

【００２８】請求項４の本発明の暗号文の平文が区間内
にあることの証明システムは、前記検証装置は、前記上
限値から前記平文の値を減算した値と、前記平文の値か
ら前記下限値を減算した値との２種類の両端値との差の
値の、それぞれの暗号文を生成する両端値との差の暗号
文生成部と、前記両端値との差の暗号文生成部により生
成された各前記暗号文のそれぞれを、前記安全変数に基
づいて定められる拡大係数を前記２種類の両端値との差
の値のそれぞれに乗じて得られる値を暗号化した、拡大
値暗号文に変換する拡大部と、各前記拡大値暗号文を、
それぞれに第１の暗号文と第２の暗号文との２つの暗号
文の積に分解する分解部と、各前記拡大値暗号文を分解
して得られたそれぞれの前記２つの暗号文を検証する検
証部と、前記検証部による健勝結果に基づいて、当該確
率暗号文の平文である数値が当該指定された範囲内にあ
るか否かを判定する判定部を備えることを特徴とする。

【００２９】請求項５の本発明の暗号文の平文が区間内
にあることの証明システムは、前記証明文作成装置の前
記暗号化部は、各前記拡大値のそれぞれに対して、前記
分割部により分割された前記平方数と前記差の値との少
なくとも一方を暗号化することにより、前記暗号文を生
成することを特徴とする。

【００３０】請求項６の本発明の暗号文の平文が区間内
にあることの証明システムは、前記検証装置の前記分解
部は、各前記拡大値暗号文における、前記上限値から前
記平文の値を減算した値を基に生成された側と前記平文
の値から前記下限値を減算した値を基に生成された側と
のそれぞれにおいて対応する、前記証明文において暗号
化されて備えられている前記拡大値から算出される前記
平方数と前記差の値とのいずれか一方の値の暗号文をそ
れぞれに取得して、各前記拡大値暗号文のそれぞれに、
前記証明文に備えられる対応する側の値の暗号文を前記
第１の暗号文とし、前記第１の暗号文との積が対応する
前記拡大値暗号文を成す暗号文である前記第２の暗号文
をそれぞれ算出することにより、各前記拡大値暗号文を
分解することを特徴とする。

【００３１】請求項７の本発明の暗号文の平文が区間内
にあることの証明システムは、前記証明文作成装置の前
記証明文生成部は、各前記拡大値のそれぞれの前記差の
値が、前記拡大係数より小さいことを証明する証明文
と、各前記拡大値のそれぞれの前記平方数が、平方数を
成しかつ前記確率暗号文の周期の半分より小さいことを
証明する証明文とを、各前記数値に関する証明文として
生成することを特徴とする。

【００３２】請求項８の本発明の暗号文の平文が区間内
にあることの証明システムは、前記検証装置の前記検証
部は、各前記数値に関する証明文に基づいて、前記第１
の暗号文及び前記第２の暗号文を検証し、前記第１の暗
号文が前記平方数の側に対応する場合には、前記第１の
暗号文の平文の値が平方数を成しかつ前記確率暗号文の
周期の半分より小さいことの検証と、前記第２の暗号文
の平文の値が前記拡大係数より小さいことの検証とを行
い、前記第１の暗号文が前記差の値の側に対応する場合
には、前記第１の暗号文の平文の値が前記拡大係数より
小さいことの検証と、前記第２の暗号文の平文の値が平
方数を成しかつ前記確率暗号文の周期の半分より小さい
ことの検証とを行い、前記検証装置の前記判定部は、前
記検証部による前記第１の暗号文及び前記第２の暗号文
の前記検証において、いずれも受理された場合に限り、
前記確率暗号文の平文である数値が前記指定された範囲
内にあると判定することを特徴とする。

【００３３】請求項９の本発明の証明文作成装置は、確
率暗号文の平文である数値が、指定された範囲内にある
ことを証明するための証明文を作成する証明文作成装置
において、前記平文の値、当該平文を当該確率暗号文に
暗号化するために用いられた乱数の値、前記指定された
範囲を定める上限値と下限値、及び、正しく検証される
確率を規定する安全変数の値とに基づいて、前記証明文
を作成する手段を備えることにより、前記確率暗号文、
前記上限値、前記下限値、前記安全変数、及び、作成さ
れた前記証明文とに基づく検証において、前記確率暗号
文の解読困難性を失うことなく、前記平文の値が前記指
定された範囲内にあるか否かを前記安全変数に規定され
た以上の確率で正確に検証するための、前記証明文を作
成することを特徴とする。

【００３４】請求項１０の本発明の証明文作成装置は、
前記確率暗号文を復号して、前記平文の値及び、当該平
文を当該確率暗号文に暗号化するために用いられた前記
乱数の値を取得する復号部を備え、前記証明文を作成す
る手段は、前記復号部により取得された前記平文の値と
前記乱数の値を用いて、前記証明文を作成することを特
徴とする。

【００３５】請求項１１の本発明の証明文作成装置は、
前記証明文を作成する手段は、前記上限値から前記平文
の値を減算した値と、前記平文の値から前記下限値を減
算した値との２種類の数値を算出する両端値との差の算
出部と、前記安全変数に基づいて定められる拡大係数の
値を、前記両端値との差の算出部により算出された２種
類の数値のそれぞれに乗じて、それぞれの拡大値を算出
する拡大部と、前記拡大値のそれぞれに対して、各前記
拡大値以下の最大の平方数と、各前記拡大値から対応す
る前記平方数の値を減算した差の値とを算出することに
より、前記拡大値のそれぞれを前記平方数と前記差の値
とに分割する分割部と、各前記拡大値を分割して得られ
た各前記数値を暗号化して、暗号文を生成する暗号化部
と、各前記拡大値を分割して得られた各前記数値に関す
る証明文を生成する証明文生成部を備え、前記暗号化部
により生成された前記暗号文と、証明文生成部により生
成された前記数値に関する証明文とを、前記平文の値が
指定された範囲内にあることを証明するための前記証明
文として出力することを特徴とする。

【００３６】請求項１２の本発明の証明文作成装置は、
前記暗号化部は、各前記拡大値のそれぞれに対して、前
記分割部により分割された前記平方数と前記差の値との
少なくとも一方を暗号化することにより、前記暗号文を
生成することを特徴とする。

【００３７】請求項１３の本発明の証明文作成装置は、
前記証明文生成部は、各前記拡大値のそれぞれの前記差
の値が、前記拡大係数より小さいことを証明する証明文
と、各前記拡大値のそれぞれの前記平方数が、平方数を
成しかつ前記確率暗号文の周期の半分より小さいことを
証明する証明文とを、各前記数値に関する証明文として
生成することを特徴とする。

【００３８】請求項１４の本発明の検証装置は、確率暗
号文の平文である数値が指定された範囲内にあることを
証明する証明文に基づき、当該平文の値が当該指定され
た範囲内にあることを検証する検証装置において、検証
対象の前記確率暗号文、前記指定された範囲を定める上
限値と下限値、前記証明文、及び、正しく検証される確
率を規定する安全変数の値とに基づいて、前記平文の値
が前記指定された範囲内にあるか否かを、前記安全変数
に規定された以上の確率で正確に検証することを特徴と
する。

【００３９】請求項１５の本発明の検証装置は、前記上
限値から前記平文の値を減算した値と、前記平文の値か
ら前記下限値を減算した値との２種類の両端値との差の
値の、それぞれの暗号文を生成する両端値との差の暗号
文生成部と、前記両端値との差の暗号文生成部により生
成された各前記暗号文のそれぞれを、前記安全変数に基
づいて定められる拡大係数を前記２種類の両端値との差
の値のそれぞれに乗じて得られる値を暗号化した、拡大
値暗号文に変換する拡大部と、各前記拡大値暗号文を、
それぞれに第１の暗号文と第２の暗号文との２つの暗号
文の積に分解する分解部と、各前記拡大値暗号文を分解
して得られたそれぞれの前記２つの暗号文を検証する検
証部と、前記検証部による健勝結果に基づいて、当該確
率暗号文の平文である数値が当該指定された範囲内にあ
るか否かを判定する判定部を備えることを特徴とする。

【００４０】請求項１６の本発明の検証装置は、前記証
明文は、前記安全変数に基づいて定められる拡大係数を
前記２種類の両端値との差の値のそれぞれに乗じて得ら
れる値である２種類の拡大値のそれぞれにおいて、各前
記拡大値以下の最大の平方数と、各前記拡大値から対応
する前記平方数の値を減算した差の値との少なくとも一
方の値を暗号化した、分割された値の暗号文のデータを
備え、前記分解部は、各前記拡大値暗号文における、前
記上限値から前記平文の値を減算した値を基に生成され
た側と前記平文の値から前記下限値を減算した値を基に
生成された側とのそれぞれにおいて対応する、前記証明
文において暗号化されて備えられている前記拡大値から
算出される前記平方数と前記差の値とのいずれか一方の
値の暗号文をそれぞれに取得して、各前記拡大値暗号文
のそれぞれに、前記証明文に備えられる対応する側の値
の暗号文を前記第１の暗号文とし、前記第１の暗号文と
の積が対応する前記拡大値暗号文を成す暗号文である前
記第２の暗号文をそれぞれ算出することにより、各前記
拡大値暗号文を分解することを特徴とする。

【００４１】請求項１７の本発明の検証装置は、前記証
明文は、前記安全変数に基づいて定められる拡大係数を
前記２種類の両端値との差の値のそれぞれに乗じて得ら
れる値である２種類の拡大値のそれぞれにおける、各前
記拡大値以下の最大の平方数と各前記拡大値から対応す
る前記平方数の値を減算した差の値との分割された各値
に関して、各前記差の値が、前記拡大係数より小さいこ
とを証明する証明文と、前記平方数が、平方数を成しか
つ前記確率暗号文の周期の半分より小さいことを証明す
る証明文とを、各前記数値に関する証明文として備え、
前記検証部は、各前記数値に関する証明文に基づいて、
前記第１の暗号文及び前記第２の暗号文を検証し、前記
第１の暗号文が前記平方数の側に対応する場合には、前
記第１の暗号文の平文の値が平方数を成しかつ前記確率
暗号文の周期の半分より小さいことの検証と、前記第２
の暗号文の平文の値が前記拡大係数より小さいことの検
証とを行い、前記第１の暗号文が前記差の値の側に対応
する場合には、前記第１の暗号文の平文の値が前記拡大
係数より小さいことの検証と、前記第２の暗号文の平文
の値が平方数を成しかつ前記確率暗号文の周期の半分よ
り小さいことの検証とを行い、前記判定部は、前記検証
部による前記第１の暗号文及び前記第２の暗号文の前記
検証において、いずれも受理された場合に限り、前記確
率暗号文の平文である数値が前記指定された範囲内にあ
ると判定することを特徴とする。

【００４２】請求項１８の本発明の証明文作成方法は、
確率暗号文の平文である数値が、指定された範囲内にあ
ることを証明するための証明文を作成する証明文作成方
法において、前記平文の値、当該平文を当該確率暗号文
に暗号化するために用いられた乱数の値、前記指定され
た範囲を定める上限値と下限値、及び、正しく検証され
る確率を規定する安全変数の値とに基づいて、前記証明
文を作成するステップを備えることにより、前記確率暗
号文、前記上限値、前記下限値、前記安全変数、及び、
作成された前記証明文とに基づく検証において、前記確
率暗号文の解読困難性を失うことなく、前記平文の値が
前記指定された範囲内にあるか否かを前記安全変数に規
定された以上の確率で正確に検証するための、前記証明
文を作成することを特徴とする。

【００４３】請求項１９の本発明の証明文作成方法は、
前記確率暗号文を復号して、前記平文の値及び、当該平
文を当該確率暗号文に暗号化するために用いられた前記
乱数の値を取得する復号ステップを備え、前記証明文を
作成するステップは、前記確率暗号文を復号して取得さ
れた前記平文の値と前記乱数の値を用いて、前記証明文
を作成することを特徴とする。

【００４４】請求項２０の本発明の証明文作成方法は、
前記証明文を作成するステップは、前記上限値から前記
平文の値を減算した値と、前記平文の値から前記下限値
を減算した値との２種類の数値を算出する両端値との差
の算出ステップと、前記安全変数に基づいて定められる
拡大係数の値を、前記両端値との差の算出ステップによ
り算出された２種類の数値のそれぞれに乗じて、それぞ
れの拡大値を算出する拡大ステップと、前記拡大値のそ
れぞれに対して、各前記拡大値以下の最大の平方数と、
各前記拡大値から対応する前記平方数の値を減算した差
の値とを算出することにより、前記拡大値のそれぞれを
前記平方数と前記差の値とに分割する分割ステップと、
各前記拡大値を分割して得られた各前記数値を暗号化し
て暗号文を生成する暗号化ステップと、各前記拡大値を
分割して得られた各前記数値に関する証明文を生成する
証明文生成ステップを備え、前記暗号化ステップにより
生成された前記暗号文と、証明文生成ステップにより生
成された前記数値に関する証明文とを、前記平文の値が
指定された範囲内にあることを証明するための前記証明
文として出力することを特徴とする。

【００４５】請求項２１の本発明の証明文作成方法は、
前記暗号化ステップは、各前記拡大値のそれぞれに対し
て、前記分割ステップにより分割された前記平方数と前
記差の値との少なくとも一方を暗号化することにより、
前記暗号文を生成することを特徴とする。

【００４６】請求項２２の本発明の証明文作成方法は、
前記証明文生成ステップは、各前記拡大値のそれぞれの
前記差の値が、前記拡大係数より小さいことを証明する
証明文と、各前記拡大値のそれぞれの前記平方数が、平
方数を成しかつ前記確率暗号文の周期の半分より小さい
ことを証明する証明文とを、各前記数値に関する証明文
として生成することを特徴とする。

【００４７】請求項２３の本発明の検証方法は、確率暗
号文の平文である数値が指定された範囲内にあることを
証明する証明文に基づき、当該平文の値が当該指定され
た範囲内にあることを検証する検証方法において、検証
対象の前記確率暗号文、前記指定された範囲を定める上
限値と下限値、前記証明文、及び、正しく検証される確
率を規定する安全変数の値とに基づいて、前記平文の値
が前記指定された範囲内にあるか否かを、前記安全変数
に規定された以上の確率で正確に検証することを特徴と
する。

【００４８】請求項２４の本発明の検証方法は、前記上
限値から前記平文の値を減算した値と、前記平文の値か
ら前記下限値を減算した値との２種類の両端値との差の
値の、それぞれの暗号文を生成する両端値との差の暗号
文生成ステップと、生成された各前記両端値との差の値
の暗号文のそれぞれを、前記安全変数に基づいて定めら
れる拡大係数を前記２種類の両端値との差の値のそれぞ
れに乗じて得られる拡大値を暗号化した、拡大値暗号文
に変換する拡大ステップと、各前記拡大値暗号文を、そ
れぞれに第１の暗号文と第２の暗号文との２つの暗号文
の積に分解する分解ステップと、各前記拡大値暗号文を
分解して得られたそれぞれの前記２つの暗号文を検証す
る検証ステップと、前記検証ステップによる健勝結果に
基づいて、当該確率暗号文の平文である数値が当該指定
された範囲内にあるか否かを判定する判定ステップを備
えることを特徴とする。

【００４９】請求項２５の本発明の検証方法は、前記証
明文は、前記安全変数に基づいて定められる拡大係数を
前記２種類の両端値との差の値のそれぞれに乗じて得ら
れる値である２種類の拡大値のそれぞれにおいて、各前
記拡大値以下の最大の平方数と、各前記拡大値から対応
する前記平方数の値を減算した差の値との少なくとも一
方の値を暗号化した、分割された値の暗号文のデータを
備え、前記分解ステップは、各前記拡大値暗号文におけ
る、前記上限値から前記平文の値を減算した値を基に生
成された側と前記平文の値から前記下限値を減算した値
を基に生成された側とのそれぞれにおいて対応する、前
記証明文において暗号化されて備えられている前記拡大
値から算出される前記平方数と前記差の値とのいずれか
一方の値の暗号文をそれぞれに取得するステップと、各
前記拡大値暗号文のそれぞれに、前記証明文に備えられ
る対応する側の値の暗号文を前記第１の暗号文とし、前
記第１の暗号文との積が対応する前記拡大値暗号文を成
す暗号文である前記第２の暗号文をそれぞれ算出するこ
とにより、各前記拡大値暗号文を分解するステップを備
えることを特徴とする。

【００５０】請求項２６の本発明の検証方法は、前記証
明文は、前記安全変数に基づいて定められる拡大係数を
前記２種類の両端値との差の値のそれぞれに乗じて得ら
れる値である２種類の拡大値のそれぞれにおける、各前
記拡大値以下の最大の平方数と各前記拡大値から対応す
る前記平方数の値を減算した差の値との分割された各値
に関して、各前記差の値が、前記拡大係数より小さいこ
とを証明する証明文と、前記平方数が、平方数を成しか
つ前記確率暗号文の周期の半分より小さいことを証明す
る証明文とを、各前記数値に関する証明文として備え、
前記検証ステップは、各前記数値に関する証明文に基づ
いて、前記第１の暗号文及び前記第２の暗号文を検証
し、前記第１の暗号文が前記平方数の側に対応する場合
には、前記第１の暗号文の平文の値が平方数を成しかつ
前記確率暗号文の周期の半分より小さいことの検証と、
前記第２の暗号文の平文の値が前記拡大係数より小さい
ことの検証とを行い、前記第１の暗号文が前記差の値の
側に対応する場合には、前記第１の暗号文の平文の値が
前記拡大係数より小さいことの検証と、前記第２の暗号
文の平文の値が平方数を成しかつ前記確率暗号文の周期
の半分より小さいことの検証とを行い、前記判定ステッ
プは、前記第１の暗号文及び前記第２の暗号文の前記検
証においていずれも受理された場合に限り、前記確率暗
号文の平文である数値が前記指定された範囲内にあると
判定することを特徴とする。

【００５１】請求項２７の本発明の証明文作成プログラ
ムは、コンピュータを制御することにより、確率暗号文
の平文である数値が指定された範囲内にあることを証明
するための証明文を作成する証明文作成プログラムにお
いて、前記平文の値、当該平文を当該確率暗号文に暗号
化するために用いられた乱数の値、前記指定された範囲
を定める上限値と下限値、及び、正しく検証される確率
を規定する安全変数の値とに基づいて、前記証明文を作
成する処理を実行させることにより、前記確率暗号文、
前記上限値、前記下限値、前記安全変数、及び、作成さ
れた前記証明文とに基づく検証において、前記確率暗号
文の解読困難性を失うことなく、前記平文の値が前記指
定された範囲内にあるか否かを前記安全変数に規定され
た以上の確率で正確に検証するための、前記証明文の作
成を実行させることを特徴とする。

【００５２】請求項３２の本発明の検証プログラムは、
コンピュータを制御することにより、確率暗号文の平文
である数値が指定された範囲内にあることを証明する証
明文に基づき、当該平文の値が当該指定された範囲内に
あることを検証する検証プログラムにおいて、検証対象
の前記確率暗号文、前記指定された範囲を定める上限値
と下限値、前記証明文、及び、正しく検証される確率を
規定する安全変数の値とに基づいて、前記平文の値が前
記指定された範囲内にあるか否かを、前記安全変数に規
定された以上の確率で正確に検証する処理を実行させる
ことを特徴とする。

【００５３】本発明においては、定められた区間にある
ことを証明したい値がコミットされている確率公開鍵暗
号文を、復号することにより証明したい値と暗号化に用
いた乱数を取得して、その証明文を作成することができ
る。暗号文の平文に関する周期が存在するために、平方
数であることの証明文のみでは平方数の存在する区間を
限定できないが、平方数の平方根が周期の半分の平方根
より小さい（平方数が周期の半分より小さい）ことの証
明文を備えることにより、平方数の存在する区間が限定
でき検証を行なうことができる。

【００５４】

【発明の実施の形態】本発明の上記及び他の目的、特徴
及び利点を明確にすべく、以下添付した図面を参照しな
がら本発明の実施の形態につき詳細に説明する。

【００５５】本発明において用いる確率公開鍵暗号で
は、確率暗号である公開鍵暗号系に属する暗号方法であ
って、秘密鍵を用いることにより暗号文から平文のみな
らず、暗号化のために用いた乱数をも求めることができ
るものである。

【００５６】例えばこの暗号方式の例として文献「パブ
リックキー クリプトシステムズ ベイスド オン コンポ
ジット ディグリー レジデュオシティー クラス、アド
バンス イン クリプトロジー、プロシーヂング オブ ユ
ーロクリプト '９９、エルエヌシーエス １５９２シュ
プリンガー フェアラーグ、２２３ページから２３８ペ
ージまで、１９９９年(Public-Key Cryptosystems Base
d on Composite DegreeResiduosity Classes, Advance
in Cryptology, Proceeding of Eurocrypt'99,LNCS 159
2, Springer-Verlag, pp. 223-238, 1999)」による暗号
方式などもこれに含まれる。

【００５７】図１は、本発明の一実施の形態による証明
文作成装置の構成を説明するためのブロック図であり、
図２と図３は、本実施の形態による証明文の作成処理を
説明するためのフローチャートである。

【００５８】本実施の形態の確率公開鍵暗号文の平文の
値が区間内にあることの証明方法は、秘密鍵により平文
と暗号化に用いられた乱数との両方を求めることのでき
る確率公開鍵暗号方式による暗号文を用いる。また以
下、暗号化する平文は数値データであり、またこれを暗
号化した暗号文もまた数値データを成すものとして説明
する。

【００５９】図１を参照すると、本実施の形態の証明文
作成装置は、証明文の作成に用いる各種データを入力す
るための入力部１０と、入力されたデータに基づき演算
を行ない証明文を作成する演算処理部２０と、作成され
た証明文３３を出力する出力部３０を備えている。ま
た、本実施の形態の証明文作成装置の演算処理部２０
は、復号部２１、両端値との差の算出部２２、拡大部２
３、分割部２４、暗号化部２５、証明文生成部２６、乱
数生成部２７を備えている。

【００６０】図２を参照すると、本実施の形態の証明文
の作成処理は、まず復号部２１が、秘密鍵１２を用いて
確率公開鍵暗号文１１を復号することにより、平文の値
と暗号化に用いられた乱数の値を取得する（ステップ２
０１）。

【００６１】そして、この取得した平文と乱数の値を用
いて、平文の値が定められた区間内にあることを検証者
に対し証明するための証明文を作成する（ステップ２０
２）。このステップ２０２における証明文の作成処理
は、図３のフローチャートにおいて詳細に示している。

【００６２】図３を参照すると、まず、両端値との差の
算出部２２が、確率公開鍵暗号文１１の平文の値と、定
められた区間の両端値との差を算出する（ステップ３０
１）。つまり、定められた区間の上限値から平文の値を
引いた値と、平文の値から定められた区間の下限値を引
いた値とを算出する。

【００６３】次に、拡大部２３が、両端値との差の算出
部２２により算出された２つの値に対して、前記安全変
数１４から計算された拡大係数をそれぞれ乗じることに
より拡大して、拡大値をそれぞれ生成する（ステップ３
０２）。

【００６４】次に、分割部２４が、拡大部２３により拡
大されたそれぞれの拡大値を分割する（ステップ３０
３）。つまり、それぞれの拡大値に対して、それぞれの
値を超えない最大の平方数をそれぞれに求め、それぞれ
の拡大値から対応する平方数を引くことにより差の整数
をそれぞれ求める。これによりそれぞれの拡大値を、平
方数と、差の整数との和に分割する。

【００６５】次に、暗号化部２５が、分割部２４により
分割して得られた数値を暗号化する（ステップ３０
４）。この暗号化においては、２つの拡大値のそれぞれ
において少なくとも１つ以上の分割された値（平方数又
は差の整数）を暗号化する。例えば、２つの拡大値のそ
れぞれにおいて分割して得られた平方数を暗号化する方
式や、２つの拡大値のそれぞれにおいて分割して得られ
た差の値を暗号化する方式により暗号化を行なう。ま
た、この暗号化は、証明対象の確率公開鍵暗号文１１と
同様の方式で行なうものであり、その暗号化に用いる乱
数は、乱数生成部２７により生成された値を用いる。

【００６６】次に、証明文生成部２６が、この分割部２
４により分割して得られた数値の、それぞれに関する証
明文を生成する。図３のフローチャートにおいては、ま
ず各拡大値における差の整数（の絶対値）が、前記拡大
係数より小さいことの証明文を生成する（ステップ３０
５）。この証明文の生成においては、２つの差の整数
と、前述の安全変数１４と、区間を定める変数１３（上
限値と下限値）と、これらの値に基づいて定められる拡
大係数と、暗号化部２５が暗号化に用いるために乱数生
成部２７により生成された乱数と、証明対象の確率公開
鍵暗号文１１の公開鍵等のデータを用いて証明文を生成
する。

【００６７】そして次に、各拡大値における前記平方数
が、平方数を成すことと、かつその平方根が確率公開鍵
暗号文１１の平文に関する周期の半分の平方根より小さ
い（つまり、各平方数は周期の半分より小さい）ことの
証明文を生成する（ステップ３０６）。この証明文の生
成においては、２つの前記平方数と、前記安全変数１４
と、前記区間を定める変数１３（上限値と下限値）と、
前記拡大係数と、前記暗号化のための乱数と、前記公開
鍵等のデータを用いて証明文を生成する。

【００６８】ここで、確率暗号文の平文に関する周期ｍ
は、平文xと暗号化のための乱数rとの組（ｘ，ｒ）と
（ｘ＋π，ｒ）とが、常に同じ確率公開鍵暗号文を与え
る０でない最小のｍである。

【００６９】最後に、以上の各ステップにより生成され
た、２つある平方数の確率公開鍵暗号文（又は、２つあ
る差の整数の確率公開鍵暗号文）と、それぞれの差の整
数（の絶対値）が、前記拡大係数より小さいことの証明
文と、それぞれの平方数が、平方数を成すこととかつ平
方数の平方根が確率公開鍵暗号文の周期の半分の平方根
より小さい（つまり、各平方数は周期の半分より小さ
い）ことの証明文とを、前記確率公開鍵暗号文の平文が
定められた区間にあることの証明文として出力する（ス
テップ３０７）。

【００７０】図６は、本実施の形態による検証装置の構
成を説明するためのブロック図であり、図７は、本実施
の形態による検証装置の処理を説明するためのフローチ
ャートである。

【００７１】図６を参照すると、本実施の形態の検証装
置は、検証処理に用いる各種データを入力するための入
力部４０と、入力されたデータに基づき検証処理を行な
う演算処理部５０と、検証結果を出力する出力部６０を
備えている。また、本実施の形態の検証装置の演算処理
部５０は、両端値との差の値の暗号文生成部５１、拡大
部５２、分解部５３、検証部５４、判定部５５を備えて
いる。

【００７２】図７を参照すると、本実施の形態の検証の
作成処理は、まず、両端値との差の値の暗号文生成部５
１が、検証対象の確率公開鍵暗号文１１を、各両端値と
の差の値の暗号文に変換する（ステップ７０１）。つま
り、区間を定める変数１３の上限値から確率公開鍵暗号
文１１の平文を引いた値の確率公開鍵暗号文と、確率公
開鍵暗号文１１の平文から下限値を引いた値の確率公開
鍵暗号文とを生成する。

【００７３】次に、拡大部５２が、両端値との差の値の
暗号文生成部５１により生成された２つの両端値との差
の値の暗号文のそれぞれを、その平文の値（端値との
差）に前記安全変数１４から計算された拡大係数をそれ
ぞれ乗じた拡大値の暗号文（拡大値暗号文）に変換する
（ステップ７０２）。つまり、上限値から確率公開鍵暗
号文の確率公開鍵暗号文を引いた値に、拡大係数を乗じ
た値の確率公開鍵暗号文である拡大値暗号文と、確率公
開鍵暗号文の平文から下限値を引いた値に、拡大係数を
乗じた値の確率公開鍵暗号文である拡大値暗号文とを生
成する。

【００７４】次に、分解部５３が、この拡大部５２によ
り生成された各拡大値暗号文を、それぞれ２つの確率公
開鍵暗号文の積に分解する（ステップ７０３）。この積
に分解された暗号文（第１と第２の暗号文）において
は、その一方（第１の暗号文）に証明文３３に含まれる
（平文と両端値との差の取り方が）対応する側の分割さ
れた値の暗号文を用い、分解される他方の暗号文（第２
の暗号文）は、先の証明文に含まれる暗号文との積が当
該拡大値暗号文を成すものを算出して取る。

【００７５】次に、検証部５４が、分解部５３により分
解されて得られた各暗号文を検証する。図７のフローチ
ャートにおいては、まず差の値の検証を行なう（ステッ
プ７０４）。分解部５３により分解された各暗号文の内
で、もし説明文３３から取り出されて用いられた暗号文
が、ステップ３０３において差の値として分割された値
の暗号文である場合には、その暗号文をここでの検証に
用い、そうでない場合には分解された他方の暗号文を用
いる。ここでの差の値の検証においては、証明文３３に
含まれる、ステップ３０５において生成された差の整数
（の絶対値）が前記拡大係数より小さいことの証明文を
用いて、先の分解された暗号文の平文（の絶対値）が前
記拡大係数より小さいことを検証する。ここで、検証結
果が正しければ受理を、正しくなければ不受理を出力す
る。

【００７６】そして検証部５４は、平方数の検証も行な
う（ステップ７０５）。ここでの平方数の検証に用いる
暗号文は、先の分解部５３により分解された暗号文の内
で、差の検証に用いる側でない側の暗号文である。つま
り、分解部５３により分解された各暗号文の内で、もし
説明文３３から取り出されて用いられた暗号文が、ステ
ップ３０３において平方数として分割された値の暗号文
である場合には、その暗号文をここでの検証に用い、そ
うでない場合には分解された他方の暗号文を用いる。こ
こでの平方数の検証においては、証明文３３に含まれ
る、ステップ３０６において生成された平方数に関する
証明文を用いて、先の分解された暗号文の平文が平方数
であり、かつその平方根が確率公開鍵暗号文の周期の半
分の平方根より小さい（つまり、その平文の値は周期の
半分より小さい）ことを検証する。ここで、検証結果が
正しければ受理を、正しくなければ不受理を出力する。

【００７７】最後に、判定部５５が、検証部による差の
値と平方数の検証に基づいて、もしその双方の検証にお
いていずれも受理が出力された場合に限り、暗号化され
た数値が定められた区間内に属する旨の検証結果を出力
する（ステップ７０６）。

【００７８】次に、本実施の形態の一実施例を図面を参
照して詳細に説明する。以下の実施例では、Paillierの
暗号方式を使った例に即して説明する。

【００７９】[準備]正しく検証される確率を規定する安
全変数１４としてt、lを準備する。本検証方法におい
て、平文が定められた区間にないにも関わらず、検証で
平文が定められた区間にあると認められてしまう確率が
2^-t以下である。本証明方法において、平文が定められ
た区間にあるにも関わらず、証明に失敗する確率が2^1-l
以下となる。これらの確率を考慮して安全変数t、lを選
ぶ。また、区間を定める変数１３として最小値をa、最
大値をbとする。変数Tを、T=2(t+l+1)+|b-a|と定義する
（ここで|b-a|とは、b-aのbit数のことである。）。後
述のn=pqは、2^2T+1＜nとなる様に選ぶ。拡大係数を、2^T
と定める。Dを、√{2^T(b-a)}を超えない最大の整数とす
る。

【００８０】また以下、x^aとは、xのa乗（つまり、
x^a）を示すものとする。p、qを２つの素数として、λを
p-1とq-1の最小公倍数とする。gは、g^λmod n²とnが互
いに素になるように選ばれているとする。n=pqと、gを
公開鍵とする。平文xの乱数rによる暗号文eを、e=g^xrⁿm
od n²とする。

【００８１】本実施例の確率公開鍵暗号文の平文が区間
内にあることの証明文の作成方法を、図面を参照して説
明する。図４、図５は、本実施例の証明文の作成を説明
するための図である。

【００８２】[平文と暗号化のための乱数を求める］
（ステップ２０１） まず、図４の４０１において、証明対象の確率公開鍵暗
号文１１であるeが入力されたら、その平文４０２であ
るxを、x={(e^λmod n²)-1}/{(g^λmod n²)-1}により求
め、更に、暗号化のために用いられた乱数４０３である
rを、秘密鍵１２であるλを用いてe'=eg^-xmod n、n'=n
^-1mod λ、r=e'^n'mod nとして求め、この平文xと乱数r
を出力する。

【００８３】［平文が定められた区間にあることの証明
文を生成する］（ステップ２０２） ［区間の両端値との差を算出］（ステップ３０１） 図４の４０４において、平文４０２であるxと、区間を
定める変数１３の最小値a、最大値bより、その差（４０
５、４０６）であるx-aとb-xを求める。

【００８４】なお以降は、２つの両端値との差x-aとb-x
に対して全く同じ処理を行なうために、片方のみについ
て記述する。図４の証明文３３の（b-xによる）上半分
（３３−１、３３−２、３３−３）を生成する過程は、
証明文の（x-aによる）下半分（３３−４、３３−５、
３３−６）を生成する過程と同様であるため図中では点
線で示されている。ここで、両端値との差の一方である
x-aを、Xと表す（これは、点線により示されるb-xの側
においても以下同様である）。

【００８５】［拡大］（ステップ３０２） 図４の４０７において、このXに、安全変数等から計算
された拡大係数2^Tを用いて、2^TXと拡大する。

【００８６】［分割］（ステップ３０３） 図４の４０９において、その自乗が2^TXを超えない最大
の整数vを求め、差の値z（=2^TX-v²）を算出する。これ
により、拡大値2^TXを、平方数４１１であるv²と、差の
値４１０であるzに分割する。

【００８７】［暗号化］（ステップ３０４） 本実施例においては、分離された数値の内で、差の値z
を平文として暗号化する。

【００８８】図４の４１２において、0≦r[1]＜nなる任
意の乱数４１３であるr[1]を無作為に選び、図４の４１
４において、差の値zの暗号文３３−６であるe[1]を、e
[1]=g^zr[1]ⁿmod n²により計算する。ここで、R=r^{2^T}m
od n、r[2]=R/r[1]mod n、e[2]=g^{v²}r[2]ⁿmod n²と計
算すると、e[1]e[2]=g^XRⁿmod n²が得られる。右辺は{e/
g^a}^{2^T}mod n²又は、{g^b/e}^{2^T}mod n²である。

【００８９】［差の値に関する証明文の生成］（ステッ
プ３０５） ここでは、暗号文e[1]の平文zの絶対値が、拡大係数2^T
を超えないことを証明するための証明文を生成する。

【００９０】0≦μ≦2^Tなるμ、0≦ρ＜nなるρを無作
為に選び、w=g^μρⁿmod n²を計算する。更に、c=Hash(e
[1]、w)mod 2^tを求める。ここでHashとはハッシュ関数
である。更に、d[1]=μ+zc、d[2]=ρr[1]ⁿmod nを求め
る。

【００９１】もし、c2^T/2+1√(b-a)≦d[1]≦2^Tならば、
c、d[1]、d[2]のデータの組を、平文zの絶対値の上限の
証明文３３−５として出力する。そうでない場合には、
最初からやり直す。このやり直す確率は2^1-l以下とな
る。

【００９２】［平方数に関する証明文の生成］（ステッ
プ３０６） 本ステップの処理を図５を参照して説明する。ここで
は、先の暗号文e[2]=g^XR ⁿmod n²の平文４１１を成すv²
の値が、平方数であることと、その平方根５０２である
vが2^t+lDを超えないことを証明する。

【００９３】最初に、図５の５０４において、0≦τ＜n
なる任意の乱数５０３であるτを選び、図５の５０７に
おいて、vの暗号文５０５であるw[0]を、w[0]=g^vτⁿmod
n²により計算する。

【００９４】次に、図５の５０８において、乱数r[1]、
r、安全変数１４から、R=r^{2^T}modn、r[2]=R/r[1]mod
nを求め、ρ'（５０９）を、ρ'=τ^-vr[2]mod nにより
計算する。

【００９５】更に、0≦μ'≦2^t+lDなる任意の乱数５１
０であるμ'、0≦σ＜nなる任意の乱数５１１である
σ、0≦σ'＜nなる任意の乱数５１２であるσ'、を無作
為に選び、図５の５１３と５１４において、生成元５０
６であるgと暗号文w[0]をそれぞれ用いて、μ'の暗号文
であるw[1]=g^μ'σⁿmod n²、w[2]=w[0]^μ'σ'ⁿmod n²を
計算する（ステップ４１２、４１３）。

【００９６】次に、図５の５１５において、ハッシュ関
数Hash（）を用いて、ハッシュ値c'=Hash(e[1]、w[1]、
w[2])mod 2^tを求める。次に、図５の５１６、５１７、
５１８において、d[3]=μ'+vc'、d[4]=στ^c'mod n、d
[5]=σ'ρ'^c'mod n、を計算する。

【００９７】そして、図５の５１９において、証拠の大
きさの確認を行ない、もしc'D≦d[3]≦2^t+lDならば、
c'、w[0]、d[3]、d[4]、d[5]を証明文３３−４として出
力する。その他の場合は最初からやり直す。このやり直
す確率は2^1-l以下となる。

【００９８】［証明文の出力］（ステップ３０７） 証明部は、Xがx-aである場合とb-xである場合について
それぞれ、分割された値の暗号文（e[1]）と、差の値の
証明文（c、d[1]、d[2]）と、平方数の証明文（c'、w
[0]、d[3]、d[4]、d[5]）とを、平文が区間内にあるこ
との証明文３３として出力する。

【００９９】本発明の確率公開鍵暗号文の平文が区間内
にあることの検証方法を以下に図面を参照して説明す
る。図８、図９は、本実施例の検証処理を説明するため
の図である。

【０１００】［両端値との差の値の暗号文を生成］（ス
テップ７０１） 図８の８０１において、検証対象の確率公開鍵暗号文１
１であるeと、区間を定める変数１３の最小値a、最大値
bより、上限値から確率公開鍵暗号文の平文を引いた値
の確率公開鍵暗号文８０３であるg^b/e mod n²=g^b-xrⁿmo
d n²と、確率公開鍵暗号文の平文から下限値を引いた値
の確率公開鍵暗号文８０２であるe/g^amod n²=g^x-arⁿmod
n²とを生成する。

【０１０１】以降、２つの両端値との差x-aとb-xによる
２つの暗号文に対して、全く同じ処理を行なうために片
方のみについて記述する。この暗号文８０２の平文であ
るx-aをXと表す（また、暗号文８０３の平文であるb-x
をXと表す場合も同様である）。Xの暗号文８０６である
E=g^Xrⁿmod n²に関して、Xが0以上かつ暗号文の周期の半
分以下であることを検証する。

【０１０２】［拡大値の暗号文に変換］（ステップ７０
２） 図８の８０４において、暗号文８０６であるEに対し
て、Tから計算された拡大係数2^Tを用いて、E^{2^T}mod n
²=g^{2^TX}rⁿmod n²を計算する。これにより拡大値であ
る2^TXの暗号文が算出される。

【０１０３】［分解］（ステップ７０３） 図８の８０８において、拡大値の暗号文であるE^{2^T}mo
d n²を、証明文３３に含まれる暗号文３３−６であるe
[1]を用いて、e[1]（８１０）とe[2]（８１１）、e[2]=
E^{2^T}/e[1]mod n²の積に分解する。e[1]e[2]=E^{2^T}で
ある。

【０１０４】［差の値の検証］（ステップ７０４） 図８の８１２において、e[1]の平文(z)の絶対値が2^Tよ
り小さいことを検証する。c2^T/2+1√(b-a)≦d[1]≦2^Tで
あり、かつc=Hash(e[1]、g^d[1]d[2]ⁿe[1]^-cmodn²)mod 2
^tであれば、暗号文e[1]の平文の絶対値が2^Tより小さい
ことを受理する。

【０１０５】［平方数の検証］（ステップ７０５） 図８の８１２において、暗号文e[2]の平文(v²)が平方数
であり、その平方根が2^t+lDを超えないことを検証す
る。

【０１０６】本ステップの処理を図９を参照して説明す
る。図９の９０１において、c'D≦d[3]≦2^t+lDであるこ
とを確認する。図９の９０２において、w[1]を、w[1]=g
^d[3]d[4]ⁿw[0]^-c'mod n²と計算する。図９の９０３にお
いて、w[2]を、w[2]=w[0]^d[3]d[5]ⁿe[1]^-c'mod n²と計
算する。図９の９０４において、ハシュ値をHash(e
[1]、w[1]、w[2])=Hash(e[1]、g^{d[3 ]}d[4]ⁿw[0]^-c'mod n
²、w[0]^d[3]d[5]ⁿe[1]^-c'mod n²、)mod 2^tと計算して、
図９の９０５において、これがc'に等しいかどうかを確
認し、もし等しい場合には、暗号文e[2]の平文(v²)が平
方数でありその平方根が2^t+lDを超えないことを受理す
る。

【０１０７】[検証結果の出力］（ステップ７０６） 図８の８１４において、検証結果をまとめて、２つの値
x-aとb-xによる２つの暗号文に対する、ステップ７０４
の差の値の検証と、ステップ７０５の平方数の検証とに
よる両方の出力がともに受理であれば受理を、片方でも
不受理であれば不受理を、検証結果８１５として出力す
る。

【０１０８】次に、上記説明された証明文の作成と検証
の方法における、正当性について説明する。

【０１０９】［正当性（１）］本発明の確率公開鍵暗号
文の平文が区間内にあることの証明方法における、差の
値に関するステップ３０５の証明文の作成と、その証明
文によるステップ７０４による検証の正当性について述
べる。

【０１１０】式g^μρⁿ=g^d[1]d[2]ⁿe[1]^-cmod n²が保証
されていない場合には、式c=Hash(e[1]、g^d[1]d[2]ⁿe
[1]^-cmod n²)mod 2^tが成立する確率は2^-t以下になる。
式g^μρⁿ=g^d[1]d[2]ⁿe[1]^-cmod n²が成り立つために
は、d[1]=μ+zcが成り立たねばならない。平文xが定め
られた区間にある場合、zは-2^T/2+1√(b-a)≦z≦2^T/2+1
√(b-a)となる。この時に、c2^T/2+1√(b-a)≦d[1]≦2^T
が成り立たない可能性は、2^-l以下である。また、この
時にzが、-2^T/2+1√(b-a)≦z≦2^T/2+1√(b-a)のいずれ
の値である可能性もd[1]によらずに同じである。zが、-
2^T≦z≦2^Tにない場合に、c2^T/2+1√(b-a)≦d[1]≦2^Tが
成り立つ可能性は、2^-t以下である。

【０１１１】［正当性（２）］本発明の確率公開鍵暗号
文の平文が区間内にあることの証明方法における、平方
数に関するステップ３０６の証明文の作成と、その証明
文によるステップ７０５による検証の正当性について述
べる。

【０１１２】式g^μ'σⁿ=g^d[3]d[4]ⁿw[0]^-c'mod n²と、
式w[0]^μ'σ'ⁿ=w[0]^d[3]d[5]ⁿe[1]^{-c '}mod n²とが保証さ
れていない場合においては、式c'=Hash(e[1]、w[1]、w
[2])=Hash(e[1]、g^d[3]d[4]ⁿw[0]^-c'mod n²、w[0]^d[3]d
[5]ⁿe[1]^-c'mod n²、)mod 2^tが成立する確率は2^-t以下
になる。式g^μ'σⁿ=g^d[3]d[4]ⁿw[0]^-c'mod n²と、式w
[0] ^μ'σ'ⁿ=w[0]^d[3]d[5]ⁿe[1]^-c'mod n²とが成り立つ
ためには、d[3]=μ'+vc'が成り立たねばならない。その
ため、e[2]の平文はvの平方であることが保証される。
平文xが定められた区間にある場合、vは-D≦v≦Dとな
る。この時に、cD≦d[3]≦2^t+lDが成り立たない可能性
は、2^-l以下である。また、この時vの-D≦v≦Dのいずれ
の値である可能性もd[3]によらずに同じである。すなわ
ち、e[2]の平文が0以上2^T(b-a)以下のいずれの値である
可能性もd[3]によらずに同じである。

【０１１３】vが、-2^t+l≦v≦2^t+lDにあることが保証さ
れていない場合に、cD≦d[3]≦2^t+lDが成り立つ可能性
は、2^-t以下である。すなわち、e[2]の平文が0以上2
^2(t+l)2^T(b-a)以下でない場合にcD≦d[3]≦2^t+lDが成り
立つ可能性は、2^-t以下である。2 ^2T+1＜nであったの
で、e[2]の平文はn/2より小さいことが保証される。

【０１１４】［正当性（３）］正当性（１）、（２）に
おいてv、zの値の大きさが知られないためのv、zの大き
さに対する条件が、v、zに対して保証される大きさの区
間よりも小さい。しかし、xが定められた区間に属すれ
ばv、zは大きさの知られない区間に属する。また、xが
定められた区間になければ、v、zはそれらに対して保証
される大きさの区間から出てしまう。

【０１１５】なお、本実施の形態の証明文の作成と検証
は、証明文作成装置の演算処理部２０や、検証装置の演
算処理部５０等の機能や、その他の機能をハードウェア
的に実現することは勿論として、各機能を備えるコンピ
ュータプログラムを、コンピュータ処理装置のメモリに
ロードされることで実現することができる。このコンピ
ュータプログラムは、磁気ディスク、半導体メモリその
他の記録媒体９０、９１に格納される。そして、その記
録媒体からコンピュータ処理装置にロードされ、コンピ
ュータ処理装置の動作を制御することにより、上述した
各機能を実現する。

【０１１６】以上好ましい実施の形態及び実施例をあげ
て本発明を説明したが、本発明は必ずしも上記実施の形
態及び実施例に限定されるものではなく、その技術的思
想の範囲内において様々に変形して実施することができ
る。

【０１１７】

【発明の効果】以上説明したように、本発明によれば、
証明者以外が作成したコミットメントに対しても、証明
者がそのコミットメントからコミットされた数値を求
め、コミットされた数値が定められた区間にある場合
は、コミットされた数が定められた区間にあることを、
コミットされた数を隠したまま証明することができる。

【図面の簡単な説明】

【図１】 本発明の一実施の形態による証明文作成装置
の構成を説明するためのブロック図である。

【図２】 本発明の一実施の形態による証明文作成装置
の処理を説明するためのフローチャートである。

【図３】 本発明の一実施の形態による証明文作成装置
の処理を説明するためのフローチャートである。

【図４】 本発明の一実施の形態による証明文作成装置
の一実施例を説明するための図である。

【図５】 本発明の一実施の形態による証明文作成装置
の一実施例を説明するための図である。

【図６】 本発明の一実施の形態による検証装置の構成
を説明するためのブロック図である。

【図７】 本発明の一実施の形態による検証装置の処理
を説明するためのフローチャートである。

【図８】 本発明の一実施の形態による検証装置の一実
施例を説明するための図である。

【図９】 本発明の一実施の形態による検証装置の一実
施例を説明するための図である。

【図１０】 従来の証明文作成装置の構成を説明するた
めのブロック図である。

【図１１】 従来の証明文作成装置の処理を説明するた
めのフローチャートである。

【図１２】 従来の証明文作成装置の処理を説明するた
めの図である。

【符号の説明】

１０ 証明文作成装置の入力部 １１ 確率公開鍵暗号文 １２ 秘密鍵 １３ 区間を定める定数 １４ 安全定数 ２０ 証明文作成装置の演算処理部 ２１ 復号部 ２２ 両端値との差の算出部 ２３ 拡大部 ２４ 分割部 ２５ 暗号化部 ２６ 証明文生成部 ２７ 乱数生成部 ３０ 証明文作成装置の出力部 ３１ 分割された数値の暗号文 ３２ 分割された数値に関する証明文 ３３ 暗号化された数値が定められた区間内に属するこ
とを証明する証明文 ４０ 検証装置の入力部 ５０ 検証装置の演算処理部 ５１ 両端値との差の値の暗号文生成部 ５２ 拡大部 ５３ 分解部 ５４ 検証部 ５５ 判定部 ６０ 検証装置の出力部 ６１ 検証結果 ９０、９１ 記録媒体

Claims (35)

【特許請求の範囲】
1. 【請求項１】 確率暗号文の平文である数値が指定され
   た範囲内にあることを証明するための証明文を作成し、
   かつ前記証明文に基づいて当該平文の値が当該指定され
   た範囲内にあることを検証する、暗号文の平文が区間内
   にあることの証明システムにおいて、 前記平文の値、当該平文を当該確率暗号文に暗号化する
   ために用いられた乱数の値、前記指定された範囲を定め
   る上限値と下限値、及び、正しく検証される確率を規定
   する安全変数の値とに基づいて、前記確率暗号文の解読
   困難性を失うことなく前記平文の値が前記指定された範
   囲内にあるか否かを判定するための前記証明文を作成す
   る証明文作成装置と、 検証対象の前記確率暗号文、前記指定された範囲を定め
   る上限値と下限値、前記証明文、及び、正しく検証され
   る確率を規定する安全変数の値とに基づいて、前記平文
   の値が前記指定された範囲内にあるか否かを、前記安全
   変数に規定された以上の確率で正確に検証する検証装置
   を備えることを特徴とする暗号文の平文が区間内にある
   ことの証明システム。
2. 【請求項２】 前記証明文作成装置は、 前記確率暗号文を復号して、前記平文の値及び、当該平
   文を当該確率暗号文に暗号化するために用いられた前記
   乱数の値を取得する復号部を備え、 前記復号部により取得された前記平文の値と前記乱数の
   値を用いて、前記証明文を作成することを特徴とする請
   求項１に記載の暗号文の平文が区間内にあることの証明
   システム。
3. 【請求項３】 前記証明文作成装置は、 前記上限値から前記平文の値を減算した値と、前記平文
   の値から前記下限値を減算した値との２種類の数値を算
   出する両端値との差の算出部と、 前記安全変数に基づいて定められる拡大係数の値を、前
   記両端値との差の算出部により算出された２種類の数値
   のそれぞれに乗じて、それぞれの拡大値を算出する拡大
   部と、 前記拡大値のそれぞれに対して、各前記拡大値以下の最
   大の平方数と、各前記拡大値から対応する前記平方数の
   値を減算した差の値とを算出することにより、前記拡大
   値のそれぞれを前記平方数と前記差の値とに分割する分
   割部と、 各前記拡大値を分割して得られた各前記数値を暗号化し
   て、暗号文を生成する暗号化部と、 各前記拡大値を分割して得られた各前記数値に関する証
   明文を生成する証明文生成部を備え、 前記暗号化部により生成された前記暗号文と、証明文生
   成部により生成された前記数値に関する証明文とを、前
   記平文の値が指定された範囲内にあることを証明するた
   めの前記証明文として出力することを特徴とすることを
   特徴とする請求項２に記載の暗号文の平文が区間内にあ
   ることの証明システム。
4. 【請求項４】 前記検証装置は、 前記上限値から前記平文の値を減算した値と、前記平文
   の値から前記下限値を減算した値との２種類の両端値と
   の差の値の、それぞれの暗号文を生成する両端値との差
   の暗号文生成部と、 前記両端値との差の暗号文生成部により生成された各前
   記暗号文のそれぞれを、前記安全変数に基づいて定めら
   れる拡大係数を前記２種類の両端値との差の値のそれぞ
   れに乗じて得られる値を暗号化した、拡大値暗号文に変
   換する拡大部と、 各前記拡大値暗号文を、それぞれに第１の暗号文と第２
   の暗号文との２つの暗号文の積に分解する分解部と、 各前記拡大値暗号文を分解して得られたそれぞれの前記
   ２つの暗号文を検証する検証部と、 前記検証部による健勝結果に基づいて、当該確率暗号文
   の平文である数値が当該指定された範囲内にあるか否か
   を判定する判定部を備えることを特徴とする請求項３に
   記載の暗号文の平文が区間内にあることの証明システ
   ム。
5. 【請求項５】 前記証明文作成装置の前記暗号化部は、 各前記拡大値のそれぞれに対して、前記分割部により分
   割された前記平方数と前記差の値との少なくとも一方を
   暗号化することにより、前記暗号文を生成することを特
   徴とする請求項４に記載の暗号文の平文が区間内にある
   ことの証明システム。
6. 【請求項６】 前記検証装置の前記分解部は、 各前記拡大値暗号文における、前記上限値から前記平文
   の値を減算した値を基に生成された側と前記平文の値か
   ら前記下限値を減算した値を基に生成された側とのそれ
   ぞれにおいて対応する、前記証明文において暗号化され
   て備えられている前記拡大値から算出される前記平方数
   と前記差の値とのいずれか一方の値の暗号文をそれぞれ
   に取得して、各前記拡大値暗号文のそれぞれに、前記証
   明文に備えられる対応する側の値の暗号文を前記第１の
   暗号文とし、前記第１の暗号文との積が対応する前記拡
   大値暗号文を成す暗号文である前記第２の暗号文をそれ
   ぞれ算出することにより、各前記拡大値暗号文を分解す
   ることを特徴とする請求項５に記載の暗号文の平文が区
   間内にあることの証明システム。
7. 【請求項７】 前記証明文作成装置の前記証明文生成部
   は、 各前記拡大値のそれぞれの前記差の値が、前記拡大係数
   より小さいことを証明する証明文と、各前記拡大値のそ
   れぞれの前記平方数が、平方数を成しかつ前記確率暗号
   文の周期の半分より小さいことを証明する証明文とを、
   各前記数値に関する証明文として生成することを特徴と
   する請求項６に記載の暗号文の平文が区間内にあること
   の証明システム。
8. 【請求項８】 前記検証装置の前記検証部は、 各前記数値に関する証明文に基づいて、前記第１の暗号
   文及び前記第２の暗号文を検証し、 前記第１の暗号文が前記平方数の側に対応する場合に
   は、前記第１の暗号文の平文の値が平方数を成しかつ前
   記確率暗号文の周期の半分より小さいことの検証と、前
   記第２の暗号文の平文の値が前記拡大係数より小さいこ
   との検証とを行い、 前記第１の暗号文が前記差の値の側に対応する場合に
   は、前記第１の暗号文の平文の値が前記拡大係数より小
   さいことの検証と、前記第２の暗号文の平文の値が平方
   数を成しかつ前記確率暗号文の周期の半分より小さいこ
   との検証とを行い、 前記検証装置の前記判定部は、 前記検証部による前記第１の暗号文及び前記第２の暗号
   文の前記検証において、いずれも受理された場合に限
   り、前記確率暗号文の平文である数値が前記指定された
   範囲内にあると判定することを特徴とする請求項７に記
   載の暗号文の平文が区間内にあることの証明システム。
9. 【請求項９】 確率暗号文の平文である数値が、指定さ
   れた範囲内にあることを証明するための証明文を作成す
   る証明文作成装置において、 前記平文の値、当該平文を当該確率暗号文に暗号化する
   ために用いられた乱数の値、前記指定された範囲を定め
   る上限値と下限値、及び、正しく検証される確率を規定
   する安全変数の値とに基づいて、前記証明文を作成する
   手段を備えることにより、 前記確率暗号文、前記上限値、前記下限値、前記安全変
   数、及び、作成された前記証明文とに基づく検証におい
   て、前記確率暗号文の解読困難性を失うことなく、前記
   平文の値が前記指定された範囲内にあるか否かを前記安
   全変数に規定された以上の確率で正確に検証するため
   の、前記証明文を作成することを特徴とする証明文作成
   装置。
10. 【請求項１０】 前記確率暗号文を復号して、前記平文
    の値及び、当該平文を当該確率暗号文に暗号化するため
    に用いられた前記乱数の値を取得する復号部を備え、 前記証明文を作成する手段は、 前記復号部により取得された前記平文の値と前記乱数の
    値を用いて、前記証明文を作成することを特徴とする請
    求項９に記載の証明文作成装置。
11. 【請求項１１】 前記証明文を作成する手段は、 前記上限値から前記平文の値を減算した値と、前記平文
    の値から前記下限値を減算した値との２種類の数値を算
    出する両端値との差の算出部と、 前記安全変数に基づいて定められる拡大係数の値を、前
    記両端値との差の算出部により算出された２種類の数値
    のそれぞれに乗じて、それぞれの拡大値を算出する拡大
    部と、 前記拡大値のそれぞれに対して、各前記拡大値以下の最
    大の平方数と、各前記拡大値から対応する前記平方数の
    値を減算した差の値とを算出することにより、前記拡大
    値のそれぞれを前記平方数と前記差の値とに分割する分
    割部と、 各前記拡大値を分割して得られた各前記数値を暗号化し
    て、暗号文を生成する暗号化部と、 各前記拡大値を分割して得られた各前記数値に関する証
    明文を生成する証明文生成部を備え、 前記暗号化部により生成された前記暗号文と、証明文生
    成部により生成された前記数値に関する証明文とを、前
    記平文の値が指定された範囲内にあることを証明するた
    めの前記証明文として出力することを特徴とすることを
    特徴とする請求項１０に記載の証明文作成装置。
12. 【請求項１２】 前記暗号化部は、 各前記拡大値のそれぞれに対して、前記分割部により分
    割された前記平方数と前記差の値との少なくとも一方を
    暗号化することにより、前記暗号文を生成することを特
    徴とする請求項１に記載の証明文作成装置。
13. 【請求項１３】 前記証明文生成部は、 各前記拡大値のそれぞれの前記差の値が、前記拡大係数
    より小さいことを証明する証明文と、各前記拡大値のそ
    れぞれの前記平方数が、平方数を成しかつ前記確率暗号
    文の周期の半分より小さいことを証明する証明文とを、
    各前記数値に関する証明文として生成することを特徴と
    する請求項１１又は請求項１２に記載の証明文作成装
    置。
14. 【請求項１４】 確率暗号文の平文である数値が指定さ
    れた範囲内にあることを証明する証明文に基づき、当該
    平文の値が当該指定された範囲内にあることを検証する
    検証装置において、 検証対象の前記確率暗号文、前記指定された範囲を定め
    る上限値と下限値、前記証明文、及び、正しく検証され
    る確率を規定する安全変数の値とに基づいて、前記平文
    の値が前記指定された範囲内にあるか否かを、前記安全
    変数に規定された以上の確率で正確に検証することを特
    徴とする検証装置。
15. 【請求項１５】 前記上限値から前記平文の値を減算し
    た値と、前記平文の値から前記下限値を減算した値との
    ２種類の両端値との差の値の、それぞれの暗号文を生成
    する両端値との差の暗号文生成部と、 前記両端値との差の暗号文生成部により生成された各前
    記暗号文のそれぞれを、前記安全変数に基づいて定めら
    れる拡大係数を前記２種類の両端値との差の値のそれぞ
    れに乗じて得られる値を暗号化した、拡大値暗号文に変
    換する拡大部と、 各前記拡大値暗号文を、それぞれに第１の暗号文と第２
    の暗号文との２つの暗号文の積に分解する分解部と、 各前記拡大値暗号文を分解して得られたそれぞれの前記
    ２つの暗号文を検証する検証部と、 前記検証部による健勝結果に基づいて、当該確率暗号文
    の平文である数値が当該指定された範囲内にあるか否か
    を判定する判定部を備えることを特徴とする請求項１４
    に記載の検証装置。
16. 【請求項１６】 前記証明文は、前記安全変数に基づい
    て定められる拡大係数を前記２種類の両端値との差の値
    のそれぞれに乗じて得られる値である２種類の拡大値の
    それぞれにおいて、各前記拡大値以下の最大の平方数
    と、各前記拡大値から対応する前記平方数の値を減算し
    た差の値との少なくとも一方の値を暗号化した、分割さ
    れた値の暗号文のデータを備え、 前記分解部は、 各前記拡大値暗号文における、前記上限値から前記平文
    の値を減算した値を基に生成された側と前記平文の値か
    ら前記下限値を減算した値を基に生成された側とのそれ
    ぞれにおいて対応する、前記証明文において暗号化され
    て備えられている前記拡大値から算出される前記平方数
    と前記差の値とのいずれか一方の値の暗号文をそれぞれ
    に取得して、各前記拡大値暗号文のそれぞれに、前記証
    明文に備えられる対応する側の値の暗号文を前記第１の
    暗号文とし、前記第１の暗号文との積が対応する前記拡
    大値暗号文を成す暗号文である前記第２の暗号文をそれ
    ぞれ算出することにより、各前記拡大値暗号文を分解す
    ることを特徴とする請求項１５に記載の検証装置。
17. 【請求項１７】 前記証明文は、 前記安全変数に基づいて定められる拡大係数を前記２種
    類の両端値との差の値のそれぞれに乗じて得られる値で
    ある２種類の拡大値のそれぞれにおける、各前記拡大値
    以下の最大の平方数と各前記拡大値から対応する前記平
    方数の値を減算した差の値との分割された各値に関し
    て、各前記差の値が、前記拡大係数より小さいことを証
    明する証明文と、前記平方数が、平方数を成しかつ前記
    確率暗号文の周期の半分より小さいことを証明する証明
    文とを、各前記数値に関する証明文として備え、 前記検証部は、 各前記数値に関する証明文に基づいて、前記第１の暗号
    文及び前記第２の暗号文を検証し、 前記第１の暗号文が前記平方数の側に対応する場合に
    は、前記第１の暗号文の平文の値が平方数を成しかつ前
    記確率暗号文の周期の半分より小さいことの検証と、前
    記第２の暗号文の平文の値が前記拡大係数より小さいこ
    との検証とを行い、 前記第１の暗号文が前記差の値の側に対応する場合に
    は、前記第１の暗号文の平文の値が前記拡大係数より小
    さいことの検証と、前記第２の暗号文の平文の値が平方
    数を成しかつ前記確率暗号文の周期の半分より小さいこ
    との検証とを行い、 前記判定部は、 前記検証部による前記第１の暗号文及び前記第２の暗号
    文の前記検証において、いずれも受理された場合に限
    り、前記確率暗号文の平文である数値が前記指定された
    範囲内にあると判定することを特徴とする請求項１６に
    記載の検証装置。。
18. 【請求項１８】 確率暗号文の平文である数値が、指定
    された範囲内にあることを証明するための証明文を作成
    する証明文作成方法において、 前記平文の値、当該平文を当該確率暗号文に暗号化する
    ために用いられた乱数の値、前記指定された範囲を定め
    る上限値と下限値、及び、正しく検証される確率を規定
    する安全変数の値とに基づいて、前記証明文を作成する
    ステップを備えることにより、 前記確率暗号文、前記上限値、前記下限値、前記安全変
    数、及び、作成された前記証明文とに基づく検証におい
    て、前記確率暗号文の解読困難性を失うことなく、前記
    平文の値が前記指定された範囲内にあるか否かを前記安
    全変数に規定された以上の確率で正確に検証するため
    の、前記証明文を作成することを特徴とする証明文作成
    方法。
19. 【請求項１９】 前記確率暗号文を復号して、前記平文
    の値及び、当該平文を当該確率暗号文に暗号化するため
    に用いられた前記乱数の値を取得する復号ステップを備
    え、 前記証明文を作成するステップは、 前記確率暗号文を復号して取得された前記平文の値と前
    記乱数の値を用いて、前記証明文を作成することを特徴
    とする請求項１８に記載の証明文作成方法。
20. 【請求項２０】 前記証明文を作成するステップは、 前記上限値から前記平文の値を減算した値と、前記平文
    の値から前記下限値を減算した値との２種類の数値を算
    出する両端値との差の算出ステップと、 前記安全変数に基づいて定められる拡大係数の値を、前
    記両端値との差の算出ステップにより算出された２種類
    の数値のそれぞれに乗じて、それぞれの拡大値を算出す
    る拡大ステップと、 前記拡大値のそれぞれに対して、各前記拡大値以下の最
    大の平方数と、各前記拡大値から対応する前記平方数の
    値を減算した差の値とを算出することにより、前記拡大
    値のそれぞれを前記平方数と前記差の値とに分割する分
    割ステップと、 各前記拡大値を分割して得られた各前記数値を暗号化し
    て暗号文を生成する暗号化ステップと、 各前記拡大値を分割して得られた各前記数値に関する証
    明文を生成する証明文生成ステップを備え、 前記暗号化ステップにより生成された前記暗号文と、証
    明文生成ステップにより生成された前記数値に関する証
    明文とを、前記平文の値が指定された範囲内にあること
    を証明するための前記証明文として出力することを特徴
    とすることを特徴とする請求項１９に記載の証明文作成
    方法。
21. 【請求項２１】 前記暗号化ステップは、 各前記拡大値のそれぞれに対して、前記分割ステップに
    より分割された前記平方数と前記差の値との少なくとも
    一方を暗号化することにより、前記暗号文を生成するこ
    とを特徴とする請求項２０に記載の証明文作成方法。
22. 【請求項２２】 前記証明文生成ステップは、 各前記拡大値のそれぞれの前記差の値が、前記拡大係数
    より小さいことを証明する証明文と、各前記拡大値のそ
    れぞれの前記平方数が、平方数を成しかつ前記確率暗号
    文の周期の半分より小さいことを証明する証明文とを、
    各前記数値に関する証明文として生成することを特徴と
    する請求項２０又は請求項２１に記載の証明文作成方
    法。
23. 【請求項２３】 確率暗号文の平文である数値が指定さ
    れた範囲内にあることを証明する証明文に基づき、当該
    平文の値が当該指定された範囲内にあることを検証する
    検証方法において、 検証対象の前記確率暗号文、前記指定された範囲を定め
    る上限値と下限値、前記証明文、及び、正しく検証され
    る確率を規定する安全変数の値とに基づいて、前記平文
    の値が前記指定された範囲内にあるか否かを、前記安全
    変数に規定された以上の確率で正確に検証することを特
    徴とする検証方法。
24. 【請求項２４】 前記上限値から前記平文の値を減算し
    た値と、前記平文の値から前記下限値を減算した値との
    ２種類の両端値との差の値の、それぞれの暗号文を生成
    する両端値との差の暗号文生成ステップと、 生成された各前記両端値との差の値の暗号文のそれぞれ
    を、前記安全変数に基づいて定められる拡大係数を前記
    ２種類の両端値との差の値のそれぞれに乗じて得られる
    拡大値を暗号化した、拡大値暗号文に変換する拡大ステ
    ップと、 各前記拡大値暗号文を、それぞれに第１の暗号文と第２
    の暗号文との２つの暗号文の積に分解する分解ステップ
    と、 各前記拡大値暗号文を分解して得られたそれぞれの前記
    ２つの暗号文を検証する検証ステップと、 前記検証ステップによる健勝結果に基づいて、当該確率
    暗号文の平文である数値が当該指定された範囲内にある
    か否かを判定する判定ステップを備えることを特徴とす
    る請求項２３に記載の検証方法。
25. 【請求項２５】 前記証明文は、 前記安全変数に基づいて定められる拡大係数を前記２種
    類の両端値との差の値のそれぞれに乗じて得られる値で
    ある２種類の拡大値のそれぞれにおいて、各前記拡大値
    以下の最大の平方数と、各前記拡大値から対応する前記
    平方数の値を減算した差の値との少なくとも一方の値を
    暗号化した、分割された値の暗号文のデータを備え、 前記分解ステップは、 各前記拡大値暗号文における、前記上限値から前記平文
    の値を減算した値を基に生成された側と前記平文の値か
    ら前記下限値を減算した値を基に生成された側とのそれ
    ぞれにおいて対応する、前記証明文において暗号化され
    て備えられている前記拡大値から算出される前記平方数
    と前記差の値とのいずれか一方の値の暗号文をそれぞれ
    に取得するステップと、 各前記拡大値暗号文のそれぞれに、前記証明文に備えら
    れる対応する側の値の暗号文を前記第１の暗号文とし、
    前記第１の暗号文との積が対応する前記拡大値暗号文を
    成す暗号文である前記第２の暗号文をそれぞれ算出する
    ことにより、各前記拡大値暗号文を分解するステップを
    備えることを特徴とする請求項２４に記載の検証方法。
26. 【請求項２６】 前記証明文は、 前記安全変数に基づいて定められる拡大係数を前記２種
    類の両端値との差の値のそれぞれに乗じて得られる値で
    ある２種類の拡大値のそれぞれにおける、各前記拡大値
    以下の最大の平方数と各前記拡大値から対応する前記平
    方数の値を減算した差の値との分割された各値に関し
    て、各前記差の値が、前記拡大係数より小さいことを証
    明する証明文と、前記平方数が、平方数を成しかつ前記
    確率暗号文の周期の半分より小さいことを証明する証明
    文とを、各前記数値に関する証明文として備え、 前記検証ステップは、 各前記数値に関する証明文に基づいて、前記第１の暗号
    文及び前記第２の暗号文を検証し、 前記第１の暗号文が前記平方数の側に対応する場合に
    は、前記第１の暗号文の平文の値が平方数を成しかつ前
    記確率暗号文の周期の半分より小さいことの検証と、前
    記第２の暗号文の平文の値が前記拡大係数より小さいこ
    との検証とを行い、 前記第１の暗号文が前記差の値の側に対応する場合に
    は、前記第１の暗号文の平文の値が前記拡大係数より小
    さいことの検証と、前記第２の暗号文の平文の値が平方
    数を成しかつ前記確率暗号文の周期の半分より小さいこ
    との検証とを行い、 前記判定ステップは、 前記第１の暗号文及び前記第２の暗号文の前記検証にお
    いていずれも受理された場合に限り、前記確率暗号文の
    平文である数値が前記指定された範囲内にあると判定す
    ることを特徴とする請求項２５に記載の検証方法。
27. 【請求項２７】 コンピュータを制御することにより、
    確率暗号文の平文である数値が指定された範囲内にある
    ことを証明するための証明文を作成する証明文作成プロ
    グラムにおいて、 前記平文の値、当該平文を当該確率暗号文に暗号化する
    ために用いられた乱数の値、前記指定された範囲を定め
    る上限値と下限値、及び、正しく検証される確率を規定
    する安全変数の値とに基づいて、前記証明文を作成する
    処理を実行させることにより、 前記確率暗号文、前記上限値、前記下限値、前記安全変
    数、及び、作成された前記証明文とに基づく検証におい
    て、前記確率暗号文の解読困難性を失うことなく、前記
    平文の値が前記指定された範囲内にあるか否かを前記安
    全変数に規定された以上の確率で正確に検証するため
    の、前記証明文の作成を実行させることを特徴とする証
    明文作成プログラム。
28. 【請求項２８】 前記確率暗号文を復号して、前記平文
    の値及び、当該平文を当該確率暗号文に暗号化するため
    に用いられた前記乱数の値を取得する復号処理を実行さ
    せ、 前記証明文を作成する処理においては、 前記確率暗号文を復号して取得された前記平文の値と前
    記乱数の値を用いて、前記証明文の作成を実行すること
    を特徴とする請求項２７に記載の証明文作成プログラ
    ム。
29. 【請求項２９】 前記証明文を作成する処理において
    は、 前記上限値から前記平文の値を減算した値と、前記平文
    の値から前記下限値を減算した値との２種類の数値を算
    出する両端値との差の算出処理と、 前記安全変数に基づいて定められる拡大係数の値を、前
    記両端値との差の算出処理により算出された２種類の数
    値のそれぞれに乗じて、それぞれの拡大値を算出する拡
    大処理と、 前記拡大値のそれぞれに対して、各前記拡大値以下の最
    大の平方数と、各前記拡大値から対応する前記平方数の
    値を減算した差の値とを算出することにより、前記拡大
    値のそれぞれを前記平方数と前記差の値とに分割する分
    割処理と、 各前記拡大値を分割して得られた各前記数値を暗号化し
    て暗号文を生成する暗号化処理と、 各前記拡大値を分割して得られた各前記数値に関する証
    明文を生成する証明文生成処理と、 前記暗号化処理により生成された前記暗号文と、証明文
    生成処理により生成された前記数値に関する証明文と
    を、前記平文の値が指定された範囲内にあることを証明
    するための前記証明文として出力する処理を実行させる
    ことを特徴とすることを特徴とする請求項２８に記載の
    証明文作成プログラム。
30. 【請求項３０】 前記暗号化処理においては、 各前記拡大値のそれぞれに対して、前記分割処理により
    分割された前記平方数と前記差の値との少なくとも一方
    を暗号化することにより、前記暗号文を生成する処理を
    実行させることを特徴とする請求項２８に記載の証明文
    作成プログラム。
31. 【請求項３１】 前記証明文生成処理においては、 各前記拡大値のそれぞれの前記差の値が、前記拡大係数
    より小さいことを証明する証明文と、各前記拡大値のそ
    れぞれの前記平方数が、平方数を成しかつ前記確率暗号
    文の周期の半分より小さいことを証明する証明文とを、
    各前記数値に関する証明文として生成する処理を実行さ
    せることを特徴とする請求項２９又は請求項３０に記載
    の証明文作成プログラム。
32. 【請求項３２】 コンピュータを制御することにより、
    確率暗号文の平文である数値が指定された範囲内にある
    ことを証明する証明文に基づき、当該平文の値が当該指
    定された範囲内にあることを検証する検証プログラムに
    おいて、 検証対象の前記確率暗号文、前記指定された範囲を定め
    る上限値と下限値、前記証明文、及び、正しく検証され
    る確率を規定する安全変数の値とに基づいて、前記平文
    の値が前記指定された範囲内にあるか否かを、前記安全
    変数に規定された以上の確率で正確に検証する処理を実
    行させることを特徴とする検証プログラム。
33. 【請求項３３】 前記上限値から前記平文の値を減算し
    た値と、前記平文の値から前記下限値を減算した値との
    ２種類の両端値との差の値の、それぞれの暗号文を生成
    する両端値との差の暗号文生成処理と、 生成された各前記両端値との差の値の暗号文のそれぞれ
    を、前記安全変数に基づいて定められる拡大係数を前記
    ２種類の両端値との差の値のそれぞれに乗じて得られる
    拡大値を暗号化した、拡大値暗号文に変換する拡大処理
    と、 各前記拡大値暗号文を、それぞれに第１の暗号文と第２
    の暗号文との２つの暗号文の積に分解する分解処理と、 各前記拡大値暗号文を分解して得られたそれぞれの前記
    ２つの暗号文を検証する検証処理と、 前記検証処理による健勝結果に基づいて、当該確率暗号
    文の平文である数値が当該指定された範囲内にあるか否
    かを判定する判定処理を実行させることを特徴とする請
    求項３２に記載の検証プログラム。
34. 【請求項３４】 前記証明文は、 前記安全変数に基づいて定められる拡大係数を前記２種
    類の両端値との差の値のそれぞれに乗じて得られる値で
    ある２種類の拡大値のそれぞれにおいて、各前記拡大値
    以下の最大の平方数と、各前記拡大値から対応する前記
    平方数の値を減算した差の値との少なくとも一方の値を
    暗号化した、分割された値の暗号文のデータを備え、 前記分解処理においては、 各前記拡大値暗号文における、前記上限値から前記平文
    の値を減算した値を基に生成された側と前記平文の値か
    ら前記下限値を減算した値を基に生成された側とのそれ
    ぞれにおいて対応する、前記証明文において暗号化され
    て備えられている前記拡大値から算出される前記平方数
    と前記差の値とのいずれか一方の値の暗号文をそれぞれ
    に取得する処理と、 各前記拡大値暗号文のそれぞれに、前記証明文に備えら
    れる対応する側の値の暗号文を前記第１の暗号文とし、
    前記第１の暗号文との積が対応する前記拡大値暗号文を
    成す暗号文である前記第２の暗号文をそれぞれ算出する
    ことにより、各前記拡大値暗号文を分解する処理を実行
    させることを特徴とする請求項３３に記載の検証プログ
    ラム。
35. 【請求項３５】 前記証明文は、 前記安全変数に基づいて定められる拡大係数を前記２種
    類の両端値との差の値のそれぞれに乗じて得られる値で
    ある２種類の拡大値のそれぞれにおける、各前記拡大値
    以下の最大の平方数と各前記拡大値から対応する前記平
    方数の値を減算した差の値との分割された各値に関し
    て、各前記差の値が、前記拡大係数より小さいことを証
    明する証明文と、前記平方数が、平方数を成しかつ前記
    確率暗号文の周期の半分より小さいことを証明する証明
    文とを、各前記数値に関する証明文として備え、 前記検証処理においては、 各前記数値に関する証明文に基づいて、前記第１の暗号
    文及び前記第２の暗号文を検証し、 前記第１の暗号文が前記平方数の側に対応する場合に
    は、前記第１の暗号文の平文の値が平方数を成しかつ前
    記確率暗号文の周期の半分より小さいことの検証と、前
    記第２の暗号文の平文の値が前記拡大係数より小さいこ
    とを検証する処理を実行させ、 前記第１の暗号文が前記差の値の側に対応する場合に
    は、前記第１の暗号文の平文の値が前記拡大係数より小
    さいことの検証と、前記第２の暗号文の平文の値が平方
    数を成しかつ前記確率暗号文の周期の半分より小さいこ
    とを検証する処理を実行させ、 前記判定処理においては、 前記第１の暗号文及び前記第２の暗号文の前記検証にお
    いていずれも受理された場合に限り、前記確率暗号文の
    平文である数値が前記指定された範囲内にあると判定す
    る処理を実行させることを特徴とする請求項３４に記載
    の検証プログラム。