JP2003143129A - 匿名通信方法、その装置処理方法、そのプログラムおよびその記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 ユーザが共通鍵を作るための鍵情報を各復号
サーバが独立に作ることを可能とする。 【解決手段】 各サーバｉ（ｉ＝１，・・・，ｍ）は乱数
Ａｉを生成し、Ｗｉ＝ｇ^{A i}を公開し、ユーザｊは乱数Ｒ
ｊを生成し、鍵情報Ｇ０，ｊ＝ｇ^Riを作り、Ｌを（Ｚ／
ｐＺ）^*からＺ／ｑＺへ写す関数、Ｈを（Ｚ／ｐＺ）^*か
ら共通鍵空間へ写す関数とし、各サーバｉについて、Ｌ
０＝１，としＬｉ＝Ｌ（Ｇｉ）×Ｌｉ−１，Ｇｉ＝Ｗｉ
^RjLi-1を計算し、サーバｉとの共通鍵Ｋｉ＝Ｈ（Ｇｉ）
を求める。ユーザｊは平文ＭＳＧの多重暗号文Ｖ０＝Ｅ
_K1（・・・（Ｅ_Km（ＭＳＧ））・・・）を計算し、（Ｇ０，Ｖ
０）の組を最初のサーバ１へ送り、そのサーバ１はＴ１
＝Ｇ０^A1を計算し、Ｇ１＝Ｇ０^L(T1)と復号鍵Ｋ１＝Ｈ
（Ｔ１）を計算してＫ１でＶ０を復号してＶ１を得、
（Ｇ１，Ｖ１）を次のサーバへ送る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、情報セキュリテ
ィ技術の応用技術であって、ネットワーク上で投票やア
ンケートのような一方向の通信だけでなく情報閲覧やコ
ンテンツサービスのような双方向の通信にも適用できる
匿名通信方法、その装置処理方法、そのプログラム及び
その記録媒体に関するものである。

【０００２】

【従来の技術】ネットワーク上で投票やアンケートのよ
うな一方向の匿名通信を実現する手段として、例えば大
久保、「暗号文の長さが不変な Hybrid-Mix」（２００
０年暗号と情報セキュリティシンポジウム）がある。こ
れは共通鍵暗号を利用した匿名通信方法であり、複数の
ユーザ装置と、その装置による多重に暗号化された暗号
文を復号する複数の復号サーバ装置と、それらをつなぐ
ネットワークから構成される。このような構成のもとで
匿名通信を実現するために、あらかじめ複数の復号サー
バ装置が協力して計算を行い、それぞれの復号サーバ装
置がその計算結果を暗号／復号用鍵を生成するための情
報として公開する必要がある。つまり復号サーバ装置Ｍ
１，Ｍ２，・・・，Ｍｍがネットワークを介して公開掲示
板装置に送信する鍵情報は、それぞれが生成した秘密乱
数Ａ１，Ａ２，・・・ＡｍとＸ１，Ｘ２，・・・，Ｘｍ
を用いて計算された（ｇ^A1，ｇ^A1X1），（ｇ^A1A2，ｇ
^A1A2X1），・・・，（ｇ^A1A2・・・^m，ｇ^A1A2・・・^AmXm）と
なる。これによりユーザ装置および各復号サーバ装置は
鍵を生成できるが、鍵情報のサイズが大きいことに加
え、いくつかの復号サーバ装置がシステムダウンした、
あるいは不正を働いたなどとして排除する場合に、従来
技術では鍵情報の生成が復号サーバ装置間で依存してい
るために再度鍵情報を生成しなおさなくてはならない。

【０００３】

【発明が解決しようとする課題】第１の問題点は多様な
匿名通信経路の構成が困難なこと、また、いくつかの復
号サーバ装置が停止した場合などに再度事前計算を行わ
なければならないことである。その理由は、上記従来技
術ではその事前計算により復号サーバ装置の順序づけが
一意に決定されてしまい、あらかじめ複数の復号サーバ
装置が協力して計算を行わなくてはならないためであ
る。

【０００４】第２の問題点は、投票やアンケートのよう
な一方向の匿名通信にのみ適用できる手段においてのみ
提供しているということである。双方向の通信にも適用
できれば情報閲覧やコンテンツサービスなどの匿名サー
ビスができる。この発明の第１の目的は、ユーザ装置が
共通鍵を作るための復号サーバ装置の鍵情報を、複数の
復号サーバ装置があらかじめ協力して計算を行うことを
必要としない匿名通信方法を提供することにある。この
発明の第２の目的は、ユーザは利用する復号サーバ装置
とその利用順序を自由に選択でき、情報閲覧やコンテン
ツサービスのような双方向の通信にも適用できる匿名通
信方法を提供することにある。

【０００５】

【課題を解決するための手段】この発明によれば掲示板
装置と、複数のユーザ装置と、複数の復号サーバ装置
と、それらをつなぐネットワークとを備え、掲示板装置
は受信した情報を即座に電子的公開掲示板に公開し、復
号サーバ装置はそれぞれ独立に生成したユーザ装置が鍵
を作るための鍵情報を掲示板装置にネットワークを介し
て送信し、ユーザ装置は各復号サーバ装置が鍵を作るた
めの鍵情報を生成すると共に、公開された復号サーバ装
置のそれぞれの鍵情報から複数の鍵を生成し、自身の平
文をそれらの鍵で多重に共通鍵暗号で暗号化し、自身の
生成した鍵情報と多重暗号の組の複数を最初の復号サー
バ装置にネットワークを介して送信し、復号サーバ装置
は、取得した各組中の鍵情報からそれぞれ復号鍵を生成
して、これら復号鍵により複数の多重暗号文を復号し、
その各復号文と生成した鍵情報の組の複数よりなるリス
トを置換して次の復号サーバ装置へネットワークを介し
て送信して、復号サーバ装置への入力である複数のユー
ザ装置の暗号文及びそれに付随する情報のリストと、復
号サーバ装置の出力である次の複数の復号サーバ装置へ
の情報のリストとの対応関係を隠蔽する。

【０００６】この発明において例えば、復号サーバ装置
がネットワークを介して公開掲示板装置に送信するユー
ザ装置が鍵を作るための鍵情報は、復号サーバ装置をＭ
１，Ｍ２，・・・，Ｍｍとすると、それぞれが生成した秘
密乱数Ａ１，Ａ２，・・・，Ａｍおよび公開情報ｇをもち
いて計算されたｇ^A1，ｇ^A2，・・・，ｇ^Amとなる。この鍵
情報のみでユーザ装置は多重暗号文に必要な複数の暗号
鍵を生成でき、各復号サーバ装置はユーザ装置による多
重暗号文を復号するための鍵情報を生成できる。このた
め復号サーバ装置が不正してそれを排除した場合や復号
サーバ装置が使用不能になった場合に、復号サーバ装置
による鍵情報が他復号サーバ装置とは独立に生成されて
いるために鍵情報を生成し直す必要はない。

【０００７】また、従来技術では匿名通信経路が一意的
であったが、この発明では復号サーバ装置の鍵情報が他
復号サーバ装置とは独立であるため容易に匿名通信経路
を多様に構成でき、その経路をユーザ自身が選択するこ
とができる。そのためには例えばユーザ装置による多重
暗号文をＥ_K1（ＨＥＤＤ₂||Ｅ_K2（ＨＥＤＤ₃||Ｅ_K3（・・
・（Ｅ_Km（ＭＳＧ））・・・）））とし（ただしＭＳＧを平
文、Ｅを共通鍵暗号の暗号化アルゴリズム、ＨＥＤＤ_i
で復号サーバ装置ｉを表すヘッダ情報（識別情報）、||
でデータの連結、Ｅ_Ki（ＭＳＧ）でＭＳＧをＥをもちい
て鍵Ｋｉで暗号化したものとする）、復号サーバ装置Ｍ
１は鍵Ｋ１をもちいて復号しＨＥＤＤ₂||Ｅ_K2（ＨＥＤ
Ｄ₃||Ｅ_K3（・・・（Ｅ_Km（ＭＳＧ））・・・））を得る。こ
れにより次に復号を行う復号サーバ装置はＨＥＤＤ₂に
示されているように復号サーバ装置Ｍ２であることが分
かる。最終的に復号サーバ装置Ｍｍが復号することによ
り平文ＭＳＧを得る。

【０００８】更に従来技術では投票やアンケートなど一
方向の匿名通信にのみが考えられていたが、例えばユー
ザ装置による多重暗号文Ｅ_K1（Ｅ_K2（・・・（Ｅ_Km（ＭＳ
Ｇ））・・・））を各復号サーバ装置が逐次Ｅ_K2（・・・（Ｅ
_Km（ＭＳＧ））・・・），・・・，Ｅ_Km（ＭＳＧ），ＭＳＧと
復号していたものに対して、逆にユーザ装置に与える平
文ＭＳＧ′を各復号サーバ装置が逐次Ｅ_Km（ＭＳ
Ｇ′），・・・，Ｅ_K2（・・・（Ｅ _Km（ＭＳＧ′））・・・），
Ｅ_K1（Ｅ_K2（・・・（Ｅ_Km（ＭＳＧ′））・・・））と自身の
鍵で暗号化を施し、その多重暗号文をユーザ装置が一括
復号しＭＳＧ′を得ることで、情報閲覧やコンテンツサ
ービスなど双方向の通信がこの発明により可能となる。
これはユーザ装置から復号サーバ装置への匿名通信と同
様の方法により双方向の通信においても匿名通信が可能
となる。

【０００９】

【発明の実施の形態】次に、この発明の実施の形態につ
いて図面を参照して詳細に説明する。まず第１の実施形
態として、ユーザが利用する復号サーバ装置とその匿名
通信経路があらかじめ一意的に決まっていて、電子的公
開掲示板を用いて匿名性を備えた鍵共有及びメッセージ
の復号を実現する方法を示す。次に第２の実施形態とし
て、利用する復号サーバ装置とその匿名通信経路は各ユ
ーザが自由に選択でき、ユーザ装置−復号サーバ装置、
復号サーバ装置−復号サーバ装置間で署名を付与して送
受信し、匿名のユーザの要求に対する情報をその匿名の
ユーザに返送できる方法を示す。なお第１、第２の実施
形態ともに、匿名通信を行う際、離散対数問題を拠り所
とするような大きな素数ｐ，ｑ（ｑはｐ−１の約数とな
るような関係を持つ）及び位数がｑとなるような乗法群
（Ｚ／ｐＺ）^*の元ｇがあらかじめ公開されているもの
とする。

【００１０】第１の実施形態 図１に示すように、第１の実施形態におけるこの発明に
よる匿名通信を実現するための構成は、ユーザ装置及び
復号サーバ装置がアクセス可能な公開掲示板装置１０
と、公開掲示板装置１０が受信した情報を公開するため
の電子的公開掲示板１１と、複数のユーザ１２と、その
ユーザが操作するユーザ装置１３と、復号サーバ装置１
４と、それを操作、管理する復号サーバ管理者１５と、
ユーザ装置１３及び復号サーバ装置１４と、公開掲示板
装置１０あるいは電子的公開掲示板１１とを結ぶネット
ワーク１６からなる。なお復号サーバ装置１４はｍ台あ
るものとし、i番目（ｉ＝１，２，・・・，ｍ）の復号
サーバ装置を１４−ｉで表し、その管理者を１５−ｉと
し、ユーザ１２はｎ人いるものとしそのユーザ１２には
番号が割り振られており、ｊ番目のユーザ１２を１２−
ｊとし、１２−ｊが操作するユーザ装置１３を１３−ｊ
（ｊ＝１，２，・・・，ｎ）で表す。

【００１１】復号サーバ装置１４−ｉ（ｉ＝１，２，・・
・，ｍ）はそれぞれ別の機関が管理するなどして結託し
ないものとし、事前処理として，図４及び図５に示すよ
うに、ｐ，ｑ，ｇを電子的公開掲示板１１よりダウンロ
ードして記憶部１４１に格納し（Ｓ２）、乱数生成部１
４２により１以上ｑ未満の乱数Ａｉを生成し、Ａｉを記
憶部１４１に格納すると共にＷｉ＝ｇ^Aiを関数演算部１
４３で計算して公開掲示板装置１０に送信する（Ｓ
２）。次にユーザ装置１３−ｊの多重暗号文と鍵情報の
生成法について述べる。ユーザ装置１３−ｊの処理手順
を図２に、その機能構成を図３にそれぞれ示す。ユーザ
装置１３−ｊはｐ，ｑ，ｇを電子的公開掲示板１１より
ダウンロードして記憶部１３１に格納し（Ｓ１）、乱数
生成部１３２より１以上ｑ未満の乱数Ｒｊを生成した
後、Ｇ０，ｊ＝ｇ^Rjを関数演算部１３３で計算し（Ｓ
２）、これを鍵情報とする。また復号サーバ装置１４−
ｉ（ｉ＝１，２，・・・，ｍ）の公開情報Ｗｉを電子的公
開掲示板１１よりダウンロードし、Ｇｉ，ｊ＝Ｗｉ
^RjLi-1,jをｉについて１からはじめてｍまで順に関数演
算部１３３で計算する。ここでＬｉ，ｊ＝Ｌ（Ｇｉ，
ｊ）×Ｌｉ−１，ｊ，ただしＬ０，ｊ＝１，Ｌは乗法群
（Ｚ／ｐＺ）^*からＺ／ｑＺへ写す関数とする。

【００１２】以上の準備から復号サーバ装置１４−ｉに
対する共通鍵Ｋｉ，ｊ＝Ｈ（Ｇｉ，ｊ）をｉについて１
からはじめてｍまで順に関数演算部１３３で生成する
（Ｓ３）。ただしＨは乗法群（Ｚ／ｐＺ）^*から共通鍵
空間へ写す関数とする。そして最終的にユーザ装置１３
−ｊのメッセージＭＳＧｊに対して、暗号鍵Ｋｍ，ｊか
らはじめてＫ１，ｊまで順に用いて暗号化を関数演算部
１３３で施した多重暗号文Ｖ０，ｊ＝Ｅ_K1,j（・・・（Ｅ
_Km,j（ＭＳＧｊ））・・・）を計算して鍵情報と多重暗号
文の組Ｃ０，ｊ＝（Ｇ０，ｊ，Ｖ０，ｊ）を公開掲示板
装置１０に送信する（Ｓ４）。ただしＥは共通鍵暗号の
暗号化アルゴリズム、添字のＫｉ，ｊはＥに用いる暗号
鍵とする。

【００１３】続いて復号サーバ装置１４の処理について
述べる。復号サーバ装置１４の処理手順を図４に示す。
また、復号サーバ装置１４の機能構成を図５に示す。ま
ず復号サーバ装置１４−１は全ユーザ装置１３からの公
開情報のリストＢ０＝｛Ｃ０，１，Ｃ０，２，・・・，Ｃ
０，ｎ｝を電子的公開掲示板１１より取得し（Ｓ３）、
自身の生成した乱数Ａ１を記憶部１４１から取り出し、
Ｔ１，ｊ＝Ｇ０、ｊ^A1（ｊ＝１，２，・・・，ｎ）を関数
演算部１４３で計算する。これらから、鍵情報Ｇ１、ｊ
＝Ｇ０，ｊ^L(T1,j)及び復号鍵共通鍵Ｋ１，ｊ＝Ｈ（Ｔ
１，ｊ）を関数演算部１４３で生成した後（Ｓ４）、多
重暗号文Ｖ０，ｊをその復号鍵Ｋ１，ｊで関数演算部１
４３において復号する。この復号した値をＶ１，ｊ＝Ｄ
_K1,j（Ｖ０，ｊ）と表記する。ただしＤは共通鍵暗号の
復号アルゴリズム、もちろん復号サーバ装置１４が２台
以上であればＶ１，ｊは暗号文となっている。そしてｎ
個の鍵情報と暗号文の組Ｃ１，ｊ＝（Ｇ１，ｊ，Ｖ１，
ｊ）を作成し（Ｓ５）、この組Ｃ１，ｊの順序を置換処
理部１４４で適当（ランダム）に置換して得られたリス
トＢ１を公開掲示板装置１０に送信する（Ｓ６）。

【００１４】以下同様の操作を復号サーバ装置１４−ｉ
はｉについて２からｍまで繰り返す。すなわち復号サー
バ装置１４−ｉは復号サーバ装置１４−ｉ‐１の公開リ
ストＢｉ‐１を取得し、これから鍵情報と復号鍵を生成
し、復号及び置換をした後、リストＢｉを公開掲示板装
置１０に送信する。最終的に復号サーバ装置１４−ｍの
復号処理で全ユーザのメッセージＭＳＧｊを得ることが
できる。この操作により全復号サーバ装置１４の置換が
知られない限り、つまり各復号サーバ装置１４−ｉを管
理する復号サーバ管理者１５全員が結託しない限り、Ｍ
ＳＧｊがどのユーザのものであるかの判別がつかない。
ただしもちろん各復号サーバ装置１４の入出力のリスト
が複数のユーザ１２により構成されている必要がある。

【００１５】またもしユーザ１２−ｊが自身のメッセー
ジＭＳＧｊが公開されていないことを確認したい場合
は、復号サーバ装置１４−ｉ各々の出力値を、これと対
応する暗号文を作成して一致するものがあるか否か検証
することにより、どの復号サーバ装置１４が不正を行っ
たか特定でき、さらにユーザ１２−ｊと復号サーバ管理
者１５−ｉ双方の間で不正が報告され、かつお互いが正
当だと主張した場合、例えばお互いの秘密乱数Ｒｊ，Ａ
ｉを公開することで、第３者が双方の処理を再度行い、
その計算結果を電子的公開掲示板１１に公開された情報
と照らし合わせることで、どちらが不正を行ったか特定
できる。

【００１６】復号サーバ装置はそれぞれ独立に、ユーザ
装置が鍵を作るための鍵情報Ｗｉを生成できることによ
り、一部の復号サーバ装置がシステムダウンあるいは不
正を働いたとして排除された場合も、鍵情報の生成をや
り直す必要がない。上述ではユーザ装置１３−ｊからの
多重暗号文を公開掲示板装置１０へ送信し、各サーバ装
置１４−ｉは電子的公開掲示板１１より、リスト Ｂｉ
−１を取得して、リストＢｉを生成して公開掲示板装置
１０へ送信したが、ユーザ装置１３−ｊから最初のサー
バ装置１４−１にＬ０，ｊを送り、サーバ装置１４−１
はその生成したリストＢ１を次のサーバ装置１４−２へ
送信するというように順次送信してもよい。つまり、サ
ーバ装置１４−１，１４−２，・・・へ掲示板装置１０及
び電子的公開掲示板１１を介して各生成したリストを送
信しても、直接送信しても良く，この明細書では装置Ａ
が情報Ｂを公開掲示板装置１０へ送信し、他の装置Ｃが
電子的公開掲示板１１より情報Ｂを取得することも含め
て、装置Ａが情報Ｂを装置Ｃへ送信すると定義する。

【００１７】第２の実施形態 図６に示すように、第２の実施形態におけるこの発明に
よる匿名通信を実現するための構成は、ユーザ装置およ
び復号サーバ装置がアクセス可能な公開掲示板装置１７
と、公開掲示板装置１７が受信した情報を公開するため
の電子的公開掲示板１８と、複数のユーザ１９と、その
ユーザが操作するユーザ装置２０と、復号サーバ装置２
１と、それを操作，管理する復号サーバ管理者２２と、
ユーザ１９からの要求にこたえるセンタ２３と、そのセ
ンタ２３が操作する復号サーバ装置２４と、ユーザ装置
２０及び復号サーバ装置２１と、電子的公開掲示板１８
あるいは公開掲示板装置１７を結ぶネットワーク２５
と、復号サーバ装置２１間とセンタ２３の復号サーバ装
置２４間を全て結ぶネットワーク２５からなる。なお復
号サーバ装置２１はｍ台あるものとし、その復号サーバ
装置２１には番号が割り振られておりｉ番目の復号サー
バ装置を２１−ｉで表し、その管理者２２を２２−ｉと
し、ユーザ１９はｎ人いるものとし、そのユーザには番
号が割り振られており、ｊ番目のユーザ１９を１９−ｊ
とし、ユーザ１９−ｊが操作するユーザ装置２０を２０
−ｊ（ｊ＝１，２，・・・，ｎ）で表す。復号サーバ装置
２１−ｉ（ｉ＝１，２，・・・，ｍ）、及び２４はそれ
ぞれ別の機関が管理するなどして結託しないものとす
る。まずセンタ２３の操作する復号サーバ装置２４をｍ
＋１番目の復号サーバ装置とみなして鍵共有するものと
し，ユーザ装置２０−ｊは復号サーバ装置２１−ｉ（ｉ
＝１，２，・・・，ｍ）、及び２４に対する暗号鍵Ｋｉ，
ｊを自身の記憶部に格納しているものとする。同様に復
号サーバ装置２１−ｉ、２４はユーザ装置２０−ｊ（ｊ
＝１，２，・・・，ｎ）に対する復号鍵Ｋｉ，ｊを自身
の記憶部に格納しているものとする。この鍵共有は電子
的公開掲示板１８をもちいる必要があり、例えば第１の
実施形態に示されている方法により実現できる。第１の
実施形態における鍵共有の手法のみを利用して、各記憶
部に共通鍵を格納し、又は第１の実施形態を実行して１
回目の通信を行うと共にその際求めた共通鍵を記憶部に
格納して２回目以降の通信にこの第２の実施形態を適用
してもよい。復号サーバ装置２１−ｉ（ｉ＝１，２，・
・・，ｍ）、及び２４は各ユーザ装置２０と共有した鍵
Ｋｉ，ｊ（ｊ＝１，２，・・・，ｎ）から一方向性関数
ＦをもちいてＦ（Ｋｉ，ｊ）を計算し、（Ｋｉ，ｊ，Ｆ
（Ｋｉ，ｊ））の組として即座に自身の記憶部に書きこ
む。この記憶部に書きこまれた複数の組は、外部から読
まれることのないように管理する必要がある。またＦと
して例えば一方向性ハッシュ関数をもちいるなどし、こ
の関数はあらかじめユーザ１９、復号サーバ管理者２
２、センタ２３の間で一意的に定めておく必要がある。
この例ではＦ（Ｋｉ，ｊ）はＫｉ，ｊの鍵識別情報とし
て用いられる。

【００１８】ユーザ装置２０の処理手順の例を図７に、
その機能構成例を図８にそれぞれ示し、ユーザ装置２０
の処理について述べる。ユーザ装置２０−ｊははじめに
自身から復号サーバ装置２１及び復号サーバ装置２１か
ら自身への双方向の経路、そして利用する複数の復号サ
ーバ装置２１−ｉを決める（Ｓ１）。この経路をユーザ
装置２０−ｊ→復号サーバ装置２１−ｕ（１）→・・・
→復号サーバ装置２１−ｕ（ｍ′）→復号サーバ装置２
４→復号サーバ装置２１−ｕ′（１）→・・・→復号サー
バ装置２１−ｕ′（ｍ″）→ユーザ装置２０−ｊとす
る。ただし、ｕ、ｕ′は１からｍの自然数の間へ写す関
数、ｍ′、ｍ″は自然数とする。単一の復号サーバ装置
でも良いが，その場合匿名性はその単一の復号サーバ装
置に対して失われる。

【００１９】次にユーザ装置２０−ｊは関数演算部２０
１により、Ｆｋ（Ｋｕ（１），ｊ），・・・，Ｆｋ（Ｋｕ
（ｍ′），ｊ）、Ｆｋ（Ｋｕ′（１），ｊ），・・・，Ｆ
ｋ（Ｋｕ′（ｍ″），ｊ）、Ｆｋ（Ｋｍ＋１，ｊ）を計
算する（Ｓ２）。ここでＫｍ＋１，ｊはユーザ装置２０
−ｊと復号サーバ装置2４間の共通鍵、Ｆｋ（Ｋｉ，
ｊ）＝Ｆ（Ｋｉ，ｊ||Ｆｋ−１（Ｋｉ，ｊ）），ｋは関
数Ｆの入力となる鍵の対象となる復号サーバ装置２１を
利用した回数、ただしＦ０は空の値、||はデータの連結
とする。この計算は、あらかじめＫｉ，ｊおよびＦｋ−
１（Ｋｉ，ｊ）を記憶部２０２に格納しておくことで、
利用回数をカウントする必要なく容易に行える。

【００２０】そしてヘッダ情報を含んだ多重暗号文 Ｖ′ｉ，ｊ＝ＨＥＤＤ_u′_(i+1)||Ｆｋ（Ｋｕ′(ｉ＋
１)，ｊ）||Ｅ_Ku′_(i+1)（Ｖ′ｉ＋１，ｊ）（ｉ＝
ｍ″，ｍ″−１，・・・，１，０） を関数演算部２０１で計算する。ただし、ＨＥＤＤ_iは
復号サーバ装置２１−ｉを示すヘッダ情報（サーバ識別
情報）、Ｅ_Ku′_(m″₊₁₎（Ｖ′ｍ″＋１，ｊ）を空の値
とする。さらにセンタ２３に対するメッセージをＭＳＧ
ｊとし、ヘッダ情報（サーバ識別情報）と鍵情報（鍵識
別情報）を含んだ多重暗号文 Ｖｉ，ｊ＝ＨＥＤＤ_u(i+1)||Ｆｋ（Ｋｕ（ｉ＋１），
ｊ）||Ｅ_Ku(i+1),j（Ｖｉ＋１，ｊ）（ｉ＝ｍ′，ｍ′
−１，・・・，０） を関数演算部２０１で計算する（Ｓ３）。ただし、ｕ
（ｍ′＋１）＝ｍ′＋１，Ｖｍ′＋１＝ＭＳＧｊ||Ｖ′
０，ｊとする。最終的にＶ０，ｊにユーザ１９−ｊの署
名を付与した組（Ｖ０，ｊ，Ｓ_Uj（Ｖ０，ｊ））（Ｓ_Uj
（ｘ）でユーザ１９−ｊによるｘを入力とした署名関数
の出力値とする）をＨＥＤＤ_u(1)で記されているとお
り、復号サーバ装置２１−ｕ（１）に送信する（Ｓ
４）。

【００２１】続いて復号サーバ装置２１の処理について
述べる。復号サーバ管理者２２−ｕ（ｉ）の操作する復
号サーバ装置２１−ｕ（ｉ）の処理手順の例を図９に、
復号サーバ装置２１−ｕ（ｉ）の機能構成例を図１０に
それぞれ示す。まず復号サーバ装置２１−ｕ（１）はユ
ーザ装置２０−ｊから署名付き多重暗号文の組（Ｖ０，
ｊ，Ｓ_Uj（Ｖ０，ｊ））を受信すると（Ｓ１）、これに
対して関数演算部２１１でその署名が正しいか検証する
（Ｓ２）。もし正しくなければその時点で処理を中断す
るなど、あらかじめ決められた規則に従う。その検証が
正しい場合、ユーザ装置２０−ｊに、検証にパスしたこ
とを証明する文書を署名付きで返信し（Ｓ３）、Ｖ０，
ｊに含まれているＦｋ（Ｋｕ（１），ｊ）から自身の記
憶部２１２に書きこまれた情報（Ｋｕ（１），ｊ，Ｆｋ
（Ｋｕ（１），ｊ））を読み込み、鍵Ｋｕ（１），ｊを
取り出す（Ｓ４）。

【００２２】そしてＶ０，ｊに含まれているＥ_Ku(1),j
（Ｖ１，ｊ）を関数演算部２１１で鍵Ｋｕ（１），ｊに
より復号し，Ｖ１，ｊ＝ＨＥＤＤ_u(2)||Ｆｋ（Ｋｕ
（２），ｊ）||Ｅ_Ku(2),j（Ｖ２，ｊ）を得る（Ｓ
５）。最終的にＶ１，ｊに復号サーバ装置２１−ｕ
（１）の管理者２２−ｕ（１）の署名を関数演算部２１
１で付与し、その復号結果と署名の組（Ｖ１，ｊ，Ｓ
_Mu(1)（Ｖ１，ｊ））（Ｓ_Mu(i)（ｘ）で管理者２２−ｉ
によるｘを入力とした署名関数の出力値とする）を、Ｈ
ＥＤＤ _u(2)で記されているとおり、復号サーバ装置２１
−ｕ（２）に送信する（Ｓ６）。

【００２３】なお、この操作はユーザ１９−ｊの匿名性
を確保するために、複数ユーザのデータを置換処理部２
１３で置換処理を施した上でまとめて送信する必要があ
る。このときまとめられたユーザ数が多ければ多いほど
一般により高い匿名性を確保できる。また、Ｆｋ＋１
（Ｋｕ（１），ｊ）を関数演算部2１１で計算し、記憶
部２１２に書きこまれたＦｋ（Ｋｕ（１），ｊ）をＦｋ
＋１（Ｋｕ（１），ｊ）に書き換える（Ｓ７）。つまり
共通鍵Ｋｕ（１），ｊに対する鍵識別情報を更新する。

【００２４】なおＦｋ（Ｋｉ，ｊ）は復号サーバ装置２
１−ｉのための鍵情報であり、これにより復号サーバ装
置２１−ｉだけが、どのユーザの多重暗号文かを知るこ
となくもちいる共通鍵を識別できる。もしＦｋ（Ｋｉ，
ｊ）がそれをみた他者に対して何らかの情報を与えてい
れば、そこから匿名性が失われる危険性がある。しかし
この方法は一方向性関数を用いることで匿名性の確保と
匿名の情報に対する共通鍵の識別を両立させている。以
下同様の操作を復号サーバ装置２１−ｕ（２）から２１
−ｕ（ｍ′）まで行う。

【００２５】次にセンタ２３の操作する復号サーバ装置
２４の処理について述べる。復号サーバ装置２４の処理
手順の例を図１１に示し、復号サーバ装置２４の機能構
成例を図１２に示す。まず復号サーバ装置２４は復号サ
ーバ装置２１−ｕ（ｍ′）から署名付き暗号文の組（Ｖ
ｍ′，ｊ，Ｓ_Mu(m′₎（Ｖｍ′，ｊ））を受信すると
（Ｓ１）、これに対して関数演算部２４１でその署名が
正しいか検証する（Ｓ２）。もし正しくなければその時
点で処理を中断するなど、あらかじめ決められた規則に
従う。その検証が正しい場合、復号サーバ装置２１−ｕ
（ｍ′）に、パスしたことを証明する文書を署名付きで
返信（Ｓ３）、Ｖｍ′，ｊに含まれているＦｋ（Ｋｕ
（ｍ′＋１），ｊ）から自身の記憶部２４２に書きこま
れた情報（Ｋｕ（ｍ′＋１），ｊ，Ｆｋ（Ｋｕ（ｍ′＋
１），ｊ））を読みこみ、鍵Ｋｕ（Ｍ′＋１），ｊを取
り出す（Ｓ４）。そしてＶｍ′，ｊに含まれているＥ
_Ku(m′_+1),j（ＭＳＧｊ||Ｖ′０，ｊ）を鍵Ｋｕ（ｍ′
＋１），ｊで関数演算部２４１において復号し、ＭＳＧ
ｊおよびＶ′０，ｊを得る（Ｓ５）。

【００２６】次にユーザ１９−ｊの要求内容が記されて
いるＭＳＧｊの要求に応えたデータＭＳＧｊ′を作成し
（Ｓ６）、Ｖ′０，ｊとＭＳＧｊ′を自身の鍵Ｋｕ
（ｍ′＋１），ｊで関数演算部２４１において暗号化を
施してＥ_Ku(m′_+1),j（ＭＳＧｊ′）を求め（Ｓ７）、
これとＶ′０，ｊとの連結Ｖ″０，ｊ＝Ｖ′０，ｊ||Ｅ
_Ku(m′_+1),j（ＭＳＧｊ′）を計算し（Ｓ８）、それに
対する署名を関数演算部２４１で求め、この署名の組
（Ｖ″０，ｊ，Ｓ_Mu(m′₊₁₎（Ｖ″０，ｊ））をＶ′
０，ｊに含まれるＨＥＤＤ_u′₍₁₎に示されたとおり、復
号サーバ装置２１−ｕ′（１）に送信する（Ｓ９）。

【００２７】なお、この操作はユーザ１９−ｊの匿名性
を確保するために、複数ユーザへ返信するデータを置換
処理を置換処理部２４３で施した上でまとめて送信する
必要がある。また、Ｆｋ＋１（Ｋｕ（ｍ′＋１），ｊ）
を関数演算部２４１で計算し、記憶部２４２に書きこま
れたＦｋ（Ｋｕ（ｍ′＋１），ｊ）をＦｋ＋１（Ｋｕ
（ｍ′＋１），ｊ）に書き換える（Ｓ１０）。続いて復
号サーバ装置２１の処理について述べる。この場合の復
号サーバ装置２１の処理手順の例を図１３に、その機能
構成における入出力を図１４にそれぞれ示す。

【００２８】まず復号サーバ装置２１−ｕ′（１）は復
号サーバ装置２４から受信した署名付き多重暗号文の組
（Ｖ″０，ｊ，Ｓ_Mu(m′₊₁₎（Ｖ″０，ｊ））を受信す
ると（Ｓ１）、これに対してその署名が正しいか関数演
算部２１１で検証する（Ｓ２）。もし正しくなければそ
の時点で処理を中断するなど、あらかじめ決められた規
則に従う。検証が正しい場合、復号サーバ装置２４に、
パスしたことを証明する文書を署名付きで返信し（Ｓ
３）、Ｖ″の中のＶ′０、ｊに含まれているＦｋ（Ｋ
ｕ′（１），ｊ）から自身の記憶部２１２に書きこまれ
た情報（Ｋｕ′（１），ｊ，Ｆｋ（Ｋｕ′（１），
ｊ））を読みこみ、鍵Ｋｕ′（１），ｊを取り出す（Ｓ
４）。そしてＶ″０，ｊの中のＶ′０，ｊにふくまれて
いるＥ_Ku′₍₁₎（Ｖ′１，ｊ）を関数演算部２１１にお
いてＫｕ′（１），ｊで復号し（Ｓ５）、 Ｖ′，１，ｊ＝ＨＥＤＤ_u′₍₂₎||Ｆｋ（Ｋｕ′（２），
ｊ）||Ｅ_Ku′_(2),j（Ｖ′２，ｊ） を得るとともに、Ｅ_Ku(m′_+1),j（ＭＳＧｊ′）に対し
鍵Ｋｕ′（１），ｊで関数演算部２１１において多重暗
号文 Ｅ_Ku′_(1),j（Ｅ_Ku(m′_+1),j（ＭＳＧｊ′）） を計算する。更にこれらの連結Ｖ″１，ｊ＝Ｖ′１，ｊ
||Ｅ_Ku′_(1),j（Ｅ_Ku(m′_+1),j（ＭＳＧｊ′））を作成
する（Ｓ６）。最終的にＶ″１，ｊに復号サーバ装置２
１−ｕ′（１）の管理者２２−ｕ′（１）の署名を関数
演算部２１１で付与し、Ｖ″１，ｊとこの署名の組
（Ｖ″１，ｊ，Ｓ_Mu′₍₁₎（Ｖ″１，ｊ））をＨＥＤ
Ｄ_u′₍₂₎で記されているとおり、復号サーバ装置２１−
ｕ′（２）に送信する（Ｓ７）。

【００２９】なお、この操作はユーザ１９−ｊの匿名性
を確保するために、複数ユーザへ返信するデータを置換
処理部２１３で置換処理を施した上でまとめて送信する
必要がある。また、Ｆｋ＋１（Ｋｕ′（１），ｊ）を関
数演算部２１１で計算し、記憶部２１２に書きこまれた
Ｆｋ（Ｋｕ′（１），ｊ）をＦｋ＋１（Ｋｕ′（１），
ｊ）に書き換える（Ｓ８）。以下同様の操作を復号サー
バ装置２１−ｕ′（２）から復号サーバ装置２１−ｕ
（ｍ″）まで行う。図１５及び図１６に示すように、ユ
ーザ装置２０−ｊは最終的に（Ｖ″ｍ″，ｊ，Ｓ_Mu(m″
₎（Ｖ″ｍ″，ｊ））を受信すると（Ｓ１）、その署名
検証を関数演算部２０１で行い、その署名が正しければ
（Ｓ２）、復号サーバ装置２１−ｕ（ｍ″）に正しかっ
たことを、そのユーザ１９−ｊの署名を付けて返信する
（Ｓ３）。記憶部２０２から共通鍵Ｋｕ′（ｍ″），
ｊ，・・・，Ｋｕ′（１），ｊ，Ｋｕ（ｍ′＋１），ｊを
読み出し（Ｓ４）、これらの鍵を順番に用いて、関数演
算部２０１で多重暗号文Ｅ_Ku′_(m″_),j（・・・（Ｅ_Ku′
_(1),j（Ｅ_Ku(m′_+1),j（ＭＳＧｊ′）））・・・）を復号
してＭＳＧｊ″を得る（Ｓ４）。この際に鍵Ｋｕ′
（ｍ″），ｊ，・・・，Ｋｕ′（１），ｊ，Ｋｕ（ｍ′＋
１），ｊはユーザ装置２０−ｊ自身も共有しており、復
号する順序もユーザ１９−ｊ自身が定めたものであり、
明らかであるため、ＭＳＧｊ′を得ることができる。復
号されたメッセージＭＳＧｊ′がユーザ装置２０−ｊが
送信したメッセージＭＳＧｊと対応したものであるかを
調べ、対応していれば、そのＭＳＧｊ′を受領する（Ｓ
５）。

【００３０】なお、図８に示したユーザ装置と図１６に
示したユーザ装置とは同一であり、図１０に示した復号
サーバ装置と図１４に示した復号サーバ装置とは同一で
あるが、データの入出力を明らかにするため説明の便宜
上、分けて示した。以上の操作により全復号サーバ装置
２１の置換が知られない限り、つまり各復号サーバ装置
２１−ｉを管理する復号サーバ管理者２２−ｉ全員が結
託しない限り、センタ２３はＭＳＧｊがどのユーザのも
のであるかの判別もつかなければ、ＭＳＧｊ′がどのユ
ーザに行くのかの判別もつかない。またセンタ２３が複
数あるとすれば、復号サーバ管理者２２のうち、誰もど
のユーザがどのセンタに要求をだしたか対応付けること
ができない。これにより秘匿性の高い匿名通信が可能と
なる。ただし各復号サーバ装置２１−ｉの入出力のリス
トが複数のユーザ１９−ｊにより構成されている必要が
ある。

【００３１】またもしユーザ１９−ｊに自身の要求に対
するメッセージＭＳＧｊ′が届かない場合、各復号サー
バ装置２１−ｕ（ｉ）（ｉ＝１，２，・・・，ｍ′＋１）
および２１−ｕ′（ｉ′）（ｉ′＝１，２，・・・，
ｍ″）に、自身がパスしたことを証明する署名付き文書
を提出させる。この署名付き文書を受信しなかった場合
は即座に責任者に報告するなどして対処することによ
り、どの復号サーバ装置が不正を行ったか特定でき、さ
らにユーザ１９−ｊと復号サーバ管理者２２−ｉ双方の
間で不正が報告され、かつお互いが正当だと主張した場
合、例えばお互いの秘密乱数を公開することで、第３者
が双方の処理を再度行い、その計算結果を電子的公開掲
示板１８に公開された情報と照らし合わせることと必要
な部分の署名付き文書を提出させてその署名を検証する
ことで、どちらが不正を行ったか特定できる。

【００３２】この第２の実施形態によれば多重暗号文中
の各暗号文に対応する平文には次に復号を行う復号サー
バ装置に対する識別情報が含まれていることにより、ユ
ーザは利用するサーバ及び経路を自由に選択することが
できる。また復号サーバ装置はその際どのユーザ装置の
暗号文なのかを知ることなく、どの共通鍵を用いれば良
いかを鍵識別情報Ｆｋ（Ｋｉ，ｊ）により知ることがで
きる。第２の実施形態に示すように、復号サーバ装置２
１−ｉの順にユーザが任意に選ぶことができるから、こ
の明細書においてユーザ装置２０−ｊが多重暗号文を最
初に送信する復号サーバ装置は必ずしも装置２１−１に
限らず、装置２１−１〜２１−ｍ中の任意のものとする
ことができる。

【００３３】なおセンタ23よりのＭＳＧｊ′には様々な
形態を含めることが可能であり、例えば画像データ、そ
れ自体が金銭的価値を持つようなデータなどが挙げられ
る。第２の実施形態では、ユーザ装置２０−ｊにおける
多重暗号化の際に、順次復号すべき復号サーバ装置のサ
ーバ識別情報（ヘッダ情報）ＨＥＤＤを付けたが、匿名
通信路を構成する復号サーバ装置の順番が予め決ってい
る場合はサーバ識別情報（ヘッダ情報）を省略できる。
またセンタ２３がデータＭＳＧｊに対する応答を必要と
しない場合はユーザ装置２０−ｊにおいてＶ′０，ｊの
生成を省略すればよい。

【００３４】課題を解決するための手段の項で説明した
ことから明らかなように、第１の実施形態においても、
サーバ識別情報（第２の実施形態におけるヘッダ情報）
を用いることにより、匿名通信路の経路をユーザ自身で
選択できるようにすることができる。同様に第１の実施
形態においても、課題を解決するための手段の項で説明
したように、双方向通信を行わせることもできる。この
双方向通信は、ユーザ１９−ｊからセンタ２３への送信
情報に対し、センタ２３から応答をユーザ１９−ｊに行
う場合に限らず、センタ２３の復号サーバ装置２４から
ユーザ１９−ｊのユーザ装置２０−ｊへ情報を送信し、
ユーザ１９−ｊのユーザ装置２０−ｊからその情報に対
する応答をセンタの復号サーバ装置２４へ送信する場合
にも適用できる。この場合に匿名通信路に用いる復号サ
ーバ装置の順を任意に選ぶ場合は、センタ２３が復号サ
ーバ装置２４で、ユーザ装置２０−ｊで図７のステップ
Ｓ３によりＶ′i，ｊとＶi′，ｊを計算したように、こ
れと対応するものを生成して、最初の復号サーバ装置よ
りユーザ装置２０−ｊへ向けて送信すればよい。

【００３５】第２の実施形態においても、第１の実施形
態と同様に、ユーザ装置−復号サーバ装置間、２つの復
号サーバ装置間の組情報送信を公開掲示板装置と電子的
公開掲示板を介して行ってもよい。鍵識別情報としては
Ｆｋ（Ｋｉ，ｊ）に限らない、何れの鍵識別情報を用い
ても、複数回の通信を行う場合は、その個々の通信の間
に対応関係が付かないように鍵の使用ごとに鍵情報の更
新を行う。第１の実施形態、第２の実施形態におけるユ
ーザ装置及び復号サーバ装置間の各関数演算部は図１７
に示すように機能構成として、べき乗演算部、関数Ｌ演
算部、共通鍵暗号演算部、一方向性関数Ｆ演算部、関数
Ｈ演算部、署名生成／検証演算部を含むものである。

【００３６】図３、図８及び図１６に示した各ユーザ装
置をコンピュータによりプログラムを実行させて機能さ
せることもできる。この場合は、図２又は図７のみ又は
図７及び図１５に示した処理手順をコンピュータに実行
させるための匿名通信のユーザ装置プログラムをＣＤ−
ＲＯＭ、可撓性磁気ディスクなどの記録媒体からユーザ
装置のコンピュータにインストールし、又は通信回線を
介してダウンロードしてそのプログラムを実行させれば
よい。同様に図５、又は図１０、図１２、図１３及び図
１４に示した各復号サーバ装置を、コンピュータによ
り、匿名通信の復号サーバ装置プログラムを実行させて
機能させることもできる。

【００３７】

【発明の効果】第１の効果は、復号サーバ装置の１つが
システムダウンしたり、不正を働いたことにより排除す
る場合にユーザ装置が共通鍵を作るための鍵情報を作り
直す必要がない。その理由は各復号サーバ装置がそれぞ
れ独立に、ユーザ装置が鍵を作るための鍵情報を生成
し、この鍵情報を用いてユーザ装置は共通鍵を作ること
ができるからである。第２の効果は、多重暗号化の際に
各暗号文にそれを復号するためのサーバ識別情報を付加
する場合は、ユーザは自由に匿名通信経路を選択できる
ことにある。

【００３８】その理由は、本発明では復号サーバ装置は
事前処理を他復号サーバ装置と協力することなく行うこ
とができるためである。またユーザが自由に匿名通信路
を選択できることは同時に匿名性の信頼度は多少落ちて
もできるだけ早くレスポンス（応答）を必要とする場合
や、匿名性を最重要視する場合などをユーザ自身が選択
できる。第３の効果は、ネットワーク上で情報閲覧やコ
ンテンツサービスなどの双方向の通信を匿名で行うこと
ができることにある。

【００３９】その理由は、本発明ではユーザ装置から復
号サーバ装置への経路ではユーザ装置が多重暗号を施す
のに加え、復号サーバ装置からユーザ装置への経路では
ユーザ装置が多重暗号文を一括して復号しているためで
ある。

【図面の簡単な説明】

【図１】第１の実施形態が適用されるシステム構成例を
示す図。

【図２】第１の実施形態におけるユーザ装置の処理手順
の例を示す流れ図。

【図３】第１の実施形態におけるユーザ装置の機能構成
例を示す図。

【図４】第１の実施形態における復号サーバ装置の処理
手順の例を示す流れ図。

【図５】第１の実施形態における復号サーバ装置の機能
構成例を示す図。

【図６】第２の実施形態が適用されるシステム構成例を
示す図。

【図７】第２の実施形態におけるユーザ装置の処理手順
の例を示す流れ図。

【図８】第２の実施形態におけるユーザ装置の機能構成
例を示す図。

【図９】第２の実施形態における復号サーバ装置２１の
処理手順の例を示す流れ図。

【図１０】第２の実施形態における復号サーバ装置２１
の機能構成例を示す図。

【図１１】第２の実施形態における復号サーバ装置２４
の処理手順の例を示す流れ図。

【図１２】第２の実施形態における復号サーバ装置２４
の機能構成例を示す図。

【図１３】第２の実施形態における復号サーバ装置２１
の応答通信に対する処理手順の例を示す流れ図。

【図１４】第２の実施形態における復号サーバ装置２１
の応答通信における入出力状態を示す図。

【図１５】第２の実施形態におけるユーザ装置の応答通
信に対する処理手順の例を示す図。

【図１６】第２の実施形態におけるユーザ装置の応答通
信における入出力状態を示す図。

【図１７】第１，第２の実施形態におけるユーザ装置及
び復号サーバ装置内の関数演算部の機能構成例を示す
図。

Claims (23)

【特許請求の範囲】
1. 【請求項１】 掲示板装置と、複数のユーザ装置と、複
   数の復号サーバ装置と、それらをつなぐネットワークと
   を備え、 掲示板装置は受信した情報を即座に電子的公開掲示板に
   公開し、 復号サーバ装置はそれぞれ独立に生成したユーザ装置が
   鍵を作るための鍵情報を掲示板装置にネットワークを介
   して送信し、ユーザ装置は各サーバ装置が鍵を作るため
   の鍵情報を生成するとともに、公開された復号サーバ装
   置のそれぞれの鍵情報から複数の鍵を生成し、自身の平
   文をそれらの鍵で多重に共通鍵暗号で暗号化し、自身の
   生成した鍵情報と多重暗号の組の複数を最初の復号サー
   バ装置にネットワークを介して送信し、 復号サーバ装置は、取得した各組中の鍵情報からそれぞ
   れ復号鍵を生成し、これら復号鍵により複数の多重暗号
   文を復号し、その各復号文と生成した鍵情報の組の複数
   よりなるリストを置換して次の復号サーバ装置にネット
   ワークを介して送信して、復号サーバ装置への入力であ
   る複数のユーザ装置の暗号文およびそれに付随する情報
   のリストと、復号サーバ装置の出力である次の複数の復
   号サーバ装置への情報のリストとの対応関係を隠蔽す
   る、 ことを特徴とする匿名通信方法。
2. 【請求項２】 請求項１記載の方法において、 復号サーバ装置はそれぞれ乱数を生成し、その乱数から
   ユーザ装置が鍵を作るための鍵情報を独立に生成し、取
   得した組中の鍵情報と、上記乱数を用いて鍵情報と復号
   鍵を生成することを特徴とする匿名通信方法。
3. 【請求項３】 請求項１記載の方法において、 ユーザ装置は各復号サーバ装置との共通鍵による平文の
   多重暗号化の際に、暗号文にそれを復号する復号サーバ
   装置を示す情報をつけて暗号化することを順次行って多
   重暗号文を生成することを特徴とする匿名通信方法。
4. 【請求項４】 請求項１又は３記載の方法において、 はじめにユーザ装置および復号サーバ装置の間で共通鍵
   を共有し、各々の装置はそれを自身の記憶部に識別情報
   をつけて格納し、 その後の通信において各ユーザ装置は上記多重暗号化の
   際に、その各暗号化ごとにその暗号文の復号鍵の識別情
   報を付け、各復号サーバ装置は受信した暗号文に付けら
   れた識別情報を用いて記憶部から共通鍵を取出し、その
   共通鍵でその暗号文を復号し、その復号結果を次の復号
   サーバ装置へ送信すると共に、その装置の記憶部内のそ
   の復号に用いた共通鍵の識別情報を、複数回の通信を行
   う場合にその個々の通信の間に対応関係が付かないよう
   に更新することを特徴とする匿名通信方法。
5. 【請求項５】 請求項１記載の方法において、 ユーザ装置からの多重暗号文を次々に復号して匿名の平
   文とした、 複数の復号サーバ装置は、その匿名のユーザ装置に対し
   て情報を送信するために、前に用いた復号鍵を暗号鍵と
   して次々に暗号化を施して多重の暗号文とし、 ユーザ装置はその多重暗号文を復号することで平文を得
   る、 ことを特徴とする匿名通信方法。
6. 【請求項６】 請求項１乃至５のいずれかに記載の方法
   において、 ユーザ装置は多重暗号文を電子的公開掲示板上に公開
   し、復号サーバ装置がそれを取得して復号し、その結果
   を電子的公開掲示板上に公開することを繰返し、ユーザ
   装置は電子的公開掲示板に掲示された各復号サーバ装置
   の出力値を取得し、その取得した出力値が、自身の平文
   に対応したデータが正しく出力されているかどうか検証
   する、 ことを特徴とする匿名通信方法。
7. 【請求項７】 請求項１ないし５のいずれかに記載の方
   法において、 ユーザ装置による多重暗号文、あるいは復号サーバ装置
   の出力情報を、ユーザ装置−復号サーバ装置間あるいは
   復号サーバ装置−復号サーバ装置間で署名を付与して送
   受信し、ユーザ装置は各復号サーバ装置の署名検証結果
   を提出させて不正した復号サーバ装置を検出することを
   特徴とする匿名通信方法。
8. 【請求項８】 乱数生成部から乱数Ｒjを生成し、 その乱数Ｒｊより鍵情報を生成し、 匿名通信路を構成する複数の復号サーバ装置iの各公開
   情報Ｗｉと乱数Ｒｊとを用いて、各復号サーバ装置iと
   の共通鍵Ｋｉ，ｊを生成し、 これら共通鍵Ｋｉ，ｊを順次用いて平文ＭＳＧjを、暗
   号演算部で暗号化して多重暗号文を生成し、 その多重暗号文と鍵情報の組を最初の復号ユーザ装置へ
   送信する、 ことを特徴とする匿名通信のユーザ装置処理方法。
9. 【請求項９】 請求項８記載の方法であって、 qがp-1の約数の関係がある素数p，q、位数がqとなる乗
   法群（Ｚ／ｐＺ）^*の元ｇが公開されてあり、 サーバ装置iの１以上q未満の秘密の乱数Ａｉとすると、
   公開情報Ｗｉはｇ^Aiであり、 乱数Ｒｊは１以上q未満の数であり、鍵情報はＧ０，ｊ
   ＝ｇ^Rjであり、 鍵生成部Ｌを乗法群（Ｚ／ｐＺ）^*からＺ／qＺへ写す関
   数とし、Ｌ０，ｊ＝１としてＬｉ，ｊ＝Ｌ（Ｇｉ，ｊ）
   ×Ｌｉ-1,jを各サーバ装置i＝１、・・・、mにつき計算
   し、Ｈを乗法群（Ｚ／ｐＺ）^*から共通鍵空間へ写す関
   数とし、各サーバ装置ｉについてＧｉ，ｊ＝Ｗｉ
   ^RjLi-1,jを計算し、そのサーバ装置ｉとの共通鍵Ｋｉ，
   ｊ＝Ｈ（Ｇｉ，ｊ）を計算する、 ことを特徴とする匿名通信のユーザ装置処理方法。
10. 【請求項１０】 鍵情報と暗号文の組の複数よりなるリ
    ストを公開掲示板から取得し、 記憶部から秘密の乱数Ａｉを取り出し、 そのリスト中の各組について、その鍵情報と乱数Ａｉを
    用いて鍵情報と復号鍵を生成し、その復号鍵によりその
    組の暗号文を復号し、 生成した鍵情報と復号した暗号文の各組のランダムに置
    換したリストを生成して次の復号サーバ装置へ送信する
    ことを特徴とする匿名通信の復号サーバ装置処理方法。
11. 【請求項１１】 請求項１０記載の方法において、 ｑがｐ−１の約数の関係にある素数ｐ，ｑ、位数がｑと
    なる乗法群（Ｚ／ｐＺ）^*の元ｇが公開されてあり、 乱数Ｒｊを１以上ｑ未満とし、Ｇ０，ｊ＝ｇ^Rjとし、Ｌ
    を乗法群（Ｚ／ｐＺ） ^*からＺ／ｑＺへ写す関数としＨ
    を乗法群（Ｚ／ｐＺ）^*から共通鍵空間へ写す関数と
    し、 取得した鍵情報Ｇｉ−１，ｊと乱数ＡｉよりＴｉ，ｊ＝
    Ｇｉ−１，ｊ^Aiをｊ＝１，・・・，ｎについて演算し、鍵
    情報Ｇｉ，ｊをＧ^i-1,j^L(Ti,j)の演算により、復号鍵Ｋ
    ｉ，ｊをＨ（Ｔｉ，ｊ）の演算により求めることを特徴
    とする匿名通信の復号サーバ装置処理方法。
12. 【請求項１２】 記憶部より復号サーバ装置ｉ（ｉ＝
    １，２，・・・，ｍ）との共通鍵Ｋｉをｉ＝ｍから順に取
    出し、 鍵Ｋｉによる暗号文Ｅ_Ki（）を復号する復号サーバ装置
    ｉの識別情報ＨＥＤＤ _iをＥ_Kiにつけて鍵Ｋｉ−１によ
    り暗号化して、平文ＭＳＧに対する多重暗号文 Ｅ_K1（ＨＥＤＤ₂||Ｅ_K2（ＨＥＤＤ₃||Ｅ_K3（・・・（Ｅ_Km
    （ＭＳＧ））・・・））） を生成し、その多重暗号文を識別情報ＨＥＤＤ₁の復号
    サーバ装置へ送信することを特徴とする匿名通信のユー
    ザ装置処理方法。
13. 【請求項１３】 各復号サーバ装置ｉ（ｉ＝１，２，・・
    ・，ｍ）との共通鍵Ｋｉをその識別情報と共に記憶部に
    記憶しておき、 秘匿通信路を構成する各復号サーバ装置ｕ（ｉ）（ｕは
    １〜ｍの自然数の間へ写す関数）の共通鍵Ｋｕ（ｉ）を
    記憶部よりｕ（ｉ）＝ｍ′，ｍ′−１，・・・，２，１の
    順に取出して、平文ＭＳＧを多重暗号化して暗号文 Ｅ_K1′（・・・（Ｅ_Km′（ＭＳＧ））・・・） を生成し、その多重暗号文と、ｕ（ｉ）＝１の復号サー
    バ装置との共通鍵の識別情報とをｕ（ｉ）＝１の復号サ
    ーバ装置へ送信すると共に、各復号サーバ装置ｕ（ｉ）
    の共通鍵Ｋｕ（ｉ）の識別情報を更新する、 ことを特徴とする秘匿通信のユーザ装置処理方法。
14. 【請求項１４】 請求項１３記載の方法において、 共通鍵Ｋｉの識別情報として、Ｋｉに一方向性関数Ｆを
    施した値Ｆｋ（Ｋｉ||Ｆｋ−１（Ki））（Ｆ０は空の
    値）（ｋは鍵の使用回数に対応した値）とし、その鍵Ｋ
    ｉを使用するごとにその識別情報に一方向性関数Ｆを施
    してｋを＋１して識別情報を更新することを特徴とする
    匿名通信のユーザ装置処理方法。
15. 【請求項１５】 乱数Ａｉを生成し、このＡｉを記憶部
    に記憶し、 Ａｉを用いてユーザ装置が鍵を作るための鍵情報Ｗｉを
    生成して公開し、 鍵情報及び暗号文の組の複数よりなるリストを受信し、 受信した各組について鍵情報とＡｉを用いて鍵情報と復
    号鍵を生成し、 その復号鍵を用いてその組の暗号文を復号し、その復号
    した結果を暗号文とし、これと生成した鍵情報の組を作
    り、 これら作った組の順序をランダムに置換して次の復号サ
    ーバ装置へ送信する、ことを特徴とする匿名通信の復号
    サーバ装置処理方法。
16. 【請求項１６】 請求項１５記載の方法において、 ｑがｐ−１の約数の関係になる素数ｐ、ｑ、位数がｑと
    なる乗法群（Ｚ／ｐＺ）^*の元ｇが公開されてあり、Ｌ
    を乗法群（Ｚ／ｐＺ）^*からＺ／ｑＺへ写す関数とし、
    Ｈを乗法群（Ｚ／ｐＺ）^*から共通鍵空間へ写す関数と
    し、 乱数Ａｉを１以上ｑ未満として、鍵情報Ｗｉをｇ^Aiと
    し、受信鍵情報Ｇｉ−１，ｊに対し、Ｔｉ，ｊ＝Ｇｉ−
    １，ｊ^Aiを演算し、鍵情報Ｇｉ，ｊをＧｉ−１，ｊ
    ^L(Ti,j)の演算により生成し、復号鍵Ｋｉ，ｊをＨ（Ｔ
    ｉ，ｊ）の演算により生成することを特徴とする匿名通
    信の復号サーバ装置処理方法。
17. 【請求項１７】 請求項１５又は１６記載の方法におい
    て、 上記復号した結果から復号サーバ装置識別情報を取出
    し、 同一識別情報について作った組をランダムに置換して、
    その識別情報の復号サーバ装置へ送信することを特徴と
    する匿名通信の復号サーバ装置処理方法。
18. 【請求項１８】 ｎ個のユーザ装置ｊ（ｊ＝１，２，・
    ・・，ｎ）との共通鍵Ｋｉ，ｊをその鍵識別情報と共に
    記憶部に記憶しておき、 受信した鍵識別情報及び暗号文の組から鍵識別情報を取
    出し、 その鍵識別情報と対応する共通鍵を記憶部から取出し、
    その共通鍵で暗号文を復号し、その復号結果の鍵識別情
    報及び暗号文よりなる組を他の組と順序をランダムに置
    換して次の復号サーバ装置へ送信し、 記憶部内における、上記復号に用いた共通鍵の鍵識別情
    報を更新することを特徴とする匿名通信の復号サーバ装
    置処理方法。
19. 【請求項１９】 請求項１８記載の方法において、 上記鍵識別情報として、その共通鍵Ｋｉ，ｊに一方向性
    関数Ｆを施した値Ｆｋ（Ｋｉ||Ｆｋ−１（Ki））（Ｆ０
    は空の値）を用い、鍵識別情報の更新を、現鍵識別情報
    値Ｆｋ（Ｋｉ||Ｆｋ−１（Ki））に対し一方向性関数Ｆ
    を施してｋを＋１したＦｋ＋１（Ｋｉ||Ｆｋ（Ki））と
    することを特徴とする匿名通信の復号サーバ装置処理方
    法。
20. 【請求項２０】 請求項１８又は１９記載の方法におい
    て、 上記復号結果からサーバ識別情報を取出し、 そのサーバ識別情報の復号サーバ装置を上記次の復号サ
    ーバ装置とすることを特徴とする匿名通信の復号サーバ
    装置処理方法。
21. 【請求項２１】 請求項８、９、１２、１３、１４の何
    れかに記載のユーザ装置処理方法をコンピュータに実行
    させるための匿名通信のユーザ装置プログラム。
22. 【請求項２２】 請求項１０、１１、１５、１６、１
    ７、１８、１９、２０の何れかに記載の復号サーバ装置
    処理方法をコンピュータに実行させるための匿名通信の
    復号サーバ装置プログラム。
23. 【請求項２３】 請求項２１又は２２記載のプログラム
    を記憶したコンピュータ読み出し可能な記録媒体。