JP2004192029A - Electronic voting system, voting data generating server, terminal equipment, tabulation server and computer program - Google Patents

Abstract

<P>PROBLEM TO BE SOLVED: To provide an efficient electronic voting system in which the voting contents of each voter is kept secret, fraudulent voting is prevented, and each voter can arbitrarily divide his/her vote into a plurality of choices for voting. <P>SOLUTION: A voting data generating server S<SB>R</SB>generates the share of secretly distributed voting data corresponding to tabulation servers S<SB>1</SB>to S<SB>m</SB>for each voting pattern, and encrypts it by the key of each tabulation server, and transmits it to terminal equipment T<SB>1</SB>to T<SB>n</SB>. The respective terminal equipment T<SB>1</SB>to T<SB>n</SB>transmit the encrypted sentences of the share of the voting data corresponding to the patterns voted by respective voters V<SB>1</SB>to V<SB>n</SB>from among the encrypted sentences of the share of the voting data of each of the received voting patterns to corresponding tabulation servers S<SB>1</SB>to S<SB>m</SB>. The tabulation servers S<SB>1</SB>to S<SB>m</SB>respectively decode the encrypted sentences of the share of the received voting data, and add them to the share of secretly distributed counters owned by themselves. Then, the total number of voting is decoded based on the share of the counters owned by the other tabulation servers S<SB>1</SB>to S<SB>m</SB>. <P>COPYRIGHT: (C)2004,JPO&NCIPI

Description

をＸ^ｙ _ｚのように記述する。
【００１６】
１． システムモデル
図１は、この発明の一実施の形態による電子投票システムの構成を示すブロック図である。
本電子投票システムには、ｎ人の投票者Ｖ_１〜Ｖ_ｎ（以下、「投票者Ｖ」と記述）が存在する。ｉ番目（１≦ｉ≦ｎ）の投票者Ｖを投票者Ｖ_ｉ、投票者Ｖ_ｉの持つ票数をｘ_ｉ（以下、「持ち票数ｘ_ｉ」と記述）、投票者Ｖ_ｉがＹｅｓに投じる票数をｖ^（ｉ） _Ｙ（以下、「Ｙｅｓ票数ｖ^（ｉ） _Ｙ」と記述）、Ｎｏに投じる票数をｖ^（ｉ） _Ｎ（以下、「Ｎｏ票数ｖ^（ｉ） _Ｎ」と記述）とする。このとき、
【数２】

かつ
【数３】

が成り立つ。
そして、ｍ台の集計サーバＳ_１〜Ｓ_ｍ（以下、「集計サーバＳ」と記述）は、投票者Ｖ_１〜Ｖ_ｎが各々保有する端末装置Ｔ_１〜Ｔ_ｎ（以下、「端末装置Ｔ」と記述）から受信した投票データを基に、
【数４】

（以下、「Ｙｅｓの総票数Σ_ｉｖ^（ｉ） _{Ｙ 」}」と記述）及び
【数５】

（以下、「Ｎｏの総票数Σ_ｉｖ^（ｉ） _Ｎ」と記述）を求める。
【００１７】
ここで、以下の健全性、完全性及びプライバシの条件を満たすとき、この電子投票システムで行われる電子投票はセキュアであるという。
（１）健全性
いかなる投票者Ｖ（端末装置Ｔ）も、各々の持ち票数ｘ_１〜ｘ_ｎ（以下、「持ち票数ｘ」と記述）を超える投票はできない。すなわち、以下が成り立つ。
【数６】

また、上記が成立しているときに、（ｖ^（ｉ） _Ｙ，ｖ^（ｉ） _Ｎ）は有効であるという。
（２）完全性
（１）に記載の健全性を満たす全ての投票に対して、集計サーバＳは、Ｙｅｓの総票数Σ_ｉｖ^（ｉ） _Ｙ及びＮｏの総票数Σ_ｉｖ^（ｉ） _Ｎを正しく出力する。
（３）プライバシ
集計サーバＳと端末装置Ｔ（投票者Ｖ）は、Ｙｅｓの総票数Σ_ｉｖ^（ｉ） _Ｙ及びＮｏの総票数Σ_ｉｖ^（ｉ） _Ｎ以外のいかなる情報も得ない。ただし、各投票者Ｖのそれぞれの持ち票数ｘと、各投票者Ｖが投票に参加したかどうかは公開されても良い。
【００１８】
本実施の形態による電子投票システムにおいては、各投票のプライバシを確保するために、線形性を持った秘密分散を利用して集計機能をｍ台の集計サーバＳへ分散させる。投票者Ｖの保有する端末装置Ｔは、各選択肢に投じる票数を示す投票データを秘密分散したシェア、すなわち、Ｙｅｓ票数ｖ^（ｉ） _Ｙ及びＮｏ票数ｖ^（ｉ） _Ｎ（１≦ｉ≦ｎ）のシェアを各集計サーバＳに送信する。各集計サーバＳは、自身が端末装置Ｔから受信した投票データのシェアの総和を計算し、最終的に各集計サーバＳの保有する投票データのシェアの総和から総投票数を復元する。
【００１９】
２．構成
投票データ生成サーバＳ_Ｒは、専用線やブロードバンド回線によりインターネットなどのネットワークＮと接続され、公開掲示板サーバＢ及び端末装置Ｔと通信する機能を有する。ただし、端末装置Ｔとは、暗号化された通信プロトコルを使用するなどしてセキュアに接続される。
投票データ生成サーバＳ_Ｒは、全てのｉ（１≦ｉ≦ｎ）に対する（投票者Ｖ_ｉ，持ち票数ｘ_ｉ）のペアを内部に記憶している。そして、全ての投票者Ｖについて、各集計サーバＳに対応する秘密分散された投票データのシェアを投票パターン毎に生成する機能と、平文の投票データのシェア及び電子署名された投票データのシェアの暗号文を端末装置Ｔへ送信する機能を有する。なお、投票パターンとは、各選択肢に持ち票数をどのように配分するかのパターンを示す。また、端末装置Ｔ及び集計サーバＳが投票の正当性の検証を行うための正当性確認データ、すなわち、投票データのシェアを基にしたハッシュ値を生成し、さらに生成したハッシュ値をシャッフルし投票パターンを秘匿して公開掲示板サーバＢへ書き込む機能を有する。
【００２０】
公開掲示板サーバＢは、専用線やブロードバンド回線によりネットワークＮと接続され、投票データ生成サーバＳ_Ｒ、端末装置Ｔ及び集計サーバＳと通信する機能を有する。また、公開掲示板サーバＢは、投票データ生成サーバＳ_Ｒから投票パターンを秘匿した正当性確認データ、すなわち、全ての可能な投票データのシェアを基に生成され、かつ、シャッフルされたハッシュ値を受信し、内部に記憶する機能を有する。
【００２１】
端末装置Ｔは、各投票者Ｖが保有するパーソナルコンピュータであり、専用線やブロードバンド回線によりネットワークＮと接続され、投票データ生成サーバＳ_Ｒ、公開掲示板サーバＢ及び集計サーバＳと通信する機能を有する。ただし、投票データ生成サーバＳ_Ｒとは、暗号化された通信プロトコルを使用するなどしてセキュアに接続される。
端末装置Ｔは、投票データ生成サーバＳ_Ｒから、平文の投票データのシェアと、電子署名された投票データのシェアの暗号文を受信し、内部に記憶する機能を有する。また、平文の投票データのシェアからハッシュ値を生成するとともに、公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）を読み出して比較し、投票データ生成サーバＳ_Ｒから受信した投票データのシェア及び公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）の正当性を確認する機能を有する。さらに、平文の投票データのシェアから投票データを復号し、投票データの正当性を確認する機能を有する。加えて、平文の投票データのシェアを暗号化し、投票データ生成サーバＳ_Ｒから受信した投票データのシェアが正しく暗号化されているかどうかを確認する機能を有する。そして、投票者Ｖがキーボードやマウス、ボタンなどから入力した投票パターンを示す情報を受け、この入力された投票パターンに対応する電子署名された投票データのシェアの暗号文を内部から読み出し、各集計サーバＳへ送信する機能を有する。
【００２２】
集計サーバＳは、専用線やブロードバンド回線によりネットワークＮと接続され、公開掲示板サーバＢ及び端末装置Ｔと通信する機能を有する。
各集計サーバＳは、共同でＹｅｓ用のカウンタＣ_Ｙ（以下、「ＹｅｓカウンタＣ_Ｙ」と記述）及びＮｏ用のカウンタＣ_Ｎ（以下、「ＮｏカウンタＣ_Ｎ」と記述）を求めるため、カウンタのシェアを内部に記憶する。これらのカウンタのシェアは、ｍ台中ｔ台の集計サーバＳが不正な場合でも集計結果を正しく復元可能な、Ｓｈａｍｉｒの（ｔ＋１，ｍ）分散法により分散されている（但し、ｍ＞３ｔ＋１）。
さらに、端末装置Ｔから受信した、電子署名された投票データのシェアの暗号文に付された電子署名をチェックする機能と、この投票データのシェアを復号してハッシュ値を生成し、公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）を読み出して比較することにより、投票データのシェアの正当性を確認する機能を有する。また、各集計サーバＳは、すでに投票を終えた投票者Ｖの識別子からなるリストＬ_１〜Ｌ_ｍ（以下、「既投票者リストＬ」と記述）を内部に記憶し、投票者Ｖが既に投票を行っているか否かを判断する機能を有する。そして、正当性が確認された投票データのシェアをカウンタのシェアに加算する機能と、各集計サーバＳが保有するカウンタのシェアを合わせてカウンタを復元する機能を有する。
【００２３】
３． 電子投票システムの動作手順
３．１ 電子投票の手順の概要
図２は、本実施の形態による電子投票の手順の概要を示す図である。投票手順は、準備フェーズ、投票フェーズ及び集計フェーズの３フェーズからなる。
（１）準備フェーズ
投票データ生成サーバＳ_Ｒは、各投票者Ｖが投票可能な全投票パターン毎の投票データのシェアを生成する。そして、不正投票を検出するための正当性確認データとして、この投票データのシェアからハッシュ値を算出し、さらに、投票パターンを認識できないように算出したハッシュ値をシャッフルして公開掲示板サーバＢへ書き込む（ステップＳ１１）。その後、投票データ生成サーバＳ_Ｒは、全投票パターンの平文の投票データのシェア及び電子署名された投票データのシェアの暗号文を各端末装置Ｔへ送信する（ステップＳ１２）。端末装置Ｔは、公開掲示板サーバＢを参照し、投票パターンのシャッフルが正しくなされていること、そして、投票データが正しく生成されていることをチェックする（ステップＳ１３）。
（２）投票フェーズ
各投票者Ｖが投票を行う投票パターンを選択すると、端末装置Ｔは、全ての集計サーバＳへ選択した投票パターンに対応した電子署名された投票データのシェアの暗号文を送信する（ステップＳ２１）。集計サーバＳは、二重投票がないことを確認するとともに、受信した投票データのシェアが正しいことを公開掲示板サーバＢによりチェックする（ステップＳ２２）。このチェックが正しく終了した場合のみ、集計サーバＳは、それぞれが保有するＹｅｓカウンタＣ_Ｙのシェア及びＮｏカウンタＣ_Ｎのシェアを更新する。
（３）集計フェーズ
全ての集計サーバＳは、秘密分散の復元プロトコルを使用し、ＹｅｓカウンタＣ_Ｙ（Ｙｅｓの総票数Σ_ｉｖ^（ｉ） _Ｙ）及びＮｏカウンタＣ_Ｎ（Ｎｏの総票数Σ_ｉｖ^（ｉ） _Ｎ）を復元する（ステップＳ３１）。
【００２４】
なお、本電子投票システムにおいては、以下を仮定する。
・投票データ生成サーバＳ_Ｒは投票データのシェアを生成する準備フェーズのみ動作し、一度端末装置Ｔからの投票が始まると一切の動作を行わない。
・投票データ生成サーバＳ_Ｒは、任意の集計サーバＳや端末装置Ｔとは結託しない。
・任意の装置から公開掲示板サーバＢの内容を参照できるが、公開掲示板サーバＢ内の情報の追加・変更は、投票データ生成サーバＳ_Ｒのみが可能である。
・投票データ生成サーバＳ_Ｒは、一度公開掲示板サーバＢへ全ての情報を入力した後は、公開掲示板サーバＢ内の情報を一切変更しない。
各フェーズの詳細手順を以下に示す。
【００２５】
３．２ 準備フェーズ
（１） 図３は、カウンタ及び既投票者リストの初期化の手順を示す図である。まず、集計サーバＳは、各々が内部に記憶しているカウンタのシェアの初期化を行う。すなわち、集計サーバＳ_ｊ（１≦ｊ≦ｍ）は、各々
ＹｅｓカウンタＣ_ＹのシェアＣ_Ｙ，ｊ ＝ ０
及び
ＮｏカウンタＣ_ＮのシェアＣ_Ｎ，ｊ ＝ ０
を実行する。
次に、集計サーバＳ_ｊ（１≦ｊ≦ｍ）は、各々が内部に記憶している既投票者リストＬ_ｊに空集合を書き込む。
【００２６】
（２） 図４は、投票データの生成の方式を示す図である。投票データ生成サーバＳ_Ｒは、全ての投票者Ｖに対して、秘密分散された投票パターン毎の投票データのシェアを生成する。すなわち、投票者Ｖ_ｉ（１≦ｉ≦ｎ）の持ち票数ｘ_ｉの範囲内のＹｅｓの票数ｋ（０≦ｋ≦ｘ_ｉ）及びＮｏの票数（ｘ_ｉ−ｋ）を、各集計サーバＳ_ｊ（１≦ｊ≦ｍ）に秘密分散するためのシェアを生成し、
【数７】

（以下、「Ｙｅｓ票数のシェアｓ^{（ｉ，ｋ）} _Ｙ，ｊ」と記述）及び
【数８】

（以下、「Ｎｏ票数のシェアｓ^{（ｉ，ｋ）} _Ｎ，ｊ」と記述）を得る。図においては、ｉ番目の投票者Ｖ_ｉの投票パターン（Ｙｅｓの票数ｋ，Ｎｏの票数（ｘ_ｉ−ｋ））＝（０，ｘ_ｉ），・・・，（ｘ_ｉ，０）に対して、集計サーバＳ_１に送信すべき
【数９】

が、集計サーバＳ_ｊに送信すべき
【数１０】

が、集計サーバＳ_ｍに送信すべき
【数１１】

が生成されることを示している。
【００２７】
次に、投票データ生成サーバＳ_Ｒは、全てのＹｅｓ票数のシェアｓ^{（ｉ，ｋ）} _Ｙ，ｊ及びＮｏ票数のシェアｓ^{（ｉ，ｋ）} _Ｎ，ｊを、ＲＳＡ（Ｒｉｖｅｓｔ−Ｓｈａｍｉｒ−Ａｄｌｅｍａｎ）暗号等により、対応する各集計サーバＳの公開鍵を用いて暗号化する。すなわち、投票データ生成サーバＳ_Ｒは、
【数１２】

（「‖」は結合を表す）を基に、
【数１３】

を、各ｉ（１≦ｉ≦ｎ），ｋ（０≦ｋ≦ｘ_ｉ），ｊ（１≦ｊ≦ｍ）について算出する。ただし、ＰｋＳ_ｊは、ｊ番目の集計サーバＳ_ｊの公開鍵であり、Ｅｎｃ＜Ｐｋ＞（ｗ）は、平文ｗを公開鍵Ｐｋにより暗号化した結果の暗号文を示す。
続いて、投票データ生成サーバＳ_Ｒは、自身の秘密鍵ＳｋＳ_Ｒを用いて、各投票パターン毎の電子署名を作成する。すなわち、
【数１４】

を、各ｉ（１≦ｉ≦ｎ），ｋ（０≦ｋ≦ｘ_ｉ）について計算する。なお、Ｓｉｇ＜Ｓｋ＞（ｗ）は、秘密鍵Ｓｋを利用して作成したｗの電子署名を表す。
【００２８】
（３） 図５は、公開掲示板サーバＢへのハッシュ値の書込みの方式を示す図である。投票データ生成サーバＳ_Ｒは、各ｉ（１≦ｉ≦ｎ）について、以下のようにＹｅｓ票数及びＮｏ票数のシェアの結合ｓ^{（ｉ，ｋ）} _ｊのハッシュ値を算出する。
【数１５】

ここで、「Ｈ」は衝突困難な一方向性ハッシュ関数とする。さらに、投票データ生成サーバＳ_Ｒは、ランダム置換πを選ぶ。そして、各ｊ（１≦ｊ≦ｍ）について
【数１６】

を、選択したπを用いてシャッフルし、
【数１７】

を得る。投票データ生成サーバＳ_Ｒは、シャッフルした投票データのシェアのハッシュ値の集合Ｈ（ｓ^（ｉ） _ｊ）（１≦ｉ≦ｎ，１≦ｊ≦ｍ）を公開掲示板サーバＢへ送信する。公開掲示板サーバＢは、シャッフルした投票データのシェアのハッシュ値の集合Ｈ（ｓ^（ｉ） _ｊ）（１≦ｉ≦ｎ，１≦ｊ≦ｍ）を受信し、内部に記憶する。
【００２９】
（４） 図６は、投票データの配信の方式を示す図である。投票データ生成サーバＳ_Ｒは、各端末装置Ｔ_ｉ（１≦ｉ≦ｎ）へ
平文のＹｅｓ票数及びＮｏ票数のシェアの結合の組（ｓ^{（ｉ，ｋ）} _１，・・・，ｓ^{（ｉ，ｋ）} _ｍ）（０≦ｋ≦ｘ_ｉ）
及び、
投票パターン毎に電子署名Ｓｉｇ^{（ｉ，ｋ）}を付した投票データのシェアの暗号文の組（ＥＳ^{（ｉ，ｋ）} _１，・・・，ＥＳ^{（ｉ，ｋ）} _ｍ）（０≦ｋ≦ｘ_ｉ）
を送信する。
各端末装置Ｔ_ｉ（１≦ｉ≦ｎ）は、平文のＹｅｓ票数及びＮｏ票数のシェアの結合の組（ｓ^{（ｉ，ｋ）} _１，・・・，ｓ^{（ｉ，ｋ）} _ｍ）から、全てのｋ（０≦ｋ≦ｘ_ｉ），ｊ（１≦ｊ≦ｍ）について、投票データのシェアのハッシュ値ｈ^{（ｉ，ｋ）} _ｊを（数１５）と同様の方法により算出する。そして、公開掲示板サーバＢに記録されている自身のｉに対応したシャッフルした投票データのシェアのハッシュ値の集合ＨＳ^（ｉ） _ｊを読み出し、これが、算出した投票データのシェアのハッシュ値ｈ^{（ｉ，ｋ）} _ｊの集合と等価であり、かつ、投票パターンがシャッフルされた内容であることを確認する。
次に、各端末装置Ｔ_ｉ（１≦ｉ≦ｎ）は、Ｙｅｓ票数のシェア（ｓ^{（ｉ，ｋ）} _Ｙ，１，・・・，ｓ^{（ｉ，ｋ）} _Ｙ，ｍ）とＮｏ票数のシェア（ｓ^{（ｉ，ｋ）} _Ｎ，１，・・・，ｓ^{（ｉ，ｋ）} _Ｎ，ｍ）（０≦ｋ≦ｘ_ｉ）を復元し、それぞれがＹｅｓの票数ｋとＮｏの票数（ｘ_ｉ−ｋ）のシェアであることを確認する。
さらに、各端末装置Ｔ_ｉ（１≦ｉ≦ｎ）は、（数１３）と同様の方法により、Ｙｅｓ票数及びＮｏ票数のシェアの結合ｓ^{（ｉ，ｋ）} _ｊを集計サーバＳ_ｊの公開鍵ＰｋＳ_ｊで暗号化した暗号文ＥＳ^{（ｉ，ｋ）} _ｊを算出し、投票データ生成サーバＳ_Ｒから受信した暗号文ＥＳ^{（ｉ，ｋ）} _ｊと一致するかを全てのｋ（０≦ｋ≦ｘ_ｉ），ｊ（１≦ｊ≦ｍ）について検証する。
【数１８】

なお、
【数１９】

は、右辺と左辺が等しいか否かの検証を行うことを意味する。
【００３０】
３．３ 投票フェーズ
本節においては、ｉ番目の端末装置Ｔ_ｉを用いて動作を説明するが、各端末装置Ｔ_１〜Ｔ_ｎにおいても同様に動作する。
（１） 図７は、投票者からの投票の方式を示す図である。端末装置Ｔ_ｉは、投票者Ｖ_ｉから投票パターンの選択の入力を受ける。このとき、投票者Ｖ_ｉの選択した投票パターンがＹｅｓ票数ｖ^（ｉ） _Ｙであるとすると、各端末装置Ｔ_ｉ（１≦ｉ≦ｎ）は、Ｙｅｓの票数ｋ＝Ｙｅｓ票数ｖ^（ｉ） _Ｙである電子署名付きの投票データのシェアの暗号文の組を全集計サーバＳへ送信する。具体的には、端末装置Ｔは、Ｙｅｓの票数ｋ＝Ｙｅｓ票数ｖ^（ｉ） _Ｙに対応した投票データの暗号文の組（ＥＳ^{（ｉ，ｋ）} _１，・・・，ＥＳ^{（ｉ，ｋ）} _ｍ）に電子署名Ｓｉｇ^{（ｉ，ｋ）}を付した投票データを全ての集計サーバＳへ送信する。また、端末装置Ｔ_ｉは、この投票データと併せて、投票者Ｖ_ｉの識別子を送信する。
各集計サーバＳ_ｊ（１≦ｊ≦ｍ）は、自身の記憶する既投票者リストＬ_ｊに端末装置Ｔ_ｉから受信した投票者Ｖ_ｉの識別子がすでに登録されているか否かをチェックする。もし、既投票者リストＬ_ｊに投票者Ｖ_ｉが既に登録されていたと判断した場合、当該受信データを破棄する。
既投票者リストＬ_ｊに投票者Ｖ_ｉが登録されていないことを確認すると、続いて、各集計サーバＳ_ｊ（１≦ｊ≦ｍ）は、電子署名Ｓｉｇ^{（ｉ，ｋ）}の検証を行う。もし、電子署名Ｓｉｇ^{（ｉ，ｋ）}が正当ではないと判断した場合、当該受信データを破棄する。
各集計サーバＳ_ｊ（１≦ｊ≦ｍ）は、電子署名Ｓｉｇ^{（ｉ，ｋ）}が正しいと判断した場合、投票データの暗号文ＥＳ^{（ｉ，ｋ）} _ｊを自身の秘密鍵ＳｋＳ_ｊを利用して復号し、平文のＹｅｓ票数及びＮｏ票数のシェアの結合ｓ^{（ｉ，ｋ）} _ｊ（ｋ＝ｖ^（ｉ） _Ｙ）を得る。
【数２０】

なお、Ｄｅｃ＜Ｓｋ＞（ｃ）は、暗号文ｃを秘密鍵Ｓｋを用いて復号した結果得られる平文を示す。そして、各集計サーバＳ_ｊは、公開掲示板サーバＢからシャッフルした投票データのシェアのハッシュ値の集合ＨＳ^（ｉ） _ｊを取得し、復号した平文のＹｅｓ票数及びＮｏ票数のシェアの結合ｓ^{（ｉ，ｋ）} _ｊ（ｋ＝ｖ^（ｉ） _Ｙ）のハッシュ値Ｈ（ｓ^{（ｉ，ｋ）} _ｊ）が含まれていることをチェックする。
【数２１】

上記全てのチェックが完了した場合に、各集計サーバＳ_ｊ（１≦ｊ≦ｍ）は、投票者Ｖ_ｉの識別符号を自身の既投票者リストＬ_ｊに追加し、内部に記憶する。
【００３１】
（２） 図８は、カウンタの加算の方式を示す図である。各集計サーバＳ_ｊ（１≦ｊ≦ｍ）は、以下のように、自身が内部に記憶しているＹｅｓカウンタＣ_ＹのシェアＣ_Ｙ，ｊに復号されたＹｅｓ票数のシェアｓ^{（ｉ，ｋ）} _Ｙ，ｊ（ｋ＝ｖ^（ｉ） _Ｙ）を、ＮｏカウンタＣ_ＮのシェアＣ_Ｎ，ｊに復号されたＮｏ票数のシェアｓ^{（ｉ，ｋ）} _Ｎ，ｊ（ｋ＝ｖ^（ｉ） _Ｙ）を加算し、更新する。
【数２２】

【００３２】
３．４ 集計フェーズ
図９は、投票数の集計の方式を示す図である。集計フェーズにおいて、各集計サーバＳ_ｊ（１≦ｊ≦ｍ）が内部に記憶しているＹｅｓカウンタＣ_ＹのシェアＣ_Ｙ，ｊ及びＮｏカウンタＣ_ＮのシェアＣ_Ｎ，ｊを基に、ＹｅｓカウンタＣ_Ｙ（＝Ｙｅｓの総票数Σ_ｉｖ^（ｉ） _Ｙ）及びＮｏカウンタＣ_Ｎ（＝Ｎｏの総票数Σ_ｉｖ^（ｉ） _Ｎ）を復元する。ＹｅｓカウンタＣ_Ｙ及びＮｏカウンタＣ_Ｎは、（ｔ＋１，ｍ）分散法により分散されているため、ｔ台以下の集計サーバＳに誤りや不正があった場合であっても、ＹｅｓカウンタＣ_Ｙ及びＮｏカウンタＣ_Ｎは正しく復元することが可能である。
【００３３】
３．５ 効果
（１）健全性
投票権のない投票者が投票データを集計サーバＳに送信した場合、公開掲示板サーバＢに存在する（投票者Ｖ_ｉ，シャッフルした投票データのシェアのハッシュ値の集合ＨＳ^（ｉ） _ｊ）のペアの検索によって、この投票を棄却することができる。また、投票データ生成サーバＳ_Ｒによって作られた投票データのシェアは、各集計サーバＳに対応して暗号化され、有効なＹｅｓ票数ｖ^（ｉ） _Ｙについてまとめた上で電子署名が付されているため、投票データのシェアの正当性を確認することができる。また、シェアの各ペアは、
【数２３】

を満たしており、各投票者Ｖは、
【数２４】

となる不正な投票を行うことができない。
また、各集計サーバＳ内の既投票者リストＬにより投票者Ｖの二重投票をチェックし、破棄することができる。
【００３４】
（２）完全性
集計サーバＳのカウンタは、（ｔ＋１，ｍ）分散法により分散されており、０に初期設定される。そして、投票内容は秘密分散を用いて複数台の集計サーバＳへ分散される。従って、ｍ台中ｔ台の集計サーバＳに不具合や不正があっても、秘密分散の復元と誤り訂正プロトコルにより、正しいカウンタ値（総票数）が復元される。
【００３５】
（３）プライバシ
集計サーバＳのカウンタは、（ｔ＋１，ｍ）分散法により分散されているため、ｔ台以下の集計サーバＳの結託では、カウンタ値（総票数）を知ることはできない。
また、公開掲示板サーバＢが公開するシャッフルした投票データのシェアのハッシュ値の集合ＨＳ^（ｉ） _ｊは、投票データ生成サーバＳ_Ｒによりシャッフルされて投票パターンが秘匿されている。そのため、集計サーバＳは、端末装置Ｔから受信した暗号文ＥＳ^{（ｉ，ｋ）} _ｊと公開掲示板サーバＢ内のシャッフルした投票データのシェアのハッシュ値の集合ＨＳ^（ｉ） _ｊからＹｅｓ票数ｖ^（ｉ） _Ｙを知ることはできない。
また、端末装置Ｔと投票データ生成サーバＳ_Ｒとの間の通信路がセキュアであるため、他の投票者の投票データを知ることはできない。また、他の端末装置Ｔから送信された暗号文ＥＳ^{（ｉ，ｋ）} _ｊと公開掲示板サーバＢ内のシャッフルした投票データのシェアのハッシュ値の集合ＨＳ^（ｉ） _ｊから他の投票者のＹｅｓ票数ｖ^（ｉ） _Ｙを知ることはできない。
【００３６】
４．一般化と他の形態への応用
４．１ 一般化
上記電子投票システムは、Ｙｅｓ−Ｎｏのような２つの選択肢だけではなく、３以上の選択肢を持つ一般的な分割可能な投票に拡張することが可能である。ここでは、投票者Ｖ_ｉ（１≦ｉ≦ｎ）が存在するとき、ｉ番目の投票者Ｖ_ｉが持ち票ｘ_ｉを持ち、選択肢Ａ_１，…，Ａ_ｕへ全ての持ち票ｘ_ｉを分配して投票する場合を想定する。このとき、投票者Ｖ_ｉは、
【数２５】

及び
【数２６】

を満たす投票を行う。
このような投票を実現するため、各集計サーバＳ_１〜Ｓ_ｍは、ｕ個のカウンタのシェアを持つ。そして、準備フェーズにおいて投票データ生成サーバＳ_Ｒは、３章に記載したＹｅｓ票数のシェアｓ^{（ｉ，ｋ）} _Ｙ，ｊ及びＮｏ票数のシェアｓ^{（ｉ，ｋ）} _Ｎ，ｊの代わりに、
ｋ_１＋…＋ｋ_ｕ＝ｘ_ｉ
かつ
０≦ｋ_１，…，ｋ_ｕ≦ｘ_ｉ
を満たすような投票数のシェア
【数２７】

を全てのｊ（１≦ｊ≦ｍ），ｋ_１，．．． ，ｋ_ｕに対して生成する。この点を除き、３章に示す電子投票システムの動作手順と同様に構成可能である。すなわち、本節に示す一般化された電子投票システムの動作手順においては、投票データ生成サーバＳ_Ｒは、各投票者Ｖに対して、
【数２８】

のシェアを作成する。
【００３７】
４．２ 部分的棄権が可能な投票
棄権票が存在する場合、
【数２９】

となる投票も有効である。この場合、持ち票ｘ_ｉを持つｉ番目の投票者Ｖ_ｉ（１≦ｉ≦ｎ）は、Ｙｅｓにｖ^（ｉ） _Ｙ票、Ｎｏにｖ^（ｉ） _Ｎ票、棄権にｖ^（ｉ） _Ａ（＝ｘ_ｉ−ｖ^（ｉ） _Ｙ−ｖ^（ｉ） _Ｎ）票を投票する。各集計サーバＳは、ＹｅｓカウンタＣ_Ｙ、ＮｏカウンタＣ_Ｎ、棄権票カウンタＣ_Ａの各々に対応して、秘密分散したＹｅｓカウンタＣ_ＹのシェアＣ_Ｙ，ｊ、秘密分散したＮｏカウンタＣ_ＮのシェアＣ_Ｎ，ｊ、秘密分散した棄権票カウンタＣ_ＡのシェアＣ_Ａ，ｊ（１≦ｊ≦ｍ）を内部に記憶する。そして、投票データ生成サーバＳ_Ｒは、以下の投票データのシェアを生成する。
【数３０】

その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００３８】
４．３ 分割不可な複数投票
分割不可能な複数電子投票においては、投票者Ｖが、持ち票ｘを全てＹｅｓあるいはＮｏに割り当て、投票する。すなわち、
【数３１】

または
【数３２】

となる投票を行う。このとき、投票データ生成サーバＳ_Ｒは、
（ｘ_ｉ，０）及び（０，ｘ_ｉ）
のシェアを作成し、各端末装置Ｔへ送信する。
その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００３９】
４．４ 多候補者選挙
多候補者選挙は、投票者が、ｕ個の候補の中から１つの候補のみを選択する方式である。この場合、各集計サーバＳは、ｕ番目の候補を選択したときのカウンタの分散である分散カウンタＣ_１，ｊ，．．．，Ｃ_ｕ，ｊ（１≦ｊ≦ｍ）を保有する。そして、投票データ生成サーバＳ_Ｒは、１つだけが「１」で残りが全て「０」となるような、以下の投票データのシェアを生成し、端末装置Ｔへ送信する。
（１，０，０，．．．，０），（０，１，０，．．．，０），．．．，（０，０，０，．．．，１）
その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００４０】
５．その他
上記実施の形態によれば、健全性、完全性、プライバシを保持しながら、各投票者が持つ票を複数の選択肢に任意に分割して投票することができる電子投票を実現することができる。また、ゼロ知識証明などを使用せず、負荷を抑えた電子投票システムを提供することが可能となる。また、部分的な棄権、分割不可の複数投票、あるいは、多候補者選挙を行うことができる。
【００４１】
なお、上述の投票データ生成サーバＳ_Ｒ、公開掲示板サーバＢ、端末装置Ｔ、及び、集計サーバＳは、内部にコンピュータシステムを有している。そして、上述した動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含むものである。
【００４２】
また、「コンピュータ読み取り可能な記録媒体」とは、ＲＯＭの他に、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のシステムやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００４３】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００４４】
【発明の効果】
この発明によれば、各投票者の投票内容を秘匿しながら、さらに、不正な投票を防ぎながら、各投票者が持つ票を複数の選択肢に任意に分割して投票することができる効率的な電子投票システムを提供することができる。さらに、部分的な棄権、分割不可の複数投票、あるいは、多候補者選挙を行うことができる。
【図面の簡単な説明】
【図１】この発明の一実施の形態による電子投票システムの構成を示すブロック図である。
【図２】同実施の形態による電子投票の手順の概要を示す図である。
【図３】同実施の形態によるカウンタ及び既投票者リストの初期化の手順を示す図である。
【図４】同実施の形態による投票データの生成の方式を示す図である。
【図５】同実施の形態による公開掲示板サーバへのハッシュ値の書込みの方式を示す図である。
【図６】同実施の形態による投票データの配信の方式を示す図である。
【図７】同実施の形態による投票者からの投票の方式を示す図である。
【図８】同実施の形態によるカウンタの加算の方式を示す図である。
【図９】同実施の形態による投票数の集計の方式を示す図である。
【符号の説明】
Ｓ_Ｒ…投票データ生成サーバ
Ｂ…公開掲示板サーバ
Ｔ、Ｔ_１、Ｔ_２、Ｔ_ｉ、Ｔ_ｎ…端末装置
Ｓ_１、Ｓ_２、Ｓ_ｊ、Ｓ_ｍ…集計サーバ[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an electronic voting system for performing voting and counting operations.
[0002]
[Prior art]
In recent years, with the spread of the Internet, an electronic voting service using an encryption protocol has been provided. Many of the existing electronic voting methods deal with voting in a form such as a confidence voting, that is, a form in which one of "Yes" and "No" is cast. The voting for selecting only one from a plurality of candidates is realized by extending this method.
Non-Patent Document 1 describes an electronic voting method based on homomorphism, and Non-Patent Document 2 describes an indivisible multiple-vote electronic voting method based on homomorphism.
Note that homomorphism refers to secret information s₁With n shares ｛S_1,1, S_1,2,. . . . , S_{1, n}｝, Secret information s₂With n shares ｛S_2,1, S_2,2,. . . . , S_{2, n}Ｉ and the i-th player is S_{1, i}And S_{2, i}If you receive the secret information s₁And s₂S that is the sum of₁+ S₂Is the S of each player_{1, i}+ S_{2, i}｛S combined_1,1+ S_2,1, S_1,2+ S_2,2,. . . . , S_{1, n}+ S_{2, n}The property that can be restored from｝.
Non-Patent Document 3 describes an electronic voting method based on shuffling. This is because, when the Mix server receives the encrypted voting content from the voter, the encrypted voting content is replaced and re-encrypted and transmitted to the next Mix server, and the voting content is replaced and re-encrypted. This is a method of decoding the final result by repeating the conversion by a plurality of Mix servers.
Non-Patent Document 4 describes an electronic voting method based on a blind signature. In this method, the election manager adds a blind signature to the encrypted voting contents, and the tallying server performs tallying based on the encrypted voting contents with the blind signature added by the voter.
[0003]
[Non-patent document 1]
Sako, K. and Kilian, J., "Secure Voting Using Partially Compatible Homemorphisms", Partially Compatible Homomorphisms, Advanced In Cryptology: Advanced In Cryptology. 94 (Advanceds in Cryptology: Crypto '94), Springer-Verlag, Germany, August 1994, LNCS 839, p. 411-424
[Non-patent document 2]
Tetsuro Tokosho, and 4 others, "Electronic voting method that allows multiple voting by one person using homomorphism", Computer Security Symposium 2002 Transactions, Information Processing Society of Japan, October 30, 2002, Information Processing Society of Japan Symposium Series Vol. 2002, No. 16, p. 467-472
[Non-Patent Document 3]
Saco, K. and Kilian, J., “Receipt-Free Mix-Type Voting Scheme”, Advanced In Cryptology: Eurocrypt '95 (Advances in Cryptology). : EuroCrypt '95), Springer-Verlag, Germany, 1995, LNCS 921, p. 393-403
[Non-patent document 4]
Atsushi Fujioka and two others, "electronic voting method", NTT R & D, Nippon Telegraph and Telephone Corporation, October 1995, Vol. 44, no. 10, p. 244-251
[0004]
[Problems to be solved by the invention]
In addition to a form in which one voter casts one vote as in a general election, each voter may have a different number of votes, such as in a general meeting of shareholders. In addition, there is a case in which a different number of votes of each voter is arbitrarily distributed to a plurality of options to perform voting.
However, when the above-mentioned voting is performed by the electronic voting method using homomorphism as described in Non-Patent Document 1, the voter must execute the zero knowledge proof by the number of votes. This is inefficient and impractical. In general, a zero-knowledge proof is a process in which a verifier exchanges information several times between a prover and a verifier to verify that the prover knows the knowledge of the secret information held by the prover. Is a method of probabilistically proving against.
In addition, in the non-dividable electronic voting method based on homomorphism described in Non-Patent Document 2, it is impossible in principle to perform divided voting of a plurality of votes while maintaining the confidentiality of voting contents.
In addition, when the schemes described in Non-Patent Documents 3 and 4 are applied, if a vote division pattern is included in the voting data, there is a problem in that anonymity is lost by collation with the number of votes. Also, if a vote of Yes-No is held and the number of votes is equal to the number of votes, anonymity can be ensured, but the input and output of the anonymous communication path is the total number of votes, so that there is a problem that efficiency is low and it is not realistic.
[0005]
The present invention has been made in view of the above circumstances, and its purpose is to conceal the contents of each voter's voting, and furthermore, to prevent unauthorized voting, and to allow a plurality of votes to be held by each voter. It is an object of the present invention to provide an efficient electronic voting system that can divide a vote into options as desired.
[0006]
[Means for Solving the Problems]
SUMMARY OF THE INVENTION The present invention has been made to solve the above problems, and the invention according to claim 1 is a terminal device of a voter and a voting data generation server that generates voting data for the voter to perform voting. An electronic voting system comprising a voting data generation server connected to a voting data collecting server for counting voting via a network. Voting data generating means for generating the voting data, encrypting the voting data with the key of each tallying server, and transmitting the voting data to the terminal device. Received the ciphertext of the share of the voting data obtained, and encrypts the share of the voting data according to the pattern in which the voter votes from the ciphertext of the share of the voting data And voting means for transmitting to each corresponding tallying server, the tallying server receives a secret shared counter share for counting the number of votes and a ciphertext of the voting data share from the terminal device. Counter addition means for adding the share of the voting data obtained by decrypting this ciphertext to the share of the counter, and voting result calculation means for decrypting the total number of votes based on the share of the counter held by each totaling server. An electronic voting system comprising:
[0007]
According to a second aspect of the present invention, there is provided the electronic voting system according to the first aspect, further comprising a public bulletin board server that holds information for confirming the validity of the voting data to the total server via a network. Connected, the voting data generating means transmits the validity confirmation data generated from the share of the voting data to the public bulletin board server while concealing the voting pattern, and the public bulletin board server A counter storing means for receiving the validity confirmation data and storing the validity confirmation data therein, wherein the counter adding means reads the validity confirmation data from the public bulletin board server, and based on the validity confirmation data, determines that the share of the voting data is valid. If it is determined that the value of the counter is equal to the value, the value is added to the share of the counter.
[0008]
The invention according to claim 3 is the electronic voting system according to claim 2, wherein the voting data generating means transmits a plain text of the share of the voting data to the terminal device, and the voting means, The plaintext of the share of the voting data is received from the voting data generation server, and based on the plaintext of the share of the voting data and the validity confirmation data read from the public bulletin board server, the ciphertext of the share of the voting data is obtained. When it is determined that the voting data is legitimate, the cipher text of the share of the voting data according to the voting pattern of the voter is transmitted to each corresponding tallying server.
[0009]
According to a fourth aspect of the present invention, a voter terminal device, a voting data generation server that generates voting data for voting by the voter, and a totaling server that totals voting are connected via a network. A voting data generation server for an electronic voting system comprising: generating a share of secretly shared voting data corresponding to each tallying server for each voting pattern, encrypting the voting data with a key of each tallying server, and transmitting the encrypted to the terminal device A voting data generation server comprising voting data generation means for performing voting data generation.
[0010]
According to a fifth aspect of the present invention, a voter terminal device, a voting data generation server that generates voting data for voting by the voter, and a counting server that counts voting are connected via a network. A terminal device of an electronic voting system comprising: receiving, from the voting data generation server, a ciphertext of a secret shared voting data share for each voting pattern corresponding to each tallying server; A terminal device comprising voting means for transmitting a ciphertext of a share of voting data in accordance with a pattern of a voter voting from ciphertexts to each corresponding tallying server.
[0011]
The invention according to claim 6 connects, via a network, a terminal device of a voter, a voting data generation server that generates voting data for the voter to perform voting, and a counting server that counts voting via a network. An electronic voting system comprising: a secret sharing counter for counting the number of votes; a ciphertext of a secret sharing voting data share from the terminal device; And a voting result calculating means for decoding the total number of votes based on the shares of the counters held by each totaling server. Is a totaling server.
[0012]
According to a seventh aspect of the present invention, a voter terminal device, a voting data generation server that generates voting data for voting by the voter, and a totaling server that totals voting are connected via a network. Computer program used for a voting data generation server of an electronic voting system comprising: generating a share of secretly shared voting data corresponding to each tallying server for each voting pattern; encrypting the share with a key of each tallying server. A computer program causing a computer to execute the step of transmitting to the terminal device.
[0013]
The invention according to claim 8 connects a terminal device of a voter, a voting data generation server that generates voting data for the voter to perform voting, and an aggregation server that aggregates voting via a network. A computer program used for a terminal device of an electronic voting system comprising: receiving, from the voting data generation server, a ciphertext of a share of shared secret voting data for each voting pattern corresponding to each tallying server; Transmitting the ciphertext of the share of the voting data according to the pattern of the voter voting from the ciphertext of the share of the received voting data to each corresponding tallying server. It is a computer program.
[0014]
According to a ninth aspect of the present invention, a voter terminal device, a voting data generation server that generates voting data for voting by the voter, and a totaling server that totals voting are connected via a network. A computer program used for an aggregation server of an electronic voting system, comprising: receiving a ciphertext of a share of secret-shared voting data from the terminal device; and a secret-shared counter for counting the number of votes Adding the share of the voting data obtained by decrypting the ciphertext to the share of, and decrypting the total number of votes based on the share of the counter held by each totaling server. A computer program characterized by the following.
[0015]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
For convenience,
(Equation 1)

To X^y _zDescribe as follows.
[0016]
1. System model
FIG. 1 is a block diagram showing a configuration of an electronic voting system according to an embodiment of the present invention.
The electronic voting system includes n voters V₁~ V_n(Hereinafter referred to as “voter V”). The i-th (1 ≦ i ≦ n) voter V is assigned to the voter V_i, Voter V_iX_i(Hereinafter, "number of votes x_i"), Voter V_iV is the number of votes cast by Yes^(I) _Y(Hereinafter, “Yes number of votes v^(I) _Y), And the number of votes cast for No^(I) _N(Hereinafter, “No votes v^(I) _N"). At this time,
(Equation 2)

And
(Equation 3)

Holds.
And the m totaling servers S₁~ S_m(Hereinafter referred to as “total server S”)₁~ V_nTerminal devices T owned by each₁~ T_n(Hereinafter referred to as “terminal device T”) based on the voting data received from
(Equation 4)

(Hereafter, “Total number of votes for YesΣ_iv^(I) _{Y "}]) And
(Equation 5)

(Hereinafter, “Total number of votes of NoΣ_iv^(I) _N").
[0017]
Here, when the following conditions of soundness, integrity and privacy are satisfied, the electronic voting performed by this electronic voting system is said to be secure.
(1) Soundness
Any voter V (terminal device T) has each vote number x₁~ X_n(Hereinafter, referred to as “number of votes x”) cannot be voted. That is, the following holds.
(Equation 6)

Also, when the above holds, (v^(I) _Y, V^(I) _N) Is valid.
(2) Completeness
For all the votes that satisfy the soundness described in (1), the aggregation server S determines the total number of votes of Yesｅｓ_iv^(I) _YAnd No. of votes 票_iv^(I) _NOutput correctly.
(3) Privacy
The totaling server S and the terminal device T (voter V) determine the total number of votes of YesΣ_iv^(I) _YAnd No. of votes 票_iv^(I) _NNo other information is obtained. However, the number of votes x of each voter V and whether or not each voter V participates in voting may be disclosed.
[0018]
In the electronic voting system according to the present embodiment, in order to secure the privacy of each vote, the tallying function is distributed to m tallying servers S using a secret sharing with linearity. The terminal device T owned by the voter V shares secretly shared voting data indicating the number of votes cast for each option, that is, the number of Yes votes v^(I) _YAnd the number of votes v^(I) _NThe share of (1 ≦ i ≦ n) is transmitted to each aggregation server S. Each totaling server S calculates the total sum of the shares of the voting data received from the terminal device T, and finally restores the total number of votes from the total sum of the shares of the voting data held by each totaling server S.
[0019]
2. Constitution
Voting data generation server S_RIs connected to a network N such as the Internet via a dedicated line or a broadband line, and has a function of communicating with the public bulletin board server B and the terminal device T. However, it is securely connected to the terminal device T by using an encrypted communication protocol or the like.
Voting data generation server S_RIs (voteer V) for all i (1 ≦ i ≦ n)._i, Number of votes x_i) Is stored internally. A function of generating a share of secret-shared voting data corresponding to each tallying server S for each voting pattern for all the voting persons V, a share of plaintext voting data and a share of electronically signed voting data. It has a function of transmitting cipher text to the terminal device T. The voting pattern indicates a pattern of how the number of votes is distributed to each option. Further, the terminal device T and the aggregation server S generate validity confirmation data for verifying the validity of the voting, that is, generate a hash value based on the share of the voting data, and further shuffle the generated hash value to vote. It has a function of keeping the pattern secret and writing it to the public bulletin board server B.
[0020]
The public bulletin board server B is connected to the network N via a dedicated line or a broadband line, and a voting data generation server S_R, And a function of communicating with the terminal device T and the aggregation server S. Further, the public bulletin board server B includes a voting data generation server S_R, Which has a function of receiving a hash value generated and shuffled based on the validity check data that conceals the voting pattern, that is, a share of all possible voting data, and storing the received hash value internally.
[0021]
The terminal device T is a personal computer owned by each voter V, is connected to the network N by a dedicated line or a broadband line, and_RAnd a function to communicate with the public bulletin board server B and the tallying server S. However, the voting data generation server S_RIs securely connected using, for example, an encrypted communication protocol.
The terminal device T is a voting data generation server S_RHas the function of receiving the share of the plaintext voting data and the ciphertext of the share of the electronically signed voting data and storing them internally. Further, a hash value is generated from the share of the plain text voting data, and the shuffled hash value (validity confirmation data) in the public bulletin board server B is read and compared, and the voting data generation server S_RHas the function of confirming the share of the voting data received from the public bulletin board and the validity of the shuffled hash value (validity confirmation data) in the public bulletin board server B. Furthermore, it has a function of decrypting the voting data from the share of the plaintext voting data and confirming the validity of the voting data. In addition, the share of the plaintext voting data is encrypted, and the voting data generation server S_RIt has a function to confirm whether the share of the voting data received from is correctly encrypted. Then, the voter V receives information indicating a voting pattern input from a keyboard, a mouse, a button, or the like, reads a ciphertext of the share of the electronically signed voting data corresponding to the input voting pattern from the inside, and collects each tally. It has a function of transmitting to the server S.
[0022]
The aggregation server S is connected to the network N by a dedicated line or a broadband line, and has a function of communicating with the public bulletin board server B and the terminal device T.
Each totaling server S jointly operates a counter C for Yes._Y(Hereinafter, "Yes counter C_YAnd C for No._N(Hereinafter, "No counter C_N) Is stored internally. The shares of these counters are distributed by Shamir's (t + 1, m) distribution method (where m> 3t + 1), which can correctly restore the total result even when t total servers S out of m are invalid.
Further, a function of checking the electronic signature attached to the cipher text of the share of the electronically signed voting data received from the terminal device T, a function of decoding the share of the voting data to generate a hash value, and It has a function of reading the shuffled hash values (validity confirmation data) in B and comparing them, thereby confirming the validity of the share of the voting data. In addition, each totaling server S has a list L including identifiers of the voters who have already voted.₁~ L_m(Hereinafter referred to as “vote list L”), and has a function of determining whether or not voter V has already voted. Then, it has a function of adding the share of the voting data whose validity has been confirmed to the share of the counter, and a function of restoring the counter by combining the share of the counter held by each totaling server S.
[0023]
3. Operation procedure of electronic voting system
3.1 Overview of electronic voting procedure
FIG. 2 is a diagram showing an outline of an electronic voting procedure according to the present embodiment. The voting procedure includes three phases: a preparation phase, a voting phase, and a counting phase.
(1) Preparation phase
Voting data generation server S_RGenerates a share of voting data for every voting pattern that each voter V can vote. Then, a hash value is calculated from the share of the voting data as validity confirmation data for detecting an unauthorized voting, and the calculated hash value so that the voting pattern cannot be recognized is shuffled and written to the public bulletin board server B. (Step S11). Then, the voting data generation server S_RTransmits to each terminal device T the share of the plaintext voting data of all voting patterns and the ciphertext of the share of the electronically signed voting data (step S12). The terminal device T refers to the public bulletin board server B, and checks that the shuffle of the voting pattern is correctly performed and that the voting data is correctly generated (step S13).
(2) Voting phase
When each voter V selects a voting pattern for voting, the terminal device T transmits the ciphertext of the share of the electronically signed voting data corresponding to the selected voting pattern to all the tallying servers S (step S21). . The tallying server S confirms that there is no double voting, and checks that the share of the received voting data is correct by the public bulletin board server B (step S22). Only when this check is correctly completed, the counting server S checks the Yes counter C held by each server._YShare and No counter C_NUpdate your share.
(3) Aggregation phase
All the aggregation servers S use the secret sharing restoration protocol, and the Yes counter C_Y(Total votes of Yes の_iv^(I) _Y) And No counter C_N(Total number of votes of No)_iv^(I) _N) Is restored (step S31).
[0024]
In this electronic voting system, the following is assumed.
-Voting data generation server S_ROperates only in the preparation phase for generating the share of the voting data, and does not perform any operation once the voting from the terminal device T starts.
-Voting data generation server S_RDoes not collude with any tally server S or terminal device T.
The contents of the public bulletin board server B can be referred to from any device, but addition / change of information in the public bulletin board server B is performed by the voting data generation server S._ROnly possible.
-Voting data generation server S_RDoes not change the information in the public bulletin board server B at all after inputting all the information to the public bulletin board server B once.
The detailed procedure of each phase is shown below.
[0025]
3.2 Preparation phase
(1) FIG. 3 is a diagram showing a procedure for initializing the counter and the voter list. First, the aggregation server S initializes the share of the counter stored therein. That is, the aggregation server S_j(1 ≦ j ≦ m) are respectively
Yes counter C_YShare C_{Y, j}  = 0
as well as
No counter C_NShare C_{N, j}  = 0
Execute
Next, the aggregation server S_j(1 ≦ j ≦ m) is the voter list L stored internally._jWrite the empty set to
[0026]
(2) FIG. 4 is a diagram showing a method of generating voting data. Voting data generation server S_RGenerates a share of voting data for each voting pattern that is secretly shared with all the voters V. That is, the voter V_i(1 ≦ i ≦ n) Number of votes x_iThe number of votes k of Yes within the range (0 ≦ k ≦ x_i) And No. of votes (x_i-K) is converted to each totaling server S_jGenerate a share for secret sharing in (1 ≦ j ≦ m),
(Equation 7)

(Hereinafter, “Share of the number of Yes votes”^{(I, k)} _{Y, j}]) And
(Equation 8)

(Hereinafter, “Share of the number of votes”^{(I, k)} _{N, j}"). In the figure, the i-th voter V_iVoting pattern (the number of votes k of Yes, the number of votes of No (x_i−k)) = (0, x_i), ..., (x_i, 0), the aggregation server S₁Should be sent to
(Equation 9)

Is the aggregation server S_jShould be sent to
(Equation 10)

Is the aggregation server S_mShould be sent to
(Equation 11)

Is generated.
[0027]
Next, the voting data generation server S_RIs the share of all Yes votes^{(I, k)} _{Y, j}And the share of the number of votes^{(I, k)} _{N, j}Is encrypted using the public key of each corresponding tally server S by RSA (Rivest-Shamir-Adleman) encryption or the like. That is, the voting data generation server S_RIs
(Equation 12)

("‖" Represents a bond)
(Equation 13)

With i (1 ≦ i ≦ n) and k (0 ≦ k ≦ x_i), J (1 ≦ j ≦ m). However, PkS_jIs the j-th aggregation server S_jEnc <Pk> (w) indicates an encrypted text resulting from encrypting the plaintext w with the public key Pk.
Subsequently, the voting data generation server S_RIs their own private key SkS_RTo create an electronic signature for each voting pattern. That is,
[Equation 14]

With i (1 ≦ i ≦ n) and k (0 ≦ k ≦ x_i) Is calculated. Note that Sig <Sk> (w) represents an electronic signature of w created using the secret key Sk.
[0028]
(3) FIG. 5 is a diagram showing a method of writing a hash value to the public bulletin board server B. Voting data generation server S_RIs the combination s of the shares of the number of Yes votes and the number of No votes for each i (1 ≦ i ≦ n) as follows:^{(I, k)} _jIs calculated.
[Equation 15]

Here, “H” is a one-way hash function that is difficult to collide. Further, the voting data generation server S_RChooses random permutation π. And for each j (1 ≦ j ≦ m)
(Equation 16)

Is shuffled using the selected π,
[Equation 17]

Get. Voting data generation server S_RIs a set H (s) of hash values of shares of the shuffled voting data.^(I) _j) (1 ≦ i ≦ n, 1 ≦ j ≦ m) to the public bulletin board server B. The public bulletin board server B transmits a set H (s) of hash values of the shares of the shuffled voting data.^(I) _j) (1 ≦ i ≦ n, 1 ≦ j ≦ m) and stores it internally.
[0029]
(4) FIG. 6 is a diagram showing a method of distributing voting data. Voting data generation server S_RIs the terminal device T_i(1 ≦ i ≦ n)
A combination of shares of the number of shares of Yes and No of plain text (s^{(I, k)} ₁, ..., s^{(I, k)} _m) (0 ≦ k ≦ x_i)
as well as,
Electronic signature Sig for each voting pattern^{(I, k)}Of ciphertext of share of voting data with ES (ES^{(I, k)} ₁, ..., ES^{(I, k)} _m) (0 ≦ k ≦ x_i)
Send
Each terminal device T_i(1 ≦ i ≦ n) is a combination (s) of the shares of the number of Yes votes and the number of No votes in plain text.^{(I, k)} ₁, ..., s^{(I, k)} _m), All k (0 ≦ k ≦ x_i), J (1 ≦ j ≦ m), the hash value h of the share of the voting data^{(I, k)} _jIs calculated by the same method as (Equation 15). Then, a set HS of a set of hash values of shares of the shuffled voting data corresponding to the own i recorded in the public bulletin board server B^(I) _jAnd this is the hash value h of the calculated share of the voting data.^{(I, k)} _j, And that the voting pattern is a shuffled content.
Next, each terminal device T_i(1 ≦ i ≦ n) is the share of the number of Yes votes (s^{(I, k)} _{Y, 1}, ..., s^{(I, k)} _{Y, m}) And share of the number of No votes (s^{(I, k)} _{N, 1}, ..., s^{(I, k)} _{N, m}) (0 ≦ k ≦ x_i) Is restored, and the number of votes k of Yes and the number of votes of No (x_iCheck that the share is -k).
Further, each terminal device T_i(1 ≦ i ≦ n) is a combination s of the shares of the number of Yes votes and the number of No votes in the same manner as (Equation 13).^{(I, k)} _jTally server S_jPublic key PkS_jCiphertext ES encrypted with^{(I, k)} _jVoting data generation server S_RCiphertext ES received from^{(I, k)} _jIt is determined whether all k (0 ≦ k ≦ x_i), J (1 ≦ j ≦ m).
(Equation 18)

In addition,
[Equation 19]

Means verifying whether the right side and the left side are equal or not.
[0030]
3.3 Voting phase
In this section, the i-th terminal device T_iThe operation will be described with reference to FIG.₁~ T_nOperates in the same way.
(1) FIG. 7 is a diagram showing a method of voting from a voter. Terminal device T_iIs the voter V_iReceives an input for selecting a voting pattern. At this time, the voter V_iVoting pattern selected is the number of Yes votes v^(I) _Y, Each terminal device T_i(1 ≦ i ≦ n) is the number of Yes votes k = the number of Yes votes v^(I) _YIs transmitted to all the totalizing servers S. Specifically, the terminal device T determines that the number of votes of Yes k = the number of votes of Yes v^(I) _YOf ciphertext of voting data corresponding to (ES^{(I, k)} ₁, ..., ES^{(I, k)} _m) To digital signature Sig^{(I, k)}Is transmitted to all the tallying servers S. In addition, the terminal device T_iTogether with the voting data,_iSend the identifier of
Each aggregation server S_j(1 ≦ j ≦ m) is the voter list L stored by itself._jTerminal device T_iVoter V received from_iIt is checked whether the identifier of has already been registered. If the voter list L_jVoter V to_iIf it is determined that has already been registered, the received data is discarded.
Voter list L_jVoter V to_iIs not registered, and subsequently, each totaling server S_j(1 ≦ j ≦ m) is the digital signature Sig^{(I, k)}Verify. If the electronic signature Sig^{(I, k)}Is judged to be invalid, the received data is discarded.
Each aggregation server S_j(1 ≦ j ≦ m) is the digital signature Sig^{(I, k)}Is determined to be correct, the ciphertext ES of the voting data^{(I, k)} _jWith its own secret key SkS_jAnd decrypt the share using the combination of the shares of the number of Yes votes and the number of No votes in the plain text.^{(I, k)} _j(K = v^(I) _YGet)
(Equation 20)

Note that Dec <Sk> (c) indicates a plaintext obtained as a result of decrypting the ciphertext c using the secret key Sk. And each totaling server S_jIs a set HS of hash values of shares of voting data shuffled from the public bulletin board server B.^(I) _jAnd the share of the shares of the number of Yes and No votes in the plaintext^{(I, k)} _j(K = v^(I) _Y) Hash value H (s^{(I, k)} _j) Is included.
(Equation 21)

When all the above checks are completed, each totaling server S_j(1 ≦ j ≦ m) is the voter V_iOf the own voter list L_jAnd store it internally.
[0031]
(2) FIG. 8 is a diagram showing a method of adding a counter. Each aggregation server S_j(1 ≦ j ≦ m) corresponds to the Yes counter C stored therein as follows._YShare C_{Y, j}Share of the number of Yes votes decrypted to^{(I, k)} _{Y, j}(K = v^(I) _Y), No counter C_NShare C_{N, j}Share of the number of No votes decrypted to^{(I, k)} _{N, j}(K = v^(I) _Y) Is added and updated.
(Equation 22)

[0032]
3.4 Aggregation phase
FIG. 9 is a diagram illustrating a method of counting the number of votes. In the aggregation phase, each aggregation server S_jYes counter C internally stored (1 ≦ j ≦ m)_YShare C_{Y, j}And No counter C_NShare C_{N, j}Based on Yes counter C_Y(= Total number of votes of YesΣ_iv^(I) _Y) And No counter C_N(= Total number of votes of NoΣ_iv^(I) _NRestore). Yes counter C_YAnd No counter C_NAre distributed by the (t + 1, m) distribution method, so that the Yes counter C_YAnd No counter C_NCan be restored correctly.
[0033]
3.5 Effects
(1) Soundness
When a voter without voting right transmits voting data to the tallying server S, the voting data exists in the public bulletin board server B (voter V_i, Set HS of hash values of shares of shuffled voting data^(I) _jThe poll can be rejected by searching for the pair of ()). Also, the voting data generation server S_RThe share of the voting data generated by the server is encrypted corresponding to each totaling server S, and the number of valid Yes votes v^(I) _YSince the electronic signature is attached after summarizing, the validity of the share of the voting data can be confirmed. Also, each pair of shares
(Equation 23)

And each voter V
[Equation 24]

Can not vote illegally.
In addition, the double voting of the voter V can be checked by the voter list L in each totaling server S and discarded.
[0034]
(2) Completeness
The counters of the aggregation server S are distributed by the (t + 1, m) distribution method, and are initialized to 0. Then, the contents of the vote are distributed to the plurality of totaling servers S using secret sharing. Therefore, even if there are malfunctions or irregularities in the t servers out of m, the correct counter value (total number of votes) can be restored by the restoration of the secret sharing and the error correction protocol.
[0035]
(3) Privacy
Since the counters of the tallying server S are distributed by the (t + 1, m) distribution method, it is not possible to know the counter value (total number of votes) by collusion of t or less tallying servers S.
Also, a set HS of hash values of shares of the shuffled voting data disclosed by the public bulletin board server B is disclosed.^(I) _jIs the voting data generation server S_RAnd the voting pattern is kept secret. Therefore, the tallying server S transmits the ciphertext ES received from the terminal device T.^{(I, k)} _jOf hash values of shares of shuffled voting data in public bulletin board server B and HS^(I) _jTo Yes votes v^(I) _YCan not know.
Further, the terminal device T and the voting data generation server S_RSince the communication path between the voting system and the voting system is secure, the voting data of other voters cannot be known. Also, the ciphertext ES transmitted from another terminal device T^{(I, k)} _jOf hash values of shares of shuffled voting data in public bulletin board server B and HS^(I) _jIs the number of Yes votes of other voters from^(I) _YCan not know.
[0036]
4. Generalization and application to other forms
4.1 Generalization
The electronic voting system can be extended to a general dividable voting having not only two options such as Yes-No but also three or more options. Here, Voter V_iWhen (1 ≦ i ≦ n) exists, the i-th voter V_iIs the signature x_iWith option A₁, ..., A_uTo all tags x_iSuppose the case of distributing and voting. At this time, the voter V_iIs
(Equation 25)

as well as
(Equation 26)

Vote to meet.
In order to realize such a vote, each totaling server S₁~ S_mHas a share of u counters. Then, in the preparation phase, the voting data generation server S_RIs the share of the number of Yes votes described in Chapter 3.^{(I, k)} _{Y, j}And the share of the number of votes^{(I, k)} _{N, j}Instead of,
k₁+ ... + k_u= X_i
And
0 ≦ k₁, ..., k_u≤x_i
Share of votes to satisfy
[Equation 27]

For all j (1 ≦ j ≦ m), k₁,. . . , K_uGenerate for Except for this point, the configuration can be the same as the operation procedure of the electronic voting system described in Chapter 3. That is, in the operation procedure of the generalized electronic voting system shown in this section, the voting data generation server S_RFor each voter V
[Equation 28]

Create a share.
[0037]
4.2 Partial Abstainable Voting
If an abstention exists,
(Equation 29)

Voting is also effective. In this case, the tag x_iI-th voter V with_i(1 ≦ i ≦ n)^(I) _YVote, No to v^(I) _NVote, abstain v^(I) _A(= X_i-V^(I) _Y-V^(I) _N) Vote. Each counting server S has a Yes counter C_Y, No counter C_N, Abstention vote counter C_ACorresponding to each of the secret counters C_YShare C_{Y, j}No secret counter C_NShare C_{N, j}, Secret abstention vote counter C_AShare C_{A, j}(1 ≦ j ≦ m) is stored internally. And the voting data generation server S_RGenerates the share of the following voting data.
[Equation 30]

Other operations are the same as the operation procedure of the electronic voting system described in Chapter 3.
[0038]
4.3 Indivisible multiple votes
In the indivisible multiple electronic voting, the voter V assigns all the votes x to Yes or No and votes. That is,
(Equation 31)

Or
(Equation 32)

Vote. At this time, the voting data generation server S_RIs
(X_i, 0) and (0, x_i)
Is created and transmitted to each terminal device T.
Other operations are the same as the operation procedure of the electronic voting system described in Chapter 3.
[0039]
4.4 Multiple Candidate Election
In the multi-candidate election, a voter selects only one candidate from among u candidates. In this case, each totaling server S has a distribution counter C which is the distribution of the counter when the u-th candidate is selected._{1, j},. . . , C_{u, j}(1 ≦ j ≦ m). And the voting data generation server S_RGenerates a share of the following voting data in which only one becomes “1” and all the others become “0”, and transmits the share to the terminal device T.
(1,0,0, ..., 0), (0,1,0, ..., 0),. . . , (0,0,0, ..., 1)
Other operations are the same as the operation procedure of the electronic voting system described in Chapter 3.
[0040]
5. Other
According to the above-described embodiment, it is possible to realize an electronic voting in which a vote held by each voter can be arbitrarily divided into a plurality of options and voted, while maintaining soundness, integrity, and privacy. In addition, it is possible to provide an electronic voting system with reduced load without using zero knowledge proof. Partial abstentions, non-dividing multiple votes, or multiple candidate elections can be held.
[0041]
The voting data generation server S described above_R, The public bulletin board server B, the terminal device T, and the counting server S have a computer system therein. The above-described process of the operation is stored in a computer-readable recording medium in the form of a program, and the computer system reads and executes the program to perform the above-described processing. Here, the computer system includes an OS and hardware such as peripheral devices.
[0042]
The “computer-readable recording medium” refers to not only ROM but also portable media such as magnetic disks, magneto-optical disks, CD-ROMs, and DVD-ROMs, and storage devices such as hard disks built into computer systems. That means. Further, the “computer-readable recording medium” is a system such as a volatile memory (RAM) in a computer system which is a client when a program is transmitted through a network such as the Internet or a communication line such as a telephone line. In addition, those that hold programs for a certain period of time are also included.
[0043]
Further, the above program may be transmitted from a computer system storing the program in a storage device or the like to another computer system via a transmission medium or by a transmission wave in the transmission medium. Here, the “transmission medium” for transmitting a program refers to a medium having a function of transmitting information, such as a network (communication network) such as the Internet or a communication line (communication line) such as a telephone line.
Further, the program may be for realizing a part of the functions described above. Furthermore, what can implement | achieve the function mentioned above in combination with the program already recorded on the computer system, and what is called a difference file (difference program) may be sufficient.
[0044]
【The invention's effect】
ADVANTAGE OF THE INVENTION According to this invention, the vote which each voter has can be arbitrarily divided | segmented into a plurality of options, and voting can be performed efficiently, while concealing the content of the vote of each voter, and also preventing an unauthorized vote. An electronic voting system can be provided. In addition, partial abstentions, indivisible multiple votes, or multiple candidate elections can be held.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of an electronic voting system according to an embodiment of the present invention.
FIG. 2 is a diagram showing an outline of an electronic voting procedure according to the embodiment.
FIG. 3 is a diagram showing a procedure for initializing a counter and a voter list according to the embodiment;
FIG. 4 is a diagram showing a method of generating voting data according to the embodiment.
FIG. 5 is a diagram showing a method of writing a hash value to a public bulletin board server according to the embodiment.
FIG. 6 is a diagram showing a method of distributing voting data according to the embodiment.
FIG. 7 is a diagram showing a method of voting from a voter according to the embodiment.
FIG. 8 is a diagram showing a method of adding a counter according to the embodiment;
FIG. 9 is a diagram showing a method of counting the number of votes according to the embodiment.
[Explanation of symbols]
S_R… Voting data generation server
B: Public bulletin board server
T, T₁, T₂, T_i, T_n… Terminal device
S₁, S₂, S_j, S_m… Aggregation server

Claims (9)

An electronic voting system in which a terminal device of a voter, a voting data generation server that generates voting data for voting by the voter, and an aggregation server that aggregates votes are connected via a network,
The voting data generation server,
Voting data generation means for generating a share of secretly shared voting data corresponding to each tallying server for each voting pattern, encrypting the voting data with a key of each tallying server, and transmitting the voting data to the terminal device,
The terminal device,
From the voting data generation server, received the ciphertext of the share of voting data secretly shared for each voting pattern corresponding to each aggregation server, according to the pattern in which voters vote from among the ciphertext of this voting data share Voting means for transmitting the ciphertext of the share of the voting data to each corresponding aggregation server,
The aggregation server,
A share of a secret shared counter to count the number of votes,
Counter addition means for receiving the ciphertext of the share of the voting data from the terminal device and adding the share of the voting data obtained by decrypting the ciphertext to the share of the counter,
Voting result calculation means for decoding the total number of votes based on the share of the counter held by each totaling server,
An electronic voting system, characterized in that: Further, it is connected via a network to a public bulletin board server that holds information for confirming the validity of the voting data to the tallying server,
The voting data generating means transmits the validity confirmation data generated from the share of the voting data to the public bulletin board server while keeping a voting pattern secret.
The public bulletin board server includes a share storage unit that receives the validity confirmation data concealing the voting pattern and stores the data therein.
The counter adding means reads the validity confirmation data from the public bulletin board server, and adds the voting data share to the counter when determining that the share of the voting data is valid based on the validity confirmation data.
The electronic voting system according to claim 1, wherein: The voting data generation means transmits a plain text of the share of the voting data to the terminal device,
The voting means receives the plaintext of the share of the voting data from the voting data generation server, and based on the plaintext of the share of the voting data and the validity confirmation data read from the public bulletin board server, When it is determined that the ciphertext of the share is valid, the voter transmits the ciphertext of the share of the voting data corresponding to the pattern to be voted to each corresponding tallying server.
3. The electronic voting system according to claim 2, wherein: Voting data generation of an electronic voting system in which a terminal device of a voter, a voting data generation server for generating voting data for voting by the voter, and a counting server for counting voting are connected via a network A server,
Voting data, comprising: voting data generating means for generating a share of secretly-distributed voting data corresponding to each totaling server for each voting pattern, encrypting the voting data with a key of each totaling server, and transmitting the encrypted voting data to the terminal device. Generation server. A terminal device of a voter, a terminal device of an electronic voting system in which a vote data generation server that generates voting data for the voter to perform voting, and a counting server that counts voting are connected via a network; So,
From the voting data generation server, received the ciphertext of the share of voting data secretly shared for each voting pattern corresponding to each aggregation server, according to the pattern in which voters vote from among the ciphertext of this voting data share A terminal device comprising voting means for transmitting a ciphertext of a share of voting data to each corresponding tallying server. A counting server of an electronic voting system in which a terminal device of a voter, a voting data generation server that generates voting data for voting by the voter, and a counting server that counts votes are connected via a network. So,
A share of a secret shared counter to count the number of votes,
Counter adding means for receiving the ciphertext of the share of the secret-shared voting data from the terminal device, and adding the share of the voting data obtained by decrypting the ciphertext to the share of the counter,
Voting result calculation means for decoding the total number of votes based on the share of the counter held by each totaling server;
An aggregation server, comprising: Voting data generation of an electronic voting system in which a terminal device of a voter, a voting data generation server for generating voting data for voting by the voter, and a counting server for counting voting are connected via a network A computer program used for a server,
A computer program for causing a computer to execute a step of generating a share of secretly-distributed voting data corresponding to each tallying server for each voting pattern, encrypting the voting data with a key of each tallying server, and transmitting the encrypted to the terminal device. . A terminal device of a voter, a voting data generation server that generates voting data for voting by the voter, and a totaling server that totals votes are connected via a network to a terminal device of an electronic voting system. A computer program used,
A step of receiving, from the voting data generation server, a ciphertext of a share of secretly shared voting data for each voting pattern corresponding to each aggregation server;
Transmitting the ciphertext of the share of the voting data according to the pattern of the voter voting from the ciphertext of the share of the received voting data to each corresponding tallying server;
Computer program for causing a computer to execute the following. A voting terminal server, a voting data generation server that generates voting data for voting by the voter, and a tallying server that totals voting via a network are connected to a tallying server of an electronic voting system. A computer program used,
Receiving a ciphertext of the share of the secret shared voting data from the terminal device,
Adding a share of voting data obtained by decrypting the ciphertext, to a share of a secret shared counter for counting the number of votes,
Decoding the total number of votes based on the share of the counter held by each totaling server;
Computer program for causing a computer to execute the following.

Images