JP2004208263A

JP2004208263A - バイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置及び方法

Info

Publication number: JP2004208263A
Application number: JP2003159392A
Authority: JP
Inventors: Fangguo Zhang; 張方国; Kwangjo Kim; 金光兆
Original assignee: KANKOKU JOHO TSUSHIN GAKUEN
Current assignee: KANKOKU JOHO TSUSHIN GAKUEN
Priority date: 2002-12-24
Filing date: 2003-06-04
Publication date: 2004-07-22
Also published as: US20040139029A1; KR20030008182A

Abstract

【課題】本発明は計算時間及び記憶空間を減少させ、キー管理の手続を単純化させるバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置及び方法を提供する。
【解決手段】バイリニアペアリングを用いた個人識別情報に基づくブラインド署名システムにおいて、信頼機関はシステム媒介変数を生成し、マスターキーを選択する。また、信頼機関は署名者の個人識別情報を用いて署名者の一対の公開鍵及び秘密鍵を生成する。信頼機関はシステム媒介変数及び署名者の公開鍵を安全なチャンネルを通してユーザーに伝送し、システム媒介変数及び署名者の秘密鍵を安全なチャンネルを通して署名者に伝送する。ユーザーはシステム媒介変数及び署名者の公開鍵を受信及び記憶し、署名者はシステム媒介変数及び署名者の秘密鍵を受信及び記憶する。署名者はコミットメントを計算してユーザーに伝送し、ユーザーはメッセージを隠して署名者に伝送する。署名者はブラインドメッセージに署名してユーザーに伝送し、ユーザーは署名されたメッセージをアンブラインドする。最後に、ユーザーは署名を検証する。
【選択図】図３

Description

【０００１】
【発明の属する技術分野】
本発明は、暗号システムに関し、さらに詳しくは、バイリニアペアリングを用いた個人識別情報に基づくブラインド署名システムに関する。
【０００２】
【従来の技術】
公開鍵システムにおいて、各ユーザーは公開鍵及び秘密鍵の２つのキーを有する。ユーザーの公開鍵及び個人識別情報は、デジタル証明書（ＤｉｇｉｔａｌＣｅｒｔｉｆｉｃａｔｅ）によりつながる。証明書に基づくシステム（ｃｅｒｔｉｆｉｃａｔｅｂａｓｅｄｓｙｓｔｅｍ）において、ユーザーの公開鍵を用いる前に、参加者は、まずユーザーの証明書を検証しなければならない。従って、ユーザーの数が急速に増加するに伴って、証明書に基づくシステムは、多量の計算時間及び記憶空間を必要とする。
【０００３】
証明書に基づく公開鍵セッティングにおけるキー管理の手続を単純化するために、シャミア（Ｓｈａｍｉｒ）は１９８４年に個人識別情報に基づく暗号化技法及び署名技法を提案した（Ａ．Ｓｈａｍｉｒ，Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄｃｒｙｐｔｏｓｙｓｔｅｍｓａｎｄｓｉｇｎａｔｕｒｅｓｃｈｅｍｅｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−Ｃｒｙｐｔｏ８４，ＬＮＣＳ１９６，ｐｐ．４７−５３，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９８４．）。その後、個人識別情報に基づく暗号化技法及び署名技法が数多く提案されてきた。
【０００４】
バイリニアペアリング（ｂｉｌｉｎｅａｒｐａｉｒｓ）、例えば代数曲線のＷｅｉｌペアリング及びＴａｔｅペアリングは、代数幾何学研究において非常に重要な道具である。暗号システムにおいて、バイリニアペアリングの初期応用は、離散対数問題（ＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍＰｒｏｂｌｅｍ）を評価するために用いられた。例えば、Ｗｅｉｌペアリングを用いたＭＯＶ攻撃及びＴａｔｅペアリングを用いたＦＲ攻撃は、特定楕円曲線や超楕円曲線での離散対数問題を有限体での離散対数問題に縮小させた。近年、このようなバイリニアペアリングが、暗号学で多様に応用できることが明らかになった。
さらに正確には、バイリニアペアリングは個人識別情報に基づく暗号システムの構築に用いられる。バイリニアペアリングを用いた様々な個人識別情報に基づく暗号システムが提案された。例えば、Ｂｏｎｅｈ及びＦｒａｎｋｌｉｎの個人識別情報に基づく暗号システム（Ｄ．ＢｏｎｅｈａｎｄＭ．Ｆｒａｎｋｌｉｎ，Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎｆｒｏｍｔｈｅＷｅｉｌｐａｉｒｉｎｇ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−Ｃｒｙｐｔｏ２００１，ＬＮＣＳ２１３９，ｐｐ．２１３−２２９，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，２００１．）と、Ｓｍａｒｔの個人識別情報に基づく認証キー合意プロトコル（Ｎ．Ｐ．Ｓｍａｒｔ，Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙａｇｒｅｅｍｅｎｔｐｒｏｔｏｃｏｌｂａｓｅｄｏｎＷｅｉｌｐａｉｒｉｎｇ，Ｅｌｅｃｔｒｏｎ．Ｌｅｔｔ．，Ｖｏｌ．３８，Ｎｏ．１３，ｐｐ．６３０−６３２，
２００２．）と、幾つかの個人識別情報に基づく署名技法とがある。
【０００５】
特に、効率的なキー管理及び適度な保安が求められる場合、個人識別情報に基づく公開鍵セッティングは、証明書に基づく公開鍵セッティングの代案になれる。公開鍵セッティングにおいて、ユーザーの匿名性はブラインド署名により保護される。
【０００６】
ブラインド署名の概念は、Ｃｈａｕｍ（Ｄ．Ｃｈａｕｍ，Ｂｌｉｎｄｓｉｇｎａｔｕｒｅｓｆｏｒｕｎｔｒａｃｅａｂｌｅｐａｙｍｅｎｔｓ，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙＣｒｙｐｔｏ８２，Ｐｌｅｎｕｍ，ＮＹ，ｐｐ．１９９−２０３，１９８３．）により始めて提案され、電子投票及び電子決済システムなどのような応用システムでユーザーの匿名性を提供する。一般のデジタル署名とは違って、ブラインド署名はユーザーと署名者との間の２者間対話型のプロトコルである。ブラインド署名を用いて、ユーザーは署名者にメッセージ及び署名結果に関する情報を知らせずに、メッセージの署名値を得ることができる。ブラインド署名は、匿名性の電子マネーシステムの構築に重要な役割をする。
【０００７】
近年、バイリニアペアリングを用いた個人識別情報に基づくデジタル署名システムがいくつか開発された。個人識別情報に基づくブラインド署名は、個人の公開鍵が単にその人の個人識別情報であるのが長所である。例えば、銀行が個人識別情報に基づくブラインド署名で電子マネーを発行すれば、ユーザーや商店はデータベースから銀行の公開鍵を取り出す必要がない。彼らは国家名、都市名、銀行名、該当年度などの情報を用いて当該年度に発行された電子マネーを容易に検証することができる。
【０００８】
従って、一般のブラインド署名システムは、多量の計算時間及び記憶空間を必要とする。バイリニアペアリングを用いた個人識別情報に基づく暗号システムが多数提案されているが、バイリニアペアリングを用いた個人識別情報に基づくブラインド署名はまだ提案されていない。
【０００９】
【発明が解決しようとする課題】
従って、本発明の主目的は、計算時間及び記憶空間を減少させ、キー管理の手続を単純化させるバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置及び方法の提供にある。
【００１０】
【課題を解決するための手段】
上記の目的を達成するために、本発明の一態様に基づき、個人識別情報に基づくブラインド署名装置であって、信頼機関と、ユーザーと、署名者とを含み、前記信頼機関がシステム媒介変数を生成してマスターキーを選ぶステップと、前記信頼機関が前記署名者の個人識別情報を用いて前記署名者の一対の公開鍵及び秘密鍵を生成するステップと、前記信頼機関が前記システム媒介変数及び前記署名者の公開鍵を安全なチャンネルを通して前記ユーザーに伝送し、前記システム媒介変数及び前記署名者の秘密鍵を安全なチャンネルを通して前記署名者に伝送するステップと、前記ユーザーが前記システム媒介変数及び前記署名者の公開鍵を受信して記憶し、前記署名者が前記システム媒介変数及び前記署名者の秘密鍵を受信して記憶するステップと、前記署名者がコミットメントを計算し、前記コミットメントを前記ユーザーに伝送するステップと、前記ユーザーがメッセージを隠し、前記ブラインドメッセージを署名者に伝送するステップと、前記署名者が前記ブラインドメッセージに署名し、前記署名されたメッセージを前記ユーザーに伝送するステップと、前記ユーザーが前記署名されたメッセージをアンブラインドするステップと、前記ユーザーが署名の正当性を検証するステップとを行うことを特徴とするバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置が提供される。
【００１１】
前記目的を達成するために、本発明の別の態様に基づき、個人識別情報に基づくブラインド署名方法であって、信頼機関がシステム媒介変数を生成し、マスターキーを選ぶステップと、前記信頼機関が署名者の個人識別情報を用いて前記署名者の一対の公開鍵及び秘密鍵を生成するステップと、前記信頼機関が前記システム媒介変数及び前記署名者の公開鍵を安全なチャンネルを通してユーザーに伝送し、前記システム媒介変数及び前記署名者の秘密鍵を安全なチャンネルを通して前記署名者に伝送するステップと、前記ユーザーが前記システム媒介変数及び前記署名者の公開鍵を受信して記憶し、前記署名者が前記システム媒介変数及び前記署名者の秘密鍵を受信して記憶するステップと、前記署名者がコミットメントを計算し、前記コミットメントを前記ユーザーに伝送するステップと、前記ユーザーがメッセージを隠し、前記ブラインドメッセージを署名者に伝送するステップと、前記署名者が前記ブラインドメッセージに署名し、前記署名されたメッセージを前記ユーザーに伝送するステップと、前記ユーザーが前記署名されたメッセージをアンブラインドするステップと、前記ユーザーが署名の正当性を検証するステップとを行うことを特徴とするバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法が提供される。
【００１２】
【発明の実施の形態】
図１は、バイリニアペアリングを用いた個人識別情報に基づくブラインド署名システムのブロック図である。本システムは署名者１００、ユーザー２００、信頼機関３００の３つの参加者を含む。ここで、本システムの各参加者は、コンピューターシステムであり、いかなる通信網または他の技術により遠隔で通信することができる。参加者の間に伝送される情報は、多様な型の記憶媒体に格納されたり記憶されたりすることができる。
【００１３】
信頼機関３００は、システム媒介変数を生成し、マスターキーを選ぶ。また、信頼機関３００は署名者の個人識別情報を用いて署名者１００の公開鍵及び秘密鍵一対を生成する。そして、信頼機関３００はシステム媒介変数及び署名者の公開鍵をユーザー２００に安全なチャンネルを通して伝送する。また、信頼機関３００はシステム媒介変数及び署名者の秘密鍵を署名者１００に安全なチャンネルを通して伝送する。
【００１４】
ユーザー２００は、信頼機関３００が提供するシステム媒介変数及び署名者の公開鍵を受信する。そして、ユーザー２００はそれを記憶媒体に格納するかまたは記憶する。
【００１５】
その間、署名者１００は信頼機関３００が提供するシステム媒介変数及び署名者の秘密鍵を受信する。そして、署名者１００はそれを記憶媒体に格納するかまたは記憶する。
【００１６】
図２は、バイリニアペアリングを用いた個人識別情報に基づくブラインド署名システムに参加する署名者１００及びユーザー２００のブロック図である。署名者１００はコミットメントを計算して、そのコミットメントをユーザー２００に伝送する。ユーザー２００は、署名されるメッセージを隠して、そのブラインドメッセージを署名者１００に伝送する。署名者１００は、メッセージの内容を知らずに、ブラインドメッセージの署名値を計算してユーザー２００に伝送する。
最後に、ユーザー２００は署名者から署名されたメッセージを受信して署名を検証する。
【００１７】
図３を参照しながら、本発明によるバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法について詳述する。
【００１８】
Ｇは、生成者Ｐにより生成される位数がｑである巡回群であり、Ｖは同じ位数ｑを有する巡回乗法群である。Ｇ及びＶでの、離散対数問題は複雑である。ｅ：Ｇ × Ｇ →Ｖは、次の条件を満たすバイリニアペアリングである。
【００１９】
１．ｅ（Ｐ_１＋Ｐ_２，Ｑ）＝ｅ（Ｐ_１，Ｑ）ｅ（Ｐ_２，Ｑ）及びｅ（Ｐ，Ｑ_１＋Ｑ_２）＝ｅ（Ｐ，Ｑ_１）ｅ（Ｐ，
Ｑ_２）またはｅ（ａＰ，ｂＱ）＝ｅ（Ｐ，Ｑ）^ａｂのバイリニア
２．ｅ（Ｐ，Ｑ） ≠１を満たすＰ ∈ Ｇ，Ｑ ∈ Ｇの存在性
３．全てのＰ，Ｑ ∈ Ｇに対するｅ（Ｐ，Ｑ）計算の効率性
システム媒介変数を生成する過程（ステップ２０１）の間、位数ｑの巡回群Ｇ及びＶが生成される。そして、巡回群Ｇの生成者であるＰ及び２つの巡回群Ｇ及びＶに対するバイリニアペアリングｅ：Ｇ ×Ｇ →Ｖを生成する。本発明において、Ｇは楕円曲線グループまたは超楕円曲線ヤコビアン（Ｊａｃｏｂｉａｎ）であり、Ｖは巡回乗法群Ｚ_ｑ ^＊を使用する。次に、信頼機関３００は、マスターキーとしてＺ_ｑ ^＊に属する任意の定数ｓを選び、Ｐ_ｐｕｂ＝ｓ・Ｐを計算する。さらに、暗号学的ハッシュ関数Ｈ：
｛０，１｝^＊ →Ｚ_ｑ ^＊及びＨ_１：｛０，１｝^＊ →Ｇを選択する。
【００２０】
その後、信頼機関３００は署名者１００の個人識別情報を用いて署名者１００の秘密鍵及び公開鍵ペアリングを生成する（ステップ２０２）。署名者の個人識別情報が与えられると、信頼機関３００は公開鍵Ｑ_ＩＤ＝Ｈ_１（ＩＤ）及び秘密鍵Ｓ_ＩＤ＝ｓ・Ｑ_ＩＤを返還する。信頼機関３００は秘密鍵Ｓ_ＩＤに接近できることに注目するべきである。信頼機関３００の濫用を防止するために、（ｎ、ｎ）−臨界秘密分散法（ｔｈｒｅｓｈｏｌｄｓｅｃｒｅｔｓｈａｒｉｎｇｓｃｈｅｍｅ）と共にｎ信頼機関がマスターキーを条件付き捺印証書として用いることができる。
【００２１】
信頼機関３００は、他の参加者、即ち署名者１００及びユーザー２００にシステム媒介変数を公開したり伝送する。また、信頼機関３００は生成されたキーを他の参加者にそれぞれ伝送する（ステップ２０３）。さらに正確には、信頼機関３００は署名者１００及びユーザー２００が共有する＜Ｇ，ｑ，Ｐ，Ｐ_ｐｕｂ，Ｈ，Ｈ_１＞をシステム媒介変数として公開する。また、信頼機関３００は署名者の公開鍵を公開する。信頼機関３００は、署名者の秘密鍵を安全なチャンネルを通して署名者に伝送する。好ましくは、信頼機関３００は、システム媒介変数及び署名者の公開鍵を安全なチャンネルを通してユーザーに伝送し、システム媒介変数及び署名者の秘密鍵を安全なチャンネルを通して署名者に伝送する。
【００２２】
ｍは署名されるメッセージである。ブラインド署名過程において、署名者１００はＺ_ｑ ^＊に属する乱数ｒを選び、Ｒ＝ｒ・Ｐを計算してユーザー２００にＲをコミットメントとして伝送する（ステップ２０４）。
【００２３】
ユーザー２００はブラインド因数としてＺ_ｑ ^＊に属する乱数ａ及びｂを選択する。
ユーザー２００はブラインドメッセージｃ＝Ｈ（ｍ，ｅ（ｂ・Ｑ_ＩＤ＋Ｒ＋ａ・Ｐ，Ｐ_ｐｕｂ））＋ｂ（ｍｏｄｑ）を計算して、署名者１００に伝送する（ステップ２０５）。
【００２４】
署名者１００は、署名値Ｓ＝ｃ・Ｓ_ＩＤ＋ｒ・Ｐ_ｐｕｂを計算してユーザーに伝送する（ステップ２０６）。
【００２５】
ユーザー２００は、ユーザー２００が選択したブラインド因数を用いてＳ’ ＝Ｓ＋ａ・Ｐ_ｐｕｂ及びｃ’ ＝ｃーｂを計算して、｛ｍ，Ｓ’，ｃ’｝を出力する（ステップ２０８）。（Ｓ’，ｃ’）はメッセージｍのブラインド署名値である。
【００２６】
署名検証の過程（ステップ２０９）において、ユーザー２００はメッセージｍと、信頼機関３００が公開したシステム媒介変数と、署名者の公開鍵Ｑ_ＩＤとを使用する。署名はｃ’ ＝Ｈ（ｍ，ｅ（Ｓ’，Ｐ）・ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^−ｃ ^’である場合、許容できる。署名の検証は次の方程式により正当化される。
【００２７】
Ｈ（ｍ，ｅ（Ｓ’，Ｐ）・ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^−ｃ ^’）
＝Ｈ（ｍ，ｅ（Ｓ＋ａＰ_ｐｕｂ，Ｐ）・ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^−ｃ ^’）
＝Ｈ（ｍ，ｅ（ｃＳ_ＩＤ＋ｒＰ_ｐｕｂ＋ａＰ_ｐｕｂ，Ｐ）・ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^−ｃ ^’）
＝Ｈ（ｍ，ｅ（ｃＳ_ＩＤ，Ｐ）・ｅ（ｒＰ_ｐｕｂ＋ａＰ_ｐｕｂ，Ｐ）・ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^−ｃ ^’）
＝Ｈ（ｍ，ｅ（Ｓ_ＩＤ，Ｐ）^ｃ・ｅ（（ｒ＋ａ）Ｐ_ｐｕｂ，Ｐ）・ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^−ｃ ^’）
＝Ｈ（ｍ，ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^ｃ・ｅ（（ｒ＋ａ）Ｐ，Ｐ_ｐｕｂ）・ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^−ｃ ^’）
＝Ｈ（ｍ，ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^ｃ−ｃ ^’ ・ｅ（Ｒ＋ａＰ，Ｐ_ｐｕｂ））
＝Ｈ（ｍ，ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）^ｂ・ｅ（Ｒ＋ａＰ，Ｐ_ｐｕｂ））
＝Ｈ（ｍ，ｅ（ｂＱ_ＩＤ＋Ｒ＋ａＰ，Ｐ_ｐｕｂ））
＝ｃ − ｂ＝ｃ’
以上で言及したように、本発明の個人識別情報に基づくブラインド署名技法は、一般のブラインド署名技法と個人識別情報に基づく技法の組合せである。即ち、これはブラインド署名であるが、検証のための公開鍵が単に署名者の個人識別情報である。
【００２８】
個人識別情報に基づくブラインド署名技法は、特定楕円曲線または超楕円曲線上で行うことができる。個人識別情報に基づく署名技法において最も重要な部分は、バイリニアペアリングを計算することである。バイリニアペアリングの計算は効率的になっており、署名の長さは圧縮技術により減らすことができる。
【００２９】
本発明の個人識別情報に基づくブラインド署名技法は、任意の数ではなく個人識別情報に基づくので、公開鍵は電子メールアドレスのように個人を唯一に職別できる個人識別情報から構成される。応用例で、公開鍵及び署名の長さは減らすことができる。例えば、電子投票システムまたは電子競売システムにおいて、登録マネージャは個人識別情報に基づく暗号化システムでの信頼機関の役割を果たすことができる。登録段階で登録マネージャは、入札者または投票人に自分の登録番号を自分の公開鍵＝｛（電子投票または電子競売システムの名前‖登録マネージャ‖日付‖数字）、ｎ｝として提供することができる。ここで、ｎは全ての入札者または投票者の数である。
【００３０】
さらに、本発明のブラインド署名を用いれば、ユーザーの匿名性及び偽造不可能性を提供することができる。ブラインド署名を生成するために、署名者はグループＧ上で３回のスカラ乗算のみを行えば良く、ユーザーはグループＧ上で３回のスカラ乗算、１回のハッシュ関数計算、１回のバイリニアペアリング計算のみを行えば良い。検証を行う場合には、１回のハッシュ関数計算、２回のバイリニアペアリング計算、Ｖ上で１回のべき乗が求められる。同じ個人識別情報に対する検証が頻繁に行われれば、ｅ（Ｑ_ＩＤ，Ｐ_ｐｕｂ）を予め計算して置くことで、バイリニアペアリング計算を１回減らすことができる。署名値はＧ及びＶの元素から構成されるが、実際にＧ（楕円曲線グループまたは超楕円曲線ヤコビアン）に属する元素の大きさは、圧縮技法を用いて減らすことができる。
【００３１】
上記において、本発明の好適な実施の形態について説明したが、本発明の請求範囲を逸脱することなく、当業者は種々の改変をなし得るであろう。
【００３２】
【発明の効果】
以上で説明した本発明によるバイリニアペアリングを用いた個人識別情報に基づくブラインド署名システムは、計算時間及び記憶容量を減らすことができ、キー管理の手続を単純化させることができる。個人の公開鍵は、単にその人の個人識別情報であるので、他の人はデータベースからその人の公開鍵を取り出す必要がない。従って、個人識別情報に基づく公開鍵のセッティングは、証明書に基づく公開鍵のセッティングの代案になる。
【図面の簡単な説明】
【図１】本発明の好適な実施の形態によるバイリニアペアリングを用いた個人識別情報に基づくブラインド署名システムを例示するブロック図である。
【図２】本発明の好適な実施の形態によるバイリニアペアリングを用いた個人識別情報に基づくブラインド署名システムを例示するブロック図である。
【図３】本発明の好適な実施の形態によるバイリニアペアリングを用いた個人識別情報に基づくブラインド署名システムの作動を例示する流れ図である。

Claims

個人識別情報に基づくブラインド署名装置であって、
信頼機関と、
ユーザーと、
署名者とを含み、
前記信頼機関がシステム媒介変数を生成してマスターキーを選ぶステップと、前記信頼機関が前記署名者の個人識別情報を用いて前記署名者の一対の公開鍵及び秘密鍵を生成するステップと、
前記信頼機関が前記システム媒介変数及び前記署名者の公開鍵を安全なチャンネルを通して前記ユーザーに伝送し、前記システム媒介変数及び前記署名者の秘密鍵を安全なチャンネルを通して前記署名者に伝送するステップと、
前記ユーザーが前記システム媒介変数及び前記署名者の公開鍵を受信して記憶し、前記署名者が前記システム媒介変数及び前記署名者の秘密鍵を受信して記憶するステップと、
前記署名者がコミットメントを計算し、前記コミットメントを前記ユーザーに伝送するステップと、
前記ユーザーがメッセージを隠し、前記ブラインドメッセージを署名者に伝送するステップと、
前記署名者が前記ブラインドメッセージに署名し、前記署名されたメッセージを前記ユーザーに伝送するステップと、
前記ユーザーが前記署名されたメッセージをアンブラインドするステップと、前記ユーザーが署名の正当性を検証するステップとを行うことを特徴とするバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。
前記システム媒介変数は、巡回群Ｇと、前記Ｇの位数ｑと、前記Ｇの生成者Ｐと、前記信頼機関の公開鍵Ｐ_ｐｕｂと、ハッシュ関数Ｈ及びＨ_１とを含み、前記信頼機関の公開鍵はマスターキーｓを用いてＰ_ｐｕｂ＝ｓ・Ｐで計算され、前記ハッシュ関数はＨ：｛０，１｝^＊ →Ｚ_ｑ ^＊及びＨ_１：｛０，１｝^＊ →Ｇで計算され、
前記バイリニアペアリングは、ｅ：Ｇ × Ｇ →Ｖに定義され、Ｖは前記位数ｑを有する巡回乗法群として巡回乗法群Ｚ_ｑ ^＊を用いることを特徴とする請求項１に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。
前記署名者の公開鍵Ｑ_ＩＤは、前記署名者の個人識別情報（ＩＤ）を用いてＱ_ＩＤ＝Ｈ_１（ＩＤ）で計算され、
前記署名者の秘密鍵Ｓ_ＩＤは、Ｓ_ＩＤ＝ｓ・Ｑ_ＩＤで計算されることを特徴とする請求項２に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。
前記コミットメントＲは、前記署名者が選んだ乱数ｒを用いてＲ＝ｒ・Ｐで計算されることを特徴とする請求項３に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。
前記ブラインドメッセージｃは、送ろうとするメッセージｍと、Ｚ_ｑ ^＊に属するブラインド因数ａ及びｂとを用いてｃ＝Ｈ（ｍ，ｅ（ｂ・Ｑ_ＩＤ＋Ｒ＋ａ・Ｐ，Ｐ_ｐｕｂ））＋ｂ（ｍｏｄｑ）で計算されることを特徴とする請求項４に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。
前記署名されたメッセージは、Ｓ＝ｃ・Ｓ_ＩＤ＋ｒ・Ｐ_ｐｕｂで計算されることを特徴とする請求項５に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。
前記署名されたメッセージをアンブラインドするステップは、Ｓ’ ＝Ｓ＋ａ・Ｐ_ｐｕｂ及びｃ’＝ｃ − ｂで計算されることを特徴とする請求項６に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。
前記署名の正当性を検証するステップは、次の数式により行われることを特徴とするバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。
個人識別情報に基づくブラインド署名方法であって、
信頼機関がシステム媒介変数を生成し、マスターキーを選ぶステップと、
前記信頼機関が署名者の個人識別情報を用いて前記署名者の一対の公開鍵及び秘密鍵を生成するステップと、
前記信頼機関が前記システム媒介変数及び前記署名者の公開鍵を安全なチャンネルを通してユーザーに伝送し、前記システム媒介変数及び前記署名者の秘密鍵を安全なチャンネルを通して前記署名者に伝送するステップと、
前記ユーザーが前記システム媒介変数及び前記署名者の公開鍵を受信して記憶し、前記署名者が前記システム媒介変数及び前記署名者の秘密鍵を受信して記憶するステップと、
前記署名者がコミットメントを計算し、前記コミットメントを前記ユーザーに伝送するステップと、
前記ユーザーがメッセージを隠し、前記ブラインドメッセージを署名者に伝送するステップと、
前記署名者が前記ブラインドメッセージに署名し、前記署名されたメッセージを前記ユーザーに伝送するステップと、
前記ユーザーが前記署名されたメッセージをアンブラインドするステップと、前記ユーザーが署名の正当性を検証するステップとを行うことを特徴とするバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法。
前記システム媒介変数巡回群Ｇと、前記Ｇの位数ｑと、前記Ｇの生成者Ｐと、前記信頼機関の公開鍵Ｐ_ｐｕｂと、ハッシュ関数Ｈ及びＨ_１とを含み、前記信頼機関の公開鍵はマスターキーｓを用いてＰ_ｐｕｂ＝ｓ・Ｐで計算され、前記ハッシュ関数はＨ：｛０，１｝^＊ → Ｚ_ｑ ^＊及びＨ_１：｛０，１｝^＊ →Ｇで計算され、
前記バイリニアペアリングはｅ：Ｇ × Ｇ →Ｖに定義され、Ｖは前記位数ｑを有する巡回乗法群として巡回乗法群Ｚ_ｑ ^＊を用いることを特徴とする請求項９に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法。
前記署名者の公開鍵Ｑ_ＩＤは、前記署名者の個人識別情報（ＩＤ）を用いてＱ_ＩＤ＝Ｈ_１（ＩＤ）で計算され、
前記署名者の秘密鍵Ｓ_ＩＤはＳ_ＩＤ＝ｓ・Ｑ_ＩＤで計算されることを特徴とする請求項１０に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法。
前記コミットメントＲは、前記署名者が選んだ乱数ｒを用いてＲ＝ｒ・Ｐで計算されることを特徴とする請求項１１に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法。
前記ブラインドメッセージｃは、送ろうとするメッセージｍと、Ｚ_ｑ ^＊に属するブラインド因数ａ及びｂとを用いてｃ＝Ｈ（ｍ，ｅ（ｂ・Ｑ_ＩＤ＋Ｒ＋ａ・Ｐ，Ｐ_ｐｕｂ））＋ｂ（ｍｏｄｑ）で計算されることを特徴とする請求項１２に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法。
前記署名されたメッセージはＳ＝ｃ・Ｓ_ＩＤ＋ｒ・Ｐ_ｐｕｂで計算されることを特徴とする請求項１３に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法。
前記署名されたメッセージをアンブラインドするステップはＳ’＝Ｓ＋ａ・Ｐ_ｐｕｂ及びｃ’＝ｃ−ｂで計算されることを特徴とする請求項１４に記載のバイリニアペアリングを用いた個人識別情報に基づくブラインド署名方法。
前記署名の正当性を検証するステップは次の数式により行われることを特徴とするバイリニアペアリングを用いた個人識別情報に基づくブラインド署名装置。