JP2004312512A - 匿名署名装置、署名検証装置、匿名署名方法、匿名署名プログラム及び署名検証プログラム - Google Patents

Abstract

【課題】匿名署名に使用できる署名方式の多様性を向上させつつ、署名協力者数の自由度をも確保する。
【解決手段】ｋ−ｏｕｔ−ｏｆ−ｎ匿名署名の構成において、少なくとも一部の署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）として、Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数を用い、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として、二項演算ａ（＋）_ｉｂ及びａ（−）_ｉｂを（ａ（＋）_ｉｂ）（−）_ｉｂ＝ａを満たす演算とした場合における、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）を用い、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）として、Ｆ_ｉの逆置換関数をＩ_ｉとした場合におけるＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）を用いる。そして、署名権能者が使用する署名方式に応じ、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）及び回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）を切替て匿名署名の作成及び検証を行う。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
この発明は、署名者の匿名性を保持しつつ電子署名を行う匿名署名装置、匿名署名方法、匿名署名プログラム、その電子署名を検証する署名検証装置及び署名検証プログラムに関し、特に、署名方式の多様性を向上させた匿名署名装置、署名検証装置、匿名署名方法、匿名署名プログラム及び署名検証プログラムに関する。
【０００２】
【従来の技術】
署名者の匿名性を確保する電子署名方法として、これまで様々な匿名署名方法が提唱されている。以下では、まずこの従来の匿名署名方法について説明する。
ｋ−ｏｕｔ−ｏｆ−ｎ匿名署名：
ｋ−ｏｕｔ−ｏｆ−ｎ匿名署名とは、ｎ名のうち少なくともｋ名以上が協力した時に初めて発行可能なデジタル署名を生成する方法であり、受理した署名からは、このｎ名のうち、どのｋ名による署名なのかを特定することが不可能な署名方法をいう（例えば、非特許文献１参照。）。まず、この従来のｋ−ｏｕｔ−ｏｆ−ｎ匿名署名方法について説明する。なお、ここでは以下の記法を用いる。
・Ｚ_ａは、０以上ａ以下の整数の集合｛０，…，ａ｝を表す。
・｜ａ｜は、整数ａの２進表現のビット数を表す。但し、ａが集合の場合には、そ
の集合の大きさを表す。
・ａ←ｂは、集合ｂからランダムに元を一つ選び、その元をａと呼ぶことを表す
。
・Ｚ_ａ［Ｘ］^ｂは、係数がＺ_ａに属するｂ次の一変数多項式の全集合を表す。
・［ａ］^ｂは、ビット列ａの先頭ｂビットを表す。
・ａ‖ｂは、ビット列ａとｂのビット結合を表す。
【０００３】
まず、このｋ−ｏｕｔ−ｏｆ−ｎ匿名署名の前提として、ｐｋを公開鍵、ｓｋを秘密鍵とするとき、３つのアルゴリズムＡ，Ｚ，Ｖが存在し、ｓｋに関する３交信正直検証者ゼロ知識証明（３−ｍｏｖｅ Ｈｏｎｅｓｔ Ｖｅｒｉｆｉｅｒ Ｚｅｒｏ−ｋｎｏｗｌｅｄｇｅ Ｐｒｏｏｆ ｏｆ Ｋｎｏｗｌｅｄｇｅ）が以下のように構成できるものとする。
▲１▼証明者は、ランダムなｒを選び、ａ＝Ａ（ｓｋ，ｒ）を検証者へ送る（ステップ１０１）。
▲２▼検証者は、ランダムにｃを選び、証明者へ送る（ステップ１０２）。
▲３▼証明者は、ｓ＝Ｚ（ｓｋ，ｒ，ｃ）を検証者へ送る（ステップ１０３）。
▲４▼検証者は、ａ’＝Ｖ（ｐｋ，ｓ，ｃ）を計算し、ａ’＝ａならば受理する。そうでなければ拒否する（ステップ１０４）。
ここで、ステップ１０１で証明者が作るａを「コミットメント」と呼び、このコミットメントの元となるｒを選ぶ空間をＲとする。また、ステップ１０２で検証者が選ぶｃを「チャレンジ」と呼び、このチャレンジを選ぶ空間をＣとする。さらに、ｓを「回答」と呼び、この回答ｓが分布する空間をＳとする。また、以下では、Ａ（ｓｋ，ｒ）をコミットメント作成関数と呼び、Ｚ（ｓｋ，ｒ，ｃ）を回答作成関数と呼び、Ｖ（ｐｋ，ｓ，ｃ）をコミットメント回復関数と呼ぶこととする。
【０００４】
また、上記の３交信正直検証者ゼロ知識証明が構成されるためには、この手順が、衝突特性（Ｃｏｌｌｉｓｉｏｎ Ｐｒｏｐｅｒｔｙ）と呼ばれる特性を備えることが必須である。衝突特性とは、検証者が受理する２つの会話記録（ａ，ｃ，ｓ）と（ａ，ｃ’，ｓ’）があり、ｃ≠ｃ’のとき、これらの会話記録から秘密鍵ｓｋを導出する効率的な手段が存在するという特性をいう。
この衝突特性を持つ知識の３交信正直検証者ゼロ知識証明が存在する代表的な例として、素数ｐが作る乗法群上の離散対数問題に基づく公開鍵が挙げられる。すなわち、ｐ，ｑをそれぞれ大きな素数とし、ｑはｐ−１を割り切るものとし、ｇをｐの位数ｑの部分群の生成源とし、ｇ， ｑ， ｐを共通パラメータとし、ｘ∈Ｚ_ｑを秘密鍵、ｙ＝ｇ^ｘｍｏｄ ｐ及びｇ，ｐ，ｑの４つ組を公開鍵とした場合である。
この場合、上記の記法に対応する知識の３交信正直検証者ゼロ知識証明は、以下のようになる。
▲１▼証明者は、ｒ←Ｚ_ｑを選び、ａ＝ｇ^ｒを検証者へ送る。
▲２▼検証者は、ｃ←Ｚ_ｑを選び、証明者へ送る。
▲３▼証明者は、ｓ＝ｒ−ｃｘ ｍｏｄ ｑを検証者へ送る。
▲４▼検証者は、ａ’＝ｇ^ｓｙ^ｃｍｏｄ ｐを計算し、ａ’＝ａならば受理する。そうでなければ拒否する。
この手順によって、検証者は、証明者が秘密鍵ｘを知っていることを納得する。なお、この例では、Ｃ＝Ｓ＝Ｚ_ｑである。以下では，このような効率的な３交信正直検証者ゼロ知識証明が存在する公開鍵を「離散対数型」と呼ぶ。
【０００５】
次に、上述の３交信正直検証者ゼロ知識証明が構成されることを前提に、従来のｋ−ｏｕｔ−ｏｆ−ｎ匿名署名手順の説明を行う。
なお、以下では、Ｌをｎ人の署名権能者にそれぞれ対応するｎ個の公開鍵の集合、即ちＬ＝［ｐｋ_ｉ｜ｉ＝１，．．．，ｎ］とし、Ｃ_ｉをＬ中のｉ番目の公開鍵ｐｋ_ｉ（ｉ番目の署名権能者の公開鍵）に関するゼロ知識証明で用いられるチャレンジのための空間を意味するものとし、ｐをどの｜Ｃ_ｉ｜よりも小さな、最も大きい素数とし、Ｈを｜ｐ｜−１ビット出力のハッシュ関数とする。また、添え字のｉが、Ｌ中のｉ番目の署名権能者に対応することを意味することは、以下のその他の表記についても同様である。また、署名者は、Ｌに含まれる公開鍵ｐｋ_ｉに対応する秘密鍵ｓｋ_ｉのうち、ｋ個の秘密鍵ｓｋ_ｉを知るものとする。すなわち、このｋ個の秘密鍵ｓｋ_ｉに対応する署名権能者が署名に協力し、それぞれの秘密鍵ｓｋ_ｉを署名者に提供しているものとする。ここで、Ｑ⊆［１，…．，ｎ］を、署名者が知っている秘密鍵ｓｋ_ｉに対応する識別子ｉ（署名に協力した署名権能者に対応する識別子ｉ）の集合とし、｜Ｑ｜＝ｋと定義する。
【０００６】
署名者は、以下の手順で文書ｍに対する署名を生成する。
１．集合Ｑに属さない識別子ｉに対応する処理
▲１▼ｓ_ｉ←Ｓ_ｉ
▲２▼ｃ_ｉ←Ｃ_ｉ
▲３▼ａ_ｉ：＝Ｖ_ｉ（ｐｋ_ｉ，ｓ_ｉ，ｃ_ｉ）
２．集合Ｑに属する識別子ｉに対応する処理
▲１▼ｒ_ｉ←Ｚ_ｑ
▲２▼ａ_ｉ：＝Ａ_ｉ（ｓｋ_ｉ，ｒ_ｉ）
３．上記手順で求めた全てのａ_ｉ［ｉ＝１，．．．，ｎ］を用い、ｃ_０：＝Ｈ（Ｌ‖ｋ‖ａ_１‖…‖ａ_ｎ‖ｍ）を求める。
４．上記手順（１．▲２▼及び３）で求めた全てのｃ_ｉ（ｃ_０を含む）に対して、（ｉ，ｃ_ｉ） を（Ｘ，Ｙ）平面上の点と見なし、これら全ての点（ｉ，ｃ＃ｉ）を通るｎ−ｋ次の一変数多項式Ｐ（Ｘ）∈Ｚ_ｐ［Ｘ］^ｎ−ｋを求める。
５．集合Ｑに属する識別子ｉに対し、ｓ_ｉ＝Ｚ_ｉ（ｓｋ，ｒｉ，Ｐ（ｉ））を実行する。
６．上記手順（１．▲１▼及び５）で求めたｓ_ｉを用いて生成した（Ｐ’，ｋ，ｓ_１，…，ｓ_ｎ）を、（Ｌ，ｍ）に対する署名として出力する。なお、ここでＰ’は一変数多項式Ｐ（Ｘ）の全ての係数の並びを表す。
【０００７】
検証者は、以下の手順により、この（Ｌ，ｍ）に対する署名（Ｐ’，ｋ，ｓ_１，…，ｓ_ｎ）の正当性を検証する。
７．Ｐ’より一変数多項式Ｐ（Ｘ）∈Ｚ_ｐ［Ｘ］^ｎ−ｋを特定する。
８．Ｐ（０）＝Ｈ（Ｌ‖ｋ‖Ｖ_１（ｐｋ_１，ｓ_１，Ｐ（１））‖…‖Ｖ_ｎ（ｐｋ_ｎ，ｓ_ｎ，Ｐ（ｎ））‖ｍ）が成立すれば、正しい署名と認める。
以上説明したように、このｋ−ｏｕｔ−ｏｆ−ｎ匿名署名の場合、検証者は、署名（Ｐ’，ｋ，ｓ_１，…，ｓ_ｎ）の内容から、一変数多項式Ｐ（Ｘ）がｎ−ｋ次式であることをｋの値とともに知ることができる。そのため、この検証者は、署名者がｃ_ｉ及びｓ_ｉの値を自由に調整できるのは高々ｎ−ｋ個までであり、それ以外のｓ_ｉを含めた検証が成立するということは、少なくともｋ個の正当な秘密鍵を用いて署名がなされていることが分かる。一方、署名（Ｐ’，ｋ，ｓ_１，…，ｓ_ｎ）には、どの識別子ｉに対応する秘密鍵ｓｋ_ｉが使用されたかについての情報が一切含まれていない。従って、この検証者は、署名者がどの公開鍵ｐｋ_ｉに対応する秘密鍵ｓｋ_ｉを保持しているのかを見分けることができず、これにより署名の匿名性が確保される。
【０００８】
次に、従来の別の匿名署名方法について説明する。
Ｒｉｎｇ型匿名署名：
Ｒｉｎｇ型匿名署名は、ＲＳＡのような落とし戸付き一方向性関数に基づく鍵を扱う方法である（例えば、非特許文献２参照。）。
なお、以下の説明では、入出力域Ｃ_ｐを持つｎ個の落とし戸付き一方向性置換関数をＦ_ｐｋ０，…，Ｆ_{ｐｋ（ｎ−１）}とし、Ｉ_ｓｋ０，…，Ｉ_{ｓｋ（ｎ−１）}をこれらに対応する逆置換関数とし、ｐｋ_ｉ，ｓｋ_ｉを識別子ｉに対応する署名権能者の公開鍵、秘密鍵とする。ここで、公開鍵ｐｋ_ｉを知るものは誰でも、入力ｘに対してＦ_ｐｋｉ（ｘ）を容易に計算でき、落とし戸情報（秘密鍵）ｓｋ_ｉを知る者は誰でも入力ｙに対してＩ_ｓｋｉ（ｙ）を計算することができるが、ｓｋ_ｉを知らない場合にはＩ_ｓｋｉ（ｙ）を計算することが困難であるものとする。以下では，このような公開鍵を「落とし戸型」と呼ぶことにする。また、ｎは十分大きい（例えば、１０２４程度） ものとし、Ｈをハッシュ関数、Ｅ_Ｋ，Ｄ_Ｋを、それぞれ共通鍵をＫとする共通鍵暗号の暗号化関数、復号関数とし、ａ（ＸＯＲ）ｂをａとｂとのビット毎排他的論理和とする。
【０００９】
図１６は、このＲｉｎｇ型署名方法を説明するための概念図である。
ここでは識別子ｉに対応する署名権能者の秘密鍵ｓｋ_ｉを用いて署名を生成するものとする。以下にこの署名作成手順を説明する。
１．Ｋ：＝Ｈ（ｍ）
２．ｚ_０←Ｃを生成する。
３．ｊ＝０，…，ｉ−１まで以下を繰り返す。
（ａ）ｓ_ｊ←Ｃ
（ｂ）ｙ_ｊ：＝Ｆ_ｐｋｉ（ｓ_ｊ）
（ｃ）ｚ’_ｊ：＝ｚ_ｊ（ＸＯＲ）ｙ_ｊ
（ｄ）ｚ_ｊ＋１：＝Ｅ_{Ｋ（ｚ’ｊ）}
すなわち、まず初期値ｚ_０とＦ_ｐｋ０（ｓ_０）とのビット毎排他的論理和（３０１ａ）をとり、その結果ｚ’_０を暗号化関数Ｅ_Ｋで暗号化（３０１ｂ）したものをｚ_１とし、次に、このｚ_１とＦ_ｐｋ１（ｓ_１）とのビット毎排他的論理和（３０２ａ）をとり、その結果ｚ’_１を暗号化関数Ｅ_Ｋで暗号化（３０２ｂ）したものをｚ_２とし、さらにそのｚ_２とＦ_ｐｋ２（ｓ_２）とのビット毎排他的論理和（３０３ａ）をとるといった処理をｊ＝ｉ−１まで、すなわち、暗号化関数Ｅ_Ｋでの暗号化（３１０ｂ）まで繰り返し、その出力ｚ_ｉを求める。
４．ｚ_ｎ−１’：＝Ｄ_Ｋ（ｚ_０）
５．ｊ＝ｎ−１，…，ｉ＋１まで以下を繰り返す。
（ａ）ｓ_ｊ←Ｃ
（ｂ）ｙ_ｊ：＝Ｆ_ｐｋｉ（ｓ_ｊ）
（ｃ）ｚ_ｊ：＝ｚ_ｊ’（ＸＯＲ）ｙ_ｊ
（ｄ）ｚ_ｊ−１’：＝Ｄ_{Ｋ（ｚｊ）}
すなわち、初期値ｚ_０を復号関数Ｄ_Ｋで復号したｚ_ｎ−１’とＦ_{ｐｋ（ｎ−１）}（ｓ_ｎ−１）とのビット毎排他的論理和をとり、その結果ｚ_ｎ−１を復号関数Ｄ_Ｋで復号したｚ_ｎ−２’とＦ_{ｐｋ（ｎ−２）}（ｓ_ｎ−２）とのビット毎排他的論理和をとりといった処理を、ｊ＝ｉ＋１まで逆方向に繰り返していき、その出力ｚ_ｉ’を求める。
６．ｙ_ｉ：＝ｚ_ｉ（ＸＯＲ）ｚ’_ｉ
７．ｓ_ｉ：＝Ｉ_ｓｋｉ（ｙ_ｉ）
なお、このようなｓ_ｉを求めることができるのは、秘密鍵ｓｋ_ｉを知っている識別子ｉに対応する署名権能者のみである。
８．（ｚ_０，ｓ_０，ｓ_１，…，ｓ_ｎ−１）を文書ｍに対する署名として出力する。
【００１０】
検証者は、以下の手順により、この署名（ｚ_０，ｓ_０，ｓ_１，…，ｓ_ｎ−１）の正当性を検証する。
９．Ｋ：＝Ｈ（ｍ）
１０．ｊ＝０，…，ｎ−１まで以下を繰り返す。
▲１▼ｙ_ｊ：＝Ｆ_ｊ（ｓ_ｊ）
▲２▼ｚ’_ｊ：＝ｚ_ｊ（ＸＯＲ）ｙ_ｊ
▲３▼ｚ_ｊ＋１：＝Ｅ_Ｋ（ｚ’_ｊ）
すなわち、図１６における初期値ｚ_０に対し、前述したビット毎排他的論理和（３０１ａ）、暗号化（３０１ｂ）、ビット毎排他的論理和（３０２ａ）、暗号化（３０２ｂ）という処理を、暗号化（３２１ｂ）まで順次繰り返していく。
１１．その結果、ｚ_ｎ＝ｚ_０となれば署名が正当であると判断する。
つまり、上述のようにビット毎排他的論理和及び暗号化を繰り返していった結果、最終的にもとの初期値ｚ_０と同値となることは、通常、何れかの署名権能者の秘密鍵ｓｋ_ｉを用い上述した７．の処理が行われた場合に限られる。しかし、検証者はどの秘密鍵ｓｋ_ｉを用いてこの処理が行われたのかは知ることができない。これにより、署名者の匿名性を保持しつつ署名を行うことができる。
【００１１】
【非特許文献１】
Ｒｏｎａｌｄ Ｃｒａｍｅｒ， Ｉｖａｎ Ｄａｍｇａｒｄ， Ｂｅｒｒｙ Ｓｃｈｏｅｎｍａｋｅｒｓ， ”Ｐｒｏｏｆｓ ｏｆ Ｐａｒｔｉａｌ Ｋｎｏｗｌｅｄｇｅ ａｎｄ Ｓｉｍｐｌｉｆｉｅｄ Ｄｅｓｉｇｎ ｏｆ Ｗｉｔｎｅｓｓ Ｈｉｄｉｎｇ Ｐｒｏｔｏｃｏｌｓ”， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ’９４， Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ８３９， ｐｐ． １７４−１８７， Ｓｐｒｉｇｅｒ−Ｖｅｒｌａｇ， １９９４
【非特許文献２】
Ｒｏｎａｌｄ Ｌ．Ｒｉｖｅｓｔ， Ａｄｉ Ｓｈａｍｉｒ， Ｙａｅｌ Ｔａｕｍａｎ， ”Ｈｏｗ ｔｏ Ｌｅａｋ ａ Ｓｅｃｒｅｔ”， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＡＳＩＡＣＲＹＰＴ ２００１， Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ２２４８， ｐｐ．５５２−５６５， Ｓｐｒｉｇｅｒ−Ｖｅｒｌａｇ， ２００１
【００１２】
【発明が解決しようとする課題】
しかし、従来の匿名署名方法では、署名者が使用できる署名方式が限定されてしまうという問題点がある。
すなわち、従来のｋ−ｏｕｔ−ｏｆ−ｎ匿名署名の場合、使用できる署名方式は離散対数方の公開鍵を用いた方式のみであり、落とし戸型の公開鍵を用いた署名方式を使用することはできない。同様に、従来のＲｉｎｇ型匿名署名の場合、使用できるのは落とし戸型の公開鍵を用いた署名方式のみであり、離散対数方の公開鍵を用いた署名方式を用いることはできない。従って、例えば、離散対数型の署名或いは落とし戸型の署名しか行えない署名権能者が混在する場合、これら双方の署名権能者を当該匿名署名に参加させることはできない。
また、Ｒｉｎｇ型匿名署名の場合、真に署名に協力でき、それが立証される署名者は１人のみであり、ｋ−ｏｕｔ−ｏｆ−ｎ匿名署名のような閾値的な署名構造を採ることができない。そのため、検証者が署名から知ることができるのは、高々１人の署名権能者が署名に協力したことのみであり、検証者が確認可能な署名協力者数を増やし、この署名に対する信頼性を向上させることはできない。
【００１３】
この発明はこのような点に鑑みてなされたものであり、匿名署名に使用可能な署名方式の多様性を向上させつつ、署名協力者数の自由度をも確保することが可能な匿名署名装置を提供することを目的とする。
また、この発明の他の目的は、匿名署名に使用できる署名方式の多様性を向上させつつ、署名協力者数の自由度をも確保することが可能な署名検証装置を提供することである。
【００１４】
さらに、この発明の他の目的は、匿名署名に使用できる署名方式の多様性を向上させつつ、署名協力者数の自由度をも確保することが可能な匿名署名方法を提供することである。
また、この発明の他の目的は、匿名署名に使用できる署名方式の多様性を向上させつつ、署名協力者数の自由度をも確保することを可能とする機能をコンピュータに実行させるための匿名署名プログラムを提供することである。
さらに、この発明の他の目的は、匿名署名に使用できる署名方式の多様性を向上させつつ、署名協力者数の自由度をも確保することを可能とする機能をコンピュータに実行させるための署名検証プログラムを提供することである。
【００１５】
【課題を解決するための手段】
この発明では上記課題を解決するために、ｋ−ｏｕｔ−ｏｆ−ｎ匿名署名の構成において、少なくとも一部の署名権能者に対応する、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）をＡ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数とし、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）をＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）とし、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）をＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）とする。ここでは、識別子ｉに対応する落とし戸付き一方向性置換関数をＦ_ｉとし、二項演算ａ（＋）_ｉｂ及びａ（−）_ｉｂを（ａ（＋）_ｉｂ）（−）_ｉｂ＝ａを満たす演算とし、Ｆ_ｉの逆置換関数をＩ_ｉとしている。
これにより、従来離散対数型の署名方式しか用いることができなかったｋ−ｏｕｔ−ｏｆ−ｎ匿名署名において、落とし戸型の署名をも用いることが可能となり、匿名署名に使用できる署名方式の多様化を図ることができる。また、ｋ−ｏｕｔ−ｏｆ−ｎ匿名署名の構造をそのまま採ることができるため、閾値的な署名構造を採ることができ、署名に対する信頼性を向上させることも可能である。
【００１６】
【発明の実施の形態】
以下、この発明の実施の形態について説明する。なお、上述した従来の技術の説明において示した記法その他の定義は、以下の説明においても有効である。
この形態の匿名署名方式も従来のｋ−ｏｕｔ−ｏｆ−ｎ匿名署名と同様、ｐｋ_ｉを公開鍵、ｓｋ_ｉを秘密鍵とするとき、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）及び回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）が存在し、以下に示す３交信正直検証者ゼロ知識証明が構成されることを前提とする。
▲１▼証明者は、ランダムなｒ_ｉを選び、ａ＝Ａ_ｉ（ｓｋ_ｉ，ｒ_ｉ）を検証者へ送る。
▲２▼検証者は、ランダムにｃ_ｉを選び、証明者へ送る。
▲３▼証明者は、ｓ＝Ｚ_ｉ（ｓｋ_ｉ，ｒ_ｉ，ｃ_ｉ）を検証者へ送る。
▲４▼検証者は、ａ’＝Ｖ_ｉ（ｐｋ_ｉ，ｓ_ｉ，ｃ_ｉ）を計算し、ａ’＝ａならば受理する。そうでなければ拒否する。
ただし、この形態では、少なくとも一部の署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）としてＡ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数を採り、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）としてＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）ｃ）を採り、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）としてＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）を採る。ここで、Ｆ_ｉは識別子ｉに対応する入出力域Ｃ_ｉの落とし戸付き一方向性置換関数であり、Ｉ_ｉはＦ_ｉの逆置換関数であって、全てのｘ∈Ｃ_ｉに対してＩ_ｉ（Ｆ_ｉ（ｘ））＝ｘが成り立つものである。また、公開鍵ｐｋ_ｉを知るものは誰でも、入力ｘに対してＦ_ｉ（ｘ）を容易に計算でき、落とし戸情報（秘密鍵）ｓｋ_ｉを知る者は誰でも入力ｙに対してＩ_ｉ（ｙ）を計算することができるが、ｓｋ_ｉを知らない場合にはＩ_ｉ（ｙ）を計算することが困難であるものとする。また、Ｃ_ｉは、ｉ番目の公開鍵ｐｋ_ｉ（ｉ番目の署名権能者の公開鍵）に関するゼロ知識証明で用いられるチャレンジのための空間を意味するアーベル群である。さらに、二項演算ａ（＋）_ｉｂ及びａ（−）_ｉｂは、（ａ（＋）_ｉｂ）（−）_ｉｂ＝ａを満たす演算である。
【００１７】
次に、この形態の概略について説明する。
本形態の匿名署名システムは、匿名署名を生成する匿名署名装置、及び生成された匿名署名を検証する署名検証装置から構成される。
図１は、公知のコンピュータに所定のプログラムを実行させることによって構成される本形態の匿名署名装置１の概略を例示した機能ブロック図である。以下、この図１を用い、匿名署名装置１の概略構成及びその処理の概略について説明する。
〔事前処理〕
まず、匿名署名作成の事前処理として、少なくとも一部の署名権能者に対応する、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）としてＡ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数が、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）としてＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）が、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）としてＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）が、それぞれ関数メモリ２に格納される。なお、少なくとも一部の署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）を、ｒを出力する関数、すなわち、ｒ＝Ａ_ｉ（ｓｋ，ｒ）である関数としてもよい。これにより、署名作成時における演算処理を簡略化することができる。
【００１８】
〔署名作成処理〕
まず、各署名権能者の公開鍵ｐｋ_ｉをｎ個含む公開鍵リストＬ＝［ｐｋ_ｉ｜ｉ＝１，．．．，ｎ］、及び署名権能者のうち実際に署名に協力するｋ名分の署名者の秘密鍵ｓｋ_ｉを含む秘密鍵リストＫ＝［ｓｋ_ｉ｜ｉ⊆Ｑ］がレジスタ３に格納され、その後、各識別子（ｉ＝１，…，ｎ）に対し、以下の処理が行われる。なお、Ｑ⊆［ｉ＝１，．．．，ｎ］，｜Ｑ｜＝ｋは実際に署名に協力する署名者（匿名署名装置１に秘密鍵ｓｋ_ｉを提供し、匿名署名装置１が秘密鍵ｓｋ_ｉを知る署名権能者）に対応する識別子ｉの集合を意味する。
非署名者（署名権能者であるが実際には署名に協力しない者）の識別子ｉに対応する処理：
第１の任意数生成部４において、非署名者に対応する任意な数ｓ_ｉを生成し（ｓ_ｉ←Ｃ_ｉ）、その任意な数ｓ_ｉを擬似コミットメント作成部７及び署名出力部１５に送る。また、第２の任意数生成部５において、この非署名者に対応する任意な整数ｚ_ｉを生成し（ｚ_ｉ←Ｚ_ｐ）、その結果をハッシュ関数演算部６に送る。なお、ｐは、どの｜Ｃ_ｉ｜よりも小さな、最大の素数である。
この整数ｚ_ｉが送られたハッシュ関数演算部６は、送られた整数ｚ_ｉのハッシュ値ｃ_ｉ’を求め（Ｈ_ｉ（ｚ_ｉ））、そのハッシュ値ｃ_ｉ’を擬似コミットメント作成部７及び多項式算出部１１に送る。なお、Ｈは、｜ｐ｜−１ビット出力のハッシュ関数である。
【００１９】
次に擬似コミットメント作成部７は、レジスタ３からこの非署名者の公開鍵ｐｋ_ｉを抽出し（第１の公開鍵抽出手段に相当）、さらに、関数メモリからコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）を抽出する。なお、ここで抽出されるコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）は、識別子ｉに対応する署名権能者がどのような署名方式を用いるかによって異なるが、この署名権能者が落とし戸型の署名方式を採っていた場合、上述のＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）がコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として抽出されることになる。
その後、擬似コミットメント作成部７は、レジスタ３から抽出した公開鍵ｐｋ_ｉ、第１の任意数生成部４によって生成された任意な数ｓ_ｉ、及び第１のハッシュ関数演算部によって算出されたハッシュ値ｃ_ｉ’を、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）に代入し、その演算結果ａ_ｉを第２のハッシュ関数演算部１０に送る。
【００２０】
署名者（署名権能者であり実際に署名に協力する者）の識別子ｉに対応する処理：
まず、第３の任意数生成部８において任意な数ｒ_ｉを生成し、その任意な数ｒ_ｉをコミットメント作成部９及び回復演算部１４に送る。次に、コミットメント作成部９において、署名者に対応する秘密鍵ｓｋ_ｉをレジスタ３から抽出し（秘密鍵抽出手段に相当）、関数メモリ２からコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）を抽出する。なお、ここで抽出されるコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）は、識別子ｉに対応する署名権能者がどのような署名方式を用いるかによって異なるが、この署名権能者が落とし戸型の署名方式を採っていた場合、上述のＡ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数がコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）として抽出されることになる。その後、コミットメント作成部９は、抽出した秘密鍵ｓｋ_ｉ、及び第３の任意数生成部８によって生成された数ｒ_ｉを、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）に代入し、その演算結果ａ_ｉを第２のハッシュ関数演算部１０に送る。
【００２１】
全ての識別子（ｉ＝１，…，ｎ）に対応する処理：
第２のハッシュ関数演算部１０において、少なくとも擬似コミットメント作成部７による演算結果ａ_ｉとコミットメント作成部９における演算結果ａ_ｉとをビット結合し、そのビット結合結果のハッシュ値ｃ_０を求め、そのハッシュ値ｃ_０を多項式算出部１１に送る。多項式算出部１１は、署名権能者の人数をｎとし、署名者の人数をｋとし、第１のハッシュ関数演算部６において求められた全てのハッシュ値ｃ_ｉ’に対する（ｉ，ｃ_ｉ’）及び第２のハッシュ関数演算部１０において求められたハッシュ値ｃ_０に対する（０，ｃ_０）を（Ｘ，Ｙ）平面上の点とした場合における、これらの点全てを通るｎ−ｋ次の一変数多項式Ｐ（Ｘ）を算出する。算出された一変数多項式Ｐ（Ｘ）は第３のハッシュ関数演算部１３に送られ、この一変数多項式Ｐ（Ｘ） を特定するための多項式情報Ｐ’は署名出力部１５に送られる。一変数多項式Ｐ（Ｘ）が送られた第３のハッシュ関数演算部１３は、カウンタ１２において生成され、そこから送られた署名者に対応する識別子ｉを、この一変数多項式Ｐ（Ｘ）に代入し、その演算結果Ｐ（ｉ）のハッシュ値ｃ_ｉを求める。求められたハッシュ値ｃ_ｉは回復演算部１４に送られ、この回復演算部１４は、関数メモリ２から回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）を抽出する。なお、ここで抽出される回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）は、識別子ｉに対応する署名権能者がどのような署名方式を用いるかによって異なるが、この署名権能者が落とし戸型の署名方式を採っていた場合、上述のＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）が回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）として抽出されることになる。
次に回復演算部１４は、抽出した秘密鍵ｓｋ_ｉ、第３の任意数生成部８によって生成された数ｒ_ｉ、及び第３のハッシュ関数演算部１３によって求められたハッシュ値ｃ_ｉを、抽出した回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）に代入し、その演算結果ｓ_ｉを署名出力部１５に送る。そして、署名出力部１５は、少なくとも、多項式算出部１１によって算出された一変数多項式Ｐ（Ｘ）を特定するための多項式情報Ｐ’、第１の任意数生成部４によって生成された任意な数ｓ_ｉ、及び回復演算部による演算結果ｓ_ｉを署名σとして出力する。
【００２２】
図２は、公知のコンピュータに所定のプログラムを実行させることによって構成される本形態の署名検証装置２０の概略を例示した機能ブロック図である。以下、この図２を用い、署名検証装置２０の概略構成及びその処理の概略について説明する。
〔事前処理〕
まず、署名検証処理の事前処理として、少なくとも一部の署名権能者に対応するコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）としてＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）が関数メモリ２３に格納される。なお、少なくとも一部の署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）を、ｒを出力する関数とし、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）をＦ_ｉ（ｐｋ，ｓ）（−）_ｉｃとしてもよい。これにより、署名検証時における演算処理を簡略化することができる。
〔署名検証処理〕
まず、署名入力部２１において、匿名署名装置１から出力された多項式情報Ｐ’、及び署名情報ｓ_ｉを有する署名σの入力を受け付け、その多項式情報Ｐ’を多項式代入部２４に、署名情報ｓ_ｉをコミットメント回復部２５に送る。また、各署名権能者の公開鍵ｐｋ_ｉをｎ個含む公開鍵リストＬ＝［ｐｋ_ｉ｜ｉ＝１，．．．，ｎ］がレジスタ２２に格納される。なお、この公開鍵リストＬは、例えば、署名σとともに匿名署名装置１から出力されたものとする。
【００２３】
次に、多項式代入部２４においてレジスタ２２の公開鍵リストＬから識別子［ｉ＝１，．．．，ｎ］（各署名権能者に対応する識別子ｉ）を抽出し、それらを順次、多項式情報Ｐ’によって特定される一変数多項式Ｐ（Ｘ）に代入し、その代入結果のハッシュ値ｃ_ｉ’’＝Ｈ_ｉ（Ｐ（ｉ））をコミットメント回復部２５に送る。また、この一変数多項式Ｐ（Ｘ）は、多項式代入部２４から多項式評価部２７に送られる。
コミットメント回復部２５では、レジスタ２２から署名権能者の公開鍵ｐｋ_ｉを抽出し（公開鍵抽出手段に相当）、抽出した公開鍵ｐｋ_ｉ、署名入力部２１において入力された署名情報ｓ_ｉ、及び多項式代入部２４で求めたハッシュ値ｃ_ｉ’’を、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）に代入する。なお、このコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）は関数メモリ２３から抽出したものである。そして、この抽出されるコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）は、識別子ｉに対応する署名権能者がどのような署名方式を用いるかによって異なるが、この署名権能者が落とし戸型の署名方式を採っていた場合、上述のＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）がコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として抽出されることになる。
次に、ハッシュ関数演算部２６において、少なくとも、コミットメント回復部２５における代入結果をビット結合し、そのビット結合結果のハッシュ値ｈを多項式評価部２７に送る。このハッシュ値ｈが送られた多項式評価部２７は、このハッシュ値ｈと、多項式代入部２４から送られた一変数多項式Ｐ（Ｘ）に０を代入した結果とを比較し、これらが等しかった場合に、署名が正しいものと判断し、その検証結果を出力する。
【００２４】
次に、この形態の詳細について説明する。
図３は、この形態における匿名署名システム１００の全体構成を例示した概念図である。
図３に例示するように、この例の匿名署名システム１００は、匿名署名を生成する匿名署名装置１１０、及び送信された署名を検証する署名検証装置１３０によって構成され、これらはネットワーク１５０を介して通信可能なように接続されている。
図４は、この例の匿名署名装置１１０のハードウェア構成を例示したブロック図である。
図４に例示するように、この例の匿名署名装置１１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１０ａ、キーボード等の入力装置１１０ｂ、半導体メモリ等の記憶装置１１０ｃ、液晶ディスプレイ等の出力装置１１０ｄ、ネットワーク１５０との通信を可能にする通信制御装置１１０ｅ、及びこれらをデータのやり取りが可能なように接続するバス１１０ｆを有しており、記憶装置１１０ｃに記憶された所定のプログラムをＣＰＵ１１０ａで実行することにより、その処理機能を実現する。なお、ここでは説明を省略するが、署名権能者端末装置１０１〜１０３、及び署名検証装置１３０も匿名署名装置１１０と同様なハードウェア構成を採るものとする。
【００２５】
図５は、図４に例示したハードウェアにおいて所定のプログラムを実行させることにより実現される匿名署名装置１１０の機能構成を例示したブロック図であり、図６は関数メモリ１１１に記録される関数表２３０のデータ構成を、図７の（ａ）は、公開鍵リスト２１０のデータ構成を、（ｂ）は秘密鍵リスト２２０のデータ構成を、それぞれ例示した概念図である。また、図８は、図４に例示したものと同等なハードウェアにおいて所定のプログラムを実行させることにより実現される署名検証装置１３０の機能構成を例示したブロック図であり、図９は、関数メモリ１３１に記録される関数表２４０のデータ構成を例示した概念図である。さらに、図１０から図１５は、この形態における匿名署名の生成から、その検証までの処理を説明するためのフローチャートである。
【００２６】
以下、これらの図を用いて、本形態における匿名署名装置１１０及び署名検証装置１３０の機能構成及びその処理について説明していく。なお、以下では、離散対数を構成する群としてｐ_ｉを素数とする乗法群Ｚ_ｐｉを、また、落とし戸付き一方向性関数としてＲＳＡ演算を用いる場合を例にとって説明する。
〔事前処理〕
まず、匿名署名装置１１０に対する事前処理として、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）２０２、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）２０３、及び回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）２０４を、署名権能者が使用する公開鍵方式ｌ（ｉ）２０１に対応付けた関数表２００を関数メモリ１１１に格納する（図６）。
【００２７】
この例の場合、関数表２００には、公開鍵方式ｌ（ｉ）２０１として、公開鍵が離散対数型であることを示す記号「Ｄ」、及び公開鍵が落とし戸型であることを示す記号「Ｔ」が格納されている。そして、この記号「Ｄ」に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）２０２としてａ_ｉ＝ｇ_ｉ ^ｒｉｍｏｄ ｐ_ｉが、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）２０３としてａ_ｉ＝ｇ_ｉ ^ｓｉｙ_ｉ ^ｃｉｍｏｄ ｐ_ｉが、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）２０４としてｓ_ｉ＝ｒ_ｉ−ｃ_ｉｘ_ｉｍｏｄ ｑ_ｉが、記号「Ｔ」に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）２０２としてｒを出力する関数ａ_ｉ＝ｒ_ｉ（Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数に相当）が、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）２０３としてａ_ｉ＝ｓ_ｉ ^ｅｉｃ_ｉ ^−１ｍｏｄ Ｎ_ｉ（Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）に相当）が、及び回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）２０４としてｓ_ｉ＝（ｒ_ｉｃ_ｉ）^ｄｉｍｏｄ Ｎ_ｉ（Ｉ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）に相当）がそれぞれ格納されている。なお、ｐ_ｉ，ｑ_ｉは大きな素数であり、ｑ_ｉはｐ_ｉ−１を割り切るものとする。また、ｇ_ｉはｐ_ｉの位数ｑ_ｉの部分群の生成元であり、ｘ_ｉ∈Ｚ_ｑｉ，ｙ_ｉ＝ｇ_ｉ ^ｘｉｍｏｄ ｐ_ｉとする。さらに、Ｎ_ｉは２つの大きな素数の積であり、ｅ_ｉ，ｄ_ｉは、３≧ｅ_ｉ＜Ｎ_ｉ、及びｅ_ｉｄ_ｉ≡１ ｍｏｄφ（Ｎ_ｉ）を満たすものとする（φはオイラー関数）。
また、署名検証装置１３０に対する事前処理として、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）２４２を、署名権能者が使用する公開鍵方式ｌ（ｉ）２４１に対応付けた関数表２４０を関数メモリ１３１に格納する（図９）。
【００２８】
この例の場合、関数表２４０には、公開鍵方式ｌ（ｉ）２４１として、上述の記号「Ｄ」及び記号「Ｔ」が格納され、この記号「Ｄ」に対応するコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）２４２としてａ_ｉ＝ｇ_ｉ ^ｓｉｙ_ｉ ^ｃｉｍｏｄ ｐ_ｉが、記号「Ｔ」に対応するコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）２４２としてａ_ｉ＝ｓ_ｉ ^ｅｉｃ_ｉ ^−１ｍｏｄ Ｎ_ｉ（Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）に相当）がそれぞれ格納されている。
〔署名作成処理〕
署名の作成を行う場合、まず、匿名署名装置１１０の入力部１１４に、公開鍵リスト（Ｌ）２１０、秘密鍵リスト（Ｋ）２２０及び文書（ｍ）２３０が入力される（図３、図４、図７）。
図７の（ａ）に例示するように、この例の公開鍵リスト（Ｌ）２１０は、ｎ名の各署名権能者に対応する識別子（ｉ）２１１に、各署名権能者が使用する公開鍵方式（ｌ（ｉ））２１２及び公開鍵（ｐｋ_ｉ）２１２を対応付けた構成となっており、例えば、識別子１には、公開鍵方式（ｌ（１））＝Ｔ、及び公開鍵（ｐｋ_１）が、識別子２には、公開鍵方式（ｌ（２））＝Ｄ、及び公開鍵（ｐｋ_２）が、それぞれ対応付けられている。また、図７の（ｂ）に例示するように、この例の秘密鍵リスト（Ｋ）２２０は、実際に署名に協力するｋ名の署名者に対応する識別子（ｉ）２２１に、ｋ個の各署名者の秘密鍵（ｓｋ_ｉ）２２２を対応付けた構成となっており、例えば、インデックス２，３，５，７，８に対し、秘密鍵ｓｋ_２，ｓｋ_３，ｓｋ_５，ｓｋ_７，ｓｋ_８が対応付けられている。
【００２９】
なお、この例では、公開鍵方式（ｌ（ｉ））＝Ｄ（離散対数型）である場合には、公開鍵ｐｋ_ｉ＝（ｙ_ｉ，ｇ_ｉ，ｑ_ｉ，ｐ_ｉ）であり、秘密鍵ｓｋ_ｉ＝（ｘ_ｉ，ｇ_ｉ，ｑ_ｉ，ｐ_ｉ）あり、公開鍵方式（ｌ（ｉ））＝Ｔ（落とし戸型）である場合には、公開鍵ｐｋ_ｉ＝（ｅ_ｉ，Ｎ_ｉ）であり、秘密鍵ｓｋ_ｉ＝（ｄ_ｉ，Ｎ_ｉ）である。また、このように入力された公開鍵リスト（Ｌ）２１０、秘密鍵リスト（Ｋ）２２０及び文書（ｍ）２３０はレジスタ１１３に送られ、そこで格納される。
次に、素数生成部１１５において、ｐ≧ｍａｘ［ｓｉｚｅ（Ｃ_１），…，ｓｉｚｅ（Ｃ_ｎ）］となる素数ｐを生成する（ステップＳ１）。すなわち、Ｃ_ｉを公開鍵リストＬ中のｉ番目の公開鍵ｐｋ_ｉに関するゼロ知識証明で用いるチャレンジのための空間とした場合において、どの｜Ｃ_ｉ｜よりも多きな、最も小さい素数ｐを生成する。なお、素数ｐの生成は、例えばＲａｂｉｎ法等、非常に高い確率で素数となるような確率的素数生成方法を用いて行ってもよく、生成した素数ｐは、レジスタ１１３に送られて記録される他、任意数生成部１１７にも送られる。
【００３０】
次に、制御部１２８が保持するカウンタ（図示せず）のカウント値をｉ＝１とし（ステップＳ２）、このｉがｉ∈Ｑであるか否か判断する（ステップＳ３）。すなわち、制御部１２８において、レジスタ１１３から秘密鍵リスト２２０を抽出し、この秘密鍵リスト２２０の識別子２２１がｉを有する（ｉ∈Ｑ）か否か判断する。そして、ｉ∈Ｑであると判断された場合にはステップＳ１０の処理に進み、ｉ∈Ｑでないと判断された場合にはステップＳ４の処理に進む。例えば、この段階ではｉ＝１であり、このｉの値「１」は秘密鍵リスト２２０の識別子２２１に存在しないため、ｉ∈Ｑでないと判断され、ステップＳ４の処理へ進む。
ステップＳ４では、任意数生成部１１６において、任意な数ｓ_ｉ←Ｃ_ｉを例えばランダムに選び、その任意な数ｓ_ｉを擬似コミットメント作成部１１９に送る。また、任意数生成部１１７において、任意な整数ｚ_ｉ←Ｚ_ｐを例えばランダムに選び、選んだ整数ｚ_ｉをハッシュ関数演算部１１８に送る（ステップＳ５）。この整数ｚ_ｉが送られたハッシュ関数演算部１１８は、この整数ｚ_ｉのハッシュ値（ｃ_ｉ’＝Ｈ_ｉ（ｚ_ｉ））を計算し、そのハッシュ値ｃ_ｉ’を擬似コミットメント作成部１１９に送る（ステップＳ６）。なお、ここで処理を行っている識別子ｉに対応する公開鍵方式（ｌ（ｉ））がＤ（離散対数型）であった場合、この例のハッシュ関数Ｈ_ｉは｜ｑ_ｉ｜−１ビットの出力域を持つハッシュ関数である。具体的には、例えば、このｑ_ｉが１６１ビット以下の場合、１６０ビット出力のＳＨＡ−１関数を利用し、その出力のＬＳＢ側から｜ｑ_ｉ｜−１ビットをこのハッシュ値として利用する。一方、現在処理を行っている識別子ｉに対応する公開鍵方式（ｌ（ｉ））が鍵方式（ｌ（ｉ））＝Ｔ（落とし戸型）であった場合、この例のハッシュ関数Ｈ_ｉは、Ｚ_Ｎｉ＼［０］の出力値を持つハッシュ関数である。具体的には、例えば、Ｎ_ｉが１０２４ビットの場合（ＳＨＡ１（Ｎ_ｉ‖１）‖ＳＨＡ１（Ｎ_ｉ‖２）‖…‖ＳＨＡ１（Ｎ_ｉ‖＜１０２４／１６０＞＋１）ｍｏｄ Ｎ_ｉ‖１をハッシュ値として出力する。なお、Ｚ_Ｎｉ＼［０］とは、Ｚ_Ｎｉから０を除いた集合、すなわち、１以上Ｎ_ｉ未満の自然数の集合｛１，…，Ｎ_ｉ−１｝を意味し、＜１０２４／１６０＞は１０２４／１６０以上の最小の整数を意味する。
【００３１】
次に、擬似コミットメント作成部１１９において、レジスタ１１３から公開鍵ｐｋ_ｉを、関数型選択部１１２を介して関数メモリ１１１からコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）を、それぞれ取得し、ａ_ｉ＝Ｖ_ｉ（ｐｋ_ｉ，ｓ_ｉ，ｃ_ｉ）の演算を行う（ステップＳ７）。以下、図１４（ａ）のフローチャートを用い、この際行われるコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）の取得手順について説明する。
まず、制御部１２８から関数型選択部１１２に対し、処理中の識別子ｉの情報が送られる。この関数型選択部１１２は、落とし戸付き一方向性置換関数に基づく署名方式を採っている署名権能者に対応するコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）としてＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）を選択し、離散対数問題に基づく署名方式を採っている署名権能者に対応するコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として離散対数型の関数を選択する機能を有しており、この送られた識別子ｉの情報をもとにこの関数型の選択を行う。すなわち、関数型選択部１１２は、まず、レジスタ１１３から公開鍵リスト（Ｌ）２１０を抽出し、制御部１２８から送られた識別子ｉに対応する公開鍵方式（ｌ（ｉ））が離散対数型（Ｄ）であるか否かを判断する（ステップＳ６１）。
【００３２】
ここで、公開鍵方式（ｌ（ｉ））が離散対数型（Ｄ）であった場合、関数型選択部１１２は、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として離散対数型の関数であるａ_ｉ＝ｇ_ｉ ^ｓｉｙ_ｉ ^ｃｉｍｏｄ ｐ_ｉを選択し（ステップＳ６２）、公開鍵方式（ｌ（ｉ））が落とし戸型（Ｔ）であった場合には、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）としてＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）に相当するａ_ｉ＝ｓ_ｉ ^ｅｉｃ_ｉ ^−１ｍｏｄ Ｎ_ｉを選択する（ステップＳ６３）。そして、関数型選択部１１２は、この選択した関数を関数メモリ１１１から抽出し、擬似コミットメント作成部１１９に送る。
このようにコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）が送られた擬似コミットメント作成部１１９は、上述のように送られたｐｋ_ｉ，ｓ_ｉ，ｃ_ｉをこの関数に代入する（ａ_ｉ＝Ｖ_ｉ（ｐｋ_ｉ，ｓ_ｉ，ｃ_ｉ））。そして、この演算結果ａ_ｉはハッシュ関数演算部１２２に送られ、次のステップＳ８の処理に移る。
【００３３】
ステップＳ８では制御部１２８のカウント値ｉをｉ＝ｉ＋１とし、次のステップＳ９においてｉ＞ｎであるか否かを判断する。なお、このｎは、例えば、公開鍵リスト（Ｌ）２１０から取得した情報である。そして、ｉ＞ｎであると判断された場合には、ステップＳ１２に進み、そうでなければステップＳ３に戻る。
ステップＳ３においてｉ∈Ｑであると判断された場合、任意数生成部１２０は、任意な数ｒ_ｉ←Ｒ_ｉを例えばランダムに選択し、その任意な数ｒ_ｉをコミットメント作成部１２１及び回復演算部１２６に送る（ステップＳ１０）。なお、Ｒ_ｉはＬ中のｉ番目の公開鍵ｐｋ_ｉ（ｉ番目の署名権能者の公開鍵）に関するゼロ知識証明で用いられるレスポンスのための空間を意味する。
この任意な数ｒ_ｉを受け取ったコミットメント作成部１２１は、さらにレジスタ１１３から秘密鍵ｓｋ_ｉを、関数型選択部１１２を介して関数メモリ１１１からコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）を、それぞれ取得し、ａ_ｉ＝Ａ_ｉ（ｓｋ_ｉ，ｒ_ｉ）の演算を行う（ステップＳ１１）。以下、図１４（ｂ）のフローチャートを用い、この際行われるコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）の取得手順について説明する。
【００３４】
まず、制御部１２８から関数型選択部１１２に対し、処理中の識別子ｉの情報が送られる。この関数型選択部１１２は、落とし戸付き一方向性置換関数に基づく署名方式を採っている署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）として、Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数を選択し、離散対数問題に基づく署名方式を採っている署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）として、離散対数型の関数を選択する機能を有しており、この送られた識別子ｉの情報をもとにこの関数型の選択を行う。すなわち、関数型選択部１１２は、まず、レジスタ１１３から公開鍵リスト（Ｌ）２１０を抽出し、制御部１２８から送られた識別子ｉに対応する公開鍵方式（ｌ（ｉ））が離散対数型（Ｄ）であるか否かを判断する（ステップＳ７１）。
ここで、公開鍵方式（ｌ（ｉ））が離散対数型（Ｄ）であった場合、関数型選択部１１２は、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）として離散対数型の関数であるａ_ｉ＝ｇ_ｉ ^ｒｉｍｏｄ ｐ_ｉを選択し（ステップＳ７２）、公開鍵方式（ｌ（ｉ））が落とし戸型（Ｔ）であった場合には、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）として、Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数であるａ_ｉ＝ｒ_ｉを選択する（ステップＳ７３）。そして、関数型選択部１１２は、この選択した関数を関数メモリ１１１から抽出し、コミットメント作成部１２１に送る。
【００３５】
このようにコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）が送られたコミットメント作成部１２１は、上述のように送られたｓｋ_ｉ，ｒ_ｉをこの関数に代入する（ａ_ｉ＝Ａ_ｉ（ｓｋ_ｉ，ｒ_ｉ））。そして、この演算結果ａ_ｉはハッシュ関数演算部１２２に送られ、次のステップＳ８及びステップＳ９の処理に移る。
その後、同様にステップＳ３からステップＳ９の処理を繰り返し、ステップＳ９の判断においてｉ≦ｎとなった場合、次のステップＳ１２の処理に移る。
ステップＳ１２では、ハッシュ関数演算部１２２において、レジスタ１１３から公開鍵リストＬ、秘密鍵の個数ｋ、文書ｍ、及び素数ｐを取得し、これらと擬似コミットメント作成部１１９及びコミットメント作成部１２１から送られたａ_ｉをビット結合し、そのビット結合結果のハッシュ値（ｃ_０＝Ｈ（Ｌ‖ｋ‖ｐ‖ａ_１‖…‖ａ_ｎ‖ｍ）を演算する（ステップＳ１２）。そのハッシュ値ｃ_０は多項式算出部１２３に送られ、この多項式算出部１２３は、ハッシュ関数演算部１１８において求められた全てのハッシュ値ｃ_ｉ’に対する（ｉ，ｃ_ｉ’）及びハッシュ関数演算部１２２において求められたハッシュ値ｃ_０に対する（０，ｃ_０）を（Ｘ，Ｙ）平面上の点とした場合における、これらの点全てを通るｎ−ｋ次の一変数多項式Ｐ（Ｘ）∈Ｚ_ｐ［Ｘ］^ｎ−ｋを求める。この一変数多項式Ｐ（Ｘ）の算出は、例えば、Ｌａｇｒａｎｇｅ補完によって、
【数１】

を用いて求めることができる（ステップＳ１３）。ただし、ｉ−ｊが素数ｐを割り切る場合にはＰ（Ｘ）は求まらないため、この場合、ステップＳ１に戻って処理をやり直す。一方、Ｐ（Ｘ）が求まった場合には、求まった一変数多項式Ｐ（Ｘ）をハッシュ関数演算部１２５に送り、さらにこのＰ（Ｘ）を特定するための情報（例えば、Ｐ（Ｘ）の係数）Ｐ’を通信部１２７に送る。
【００３６】
次に、カウンタ１２４のカウント値ｉを１とし（ステップＳ１４）、このカウント値ｉがｉ∈Ｑであるか否かを判断する。ここでｉ∈Ｑでなかった場合、ステップＳ１９の処理に進む。一方、ｉ∈Ｑであった場合、ハッシュ関数演算部１２５において、カウンタ１２４から供給されたカウント値ｉを一変数多項式Ｐ（Ｘ）に代入（ｚ_ｉ＝Ｐ（ｉ））し（ステップＳ１６）、この代入結果ｚ_ｉのハッシュ値ｃ_ｉ＝Ｈ_ｉ（ｚ_ｉ）を計算して（ステップＳ１７）、その結果を回復演算部１２６に送る。
このハッシュ値ｃ_ｉを受け取った回復演算部１２６は、さらにレジスタ１１３から秘密鍵ｓｋ_ｉを、関数型選択部１１２を介して関数メモリ１１１から回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）を、それぞれ取得しｓ_ｉ＝Ｚ_ｉ（ｓｋ_ｉ，ｒ_ｉ，ｃ_ｉ）の演算を行う（ステップＳ１８）。以下、図１５のフローチャートを用い、この際行われる回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）の取得手順について説明する。
【００３７】
まず、制御部１２８から関数型選択部１１２に対し、処理中の識別子ｉの情報が送られる。この関数型選択部１１２は、落とし戸付き一方向性置換関数に基づく署名方式を採っている署名権能者に対応する回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）としてＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）を、離散対数問題に基づく署名方式を採っている署名権能者に対応する回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）として離散対数型の関数を選択する機能を有しており、この送られた識別子ｉの情報をもとにこの関数型の選択を行う。すなわち、関数型選択部１１２は、まず、レジスタ１１３から公開鍵リスト（Ｌ）２１０を抽出し、制御部１２８から送られた識別子ｉに対応する公開鍵方式（ｌ（ｉ））が離散対数型（Ｄ）であるか否かを判断する（ステップＳ８１）。
ここで、公開鍵方式（ｌ（ｉ））が離散対数型（Ｄ）であった場合、関数型選択部１１２は、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）として離散対数型の関数であるｓ_ｉ＝ｒ_ｉ−ｃ_ｉｘ_ｉｍｏｄ ｑ_ｉを選択し（ステップＳ８２）、公開鍵方式（ｌ（ｉ））が落とし戸型（Ｔ）であった場合には、Ｉ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）に相当するｓ_ｉ＝（ｒ_ｉｃ_ｉ）^ｄｉｍｏｄ Ｎ_Ｉを選択する（ステップＳ８３）。そして、関数型選択部１１２は、この選択した関数を関数メモリ１１１から抽出し、回復演算部１２６に送る。
このように回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）を受け取った回復演算部１２６は、上述のように受け取ったｓｋ_ｉ，ｒ_ｉ，ｃ_ｉをこの関数に代入する（ｓ_ｉ＝Ｚ_ｉ（ｓｋ_ｉ，ｒ_ｉ，ｃ_ｉ））。そして、この演算結果ｓ_ｉは通信部１２７に送られる。
【００３８】
次に、カウンタ１２４のカウント値ｉを１加算し（ステップＳ１９）、制御部１２８において、ｉ＞ｎであるか否かを判断する。ここで、ｉ＞ｎでなかった場合にはステップＳ１５に戻る。一方、ｉ＞ｎであった場合、通信部１２７によってレジスタ１１３から公開鍵リストＬ、秘密鍵の個数ｋ、文書ｍ、及び素数ｐを取得し、さらに、任意数生成部１１６や回復演算部１２６から送られたｓ_ｉ、多項式算出部１２３から送られたＰ’を用い、Ｌ、ｋ、ｍの署名σ＝（Ｐ’，ｐ，ｓ_１，…，ｓ_ｎ）を生成する（ステップＳ２１）。このように生成された署名σ＝（Ｐ’，ｐ，ｓ_１，…，ｓ_ｎ）は、Ｌ、ｋ、ｍとともにネットワーク１５０を介して署名検証装置１３０に送られる。
〔署名検証処理〕
まず、通信部１３４において、ネットワーク１５０を介して匿名署名装置１１０から送信されたＬ、ｋ、ｍとその署名σ＝（Ｐ’，ｐ，ｓ_１，…，ｓ_ｎ）を受信する。そして、受信したＬをレジスタ１３３に送って記憶させ、ｓ_１，…，ｓ_ｎをコミットメント回復部１３６に送り、Ｐ’を多項式代入部１３５及び多項式検証部１４０に送り、ｐ、Ｌ、ｋ、ｍをハッシュ関数演算部１３７に送る。次に、多項式検証部１４０において、取得したｐがｐ≧ｍａｘ［ｓｉｚｅ（Ｃ_１），…，ｓｉｚｅ（Ｃ_ｎ）］を満たすか否かを確認する。ここでｐ≧ｍａｘ［ｓｉｚｅ（Ｃ_１），…，ｓｉｚｅ（Ｃ_ｎ）］でなければ、署名を拒否して（ステップＳ３３）処理を終了する。一方、ｐ≧ｍａｘ［ｓｉｚｅ（Ｃ_１），…，ｓｉｚｅ（Ｃ_ｎ）］であれば、多項式検証部１４０において、受け取ったＰ’によって特定される一変数多項式Ｐ（Ｘ）の係数の数がｎ−ｋ＋１個以下であること、及びこの一変数多項式Ｐ（Ｘ）の全ての係数が０以上ｐ未満であることを確認する（ステップＳ３２）。以下、この多項式検証部１４０における処理を図１３のフローチャートを用いて説明する。
【００３９】
まず、一変数多項式Ｐ（Ｘ）の次数がｎ−ｋ以下であるか否か、すなわち一変数多項式Ｐ（Ｘ）の係数の数がｎ−ｋ＋１個以下であるか否かを判断し、この次数がｎ−ｋ以下であればステップＳ５３に進み、そうでなければ検証失敗として処理を終了する（ステップＳ５２）。次に、多項式検証部１４０が有する図示しないカウンタのカウント値ｊを０にリセットし（ステップＳ５３）、一変数多項式Ｐ（Ｘ）の一つの係数Ｐ’_ｊが０以上ｐ未満の整数であるか否か判断する（ステップＳ５４）。ここで、係数Ｐ’_ｊが０以上ｐ未満の整数であればカウント値ｊに１を加算し（ステップＳ５５）、そうでなければ検証失敗として処理を終了する。カウント値ｊの加算後（ステップＳ５５）、ｊ＞ｎ−ｋであるか否かを判断し（ステップＳ５６）、ｊ＞ｎ−ｋであった場合には検証成功として処理を終了する（ステップＳ５７）。
この検証が失敗した場合、署名を拒否して（ステップＳ３３）処理を終了し、成功した場合には、制御部１４１が有する図示していないカウンタのカウント値ｉを１にする（ステップＳ３４）。
次に、多項式代入部１３５において通信部からＰ’を取得し、これによって特定される一変数多項式Ｐ（Ｘ）に、制御部１４１から送られるカウント値ｉを代入し、その代入結果のハッシュ値ｃ_ｉ’’＝Ｈ_ｉ（Ｐ（ｉ））をコミットメント回復部１３６に送る（ステップＳ３５）。
【００４０】
また、関数型選択部１３２は、落とし戸付き一方向性置換関数に基づく署名方式を採っている署名権能者に対応するコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）としてＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）を選択し、離散対数問題に基づく署名方式を採っている署名権能者に対応するコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として離散対数型の関数を選択する機能を有しており、制御部１４１から送られたカウント値ｉを用い、使用する関数型の選択を行う。すなわち、関数型選択部１３２は、まず、受け取った公開鍵リスト（Ｌ）２１０を検索し、識別子ｉに対応する公開鍵方式（ｌ（ｉ））が離散対数型（Ｄ）であるか否かを判断する。ここで、公開鍵方式（ｌ（ｉ））が離散対数型（Ｄ）であった場合、関数型選択部１３２は、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として離散対数型の関数であるａ_ｉ＝ｇ_ｉ ^ｓｉｙ_ｉ ^ｃｉｍｏｄ ｐ_ｉを選択し、公開鍵方式（ｌ（ｉ））が落とし戸型（Ｔ）であった場合には、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）としてＡ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）に相当するａ_ｉ＝ｓ_ｉ ^ｅｉｃ_ｉ ^−１ｍｏｄ Ｎ_ｉを選択する。そして、関数型選択部１３２は、この選択した関数を関数メモリ１３１から抽出し、コミットメント回復部１３６に送る。
【００４１】
このコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）を受け取ったコミットメント回復部１３６は、これにｐｋ_ｉ，ｓ_ｉ，ｃ_ｉ’’を代入し、その演算結果ａ_ｉ’をハッシュ関数演算部１３７に送る（ステップＳ３６）。その後、制御部１４１のカウント値ｉを１加算し（ステップＳ３７）、その結果ｉ＞ｎとなったか否かを判断する（ステップＳ３８）。ここで、ｉ＞ｎとなっていない場合にはステップＳ３５の処理に戻り、ｉ＞ｎとなった場合には、ハッシュ関数演算部１３７において、Ｌ、ｋ、ｐ、ａ_１’，…，ａ_ｉ’、ｍをビット結合し、そのビット結合結果のハッシュ値ｚ_０’＝Ｈ（Ｌ‖ｋ‖ｐ‖ａ_１’‖…‖ａ_ｎ’‖ｍ）を求める（ステップＳ３９）。求められたハッシュ値ｚ_０’は多項式評価部１３８に送られ、多項式評価部１３８は、多項式代入部１３５から取得した一変数多項式Ｐ（Ｘ）に０を代入し（ステップＳ４０）、その代入結果ｚ_０とハッシュ値ｚ_０’が等しいか否かを判断する（ステップＳ４１）。ここで等しいと判断された場合、多項式評価部１３８は、その旨の情報（Ｇ）を出力部１３９に送り、出力部１３９は署名を受理する旨の検証結果を出力する（ステップＳ４２）。一方、等しくないと判断された場合には、多項式評価部１３８は、その旨の情報（ＮＧ）を出力部１３９に送り、出力部１３９は署名を拒否する旨の検証結果を出力する（ステップＳ４３）。
【００４２】
このように、本形態では、ｋ−ｏｕｔ−ｏｆ−ｎ匿名署名の構成において、少なくとも一部の署名権能者に対応する、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）をＡ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数とし、コミットメント回復関数を、二項演算ａ（＋）_ｉｂ及びａ（−）_ｉｂを（ａ（＋）_ｉｂ）（−）_ｉｂ＝ａを満たす演算とした場合における、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）とし、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）を、Ｆ_ｉの逆置換関数をＩ_ｉとした場合におけるＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）とすることとした。そのため、従来、離散対数型の署名方式しか用いることができなかったｋ−ｏｕｔ−ｏｆ−ｎ匿名署名において、落とし戸型の署名をも用いることが可能となり、匿名署名に使用できる署名方式の多様化を図ることが可能となった。また、ｋ−ｏｕｔ−ｏｆ−ｎ匿名署名の構造をそのまま採ることができるため、署名協力者数の多様性も確保できる。
さらに、この例では、関数型選択部１１２、１３２において、落とし戸付き一方向性置換関数に基づく署名方式を採っている署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）として、Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数を選択し、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）を選択し、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）としてＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）を選択し、離散対数問題に基づく署名方式を採っている署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）、及び回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）として、離散対数型の関数を選択することとした。落とし戸付き一方向性置換関数に基づく署名方式を採っている署名権能者、及び離散対数問題に基づく署名方式を採っている署名権能者双方を署名者に採りこむことができ、匿名署名の利便性及び信頼性を向上させることが可能となった。
【００４３】
また、少なくとも一部の署名権能者に対応するコミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）を、ｒを出力する関数とすることにより、演算処理を簡略化することが可能となった。
なお、この発明は上述の実施の形態に限定されるものではない。例えば、本形態では、離散対数を構成する群としてｐ_ｉを素数とする乗法群Ｚ_ｐｉを、また、落とし戸付き一方向性関数としてＲＳＡ演算を用いる場合を例にとって説明したが、離散対数問題を構成する群は、楕円曲線上の加法群をはじめ、その元を容易に標本できるような有限群であるならば、どのような群であってもよい。
また、本形態では、コンピュータ上で所定のプログラムを実行させることにより、匿名署名装置１、１３０及び署名検証装置２０、１３０を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
また、上述のように、この形態における処理機能は、コンピュータによって実現することができる。この場合、匿名署名装置１、１３０及び署名検証装置２０、１３０が有すべき機能の処理内容はプログラムによって記述され、このプログラムをコンピュータで実行することにより、上記処理機能をコンピュータ上で実現することができる。
【００４４】
また、この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）、ＤＶＤ−ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＣＤ−Ｒ（Ｒｅｃｏｒｄａｂｌｅ）／ＲＷ（ＲｅＷｒｉｔａｂｌｅ）等を、光磁気記録媒体として、ＭＯ（Ｍａｇｎｅｔｏ−Ｏｐｔｉｃａｌ ｄｉｓｃ）等を、半導体メモリとしてＥＰＲＯＭ（Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）等を用いることができる。
【００４５】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することしてもよく、さらに、コンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。
【００４６】
【発明の効果】
以上説明したようにこの発明では、少なくとも一部の署名権能者に対応する、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）を、Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数とし、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）を、識別子ｉに対応する落とし戸付き一方向性置換関数をＦ_ｉとし、二項演算ａ（＋）_ｉｂ及びａ（−）_ｉｂを（ａ（＋）_ｉｂ）（−）_ｉｂ＝ａを満たす演算とした場合における、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）とし、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）を、Ｆ_ｉの逆置換関数をＩ_ｉとした場合におけるＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）とした。これにより、離散対数型の署名方式に加え、落とし戸型の署名方式をも匿名署名に組み込むことが可能となり、匿名署名に使用できる署名方式の多様性を向上させることができる。また、従来のｋ−ｏｕｔ−ｏｆ−ｎ匿名署名に落とし戸型の署名方式を組み込むことができるため、従来のｋ−ｏｕｔ−ｏｆ−ｎ匿名署名と同様、署名協力者数の自由度を確保することができる。
【図面の簡単な説明】
【図１】匿名署名装置１の概略を例示した機能ブロック図。
【図２】署名検証装置の概略を例示した機能ブロック図。
【図３】匿名署名システムの全体構成を例示した概念図。
【図４】匿名署名装置のハードウェア構成を例示したブロック図。
【図５】匿名署名装置の機能構成を例示したブロック図。
【図６】関数メモリに記録される関数表のデータ構成を例示した概念図。
【図７】公開鍵リスト及び秘密鍵リストのデータ構成を例示した概念図。
【図８】署名検証装置の機能構成を例示したブロック図。
【図９】関数メモリに記録される関数表のデータ構成を例示した概念図。
【図１０】匿名署名の生成処理を説明するためのフローチャート。
【図１１】匿名署名の生成処理を説明するためのフローチャート。
【図１２】署名検証処理を説明するためのフローチャート。
【図１３】多項式検証部における処理を説明するためのフローチャート。
【図１４】関数型選択部における処理を説明するためのフローチャート。
【図１５】関数型選択部における処理を説明するためのフローチャート。
【図１６】Ｒｉｎｇ型署名方法を説明するための概念図。
【符号の説明】
１、１１０ 匿名署名装置
２０、１３０ 署名検証装置
１１２、１３２ 関数型選択部
２００ 関数表
２１０ 公開鍵リスト

Claims (9)

1. 署名権能者であるが実際には署名に協力しない非署名者に対応する任意な数ｓ_ｉを生成する（ｉは各署名権能者に対応する識別子。以下同様。）第１の任意数生成手段と、
   上記非署名者に対応する任意な整数ｚ_ｉを生成する第２の任意数生成手段と、
   上記第２の任意数生成手段によって生成された上記整数ｚ_ｉのハッシュ値ｃ_ｉ’を求める第１のハッシュ関数演算手段と、
   上記非署名者の公開鍵ｐｋ_ｉを抽出する公開鍵抽出手段と、
   上記第１の公開鍵抽出手段で抽出された上記公開鍵ｐｋ_ｉ、上記第１の任意数生成手段によって生成された上記任意な数ｓ_ｉ、及び上記第１のハッシュ関数演算手段によって算出されたハッシュ値ｃ_ｉ’を、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）に代入する擬似コミットメント作成手段と、
   署名権能者であり実際に署名に協力する署名者に対応する任意な数ｒ_ｉを生成する第３の任意数生成手段と、
   上記署名者に対応する秘密鍵ｓｋ_ｉを抽出する秘密鍵抽出手段と、
   上記秘密鍵抽出手段において抽出された上記秘密鍵ｓｋ_ｉ、及び上記第３の任意数生成手段によって生成された上記任意な数ｒ_ｉを、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）に代入するコミットメント作成手段と、
   少なくとも上記擬似コミットメント作成手段による演算結果と上記コミットメント作成手段における演算結果とをビット結合し、そのビット結合結果のハッシュ値ｃ_０を求める第２のハッシュ関数演算手段と、
   上記署名権能者の人数をｎとし、上記署名者の人数をｋとし、上記第１のハッシュ関数演算手段において求められた全ての上記ハッシュ値ｃ_ｉ’に対する（ｉ，ｃ_ｉ’）及び上記第２のハッシュ関数演算手段において求められた上記ハッシュ値ｃ_０に対する（０，ｃ_０）を（Ｘ，Ｙ）平面上の点とした場合における、これらの点全てを通るｎ−ｋ次の一変数多項式Ｐ（Ｘ）を算出する多項式算出手段と、
   上記署名者に対応する上記識別子ｉを、上記多項式算出手段において算出された上記一変数多項式Ｐ（Ｘ）に代入し、その演算結果Ｐ（ｉ）のハッシュ値ｃ_ｉを求める第３のハッシュ関数演算手段と、
   上記秘密鍵抽出手段において抽出された上記秘密鍵ｓｋ_ｉ、上記第３の任意数生成手段によって生成された上記任意な数ｒ_ｉ、及び上記第３のハッシュ関数演算手段によって求められた上記ハッシュ値ｃ_ｉを、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）に代入する回復演算手段と、
   少なくとも、上記多項式算出手段によって算出された上記一変数多項式Ｐ（Ｘ）を特定するための多項式情報Ｐ’、上記第１の任意数生成手段によって生成された上記任意な数ｓ_ｉ、及び上記回復演算手段による演算結果ｓ_ｉを出力する署名出力手段と、
   を有し、
   少なくとも一部の上記署名権能者に対応する、上記コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）は、Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数であり、上記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）は、上記識別子ｉに対応する落とし戸付き一方向性置換関数をＦ_ｉとし、二項演算ａ（＋）_ｉｂ及びａ（−）_ｉｂを（ａ（＋）_ｉｂ）（−）_ｉｂ＝ａを満たす演算とした場合における、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）であり、上記回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）は、上記Ｆ_ｉの逆置換関数をＩ_ｉとした場合におけるＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）であること、
   を特徴とする匿名署名装置。
2. 落とし戸付き一方向性置換関数に基づく署名方式を採っている上記署名権能者に対応する前記コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）として、Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数を選択し、前記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）を選択し、前記回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）としてＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）を選択し、
   離散対数問題に基づく署名方式を採っている上記署名権能者に対応する前記コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）、前記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）、及び前記回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）として、離散対数型の関数を選択する関数型選択手段を、
   さらに有することを特徴とする請求項１記載の匿名署名装置。
3. 少なくとも一部の上記署名権能者に対応する前記コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）は、ｒを出力する関数であることを特徴とする請求項１或いは２の何れかに記載の匿名署名装置。
4. 匿名署名装置から出力された多項式情報Ｐ’、及び署名情報ｓ_ｉの入力を受け付ける署名入力手段と、
   上記署名入力部において入力された上記多項式情報Ｐ’によって特定される上記一変数多項式Ｐ（Ｘ）に、各署名権能者に対応する識別子ｉを代入し、そのハッシュ値ｃ_ｉ’’を求める多項式代入手段と、
   上記署名権能者の公開鍵ｐｋ_ｉを抽出する公開鍵抽出手段と、
   上記公開鍵抽出部によって抽出された上記公開鍵ｐｋ_ｉ、上記署名入力部において入力された上記署名情報ｓ_ｉ、及び上記多項式代入部で求めたハッシュ値ｃ_ｉ’’を、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）に代入するコミットメント回復手段と、
   少なくとも上記コミットメント回復手段における代入結果をビット結合し、そのビット結合結果のハッシュ値と、上記一変数多項式Ｐ（Ｘ）に０を代入した結果とが等しかった場合に、署名が正しいものと判断する多項式評価手段と、
   を有し、
   少なくとも一部の上記署名権能者に対応する、上記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）は、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）をＡ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数とし、上記識別子ｉに対応する落とし戸付き一方向性置換関数をＦ_ｉとし、二項演算ａ（＋）_ｉｂ及びａ（−）_ｉｂを（ａ（＋）_ｉｂ）（−）_ｉｂ＝ａを満たす演算とした場合における、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）であること、
   を特長とする署名検証装置。
5. 落とし戸付き一方向性置換関数に基づく署名方式を採っている上記署名権能者に対応する前記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）を選択し、
   離散対数問題に基づく署名方式を採っている上記署名権能者に対応する前記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）として、離散対数型の関数を選択する関数型選択手段を、
   さらに有することを特長とする請求項４記載の署名検証装置。
6. 少なくとも一部の上記署名権能者に対応する前記コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）は、ｒを出力する関数であることを特徴とする請求項４或いは５の何れかに記載の署名検証装置。
7. 匿名署名装置によって、
   上記署名権能者であるが実際には署名に協力しない非署名者に対応する任意な数ｓ_ｉを生成し（ｉは各署名権能者に対応する識別子。以下同様。）、
   上記非署名者に対応する任意な整数ｚ_ｉを生成し、
   生成された上記整数ｚ_ｉのハッシュ値ｃ_ｉ’を求め、
   上記非署名者の公開鍵ｐｋ_ｉを抽出し、
   抽出した上記公開鍵ｐｋ_ｉ、生成した上記任意な数ｓ_ｉ、及び算出した上記ハッシュ値ｃ_ｉ’を、コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）に代入し、
   署名権能者であり実際に署名に協力する署名者に対応する任意な数ｒ_ｉを生成し、
   上記署名者に対応する秘密鍵ｓｋ_ｉを抽出し、
   抽出した上記秘密鍵ｓｋ_ｉ、及び生成した上記任意な数ｒ_ｉを、コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）に代入し、
   少なくとも上記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）への代入結果と、上記コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）への代入結果とをビット結合し、そのビット結合結果のハッシュ値ｃ_０を求め、
   上記署名権能者の人数をｎとし、上記署名者の人数をｋとし、求められた全ての上記ハッシュ値ｃ_ｉ’に対する（ｉ，ｃ_ｉ’）及び上記ハッシュ値ｃ_０に対する（０，ｃ_０）を（Ｘ，Ｙ）平面上の点とした場合における、これら点すべて（ｉ，ｃ_ｉ’）を通るｎ−ｋ次の一変数多項式Ｐ（Ｘ）を算出し、
   上記署名者に対応する上記識別子ｉを、算出された上記一変数多項式Ｐ（Ｘ）に代入し、その演算結果Ｐ（ｉ）のハッシュ値ｃ_ｉを求め、
   抽出した上記秘密鍵ｓｋ_ｉ、生成した上記任意な数ｒ_ｉ、及び上記第３のハッシュ関数演算ステップによるハッシュ値ｃ_ｉを、回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）に代入し、
   少なくとも、算出した上記一変数多項式Ｐ（Ｘ）を特定するための多項式情報Ｐ’、生成した上記任意な数ｓ_ｉ、及び上記回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）への代入結果ｓ_ｉを出力し、
   署名検証装置によって、
   上記匿名署名装置から出力された上記多項式情報Ｐ’、上記任意な数ｓ_ｉ、及び上記代入結果ｓ_ｉの入力を受け付け、
   入力された上記多項式情報Ｐ’によって特定される上記一変数多項式Ｐ（Ｘ）に、上記識別子ｉを代入し、そのハッシュ値ｃ_ｉ’’を求め、
   上記署名権能者の公開鍵ｐｋ_ｉを抽出し、
   抽出した上記公開鍵ｐｋ_ｉ、入力された上記任意な数ｓ_ｉ或いは代入結果ｓ_ｉ、及び上記一変数多項式Ｐ（Ｘ）への上記識別子ｉの代入結果のハッシュ値ｃ_ｉ’’を、上記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）に代入し、
   少なくともこのコミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）への代入結果をビット結合し、そのビット結合結果のハッシュ値と、上記一変数多項式Ｐ（Ｘ）に０を代入した結果とが等しかった場合に、署名が正しいものと判断し、
   少なくとも一部の上記署名権能者に対応する、上記コミットメント作成関数Ａ_ｉ（ｓｋ，ｒ）は、Ａ_ｉ（ｓｋ，ｒ）＝Ａ_ｉ（ｐｋ，ｒ）となる関数であり、上記コミットメント回復関数Ｖ_ｉ（ｐｋ，ｓ，ｃ）は、上記識別子ｉに対応する落とし戸付き一方向性置換関数をＦ_ｉとし、二項演算ａ（＋）_ｉｂ及びａ（−）_ｉｂを（ａ（＋）_ｉｂ）（−）_ｉｂ＝ａを満たす演算とした場合における、Ａ_ｉ（ｐｋ，Ｆ_ｉ（ｐｋ，ｓ）（−）_ｉｃ）であり、上記回答作成関数Ｚ_ｉ（ｓｋ，ｒ，ｃ）は、上記Ｆ_ｉの逆置換関数をＩ_ｉとした場合におけるＩ_ｉ（ｓｋ，ｃ（＋）_ｉｒ）であること、
   を特長とする匿名署名方法。
8. 請求項１から３の何れかに記載された匿名署名装置としてコンピュータを機能させるための匿名署名プログラム。
9. 請求項４から６の何れかに記載された署名検証装置としてコンピュータを機能させるための署名検証プログラム。

Images