JP2005167967A - 匿名通信方法 - Google Patents

Abstract

【課題】送信者のプライバシを保護し、匿名性を悪用した利用者の不正操作を防止することが可能な匿名通信方法を提供する。
【解決手段】 送信端末は、受信端末と通信する際に認証サーバを介し、認証サーバは送信端末の利用者情報の暗号文を生成し、その暗号文を送信端末から送信された本文と共に受信端末に送信し、受信端末は、当該匿名利用者の不正操作があった場合、暗号文の復号権限を持つ第三者機関に利用者情報を含む暗号文を提示して、利用者情報の開示を依頼し、第三者機関端末は受信端末の開示要求に応じて暗号文を復号することで、通常時は、送信端末は利用者情報を与える事無く匿名で受信端末と通信できるが、利用者が不正操作を行えば利用者情報を開示されることから、匿名性を悪用した不正操作を防止できる。
【選択図】図１

Description

この発明は、暗号、署名技術を利用した、暗号応用プロトコルに関する新規技術であり、送信者のプライバシを保護し、また匿名性を悪用した利用者の不正操作を防止する匿名通信方法に関する。

（１）従来より、受信端末に送信された情報を元に、送信端末、受信端末を繋ぐ通信路を中継するＩＳＰサーバやプロキシサーバの管理者に対して、不正処理を働いた送信端末の情報開示を求め、不正利用者を特定する方法が執られている。
（２）一方、匿名プロキシと呼ばれるサーバサービスは、当該通信路を中継し、送信元の装置のＩＰアドレスを取り除いて本文のみを受信端末或いは他の匿名プロキシに転送する機能を有し、当該通信路において後段にある各種装置に対して匿名性を高める技術を用いている。
（３）更に、オニオンルーティングと呼ばれる技術は、当該通信路に多段の匿名プロキシを中継させ、その個々の中継プロキシのアドレスを各々層状に暗号化することで全体の通信経路を秘匿とする技術として知られ、これにより送信端末がどの受信端末と通信しているかの特定をネットワーク監視サーバ（盗聴等も含む）に対しても困難とする効果がある（非特許文献１）。
P.F.Syverson, D.M.Goldschlag, and M.G.Reed"Anonymous connections and onion routing," In Proc. of the 1997 IEEE Symposium on Security and Privacy, IEEE Press, pp. 44-54, May. 1997

（１）は基本的にＩＳＰサーバ或いはプロキシサーバに対して送信端末の利用者及び当該受信端末のアドレスが知られることになり、通信ログの漏洩等プライバシの問題が懸念される。一方、（２）は匿名プロキシを多段にすればするほど匿名性は高まるが、その場合不正利用者を特定するためには受信端末を起点に各匿名プロキシの管理者に開示請求していく必要があり、処理が複雑な上、一つでも匿名プロキシの通信ログが紛失すれば不正利用者の特定が困難となる。また、全ての匿名プロキシが通信ログを管理することも運用上大きな負担になりかねない。（３）は構成上（２）と同様とすることもできるが、本来はポータルサーバがその先の通信経路（中継する匿名プロキシ）を決定する方式であり、結局（１），（２）何れかの問題は避けられない。また（１）〜（３）では何れも、不正利用者を特定するためには少なくとも送信端末、受信端末を繋ぐ通信路を中継するサーバの情報開示が必要となり、一般に開示の可否は法律に委ねられることが多く、開示制御に対して柔軟性があまり無いといえる。特に海外の匿名プロキシを利用している場合等、法律に委ねても開示の可否決定が困難な状況が起こり得る。

この発明が解決しようとする課題は、利用者のプライバシを高いレベルで保護するために、送信端末の通信ログは集中管理されること無く、且つ送信端末がどの受信端末と通信したかを誰にも知られること無く、一方で匿名性を悪用した利用者の不正操作を防止することと開示制御を柔軟にすることを目的とし、事前に承認された第三者機関の一定数以上が合意した場合に限り、当該不正利用者の特定が可能となる技術を提供することである。
更に、送信者の属する組織の内部の者は当該送信者を特定して通信内容を確認することができるが、当該組織の外部の者には匿名性を保持することができる匿名通信方法を提供する。

この発明は、送信端末は利用者情報を与えること無く匿名で受信端末と通信可能な匿名通信方法において、送信端末は、現在送信端末を操作している利用者情報に対する暗号文を生成し、当該暗号文を本文と共に受信端末に送信し、受信端末は、当該匿名利用者の不正操作があった場合、利用者情報に対する暗号文の復号権限を持つ第三者機関に当該暗号文を提示して、当該利用者情報の開示を依頼し、第三者機関端末は受信端末の開示要求に応じて当該暗号文を復号することで、通常時は、送信端末は利用者情報を与えること無く匿名で受信端末と通信できるが、利用者が不正操作を行えば当該利用者情報を開示されることから、匿名性を悪用した不正操作も防止される。

詳細には、利用者は先ず認証サーバに対して利用者の登録情報の登録手続きを正しく行う。これは利用者がオフラインで認証サーバ管理者に対して身元証明を行う等によって実現されるものとする。また、単一または複数の第三者機関を事前に設定しておき、そのうちの一定数以上の第三者機関が合意した場合のみ、匿名の利用者の利用者情報を開示できるように、当該第三者機関が協力して、各自の端末を操作し公開鍵暗号の公開鍵及び秘密鍵を生成しておく。そして送信端末、受信端末間による通信時には、利用者のプライバシを保護するために、送受信間端末間に一台以上のプロキシサーバを中継させる。そして各中継サーバ及び受信端末に対して、当該通信路内において隣接するサーバ或いは端末以外のアドレスを秘匿とするため、送信端末は各中継サーバ及び受信端末のアドレスを前段に隣接する中継サーバの公開鍵で個別に層状に暗号化する。このオニオンルーティングと呼ばれる、通信路内の装置のアドレスを層状に暗号化する技術を用いることで、各装置が自身の秘密鍵で暗号文を復号すれば別の暗号文及びそれを送信する送信先アドレスのみが得られるようになり、送信端末、受信端末を繋ぐ通信路全体を知ることは通信路内の装置であっても困難とできる。一方、利用者の不正操作等、特別な事情に限り当該利用者情報を開示可能とするために、認証サーバが保有する利用者情報を当該第三者機関端末の公開鍵で暗号化した暗号文を、正しく受信端末に送信されるように、当該通信路内の各装置は署名を用いることで送信及び受信の事実を否認できないようにする。これにより、受信端末は当該暗号文を第三者機関に提示し、一定数以上の第三者機関が合意すれば、当該第三者機関は各自の端末を操作して暗号化された利用者情報を復号し、当該利用者情報を開示することができる。

そして、送信端末が利用者情報を与えることなく匿名で受信端末と通信可能な匿名通信方法において、送受信端末を中継する匿名通信集約装置が送受信端末を識別するアドレスを暗号化することにより、送信端末が接続されたネットワークの外部では、送信端末の特定することおよび送信端末が接続されたネットワークを特定することをできなくする匿名通信方法を構成した。

この発明の匿名通信方法によれば、利用者が不正操作を働かない限りは、送信端末、受信端末を繋ぐ通信路を中継する全てのサーバの管理者の結託、或いは一定数以上の第三者機関の結託が無い限り、利用者が送信端末を用いてどの受信端末と通信したかを知ることは困難とでき、更に匿名性を悪用した利用者の不正操作を防止するために、事前に承諾された一定数以上の第三者機関が合意した場合に限り、利用者情報を開示することができる。
ところで、以上の匿名通信方法は、送信者を受信者或いは第三者が特定することができない通信方法であり、送信者の属する組織の内部の者ですら送信者を特定して通信を確認することができないが、この発明の他の匿名通信方法によれば、送信者の属する組織の内部の者は当該送信者を特定して通信内容を確認することができるが、当該組織の外部の者には匿名性を保持することができる。

（第１の実施の形態）
第１の実施の形態の匿名通信システムを図１に示す。
ＬＡＮ内の送信端末がプロキシサーバ、ＩＳＰサーバを中継してインターネット上の認証サーバに接続し、送信端末は認証サーバから認証を受けた後に今度はプロキシサーバ、ＩＳＰサーバを中継してオークションＷｅｂサイトにアクセスする例、そして当該送信端末の利用者が、落札したにも関わらず出鱈目の名前や住所を提示していたとして、オークションＷｅｂサイト管理者から当該不正利用者の利用者情報の開示要求を受けた複数の第三者機関が協力して、当該不正利用者の利用者情報を開示する例について、図面を用いて詳細に説明する。

この実施の形態における匿名通信方法（事前処理）を図２に示す。
第三者機関Ａが用いる第三者機関端末Ａは先ず事前処理として、公開鍵暗号の公開鍵、秘密鍵の組（PK_A，SK_A）を生成し、インターネット上に配置された、記憶領域への読み書きが誰でも可能だが、消去、書き換えはできないような情報公開サーバに、自身の公開鍵PK_Aをアップロードする。但しＰＫＩ(public key infrastructure)を仮定する等して、情報公開サーバの記憶領域に書き込まれた公開鍵が、誰のものであるか正しく表示される手段を有するものとする。同様に第三者機関端末Ｂも公開鍵、秘密鍵の組（PK_B，SK_B）を生成し、情報公開サーバに自身の公開鍵PK_Bをアップロードする。第三者機関としては、ここでは具体的に定めないが、例えば第三者機関Ａを公的な消費者保護機関、第三者機関Ｂを法律系のサービス事業機関とするなど、なるべく社会的に認可されやすく、且つ異業種とすることが、結託の可能性の観点から望ましい。また、認証サーバは先ず事前処理として、デジタル署名の署名生成鍵、署名検証鍵（sk，vk）を生成し、情報公開サーバに自身の署名検証鍵vkをアップロードする。
一方、利用者は先ず事前処理として認証サーバ管理者に対しオフラインで身元証明を行う等、正しく身元確認し、認証サーバ管理者は確認ができたらユーザＩＤ及びパスワードを利用者に発行する。

この実施の形態における匿名通信方法（送信端末のＷｅｂサイトアクセス）を図３に示す。
次に利用者の用いる送信端末がオークションＷｅｂサイトにアクセスする手順について説明する。
今、送信端末はＬＡＮに繋がっており、専用線でＩＳＰサーバと結ばれたＬＡＮ内のプロキシサーバを中継してインターネット上の各種サーバにアクセスできるものとする。そして先ず送信端末はインターネット上の当該認証サーバにアクセスし、利用者がブラウザ上に入力したユーザＩＤ及びパスワードを認証サーバに送信する。この際パスワード等の秘密情報の盗聴を防ぐために、ＳＳＬ(secure sockets layer)プロトコル等を用いて通信路は暗号化されているものとする。

認証サーバはＤＢに格納されたユーザＩＤから利用者の身元を確認し、パスワードが正しい場合は当該利用者の名前，住所等からなる利用者情報UIを第三者機関端末Ａ，Ｂの公開鍵で多重に暗号化した暗号文C＝E（E（UI，PK_A），PK_B）、そしてC及び現在時刻TSのデータ連結C||TSに対する認証サーバの署名σ＝S（C||TS，sk）を生成し、（C，TS，σ）を送信端末に返信する。ここで、E，Sはそれぞれ公開鍵暗号の暗号化関数、デジタル署名の署名生成関数とする。また、PK_A，PK_Bは情報公開サーバから予めダウンロードしているものとし、暗号アルゴリズム、署名アルゴリズムの選定も情報公開サーバに書き込まれており、この発明におけるシステム全体で共通とする。

（C，TS，σ）を受け取った送信端末は、先ず情報公開サーバから認証サーバの署名検証鍵vkをダウンロードし、（C||TS）＝V（σ，vk）が成り立つ、即ち正しく署名されていることを確認する。ここでVはデジタル署名の署名検証関数とする。そしてオークションＷｅｂサイトへ送信するメッセージmsgに（C，TS，σ）を添付してオークションＷｅｂサイトへ送信する。一方、上記確認事項が不正な場合は認証サーバにエラー報告する等して対処する。
（msg，C，TS，σ）を受け取ったオークションＷｅｂサイトは、先ず（C||TS）＝V（σ，vk）が成り立つことを確認する。ここでvkは情報公開サーバから予めダウンロードしているものとする。そしてTSが有効期限内であることを確認する。ここでTSを付加する理由は、単にσ＝S（C，sk）としただけでは（C，σ）が漏洩した場合になりすましが可能となってしまうためである。上記二つの確認事項の少なくとも一つが不正であった場合はアクセスを拒絶する。

以上によりmsgを受け取ったオークションＷｅｂサイトは、その後msgで要求されたイベントを通常のＷｅｂ通信同様に実行していく。
次に当該送信端末の利用者が、落札したにも関わらず出鱈目な名前や住所を提示していたとして、当該不正利用者の利用者情報を開示する手順について説明する。
この実施の形態における匿名通信方法（利用者情報開示）を図４に示す。
利用者情報を開示する処理は、インターネット上に配置された、各種Ｗｅｂサイト及び第三者機関端末のみその記憶領域への読み書きが可能な開示サーバ上で行われるものとする。ここで、開示サーバも情報公開サーバ同様に、開示サーバの記憶領域に書き込まれた全てのデータが、誰により書き込まれたものかを特定する手段を有するものとする。

先ずオークションＷｅｂサイトは、匿名の利用者が不正操作を行った証拠cheat、及び（C，TS，σ）を開示サーバにアップロードする。続いて第三者機関Ｂが開示サーバにアクセスして（cheat，C，TS，σ）をダウンロードし、cheatを不正と判断し、且つ署名の有効性が示された場合のみ、第三者機関端末Ｂから自身の秘密鍵SK_Bを用いてCを復号した結果、即ちE（UI，PK_A）＝Ｄ（C，SK_A）を生成し、これを開示サーバにアップロードする、ここでＤは公開鍵暗号の復号関数とする。同様に第三者機関Ａが開示サーバにアクセスして（cheat，E（UI，PK_A），TS，σ）をダウンロードし、cheatを不正と判断し、且つ署名の有効性が示された場合のみ、第三者機関端末Ａから自身の秘密鍵SK_Aを用いてE（UI，PK_A）を復号した結果、即ちUI＝Ｄ（E（UI，PK_A），SK_A）を生成し、これを開示サーバにアップロードする。以上の手続きにより、当該不正利用者の利用者情報UIが開示サーバ上で開示されることになる。

（第２の実施の形態）
続いて第２の実施の形態について説明する。
第１の実施の形態では、（１）認証サーバとオークションＷｅｂサイトが結託すれば、（C，TS，σ）を元に、オークションＷｅｂサイトにアクセスした送信端末を操作していた利用者の利用者情報が開示可能となる。（２）第三者機関端末Ａ，Ｂの何れかが不正な復号結果を開示サーバにアップロードすることで、不正利用者の利用者情報が開示できなくなるだけでなく、どちらの第三者機関端末が不正処理を行ったか特定することが困難となる、ことから、（１）においては利用者の匿名性が、そして（２）においては不正利用者の匿名失効性が各種サーバ管理者の信頼性に大きく依存しているといえる。一方、この実施の形態は、上記２点を改善するアプローチとして位置づけることができる。

第２の実施の形態では、インターネットに直接接続された送信端末が、インターネット上の、認証サーバを備えるポータルサイトに接続し、送信端末はポータルサイト上で認証を受け、中継するプロキシサーバを決定し、当該中継プロキシサーバ及び利用先の匿名掲示板Ｗｅｂサイトに関する必要情報をポータルサイトから取得した後、当該匿名掲示板Ｗｅｂサイトにアクセスする例、そして当該送信端末の利用者が、ある個人の名誉を棄損する書き込みを当該匿名掲示板Ｗｅｂサイトに対して行ったとして、複数の機関が協力して当該不正利用者の利用者情報を開示する例について、図面を用いて詳細に説明する。

この実施の形態における匿名通信システムを図５に示す。
ここでは、検証可秘密分散と呼ばれる技術（文献２：岡本，山本「現代暗号」第１４．５節（pp.２１７，２１８），産業図書 参照）を用いて、第三者機関Ｘ，Ｙ，Ｚのうち二つ以上の機関が合意すれば、第三者機関端末Ｘ，Ｙ，Ｚをそれぞれ用いることで、正しく復号処理を行うことが可能な技術を例に用いて説明する。これにより、一つの機関が開示を拒否した場合においても任意の暗号文を正しく復号することが可能となる。なお、全体の第三者機関の数と、復号を可能とする合意数は、技術上問題なく可変とでき、任意数に設定できる。

この実施の形態における匿名通信方法（事前処理）を図６に示す。
第三者機関Ｘ，Ｙ，Ｚがそれぞれ用いる第三者機関端末Ｘ，Ｙ，Ｚは、先ず事前処理として、それぞれ秘密情報ｓ_X，ｓ_Y，ｓ_Zを生成し、次に各々の秘密情報を自分以外の第三者機関端末に分配する。この分配は、例えば第三者機関端末Ｘは、ｓ_Xからｓ_X,Y，ｓ_X,Zを生成し、第三者機関端末Ｙにｓ_X,Yを、第三者機関端末Ｚにｓ_X,Zをそれぞれ送信する。すると検証可秘密分散技術を用いれば、ｓ_X,Y或いはｓ_X,Zだけではｓ_Xに関する有意な情報を得ることはできないが、その両方を用いれば容易にｓ_Xが生成可能となる。また、検証可秘密分散技術では、分配された秘密情報（例えばｓ_X,Y及びｓ_X,Z）を明かすことなく、正しく秘密情報（例えばｓ_X）が復元可能であることを、分配された装置（例えば第三者機関Ｙ，Ｚ）に納得させることも可能となる。

次に第三者機関端末Ｘ，Ｙ，Ｚは、インターネット上に配置された、読み書きが誰でも可能な記憶領域を備えるポータルサイトの、記憶領域内のデータに含まれる、ある一方向性関数fをダウンロードしてそれぞれPK_X＝f（ｓ_X），PK_Y＝f（ｓ_Y），PK_Z＝f（ｓ_Z）を生成し、これらをポータルサイトにアップロードする。ここでfは一方向性関数であることから、例えばPK_XからS_Xを求めることは困難となり、他についても同様となる。そして更に、ある関数gも同様にポータルサイトからダウンロード可能なことで、公開鍵PK＝g（PK_X，PK_Y，PK_Z）を誰もが生成可能であるとする。ここでf，gの具体的な取り方については前記した文献２に記されていることから説明を省略する。

認証サーバを備える当該ポータルサイトは、第１の実施の形態同様、先ず事前処理として、デジタル署名の署名生成鍵、署名検証鍵の組（sk，vk）を生成し、誰もが読み書き可能な自身の記憶領域に自身の署名検証鍵vkを格納する。一方、利用者についても第１の実施の形態同様、先ず事前処理としてポータルサイト管理者に対しオフラインで身元証明を行う等、正しく身元確認し、ポータルサイト管理者は確認ができたらユーザＩＤ及びパスワードを利用者に対して発行する。
プロキシサーバはＮ台あるものとし、各プロキシサーバｉ（１≦ｉ≦Ｎ）は公開鍵暗号の公開鍵、秘密鍵の組（PK_i，SK_i）、及びデジタル署名の署名生成鍵、署名検証鍵の組（sk_i，vk_i）を生成し、ポータルサイトに自身の公開鍵PK_i及び署名検証鍵vk_iをアップロードする。同様に、匿名掲示板Ｗｅｂサイトを含む各種Ｗｅｂサイトも（合計Ｍサイトあるものとする）公開鍵、秘密鍵の組（PK’_j，SK’_j）（１≦ｊ≦Ｍ）、及び署名生成鍵、署名検証鍵の組（sk’_j，vk’_j）を生成し、ポータルサイトに自身の公開鍵PK’_j及び署名検証鍵vk’_jをアップロードする。ここで、第１の実施の形態同様、ポータルサイトの記憶領域に書き込まれた全てのデータが、誰により書き込まれたものかを特定する手段を有するもとのする。

この実施の形態における匿名通信方法（送信端末のＷｅｂサイトアクセス）を図７に示す。
次に利用者の用いる送信端末が匿名掲示板Ｗｅｂサイトにアクセスする手順について説明する。
先ず送信端末はインターネット上の当該ポータルサイトにアクセスし、利用者がブラウザ上に入力したユーザＩＤ及びパスワードを認証サーバに送信する。この際パスワード等の秘密情報の盗聴を防ぐために、ＳＳＬプロトコル等を用いて通信路は暗号化されているものとする。
ポータルサイトはこれを受けて、認証サーバのＤＢに格納されたユーザＩＤから利用者の身元を確認し、パスワードが正しい場合は当該利用者の名前、住所等からなる利用者情報UIを自身の記憶領域に格納された公開鍵PKで暗号化した暗号文C＝E（UI，PK）を生成する。

次に送信端末は、ポータルサイトの記憶領域に格納されたプロキシサーバ及び各種Ｗｅｂサイト一覧リストをダウンロードし、自身の利用する中継プロキシサーバ及びＷｅｂサイトを選択する。ここでは、プロキシサーバ１，２そして匿名掲示板Ｗｅｂサイトを選んだものとし、リストは各サーバのＩＰアドレス及び公開鍵、署名検証鍵を含んでいるものとする。また、この実施の形態で用いる公開鍵暗号アルゴリズム、デジタル署名アルゴリズム、及び共通鍵暗号アルゴリズムについては、ポータルサイトで予め定められているとし、ここでは特に限定しない。そして次に、送信端末は以下の処理を行う。
１．匿名掲示板Ｗｅｂサイトに送信するメッセージmsgを作成（決定）する。
２．共通鍵Ｋ₁，Ｋ₂，Ｋ₃を決定する。
３．W₂＝（Addr₃||E（Ｋ₃，PK’₃）||Enc（msg，Ｋ₃））を計算する。
４．W₁＝（Addr₂||E（Ｋ₂，PK₂）||Enc（W₂，Ｋ₂））を計算する。
５．W₀＝（Addr₁||E（Ｋ₁，PK₁）||Enc（W₁，Ｋ₁））を計算する。
ここで、Addr₃，Addr₂，Addr₁はそれぞれ匿名掲示板Ｗｅｂサイト、プロキシサーバ２、プロキシサーバ１のＩＰアドレスを、E，Encはそれぞれ公開鍵暗号の暗号化関数、共通鍵暗号の暗号化関数を、PK’₃，PK₂，PK₁はそれぞれ匿名掲示板Ｗｅｂサイト、、プロキシサーバ２、プロキシサーバ１の公開鍵を、そしてE（ｘ，ｙ），Enc（ｘ，ｙ）で、ｘを鍵ｙで暗号化した暗号文を表すものとする。

最終的に送信端末はW₀をポータルサイトに送信する。
W₀を送信端末より受信したポータルサイトは、先程生成したC、そして自身のＩＰアドレスAddr₀、及びW₀に含まれるＩＰアドレスAddr₁、そして更に現在時刻TS₀の四つの組に対して、自身の署名生成鍵skを用いて署名σ₀＝S（C||Addr₀||Addr₁||TS₀，sk）を生成する。そして、W₀に含まれるW’₀＝E（Ｋ₁，PK₁）||Enc（W₁，K₁）に（C，TS₀，σ₀）を添付し、Addr₁に従ってプロキシサーバ１に（W’₀，C，TS₀，σ₀）を送信する。
（W’₀，C，TS₀，σ₀）をポータルサイトより受信したプロキシサーバ１は、ポータルサイトより、ポータルサイトの署名検証鍵vkをダウンロードした後、（C||Addr₀||Addr₁||TS₀）＝V（σ₀，vk）が成り立つ、即ち正しく署名されていることを確認する。また時刻TS₀が有効な時間である（受信時刻と近接している）ことを確認する。ここで署名が不正であった場合は、ポータルサイトにエラー報告する等して対処する。今上記署名検証が正しい者とし、プロキシサーバ１は次に、自身の秘密鍵SK₁を用いてW’₀に含まれるE（Ｋ₁，PK₁）を復号し、Ｋ₁＝Ｄ（E（Ｋ₁，PK₁）,SK₁）を得る。そして更にＫ₁を用いてW’₀に含まれるEnc（W₁,Ｋ₁）を復号し、W₁＝Dec（Enc（W₁,Ｋ₁），Ｋ₁）＝（Addr₂||E（Ｋ₂，PK₂）||Enc（W₂，Ｋ₂））を得る。続いて、公開鍵PKをポータルサイトよりダウンロードし、（C，Addr₀，Addr₁，TS₀，σ₀）の暗号文C₁＝E（C||Addr₀||Addr₁||TS₀||σ₀，PK）を生成する。そしてC₁，Addr₁、そしてW₁に含まれるＩＰアドレスAddr₂、更に現在時刻TS₁の四つの組に対して、自身の署名生成鍵sk₁を用いて署名σ₁＝S（C₁||Addr₁||Addr₂||TS₁，sk₁）を生成する。最終的に、W₁に含まれるW’₁＝E（Ｋ₂，PK₂）||Enc（W₂，Ｋ₂）に（C₁，TS₁，σ₁）を添付し、Addr₂に従ってプロキシサーバ２に（W’₁，C₁，TS₁，σ₁）を送信する。

（W’₁，C₁，TS₁，σ₁）をプロキシサーバ１より受信したプロキシサーバ２は、ポータルサイトより、プロキシサーバ１の署名検証鍵vk₁をダウンロードした後、（C₁||Addr₁||Addr₂||TS₁）＝V（σ₁，vk₁）が成り立つ、即ち正しく署名されていることを確認する。また時刻TS₁が 有効な時間である（受信時刻と近接している）ことを確認する。ここで署名が不正であった場合は、プロキシサーバ１にエラー報告する等して対処する。今上記署名検証が正しいものとし、プロキシサーバ２は次に、自身の秘密鍵SK₂を用いてW’₁に含まれるE（Ｋ₂，PK₂）を復号し、Ｋ₂＝Ｄ（E（Ｋ₂，PK₂），SK₂）を得る。そして更にＫ₂
を用いてW’₁に含まれるEnc（W₂，Ｋ₂）を復号し、W₂＝Dec（Enc（W₂，Ｋ₂），Ｋ₂）＝（Addr₃||E（Ｋ₃，PK’₃）||Enc（msg，Ｋ₃））を得る。続いて、公開鍵PKをポータルサイトよりダウンロードし、（C₁，Addr₁，Addr₂，TS₁，σ₁）の暗号文C₂＝E（C₁||Addr₁||Addr₂||TS₁||σ₁，PK）を生成する。そしてC₂，Addr₂そしてW₂に含まれるＩＰアドレスAddr₃，更に現在時刻TS₂の四つの組に対して、自身の署名生成鍵sk₂を用いて署名σ₂＝S（C₂||Addr₂||Addr₃||TS₂，sk₂）を生成する。最終的に、W₂に含まれるW’₂＝E（Ｋ₃，PK’₃）||Enc（msg，Ｋ₃）に（C₂，TS₂，σ₂）を添付し、Addr₃に従って匿名掲示板Ｗｅｂサイトに（W’₂，C₂，TS₂，σ₂）を送信する。
（W’₂，C₂，TS₂，σ₂）をプロキシサーバ２より受信した匿名掲示板Ｗｅｂサイトは、ポータルサイトより、プロキシサーバ２の署名検証鍵vk₂をダウンロードした後、（C₂||Addr₂||Addr₃||TS₂）＝V（σ₂，vk₂）が成り立つ、即ち正しく署名されていることを確認する。また時刻TS₂が有効な時間である（受信時刻と近接している）ことを確認する。ここで署名が不正であった場合は、プロキシサーバ２にエラー報告する等して対処する。今上記署名検証が正しいものとして、匿名掲示板Ｗｅｂサイトは次に、自身の秘密鍵SK’₃を用いてW’₂に含まれるE（Ｋ₃，PK’₃）を復号し、Ｋ₃＝Ｄ（E（Ｋ₃，PK’₃），SK’₃）を得る。そして更にＫ₃を用いてW’₂に含まれるEnc（msg，Ｋ₃）を復号すれば、送信端末からの本文であるmsgを得ることができる。

以上により、msgを受け取った匿名掲示板Ｗｅｂサイトは、その後msgで要求されたイベントを実行する。
ここで、匿名掲示板ＷｅｂサイトはＩＰアドレスが不明の送信端末にmsg’を返信したい場合、例えば、匿名掲示板Ｗｅｂサイトは、Ｂ₃＝Enc（msg’,Ｋ₃）を生成し、これをプロキシサーバ２に送信し、Ｂ₃を匿名掲示板Ｗｅｂサイトより受信したプロキシサーバ２は、Ｂ₂＝Enc（Ｂ₃,Ｋ₂）を生成し、これをプロキシサーバ１に送信し、Ｂ₂をプロキシサーバ２より受信したプロキシサーバ１は、Ｂ₁＝Enc（Ｂ₂,Ｋ₁）を生成し、これをポータルサイトに送信し、Ｂ₁をプロキシサーバ１より受信したポータルサイトは、Ｂ₁を送信端末に転送し、最終的にＢ₁をポータルサイトより受信した送信端末は、Ｋ₁，Ｋ₂，Ｋ₃を用いてＢ₁を逐次復号していけばmsg’を得ることができる。

ここで、通信路内の各サーバは受信データに対して暗号化処理を行っているのは以下の理由による。
先ず、各サーバがmsg’を前段に隣接する装置に転送するだけでは、例えば匿名掲示板Ｗｅｂサイトとポータルサイトが結託すればmsg’を元に、匿名掲示板Ｗｅｂサイトにアクセスした送信端末を操作していた利用者の利用者情報が開示可能となってしまう。また、匿名掲示板Ｗｅｂサイトから出力されるデータとポータルサイトに入力されるデータを盗聴できるような攻撃者に対しては、データの一意性からポータルサイトと匿名掲示板Ｗｅｂサイトの間に何段匿名プロキシサーバを中継しても意味がなくなる。
これらの問題は、仮に匿名掲示板Ｗｅｂサイトが匿名の利用者の鍵を用いてmsg’を暗号化した場合でも、その暗号文が通信路内で不変である限り解決されない。
しかし上記方法による各サーバの暗号化処理によって、上記サーバの結託や局所的な通信路の盗聴による匿名性侵害を防ぐことができる。

この実施の形態の匿名通信方法（利用者情報開示）を図８に示す。
次に当該送信端末の利用者が、ある個人の名誉を棄損する書き込みを当該匿名掲示板Ｗｅｂサイトに対して行ったとして、当該不正利用者の利用者情報を開示する手順について説明する。利用者情報を開示する処理は当該ポータルサイト上で行われるものとする。
先ず匿名掲示板Ｗｅｂサイトは、匿名の利用者が不正操作を行った証拠cheat、及び（C₂，Addr₂，Addr₃，TS₂，σ₂）を開示サーバにアップロードする。
続いて第三者機関Ｘがポータルサイトにアクセスして
Ｒ₃＝（cheat，C₂，Addr₂，Addr₃，TS₂，σ₂）をダウンロードし、cheatを不正と判断し、且つ署名σ₂及び時刻TS₂の有効性が示された場合のみ、第三者機関端末Ｘから自身の秘密情報ｓ_X及び第三者機関端末Ｙ，Ｚから分配された秘密情報ｓ_Y,X,ｓ_Z,Xを用いてC₂を部分的に復号する。これをC_2,Xとする。そしてこのC₂に対して部分的に復号されたデータC_2,Xをポータルサイトにアップロードする。ここで時刻TS₂の有効性とは、TS₂が予め設定されていたシステムパラメータの範囲であるかどうかを意味するものとする。

同様に第三者機関ＺがポータルサイトにアクセスしてＲ₃をダウンロードし、cheatを不正と判断し、且つ署名及び時刻の有効性が示された場合のみ、第三者機関Ｚから自身の秘密情報ｓ_Z及び第三者機関端末Ｘ，Ｙから分配された秘密情報ｓ_X,Z,ｓ_Y,Zを用いてC₂を部分的に復号する。これをC_2,Zとする。そしてこのC₂に対して部分的に復号されたデータC_2,Zををポータルサイトにアップロードする。
すると検証可秘密分散の技術を用いれば、C_2,X,C_2,ZからC₂の復号結果Ｒ₂＝（C₁||Addr₁||Addr₂||TS₁||σ₁）を得ることができる。またC_2,X,C_2,Zに対する処理結果正当性に対しては、ゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくC₂が復号されることが保証される。但し上記技術の詳細は、（文献３：P.Feldman,“A practical scheme for non-interactive verifiable secret sharing,”In Proc. of the 28th IEEE Symposium on the Foundations of Computer Scince(FOCS), IEEE Press, pp. 427-437, Oct. 1987.)等で述べられていることから、ここでは説明を省略する。

一方、第三者機関端末が、匿名掲示板Ｗｅｂサイトの提示した情報に対し、署名或いは時刻が有効でないと判断した場合は、匿名掲示板Ｗｅｂサイトを不正処理として処理を終了する。その理由は、当該署名或いは時刻が有効でない場合は、匿名掲示板Ｗｅｂサイトは本来プロキシサーバ２からの送信データ（W’₂，C₂，TS₂，σ₂）の受信を拒否する筈だからである。
以降、正しくC₂が復号され、当該復号結果である
Ｒ₂＝（C₁||Addr₁||Addr₂||TS₁||σ₁）がポータルサイトにアップロードされたものとして話を進める。

続いて第三者機関ＸがポータルサイトにアクセスしてＲ₂をダウンロードし、署名σ₁及び時刻TS₁の有効性が示された場合のみ、第三者機関端末Ｘから自身の秘密情報ｓ_X及び第三者機関端末Ｙ，Ｚから分配された秘密情報ｓ_Y,X，ｓ_Z,Xを用いてC₁を部分的に復号する。これをC_1,Xとする。そしてこのC₁に対して部分的に復号されたデータC_1,Xをポータルサイトにアップロードする。ここで時刻TS₁の有効性とは、TS₁とTS₂の時間間隔が予め設定されていたシステムパラメータの範囲であるかどうかを意味するものとする。
同様に第三者機関ＺがポータルサイトにアクセスしてＲ₂をダウンロードし、署名σ₁及び時刻TS₁の有効性が示された場合のみ、第三者機関端末Ｚから自身の秘密情報ｓ_Z及び第三者機関端末Ｘ，Ｙから分配された秘密情報ｓ_X,Z，ｓ_Y,Zを用いてC₁を部分的に復号する。これをC_1,Zとする。そしてこのC₁に対して部分的に復号されたデータC_1,Zをポータルサイトにアップロードする。ここでは今少なくとも二台の第三者機関端末が協力すれば当該暗号文を復号でき、勿論処理する第三者機関端末はＹであってもよい。

すると検証可秘密分散の技術を用いれば、C_1,X，C_1,ZからC₁の復号結果Ｒ₁＝（C||Addr₀||Addr₁||TS₀||σ₀）を得ることができる。またC_1,X，C_1,Zに対する処理結果正当性に対してはゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくC₁が復号されることが保証される。
一方、第三者機関端末が、当該署名或いは時刻が有効でないと判断した場合は、ＩＰアドレスAddr₂に対応するプロキシサーバ２を不正処理として処理を終了する。その理由は、当該署名或いは時刻が有効でない場合は、プロキシサーバ２は本来プロキシサーバ１からの送信データ（W’₁，C₁，TS₁，σ₁）の受信を拒否する筈だからである。

以降、正しくC₁が復号され、当該復号結果である
Ｒ₁＝（C₁||Addr₀||Addr₁||TS₀||σ₀）がポータルサイトにアップロードされたものとして話を進める。
続いて第三者機関ＸがポータルサイトにアクセスしてＲ₁をダウンロードし、署名σ₀及び時刻TS₀の有効性が示された場合のみ、第三者機関端末Ｘから自身の秘密情報ｓ_X及び第三者機関端末Ｙ，Ｚから分配された秘密情報ｓ_Y,X，ｓ_Z,Xを用いてCを部分的に復号する。これをC_Xとする。そしてこのCに対して部分的に復号されたデータC_Xをポータルサイトにアップロードする。ここで時刻TS₀の有効性とは、TS₀とTS₁の時間間隔が予め設定されていたシステムパラメータの範囲であるかどうかを意味するものとする。

同様に第三者機関ＺがポータルサイトにアクセスしてＲ₁をダウンロードし、署名σ₀及び時刻TS₀の有効性が示された場合のみ、第三者機関端末Ｚから自身の秘密情報ｓ_Z及び第三者機関端末Ｘ，Ｙから分配された秘密情報ｓ_X,Z，ｓ_Y,Zを用いてCを部分的に復号する。これをC_Zとする。そしてこのCに対して部分的に復号されたデータC_Zをポータルサイトにアップロードする。ここで今少なくとも二台の第三者機関端末が協力すれば当該暗号文を復号でき、勿論処理する第三者機関端末はＹであってもよい。
すると検証可秘密分散の技術を用いれば、C_X，C_ZからCの復号結果UIを得ることができる。これにより不正者情報を開示することができる。また、C_X，C_Zに対する処理結果正当性に対しては、ゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくCが復号されることが保証される。

一方、第三者機関端末が、当該署名或いは時刻が有効でないと判断した場合は、ＩＰアドレスAddr₁に対応するプロキシサーバ１を不正処理として処理を終了する。その理由は、当該署名或いは時刻が有効でない場合は、プロキシサーバ１は本来ポータルサイトからの送信データ(W’₀，C，TS₀，σ₀)の受信を拒否する筈だからである。
以上により、不正操作を行っていない利用者情報の開示は、一定数以上の第三者機関の結託、或いは送信端末、受信端末を繋ぐ通信路内の全中継サーバの管理者の結託を除いては困難となることが期待される。

（第３の実施の形態）
第３の実施の形態について説明する。
第２の実施の形態では、通信路内において、各種装置（ポータルサイト、プロキシサーバ、匿名掲示板Ｗｅｂサイト）が後段に隣接する装置に対してデータを適当にすり替えることを防ぐために（匿名掲示板Ｗｅｂサイトにおいては、利用者情報の開示を求めるためにポータルサイトにアップロードするデータのすり替えを防ぐために）、署名及び時刻により送信装置、受信装置間の通信路内の、各種装置の送信データの連鎖を形成していた。これにより、各種装置が後段に隣接する装置に対して不正なデータを送信することを署名の偽造困難性に帰着させることで、不正処理を防止していた。ここで時刻を連鎖させているのは、中継サーバが過去の送信データを再利用することを防ぐためである。

しかしながら、全サーバが時刻を同期させることや、どの程度までの時間間隔なら許容するかといった問題は単純でないことが想定される。そこで、この実施の形態では、第２の実施の形態で時刻管理不要とし、更に当該通信路内の装置が不正処理を困難とするという特徴は保持できる技術を提供する。
第３の実施の形態では、インターネットに直接接続された送信端末が、インターネット上の、認証サーバを備えるポータルサイトに接続し、送信端末はポータルサイト上で認証を受け、中継するプロキシサーバを決定し、当該中継プロキシサーバ及び利用先のコンテンツ販売サイトに関する必要情報をポータルサイトから取得した後、当該コンテンツ販売サイトにアクセスする例、そして当該送信端末の利用者が、匿名で購入したコンテンツを不正売買したとして、複数の機関が協力して当該不正利用者の利用者情報を開示する例について詳細に説明する。
この実施の形態におけるシステム構成は図５と同様であるため省略する。
ここでは、第２の実施の形態と同様に、検証可秘密分散技術を用いて、第三者機関Ｘ，Ｙ，Ｚのうち二つ以上の機関が合意すれば、第三者機関端末Ｘ，Ｙ，Ｚをそれぞれ用いることで、正しく復号処理を行うことが可能な技術を例に用いて説明する。

この実施の形態における匿名通信方法（事前処理）を図９に示す。
第三者機関Ｘ，Ｙ，Ｚがそれぞれ用いる第三者機関端末Ｘ，Ｙ，Ｚは、先ず事前処理として、それぞれ秘密情報ｓ_X，ｓ_Y，ｓ_Zを生成し、次に各々の秘密情報を自分以外の第三者機関端末に分配する。この分配は、例えば第三者機関端末Ｘは、ｓ_Xからｓ_X,Y，ｓ_X,Z
を生成し、第三者機関端末Ｙにｓ_X,Yを、第三者機関端末Ｚにｓ_X,Zをそれぞれ送信する。すると検証可秘密分散技術を用いればｓ_X,Y，或いはｓ_X,Zだけではｓ_Xに関する有意な情報を得ることはできないが、その両方を用いれば容易にｓ_Xが生成可能となる。また、検証可秘密分散技術では、分配された秘密情報（例えばｓ_X,Y及びｓ_X,Z）を明かすことなく、正しく秘密情報（例えばｓ_X）が復元可能であること、分配された装置（例えば第三者機関Ｙ，Ｚ）に納得させることも可能となる。
次に第三者機関端末Ｘ，Ｙ，Ｚは、インターネット上に配置された、読み書きが誰でも可能な記憶領域を備えるポータルサイトの、記憶領域内のデータに含まれる、ある一方向性関数fをダウンロードしてそれぞれPK_X＝f（ｓ_X），PK_Y＝f（ｓ_Y），PK_Z＝f（ｓ_Z）を生成し、これらをポータルサイトにアップロードする。ここでfは一方向性関数であることから、例えばPK_Xからｓ_Xを求めることは困難となり、他についても同様となる。そして更に、ある関数f’も同様にポータルサイトからダウンロード可能なことで、公開鍵PK＝f’（PK_X，PK_Y，PK_Z）を誰もが生成可能であるとする。ここでf，f’の具体的な取り方については文献２に記されていることから説明を省略する。

認証サーバを備える当該ポータルサイトは、第１の実施の形態同様、先ず事前処理として、デジタル署名の署名生成鍵、署名検証鍵の組（sk，vk）を生成し、誰もが読み書き可能な自身の記憶領域に自身の署名検証鍵vkを格納する。一方、利用者についても第１の実施の形態同様、先ず事前処理としてポータルサイト管理者に対しオフラインで身元証明を行う等、正しく身元確認し、ポータルサイト管理者は確認ができたらユーザＩＤ及びパスワードを利用者に対して発行する。
プロキシサーバはＮ台あるものとし、各プロキシサーバｉ（１≦ｉ≦Ｎ）は公開鍵暗号の公開鍵、秘密鍵の組

及びデジタル署名の署名生成鍵、署名検証鍵の組（sk_i，vk_i）を生成し、ポータルサイトに自身の公開鍵PK_i及び署名検証鍵vk_iをアップロードする。ここでhは離散対数問題を安全性の拠り所とできるような巡回群の生成元、ａ_iは適当な値とする。なお、この記号の詳細な説明及びこの実施の形態で用いるオニオンルーティング技術のアルゴリズムは（文献４：千田他，“Ｍｉｘ−ｎｅｔにおける匿名性取り消しに関するセキュリティ考察，”信学技法，ISEC2002-152，pp.99-104, 2002年３月）に記載されているとおりである。

同様に、コンテンツ販売サイトを含む各種Ｗｅｂサイトも（合計Ｍサイトあるものとする）公開鍵、秘密鍵の組

及び署名生成鍵、署名検証鍵の組（sk’_j，vk’_j）を生成し、ポータルサイトに自身の公開鍵PK’_j及び署名検証鍵vk’_jをアップロードする（１≦ｊ≦Ｍ）。ここで、第１の実施の形態同様、ポータルサイトの記憶領域に書き込まれた全てのデータが、誰により書き込まれたものかを特定する手段を有するものとする。
また、この実施の形態では、検証可秘密分散技術を用いてプロキシサーバ及び各種Ｗｅｂサイトの秘密鍵を第三者機関端末に分配するようにする。その方法は、文献４に詳しいためここでは説明を省略するが、プロキシサーバｉの秘密鍵ａ_i、および各種Ｗｅｂサイトの秘密鍵ｂ_iは第三者機関端末Ｘ，Ｙ，Ｚのためにａ_i→ａ_i,X，ａ_i,Y，ａ_i,Z、ｂ_i→ｂ_i,X，ｂ_i,Y，ｂ_i,Zと分配される。そしてこれにより一定数以上の第三者機関が合意すれば、任意のプロキシサーバの処理を代替することができる。また、この第三者機関端末への秘密鍵の分配によってプロキシサーバ及び各種Ｗｅｂサイトの登録処理とみなすことができる。

この実施の形態における匿名通信方法（送信端末のＷｅｂサイトアクセス）を図１０に示す。
次に利用者の用いる送信端末がコンテンツ販売サイトにアクセスする手順について説明する。先ず送信端末はインターネット上の当該ポータルサイトにアクセスし、利用者がブラウザ上に入力したユーザＩＤ及びパスワードを認証サーバに送信する。この際パスワード等の秘密情報の盗聴を防ぐために、ＳＳＬプロトコル等を用いて通信路は暗号化されているものとする。
ポータルサイトはこれを受けて、認証サーバのＤＢに格納されたユーザＩＤから利用者の身元を確認し、パスワードが正しい場合は当該利用者の名前、住所等からなる利用者情報UIに対応する識別子uiを自身の記憶領域に格納された公開鍵PKで暗号化した暗号文C＝E（ui，PK）を生成する。ここで例えば、uiはＤＢに格納されたUIのインデックス、或いはUIのハッシュ値等とする。

次に送信端末は、ポータルサイトの記憶領域に格納されたプロキシサーバ及び各種Ｗｅｂサイト一覧リストをダウンロードし、自身の利用する中継プロキシサーバ及びＷｅｂサイトを選択する。ここでは、プロキシサーバ１，２、そしてコンテンツ販売サイトを選んだものとし、リストは各サーバのＩＰアドレス及び公開鍵、署名検証鍵を含んでいるとする。また、この実施の形態で用いるデジタル署名アルゴリズム及び共通鍵暗号アルゴリズムについては、ポータルサイトで予め定められているとし、ここでは特に限定しない。しかしこの実施の形態では、第２の実施の形態のように公開鍵暗号アルゴリズムを用いるのではなく、文献４に記載の鍵共有アルゴリズムを用いる。その理由については後程説明する。

そして次に、送信端末は以下の処理を行う。
１．コンテンツ販売サイトに送信するメッセージmsgを作成（決定）する。
２．G₀＝h^wを計算する（ｗは適当な乱数）。
３．プロキシサーバ１，２、そしてコンテンツ販売サイトの

４．W₂＝(Addr₃||Enc(msg，K₃))を計算する。
５．W₁＝(Addr₂||Enc(W₂，K₂))を計算する。
６．W₀＝(Addr₁||Enc(W₁，K₁))を計算する。
ここで、Addr₃，Addr₂，Addr₁はそれぞれコンテンツ販売サイト、プロキシサーバ２、プロキシサーバ１のＩＰアドレスを、Encは共通鍵暗号の暗号化関数を、そしてEnc(x，y)で、ｘを鍵ｙで暗号化した暗号文を表すものとする。
最終的に送信端末は(G₀，W₀)をポータルサイトに送信する。
(G₀，W₀)を送信端末より受信したポータルサイトは、G₀と，W₀に含まれるW’₀＝Enc(W₁，K₁)、そして先程生成したC、そして自身のＩＰアドレスAddr₀、及びW₀に含まれるＩＰ
アドレスAddr₁の五つの組に対して、自身の署名生成鍵skを用いて署名σ₀＝S(G₀||W’₀||C||Addr₀||Addr₁，sk)を生成する。そしてAddr₁に従ってプロキシサーバ１に(G₀，W’₀，C，σ₀)を送信する。

(G₀，W’₀，C，σ₀)をポータルサイトより受信したプロキシサーバ１は、ポータルサイトより、ポータルサイトの署名検証鍵vkをダウンロードした後、(G₀||W’₀||C||Addr₀||Addr₁)＝V(σ₀，vk)が成り立つ、即ち正しく署名されていることを確認する。ここで署名が不正であった場合は、ポータルサイトにエラー報告する等して対処する。今上記署名検証が正しいものとし、プロキシサーバ１は次に、受信したG₀＝h^w、そして自身の秘密鍵a₁を用いて、

W’₀を復号してW₁＝Dec(Enc(W₁，K₁))＝(Addr₂||Enc(W₂，K₂))を得る。続いて、公開鍵PKをポータルサイトよりダウンロードし、(G₀，C，Addr₀，Addr₁，σ₀)の暗号文
C₁＝E(G₀||C||Addr₀||Addr₁||σ₀，PK)を生成する。

G₁、そしてW₁に含まれるW’₁＝Enc(W₂，K₂)、また、C₁，Addr₁、そしてW₁に含まれるＩＰアドレスAddr₂の五つの組に対して、自身の署名生成鍵sk₁を用いて署名σ₁＝S(G₁||W’₁||C₁||Addr₁||Addr₂，sk₁)を生成する。最終的に、Addr₂に従ってプロキシサーバ２に(G₁，W’₁，C₁，σ₁)を送信する。

(G₁，W’₁，C₁，σ₁)をプロキシサーバ１より受信したプロキシサーバ２は、ポータルサイトより、プロキシサーバ１の署名検証鍵vk₁をダウンロードした後、(G₁||W’₁||C₁||Addr₁||Addr₂)＝V(σ₁，vk₁)が成り立つ、即ち正しく署名されていることを確認する。ここで署名が不正であった場合は、プロキシサーバ１にエラー報告する等して対処する。今上記署名検証が正しいものとし、プロキシサーバ２は次に、

計算した後、W’₁を復号してW₂＝Dec(Enc(W₂，K₂)，K₂)＝(Addr₃||Enc(msg，K₃))を得る。続いて、公開鍵PKをポータルサイトよりダウンロードし、(G₁，C₁，Addr₁，Addr₂，σ₁)の暗号文C₂＝E(G₁||C₁||Addr₁||Addr₂||σ₁，PK)を生成する。

G₂、そしてW₂に含まれるW’₂＝Enc(msg，K₃)、また、C₂，Addr₂、そしてW₂に含まれるＩＰアドレスAddr₃の五つの組に対して、自身の署名生成鍵sk₂を用いて署名σ₂＝S(G₂||W’₂||C₂||Addr₂||Addr₃，sk₂)を生成する。最終的に、Addr₃に従ってコンテンツ販売サイトに(G₂，W’₂，C₂，σ₂)を送信する。

(G₂，W’₂，C₂，σ₂)をプロキシサーバ２より受信したコンテンツ販売サイトは、ポータルサイトより、プロキシサーバ２の署名検証鍵vk₂をダウンロードした後、(G₂||W’₂||C₂||Addr₂||Addr₃)＝V(σ₂，vk₂)が成り立つ、即ち正しく署名されることを確認する。ここで署名が不正であった場合は、プロキシサーバ２にエラー報告する等して対処する。今上記署名検証が正しいものとし、コンテンツ販売サイトは次に、

を計算した後、W’₂を復号して送信端末からの本文であるmsgを得ることができる。
以上により、msgを受け取ったコンテンツ販売サイトは、その後msgで要求されたイベントを実行する。ここでコンテンツ販売サイトがＩＰアドレスが不明の送信端末にコンテンツcontを返信する例は第２の実施の形態で記した通りであるため、説明を省略する。

この実施の形態における匿名通信方法（利用者情報開示）を図１１に示す。
次に当該送信端末の利用者が、匿名で購入したコンテンツを不正売買したとして、当該不正利用者の利用者情報を開示する手順について説明する。
利用者情報を開示する処理は、当該ポータルサイト上で行われるものとする。
先ずコンテンツ販売サイトは、匿名の利用者が不正操作を行った証拠cheat、当該コンテンツを購入した証拠となる情報msg、及び(G₂，W’₂，C₂，Addr₂，Addr₃，σ₂)を開示サーバにアップロードする。
続いて第三者機関Ｘがポータルサイトにアクセスして
R₃＝(cheat，msg，G₂，W’₂，C₂，Addr₂，Addr₃，σ₂)をダウンロードし、cheatを不正と判断し、且つmsg，σ₂の有効性が示された場合のみ、第三者機関端末Ｘから自身の秘密情報ｓ_X及び第三者機関端末Ｙ，Ｚから分配された秘密情報ｓ_Y,X，ｓ_Z,Xを用いてC₂を部分的に復号する。これをC_2,Xとする。更にコンテンツ販売サイトから分配された秘密情報ｂ_3,Xを用いてW’₂を部分的に復号する。これをW’_2,Xとする。そしてこの(C_2,X，W’_2,X)をポータルサイトにアップロードする。

同様に第三者機関ＺがポータルサイトにアクセスしてR₃をダウンロードし、cheatを不正と判断し、且つmsg，σ₂の有効性が示された場合のみ、第三者機関端末Ｚから自身の秘密情報ｓ_Z及び第三者機関端末Ｘ，Ｙから分配された秘密情報ｓ_X,Z，ｓ_Y,Zを用いてC₂を部分的に復号する。これをC_2,Zとする。更にコンテンツ販売サイトから分配された秘密情報ｂ_3,Zを用いてW’₂を部分的に復号する。これをW’_2,Zとする。そしてこの(C_2,Z，W’_2,Z)をポータルサイトにアップロードする。
すると検証可秘密分散の技術を用いればC_2,X，C_2,ZからC₂の復号結果R₂＝(G₁||C₁||Addr₁||Addr₂||σ₁)を得ることができる。また、C_2,X，C_2,Zに対する処理結果正当性に対しては、ゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくC₂が復号されることが保証される。更にW’_2,X，W’_2,ZからW’₂の復号結果msgを得ることができる。また、W’_2,X，W’_2,Zに対する処理結果正当性に対しては、ゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくW’₂が復号されることが保証される。上記技術の詳細は、第２の実施の形態同様、文献３に詳しいことからここでは説明を省略する。

一方、第三者機関端末が、コンテンツ販売サイトの提示した情報に対し、署名が有効でないと判断した場合は、コンテンツ販売サイトを不正処理として処理を終了する。その理由は、当該署名が有効でない場合は、コンテンツ販売サイトは本来プロキシサーバ２からの送信データ(G₂，W’₂，C₂，σ₂)の受信を拒否する筈だからである。同様に、W’₂の復号結果が、コンテンツ販売サイトの提示したmsgにならない場合もコンテンツ販売サイトを不正処理として処理を終了する。その理由は、第三者機関端末は検証可秘密分散技術によりコンテンツ販売サイトの復号処理を正しく再現できるからである。

以降、正しくC₂が復号され、C₂の復号結果である
R₂＝(G₁||C₁||Addr₁||Addr₂||σ₁)がポータルサイトにアップロードされ、且つW’₂の復号結果もコンテンツ販売サイトの提示したmsgに一致したものとして話を進める。
続いて第三者機関ＸがポータルサイトにアクセスしてR₂をダウンロードし、第三者機関端末Ｘから自身の秘密情報ｓ_X及び第三者機関端末Ｙ，Ｚから分配された秘密情報ｓ_Y,X，ｓ_Z,Xを用いてC₁を部分的に復号する。これをC_1,Xとする。更にプロキシサーバ２から分配された秘密情報ａ_2,Xを用いて(Addr₃||W’₂)を部分的に暗号化する。これをW’_1,Xとする。そしてこの(C_1,X，W’_1,X)をポータルサイトにアップロードする。

同様に第三者機関ＺがポータルサイトにアクセスしてR₂をダウンロードし、第三者機関端末Ｚから自身の秘密情報ｓ_Z及び第三者機関端末Ｘ，Ｙから分配された秘密情報ｓ_X,Z，ｓ_Y,Zを用いてC₁を部分的に復号する。これをC_1,Zする。更にプロキシサーバ２から分配された秘密情報ａ_2,Zを用いて(Addr₃||W’₂)W’₁を部分的に暗号化する。これをW’_1,Zとする。そしてこの(C_1,Z，W’_1,Z)をポータルサイトにアップロードする。ここで今少なくとも二台の第三者機関端末が協力すれば当該暗号文を復号でき、勿論処理する第三者機関端末はＹであってもよい。

すると検証可秘密分散の技術を用いれば、C_1,X，C_1,ZからC₁の復号結果R₁＝(G₀||C||Addr₀||Addr₁||σ₀)を得ることができる。また、C_1,X，C_1,Zに対する処理結果正当性に対しては、ゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくC₁が復号されることが保証される。更にW’_1,X，W’_1,Zから(Addr₃||W’₂)の暗号化結果W’₁＝Enc(Addr₃||W’₂)を得ることができる。また、W’_1,X，W’_1,Zに対する処理結果正当性に対しては、ゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくW’₁が復元されることが保証される。最後に署名σ₁＝S（Ｇ₁||Ｗ’₁||Ｃ₁||Addr₁||Addr₂，sk₁）の有効性を検証する。この検証は第三者機関端末Ｘ，Ｚが行うが前記復元したW’₁が必要となることに注意。

一方、第三者機関端末が、当該署名が有効でないと判断した場合は、プロキシサーバ２を不正処理として処理を終了する。その理由は、当該署名が有効でない場合は、プロキシサーバ２は本来プロキシサーバ１からの送信データ(G₁，W’₁，C₁，σ₁)の受信を拒否する筈だからである。
以降、正しくC₁が復号され、C₁の復号結果である
R₁＝(G₀||C||Addr₁||Addr₂||σ₁)がポータルサイトにアップロードされ、且つプロキシサーバ１の署名も正しいものとして話を進める。

続いて第三者機関ＸがポータルサイトにアクセスしてR₁をダウンロードし、第三者機関端末Ｘから自身の秘密情報ｓ_X及び第三者機関端末Ｙ，Ｚから分配された秘密情報ｓ_Y,X，ｓ_Z,Xを用いてCを部分的に復号する。これをC_Xとする。更にプロキシサーバ１から分配された秘密情報ａ_1,Xを用いて(Addr₂||W’₁)を部分的に暗号化する。これをW’_0,Xとする。そしてこの(C_X，W’_0,X)をポータルサイトにアップロードする。
同様に第三者機関ＺがポータルサイトにアクセスしてR₁をダウンロードし、第三者機関端末Ｚから自身の秘密情報ｓ_Z及び第三者機関端末Ｘ，Ｙから分配された秘密情報ｓ_X,Z，ｓ_Y,Zを用いてCを部分的に復号する。これをC_Zとする。更にプロキシサーバ１から分配された秘密情報ａ_1,Zを用いて(Addr₂||W’₁)を部分的に暗号化する。これをW’_0,Zとする。そしてこの(C_Z，W’_0,Z)をポータルサイトにアップロードする。ここで今少なくとも二台の第三者機関端末が協力すれば当該暗号文を復号でき、勿論処理する第三者機関端末はＹであってもよい。

すると検証可秘密分散の技術を用いればC_X，C_ZからCの復号結果uiを得ることができる。これにより不正者情報をポータルサイト管理者に対して開示請求することができる。また、C_X，C_Zに対する処理結果正当性に対しては、ゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくCが復号されることが保証される。更にW’_0,X，W’_0,Zから(Addr₂||W’₁)の暗号化結果Ｗ’₀＝Enc(addr₂||W’₂)を得ることができる。また、W’_0,X，W’_0,Zに対する処理結果正当性に対しては、ゼロ知識証明技術により検証可能であるため、当該第三者機関端末は不正処理を行っていないことを証明できる。これにより正しくW’₀が復元されることが保証される。そして最後に署名σ₀の有効性を検証する。

一方、第三者機関端末が、当該署名が有効でないと判断した場合は、プロキシサーバ１を不正処理として処理を終了する。その理由は、当該署名が有効でない場合は、プロキシサーバ１は本来ポータルサイトからの送信データ(G₀，W’₀，C，σ₀)の受信を拒否する筈だからである。
最終的に、ポータルサイト管理者は、uiに対応した利用者情報UIを公開する。
以上により、不正操作を行っていない利用者情報の開示は、一定数以上の第三者機関の結託、或いは送信端末、受信端末を繋ぐ通信路内の全中継サーバの管理者の結託を除いては困難となることが期待できる。また、第２の実施の形態に対し時刻管理不要とできるメリットがある。更に、文献４に拠れば、例えばこの実施の形態における平文、暗号文、公開鍵の組(msg，W’₂，G₂)に対して、復号結果がmsgとなるような別の暗号文、公開鍵の組(W”₂，G’₂)を求めることは困難であることが証明されている。この衝突困難性の性質により、第２の実施の形態での時刻による送信装置、受信装置間の通信路内の、各種装置の送信データの連鎖と同等の機能を有することができる。即ち、中継サーバや各種Ｗｅｂサイトが過去の送信データを再利用することを防ぐことができる。

その他、プロキシサーバは、（１）ログ管理不要、（２）送信端末同様に身元確認等の登録処理が必要、（３）不正処理を行った場合は通信路内で隣接する装置或いは第三者機関端末によってその不正処理が露呈する、ことから、送信端末がプロキシサーバを兼任することに対しても特別な処理や問題は生じない。即ち、利用者は自身の保有する装置を時には送信端末として利用し、時にはプロキシサーバとして運用させることができる。そしてこれは、プロキシサーバの負荷や、誰がどのような目的でプロキシサーバを提供、管理するのかといった運営の問題に対する一つの解決アプローチと見ることができる。

最後に、第４の実施の形態を説明する。
当該国内優先権主張の根拠とする出願の発明である上述した匿名通信方法の第１ないし第３の実施の形態は、送信者を受信者或いは第三者が特定することができない通信方法であり、送信者の属する組織の内部の者ですら送信者を特定して通信を確認することができない。そこで、送信者の属する組織の内部の者は当該送信者を特定して通信内容を確認することができるが、当該組織の外部の者には匿名性を保持することができる第４の実施の形態をここに説明する。

企業などの組織では、セキュリティに関する研究業務に携わる社員が、インターネット上で流通している攻撃ソフトウェアやコンピュータウィルスに関する情報を研究業務の一環として調査をすることがある。一般的にこのような攻撃ソフトウェア本体、および、その情報は、管理者が明確で信頼のおけるＷｅｂサイトではなく、管理者が不明で信頼することができないＷｅｂサイトから入手しなければならない。このことは、信頼することができないＷｅｂサイトで作成された、上記企業の通信記録の取り扱いもまた、信頼することができないことを意味する。この通信記録は、どの企業がどのような調査を行っているかという企業活動に関する内容を含んだ情報であり、通信記録が第三者へ漏えいした場合には、企業の損害へとつながる可能性がある。

また、自社製品の社外評価を調査する業務に携わる社員が、各種製品の評価が行われている掲示板サイトを調査することがある。この通信記録も、どの企業がどのような調査を行っているかという企業活動に関する内容を含んだ情報であるため、社外に調査の事実を知られないようにする必要がある。
前記の損害を未然に防ぐ技術手段として、受信端末や第三者が、送信端末を特定することができない匿名通信がある。匿名通信技術の一つであるオニオンルーティングは、当該通信路に多段の匿名プロキシを中継させ、その個々の中継プロキシのアドレスを各々層状に暗号化することで全体の通信経路を秘匿する技術として知られ、これにより送信端末がどの受信端末と通信しているかの特定をネットワーク監視サーバ（盗聴等も含む）に対しても困難とする効果がある。

更に、匿名性を悪用した利用者を特定することが可能な技術として、「特願２００３−３８３７６１，匿名通信方法（以降、優先根拠発明、と称す）」がある。優先根拠発明における匿名通信方法は、利用者のプライバシを高いレベルで保護するために、送信端末の通信ログは集中管理されること無く、かつ送信端末がどの受信端末と通信したかを誰にも知られること無く、一方で匿名性を悪用した利用者情報の開示制御を柔軟にすることを目的とし、事前に承認された第三者機関の一定数以上が合意した場合に限り、当該不正利用者の特定が可能となる技術である。

第４の実施の形態が解決しようとする課題について説明する。
企業における社員のような、組織内部の利用者が、個々に優先根拠発明の匿名通信を行った場合、その高い匿名性のために、送信先のＷｅｂサイトが信頼することができない場合であっても、送信端末を操作する利用者は、自分以外の者全てに対してアクセス先を秘匿にすることが可能である。しかし、送信端末が接続されたネットワークの管理者に対しても匿名な通信であるため、組織の意向に反した内容の通信であっても制限することができない。

例えば、各種製品評価が行われている掲示板サイトにおいて、自社製品の評判調査を目的とし、社外に調査の事実を知られないために匿名通信を用いているはずの社員が、不正に自社製品の秘密情報を暴露する書き込みを行っていても、ネットワークの管理者も含め、書き込みを行った社員本人以外は、その行動を検知することができない。
優先根拠発明は、利用者を追跡するための情報と、事前に承認された第三者機関の一定数以上の合意があって初めて当該不正利用者の特定が可能となる。上記の例では、実際の損害を受けるのは企業である一方、匿名性を悪用した利用者を追跡するための情報は掲示板サイトが保持している。このため優先根拠発明の方式には、次に挙げる、不正利用者の特定を妨げる要因がある。一つめは、利用者を追跡するための情報が、企業に対して提供されるとは限らないことである。二つめは、利用者の行動が、掲示板サイトの利用規約には違反していない等の理由により、第三者機関の一定数以上が合意するとは限らないことである。

さらに、仮に不正利用者を特定する条件が満たされても、それは全て事後の対応であり、事前に防ぐことができないという根本的な問題が存在している。
従って、第４の実施の形態は、組織の外部に対しては匿名性を保持しつつ、組織内部に対しては匿名性を確保しない匿名通信方法を実現するものである。
第４の実施の形態を図を参照して具体的に説明する。
先ず、その構成要素を図１２〜１５を参照して説明する。図１２は優先根拠発明の図５と対応しており、同一名称の構成要素は同等の機能を有するものとする。

図１２において、１０００は匿名通信を行う組織を示し、２０００は組織１０００に匿名通信サービスを提供する接続事業者、３０００は接続事業者２０００と提携している接続事業者、４０００はコンテンツを提供しているコンテンツ事業者である。１１００は匿名通信集約装置、１２００と１３００は利用者端末、１２０１と１３０１は各々利用者端末１２００と利用者端末１３００を操作する利用者である。特に、図１３をも参照するに、１１２０はコンテンツフィルタ機構、１１３０は匿名通信代理機構、１１４０は匿名通信発信機構である。１１と１２は利用者端末１２００および利用者端末１３００と匿名通信集約装置１１００との間を接続する社内通信路である。

２１００は接続事業者２０００が設置している匿名通信中継装置である。特に、図１４をも参照するに、２１１０はファイアウォール機構、２１２０は匿名通信中継機構である。
３１００は接続事業者３０００が設置している匿名通信中継装置である。匿名通信中継装置３１００は、匿名通信中継装置２１００と同等の機能を有しており、ファイアウォール機構２１１０に対応するファイアウォール機構３１１０および匿名通信中継機構２１２０に対応する匿名通信中継機構３１２０を有している。

４１００はコンテンツ事業者４０００が設置しているコンテンツサーバ装置である。特に、図１５をも参照するに、４１２０は匿名通信終端機構、４１３０はコンテンツを提供するコンテンツサーバ機構である。
ここで、各機構の機能について説明する。
ファイアウォール機構２１１０およびファイアウォール機構３１１０は、組織１０００の内側と外側とを結ぶ通信について、内側端末の識別子、内側端末の通信口識別子、外側端末の識別子、外側端末の通信口識別子、通信方向、の組み合わせに対して、通過可否の定義を登録する機構である。ファイアウォール機構２１１０およびファイアウォール機構３１１０は、組織１０００の内側と外側とを結ぶ通信を監視し、先の通過可否の定義に従って通信を通過または遮断する機能を有する。

コンテンツフィルタ機構１１２０は、自身を経由する通信の内容に対して、組織１０００の方針により定める通過可否の定義を登録する。コンテンツフィルタ機構１１２０は、自身を経由する通信を監視し、先の通過可否の定義に従って通信を通過または遮断する機能を有する。
匿名通信代理機構１１３０は、自身に到着した匿名通信要求を、自身からの匿名通信要求として匿名通信発信機構１１４０に送信する機能を有すると共に、匿名通信発信機構１１４０から匿名通信要求の応答を受け取り、その応答を、自身へ匿名通信要求を送信した送信元へ送信する機能を有する。

ここで、優先根拠発明の機構、機能の内の第４の実施の形態に関連する一部について、念のため、再確認しておく。
匿名通信発信機構１１４０は、優先根拠発明における送信端末が備える、匿名通信を開始する機能を有する。
匿名通信中継機構２１２０および匿名通信中継機構３１２０は、優先根拠発明におけるプロキシサーバが備える、匿名通信を中継する機能を有する。
匿名通信終端機構４１２０は、優先根拠発明におけるオークションＷｅｂサイトおよび匿名掲示板Ｗｅｂサイトが備える、匿名通信データを処理し、送信端末からの本文を得る機能を有する。

コンテンツサーバ機構４１３０は、優先根拠発明におけるオークションＷｅｂサイトおよび匿名掲示板Ｗｅｂサイトが備える、送信端末からの本文に対して応答を返す機能を有する。
また、優先根拠発明に記載の認証サーバを備えるポータルサイト、第三者機関もこの第４の実施の形態に含まれるが、優先根拠発明における構成および動作と同一であるため、説明を省略する。
次に、第４の実施の形態の動作について説明する。なお、第４の実施の形態が動作を開始するに先立って、優先根拠発明の匿名通信を行うために必要な事前処理は全て完了しているものとする。

図１６をも参照して「契約」について説明する。
接続事業者２０００は、匿名通信発信装置１１００を販売し、匿名通信発信装置１１００から匿名通信中継装置２１００を経由した匿名通信サービスを販売する。即ち、組織１０００は、接続事業者２０００から匿名通信発信装置１１００を購入する。組織１０００は、匿名通信サービスを利用する契約を接続事業者２０００との間に結び、サービスの利用料金を支払う。
接続事業者３０００も接続事業者２０００と同様に、匿名通信発信装置１１００と同等の装置の販売、および、その装置から匿名通信中継装置３１００を経由した匿名通信サービスを販売する。
接続事業者２０００と接続事業者３０００は、接続事業者２０００の匿名通信中継装置２１００と、接続事業者３０００の匿名通信中継装置３１００との間で、相互に匿名通信を中継することを認める提携関係を結ぶ。この提携関係により、接続事業者２０００と接続事業者３０００は、自身から中継が可能な匿名通信の経路を拡大することができる。

図１４を参照してファイアウォール機構２１１０の事前準備について説明する。
接続事業者２０００は、ファイアウォール機構２１１０に対して、接続事業者２０００内部の２１２０と、接続事業者２０００外部である匿名通信発信機構１１４０との間の通信を許可する設定を行う。この設定は、前述した接続事業者２０００の販売する匿名通信サービスを、組織１０００が利用する契約を結んだことにより行われる。接続事業者２０００は、ファイアウォール機構２１１０に対して、接続事業者２０００内部の匿名通信中継機構２１２０と、接続事業者２０００外部である匿名通信中継機構３１２０との間の通信を許可する設定を行う。この設定は、前述した接続事業者２０００と接続事業者３０００が相互に匿名通信を中継することを認める提携関係を結んだことにより行われる。
接続事業者３０００は、ファイアウォール機構３１１０に対して、接続事業者３０００内部の匿名通信中継機構３１２０と、接続事業者３０００外部である匿名通信中継機構２１２０との間の通信を許可する設定を行う。この設定は、前述した接続事業者２０００と接続事業者３０００が相互に匿名通信を中継することを認める提携関係を結んだことにより行われる。

図１３を参照してコンテンツフィルタ１１２０の事前準備について説明する。
組織１０００は、コンテンツフィルタ１１２０に対して、コンテンツサーバ装置４１００のコンテンツを取得する通信を許可する設定を行う。
図１２を参照して利用者端末１２００に対する匿名通信処理について説明する。
利用者１２０１は、利用者端末１２００から、コンテンツサーバ装置４１００のコンテンツ取得要求を、匿名通信集約装置１１００へ送信することにより、匿名通信を要求する。

図１７を参照して匿名通信集約装置１１００の匿名通信処理について説明する。
匿名通信集約装置１１００は、通信を受け取ると、組織１０００内部から外部への匿名通信要求か、組織１０００外部から内部への匿名通信応答かを判断し、その他の通信の場合は受信した内容を破棄する。匿名通信集約装置１１００は、受信した内容が匿名通信要求の場合、コンテンツフィルタ１１２０により、通信要求が許可される内容かを確認する。通信が許可されない場合、匿名通信集約装置１１００は、要求が拒否されたことを利用者端末１２００へ通知し、受信した内容を破棄する。通信が許可された場合、匿名通信集約装置１１００は、匿名通信代理機構１１３０により、利用者端末１２００に代わって自身が４０００のコンテンツ取得要求を行い、匿名通信発信機構１１４０により優先根拠発明に記載の匿名通信処理を開始する。匿名通信発信機構１１４０が行う匿名通信処理の中継経路は、組織１０００が契約を結んでいる匿名通信中継機構２１２０を先頭して、匿名通信中継装置２１００からの中継を許可している匿名通信中継機構３１２０を経由させる。この間、利用者端末１２００との通信路は保持し続けることにより、後述する匿名通信の応答との対応づけを行う。匿名通信集約装置１１００は、受信した内容が匿名通信応答の場合、匿名通信発信機構１１４０により優先根拠発明に記載の匿名通信処理を行い、コンテンツサーバ装置４１００からの応答コンテンツを抽出する。次に匿名通信集約装置１１００は、匿名通信代理機構１１３０により、コンテンツサーバ装置４１００に代わって自身が利用者端末１２００に対して応答コンテンツを送信する。この際コンテンツフィルタ１１２０により、利用者端末１２００に対して提供される応答コンテンツが、許可される内容かを確認し、許可される内容であれば匿名通信集約装置１１００はそのまま利用者端末１２００へ送信し、許可されない内容であれば匿名通信集約装置１１００は応答コンテンツの提供が許可されないことを利用者端末１２００へ通知し、応答コンテンツを破棄する。

匿名通信中継装置の匿名通信処理を図１４を参照して説明する。
匿名通信中継装置２１００は、通信を受け取ると、ファイアウォール機構２１１０により、自身に登録された通信可否の定義を確認し、通過を許可するかどうかを判断する。通過を許可されなかった場合、匿名通信中継装置２１００は受信した内容を破棄する。通過が許可される場合、匿名通信中継装置２１００は匿名通信中継機構２１２０により優先根拠発明における匿名通信の中継処理を行う。
また、匿名通信中継装置３１００についても、匿名通信中継装置２１００と同様の動作を行う。

図１５を参照してコンテンツサーバ装置の匿名通信処理について説明する。
コンテンツサーバ装置４１００は、通信を受け取ると、匿名通信終端機構４１２０により、優先根拠発明における匿名通信データから本文を得る処理を行う。次に、コンテンツサーバ装置４１００は、コンテンツサーバ機構４１３０により、本文に対する応答コンテンツを生成し、匿名通信終端機構４１２０により、優先根拠発明における匿名通信の応答処理を行う。

図１２を参照して利用者端末の匿名通信処理を説明する。
匿名通信終端機構４１２０から送出された応答コンテンツは、優先根拠発明における匿名通信中継装置３１００と匿名通信中継装置２１００の中継処理、および、前述の匿名通信集約装置１１００の処理によって利用者端末１２００へ送信され、利用者１２０１に提供される。
上述した利用者端末１２００、匿名通信集約装置１１００、匿名通信中継装置２１００、匿名通信中継装置３１００、コンテンツサーバ装置４１００の処理シーケンスは図１８に示されている。

ここで、第４の実施の形態の具体的な実施例を説明する。
図１２における利用者端末１２００、利用者端末１３００として、Microsoft Windows（登録商標）がインストールされたパソコンを使用する。社内通信路１１および社内通信路１２は、ＴＣＰ／ＩＰによるネットワークとする。ファイアウォール機構２１１０とファイアウォール機構３１１０は、端末の識別子としてＩＰアドレス、通信口識別子としてポート番号を利用したパケットフィルタリング機能を有するアプリケーションソフトウェアとする。コンテンツフィルタ１１２０は、ＨＴＴＰ通信におけるＵＲＬによって通過可否を判断するＵＲＬフィルタリング機能を有するアプリケーションソフトウェアとする。コンテンツサーバ機構４１３０は、掲示板ソフトウェアとする。

匿名通信代理機構１１３０は第４の実施の形態の動作によるアプリケーションソフトウェアとし、匿名通信発信機構１１４０、匿名通信中継機構２１２０、匿名通信中継機構３１２０、匿名通信終端機構４１２０は優先根拠発明における機能を有するアプリケーションソフトウェアとする。
利用者が利用するパソコンの、Ｗｅｂブラウザ（ＨＴＴＰクライアント）のプロキシ設定は、匿名通信集約装置１１００のＩＰアドレス、および匿名通信代理機構１１３０のポート番号を指定する。

ファイアウォール機構２１１０の設定は、第一に、匿名通信集約装置１１００の全てのポートから、匿名通信中継装置２１００の匿名通信中継機構２１２０のポートへの通信を許可する設定をし、第二に、匿名通信中継装置２１００の全てのポートから、匿名通信中継装置３１００の匿名通信中継機構３１２０のポートへの通信を許可する設定をし、第三に、匿名通信中継装置３１００の全てのポートから、匿名通信中継装置２１００の匿名通信中継機構２１２０のポートへの通信を許可する設定をする。
ファイアウォール機構３１１０の設定は、第一に、匿名通信集約装置１１００の全てのポートから、コンテンツサーバ装置４１００の掲示板ソフトウェアのポートへの通信を許可する設定をし、第二に、匿名通信中継装置２１００の全てのポートから、匿名通信中継装置３１００の匿名通信中継機構３１２０のポートへの通信を許可する設定をし、第三に、匿名通信中継装置３１００の全てのポートから、匿名通信中継装置２１００の匿名通信中継機構２１２０のポートへの通信を許可する設定をする。

ＵＲＬフィルタの設定は、掲示板ソフトウェアを表現するＵＲＬ、および、全てのＷｅｂコンテンツ応答の通過を許可する設定を行う。
実施例の動作を説明する。
利用者は、パソコンのＷｅｂブラウザ（ＨＴＴＰクライアント）を起動し、アドレス欄に掲示板ソフトウェアのＵＲＬを入力してコンテンツ取得要求を行う。この操作により、コンテンツ取得要求が匿名通信集約装置に送信される。
匿名通信集約装置は、掲示板ソフトウェアのＵＲＬへの通信を許可し、匿名通信代理機構と匿名通信発信機構により、優先根拠発明における匿名通信処理を行う。以降、前述の図１８の処理フローと手順で、利用者端末に掲示板ソフトウェアからの応答が到達し、最終的に利用者にその内容が提示される。

更に、第４の実施の形態は以下の如くに実施することができる。
匿名通信代理装置１１００のコンテンツフィルタ１１２０、匿名通信代理機構１１３０、匿名通信発信機構１１４０の各機構の一部を異なる装置上で実現する構成として実施する。
匿名通信中継装置２１００のファイアウォール機構２１１０、匿名通信中継機構２１２０の各機構の一部を異なる装置上で実現する構成として実施する。
匿名通信中継装置３１００のファイアウォール機構３１１０、匿名通信中継機構３１２０の各機構の一部を異なる装置上で実現する構成として実施する。

コンテンツサーバ装置４１００の匿名通信終端機構４１２０、コンテンツサーバ機構４１３０の各機構の一部を異なる装置上で実現する構成として実施する。
以上の匿名通信装置の構成の他に、組織１０００と接続事業者接続事業者２０００の間を専用線等の安全な通信路で接続した上で、匿名通信代理装置１１００のコンテンツフィルタ１１２０、匿名通信代理機構１１３０、匿名通信発信機構１１４０の各機構の一部または全てを接続事業者接続事業者２０００のネットワークに接続された装置上で実現する構成として実施することができる。

優先根拠発明における不正な利用者の利用者情報の開示について、組織１０００内部の利用者まで特定が必要な場合には、利用者端末と匿名通信代理装置１０００との間で利用者認証を行うこと、利用者の通信記録を保存しておくこと、および、優先根拠発明に記載の不正な利用者の利用者情報の開示によって得られた通信内容との対応付けを行うことにより、組織１０００内部の利用者まで特定することが可能である。
また、組織１０００内部において、利用者１２０１の通信内容を、利用者１３０１に対して秘密にすることが必要な場合には、社内通信路１１を暗号化することによって実現が可能である。

第４の実施の形態の効果について説明する。
第４の実施の形態においては、組織１０００のネットワーク管理者が、組織１０００内の匿名通信集約装置１１００のコンテンツフィルタ機構１１２０に設定を行うことにより、組織１０００内部から外部へ行われる匿名通信をふるいにかけることが可能となる。例えば、各種製品評価が行われている掲示板サイトにおいて、自社製品の評判調査を目的とし、社外に調査の事実を知られないために匿名通信を用いている社員が、不正に自社製品の秘密情報を暴露する書き込みを行ったりすると言う様な特定の条件を満たす内容の通信をすることが無い様に監視し、通信を遮断してこれを事前に防止することができる。

一般に匿名通信は、匿名性を悪用した不正行為の可能性があるため、組織単位で匿名通信を行うことは、その組織に対する社会的信用性を落としかねない。しかし、不正と判断された場合には不正者を特定することが可能な優先根拠発明の方式を用いることで、社会的な責任を果たすことになり、その組織に対する社会的信用性を保持する効果がある。
また優先根拠発明に記載のシステムでは、利用者が操作を行う送信端末に、匿名通信を開始する機構が必要となるのに対し、この発明のシステムでは、利用者が操作を行う利用者端末に、匿名通信を行うために必要となる機構を新たに導入する必要が無い。これにより、匿名通信を必要とする組織は、各利用者の端末に匿名通信ソフトウェアを導入することなく、この発明の匿名通信集約装置だけを導入することで、匿名通信を行うことが可能となる。

一方、接続事業者は、匿名通信サービスを組織に対して提供するビジネスを行うことが可能である。さらに、同様の接続事業者間で匿名通信を相互に中継する提携を行うことは、匿名通信の経路を拡大して匿名性を高めることになり、自身が提供するサービスの価値を高めることが可能となる。
以上の図１２により図示説明される第４の実施の形態が、優先根拠発明における第２の実施の形態と対応していることと同様に、優先根拠発明における第１の実施の形態および第３の実施の形態に対しても、この第４の実施の形態を適用することができる。即ち、第１の実施の形態ないし第３の実施の形態の技術内容に第４の実施の形態の技術内容を組み合わせ適用することにより、送信者を受信者或いは第三者が特定することができない、送信者の属する組織の内部の者ですら送信者を特定して通信を確認することができない匿名通信方法として設定実施すると共に、送信者の属する組織の内部の者は当該送信者を特定して通信内容を確認することができるが当該組織の外部の者には匿名性を保持する匿名通信方法として設定実施することができる匿名通信方法を提供することができる。

第１の実施の形態の匿名通信システムを示す図。 第１の実施の形態の匿名通信方法（事前処理）を示す図。 第１の実施の形態の匿名通信方法（送信端末のＷｅｂサイトアクセス）を示す図。 第１の実施の形態の匿名通信方法（利用者情報開示）を示す図。 第２の実施の形態の匿名通信システムを示す図。 第２の実施の形態の匿名通信方法（事前処理）を示す図。 第２の実施の形態の匿名通信方法（送信端末のＷｅｂサイトアクセス）を示す図。 第２の実施の形態の匿名通信方法（利用者情報開示）を示す図。 第３の実施の形態の匿名通信方法（事前処理）を示す図。 第３の実施の形態の匿名通信方法（送信端末のＷｅｂサイトアクセス）を示す図。 第３の実施の形態の匿名通信方法（利用者情報開示）を示す図。 第４の実施の形態を説明する図。 匿名通信集約装置の構成を説明する図。 匿名通信中継装置の構成を説明する図。 コンテンツサーバ装置の構成を説明する図。 契約を説明する図。 匿名通信集約装置の処理を説明する図。 匿名通信の処理シーケンスを示す図。

Claims (23)

1. 送信端末は利用者情報を与えること無く匿名で受信端末と通信可能な匿名通信方法において、
   送信端末は、現在送信端末を操作している利用者の利用者情報に対する暗号文を生成し、当該暗号文を本文と共に受信端末に送信し、
   受信端末は、当該匿名利用者の不正操作があった場合、利用者情報に対する暗号文の復号権限を持つ第三者機関に当該暗号文を提示して、当該利用者情報の開示を依頼し、
   第三者機関端末は、受信端末の開示要求に応じて当該暗号文を復号することで、
   通常時は、送信端末は利用者情報を与えること無く匿名で受信端末と通信できるが、利用者が不正操作を行えば当該利用者情報が開示されることから、匿名性を悪用した不正操作も防止されることを特徴とする匿名通信方法。
2. 請求項１に記載の匿名通信方法において、
   送信端末は、受信端末と通信する前に認証サーバにアクセスし、送信端末を現在操作している利用者の利用者情報に対する暗号文、及び当該暗号文に対する認証サーバの署名を認証サーバから取得し、当該暗号文及び署名を本文と共に受信端末に送信することで、
   送信端末の不正処理により、開示した利用者情報が偽の情報となることを防ぐことを特徴とする匿名通信方法。
3. 請求項１に記載の匿名通信方法において、
   送信端末は、受信端末と通信する前に認証サーバにアクセスし、送信端末を現在操作している利用者の利用者情報、及び当該利用者情報に対する認証サーバの署名を認証サーバから取得し、当該利用者情報及び署名からなる組を暗号化して本文と共に受信端末に送信することで、
   送信端末の不正処理により、開示した利用者情報が偽の情報となることを防ぐことを特徴とする匿名通信方法。
4. 請求項２または３に記載の匿名通信方法において、
   送信端末が認証サーバから受信するデータは、送信端末に送信される代わりに別の装置に送信され、当該利用者情報或いはその暗号文及びその署名からなる組が、送信端末から受信端末へ送信される本文と共に受信端末に送信される、
   ことを特徴とする匿名通信方法。
5. 請求項２乃至４の何れか１項に記載の匿名通信方法において、
   送信端末は、受信端末に至る通信路内に一台以上のプロキシサーバを中継させ、当該プロキシサーバ及び受信端末のＩＰアドレス等のアドレス情報を、通信路内の前段に隣接する装置の公開鍵を用いて暗号化することで、各プロキシサーバ及び受信端末は通信路内で隣接していない装置の特定が困難となることを特徴とし、
   更に、利用者情報に対する暗号文は通信路内で転送され、最終的に受信端末に送信されることで、
   利用者の不正操作時の利用者情報の開示を可能としながら送信端末の匿名性を高めることを特徴とする匿名通信方法。
6. 請求項１乃至５の何れか１項に記載の匿名通信方法において、
   暗号文を復号する秘密鍵は、第三者機関端末に分散され、一定数以上の第三者機関が合意した場合に限り、当該第三者機関は各自の端末を操作して利用者情報に対する暗号文を復号できるようにすることで、不正利用者の利用者情報は第三者機関の権限の下で開示される、
   ことを特徴とする匿名通信方法。
7. 請求項２乃至６の何れか１項に記載の匿名通信方法において、
   認証サーバは、利用者情報或いはその暗号文を送信するのではなく、利用者情報と対応付いた識別子或いはその暗号文を代わりに送信することで、
   不正利用者の利用者情報を最終的に開示出来るのは第三者機関ではなく認証サーバとする、ことを特徴とする匿名通信方法。
8. 請求項４に記載の匿名通信方法において、
   送信端末は、受信端末に至る通信路内に一台以上のプロキシサーバを中継させ、当該プロキシサーバ及び受信端末のＩＰアドレス等のアドレス情報を、通信路内の前段に隣接する装置の公開鍵を用いて暗号化することで、各プロキシサーバ及び受信端末は通信路内で隣接していない装置の特定が困難となることを特徴とし、
   更に、利用者情報に対する暗号文は通信路内で転送され、最終的に受信端末に送信することで、
   利用者の不正操作時の利用者情報の開示を可能としながら送信端末の匿名性を高めることを特徴とし、
   送信端末、受信端末を繋ぐ通信路内に認証サーバ及びプロキシサーバが中継され、
   認証サーバは、利用者情報に対する暗号文、自身のアドレス情報、後段に隣接するプロキシサーバのアドレス情報、そして現在時刻情報の四つの組に対して署名を施し、当該利用者情報に対する暗号文及び署名を後段に隣接するプロキシサーバに送信し、
   プロキシサーバは、署名を検証し、正当な場合のみそれを受理し、プロキシサーバは次に、認証サーバから受け取った当該暗号文及び署名の組を暗号化し、当該暗号文、自身のアドレス情報、後段に隣接するプロキシサーバ或いは受信端末のアドレス情報、そして現在時刻情報の四つの組に対して署名を施し、当該暗号文及び署名を後段に隣接するプロキシサーバ或いは受信端末に送信し、
   以降この操作を繰り返していくことで、最終的に受信端末に利用者情報が多重に暗号化及び署名された情報が送信されるようにすることで、
   認証サーバ及びプロキシサーバに対する送信データの否認を防ぐことを特徴とする匿名通信方法。
9. 請求項８に記載の匿名通信方法において、
   認証サーバ及びプロキシサーバは、当該暗号文、そして自身のアドレス情報、及び後段に隣接するプロキシサーバ或いは受信端末のアドレス情報に加え、後段に隣接するプロキシサーバ或いは受信端末に送信する、送信端末から受信端末への本文を暗号化した暗号文の四つの組に対して署名を施すことで、
   認証サーバ及びプロキシサーバに対する送信データの否認を防ぐことを特徴とする匿名通信方法。
10. 請求項８に記載の匿名通信方法において、
    暗号文を復号する秘密鍵は第三者機関端末に分散され、一定数以上の第三者機関が合意した場合に限り、当該第三者機関は各自の端末を操作して利用者情報に対する暗号文を復号できるようにすることで、
    不正利用者の利用者情報は第三者機関の権限の下で開示される、ことを特徴とする匿名通信方法。
11. 請求項８に記載の匿名通信方法において、
    認証サーバは利用者情報或いはその暗号文を送信するのではなく、利用者情報と対応付いた識別子或いはその暗号文を代わりに送信することで、
    不正利用者の利用者情報を最終的に開示出来るのは第三者機関ではなく認証サーバとする、ことを特徴とする匿名通信方法。
12. 請求項１０に記載の匿名通信方法において、
    認証サーバは、利用者情報或いはその暗号文を送信するのではなく、利用者情報と対応付いた識別子或いはその暗号文を代わりに送信することで、
    不正利用者の利用者情報を最終的に開示出来るのは第三者機関ではなく認証サーバとする、ことを特徴とする匿名通信方法。
13. 請求項８、１０、１１、１２の何れか１項に記載の匿名通信方法において、
    第三者機関端末は、利用者の不正操作があったとして受信者端末より利用者情報の暗号文、そして当該暗号文、前段に隣接するプロキシサーバのアドレス情報、及び自身のアドレス情報、及び現在時刻情報の四つの組に対する署名が提示された場合、先ず当該署名を検証し、正しければこれを受理し、そうでなければ受信端末を不正処理と判断し、正しい場合は次に、前段に隣接していたプロキシサーバについて、第三者機関端末は先ず当該暗号文を復号し、得られた利用者情報に対する暗号文、前段に隣接するプロキシサーバ或いは認証サーバのアドレス情報、及び自身のアドレス情報、そして前段に隣接するプロキシサーバ或いは認証サーバの生成した現在時刻情報の四つの組に対する署名を得て、当該署名を検証し、正しければこれを受理し、そうでなければ当該プロキシサーバを不正処理と判断し、正しい場合は以降同様に通信路内の装置の処理を遡っていくことで、当該受信端末及びプロキシサーバの不正処理を困難とする、
    ことを特徴とする匿名通信方法。
14. 請求項９に記載の匿名通信方法において、
    暗号文を復号する秘密鍵は、第三者機関端末に分散され、一定数以上の第三者機関が合意した場合に限り、当該第三者機関は各自の端末を操作して利用者情報に対する暗号文を復号できるようにすることで、
    不正利用者の利用者情報は第三者機関の権限の下で開示される、ことを特徴とする匿名通信方法。
15. 請求項９に記載の匿名通信方法において、
    認証サーバは、利用者情報或いはその暗号文を送信するのではなく、利用者情報と対応付いた識別子或いはその暗号文を代わりに送信することで、
    不正利用者の利用者情報を最終的に開示出来るのは第三者機関ではなく認証サーバとする、ことを特徴とする匿名通信方法。
16. 請求項１５に記載の匿名通信方法において、
    暗号文を復号する秘密鍵は、第三者機関端末に分散され、一定数以上の第三者機関が合意した場合に限り、当該第三者機関は各自の端末を操作して利用者情報に対する暗号文を復号できるようにすることで、
    不正利用者の利用者情報は第三者機関の権限の下で開示される、ことを特徴とする匿名通信方法。
17. 請求項９、１４、１５、１６の何れか１項に記載の匿名通信方法において、
    利用者の不正操作があったとして受信者端末より、利用者情報に対する暗号文、及び当該プロキシサーバより受信した、本文に対する暗号文の四つの組に対する署名、そして当該本文が提示された場合、第三者機関端末は先ず当該署名を検証し、正しければ、次に本文に対する暗号文を復号し、正しく本文に復号されればこれを受理し、そうでなければ受信端末を不正処理と判断し、正しい場合は次に、前段に隣接していたプロキシサーバについて、第三者機関端末は先ず当該暗号文を復号し、得られた利用者情報に対する暗号文、前段に隣接するプロキシサーバ或いは認証サーバのアドレス情報、自身のアドレス情報、及び当該プロキシサーバより受信した、本文に対して二重に暗号化された暗号文の四つの組に対する署名を得て、当該署名を検証し、正しければ、次に当該二重暗号文を復号し、正しく受信者端末の提示した利用者情報に対する暗号文に復号されればこれを受理し、そうでなければ当該プロキシサーバを不正処理と判断し、正しい場合は以降同様に通信路内の装置の処理を遡っていくことで、
    当該受信端末及びプロキシサーバの不正処理を困難とする、ことを特徴とする匿名通信方法。
18. 送信端末が利用者情報を与えることなく匿名で受信端末と通信可能な匿名通信方法において、
    送受信端末を中継する匿名通信集約装置が送受信端末を識別するアドレスを暗号化することにより、送信端末が接続されたネットワークの外部では、送信端末の特定することおよび送信端末が接続されたネットワークを特定することをできなくすることを特徴とする匿名通信方法。
19. 請求項１８に記載される匿名通信方法において、
    匿名通信集約装置は通信内容を監視することを特徴とする匿名通信方法。
20. 請求項１９に記載される匿名通信方法において、
    匿名通信集約装置は特定の条件を満たす内容の通信を遮断することを特徴とする匿名通信方法。
21. 請求項１ないし請求項１７に記載される匿名通信方法において、
    送受信端末を中継する匿名通信集約装置が送受信端末を識別するアドレスを暗号化することにより、送信端末が接続されたネットワークの外部では、送信端末の特定することおよび送信端末が接続されたネットワークを特定することをできなくすることを特徴とする匿名通信方法。
22. 請求項２１に記載される匿名通信方法において、
    匿名通信集約装置は通信内容を監視することを特徴とする匿名通信方法。
23. 請求項２２に記載される匿名通信方法において、
    匿名通信集約装置は特定の条件を満たす内容の通信を遮断することを特徴とする匿名通信方法。

Images