JP2005253083A - 新しいフェア・ブラインド署名プロセス - Google Patents

Abstract

【課題】新しいフェア・ブラインド署名プロセスを提供すること。
【解決手段】フェア・ブラインド署名プロセスで、ユーザは、Ａ^e＝ａ₀ａ^x ₁ａ^m ₂ａ^xu ₃ａ^t ₄ａ^s ₅（ｍｏｄ ｎ）になるように７タプル（Ａ，ｅ，ｓ，ｔ，ｘ_u，ｘ，ｍ）を完成するために署名者と対話する。ここで、ａ₀，ａ₁，ａ₂，ａ₃，ａ₄、ａ₅、およびｎは、署名者の公開鍵（ＰＵＢＫ_S）の要素である。署名発行フェーズ中に、ユーザ（Ｕ）は、署名者（Ｓ）に、信頼される機関（ＴＡ）に既知の鍵（ｆ）に従って暗号化されたデータ要素（ａ₁ ^x）を供給し、このデータ要素（ａ₁ ^x）が、署名されたメッセージの送信中に開示される。同様に、署名されたメッセージは、信頼される機関（ＴＡ）に既知の鍵（ｆ）に従って暗号化された第２データ要素ａ^xu ₃を含む第２の暗号化されたデータに関連して送信され、この第２データ要素ａ^xu ₃が、署名発行フェーズ中に署名者に開示される。
【選択図】 図１

Description

本発明は、電子トランザクションのセキュリティに関し、より詳しくは、デジタル署名の技術分野に関する

デジタル署名方式は、ユーザおよび署名者を伴う公開鍵暗号プロトコルである。署名者は、秘密鍵とそれに対応する公開鍵を所有している。ユーザは、一般にインターネットなどのネットワークに送信するためのメッセージを生成する。署名者は、そのメッセージの有効性または認証性を示すものとして、自分の秘密鍵（シークレット・キーまたはペライベート・キー）を使用してメッセージのデジタル署名を生成する。望めば誰でも、その署名者の公開鍵のみを用いて署名の認証性を検証することができる。

通常のデジタル署名方式では、署名者は、デジタル署名が適用されるメッセージの内容を知っており、署名アルゴリズム（たとえば、周知のＲＳＡアルゴリズム）を使用することによって、偽造が困難または不可能なデジタル署名を生成する。

ブラインド署名（blind signature）方式では、ユーザは、署名者にメッセージの内容に関する情報を与えることなく、自分のメッセージに対するデジタル署名を得ることができる。デヴィッド・チョム博士（David Chaum）によって開発された周知のブラインド署名方式が、特許文献１に記載されている。ブラインド署名方式は、デジタル・キャッシュ・アプリケーションに用いる方式として提案されることがあり、この方式により、個人は、金融機関によってデジタル・キャッシュの次の使用が追跡されることなく、金融機関からデジタル・キャッシュを購入できる。

通常のブラインド署名方式では、署名者は、異なるユーザの多数の文書に署名する場合、自分が署名したある特定の文書を提示されても、その文書にいつ誰のために署名したかを判断することができない。対照的に、フェア・ブラインド署名方式（ＦＢＳＳ：fair blind signature scheme）では、追加の参加者すなわち、１つまたは複数の信頼される機関（または「判定者（judge）」）があり、署名者は、信頼される機関（または、複数の信頼される機関がある場合に、定足数の信頼される機関）の助けによって、所与の署名セッションからどの署名が生成されたかを識別することができる。

署名者は、特定の署名セッションのトランスクリプトを有する場合、信頼される機関の助けを得て、そのセッションから生じた署名／メッセージ対を判定することができる。これを「署名トレーシング（signature tracing）」と言う。逆に、署名者は、特定のメッセージ／署名対を入手できる場合、信頼される機関の助けを借りて、これを生成した署名セッションを判定できる。これを「セッション・トレーシング（session tracing）」と言う。

フェア・ブラインド署名方式では、「ゼロ知識証明（zero-knowledge proof）」技術を使用する。あるエンティティ（「証明者」）が、あるステートメント（または述部）が真であることを別のエンティティ（「検証者」）に証明する必要がある場合がある。証明者および検証者が適当な対話プロトコル（知識の対話証明）を実行できれば、検証者は、そのステートメントが真であることを確信することができる。知識の証明のプロトコルでは、知識の証明に参加した後に、検証者がステートメントが何であるかの知識を有しない（検証者は、それが真または「有効」であることだけを知る）場合を、「ゼロ知識」と称する。後者の場合、検証者は、ステートメントの有効性を他者に証明することができない。

フェア・ブラインド署名方式は、所与のデジタル署名を所与のユーザにリンクすることができるが、ユーザのメッセージは、まだプライベート状態である。フェア・ブラインド署名方式は、主に、電子オークションなど、破棄可能な匿名性が望ましい応用、および組織化された犯罪との戦い（マネー・ロンダリングの防止など）の応用に関して提案されてきた。

セキュアな状態を実現するために、フェア・ブラインド署名方式は、ワンモア・アンフォージャビリティ（one-more unforgeability）、ブラインドネス（blindness）、およびトレーサビリティ（厳格な取消）の特性を有しなければならない。

「ワンモア・アンフォージャビリティ」は、捏造しようとする者が署名者とｋ回対話した場合であっても、フェア・ブラインド署名方式の下でｋ＋１番目の有効な署名を作ることが計算的に困難であるという事実を示している（これを「（ｋ，ｋ＋１）アンフォージャビリティ」と呼ぶことができる）。この特性は、意図する捏造者と署名者の間の対話が適応的でインターリーブする形で実行される場合であっても保持されなければならない。

「ブラインドネス」は、特定の有効なデジタル署名を作った署名セッションを行ったユーザの識別を可能にする情報が生成されることについては、その署名を与えられた誰によっても（信頼される機関以外）計算的に困難である、という特性を示す。同様に、特定の署名セッションで作られた署名を識別することは、そのセッションのトランスクリプトを与えられた誰もによっても（信頼される機関以外）計算的に困難である。

「トレーサビリティ（厳格な取消）」は、フェア・ブラインド署名方式に組み込まれたトレーシング手順を回避することは、誰もによっても（署名者以外）困難であるという特性を示す。具体的にいうと、信頼される機関によってトレースできない有効な署名、または信頼される機関によって対応するユーザにマッチングすることができない有効な署名を作ることは、誰によっても（署名者以外）計算的に困難である。

今まで、様々なフェア・ブラインド署名方式が提案されてきた（例えば、非特許文献１参照）。しかしながら、提案された方式のほとんどが、非効率的であるか、非セキュアであるか、標準的でない仮定が設けられた場合に限ってセキュアと証明されるかのいずれかである。

効率的なフェア・ブラインド署名方式の１つが、阿部および大久保によって提案されている（非特許文献２参照）。この方式のセキュリティ（すなわち、署名のアンフォージャビリティ）は、離散対数問題に頼っている。この方式によれば多項式セキュリティ（polynomial security）が提供される、と主張しているが、実際には、ポリ対数セキュリティ（poly-logarithmic security）だけを提供する（すなわち、ポリ対数個の署名だけがセキュアに発行され、このポリ対数個数は、セキュリティ・パラメータに関して定義される）。

欧州特許出願公開第０１３９３１３号明細書 Ｍ．スタッドラー（M. Stadler）他著，「フェア・ブラインド署名（Fair Blind Signatures）」，暗号論の進展（Advances in Cryptology）、ユーロクリプト’９５（Eurocrypt '95），コンピュータサイエンスの講義ノートの第９２１巻（volume 921 of Lecture Notes in Computer Science），ベルリン（Berlin），スプリンガー社(Springer-Verlag），ｐｐ２０９−２１９ 阿部，大久保著，「厳格な取消しを伴う証明可能なセキュア・フェア・ブラインド署名（Provably Secure Fair Blind Signatures with Tight Revocation）」，アジアクリプト’０１の予稿集（Proceedings of Asiacrypt'01），コンピュータサイエンスの講義ノートの第２２４８巻（vol.263 of Lecture Notes in Computer Science），ベルリン（Berlin），スプリンガー社(Springer-Verlag），ｐｐ５８３−６０１

本発明の目的は、効率的であり、多項式個数の署名をセキュアに発行できるフェア・ブラインド署名方式を提供することである。

上述した課題を解決し、目的を達成するために、本発明は、メッセージに対するフェア・ブラインド・デジタル署名を入手するためにユーザが署名発行フェーズで署名者と対話するフェア・ブラインド署名方式であって、前記署名者が、公開鍵を有し、信頼される機関が、前記デジタル署名の匿名性を取り消すことができるフェア・ブラインド署名方式において、前記ユーザが、以下の式（１）を満足するように第１から第７の項目Ａ、ｅ、ｓ、ｔ、ｘ_u、ｘ、およびｍからなる７タプルを完成するために前記署名者からデータを入手し、

ａ₀、ａ₁、ａ₂、ａ₃、ａ₄、ａ₅、およびｎが、前記署名者の公開鍵の要素であり、前記署名者によって生成され、ｍが、署名される前記メッセージであり、ｅおよびｓが、前記署名者によって一様にランダムに選択されるパラメータであり、ｔおよびｘ_uが、前記ユーザによって一様にランダムに選択されるパラメータであり、ｘが、前記ユーによって一様にランダムに選択されるパラメータおよび前記署名者によって一様にランダムに選択されるパラメータに基づいて前記ユーザによって計算される中間値であり、Ａが、以下の式（２）に従って計算されるパラメータであり、

Ｃ₂が、以下の式（３）に従って前記ユーザによって計算されるパラメータであり、

Ｉｄ_Uが、前記ユーザを識別するために前記ユーザによって計算されるコードであることを特徴とする。

本発明の好ましい実施形態によるフェア・ブラインド署名プロセスの詳細な説明を提供する前に、フェア・ブラインド署名方式のある基本的な原理および数学的表記について想起していただければ以下の説明がより有効なものとなる。

フェア・ブラインド署名方式（ＦＢＳＳ）は当技術分野で周知なので、その形式的定義を示す必要はないと思われる。しかしながら、それについて関心があるならば、そのような定義について上で示した非特許文献２を参照するとよい。

ＦＢＳＳに、３タイプの参加者すなわち、メッセージに署名されることを望むユーザＵと、ブラインド・デジタル署名を作る署名者（Ｓ）と、「判定者」と呼ぶこともできる信頼される機関（ＴＡ）とが含まれるものと想定する。本発明のフェア・ブラインド署名方式では、３つの異なる種類のプロトコル、すなわち、ユーザが自分の選んだメッセージの署名を得ることを可能にした、ユーザと署名者の間で行われる署名発行プロトコルと、ユーザがメッセージと共に署名をサブミットすることを可能にした、ユーザと誰かの間で行われる署名サブミッション・プロトコルと、どちらもが署名者Ｓと信頼される機関ＴＡの間で行われる署名トレーシング・プロトコルおよび／またはセッション・トレーシング・プロトコルがあるトレーシング・プロトコルとが使用される。

本発明の好ましい実施形態で使用されるセッション・トレーシング・プロトコルでは、信頼される機関が、特定のメッセージ／署名対の生成につながった署名セッションを行ったユーザの識別をその対から判定できるようにすることに留意されたい。よって、この好ましいプロトコルは、「ユーザ・トレーシング」プロトコルと呼べる。実際には、ユーザのトレーシングは、特定のメッセージ／署名対の生成をもたらした署名セッションを単純に識別することより有用である（一部の方式では、真のセッション・トレーシング・プロトコルによって識別された署名セッションを行ったユーザを判定するために、大きなデータベースを検索する必要がある）。

以下の説明では、次の数学的表記を使用する。
ｘ∈_RＥは、ｘが、集合Ｅから一様にランダムに選択されることを意味する。言い換えると、ｘは、一様分布に従って集合Ｅからランダムに選択される。
ｘが整数である場合に、｜ｘ｜は、ｘのバイナリ・サイズ（または長さ）を表す。
集合Ｉ_dは、０からｄ−１までの整数の集合を意味する。言い換えると、Ｉ_dは、集合｛０，１，２，．．．，ｄ−１｝に対応する。

整数ｎについて、Ｚ／（ｎ）は、ｎを法とする剰余環を表し、Ｚ／（ｎ）^*は、Ｚ／（ｎ）の可逆元の乗法群を表す。
集合Ｚ／（ｎ）で一様にランダムに選択される要素αについて（言い換えると、α∈_RＺ／（ｎ）について）、Ｚ／（ｎ）^*でのアルファの次数をｏｒｄ（α）と表す。
Ｚ／（ｎ）^*で一様にランダムに選択される要素αによって生成される（言い換えると、α∈_RＺ／（ｎ）^*によって生成されるＺ／（ｎ）^*の部分群を、＜α＞と表す。

集合ＱＲ（ｎ）は、ｎを法とするすべての平方剰余の集合を表す。
記号‖は、２つの（バイナリ）ストリング（または、整数要素および群要素の２進表現）の連結を表す。
記号Ｈは、任意の適当なハッシュ関数を表す。

ＳＫ（α：ｆ（α，．．．））（ｍ）は、メッセージｍに対する「知識の署名」を表す。知識の署名ＳＫを提供することによって、証明者は、述部ｆを定義する式を満足する値αを知っていることを第三者（「検証者」）に実証する。

ＳＫ（α，β：ｆ（α，．．．）∧ｇ（β，．．．））（Ｍ）は、ｆを定義する式およびｇを定義する式を満足する値αおよびβを証明者が知っていることを示す、メッセージＭに対する「知識の署名」を表す。

「知識の署名」は、周知のファイアット・シャミア法（Fiat-Shamir heuristic)（Ａ．ファイアット，Ａ．シャミア著，「自己証明法：認証および署名の問題の実用的な解決法（How to Prove Yourself: Practical Solutions to Identification and Signature Problems）」，クリプト’８６の予稿集（Proceedings of Crypt '86），コンピュータサイエンスの講義ノートの第２６３巻（vol.263 of Lecture Notes in Computer Science），ｐｐ１８６−１９４，ベルリン（Berlin），スプリンガー社(Springer-Verlag），１９８７年を参照されたい）を使用する知識のゼロ知識証明から導出される署名である。基礎になる知識の証明がセキュアである場合に、それから導出される知識の署名が、ランダム・オラクル・モデル（random oracle model）でセキュアであることを示すことができる。

知識の署名で参照される述部ｆ、ｇなどの性質に応じて、証明者は、知識のゼロ知識証明を確立するために、検証者に異なる情報を送信する必要がある。後述する基本構成要素１の説明以降において、述部と、関連する述部を満足する値の所有を証明するために証明者が送信できる情報とを示す。

本発明の好ましい実施形態によるフェア・ブラインド署名方式を、図１を参照して以下に説明する。このシステムに、デジタル署名を発行する署名者Ｓ、各々のメッセージに対する（フェア・ブラインド）デジタル署名を得ることを求めるユーザＵ、およびデジタル署名の匿名性を取り消すことが可能な１つまたは複数の信頼される機関ＴＡが含まれることを想定する。

図１は、本発明の好ましい実施形態によるフェア・ブラインド署名方式を実施するのに使用される主要なプロセスおよびプロトコルを示す図である。

図１からわかるように、ある方式パラメータの値が決定される、初期セットアップ・フェーズがある。このセットアップ・フェーズ中に、第１および第２のセキュリティ・パラメータｌおよびｌ_pの値が、（システム設計者によって）選択される。その後、署名者Ｓは、それぞれがセキュリティ・パラメータｌ_pと等しいビット数を有するランダムな秘密の素数ｐ’およびｑ’を選択する。ｐ’およびｑ’は、値ｐ＝２ｐ’＋１およびｑ＝２ｑ’＋１の両方が素数になるように選択される。署名者は、秘密鍵（シークレット・キーまたはプラベート・キー）としてＰＲＫ_s＝（ｐ’，ｑ’）を使用する。法ｎには、値ｎ＝ｐｑがセットされ、さらなるパラメータＮおよびｌ_nが、以下の式（４）に従って決定される。

署名者Ｓは、他者に関するランダムな生成元のそれぞれの離散対数が未知になるように、ＱＲ（ｎ）のランダムな生成元（ａ₀，ａ₁，ａ₂，ａ₃，ａ₄，ａ₅，ｇ，ｈ）も選択する。

セットアップ・フェーズで、信頼される機関は、ｙ∈_RＩ_Nを選択する（言い換えると、ＴＡは、集合｛０，１，．．．，Ｎ−１｝で一様にランダムに選択することによって、パラメータｙの値を選択する）。このパラメータｙは、信頼される機関の秘密鍵になる。次に、ＴＡは、ｆ＝ｇ^y（ｍｏｄ ｎ）として公開鍵ｆを計算する。

全体的なフェア・ブラインド署名システムの公開鍵は、ＰＵＢＫ＝（ｎ，ａ₀，ａ₁，ａ₂，ａ₃，ａ₄，ａ₅，ｆ，ｇ，ｈ）である。署名者の公開鍵は、全体的なシステムの公開鍵と同一であるが、値ｆがない、すなわち、（ｎ，ａ₀，ａ₁，ａ₂，ａ₃，ａ₄，ａ₅，ｇ，ｈ）と同一である。

下の表１に、セットアップ・フェーズ中に定義される値を有するパラメータの一部を要約する。

セットアップの後に、本発明のフェア・ブラインド署名システムは、使用の準備ができている、すなわち、署名者が、ユーザのメッセージにデジタル署名する準備ができている。

本発明にとって必須ではないが、ユーザがシステムに登録することが有用で有り得る。これによって、システムが、セッション・トレーシングだけではなくユーザ・トレーシングを実行できるようになる。したがって、本発明の好ましい実施形態のＦＢＳＳに、図１で破線のボックスによって示される、登録フェーズが含まれる。

登録フェーズでは、ユーザＵが、秘密の値ｘ_u∈_RＩ_Nを選択する（言い換えると、Ｕは、集合｛０，１，．．．，Ｎ−１｝で一様にランダムに選択することによって、パラメータｘ_uの値を選択する）。次に、Ｕは、以下の式（５）に示すように、自分自身を識別するコードＩｄ_Uを計算する。

ユーザは、自分が底ａ₃のＩｄ_Uの離散対数を知っていることを信頼される機関に証明する。これは、任意の便利な手順を使用して行うことができる（たとえば、Ｇ．ポーパード（G. Poupard），Ｊ．ステム（J. Stem）著，「オンフライ認証および署名の生成のセキュリティ分析（Security Analysis of a Practical "on the fly" Authentication and Signature Generation）」，ユーロクリプト’９８の予稿集（Proceedings of Eurocrypt'98），コンピュータサイエンスの講義ノートの第１４０３巻（vol.1403 of Lecture Notes in Computer Science），ｐｐ４２２−４３６，ベルリン（Berlin），スプリンガー社(Springer-Verlag），１９９８年、または、Ｍ．ジャロウ（M. Girault）著，「合成数ごとの離散対数法に基づいた識別式認証方法（An Identity-based Identification Scheme Based on Discrete Logarithms Modulo a Composite Number）」，ユーロクリプト１９９０の予稿集（Proceedings of Eurocrypt 1990），コンピュータサイエンスの講義ノートの第４７３巻（vol.473 of Lecture Notes in Computer Science），ｐｐ４８１−４８６，ベルリン（Berlin），スプリンガー社(Springer-Verlag）を参照されたい）。信頼される機関は、Ｉｄ_Uとユーザによって供給された証明の両方を公開し、したがって、署名発行プロトコル（下記を参照されたい）の実行中にユーザを認証できるようにする。これで登録フェーズが完了する。

図１からわかるように、好ましい実施形態のフェア・ブラインド署名方式には、署名発行プロトコル、署名サブミッション・プロトコル、ならびに署名トレーシング・プロトコルおよび／またはセッション・トレーシング・プロトコル（この場合にはユーザ・トレーシング・プロトコル）を含むトレーシング・プロトコルが含まれる。明らかに、署名発行プロトコルは、メッセージの署名に関してユーザが署名者に連絡するたびに使用され、署名サブミッション・プロトコルは、ユーザが第三者に署名付きメッセージを供給するたびに使用されるが、署名トレーシング・プロトコルおよびセッション・トレーシング・プロトコルは、デジタル署名の匿名性を取り消すことが望まれる（たとえば、オンライン・オークションの成功裡の入札者の詳細を取り出すことが望まれるので）場合に限って呼び出される。これらのプロトコルを、これから順番に検討する。

［署名発行プロトコル］
４つの長さパラメータｌ_r、ｌ_m、ｌ_e、およびｌ_sを、以下の式（６）に示す３つの関係を満足するように定義する。

ここで、ｌは、第１セキュリティ・パラメータ、ｌ_nは、法ｎのビット長さ、ｌ_Nは、セットアップ・フェーズの上の説明で述べたパラメータＮのビット長さである。署名されるメッセージｍは、ビット長さｌ_mのメッセージである、言い換えると、ｍは、集合｛０，１，．．．，（２^lm−１）｝に含まれる整数とすることができる。本発明の好ましい実施形態では、これらの長さパラメータの値を決定するのは、署名者であるが、本発明は、この可能性に制限されない。本発明の他の実施形態では、他の当事者、たとえば信頼される機関が、これらの長さパラメータの値をセットすることができる。

ユーザと署名者によって対話的に実行される署名発行プロトコルは、２パートプロトコルと考えることができる。署名発行プロトコルの第１部分では、ユーザと署名者が、対話し、ユーザは、あるパラメータ・データ（特にｘ＾（ｘの頭上にハット記号：以下同様に表現する）、Ａ、ｅ、およびｓ）を署名者から入手する。署名発行プロトコルの第２部分では、ユーザが、署名者から入手したパラメータ・データを利用して、所望のデジタル署名を生成する。

署名発行プロトコルの第１部分では、次のステップが実行される。
ユーザは、集合｛０，１，．．．，Ｎ−１｝から一様にランダムにパラメータｘ〜（ｘの頭上にチルダ文字：以下同様に表現する）およびパラメータｒ〜を選択する。言い換えるとｘ〜∈_RＩ_Nかつｒ〜∈_RＩ_Nである。

ユーザは、パラメータＣ₁および２つの知識の署名Ｕ₀およびＵ₁を以下の式（７）に従って生成する。

次に、ユーザは、Ｃ₁、ユーザの識別コードＩｄ_U、ならびに２つの知識の署名Ｕ₀およびＵ₁を署名者に送信する。

署名者は、２つの知識の署名Ｕ₀およびＵ₁を検証する。次に、知識の署名が成功裡に検証された場合に、署名者は、集合｛０，１，．．．，Ｎ−１｝で一様にランダムに選択することによってパラメータｘ＾の値をセットする。言い換えると、ｘ＾∈_RＩ_Nである。このパラメータが、ユーザに送り返される。

次に、ユーザは、署名者から受信したパラメータｘ＾を使用して、さらなるパラメータｘ＝ｘ〜＋ｘ＾（ｍｏｄ ｎ）を生成する。

次に、ユーザは、集合｛０，１，．．．，Ｎ−１｝から一様にランダムにパラメータｔおよびパラメータｒを選択する。言い換えると、ｔ∈_RＩ_Nかつｒ∈_RＩ_Nである。

次に、ユーザは、３つのさらなるパラメータＣ₂、Ｅ₁、およびＥ₂ならびに２つのさらなる知識の署名ＶおよびＷを、以下の式（８）のように計算する。

として計算する。パラメータＥ₁が、信頼される機関の公開鍵ｆに従って暗号化されたデータａ₁ ^xに対応することに留意されたい。ユーザは、この３つのパラメータおよび２つの知識の署名（Ｃ₂，Ｅ₁，Ｅ₂，Ｖ，Ｗ）を署名者に送信する。

署名者は、２つの知識の署名ＶおよびＷを検証する。この知識の署名の両用が有効である場合には、署名者は、集合｛０，１，．．．，（Ｉ_2ls−１）｝で一様にランダムに第１パラメータｓを選択し、２^le-1と２^leの間の素数からなる集合で一様にランダムに選択することによって第２パラメータｅを選択する。言い換えると、以下の式（９）のようになる。

署名者は、次に、以下の式（１０）のように、パラメータＡを計算する。

署名者は、Ａ、ｅ、およびｓをユーザに送信し、ユーザは、次の式（１１）に示す関係が真であることを検証する。

この後者の２つの検証によって、署名発行プロトコルの第１部分が終わる。

署名発行プロトコルの第２部分では、ユーザが、自分のメッセージｍの実際のデジタル署名を生成する。これには、次の要素（この好ましいＦＢＳＳに従って、集合｛０，１，．．．，（２^lm−１）｝の整数であるメッセージｍの有効なデジタル署名を構成する）を生成することが含まれる。

− 値Ｉ_sig
− ＥｌＧａｍａｌ暗号文Ｅ＝（Ｅ₃，Ｅ₄）
− 知識の署名Ｐ。これは、Ｕがタプル（Ａ，ｅ，ｓ，ｔ，ｘ_u，ｘ）を知っており、
・（Ｐ₁）：Ｉ_sig＝（ａ₁ ^x ｍｏｄ ｎ）かつｘ∈Ｉ_N
・（Ｐ₂）：Ａ^g＝ａ₀ Ｉ_sig ａ^m ₂ ａ^t ₄ ａ^g ₅ ａ^xu ₃（ｍｏｄ ｎ）かつｘ_uおよびｔがＩ_Nに属し、ｓがＩ_2lkに属する
・（Ｐ₃）：Ｅがａ^xu ₃（ｍｏｄ ｎ）の暗号化である
ことを証明する。

ＥｌＧａｍａｌ暗号文の性質は、当業者に周知であり、本明細書では詳細に説明しない。しかし、望むならば、Ｇ．Ｒ．ブラックレー（G. R. Blackley），Ｄ．チャウム（D. Chaum）著，Ｔ．エル ガマル（T. El Gamal）編，「離散対数に基づく公開鍵暗号システムおよび署名方法（A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms）」、クリプト’８４の予稿集（Proceedings of Crypt '84），コンピュータサイエンスの講義ノートの第１９６巻（vol.196, Lecture Notes in Computer Science），ｐ１０−１８，ベルリン（Berlin），スプリンガー社(Springer-Verlag），１９８５にさらなる情報がある。

ｍに対する署名ＳＫは、その知識の証明ＰＫが有効である場合に有効である。ユーザは、知識の複数の異なる署名ＳＫを作ることができるが、メッセージｍに対するデジタル署名は、値Ｉ_sigによって一意に決定され、この値は、ユーザと署名者によって協同で計算される。ｍに対する２つの署名が、めいめいの異なるＩ_sig値を有する場合に、これらの署名は、異なるものと考えられる。ｍに対する２つの署名が、Ｉ_sigの同一の値を有する場合に、これらは、各々の知識の署名ＳＫが異なる場合であっても、同一と考えられる。

本発明の好ましい実施形態によれば、適当な知識の署名ＳＫは、次のように構成することができる。

ユーザが、Ｉ_sig＝ａ₁ ^x（ｍｏｄ ｎ）を計算する。
ユーザが、３つのパラメータｗ、ｗ₁、およびｗ₂を集合｛０，１，．．．，Ｉ_N−１｝で一様にランダムに選択する。言い換えると、ｗ、ｗ₁、ｗ₂∈_RＩ_Nである。

ユーザは、ＥｌＧａｍａｌ暗号文Ｅ₃およびＥ₄ならびに２つの他のパラメータＤ₁およびＤ₂を以下の式（１２）のように計算する。

知識の署名ＳＫは、以下の式（１３）として計算される。

上の知識の署名は、うわべは複雑な外見を有するが、上の定義のコロンの右側の１１個の述部を満足する値α、β、γ、δ、η、ζ、ι、ε、およびμの値をユーザが知っていることを示す知識の署名になることを、当業者はすぐに諒解するであろう。

当業者は、この分野での共通の一般的な知識から、知識の証明ＳＫから特定のタイプの述部を小計するために、検証者にどのデータを送信しなければならないかをすぐに理解するであろう。実際に、異なるタイプの秘密の知識の所有を証明す知識の署名を生成する方法に関する非常に大量の技術文献が、当技術分野に存在しており、たとえば、Ｊ．カメニッシュ（J. Camenisch），Ｍ．スタッドラー（M. Stadler）著，「大グループに対して効果的なグループ署名（Efficient Group Signature Schemes for Large Groups）」，暗号論の進展（Advances in Cryptology）、ユーロクリプト’９７（Eurocrypt '97），コンピュータサイエンスの講義ノートの第１２９４巻（volume 1294 of Lecture Notes in Computer Science），ベルリン（Berlin），スプリンガー社(Springer-Verlag），ｐｐ４１０−４２４，１９９７年を参照されたい。

しかし、秘密の知識がある特定の形をとる時に、証明者が関連する秘密の知識を所有することを証明するのに適当な知識の署名のいくつかをここで想起することが有用である可能性がある（下記を参照されたい）。これらは、本発明の好ましい実施形態で使用される基本構成要素と考えることができる。

［基本構成要素１（ユーザが底ｇに関するｙの離散対数であるｘを知っている）］
ユーザが、底ｇに関する数ｙの離散対数ｘ（すなわちｙ＝ｇ^x）を知っており、ｇおよびｙの両方が群Ｇに含まれる場合を検討されたい。

ユーザが、値ｘ（底ｇに関するｙの離散対数）を漏らさずにｘを知っていることを証明したい場合に、ユーザは、次のようにそれを行うことができる。まず、ユーザは、集合｛０，１，．．．，Ｉ_e(lG+k)−１｝からパラメータｒを一様にランダムに選択し、ｃ＝Ｈ（ｇ‖ｙ‖ｇ^r‖ｍ）およびｓ＝ｒ−ｃｘ（剰余環Ｚにおいて）に従って２つの証拠パラメータｃおよびｓの値を決定する。証明者が、離散対数値ｘを真に知っており、証拠パラメータｃおよびｓを生成する時に適当な値を使用した場合に、データ対（ｃ，ｓ）は、式ｃ＝Ｈ（ｇ‖ｙ‖ｙ^cｇ^s‖ｍ）を満足する。ここで、ｃおよびｓは、それぞれ集合Ｉ_k×Ｉ_e(lG+k)+1の要素である。

したがって、ユーザが、ｃ＝Ｈ（ｇ‖ｙ‖ｙ^cｇ^s‖ｍ）を満足するこのデータ対（ｃ，ｓ）の値を含む知識の署名を生成する場合に、これによって、ユーザが、メッセージｍ∈｛０，１｝^*に対する底ｇに関する離散対数ｙを知っていることが証明される。対応する知識の署名は、ＳＫ（α：ｙ＝ｇα）（ｍ）と表すことができる。

［基本構成要素２（ユーザが、底ｇに関するｙ₁の離散対数であり、かつ、底ｈに関するｙ₂の離散対数であるｘを知っている）］
この例では、ユーザは、ｙ₁＝ｇ^xおよびｙ₂＝ｈ^xを知っている。ユーザは、次のように、ｘを漏らさずにこの知識の所有を実証することができる。

まず、ユーザは、集合｛０，１，．．．，Ｉ_e(lG+k)−１｝からパラメータｒを一様にランダムに選択し、ｃ＝Ｈ（ｇ‖ｈ‖ｙ₁‖ｙ₂‖ｇ^r‖ｈ^r‖ｍ）およびｓ＝ｒ−ｃｘ（剰余環Ｚにおいて）に従って２つの証拠パラメータｃおよびｓの値を決定する。証明者が、離散対数値ｘを真に知っており、底ｇに関するｙ₁のこの離散対対数が、ｈに関するｙ₂の離散対数と同一であり、証明者が、証拠パラメータｃおよびｓを生成する時にｘの適当な値を使用した場合に、データ対（ｃ，ｓ）は、式ｃ＝Ｈ（ｇ‖ｈ‖ｙ₁‖ｙ₂‖ｙ₁ ^cｇ^s‖ｙ₂ ^cｈ^s‖ｍ）を満足し、ｃおよびｓは、集合Ｉ_k×Ｉ_e(lG+k)+1の要素である。

したがって、ユーザが、ｃ＝Ｈ（ｇ‖ｈ‖ｙ₁‖ｙ₂‖ｙ₁ ^cｇ^s‖ｙ₂ ^cｈ^s‖ｍ）を満足するデータ対（ｃ，ｓ）の値を含む知識の署名を生成する場合に、これによって、ユーザが、メッセージｍ∈｛０，１｝^*に関して、底ｇに関するｙ₁の離散対数および底ｈに関するｙ₂の離散対数の両方を知っていることが証明される。対応する知識の署名を、ＳＫ（α，β：ｙ₁＝ｇ₁α∧ｙ₂＝ｇ₂β）（ｍ）と表すことができる。

［基本構成要素３（ユーザが、底ｇおよび底ｈに関するｙの表現であるｘ₁およびｘ₂を知っている）］
この場合に、ユーザは、ｙ＝ｇ^x1ｈ^x2であることを知っている。ユーザは、次のように、ｘ₁およびｘ₂を漏らさずに、この知識の所有を実証することができる。

まず、ユーザは、集合｛０，１，．．．，Ｉ_e(lG+k)−１｝から一様にランダムに２つのパラメータｒ₁およびｒ₂を選択し、ｃ＝Ｈ（ｇ‖ｈ‖ｙ‖ｇ^x1ｈ^x2‖ｍ）、ｓ₁＝ｒ₁−ｃｘ₁、およびｓ₂＝ｒ₂−ｃｘ₂（剰余環Ｚにおいて）に従って、３つの証拠パラメータｃ、ｓ₁、およびｓ₂の値を決定する。証明者が、底ｇおよび底ｈに関するｙの表現を真に知っており、証拠パラメータｃ、ｓ₁、およびｓ₂を生成する時に適当な値を使用した場合に、データ・セット（ｃ，ｓ₁，ｓ₂）は、式ｃ＝Ｈ（ｇ‖ｈ‖ｙ‖ｙ^cｇ^s1ｈ^s2‖ｍ）を満足し、ｃ、ｓ₁、およびｓ₂のそれぞれは、集合Ｉ_k×Ｉ_e(lG+k)+1×Ｉ_e(lG+k)+1の要素である。

したがって、ユーザが、ｃ＝Ｈ（ｇ‖ｈ‖ｙ‖ｙ^Cｇ^s1ｈ^s2‖ｍ）を満足するデータ・セット（ｃ，ｓ₁，ｓ₂）の値を含む知識の署名を生成した場合に、これによって、ユーザが、メッセージｍ∈｛０，１｝^*の、底ｇおよび底ｈに関するｙの表現を知っていることが証明される。対応する知識の署名を、ＳＫ（α，β：ｙ＝ｇαｈβ）（ｍ）と表すことができる。

［基本構成要素４（ユーザが、底ｇに関するｙの離散対数と、この離散対数が特定の区間に含まれることを知っている）］
この場合に、ユーザは、ｙ＝ｇ^xであることと、ｘが区間］Ｘ−２^e(l+k)，Ｘ＋２^e(l+k)［に含まれることを知っている。ユーザは、次のように、ｘを漏らさずにこの知識の所有を実証することができる。

まず、ユーザは、集合｛０，１，．．．，Ｉ_e(lG+k)−１｝から一様にランダムにパラメータｒを選択し、ｃ＝Ｈ（ｇ‖ｙ‖ｇ^r‖ｍ）、ｓ＝ｒ−ｃ（ｘ−Ｘ）（剰余環Ｚにおいて）に従って２つの証拠パラメータｃおよびｓの値を決定する。証明者が、底ｇに関するｙの離散対数と、これが含まれる区間を真に知っており、証拠パラメータｃおよびｓを生成する時に適当な値を使用した場合に、データ対（ｃ，ｓ）は、式ｃ＝Ｈ（ｇ‖ｙ‖ｙ^Cｇ^s-cX‖ｍ）を満足し、ｃおよびｓは、それぞれ、集合Ｉ_k×Ｉ_e(lG+k)+1の要素である。

したがって、ユーザが、ｃ＝Ｈ（ｇ‖ｙ‖ｙ^Cｇ^s-cX‖ｍ）を満足するデータ対（ｃ，ｓ）の値を含む知識の証明を生成する場合に、これによって、ユーザが、メッセージｍ∈｛０，１｝^*の、底ｇに関するｙの離散対数とそれが含まれる区間を知っていることが証明される。対応する知識の署名を以下の式（１４）のように表すことができる。

［署名サブミッション・プロトコル］
フェア・ブラインド署名システムＦＢＳＳに戻ると、本発明の好ましい実施形態によれば、ユーザは、署名されたメッセージの生成を完了したならば、そのメッセージを望み通りに他者にサブミットすることができる。署名されたメッセージが供給されるエンティティ（署名者など）は、このＦＢＳＳを使用して生成された特定の署名の有効性について確信することを望む場合がある。したがって、そのエンティティは、署名されたメッセージに関連する知識の署名Ｐの有効性を検証することを望む場合がある。知識の署名Ｐは、上で述べたすべての基本構成要素の組合せであり、ユーザ（証明者）と検証者（たとえば署名者）を伴う対話型手順を使用して検証することができる。

［トレーシング・プロトコル］
［署名トレーシング・プロトコル］
所与の署名発行セッションから生じた特定の署名のトレースが望まれる時に、署名者は、その署名発行セッション中に観察された対（Ｅ₁，Ｅ₂）を信頼される機関に供給することができ、信頼される機関は、この暗号文を暗号化解除してＩ_sigを判定することができる。したがって、信頼される機関は、署名が問題の署名発行セッションから生じたかどうかを識別することができる。

［セッション・トレーシング・プロトコル］
特定の署名の生成をもたらした署名発行セッションのトレースが望まれる時に、署名者は、有効な署名からの対（Ｅ₃，Ｅ₄）を信頼される機関に供給することができ、信頼される機関は、この暗号文を暗号解除して、値Ｉｄ_uを判定することができ、この値Ｉｄ_uによって、この署名を入手したユーザが識別される。

［応用例］
本発明のフェア・ブラインド署名方式は、様々な応用で使用することができる。可能な応用例（本発明がこれらの例に制限されないことを理解されたい）としては、電子オークション、不正な金融取引のトレーシング、本願と同時に出願された、「フェア・ブラインド署名を用いた電子投票プロセス（Electronic Voting Process Using Fair Blind Signatures）」と題する本出願人の同時係属の欧州特許出願に記載のものなどのオンライン投票方法などがある。

本発明は、フェア・ブラインド署名方式の実施に使用できる特定のソフトウェアおよびハードウェアに関して特に制限されない。当業者は、当技術分野での共通の一般的知識から、本発明を実施するのに適当なソフトウェア・ルーチンおよびハードウェアを選択する方法をすぐに理解するであろう。

しかし、本発明を、パーソナル・コンピュータ、ウェブ・サーバ、携帯情報端末、ネットワークＰＣ、適当な備えを有する携帯電話機など、協同して動作する、適当にプログラムされた汎用コンピューティング・デバイスの組を使用して実施できることに留意されたい。その代わりに、この署名方式の一部またはすべてを、特殊目的データ処理装置を使用して実施することができる。一般に、（それぞれの）署名者、（それぞれの）信頼される機関、およびそれぞれのユーザについて、１つのデータ処理／計算デバイスがある。しかし、この署名方式に含まれる様々なエンティティが、集中化デバイスではなく、あるサブルーチンまたはプログラム・モジュールが分散されたユニットで実行される分散コンピューティング・システムを利用できることを理解されたい。

本発明を、特定の好ましい実施形態に関して説明したが、請求項で定義される本発明から逸脱せずに、好ましい実施形態の様々な特徴を変更し、適合させ、かつ／または他の特徴によって置換することができることを、当業者はすぐに理解するであろう。

たとえば、本発明によるＦＢＳＳの上で説明した好ましい実施形態には、ユーザ登録フェーズが含まれるが、セッション・ログに基づいてターゲット署名の発行時刻を判定できることで十分と思われる場合には、これを省略することができる。言い換えると、「ユーザ・トレーシング」ではなく「セッション・トレーシング」を実行できることで十分である場合には、ユーザ登録フェーズを省略することができる。

さらに、好ましい実施形態を、上では単一の信頼される機関を使用するＦＢＳＳに関して説明したが、その代わりに信頼される機関の組を使用することができ、定足数の信頼される機関が協力する時に限って匿名性を取り消すことができることを、当業者はすぐに諒解するであろう（言い換えると、署名トレーシング・プロトコルおよびセッション・トレーシング・プロトコルが、単一の信頼される機関ではなく信頼される機関の組によって実施される）。複数の信頼される機関がある場合への上で説明したＦＢＳＳの拡張は、当業者には単純であり、したがって、本明細書では詳細に説明しない。望まれる場合に、複数の信頼される機関がある場合へのこの技法の拡張の方法の１つに関するガイダンスを、Ａ．シャミア（A. Shamir）著，「秘密共有方法（How to Share a Secret）」，ＡＣＭ通信の予稿集（Proc. of Communications of the ACM），ｐｐ．６１２−６１３，１９７９年を検討すれば得ることができる。

さらに、好ましい実施形態を、署名者として単一のエンティティを使用するＦＢＳＳに関して上で説明したが、その代わりにエンティティの組を使用して署名者を構成することができ、有効な署名を生成するためにユーザが必要とするデータが、定足数の署名者を構成するエンティティの協力によって得られることを、当業者はすぐに諒解するであろう。言い換えると、本発明は、閾値フェア・ブラインド署名方式（threshold fair blind signature scheme）として実施することができる。署名者がエンティティの組によって構成される場合への上で説明したＦＢＳＳの拡張は、当業者には単純であり、したがって、本明細書では詳細に説明しない。望まれる場合に、この拡張を実行する方法に関するガイダンスが、Ｐ−Ａ フォーク（P-A Fouque），Ｊ．スタン（J. Stern）著，「標準的な仮定における完全分散スレショルドＲＳＡ（Fully distributed threshold RSA under standard assumptions）」，アジアクリプト’０１の予稿集（Proc. of Asiacrypt '01），コンピュータサイエンスの講義ノートの第２２４８巻（vol.2248 of Lecture Notes in Computer Science），ベルリン（Berlin），スプリンガー社(Springer-Verlag），ｐｐ３１０−３３０にある。

さらに、本発明が、署名方式にかかわる様々なエンティティの間でデータが渡される形に関して特に制限されないことを理解されたい。多くの応用で、このデータ伝送がインターネットを介して行われる可能性が高いが、これは、本発明の必要条件ではない。具体的には、他の通信ネットワーク（ＬＡＮ、ＷＡＮなどを含む）を使用することができる。

実施形態によるフェア・ブラインド署名方式を説明するためのブロック図である。

Claims (15)

1. メッセージに対するフェア・ブラインド・デジタル署名を入手するためにユーザが署名発行フェーズで署名者と対話するフェア・ブラインド署名方式であって、
   前記署名者が、公開鍵を有し、信頼される機関が、前記デジタル署名の匿名性を取り消すことができるフェア・ブラインド署名方式において、
   前記ユーザが、以下の式（１）を満足するように第１から第７の項目Ａ、ｅ、ｓ、ｔ、ｘ_u、ｘ、およびｍからなる７タプルを完成するために前記署名者からデータを入手し、
   

   

   ａ₀、ａ₁、ａ₂、ａ₃、ａ₄、ａ₅、およびｎが、前記署名者の公開鍵の要素であり、前記署名者によって生成され、
   ｍが、署名される前記メッセージであり、
   ｅおよびｓが、前記署名者によって一様にランダムに選択されるパラメータであり、
   ｔおよびｘ_uが、前記ユーザによって一様にランダムに選択されるパラメータであり、
   ｘが、前記ユーによって一様にランダムに選択されるパラメータおよび前記署名者によって一様にランダムに選択されるパラメータに基づいて前記ユーザによって計算される中間値であり、
   Ａが、以下の式（２）に従って計算されるパラメータであり、
   

   

   Ｃ₂が、以下の式（３）に従って前記ユーザによって計算されるパラメータであり、
   

   

   Ｉｄ_Uが、前記ユーザを識別するために前記ユーザによって計算されるコードであることを特徴とする、
   フェア・ブラインド署名方式。
2. 前記ユーザが前記フェア・ブラインド署名方式に従って署名されたメッセージｍを第三者にサブミットする署名サブミット・フェーズを含み、前記署名サブミット・フェーズで、前記ユーザが、前記第三者に、
   少なくとも１つの第１データ要素ａ^xu ₃を暗号化された形で含む暗号化されたデータＥ₃およびＥ₄と、
   Ａに対するコミットメントと、以下の式（４）で定義される知識の署名Ｐと、
   

   

   をサブミットし、
   Ｉ_sigが、Ｉ_sig＝ａ₁ ^x（ｍｏｄ ｎ）に従って前記ユーザによって計算されるパラメータであり、
   ｆが、前記信頼される機関の公開鍵であり、
   ｇおよびｈが、前記署名者の公開鍵のさらなる要素であり、
   Ｄ₁が、Ｄ₁＝Ａｈ^w1（ｍｏｄ ｎ）に従って定義されるパラメータであり、ｗ₁は、ユーザによって一様にランダムに選択されるパラメータであり、
   Ｄ₂が、Ｄ₂＝ｇ^w1ｈ^w2（ｍｏｄ ｎ）に従って定義されるパラメータであり、ｗ₂は、ユーザによって一様にランダムに選択されるパラメータであり、
   ｌ_eが、ｌ_e≧ｌ_r＋２に従って定義される長さパラメータであり、ｌ_r＝ｍａｘ（ｌ_m，ｌ_N）であり、ｌ_mはメッセージｍのビット長さであり、ｌ_NはパラメータＮのビット長さであり、Ｎ＝［ｎ／４］であり、
   ｌ_sが、ｌ_s≧ｌ_n＋ｌ_r＋ｌ＋３に従って定義される長さパラメータであり、ｌ_nはｎのビット長さであり、ｌはフェア・ブラインド署名方式によって定義されるセキュリティ・パラメータである
   請求項１に記載のフェア・ブラインド署名方式。
3. 前記署名発行フェーズ中に、前記ユーザが、前記信頼される機関に既知の鍵に従って暗号化された少なくとも１つの第２データ要素を含む第２の暗号化されたデータを前記署名者に提供し、前記第２のデータ要素が、前記署名されたメッセージの伝送中に開示され、これによって、前記信頼される機関が、署名発行セッションのトランスクリプトから、どのデジタル署名がそこから生じたかを判定することができる、請求項１または２に記載のフェア・ブラインド署名方式。
4. 前記暗号化されたデータＥ₃およびＥ₄が、前記信頼される機関に既知の鍵に従って暗号化された少なくとも１つの第１データ要素ａ^xu ₃を含み、前記少なくとも１つの第１データ要素ａ^xu ₃が、前記署名発行フェーズ中に前記署名者に開示され、これによって、前記信頼される機関が、送信された署名から、前記署名がどの前記署名発行セッションに発行されたかを判定することができる、請求項２に記載のフェア・ブラインド署名方式。
5. その間に前記ユーザが、前記ユーザを識別するように働くパラメータとして前記少なくとも１つの第１データ要素ａ^xu ₃を前記信頼される機関に提供するユーザ登録フェーズを含む、請求項４に記載のフェア・ブラインド署名方式。
6. 前記署名者が、複数のエンティティから構成され、前記ユーザに前記７つの組変数を完成するデータを提供するために、前記エンティティの定足数の協力が必要である、請求項１〜５のいずれか一つに記載のフェア・ブラインド署名方式。
7. 前記信頼される機関が、複数の信頼される機関によって構成され、前記デジタル署名の前記匿名性の取消を、前記複数の信頼される機関のうちの定足数の協力によって得ることができる、請求項１〜６のいずれか一つに記載のフェア・ブラインド署名方式。
8. 少なくとも１つのユーザ・コンピューティング・デバイス、署名者コンピューティング・デバイス、および信頼される機関コンピューティング・デバイスを含むコンピューティング・システムで使用される時に、前記コンピューティング・システムに請求項１〜７のいずれか一つに記載のフェア・ブラインド署名方式を実施させる命令の組を有するコンピュータ・プログラム。
9. 使用中に、メッセージに対するフェア・ブラインド・デジタル署名を入手するためにユーザが署名発行フェーズで署名者と対話するフェア・ブラインド署名方式を実施するように適合された署名システムであって、前記署名者が公開鍵を有し、信頼される機関が、前記デジタル署名の匿名性を取り消すことができ、前記署名システムが、
   少なくとも１つのユーザ装置と、
   署名者装置と、
   信頼される機関装置と
   を含み、前記ユーザ装置またはそのそれぞれが、署名発行プロトコルを実行するために前記署名者装置と協力するように適合され、
   前記信頼される機関装置および前記署名者装置が、少なくとも１つのトレーシング・プロトコルを実行するために協力するように適合された署名システムにおいて、
   前記署名発行プロトコルの実行が、以下の式（５）を満足するように第１から第７の項目Ａ、ｅ、ｓ、ｔ、ｘ_u、ｘ、およびｍからなる７つの組変数を前記ユーザ装置が完成できるようにする前記署名者装置からのデータを前記ユーザ装置に提供し、
   

   

   ａ₀、ａ₁、ａ₂、ａ₃、ａ₄、ａ₅、およびｎが、前記署名者の公開鍵であり、前記署名者装置で生成され、
   ｍが、署名される前記メッセージであり、
   ｅおよびｓが、前記署名者装置で一様にランダムに選択されるパラメータであり、
   ｔおよびｘ_uが、前記ユーザ装置で一様にランダムに選択されるパラメータであり、
   ｘが、前記ユーザ装置で一様にランダムに選択されるパラメータおよび前記署名者装置で一様にランダムに選択されるパラメータに基づいて前記ユーザ装置で計算される中間値であり、
   Ａが、以下の式（６）に従って計算されるパラメータであり、
   

   

   Ｃ₂が、以下の式（７）に従って前記ユーザ装置で計算されるパラメータであり、
   

   

   Ｉｄ_Uが、前記ユーザを識別するために前記ユーザ装置で計算されるコードであることを特徴とする、
   署名システム。
10. 使用中に、メッセージに対するフェア・ブラインド・デジタル署名を入手するためにユーザが署名発行フェーズで署名者と対話するフェア・ブラインド署名方式に参加するように適合されたユーザ装置であって、前記署名者が公開鍵を有し、信頼される機関が、前記デジタル署名の匿名性を取り消すことができ、前記ユーザ装置が、
    メッセージｍを提供するメッセージ提供手段と、
    所定の署名発行プロトコルに従って前記メッセージｍの署名に関する要求を署名者装置に発する署名要求手段と
    を含み、
    前記ユーザ装置が、前記署名発行プロトコルを実行するために前記署名者装置と協力するように適合されたユーザ装置において、
    前記署名発行プロトコルの実行が、以下の式（８）を満足するように第１から第７の項目Ａ、ｅ、ｓ、ｔ、ｘ_u、ｘ、およびｍからなる７つの組変数を前記ユーザ装置が完成できるようにする前記署名者装置からのデータを前記ユーザ装置に提供し、
    

    

    ａ₀、ａ₁、ａ₂、ａ₃、ａ₄、ａ₅、およびｎが、前記署名者の公開鍵であり、前記署名者装置で生成され、
    ｍが、署名される前記メッセージであり、
    ｅおよびｓが、前記署名者装置で一様にランダムに選択されるパラメータであり、
    ｔおよびｘ_uが、前記ユーザ装置で一様にランダムに選択されるパラメータであり、
    ｘが、前記ユーザ装置で一様にランダムに選択されるパラメータおよび前記署名者装置で一様にランダムに選択されるパラメータに基づいて前記ユーザ装置で計算される中間値であり、
    Ａが、以下の式（９）に従って計算されるパラメータであり、
    

    

    Ｃ₂が、に従って前記ユーザ装置で計算されるパラメータであり、
    

    

    Ｉｄ_Uが、前記ユーザを識別するために前記ユーザ装置で計算されるコードであることを特徴とする、
    ユーザ装置。
11. コンピュータ装置で使用される時に、請求項１０に記載のユーザ装置を構成するために前記コンピュータ装置を適合させる命令の組を有するコンピュータ・プログラム。
12. 使用中に、メッセージに対するフェア・ブラインド・デジタル署名を入手するためにユーザが署名発行フェーズで署名者と対話するフェア・ブラインド署名方式に参加するように適合された署名者装置であって、前記署名者が公開鍵を有し、信頼される機関が、前記デジタル署名の匿名性を取り消すことができ、前記署名者装置が、
    ユーザ装置からメッセージｍの署名に関する要求を受信する要求受信手段と、
    所定の署名発行プロトコルを実行するために前記ユーザ装置と協力する署名プロトコル実施手段と
    を含む署名者装置において、
    前記署名発行プロトコルの実行が、以下の式（１１）をを満足するように第１から第７の項目Ａ、ｅ、ｓ、ｔ、ｘ_u、ｘ、およびｍからなる７つの組変数を前記ユーザ装置が完成できるようにする前記署名者装置からのデータを前記ユーザ装置に提供し、
    

    

    ａ₀、ａ₁、ａ₂、ａ₃、ａ₄、ａ₅、およびｎが、前記署名者の公開鍵であり、前記署名者装置で生成され、
    ｍが、署名される前記メッセージであり、
    ｅおよびｓが、前記署名者装置で一様にランダムに選択されるパラメータであり、
    ｔおよびｘ_uが、前記ユーザ装置で一様にランダムに選択されるパラメータであり、
    ｘが、前記ユーザ装置で一様にランダムに選択されるパラメータおよび前記署名者装置で一様にランダムに選択されるパラメータに基づいて前記ユーザ装置で計算される中間値であり、
    Ａが、以下の式（１２）に従って計算されるパラメータであり、
    

    

    Ｃ₂が、以下の式（１３）に従って前記ユーザ装置で計算されるパラメータであり、
    

    

    Ｉｄ_Uが、前記ユーザを識別するために前記ユーザ装置で計算されるコードであることを特徴とする
    署名者装置。
13. コンピュータ装置で使用される時に、請求項１２に記載の署名者装置を構成するために前記コンピュータ装置を適合させる命令の組を有するコンピュータ・プログラム。
14. 使用中に、メッセージに対するフェア・ブラインド・デジタル署名を入手するためにユーザが署名発行フェーズで署名者と対話するフェア・ブラインド署名方式に参加するように適合され、前記署名者が公開鍵を有する信頼される機関装置であって、
    前記信頼される機関装置が、署名発行プロトコルに従って発行されるデジタル署名の匿名性を取り消すように適合され、前記署名発行プロトコルの実行が、以下の式（１４）を満足するように第１から第７の項目Ａ、ｅ、ｓ、ｔ、ｘ_u、ｘ、およびｍからなる７つの組変数を前記ユーザが完成できるようにする前記署名者からのデータを前記ユーザに提供し、
    

    

    ａ₀、ａ₁、ａ₂、ａ₃、ａ₄、ａ₅、およびｎが、前記署名者の公開鍵であり、前記署名者によって生成され、
    ｍが、署名される前記メッセージであり、
    ｅおよびｓが、前記署名者によって一様にランダムに選択されるパラメータであり、
    ｔおよびｘ_uが、前記ユーザによって一様にランダムに選択されるパラメータであり、
    ｘが、前記ユーザによって一様にランダムに選択されるパラメータおよび前記署名者によって一様にランダムに選択されるパラメータに基づいて前記ユーザによって計算される中間値であり、
    Ａが、以下の式（１５）に従って計算されるパラメータであり、
    

    

    Ｃ₂が、以下の式（１６）に従って前記ユーザによって計算されるパラメータであり、
    

    

    Ｉｄ_Uが、前記ユーザを識別するために前記ユーザによって計算されるコードであることを特徴とする
    信頼される機関装置。
15. コンピュータ装置で使用される時に、請求項１４に記載の信頼される機関装置を構成するために前記コンピュータ装置を適合させる命令の組を有するコンピュータ・プログラム。

Images