JP2009193544A - 電子投票方法、電子投票システム及びそのプログラム - Google Patents

Abstract

【課題】本発明は、投票の正当性、匿名性、検証可能性といった点を確保することができる電子投票システムを提供することを目的とするものである。
【解決手段】電子投票システムは、投票者の正当性を確認して投票に必要な情報を投票者端末１に送信する投票管理装置３と、投票者端末１から送信された投票情報を投票掲示板に開示する掲示板管理装置４と、開示された投票情報に基づいて開票情報を開票掲示板に開示する開票管理装置５とを備えている。掲示板管理装置４は、投票情報を暗号化処理して暗号化投票情報を生成し、正当な投票者に対して割り当てられた投票者情報に対応して暗号化投票情報及び投票識別情報を暗号処理した暗号化投票識別情報を投票掲示板に開示する。開票管理装置５は、投票掲示板から暗号化された情報を抽出し開票掲示板にランダムに配列し、これらの情報を復号化した投票識別情報及び投票情報を開票掲示板に開示する。
【選択図】図１

Description

本発明は、投票者が端末装置から通信ネットワークを介して投票を行う電子投票方法、電子投票システム及びそのプログラムに関する。

近年、インターネット等の通信ネットワークの普及に伴い、通信ネットワークを介した電子投票システムが提供されている。電子投票システムでは、投票者が投票内容を電子的な情報として投票し、コンピュータによって開票結果を集計するため、投票の公正な実施と投票結果の迅速な集計を可能にするシステムとして期待されている。

アンケート調査のように「ＹＥＳ」又は「ＮＯ」のいずれかを入力する投票形式の場合には、一般に投票結果に対して厳格な正当性を要求されることはないが、議員や委員等の選挙のように複数候補から選択する投票形式では、投票券の発行や開票結果の集計等で厳格な正当性が求められる。

特許文献１では、各投票者の投票内容を秘匿し、各投票者が持つ票を複数の選択肢に任意に分割して投票することができるようにするために、投票データ生成サーバが各集計サーバに対応した秘密分散された投票データのシェアを投票パターン毎に生成し、各集計サーバの鍵により暗号化して端末装置に送信し、各端末装置では、受信した投票パターン毎の投票データのシェアの暗号文の中から、各投票者が投票するパターンに応じた投票データのシェアの暗号文を、対応する各集計サーバへ送信して投票を行うようにした電子投票システムが記載されている。
特開２００４−１９２０２９号公報

一般に、選挙のように厳格な正当性が求められる投票形式では、（１）投票者の正当性、（２）投票者の匿名性、（３）投票の公平性、（４）投票の検証可能性及び（５）票強要の防止性といった点を考慮する必要がある。投票者の正当性については、例えば無資格者が投票するのを防止することであり、投票者の匿名性については、投票された個別の票が誰の投票したものであるか判別できないようにすることであり。また、投票の公平性については、投票期間中に途中集計結果や個別の票の投票内容が判別できないようにすることであり、投票の検証可能性については、投票されたすべての票が集計に正しく反映されているか否かを検証できることである。また、票強要の防止性は、票の買収などを防止することであり、例えば投票者が投票内容を記述したレシートなどを受け取る場合には、票の買収者がレシートを見ることによって買収がより確実になるため、票の強要を防止することができない。

しかしながら、これまでの電子投票システムでは、上述した（１）から（５）のすべての点を実現するのは難しいのが現状である。

そこで、本発明は、これらの点を実現することができる電子投票方法、電子投票システム及びそのプログラムを提供することを目的とするものである。

本発明に係る電子投票方法は、投票内容に投票識別情報を組み合せた投票情報を暗号化処理して暗号化投票情報を生成するステップ、前記暗号化投票情報及び前記投票識別情報を暗号処理した暗号化投票識別情報を投票掲示板に開示するステップを実行するとともに、前記投票掲示板から前記暗号化投票識別情報及び前記暗号化投票情報を抽出するステップ、前記暗号化投票識別情報及び前記暗号化投票情報を再処理した前記投票識別情報及び前記投票情報を開票掲示板に開示するステップを実行することを特徴とする。さらに、正当な投票者に対して投票者情報を割り当てるステップ、正当な前記投票者情報を提示した投票者に対して前記投票識別情報を生成するステップ、前記投票識別情報を暗号化処理して前記暗号化投票識別情報を生成するステップを実行することを特徴とする。さらに、前記投票者情報とともに当該投票者情報と関連付けられた補助投票者情報を割り当てるステップを実行することを特徴とする。さらに、前記投票掲示板に開示される前記投票者情報に対応する前記補助投票者情報が入力されたことを確認するステップを実行することを特徴とする。

本発明に係る電子投票システムは、投票内容に投票識別情報を組み合せた投票情報を暗号化処理して暗号化投票情報を生成する手段、前記暗号化投票情報及び前記投票識別情報を暗号処理した暗号化投票識別情報を投票掲示板に開示する手段を有する第一機能と、前記投票掲示板から前記暗号化投票識別情報及び前記暗号化投票情報を抽出する手段、前記暗号化投票識別情報及び前記暗号化投票情報を再処理した前記投票識別情報及び前記投票情報を開票掲示板に開示する手段を有する第二機能とを備えていることを特徴とする。さらに、正当な投票者に対して投票者情報を割り当てる手段、正当な前記投票者情報を提示した投票者に対して前記投票識別情報を生成する手段、前記投票識別情報を暗号化処理して前記暗号化投票識別情報を生成する手段を有する第三機能を備えていることを特徴とする。さらに、前記第三機能は、前記投票者情報とともに当該投票者情報と関連付けられた補助投票者情報を割り当てる手段を有することを特徴とする。さらに、前記第一機能は、前記投票掲示板に開示される前記投票者情報に対応する前記補助投票者情報が入力されたことを確認する手段を有することを特徴とする。

本発明に係るプログラムは、投票者端末と、投票者端末から送信された投票内容に関する情報を投票掲示板により開示する第一機能と、開示された投票内容に関する情報に基づいて開票情報を開票掲示板により開示する第二機能とを備えている電子投票システムにおいて、前記第一機能を実行させるためのプログラムであって、投票内容に投票識別情報を組み合せた投票情報を暗号化処理して暗号化投票情報を生成する手段、前記暗号化投票情報及び前記投票識別情報を暗号処理した暗号化投票識別情報を投票掲示板に開示する手段として実行させる。前記第一機能を、さらに、前記投票掲示板に開示される前記投票者情報に関連付けられた補助投票者情報が入力されたことを確認する手段として実行させる。

本発明に係る別のプログラムは、投票者端末と、投票者端末から送信された投票内容に関する情報を投票掲示板により開示する第一機能と、開示された投票内容に関する情報に基づいて開票情報を開票掲示板により開示する第二機能とを備えている電子投票システムにおいて、前記第二機能を実行させるためのプログラムであって、前記投票掲示板から前記暗号化投票識別情報及び前記暗号化投票情報を抽出する手段、前記暗号化投票識別情報及び前記暗号化投票情報を再処理した前記投票識別情報及び前記投票情報を開票掲示板に開示する手段として実行させる。

本発明に係るさらに別のプログラムは、投票者端末と、投票に必要な情報を投票者端末に送信する第三機能と、投票者端末から送信された投票内容に関する情報を投票掲示板により開示する第一機能と、開示された投票内容に関する情報に基づいて開票情報を開票掲示板により開示する第二機能とを備えている電子投票システムにおいて、前記第三機能を実行させるためのプログラムであって、正当な投票者に対して前記投票者情報を割り当てる手段、正当な前記投票者情報を提示した投票者に対して前記投票識別情報を生成する手段、前記投票識別情報を暗号化処理して前記暗号化投票識別情報を生成する手段として実行させる。前記第三機能を、さらに、前記投票者情報とともに当該投票者情報と関連付けられた補助投票者情報を割り当てる手段として実行させる。

本発明は上記の構成を備えることで、正当な投票者に対して割り当てられた一意的で匿名性のある投票者情報に対応して暗号化投票情報及び暗号化投票識別情報を投票掲示板に開示するので、投票者は投票掲示板に開示された投票者情報を確認することで自身の投票が正当に掲示されているか確認することができる。そして、正当な投票者のみに投票者情報を割り当てるとともに投票者情報に匿名性を持たせることで、正当な投票者以外の者が投票掲示板を見ても投票者が投票したことを知られることはない。そのため、投票の正当性及び匿名性が確保されるようになる。

また、投票内容に投票識別情報を解読困難となるように組み合せた投票情報として掲示板管理装置に渡すことで掲示板管理装置が投票内容を知ることはできず、さらに投票情報に対して掲示板管理装置が暗号化処理した暗号化投票情報として投票掲示板に開示しているので、投票者以外の者が投票掲示板を見ても投票内容を知ることはできない。

したがって、各投票者は自分が投票したことを投票掲示板で確認できるものの投票者以外の者には誰が投票したのか、どのような投票内容か知ることはできず、投票の公平性が確保される。

また、投票掲示板から暗号化投票識別情報及び暗号化投票情報を抽出し、それらの復号化処理を経て開票掲示板に配列することで、投票者情報と関連付けられることなく暗号化投票識別情報及び暗号化投票情報が配列され、開票掲示板に開示された投票識別情報及び投票情報からそれらを誰が投票したものか投票者自身にも特定することはできなくなる。そのため票強要の防止性が確保される。

また、投票掲示板から情報を抽出して開票掲示板に開示するので、投票掲示板に開示された情報と開票掲示板に開示された情報を照合すれば、投票内容がすべて開票されたか否か容易に検証することができ、投票の検証可能性が確保される。

そして、投票情報が投票内容及び投票識別情報の組合せであることから、開示された情報から容易に投票内容を知ることができ、簡単に開票して投票内容を集計することが可能となる。その際に投票情報はすべて開示されているので、集計の際に不正を行うことはできない。

また、投票管理装置を備えて、投票者に関する認証情報に基づいて投票者の正当性を確認し、正当な投票者に対して一意的で匿名性のある投票者情報を割り当てることで、投票の十分な正当性及び匿名性を確保することができる。そして、正当な投票者情報を提示した投票者に対して投票識別情報を生成して投票識別情報を暗号化処理して暗号化投票識別情報を生成するようにすることで、投票者には投票内容を解読困難とする投票識別情報を送信し、掲示板管理装置には暗号化投票識別情報を送信すれば、掲示板管理装置に対しても投票内容を知られることなく投票掲示板に投票に関する情報を開示することができる。さらに、投票内容を含む投票情報については掲示板管理装置において暗号化処理されるので、投票者が掲示板管理装置に送信した投票情報が投票管理装置に知られることはない。そのため、投票管理装置及び掲示板管理装置が単独で投票内容を知ることができず、投票の公平性が十分確保される。

また、投票管理装置が、投票者情報とともに当該投票者情報と関連付けられた補助投票者情報を割り当て、補助投票者情報に対する投票者の署名処理後投票者情報を投票者に送信するようにすれば、投票者情報を確実に投票者に送信することができ、投票の正当性を確実なものとすることができる。

また、掲示板管理装置が、投票掲示板に開示される投票者情報に対応する補助投票者情報の入力を確認し、投票掲示板に暗号化投票識別情報及び暗号化投票情報とともに入力された補助投票者情報を開示するようにすれば、投票者が投票掲示板に開示される情報を確認して補助投票者情報を掲示板管理装置に送信することで投票者の確認を補助投票者情報のやりとりで確実に行うことができる。そして、送信された補助投票者情報が投票者情報に関連付けられたものであるか確認することで、掲示板管理装置において正当な投票者から補助投票者情報が送信されたものかチェックすることができる。

以下、本発明に係る実施形態について詳しく説明する。なお、以下に説明する実施形態は、本発明を実施するにあたって好ましい具体例であるから、技術的に種々の限定がなされているが、本発明は、以下の説明において特に本発明を限定する旨明記されていない限り、これらの形態に限定されるものではない。

図１は、本発明に係る電子投票システムに関する実施形態の構成を示す概略図である。各投票者が操作する投票者端末１は、インターネット等のネットワーク２を介して、第三機能である投票管理装置３、第一機能である掲示板管理装置４及び第二機能である開票管理装置５に接続されている。第三機能である投票管理装置３は、投票に必要な処理を行い、第一機能である掲示板管理装置４は、投票結果を投票掲示板４２に開示する処理を行い、第二機能である開票管理装置５は、投票結果に基づいて開票掲示板５２に開票結果を開示する処理を行う。

投票者端末１は、携帯電話や携帯端末のような携帯用情報機器やパソコン等の情報処理装置を通信ネットワークに接続して用いることができる。

図２は、投票管理装置３、掲示板管理装置４及び開票管理装置５に関するブロック構成図であり、図３はそのハードウェア構成例である。制御部１０は、記憶部１３に保存された基本ソフトを読み込んで装置全体の制御処理を行うと共に各種プログラムを読み込んでその機能を実現する。入力部１１及び表示部１２は、管理のための各種コマンドなどの入力と処理状況等の表示を行うためのものである。記憶部１３は、基本ソフト（ＯＳ）が実装され、それぞれの実現する機能に合せて、投票管理用プログラム、掲示板管理用プログラム又は開票管理用プログラム等が保存されており、機能を実現するための各種テーブル及び掲示板用ファイルが保存されている。また、通信部１４は、通信ネットワーク２を介して投票者端末１や各管理装置との間でデータの送受信を行う。

制御部１０に対応するＣＰＵ２０及びメモリ２４、入力部１１に対応するキーボード２２及びマウス２３、表示部１２に対応する液晶表示パネル等のディスプレイ２１、通信部１４に対応するＬＡＮボード２５、記憶部１３に対応するハードディスク２６がデータ伝送路を介して互いに接続されている。

投票管理装置３は、制御部３０及び記憶部３１を備えており、制御部３０は、認証処理部３０ａ、投票者情報処理部３０ｂ、投票識別情報処理部３０ｃ、暗号化処理部３０ｄ及び再配列処理部３０ｅを備えている。

認証処理部３０ａは、投票者に関する認証情報に基づいて投票者の正当性を確認する。投票者情報処理部３０ｂは、正当な投票者に対して投票者情報である正トークン及び補助投票者情報である副トークンを生成して割り当てる処理を行う。投票識別情報処理部３０ｃは、正当な投票者情報を提示した投票者に対して投票識別情報である正乱数及び副乱数を生成して投票に必要な処理を行う。暗号化処理部３０ｄは、投票識別情報である正乱数を掲示板管理装置の公開鍵Ｐで暗号化処理して暗号化投票識別情報を生成して投票掲示板４２の開示に必要な処理を行う。再配列処理部３０ｅは、投票掲示板に書き込まれた暗号化投票情報及び暗号化投票識別情報を開票管理装置の公開鍵Ｑで再暗号化処理した再暗号化投票情報と再暗号化投票識別情報を作成した後、ランダムに順序を入れ替えて開票掲示板５２により開示する処理を行う。

記憶部３１は、投票者テーブル３１ａ、投票者情報テーブル３１ｂ、乱数テーブル３１ｃ及び暗号化ファイル３１ｄを記憶している。投票者テーブル３１ａには、図４に示すように、正当な投票者に関するＩＤ、氏名、パスワード等の属性データとともに投票者情報である正トークンを投票者が受領したことを示す受領確認データが記憶されている。投票者情報テーブル３１ｂには、図５に示すように、投票者が受領済みの投票者情報である正トークンとそれに対応する投票識別情報である正乱数をそれぞれ別々に登録している。

乱数テーブル３１ｃには、正トークン及び副トークンを生成するために必要な乱数が投票管理装置３の署名が入った状態で予め登録されており、正副トークンの生成に使用された乱数は削除されて同一の乱数が使用されないようになっている。また、暗号化ファイル３１ｄには、投票識別情報である正乱数の暗号化処理並びに投票情報及び投票識別情報を再暗号化処理するのに用いる掲示板管理装置の公開鍵Ｐ、開票管理装置の公開鍵Ｑ、公開された整数Ｕ及びＶ並びに秘密の整数Ｕ^-1が登録されている。

掲示板管理装置４は、制御部４０、記憶部４１及び投票掲示板４２を備えており、制御部４０は、暗号化処理部４０ａ及び開示処理部４０ｂを備えている。

掲示板管理装置４には、投票者端末から投票内容に投票識別情報である正副トークンを解読困難となるように組み合せた投票情報が送信される。暗号化処理部４０ａは、送信された投票情報を掲示板管理装置の公開鍵Ｐで暗号化処理して暗号化投票情報を生成する。開示処理部４０ｂは、投票者端末から投票情報が送信された際に投票レシートを投票者端末に返信して投票者による確認処理を行って補助投票者情報である副トークンを受領し、また、投票管理装置３から送信される投票者情報である正トークン及び暗号化投票識別情報を受領して、正トークンに対応して暗号化投票情報、暗号化投票識別情報及び副トークンを投票掲示板４２に開示する処理を行う。

記憶部４１は、投票情報を暗号化処理するのに用いる掲示板管理装置の公開鍵Ｐと秘密鍵Ｐ^-1並びに公開された整数Ｕ及びＶを登録する暗号化ファイル４１ａを備えている。また、投票掲示板４２は、図６に示すように、投票者情報である正トークンに対応して暗号化投票情報、暗号化投票識別情報及び副トークンが登録されて開示されており、外部からアクセスして自由に閲覧可能となっている。

開票管理装置５は、制御部５０、記憶部５１及び開票掲示板５２を備えており、制御部５０は、配列処理部５０ａ、開示処理部５０ｂ、開票処理部５０ｃ及び投票レシート処理部５０ｄを備えている。

配列処理部５０ａは、投票管理装置の再配列処理部３０ｅが開票掲示板５２に配列した再暗号化投票識別情報及び再暗号化投票情報を抽出し、掲示板管理装置から受け取る秘密鍵Ｐ^-1で復号した後、それぞれを復号化可能投票識別情報及び復号化可能投票情報として開票掲示板５２に再度ランダムに配列処理する。このような配列処理をすることで、投票者情報との関連付けがなくなり、誰の投票内容に基づくものか知られることがなくなる。

開示処理部５０ｂは、配列された復号化可能投票識別情報及び復号化可能投票情報を自身の秘密鍵Ｑ^-1で復号化処理して、復号化された投票識別情報及び投票情報を開票掲示板５２に開示処理する。開票処理部５０ｃは、開示された投票識別情報及び投票情報に基づいて投票内容を抽出して集計処理する。投票レシート処理部５０ｄは、掲示板管理装置４から送信された正トークン、投票レシート、副乱数及び正副乱数の積である乱数積を暗号化処理した暗号化乱数積を受領して投票レシートの確認処理が投票者によりなされた場合に、投票レシートテーブル５１ａにこれらのデータを登録処理する。

記憶部５１は、投票レシートテーブル５１ａ及び暗号化ファイル５１ｂを備えており、投票レシートテーブル５１ａには、図７に示すように、投票者情報である正トークンに対応して投票レシート、投票識別情報である副乱数及び正副乱数を掛け合せた乱数積を暗号化処理した暗号化乱数積が登録されている。暗号化ファイル５１ｂは、復号化可能投票情報及び復号化可能投票識別情報を復号化処理するのに用いる開票管理装置の公開鍵Ｑ及び秘密鍵Ｑ^-1、公開された整数Ｕ及びＶ並びに秘密の整数Ｖ^-1を備えている。また、開票掲示板５２は、図８に示すように、投票情報に関する復号化可能票又は復号化票、投票識別情報である正乱数に関する復号可能化正乱数又は復号化正乱数が登録されて開示されており、外部からアクセスして自由に閲覧可能となっている。

次に、上述した電子投票システムの処理フローについて説明する。まず、正当な投票者に投票者情報である正トークン及び補助投票者情報である副トークンを割り当てる処理が行われる。

図９は、正副トークンを正当な投票者が取得するための仮トークンを取得する処理フローである。投票者端末から投票管理装置にアクセスして（Ｓ１００）投票管理装置からメニュー画面が送信される（Ｓ１０１）。投票者端末において仮トークン取得メニューを選択すると（Ｓ１０２）、乱数テーブル３１ｃから投票管理装置の署名がなされた仮トークンＳｉｇ₀（Ｔ）となる乱数のリストが読み出されて（Ｓ１０３）投票者端末に送信される。投票者端末では投票者が１つの乱数を選択して仮トークンＳｉｇ₀（Ｔ）として保存する（Ｓ１０４）。そして、選択結果が投票管理装置に送信されて乱数テーブル３１ｃから選択された乱数が削除処理される（Ｓ１０５）。投票者端末では、選択された仮トークンＳｉｇ₀（Ｔ）を投票者暗合鍵を用いて暗号化し（Ｓ１０６）、暗号化仮トークンＢ（Ｓｉｇ₀（Ｔ））を保存しておく（Ｓ１０７）。

投票者は、取得した仮トークンに基づいて正副トークンを取得する。図１０は、正副トークンを取得するための処理フローである。投票者端末から投票管理装置にアクセスして（Ｓ２００）投票管理装置からメニュー画面が送信される（Ｓ２０１）。投票者端末において正副トークン取得メニューを選択すると（Ｓ２０２）、投票管理装置から認証画面が送信される（Ｓ２０３）。投票者端末において、暗号化仮トークンＢ（Ｓｉｇ₀（Ｔ））とともに投票者のＩＤ、パスワード等の認証のためのデータを入力して投票管理装置に送信する（Ｓ２０４）。投票管理装置では、入力された認証データを投票者テーブル３１ａに登録されたデータと照合して認証処理を行うとともに受領確認データの有無をチェックして既に正副トークンを発行していないか重複チェックする（Ｓ２０５）。その結果正当な投票者として認められない場合や重複している場合には正副トークンの発行を拒否するエラー処理を行う。

正当な投票者であると認められ受領確認データが無しの場合には、送信された暗号化仮トークンＢ（Ｓｉｇ₀（Ｔ））を署名鍵Ｔ１及びＴ２により暗号化処理して２つの署名された暗号化仮トークンＳｉｇ_T1（Ｂ（Ｓｉｇ₀（Ｔ）））及びＳｉｇ_T2（Ｂ（Ｓｉｇ₀（Ｔ）））を生成する（Ｓ２０６）。そして、署名鍵Ｔ２により署名された暗号化仮トークンＳｉｇ_T2（Ｂ（Ｓｉｇ₀（Ｔ）））を投票者端末に送信する（Ｓ２０７）。

投票者端末では、署名鍵Ｔ２に対応する署名公開鍵を用いて署名された暗号化仮トークンＳｉｇ_T2（Ｂ（Ｓｉｇ₀（Ｔ）））を復号化して元の暗号化仮トークンＢ（Ｓｉｇ₀（Ｔ））が得られるかチェックして署名鍵Ｔ２の正当性を確認し（Ｓ２０８）、問題がなければ投票者テーブルへの受領確認の署名を承認する（Ｓ２０９）。

署名が承認されると、投票管理装置は投票者テーブルの該当する投票者データを読み出して投票者端末に送信し（Ｓ２１０）、投票者端末では送信された投票者データを確認して受領確認欄に署名データを入力する（Ｓ２１１）。投票管理装置では、入力された署名データの正当性をチェックして（Ｓ２１２）正当性が確認されると、署名データを登録する（Ｓ２１３）。

そして、受領確認処理が完了すると、投票管理装置は、署名鍵Ｔ１により署名された暗号化仮トークンＳｉｇ_T1（Ｂ（Ｓｉｇ₀（Ｔ）））を投票者端末に送信する（Ｓ２１４）。投票者端末では、受領した２つの署名された暗号化仮トークンＳｉｇ_T1（Ｂ（Ｓｉｇ₀（Ｔ）））及びＳｉｇ_T2（Ｂ（Ｓｉｇ₀（Ｔ）））を自身の暗号鍵を用いて復号化し（Ｓ２１５）、正トークンＳｉｇ_T1（Ｓｉｇ₀（Ｔ））及び副トークンＳｉｇ_T2（Ｓｉｇ₀（Ｔ））を生成して保存する（Ｓ２１６）。

こうして投票者情報として用いる正トークン及び補助投票者情報として用いる副トークンを取得することができる。そして、ステップＳ２０５での認証処理により正当な投票者のみに正副トークンを割り当てられる。また、投票者が仮トークンを取得する際に匿名で取得することができ、投票管理装置との間では仮トークンを暗号化したままで正副トークンの生成処理を行うため、投票管理装置に対して匿名のまま投票者は正副トークンを取得することができ、以後正トークンを用いて投票に必要な処理を行うことで投票の正当性及び匿名性が確保される。

次に、投票者端末から投票を行う場合の処理を説明する。図１１及び図１２は、その処理フローである。投票者端末から投票管理装置にアクセスして（Ｓ３００）投票管理装置からメニュー画面が送信される（Ｓ３０１）。投票者端末において投票メニューを選択すると（Ｓ３０２）、投票管理装置から正トークン入力画面が送信される（Ｓ３０３）。

投票者端末において正トークンＳｉｇ_T1（Ｓｉｇ₀（Ｔ））を入力すると（Ｓ３０４）、投票管理装置では正トークンに署名Ｔ１があるかチェックして、またＳｉｇ₀（Ｔ）の署名が正しいことをチェックして（Ｓ３０５）正トークンの正当性が確認されると、正トークンに対応する副トークンＳｉｇ_T2（Ｓｉｇ₀（Ｔ））が投票掲示板４２に開示されていないかチェックする（Ｓ３０６）。副トークンが投票掲示板４２に開示されている場合には既に投票が行われていることから、投票処理を拒否するエラー処理が行われる。正トークンが正当なものでない場合にも同様のエラー処理が行われる。ここでＳｉｇ₀（Ｔ）に投票管理装置の署名があることから、投票端末が乱数テーブルから取り出した乱数ではない値を正トークン、副トークンとして用いることが禁止され、正トークン、副トークンの一意性が保証される。

副トークンが投票掲示板４２に開示されていないことが確認された場合には、投票識別情報として正乱数Ｒ及び副乱数ｒ_Mが生成される（Ｓ３０７）。正乱数は、正トークン毎に異なる乱数が割り当てられるように生成される。そして、正トークン及び正乱数Ｒを投票者情報テーブル３１ｂに登録する（Ｓ３０８）。次に、正乱数Ｒ及び副乱数ｒ_Mを掛け合わせた乱数積Ｒｒ_Mを生成して投票者端末に送信する（Ｓ３０９）。したがって、投票者が自分に送信された正乱数Ｒを知ることはできない。

投票者端末では、乱数積Ｒｒ_Mが送信されると、投票内容である投票データｖｏｔｅを作成する（Ｓ３１０）。また、投票管理装置では、正乱数Ｒを暗号化パラメータＵ、Ｖから計算されるＷ＝ＵＶと掲示板管理装置の公開鍵Ｐ用いて暗号化正乱数Ｅ_P（Ｒ^W）を生成し、また乱数積Ｒｒ_Mを用いて暗号化乱数積（Ｒｒ_M）^Wを生成する（Ｓ３１１）。この場合、暗号化パラメータU、V及び掲示板管理装置の公開鍵Ｐは、暗号化ファイル３１ｄに保存された公開データである。またここでＲ^W及び（Ｒｒ_M）^Wは適切な整数ｎに関するｍｏｄ演算である。

投票者端末では、作成した投票データｖｏｔｅに乱数積Ｒｒ_Mを掛け合わせた投票情報及び公開されたＵ、Ｖから計算されるＷ＝ＵＶにより暗号化乱数積（Ｒｒ_M）^Wを生成、投票情報ｖｏｔｅ・Ｒｒ_M及び暗号化乱数積（Ｒｒ_M）^Wを掲示板管理装置に送信する（Ｓ３１２）。一方、投票管理装置では、正トークンＳｉｇ_T1（Ｓｉｇ₀（Ｔ））とともにそれに対応する暗号化正乱数Ｅ_P（Ｒ^W）、副乱数ｒ_M及び暗号化乱数積（Ｒｒ_M）^Wを掲示板管理装置に送信する（Ｓ３１３）。

掲示板管理装置では、投票者端末及び投票管理装置から送信された暗号化乱数積（Ｒｒ_M）^Wが一致するかチェックし（Ｓ３１４）、一致する場合には、投票者端末から送信された投票情報ｖｏｔｅ・Ｒｒ_M及び投票管理装置から送信された副乱数ｒ_Mから投票情報ｖｏｔｅ・Ｒを生成する。この場合、掲示板管理装置は、正乱数Ｒについては知ることができないため、投票データｖｏｔｅの内容を見ることはできないようになっている。暗号化乱数積（Ｒｒ_M）^Wが一致しない場合には、投票処理を拒否するエラー処理を行う。

そして、投票情報ｖｏｔｅ・Ｒを自身の公開鍵Ｐを用いて暗号化票Ｅ_P（ｖｏｔｅ・Ｒ）を生成する（Ｓ３１５）。この場合、公開鍵Ｐは、暗号化ファイル４１ａに保存されているデータである。

そして、掲示板管理装置では、正トークンＳｉｇ_T1（Ｓｉｇ₀（Ｔ））とともにそれに対応する暗号化票Ｅ_P（ｖｏｔｅ・Ｒ）、暗号化正乱数Ｅ_P（Ｒ^W）を投票掲示板４２の正トークンに対応する位置に登録する（Ｓ３１６）。

次に、掲示板管理装置では、投票情報ｖｏｔｅ・Ｒｒ_M及びｖｏｔｅ・Ｒを暗号化処理して投票レシートＳｉｇ_B（ｖｏｔｅ・Ｒｒ_M）及び投票レシート写しＳｉｇ_B（ｖｏｔｅ・Ｒ）を生成する（Ｓ３１７）。そして、投票レシートＳｉｇ_B（ｖｏｔｅ・Ｒｒ_M）を投票者端末に送信する（Ｓ３１８）。投票者端末では、掲示板管理装置の署名公開鍵を用いて投票レシートを復号化し送信された投票情報の正当性をチェックし（Ｓ３１９）、投票情報がステップＳ３１２で送信したものと同一の場合には副トークンＳｉｇ_T2（Ｓｉｇ₀（Ｔ））を掲示板管理装置及び開票管理装置に送信する（Ｓ３２０）。投票情報が同一でない場合には再度投票処理を行う。

掲示板管理装置では、投票レシートを投票者端末に送信した後、正トークンＳｉｇ_T1（Ｓｉｇ₀（Ｔ））とともにそれに対応する投票レシート写しＳｉｇ_B（ｖｏｔｅ・Ｒ）、副乱数ｒ_M及び暗号化乱数積（Ｒｒ_M）^Wを開票管理装置に送信する（Ｓ３２１）。また、投票者端末から副トークンＳｉｇ_T2（Ｓｉｇ₀（Ｔ））が送信された場合には、副トークンに署名Ｔ２があるかチェックして（Ｓ３２２）副トークンの正当性が確認されると、副トークンを正トークンに対応して投票掲示板４２に登録する（Ｓ３２３）。

開票管理装置では、投票者端末から副トークンが送信された場合に、掲示板管理装置から送信された正トークン、投票レシート写し、副乱数及び暗号化乱数積を投票レシートテーブル５１ａに登録する。この場合、正トークンに対応して投票レシート写し、副乱数及び暗号化乱数積を登録しておく。

以上の投票処理により投票結果が投票掲示板において開示されるが、開示された正トークンＳｉｇ_T1（Ｓｉｇ₀（Ｔ））、暗号化票Ｅ_P（ｖｏｔｅ・Ｒ）、暗号化正乱数Ｅ_P（Ｒ^W）及び副トークンＳｉｇ_T2（Ｓｉｇ₀（Ｔ））からは、投票管理装置は暗号鍵Ｐの復号鍵Ｐ^-1を知らないため単独で投票データｖｏｔｅの内容を知ることはできない。また、Ｒ^WからＲを計算するのが困難であるため掲示板管理装置は正乱数Ｒを知ることができず、同様に投票データｖｏｔｅの内容を単独で知ることはできない。投票者は、正トークンを知っているため自身の投票内容が投票掲示板に登録されていることは確認することができるが、暗号鍵Ｐの復号鍵Ｐ^-1及び正乱数Ｒを知らないため第三者に正トークンを知らせたとしても第三者は投票者の投票内容を確認することはできない。したがって、投票者が第三者から票の強要をされることが防止される。

次に、投票掲示板に開示された投票結果に基づいて開票処理が行われる。図１３は、開票処理に関するフローである。まず、投票管理装置が投票掲示板より暗号化票Ｅ_P（ｖｏｔｅ・Ｒ）、暗号化正乱数Ｅ_P（Ｒ^W）を読み出して（Ｓ４００）、それらを投票管理装置の公開鍵Ｑで暗号化処理した再暗号化票Ｅ_Q（Ｅ_P（ｖｏｔｅ・Ｒ））及び再暗号化正乱数Ｅ_Q（Ｅ_P（Ｒ^W））を計算した（Ｓ４０１）後に再暗号化票及び再暗号化正乱数を１セットとして開票掲示板５２にランダムに配列するよう処理し（Ｓ４０２）、開票管理装置において登録処理を行う（Ｓ４０３）。

次に、掲示板管理装置から公開鍵Ｐの復号鍵Ｐ^-1が開票管理装置に送信される（Ｓ４０４）。開票管理装置は、開票掲示板５２より再暗号化票Ｅ_Q（Ｅ_P（ｖｏｔｅ・Ｒ））及び再暗号化正乱数Ｅ_Q（Ｅ_P（Ｒ^W））を読み出して、掲示板管理装置から通知された公開鍵Ｐの復号鍵Ｐ^-1を用いて復号化可能票Ｅ_Q（ｖｏｔｅ・Ｒ）及び復号化可能正乱数Ｅ_Q（Ｒ^W）を計算し（Ｓ４０５）、開票掲示板５２にランダムに配列するよう処理し（Ｓ４０６）登録処理を行う（Ｓ４０７）。この場合、復号化可能票及び復号化可能正乱数を１セットとしてランダムに配列する。そのため、正トークンとの関連付けがなくなり、復号化可能票及び復号化可能正乱数が誰の投票結果を示すものか特定できないようになっている。

次に、開票掲示板５２に登録された復号化可能票Ｅ_Q（ｖｏｔｅ・Ｒ）及び復号化可能正乱数Ｅ_Q（Ｒ^W）を開票管理装置の復号鍵Ｑ^-1を用いて復号化処理してそれぞれ復号化票ｖｏｔｅ・Ｒ及び復号化正乱数Ｒ^Wを計算し（Ｓ４０８）、開票掲示板５２に登録された復号化可能票及び復号化可能正乱数と置換して登録する（Ｓ４０９）。ここで、投票管理装置から整数Ｕ^-1が開示され（Ｓ４１０）、整数Ｕ^-1及び開票管理装置から開示される整数Ｖ^-1により復号化正乱数Ｒ^Kが計算される（Ｓ４１１）。整数Ｕ^-1及びＶ^-1は、ＵＶＵ^-1Ｖ^-1＝ＷＵ^-1Ｖ^-1＝Ｋ＝１となるように設定されており、開票掲示板５２を閲覧する者は、Ｒ^Wから容易にＲ＝Ｒ^K、さらにはｖｏｔｅを計算することができる。

次に、開票掲示板に登録された復号化票ｖｏｔｅ・Ｒ及び復号化正乱数Ｒ^Kを用いて投票データｖｏｔｅを生成して（Ｓ４１２）票の集計処理が行われる（Ｓ４１３）。そして、投票掲示板４２の投票結果の数と開票掲示板５２の開票結果の数のチェック等の開票結果処理が行われる（Ｓ４１４）。

以上の処理によって、投票者、投票管理装置、掲示板管理装置、開票管理装置、票買収者の少なくとも２つが共謀しないかぎり、上述した（１）投票者の正当性、（２）投票者の匿名性、（３）投票の公平性、（４）投票の検証可能性、（５）票強要の防止性、が確保される。 まず、投票者の正当性は、投票者がパスワードなどの認証データを知っている時のみ正、副トークンが与えられ、また正トークンを示した時にのみ投票が許されることによって保証される。さらに個々の投票に際して投票者が提示する個人情報は正、副トークンのみであるが、正、副トークンは投票者が匿名で得た仮トークンに投票管理装置がブラインド署名したものであるので、正、副トークンから投票者を特定することはできない。つまり投票の匿名性が保証できる。

次に、投票管理装置、掲示板管理装置、開票管理装置、票買収者は、個々の投票者の投票内容に関する情報として、開票までに暗号化票を知ることができ、掲示板管理装置はそれに加えて暗号化正乱数、副乱数及び暗号化乱数積を知ることができる。しかし、掲示板管理装置以外は公開暗号鍵Ｐの復号鍵Ｐ^-1を知らないので、暗号化票から投票内容を知ることはできない。また、各投票データに関連付けられた投票識別情報である正乱数及び秘密の整数Ｕ^-1及びＶ^-1は投票管理装置あるいは開票管理装置しか知らないデータであるため、掲示板管理装置も投票内容を知ることはできない。つまり投票者以外はだれも単独では個々の投票内容を知ることができないので投票の公平性が保証される。

検証可能性に関しては、個々の投票者は、投票掲示板上の正トークンに対応する領域を見ることによってその票が正しく受け入れられたことを確認できる。

また、それらの投票内容が正しく開票されたことは、開票掲示板上に開示された情報において、投票管理装置が公開する投票者情報テーブルに開示されたすべての正乱数を含んでいるかチェックすることで確認できる。つまり、各投票者の投票データにはそれぞれが異なる正乱数が対応付けられており、また投票者情報テーブルには投票管理装置が実際に発行した正トークンの数だけの正乱数が開示されているので、投票者の投票データがすべて開票掲示板に開示されていない場合には、投票者情報テーブルの正乱数の数の方が多くなって開票処理の際の不正が検証される。さらに、正規の手続きを経ずに投票データが開票掲示板に書き込まれると、開票掲示板に開示された正乱数の数が投票者情報テーブルの正乱数の数よりも多くなったり、同じ正乱数が開示されるため、開票の際の不正が検証される。このように、投票者情報テーブル及び開票掲示板に開示された正乱数の数を比較することによって、開票されたすべての票が正規に投票されたものであることが確認できる。

票強要の防止性に関しては、各投票者が受け取ることのできる情報は、投票レシート、投票掲示板及び開票掲示板に開示される情報であるが、投票レシート及び投票掲示板の情報は暗号化されているため投票データの内容は判別できない。また、投票者は、開票掲示板に開示された情報からは自身の投票データが開票掲示板のどの領域に書き込まれたか知ることができない。そのため、投票者の受け取る情報からは投票者がだれに投票したか判別することができず、票の強要を助長することはない。

投票に際する不正あるいは誤操作には、投票者へのなりすまし、票の削除、票の偽造やすり替え、整合性の無い票の作成やすり替えによる投票システムのかく乱とそれによる投票の無効化などがある。上述した電子投票システムでは、投票者、投票管理装置、掲示板管理装置、開票管理装置による不正または誤操作の検出とその主体の特定も可能となる。

まず、投票者のなりすましは投票掲示板に正規の手続き以外で票を書き込むことによって可能となるが、掲示板管理装置以外の装置が投票掲示板に情報を書き込むにはパスワードや正トークンが必要であるので、パスワードや正トークンを盗むなどの手段以外で投票掲示板への不正書き込み、つまり投票者のなりすましができるのは掲示板管理装置だけである。しかし投票掲示板への不正な書き込みは投票管理装置が記録している投票者情報テーブルの項目数と開票掲示板に書き込まれた投票データの数の比較によって容易に発見できる。投票者情報テーブルは投票管理装置が管理しているので、掲示板管理装置には投票者情報テーブルの改ざんはできない。さらに、掲示板管理装置は個々の投票データに付加された正乱数の値を知らないので、不正書き込みされた投票データには投票者情報テーブルに記録された正乱数とは異なる値の正乱数が付加されることになり、開票掲示板に開示された正乱数をチェックすることで不正な投票データをチェックすることも可能である。

投票管理装置は正トークン及び副トークンを盗むのは容易であるが、これは投票管理装置を複数の装置で構成することによって防止することができる。例えば、正副トークンの署名を複数の装置の署名の集合とすることによって、複数の装置間での共謀が無い限り、投票管理装置においても正副トークンを不正に使用することが防止できる。

票の削除は掲示板管理装置が投票掲示板に登録された投票データに関する情報を削除すことで可能であり、また開票管理装置が投票掲示板に登録された情報を開票掲示板に転記しないことでも可能である。しかし、投票掲示板は常時公開されており、投票掲示板の票を削除することは不可能である。また、投票掲示板の票を転記しない場合にも投票掲示板及び開票掲示板に登録された投票データの数が異なることから容易に発見できる。

票の偽造及びすり替えは、掲示板管理装置、投票管理装置及び開票管理装置において可能である。掲示板管理装置は投票掲示板に登録すべき投票データに関する情報を偽造したり他の投票者の投票内容で置き換えることができ、また投票管理装置及び開票管理装置は、投票掲示板の情報を開票掲示板に再配列する際に登録すべき投票データに関する情報を偽造したり他の投票者の投票内容で置き換えることができる。しかし、掲示板管理装置及び開票管理装置は個々の票に付加された正乱数の値を知らないので、また投票管理装置は公開鍵Ｐの復号鍵Ｐ^-1を知らないので矛盾の無い投票内容の偽造やすり替えはできない。

整合性の無い投票データの作成やすり替えは、投票者、投票管理装置、掲示板管理装置、開票管理装置のいずれにおいても実行可能である。まず、投票者は整合性の無い情報を投票データと偽って投票することができ、投票管理装置は正副乱数として投票者情報テーブルに登録した値や掲示板管理装置に送信した値と異なるものを使うことができる。また投票管理装置、掲示板管理装置及び開票管理装置は投票データ自体を整合性の無い値で置き換えることができる。これらの不正の検出自体は開票時に公開鍵で復号化された投票データ及び正乱数が投票者情報テーブルに登録されたデータとの間に整合性が無いことから検出でき、投票掲示板に開票結果を照合可能に表示することによって、各投票者が自身の票に対するに不正の有無を確認することもできる。

また、投票管理装置は、不正票に対応する投票者情報テーブルの正乱数と掲示板管理装置の署名鍵を用いて開票結果から不正のあった票の投票レシート写しを再構成することができるが、再構成された投票レシート写しと開票管理装置が投票レシートテーブルに保存した内容が一致すると、投票者自身が整合性の無い投票をしたか投票管理装置が不正な正または副乱数を用いたことになる。

そこで、投票掲示板の対応する領域に記憶されている暗号化正乱数に基づく正乱数の値と、投票レシートテーブルに登録された副乱数及び暗号化乱数積に基づく正乱数の値を比較する。それらの値が整合すれば投票者自身が整合性の無い投票をしたことになる。この場合、投票者は自分が整合性の無い票を投票したことを知っており、また対応する票の投票者からの苦情が無い場合には他の投票者についても整合性の無い票は投票者自身の過失と判断しても問題がなく、集計結果から整合性のない票を除外しても差し支えない。

暗号化正乱数に基づく正乱数の値と、副乱数及び暗号化乱数積に基づく正乱数の値が整合しない場合は投票管理装置が送信した値と異なる正副乱数を使用したことになり、投票者又は開票管理装置が保存する投票レシート又はその写しから票を再生する。

開票結果から投票レシート写しが正しく再構成できない場合は、投票中に投票管理装置、掲示板管理装置又は開票管理装置が投票データの内容を変更したことになるが、どちらが変更したかは投票掲示板の対応する情報を再度開票掲示板に変換処理することで判別できる。再度変換した結果が開票掲示板の内容と異なれば明らかに投票管理装置又は開票管理装置が変更したことになり、一致すれば投票掲示板上の投票データに既に不正があるので掲示板管理装置が変更したことになる。また投票管理装置又は開票管理装置の判別は、投票掲示板の情報再変換の途中結果である再暗号化票の再変換結果が復号化可能票と一致するかどうかを調べて、一致する時は投票管理装置の不正、一致しない時は開票管理装置の不正であるとすれば良い。

投票管理装置が投票者に正トークンを渡さない、あるいは掲示板管理装置が、投票者の投票内容を投票掲示板に登録せず投票レシートも渡さないといった不正も考えられるが、いずれの不正も、投票者が投票管理装置の署名が入った複数の情報を持つことで防止できる。投票者が投票管理装置から正副トークンの２つの情報を受け取るようにすると、投票管理装置から副トークンを受け取った後に投票者が投票者テーブルへの受領確認の署名をするので、投票者は正トークンを受け取れなかった時でも、副トークンを示して正トークンの再発行を要求することができる。また、投票掲示板への投票書き込みが副トークンの書き込みで完了するので、投票者が投票内容の書き込みを確認できない時には掲示板管理計算機に副トークンを渡さないようにすれば、投票が破棄されることが無くなる。

なお、本実施形態では、投票管理装置が正乱数を発生および保管することに、また暗号鍵ＰやＱは１つの鍵になっているが、正乱数を発生、管理する装置を別に設け、またそれを複数の独立した装置によって構成することによって、さらに暗号鍵ＰやＱを複数の装置が持つ鍵の合成として構成することによって、装置の共謀による不正の防止も可能になる。

本発明に係る電子投票システムは、上述した（１）から（５）の点を満足するので、通信ネットワークを介したアンケート調査から選挙まで幅広い投票処理に用いることができる。

本発明に係る実施形態の構成を示す概略図である。 各管理装置に関する概略ブロック構成図である。 各管理装置に関するハードウェア構成図である。 投票者テーブルに関する説明図である。 投票者情報テーブルに関する説明図である。 投票掲示板に関する説明図である。 投票レシートテーブルに関する説明図である。 開票掲示板に関する説明図である。 仮トークンを取得する処理フローである。 正副トークンを取得する処理フローである。 投票処理に関する処理フローである。 投票処理に関する処理フローである。 開票処理に関する処理フローである。

符号の説明

１ 投票者端末
２ 通信ネットワーク
３ 投票管理装置
４ 掲示板管理装置
５ 開票管理装置

Claims (13)

1. 投票内容に投票識別情報を組み合せた投票情報を暗号化処理して暗号化投票情報を生成するステップ、前記暗号化投票情報及び前記投票識別情報を暗号処理した暗号化投票識別情報を投票掲示板に開示するステップを実行するとともに、前記投票掲示板から前記暗号化投票識別情報及び前記暗号化投票情報を抽出するステップ、前記暗号化投票識別情報及び前記暗号化投票情報を再処理した前記投票識別情報及び前記投票情報を開票掲示板に開示するステップを実行することを特徴とする電子投票方法。
2. 正当な投票者に対して投票者情報を割り当てるステップ、正当な前記投票者情報を提示した投票者に対して前記投票識別情報を生成するステップ、前記投票識別情報を暗号化処理して前記暗号化投票識別情報を生成するステップを実行することを特徴とする請求項１に記載の電子投票方法。
3. 前記投票者情報とともに当該投票者情報と関連付けられた補助投票者情報を割り当てるステップを実行することを特徴とする請求項２に記載の電子投票方法。
4. 前記投票掲示板に開示される前記投票者情報に対応する前記補助投票者情報が入力されたことを確認するステップを実行することを特徴とする請求項３に記載の電子投票方法。
5. 投票内容に投票識別情報を組み合せた投票情報を暗号化処理して暗号化投票情報を生成する手段、前記暗号化投票情報及び前記投票識別情報を暗号処理した暗号化投票識別情報を投票掲示板に開示する手段を有する第一機能と、
   前記投票掲示板から前記暗号化投票識別情報及び前記暗号化投票情報を抽出する手段、前記暗号化投票識別情報及び前記暗号化投票情報を再処理した前記投票識別情報及び前記投票情報を開票掲示板に開示する手段を有する第二機能とを備えていることを特徴とする電子投票システム。
6. 正当な投票者に対して投票者情報を割り当てる手段、正当な前記投票者情報を提示した投票者に対して前記投票識別情報を生成する手段、前記投票識別情報を暗号化処理して前記暗号化投票識別情報を生成する手段を有する第三機能を備えていることを特徴とする請求項５に記載の電子投票システム。
7. 前記第三機能は、前記投票者情報とともに当該投票者情報と関連付けられた補助投票者情報を割り当てる手段を有することを特徴とする請求項６に記載の電子投票システム。
8. 前記第一機能は、前記投票掲示板に開示される前記投票者情報に対応する前記補助投票者情報が入力されたことを確認する手段を有することを特徴とする請求項７に記載の電子投票システム。
9. 投票者端末と、投票者端末から送信された投票内容に関する情報を投票掲示板により開示する第一機能と、開示された投票内容に関する情報に基づいて開票情報を開票掲示板により開示する第二機能とを備えている電子投票システムにおいて、前記第一機能を実行させるためのプログラムであって、
   投票内容に投票識別情報を組み合せた投票情報を暗号化処理して暗号化投票情報を生成する手段、
   前記暗号化投票情報及び前記投票識別情報を暗号処理した暗号化投票識別情報を投票掲示板に開示する手段
   として実行させるためのプログラム。
10. 前記第一機能を、さらに、
    前記投票掲示板に開示される前記投票者情報に関連付けられた補助投票者情報が入力されたことを確認する手段として実行させるための請求項９に記載のプログラム。
11. 投票者端末と、投票者端末から送信された投票内容に関する情報を投票掲示板により開示する第一機能と、開示された投票内容に関する情報に基づいて開票情報を開票掲示板により開示する第二機能とを備えている電子投票システムにおいて、前記第二機能を実行させるためのプログラムであって、
    前記投票掲示板から前記暗号化投票識別情報及び前記暗号化投票情報を抽出する手段、
    前記暗号化投票識別情報及び前記暗号化投票情報を再処理した前記投票識別情報及び前記投票情報を開票掲示板に開示する手段
    として実行させるためのプログラム。
12. 投票者端末と、投票に必要な情報を投票者端末に送信する第三機能と、投票者端末から送信された投票内容に関する情報を投票掲示板により開示する第一機能と、開示された投票内容に関する情報に基づいて開票情報を開票掲示板により開示する第二機能とを備えている電子投票システムにおいて、前記第三機能を実行させるためのプログラムであって、
    正当な投票者に対して前記投票者情報を割り当てる手段、
    正当な前記投票者情報を提示した投票者に対して前記投票識別情報を生成する手段、
    前記投票識別情報を暗号化処理して前記暗号化投票識別情報を生成する手段
    として実行させるためのプログラム。
13. 前記第三機能を、さらに、
    前記投票者情報とともに当該投票者情報と関連付けられた補助投票者情報を割り当てる手段として実行させるための請求項１２に記載のプログラム。

Images