JP2017069604A - 証明装置、証明システム、証明方法、およびプログラム - Google Patents

Abstract

【課題】Yaoのプロトコルを用いずに漏洩耐性を持つゼロ知識証明を構成する。【解決手段】証明装置および検証装置はハミルトン閉路を持たないグラフＧ１を得る。証明装置はグラフＧ１と同じサイズの零行列の各要素０へのコミットメントｃｉ，ｊを含む集合｛ｃｉ，ｊ｝を出力する。検証装置はチャレンジｃｈを出力する。証明装置はチャレンジｃｈが第１値である場合にＧ１に由来するグラフＨ（０）の隣接行列Ａ（０）の各要素ａｉ，ｊ（０）にコミットメントｃｉ，ｊをデコミットするためのデコミットメントｄｉ，ｊ（０）を含む集合を出力し、チャレンジｃｈが第２値である場合に、ハミルトン閉路のみを持つグラフＨ（１）の隣接行列Ａ（１）の要素のうち閉路をなす枝に対応する各要素ａｐ，ｑ（１）にコミットメントｃｐ，ｑ∈｛ｃｉ，ｊ｝をデコミットするためのデコミットメントｄｐ，ｑ（１）を含む集合を出力する。【選択図】図１

Description

本発明は、暗号技術に関し、特に対話により証明を行う対話証明技術に関する。

漏洩耐性を持つゼロ知識証明は証明者の内部状態の一部が検証者に漏れた場合でもゼロ知識性が成り立つゼロ知識証明である。漏洩耐性を持つゼロ知識証明の既存技術としては非特許文献１で提案された方式がある。

Omkant Pandey, "Achieving constant round leakage-resilient zero-knowledge," In Yehuda Lindell, editor, Theory of Cryptography - 11th Theory of Cryptography Conference, TCC 2014, San Diego, CA, USA, February 24-26, 2014. Proceedings, volume 8349 of Lecture Notes in Computer Science, pages 146-166. Springer, 2014. Andrew Chi-Chih Yao, "How to generate and exchange secrets (extended abstract)," In 27th Annual Symposium on Foundations of Computer Science, Toronto, Canada, 27-29 October 1986, pages 162-167. IEEE Computer Society, 1986.

しかし、非特許文献１の方式には二者間秘密計算プロトコルであるYaoのプロトコル（例えば、非特許文献２参照）が用いられている。Yaoのプロトコルは計算量が大きく、効率面で望ましくない。

本発明の課題は、Yaoのプロトコルを用いずに漏洩耐性を持つゼロ知識証明を構成することである。

証明装置が検証装置に対し、グラフＧ_０がハミルトン閉路を持つことを証明する。証明装置および検証装置はハミルトン閉路を持たないグラフＧ_１を得る。証明装置は、コミット対象０とグラフＧ_０，Ｇ_１と乱数ｒ_ｉ，ｊとを含む情報に応じて得られる、グラフＧ_１と同じサイズの零行列の各要素０へのコミットメントｃ_ｉ，ｊを含む集合｛ｃ_ｉ，ｊ｝を出力する。検証装置はチャレンジｃｈを出力する。証明装置は、チャレンジｃｈの入力を受け付け、チャレンジｃｈが第１値である場合に、グラフＧ_１に由来するグラフＨ^（０）の隣接行列Ａ^（０）の各要素ａ_ｉ，ｊ ^（０）にコミットメントｃ_ｉ，ｊをデコミットするためのデコミットメントｄ_ｉ，ｊ ^（０）を含む集合を出力し、チャレンジｃｈが第１値と異なる第２値である場合に、ハミルトン閉路のみを持つグラフＨ^（１）の隣接行列Ａ^（１）の要素のうち閉路をなす枝に対応する各要素ａ_ｐ，ｑ ^（１）にコミットメントｃ_ｐ，ｑ∈｛ｃ_ｉ，ｊ｝をデコミットするためのデコミットメントｄ_ｐ，ｑ ^（１）を含む集合を出力する。検証装置は、チャレンジｃｈが第１値である場合に、｛ｃ_ｉ，ｊ｝，｛ｄ_ｉ，ｊ ^（０）｝，｛ａ_ｉ，ｊ ^（０）｝およびグラフＧ_０，Ｇ_１を含む情報を用いて、コミットメントｃ_ｉ，ｊが要素ａ_ｉ，ｊ ^（０）にデコミットされたことを検証し、チャレンジｃｈが第２値である場合に、｛ｃ_ｐ，ｑ｝，｛ｄ_ｐ，ｑ ^（１）｝およびグラフＧ_０，Ｇ_１を含む情報を用いて、コミットメントｃ_ｐ，ｑが１にデコミットされたことを確認し、かつ、１にデコミットされた要素に対応する枝を持つグラフがハミルトン閉路であることを検証する。

本発明では、Yaoのプロトコルを用いずに漏洩耐性を持つゼロ知識証明を構成できる。

図１は実施形態の証明システムを例示するブロック図である。 図２は実施形態の証明方法および検証方法を例示するフロー図である。 図３は実施形態の証明方法および検証方法を例示するフロー図である。

以下、本発明の実施形態を説明する。
［定義］
まず、実施形態で使用する用語を定義する。
実施形態では、証明者として機能する証明装置が検証者として機能する検証装置と通信を行うことによりゼロ知識証明を行う。ゼロ知識証明とは、証明者が「命題が真である」こと以外の知識を検証者に与えることなく、「命題が真である」ことを検証者に証明する手法である。ここで、証明者が証明する命題は「ＮＰ言語Ｌとインスタンス（ステートメント）ｘに関してｘ∈Ｌが成り立つ」ことである。この命題はＮＰ（Non-deterministic Polynomial）に属する問題であり、その解を求める多項式時間アルゴリズムは必ずしも知られていないが、多項式サイズの証拠（witness）が与えられれば、解の正しさを多項式時間で検証できる判定問題である。ＮＰ言語Ｌの例は「正しく生成されたＲＳＡ暗号の公開鍵の集合」であり、インスタンスｘの例は「特定の公開鍵」である。この場合の証拠ｗの例は公開鍵の素因数からなる列である。証明者と検証者は共通入力としてＮＰ言語Ｌとインスタンスｘを持ち、更に証明者はｘ∈Ｌであることの証拠ｗを持つ。

ゼロ知識証明の安全性は、以下の健全性およびゼロ知識性によって定義される。
健全性は「ｘ∈Ｌでないとき、どのような証明者も証明に失敗する」という性質である。ここではプロトコルに従わない悪意を持った証明者も考慮する。
ゼロ知識性は「ｘ∈Ｌならば、どのような多項式時間の計算能力を持つ検証者に対しても命題が真（ｘ∈Ｌ）であること以外の情報（例えば、証拠ｗに関する情報）は漏れない」という性質である。ここでもプロトコルに従わない悪意を持った検証者も考慮する。

健全性において多項式時間の計算能力を持つ証明者のみを考慮したものをゼロ知識アーギュメントと呼ぶ。ゼロ知識証明およびゼロ知識アーギュメントは単独でも認証などにおいて有用であり、さらに他の暗号プロトコルの構成要素としても有用であることが知られている。

またゼロ知識性を表現するために、任意の検証者に対するシミュレータという概念を用いる。このシミュレータは検証者と同じ入力（ＮＰ言語Ｌとインスタンスｘ）を受け取り、証明者−検証者間の実際の通信系列と識別できない通信系列を出力する（シミュレートする）。もし、どのような検証者に対してもシミュレータが存在するならば、直感的には以下の理由から検証者が証拠に関する情報などを証明から得ていないことが保証される。

１．もし検証者が証明者と通信することで何らかの情報を得ているならば、その情報は証明者−検証者間の通信系列から計算できるはずである。なぜなら、検証者が証明者から得た情報は通信系列のみだからである。
２．したがって、もし検証者と同じ入力から証明者−検証者間の通信系列を出力するシミュレータが存在したら、検証者が得た情報は検証者の入力のみから計算できることになる。
３．これは検証者が得た情報は全て証明者と通信をすることなく計算することができることを意味するため、検証者の入力からは計算できない情報を検証者は得ていないことになる。

漏洩耐性を持つゼロ知識証明とは、証明者の内部状態（例えば、証拠、秘密入力、生成した乱数など）の一部が検証者に漏れた場合でもゼロ知識性が成り立つゼロ知識証明である。特に、検証者が任意の関数ｆを選ぶと証明者の内部状態ｓｔに関する情報ｆ（ｓｔ）が検証者に漏洩するというモデルにおいてゼロ知識性が成り立つゼロ知識証明である。それは消費電力などを物理的に観測することで内部状態に関する情報を得るサイドチャネル攻撃に対して安全性を保証するゼロ知識証明であると考えることもできる。しかし、ゼロ知識性というのは命題が真であること以外の情報（例えば、証拠ｗに関する情報）が検証者に漏れないという性質であるため、証明者の内部状態の一部である証拠ｗについての情報が検証者に漏洩するとゼロ知識性の実現は不可能となる。そこで漏洩耐性を持つゼロ知識証明の定義においてはゼロ知識性の定義を緩和する。直感的には、耐漏洩ゼロ知識性は「命題が真であることおよび漏洩した内部情報以外の情報は検証者に漏れない」ことを保証する性質である。具体的には、まずゼロ知識性の定義におけるシミュレータに追加の能力を与え、任意の関数ｆ’を選ぶとシミュレータが証拠ｗに関する部分情報ｆ’（ｗ）を得ることができるようにする。そして、検証者がＬビットの漏洩情報を受け取るならばシミュレータもＬビットの漏洩情報を受け取ることができるようにゼロ知識性の定義を変更したものを耐漏洩ゼロ知識性の定義とする。

任意の確率的アルゴリズムＡｌｇｏに対し、「ｙ：＝Ａｌｇｏ（ｘ；ｒ）」によって「入力ｘと乱数ｒでＡｌｇｏを計算し出力ｙを得る」という操作を表す。また「ｙ←Ａｌｇｏ（ｘ）」によって「適切な長さの乱数ｒ∈｛０，１｝^*」を用いて「ｙ：＝Ａｌｇｏ（ｘ；ｒ）を計算してｙを得る」という操作を表す。「α：＝β」は「αをβにする」ことを意味する。

「非対話コミットメント方式」は確率的アルゴリズムの組（Ｃｏｍ，Ｄｅｃ，Ｖｅｒｉｆｙ）である。Ｃｏｍはビットｂ∈｛０，１｝を入力としてｂへのコミットメントｃ←Ｃｏｍ（ｂ）（すなわち、ｃ：＝（ｂ；ｒ））を出力する。Ｄｅｃはコミットメントｃとコミットされた値ｂとコミット時に用いた乱数ｒを入力としてデコミットメントｄ：＝Ｄｅｃ（ｂ，ｃ；ｒ）を出力する。Ｖｅｒｉｆｙはコミットメントｃとデコミットされた値ｂとデコミットメントｄを入力としてデコミットメントｄを検証する（Ｖｅｒｉｆｙ（ｂ，ｃ，ｄ）＝１ならば検証成功）。特に本形態ではコミットメントｃが擬似乱数である（つまりランダムな｜ｃ｜ビット記号列と識別できない）という性質を持つ方式を用いる。ただし、｜ｃ｜はｃのビット長を表す。「記号」は文字を含む概念である。そのような非対話コミットメント方式は一方向性置換から構築できることがよく知られている。

本形態では、非特許文献１の漏洩耐性を持つゼロ知識証明における前提処理である「encrypted preamble」を流用する（非特許文献１の３．３節参照）。encrypted preambleは証明者と検証者との間で行われる対話型の通信処理である。非特許文献１では、あるＮＰ言語Ｌ_ｓｉｍが存在し、どのような証明者に対してもencrypted preambleにおける証明者−検証者間の通信系列σ（例えば、データ列）はσ∈Ｌ_ｓｉｍを満たさないことが示されている。また、任意の検証者に対してシミュレータが存在し、その出力σ’はσ’∈Ｌ_ｓｉｍを満たしつつ更にencrypted preambleの通信系列と識別不可能である。さらにシミュレータは同時にσ’∈Ｌ_ｓｉｍの証拠も計算できる。Ｌ_ｓｉｍはＮＰ言語であるため、σ∈Ｌ_ｓｉｍを満たすか否かの問題は、グラフＧがハミルトン閉路を持つグラフの集合Ｌ_ｈａｍに属するか否かの問題（Ｇ∈Ｌ_ｈａｍを満たすか否かの問題）であるハミルトン閉路問題に帰着可能である。

［原理］
まず、ある特定の性質を満たすコミットメント方式ＳｐｅｃｉａｌＣｏｍがあれば漏洩耐性を持つゼロ知識証明を構築することができることを示す。次にＳｐｅｃｉａｌＣｏｍを非対話コミットメント方式Ｃｏｍから構築することができることを示す。

＜ＳｐｅｃｉａｌＣｏｍを用いた漏洩耐性を持つゼロ知識証明の構成＞
≪ＳｐｅｃｉａｌＣｏｍ≫
ＳｐｅｃｉａｌＣｏｍ＝（Ｓ_Ｃｏｍ，Ｓ_Ｄｅｃ，Ｓ_Ｖｅｒｉｆｙ）を以下のような性質を満たす非対話コミットメント方式とする。
Ｓ_Ｃｏｍはビットｂ∈｛０，１｝と２つのグラフＧ_０，Ｇ_１を入力とし、乱数ｒを生成してｂへのコミットメントｃ←Ｓ_Ｃｏｍ（Ｇ_０，Ｇ_１，ｂ）（すなわち、ｃ：＝Ｓ_Ｃｏｍ（Ｇ_０，Ｇ_１，ｂ；ｒ））を出力する。本形態では、例えばコミットメントｃ←Ｓ_Ｃｏｍ（Ｇ_０，Ｇ_１，ｂ）が擬似乱数であるという性質を持つ。ただし、これは必須ではない。Ｓ_Ｄｅｃはコミットメントｃとコミットされたビットｂとコミット時に用いた乱数ｒとグラフＧ_０，Ｇ_１を入力とし、デコミットメントｄ：＝Ｓ_Ｄｅｃ（Ｇ_０，Ｇ_１，ｃ，ｂ；ｒ）を出力する。Ｓ_Ｖｅｒｉｆｙはコミットメントｃとデコミットされた値ｂとデコミットメントｄとグラフＧ_０，Ｇ_１を入力とし、デコミットメントｄを検証する（Ｓ_Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，ｂ，ｃ，ｄ）＝１ならば検証成功）。

ＳｐｅｃｉａｌＣｏｍは以下の性質を満たす。
（性質１）Ｇ_０∈Ｌ_ｈａｍでなく、かつ、Ｇ_１∈Ｌ_ｈａｍでないとき（Ｇ_０およびＧ_１が何れもハミルトン閉路を持たないとき）、拘束性が成り立つ。ただし、ハミルトン閉路を持つグラフの集合をＬ_ｈａｍで表す。つまり、以下の関係が成り立つ。
{c|∃d s.t. S_Verify(G₀,G₁,0,c,d)=1}∩{c|∃d s.t. S_Verify(G₀,G₁,1,c,d)=1}=φ
ただし、「∃d s.t.α」はαを満たすようなｄが存在することを表す。φは空集合を表す。

（性質２）Ｇ_０∈Ｌ_ｈａｍやＧ_１∈Ｌ_ｈａｍが成り立つかどうかにかかわらず、秘匿性が成り立つ。つまり、以下の関係が成り立つ。
{c|c←S_Com(G₀,G₁,0)}~{c|c←S_Com(G₀,G₁,1)}
ただし、α~βはαとβとを識別できないことを意味する。

（性質３）Ｇ_０∈Ｌ_ｈａｍのときは、Ｇ_０∈Ｌ_ｈａｍの証拠ｗ_０を用いて０へのコミットメントを１にデコミットすることができる。つまり、あるアルゴリズムＳ＿Ｅｑｕｉｖが存在し、以下が成り立つ。
・任意の乱数rに関し、ｃ：＝Ｓ＿Ｃｏｍ（Ｇ_０，Ｇ_１，０；ｒ），ｄ’：＝Ｓ＿Ｅｑｕｉｖ（Ｇ_０，Ｇ_１，ｗ_０；ｒ）とするとＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，１，ｃ，ｄ’）＝１が成り立つ。

（性質４）Ｇ_０∈Ｌ_ｈａｍかつＧ_１∈Ｌ_ｈａｍのときは、Ｇ_０∈Ｌ_ｈａｍの証拠ｗ_０とＧ_１∈Ｌ_ｈａｍの証拠ｗ_１とを用い、１へのコミットメントを０のコミットメントだと「説明」することができる。つまり、あるアルゴリズムＳ＿Ａｄａｐｔが存在し、以下が成り立つ。
・任意の乱数rに関し、ｃ：＝Ｓ＿Ｃｏｍ（Ｇ_０，Ｇ_１，１；ｒ），ｒ’：＝Ｓ＿Ａｄａｐｔ（Ｇ_０，Ｇ_１，ｗ_０，ｗ_１；ｒ）とするとＳ＿Ｃｏｍ（Ｇ_０，Ｇ_１，０；ｒ’）＝ｃが成り立つ。

≪漏洩耐性を持つゼロ知識証明の構成≫
証明者をＰ、検証者をＶと表現する。一般性を失うことなく（ハミルトン閉路問題はＮＰ完全問題であり、一般性を失わない）、ＰはＶと共有するグラフＧ_０がハミルトン閉路を持つこと（つまりＧ_０∈Ｌ_ｈａｍであること）を証明するものとする。証明者Ｐが証拠ｗ_０を持つとする。

ステップ１：ＰとＶは非特許文献１のencrypted preambleを行う。その通信系列をσとする。また、命題σをハミルトン閉路問題に帰着して得られたグラフをＧ_１とする。Ｇ_１の節点数（「頂点数」「ノード数」とも呼ぶ）をｎとする。前述のようにencrypted preambleが正しく行われれば、σ∈Ｌ_ｓｉｍを満たさず、Ｇ_１∈Ｌ_ｈａｍともならない。

ステップ２：ＰとＶは以下のステップ２（ａ）〜２（ｄ）の処理をパラレルにＫ回行う。ただし、Ｋは正整数（定数）であり、たとえばセキュリティパラメータである。
ステップ２（ａ）：ＰはＳｐｅｃｉａｌＣｏｍを用いてｎ×ｎの零行列にコミットする。つまり、Ｐは各ｉ∈［ｎ］，ｊ∈［ｎ］について乱数ｒ_ｉ，ｊを選んでコミットメントｃ_ｉ，ｊ：＝Ｓ_Ｃｏｍ（Ｇ_０，Ｇ_１，０；ｒ_ｉ，ｊ）を計算し、｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をＶに送る。なお、［ｎ］は１以上ｎ以下の整数からなる集合｛１，…，ｎ｝を表し、｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}はｃ_ｉ，ｊ（ただし、ｉ∈［ｎ］，ｊ∈［ｎ］）を要素とした集合（例えば、ｃ_ｉ，ｊをｉ行ｊ列の要素とした行列）を表す。また｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を｛ｃ_ｉ，ｊ｝と省略して記載する場合もある。

ステップ２（ｂ）：Ｖはランダムなチャレンジｃｈ∈｛０，１｝をＰに送る。

ステップ２（ｃ）：ｃｈ＝０ならば、ＰはＧ_１上のランダム置換πを選び、Ｈ^（０）＝π（Ｇ_１）の隣接行列Ａ^（０）：＝Ｍ（Ｈ^（０））を計算する。ただし、π（Ｇ_１）はグラフＧ_１の節点（「頂点」「ノード」とも呼ぶ）をπに従ってランダムに置換して得られるグラフを表し、隣接行列Ａ^（０）をＡ^（０）＝｛ａ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}と表記する（ただし、ａ_ｉ，ｊ ^（０）∈｛０，１｝）。ＰはＧ_０∈Ｌ_ｈａｍであることを証明するためにＳｐｅｃｉａｌＣｏｍの（性質３）を利用し、Ｇ_０∈Ｌ_ｈａｍの証拠ｗ_０および乱数ｒ_ｉ，ｊを用いて｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を｛ａ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}にデコミットする。つまりＰは各ｉ∈［ｎ］，ｊ∈［ｎ］についてａ_ｉ，ｊ ^（０）＝０ならばｄ_ｉ，ｊ ^（０）：＝Ｓ_Ｄｅｃ（Ｇ_０，Ｇ_１，ｃ_ｉ，ｊ，０；ｒ_ｉ，ｊ）を計算し、ａ_ｉ，ｊ ^（０）＝１ならばｄ_ｉ，ｊ ^（０）：＝Ｓ＿Ｅｑｕｉｖ（Ｇ_０，Ｇ_１，ｗ_０；ｒ_ｉ，ｊ）を計算し、｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をＶに送る。また、Ｐはランダム置換πを表す情報もＶに送る。
ｃｈ＝１ならば、Ｐはハミルトン閉路のみを持つグラフＨ^（１）（節点数ｎ）のｎ×ｎの隣接行列Ａ^（１）：＝Ｍ（Ｈ^（１））をランダムに選択する。ただし、隣接行列Ａ^（１）をＡ^（１）＝｛ａ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}と表記する（ただし、ａ_ｉ，ｊ ^（１）∈｛０，１｝）。さらにＰはＳｐｅｃｉａｌＣｏｍの（性質３）を利用し、証拠ｗ_０および乱数ｒ_ｉ，ｊを用い、グラフＨ^（１）の閉路の部分についてｃ_ｐ，ｑ∈｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を各要素ａ_ｐ，ｑ ^（１）（ただし、ｐ∈［ｎ］，ｑ∈［ｎ］）にデコミットする。言い換えると、ＰはグラフＨ^（１）の隣接行列Ａ^（１）＝｛ａ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の要素のうち、閉路をなす枝に対応する各要素ａ_ｐ，ｑ ^（１）＝１にコミットメントｃ_ｐ，ｑをデコミットする。つまり、Ｐはａ_ｐ，ｑ ^（１）＝１となる各ｐ∈［ｎ］，ｑ∈［ｎ］についてｄ_ｐ，ｑ ^（１）：＝Ｓ＿Ｅｑｕｉｖ（Ｇ_０，Ｇ_１，ｗ_０；ｒ_ｐ，ｑ）を計算し、｛ｄ_ｐ，ｑ ^（１）｝_{ｐ∈［ｎ］，ｑ∈［ｎ］}をＶに送る。

ステップ２（ｄ）：ｃｈ＝０のとき、ＶはＨ^（０）＝π（Ｇ_１）の隣接行列Ａ^（０）：＝Ｍ（Ｈ^（０））＝｛ａ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を計算し、｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}が｛ａ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}にデコミットされたことを確認する。つまり、Ｖはすべてのｉ∈［ｎ］，ｊ∈［ｎ］についてＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，ａ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（０））＝１が成り立つことを確認する。これが成り立てばこの回の検証は「合格」である。
ｃｈ＝１のとき、Ｖはデコミットされた部分がハミルトン閉路となっていることを確認する。つまり、ＶはＰから受け取ったすべてのｄ_ｐ，ｑ ^（１）に関してＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，１，ｃ_ｐ，ｑ，ｄ_ｐ，ｑ ^（１））＝１が成り立つことを確認し、更にコミットメントｃ_ｐ，ｑがデコミットされた要素ａ_ｐ，ｑ ^（１）が隣接行列においてハミルトン閉路を表すか（１にデコミットされた要素ａ_ｐ，ｑ ^（１）に対応する枝を持つグラフがハミルトン閉路であるか）を確認する。これが成り立てばこの回の検証は「合格」である。

Ｋ回のすべてのステップ２（ｄ）で「合格」となれば証明は「成功」である。１回でも不合格となれば証明は「失敗」である。

＜安全性の証明＞
≪健全性≫
健全性については、以下の理由で成り立つ。前述のようにencrypted preambleの通信系列σは任意の証明者に対してσ∈Ｌ_ｓｉｍを満たさない。そのため、任意の証明者に対してＧ_１∈Ｌ_ｈａｍを満たさない。ここで、Ｇ_０∈Ｌ_ｈａｍが成り立たないと仮定する（健全性の定義参照）。このとき、ＳｐｅｃｉａｌＣｏｍの（性質１）から拘束性が成り立つため、上述のステップ２（ａ）の時点でＰがコミットした行列は一意に定まる。この行列がπ（Ｇ_１）の隣接行列Ａ^（０）であり、なおかつ、ハミルトン閉路を含むグラフの隣接行列であることはありえない。なぜなら、Ｇ_１∈Ｌ_ｈａｍを満たさず、そのランダム置換であるπ（Ｇ_１）もハミルトン閉路を含まないからである。そのため、Ｇ_０∈Ｌ_ｈａｍが成り立たないとき、上述のステップ２（ｃ）でＰが正しく答えられる確率は高々１／２である。言い換えると、Ｇ_０∈Ｌ_ｈａｍが成り立たないため（性質３）が成り立たず、Ｐがｃｈ＝０およびｃｈ＝１の両方に正しい応答を行うことはできない。ステップ２（ａ）〜２（ｄ）はＫ回繰り返されるため、全ての繰り返しにおいてＰが正しく答えられる確率は（１／２^Ｋ）以下となり、Ｋが十分大きいときにはその確率は無視できる。よって健全性が成り立つ。

≪耐漏洩性≫
耐漏洩性については，以下の理由で成り立つ。まず、前述のようにシミュレータはencrypted preambleの通信系列σ’をシミュレートしてσ’∈Ｌ_ｓｉｍとすることができ、その証拠も計算できる。そのため、シミュレータはＧ_１’∈Ｌ_ｈａｍとすることができ、その証拠ｗ_１’も計算できる。このときシミュレータはステップ２（ａ）および２（ｃ）を以下のようにしてシミュレートできる。

ステップ２（ａ）：シミュレータはＧ_１’上のランダム置換πを選び、Ｈ’＝π（Ｇ_１’）の隣接行列Ａ’：＝Ｍ（Ｈ’）を計算する。隣接行列Ａ’をＡ’＝｛ａ_ｉ，ｊ’｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}と表記する。このとき、シミュレータはＳｐｅｃｉａｌＣｏｍを用いてＡ’にコミットする。つまり、シミュレータは各ｉ∈［ｎ］，ｊ∈［ｎ］について乱数ｒ_ｉ，ｊ’を選んでｃ_ｉ，ｊ’＝Ｓ＿Ｃｏｍ（Ｇ_０，Ｇ_１’，ａ_ｉ，ｊ’；ｒ_ｉ，ｊ’）を計算し、｛ｃ_ｉ，ｊ’｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をＶに送る。

ステップ２（ｃ）：ｃｈ＝０ならば、シミュレータは｛ｃ_ｉ，ｊ’｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を｛ａ_ｉ，ｊ’｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}にデコミットする。つまり、シミュレータは各ｉ∈［ｎ］，ｊ∈［ｎ］についてｄ_ｉ，ｊ’：＝Ｓ＿Ｄｅｃ（Ｇ_０，Ｇ_１’，ｃ_ｉ，ｊ’，ａ_ｉ，ｊ’； ｒ_ｉ，ｊ’）を計算し、｛ｄ_ｉ，ｊ’｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をＶに送る。また、Ｐはランダム置換πを表す情報もＶに送る。
ｃｈ＝１ならば、シミュレータはＨ’の閉路の部分についてｃ_ｐ，ｑ’∈｛ｃ_ｉ，ｊ’｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をａ_ｐ，ｑ’（ただし、ｐ∈［ｎ］，ｑ∈［ｎ］）にデコミットする。つまり、シミュレータはａ_ｐ，ｑ’＝１となる各ｐ∈［ｎ］，ｑ∈［ｎ］についてｄ_ｐ，ｑ’：＝Ｓ＿Ｄｅｃ（Ｇ_０，Ｇ_１’，ｃ_ｐ，ｑ’，１；ｒ_ｐ，ｑ’）を計算し、｛ｄ_ｐ，ｑ’｝_{ｐ∈［ｎ］，ｑ∈［ｎ］}をＶに送る。

ＳｐｅｃｉａｌＣｏｍの秘匿性から、このシミュレーションは実際の通信系列と確かに識別不可能である。

Ｐの内部状態の一部のＶへの漏洩についても以下のようにシミュレートできる。
ステップ１については非特許文献１と同様の方法で内部状態（入力と乱数）の漏洩をシミュレートできる。

ステップ２における証明者の内部状態は証拠ｗ_０とコミットに用いた乱数ｒ_ｉ，ｊである。そのため、Ｖが関数ｆを選んだときシミュレータは内部状態の漏洩としてｆ（ｗ_０，｛ｒ_ｉ，ｊ”｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}）をシミュレートする必要がある。ｒ_ｉ，ｊ”＝ｒ_ｉ，ｊである必要はなく、ｗ_０と｛ｃ_ｉ，ｊ｝が｛ｒ_ｉ，ｊ”｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}に対応すればよい。そのために、シミュレータは、Ｇ_０∈Ｌ_ｈａｍの証拠ｗ_０を入力についてＳ_Ｃｏｍ（Ｇ_０，Ｇ_１’，０；ｒ_ｉ，ｊ”）＝ｃ_ｉ，ｊ’を満たすようなｒ_ｉ，ｊ”を出力する関数Ｆ（ｗ_０）＝ｒ_ｉ，ｊ”を計算する。前述したステップ２（ａ）のシミュレーションに示したように、シミュレータはａ_ｉ，ｊ’＝０となる（ｉ，ｊ）についてはｒ_ｉ，ｊ”＝ｒ_ｉ，ｊ’を知っている。一方、シミュレータはａ_ｉ，ｊ’＝１となる（ｉ，ｊ）についてはｒ_ｉ，ｊ’を知っているがｒ_ｉ，ｊ”≠ｒ_ｉ，ｊ’ではない。しかしながら、前述のようにシミュレータはＧ_１’∈Ｌ_ｈａｍの証拠ｗ_１’を計算できる。そのため、ＳｐｅｃｉａｌＣｏｍの（性質４）より、シミュレータはＧ_０∈Ｌ_ｈａｍの証拠ｗ_０を入力としてａ_ｉ，ｊ’＝１へのコミットメントをａ_ｉ，ｊ’＝０のコミットメントだと「説明」できる。言い換えると、シミュレータはａ_ｉ，ｊ’＝０となる（ｉ，ｊ）であっても、ｒ_ｉ，ｊ”：＝Ｓ＿Ａｄａｐｔ（Ｇ_０，Ｇ_１’，ｗ_０，ｗ_１’； ｒ_ｉ，ｊ’）によってＳ_Ｃｏｍ（Ｇ_０，Ｇ_１’，０；ｒ_ｉ，ｊ”）＝ｃ_ｉ，ｊ’を満たすようなｒ_ｉ，ｊ”を計算できる。よってシミュレータはこのような関数Ｆを計算できる。よって、シミュレータはｗ_０を入力としてｆ’（ｗ_０，Ｆ（ｗ_０））を計算する関数ｆ’を選ぶと、耐漏洩ゼロ知識性の定義からｗ_０に対するｆ’（ｗ_０）＝ｆ（ｗ_０，｛ｒ_ｉ，ｊ”｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}）を受け取ることができ、それをＶに送ることで証明者の内部状態の漏洩をシミュレートできる。

以上より、本形態の方式は漏洩耐性を持つゼロ知識証明である。

＜ＳｐｅｃｉａｌＣｏｍの具体例＞
ＳｐｅｃｉａｌＣｏｍの具体例を示す。この具体例では、ＳｐｅｃｉａｌＣｏｍを得るために、既存技術であるハミルトン閉路コミットメント方式Ｈ＿Ｃｏｍ（例えば、参考文献１，２参照）と、適応的ハミルトン閉路コミットメント方式ＡＨ＿Ｃｏｍ（例えば、参考文献３参照）の組み合わせを行う。Ｈ＿ＣｏｍもＡＨ＿ＣｏｍもＣｏｍから構成できるコミットメント方式である。
参考文献１：Uriel Feige and Adi Shamir, “Zero knowledge proofs of knowledge in two rounds,” In Gilles Brassard,editor, Advances in Cryptology - CRYPTO '89, 9th Annual International Cryptology Conference, Santa Barbara, California, USA, August 20-24, 1989, Proceedings, volume 435 of Lecture Notes in Computer Science, pages 526-544. Springer, 1989.
参考文献２：Ran Canetti, Yehuda Lindell, Rafail Ostrovsky, and Amit Sahai, “Universally composable two-party and multi-party secure computation,” In John H. Reif, editor, Proceedings on 34th Annual ACM Symposium on Theory of Computing, May 19-21, 2002, Montreal, Quebec, Canada, pages 494-503. ACM, 2002.
参考文献３：Yehuda Lindell and Hila Zarosim, “Adaptive zero-knowledge proofs and adaptively secure oblivious transfer,” In Omer Reingold, editor, Theory of Cryptography, 6th Theory of Cryptography Conference, TCC 2009, San Francisco, CA, USA, March 15-17, 2009, Proceedings, volume 5444 of Lecture Notes in Computer Science, pages 183-201, Springer, 2009.

以下では、最初にＨＣｏｍとＡＨＣｏｍについて簡単に説明し、次にそれらを用いたＳｐｅｃｉａｌＣｏｍの構成を例示する。

＜ＨＣｏｍ＞
ＨＣｏｍは確率的アルゴリズムの組（Ｈ＿Ｃｏｍ，Ｈ＿Ｄｅｃ，Ｈ＿Ｖｅｒｉｆｙ）からなる非対話コミットメント方式である。
≪Ｈ＿Ｃｏｍ≫
Ｈ＿Ｃｏｍはビットｂ∈｛０，１｝とハミルトン閉路問題のインスタンスＧを入力とし、乱数ｒを生成して以下のようにｂへのコミットメントｃ←Ｈ＿Ｃｏｍ（Ｇ，ｂ）（すなわち、ｃ：＝Ｈ＿Ｃｏｍ（Ｇ，ｂ；ｒ））を出力する。
ｂ＝０へのコミット：ＰはＧ上のランダム置換π’を選び、Ｅ^（０）＝π’（Ｇ）の隣接行列Ｂ^（０）：＝Ｍ（Ｅ^（０））を計算し、乱数ｒ_ｉ，ｊを選択し、Ｂ^（０）＝｛ｂ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（０）∈｛０，１｝をＣｏｍでコミットして得られるｃ_ｉ，ｊ←Ｃｏｍ（ｂ_ｉ，ｊ ^（０））（すなわち、ｃ_ｉ，ｊ：＝Ｃｏｍ（ｂ_ｉ，ｊ ^（０）；ｒ_ｉ，ｊ））からなる｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をコミットメントｃとして出力する。
ｂ＝１へのコミット：ＰはＧと同じサイズでハミルトン閉路のみを持つグラフＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））を得、乱数ｒ_ｉ，ｊを選択し、Ｂ^（１）＝｛ｂ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（１）∈｛０，１｝をＣｏｍでコミットして得られるｃ_ｉ，ｊ←Ｃｏｍ（ｂ_ｉ，ｊ ^（１））（すなわち、ｃ_ｉ，ｊ：＝Ｃｏｍ（ｂ_ｉ，ｊ ^（１）；ｒ_ｉ，ｊ））からなる｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をコミットメントｃとして出力する。

≪Ｈ＿Ｄｅｃ≫
Ｈ＿Ｄｅｃはコミットメントｃとコミットされた値ｂとコミットメントに用いられた乱数ｒを入力とし、デコミットメントｄ：＝Ｈ＿Ｄｅｃ（Ｇ，ｂ，ｃ；ｒ）を出力する。
ｂ＝０へのデコミット：Ｐはｄ_ｉ，ｊ ^（０）：＝Ｄｅｃ（ｂ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ；ｒ_ｉ，ｊ）を得、｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をデコミットメントｄとしてπ’とともに出力する。
ｂ＝１へのデコミット：Ｐはｄ_ｉ，ｊ ^（１）：＝Ｄｅｃ（ｂ_ｉ，ｊ ^（１），ｃ_ｉ，ｊ；ｒ_ｉ，ｊ）を得、｛ｄ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をデコミットメントｄとして出力する。さらにＰはＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））をｄとともに出力する。

≪Ｈ＿Ｖｅｒｉｆｙ≫
Ｈ＿Ｖｅｒｉｆｙはコミットメントｃとデコミットされた値ｂとデコミットメントｄとインスタンスＧとを入力としてデコミットメントｄを検証する。
ｂ＝０の検証：ＶはＥ^（０）＝π’（Ｇ）の隣接行列Ｂ^（０）：＝Ｍ（Ｅ^（０））を計算し、Ｂ^（０）＝｛ｂ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（０）∈｛０，１｝を得、すべてのｉ∈［ｎ］，ｊ∈［ｎ］についてＶｅｒｉｆｙ（ｂ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（０））＝１であれば検証成功とし、そうでなければ検証失敗とする。
ｂ＝１の検証：ＶはＧと同じサイズでハミルトン閉路のみを持つグラフＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））を入力とし、Ｂ^（１）＝｛ｂ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（１）∈｛０，１｝を得、すべてのｉ∈［ｎ］，ｊ∈［ｎ］についてＶｅｒｉｆｙ（ｂ_ｉ，ｊ ^（１），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（１））＝１であれば検証成功とし、そうでなければ検証失敗とする。

（Ｃｏｍ，Ｄｅｃ，Ｖｅｒｉｆｙ）の秘匿性からＨＣｏｍも秘匿性を満たす。Ｇがハミルトン閉路を持たないときは（つまりＧ∈Ｌ_ｈａｍが成り立たないときは）拘束性を満たす。つまり、コミットした後に０と１の両方にオープンすることはできない。なぜなら、コミットした時点でコミットしたグラフが一意に定まり、これがＧの置換でありハミルトン閉路も含むということはありえないからである。ＨＣｏｍの特徴は、Ｇ∈Ｌ_ｈａｍのときにＰがＧ∈Ｌ_ｈａｍの証拠ｗ（つまりＧのハミルトン閉路）を知っていると０へのコミットメントを０と１の両方にオープンすることができることである。

＜ＡＨＣｏｍ＞
ＡＨＣｏｍは確率的アルゴリズムの組（ＡＨ＿Ｃｏｍ，ＡＨ＿Ｄｅｃ，ＡＨ＿Ｖｅｒｉｆｙ）からなる非対話コミットメント方式である。
≪ＡＨ＿Ｃｏｍ≫
ＡＨ＿Ｃｏｍはビットｂ∈｛０，１｝とハミルトン閉路問題のインスタンスＧを入力とし、乱数ｒを生成して以下のようにｂへのコミットメントｃ←ＡＨ_Ｃｏｍ（Ｇ，ｂ）（すなわち、ｃ：＝ＡＨ＿Ｃｏｍ（Ｇ，ｂ；ｒ））を出力する。
ｂ＝０へのコミット：ＰはＧ上のランダム置換π’を選び、Ｅ^（０）＝π’（Ｇ）の隣接行列Ｂ^（０）：＝Ｍ（Ｅ^（０））を計算し、乱数ｒ_ｉ，ｊを選択し、Ｂ^（０）＝｛ｂ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（０）をＣｏｍでコミットして得られるｃ_ｉ，ｊ←Ｃｏｍ（ｂ_ｉ，ｊ ^（０））（すなわち、ｃ_ｉ，ｊ：＝Ｃｏｍ（ｂ_ｉ，ｊ ^（０）；ｒ_ｉ，ｊ））からなる｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をコミットメントｃとして出力する。
ｂ＝１へのコミット：ＰはＧと同じサイズでハミルトン閉路のみを持つグラフＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））を得、乱数ｒ_ｉ，ｊを選択し、Ｂ^（１）＝｛ｂ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（１）を得る。ｂ_ｉ，ｊ ^（１）＝１の場合、ＰはＣｏｍでｂ_ｉ，ｊ ^（１）をコミットして得られるｃ_ｉ，ｊ←Ｃｏｍ（ｂ_ｉ，ｊ ^（１））（すなわちｃ_ｉ，ｊ：＝Ｃｏｍ（ｂ_ｉ，ｊ ^（１）；ｒ_ｉ，ｊ））を得る。ｂ_ｉ，ｊ ^（１）＝０の場合、ＰはＣｏｍで０をコミットする代わりにＣｏｍ（ｂ_ｉ，ｊ ^（１））と同じ長さのランダム記号列Ｃ（ｒ_ｉ，ｊ）をｃ_ｉ，ｊ：＝Ｃ（ｒ_ｉ，ｊ）として得る。Ｐは｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をコミットメントｃとして出力する。

≪ＡＨ＿Ｄｅｃ≫
ＡＨ＿Ｄｅｃはコミットメントｃとコミットされた値ｂとコミットメントに用いられた乱数ｒを入力とし、デコミットメントｄ：＝ＡＨ＿Ｄｅｃ（Ｇ，ｂ，ｃ；ｒ）を出力する。
ｂ＝０へのデコミット：Ｐは、ｄ_ｉ，ｊ ^（０）：＝Ｄｅｃ（ｂ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ；ｒ_ｉ，ｊ）を得、｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をデコミットメントｄとしてπ’とともに出力する。
ｂ＝１へのデコミット：Ｐはｂ_ｉ，ｊ ^（１）＝１が成り立つような（ｉ，ｊ）のみについてｄ_ｉ，ｊ ^（１）：＝Ｄｅｃ（ｂ_ｉ，ｊ ^（１），ｃ_ｉ，ｊ；ｒ_ｉ，ｊ）を得、｛ｄ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をデコミットメントｄとして出力する。さらにＰはＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））をｄ_ｉ，ｊ ^（１）とともに出力する。

≪ＡＨ＿Ｖｅｒｉｆｙ≫
ＡＨ＿Ｖｅｒｉｆｙはコミットメントｃとデコミットされた値ｂとデコミットメントｄとインスタンスＧとを入力としてデコミットメントｄを検証する。
ｂ＝０の検証：ＶはＥ^（０）＝π’（Ｇ）の隣接行列Ｂ^（０）：＝Ｍ（Ｅ^（０））を計算し、Ｂ^（０）＝｛ｂ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（０）∈｛０，１｝を得、すべてのｉ∈［ｎ］，ｊ∈［ｎ］についてＶｅｒｉｆｙ（ｂ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（０））＝１であれば検証成功とし、そうでなければ検証失敗とする。
ｂ＝１の検証：ＶはＧと同じサイズでハミルトン閉路のみを持つグラフＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））を入力とし、Ｂ^（１）＝｛ｂ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（１）∈｛０，１｝を得る。Ｖはｂ_ｉ，ｊ ^（１）＝１の場合にはＶｅｒｉｆｙ（ｂ_ｉ，ｊ ^（１），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（１））＝１を確認し、ｂ_ｉ，ｊ ^（１）＝０の場合にはｃ_ｉ，ｊがＣｏｍ（ｂ_ｉ，ｊ ^（１））と同じ長さのランダム記号列であるかを確認する。すべてのｉ∈［ｎ］，ｊ∈［ｎ］について、ｂ_ｉ，ｊ ^（１）＝１の場合にＶｅｒｉｆｙ（ｂ_ｉ，ｊ ^（１），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（１））＝１となり、ｂ_ｉ，ｊ ^（１）＝０の場合にｃ_ｉ，ｊがＣｏｍ（ｂ_ｉ，ｊ ^（１））と同じ長さのランダム記号列となれば検証成功とし、そうでなければ検証失敗とする。

ＡＨＣｏｍもＨＣｏｍと同じ性質を満たす。さらにＡＨＣｏｍでは、Ｇ∈Ｌ_ｈａｍのときＰがＧ∈Ｌ_ｈａｍの証拠ｗ（つまりＧのハミルトン閉路）を知っていると、０へのコミットメントｃ←ＡＨ_Ｃｏｍ（Ｇ，０）を計算した後にＡＨ＿Ｃｏｍ（Ｇ，１；ｒ’）＝ｃを満たす乱数ｒ’＝｛ｒ_ｉ，ｊ’｝ _{ｉ∈［ｎ］，ｊ∈［ｎ］}を計算できる。この理由を示す。ＡＨ_Ｃｏｍ（Ｇ，０）の要素ｃ_ｉ，ｊとＡＨ＿Ｃｏｍ（Ｇ，１；ｒ）の要素ｃ_ｉ，ｊ’との間には以下の関係を想定できる。
(1)ｃ_ｉ，ｊがｂ_ｉ，ｊ ^（０）＝１へのコミットメントであるが、ｃ_ｉ，ｊ’がランダム記号列である。
(2)ｃ_ｉ，ｊがｂ_ｉ，ｊ ^（０）＝１へのコミットメントであり、ｃ_ｉ，ｊ’も１へのコミットメントである。
(3)ｃ_ｉ，ｊがｂ_ｉ，ｊ ^（０）＝０へのコミットメントであり、ｃ_ｉ，ｊ’がランダム記号列である。
(4)ｃ_ｉ，ｊがｂ_ｉ，ｊ ^（０）＝０へのコミットメントであるが、ｃ_ｉ，ｊ’は１へのコミットメントである。
(1)の場合、ｃ_ｉ，ｊ’はランダム記号列であり、Ｃｏｍの性質からｃ_ｉ，ｊは長さ｜ｃ_ｉ，ｊ｜のランダム記号列と識別できない。そのため、(1)のような（ｉ，ｊ）についてはｃ_ｉ，ｊをそのままｒ_ｉ，ｊ’とすればよい。
(2)のような（ｉ，ｊ）についてはｃ_ｉ，ｊの生成に用いたｒ_ｉ，ｊをそのままｒ_ｉ，ｊ’とすればよい。
(3)の場合、ｃ_ｉ，ｊ’はランダム記号列であるため、(3)のような（ｉ，ｊ）についてはｃ_ｉ，ｊをそのままｒ_ｉ，ｊ’とすればよい。
(4)のような（ｉ，ｊ）についてはｒ_ｉ，ｊ’を特定できない。しかしながら、Ｇ∈Ｌ_ｈａｍであるため、証拠ｗを用いて(4)の場合を避けるようなハミルトン閉路のみを持つグラフＥ^（１）を選択することは可能である。
よって上述の性質を満たす。

＜ＨＣｏｍとＡＨＣｏｍを用いたＳｐｅｃｉａｌＣｏｍの構成＞
ＨＣｏｍ＝（Ｈ＿Ｃｏｍ，Ｈ＿Ｄｅｃ，Ｈ＿Ｖｅｒｉｆｙ）を構成する（Ｃｏｍ，Ｄｅｃ，Ｖｅｒｉｆｙ）を（ＡＨ＿Ｃｏｍ，ＡＨ＿Ｄｅｃ，ＡＨ＿Ｖｅｒｉｆｙ）にそれぞれ置換し、ＨＣｏｍでのＧをＧ_０に置換し、ＡＨＣｏｍでのＧをＧ_１に置換することでＳｐｅｃｉａｌＣｏｍ＝（Ｓ＿Ｃｏｍ，Ｓ＿Ｄｅｃ，Ｓ＿Ｖｅｒｉｆｙ）を構成できる。以下に具体的に示す。

≪Ｓ＿Ｃｏｍ≫
Ｓ＿Ｃｏｍはビットｂ∈｛０，１｝とハミルトン閉路問題のインスタンス（グラフ）Ｇ_０，Ｇ_１を入力とし、乱数ｒを生成して以下のようにｂへのコミットメントｃ←Ｓ＿Ｃｏｍ（Ｇ_０，Ｇ_１，ｂ）（すなわち、ｃ：＝Ｓ＿Ｃｏｍ（Ｇ_０，Ｇ_１，ｂ；ｒ））を出力する。
ｂ＝０へのコミット：ＰはＧ_０上のランダム置換π’を選び、Ｅ^（０）＝π’（Ｇ_０）の隣接行列Ｂ^（０）：＝Ｍ（Ｅ^（０））を計算し、乱数ｒ_ｉ，ｊを選択し、Ｂ^（０）＝｛ｂ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（０）∈｛０，１｝をＡＨ＿Ｃｏｍでコミットして得られるｃ_ｉ，ｊ←ＡＨ＿Ｃｏｍ（Ｇ_１，ｂ_ｉ，ｊ ^（０））（すなわち、ｃ_ｉ，ｊ：＝ＡＨ＿Ｃｏｍ（Ｇ_１，ｂ_ｉ，ｊ ^（０）；ｒ_ｉ，ｊ））からなる｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をコミットメントｃとして出力する。
ｂ＝１へのコミット：ＰはＧ_０と同じサイズでハミルトン閉路のみを持つグラフＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））を得、乱数ｒ_ｉ，ｊを選択し、Ｂ^（１）＝｛ｂ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（１）∈｛０，１｝をＡＨ＿Ｃｏｍでコミットして得られるｃ_ｉ，ｊ←ＡＨ＿Ｃｏｍ（Ｇ_１，ｂ_ｉ，ｊ ^（１））（すなわち、ｃ_ｉ，ｊ：＝ＡＨ＿Ｃｏｍ（Ｇ_１，ｂ_ｉ，ｊ ^（１）；ｒ_ｉ，ｊ））からなる｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をコミットメントｃとして出力する。
前述のように、方式ＡＨ＿Ｃｏｍでの０へのコミットメントＡＨ＿Ｃｏｍ（Ｇ_１，０）は、グラフＧ_１に由来するグラフＴ^（０）＝π’（Ｇ_１）（π’はランダム置換）の隣接行列Ｕ^（０）の各要素ｕ_ｖ，ｗ ^（０）へのコミットメントｃｕ_ｖ，ｗ ^（０）を含む集合｛ｃｕ_ｖ，ｗ ^（０）｝である。ＡＨ＿Ｃｏｍでの１へのコミットメントＡＨ＿Ｃｏｍ（Ｇ_１，１）は、Ｇ_１と同じサイズでハミルトン閉路のみを持つグラフＴ^（１）の隣接行列Ｕ^（１）の各要素ｕ_ｖ，ｗ ^（１）に対応するｃｕ_ｖ，ｗ ^（１）を含む集合｛ｃｕ_ｖ，ｗ ^（１）｝であり、要素ｕ_ｖ，ｗ ^（１）＝１に対応するｃｕ_ｖ，ｗ ^（１）は要素ｕ_ｖ，ｗ ^（１）へのコミットメントであり、要素ｕ_ｖ，ｗ ^（１）＝０に対応するｃｕ_ｖ，ｗ ^（１）はランダム記号列である。

≪Ｓ＿Ｄｅｃ≫
Ｓ＿Ｄｅｃはコミットメントｃとコミットされた値ｂとコミットメントに用いられた乱数ｒを入力とし、デコミットメントｄ：＝Ｓ＿Ｄｅｃ（Ｇ_０，Ｇ_１，ｂ，ｃ；ｒ）を出力する。
ｂ＝０へのデコミット：Ｐはｄ_ｉ，ｊ ^（０）：＝ＡＨ＿Ｄｅｃ（Ｇ_１，ｂ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ；ｒ_ｉ，ｊ）を得、｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をデコミットメントｄとしてπ’とともに出力する。
ｂ＝１へのデコミット：Ｐはｄ_ｉ，ｊ ^（１）：＝ＡＨ＿Ｄｅｃ（Ｇ_１，ｂ_ｉ，ｊ ^（１），ｃ_ｉ，ｊ；ｒ_ｉ，ｊ）を得、｛ｄ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をデコミットメントｄとして出力する。さらにＰはＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））をｄとともに出力する。

≪Ｓ＿Ｖｅｒｉｆｙ≫
Ｓ＿Ｖｅｒｉｆｙはコミットメントｃとデコミットされた値ｂとデコミットメントｄとインスタンス（グラフ）Ｇ_０，Ｇ_１とを入力としてデコミットメントｄを検証する。
ｂ＝０の検証：ＶはＥ^（０）＝π’（Ｇ_０）の隣接行列Ｂ^（０）：＝Ｍ（Ｅ^（０））を計算し、Ｂ^（０）＝｛ｂ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（０）∈｛０，１｝を得、すべてのｉ∈［ｎ］，ｊ∈［ｎ］についてＡＨ＿Ｖｅｒｉｆｙ（Ｇ_１，ｂ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（０））＝１であれば検証成功とし、そうでなければ検証失敗とする。
ｂ＝１の検証：ＶはＧと同じサイズでハミルトン閉路のみを持つグラフＥ^（１）の隣接行列Ｂ^（１）：＝Ｍ（Ｅ^（１））を入力とし、Ｂ^（１）＝｛ｂ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ｂ_ｉ，ｊ ^（１）∈｛０，１｝を得、すべてのｉ∈［ｎ］，ｊ∈［ｎ］についてＡＨ＿Ｖｅｒｉｆｙ（Ｇ_１，ｂ_ｉ，ｊ ^（１），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（１））＝１であれば検証成功とし、そうでなければ検証失敗とする。

このようにＨＣｏｍとＡＨＣｏｍを用いたＳｐｅｃｉａｌＣｏｍは、前述の（性質１）〜（性質４）を満たす。

（性質１）Ｇ_０∈Ｌ_ｈａｍでなく、かつ、Ｇ_１∈Ｌ_ｈａｍでないとき（Ｇ_０およびＧ_１が何れもハミルトン閉路を持たないとき）は、ＡＨＣｏｍが拘束性を満たすのでＨＣｏｍの拘束性が保存されＳｐｅｃｉａｌＣｏｍも拘束性を満たす。

（性質２）ＡＨＣｏｍは常に秘匿性を満たすのでＨＣｏｍの秘匿性が保存されＳｐｅｃｉａｌＣｏｍも常に秘匿性を満たす。

（性質３）Ｇ_０∈Ｌ_ｈａｍのときはＨＣｏｍの性質から０へのコミットメントを１へデコミットすることができる。

（性質４）Ｇ_０∈Ｌ_ｈａｍかつＧ_１∈Ｌ_ｈａｍのときは、１へのコミットメントを０のコミットメントとして以下のように説明できる。１へのコミットメントを計算する際に用いたグラフをＥ^（１）とする。このとき、Ｇ_０∈Ｌ_ｈａｍの証拠ｗ_０を用いるとＧ_０のハミルトン閉路がＥ^（１）のハミルトン閉路と重なるようにＧ_０を置換するπ^（１）を計算することができる。このとき、ＳｐｅｃｉａｌＣｏｍにおける０へのコミットメントが１へのコミットメントと異なる点は、Ｅ^（０）＝π’（Ｇ_０）では枝があるがＥ^（１）では枝がない部分においてＡＨ＿Ｃｏｍで０ではなく１にコミットしていることである。ここでＧ_１∈Ｌ_ｈａｍのときはＡＨ＿Ｃｏｍによる０へのコミットメントを１へのコミットメントだと説明することができるため、これによりＳｐｅｃｉａｌＣｏｍによる１へのコミットメントを０のコミットメントとして説明することができる。

［実施形態］
次に、図面を用いて実施形態を説明する。
＜構成＞
図１に例示するように、本形態の証明システム１は証明装置１１および検証装置１２を有する。証明装置１１は、記憶部１１１、制御部１１２、前提処理部１１３、コミット部１１４、チャレンジ入力部１１５、およびデコミット部１１６を有する。検証装置１２は、記憶部１２１、制御部１２２、前提処理部１２３、コミットメント入力部１２４、チャレンジ出力部１２５、および検証部１２６を有する。証明装置１１と検証装置１２は、ネットワーク等を通じて互いに情報の送受信が可能とされている。これらの装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）およびＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。

＜処理＞
図２および図３を用い、本形態における漏洩耐性を持つゼロ知識証明方法を説明する。本形態では証明装置１１が検証装置１２と共有するグラフＧ_０がハミルトン閉路を持つこと（つまりＧ_０∈Ｌ_ｈａｍであること）を証明する。Ｇ_０∈Ｌ_ｈａｍであることの一例は、特定の公開鍵（グラフＧ_０に対応）が正しく生成されたＲＳＡ暗号の公開鍵の集合（Ｌ_ｈａｍに対応）に属することである。

前処理において、証明装置１１の記憶部１１１および検証装置１２の記憶部１２１にグラフＧ_０が格納される。また、記憶部１１１にはさらにＧ_０∈Ｌ_ｈａｍであることの証拠ｗ_０が格納される。証拠ｗ_０の例はＧ_０のハミルトン閉路を表す情報であり、例えば公開鍵の素因数からなる列である。さらにセキュリティパラメータＫが設定される。Ｋは正整数であり、例えばＫ＝６４である。

証明装置１１の前提処理部１１３および検証装置１２の前提処理部１２３は、非特許文献１のencrypted preambleを行ってその通信系列σを得、命題σをハミルトン閉路問題に帰着したグラフＧ_１を得る。encrypted preambleが正しく行われれば、Ｇ_１はハミルトン閉路を持たない。Ｇ_１は記憶部１１１，１２１に送られて記憶される（ステップＳ１，Ｓ２）。

証明装置１１の制御部１１２はｋ＝１に設定する（ステップＳ３）。コミット部１１４は、記憶部１１１からｗ_０，Ｇ_０，Ｇ_１を読み込み、各ｉ∈［ｎ］，ｊ∈［ｎ］について乱数ｒ_ｉ，ｊを選択し（ステップＳ４）、コミットメントｃ_ｉ，ｊ：＝Ｓ_Ｃｏｍ（Ｇ_０，Ｇ_１，０；ｒ_ｉ，ｊ）を計算する（ステップＳ５）。コミット部１１４は、｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}および｛ｒ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を記憶部１１１に格納し、｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を検証装置１２に送信する（ステップＳ６）。すなわち、コミット部１１４は、コミット対象０とグラフＧ_０，Ｇ_１と乱数ｒ_ｉ，ｊとを含む情報に応じて得られる、グラフＧ_１と同じサイズ（ｎ×ｎ）の零行列の各要素０へのコミットメントｃ_ｉ，ｊを含む集合｛ｃ_ｉ，ｊ｝を出力する。前述のように、Ｇ_１およびＧ_０がハミルトン閉路を持たない場合、コミット対象０への拘束性が保証される（性質１）。グラフＧ_０がハミルトン閉路を持つ場合、０へのコミットメントｃ_ｉ，ｊを１へデコミットするための値をデコミットメントｄとすることができる（性質３）。グラフＧ_０およびＧ_１がハミルトン閉路を持つ場合、ｂ＝１へのコミットメントｃをｂ＝０へのコミットメントとして示すことができる（性質４）。

｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}は検証装置１２のコミットメント入力部１２４で受信され、記憶部１２１に格納される（ステップＳ７）。チャレンジ出力部１２５は、ランダムなチャレンジｃｈ∈｛０，１｝を選択して記憶部１２１に格納し（ステップＳ８）、さらにｃｈを証明装置１１に送信する（ステップＳ９）。

ｃｈは証明装置１１のチャレンジ入力部１１５で受信され（入力を受け付け）、記憶部１１１に格納される（ステップＳ１０）。デコミット部１１６は記憶部１１１からｃｈを読み込み、ｃｈ＝０であるかｃｈ＝１であるかを判定する（ステップＳ１１）。

ここでｃｈ＝０と判定された場合、デコミット部１１６は、記憶部１１１からＧ_０，Ｇ_１，ｗ_０，｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}，｛ｒ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を読み込み、Ｇ_１上のランダム置換πを選び（ステップＳ１２）、Ｈ^（０）＝π（Ｇ_１）の隣接行列Ａ^（０）：＝Ｍ（Ｈ^（０））を計算する（ステップＳ１３）。デコミット部１１６は、｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}をＡ^（０）＝｛ａ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}にデコミットするためのデコミットメントの集合｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を得る。つまり、デコミット部１１６は、各ｉ∈［ｎ］，ｊ∈［ｎ］についてａ_ｉ，ｊ ^（０）＝０ならばｄ_ｉ，ｊ ^（０）：＝Ｓ_Ｄｅｃ（Ｇ_０，Ｇ_１，ｃ_ｉ，ｊ，０；ｒ_ｉ，ｊ）を計算し、ａ_ｉ，ｊ ^（０）＝１ならばｄ_ｉ，ｊ ^（０）：＝Ｓ＿Ｅｑｕｉｖ（Ｇ_０，Ｇ_１，ｗ_０；ｒ_ｉ，ｊ）を計算し、｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を得る。デコミット部１１６は、πおよび｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を検証装置１２に送信する。すなわち、デコミット部１１６は、チャレンジｃｈが０（第１値）である場合に、グラフＧ_１に由来するグラフＨ^（０）の隣接行列Ａ^（０）＝｛ａ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}の各要素ａ_ｉ，ｊ ^（０）にコミットメントｃ_ｉ，ｊをデコミットするためのデコミットメントｄ_ｉ，ｊ ^（０）を含む集合を出力する（ステップＳ１４）。

ステップＳ１４で送信されたπおよび｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}は、検証装置１２の検証部１２６で受信される（ステップＳ１５）。検証部１２６は、記憶部１２１からＧ_０，Ｇ_１，｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を読み込み、Ｈ^（０）＝π（Ｇ_１）の隣接行列Ａ^（０）：＝Ｍ（Ｈ^（０））＝｛ａ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を計算し、これらと｛ｄ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を用い、｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}が｛ａ_ｉ，ｊ ^（０）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}にデコミットされたことを確認する。つまり、検証部１２６は、すべてのｉ∈［ｎ］，ｊ∈［ｎ］についてＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，ａ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（０））＝１が成り立つことを確認する。何れかのｉ∈［ｎ］，ｊ∈［ｎ］についてＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，ａ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（０））＝１が成り立たない場合、証明失敗として処理を終了する（ステップＳ２４）。一方、すべてのｉ∈［ｎ］，ｊ∈［ｎ］についてＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，ａ_ｉ，ｊ ^（０），ｃ_ｉ，ｊ，ｄ_ｉ，ｊ ^（０））＝１が成り立つ場合、制御部１２２はｋ＝Ｋであるかを判定する（ステップＳ１７）。ここでｋ＝Ｋでなければ、制御部１２２はｋ＋１を新たなｋ（すなわちｋ：＝ｋ＋１）とし（ステップＳ２６）、処理をステップＳ４に戻す。一方、ｋ＝Ｋであれば証明成功として処理を終了する（ステップＳ２５）。

一方、ステップＳ１１でｃｈ＝１と判定された場合、デコミット部１１６は、ハミルトン閉路のみを持つグラフＨ^（１）のｎ×ｎの隣接行列Ａ^（１）：＝Ｍ（Ｈ^（１））をランダムに選択する（ステップＳ１８）。ただし、隣接行列Ａ^（１）をＡ^（１）＝｛ａ_ｉ，ｊ ^（１）｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}と表記する。さらにデコミット部１１６は、記憶部１１１からＧ_０，Ｇ_１，ｗ_０，ｒ_ｉ，ｊを読み込み、ＳｐｅｃｉａｌＣｏｍの（性質３）を利用し、グラフＨ^（１）の閉路の部分についてｃ_ｐ，ｑ∈｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を各要素ａ_ｐ，ｑ ^（１）（ただし、ｐ∈［ｎ］，ｑ∈［ｎ］）にデコミットする。つまり、デコミット部１１６は、ａ_ｐ，ｑ ^（１）＝１となる各ｐ∈［ｎ］，ｑ∈［ｎ］についてｄ_ｐ，ｑ ^（１）：＝Ｓ＿Ｅｑｕｉｖ（Ｇ_０，Ｇ_１，ｗ_０；ｒ_ｐ，ｑ）を計算し、｛ｄ_ｐ，ｑ ^（１）｝_{ｐ∈［ｎ］，ｑ∈［ｎ］}を得る。デコミット部１１６は、｛ｐ，ｑ，ｄ_ｐ，ｑ ^（１）｝_{ｐ∈［ｎ］，ｑ∈［ｎ］}を検証装置１２に送信する。すなわち、デコミット部１１６は、チャレンジｃｈが１（第１値と異なる第２値）である場合に、ハミルトン閉路のみを持つグラフＨ^（１）の隣接行列Ａ^（１）の要素のうち閉路をなす枝に対応する各要素ａ_ｐ，ｑ ^（１）にコミットメントｃ_ｐ，ｑ∈｛ｃ_ｉ，ｊ｝をデコミットするためのデコミットメントｄ_ｐ，ｑ ^（１）を含む集合を出力する（ステップＳ１９）。

ステップＳ１９で送信された｛ｐ，ｑ，ｄ_ｐ，ｑ ^（１）｝_{ｐ∈［ｎ］，ｑ∈［ｎ］}は、検証装置１２の検証部１２６で受信される（ステップＳ２０）。検証部１２６は、記憶部１２１からＧ_０，Ｇ_１，｛ｃ_ｉ，ｊ｝_{ｉ∈［ｎ］，ｊ∈［ｎ］}を読み込み、これらと｛ｐ，ｑ，ｄ_ｐ，ｑ ^（１）｝_{ｐ∈［ｎ］，ｑ∈［ｎ］}を用い、ａ_ｐ，ｑ ^（１）＝１となるすべてのｐ∈［ｎ］，ｑ∈［ｎ］についてコミットメントｃ_ｐ，ｑが１にデコミットされたことを確認する。すなわち、検証部１２６は、ａ_ｐ，ｑ ^（１）＝１となるすべてのｐ∈［ｎ］，ｑ∈［ｎ］についてＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，１，ｃ_ｐ，ｑ，ｄ_ｐ，ｑ ^（１））＝１が成り立つかを判定する（ステップＳ２１）。ここで、ａ_ｐ，ｑ ^（１）＝１となる何れかのｐ∈［ｎ］，ｑ∈［ｎ］についてＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，１，ｃ_ｐ，ｑ，ｄ_ｐ，ｑ ^（１））＝１が成り立たない場合、証明失敗として処理を終了する（ステップＳ２４）。一方、ａ_ｐ，ｑ ^（１）＝１となるすべてのｐ∈［ｎ］，ｑ∈［ｎ］についてＳ＿Ｖｅｒｉｆｙ（Ｇ_０，Ｇ_１，１，ｃ_ｐ，ｑ，ｄ_ｐ，ｑ ^（１））＝１が成り立つ場合、検証部１２６は、１にデコミットされた要素ａ_ｐ，ｑ ^（１）に対応する枝を持つグラフがハミルトン閉路であるかを確認する（ステップＳ２２）。ここで、このグラフがハミルトン閉路でない場合、証明失敗として処理を終了する（ステップＳ２４）。一方、このグラフがハミルトン閉路である場合、制御部１２２はｋ＝Ｋであるかを判定する（ステップＳ２３）。ここでｋ＝Ｋでなければ、制御部１２２はｋ＋１を新たなｋ（すなわちｋ：＝ｋ＋１）とし（ステップＳ２６）、処理をステップＳ４に戻す。一方、ｋ＝Ｋであれば証明成功として処理を終了する（ステップＳ２５）。

＜本形態の特徴＞
本形態では、ＳｐｅｃｉａｌＣｏｍを巧みに使うことで内部情報の漏洩のシミュレーションを可能とし、Yaoの二者間秘密計算プロトコルを用いずに漏洩耐性をもつゼロ知識証明の実現が可能となった。

［変形例等］
なお、本発明は上述の実施の形態に限定されるものではない。例えば、Ｇをランダム置換したものを「Ｇに由来するグラフ」とした例を説明したが、Ｇそのものを「Ｇに由来するグラフ」としてもよいし、Ｇを予め定められたように置換したものを「Ｇに由来するグラフ」としてもよい。各装置がネットワークを通じて情報をやり取りするのではなく、少なくとも一部の組の装置が可搬型記録媒体を介して情報をやり取りしてもよい。或いは、少なくとも一部の組の装置が非可搬型の記録媒体を介して情報をやり取りしてもよい。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

本発明は、例えば、サイドチャネル攻撃を受ける可能性がある環境下における電子商取引等での認証、公開鍵暗号方式等の暗号プロトコルでの公開鍵の正当性の検証などに利用できる。

１ 証明システム
１１ 証明装置
１２ 検証装置

Claims (8)

1. グラフＧ_０がハミルトン閉路を持つことを証明する証明装置であって、
   ハミルトン閉路を持たないグラフＧ_１を得る前提処理部と、
   コミット対象０と前記グラフＧ_０，Ｇ_１と乱数ｒ_ｉ，ｊとを含む情報に応じて得られる、前記グラフＧ_１と同じサイズの零行列の各要素０へのコミットメントｃ_ｉ，ｊを含む集合｛ｃ_ｉ，ｊ｝を出力するコミット部と、
   チャレンジｃｈの入力を受け付けるチャレンジ入力部と、
   前記チャレンジｃｈが第１値である場合に、前記グラフＧ_１に由来するグラフＨ^（０）の隣接行列Ａ^（０）の各要素ａ_ｉ，ｊ ^（０）に前記コミットメントｃ_ｉ，ｊをデコミットするためのデコミットメントｄ_ｉ，ｊ ^（０）を含む集合を出力し、
   前記チャレンジｃｈが前記第１値と異なる第２値である場合に、ハミルトン閉路のみを持つグラフＨ^（１）の隣接行列Ａ^（１）の要素のうち閉路をなす枝に対応する各要素ａ_ｐ，ｑ ^（１）に前記コミットメントｃ_ｐ，ｑ∈｛ｃ_ｉ，ｊ｝をデコミットするためのデコミットメントｄ_ｐ，ｑ ^（１）を含む集合を出力するデコミット部と、
   を有する証明装置。
2. 請求項１の証明装置であって、
   前記グラフＧ_０がハミルトン閉路を持たない場合、前記コミット対象０への拘束性が保証され、
   前記グラフＧ_０がハミルトン閉路を持つ場合、０への前記コミットメントｃ_ｉ，ｊを１へデコミットするための値を前記デコミットメントｄとすることができ、
   前記グラフＧ_０およびＧ_１がハミルトン閉路を持つ場合、ｂ＝１への前記コミットメントｃをｂ＝０へのコミットメントとして示すことができる、証明装置。
3. 請求項１または２の証明装置であって、
   ０への前記コミットメントｃ_ｉ，ｊは、前記グラフＧ_０に由来するグラフＥ^（０）の隣接行列Ｂ^（０）の各要素ｂ_ｉ，ｊ ^（０）を方式ＡＨ＿ＣｏｍでコミットしたコミットメントＣＢ_ｉ，ｊ ^（０）←ＡＨ＿Ｃｏｍ（Ｇ_１，ｂ_ｉ，ｊ ^（０））を含む集合｛ＣＢ_ｉ，ｊ ^（０）｝であり、
   １への前記コミットメントｃ_ｉ，ｊは、前記グラフＧ_０と同じサイズでハミルトン閉路のみを持つグラフＥ^（１）の隣接行列Ｂ^（１）の各要素ｂ_ｉ，ｊ ^（１）を前記方式ＡＨ＿ＣｏｍでコミットしたコミットメントＣＢ_ｉ，ｊ ^（１）←ＡＨ＿Ｃｏｍ（Ｇ_１，ｂ_ｉ，ｊ ^（１））を含む集合｛ＣＢ_ｉ，ｊ ^（１）｝であり、
   前記方式ＡＨ＿Ｃｏｍでの０へのコミットメントＡＨ＿Ｃｏｍ（Ｇ_１，０）は、前記グラフＧ_１に由来するグラフＴ^（０）の隣接行列Ｕ^（０）の各要素ｕ_ｖ，ｗ ^（０）へのコミットメントｃｕ_ｖ，ｗ ^（０）を含む集合｛ｃｕ_ｖ，ｗ ^（０）｝であり、
   前記方式ＡＨ＿Ｃｏｍでの１へのコミットメントＡＨ＿Ｃｏｍ（Ｇ_１，１）は、前記グラフＧ_１と同じサイズでハミルトン閉路のみを持つグラフＴ^（１）の隣接行列Ｕ^（１）の各要素ｕ_ｖ，ｗ ^（１）に対応するｃｕ_ｖ，ｗ ^（１）を含む集合｛ｃｕ_ｖ，ｗ ^（１）｝であり、要素ｕ_ｖ，ｗ ^（１）＝１に対応するｃｕ_ｖ，ｗ ^（１）は前記要素ｕ_ｖ，ｗ ^（１）へのコミットメントであり、要素ｕ_ｖ，ｗ ^（１）＝０に対応するｃｕ_ｖ，ｗ ^（１）はランダム記号列である、証明装置。
4. ０または１のコミット対象ｂ、グラフＧ_０，Ｇ_１と乱数ｒとを含む情報に応じて得られる、前記コミット対象ｂへのコミットメントｃを出力するコミット部と、
   前記コミットメントｃに対してデコミットメントｄを出力するデコミット部と、を有し、
   前記グラフＧ_０およびＧ_１がハミルトン閉路を持たない場合、前記コミット対象ｂへの拘束性が保証され、
   前記グラフＧ_０がハミルトン閉路を持つ場合、ｂ＝０への前記コミットメントｃをｂ＝１へデコミットするための値を前記デコミットメントｄとすることができ、
   前記グラフＧ_０およびＧ_１がハミルトン閉路を持つ場合、ｂ＝１への前記コミットメントｃをｂ＝０へのコミットメントとして示すことができる、証明装置。
5. 請求項４の証明装置であって、
   ｂ＝０への前記コミットメントｃは、前記グラフＧ_０に由来するグラフＥ^（０）の隣接行列Ｂ^（０）の各要素ｂ_ｉ，ｊ ^（０）を方式ＡＨ＿ＣｏｍでコミットしたコミットメントＣＢ_ｉ，ｊ ^（０）←ＡＨ＿Ｃｏｍ（Ｇ_１，ｂ_ｉ，ｊ ^（０））を含む集合｛ＣＢ_ｉ，ｊ ^（０）｝であり、
   ｂ＝１への前記コミットメントｃは、前記グラフＧ_０と同じサイズでハミルトン閉路のみを持つグラフＥ^（１）の隣接行列Ｂ^（１）の各要素ｂ_ｉ，ｊ ^（１）を前記方式ＡＨ＿ＣｏｍでコミットしたコミットメントＣＢ_ｉ，ｊ ^（１）←ＡＨ＿Ｃｏｍ（Ｇ_１，ｂ_ｉ，ｊ ^（１））を含む集合｛ＣＢ_ｉ，ｊ ^（１）｝であり、
   前記方式ＡＨ＿Ｃｏｍでの０へのコミットメントＡＨ＿Ｃｏｍ（Ｇ_１，０）は、前記グラフＧ_１に由来するグラフＴ^（０）の隣接行列Ｕ^（０）の各要素ｕ_ｖ，ｗ ^（０）へのコミットメントｃｕ_ｖ，ｗ ^（０）を含む集合｛ｃｕ_ｖ，ｗ ^（０）｝であり、
   前記方式ＡＨ＿Ｃｏｍでの１へのコミットメントＡＨ＿Ｃｏｍ（Ｇ_１，１）は、前記グラフＧ_１と同じサイズでハミルトン閉路のみを持つグラフＴ^（１）の隣接行列Ｕ^（１）の各要素ｕ_ｖ，ｗ ^（１）に対応するｃｕ_ｖ，ｗ ^（１）を含む集合｛ｃｕ_ｖ，ｗ ^（１）｝であり、要素ｕ_ｖ，ｗ ^（１）＝１に対応するｃｕ_ｖ，ｗ ^（１）は前記要素ｕ_ｖ，ｗ ^（１）へのコミットメントであり、要素ｕ_ｖ，ｗ ^（１）＝０に対応するｃｕ_ｖ，ｗ ^（１）はランダム記号列である、証明装置。
6. グラフＧ_０がハミルトン閉路を持つことを証明する証明装置と、前記グラフＧ_０がハミルトン閉路を持つことを検証する検証装置とを有し、
   前記証明装置は、ハミルトン閉路を持たないグラフＧ_１を得る第１前提処理部を含み、
   前記検証装置は、前記グラフＧ_１を得る第２前提処理部を含み、
   前記証明装置は、コミット対象０と前記グラフＧ_０，Ｇ_１と乱数ｒ_ｉ，ｊとを含む情報に応じて得られる、前記グラフＧ_１と同じサイズの零行列の各要素０へのコミットメントｃ_ｉ，ｊを含む集合｛ｃ_ｉ，ｊ｝を出力するコミット部を含み、
   前記検証装置は、チャレンジｃｈを出力するチャレンジ出力部を含み、
   前記証明装置は、前記チャレンジｃｈの入力を受け付けるチャレンジ入力部と、
   前記チャレンジｃｈが第１値である場合に、前記グラフＧ_１に由来するグラフＨ^（０）の隣接行列Ａ^（０）の各要素ａ_ｉ，ｊ ^（０）に前記コミットメントｃ_ｉ，ｊをデコミットするためのデコミットメントｄ_ｉ，ｊ ^（０）を含む集合を出力し、
   前記チャレンジｃｈが前記第１値と異なる第２値である場合に、ハミルトン閉路のみを持つグラフＨ^（１）の隣接行列Ａ^（１）の要素のうち閉路をなす枝に対応する各要素ａ_ｐ，ｑ ^（１）に前記コミットメントｃ_ｐ，ｑ∈｛ｃ_ｉ，ｊ｝をデコミットするためのデコミットメントｄ_ｐ，ｑ ^（１）を含む集合を出力するデコミット部と、を含み、
   前記検証装置は、
   前記チャレンジｃｈが前記第１値である場合に、｛ｃ_ｉ，ｊ｝，｛ｄ_ｉ，ｊ ^（０）｝，｛ａ_ｉ，ｊ ^（０）｝および前記グラフＧ_０，Ｇ_１を含む情報を用いて、前記コミットメントｃ_ｉ，ｊが前記要素ａ_ｉ，ｊ ^（０）にデコミットされたことを検証し、
   前記チャレンジｃｈが前記第２値である場合に、｛ｃ_ｐ，ｑ｝，｛ｄ_ｐ，ｑ ^（１）｝および前記グラフＧ_０，Ｇ_１を含む情報を用いて、前記コミットメントｃ_ｐ，ｑが１にデコミットされたことを確認し、かつ、１にデコミットされた要素に対応する枝を持つグラフがハミルトン閉路であることを検証する検証部を含む、証明システム。
7. グラフＧ_０がハミルトン閉路を持つことを証明する証明方法であって、
   前提処理部が、ハミルトン閉路を持たないグラフＧ_１を得、
   コミット部が、コミット対象０と前記グラフＧ_０，Ｇ_１と乱数ｒ_ｉ，ｊとを含む情報に応じて得られる、前記グラフＧ_１と同じサイズの零行列の各要素０へのコミットメントｃ_ｉ，ｊを含む集合｛ｃ_ｉ，ｊ｝を出力し、
   入力部が、チャレンジｃｈの入力を受け付け、
   デコミット部が、
   前記チャレンジｃｈが第１値である場合に、前記グラフＧ_１に由来するグラフＨ^（０）の隣接行列Ａ^（０）の各要素ａ_ｉ，ｊ ^（０）に前記コミットメントｃ_ｉ，ｊをデコミットするためのデコミットメントｄ_ｉ，ｊ ^（０）を含む集合を出力し、
   （２）前記チャレンジｃｈが前記第１値と異なる第２値である場合に、ハミルトン閉路のみを持つグラフＨ^（１）の隣接行列Ａ^（１）の要素のうち閉路をなす枝に対応する各要素ａ_ｐ，ｑ ^（１）に前記コミットメントｃ_ｐ，ｑ∈｛ｃ_ｉ，ｊ｝をデコミットするためのデコミットメントｄ_ｐ，ｑ ^（１）を含む集合を出力する証明方法。
8. 請求項１から５の何れかの証明装置としてコンピュータを機能させるプログラム。

Images