JP2021015218A - 匿名認証方法、プログラム、および、匿名認証システム - Google Patents

Abstract

【課題】ユーザー秘密鍵が漏洩した場合であっても、属性トークンが不正に取得され、失効リストが不正に書き換えられる可能性がない匿名認証システムを実現する。【解決手段】匿名認証システム１０００では、属性トークンに対して公開鍵暗号による暗号化処理を行うことで取得した、暗号化属性トークンを用いて、署名処理を行うので、ユーザー秘密鍵が漏洩した場合であっても、属性トークンが不正に取得され、失効リストが不正に書き換えられるリスクをなくすことができる。また、匿名認証システム１０００では、属性トークンを公開鍵暗号により暗号化処理して取得した暗号化データを署名データに含め、当該署名データに対して検証処理が実行されるので、セキュリティ強度の高い検証処理を実行することができる。【選択図】図１

Description

本発明は、匿名認証技術に関し、特に、グループ署名を利用する匿名認証技術に関する。

所定の属性を有するユーザーのみが匿名での認証を可能にする技術（例えば、特許文献１を参照）として、グループ署名（例えば、属性ベースグループ署名（ABGS：Attribute Based Group Signature））が知られている。例えば、属性ベースグループ署名（ABGS）では、公開鍵暗号方式を用いて、グループ管理者がグループ公開鍵と、ユーザー秘密鍵と、グループ管理用秘密鍵とを生成する。属性ベースグループ署名（ABGS）では、グループユーザーごとに、ユーザー秘密鍵を生成し、各グループユーザーに生成したユーザー秘密鍵が渡される。また、属性ベースグループ署名（ABGS）では、各グループユーザーが有する属性を特定するための属性トークンが生成され、生成された属性トークンが各グループユーザーに渡される。

そして、属性ベースグループ署名（ABGS）では、ポリシー（Policy）を設定し、当該ポリシーに基づく条件を満たす属性を有するグループユーザーのみが、所定のデータ（例えば、署名を要求する外部ユーザー（例えば、この外部ユーザーの名前を「アリス」とする）のドキュメント）に対して署名をすることができる。つまり、属性ベースグループ署名では、各グループユーザーが、ポリシーにより要求される属性を有していれば、当該グループユーザーが、当該グループユーザーのプライバシーを守りながら（当該グループユーザーを特定するデータ（例えば、当該グループユーザーのＩＤ等）を外部に漏らすことなく）、所定のデータ（例えば、署名を要求する外部ユーザー「アリス」のドキュメント）に対して、署名（真正の署名）をすることが可能となる。

しかしながら、属性ベースグループ署名では、各グループユーザーがユーザー秘密鍵を有しているので、例えば、所定のグループユーザーの属性が変更され、署名をする権限が失効された場合に、依然として、署名を行うことが可能である。

このような問題に対処するために、属性ベースグループ署名では、効率的な失効処理（属性失効処理（Attribute Revocation））を行うメカニズムが求められる。属性ベースグループ署名において、効率的な失効処理（属性失効処理（Attribute Revocation））を行う技術として、ＶＬＲ（Verifier-local Revocation）技術がある。ＶＬＲ技術では、失効リスト（Revocation list）を用いて、署名が真正であるか否かを判断することができる。つまり、ＶＬＲ技術では、失効させるグループユーザーの属性を失効リストに記録する。そして、ＶＬＲ技術では、失効リストに記録されている属性を有しているグループユーザーによる署名は、無効（invalid）であると判定することで、効率的な失効処理（属性失効処理（Attribute Revocation））を実現できる。

つまり、属性ベースグループ署名と、ＶＬＲ技術とを用いることで、効率的な失効処理ができる属性ベースグループ署名を実現できる。非特許文献１に、このようなＶＬＲを用いた属性ベースグループ署名についての技術の開示がある。

ここで、ＶＬＲを用いた属性ベースグループ署名（ABGS）について、図面を用いて説明する。

図６は、ＶＬＲを用いた属性ベースグループ署名（ABGS）を実行するための認証システム９００の概略構成図である。

図６に示すように、認証システム９００は、グループ管理装置９１と、グループユーザー用装置９２と、認証装置９３と、データ格納部ＤＢ９とを備える。グループ管理装置９１と、グループユーザー用装置９２と、認証装置９３とは、例えば、ネットワークにより接続されており、各装置間において、データ通信が可能である。

（処理１（鍵生成処理（KeyGen）））：
処理１において、グループ管理装置９１は、公開鍵暗号方式の鍵生成処理を実行する。具体的には、グループ管理装置９１は、グループ署名の対象とするグループの公開鍵ｇｐｋと、当該グループに属する各グループユーザーの秘密鍵ｇｓｋ（＝｛ｇｓｋ［０］，ｇｓｋ［１］，・・・，ｇｓｋ［Ｎ−１］｝）（Ｎ：グループユーザーの数）および属性トークンｇｒｔ（＝｛ｇｒｔ［０］，ｇｒｔ［１］，・・・，ｇｒｔ［Ｎ−１］｝）を生成する。

なお、説明便宜のため、グループユーザー数Ｎ＝４として、以下、説明する。

また、属性トークンｇｒｔ（＝｛ｇｒｔ［０］，ｇｒｔ［１］，・・・，ｇｒｔ［Ｎ−１］｝）は、グループユーザーの有している属性を特定するためのデータである。ここでは、説明便宜のため、属性数が「３」であり、各属性を示す変数を、ａｔｔ_１，ａｔｔ_２，ａｔｔ_３とし、各属性は、例えば、下記の属性を表すものとする。
属性ａｔｔ_１：会社Ｂに属していること
属性ａｔｔ_２：製造チームに属していること
属性ａｔｔ_３：管理職であること
そして、ユーザーｋ（ｋ：自然数、０≦ｋ≦Ｎ−１）が属性ａｔｔ_ｊ（ｊ：自然数、１≦ｊ≦３）を有していることを示す表記を「ｇｒｔ［ｋ］．ａｔｔ_ｊ」とする。つまり、各グループユーザーの属性トークンにより、各グループユーザーが有している属性を特定することができる。

（処理２（ポリシー設定処理））：
処理２において、認証システム９００では、ポリシーが設定される。例えば、属性ａｔｔ_１，ａｔｔ_２，ａｔｔ_３を有しているグループユーザーが、署名できるように、ポリシーが設定される。なお、以下では、説明便宜のため、ポリシーにおいて、属性ａｔｔ_１（例えば、ボブの会社に属していることを示す属性），属性ａｔｔ_２（例えば、製造チームに属していることを示す属性），属性ａｔｔ_３（例えば、マネージャーであることを示す属性）を有しているグループユーザーが署名できると設定されているものとする。このように設定されたポリシーが、例えば、認証装置９３からグループユーザー用装置９２に送信される。

（処理３（署名処理（Sign）））：
処理３において、所定のグループユーザーが署名処理を行う。ここでは、説明便宜のため、グループユーザーＩＤが「３」（ｄ＝３）であるグループユーザー３が、アリス（署名要件者）のドキュメントＭ（メッセージＭ）に対して、署名処理を行う場合について、説明する。また、グループユーザー（ユーザー０〜ユーザー３）のユーザー秘密鍵、属性トークンは、図７に示すように設定されているものとする。

設定されているポリシー（ポリシー要求条件）から、属性ａｔｔ_１、ａｔｔ_２、ａｔｔ_３を有しているグループユーザーがアリスのドキュメントＭに対して署名できる。ユーザー３は、図７から分かるように、属性ａｔｔ_１、ａｔｔ_２、ａｔｔ_３についての属性トークン（ｇｒｔ［３］．ａｔｔ_１、ｇｒｔ［３］．ａｔｔ_２、ｇｒｔ［３］．ａｔｔ_３）を有しているので、アリスのドキュメントＭに対して署名できる（署名する権限を有している）。

そして、ユーザー３のグループユーザー用装置９２において、非特許文献１に開示されているように、（１）当該グループユーザー（ここでは、ユーザー３）が有効な属性トークンを有していることを証明するデータと、（２）当該グループユーザー（ここでは、ユーザー３）が有している属性トークンが、失効リストＲＬに記録されていないことを証明するデータとを含むゼロ知識証明Πを、ゼロ知識証明技術を使用して、生成する。

そして、ユーザー３のグループユーザー用装置９２は、生成したゼロ知識証明Πと、メッセージＭ（署名したドキュメント）とを含む署名データΣ（＝（Ｍ，Π））を、メッセージＭとともに、認証装置９３に送信する。

（処理４（検証処理（Verify））：
処理４において、認証装置９３は、検証処理を実行する。具体的には、認証装置９３は、グループユーザー用端末から受信した署名データΣ（＝（Ｍ，Π））と、メッセージＭと、グループ公開鍵ｇｐｋとを用いて、ゼロ知識証明処理を行う。つまり、認証装置９３は、ゼロ知識証明技術を用いて、（１）当該グループユーザー（ここでは、ユーザー３）が有効な属性トークンを有しているか否かをチェックし、さらに、（２）失効リストＲＬを参照し、当該グループユーザー（ここでは、ユーザー３）が有している属性トークンが失効リストＲＬに記録されているか否かをチェックする。

そして、上記のチェックの結果、（１）当該グループユーザー（ここでは、ユーザー３）が有効な属性トークンを有しており、かつ、（２）失効リストＲＬを参照し、当該グループユーザー（ここでは、ユーザー３）が有している属性トークンが失効リストＲＬに記録されていない場合、認証装置９３は、当該グループユーザー（ここでは、ユーザー３）よるメッセージＭに対する署名（グループ署名）が「有効」（Valid）であることを示す検証結果を出力し、上記以外の場合、認証装置９３は、当該グループユーザー（ここでは、ユーザー３）よるメッセージＭに対する署名（グループ署名）が「無効」（Invalid）であることを示す検証結果を出力する。

図６、図７の場合（ケース１）、上記（１）、（２）の要件を満たすので、認証装置９３は、当該グループユーザー（ここでは、ユーザー３）よるメッセージＭに対する署名（グループ署名）が「有効」（Valid）であることを示す検証結果を出力する。

（処理５（失効処理（Revoke））：
次に、認証システム９００における失効処理について、説明する。例えば、所定のグループユーザーの属性が変更され、当該グループユーザーに対して、署名権限を失効させる処理について、説明する。

ここでは、説明便宜のため、ユーザー３（ｄ＝３のグループユーザー）が属性ａｔｔ_２の条件を満たさなくなった場合（例えば、ユーザー３が製造チームから他のチームに移動となり、上記の場合のポリシー要求条件（属性ａｔｔ_１〜ａｔｔ_３を有していることという条件）を満たさなくなった場合について、以下説明する。

この場合、図８に示すように、グループ管理装置９１は、失効処理（Revoke）を行う。つまり、ユーザー３（ｄ＝３のグループユーザー）の属性トークンｇｒｔ［３］．ａｔｔ_２を失効リストＲＬに記録（追加）する。

そして、例えば、上記と同様に、ユーザー３は、署名処理を行った場合について、説明する。

この場合、上記の処理３と同様の署名処理が実行され、ユーザー３のグループユーザー用装置９２により生成された署名データΣ（＝（Ｍ，Π））と、メッセージＭとが、ユーザー３のグループユーザー用装置９２から、認証装置９３に送信される。

認証装置９３は、上記の処理４と同様に、検証処理を実行する。具体的には、認証装置９３は、グループユーザー用端末から受信した署名データΣ（＝（Ｍ，Π））と、メッセージＭと、グループ公開鍵ｇｐｋとを用いて、ゼロ知識証明処理を行う。つまり、認証装置９３は、ゼロ知識証明技術を用いて、（１）当該グループユーザー（ここでは、ユーザー３）が有効な属性トークンを有しているか否かをチェックし、さらに、（２）失効リストＲＬを参照し、当該グループユーザー（ここでは、ユーザー３）が有している属性トークンが失効リストＲＬに記録されているか否かをチェックする。

そして、上記のチェックの結果、（１）当該グループユーザー（ここでは、ユーザー３）が有効な属性トークンを有しており、（２）失効リストＲＬを参照し、当該グループユーザー（ここでは、ユーザー３）が有している属性トークン（ユーザー３（ｄ＝３のグループユーザー）の属性トークンｇｒｔ［３］．ａｔｔ_２）が失効リストＲＬに記録されていると判定する。

そして、認証装置９３は、当該グループユーザー（ここでは、ユーザー３）よるメッセージＭに対する署名（グループ署名）が「無効」（Invalid）であることを示す検証結果を出力する。つまり、図９の下図に示したように、図８の場合（これをケース２とする）、ユーザー３は、属性トークンｇｒｔ［３］.ａｔｔ_１、属性トークンｇｒｔ［３］.ａｔｔ_２、属性トークンｇｒｔ［３］.ａｔｔ_３を有しているので、メッセージＭに対して署名をすることができるが、失効リストＲＬに、属性トークンｇｒｔ［３］.ａｔｔ_２が記録されているため、ユーザー３が署名処理により生成した署名は、検証の結果、「無効」（Invalid）であると判定される。

以上のように、認証システム９００では、失効させる属性トークンを、失効リストＲＬに記録（追加）するだけで、署名権限を失効させたグループユーザーの署名が無効であることを示す検証結果を出力することができる。したがって、認証システム９００では、各グループユーザーのプライバシーを確保しつつ（各グループユーザーを特定する情報の秘匿性を確保しつつ）、グループユーザーの属性の変更にともなう失効処理（Revocation）を、適切かつ効率的に行うことができる。

特開２０１１−１１４５０４号公報

Y. Zhang, Y. Gan, Y. Yin, and H. Jia, Attribute-Based VLR Group Signature Scheme from Lattices: 18th International Conference, ICA3PP 2018, Guangzhou, China, November 15-17, 2018, Proceedings, Part IV, 11 2018, pp. 600-610.

しかしながら、上記の技術では、属性トークンが暗号化されておらず、悪意の第三者が属性トークンを取得した場合、当該悪意の第三者により、失効リストＲＬが不正に書き換えられ、その結果、ユーザーの匿名性及び属性の匿名性が損なわれる可能性がある。

例えば、非特許文献１の技術では、非特許文献１に記載されているように、ユーザー秘密鍵が格子暗号により、下記のように生成される。
ｇｓｋ［ｄ］＝｛ｅ_ｉ，１，ｅ_ｉ，２｝_{ｉ∈｛１，２，．．．，ｕ｝}
ｕ：属性の数
上記において、ｅ_ｉ，１、ｅ_ｉ，２は、格子暗号（Lattice-based cryptography）により取得された秘密鍵を構成するデータである。

そして、非特許文献１の技術では、属性トークンｇｒｔが、
ｇｒｔ［ｄ］＝｛ｕ’_ｄ｝
ｕ’_ｄ＝（ｕ’_ｄ，ｉ）_{ｉ∈｛１，２，．．．，ｕ｝}＝（Ａ・ｅ_ｉ，１ ｍｏｄ ｑ）_{ｉ∈｛１，２，．．．，ｕ｝}
Ａ∈Ｚ^ｎ×ｍ _ｑ
により生成される。

つまり、非特許文献１の技術では、ユーザー秘密鍵ｇｓｋ［ｄ］が漏洩した場合、ユーザー秘密鍵ｇｓｋ［ｄ］から、ｅ_ｉ，１が取得でき、そして、ｅ_ｉ，１から、上記演算を行うことで、属性トークンｇｒｔを取得できる。

すなわち、非特許文献１の技術は、ユーザー秘密鍵が漏洩しないことを前提としており、ユーザー秘密鍵が漏洩した場合に、上記の通り、属性トークンｇｒｔが不正に取得され、不正に取得した属性トークンｇｒｔを用いて、失効リストＲＬが不正に書き換えられ、結果としてユーザーの匿名性及び属性の匿名性が損なわれる可能性がある。

そこで、本発明は、上記課題に鑑み、ユーザー秘密鍵が漏洩した場合であっても、属性トークンｇｒｔが不正に取得され、失効リストＲＬが不正に書き換えられ、結果としてユーザーの匿名性及び属性の匿名性が損なわれることのない匿名認証方法、匿名認証システム、すなわち、完全匿名性（full anonymity）を実現する匿名認証方法、匿名認証システム、を実現することを目的とする。

上記課題を解決するために、第１の発明は、複数のグループユーザーを含むグループを対象として、失効機能付き属性ベースグループ署名を行うための匿名認証方法であって、セットアップステップと、鍵生成ステップと、署名ステップと、検証ステップと、失効ステップとを備える。

セットアップステップは、（１）グループに含まれるグループユーザーと、グループに含まれるグループユーザー数の最大値とを特定し、（２）属性の汎用セットを規定し、（３）鍵生成処理、署名処理、および、検証処理において使用されるパラメータを規定する。

鍵生成ステップは、公開鍵暗号方式により、（１）グループ公開鍵と、グループ管理用秘密鍵とを生成し、（２）１つのグループユーザーについての全ての属性について、ユーザー秘密鍵を生成し、当該グループユーザーが所有していない属性の汎用セットに含まれる属性について偽データを割り当てる第１ステップを実行し、（３）当該グループユーザーが所有している属性および所有していない属性についてトークンを生成する第２ステップを実行し、（４）前記グループに含まれる全てのグループユーザーについて、前記第１ステップと前記第２ステップを繰り返し実行することで、前記グループに含まれる全てのグループユーザーについての前記ユーザー秘密鍵と属性トークンとを個別に生成する。

署名ステップは、ポリシーで設定されている署名権限が許可される条件を満たす場合、前記グループ公開鍵と、割り当てられたユーザー秘密鍵と、属性トークンとを用いて、署名対象のメッセージについての署名データを生成するステップであって、（１）属性トークンを暗号化し、（２）グループユーザーの有効性と、失効リストに属性トークンが含まれていないことと、属性トークンが生成された後変更されていないこととについてのゼロ知識証明を生成し、（３）署名対象のメッセージと、暗号化された属性トークンと、前記ゼロ知識証明とを含む署名データを生成する。

検証ステップは、署名データに対して、ポリシーに設定されている署名権限を特定する条件と、グループ公開鍵と、所定のグループユーザーについて失効された属性を特定するデータが記録されている失効リストと、ゼロ知識証明とに基づいて、署名データに対して検証処理を行うことで、メッセージに対してなされた署名が有効であるか否かを判定する。

失効ステップは、グループユーザーがもはや所有していない属性が存在する場合、当該グループユーザーがもはや所有していない属性を失効リストに追加することで、グループユーザーのもはや所有していない属性を失効させる。

この匿名認証方法では、属性トークンに対して公開鍵暗号（例えば、格子暗号）による暗号化処理を行うことで取得した、暗号化属性トークン（例えば、格子暗号アルゴリズムによりサンプルされた属性トークン）を用いて、署名処理を行うので、ユーザー秘密鍵が漏洩した場合であっても、属性トークンが不正に取得され、失効リストが不正に書き換えられるリスクをなくすことができる。また、この匿名認証方法では、属性トークンを公開鍵暗号（例えば、格子暗号）により暗号化処理して取得したデータ（暗号化データ）を署名データに含め、当該署名データに対して検証処理が実行されるので、セキュリティ強度の高い検証処理を実行することができる。

つまり、この匿名認証方法では、（１）ユーザーの匿名性（User anonymity）を完全に実現でき、かつ、（２）属性の匿名性（Attribute anonymity）を完全に実現できる。すなわち、この匿名認証方法では、（１）ユーザーの匿名性（User anonymity）についての完全匿名性（Full anonymity）、および、（２）属性の匿名性（Attribute anonymity）についての完全匿名性（Full anonymity）を実現することができる。

したがって、この匿名認証方法により、ユーザー秘密鍵が漏洩した場合であっても、属性トークンが不正に取得され、失効リストが不正に書き換えられたとしても、ユーザーの匿名性及び属性の匿名性が損なわれることのない、セキュリティ強度の高いシステム（動的に失効処理が可能な属性ベースグループ署名を実行するシステム）を実現することができる。

第２の発明は、第１の発明であって、公開鍵暗号方式は、格子暗号である。

グループ公開鍵は、格子暗号の格子を規定するための行列であって、素数ｑを法とする剰余系により規定される整数を要素とするｎ×ｍの行列と、属性データの集合とにより生成されるデータである。

これにより、格子暗号を用いて、匿名認証方法を実現することができる。

第３の発明は、第１または第２の発明である匿名認証方法をコンピュータに実行させるためのプログラムである。

これにより、第１または第２の発明と同様の効果を奏する匿名認証方法をコンピュータに実行させるためのプログラムを実現することができる。

第４の発明は、複数のグループユーザーを含むグループを対象として、失効機能付き属性ベースグループ署名を行うための匿名認証システムであって、グループ管理装置と、グループユーザー用装置と、認証装置と、ネットワークとを備える。

ネットワークは、グループ管理装置と、グループユーザー用装置と、認証装置とに接続される。

グループ管理装置は、（１）グループに含まれるグループユーザーと、グループに含まれるグループユーザー数の最大値とを特定し、（２）属性の汎用セットを規定し、（３）鍵生成処理、署名処理、および、検証処理において使用されるパラメータを規定するセットアップステップと、
公開鍵暗号方式により、（１）グループ公開鍵と、グループ管理用秘密鍵とを生成し、（２）１つのグループユーザーについての全ての属性について、ユーザー秘密鍵を生成し、当該グループユーザーが所有していない属性の汎用セットに含まれる属性について偽データを割り当てる第１ステップを実行し、（３）当該グループユーザーが所有している属性および所有していない属性についてトークンを生成する第２ステップを実行し、（４）グループに含まれる全てのグループユーザーについて、前記第１ステップと前記第２ステップを繰り返し実行することで、グループに含まれる全てのグループユーザーについてのユーザー秘密鍵と属性トークンとを個別に生成する鍵生成ステップと、
を実行する。

グループユーザー用装置は、ポリシーで設定されている署名権限が許可される条件を満たす場合、前記グループ公開鍵と、割り当てられたユーザー秘密鍵と、属性トークンとを用いて、署名対象のメッセージについての署名データを生成するステップであって、（１）前記属性トークンを暗号化し、（２）グループユーザーの有効性と、失効リストに属性トークンが含まれていないことと、前記属性トークンが生成された後変更されていないこととについてのゼロ知識証明を生成し、（３）署名対象のメッセージと、暗号化された属性トークンと、前記ゼロ知識証明とを含む署名データを生成する署名ステップを実行する。

認証装置は、署名データに対して、ポリシーに設定されている署名権限を特定する条件と、グループ公開鍵と、所定のグループユーザーについて失効された属性を特定するデータが記録されている失効リストと、ゼロ知識証明とに基づいて、署名データに対して検証処理を行うことで、メッセージに対してなされた署名が有効であるか否かを判定する検証ステップを実行する。

また、グループ管理装置は、グループユーザーがもはや所有していない属性が存在する場合、当該グループユーザーがもはや所有していない属性を前記失効リストに追加することで、前記グループユーザーのもはや所有していない属性を失効させる失効ステップを実行する。

これにより、第１の発明と同様の効果を奏する匿名認証システムを実現することができる。

本発明によれば、ユーザー秘密鍵が漏洩した場合であっても、属性トークンｇｒｔが不正に取得され、失効リストＲＬが不正に書き換えられたとしても、ユーザー匿名性及び属性の匿名性が損なわれる可能性がない匿名認証方法、匿名認証システム、すなわち、完全匿名性（full anonymity）を実現する匿名認証方法、匿名認証システム、を実現することができる。

第１実施形態に係る匿名認証システム１０００の概略構成図。 匿名認証システム１０００で実行されるセットアップ処理のフローチャート。 匿名認証システム１０００で実行される鍵生成処理のフローチャート。 匿名認証システム１０００で実行される署名処理のフローチャート。 匿名認証システム１０００で実行される検証処理のフローチャート。 ＶＬＲを用いた属性ベースグループ署名（ABGS）を実行するための認証システム９００の概略構成図（ケース１）。 属性ごとに設定された、グループユーザーの秘密鍵、属性の一覧、および、失効リストＲＬを示す図（ケース１）。 ＶＬＲを用いた属性ベースグループ署名（ABGS）を実行するための認証システム９００の概略構成図（ケース２）。 属性ごとに設定された、グループユーザーの秘密鍵、属性の一覧、および、失効リストＲＬを示す図（ケース１、２）。 ＣＰＵバス構成を示す図。

［第１実施形態］
第１実施形態について、図面を参照しながら、以下、説明する。

＜１．１：認証システムの構成＞
図１は、第１実施形態に係る匿名認証システム１０００の概略構成図である。

匿名認証システム１０００は、図１に示すように、グループ管理装置１と、グループユーザー用装置２と、認証装置３と、データ格納部ＤＢ１とを備える。グループ管理装置１と、グループユーザー用装置２と、認証装置３とは、例えば、ネットワークにより接続されており、各装置間において、データ通信が可能である。

グループ管理装置１は、コンピュータや、サーバーを用いて実現される装置であり、公開鍵暗号方式による鍵生成処理、失効処理（Revocation）等を実行する。また、グループ管理装置１は、データ格納部ＤＢ１と接続されており、データ格納部ＤＢ１に対して、データの読み出し／書き込みを行うことができる。グループ管理装置１は、データ格納部ＤＢ１により、例えば、グループユーザーのＩＤ、ポリシーで設定する対象の属性、属性トークン等のデータを記憶保持し、所望のタイミングで上記データを読み出す。

また、グループ管理装置１は、失効処理により取得した失効リストＲＬを、認証装置３に出力（送信）する。

データ格納部ＤＢ１は、データ記憶装置であり、グループ管理装置１と接続されている。データ格納部ＤＢ１は、グループ管理装置１からの指令に従い、所定のデータの読み出し処理／書き込み処理を行う。

グループユーザー用装置２は、コンピュータや、サーバーを用いて実現される装置であり、各グループユーザーに割り当てられたユーザー秘密鍵、属性トークン等のデータを保持し、当該ユーザー秘密鍵、属性トークンを用いて、署名処理等を実行する。グループユーザー用装置２は、グループユーザーごとに、個別に設けられていてもよいし（（グループユーザー用装置２の数）＝（グループユーザーの数）であってもよいし）、複数のグループユーザーごとに、共有できるように設けられていてもよい（（グループユーザー用装置２の数）＜（グループユーザーの数）であってもよい）。

認証装置３は、コンピュータや、サーバーを用いて実現される装置であり、グループ公開鍵ｇｐｋ、グループ管理装置１により生成された署名、署名対象のメッセージ、および、グループ管理装置１により管理されている失効リストＲＬ等を用いて、検証処理を実行する。

＜１．２：匿名認証システムの動作＞
以上のように構成された匿名認証システム１０００の動作について、以下、説明する。

図２は、匿名認証システム１０００で実行されるセットアップ処理のフローチャートである。

図３は、匿名認証システム１０００で実行される鍵生成処理のフローチャートである。

図４は、匿名認証システム１０００で実行される署名処理のフローチャートである。

図５は、匿名認証システム１０００で実行される検証処理のフローチャートである。

以下では、（１）セットアップ処理と、（２）鍵生成処理と、（３）署名処理と、（４）検証処理と、（５）失効処理とに分けて、匿名認証システム１０００の動作を、フローチャートを参照しながら、説明する。

（１．２．１：セットアップ処理）
まず、セットアップ処理（Ｓｅｔｕｐ（１^λ））について説明する。

（ステップＳ１０１〜Ｓ１０２）：
ステップＳ１０１において、グループ管理装置１は、セキュリティパラメータλを設定する。

そして、グループ管理装置１は、非特許文献１に開示されているのと同様に、下記の通り、多項式時間で処理が可能となるように、セキュリティパラメータλに基づいて、各パラメータを設定する（ステップＳ１０２）。
Ｎ＝２^Ｌ＝ｐｏｌｙ（λ）
ｎ＝ｐｌｏｙ（λ）
ｍ＝ｃｅｉｌ（２ｎ×ｌｏｇ（ｑ））
ｑ＝Ｏ（Ｌｎ^２）
σ＝ω（ｌｏｇ（ｍ））
β＝Ｏ（ｓｑｒｔ（Ｌｎ））
ｃｅｉｌ（ｘ）：天井関数（ｘ以上の最小整数を取得する関数）
ｓｑｒｔ（ｘ）：ｘの平方根を取得する関数
なお、Ｏ（），ω（）は、ランダウの記号である。

（ステップＳ１０３）：
ステップＳ１０３において、グループ管理装置１は、属性のセットＡｔｔを以下のように定義（規定）する。

また、グループ管理装置１は、ハッシュ関数Ｈを以下のように設定する。
ハッシュ関数Ｈ：｛０，１｝^＊→｛１，２，３｝^ｔ
ｔ＝ω（ｌｏｇ（ｎ））
（ステップＳ１０４）：
ステップＳ１０４において、グループ管理装置１は、上記により取得したデータから公開パラメータＰＰ＝（ｐａｒａ，Ａｔｔ，ａｔｔＬ，Ｈ）（ｐａｒａ：ステップＳ１０２で取得したパラメータを含むデータ）を取得し、取得した公開パラメータＰＰを出力する。

（１．２．２：鍵生成処理）
次に、鍵生成処理（ＫｅｙＧｅｎ（ＰＰ，Ｎ））について説明する。

（ステップＳ２０１）：
ステップＳ２０１において、グループ管理装置１は、セットアップ処理で取得した公開パラメータＰＰ（＝（ｐａｒａ，Ａｔｔ，ａｔｔＬ，Ｈ））と、グループユーザー数の最大値Ｎ＝２^Ｌを入力する。

そして、グループ管理装置１は、例えば、下記先行技術文献（先行技術文献Ａ）に開示されている方法と同様にして、modified Boyen's signature scheme のための検証キー（検証用行列）Ａ，Ａ_０，Ａ_１，．．．，Ａ_Ｌ∈Ｚ^ｎ×ｍ _ｑ（Ｚ：整数全体の集合）とトラップドアーＴ^Ａ∈Ｚ^ｎ×ｍ _ｑとを生成する。
（先行技術文献Ａ）：
D. Micciancio and C. Peikert, “Trapdoors for lattices: Simpler, tighter, faster, smaller.” in EUROCRYPT 2012, LNCS, vol. 7237. Springer Berlin Heidelberg, 2012, pp. 700-718.
そして、グループ管理装置１は、グループ公開鍵ｇｐｋと、グループ管理用秘密鍵ｇｍｓｋを以下のように設定する。
ｇｐｋ＝（Ａ，Ａ_０，Ａ_１，．．．，Ａ_Ｌ，ｕ_１，ｕ_２，．．．，ｕ_ｕ）
ｇｍｓｋ＝Ｔ_Ａ
なお、匿名認証システム１０００では、格子暗号を用いることを前提としており、格子は、整数ｎ、ｍ、素数ｑ、Ａ∈Ｚ^ｎ×ｍ _ｑ、ｕ∈Ｚ^ｎ _ｑとすると、格子Λは、以下のように定義される。

（ステップＳ２０２〜Ｓ２１３）：
ステップＳ２０２〜Ｓ２１３において、グループ管理装置１は、グループユーザー用秘密鍵ｇｓｋ［ｄ］と、暗号化属性トークンｇｒｔ［ｄ］とを取得する。

グループユーザーのＩＤ（ｉｎｄｅｘ）をｄ∈｛０，１，．．．，Ｎ−１｝とする。グループユーザーのＩＤ（ｉｎｄｅｘ）がｄであるグループユーザーについて、
ｄ［ｉ］．．．ｄ［Ｌ］⊆｛０，１｝^Ｌ
をｄの二値表現形式を表すものとし、
Ｓ_ｄ＝｛ｕ_ａ１，ｕ_ａ２，．．．，ｕ_ａｓ｝⊆Ａｔｔ（｜Ｓ_ｄ｜＝ｓ）
をｄの属性のセットを表すものとする。

そして、グループ管理装置１は、各グループユーザーのｄ（ｄの初期値を「０」とする。ステップＳ２０２）について、以下の処理を実行する。

（ａ）
グループ管理装置１は、グループユーザー（ＩＤ＝ｄ）の検証キー（検証用行列）Ａ_ｄを下記に相当する処理により取得する。

（ｂ）
グループ管理装置１は、上記で取得した検証キーＡ_ｄを用いて、データｚ_ｄ，ａｊを、下記を満たすようにサンプル取得する。

つまり、ＩＤがｄであるグループユーザーが属性ｕ_ｊを有している場合（ステップＳ２０６で「Ｙｅｓ」の場合）、グループ管理装置１は、上記処理を行う。

（ｃ）
一方、ＩＤがｄであるグループユーザーが属性ｕ_ｊを有していない場合（ステップＳ２０６で「Ｎｏ」の場合）、グループ管理装置１は、下記処理を行う。

すなわち、グループ管理装置１は、上記（処理（ｂ））以外の属性ｕ−ｓについて、偽データ（fake credentials)ｆ_ｄ，ｆｊを、下記を満たすようにサンプル取得する（下記先行技術文献Ｂを参照）。

（先行技術文献Ｂ）：
R. El Bansarkhani and A. El Kaafarani, “Post-quantum attribute-based signatures from lattice assumptions.” IACR Cryptology ePrint Archive, vol. 2016, p. 823, 2016.
（ｄ）
次に、グループ管理装置１は、下記数式に相当する処理を実行して、データＡ’_ｄを取得する。

すなわち、グループ管理装置１は、上記のＡ_ｄを取得する数式において、ＡおよびＡ_０をゼロ行列に置換することで、データＡ’_ｄを取得する。

（ｅ）
次に、グループ管理装置１は、上記処理で取得したＡ’_ｄを用いて、ｄのグループユーザーの全ての属性（正規の属性データｚ_ｄ，ａｊ、および、偽の属性データｆ_ｄ，ｆｊ）について、下記数式に相当する処理を実行して、データｖ_ｄｊを取得する。

（ｆ）
次に、グループ管理装置１は、上記処理で取得したｖ_ｄｊを用いて、ｄのグループユーザーの全ての属性（正規の属性データｚ_ｄ，ａｊ、および、偽の属性データｆ_ｄ，ｆｊ）について、格子暗号サンプル処理ＳａｍｐｌｅＤ（Ｔ_Ａ，Ａ，ｕ_ｊ−ｖ_ｄｊ，σ）を実行して、データｔ_ｄｊを取得する。

なお、格子暗号サンプル処理ＳａｍｐｌｅＤ（Ｔ_Ａ，Ａ，ｕ_ｊ−ｖ_ｄｊ，σ）は、格子を規定する行列Ａと、画像Ａ（行列Ａにより規定される格子）の中のベクトルｕ_ｊ−ｖ_ｄｊと、トラップドアーＴ_Ａと、標準偏差σ＝ｓｑｒｔ（ｎ×ｌｏｇ（ｑ）×ｌｏｇ（ｎ））を入力とし、下記数式を満たすデータｘ（ｘ∈Ｚ^ｍ）を、標準偏差σの離散ガウス分布よりサンプルして取得（出力）する。

（ｇ）
そして、グループ管理装置１は、ＩＤがｄであるグループユーザーの秘密鍵であるグループユーザー用秘密鍵ｇｓｋ［ｄ］と、暗号化属性トークンｇｒｔ［ｄ］とを、以下の通り、取得する。

上記のようにして、グループ管理装置１は、ＩＤがｄであるグループユーザーについて、（１）グループユーザー用秘密鍵ｇｓｋ［ｄ］、および、（２）暗号化属性トークンｇｒｔ［ｄ］を取得する（ステップＳ２０５〜Ｓ２１１）。

そして、グループ管理装置１は、全てのグループユーザーについて、上記処理を実行することで（ｄ＝０からｄ＝Ｎ−１まで、ステップＳ２０５〜Ｓ２１１の処理を繰り返し実行することで）、全てのグループユーザーについての（１）グループユーザー用秘密鍵ｇｓｋ［ｄ］、および、（２）暗号化属性トークンｇｒｔ［ｄ］を取得する（ステップＳ２０３〜Ｓ２１３）。

そして、グループ管理装置１は、上記処理により取得した鍵について、以下のように処理する。
（１）グループ管理装置１は、グループ管理用秘密鍵ｇｍｓｋ＝Ｔ_Ａを秘密裏に保持する。
（２）グループ管理装置１は、グループユーザー用秘密鍵ｇｓｋ［ｄ］、および、暗号化属性トークンｇｒｔ［ｄ］を、ＩＤがｄであるグループユーザーに秘密裏に渡す（例えば、グループユーザー用装置２へ秘密裏に（他者に漏洩しないように）送信する）。
（３）グループ管理装置１は、グループ公開鍵ｇｐｋを認証装置３に送信する。

（１．２．３：署名処理）
次に、署名処理（Ｓｉｇｎ（ＰＰ，Γ，ｇｐｋ，ｇｓｋ［ｄ］，ｇｒｔ［ｄ］，Ｓ_ｄ，Ｍ））について説明する。

（ステップＳ３０１）：
ステップＳ３０１において、署名を使用としているグループユーザーは、例えば、グループユーザー用装置２により、ポリシー（属性についての要求条件を決定するためのポリシー）、および、メッセージＭ（署名対象のデータ）を取得する。そして、グループユーザー用装置２は、メッセージＭに対して署名する権限があるか否かのチェック処理、すなわち、署名しようとしているグループユーザー（このユーザーのＩＤをｄとする）が、ポリシーにより設定されている属性の要求条件（署名するために所有している必要がある属性を特定する条件）を満たすか否かのチェック処理（属性チェック処理）を実行する。

（ステップＳ３０２）：
ステップＳ３０２では、属性チェック処理の結果、署名しようとしているグループユーザー（ＩＤ＝ｄ）が要求されている属性を利用可能である（要求されている属性を有している）か否かの判定処理が実行される。そして、当該判定処理の結果、署名しようとしているグループユーザー（ＩＤ＝ｄ）が要求されている属性を有していないと判定された場合（ステップＳ３０２において「Ｎｏ」の場合）、署名処理を終了させる。一方、署名しようとしているグループユーザー（ＩＤ＝ｄ）が要求されている属性を有していると判定された場合（ステップＳ３０２において「Ｙｅｓ」の場合）、処理をステップＳ３０３に進める。

（ステップＳ３０３）：
ステップＳ３０３において、グループユーザー用装置２は、属性トークンの暗号化処理を実行し、暗号化データｂを取得する。この処理について、以下、具体的に説明する。なお、説明便宜のため、ＩＤ＝ｄのグループユーザー（以下、「グループユーザーｄ」という）が、メッセージＭに対して署名を実行しようとしているものとして、以下、説明する。

グループユーザー用装置２は、グループユーザーｄの属性のセットＳ_ｄ⊆Ａｔｔを取得し、ポリシーにより設定されている属性の要求条件（署名するために所有している必要がある属性を特定する条件）を特定するための閾値述語データ（threshold predicate）Γ＝（ｔ，Ｓ＝｛ｕ_１，ｕ_２，．．．，ｕ_ｐ｝⊆Ａｔｔ）を取得する。なお、１≦ｔ≦｜Ｓ｜＝ｐである。

そして、グループユーザーｄが所有している属性と集合Ｓとのマッチしている属性を示す集合Ｓ_ｍとする。つまり、
Ｓ_ｍ⊆（Ｓ∩Ｓ_ｄ）⊆Ａｔｔ、｜Ｓ_ｍ｜＝ｔ
である。

また、集合Ｓの要素（元）から、集合Ｓ_ｍの要素（元）を除いた集合Ｓ＼Ｓ_ｍの元となる属性については、グループユーザーｄは、偽データ（fake credentials）を有しているものとする。

そして、グループユーザー用装置２は、ｉ∈ｐである全ての属性について、以下の処理を実行する。

グループユーザー用装置２は、
ρ_ｉ←｛０，１｝^ｎ
により、｛０，１｝^ｎからランダムにサンプルしたデータをρ_ｉに設定する。

そして、グループユーザー用装置２は、以下の処理により、暗号化データｂ_ｉを取得する。

なお、Ａ・ｔ_ｄｉは、グループユーザーｄのｉ番目の属性の暗号化属性トークンｇｒｔ［ｄ］．ａｔｔ_ｉ（＝Ａ・ｔ_ｄｉ）である。

グループユーザー用装置２は、上記処理を、ｉ∈ｐである全ての属性について、行うことで、暗号化データｂを取得する。

（ステップＳ３０４）：
次に、グループユーザー用装置２は、ゼロ知識証明Π（ゼロ知識証明データΠ）を生成する処理を行う。

つまり、グループユーザー用装置２は、グループユーザーｄ（証明者）が、（１）少なくともｔ個（Ｓ_ｍ⊆（Ｓ∩Ｓ_ｄ）⊆Ａｔｔ、｜Ｓ_ｍ｜＝ｔ）の属性を所有している有効なグループユーザーであり、かつ、（２）署名する権限を失効されていないことを証明するためのゼロ知識証明Πを生成する。

なお、上記の（１）、（２）は、強化ゼロ知識証明技術（Zero-Knowledge Argument of knowledge proof）（例えば、下記の先行技術文献Ｃ、Ｄを参考）で規定されるプロトコルによる処理を、公開データ（＝（Ａ，Ａ_０，Ａ_１，．．．，Ａ_Ｌ，ｕ_１，ｕ_２，．．．，ｕ_ｐ，Ｂ_１，Ｂ_２，．．．，Ｂ_ｐ，ｂ_１，ｂ_２，．．．，ｂ_ｐ）、および、証明データｗｉｔｎｅｓｓ＝（ｄ，ｚ_１，ｚ_２，．．．，ｚ_ｐ，ｅ_１，ｅ_２，．．．，ｅ_ｐ）を入力として、ｔ＝ω（ｌｏｇ（ｎ））回繰り返し実行することで証明できる（ゼロ知識証明できる）。

そして、上記処理をFiat-Shamirヒューリスティック方式により実行することで、ゼロ知識証明Π＝（｛ＣＭＴ^（ｋ）｝^ｔ _ｋ＝１，ＣＨ，｛ＲＳＰ^（ｋ）｝^ｔ _ｋ＝１｝として取得する。

なお、チャレンジＣＨは、
ＣＨ＝（｛Ｃｈ^（ｋ）｝^ｔ _ｋ＝１）＝Ｈ（Ｍ，Ａ，｛Ａ_ｉ｝^Ｌ _ｉ＝０，｛ｕ_ｉ｝^ｐ _ｉ＝１，｛Ｂ_ｉ｝^ｐ _ｉ＝１，｛ｂ_ｉ｝^ｐ _ｉ＝１，｛ＣＭＴ^（ｋ）｝^ｔ _ｋ＝１）
である。なお、Ｈ（）は、ハッシュ関数である。

また、上記のゼロ知識証明プロトコルによる処理は、証明者（prover）をグループユーザー用装置２（グループユーザーｄ）とし、検証者（verifier）を認証装置３として、実行される。

そして、上記処理により取得されたゼロ知識証明Πには、以下の証明（証明データ）が含まれる。
（１）グループユーザーｄが有効な属性を所有していることの証明
（２）属性トークンが有効であることの証明
（３）属性トークンが失効リストＲＬに記録されていないことの証明
（先行技術文献Ｃ）：
R. El Bansarkhani and A. El Kaafarani, “Post-quantum attribute-based signatures from lattice assumptions.” IACR Cryptology ePrint Archive, vol. 2016, p. 823, 2016.
（先行技術文献Ｄ）：
S. Ling, K. Nguyen, and H. Wang, “Group signatures from lattices: simpler, tighter, shorter, ring-based,” in PKC 2015, LNCS, vol. 9020. Springer Berlin Heidelberg, 2015, pp. 427-449.
（ステップＳ３０５）：
グループユーザー用装置２は、上記処理により生成したゼロ知識証明Πを用いて、署名Σ＝（Ｍ，｛ρ_ｉ｝^ｐ _ｉ＝１，｛ｂ_ｉ｝^ｐ _ｉ＝１，Π）を生成し、生成した署名Σ（署名データ）を、メッセージＭとともに、認証装置３に出力する。

（１．２．４：検証処理）
次に、検証処理（Ｖｅｒｉｆｙ（ＰＰ，Γ，ｇｐｋ，ＲＬ，Ｍ，Σ））について説明する。

（ステップＳ４０１）：
ステップＳ４０１において、認証装置３は、ポリシー（属性についての要求条件を決定するためのポリシー）を取得する。そして、認証装置３は、当該ポリシーから、属性の要求条件（署名するために所有している必要がある属性を特定する条件）を特定するための閾値述語データ（threshold predicate）Γ＝（ｔ，Ｓ＝｛ｕ_１，ｕ_２，．．．，ｕ_ｐ｝⊆Ａｔｔ）を取得する。

また、認証装置３は、グループユーザー用装置２から送信された、メッセージＭ（署名対象のデータ）および署名Σ（＝（Ｍ，｛ρ_ｉ｝^ｐ _ｉ＝１，｛ｂ_ｉ｝^ｐ _ｉ＝１，Π））を取得する。

また、グループ管理装置１は、失効処理により取得した失効リストＲＬ（グループ管理装置１により管理している失効リストＲＬ）を認証装置３に送信する。

認証装置３は、グループ管理装置１から送信される失効リストＲＬを受信する。

なお、認証装置３は、失効リストＲＬを、以下のデータとして取得するものとする。

なお、ａ＜ｕ（＝｜Ａｔｔ｜）である。

また、認証装置３は、グループ管理装置１が生成したグループ公開鍵Ｇｐｋを受信し、当該グループ公開鍵ｇｐｋ（＝（Ａ，Ａ_０，Ａ_１，．．．，Ａ_Ｌ，ｕ_１，ｕ_２，．．．，ｕ_ｕ））を記憶保持している。

また、認証装置３は、公開パラメータＰＰ（＝（ｐａｒａ，Ａｔｔ，ａｔｔＬ，Ｈ））を取得する。

（ステップＳ４０２、Ｓ４０３）：
ステップＳ４０２において、認証装置３は、ゼロ知識証明Πのチェック処理を実行する。

まず、認証装置３は、取得した署名Σ（＝（Ｍ，｛ρ_ｉ｝^ｐ _ｉ＝１，｛ｂ_ｉ｝^ｐ _ｉ＝１，Π））を解析して、署名Σに含まれる各データを取得する。

次に、認証装置３は、Ａ，ｕ_ｉ，Ｍ，ρ_ｉを用いて、関数Ｇ（上記（数式１０）に示した関数Ｇ）による処理を実行する。すなわち、認証装置３は、下記数式に相当する処理を実行して、データＢ_ｉを取得する。

そして、認証装置３は、ゼロ知識証明Πを用いて、以下の検証処理を実行する。
（検証処理１）：
Π＝（｛ＣＭＴ^（ｋ）｝^ｔ _ｋ＝１，｛Ｃｈ^（ｋ）｝^ｔ _ｋ＝１，｛ＲＳＰ^（ｋ）｝^ｔ _ｋ＝１｝
認証装置３は、ｔ個のチェレンジ｛Ｃｈ^（ｋ）｝^ｔ _ｋ＝１に、１つでも、ハッシュ関数Ｈにより取得された値（すなわち、Ｈ（Ｍ，Ａ，｛Ａ_ｉ｝^Ｌ _ｉ＝０，｛ｕ_ｉ｝^ｐ _ｉ＝１，｛Ｂ_ｉ｝^ｐ _ｉ＝１，｛ｂ_ｉ｝^ｐ _ｉ＝１，｛ＣＭＴ^（ｋ）｝^ｔ _ｋ＝１）の値）が一致しないものがある場合、検証処理（検証処理１）の結果（戻り値）を「０」にする。
（検証処理２）：
認証装置３は、ｉ＝０からｔにおいて、後述のゼロ知識証明プロトコルによる処理を実行し、公開データ（＝（Ａ，Ａ_０，Ａ_１，．．．，Ａ_Ｌ，ｕ_１，ｕ_２，．．．，ｕ_ｐ，Ｂ_１，Ｂ_２，．．．，Ｂ_ｐ，ｂ_１，ｂ_２，．．．，ｂ_ｐ）を入力としたときに、コミットメントＣＭＴ_ｉ、および、チャレンジＣｈ_ｉに対するレスポンスＲＥＳ_ｉの有効性をチェックし、後述のゼロ知識証明プロトコルで規定した条件の１つでも満たさないものが存在する場合、検証処理（検証処理２）の結果（戻り値）を「０」にする。

ステップＳ４０３において、認証装置３は、
（１）検証処理１の結果（戻り値）が「０」ではなく、かつ、
（２）検証処理２の結果（戻り値）が「０」ではない、
場合、ゼロ知識証明Πは、有効であると判定し（ステップＳ４０３において「Ｙｅｓ」）、処理をステップＳ４０４に進める。

一方、上記以外の場合は、ゼロ知識証明Πは、無効であると判定し（ステップＳ４０３において「Ｎｏ」）、処理をステップＳ４０７に進める。

（ステップＳ４０４、Ｓ４０５）：
ステップＳ４０４において、認証装置３は、属性トークンのチェック処理を行う。

具体的には、認証装置３は、各属性データｕ_ａ＝（ｕ_ａ１，．．．，ｕ_ａｕ）∈ＲＬ、ａ＜Ｎについて、下記数式に相当する処理を実行する。

そして、上記処理の結果、下記数式を満たすｅ’_ｉが存在する場合、認証装置３は、ｕ_ｉに相当する属性データが失効リストＲＬに含まれていると判定する。すなわち、この場合、認証装置３は、属性トークンに対応する属性が失効リストＲＬに含まれていると判定する。

ステップＳ４０５において、認証装置３は、上記の判定結果に基づいて、属性トークンが失効リストＲＬに含まれていると判定した場合（ステップＳ４０５において「Ｙｅｓ」の場合）、処理をステップＳ４０７に進める。

一方、認証装置３は、属性トークンが失効リストＲＬに含まれていないと判定した場合（ステップＳ４０５において「Ｎｏ」の場合）、処理をステップＳ４０６に進める。

（ステップＳ４０６）：
ステップＳ４０６において、認証装置３は、署名Σが有効（「Ｖａｌｉｄ」）であることを示す検証結果データを出力する。

（ステップＳ４０７）：
ステップＳ４０７において、認証装置３は、署名Σが無効（「Ｉｎｖａｌｉｄ」）であることを示す検証結果データを出力する。

（１．２．５：失効処理）
次に、失効処理（Ｒｅｖｏｋｅ（ＰＰ，ｇｐｋ，ｇｍｓｋ，ＲＬ，ｄ，Ｓ_ｒ））について説明する。

グループ管理装置１は、署名権限のあるグループユーザーｄ（有効なグループユーザー）の取り消し属性のセットＳ_ｒ（下記数式で表される取り消し属性のセットＳｒ）と、失効リストＲＬを用いて、以下の処理を行うことで、失効処理を行う。

なお、ｒ＜ｕ（＝｜Ａｔｔ｜）である。

失効リストＲＬに、ｕ^ｔ _ｄｊが存在していない場合であって、グループユーザーｄの取り消し属性のセットＳ_ｒに、ｕ^ｔ _ｄｊが含まれている場合、グループ管理装置１は、当該失効対象である属性ｕ^ｔ _ｄｊを、失効リストＲＬに追加する。

これにより、失効させるべき属性ｕ^ｔ _ｄｊが失効リストＲＬに追加される。

そして、グループ管理装置１は、上記により生成（更新）した失効リストを記憶保持するとともに、認証装置３に出力する。

≪ゼロ知識証明≫
次に、ゼロ知識証明の処理方法の詳細について、以下説明する。

グループユーザーｄが有効な属性Ｓ_ｄ＝｛ｕ_１，ｕ_２，．．．ｕ_ａ｝を所有しており、ポリシーから、属性の要求条件（署名するために所有している必要がある属性を特定する条件）を特定するための閾値述語データ（threshold predicate）Γが以下のものであるとする。
Γ＝｛ｔ out of Ｓ⊆Ａｔｔ，ｔ∈Ｎ∧（Ｓ＝ｕ_１，ｕ_２，．．．，ｕ_ｐ）｝
また、Ｓ_ｍ＝Ｓ∩Ｓ_ｄ、Ｓ_ｒ＝Ｓ＼Ｓ_ｍ、｜Ｓ_ｍ｜＝ｔ、｜Ｓ｜＝ｐ−ｔであるものとする。

このとき、根拠とするプロトコルは、下記の通りである。
公開パラメータ：
（１）下記の数式により規定される行列

なお、ｌ（小文字のエル）＝Ｌである（以下、同様）。
（２）ベクトルのセット：｛ｕ_ｉ｝^ｐ _ｉ＝１
（３）閾値述語データΓ＝（ｔ，Ｓ）
（４）行列｛Ｂ_ｉ∈Ｚ^ｍ×ｎ _ｑ｝^ｐ _ｉ＝１
（５）ベクトル｛ｂ_ｉ∈Ｚ^ｍ _ｑ｝^ｐ _ｉ＝１
証明データｗｉｔｎｅｓｓ：
（１）ｉｄ
（２）ｔ個のベクトルｚ_ｉ
（３）ｐ−ｔ個のベクトルｚ_ｉ
（４）ｐ個のベクトルｔ_ｉ
（５）ｐ個のベクトルｅ_ｉ∈Ｚ^ｍ
証明者の目的は、検証者に以下のことをゼロ知識証明により確認させることである。

そして、証明者と検証者は、ともに、以下の計算を行う。

そして、以下の処理を実行する。
（１）Ｓ_ｍについて、証明者は、分解拡張テクニック（Decomposition Extension technique）をｚ_ｉに適用して、検証者が、下記数式によるチェックができるように、マスキングターム（Masking term）｛ｒ^ｊ _ｚ（ｉ）｝、ｉ∈［ｔ］、ｊ∈［ｋ］を生成する。

（２）Ｓ_ｒについて、証明者は、ｆ_ｉに対して、分割、拡張を行い、検証者が、下記数式によるチェックができるように、マスキングターム（Masking term）｛ｒ^ｊ _ｚ（ｉ）｝、ｉ∈［ｐ−ｔ］、ｊ∈［ｋ］を生成する。

（３）Ｓについて、証明者は、ｔ_ｉおよびｅ_ｉに対して、分割、拡張を行い、検証者が、下記数式によるチェックができるように、マスキングターム（Masking term）｛ｒ^ｊ _ｔ（ｉ）｝、ｉ∈［ｐ］、ｊ∈［ｋ］、｛ｒ^ｊ _ｅ（ｉ）｝、ｉ∈［ｐ］、ｊ∈［ｋ］、を生成する。

また、同様に、検証者が、下記数式によるチェックができるようにする。

次に、ゼロ知識証明のプロトコルについて、説明する。
（Ａ）コミットメント（Ｃｏｍｍｉｔｍｅｎｔｓ）は、下記により実行する。

そして、証明者は、コミットメントＣＭＴ＝（ｃ_１，ｃ_２，ｃ_３）を生成し、検証者に送信うする。なお、ｃ_１，ｃ_２，ｃ_３は、下記の通りである。

（Ｂ）チャレンジ（Ｃｈａｌｌｅｎｇｅ）は、下記により実行する。

検証者がランダムにチャレンジＣＨ←｛１，２，３｝を選択し、選択したチャレンジを証明者に送信する。
（Ｃ）レスポンス（Ｒｅｓｐｏｎｓｅ）は、下記により実行する。

ＣＨの値に従い、証明者は、以下のように応答する。
（Ｃ１）ＣＨ＝１の場合、以下の処理により応答する。

（Ｃ２）ＣＨ＝２の場合、以下の処理により応答する。

（Ｃ３）ＣＨ＝３の場合、以下の処理により応答する。

（Ｄ）検証（Ｖｅｒｉｆｉｃａｔｉｏｎ）は、下記により実行する。

検証者は、受信したレスポンスＲＳＰを下記のようにチェックする。
（Ｄ１）ＣＨ＝１の場合、検証者は、ｗ_ｄ＊∈Ｂ_２Ｌ、ｗ^ｊ _ｚ（ｉ）が、少なくともｔ個（ｔセット）のベクトルと、全てのｊ∈［ｋ］、ｗ^ｊ _ｔ（ｉ）∈Ｂ_ｍ、ｗ^ｊ _ｅ（ｉ）∈Ｂ_３ｍとについてのｗ_ｄ＊に関して、有効であることをチェックする。そして、検証者は、下記のチェックを行う。

（Ｄ２）ＣＨ＝２の場合、検証者は、下記のチェックを行う。

（Ｄ３）ＣＨ＝３の場合、検証者は、下記のチェックを行う。

そして、検証者は、上記の全ての条件を満たすとき「１」を返信し、それ以外のときは、「０」を返信する。

上記により、匿名認証システム１０００では、ゼロ知識証明を行う。

以上のように、匿名認証システム１０００では、属性トークンに対して格子暗号による暗号化処理を行うことで取得した、暗号化属性トークンｇｒｔを用いて、署名処理を行うので、ユーザー秘密鍵が漏洩した場合であっても、属性トークンｇｒｔが不正に取得され、失効リストＲＬが不正に書き換えられ、結果としてユーザーの匿名性及び属性の匿名性が損なわれるリスクをなくすことができる。また、匿名認証システム１０００では、属性トークンを格子暗号により暗号化処理して取得したデータ（暗号化データ）ｂを署名Σに含めて、グループユーザー用装置２から認証装置３に出力するので、セキュリティ強度の高いゼロ知識証明を実行できるとともに、セキュリティ強度の高い検証処理を実行することができる。

つまり、匿名認証システム１０００では、（１）ユーザーの匿名性（User anonymity）を完全に実現でき、かつ、（２）属性の匿名性（Attribute anonymity）を完全に実現できる。すなわち、匿名認証システム１０００では、（１）ユーザーの匿名性（User anonymity）についての完全匿名性（Full anonymity）、および、（２）属性の匿名性（Attribute anonymity）についての完全匿名性（Full anonymity）を実現することができる。

したがって、匿名認証システム１０００により、ユーザー秘密鍵が漏洩した場合であっても、属性トークンｇｒｔが不正に取得され、失効リストＲＬが不正に書き換えられる可能性がない、セキュリティ強度の高いシステム（動的に失効処理が可能な属性ベースグループ署名を実行するシステム）を実現することができる。

［他の実施形態］
上記実施形態では、公開鍵暗号方式として、格子暗号を用いる場合について、説明したが、これに限定されることはなく、他の公開鍵暗号方式を用いてもよい。

また、ゼロ知識証明についても、上記以外の方法を採用してもよい。

また、上記実施形態で説明した匿名認証システム１０００において、各ブロックは、ＬＳＩなどの半導体装置により個別に１チップ化されても良いし、一部又は全部を含むように１チップ化されても良い。

なお、ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。

また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。

また、上記各実施形態の各機能ブロックの処理の一部または全部は、プログラムにより実現されるものであってもよい。そして、上記各実施形態の各機能ブロックの処理の一部または全部は、コンピュータにおいて、中央演算装置（ＣＰＵ）により行われる。また、それぞれの処理を行うためのプログラムは、ハードディスク、ＲＯＭなどの記憶装置に格納されており、ＲＯＭにおいて、あるいはＲＡＭに読み出されて実行される。

また、上記実施形態の各処理をハードウェアにより実現してもよいし、ソフトウェア（ＯＳ（オペレーティングシステム）、ミドルウェア、あるいは、所定のライブラリとともに実現される場合を含む。）により実現してもよい。さらに、ソフトウェアおよびハードウェアの混在処理により実現しても良い。

例えば、上記実施形態の各機能部を、ソフトウェアにより実現する場合、図１６に示したハードウェア構成（例えば、ＣＰＵ、ＲＯＭ、ＲＡＭ、入力部、出力部等をバスＢｕｓにより接続したハードウェア構成）を用いて、各機能部をソフトウェア処理により実現するようにしてもよい。

また、上記実施形態における処理方法の実行順序は、必ずしも、上記実施形態の記載に制限されるものではなく、発明の要旨を逸脱しない範囲で、実行順序を入れ替えることができるものである。

前述した方法をコンピュータに実行させるコンピュータプログラム及びそのプログラムを記録したコンピュータ読み取り可能な記録媒体は、本発明の範囲に含まれる。ここで、コンピュータ読み取り可能な記録媒体としては、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、大容量ＤＶＤ、次世代ＤＶＤ、半導体メモリを挙げることができる。

上記コンピュータプログラムは、上記記録媒体に記録されたものに限られず、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送されるものであってもよい。

なお、本発明の具体的な構成は、前述の実施形態に限られるものではなく、発明の要旨を逸脱しない範囲で種々の変更および修正が可能である。

１０００ 匿名認証システム
１ グループ管理装置
２ グループユーザー用装置
３ 認証装置

Claims (4)

1. 複数のグループユーザーを含むグループを対象として、失効機能付き属性ベースグループ署名を行うための匿名認証方法であって、
   （１）グループに含まれるグループユーザーと、前記グループに含まれるグループユーザー数の最大値とを特定し、（２）属性の汎用セットを規定し、（３）鍵生成処理、署名処理、および、検証処理において使用されるパラメータを規定するセットアップステップと、
   公開鍵暗号方式により、（１）グループ公開鍵と、グループ管理用秘密鍵とを生成し、（２）１つのグループユーザーについての全ての属性について、ユーザー秘密鍵を生成し、当該グループユーザーが所有していない前記属性の汎用セットに含まれる属性について偽データを割り当てる第１ステップを実行し、（３）当該グループユーザーが所有している属性および所有していない属性についてトークンを生成する第２ステップを実行し、（４）前記グループに含まれる全てのグループユーザーについて、前記第１ステップと前記第２ステップを繰り返し実行することで、前記グループに含まれる全てのグループユーザーについての前記ユーザー秘密鍵と属性トークンとを個別に生成する鍵生成ステップと、
   前記ポリシーで設定されている署名権限が許可される条件を満たす場合、前記グループ公開鍵と、割り当てられたユーザー秘密鍵と、属性トークンとを用いて、署名対象のメッセージについての署名データを生成するステップであって、（１）前記属性トークンを暗号化し、（２）グループユーザーの有効性と、失効リストに属性トークンが含まれていないことと、前記属性トークンが生成された後変更されていないこととについてのゼロ知識証明を生成し、（３）署名対象のメッセージと、暗号化された属性トークンと、前記ゼロ知識証明とを含む署名データを生成する署名ステップと、
   前記署名データに対して、前記ポリシーに設定されている署名権限を特定する条件と、前記グループ公開鍵と、所定のグループユーザーについて失効された属性を特定するデータが記録されている失効リストと、前記ゼロ知識証明とに基づいて、前記署名データに対して検証処理を行うことで、前記メッセージに対してなされた署名が有効であるか否かを判定する検証ステップと、
   グループユーザーがもはや所有していない属性が存在する場合、当該グループユーザーがもはや所有していない属性を前記失効リストに追加することで、前記グループユーザーのもはや所有していない属性を失効させる失効ステップと、
   を備える匿名認証方法。
2. 前記公開鍵暗号方式は、格子暗号であり、
   前記グループ公開鍵は、前記格子暗号の格子を規定するための行列であって、素数ｑを法とする剰余系により規定される整数を要素とするｎ×ｍの行列と、前記属性データの集合とにより生成されるデータである、
   請求項１に記載の匿名認証方法。
3. 請求項１または２に記載の匿名認証方法をコンピュータに実行させるためのプログラム。
4. 複数のグループユーザーを含むグループを対象として、失効機能付き属性ベースグループ署名を行うための匿名認証システムであって、
   グループ管理装置と、
   グループユーザー用装置と、
   認証装置と、
   前記グループ管理装置と、前記グループユーザー用装置と、前記認証装置とに接続されるネットワークと、
   を備え、
   前記グループ管理装置は、（１）グループに含まれるグループユーザーと、前記グループに含まれるグループユーザー数の最大値とを特定し、（２）属性の汎用セットを規定し、（３）鍵生成処理、署名処理、および、検証処理において使用されるパラメータを規定するセットアップステップと、
   公開鍵暗号方式により、（１）グループ公開鍵と、グループ管理用秘密鍵とを生成し、（２）１つのグループユーザーについての全ての属性について、ユーザー秘密鍵を生成し、当該グループユーザーが所有していない前記属性の汎用セットに含まれる属性について偽データを割り当てる第１ステップを実行し、（３）当該グループユーザーが所有している属性および所有していない属性についてトークンを生成する第２ステップを実行し、（４）前記グループに含まれる全てのグループユーザーについて、前記第１ステップと前記第２ステップを繰り返し実行することで、前記グループに含まれる全てのグループユーザーについての前記ユーザー秘密鍵と属性トークンとを個別に生成する鍵生成ステップと、
   を実行し、
   前記グループユーザー用装置は、前記ポリシーで設定されている署名権限が許可される条件を満たす場合、前記グループ公開鍵と、割り当てられたユーザー秘密鍵と、属性トークンとを用いて、署名対象のメッセージについての署名データを生成するステップであって、（１）前記属性トークンを暗号化し、（２）グループユーザーの有効性と、失効リストに属性トークンが含まれていないことと、前記属性トークンが生成された後変更されていないこととについてのゼロ知識証明を生成し、（３）署名対象のメッセージと、暗号化された属性トークンと、前記ゼロ知識証明とを含む署名データを生成する署名ステップを実行し、
   前記認証装置は、前記署名データに対して、前記ポリシーに設定されている署名権限を特定する条件と、前記グループ公開鍵と、所定のグループユーザーについて失効された属性を特定するデータが記録されている失効リストと、前記ゼロ知識証明とに基づいて、前記署名データに対して検証処理を行うことで、前記メッセージに対してなされた署名が有効であるか否かを判定する検証ステップを実行し、
   前記グループ管理装置は、グループユーザーがもはや所有していない属性が存在する場合、当該グループユーザーがもはや所有していない属性を前記失効リストに追加することで、前記グループユーザーのもはや所有していない属性を失効させる失効ステップを実行する、
   匿名認証システム。