JP2023504535A - アイデンティティ（ｉｄ）ベース公開鍵生成プロトコル - Google Patents

Abstract

ＩＤベース暗号鍵を生成するためのコンピュータ実装方法であって、秘密鍵シェアのセットおよび対応する公開鍵シェアのセットを取得することと、ここで、各秘密鍵シェアは、前記個人識別子に基づいて生成され、前記秘密鍵シェアのセットのうちの少なくとも１つは、鍵生成当事者のセットのそれぞれ１つによって生成され、前記１つまたは複数の秘密鍵シェアの各々に基づいてＩＤベース秘密鍵を生成することと、部分ＩＤベース公開鍵を生成すること、ここで、前記部分ＩＤベース公開鍵は、前記対応する公開鍵シェアのセットの各々に基づいて生成され、前記ＩＤベース公開鍵を生成するために前記鍵生成当事者のセットのうちの少なくとも１つに前記部分ＩＤベース公開鍵を送信すること、および／または前記ＩＤベース公開鍵を生成することを含み、ここで、前記ＩＤベース公開鍵は、前記個人識別子と前記部分ＩＤベース公開鍵とを含む。

Description

本開示は、ユーザのアイデンティティ（ＩＤ）に基づいて暗号鍵を生成するための方法に関する。

ブロックチェーンは、ブロックチェーンの複製コピーがピアツーピア（Ｐ２Ｐ）ネットワーク内の複数のノードの各々において維持される分散型データ構造の形態を指す。ブロックチェーンは、データブロックのチェーンを含み、各ブロックは１つまたは複数のトランザクションを含む。各トランザクションは、１つまたは複数のブロックにまたがり得るシーケンス内の先行するトランザクションを指し示し得る。トランザクションは、「マイニング」として知られるプロセスによって新しいブロックに含まれるためにネットワークにサブミットされ得、このプロセスは、複数のマイニングノードの各々が、「プルーフオブワーク（proof-of-work）」を実行しようと競うこと、すなわち、ブロックに含まれるのを待っている保留中のトランザクションのプールに基づいて暗号パズルを解くことを伴う。

従来、ブロックチェーンにおけるトランザクションは、デジタル資産、すなわち価値の蓄蔵として機能するデータを伝達するために使用される。しかしながら、ブロックチェーンは、ブロックチェーンの上に追加の機能を重ねるために活用することもできる。例えば、ブロックチェーンプロトコルは、トランザクションの出力における追加のユーザデータの格納を可能にし得る。最新のブロックチェーンでは、単一のトランザクション内に格納可能な最大データ容量が増えており、より複雑なデータを組み込むことが可能である。例えば、これを使用して、ブロックチェーンに電子文書を格納したり、さらにはオーディオまたはビデオデータを格納したりすることができる。

ネットワーク内の各ノードは、フォワード、マイニング、および格納という３つの役割のうちのいずれか１つ、２つ、またはすべてを担うことができる。フォワーディングノードは、ネットワークのノード全体にトランザクションを伝搬する。マイニングノードは、ブロックへのトランザクションのマイニングを実行する。ストレージノードはそれぞれ、ブロックチェーンのマイニングされたブロックの自身のコピーを格納する。ブロックチェーンにトランザクションを記録させるために、当事者は、伝搬されるべきネットワークのノードのうちの１つにトランザクションを送る。トランザクションを受信するマイニングノードは、トランザクションを新しいブロックにマイニングしようと競い合い得る。各ノードは、同じノードプロトコルを尊重するように構成され、そのノードプロトコルには、トランザクションが有効であるための１つまたは複数の条件が含まれる。無効なトランザクションは、伝搬もブロックへのマイニングもされない。トランザクションが妥当性確認（validate）され、それによってブロックチェーン上に受け入れられたと仮定すると、追加のユーザデータは、不変の公開記録としてＰ２Ｐネットワーク内のノードの各々に格納されたままになる。

ＩＤベース暗号化（ＩＢＥ）は、ユーザのアイデンティティ、例えばユーザの電子メールアドレスを、ユーザの公開鍵として利用する公開鍵暗号システムである。ＩＢＥの技術的課題は、公開鍵から対応する秘密鍵を導出することである。これを克服するために、典型的には、信頼できる第三者機関（ＴＴＰ）が導入され、マスタ秘密鍵（ＴＴＰのみが知っている）およびユーザのアイデンティティからユーザの秘密鍵を生成する。しかしながら、この解決策では、ＴＴＰはユーザの秘密鍵の知識を有し、したがって、ユーザの公開鍵で暗号化されているメッセージを解読することができるという問題を引き起こす。

本明細書に開示される一態様によれば、ＩＤベース暗号鍵を生成するためのコンピュータ実装方法が提供され、方法は、個人識別子を有する第１の当事者によって実行され、秘密鍵シェアのセットおよび対応する公開鍵シェアのセットを取得することと、ここで、各秘密鍵シェアは、個人識別子に基づいて生成され、秘密鍵シェアのセットのうちの少なくとも１つは、鍵生成当事者のセットのそれぞれ１つによって生成され、１つまたは複数の秘密鍵シェアの各々に基づいてＩＤベース秘密鍵を生成することと、部分ＩＤベース公開鍵を生成すること、ここで、部分ＩＤベース公開鍵は、対応する公開鍵シェアのセットの各々に基づいて生成され、ＩＤベース公開鍵を生成するために鍵生成当事者のセットのうちの少なくとも１つに部分ＩＤベース公開鍵を送信すること、および／またはＩＤベース公開鍵を生成することを含み、ここで、ＩＤベース公開鍵は、個人識別子と部分ＩＤベース公開鍵とを含む。

本明細書で開示される別の態様によれば、ＩＤベース暗号鍵を生成するためのコンピュータ実装方法が提供され、第１の当事者が個人識別子を有し、方法は、第１の鍵生成当事者によって実行され、秘密鍵シェアを第１の当事者に送信することと、ここで、秘密鍵シェアは、個人識別子に基づいて生成され、対応する公開鍵シェアを有し、部分ＩＤベース公開鍵を取得することと、ここで、部分ＩＤベース公開鍵は、対応する公開鍵シェアに基づいて生成され、ＩＤベース公開鍵を生成および／または取得することと、ここで、ＩＤベース公開鍵は、部分ＩＤベース公開鍵と個人識別子とに基づいて生成され、ＩＤベース公開鍵を含む第１の出力を含む第１のブロックチェーントランザクションを生成することとを含む。

ＴＴＰがユーザの秘密鍵を生成する代わりに、ユーザ（第１の当事者）は、ここで、少なくとも部分的に、自身の秘密鍵を生成することを担う。ユーザは、１つまたは複数の秘密鍵シェアを受信し、それらを使用して秘密鍵を生成する。秘密鍵生成局（ＰＫＧ）としても知られる各鍵生成当事者は、それ自身が生成した秘密鍵シェアの知識しか有さないので、所与のＰＫＧがユーザの完全な秘密鍵を取得することはできない。ユーザの秘密鍵を形成するために秘密鍵シェアが組み合わせられ得るか、またはユーザが追加的に秘密鍵シェアを秘密鍵に寄与し得る。ＴＴＰに相当するＰＫＧは、秘密鍵シェアの保持者が共謀しなければ、ユーザの秘密鍵はユーザのみが知っているという意味で、半ば信頼されるようになる。ユーザが秘密鍵シェアの保持者でもある場合、任意の第三者、より正確には他の秘密鍵シェアの保持者に対する信頼を完全に落とすことができる。

ＰＫＧの１つ、いくつか、またはすべてが、ＩＤベース公開鍵（すなわち、ＩＢＥ鍵）を生成し、ＩＢＥ鍵をブロックチェーントランザクション（以下では「有効性チェックトランザクション」（ＶＣＴ）と呼ぶ）においてブロックチェーン上に格納する。ＶＣＴは、ブロックチェーンの未使用トランザクション出力（ＵＴＸＯ）セットにおいて見ることができ、それにより、当事者は、ＩＢＥ鍵を閲覧し、ＩＢＥが依然として有効であるかどうかをチェックすることができる。本質的に、ＵＴＸＯセットは、有効なキーのホワイトリストとして機能する。ＩＢＥ鍵、またはより正確には対応する秘密鍵が、何らかの他の理由で危殆化されるか、または失効される必要がある場合、ユーザおよび／またはＰＫＧは、ＶＣＴを使用してＵＴＸＯセットからＩＢＥ鍵を除去することができる。当事者は、その後ＩＢＥ鍵が有効であるかどうかをチェックしたいときに、もはやＵＴＸＯセット内にＩＢＥ鍵を見みることはなく、このことから、ＩＢＥ鍵は無効であると解釈する。同様に、ＩＢＥは、以前のＶＣＴを使用したブロックチェーンに新しいＶＣＴを送ることによって更新され得る。ＶＣＴ出力を使用することは、即時の鍵失効のための効率的な方法を提供する。

本開示の実施形態の理解を助け、そのような実施形態がどのように実施され得るかを示すために、単なる例として添付の図面を参照する。
ブロックチェーンを実装するためのシステムの概略ブロック図である。 ブロックチェーンに記録され得るトランザクションのいくつかの例を概略的に示す。 ブロックチェーンを実装するための別のシステムの概略ブロック図である。 出力ベースモデルのノードプロトコルにしたがってトランザクションを処理するためのノードソフトウェアの一部分の概略ブロック図である。 当事者の識別子に基づいて公開鍵を生成するための例示的なシステムの概略ブロック図である。 当事者の識別子に基づいて公開鍵を生成するための別の例示的なシステムの概略ブロック図である。 鍵生成当事者からのＩＤベース公開鍵を要求する例示的な方法のシーケンス図である。 ＩＤベース公開鍵を使用して暗号化されたメッセージを送る例示的な方法のシーケンス図である。 ＩＤベース公開鍵を使用して暗号化されたメッセージを解読する例示的な方法のシーケンス図である。

例示的なシステムの概要
図１は、一般的にブロックチェーン１５０を実装するための例示的なシステム１００を示す。システム１００は、典型的にはインターネットなどワイドエリアインターネットワークであるパケット交換ネットワーク１０１を含む。パケット交換ネットワーク１０１は、パケット交換ネットワーク１０１内にピアツーピア（Ｐ２Ｐ）オーバーレイネットワーク１０６を形成するように構成された複数のノード１０４を含む。各ノード１０４は、ピアのコンピュータ機器を含み、ノード１０４のうちの異なるものが異なるピアに属する。各ノード１０４は、１つまたは複数のプロセッサ、例えば１つまたは複数の中央処理装置（ＣＰＵ）、アクセラレータプロセッサ、特定用途向けプロセッサおよび／またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）を備える処理装置を含む。各ノードはまた、メモリ、すなわち、１つまたは複数の非一時的コンピュータ可読媒体の形態のコンピュータ可読ストレージを備える。メモリは、１つまたは複数のメモリ媒体、例えば、ハードディスクなどの磁気媒体、ソリッドステートドライブ（ＳＳＤ）、フラッシュメモリもしくはＥＥＰＲＯＭなどの電子媒体、および／または光ディスクドライブなどの光学媒体を使用する１つまたは複数のメモリユニットを備え得る。

ブロックチェーン１５０は、データブロック１５１のチェーンを含み、ブロックチェーン１５０のそれぞれのコピーは、Ｐ２Ｐネットワーク１６０内の複数のノードの各々において維持される。チェーン内の各ブロック１５１は、１つまたは複数のトランザクション１５２を含み、この文脈におけるトランザクションは、データ構造の一種を指す。データ構造の性質は、トランザクションモデルまたは方式の一部として使用されるトランザクションプロトコルのタイプに依存する。所与のブロックチェーンは、典型的には、全体を通して１つの特定のトランザクションプロトコルを使用する。１つの一般的なタイプのトランザクションプロトコルでは、各トランザクション１５２のデータ構造は、少なくとも１つの入力と少なくとも１つの出力とを含む。各出力は、出力が暗号的にロックされている（ロック解除され、それによって償還または使用されるためにはそのユーザの署名を必要とする）ユーザ１０３に属するデジタル資産の量を表す額を指定する。各入力は、先行するトランザクション１５２の出力を指し示し、それによってトランザクションをリンクする。

ノード１０４のうちの少なくともいくつかは、トランザクション１５２をフォワードし、それによって伝搬するフォワーディングノード１０４Ｆの役割を引き受ける。ノード１０４のうちの少なくともいくつかは、ブロック１５１をマイニングするマイナー１０４Ｍの役割を引き受ける。ノード１０４のうちの少なくともいくつかは、ストレージノード１０４Ｓ（「フルコピー」ノードと呼ばれることもある）の役割を引き受け、その各々が、同じブロックチェーン１５０のそれぞれのコピーをそれぞれのメモリに格納する。各マイナーノード１０４Ｍはまた、ブロック１５１にマイニングされるのを待っているトランザクション１５２のプール１５４を維持する。所与のノード１０４は、フォワーディングノード１０４、マイナー１０４Ｍ、ストレージノード１０４Ｓ、またはこれらのうちの２つもしくはすべての任意の組合せであり得る。

所与の現在のトランザクション１５２ｊにおいて、入力（または各入力）は、トランザクションのシーケンスにおける先行するトランザクション１５２ｉの出力を参照するポインタを含み、この出力が現在のトランザクション１５２ｊにおいて償還または「使用」されるべきであることを指定する。一般に、先行するトランザクションは、プール１５４または任意のブロック１５１内の任意のトランザクションであり得る。先行するトランザクション１５２ｉは、現在のトランザクションが有効となるために存在および妥当性確認される必要があるが、先行するトランザクション１５２ｉは、現在のトランザクション１５２ｊが作成されるときまたはネットワーク１０６に送られるときに必ずしも存在する必要はない。したがって、本明細書における「先行する（preceding）」は、ポインタによってリンクされた論理シーケンスにおける先行するものを指し、必ずしも時間シーケンスにおける作成時間または送る時間を指すものではなく、したがって、トランザクション１５２ｉ、１５２ｊが順不同に作成または送られることを必ずしも除外するものではない（オーファントランザクションに関する以下の説明を参照）。先行するトランザクション１５２ｉは、先のトランザクション（antecedent transaction）または先行したトランザクション（predecessor transaction）とも呼ばれる。

現在のトランザクション１５２ｊの入力はまた、先行するトランザクション１５２ｉの出力がロックされるユーザ１０３ａの署名を含む。次に、現在のトランザクション１５２ｊの出力は、新しいユーザ１０３ｂに暗号的にロックされ得る。したがって、現在のトランザクション１５２ｊは、先行するトランザクション１５２ｉの入力において定義された額を、現在のトランザクション１５２ｊの出力において定義されたように、新しいユーザ１０３ｂに転送することができる。場合によっては、トランザクション１５２は、複数のユーザ（残り（change）を与えるためにそのうちの１人が元のユーザ１０３ａであり得る）間で入力額を分割するために複数の出力を有し得る。場合によっては、トランザクションはまた、１つまたは複数の先行するトランザクションの複数の出力からの額をまとめ、現在のトランザクションの１つまたは複数の出力に再分配するために複数の入力を有することができる。

上記は、「出力ベース」トランザクションプロトコルと呼ばれ得、未使用トランザクション出力（ＵＴＸＯ）タイププロトコルと呼ばれることもある（ここでは出力はＵＴＸＯと呼ばれる）。ユーザの総残高は、ブロックチェーンに格納された任意の１つの数字で定義されるのではなく、代わりに、ユーザは、ブロックチェーン１５１内の多くの異なるトランザクション１５２全体に散在しているそのユーザのすべてのＵＴＸＯの値を照合するための特別な「ウォレット」アプリケーション１０５を必要とする。

トランザクションプロトコルの代替的なタイプは、アカウントベーストランザクションモデルの一部として、「アカウントベース」プロトコルと呼ばれ得る。アカウントベース場合、各トランザクションは、一連の過去のトランザクションにおける先行するトランザクションのＵＴＸＯを参照することによってではなく、絶対アカウント残高を参照することによって転送されるべき額を定義する。すべてのアカウントの現在の状態は、ブロックチェーンとは別にマイナーによって格納され、絶えず更新される。そのようなシステムでは、トランザクションは、アカウントの実行中のトランザクションタリー（「ポジション」とも呼ばれる）を使用して順序付けられる。この値は、送信者によってその暗号署名の一部として署名され、トランザクション参照計算の一部としてハッシュされる。加えて、トランザクションにおける任意選択のデータフィールドも署名することができる。このデータフィールドは、例えば、前のトランザクションＩＤがデータフィールドに含まれている場合、前のトランザクションを指し示し得る。

いずれかのタイプのトランザクションプロトコルを用いて、ユーザ１０３が新しいトランザクション１５２ｊを成立させることを望む場合、ユーザは新しいトランザクションをユーザのコンピュータ端末１０２からＰ２Ｐネットワーク１０６のノード１０４（これは、今日では典型的にはサーバまたはデータセンタであるが、原理的には他のユーザ端末であってもよい）のうちの１つに送る。このノード１０４は、ノード１０４の各々において適用されるノードプロトコルにしたがってトランザクションが有効であるかどうかをチェックする。ノードプロトコルの詳細は、当該ブロックチェーン１５０において使用されているトランザクションプロトコルのタイプに対応し、全体としてトランザクションモデルを形成する。ノードプロトコルは、典型的には、新しいトランザクション１５２ｊ内の暗号署名が、トランザクション１５２の順序付けられたシーケンス内で前のトランザクション１５２ｉに依存する予想される署名と一致することをチェックするようにノード１０４に求める。出力ベース場合、これは、新しいトランザクション１５２ｊの入力に含まれるユーザの暗号署名が、新しいトランザクションが使用する先行するトランザクション１５２ｉの出力において定義される条件と一致することをチェックすることを含み得、この条件は、典型的には、新しいトランザクション１５２ｊの入力における暗号署名が、新しいトランザクションの入力が指し示す前のトランザクション１５２ｉの出力をロック解除することをチェックすることを少なくとも含む。いくつかのトランザクションプロトコルでは、条件は、入力および／または出力に含まれるカスタムスクリプトによって少なくとも部分的に定義され得る。代替的に、単にノードプロトコルのみによって固定されてもよく、またはこれらの組合せによるものであってもよい。いずれにしても、新しいトランザクション１５２ｊが有効である場合、現在のノードは、それをＰ２Ｐネットワーク１０６内のノード１０４のうちの１つまたは複数の他のノードにフォワードする。これらのノード１０４のうちの少なくともいくつかは、フォワーディングノード１０４Ｆとしても機能し、同じノードプロトコルにしたがって同じテストを適用し、そして、新しいトランザクション１５２ｊを１つまたは複数のさらなるノード１０４にフォワードし、以下同様である。このようにして、新しいトランザクションはノード１０４のネットワーク全体に伝搬される。

出力ベースモデルでは、所与の出力（例えば、ＵＴＸＯ）が使用されたかどうかの定義は、それがノードプロトコルにしたがって別の前方のトランザクション１５２ｊの入力によって有効に償還されたかどうかかである。トランザクションが有効であるための別の条件は、それが使用または償還しようとする先行する遷移１５２ｉの出力が、別の有効なトランザクションによってまだ使用／償還されていないことである。同様に、有効でない場合、トランザクション１５２ｊは、ブロックチェーンに伝搬も記録もされない。これは、使用者が同じトランザクションの出力を複数回使用しようとする二重支出を防止する。一方、アカウントベースモデルは、アカウント残高を維持することによって二重支出を防止する。ここでも、トランザクション順序が定義されているので、アカウント残高は常に単一の定義された状態にある。

妥当性確認に加えて、ノード１０４Ｍのうちの少なくともいくつかはまた、「プルーフオブワーク」に支えられるマイニングとして知られるプロセスにおいてトランザクションのブロックを最初に作成しようと競い合う。マイニングノード１０４Ｍにおいて、ブロック内にまだ現れていない有効なトランザクションのプールに新しいトランザクションが追加される。次いで、マイナーは、暗号パズルを解くことを試みることによって、トランザクションのプール１５４からトランザクション１５２の新しい有効ブロック１５１を組み立てようと競い合う。典型的には、これは、ノンスがトランザクションのプール１５４と連結されハッシュされたときにハッシュの出力が所定の条件を満たすような「ノンス」値を探索することを含む。例えば、所定の条件とは、ハッシュの出力が特定の所定の数の先行ゼロを有することであり得る。ハッシュ関数の特性は、その入力に対して予測不可能な出力を持つことである。したがって、この探索は、総当たりでしか実行することができないので、パズルを解こうとしている各ノード１０４Ｍでかなりの量の処理リソースを消費する。

最初にパズルを解いたマイナーノード１０４Ｍは、これをネットワーク１０６に公表し、後にネットワーク内の他のノード１０４によって容易にチェックすることができるその解を証明として提供する（ハッシュに対する解が与えられると、ハッシュの出力が条件を満たすことをチェックすることは簡単である）。勝者がパズルを解いたトランザクションのプール１５４は、次いで、ストレージノード１０４Ｓとして機能するノード１０４のうちの少なくともいくつかによって、そのような各ノードにおいて勝者が公表した解をチェックしたことに基づいて、ブロックチェーン１５０内に新しいブロック１５１として記録されるようになる。ブロックポインタ１５５はまた、チェーン内の前に作成されたブロック１５１ｎ－１を指し示す新しいブロック１５１ｎに割り当てられる。プルーフオブワークは、新たなブロック１５１を作成するのに多大な労力を要するので、二重支出のリスクを低減するのに役立ち、二重支出を含むブロックは他のノード１０４によって拒絶される可能性が高いので、マイニングノード１０４Ｍは、二重支出がそれらのブロックに含まれないようにインセンティブが与えられる。ブロック１５１は、一旦作成されると、同じプロトコルにしたがってＰ２Ｐネットワーク１０６内の格納ノード１０４Ｓの各々で認識および維持されるので、修正することができない。ブロックポインタ１５５はまた、ブロック１５１にシーケンシャル順序を付与する。トランザクション１５２は、Ｐ２Ｐネットワーク１０６内の各ストレージノード１０４Ｓにおいて順序付けられたブロックに記録されるので、これは、トランザクションの不変の公開台帳を提供する。

任意の所与の時間にパズルを解こうと競い合う異なるマイナー１０４Ｍは、それらがいつ解を探索し始めたかに応じて、任意の所与の時間におけるマイニングされていないトランザクションプール１５４の異なるスナップショットに基づいてそうしている可能性があることに留意されたい。誰がそれぞれのパズルを最初に解いても、どのトランザクション１５２が次の新しいブロック１５１ｎに含まれるかを定義し、マイニングされていないトランザクションの現在のプール１５４が更新される。次いで、マイナー１０４Ｍは、新しく定義された未処理プール１５４からブロックを作成しようと競い合い続け、以下同様である。２人のマイナー１０４Ｍが互いに非常に短い時間内にパズルを解いて、ブロックチェーンの相反する見解が伝搬される場合に発生し得る任意の「フォーク」を解決するためのプロトコルも存在する。要するに、フォークのどちらのプロングが最も長く成長しても、最終的なブロックチェーン１５０となる。

ほとんどのブロックチェーンでは、勝利マイナー１０４Ｍには、（あるユーザから別のユーザにある額のデジタル資産を転送する通常のトランザクションとは対照的に）突如新しい量のデジタル資産を作成する特別なタイプの新しいトランザクションで自動的に報酬が与えられる。したがって、勝者ノードは、ある量のデジタル資産を「マイニング」したと言われる。この特別なタイプのトランザクションは、「生成」トランザクションと呼ばれることがある。それは自動的に新しいブロック１５１ｎの一部を形成する。この報酬は、マイナー１０４Ｍがプルーフオブワーク競争に参加するためのインセンティブを与える。多くの場合、通常の（非生成）トランザクション１５２はまた、そのトランザクションが含まれたブロック１５１ｎを作成した勝利マイナー１０４Ｍにさらに報酬を与えるために、その出力の１つにおいて追加のトランザクション手数料を指定する。

マイニングに関与する計算リソースに起因して、典型的には、マイナーノード１０４Ｍの少なくとも各々は、１つまたは複数の物理サーバユニットを含むサーバの形態をとるか、またはデータセンタ全体の形態をとる。各フォワーディングノード１０４Ｍおよび／またはストレージノード１０４Ｓもまた、サーバまたはデータセンタの形態をとり得る。しかしながら、原則として、任意の所与のノード１０４は、一緒にネットワーク化されたユーザ端末またはユーザ端末のグループの形態をとることができる。

各ノード１０４のメモリは、そのそれぞれの１つまたは複数の役割を実行し、ノードプロトコルにしたがってトランザクション１５２を処理するために、ノード１０４の処理装置上で実行ように構成されたソフトウェアを記憶する。本明細書においてノード１０４に帰する任意のアクションは、それぞれのコンピュータ機器の処理装置上で実行されるソフトウェアによって実行され得ることが理解されよう。また、本明細書で使用される「ブロックチェーン」という用語は、一般に、この種類の技術を指す総称であり、任意の特定の専有のブロックチェーン、プロトコルまたはサービスに限定されない。

消費ユーザの役割を果たす複数の当事者１０３の各々のコンピュータ機器１０２もネットワーク１０１に接続されている。これらは、トランザクションにおいて支払人および受取人として機能するが、他の当事者に代わってトランザクションのマイニングまたは伝搬に必ずしも参加するわけではない。それらは、マイニングプロトコルを必ずしも実行するわけではない。２つの当事者１０３およびそれらのそれぞれの機器１０２、すなわち、第１の当事者１０３ａおよびそのそれぞれのコンピュータ機器１０２ａ、ならびに第２の当事者１０３ｂおよびそのそれぞれのコンピュータ機器１０２ｂは、例示の目的で示されている。はるかに多くのそのような当事者１０３およびそれらのそれぞれのコンピュータ機器１０２が存在し、システムに参加し得るが、便宜上、それらは図示されていないことが理解されよう。各当事者１０３は、個人または組織であり得る。純粋に例示として、第１の当事者１０３ａは、本明細書ではアリスと呼ばれ、第２の当事者１０３ｂはボブと呼ばれるが、これは限定的なものではなく、本明細書におけるアリスまたはボブへのいかなる言及も、それぞれ「第１の当事者」および「第２の当事者」と置き換えられ得ることが理解されよう。

各当事者１０３のコンピュータ機器１０２は、１つまたは複数のプロセッサ、例えば、１つまたは複数のＣＰＵ、ＧＰＵ、他のアクセラレータプロセッサ、特定用途向けプロセッサ、および／またはＦＰＧＡを含むそれぞれの処理装置を含む。各当事者１０３のコンピュータ機器１０２は、メモリ、すなわち、１つまたは複数の非一時的コンピュータ可読媒体の形態のコンピュータ可読ストレージを備える。このメモリは、１つまたは複数のメモリ媒体、例えば、ハードディスクなどの磁気媒体、ＳＳＤ、フラッシュメモリもしくはＥＥＰＲＯＭなどの電子媒体、および／または光ディスクドライブなどの光学媒体を使用する１つまたは複数のメモリユニットを備え得る。各当事者１０３のコンピュータ機器１０２上のメモリは、処理装置上で実行するように構成された少なくとも１つのクライアントアプリケーション１０５のそれぞれのインスタンスを含むソフトウェアを記憶する。本明細書において所与の当事者１０３に帰する任意のアクションは、それぞれのコンピュータ機器１０２の処理装置上で実行されるソフトウェアを使用して実行され得ることが理解されよう。各当事者１０３のコンピュータ機器１０２は、少なくとも１つのユーザ端末、例えば、デスクトップもしくはラップトップコンピュータ、タブレット、スマートフォン、またはスマートウォッチなどのウェアラブルデバイスを備える。所与の当事者１０３のコンピュータ機器１０２はまた、ユーザ端末を介してアクセスされるクラウドコンピューティングリソースなどの１つまたは複数の他のネットワーク化されたリソースを備え得る。

クライアントアプリケーションまたはソフトウェア１０５は、最初に、適切な１つまたは複数のコンピュータ可読記憶媒体上で任意の所与の当事者１０３のコンピュータ機器１０２に提供され得、例えば、サーバからダウンロードされ得るか、またはリムーバブルＳＳＤ、フラッシュメモリキー、リムーバブルＥＥＰＲＯＭ、リムーバブル磁気ディスクドライブ、磁気フロッピーディスクもしくはテープ、ＣＤもしくはＤＶＤ ＲＯＭなどの光ディスク、またはリムーバブル光学ドライブなどのリムーバブル記憶デバイス上で提供され得る。

クライアントアプリケーション１０５は、少なくとも「ウォレット」機能を備える。これは２つの主要な機能を有する。これらのうちの１つは、それぞれのユーザ当事者１０３が、ノード１０４のネットワーク全体に伝搬され、それによってブロックチェーン１５０に含まれることとなるトランザクション１５２を作成し、署名し、送ることを可能にすることである。もう１つは、それぞれの当事者に、その当事者が現在所有しているデジタル資産の額を報告することである。出力ベースシステムでは、この第２の機能は、当該当事者に属するブロックチェーン１５０全体に散在している様々なトランザクション１５２の出力において定義された額を照合することを含む。

各コンピュータ機器１０２上のクライアントアプリケーション１０５のインスタンスは、Ｐ２Ｐネットワーク１０６のフォワーディングノード１０４Ｆのうちの少なくとも１つに動作可能に結合される。これにより、クライアント１０５のウォレット機能はトランザクション１５２をネットワーク１０６に送ることができる。クライアント１０５はまた、それぞれの当事者１０３が受信者である任意のトランザクションについてブロックチェーン１５０にクエリを行うために、ストレージノード１０４のうちの１つ、いくつか、またはすべてにコンタクトすることができる（または、実施形態では、ブロックチェーン１５０は、部分的にその公開可視性を通じてトランザクションにおける信頼を提供する公開施設であるので、実際にブロックチェーン１５０における他の当事者のトランザクションを検査する）。各コンピュータ機器１０２上のウォレット機能は、トランザクションプロトコルにしたがってトランザクション１５２を定式化し、送るように構成される。各ノード１０４は、ノードプロトコルにしたがってトランザクション１５２を妥当性確認するように構成されたソフトウェアを実行し、フォワーディングノード１０４Ｆの場合には、トランザクション１５２をネットワーク１０６全体に伝搬させるためにそれらをフォワードするように構成される。トランザクションプロトコルおよびノードプロトコルは互いに対応し、所与のトランザクションプロトコルは所与のノードプロトコルと共に進行し、一緒に所与のトランザクションモデルを実装する。ブロックチェーン１５０内のすべてのトランザクション１５２に対して同じトランザクションプロトコルが使用される（ただし、トランザクションプロトコルは、その中のトランザクションの異なるサブタイプを可能にし得る）。ネットワーク１０６内のすべてのノード１０４によって同じノードプロトコルが使用される（ただし、これは、トランザクションの異なるサブタイプを、そのサブタイプに対して定義された規則にしたがって異なって処理し、また、異なるノードが異なる役割を担い、したがってプロトコルの異なる対応する態様を実装することができる）。

述べたように、ブロックチェーン１５０は、ブロック１５１のチェーンを含み、各ブロック１５１は、前述したようなプルーフオブワークプロセスによって作成された１つまたは複数のトランザクション１５２のセットを含む。各ブロック１５１はまた、ブロック１５１へのシーケンシャル順序を定義するために、チェーン内の前に作成されたブロック１５１を指し示すブロックポインタ１５５を含む。ブロックチェーン１５０は、プルーフオブワークプロセスによって新しいブロックに含まれるのを待っている有効なトランザクションのプール１５４も含む。各トランザクション１５２（生成トランザクション以外）は、トランザクションのシーケンスへの順序を定義するように、前のトランザクションへ戻るポインタを含む（注意：トランザクション１５２のシーケンスは分岐することが可能である）。ブロック１５１のチェーンは、チェーン内の最初のブロックであった発生ブロック（Ｇｂ）１５３までずっと戻る。チェーン１５０内の早期にある１つまたは複数の元のトランザクション１５２は、先行するトランザクションではなく発生ブロック１５３を指し示していた。

所与の当事者１０３、例えばアリスが、ブロックチェーン１５０に含まれるべき新しいトランザクション１５２ｊを送りたいとき、アリスは、関連トランザクションプロトコルにしたがって（アリスのクライアントアプリケーション１０５内のウォレット機能を使用して）新しいトランザクションを定式化する。次いで、アリスは、クライアントアプリケーション１０５から、アリスが接続されている１つまたは複数のフォワーディングノード１０４Ｆのうちの１つにトランザクション１５２を送る。例えば、これは、アリスのコンピュータ１０２に最も近いまたは最良に接続されたフォワーディングノード１０４Ｆであり得る。任意の所与のノード１０４が新しいトランザクション１５２ｊを受信すると、それはノードプロトコルおよびそのそれぞれの役割にしたがってそれを処理する。これは、新たに受信されたトランザクション１５２ｊが「有効」であるための特定の条件を満たすか否かを最初にチェックすることを含み、その例については、以下でより詳細に説明する。いくつかのトランザクションプロトコルでは、妥当性確認のための条件は、トランザクション１５２に含まれるスクリプトによってトランザクションごとに構成可能であり得る。代替的に、条件は、単にノードプロトコルの組込み特徴であってもよく、またはスクリプトとノードプロトコルとの組合せによって定義されてもよい。

新たに受信されたトランザクション１５２ｊが有効であると見なされるためのテストにパスすることを条件として（すなわち、それが「妥当性確認される」ことを条件として）、トランザクション１５２ｊを受信する任意のストレージノード１０４Ｓは、そのノード１０４Ｓにおいて維持されるブロックチェーン１５０のコピー内のプール１５４に新たな妥当性確認済みトランザクション１５２を追加する。さらに、トランザクション１５２ｊを受信する任意のフォワーディングノード１０４Ｆは、妥当性確認済みトランザクション１５２をＰ２Ｐネットワーク１０６内の１つまたは複数の他のノード１０４へと前方に伝搬する。各フォワーディングノード１０４Ｆは同じプロトコルを適用するので、トランザクション１５２ｊが有効であると仮定すると、これは、それがすぐにＰ２Ｐネットワーク１０６全体にわたって伝搬されることを意味する。

１つまたは複数のストレージノード１０４において維持されるブロックチェーン１５０のコピー内のプール１５４に認められると、マイナーノード１０４Ｍは、新しいトランザクション１５２を含むプール１５４の最新バージョンに対してプルーフオブワークパズルを解こうと競い始める（他のマイナー１０４Ｍは、プール１５４の古いビューに基づいてパズルを解こうと試みている可能性があるが、誰が最初に到達しても、次の新しいブロック１５１がどこで終わり新しいプール１５４がどこで開始するかを定義することとなり、最終的には、誰かが、アリスのトランザクション１５２ｊを含むプール１５４の一部についてパズルを解く）。新しいトランザクション１５２ｊを含むプール１５４に対してプルーフオブワークが行われると、それは不変的にブロックチェーン１５０内のブロック１５１のうちの１つの一部となる。各トランザクション１５２は、前のトランザクションへ戻るポインタを含むので、トランザクションの順序も不変的に記録される。

ＵＴＸＯベースモデル
図２は、例示的なトランザクションプロトコルを示す。これは、ＵＴＸＯベースプロトコルの一例である。トランザクション１５２（「Ｔｘ」と略記される）は、ブロックチェーン１５０の基本的なデータ構造である（各ブロック１５１は１つまたは複数のトランザクション１５２を含む）。以下では、出力ベースまたは「ＵＴＸＯ」ベースプロトコルを参照して説明する。しかしながら、これはすべての可能な実施形態に限定されない。

ＵＴＸＯベースモデルでは、各トランザクション（「Ｔｘ」）１５２は、１つまたは複数の入力２０２および１つまたは複数の出力２０３を含むデータ構造を含む。各出力２０３は、未使用トランザクション出力（ＵＴＸＯ）を含み得、これは、（ＵＴＸＯがまだ償還されていない場合）別の新しいトランザクションの入力２０２のソースとして使用され得る。ＵＴＸＯは、デジタル資産（価値の蓄蔵）の額を指定する。それはまた、他の情報の中でも、元となるトランザクションのトランザクションＩＤを含み得る。トランザクションデータ構造は、入力フィールド（複数可）２０２および出力フィールド（複数可）２０３のサイズを示すインジケータを含み得るヘッダ２０１も含み得る。ヘッダ２０１はまた、トランザクションのＩＤを含み得る。実施形態では、トランザクションＩＤは、（トランザクションＩＤ自体を除く）トランザクションデータのハッシュであり、マイナー１０４Ｍにサブミットされる生のトランザクション１５２のヘッダ２０１に格納される。

図２の各出力はＵＴＸＯとして示されているが、トランザクションは、追加的にまたは代替的に、１つまたは複数の使用不可能なトランザクション出力を含み得ることに留意されたい。

アリス１０３ａが、当該デジタル資産の額をボブ１０３ｂに転送するトランザクション１５２ｊを作成することを望むとする。図２では、アリスの新しいトランザクション１５２ｊは「Ｔｘ_１」とラベル付けされている。これは、シーケンス内の先行するトランザクション１５２ｉの出力２０３においてアリスにロックされたデジタル資産の額を取り、これのうちの少なくとも一部をボブに転送する。先行するトランザクション１５２ｉは、図２では「Ｔｘ_０」とラベル付けされている。Ｔｘ_０およびＴｘ_１は、単なる任意のラベルである。それらは、Ｔｘ_０がブロックチェーン１５１内の最初のトランザクションであることも、Ｔｘ_１がプール１５４内のすぐ次のトランザクションであることも必ずしも意味するものではない。Ｔｘ_１は、アリスにロックされた未使用の出力２０３を依然として有する任意の先行する（すなわち先の）トランザクションを指し示すことができる。

先行するトランザクションＴｘ_０は、アリスが新しいトランザクションＴｘ_１を作成した時点では、または少なくともアリスがそれをネットワーク１０６に送る時点までには、すでに妥当性確認されブロックチェーン１５０に含まれている可能性がある。それは、その時点でブロック１５１のうちの１つにすでに含まれていてもよいし、プール１５４で依然として待機していてもよく、その場合には、すぐに新しいブロック１５１に含まれることになる。代替的に、Ｔｘ_０およびＴｘ_１を作成してネットワーク１０２に一緒に送ることができるか、またはノードプロトコルが「オーファン」トランザクションのバッファリングを可能にする場合には、Ｔｘ_０をＴｘ_１の後に送ることさえもできる。トランザクションのシーケンスの文脈において本明細書で使用される「先行する」および「後続の」という用語は、トランザクション内で指定されているトランザクションポインタ（どのトランザクションがどの他のトランザクションを指し示すかなど）によって定義されるシーケンス内のトランザクションの順序を指す。それらは、同様に、「先行するもの」および「後続するもの」、または「先の」および「後の」、「親」および「子」などと置き換えられ得る。これは、それらの作成、ネットワーク１０６への送信、または任意の所与のノード１０４への到着の順序を必ずしも意味するものではない。それにもかかわらず、先行するトランザクション（先のトランザクションまたは「親」）を指し示す後続するトランザクション（後のトランザクションまたは「子」）は、親トランザクションが妥当性確認されるまでおよび妥当性確認されない限り、妥当性確認されない。その親より前にノード１０４に到着する子は、オーファンとみなされる。それは、ノードプロトコルおよび／またはマイナー挙動に応じて、親を待つために特定の時間バッファされるかまたは破棄され得る。

先行するトランザクションＴｘ_０の１つまたは複数の出力２０３のうちの１つは、本明細書ではＵＴＸＯ_０とラベル付けされた特定のＵＴＸＯを含む。各ＵＴＸＯは、ＵＴＸＯによって表されるデジタル資産の額を指定する値と、ロックスクリプトとを含み、ロックスクリプトは、後続のトランザクションが妥当性確認され、したがってＵＴＸＯが正常に償還されるために、後続のトランザクションの入力２０２内のロック解除スクリプトが満たさなければならない条件を定義する。典型的には、ロックスクリプトは、その額を特定の当事者（それが含まれるトランザクションの受益者）にロックする。すなわち、ロックスクリプトは、典型的には、後続のトランザクションの入力内のロック解除スクリプトに、先行するトランザクションがロックされる当事者の暗号署名が含まれるという条件を含むロック解除条件を定義する。

ロックスクリプト（通称scriptPubKey）は、ノードプロトコルによって認識されるドメイン固有言語で書かれたコードの一部分である。そのような言語の特定の例は、「スクリプト」（大文字Ｓ）と呼ばれる。ロックスクリプトは、トランザクション出力２０３を使用するためにどの情報が必要とされるか、例えばアリスの署名の要件を指定する。ロック解除スクリプトはトランザクションの出力に現れる。ロック解除スクリプト（通称scriptSig）は、ロックスクリプト基準を満たすのに必要な情報を提供するドメイン固有言語で書かれたコードの一部分である。例えば、ボブの署名を含み得る。ロック解除スクリプトは、トランザクションの入力２０２に現れる。

つまり、図示の例では、Ｔｘ_０の出力２０３内のＵＴＸＯ_０は、ＵＴＸＯ_０が償還されるために（厳密には、ＵＴＸＯ_０を償還しようとする後続のトランザクションが有効となるために）アリスの署名Ｓｉｇ Ｐ_Ａを必要とするロックスクリプト[Checksig P_A]を含む。[Checksig P_A]は、アリスの公開鍵－秘密鍵ペアからの公開鍵Ｐ_Ａを含む。Ｔｘ_１の入力２０２は、（例えば、実施形態ではトランザクションＴｘ_０全体のハッシュであるそのトランザクションＩＤ、ＴｘＩＤ_０によって）Ｔｘ_１を指し示すポインタを含む。Ｔｘ_１の入力２０２は、Ｔｘ_０の任意の他の可能な出力の中から、ＵＴＸＯ_０を識別するために、Ｔｘ_０内のそれを識別するインデックスを含む。Ｔｘ_１の入力２０２は、アリスが鍵ペアからのアリスの秘密鍵をデータの所定の部分（暗号では「メッセージ」と呼ばれることもある）に適用することによって作成された、アリスの暗号署名を含むロック解除スクリプト<Sig P_A>をさらに含む。有効な署名を提供するためにどのデータ（または「メッセージ」）がアリスによって署名される必要があるかは、ロックスクリプトによって、またはノードプロトコルによって、またはこれらの組合せによって定義され得る。

新しいトランザクションＴｘ_１がノード１０４に到着すると、ノードはノードプロトコルを適用する。これは、ロックスクリプトおよびロック解除スクリプトを一緒に実行して、ロック解除スクリプトがロックスクリプトで定義されている条件（この条件は１つまたは複数の基準を含み得る）を満たすかどうかをチェックすることを含む。実施形態では、これは２つのスクリプトを連結することを含む。
<Sig P_A> < P_A> || [Checksig P_A]
ここで、「||」は連結を表し、「<…>」はデータをスタックに置くことを意味し、「[…]」はロック解除スクリプト（この例ではスタックベース言語）で構成される関数である。同等に、スクリプトは、スクリプトを連結するのではなく、共通スタックを用いて次々に実行され得る。いずれにしても、一緒に実行されるとき、スクリプトは、Ｔｘ_０の出力内のロックスクリプトに含まれるようなアリスの公開鍵Ｐ_Ａを使用して、Ｔｘ_１の入力内のロックスクリプトが、データの予想される部分に署名したアリスの署名を含むことを認証する。データの予想される部分自体（「メッセージ」）はまた、この認証を実行するためにＴｘ_０命令に含まれる必要がある。実施形態では、署名されたデータは、Ｔｘ_０の全体を含む（つまり、平文のデータの署名された部分を指定する別個の要素は、すでに本質的に存在するので、含まれる必要はない）。

公開－秘密暗号法による認証の詳細は、当業者によく知られている。基本的に、アリスが自身の秘密鍵でメッセージを暗号化することによってメッセージに署名した場合、アリスの公開鍵および平文のメッセージ（暗号化されていないメッセージ）が与えられると、ノード１０４などの別のエンティティは、メッセージの暗号化バージョンがアリスによって署名されたものに違いないことを認証することができる。署名は、典型的には、メッセージをハッシュし、ハッシュに署名し、これを署名としてメッセージの平文バージョンにタグ付けすることを含み、これにより、公開鍵の任意の保持者が署名を認証することができる。

Ｔｘ_１内のロック解除スクリプトが、Ｔｘ_０のロックスクリプト内で指定されている１つまたは複数の条件を満たす場合（つまり、図示の例では、アリスの署名がＴｘ_１内で提供され、認証された場合）、ノード１０４は、Ｔｘ_１が有効であると見なす。それがマイニングノード１０４Ｍである場合、これは、ワークオブプルーフを待つトランザクションのプール１５４にそれを追加することを意味する。それがフォワーディングノード１０４Ｆである場合、トランザクションＴｘ_１をネットワーク１０６内の１つまたは複数の他のノード１０４にフォワードして、トランザクションＴｘ_１がネットワーク全体に伝搬されるようにする。Ｔｘ_１が妥当性確認されてブロックチェーン１５０に含まれると、これは、Ｔｘ_０からのＵＴＸＯ_０を使用済みとして定義する。Ｔｘ_１は、未使用トランザクション出力２０３を使用する場合にのみ有効であり得ることに留意されたい。別のトランザクション１５２によってすでに使用された出力を使用しようとする場合、Ｔｘ_１は、他のすべての条件が満たされたとしても無効になる。したがって、ノード１０４はまた、先行するトランザクションＴｘ_０内の参照されたＵＴＸＯがすでに使用済みである（別の有効なトランザクションへの有効な入力をすでに形成している）かどうかをチェックする必要がある。これは、ブロックチェーン１５０がトランザクション１５２に定義された順序を課すことが重要である１つの理由である。実際には、所与のノード１０４は、どのトランザクション１５２内のどのＵＴＸＯ２０３が使用されたかをマーキングする別個のデータベースを維持し得るが、最終的には、ＵＴＸＯが使用されたかどうかを定義するものは、ブロックチェーン１５０内の別の有効なトランザクションへの有効な入力をすでに形成しているかどうかである。

ＵＴＸＯベーストランザクションモデルでは、所与のＵＴＸＯが全体として使用される必要があることに留意されたい。ＵＴＸＯにおいて使用済みとして定義された額の一部を「後に残す」ことはできず、別の一部が使用される。しかしながら、次のトランザクションの複数の出力間でＵＴＸＯからの額を分割することはできる。例えば、Ｔｘ_０内のＵＴＸＯ_０において定義された額は、Ｔｘ_１内の複数のＵＴＸＯ間で分割され得る。したがって、アリスが、ＵＴＸＯ_０において定義された額のすべてをボブに与えたくない場合、アリスは、リマインダを使用して、Ｔｘ_１の第２の出力において自分自身に残りを与えるか、または別の当事者に支払うことができる。

実際には、今日、生成トランザクションの報酬だけでは、典型的には、マイニングを動機付けるのに十分ではないので、アリスは通常、勝利マイナーに対する手数料を含む必要もある。アリスがマイナーに対する手数料を含めない場合、Ｔｘ_０は、マイナーノード１０４Ｍによって拒否される可能性が高く、したがって、技術的に有効であっても、それは依然として伝搬されず、ブロックチェーン１５０に含まれない（マイナープロトコルは、マイナー１０４Ｍが望まない場合にトランザクション１５２を受け入れることを強制しない）。いくつかのプロトコルでは、マイニング手数料は、それ自体の別個の出力２０３を必要としない（すなわち、別個のＵＴＸＯを必要としない）。代わりに、所与のトランザクション１５２の入力（複数可）２０２によって指し示される総額と出力（複数可）２０３で指定されている総額との間の差が自動的に勝利マイナー１０４に与えられる。例えば、ＵＴＸＯ_０へのポインタがＴｘ_１への唯一の入力であり、Ｔｘ_１は唯一の出力ＵＴＸＯ_１を有するとする。ＵＴＸＯ_０で指定されているデジタル資産の額がＵＴＸＯ_１で指定されている額より大きい場合、その差が自動的に勝利マイナー１０４Ｍに贈られる。しかしながら、代替的にまたは追加的に、マイナー手数料がトランザクション１５２のＵＴＸＯ２０３のうちのそれ自体の１つにおいて明示的に指定され得ることが必ずしも除外されるものではなない。

所与のトランザクション１５２のすべての出力２０３で指定されている総額が、そのすべての入力２０２によって指し示された総額よりも大きい場合、これは、ほとんどのトランザクションモデルにおいて無効性の別の根拠であることにも留意されたい。したがって、そのようなトランザクションは、ブロック１５１に伝搬もマイニングもされない。

アリスおよびボブのデジタル資産は、ブロックチェーン１５０内のどこにでもある任意のトランザクション１５２においてそれらにロックされた未使用ＵＴＸＯから構成される。したがって、典型的には、所与の当事者１０３の資産は、ブロックチェーン１５０全体にわたる様々なトランザクション１５２のＵＴＸＯ全体に散在している。ブロックチェーン１５０内のどこにも、所与の当事者１０３の総残高を定義する数字は格納されない。クライアントアプリケーション１０５におけるウォレット機能の役割は、それぞれの当事者にロックされ、別の前方のトランザクションでまだ使用されていない様々なＵＴＸＯすべての値を一緒に照合することである。これは、ストレージノード１０４Ｓのいずれか、例えば、それぞれの当事者のコンピュータ機器１０２に最も近いまたは最良に接続されたストレージノード１０４Ｓに格納されたブロックチェーン１５０のコピーにクエリを行うことによって行うことができる。

スクリプトコードは、しばしば、概略的に表される（すなわち、正確な言語ではない）ことに留意されたい。例えば、[Checksig P_A]と書いて[Checksig P_A] = OP_DUP OP_HASH160 <H(Pa)> OP_EQUALVERIFY OP_CHECKSIGを意味し得る。「OP_...」は、スクリプト言語の特定のオペコードを指す。ＯＰ＿ＣＨＥＣＫＳＩＧ（「Checksig」とも呼ばれる）は、２つの入力（署名および公開鍵）を取り、楕円曲線デジタル署名アルゴリズム（ＥＣＤＳＡ）を使用して署名の有効性を検証するスクリプトオペコードである。実行時に、署名（「sig」）の存在（occurrence）はスクリプトから除去されるが、ハッシュパズルなどの追加要件は、「sig」入力によって検証されたトランザクションに残る。別の例として、ＯＰ＿ＲＥＴＵＲＮは、トランザクション内にメタデータを格納することができ、それによってメタデータをブロックチェーン１５０に不変に記録することができる、トランザクションの使用不可能な出力を作成するためのスクリプト言語のオペコードである。例えば、メタデータは、ブロックチェーンに格納することが望まれる文書を含み得る。

署名Ｐ_Ａはデジタル署名である。実施形態において、これは、楕円曲線ｓｅｃｐ２５６ｋ１を使用するＥＣＤＳＡに基づく。デジタル署名は、特定のデータの一部分に署名する。実施形態では、所与のトランザクションについて、署名は、トランザクション入力の一部、およびトランザクション出力の全部または一部に署名する。署名された出力の特定の部分は、ＳＩＧＨＡＳＨフラグに依存する。ＳＩＧＨＡＳＨフラグは、どの出力が署名されるかを選択するために署名の最後に含まれる４バイトコードである（したがって、署名時に固定される）。

ロックスクリプトは、それぞれのトランザクションがロックされる当事者の公開鍵を含むという事実を指して、「scriptPubKey」と呼ばれることがある。ロック解除スクリプトは、それが対応する署名を供給するという事実を指して「scriptSig」と呼ばれることがある。しかしながら、より一般的には、ＵＴＸＯが償還されるための条件が署名を認証することを含むことは、ブロックチェーン１５０のすべてのアプリケーションにおいて必須ではない。より一般的には、スクリプト言語を使用して、任意の１つまたは複数の条件を定義することができる。したがって、より一般的な用語「ロックスクリプト」および「ロック解除スクリプト」が好まれ得る。

任意選択のサイドチャネル
図３は、ブロックチェーン１５０を実装するためのさらなるシステム１００を示す。システム１００は、追加の通信機能が含まれることを除いて、図１に関連して説明したものと実質的に同じである。アリスおよびボブのそれぞれのコンピュータ機器１０２ａ、１２０ｂ上のクライアントアプリケーションは、それぞれ、追加の通信機能を含む。すなわち、これは、（いずれかの当事者または第三者の指示で）アリス１０３ａがボブ１０３ｂとの別個のサイドチャネル３０１を確立することを可能にする。サイドチャネル３０１は、Ｐ２Ｐネットワークとは別でのデータの交換を可能にする。このような通信は、「オフチェーン」と呼ばれることがある。例えば、これは、当事者の一方がトランザクションをネットワーク１０６にブロードキャストすることを選択するまで、トランザクションが（まだ）ネットワークＰ２Ｐ１０６上に公開されたりチェーン１５０上に進んだりすることなくことなく、アリスとボブとの間でトランザクション１５２を交換するために使用され得る。代替的にまたは追加的に、サイドチャネル３０１は、鍵、交渉された額または条件、データコンテンツなどの任意の他のトランザクション関連データを交換するために使用され得る。

サイドチャネル３０１は、Ｐ２Ｐオーバーレイネットワーク１０６と同じパケット交換ネットワーク１０１を介して確立され得る。代替的にまたは追加的に、サイドチャネル３０１は、モバイルセルラーネットワークなどの異なるネットワーク、またはローカルワイヤレスネットワークなどのローカルエリアネットワーク、またはさらにはアリスのデバイス１０２１とボブのデバイス１０２ｂとの間の直接の有線またはワイヤレスリンクを介して確立され得る。一般に、本明細書のどこかで参照されるサイドチャネル３０１は、「オフチェーン」すなわちＰ２Ｐオーバーレイネットワーク１０６とは別でデータを交換するための１つまたは複数のネットワーキング技術または通信媒体を介した任意の１つまたは複数のリンクを含み得る。２つ以上のリンクが使用される場合、全体としてのオフチェーンリンクの束または集合は、サイドチャネル３０１と呼ばれ得る。したがって、アリスおよびボブがサイドチャネル３０１上で情報またはデータの特定の部分などを交換すると言われている場合、これは、これらのデータの部分のすべてが全く同じリンクまたは同じタイプのネットワーク上で送られなければならないことを必ずしも意味するものではないことに留意されたい。

ノードソフトウェア
図４は、ＵＴＸＯまたは出力ベースモデルの例において、Ｐ２Ｐネットワーク１０６の各ノード１０４上で実行されるノードソフトウェア４００の例を示す。ノードソフトウェア４００は、プロトコルエンジン４０１と、スクリプトエンジン４０２と、スタック４０３と、アプリケーションレベル決定エンジン４０４と、１つまたは複数のブロックチェーン関連機能モジュール４０５のセットとを含む。任意の所与のノード１０４において、これらは、マイニングモジュール４０５Ｍ、フォワーディングモジュール４０５Ｆ、および格納モジュール４０５Ｓ（ノードの１つまたは複数の役割に応じて）のうちのいずれか１つ、２つ、または３つすべてを含み得る。プロトコルエンジン４０１は、トランザクション１５２の異なるフィールドを認識し、ノードプロトコルにしたがってそれらを処理するように構成される。別の先行するトランザクション１５２ｍ－１（Ｔｘ_ｍ－１）の出力（例えば、ＵＴＸＯ）を指し示す入力を有するトランザクション１５２ｍ（Ｔｘ_ｍ）が受信されると、プロトコルエンジン４０１は、Ｔｘ_ｍ内のロック解除スクリプトを識別し、それをスクリプトエンジン４０２に渡す。プロトコルエンジン４０１はまた、Ｔｘ_ｍの入力内のポインタに基づいて、Ｔｘ_ｍ－１を識別し、取り出す。それは、Ｔｘ_ｍ－１がまだブロックチェーン１５０上にない場合には保留中のトランザクションのそれぞれのノード自体のプール１５４から、またはＴｘ_ｍ－１がすでにブロックチェーン１５０上にある場合にはそれぞれのノードまたは別のノード１０４に格納されたブロックチェーン１５０内のブロック１５１のコピーからＴｘ_ｍ－１を取り出し得る。いずれにしても、スクリプトエンジン４０１は、Ｔｘ_ｍ－１の指し示された出力におけるロックスクリプトを識別し、これをスクリプトエンジン４０２に渡す。

したがって、スクリプトエンジン４０２は、Ｔｘ_ｍ－１のロックスクリプトと、Ｔｘ_ｍの対応する入力からのロック解除スクリプトとを有する。例えば、Ｔｘ_１およびＴｘ_２が図４に示されているが、同じことが、Ｔｘ_０とＴｘ_１などの任意のペアのトランザクションにも当てはまる。スクリプトエンジン４０２は、前述したように２つのスクリプトを一緒に実行し、これは、使用されているスタックベーススクリプト言語（例えば、Script）にしたがって、スタック４０３上にデータを配置し、そこからデータを取り出すことを含む。

スクリプトを一緒に実行することによって、スクリプトエンジン４０２は、ロック解除スクリプトがロックスクリプトにおいて定義された１つまたは複数の基準を満たすかどうか、すなわち、ロックスクリプトが含まれる出力を「ロック解除」するかどうかを決定する。スクリプトエンジン４０２は、この決定の結果をプロトコルエンジン４０１に返す。スクリプトエンジン４０２は、ロック解除スクリプトが対応するロックスクリプトで指定されている１つまたは複数の基準を満たすと決定した場合、結果「真」を返す。そうでなければ、結果「偽」を返す。

出力ベースモデルでは、スクリプトエンジン４０２からの結果「真」は、トランザクションの有効性の条件のうちの１つである。典型的には、Ｔｘ_ｍの出力（複数可）で指定されているデジタル資産の総額が入力（複数可）によって指し示された総額を超えないこと、およびＴｘ_ｍ－１の指し示された出力が別の有効なトランザクションによってまだ使用されていないことなど、同様に満たされなければならないプロトコルエンジン４０１によって評価される１つまたは複数のさらなるプロトコルレベル条件も存在する。プロトコルエンジン４０１は、スクリプトエンジン４０２からの結果を１つまたは複数のプロトコルレベル条件と共に評価し、それらがすべて真である場合にのみ、トランザクションＴｘ_ｍを妥当性確認する。プロトコルエンジン４０１は、トランザクションが有効であるかどうかの指示をアプリケーションレベル決定エンジン４０４に出力する。Ｔｘ_ｍが実際に妥当性確認されるという条件でのみ、決定エンジン４０４は、Ｔｘ_ｍに関してそれぞれのブロックチェーン関連機能を実行するために、マイニングモジュール４０５Ｍおよびフォワーディングモジュール４０５Ｆの一方または両方を制御することを選択し得る。これは、マイニングモジュール４０５Ｍが、ブロック１５１にマイニングするためにＴｘ_ｍをノードのそれぞれのプール１５４に追加すること、および／またはフォワーディングモジュール４０５ＦがＴｘ_ｍをＰ２Ｐネットワーク１０６内の別のノード１０４にフォワードすることを含み得る。しかしながら、実施形態では、決定エンジン４０４は無効なトランザクションをフォワードまたはマイニングすることを選択しないが、これは、逆に、単に有効であるという理由で有効なトランザクションのマイニングまたはフォワードをトリガする義務があることを必ずしも意味するものではないことに留意されたい。任意選択で、実施形態では、決定エンジン４０４は、一方または両方の機能をトリガする前に、１つまたは複数の追加の条件を適用することができる。例えば、ノードがマイニングノード１０４Ｍである場合、決定エンジンは、トランザクションが有効であり、かつ十分なマイニング手数料を残しているという条件でのみトランザクションをマイニングすることを選択し得る。

本明細書における「真」および「偽」という用語は、単一の２進数（ビット）のみの形態で表される結果を返すことに必ずしも限定されないが、それは確かに１つの可能な実装形態であることにも留意されたい。より一般的には、「真」は、成功または肯定的な結果を示す任意の状態を指すことができ、「偽」は、不成功または非肯定的な結果を示す任意の状態を指すことができる。例えば、アカウントベースモデル（図４には図示せず）では、「真」の結果は、ノード１０４による署名の暗黙的な（プロトコルレベルの）妥当性確認と、スマートコントラクトの追加の肯定的な出力との組合せによって示され得る（個々の結果の両方が真である場合、全体の結果が真を示すとみなされる）。

予備的事項
公開鍵暗号化
公開鍵暗号（ＰＫＣ）は、機密性を提供する暗号化方式と、真正性および否認防止を提供するデジタル署名方式とを利用する。

公開鍵暗号化は、（特に、鍵を交換するためのプライベートチャネルがない場合）大きなグループ内のプレーヤの任意のペア間の秘密通信を可能にする。各プレーヤは、解読に使用される秘密の秘密鍵と、公開され、そのプレーヤに送られるメッセージを暗号化するために使用される対応する公開鍵という鍵のペアを有する。アリスというプレーヤの場合、アリスの秘密鍵は、ｓｋ_{Ａｌｉｃｅ}によって与えられ、アリスの公開鍵は、ＰＫ_{Ａｌｉｃｅ}によって与えられ得る。機密メッセージｍをアリスに送りたい任意のプレーヤは、アリスの公開鍵ＰＫ_{Ａｌｉｃｅ}を使用して、メッセージを暗号化し、暗号文ｃを作り出す。その暗号文は、ｓｋ_{Ａｌｉｃｅ}を使ってのみ平文に解読されることができるものでなければならない。
ｃ＝Ｅ（ｍ，ＰＫ_{Ａｌｉｃｅ}）
ｍ＝Ｄ（ｃ，ｓｋ_{Ａｌｉｃｅ}）

そのようなシステムを実現するために、暗号化には、落とし戸付き一方向関数（trapdoor one-way function）の使用が含まれるべきである。一方向関数とは、一方向ｘ→ｆ（ｘ）で計算することは容易であるが、逆ｆ（ｘ）→ｘは実行不可能である関数であり、すなわち、ｘが分かればｆ（ｘ）を見つけることは容易であるが、ｆ（ｘ）が分かってもｘを見つけることは計算上実行不可能である。一方、落とし戸付き一方向関数では、追加情報（落とし戸）の知識だけでもｘを見つけることが容易であるため、ｆ（ｘ，ｔｒａｐｄｏｏｒ）→ｘが実現可能である。一般に、実行不可能性は、計算的に困難であると考えられるよく研究された数学的問題に基づいている。

公開鍵暗号化より前では、秘密通信を提供するために対称鍵暗号化を使用していた。対称鍵暗号化では、通信を行う当事者は、メッセージの暗号化および解読の両方に使用される１つのシークレット鍵（secret key）を共有する。公開鍵暗号化は、非対称鍵暗号化としても知られている。公開鍵暗号化方式は、一般に、以下を含む：
・鍵生成
－アリスは、ランダムプールから秘密鍵ｓｋ_{Ａｌｉｃｅ}を生成する。
－アリスは、秘密鍵からアリスの公開鍵ＰＫ_{Ａｌｉｃｅ}を導出し、それをすべての当事者に公開する。
・暗号化
－任意の当事者メンバは、ＰＫ_{Ａｌｉｃｅ}を使用して、メッセージｍを暗号化する。
ｃ＝Ｅ（ｍ，ＰＫ_{Ａｌｉｃｅ}）
・解読
－メッセージを解読するために、アリスは、アリスの秘密鍵ｓｋ_{Ａｌｉｃｅ}，ｍ＝Ｄ（ｃ，ｓｋ_{Ａｌｉｃｅ}）を使用する。

公開鍵暗号化方式が安全であるためには、対称鍵暗号システムよりも多くの要件を満たす必要がある。これらの要件は、ＰＫ_{Ａｌｉｃｅ}からｓｋ_{Ａｌｉｃｅ}を導出することが計算的に実行不可能であるべきであることと、攻撃者が任意のｍについてｃを計算することができたとしても、所与のｃについてｍを知ることが計算的に実行不可能であるべきであることとを含む。

これらの追加の要件のために、安全で実用的な公開鍵暗号化方式を設計することは、対称鍵暗号化よりもはるかに困難である。一般に、公開鍵暗号化鍵は、同じレベルのセキュリティに達するために、対称鍵の数倍の大きさである。それに加えて、暗号化および解読アルゴリズムは、対称暗号システムのものよりも遅い。実際のシステムでは、データを暗号化するために対称鍵暗号化が使用され、使用される対称鍵を交換するために最初に公開鍵暗号化が使用される。

デジタル署名
落とし戸付き一方向関数を使用して、デジタル署名方式を構築することができる。デジタル署名設定では、各プレーヤは、署名に使用される自身の秘密の秘密鍵と、検証に使用される対応する公開鍵とを有する。デジタル署名方式は以下を含む：
・鍵生成
－アリスは、ランダムプールから秘密鍵ｓｋ_{Ａｌｉｃｅ}を生成する。
－アリスは、秘密鍵からアリスの公開鍵ＰＫ_{Ａｌｉｃｅ}を導出し、それをすべての当事者に公開する。
・署名
－アリスは、アリスの秘密鍵ｓｋ_{Ａｌｉｃｅ}を使用してメッセージｍに署名し、署名ｓを取得する、
ｓ＝Ｓｉｇｎ（ｍ，ｓｋ_{Ａｌｉｃｅ}）
・署名の検証
－任意の当事者は、以下を実行することによって署名を妥当性確認することができる：
Ｖｅｒｉｆｙ（ｍ，ｓ，ＰＫ_{Ａｌｉｃｅ}）

上記システムは、真正性、否認防止、および完全性を提供することに留意されたい。これは、秘密鍵の所有者以外は、メッセージを選択してそれに署名し、対応する公開鍵にリンクされた署名を作り出すことができないからである。ｍまたはｓが変更されると妥当性確認が失敗に終わるので、システムは完全性を提供する。

公開鍵インフラストラクチャ（ＰＫＩ）
ＰＫＣは、対称鍵設定における秘密共有の問題を大幅に解決した。しかしながら、アリスの公開鍵がアリスに属することをどのように保証するかという問題が残っている。それが不注意に破壊されるか、または任意の悪意のあるプレーヤがアリスの公開鍵を自身の公開鍵で置き換えることができた場合、任意の悪意のあるプレーヤは、悪意のあるプレーヤの公開鍵によって暗号化されたアリスに宛てのすべてのメッセージを解読することができる。さらに、一般に、ＰＫ_{Ａｌｉｃｅ}は、少なくとも５００ビットのランダムに見える文字列であるので、任意の他のプレーヤがアリスの実際の鍵と悪意のあるプレーヤの鍵とを区別する容易な方法はない。

この問題は、デジタル証明書およびＰＫＩを使用して部分的に回避することができる。デジタル証明書は、アリスの公開鍵およびアリスの識別子を含むメッセージを主に含む。これらのフィールドのハッシュは、認証局（ＣＡ）によって署名される。認証局は、信頼できる第三者機関であり、その公開鍵は、すべての当事者メンバによって知られており、完全に信頼される。したがって、任意の当事者メンバは、証明書が実際にＣＡによって署名されていることを容易に妥当性確認することができる。ＣＡは、アリスの公開鍵が実際にアリスに属していることを保証する責任を負う。アリスが、既知のＣＡからの証明書を使用してアリスの公開鍵を証明することができる場合、アリスは、アリスの公開鍵を使用して、暗号化されたメッセージを受信することができ、または他のプレーヤに証明書を発行することさえできる。

実際のシステムの場合、グループのすべてのメンバが公開鍵を知ることができる単一の認証局が存在する。このＣＡは、他のＣＡに証明書を提供することができ、他のＣＡは、他のプレーヤに証明書を発行することができる。一例として、ウェブブラウザは、多数のＣＡの予めインストールされた証明書を有する。これらの証明書のいずれも、任意のｈｔｔｐｓサーバに対するroot of trustとして機能することができる。サーバによって提供された証明書がＣＡに対する有効なroot of trustを有さない場合、ブラウザは、訪問したｈｔｔｐｓサーバに証明書が属することを検証できないことをユーザに警告することができる。

証明書の既知の規格は、Ｘ．５０９と呼ばれる。これは以下のフィールドを含む：
・ バージョン
・ 有効期間（いつから有効かおよびいつまで有効か）
・ 証明書のイシュア
・ 公開鍵のタイプ、長さおよび値
・ 使用法（例えば、この証明書を使用して他の証明書に署名することができるか）
・ ハッシュタイプおよび値など
・ 対象

アイデンティティ（ＩＤ）ベース暗号化（ＩＢＥ）
ＩＤベース暗号化自体は、８０年台初頭に提案された。ＩＢＥ方式は、暗号化鍵が電子メールまたは携帯電話番号などの任意の文字列である公開鍵暗号化方式である。そのようなシステムでは、暗号化されたメッセージをアリスに送るためにはアリスの電子メールアドレスを知っていれば十分である。認証局またはアリスの公開鍵を取得するためのアリスとの事前通信の必要はない。

典型的なＩＢＥシステムは、一般に「秘密鍵生成局」（ＰＫＧ）と呼ばれる信頼できる第三者機関を依然として有していなければならない。ＩＢＥ方式は、以下のアルゴリズムを利用する：
・マスタ鍵生成
－ＰＫＧは、ランダムプールからマスタ秘密鍵ｓｋ_{ｍａｓｔｅｒ}を生成する。
－ＰＫＧは、秘密鍵からそれ自体の公開鍵ＰＫ_{ｍａｓｔｅｒ}を導出し、ＰＫ_{ｍａｓｔｅｒ}をすべての当事者に公開する。
・加入者鍵生成
－アリスは、アリスの公開鍵（例えば、アリスの電子メールアドレス、携帯電話番号など）ＩＤ_{Ａｌｉｃｅ}を選択し、ＰＫＧからの秘密鍵（すなわち、復号鍵）を要求する。
－ＰＫＧは、マスタ秘密鍵ｓｋ_{ｍａｓｔｅｒ}およびアリスの公開鍵ＩＤ_{Ａｌｉｃｅ}からアリスの秘密鍵ｓｋ_{Ａｌｉｃｅ}を生成し、ｓｋ_{Ａｌｉｃｅ}を安全なチャネルを通してアリスに送る。
・暗号化
－メッセージｍをアリスと安全に通信することを望む任意の当事者は、以下を使用して、アリスの公開鍵ＩＤ_{Ａｌｉｃｅ}を使用することができる：
ｃ＝Ｅ（ｍ，ＩＤ_{Ａｌｉｃｅ}）
・解読
－アリスは、アリスの秘密鍵ｓｋ_{Ａｌｉｃｅ}を使用してメッセージを解読する。
ｍ＝Ｄ（ｃ，ｓｋ_{Ａｌｉｃｅ}）

ＩＢＥでは、ＰＫＧは、すべてのユーザのすべての秘密鍵を知っている。特定のアプリケーションでは、これは許容可能であり得る。例えば、会社は、ＩＢＥを使用してその従業員に機密性を確保することができ、従業員の秘密鍵を制御することによって、従業員の暗号化されたデータへのアクセス、アクセスの委任または取り消しができることを望むであろう。

２つ以上のＰＫＧを有するＩＢＥを設計することも可能である。すべてのＰＫＧが共謀してアリスの秘密鍵を明らかにしない限り、アリスは、自身の復号鍵を所有する唯一の者である。システムは、少なくとも１つの正直なＰＫＧを必要とする。

安全な通信アプリケーションでは、対称暗号化システムの鍵を交換するためにＩＢＥが使用される。緊急サービスによる使用など、高速呼設定が必要とされるアプリケーションではＩＢＥを使用することが提案されている。

上記のＩＢＥアルゴリズムが示すように、秘密鍵ｓｋ_{Ａｌｉｃｅ}は、信頼できる第三者機関であるＰＫＧによって計算され、ユーザに渡される。ＰＫＧが後で秘密鍵を使用しないという保証はない。ＰＫＧが完全に信頼されると仮定しても、攻撃者の観点からは、ＰＫＧは、セキュリティチェーン上の単一の障害点として依然として機能する。したがって、鍵エスクローをＩＢＥから除去することができれば、そのようなＩＢＥシステムのセキュリティ脆弱性を、利益を失うことなく低減することができる。

双線型写像
Ｇ_１およびＧ_２を、ある大きな素数ｑに対する位数ｑの２つの群とする。Boneh-Franklin ＩＢＥ方式（ＢＦ－ＩＢＥ）は、これら２つの群間の双線型写像ｅ：Ｇ_１×Ｇ_１→Ｇ_２を使用する。写像は、以下の特性を満たさなければならない：
１． 双線型であること：すべてのＰ，Ｑ∈Ｇ_１およびすべての

について
ｅ（ａＰ，ｂＱ）＝ｅ（Ｐ，Ｑ）^ａｂ
である場合、写像ｅ：Ｇ_１×Ｇ_１→Ｇ_２は、双線型である。
２． 非退化であること：写像は、Ｇ_１×Ｇ_１内のすべてのペアをＧ_２内の単位元（identity）に送るものではない。Ｇ_１、Ｇ_２は素数位数の群であるので、これは、ＰがＧ_１の生成元である場合、ｅ（Ｐ，Ｐ）がＧ_２の生成元であることを意味することに留意されたい。
３． 計算可能であること：任意のＰ，Ｑ∈Ｇ_１についてｅ（Ｐ，Ｑ）を計算する効率的なアルゴリズムが存在する。

上記の特性を満たす任意の双線型写像について、Ｇ_１における離散対数問題は、Ｇ_２における離散対数問題よりも困難ではない。ＢＦ－ＩＢＥでは、Ｇ_１は、楕円曲線Ｅ／Ｆ_ｐの点の加法群の部分群である。群Ｇ_２は、有限体

の乗法群の部分群である。

Boneh-Franklin ＩＢＥ
以下では、単一の信頼できる第三者機関（ＴＴＰ）がＰＫＧとして機能するＢＦ－ＩＢＥ方式について説明する。以下のパラメータがＰＫＧによって使用されると仮定する：
１． 素数位数ｑの群のペア（Ｇ_１，Ｇ_２）
２． 双線型ペアリングｅ：Ｇ_１×Ｇ_１→Ｇ_２
３． 生成点Ｐ∈Ｇ_１
４． ４つのハッシュ関数：

｛０，１｝^＊は任意の長さのバイナリ列を示し、｛０，１｝^ｎは長さｎのバイナリ列を示し、

は単位元のないＧ_１であることに留意されたい。したがって、Ｈ_１は、｛０，１｝^＊を入力として取り、

の元（element）を出力する任意の関数である。Ｈ_３は、それぞれ長さｎのバイナリ列のペアを

の元に写像する関数である。

は、Ｚ_ｑ＼｛０｝内の元からなる、すなわち加法単位元を含まない、位数ｑの乗法群である。

・セットアップ［アルゴリズム１Ａ］
ＰＫＧは、このアルゴリズムを１回実行する：

ｓは、マスタ秘密であり、ＰＫＧのみが知っているべきであり、高い品質のランダム性を有する。ｓは、暗号的に安全な擬似乱ジェネレータ（ＣＳＰＲＧ）を使用して取得され得る。

・鍵生成［アルゴリズム２Ａ］
ユーザのアイデンティティＩＤ_Ａが与えられると、ＰＫＧは、シークレット鍵ｓを使用してこのアルゴリズムを実行する。
１． Ｇ_１における点であるＱ_Ａ＝Ｈ_１（ＩＤ_Ａ）を計算する。
２． Ｄ_Ａ＝ｓ・Ｑ_Ａを返す。
３． ＰＫＧは、安全なチャネル上でＤ_Ａをユーザに送る。
４． ユーザの公開鍵はＩＤ_Ａである。
５． ユーザの秘密鍵はＤ_Ａである。

・暗号化［アルゴリズム３Ａ］
メッセージｍ∈｛０，１｝^ｎを暗号化するためにアイデンティティＩＤ_ＡとＰＫＧの公開鍵Ｐ_ｐｕｂとが与えられると、誰でも以下を実行することができる：
１． Ｑ_Ａ＝Ｈ_１（ＩＤ_Ａ）を計算する。
２． ｎビットの乱数σを選ぶ。
３． ｒ＝Ｈ_３（σ，ｍ）を計算する。
４． 暗号文ｃを、以下のトリプレット（Ｕ，Ｖ，Ｗ）として計算する：

・解読［アルゴリズム４Ａ］
暗号文ｃ＝（Ｕ，Ｖ，Ｗ）を解読するために、ユーザは、ユーザの秘密鍵Ｄ_Ａ、および以下のアルゴリズムを使用する：

ユーザの秘密鍵を更新することは、ユーザの公開鍵も更新されるべきであることを意味する。公開鍵は定数文字列ＩＤ（電子メール、モバイル番号）であると予想されるので、各ユーザについて、識別子定数文字列と変数文字列との連結として公開鍵を有することによって、鍵更新を達成することができる。変数文字列は、有効期間、例えばタイムスタンプを表し得る。

マルチＰＫＧ Boneh-Franklin ＩＢＥ
上記のＩＢＥ方式は、２つ以上のＰＫＧを有するように一般化することができ、必要とされる信頼がいくつかのＰＫＧにわたって分散されることを可能にするため、個々のＰＫＧへの依存を低減する。また、ユーザ（すなわち、アイデンティティの所有者）もＰＫＧグループの一部として含まれるため、鍵エスクローの問題が取り除かれる。

以下のパラメータがＰＫＧによって使用されると仮定する：
１． 素数位数ｑの群のペア（Ｇ_１，Ｇ_２）
２． 双線型ペアリングｅ：Ｇ_１×Ｇ_１→Ｇ_２
３． 生成点Ｐ∈Ｇ_１
４． ４つのハッシュ関数

・セットアップ［アルゴリズム１Ｂ］
各ＰＫＧは、このアルゴリズムを独立して１回実行する：

・鍵生成［アルゴリズム２Ｂ］
ユーザのアイデンティティＩＤ_Ａが与えられると、各ＰＫＧは、その部分シークレット鍵ｓ_ｉを使用して独立してこのアルゴリズムを実行する：
１． Ｇ_１における点であるＱ_Ａ＝Ｈ_１（ＩＤ_Ａ）を計算する。
２． 安全なチャネル上でＤ_ｉＡ＝ｓ_ｉ・Ｑ_ＡをＩＤ_Ａの所有者に返す。

ユーザが各ＰＫＧからＤ_ｉＡを受信すると、ユーザは以下のアルゴリズムを実行する：

・暗号化［アルゴリズム３Ｂ］
アイデンティティＩＤ_Ａと公開鍵（Ｘ_Ａ，Ｙ_Ａ）とが与えられると、メッセージを暗号化する前に、この等式をチェックすることによって、部分公開鍵を検証することができる：

この等式は、ユーザの公開鍵とＰＫＧの公開鍵との間の依存関係をチェックし、すなわち、どのＰＫＧパラメータがアリスによって使用されているかを検証する。しかしながら、これは、ＩＤ_Ａおよび（Ｘ_Ａ，Ｙ_Ａ）の両方がアリスに属することを検証しない。

完全なＩＤベース公開鍵（ＩＤ_Ａ，Ｘ_Ａ，Ｙ_Ａ）を用いてメッセージｍを暗号化するために、ＩＤ_ＡおよびＹ_Ａの両方は、以下のアルゴリズムを実行する必要がある：
１． Ｑ_Ａ＝Ｈ_１（ＩＤ_Ａ）を計算する。
２． ｎビットの乱数σを選ぶ。
３． ｒ＝Ｈ_３（σ，ｍ）を計算する。
４． 暗号文ｃ＝（Ｕ，Ｖ，Ｗ）を、以下のトリプレットとして計算する：

通常、ＰＫＩでは、ユーザの公開鍵はＣＡによって署名され、この場合、ユーザの公開鍵の検証は、本質的に、ＣＡによって署名されたデジタル署名の検証である。この場合、検証は、２つの双線型ペアリングおよび１つの等式チェックである。さらに、ユーザは自身の秘密値を生成することができるので、トレードオフとして、自身のアイデンティティＩＤ_Ａに加えて公開鍵（Ｘ_Ａ，Ｙ_Ａ）を導入しなければならない。異なるシナリオによっては、このトレードオフは、鍵エスクロー問題、すなわち信頼の問題を解決するので、重大であり得る。

Ｘ_Ａおよび

は暗号化アルゴリズムにおいて使用されないことにも留意されたい。それらは、代わりに、Ｘ_ＡおよびＹ_Ａが同じ信頼できるＰＫＧパラメータから生成されることをチェックする際に使用される。盗聴者（「イブ」）がアリスと名乗り、同じＰＫＧに加入した後に得た（Ｘ_Ｅ，Ｙ_Ｅ）をボブに送った場合、盗聴者はこのチェックにパスするが、ボブによって使用されたＱ_Ａにより解読は失敗することに留意されたい。イブは、ＰＫＧパラメータ、特に

を変更することができれば、アリスに成りすますことに成功することができるが、本開示では、すべての当事者が、ＰＫＧパラメータを取得し、それらの真正性および完全性を安全な方法でチェックすることができると仮定する。したがって、イブは、この攻撃に成功させることはできないであろう。

ユーザをＰＫＧとして有する場合、安全なシステムにはアリスと単一のＰＫＧを有すれば十分である。すなわち、一方の鍵シェアはＰＫＧによって生成され、他方の鍵シェアはユーザによって生成される。

・解読［アルゴリズム４Ｂ］
暗号文ｃ＝（Ｕ，Ｖ，Ｗ）を解読するために、秘密鍵ｓ_Ａは、以下のアルゴリズムを実行する必要がある：

解読に成功した場合、暗号化の場合と同様に、σ'＝σ、ｍ'＝ｍ、およびｒ'＝ｒであることに留意されたい。

アイデンティティ（ＩＤ）ベース公開鍵生成プロトコル
本開示の実施形態は、ＩＤベース公開鍵生成プロトコル、または同等に、ＩＤベース暗号化鍵生成プロトコルを提供する。具体的には、ＩＤベース公開鍵／暗号化鍵は、ユーザについて、そのユーザの個人識別子に基づいて生成されるため、鍵がユーザのアイデンティティに結び付けられる。個人識別子は、名前および／または住所、電子メールアドレス、電話番号、パスポート番号、運転免許証番号、国民保険番号、ソーシャルメディアのプロフィール、生年月日などのうちの１つまたは複数を含み得る。個人識別子はまた、例えば警察官のような特定のグループのメンバであること、または例えばＨＲのような特定の部門で働いていること、または特定のプロジェクトで働いていること、またはセキュリティクリアランスを有していることといった属性であり得る。グループのメンバである例では、他の識別子または属性も使用されない限り、グループの任意のメンバが、ＩＤベース公開鍵を用いて暗号化されたメッセージを解読することができ得ることに留意されたい。例えば、同一グループの各メンバは、ＩＤベース公開鍵に対応する秘密鍵へのアクセスを与えられる可能性がある。

図５は、本開示の実施形態を実装するための例示的なシステム５００を示す。例示的なシステムは、ユーザ（アリス）１０３ａと、鍵生成器５０１と、Ｐ２Ｐブロックチェーンノード１０６のネットワークとを備える。いくつかの実施形態では、システム５００は、複数の鍵生成器５０１を備え得る。好ましくは、１つ、いくつか、またはすべての鍵生成器５０１は、アリス１０３ａに対してアイデンティティ検証チェックを実行するように構成され、これは、鍵生成器５０１が、アリス１０３ａに属するものとして識別子を検証できることを意味する。例えば、鍵生成器は、ＫＹＣ（know your customer）プロトコルの一部としてアイデンティティチェックを実行し得る。

アリス１０３ａのコンピュータ機器およびブロックチェーンノード１０４は、図１～図４を参照して上述されているので、ここではさらに詳細に説明されない。秘密鍵生成局（ＰＫＧ）とも呼ばれる各鍵生成器５０１は、それぞれのコンピュータ機器を備える。各ＰＫＧ５０１のコンピュータ機器は、１つまたは複数のプロセッサ、例えば、１つまたは複数のＣＰＵ、ＧＰＵ、他のアクセラレータプロセッサ、特定用途向けプロセッサ、および／またはＦＰＧＡを備えるそれぞれの処理装置を備える。各ＰＫＧ５０１のコンピュータ機器は、メモリ、すなわち１つまたは複数の非一時的コンピュータ可読媒体の形態でコンピュータ可読ストレージをさらに備える。このメモリは、１つまたは複数のメモリ媒体、例えばハードディスクなどの磁気媒体、ＳＳＤ、フラッシュメモリまたはＥＥＰＲＯＭなどの電子媒体、および／または光ディスクドライブなどの光学媒体を用いる１つまたは複数のメモリユニットを備え得る。各ＰＫＧ５０１のコンピュータ機器上のメモリは、処理装置上で実行するように構成された少なくとも１つのクライアントアプリケーションのそれぞれのインスタンスを含むソフトウェアを格納する。本明細書において所与のＰＫＧ５０１に帰する任意のアクションは、それぞれのコンピュータ機器の処理装置上で実行されるソフトウェアを使用して実行され得ることが理解されよう。所与のＰＫＧ５０１のコンピュータ機器は、少なくとも１つのユーザ端末、例えば、デスクトップもしくはラップトップコンピュータ、タブレット、スマートフォン、またはスマートウォッチなどのウェアラブルデバイスを含み得る。追加的に、または代替的に、所与のＰＫＧ５０１のコンピュータ機器は、１つまたは複数の物理サーバユニットを含むサーバ、またはさらにはデータセンタ全体を含み得る。所与のＰＫＧ５０１のコンピュータ機器は、ユーザ端末を介してアクセスされるクラウドコンピューティングリソースなど、１つまたは複数の他のネットワーク化されたリソースを含むこともできる。

いくつかの例では、ＰＫＧのうちの１つ、いくつか、またはすべては、マイニングノード１０４Ｍであってもよく、その場合、それらのＰＫＧのコンピュータ機器は、上述したようなマイニングノード１０４Ｍのコンピュータ機器である。

図５に示される例では、アリス１０３ａは識別子ＩＤ_ＡをＰＫＧ５０１に送信する。アリス１０３ａは、有線またはワイヤレス接続を介して、例えば、図３を参照して説明されるような安全なチャネル３０１を介して、識別子をＰＫＧ５０１に直接送信し得る。アリス１０３ａは、代わりに、例えばＰＫＧ５０１のアドレスに支払い可能なブロックチェーントランザクションを介して、識別子ＩＤ_ＡをＰＫＧ５０１に送信してもよい。例えば、アリス１０３ａは、識別子ＩＤ_Ａを含む（使用可能または使用不可能な）出力を有するブロックチェーントランザクションを生成してもよい。識別子ＩＤ_ＡがすでにＰＫＧ５０１に知られている場合、アリス１０３ａは識別子を送る必要がない。例えば、アリスの識別子ＩＤ_Ａは公に知られていてもよい。

ＰＫＧ５０１は、識別子ＩＤ_Ａに基づいて秘密鍵シェアＤ_ｉＡを生成し、すなわち、秘密鍵シェアＤ_ｉＡは識別子ＩＤ_Ａの関数である。ＰＫＧ５０１は、秘密鍵シェアＤ_ｉＡを、例えば安全なチャネルを介して、例えばアリス１０３ａのアドレスに対して支払い可能なブロックチェーントランザクションを介して、または代替的な方法を介してアリスに送信することができる。秘密鍵シェアＤ_ｉＡは、暗号化された形式で送られてもよい。例えば、アリス１０３ａは、例えばＰＫＧ５０１に知られている公開鍵（「第１の公開鍵」）を有し得る。アリスは、ブロックチェーンネットワーク上のアドレスの基礎として使用するための第１の公開鍵を有し得る。第１の公開鍵は、証明された公開鍵であり得、例えば、ＰＫＧ５０１によって、または別個の認証局によって証明され得る。

いくつかの例では、アリス１０３ａはまた、ＰＫＧ５０１と同じプロトコルを使用して、アリス自身のそれぞれの秘密鍵シェアＤ_ｉＡを生成し得る。ここで、同じプロトコルとは、異なる秘密鍵シェアを生成するために１つまたは複数の異なる変数を含む同じアルゴリズムを意味する。

一例として、ＰＫＧ５０１およびアリス１０３ａは、上述のアルゴリズム、特にアルゴリズム１Ｂおよびアルゴリズム２Ｂを使用して、それぞれの秘密鍵シェアを生成し得る。

アリス１０３ａが秘密鍵シェアＤ_ｉＡのセットを取得すると（例えば、受信し、任意選択で生成すると）、アリス１０３ａは、ＩＤベース秘密鍵ｓ_Ａを生成する。ＩＤベース秘密鍵ｓ_Ａは、秘密鍵シェアＤ_ｉＡのセットに基づいて生成され、すなわち、ＩＤベース秘密鍵ｓ_Ａは、秘密鍵シェアＤ_ｉＡのセットの関数である。アリス１０３ａは、上述した鍵生成アルゴリズム、すなわちアルゴリズム２Ｂを使用して、ＩＤベース秘密鍵ｓ_Ａを生成し得る。

アリス１０３ａはまた、部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）を生成する。ＩＤベース秘密鍵ｓ_Ａに対応しない、すなわち、ＩＤベース秘密鍵ｓ_Ａは、部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）を用いて暗号化されたメッセージを解読しないという意味でこの鍵は部分的である。アリスは、上述した鍵生成、すなわちアルゴリズム２Ｂを使用して、部分ＩＤベース公開鍵を生成し得る。部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）は、秘密鍵シェアＤ_ｉＡのセットに対応する公開鍵シェアＰ_ｉのセットに基づいて生成される（すなわち、その関数である）。ここで、各公開鍵シェアＰ_ｉは、公開鍵シェアＰ_ｉがそれぞれの秘密鍵シェアＤ_ｉＡに基づいて生成される、すなわち、公開鍵シェアＰ_ｉが秘密鍵シェアＤ_ｉＡの関数であるという意味で、それぞれの秘密鍵シェアＤ_ｉＡに対応する。

アリス１０３ａは、部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）を、例えば安全なチャネルを介して、例えばＰＫＧ５０１のアドレスに支払い可能なブロックチェーントランザクションを介して、または代替手段を介して、ＰＫＧ５０１に送信し得る。その場合、ＰＫＧ５０１は、（完全な）ＩＤベース公開鍵ＰＫ_Ａを生成する。ＩＤベース公開鍵ＰＫ_Ａは、識別子ＩＤ_Ａおよび部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）に基づく（すなわち、それらの関数である）。追加的または代替的に、アリス１０３ａ自身が、ＩＤベース公開鍵ＰＫ_Ａを生成してもよい。好ましくは、ＰＫＧ５０１は、アリス１０３ａおよびアリスの識別子ＩＤ_Ａに対してアイデンティティ検証チェックを実行することができ、この場合、アイデンティティ確認チェックが成功したと仮定すると、ＰＫＧ５０１がＩＤベース公開鍵ＰＫ_Ａを生成することが好ましい。

ＩＤベース公開鍵ＰＫ_Ａが生成されると、アリス１０３ａおよび／またはＰＫＧ５０１は、ＩＤベース公開鍵ＰＫ_Ａを含む出力を含むブロックチェーントランザクションを生成する。出力は、使用可能な出力、例えば、pay-to-public-key-hash（Ｐ２ＰＫＨ）出力であってもよく、または使用不可能な出力、例えば、ＯＰ＿ＲＥＴＵＲＮ出力であってもよい。好ましくは、ＰＫＧ５０１は、他の当事者が、アリスのＩＤベース公開鍵ＰＫ_Ａを使用するときにＰＫＧのアイデンティティ検証チェックに依存できるようにブロックチェーントランザクションを生成する。

ブロックチェーントランザクション（以下、「有効性チェックトランザクション」と呼ぶ）Ｔｘ_ＶＣＴは、ブロックチェーン１５０に含まれるために、ブロックチェーンネットワーク１０６の１つまたは複数のノードに送られる。好ましくは、ＰＫＧ５０１は、有効性チェックトランザクションＴｘ_ＶＣＴをブロックチェーンネットワーク１０６に送信する。代替的に、アリス１０３ａが、有効性チェックトランザクションＴｘ_ＶＣＴをブロックチェーンネットワーク１０６に送信してもよい。有効性チェックトランザクションＴｘ_ＶＣＴを生成し送信する当事者は、有効性チェックトランザクションＴｘ_ＶＣＴをブロックチェーンネットワーク１０６に送信する当事者と同じであってもよく、同じでなくてもよい。例えば、アリス１０３ａがＴｘ_ＶＣＴを生成し、次いで、ブロックチェーンネットワーク５０１への送信のためにそれをＰＫＧ５０１に転送し得る。

ＰＫＧ５０１がＩＤベース公開鍵ＰＫ_Ａを生成する例では、ＰＫＧ５０１は、ＩＤベース公開鍵ＰＫ_Ａおよび／または有効性チェックトランザクションＴｘ_ＶＣＴを、例えば安全なチャネル上でアリス１０３ａに直接送信し得る。ＩＤベース公開鍵ＰＫ_Ａは、暗号化された形式で、例えばアリスの第１の公開鍵を用いて暗号化されて送られ得る。

アリス１０３ａは、例えば暗号化鍵として使用するために、例えばＰＫＧ５０１から、またはブロックチェーン１５０から、ＩＤベース公開鍵ＰＫ_Ａを取得し得る。ＩＤベース公開鍵ＰＫ_Ａの使用については後述する。ＰＫＧ５０１は、アリスがブロックチェーン１５０上の有効性チェックトランザクションＴｘ_ＶＣＴを容易に識別することができるように、有効性チェックトランザクションＴｘ_ＶＣＴのトランザクション識別子ＴｘＩＤ_ＶＣＴをアリス１０３ａに送信し得る。

アリス１０３ａおよび／またはＰＫＧ５０１は、ブロックチェーントランザクション（以下ではパラメータトランザクションと呼ぶ）Ｔｘ_ｐａｒを生成し得る。Ｔｘ_ｐａｒは、ＩＤベース公開鍵ＰＫ_Ａを生成するために使用されるパラメータ、例えばアルゴリズム１Ｂおよび２Ｂのパラメータを含む。秘密鍵およびシークレット鍵は、パラメータトランザクションＴｘ_ｐａｒに含まれない。パラメータトランザクションＴｘ_ｐａｒは、アリス１０３ａおよび／またはＰＫＧ５０１によってブロックチェーンネットワーク１０６に送信される。パラメータトランザクションＴｘ_ｐａｒは、有効性チェックトランザクションＴｘ_ＶＣＴと同じトランザクションであっても同じでなくてもよく、パラメータトランザクションＴｘ_ｐａｒを生成する当事者は、有効性チェックトランザクションＴｘ_ＶＣＴを生成する当事者と同じであっても同じでなくてもよい。パラメータは、第三者がＩＤベース公開鍵ＰＫ_Ａを検証し、ＩＤベース公開鍵ＰＫ_Ａを使用してメッセージを暗号化することを可能にする。パラメータはまた、アリス１０３ａが、ＩＤベース公開鍵ＰＫ_Ａを使用して暗号化されているメッセージを解読することを可能にする。パラメータは、ブロックチェーン１５０を使用せずに公開され得る。例えば、パラメータは、アリス１０３ａおよび／またはＰＫＧ５０１によって（ホストされた）ウェブサイト上で公開されてもよい。パラメータを公開するのではなく、それらが、要求に応じて当事者に送ってもよい。

パラメータトランザクションＴｘ_ｐａｒおよび有効性チェックトランザクションＴｘ_ＶＣＴが異なるトランザクションである場合、パラメータトランザクションＴｘ_ｐａｒは、例えば、アリス１０３ａまたは第三者が、有効性チェックトランザクションＴｘ_ＶＣＴに記憶されたＩＤベース公開鍵ＰＫ_Ａを識別することができるように、有効性チェックトランザクションＴｘ_ＶＣＴのトランザクション識別子ＴｘＩＤ_ＶＣＴを含み得る。

ＰＫＧ５０１がマイニングノード１０４Ｍである例では、パラメータトランザクションＴｘ_ｐａｒは、生成トランザクション（当技術分野ではコインベーストランザクションとしても知られている）であってもよい。生成トランザクションについては上で説明している。これらの例では、パラメータトランザクションＴｘ_ｐａｒをブロックチェーンネットワーク１０６に送ることは、パラメータトランザクションＴｘ_ｐａｒを含む新しいブロック１５１をマイニングすることを意味する。マイニングノード１０４Ｍのみが、ブロックマイニングプロセスの一部として生成トランザクションを生成することができる。ブロックをマイニングするには、プルーフオブワークが必要であり、これは、本質的に計算コストの高いプロセスである。したがって、パラメータを含む生成トランザクションを有するブロックをマイニングするために必要なプルーフオブワークを投入する（put in）マイニングノード１０４Ｍは、これがマイニングノードにとってコストのかかるプロセスであるため、不正確なパラメータを含めないことが想定される。

有効性チェックトランザクションＴｘ_ＶＣＴは、アリス１０３ａの公開鍵または公開鍵アドレス、例えばアリスの第１の公開鍵にロックされた使用可能な出力を含み得る。例えば、出力はＰ２ＰＫＨ出力であってもよい。Ｐ２ＰＫＨ出力が使用トランザクションの入力によってロック解除されるためには、使用トランザクションの入力は、必ずしもこの順序である必要はないが、Ｐ２ＰＫＨ出力内のＰ２ＰＫＨにハッシュする公開鍵と、その公開鍵を使用して生成された署名とを含んでいなければならない。出力は、使用トランザクションの入力に１つまたは複数の追加の要件を課し得る。

代替的に、有効性チェックトランザクションＴｘ_ＶＣＴは、ＰＫＧ５０１の公開鍵または公開鍵アドレスにロックされた使用可能な出力を含み得る。例えば、出力は、ＰＫＧ５０１の公開鍵に支払い可能なＰ２ＰＫＨ出力であってもよい。

別の代替として、有効性チェックトランザクションＴｘ_ＶＣＴは、アリス１０３ａの公開鍵およびＰＫＧ５０１の公開鍵にロックされた使用可能な出力を含み得る。出力スクリプトによっては、使用トランザクションの入力がアリスの公開鍵および／または署名を含む場合に出力がロック解除され得、または使用トランザクションの入力がＰＫＧ５０１の公開鍵を含む場合に出力がロック解除され得、または使用トランザクションの入力が２つの公開鍵（１つはアリス１０３ａから、１つはＰＫＧ５０１から）および／または２つの署名（１つはアリス１０３ａから、１つはＰＫＧ５０１から）を含む場合に出力がロック解除され得る。例えば、出力は、使用トランザクションの入力が、multi-sig出力においてｎ個の公開鍵に対応するｍ個の署名を含む場合にロック解除され得るm-of-n multi-sig出力であってもよい。

いくつかの例では、有効性チェックトランザクションＴｘ_ＶＣＴの使用可能な出力は、ＩＤベース公開鍵ＰＫ_Ａを含み得る。代替的に、有効性チェックトランザクションＴｘ_ＶＣＴは、２つの出力を含み得、１つは使用可能な出力であり、もう１つはＩＤベース公開鍵ＰＫ_Ａを含む使用不可能な出力である。

有効性チェックトランザクションＴｘ_ＶＣＴの使用可能な出力がアリス１０３ａ（つまりより正確にはアリスの公開鍵または公開鍵アドレス）にロックされている場合、アリス１０３ａは、有効性チェックトランザクションＴｘ_ＶＣＴのその出力を使用する失効トランザクションＴｘ_ｒｅｖを生成し得る。ブロックチェーンに送信されると、失効トランザクションＴｘ_ｒｅｖは、ブロックチェーン１５０の未使用トランザクション出力（ＵＴＸＯ）セットから、ＩＤベース公開鍵ＰＫ_Ａを含む有効性チェックトランザクションＴｘ_ＶＣＴの出力を除去する。同様に、有効性チェックトランザクションＴｘ_ＶＣＴの使用可能な出力がＰＫＧ５０１（つまりより正確にはＰＫＧ５０１の公開鍵または公開鍵アドレス）にロックされている場合、ＰＫＧ５０１は、有効性チェックトランザクションＴｘ_ＶＣＴのその出力を使用する失効トランザクションＴｘ_ｒｅｖを生成し得る。

上述したように、アリスのＩＤベース公開鍵ＰＫ_Ａは、メッセージを暗号化するために使用され得る。その意味で、ＩＤベース公開鍵ＰＫ_Ａは、ＩＤベース暗号化鍵として使用される。これらの用語は同義語であるが、一貫性のために、鍵は、以下の全体を通してＩＤベース公開鍵ＰＫ_Ａと呼ばれる。

いくつかの例では、アリス１０３ａ自身が、ＩＤベース公開鍵ＰＫ_Ａを使用して、メッセージを暗号化し得る。例えば、アリス１０３ａは、上述した暗号化アルゴリズム、すなわちアルゴリズム３Ｂを使用して、メッセージを暗号化し得る。アリス１０３ａは、暗号化されたメッセージを記憶するか、暗号化されたメッセージを（ＰＫＧ５０１を含み得る）１つまたは複数の異なる当事者に送信するか、ネットワークを介して（例えばプライベートネットワークを介して）暗号化されたメッセージをブロードキャストするか、例えば公開ウェブサイト上で暗号化されたメッセージを公開するか、またはブロックチェーンネットワーク１０６の１つまたは複数のノードに送信するために暗号化されたメッセージをブロックチェーンネットワークに含め得る。例えば、アリス１０３ａは、暗号化されたメッセージを含む出力を含むブロックチェーントランザクションを生成し得る。暗号化されたメッセージは、ロックスクリプトの一部を形成し得、例えば、それは、解読されたメッセージを含むために、使用トランザクションの入力に要件を課し得る。もちろん、ＩＤベース秘密鍵ｓ_Ａへのアクセスを有する当事者のみが、暗号化されたメッセージを解読することができ、これは、アリス１０３ａのみであることが好ましい。

他の例では、アリス２０３ａ以外の当事者が、ＩＤベース公開鍵ＰＫ_Ａを使用してメッセージを暗号化し得る。例えば、その当事者は、有効性チェックトランザクションＴｘ_ＶＣＴからＩＤベース公開鍵ＰＫ_Ａを取得し得る。アリスは、暗号化されたメッセージを、例えば暗号化を行う当事者から直接、ブロックチェーントランザクションから、または他の方法で取得し得る。次いで、アリス１０３ａは、ＩＤベース秘密鍵ｓ_Ａを使用して、暗号化されたメッセージを解読し、メッセージを明らかにし得る。アリスは、上述した解読アルゴリズム、すなわちアルゴリズム４Ｂを使用して、暗号化されたメッセージを解読し得る。前述のように、暗号化されたメッセージは、ブロックチェーントランザクションのロックスクリプトの一部を形成し得、アリス１０３ａは、ロックスクリプトをロック解除するために、解読されたメッセージを使用トランザクションのロック解除スクリプトに含め得る。

図６は、本開示の実施形態を実装するための別の例示的なシステム６００を示す。図６のシステム６００は、図５のシステム５００と同様であるが、別のＰＫＧが追加されている。図６の例では、第１のＰＫＧ５０１ａおよび第２のＰＫＧ５０１ｂが存在している。一般に、システムは、任意の数のＰＫＧ５０１を備え得る。第１のＰＫＧ５０１ａおよび第２のＰＫＧ５０１ｂは両方とも、図５のＰＫＧ５０１に以前に関連付けられたアクションを実行するように構成され得る。

第１のＰＫＧ５０１ａおよび／または第２のＰＫＧ５０１ｂは、アリス１０３ａから識別子ＩＤ_Ａを取得し得る。いくつかの例では、１つのＰＫＧ（例えば、ＰＫＧ５０１ａ）が、識別子ＩＤ_Ａを取得し、その識別子ＩＤ_Ａを１つまたは複数の異なるＰＫＧ（例えば、ＰＫＧ５０１ｂ）に送信し得る。第１のＰＫＧ５０１ａおよび第２のＰＫＧ５０１ｂはそれぞれ、識別子ＩＤ_Ａに基づいてそれぞれの秘密鍵シェアＤ_ｉＡを生成し、ここで、第１のＰＫＧ５０１ａは第１の秘密鍵シェアＤ_１Ａを生成し、第２のＰＫＧ５０１ｂは第２の秘密鍵シェアＤ_２Ａを生成する。各ＰＫＧは、異なる変数（例えば、秘密および／または乱数）を使用することを除いて、同じアルゴリズムを使用して、それぞれの秘密鍵シェアＤ_ｉＡを生成する。各ＰＫＧは、そのそれぞれの秘密鍵シェアＤ_ｉＡをアリス１０３ａに送信し、アリス１０１ａは、それぞれの秘密鍵シェアＤ_ｉＡを生成しても生成しなくてもよい。各ＰＫＧ５０１は、同じ通信方法を使用して、それぞれの秘密鍵シェアＤ_ｉＡをアリス１０３ａに送信し得、例えば、第１のＰＫＧ５０１ａおよび第２のＰＫＧ５０１ｂの両方が、安全なチャネル上で、または異なる通信方法を介して、それぞれの秘密鍵シェアＤ_ｉＡを送信し得、例えば、第１のＰＫＧ５０１ａは、ブロックチェーントランザクションに秘密鍵シェアＤ_１Ａを含め得、第２のＰＫＧは、有線接続上でその秘密鍵シェアＤ_２Ａを送信し得る。

アリス１０３ａは、第１の秘密鍵シェアＤ_１Ａおよび第２の秘密鍵シェアＤ_２Ａを使用して、ＩＤベース秘密鍵ｓ_Ａを生成し、ここで、ＩＤベース秘密鍵ｓ_Ａは、秘密鍵シェアＤ_ｉＡの各々の関数である。

アリス１０３ａはまた、部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）、すなわち部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）を生成する。部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）は、秘密鍵シェアＤ_ｉＡのセットに対応する公開鍵シェアＰ_ｉのセットに基づいて生成される（すなわち、その関数である）。第１のＰＫＧ５０１ａおよび第２のＰＫＧ５０１ｂはそれぞれ、例えば、安全なチャネル上で、またはそれぞれのブロックチェーントランザクションを使用して、それぞれの公開鍵シェアＰ_ｉをアリス１０３ａに送信し得る。アリス１０３ａは、部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）を第１のＰＫＧ５０１ａおよび第２のＰＫＧ５０１ｂの両方に送信し得るか、またはアリスは、部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）をＰＫＧのうちの１つ（例えば、ＰＫＧ５０１ａ）に送信し、次いで、そのＰＫＧが、それを他のＰＫＧ（例えば、ＰＫＧ５０１ｂ）に転送し得る。部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）は、暗号化された形式で、例えばアリスの第１の公開鍵を使用して暗号化されて送られ得る。

ＰＫＧの１つ、いくつか、またはすべてが、識別子ＩＤ_Ａおよび部分ＩＤベース公開鍵（Ｘ_Ａ，Ｙ_Ａ）に基づいて、完全なＩＤベース公開鍵ＰＫ_Ａを生成する。好ましくは、１つのＰＫＧ（例えば、ＰＫＧ５０１ａ）のみが、ＩＤベース公開鍵ＰＫ_Ａを含む有効性チェックトランザクションＴｘ_ＶＣＴを生成し、次いで、そのトランザクションＴｘ_ＶＣＴをブロックチェーンネットワーク１０６に送信する。しかしながら、２つ以上のＰＫＧ５０１が、ＩＤベース公開鍵ＰＫ_Ａを含むそれぞれの有効性チェックトランザクションＴｘ_ＶＣＴを生成し得ることは除外されない。ＰＫＧの１つ、いくつか、またはすべては、ＩＤベース公開鍵ＰＫ_Ａを生成するために使用される（公開）パラメータを含むパラメータトランザクションＴｘ_ｐａｒを生成し得る。好ましくは、有効性チェックトランザクションＴｘ_ＶＣＴを生成するＰＫＧもまた、パラメータトランザクションＴｘ_ｐａｒを生成し、これは、同じブロックチェーントランザクションであっても同じブロックチェーントランザクションでなくもよてい。

本開示の実施形態は、ＩＤベース暗号化（ＩＢＥ）システムの実装を提供し、ブロックチェーン１５０およびそのＵＴＸＯセットを使用して、鍵失効鍵有効性チェックを可能にする。ブロックチェーン１５０は、ＩＢＥ鍵およびパラメータを読み取るときの真正性および完全性の提供に活用される。ＩＢＥシステムは、評判のよいマイニングノード１０４Ｍによって実装されることが好ましい。各マイニングノード１０４Ｍは、例えば、ＥＣＤＳＡ公開鍵として暗号的に保護され、プルーフオブワークに基づいて評判システムによってバックアップされる、公に知られているアイデンティティを作成することができる。各マイニングノード１０４Ｍがシステムを騙すことで自身の評判を危険にさらすことを望まないと仮定すると、評判のよいマイニングノード１０４Ｍは、ユーザのアイデンティティに関するチェックを実行し、ＩＢＥ鍵を有効に生成することに関して信頼される。さらに、ＵＴＸＯセットは、ＰＫＩ設定におけるホワイトリストとして機能し得、それによって、ＩＢＥ鍵は、ＵＴＸＯにおけるトランザクション出力によって参照される場合に有効である。

以下は、本開示の別の例示的な実施形態を提示する。一般性を失うことなく、ＩＢＥ鍵生成サービスを提供しているマイニングノード１０４Ｍが３つ存在すると仮定する。アリス１０３ａは、アリスのアイデンティティAlice@Blockland.comが検証されて、アリスのＩＢＥ公開鍵として使用されることを望むと仮定する。

アリスは、秘密鍵を求めて、３つすべてのマイニングノードＭ_１、Ｍ_２、およびＭ_３にコンタクトする。各マイニングノードＭ_ｉは、アリスのアイデンティティを独立して検証する。アリス１０３ａが実際にAlice@Blockland.comの所有者であると確信すると、以下のステップを踏む：
１． 各マイニングノードは、ID_A=Alice@Blockland.comに対して鍵生成アルゴリズム（アルゴリズム２Ｂ）を実行し、Ｄ_ｉＡをアリス１０３ａに送る。
２． アリス１０３ａは、自身の部分公開鍵（Ｘ_Ａ，Ｙ_Ａ）を生成する。
３． アリス１０３ａから（Ｘ_Ａ，Ｙ_Ａ）を受信すると、各マイニングノードは、以下の等式を検証する。

４． 等式が成り立つ場合、各マイニングノードは、ＰＫ_Ａ＝（ＩＤ_Ａ，Ｘ_Ａ，Ｙ_Ａ）を設定する。もしそうでなければ、プロセスは停止される。
５． １つのマイニングノード、または何らかの他の関連当事者が、以下を有する有効性チェックトランザクションを生成する：
ａ． 入力：マイニングノードの任意の有効なＵＴＸＯ。
ｂ． 出力１：Ｐ２ＰＫＨ（マイニングノードの選択の独立した公開鍵ＰＫ_ｉＶＣＴ）。
ｃ． 出力２：ＯＰ＿ＲＥＴＵＲＮ ＰＫ_Ａ
６． 有効性チェックトランザクションがマイニングされるとき、各マイニングノードは、トランザクションＩＤ ＴｘＩＤ_ｉＶＣＴが与えられ、それを記録する。
７． 各マイニングノードは、以下の情報を含むコインベース（生成）トランザクションを作成する：
ａ． 公開鍵パラメータ（Ｇ_１，Ｇ_２，ｑ，Ｐ，Ｐ_１，Ｐ_２，Ｐ_３，ｅ，Ｈ_１，Ｈ_２，Ｈ_３，Ｈ_４）
ｂ． アリスの公開鍵ＰＫ_Ａ＝（ＩＤ_Ａ，Ｘ_Ａ，Ｙ_Ａ）
ｃ． ＶＣＴ識別子ＴｘＩＤ_ＶＣＴ
８． 各マイニングノードは、他のマイニングノードによってまだマイニングされていない場合、コインベーストランザクションをマイニングしようと試みる。

コインベーストランザクションがマイニングされると、アリスのＩＢＥ公開鍵を使用することができる。ステップ７で生成されたトランザクション内の情報が、マイニングノードのいずれかによってマイニングされたコインベーストランザクションに一度だけ含まれる必要があることに留意されたい。マイニングされると、他のマイナーは、同じ情報をさらなるトランザクションに含める必要がない。

鍵の失効は、有効性チェックトランザクションを使用すること、すなわちＵＴＸＯセットからそれを除去することによって達成することができる。これは、鍵の即時失効をもたらすものであり、ユーザ、鍵生成器、信頼できる第三者機関、またはそれらの組合せによって行われ得る。また、別の部分、例えばボブ１０３ｂは、アリスのＩＢＥ鍵が有効であるか否かを、ＵＴＸＯセットにおけるアリスの詳細をチェックするだけで容易にチェックすることができる。２つ以上のマイニングノード１０４Ｍがそれぞれの有効性チェックトランザクションを生成し得ることに留意されたい。これにより、構成可能な失効ルールが可能になる。例えば、３つの有効性チェックトランザクションが存在する場合、１つのルールでは、ＩＢＥ鍵が失効されたとみなされるために、３つの有効性チェックトランザクションのうちの１つが使用されれば十分であると規定され得る。異なるルールでは、ＩＢＥ鍵が失効されたとみなされるために、有効性チェックトランザクションの３つすべてが使用されなければならないと規定され得る。

ステップ５の代替として、ＯＰ＿ＲＥＴＵＲＮの代わりにＯＰ＿ＰＵＳＨＤＡＴＡおよびＯＰ＿ＤＲＯＰを使用して、アリスのＩＢＥ鍵ＰＫ_Ａがトランザクションのロックスクリプトに挿入され得る。これは、ＰＫ_Ａが常にＵＴＸＯ内にあり、ＯＰ＿ＲＥＴＵＲＮ出力で起こり得るようなプルーニングがなされないことを保証する。

鍵生成サービスは、上述したように、マイニングノードによって提供され得る。それはまた、非マイナーによって提供され得る。非マイニングノードは、加入者、例えばアリス１０３ａのための秘密鍵を生成するスマートコントラクトを実行し得る。鍵生成公開パラメータは、ブロックチェーン上で公開され、ブロックチェーンの不変性から利益を得ることができるであろう。アリス１０３ａは、どの鍵生成サービスプロバイダを使用しているかをボブ１０３ｂに知らせなければならないことに留意されたい。

ブロックチェーンユーザの数が増加するにつれて、ブロックチェーンに関する情報を効率的に記憶し、時間遅延を回避することが必要になる。ステップ７で作成された１つのコインベーストランザクションに複数のユーザの情報を挿入することが可能である。この場合、ステップ７．ａにおける公開パラメータは、最初に一度だけ挿入される必要があり、その後に各ユーザのＩＢＥ公開鍵および有効性チェックトランザクション識別子が続く（ステップ７．ｂおよび７．ｃ）。各ユーザに対して同じ公開パラメータが使用されてもよい。１つのコインベーストランザクションに追加することができる公開鍵の数は、トランザクションのサイズまたはブロックチェーンプロトコルによって課される任意の他のサイズ制限によってのみ制限される。

トランザクションのトランザクションシーケンスフィールドを使用して、ＩＢＥ鍵のセットを後日アクティブ化することが可能である。これは、鍵を生成する責任があり、その公開時間を短縮するためにオフラインになる別個のサーバを有するときに特に有用であり得る。この場合、サーバは鍵のセットを生成し、マイニングノードによって後で自動的にアクティブ化されるように、それらを、タイムロックされたトランザクションに挿入する。同じ技法を使用して、更新されたＩＢＥ鍵を含む使用トランザクションで有効性チェック出力を使用するタイムロックされたトランザクションを作成することによって、自動鍵更新を提供することもできる。

アリスの識別子は、以下の形式であり得る：

identifier_stringは、電子メール、モバイル番号、パスポート番号、またはソーシャルプラットフォームアカウントなどであり得る。functional_stringは、以下のうちの１つまたはいずれかの組合せであり得る：
・有効期限：この期限を過ぎてこのＩＤ_Ａが使用されるべきではなく、新しい有効期限を有する新しいＩＤ_Ａが使用されるべきである。鍵生成器サービスプロバイダは、新しいＩＤ_Ａに対する秘密鍵を生成し、送らなければならない。これにより、ＩＢＥ鍵の更新が保証されるであろう。更新の周期は、使用事例の要件に応じて、毎月または毎日などに設定することができる。
・有効開始日：これは、秘密鍵生成局がその期日の前に秘密鍵を公開しないことを保証するために使用され得る。この事例では、鍵生成器サービスプロバイダは、タイムロックを実施するために使用される。期日は、任意選択的にブロックチェーンの高さであり得る。
・属性：サービスプロバイダは、この属性またはそれらのセットが満たされた場合にのみ秘密鍵を送る。これは、属性ベースのアクセス制御、位置暗号化を実施するために使用され得る。例えば、ボブ１０３ｂは、アリス１０３ａがセキュリティクリアランスを有する場合、解読可能なメッセージを送ることができる。鍵生成器サービスプロバイダは、アリス１０３ａがこの要件を満たすことができる場合にのみ、復号鍵をアリス１０３ａに公開する。

使用事例
図７は、第１の使用事例（ＵＣ１）を示す。アリス１０３ａは、自身の電子メールアドレスに対応する秘密鍵を生成するために秘密鍵生成局ＰＫＧ１ ５０１ａにコンタクトする。ＰＫＧ１ ５０１ａは、電子メールアドレスがアリス１０３ａに属することを検証し、安全なチャネルを使用して秘密鍵ｓｋＡｌｉｃｅをアリスに送る。この使用事例は、２つのブロックチェーントランザクションにおいてアリスの要求およびＰＫＧ１の応答をＯＰ＿ＲＥＴＵＲＮの後に挿入することによって、ブロックチェーン上で実行され得る。アリス１０３ａは、ＰＫＧ１ ５０１ａへの要求に公開暗号化鍵（ＰＫＡｌｉｃｅ）を挿入してチャネルを保護することができるが、そのようなチャネルがすでに存在する場合には、それをスキップすることができる。ＰＫＧ１ ５０１ａは、検証および鍵生成ステップを実行し、応答トランザクションにおいて、ＰＫＡｌｉｃｅを使用して暗号化されたアリスの秘密鍵を送る。２つの例示的なトランザクションを以下に示す。

上記のトランザクションは概念を伝えるために簡略化されていることに留意されたい。より詳細なトランザクションは、エフェメラル暗号化鍵および初期化ベクトル、ならびに任意の変更のための追加の出力を含む可能性があるであろう。

第２の使用事例（ＵＣ２）は、以下のトランザクションによって示される。アリス１０３ａは、ＰＫＧ１によって生成された部分秘密鍵が漏洩した場合でもアリスの鍵が安全となるように、アリス自身の秘密鍵を追加する。アリスがブロックチェーン上で（Ｘ_Ａ，Ｙ_Ａ）を公表する可能な方法は少なくとも２つ存在する。第１の方法は、アリス１０３ａが自分自身に支払う単一のトランザクションである。

第２の方法は、アリス１０３ａとＰＫＧ１ ５０１ａとの間の２つのトランザクション（要求および応答）の形態である。

図８ａおよび図８ｂは、第３の例示的な使用事例（ＵＣ３）を示す。ボブ１０３ｂは、アリス１０３ａが時間フレーム内（ｔ１の前ではなくｔ２の後でもない）でのみ読み取ることができるメッセージをアリス１０３ａに送ることを望む。このようなサービスは、ＰＫＧ１ ５０１ａ以外の別の鍵生成器ＰＫＧ２ ５０１ｂによって提供され得る。ボブ１０３ｂは、Alice@Blockland.comに基づいて生成されたアリスのＩＢＥ公開鍵（これは、ＵＣ１においてＰＫＧ１によって検証および生成された）を使用するアリス１０３ａのための新しいＩＢＥ公開鍵を生成し、有効期間およびランダムノンスを挿入する。ボブは、新たに生成されたＩＢＥ公開鍵Alice@Blockland.com_PKG1_t1_t2_nonceをＰＫＧ２の公開鍵パラメータと共に使用して、メッセージＭ１を暗号化してＣ１を出力する。ボブは、暗号文とボブが暗号化に使用したＩＢＥ公開鍵とをアリス１０３ａに送る。ＰＫＧ２ ５０１ｂは、ブロックチェーン上のサービスプロバイダ、例えばマイニングノード１０４Ｍまたは非マイニングノードであり得る。ボブ１０３ｂは、ＰＫＧ２ ５０１ｂから公開鍵パラメータを取り出すことができる。ボブ１０３ｂは、新しいＩＢＥ公開鍵を生成すると、ブロックチェーン１５０からＰＫ_{Ａｌｉｃｅ}およびＰＫＧ１の公開パラメータを取り出す。ボブは、ＰＫＧ１が秘密鍵生成局であり、信頼できるアイデンティティ検証サービスプロバイダであることを確認する必要がある。

アリス１０３ａは、ボブの暗号化されたメッセージＣ１をロック解除するための秘密鍵を取得するためにＰＫＧ２ ５０１ｂにコンタクトする。ＰＫＧ２ ５０１ｂは、ＰＫＧ１ ５０１ａが信頼できるサービスプロバイダであることをチェックし、要求の時間がｔ１とｔ２との間であることをチェックする。すべてのチェックにパスした場合、ＰＫＧ２ ５０１ｂは、ボブ１０３ｂによって生成され使用された暗号化鍵に対応するアリス１０３ａのための秘密鍵を生成する。新しい秘密鍵は、アリスの既存の（すなわち、Alice@Blockland.comに基づいて生成された）ＩＢＥ鍵を使用してＣ２に暗号化され得る。この使用事例では、ＰＫＧ２ １０３ｂがタイムチェックサービスを提供し、すでにＵＣ１で行われた電子メール検証サービスを実行するためにＰＫＧ１ ５０１ａに依存したことに留意されたい。ＵＣ１と同様に、アリス１０３ａとＰＫＧ２ ５０１ｂとの間の通信はブロックチェーン１５０上で行われる。

これらの使用事例は、アリス（解読を行う当事者）がメッセージを解読することができるようにボブ（暗号化を行う当事者）がボブの条件を設定することを可能にするために、ＩＢＥプロトコルがどのように使用され得るかを示す。ＵＣ１では、アリスはＰＫＧ１からＩＢＥ鍵を取得する。ボブは、アリスがボブの条件を満たすことをチェックするために、異なるＰＫＧであるＰＫＧ２を使用する。

結論
上記の実施形態は、単なる例として説明されていることが理解されよう。より一般的には、以下のステートメントのいずれか１つまたは複数による方法、装置、またはプログラムが提供され得る。

ステートメント１．アイデンティティ（ＩＤ）ベース暗号鍵を生成するためのコンピュータ実装方法であって、方法は、個人識別子を有する第１の当事者によって実行され、以下を含む：
秘密鍵シェアのセットおよび対応する公開鍵シェアのセットを取得すること、ここで、各秘密鍵シェアは、個人識別子に基づいて生成され、秘密鍵シェアのセットのうちの少なくとも１つは、鍵生成当事者のセットのそれぞれ１つによって生成され、
１つまたは複数の秘密鍵シェアの各々に基づいてＩＤベース秘密鍵を生成すること、ならびに
部分ＩＤベース公開鍵を生成すること、ここで、部分ＩＤベース公開鍵は、対応する公開鍵シェアのセットの各々に基づいて生成され、
ＩＤベース公開鍵を生成するために鍵生成当事者のセットのうちの少なくとも１つに部分ＩＤベース公開鍵を送信すること、ここで、ＩＤベース公開鍵は、個人識別子と部分ＩＤベース公開鍵とを含み、および／または
ＩＤベース公開鍵を生成すること、ここで、ＩＤベース公開鍵は、個人識別子と部分ＩＤベース公開鍵とを含む。

鍵シェアは、秘密鍵を生成するために複数の他の鍵シェアとともに使用され得る秘密鍵の構成要素である。

ステートメント２．第１のブロックチェーントランザクションの第１の出力は、ＩＤベース公開鍵を含み、ＩＤベース公開鍵は、個人識別子と部分ＩＤベース公開鍵とを含み、方法は、第１のブロックチェーントランザクションからＩＤベース公開鍵を取得することを含む、ステートメント１に記載の方法。

ステートメント３．ステートメント２に記載の方法であって、第１のブロックチェーントランザクションからＩＤベース公開鍵を上記取得することは、以下を含む：
１つまたは複数の鍵生成当事者のうちの少なくとも１つから第１のブロックチェーントランザクションのトランザクション識別子を取得すること、および
トランザクション識別子を使用して、第１のブロックチェーントランザクションが記録されたブロックチェーンから第１のブロックチェーントランザクションを取得すること。

ステートメント４．ステートメント１から３のいずれかに記載の方法であって、以下を含む：
鍵生成当事者のセットのうちの少なくとも１つからＩＤベース公開鍵を取得すること。

ステートメント５．ステートメント１から４のいずれかに記載の方法であって、以下を含む：
ＩＤベース公開鍵を使用して第１のメッセージを暗号化して、第１の暗号化されたメッセージを生成すること、ならびに
第１の暗号化されたメッセージを第２の当事者に送信すること、および／または暗号化されたメッセージを含む出力を含む第２のブロックチェーントランザクションを生成すること。

ステートメント６．ステートメント１から５のいずれかに記載の方法であって、以下を含む：
ＩＤベース公開鍵を使用して暗号化された第２の暗号化されたメッセージを取得すること、および
第２のメッセージを明らかにするために、秘密鍵を使用して第２の暗号化されたメッセージを解読すること。

ステートメント７．個人識別子を１つまたは複数の鍵生成当事者のうちの少なくとも１つに送信することを含む、ステートメント１から６のいずれかに記載の方法。

ステートメント８．ステートメント７に記載の方法であって、個人識別子を上記送信することは、以下を含む：
個人識別子を含む出力を含む第３のブロックチェーントランザクションを生成すること、および
ブロックチェーンに含めるために、第３のブロックチェーントランザクションをブロックチェーンネットワークの１つまたは複数のノードに送信すること。

ステートメント９．ステートメント２またはそれに従属するステートメントに記載の方法であって、第１の当事者が第１の公開鍵を有し、第１のブロックチェーントランザクションが第１の当事者の第１の公開鍵にロックされた第２の出力を含み、方法は、以下含む：
ａ）第１のブロックチェーントランザクションの第２の出力を参照し、ｂ）第１の当事者の第１の公開鍵に対応する秘密鍵に基づいて生成された署名を含む入力を含む第４のブロックチェーントランザクションを生成すること、および
ブロックチェーンに含めるために、第４のブロックチェーントランザクションをブロックチェーンネットワークの１つまたは複数のノードに送信すること。

第１のブロックチェーントランザクションの第１および第２の出力は同じ出力であってもよい。すなわち、ＩＤベース公開鍵は使用可能な（例えばＰ２ＰＫＨ）出力に含まれ得る。例えば、出力は、ＯＰ＿ＰＵＳＨＤＡＴＡおよびＯＰ＿ＤＲＯＰを使用して公開鍵を含み得る。

ステートメント１０．ステートメント１から９のいずれかに記載の方法であって、部分ＩＤベース公開鍵を鍵生成当事者のセットのうちの少なくとも１つに上記送信することは、以下を含む：
部分ＩＤベース公開鍵を含む出力を含む第５のブロックチェーントランザクションを生成すること、および、
ブロックチェーンに含めるために、第５のブロックチェーントランザクションをブロックチェーンネットワークの１つまたは複数のノードに送信すること。

ステートメント１１．第１の当事者の識別子が、第１の当事者の名前および／または住所、第１の当事者の電子メールアドレス、電話番号、パスポート番号、運転免許証番号、ソーシャルメディアのプロフィール、生年月日、ならびにグループメンバ識別子のうちの１つまたは複数を含む、ステートメント１から１０のいずれかに記載の方法。

ステートメント１２．アイデンティティ（ＩＤ）ベース暗号鍵を生成するためのコンピュータ実装方法であって、第１の当事者が個人識別子を有し、方法は、第１の鍵生成当事者によって実行され、以下を含む：
秘密鍵シェアを第１の当事者に送信すること、ここで、秘密鍵シェアは、個人識別子に基づいて生成され、対応する公開鍵シェアを有する、
部分ＩＤベース公開鍵を取得すること、ここで、部分ＩＤベース公開鍵は、対応する公開鍵シェアに基づいて生成される、
ＩＤベース公開鍵を生成および／または取得すること、ここで、ＩＤベース公開鍵は、部分ＩＤベース公開鍵と個人識別子とに基づいて生成される、ならびに
ＩＤベース公開鍵を含む第１の出力を含む第１のブロックチェーントランザクションを生成すること。

例では、方法は、秘密鍵シェアおよび対応する公開鍵シェアを生成することを含む。

ステートメント１３．ブロックチェーンに含めるために、第１のブロックチェーントランザクションをブロックチェーンネットワークの１つまたは複数のノードに送信することを含む、ステートメント１２に記載の方法。

ステートメント１４．第１のブロックチェーントランザクションを第１の当事者に送信することを含む、ステートメント１２に記載の方法。

ステートメント１５．第１のブロックチェーントランザクションの第１の出力は使用不可能な出力である、ステートメント１２から１４のいずれかに記載の方法。

ステートメント１６．第１の当事者から個人識別子を取得することを含む、ステートメント１３から１５のいずれかに記載の方法。

ステートメント１７．ブロックチェーンは、第１の当事者によって生成され、個人識別子を含む第３のブロックチェーントランザクションを含み、第１の当事者から個人識別子を上記取得することは、第３のブロックチェーントランザクションから個人識別子を取得することを含む、ステートメント１６に記載の方法。

ステートメント１８．第１の鍵生成当事者が第１の公開鍵を有し、第１のブロックチェーントランザクションが第１の鍵生成当事者の第１の公開鍵にロックされた第２の出力を含む、ステートメント１２から１７のいずれかに記載の方法。

第１および第２の出力は同じ出力であってもよい。代替的に、第１および第２の出力は異なる出力であってもよい。

ステートメント１９．ステートメント１８に記載の方法であって、以下を含む：
ａ）第１のブロックチェーントランザクションの第２の出力を参照し、ｂ）第１の鍵生成当事者の公開鍵に対応する秘密鍵に基づいて生成された署名を含む入力を含む第４のブロックチェーントランザクションを生成すること、および
ブロックチェーンに含めるために、第４のブロックチェーントランザクションをブロックチェーンネットワークの１つまたは複数のノードに送信すること。

ステートメント２０．第１の当事者が第１の公開鍵を有し、第１のブロックチェーントランザクションが第１の当事者の第１の公開鍵にロックされた第２の出力を含む、ステートメント１２から１９のいずれかに記載の方法。

ステートメント２１．ブロックチェーンは、部分ＩＤベース公開鍵を含む第５のブロックチェーントランザクションを含み、部分ＩＤベース公開鍵を取得することは、第５のブロックチェーントランザクションから部分ＩＤベース公開鍵を取得することを含む、ステートメント１２から２０のいずれかに記載の方法。

ステートメント２２．ステートメント１２から２１のいずれかに記載の方法であって、以下を含む：
秘密鍵シェアを含む出力を含む第６のブロックチェーントランザクションを生成すること、ここで、第１の当事者に秘密鍵シェアを上記送信することは、ブロックチェーンに含めるために、第６のブロックチェーントランザクションをブロックチェーンネットワークの１つまたは複数のノードに送信することを含む。

ステートメント２３．秘密鍵シェアは暗号化された形式で送信される、ステートメント２２に記載の方法。

ステートメント２４．ステートメント１２から２３のいずれかに記載の方法であって、以下を含む：
ＩＤベース公開鍵を生成するために使用されるパラメータのセットを含む出力を含む第７のブロックチェーントランザクションを生成すること、および
ブロックチェーンに含めるために、第７のブロックチェーントランザクションをブロックチェーンネットワークの１つまたは複数のノードに送信すること。

第７のブロックチェーントランザクションは、第１のブロックチェーントランザクションの識別子を含み得る。

ステートメント２５．部分ＩＤベース公開鍵は、複数の公開鍵シェアに基づいて生成され、各公開鍵シェアは、鍵生成当事者のセットのそれぞれの１つによって生成され、第７のブロックチェーントランザクションは、ＩＤベース公開鍵を生成するために各それぞれの鍵生成当事者によって使用されるパラメータのセットを含む、ステートメント２４に記載の方法。

ステートメント２６．第１の鍵生成当事者はブロックチェーンネットワークのマイニングノードであり、第７のブロックチェーントランザクションは生成トランザクションである、ステートメント２４またはステートメント２５に記載の方法。

第１のブロックチェーントランザクションの識別子と、ＩＤベース鍵を生成するために使用されるパラメータとを記録するために生成（すなわち、コインベース）トランザクションを使用することによって、マイニングノードによって示されるＰｏＷに対する信頼は、生成された暗号鍵に対する信頼に委ねられ得るので、マイニングノードを信頼できる認証局と見なすことができる。

ステートメント２７．以下を備えるコンピュータ機器：
１つまたは複数のメモリユニットを備えるメモリ、および
１つまたは複数の処理ユニットを備える処理装置、ここで、メモリは、処理装置上で実行されるように構成されたコードを記憶し、コードは、処理装置上にあるとき、ステートメント１から２６のいずれかに記載の方法を実行するように構成される。

ステートメント２８．コンピュータ可読ストレージ上に具現化され、ステートメント２７のコンピュータ機器上で実行されると、ステートメント１から２６のいずれかに記載の方法を実行するように構成されたコンピュータプログラム。

本明細書で開示される教示の別の態様によれば、第１の当事者および鍵生成当事者のアクションを含む方法が提供され得る。

本明細書に開示される教示の別の態様によれば、第１の当事者および鍵生成当事者のコンピュータ機器を備えるシステムが提供され得る。

他の変形例は、本明細書の開示が与えられると、当業者に明らかになり得る。本開示の範囲は、開示された実施形態によって限定されるのではなく、添付の特許請求の範囲によってのみ限定される。

Claims (28)

1. アイデンティティ（ＩＤ）ベース暗号鍵を生成するためのコンピュータ実装方法であって、前記方法は、個人識別子を有する第１の当事者によって実行され、
   秘密鍵シェアのセットおよび対応する公開鍵シェアのセットを取得することと、ここで、各秘密鍵シェアは、前記個人識別子に基づいて生成され、前記秘密鍵シェアのセットのうちの少なくとも１つは、鍵生成当事者のセットのそれぞれ１つによって生成され、
   前記１つまたは複数の秘密鍵シェアの各々に基づいてＩＤベース秘密鍵を生成することと、
   部分ＩＤベース公開鍵を生成すること、ここで、前記部分ＩＤベース公開鍵は、前記対応する公開鍵シェアのセットの各々に基づいて生成され、
   前記ＩＤベース公開鍵を生成するために前記鍵生成当事者のセットのうちの少なくとも１つに前記部分ＩＤベース公開鍵を送信すること、ここで、前記ＩＤベース公開鍵は、前記個人識別子と前記部分ＩＤベース公開鍵とを含み、および／または
   前記ＩＤベース公開鍵を生成すること、ここで、前記ＩＤベース公開鍵は、前記個人識別子と前記部分ＩＤベース公開鍵とを含む、
   を含む方法。
2. 第１のブロックチェーントランザクションの第１の出力は、前記ＩＤベース公開鍵を含み、前記ＩＤベース公開鍵は、前記個人識別子と前記部分ＩＤベース公開鍵とを含み、前記方法は、前記第１のブロックチェーントランザクションから前記ＩＤベース公開鍵を取得することを含む、請求項１に記載の方法。
3. 前記第１のブロックチェーントランザクションから前記ＩＤベース公開鍵を前記取得することは、
   前記１つまたは複数の鍵生成当事者のうちの少なくとも１つから前記第１のブロックチェーントランザクションのトランザクション識別子を取得することと、
   前記トランザクション識別子を使用して、前記第１のブロックチェーントランザクションが記録されたブロックチェーンから前記第１のブロックチェーントランザクションを取得することと
   を含む、請求項２に記載の方法。
4. 前記鍵生成当事者のセットのうちの少なくとも１つから前記ＩＤベース公開鍵を取得すること
   を含む、請求項１から３のいずれか一項に記載の方法。
5. 前記ＩＤベース公開鍵を使用して第１のメッセージを暗号化して、第１の暗号化されたメッセージを生成することと、
   前記第１の暗号化されたメッセージを第２の当事者に送信すること、および／または前記暗号化されたメッセージを含む出力を含む第２のブロックチェーントランザクションを生成することと
   を含む、請求項１から４のいずれか一項に記載の方法。
6. 前記ＩＤベース公開鍵を使用して暗号化された第２の暗号化されたメッセージを取得することと、
   第２のメッセージを明らかにするために、前記秘密鍵を使用して前記第２の暗号化されたメッセージを解読することと
   を含む、請求項１から５のいずれか一項に記載の方法。
7. 前記個人識別子を前記１つまたは複数の鍵生成当事者のうちの少なくとも１つに送信することを含む、請求項１から６のいずれか一項に記載の方法。
8. 前記個人識別子を前記送信することは、
   前記個人識別子を含む出力を含む第３のブロックチェーントランザクションを生成することと、
   前記ブロックチェーンに含めるために、前記第３のブロックチェーントランザクションを前記ブロックチェーンネットワークの１つまたは複数のノードに送信することと
   を含む、請求項７に記載の方法。
9. 前記第１の当事者が第１の公開鍵を有し、前記第１のブロックチェーントランザクションが前記第１の当事者の前記第１の公開鍵にロックされた第２の出力を含み、前記方法は、
   ａ）前記第１のブロックチェーントランザクションの前記第２の出力を参照し、ｂ）前記第１の当事者の前記第１の公開鍵に対応する秘密鍵に基づいて生成された署名を含む入力を含む第４のブロックチェーントランザクションを生成することと、
   前記ブロックチェーンに含めるために、前記第４のブロックチェーントランザクションを前記ブロックチェーンネットワークの１つまたは複数のノードに送信することと
   を含む、請求項２またはそれに従属する請求項に記載の方法。
10. 前記部分ＩＤベース公開鍵を前記鍵生成当事者のセットのうちの前記少なくとも１つに前記送信することは、
    前記部分ＩＤベース公開鍵を含む出力を含む第５のブロックチェーントランザクションを生成することと、
    前記ブロックチェーンに含めるために、前記第５のブロックチェーントランザクションを前記ブロックチェーンネットワークの１つまたは複数のノードに送信することと
    を含む、請求項１から９のいずれか一項に記載の方法。
11. 前記第１の当事者の前記識別子が、前記第１の当事者の名前および／または住所、前記第１の当事者の電子メールアドレス、電話番号、パスポート番号、運転免許証番号、ソーシャルメディアのプロフィール、生年月日、ならびにグループメンバ識別子のうちの１つまたは複数を含む、請求項１から１０のいずれか一項に記載の方法。
12. アイデンティティ（ＩＤ）ベース暗号鍵を生成するためのコンピュータ実装方法であって、第１の当事者が個人識別子を有し、前記方法は、第１の鍵生成当事者によって実行され、
    秘密鍵シェアを前記第１の当事者に送信することと、ここで、前記秘密鍵シェアは、前記個人識別子に基づいて生成され、対応する公開鍵シェアを有し、
    部分ＩＤベース公開鍵を取得することと、ここで、前記部分ＩＤベース公開鍵は、前記対応する公開鍵シェアに基づいて生成され、
    前記ＩＤベース公開鍵を生成および／または取得することと、ここで、前記ＩＤベース公開鍵は、前記部分ＩＤベース公開鍵と前記個人識別子とに基づいて生成され、
    前記ＩＤベース公開鍵を含む第１の出力を含む第１のブロックチェーントランザクションを生成することと
    を含む方法。
13. ブロックチェーンに含めるために、前記第１のブロックチェーントランザクションをブロックチェーンネットワークの１つまたは複数のノードに送信することを含む、請求項１２に記載の方法。
14. 前記第１のブロックチェーントランザクションを前記第１の当事者に送信することを含む、請求項１２に記載の方法。
15. 前記第１のブロックチェーントランザクションの前記第１の出力は使用不可能な出力である、請求項１２から１４のいずれか一項に記載の方法。
16. 前記第１の当事者から前記個人識別子を取得することを含む、請求項１３から１５のいずれか一項に記載の方法。
17. 前記ブロックチェーンは、前記第１の当事者によって生成され、前記個人識別子を含む第３のブロックチェーントランザクションを含み、前記第１の当事者から前記個人識別子を前記取得することは、前記第３のブロックチェーントランザクションから前記個人識別子を取得することを含む、請求項１６に記載の方法。
18. 前記第１の鍵生成当事者が第１の公開鍵を有し、前記第１のブロックチェーントランザクションが前記第１の鍵生成当事者の前記第１の公開鍵にロックされた第２の出力を含む、請求項１２から１７のいずれか一項に記載の方法。
19. ａ）前記第１のブロックチェーントランザクションの前記第２の出力を参照し、ｂ）前記第１の鍵生成当事者の前記公開鍵に対応する秘密鍵に基づいて生成された署名を含む入力を含む第４のブロックチェーントランザクションを生成することと
    前記ブロックチェーンに含めるために、前記第４のブロックチェーントランザクションを前記ブロックチェーンネットワークの１つまたは複数のノードに送信することと
    を含む、請求項１８に記載の方法。
20. 前記第１の当事者が第１の公開鍵を有し、前記第１のブロックチェーントランザクションが前記第１の当事者の前記第１の公開鍵にロックされた第２の出力を含む、請求項１２から１９のいずれか一項に記載の方法。
21. 前記ブロックチェーンは、前記部分ＩＤベース公開鍵を含む第５のブロックチェーントランザクションを含み、前記部分ＩＤベース公開鍵を前記取得することは、前記第５のブロックチェーントランザクションから前記部分ＩＤベース公開鍵を取得することを含む、請求項１２から２０のいずれか一項に記載の方法。
22. 前記秘密鍵シェアを含む出力を含む第６のブロックチェーントランザクションを生成すること
    を含み、ここで、前記第１の当事者に前記秘密鍵シェアを前記送信することは、前記ブロックチェーンに含めるために、前記第６のブロックチェーントランザクションを前記ブロックチェーンネットワークの１つまたは複数のノードに送信することを含む、
    請求項１２から２１のいずれか一項に記載の方法。
23. 前記秘密鍵シェアは暗号化された形式で送信される、請求項２２に記載の方法。
24. 前記ＩＤベース公開鍵を生成するために使用されるパラメータのセットを含む出力を含む第７のブロックチェーントランザクションを生成することと、
    前記ブロックチェーンに含めるために、前記第７のブロックチェーントランザクションを前記ブロックチェーンネットワークの１つまたは複数のノードに送信することと
    を含む、請求項１２から２３のいずれか一項に記載の方法。
25. 前記部分ＩＤベース公開鍵は、複数の公開鍵シェアに基づいて生成され、各公開鍵シェアは、鍵生成当事者のセットのそれぞれの１つによって生成され、前記第７のブロックチェーントランザクションは、前記ＩＤベース公開鍵を生成するために各それぞれの鍵生成当事者によって使用される前記パラメータのセットを含む、請求項２４に記載の方法。
26. 前記第１の鍵生成当事者は前記ブロックチェーンネットワークのマイニングノードであり、前記第７のブロックチェーントランザクションは生成トランザクションである、請求項２４または２５に記載の方法。
27. コンピュータ機器であって、
    １つまたは複数のメモリユニットを備えるメモリと、
    １つまたは複数の処理ユニットを備える処理装置と
    を備え、ここで、前記メモリは、前記処理装置上で実行されるように構成されたコードを記憶し、前記コードは、前記処理装置上にあるとき、請求項１から２６のいずれか一項に記載の方法を実行するように構成される、
    コンピュータ機器。
28. コンピュータ可読ストレージ上に具現化され、コンピュータ機器上で実行されると、請求項１から２６のいずれか一項に記載の方法を実行するように構成されたコンピュータプログラム。

Images