JP3104904B2 - 匿名登録方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムを利用して匿名にデータを登録する方法に関する。

【０００２】

【従来の技術】利用者が匿名にあるデータを登録する方
式としては、文献Ｃｈａｕｍ，Ｄ．，“Ｕｎｔｒａｃｅ
ａｂｌｅ Ｅｌｅｃｔｒｏｎｉｃ Ｍａｉｌ，Ｒｅｔｕ
ｒｎＡｄｄｒｅｓｓ，ａｎｄ Ｄｉｇｉｔａｌ Ｐｓｅ
ｕｄｏｎｙｍｓ”，Ｃｏｍｍ．ｏｆ ｔｈｅ ＡＣＭ，
２４，２，ｐｐ．８４−８８（１９８１）．が存在する
が、登録機関が、匿名の利用者に対して、秘密データ
（受取証）を送り返す実現方式は今まで知られていなか
った。

【０００３】このような方式が必要とする例としては、
電子投票と電子現金が考えられる。電子投票において
は、利用者は有権者となり、信託機関に秘密投票を行な
う。信託機関は、匿名の利用者に対して、投票を受けと
った証拠を送り返す。電子現金方式においては、「エス
クロー電子現金」と呼ばれる方式への適用が可能であ
る。

【０００４】ここで、「エスクロー電子現金」とは利用
者の秘密情報を幾つかの信頼できる機関（信託機関）に
強制的に登録させることで、利用者がシステムに対する
不正行為、すなわち、電子現金の偽造や二重使用等を行
なわなくても、裁判所の許可などで信託機関が協力し合
えば、利用者を特定することが可能な方式をいう。

【０００５】

【発明が解決しようとする課題】この発明は、Ｃｈａｕ
ｍ氏等の従来方式で実現されていない次のような機能を
実現することを可能とする方法を提供するものである。
利用者があるデータを匿名で登録し、かつ登録者がその
受取証をその利用者に匿名性を保持したまま送り返す。
この時、登録者が複数の機関に分散されており、全機関
が協力しない場合に限り匿名性が保持される。逆に、全
機関が協力すれば、利用者と登録データの関係を特定で
きる。

【０００６】

【課題を解決するための手段】この発明は、多重に公開
鍵暗号を用いるという基本的な考え方は、Ｃｈａｕｍ氏
の方式と同じであるが、この発明では、さらに返信に対
しても匿名性を必要とするため、独自の方法が必要とな
る。そこで、この発明では、利用者は登録用の情報を作
成時に、返信時の暗号通信用に各機関Ｔ₁ ，…，Ｔ_t に
対応した暗号鍵ｋ₁ ，…，ｋ_t を作成し、それらをそれ
ぞれ各機関Ｔ_i のみがｋ_i を知るように情報を挿入す
る。また、利用者Ｕは、最終的に登録機関Ｔ₁ が利用者
Ｕへ情報を送れるように登録機関Ｔ₁ のみが知る情報に
利用者Ｕの認証子ＩＤ_U も挿入する。

【０００７】

【発明の実施の形態】図１はこの発明の原理構成図であ
る。登録機関１００、利用者端末２００、及び、裁判所
３００は例えば通信回線を介して接続されているが、情
報を記録できるＩＣカード等を介しての接続であっても
よい。実施例の署名方式と公開鍵暗号は全てＲＳＡ法に
のっとったが、この発明方法は、任意の一方向性関数
ｇ、ディジタル署名方式、公開鍵暗号方式により実現出
来る（一方向性関数、ディジタル署名方式、公開鍵暗号
については、岡本栄司著「暗号理論入門」（共立出版）
を参照されたい）。準備 公開の一方向性関数としてｇを定める。また、手順公開
の秘密鍵暗号方式として（ε，Д）を公開しておく（こ
れらの計算を行なう装置を、それぞれ、ｇ計算器、暗号
器ε、復号器Дと呼ぶ）。

【０００８】登録機関Ｔ_i の署名アルゴリズム及び公開
鍵暗号は全てＲＳＡ方式とし、それぞれの秘密鍵と公開
鍵は、（ｄ_Ti，ｎ_Ti），（ｅ_Ti，ｎ_Ti）とする。登録処理 利用者Ｕは、データＮを登録機関Ｔに登録する（ここで
は、Ｔ＝（Ｔ₁ ，…，Ｔ_t ）を表す）。この手順は、以
下の通りである（図２、３、４参照）。

【０００９】ステップ１ 利用者Ｕは鍵生成器２０１
(図２）から登録機関Ｔ_i の数と同数の鍵（ｋ₁ ，…，
ｋ_t ）を生成する。登録機関Ｔ_i の公開鍵（ｅ_Ti，
ｎ_Ti）と公開鍵暗号器Ｅ２０２₁ 〜２０２_t を用いて、
帰納的にｃ_i ＝Ｅ_i （ｋ_i ‖ｃ_i-1）（ただし、ｃ_o は
利用者Ｕの認証子ＩＤ_U とする）を計算し、ｃ_t を得
る。さらに、登録機関Ｔ_i の公開鍵（ｅ_Ti，ｎ_Ti）と公
開鍵暗号器Ｅ２０３₁ 〜２０３ _t を用いて、帰納的に、 Ｃ₁ ＝Ｅ₁ ｏ…ｏＥ_t （Ｎ‖ｃ_t ） を計算し（ここで、Ｅ_i ｏＥ_j （ｘ）：＝Ｅ_i （Ｅ
_j （ｘ））を意味する）、このＣ₁ を登録機関Ｔ₁ に送
信する。

【００１０】ステップ２ 登録機関Ｔ₁ は秘密鍵
（ｄ_T1，ｎ_T1）と公開鍵復号器Ｄ１０１（図３）を用い
て、Ｃ₂ ＝Ｄ₁ （Ｃ₁ ）を計算し、これを登録機関Ｔ₂
に送信する。 ステップ３ 登録機関Ｔ_i は秘密鍵（ｄ_T1，ｎ_T1）と公
開鍵復号器Ｄ１０１を用いて、Ｃ_i+1 ＝Ｄ_i （Ｃ_i ）を
計算して、次の登録機関Ｔ_i+1 に送信するということを
繰り返し、最後に登録機関Ｔ_t がＣ_t を得る。

【００１１】ステップ４ 登録機関Ｔ_t は秘密鍵
（ｄ_Tt，ｎ_Tt）と公開鍵復号器Ｄ１０２_tを用いて、
（Ｎ‖ｃ_t ）＝Ｄ_t （Ｃ_t ）、（ｋ_t ‖ｃ_t-1 ）＝Ｄ_t
（ｃ_t ）を求める。Ｎ，ｃ_t-1 ，ｋ_t を得た後、秘密鍵
（ｄ_T ，ｎ_T ）、ｇ計算器１０３、ディジタル署名生成
器ｓｉｇ１０４を用いて、Ｎに対するディジタル署名Ｌ
＝ｇ（Ｎ）^dTmod ｎ_T を生成する。さらに、ｋ_t を秘密
鍵としてｋ_t と暗号器ε１０５ _t を用いて、署名ＬをЭ
_t ＝ε_kt（Ｌ）と暗号化し、（ｃ_t-1 ，Э_t ）を直前の
登録機関Ｔ_t-1 に送信する。

【００１２】ステップ５ 登録機関Ｔ_i は秘密鍵
（ｄ_Ti，ｎ_Ti）と公開鍵復号器Ｄ１０２_iを用いて、
（ｋ_i ‖ｃ_i-1 ）＝Ｄ_i （ｃ_i ）を計算し、さらにｋ_i
を秘密鍵として、ｋ_i と暗号器ε１０５_i を用いてЭ_i
＝ε_ki（Э_t+1 ）を求める。（ｃ_i-1，Э_i ）を直前の
登録機関Ｔ_i-1 に送信する。この繰り返しにより、最後
に登録機関Ｔ₂ が公開鍵暗号器ε１０５₂ から（ｃ₁ ，
Э₂ ）を得る。

【００１３】ステップ６ 登録機関Ｔ₁ は秘密鍵
（ｄ_T1，ｎ_Ti）と公開鍵復号器Ｄ１０２₁を用いて、
（ｋ_i ‖ＩＤ_U ）＝Ｄ₁ （ｃ₁ ）を計算する。認証子Ｉ
Ｄ_U から利用者Ｕを特定する。ｋ_i と暗号器ε_t １０５
₁ を用いて、Э₁ ＝ε_k1（Э₂ ）を求めた後、Э₁ を利
用者Ｕに送信する。 ステップ７ 利用者Ｕは、（ｋ₁ ，…，ｋ_t ）と復号器
Д２０４₁ 〜２０４_tを用いて、受取証Ｌ Ｌ＝Д_ktｏ…ｏД_k1（Э₁ ）＝ｇ（Ｎ）^dTmod ｎ_T ステップ８ 登録機関Ｔ₁ は対応関係（ＩＤ_U ，Э₂ ，
Э₁ ）（図４）を、Ｔ _t は対応関係（Ｎ，Ｌ，Э₁ ）
を、それ以外のＴ_i は、対応関係（Э_i+1 ，Э_i）を、
それぞれ秘密にｃ_i −データベース１０６_i に管理す
る。登録情報から利用者の特定及びその逆 （Ｎ，Ｌ）→利用者 信頼できる第三者（例えば裁判所）からの要請により、
登録機関Ｔ₁ ，…，Ｔ _t は、ｃ_i −データベースを用い
て、（Ｎ，Ｌ）から利用者Ｕを捜し出す処理は以下の通
りである（図４参照）。

【００１４】ステップ１ 信頼できる第三者（例えば裁
判所）は（Ｎ，Ｌ）を登録機関Ｔ_tに送信する。 ステップ２ 登録機関Ｔ_t は受取証Ｌを用いて、ｃ_t −
データベース１０６_tから（Ｎ，Ｌ，Э_t ）を検索し、
Э_t を直前登録機関Ｔ_t-1 に送信する。 ステップ３ 登録機関Ｔ_i はЭ_i+1 を用いて、ｃ_i −デ
ータベース１０６_i から（Э_i+1 ，Э_i ）を検索し、Э
_i をその直前登録機関Ｔ_i-1 に送信する（ｉ＝ｔ−１，
…，２）。

【００１５】ステップ４ 登録機関Ｔ₁ はЭ₂ を用い
て、ｃ₁ −データベース１０５₁ から（ＩＤ_U ，Э₂ ，
Э₁ ）を検索し、そのＩＤ_U から利用者Ｕを特定し、信
頼できる第三者（例えば裁判所）機関にこれを伝える。 利用者→（Ｎ，Ｌ） 信頼できる第三者（例えば裁判所）からの要請により、
信託機関Ｔ₁ ，…，Ｔ _t は、ｃ_i −データベースを用い
て不正者Ｕの支払履歴Ｈを捜し出す処理は以下の通りで
ある（図４参照）。

【００１６】ステップ１ 信頼できる第三者（例えば裁
判所）は不正者の認証子ＩＤ_U を登録機関Ｔ₁ に送信す
る。 ステップ２ Ｔ₁ はＩＤ_U を用いて、ｃ₁ −データベー
ス１０６₁ から（ＩＤ _U ，Э₂ ，Э₁ ）を検索し、Э₂
を次の登録機関Ｔ₂ に送信する。 ステップ３ 登録機関Ｔ_i はЭ_i を用いて、ｃ_i −デー
タベース１０６_i から（Э_i+1 ，Э_i ）を検索し、Э
_i+1 を次の登録機関Ｔ_i+1 に送信する（ｉ＝２，…，ｔ
−１）。

【００１７】ステップ４ 登録機関Ｔ_t はЭ_t を用い
て、ｃ_t −データベース１０６_t から（Ｎ，Ｌ，Э_t ，
ｋ_t ）を検索し、受取証Ｌを特定し、信頼できる第三者
（例えば裁判所）機関にこれを伝える。

【００１８】

【発明の効果】この発明の効果は以下のとおりである。
全登録機関が結託しないかぎり、利用者Ｕと（Ｎ，Ｌ）
との関係を秘密にできる。一方、登録機関Ｔ₁ ，…，Ｔ
_t の協力により、（Ｎ，Ｌ）から利用者の追跡も、利用
者から（Ｎ，Ｌ）の追跡も出来る。この追跡は容易でか
つこの利用者以外の他の人のプライバシを侵すこともな
い。

【図面の簡単な説明】

【図１】この発明が適用されるシステム構成図を示すブ
ロック図。

【図２】端末利用許可証発行時における利用者端末２０
０の処理を示す機能構成図。

【図３】利用許可証発行時における登録機関１００の処
理を示す機能構成図。

【図４】（Ｎ，Ｌ）から利用者を追跡する処理、及び、
利用者から（Ｎ，Ｌ）を追跡する処理を説明するための
図。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ Ｈ０４Ｌ 9/32 Ｈ０４Ｌ 9/00 ６７５Ｂ (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 G06F 15/00 - 17/00 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (1)

(57)【特許請求の範囲】
1. 【請求項１】 利用者Ｕは、データＮを登録機関Ｔ＝
   （Ｔ₁ ，…，Ｔ_t ）の各装置に登録する際に、利用者Ｕの端末で登録 機関Ｔ₁ ，…，Ｔ_t に対して、鍵
   （ｋ₁ ，…，ｋ_t ）をそれぞれ生成し、上記端末で登録機関 Ｔ_i の公開鍵暗号関数Ｅ_i と鍵ｋ _i
   を用いて、 １＜ｉ＜ｔについてｃ_i ＝Ｅ_i （ｋ_i ‖ｃ_i-1 ）（ただ
   し、ｃ₀ は利用者Ｕの認証子ＩＤ_U とする）を、ｉ＝１
   からｉ＝ｔまで順次計算し、その最後の計算結果ｃ_t を
   得、上記データＮと計算結果ｃ _t を公開鍵暗号関数Ｅ _i を用
   いて、 Ｃ₁ ＝Ｅ₁ ｏ…ｏＥ_t （Ｎ‖ｃ_t ） を計算し（ここで、Ｅ_i ｏＥ_j （ｘ）：＝Ｅ_i （Ｅ
   _j （ｘ））を意味する）、 このＣ₁ を登録機関Ｔ₁ の装置に送信し、登録 機関Ｔ₁ の装置は公開鍵復号関数Ｄ₁ を用いて、 Ｃ₂ ＝Ｄ₁ （Ｃ₁ ）を計算し、その計算結果を登録機関
   Ｔ₂ の装置に送信し、以下 にｉ＝２，…，ｔ−１として、登録 機関Ｔ_i の装置は公開鍵復号関数Ｄ_i を用いて、登
   録機関Ｔ _i-1 の装置から受信したＣ _i に対し、 Ｃ_i+1 ＝Ｄ_i （Ｃ_i ）を計算し、その計算結果Ｃ _i+1 を
   登録機関Ｔ_i+1 の装置に送信することを、ｉ＝２，…，ｔ−１について順次行い 、最後に登録機関
   Ｔ_t の装置がＣ_t を受信し、登録 機関Ｔ_t の装置はＣ_t に対し、公開鍵復号関数Ｄ_t
   を用いて、 （Ｎ‖ｃ_t ）＝Ｄ_t （Ｃ_t ）を計算し、その計算結果中
   のｃ_t に対し、公開鍵復号関数Ｄ _t を用いて（ｋ_t ‖ｃ
   _t-1 ）＝Ｄ_t （ｃ_t ）を計算し、更に計算結果中のＮに対しデジタル署名をして 受取証Ｌ
   を生成し、計算結果中の ｋ_t を秘密鍵として受取証ＬをЭ _t ＝ε_kt
   （Ｌ）と暗号化し、（ｃ_t-1 ，Э_t ）を登録機関Ｔ_t-1
   の装置に送信し、登録 機関Ｔ_i の装置は登録機関Ｔ _i-1 の装置から受信し
   た（ｃ _i ，Э _i+1 ）中 のｃ _i について公開鍵復号関数Ｄ
   _i を用いて（ｋ_i ‖ｃ_i-1 ）＝Ｄ_i （ｃ_i ）を計算し、その計算結果中の ｋ_i と受信したЭ_i+1 より、ｋｉを秘
   密鍵としてЭ_i+1 をЭ_i ＝ε_ki（Э_i+1 ）と暗号化し、
   （ｃ_i-1 ，Э_i ）を登録機関Ｔ_i-1 の装置に送信するこ
   とをｉ＝ｔ−１，…，２について順次行い、 最後に登録機関Ｔ ₁ の装置が（ｃ₁ ，Э₂ ）を登録機関
   Ｔ ₂ の装置から受信し、 登録 機関Ｔ₁ の装置はｃ₁ について公開鍵復号関数Ｄ ₁
   を用いて（ｋ₁ ‖ＩＤ_U ）＝Ｄ₁ （ｃ₁ ）を計算し、認
   証子ＩＤ_U により利用者Ｕを特定し、 ｋ₁ とЭ₂ により、Э₁ ＝ε_k1（Э₂ ）を計算し、その
   計算結果Э₁ を利用者Ｕの端末に送信し、登録 機関Ｔ₁ 、Ｔ_i 、Ｔ_t の各装置はそれぞれ（Ｉ
   Ｄ_U ，Э₂ ，Э₁ ）、（Э_i+1 ，Э_i ）、（Ｎ，Ｌ，Э
   _t ）を保持し、利用者Ｕの端末は、（ｋ₁ ，…，ｋ_t ）
   と暗号化関数ε _i の復号関数Д _i を用いて、 Ｌ＝Д_ktｏ…ｏД_k1 （Э ₁ ）＝ｓｉｇ（Ｎ）を計算して受取証Ｌ を得ることを特徴とする匿名登録方
   法。