JP3171228B2

JP3171228B2 - 複数信託機関を利用した電子紙幣実施方法

Info

Publication number: JP3171228B2
Application number: JP5753796A
Authority: JP
Inventors: 龍明岡本; 英一郎藤▲崎▼
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1996-03-14
Filing date: 1996-03-14
Publication date: 2001-05-28
Anticipated expiration: 2016-03-14
Also published as: JPH09251499A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムを利用して電子的な現金を実現する電子紙幣実施方法
に関する。

【０００２】

【従来の技術】従来技術として、無条件追跡不能電子現
金とエスクロー電子紙幣（現金）について説明をする。無条件追跡不能電子現金電子現金はＩＣカードを電子現金の財布（電子財布）と
するような形で広く使われるようになる。その際には、
電子現金はいかなる物理媒体にも依存しないで、情報そ
のものが電子現金となるような形で電子財布に格納され
る形態が望ましい。

【０００３】電子現金の一つの実現策は、物理的な手段
によって安全性を保証する方法である。例えば、テレホ
ンカード等の磁気カードによるプリペイドカードは、カ
ード上の磁気状態を他のカードに物理的にコピーするこ
とが困難であるということを安全性の要として成り立っ
ている。しかしながら、この安全性の前提は世の中の製
造技術レベルの推移により大きく変化する。さらに、こ
の方式は常に物理媒体（磁気カード等）と一体で実現さ
れるため、情報の形の電子現金のように通信回線で転送
するようなことはできない。

【０００４】別の実現策は、クレジットカードのような
電子的ＩＤカード（電子クレジットカードもしくは電子
小切手）を用いて、後日決済する方法である。電子クレ
ジットカードでは、手書きの署名の代わりにディジタル
署名を用いることにより、処理の完全電子化（情報化）
を実現でき、その決済用情報を通信回線で転送できる。
しかし、この方式の欠点は、利用者のプライバシを保証
できない点である（これは、現行のクレジットカードや
小切手においても同様である）。つまり、クレジットカ
ードを発行・決済する機関は、自由に利用者の購買履歴
を入手できるのはもとより、また、小売店までも利用者
のクレジットカード番号や署名を知ることができる。

【０００５】一方、ブラインド署名（詳細は後述する）
と支払い時でのオンラインチェック（小売店が利用者の
提示した情報が二重／不正使用されていないかを、管理
センタにオンラインで問い合わせること）を組み合わせ
ることにより、上述した情報化、安全性、プライバシの
問題を解決できる。しかし、各小売店が各利用者の購買
時に必ずセンタにアクセスすることは、処理時間（利用
者の待ち時間）、通信コスト、管理センタでのオンライ
ン処理コスト及びデータベース維持管理コスト等を考え
ると、現実的な解とは言えない。従って、現金支払い時
の処理はオフラインで処理できることが望ましい。

【０００６】プライバシを重視し、オフライン処理可能
な電子現金方式としては、例えば、D.Chaum, A.Fiat an
d M.Naor, “Untraceable Electronic Cash,”Advances
inCryptology-Crypto'88, Lecture Notes in Computer
Science 403, pp.319-327,Springer-Verlag, Berlin(1
988), T.Okamoto etal. “Disposable Zero-Knowledge
Authentications and Their Applications to Untracea
ble Electronic Cash,”Advances in Cryptology-Crypt
o'89, Lecture Notes in Computer Science435, pp.481
-496, Springer-Verlag, Berlin(1989), T.Okamoto eta
l. “Universal Electronic Cash,”Advances in Crypt
ology-Crypto'91, Lecture Notes inComputer Science
576, pp.324-337, Springer-Verlag, Berlin(1991)など
がある。

【０００７】まず、利用者のプライバシを保証するため
の基本技術であるブラインド署名について説明する。ブ
ラインド署名では、署名者に文書の内容を秘密にしたま
まで署名を付けてもらう。ＲＳＡ法に基づいた方式が文
献 D.Chaum，“Security without Identification: Tra
nsaction Systems to Make Big Brother Obsolete,”Co
mm. of the ACM, 28, 10, pp.1030-1044(1985)で、ゼロ
知識対話証明に基づいたブラインド署名が文献 T.Okamo
to etal.“Divertible Zero-Knowledge Interactive Pr
oofs and Commutative Random Self-Reducible, ”The
Proc. of Eurocrypt'89(1989) で示されている。署名の
要求者は、ブラインド署名前処理によって文書ｍを乱数
ｒで攪乱してブラインドメッセージｘを生成する。署名
者は、秘密鍵を用いてブランイドメッセージｘに対応す
る仮の署名ｙを計算する。このとき、文書ｍは乱数ｒに
よって攪乱されているので、署名者は文書ｍを知ること
はできない。要求者は、ブラインド署名後処理によって
仮の署名ｙから乱数ｒの影響を除去して、本来の文書ｍ
に対する真の署名ｙ′を求めて、文書ｍと真の署名ｙ′
の組を検証者に送信する。検証者は、署名者の公開鍵を
用いて真の署名ｙ′が文書ｍの署名であることを確認す
る。ここで、検証者はｙとｙ′の対応関係を知ることは
できない。ブラインド署名の手順Ａを署名者、Ｐを署名要求者、ｅ_Aを署名者Ａの公開情
報とする。Ｆをブラインド署名前処理アルゴリズム、Ｄ
を多重ブラインド署名アルゴリズム、Ｇをブラインド署
名後処理アルゴリズムとする。これらの関数の使用法
は、Ｆ_eAとＤ_eAから作成した仮の署名Ω（＝Ｄ_eA（Ｆ_eA
（ｍ₁)，…，Ｆ_eA（ｍ_k))) にＧ_eAを施して、ｋ個のメ
ッセージｍ₁ ，…，ｍ_kに対する署名者Ａの真の署名Ｂ
＝Ｄ_eA（ｍ₁ ，…，ｍ_k）を算出する。署名者Ａと要求
者Ｐは以下の手順に従って多重ブラインド署名を作成す
る。ステップ１署名要求者Ｐはブラインド署名前処理によ
り、ｋ個のメッセージ｛ｍ_i｜ｉ＝１，２，…，ｋ｝か
らｋ個のブラインドメッセージ｛Ｆ_eA（ｍ_i）｜ｉ＝
１，２，…，ｋ｝を生成して、署名者Ａに送信する。こ
こで、それぞれのＦ_eA（ｍ_i) は独立に計算されてお
り、関数Ｆ_eAは乱数を使用してｍ_iを隠す。ステップ２署名者Ａは仮の署名Ω＝Ｄ_eA（Ｆ
_eA（ｍ₁)，…，Ｆ_eA（ｍ_k))をｋ個のブラインドメッセ
ージＦ_eA（ｍ₁ ），…，Ｆ_eA（ｍ_k）から生成して、署
名要求者Ｐに送信する。ステップ３署名要求者Ｐは、Ｇ_eAを用いたブラインド
署名後処理により、ｍ₁，…，ｍ_kに対応した署名者Ａ
の真のディジタル署名Ｂ＝Ｄ_eA（ｍ₁ ，…，ｍ_k）を算
出する。

【０００８】（ブラインド署名の手順の終り）ＲＳＡ法をブラインド署名に使用する場合には、ｘ_i＝
Ｆ_e（ｍ_i）＝ｒ_i ^e×m mod n 、ここでｒ_iは攪乱す
るための乱数、Ω＝Ｄ_e（ｘ₁ ，…，ｘ_k）＝Π₁ ＜ｉ
＜ｋ（ｘ_i）^dmod n ，Ｇ_e（Ω）＝Ω／（ｒ₁ ×…×
ｒ_k）mod n とおいて、Ｂ＝Π₁ ＜ｉ＜ｋ（ｍ_i）^dmo
d n となる。このとき、検証式Ｖ_e（ｍ₁ ，…，ｍ_k，
Ｂ）は（Π₁ ＜ｉ＜ｋ（ｍ_i))≡Ｂ^e（mod n)のとき合
格（ＯＫ）を出力する。ここで、（ｅ，ｎ）は署名者Ａ
の使用するＲＳＡ法の公開鍵であり、次の式をみたす。

【０００９】ｎ＝Ｐ×Ｑｅ×ｄ≡１（mod Ｌ）ただしＬ＝ＬＣＭ｛（Ｐ−１），（Ｑ−１）｝ここで、Ｌ＝ＬＣＭ｛ａ，ｂ｝はａとｂの最小公倍数
を、ａ≡ｂ（mod ｎ）は（ａ−ｂ）がｎの倍数であるこ
とを表す。以降ではｄを１／ｅと表すこともある。以下
の Chaum・Fiat・Naor法ではｋ＞１の場合を、後述する
実施例では、ｋ＝１の場合を想定する。

【００１０】ＲＳＡ暗号の構成例は、文献 Rivest, R.
L. etal. “A Method for ObtainingDigital Signature
s and Public-Key Cryptosystems”, Communications o
f the ACM, Vol. 21, No.2, pp.120-126,(1978) に示さ
れている。ブラインド署名の構成法は、例えば、Chaum,
D. “Blind Signature Systems”, US Patent No.:4,7
59,063 やOhta, K.etal. “Authentication System and
Apparatus Therefor”, US patent No.: 4,969,189に示
されている。

【００１１】ここで、代表的な電子現金方式である Cha
um・Fiat・Naor法での、銀行と利用者間での電子現金の
発行処理、利用者の小売店での電子現金の支払い、小売
店と銀行間の決裁処理について述べる。この発明の有効
性は、この方式と比較して後述する。電子現金の発行処理利用者Ｐが、銀行Ａから電子現金Ｃを発行してもらう手
順を示す。ここで、ｅ_Aは、利用者が指定する電子現金
の金額（例えば１万円）に対応する銀行のディジタル署
名用の公開鍵とする。利用者が銀行から電子現金を発行
してもらう手順は、以下の通りである。ステップ１利用者Ｐは、乱数ａ_i（ただし、ｉ＝１，
…，Ｋ）を生成して、公開された一方向関数ｇを用い
て、ｘ_i＝ｇ（ａ_i）ｙ_i＝ｇ（ａ_i（＋）ＩＤ）を求める。（＋）は排他的論理和演算を示す。ステップ２利用者Ｐは、公開された一方向関数ｆとブ
ラインド署名前処理関数Ｆ_eAを用いて、Ｗ_i＝Ｆ_eA（ｆ（ｘ_i，ｙ_i)) を計算して、銀行に提示する。ステップ３銀行Ａは、１からＫの中からランダムにＫ
／２個の部分集合Ｕ＝｛ｉ_T｝，（ただし１＜Ｔ＜Ｋ／
２に対して１＜ｉ_j ＜Ｋ）を選び、それを開示要求とし
て利用者Ｐに送信する（以下では、表記を簡単にするた
めに、Ｕ＝｛Ｋ／２＋１，Ｋ／２＋２，…，Ｋ｝が開示
要求として指定されたと仮定して説明する）。Ｋ個の中
からランダムにＫ／２個の部分集合の開示を要求する手
順を「抜き打ち検査」とよぶ。ステップ４利用者Ｐは、銀行Ａから開示要求を受信す
ると、指定されたＫ／２個のａ_iとＷ_iを作成するため
に関数Ｆ_eAの中で用いた乱数を銀行Ａに開示する。ステップ５銀行Ａは、開示されたＫ／２組のすべてに
ついて正当性の検証を行ない、いずれかの検査に不合格
のときには、以降の処理を中止する。すべての検査に合
格のときには、銀行Ａは開示対象でないｉ（ここでは、
ｉ＝１，２，…，Ｋ／２）に対して、次の手順を行な
う。ステップ６銀行Ａは、仮の署名関数Ｄ_eAを用いて、 Ω＝Ｄ_eA（Ｗ₁ ，…，Ｗ_K/2 ）を計算して、利用者Ｐに送信する。ステップ７利用者Ｐは、銀行Ａからの受信データΩか
ら電子現金Ｃを、ブラインド署名後処理関数Ｇ_eAを用い
て以下のように計算をして得る。

【００１２】Ｃ＝Ｇ_eA（Ω）＝Ｄ_eA（ｆ（ｘ₁ ，ｙ₁ ），…，ｆ（ｘ_K/2,ｙ_K/2)) 電子現金による支払つぎに、利用者Ｐが銀行Ａより発行された電子現金Ｃを
用いて小売店Ｖで支払をする場合について説明する。そ
れぞれのｉ（ただしｉ＝１，２，…，Ｋ／２）に対し
て、次の処理を実行する。ステップ１利用者Ｐは、電子現金Ｃを小売店Ｖへ送信
する。ステップ２小売店Ｖは乱数ビットｅ_iを生成して、利
用者Ｐへ送信する。ステップ３利用者Ｐは、ｅ_i＝１のときａ_iとｙ
_iを、ｅ_i＝０のときｘ_iとａ_i（＋）ＩＤを小売店Ｖ
へ送信する。ステップ４小売店Ｖは、銀行Ａの公開鍵ｅ_Aを用い
て、Ｃがメッセージｆ（ｘ₁ ，ｙ₁ ），…，ｆ（ｘ
_K/2 ，ｙ_K/2 ）の正しい署名であることを検査する。決済最後に、小売店Ｖと銀行Ａの間の決済方法について説明
する。小売店Ｖは、利用者との電子現金使用時の交信履
歴Ｈを銀行Ａに提出する。銀行Ａは履歴Ｈの正当性を検
査し、検査に合格すれば、履歴Ｈを記憶しておくと共に
小売店Ｖの口座に該当する金額を払い込む（もしくは、
何らかの手段で該当する金額を小売店に支払う）。銀行
Ａは、電子現金の不正使用を見つけると、履歴Ｈとすで
に記憶している交信履歴から電子現金Ｃに対応して記憶
しているａ_iとａ_i(+) ＩＤを探し出して、不正者の識
別情報ＩＤを確定する。

【００１３】（Chaum ・Fiat・Naor法の終り）利用者が不正に電子現金Ｃを２回使用すると、ｅ_i＝１
のときａ_i，ｅ_i＝０のときａ_i(+) ＩＤが銀行に記憶
されているので、１回目と２回目のｅ_iが異なる場合に
は、ａ_i(+) （ａ_i(+) ＩＤ）＝ＩＤが成り立つので、
銀行Ａはこれを計算してＩＤを検出できる。銀行Ａは、
Ｋ／２ビットを問い合わせるので、電子現金Ｃの二重使
用を検出できない確率は２^-K/2となる（通常、Ｋ＝２０
程度が推奨されている）。エスクロー電子現金先に述べた電子現金方式では、利用者のプライバシは、
ブラインド署名を用いることで、利用者だけの責任にお
いて保証できる。すなわち、攪乱用の乱数ｒの付加と除
去を利用者が実行するので、ｒを秘密にする限りは、誰
もがｙとｙ′の対応関係を知ることはできない。しか
し、このように無条件に匿名性を持つ方式は、お金の流
れを完全に追跡不能にできるので、マネーロンダリング
や誘拐犯の完全犯罪に悪用されるおそれが文献 S. von
Solms and D. Naccache,“On BlindSignature and Perf
ect Crimes ”, Computers and Security, 11, pp.581-
583(1992)で指摘されている。

【００１４】この欠点を解決するため「エスクロー電子
現金」と呼ばれる方式が幾つか提案されている。代表的
な方式として、文献 Brickell, E., Gemmell, P., and
Kravitz, D.,“Trustee-based Tracing Extensions to
Anonymous Cash and the Making of Anonymous Change
”，Proceedings of SODA95, pp.457-466.と文献 Stad
ler, M., Piveteau, J., and Camenisch, J.,“Fair Bl
ind Signature”，Proceedings of Eurocrypt 95, pp.2
09-219(1995) があげられる。

【００１５】これらの方式の特徴は、利用者の秘密情報
を幾つかの信頼できる機関（信託機関）に強制的に登録
させることで、利用者がシステムに対する不正行為、す
なわち、電子現金の偽造や二重使用等を行なわなくて
も、裁判所の許可などで信託機関が協力し合えば、取り
引き履歴から利用者を特定することが可能になることで
ある。しかし、これらの方式には、なお次の問題点が存
在する。

【００１６】

【発明が解決しようとする課題】前述の両電子現金方式
は、銀行や信託機関の秘密鍵を盗まれたり強要された場
合には、対処することが出来ない。

【００１７】

【課題を解決するための手段】銀行や信託機関の秘密鍵
を盗まれたり強要された場合の犯罪への対策として、機
能が複数の信託機関Ｔ₁ ，…，Ｔ_t を設ける。利用者
は、銀行へ電子紙幣の発行要求時に使われる乱数λを、
secret-sharingの要領で、信託機関Ｔ₁ ，…，Ｔ_tに委
託するという行為が求められる（この方式の説明は、文
献 Shamir, A.,“How to share a secret ”，Communic
ations of the ACM, v.24, n.11, Nov 1979,pp.612-613
を参照して欲しい）。銀行の秘密鍵等が破られた、盗
まれた、脅しとられたのような不測の事態が起きた場
合、信託機関Ｔ₁ ，…，Ｔ_tが協力することでλを復元
し、全ての正しいλの表を作成し、小売店に送信又は小
売店の問い合わせに答えることで、小売店での支払時に
犯罪者を識別出来るようになる。

【００１８】

【発明の実施の形態】以下では、この発明の一実施例に
ついて説明する。図１はこの発明が適用されるシステム
を示す。複数の信託機関側装置１００、利用者端末２０
０、銀行側装置３００、裁判所側装置４００及び小売店
側装置５００は、例えば通信回線を介して接続されてい
るが、情報を記録できるＩＣカード等を介しての接続で
あってもよい。

【００１９】実施例の署名方式と公開鍵暗号は全てＲＳ
Ａ署名にのっとったが、この実施例は、任意の一方向性
関数ｇ、ディジタル署名方式、公開鍵暗号方式により実
現出来る（一方向性関数、ディジタル署名方式、公開鍵
暗号については、岡本栄司著「暗号理論入門」（共立出
版）を参照されたい）。準備この発明の電子紙幣実施方法では、利用者は、銀行へ電
子紙幣の発行要求時に、乱数λを、secret-sharingの要
領で信託機関Ｔ₁ 側装置，…，信託機関Ｔ_t 側装置に委
託する。銀行の秘密鍵等が盗まれたり脅しとられたよう
な場合、信託機関Ｔ₁ 側装置，…，信託機関Ｔ_t 側装置
が協力することでλを復元し、全ての正しいλの表を作
成し、小売店側装置に送信又は小売店側装置の問い合わ
せに答えることで、小売店側装置での支払時に犯罪者を
識別出来る。

【００２０】公開の一方向性関数としてｇを定める（こ
の計算を行なう装置を、ｇ計算器と呼ぶ）。λを分割管
理するためのパラメータとしてｒを公開する。入力
（λ，λ₁ ，…，λ_t）に対して（λ（１），…，λ
（ｔ))を出力する計算器をλ計算器、入力（λ（１），
…，λ（ｔ))に対して、λを出力する計算器をλ復号器
と呼ぶ（ただし、λ（ｘ）＝λ＋λ₁ ｘ＋…＋λ_t-1 ｘ
^t-1 mod ｒ）とする。明らかに、λ計算器、λ復号器は
巾乗剰余の四則演算で実行出来る。

【００２１】信託機関Ｔ_i 側装置(i＝１，・・・，
ｔ）、銀行側装置の署名アルゴリズム及び公開鍵暗号
は全てＲＳＡ方式とし、それぞれの秘密鍵と公開鍵は、
（ｄ_Ti，ｎ_Ti），（ｅ_Ti，ｎ_Ti），（ｄ_w，ｎ_w），
（ｅ_w，ｎ_w）とする。今、信託機関Ｔで、信託機関Ｔ
_iの集合体Ｔ＝（Ｔ₁ ，…，Ｔ_t）を表す。銀行側装置
の署名はそれぞれ、電子紙幣の正当性の検査に使用す
る。

【００２２】銀行側装置が発行できる電子紙幣金額を複
数にしたい場合には、それに応じた数の（ｄ_w，ｎ_w）
及び（ｅ_w，ｎ_w）の対を作成しておき、その金額と
（ｅ_w，ｎ_w）を共に公開しておく。電子紙幣の発行処理つぎに、利用者Ｕが銀行Ａから電子紙幣Ｃを発行しても
らう手順を示す。ここで、（ｅ_w，ｎ_w）は、利用者が
指定する電子紙幣の金額（Ｘ円）に対応する銀行のディ
ジタル署名用の公開鍵である。利用者Ｕが銀行Ａから電
子紙幣Ｃを発行してもらう手順は、以下の通りである
（図２、３参照）。ステップ１利用者Ｕは、その利用者端末２００におい
て乱数発生器２１０（図２）を用いて乱数λを生成して
メモリ２２０に記憶し、さらに、乱数発生器２１０を用
いて乱数λ₁ ，…，λ_t-1 を生成する。λ計算器２３０
を用いてλ（１），…，λ（ｔ）を計算する（λ（ｘ）
＝λ＋λ₁ ｘ＋…＋λ_t-1 ｘ^t-1 mod ｒ）。さらに、信
託機関Ｔ₁ ，…，Ｔ_tの公開鍵（ｅ_T1，ｎ_T1），…，
（ｅ_Tt，ｎ_Tt）と公開鍵暗号計算器Ｅ２４０₁ 〜２４０
_tを用いてそれぞれＥ₁ （λ（１）），…，Ｅ_t（λ
（ｔ））を求め、信託機関Ｔ₁ 側装置，…，信託機関Ｔ_t
側装置にそれぞれ送る。

【００２３】利用者端末２００では乱数λとＮより、ｇ
計算器２２１を用いてｇ（Ｎ‖λ）を計算して、巾乗剰
余計算器２２２により乱数Ｒと金額情報（Ｘ円）と対応
した公開鍵（ｅ_w，ｎ_w）を用いてＲ^ew mod ｎ_wを計
算し、更に剰余乗算器２２３を用いてＺ＝ｇ（Ｎ‖λ）Ｒ^ew mod ｎ_w を計算し、つまりディジタル署名前処理を行い、Ｚを電
子紙幣の金額情報（Ｘ円）と共に銀行側装置３００に送
信する。ステップ２銀行側装置３００は、電子紙幣の金額Ｘに
対応する秘密鍵（ｄ_w，ｎ_w）と巾乗剰余計算器３１０
を用いて Θ＝Ｚ^dw mod ｎ_w を求め、つまり仮り署名をして利用者端末２００に送信
する。同時に、利用者Ｕの口座から該当する金額Ｘを引
き落とすか、何らかの手段で利用者Ｕから該当する金額
Ｘを受領する。ステップ３利用者端末２００は、受信した仮り署名
Θ、指定した金額Ｘの公開鍵（ｅ_w，ｎ_w）、乱数Ｒ、
剰余逆算計算器２２４を用いてＣ＝Θ／Ｒ mod ｎ_w で計算し、ディジタル署名後処理をして電子紙幣Ｃを得
てメモリ２２０へ記憶する（ここで、Ｃ＝ｇ（Ｎ‖λ）
^dw mod ｎ_wとなることに注意）。ステップ４各信託機関Ｔ_i 側装置１００は図３に示す
ように自らの秘密鍵（ｄ_Ti，ｎ_Ti）と復号計算器Ｄ１１
０ｉを用いて受信したＥ _i (λ（ｉ）)を復号計算してλ
（ｉ）を求め、秘密にλ_i−データベース１２０ｉに記
憶しておく。

【００２４】利用者Ｕが電子紙幣Ｃで支払いをする場合
は、利用者端末２００よりＣとＮ、λとを小売店側装置
５００へ送る。小売店側装置５００は銀行Ａの金額Ｘ円
と対応する公開鍵ｅ_w，ｎ_wを用いてＣが銀行Ａの正し
い署名であることを検査する。つまりＣ^ew mod ｎ_w＝ｇ（Ｎ‖λ） mod ｎ_w が成立するかの計算により検査し、成立すれば電子紙幣
Ｃは正しいものとする。電子紙幣方式における犯罪対策信頼できる第三者（例えば裁判所）からの要請により、
信託機関Ｔ₁ ，…，Ｔ_tは、λ_i−データベースを用い
て犯人の特定をする処理は以下の通りである（図４参
照）。ステップ１信頼できる第三者（例えば裁判所）側装置
４００からの要請を各信託機関Ｔ _i 側装置が受信する
と、信託機関Ｔ₁ 側装置，…，信託機関Ｔ_t 側装置は、
各λ_i−データベース１２０ｉから、秘密情報λ
（１），…，λ（ｔ）をそれぞれ取り出す。信託機関Ｔ
側装置はこれらλ（１），…，λ（ｔ）とパラメータｒ
を用いて、λをλ復元器１３０で復元計算（λ（ｘ）＝
λ＋λ₁ ｘ＋…＋λ_t-1 ｘ^t-1 mod ｒ）し、λ−データ
ベース１４０に保存する。これを全てのλについて行な
う。ステップ２小売店側装置５００は、利用者端末２００
との支払処理時に、利用者端末２００から受け取ったλ
がλ−データベース１４０に存在するものかを、信託機
関Ｔ側装置１００に問い合わせ、もしこれが存在しない
ものとすると、利用者端末２００を不正者と特定する。

【００２５】

【発明の効果】この発明の効果は以下のとおり。銀行や
信託機関の秘密鍵を盗まれたり強要された場合、信託機
関Ｔ₁ ，…，Ｔ_tが協力することでλを復元し、全ての
正しいλの表を作成し、小売店に送信又は小売店からの
問い合わせに答えることで、小売店での支払時に犯罪者
を識別出来るようになる。

【図面の簡単な説明】

【図１】この発明が適用されるシステムの構成例を示す
ブロック図。

【図２】図１中の利用者端末と銀行側装置内での電子紙
幣発行処理の機能構成を示すブロック図。

【図３】図１中の銀行側装置と信託機関側装置での電子
紙幣発行処理の機能構成を示すブロック図。

【図４】図１中の信託機関側装置と小売店側装置とによ
る犯人追跡処理の機能構成を示すブロック図。

───────────────────────────────────────────────────── フロントページの続き (56)参考文献特開平４−367070（ＪＰ，Ａ) 特開平５−20344（ＪＰ，Ａ) ＰｒｏｃｅｅｄｉｎｇｓｏｆＥｕｒｏｃｒｙｐｔ 95，ｐ．209−219 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 19/00 G09C 1/00 640 G09C 1/00 660 H04L 9/32 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims

(57)【特許請求の範囲】

【請求項１】電子紙幣を発行する機関（以下、銀行と
いう）が有する装置（以下、銀行側装置という）と、電
子紙幣を発行される者（以下、利用者という）が有する
装置（以下、利用者端末という）と、利用者より電子紙
幣を受領する機関（以下、小売店という）が有する装置
（以下、小売店側装置という）と、複数の信託機関
Ｔ _１ ,・・・,Ｔ _ｔがそれぞれ有する装置（以下、信託機
関Ｔ _１側装置,・・・,信託機関Ｔ _t 側装置という）と、
これら信託機関Ｔ _１側装置,・・・,信託機関Ｔ _t 側装置
を統合する信託機関装置とによる電子紙幣実施方法であ
って、利用者が銀行から電子紙幣を発行してもらう際には、利
用者側装置が電子紙幣Ｃに対応する乱数λを生成し、更
に乱数（λ₁ ，…，λ_t-1 ）を生成し、上記信託機関Ｔ
₁ ，…，Ｔ_tの各公開鍵暗号Ｅ₁ ，…，Ｅ_tを用いてＥ
₁ （λ（１）），…，Ｅ_t（λ（ｔ））をそれぞれ計算
し、これらＥ ₁ （λ（１）），…，Ｅ _t （λ（ｔ））を
信託機関Ｔ _１側装置,・・・,信託機関Ｔ _t 側装置へ送信
し、ここでλ（ｘ）をλ（ｘ）＝λ＋λ ₁ ｘ＋…＋λ
_t-1 ｘ ^t-1 mod ｒとおく、信託機関Ｔ _１側装置,・・・,信託機関Ｔ _t 側装置はそれ
ぞれその秘密鍵を用いて受信したＥ _i （λ（i））（i＝
１，２，…，t）を復号して λ（i）を求め、それぞれ
そのデータベースに秘密に記憶し、要求に応じて信託機関Ｔ _１側装置,・・・,信託機関Ｔ _t
側装置はそれぞれデータベースよりλ（i）を取出し、
信託機関Ｔ側装置はこれらλ（１），…，λ（ｔ）と上
記ｒを用いてλを復元計算し、全ての正しいλの表を作成し、信託機関側装置は小売店側装置にλの表を送信又は小売
店側装置からの問い合わせに答えることで、小売店側装
置に対する利用者端末からの電子紙幣による支払時に犯
罪者の識別を可能とすることを特徴とする複数信託機関
を利用した電子紙幣実施方法。