JP3298826B2 - 匿名通信方法及び装置及びプログラム記録媒体 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信装置を
介して例えばアンケート調査その他の投票を実施する場
合に、匿名性を保ちつつ、結果の検証が可能な通信に適
用される匿名通信方法、その装置およびプログラム記録
媒体に関する。

【０００２】

【従来の技術】現在行われている物理的媒体、即ち投票
用紙を用いた投票では、投票用紙を不透過な投票箱に入
れる事によって匿名性を保ち、集計時まで投票箱を開け
られないように鍵を掛ける事によって紛失を防ぎ、集計
時には複数人の監視の元に集計を行うことによって結果
の正当性を保っている。

【０００３】電気通信装置を介するシステムにおいて、
上記匿名性を保ちつつ結果の正当性を検証可能とする方
式として、例えば、論文“Receipt-free mix-type voti
ng scheme-a practical solution to the implementati
on of a voting booth- ”，Eurocrypt'95，vol.950 of
LNCS ，page 393-403，Springer-Verlag に示される方
法がある。

【０００４】この方法によれば、暗号化されたメッセー
ジのセットは各ノードによって部分的に復号化され、ラ
ンダムに置換された後、次のノードへ送付され、最後の
ノードまで逐次同様の処理を行うことにより、最終的に
ランダムに置換された復号結果を得る。この方法では各
ノードが個々の動作の正当性を証明する証明書を作成す
ることにより、全体としての匿名性および結果の正当性
を証明する。即ち、各ノードは、そのノードの出力がそ
のノードの入力の部分的復号結果をランダムに置換した
ものである事を実際の置換順序を明かさずに零知識証明
によって証明する。各ノードが用いたランダム置換が秘
匿されている限り匿名性は保たれる。

【０００５】

【発明が解決しようとする課題】上記従来法によれば、
検証者は各ノードによる零知識証明を逐次検証する必要
があり、検証に必要な計算量はノード数に比例して増大
する。電子通信装置を介する選挙においては、強力な電
子計算機を持たない多くの一般投票者が検証者となるこ
とが想定されるため、検証に必要な計算量は少ないこと
が望まれる。

【０００６】この発明は、検証に必要な計算量をノード
数と無関係に一定に押さえ、強力でない計算機環境を持
つ検証者に短時間で検証を実行することを可能とする。

【０００７】

【課題を解決するための手段】匿名通信網をランダム置
換ノード装置Ｐ₁ 〜Ｐ_m と復号ノード装置Ｄ₁ 〜Ｄ_kか
ら構成する。各復号ノード装置Ｄ_i は公開鍵ＫＰ_i およ
び秘密鍵ＫＳ_i を保持する。予め定めた暗号鍵合成関数
ＦＰ（）および復号鍵合成関数ＦＳ（）に関して、ＫＰ
＝ＦＰ（ＫＰ₁ ，…，ＫＰ_k ）、ＫＳ＝ＦＳ（ＫＳ₁ ，
…，ＫＳ_k ）となるＫＰ，ＫＳをそれぞれ公開暗号化
鍵、復号鍵とする。メッセージ送信者装置Ｓ_j はメッセ
ージｍ_j をＫＰで暗号化し、掲示板装置へ送付する。掲
示板装置は、予め定めた期限等の条件によってメッセー
ジの受付を締切る。掲示板装置は暗号化されたメッセー
ジＥ₀₁，…，Ｅ_0n を署名付きでランダム置換ノード装
置Ｐ ₁ へ送付する。ランダム置換ノード装置Ｐ₁ は予め
定めたランダム化関数Ｒ（）にＥ_i および乱数ｒ_i を順
次入力して、出力Ｅ’₁₁，…，Ｅ’_1nを得る。更にラン
ダム置換関数Ｒ_i によってＥ_1j＝Ｅ’_1Ri(j)として順序
を入れ換え、その出力Ｅ₁₁，…，Ｅ_1nを署名と共に次の
ノード装置Ｐ₂ へ送付する。各ランダム置換ノード装置
は上記処理を行い、最後のランダム置換ノード装置Ｐ_m
は出力Ｅ_m1，…，Ｅ_mnを掲示板装置へ送付する。

【０００８】次に、各ノード装置Ｐ_i はＥ_mj＝Ｒ（Ｅ
_0Ri'(j) ，ｒ_j ’）なる乱数ｒ_j ’と置換Ｒ_i ’が存在
することの証明Ｐｐを協力して作成する。証明Ｐｐが不
正の場合、各ノード装置Ｐ_i は計算に用いた全ての乱数
ｒ_j およびＲ_i と、一つ前のノード装置Ｐ_i-1 から受信
した全ての値を公開する。公開を拒否するノード装置あ
るいは公開した値が正常な計算と合格しないノード装置
が発見された場合は、そのノード装置を除外し、メッセ
ージ受付締切後の処理をもう一度繰り返す。証明Ｐｐが
正しい場合は、掲示板装置へ証明Ｐｐを公開する。

【０００９】復号ノード装置は公開された証明Ｐｐを検
証し、証明Ｐｐが不正である場合は上記と同様の手段で
不正なノード装置を発見し、ランダム置換ノード装置に
計算を再実行させる。証明Ｐｐが正しい場合、各復号ノ
ード装置Ｄ_i は各ノード装置の復号鍵ＫＳ_i により、Ｅ
_m1，…，Ｅ_mnを復号し、Ｄ_i1，…，Ｄ_inを得る。各復号
ノード装置は全復号ノード装置の出力を関数Ｃ（）によ
り合成し、一つの復号結果Ｄ₁ ，…，Ｄ_n を得る。掲示
板装置にＤ₁ ，…，Ｄ_n を公開した後、各復号ノード装
置は合成された復号結果が復号鍵ＫＳによる復号結果と
等価であることを協力して証明する。この証明Ｐｄは各
ノード装置Ｄ_i によって検証された後、掲示板装置に公
開される。

【００１０】外部の検証者は、Ｅ₀₁，…，Ｅ_0n、Ｅ_m1，
…，Ｅ_mn、Ｄ₁ ，…，Ｄ_n を掲示板装置から入手し、Ｐ
ｐ，Ｐｄが正しいことを検証する。

【００１１】

【発明の実施の形態】暗号化関数としてＥｌＧａｍａｌ
暗号を用い、この発明の実施例を説明する。この実施例
のシステム構成を図１に示す。共通パラメータとして、
大きな素数ｑに対してｐ＝２ｑ＋１なる大きな素数ｐ
と、ｑが作る部分群Ｇ_q の生成元ｇが公開されているも
のとする。以下の説明における演算は特に表記がない限
り、全てmod ｐを取るものとする。各復号ノード装置Ｄ
_i （ｉ＝１，２，…，ｍ）は秘密鍵Ｘ_i および公開鍵Ｙ
_i ＝ｇ＾Ｘ_i を生成する。Ａ＾ＢはＡ^B を表わす。全復
号ノード装置Ｄ_i の公開鍵Ｙ_i から、Ｙ＝Ｙ₁ ・Ｙ₂ …
Ｙ_m として暗号鍵Ｙを作成して公開する。このとき、暗
号鍵Ｙに対応する復号鍵ＸはＸ＝Ｘ₁ ＋Ｘ₂ ＋…＋Ｘ_m
mod ｑとなり、全復号ノード装置Ｄ_i が秘密鍵Ｘ_i を明
かさない限り、どの復号ノード装置Ｄ_i も復号鍵Ｘの値
を知り得ない。

【００１２】各メッセージ送信者装置Ｓ_j （ｊ＝１，
２，…，ｎ）は、そのメッセージｍ_j＜ｐをＧ_q の要素
となるように選択し、乱数ｒ_0jを用いてＥ_0j＝（Ｍ_0j，
Ｇ_0j）＝（ｍ_j ・Ｙ＾ｒ_0j，ｇ＾ｒ_0j）を計算し、つま
りメッセージｍ_j を暗号化して掲示板装置１１へ送付す
る。掲示板装置１１は送信者装置Ｓ_j の認証を行い、予
め決められた送信者装置Ｓ _j からのみ書き込み要求を受
け付ける。書き込まれた全てのデータＥ_0jは逐次公開さ
れる。掲示板装置１１への読出しアクセスは誰でも実行
することが可能であり、データＥ_0jは掲示板装置１１の
署名付きで読み出しアクセスを実行したエンティティー
（読出し要求者）に送付される。

【００１３】予め定めた規定に従ってメッセージの受信
が締切られた時点で、ｎ個のメッセージが掲示されてい
たものとする。ランダム置換ノード装置Ｐ_i （ｉ＝１，
２，…，ｍ）は以下のランダム置換手順を実行する。図
２と図３に示すようにランダム置換ノード装置Ｐ₁ は読
込み部２０１により掲示板装置１１からＥ₀₁，…，Ｅ_0n
を読み出し（Ｓ１）、ｉ＝１に初期化する。装置Ｐ₁ は
乱数生成部２０２から乱数ｒ_1jを生成し、ランダム化部
２０３で Ｅ’_1j＝（Ｍ_0j・Ｙ＾ｒ_1j、Ｇ_0j・ｇ＾ｒ_1j） ・・・（１） を計算してデータ（Ｍ_0j，Ｇ_0j）をランダム化する。更
にランダム置換部２０４によってランダム置換関数Ｒ₁
で暗号化データＥ’_1jを Ｅ_1j＝Ｅ’_1Ri(j) ・・・（２） として順序を入れ換え、その出力Ｅ₁₁，…，Ｅ_1nをこれ
に対する装置Ｐ₁ の署名を署名部２０５で付けて次のノ
ード装置Ｐ₂ へ送信部２０６から送付する。以下、各ラ
ンダム置換ノード装置Ｐ_i は乱数ｒ_ijを生成し（Ｓ
３）、 Ｅ’_ij＝（Ｍ_i-1,j ・Ｙ＾ｒ_ij、Ｇ_i-1,j ・ｇ＾ｒ_ij） ・・・（３） を計算する（Ｓ４）。更にランダム置換関数Ｒ_i によっ
て Ｅ_ij＝Ｅ’_iRi(j) ・・・（４） として順序を入れ換え（Ｓ５）、ｉ＝ｍでなければ（Ｓ
６）、その出力Ｅ_i1，…，Ｅ_inを署名と共に次のノード
装置Ｐ_i+1 へ送付し（Ｓ７）、ｉを＋１してステップＳ
３に戻る（Ｓ８）。

【００１４】各ランダム置換ノード装置Ｐ_i は上記処理
を行い、最後のランダム置換ノード装置Ｐ_m は出力
Ｅ_m1，…，Ｅ_mnを掲示板装置１１へ送付する（Ｓ９）。
次に、各ランダム置換ノード装置Ｐ_i は協調して証明Ｐ
ｐを発行する以下の証明手順を実行する。つまり各装置
Ｐ_i はそれぞれ不正をすることなく正しい処理（図３に
示したランダム置換処理）をしたことの証明Ｐｐを協調
して発行する。

【００１５】装置Ｐ₁ は乱数ｔ_1jを生成し、 Ｔ’_1j＝（Ｍ_0j・Ｙ＾ｔ_1j、Ｇ_0j・ｇ＾ｔ_1j） ・・・（５） を計算する。更にランダム置換関数ｗ₁ によって Ｔ_1j＝（Ｕ_1j，Ｖ_1j）＝Ｔ’_1,w1(j) ・・・（６） として順序を入れ換え、その出力Ｔ₁₁，…，Ｔ_1nを装置
Ｐ₂ へ送付する。同様に装置Ｐ_i は Ｔ’_ij＝（Ｕ_i-1,j ・Ｙ＾ｔ_ij、Ｖ_i-1,j ・ｇ＾ｔ_ij） ・・・（７） を計算し、ランダム置換関数ｗ_i によって順序を入れ換
えた出力を次の装置Ｐ_{i+ 1} へ送付する。最後のノード装
置Ｐ_m はＴ_m1，…，Ｔ_mnを掲示板装置１１へ送付する。
つまり乱数ｒ_ijの代りにｔ_ijを生成し、置換関数Ｒ_i の
代りに置換関数ｗ _i を用いて、図３に示したと同様なラ
ンダム置換処理を行う。

【００１６】ここで、置換の合成ｗ’ｉ(j) はｗｉ・ｗ
ｉ＋１ …ｗｍ(j) を表すものとし、特に、ｗ’ｉ(j)
はｗ１ ・ｗ２ …ｗｍ(j) を表すものとすると、全ての
Ｔ_mjが正しく作成されている場合、 ｔ_j ＝ｔ_1,w1...wm(j)＋ｔ_2,w2...wm(j)＋…＋ｔ_m,wm(j) ・・・（８） として、 Ｕ_mj＝Ｍ_0,w'(j) ・Ｙ＾ｔ_j ・・・（９） およびＶ_mj＝Ｇ_0,w'(j) ・ｇ＾ｔ_j ・・・（10） が成り立つ。

【００１７】（９）の成立は以下の様に説明できる。ま
ず、ランダム置換ノード装置Ｐ₁ の出力は、 Ｕ_1,ｊ＝Ｍ_O,w1(j) ・Ｙ＾ｔ_1,w1(j) であり、続くノード装置Ｐ₂ の出力は、 Ｕ_2,j ＝Ｕ_1,w2(j) ・Ｙ＾ｔ_2,w2(j) ＝Ｍ_0,w1w2(j) ・Ｙ＾（ｔ_1,w1w2(j)＋ｔ_2,w2(j)） となる。従って、ノード装置Ｐ_m の出力は、 Ｕ_m,j ＝Ｍ_{0,w1w2...wm(j)}・Ｙ＾（ｔ_1,w1...wm(j)＋ｔ_2,w2...wm(j)＋…＋ｔ_{m, wm(j)} ） ＝Ｍ_0,w'(j) ・Ｙ＾ｔ_j となり、式（９）が成立する。式（１０）も全く同様に
説明される。

【００１８】さらに、Ｒ_i ^-1をＲ_i の逆置換関数とし
て、Ｒ_i ^-1・Ｒ_i-1 ^-1…Ｒ₁ ・ｗ₁ …ｗ_i-1 ・ｗ_i を
ｚ’_i (j) で表すと、全てのＥ_mjが正しく作成されてい
る場合、 ｓ_j ＝ｔ_1,w1...wm(j)−ｒ_1,w1...wm(j)＋… ＋ｔ_i,wi...wm(j)−ｒ_i,z'i-1 ｗ_i...ｗ_m （_j）＋… ＋ｔ_m,wm(j) −ｒ_{m,z'm-1 ・ wm(j)} （mod ｑ) ・・・（11） として、Ｕ_mj＝Ｍ_m,z'm(j)・Ｙ＾ｓ_j ・・・（12） およびＶ_mj＝Ｇ _m,z'm(j) ・ｇ＾ｓ_j ・・・（13） が成り立つ。式（１２）の成立は以下の様に説明でき
る。まず、Ｕ_m,j の場合と同様に、Ｍ_m,j は、 Ｍ_m,jj ＝Ｍ_0,R1...Rm(j) ・Ｙ＾（ｒ_1,R1...Rm(j) ＋_...＋ｒ_m,Rm(j) ） と書ける。従って、Ｍ_m,z ´_m(j) ＝Ｍ_0,R1...Rmz ´_m(j)・Ｙ＾（ｒ_1,R1...Rmz ´_m(j)＋_...＋ｒ_m,Rmz ´_{m(j )} ） ＝Ｍ_0,R1...Rm・_Rm ^-1 _{... R1} ^-1・_W1...Wm(j) ・Ｙ＾（ｒ_1,R1...Rm・_Rm ^-1 _{... R1} ^-1 ・_W1...Wm(j) ＋_...＋ｒ_m,Rm・_Rm ^-1 _{... R1} ^-1・_W1...Wm(j) ）_... ＝Ｍ_0,W1...Wm(j) ・Ｙ＾（ｒ_1,W1...Wm(j)＋_...＋ｒ_m,zm-1・_wm(j) ） となる。よって、 Ｕ_m,j ／Ｍ_m,z ´_(j) ＝Ｍ_0,W1...Wm(j) ・Ｙ＾（ｔ_1,W1...Wm(j) ＋_...＋ｔ_m,wm(j) ） ／Ｍ_0,W1...Wm(j) ・Ｙ＾（ｒ_1,W1...Wm(j) ＋_...＋ｒ_m,zm-1・_wm(j) ） ＝Ｙ＾（ｔ_1,w1...Wm(j) −ｒ_1,W1...Wm(j) ＋_...＋ｔ_m,wm(j) −ｒ_m,zm-1・_{w m(j)} ） ＝Ｙ＾ｓ_j となり、式（１２）が成立する。式（１３）も全く同様
に説明できる。

【００１９】図４に示すように乱数ｒ_ijを用いたランダ
ム置換処理（Ｓ１）の後、乱数ｔ_ijを用いたランダム置
換処理を行い（Ｓ２）、その後各装置Ｐ_i は掲示板装置
１１からＴ_m1，…，Ｔ_mnを読み込み（Ｓ３）、予め定め
た一方向性関数ｈを用いて ｃ＝ｈ（Ｔ_m1，…，Ｔ_mn） ・・・（14） を計算する（Ｓ４）。ｃは等確率で０または１の値を取
り、その値に従って、装置Ｐ_i は以下の処理を行う。ｃ
＝０の場合（Ｓ５）装置Ｐ_i は ｅ_i ＝ｈ（ｔ_i1，…，ｔ_in、ｗ_i ） ・・・（15） を計算してｅ_i を公開する。つまり掲示板装置１１へ送
る（Ｓ６）。全ての装置Ｐ_i がｅ_i を公開した後、各装
置Ｐ_i はｔ_i1，…，ｔ_in，ｗ_i を公開し（Ｓ７）、他の
全てのノード装置Ｐ_i から公開されたｅ_i が ｅ_i ＝ｈ（ｔ_i1，…，ｔ_in、ｗ_i ） ・・・（16） を満たすか否かを検証する（Ｓ８）。上式を満たさない
データを公開したノード装置がある場合には、そのノー
ド装置を除外し（Ｓ９）、ステップＳ１に戻り、メッセ
ージ受信締め切り後の処理を再度実行する。全てのｅ_i
が正しい場合（Ｓ８）、 ｔ_j ＝ｔ_1,w'1(j)＋ｔ_2,w'2(j)＋…＋ｔ_m,w'm(j)mod ｑ ・・・（17） を計算し（Ｓ１０）、 Ｕ_mj＝Ｍ_0,w'm(j)・Ｙ＾ｔ_j ・・・（18） およびＶ_mj＝Ｇ_0,w'm(j)・ｇ＾ｔ_j ・・・（19） となるか否かを検証する（Ｓ１１）。即ち、この検証で
は最初のノード装置Ｐ₁の入力と、最後のノード装置Ｐ
_m からの出力を結ぶ乱数ｔ_j およびランダム置換ｗ’₁
が存在することを実際にｔ_j ，ｗ’_i を計算することに
より確認する。この確認ができない、つまり上式が満た
されない場合、各ノード装置の入出力について、 Ｕ_ij／Ｕ_i-1,w'i(j)＝Ｙ＾ｔ_i,w'i(j) ・・・（20） かつ Ｖ_ij／Ｖ_i-1,w'i(j)＝ｇ＾_ti,w'i(j) ・・・（21） となるか否かを検証する（Ｓ１２）。この検証を満たさ
ないデータを公開したノード装置がある場合、そのノー
ド装置を除外し（Ｓ９）、ステップＳ１に戻りメッセー
ジ受信締め切り後の処理を再度実行する。

【００２０】全ての検証に合格した場合、Ｔ_m1，…，Ｔ
_mn、ｔ₁ ，…，ｔ_n を証明書とする（Ｓ１３）。以上の
ように、乱数ｒ_ijを表に出すことなく、いわゆるコミッ
トメント生成処理によりＴ_ijを生成し、これに対し、チ
ャレンジｃを生成し、その応答（アンサ）としてｔ₁ ，
…，ｔ_n を得ることができる。ｃ＝１の場合（Ｓ５）、
装置Ｐ₁ は ｚ₁ ´＝Ｒ₁ ^-1 _w1 ・・・(22) ｓ_1j＝ｔ_1,w1(j) −ｒ_1,w1(j) mod ｑ ・・・(23) を装置Ｐ₂ へ送付する。同様に、各装置Ｐ_i は ｚ_i ´＝Ｒ_i ^-1 ｚ _i-1 ´ｗ_i ・・・(24) ｓ_ij ＝ｓ_i-1,wi(j) ＋ｔ_i,wi(j) −ｒ_i,zi-1´・_wi(j) mod ｑ ・・・(25) を次の装置Ｐ_i+1 へ送付する（Ｓ１４）。最後のノード
装置Ｐ_m はｓ_mjおよびｚ’_m を公開する（Ｓ１５）。こ
こで、全ての装置が正しければ、Ｐ_m が公開したｓ
_mjは、式（２５）におけるｓ_j と等しくなる。これは、
式（１１）および式（２５）より明らかに成立する。

【００２１】各ノード装置は装置Ｐ_m が公開した値が、 Ｕ_mj＝Ｍ_m,z'm(j)・Ｙ＾ｓ_mj ・・・（26） およびＶ_mj＝Ｇ_m,z'm(j)・ｇ＾ｓ_mj ・・・（27） を満たすか否かを検証する（Ｓ１６）。上式が満たされ
ない場合、各ノード装置の値が、 Ｕ_ij＝Ｍ _i,z'i(j) ・Ｙ＾ｓ_ij ・・・（28） およびＶ_ij＝Ｇ_i,z'i(j)・ｇ＾ｓ_ij ・・・（29） を満たすか否かを検証する（Ｓ１７）。上式を満たさな
いデータを公開したノード装置がある場合、そのノード
装置を除外し（Ｓ１８）、ステップＳ１に戻りメッセー
ジ受信締め切り後の処理を再度実行する。

【００２２】全ての検証に合格した場合、Ｔ_m1，…，Ｔ
_mn、ｓ₁ ，…，ｓ_n を証明書とする（Ｓ１９）。ｃの値
が予め予測できれば、上記処理における検証式を満足す
るような不正データを作成する事は容易である。予測し
たｃの値が実際に起こる確率は、１／２なので、上記手
順を例えば４０回繰り返した場合に全ての予測が当たる
確率は２^-40 となり、ほぼおこり得ないと考えてよい。
従って上記証明手順を予め定められた回数（４０〜８０
回）繰り返す。あるいは、繰り返し回数分の処理を並列
に実行した後、発行された全証明書を一つの証明書Ｐｐ
として掲示板に公開する。

【００２３】なお上述の処理で検証が成立しないノード
装置は除外して処理するため、例えばプロセッサが故障
したものは除かれて正しい処理が行われることになる。
証明書Ｐｐが公開された後、全復号ノード装置はＰｐを
検証する。つまりＵ_mj＝Ｍ_0,w'm(j)・Ｙ＾ｔ_j ，Ｖ_mj＝
Ｇ _0,w'm(j) ・ｇ＾ｔ_j を満すか、Ｕ_mj＝Ｍ _m,z'm(j) ・
Ｙ＾ｓ _j ，Ｖ_mj＝Ｇ _m,z'm(j) ・ｇ＾ｓ _j を満すかを調べ
る。Ｐｐが不正の場合には、ランダム置換ノード装置に
処理を再実行させるか、または停止する。

【００２４】図５に示すようにＰｐが検証に合格した場
合（Ｓ１）、復号ノード装置は以下の復号手順を実行す
る。ｉ＝１、Ｈ₀ ＝１と初期化し（Ｓ２）、ノード装置
Ｄ₁は Ｈ_i ＝Ｇ_mi＾Ｘ₁ ・・・（30） を計算し、次の装置Ｄ₂ へ送付する。同様に装置Ｄ_i は Ｈ_ij＝Ｈ_i-1,j ・Ｇ_mj＾Ｘ_j ・・・（31） を計算し、つまり復号処理の一部を実行し（Ｓ３）、ｉ
＝ｋでなければ（Ｓ４）、次の装置Ｄ_i+1 へＨ_ijを送付
する（Ｓ５）。その後ｉを＋１してステップＳ３に戻る
（Ｓ６）。ステップＳ４でｉ＝ｋであれば最後の復号ノ
ード装置Ｄ_k は、Ｈ_kiを掲示板装置１１へ送付する（Ｓ
７）。

【００２５】次に、全復号ノード装置は各ノード装置が
正しく処理を行った、つまり各Ｈ_kiが正しいものである
ことの証明書Ｐｄを発行する為に図６に示すように以下
の協調証明手順を実行する。まずｉ＝１、Ｆ₀ ＝１、Ｒ
_0j＝１と初期化し（Ｓ１）、復号ノード装置Ｄ₁ は乱数
ａ₁ を生成し（Ｓ２）、 Ｆ₁ ＝ｇ＾ａ₁ およびＲ_1j＝Ｇ_mj＾ａ₁ ・・・（32） を演算して次の装置Ｄ₂ へ送付する。以下同様に装置Ｄ
_i は Ｆ_i ＝Ｆ_i-1 ・ｇ＾ａ_i およびＲ_ij＝Ｒ_i-1,j ・Ｇ_mj＾ａ_i ・・・（33） を計算し（Ｓ３）、ｉ＝ｋでなければ（Ｓ４）、次の装
置Ｄ_i+1 へＦ_j ，Ｒ_ijを送付する（Ｓ５）。ｉを＋１し
てステップＳ２に戻る（Ｓ６）。ｉ＝ｋであれば最後の
復号ノード装置Ｄ_k はＦ_k ，Ｒ_kjを掲示板装置１１へ送
付する（Ｓ７）。

【００２６】各復号ノード装置は掲示板装置１１からＦ
_k ，Ｒ_kj，Ｈ_kjを読み込み（Ｓ８）、これらと公開鍵Ｙ
を一方向性関数演算 ｃ＝ｈ（Ｙ，Ｆ_k ，Ｈ_k1，Ｒ_k1，…，Ｈ_kn，Ｒ_kn） ・・・（34） を行う（Ｓ９）。ｉ＝１，ｂ₀ ＝０、ｃ（Ｓ１０）、装
置Ｄ₁ は ｂ₁ ＝ａ₁ −ｃ・Ｘ₁ mod ｑ ・・・（35） を計算し、装置Ｄ₂ へ送付する。以下同様に装置Ｄ_i は ｂ_i ＝ａ_i −ｃ・Ｘ_i ＋ｂ_i-1 mod ｑ ・・・（36） を計算し（Ｓ１１）、ｉ＝ｋでなければ（Ｓ１２）、ｂ
_i を装置Ｄ_i+1 へ送付し（Ｓ１３）、ｉを＋１してステ
ップＳ１１へ戻る（Ｓ１４）。ｉ＝ｋであれば最後の復
号ノード装置Ｄ_k はｂ_k を掲示板装置１１へ送付する
（Ｓ１５）。

【００２７】各復号ノード装置Ｄ_i が正しく動作した場
合、 Ｆ_k ＝ｇ＾ｂ_k ・Ｙ＾ｃ ・・・（37） および Ｒ_kj＝Ｇ_mj＾ｂ_k ・Ｈ_kj＾ｃ ・・・（38） が満たされる。更に、各復号ノード装置Ｄ_i の入出力に
関して、 Ｆ_i ＝ｇ＾（ｂ_i −ｂ_i-1 ）Ｙ_i ＾ｃ ・・・（39） および Ｒ_ij＝Ｇ_mj＾（ｂ_i −ｂ_i-1 ）・（Ｈ_ij／Ｈ_i-1,j ）＾ｃ ・・・（40） が成り立つ。

【００２８】各復号ノード装置Ｄ_i は、まずＦ_k ＝ｇ＾
ｂ_k ・Ｙ＾ｃおよびＲ_kj＝Ｇ_mj＾ｂ _k ・Ｈ_kj＾ｃを検証
し（Ｓ１６）、成り立つ場合は、Ｙ，Ｆ_k ，Ｈ_k1，
Ｒ_k1，…，Ｈ_kn，Ｒ_knおよびｂ_k を証明書Ｐｄとして公
開する（Ｓ１７）。上記検証式が成り立たない場合、証
明書Ｐｄの発行に用いた復号鍵Ｘ_i 以外の全ての情報を
公開して、各ノード装置Ｄ_i の入出力について上記検
証、Ｆ_i ＝ｇ＾（ｂ_i −ｂ_{i- 1} ）・Ｙ_i ＾ｃ，Ｒ_ij＝Ｇ
_mj＾（ｂ_i −ｂ_i-1 ）・（Ｈ_ij／Ｈ_i-1,j ）が成り立つ
かを調べ、不正な動作を行った復号ノード装置を検出す
る（Ｓ１８）。

【００２９】検証に合格した後、各復号ノード装置Ｄ _r
（ｒ＝１，…，ｍ）は ｍ’_j ＝Ｍ_kj／Ｈ_kj ・・・（41） を計算し、復号結果としてｍ’_j を公開する（Ｓ１
９）。外部検証者装置ＶはＰｐ，Ｐｄおよびｍ’_j ＝Ｍ
_kj／Ｈ_kjが成り立つことを検証する。

【００３０】ランダム置換ノード装置の機能構成は図２
に示すように、先に述べたように、乱数生成部２０２よ
りの乱数ｒ_ijを用い、公開鍵Ｙ、公開情報ｇなどを用い
て、掲示板装置１１のメッセージＥ_0jを出発としたメッ
セージＥ_i-1,j をランダム化部２０３でランダム化し、
更にランダム置換部２０４で順序を置換えてＥ_ijとして
送信部２０６より次のノード装置Ｐ_i+1 へ送る。

【００３１】置換協調証明手段２２０が設けられ、この
手段２２０ではランダム置換処理部２１０と同様のラン
ダム置換処理部２２１により、乱数ｒ_ijの代りに乱数ｔ
_ijで処理される。終段のノード装置Ｐ_m のランダム置換
処理部２２１が公開したデータＴ_mjを変数とする一方向
性関数演算部２２２による演算がなされ、その演算結果
ｃが０か１かの判定が制御部２５０で行われる。ｃ＝０
の場合での処理として乱数ｔ_i1，…，ｔ_in、置換関数ｗ
_i が一方向性関数演算部２２３に入力され、演算され、
ｅ_i が出力公開される。また乱数ｔ_ij，ｗ_i も公開さ
れ、その後に、他のランダム置換ノード装置におけるｅ
_i とｔ_ij，ｗ_i の関係がｅ_i 検証部２２４で式（１６）
により検証され、更にｔ_j 計算部２２５で式（１７）が
計算され、Ｕ_mj，Ｖ_mj検証部２２６で式（１８）、式
（１９）が共に成立するかの検証が行われる。この検証
に合格した場合は、ノード入出力検証部２２７で式（２
０）および式（２１）が共に成立するかの検証が行われ
る。各種の検証結果に基づき次にどの処理を行かの判断
は制御部２５０で行う。全ての検証に合格して証明書Ｐ
ｐを発行するのはＰｐ証明発行部２２８で行う。

【００３２】ｃ＝１の場合はｓ_ij，ｚ’演算部２３１で
式（２４）、式（２５）の演算が行われ、Ｕ_mj，Ｖ_mj検
証部２３２で式（２６）と式（２７）が成立するかの検
証が行われる。その検証が不合格の場合、Ｕ_ij，Ｖ_ij検
証部２３３で式（２８）と式（２５）を満すかが検証さ
れる。全ての検証に合格するとＰｐ証明発行部２２８か
ら証明書Ｐｐが発行される。

【００３３】記憶部２４０には各種公開情報を記憶する
と共に読込んだデータを一時、格納したり、発生した乱
数を保持したり、などがなされる。制御部２５０は前述
したように各種検証結果の判断、これにもとづく次の処
理、記憶部２４０に対する読み書き、各種データの次ノ
ード装置Ｐ_i+1 又は掲示板装置１１への送信部２０６を
通じる送信、その他各部の順次制御などを行う。なおＵ
_mj，Ｖ_mj検証部２２６，２３２、ノード入出力検証部２
２７、Ｕ_ij，Ｖ_ij検証部２３３は置換検証手段２３５を
構成している。

【００３４】図７に復号ノード装置Ｄ_i の機能構成例を
示す。記憶部３１０には各種公開情報、読込み部３１１
から読込んだデータ、発生乱数の保持、生成データの保
持などに用いられる。Ｐｐ検証部３１２では式（１８）
と式（１９）又は式（２６）と式（２７）を満すかの検
証を行い、部分復号部３１３で式（３１）の演算により
復号処理の一部がなされ、その結果Ｈ_ijは送信部３１４
により次ノード装置Ｄ _i+1 へ送られる。

【００３５】乱数生成部３１５より乱数ａ_i が生成さ
れ、この乱数ａ_i を用いて、Ｆ_i 演算部３１６、Ｒ_ij演
算部３１７で式（３３）が演算され、Ｆ_i ，Ｒ_ijが送信
部３１４より次ノード装置Ｄ_i+1 へ送られる。掲示板装
置１１から読込まれたＦ_k ，Ｒ _kjと公開鍵Ｙを用い一方
向性関数演算部３１８で式（３４）が演算され、その演
算結果ｃを用いて、ｂ_i 演算部３１９で式（３６）が演
算され、その結果ｂ_i が次ノード装置ｂ_i へ送付され
る。Ｆ_k ，Ｒ_kj検証部３２０で式（３７）、式（３８）
が成立するかの検証が行われ、これに合格するとＰｄ証
明発行部３２１より証明Ｐｄが発行送出される。部３１
６に部３２１は復号協調証明手段３３０を構成してい
る。

【００３６】復号演算部３３１では式（４１）の演算に
よりｍ_j が復号され、不正ノード検出部３３２では式
（３９）、式（４０）が演算され、不正ノード装置の検
出が行われる。部３２０〜３３２は復号検証手段３４０
を構成している。制御部３５０では各種検証部での検証
結果を判断し、その判断に基づく処理を各部に行われ、
記憶部３１０に対する読み書き、読込み部３１１による
読込み、次ノード装置Ｄ_i+1 、掲示板装置１１へその各
データの送付、各部の順次処理などを行う。

【００３７】ランダム置換ノード装置、復号ノード装置
はそれぞれコンピュータにより、プログラムを読出し、
解読実行することにより、それぞれ機能させるように構
成することもできる。復号ノード装置Ｄ₁ 〜Ｄ_k はラン
ダム置換ノード装置Ｐ₁ 〜Ｐ _m の部分集合として構成す
ることもできる。つまり、１つの復号ノード装置と１つ
のランダム置換ノード装置を共通のプロセッサで構成
し、それぞれ独立した復号ノード装置と、ランダム置換
ノード装置として機能させるように構成してもよい。

【００３８】またランダム置換ノード装置は複数個より
なるノードの組を、複数用意しておき、その１つの組に
より上述したように協調して、ランダム置換、証明書生
成などを行い、そのノードの組がプロセッサが損傷した
りして、復号ノード装置での証明書の検証が不成功とな
った場合は、別のノードの組を用いて、改めてランダム
置換、証明書作成などを再実行させるように構成するこ
ともできる。

【００３９】

【発明の効果】上記実施例で示された協調証明書発行手
順によれば、発行された証明書ＰｐはＴ_m1，…，Ｔ_mnと
ｓ₁ ，…，ｓ_n 又はｔ₁ ，…，ｔ_n とよりなるデータか
ら成り、メッセージｍ_j の数ｎに依存し、ランダム置換
ノード装置Ｐ_i の数に依存しない。同様に、証明書Ｐｄ
はＹ，Ｆ_k ，Ｈ_k1，Ｒ_k1，…，Ｈ_kn，Ｒ_knおよびｂ_k か
ら成り、メッセージｍ_j の数に依存し、復号ノード装置
Ｄ_i の数に依存しない。従って、外部検証者装置はノー
ドの数に依存しない計算量でＰｐ，Ｐｄを検証する事が
可能である。

【図面の簡単な説明】

【図１】この発明の実施例におけるシステム構成を示す
ブロック図。

【図２】この発明のランダム置換ノード装置Ｐ_i の実施
例の機能構成を示すブロック図。

【図３】この発明方法中のランダム置換処理の手順を示
す流れ図。

【図４】ランダム置換ノード装置Ｐ_i における処理手順
の例を示す流れ図。

【図５】この発明の方法における復号手順の部分を示す
流れ図。

【図６】復号ノードの証明Ｐｄの発行処理手順の例を示
す流れ図。

【図７】この発明の復号ノード装置の実施例の機能構成
を示すブロック図。

フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 9/00 G06F 17/60 148 G09C 1/00 660 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (13)

(57)【特許請求の範囲】
1. 【請求項１】 複数のメッセージ送信者装置が一つの掲
   示板装置に匿名のメッセージを通信掲載する匿名通信方
   法であり、 複数のランダム置換ノード装置Ｐ₁ 〜Ｐ_m と復号ノード
   装置Ｄ₁ 〜Ｄ_k を設け、各送 信者装置Ｓ _j により暗号化したメッセージＥ_j を掲
   示板装置に送付する第一のステップと、 ランダム置換ノード装置Ｐ₁ が掲示板装置に受信した全
   メッセージを受信し、各メッセージＥ_j をランダム化し
   た後、メッセージの順序をランダムに置換してメッセー
   ジＥ _1j としてランダム置換ノード装置Ｐ ₂ へ送付し、ラ
   ンダム置換ノード装置Ｐ _i （ｉ＝２， ・・・ ，ｍ−１）は受
   信したメッセージＥ _i-1j をランダム化した後、メッセー
   ジの順序をランダムに置換してメッセージＥ _ij としてラ
   ンダム置換ノード装置Ｐ _i+1 へ送付し、ランダム置換ノ
   ード装置Ｐ _m は受信したメッセージＥ _m-1j をランダム化
   した後、メッセージの順序をランダムに置換し、メッセ
   ージＥ _mj として掲示板装置へ出力する第二のステップ
   と、 ランダム置換ノード装置Ｐ₁ 〜Ｐ_m が、前段のランダム
   置換ノード装置から受け取った計算結果に基づく計算を
   行い、後段のランダム置換ノード装置に自己の計算結果
   を送付することで、最後のランダム置換ノード装置Ｐ_m
   の出力が、全送信者装置からの入力メッセージに対する
   ランダム化と置換の結果であることを証明する証明書を
   作成する第三のステップと、 第三のステップで出力された証明書を各復号ノード装置
   が検証する第四のステップと、 各復号ノード装置Ｄ_i がランダム化された暗号メッセー
   ジを部分復号する第五のステップと、 その部分復号の結果から全体復号の結果を計算する第六
   のステップと、復号ノード装置Ｄ ₁ 〜Ｄ _k が、前段の復号ノード装置から
   受け取った計算結果に基づく計算を行い、後段の復号ノ
   ード装置に自己の計算結果を送付することで最後の復号
   ノード装置Ｄ _k の出力が、正しく復号された結果である
   ことを 証明する証明書を作成する第七のステップと、 第七のステップで作成された証明書を各復号ノード装置
   が検証する第八のステップとを備えることを特徴とする
   匿名通信方法。
2. 【請求項２】 請求項１記載の匿名通信方法において、 第四のステップにおける検証が不成功となった場合に、
   各ランダム置換ノード装置Ｐ₁ 〜Ｐ_m は第二のステップ
   で用いた情報により、ランダム置換ノード装置Ｐ₁ 〜Ｐ
   _m のそれぞれの入出力データを検証することにより、不
   正な結果を出力した置換ノード装置を特定し、その不正
   なノード装置を用いずに第二〜四のステップを再実行す
   ることを特徴とする匿名通信方法。
3. 【請求項３】 請求項１又は２記載の匿名通信方法にお
   いて、 第八のステップにおける検証が不成功となった場合に、
   各復号ノード装置Ｄ₁〜Ｄ_k は第七のステップで用いた
   復号鍵を除く全ての情報を公開し、第七のステップにお
   ける各復号ノード装置Ｄ_i の証明が第五のステップにお
   ける復号ノード装置Ｄ_i の入出力関係に対する証明とな
   っているか否かを検証することにより、不正な結果を出
   力した復号ノード装置を特定し、不正なノード装置を用
   いずに第五〜八のステップを再実行することを特徴とす
   る匿名通信方法。
4. 【請求項４】 請求項１乃至３の何れかに記載の匿名通
   信方法において、 復号ノード装置Ｄ₁ 〜Ｄ_k はランダム置換ノード装置Ｐ
   ₁ 〜Ｐ_m と共通のプロセッサにより構成されることを特
   徴とする匿名通信方法。
5. 【請求項５】 請求項１乃至４の何れかに記載の匿名通
   信方法において、 ランダム置換ノード装置として複数のノードセットを備
   え、一つのノードセットを用いて第二〜四のステップを
   実行し、第四のステップにおける検証が不成功となった
   場合には別のノードのセットを用いて第二〜四のステッ
   プを再実行することを特徴とする匿名通信方法。
6. 【請求項６】 公開情報などを記憶する記憶部と、 乱数生成手段と、 掲示板装置からの暗号化メッセージを乱数によりランダ
   ム化するランダム化手段およびそのランダム化されたメ
   ッセージの順序をランダムに置換するランダム置換手段
   とよりなる第１ランダム置換処理手段と、 上記暗号化メッセージを他の乱数でランダム化およびラ
   ンダム置換を行う第２ランダム置換処理手段と、最後のランダム置換ノード装置が出力した証明書が、複
   数のランダム置換ノード装置において、前段のランダム
   置換ノード装置から受け取った計算結果に基づく計算を
   行い、後段のランダム置換ノード装置に自己の計算結果
   を送付することで、最後のランダム置換ノード装置から
   出力された正しいものである ことを上記第２ランダム置
   換処理手段の処理にもとづくデータを用いて、検証する
   証明検証手段と、 掲示板装置から所要データを読込む読込み手段と、 第１、第２ランダム置換処理手段の各処理データを次の
   ランダム置換ノード装置へ送信し、その他のデータをラ
   ンダム置換ノード装置又は掲示板装置へ送信する送信手
   段と、 各種検証結果にもとづき処理すべき手段を決定して処理
   を行わせたり、記憶部に対する読み書きを行う制御手段
   とを具備するランダム置換ノード装置。
7. 【請求項７】 請求項６記載のランダム置換ノード装置
   において、上記証明検証手段は、 最後のランダム置換ノード装置の
   第２ランダム置換処理手段の処理結果に対し、予め決め
   られた関数演算を行う第１関数演算手段と、 上記第１関数演算手段の演算結果に応じて第１処理手段
   又は第２処理手段を実行させる手段とを備え、 上記第１処理手段は上記第２ランダム置換処理手段に用
   いた乱数と置換関数に対し予め決められた関数演算を行
   う第２関数演算手段と、 他のランダム置換ノード装置について上記第２関数演算
   手段の演算を検証する演算検証手段と、 その演算検証手段がすべてのランダム置換ノード装置に
   ついて合格すると、最初のランダム置換ノード装置の入
   力と、最後のランダム置換ノード装置の出力とを関係付
   ける乱数と置換関数との存在を検証する手段とを備え、 上 記第２処理手段は前段のランダム置換ノード装置より
   受信した、第１、第２ランダム置換処理手段にそれぞれ
   用いた乱数を互いに関連させたデータに、自己の第１、
   第２ランダム置換処理手段にそれぞれ用いた乱数を関連
   させるデータを作る乱数関連付け手段と、 最後のランダム置換ノード装置の上記乱数関連付け手段
   で作ったデータを用いて、最後のランダム置換ノード装
   置の上記第１、第２ランダム置換処理手段の両出力デー
   タを関連付ける検証式が成立するかを検証する手段とを
   備えることを特徴とするランダム置換ノード装置。
8. 【請求項８】 請求項７記載のランダム置換ノード装置
   において、 上記第１処理手段 は、各ランダム置換ノード装置の第２
   ランダム置換処理手段の入力データと出力データとが所
   定の関係にあるかを検証する第１ノード検証手段を含
   み、 上記第２処理手段は、各ランダム置換ノード装置の第
   １、第２ランダム置換処理手段の両出力データが所定の
   関係にあるかを検証する第２ノード検証手段を含むこと
   を特徴とするランダム置換ノード装置。
9. 【請求項９】 復号鍵、公開情報などを記憶する記憶手
   段と、 ランダム置換ノード装置が作成した証明Ｐｐを検証する
   証明検証手段と、 暗号化メッセージの一部を含む情報を復号鍵で部分復号
   処理を行う部分復号手段と、 上記部分復号手段の処理結果を用いて暗号化メッセージ
   を復号する復号演算手段と、乱数生成手段と、 前段復号ノード装置から受け取った公開情報ランダム化
   データを上記乱数によりランダム化して、自装置の公開
   情報ランダム化データを生成する公開情報ランダム化手
   段と、 最後の復号化ノード装置の公開情報ランダム化データ、
   上記部分復号処理結果に対し予め決めた関数演算を行う
   関数演算手段と、 前段復号ノード装置から受け取った復号ノード装置間関
   連付けパラメータと、上記乱数、上記復号鍵、上記関数
   演算結果とに対し予め決めた関数演算を行って 、自装置
   の復号ノード装置間関連付けパラメータを生成するパラ
   メータ生成手段と、 最後の復号ノード装置の上記公開情報ランダム化データ
   が、上記パラメータと上記関数演算結果と公開情報など
   からなる式の演算結果と一致するかの検証を行う検証手
   段と、 その検証に合格すると、最後の復号ノード装置の各段処
   理結果を正しく復号が行われた証明データとする手段
   と、 次の復号ノード装置や掲示板装置へデータを送信する送
   信手段と、 掲示板装置からデータを読込む読込み手段と、 検証結果にもとずき処理すべき手段を決定して処理を行
   わせたり、処理結果データを上記送信手段により、次の
   復号ノード装置や掲示板装置へ送信させたり、上記記憶
   手段に対する読み書きを行う制御手段とを具備する復号
   ノード装置。
10. 【請求項１０】 公開情報などを記憶する記憶部と、 乱数生成手段と、 掲示板装置からの暗号化メッセージを乱数によりランダ
    ム化するランダム化手段およびそのランダム化されたメ
    ッセージの順序をランダムに置換するランダム置換手段
    と よりなる第１ランダム置換処理手段と、 上記暗号化メッセージを他の乱数でランダム化およびラ
    ンダム置換を行う第２ランダム置換処理手段と、 最後のランダム置換ノード装置が出力した証明書が、複
    数のランダム置換ノード装置において、前段のランダム
    置換ノード装置から受け取った計算結果に基づく計算を
    行い、後段のランダム置換ノード装置に自己の計算結果
    を送付することで、最後のランダム置換ノード装置から
    出力された正しいものであることを上記第２ランダム置
    換処理手段の処理にもとづくデータを用いて、検証する
    証明検証手段と、 掲示板装置から所要データを読込む読込み手段と、 第１、第２ランダム置換処理手段の各処理データを次の
    ランダム置換ノード装 置へ送信し、その他のデータをラ
    ンダム置換ノード装置又は掲示板装置へ送信する送信手
    段と、 各種検証結果にもとづき処理すべき手段を決定して処理
    を行わせたり、記憶部に対する読み書きを行う制御手段
    と を具備するランダム置換ノード装置として、コンピュ
    ータを機能 させるためのプログラムを記録したコンピュ
    ータ読み取り可能な記録媒体。
11. 【請求項１１】 請求項１０記載の記録媒体において、上記証明検証手段は、 最後のランダム置換ノード装置の
    第２ランダム置換処理手段の処理結果に対し、予め決め
    られた関数演算を行う第１関数演算手段と、 上記第１関数演算手段の演算結果に応じて第１処理手段
    又は第２処理手段を実行させる手段とを備え、 上記第１処理手段は上記第２ランダム置換処理手段に用
    いた乱数と置換関数に対し予め決められた関数演算を行
    う第２関数演算手段と、 他のランダム置換ノード装置について上記第２関数演算
    手段の演算を検証する演算検証手段と、 その演算検証手段がすべてのランダム置換ノード装置に
    ついて合格すると、最初のランダム置換ノード装置の入
    力と、最後のランダム置換ノード装置の出力とを関係付
    ける乱数と置換関数との存在を検証する手段とを備え、 上記第２処理手段は前段のランダム置換ノード装置より
    受信した、第１、第２ランダム置換処理手段にそれぞれ
    用いた乱数を互いに関連させたデータに、自己の第１、
    第２ランダム置換処理手段にそれぞれ用いた乱数を関連
    させるデータを作る乱数関連付け手段と、 最後のランダム置換ノード装置の上記乱数関連付け手段
    で作ったデータを用いて、最後のランダム置換ノード装
    置の上記第１、第２ランダム置換処理手段の両出力デー
    タを関連付ける検証式が成立するかを検証する手段とを
    備えることを特徴とする記録媒体。
12. 【請求項１２】 請求項１１記載の記録媒体において、 上記第１処理手段は、各ランダム置換ノード装置の第２
    ランダム置換処理手段の入力データと出力データとが所
    定の関係にあるかを検証する第１ノード検証手 段を含
    み、 上記第２処理手段は、各ランダム置換ノード装置の第
    １、第２ランダム置換処理手段の両出力データが所定の
    関係にあるかを検証する第２ノード検証手段を含むこと
    を特徴とする記録媒体。
13. 【請求項１３】 復号鍵、公開情報などを記憶する記憶
    手段と、 ランダム置換ノード装置が作成した証明Ｐｐを検証する
    証明検証手段と、 暗号化メッセージの一部を含む情報を復号鍵で部分復号
    処理を行う部分復号手段と、 上記部分復号手段の処理結果を用いて暗号化メッセージ
    を復号する復号演算手段と、 乱数生成手段と、 前段復号ノード装置から受け取った公開情報ランダム化
    データを上記乱数によりランダム化して、自装置の公開
    情報ランダム化データを生成する公開情報ランダム化手
    段と、 最後の復号化ノード装置の公開情報ランダム化データ、
    上記部分復号処理結果に対し予め決めた関数演算を行う
    関数演算手段と、 前段復号ノード装置から受け取った復号ノード装置間関
    連付けパラメータと、上記乱数、上記復号鍵、上記関数
    演算結果とに対し予め決めた関数演算を行って、自装置
    の復号ノード装置間関連付けパラメータを生成するパラ
    メータ生成手段と、 最後の復号ノード装置の上記公開情報ランダム化データ
    が、上記パラメータと上記関数演算結果と公開情報など
    からなる式の演算結果と一致するかの検証を行う検証手
    段と、 その検証に合格すると、最後の復号ノード装置の各段処
    理結果を正しく復号が行われた証明データとする手段
    と、 次の復号ノード装置や掲示板装置へデータを送信する送
    信手段と、 掲示板装置からデータを読込む読込み手段と、 検証結果にもとずき処理すべき手段を決定して処理を行
    わせたり、処理結果データを上記送信手段により、次の
    復号ノード装置や掲示板装置へ送信させたり、 上記記憶
    手段に対する読み書きを行う制御手段と を具備する復号
    ノード装置として、コンピュータを機能させるためのプ
    ログラムを記録したコンピュータ読み取り可能な記録媒
    体。