JP3435677B2 - 追跡可能な電子現金実施方法及びその装置 - Google Patents
追跡可能な電子現金実施方法及びその装置Info
- Publication number
- JP3435677B2 JP3435677B2 JP18754796A JP18754796A JP3435677B2 JP 3435677 B2 JP3435677 B2 JP 3435677B2 JP 18754796 A JP18754796 A JP 18754796A JP 18754796 A JP18754796 A JP 18754796A JP 3435677 B2 JP3435677 B2 JP 3435677B2
- Authority
- JP
- Japan
- Prior art keywords
- user
- information
- electronic cash
- side device
- bank
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000000034 method Methods 0.000 title claims description 104
- 229910052757 nitrogen Inorganic materials 0.000 claims description 52
- 238000012545 processing Methods 0.000 claims description 41
- 230000006870 function Effects 0.000 claims description 40
- 238000004891 communication Methods 0.000 claims description 34
- 230000008569 process Effects 0.000 claims description 24
- 238000007689 inspection Methods 0.000 claims description 14
- 229910052799 carbon Inorganic materials 0.000 claims description 12
- 229910052698 phosphorus Inorganic materials 0.000 claims description 12
- 238000007781 pre-processing Methods 0.000 claims description 11
- 230000008520 organization Effects 0.000 claims description 9
- 238000004364 calculation method Methods 0.000 claims description 7
- 238000012805 post-processing Methods 0.000 claims description 6
- 238000012795 verification Methods 0.000 claims description 5
- 238000010586 diagram Methods 0.000 description 20
- 239000002131 composite material Substances 0.000 description 5
- 238000012360 testing method Methods 0.000 description 5
- 238000001514 detection method Methods 0.000 description 3
- 238000004900 laundering Methods 0.000 description 3
- 240000000220 Panda oleosa Species 0.000 description 2
- 235000016496 Panda oleosa Nutrition 0.000 description 2
- 238000005034 decoration Methods 0.000 description 2
- 230000002452 interceptive effect Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000004044 response Effects 0.000 description 2
- UNPLRYRWJLTVAE-UHFFFAOYSA-N Cloperastine hydrochloride Chemical compound Cl.C1=CC(Cl)=CC=C1C(C=1C=CC=CC=1)OCCN1CCCCC1 UNPLRYRWJLTVAE-UHFFFAOYSA-N 0.000 description 1
- 208000033748 Device issues Diseases 0.000 description 1
- NTSBMKIZRSBFTA-AIDOXSFESA-N Digoxigenin bisdigitoxoside Chemical compound C1[C@H](O)[C@H](O)[C@@H](C)O[C@H]1O[C@@H]1[C@@H](C)O[C@@H](O[C@@H]2C[C@@H]3[C@]([C@@H]4[C@H]([C@]5(CC[C@@H]([C@@]5(C)[C@H](O)C4)C=4COC(=O)C=4)O)CC3)(C)CC2)C[C@@H]1O NTSBMKIZRSBFTA-AIDOXSFESA-N 0.000 description 1
- 238000006165 Knowles reaction Methods 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000012937 correction Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Landscapes
- Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
- Cash Registers Or Receiving Machines (AREA)
Description
【０００１】
【発明の属する技術分野】この発明は、電気通信システ
ムを利用して電子的な現金を実施する方法及び装置に関
する。
ムを利用して電子的な現金を実施する方法及び装置に関
する。
【０００２】
【従来の技術】電子現金はＩＣカードを電子現金の財布
（電子財布）とするような形で広く使われるようにな
る。その際には、電子現金はいかなる物理媒体にも依存
しないで、情報そのものが電子現金となるような形で電
子財布に格納される形態が望ましい。
（電子財布）とするような形で広く使われるようにな
る。その際には、電子現金はいかなる物理媒体にも依存
しないで、情報そのものが電子現金となるような形で電
子財布に格納される形態が望ましい。
【０００３】電子現金の一つの実現策は、物理的な手段
によって安全性を保証する方法である。例えば、テレホ
ンカード等の磁気カードによるプリペイドカードは、カ
ード上の磁気状態を他のカードに物理的にコピーするこ
とが困難であるということを安全性の要として成り立っ
ている。しかしながら、この安全性の前提は世の中の科
学技術の進歩にともない、必ずしも保証されなくなって
きている。さらに、この方式では、電子現金が常に物理
媒体（磁気カード等）と一体で実現されるため、情報の
形の電子現金のように通信回線で転送するようなことは
できない。
によって安全性を保証する方法である。例えば、テレホ
ンカード等の磁気カードによるプリペイドカードは、カ
ード上の磁気状態を他のカードに物理的にコピーするこ
とが困難であるということを安全性の要として成り立っ
ている。しかしながら、この安全性の前提は世の中の科
学技術の進歩にともない、必ずしも保証されなくなって
きている。さらに、この方式では、電子現金が常に物理
媒体（磁気カード等）と一体で実現されるため、情報の
形の電子現金のように通信回線で転送するようなことは
できない。
【０００４】別の実現策は、クレジットカードのような
電子的IDカード（電子クレジットカードもしくは電子小
切手）を用いて、後日決済する方法である。電子クレジ
ットカードでは、手書きの署名の代わりにディジタル署
名を用いることにより、処理の完全電子化（情報化）を
実現でき、その決済用情報を通信回線で転送できる。し
かし、この方式の欠点は、利用者のプライバシを保証で
きない点である（これは、現行のクレジットカードや小
切手においても同様である）。つまり、クレジットカー
ドを発行・決済する機関は、自由に利用者の購買履歴を
入手できるのはもとより、また、小売店までも利用者の
クレジットカード番号や署名を知ることができる。
電子的IDカード（電子クレジットカードもしくは電子小
切手）を用いて、後日決済する方法である。電子クレジ
ットカードでは、手書きの署名の代わりにディジタル署
名を用いることにより、処理の完全電子化（情報化）を
実現でき、その決済用情報を通信回線で転送できる。し
かし、この方式の欠点は、利用者のプライバシを保証で
きない点である（これは、現行のクレジットカードや小
切手においても同様である）。つまり、クレジットカー
ドを発行・決済する機関は、自由に利用者の購買履歴を
入手できるのはもとより、また、小売店までも利用者の
クレジットカード番号や署名を知ることができる。
【０００５】一方、ブラインド署名（詳細は後述する）
と支払い時でのオンラインチェック（小売店が、利用者
の提示した電子現金情報が二重／不正使用されていない
かを、管理センタにオンラインで問い合わせること）と
を組み合わせることにより、上述した電子現金の情報
化、安全性、プライバシの問題を解決できる。しかし、
各小売店が各利用者の購買時に必ずセンタにアクセスす
ることは、処理時間（利用者の待ち時間）、通信コス
ト、管理センタでのオンライン処理コスト及びデータベ
ース維持管理コスト等を考えると、現実的な解決方法と
は言えない。従って、現金支払い時の処理はオフライン
で処理できることが望ましい。
と支払い時でのオンラインチェック（小売店が、利用者
の提示した電子現金情報が二重／不正使用されていない
かを、管理センタにオンラインで問い合わせること）と
を組み合わせることにより、上述した電子現金の情報
化、安全性、プライバシの問題を解決できる。しかし、
各小売店が各利用者の購買時に必ずセンタにアクセスす
ることは、処理時間（利用者の待ち時間）、通信コス
ト、管理センタでのオンライン処理コスト及びデータベ
ース維持管理コスト等を考えると、現実的な解決方法と
は言えない。従って、現金支払い時の処理はオフライン
で処理できることが望ましい。
【０００６】プライバシを重視し、オフライン処理可能
な電子現金方式としては、例えば、D.Chaum, A.Fiat an
d M.Naor,“Untraceable Electronic Cash,”Advances
inCryptology-Crypto'88, Lecture Notes in Computer
Science 403, pp.319-327,Springer-Verlag, Berlin(19
88)やT.Okamoto etal.“Disposable Zero-Knowledge Au
thentications and Their Applications to Untraceabl
e Electronic Cash,”Advances in Cryptology-Cryto'8
9, Lecture Notes in Computer Science 435, pp.481-4
96, Springer-Verlag, Berlin(1989）、日本国特許第20
27713号「電子現金実施方法及びその装置」などがあ
る。
な電子現金方式としては、例えば、D.Chaum, A.Fiat an
d M.Naor,“Untraceable Electronic Cash,”Advances
inCryptology-Crypto'88, Lecture Notes in Computer
Science 403, pp.319-327,Springer-Verlag, Berlin(19
88)やT.Okamoto etal.“Disposable Zero-Knowledge Au
thentications and Their Applications to Untraceabl
e Electronic Cash,”Advances in Cryptology-Cryto'8
9, Lecture Notes in Computer Science 435, pp.481-4
96, Springer-Verlag, Berlin(1989）、日本国特許第20
27713号「電子現金実施方法及びその装置」などがあ
る。
【０００７】まず、利用者のプライバシを保証するため
の基本技術であるブラインド署名について説明する。ブ
ラインド署名では、署名者に文書の内容を秘密にしたま
まで署名を付けてもらう。ＲＳＡ法に基づいたブライン
ド署名方式が米国特許No.4,759,063及び文献 D.Chaum,
“Security without Identification: Transaction Sys
tems to Make Big Brother Obsolete," Comm. of the A
CM, 28, 10, pp.1030-1044(1985)で、ゼロ知識対話証明
に基づいたブラインド署名が文献T.Okamoto etal.“Div
ertible Zero-Knowledge Interactive Proofs and Comm
utative RandomSelf-Reducible," The Proc. of Eurocr
ypt'89(1989)で示されている。
の基本技術であるブラインド署名について説明する。ブ
ラインド署名では、署名者に文書の内容を秘密にしたま
まで署名を付けてもらう。ＲＳＡ法に基づいたブライン
ド署名方式が米国特許No.4,759,063及び文献 D.Chaum,
“Security without Identification: Transaction Sys
tems to Make Big Brother Obsolete," Comm. of the A
CM, 28, 10, pp.1030-1044(1985)で、ゼロ知識対話証明
に基づいたブラインド署名が文献T.Okamoto etal.“Div
ertible Zero-Knowledge Interactive Proofs and Comm
utative RandomSelf-Reducible," The Proc. of Eurocr
ypt'89(1989)で示されている。
【０００８】ブラインド署名の要求者（利用者）は、ブ
ラインド署名前処理によって文書ｍを乱数ｒで攪乱して
ブラインドメッセージｘを生成する。署名者は、秘密鍵
を用いてｘに対応する仮の署名ｙを計算する。このと
き、ｍはｒによって攪乱されているので、署名者は文書
ｍを知ることはできない。利用者は、ブラインド署名後
処理によってｙから乱数ｒの影響を除去して、本来の文
書ｍに対する真の署名y'を求めて、ｍとy'の組を検証者
に送信する。検証者は、署名者の公開鍵を用いてy'がｍ
の署名であることを確認する。ここで、検証者はｙとy'
の対応関係を知ることはできない。ブラインド署名の手順 Ａを署名者、Ｕを署名要求者、ｅA を署名者Ａの公開情
報とする。Ｆをブラインド署名前処理アルゴリズムを表
す関数、Ｄを多重ブラインド署名アルゴリズムを表す関
数、Ｇをブラインド署名後処理アルゴリズムを表す関数
とする。利用者Ｕが前処理関数ＦeAを使って作成した情
報に署名者Ａが署名関数ＤeAを使って仮の署名Ω＝ DeA
(FeA(m1),…,FeA(mk)) を作成し、それに対し利用者Ｕ
はブラインド署名後処理ＧeAを施して、ｋ個のメッセー
ジm1,…,mkに対するＡの真の署名Ｂ＝ DeA(m1,…,mk)を
算出する。この手順は署名者Ａと利用者ＵＳにより以下
の手順に従って実行され、多重ブラインド署名が作成さ
れる。
ラインド署名前処理によって文書ｍを乱数ｒで攪乱して
ブラインドメッセージｘを生成する。署名者は、秘密鍵
を用いてｘに対応する仮の署名ｙを計算する。このと
き、ｍはｒによって攪乱されているので、署名者は文書
ｍを知ることはできない。利用者は、ブラインド署名後
処理によってｙから乱数ｒの影響を除去して、本来の文
書ｍに対する真の署名y'を求めて、ｍとy'の組を検証者
に送信する。検証者は、署名者の公開鍵を用いてy'がｍ
の署名であることを確認する。ここで、検証者はｙとy'
の対応関係を知ることはできない。ブラインド署名の手順 Ａを署名者、Ｕを署名要求者、ｅA を署名者Ａの公開情
報とする。Ｆをブラインド署名前処理アルゴリズムを表
す関数、Ｄを多重ブラインド署名アルゴリズムを表す関
数、Ｇをブラインド署名後処理アルゴリズムを表す関数
とする。利用者Ｕが前処理関数ＦeAを使って作成した情
報に署名者Ａが署名関数ＤeAを使って仮の署名Ω＝ DeA
(FeA(m1),…,FeA(mk)) を作成し、それに対し利用者Ｕ
はブラインド署名後処理ＧeAを施して、ｋ個のメッセー
ジm1,…,mkに対するＡの真の署名Ｂ＝ DeA(m1,…,mk)を
算出する。この手順は署名者Ａと利用者ＵＳにより以下
の手順に従って実行され、多重ブラインド署名が作成さ
れる。
【０００９】ステップ１：利用者ＵＳはブラインド署名
前処理ＦeAにより、ｋ個のメッセージ{mi|i=1,2,…,k}
からｋ個のブラインドメッセージxi＝{FeA(mi)|i=1,2,
…,k}を生成して、署名者Ａに送信する。ここで、それ
ぞれのブラインドメッセージxi＝FeA(mi)は独立に計算
されており、関数ＦeAは乱数を使用してｍi を秘匿化し
ている。
前処理ＦeAにより、ｋ個のメッセージ{mi|i=1,2,…,k}
からｋ個のブラインドメッセージxi＝{FeA(mi)|i=1,2,
…,k}を生成して、署名者Ａに送信する。ここで、それ
ぞれのブラインドメッセージxi＝FeA(mi)は独立に計算
されており、関数ＦeAは乱数を使用してｍi を秘匿化し
ている。
【００１０】ステップ２：署名者Ａは仮の署名Ω＝D
eA(FeA(m1),…,FeA(mk))をｋ個のブラインドメッセージ
FeA(m1),…,FeA(mk)から生成して、利用者ＵＳに送信す
る。 ステップ３：利用者ＵＳは、関数ＧeAを用いたブライン
ド署名後処理により、メッセージm1,…,mkに対応した署
名者Ａの真のディジタル署名Ｂ＝DeA(m1,…,mk)を算出
する。
eA(FeA(m1),…,FeA(mk))をｋ個のブラインドメッセージ
FeA(m1),…,FeA(mk)から生成して、利用者ＵＳに送信す
る。 ステップ３：利用者ＵＳは、関数ＧeAを用いたブライン
ド署名後処理により、メッセージm1,…,mkに対応した署
名者Ａの真のディジタル署名Ｂ＝DeA(m1,…,mk)を算出
する。
【００１１】ＲＳＡ法をブラインド署名に使用する場合
には、ｒi を攪乱用乱数とし、ブラインドメッセージ
（ブラインド署名前処理）ｘi 、仮の署名ｙ、ブライン
ド署名後処理ＧeAをそれぞれ ｘi＝FeA(mi)＝ｒeA×ｍi mod ｎ、 ｙ＝Ω＝DeA(x1,…,xk)＝Π1<i<k(xi)dAmod ｎ、 ＧeA(y)＝Ω/(r1×…×rk)modｎ とおいて、署名ｙは ｙ＝Ｂ＝Π1<i<k(mi)dAmod ｎ となる。このとき、メッセージm1,…,mkに対する署名Ｂ
の検証VeA(m1,…,mk，B)は次式 {Π1<i<k(mi)}eA≡Ｂ(mod ｎ) が満足するか否かによって判定され、満足すれば合格
（ＯＫ）を出力する。ここで、(eA,n)は署名者Ａの使用
するＲＳＡ法の公開鍵であり、ＰとＱをそれぞれ大きな
素数とすると次の式をみたす。
には、ｒi を攪乱用乱数とし、ブラインドメッセージ
（ブラインド署名前処理）ｘi 、仮の署名ｙ、ブライン
ド署名後処理ＧeAをそれぞれ ｘi＝FeA(mi)＝ｒeA×ｍi mod ｎ、 ｙ＝Ω＝DeA(x1,…,xk)＝Π1<i<k(xi)dAmod ｎ、 ＧeA(y)＝Ω/(r1×…×rk)modｎ とおいて、署名ｙは ｙ＝Ｂ＝Π1<i<k(mi)dAmod ｎ となる。このとき、メッセージm1,…,mkに対する署名Ｂ
の検証VeA(m1,…,mk，B)は次式 {Π1<i<k(mi)}eA≡Ｂ(mod ｎ) が満足するか否かによって判定され、満足すれば合格
（ＯＫ）を出力する。ここで、(eA,n)は署名者Ａの使用
するＲＳＡ法の公開鍵であり、ＰとＱをそれぞれ大きな
素数とすると次の式をみたす。
【００１２】
ｎ＝Ｐ×Ｑ
eA×dA ≡１(mod Ｌ)
ただしＬ＝LCM{(P-1),(Q-1)}
ここで、Ｌ＝LCM{a,b}はａとｂの最小公倍数を、ａ≡ｂ
(mod ｎ)は(a-b) がｎの倍数であることを表す。Ｐ，Ｑ
が巨大な素数の場合、一般にｎを素因数分解してＰ，Ｑ
を求めることは非常に困難である。従って、ｎを公開し
てもＰ，Ｑの秘密を保持することができる。以降ではｄ
A を1/eAと表すこともある。以下の Chaum・Fiat・Naor
法ではｋ＞１の場合を、後述するこの発明の実施例で
は、ｋ＝１の場合を想定する。
(mod ｎ)は(a-b) がｎの倍数であることを表す。Ｐ，Ｑ
が巨大な素数の場合、一般にｎを素因数分解してＰ，Ｑ
を求めることは非常に困難である。従って、ｎを公開し
てもＰ，Ｑの秘密を保持することができる。以降ではｄ
A を1/eAと表すこともある。以下の Chaum・Fiat・Naor
法ではｋ＞１の場合を、後述するこの発明の実施例で
は、ｋ＝１の場合を想定する。
【００１３】ＲＳＡ暗号の構成例は、文献 Rivest, R.
L. et al.“A Method for ObtainingDigital Signature
s and Public-Key Cryptosystems," Communications of
theACM, Vol. 21, No.2, pp.120-126,(1978）に示され
ている。ブラインド署名の構成法は、例えば、Chaum,
D.“Blind Signature Systems,"US Patent No.:4,759,0
63 や Ohta, K. et al.“Authentication System and A
pparatus Therefor," US patent No.:4,969,189 に示さ
れている。
L. et al.“A Method for ObtainingDigital Signature
s and Public-Key Cryptosystems," Communications of
theACM, Vol. 21, No.2, pp.120-126,(1978）に示され
ている。ブラインド署名の構成法は、例えば、Chaum,
D.“Blind Signature Systems,"US Patent No.:4,759,0
63 や Ohta, K. et al.“Authentication System and A
pparatus Therefor," US patent No.:4,969,189 に示さ
れている。
【００１４】利用者のブライバシは、ブラインド署名を
用いることで、利用者だけの責任において保証できる。
即ち、攪乱用の乱数ｒの付加と除去を利用者が実行する
ので、ｒを秘密にする限りは、誰もがｙ＝Ωとy'＝Ｂの
対応関係を知ることはできない。しかし、文献S.von So
lms and D.Naccache,“On Blind Signature and Perfec
t Crimes," Computers and Security, 11, pp.581-583
(1992)にあるように、この方式は、お金の流れを完全に
追跡不能にできるので、逆にマネーロンダリングや誘拐
犯の完全犯罪に悪用されるおそれが指摘されている。
用いることで、利用者だけの責任において保証できる。
即ち、攪乱用の乱数ｒの付加と除去を利用者が実行する
ので、ｒを秘密にする限りは、誰もがｙ＝Ωとy'＝Ｂの
対応関係を知ることはできない。しかし、文献S.von So
lms and D.Naccache,“On Blind Signature and Perfec
t Crimes," Computers and Security, 11, pp.581-583
(1992)にあるように、この方式は、お金の流れを完全に
追跡不能にできるので、逆にマネーロンダリングや誘拐
犯の完全犯罪に悪用されるおそれが指摘されている。
【００１５】ここで、代表的な電子現金方式である Cha
um・Fiat・Naor法での、銀行と利用者間での電子現金の
発行処理、利用者の小売店での電子現金の支払い、小売
店と銀行間の決裁処理について述べる。電子現金の発行処理 利用者ＵＳが、銀行ＢＫから電子現金Ｃを発行してもら
う手順を示す。ここで、IDは利用者ＵＳの識別情報、ｅ
A は、利用者が指定する電子現金の金額（例えば１万
円）に対応する銀行のディジタル署名用の公開鍵とす
る。利用者が銀行から電子現金を発行してもらう手順
は、以下の通りである。
um・Fiat・Naor法での、銀行と利用者間での電子現金の
発行処理、利用者の小売店での電子現金の支払い、小売
店と銀行間の決裁処理について述べる。電子現金の発行処理 利用者ＵＳが、銀行ＢＫから電子現金Ｃを発行してもら
う手順を示す。ここで、IDは利用者ＵＳの識別情報、ｅ
A は、利用者が指定する電子現金の金額（例えば１万
円）に対応する銀行のディジタル署名用の公開鍵とす
る。利用者が銀行から電子現金を発行してもらう手順
は、以下の通りである。
【００１６】ステップ１：利用者ＵＳは、予め決めた乱
数ａi （ただし、i=1,…,K）を生成して、公開された一
方向性関数ｇを用いて、 ｘi ＝ g(ai) ｙi ＝ g(ai(+)ID) を求める。(+) は排他的論理和を示す。
数ａi （ただし、i=1,…,K）を生成して、公開された一
方向性関数ｇを用いて、 ｘi ＝ g(ai) ｙi ＝ g(ai(+)ID) を求める。(+) は排他的論理和を示す。
【００１７】ステップ２：利用者ＵＳは、公開された一
方向性関数ｆとブラインド署名前処理関数ＦeAを用い
て、 Wi ＝ FeA(f(xi,yi)) を計算して、銀行に提示する。 ステップ３：銀行ＢＫは、１からＫの中からランダムに
Ｋ／２個の部分集合Ｈ＝{ij}（ただしj=1,…,K/2及び１
＜ ij ＜Ｋ）を選び、それを開示要求として利用者に送
信する。以下では、表記を簡単にするために、H={K/2+
1,K/2+2,…,K}が開示要求として指定されたと仮定して
説明する。Ｋ個の中からランダムにK/2 個の部分集合の
開示を要求する手順をcut-and-choose（抜き打ち検査）
とよぶ。
方向性関数ｆとブラインド署名前処理関数ＦeAを用い
て、 Wi ＝ FeA(f(xi,yi)) を計算して、銀行に提示する。 ステップ３：銀行ＢＫは、１からＫの中からランダムに
Ｋ／２個の部分集合Ｈ＝{ij}（ただしj=1,…,K/2及び１
＜ ij ＜Ｋ）を選び、それを開示要求として利用者に送
信する。以下では、表記を簡単にするために、H={K/2+
1,K/2+2,…,K}が開示要求として指定されたと仮定して
説明する。Ｋ個の中からランダムにK/2 個の部分集合の
開示を要求する手順をcut-and-choose（抜き打ち検査）
とよぶ。
【００１８】ステップ４：利用者ＵＳは、銀行ＢＫから
開示要求を受信すると、指定されたK/2 個のａi とＷi
を作成するために関数ＦeAの中で用いた乱数ａi を銀行
ＢＫに開示する。 ステップ５：銀行ＢＫは、開示されたＫ／２組のすべて
について正当性の検証を行ない、いずれかの検査に不合
格のときには、以降の処理を中止する。すべての検査に
合格のときには、銀行ＢＫは開示対象でないｉ（ここで
は、i=1,2,…,K/2）に対して、次の手順を行なう。
開示要求を受信すると、指定されたK/2 個のａi とＷi
を作成するために関数ＦeAの中で用いた乱数ａi を銀行
ＢＫに開示する。 ステップ５：銀行ＢＫは、開示されたＫ／２組のすべて
について正当性の検証を行ない、いずれかの検査に不合
格のときには、以降の処理を中止する。すべての検査に
合格のときには、銀行ＢＫは開示対象でないｉ（ここで
は、i=1,2,…,K/2）に対して、次の手順を行なう。
【００１９】ステップ６：銀行ＢＫは、
Ω＝ DeA(W1,…,WK/2)
を計算して、利用者ＵＳに送信する。
ステップ７：利用者ＵＳは、銀行からの受信データΩか
ら電子現金Ｃを以下のように計算する。
ら電子現金Ｃを以下のように計算する。
【００２０】
Ｃ＝GeA(Ω)＝DeA(f(x1,y1)，…，f(xK/2,yK/2))電子現金による支払
つぎに、利用者ＵＳが銀行ＢＫより発行された電子現金
Ｃを用いて小売店ＳＨで支払をする場合について説明す
る。それぞれのｉ（ただしi=1,2,…,K/2）に対して、次
の処理を実行する。
Ｃを用いて小売店ＳＨで支払をする場合について説明す
る。それぞれのｉ（ただしi=1,2,…,K/2）に対して、次
の処理を実行する。
【００２１】ステップ１：利用者ＵＳは、電子現金Ｃを
小売店ＳＨへ送信する。 ステップ２：小売店ＳＨは乱数ビットｅi を生成して、
利用者ＵＳへ送信する。ステップ３：利用者ＵＳはei=1
のときａi とｙi を、ei=0のときｘi とai(+)IDを小売
店ＳＨへ送信する。
小売店ＳＨへ送信する。 ステップ２：小売店ＳＨは乱数ビットｅi を生成して、
利用者ＵＳへ送信する。ステップ３：利用者ＵＳはei=1
のときａi とｙi を、ei=0のときｘi とai(+)IDを小売
店ＳＨへ送信する。
【００２２】ステップ４：小売店ＳＨは、銀行ＢＫの公
開鍵ｅA を用いて、電子現金Ｃがメッセージf(x1,y1)，
…，f(xK/2,yK/2)に対し正しい署名を有していることを
検査する。決済 最後に、小売店ＳＨと銀行ＢＫの間の決済方法について
説明する。小売店ＳＨは、利用者との電子現金使用時の
交信履歴Ｈを銀行に提出する。銀行はＨの正当性を検査
し、検査に合格すれば、Ｈを記憶しておくと共に小売店
の口座に該当する金額を払い込む。あるいは、何らかの
手段で該当する金額を小売店に支払う。銀行は、電子現
金の不正使用を見つけると、Ｈとすでに記憶している交
信履歴からＣに対応して記憶しているａi とai(+)ID を
探し出して、不正者の識別情報IDを確定する。
開鍵ｅA を用いて、電子現金Ｃがメッセージf(x1,y1)，
…，f(xK/2,yK/2)に対し正しい署名を有していることを
検査する。決済 最後に、小売店ＳＨと銀行ＢＫの間の決済方法について
説明する。小売店ＳＨは、利用者との電子現金使用時の
交信履歴Ｈを銀行に提出する。銀行はＨの正当性を検査
し、検査に合格すれば、Ｈを記憶しておくと共に小売店
の口座に該当する金額を払い込む。あるいは、何らかの
手段で該当する金額を小売店に支払う。銀行は、電子現
金の不正使用を見つけると、Ｈとすでに記憶している交
信履歴からＣに対応して記憶しているａi とai(+)ID を
探し出して、不正者の識別情報IDを確定する。
【００２３】以上が Chaum・Fiat・Naor法であるが、利
用者は電子現金による支払時に発生した乱数ビットei=1
のときａi を，ei=0のときai(+)ID を小売り店Ｖに送信
するため、利用者が不正にＣを２回使用すると、１回目
と２回目のｉ番目の乱数ビットｅi が異なる場合には、
ａi とai(+)ID とが銀行に渡ることになり、銀行ＢＫは
それらからai(+)(ai(+)ID)＝IDを計算してIDを検出でき
る。銀行は、K/2 ビットを問い合わせるので、Ｃの二重
使用を検出できない確率は２-K/2となる。通常、Ｋ＝２
０程度が推奨されている。
用者は電子現金による支払時に発生した乱数ビットei=1
のときａi を，ei=0のときai(+)ID を小売り店Ｖに送信
するため、利用者が不正にＣを２回使用すると、１回目
と２回目のｉ番目の乱数ビットｅi が異なる場合には、
ａi とai(+)ID とが銀行に渡ることになり、銀行ＢＫは
それらからai(+)(ai(+)ID)＝IDを計算してIDを検出でき
る。銀行は、K/2 ビットを問い合わせるので、Ｃの二重
使用を検出できない確率は２-K/2となる。通常、Ｋ＝２
０程度が推奨されている。
【００２４】
【発明が解決しようとする課題】前述のブラインド署名
を用いた電子現金方式は、電子現金の流れを無条件に追
跡不能にできるので、電子現金の利用者のプライバシは
利用者だけの責任において保証される。即ち、攪乱用の
乱数ｒの付加と除去を利用者が実行するので、ｒを秘密
にする限りは誰もｙとy'の対応関係を知ることはできな
い。しかし、このように無条件に匿名性を持つ方式は、
現金の流れを完全に追跡不能にできるので、その結果と
してマネーロンダリングや誘拐犯の完全犯罪に悪用され
てしまう恐れが文献S.von Solms and D. Naccache, "On
Blind Signature and Perfect Crimes," Computers an
d Security, 11, pp.581-583, 1992で指摘されている。
前述の米国特許No.4,977,595に示されている電子現金方
式も同様の問題がある。
を用いた電子現金方式は、電子現金の流れを無条件に追
跡不能にできるので、電子現金の利用者のプライバシは
利用者だけの責任において保証される。即ち、攪乱用の
乱数ｒの付加と除去を利用者が実行するので、ｒを秘密
にする限りは誰もｙとy'の対応関係を知ることはできな
い。しかし、このように無条件に匿名性を持つ方式は、
現金の流れを完全に追跡不能にできるので、その結果と
してマネーロンダリングや誘拐犯の完全犯罪に悪用され
てしまう恐れが文献S.von Solms and D. Naccache, "On
Blind Signature and Perfect Crimes," Computers an
d Security, 11, pp.581-583, 1992で指摘されている。
前述の米国特許No.4,977,595に示されている電子現金方
式も同様の問題がある。
【００２５】この発明の目的は、マネーロンダリング等
の恐れがある場合には、信頼できる第三者（例えば、裁
判所等）の監督／許可のもとで、情報の流れの追跡を可
能にできるが、通常のケースでは従来どおりに情報の流
れを追跡できず利用者のプライバシを守れるような電子
現金実施方法及び装置を提供することにある。
の恐れがある場合には、信頼できる第三者（例えば、裁
判所等）の監督／許可のもとで、情報の流れの追跡を可
能にできるが、通常のケースでは従来どおりに情報の流
れを追跡できず利用者のプライバシを守れるような電子
現金実施方法及び装置を提供することにある。
【００２６】
【課題を解決するための手段】この発明の第１の観点に
よる追跡可能な電子現金実施方法は、以下の処理ステッ
プを含む： (1) 電子現金を発行される者（以下、利用者という）が
有する装置（以下、利用者側装置という）は実名IDU と
第１の秘密情報に対応した公開情報Ｎを、信頼できる機
関（以下、信託機関という）が有する装置（以下、信託
機関側装置という）に送信し、 (2) 上記信託機関側装置は、上記利用者の身元を確認し
たのちに、その利用者に対する仮名Ｉを生成し、上記仮
名Ｉ及び上記公開情報Ｎの少なくとも一方と上記実名ID
U の対応関係を秘密に管理し、 (3) 上記信託機関側装置は上記公開情報Ｎと仮名Ｉに対
して署名を施し、その署名と上記仮名Ｉを上記利用者側
装置に送信し、 (4) 上記利用者側装置は、上記信託機関側装置からの上
記署名から利用許可証Ｂを得、その利用許可証Ｂを、上
記仮名Ｉと共に記憶し、 (5) 上記利用者側装置は、上記第１秘密情報を用いて上
記仮名Ｉと上記公開情報Ｎに対応した第２秘密情報Ｓを
計算して保持し、 (6) 上記利用者側装置は、電子現金を発行する機関（以
下、銀行という）が有する装置（以下、銀行側装置とい
う）に対して少なくとも乱数と上記利用許可証Ｂを含む
情報と金額Ａを送信して電子現金の発行を要求し、 (7) 上記銀行側装置は上記利用者側装置からの上記利用
許可証を含む情報に署名を与えて上記利用者側装置に電
子現金Ｃを含む情報として送信し、 (8) 上記利用者側装置は、上記利用許可証Ｂが上記公開
情報Ｎと上記仮名Ｉに対する署名になっていること、及
び上記電子現金Ｃが利用許可証Ｂのもとで使用可能なこ
とを検証した後に、上記乱数と上記の第２秘密情報Ｓを
用いて利用者より電子現金を受領する機関（以下、小売
店という）が有する装置（以下、小売店側装置という）
支払を行ない、 (9) 上記小売店側装置は上記電子現金Ｃに関する決済の
ため、上記利用者側装置との全ての交信情報を上記銀行
側装置に送信し、 (10)不正行為の可能性が生じた場合には、上記信託機関
側装置の管理する上記仮名Ｉと上記公開情報Ｎの上記少
なくとも一方と、上記実名IDU との対応関係を検索し、
上記仮名Ｉと上記公開情報Ｎを公開して不正行為を防止
可能とする。さらに、利用者の銀行に対する信頼感を向
上するために、銀行側装置の役割を複数の部分に分け
て、例えば、２つに分割し、利用者の身元を確認する部
分（以下、部局１という）の装置（以下、部局１側装置
という）と、利用許可証を発行する部分（以下、部局２
という）の装置（以下、部局２側装置という）に分担さ
せ、新たに部局１側装置と部局２側装置の間で引き継ぐ
情報として関連づけ情報αを導入して、部局１側装置は
実名IDU と関連づけ情報αの対応を管理し、部局２側装
置は関連づけ情報αと仮名Ｉの対応を管理するようにし
てもよい。これによって、２つの部局側装置が協力した
場合にのみ、関連づけ情報αをキーにして仮名と実名の
対応関係を得ることができる。
よる追跡可能な電子現金実施方法は、以下の処理ステッ
プを含む： (1) 電子現金を発行される者（以下、利用者という）が
有する装置（以下、利用者側装置という）は実名IDU と
第１の秘密情報に対応した公開情報Ｎを、信頼できる機
関（以下、信託機関という）が有する装置（以下、信託
機関側装置という）に送信し、 (2) 上記信託機関側装置は、上記利用者の身元を確認し
たのちに、その利用者に対する仮名Ｉを生成し、上記仮
名Ｉ及び上記公開情報Ｎの少なくとも一方と上記実名ID
U の対応関係を秘密に管理し、 (3) 上記信託機関側装置は上記公開情報Ｎと仮名Ｉに対
して署名を施し、その署名と上記仮名Ｉを上記利用者側
装置に送信し、 (4) 上記利用者側装置は、上記信託機関側装置からの上
記署名から利用許可証Ｂを得、その利用許可証Ｂを、上
記仮名Ｉと共に記憶し、 (5) 上記利用者側装置は、上記第１秘密情報を用いて上
記仮名Ｉと上記公開情報Ｎに対応した第２秘密情報Ｓを
計算して保持し、 (6) 上記利用者側装置は、電子現金を発行する機関（以
下、銀行という）が有する装置（以下、銀行側装置とい
う）に対して少なくとも乱数と上記利用許可証Ｂを含む
情報と金額Ａを送信して電子現金の発行を要求し、 (7) 上記銀行側装置は上記利用者側装置からの上記利用
許可証を含む情報に署名を与えて上記利用者側装置に電
子現金Ｃを含む情報として送信し、 (8) 上記利用者側装置は、上記利用許可証Ｂが上記公開
情報Ｎと上記仮名Ｉに対する署名になっていること、及
び上記電子現金Ｃが利用許可証Ｂのもとで使用可能なこ
とを検証した後に、上記乱数と上記の第２秘密情報Ｓを
用いて利用者より電子現金を受領する機関（以下、小売
店という）が有する装置（以下、小売店側装置という）
支払を行ない、 (9) 上記小売店側装置は上記電子現金Ｃに関する決済の
ため、上記利用者側装置との全ての交信情報を上記銀行
側装置に送信し、 (10)不正行為の可能性が生じた場合には、上記信託機関
側装置の管理する上記仮名Ｉと上記公開情報Ｎの上記少
なくとも一方と、上記実名IDU との対応関係を検索し、
上記仮名Ｉと上記公開情報Ｎを公開して不正行為を防止
可能とする。さらに、利用者の銀行に対する信頼感を向
上するために、銀行側装置の役割を複数の部分に分け
て、例えば、２つに分割し、利用者の身元を確認する部
分（以下、部局１という）の装置（以下、部局１側装置
という）と、利用許可証を発行する部分（以下、部局２
という）の装置（以下、部局２側装置という）に分担さ
せ、新たに部局１側装置と部局２側装置の間で引き継ぐ
情報として関連づけ情報αを導入して、部局１側装置は
実名IDU と関連づけ情報αの対応を管理し、部局２側装
置は関連づけ情報αと仮名Ｉの対応を管理するようにし
てもよい。これによって、２つの部局側装置が協力した
場合にのみ、関連づけ情報αをキーにして仮名と実名の
対応関係を得ることができる。
【００２７】この発明の第２の観点による追跡可能な電
子現金実施方法は、以下の処理ステップを含む： (1) 利用者側装置は実名IDU と秘密情報に対応した公開
情報Ｎを信託機関側装置に送信し、 (2) 上記信託機関側装置は、上記利用者の身元を確認し
たのちに、その利用者に対する仮名Ｉを生成し、上記仮
名Ｉ及び上記公開情報Ｎの少なくとも一方と上記実名ID
U の対応関係を秘密に管理し、 (3) 上記信託機関側装置は上記公開情報Ｎと仮名Ｉに対
して署名を施し、その署名と上記仮名Ｉを上記利用者側
装置に送信し、 (4) 上記利用者側装置は、上記信託機関側装置からの上
記署名から利用許可証Ｂを得、その利用許可証Ｂを、上
記仮名Ｉと共に記憶し、 (5) 上記利用者側装置は、銀行側装置に対して少なくと
も乱数ｂと上記利用許可証Ｂを含む情報と金額Ａを送信
して電子現金の発行を要求し、 (6) 上記銀行側装置は上記利用者側装置からの上記利用
許可証を含む情報に署名を与えて上記利用者側装置に電
子現金Ｃを含む情報として送信し、 (7) 上記利用者側装置は、上記利用許可証Ｂが上記公開
情報Ｎと上記仮名Ｉに対する署名になっていること、及
び上記電子現金Ｃが利用許可証Ｂのもとで使用可能なこ
とを検証した後に、上記乱数ｂと上記秘密情報を用いて
小売店側装置へ支払を行ない、 (8) 上記小売店側装置は上記電子現金Ｃに関する決済の
ため、上記利用者側装置との全ての交信情報を上記銀行
側装置に送信し、 (9) 不正行為の可能性が生じた場合には、上記信託機関
側装置の管理する上記仮名Ｉと上記公開情報Ｎの上記少
なくとも一方と、上記実名IDU との対応関係を検索し、
上記仮名Ｉと上記公開情報Ｎを公開して不正行為を防止
可能する。
子現金実施方法は、以下の処理ステップを含む： (1) 利用者側装置は実名IDU と秘密情報に対応した公開
情報Ｎを信託機関側装置に送信し、 (2) 上記信託機関側装置は、上記利用者の身元を確認し
たのちに、その利用者に対する仮名Ｉを生成し、上記仮
名Ｉ及び上記公開情報Ｎの少なくとも一方と上記実名ID
U の対応関係を秘密に管理し、 (3) 上記信託機関側装置は上記公開情報Ｎと仮名Ｉに対
して署名を施し、その署名と上記仮名Ｉを上記利用者側
装置に送信し、 (4) 上記利用者側装置は、上記信託機関側装置からの上
記署名から利用許可証Ｂを得、その利用許可証Ｂを、上
記仮名Ｉと共に記憶し、 (5) 上記利用者側装置は、銀行側装置に対して少なくと
も乱数ｂと上記利用許可証Ｂを含む情報と金額Ａを送信
して電子現金の発行を要求し、 (6) 上記銀行側装置は上記利用者側装置からの上記利用
許可証を含む情報に署名を与えて上記利用者側装置に電
子現金Ｃを含む情報として送信し、 (7) 上記利用者側装置は、上記利用許可証Ｂが上記公開
情報Ｎと上記仮名Ｉに対する署名になっていること、及
び上記電子現金Ｃが利用許可証Ｂのもとで使用可能なこ
とを検証した後に、上記乱数ｂと上記秘密情報を用いて
小売店側装置へ支払を行ない、 (8) 上記小売店側装置は上記電子現金Ｃに関する決済の
ため、上記利用者側装置との全ての交信情報を上記銀行
側装置に送信し、 (9) 不正行為の可能性が生じた場合には、上記信託機関
側装置の管理する上記仮名Ｉと上記公開情報Ｎの上記少
なくとも一方と、上記実名IDU との対応関係を検索し、
上記仮名Ｉと上記公開情報Ｎを公開して不正行為を防止
可能する。
【００２８】この発明の第３の観点による追跡可能な電
子現金を実施する装置は、利用許可証を発行し、電子現
金を発行する機関装置であり、以下を含む：利用者側装
置から公開情報Ｎと、上記利用者の実名IDU を含む情報
を受信し、上記実名IDU に対応する仮名Ｉを生成する仮
名生成手段と、上記仮名Ｉと上記公開情報Ｎの少なくと
も一方と、上記実名IDU との対応関係を保持する対応関
係メモリ手段と、上記公開情報Ｎと上記仮名を含む情報
に対し利用許可証用秘密鍵を使って第１の署名用関数Ｄ
eBにより署名をして利用許可証Ｂを含む情報として上記
利用者側装置に送信する利用許可証用署名手段と、上記
利用者側装置から受信した上記利用許可証Ｂを含む情報
に対し第２の署名用関数ＤeCにより署名を行い、電子現
金情報として上記利用者側装置に送信する電子現金用署
名手段。
子現金を実施する装置は、利用許可証を発行し、電子現
金を発行する機関装置であり、以下を含む：利用者側装
置から公開情報Ｎと、上記利用者の実名IDU を含む情報
を受信し、上記実名IDU に対応する仮名Ｉを生成する仮
名生成手段と、上記仮名Ｉと上記公開情報Ｎの少なくと
も一方と、上記実名IDU との対応関係を保持する対応関
係メモリ手段と、上記公開情報Ｎと上記仮名を含む情報
に対し利用許可証用秘密鍵を使って第１の署名用関数Ｄ
eBにより署名をして利用許可証Ｂを含む情報として上記
利用者側装置に送信する利用許可証用署名手段と、上記
利用者側装置から受信した上記利用許可証Ｂを含む情報
に対し第２の署名用関数ＤeCにより署名を行い、電子現
金情報として上記利用者側装置に送信する電子現金用署
名手段。
【００２９】
【発明の実施の形態】以下では、この発明の一実施例に
ついて説明する。図１にこの発明の原理構成図を示し、
銀行側装置ＢＫ、利用者側装置ＵＳ、および小売店側装
置ＳＨは例えば通信回線を介して接続されているが、情
報を記録できるＩＣカード等を介しての接続であっても
よい。第１実施例 先ず、銀行側装置ＢＫは、システム構築時に公開鍵例え
ばｅB と秘密鍵例えばｄB を生成し、公開鍵ｅB を公開
する。この公開鍵ｅB はそれぞれの利用者がこの電子現
金システムに加入する際の、利用許可証の作成／検証に
用いる。利用者は、信託機関側装置から電子現金利用の
ための許可証Ｂを発行してもらう。ただし、この実施例
は銀行側装置ＢＫが利用許可証を発行する信託機関側装
置をかねている場合を示している。
ついて説明する。図１にこの発明の原理構成図を示し、
銀行側装置ＢＫ、利用者側装置ＵＳ、および小売店側装
置ＳＨは例えば通信回線を介して接続されているが、情
報を記録できるＩＣカード等を介しての接続であっても
よい。第１実施例 先ず、銀行側装置ＢＫは、システム構築時に公開鍵例え
ばｅB と秘密鍵例えばｄB を生成し、公開鍵ｅB を公開
する。この公開鍵ｅB はそれぞれの利用者がこの電子現
金システムに加入する際の、利用許可証の作成／検証に
用いる。利用者は、信託機関側装置から電子現金利用の
ための許可証Ｂを発行してもらう。ただし、この実施例
は銀行側装置ＢＫが利用許可証を発行する信託機関側装
置をかねている場合を示している。
【００３０】つぎに銀行側装置ＢＫは電子現金の作成／
検証用に公開鍵例えばｅC と秘密鍵例えばｄC を生成す
る。これらの鍵の組(ｅC,ｄC) は電子現金の金額ごと例
えば、１００円，５００円，１０００円，１万円などに
より異なっている。銀行側装置ＢＫは署名生成アルゴリ
ズムＤB とＤC を保持し、これら署名法に対応する２つ
の公開鍵ｅB とｅC を公開する。署名法としては、従来
のＲＳＡディジタル署名法や他のブラインド署名法を使
うことができる。ここで、ｅB は銀行側装置ＢＫの発行
する利用許可証の正当性の検査に使用し、ｅC は銀行側
装置ＢＫが発行する電子現金の正当性の検査に使用す
る。利用者側装置ＵＳは、口座番号等の識別情報IDU を
用いる。利用許可証の発行処理 まず、利用者が銀行で口座を開設するとき等に、利用許
可証Ｂを銀行側装置ＢＫから発行してもらう。正確に
は、利用許可証は{B,(I,N,L)} であるが、説明を簡単に
するために、Ｂを利用許可証とよぶ。利用者側装置が銀
行から利用許可証を発行してもらう手順は、以下の通り
である（図２参照）。この手順は、それぞれの利用者
が、口座の開設時に１度だけ行なう。
検証用に公開鍵例えばｅC と秘密鍵例えばｄC を生成す
る。これらの鍵の組(ｅC,ｄC) は電子現金の金額ごと例
えば、１００円，５００円，１０００円，１万円などに
より異なっている。銀行側装置ＢＫは署名生成アルゴリ
ズムＤB とＤC を保持し、これら署名法に対応する２つ
の公開鍵ｅB とｅC を公開する。署名法としては、従来
のＲＳＡディジタル署名法や他のブラインド署名法を使
うことができる。ここで、ｅB は銀行側装置ＢＫの発行
する利用許可証の正当性の検査に使用し、ｅC は銀行側
装置ＢＫが発行する電子現金の正当性の検査に使用す
る。利用者側装置ＵＳは、口座番号等の識別情報IDU を
用いる。利用許可証の発行処理 まず、利用者が銀行で口座を開設するとき等に、利用許
可証Ｂを銀行側装置ＢＫから発行してもらう。正確に
は、利用許可証は{B,(I,N,L)} であるが、説明を簡単に
するために、Ｂを利用許可証とよぶ。利用者側装置が銀
行から利用許可証を発行してもらう手順は、以下の通り
である（図２参照）。この手順は、それぞれの利用者
が、口座の開設時に１度だけ行なう。
【００３１】ステップ１：利用者側装置ＵＳは、素数生
成器２１０を用いて２つの大きな素数Ｐ，Ｑを生成し
て、乗算器２１１を用いて合成数Ｎ（Ｎ＝Ｐ×Ｑ）を計
算する。また利用者側装置ＵＳは、素数生成器２１０を
用いて素数Ｌを選んで固定する。Ｐ，Ｑ，ＮとＬをメモ
リ２０Ｍに記憶する。 ステップ２：利用者側装置ＵＳは識別情報IDU をＮ、Ｌ
と共に銀行側装置ＢＫに送信する。
成器２１０を用いて２つの大きな素数Ｐ，Ｑを生成し
て、乗算器２１１を用いて合成数Ｎ（Ｎ＝Ｐ×Ｑ）を計
算する。また利用者側装置ＵＳは、素数生成器２１０を
用いて素数Ｌを選んで固定する。Ｐ，Ｑ，ＮとＬをメモ
リ２０Ｍに記憶する。 ステップ２：利用者側装置ＵＳは識別情報IDU をＮ、Ｌ
と共に銀行側装置ＢＫに送信する。
【００３２】ステップ３：銀行側装置ＢＫは、識別情報
IDU に対応する利用者の身元を何らかの方法で確認をし
たのちに、合格のときには、仮名生成器１１０を用いて
仮名Ｉを生成して、識別情報（実名）IDU と仮名Ｉの対
応関係を対応表１１Ｔを用いて秘密に管理する。 ステップ４：銀行側装置ＢＫは、関数ＤeBで表される署
名生成アルゴリズムを実行するＤeB計算器１１２を用い
て署名情報 Ψ＝ＤeB(N,L,I)＝ g(N‖L‖I)dB mod ｎB …（１） を求めて、ΨとＩを利用者側装置ＵＳに送信する。ここ
で、記号‖は連結を表す。
IDU に対応する利用者の身元を何らかの方法で確認をし
たのちに、合格のときには、仮名生成器１１０を用いて
仮名Ｉを生成して、識別情報（実名）IDU と仮名Ｉの対
応関係を対応表１１Ｔを用いて秘密に管理する。 ステップ４：銀行側装置ＢＫは、関数ＤeBで表される署
名生成アルゴリズムを実行するＤeB計算器１１２を用い
て署名情報 Ψ＝ＤeB(N,L,I)＝ g(N‖L‖I)dB mod ｎB …（１） を求めて、ΨとＩを利用者側装置ＵＳに送信する。ここ
で、記号‖は連結を表す。
【００３３】ステップ５：利用者側装置ＵＳは、銀行側
装置ＢＫから受信した署名情報Ψをこの例ではそのまま
利用許可証Ｂとして、仮名Ｉとともにメモリ２０Ｍに記
憶する。 ステップ６：利用者側装置ＵＳは、メモリ２０Ｍから読
みだした(I,P,Q,L) をべき乗根計算器２１２に与えて、
秘密情報Ｓ Ｓ＝Ｉ1/L mod Ｎ …（２） を計算して、メモリ２０Ｍに記憶する。
装置ＢＫから受信した署名情報Ψをこの例ではそのまま
利用許可証Ｂとして、仮名Ｉとともにメモリ２０Ｍに記
憶する。 ステップ６：利用者側装置ＵＳは、メモリ２０Ｍから読
みだした(I,P,Q,L) をべき乗根計算器２１２に与えて、
秘密情報Ｓ Ｓ＝Ｉ1/L mod Ｎ …（２） を計算して、メモリ２０Ｍに記憶する。
【００３４】利用許可証の発行処理はこれで終了する。
ここでＬは利用者側装置が固有の値を生成してもよい
し、電子現金システム全体で同一の値を使ってもよい。
後者の場合には、Ｌは図示してないＲＯＭに保持してお
ればよく、メモリ２０Ｍの記憶対象とはならない。この
利用許可証発行のやりとりを通信回線で行なう場合に
は、暗号化処理を併用したほうがよい。また仮名生成器
１１０では、申請時刻、有効期限、通番等の情報を一方
向性関数に入力することで、仮名Ｉを生成したほうがよ
い。また、上述のステップ６における秘密情報Ｓは電子
現金の使用時に必要となる情報なので、ここで計算して
おく必要はなく、後述の電子現金による支払手順におい
て計算してもよい。電子現金の発行処理 つぎに、利用者側装置ＵＳが銀行側装置ＢＫから電子現
金Ｃを発行してもらう手順を示す。ここで、ｅC は先に
述べたように利用者が指定する電子現金の金額（例えば
１万円）に対応する銀行側装置ＢＫのディジタル署名用
の公開鍵である。正確には、電子現金は（Ｃ，Ｘ）であ
るが、説明を簡単にするために、Ｃを電子現金とよぶ。
利用者側装置ＵＳが銀行側装置ＢＫから電子現金Ｃを発
行してもらう手順は、以下の通りである（図３参照）。
この場合、乱数Ｒにもとづく認証用情報Ｘを作成し、こ
れを利用許可証Ｂと連結した情報に対して銀行側装置Ｂ
Ｋの署名を付けて電子現金を得るが、この署名は先に述
べたブラインド署名方法を用いる。
ここでＬは利用者側装置が固有の値を生成してもよい
し、電子現金システム全体で同一の値を使ってもよい。
後者の場合には、Ｌは図示してないＲＯＭに保持してお
ればよく、メモリ２０Ｍの記憶対象とはならない。この
利用許可証発行のやりとりを通信回線で行なう場合に
は、暗号化処理を併用したほうがよい。また仮名生成器
１１０では、申請時刻、有効期限、通番等の情報を一方
向性関数に入力することで、仮名Ｉを生成したほうがよ
い。また、上述のステップ６における秘密情報Ｓは電子
現金の使用時に必要となる情報なので、ここで計算して
おく必要はなく、後述の電子現金による支払手順におい
て計算してもよい。電子現金の発行処理 つぎに、利用者側装置ＵＳが銀行側装置ＢＫから電子現
金Ｃを発行してもらう手順を示す。ここで、ｅC は先に
述べたように利用者が指定する電子現金の金額（例えば
１万円）に対応する銀行側装置ＢＫのディジタル署名用
の公開鍵である。正確には、電子現金は（Ｃ，Ｘ）であ
るが、説明を簡単にするために、Ｃを電子現金とよぶ。
利用者側装置ＵＳが銀行側装置ＢＫから電子現金Ｃを発
行してもらう手順は、以下の通りである（図３参照）。
この場合、乱数Ｒにもとづく認証用情報Ｘを作成し、こ
れを利用許可証Ｂと連結した情報に対して銀行側装置Ｂ
Ｋの署名を付けて電子現金を得るが、この署名は先に述
べたブラインド署名方法を用いる。
【００３５】ステップ１：利用者側装置ＵＳは、乱数発
生器２２０を用いて乱数Ｒを生成して、メモリ２０Ｍに
記憶し、一方、その乱数Ｒと利用許可証Ｂの成分（Ｎ，
Ｌ）より、べき乗計算器２２１において次式 Ｘ＝ＲL mod Ｎ …（３） により認証用情報Ｘを計算する。更に、メモリ２０Ｍか
ら読みだした利用許可証Ｂと認証用情報Ｘとから、ＦeC
計算器２２２を用いて Ｚ＝ＦeC(X,B) …（４） を計算し、即ちブラインド署名前処理をして、このＺを
IDU （必要時のみ）及び電子現金の所望の金額情報（例
えば１万円）と共に銀行側装置ＢＫに送信する。
生器２２０を用いて乱数Ｒを生成して、メモリ２０Ｍに
記憶し、一方、その乱数Ｒと利用許可証Ｂの成分（Ｎ，
Ｌ）より、べき乗計算器２２１において次式 Ｘ＝ＲL mod Ｎ …（３） により認証用情報Ｘを計算する。更に、メモリ２０Ｍか
ら読みだした利用許可証Ｂと認証用情報Ｘとから、ＦeC
計算器２２２を用いて Ｚ＝ＦeC(X,B) …（４） を計算し、即ちブラインド署名前処理をして、このＺを
IDU （必要時のみ）及び電子現金の所望の金額情報（例
えば１万円）と共に銀行側装置ＢＫに送信する。
【００３６】ステップ２：銀行側装置ＢＫは、電子現金
の金額に対応する秘密鍵ｄC を用いてＤeC計算器１２０
を用いて Θ＝ＤeC(Ｚ) …（５） を求め、つまりＺに対し仮署名をして利用者側装置ＵＳ
に送信する。同時に、利用者の口座から該当する金額を
引き落とすか、何らかの手段で利用者から該当する金額
を受領する。なお、この実施例では、銀行側装置ＢＫが
式(５)による仮署名をするのに先立って、従来行ったよ
うな抜き打ち検査を行わない。
の金額に対応する秘密鍵ｄC を用いてＤeC計算器１２０
を用いて Θ＝ＤeC(Ｚ) …（５） を求め、つまりＺに対し仮署名をして利用者側装置ＵＳ
に送信する。同時に、利用者の口座から該当する金額を
引き落とすか、何らかの手段で利用者から該当する金額
を受領する。なお、この実施例では、銀行側装置ＢＫが
式(５)による仮署名をするのに先立って、従来行ったよ
うな抜き打ち検査を行わない。
【００３７】ステップ３：利用者側装置ＵＳは、指定し
た金額の電子現金ＣをＧeC計算器２２３を用いて Ｃ＝ＧeC(Θ) …（６） で計算し、つまりブラインド署名後処理を行ってＣを得
る。ここでは、図２における利用許可証を発行する銀行
側装置ＢＫが図３で示すように電子現金も発行する場合
について説明したが、図３における電子現金を別の銀行
側装置又は信託機関側装置で発行することによりプライ
バシの保全及び電子現金の安全性をより高めることがで
きる。電子現金による支払 つぎに、利用者側装置ＵＳが銀行側装置ＢＫより発行さ
れた電子現金Ｃを用いて、小売店側装置ＳＨで支払うに
は次のステップを実行する（図４参照）。
た金額の電子現金ＣをＧeC計算器２２３を用いて Ｃ＝ＧeC(Θ) …（６） で計算し、つまりブラインド署名後処理を行ってＣを得
る。ここでは、図２における利用許可証を発行する銀行
側装置ＢＫが図３で示すように電子現金も発行する場合
について説明したが、図３における電子現金を別の銀行
側装置又は信託機関側装置で発行することによりプライ
バシの保全及び電子現金の安全性をより高めることがで
きる。電子現金による支払 つぎに、利用者側装置ＵＳが銀行側装置ＢＫより発行さ
れた電子現金Ｃを用いて、小売店側装置ＳＨで支払うに
は次のステップを実行する（図４参照）。
【００３８】ステップ１：利用者側装置ＵＳは、(N,L,
I,B,X,C)を小売店側装置ＳＨへ送信する。 ステップ２：小売店側装置ＳＨは利用許可証Ｂの(N,L,
I)に対する正当性を、ＶeB計算器３１０を用いて、Ｂが ＶeB（(N,L,I),B）＝ＯＫ 即ち ＢeB mod Ｎ ＝（Ｎ‖Ｌ‖Ｉ） …（７） を満たすこと、つまりＢがＮ，Ｌ，Ｉに対する署名にな
っていることを確信し、更に、電子現金Ｃの（Ｘ，Ｂ）
に対する正当性を、ＶeC計算器３１１を用いて、Ｃが ＶeC（(X,B),C）＝ＯＫ 即ち ＣeC mod Ｎ＝（Ｘ‖Ｂ） …（８） を満たすこと、つまりＣがＢのもとで使用可能となるこ
とをそれぞれ確認する。ＢとＣが正当な場合には、小売
店側装置ＳＨは、質問生成器３１２を用いて質問Ｅ∈Ｚ
L ＝｛0,1,…,L-1｝を生成して利用者側装置ＵＳへ送信
する。不合格の場合には、小売店側装置ＳＨはこのプロ
トコルを停止する。
I,B,X,C)を小売店側装置ＳＨへ送信する。 ステップ２：小売店側装置ＳＨは利用許可証Ｂの(N,L,
I)に対する正当性を、ＶeB計算器３１０を用いて、Ｂが ＶeB（(N,L,I),B）＝ＯＫ 即ち ＢeB mod Ｎ ＝（Ｎ‖Ｌ‖Ｉ） …（７） を満たすこと、つまりＢがＮ，Ｌ，Ｉに対する署名にな
っていることを確信し、更に、電子現金Ｃの（Ｘ，Ｂ）
に対する正当性を、ＶeC計算器３１１を用いて、Ｃが ＶeC（(X,B),C）＝ＯＫ 即ち ＣeC mod Ｎ＝（Ｘ‖Ｂ） …（８） を満たすこと、つまりＣがＢのもとで使用可能となるこ
とをそれぞれ確認する。ＢとＣが正当な場合には、小売
店側装置ＳＨは、質問生成器３１２を用いて質問Ｅ∈Ｚ
L ＝｛0,1,…,L-1｝を生成して利用者側装置ＵＳへ送信
する。不合格の場合には、小売店側装置ＳＨはこのプロ
トコルを停止する。
【００３９】ステップ３：利用者側装置ＵＳは、小売店
側装置ＳＨの質問に回答してメモリ２０Ｍから秘密情報
Ｓと(N,R) を読みだしてべき乗剰余計算器２３１に引渡
し、べき乗剰余計算器２３１で回答Ｙを次のように計算
して、小売店側装置ＳＨへ送信する。 Ｙ＝Ｒ・ＳE mod Ｎ …（９） ステップ４：小売店側装置ＳＨは、べき乗剰余計算器３
１３で X・IEmod N を演算し、べき乗剰余計算器３１４
でＹL mod Ｎを演算し、これ等両演算結果を比較器３１
５で比較する。つまり次式の関係を満たすかを検査す
る。
側装置ＳＨの質問に回答してメモリ２０Ｍから秘密情報
Ｓと(N,R) を読みだしてべき乗剰余計算器２３１に引渡
し、べき乗剰余計算器２３１で回答Ｙを次のように計算
して、小売店側装置ＳＨへ送信する。 Ｙ＝Ｒ・ＳE mod Ｎ …（９） ステップ４：小売店側装置ＳＨは、べき乗剰余計算器３
１３で X・IEmod N を演算し、べき乗剰余計算器３１４
でＹL mod Ｎを演算し、これ等両演算結果を比較器３１
５で比較する。つまり次式の関係を満たすかを検査す
る。
【００４０】
ＹL ≡ X・IE(mod N) …（10）
式(９)で表される回答Ｙ中のＳは(２)式で与えられるか
ら、（10）式の関係を満せばこの電子現金は正しいもの
として小売店側装置ＳＨは電子現金Ｃを１万円として受
理する。上述の電子現金支払手順において、利用者と小
売店の結託によって銀行側装置ＢＫに対し決済時に不正
に金額を払い込ませることを防止するために、ステップ
２と３を次のように強化してもよい。即ちステップ２
で、小売店側装置ＳＨは乱数ｄを生成し、Ｅを送信する
代わりに、小売店側装置ＳＨの識別情報IDS 、時刻ｔ、
およびｄを利用者側装置ＵＳに送信すると共に、小売店
側装置ＳＨは、Ｅ＝f(IDS,t,d)でＥを計算する。ここ
で、ｆは一方向性関数とする。ステップ３では、利用者
側装置ＵＳも同様にＥ＝f(IDS,t,d)でＥを計算する。決済 最後に、小売店側装置ＳＨと銀行側装置ＢＫの間の決済
方法について説明する（図５参照）。小売店側装置ＳＨ
は、利用者側装置との電子現金使用時の全ての交信履歴
Ｈ、つまり(N,L,I,B,X,C），Ｅ，Ｙを銀行側装置ＢＫに
提出する。銀行側装置ＢＫは、Ｈの正当性を検査し、つ
まり(７)式と(８)式が共に成立するかを検査し、この検
査に合格すれば、Ｈを記憶しておくと共に小売店の口座
に該当する金額を払い込む（もしくは、何らかの手段で
該当する金額を小売店に支払う）。銀行側装置ＢＫは、
電子現金の不正使用を見つけると、仮名Ｉと識別情報ID
の対応関係から不正者の識別情報IDを確定する。
ら、（10）式の関係を満せばこの電子現金は正しいもの
として小売店側装置ＳＨは電子現金Ｃを１万円として受
理する。上述の電子現金支払手順において、利用者と小
売店の結託によって銀行側装置ＢＫに対し決済時に不正
に金額を払い込ませることを防止するために、ステップ
２と３を次のように強化してもよい。即ちステップ２
で、小売店側装置ＳＨは乱数ｄを生成し、Ｅを送信する
代わりに、小売店側装置ＳＨの識別情報IDS 、時刻ｔ、
およびｄを利用者側装置ＵＳに送信すると共に、小売店
側装置ＳＨは、Ｅ＝f(IDS,t,d)でＥを計算する。ここ
で、ｆは一方向性関数とする。ステップ３では、利用者
側装置ＵＳも同様にＥ＝f(IDS,t,d)でＥを計算する。決済 最後に、小売店側装置ＳＨと銀行側装置ＢＫの間の決済
方法について説明する（図５参照）。小売店側装置ＳＨ
は、利用者側装置との電子現金使用時の全ての交信履歴
Ｈ、つまり(N,L,I,B,X,C），Ｅ，Ｙを銀行側装置ＢＫに
提出する。銀行側装置ＢＫは、Ｈの正当性を検査し、つ
まり(７)式と(８)式が共に成立するかを検査し、この検
査に合格すれば、Ｈを記憶しておくと共に小売店の口座
に該当する金額を払い込む（もしくは、何らかの手段で
該当する金額を小売店に支払う）。銀行側装置ＢＫは、
電子現金の不正使用を見つけると、仮名Ｉと識別情報ID
の対応関係から不正者の識別情報IDを確定する。
【００４１】以上の利用許可証の発行を除く電子現金の
発行処理から決済までは米国特許No.4,977,595中の第２
実施例に記載した手法において、その利用者情報Ｖi を
この発明の仮名Ｉとして処理した場合とほぼ一致してお
り、この点から、米国特許No.4,977,595中の第２実施例
に記載した、より信頼度を高めた手法もこの発明に同様
に適用できる。第２実施例 利用者の銀行に対する信頼感を向上するために、銀行側
装置ＢＫの電子現金に関わる複数の処理機能をそれぞれ
異なる部局が有する装置（以下、部局側装置という）に
実行させる場合についての実施例を示す。ここでは、例
えば、利用者の身元を確認する部局側装置１０１、利用
許可証を発行する部局側装置１０２に分担した場合につ
いて図６に示す。新たに部局側装置１０１と部局側装置
１０２の間で引き継ぐ情報として関連づけ情報αを導入
する。部局側装置１０１は利用者の識別情報（以下では
実名とも呼ぶ）IDと関連づけ情報αとの対応を管理し、
部局側装置１０２は関連づけ情報αと仮名Ｉの対応を管
理する。これによって、２つの部局側装置１０１、１０
２が協力した場合にのみ、関連づけ情報αをキーにして
仮名Ｉと実名IDの対応関係を得られるようになる。３つ
以上の部分に分割するには、同様にして新たに関連づけ
情報（α，β，γ，…）を追加すればよいのでここでは
省略する。
発行処理から決済までは米国特許No.4,977,595中の第２
実施例に記載した手法において、その利用者情報Ｖi を
この発明の仮名Ｉとして処理した場合とほぼ一致してお
り、この点から、米国特許No.4,977,595中の第２実施例
に記載した、より信頼度を高めた手法もこの発明に同様
に適用できる。第２実施例 利用者の銀行に対する信頼感を向上するために、銀行側
装置ＢＫの電子現金に関わる複数の処理機能をそれぞれ
異なる部局が有する装置（以下、部局側装置という）に
実行させる場合についての実施例を示す。ここでは、例
えば、利用者の身元を確認する部局側装置１０１、利用
許可証を発行する部局側装置１０２に分担した場合につ
いて図６に示す。新たに部局側装置１０１と部局側装置
１０２の間で引き継ぐ情報として関連づけ情報αを導入
する。部局側装置１０１は利用者の識別情報（以下では
実名とも呼ぶ）IDと関連づけ情報αとの対応を管理し、
部局側装置１０２は関連づけ情報αと仮名Ｉの対応を管
理する。これによって、２つの部局側装置１０１、１０
２が協力した場合にのみ、関連づけ情報αをキーにして
仮名Ｉと実名IDの対応関係を得られるようになる。３つ
以上の部分に分割するには、同様にして新たに関連づけ
情報（α，β，γ，…）を追加すればよいのでここでは
省略する。
【００４２】実施例１との実施上の相違は、利用許可証
の発行処理だけなので、以下では利用許可証発行処理に
関連する処理のみについて実施例を説明する。ただし、
パラメータＬはシステム内で一意とする。銀行の部局側
装置１０２は署名生成アルゴリズムＤB を保持する。銀
行側装置ＢＫは、この署名法に対応する公開鍵ｅB を公
開する。ここで、ｅB は銀行側装置ＢＫの発行する利用
許可証の正当性の検査に使用する。利用者側装置ＵＳ
は、口座番号等の識別情報IDU を用いる。部局側装置１
０１と部局側装置１０２の間で引き継ぐ情報として関連
づけ情報αを用いる。利用許可証の発行処理 まず、利用者が銀行で口座を開設するとき等に、利用許
可証Ｂを銀行側装置ＢＫから発行してもらう。正確に
は、利用許可証は(B,{I,N}) であるが、説明を簡単にす
るために、Ｂを利用許可証とよぶ。利用者側装置ＵＳが
銀行側装置ＢＫから利用許可証Ｂを発行してもらう手順
は、以下の通りである（図６参照）。この手順は、それ
ぞれの利用者が、口座の開設時に１度だけ行なう。
の発行処理だけなので、以下では利用許可証発行処理に
関連する処理のみについて実施例を説明する。ただし、
パラメータＬはシステム内で一意とする。銀行の部局側
装置１０２は署名生成アルゴリズムＤB を保持する。銀
行側装置ＢＫは、この署名法に対応する公開鍵ｅB を公
開する。ここで、ｅB は銀行側装置ＢＫの発行する利用
許可証の正当性の検査に使用する。利用者側装置ＵＳ
は、口座番号等の識別情報IDU を用いる。部局側装置１
０１と部局側装置１０２の間で引き継ぐ情報として関連
づけ情報αを用いる。利用許可証の発行処理 まず、利用者が銀行で口座を開設するとき等に、利用許
可証Ｂを銀行側装置ＢＫから発行してもらう。正確に
は、利用許可証は(B,{I,N}) であるが、説明を簡単にす
るために、Ｂを利用許可証とよぶ。利用者側装置ＵＳが
銀行側装置ＢＫから利用許可証Ｂを発行してもらう手順
は、以下の通りである（図６参照）。この手順は、それ
ぞれの利用者が、口座の開設時に１度だけ行なう。
【００４３】ステップ１：利用者側装置ＵＳは、素数生
成器２１０を用いて２つの大きな素数Ｐ，Ｑを生成し
て、乗算器２１１を用いて合成数Ｎ（Ｎ＝Ｐ×Ｑ）を計
算する。Ｐ，Ｑ，Ｎをメモリ２０Ｍに記憶する。 ステップ２：利用者側装置ＵＳはＦeB計算器２１３を用
いてN'=FeB(N)を計算し、IDU とＮ' を銀行側装置の部
局側装置１０１に送信する。
成器２１０を用いて２つの大きな素数Ｐ，Ｑを生成し
て、乗算器２１１を用いて合成数Ｎ（Ｎ＝Ｐ×Ｑ）を計
算する。Ｐ，Ｑ，Ｎをメモリ２０Ｍに記憶する。 ステップ２：利用者側装置ＵＳはＦeB計算器２１３を用
いてN'=FeB(N)を計算し、IDU とＮ' を銀行側装置の部
局側装置１０１に送信する。
【００４４】ステップ３：銀行側装置の部局側装置１０
１は、利用者の身元を何らかの方法で確認をしたのち
に、合格のときには、関連情報生成器１１３を用いて関
連情報αを生成して、実名IDU と関連情報αの対応関係
を対応表11T1を用いて秘密に管理し、銀行側装置の部局
側装置１０２にαとＮ' を与える。 ステップ４：銀行側装置の部局側装置１０２は、仮名生
成器１１０を用いて仮名情報Ｉを生成して、関連情報α
と仮名Ｉの対応関係を対応表11T2を用いて秘密に管理す
る。
１は、利用者の身元を何らかの方法で確認をしたのち
に、合格のときには、関連情報生成器１１３を用いて関
連情報αを生成して、実名IDU と関連情報αの対応関係
を対応表11T1を用いて秘密に管理し、銀行側装置の部局
側装置１０２にαとＮ' を与える。 ステップ４：銀行側装置の部局側装置１０２は、仮名生
成器１１０を用いて仮名情報Ｉを生成して、関連情報α
と仮名Ｉの対応関係を対応表11T2を用いて秘密に管理す
る。
【００４５】ステップ５：銀行側装置の部局側装置１０
２は、ＤeB計算器１１２を用いて Ψ＝ＤeB(N'×I) (11) を求めて、ΨとＩを利用者側装置ＵＳに送信する。 ステップ６：利用者側装置ＵＳは、銀行側装置からの受
信データΨを、ＧeB計算器２１４に引き継ぎ、Ｂ＝ＧeB
(Ψ)で利用許可証Ｂを計算して、仮名Ｉとともにメモリ
２０Ｍに記憶する。
２は、ＤeB計算器１１２を用いて Ψ＝ＤeB(N'×I) (11) を求めて、ΨとＩを利用者側装置ＵＳに送信する。 ステップ６：利用者側装置ＵＳは、銀行側装置からの受
信データΨを、ＧeB計算器２１４に引き継ぎ、Ｂ＝ＧeB
(Ψ)で利用許可証Ｂを計算して、仮名Ｉとともにメモリ
２０Ｍに記憶する。
【００４６】ステップ７：利用者側装置ＵＳは、メモリ
２０Ｍから読みだした(I,P,Q) をべき乗根計算器２１２
に引きついで、秘密情報Ｓを Ｓ＝ I1/L mod Ｎ をみたすように計算して、メモリ２０Ｍに記憶する。署
名ＢはＶeB(N×I，B)=OKをみたすことに注意。
２０Ｍから読みだした(I,P,Q) をべき乗根計算器２１２
に引きついで、秘密情報Ｓを Ｓ＝ I1/L mod Ｎ をみたすように計算して、メモリ２０Ｍに記憶する。署
名ＢはＶeB(N×I，B)=OKをみたすことに注意。
【００４７】上記のやりとりを通信回線で行なう場合に
は、暗号化処理を併用したほうがよい。仮名生成１１０
では、例えば利用許可証の申請時刻、有効期限、通番等
の情報を一方向性関数に入力することで、仮名Ｉを生成
したほうがよい。また、第１及び第２実施例では、図２
の対応表１１Ｔに利用者側装置の識別情報IDU と仮名を
対応させて保持させた場合を示したが、この発明の原理
はＤeB計算器１１２による銀行側装置の署名の対象に利
用者側装置の識別情報IDU を含まないようにすると共
に、署名の対象と識別情報IDU との対応関係を対応表１
１Ｔに保持しておくことにある。従って、対応表１１Ｔ
に保持する情報として、識別情報IDU と仮名Ｉの対応の
代わりに、識別情報IDU とＮの対応を保持してもよい。第３実施例 図７に示す第３の実施例では電子現金として米国特許N
o.5,224,162に示されている分割利用可能な電子現金に
この発明を適用する場合を示す。この実施例も第１の実
施例と同じ原理を使っており、銀行側装置ＢＫは、利用
者側装置ＵＳの要求に従って識別情報IDU に対応する仮
名Ｉを生成し、その対応関係を対応表に秘密に保持する
と共に、仮名Ｉを使って利用許可証を発行する。その
後、銀行側装置ＢＫは、利用者側装置ＵＳの要求に従
い、利用者側装置にある金額の電子現金を発行する。利
用者側装置は、その電子現金を額面金額になるまで何回
でも各種第三者、例えば小売店側装置ＳＨの支払いに用
いることができる。最後に、各小売店側装置は、利用者
側装置の各支払い毎に銀行側装置で決済を行う。この実
施例においても対応表に保持する情報はIDU とＩの対応
関係の代わりに、IDU とＮの対応関係を保持してもよ
い。
は、暗号化処理を併用したほうがよい。仮名生成１１０
では、例えば利用許可証の申請時刻、有効期限、通番等
の情報を一方向性関数に入力することで、仮名Ｉを生成
したほうがよい。また、第１及び第２実施例では、図２
の対応表１１Ｔに利用者側装置の識別情報IDU と仮名を
対応させて保持させた場合を示したが、この発明の原理
はＤeB計算器１１２による銀行側装置の署名の対象に利
用者側装置の識別情報IDU を含まないようにすると共
に、署名の対象と識別情報IDU との対応関係を対応表１
１Ｔに保持しておくことにある。従って、対応表１１Ｔ
に保持する情報として、識別情報IDU と仮名Ｉの対応の
代わりに、識別情報IDU とＮの対応を保持してもよい。第３実施例 図７に示す第３の実施例では電子現金として米国特許N
o.5,224,162に示されている分割利用可能な電子現金に
この発明を適用する場合を示す。この実施例も第１の実
施例と同じ原理を使っており、銀行側装置ＢＫは、利用
者側装置ＵＳの要求に従って識別情報IDU に対応する仮
名Ｉを生成し、その対応関係を対応表に秘密に保持する
と共に、仮名Ｉを使って利用許可証を発行する。その
後、銀行側装置ＢＫは、利用者側装置ＵＳの要求に従
い、利用者側装置にある金額の電子現金を発行する。利
用者側装置は、その電子現金を額面金額になるまで何回
でも各種第三者、例えば小売店側装置ＳＨの支払いに用
いることができる。最後に、各小売店側装置は、利用者
側装置の各支払い毎に銀行側装置で決済を行う。この実
施例においても対応表に保持する情報はIDU とＩの対応
関係の代わりに、IDU とＮの対応関係を保持してもよ
い。
【００４８】銀行側装置ＢＫは署名生成アルゴリズムＤ
B とＤC を保持する。図７に示すように銀行側装置ＢＫ
は、この利用許可証発行時と電子現金発行時に使われる
署名手順において使用される２つの公開鍵ｅB とｅC を
公開する。この実施例では、ブラインド署名法として従
来のＲＳＡディジタル署名法を使う場合について説明す
る。ここで、公開鍵ｅB は銀行側装置ＢＫの発行する利
用許可証の正当性の検査に使用し、公開鍵ｅC は銀行側
装置ＢＫが発行する電子現金の正当性の検査に使用す
る。利用者側装置ＵＳは、例えば口座番号等の識別情報
IDU を用いる。
B とＤC を保持する。図７に示すように銀行側装置ＢＫ
は、この利用許可証発行時と電子現金発行時に使われる
署名手順において使用される２つの公開鍵ｅB とｅC を
公開する。この実施例では、ブラインド署名法として従
来のＲＳＡディジタル署名法を使う場合について説明す
る。ここで、公開鍵ｅB は銀行側装置ＢＫの発行する利
用許可証の正当性の検査に使用し、公開鍵ｅC は銀行側
装置ＢＫが発行する電子現金の正当性の検査に使用す
る。利用者側装置ＵＳは、例えば口座番号等の識別情報
IDU を用いる。
【００４９】例えば、銀行側装置ＢＫが利用許可証に対
応する情報として、ＲＳＡディジタル署名を用いる場合
には秘密鍵(dA,nA) 及び公開鍵(eA,nA) の対を作成して
おき、利用許可証の正当性の検査のために(eA,nA) を上
記の公開鍵ｅB として公開しておき、秘密鍵(dA,nA) を
上記秘密鍵ｄB として保持しておく。また、銀行側装置
ＢＫが電子現金の金額に対応する情報として、ＲＳＡデ
ィジタル署名で用いる場合には秘密鍵(d'A,n'A) 及び公
開鍵(e'A,n'A) の対を作成しておき、電子現金の正当性
の検査のために(e'A,n'A) を上記の公開鍵ｅC としてそ
の金額と共に公開しておく。
応する情報として、ＲＳＡディジタル署名を用いる場合
には秘密鍵(dA,nA) 及び公開鍵(eA,nA) の対を作成して
おき、利用許可証の正当性の検査のために(eA,nA) を上
記の公開鍵ｅB として公開しておき、秘密鍵(dA,nA) を
上記秘密鍵ｄB として保持しておく。また、銀行側装置
ＢＫが電子現金の金額に対応する情報として、ＲＳＡデ
ィジタル署名で用いる場合には秘密鍵(d'A,n'A) 及び公
開鍵(e'A,n'A) の対を作成しておき、電子現金の正当性
の検査のために(e'A,n'A) を上記の公開鍵ｅC としてそ
の金額と共に公開しておく。
【００５０】以下の実施例では、利用許可証用の署名生
成アルゴリズムＤB は ＤB(x)＝ xdAmod ｎA 電子現金用の署名生成アルゴリズムＤC は ＤC(x)＝xd'A mod ｎ'A とする。また、ブラインド署名前処理関数Ｆe は x＝Ｆe(m)＝ｒeA×ｍ mod ｎ ここでｒは攪乱するための乱数、ブラインド署名後処理
Ｇe は Ｇe(Ψ)＝Ψ/r mod ｎ とする。
成アルゴリズムＤB は ＤB(x)＝ xdAmod ｎA 電子現金用の署名生成アルゴリズムＤC は ＤC(x)＝xd'A mod ｎ'A とする。また、ブラインド署名前処理関数Ｆe は x＝Ｆe(m)＝ｒeA×ｍ mod ｎ ここでｒは攪乱するための乱数、ブラインド署名後処理
Ｇe は Ｇe(Ψ)＝Ψ/r mod ｎ とする。
【００５１】この実施例においては、分割利用可能性
（一回発行された電子現金を額面の金額になるまで何回
でも使うことが出来）を効率的に実現するために、前述
の米国特許No.5,224,162に示されている階層構成テーブ
ルと呼ばれる、木構造のテーブルを導入する。銀行側装
置ＢＫは、一方向性関数ｇと３つのランダム関数ｆΓ，
ｆΛ，ｆΩを定め公開しておく。これら３つの関数は、
階層構成テーブル（ΓテーブルとΛテーブル）の各ノー
ドの値を定めるために利用される。
（一回発行された電子現金を額面の金額になるまで何回
でも使うことが出来）を効率的に実現するために、前述
の米国特許No.5,224,162に示されている階層構成テーブ
ルと呼ばれる、木構造のテーブルを導入する。銀行側装
置ＢＫは、一方向性関数ｇと３つのランダム関数ｆΓ，
ｆΛ，ｆΩを定め公開しておく。これら３つの関数は、
階層構成テーブル（ΓテーブルとΛテーブル）の各ノー
ドの値を定めるために利用される。
【００５２】この階層構成テーブルは、電子現金の金額
及びその使用最小単位（例えば、１円単位等）に対応し
て定められる。たとえば、２５円単位で、１００円の電
子現金を利用する場合の階層的構造テーブルを図８Ａ及
び図８Ｂに示す。ここで、例えば、７５円を使う場合、
ノード"00"（５０円相当）とノード"010" （２５円相
当）が該当するノードとなる。この該当ノードは、以下
のルールで定められる。
及びその使用最小単位（例えば、１円単位等）に対応し
て定められる。たとえば、２５円単位で、１００円の電
子現金を利用する場合の階層的構造テーブルを図８Ａ及
び図８Ｂに示す。ここで、例えば、７５円を使う場合、
ノード"00"（５０円相当）とノード"010" （２５円相
当）が該当するノードとなる。この該当ノードは、以下
のルールで定められる。
【００５３】(a) あるノードの直下の子ノードの該当金
額の合計が、そのノードの該当金額となる。 (b) あるノードが一度使われた後は、そのノードと連結
するすべての親（先祖）ノードおよび子（子孫）ノード
は利用してはならない。 (c) 各ノードは、一回以上使用してはならない。
額の合計が、そのノードの該当金額となる。 (b) あるノードが一度使われた後は、そのノードと連結
するすべての親（先祖）ノードおよび子（子孫）ノード
は利用してはならない。 (c) 各ノードは、一回以上使用してはならない。
【００５４】このルールに従うと、ノード"00"とノー
ド"010" が使用された後で、使用できるノードは、ノー
ド"011" （２５円相当）のみである。つまり、上のルー
ルに従うことにより、使用できる合計金額は、額面通り
１００円となると共に、２５円単位でどのような使い方
でもできる。この階層的構造テーブルは、電子現金の額
面金額を大きくし、さらに利用単位金額を小さくすれ
ば、その階層が増えることになる。例えば、額面が１０
０万円で、１円単位で利用できる電子現金の場合、その
階層は、およそ２０となる（log2 1,000,000≒20）。
ド"010" が使用された後で、使用できるノードは、ノー
ド"011" （２５円相当）のみである。つまり、上のルー
ルに従うことにより、使用できる合計金額は、額面通り
１００円となると共に、２５円単位でどのような使い方
でもできる。この階層的構造テーブルは、電子現金の額
面金額を大きくし、さらに利用単位金額を小さくすれ
ば、その階層が増えることになる。例えば、額面が１０
０万円で、１円単位で利用できる電子現金の場合、その
階層は、およそ２０となる（log2 1,000,000≒20）。
【００５５】ここで、Γテーブルは、ｔ以上の階層を持
っているものとし、利用者側装置ＵＳが小売店側装置Ｓ
Ｈで支払う金額に対応するノードをΓj1 ・・ jt（及び、Λ
j1 ・・ jt）とする。ここで、j1,…,jt∈{0,1} である。通
常、支払い金額に対応するノードは複数あるが（例え
ば、上の例では、７５円に対応するノードは、２つであ
った）、複数ノード時の支払処理は、単一ノード時の支
払い処理を単に並列に実行するだけで良いため、以下で
は、単一ノードに対する支払い処理のみを説明する。
っているものとし、利用者側装置ＵＳが小売店側装置Ｓ
Ｈで支払う金額に対応するノードをΓj1 ・・ jt（及び、Λ
j1 ・・ jt）とする。ここで、j1,…,jt∈{0,1} である。通
常、支払い金額に対応するノードは複数あるが（例え
ば、上の例では、７５円に対応するノードは、２つであ
った）、複数ノード時の支払処理は、単一ノード時の支
払い処理を単に並列に実行するだけで良いため、以下で
は、単一ノードに対する支払い処理のみを説明する。
【００５６】なお、以下の手順で用いる記号の意味をこ
こでまとめて記しておく。
こでまとめて記しておく。
【００５７】
【数２０】
<z>QR＝ dz mod N
では、d∈{±1，±2}であり、かつ dz mod Nが平方剰余
である。 <z>1＝ d'z mod N では、d'∈{1，2}であり、かつ(d'z/N)＝1 である。 <z>-1＝ d"z mod N では、d"∈{1，2}であり、かつ (d"z/N)＝-1 である。
である。 <z>1＝ d'z mod N では、d'∈{1，2}であり、かつ(d'z/N)＝1 である。 <z>-1＝ d"z mod N では、d"∈{1，2}であり、かつ (d"z/N)＝-1 である。
【００５８】なお、以上において、(a/b) はヤコビ記号
を意味する。ヤコビ記号の計算方法は、例えば、藤崎、
森田、山本著：「数論への出発（数学セミナ増刊号）」
（日本評論社）に記されている。利用許可証の発行処理 まず、利用者側装置ＵＳは利用許可証Ｂを銀行側装置Ｂ
Ｋから発行してもらう。この手順は第１の実施例におけ
る図２に示す手順と原理的に同じであるが、ここでは素
数Ｌは使用していない。従って、利用許可証は{B,(I,
N)} であるが、説明を簡単にするために、Ｂを利用許可
証とよぶ。また、この実施例では電子現金の使用時に第
１の実施例で使用した利用者秘密情報Ｓを使用しない。
を意味する。ヤコビ記号の計算方法は、例えば、藤崎、
森田、山本著：「数論への出発（数学セミナ増刊号）」
（日本評論社）に記されている。利用許可証の発行処理 まず、利用者側装置ＵＳは利用許可証Ｂを銀行側装置Ｂ
Ｋから発行してもらう。この手順は第１の実施例におけ
る図２に示す手順と原理的に同じであるが、ここでは素
数Ｌは使用していない。従って、利用許可証は{B,(I,
N)} であるが、説明を簡単にするために、Ｂを利用許可
証とよぶ。また、この実施例では電子現金の使用時に第
１の実施例で使用した利用者秘密情報Ｓを使用しない。
【００５９】利用者側装置が銀行側装置から利用許可証
を発行してもらう手順は、以下の通りである（図９参
照）。この手順は、それぞれの利用者が、口座の開設時
に１度だけ行なう。 ステップ１：利用者側装置ＵＳは、素数生成器２１０を
用いてP≡ 3(mod 8)及びＱ≡7(mod 8)をみたす２つの大
きな素数Ｐ，Ｑを生成して、乗算器２１１を用いてこれ
ら素数の合成数Ｎ（Ｎ＝Ｐ×Ｑ）を計算する。Ｐ，Ｑ，
Ｎをメモリ２０Ｍに記憶する。
を発行してもらう手順は、以下の通りである（図９参
照）。この手順は、それぞれの利用者が、口座の開設時
に１度だけ行なう。 ステップ１：利用者側装置ＵＳは、素数生成器２１０を
用いてP≡ 3(mod 8)及びＱ≡7(mod 8)をみたす２つの大
きな素数Ｐ，Ｑを生成して、乗算器２１１を用いてこれ
ら素数の合成数Ｎ（Ｎ＝Ｐ×Ｑ）を計算する。Ｐ，Ｑ，
Ｎをメモリ２０Ｍに記憶する。
【００６０】ステップ２：利用者側装置ＵＳはその識別
情報IDU とＮを銀行側装置ＢＫに送信する。 ステップ３：銀行側装置ＢＫは、利用者の身元を何らか
の方法で確認をしたのちに、合格のときには、仮名生成
器１１０を用いて仮名Ｉを生成して、識別情報（実名）
IDU と仮名Ｉ（又はＮ）の対応関係を対応表１１Ｔに記
録して秘密に管理する。
情報IDU とＮを銀行側装置ＢＫに送信する。 ステップ３：銀行側装置ＢＫは、利用者の身元を何らか
の方法で確認をしたのちに、合格のときには、仮名生成
器１１０を用いて仮名Ｉを生成して、識別情報（実名）
IDU と仮名Ｉ（又はＮ）の対応関係を対応表１１Ｔに記
録して秘密に管理する。
【００６１】ステップ４：銀行側装置ＢＫは、ＤeB計算
器１１２を用いて下記の署名 Ψ＝ＤeB(N,I)＝ g(N‖I)dBmod ｎB (12) を求めて、ΨとＩを利用者側装置ＵＳに送信する。 ステップ５：利用者側装置ＵＳは、銀行側装置ＢＫから
の受信データΨを利用許可証Ｂとして、仮名Ｉとともに
メモリ２０Ｍに記憶する。
器１１２を用いて下記の署名 Ψ＝ＤeB(N,I)＝ g(N‖I)dBmod ｎB (12) を求めて、ΨとＩを利用者側装置ＵＳに送信する。 ステップ５：利用者側装置ＵＳは、銀行側装置ＢＫから
の受信データΨを利用許可証Ｂとして、仮名Ｉとともに
メモリ２０Ｍに記憶する。
【００６２】上記の利用者側装置ＵＳと銀行側装置ＢＫ
のやりとりを通信回線で行なう場合には、暗号化処理を
併用するのが好ましい。また、仮名生成器１１０では、
申請時刻、有効期限、通番等の情報を一方向性関数に入
力することで、仮名Ｉを生成したほうがよい。電子現金の発行処理 次に、利用者側装置ＵＳが銀行側装置ＢＫから電子現金
Ｃを発行してもらう手順を示す。ここでｅC は、利用者
側装置が指定する電子現金の金額（例えば１万円）に対
応する銀行側装置ＢＫのディジタル署名用の公開鍵であ
る。正確には、電子現金は(C,b,B) であるが、説明を簡
単にするために、Ｃを電子現金とよぶ。利用者側装置Ｕ
Ｓが銀行側装置ＢＫから電子現金Ｃを発行してもらう手
順は以下の通りである（図１０参照）。
のやりとりを通信回線で行なう場合には、暗号化処理を
併用するのが好ましい。また、仮名生成器１１０では、
申請時刻、有効期限、通番等の情報を一方向性関数に入
力することで、仮名Ｉを生成したほうがよい。電子現金の発行処理 次に、利用者側装置ＵＳが銀行側装置ＢＫから電子現金
Ｃを発行してもらう手順を示す。ここでｅC は、利用者
側装置が指定する電子現金の金額（例えば１万円）に対
応する銀行側装置ＢＫのディジタル署名用の公開鍵であ
る。正確には、電子現金は(C,b,B) であるが、説明を簡
単にするために、Ｃを電子現金とよぶ。利用者側装置Ｕ
Ｓが銀行側装置ＢＫから電子現金Ｃを発行してもらう手
順は以下の通りである（図１０参照）。
【００６３】ステップ１：利用者側装置ＵＳは、乱数発
生器２２０を用いて乱数ｂとｒを生成して、ｂをメモリ
２０Ｍに記憶し、一方、その乱数ｂとメモリ２０Ｍから
読みだした利用許可証Ｂより、一方向性関数であるｇ計
算器２２１を用いてｇ(B‖b)を計算し、更に、ＦeC計算
器２２２を用いて Ｚ＝ＦeC(g(B‖b))＝ｒeCg(B‖b)mod ｎC (13) を計算し、ＺをIDU （必要時のみ）、電子現金の金額情
報Ａ（例えば１万円）と共に銀行側装置ＢＫに送信す
る。
生器２２０を用いて乱数ｂとｒを生成して、ｂをメモリ
２０Ｍに記憶し、一方、その乱数ｂとメモリ２０Ｍから
読みだした利用許可証Ｂより、一方向性関数であるｇ計
算器２２１を用いてｇ(B‖b)を計算し、更に、ＦeC計算
器２２２を用いて Ｚ＝ＦeC(g(B‖b))＝ｒeCg(B‖b)mod ｎC (13) を計算し、ＺをIDU （必要時のみ）、電子現金の金額情
報Ａ（例えば１万円）と共に銀行側装置ＢＫに送信す
る。
【００６４】ステップ２：銀行側装置ＢＫは、電子現金
の金額Ａに対応する秘密鍵ｄC を用いてＤeC計算器１２
０により Θ＝ＤeC(Z)＝ＺeCmod ｎC (14) を求め、利用者側装置ＵＳに送信する。同時に、利用者
の口座から該当する金額Ａを引き落とすか、何らかの手
段で利用者から該当する金額Ａを受領する。
の金額Ａに対応する秘密鍵ｄC を用いてＤeC計算器１２
０により Θ＝ＤeC(Z)＝ＺeCmod ｎC (14) を求め、利用者側装置ＵＳに送信する。同時に、利用者
の口座から該当する金額Ａを引き落とすか、何らかの手
段で利用者から該当する金額Ａを受領する。
【００６５】ステップ３：利用者側装置ＵＳは、指定し
た金額Ａの電子現金ＣをＧeC計算器２２３を用いて Ｃ＝ＧeC(Θ)＝Θ/r mod ｎC (15) で計算する。電子現金による支払 つぎに、利用者側装置ＵＳが銀行側装置ＢＫより発行さ
れた電子現金Ｃを用いて、小売店側装置ＳＨで支払う場
合について説明する（図１１及び１２参照）。
た金額Ａの電子現金ＣをＧeC計算器２２３を用いて Ｃ＝ＧeC(Θ)＝Θ/r mod ｎC (15) で計算する。電子現金による支払 つぎに、利用者側装置ＵＳが銀行側装置ＢＫより発行さ
れた電子現金Ｃを用いて、小売店側装置ＳＨで支払う場
合について説明する（図１１及び１２参照）。
【００６６】ステップ１：利用者側装置ＵＳは、まず、
メモリ２０Ｍから読みだしたC,N,P,Q からΓ計算器２３
６を用いて、次式を演算し、つまりｆΓ(C‖0‖N)を計
算し、かつこの値に対し、Ｐ，Ｑを用いて±１，±２の
何れかの補正を行ってＮ上での平方剰余Γ0 を求める。
メモリ２０Ｍから読みだしたC,N,P,Q からΓ計算器２３
６を用いて、次式を演算し、つまりｆΓ(C‖0‖N)を計
算し、かつこの値に対し、Ｐ，Ｑを用いて±１，±２の
何れかの補正を行ってＮ上での平方剰余Γ0 を求める。
【００６７】
【数２１】
次に、電子現金Ｃと利用金額に対応するノードj1…jq
とＮをΩ計算器２３７に入力してΩj1 ・・ jq (q=1,…,t)
を生成する。
とＮをΩ計算器２３７に入力してΩj1 ・・ jq (q=1,…,t)
を生成する。
【００６８】
【数２２】
更に、Ωj1 ・・ jq(q=1,…,t)のjq+1べき乗をべき乗計算器
２３２で求め、この結果とΓ0 のＮ上での剰余乗算を剰
余乗算器２３３で求め、その乗算結果のmod N上での 1/
2t 根、つまり利用金額Ａに対応するノードの値j1…jt
のべき乗根ＸをＰ，Ｑを用いてべき乗根計算器２３４で
計算する。
２３２で求め、この結果とΓ0 のＮ上での剰余乗算を剰
余乗算器２３３で求め、その乗算結果のmod N上での 1/
2t 根、つまり利用金額Ａに対応するノードの値j1…jt
のべき乗根ＸをＰ，Ｑを用いてべき乗根計算器２３４で
計算する。
【００６９】
【数２３】
ステップ２：利用者側装置ＵＳは、メモリ２０Ｍから読
みだしたI,N,X,B,b,Cと利用金額に対応するj1,…,jtを
小売店側装置ＳＨに送る。 ステップ３：小売店側装置ＳＨは、(I,N) に対する署名
Ｂの正当性をＶeB計算器３１０を用いて、Ｂが ＶeB((N,I),B)＝ＯＫ 即ち ＢeB mod N＝ (N‖I) (19) を満たすことつまりＢが(N,I) に対する署名になってい
ることを確認し、また署名Ｃの(B,b) に対する正当性
を、ｇ計算器３３１とＶeC計算器３３２を用いて、Ｃが ＶeC(g(B‖b),C)＝ＯＫ 即ち ＣeC mod N＝g(B‖b) (20) を満たすこと、つまりＣがＢのもとで使用可能なことを
確認する。この検査が不合格のときは以降の処理を中止
する ステップ４：小売店側装置ＳＨは、ヤコビ記号計算器３
３３および比較器３３４を用いて、Ｘが次の関係を満足
するかどうかを検証する。この検査が不合格のときは以
降の処理を中止する。
みだしたI,N,X,B,b,Cと利用金額に対応するj1,…,jtを
小売店側装置ＳＨに送る。 ステップ３：小売店側装置ＳＨは、(I,N) に対する署名
Ｂの正当性をＶeB計算器３１０を用いて、Ｂが ＶeB((N,I),B)＝ＯＫ 即ち ＢeB mod N＝ (N‖I) (19) を満たすことつまりＢが(N,I) に対する署名になってい
ることを確認し、また署名Ｃの(B,b) に対する正当性
を、ｇ計算器３３１とＶeC計算器３３２を用いて、Ｃが ＶeC(g(B‖b),C)＝ＯＫ 即ち ＣeC mod N＝g(B‖b) (20) を満たすこと、つまりＣがＢのもとで使用可能なことを
確認する。この検査が不合格のときは以降の処理を中止
する ステップ４：小売店側装置ＳＨは、ヤコビ記号計算器３
３３および比較器３３４を用いて、Ｘが次の関係を満足
するかどうかを検証する。この検査が不合格のときは以
降の処理を中止する。
【００７０】(X/N)＝−１
次に、Ｃ，ＮからΓ計算器３２２を用いて、
【００７１】
【数２４】
を計算する。また、Ｃ，j1…jq，ＮからΩ計算器３１６
を用いて、Ωj1 ・・ jq（q=1,…,t）を計算する。
を用いて、Ωj1 ・・ jq（q=1,…,t）を計算する。
【００７２】
【数２５】
その計算結果のべき乗をべき乗計算器３１８で行い、Ω
2j j1 ・・ jq を得る。更に、Γ計算器３２２からのｆΓ(C
‖0‖N)と、べき乗計算器３１８からのべき乗計算結果
との剰余乗算を乗算器３１９で行う。一方、Ｘの２t 乗
をべき乗計算器３１７で行い、これを剰余乗算器３１９
の出力で剰余除算器３２０で除算し、その結果と±１，
±２の比較を比較器３２１で行い、Ｘが次の関係を満足
するかどうかを検証する。この検査が不合格のときは以
降の処理を中止する。
2j j1 ・・ jq を得る。更に、Γ計算器３２２からのｆΓ(C
‖0‖N)と、べき乗計算器３１８からのべき乗計算結果
との剰余乗算を乗算器３１９で行う。一方、Ｘの２t 乗
をべき乗計算器３１７で行い、これを剰余乗算器３１９
の出力で剰余除算器３２０で除算し、その結果と±１，
±２の比較を比較器３２１で行い、Ｘが次の関係を満足
するかどうかを検証する。この検査が不合格のときは以
降の処理を中止する。
【００７３】
【数２６】
ここで、ｄは±１，±２のいずれかの値である。
ステップ５：小売店側装置ＳＨは、この検査に合格すれ
ば、質問生成器３１２を用いて質問値をＥi∈{0,1}(i＝
1,…,K')を選び利用者側装置ＵＳに送る。 ステップ６：利用者側装置ＵＳは C,i,j1…jt,N,P,Q か
らΛ計算器２３５を用いて、次式によりΛi(i＝1,…,
K') を計算する。つまりｆΛ( )に対しＰ，Ｑを用いて
±１，±２の何れかの補正をしてＮ上での平方剰余Λi
を求める。
ば、質問生成器３１２を用いて質問値をＥi∈{0,1}(i＝
1,…,K')を選び利用者側装置ＵＳに送る。 ステップ６：利用者側装置ＵＳは C,i,j1…jt,N,P,Q か
らΛ計算器２３５を用いて、次式によりΛi(i＝1,…,
K') を計算する。つまりｆΛ( )に対しＰ，Ｑを用いて
±１，±２の何れかの補正をしてＮ上での平方剰余Λi
を求める。
【００７４】
【数２７】
i=1,…,K'
つぎに、べき乗根計算器２３１で、次式の演算をＰ，Ｑ
を用いて行い、その結果Ｙi を小売店側装置ＳＨに送信
する。
を用いて行い、その結果Ｙi を小売店側装置ＳＨに送信
する。
【００７５】
【数２８】
ステップ７：小売店側装置ＳＨは、ヤコビ記号計算器３
２３および比較器３２４を用いてＹi が以下の関係をみ
たすかを検証する。この検査が不合格のときは以降の処
理を中止する。 (Yi/N)＝(-1)Ei (25) 情報 C,i,j1…jt,N をΛ計算器３２５に入力し、Ｙi を
べき乗計算器３２６でＹi 2とし、そのＹi 2をΛ計算器３
２５の出力で剰余除算器３２７において剰余除算を行
い、その結果d'を比較器３２８を用いて±１，±２と比
較して以下の関係を満足するかどうかを検証する。
２３および比較器３２４を用いてＹi が以下の関係をみ
たすかを検証する。この検査が不合格のときは以降の処
理を中止する。 (Yi/N)＝(-1)Ei (25) 情報 C,i,j1…jt,N をΛ計算器３２５に入力し、Ｙi を
べき乗計算器３２６でＹi 2とし、そのＹi 2をΛ計算器３
２５の出力で剰余除算器３２７において剰余除算を行
い、その結果d'を比較器３２８を用いて±１，±２と比
較して以下の関係を満足するかどうかを検証する。
【００７６】
【数２９】
i=1,…,K'
ここで、d'は±１，±２のいずれかの値である。この検
証に合格すれば、小売店側装置ＳＨは、利用者側装置Ｕ
Ｓのノードj1…jtに該当する金額の支払いを正当なもの
としてみなし、それを受けとる。
証に合格すれば、小売店側装置ＳＨは、利用者側装置Ｕ
Ｓのノードj1…jtに該当する金額の支払いを正当なもの
としてみなし、それを受けとる。
【００７７】なお、上記の電子現金による支払いにおい
て、小売店側装置が利用者と結託して不正使用するのを
防ぐため、小売店側装置ＳＨが質問生成器３１２から利
用者側装置ＵＳに送る質問Ｅi を以下のように強化して
もよい。小売店側装置ＳＨは、乱数Ei' を生成し、それ
をＥi の代わりとして小売店側装置ＳＨの識別子IDS及
び時刻印Ｔと共に利用者側装置ＵＳに送る。小売店側装
置ＳＨ及び利用者側装置ＵＳは、それぞれ、Ei＝h(IDS
‖T‖Ei')を計算する。ここで、ｈは一方向性関数とす
る。決済 最後に、小売店側装置ＳＨと銀行側装置ＢＫの間の決済
方法について説明する（図１３参照）。小売店側装置Ｓ
Ｈは、利用者側装置ＵＳとの電子現金使用時の全ての交
信履歴Ｈ={I,N,X,B,b,C,j1…jt,Ei,Yi(i=1,…,K')}を銀
行側装置に提出する。銀行側装置は、Ｈの正当性を検査
し、検査に合格すれば、Ｈを記憶しておくと共に小売店
側装置ＳＨの口座に該当する金額を払い込む（もしく
は、何らかの手段で該当する金額を小売店側装置に支払
う）。銀行側装置は、電子現金の不正使用を見つける
と、Ｈの情報よりＩ（又はＮ）を求めて、第三者（例え
ば裁判所）の許可のもとでＩ（又はＮ）に対応するIDを
知ることができ、不正者を特定できる。
て、小売店側装置が利用者と結託して不正使用するのを
防ぐため、小売店側装置ＳＨが質問生成器３１２から利
用者側装置ＵＳに送る質問Ｅi を以下のように強化して
もよい。小売店側装置ＳＨは、乱数Ei' を生成し、それ
をＥi の代わりとして小売店側装置ＳＨの識別子IDS及
び時刻印Ｔと共に利用者側装置ＵＳに送る。小売店側装
置ＳＨ及び利用者側装置ＵＳは、それぞれ、Ei＝h(IDS
‖T‖Ei')を計算する。ここで、ｈは一方向性関数とす
る。決済 最後に、小売店側装置ＳＨと銀行側装置ＢＫの間の決済
方法について説明する（図１３参照）。小売店側装置Ｓ
Ｈは、利用者側装置ＵＳとの電子現金使用時の全ての交
信履歴Ｈ={I,N,X,B,b,C,j1…jt,Ei,Yi(i=1,…,K')}を銀
行側装置に提出する。銀行側装置は、Ｈの正当性を検査
し、検査に合格すれば、Ｈを記憶しておくと共に小売店
側装置ＳＨの口座に該当する金額を払い込む（もしく
は、何らかの手段で該当する金額を小売店側装置に支払
う）。銀行側装置は、電子現金の不正使用を見つける
と、Ｈの情報よりＩ（又はＮ）を求めて、第三者（例え
ば裁判所）の許可のもとでＩ（又はＮ）に対応するIDを
知ることができ、不正者を特定できる。
【００７８】上述において利用者側装置は階層構造テー
ブルのどのノードも２重使用できない。なぜならば、Ｅ
i が{0,1}（i=1,…,K') からランダムに選ばれることよ
り、もし、利用者側装置がいずれかのノードを２重使用
すると、銀行側装置は、Ｈから確率 1-(1/2)K'でＮを素
因数分解することができ、それにより、利用者側装置の
秘密情報Ｐ，Ｑを得ることが出来る。銀行側装置は、合
成数Ｎの素因数Ｐ，Ｑを不正利用の証拠とする。Ｐ，Ｑ
を知っているのは利用者側装置ＵＳだけであることに注
意。従って、これを２重使用の証拠として何らかのペナ
ルティを利用者側装置に課すことができる。
ブルのどのノードも２重使用できない。なぜならば、Ｅ
i が{0,1}（i=1,…,K') からランダムに選ばれることよ
り、もし、利用者側装置がいずれかのノードを２重使用
すると、銀行側装置は、Ｈから確率 1-(1/2)K'でＮを素
因数分解することができ、それにより、利用者側装置の
秘密情報Ｐ，Ｑを得ることが出来る。銀行側装置は、合
成数Ｎの素因数Ｐ，Ｑを不正利用の証拠とする。Ｐ，Ｑ
を知っているのは利用者側装置ＵＳだけであることに注
意。従って、これを２重使用の証拠として何らかのペナ
ルティを利用者側装置に課すことができる。
【００７９】次に、利用者側装置ＵＳは、階層構造テー
ブルのあるノードを利用した後では、そのいかなる上位
および下位のノードも使用できない。ここで、簡単のた
め、図８Ｂの階層構造テーブルの例で説明する。まず、
利用者側装置ＵＳがノード"00"を使うと、利用者側装置
ＵＳは、
ブルのあるノードを利用した後では、そのいかなる上位
および下位のノードも使用できない。ここで、簡単のた
め、図８Ｂの階層構造テーブルの例で説明する。まず、
利用者側装置ＵＳがノード"00"を使うと、利用者側装置
ＵＳは、
【００８０】
【数３０】
を小売店側装置ＳＨへ（最終的には銀行側装置ＢＫへ）
送る。この後、その下位のノードである"000" を利用す
ると、利用者側装置ＵＳは、
送る。この後、その下位のノードである"000" を利用す
ると、利用者側装置ＵＳは、
【００８１】
【数３１】
を小売店側装置ＳＨへ送らなければならない。このと
き、
き、
【００８２】
【数３２】
であることにより、銀行側装置ＢＫは、Ｘ00とＸ2 000 m
od Nの情報を用いて、Ｎを素因数分解でき、これより、
利用者側装置ＵＳの秘密情報Ｐ，Ｑを計算できる。同様
に、ノード"00"の利用後に、その上位ノード"0" や下位
ノード"001" を利用すると、やはり利用者側装置ＵＳの
秘密情報Ｐ，Ｑが銀行側装置ＢＫにより得られることに
なる。
od Nの情報を用いて、Ｎを素因数分解でき、これより、
利用者側装置ＵＳの秘密情報Ｐ，Ｑを計算できる。同様
に、ノード"00"の利用後に、その上位ノード"0" や下位
ノード"001" を利用すると、やはり利用者側装置ＵＳの
秘密情報Ｐ，Ｑが銀行側装置ＢＫにより得られることに
なる。
【００８３】なお、上記の実施例では、実名と仮名の対
応関係を１つの銀行側装置ＢＫとして実現する場合をの
べたが、図６で説明したと同様に、銀行側装置ＢＫの機
能を複数の部局側装置に分割して、これらの部局側装置
が協力した場合にのみ、実名と仮名の対応関係を知るこ
とができるようにしてもよい。上述では署名Ψをそのま
ま利用許可証Ｂとしたが、署名Ψに対し何等かの処理を
施したものを利用許可証Ｂとしてもよい。第４実施例 上述の図７〜１３で示した第３実施例において、利用者
が電子現金を使用する場合に、図１１、１２で示した利
用者側装置と小売店側装置間で交信する情報量を削減す
るように改善した利用者側装置ＵＳと小売店側装置ＳＨ
の構成と、電子現金の支払手順を図１５、１６に示す。
応関係を１つの銀行側装置ＢＫとして実現する場合をの
べたが、図６で説明したと同様に、銀行側装置ＢＫの機
能を複数の部局側装置に分割して、これらの部局側装置
が協力した場合にのみ、実名と仮名の対応関係を知るこ
とができるようにしてもよい。上述では署名Ψをそのま
ま利用許可証Ｂとしたが、署名Ψに対し何等かの処理を
施したものを利用許可証Ｂとしてもよい。第４実施例 上述の図７〜１３で示した第３実施例において、利用者
が電子現金を使用する場合に、図１１、１２で示した利
用者側装置と小売店側装置間で交信する情報量を削減す
るように改善した利用者側装置ＵＳと小売店側装置ＳＨ
の構成と、電子現金の支払手順を図１５、１６に示す。
【００８４】ステップ１：利用者側装置ＵＳは、まず、
メモリ２０Ｍから読みだしたC,N,P,Q からΓ計算器２３
６を用いて、次式を演算し、つまりｆΓ(C‖0‖N)を計
算し、かつこの値に対し、Ｐ，Ｑを用いて±１，±２の
何れかの補正を行ってＮ上での平方剰余Γ0 を前述の式
(16)で求める。次に、電子現金Ｃと利用金額に対応する
ノードj1…jq とＮをΩ計算器２３７に入力して前述の
式(17)によりΩj1 ・・ jq (q=1,…,t) を生成する。更に、
Ωj1 ・・ jq(q=1,…,t)のjq+1べき乗をべき乗計算器２３２
で求め、この結果とΓ0 のＮ上での剰余乗算を剰余乗算
器２３３で求め、その乗算結果のmod N上での 1/2
t 根、つまり利用金額Ａに対応するノードの値j1…jtの
べき乗根ＸをＰ，Ｑを用いてべき乗根計算器２３４で前
述の式(18)により計算する。
メモリ２０Ｍから読みだしたC,N,P,Q からΓ計算器２３
６を用いて、次式を演算し、つまりｆΓ(C‖0‖N)を計
算し、かつこの値に対し、Ｐ，Ｑを用いて±１，±２の
何れかの補正を行ってＮ上での平方剰余Γ0 を前述の式
(16)で求める。次に、電子現金Ｃと利用金額に対応する
ノードj1…jq とＮをΩ計算器２３７に入力して前述の
式(17)によりΩj1 ・・ jq (q=1,…,t) を生成する。更に、
Ωj1 ・・ jq(q=1,…,t)のjq+1べき乗をべき乗計算器２３２
で求め、この結果とΓ0 のＮ上での剰余乗算を剰余乗算
器２３３で求め、その乗算結果のmod N上での 1/2
t 根、つまり利用金額Ａに対応するノードの値j1…jtの
べき乗根ＸをＰ，Ｑを用いてべき乗根計算器２３４で前
述の式(18)により計算する。
【００８５】ステップ２：利用者側装置ＵＳは、メモリ
２０Ｍから読みだしたI,N,X,B,b,Cと利用金額に対応す
るj1,…,jtを小売店側装置ＳＨに送る。 ステップ３：小売店側装置ＳＨは、(I,N) に対する署名
Ｂの正当性をＶeB計算器３１０を用いて、Ｂが前述の式
(19)を満たすことつまりＢが(N,I) に対する署名になっ
ていることを確認し、また署名Ｃの(B,b) に対する正当
性を、ｇ計算器３３１とＶeC計算器３３２を用いて、Ｃ
が前述の式(20)を満たすこと、つまりＣがＢのもとで使
用可能なことを確認する。この検査が不合格のときは以
降の処理を中止する。
２０Ｍから読みだしたI,N,X,B,b,Cと利用金額に対応す
るj1,…,jtを小売店側装置ＳＨに送る。 ステップ３：小売店側装置ＳＨは、(I,N) に対する署名
Ｂの正当性をＶeB計算器３１０を用いて、Ｂが前述の式
(19)を満たすことつまりＢが(N,I) に対する署名になっ
ていることを確認し、また署名Ｃの(B,b) に対する正当
性を、ｇ計算器３３１とＶeC計算器３３２を用いて、Ｃ
が前述の式(20)を満たすこと、つまりＣがＢのもとで使
用可能なことを確認する。この検査が不合格のときは以
降の処理を中止する。
【００８６】ステップ４：小売店側装置ＳＨは、ヤコビ
記号計算器３３３および比較器３３４を用いて、Ｘが(X
/N)=-1の関係を満足するかどうかを検証する。この検査
が不合格のときは以降の処理を中止する。次に、Ｃ，Ｎ
からΓ計算器３２２を用いて、ｆΓ(C‖0‖N)を計算す
る。また、Ｃ，j1…jq，ＮからΩ計算器３１６を用い
て、Ωj1 ・・ jq(q=1,…,t) を前述の式(21)により計算す
る。
記号計算器３３３および比較器３３４を用いて、Ｘが(X
/N)=-1の関係を満足するかどうかを検証する。この検査
が不合格のときは以降の処理を中止する。次に、Ｃ，Ｎ
からΓ計算器３２２を用いて、ｆΓ(C‖0‖N)を計算す
る。また、Ｃ，j1…jq，ＮからΩ計算器３１６を用い
て、Ωj1 ・・ jq(q=1,…,t) を前述の式(21)により計算す
る。
【００８７】その計算結果のべき乗をべき乗計算器３１
８で行い、Ω2j j1 ・・ jq を得る。更に、Γ計算器３２２
からのｆΓ(C‖0‖N)と、べき乗計算器３１８からのべ
き乗計算結果との剰余乗算を乗算器３１９で行う。一
方、Ｘの２t 乗をべき乗計算器３１７で行い、これを剰
余乗算器３１９の出力で剰余除算器３２０で除算し、そ
の結果と±１，±２の比較を比較器３２１で行い、Ｘが
前述の式(22)の関係を満足するかどうかを検証する。こ
の検査が不合格のときは以降の処理を中止する。
８で行い、Ω2j j1 ・・ jq を得る。更に、Γ計算器３２２
からのｆΓ(C‖0‖N)と、べき乗計算器３１８からのべ
き乗計算結果との剰余乗算を乗算器３１９で行う。一
方、Ｘの２t 乗をべき乗計算器３１７で行い、これを剰
余乗算器３１９の出力で剰余除算器３２０で除算し、そ
の結果と±１，±２の比較を比較器３２１で行い、Ｘが
前述の式(22)の関係を満足するかどうかを検証する。こ
の検査が不合格のときは以降の処理を中止する。
【００８８】ここまでの処理ステップ１〜４は、図１
１、１２で説明した処理ステップ１〜４とまったく同じ
である。図１４、１５の変形実施例では、以降の処理ス
テップ５〜７において、利用者側装置ＵＳと小売店側装
置ＳＨ間の交信情報量を削減するように改善されている
が、基本的な手順は図１１、１２の処理ステップ５〜７
と同様である。
１、１２で説明した処理ステップ１〜４とまったく同じ
である。図１４、１５の変形実施例では、以降の処理ス
テップ５〜７において、利用者側装置ＵＳと小売店側装
置ＳＨ間の交信情報量を削減するように改善されている
が、基本的な手順は図１１、１２の処理ステップ５〜７
と同様である。
【００８９】ステップ５：小売店側装置ＳＨは、ステッ
プ４で検査した利用許可証Ｂに対する銀行側装置ＢＫの
署名の正当性と、電子現金Ｃの使用可能性が合格してい
れば、質問生成器３１２を用いて１つの質問値Ｅ∈Ｚu
＝{0,1,2,…,u-1} （ｕはセキュリティパラメータ）を
ランダムに選び利用者側装置ＵＳに送る。 ステップ６：利用者側装置ＵＳはメモリ２０Ｍから読み
だした{C,j1,…,jt,N,P,Q}を使ってΛ計算器２３５によ
り、Λj1..jtを計算する。つまりｆΛ( )に対し、±
１，±２の何れかの補正をＰ，Ｑを用いて行ってＮ上で
の剰余平方Λj1..jtを得る。
プ４で検査した利用許可証Ｂに対する銀行側装置ＢＫの
署名の正当性と、電子現金Ｃの使用可能性が合格してい
れば、質問生成器３１２を用いて１つの質問値Ｅ∈Ｚu
＝{0,1,2,…,u-1} （ｕはセキュリティパラメータ）を
ランダムに選び利用者側装置ＵＳに送る。 ステップ６：利用者側装置ＵＳはメモリ２０Ｍから読み
だした{C,j1,…,jt,N,P,Q}を使ってΛ計算器２３５によ
り、Λj1..jtを計算する。つまりｆΛ( )に対し、±
１，±２の何れかの補正をＰ，Ｑを用いて行ってＮ上で
の剰余平方Λj1..jtを得る。
【００９０】
【数３３】
次に、剰余乗算器２３８とべき乗根計算器２３１を用い
て、N,P,Q,Λj1..jt及び小売店側装置ＳＨからの質問Ｅ
から回答Ｙj1..jtを計算して、小売店側装置ＳＨに送信
する。
て、N,P,Q,Λj1..jt及び小売店側装置ＳＨからの質問Ｅ
から回答Ｙj1..jtを計算して、小売店側装置ＳＨに送信
する。
【００９１】
【数３４】
ステップ７：小売店側装置ＳＨは、ヤコビ記号計算器３
２３および比較器３２４を用いてＹj1..jtが以下の関係
をみたすかを検証する。この検査が不合格のときは以降
の処理を中止する。 (Ｙj1 ・・ jt/Ｎ)＝１ (29) 利用者側装置ＵＳからの C,j1…jt,N をΛ計算器３２５
に入力し、さらにその出力とＥ，Ｎを剰余乗算器３２７
に入力し、Ｙj1..jt，Ｎをべき乗計算器３２６に入力
し、剰余除算器３２８によりべき乗計算器３２６の出力
を剰余乗算器３２７の出力で除算し、その結果を比較器
３２９を用いて±１，±２と比較して以下の関係を満足
するかどうかを検証する。
２３および比較器３２４を用いてＹj1..jtが以下の関係
をみたすかを検証する。この検査が不合格のときは以降
の処理を中止する。 (Ｙj1 ・・ jt/Ｎ)＝１ (29) 利用者側装置ＵＳからの C,j1…jt,N をΛ計算器３２５
に入力し、さらにその出力とＥ，Ｎを剰余乗算器３２７
に入力し、Ｙj1..jt，Ｎをべき乗計算器３２６に入力
し、剰余除算器３２８によりべき乗計算器３２６の出力
を剰余乗算器３２７の出力で除算し、その結果を比較器
３２９を用いて±１，±２と比較して以下の関係を満足
するかどうかを検証する。
【００９２】
【数３５】
ここで、d'は±１，±２のいずれかの値である。この検
証に合格すれば、小売店側装置ＳＨは、利用者側装置Ｕ
Ｓのノードj1…jtに該当する金額の支払いを正当なもの
としてみなし、それを受けとる。なお、図１１、１２の
場合と同様に上記の電子現金による支払いにおいて、小
売店側装置が利用者と結託して不正使用するのを防ぐた
め、小売店側装置ＳＨが質問生成器３１２から利用者側
装置ＵＳに送る質問Ｅを以下のように強化してもよい。
小売店側装置ＳＨは、乱数Ｅ′を生成し、それをＥの代
わりとして小売店側装置ＳＨの識別子IDS 及び時刻印Ｔ
と共に利用者側装置ＵＳに送る。小売店側装置ＳＨ及び
利用者側装置ＵＳは、それぞれ、Ｅ＝ h(IDS‖T‖E')を
計算する。ここで、ｈは一方向性関数とする。
証に合格すれば、小売店側装置ＳＨは、利用者側装置Ｕ
Ｓのノードj1…jtに該当する金額の支払いを正当なもの
としてみなし、それを受けとる。なお、図１１、１２の
場合と同様に上記の電子現金による支払いにおいて、小
売店側装置が利用者と結託して不正使用するのを防ぐた
め、小売店側装置ＳＨが質問生成器３１２から利用者側
装置ＵＳに送る質問Ｅを以下のように強化してもよい。
小売店側装置ＳＨは、乱数Ｅ′を生成し、それをＥの代
わりとして小売店側装置ＳＨの識別子IDS 及び時刻印Ｔ
と共に利用者側装置ＵＳに送る。小売店側装置ＳＨ及び
利用者側装置ＵＳは、それぞれ、Ｅ＝ h(IDS‖T‖E')を
計算する。ここで、ｈは一方向性関数とする。
【００９３】図１６に示す小売店側装置ＳＨと銀行側装
置ＢＫの間の決済方法も図１３と基本的に同じである。
小売店側装置ＳＨは、利用者側装置ＵＳとの電子現金使
用時の交信履歴Ｈ＝{I,N,X,B,b,C,j1 ・・jt,E,Y}を銀行側
装置に提出する。銀行側装置は、Ｈの正当性を検査し、
検査に合格すれば、Ｈを記憶しておくと共に小売店側装
置の口座に該当する金額を払い込む（もしくは、何らか
の手段で該当する金額を小売店に支払う）。銀行側装置
は、電子現金の不正使用を見つけると、Ｈの情報よりＩ
（又はＮ）を求めて、第三者（例えば裁判所）の許可の
もとでＩ（又はＮ）に対応するIDを知ることができ、不
正者を特定できる。
置ＢＫの間の決済方法も図１３と基本的に同じである。
小売店側装置ＳＨは、利用者側装置ＵＳとの電子現金使
用時の交信履歴Ｈ＝{I,N,X,B,b,C,j1 ・・jt,E,Y}を銀行側
装置に提出する。銀行側装置は、Ｈの正当性を検査し、
検査に合格すれば、Ｈを記憶しておくと共に小売店側装
置の口座に該当する金額を払い込む（もしくは、何らか
の手段で該当する金額を小売店に支払う）。銀行側装置
は、電子現金の不正使用を見つけると、Ｈの情報よりＩ
（又はＮ）を求めて、第三者（例えば裁判所）の許可の
もとでＩ（又はＮ）に対応するIDを知ることができ、不
正者を特定できる。
【００９４】図１４、１５、１６の実施例においても利
用者側装置は階層構造テーブルのどのノードも２重使用
できない。なぜならば、ＥがＺu＝{0,1,…,u-1} からラ
ンダムに選ばれることより、もし、利用者側装置がいず
れかのノードを２重使用すると、銀行側装置は、Ｈから
確率(1−1/u)でＮを素因数分解することができ、それに
より、利用者側装置の秘密情報Ｐ，Ｑを得ることが出来
る。銀行側装置は、合成数Ｎの素因数Ｐ，Ｑを不正利用
の証拠とする（Ｐ，Ｑを知っているのは利用者側装置Ｕ
Ｓだけである）。従って、これを２重使用の証拠として
何らかのペナルティを利用者に課すことができる。
用者側装置は階層構造テーブルのどのノードも２重使用
できない。なぜならば、ＥがＺu＝{0,1,…,u-1} からラ
ンダムに選ばれることより、もし、利用者側装置がいず
れかのノードを２重使用すると、銀行側装置は、Ｈから
確率(1−1/u)でＮを素因数分解することができ、それに
より、利用者側装置の秘密情報Ｐ，Ｑを得ることが出来
る。銀行側装置は、合成数Ｎの素因数Ｐ，Ｑを不正利用
の証拠とする（Ｐ，Ｑを知っているのは利用者側装置Ｕ
Ｓだけである）。従って、これを２重使用の証拠として
何らかのペナルティを利用者に課すことができる。
【００９５】前述の様に、図１１、１２の実施例では小
売店側装置ＳＨのＫ' 個の質問Ｅ'に対し、利用者側装
置ＵＳはＫ’個の回答Ｙi を生成して小売店側装置ＳＨ
に送る必要があった。これに対し、図１４、１５に示す
変形実施例では、小売店側装置ＳＨは質問Ｅをランダム
に１つ選択して利用者側装置ＵＳに与え、利用者側装置
ＵＳはこれに応答して１つの回答Ｙj1 ・・ jtを生成して小
売店側装置ＳＨに与えるだけでよいので、交信情報量を
削減できる。また、銀行側装置ＢＫに送信する交信履歴
Ｈの情報量も削減され、かつ銀行側装置ＢＫが交信履歴
の保存に必要なメモリの容量も少なくてすむ。
売店側装置ＳＨのＫ' 個の質問Ｅ'に対し、利用者側装
置ＵＳはＫ’個の回答Ｙi を生成して小売店側装置ＳＨ
に送る必要があった。これに対し、図１４、１５に示す
変形実施例では、小売店側装置ＳＨは質問Ｅをランダム
に１つ選択して利用者側装置ＵＳに与え、利用者側装置
ＵＳはこれに応答して１つの回答Ｙj1 ・・ jtを生成して小
売店側装置ＳＨに与えるだけでよいので、交信情報量を
削減できる。また、銀行側装置ＢＫに送信する交信履歴
Ｈの情報量も削減され、かつ銀行側装置ＢＫが交信履歴
の保存に必要なメモリの容量も少なくてすむ。
【００９６】例えば、Chaum・Fiat・Naor 法では、二重
使用検出のために銀行側装置が記憶すべき交信履歴Ｈの
一部として、小売店側装置ＳＨは次に示すK/2=10組の署
名データ (ai,yi) 又は (ai(+)ID,xi), i=1,…,K/2 を銀行側装置ＢＫに渡さなければいけない。そのサイズ
は1280ビットである。一方、図１４、１５の実施例で
は、わずか１つの署名データＹj1..jtを渡せばよい。銀
行側装置が記憶すべき交信履歴Ｈの記憶情報量は 512ビ
ットであり、Chaum・Fiat・Naor 法の１／２以下に出来
る。
使用検出のために銀行側装置が記憶すべき交信履歴Ｈの
一部として、小売店側装置ＳＨは次に示すK/2=10組の署
名データ (ai,yi) 又は (ai(+)ID,xi), i=1,…,K/2 を銀行側装置ＢＫに渡さなければいけない。そのサイズ
は1280ビットである。一方、図１４、１５の実施例で
は、わずか１つの署名データＹj1..jtを渡せばよい。銀
行側装置が記憶すべき交信履歴Ｈの記憶情報量は 512ビ
ットであり、Chaum・Fiat・Naor 法の１／２以下に出来
る。
【００９７】上述の第１〜４実施例において、利用者側
装置ＵＳに利用許可証Ｂを発行する場合も、電子現金Ｃ
を発行する場合も、同じ銀行側装置ＢＫがそれらの発行
を行う場合を示したが、利用許可証Ｂの発行は例えば銀
行側装置とは別の信託機関側装置が行い、銀行側装置Ｂ
Ｋは電子現金の発行と決済のみを行うようにしてもよ
い。例えば第１の実施例では図２に利用許可証Ｂを情報
Ψとして銀行側装置ＢＫが発行しているが、これを図１
７に示すように、信託機関側装置４０Ｔが実施する。利
用者側装置ＵＳ及び信託機関側装置４０Ｔ内の処理機能
構成は、図２に示す利用者側装置ＵＳ及び銀行側装置Ｂ
Ｋ内の構成とまったく同じなので対応表４１Ｔ以外は図
１７に示してない。同様に、図９に示す第３及び４実施
例の利用許可証Ｂの発行処理を信託機関側装置が行うよ
うにしてもよい。この様に利用許可証の発行を銀行側装
置とは別の機関が行うことにより、銀行側装置内の不正
により利用者の実名（識別情報）IDU と公開情報Ｎ又は
Ｉとの対応関係が外部に漏れて悪用されたり、あるいは
外部からハッカーにより盗み出されたりすることを防ぐ
ことができる。
装置ＵＳに利用許可証Ｂを発行する場合も、電子現金Ｃ
を発行する場合も、同じ銀行側装置ＢＫがそれらの発行
を行う場合を示したが、利用許可証Ｂの発行は例えば銀
行側装置とは別の信託機関側装置が行い、銀行側装置Ｂ
Ｋは電子現金の発行と決済のみを行うようにしてもよ
い。例えば第１の実施例では図２に利用許可証Ｂを情報
Ψとして銀行側装置ＢＫが発行しているが、これを図１
７に示すように、信託機関側装置４０Ｔが実施する。利
用者側装置ＵＳ及び信託機関側装置４０Ｔ内の処理機能
構成は、図２に示す利用者側装置ＵＳ及び銀行側装置Ｂ
Ｋ内の構成とまったく同じなので対応表４１Ｔ以外は図
１７に示してない。同様に、図９に示す第３及び４実施
例の利用許可証Ｂの発行処理を信託機関側装置が行うよ
うにしてもよい。この様に利用許可証の発行を銀行側装
置とは別の機関が行うことにより、銀行側装置内の不正
により利用者の実名（識別情報）IDU と公開情報Ｎ又は
Ｉとの対応関係が外部に漏れて悪用されたり、あるいは
外部からハッカーにより盗み出されたりすることを防ぐ
ことができる。
【００９８】又、図６に示した第２実施例と同様に、図
１７に示す信託機関側装置４０Ｔの内部を図１８に示す
ように複数の部局側装置４０１、４０２に分け、IDU と
関連付情報αの間の対応と、関連付情報αとN,I との間
の対応をそれぞれ対応表41T1、41T2に保持するようにし
てもよい。更に、信託機関側装置４０Ｔのこれらの部局
側装置４０１、４０２が図１９に示すようにそれぞれ独
立した信託機関側装置であってもよいことは明かであ
る。図１９の例では、利用許可証の発行は３つの信託機
関側装置40T1、40T2、40T3を経由して行われ、それぞれ
の信託機関側装置は対応表40T1、40T2、40T3にそれぞれ
IDU 対α1、α1対α2、α2対N',I の対応関係を保持す
る。即ち、IDU とN,I の対応関係は３つの信託機関側装
置が全体として保持している。裁判所の命令に従って、
全信託機関側装置40T1、40T2、40T3が協力してそれぞれ
有している対応関係を提出したときに初めてIDU とN,I
の対応関係が明らかになる。
１７に示す信託機関側装置４０Ｔの内部を図１８に示す
ように複数の部局側装置４０１、４０２に分け、IDU と
関連付情報αの間の対応と、関連付情報αとN,I との間
の対応をそれぞれ対応表41T1、41T2に保持するようにし
てもよい。更に、信託機関側装置４０Ｔのこれらの部局
側装置４０１、４０２が図１９に示すようにそれぞれ独
立した信託機関側装置であってもよいことは明かであ
る。図１９の例では、利用許可証の発行は３つの信託機
関側装置40T1、40T2、40T3を経由して行われ、それぞれ
の信託機関側装置は対応表40T1、40T2、40T3にそれぞれ
IDU 対α1、α1対α2、α2対N',I の対応関係を保持す
る。即ち、IDU とN,I の対応関係は３つの信託機関側装
置が全体として保持している。裁判所の命令に従って、
全信託機関側装置40T1、40T2、40T3が協力してそれぞれ
有している対応関係を提出したときに初めてIDU とN,I
の対応関係が明らかになる。
【００９９】
【発明の効果】この発明の効果は以下のとおりである。
(a) 犯罪に対する対策
信頼できる第三者（例えば裁判所）からの要請により、
銀行はIDと(I,N) の関係を公開する。これによって(I,
N) による取引は停止となる。あるいは、(I,N)による取
引を追跡することで犯人を逮捕できる。 (b) プライバシについて クレジットカードでは利用者の識別情報IDが直接小売店
に見えるので、プライバシを保証できない。この発明で
は、仮名Ｉだけしか小売店に見えないので、プライバシ
が高まる。Chaum ・Fiat・Naor法では、ブラインド署名
を用いるので、利用者側装置だけでプライバシを守れ
る。（しかし、そのことが犯罪の温床になることが指摘
されていることに注意。）第１実施例では銀行が利用者
のプライバシを侵すことは可能であるが、第２実施例で
は、複数の部署が結託しないかぎり、プライバシを侵す
ことは難しい。 (c) 通信量、記憶情報量について プライバシを保証できるChaum ・Fiat・Naor法とこの発
明を比較する。
銀行はIDと(I,N) の関係を公開する。これによって(I,
N) による取引は停止となる。あるいは、(I,N)による取
引を追跡することで犯人を逮捕できる。 (b) プライバシについて クレジットカードでは利用者の識別情報IDが直接小売店
に見えるので、プライバシを保証できない。この発明で
は、仮名Ｉだけしか小売店に見えないので、プライバシ
が高まる。Chaum ・Fiat・Naor法では、ブラインド署名
を用いるので、利用者側装置だけでプライバシを守れ
る。（しかし、そのことが犯罪の温床になることが指摘
されていることに注意。）第１実施例では銀行が利用者
のプライバシを侵すことは可能であるが、第２実施例で
は、複数の部署が結託しないかぎり、プライバシを侵す
ことは難しい。 (c) 通信量、記憶情報量について プライバシを保証できるChaum ・Fiat・Naor法とこの発
明を比較する。
【０１００】Chaum ・Fiat・Naor法では、IDを電子現金
に埋め込むのが利用者側装置なので、利用者側装置が決
められたとおりに動作することを検査するために、「抜
き打ち検査技法」（Ｋ個の情報の提示とＫ／２個の開示
要求に答えること）が必要となり、使用許可証の発行処
理での通信量が大きくなる。また、二重使用検出のため
に銀行側装置が記憶すべき交信履歴Ｈの記憶情報量が大
きくなる問題もある。
に埋め込むのが利用者側装置なので、利用者側装置が決
められたとおりに動作することを検査するために、「抜
き打ち検査技法」（Ｋ個の情報の提示とＫ／２個の開示
要求に答えること）が必要となり、使用許可証の発行処
理での通信量が大きくなる。また、二重使用検出のため
に銀行側装置が記憶すべき交信履歴Ｈの記憶情報量が大
きくなる問題もある。
【０１０１】従来技術では通常、Ｋ＝２０程度が推奨さ
れているのに対し、この発明（第１〜４実施例）では、
Ｋ＝１とできるので、通信量と記憶情報量を１／２０に
削減でき、これらの問題を解決できる。 (d) ２重使用について 利用者が電子現金Ｃを２回以上使用すると、銀行側装置
はＣをキーにして、交信履歴ファイルを検索してこの事
実を検出できる。交信履歴情報には、Ｃと共にＩが含ま
れているので、銀行は第三者（例えば裁判所）の許可の
もとで、Ｉに対応するIDを知ることができ、不正者を特
定できる。 (e) 二重使用について 第３及び第４実施例のいて、利用者が電子現金Ｃについ
て分割利用のためのノードルールに反した使用をする
と、銀行側装置はノードのべき乗根Ｘをキーにして、交
信履歴ファイルを検索してこの事実を検出できる。交信
履歴情報には、Ｃと共にＩ（又はＮ）が含まれているの
で、銀行は第三者（例えば裁判所）の許可のもとで、Ｉ
又はＮ）に対応するIDを知ることができ、不正者を特定
できる。 (f) その他 この発明は利用許可証を利用する既存の方式、例えばT.
Okamoto et al."Universal Electronic Cash," Advance
s in Cryptology-Crypto'91, Lecture Notes in Comput
er Science 576, pp.324-337, Springer-Verlag, Berli
n (1991), 及び米国特許No.5,224,162との整合性があ
り、Chaum・Fiat・Naor 法では実現できていない譲渡機
能や分割利用機能を実現できる。
れているのに対し、この発明（第１〜４実施例）では、
Ｋ＝１とできるので、通信量と記憶情報量を１／２０に
削減でき、これらの問題を解決できる。 (d) ２重使用について 利用者が電子現金Ｃを２回以上使用すると、銀行側装置
はＣをキーにして、交信履歴ファイルを検索してこの事
実を検出できる。交信履歴情報には、Ｃと共にＩが含ま
れているので、銀行は第三者（例えば裁判所）の許可の
もとで、Ｉに対応するIDを知ることができ、不正者を特
定できる。 (e) 二重使用について 第３及び第４実施例のいて、利用者が電子現金Ｃについ
て分割利用のためのノードルールに反した使用をする
と、銀行側装置はノードのべき乗根Ｘをキーにして、交
信履歴ファイルを検索してこの事実を検出できる。交信
履歴情報には、Ｃと共にＩ（又はＮ）が含まれているの
で、銀行は第三者（例えば裁判所）の許可のもとで、Ｉ
又はＮ）に対応するIDを知ることができ、不正者を特定
できる。 (f) その他 この発明は利用許可証を利用する既存の方式、例えばT.
Okamoto et al."Universal Electronic Cash," Advance
s in Cryptology-Crypto'91, Lecture Notes in Comput
er Science 576, pp.324-337, Springer-Verlag, Berli
n (1991), 及び米国特許No.5,224,162との整合性があ
り、Chaum・Fiat・Naor 法では実現できていない譲渡機
能や分割利用機能を実現できる。
【０１０２】この発明は利用許可証を利用する既存の方
式、例えば T.Okamoto etal.“Disposable Zero-Knowle
dge Authentications and Their Applications to Untr
aceable Electronic Cash,”Advances in Cryptology-C
rypto'89, Lecture Notes inComputer Science 435, p
p.481-496, Springer-Verlag, Berlin(1989)や、米国特
許No,4,977,595「電子現金実施方法及びその装置」との
整合性があり、Chaum・Fiat・Naor法では実現できてい
ない譲渡性や回数券的な使用を実現できる。
式、例えば T.Okamoto etal.“Disposable Zero-Knowle
dge Authentications and Their Applications to Untr
aceable Electronic Cash,”Advances in Cryptology-C
rypto'89, Lecture Notes inComputer Science 435, p
p.481-496, Springer-Verlag, Berlin(1989)や、米国特
許No,4,977,595「電子現金実施方法及びその装置」との
整合性があり、Chaum・Fiat・Naor法では実現できてい
ない譲渡性や回数券的な使用を実現できる。
【０１０３】なお、第３、第４実施例において、二重使
用検出のために銀行側装置が記憶すべき交信履歴Ｈの記
憶情報量については、K'＝10とする必要があるので、Ch
aum・Fiat・Naor 法でのK/2=10と同等である。
用検出のために銀行側装置が記憶すべき交信履歴Ｈの記
憶情報量については、K'＝10とする必要があるので、Ch
aum・Fiat・Naor 法でのK/2=10と同等である。
【図１】本発明の原理構成を示すブロック図。
【図２】利用者側装置と銀行側装置間での利用許可証発
行処理（基本形）を示すブロック図。
行処理（基本形）を示すブロック図。
【図３】利用者側装置と銀行側装置間での電子現金発行
処理を示すブロック図。
処理を示すブロック図。
【図４】利用者側装置と小売店側装置での電子現金によ
る支払処理を示すブロック図。
る支払処理を示すブロック図。
【図５】小売店側装置と銀行側装置間の決裁処理を示す
ブロック図。
ブロック図。
【図６】利用者側装置と銀行側装置間での利用許可証発
行処理の他の例（機能分割形）を示すブロック図。
行処理の他の例（機能分割形）を示すブロック図。
【図７】この発明による第３の実施例の原理構成を示す
ブロック図。
ブロック図。
【図８】Ａは電子現金の分割使用を規定する使用金額の
階層テーブルの構造図、Ｂは階層テーブルにおけるノー
ドの使用例を説明するための図。
階層テーブルの構造図、Ｂは階層テーブルにおけるノー
ドの使用例を説明するための図。
【図９】図７中の利用者側装置と銀行側装置間での利用
許可証発行処理を示すブロック図。
許可証発行処理を示すブロック図。
【図１０】図７中の利用者側装置と銀行側装置間での電
子現金発行処理を示すブロック図。
子現金発行処理を示すブロック図。
【図１１】図７中の利用者側装置と小売店側装置での電
子現金による支払処理に関する利用者側装置の処理を示
すブロック図。
子現金による支払処理に関する利用者側装置の処理を示
すブロック図。
【図１２】図７中の利用者側装置と小売店側装置での電
子現金による支払処理に関する小売店側装置の処理を示
すブロック図。
子現金による支払処理に関する小売店側装置の処理を示
すブロック図。
【図１３】図７中の小売店側装置と銀行側装置間の決済
処理を示すブロック図。
処理を示すブロック図。
【図１４】図１１、１２の利用者側装置と小売店側装置
での電子現金による支払処理の変形例における利用者側
装置の処理を示すブロック図。
での電子現金による支払処理の変形例における利用者側
装置の処理を示すブロック図。
【図１５】図１１、１２の利用者側装置と小売店側装置
での電子現金による支払処理の変形例における小売店側
装置の処理を示すブロック図。
での電子現金による支払処理の変形例における小売店側
装置の処理を示すブロック図。
【図１６】図１４、１５の電子現金支払処理に対する小
売店側装置と銀行側装置間の決済処理を示すブロック
図。
売店側装置と銀行側装置間の決済処理を示すブロック
図。
【図１７】利用許可証の発行を信託機関側装置が行う例
を示すブロック図。
を示すブロック図。
【図１８】図１７において信託機関側装置内を複数の部
局側装置が関連付け情報αを介在させてIDとN,I の対応
を保持する例を示すブロック図。
局側装置が関連付け情報αを介在させてIDとN,I の対応
を保持する例を示すブロック図。
【図１９】図１８において信託機関側装置の複数の部局
側装置を独立した信託機関側装置として構成した場合の
ブロック図。
側装置を独立した信託機関側装置として構成した場合の
ブロック図。
─────────────────────────────────────────────────────
フロントページの続き
(72)発明者 阿部 正幸
東京都千代田区内幸町１丁目１番６号
日本電信電話株式会社内
(56)参考文献 特開 平３−73065（ＪＰ，Ａ)
特開 平４−367070（ＪＰ，Ａ)
特開 平５−20344（ＪＰ，Ａ)
(58)調査した分野(Int.Cl.7，ＤＢ名)
G06F 17/60 420
G06F 17/60 410
G09C 1/00 660
ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (12)
- 【請求項１】 信頼できる機関（以下、信託機関とい
う）が有する装置（以下、信託機関側装置という）と、
電子現金を発行する機関（以下、銀行という）が有する
装置（以下、銀行側装置という）と、電子現金を発行さ
れる者（以下、利用者という）が有する装置（以下、利
用者側装置という）と、利用者より電子現金を受領する
機関（以下,小売店という）が有する装置（以下、小売
店側装置という）とを備える追跡可能な電子現金実施方
法であり、以下の処理ステップを含む： (1) 利用者側装置は実名IDU と第１秘密情報に対応した
公開情報Ｎを信託機関側装置に送信し、 (2) 上記信託機関側装置は、上記利用者の身元を確認し
たのちに、その利用者に対する仮名Ｉを生成し、上記仮
名Ｉ及び上記公開情報Ｎの少なくとも一方と上記実名ID
U の対応関係を秘密に管理し、 (3) 上記信託機関側装置は上記公開情報Ｎと仮名Ｉに対
して署名を施し、その署名と上記仮名Ｉを上記利用者側
装置に送信し、 (4) 上記利用者側装置は、上記信託機関側装置からの上
記署名から利用許可証Ｂを得、その利用許可証Ｂを、上
記仮名Ｉと共に記憶し、 (5) 上記利用者側装置は、上記第１秘密情報を用いて上
記仮名Ｉと上記公開情報Ｎに対応した第２秘密情報Ｓを
計算して保持し、 (6) 上記利用者側装置は、銀行側装置に対して少なくと
も乱数と上記利用許可証Ｂを含む情報と金額Ａを送信し
て電子現金の発行を要求し、 (7) 上記銀行側装置は上記利用者側装置からの上記利用
許可証を含む情報に署名を与えて上記利用者側装置に電
子現金Ｃを含む情報として送信し、 (8) 上記利用者側装置は、上記利用許可証Ｂが上記公開
情報Ｎと上記仮名Ｉに対する署名になっていること、及
び上記電子現金Ｃが利用許可証Ｂのもとで使用可能なこ
とを検証した後に、上記乱数と上記の第２秘密情報Ｓを
用いて小売店側装置へ支払を行ない、 (9) 上記小売店側装置は上記電子現金Ｃに関する決済の
ため、上記利用者側装置との全ての交信情報を上記銀行
側装置に送信し、 (10)不正行為の可能性が生じた場合には、上記信託機関
側装置の管理する上記仮名Ｉと上記公開情報Ｎの上記少
なくとも一方と、上記実名IDU との対応関係を検索し、
上記仮名Ｉと上記公開情報Ｎを公開して不正行為を防止
可能とする。 - 【請求項２】 請求項１の方法において、上記第１秘密
情報はＮ＝Ｐ×Ｑなる関係にある素数Ｐ，Ｑであり、 上記ステップ(5) において、上記第２秘密情報Ｓは、Ｌ
を素数として Ｓ＝Ｉ １/L mod Ｎ の計算により求め、 上記ステップ(6) において、上記利用者側装置は (6-1) 上記乱数Ｒを発生し、上記公開情報Ｎと上記素数
Ｌと上記乱数Ｒから認証用情報Ｘを次式 Ｘ＝ＲL mod Ｎ により計算し、 (6-2) 上記認証用情報Ｘと上記利用許可証Ｂに対し、関
数ＦeCで表すブラインド署名前処理Ｚ＝ＦeC(X,B) を行
い、その結果得られた情報Ｚを上記利用許可証Ｂを含む
情報として電子現金Ｃの金額情報Ａと共に上記銀行側装
置に送信し、 上記ステップ(7) において、上記銀行側装置は上記電子
現金Ｃの金額Ａに対応する秘密鍵を用いて上記情報Ｚに
対して関数ＤeCで表すブラインド署名Θ＝ＤeC(Z) を行
い、その結果得られた情報Θを上記電子現金Ｃを含む情
報として上記利用者側装置に送信し、 上記ステップ(8) において、上記利用者側装置は、上記
署名Θに対し、関数ＧeCで表すブラインド署名後処理Ｃ
＝ＧeC(Θ)を行って上記電子現金Ｃを得、 上記小売店側装置は上記利用許可証Ｂの情報(N,I) に対
する正当性と、上記電子現金Ｃの(X,B) に対する正当性
を検証し、正当な場合には、上記小売店側装置は、質問
Ｅ∈ＺL＝{0,1,…,L-1} を上記利用者側装置へ送信し、 上記利用者側装置は、上記第２秘密情報Ｓと上記情報
(N,R) と上記質問Ｅとから回答Ｙ Ｙ＝Ｒ・ＳE mod Ｎ から計算し、この回答Ｙを上記小売店側装置へ送信し、 上記小売店側装置は、ＹL の演算と、Ｘ・ＩE(mod Ｎ)
の演算とを行い、 ＹL ≡Ｘ・ＩE(mod Ｎ) を満たすかを検証し、この検証にパスすると、上記電子
現金Ｃを上記金額情報Ａの現金として受理する。 - 【請求項３】 信頼できる機関（以下、信託機関とい
う）が有する装置（以下、信託機関側装置という）と、
電子現金を発行する機関（以下、銀行という）が有する
装置（以下、銀行側装置という）と、電子現金を発行さ
れる者（以下、利用者という）が有する装置（以下、利
用者側装置という）と、利用者より電子現金を受領する
機関（以下,小売店という）が有する装置（以下、小売
店側装置という）とを備える追跡可能な電子現金実施方
法であり、以下の処理ステップを含む： (1) 利用者側装置は実名IDU と秘密情報に対応した公開
情報Ｎを信託機関側装置に送信し、 (2) 上記信託機関側装置は、上記利用者の身元を確認し
たのちに、その利用者に対する仮名Ｉを生成し、上記仮
名Ｉ及び上記公開情報Ｎの少なくとも一方と上記実名ID
U の対応関係を秘密に管理し、 (3) 上記信託機関側装置は上記公開情報Ｎと仮名Ｉに対
して署名を施し、その署名と上記仮名Ｉを上記利用者側
装置に送信し、 (4) 上記利用者側装置は、上記信託機関側装置からの上
記署名から利用許可証Ｂを得、その利用許可証Ｂを、上
記仮名Ｉと共に記憶し、 (5) 上記利用者側装置は、銀行側装置に対して少なくと
も乱数ｂと上記利用許可証Ｂを含む情報と金額Ａを送信
して電子現金の発行を要求し、 (6) 上記銀行側装置は上記利用者側装置からの上記利用
許可証を含む情報に署名を与えて上記利用者側装置に電
子現金Ｃを含む情報として送信し、 (7) 上記利用者側装置は、上記利用許可証Ｂが上記公開
情報Ｎと上記仮名Ｉに対する署名になっていること、及
び上記電子現金Ｃが利用許可証Ｂのもとで使用可能なこ
とを検証した後に、上記乱数ｂと上記秘密情報を用いて
小売店側装置へ支払を行ない、 (8) 上記小売店側装置は上記電子現金Ｃに関する決済の
ため、上記利用者側装 置との全ての交信情報を上記銀行
側装置に送信し、 (9) 不正行為の可能性が生じた場合には、上記信託機関
側装置の管理する上記仮名Ｉと上記公開情報Ｎの上記少
なくとも一方と、上記実名IDU との対応関係を検索し、
上記仮名Ｉと上記公開情報Ｎを公開して不正行為を防止
可能する。 - 【請求項４】 請求項３の方法において、上記秘密情報
はＮ＝Ｐ×Ｑなる関係にある素数Ｐ，Ｑであり、 上記ステップ(5) において、上記利用者側装置は、上記
乱数ｂと上記利用許可証Ｂより、一方向性関数g(B‖b)
を計算し、このg(B‖b)に対してブラインド署名前処理
Ｚ＝ＦeC(g(B‖b))を計算し、その結果得られた情報Ｚ
を上記電子現金Ｃを含む情報として金額情報Ａと共に上
記銀行側装置に送信し、 上記ステップ(6) において、上記銀行側装置は、その電
子現金の上記金額Ａに対応する秘密鍵を用いて上記情報
Ｚに対する署名署名Θ＝ＤeC(Z)を計算して上記利用者
側装置に送信し、 上記ステップ(7) において、上記利用者側装置は、受信
した上記署名Θに対しブラインド署名後処理Ｃ＝Ｇ
eC(Θ)を行って上記金額Ａの上記電子現金Ｃを得、上記
小売店側装置への支払のための処理は以下のステップを
含む： (7-1) 上記利用者側装置は、上記情報Ｃ，Ｎ，Ｐ，Ｑか
ら 【数１】 を計算し、また上記電子現金Ｃと利用金額に対応するノ
ードj1…jqとＮから 【数２】 を生成し、さらに、Γ0 ，Ωj1 ・・ jq(q=1,…,t)，Ｎ，
Ｐ，Ｑから利用金額に対応するノードの値のべき乗根 【数３】 を計算し、 (7-2) 上記利用者側装置は、Ｉ，Ｎ，Ｘj1 ・・ jt，Ｂ，
ｂ，Ｃ及びj1,…,jtを上記小売店側装置に送信し、 (7-3) 上記小売店側装置は、情報(I,N) に対する利用許
可証Ｂの正当性を、Ｂが ＶeB((N,I),B)＝ＯＫ を満たすことで確認し、上記電子現金Ｃの情報(B,b) に
対する正当性を、Ｃが ＶeC(g(B‖b),C)＝ＯＫ を満たすことで確認し、ＢとＣが正当な場合には、(a/
b) をヤコビ記号とすると (X/N)＝ -1 を満足するかどうかを検証し、次に、Ｃ，Ｎから、 【数４】 を計算し、Ｃ，j1…jq，Ｎから 【数５】 を計算し、さらに、ｆΓ(C‖0‖N)，Ωj1..jq(q=1,…,
t)，Ｎから、Ｘが次の関係を満足するかどうかを検証
し、ここで、ｄは±１，±２のいずれかの値であり、 【数６】 (7-4) これら全ての検査に合格すれば、上記小売店側装
置は、質問Ｅi∈{0,1}，i=1,…,K'を生成して上記利用
者側装置へ送信し、 (7-5) 上記利用者側装置は電子現金Ｃ、利用金額に対応
するノードの値(i,j1…jt)，Ｎ，秘密情報Ｐ，Ｑから 【数７】 を計算し、さらにＮ，ＰとＱ，Λi およびＥi から 【数８】 を計算して、上記小売店側装置に送信し、 (7-6) 上記小売店側装置は、 (Yi/N)＝(-1)Ei を満たすかを検証し、またＣ，ｉ，j1…jt，Ｎ及びＹi
に対して、 【数９】 d'＝±１or±２ であることを検証して、合格すれば上記小売店側装置は
上記ノードj1,…,jtに該当する金額として上記I,N,X,B,
b,C,j1,…,jt,Ei,Yiを受理し、 ここで、記号の意味は以下のように定義される： <ｚ>QR＝ｄz mod Ｎ ではｄ∈｛±１，±２｝かつｄz mod Ｎが平方剰余であ
り、 [x1/2mod N]1=y' では y'2＝ｘmod N，(y'/N)=1 かつ 0<y'< N/2，１≦ｔ [x1/2mod N]-1＝y" では y"2＝ｘmod N，(y"/N)=-1 かつ 0<y"<N/2，1≦
ｔ。 - 【請求項５】 請求項３の方法において、上記秘密情報
はＮ＝Ｐ×Ｑなる関係にある素数Ｐ，Ｑであり、 上記ステップ(5) において、上記利用者側装置は、上記
乱数ｂと上記利用許可証Ｂより、一方向性関数g(B‖b)
を計算し、このg(B‖b)に対してブラインド署名前処理
Ｚ＝ＦeC(g(B‖b))を計算し、その結果得られた情報Ｚ
を上記電子現金Ｃを含む情報として金額情報Ａと共に上
記銀行側装置に送信し、 上記ステップ(6) において、上記銀行側装置は、その電
子現金の上記金額Ａに対応する秘密鍵を用いて上記情報
Ｚに対する署名Θ＝ＤeC(Z) を計算して上記利用者側装
置に送信し、 上記ステップ(7) において、上記利用者側装置は、受信
した上記署名Θに対しブラインド署名後処理Ｃ＝Ｇ
eC(Θ)を行って上記金額Ａの上記電子現金Ｃを得、 上記小売店側装置への支払のための処理は以下のステッ
プを含む： (7-1) 上記利用者側装置は、上記情報Ｃ，Ｎ，Ｐ，Ｑか
ら 【数１０】 を計算し、また上記電子現金Ｃと利用金額に対応するノ
ードj1…jqとＮから 【数１１】 を生成し、さらに、Γ0 ，Ωj1 ・・ jq(q=1,…,t)，Ｎ，
Ｐ，Ｑから利用金額に対応するノードの値のべき乗根 【数１２】 を計算し、 (7-2) 上記利用者側装置は、Ｉ，Ｎ，Ｘj1 ・・ jt，Ｂ，
ｂ，Ｃ及びj1,…,jtを上記小売店側装置に送信し、 (7-3) 上記小売店側装置は、情報(I,N) に対する利用許
可証Ｂの正当性を、Ｂが ＶeB((N,I),B)＝ＯＫ を満たすことで確認し、上記電子現金Ｃの情報(B,b) に
対する正当性を、Ｃが ＶeC(g(B‖b),C)＝ＯＫ を満たすことで確認し、ＢとＣが正当な場合には、(a/
b) をヤコビ記号とすると (X/N)＝ -1 を満足するかどうかを検証し、次に、Ｃ，Ｎから、 【数１３】 を計算し、Ｃ，j1…jq，Ｎから 【数１４】 を計算し、さらに、ｆΓ(C‖0‖N)，Ωj1..jq(q=1,…,
t)，Ｎから、Ｘが次の関係を満足するかどうかを検証し
（ここで、ｄは±１，±２のいずれかの値である）、 【数１５】 (7-4) これら全ての検査に合格すれば、上記小売店側装
置は、質問Ｅ∈Zu={0,1,…,u-1} を生成して上記利用者
側装置へ送信し、 (7-5) 上記利用者側装置は電子現金Ｃ、利用金額に対応
するノードの値j1…jt，Ｎ，秘密情報Ｐ，Ｑから 【数１６】 を計算し、さらにＮ，ＰとＱ，Λj1..jt及びＥから 【数１７】 を計算して、上記小売店側装置に送信し、 (7-6) 上記小売店側装置は、 (Yj1..jt/N)＝1 を満たすかを検証し、またＣ，j1…jt，Ｎ及びＹji..
jt に対して、 【数１８】 d'＝±１or±２ であることを検証して、合格すれば上記小売店側装置は
上記ノードj1,…,jtに該当する金額として上記I,N,X,B,
b,C,j1,…,jt,E,Yj1..jtを受理し、 ここで、記号の意味は以下のように定義される： <ｚ>QR＝ｄz mod Ｎ ではｄ∈｛±１，±２｝かつｄz mod Ｎが平方剰余であ
り、 【数１９】 - 【請求項６】 請求項４又は５の方法において、上記信
託機関側装置が使用するＲＳＡ法の公開鍵を(eB,nB) と
し、 ｎB＝Ｐ×Ｑ， ｅB×ｄB≡１(mod L)， Ｌ＝LCM{(P-1),(Q-1)} とすると、上記ステップ(3) における上記信託機関側装
置による上記情報(N,I)に対する署名を ＤeB(N,I)＝(N,I)dBmod ｎB の計算で行い、上記ステップ(7-3) における上記利用許
可証Ｂの上記情報(N,I)に対する正当性の確認を (N,I)≡ＢeB(mod ｎB) が満足するとき合格（ＯＫ）とする。 - 【請求項７】 請求項４又は５の方法において、上記銀
行側装置が使用するＲＳＡ法の公開鍵を(eC,nC) とし、 ｎC＝Ｐ×Ｑ， ｅC×ｄC≡１(mod L)， Ｌ＝LCM{(P-1),(Q-1)} とし、上記ステップ(5) における上記利用者側装置によ
る上記ブラインド署名前処理ＦeCの関数を、 Ｚ＝ＦeC(m)＝ｒeC×ｍ mod ｎC とし、上記ステップ(6) における上記銀行側装置による
上記署名ＤeCの関数を、 Θ＝ＤeC（Ｚ）＝ＺdC modｎC とし、上記ステップ(7) における上記利用者側装置によ
る上記ブラインド署名後処理ＧeCの関数を Ｃ＝ＧeC(Θ)＝Θ/ｒ mod ｎC とし、上記ステップ(7-3) における上記小売店側装置側
装置による上記電子現金Ｃの上記情報(B,b) に対する正
当性の確認を (B,b)≡ＣeC(mod ｎC) が成立するとき合格（ＯＫ）とする。 - 【請求項８】 請求項１又は３の方法において、上記信
託機関と銀行とが統合され、信託機関側装置と銀行側装
置が一装置として構成されている。 - 【請求項９】 請求項１又は３の方法において、上記信
託機関内の複数の部局が有する装置（以下部局側装置と
いう）が、順次互いに対応付けされたそれぞれ異なる対
の関連付け情報αにより、上記利用者の実名ID U と、上
記仮名Ｉ及び公開情報Ｎの少なくとも一方との間を順次
対応付けさせて管理しており、上記複 数の部局側装置が
協力した場合にのみ、上記仮名Ｉ及び公開情報Ｎの少な
くとも一方と実名ID U の対応関係を、これら間の関連付
け情報αを通して得られるようにされている。 - 【請求項１０】 追跡可能な電子現金を実施する方法に
従い、利用許可証を発行し、電子現金を発行する機関装
置であり、以下を含む：電子現金を発行される者（以下、利用者という）が有す
る装置（以下、利用者側装置という） から公開情報Ｎ
と、上記利用者の実名IDU を含む情報を受信し、上記実
名IDU に対応する仮名Ｉを生成する仮名生成手段と、 上記仮名Ｉと上記公開情報Ｎの少なくとも一方と、上記
実名IDU との対応関係を保持する対応関係メモリ手段
と、 上記公開情報Ｎと上記仮名を含む情報に対し利用許可証
用秘密鍵を使って第１の署名用関数ＤeBにより署名をし
て利用許可証Ｂを含む情報として上記利用者側装置に送
信する利用許可証用署名手段と、 上記利用者側装置から受信した上記利用許可証Ｂを含む
情報に対し第２の署名用関数ＤeCにより署名を行い、電
子現金情報として上記利用者側装置に送信する電子現金
用署名手段。 - 【請求項１１】 請求項１０の機関装置は、第１機関装
置と第２機関装置を含み、上記第１機関装置は上記仮名
生成手段と、上記対応関係メモリ手段と、上記利用許可
証用署名手段とを含み、上記第２機関装置は上記電子現
金用署名手段を含む。 - 【請求項１２】 請求項１１の機関装置において、上記
第１機関装置は複数の部局装置を含み、上記複数の部局
装置は、順次互いに対応付けされたそれぞれ異なる対の
関連付け情報αにより、上記利用者の実名IDU と、上記
仮名Ｉ及び公開情報Ｎの少なくとも一方との間を順次対
応付けさせて管理する関連付けメモリを有しており、上
記複数の部局が協力した場合にのみ、上記仮名Ｉ及び公
開情報Ｎの少なくとも一方と実名IDU の対応関係を、こ
れら間の関連付け情報αを通して得られるように構成さ
れている。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP18754796A JP3435677B2 (ja) | 1995-07-17 | 1996-07-17 | 追跡可能な電子現金実施方法及びその装置 |
Applications Claiming Priority (7)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP7-180281 | 1995-07-17 | ||
| JP18028195 | 1995-07-17 | ||
| JP24641595 | 1995-09-25 | ||
| JP7-246415 | 1995-09-25 | ||
| JP24641695 | 1995-09-25 | ||
| JP7-246416 | 1995-09-25 | ||
| JP18754796A JP3435677B2 (ja) | 1995-07-17 | 1996-07-17 | 追跡可能な電子現金実施方法及びその装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH09153103A JPH09153103A (ja) | 1997-06-10 |
| JP3435677B2 true JP3435677B2 (ja) | 2003-08-11 |
Family
ID=27474926
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP18754796A Expired - Fee Related JP3435677B2 (ja) | 1995-07-17 | 1996-07-17 | 追跡可能な電子現金実施方法及びその装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3435677B2 (ja) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2157001C2 (ru) * | 1998-11-25 | 2000-09-27 | Закрытое акционерное общество "Алкорсофт" | Способ проведения платежей (варианты) |
| JP2002329096A (ja) * | 2001-04-27 | 2002-11-15 | Nippon Telegr & Teleph Corp <Ntt> | 電子的価値交換装置 |
| RU2512139C2 (ru) * | 2008-10-14 | 2014-04-10 | Конинклейке Филипс Электроникс Н.В. | Способ и устройство для генерации и аутентификации псевдонима |
-
1996
- 1996-07-17 JP JP18754796A patent/JP3435677B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JPH09153103A (ja) | 1997-06-10 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US5889862A (en) | Method and apparatus for implementing traceable electronic cash | |
| Wang et al. | A flexible payment scheme and its role-based access control | |
| JP3329432B2 (ja) | 階層型電子現金実施方法およびこれに用いられる装置 | |
| US7958057B2 (en) | Virtual account based new digital cash protocols with combined blind digital signature and pseudonym authentication | |
| US8442919B2 (en) | Token based new digital cash protocols with combined blind digital signature and pseudonym authentication | |
| CN113994357A (zh) | 在终端与支付系统之间直接传输电子硬币数据记录的方法 | |
| Chida et al. | Digital money–a survey | |
| Wang et al. | A consumer scalable anonymity payment scheme with role based access control | |
| Hampiholi et al. | Privacy-preserving webshopping with attributes | |
| JP3435677B2 (ja) | 追跡可能な電子現金実施方法及びその装置 | |
| JP2805493B2 (ja) | 認証方法及びそれに用いる装置 | |
| JP3171227B2 (ja) | 信託機関付き電子紙幣実施方法 | |
| Wang et al. | Building a consumer scalable anonymity payment protocol for Internet purchases | |
| JPH0752460B2 (ja) | 電子現金実施方法及びその装置 | |
| JP2879792B2 (ja) | 電子現金の分割使用方法およびその装置 | |
| EP4088237A1 (en) | Systems and methods for compliance checks | |
| JP2631781B2 (ja) | 電子現金実施方法 | |
| Franklin et al. | The blinding of weak signatures | |
| JP3171228B2 (ja) | 複数信託機関を利用した電子紙幣実施方法 | |
| JP3599493B2 (ja) | 発行機関分離型番号登録式電子現金方法および利用者装置 | |
| Luo et al. | An e-cash Scheme with Multiple Denominations and Transferability | |
| Camp | An atomicity-generating protocol for anonymous currencies | |
| JP3435682B2 (ja) | 電子現金預け入れ方法、その装置およびプログラム記録媒体 | |
| JP2805494B2 (ja) | 認証方法及びそれに用いる装置 | |
| JP3599492B2 (ja) | 番号登録式電子現金方法および利用者装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090606 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |