JP4518397B2 - 署名生成者同一性検証方法及びシステム、並びにプログラム - Google Patents

Description

本発明は、情報セキュリティの技術分野に閑し、特に時号技術を応用し、署名者の匿名性を考慮した幾つかの電子署名技術に対して、一定数以上の管理者が協力した場合に限り、署名者を特定することなく、二つの署名が同一署名者によって生成されたか否かを判断するための技術に関する。

署名者の匿名性を考慮した電子署名技術として、グループ署名（例えば非特許文献１）やリング署名（例えば非特許文献２）といった技術が知られている。グループ署名やリング署名は、基本的に任意の二つの署名が同一署名者によって生成されたか否かを判断できないことが特徴の一つである。一方、グループ署名やリング署名を実現する方式の中には、管理者だけは署名者の匿名性を失効出来るように設計されているものもあり、特に当該管理者の失効権限を複数の管理者に分散可能とし、複数の管理者が協力しない限りは署名者の匿名性が保証されるような方法も知られている（例えば非特許文献３）。

Ｄ．Ｃhaum and Ｅ．Ｖ．Ｈeyst，"Ｇroup signatures，"ＥＵＲＯＣＲＹＰＴ ’91，ＬＮＣＳ 547，pp．257−265，Ｓpringer−Ｖerlag，1991． Ｒ．Ｒivest，Ａ．Ｓhamir，and Ｙ．Ｔauman，"Ｈow to leak a secret，"ＡＳＩＡＣＲＹＰＴ ’01，ＬＮＣＳ 2248，pp．552−565，Ｓpringer−Ｖerlag，2001． 菊池，多田，中西，"リング署名における署名者の証明と匿名性破棄プロトコル"，情報処理学会論文誌，Ｖol．45，Ｎo.８，pp．1881−1886，Ａug．2004．

ある権限（秘密鍵）を持った管理者だけは署名者の匿名性を失効出来るような電子署名技術においては、匿名性を失効するための条件を出来るだけ明確化する事が、サービスの運用上非常に重要といえる。その理由は、あるサービスにおいて、匿名性が失効される条件が曖昧であると、利用者は、いつ自身の匿名性が失効されるか分からないという不安感から、当該電子署名を利用し辛くなる事が予想されるためである。

一方、二つの署名が同一署名者によって生成されたか否かを判断出来ないような性質は、匿名性を一層高める事になるため、利用者のプライバシの観点からすれば好ましいといえるが、当該性質を悪用し、別人を装って大量の不正な署名を生成する攻撃が懸念される。例えば、あるサービス業者は、当該電子署名を付与した文書のみを有効な文書とみなすものとしたとき、当該電子署名を付与した、匿名のいたずら文書がサービス業者に送られてきた場合、一つ二つのいたずら文書であれば許容出来たとしても、大量のいたずら文書が送られてくるとサービスが阻害されてしまうかも知れない。しかし当該電子署名の性質により、大量のいたずら文書が同一人物による確信的犯行であるかどうか判断出来ない。この点は解決されるべき課題といえよう。

本発明が解決しようとする課題は、任意の二つの署名が同一署名者によって生成されたか否かを判断出来ないような、署名者の匿名性を考慮した電子署名に対して、一定数以上の管理者が協力した場合に限り、署名者を特定する事無く、二つの署名が同一署名者によって生成されたか否かを判断出来る技術を提供する事である。

本発明で使用するハードウェアはサーバイメージの同一性検証装置及び開示装置である。ここで、本発明の署名生成者同一性検証方法として、同一性検証装置を一つとする場合を第１の方法、複数構成とする場合を第２の方法と称すことにする。

［第１の方法］
Ｃ_ｉ，Ｃ_ｉ′（ｉ＝１，…，ｍ）をある有限群Ｇの要素で表現された署名者Ｐ_ｉの識別子とし、Σ，Σ′をそれぞれある署名者によって生成された、ある有限群Ｈ^ｄの要素で表現された署名情報とし（ｄはＨの次元を表す）、θを以下に示す署名者特定のための関数とし、

ここで¬ｌは１以外のＧの要素を表し、θは開示装置のみ計算出来る関数とし、更にＥを開示装置が以下の関係を満たす関数θ′を計算出来る、

Ｇからある有限群Ｇ′（以降、記述の都合上Ｇ，Ｇ′内の演算として乗法が定義されているものとする）に写す準同型暗号関数としたとき、
同一性検証装置は開示装置との以下の手順によりΣ，Σ′が同一の署名者によって生成された署名かどうか判定する。

１．同一性検証装置はＣ_ｉ，Ｃ_ｉ′（ｉ＝１，…，ｍ），Σ，Σ′を入力し、自身が復号出来るような暗号化をＣ_ｉ，Ｃ_ｉ′に対して行い（当該暗号文をそれぞれＥ（Ｃ_ｉ），Ｅ（Ｃ_ｉ′）とする）、それらを開示装置に送信する。
２．開示装置はＥ（Ｃ_ｉ），Ｅ（Ｃ_ｉ′）（ｉ＝１，…，ｍ），Σ，Σ′を入力後、以下の処理を行う。
（ａ）θ′（Ｅ（Ｃ_ｉ），Σ），θ′（Ｅ（Ｃ_ｉ′），Σ′）を計算する。
（ｂ）乱数ｓ_ｉ，ｓ_ｉ′を選び、

を計算し、当該ｍ個の組（Ｙ_ｉ，Ｙ_ｉ′）を適当な順番に並び替えて、同一性検証装置に送信する。
３．同一性検証装置は当該ｍ個の組（Ｙ_ｉ，Ｙ_ｉ′）を復号し、その復号結果に（１，１）が含まれている場合は同一の署名者と判定する。

［第２の方法］
Ｃ_ｉ，Ｃ_ｉ′（ｉ＝１，…，ｍ）をある有限群Ｇの要素で表現された署名者Ｐ_ｉの識別子とし、Σ，Σ′をそれぞれある署名者によって生成された、ある有限群Ｈ^ｄの要素で表現された署名情報とし（ｄはＨの次元を表す）、θを以下に示す署名者特定のための関数とし、

ここで¬ｌは１以外のＧの要素を表し、θは開示装置のみ計算出来る関数とし、更にＥを開示装置が以下の関係を満たす関数θ′を計算出来る、Ｇからある有限群Ｇ′（以降、記述の都合上Ｇ，Ｇ′内の演算として乗法が定義されているものとする）に写す準同型暗号関数としたとき、

同一性検証装置（ｊ）（ｊ＝１，…，Ｋ）は開示装置との以下の手順によりΣ，Σ′が同一の署名者によって生成された署名かどうか判定する。

１．同一性検証装置（ｊ）（ｊ＝１，…，Ｋ）は協力して、Ｃ_ｉ，Ｃ_ｉ′（ｉ＝１，…，ｍ）を入力として、当該同一性検証装置（ｊ）（ｊ＝１，…，Ｋ）が協力してはじめて復号出来るような暗号化をＣ_ｉ，Ｃ_ｉ′に対して行う（それぞれＸ_i，0＝Ｅ（Ｃ_ｉ），Ｘ_i，0′＝Ｅ（Ｃ_ｉ′）とする）。
２．ｊ＝１，…，Ｋについて、同一性検証装置２００（ｊ）は順番に以下を行う。
（ａ）ｍ個の暗号文の組（Ｘ_i，j−1，Ｘ_i，j−1′）を入力する。
（ｂ）Ｘ_i，j−1，Ｘ_i，j−1′をそれぞれ再暗号化し（結果をそれぞれＸ_i，j，Ｘ_i，j′とする）、当該ｍ個の組（Ｘ_i，j，Ｘ_i，j′）を適当な順番に並び替えて出力する。
３．開示装置はｍ個の暗号文の組（Ｘ_i，K，Ｘ_i，K′）、及びΣ，Σ′を入力とし、Ｚ_i，0＝θ′（Ｘ_i，K，Σ），Ｚ_i，0′＝θ′（Ｘ_i，K′，Σ′）を計算し、出力する。
４．ｊ＝１，…，Ｋについて、同一性検証装置（ｊ）は順番に以下を行う。
（ａ）ｍ個の暗号文の組（Ｚ_i，j−1，Ｚ_i，j−1′）を入力する。
（ｂ）乱数ｓ_i，j，ｓ_i，j′を選び、

を計算し、出力する。
５．同一性検証装置（ｊ）（ｊ＝１，…，Ｋ）は協力して、（Ｚ_i，K，Ｚ_i，K′）を復号し、その復号結果に（１，１）が含まれている場合は同一の署名者と判定する。

本発明の署名生成者同一性検証方法によれば、任意の二つの署名が同一署名者によって生成されたか否かを判断出来ないような、署名者の匿名性を考慮した電子署名を用いたサービスに対して、例えば、大量のいたずら文書を送信した確信犯がいる疑いがあるときに限り、二つの署名が同一署名者によって生成されたか否かを判断出来る技術を適用し、それによって当該確信犯が存在する事が明らかになったときに限り、次に署名者の匿名性を失効する技術を適用し、当該確信犯を特定する、といった運用が可能になる。

以下、本発明の実施の形態について図面を用いて詳細に説明する。

［第１の実施の形態］
これは、本発明の第１の方法を適用するものである。本実施の形態におけるシステム構成は、図１に示すように、開示装置１００及び一つの同一性検証装置２００からなる。開示装置１００及び同一性検証装置２００はネットワーク３００を介して接続されている。ここでは、非特許文献４で提案された署名方式について、第１の方法に基づき、開示装置１００及び同一性検証装置２００の手続きにより署名生成者の同一性を検証する一例を示す。
［非特許文献４］Ｇ．Ａteniese，Ｊ．Ｃamenisch，Ｍ．Ｊoye，and Ｇ．Ｔsudik，“Ａ practical and provably secure coalition-resistant group signature scheme，”ＣＲＹＰＴＯ 2000，ＬＮＣＳ 1880，pp．255−270，Ｓpringer−Ｖerlag，2000．

先ず非特許文献４で提案された電子署名方式について、本実施の形態の説明に必要な箇所を抜粋して説明する。

ε（＞１），ｋ，ｌ_ｐをセキュリティパラメータとし、λ_１，λ_２，γ_１，γ_２を以下の関係を満たす自然数とし、
λ_１＞ε(λ_２＋ｋ)＋２，λ_２＞４ｌ_ｐ，γ_１＞ε(γ_２＋ｋ)＋２，γ_２＞λ_１＋２
Ｈを｛０，１｝^＊から［ｌ，ｑ］に写す一方向性ハッシュ関数とし、

とする。そして、Ｘ＝（ε，ｋ，ｌ_ｐ，λ_１，λ_２，γ_１，γ_２）とする。なお［ａ，ｂ］でａ以上ｂ以下の整数の集合を表すものとする。

管理者Ｍは以下を行う。

次にユーザＰｉはグループメンバとなるために管理者Ｍと以下の手続きを行う。

Ｐ_ｉによる署名生成は以下となる。

そして最終的に、管理者ＭはＺを入力として、Ａ＝Ｔ_１／Ｔ_２ ^ｘを計算し、Ａ＝Ａ_ｉとなるようなｉを求め、そのｉに対応するグループメンバＰ_ｉを署名者と判定する。

次に、本発明の第１の方法を［非特許文献４］で提案されている方式に適用した例を説明する。ここで上記管理者Ｍは、以降、開示装置１００に置き換えて話を進める。図２に本実施の形態の処理フローを示す。

同一性検証装置２００は開示装置１００との以下の手順により［非特許文献３］における署名情報Ｔ_２，Ｔ_２′が同一の署名者によって生成された署名かどうか判定する（ここでダッシュ（′）が付いた記号は、ダッシュが付いていない記号に対応する。即ち、Ｚ＝（ｃ，ｓ_１，ｓ_２，ｓ_３，ｓ_４，Ｔ_１，Ｔ_２，Ｔ_３，msg），Ｚ′＝（ｃ′，ｓ_１′，ｓ_２′，ｓ_３′，ｓ_４′，Ｔ_１′，Ｔ_２′，Ｔ_３′，msg′）はそれぞれある二つのメッセージｍｓｇ，ｍｓｇ′の署名情報を意味する）。

１．同一性検証装置２００はＡ_ｉ／Ｔ_１，Ａ_ｉ′／Ｔ_１′（ｉ＝１，…，ｍ），Ｔ_２，Ｔ_２′を入力し（ステップ１）、自身が復号出来るような、群ＱＲ（Ｎ）上で定義されるＥlＧamal暗号を用いてＡ_ｉ／Ｔ_１，Ａ_ｉ′／Ｔ_１′を暗号化し（ステップ２）、暗号文Ｅ（Ａ_ｉ／Ｔ_１），Ｅ（Ａ_ｉ′／Ｔ_１′）を開示装置１００に送信する（ステップ３）。
２．開示装置１００はＥ（Ａ_ｉ／Ｔ_１），Ｅ（Ａ_ｉ′／Ｔ_１′）（ｉ＝１，…，ｍ），Ｔ_２，Ｔ_２′を入力後（ステップ４）、乱数ｓ_ｉ，ｓ_ｉ′を選び（ステップ５）、

を計算し（ステップ６）、ｍ個の組（Ｙ_ｉ，Ｙ_ｉ′）を適当な順番に並び替えて（ステップ７）、同一性検証装置２００に送信する（ステップ８）。
３．同一性検証装置２００は当該ｍ個の組（Ｙ_ｉ，Ｙ_ｉ′）を復号し（ステップ９）、その復号結果に（１，１）が含まれている場合は同一の署名者と判定する（ステップ１０）。

上記手続きでは、ＥlＧamal暗号の準同型性により、

が成り立つ。従って、Ａｉ＝Ｔ_１／Ｔ_２ ^ｘかつＡｉ′＝Ｔ_１′／Ｔ_２′^ｘが成り立つｉが存在する、即ち、Ｔ_２，Ｔ_２′同一署名者が生成した場合は、（Ｙ_ｉ，Ｙ_ｉ′）（ｉ＝１，…，ｍ）の復号結果には（１，１）が存在し、そうでない場合は（１，１）が存在する確率は十分小さい事が期待出来る。また、（Ｙ_ｉ，Ｙ_ｉ′）（ｉ＝１，…，ｍ）は実際には開示装置１００により適当な順番に入れ替わっており、更にＹ_ｉ，Ｙ_ｉ′は１でないときはｓ_ｉ，ｓ_ｉ′によってＱＲ（Ｎ）の１以外のランダムな値に変換される事が期待出来るため、（Ｙ_ｉ，Ｙ_ｉ′）及びそれら復号結果からＴ_２，Ｔ_２′の署名生成者を特定するための有意な情報を同一性検証装置２００が得る事は困難である事が期待出来る。一方、開示装置１００は同一性検証装置２００のみが復号出来るような暗号文、及び署名者の識別情報を含まない値Ｔ_２，Ｔ_２′を受け取るだけであるため、ＥlＧamal暗号の秘匿性に基づいて開示装置１００が署名生成者を特定するための有意な情報を同一性検証装置２００が得る事は困難である。

［第２の実施の形態］
これは本発明の第２の方法を適用するものである。本実施の形態におけるシステム構成は、図３に示すように、開示装置１００及び複数の同一性検証装置２００（ｊ）（ｊ＝１，…，Ｋ）からなる。開示装置１００及び複数の同一性検証装置２００（ｊ）はネットワーク３００を介して接続されている。ここでは、［非特許文献３］で提案された署名方式について、第２の方法に基づき署名生成者の同一性を検証し、ゼロ知識証明技術により、開示装置１００及び同一性検証装置２００（ｊ）（ｊ＝１，…，Ｋ）自身の処理正当性を他装置に証明する一例を示す。

先ず［非特許文献３］で提案された電子署名方式について、本実施の形態の説明に必要な箇所を抜粋して説明する。

システムパラメータ、およびグループメンバＰ_ｉの公開鍵は以下となる。
システムパラメータ
（ｐ，ｑ）：ｑ｜ｐ−１を満たす大きな素数の組
Ｈ：｛０，１｝^＊→［１，ｑ］への一方向性ハッシュ関数
Ｇ_ｑ：ｑ個の要素を持つＺ_ｐ ^ｘの部分群
ｇ：Ｇ_ｐの生成元
グループメンバＰ_ｉの公開鍵 ｙｉ＝ｇ^ｘｉ（ｘ_ｉは［１，ｑ］からランダムに選んだ値）。
その他、管理者は、［１，ｑ］からランダムにｔを選んだ後、ｈ＝ｇ^ｔを計算、公開する。

＜Ｐ_ｉによる署名生成＞
Ｐ_ｉによる署名生成は以下となる。
１．［ｌ，ｑ］からランダムにαを選んだ後、

を計算する。ここでｍｓｇは署名対象メッセージとし、ｉ＝ｍならばｉ＋１→１。
２．ｌ＝ｉ＋１，…，ｍ，１，…，ｉ−１について、［１，ｑ］からランダムにｓ_ｌを選んだ後、Ｔ_ｌ＝ｇ^ｓｌｙ_ｌ ^ｃｌ，ｃ_ｌ＋１＝Ｈ（msg‖Ｔ_ｌ）を計算する。ここでｌ＝ｍならばｌ＋１→１。
３．（α＝）log_ｇＴ_ａ＝log_ｈＵ（modｑ）となるＴ_ａ（１≦α≦ｍ）が存在することを証明するために、ゼロ知識非対話証明技術を用いて、証明に必要な情報Ｖを作成する。
４．ｓ_ｉ＝α−ｘ_ｉｃ_ｉ（modｑ）を計算し、（ｃ_１，ｓ_１，…，ｓ_ｍ，Ｕ，Ｖ）をｍｓｇの署名とする。

＜署名者開示＞
署名者を特定するための開示処理は以下となる。
１．（ｃ_１，ｓ_１，…，ｓ_ｍ，Ｕ，Ｖ）を入力として、Ｔ_ｌ＝ｇ^ｓｌｙ_ｌ ^ｃｌ（ｌ＝１，…，ｍ）計算する。
２．Ｕ_ｌ＝Ｔ_ｌ ^ｔを計算し、Ｕ＝Ｕ_ａを満たすａ（１≦ａ≦ｍ）を求め、ｍｓｇの署名者Ｐ_ａを特定する。

次に、本発明第２の方法を［非特許文献３］で提案されている方式に適用した例を説明する。ここで上記管理者Ｍは、以降、開示装置１００に置き換えて話を進める。図４及び図５に本実施の形態の処理フローを示す。

同一性検証装置２００（ｊ）（ｊ＝１，…，Ｋ）は開示装置１００との以下の手順により［非特許文献３］における署名情報Ｕ，Ｕが同一の署名者によって生成された署名かどうか判定する（ここでダッシュ（′）が付いた記号は、ダッシュが付いていない記号に対応する。即ち、（ｃ_１，ｓ_１，…，ｓ_ｍ，Ｕ，Ｖ）、（ｃ_１′，ｓ_１′，…，ｓ_ｍ′，Ｕ′，Ｖ′）はそれぞれある二つのメッセージｍｓｇ、ｍｓｇ′の署名情報を意味する）。

１．同一性検証装置２００（ｊ）（ｊ＝１，…，Ｋ）は協力して、Ｔ_ｉ，Ｔ_ｉ′（ｉ＝１，…，ｍ）を入力として（ステップ１１）、該同一性検証装置２００（ｊ）（ｊ＝１，…，Ｋ）のうち一定数以上が協力してはじめて復号出来る“閾値ＥlＧamal暗号”（［非特許文献５］）を用いてＴ_ｉ，Ｔ_ｉ′を暗号化する（当該暗号文をそれぞれＸ_i，0＝Ｅ（Ｔ_ｉ），Ｘ_i，0′＝Ｅ（Ｔ_ｉ′とする）（ステップ１２）。
２．ｊ＝１，…，Ｋについて、同一性検証装置２００（ｊ）は順番に以下を行う。
（ａ）ｍ個の暗号文の組（Ｘ_i，j-1，Ｘ′_i，j-1）を入力する（ステップ１３）。
（ｂ）Ｘ_i，j-1，Ｘ′_i，j-1をそれぞれ再暗号化し（結果をそれぞれＸ_i，j，Ｘ′_i，jとする）（ステップ１４）、当該ｍ個の組（Ｘ_i，j-1，Ｘ′_i，j-1）を適当な順番に並び替えて（ステップ１５）出力する（ステップ１６）。なおその際、当該順番を並び替えた出力の処理正当性を例えば［非特許文献６］の非対話ゼロ知識証明技術を用いて証明する（ステップ１７）。非対話ゼロ知識証明方法とは、要するに、Ｐを底にしたｘ_ｉＰの離散対数、およびＡ″としたｘ_ｉＡ″の離散対数が等しい（すなわち、ともにｘ_ｉとなる）ことを非対話で証明する方法である。
３．開示装置１００はｍ個の暗号文の組（Ｘ_i，Ｋ，Ｘ′_i，Ｋ），及びＵ，Ｕ′を入力とし（ステップ１８）、Ｚ_i，0＝Ｘ^ｔ _i，Ｋ／Ｕ，Ｚ_i，0′＝Ｘ^ｔ _i，Ｋ′／Ｕ′を計算（ステップ１９）、出力する（ステップ２０）。なおＺ_i，0，Ｚ_i，0′を計算する過程でそれぞれＸ^ｔ _i，Ｋ，Ｘ^ｔ _i，Ｋ′を計算する必要があるが、この計算結果の処理正当性を例えば［非特許文献７］の非対話ゼロ知識証明技術を用いて証明する（ステップ２１）。
４．ｊ＝１，…，Ｋについて、同一性検証装置２００（ｊ）は順番に以下を行う。
（ａ）ｍ個の暗号文の組（Ｚ_i，j-1，Ｚ_i，j-1′）を入力する（ステップ２２）。
（ｂ）［１，ｑ］からランダムにｓ_i，j，ｓ_i，j′を選び（ステップ２３）、

を計算し（ステップ２４）、出力する（ステップ２５）。なおその際、当該計算結果の処理正当性を例えば［非特許文献７］の非対話ゼロ知識証明技術を用いて証明する（ステップ２６）。
５．同一性検証装置２００（ｊ）（ｊ＝１，…，Ｋ）は協力して、（Ｚ_i，K，Ｚ_i，K′）を復号し（ステップ２７）、当該復号結果の処理正当性を例えば［非特許文献７］の非対話ゼロ知識証明技術を用いて証明し（ステップ２８）、復号結果に（１，１）が含まれている場合は同一の署名者と判定する（ステップ２９）。

［非特許文献５］Ｙ．Ｄesmedt and Ｙ．Ｆrankel，“Ｔhreshold cryptosystems，”ＣＲＹＰＴＯ ’89，ＬＮＣＳ435，ｐｐ．307-315，Ｓpringer−Ｖerlag，1990.
［非特許文献６］Ｊ．Ｇroth，“Ａ verifiable secret shuffle of homomorphic encryptions，”ＰＫＣ ’03，ＬＮＣＳ2567，ｐｐ．145−160，Ｓpringer−Ｖerlag，2003．
［非特許文献７］Ｄ．Ｌ．Ｃhaum and Ｔ．Ｐ．Ｐedersen，“Ｗallet databases with observers,”ＣＲＹＰＴＯ ’92，ＬＮＣＳ740，ｐｐ.89−105，Ｓpringer-Verlag,1993．

上記手続きでは、ＥlＧamal暗号の持つ準同型性により、

が成り立つ。

従って、Ｕ_ｉ＝ＵかつＵ_ｉ′＝Ｕ′が成り立つｉが存在する、即ちＵ，Ｕ′を同一署名者が生成した場合は、（Ｚ_i，K，Ｚ_i，K′）（ｉ＝１，…，ｍ）の復号結果には（１，１）が存在し、そうでない場合は（１，１）が存在する確率は十分小さい事が期待出来る。また、（Ｚ_i，K，Ｚ_i，K′）（ｉ＝１，…，ｍ）は実際には同一性検証装置２００（ｊ）（ｊ＝１，…，Ｋ）により適当な順番に入れ替わっており、更にＺ_i，K，Ｚ_i，K′は１でないときはｓ_i，jβ（ｊ＝１，…，Ｋ）によってＧ_ｑの１以外のランダムな値に変換されるため、（Ｚ_i，K，Ｚ_i，K′）及びそれら復号結果からＵ，Ｕ′の署名生成者を特定するための有意な情報を得る事は困難である事が期待出来る。

なお、図１や図３で示したシステムにおける各装置の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図２や図４、図５で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。

本発明の第１の実施の形態のシステム構成例を示す図。 第１の実施の形態の処理フロー図。 本発明の第２の実施の形態のシステム構成例を示す図。 第２の実施の形態の処理フロー図。 図４の続きの処理フロー図。

符号の説明

１００ 開示装置
２００ 同一性検証装置
３００ ネットワーク

Claims (6)

1. Ｃ_ｉ，Ｃ_ｉ′（ｉ＝１，…，ｍ）をある有限群Ｇの要素で表現された署名者Ｐ_ｉの識別子とし、Σ，Σ′をそれぞれある署名者によって生成された、ある有限群Ｈ^ｄの要素で表現された署名情報とし（ｄはＨの次元を表す）、θを以下に示す署名者特定のための関数とし、
   

   

   ここで¬ｌは１以外のＧの要素を表し、θは開示装置のみ計算出来る関数とし、更にＥを開示装置が以下の関係を満たす関数θ′を計算出来る、
   

   

   Ｇからある有限群Ｇ′（以降、記述の都合上Ｇ，Ｇ′内の演算として乗法が定義されているものとする）に写す準同型暗号関数としたとき、
   同一性検証装置は開示装置との以下の手順によりΣ，Σ′が同一の署名者によって生成された署名かどうか判定する、
   １．同一性検証装置はＣ_ｉ，Ｃ_ｉ′（ｉ＝１，…，ｍ），Σ，Σ′を入力し、自身が復号出来るような暗号化をＣ_ｉ，Ｃ_ｉ′に対して行い（当該暗号文をそれぞれＥ（Ｃ_ｉ），Ｅ（Ｃ_ｉ′）とする）、それらを開示装置に送信する。
   ２．開示装置はＥ（Ｃ_ｉ），Ｅ（Ｃ_ｉ′）（ｉ＝１，…，ｍ），Σ，Σ′を入力とし、以下を行う。
   （ａ）θ′（Ｅ（Ｃ_ｉ），Σ），θ′（Ｅ（Ｃ_ｉ′），Σ′）を計算する。
   （ｂ）乱数ｓ_ｉ，ｓ_ｉ′を選び、
   

   

   を計算し、当該ｍ個の組（Ｙ_ｉ，Ｙ_ｉ′）を適当な順番に並び替えて、同一性検証装置に送信する。
   ３．同一性検証装置は当該ｍ個の組（Ｙ_ｉ，Ｙ_ｉ′）を復号し、その復号結果に（１，１）が含まれている場合は同一の署名者と判定する。
   ことを特徴とする署名生成者同一性検証方法。
2. Ｃ_ｉ，Ｃ_ｉ′（ｉ＝１，…，ｍ）をある有限群Ｇの要素で表現された署名者Ｐ_ｉの識別子とし、Σ，Σ′をそれぞれある署名者によって生成された、ある有限群Ｈ^ｄの要素で表現された署名情報とし（ｄはＨの次元を表す）、θを以下に示す署名者特定のための関数とし、
   

   

   ここで¬ｌは１以外のＧの要素を表し、θは開示装置のみ計算出来る関数とし、更にＥを開示装置が以下の関係を満たす関数θ′を計算出来る、Ｇからある有限群Ｇ′（以降、記述の都合上Ｇ，Ｇ′内の演算として乗法が定義されているものとする）に写す準同型暗号関数としたとき、
   

   

   同一性検証装置（ｊ）（ｊ＝１，…，Ｋ）は開示装置との以下の手順によりΣ，Σ′が同一の署名者によって生成された署名かどうか判定する、
   １．同一性検証装置（ｊ）（ｊ＝１，…，Ｋ）は協力して、Ｃ_ｉ，Ｃ_ｉ′（ｉ＝１，…，ｍ）を入力として、当該同一性検証装置（ｊ）（ｊ＝１，…，Ｋ）が協力してはじめて復号出来るような暗号化をＣ_ｉ，Ｃ_ｉ′に対して行う（それぞれＸ_i，0＝Ｅ（Ｃ_ｉ），Ｘ_i，0′＝Ｅ（Ｃ_ｉ′）とする）。
   ２．ｊ＝１，…，Ｋについて、同一性検証装置２００（ｊ）は順番に以下を行う。
   （ａ）ｍ個の暗号文の組（Ｘ_i，j−1，Ｘ_i，j−1′）を入力する。
   （ｂ）Ｘ_i，j−1，Ｘ_i，j−1′をそれぞれ再暗号化し（結果をそれぞれＸ_i，j，Ｘ_i，j′とする）、当該ｍ個の組（Ｘ_i，j，Ｘ_i，j′）を適当な順番に並び替えて出力する。
   ３．開示装置はｍ個の暗号文の組（Ｘ_i，K，Ｘ_i，K′）、及びΣ，Σ′を入力とし、Ｚ_i，0＝θ′（Ｘ_i，K，Σ），Ｚ_i，0′＝θ′（Ｘ_i，K′，Σ′）を計算し、出力する。
   ４．ｊ＝１，…，Ｋについて、同一性検証装置（ｊ）は順番に以下を行う。
   （ａ）ｍ個の暗号文の組（Ｚ_i，j−1，Ｚ_i，j−1′）を入力する。
   （ｂ）乱数ｓ_i，j，ｓ_i，j′を選び、
   

   

   を計算し、出力する。
   ５．同一性検証装置（ｊ）（ｊ＝１，…，Ｋ）は協力して、（Ｚ_i，K，Ｚ_i，K′）を復号し、その復号結果に（１，１）が含まれている場合は同一の署名者と判定する。
   ことを特徴とする署名生成者同一性検証方法。
3. 請求項１または２記載の署名生成者同一性検証方法において、秘密分散技術により一定数以上の開示装置が協力しない限りθ′を計算出来ないようにする、
   ことを特徴とする署名生成者同一性検証方法。
4. 請求項１〜３のいずれか１項に記載の署名生成者同一性検証方法の何れかにおいて、ゼロ知識証明技術により開示装置及び同一性検証装置は自身の処理正当性を他装置に証明する、
   ことを特徴とする署名生成者同一性検証方法。
5. ネットワークで結ばれた同一性検証装置及び開示装置を具備し、請求項１〜４のいずれか１項に記載の署名生成者同一性検証方法を実施することを特徴とする署名生成者同一性検証システム。
6. 請求項１〜４のいずれか１項に記載の署名生成者同一性検証方法をコンピュータに実施させるためのプログラム。

Images