JP4845107B2

JP4845107B2 - Knowledge proof verification system

Info

Publication number: JP4845107B2
Application number: JP2006191300A
Authority: JP
Inventors: 浩司千田; 剛山本
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2006-07-12
Filing date: 2006-07-12
Publication date: 2011-12-28
Anticipated expiration: 2026-07-12
Also published as: JP2008022212A

Description

本発明は、情報セキュリティの技術分野に関し、特に暗号技術を用いた知識の証明及びその検証技術に関する。 The present invention relates to the technical field of information security, and more particularly to knowledge proofing using a cryptographic technique and its verification technique.

暗号技術を用いた知識の証明及びその検証方法として、従来、非特許文献１の“部分知識証明”が一般的に知られている。
本技術を用いて、ある位数ｑの有限群ｇの元Ｐ，Ｇ_０＝ｓ_０Ｐ，Ｇ_１＝ｓ_１Ｐに対して（ｓ_０，ｓ_１はｑ未満の自然数）、少なくともｓ_０，ｓ_１のどちらかを知っていることをその知識を漏らすことなく他者に証明することができる。以下でその処理手順を説明する。 Conventionally, “partial knowledge proof” of Non-Patent Document 1 is generally known as a proof of knowledge using a cryptographic technique and a verification method thereof.
Using this technique, for an element P, G ₀ = s ₀ P, G ₁ = s ₁ P of a finite group g of some order q (s ₀ , s ₁ is a natural number less than q), at least s ₀ , S ₁ can be proved to others without leaking that knowledge. The processing procedure will be described below.

ｓ_ｂ（ｂ∈｛０，１｝）を知っている証明側は以下の手続きを行う。
［入力］（Ｐ，Ｇ_０，Ｇ_１，ｂ，ｓ_ｂ）
１．ｑ未満の自然数ｒ，ｖ，ｃ_1-bを生成する。
２．Ｒ_ｂ＝ｒＰ，Ｒ_1-b＝ｖＰ＋ｃ_1-bＧ_1-bを計算する。
３．ｃ＝Ｈ（Ｇ_０‖Ｇ_１‖Ｒ_０‖Ｒ_１）を計算する。ここでＨはｑ未満の自然数に写す一方向性ハッシュ関数、“‖”はデータ連結記号。
４．ｃ_ｂ＝ｃ−ｃ_1-b modｑ，ｚ_ｂ＝ｒ−ｃ_ｂｓ_ｂ modｑ，ｚ_1-b＝ｖを計算する。
５．（ｚ_０，ｚ_１，ｃ_０，ｃ）を証明情報とする。 The prover who knows s _b (bε {0,1}) performs the following procedure.
[Input] (P, G ₀ , G ₁ , b, s _b )
1. A natural number r, v, c _1-b less than q is generated.
2. _Rb = rP, R1 _-b = vP + c1 _-b G1 _-b is calculated.
3. c = H (G ₀ ‖G ₁ ‖R ₀ ‖R ₁ ) is calculated. Here, H is a one-way hash function copied to a natural number less than q, and “‖” is a data connection symbol.
4). c _b = c−c _1−b modq, z _b = r−c _b s _b modq, z _1−b = v is calculated.
5). Let (z ₀ , z ₁ , c ₀ , c) be proof information.

検証側は以下の手続きを行う。
［入力］（Ｐ，Ｇ_０，Ｇ_１，ｚ_０，ｚ_１，ｃ_０，ｃ）
１．Ｒ_０′＝ｚ_０Ｐ＋ｃ_０Ｇ_０，Ｒ_１′＝ｚ_１Ｐ＋（ｃ−ｃ_０）Ｇ_１を計算する。
２．ｃ′＝Ｈ（Ｇ_０‖Ｇ_１‖Ｒ_０′‖Ｒ_１′）を計算する。
３．ｃ＝ｃ′であれば検証成功とする。 The verification side performs the following procedure.
[Input] (P, G ₀ , G ₁ , z ₀ , z ₁ , c ₀ , c)
1. _{_{_{_{R 0 '= z 0 P +}}}} c 0 G 0, R 1' = z 1 P + (c-c 0) to compute the _{G 1.}
2. c ′ = H (G ₀ ‖G ₁ ‖R ₀ ′ ‖R ₁ ′) is calculated.
3. If c = c ′, the verification is successful.

本技術の適用例として、例えば、非特許文献２の“Ｖerifiable Ｍix-net”がある。これは匿名性と投票結果の正当性を保証する電子投票に有効な技術として知られ、部分知識証明を繰り返し実行する（投票数をｎとすると、ある定数ｔに対してｔｎ［log ｎ］回実行する）。 As an application example of the present technology, for example, there is “Verifiable Mix-net” of Non-Patent Document 2. This is known as an effective technique for electronic voting that guarantees anonymity and the validity of voting results, and executes partial knowledge proof repeatedly (assuming the number of votes is n, tn [log n] times for a certain constant t). Execute).

Ｒ．Ｃramer，Ｉ．Ｄamgard，Ｂ．Ｓchoenmakers，“Ｐroofs of Ｐartial Ｋnowledge and Ｓimplified Ｄesign of Ｗitness Ｈiding Ｐrotocols，”ＣＲＹＰＴＯ’９４，ｐｐ．１７４−１８７，１９９４．R. Cramer, I.D. Damgard, B.M. Schoenmakers, “Proofs of Partial Knowledge and Simplified Design of Witness Hiding Protocols,” CRYPTO '94, pp. 174-187, 1994. Ｍ．Ａbe，“Ｍix−Ｎetworks on Ｐermutation Ｎetworks,”ＡＳＩＡＣＲＹＰＴ’９９，ｐｐ．２５８−２７３，１９９９．M.M. Abe, “Mix-Networks on Permutation Networks,” ASIACRYPT'99, pp. 258-273, 1999.

部分知識証明を利用した暗号アプリケーションはいくつか知られており、その中では非特許文献２のＶerifiable Ｍix-netのように多数のデータセットについて部分知識証明を実行するものが存在する。非特許文献１の部分知識証明は、少数のデータセット（例えば、（Ｐ，Ｇ_０，Ｇ_１，ｂ，ｓ_ｂ）が１組のデータセットに該当する。）に対して実行するのであれば汎用パソコンなどで実行しても十分実用的といえるが、大規模投票のように多数のデータセットについて部分知識証明を実行する場合は、処理時間が掛かることや通信データサイズが膨大になることが課題といえる。 Several cryptographic applications using partial knowledge proof are known, and among them, there are those that execute partial knowledge proof on a large number of data sets, such as Verifiable Mix-net in Non-Patent Document 2. If the partial knowledge proof of Non-Patent Document 1 is executed for a small number of data sets (for example, (P, G ₀ , G ₁ , b, s _b ) corresponds to one data set). Although it can be said that it is practical enough even if it is executed on a general-purpose personal computer etc., if partial knowledge proof is executed for a large number of data sets such as large-scale voting, processing time may be required and the communication data size may become enormous. It can be said that it is a problem.

本発明が解決しようとする課題は、多数（ｎ組）のデータセットについて部分知識証明を実行する暗号アプリケーションの実用性を高めることであり、具体的には、従来のように単純に部分知識証明をｎ回繰り返し実行するよりも計算コスト、通信コストを削減することが可能となる知識証明検証システムを提供することにある。 The problem to be solved by the present invention is to improve the practicality of a cryptographic application that performs partial knowledge proof on a large number (n sets) of data sets. Is to provide a knowledge proof verification system that can reduce the calculation cost and the communication cost rather than repeatedly executing n.

以下に、本発明による知識証明及びその検証の基本的な処理手続きを説明する。
ある位数ｑの有限群ｇの元Ｐ，Ｇ_i,0＝ｓ_i,0Ｐ，Ｇ_ｉ，１＝ｓ_i,1Ｐに対して（ｓ_i,0，ｓ_i,1はｑ未満の自然数，ｉ＝１，…，ｎ）、証明側はｓ_ｉ＝ｓ_i,biを知っているとする（ｂ_ｉ∈｛０，１｝）。このとき、証明側は以下の手続きを行う。 Hereinafter, a basic processing procedure of knowledge certification and its verification according to the present invention will be described.
For an element P, G _{i, 0} = s _{i, 0} P, G _{i, 1} = s _{i, 1} P of a finite group g of order q, (s _{i, 0} , s _{i, 1} is less than q It is assumed that the natural number, i = 1,..., N), and the proof side knows s _i = s _{i, bi} (b _i ε {0, 1}). At this time, the proof side performs the following procedure.

［入力］（Ｐ，Ｇ_1,0，…，Ｇ_n,0，Ｇ_1,1，…，Ｇ_n,1，ｂ_１，…，ｂ_ｎ，ｓ_１，…，ｓ_ｎ，）
１．ｑ未満の自然数（乱数）ｒ，ｖ，ｃ_i,1-biを生成する。
２．Ｒ_０＝ｒＰ＋Σ_{i|bi=1}ｃ_i,0Ｇ_i,0，Ｒ_１＝ｖＰ＋Σ_{i|bi=0}ｃ_i,1Ｇ_i,1を計算する。ここで｛ｉ｜ｂ_ｉ＝１｝はｉ＝１，…，ｎについてｂ_ｉ＝１となるｉの集合を意味するものとする。同様に、｛ｉ｜ｂ_ｉ＝０｝はｂ_ｉ＝０となるｉの集合を意味するものとする。
３．ｃ_１＝Ｈ（Ｇ_1,0‖…‖Ｇ_n,0‖Ｇ_1,1‖…‖Ｇ_n,1‖Ｒ_０‖Ｒ_１），ｃ_1,bi＝ｃ_１−ｃ_1,1-bi modｑ，ｉ＝２，…，ｎについてｃ_ｉ＝Ｈ（ｃ_i-1‖ｃ_i-1,0），ｃ_i,bi＝ｃ_i,1-bi modｑを計算する。
４．ｚ_０＝ｒ−Σ_{｛ｉ｜ｂi＝０｝}ｃ_i,0ｓ_ｉ，ｚ_１＝ｖ−Σ_{｛ｉ｜ｂi＝１｝}ｃ_ｉ，１ｓ_ｉを計算する。
５．（ｃ_１，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）を証明情報とする。 _{[Input] (P, G 1,0, ...} , G n, 0, G 1,1, ..., G n, 1, b 1, ..., b n, s 1, ..., s n,)
1. Generates natural numbers (random numbers) r, v, ci _{, 1-bi} less than q.
2. R ₀ = rP + Σ _{{i | bi = 1}} c _{i, 0} G _{i, 0,} R ₁ = vP + Σ _{{i | bi = 0}} c _{i, 1} G _{i, 1} is calculated. Here, {i | b _i = 1} means a set of i where b _i = 1 for i = 1,..., N. Similarly, {i | b _i = 0} means a set of i where b _i = 0.
3. c ₁ = H (G _1,0 ‖ ... ‖ G _{n, 0} ‖G _1,1 ‖ ... ‖ G _{n, 1} ‖R ₀ ‖R ₁ ), c _{1, bi} = c ₁ -c _1,1-bi For modq, i = 2,..., n, c _i = H (c _i−1 ‖c _i−1,0 ), c _{i, bi} = c _{i, 1−bi} modq is calculated.
4). z ₀ = r−Σ _{{i | bi = 0}} c _{i, 0} s _i , z ₁ = v−Σ _{{i | bi = 1}} c _{i, 1} s _i are calculated.
5). _Let (c ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) be proof information.

検証側は以下の手続きを行う。
［入力］（Ｐ，Ｇ_1,0，…，Ｇ_n,0，Ｇ_1,1，…，Ｇ_n,1，ｃ_１，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）
１．ｃ_１′＝ｃ_１，ｃ_1,0′＝ｃ_1,0とし、ｃ_1,1′＝ｃ_１′−ｃ_1,0 modｑ，ｉ＝２，…，ｎについてｃ_ｉ′＝Ｈ（ｃ_i-1′‖ｃ_i-1,0），ｃ_i,1′＝ｃ_ｉ′−ｃ_i,0 modｑを計算する。
２．Ｒ_０′＝ｚ_０Ｐ＋Σ_i=1 ⁿ _，ｃ_i,0Ｇ_i,0，Ｒ_１′＝ｚ_１Ｐ＋Σ_i=1 ⁿ _，ｃ_i,1′Ｇ_i,1を計算する。
３．ｃ_１″＝Ｈ（Ｇ_1,0‖…‖Ｇ_n,0‖Ｇ_1,1‖…‖Ｇ_n,1‖Ｒ_０′‖Ｒ_１′）を計算する。
４．ｃ_１＝ｃ_１″であれば検証成功とする。 The verification side performs the following procedure.
[Input] (P, G _1,0 ,..., G _{n, 0} , G _1,1 ,..., G _{n, 1} , c ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} )
1. and _{_{c 1 '= c 1, c}} 1,0' = c 1,0, c 1,1 '= c 1' -c 1,0 modq, i = 2, ..., n for _c i '= H _(c _i− 1′‖c _i−1,0 ), c _{i, 1} ′ = c _i ′ −c _{i, 0} modq.
2. _{_{R 0 '= z 0 P +}} Σ i = 1 n, c i, 0 G i, 0, R 1' = z 1 P + Σ i = 1 n, calculates the _{_{c i, 1 'G i,}} 1.
3. c ₁ ″ = H (G _1,0 ‖ ... ‖G _{n, 0} ‖G _1,1 ‖ ... ‖ G _{n, 1} ‖R ₀ ′ ‖R ₁ ′) is calculated.
4). If c ₁ = c ₁ ″, the verification is successful.

証明側、検証側の支配的な計算箇所はｒＰやｚ_０Ｐといったスカラー倍演算となることが予想される。そこで計算コストをスカラー倍演算の処理回数で評価すると、従来技術では証明者が３ｎ回、検証者が４ｎ回のスカラー倍演算を行うのに対し、本発明では証明側がｎ＋２回、検証側が２ｎ＋２回のスカラー倍演算で済む。また証明側が提示する証明情報のビット長は、従来方法では４ｎ｜ｑ｜であるのに対し、本発明では（ｎ＋３）｜ｑ｜となる。 It is expected that the dominant calculation part on the proof side and the verification side is a scalar multiplication operation such as rP or z ₀ P. Thus, when the calculation cost is evaluated by the number of times of scalar multiplication, the prover performs the scalar multiplication 3n times and the verifier performs 4n times the scalar multiplication in the conventional technique, whereas in the present invention, the proof side n + 2 times and the verification side 2n + 2 times. The scalar multiplication is sufficient. Further, the bit length of the certification information presented by the certification side is 4n | q | in the conventional method, but is (n + 3) | q | in the present invention.

以下、本発明の実施の形態について図面を用いて詳細に説明する。
［システム構成］
図１に本発明の実施の形態のシステム構成を示す。図１において、知識証明装置１０及び知識検証装置２０はネットワーク３０等で接続されている。知識証明装置１０は入力部１１、乱数生成部１２、群加算演算部１３、スカラー倍演算部１４、ハッシュ演算部１５、四則演算部１６、及び出力部１７から構成されている。知識検証装置２０は入力部２１、群加算演算部２２、スカラー倍演算部２３、ハッシュ演算部２４、四則演算部２５、比較部２６、及び出力部２７から構成される。これら知識証明装置１０及び知識検証装置２０は、他に各部の動作を制御する制御部、入出力データや処理途中のデータなどを記憶する記憶部等を具備しているが、図１では省略してある。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.
[System configuration]
FIG. 1 shows a system configuration according to an embodiment of the present invention. In FIG. 1, a knowledge proof device 10 and a knowledge verification device 20 are connected by a network 30 or the like. The knowledge proof device 10 includes an input unit 11, a random number generation unit 12, a group addition operation unit 13, a scalar multiplication operation unit 14, a hash operation unit 15, an arithmetic operation unit 16, and an output unit 17. The knowledge verification device 20 includes an input unit 21, a group addition operation unit 22, a scalar multiplication operation unit 23, a hash operation unit 24, an arithmetic operation unit 25, a comparison unit 26, and an output unit 27. The knowledge proof device 10 and the knowledge verification device 20 further include a control unit that controls the operation of each unit, a storage unit that stores input / output data, data in the middle of processing, and the like, which are omitted in FIG. It is.

以下に、図１のシステム構成を用いて本発明の各実施の形態について説明する。
［第１の実施の形態］
本実施例では、ある位数ｑの有限群ｇの元Ｐ，Ｇ_i,0＝ｓ_i,0Ｐ，Ｇ_i,1＝ｓ_i,1Ｐに対して（ｓ_i,0，ｓ_i,1∈Ｚ／ｑＺ；ｉ＝１，…，ｎ），少なくともｓ_i,0，ｓ_i,1のどちらかを知っている（以降、知っている値を単にｓ_ｉとする）ことをその知識を漏らすことなく他者に証明する場合について、非特許文献１の方法よりも計算コスト、通信コストに優れた方法を示す。図２は本実施例における知識証明装置１０の処理手順、図５は知識検証装置２０の処理手順を示す。 Each embodiment of the present invention will be described below using the system configuration of FIG.
[First Embodiment]
In the present embodiment, the elements P, G _{i, 0} = s _{i, 0} P, G _{i, 1} = s _{i, 1} P of a finite group g of order q are (s _{i, 0} , s _{i, 1} ∈ Z / qZ; i = 1,..., N), knowing at least one of s _{i, 0} , s _{i, 1} (hereinafter, the known value is simply referred to as s _i ) A method superior in calculation cost and communication cost as compared with the method of Non-Patent Document 1 is shown in the case of proving to others without leaking. FIG. 2 shows a processing procedure of the knowledge proof device 10 in this embodiment, and FIG. 5 shows a processing procedure of the knowledge verification device 20.

知識証明装置１０は、入力部１１より（Ｐ，Ｇ_i,0，Ｇ_i,1，ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）を入力し（ステップ１０１），（ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）の知識を証明するために以下を実行する。
１．乱数生成部１２により乱数ｒ，ｖ，ｃ_i,1-bi∈Ｚ／ｑＺを生成する（ステップ１０２）。
２．群加算演算部１３及びスカラー倍演算部１４によりＲ_０＝ｒＰ＋Σ_{i|bi=1}ｃ_i,0Ｇ_i,0，Ｒ_１＝ｖＰ＋Σ_{i|bi=0}ｃ_i,1Ｇ_i,1を計算する（ステップ１０３）。ここで｛ｉ｜ｂ_ｉ＝１｝はｉ＝１，…，ｎについてｂ_ｉ＝１となるｉの集合を意味する。｛ｉ｜ｂ_ｉ＝０｝についても同様である。図３にこの処理の様子を示す。これは、他の実施例でも基本的に同様である。
３．ハッシュ演算部１５及び四則演算部１６により
ｃ_１＝Ｈ（Ｇ_1,0‖…‖Ｇ_n,0‖Ｇ_1,1‖…‖Ｇ_n,1‖Ｒ_０‖Ｒ_１），ｃ_1,bi＝ｃ_１−ｃ_1,1-bi modｑ，ｉ＝２，…，ｎについてｃ_ｉ＝Ｈ（ｃ_i-1‖ｃ_i-1,0），ｃ_i,bi＝ｃ_ｉ−ｃ_i,1-bimodｑを計算する（ステップ１０４）。ここで、Ｈは一方向性ハッシュ関数、“‖”はデータ連結記号を意味する。
４．四則演算部１５によりｚ_０＝ｒ−Σ_{i|bi=0}ｃ_i,0ｓ_ｉ，ｚ_１＝ｖ−Σ_{i|bi=1}ｃ_i,1ｓ_ｉを計算する（ステップ１０５）。図４にこの処理の様子を示す。これは、他の実施例でも基本的に同様である。
５．出力部１７より（ｃ_１，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）を証明情報として出力する（ステップ１０６）。 The knowledge proof device 10 inputs (P, G _{i, 0} , G _{i, 1} , b _i , s _i ) (i = 1,..., N) from the input unit 11 (step 101), (b _i , To prove the knowledge of s _i ) (i = 1,..., n):
1. The random number generator 12 generates random numbers r, v, c _{i, 1−bi} εZ / qZ (step 102).
2. R ₀ = rP + Σ _{{i | bi = 1}} c _{i, 0} G _{i, 0,} R ₁ = vP + Σ _{{i | bi = 0}} c _{i, 1} G _{i, 1} is calculated (step 103). Here, {i | b _i = 1} means a set of i where b _i = 1 for _i = 1,. The same applies to {i | b _i = 0}. FIG. 3 shows this process. This is basically the same in other embodiments.
3. C ₁ = H (G _1,0 ‖ ... ｃG _{n, 0} ‖G _1,1 ‖ ... ‖ G _{n, 1} ‖R ₀ ‖R ₁ ), c _{1, bi} by the hash calculator 15 and the four arithmetic operators 16 = C ₁ −c _1,1-bi modq, i = 2,..., N c _i = H (c _i−1 ‖c _i−1,0 ), c _{i, bi} = c _i −c _{i, 1 -bi} modq is calculated (step 104). Here, H means a one-way hash function, and “‖” means a data connection symbol.
4). The arithmetic operation unit 15 calculates z ₀ = r−Σ _{{i | bi = 0}} c _{i, 0} s _i , z ₁ = v−Σ _{{i | bi = 1}} c _{i, 1} s _i (step 105). ). FIG. 4 shows the state of this process. This is basically the same in other embodiments.
5). (C ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) is output from the output unit 17 as proof information (step 106).

次に証明情報を検証する手続きについて説明する。知識検証装置２０は、入力部２１より（Ｐ，Ｇ_i,0，Ｇ_ｉ，１，ｃ_１，ｚ_０，ｚ_１，ｃ_i,0）（ｉ＝１，…，ｎ）を入力し（ステップ１１１）、知識証明装置１０がＧ_i,bi＝ｓ_ｉＰを満たす（ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）を知っている（保持している）かどうか検証するために以下を実行する。
１．ｃ_１′＝ｃ_１とし、四則演算部２５及びハッシュ演算部２４によりｃ_1,1′＝ｃ_１′−ｃ_1,0 modｑ，ｉ＝２，…，ｎについてｃ_ｉ′＝Ｈ（ｃ_i-1′‖ｃ_i-1,0），ｃ_i,1′＝ｃ_ｉ′−ｃ_i,0 modｑを計算する（ステップ１１２）。
２．群加算演算部２２及びスカラー倍演算部２３によりＲ_０′＝ｚ_０Ｐ＋Σ_i=1 ⁿ _，ｃ_i,0Ｇ_i,0，Ｒ_１′＝ｚ_１Ｐ＋Σ_i=1 ⁿｃ_i,1′Ｇ_i,1を計算する（ステップ１１３）。
３．ハッシュ演算部２４によりｃ_１″＝Ｈ（Ｇ_1,0‖…‖Ｇ_n,0‖Ｇ_1,1‖…‖Ｇ_n,1‖Ｒ_０′‖Ｒ_１′）を計算する（ステップ１１４）。
４．比較部２６によりｃ_１＝ｃ_１″が成り立つかどうか検証する（ステップ１１５）。そして、出力部２７より、成り立てば検証成功として１を出力し、成り立たなければ検証失敗として０を出力する。 Next, a procedure for verifying certification information will be described. The knowledge verification device 20 inputs (P, G _{i, 0} , G _{i, 1} , c ₁ , z ₀ , z ₁ , c _{i, 0} ) (i = 1,..., N) from the input unit 21 ( Step 111), for verifying whether the knowledge proof device 10 knows (holds) (b _i , s _i ) (i = 1,..., N) satisfying G _{i, bi} = s _i P Do the following:
1. c ₁ ′ = c ₁ and the four arithmetic operation unit 25 and the hash operation unit 24 perform c _i ′ = H (c _{i for} c _1,1 ′ = c ₁ ′ −c _1,0 modq, i = 2,. _{_{_{-1 '‖c i-1,0),}}} c i, 1' = c i '-c i, 0 modq calculates the (step 112).
2. R ₀ ′ = z ₀ P + Σ _{i = 1} ⁿ _, c _{i, 0} G _{i, 0,} R ₁ ′ = z ₁ P + Σ _{i = 1} ⁿ c _{i, 1} ′ G by the group addition operation unit 22 and the scalar multiplication operation unit 23. _{i, 1} is calculated (step 113).
3. The hash calculator 24 calculates c ₁ ″ = H (G _1,0 ‖... G _{n, 0} 1G _1,1 ‖... G _{n, 1} ‖R ₀ ′ ‖R ₁ ′) (step 114). .
4). Whether or not c ₁ = c ₁ ″ is satisfied is verified by the comparison unit 26 (step 115). If it is satisfied, 1 is output as a verification success, and if not, 0 is output as a verification failure.

いま計算コストをスカラー倍演算の処理回数で評価すると、非特許文献１の方法では知識証明装置が３ｎ回、知識検証装置が４ｎ回のスカラー倍演算を行うのに対し、本実施例では知識証明装置がｎ＋２回、知識検証装置が２ｎ＋２回のスカラー倍演算で済む。また、証明情報となる知識証明装置の出力ビット長は、非特許文献１の方法では４ｎ｜ｑ｜であるのに対し、本実施例では（ｎ＋３）｜ｑ｜となる。 If the calculation cost is evaluated by the number of times of scalar multiplication, the knowledge proof device performs 3n times and the knowledge verification device performs 4n times of scalar multiplication in the method of Non-Patent Document 1, whereas in this embodiment, knowledge proof A scalar multiplication operation is required for the device n + 2 times and the knowledge verification device 2n + 2 times. Further, the output bit length of the knowledge proof device as proof information is 4n | q | in the method of Non-Patent Document 1, whereas it is (n + 3) | q | in this embodiment.

［第２の実施の形態］
本実施例では、知識証明装置１０は、実施例１の処理を実行するが、証明情報として（Ｒ_０，Ｒ_１，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）を出力する。 [Second Embodiment]
In the present embodiment, the knowledge proof device 10 executes the processing of the first embodiment, but uses (R ₀ , R ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) as proof information. Output.

以下に本実施例の証明情報を検証する手続きについて説明する。図６は、本実施例における知識検証装置２０の処理手順を示す。
知識検証装置２０は、入力部２１より（Ｐ，Ｇ_i,0，Ｇ_i,1，Ｒ_０，Ｒ_１，ｚ_０，ｚ_１，ｃ _i,0）（ｉ＝１，…，ｎ）を入力し（ステップ２１１）、知識証明装置１０がＧ_ｉ，ｂi＝ｓ_ｉＰを満たす（ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）を知っている（保持している）かどうか検証するために以下を実行する。
１．ハッシュ演算部２４及び四則演算部２５により
ｃ_１′＝Ｈ（Ｇ_1,0‖…‖Ｇ_n,0‖Ｇ_1,1‖…‖Ｇ_n,1‖Ｒ_０‖Ｒ_１），ｃ_1,1′＝ｃ_１′−ｃ_1,0 modｑ，ｉ＝２，…，ｎについてｃ_ｉ′＝Ｈ（ｃ_i-1′‖ｃ_i-1,0），ｃ_i,1′＝ｃ_ｉ′−ｃ_i,0 modｑを計算する（ステップ２１２）。
２．群加算演算部２２及びスカラー倍演算部２３によりＲ_０′＝ｚ_０Ｐ＋Σ_i=1 ⁿｃ_i,0Ｇ_i,0，Ｒ_１′＝ｚ_１Ｐ＋Σ_i=1 ⁿｃ_i,1′Ｇ_i,1を計算する（ステップ２１３）。
３．比較部２６によりＲ_０＝Ｒ_０′かつＲ_１＝Ｒ_１′が成り立つかどうか検証する（ステップ２１４）。そして、出力部２７より、成り立てば検証成功として１を出力し、成り立たなければ検証失敗として０を出力する。 A procedure for verifying the certification information of this embodiment will be described below. FIG. 6 shows a processing procedure of the knowledge verification device 20 in the present embodiment.
The knowledge verification device 20 receives (P, G _{i, 0} , G _{i, 1} , R ₀ , R ₁ , z ₀ , z ₁ , c _{i, 0} ) (i = 1,..., N) from the input unit 21. Whether or not the knowledge proof device 10 knows (holds) (b _i , s _i ) (i = 1,..., N) satisfying G _{i, bi} = s _i P To verify, do the following:
1. The hash calculation unit 24 and the four arithmetic operation units 25 make c ₁ ′ = H (G _1,0 ‖ ... ‖G _{n, 0} ‖G _1,1 ‖ ... ‖ G _{n, 1} ‖R ₀ ‖R ₁ ), c _{1, 1} ′ = c ₁ ′ −c _1,0 modq, i = 2,..., N, c _i ′ = H (c _i−1 ′ ‖c _i−1,0 ), c _{i, 1} ′ = c _i ′ -Ci _{, 0} modq is calculated (step 212).
2. R ₀ ′ = z ₀ P + Σ _{i = 1} ⁿ c _{i, 0} G _{i, 0} , R ₁ ′ = z ₁ P + Σ _{i = 1} ⁿ c _{i, 1} ′ G _{i by the} group addition operation unit 22 and the scalar multiplication operation unit 23. _{, 1} is calculated (step 213).
3. The comparison unit 26 verifies whether R ₀ = R ₀ ′ and R ₁ = R ₁ ′ are satisfied (step 214). Then, the output unit 27 outputs 1 as verification success if it is satisfied, and outputs 0 as verification failure if it does not hold.

本実施例は実施例１と目的は同じだが、知識証明装置１０の出力情報や知識検証装置２０の演算が異なる。即ち、出力情報のデータサイズや演算コスト等に応じて都合の良い方法を選択することが出来る。 This embodiment has the same purpose as that of the first embodiment, but the output information of the knowledge proof device 10 and the calculation of the knowledge verification device 20 are different. That is, a convenient method can be selected according to the data size of the output information, the calculation cost, and the like.

［第３の実施の形態］
本実施例では、ある位数ｑの有限群ｇの元Ｐ_ｊ（ｊ＝１，…，ｎ′），Ｇ_i,j,0＝ｓ_i,0Ｐ_ｊ，Ｇ_i,j,1＝ｓ_i,1Ｐ_ｊに対して（ｓ_i,0，ｓ _i,1∈Ｚ／ｑＺ；ｉ＝１，…，ｎ；ｊ＝１，…，ｎ′），少なくともｓ_i,0，ｓ_i,1のどちらかを知っている（以降、知っている値を単にｓ_ｉとする）ことをその知識を漏らすことなく他者に証明する方法を示す。なお、先の実施例１は、本実施例においてｎ′＝１に限定したケースである。即ち、本実施例は実施例１を拡張した例であり、具体的には、ｉを固定したとき、ｊ＝１，…，ｎ′について（Ｐ_ｊ，Ｇ_i,j,0，Ｇ_i,j,1）が同一の秘密情報（ｓ_ｉ，ｂ_ｉ）によって生成されていることを証明する場合に有効な方法である。 [Third Embodiment]
In this embodiment, an element P _j (j = 1,..., N ′), G _{i, j, 0} = s _{i, 0} P _j , G _{i, j, 1} = s of a finite group g of order q. _{For i, 1} P _j (s _{i, 0} , s _{i, 1} ∈Z / qZ; i = 1,..., n; j = 1,..., n ′), at least s _{i, 0} , s _i, I know either ₁ (hereinafter, knowing only the s _i values are) that shows a way to prove to others without leaking the knowledge. The first embodiment is a case where n ′ = 1 in the present embodiment. That is, the present embodiment is an example in which the first embodiment is expanded. Specifically, when i is fixed, j = 1,..., N ′ (P _j, G _{i, j, 0,} G _{i, This} is an effective method for proving that _{j, 1} ) is generated by the same secret information (s _i , b _i ).

以下に本実施例の処理手順を説明する。図７は本実施例による知識証明装置１０の処理手順、図８は知識検証装置２０の処理手順を示す。
知識証明装置１０は、入力部１１より（Ｐ_ｊ，Ｇ_i,j,0，Ｇ_i,j,1，ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ′）を入力し（ステップ３０１）、（ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）の知識を証明するために以下を実行する。
１．乱数生成部１２により乱数ｒ，ｖ，ｃ_i,1-bi∈Ｚ／ｑＺを生成する（ステップ３０２）。
２．群加算演算部１３及びスカラー倍演算部１４によりＲ_0,j＝ｒＰ_ｊ＋Σ_{i|bi=1}ｃ_i,0Ｇ_i,j,0，Ｒ_1,j＝ｖＰ_ｊ＋Σ_{i|bi=0}＝ｃ_i,1Ｇ_i,j,1を計算する（ｊ＝１，…，ｎ′）（ステップ３０３）。
３．ハッシュ演算部１５及び四則演算部１６により
ｃ_１＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n’,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n’,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n’,1）‖…‖（Ｇ_n,1,1‖…‖Ｇ_n,n’,1）‖Ｒ_0,1‖…‖Ｒ_0,n’‖Ｒ_1,1‖…‖Ｒ_1,n’‖），ｃ_1,bi＝ｃ_１−ｃ_1,1-bi modｑ，ｉ＝２，…，ｎについてｃ_ｉ＝Ｈ（ｃ_i-1‖ｃ_i-1,0），ｃ_i,bi＝ｃ_ｉ−ｃ_i,1-bi modｑを計算する（ステップ３０４）。
４．四則演算部１６によりｚ_０＝ｒ−Σ_{i|bi=0}ｃ_i,0ｓ_ｉ，ｚ_１＝ｖ−Σ_{i|bi=1}＝ｃ_i,1ｓ_ｉを計算する（ステップ３０５）。
５．出力部１７より（ｃ_１，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）を証明情報として出力する（ステップ３０６）。 The processing procedure of this embodiment will be described below. FIG. 7 shows a processing procedure of the knowledge proof device 10 according to the present embodiment, and FIG. 8 shows a processing procedure of the knowledge verification device 20.
The knowledge proof device 10 receives (P _j , G _{i, j, 0} , G _{i, j, 1} , b _i , s _i ) (i = 1,..., N; j = 1,..., N from the input unit 11. ′) Is input (step 301) and the following is performed to prove the knowledge of (b _i , s _i ) (i = 1,..., N).
1. The random number generator 12 generates random numbers r, v, ci _{, 1-bi} εZ / qZ (step 302).
2. R _{0, j} = rP _j + Σ _{{i | bi = 1}} c _{i, 0} G _{i, j, 0} , R _{1, j} = vP _j + Σ _{{i | bi = 0}} = ci _{, 1} Gi _{, j, 1} is calculated (j = 1,..., N ′) (step 303).
3. The hash calculation unit 15 and the four arithmetic operation units 16 make c ₁ = H ((G _1,1,0 ‖ ... ‖G _{1, n ', 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ', 0)} || (G _1,1,1 || _{... ‖G 1, n', 1} ) || ... ‖ (G _{n, 1,1} || _{... ‖G n, n ', 1} ) ‖R 0,1 || ... ‖R _{_0, n '‖R} _1,1 || ... ‖R _{1, n'} _{_{||), c 1, bi = c}} 1 -c 1,1-bi modq, i = 2, ..., n for _c i = H (c _i-1 ‖c _i-1,0 ), c _{i, bi} = c _i -c _{i, 1-bi} modq is calculated (step 304).
4). The arithmetic operation unit 16 calculates z ₀ = r−Σ _{{i | bi = 0}} c _{i, 0} s _i , z ₁ = v−Σ _{{i | bi = 1}} = c _{i, 1} s _i (step 305).
5). The output unit 17 outputs (c ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) as proof information (step 306).

次に証明情報を検証する手続きについて説明する。知識検証装置２０は、入力部２１より（Ｐ_ｊ，Ｇ_i,j,0，Ｇ_i,j,1，ｃ_１，ｚ_０，ｚ_１，ｃ_i,0）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ′）を入力し（ステップ３１１）、知識証明装置１０がＧ_i,j,bi＝ｓ_ｉＰ_ｊ（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ′）を満たす（ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）を知っている（保持している）かどうか検証するために以下を実行する。
１．ｃ_１′＝ｃ_１とし、四則演算部２５及びハッシュ演算部２４によりｃ_1,1′＝ｃ_１′−ｃ_1,0 modｑ，ｉ＝２，…，ｎについてｃ_ｉ′＝Ｈ（ｃ_i-1′‖ｃ_i-1,0），ｃ_i,1′＝ｃ_ｉ′−ｃ_i,0 modｑを計算する（ステップ３１２）。
２．群加算演算部２２及びスカラー倍演算部２３によりＲ_０，ｊ′＝ｚ_０Ｐ_ｊ＋Σ_i=1 ⁿｃ_i,0Ｇ_i,j,0，Ｒ_1,j′＝ｚ_１Ｐ_ｊ＋Σ_i=1 ⁿｃ_i,1′Ｇ_i,j,1を計算する（ｊ＝１，…，ｎ′）（ステップ３１３）。
３．ハッシュ演算部２４により
ｃ_１″＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n’,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n’,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n’,1）‖…‖（Ｇ_n,1,1‖…‖Ｇ_n,n’,1）‖Ｒ_0,1′‖…‖Ｒ_0,n’′‖Ｒ_1,1′‖…‖Ｒ_1,n’′‖）を計算する（ステップ３１４）。
４．比較部２６によりｃ_１＝ｃ_１″が成り立つかどうか検証する（ステップ３１５）。そして、出力部２７より、成り立てば検証成功として１を出力し、成り立たなければ検証失敗として０を出力する。 Next, a procedure for verifying certification information will be described. The knowledge verification device 20 receives (P _j , G _{i, j, 0} , G _{i, j, 1} , c ₁ , z ₀ , z ₁ , c _{i, 0} ) (i = 1,..., N) from the input unit 21. J = 1,..., N ′) (step 311), and the knowledge proving apparatus 10 gives G _{i, j, bi} = s _i P _j (i = 1,..., N; j = 1,. In order to verify whether (b _i , s _i ) (i = 1,..., N) satisfying (′) is satisfied (held), the following is executed.
1. c ₁ ′ = c ₁ and the four arithmetic operation unit 25 and the hash operation unit 24 perform c _i ′ = H (c _{i for} c _1,1 ′ = c ₁ ′ −c _1,0 modq, i = 2,. _{_{_{-1 '‖c i-1,0),}}} c i, 1' = c i '-c i, 0 modq calculates the (step 312).
2. R _{0, j} ′ = z ₀ P _j + Σi _{= 1} ⁿ c _{i, 0} G _{i, j, 0} , R _{1, j} ′ = z ₁ P _j + Σ _{i by the} group addition operation unit 22 and the scalar multiplication operation unit 23. _{= 1} ⁿ c _{i, 1} ′ G _{i, j, 1} is calculated (j = 1,..., N ′) (step 313).
3. The hash calculation unit 24 uses c ₁ ″ = H ((G _1,1,0 ‖ ... ‖G _{1, n ′, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ′, 0} ) ‖ (G _1,1,1 ‖ ... ‖G _{1, n ', 1} ) ‖ ... ‖ (G _{n, 1,1} ‖ ... ‖ G _{n, n', 1} ) ‖R _0,1 ′ ‖… ‖R _{_0, n ''} ‖R _1,1 _'|| ... ‖R _{1, n''||)} is calculated (step 314).
4). The comparator 26 verifies whether c ₁ = c ₁ ″ is satisfied (step 315). Then, the output unit 27 outputs 1 as a verification success if it is satisfied, and outputs 0 as a verification failure if it does not hold.

以上の手続きより、実施例１の拡張として、ｉ＝１，…，ｎについて（Ｐ_ｊ，Ｇ_i,j,0，Ｇ_i,j,1）（ｊ＝１，…，ｎ′）が同一の秘密情報（ｓ_ｉ，ｂ_ｉ）によって生成されている場合に、その事実を証明することが出来る。 From the above procedure, as an extension of the first embodiment, (P _j , G _{i, j, 0} , G _{i, j, 1} ) (j = 1,..., N ′) is the same for i = 1,. If the secret information (s _i , b _i ) is generated, the fact can be proved.

［第４の実施の形態］
本実施例では、知識証明装置１０は、実施例３の処理を実行するが、証明情報として（Ｒ_0,1，…，Ｒ_0,n’，Ｒ_1,1，…，Ｒ_1,n’，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）を出力する。 [Fourth Embodiment]
In the present embodiment, the knowledge proof device 10 executes the processing of the third embodiment, but as proof information (R _0,1 ,..., R _{0, n ′} , R _1,1 ,..., R _{1, n ′} , Z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) are output.

以下に、本実施例の証明情報を検証する手続きについて説明する。図９は本実施例における知識検証装置２０の処理手順を示す。
知識証明装置２０は、入力部１１より（Ｐ_ｊ，Ｇ_i,j,0，Ｇ_i,j,1，Ｒ_0,j，Ｒ_1,j，ｚ_０，ｚ_１，ｃ_i,0）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ′）を入力し（ステップ４１１）、知識証明装置１０がＧ_i,j,bi＝ｓ_ｉＰ_ｊ（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ′）を満たす（ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）を知っている（保持している）かどうか検証するために以下を実行する。
１．ハッシュ演算部２４及び四則演算部２５により
ｃ_１′＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n’,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n’,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n’,1）‖…‖（Ｇ_n,1,1‖…‖Ｇ_n,n’,1）‖Ｒ _0,1 ‖…‖Ｒ _0,n’ ‖Ｒ _1,1 ‖…‖Ｒ _1,n’），ｃ_1,1′＝ｃ_１′−ｃ_1,0 modｑ，ｉ＝２，…，ｎについてｃ_１′＝Ｈ（ｃ_1-1′‖ｃ_i-1,0），ｃ_i,1′＝ｃ_ｉ′−ｃ_i,0 modｑを計算する（ステップ４１２）。
２．群加算演算部２２及びスカラー倍演算部２３によりＲ_0,j′＝ｚ_０Ｐ_ｊ＋Σ_i=1 ⁿｃ_i,0Ｇ_i,j,0，Ｒ_1,j′＝ｚ_１Ｐ_ｊ＋Σ_i=1 ⁿｃ_i,1′Ｇ_i,j,1を計算する（ｊ＝１，…，ｎ′）（ステップ４１３）。
３．比較部２６により、すべてのｊについてＲ_0,j＝Ｒ_0,j′かつＲ_1,j＝Ｒ_1,j′が成り立つかどうか検証する（ステップ４１４）。そして、出力部２７より、成り立てば検証成功として１を出力し、成り立たなければ検証失敗として０を出力する。 Hereinafter, a procedure for verifying the certification information of this embodiment will be described. FIG. 9 shows a processing procedure of the knowledge verification device 20 in this embodiment.
The knowledge proof device 20 is input from the input unit 11 (P _j , G _{i, j, 0} , G _{i, j, 1} , R _{0, j} , R _{1, j} , z ₀ , z ₁ , c _{i, 0} ) ( i = 1,..., n; j = 1,..., n ′) are input (step 411), and the knowledge proving apparatus 10 gives G _{i, j, bi} = s _i P _j (i = 1,..., n; In order to verify whether (b _i , s _i ) (i = 1,..., n) satisfying (holding) satisfying j = 1,.
1. The hash calculation unit 24 and the four arithmetic operation units 25 make c ₁ ′ = H ((G _1,1,0 ‖ ... ‖G _{1, n ′, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ', 0)} || (G _{1, 1, 1} || _{... ‖G 1, n', 1} ) || ... || (G _{n, 1, 1} || _{... ‖G n, n ', 1} ) ‖ R _{0, 1} ‖ ... ‖R _{0, n '} ‖R _1,1 ‖ ... ‖R _{1, n'} ), c _1,1 '= c ₁ ' -c _1,0 modq, i = 2, ..., n c ₁ ' _{_{= H (c 1-1 '‖c i}} -1,0), c i, 1' = c i '-c i, 0 modq calculates the (step 412).
2. R _{0, j} ′ = z ₀ P _j + Σi _{= 1} ⁿ c _{i, 0} G _{i, j, 0} , R _{1, j} ′ = z ₁ P _j + Σ _{i by the} group addition operation unit 22 and the scalar multiplication operation unit 23. _{= 1} ⁿ c _{i, 1} ′ G _{i, j, 1} is calculated (j = 1,..., N ′) (step 413).
3. The comparison unit 26 verifies whether R _{0, j} = R _{0, j} ′ and R _{1, j} = R _{1, j} ′ hold for all _j (step 414). Then, the output unit 27 outputs 1 as verification success if it is satisfied, and outputs 0 as verification failure if it does not hold.

本実施例は実施例３と目的は同じだが、知識証明装置１０の出力情報や知識検証装置２６の演算が異なる。即ち、出力情報のデータサイズや演算コスト等に応じて都合の良い方法を選択することが出来る。 The purpose of the present embodiment is the same as that of the third embodiment, but the output information of the knowledge proof device 10 and the operation of the knowledge verification device 26 are different. That is, a convenient method can be selected according to the data size of the output information, the calculation cost, and the like.

［第５の実施の形態］
本実施例では、ある位数ｑの有限群ｇの元Ｐ，Ｇ_i,j,0＝ｓ_i,j,0Ｐ，Ｇ_i,j,1＝ｓ_i,j,1Ｐに対して（ｓ_i,j,0，ｓ_i,j,1∈Ｚ／ｑＺ；ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″），各ｊについて少なくともｓ_i,j,0，ｓ_i,j,1のどちらかを知っている（以降、知っている値を単にｓ_i,jとする）ことをその知識を漏らすことなく他者に証明する方法を示す。なお実施例１は、本実施例においてｎ″＝１に限定したケースである。即ち、本実施例も実施例１を拡張した例であり、具体的には、ｉを固定したとき、ｊ＝１，…，ｎ″について（Ｇ_i,j,0，Ｇ_i,j,1）が同一の秘密情報ｂ_ｉによって生成されていることを証明する場合に有効な方法である。実施例３と異なる点は、基底がＰ_ｊでなく共通のＰを用いていること、及び各ｊについてｓ_i,jは等しい必要がないことである。 [Fifth Embodiment]
In this embodiment, for an element P, G _{i, j, 0} = s _{i, j, 0} P, G _{i, j, 1} = s _{i, j, 1} P of a finite group g of order q ( s _{i, j, 0} , s _{i, j, 1} ∈Z / qZ; i = 1,..., n; j = 1,..., n ″), at least s _{i, j, 0} , s _i, A method for proving to others that the user knows either _{j, 1} (hereinafter, the known value is simply referred to as s _{i, j} ) without leaking that knowledge is shown in Example 1. This is a case where n ″ = 1 in the embodiment. That is, this embodiment is also an example in which the first embodiment is expanded. Specifically, when i is fixed, j = 1,..., N ″ (G _{i, j, 0} , G _{i, j, 1} ) Is an effective method for proving that it is generated by the same secret information b _i . The difference from the third embodiment is that the basis is not P _j but a common P, and For j, s _{i, j} need not be equal.

以下に、本実施例の処理手順を説明する。図１０は本実施例における知識証明装置１０の処理手順、図１１は知識検証装置２０の処理手順を示す。
知識証明装置１０は、入力部１１より（Ｐ，Ｇ_i,j,0，Ｇ_i,j,1，ｂ_ｉ，ｓ_i,j）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″）を入力し（ステップ５０１）、（ｂ_ｉ，ｓ_i,j）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″）の知識を証明するために以下を実行する。
１．ハッシュ演算部１５によりｅ_ｊ＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n”,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n”,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n”,1）‖…‖（Ｇ_n,1,1‖Ｇ_n,n”,1‖ｊ）を計算する（ステップ５０２）。
２．乱数生成部１２により乱数ｒ，ｖ，ｃ _i,1-bi∈Ｚ／ｑＺを生成する（ステップ５０３）。
３．群加算演算部１３及びスカラー倍演算部１４によりＲ_０＝ｒＰ＋Σ_{i|bi=1}ｃ_i,0Σ_j=1 ⁿ″ｅ_ｊＧ_i,j,0，Ｒ_１＝ｖＰ＋Σ_{i|bi=0}ｃ_i,1Σ_j=1 ⁿ″ｅ_ｊＧ_i,j,1を計算する（ステップ５０４）。
４．ハッシュ演算部１５及び四則演算部１６により
ｃ_１＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n”,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n”,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n”,1）‖…‖（Ｇ_n,1,1‖…‖Ｇ_n,n”,1）‖Ｒ_０‖Ｒ_１），ｃ_i,bi＝ｃ_１−ｃ_1,1-bi modｑ，ｉ＝２についてｃ_ｉ＝Ｈ（ｃ_i-1‖ｃ_i-1,0），ｃ_i,bi＝ｃ_ｉ−ｃ_i,1-bi modｑを計算する（ステップ５０５）。
５．四則演算部１６によりｚ_０＝ｒ−Σ_{i|bi=0}ｃ_i,0Σ_j=1 ⁿ″ｅ_ｊｓ_i,j，ｚ_１＝ｖ−Σ_{i|bi=1}ｃ_i,1Σ_j=1 ⁿ″ｅ_ｊｓ_i,jを計算する（ステップ５０６）。
６．出力部１７より（ｃ_１，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）を証明情報として出力する（ステップ５０７）。 Below, the processing procedure of a present Example is demonstrated. FIG. 10 shows the processing procedure of the knowledge proof device 10 in this embodiment, and FIG. 11 shows the processing procedure of the knowledge verification device 20.
The knowledge proof device 10 receives (P, G _{i, j, 0} , G _{i, j, 1} , b _i , s _{i, j} ) (i = 1,..., N; j = 1,. n ″) (step 501), and to prove the knowledge of (b _i , s _{i, j} ) (i = 1,..., n; j = 1,..., n ″), the following is performed.
1. The hash calculator 15 makes e _j = H ((G _1,1,0 ‖ ... ‖G _{1, n ″, 0} ) ‖… ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ″, 0} ) ‖ (G _{1, 1, 1} || _{... ‖G 1, n ", 1} ) || ... || _{_{(G n, 1,1 ‖G n,}} n", 1 ‖j) calculating a (step 502).
2. The random number generator 12 generates random numbers r, v, ci _{, 1-bi} ∈ Z / qZ (step 503).
3. R ₀ = rP + Σ _{{i | bi = 1}} c _{i, 0} Σj _{= 1} ⁿ ″ e _j G _{i, j, 0} , R ₁ = vP + Σ _{{i | bi = 0}} c _{i, 1} Σj _{= 1} ⁿ ″ e _j G _{i, j, 1} is calculated (step 504).
4). The hash calculation unit 15 and the four arithmetic operation units 16 make c ₁ = H ((G _1,1,0 ‖ ... ‖G _{1, n ″, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ”, 0} ) ‖ (G _1,1,1 ‖… ‖G _{1, n”, 1} ) ‖… ‖ (G _{n, 1,1} ‖… ‖G _{n, n ”, 1} ) ‖R ₀ ‖R ₁ ), C _{i, bi} = c ₁ −c _1,1-bi modq, for i = 2, c _i = H (c _i−1 ‖c _i−1,0 ), c _{i, bi} = c _i −c _{i , 1-bi} modq is calculated (step 505).
5). The four arithmetic units 16 make z ₀ = r−Σ _{{i | bi = 0}} c _{i, 0} Σj _{= 1} ⁿ ″ e _j si _{, j} , z ₁ = v−Σ _{{i | bi = 1}} c _{i ,} 1Σj ₌ ¹ⁿ ″ e _j s _{i, j} is calculated (step 506).
6). (C ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) are output from the output unit 17 as proof information (step 507).

次に、本実施例の証明情報を検証する手続きについて説明する。知識検証装置２０は，入力部２１より（Ｐ，Ｇ_i,j,0，Ｇ_i,j,1，ｃ₁，ｚ_０，ｚ_１，ｃ_i,0）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″）を入力し（ステップ５１１）、知識証明装置１０がＧ_i,j,bi＝ｓ_i,jＰ（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″）を満たす（ｂ_ｉ，ｓ_i,j）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″）を知っている（保持している）かどうか検証するために以下を実行する。
１．ハッシュ演算部２４により
ｅ_ｊ′＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n”,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n”,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n”,1）‖…‖（Ｇ_n,1,1‖…‖Ｇ_n,n”,1）‖ｊ）を計算する（ｉ＝１，…，ｎ）（ステップ５１２）。
２．ｃ_１′＝ｃ_１とし、四則演算部２５及びハッシュ演算部２４によりｃ_1,1′＝ｃ_１′−ｃ_1,0 modｑ，ｉ＝２，…，ｎについてｃ_ｉ′＝Ｈ（ｃ_i-1′‖ｃ_i-1,0），ｃ_i,1′＝ｃ_ｉ′−ｃ_i,0 modｑを計算する（ステップ５１３）。
３．群加算演算部２２及びスカラー倍演算部２３によりＲ_０′＝ｚ_０Ｐ＋Σ_i=1 ⁿｃ_i,0Σ_ｊ＝1 ^n”ｅ_ｊ′Ｇ_i,j,0，Ｒ_１′＝ｚ_１Ｐ＋Σ_i=1 ⁿｃ_i,1′Σ_j=1 ^n”ｅ_ｊ′Ｇ_i,j,1を計算する（ステップ５１４）。
４．ハッシュ演算部２４により
ｃ_１″＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n”,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n”,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n”,1）‖…‖（Ｇ_n,1,1‖…‖Ｇ_n,n”,1）‖Ｒ_０′‖Ｒ_１′）を計算する（ステップ５１５）。
５．比較部２６によりｃ_１＝ｃ_１″が成り立つかどうか検証する（ステップ５１６）。そして、出力部２７より、成り立てば検証成功として１を出力し、成り立たなければ検証失敗として０を出力する。 Next, a procedure for verifying the certification information of this embodiment will be described. Knowledge verification device 20, the input unit _{21 (P, G i, j} , 0, G i, j, 1, c 1, z 0, z 1, c i, 0) (i = 1, ..., n; j = 1,..., n ″) (step 511), and the knowledge proving apparatus 10 gives G _{i, j, bi} = s _{i, j} P (i = 1,..., n; j = 1,. To verify whether (b _i , s _{i, j} ) (i = 1,..., N; j = 1,..., N ″) is satisfied (held) To do.
1. The hash calculator 24 makes e _j ′ = H ((G _1,1,0 ‖ ... ‖G _{1, n ″, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ″, 0} ) ‖ (G _1,1,1 ‖ ... ‖G _{1, n ″, 1} ) ‖ ... ‖ (G _{n, 1,1} ‖ ... ‖G _{n, n ″, 1} ) ‖j) is calculated (i = 1) ,..., N) (step 512).
2. c ₁ ′ = c ₁ and the four arithmetic operation unit 25 and the hash operation unit 24 perform c _i ′ = H (c _{i for} c _1,1 ′ = c ₁ ′ −c _1,0 modq, i = 2,. _{_{_{-1 '‖c i-1,0),}}} c i, 1' = c i '-c i, 0 modq calculates the (step 513).
3. The group addition operation unit 22 and the scalar multiplication operation unit 23 make R ₀ ′ = z ₀ P + Σ _{i = 1} ⁿ c _{i, 0} Σ _{j = 1} ^{n ”} e _j ′ G _{i, j, 0} , R ₁ ′ = z ₁ P + Σ _{i = 1} ⁿ c _i, 1′Σj _{= 1} ^{n ″} e _j ′ G _{i, j, 1} is calculated (step 514).
4). The hash calculator 24 makes c ₁ ″ = H ((G _1,1,0 ‖ ... ‖G _{1, n ″, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ″, 0} ) ‖ (G _1,1,1 ‖… ‖ G ₁ _{, n ″, 1} ) ‖… ‖ (G _{n, 1,1} ‖… ‖ G _{n, n ″, 1} ) ‖R ₀ ′ ‖R ₁ ′) Calculate (step 515).
5). The comparator 26 verifies whether or not c ₁ = c ₁ ″ is satisfied (step 516). Then, the output unit 27 outputs 1 as a verification success, and outputs 0 as a verification failure when it does not hold.

以上の手続きより、実施例１の拡張として、ｉ＝１，…，ｎについて（Ｇ_i,j,0，Ｇ_i,j,1）（ｊ＝１，…，ｎ″）が同一の秘密情報ｂ_ｉによって生成されている場合に、その事実を証明することが出来る。 From the above procedure, as an extension of the first embodiment, confidential information with the same (G _{i, j, 0} , G _{i, j, 1} ) (j = 1,..., N ″) is the same for i = 1,. If it is generated by b _i , the fact can be proved.

［第６の実施の形態］
本実施例では、知識証明装置１０は、実施例５の処理を実行するが、証明情報として（Ｒ_０，Ｒ_１，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）を出力する。 [Sixth Embodiment]
In the present embodiment, the knowledge proof device 10 executes the processing of the fifth embodiment, but uses (R ₀ , R ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) as proof information. Output.

以下に、本実施例の証明情報を検証する手続きについて説明する。図１２は本実施例における知識検証装置２０の処理手順を示す。
知識検証装置２０は、入力部２１より（Ｐ，Ｇ_i,j,0，Ｇ_i,j,1，Ｒ_０，Ｒ_１，ｚ_０，ｚ_１，ｃ _i,0）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″）を入力し（ステップ６１１）、知識証明装置１０がＧ _i,j,bi＝ｓ_i,jＰ（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″を満たす（ｂ_ｉ，ｓ_i,j）（ｉ＝１，…，ｎ；ｊ＝１，…，ｎ″）を知っている（保持している）かどうか検証するために以下を実行する。
１．ハッシュ演算部２４により
ｅ_ｊ′＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n”,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n”,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n”,1）‖…‖（Ｇ_n,1,1‖…‖Ｇ_n,n”,1）‖ｊ）を計算する（ｊ＝１，…，ｎ″）（ステップ６１２）。
２．ハッシュ演算部２４及び四則演算部２５により
ｃ_１′＝Ｈ（（Ｇ_1,1,0‖…‖Ｇ_1,n”,0）‖…‖（Ｇ_n,1,0‖…‖Ｇ_n,n”,0）‖（Ｇ_1,1,1‖…‖Ｇ_1,n”,1）‖…‖（Ｇ_n,1,1‖…‖Ｇ_n,n”,1）‖Ｒ_０‖Ｒ_１），ｃ_1,1′＝ｃ_１′−ｃ_1,0 modｑ，ｉ＝２，…，ｎについてｃ_１′＝Ｈ（ｃ_i-1′‖ｃ_i-1,0），ｃ_i,1′＝ｃ_ｉ′−ｃ_i,0 modｑを計算する（ステップ６１３）。
３．群加算演算部２２及びスカラー倍演算部２４により、Ｒ_０′＝ｚ_０Ｐ＋Σ_i=1 ⁿｃ_i,0Σ_j=1 ^n”ｅ_ｊ′Ｇ_i,j,0，Ｒ_１′＝ｚ_１Ｐ＋Σ_i=1 ⁿｃ_i,1′Σ_j=1 ^n”ｅ_ｊ′Ｇ_i,j,1を計算する（ステップ６１４）。
４．比較部２６により、Ｒ_０＝Ｒ_０′かつＲ_１＝Ｒ_１′が成り立つかどうか検証する（ステップ６１５）。そして、出力部２７より、成り立てば検証成功として１を出力し、成り立たなければ検証失敗として０を出力する。 Hereinafter, a procedure for verifying the certification information of this embodiment will be described. FIG. 12 shows a processing procedure of the knowledge verification apparatus 20 in this embodiment.
The knowledge verification device 20 receives (P, G _{i, j, 0} , G _{i, j, 1} , R ₀ , R ₁ , z ₀ , z ₁ , c _{i, 0} ) (i = 1,...) From the input unit 21. , N; j = 1,..., N ″) (step 611), and the knowledge proving apparatus 10 gives G _{i, j, bi} = s _{i, j} P (i = 1,..., N; j = 1, .., N ″ satisfy (b _i , s _{i, j} ) (i = 1,..., N; j = 1,..., N ″) to verify whether they know (hold) Execute.
1. The hash calculator 24 makes e _j ′ = H ((G _1,1,0 ‖ ... ‖G _{1, n ″, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ″, 0} ) ‖ (G _1,1,1 ‖ ... ‖G _{1, n ″, 1} ) ‖ ... ‖ (G _{n, 1,1} ‖ ... ‖G _{n, n ″, 1} ) ‖j) is calculated (j = 1) ,..., N ″) (step 612).
2. The hash calculation unit 24 and the four arithmetic operation units 25 make c ₁ ′ = H ((G _1,1,0 ‖ ... ‖G _{1, n ″, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ", 0)} || (G _1,1,1 || _{... ‖G 1, n", 1} ) || ... ‖ (G _{n, 1,1} || _{... ‖G n, n ", 1} ) ‖R 0 ‖R ₁ ), c _1,1 ′ = c ₁ ′ −c _1,0 modq, i = 2,..., N c ₁ ′ = H (c _i−1 ′ ‖c _i−1,0 ), c _{i, _{_{1 '= c i' -c i}}} , 0 modq calculates the (step 613).
3. R ₀ ′ = z ₀ P + Σ _{i = 1} ⁿ c _{i, 0} Σ _{j = 1} ^{n ”} e _j ′ G _{i, j, 0} , R ₁ ′ = z ₁ _{^{P + Σ i = 1 n c}} i, 1 'Σ j = 1 n "e j' G i, j, 1 to calculate the (step 614).
4). The comparison unit 26 verifies whether R ₀ = R ₀ ′ and R ₁ = R ₁ ′ are satisfied (step 615). Then, the output unit 27 outputs 1 as verification success if it is satisfied, and outputs 0 as verification failure if it does not hold.

本実施例は実施例５と目的は同じだが、知識証明装置１０の出力情報や知識検証装置２０の演算が異なる。即ち、出力情報のデータサイズや演算コスト等に応じて都合の良い方法を選択することが出来る。 The purpose of the present embodiment is the same as that of the fifth embodiment, but the output information of the knowledge proof device 10 and the calculation of the knowledge verification device 20 are different. That is, a convenient method can be selected according to the data size of the output information, the calculation cost, and the like.

［第７の実施の形態］
本実施例では、ある位数ｑの有限群ｇの元Ｐ，Ｑ，Ｇ_i,0＝ｓ_i,0Ｐ，Ｇ_i,1＝ｓ_i,1Ｐ，Ｈ_i,0＝ｓ_i,0Ｑ，Ｈ_i,1＝ｓ_i,1Ｑ，Ｘ_i,0＝ｔ_i,0Ｐ，Ｘ_i,1＝ｔ_i,1Ｐ，Ｙ_i,0＝ｔ_i,0Ｑ，Ｙ_i,1＝ｔ_i,1Ｑに対して（ｓ_i,0，ｓ_i,1，ｔ_i,0，ｔ_i,1∈Ｚ／ｑＺ；ｉ＝１，…，ｎ），少なくとも（ｓ_i,0，ｔ_i,0），（ｓ_i,1，ｔ_i,1）のどちらかを知っている（以降、知っている値を単に（ｓ_ｉ，ｔ_ｉ）とする）ことをその知識を漏らすことなく他者に証明することを考える。 [Seventh Embodiment]
In this embodiment, elements P, Q, G _{i, 0} = s _{i, 0} P, G _{i, 1} = s _{i, 1} P, H _{i, 0} = s _{i, 0 of} a finite group g of order q. Q, H _{i, 1} = s _{i, 1} Q, X _{i, 0} = t _{i, 0} P, X _{i, 1} = t _{i, 1} P, Y _{i, 0} = t _{i, 0} Q, Y _{i, 1} = T _{i, 1} Q (s _{i, 0} , s _{i, 1} , t _{i, 0} , t _{i, 1} ∈Z / qZ; i = 1,..., N), at least (s _{i, 0} , leaking that knowledge of either (t _{i, 0} ) or (s _{i, 1} , t _{i, 1} ) (hereinafter, the known value is simply referred to as (s _i , t _i )) Think to prove to others.

これは、実施例３においてｎ′＝２とし（すなわち、Ｐ＝Ｐ_１，Ｑ＝Ｐ_２）、実施例５においてｎ″＝２として（すなわち、ｓ_i,o＝ｓ_i,1,0，ｓ_i,1＝ｓ_i,1,1，ｔ_i,o＝ｓ_i,2,0，ｔ_i,1＝ｓ_i,2,1）、これらを組み合わせた場合に相当する。 This is because n ′ = 2 in Example 3 (ie, P = P ₁ , Q = P ₂ ) and n ″ = 2 in Example 5 (ie, s _{i, o} = s _{i, 1,0} , s _{i, 1} = s _{i, 1,1} , t _{i, o} = s _{i, 2,0} , t _{i, 1} = s _{i, 2,1} ), which corresponds to a combination of these.

また、ｎ＝１とすれば、次の非特許文献３と同様の問題である。ここでは、非特許文献３の方法をｉ＝１，…，ｎとｎ（＞１）回繰り返して実行する方法よりも計算コスト、通信コストに優れた方法を示す。
非特許文献３：Ｇ．Ｙamamoto，Ｋ．Ｃhida，Ａ．Ｎascimento，Ｋ．Ｓuzuki，and Ｓ．Ｕchiyama，“Ｅfficient，Ｎon−optimistic Ｓecure Ｃircuit Ｅvaluation Ｂased on the ＥlGamal Ｅncryption,”ＷＩＳＡ２００５，ｐｐ．３２８−３４２，２０００． If n = 1, the problem is the same as in Non-Patent Document 3 below. Here, a method superior in calculation cost and communication cost is shown as compared with a method of repeatedly executing the method of Non-Patent Document 3 i = 1,..., N and n (> 1) times.
Non-Patent Document 3: G.A. Yamamoto, K .; Chida, A .; Nascimento, K.M. Suzuki, and S.R. Uchiyama, “Efficient, Non-optimistic Security Circuit Evaluation on the ElGamal Encryption,” WISA 2005, pp. 328-342, 2000.

以下に、本実施例の処理手順を説明する。図１３は本実施例における知識証明装置１０の処理手順、図１４は知識検証装置２０の処理手順を示す。なお、以下でＲ_０，Ｓ_０，Ｒ_１，Ｓ_１は実施例３で云えばＲ_0,1，Ｒ_0,2，Ｒ_1,1，Ｒ_1,2に対応する。
知識証明装置１０は、入力部１１より（Ｐ，Ｑ，Ｇ_i,0，Ｇ_i,1，Ｈ_i,0，Ｈ_i,1，Ｘ_i,0，Ｘ_i,1，Ｙ_i,0，Ｙ_i,1，ｂ_ｉ，ｓ_ｉ，ｔ_ｉ）（ｉ＝１，…，ｎ）を入力し（ステップ７０１），（ｂ_ｉ，ｓ_ｉ，ｔ_ｉ）（ｉ＝１，…，ｎ）の知識を証明するために以下を実行する。
１．ハッシュ演算部１５により
ｅ＝Ｈ（（Ｇ_1,0‖…‖Ｇ_n,0）‖（Ｇ_1,1‖…‖Ｇ_n,1）‖（Ｈ_1,0‖…‖Ｈ_n,0）‖（Ｈ_1,1‖…‖Ｈ_n,1）‖（Ｘ_1,0‖…‖Ｘ_n,0）‖（Ｘ_1,1‖…‖Ｘ_n,1）‖（Ｙ_1,0‖…‖Ｙ_n,0）‖（Ｙ_1,1‖…‖Ｙ_n,1））を計算する（ステップ７０２）。
２．乱数生成部１２により乱数ｒ，ｖ，ｃ_i,1-bi∈Ｚ／ｑＺを生成する（ステップ７０３）。
３．群加算演算部１３及びスカラー倍演算部１４により、Ｒ_０＝ｒＰ＋Σ_{i|bi=1}ｃ_i,1-bi（Ｇ_i,1-bi＋ｅＸ_i,1-bi），Ｓ_０＝ｒＱ＋Σ_{i|bi=1}ｃ_i,1-bi（Ｈ_i,1-bi＋ｅＹ_i,1-bi），Ｒ_１＝ｖＰ＋Σ_{i|bi=0}ｃ_i,1-bi（Ｇ_i,1-bi＋ｅＸ_i,1-bi），Ｓ_１＝ｖＱ＋Σ_{i|bi=0}ｃ_i,1-bi（Ｈ_i,1-bi＋ｅＹ_i,1-bi）を計算する（ステップ７０４）。
４．ハッシュ演算部１５及び四則演算部１６により
ｃ_１＝Ｈ（（Ｇ_1,0‖…‖Ｇ_n,0）‖（Ｇ_1,1‖…‖Ｇ_n,1）‖（Ｈ_1,0‖…‖Ｈ_n,0）‖（Ｈ_1,1‖…‖Ｈ_n,1）‖（Ｘ_1,0‖…‖Ｘ_n,0）‖（Ｘ_1,1‖…‖Ｘ_n,1）‖（Ｙ_1,0‖…‖Ｙ_n,0）‖（Ｙ_1,1‖…‖Ｙ_n,1）‖Ｒ_０‖Ｓ_０‖Ｒ_１‖Ｓ_１），ｃ_1,bi＝ｃ_１−ｃ_1,1-bi modｑ，ｉ＝２，…，ｎについてｃ_ｉ＝Ｈ（ｃ_i-1‖ｃ_i-1,0），ｃ_i,bi＝ｃ_ｉ−ｃ_i,1-bimodｑを計算する（ステップ７０５）。
５．四則演算部１６により、ｚ_０＝ｒ−Σ_{i|bi=0}ｃ_i,0（ｓ_ｉ＋ｅｔ_i），ｚ_１＝ｖ−Σ_{i|bi=1}ｃ_i,1（ｓ_ｉ＋ｅｔ_i）を計算する（ステップ７０６）。
６．出力部１７より（ｃ_１，ｚ_０，ｚ_１，ｃ_1,0，…，ｃ_n,0）を証明情報として出力する（ステップ７０７）。 Below, the processing procedure of a present Example is demonstrated. FIG. 13 shows a processing procedure of the knowledge proof device 10 in this embodiment, and FIG. 14 shows a processing procedure of the knowledge verification device 20. In the following description, R ₀ , S ₀ , R ₁ and S ₁ correspond to R _0,1 , R _0,2 , R _1,1 and R _1,2 in the third embodiment.
The knowledge proof device 10 is input from the input unit 11 (P, Q, G _{i, 0} , G _{i, 1} , H _{i, 0} , H _{i, 1} , X _{i, 0} , X _{i, 1} , Y _{i, 0} , Y _{i, 1} , b _i , s _i , t _i ) (i = 1,..., N) are input (step 701), (b _i , s _i , t _i ) (i = 1,..., N) To prove your knowledge, do the following:
1. The hash calculation unit 15 makes e = H ((G _1,0 ‖... G _{n, 0} ) ‖ (G _1,1 ‖... G _{n, 1} ) ‖ (H _1,0 ‖... ‖ H _{n, 0} ) ‖ (H _1,1 ‖ ... ‖H _{n, 1} ) ‖ (X _1,0 ‖ ... ‖X _{n, 0} ) ‖ (X _1,1 ‖ ... ‖X _{n, 1} ) ‖ (Y _1,0 ‖ ... ‖Y _{n, 0} ) ‖ (Y _1,1 ‖... ‖Y _{n, 1} )) is calculated (step 702).
2. The random number generator 12 generates random numbers r, v, ci _{, 1-bi} ∈ Z / qZ (step 703).
3. R ₀ = rP + Σ _{{i | bi = 1}} ci _{, 1-bi} (G _{i, 1-bi} + eX _{i, 1-bi} ), S ₀ = rQ + Σ _{{ i | bi = 1}} c _{i, 1-bi} (H _{i, 1-bi} + eY _{i, 1-bi} ), R ₁ = vP + Σ _{{i | bi = 0}} c _{i, 1-bi} (G _{i, 1- _{bi + eX i, 1-bi}} ), S 1 = vQ + Σ {i | bi = 0} c i, 1-bi (H i, 1-bi + eY i, 1-bi) calculating a (step 704).
4). The hash calculation unit 15 and the four arithmetic operation units 16 make c ₁ = H ((G _1,0 ‖ ... ‖G _{n, 0} ) ‖ (G _1,1 ‖ ... ‖G _{n, 1} ) ‖ (H _1,0 ‖ ... ‖H _{n, 0} ) ‖ (H _1,1 ‖… ‖H _{n, 1} ) ‖ (X _1,0 ‖… ‖X _{n, 0} ) ‖ (X _1,1 ‖… ‖ X _{n, 1} ) ‖ ( Y _1,0 ‖ ... ‖Y _{n, 0} ) ‖ (Y _1,1 ‖ ... ‖ Y _{n, 1} ) ‖ R ₀ ‖S ₀ ‖R ₁ ＝ S ₁ ), c _{1, bi} = c ₁ −c _{1 , 1−bi} modq, i = 2,..., N, c _i = H (c _i−1 ‖c _i−1,0 ), c _{i, bi} = c _i −c _{i, 1−bi} modq (Step 705).
5). The four arithmetic units 16 make z ₀ = r−Σ _{{i | bi = 0}} c _{i, 0} (s _i + et _i ), z ₁ = v−Σ _{{i | bi = 1}} c _{i, 1} (s _i + Et _i ) is calculated (step 706).
6). (C ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) are output from the output unit 17 as proof information (step 707).

次に、証明情報を検証する手続きについて説明する。知識検証装置２０は、入力部２１より（Ｐ，Ｑ，Ｇ_i,0，Ｇ_i,1，Ｈ_i,0，Ｈ_i,1，Ｘ_i,0，Ｘ_i,1，Ｙ_i,0，Ｙ_i,1，ｃ_１，ｚ_０，ｚ_１，ｃ_１，０，…，ｃ_n,0）（ｉ＝１，…，ｎ）を入力し（ステップ７１１）、知識証明装置１０が、Ｇ_i,bi＝ｓ_ｉＰ，Ｈ_i,bi＝ｓ_ｉＱ，Ｘ_i,bi＝ｔ_ｉＰ，Ｙ_i,bi＝ｔ_ｉＱ（ｉ＝１，…，ｎ）を満たす（ｂ_ｉ，ｓ_ｉ，ｔ_ｉ）（ｉ＝１，…，ｎ）を知っている（保持している）かどうか検証するために以下を実行する。
１.ハッシュ演算部２４により
ｅ′＝Ｈ（（Ｇ_1,0‖…‖Ｇ_n,0）‖（Ｇ_1,1‖…‖Ｇ_n,1）‖（Ｈ_1,0‖…‖Ｈ_n,0）‖（Ｈ_1,1‖…‖Ｈ_n,1）‖（Ｘ_1,0‖…‖Ｘ_n,0）‖（Ｘ_1,1‖…‖Ｘ_n,1）‖（Ｙ_1,0‖…‖Ｙ_n,0）‖（Ｙ_1,1‖…‖Ｙ_n,1））を計算する（ステップ７１２）。
２．ｃ_１′＝ｃ_１とし、四則演算部２５及びハッシュ演算部２４によりｃ_1,1′＝ｃ_１′−ｃ_1,0 modｑ，ｉ＝２，…，ｎについてｃ_ｉ′＝Ｈ（ｃ_i-1′‖ｃ_i-1,0），ｃ_i,1′＝ｃ_ｉ′−ｃ_i,0 modｑを計算する（ステップ７１３）。
３．群加算演算部２２及びスカラー倍演算部２３により
Ｒ_０′＝ｚ_０Ｐ＋Σ_i=1 ⁿｃ_i,0（Ｇ_i,0＋ｅ′Ｘ_i,0），Ｓ_０′＝ｚ_０Ｑ＋Σ_i=1 ⁿｃ_i,0（Ｈ_i,0＋ｅ′Ｙ_i,0），Ｒ_１′＝ｚ_１Ｐ＋Σ_i=1 ⁿｃ_i,1′（Ｇ_i,1＋ｅ′Ｘ_i,1），Ｓ_１′＝ｚ_１Ｑ＋Σ_i=1 ⁿｃ_i,1（Ｈ_i,1＋ｅ′Ｙ_i,1）を計算する（ステップ７１４）。
４．ハッシュ演算部２４により
ｃ_１″＝Ｈ（（Ｇ_1,0‖…‖Ｇ_n,0）‖（Ｇ_1,1‖…‖Ｇ_n,1）‖（Ｈ_1,0‖…‖Ｈ_n,0）‖（Ｈ_1,1‖…‖Ｈ_n,1）‖（Ｘ_1,0‖…‖Ｘ_n,0）‖（Ｘ_1,1‖…‖Ｘ_n,1）‖（Ｙ_1,0‖…‖Ｙ_n,0）‖（Ｙ_1,1‖…‖Ｙ_n,1）‖Ｒ_０′‖Ｓ_０′‖Ｒ_１′‖Ｓ_１′）を計算する（ステップ７１５）。
５．比較部２６によりｃ_１＝ｃ_１″が成り立つかどうか検証する（ステップ７１６）。そして、出力部２７より、成り立てば検証成功として１を出力し、成り立たなければ検証失敗として０を出力する。 Next, a procedure for verifying certification information will be described. The knowledge verification device 20 receives input from the input unit 21 (P, Q, Gi _{, 0} , Gi _{, 1} , _{Hi, 0} , _{Hi, 1} , Xi _{, 0} , Xi _{, 1} , Yi _{, 0} , Y _{i, 1} , c ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) (i = 1,..., N) are input (step 711), and the knowledge proof device 10 _{i, bi} = s _i P, H _{i, bi} = s _i Q, X _{i, bi} = t _i P, Y _{i, bi} = t _i Q (i = 1,..., n) are satisfied (b _i , s _In order to verify whether _i , t _i ) (i = 1,..., n) are known (held), the following is performed.
1. The hash calculation unit 24 makes e ′ = H ((G _1,0 ‖ ... ‖G _{n, 0} ) ‖ (G _1,1 ‖ ... ‖G _{n, 1} ) ‖ (H _1,0 ‖ ... ‖H _{n , 0} ) ‖ (H _1,1 ‖ ... ‖H _{n, 1} ) ‖ (X _1,0 ‖ ... ‖X _{n, 0} ) ‖ (X _1,1 ‖ ... ‖X _{n, 1} ) ‖ (Y _{1, 0} || ... ‖Y _{n, 0)} || (Y _{1, 1} || ... ‖Y _n, 1)) to calculate the (step 712).
2. c ₁ ′ = c ₁ and the four arithmetic operation unit 25 and the hash operation unit 24 perform c _i ′ = H (c _{i for} c _1,1 ′ = c ₁ ′ −c _1,0 modq, i = 2,. _{_{_{-1 '‖c i-1,0),}}} c i, 1' = c i '-c i, 0 modq calculates the (step 713).
3. R ₀ ′ = z ₀ P + Σ _{i = 1} ⁿ c _{i, 0} (G _{i, 0} + e′X _{i, 0} ), S ₀ ′ = z ₀ Q + Σ _{i = 1 by the} group addition operation unit 22 and the scalar multiplication operation unit 23. ⁿ c _{i, 0} (H _{i, 0} + e′Y _{i, 0} ), R ₁ ′ = z ₁ P + Σ _{i = 1} ⁿ c _{i, 1} ′ (G _{i, 1} + e′X _{i, 1} ), S ₁ ′ _{_{= z 1 Q + Σ i =}} 1 n c i, 1 (H i, 1 + e'Y i, 1) to calculate the (step 714).
4). The hash calculator 24 makes c ₁ ″ = H ((G _1,0 ‖ ... ‖G _{n, 0} ) ‖ (G _1,1 ‖ ... ‖G _{n, 1} ) ‖ (H _1,0 ‖ ... ‖H _{n, 0} ) ‖ (H _1,1 ‖ ... ‖H _{n, 1} ) ‖ (X _1,0 ‖ ... ‖X _{n, 0} ) ‖ (X _1,1 ‖ ... ‖ X _{n, 1} ) ‖ (Y _1,0 ‖ ... ‖Y _{n, 0} ) ‖ (Y _1,1 ‖ ... ‖Y _{n, 1} ) ‖R ₀ ′ ‖S ₀ ′ ‖R ₁ ′ ‖S ₁ ′) is calculated (step 715).
5). The comparator 26 verifies whether or not c ₁ = c ₁ ″ is satisfied (step 716). The output unit 27 outputs 1 as a verification success, and outputs 0 as a verification failure when it does not hold.

いま、計算コストをスカラー倍演算の処理回数で評価すると、非特許文献３の方法では知識証明装置が８ｎ回、知識検証装置が１２ｎ回のスカラー倍演算を行うのに対し、本発明では知識証明装置が４ｎ＋４回、知識検証装置が８ｎ＋４回のスカラー倍演算で済む。また、証明情報となる知識証明装置の出力ビット長は、非特許文献１の方法では４ｎ｜ｑ｜であるのに対し、本発明では（ｎ＋３）｜ｑ｜ビットで済む。 Now, when the calculation cost is evaluated by the number of times of scalar multiplication, in the method of Non-Patent Document 3, the knowledge proof device performs 8n times and the knowledge verification device performs 12n times of scalar multiplication. The device needs 4n + 4 times and the knowledge verification device needs 8n + 4 times scalar multiplication. In addition, the output bit length of the knowledge proof device as proof information is 4n | q | in the method of Non-Patent Document 1, whereas in the present invention, (n + 3) | q |

［第８の実施の形態］
実施例１から７までは知識証明装置及び知識検証装置が非対話で証明検証を行う実施形態について述べた。即ち、各装置が相互通信を行うのではなく、知識証明装置から、あるいは知識検証装置からの一方的な通信となる。これにより各装置が同期をとる必要がない等のメリットがあるが、実施例１から７までを対話的に実行するように変更することは容易である。そこで本実施例では、実施例１について知識証明装置及び知識検証装置が対話的に実行する実施形態について述べる。 [Eighth Embodiment]
In the first to seventh embodiments, the embodiment in which the knowledge proof device and the knowledge verification device perform proof verification in a non-interactive manner has been described. That is, each device does not perform mutual communication, but is unilateral communication from the knowledge proof device or from the knowledge verification device. Thus, there is a merit that each device does not need to be synchronized, but it is easy to change the first to seventh embodiments so as to be executed interactively. In this embodiment, an embodiment in which the knowledge proof device and the knowledge verification device interactively execute the embodiment 1 will be described.

本実施例では、実施例１と同じく、ある位数ｑの有限群ｇの元Ｐ，Ｇ_i,0＝ｓ_i,0Ｐ，Ｇ_i,1＝ｓ_i,1Ｐに対して（ｓ_i,0，ｓ_i,1∈Ｚ／ｑＺ，ｉ＝１，…，ｎ）、少なくともｓ_i,0，ｓ_i-1のどちらかを知っている（以降，知っている値を単にｓ_ｉとする）ことをその知識を漏らすことなく他者に証明する方法を示す。 In the present embodiment, as in the first embodiment, the element P, G _{i, 0} = s _{i, 0} P, G _{i, 1} = s _{i, 1} P of a finite group g of order q is represented by (s _{i , 0} , s _{i, 1} ∈ Z / qZ, i = 1,..., N), at least one of s _{i, 0} , s _i−1 (hereinafter, the known value is simply referred to as s _i Show how to prove to others without revealing their knowledge.

図１５に本実施例の処理手順を示す。システム構成は図１と同様であるが、知識検証装置２０でも乱数生成部を具備する構成となる。以下では、これを乱数生成部２８とする。 FIG. 15 shows the processing procedure of this embodiment. The system configuration is the same as that shown in FIG. 1, but the knowledge verification device 20 also includes a random number generation unit. Hereinafter, this is referred to as a random number generation unit 28.

知識証明装置１０は入力部１１より（Ｐ，Ｇ_i,0，Ｇ_i,1，ｂ_ｉ，ｓ_ｉ）を入力し（ｉ＝１，…，ｎ），知識検証装置２０は入力部２１より（Ｐ，Ｇ_i,0，Ｇ_i,1）を入力し（ｉ＝１，…，ｎ），知識証明装置１０は（ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）の知識を知識検証装置２０に証明するために、また、知識検証装置２０は知識証明装置１０がＧ_ｉ，ｂ_ｉ＝ｓ_ｉＰを満たす（ｂ_ｉ，ｓ_ｉ）（ｉ＝１，…，ｎ）を知っている（保持している）かどうか検証するために、対話的に以下を実行する。
１．知識証明装置１０は、乱数生成部１２により乱数ｒ，ｖ，ｃ_i,1-bi∈Ｚ／ｑＺを生成し、群加算演算部１３及びスカラー倍演算部１４によりＲ_０＝ｒＰ＋Σ_{i|bi=1}ｃ_i,0Ｇ_i,0，Ｒ_１＝ｖＰ＋Σ_{i|bi=0}ｃ_i,1Ｇ_i,1を計算し、（Ｒ_０，Ｒ_１）を知識検証装置２０に送信する。
２．ｉ＝１，…，ｎについて順に以下を行う。
（ａ）知識検証装置２０は、乱数生成部２８により乱数ｃ_ｉ∈Ｚ／ｑＺを生成し、知識証明装置１０に送信する。
（ｂ）知識証明装置１０は、四則演算部１６によりｃ_i,bi＝ｃ_ｉ−ｃ_i,1-bi modｑを計算し、ｃ_i,0を知識検証装置２０に送信する。
３．知識証明装置１０は、四則演算部１６によりｚ_０＝ｒ−Σ_{i|bi=0}ｃ_i,0ｓ_ｉ，ｚ_１＝ｖ−Σ_{i|bi=1}ｃ_i,1ｓ_ｉを計算し、（ｚ_０，ｚ_１）を知識検証装置２０に送信する。
４．知識検証装置２０は、四則演算部２５より、ｃ_i,1′＝ｃ_ｉ−ｃ_i,0 modｑを計算し、群加算演算部２２及びスカラー倍演算部２３によりＲ_０′＝ｚ_０Ｐ＋Σ_i=1 ⁿｃ_i,0Ｇ_i,0，Ｒ_１′＝ｚ_１Ｐ＋Σ_i=1 ⁿｃ_i,1′Ｇ_i,1を計算し、比較部２６によりＲ_０＝Ｒ_０′かつＲ_１＝Ｒ_１′が成り立つかどうか検証し、出力部２７より、成り立てば検証成功として１を出力し、成り立たなければ検証失敗として０を出力する。 The knowledge proof device 10 inputs (P, G _{i, 0} , G _{i, 1} , b _i , s _i ) from the input unit 11 (i = 1,..., N), and the knowledge verification device 20 from the input unit 21. (P, G _{i, 0} , G _{i, 1} ) is input (i = 1,..., N), and the knowledge proof device 10 obtains the knowledge of (b _i , s _i ) (i = 1,..., N). In order to prove to the knowledge verification device 20, the knowledge verification device 20 also satisfies that (b _i , s _i ) (i = 1,..., N) that the knowledge proof device 10 satisfies G _i , b _i = s _i P. To verify whether you know (hold), do the following interactively:
1. The knowledge proof device 10 generates a random number r, v, ci _{, 1-bi} ∈ Z / qZ by the random number generation unit 12, and R ₀ = rP + Σ _{{i | bi} by the group addition calculation unit 13 and the scalar multiplication calculation unit 14. _{= 1}} c _{i, 0} G _{i, 0} , R ₁ = vP + Σ _{{i | bi = 0}} c _{i, 1} G _{i, 1} is calculated, and (R ₀ , R ₁ ) is transmitted to the knowledge verification device 20 .
2. The following is performed in order for i = 1,.
(A) The knowledge verification device 20 generates a random number c _i εZ / qZ by the random number generation unit 28 and transmits it to the knowledge proof device 10.
(B) The knowledge proof device 10 calculates c _{i, bi} = c _i −c _{i, 1−bi} modq by the four arithmetic operation unit 16 and transmits c _{i, 0} to the knowledge verification device 20.
3. The knowledge proof device 10 uses the four arithmetic operation unit 16 to make z ₀ = r−Σ _{{i | bi = 0}} ci _{, 0} s _i , z ₁ = v−Σ _{{i | bi = 1}} ci _{, 1} s _i And (z ₀ , z ₁ ) is transmitted to the knowledge verification device 20.
4). The knowledge verification device 20 calculates c _{i, 1} ′ = c _i −c _{i, 0} modq from the four arithmetic operations unit 25, and R ₀ ′ = z ₀ P + Σ _i by the group addition operation unit 22 and the scalar multiplication operation unit 23. _{= 1} ⁿ c _{i, 0} G _{i, 0} , R ₁ ′ = z ₁ P + Σ _{i = 1} ⁿ c _{i, 1} ′ G _{i, 1} is calculated, and the comparator 26 calculates R ₀ = R ₀ ′ and R ₁ = It is verified whether or not R ₁ ′ is satisfied, and if it is satisfied, 1 is output as a verification success, and if it is not satisfied, 0 is output as a verification failure.

以上のようにして実施例１について知識証明装置１０及び知識検証装置２０が対話的に実行することが可能であるが、他の実施例の場合も同様にして対話的に実行することが可能である。 As described above, the knowledge proof device 10 and the knowledge verification device 20 can interactively execute the first embodiment, but can be interactively executed in other embodiments as well. is there.

なお、図１で示した知識証明装置１０及び知識検証装置２０における各部の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図２以降で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。 The processing functions of some or all of the components in the knowledge proof device 10 and the knowledge verification device 20 shown in FIG. 1 are configured by a computer program, and the program is executed using the computer to realize the present invention. Needless to say, the processing procedures shown in FIG. 2 and subsequent figures can be configured by a computer program and the program can be executed by the computer. In addition, a computer-readable recording medium such as an FD, MO, ROM, memory card, CD, or the like is stored in the computer. In addition, the program can be recorded and stored on a DVD, a removable disk, etc., and the program can be distributed through a network such as the Internet.

本発明の実施形態のシステム構成を示す図。The figure which shows the system configuration | structure of embodiment of this invention. 本発明の第１の実施形態の知識証明装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge proof device of the 1st Embodiment of this invention. 図２のステップ１０３の処理フローを示す図。The figure which shows the processing flow of step 103 of FIG. 図２のステップ１０５の処理フローを示す図。The figure which shows the processing flow of step 105 of FIG. 本発明の第１の実施形態の知識検証装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge verification apparatus of the 1st Embodiment of this invention. 本発明の第２の実施形態の知識検証装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge verification apparatus of the 2nd Embodiment of this invention. 本発明の第３の実施形態の知識証明装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge proof device of the 3rd Embodiment of this invention. 本発明の第３の実施形態の知識検証装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge verification apparatus of the 3rd Embodiment of this invention. 本発明の第４の実施形態の知識検証装置側の処理手順を示す図。The figure which shows the process sequence by the knowledge verification apparatus side of the 4th Embodiment of this invention. 本発明の第５の実施形態の知識証明装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge proof device of the 5th Embodiment of this invention. 本発明の第５の実施形態の知識検証装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge verification apparatus of the 5th Embodiment of this invention. 本発明の第６の実施形態の知識検証装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge verification apparatus of the 6th Embodiment of this invention. 本発明の第７の実施形態の知識証明装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge proof device of the 7th Embodiment of this invention. 本発明の第７の実施形態の知識検証装置側の処理手順を示す図。The figure which shows the process sequence by the side of the knowledge verification apparatus of the 7th Embodiment of this invention. 本発明の第８の実施形態の知識証明装置及び知識検証装置間の処理手順を示す図。The figure which shows the process sequence between the knowledge proof apparatus and knowledge verification apparatus of the 8th Embodiment of this invention.

１０知識証明装置
１１入力部
１２乱数生成部
１３群加算演算部
１４スカラー倍演算部
１５ハッシュ演算部
１６四則演算部
１７出力部
２０知識検証装置
２１入力部
２２群加算演算部
２３スカラー倍演算部
２４ハッシュ演算部
２５四則演算部
２６比較部
２７出力部
DESCRIPTION OF SYMBOLS 10 Knowledge proof apparatus 11 Input part 12 Random number generation part 13 Group addition operation part 14 Scalar multiplication operation part 15 Hash operation part 16 Four arithmetic operation part 17 Output part 20 Knowledge verification apparatus 21 Input part 22 Group addition operation part 23 Scalar multiplication operation part 24 Hash operation unit 25 Four arithmetic operation units 26 Comparison unit 27 Output unit

Claims

A finite group g, its order q, an element P of the g, n bits b _i , n integers s _i , 2n g elements G _{i, 0} , G _{i, 1} are input (i = 1, 2,..., N, where n is an arbitrary natural number greater than or equal to 2), G _{i, bi} = a knowledge proof device that proves knowledge of (b _i , s _i ) for s _i P , and said knowledge proof A knowledge proof verification system comprising a knowledge verification device for verifying knowledge proof by a device,
The knowledge proof device comprises:
Means for generating random numbers r, v, ci _{, 1-bi} ;

(Where {i | b _i = 1} means a set of i such that b _i = 1 for i = 1,..., N. The same applies to {i | b _i = 0} . ),
c ₁ = H (G _1,0 ‖ ... ‖ G _{n, 0} ‖G _1,1 ‖ ... ‖ G _{n, 1} ‖R ₀ ‖R ₁ ), c _{1, bi} = c ₁ -c _1,1-bi For modq, i = 2,..., n, means for calculating c _i = H (c _i−1 ‖c _i−1,0 ), c _{i, bi} = c _i −c _{i, 1−bi} modq ( Here, H is a one-way hash function, “‖” means a data concatenation symbol),

A means of calculating
Means for outputting (c ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) as proof information ;
The knowledge verification device includes:
Means for inputting proof information (c ₁ , z ₀ , z ₁ , c _{i, 0} ) and P, G _{i, 0} , G _{i, 1} (i = 1,..., N) output by the knowledge proof device ; ,
'and _{_{= c 1, c 1,1' c}} 1 = c 1 '-c 1,0 modq, i = 2, ..., for _{n, c i' = H (} c i-1 '‖c i-1, ₀ ), c _{i, 1} ′ = c _i ′ −c _{i, 0} modq;

A means of calculating
means for calculating c ₁ ″ = H (G _1,0 ‖ ... ‖G _{n, 0} ‖G _1,1 ‖ ... ‖ G _{n, 1} R ₀ ′ ‖R ₁ ′);
means for verifying whether c ₁ = c ₁ ″ holds,
Knowledge proof verification system characterized by that.

A finite group g, its order q, the element P of the g, n bits b _ｉi , N integers s _ｉi , N g elements G _{i,0i, 0} , G _{i,1i, 1} (I = 1, 2,..., N, where n is an arbitrary natural number greater than or equal to 2), and G _{i,bii, bi} = S _ｉi (B for P _ｉi , S _ｉi A knowledge proof verification system comprising a knowledge proof device for proof of knowledge and a knowledge verification device for verifying a knowledge proof by the knowledge proof device,
The knowledge proof device comprises:
Random numbers r, v, c _{i,1-bii, 1-bi} Means for generating

A means of calculating
c _１1 = H (G _1,01,0 ‖… ‖G _{n,0n, 0} ‖G _1,11,1 ‖… ‖G _{n,1n, 1} ‖R _０0 ‖R _１1 ), C _{1,bi1, bi} = C _１1 -C _1,1-bi1,1-bi mod q, i = 2,. _ｉi = H (c _i-1i-1 ‖C _i-1,0i-1,0 ), C _{i,bii, bi} = C _ｉi -C _{i,1-bi i, 1-bi} means for calculating modq;

A means of calculating
As proof information (R _０0 , R _１1 , Z _０0 , Z _１1 , C _1,01,0 , ..., c _{n,0n, 0} )
The knowledge verification device includes:
Proof information (R) output by the knowledge proof device _０0 , R _１1 , Z _０0 , Z _１1 , C _{i,0i, 0} ) And (P, G _{i,0i, 0} , G _{i,1i, 1} ) (I = 1,..., N) input means;
c _１1 '= H (G _1,01,0 ‖… ‖G _{n,0n, 0} ‖G _1,11,1 ‖… ‖G _{n,1n, 1} ‖R _０0 ‖R _１1 ), C _1,11,1 '= C _１1 '-C _1,01,0 mod q, i = 2,. _ｉi '= H (c _i-1i-1 ′ ‖C _i-1,0i-1,0 ), C _{i,1i, 1} '= C _ｉi '-C _{i,0i, 0} means for calculating modq;

A means of calculating
R _０0 = R _０0 'And R _１1 = R _１1 Having means for verifying whether ′ holds,
Knowledge proof verification system characterized by that.

A finite group g, a position number q, the g of n 'number of elements _P j, n bits _b i, n integers _s i, 2nn' number of g of the original G _{i, j, 0,} G _{i, j, 1} (i = 1, 2,..., n, j = 1, 2,..., n ′, where n and n ′ are any natural numbers greater than or equal to 2), and G _{i, j, A} knowledge proof verification system comprising a knowledge proof device that proves knowledge of (b _i , s _i ) for _bi = s _i P _j and a knowledge verification device that verifies the knowledge proof by the knowledge proof device,
The knowledge proof device comprises:
Means for generating random numbers r, v, ci _{, 1-bi} ;

A means of calculating
c ₁ = H ((G _1,1,0 ‖ ... ‖G _{1, n ', 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖ G _{n, n', 0} ) ‖ (G _{1,1 , 1} ‖ ... ‖G _{1, n ', 1} ) ‖ ... ‖ (G _{n, 1,1} ‖ ... ‖G _{n, n', 1} ) ‖R _0,1 ‖… ‖R _{0, n '} ‖R _{1 ,} 1‖ ... ‖R _{1, n '} ), c _{1, bi} = c ₁ -c _1,1-bi modq, i = 2, ..., n, c _i = H (c _i-1 ‖c _{i- 1,0} ), c _{i, bi} = c _i −c _{i, 1-bi} modq;

A means of calculating
Means for outputting (c ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) as proof information ,
The knowledge verification device includes:
Proof information (c ₁ , z ₀ , z ₁ , c _{i, 0} ) and P _j , G _{i, j, 0} , G _{i, j, 1} (i = 1,..., N, j = 1,..., n ′),
'and _{_{= c 1, c 1,1' c}} 1 = c 1 '-c 1,0 modq, i = 2, ..., for _{n, c i' = H (} c i-1 '‖c i-1, ₀ ), c _{i, 1} ′ = c _i ′ −c _{i, 0} modq;

A means of calculating
c ₁ ″ = H ((G _1,1,0 ‖ ... ‖G _{1, n ', 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖ G _{n, n', 0} ) ‖ (G _{1, 1,1} ‖ ... ‖G _{1, n ', 1} ) ‖ ... ‖ (G _{n, 1,1} ‖ ... ‖G _{n, n', 1} ) ‖R _0,1 ′ ‖… ‖R _{0, n '} ′ Means to calculate ‖R _1,1 ′ ‖… ‖ R _{1, n ′} ′),
means for verifying whether c ₁ = c ₁ ″ holds,
Knowledge proof verification system characterized by that.

A certain finite group g, its order q, and n ′ elements P of g _ｊj , N bits b _ｉi , N integers s _ｉi , 2nn 'g elements G _{i,j,0i, j, 0} , G _{i,j,1i, j, 1} (I = 1, 2,..., N, j = 1, 2,..., N ′, where n and n ′ are arbitrary natural numbers greater than or equal to 2), G _{i,j,bii, j, bi} = S _ｉi P _ｊj Against (b _ｉi , S _ｉi A knowledge proof verification system comprising a knowledge proof device for proof of knowledge and a knowledge verification device for verifying a knowledge proof by the knowledge proof device,
The knowledge proof device comprises:
Random numbers r, v, c _{i,1-bii, 1-bi} Means for generating

A means of calculating
c _１1 = H ((G _1,1,01,1,0 ‖… ‖G _{1,n’,01, n ’, 0} ) ‖ ... ‖ (G _{n,1,0n, 1,0} ‖… ‖G _{n,n’,0n, n ’, 0} ) ‖ (G _1,1,11,1,1 ‖… ‖G _{1,n’,11, n ’, 1} ) ‖ ... ‖ (G _{n,1,1n, 1,1} ‖… ‖G _{n,n’,1n, n ’, 1} ) ‖R _0,10,1 ‖… ‖R _{0,n’0, n ’} ‖R _1,11,1 ‖… ‖R _{1,n’1, n ’} ), C _{1,bi1, bi} = C _１1 -C _1,1-bi1,1-bi mod q, i = 2,. _ｉi = H (c _i-1i-1 ‖C _i-1,0i-1,0 ), C _{i,bii, bi} = C _ｉi -C _{i,1-bii, 1-bi} means for calculating modq;

A means of calculating
As proof information, (R _0,10,1 , ..., R _{0,n’0, n ’} , R _1,11,1 , ..., R _{1,n’1, n ’} , Z _０0 , Z _１1 , C _1,01,0 , ..., c _{n,0n, 0} )
The knowledge verification device includes:
Proof information (R) output by the knowledge proof device _{0,j0, j} , R _{1,j1, j} , Z _０0 , Z _１1 , C _{i,0i, 0} ) And P _ｊj , G _{i,j,0i, j, 0} , G _{i,j,1i, j, 1} Means for inputting (i = 1,..., N, j = 1,..., N ′);
c _１1 '= H ((G _1,1,01,1,0 ‖… ‖G _{1,n’,01, n ’, 0} ) ‖ ... ‖ (G _{n,1,0n, 1,0} ‖… ‖G _{n,n’,0n, n ’, 0} ) ‖ (G _1,1,11,1,1 ‖… ‖G _{1,n’,11, n ’, 1} ) ‖ ... ‖ (G _{n,1,1n, 1,1} ‖… ‖G _{n,n’,1n, n ’, 1} ) ‖R _0,10,1 ‖… ‖R _{0,n’0, n ’} ‖R _1,11,1 ‖… ‖R _{1,n’1, n ’} ), C _1,11,1 '= C _１1 '-C _1,01,0 mod q, i = 2, c for n _１1 '= H (c _1-11-1 ′ ‖C _i-1,0i-1,0 ), C _{i,1i, 1} '= C _ｉi '-C _{i,0i, 0} means for calculating modq;

A means of calculating
R for all j _{0,j0, j} = R _{0,j0, j} 'And R _{1,j1, j} = R _{1,j1, j} Having means for verifying whether ′ holds,
Knowledge proof verification system characterized by that.

A finite group g, its order q, the element P of the g, n bits b _i , nn ″ integers _{si, j} , 2nn ″ g elements G _{i, j, 0} , G _{i, j , 1} (i = 1, 2,..., N, j = 1, 2,..., N ″, where n and n ″ are any natural numbers greater than or equal to 2), G _{i, j, bi} = s a knowledge proof verification system comprising a knowledge proof device for proof of knowledge of (b _i , s _{i, j} ) for _{i, j} P _, and a knowledge verification device for verifying knowledge proof by the knowledge proof device,
The knowledge proof device comprises:
e _j = H ((G _1,1,0 || _{... ‖G 1, n ", 0} ) || ... ‖ (G _{n, 1,0} || _{... ‖G n, n", 0} ) || (G _{1,1 , 1} ‖ ... ‖G _{1, n ″, 1} ) ‖… ‖ (G _{n, 1,1} ‖G _{n, n ″, 1} ‖j),
Means for generating random numbers r, v, ci _{, 1-bi} ;

A means of calculating
c ₁ = H ((G _1,1,0 ‖ ... ‖G _{1, n ″, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ″, 0} ) ‖ (G _{1,1 ,} 1‖ ... ‖G _{1, n ″, 1} ) ‖… ‖ (G _{n, 1,1} ‖ ... ‖G _{n, n ″, 1} ) ‖R ₀ ‖R ₁ ), c _{i, bi} = c ₁ − For c _1,1-bi modq, i = 2,..., n, c _i = H (c _i-1 ‖c _i-1,0 ), c _{i, bi} = c _i −c _{i, 1-bi} modq A means of calculating

A means of calculating
Means for outputting (c ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) as proof information ,
The knowledge verification device includes:
Proof information (c ₁ , z ₀ , z ₁ , c _{i, 0} ) and P, G _{i, j, 0} , G _{i, j, 1} ) (i = 1,..., N, j = 1,..., n ″),
_{e j '= H ((G} 1,1,0 || _{... ‖G 1, n ", 0} ) || ... ‖ (G _{n, 1,0} || _{... ‖G n, n", 0} ) || (G _{1, 1,1} ‖ ... ‖G _{1, n ″, 1} ) ‖… ‖ (G _{n, 1,1} ‖ ... ‖G _{n, n ″, 1} ) ‖j),
'and _{_{= c 1, c 1,1' c}} 1 = c 1 '-c 1,0 modq, i = 2, ..., for _{n, c i' = H (} c i-1 '‖c i-1, ₀ ), c _{i, 1} ′ = c _i ′ −c _{i, 0} modq;

A means of calculating
_{c 1 "= H ((G} 1,1,0 || _{... ‖G 1, n", 0} ) || ... || (G _{n, 1, 0} || _{... ‖G n, n ", 0} ) || (G _{1, 1,1} ‖ ... ‖G _{1, n ″, 1} ) ‖… Ｇ (G _{n, 1,1} ‖ ... ‖G _{n, n ″, 1} ) means for calculating ‖R ₀ ′ ‖R ₁ ′);
means for verifying whether c ₁ = c ₁ ″ holds,
Knowledge proof verification system characterized by that.

A finite group g, its order q, the element P of the g, n bits b _i , nn ″ integers _{si, j} , 2nn ″ g elements G _{i, j, 0} , G _{i, j , 1} (i = 1, 2,..., N, j = 1, 2,..., N ″, where n and n ″ are any natural numbers greater than or equal to 2), G _{i, j, bi} = s a knowledge proof verification system comprising a knowledge proof device for proof of knowledge of (b _i , s _{i, j} ) for _{i, j} P _, and a knowledge verification device for verifying knowledge proof by the knowledge proof device,
The knowledge proof device comprises:
e _j = H ((G _1,1,0 || _{... ‖G 1, n ", 0} ) || ... ‖ (G _{n, 1,0} || _{... ‖G n, n", 0} ) || (G _{1,1 , 1} ‖ ... ‖G _{1, n ″, 1} ) ‖… ‖ (G _{n, 1,1} ‖G _{n, n ″, 1} ‖j),
Means for generating random numbers r, v, c _i-1-bi ;

A means of calculating
Means for outputting (R ₀ , R ₁ , z ₀ , z ₁ , c _1,0 ,..., C _{n, 0} ) as proof information ,
The knowledge verification device includes:
Proof information (R ₀ , R ₁ , z ₀ , z ₁ , c _{i, 0} ) and P, G _{i, j, 0} , G _{i, j, 1} (i = 1,. n, j = 1,..., n ″),
_{e j '= H ((G} 1,1,0 || _{... ‖G 1, n ", 0} ) || ... ‖ (G _{n, 1,0} || _{... ‖G n, n", 0} ) || (G _{1, 1,1} ‖ ... ‖G _{1, n ″, 1} ) ‖… ‖ (G _{n, 1,1} ‖ ... ‖G _{n, n ″, 1} ) ‖j),
c ₁ ′ = H ((G _1,1,0 ‖ ... ‖G _{1, n ″, 0} ) ‖ ... ‖ (G _{n, 1,0} ‖ ... ‖G _{n, n ″, 0} ) ‖ (G _{1, 1,1} || _{... ‖G 1, n ", 1} ) || ... || _{(G n, 1,1} || _{... ‖G n, n", 1} ) ‖R 0 ‖R 1), c 1,1 '= c _{_{1 '-c 1,0 modq, i =}} 2, ..., for _{n, c 1' = H (} c i-1 '‖c i-1,0), c i, 1' = c i '-c i _{, 0} means for calculating modq;

A means of calculating
Means for verifying whether R ₀ = R ₀ ′ and R ₁ = R ₁ ′ hold,
Knowledge proof verification system characterized by that.

A finite group g, its order q, the elements P, Q, and n bits b of the g _ii , 2n integers s _{i,b_ii, b_i} , T _{i,b_ii, b_i} , (I = 1, 2,..., N, where n is an arbitrary natural number of 2 or more), 8n g elements G _{i,0i, 0} = S _{i,0i, 0} P, G _{i,1i, 1} = S _{i,1i, 1} P, H _{i,0i, 0} = S _{i,0i, 0} Q, H _{i,1i, 1} = S _{i,1i, 1} Q, X _{i,0i, 0} = T _{i,0i, 0} P, X _{i,1i, 1} = T _{i,1i, 1} P, Y _{i,0i, 0} = T _{i,0i, 0} Q, Y _{i,1i, 1} = T _{i,1i, 1} Enter Q,
(B _ii , s _{i,0i, 0} , t _{i,0i, 0} ) Or (b _ii , s _{i,1i, 1} , t _{i,1i, 1} A knowledge proof verification system comprising a knowledge proof device for proof of knowledge and a knowledge verification device for verifying a knowledge proof by the knowledge proof device,
The knowledge proof device uses random numbers r, v, c. _{i,1-bii, 1-bi} Means for generating
e = H ((G _1,01,0 ‖… ‖G _{n,0n, 0} ) ‖ (G _1,11,1 ‖… ‖G _{n,1n, 1} ) ‖ (H _1,01,0 ‖… ‖H _{n,0n, 0} ) ‖ (H _1,11,1 ‖… ‖H _{n,1n, 1} ) ‖ (X _1,01,0 ‖… ‖X _{n,0n, 0} ) ‖ (X _1,11,1 ‖… ‖X _{n,1n, 1} ) ‖ (Y _1,01,0 ‖ ... ‖Y _{n,0n, 0} ) ‖ (Y _1,11,1 ‖ ... ‖Y _{n,1n, 1} )) Means to calculate,
R _０0 = RP + Σ _{{i|bi=1}{i | bi = 1}} c _{i,1-bii, 1-bi} (G _{i,1-bii, 1-bi} + EX _{i,1-bii, 1-bi} ), S _０0 = RQ + Σ _{{i|bi=1}{i | bi = 1}} c _{i,1-bii, 1-bi} (H _{i,1-bii, 1-bi} + EY _{i,1-bii, 1-bi} ), R _１1 = VP + Σ _{{i|bi=0}{i | bi = 0}} c _{i,1-bii, 1-bi} (G _{i,1-bii, 1-bi} + EX _{i,1-bii, 1-bi} ), S _１1 = VQ + Σ _{{i|bi=0}{i | bi = 0}} c _{i,1-bii, 1-bi} (H _{i,1-bii, 1-bi} + EY _{i,1-bii, 1-bi} )
c _１1 = H ((G _1,01,0 ‖… ‖G _{n,0n, 0} ) ‖ (G _1,11,1 ‖… ‖G _{n,1n, 1} ) ‖ (H _1,01,0 ‖… ‖H _{n,0n, 0} ) ‖ (H _1,11,1 ‖… ‖H _{n,1n, 1} ) ‖ (X _1,01,0 ‖… ‖X _{n,0n, 0} ) ‖ (X _1,11,1 ‖… ‖X _{n,1n, 1} ) ‖ (Y _1,01,0 ‖ ... ‖Y _{n,0n, 0} ) ‖ (Y _1,11,1 ‖ ... ‖Y _{n,1n, 1} ) ‖R _０0 ‖S _０0 ‖R _１1 ‖S _１1 ), C _{1,bi1, bi} = C _１1 -C _1,1-bi1,1-bi mod q, i = 2, c for n _ｉi = H (c _i-1i-1 ‖C _i-1,0i-1,0 ), C _{i,bii, bi} = C _ｉi -C _{i,1-bi i, 1-bi} means for calculating modq;
z _０0 = R-Σ _{{i|bi=0}{i | bi = 0}} c _{i,0i, 0} (S _{ｉ,bii, bi} + Et _{i,bii, bi} ), Z _１1 = V-Σ _{{i|bi=1}{i | bi = 1}} c _{i,1i, 1} (S _{ｉ,bii, bi} + Et _{i,bii, bi} )
(C _１1 , Z _０0 , Z _１1 , C _1,01,0 , ..., c _{n,0n, 0} )
The knowledge verification device includes:
Proof information (c _１1 , Z _０0 , Z _１1 , C _1,01,0 , ..., c _{n,0n, 0} ) And P, Q, G _{i,0i, 0} , G _{i,1i, 1} , H _{i,0i, 0} , H _{i,1i, 1} , X _{i,0i, 0} , X _{i,1i, 1} , Y _{i,0i, 0} , Y _{i,1i, 1} A means for entering
e ′ = H ((G _1,01,0 ‖… ‖G _{n,0n, 0} ) ‖ (G _1,11,1 ‖… ‖G _{n,1n, 1} ) ‖ (H _1,01,0 ‖… ‖H _{n,0n, 0} ) ‖ (H _1,11,1 ‖… ‖H _{n,1n, 1} ) ‖ (X _1,01,0 ‖… ‖X _{n,0n, 0} ) ‖ (X _1,11,1 ‖… ‖X _{n,1n, 1} ) ‖ (Y _1,01,0 ‖ ... ‖Y _{n,0n, 0} ) ‖ (Y _1,11,1 ‖ ... ‖Y _{n,1n, 1} )) Means to calculate,
c _１1 '= C _１1 And c _1,11,1 '= C _１1 '-C _1,01,0 mod q, i = 2, c for n _ｉi '= H (c _i-1i-1 ′ ‖C _i-1,0i-1,0 ), C _{i,1i, 1} '= C _ｉi '-C _{i,0i, 0} means for calculating modq;
R _０0 ′ = Z _０0 P + Σ _{i=1i = 1} ⁿⁿ c _{i,0i, 0} (G _{i,0i, 0} + E'X _{i,0i, 0} ), S _０0 ′ = Z _０0 Q + Σ _{i=1i = 1} ⁿⁿ c _{i,0i, 0} (H _{i,0i, 0} + E'Y _{i,0i, 0} ), R _１1 ′ = Z _１1 P + Σ _{i=1i = 1} ⁿⁿ c _{i,1i, 1} '(G _{i,1i, 1} + E'X _{i,1i, 1} ), S _１1 ′ = Z _１1 Q + Σ _{i=1i = 1} ⁿⁿ c _{i,1i, 1} (H _{i,1i, 1} + E'Y _{i,1i, 1} )
c _１1 ″ = H ((G _1,01,0 ‖… ‖G _{n,0n, 0} ) ‖ (G _1,11,1 ‖… ‖G _{n,1n, 1} ) ‖ (H _1,01,0 ‖… ‖H _{n,0n, 0} ) ‖ (H _1,11,1 ‖… ‖H _{n,1n, 1} ) ‖ (X _1,01,0 ‖… ‖X _{n,0n, 0} ) ‖ (X _1,11,1 ‖… ‖X _{n,1n, 1} ) ‖ (Y _1,01,0 ‖ ... ‖Y _{n,0n, 0} ) ‖ (Y _1,11,1 ‖ ... ‖Y _{n,1n, 1} ) ‖R _０0 ′ ‖S _０0 ′ ‖R _１1 ′ ‖S _１1 ′) Means for calculating,
c _１1 = C _１1 Having means for verifying whether or not
Knowledge proof verification system characterized by that.

The knowledge proof verification system according to any one of claims 1 to 7,
Hash value c calculated by the knowledge proof device _i,i, Is a value c randomly generated by the knowledge verification device from the domain of the hash value. _ii And the knowledge verification device uses a random value c _ii Is transmitted to the knowledge proof device, and the knowledge proof device transmits the hash value c. _ii Random value c received from knowledge verification device instead of _ii And the knowledge verification device is c _ii ′ To c _ii Knowledge proof verification system characterized by replacing with