JP4867916B2 - シャッフル復号正当性証明装置と方法、シャッフル復号検証装置と方法、プログラムと記録媒体 - Google Patents

Description

本発明は、匿名通信路の構成などに使われる、証明付シャッフル技術及び証明付復号技術に関する。

［従来の技術（１）］
従来の証明付シャッフルの技術について、例えば、特開２００１−２５１２８９号公報に開示される発明がある。図１に、上記公報に記載される構成を示す。なお、本願添付図面中で、合流する矢印は、矢印の元の情報が、全て集まって矢印の先へ送られることを意味し、分岐する矢印は矢印の元の情報全てまたは一部が、それぞれの矢印の先へ送られることを意味する。また、上記公報の言う再暗号シャッフルは、本明細書中ではシャッフルと言っている。

図１において、暗号文と公開鍵１００がシャッフルステップ１０１に入力されてシャッフルされる。この時入力された暗号文と公開鍵１００とシャッフルを特定する情報であるシャッフル情報１０２が同一変換証明ステップ１０３に送られ、また、シャッフル情報１０２が置換証明ステップ１０４に送られる。同一変換証明ステップ１０３は同一変換証明文１０５を生成して出力すると同時に、同一変換証明文１０５の生成に使用した乱数１０６を置換証明ステップ１０４に送る。置換証明ステップ１０４は置換証明文１０７を出力する。リスポンス生成ステップ１０８は同一変換証明文１０５と置換証明文１０７と暗号文と公開鍵１００とシャッフル済み暗号文１０９とを入力し、同一変換証明文１０５と置換証明文１０７と暗号文とにリスポンスを加えてシャッフル証明文１１０を生成し出力する。

同一変換証明文１０５は、リスポンスと合わさって、入力文の順番の入れ替えや暗号化である暗号文の変換内容の知識を持っていることの証明であると同時に、入力される暗号文が複数の整数の要素となる場合はそれぞれの要素が同じ順番の入れ替えと対応する暗号化の処理とを受けたことの証明でもある。置換証明文１０７は、リスポンスと合わさって、入力される暗号文に対しての、順番の入れ替えが正しくなされたことの証明である。

図１に示されるシャッフルとは、入力された暗号文をの順序を入れ替えて再び暗号化することである。この処理が正当であることを証明するために、同文献では同一変換証明ステップと置換証明ステップの二つの証明ステップを用いている。この証明対象の分割により同文献ではシャッフル証明文生成の効率化を達成している。

［従来の技術（２）］
従来の証明付復号の技術について、例えば、特開平０８−２６３５７５号公報の記載が参照される。図２は上記公報に記載される構成を示す図である。

図２において、シャッフル済み暗号文２００と秘密鍵２０１が復号ステップ２０３に入力されて復号される。この時入力されたシャッフル済み暗号文２００と秘密鍵２０１と、これらにより復号された復号文２０４が復号証明ステップ２０５に送られる。これらの情報より復号証明ステップ２０５は復号証明文２０６を出力する。

ここで、復号とは、暗号文を分散所持されている秘密鍵の一部を使って、部分的に暗号文を復号することであり、秘密鍵の一部を全て用いて復号を繰り返すと完全な復号がなされる。

［従来の技術（３）］（従来の技術による証明付シャッフル復号方法）
従来の技術１と従来の技術２とを合わせることにより証明付シャッフル復号方法が構成できる。

図３は従来の技術による証明付シャッフル復号方法を示す図である。これは、従来の技術１と従来の技術２を単純につなげることにより構成された証明付シャッフル復号方法である。

図３における暗号文と公開鍵３０１、シャッフルステップ３０２、シャッフル情報３０３、シャッフル済み暗号文３０４、同一変換証明ステップ３０７、乱数３０８、同一変換証明文３０９、置換証明ステップ３１０、置換証明文３１１、リスポンステップ生成ステップ３１２、シャッフル証明文３１３のそれぞれは、図１における暗号文と公開鍵１００、シャッフルステップ１０１、シャッフル情報１０２、シャッフル済み暗号文１０９、同一変換証明ステップ１０３、乱数１０６、同一変換証明文１０５、置換証明ステップ１０４、置換証明文１０７、リスポンステップ生成ステップ１０８、シャッフル証明文１１０と同じものであり、図３における秘密鍵３００、シャッフル済み暗号文３０４、復号ステップ３０５、復号文３０６、復号証明ステップ３１４、復号証明文３１５のそれぞれは、図２における秘密鍵２０１、シャッフル済み暗号文２００、復号ステップ２０３、復号文２０４、復号証明ステップ２０５、復号証明文２０６と同じものである。

図３に示される方法は、シャッフル済み暗号文３０４がシャッフル復号証明文３１６に含まれていることと、シャッフル済み暗号文３０４が復号証明ステップ３１４に入力されることと、リスポンス生成ステップ３１２への入力がないこととが特徴である。

［従来の技術（４）］
従来の証明付シャッフル復号の技術について、例えば、特開２００２−３４４４４５号公報の記載が参照される。

上記公報において、シャッフル済暗号文をシャッフル復号文に加えないが、上記公報に記載の発明では、シャッフル済暗号文の不完全なコミットメントをシャッフル済復号文に加えている。従来の技術１と２に変更を加えて改良することで、シャッフル済暗号文がなくとも、シャッフル済暗号文の不完全なコミットメントがあればシャッフルと復号の正当性を可能にしている。ここで言う、不完全なコミットメントとは、シャッフル済暗号文であるコミットされる対象の情報が一部漏れてしまう様なコミットメントのことである。そのため、漏れたデータを使って暗号システムを攻撃することが可能な場合がある。

しかしながら、上記した従来の技術は下記記載の問題点を有している。

入力された暗号文をシャッフルし、さらに、その結果に対してを復号を施して復号文を出力し、上記処理の正当性証明文を生成して出力する通信路を考える。これは従来技術１と従来技術２を連続して使用して構成することができるが（従来技術３）、この手法では不要な情報であるシャッフル済み暗号文を出力しなければ正当性の証明ができない。このシャッフル済暗号文は、復号に用いた秘密鍵の知識を一部漏らしている。このような通信路を暗号システムの一部として使った場合、漏れた知識によりシステムの安全性を保てない可能性がある。

従来技術４では、シャッフル済暗号文を証明文の中に加えることなく、その不完全なコミットメントを加えることで、より漏らされる知識の量を少なくすることに成功している。しかし、依然として一部の知識を漏らしており、完全な置換と復号の隠蔽にはなっていない。

本発明は、上記問題点に鑑みてなされたものであって、その目的は、シャッフルと復号の正当性を証明するにあたり、一切の秘密情報に関する知識を漏らさないことで、より強い安全性を持ったシャッフル復号証明方法、これによる装置を提案することである。本提案方法を使えば、より匿名性の高い匿名通信路が構成可能になる。

本発明によるシャッフル復号正当性証明装置は、複数の暗号文と、公開鍵と、復号の秘密鍵と、乱数と、が入力され、前記複数の暗号文を前記公開鍵によりそれぞれ暗号化し、それらの順番を入れ替え、前記秘密鍵によりそれぞれ復号した結果である複数の復号文を生成し、前記暗号化と順番の入れ替えと復号とに対する正当性をシャッフル復号検証装置に対して証明するシャッフル復号正当性証明装置において、
前記シャッフル復号検証装置と通信するデータに、前記複数の暗号文を前記公開鍵により暗号化し、その順番を入れ替えた暗号文であるシャッフル済み暗号文のコミットメントを含めることを特徴とする。

本発明によるシャッフル復号検証装置は、複数の暗号文と、複数の復号文と、公開鍵と、乱数とが入力され、前記複数の復号文が、前記暗号文を暗号化し、さらに順番を入れ替えた後に前記公開鍵に対応する秘密鍵により復号されたデータであることのシャッフル復号正当性証明装置による証明の正当性を検証するシャッフル復号検証装置において、
前記シャッフル復号正当性証明装置と通信するデータに、前記複数の暗号文を前記公開鍵により暗号化し、その順番を入れ替えた暗号文であるシャッフル済み暗号文のコミットメントを含めることを特徴とする。

上記のシャッフル復号正当性証明装置において、
前記複数の暗号文と前記公開鍵と乱数とが入力され、前記複数の暗号文を前記公開鍵によりそれぞれ暗号化し、その結果である複数の暗号文の順番を入れ替える処理を行い、その結果である複数のシャッフル済み暗号文を出力するシャッフル装置と、
前記複数のシャッフル済み暗号文と前記秘密鍵とが入力され、前記複数のシャッフル済み暗号文を前記秘密鍵によりそれぞれ復号し、その結果である複数の復号文を出力する復号装置と、
前記複数のシャッフル済み暗号文と乱数とが入力され、前記複数のシャッフル済み暗号文のコミットメントを生成し、その結果であるシャッフル済み暗号文コミットメントを出力するシャッフル済み暗号文コミットメント装置と、
を含むこととしてもよい。

また、前記乱数が入力され、暗号文の順番の入れ替え前後の対応関係である置換と暗号化の乱数とのコミットメントであるシャッフルコミットメントを生成し、前記シャッフルコミットメント及びこれらコミットされた前記置換と前記暗号化の乱数との知識の証明のコミットメントとからなる置換証明コミットメントを生成し、前記置換証明コミットメントを出力する置換証明コミットメント装置と、
前記複数の暗号文と前記公開鍵と前記複数のシャッフル済み暗号文のコミットメントと乱数とが入力され、前記コミットされた複数のシャッフル済み暗号文が前記シャッフルコミットメントにコミットされた置換と暗号化の乱数とを用いて前記複数の暗号文をシャッフルして生成されていることの証明のコミットメントである同一変換証明コミットメントを生成し出力する同一変換証明コミットメント装置と、
前記の複数のシャッフル済み暗号文のコミットメントと前記複数の復号文と前記秘密鍵と乱数とが入力され、前記コミットされた複数のシャッフル済み暗号文を前記秘密鍵を用いて復号した結果が，前記複数の復号文となることの証明のコミットメントである復号証明コミットメントを生成する復号証明コミットメント装置と、
前記シャッフル復号検証装置に対して、前記複数のシャッフル済み暗号文のコミットメントと、前記シャッフルコミットメントと、前記置換証明コミットメントと、前記同一変換証明コミットメントと、前記復号証明コミットメントと、からなるシャッフル復号証明コミットメントを送付し、前記シャッフル復号検証装置から乱数の列である挑戦値が送られてくるのを待ってこれを受信する挑戦値獲得装置と、
前記挑戦値と乱数と前記秘密鍵とを含むデータの演算から計算できるデータであるレスポンスを生成し、前記シャッフル復号検証装置に送るレスポンス生成装置と、を含むこととしてもよい。

また、上記のシャッフル復号検証装置において、
前記シャッフル復号証明装置より、複数のシャッフル済み暗号文のコミットメントと、シャッフルコミットメントを含む置換証明コミットメントと、同一変換証明コミットメントと、復号証明コミットメントと、からなるシャッフル復号証明コミットメントが送付されるのを待ち、これらを受信すると、一定の長さの乱数を挑戦値として選び、前記シャッフル復号証明装置に送付する挑戦値生成装置と、
前記シャッフルコミットメントと前記置換証明コミットメントと前記レスポンスと挑戦値とが入力され、前記シャッフルコミットメントが置換と暗号化の乱数のコミットメントであるかどうかに応じて「正当」または「不当」の検証結果を生成する置換検証装置と、
前記同一変換証明コミットメントと前記暗号文と前記複数のシャッフル済み暗号文のコミットメントと前記公開鍵と前記レスポンスと挑戦値とが入力され、前記コミットされた複数のシャッフル済み暗号文が前記置換証明装置にてコミットされた置換と暗号化の乱数とを用いてシャッフルされたかに応じて「正当」または「不当」の検証結果を生成する同一変換検証装置と、
前記復号証明文と前記複数のシャッフル済暗号文のコミットメントと前記復号文と前記公開鍵と前記レスポンスと挑戦値とが入力され、前記コミットされた複数のシャッフル済み暗号文を復号した結果が前記複数の復号文となるかに応じて「正当」または「不当」の検証結果を生成する復号検証装置と、
を含み、
前記置換検証装置と同一変換検証装置と復号検証装置の検証結果の全てが「正当」であれば、前記シャッフル復号文が入力された前記暗号文を正しくシャッフル復号した結果であることの検証結果として「正当」を、一つでも「不当」を出力することとしてもよい。

本発明によるプログラムは上記の方法における各ステップをコンピュータに実行させるものであり、本発明による記録媒体にはこのプログラムを格納している。

上記のように構成される本発明によれば、シャッフルと復号を行ったことを証明するにあたり、より強い秘密情報の隠蔽を行うことができる、という効果を奏する。

従来の技術１の構成を示す図である。 従来の技術２の構成を示す図である。 従来の技術３の構成を示す図である。 本発明の実施例におけるシャッフル復号正当性証明装置の構成を示す図である。 本発明の実施例におけるシャッフル復号検証装置の構成を示す図である。

符号の説明

４０１ 複数の暗号文
４０２ 公開鍵
４０３ 乱数
４０４ シャッフル済み暗号文
４０５ シャッフル装置
４０６ 復号装置
４０７ 秘密鍵
４０９ シャッフル済み暗号文コミットメント装置
４１０ シャッフル済み暗号文コミットメント
４１１ 置換証明コミットメント装置
４１２ 置換証明コミットメント
４１３ 共通参照基底
４１４ 同一変換証明コミットメント装置
４１５ 同一変換証明コミットメント
４１６ 復号証明コミットメント装置
４１７ 復号証明コミットメント
４１９ 挑戦値
４２１ レスポンス生成装置
４２２ レスポンス
５００ シャッフル復号検証装置
５０１ 挑戦値生成装置
５０２ 乱数
５０３ 置換検証装置
５０５ 同一変換検証装置
５０７ 復号検証装置

本発明の実施例について図面を参照して説明する。以下の実施例では、楕円Elgamal暗号を使った例に即して説明する。以下では、本発明にて前提となる事項から順に説明していく。

［楕円Elgamal公開鍵暗号方式］
楕円ElGamal暗号方式は、公開鍵暗号系に属する暗号方式である。最初にｑを関係ｑｍｏｄ３＝２となる素数、Ｅを位数がｑの楕円曲線、Ｇ₀をＥの生成元、ＯをＥの単位元とする。すなわち、任意のＥ上の点Ｐは［ｑ］Ｐ＝Ｏを満たす。ここで、［ｘ］Ｇ₀は、Ｇ₀のｘ倍点を表す。

楕円Elgamal公開鍵暗号方式は次の三つのアルゴリズムからなる。

［鍵生成アルゴリズム］
乱数が入力され、秘密鍵ｘをＺ_qの要素ランダムに選び、公開鍵Ｍ₀＝［ｘ］Ｇ₀を計算し、秘密鍵ｘと公開鍵Ｍ₀を出力する。

［暗号化アルゴリズム］
平文Ｍ∈Ｅと公開鍵Ｍ₀と乱数とが入力され、ｓをＺ_qの要素ランダムに選び、暗号文をＣ＝（Ｇ₁，Ｍ₁）＝（［ｓ］Ｇ₀，Ｍ＋［ｓ］Ｍ₀）と計算し、これを出力する。

［復号アルゴリズム］
暗号文Ｃと秘密鍵ｘが入力され、復号文Ｍ’＝Ｍ₁−［ｘ］Ｇ₁を出力する。復号アルゴリズムの出力Ｍ’が暗号化された平文Ｍに一致することは、Ｍ’＝Ｍ₁−［ｘ］Ｇ₁＝Ｍ＋［ｓ］Ｍ₀−［ｘ］［ｓ］Ｇ₀＝Ｍ＋［ｓ］Ｍ₀−［ｓ］Ｍｃｌ０＝Ｍから明らか。

秘密鍵ｘが分散所持されているとする。すなわち、ｘ＝Σ_j=1 ^mｘ_jｍｏｄｑが成り立ち、各ｘ_iがそれぞれが別個に所持されている。本実施例ではこのｘ_jを復号用の秘密鍵と呼ぶ。

この時暗号文を完全に復号するには、Ｍ₁を各復号用の秘密鍵を用いて計算した値から［ｘ_j］Ｇ₁を順に引いていく操作を、全てのｊに関して行う。本実施例では一つの復号用の秘密鍵ｘ_mしか扱わないため、これをｘ’で表す。また公開鍵にはＭ₀とＹが含まれ、Ｍ₀＝［ｘ］Ｇ₀，Ｙ＝［ｘ’］Ｇ₀とする。

［暗号文］
本発明方式入力されるｎ個の暗号文を（Ｇ_i，Ｍ_i）ｉ＝１，・・・，ｎとする。それぞれの暗号文の各要素はＥの元である。

［復号文］
本発明方式で出力されるｎ個の復号文を（Ｇ’_i，Ｍ_i）（ｉ＝１，・・・，ｎ）とする。それぞれの復号文の各要素はＥの元である。

これらはｎ個の暗号文（Ｇ_i，Ｍ_i）ｉ＝１，・・・，ｎを公開鍵Ｍ₀で（［ｓ_i］Ｇ₀＋Ｇ_i，［ｓ_i］Ｍ₀＋Ｍ_i）（ｉ＝１，・・・，ｎ）と暗号化し、さらにそれらの順番を入れ替えた後に、を復号用の秘密鍵で復号したものである。

［置換行列］
置換行列について説明する。「置換行列」を、各行各列に０でない成分が唯一存在し、その値がＺ_q上の１であるｎ行ｎ列の正方行列とする。例として、
０，１，０，０
０，０，０，１
０，０，１，０
１，０，０，０
があげられる。

［実施例（１）］
本発明の一実施例をなすシャッフル復号正当性証明装置４００について、その構成を示す図４を参照して説明する。

図４に示されるシャッフル復号正当性証明装置４００は、複数の暗号文４０１、公開鍵４０２、乱数４０３、秘密鍵４０７および共通参照基底４１３を入力し、復号文４０８、シャッフル復号証明コミットメントおよびレスポンス４２２を出力するもので、シャッフル装置４０５、復号装置４０６、シャッフル済み暗号文コミットメント装置４０９、置換証明コミットメント装置４１１、同一変換証明コミットメント装置４１４、復号証明コミットメント装置４１６、挑戦値獲得装置４１８、レスポンス装置４２１から構成されている。

ｎ個の暗号文をシャッフルして復号するとする。Ｅ上からランダムに選ばれた点である共通参照基底、Ｆμ（μ＝−４，１，・・・，ｎ）とＭ_-1が本発明装置に入力される。全てのステップから利用できるとする。（以下ではステップへの入力としては明示的に書かない）
なお、シャッフル復号正当性証明装置４００は、入力装置、出力装置、記憶装置および制御装置からなる一般的なコンピュータシステムにより構成されるもので、シャッフル装置４０５、復号装置４０６、シャッフル済み暗号文コミットメント装置４０９、置換証明コミットメント装置４１１、同一変換証明コミットメント装置４１４、復号証明コミットメント装置４１６、挑戦値獲得装置４１８、レスポンス装置４２１はコンピュータシステム内に仮想的に構成される。以下に、各構成要素について詳細に説明する。

［シャッフル装置４０５］
ｎ個の暗号文４０１（Ｇ_i，Ｍ_i）（ｉ＝１，・・・，ｎ）と公開鍵４０２（Ｇ₀，Ｍ₀）と乱数４０３が入力される。

次に、ランダムなｎ×ｎ置換行列（π_ji）（ｉ，ｊ＝１，・・・，ｎ）と乱数π_0i（ｉ＝１，・・・，ｎ）∈Ｚ_qを、入力された乱数４０３より生成する。

これらの置換と乱数は、入力された乱数４０３より一意的に作られるため、入力された乱数にあらかじめ含まれていたと考える。すなわち、以下の装置において、乱数４０３が入力されたならば前記（π_ji）（ｉ，ｊ＝１，・・・，ｎ）、および、π_0i（ｉ＝１，・・・，ｎ）∈Ｚ_qの様に乱数から作られたデータを再度生成することができる。

次に、シャッフル済み暗号文４０４（Ｇ’_i，Ｍ’’_i）（ｉ＝１，・・・，ｎ）を、（Ｇ’_i，Ｍ’’_i）＝（Σμ₌₀ ⁿ［πμ_i］Ｇμ，Σμ₌₀ ⁿ［πμ_i］Ｍμ）と計算する。これが前に述べたようなシャッフル、すなわち、暗号化した後に順番を入れ替えたものであることは次の様に分かる。

π_ji＝１となるｊとｉの間の関係をπ（ｉ）＝ｊと書くと、（Σμ₌₀ ⁿ［πμ_i］Ｇμ，Σμ₌₀ ⁿ［πμ_i］Ｍμ）＝（Ｇπ_(i)，Ｍπ_(i)）
シャッフル装置４０５は、シャッフル済み暗号文４０４を出力する。

［復号装置４０６］
シャッフル済み暗号文４０４と復号用の秘密鍵４０７とが入力される。次に、復号文４０８を（Ｇ’_i，Ｍ’_i）＝（Ｇ’_i，［−ｘ’］Ｇ’_i＋Ｍ’’_i）と、計算して出力する。

［シャッフル復号証明装置始まり］
［シャッフル済暗号文完全隠蔽コミットメント装置４０９］
次に、シャッフル済み暗号文４０４（Ｇ’_i，Ｍ’’_i）（ｉ＝１，・・・，ｎ）と乱数４０３が入力される。入力された乱数４０３より、ランダムなπ_-1i∈Ｚ_q（ｉ＝１，・・・，ｎ）を選ぶ。

シャッフル済暗号文のコミットメント４１０：Ｎ_i（ｉ＝１，・・・，ｎ）をＮ_i＝［π_-1i］Ｍ_-1＋Ｍ’’_i（ｉ＝１，・・・，ｎ）と計算し、これを出力する。

［置換証明コミットメント装置４１１］
シャッフル装置で用いられた順番の入れ替えを表す置換行列π_jiｉ（ｊ＝１，・・・，ｎ）と、暗号化に用いられた乱数π_0iｉ＝１，・・・，ｎと、乱数４０３が入力される（π_jiｉ（ｊ＝１，・・・，ｎ）とπ_0i(ｉ＝１，・・・，ｎ）は乱数４０３に含まれている）。

共通基底４１３が入力される。入力された乱数４０３より、ランダムなπμ₀∈Ｚ_q（μ＝−４，・・・，ｎ）、π’μ∈Ｚ_q（μ＝−４，・・・，ｎ）、π_-2i∈Ｚ_q（ｉ＝１，・・・，ｎ）を選ぶ。これらの値も以下では乱数４０３に含まれていると考える。

次に、π_-3i＝Σ_j=1 ⁿ３π_j0 ²π_jiｍｏｄｑ（ｉ＝１，・・・，ｎ）
π_-4i＝Σ_j=1 ⁿ３π_j0π_jiｍｏｄｑ（ｉ＝１，・・・，ｎ）
Ｆ’μ＝Σν_=-4 ⁿ［πνμ］Ｆν（μ＝０，・・・，ｎ）
Ｆ’’₀＝Σν_=-4 ⁿ［π’ν］Ｆν
ｗ＝Σ_j=-1 ⁿπ_j0 ³−π_-30−π’_-4ｍｏｄｑ
を計算する。
ここでＦ’_i（ｉ＝０，．．．，ｎ）をシャッフルコミットメントとする。

最後に、シャッフルコミットメントＦ’_i（ｉ＝０，．．．，ｎ）及びＦ’₀，Ｆ’’₀，ｗを置換証明コミットメント４１２として出力する。

［同一変換証明コミットメント装置４１４］
シャッフル装置で用いられた順番の入れ替えを表す置換行列π_ji（ｉ，ｊ＝１，・・・，ｎ）と、暗号化に用いられた乱数π_0i（ｉ＝１，・・・，ｎ）と、乱数π_j0（ｊ＝１，．．，ｎ）と、乱数π_-10（ｊ＝１，．．，ｎ）（これら上記値は乱数４０３に含まれる）と、ｎ個の暗号文４０１（Ｇ_i，Ｍ_i）（ｉ＝１，・・・，ｎ）と公開鍵４０２（Ｇ₀，Ｍ₀）と乱数４０３が入力される。

次に、Ｇ’₀＝Σν₌₀ ⁿ［πν₀］Ｇν、Ｎ₀＝Σν_=-1 ⁿ［πν₀］Ｍνを計算する。

最後に、Ｇ’₀，Ｎ₀を同一変換証明コミットメント４１５として出力する。

［復号証明コミットメント装置４１６］
ｎ個の復号文４０８の一部Ｇ’_i（ｉ＝１，・・・，ｎ）と公開鍵４０２（Ｇ₀，Ｍ₀）と、乱数π_-10と乱数４０３が入力される。

入力された乱数より、ランダムなｔ_i∈Ｚ_q（ｉ＝１，・・・，ｎ）を選ぶ。

次に、Ｙ’_i＝［ｔ_i］Ｇ₀（ｉ＝１，・・・，ｎ）、Ｎ’＝［π_-10］Ｍ_-1＋Σ_i=1 ⁿ［ｔ_i］Ｇ’_iを計算する。

最後に，Ｙ’_i（ｉ＝１，・・・，ｎ），Ｎ’を復号証明コミットメント４１７として出力する。

［挑戦値獲得装置４１８］
シャッフル済暗号文のコミットメント４１０Ｎ_i（ｉ＝１，・・・，ｎ）、シャッフルコミットメントＦ’_i（ｉ＝０，・・・，ｎ）とＦ’₀，Ｆ’’₀，ｗからなる置換証明のコミットメント４１２、同一変換証明のコミットメント４１５：Ｇ’₀，Ｎ₀、復号証明のコミットメント４１７：Ｙ’_i（ｉ＝１，・・・，ｎ）、Ｎ’の全てをシャッフル復号証明のコミットメント４２０としてシャッフル復号検証装置５００に送付し、挑戦値４１９が送られるのを待つ。

挑戦値４１９：ｃ_i∈Ｚ_q（ｉ＝１，・・・，ｎ）を受け取る。

［レスポンス生成装置４２１］
シャッフル装置で用いられた順番の入れ替えを表す置換行列π_ji（ｉ，ｊ＝１，・・・，ｎ）と、暗号化に用いられた乱数π_0i（ｉ＝１，・・・，ｎ）と、乱数πν₀（ν＝−４，．．，ｎ）と、乱数π’ν（ν＝−４，．．，ｎ）と、乱数π_-1i（ｉ＝１，．．，ｎ）と、乱数π_-2i（ｉ＝１，．．，ｎ）と、乱数ｔ_i（ｉ＝１，．．，ｎ）と、計算された数：π_-3i（ｉ＝１，．．，ｎ）と、計算された数：π_-4i（ｉ＝１，．．，ｎ）が入力される。これらは全て入力された乱数４０３に含まれて入力される。

挑戦値４１９：ｃ_i（ｉ＝１，．．，ｎ）と、秘密鍵４０９：ｘ’とが入力される。以下、ｃ₀＝１とする。

レスポンス４２２：ｒν（ν＝−４，．．，ｎ）、ｒ’ν（ν＝−４，．．，ｎ）、ｒ’’_i（ｉ＝１，．．，ｎ）を、ｒν＝Σμ₌₀ ⁿπνμｃμｍｏｄｑ（ν＝−４，．．，ｎ）
ｒ’ν＝Σ_i=1 ⁿπν_iｃ_i ²＋π’νｍｏｄｑ（ν＝−４，．．，ｎ）
ｒ’’_i＝ｘ’ｃ_i＋ｔ_iｍｏｄｑ（ｉ＝１，．．，ｎ）
を計算する。

最後に、ｒν（ν＝−４，．．，ｎ）、ｒ’ν（ν＝−４，．．，ｎ）、ｒ’’_i（ｉ＝１，．．，ｎ）をシャッフル復号証明のレスポンス４２２としてシャッフル復号検証装置５００に送付して動作を修了する。

［シャッフル復号正当性証明装置４００ここまで］
［実施例（２）］
本発明の一実施例をなすシャッフル復号検証装置５００について、図５を参照して説明する。

図５に示されるシャッフル復号検証装置５００は、複数の暗号文４０１、公開鍵４０２、復号文４０８、乱数５０２、共通参照基底４１３、シャッフル済み暗号文コミットメント４１０、置換証明コミットメント４１２、同一変換証明コミットメント４１５、復号証明コミットメント４１７およびレスポンス４２２を入力し、挑戦値４１９および結果５０９を出力するもので、挑戦値生成装置５０１、置換検証装置５０３、同一変換検証装置５０５および復号検証装置５０８から構成されている。

なお、シャッフル復号検証装置５００は、入力装置、出力装置、記憶装置および制御装置からなる一般的なコンピュータシステムにより構成されるもので、挑戦値生成装置５０１、置換検証装置５０３、同一変換検証装置５０５および復号検証装置５０８はコンピュータシステム内に仮想的に構成される。以下に、各構成要素について詳細に説明する。

［挑戦値生成装置５０１］
公開鍵４０２：（Ｇ₀，Ｍ₀，Ｙ）、暗号文４０１：（Ｇ_i，Ｍ_i）（ｉ＝１，・・・，ｎ）、復号文４０８：（Ｇ’_i，Ｍ’_i）（ｉ＝１，・・・，ｎ）が入力される。乱数５０２が入力される。

シャッフル復号証明装置４００より、シャッフル復号証明のコミットメント４２０が送られてくるのを待つ。これを受け取り次第、乱数５０２より生成された挑戦値４１９：ｃ＿ｉ∈Ｚ_q（ｉ＝１，・・・，ｎ）をシャッフル復号証明装置４００に送付する。

シャッフル復号証明装置４００より、シャッフル復号証明のレスポンス４２２が送られてくるのを待つ。これが送られてきたら、以下の三つの検証装置を動作させる。

［置換検証装置５０３］
入力された乱数５０２より、ｄ∈Ｚ_qをランダムに選び、次の式が成り立つことを確認する。

Σν_=-4 ⁿ［ｒν＋ｄｒ’ν］Ｆν＝Ｆ’₀＋［ｄ］Ｆ’’₀＋Σ_i=1 ⁿ［ｃ_i＋ｄｃ_i ²］Ｆ’_i
Σ_j=1 ⁿ（ｒ_j ³−ｃ_j ³）＝ｒ_-3＋ｒ’_-4＋ｗｍｏｄｑ
これらが全てが成り立てば「正当」を、成り立たなければ「不当」を出力５０４として出力する。

［同一変換検証装置５０５］
次の式が成り立つことを確認する。

Σν₌₀ ⁿ［ｒν］Ｇν＝Σμ₌₀ ⁿ［ｃμ］Ｇ’μ
Σν_=-1 ⁿ［ｒν］Ｍν＝Σμ₌₀ ⁿ［ｃμ］Ｎμ
これらが成り立てば「正当」を、成り立たなければ「不当」を出力５０６として出力する。

［復号検証装置５０７］
次の式が成り立つことを確認する。

［ｒ_-1］Ｍ_-1＋Σ_i=1 ⁿ［ｒ’’_i］Ｇ’_i＝Ｎ’＋Σ_i=1 ⁿ［ｃ_i］（Ｎ_i−Ｍ’_i）
［ｒ’’_i］Ｇ₀＝［ｃ_i］Ｙ＋Ｙ’_i
これらが成り立てば「正当」を、成り立たなければ「不当」を出力５０８として出力する。

以上三つ置換検証装置と同一変換検証装置と復号検証装置との、全ての出力が正当であれば「正当」を、一つでも「不当」があれば「不当」を、シャッフル復号検証装置の出力５０９とする。

なお、上述したように、シャッフル復号正当性証明装置４００、シャッフル復号検証装置５００のいずれも一般的なコンピュータシステムにより構成されるもので、本発明には、シャッフル装置４０５、復号装置４０６、シャッフル済み暗号文コミットメント装置４０９、置換証明コミットメント装置４１１、同一変換証明コミットメント装置４１４、復号証明コミットメント装置４１６、挑戦値獲得装置４１８、レスポンス装置４２１をコンピュータシステム内に仮想的に構成する、または、挑戦値生成装置５０１、置換検証装置５０３、同一変換検証装置５０５および復号検証装置５０８はコンピュータシステム内に仮想的に構成するためのプログラムや、該プログラムを格納した記録媒体が含まれる。

Claims (12)

1. 補正後の複数の暗号文と、公開鍵と、復号の秘密鍵と、乱数と、が入力され、前記複数の暗号文を前記公開鍵によりそれぞれ暗号化し、それらの順番を入れ替え、前記秘密鍵によりそれぞれ復号した結果である複数の復号文を生成し、前記暗号化と順番の入れ替えと復号とに対する正当性をシャッフル復号検証装置に対して証明するシャッフル復号正当性証明装置において、
   前記シャッフル復号検証装置と通信するデータに、前記複数の暗号文を前記公開鍵により暗号化し、その順番を入れ替えた暗号文である生成には乱数が使用されるシャッフル済み暗号文のコミットメントを含めることを特徴とするシャッフル復号正当性証明装置。
2. 複数の暗号文と、複数の復号文と、公開鍵と、乱数とが入力され、前記複数の復号文が、前記暗号文を暗号化し、さらに順番を入れ替えた後に前記公開鍵に対応する秘密鍵により復号されたデータであることのシャッフル復号正当性証明装置による証明の正当性を検証するシャッフル復号検証装置において、
   前記シャッフル復号正当性証明装置と通信するデータに、前記複数の暗号文を前記公開鍵により暗号化し、その順番を入れ替えた暗号文である生成には乱数が使用されるシャッフル済み暗号文のコミットメントを含めることを特徴とするシャッフル復号検証装置。
3. 請求項１に記載のシャッフル復号正当性証明装置において、
   前記複数の暗号文と前記公開鍵と乱数とが入力され、前記複数の暗号文を前記公開鍵によりそれぞれ暗号化し、その結果である複数の暗号文の順番を入れ替える処理を行い、その結果である複数のシャッフル済み暗号文を出力するシャッフル装置と、
   前記複数のシャッフル済み暗号文と前記秘密鍵とが入力され、前記複数のシャッフル済み暗号文を前記秘密鍵によりそれぞれ復号し、その結果である複数の復号文を出力する復号装置と、
   前記複数のシャッフル済み暗号文と乱数とが入力され、前記複数のシャッフル済み暗号文のコミットメントを生成し、その結果である生成には乱数が使用されるシャッフル済み暗号文コミットメントを出力するシャッフル済み暗号文コミットメント装置と、
   を含むことを特徴とするシャッフル復号正当性証明装置。
4. 請求項３に記載のシャッフル復号正当性証明装置において、
   前記乱数が入力され、暗号文の順番の入れ替え前後の対応関係である置換と暗号化の乱数とのコミットメントであるシャッフルコミットメントを生成し、前記シャッフルコミットメント及びこれらコミットされた前記置換と前記暗号化の乱数との知識の証明のコミットメントとからなる置換証明コミットメントを生成し、前記置換証明コミットメントを出力する置換証明コミットメント装置と、
   前記複数の暗号文と前記公開鍵と前記複数のシャッフル済み暗号文のコミットメントと乱数とが入力され、前記コミットされた複数のシャッフル済み暗号文が前記シャッフルコミットメントにコミットされた置換と暗号化の乱数とを用いて前記複数の暗号文をシャッフルして生成されていることの証明のコミットメントである同一変換証明コミットメントを生成し出力する同一変換証明コミットメント装置と、
   前記の複数のシャッフル済み暗号文のコミットメントと前記複数の復号文と前記秘密鍵と乱数とが入力され、前記コミットされた複数のシャッフル済み暗号文を前記秘密鍵を用いて復号した結果が，前記複数の復号文となることの証明のコミットメントである復号証明コミットメントを生成する復号証明コミットメント装置と、
   前記シャッフル復号検証装置に対して、前記複数のシャッフル済み暗号文のコミットメントと、前記シャッフルコミットメントと、前記置換証明コミットメントと、前記同一変換証明コミットメントと、前記復号証明コミットメントと、からなるシャッフル復号証明コミットメントを送付し、前記シャッフル復号検証装置から乱数の列である挑戦値が送られてくるのを待ってこれを受信する挑戦値獲得装置と、
   前記挑戦値と乱数と前記秘密鍵とを含むデータの演算から計算できるデータであるレスポンスを生成し、前記シャッフル復号検証装置に送るレスポンス生成装置と、
   を含むことを特徴とするシャッフル復号正当性証明装置。
5. 請求項２に記載のシャッフル復号検証装置において、
   前記シャッフル復号証明装置より、複数のシャッフル済み暗号文のコミットメントと、シャッフルコミットメントを含む置換証明コミットメントと、同一変換証明コミットメントと、復号証明コミットメントと、からなるシャッフル復号証明コミットメントが送付されるのを待ち、これらを受信すると、一定の長さの乱数を挑戦値として選び、前記シャッフル復号証明装置に送付する挑戦値生成装置と、
   前記シャッフルコミットメントと前記置換証明コミットメントと前記レスポンスと挑戦値とが入力され、前記シャッフルコミットメントが置換と暗号化の乱数のコミットメントであるかどうかに応じて「正当」または「不当」の検証結果を生成する置換検証装置と、
   前記同一変換証明コミットメントと前記暗号文と前記複数のシャッフル済み暗号文のコミットメントと前記公開鍵と前記レスポンスと挑戦値とが入力され、前記コミットされた複数のシャッフル済み暗号文が前記置換証明装置にてコミットされた置換と暗号化の乱数とを用いてシャッフルされたかに応じて「正当」または「不当」の検証結果を生成する同一変換検証装置と、
   前記復号証明文と前記複数のシャッフル済暗号文のコミットメントと前記復号文と前記公開鍵と前記レスポンスと挑戦値とが入力され、前記コミットされた複数のシャッフル済み暗号文を復号した結果が前記複数の復号文となるかに応じて「正当」または「不当」の検証結果を生成する復号検証装置と、
   を含み、
   前記置換検証装置と同一変換検証装置と復号検証装置の検証結果の全てが「正当」であれば、前記シャッフル復号文が入力された前記暗号文を正しくシャッフル復号した結果であることの検証結果として「正当」を、一つでも「不当」を出力することを特徴とするシャッフル復号検証装置。
6. 複数の暗号文と、公開鍵と、復号の秘密鍵と、乱数と、が入力され、前記複数の暗号文を前記公開鍵によりそれぞれ暗号化し、それらの順番を入れ替え、前記秘密鍵によりそれぞれ復号した結果である複数の復号文を生成し、前記暗号化と順番の入れ替えと復号とに対する正当性をシャッフル復号検証装置に対して証明するシャッフル復号正当性証明方法において、
   前記シャッフル復号検証装置と通信するデータに、前記複数の暗号文を前記公開鍵により暗号化し、その順番を入れ替えた暗号文である生成には乱数が使用されるシャッフル済み暗号文のコミットメントを含めることを特徴とするシャッフル復号正当性証明方法。
7. 複数の暗号文と、複数の復号文と、公開鍵と、乱数とが入力され、前記複数の復号文が、前記暗号文を暗号化し、さらに順番を入れ替えた後に前記公開鍵に対応する秘密鍵により復号されたデータであることのシャッフル復号正当性証明装置による証明の正当性を検証するシャッフル復号検証方法において、
   前記シャッフル復号正当性証明装置と通信するデータに、前記複数の暗号文を前記公開鍵により暗号化し、その順番を入れ替えた暗号文である生成には乱数が使用されるシャッフル済み暗号文のコミットメントを含めることを特徴とするシャッフル復号検証方法。
8. 請求項６に記載のシャッフル復号正当性証明方法において、
   前記複数の暗号文と前記公開鍵と乱数とが入力され、前記複数の暗号文を前記公開鍵によりそれぞれ暗号化し、その結果である複数の暗号文の順番を入れ替える処理を行い、その結果である複数のシャッフル済み暗号文を出力するステップと、
   前記複数のシャッフル済み暗号文と前記秘密鍵とが入力され、前記複数のシャッフル済み暗号文を前記秘密鍵によりそれぞれ復号し、その結果である複数の復号文を出力するステップと、
   前記複数のシャッフル済み暗号文と乱数とが入力され、前記複数のシャッフル済み暗号文のコミットメントを生成し、その結果である生成には乱数が使用されるシャッフル済み暗号文コミットメントを出力するステップと、
   を含むことを特徴とするシャッフル復号正当性証明方法。
9. 請求項８に記載のシャッフル復号正当性証明方法において、
   前記乱数が入力され、暗号文の順番の入れ替え前後の対応関係である置換と暗号化の乱数とのコミットメントであるシャッフルコミットメントを生成し、前記シャッフルコミットメント及びこれらコミットされた前記置換と前記暗号化の乱数との知識の証明のコミットメントとからなる置換証明コミットメントを生成し、前記置換証明コミットメントを出力するステップと、
   前記複数の暗号文と前記公開鍵と前記複数のシャッフル済み暗号文のコミットメントと乱数とが入力され、前記コミットされた複数のシャッフル済み暗号文が前記シャッフルコミットメントにコミットされた置換と暗号化の乱数とを用いて前記複数の暗号文をシャッフルして生成されていることの証明のコミットメントである同一変換証明コミットメントを生成し出力するステップと、
   前記の複数のシャッフル済み暗号文のコミットメントと前記複数の復号文と前記秘密鍵と乱数とが入力され、前記コミットされた複数のシャッフル済み暗号文を前記秘密鍵を用いて復号した結果が，前記複数の復号文となることの証明のコミットメントである復号証明コミットメントを生成するステップと、
   前記シャッフル復号検証装置に対して、前記複数のシャッフル済み暗号文のコミットメントと、前記シャッフルコミットメントと、前記置換証明コミットメントと、前記同一変換証明コミットメントと、前記復号証明コミットメントと、からなるシャッフル復号証明コミットメントを送付し、前記シャッフル復号検証装置から乱数の列である挑戦値が送られてくるのを待ってこれを受信するステップと、
   前記挑戦値と乱数と前記秘密鍵とを含むデータの演算から計算できるデータであるレスポンスを生成し、前記シャッフル復号検証装置に送るステップと、
   を含むことを特徴とするシャッフル復号正当性証明方法。
10. 請求項７に記載のシャッフル復号検証方法において、
    前記シャッフル復号証明装置より、複数のシャッフル済み暗号文のコミットメントと、シャッフルコミットメントを含む置換証明コミットメントと、同一変換証明コミットメントと、復号証明コミットメントと、からなるシャッフル復号証明コミットメントが送付されるのを待ち、これらを受信すると、一定の長さの乱数を挑戦値として選び、前記シャッフル復号証明装置に送付するステップと、
    前記シャッフルコミットメントと前記置換証明コミットメントと前記レスポンスと挑戦値とが入力され、前記シャッフルコミットメントが置換と暗号化の乱数のコミットメントであるかどうかに応じて「正当」または「不当」の検証結果を生成する置換検証ステップと、
    前記同一変換証明コミットメントと前記暗号文と前記複数のシャッフル済み暗号文のコミットメントと前記公開鍵と前記レスポンスと挑戦値とが入力され、前記コミットされた複数のシャッフル済み暗号文が前記置換証明装置にてコミットされた置換と暗号化の乱数とを用いてシャッフルされたかに応じて「正当」または「不当」の検証結果を生成する同一変換検証ステップと、
    前記復号証明文と前記複数のシャッフル済暗号文のコミットメントと前記復号文と前記公開鍵と前記レスポンスと挑戦値とが入力され、前記コミットされた複数のシャッフル済み暗号文を復号した結果が前記複数の復号文となるかに応じて「正当」または「不当」の検証結果を生成する復号検証ステップと、
    前記置換検証ステップと同一変換検証ステップと復号検証ステップの検証結果の全てが「正当」であれば、前記シャッフル復号文が入力された前記暗号文を正しくシャッフル復号した結果であることの検証結果として「正当」を、一つでも「不当」を出力するステップを含むことを特徴とするシャッフル復号検証方法。
11. 請求項６ないし請求項１０記載の方法における各ステップをコンピュータに実行させるためのプログラム。
12. 請求項１１記載のプログラムを格納した記録媒体。

Images