JP4940592B2 - 否認可能零知識対話証明に適用される証明装置及び検証装置 - Google Patents

否認可能零知識対話証明に適用される証明装置及び検証装置 Download PDF

Info

Publication number
JP4940592B2
JP4940592B2 JP2005233636A JP2005233636A JP4940592B2 JP 4940592 B2 JP4940592 B2 JP 4940592B2 JP 2005233636 A JP2005233636 A JP 2005233636A JP 2005233636 A JP2005233636 A JP 2005233636A JP 4940592 B2 JP4940592 B2 JP 4940592B2
Authority
JP
Japan
Prior art keywords
proof
commitment
challenge value
verification
response
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2005233636A
Other languages
English (en)
Other versions
JP2007049571A (ja
Inventor
潤 古川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2005233636A priority Critical patent/JP4940592B2/ja
Priority to EP06782728A priority patent/EP1921793A2/en
Priority to PCT/JP2006/315994 priority patent/WO2007018311A2/ja
Priority to US12/063,448 priority patent/US8015405B2/en
Publication of JP2007049571A publication Critical patent/JP2007049571A/ja
Application granted granted Critical
Publication of JP4940592B2 publication Critical patent/JP4940592B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H04L9/3221—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs interactive zero-knowledge proofs

Description

本発明は、否認可能零知識対話証明に適用される証明装置及び検証装置に関する。
従来のランダムオラクルモデルにおける否認可能零知識対話証明の技術について、例えば、非特許文献１に記載されている。以下、非特許文献１に記載された技術（従来技術１と記すことにする。）について説明する。
図４は、非特許文献１に記載される構成を示す説明図である。なお、本出願における図面において、合流する矢印は、矢印の元の情報が全て集まって矢印の先へ送られることを意味し、分岐する矢印は、矢印の元の情報全てまたは一部がそれぞれの矢印の先へ送られることを意味する。
また、従来技術１が証明する言語は、ＮＰ完全であるグラフの三彩色問題である。ここで、言語とはデータの集合を意味し、「言語が三彩色問題である」とは、データの集合が、三彩色問題の集合であることを意味する。また、あるｄがある言語（例えば三色彩問題）に属することを証明するとは、ｄが三色彩問題の集合に属することを証明することである。従来技術１で、本言語を否認可能零知識で証明できるということは、従来技術１でＮＰに属する全ての言語が否認可能零知識で証明できることを意味する。
図４に示す証明装置１０３と検証装置１０４には、有方向グラフGn=(VG,EG)が共通入力１０１として入力される。ここで、VGはグラフの頂点の集合であり、EGは辺の集合であり、 両者によりグラフG が表現される。また、頂点の数（|VG|と記す。）は、|VG|=nとする。
また、証明装置１０３には各頂点の色 C=(c1,c2,...,cn)が証拠１０２として入力される。各i ∈{1,...,n} はci∈ {1,2,3}で、三色の色を表し、 頂点の塗り分けを表現する。C は、 全ての辺に関して、この辺で連結された二つの頂点が異る色となる様な塗り分けとする。
証明装置１０３は、検証装置１０４にG に関する上記の証拠C が存在することを否認可能零知識対話証明する。「対話証明する」とは、もし上記性質を持つC がG に対して存在しなければ、いかなる偽の証明装置を用いても、この偽の証明装置と検証装置（本例では検証装置１０４）が互いの通信及び各装置における計算を行なった後、検証装置（本例では検証装置１０４）が最終的に証明を受理することを表す信号を出力せず、証明装置（本例では証明装置１０３）と検証装置（本例では検証装置１０４）に上記G とC が入力されれば、検証装置（本例では検証装置１０４）は証明を受理することを表す信号を出力することを意味する。
また、否認可能零知識であるとは次のことを言う。いかなるデータが入力された、多項式時間しか動作しないいかなる偽の検証装置が証明装置（本例では証明装置１０３）と通信を行なっても、その偽の検証装置の出力は次の性質（性質Ａと記す。）を満すことをいう。ただし、偽の検証装置は同じG と C が与えられた複数の証明装置と同時並行的に通信を行なうことが可能であるとする。ここで、上記の性質Ａとは、偽の検証装置と通信可能な、多項式時間しか動作しないある模擬装置が存在して、この装置に上記偽の検証装置への入力が与えられたならば、この模擬装置が証明装置（本例では証明装置１０３）と通信が不可能であっても、上記偽の検証装置の出力とその分布が識別不可能なデータを出力することができることである。性質Ａの具体例を示す。例えば、任意の偽の検証装置が、証明装置（本例では証明装置１０３）と通信をした後、何らかのデータを出力したとする。このデータをａと呼ぶことにする。一方、模擬装置は、偽の検証装置と通信を行い（このとき、証明装置として振る舞う）、その後、何らかのデータを出力する。このデータをｂと呼ぶことにする。模擬装置は、どのような偽の検証装置を持ってきても、その出力データａの分布と識別不可能な分布を持つデータｂを出力できる（性質Ａ）。
なお、「データａの分布とデータｂの分布とが識別不可能である」とは、以下のような意味である。あるデータの分布Ａとデータの分布Ｂが与えられたとする。また、データａは、分布Ａから一様無作為に選ばれたデータであり、データｂは、分布Ｂから一様無作為に選ばれたデータであるとする。どのような識別装置Ｄ（０か１を出力する装置であるものとする。）を持ってきても、識別装置Ｄにａを入力した時における識別装置Ｄが１を出力する確率と、識別装置Ｄにｂを入力した時における識別装置Ｄが１を出力する確率とが等しければ、データａの分布とデータｂの分布とが識別不可能であるという。なお、確率は、分布Ａ，Ｂからａとｂとを何度も選びなおして求める。
以下、図４に示す証明装置１０３および検証装置１０４の動作について説明する。以下の説明では、離散対数問題を使った例を示すが、一般の(確率的)一方向性関数でも可能である。Gqを位数q の離散対数問題が難しい乗法群とし、g をその生成子とする。t を安全変数とする。t の値は、１６０以上であれば十分である。Hash(・)はハッシュ関数で、その出力の大きさはt ビットとする。
ステップ１：検証装置１０４は無作為にx ∈ Z/qZを選び、y=gxを計算する。
ステップ２：検証装置１０４は、i = 1,...,t に関してx'[i]∈ Z/qZを選び、y'[i] = gx'[i] とする。
ステップ３：検証装置１０４は、i = 1,...,t に関して、乱数 r[1,i] ∈ {0,1}n と、乱数 r[2,i] ∈ {0,1}n を選ぶ。検証装置１０４は、i = 1,...,t に関して、ハッシュ値 c[1,i] = Hash(x'[i],r[1,i]) と、ハッシュ値 c[2,i] = Hash(x'[i]+x,r[2,i]) と、をハッシュ関数を生成する装置１０５と何度も通信して生成する。
ステップ４：検証装置１０４は、t ビットのハッシュ値c を次の様に計算する。
h=Hash({g,y,y'[i],c[1,i],c[2,i]}i=1,...,t)
検証装置１０４は、i=1,...,t に関して、h のi 番目のビットが０ならば、t[1,i] = x'[i]、t[2,i] = r[1,i] とする。また、h のi 番目のビットが１ならば、t[1,i] = x'[i]+x、t[2,i] = r[2,i]) とする。
ステップ５：検証装置１０４は、証明装置１０３に{g,y,y'[i],c[1,i],c[2,i],t[1,i],t[2,i]}i=1,...,t)を送付する。
ステップ６：証明装置１０３は、h'=Hash({g,y,y'[i],c[1,i],c[2,i]}i=1,...,t) を計算する。証明装置１０３は、ハッシュ関数を計算する装置１０７と通信することで、i=1,...,t に関して、h'のi 番目のビットが０ならば、c[1,i] = Hash(t[1,i],t[2,i])であることと、gt[1,i] = y'[i] であることを確認し、h'のi 番目のビットが１ならば、c[2,i] = Hash(t[1,i],t[2,i])であることと、gt[2,i] = y・y'[i] であることを確認する。
ステップ７：証明装置１０３は、y = gxなるx を知っているか、あるいはG に対してC を知っていることの、ハッシュ関数１０７を用いた非対話的零知識証明を生成する。ただし、どちらを知っているかは識別できない様に証明する。また、ステップ７における非対話的零知識証明は、例えば、非特許文献３に記載された方法により生成する。
ステップ８：証明装置１０３は、ステップ７で生成した非対話的零知識証明を検証装置１０４に送付する。
ステップ９：検証装置１０４は、証明装置１０３から送られてきた非対話的零知識証明を検証し、正当であれば受理を、不当であれば不受理を表す信号を検証結果１０９として出力する。
ハッシュ関数がランダムなデータを返す関数だと仮定すれば、ステップ１−５は検証装置１０４の、検証装置１０４がx を知っていることの非対話的零知識証明である。これは次の様にして分かる。
証明装置１０３から送られるデータは、h'=Hash({g,y,y'[i],c[1,i],c[2,i]}i=1,...,t) に対し、以下のようになっていればよい。
すなわち、i=1,...,t に関して、h'のi 番目のビットが０ならば、c[1,i] = Hash(t[1,i],t[2,i])であり、gt[1,i] = y'[i] であり、h'のi 番目のビットが１ならば、c[2,i] = Hash(t[1,i],t[2,i])であり、gt[2,i] = y・y'[i] であればよい。
このようなデータは、あらかじめh'の値が決まっていれば簡単に生成可能である。ハッシュ関数がランダムな値を返す関数だと仮定すれば、このような仮定が可能である為、x を知らなくとも上記データは生成可能である。このため、このデータから証明装置１０３がいかなる知識を得ることもない。
上記の証明が、証明装置１０３と検証装置１０４とにおける対話証明となっていることは次の事から分かる。ステップ７において証明装置１０３は検証装置１０４に対し、G に対して（１）C を知っている、すなわちG に対してC が存在する、あるいは （２）x を知っている、のいずれかであることを証明している。ところが、ステップ５で受け取るデータから証明装置１０３は何ら知識を得ることができないため、Gq の離散対数を求めることができず、z を知ることができない。よって、上記の（１）を証明する必要がある。
また、上記の動作において、証明装置１０３と検証装置１０４とにおける対話は否認可能零知識となっていることは次の事から分かる。ランダムオラクルモデルでは検証装置１０４が、ハッシュ値 c[1,i] = Hash(x'[i],r[1,i])と、ハッシュ値 c[2,i] = Hash(x'[i]+x,r[2,i])とを計算する時には、それぞれ(x'[i],r[1,i])と(x'[i]+x,r[2,i])とをランダムオラクルに送らなければならない。模擬装置がこのような値を途中で傍受すると、(x'[i]+x) - x'[i] = x のように、容易にx を求めることができる。このx を知る模擬装置は、ステップ７において上記（２）の「x を知っていること」を証明することができる。これは上記（１） の「C を知っていること」の証明と識別できないため、証明装置１０３の生成するデータと識別ができないデータを生成することが可能である。
上記の動作で、証明装置１０３と検証装置１０４とにおける否認可能零知識対話証明は２ラウンドである。すなわち、検証装置１０４から証明装置１０３への通信が一回、証明装置１０３から検証装置１０４への通信が一回、合わせて二回の通信しか必要としない。
また、従来の特別正直検証者零知識対話証明の技術については、例えば、非特許文献２に記載されている。なお、「特別正直検証者」とは、検証者（検証装置）が証明者（証明装置）に送るデータが乱数であるという意味である。また、特別正直検証者零知識対話証明では、最初に証明装置から検証装置に送られるメッセージaRと、次に検証装置から証明装置に送られるメッセージeRと、最後に証明装置から検証装置に送られるメッセージzRとを用いる。「証明コミットメント」とは、上記の最初に検証装置に送られるメッセージaRのことである。また、「挑戦値」とは、次に検証装置から証明装置に送られるメッセージeRのことである。「応答」とは、最後に証明装置から検証装置に送られるメッセージzRのことである。
以下、非特許文献２に記載された技術（従来技術２と記すことにする。）について説明する。図５および図６は、非特許文献２に記載される構成を示す説明図である。また、以下の説明において、関係をR 、共通入力（図５および図６では共通入力２０７）をX 、証拠（図６では証拠２０８）をW の記号で表す。共通入力X と証拠W が関係R を満たすことを(X,W) ∈ Rと記す。
図５に示す証明コミットメント生成装置２０１は、関数ARにより証明コミットメントを生成する装置である。応答生成装置２０２は、関数ZRにより応答を生成する関数である。検証装置２０３は、関数VRにより検証結果を出力する装置である。図６に示す模擬装置２０４は、関数SRの演算を行う装置である。証拠抽出装置２０５は、関数ERにより証拠を抽出する装置である。関数AR、関数ZR、関数VR、関数SR、関数ERについては、後述する。
関係R に関する３ラウンド特別正直検証者零知識対話証明をSHVZKIP(R)と記す。これは、証明コミットメントを生成する関数AR、応答を生成する関数ZR、検証の為の関数VR、模擬の為の関数SR、証拠抽出の関数ERを用い、以下のような性質を満すものである。以下の説明で、RP，RSは、ランダムテープである。
[性質1]
挑戦値eR（図における挑戦値２１２）を乱数２０６とする。また、証明コミットメントaR（図における証明コミットメント２０９）と応答zR（図における応答２１０）が以下の式によって表されるとする。
aR = AR(X,W,RP)
zR = ZR(X,W,RP,eR)
このとき、VR = VR(X,aP,eR,zR)=1 が成り立つ。ここでVRの出力を検証結果２１１と呼ぶ。
[性質2]
証明コミットメントaR（図における証明コミットメント２１３）、第一挑戦値eRと第二挑戦値e'R （図では、第一挑戦値および第二挑戦値の組２１４として示している。）、第一応答zRと第二応答z'R （図では、第一応答および第二応答の組２１５として示している。）が以下の式を満たしているとする。
VR(X,aR,eR,zR)=1
VR(X,aR,e'R,z'R)=1
eR ≠ e'R
このとき、W'= ER(aR,eR,zR,e'R,z'R) なる証拠W'（図における証拠２１６） は、(X,W')∈ Rとなる。
[性質3]
挑戦値eR（図における挑戦値２１２）を乱数とする。また、証明コミットメントaR（図における証明コミットメント２０９）と応答zR（図における応答２１０）が以下の式によって表されるとする。ただし、RPはランダムテープ２０６である。
aR = AR(X,W,RP)
zR = ZR(X,W,RP,eR)
一方、挑戦値e'R （図における挑戦値２１６）を乱数とする。また、証明コミットメントa'R（図における証明コミットメント２１７）と応答z'R（図における応答２１８）が以下のように導出されるとする。ただし、RSはランダムテープ２１９である。
(a'R,z'R) = SR(X,e'R,RS)
このとき、ランダムテープRP（図におけるランダムテープ２０６）をランダムに振ったときの (aR,eR,zR) の分布と、ランダムテープRS（図におけるランダムテープ２１９）をランダムに振ったときの (a'R,e'R,z'R) の分布とを識別することが難しい。
SHVZKIP(R)を用いて対話証明を行なった場合、検証装置の選ぶeRがランダムでなければならないという制約があるが、一般に検証装置がその様なeRを選ぶ保証はないため、この対話証明は零知識とはならない。
しかし、多くのR に関する効率的なSHVZKIP(R)が知られているため、このSHVZKIP(R)を利用して、効率の悪化を抑えながら零知識対話証明を構成することには応用上意義がある。
以下に、SHVZKIP(R)の例をあげる。X はGqの二つの元(y,g) とし、W をZ/qZの元x とし、y=gxなる関係を満すとき、(X,W) ∈ Rとする。
関数ARは、例えば、以下のような関数である。入力は、X,W 、及びランダムテープRPである。そして、RPからランダムな x' ∈ Z/qZ を生成し、aR = y' =gx' として、aRを出力する。
関数ZRは、例えば、以下のような関数である。入力は、X,W、ランダムテープRP、及び eR=cである。そして、 zR = r = xc + x' mod q を計算し、zRを出力する。
関数VRは、例えば、以下のような関数である。入力は、X,aR,eR,zRである。そして、gr = yc y'が成立するならば１を出力し、成立しないならば０を出力する。
関数ERは、例えば、以下のような関数である。入力は、aR,eR=c,zR=r, e'R=c',z'R=r'である。そして、 W = x =(r-r')/(c'-c) mod q を計算し、W を出力する。
関数SRは、例えば、以下のような関数である。入力は、X,eR=c,及びランダムテープRSである。そして、RSからランダムな zR=r ∈ Z/qZ を生成し、aR = y' = gry-c を生成する。そして、(aR,zR) を出力する。
[非対話的知識の証明]
次に、非対話的知識の証明について説明する。上記の従来技術２では、証明装置と検証装置が対話(互いに通信)することで、証明者が検証者に、ある事例がある言語に属する事を証明した。一方、証明者が、検証者にデータを一回送るだけで、ある事例がある言語に属する事を証明する方法がある。これを非対話的証明と言う。特に、ある事例がある言語に属することを多項式時間で検証し得る証拠を保持していることを証明する場合は、非対話的知識の証明と言う。
非特許文献３に記された方法に従うと、特別正直検証者零知識対話証明を用いて、X に対して、(X,W) ∈ RなるR の知識があることの非対話的知識の証明の一例（PR）を次の様に構成できる。
PR = (aR,zR)
ただし、RPはランダムテープである。また、以下の関係が成り立っているものとする。
aR = AR(X,W,RP) ,
eR = Hash(X,aR) ,
aR = AR(X,W,RP,eR).
"Rafael Pass"，" On Deniability in the Common Reference String and Random Oracle Model"，"CRYPTO 2003"，2003年，p.316-337,p316-337 "Oded Goldreich"，"Foundations of Cryptography --- Basic Tools"，"Cambridge University Press"，2001年，p.206-207 "Amos Fiat Adi Shamir"，"How to Prove Yourself: Practical Solutions to Identification and Signature Problems"，"CRYPTO 1986"，1986年，p.186-194
しかし、上記の従来技術１は、以下に示す問題を有している。
従来技術１では、ステップ３において、十分に大きなt に関して、t 個のコミットメント{c[1,i] と c[2.i]}i=1,...,t を生成する必要がある。この理由は次の通りである。模擬装置は、二つのコミットメント c[1,i] = Hash(x'[i],r[1,i])と c[2,i] = Hash(x'[i]+x,r[2,i])の両方の、コミットされた値x'[i] とx'[i]+x を必要とする。すなわち両方のコミットメントが正しく作られない限り、模擬装置はうまく働かない。ところが、実際の検証装置の動作では、各i に関して、片方しかコミットされた値を公開しない。それゆえ、公開しない方の値を不正に生成しておいても、証明装置に発覚しないおそれがある。このようなおそれがあるため、十分に多くのi に関して(t 個) コミットメントを生成することにより、検証装置が全てのi に関して証明装置を騙せる確率を十分に小さく(1/2t) している。
上記理由により、従来の技術は検証装置に数多くのコミットメント生成を要求し、ステップ６において証明装置に数多くの計算を要求する。このことにより、計算時間、両者の通信量が共に大きくなるという欠点を持っている。
従来技術１で説明したステップ１−５は離散対数の知識の非対話零知識証明であるが、次の離散対数の知識の非対話零知識証明と比べることで、その計算量と通信量の差がよく分かる。
y=gxとする。証明装置にg,y,x が入力され、検証者（検証装置）にg,y が入力される。
ステップ１：証明装置は、 x' ∈ Z/qZ を選び、y'=gx'を生成する。
ステップ２：証明装置は、c = Hash(g,y,y')を計算する。
ステップ３：証明装置は、t = c x +x' mod q を計算する。
ステップ４：証明装置は、(t,c) を検証装置に送付する。
ステップ５：検証装置は、c = Hash(g,y,gty-c) が成り立つことを確認する。
ここで示した非対話零知識証明における通信量と計算量は、どちらも従来の技術で利用されているものの、1/t 倍程であり、大変効率的である。
しかし、ここで示した方式を、既に説明した従来の方式に単純に適用することはできない。なぜなら、疑似装置が、ハッシュへの入力(g,y,y')をたとえ取り出せることができても、x を求めることができないからである。
一方、従来技術２には、従来技術２の説明の最後に挙げたように、効率的な方法が多くのR に対して数多くあるが、零知識性を持たない。特に、否認可能零知識性を持つことはない。
本発明は、上記問題点に鑑みてなされたものであって、特別正直検証者零知識対話証明の方法が与えられたときに、これを利用して、通信量と計算量共に少ない否認可能零知識対話証明を行えるようにすることを目的とする。
本発明による証明装置は、検証装置と通信可能に接続される証明装置であって、予め定められた関係を満たす共通入力および証拠とランダムテープとに基づいて、その関係に関する特別正直検証者零知識対話証明の証明コミットメントを生成する証明コミットメント生成装置と通信可能に接続され、共通入力と証拠とランダムテープと挑戦値とに基づいて、その関係に関する特別正直検証者零知識対話証明の応答を生成する応答生成装置と通信可能に接続され、その関係を満たす共通入力および証拠が入力される共通入力等入力手段と、ランダムテープが入力されるランダムテープ入力手段と、検証装置から挑戦値のコミットメントを受信する挑戦値コミットメント受信手段と、挑戦値コミットメント受信手段が挑戦値のコミットメントを受信した後に、共通入力と証拠とランダムテープとを証明コミットメント生成装置に送信して証明コミットメントを生成させ、当該証明コミットメントを検証装置に送信する証明コミットメント生成制御手段と、挑戦値および当該挑戦値のコミットメントの証拠となる乱数を検証装置から受信する挑戦値等受信手段と、挑戦値等受信手段が挑戦値および乱数を受信した後に、挑戦値コミットメント受信手段が受信した挑戦値のコミットメントが、挑戦値等受信手段が受信した挑戦値および乱数のハッシュ値であるか否かを検証することにより、挑戦値コミットメント受信手段が受信した挑戦値のコミットメントが、挑戦値等受信手段が受信した挑戦値のコミットメントであるか否かを検証する挑戦値コミットメント検証手段と、挑戦値コミットメント受信手段が受信した挑戦値のコミットメントが、挑戦値等受信手段が受信した挑戦値のコミットメントであると判定された場合に、共通入力と証拠とランダムテープと挑戦値とを応答生成装置に送信して応答を生成させ、当該応答を検証装置に送信する応答生成制御手段とを備えたことを特徴とする。
本発明による検証装置は、上記の証明装置と通信可能に接続される検証装置であって、共通入力と証明コミットメントと挑戦値と応答とに基づいて、予め定められた関係に関する特別正直検証者零知識対話証明の受理を表す信号または不受理を表す信号を出力する対話証明検証装置と通信可能に接続され、ハッシュ関数の計算を行うハッシュ関数の計算装置と通信可能に接続され、共通入力が入力される共通入力入力手段と、ランダムテープが入力されるランダムテープ入力手段と、ランダムテープを用いて挑戦値を生成する挑戦値生成手段と、ランダムテープを用いて乱数を生成する乱数生成手段と、挑戦値および乱数をハッシュ関数の計算装置に送信し、挑戦値および乱数に応じたハッシュ値を計算させ、当該ハッシュ値を挑戦値のコミットメントとして証明装置に送信する挑戦値コミットメント生成制御手段と、証明装置から証明コミットメントを受信する証明コミットメント受信手段と、証明装置から応答を受信する応答受信手段と、共通入力と証明コミットメントと挑戦値と応答とを対話証明検証装置に送信して、当該対話証明検証装置から特別正直検証者零知識対話証明の受理を表す信号または不受理を表す信号を受信し、受信した信号を検証結果として出力する検証結果出力手段とを備えたことを特徴とする。
本発明によれば、通信量と計算量共に少ない否認可能零知識対話証明を実現することができる。
以下、本発明の実施の形態を図面を参照して説明する。
以下の説明では、挑戦値のコミットメントに言及するが、この「コミットメント」と、既に説明した「証明コミットメント」とは異なるものである。そこで、まず、「コミットメント」について説明する。「Ｕ（例えば、挑戦値）のコミットメント」とは、以下の性質を有するデータである。すなわち、「Ｕのコミットメントのみが与えられても、Ｕに関する情報が何も得られず、Ｕのコミットメントを生成したものは、後にこれがＵのコミットメントであることを証明することができる。」という性質を有し、そして、「いかなるＵ’≠Ｕに関してもＵ’のコミットメントであることを証明できない。」という性質を有するデータである。以下の説明で言及する「挑戦値のコミットメント」も、この性質を有する。
実施の形態１．
図１は、本発明の第１の実施の形態の証明装置および検証装置を示す説明図である。証明装置３０１および検証装置３０２は、互いに通信可能となるように接続されている。証明装置３０１には、(X,W) ∈ Rなる共通入力X 、証拠W 、および第一のランダムテープRPが入力される。この関係R は、予め定められた関係である。本実施の形態では、便宜的に、関係R のことを第一の関係と呼ぶことにする。
なお、共通入力は、証明装置および検証装置に共通に入力されるデータである。ただし、後述する第２の実施の形態では、検証装置が共通入力となるデータ（第２の実施の形態におけるX'）を生成し、証明装置に送信する場合も示す。このように、検証装置が生成し、証明装置に送信するデータも共通入力となる。
証明装置３０１は、第一の関係に関する挑戦値のコミットメント検証装置３２４（以下、挑戦値のコミットメント検証装置３２４と記す。）と、対話的な、第一の関係に関する知識の証明生成装置３３０（以下、証明生成装置３３０と記す。）とを備える。
検証装置３１２は、第一の関係に関する挑戦値のコミットメント生成装置３１２（以下、挑戦値のコミットメント生成装置３１２と記す。）と、対話的な、第一の関係に関する知識の証明検証装置３４０（以下、証明検証装置３４０と記す。）とを備える。
挑戦値のコミットメント検証装置３２４は、ハッシュ関数の計算装置３１０と通信可能に接続される。また、証明生成装置３３０は、第一の関係R に関する特別正直検証者零知識対話証明の証明コミットメント生成装置３０３（以下、証明コミットメント生成装置３０３と記す。）と通信可能に接続される。また、証明生成装置３３０は、第一の関係R に関する特別正直検証者零知識対話証明の応答生成３０４（以下、応答生成装置３０４と記す。）と通信可能に接続される。
挑戦値のコミットメント生成装置３１２は、ハッシュ関数の計算装置３１１と通信可能に接続される。証明検証装置３４０は、第一の関係R に関する特別正直検証者零知識対話証明の検証装置３０５（以下、対話証明検証装置３０５と記す。）と通信可能に接続される。
証明コミットメント生成装置３０３は、関数（関数ARとする。）に従って、証明生成装置３３０からの入力に応じた証明コミットメントを生成し、証明生成装置３３０に出力する。なお、本実施の形態における関数ARの具体的な計算例は、例えば、従来技術２で示した関数ARと同様である。
応答生成装置３０４は、関数（関数ZRとする。）に従って、証明生成装置３３０からの入力に応じた応答を生成し、証明生成装置３３０に出力する。なお、本実施の形態における関数ZRの具体的な計算例は、例えば、従来技術２で示した関数ZRと同様である。
対話証明検証装置３０５は、関数（関数VRとする。）に従って、証明検証装置３４０からの入力に応じた検証結果を生成し、証明検証装置３４０に出力する。なお、本実施の形態における関数VRの具体的な計算例は、例えば、従来技術２で示した関数VRと同様である。なお、検証結果が１であれば、証明の受理を表し、検証結果が０であれば、証明の不受理を表すものとする。
挑戦値のコミットメント検証装置３２４には、挑戦値のコミットメント生成装置３１２から、挑戦値のコミットメント（c とする。）が入力される。挑戦値のコミットメント検証装置３２４は、証明検証装置３４０が証明生成装置３３０に対して出力する挑戦値および乱数を用いたハッシュ関数の計算結果が、挑戦値のコミットメントc と一致するか否かを判定する。
証明生成装置３３０には、前述の共通入力X 、証拠W 、および第一のランダムテープRPが入力される。また、証明生成装置３３０は、証明コミットメント生成装置３０３に生成させた証明コミットメントを、証明検証装置３４０に出力する。その後、証明生成装置３３０には、証明検証装置３４０から、挑戦値および乱数が入力される。挑戦値および乱数を用いたハッシュ関数の計算結果が、挑戦値のコミットメントc と一致していた場合には、証明生成装置３３０は、応答生成装置３０４に生成させた応答を証明検証装置３４０に出力する。
挑戦値のコミットメント生成装置３１２には、共通入力X 、および第二のランダムテープRVが入力される。そして、挑戦値のコミットメント生成装置３１２は、挑戦値、乱数を生成し、ハッシュ関数の計算装置３１１に挑戦値のコミットメントc を生成させる。挑戦値のコミットメント生成装置３１２は、挑戦値のコミットメントc を挑戦値のコミットメント検証装置３２４に出力する。
証明検証装置３４０には、証明生成装置３３０から証明コミットメントが入力される。その後、証明検証装置３４０は、挑戦値および乱数を証明生成装置３３０を出力する。そして、証明生成装置３３０から応答が入力される。証明検証装置３４０は、応答を受けると、対話証明検証装置３０５に検証結果を生成させ、その検証結果３２２を出力する。
なお、図１では、符号３０６を用いて共通入力X を示している。また、符号３０７を用いて証拠W を示している。また、符号３０８を用いて第一のランダムテープRPを示している。また、符号３０９を用いて第二のランダムテープRVを示している。
次に、証明装置３０１と検証装置３０２とによる関係R の否認可能零知識対話証明の動作について説明する。
まず、証明装置３０１の証明生成装置３３０に、(X,W) ∈ Rなる共通入力X 、証拠W 、および第一のランダムテープRPが入力される。
続いて、検証装置３０２が備える挑戦値のコミットメント生成装置３１２に、共通入力X 、および第二のランダムテープRVが入力される。
次に、挑戦値のコミットメント生成装置３１２は、以下のようにして、第一の関係R に関する挑戦値のコミットメントを、ハッシュ関数の計算装置３１１に生成させる。挑戦値のコミットメント生成装置３１２は、第二のランダムテープRVを用いて、挑戦値eRを選ぶ。また、挑戦値のコミットメント生成装置３１２は、第二のランダムテープRVを用いて、乱数r を選ぶ。この乱数r は、挑戦値のコミットメントの証拠となっている。挑戦値のコミットメント生成装置３１２は、挑戦値eRおよび乱数r をハッシュ関数の計算装置３１１に送信する。ハッシュ関数の計算装置３１１は、c = Hash(eR,r)として、挑戦値のコミットメントc を計算し、挑戦値のコミットメントc を挑戦値のコミットメント生成装置３１２に送信する。このときの通信を、図１では、通信３１３として示している。
挑戦値のコミットメント生成装置３１２は、ハッシュ関数の計算装置３１１から受信した挑戦値のコミットメントc を、挑戦値のコミットメント検証装置３２４に送信する（図１に示す通信３１４）。なお、挑戦値のコミットメント検証装置３２４は、挑戦値のコミットメント生成装置３１２から挑戦値のコミットメントc が送信されてくるのを待ち、挑戦値のコミットメント生成装置３１２から挑戦値のコミットメントc を受信する。
挑戦値のコミットメント検証装置３２４が挑戦値のコミットメントc を受信すると、証明生成装置３３０は、共通入力X 、証拠W 、および第一のランダムテープRPを、証明コミットメント生成装置３０３に送信する。証明コミットメント生成装置３０３は、関数ARによって、aR =AR(x,w,RP)として、証明コミットメントaRを生成する。そして、証明コミットメント生成装置３０３は、証明コミットメントaRを証明生成装置３３０に送信する。このときの通信を、図１では、通信３１５として示している。
証明生成装置３３０は、証明コミットメント生成装置３０３から受信した証明コミットメントaRを証明検証装置３４０に送信する（図１に示す通信３１６）。証明生成装置３３０は、証明コミットメントaRを送信した後、証明検証装置３４０から、挑戦値のコミットメントc によりコミットされた挑戦値およびそのコミットメントの証拠（乱数r ）が送信されてくるのを待つ。
証明検証装置３４０は、証明コミットメントaRを受信した後、挑戦値eRおよび乱数r を証明生成装置３３０に送信する（図１に示す通信３１７）。証明検証装置３４０は、挑戦値eRおよび乱数r を送信した後、証明生成装置３３０から応答が送信されてくるのを待つ。
証明生成装置３３０が挑戦値eRおよび乱数r を受信すると、挑戦値のコミットメント検証装置３２４は、ハッシュ関数の計算装置３１０と通信を行い（図１に示す通信３１９）、挑戦値eRおよび乱数をr を用いたハッシュ関数の計算結果が、挑戦値のコミットメントc と一致するか否かを判定する。すなわち、ハッシュ関数の計算装置３１０に、Hash(eR,r)を計算させ、その計算結果が、既に受信している挑戦値のコミットメントc と一致するか否かを判定する。換言すると、既に受信している挑戦値のコミットメントc が挑戦値eRのコミットメントであるか否かを、乱数r を用いて検証する。
c = Hash(eR,r)が成立していないならば、挑戦値のコミットメント検証装置３２４は、証明装置３０１の停止命令を証明生成装置３３０に出力する（図１に示す出力３２５）。停止命令が出力された場合、証明装置３０１は動作を停止する。なお、c = Hash(eR,r)が成立しているならば、停止命令を出力しない。
停止命令が出力されなかった場合、証明生成装置３３０は、共通入力X 、証拠W 、挑戦値eR、および第一のランダムテープRPを、応答生成装置３０４に送信する。応答生成装置３０４は、関数ZRによって、zR =ZR(x,w,eR,RP) として、応答zRを生成する。そして、応答生成装置３０４は、応答zRを証明生成装置３３０に送信する。このときの通信を、図１では、通信３２０として示している。
証明生成装置３３０は、応答生成装置３０４から受信した応答zRを証明検証装置３４０に送信する（図１に示す通信３１８）。
証明検証装置３４０は、応答zRを受信すると、共通入力X 、証明コミットメントaR、挑戦値eR、および応答zRを、対話証明検証装置３０５に送信する。なお、証明検証装置３４０は、挑戦値のコミットメント生成装置３１２から挑戦値eRを受信すればよい（図１に示す通信３２６）。対話証明検証装置３０５は、関数VRによって、VR(X,aR,eR,zR)の計算結果を導出する。この計算結果は、例えば、１か０かのいずれかとなり、証明の受理あるいは不受理を表す。対話証明検証装置３０５は、証明の受理あるいは不受理を表す信号を証明検証装置３４０に送信する。このときの通信を、図１では、通信３２１として示している。
証明検証装置３４０は、受信した信号（証明の受理あるいは不受理を表す信号）を、検証結果３２２として出力する。
第１の実施の形態によれば、検証装置３０２から証明装置３０１への送信は、挑戦値のコミットメントc の送信（図１に示す通信３１４）、および、そのコミットメントが挑戦値のコミットメントであることを示すデータの送信（図１に示す通信３１７）のみである。よって、通信量が少なくて済み、方式を簡易化し、通信を効率化することができる。
第１の実施の形態において、証明装置が備える共通入力等入力手段、ランダムテープ入力手段、証明コミットメント生成制御手段、挑戦値等受信手段、および応答生成制御手段は、証明装置３０１の証明生成装置３３０によって実現される。また、証明装置が備える挑戦値コミットメント受信手段、挑戦値コミットメント検証手段は、証明装置３０１の挑戦値のコミットメント検証装置３２４によって実現される。
そして、検証装置が備える共通入力入力手段、ランダムテープ入力手段、挑戦値生成手段、乱数生成手段、挑戦値コミットメント生成制御手段は、検証装置３０２の挑戦値のコミットメント生成装置３１２によって実現される。また、検証装置が備える証明コミットメント受信手段、応答受信手段、検証結果出力手段は、検証装置３０３の証明検証装置３４０によって実現される。
実施の形態２．
以下の説明では、ビット毎の排他的論理和を符号∨によって表すものとする。
図２は、本発明の第２の実施の形態の証明装置および検証装置を示す説明図である。証明装置４０１および検証装置４０２は、互いに通信可能となるように接続されている。証明装置４０１には、(X,W) ∈ Rなる共通入力X、証拠W、第一のランダムテープRP、第二のランダムテープR'Pが入力される。この関係R は、予め定められた関係であり、以下、第一の関係と呼ぶ。なお、第一の関係R とは別の第二の関係をR'とする。
証明装置４０１は、第二の関係に関する非対話的知識の証明検証装置４２３（以下、第二関係証明検証装置４２３と記す。）と、非対話的な、第一の関係を満たす証拠、あるいは第二の関係を満たす証拠のいずれかの証拠の知識の証明生成装置４２５（以下、証明生成装置４２５と記す。）とを備える。
検証装置４０２は、第二の関係に関する非対話的知識の証明生成装置４１７（以下、第二関係証明生成装置４１７と記す。）と、非対話的な、第一の関係を満たす知識、あるいは第二の関係を満たす知識のいずれかの知識の証明検証装置４３４（以下、証明検証装置４３４と記す。）とを備える。
第二関係証明検証装置４２３は、ハッシュ関数の計算装置４１０と通信可能に接続される。また、第二関係証明検証装置４２３は、第二の関係R'に関する特別正直検証者零知識対話証明の検証装置４０８（以下、第二対話証明検証装置４０８と記す。）とも通信可能に接続されている。
証明生成装置４２５は、ハッシュ関数の計算装置４１０と通信可能に接続される。また、証明生成装置４２５は、第一の関係R に関する特別正直検証者零知識対話証明の証明コミットメント生成装置４０３（以下、第一証明コミットメント生成装置４０３と記す。）と通信可能に接続される。また、証明生成装置４２５は、第一の関係R に関する特別正直検証者零知識対話証明の応答生成装置４０４（以下、第一応答生成装置４０４と記す。）と通信可能に接続される。さらに、証明生成装置４２５は、第二の関係R'に関する特別正直検証者零知識対話証明の模擬装置４０９（以下、第二関係模擬装置４０９と記す。）と通信可能に接続される。
第二関係証明生成装置４１７は、ハッシュ関数の計算装置４１１と通信可能に接続される。また、第二関係証明生成装置４１７は、第二の関係R' に関する特別正直検証者零知識対話証明の証明コミットメント生成装置４０６（以下、第二証明コミットメント生成装置４０６）と通信可能に接続される。さらに、第二関係証明生成装置４１７は、第二の関係R'に関する特別正直検証者零知識対話証明の応答生成装置４０７（以下、第二応答生成装置４０７）と通信可能に接続される。
証明検証装置４３４は、ハッシュ関数の計算装置４１１と通信可能に接続される。また、証明検証装置４３４は、第一の関係R に関する特別正直検証者零知識対話証明の検証装置４０５（以下、第一対話証明検証装置４０５と記す。）と通信可能に接続される。さらに、証明検証装置４３４は、第二対話証明検証装置４０８と通信可能に接続される。
第一証明コミットメント生成装置４０３は、関数（関数ARとする。）に従って、証明生成装置４２５からの入力に応じた証明コミットメントを生成し、証明生成装置４２５に出力する。なお、本実施の形態における関数ARの具体的な計算例は、例えば、従来技術２で示した関数ARと同様である。
第一応答生成装置４０４は、関数（関数ZRとする。）に従って、証明生成装置４２５からの入力に応じた応答を生成し、証明生成装置４２５に出力する。なお、本実施の形態における関数ZRの具体的な計算例は、例えば、従来技術２で示した関数ZRと同様である。
第一対話証明検証装置４０５は、関数（関数VRとする。）に従って、証明検証装置４３４からの入力に応じた検証結果（証明の受理あるいは不受理を表す信号）を生成し、証明検証装置４３４に出力する。なお、本実施の形態における関数VRの具体的な計算例は、例えば、従来技術２で示した関数VRと同様である。なお、検証結果が１であれば、証明の受理を表し、検証結果が０であれば、証明の不受理を表すものとする。
第二証明コミットメント生成装置４０６は、関数（関数AR’ とする。）に従って、第二関係証明生成装置４１７からの入力に応じた証明コミットメント（aR'とする。）を生成し、第二関係証明生成装置４１７に出力する。関数AR’ は、共通入力、証拠、ランダムテープを入力とし、証明コミットメントを出力する関数である。ここでは、関数AR’ が関数ARとは異なる計算を行う関数であるものとして説明するが、第一の関係R と第二の関係R’とが同じ関係であるならば、関数AR’ が関数ARと同様の計算を行う関数であってもよい。
第二応答生成装置４０７は、関数（関数ZR’ とする。）に従って、第二関係証明生成装置４１７からの入力に応じた応答を生成し、第二関係証明生成装置４１７に出力する。関数ZR’ は、共通入力、証拠、挑戦値、およびランダムテープを入力とし、応答（zR'とする。）を出力する関数である。ここでは、関数ZR’ が関数ZRとは異なる計算を行う関数であるものとして説明するが、第一の関係R と第二の関係R’とが同じ関係であるならば、関数ZR’ が関数ZRと同様の計算を行う関数であってもよい。
第二対話証明検証装置４０８は、関数（関数VR’ とする。）に従って、第二関係証明検証装置４２３や証明検証装置４３４からの入力に応じた検証結果（証明の受理あるいは不受理を表す信号）を生成し、第二関係証明検証装置４２３や証明検証装置４３４にその検証結果を出力する。関数VR’ は、証明コミットメント、応答、共通入力、挑戦値を入力とし、検証結果を出力する関数である。ここでは、関数VR’ が関数VRとは異なる計算を行う関数であるものとして説明するが、第一の関係R と第二の関係R’とが同じ関係であるならば、関数VR’ が関数VRと同様の計算を行う関数であってもよい。なお、検証結果が１であれば、証明の受理を表し、検証結果が０であれば、証明の不受理を表すものとする。
第二関係模擬装置４０９は、関数（関数SR’ とする。）に従って、証明生成装置４２５からの入力に応じた証明コミットメントおよび応答を出力する。関数SR’ は、共通入力、挑戦値、およびランダムテープを入力とし、証明コミットメントおよび応答を出力する関数である。本実施の形態における関数SR’ の具体的な計算例は、例えば、従来技術２で示した関数SRと同様である。
第二関係証明生成装置４１７には、共通入力X と第三のランダムテープが入力される。なお、第三のランダムテープとしては、RVおよびR'V が入力される。また、第二関係証明生成装置４１７は、第二の関係R'に関する非対話的知識の証明（PR' とする。）を第二関係証明検証装置４２３に出力する。
第二関係証明検証装置４２３は、第二の関係R'に関する非対話的知識の証明PR' を用いて、所定の関係式が成立しているか否かを判定する。
証明生成装置４２５には、前述の共通入力X、証拠W、第一のランダムテープRP、第二のランダムテープR'Pが入力される。そして、非対話的な、第一の関係を満たす証拠、あるいは第二の関係を満たす証拠のいずれかの証拠の知識の証明（PR∨R'とする。）を生成し、その証明を証明検証装置４３４に出力する。
証明検証装置４３４は、第一対話証明検証装置４０５および第二対話証明検証装置４０８との通信結果に基づいて、証明PR∨R'の受理または不受理を表す信号を検証結果４３５として出力する。
なお、図２では、符号４１２を用いて共通入力X を示している。また、符号４１３を用いて証拠W を示している。また、符号４１４を用いて第一のランダムテープRPを示している。また、符号４１５を用いて第二のランダムテープR'P を示している。また、符号４１６を用いて第三のランダムテープRVおよびR'V を示している。
次に、証明装置４０１と検証装置４０２とによる関係R の否認可能零知識対話証明の動作について説明する。
まず、証明装置４０１の証明生成装置４２５に、(X,W) ∈ Rなる共通入力X 、証拠W 、第一のランダムテープRP、および第二のランダムテープR'Pが入力される。
続いて、検証装置４０２の第二関係証明生成装置４１７に、共通入力X 及び第三のランダムテープRVおよびR'V が入力される。
次に、第二関係証明生成装置４１７は、以下のようにして、第二の関係R'に関する非対話的知識の証明PR' を生成する。
第二関係証明生成装置４１７は、一様無作為に、(X',W') ∈ R' なるX',W' （第二の関係R'に関する共通入力および証拠）を、第三のランダムテープのうちのR'V を用いて生成する。
次に、第二関係証明生成装置４１７は、共通入力X'、証拠W'、第三のランダムテープのうちのRVを第二証明コミットメント生成装置４０６に送信する。第二証明コミットメント生成装置４０６は、関数AR’ によって、aR'=AR'(X',W', RV)として、証明コミットメントaR' を生成する。そして、第二証明コミットメント生成装置４０６は、証明コミットメントaR' を第二関係証明生成装置４１７に送信する。このときの通信を、図２では、通信４１８として示している。
次に、第二関係証明生成装置４１７は、共通入力X'、証明コミットメントaR' をハッシュ関数の計算装置４１１に送信する。ハッシュ関数の計算装置４１１は、eR' =Hash(X',aR') としてハッシュ値を計算する。ハッシュ関数の計算装置４１１は、ハッシュ値eR' を第二関係証明生成装置４１７に送信する。このときの通信を、図２では、通信４１９として示している。
次に、第二関係証明生成装置４１７は、共通入力X'、証拠W'、ハッシュ値eR' 、および第三のランダムテープのうちのRVを第二応答生成装置４０７に送信する。ここでは、ハッシュ値eR' を挑戦値として送信する。第二応答生成装置４０７は、関数ZR’ によって、zR' =ZR'(X',W',eR', RV)として、応答zR'を生成する。第二応答生成装置４０７は、応答zR'を第二関係証明生成装置４１７に送信する。このときの通信を、図２では、通信４２０として示している。
第二関係証明生成装置４１７は、第二の関係R'に関する非対話的知識の証明PR'を(X',aR',zR') とする。第二関係証明生成装置４１７は、以上のようにして生成した証明PR'=(X',aR',zR')を、第二関係証明検証装置４２３に送信する（図２に示す通信４２１）。
なお、第二関係証明検証装置４２３は、証明PR'（第二の関係R’に関する共通入力X'とその共通入力X'に対応する証拠W'の知識の非対話証明）が送信されてくるのを待ち、上記の通信４２１で、第二関係証明生成装置４１７をから証明PR'=(X',aR',zR')を受信する。
証明装置４０１の第二関係証明検証装置４２３は、以下のようにして、第二の関係R' に関する非対話的知識の証明 PR'を検証する。
第二関係証明検証装置４２３は、共通入力X'、証明コミットメントaR' をハッシュ関数の計算装置４１０に送信する。ハッシュ関数の計算装置４１０は、eR' = Hash(X',aR') としてハッシュ値を計算する。ハッシュ関数の計算装置４１０は、ハッシュ値eR'を第二関係証明検証装置４２３に送信する。このときの通信を、図２では、通信４２２として示している。
第二関係証明検証装置４２３は、共通入力X'、証明コミットメントaR' 、ハッシュ値eR'、応答zR'を第二対話証明検証装置４０８に送信する。ここでは、ハッシュ値eR' を挑戦値として送信する。第二対話証明検証装置４０８は、関数VR’ によって、VR'(X',aR',eR',zR')の計算結果を導出し、その計算結果を第二関係証明検証装置４２３に送信する。このときの通信を、図２では、通信４２４として示している。
第二関係証明検証装置４２３は、VR'(X',aR',eR',zR')=1が成り立つか否かを判定する。成り立っていないならば、証明装置４０１を停止する。また、成り立っているならば、証明装置４０１は、次に示す動作を行う。すなわち、VR'(X',aR',eR',zR')=1が成立していれば、証明 PR'を受理とし、成立していなければ証明 PR'を不受理とする。
証明装置４０１の証明生成装置４２５は、以下のようにして、第一の関係R を満す証拠あるいは第二の関 係R' を満す証拠の、いずれかの証拠に関する知識の非対話的知識の証明PR∨R'を生成する。
証明生成装置４２５は、第二のランダムテープR'Pを用いて乱数e'R'を生成し、これを第二の関係R'に関する挑戦値とする。
次に、証明生成装置４２５は、共通入力X'、挑戦値e'R'、および第二のランダムテープR'Pを第二関係模擬装置４０９に送信して、第二関係模擬装置４０９に第二の関係R'に関する証明コミットメントa'R'と応答z'R'を生成させる。第二関係模擬装置４０９は、関数SR’ によって、(a'R',z'R') =SR'(X',e'R',R'P)を導出し、証明コミットメントa'R'と応答z'R'を証明生成装置４２５に送信する。このときの通信を、図２では、通信４２６として示している。
次に、証明生成装置４２５は、共通入力X 、証拠W 、および第一のランダムテープRPを第一証明コミットメント生成装置４０３に送信する。第一証明コミットメント生成装置４０３は、関数ARによって、aR=AR(X,W,RP)として、証明コミットメントaRを生成し、証明生成装置４２５に送信する。このときの通信を、図２では、通信４２７として示している。
次に、証明生成装置４２５は、第一の関係R に関する共通入力X 、証明コミットメントaR、第二の関係R'に関する共通入力X'、証明コミットメントa'R'を、ハッシュ関数の計算装置４１０に送信する。ハッシュ関数の計算装置４１０は、e = Hash(X,aR,X',a'R')としてハッシュ値e を計算し、そのハッシュ値を証明生成装置４２５に送信する。このときの通信を、図２では、通信４２８として示している。
次に、証明生成装置４２５は、eR= e ∨ e'R'として、挑戦値eRを計算する。証明生成装置４２５は、共通入力X 、証拠W 、挑戦値eR、および第一のランダムテープRPを第一応答生成装置４０４に送信し、応答zRを生成させる。第一応答生成装置４０４は、関数ZRによって、zR=ZR(X,W,eR,RP)として、応答zRを生成し、応答zRを証明生成装置４２５に送信する。このときの通信を、図２では、通信４２９として示している。
証明生成装置４２５は、第一の関係R を満す証拠あるいは第二の関係R'を満す証拠の、いずれかの証拠に関する知識の非対話的知識の証明 PR∨R' を(aR,eR,zR, a'R',e'R',z'R') とする。証明生成装置４２５は、以上のようにして生成した証明PR∨R'= (aR,eR,zR, a'R',e'R',z'R')を、検証装置４０２の証明検証装置４３４に送信する（図２に示す通信４２９）。
証明検証装置４３４は、共通入力X （検証装置４０２に入力された共通入力X）、証明コミットメントaR、共通入力X'、および証明コミットメントa'R'をハッシュ関数の計算装置４１１に送信し、ハッシュ値を計算させる。ハッシュ関数の計算装置４１１は、Hash(X,aR,X',a'R')の計算結果を導出し、その計算結果（ハッシュ値）を証明検証装置４３４に送信する。このときの通信を、図２では、通信４３０として示している。そして、証明検証装置４３４は、Hash(X,aR,X',a'R')の計算結果が、eR∨e'R'と等しくなっているか否かを判定する。
次に、証明検証装置４３４は、共通入力X 、証明コミットメントaR、挑戦値eR、応答zRを第一対話証明検証装置４０５に送信する。第一対話証明検証装置４０５は、関数VRによって、VR(X,aR,eR,zR)の計算結果を導出し、その計算結果を証明検証装置４３４に送信する。このときの通信を、図２では、通信４３２として示している。証明検証装置４３４は、VR(X,aR,eR,zR)=1が成立しているか否かを判定する。
次に、証明検証装置４３４は、共通入力X'、証明コミットメントa'R'、挑戦値e'R'、応答z'R'を第二対話証明検証装置４０８に送信する。第二対話証明検証装置４０８は、関数VR’ によって、VR'(X',a'R',e'R',z'R')の計算結果を導出し、その計算結果を証明検証装置４３４に送信する。このときの通信を、図２では、通信４３１として示している。証明検証装置４３４は、VR'(X',a'R',e'R',z'R')=1が成立しているか否かを判定する。
証明検証装置４３４は、上記の各判定が全て成立している場合、すなわち、Hash(X,aR,X',a'R')=eR∨e'R'、VR(X,aR,eR,zR)=1、およびVR'(X',a'R',e'R',z'R')=1が全て成立している場合、“１”を検証結果４３５として出力する。その他の場合、証明検証装置４３４は、“０”を検証結果４３５として出力する。上記の“１”は、証明 PR∨R' を受理することを表す。また、上記の“０”は、証明 PR∨R' を受理しないことを表す。
第２の実施の形態によれば、検証装置４０２から証明装置４０１に送信する通信量が少なくて済み、通信量や計算量を抑えることができる。例えば、図４に示す従来技術１では、検証装置から証明装置に2t個のc[1,i]、c[2,i]を送信している。それに対し、第２の実施の形態では、検証装置４０２は、証明装置４０１に対して証明PR’を送信しているのみである。このように、本発明によれば、通信量や計算量を抑えることができる。
第２の実施の形態において、証明装置が備える非対話証明受信手段、非対話証明受理不受理判定手段は、証明装置４０２の第二関係証明検証装置４２３によって実現される。また、証明装置が備える共通入力等受信手段、ランダムテープ入力手段、証拠知識非対話証明生成手段、非対話証明送信手段は、証明装置４０２の証明生成装置４２５によって実現される。
そして、検証装置が備える共通入力入力手段、ランダムテープ入力手段、共通入力等生成手段、証拠知識非対話証明生成手段、非対話証明送信手段は、検証装置４０２の第二関係証明生成装置４１７によって実現される。また、検証装置が備える非対話証明受信手段、判定手段は、検証装置４０２の証明検証装置４３４によって実現される。
本発明によれば、特別正直検証者零知識対話証明が存在すれば否認可能零知識対話証明を行なうことが可能であり、特にその計算量と通信量に関する効率を従来技術１と比較して著しく高めることができる。
また、本発明によれば、証明装置が、検証装置と通信を行った事実を、いかなる検証装置も証明することができないため、効率的な否認不可署名、否認可能証明、レシートフリー電子投票を実現することができる。
また、上記の各実施の形態において、証明装置、検証装置を、それぞれプログラムに従って動作するコンピュータによって実現してもよい。
なお、上記の各実施の形態では、証明を受理する場合を“１”で表し、受理しない場合を“０”で表すようにしているが、逆であってもよい。
以下、第２の実施の形態の実施例について説明する。図３は、本発明の第２の形態の実施例を示す説明図である。本実施例では、第一の関係R と第二の関係R'として両方とも同じ離散対数の関係を用いる場合を例にして説明する。そして、本実施例の実現は、否認可能認証となっている。ここでは、証明装置が検証装置による認証を受ける。
図３に示す証明装置５０１は、第２の実施の形態における証明装置４０１に相当し、図３に検証装置５０２は、第２の実施の形態における検証装置４０２に相当する。
証明装置５０１は、第二の関係に関する非対話的知識の証明検証装置５２３（以下、第二関係証明検証装置５２３と記す。）と、非対話的な、第一の関係を満たす証拠、あるいは第二の関係を満たす証拠のいずれかの証拠の知識の証明生成装置５２５（以下、証明生成装置５２５と記す。）とを備える。これらは、それぞれ、第二の実施の形態における証明検証装置４２３、証明生成装置４２５に相当する。
検証装置５０２は、第二の関係に関する非対話的知識の証明生成装置５１７（以下、第二関係証明生成装置５１７と記す。）と、非対話的な、第一の関係を満たす知識、あるいは第二の関係を満たす知識のいずれかの知識の証明検証装置５３４（以下、証明検証装置５３４と記す。）とを備える。これらは、それぞれ、第二の実施の形態における第二関係証明生成装置４１７、証明検証装置４３４に相当する。
また、図３に示すハッシュ関数の計算装置５１０，５１１は、それぞれ第２の実施の形態におけるハッシュ関数の計算装置４１０，４１１に相当する。
また、図３では、符号５１２を用いて共通入力X を示している。また、符号５１３を用いて証拠W を示している。また、符号５１４を用いて第一のランダムテープRPを示している。また、符号５１５を用いて第二のランダムテープR'P を示している。また、符号５１６を用いて第三のランダムテープRVおよびR'V を示している。
本実施例では、第一の関係R と第二の関係R'として両方とも同じ離散対数の関係を用いる。従って、第２の実施の形態における第一証明コミットメント生成装置４０３および第二証明コミットメント生成装置４０６を、同一の装置で実現している。この装置は、図３に示す離散対数の関係に関する特別正直検証者零知識対話証明の証明コミットメント生成装置５０３（以下、証明コミットメント生成装置５０３と記す。）である。証明コミットメント生成装置５０３は、関数ARによって、証明コミットメントを生成する。
同様に、本実施例では、第２の実施の形態における第一応答生成装置４０４および第二応答生成装置４０７を、同一の装置で実現している。この装置は、図３に示す離散対数の関係に関する特別正直検証者零知識対話証明の応答生成装置５０４（以下、応答生成装置５０４と記す。）である。応答生成装置５０４は、関数ZRによって、応答を生成する。
同様に、本実施例では、第２の実施の形態における第一対話証明検証装置４０５および第二対話証明検証装置４０８を、同一の装置で実現している。この装置は、図３に示す離散対数の関係に関する特別正直検証者零知識対話証明の検証装置５０５（以下、対話証明検証装置５０５と記す。）である。対話証明検証装置５０５は、関数VRによって、検証結果を導出する。
また、図３に示す離散対数の関係に関する特別正直検証者零知識対話証明の模擬装置５０９（以下、模擬装置５０９と記す。）は、第二の実施の形態における第二関係模擬装置４０９に相当する。模擬装置５０９は、関数SR’ を用いて、証明コミットメントおよび応答を生成する。
以下に本実施例における関数AR、関数ZR、関数VR、関数SR’ について説明する。なお、本実施例では用いないが、補足として、従来技術２における関数ERについても併せて説明する。
［関数AR］
入力は、X,W 、及びランダムテープRPである。そして、RPからランダムな x' ∈ Z/qZ を生成し、aR = y' =gx' として、aRを出力する。
［関数ZR］
入力は、X,W、ランダムテープRP、及び eR=cである。そして、 zR = r = xc + x' mod q を計算し、zRを出力する。
［関数VR］
入力は、X,aR,eR,zRである。そして、gr = yc y'が成立するならば１を出力し、成立しないならば０を出力する。
［関数SR’ ］
入力は、X,eR=c,及びランダムテープRSである。そして、RSからランダムな zR=r ∈ Z/qZ を生成し、aR = y' = gry-c を生成する。そして、(aR,zR) を出力する。
［関数ER］
入力は、aR,eR=c,zR=r, e'R=c',z'R=r'である。そして、 W = x =(r-r')/(c'-c) mod q を計算し、W を出力する。
なお、上記の関数の説明で、入力となるランダムテープをRS等と表したが、これは入力となるランダムテープを便宜的に表したものに過ぎない。
次に、本実施例における証明装置と検証装置とによる否認可能認証の動作について説明する。
まず、証明装置５０１の証明生成装置５２５に、(X,W) ∈ Rなる共通入力X 、証拠W 、第一のランダムテープRP、および第二のランダムテープR'Pが入力される。
続いて、検証装置５０２の第二関係証明生成装置５１７に、共通入力X 及び第三のランダムテープRVおよびR'V が入力される。
次に、第二関係証明生成装置５１７は、以下のようにして、離散対数の関係に関する非対話的知識の証明PRを生成する。
第二関係証明生成装置５１７は、一様無作為に、(X',W') ∈R' なるX',W' を、第三のランダムテープのうちのR'V を用いて生成する。
次に、第二関係証明生成装置５１７は、共通入力X'、証拠W'、第三のランダムテープのうちのRVを証明コミットメント生成装置５０３に送信する。証明コミットメント生成装置５０３は、関数ARによって、αR= AR(X',W', RV)として、証明コミットメントαR を生成する。そして、証明コミットメント生成装置５０３は、証明コミットメントαR を第二関係証明生成装置５１７に送信する。このときの通信を、図３では、通信５１８として示している。
次に、第二関係証明生成装置５１７は、共通入力X'、証明コミットメントαR をハッシュ関数の計算装置５１１に送信する。ハッシュ関数の計算装置５１１は、εR=Hash(X', αR)としてハッシュ値を計算する。ハッシュ関数の計算装置５１１は、ハッシュ値εR を第二関係証明生成装置５１７に送信する。このときの通信を、図３では、通信５１９として示している。
次に、第二関係証明生成装置５１７は、共通入力X'、証拠W'、ハッシュ値εR 、および第三のランダムテープのうちのRVを応答生成装置５０４に送信する。ここでは、ハッシュ値εR を挑戦値として送信する。応答生成装置５０４は、関数ZRによって、ζR =ZR(X',W',εR, RV)として、応答ζR を生成する。応答生成装置５０４は、応答ζR を第二関係証明生成装置５１７に送信する。このときの通信を、図３では、通信５２０として示している。
第二関係証明生成装置５１７は、離散対数の関係に関する非対話的知識の証明PRを(X',εR,ζR)とする。第二関係証明生成装置５１７は、以上のようにして生成した証明 PR=(X',εR,ζR)を、第二関係証明検証装置５２３に送信する（図３に示す通信５２１）。
なお、第二関係証明検証装置５２３は、証明PRが送信されてくるのを待ち、上記の通信５２１で、第二関係証明生成装置５１７から証明 PR=(X',εR,ζR)を受信する。
証明装置５０１の第二関係証明検証装置５２３は、以下のようにして、離散対数の関係に関する非対話的知識の証明PRを検証する。
第二関係証明検証装置５２３は、共通入力X'、証明コミットメントαR をハッシュ関数の計算装置５１０に送信する。ハッシュ関数の計算装置５１０は、ε'R = Hash(X', αR)としてハッシュ値を計算する。ハッシュ関数の計算装置５１０は、ハッシュ値ε'Rを第二関係証明検証装置５２３に送信する。このときの通信を、図３では、通信５２２として示している。
第二関係証明検証装置５２３は、共通入力X'、証明コミットメントαR 、ハッシュ値ε'R、応答ζR を対話証明検証装置５０５に送信する。ここでは、ハッシュ値ε'Rを挑戦値として送信する。対話証明検証装置５０５は、関数VRによって、VR(X',αR,ε'R, ζR)の計算結果を導出し、その計算結果を第二関係証明検証装置５２３に送信する。このときの通信を、図３では、通信５２４として示している。
第二関係証明検証装置５２３は、VR(X',αR,ε'R, ζR)=1が成り立つか否かを判定する。成り立っていないならば、証明装置５０１を停止する。また、成り立っているならば、証明装置５０１は、次に示す動作を行う。すなわち、VR(X',αR,ε'R, ζR)=1が成立していれば、証明PRを受理とし、成立していなければ証明PRを不受理とする。
証明装置５０１の証明生成装置５２５は、以下のようにして、X に関して離散対数の関係を満す証拠あるいはX'に関して離散対数の関係を満す証拠の、いずれかの証拠に関する知識の非対話的知識の証明 PR(X)∨R(X') を生成する。
証明生成装置５２５は、第二のランダムテープR'P を用いて乱数e'Rを生成し、これを挑戦値とする。
次に、証明生成装置５２５は、共通入力X'、挑戦値e'R、および第二のランダムテープR'Pを模擬装置５０９に送信して、模擬装置５０９に証明コミットメントa'Rと応答z'Rを生成させる。模擬装置５０９は、関数SR’ によって、(a'R,z'R) =SR'(X',e'R,R'P)を導出し、証明コミットメントa'Rと応答z'Rを証明生成装置５２５に送信する。このときの通信を、図３では、通信５２６として示している。
次に、証明生成装置５２５は、共通入力X 、証拠W 、および第一のランダムテープRPを証明コミットメント生成装置５０３に送信する。証明コミットメント生成装置５０３は、関数ARによって、aR=AR(X,W,RP)として、証明コミットメントaRを生成し、証明生成装置５２５に送信する。このときの通信を、図３では、通信５２７として示している。
次に、証明生成装置５２５は、共通入力X 、証明コミットメントaR、共通入力X'、証明コミットメントa'Rを、ハッシュ関数の計算装置５１０に送信する。ハッシュ関数の計算装置５１０は、e = Hash(X,aR,X',a'R) としてハッシュ値e を計算し、そのハッシュ値を証明生成装置５２５に送信する。このときの通信を、図３では、通信５２８として示している。
次に、証明生成装置５２５は、eR= e ∨ e'Rとして、挑戦値eRを計算する。証明生成装置５２５は、共通入力X 、証拠W 、挑戦値eR、および第一のランダムテープRPを応答生成装置５０４に送信し、応答zRを生成させる。応答生成装置５０４は、関数ZRによって、zR=ZR(X,W,eR,RP)として、応答zRを生成し、応答zRを証明生成装置５２５に送信する。このときの通信を、図３では、通信５２９として示している。
証明生成装置５２５は、X に関する離散対数の関係を満す証拠あるいはX' に関する離散対数の関係を満す証拠の、いずれかの証拠に関する知識の非対話的知識の証明 PR(X)∨R(X') を(aR,eR,zR, a'R,e'R,z'R)とする。証明生成装置５２５は、以上のようにして生成した証明 PR(X)∨R(X') =(aR,eR,zR, a'R,e'R,z'R)を、検証装置５０２の証明検証装置５３４に送信する（図３に示す通信５２９）。
証明検証装置５３４は、共通入力X 、証明コミットメントaR、共通入力X'、および証明コミットメントa'Rをハッシュ関数の計算装置５１１に送信し、ハッシュ値を計算させる。ハッシュ関数の計算装置５１１は、Hash(X,aR,X',a'R) の計算結果を導出し、その計算結果（ハッシュ値）を証明検証装置５３４に送信する。このときの通信を、図３では、通信５３０として示している。そして、証明検証装置５３４は、Hash(X,aR,X',a'R) の計算結果が、eR∨e'Rと等しくなっているか否かを判定する。
次に、証明検証装置５３４は、共通入力X 、証明コミットメントaR、挑戦値eR、応答zRを対話証明検証装置５０５に送信する。対話証明検証装置５０５は、関数VRによって、VR(X,aR,eR,zR)の計算結果を導出し、その計算結果を証明検証装置５３４に送信する。このときの通信を、図３では、通信５３２として示している。証明検証装置５３４は、VR(X,aR,eR,zR)=1が成立しているか否かを判定する。
次に、証明検証装置５３４は、共通入力X'、証明コミットメントa'R、挑戦値e'R、応答z'Rを対話証明検証装置５０５に送信する。対話証明検証装置５０５は、関数VRによって、VR(X',a'R,e'R,z'R)の計算結果を導出し、その計算結果を証明検証装置５３４に送信する。このときの通信を、図３では、通信５３１として示している。証明検証装置５３４は、VR(X',a'R,e'R,z'R)=1が成立しているかを判定する。
証明検証装置５３４は、上記の各判定が全て成立している場合、すなわち、Hash(X,aR,X',a'R) =eR∨e'R、VR(X,aR,eR,zR)=1、およびVR(X',a'R,e'R,z'R)=1が全て成立している場合、“１”を検証結果５３５として出力する。その他の場合、証明検証装置５３４は、“０”をを検証結果５３５として出力する。上記の“１”は、証明 PR(X)∨R(X')を受理することを表す。また、上記の“０”は、証明 PR(X)∨R(X')を受理しないことを表す。
本発明は、例えば、否認不可署名の否認プロトコル、 否認不可署名の確認プロトコル、否認可能認証等に使われる否認可能零知識対話証明に適用可能である。
また、本発明は、スマートカード等の計算力の小さなハードウェアによる否認可能認証にも適用可能である。スマートカード等を用いて従来の方法で否認可能証明のようなプライバシー保護性が高い認証を行なう場合、スマートカード等の計算力の低さにより、膨大な時間がかかってしまっていた。本発明を適用することにより、一般に使われているプライバシー保護性が低い認証の高々２倍程度の計算量で、プライバシー保護性が高い認証を実現できる。
また、サーバ等が多くのプライバシー保護性が高い認証を行なう場合にも、本発明を用いることができる。一般に、サーバ等が多量の認証を行なう場合、個々の認証に必要な時間と通信量が大して多くなくとも、多量の認証を行なうと、全体としてそれらの量は膨大となる。本発明を用いれば、プライバシー保護性が高い認証を行っても、サーバの計算量と通信量を小さく抑えることができる。
また、プライバシー保護性が高い零知識証明を行なう場合にも、本発明を用いることができる。認証、電子投票、否認 不可署名、検証者指定署名等、高いプライバシー保護性が満されると都合のよいアプリケーションが多くある。また、これらのアプリケーションに対応する特別正直検証者零知識対話証明が数多く提案されている。これらの特別正直検証者零知識対話証明に本発明を適用すれば、高いプライバシー保護性が満される電子投票、否認不可署名、検証者指定署名等が容易に実現できる。
本発明の第１の実施の形態の証明装置および検証装置を示す説明図である。 本発明の第２の実施の形態の証明装置および検証装置を示す説明図である。 本発明の実施例を示す説明図である。 非特許文献１に記載される構成を示す説明図である。 非特許文献２に記載される構成を示す説明図である。 非特許文献２に記載される構成を示す説明図である。
符号の説明
３０１ 証明装置
３０２ 検証装置
３０３ 証明コミットメント生成装置
３０４ 応答生成装置
３０５ 対話証明検証装置
３１０，３１１ ハッシュ関数の計算装置
３１２ 挑戦値のコミットメント生成装置
３２４ 挑戦値のコミットメント検証装置
３３０ 証明生成装置
３４０ 証明検証装置

Claims (2)

  1. 検証装置と通信可能に接続される証明装置であって、
    予め定められた関係を満たす共通入力および証拠とランダムテープとに基づいて、前記関係に関する特別正直検証者零知識対話証明の証明コミットメントを生成する証明コミットメント生成装置と通信可能に接続され、
    共通入力と証拠とランダムテープと挑戦値とに基づいて、前記関係に関する特別正直検証者零知識対話証明の応答を生成する応答生成装置と通信可能に接続され、
    前記関係を満たす共通入力および証拠が入力される共通入力等入力手段と、
    ランダムテープが入力されるランダムテープ入力手段と、
    前記検証装置から挑戦値のコミットメントを受信する挑戦値コミットメント受信手段と、
    前記挑戦値コミットメント受信手段が挑戦値のコミットメントを受信した後に、共通入力と証拠とランダムテープとを前記証明コミットメント生成装置に送信して証明コミットメントを生成させ、当該証明コミットメントを前記検証装置に送信する証明コミットメント生成制御手段と、
    挑戦値および当該挑戦値のコミットメントの証拠となる乱数を前記検証装置から受信する挑戦値等受信手段と、
    挑戦値等受信手段が挑戦値および乱数を受信した後に、前記挑戦値コミットメント受信手段が受信した挑戦値のコミットメントが、前記挑戦値等受信手段が受信した挑戦値および乱数のハッシュ値であるか否かを検証することにより、前記挑戦値コミットメント受信手段が受信した挑戦値のコミットメントが、前記挑戦値等受信手段が受信した挑戦値のコミットメントであるか否かを検証する挑戦値コミットメント検証手段と、
    前記挑戦値コミットメント受信手段が受信した挑戦値のコミットメントが、前記挑戦値等受信手段が受信した挑戦値のコミットメントであると判定された場合に、共通入力と証拠とランダムテープと挑戦値とを前記応答生成装置に送信して応答を生成させ、当該応答を前記検証装置に送信する応答生成制御手段とを備えた
    ことを特徴とする証明装置。
  2. 請求項１に記載の証明装置と通信可能に接続される検証装置であって、
    共通入力と証明コミットメントと挑戦値と応答とに基づいて、予め定められた関係に関する特別正直検証者零知識対話証明の受理を表す信号または不受理を表す信号を出力する対話証明検証装置と通信可能に接続され、
    ハッシュ関数の計算を行うハッシュ関数の計算装置と通信可能に接続され、
    共通入力が入力される共通入力入力手段と、
    ランダムテープが入力されるランダムテープ入力手段と、
    ランダムテープを用いて挑戦値を生成する挑戦値生成手段と、
    ランダムテープを用いて乱数を生成する乱数生成手段と、
    前記挑戦値および前記乱数を前記ハッシュ関数の計算装置に送信し、前記挑戦値および前記乱数に応じたハッシュ値を計算させ、当該ハッシュ値を挑戦値のコミットメントとして前記証明装置に送信する挑戦値コミットメント生成制御手段と、
    前記証明装置から証明コミットメントを受信する証明コミットメント受信手段と、
    前記証明装置から応答を受信する応答受信手段と、
    共通入力と証明コミットメントと挑戦値と応答とを前記対話証明検証装置に送信して、当該対話証明検証装置から特別正直検証者零知識対話証明の受理を表す信号または不受理を表す信号を受信し、受信した信号を検証結果として出力する検証結果出力手段とを備えた
    ことを特徴とする検証装置。
JP2005233636A 2005-08-11 2005-08-11 否認可能零知識対話証明に適用される証明装置及び検証装置 Expired - Fee Related JP4940592B2 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2005233636A JP4940592B2 (ja) 2005-08-11 2005-08-11 否認可能零知識対話証明に適用される証明装置及び検証装置
EP06782728A EP1921793A2 (en) 2005-08-11 2006-08-08 Certificating device applied to deniable zero knowledge conversation and verifying device
PCT/JP2006/315994 WO2007018311A2 (ja) 2005-08-11 2006-08-08 否認可能零知識対話証明に適用される証明装置及び検証装置
US12/063,448 US8015405B2 (en) 2005-08-11 2006-08-08 Proving apparatus and verification apparatus applied to deniable zero-knowledge interactive proof

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2005233636A JP4940592B2 (ja) 2005-08-11 2005-08-11 否認可能零知識対話証明に適用される証明装置及び検証装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2012004225A Division JP5321696B2 (ja) 2012-01-12 2012-01-12 否認可能零知識対話証明に適用される証明装置及び検証装置

Publications (2)

Publication Number Publication Date
JP2007049571A JP2007049571A (ja) 2007-02-22
JP4940592B2 true JP4940592B2 (ja) 2012-05-30

Family

ID=37727728

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2005233636A Expired - Fee Related JP4940592B2 (ja) 2005-08-11 2005-08-11 否認可能零知識対話証明に適用される証明装置及び検証装置

Country Status (4)

Country Link
US (1) US8015405B2 (ja)
EP (1) EP1921793A2 (ja)
JP (1) JP4940592B2 (ja)
WO (1) WO2007018311A2 (ja)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4771053B2 (ja) * 2005-05-27 2011-09-14 日本電気株式会社 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム
JP4845107B2 (ja) * 2006-07-12 2011-12-28 日本電信電話株式会社 知識証明検証システム
US8448719B2 (en) 2007-08-09 2013-05-28 Nec Corporation Key exchange device
US8422683B2 (en) * 2008-07-15 2013-04-16 The Mitre Corporation Appraising systems with zero knowledge proofs
JP5434925B2 (ja) * 2008-10-07 2014-03-05 日本電気株式会社 多者分散乗算装置、多者分散乗算システム及び方法
EP2378706A4 (en) * 2008-12-11 2017-06-28 NEC Corporation Zero-knowledge proof system, zero-knowledge proof device, zero-knowledge verification device, zero-knowledge proof method and program therefor
US8583932B2 (en) * 2009-05-29 2013-11-12 Nec Corporation Signature device, signature verification device, anonymous authetication system, signing method, signature authentication method, and programs therefor
FR2973909B1 (fr) * 2011-04-08 2013-05-17 Agence Nationale Des Titres Securises Procede d'acces a une ressource protegee d'un dispositif personnel securise
EP2860905A1 (en) * 2013-10-09 2015-04-15 Thomson Licensing Method for ciphering a message via a keyed homomorphic encryption function, corresponding electronic device and computer program product
US9703963B2 (en) * 2014-05-09 2017-07-11 Fujitsu Limited Trusted and privacy-preserving mechanism for electricity usage data disclosure using verifiable noise
JP6334453B2 (ja) * 2015-04-16 2018-05-30 日本電信電話株式会社 証明システム、検証装置、証明装置、証明方法、およびプログラム
US10715471B2 (en) * 2018-08-22 2020-07-14 Synchronoss Technologies, Inc. System and method for proof-of-work based on hash mining for reducing spam attacks
US10447475B1 (en) * 2018-11-08 2019-10-15 Bar Ilan University System and method for managing backup of cryptographic keys
US11258606B1 (en) * 2020-08-19 2022-02-22 Mastercard Technologies Canada ULC Devices, systems, methods, and computer-readable media for zero knowledge proof authentication
CN113569294B (zh) * 2021-09-22 2022-01-07 浙江大学 一种零知识证明方法及装置、电子设备、存储介质

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2714780B1 (fr) * 1993-12-30 1996-01-26 Stern Jacques Procédé d'authentification d'au moins un dispositif d'identification par un dispositif de vérification.
EP0697687A4 (en) * 1994-03-07 2000-09-20 Nippon Telegraph & Telephone METHOD AND SYSTEM FOR PROVIDING AUTHENTICATION PROTOCOL BASED ON ZERO KNOWLEDGE
JP3595109B2 (ja) * 1997-05-28 2004-12-02 日本ユニシス株式会社 認証装置、端末装置、および、それら装置における認証方法、並びに、記憶媒体
US6282295B1 (en) * 1997-10-28 2001-08-28 Adam Lucas Young Auto-recoverable and auto-certifiable cryptostem using zero-knowledge proofs for key escrow in general exponential ciphers
JP3815022B2 (ja) * 1998-02-09 2006-08-30 富士ゼロックス株式会社 利用資格検証装置および方法、ならびに、利用資格検証システム
JPH11252070A (ja) * 1998-03-02 1999-09-17 Kdd Corp 利用者認証方式
JP4774650B2 (ja) * 2001-08-07 2011-09-14 日本電気株式会社 離散対数の一致または不一致を示すゼロ知識証明システム及び方法
JP4306232B2 (ja) * 2002-11-25 2009-07-29 日本電気株式会社 証明システムと評価システム
US7245718B2 (en) * 2003-08-26 2007-07-17 Mitsubishi Electric Research Laboratories, Inc. Low bandwidth zero knowledge authentication protocol and device
JP2005233636A (ja) 2004-02-17 2005-09-02 Shimadzu Corp 食肉の脂肪交雑検査方法及び装置
US7490070B2 (en) * 2004-06-10 2009-02-10 Intel Corporation Apparatus and method for proving the denial of a direct proof signature

Also Published As

Publication number Publication date
EP1921793A2 (en) 2008-05-14
US20090287926A1 (en) 2009-11-19
US8015405B2 (en) 2011-09-06
WO2007018311A2 (ja) 2007-02-15
JP2007049571A (ja) 2007-02-22

Similar Documents

Publication Publication Date Title
JP4940592B2 (ja) 否認可能零知識対話証明に適用される証明装置及び検証装置
US8856524B2 (en) Cryptographic methods, host system, trusted platform module, computer arrangement, computer program product and computer program
US5493614A (en) Private signature and proof systems
Pass et al. Construction of a non-malleable encryption scheme from any semantically secure one
US7779262B2 (en) Security method using electronic signature
JP4973193B2 (ja) 制限付ブラインド署名システム
US11496309B2 (en) Method for performing a disjunctive proof for two relations
KR102218188B1 (ko) 블록체인 기반의 인증서 관리를 수행하는 노드 장치 및 그 동작 방법
US11831780B2 (en) Verification of biometric templates for privacy preserving authentication
US7003541B2 (en) Zero-knowledge proving system and method
CN112600669B (zh) 一种密码算法和符合性验证系统
US8015398B2 (en) Set membership proofs in data processing systems
Le et al. A blind signature from module latices
JP5321696B2 (ja) 否認可能零知識対話証明に適用される証明装置及び検証装置
CN101425898A (zh) 数字签名和验证数字签名的方法、系统、设备和生成器
CN107947944B (zh) 一种基于格的增量签名方法
JP6125459B2 (ja) 署名システム、署名生成装置、署名生成／検証方法、署名生成方法、プログラム
CN116894672B (zh) 一种基于区块链与支付通道网络的数据交易平台实现方法
JP4769147B2 (ja) バッチ証明検証方法、証明装置、検証装置、バッチ証明検証システム並びにプログラム
KR102322435B1 (ko) 퍼지 데이터로부터 동일한 키를 추출하는 방법 및 이를 이용한 사용자 인증 방법
JP4990739B2 (ja) ユーザ装置、それを用いた通信方法、そのプログラム
JP4279165B2 (ja) プロトコル評価装置及びプロトコル評価方法
JP3292342B2 (ja) ディジタル署名方式
KR20180064498A (ko) 엔티티의 신원의 유효성을 검증하기 위한 다중-ttp-기반의 방법 및 장치
KR101870042B1 (ko) 내재적 인증서에서 효율적인 공개키 추출 방법

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20080711

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20111122

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20120112

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20120131

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20120213

R150 Certificate of patent or registration of utility model

Ref document number: 4940592

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150309

Year of fee payment: 3

LAPS Cancellation because of no payment of annual fees