JP5755600B2 - コミットメントシステム、共通参照情報生成装置、コミット生成装置、コミット受信装置、コミットメント方法 - Google Patents

Description

本発明は、情報セキュリティ技術に関し、複数の暗号プロトコルの中に組み込まれ、同時に動くような環境でも高い安全性を保つコミットメントに関する。

暗号におけるコミットメントとは、電子的に行う「封じ手」のことである。コミットメント方式は、コミットする側の送信者(committer)と、コミットメントを受ける側の受信者(receiver)の間で行われるプロトコルのことである。送信者は、コミットフェーズで、受信者に情報を預託（コミット）する。この時、受信者は預託された情報の中身を知ることができない（秘匿性）。次に、送信者は開示フェーズで秘匿した情報を受信者に納得いく形で開示するが、コミットフェーズで預託した情報と違う情報を開示して受信者を満足させることはできない（拘束性）。コミットメントは、基本的にこのような秘匿性と拘束性を満たさなければいけない。コミットメントのすぐ思いつく応用例は、電子的なジャンケンやコイン投げ（もちろん、将棋や碁に使う封じ手でも良い）であるが、実際に応用できる範囲はそれより遥かに広い。

コミットメントは最も基本的な暗号プロトコルであるため、上位の暗号プロトコルの中で頻繁に利用される。近年では、暗号プロトコルをより現実の環境に近づけるため、コミットメントはさらに複雑な組み合わせの中で利用される場合が増えてきた。このような複雑な組み合わせの中では、古典的暗号安全性モデルで作られたコミットメントでは、秘匿性と拘束性を同時に満たすことができなくなってしまう。汎用結合可能コミットメントとは、そのような複雑な組み合わせでコミットメントが利用された場合にも、秘匿性と拘束性を満たすよう設計されたコミットメントのことである（汎用結合可能性については非特許文献１，２参照）。

汎用結合可能コミットメントが構成できるためには、送信者と受信者の双方がアクセスできる（第三者の作った）共通参照情報(common reference string、以下ＣＲＳと記載)が必要であることが知られている（非特許文献３参照）。技術的な問題により、このＣＲＳは、コミットごとに使い捨てなければならない場合（すなわち、コミットの回数だけ新しいＣＲＳが必要となる）と、使い捨てずに同じＣＲＳを再利用できる場合に分かれる。当然ながら、ＣＲＳをずっと使える「ＣＲＳ再利用型」コミットメント方式の方が、実用性が高い。ＣＲＳ再利用型汎用結合可能コミットメントには、従来、非特許文献１，４，５の技術があった。

汎用結合可能コミットメントでは、送信者と受信者が、プロトコルの最中、もしくは終了後、途中データを廃棄しないと安全性が担保できない方式と、廃棄しなくても安全性を担保できる方式が存在する。当然、後者の「情報廃棄不要型」の方が、安全性が高く望ましい。さらに、計算量、通信量、交信回数なども、汎用結合コミットメントの良し悪しを判断する指標となる。当然、計算量、通信量、交信回数が少ないほど実用性が高い。特に、送信者から受信者に送るだけでコミットメントが完成する方式を「非対話型」という。

R. Canetti. Universally composable security, "A new paradigm for cryptographic protocols", In 42nd Annual IEEE Symposium on Foundations of Computer Science (FOCS 2001), pages 136-145, IEEE Computer Society, 2001. Ran Canetti. Universally composable security, "A new paradigm for cryptograpic protocols", Technical report, Cryptology ePrint Archive, Report 2000/067, 2005. Preliminary version appeared in FOCS’01. R. Canetti and M. Fischlin, "Universally composable commitments",in Joe Kilian, editor, Advances in Cryptology - CRYPTO 2001, 21st Annual International Cryptology Conference, Santa Barbara, California, USA, August 19-23, 2001, Proceedings, volume 2139 of Lecture Notes in Computer Science, pages 19-40, Springer-Verlag, 2001. Ivan Damgard and Jens Groth, "Non-interactive and reusable non-malleable commitment schemes", In STOC 2003, pages 426-437, ACM, 2003. Ivan Damgard and Jesper Buus Nielsen, "Perfect hiding and perfect binding universally composable commitment schemes with constant expansion factor", In Moti Yung, editor, CRYPTO 2002, volume 2442 of Lecture Notes in Computer Science, pages 581-596, Springer-Verlag, 2002. Ryo Nishimaki, Eiichiro Fujisaki, and Keisuke Tanaka, " Efficient non-interactive universally composable string-commitment schemes", In Josef Pieprzyk and Fangguo Zhang, editors, ProvSec 2009, volume 5848 of Lecture Notes in Computer Science, pages 3-18, Springer-Verlag, 2009. Yehuda Lindell,"Highly-efficient universally-composable commitments based on the DDH assumption",Cryptology ePrint Archive, Report 2011/180, 2011, To appear EUROCRYPT 2011. Marc Fischlin, Benoit Libert, and Mark Manulis, "Non-interactive and re-usable universally composable string commitments with adaptive security", In Dong Hoon Lee and Xiaoyun Wang, editors, ASIACRYPT 2011, volume 7073 of Lecture Notes in Computer Science, pages 468-485, Springer-Verlag, 2011. R. Canetti, Y. Lindell, R. Ostrovsky, and A. Sahai,"Universally composable two-party and multiparty secure computation", In STOC 2002, pages 494-503. ACM, 2002.

非特許文献２，９以外の方式は、１ビットの秘密情報をコミットするのにＯ（ｋ）ビットの平文空間を持つ選択暗号文攻撃に対して安全な公開鍵暗号が最低２つ必要であった。なお、ｋはセキュリティパラメータであり、例えばｋは2048や160などである。また、Ｏ（ｘ）はｘと同じオーダーの大きさの値を示す記号である。すなわち、１ビットの秘密情報をコミットするのに、Ｏ（ｋ）ビットの情報量が必要であり効率が悪い。非特許文献４，５では、ｋビットの秘密情報をコミットするのにＯ（ｋ）ビットで済むので効率は改善されている。しかし、これらのプロトコルは送信者と受信者間の交信回数を３回必要としている。また、非特許文献４の方式は、ＣＲＳのサイズが、参加者の数に比例して増える（コミットメント方式をサブプロトコルに使う上位のプロトコルの参加者数が増えると、それに応じてＣＲＳのサイズが伸びる）。一方、非特許文献５の方式は、ＣＲＳのサイズは固定だが、途中データを適切な時に廃棄しないと安全性が担保されない可能性がある。いずれにせよ、両方式とも送信者と受信者の間に３交信が必要であるという欠点がある。

また、非特許文献６の方式は、非対話型だが、ＣＲＳ再利用型ではない。非特許文献７の方式は、通信量は少ないが５交信対話型であり、途中データを適切に廃棄できなければいけない。非特許文献８の方式は、非対話型だが、やはり途中データを廃棄できなければいけない。

本発明は、ＣＲＳが再利用可能であり、非対話、情報廃棄不要型の汎用結合可能コミットメントの構成方法を提供することを目的とする。

本発明のコミットメントシステムは、共通参照情報生成装置とコミット生成装置とコミット受信装置とを備える。ここで、正の整数κをセキュリティパラメータ、Ｓ_１ｕをあらかじめ定めた集合、Ｓ_２ｕをあらかじめ定めた集合、Ｓ_１をκビットの値と集合Ｓ_１ｕの組み合わせで表現される集合、Ｓ_２をκビットの値と集合Ｓ_２ｕの組み合わせで表現される集合、Ｌ_ｕ１を集合Ｓ_１ｕの部分集合、Ｌ_ｕ２を集合Ｓ_２ｕの部分集合、Ｌ_１をκビットの値と集合Ｌ_ｕ１の組み合わせで表現される集合、Ｌ_２をκビットの値と集合Ｌ_ｕ２の組み合わせで表現される集合、ｐｋ_１を集合の組（Ｓ_１，Ｌ_１）の記述を含んだ公開鍵、ｐｋ_２を集合の組（Ｓ_２，Ｌ_２）の記述を含んだ公開鍵、ｓｋ_１を公開鍵ｐｋ_１に対する秘密鍵、ｓｋ_２を公開鍵ｐｋ_２に対する秘密鍵とする。また、平文ｘは、公開鍵ｐｋ_１から定まるメッセージ空間と公開鍵ｐｋ_２から定まるメッセージ空間の両方に属する元とする。共通参照情報生成装置は、セキュリティパラメータκに基づいて（ｐｋ_１，ｓｋ_１）と（ｐｋ_２，ｓｋ_２）を生成する鍵生成部と、秘密鍵ｓｋ_１と秘密鍵ｓｋ_２を廃棄する秘密鍵廃棄部と、公開鍵の組ｐｋ＝（ｐｋ_１，ｐｋ_２）を共通参照情報として公開するＣＲＳ公開部とを備える。コミット生成装置は、入力情報取得部、サンプル値選択部、乱数生成部、暗号化部、コミット送信部、デコミット送信部を備える。入力情報取得部は、公開鍵の組ｐｋ＝（ｐｋ_１，ｐｋ_２）とκビットの値であるタグｔとコミットする対象である平文ｘを取得する。サンプル値選択部は、集合Ｓ_１ｕの元の中からサンプル値ｕ_１をランダムに選択し、集合Ｓ_２ｕの元の中からサンプル値ｕ_２をランダムに選択する。乱数生成部は、公開鍵ｐｋ_１と平文ｘからあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_１の元の中から内部乱数ｒ_１をランダムに選択し、公開鍵ｐｋ_２と平文ｘからあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_２の元の中から内部乱数ｒ_２をランダムに選択する。暗号化部は、平文ｘを公開鍵ｐｋ_１とタグｔとサンプル値ｕ_１と内部乱数ｒ_１を用いて暗号化して得た暗号文ｃ_１と、平文ｘを公開鍵ｐｋ_２とタグｔとサンプル値ｕ_２と内部乱数ｒ_２を用いて暗号化して得た暗号文ｃ_２との組（ｃ_１，ｃ_２）を、コミットメントｃとする。コミット送信部は、コミットメントｃ＝（ｃ_１，ｃ_２）とタグｔとサンプル値ｕ_１，ｕ_２をコミット受信装置に送信する。デコミット送信部は、内部乱数ｒ_１，ｒ_２と平文ｘをコミット受信装置に送信する。コミット受信装置は、公開情報取得部、コミット受信部、デコミット受信部、確認部を備える。公開情報取得部は、公開鍵の組ｐｋを取得する。コミット受信部は、コミットメントｃ’＝（ｃ_１’，ｃ_２’）とタグｔ’とサンプル値ｕ_１’，ｕ_２’を受信する。デコミット受信部は、内部乱数ｒ_１’，ｒ_２’と平文ｘ’を受信する。確認部は、内部乱数ｒ_１’が公開鍵ｐｋ_１と平文ｘ’からあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_１の元であるかを確認し、内部乱数ｒ_２’が公開鍵ｐｋ_２と平文ｘ’からあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_２の元であるかを確認し、平文ｘ’を公開鍵ｐｋ_１とタグｔ’とサンプル値ｕ_１’と内部乱数ｒ_１’を用いて暗号化して得た暗号文ｃ_１”が、ｃ_１”＝ｃ_１’であることを確認し、平文ｘ’を公開鍵ｐｋ_２とタグｔ’とサンプル値ｕ_２’と内部乱数ｒ_２’を用いて暗号化して得た暗号文ｃ_２”が、ｃ_２”＝ｃ_２’であることを確認する。

本発明のコミットメントシステムはＡＢＭ暗号を利用しているので、ＣＲＳが再利用可能であり、非対話、情報廃棄不要型の汎用結合可能コミットメントを提供できる。

本発明のコミットメントシステムの構成例を示す図。 本発明の共通参照情報生成装置の機能構成例を示す図。 本発明のコミット生成装置の機能構成例を示す図。 本発明のコミット受信装置の機能構成例を示す図。 本発明のコミットメントシステムの処理フローを示す図。 ＡＢＭ暗号の構成を示す図。 ４つの安全性条件を具体的に示す図。 ＡＢＭ暗号が４つの安全性条件を満たすことを証明するための第１の図。 ＡＢＭ暗号が４つの安全性条件を満たすことを証明するための第２の図。 ＡＢＭ暗号が４つの安全性条件を満たすことを証明するための第３の図。 ＡＢＭ暗号が４つの安全性条件を満たすことを証明するための第４の図。 実施例２，３の方式と従来技術の比較を示す図。 実施例２の方式と従来技術との効率に関する比較を示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

＜具体的なシステム＞
図１に本発明のコミットメントシステムの構成例を示す。本発明のコミットメントシステムは、例えばネットワーク１０００を介してつながった共通参照情報生成装置１００、コミット生成装置２００、コミット受信装置３００を備える。なお、ネットワーク１０００を介すのではなく、ＣＤなどの記録媒体を介して情報の授受を行ってもよい。ここで、正の整数κをセキュリティパラメータ、Ｓ_１ｕをあらかじめ定めた集合、Ｓ_２ｕをあらかじめ定めた集合、Ｓ_１をκビットの値と集合Ｓ_１ｕの組み合わせで表現される集合、Ｓ_２をκビットの値と集合Ｓ_２ｕの組み合わせで表現される集合、Ｌ_ｕ１を集合Ｓ_１ｕの部分集合、Ｌ_ｕ２を集合Ｓ_２ｕの部分集合、Ｌ_１をκビットの値と集合Ｌ_ｕ１の組み合わせで表現される集合、Ｌ_２をκビットの値と集合Ｌ_ｕ２の組み合わせで表現される集合、ｐｋ_１を集合の組（Ｓ_１，Ｌ_１）の記述を含んだ公開鍵、ｐｋ_２を集合の組（Ｓ_２，Ｌ_２）の記述を含んだ公開鍵、ｓｋ_１を公開鍵ｐｋ_１に対する秘密鍵、ｓｋ_２を公開鍵ｐｋ_２に対する秘密鍵とする。また、平文ｘは、公開鍵ｐｋ_１から定まるメッセージ空間と公開鍵ｐｋ_２から定まるメッセージ空間の両方に属する元とする。

図２は共通参照情報生成装置１００の機能構成例、図３はコミット生成装置２００の機能構成例、図４はコミット受信装置３００の機能構成例を示す図である。また、図５はコミットメントシステムの処理フローを示す図である。共通参照情報生成装置１００は、鍵生成部１１０、秘密鍵廃棄部１２０、ＣＲＳ公開部１３０、記録部１９０を備える。コミット生成装置２００は、入力情報取得部２１０、サンプル値選択部２２０、乱数生成部２３０、暗号化部２４０、コミット送信部２５０、デコミット送信部２６０、記録部２９０を備える。コミット受信装置３００は、公開情報取得部３１０、コミット受信部３２０、デコミット受信部３３０、確認部３４０、記録部３９０を備える。

まず、共通参照情報生成装置１００が以下の処理を行う。記録部１９０はセキュリティパラメータκなどのデータを記録しておく。鍵生成部１１０が、セキュリティパラメータκに基づいて（ｐｋ_１，ｓｋ_１）と（ｐｋ_２，ｓｋ_２）を生成する（Ｓ１１０）。秘密鍵廃棄部１２０が、秘密鍵ｓｋ_１と秘密鍵ｓｋ_２を廃棄する（Ｓ１２０）。ＣＲＳ公開部１３０が、公開鍵の組ｐｋ＝（ｐｋ_１，ｐｋ_２）を共通参照情報として公開する（Ｓ１３０）。

次にコミットフェーズとして、以下の処理を行う。コミット生成装置２００の入力情報取得部２１０が、公開鍵の組ｐｋ＝（ｐｋ_１，ｐｋ_２）とκビットの値であるタグｔとコミットする対象である平文ｘを取得し、記録部２９０に記録する（Ｓ２１０）。サンプル値選択部２２０が、集合Ｓ_１ｕの元の中からサンプル値ｕ_１をランダムに選択し、集合Ｓ_２ｕの元の中からサンプル値ｕ_２をランダムに選択し、記録部２９０に記録する（Ｓ２２０）。なお、集合Ｓ_１ｕ，Ｓ_２ｕが数値を元とする集合であり、サンプル値ｕ_１，ｕ_２はその集合の中の１つの数値でもよいし、集合Ｓ_１ｕ，Ｓ_２ｕが複数の数値の組み合わせを元とする集合であり、サンプル値ｕ_１，ｕ_２は複数の数値の組み合わせでもよい。乱数生成部２３０は、公開鍵ｐｋ_１と平文ｘからあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_１の元の中から内部乱数ｒ_１をランダムに選択し、公開鍵ｐｋ_２と平文ｘからあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_２の元の中から内部乱数ｒ_２をランダムに選択し、記録部２９０に記録する（Ｓ２３０）。なお、内部乱数空間ＣＯＩＮ_１，ＣＯＩＮ_２が数値を元とする空間であり、内部乱数ｒ_１，ｒ_２はその集合の中の１つの数値でもよいし、内部乱数空間ＣＯＩＮ_１，ＣＯＩＮ_２が複数の数値の組み合わせを元とする空間であり、内部乱数ｒ_１，ｒ_２は複数の数値の組み合わせでもよい。暗号化部２４０は、平文ｘを公開鍵ｐｋ_１とタグｔとサンプル値ｕ_１と内部乱数ｒ_１を用いて暗号化して得た暗号文ｃ_１と、平文ｘを公開鍵ｐｋ_２とタグｔとサンプル値ｕ_２と内部乱数ｒ_２を用いて暗号化して得た暗号文ｃ_２との組（ｃ_１，ｃ_２）を、コミットメントｃとし、記録部２９０に記録する（Ｓ２４０）。コミット送信部２５０は、コミットメントｃ＝（ｃ_１，ｃ_２）とタグｔとサンプル値ｕ_１，ｕ_２をコミット受信装置３００に送信する（Ｓ２５０）。コミット受信装置３００の公開情報取得部３１０は、公開鍵の組ｐｋ＝（ｐｋ_１，ｐｋ_２）を取得し、記録部３９０に記録する（Ｓ３１０）。なお、ステップＳ３１０は、後述の確認ステップ（Ｓ３４０）よりも前に行えばいつ実行してもよいので、デコミットフェーズで行ってもよい。コミット受信部３２０は、コミットメントｃ’＝（ｃ_１’，ｃ_２’）とタグｔ’とサンプル値ｕ_１’，ｕ_２’を受信し、記録部３９０に記録する（Ｓ３２０）。なお、図４に示した処理フローを前提にすれば、コミット受信装置３００が受信するのはコミット生成装置２００が送信した正しいコミットメントｃとタグｔとサンプル値ｕ_１，ｕ_２のはずである。しかし、コミット受信装置３００は受信したコミットメントが正しいことを確認するので、ここでは正しいか否かが分からないことを示すためにコミットメントｃ’とタグｔ’とサンプル値ｕ_１’，ｕ_２’のように記載している。

次にデコミットフェーズについて説明する。コミット生成装置２００のデコミット送信部２６０は、記録部２９０に記録された内部乱数ｒ_１，ｒ_２と平文ｘをコミット受信装置３００に送信する（Ｓ２６０）。コミット受信装置３００のデコミット受信部３３０は、内部乱数ｒ_１’，ｒ_２’と平文ｘ’を受信する（Ｓ３３０）。なお、図４に示した処理フローを前提にすれば、コミット受信装置３００が受信するのはコミット生成装置２００が送信した正しい内部乱数ｒ_１，ｒ_２と平文ｘのはずである。しかし、コミット受信装置３００は受信したコミットメントが正しいことを確認するので、ここでは正しいか否かが分からないことを示すために内部乱数ｒ_１’，ｒ_２’と平文ｘ’のように記載している。確認部３４０は、次のような確認を行う（Ｓ３４０）。

・サンプル値ｕ_１’が集合Ｓ_１ｕの元かを確認する。

・サンプル値ｕ_２’が集合Ｓ_２ｕの元かを確認する。

・内部乱数ｒ_１’が公開鍵ｐｋ_１と平文ｘ’からあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_１の元であるかを確認する。

・内部乱数ｒ_２’が公開鍵ｐｋ_２と平文ｘ’からあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_２の元であるかを確認する。

・平文ｘ’を公開鍵ｐｋ_１とタグｔ’とサンプル値ｕ_１’と内部乱数ｒ_１’を用いて暗号化して得た暗号文ｃ_１”が、ｃ_１”＝ｃ_１’であることを確認する。

・平文ｘ’を公開鍵ｐｋ_２とタグｔ’とサンプル値ｕ_２’と内部乱数ｒ_２’を用いて暗号化して得た暗号文ｃ_２”が、ｃ_２”＝ｃ_２’であることを確認する。
そして、コミット受信装置３００は、上記のすべての確認で正しいと判断された場合には開封などの処理を継続することを承認し、いずれかの確認で不正と判断された場合には処理を中断する。

＜理論的な裏づけ＞
本発明のコミットメントシステムは、以下に示すAll-but-many暗号（以下、「ＡＢＭ暗号」と呼ぶ）を作成した上で、ＡＢＭ暗号を利用することで実現している。ＡＢＭ暗号は、鍵生成アルゴリズム（ABM.gen）、サンプリングアルゴリズム（ABM.spl）、暗号化アルゴリズム（ABM.enc）、復号アルゴリズム（ABM.dec）、コリジョンアルゴリズム（ABM.col）からなる暗号方式である。

鍵生成アルゴリズム（ABM.gen）は、入力をセキュリティパラメータκ、出力を（公開鍵ｐｋ，秘密鍵ｓｋ）とする確率的アルゴリズムである。公開鍵ｐｋは、集合の組（Ｓ，Ｌ）の記述を含んでいる。なお、秘密鍵ｓｋは、記述の簡素化のために公開鍵ｐｋを含んでもよい。

サンプリングアルゴリズム（ABM.spl）は、入力を秘密鍵ｓｋとタグｔ、出力をサンプル値ｕとする確率的アルゴリズムである。ただし、サンプリングアルゴリズムではサンプル値ｕは集合Ｌ_ｕの元であり、組（ｔ，ｕ）は集合Ｌの元である。また、サンプリングアルゴリズムの内部乱数空間ＣＯＩＮ_ｓｐｌは公開鍵ｐｋから一意に定まるものとし、サンプリングアルゴリズムでサンプル値ｕを求めるときに使用する内部乱数ｒ_ｓｐｌは内部乱数空間ＣＯＩＮ_ｓｐｌからランダムに選択された元である。

暗号化アルゴリズム（ABM.enc）は、入力を公開鍵ｐｋとタグｔとサンプル値ｕと平文ｘ、出力を暗号文ｃとする確率的アルゴリズムである。暗号化アルゴリズムではサンプル値ｕは集合Ｓ_ｕの元であり、組（ｔ，ｕ）は集合Ｓの元である。また、暗号化アルゴリズムの内部乱数空間ＣＯＩＮは公開鍵ｐｋと平文ｘから一意に定まるものとし、暗号化アルゴリズムで暗号文ｃを求めるときに使用する内部乱数ｒは内部乱数空間ＣＯＩＮからランダムに選択された元である。

復号アルゴリズム（ABM.dec）は、入力を秘密鍵ｓｋとタグｔとサンプル値ｕと暗号文ｃ、出力を平文ｘとする確定的アルゴリズムである。復号アルゴリズムではサンプル値ｕは集合Ｓ_ｕの元であり、組（ｔ，ｕ）は集合Ｓの元である。

コリジョンアルゴリズム（ABM.col）は、２つの確率的アルゴリズムで構成される。第１のアルゴリズム（ABM.col¹）は、入力を秘密鍵ｓｋと乱数ｒ’とタグｔ、出力を暗号文ｃと数値ξとする。ここで、乱数ｒ’は内部乱数空間ＣＯＩＮ_ｓｐｌの元である。第２のアルゴリズム（ABM.col²）は、入力を数値ξと平文ｘ、出力を乱数ｒとする。ただし、乱数ｒは以下の条件を満たす。

・乱数ｒは内部乱数空間ＣＯＩＮである。

・秘密鍵ｓｋとタグｔと乱数ｒ’を用いてサンプリングアルゴリズムで出力される値がサンプル値ｕと同一である。

・公開鍵ｐｋと乱数ｒとタグｔとサンプル値ｕとを用いて平文ｘを暗号化アルゴリズムで暗号化した結果が暗号文ｃと同一である。

非対話、ＣＲＳ再利用、情報廃棄不要汎用結合コミットメントを提供するためには、all-but-many property, dual mode, pseudo-randomness, unpredictabilityの４つの安全性条件を満たすことが必要である。図６にＡＢＭ暗号の構成をより厳密に示し、図７に上記の４つの安全性条件を具体的に示す。また、図８−１１に、ＡＢＭ暗号が上記の４つの安全性条件を満たすことの証明を示す。なお、使用されている英語の用語には当業者間で共有された定義が存在するが、同じ定義がなされた日本語が存在しない用語がある。このような事情から、当業者にとっては英語表記の方が分かりやすくかつ正確なので、図６−１１は英語で表記している。

本発明のコミットメントシステムは、上記の４つの安全性条件を満たすＡＢＭ暗号の鍵生成アルゴリズム（ABM.gen）と暗号化アルゴリズム（ABM.enc）を用いている。したがって、非対話、ＣＲＳ再利用、情報廃棄不要汎用結合コミットメントを提供できる。なお、サンプリングアルゴリズム（ABM.spl）、復号アルゴリズム（ABM.dec）、コリジョンアルゴリズム（ABM.col）は、実際のコミットメントシステムには使用しないが、実際のコミットメントシステムが４つの安全性条件を満たすことの証明に必要なアルゴリズムである。

＜具体的なシステム＞
実施例２のコミットメントシステムは、実施例１のコミットメントシステムをより具体化した１つの実施例である。コミットメントシステムの構成は図１、共通参照情報生成装置の機能構成は図２、コミット生成装置の機能構成は図３、コミット受信装置の機能構成は図４と同じである。実施例２では、ｑ_１，ｑ_２を素数、ｇ_１を位数ｑ_１の群Ｇ_１の生成元、ｇ_２を位数ｑ_２の群Ｇ_２の生成元、ｘ_１１，ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κを０以上ｑ_１−１以下の整数、ｘ_２１，ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κを０以上ｑ_２−１以下の整数、ｉを１または２、ｊを１以上κ以下の整数、ｍを１または２、＾をべき乗を示す記号、ｔ_ｎをｔのｎビット目、λをＯ（ｌｏｇκ）の秘密情報長（言い換えると、平文ｘはλビットで表現できる）、集合Ｓ_１ｕを群Ｇ_１の２つの元の組み合わせの集合、集合Ｓ_２ｕを群Ｇ_２の２つの元の組み合わせの集合、Ｈ_ｍ（ｔ）を

とする。
実施例２では、ステップＳ１１０では、鍵生成部１１０が、ｇ_１，ｘ_１１，ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κをランダムに選び、ｇ_１１，ｇ_１２，ｈ_１０，ｈ_１１，…，ｈ_１κをｇ_１ｉ＝ｇ_１＾ｘ_１ｉ、ｈ_１ｊ＝ｇ_１＾ｙ_１ｊのように計算する。そして、ｐｋ_１＝（Ｇ_１，ｇ_１，ｑ_１，λ，（Ｓ_１，Ｌ_１），ｇ_１１，ｇ_１２，ｈ_１０，ｈ_１１，…，ｈ_１κ）とｓｋ_１＝（ｐｋ_１，ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κ）のように（ｐｋ_１，ｓｋ_１）を生成する。さらに、鍵生成部１１０が、ｇ_２，ｘ_２１，ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κをランダムに選び、ｇ_２１，ｇ_２２，ｈ_２０，ｈ_２１，…，ｈ_２κをｇ_２ｉ＝ｇ_２＾ｘ_２ｉ、ｈ_２ｊ＝ｇ_２＾ｙ_２ｊのように計算する。そして、ｐｋ_２＝（Ｇ_２，ｇ_２，ｑ_２，λ，（Ｓ_２，Ｌ_２），ｇ_２１，ｇ_２２，ｈ_２０，ｈ_２１，…，ｈ_２κ）とｓｋ_２＝（ｐｋ_２，ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κ）のように（ｐｋ_２，ｓｋ_２）を生成する。

ステップＳ２２０では、サンプル値選択部２２０が、群Ｇ_１の中の２つの元の組（ｕ_１ｒ，ｕ_１ｔ）をランダムに選定し、サンプル値ｕ_１＝（ｕ_１ｒ，ｕ_１ｔ）とし、群Ｇ_２の中の２つの元の組（ｕ_２ｒ，ｕ_２ｔ）をランダムに選定し、サンプル値ｕ_２＝（ｕ_２ｒ，ｕ_２ｔ）とする。ステップＳ２３０では、乱数生成部２３０が、内部乱数ｒ_１として、０以上ｑ−１以下の整数である乱数ｚ_１と乱数ｓ_１を生成し、内部乱数ｒ_２として、０以上ｑ−１以下の整数である乱数ｚ_２と乱数ｓ_２を生成する。ステップＳ２４０では、暗号化部２４０が、
Ａ_１＝（ｇ_１１＾ｚ_１）（Ｈ_１（ｔ）＾ｓ_１）（ｕ_１ｔ＾ｘ_１）
ａ_１＝（ｇ_１＾ｚ_１）（ｇ_１２＾ｘ_１）
ｂ_１＝（ｇ_１＾ｓ_１）（ｕ_１ｒ＾ｘ_１）
を計算してｃ_１＝（Ａ_１，ａ_１，ｂ_１）とし、
Ａ_２＝（ｇ_２１＾ｚ_１）（Ｈ_２（ｔ）＾ｓ_２）（ｕ_２ｔ＾ｘ_２）
ａ_２＝（ｇ_２＾ｚ_２）（ｇ_２２＾ｘ_２）
ｂ_２＝（ｇ_２＾ｓ_２）（ｕ_２ｒ＾ｘ_２）
を計算してｃ_２＝（Ａ_２，ａ_２，ｂ_２）として、（ｃ_１，ｃ_２）をコミットメントｃとする。

実施例２のコミットメントシステムは、実施例１のコミットメントシステムの下位概念に相当するので、実施例１で説明した４つの安全性条件を満たす。したがって、実施例２のコミットメントシステムも実施例１のコミットメントシステムと同じ効果が得られる。

＜理論的な裏づけ＞
実施例２のコミットメントシステムが使用しているＡＢＭ暗号は、実施例１で示したＡＢＭ暗号をより具体的にしたものである。以下に、実施例２の場合の鍵生成アルゴリズム（ABM.gen）、サンプリングアルゴリズム（ABM.spl）、暗号化アルゴリズム（ABM.enc）、復号アルゴリズム（ABM.dec）、コリジョンアルゴリズム（ABM.col）を示す。

鍵生成アルゴリズム（ABM.gen）では、ｇ，ｘ_１，ｘ_２，ｙ_０，ｙ_１，…，ｙ_κをランダムに選び、ｇ_１，ｇ_２，ｈ_０，ｈ_１，…，ｈ_κをｇ_ｉ＝ｇ＾ｘ_ｉ、ｈ_ｊ＝ｇ＾ｙ_ｊのように計算する。そして、ｐｋ＝（Ｇ，ｇ，ｑ，λ，（Ｓ，Ｌ），ｇ_１，ｇ_２，ｈ_０，ｈ_１，…，ｈ_κ）とｓｋ＝（ｐｋ，ｘ_２，ｙ_０，ｙ_１，…，ｙ_κ）のように（ｐｋ，ｓｋ）を生成する。

サンプリングアルゴリズム（ABM.spl）では、内部乱数空間ＣＯＩＮ_ｓｐｌを０以上ｑ−１以下の整数とする。そして、内部乱数ｒ_ｓｐｌを０以上ｑ−１以下の整数の中からランダムに選ぶ。そして、ｕ_ｒ＝ｇ＾ｒ_ｓｐｌとｕ_ｔ＝（ｇ_１＾ｘ_２）（Ｈ（ｔ）＾ｒ_ｓｐｌ）を計算し、（ｕ_ｒ，ｕ_ｔ）をサンプル値ｕとする。なお、実施例２のサンプリングアルゴリズムでは、集合Ｓ_ｕは群Ｇの２つの元の組み合わせの集合である。そして、集合Ｌ_ｕは、０以上ｑ−１以下の整数をｒ_ｓｐｌとしたときに、ｕ_ｒ＝ｇ＾ｒ_ｓｐｌとｕ_ｔ＝（ｇ_１＾ｘ_２）（Ｈ（ｔ）＾ｒ_ｓｐｌ）のように求められる値（ｕ_ｒ，ｕ_ｔ）を元とする集合（集合Ｓ_ｕの部分集合）である。

暗号化アルゴリズム（ABM.enc）では、内部乱数空間ＣＯＩＮを２つの０以上ｑ−１以下の整数の組み合わせを元とする空間とする。そして、内部乱数ｒとして、０以上ｑ−１以下の整数である乱数ｚと乱数ｓを生成する。そして、
Ａ＝（ｇ_１＾ｚ）（Ｈ（ｔ）＾ｓ）（ｕ_ｔ＾ｘ）
ａ＝ｇ^ｚｇ_２ ^ｘ
ｂ＝ｇ^ｓｕ_ｒ ^ｘ
を計算し、を暗号文ｃ＝（Ａ，ａ，ｂ）を出力する。

復号アルゴリズム（ABM.dec）では、

ただし、

となるλビットの平文ｘを探索し出力する。

コリジョンアルゴリズム（ABM.col）の第１のアルゴリズム（ABM.col¹）では、乱数ω，ηを０以上ｑ−１以下の整数からランダムに選定し、
Ａ＝（ｇ_１＾ω）（Ｈ（ｔ）＾η）
ａ＝ｇ^ω
ｂ＝ｇ^η
を計算し、をｃ＝（Ａ，ａ，ｂ）とξ＝（ｘ，ｒ’，ω，η）を出力する。第２のアルゴリズム（ABM.col²）では、
ｚ＝ω−ｘｘ_２ ｍｏｄｑ
ｓ＝η−ｘｒ’ ｍｏｄｑ
を計算し、（ｚ，ｓ）を出力する。

上述のように、実施例２で使用しているＡＢＭ暗号は、実施例１で説明したＡＢＭ暗号の下位概念（具体例）に相当しているので、図７に示した４つの安全性条件を満たす。

＜具体的なシステム＞
実施例３のコミットメントシステムも、実施例１のコミットメントシステムをより具体化した１つの実施例である。コミットメントシステムの構成は図１、共通参照情報生成装置の機能構成は図２、コミット生成装置の機能構成は図３、コミット受信装置の機能構成は図４と同じである。実施例３では、Ｐ_１，Ｑ_１，Ｐ_２，Ｑ_２を整数、Ｎ_１＝Ｐ_１Ｑ_１、Ｎ_２＝Ｐ_２Ｑ_２、ｖ_１，ｖ_２を正の整数、ｉを１または２、ｊを１以上κ以下の整数、ｍを１または２、＾をべき乗を示す記号、ｘ_１ｉとｙ_１ｊを０以上Ｎ_１＾ｖ_１−１以下の整数、ｘ_２ｉとｙ_２ｊを０以上Ｎ_２＾ｖ_２−１以下の整数、Ｓ_ｕ１を０以上Ｎ_１＾（ｖ_１＋１）−１以下の整数の中の２つの整数の組み合わせの集合、Ｓ_２ｕを０以上Ｎ_２＾（ｖ_２＋１）−１以下の整数の中の２つの整数の組み合わせの集合、ｇ_１＝１＋Ｎ_１、ｇ_２＝１＋Ｎ_２、平文ｘを０以上Ｎ_１＾ｖ_１−１以下の整数かつ０以上Ｎ_２＾ｖ_２−１以下の整数、Ｈ_ｍ（ｔ）を

とする。
実施例３では、ステップＳ１１０では、鍵生成部１１０が、ｘ_１１，ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κをランダムに選び、０以上Ｎ_１＾（ｖ_１＋１）−１の整数である乱数Ｒ_１１，Ｒ_１２を生成する。そして、ｇ_１１，ｇ_１２，ｈ_１０，ｈ_１１，…，ｈ_１κを
ｇ_１ｉ＝（ｇ_１＾ｘ_１ｉ）Ｒ_１ｉ＾Ｎ_１＾ｖ_１ ｍｏｄＮ_１＾（ｖ_１＋１）
ｈ_１ｊ＝ｇ_１＾ｙ_１ｊ ｍｏｄＮ_１＾（ｖ_１＋１）
のように計算し、ｐｋ_１＝（Ｎ_１，ｖ_１，（Ｓ_１，Ｌ_１），ｇ_１１，ｇ_１２，ｈ_１０，ｈ_１１，…，ｈ_１κ）とｓｋ_１＝（ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κ）のように（ｐｋ_１，ｓｋ_１）を生成する。さらに、鍵生成部１１０が、ｘ_２１，ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κをランダムに選び、０以上Ｎ_２＾（ｖ_２＋１）−１の整数である乱数Ｒ_２１，Ｒ_２２を生成する。そして、ｇ_２１，ｇ_２２，ｈ_２０，ｈ_２１，…，ｈ_２κを
ｇ_２ｉ＝（ｇ_２＾ｘ_２ｉ）Ｒ_２ｉ＾Ｎ_２＾ｖ_２ ｍｏｄＮ_２＾（ｖ_２＋１）
ｈ_２ｊ＝ｇ_２＾ｙ_２ｊ ｍｏｄＮ_２＾（ｖ_２＋１）
のように計算し、ｐｋ_２＝（Ｎ_２，ｖ_２，（Ｓ_２，Ｌ_２），ｇ_２１，ｇ_２２，ｈ_２０，ｈ_２１，…，ｈ_２κ）とｓｋ_２＝（ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κ）のように（ｐｋ_２，ｓｋ_２）を生成する。

ステップＳ２２０では、サンプル値選択部２２０が、０以上Ｎ_１＾（ｖ_１＋１）−１以下の整数の中の２つの整数の組み合わせ（ｕ_１ｒ，ｕ_１ｔ）をランダムに選定してサンプル値ｕ_１＝（ｕ_１ｒ，ｕ_１ｔ）とする。また、サンプル値選択部２２０が、０以上Ｎ_２＾（ｖ_２＋１）−１以下の整数の中の２つの整数の組み合わせ（ｕ_２ｒ，ｕ_２ｔ）をランダムに選定してサンプル値ｕ_２＝（ｕ_２ｒ，ｕ_２ｔ）とする。ステップＳ２３０では、乱数生成部２３０が、内部乱数ｒ_１として、０以上Ｎ_１＾ｖ_１−１以下の整数である乱数ｚ_１と乱数ｓ_１を生成し、０以上Ｎ_１＾（ｖ_１＋１）−１以下の整数である乱数Ｒ_１Ａ，Ｒ_１ａ，Ｒ_１ｂを生成する。さらに、乱数生成部２３０が、内部乱数ｒ_２として、０以上Ｎ_２＾ｖ_２−１以下の整数である乱数ｚ_２と乱数ｓ_２を生成し、０以上Ｎ_２＾（ｖ_２＋１）−１以下の整数である乱数Ｒ_２Ａ，Ｒ_２ａ，Ｒ_２ｂを生成する。ステップＳ２４０では、暗号化部２４０が、
Ａ_１＝（ｇ_１１＾ｚ_１）（Ｈ_１（ｔ）＾ｓ_１）（ｕ_１ｔ＾ｘ_１）（Ｒ_１Ａ＾Ｎ_１＾ｖ_１）
ｍｏｄＮ_１＾（ｖ_１＋１）
ａ_１＝（（ｇ_１＾ｚ_１）（Ｒ_１ａ＾Ｎ_１＾ｖ_１） ｍｏｄＮ_１＾（ｖ_１＋１））（ｇ_１２＾ｘ_１）
ｂ_１＝（（ｇ_１＾ｓ_１）（Ｒ_１ｂ＾Ｎ_１＾ｖ_１） ｍｏｄＮ_１＾（ｖ_１＋１））（ｕ_１ｒ＾ｘ_１）
を計算してｃ_１＝（Ａ_１，ａ_１，ｂ_１）とし、
Ａ_２＝（ｇ_２１＾ｚ_２）（Ｈ_２（ｔ）＾ｓ_２）（ｕ_２ｔ＾ｘ_２）（Ｒ_２Ａ＾Ｎ_２＾ｖ_２）
ｍｏｄＮ_２＾（ｖ_２＋１）
ａ_２＝（（ｇ_２＾ｚ_２）（Ｒ_２ａ＾Ｎ_２＾ｖ_２） ｍｏｄＮ_２＾（ｖ_２＋１））（ｇ_２２＾ｘ_２）
ｂ_２＝（（ｇ_２＾ｓ_２）（Ｒ_２ｂ＾Ｎ_２＾ｖ_２） ｍｏｄＮ_２＾（ｖ_２＋１））（ｕ_２ｒ＾ｘ_２）
を計算してｃ_２＝（Ａ_２，ａ_２，ｂ_２）として、（ｃ_１，ｃ_２）をコミットメントｃとする。

実施例３のコミットメントシステムは、実施例１のコミットメントシステムの下位概念に相当するので、実施例１で説明した４つの安全性条件を満たす。したがって、実施例３のコミットメントシステムも実施例１のコミットメントシステムと同じ効果が得られる。

＜理論的な裏づけ＞
実施例３のコミットメントシステムが使用しているＡＢＭ暗号は、実施例２の方式とは別の方式でＡＢＭ暗号を具体的にしたものである。以下に、実施例３の場合の鍵生成アルゴリズム（ABM.gen）、サンプリングアルゴリズム（ABM.spl）、暗号化アルゴリズム（ABM.enc）、復号アルゴリズム（ABM.dec）、コリジョンアルゴリズム（ABM.col）を示す。ここで、Π＝（Ｋ，Ｅ，Ｄ）は参考文献１（I. Damgard and M. Jurik,“A generalisation, a simplification and some applications of Paillier’s probabilistic public-key system”, In Kwangjo Kim, editor, PKC 2001, volume 1992 of Lecture Notes in Computer Science, pages 125-140. Springer-Verlag, 2001.）に示された公開鍵暗号アルゴリズム（以下、ＤＪ暗号と呼ぶ）の鍵生成、暗号化、復号アルゴリズムとする。（Ｎ，ｖ）はＤＪ暗号の公開鍵に対応し、（Ｐ，Ｑ）はＤＪ暗号の秘密鍵に対応する。なお、
Ｅ（ｘ；Ｒ）＝（ｇ＾ｘ）Ｒ＾Ｎ^ｖ ｍｏｄＮ^ｖ＋１
Ｅ（ｙ）＝（ｇ＾ｙ） ｍｏｄＮ^ｖ＋１
である。

鍵生成アルゴリズム（ABM.gen）では、ｘ_１，ｘ_２，ｙ_０，ｙ_１，…，ｙ_κをランダムに選び、０以上Ｎ^ｖ＋１−１の整数である乱数Ｒ_１，Ｒ_２を生成する。そして、ｇ_１，ｇ_２，ｈ_０，ｈ_１，…，ｈ_κを
ｇ_ｉ＝Ｅ（ｘ_ｉ；Ｒ_ｉ）＝（ｇ＾ｘ_ｉ）Ｒ_ｉ＾Ｎ^ｖ ｍｏｄＮ^ｖ＋１
ｈ_ｊ＝Ｅ（ｙ_ｊ）＝ｇ＾ｙ_ｊ ｍｏｄＮ^ｖ＋１
のように計算し、集合の組（Ｓ，Ｌ）を決定する。そして、ｐｋ＝（Ｎ，ｖ，（Ｓ，Ｌ），ｇ_１，ｇ_２，ｈ_０，ｈ_１，…，ｈ_κ）とｓｋ＝（ｘ_２，ｙ_０，ｙ_１，…，ｙ_κ）のように（ｐｋ，ｓｋ）を生成する。

サンプリングアルゴリズム（ABM.spl）では、内部乱数空間ＣＯＩＮ_ｓｐｌを０以上Ｎ^ｓ−１以下の整数とする。そして、内部乱数ｒ_ｓｐｌを０以上Ｎ^ｓ−１以下の整数の中からランダムに選ぶ。そして、０以上Ｎ^ｖ＋１−１以下の整数である乱数Ｒ_ｒ，Ｒ_ｔを生成し、
ｕ_ｒ＝（ｇ＾ｒ_ｓｐｌ）Ｒ_ｒ＾Ｎ^ｖ ｍｏｄＮ^ｖ＋１
ｕ_ｔ＝（（ｇ＾ｘ_１ｘ_２）Ｒ_ｔ＾Ｎ^ｖ ｍｏｄＮ^ｖ＋１）（Ｈ（ｔ）＾ｒ_ｓｐｌ）
を計算し、（ｕ_ｒ，ｕ_ｔ）をサンプル値ｕとする。なお、実施例３のサンプリングアルゴリズムでは、集合Ｓ_ｕは２つの０以上Ｎ^ｖ＋１−１以下の整数の組み合わせの集合である。そして、集合Ｌ_ｕは、０以上Ｎ^ｓ−１以下の整数をｒ_ｓｐｌ、０以上Ｎ^ｖ＋１−１以下の整数をＲ_ｒ，Ｒ_ｔをとしたときに、
ｕ_ｒ＝（ｇ＾ｒ_ｓｐｌ）Ｒ_ｒ＾Ｎ^ｖ ｍｏｄＮ^ｖ＋１
ｕ_ｔ＝（（ｇ＾ｘ_１ｘ_２）Ｒ_ｔ＾Ｎ^ｖ ｍｏｄＮ^ｖ＋１）（Ｈ（ｔ）＾ｒ_ｓｐｌ）
のように求められる値（ｕ_ｒ，ｕ_ｔ）を元とする集合（集合Ｓ_ｕの部分集合）である。

暗号化アルゴリズム（ABM.enc）では、平文ｘが０以上Ｎ^ｖ−１以下の整数の場合に、内部乱数空間ＣＯＩＮを２つの０以上Ｎ^ｖ−１以下の整数の組み合わせを元とする空間とする。そして、内部乱数ｒとして、０以上Ｎ^ｖ−１以下の整数である乱数ｚと乱数ｓを生成する。また、０以上Ｎ^ｖ＋１−１以下の整数である乱数Ｒ_Ａ，Ｒ_ａ，Ｒ_ｂを生成する。そして、
Ａ＝（ｇ_１＾ｚ）（Ｈ（ｔ）＾ｓ）（ｕ_ｔ＾ｘ）（Ｒ_Ａ＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１
ａ＝（（ｇ＾ｚ）（Ｒ_ａ＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１）（ｇ_２＾ｘ）
ｂ＝（（ｇ＾ｓ）（Ｒ_ｂ＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１）（ｕ_ｒ＾ｘ）
を計算し、を暗号文ｃ＝（Ａ，ａ，ｂ）を出力する。

復号アルゴリズム（ABM.dec）では、ＤＪ暗号の復号アルゴリズムＤを用いて
ω＝Ｄ（ａ）
η＝Ｄ（ｂ）
ω’＝Ｄ（Ａ・（Ｈ（ｔ）＾（−η）））
ｘ_２’＝Ｄ（ｕ_ｔ・（Ｈ（ｔ）＾（−ｒ）））
を計算し、平文ｘを
ｘ＝（ω−ω’）（ｘ_２−ｘ_２’）^−１ ｍｏｄＮ^ｖ
のように計算し、出力する。

コリジョンアルゴリズム（ABM.col）の第１のアルゴリズム（ABM.col¹）では、乱数ω，ηを０以上Ｎ^ｖ−１以下の整数からランダムに選定し、乱数Ｒ_Ａ’，Ｒ_ａ’，Ｒ_ｂ’を０以上Ｎ^ｖ＋１−１以下の整数からランダムに選定する。そして、
Ａ＝（ｇ_１＾ω）（Ｈ（ｔ）＾η）（Ｒ_Ａ’＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１
ａ＝（ｇ＾ω）（Ｒ_ａ’＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１
ｂ＝（ｇ＾η）（Ｒ_ｂ’＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１
を計算し、をｃ＝（Ａ，ａ，ｂ）とξ＝（ｘ_２，ｒ’，ω，η）を出力する。第２のアルゴリズム（ABM.col²）では、ｚ，ｓ，α，βを
ｚ＝ω−ｘｘ_２ ｍｏｄＮ^ｖ
ｓ＝η−ｘｒ ｍｏｄＮ^ｖ
αを（ω−ｘｘ_２−ｚ）／Ｎ^ｖを超えない最大の整数
βを（η−ｘｒ’−ｓ）／Ｎ^ｖを超えない最大の整数
のように求める。さらに、Ｒ_Ａ，Ｒ_ａ，Ｒ_ｂを
Ｒ_Ａ＝Ｒ_Ａ’（Ｒ_ｔ＾（−ｘ））（ｇ_１＾α）（Ｈ（ｔ）＾β）
Ｒ_ａ＝Ｒ_ａ’（Ｒ_２＾（−ｘ））（ｇ＾α）
Ｒ_Ａ＝Ｒ_ｂ’（Ｒ_ｒ＾（−ｘ））（ｇ＾β）
のように求め、（ｚ，ｓ，Ｒ_Ａ，Ｒ_ａ，Ｒ_ｂ）を出力する。なお、このとき、
Ａ＝（ｇ_１＾ｚ）（Ｈ（ｔ）＾ｓ）（ｕ_ｔ＾ｘ）（Ｒ_Ａ＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１
ａ＝Ｅ（ｚ；Ｒ_ａ）（ｇ_２＾ｘ）＝（（ｇ＾ｚ）（Ｒ_ａ＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１）（ｇ_２＾ｘ）
ｂ＝Ｅ（ｓ；Ｒ_ｂ）（ｕ_ｒ＾ｘ）＝（（ｇ＾ｓ）（Ｒ_ｂ＾Ｎ^ｖ） ｍｏｄＮ^ｖ＋１）（ｕ_ｒ＾ｘ）
が常に成り立っている。

上述のように、実施例３で使用しているＡＢＭ暗号は、実施例１で説明したＡＢＭ暗号の下位概念（具体例）に相当しているので、図７に示した４つの安全性条件を満たす。

＜実施例２，３と従来方式との比較＞
図１２に、実施例２，３の方式と従来技術の比較を示す。また、図１３に実施例２の方式と従来技術との効率に関する比較を示す。図１２，１３において、κはセキュリティパラメータを表し、ａ／ｂはコミットフェーズに必要とされる交信数ａとデコミットフェーズに必要とされる交信数ｂを表す。また、比率は、１ビットの秘密情報をコミットするために必要なコミットメントのサイズであり、理想はＯ（１）である。図１２から分かるように、実施例３のコミットメントシステムの場合は、ｋビットの秘密（ｋビットの平文ｘ）をＯ（ｋ）ビットでコミットできるので、理想的な効率も実現できている。

実施例２の方式は、同様のＣＲＳ再利用型で交信回数１／１である非特許文献７，８の方式に劣っているように見える。しかし、現実のセキュリティパラメータのもとでは、実は効率が良い（図１３参照）。さらに、実施例２の方式は、情報廃棄不要型であるが、非特許文献７，８の方式は適切な途中情報の廃棄が無いと、安全にならない。

図１３では、T^exp(k) はｋビットのべき乗剰余演算１回のコストを表す。Ｇはペアリングを持たないアーベル群、Ｇ＾は対象ペアリングを持つアーベル群、Ｇ_Ｔは対象ペアリングの有限体に埋め込まれた像とする。すなわち、ｅ（ ， ）：Ｇ＾ ×Ｇ＾ →Ｇ_Ｔで定義されるペアリングの像であるアーベル群での拡大次数は、高々６（｜Ｇ_Ｔ｜≦６｜Ｇ＾｜）とする。λは、コミットされる秘密情報のサイズであり、ρ＝λ・λ_０ ^−１とする。このρが小さいほど、実施例２の効率は良くなるが、λ_０＝Ｏ（ｌｏｇκ）である。本発明の汎用結合コミットメントでは、このλ_０は、小さなべきの離散対数問題を解くベイビーステップ・ジャイアントステップ法の効率に依存する。べきのサイズをλ_０としたとき、ベイビーステップ・ジャイアントステップ法で離散対数問題を解く時間はΩ（√（２＾λ_０））である（参考文献２（Alfred Menezes, Paul Oorschot, and Scott Vanstone,“Handbook of Applied Cryptography”, CRC Press, 1997.）参照）。汎用結合コミットメントに利用される場合、この離散対数問題の解読は、証明の中でのみ使われる。そのため、効率良く解けなくてもよい。現在の計算機の能力からすると、√（２＾λ_０）＝２^４０は、パソコンで数時間で計算可能な計算量であるので、λ_０＝８０としてよい。一方、８０ビット安全性を確保するには、κ＝１６０，λ＝１６０，｜Ｇ｜＝１６０，（｜Ｇ_Ｔ｜がおよそ１０００となる必要があるので）｜Ｇ＾｜＝１７０が必要である。また、１６０ビット安全性を確保するには、κ＝３２０，λ＝３２０，｜Ｇ｜＝３２０，（｜Ｇ_Ｔ｜がおよそ３０００となる必要があるので）｜Ｇ＾｜＝５１２が必要である。この条件のもとでは実施例２の通信量は、非特許文献７，８の通信量より少ない。また、計算量も非特許文献８よりはるかに少なく、非特許文献７と比べてもほぼ同等である。

［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

本発明は、情報を交換するシステムにおいて、情報のセキュリティを確保する技術として利用できる。

１００ 共通参照情報生成装置 １１０ 鍵生成部
１２０ 秘密鍵廃棄部 １３０ 公開部
１９０、２９０、３９０ 記録部 ２００ コミット生成装置
２１０ 入力情報取得部 ２２０ サンプル値選択部
２３０ 乱数生成部 ２４０ 暗号化部
２５０ コミット送信部 ２６０ デコミット送信部
３００ コミット受信装置 ３１０ 公開情報取得部
３２０ コミット受信部 ３３０ デコミット受信部
３４０ 確認部 １０００ ネットワーク

Claims (7)

1. 共通参照情報生成装置とコミット生成装置とコミット受信装置とを備えるコミットメントシステムであって、
   正の整数κをセキュリティパラメータ、Ｓ_１ｕをあらかじめ定めた集合、Ｓ_２ｕをあらかじめ定めた集合、Ｓ_１をκビットの値と集合Ｓ_１ｕの組み合わせで表現される集合、Ｓ_２をκビットの値と集合Ｓ_２ｕの組み合わせで表現される集合、Ｌ_ｕ１を集合Ｓ_１ｕの部分集合、Ｌ_ｕ２を集合Ｓ_２ｕの部分集合、Ｌ_１をκビットの値と集合Ｌ_ｕ１の組み合わせで表現される集合、Ｌ_２をκビットの値と集合Ｌ_ｕ２の組み合わせで表現される集合、ｐｋ_１を集合の組（Ｓ_１，Ｌ_１）の記述を含んだ公開鍵、ｐｋ_２を集合の組（Ｓ_２，Ｌ_２）の記述を含んだ公開鍵、ｓｋ_１を公開鍵ｐｋ_１に対する秘密鍵、ｓｋ_２を公開鍵ｐｋ_２に対する秘密鍵とし、
   前記共通参照情報生成装置は、
   前記セキュリティパラメータκに基づいて（ｐｋ_１，ｓｋ_１）、（ｐｋ_２，ｓｋ_２）を生成する鍵生成部と、
   前記秘密鍵ｓｋ_１，ｓｋ_２を廃棄する秘密鍵廃棄部と、
   公開鍵の組ｐｋ＝（ｐｋ_１，ｐｋ_２）を共通参照情報として公開するＣＲＳ公開部と、
   を備え、
   前記コミット生成装置は、
   前記公開鍵の組ｐｋとκビットの値であるタグｔとコミットする対象である平文ｘを取得する入力情報取得部と、
   前記集合Ｓ_１ｕの元の中からサンプル値ｕ_１をランダムに選択し、前記集合Ｓ_２ｕの元の中からサンプル値ｕ_２をランダムに選択するサンプル値選択部と、
   前記公開鍵ｐｋ_１と前記平文ｘからあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_１の元の中から内部乱数ｒ_１をランダムに選択し、前記公開鍵ｐｋ_２と前記平文ｘからあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_２の元の中から内部乱数ｒ_２をランダムに選択する乱数生成部と、
   前記平文ｘを前記公開鍵ｐｋ_１と前記タグｔと前記サンプル値ｕ_１と前記内部乱数ｒ_１を用いて暗号化して暗号文ｃ_１を求め、前記平文ｘを前記公開鍵ｐｋ_２と前記タグｔと前記サンプル値ｕ_２と前記内部乱数ｒ_２を用いて暗号化して暗号文ｃ_２を求め、コミットメントをｃ＝（ｃ_１，ｃ_２）とする暗号化部と、
   前記コミットメントｃと前記タグｔと前記サンプル値ｕ_１，ｕ_２を前記コミット受信装置に送信するコミット送信部と、
   前記内部乱数ｒ_１，ｒ_２と前記平文ｘを前記コミット受信装置に送信するデコミット送信部と
   を備え、
   前記コミット受信装置は、
   前記公開鍵の組ｐｋを取得する公開情報取得部と、
   コミットメントｃ’＝（ｃ_１’，ｃ_２’）とタグｔ’とサンプル値ｕ_１’，ｕ_２’を受信するコミット受信部と、
   内部乱数ｒ_１’，ｒ_２’と平文ｘ’を受信するデコミット受信部と、
   前記内部乱数ｒ_１’が前記公開鍵ｐｋ_１と前記平文ｘ’から前記あらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_１の元であるかを確認し、前記内部乱数ｒ_２’が前記公開鍵ｐｋ_２と前記平文ｘ’から前記あらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_２の元であるかを確認し、前記平文ｘ’を前記公開鍵ｐｋ_１と前記タグｔ’と前記サンプル値ｕ_１’と前記内部乱数ｒ_１’を用いて暗号化して得た暗号文ｃ_１”が、ｃ_１”＝ｃ_１’であることを確認し、前記平文ｘ’を前記公開鍵ｐｋ_２と前記タグｔ’と前記サンプル値ｕ_２’と前記内部乱数ｒ_２’を用いて暗号化して得た暗号文ｃ_２”が、ｃ_２”＝ｃ_２’であることを確認する確認部と
   を備える
   ことを特徴とするコミットメントシステム。
2. 請求項１記載のコミットメントシステムであって、
   ｑ_１，ｑ_２を素数、ｇ_１を位数ｑ_１の群Ｇ_１の生成元、ｇ_２を位数ｑ_２の群Ｇ_２の生成元、ｘ_１１，ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κを０以上ｑ_１−１以下の整数、ｘ_２１，ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κを０以上ｑ_２−１以下の整数、ｉを１または２、ｊを１以上κ以下の整数、ｍを１または２、＾をべき乗を示す記号、ｔ_ｎをｔのｎビット目、λをＯ（ｌｏｇκ）の秘密情報長、集合Ｓ_１ｕを群Ｇ_１の２つの元の組み合わせの集合、集合Ｓ_２ｕを群Ｇ_２の２つの元の組み合わせの集合、Ｈ_ｍ（ｔ）を
   
   とし、
   前記鍵生成部は、ｇ_１，ｘ_１１，ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κをランダムに選び、ｇ_１１，ｇ_１２，ｈ_１０，ｈ_１１，…，ｈ_１κをｇ_１ｉ＝ｇ_１＾ｘ_１ｉ、ｈ_１ｊ＝ｇ_１＾ｙ_１ｊのように計算し、ｐｋ_１＝（Ｇ_１，ｇ_１，ｑ_１，λ，（Ｓ_１，Ｌ_１），ｇ_１１，ｇ_１２，ｈ_１０，ｈ_１１，…，ｈ_１κ）とｓｋ_１＝（ｐｋ_１，ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κ）のように（ｐｋ_１，ｓｋ_１）を生成し、ｇ_２，ｘ_２１，ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κをランダムに選び、ｇ_２１，ｇ_２２，ｈ_２０，ｈ_２１，…，ｈ_２κをｇ_２ｉ＝ｇ_２＾ｘ_２ｉ、ｈ_２ｊ＝ｇ_２＾ｙ_２ｊのように計算し、ｐｋ_２＝（Ｇ_２，ｇ_２，ｑ_２，λ，（Ｓ_２，Ｌ_２），ｇ_２１，ｇ_２２，ｈ_２０，ｈ_２１，…，ｈ_２κ）とｓｋ_２＝（ｐｋ_２，ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κ）のように（ｐｋ_２，ｓｋ_２）を生成し、
   前記サンプル値選択部は、サンプル値ｕ_１として、群Ｇ_１の中の２つの元の組（ｕ_１ｒ，ｕ_１ｔ）をランダムに選定し、サンプル値ｕ_２として、群Ｇ_２の中の２つの元の組（ｕ_２ｒ，ｕ_２ｔ）をランダムに選定し、
   前記乱数生成部は、内部乱数ｒ_１として、０以上ｑ−１以下の整数である乱数ｚ_１と乱数ｓ_１を生成し、内部乱数ｒ_２として、０以上ｑ−１以下の整数である乱数ｚ_２と乱数ｓ_２を生成し、
   前記暗号化部は、
   Ａ_１＝（ｇ_１１＾ｚ_１）（Ｈ_１（ｔ）＾ｓ_１）（ｕ_１ｔ＾ｘ_１）
   ａ_１＝（ｇ_１＾ｚ_１）（ｇ_１２＾ｘ_１）
   ｂ_１＝（ｇ_１＾ｓ_１）（ｕ_１ｒ＾ｘ_１）
   を計算してｃ_１＝（Ａ_１，ａ_１，ｂ_１）とし、
   Ａ_２＝（ｇ_２１＾ｚ_１）（Ｈ_２（ｔ）＾ｓ_２）（ｕ_２ｔ＾ｘ_２）
   ａ_２＝（ｇ_２＾ｚ_２）（ｇ_２２＾ｘ_２）
   ｂ_２＝（ｇ_２＾ｓ_２）（ｕ_２ｒ＾ｘ_２）
   を計算してｃ_２＝（Ａ_２，ａ_２，ｂ_２）として、（ｃ_１，ｃ_２）をコミットメントｃとする
   ことを特徴とするコミットメントシステム。
3. 請求項１記載のコミットメントシステムであって、
   Ｐ_１，Ｑ_１，Ｐ_２，Ｑ_２を整数、Ｎ_１＝Ｐ_１Ｑ_１、Ｎ_２＝Ｐ_２Ｑ_２、ｖ_１，ｖ_２を正の整数、ｉを１または２、ｊを１以上κ以下の整数、ｍを１または２、＾をべき乗を示す記号、ｘ_１ｉとｙ_１ｊを０以上Ｎ_１＾ｖ_１−１以下の整数、ｘ_２ｉとｙ_２ｊを０以上Ｎ_２＾ｖ_２−１以下の整数、Ｓ_１ｕを０以上Ｎ_１＾（ｖ_１＋１）−１以下の整数の中の２つの整数の組み合わせの集合、Ｓ_２ｕを０以上Ｎ_２＾（ｖ_２＋１）−１以下の整数の中の２つの整数の組み合わせの集合、ｇ_１＝１＋Ｎ_１、ｇ_２＝１＋Ｎ_２、平文ｘを０以上Ｎ_１＾ｖ_１−１以下の整数かつ０以上Ｎ_２＾ｖ_２−１以下の整数、Ｈ_ｍ（ｔ）を
   
   とし、
   前記鍵生成部は、ｘ_１１，ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κをランダムに選び、０以上Ｎ_１＾（ｖ_１＋１）−１の整数である乱数Ｒ_１１，Ｒ_１２を生成し、ｇ_１１，ｇ_１２，ｈ_１０，ｈ_１１，…，ｈ_１κを
   ｇ_１ｉ＝（ｇ_１＾ｘ_１ｉ）Ｒ_１ｉ＾Ｎ_１＾ｖ_１ ｍｏｄＮ_１＾（ｖ_１＋１）
   ｈ_１ｊ＝ｇ_１＾ｙ_１ｊ ｍｏｄＮ_１＾（ｖ_１＋１）
   のように計算し、ｐｋ_１＝（Ｎ_１，ｖ_１，（Ｓ_１，Ｌ_１），ｇ_１１，ｇ_１２，ｈ_１０，ｈ_１１，…，ｈ_１κ）とｓｋ_１＝（ｘ_１２，ｙ_１０，ｙ_１１，…，ｙ_１κ）のように（ｐｋ_１，ｓｋ_１）を生成し、ｘ_２１，ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κをランダムに選び、０以上Ｎ_２＾（ｖ_２＋１）−１の整数である乱数Ｒ_２１，Ｒ_２２を生成し、ｇ_２１，ｇ_２２，ｈ_２０，ｈ_２１，…，ｈ_２κを
   ｇ_２ｉ＝（ｇ_２＾ｘ_２ｉ）Ｒ_２ｉ＾Ｎ_２＾ｖ_２ ｍｏｄＮ_２＾（ｖ_２＋１）
   ｈ_２ｊ＝ｇ_２＾ｙ_２ｊ ｍｏｄＮ_２＾（ｖ_２＋１）
   のように計算し、ｐｋ_２＝（Ｎ_２，ｖ_２，（Ｓ_２，Ｌ_２），ｇ_２１，ｇ_２２，ｈ_２０，ｈ_２１，…，ｈ_２κ）とｓｋ_２＝（ｘ_２２，ｙ_２０，ｙ_２１，…，ｙ_２κ）のように（ｐｋ_２，ｓｋ_２）を生成し、
   前記サンプル値選択部は、前記サンプル値ｕ_１として、０以上Ｎ_１＾（ｖ_１＋１）−１以下の整数の中の２つの整数の組み合わせ（ｕ_１ｒ，ｕ_１ｔ）をランダムに選定し、前記サンプル値ｕ_２として、０以上Ｎ_２＾（ｖ_２＋１）−１以下の整数の中の２つの整数の組み合わせ（ｕ_２ｒ，ｕ_２ｔ）をランダムに選定し、
   前記乱数生成部は、内部乱数ｒ_１として０以上Ｎ_１＾ｖ_１−１以下の整数である乱数ｚ_１と乱数ｓ_１を生成し、０以上Ｎ_１＾（ｖ_１＋１）−１以下の整数である乱数Ｒ_１Ａ，Ｒ_１ａ，Ｒ_１ｂを生成し、内部乱数ｒ_２として０以上Ｎ_２＾ｖ_２−１以下の整数である乱数ｚ_２と乱数ｓ_２を生成し、０以上Ｎ_２＾（ｖ_２＋１）−１以下の整数である乱数Ｒ_２Ａ，Ｒ_２ａ，Ｒ_２ｂを生成し、
   前記暗号化部は、
   Ａ_１＝（ｇ_１１＾ｚ_１）（Ｈ_１（ｔ）＾ｓ_１）（ｕ_１ｔ＾ｘ_１）（Ｒ_１Ａ＾Ｎ_１＾ｖ_１）
   ｍｏｄＮ_１＾（ｖ_１＋１）
   ａ_１＝（（ｇ_１＾ｚ_１）（Ｒ_１ａ＾Ｎ_１＾ｖ_１） ｍｏｄＮ_１＾（ｖ_１＋１））（ｇ_１２＾ｘ_１）
   ｂ_１＝（（ｇ_１＾ｓ_１）（Ｒ_１ｂ＾Ｎ_１＾ｖ_１） ｍｏｄＮ_１＾（ｖ_１＋１））（ｕ_１ｒ＾ｘ_１）
   を計算してｃ_１＝（Ａ_１，ａ_１，ｂ_１）とし、
   Ａ_２＝（ｇ_２１＾ｚ_２）（Ｈ_２（ｔ）＾ｓ_２）（ｕ_２ｔ＾ｘ_２）（Ｒ_２Ａ＾Ｎ_２＾ｖ_２）
   ｍｏｄＮ_２＾（ｖ_２＋１）
   ａ_２＝（（ｇ_２＾ｚ_２）（Ｒ_２ａ＾Ｎ_２＾ｖ_２） ｍｏｄＮ_２＾（ｖ_２＋１））（ｇ_２２＾ｘ_２）
   ｂ_２＝（（ｇ_２＾ｓ_２）（Ｒ_２ｂ＾Ｎ_２＾ｖ_２） ｍｏｄＮ_２＾（ｖ_２＋１））（ｕ_２ｒ＾ｘ_２）
   を計算してｃ_２＝（Ａ_２，ａ_２，ｂ_２）として、（ｃ_１，ｃ_２）をコミットメントｃとする ことを特徴とするコミットメントシステム。
4. 請求項１〜３のいずれかに記載のコミットメントシステムが備える前記共通参照情報生成装置であることを特徴とする共通参照情報生成装置。
5. 請求項１〜３のいずれかに記載のコミットメントシステムが備える前記コミット生成装置であることを特徴とするコミット生成装置。
6. 請求項１〜３のいずれかに記載のコミットメントシステムが備える前記コミット受信装置であることを特徴とするコミット受信装置。
7. 共通参照情報生成装置とコミット生成装置とコミット受信装置とを用いたコミットメント方法であって、
   正の整数κをセキュリティパラメータ、Ｓ_１ｕをあらかじめ定めた集合、Ｓ_２ｕをあらかじめ定めた集合、Ｓ_１をκビットの値と集合Ｓ_１ｕの組み合わせで表現される集合、Ｓ_２をκビットの値と集合Ｓ_２ｕの組み合わせで表現される集合、Ｌ_ｕ１を集合Ｓ_１ｕの部分集合、Ｌ_ｕ２を集合Ｓ_２ｕの部分集合、Ｌ_１をκビットの値と集合Ｌ_ｕ１の組み合わせで表現される集合、Ｌ_２をκビットの値と集合Ｌ_ｕ２の組み合わせで表現される集合、ｐｋ_１を集合の組（Ｓ_１，Ｌ_１）の記述を含んだ公開鍵、ｐｋ_２を集合の組（Ｓ_２，Ｌ_２）の記述を含んだ公開鍵、ｓｋ_１を公開鍵ｐｋ_１に対する秘密鍵、ｓｋ_２を公開鍵ｐｋ_２に対する秘密鍵とし、
   前記共通参照情報生成装置が、前記セキュリティパラメータκに基づいて（ｐｋ_１，ｓｋ_１）、（ｐｋ_２，ｓｋ_２）を生成する鍵生成ステップと、
   前記共通参照情報生成装置が、前記秘密鍵ｓｋ_１，ｓｋ_２を廃棄する秘密鍵廃棄ステップと、
   前記共通参照情報生成装置が、公開鍵の組ｐｋ＝（ｐｋ_１，ｐｋ_２）を共通参照情報として公開するＣＲＳ公開ステップと、
   前記コミット生成装置が、前記公開鍵の組ｐｋとκビットの値であるタグｔとコミットする対象である平文ｘを取得する入力情報取得ステップと、
   前記コミット受信装置が、前記公開鍵の組ｐｋを取得する公開情報取得ステップと、
   前記コミット生成装置が、前記集合Ｓ_１ｕの元の中からサンプル値ｕ_１をランダムに選択し、前記集合Ｓ_２ｕの元の中からサンプル値ｕ_２をランダムに選択するサンプル値選択ステップと、
   前記コミット生成装置が、前記公開鍵ｐｋ_１と前記平文ｘからあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_１の元の中から内部乱数ｒ_１をランダムに選択し、前記公開鍵ｐｋ_２と前記平文ｘからあらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_２の元の中から内部乱数ｒ_２をランダムに選択する乱数生成ステップと、
   前記コミット生成装置が、前記平文ｘを前記公開鍵ｐｋ_１と前記タグｔと前記サンプル値ｕ_１と前記内部乱数ｒ_１を用いて暗号化して暗号文ｃ_１を求め、前記平文ｘを前記公開鍵ｐｋ_２と前記タグｔと前記サンプル値ｕ_２と前記内部乱数ｒ_２を用いて暗号化して暗号文ｃ_２を求め、コミットメントをｃ＝（ｃ_１，ｃ_２）とする暗号化ステップと、
   前記コミット生成装置が、前記コミットメントｃと前記タグｔと前記サンプル値ｕ_１，ｕ_２を前記コミット受信装置に送信するコミット送信ステップと、
   前記コミット受信装置が、コミットメントｃ’＝（ｃ_１’，ｃ_２’）とタグｔ’とサンプル値ｕ_１’，ｕ_２’を受信するコミット受信ステップと、
   前記コミット生成装置が、前記内部乱数ｒ_１，ｒ_２と前記平文ｘを前記コミット受信装置に送信するデコミット送信ステップと、
   前記コミット受信装置が、内部乱数ｒ_１’，ｒ_２’と平文ｘ’を受信するデコミット受信ステップと、
   前記コミット受信装置が、前記内部乱数ｒ_１’が前記公開鍵ｐｋ_１と前記平文ｘ’から前記あらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_１の元であるかを確認し、前記内部乱数ｒ_２’が前記公開鍵ｐｋ_２と前記平文ｘ’から前記あらかじめ定めた方法で一意に決まる内部乱数空間ＣＯＩＮ_２の元であるかを確認し、前記平文ｘ’を前記公開鍵ｐｋ_１と前記タグｔ’と前記サンプル値ｕ_１’と前記内部乱数ｒ_１’を用いて暗号化して得た暗号文ｃ_１”が、ｃ_１”＝ｃ_１’であることを確認し、前記平文ｘ’を前記公開鍵ｐｋ_２と前記タグｔ’と前記サンプル値ｕ_２’と前記内部乱数ｒ_２’を用いて暗号化して得た暗号文ｃ_２”が、ｃ_２”＝ｃ_２’であることを確認する確認ステップと
   を有するコミットメント方法。