JP7238977B2 - 匿名署名システム及び匿名署名方法 - Google Patents

Description

本発明は、匿名署名システム及び匿名署名方法に関する。

署名者の匿名性を守りつつ電子署名を行う方法として匿名署名が知られている。このような匿名署名の１つとして、リング署名が知られている。リング署名では、署名がグループのメンバにより作成されたことを第三者が検証することができるが、グループのどのメンバにより署名が作成されたかは特定することができず、また、グループ管理者も存在しない。

また、リング署名の拡張として匿名化可能署名（Anonymizable Signature）が知られている。匿名化可能署名では、署名されたメッセージを持つ者は誰でも後からその署名を匿名署名に変換することができる。このため、或るグループ（リング）に属する署名者は、自身の秘密鍵を用いて署名したメッセージを或るエージェント（例えば、署名を預かって、管理する第三者）に渡しておけば、当該署名の匿名化に関与する必要がない。言い換えれば、エージェントのみで当該署名を匿名化することができる。

ところで、匿名化可能署名では署名者がエージェントに渡す署名は通常の署名であり、例えば、漏洩等によって攻撃者がこの署名を入手した場合、当該攻撃者は、エージェント同様に、署名者がこの署名を行ったことを確認できてしまう。これに対して、予め指定したエージェント以外は署名者を確認することができないようにするエージェント指定匿名化可能署名が知られている（非特許文献１参照）。エージェント指定匿名化可能署名では、署名者は、指定したエージェントが公開するシステムパラメタを用いて秘密鍵及び公開鍵を生成した上で、この秘密鍵によりメッセージに署名を行う。これにより、当該エージェントのみで署名検証及び匿名化が可能となり、仮に署名が漏洩したとしても当該エージェント以外の者が署名者を確認することができないようにしている。

小林 鉄太郎，星野 文学，「エージェント指定匿名化可能署名」，SCIS2019, 2019.

しかしながら、上述したように、エージェント指定匿名化可能署名では、署名者は、指定したエージェントが公開するシステムパラメタを用いて公開鍵を生成する必要がある。このため、例えば、公開鍵を生成した後に、他のエージェントを指定したくなった場合には、署名者は、当該他のエージェントが公開するシステムパラメタを用いて公開鍵を生成し直す必要がある。すなわち、エージェントの指定を変更するたびに、署名者には公開鍵を再生成する手間が生じていた。

本発明の実施の形態は、上記の点に鑑みてなされたもので、エージェントの指定変更に伴う鍵生成の手間を削減することを目的とする。

上記目的を達成するため、本発明の実施の形態における匿名署名システムは、署名者が指定したエージェントにより署名σを匿名化する匿名署名システムであって、安全パラメタを入力として、前記エージェントに依存しないシステムパラメタρを生成するシステムパラメタ生成手段と、前記システムパラメタρを入力として、エージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとを生成するセットアップ手段と、前記システムパラメタρを入力として、前記署名者の秘密鍵ｘと公開鍵ｙとを生成する鍵生成手段と、前記秘密鍵ｘと、前記署名σが付与される対象のメッセージｍと、前記署名者が指定したエージェントのエージェント公開鍵ｇ_Ａとを入力として、前記メッセージｍに対する署名σを生成する署名生成手段と、前記署名者の識別子ｉと、前記エージェント秘密鍵ｗと、前記署名σと、前記署名者が属するグループを示すリングＬと、前記リングＬに属する署名者の公開鍵ｙのリストｙ_Ｌと、前記メッセージｍとを入力として、前記署名σを匿名化したリング署名σ´を生成する匿名化手段と、前記リングＬと、前記リストｙ_Ｌと、前記メッセージｍと、前記リング署名σ´とを入力として、前記メッセージｍの検証結果ｂを出力する検証手段と、を有することを特徴とする。

エージェントの指定変更に伴う鍵生成の手間を削減することができる。

本発明の実施の形態における匿名署名システムの全体構成の一例を示す図である。 本発明の実施の形態におけるシステムパラメタ生成処理の一例を示すフローチャートである。 本発明の実施の形態におけるセットアップ処理の一例を示すフローチャートである。 本発明の実施の形態における鍵生成処理の一例を示すフローチャートである。 本発明の実施の形態における署名生成処理の一例を示すフローチャートである。 本発明の実施の形態における匿名化処理の一例を示すフローチャートである。 本発明の実施の形態における検証処理の一例を示すフローチャートである。 本発明の実施の形態における署名生成装置、匿名署名生成装置、署名検証装置及びシステムパラメタ生成装置のハードウェア構成の一例を示す図である。

以下、本発明の実施の形態について説明する。本発明の実施の形態では、エージェント指定匿名化可能署名において、エージェントの指定変更に伴う鍵（署名者の公開鍵）の再生成が不要な匿名署名システム１について説明する。

＜表記＞
本発明の実施の形態では、以下の表記を導入する。

・集合Ｘから一様ランダムに選択された要素をｘとすることを、

と表記する。これを以降では、「ｘ←^＄Ｘ」又は「Ｘ→^＄ｘ」とも表す。

・確率的多項式時間アルゴリズムＡｌｇ（）の出力をｘとすることを、

と表記する。これを以降では、「ｘ←^＄Ａｌｇ（）」又は「Ａｌｇ（）→^＄ｘ」とも表す。

・ｙをｘで定義する又はｙにｘを代入することを、ｙ←ｘ又はｘ→ｙと表す。ただし、「→」又は「←」は文脈によっては写像（又は関数）を表す。「→」又は「←」が写像を表す場合は、写像（又は関数）であることを明記する。

＜匿名化可能署名＞
まず、従来技術である匿名化可能署名について説明する。ｋ∈Ｎ（Ｎは自然数全体の集合）を安全パラメタとし、Ｍ＝｛０，１，・・・｝を署名者集合とする。署名者集合の部分集合Ｌ⊂Ｍはリングと呼ばれる。また、署名者の識別子（例えば、署名者ＩＤ等）をｉとして、識別子ｉの署名者の秘密鍵をｘ_ｉ，公開鍵をｙ_ｉとする。ただし、署名者の識別子ｉを考えない場合は、単に、秘密鍵をｘ、公開鍵をｙと表す。

更に、以降では、簡単のため、任意の記号ａとリングＬとに対してａ_Ｌ＝（ａ_ｉ）_ｉ∈Ｌと定義する。すなわち、例えば、Ｌ＝｛Ｌ０，Ｌ１，・・・｝である場合、ａ_Ｌ＝（ａ_Ｌ０，ａ_Ｌ１，・・・）である。

このとき、匿名化可能署名方式Σは、次の構文を満たす４つの確率的多項式時間アルゴリズム（ＫｅｙＧｅｎ，Ｓｉｇｎ，Ａｎｏｎｙｍｉｚｅ，Ｖｅｒｉｆｙ）により構成される。

・鍵生成アルゴリズムＫｅｙＧｅｎ（１^ｋ）→^＄（ｘ，ｙ）：安全パラメタ１^ｋを入力として、秘密鍵ｘと公開鍵ｙとを出力とする確率的多項式時間アルゴリズム。

・署名アルゴリズムＳｉｇｎ（ｘ，ｍ）→^＄ｒ：秘密鍵ｘとメッセージｍとを入力として、署名ｒを出力とする確率的多項式時間アルゴリズム。なお、メッセージｍは、署名ｒが付与される対象である。

・匿名化アルゴリズムＡｎｏｎｙｍｉｚｅ（ｉ，ｒ，Ｌ，ｙ_Ｌ，ｍ）→^＄σ又は⊥：署名者の識別子ｉと、リングＬ⊂Ｍと、リングＬに属する署名者の公開鍵のリストｙ_Ｌと、メッセージｍとを入力として、リング署名σ又は拒絶⊥を出力とする確率的多項式時間アルゴリズム。リング署名σは匿名署名σとも称される。なお、公開鍵のリストｙ_Ｌは、ｙ_Ｌ＝（ｙ_ｋ）_ｋ∈Ｌである。

・検証アルゴリズムＶｅｒｉｆｙ（Ｌ，ｙ_Ｌ，ｍ，σ）→^＄０又は１：リングＬと、リングＬに属する署名者の公開鍵のリストｙ_Ｌと、メッセージｍと、リング署名σとを入力として、単一ビットｂ∈｛０，１｝を出力する確率的多項式時間アルゴリズム。なお、例えば、ｂ＝０が検証失敗を表し、ｂ＝１が検証成功を表す。

・構文：任意の多項式長のメッセージｍ∈｛０，１｝^＊と、任意の多項式長のリングＬ⊂Ｍと、任意の署名者の識別子ｉ∈Ｌとに対して、確率

がｋに関して無視可能である。

上述したように、署名者の匿名性を担保するため、署名ｒは、署名者とエージェントとの間で秘密にしなければならない。すなわち、仮に、漏洩によって攻撃者が署名ｒを入手した場合、当該攻撃者は、エージェント同様に、署名者がこの署名ｒを行ったことを確認できてしまう。このため、エージェントは、署名者から託された署名を秘密として安全に管理する必要がある。通常、エージェントは、多くの署名者から多くの署名を託される場合が多く、託された署名の数に比例して安全に管理すべき秘密の量も大きくなる。ここで、エージェントとは、例えば、署名を預かって、管理する第三者のことである。

なお、上記の従来の匿名化可能署名の具体的な構成については、例えば、上記の非特許文献１を参照されたい。

＜エージェント指定匿名化可能署名＞
次に、従来技術であるエージェント指定匿名化可能署名について説明する。エージェント指定匿名化可能署名方式Σは、次の構文を満たす５つの確率的多項式時間アルゴリズム（Ｓｅｔｕｐ，ＫｅｙＧｅｎ，Ｓｉｇｎ，Ａｎｏｎｙｍｉｚｅ，Ｖｅｒｉｆｙ）により構成される。

・エージェント鍵生成アルゴリズムＳｅｔｕｐ（１^ｋ）→^＄（ｗ，ρ）：安全パラメタ１^ｋを入力として、エージェント秘密鍵ｗとシステムパラメタρとを出力とする確率的多項式時間アルゴリズム。なお、システムパラメタρは、エージェント指定匿名化署名方式Σに参加している参加者（署名者）が知っている共通参照情報であり、エージェント毎に生成及び公開される。また、エージェント秘密鍵ｗは、エージェントが署名ｒの匿名化に用いる秘密情報である。

・鍵生成アルゴリズムＫｅｙＧｅｎ（ρ）→^＄（ｘ，ｙ）：システムパラメタρを入力として、秘密鍵ｘと公開鍵ｙとを出力とする確率的多項式時間アルゴリズム。すなわち、鍵生成アルゴリズムＫｅｙＧｅｎ（ρ）は、１以上のエージェントのうち、署名者が指定したエージェントにより公開されているシステムパラメタρを入力として、秘密鍵ｘと公開鍵ｙとを出力する。

・署名アルゴリズムＳｉｇｎ（ｘ，ｍ）→^＄ｒ：秘密鍵ｘとメッセージｍとを入力として、署名ｒを出力とする確率的多項式時間アルゴリズム。

・匿名化アルゴリズムＡｎｏｎｙｍｉｚｅ（ｉ，ｗ，ｒ，Ｌ，ｙ_Ｌ，ｍ）→^＄σ又は⊥：署名者の識別子ｉと、当該署名者の署名ｒと、リングＬ⊂Ｍと、リングＬに属する署名者の公開鍵のリストｙ_Ｌと、当該署名ｒに対応するメッセージｍと、エージェント秘密鍵ｗとを入力として、リング署名σ又は拒絶⊥を出力とする確率的多項式時間アルゴリズム。なお、リング署名σは匿名署名とも称される。

・検証アルゴリズムＶｅｒｉｆｙ（Ｌ，ｙ_Ｌ，ｍ，σ）→^＄０又は１：リングＬと、リングＬに属する署名者の公開鍵のリストｙ_Ｌと、メッセージｍと、リング署名σとを入力として、単一ビットｂ∈｛０，１｝を出力する確率的多項式時間アルゴリズム。なお、例えば、ｂ＝０である場合はメッセージｍが正当でないことを表し、ｂ＝１である場合はメッセージｍが正当であることを表す。

・構文：任意の多項式長のメッセージｍ∈｛０，１｝^＊と、任意の多項式長のリングＬ⊂Ｍと、任意の署名者の識別子ｉ∈Ｌとに対して、確率

がｋに関して無視可能である。

上記のエージェント指定匿名化可能署名では、仮に署名ｒが攻撃者に漏洩したとしても、エージェント秘密鍵ｗが漏洩していなければ、署名ｒがどの秘密鍵ｘ_ｉによって作成された署名であるのかが計算量的に識別困難となる。すなわち、エージェント指定匿名化可能署名では、署名ｒの匿名化にエージェント秘密鍵ｗが必要であるため、署名者が指定したエージェントでのみ署名検証及び匿名化が可能となる。したがって、エージェント指定匿名化可能署名では、エージェント秘密鍵ｗが漏洩しなければ、署名ｒの匿名性が担保される。

なお、上記のエージェント指定匿名化可能署名の具体的な構成については、例えば、上記の非特許文献１を参照されたい。

＜エージェント独立エージェント指定匿名化可能署名＞
本発明の実施の形態では、上記のエージェント指定匿名化可能署名を改良して、エージェントの指定変更に伴う鍵（署名者の公開鍵）の再生成が不要なエージェント指定匿名化可能署名（これを「エージェント独立エージェント指定匿名化可能署名」とも表す。）について説明する。

ところで、例えば、上記の非特許文献１に記載されているエージェント指定匿名化可能署名の具体的構成では、エージェントが生成した生成元ｇを用いてシステムパラメタρを構成し、署名者は、このシステムパラメタρを用いて秘密鍵ｘ及び公開鍵ｙの生成と署名ｒの生成とを行っている。このため、エージェントの指定を変更した場合、署名者は公開鍵ｙを再生成し直す必要がある。

そこで、エージェント独立エージェント指定匿名化可能署名では、エージェントに依存しない共通参照文字列ｃｒｓのハッシュ値によって誰も離散対数を知らない生成元ｇを生成し、この生成元ｇからシステムパラメタρを構成するようにする。これにより、エージェント独立エージェント指定匿名化可能署名では、エージェントの指定を変更した場合であっても公開鍵ｙの再生成を不要とすることができる。

エージェント独立エージェント指定匿名化可能署名方式Σは、次の構文を満たす６つの確率的多項式時間アルゴリズム（ＣｒｓＧｅｎ，Ｓｅｔｕｐ，ＫｅｙＧｅｎ，Ｓｉｇｎ，Ａｎｏｎｙｍｉｚｅ，Ｖｅｒｉｆｙ）により構成される。

・共通参照情報生成アルゴリズムＣｒｓＧｅｎ（１^ｋ）→^＄ρ：安全パラメタ１^ｋを入力として、システムパラメタρを出力とする確率的多項式時間アルゴリズム。なお、このシステムパラメタρは、共通参照文字列ｃｒｓのハッシュ値によって生成された生成元ｇから生成される。

・エージェント鍵生成アルゴリズムＳｅｔｕｐ（ρ）→^＄（ｗ，ｇ_Ａ）：システムパラメタρを入力として、エージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとを出力とする確率的多項式時間アルゴリズム。

・鍵生成アルゴリズムＫｅｙＧｅｎ（ρ）→^＄（ｘ，ｙ）：システムパラメタρを入力として、秘密鍵ｘと公開鍵ｙとを出力する確率的多項式時間アルゴリズム。

・署名アルゴリズムＳｉｇｎ（ｘ，ｍ，ｇ_Ａ）→^＄σ：秘密鍵ｘとメッセージｍとエージェント公開鍵ｇ_Ａとを入力として、署名σを出力とする確率的多項式時間アルゴリズム。

・匿名化アルゴリズムＡｎｏｎｙｍｉｚｅ（ｉ，ｗ，σ，Ｌ，ｙ_Ｌ，ｍ）→^＄σ´又は⊥：署名者の識別子ｉと、エージェント秘密鍵ｗと、当該署名者の署名σと、リングＬ⊂Ｍと、リングＬに属する署名者の公開鍵のリストｙ_Ｌと、当該署名σに対応するメッセージｍとを入力として、リング署名σ´又は拒絶⊥を出力とする確率的多項式時間アルゴリズム。なお、リング署名σは匿名署名とも称される。

・検証アルゴリズムＶｅｒｉｆｙ（Ｌ，ｙ_Ｌ，ｍ，σ´）→^＄０又は１：リングＬと、リングＬに属する署名者の公開鍵のリストｙ_Ｌと、メッセージｍと、リング署名σ´とを入力として、単一ビットｂ∈｛０，１｝を出力する確率的多項式時間アルゴリズム。なお、例えば、ｂ＝０である場合はメッセージｍが正当でないことを表し、ｂ＝１である場合はメッセージｍが正当であることを表す。

・構文：任意の多項式長のメッセージｍ∈｛０，１｝^＊と、任意の多項式長のリングＬ⊂Ｍと、任意の署名者の識別子ｉ∈Ｌとに対して、確率

がｋに関して無視可能である。

なお、上記のエージェント独立エージェント指定匿名化可能署名では、従来のエージェント指定匿名化可能署名と同様に、仮に署名σが攻撃者に漏洩したとしても、エージェント秘密鍵ｗが漏洩していなければ、署名σがどの秘密鍵ｘ_ｉによって作成された署名であるのかが計算量的に識別困難となる。したがって、エージェント独立エージェント指定匿名化可能署名では、署名者が指定したエージェントでのみ署名検証及び匿名化が可能となると共に、署名者がエージェントの指定を変更したとしても公開鍵ｙを再生成する必要がない。

ここで、上記のエージェント独立エージェント指定匿名化可能署名は、非特許文献１に記載されているエージェント指定匿名化可能署名と同様に、Ｔｒａｐｄｏｏｒ ＤＤＨ群を用いて具体的に構成することができる。そこで、この具体的構成を実現するために、以降では、いくつかの概念について説明する。

＜Ｔｒａｐｄｏｏｒ ＤＤＨ＞
例えば以下の参考文献１にはペアリングを拡張した特殊なＴｒａｐｄｏｏｒ ＤＤＨ群の具体的構成が記載されている。

［参考文献１］
F. Hoshino, "A Variant of Diffie-Hellman Problem and How to Prove Independency." SCIS 2014 The 31st Symposium on Cryptography and Information Security Kagoshima, Japan, Jan. 21 - 24, 2014.
上記のエージェント独立エージェント指定匿名化署名の具体的構成を与えるために、このＴｒａｐｄｏｏｒ ＤＤＨ群を用いる。Ｔｒａｐｄｏｏｒ ＤＤＨ群の概略は以下の通りである。

・ｐを十分大きい素数とする。

・Ｅを有限体Ｆ_ｐ上の超特異楕円曲線とし、位数が十分大きい素数ｑで割り切れるものとする。なお、Ｆ_ｐ＝Ｚ／ｐＺ（Ｚは整数環）である。

・αをＥ（Ｆ_ｐ）［ｑ］の生成元とする。

このとき、Ｇ：＝ＧＬ（ｎ，〈α〉）⊆〈α〉^ｎ×ｎ，Ｒ：＝ＧＬ（ｎ，Ｆ_ｑ）⊆Ｆ_ｑ ^ｎ×ｎとする。これにより、Ｇは成分毎の楕円加算を群演算とするアーベル群であり、このアーベル群をＴｒａｐｄｏｏｒ ＤＤＨ群と見做すことができる。また、Ｒは非可換環であり、Ｇに関する離散対数と見做すことができる。更に、後述するように、Ｇ上で自然なペアリング写像を定義することができる。

＜離散対数＞
巡回群を〈α〉，位数をｑ（ただし、ｑは素数）とする。このとき、

とした場合に、

に対して、

を離散対数と呼ぶ。このとき、ｈをα^ｒとも表す。また、ｒがｎ×ｎの単位行列である場合は、α^ｒをＩ_ｎと表す。なお、上述したように、Ｇ＝ＧＬ（ｎ，〈α〉）は離散対数が正則な〈α〉^ｎ×ｎの部分群であり、成分毎の楕円加算を群演算とするアーベル群である。

一例として、ｎ＝２の場合に、以下のｇ，ｈ∈Ｇの演算を示す。

〈α〉の群演算（楕円加算）とＧの加法との両方を加法で表記した場合は以下となる。

ただし、本発明の実施の形態では、通常の離散対数の概念のアナロジーのため、以降では、〈α〉の群演算（楕円加算）とＧの加法との両方を乗法で表記する。すなわち、

と表記する。

＜右冪乗・左冪乗＞
ｇ，ｇ_１，ｇ_２∈Ｇとして、これらｇ，ｇ_１，ｇ_２の各成分の指数部分により構成される行列をそれぞれｘ，ｘ_１，ｘ_２∈Ｒとした場合、以下の関係を満たすように左冪乗と右冪乗とが定義されているものとする。

このとき、右冪乗・左冪乗に関してＲが非可換環である場合、［Ｇ，Ｒ］には右冪乗・左冪乗を計算するための以下の確率的多項式時間アルゴリズムが存在する。

・Ｇ，Ｒに関する非退化双準同型写像ｒｐｏｗ：Ｇ×Ｒ→Ｇ
・Ｇ，Ｒに関する非退化双準同型写像ｌｐｏｗ：Ｒ×Ｇ→Ｇ
なお、ｒｐｏｗは右冪乗を、ｌｐｏｗは左冪乗を計算するための写像である。ｒｐｏｗ及びｌｐｏｗはいずれも結合律を満たす。

一例として、ｎ＝２の場合に、以下のｘ，ｙ∈Ｒの演算を示す。この演算は離散対数上の行列乗算（^ｘ（α^ｙ）＝α^ｘｙ，（α^ｙ）^ｘ＝α^ｙｘ）と考える。

このとき、^ｘｇ，ｇ^ｘを乗法表記した場合は以下となる。また、^ｘＩ_ｎ，Ｉ_ｎ ^ｘについても以下に示す。

＜鍵交換＞
エージェント独立エージェント指定匿名化可能署名とは直接は関係ないが、上述したように、ｘ，ｙ∈Ｒ、ｇ∈Ｇに対して^ｘ（ｇ^ｙ）＝（^ｘｇ）^ｙが成立するため、このことから鍵交換を実現することもできる。すなわち、鍵交換は、以下の（１）～（４）により行うことが可能である。

（１）Ａｌｉｃｅがｘ∈Ｒを生成し、^ｘｇをＢｏｂに送信
（２）Ｂｏｂがｙ∈Ｒを生成し、ｇ^ｙをＡｌｉｃｅに送信
（３）ＢｏｂはＫ_Ａ＝^ｘ（ｇ^ｙ）を計算
（４）ＡｌｉｃｅはＫ_Ｂ＝（^ｘｇ）^ｙを計算
上記の通り、ｘ，ｙ∈Ｒ、ｇ∈Ｇに対して^ｘ（ｇ^ｙ）＝（^ｘｇ）^ｙが成立するため、Ｋ_Ａ＝Ｋ_Ｂとなり、鍵交換を行うことができる。

＜ペアリング＞
Ｇ上で以下の自然なペアリング写像を定義することができる。

このペアリング写像は離散対数上の行列乗算（ｅ（α^ｘ，α^ｙ）＝ξ^ｘｙ）と考える。

一例として、ｎ＝２の場合に、ｇ，ｈ∈Ｇを以下とする。

このとき、ペアリング写像ｅ（ｇ，ｈ）は以下で定義できる。

＜匿名署名システム１の全体構成＞
以降では、上記のエージェント独立エージェント指定匿名化可能署名方式Σを実現する匿名署名システム１について、図１を参照しながら説明する。図１は、本発明の実施の形態における匿名署名システム１の全体構成の一例を示す図である。

図１に示すように、本発明の実施の形態における匿名署名システム１には、複数の署名生成装置１０と、１以上の匿名署名生成装置２０と、１以上の署名検証装置３０と、１以上のシステムパラメタ生成装置４０とが含まれる。また、署名生成装置１０と、匿名署名生成装置２０と、署名検証装置３０と、システムパラメタ生成装置４０とは、例えばインターネット等の通信ネットワーク５０を介して通信可能に接続されている。

署名生成装置１０は、署名者が利用するコンピュータ又はコンピュータシステムであり、秘密鍵ｘ及び公開鍵ｙの生成と、署名σの生成（作成）とを行う。署名生成装置１０は、鍵生成部１１０と、署名生成部１２０とを有する。

鍵生成部１１０は、エージェント独立エージェント指定匿名化可能署名方式Σの鍵生成アルゴリズムＫｅｙＧｅｎ（ρ）を実行する。すなわち、鍵生成部１１０は、エージェントに依存しないシステムパラメタρ（つまり、エージェントに独立なシステムパラメタρ、言い換えれば、各エージェントで共通に用いられるシステムパラメタρ）を入力として、秘密鍵ｘと公開鍵ｙとを出力する。出力された秘密鍵ｘは、例えば、署名生成装置１０の補助記憶装置等に記憶される。一方で、出力された公開鍵ｙは任意の方法で公開される。

署名生成部１２０は、エージェント独立エージェント指定匿名化可能署名方式Σの署名アルゴリズムＳｉｇｎ（ｘ，ｍ，ｇ_Ａ）を実行する。すなわち、署名生成部１２０は、秘密鍵ｘとメッセージｍとエージェント公開鍵ｇ_Ａとを入力として、署名σを出力する。ここで、エージェント公開鍵ｇ_Ａは、署名者が指定したエージェントのエージェント公開鍵ｇ_Ａを用いる。出力された署名σは、メッセージｍと共に、上記で署名者が指定したエージェントの匿名署名生成装置２０に送信される。

なお、鍵生成部１１０及び署名生成部１２０は、例えば、署名生成装置１０にインストールされた１以上のプログラムがプロセッサ等に実行させる処理により実現される。

匿名署名生成装置２０は、エージェントが利用するコンピュータ又はコンピュータシステムであり、エージェント秘密鍵ｗ及びエージェント公開鍵ｇ_Ａの生成と、署名σの匿名化とを行う。匿名署名生成装置２０は、セットアップ部２１０と、匿名化部２２０とを有する。

セットアップ部２１０は、エージェント鍵生成アルゴリズムＳｅｔｕｐ（ρ）を実行する。すなわち、セットアップ部２１０は、エージェントに依存しないシステムパラメタρを入力として、エージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとを出力する。出力されたエージェント秘密鍵ｗは、例えば、匿名署名生成装置２０の補助記憶装置等に記憶される。一方で、出力されたエージェント公開鍵ｇ_Ａは任意の方法で公開される。

匿名化部２２０は、匿名化アルゴリズムＡｎｏｎｙｍｉｚｅ（ｉ，ｗ，σ，Ｌ，ｙ_Ｌ，ｍ）を実行する。すなわち、匿名化部２２０は、署名者の識別子ｉと、エージェント秘密鍵ｗと、当該署名者の署名σと、リングＬと、リングＬに属する署名者の公開鍵のリストｙ_Ｌと、当該署名σに対応するメッセージｍとを入力として、リング署名σ´又は拒絶⊥を出力する。

なお、セットアップ部２１０及び匿名化部２２０は、例えば、匿名署名生成装置２０にインストールされた１以上のプログラムがプロセッサ等に実行させる処理により実現される。

署名検証装置３０は、エージェントやエージェントとは異なる第三者が利用するコンピュータ又はコンピュータシステムであり、リング署名σ´の検証を行う。署名検証装置３０は、検証部３１０を有する。

検証部３１０は、検証アルゴリズムＶｅｒｉｆｙ（Ｌ，ｙ_Ｌ，ｍ，σ´）を実行する。すなわち、検証部３１０は、リングＬと、リングＬに属する署名者の公開鍵のリストｙ_Ｌと、メッセージｍと、リング署名σ´とを入力として、単一ビットｂ∈｛０，１｝を出力する。

なお、検証部３１０は、署名検証装置３０にインストールされた１以上のプログラムがプロセッサ等に実行させる処理により実現される。

システムパラメタ生成装置４０は、エージェントに依存しないシステムパラメタρを管理する者（例えば、各エージェントとは異なる第三者や各エージェントを代表するエージェント等）が利用するコンピュータ又はコンピュータシステムであり、システムパラメタρの生成を行う。システムパラメタ生成装置４０は、システムパラメタ生成部４１０を有する。

システムパラメタ生成部４１０は、共通参照情報生成アルゴリズムＣｒｓＧｅｎを実行する。すなわち、システムパラメタ生成部４１０は、安全パラメタ１^ｋを入力として、システムパラメタρを出力する。システムパラメタρは、各署名者や各エージェントに共通に参照される情報であり、任意の方法で公開される。

なお、システムパラメタ生成部４１０は、例えば、システムパラメタ生成装置４０にインストールされた１以上のプログラムがプロセッサ等に実行させる処理により実現される。

以上により、本発明の実施の形態における匿名署名システム１は、エージェント独立エージェント指定匿名化可能署名方式Σを実現することができる。このエージェント独立エージェント指定匿名化可能署名方式Σは、上記の数５に示した構文を満たすものとする。

なお、図１に示す匿名署名システム１の構成は一例であって、他の構成であっても良い。例えば、匿名署名生成装置２０と署名検証装置３０とが一体で構成されていても良い。

＜匿名署名システム１の処理の詳細＞
Ｇを上記のＴｒａｐｄｏｏｒ ＤＤＨ群、ＲをＧに関する離散対数とし、Ｇ_Ｔ＝ＧＬ（ｎ，〈ｅ（α，α）〉）とする。また、ｅ：Ｇ×Ｇ→Ｇ_Ｔを上記のＴｒａｐｄｏｏｒ ＤＤＨ群のペアリング写像とし、写像Ｈ：｛０，１｝^＊→Ｇ及び写像Ｈ´：｛０，１｝^＊→Ｒを互いに独立なランダムオラクルとする。更に、システムパラメタρをρ＝（Ｒ，Ｇ，Ｇ_Ｔ，ｅ，ｇ，Ｈ，Ｈ´）とする。

（システムパラメタ生成処理）
まず、システムパラメタ生成部４１０が実行するシステムパラメタ生成処理について、図２を参照しながら説明する。図２は、本発明の実施の形態におけるシステムパラメタ生成処理の一例を示すフローチャートである。

ステップＳ１０１：まず、システムパラメタ生成部４１０は、安全パラメタ１^ｋを入力する。

ステップＳ１０２：次に、システムパラメタ生成部４１０は、以下によりシステムパラメタρを生成する。

ｃｒｓ←｛０，１｝^ｋ
ｇ←Ｈ（ｃｒｓ）
ρ←（Ｒ，Ｇ，Ｇ_Ｔ，ｅ，ｇ，Ｈ，Ｈ´）
ステップＳ１０３：最後に、システムパラメタ生成部４１０は、システムパラメタρを出力する。

これにより、エージェントに依存しないシステムパラメタρが生成される。上述したように、このシステムパラメタρは、安全パラメタ１^ｋに基づいて生成された共通参照文字列ｃｒｓのハッシュ値によって誰も離散対数を知らない生成元ｇが生成された上で、この生成元ｇを用いて構成される。なお、システムパラメタρは、署名者及びエージェントに公開される。

（セットアップ処理）
次に、セットアップ部２１０が実行するセットアップ処理について、図３を参照しながら説明する。図３は、本発明の実施の形態におけるセットアップ処理の一例を示すフローチャートである。なお、図３に示すセットアップ処理では、各エージェントのうちの或るエージェントの匿名署名生成装置２０がエージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとを生成する場合について説明する。

ステップＳ２０１：まず、セットアップ部２１０は、システムパラメタρを入力する。

ステップＳ２０２：次に、セットアップ部２１０は、以下によりエージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとを生成する。

ステップＳ２０３：最後に、セットアップ部２１０は、エージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとを出力する。

これにより、エージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとが生成される。なお、エージェント秘密鍵ｗは、例えば、匿名署名生成装置２０の補助記憶装置等に記憶される。一方で、システムパラメタρは、署名者に公開される。

（鍵生成処理）
次に、鍵生成部１１０が実行する鍵生成処理について、図４を参照しながら説明する。図４は、本発明の実施の形態における鍵生成処理の一例を示すフローチャートである。なお、図４に示す鍵生成処理では、リングＬに属する或る署名者の署名生成装置１０が秘密鍵ｘと公開鍵ｙとを生成する場合について説明する。

ステップＳ３０１：まず、鍵生成部１１０は、システムパラメタρを入力する。なお、このとき、鍵生成部１１０は、システムパラメタ生成装置４０により生成及び公開されたシステムパラメタρを入力する。

ステップＳ３０２：次に、鍵生成部１１０は、（Ｒ，Ｇ，Ｇ_Ｔ，ｅ，ｇ，Ｈ，Ｈ´）←ρとシステムパラメタρをパースする。すなわち、鍵生成部１１０は、システムパラメタρを（Ｒ，Ｇ，Ｇ_Ｔ，ｅ，ｇ，Ｈ，Ｈ´）とする。

ステップＳ３０３：次に、鍵生成部１１０は、ｘ←^＄Ｒとした後、ｙ←^ｘｇとして秘密鍵ｘと公開鍵ｙとを生成する。

ステップＳ３０４：最後に、鍵生成部１１０は、秘密鍵ｘと公開鍵ｙとを出力する。

これにより、リングＬに属する或る署名者の秘密鍵ｘと公開鍵ｙとが生成される。このとき、上述したように、エージェントに依存しないシステムパラメタρを用いて秘密鍵ｘと公開鍵ｙとが生成される。このため、エージェントの指定を変更した場合であっても、署名者は、秘密鍵ｘと公開鍵ｙとを再生成する必要はない。なお、秘密鍵ｘは、例えば、署名生成装置１０の補助記憶装置等に記憶される。一方で、公開鍵ｙは、エージェントに公開される。

（署名処理）
次に、署名生成部１２０が実行する署名処理について、図５を参照しながら説明する。図５は、本発明の実施の形態における署名処理の一例を示すフローチャートである。なお、図５に示す署名処理では、リングＬに属する或る署名者の署名生成装置１０が署名を生成（作成）する場合について説明する。

ステップＳ４０１：まず、署名生成部１２０は、秘密鍵ｘとメッセージｍとエージェント公開鍵ｇ_Ａとを入力する。なお、このとき、署名生成部１２０は、署名者が指定したエージェントが公開するエージェント公開鍵ｇ_Ａを入力する。

ステップＳ４０２：次に、署名生成部１２０は、σ←（^ｘＨ（ρ，ｍ），^ｘｇ_Ａ）として署名σを生成する。なお、このρは、システムパラメタ生成装置４０が生成及び公開したシステムパラメタρである。

ステップＳ４０３：最後に、署名生成部１２０は、署名σを出力する。

これにより、署名σが生成される。署名σは、メッセージｍと共に、署名者が指定したエージェントの匿名署名生成装置２０に送信される。

（匿名化処理）
次に、匿名化部２２０が実行する匿名化処理について、図６を参照しながら説明する。図６は、本発明の実施の形態における匿名化処理の一例を示すフローチャートである。図６に示す匿名化処理では、識別子ｉの署名者の署名σを匿名化する場合について説明する。

ステップＳ５０１：まず、匿名化部２２０は、署名者の識別子ｉと、当該署名者の署名σと、リングＬと、リングＬに属する署名者の公開鍵リストｙ_Ｌと、当該署名σに対応するメッセージｍと、エージェント秘密鍵ｗとを入力する。

ステップＳ５０２：次に、匿名化部２２０は、ｈ←Ｈ（ρ，ｍ）としてランダムオラクルＨの出力値ｈを生成する。なお、システムパラメタρは、システムパラメタ生成装置４０が生成及び公開したものを用いる。

ステップＳ５０３：次に、匿名化部２２０は、（ｒ，Ｙ）←σと署名σをパースする。なお、このとき、匿名化部２２０は、例えば、署名生成部１２０でＧ上の元の順序対として符号化されたσを、（ｒ，Ｙ）なるＧ上の元の順序対としてパースする。

ステップＳ５０４：次に、匿名化部２２０は、

とする。

ステップＳ５０５：次に、匿名化部２２０は、ｅ（Ｘ，ｇ）≠ｅ（Ｉ_ｎ，ｙ_ｉ）が成立するか否かを判定する。

ステップＳ５０６：上記のステップＳ５０５でｅ（Ｘ，ｇ）≠ｅ（Ｉ_ｎ，ｙ_ｉ）が成立しないと判定された場合、匿名化部２２０は、ｅ（Ｉ_ｎ，ｒ）≠ｅ（Ｘ，ｈ）が成立するか否かを判定する。

ステップＳ５０７：上記のステップＳ５０５でｅ（Ｘ，ｇ）≠ｅ（Ｉ_ｎ，ｙ_ｉ）が成立すると判定された場合、又は、上記のステップＳ５０６でｅ（Ｉ_ｎ，ｒ）≠ｅ（Ｘ，ｈ）が成立すると判定された場合、匿名化部２２０は、拒絶⊥を出力する。この場合は、署名σを匿名化することはできない。

ステップＳ５０８：上記のステップＳ５０６でｅ（Ｉ_ｎ，ｒ）≠ｅ（Ｘ，ｈ）が成立しないと判定された場合、匿名化部２２０は、（∃ｊ∈Ｒ，ｅ（Ｉ_ｎ，ｒ）＝ｅ（Ｘ，ｈ））なるｒ及びＸのゼロ知識証明を以下のステップＳ５０８－１～ステップＳ５０８－４により生成する。

ステップＳ５０８－１：匿名化部２２０は、

とする。

ステップＳ５０８－２：次に、匿名化部２２０は、任意のｊ∈Ｌ＼｛ｉ｝に対して、

とする。

ステップＳ５０８－３：また、匿名化部２２０は、

とする。これにより、ｃ_１，ｊと、ｚ_１，ｊと、Ｔ_１，ｊと、Ｔ_２と、Ｔ_２´と、Ｔ_３とが得られる。

ステップＳ５０８－４：そして、匿名化部２２０は、

とする。以上により、ｃ_１，ｉと、ｃ_２と、ｃ_３と、ｚ_１，ｉと、ｚ_２と、ｚ_３とが得られる。

ステップＳ５０９：次に、匿名化部２２０は、σ´←（Ｕ，Ｖ，ｃ_１，Ｌ，ｃ_２，ｃ_３，ｚ_１，Ｌ，ｚ_２，ｚ_３）としてリング署名σ´を生成する。

ステップＳ５１０：最後に、匿名化部２２０は、リング署名σ´を出力する。これにより、リング署名σ´が生成される。

以上のように、エージェント独立エージェント指定匿名化可能署名方式Σでは、従来のエージェント指定匿名化可能署名と同様に、署名σの匿名化にエージェント秘密鍵ｗを用いる。このため、署名者が指定したエージェントのみが署名σの匿名を行うことができる。したがって、エージェント独立エージェント指定匿名化可能署名方式Σでも、仮に署名σが漏洩した場合であっても、エージェント秘密鍵ｗが漏洩しなければ、署名σの匿名性を担保することができる。

（検証処理）
次に、検証部３１０が実行する検証処理について、図７を参照しながら説明する。図７は、本発明の実施の形態における検証処理の一例を示すフローチャートである。

ステップＳ６０１：まず、検証部３１０は、リングＬと、リングＬに属する署名者の公開鍵リストｙ_Ｌと、メッセージｍと、リング署名σ´とを入力する。

ステップＳ６０２：次に、検証部３１０は、（Ｕ，Ｖ，ｃ_１，Ｌ，ｃ_２，ｃ_３，ｚ_１，Ｌ，ｚ_２，ｚ_３）←σ´とリング署名σ´をパースする。すなわち、検証部３１０は、リング署名σ´を（Ｕ，Ｖ，ｃ_１，Ｌ，ｃ_２，ｃ_３，ｚ_１，Ｌ，ｚ_２，ｚ_３）とする。

ステップＳ６０３：次に、検証部３１０は、ｈ←Ｈ（ρ，ｍ）としてランダムオラクルＨの出力値ｈを生成する。なお、システムパラメタρは、システムパラメタ生成装置４０が生成及び公開したものを用いる。

ステップＳ６０４：次に、検証部３１０は、任意のｊ∈Ｌに対して、

として、Ｔ_１，ｊと、Ｔ_２と、Ｔ_２´と、Ｔ_３と、ｃ_１とを生成する。

ステップＳ６０５：次に、検証部３１０は、Ｈ´（ρ，Ｌ，ｍ，ｙ_Ｌ，Ｕ，Ｖ，Ｔ_１，Ｌ，Ｔ_２，Ｔ_２´，Ｔ_３）＝（ｃ_１，ｃ_２，ｃ_３）が成立するか否かを判定する。

ステップＳ６０６：上記のステップＳ６０５でＨ´（ρ，Ｌ，ｍ，ｙ_Ｌ，Ｕ，Ｖ，Ｔ_１，Ｌ，Ｔ_２，Ｔ_２´，Ｔ_３）＝（ｃ_１，ｃ_２，ｃ_３）が成立すると判定された場合、検証部３１０は、検証結果として１を出力する。この場合、メッセージｍが正当であることを表す。

ステップＳ６０７：上記のステップＳ６０５でＨ´（ρ，Ｌ，ｍ，ｙ_Ｌ，Ｕ，Ｖ，Ｔ_１，Ｌ，Ｔ_２，Ｔ_２´，Ｔ_３）＝（ｃ_１，ｃ_２，ｃ_３）が成立しないと判定された場合、検証部３１０は、検証結果として０を出力する。この場合、メッセージｍが正当でないことを表す。

＜ハードウェア構成＞
最後に、本発明の実施の形態における署名生成装置１０、匿名署名生成装置２０、署名検証装置３０及びシステムパラメタ生成装置４０のハードウェア構成について、図８を参照しながら説明する。図８は、本発明の実施の形態における署名生成装置１０、匿名署名生成装置２０、署名検証装置３０及びシステムパラメタ生成装置４０のハードウェア構成の一例を示す図である。なお、署名生成装置１０、匿名署名生成装置２０、署名検証装置３０及びシステムパラメタ生成装置４０は略同様のハードウェア構成で実現可能であるため、以降では、主に、署名生成装置１０のハードウェア構成について説明する。

図８に示すように、本発明の実施の形態における署名生成装置１０は、入力装置５０１と、表示装置５０２と、ＲＡＭ（Random Access Memory）５０３と、ＲＯＭ（Read Only Memory）５０４と、プロセッサ５０５と、外部Ｉ／Ｆ５０６と、通信Ｉ／Ｆ５０７と、補助記憶装置５０８とを有する。これら各ハードウェアは、それぞれがバス５０９を介して通信可能に接続されている。

入力装置５０１は、例えばキーボードやマウス、タッチパネル等であり、ユーザが各種操作を入力するのに用いられる。表示装置５０２は、例えばディスプレイ等であり、ユーザに対して処理結果等を表示するのに用いられる。なお、署名生成装置１０、匿名署名生成装置２０、署名検証装置３０及びシステムパラメタ生成装置４０は、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくても良い。

ＲＡＭ５０３は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ５０４は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。プロセッサ５０５は、例えばＣＰＵ（Central Processing Unit）等であり、ＲＯＭ５０４や補助記憶装置４０８等からプログラムやデータをＲＡＭ５０３上に読み出して処理を実行する演算装置である。

外部Ｉ／Ｆ５０６は、外部装置とのインタフェースである。外部装置には、記録媒体５０６ａ等がある、記録媒体５０６ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

通信Ｉ／Ｆ５０７は、署名生成装置１０を通信ネットワーク５０に接続するためのインタフェースである。署名生成装置１０は、通信Ｉ／Ｆ５０７を介して、他の装置との間でデータ通信を行うことができる。匿名署名生成装置２０、署名検証装置３０及びシステムパラメタ生成装置４０についても同様である。

補助記憶装置５０８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性の記憶装置である。補助記憶装置５０８には、各種データやプログラム（例えば、鍵生成部１１０及び署名生成部１２０を実現する１以上のプログラム）等が記憶されている。なお、匿名署名生成装置２０の補助記憶装置５０８には、例えば、セットアップ部２１０及び匿名化部２２０を実現する１以上のプログラム等が記憶されている。同様に、署名検証装置３０の補助記憶装置５０８には、例えば、検証部３１０を実現する１以上のプログラム等が記憶されている。同様に、システムパラメタ生成装置４０の補助記憶装置５０８には、例えば、システムパラメタ生成部４１０を実現する１以上のプログラム等が記憶されている。

本発明の実施の形態における署名生成装置１０、匿名署名生成装置２０、署名検証装置３０及びシステムパラメタ生成装置４０は、図８に示すハードウェア構成を有することにより、上述した各種処理を実現することができる。なお、図８では、署名生成装置１０、匿名署名生成装置２０、署名検証装置３０及びシステムパラメタ生成装置４０が１台の装置（コンピュータ）で実現されている場合について説明したが、これに限られず、署名生成装置１０、匿名署名生成装置２０、署名検証装置３０及びシステムパラメタ生成装置４０のうちの少なくとも１つが複数台の装置（コンピュータ）で実現されていても良い。また、１つの装置（コンピュータ）には、複数のプロセッサ５０５や複数のメモリ（例えば、ＲＡＭ５０３やＲＯＭ５０４、補助記憶装置５０８等）が含まれていてもよい。

本発明は、具体的に開示された上記の各実施形態に限定されるものではなく、請求の範囲から逸脱することなく、種々の変形や変更、組み合わせ等が可能である。

１ 匿名署名システム
１０ 署名生成装置
２０ 匿名署名生成装置
３０ 署名検証装置
４０ システムパラメタ生成装置
１１０ 鍵生成部
１２０ 署名生成部
２１０ セットアップ部
２２０ 匿名化部
３１０ 検証部
４１０ システムパラメタ生成部

Claims (3)

1. 署名者が指定したエージェントにより署名σを匿名化する匿名署名システムであって、
   安全パラメタを入力として、前記エージェントに依存しないシステムパラメタρを生成するシステムパラメタ生成手段と、
   前記システムパラメタρを入力として、エージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとを生成するセットアップ手段と、
   前記システムパラメタρを入力として、前記署名者の秘密鍵ｘと公開鍵ｙとを生成する鍵生成手段と、
   前記秘密鍵ｘと、前記署名σが付与される対象のメッセージｍと、前記署名者が指定したエージェントのエージェント公開鍵ｇ_Ａとを入力として、前記メッセージｍに対する署名σを生成する署名生成手段と、
   前記署名者の識別子ｉと、前記エージェント秘密鍵ｗと、前記署名σと、前記署名者が属するグループを示すリングＬと、前記リングＬに属する署名者の公開鍵ｙのリストｙ_Ｌと、前記メッセージｍとを入力として、前記署名σを匿名化したリング署名σ´を生成する匿名化手段と、
   前記リングＬと、前記リストｙ_Ｌと、前記メッセージｍと、前記リング署名σ´とを入力として、前記メッセージｍの検証結果ｂを出力する検証手段と、
   を有し、
   前記システムパラメタ生成手段は、
   前記安全パラメタが表すビット長のビット列であって、前記エージェントに依存しないビット列である共通参照文字列ｃｒｓを所定のハッシュ関数に入力して、前記署名者及び前記エージェントを含む参加者が離散対数を知らない生成元ｇを生成し、
   前記生成元ｇと、Ｔｒａｐｄｏｏｒ ＤＤＨ群Ｇの離散対数Ｒとが含まれる前記システムパラメタρを生成し、
   前記セットアップ手段は、
   前記システムパラメタρに含まれる前記離散対数Ｒに基づいて前記エージェント秘密鍵ｗを生成し、前記エージェント秘密鍵ｗに基づいて前記エージェント公開鍵ｇ _Ａ を生成し、
   前記鍵生成手段は、
   前記システムパラメタρに含まれる前記離散対数Ｒに基づいて前記秘密鍵ｘを生成し、前記システムパラメタρに含まれる前記生成元ｇに基づいて前記公開鍵ｙを生成する、ことを特徴とする匿名署名システム。
2. 前記生成元ｇは、前記署名者及び前記エージェントを含む参加者が離散対数を知らないＴｒａｐｄｏｏｒ ＤＤＨ群の生成元である、ことを特徴とする請求項１に記載の匿名署名システム。
3. 署名者が指定したエージェントにより署名σを匿名化する匿名署名システムに用いられる匿名署名方法であって、
   安全パラメタを入力として、前記エージェントに依存しないシステムパラメタρを生成するシステムパラメタ生成手順と、
   前記システムパラメタρを入力として、エージェント秘密鍵ｗとエージェント公開鍵ｇ_Ａとを生成するセットアップ手順と、
   前記システムパラメタρを入力として、前記署名者の秘密鍵ｘと公開鍵ｙとを生成する鍵生成手順と、
   前記秘密鍵ｘと、前記署名σが付与される対象のメッセージｍと、前記署名者が指定したエージェントのエージェント公開鍵ｇ_Ａとを入力として、前記メッセージｍに対する署名σを生成する署名生成手順と、
   前記署名者の識別子ｉと、前記エージェント秘密鍵ｗと、前記署名σと、前記署名者が属するグループを示すリングＬと、前記リングＬに属する署名者の公開鍵ｙのリストｙ_Ｌと、前記メッセージｍとを入力として、前記署名σを匿名化したリング署名σ´を生成する匿名化手順と、
   前記リングＬと、前記リストｙ_Ｌと、前記メッセージｍと、前記リング署名σ´とを入力として、前記メッセージｍの検証結果ｂを出力する検証手順と、
   を有し、
   前記システムパラメタ生成手順は、
   前記安全パラメタが表すビット長のビット列であって、前記エージェントに依存しないビット列である共通参照文字列ｃｒｓを所定のハッシュ関数に入力して、前記署名者及び前記エージェントを含む参加者が離散対数を知らない生成元ｇを生成し、
   前記生成元ｇと、Ｔｒａｐｄｏｏｒ ＤＤＨ群Ｇの離散対数Ｒとが含まれる前記システムパラメタρを生成し、
   前記セットアップ手順は、
   前記システムパラメタρに含まれる前記離散対数Ｒに基づいて前記エージェント秘密鍵ｗを生成し、前記エージェント秘密鍵ｗに基づいて前記エージェント公開鍵ｇ _Ａ を生成し、
   前記鍵生成手順は、
   前記システムパラメタρに含まれる前記離散対数Ｒに基づいて前記秘密鍵ｘを生成し、前記システムパラメタρに含まれる前記生成元ｇに基づいて前記公開鍵ｙを生成する、ことを特徴とする匿名署名方法。

Images