JP7348848B2 - 統合属性ベースグループ署名処理方法、統合属性ベースグループ署名処理システム、および、プログラム - Google Patents

Description

本発明は、匿名認証技術に関し、特に、グループ署名を利用する匿名認証技術に関する。

所定の属性を有するユーザーのみが匿名での認証を可能にする技術（例えば、特許文献１を参照）として、グループ署名（例えば、属性ベースグループ署名（ABGS：Attribute Based Group Signature））が知られている。例えば、属性ベースグループ署名（ABGS）では、公開鍵暗号方式を用いて、グループ管理者がグループ公開鍵と、ユーザー秘密鍵と、グループ管理用秘密鍵とを生成する。属性ベースグループ署名（ABGS）では、グループユーザーごとに、ユーザー秘密鍵を生成し、各グループユーザーに生成したユーザー秘密鍵が渡される。また、属性ベースグループ署名（ABGS）では、各グループユーザーが有する属性を特定するための属性トークンが生成され、生成された属性トークンが各グループユーザーに渡される。

そして、属性ベースグループ署名（ABGS）では、ポリシー（Policy）を設定し、当該ポリシーに基づく条件を満たす属性を有するグループユーザーのみが、所定のデータ（例えば、署名を要求する外部ユーザー（例えば、この外部ユーザーの名前を「アリス」とする）のドキュメント）に対して署名をすることができる。つまり、属性ベースグループ署名では、各グループユーザーが、ポリシーにより要求される属性を有していれば、当該グループユーザーが、当該グループユーザーのプライバシーを守りながら（当該グループユーザーを特定するデータ（例えば、当該グループユーザーのＩＤ等）を外部に漏らすことなく）、所定のデータ（例えば、署名を要求する外部ユーザー「アリス」のドキュメント）に対して、署名（真正の署名）をすることが可能となる。

特開２０１１－１１４５０４号公報

しかしながら、属性ベースグループ署名では、ポリシーが要求する条件が複数の属性を有していることである場合、当該複数の属性を有している単独のグループユーザーが存在しないとき、有効な署名を行うことができない。

ポリシーが要求する条件が複数の属性を有していることである場合であって、当該複数の属性を有している単独のユーザーが存在しない場合において、複数のユーザーが有している属性をマージして、有効な署名を生成することができれば便利である。例えば、ポリシーが、（１）弁護士であるという属性、および、（２）マネージャーであるという属性を満たすことを要求している場合において、グループユーザーＡが弁護士であり、かつ、グループユーザーＢがマネージャーである場合、グループユーザーＡの弁護士であるということの属性と、グループユーザーＢのマネージャーであるということの属性とをマージして、有効な署名を生成することができれば便利である。

このようなグループユーザーの属性をマージして、ポリシーが要求する条件を満たす有効な署名（これを「統合属性ベースグループ署名」（C-ABGS：Collaborative Attribute-based Group Signatures）という）を行う技術を実現する場合、（１）グループユーザーの匿名性、（２）属性の匿名性、（３）追跡可能性（traceability）を確保する必要がある。

そこで、本発明は、上記課題に鑑み、グループユーザーの匿名性、属性の匿名性、および、追跡可能性（traceability）を確保しつつ、グループユーザーの属性をマージして、ポリシーが要求する条件を満たす有効な署名を行うことができる統合属性ベースグループ署名処理方法、統合属性ベースグループ署名認証処理方法、統合属性ベースグループ署名追跡処理方法、統合属性ベースグループ署名処理システム、および、プログラムを実現することを目的とする。

上記課題を解決するために、第１の発明は、複数のグループユーザーを含むグループを対象とする属性ベースグループ署名処理であって、署名権限の条件が属性に基づいて規定されているポリシーΓに基づいて、署名の有効性が判定される属性ベースグループ署名処理を行うための統合属性ベースグループ署名処理方法である。統合属性ベースグループ署名処理方法は、セットアップステップと、鍵生成ステップと、ポリシー設定ステップと、ユーザー属性署名ステップと、ユーザー属性署名認証ステップと、統合署名処理ステップと、を備える。

セットアップステップは、（１）グループに含まれるグループユーザーと、グループに含まれるグループユーザー数の最大値とを特定し、（２）属性の汎用セットを規定し、（３）鍵生成処理、署名処理、および、検証処理において使用されるパラメータを規定する。

鍵生成ステップは、パラメータに基づいて、（１）ゼロ知識証明用の共通ステートメントｃｒｓと、（２）グループ管理者用の公開鍵ｇｍｐｋおよび秘密鍵ｇｓｐｋと、（３）追跡用の公開鍵ｔｍｐｋおよび秘密鍵ｔｍｓｋと、（４）各グループユーザーｉ（ｉ：自然数、１≦ｉ≦Ｎｕｍ１（Ｎｕｍ１：グループユーサー数））が所有しうる各属性ｊ（ｊ：自然数、１≦ｊ≦Ｎｕｍ２（Ｎｕｍ２：各グループユーザーが所有しうる属性数））についての公開鍵ｕａｐｋ_ｉｊおよびｕａｓｋ_ｉｊと、を生成する。

ポリシー設定ステップは、ポリシーΓを設定する。

ユーザー属性署名ステップは、各グループユーザーｉが所有する属性ａｔｔ_ｊを、秘密鍵ｕａｓｋ_ｉｊを用いて署名処理することで暗号化属性署名σ_ｉｊを取得し、当該暗号化属性署名σ_ｉｊを属性ａｔｔ_ｊ、および、グループユーザー識別子ｄ_ｉと対応付けたデータ＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞を、追跡用公開鍵ｔｍｐｋにより暗号化することで、暗号化データｃ_ｉｊを取得するとともに、共通ステートメントｃｒｓを用いてゼロ知識証明データπ_ｉｊを生成し、さらに、属性署名セットデータΣ_ｊ＝（ｃ_ｉｊ，π_ｉｊ）を生成する処理を、グループユーザーｉが所有する属性であって、ポリシーΓに設定されている属性と一致する属性の数に対応する回数であるｍ回（ｍ：自然数）繰り返し実行することで、属性－ユーザー署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛１，．．．，ｍ｝}を取得する。

ユーザー属性署名認証ステップは、共通ステートメントｃｒｓを用いて、ユーザー属性署名ステップにより生成されたデータの有効性を検証し、有効であると判定されたデータを、属性について重複がないように蓄積することで、有効データリストｖｌを取得する。

統合署名処理ステップは、
（Ａ）グループを識別するためのグループ識別子ｇに基づいて、暫定公開鍵ｔａｐｋ、および、暫定秘密鍵ｔａｓｋを生成し、
（Ｂ）有効データリストに含まれる属性データａｔｔ_ｊと署名データΣ_ｊと、グループ署名対象のメッセージＭとを対応付けたデータ＜ａｔｔ_ｊ，Σ_ｊ，Ｍ＞を、暫定秘密鍵ｔａｓｋで暗号化することで、暗号化データσ’_ｊを取得し、暗号化データσ’_ｊをグループ識別子ｇに対応付けたデータを、追跡用公開鍵ｔｍｐｋにより暗号化することで、暗号化データｃを取得するとともに、共通ステートメントｃｒｓを用いてゼロ知識証明データΠを生成し、さらに、公開鍵セットｇｐｋ＝（ｃｒｓ，ｇｍｐｋ，ｔｍｐｋ）とし、統合署名セットデータΣ＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛１，．．．，ｖ｝}，ｃ，Π）を生成する。

この統合属性ベースグループ署名処理方法では、ユーザー属性署名ステップにおいて、各グループユーザー（グループユーザーｉ）が、自らが有している属性ａｔｔ_ｊをユーザー属性用秘密鍵ｕａｓｋ_ｉｊにより暗号化（電子署名処理）した署名σ_ｉｊを生成し、当該署名σ_ｉｊと、グループユーザー識別子ｄ_ｉと、属性ａｔｔ_ｊとを含む属性署名データ＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞を、追跡用公開鍵ｔｍｐｋで暗号化することで、属性署名データの暗号化データｃ_ｉｊを取得するとともに、属性署名データのゼロ知識証明π_ｉｊを取得する。つまり、この統合属性ベースグループ署名処理方法では、グループユーザー識別子ｄ_ｉのグループユーザーが、属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）（Σ_ｊ＝（ｃ_ｉｊ，π_ｉｊ））を取得する。

また、この統合属性ベースグループ署名処理方法では、ユーザー属性署名認証ステップにおいて、属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）に対して、ユーザー属性署名認証処理を行う。ここで、属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）は、グループユーザー識別子ｄ_ｉを暗号化したデータを含むだけなので、どのグループユーザーがその属性を所有しているかを知ることはできない。つまり、この統合属性ベースグループ署名処理方法において、グループユーザーの匿名性、属性の匿名性が確保される。

また、この統合属性ベースグループ署名処理方法では、ユーザー属性署名認証ステップでは、属性署名セットデータに対して、ゼロ知識認証処理を行いながら、有効な属性署名セットデータのみを重複なくリストした有効データリストｖｌを生成する。

そして、この統合属性ベースグループ署名処理方法では、統合署名処理ステップにおいて、統合署名処理（ａＳｉｇｎ）を行い、有効データリストｖｌに含まれる属性署名セットデータにメッセージＭを追加したデータに対して、グループ識別子ｇに基づいて生成された暫定秘密鍵ｔａｓｋ_ｊにより暫定署名処理を行うことで、電子署名σ’_ｊを取得する。

また、この統合属性ベースグループ署名処理方法では、統合署名処理ステップにおいて、そして、グループ管理装置２は、暫定署名データの集合データにグループ識別子ｇを対応づけた統合署名データ＜｛σ’_ｊ｝_{ｊ∈｛1,...,v｝}，ｇ＞を、追跡用公開鍵ｔｍｐｋを用いて暗号化することで、統合署名データの暗号化データｃを取得するするとともに、統合署名データのゼロ知識証明Πを取得する。そして、統合署名セットデータΣ（＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ，Π））が取得される。ここで、統合署名データの暗号化データｃは、追跡用公開鍵ｔｍｐｋで暗号化されているため、追跡用秘密鍵がなければ復号することはできない。つまり、複数のグループユーザーが有する属性を統合して生成した統合署名セットデータΣにおいても、ユーザーの匿名性、属性の匿名性が確保される。

このように、この統合属性ベースグループ署名処理方法では、グループユーザーの匿名性、属性の匿名性を確保しつつ、グループユーザーの属性をマージして、ポリシーが要求する条件を満たす有効な署名を行うことができる。

第２の発明は、第１の発明である統合属性ベースグループ署名処理方法により生成されたデータを認証するための統合属性ベースグループ署名認証処理方法であって、認証ステップを備える。

認証ステップは、共通ステートメントｃｒｓを用いて、統合署名セットデータΣのゼロ知識証明Πについてのゼロ知識認証処理を行う。

この統合属性ベースグループ署名認証処理方法では、統合署名セットデータΣに対して認証処理を行うだけでよいので、認証処理を簡易化することができる。例えば、複数のグループユーサーが別々に署名を行い、当該署名に対して、個別に認証するマルチ署名方法（Multi-signatures）では、複数回の認証処理が必要になるが、この統合属性ベースグループ署名認証処理方法では、統合署名セットデータΣに対して認証処理を行うだけでよいので、認証処理を簡易化することができる。

第３の発明は、第１の発明である統合属性ベースグループ署名処理方法により生成されたデータに追跡処理を行うための統合属性ベースグループ署名追跡処理方法であって、追跡処理ステップを備える。

追跡処理ステップは、統合署名セットデータΣから統合署名データの暗号化データｃを取得し、当該暗号化データｃを、追跡用秘密鍵ｔｍｓｋにより復号することで、統合署名データの暗号化データｃの復号データを取得し、当該復号データからグループ識別子ｇを取得する。

これにより、この統合属性ベースグループ署名追跡処理方法では、メッセージＭについての統合署名データΣから、グループ識別子ｇを取得（特定）することができる。

第４の発明は、第３の発明であって、追跡処理ステップは、統合署名セットデータΣから属性署名データの暗号化データｃ_ｊを取得し、当該暗号化データｃ_ｊを、追跡用秘密鍵ｔｍｓｋにより復号することで、属性署名データの暗号化データｃ_ｊの復号データを取得し、当該復号データから、属性ａｔｔ_ｊについての署名をしたグループユーザーのグループユーザー識別子ｄ_ｉを取得する。

これにより、この統合属性ベースグループ署名追跡処理方法では、メッセージＭについての統合署名データΣから、グループ識別子ｇを取得（特定）し、さらに、属性ａｔｔ_ｊについて署名をしたグループユーザー識別子ｄ_ｉを取得（特定）することができる。つまり、この統合属性ベースグループ署名追跡処理方法では、追跡可能性（traceability）を確保することができる。

第５の発明は、複数のグループユーザーを含むグループを対象とする属性ベースグループ署名処理であって、署名権限の条件が属性に基づいて規定されているポリシーΓに基づいて、署名の有効性が判定される属性ベースグループ署名処理を行うための統合属性ベースグループ署名処理システムである。統合属性ベースグループ署名処理システムは、鍵生成装置と、認証装置と、グループ管理装置と、グループユーザー用装置と、を備える。

鍵生成装置は、
（１）グループに含まれるグループユーザーと、グループに含まれるグループユーザー数の最大値とを特定し、（２）属性の汎用セットを規定し、（３）鍵生成処理、署名処理、および、検証処理において使用されるパラメータを規定するセットアップステップと、
パラメータに基づいて、（１）ゼロ知識証明用の共通ステートメントｃｒｓと、（２）グループ管理者用の公開鍵ｇｍｐｋおよび秘密鍵ｇｓｐｋと、（３）追跡用の公開鍵ｔｍｐｋおよび秘密鍵ｔｍｓｋと、（４）各グループユーザーｉ（ｉ：自然数、１≦ｉ≦Ｎｕｍ１（Ｎｕｍ１：グループユーサー数））が所有しうる各属性ｊ（ｊ：自然数、１≦ｊ≦Ｎｕｍ２（Ｎｕｍ２：各グループユーザーが所有しうる属性数））についての公開鍵ｕａｐｋ_ｉｊおよびｕａｓｋ_ｉｊと、を生成する鍵生成ステップと、
を実行する。

認証装置は、ポリシーΓを設定するポリシー設定ステップを実行する。

グループユーザー用装置は、
各グループユーザーｉが所有する属性ａｔｔ_ｊを、秘密鍵ｕａｓｋ_ｉｊを用いて署名処理することで暗号化属性署名σ_ｉｊを取得し、当該暗号化属性署名σ_ｉｊを属性ａｔｔ_ｊ、および、グループユーザー識別子ｄ_ｉと対応付けたデータ＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞を、追跡用公開鍵ｔｍｐｋにより暗号化することで、暗号化データｃ_ｉｊを取得するとともに、共通ステートメントｃｒｓを用いてゼロ知識証明データπ_ｉｊを生成し、さらに、属性署名セットデータΣ_ｊ＝（ｃ_ｉｊ，π_ｉｊ）を生成する処理を、グループユーザーｉが所有する属性であって、ポリシーΓに設定されている属性と一致する属性の数に対応する回数であるｍ回（ｍ：自然数）繰り返し実行することで、属性－ユーザー署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛１，．．．，ｍ｝}を取得するユーザー属性署名ステップを実行する。

グループ管理装置は、
共通ステートメントｃｒｓを用いて、ユーザー属性署名ステップにより生成されたデータの有効性を検証し、有効であると判定されたデータを、属性について重複がないように蓄積することで、有効データリストｖｌを取得するユーザー属性署名認証ステップと、
グループを識別するためのグループ識別子ｇに基づいて、暫定公開鍵ｔａｐｋ、および、暫定秘密鍵ｔａｓｋを生成し、
有効データリストに含まれる属性データａｔｔ_ｊと署名データΣ_ｊと、グループ署名対象のメッセージＭとを対応付けたデータ＜ａｔｔ_ｊ，Σ_ｊ，Ｍ＞を、暫定秘密鍵ｔａｓｋで暗号化することで、暗号化データσ’_ｊを取得し、暗号化データσ’_ｊをグループ識別子ｇに対応付けたデータを、追跡用公開鍵ｔｍｐｋにより暗号化することで、暗号化データｃを取得するとともに、共通ステートメントｃｒｓを用いてゼロ知識証明データΠを生成し、さらに、公開鍵セットｇｐｋ＝（ｃｒｓ，ｇｍｐｋ，ｔｍｐｋ）とし、統合署名セットデータΣ＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛１，．．．，ｖ｝}，ｃ，Π）を生成する、統合署名処理ステップと、
を実行する。

これにより、第１の発明と同様の効果を奏する統合属性ベースグループ署名処理システムを実現することができる。

第６の発明は、第１の発明である統合属性ベースグループ署名処理方法をコンピュータに実行させるためのプログラムである。

これにより、第１の発明と同様の効果を奏する統合属性ベースグループ署名処理方法をコンピュータに実行させるためのプログラムを実現することができる。

第７の発明は、第２の発明である統合属性ベースグループ署名認証処理方法をコンピュータに実行させるためのプログラムである。

これにより、第２の発明と同様の効果を奏する統合属性ベースグループ署名認証処理方法をコンピュータに実行させるためのプログラムを実現することができる。

第８の発明は、第３または第４の発明である統合属性ベースグループ署名追跡処理方法をコンピュータに実行させるためのプログラムである。

これにより、第３または第４の発明と同様の効果を奏する統合属性ベースグループ署名追跡処理方法をコンピュータに実行させるためのプログラムを実現することができる。

本発明によれば、グループユーザーの匿名性、属性の匿名性、および、追跡可能性（traceability）を確保しつつ、グループユーザーの属性をマージして、ポリシーが要求する条件を満たす有効な署名を行うことができる統合属性ベースグループ署名処理方法、統合属性ベースグループ署名認証処理方法、統合属性ベースグループ署名追跡処理方法、統合属性ベースグループ署名処理システム、および、プログラムを実現することができる。

第１実施形態に係る統合属性ベースグループ署名処理システム１０００の概略構成図。 統合属性ベースグループ署名処理システム１０００で実行される処理のシーケンス図。 統合属性ベースグループ署名処理システム１０００で実行される処理のシーケンス図。 統合属性ベースグループ署名処理システム１０００で実行される処理のシーケンス図。 統合属性ベースグループ署名処理システム１０００で実行されるセットアップ処理のフローチャート。 統合属性ベースグループ署名処理システム１０００で実行される鍵生成処理のフローチャート。 統合属性ベースグループ署名処理システム１０００で実行されるユーザー属性署名処理のフローチャート。 統合属性ベースグループ署名処理システム１０００で実行されるユーザー属性署名認証処理のフローチャート。 統合属性ベースグループ署名処理システム１０００で実行される統合署名処理のフローチャート。 統合属性ベースグループ署名処理システム１０００で実行される認証処理のフローチャート。 統合属性ベースグループ署名処理システム１０００で実行される追跡処理のフローチャート。 ＣＰＵバス構成を示す図。

［第１実施形態］
第１実施形態について、図面を参照しながら、以下、説明する。

＜１．１：統合属性ベースグループ署名処理システムの構成＞
図１は、第１実施形態に係る統合属性ベースグループ署名処理システム１０００の概略構成図である。

統合属性ベースグループ署名処理システム１０００は、図１に示すように、認証装置１と、グループ管理装置２と、グループユーザー用装置ＵＥ（ｄ_１）～ＵＥ（ｄ_ｎ）と、鍵生成装置３と、追跡装置４とを備える。認証装置１と、グループ管理装置２と、グループユーザー用装置ＵＥ（ｄ_１）～ＵＥ（ｄ_ｎ）とは、例えば、ネットワークにより接続されており、各装置間において、データ通信が可能である。また、鍵生成装置３および追跡装置も上記ネットワークに接続し、認証装置１と、グループ管理装置２と、グループユーザー用装置ＵＥ（ｄ_１）～ＵＥ（ｄ_ｎ）とデータ通信可能としてもよい。

なお、説明便宜のため、グループユーザーは、ｎ人（ｎ：自然数）であり、グループユーザー識別子ｄ_ｉ（ｉ：自然数、１≦ｉ≦ｎ）により、各グループユーザーは識別されるものとする。また、グループユーザー識別子ｄ_ｉのグループユーザーが使用する装置がグループユーザー用装置ＵＥ（ｄ_ｉ）であるものとする。なお、この形態に限定されることはなく、例えば、１つのグループユーザー用装置を複数のグループユーザーが使用するようにしてもよい。

認証装置１は、コンピュータや、サーバーを用いて実現される装置であり、ポリシー設定処理を実行することでポリシーΓを生成し、生成したポリシーΓを、グループ管理装置２、グループユーザー用装置ＵＥ（ｄ_１）～ＵＥ（ｄ_ｎ）に配布する。また、認証装置１は、グループ管理装置２から出力されるメッセージＭ（グループ署名対象のドキュメント）、ポリシーΓ、および、統合署名Σを入力し、認証処理（Ｖｅｒｉｆｙ）を実行する。

グループ管理装置２は、コンピュータや、サーバーを用いて実現される装置であり、ユーザー属性署名認証処理（ａＶｅｒｉｆｙ）、統合署名処理（ａＳｉｇｎ）等を実行する。また、グループ管理装置１は、統合署名処理により取得した統合署名Σを、メッセージＭ、および、ポリシーΓとともに、認証装置１に出力する。

グループユーザー用装置ＵＥ（ｄ_ｉ）（ｉ：自然数、１≦ｉ≦ｎ）は、コンピュータや、サーバーを用いて実現される装置である。グループユーザー用装置ＵＥ（ｄ_ｉ）は、グループユーザー識別子がｄ_ｉであるグループユーザーｉに割り当てられたユーザー属性用秘密鍵（ｕｓｋ_ｉ）を保持し、当該ユーザー属性用秘密鍵を用いて、ユーザー属性署名処理を実行することで、属性署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{j∈｛1,...,m｝}を取得する。そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ユーザー属性署名処理により取得した属性署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{j∈｛1,...,m｝}をグループ管理装置２に出力する。なお、グループユーザー用装置ＵＥ（ｄ_ｉ）は、グループユーザーごとに、個別に設けられていてもよいし（（グループユーザー用装置ＵＥ（ｄ_ｉ）の数）＝（グループユーザーの数）であってもよいし）、複数のグループユーザーごとに、共有できるように設けられていてもよい（（グループユーザー用装置ＵＥ（ｄ_ｉ）の数）＜（グループユーザーの数）であってもよい）。

鍵生成装置３は、コンピュータや、サーバーを用いて実現される装置であり、セットアップ処理（Ｓｅｔｕｐ）、鍵生成処理（ＫｅｙＧｅｎ）、鍵配布処理を行う。具体的には、鍵生成装置３は、鍵生成処理により、以下の鍵ペア（公開鍵暗号方式による鍵ペア）を生成する。
（１）グループ管理用鍵ペア（ｇｍｐｋ、ｇｍｓｋ）
ｇｍｐｋ：グループ管理用公開鍵
ｇｍｓｋ：グループ管理用秘密鍵
（２）追跡用鍵ペア（ｔｍｐｋ、ｔｍｓｋ）
ｔｍｐｋ：追跡用公開鍵
ｔｍｓｋ：追跡用秘密鍵
（３）ユーザー属性用鍵ペア（ｕａｐｋ_ｉｊ、ｕａｓｋ_ｉｊ）
ｕａｐｋ_ｉｊ：グループユーザーｉの属性ｊ用の公開鍵
ｕａｓｋ_ｉｊ：グループユーザーｉの属性ｊ用の秘密鍵
また、鍵生成装置３は、ゼロ知識証明処理用の共通ステートメントｃｒｓを生成する。

鍵生成装置３は、上記により生成した公開鍵（ｇｍｐｋ、ｔｍｐｋ、ｕａｐｋ_ｉｊ）、および、ゼロ知識証明処理用の共通ステートメントｃｒｓを公開する。

また、鍵生成装置３は、グループ管理用秘密鍵ｇｍｓｋを、グループ管理装置２に秘密裏に送付し、グループ管理装置２は、グループ管理用秘密鍵ｇｍｓｋを秘密裏に保持する。

また、鍵生成装置３は、追跡用秘密鍵ｔｍｓｋを、追跡装置４に秘密裏に送付し、追跡装置４は、追跡用秘密鍵ｔｍｓｋを秘密裏に保持する。

また、鍵生成装置３は、グループユーザーｉの属性ｊ用の秘密鍵ｕａｓｋ_ｉｊを、グループユーザー用装置ＵＥ（ｄ_ｉ）に秘密裏に送付し、グループユーザー用装置ＵＥ（ｄ_ｉ）は、グループユーザーｉの属性ｊ用の秘密鍵ｕａｓｋ_ｉｊを秘密裏に保持する。

なお、鍵生成装置３は、信頼できる外部機関（Trusted Authority）により実現（提供）されるものであってもよい。

追跡装置４は、コンピュータや、サーバーを用いて実現される装置であり、メッセージＭ、ポリシーΓ、および、統合署名Σを取得し、メッセージＭ、ポリシーΓ、および、統合署名Σを用いて追跡処理（Ｏｐｅｎ）を実行する。

＜１．２：匿名認証システムの動作＞
以上のように構成された統合属性ベースグループ署名処理システム１０００の動作について、以下、説明する。

図２～図４は、統合属性ベースグループ署名処理システム１０００で実行される処理のシーケンス図である。

図５は、統合属性ベースグループ署名処理システム１０００で実行されるセットアップ処理のフローチャートである。

図６は、統合属性ベースグループ署名処理システム１０００で実行される鍵生成処理のフローチャートである。

図７は、統合属性ベースグループ署名処理システム１０００で実行されるユーザー属性署名処理のフローチャートである。

図８は、統合属性ベースグループ署名処理システム１０００で実行されるユーザー属性署名認証処理のフローチャートである。

図９は、統合属性ベースグループ署名処理システム１０００で実行される統合署名処理のフローチャートである。

図１０は、統合属性ベースグループ署名処理システム１０００で実行される認証処理のフローチャートである。

図１１は、統合属性ベースグループ署名処理システム１０００で実行される追跡処理のフローチャートである。

以下では、統合属性ベースグループ署名処理システム１０００の動作を、シーケンス図とフローチャートとを参照しながら、説明する。

なお、統合属性ベースグループ署名処理システム１０００では、（１）デジタル署名技術（Digitalsignature sheme）、（２）公開鍵暗号技術（Publickey encryption scheme）、および、（３）非対話ゼロ知識証明技術（Non-interactivezero-knowledge proof）を使用して処理を行う。
（１）デジタル署名技術（Digital signature sheme）ＤＳは、ＤＳ．Ｇｅｎ、ＤＳ．Ｓｉｇｎ、および、ＤＳ．Ｖｅｒｉｆｙを含む。処理ＤＳ．Ｇｅｎは、１^λが入力されると、鍵ペア（公開鍵ｐｋおよび秘密鍵ｓｋ）を生成する処理である。処理ＤＳ．Ｓｉｇｎは、秘密鍵ｓｋとメッセージｍを入力とし、署名σを出力する処理である。処理ＤＳ．Ｖｅｒｉｆｙは、署名σがメッセージｍについて有効であるとき、「１」を出力し、署名σがメッセージｍについて有効ではないとき、「０」を出力する。
（２）公開鍵暗号技術ＰＫＥは、ＰＫＥ．Ｇｅｎ、ＰＫＥ．Ｅｎｃ、および、ＰＫＥ．Ｄｅｃを含む。処理ＰＫＥ．Ｇｅｎは、１^λが入力されると、鍵ペア（公開鍵ｐｋおよび秘密鍵ｓｋ）を生成する処理である。処理ＰＫＥ．Ｅｎｃは、公開鍵ｐｋとメッセージｍと、乱数ｒとを入力とし、暗号文ｃを出力する処理である。処理ＰＫＥ．Ｄｅｃは、秘密鍵ｓｋおよび暗号文ｃを入力とし、平文ｍを出力する。
（３）非対話ゼロ知識証明技術（Non-interactive zero-knowledge proof）ＮＩＺＫにおいて、Ｒを効率的に計算可能な関係とし、ＬをＲにおけるステートメントを有する言語であるとし、ステートメントをｘとし、（ｘ，ｗ）∈Ｒでであるウィットネス（witness）をｗとする。このとき、非対話ゼロ知識証明技術ＮＩＺＫは、ＺＫ．Ｇｅｎ、ＺＫ．Ｐ、および、ＺＫ．Ｖを含む。処理ＺＫ．Ｇｅｎは、１^λが入力されると、共通ステートメントｃｒｓを出力する。処理ＺＫ．Ｐは、共通ステートメントｃｒｓ、ステートメントｘ、および、ウィットネスｗを入力とし、証明πを出力する。処理ＺＫ．Ｖは、共通ステートメントｃｒｓ、ステートメントｘ、および、証明πを入力し、証明πが有効であるとき、「１」を出力し、証明πが有効はないとき、「０」を出力する。

なお、説明便宜のため、グループユーザー数ｎ＝２とし、統合属性ベースグループ署名処理システム１０００に、グループユーザー用装置ＵＥ（ｄ_１）、および、グループユーザー用装置ＵＥ（ｄ_２）が含まれている場合について、以下説明する。

（１．２．１：セットアップ処理（ステップＳ１））
ステップＳ１において、鍵生成装置３は、セットアップ処理（Ｓｅｔｕｐ（１^λ））を実行する。

（ステップＳ１０１～Ｓ１０２）：
ステップＳ１０１において、鍵生成装置３は、セキュリティパラメータλを設定する。

そして、鍵生成装置３は、例えば、下記の先行技術文献Ａに開示されているのと同様に、下記の通り、多項式時間で処理が可能となるように、セキュリティパラメータλに基づいて、各パラメータを設定する（ステップＳ１０２）。
（先行技術文献Ａ）：
Y. Zhang, Y. Gan, Y. Yin, and H.Jia, Attribute-Based VLR Group Signature Scheme from Lattices: 18thInternational Conference, ICA3PP 2018, Guangzhou, China, November 15-17, 2018,Proceedings, Part IV, 11 2018, pp. 600-610.
Ｎ＝２^Ｌ＝ｐｏｌｙ（λ）
ｎ＝ｐｏｌｙ（λ）
ｍ＝ｃｅｉｌ（２ｎ×ｌｏｇ（ｑ））
ｑ＝Ｏ（Ｌｎ^２）
σ＝ω（ｌｏｇ（ｍ））
β＝Ｏ（ｓｑｒｔ（Ｌｎ））
ｃｅｉｌ（ｘ）：天井関数（ｘ以上の最小整数を取得する関数）
ｓｑｒｔ（ｘ）：ｘの平方根を取得する関数
なお、Ｏ（），ω（）は、ランダウの記号である。

（ステップＳ１０３）：
ステップＳ１０３において、鍵生成装置３は、属性のセットＡｔｔを以下のように定義（規定）する。

なお、｜ｘ｜は、集合ｘの位数を示す。

また、鍵生成装置３は、ハッシュ関数Ｈを以下のように設定する。
ハッシュ関数Ｈ：｛０，１｝^＊→｛１，２，３｝^ｔ
ｔ＝ω（ｌｏｇ（ｎ））
（ステップＳ１０４）：
ステップＳ１０４において、鍵生成装置３は、上記により取得したデータから公開パラメータＰＰ＝（ｐａｒａ，Ａｔｔ，ａｔｔＬ，Ｈ）（ｐａｒａ：ステップＳ１０２で取得したパラメータを含むデータ）を取得し、取得した公開パラメータＰＰを出力する。

（１．２．２：鍵生成処理（ステップＳ２））
ステップＳ２において、鍵生成装置３は、鍵生成処理（ＫｅｙＧｅｎ（１^λ，Ｇ））を実行する。

（ステップＳ２０１～Ｓ２０４）：
ステップＳ２０１において、鍵生成装置３は、グループ識別子ｇ（ｇ：自然数）を設定する。

ステップＳ２０２において、鍵生成装置３は、セキュリティパラメータλに基づいて、ゼロ知識証明処理用の共通ステートメントｃｒｓを生成する（ＺＫ．Ｇｅｎ（１^λ）→ｃｒｓに相当する処理を実行する）。

ステップＳ２０３において、鍵生成装置３は、セキュリティパラメータλに基づいて、グループ管理用鍵ベア、すなわち、グループ管理用公開鍵ｇｍｐｋおよびグループ管理用秘密鍵ｇｍｓｋを生成する（ＤＳ．Ｇｅｎ（１^λ）→ｇｍｐｋ，ｇｍｓｋに相当する処理を実行する）。

ステップＳ２０４において、鍵生成装置３は、セキュリティパラメータλに基づいて、追跡用鍵ベア、すなわち、追跡用公開鍵ｔｍｐｋおよび追跡用秘密鍵ｔｍｓｋを生成する（ＰＫＥ．Ｇｅｎ（１^λ）→ｔｍｐｋ，ｔｍｓｋに相当する処理を実行する）。

（ステップＳ２０５）：
ステップＳ２０５において、ループ処理（ループ１）が開始される。当該ループ処理は、ｉを変数とし、グループユーザー数ｎに相当する回数だけ繰り返される（For i∈{1,...,n}）。

（ステップＳ２０６）：
ステップＳ２０６において、鍵生成装置３は、グループユーザーｉのグループユーザー識別子ｄ_ｉ（ｄ_ｉ：自然数）を設定する。

（ステップＳ２０７～Ｓ２０９）：
ステップＳ２０７において、ループ処理（ループ２）が開始される。当該ループ処理は、ｊを変数とし、属性数ｓに相当する回数だけ繰り返される（For j∈{1,...,s}）。

ステップＳ２０８において、鍵生成装置３は、処理ＤＳ．Ｇｅｎ（１^λ）を実行し、グループユーザーｉの属性ｊについてのユーザー属性用鍵ペア、すなわち、ユーザー属性用公開鍵ｕａｐｋ_ｉｊ、および、ユーザー属性用秘密鍵ｕａｓｋ_ｉｊを生成する。

ステップＳ２０９において、鍵生成装置３は、ループ処理（ループ２）が終了条件を満たしているか否かを判定し、終了条件を満たしていないと判定したときは、処理をステップＳ２０７に戻し、終了条件を満たしていると判定した場合、処理をステップＳ２１０に進める。

（ステップＳ２１０）：
ステップＳ２１０において、鍵生成装置３は、グループユーザーｉのユーザー属性用公開鍵の集合データおよびユーザー属性用秘密鍵、すなわち、
ユーザー属性用公開鍵ｕｐｋ_ｉ＝｛ｕｐｋ_ｉｊ｝_{ｊ∈｛1,...,s｝}
ユーザー属性用秘密鍵ｕｓｋ_ｉ＝｛ｕｓｋ_ｉｊ｝_{ｊ∈｛1,...,s｝}
を取得する。

（ステップＳ２１１）：
ステップＳ２１１において、鍵生成装置３は、ループ処理（ループ１）が終了条件を満たしているか否かを判定し、終了条件を満たしていないと判定したときは、処理をステップＳ２０５に戻し、終了条件を満たしていると判定した場合、処理をステップＳ２１２に進める。

（ステップＳ２１２）：
ステップＳ２１２において、鍵生成装置３は、公開鍵セットデータｇｐｋ＝（ｃｒｓ，ｇｍｐｋ，ｔｍｐｋ）を取得する。

（１．２．３：鍵配送処理（ステップＳ３））
ステップＳ３において、鍵生成装置３は、鍵生成処理（ＫｅｙＧｅｎ（１^λ，Ｇ））により生成した鍵を各装置に配布する。具体的には、鍵生成装置３は、追跡用公開鍵ｔｍｐｋ、グループ管理用公開鍵ｇｍｐｋ、グループユーザーｉのユーザー属性用公開鍵ｕｐｋ_ｉ、および、共通ステートメントｃｒｓを公開する。また、鍵生成装置３は、追跡装置４へ、追跡用秘密鍵ｔｍｓｋを秘密裏に送付する。また、鍵生成装置３は、グループ管理装置２へ、グループ管理用秘密鍵ｇｍｓｋを秘密裏に送付する。また、鍵生成装置３は、グループユーザー用装置ＵＥ（ｄ_ｉ）へ、グループユーザーｉのユーザー属性用秘密鍵ｕｓｋ_ｉを秘密裏に送付する。

（１．２．４：公開鍵取得処理（ステップＳ４））
ステップＳ４において、グループ管理装置２、および、グループユーザー用装置ＵＥ（ｄ_ｉ）は、公開鍵セットデータｇｐｋ（＝（ｃｒｓ，ｇｍｐｋ，ｔｍｐｋ））を取得する。

（１．２．５：ポリシー設定処理（ステップＳ５））
ステップＳ５において、認証装置１は、ポリシー設定処理を行う。具体的には、認証装置１は、グループ署名対象のメッセージのグループ署名が満たすべき条件（ポリシー要求条件）を設定したポリシーΓを生成する。具体的には、ポリシーΓは、Ｓ個の属性のうち、ｔ個の属性を満たすことを要求する場合、当該ポリシーΓを、Γ＝（ｔ，Ｓ）と表記する。ここでは、説明便宜のため、図１に示すように、ポリシー要求条件を、３つの属性ａｔｔ_１，ａｔｔ_２，ａｔｔ_３を満たすこととし、
（１）属性ａｔｔ_１が、「財務部（Financial Department）に所属していること」であり（なお、属性ａｔｔ_１を属性ａｔｔ_Ｆと表記することがある（ａｔｔ_１＝ａｔｔ_Ｆ））、
（２）属性ａｔｔ_２が、「弁護士（Lawyer）であること」であり（なお、属性ａｔｔ_２を属性ａｔｔ_Ｌと表記することがある（ａｔｔ_２＝ａｔｔ_Ｌ））、
（３）属性ａｔｔ_３が、「マネージャー（Manager）であること」である（なお、属性ａｔｔ_３を属性ａｔｔ_Ｍと表記することがある（ａｔｔ_３＝ａｔｔ_Ｍ））、
として、以下説明する。

認証装置１は、上記のポリシー要求条件を設定したポリシーΓを生成し、当該ポリシーΓを、グループ管理装置２、および、グループユーザー用装置ＵＥ（ｄ_ｉ）に配布する。

（１．２．６：ユーザー属性署名処理（ステップＳ６））
ステップＳ６において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ユーザー属性署名処理を行う。

（ステップＳ６０１）：
グループユーザー用装置ＵＥ（ｄ_ｉ）は、グループユーザーｉが有している属性と、ポリシーΓに設定されている属性とのマッチングを行い、マッチング数ｍを求める。つまり、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ｍ＝｜Ｓ∩Ｓ_ｉ｜に相当する処理を実行し、属性のマッチング数ｍを取得する。

例えば、グループユーザー１（ｉ＝１）が財務部に属しており、かつ、弁護士であるとすると、グループユーザー１（ｉ＝１）が有している属性は、Ｓ_１＝｛ａｔｔ_１，ａｔｔ_２｝（＝｛ａｔｔ_Ｆ，ａｔｔ_Ｌ｝）である。ポリシーΓに設定されている属性の集合Ｓ＝｛ａｔｔ_１，ａｔｔ_２，ａｔｔ_３｝（＝｛ａｔｔ_Ｆ，ａｔｔ_Ｌ，ａｔｔ_Ｍ｝）であるので、グループユーザー１（ｉ＝１）について、ｍ＝｜Ｓ∩Ｓ_１｜＝２である。

また、例えば、グループユーザー２（ｉ＝２）が財務部に属しており、かつ、マネージャーであるとすると、グループユーザー２（ｉ＝２）が有している属性は、Ｓ_２＝｛ａｔｔ_１，ａｔｔ_３｝（＝｛ａｔｔ_Ｆ，ａｔｔ_Ｍ｝）である。ポリシーΓに設定されている属性の集合Ｓ＝｛ａｔｔ_１，ａｔｔ_２，ａｔｔ_３｝（＝｛ａｔｔ_Ｆ，ａｔｔ_Ｌ，ａｔｔ_Ｍ｝）であるので、グループユーザー２（ｉ＝２）について、ｍ＝｜Ｓ∩Ｓ_２｜＝２である。

なお、説明便宜のため、グループユーザー１、グループユーザー２が上記の属性を有しているものとして、以下説明する。

上記のように、ｍが求められた後、ループ処理１（ループ１）が開始される（ステップＳ６０１）。当該ループ処理１は、ｊを変数（属性を示す変数）とし、各グループユーザーの属性のマッチング数ｍに相当する回数だけ繰り返される（For j∈{1,...,m}, m＝｜S∩S_ｉ｜）。

（ステップＳ６０２）：
ステップＳ６０２において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、属性ｊの署名処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、属性用秘密鍵ｕａｓｋ_ｉｊを用いて、属性ａｔｔ_ｊに対して処理ＤＳ．Ｓｉｇｎ（ｕａｓｋ_ｉｊ，ａｔｔ_ｊ）を実行し、属性ａｔｔ_ｊについての電子署名σ_ｉｊを取得する。

（ステップＳ６０３）：
ステップＳ６０３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、属性署名データの暗号化処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、属性ａｔｔ_ｊ、属性ａｔｔ_ｊについての電子署名σ_ｉｊ、および、グループユーザー識別子ｄ_ｉのセットデータ＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞に対して、追跡用公開鍵ｔｍｐｋ、乱数ｒ_ｉｊを用いて、処理ＰＫＥ．Ｅｎｃ（ｔｍｐｋ，＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞，ｒ_ｉｊ）を実行し、暗号化データｃ_ｉｊを取得する。

（ステップＳ６０４）：
ステップＳ６０４において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、属性署名データのゼロ知識証明処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、共通ステートメントｃｒｓを用いて、
ステートメントｘ＝＜ｇｐｋ，ａｔｔ_ｊ，ｃ_ｉｊ＞、
ウィットネスｗ＝＜ｕａｓｋ_ｉｊ，σ_ｉｊ，ｄ_ｉ，ｒ_ｉｊ＞
として、処理ＺＫ．Ｐ（ｃｒｓ，ｘ，ｗ）を実行し、ゼロ知識証明π_ｉｊを取得する。

（ステップＳ６０５）：
ステップＳ６０５において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、属性署名セットデータΣ_ｊ＝（ｃ_ｉｊ，π_ｉｊ）を取得する。

（ステップＳ６０６）：
ステップＳ６０６において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ループ処理１（ループ１）が終了条件を満たしているか否かを判定し、終了条件を満たしていないと判定したときは、処理をステップＳ６０１に戻し、終了条件を満たしていると判定した場合、ユーザー属性署名処理を終了させる。

グループユーザー用装置ＵＥ（ｄ_ｉ）は、ユーザー属性署名処理が完了した後、ユーザー属性署名処理により取得した属性署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛1,...,m｝}をグループ管理装置２に出力する。

なお、本実施形態では、グループユーザー用装置ＵＥ（ｄ_１）の属性署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛1,...,m｝}は、下記の通りである。
｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛1,...,m｝}＝｛（ａｔｔ_１，Σ_１），（ａｔｔ_２，Σ_２）｝
＝｛（ａｔｔ_Ｆ，Σ_Ｆ），（ａｔｔ_Ｌ，Σ_Ｌ）｝
また、グループユーザー用装置ＵＥ（ｄ_２）の属性署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛1,...,m｝}は、下記の通りである。
｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛1,...,m｝}＝｛（ａｔｔ_１，Σ_１），（ａｔｔ_２，Σ_２）｝
＝｛（ａｔｔ_Ｆ，Σ_Ｆ），（ａｔｔ_Ｍ，Σ_Ｍ）｝
（１．２．７：ユーザー属性署名認証処理（ステップＳ７））
ステップＳ７において、グループ管理装置２は、ユーザー属性署名認証処理を行う。

（ステップＳ７０１）：
ステップＳ７０１において、グループ管理装置２は、有効データリストｖｌの初期化処理を実行する。つまり、グループ管理装置２は、有効データリストｖｌを空のリストに設定する。

（ステップＳ７０２）：
ステップＳ７０２において、ループ処理１（ループ１）が開始される。当該ループ処理１は、ｊを変数（属性を示す変数）とし、グループ管理装置２が、グループユーザー用装置ＵＥ（ｄ_ｉ）から受信した属性署名セットデータの数ｋに相当する回数だけ繰り返される（For j∈{1,...,k}）。

（ステップＳ７０３）：
ステップＳ７０３において、グループ管理装置２は、属性ａｔｔ_ｊについてのデータ（属性署名セットデータ）が、有効データリストｖｌに含まれているか否かの判定処理を行う。当該判定の結果、属性ａｔｔ_ｊについてのデータ（属性署名セットデータ）が、有効データリストｖｌに含まれている場合、処理をステップＳ７０４に進め、一方、有効データリストｖｌに含まれていない場合、処理をステップＳ７０７に進める。

（ステップＳ７０４）：
ステップＳ７０４において、グループ管理装置２は、属性署名セットデータのゼロ知識認証処理を行う。具体的には、グループ管理装置２は、共通ステートメントｃｒｓを用いて、処理ＺＫ．Ｖ（ｃｒｓ，＜ｇｐｋ，ａｔｔ_ｊ，π_ｉｊ＞）を実行する。

（ステップＳ７０５）：
ステップＳ７０５において、グループ管理装置２は、処理ＺＫ．Ｖ（ｃｒｓ，＜ｇｐｋ，ａｔｔ_ｊ，π_ｉｊ＞）の処理結果の判定処理を行う。判定の結果、ＺＫ．Ｖ（ｃｒｓ，＜ｇｐｋ，ａｔｔ_ｊ，π_ｉｊ＞）＝１である場合、処理をステップＳ７０６に進め、一方、ＺＫ．Ｖ（ｃｒｓ，＜ｇｐｋ，ａｔｔ_ｊ，π_ｉｊ＞）が「１」ではない場合、処理をステップＳ７０７に進める。

（ステップＳ７０６）：
ステップＳ７０６において、グループ管理装置２は、有効データリストｖｌに、ステップＳ７０５の処理で有効と判定された属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）を追加する。つまり、グループ管理装置２は、
ｖｌ＝ｖｌ∪（ａｔｔ_ｊ，Σ_ｊ）
に相当する処理を実行する。

（ステップＳ７０７）：
ステップＳ７０７において、グループ管理装置２は、ループ処理１（ループ１）が終了条件を満たしているか否かを判定し、終了条件を満たしていないと判定したときは、処理をステップＳ７０２に戻し、終了条件を満たしていると判定した場合、処理をステップＳ７０８に進める。

（ステップＳ７０７）：
ステップＳ７０８において、グループ管理装置２は、グループ署名破棄判定処理を行う。具体的には、グループ管理装置２は、有効データリストｖｌに、ポリシーΓが要求している属性、すなわち、Ｓ＝｛ａｔｔ_１，ａｔｔ_２，ａｔｔ_３｝（＝｛ａｔｔ_Ｆ，ａｔｔ_Ｌ，ａｔｔ_Ｍ｝）に対応する属性署名セットデータが含まれているか否かを判定する。判定の結果、有効データリストｖｌに、ポリシーΓが要求している全ての属性に対応するデータが含まれていない場合、グループ管理装置２は、有効なグループ署名ができないと判断し、統合属性ベースグループ署名処理システム１０００で実行されている処理（統合属性ベースグループ署名を生成する処理）を終了させる。一方、判定の結果、有効データリストｖｌに、ポリシーΓが要求している全ての属性に対応するデータが含まれている場合、統合属性ベースグループ署名処理システム１０００で実行されている処理（統合属性ベースグループ署名を生成する処理）を続行させる。

本実施形態の場合、（１）ａｔｔ_１（＝ａｔｔ_Ｆ）に対応する属性署名セットデータ（ａｔｔ_１，Σ_１）（＝（ａｔｔ_Ｆ，Σ_Ｆ））は、グループユーザー用装置ＵＥ（ｄ_１）およびグループユーザー用装置ＵＥ（ｄ_２）から、グループ管理装置２に送付されており、（２）ａｔｔ_２（＝ａｔｔ_Ｌ）に対応する属性署名セットデータ（ａｔｔ_２，Σ_２）（＝（ａｔｔ_Ｌ，Σ_Ｌ））は、グループユーザー用装置ＵＥ（ｄ_１）から、グループ管理装置２に送付されており、（３）ａｔｔ_３（＝ａｔｔ_Ｍ）に対応する属性署名セットデータ（ａｔｔ_３，Σ_３）（＝（ａｔｔ_Ｍ，Σ_Ｍ））は、グループユーザー用装置ＵＥ（ｄ_２）から、グループ管理装置２に送付されている。

したがって、ステップＳ７０８において、有効データリストｖｌには、Ｓ＝｛ａｔｔ_１，ａｔｔ_２，ａｔｔ_３｝（＝｛ａｔｔ_Ｆ，ａｔｔ_Ｌ，ａｔｔ_Ｍ｝）に対応する属性署名セットデータが含まれていると判定され、統合属性ベースグループ署名処理システム１０００で実行されている処理（統合属性ベースグループ署名を生成する処理）を続行される。

なお、ステップＳ７０２～Ｓ７０７の処理において、同一の属性ａｔｔ_ｊについて、複数の属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）が、グループ管理装置２に送付されている場合、重複されているデータを有効データリストｖｌに更新（追加）しないように処理が実行される。つまり、グループ管理装置２は、ユーザー属性署名認証処理により、属性ａｔｔ_ｊについて、重複のない有効データリストｖｌ（本実施形態の場合、ｖｌ＝｛（ａｔｔ_Ｆ，Σ_Ｆ），（ａｔｔ_Ｌ，Σ_Ｌ），（ａｔｔ_Ｍ，Σ_Ｍ）｝）を取得する。

（１．２．８：統合署名処理（ステップＳ８））
ステップＳ８において、グループ管理装置２は、統合署名処理を行う。

（ステップＳ８０１）：
ステップＳ８０１において、ループ処理１（ループ１）が開始される。当該ループ処理１は、ｊを変数（属性を示す変数）とし、有効データリストｖｌの要素数（属性署名セットデータの数）ｖに相当する回数だけ繰り返される（For j∈{1,...,v}）。

（ステップＳ８０２）：
ステップＳ８０２において、グループ管理装置２は、有効データリストｖｌから、属性署名セットデータｖｌ［ｊ］＝（ａｔｔ_ｊ，Σ_ｊ）を抽出する。

（ステップＳ８０３）：
ステップＳ８０３において、グループ管理装置２は、グループ識別子ｇに基づいて、暫定鍵ペア（暫定公開鍵ｔａｐｋ_ｊ、および、暫定秘密鍵ｔａｓｋ_ｊ）を生成する。つまり、グループ管理装置２は、処理ＤＳ．Ｇｅｎ（１^ｇ）に相当する処理を実行して、暫定鍵ペア（暫定公開鍵ｔａｐｋ_ｊ、および、暫定秘密鍵ｔａｓｋ_ｊ）を生成する。

（ステップＳ８０４）：
ステップＳ８０４において、グループ管理装置２は、暫定署名処理を行う。具体的には、グループ管理装置２は、暫定秘密鍵ｔａｓｋ_ｊを用いて、属性署名セットデータにメッセージＭを追加したデータ＜ａｔｔ_ｊ，Σ_ｊ，Ｍ＞に対して、処理ＤＳ．Ｓｉｇｎ（ｔａｓｋ_ｊ，＜ａｔｔ_ｊ，Σ_ｊ，Ｍ＞）を実行し、電子署名σ’_ｊを取得する。

（ステップＳ８０５）：
ステップＳ８０５において、グループ管理装置２は、ループ処理１（ループ１）が終了条件を満たしているか否かを判定し、終了条件を満たしていないと判定したときは、処理をステップＳ８０１に戻し、終了条件を満たしていると判定した場合、処理をステップＳ８０８に進める。

（ステップＳ８０６）：
ステップＳ８０６において、グループ管理装置２は、統合署名データの暗号化処理を行う。具体的には、グループ管理装置２は、上記ループ処理１により取得した暫定署名データの集合データ｛σ’_ｊ｝_{ｊ∈｛1,...,v｝}にグループ識別子ｇを対応づけたデータ（統合署名データ）＜｛σ’_ｊ｝_{ｊ∈｛1,...,v｝}，ｇ＞を、追跡用公開鍵ｔｍｐｋと、乱数ｒを用いて暗号化する。つまり、グループ管理装置２は、処理ＰＫＥ．Ｅｎｃ（ｔｍｐｋ，＜｛σ’_ｊ｝_{ｊ∈｛1,...,v｝}，ｇ＞，ｒ）に相当する処理を実行して、統合署名データの暗号化データｃを取得する。

（ステップＳ８０７）：
ステップＳ８０７において、グループ管理装置２は、統合署名データのゼロ知識証明処理を行う。具体的には、グループ管理装置２は、共通ステートメントｃｒｓを用いて、
ステートメントｘ＝＜ｇｐｋ，ｔａｐｋ，Ｍ，｛ａｔｔ_ｊ，ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ＞、
ウィットネスｗ＝＜ｔａｓｋ，｛σ’_ｊ｝_{ｊ∈｛1,...,v｝}，ｖｌ，ｇ，ｒ＞
として、処理ＺＫ．Ｐ（ｃｒｓ，ｘ，ｗ）を実行し、ゼロ知識証明Πを取得する。

（ステップＳ８０８）：
ステップＳ８０８において、グループ管理装置２は、統合署名セットデータΣ＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ，Π）を取得する。

そして、グループ管理装置２は、メッセージＭ、ポリシーΓ、および、統合署名セットデータΣを認証装置１に出力する。

（１．２．９：認証処理（ステップＳ９））
ステップＳ９において、認証装置１は、認証処理を行う。

（ステップＳ９０１）：
ステップＳ９０１において、認証装置１は、統合署名セットデータのゼロ知識認証処理を行う。具体的には、認証装置１は、共通ステートメントｃｒｓを用いて、処理ＺＫ．Ｖ（ｃｒｓ，＜ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ＞，Π）を実行する。

（ステップＳ９０２～Ｓ９０４）：
ステップＳ９０２において、認証装置１は、処理ＺＫ．Ｖ（ｃｒｓ，＜ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ＞，Π）の処理結果の判定処理を行う。判定の結果、ＺＫ．Ｖ（ｃｒｓ，＜ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ＞，Π）＝１である場合、統合署名セットデータΣが有効であると判定する（ステップＳ９０３）。一方、判定の結果、ＺＫ．Ｖ（ｃｒｓ，＜ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ＞，Π）が「１」ではない場合、統合署名セットデータΣは有効ではない（無効である）と判定する（ステップＳ９０４）。

（１．２．１０：追跡処理（ステップＳ１０））
ステップＳ１０において、追跡装置４は、追跡処理を行う。

（ステップＳ１００１）：
ステップＳ１００１において、追跡装置４は、統合署名セットデータΣ（＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ，Π））から、統合署名データの暗号化データｃを取得する。

（ステップＳ１００２）：
ステップＳ１００２において、追跡装置４は、統合署名データの暗号化データの復号処理を行う。つまり、追跡装置４は、処理ＰＫＥ．Ｄｅｃ（ｔｍｓｋ，ｃ）を行い、復号されたデータ（｛σ’_ｊ｝_{ｊ∈｛1,...,v｝}，ｇ）を取得する。これにより、グループ識別子ｇが取得される。

（ステップＳ１００８）：
ステップＳ１００８において、ループ処理１（ループ１）が開始される。当該ループ処理１は、ｊを変数（属性を示す変数）とし、統合署名セットデータに含まれる属性データの数ｖにに相当する回数だけ繰り返される（For j∈{1,...,v}）。

（ステップＳ１００４）：
ステップＳ１００４において、追跡装置４は、統合署名セットデータΣ（＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ，Π））から、署名属性データの暗号化データｃ_ｊを取得する。

（ステップＳ１００５）：
ステップＳ１００５において、追跡装置４は、属性署名データの暗号化データの復号処理を行う。つまり、追跡装置４は、処理ＰＫＥ．Ｄｅｃ（ｔｍｓｋ，ｃ_ｊ）を行い、復号されたデータ＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞を取得する。これにより、属性ａｔｔ_ｊについての署名をしたグループユーザーのグループユーザー識別子ｄ_ｉが取得される。

（ステップＳ１００６）：
ステップＳ１００６において、追跡装置４は、ループ処理１（ループ１）が終了条件を満たしているか否かを判定し、終了条件を満たしていないと判定したときは、処理をステップＳ１００３に戻し、終了条件を満たしていると判定した場合、処理をステップＳ１００７に進める。

（ステップＳ１００７、Ｓ１００８）：
ステップＳ１００７において、追跡装置４は、グループ識別子ｇを取得する。

ステップＳ１００８において、追跡装置４は、属性ａｔｔ_ｊについての署名をしたグループユーザーのグループユーザー識別子ｄ_ｉを取得する。

以上のように処理することで、統合属性ベースグループ署名処理システム１０００では、グループユーザーの匿名性、属性の匿名性、および、追跡可能性（traceability）を確保しつつ、グループユーザーの属性をマージして、ポリシーが要求する条件を満たす有効な署名を行うことができる。

統合属性ベースグループ署名処理システム１０００では、各グループユーザー（グループユーザーｉ）が、自らが有している属性ａｔｔ_ｊをユーザー属性用秘密鍵ｕａｓｋ_ｉｊにより暗号化（電子署名処理）した署名σ_ｉｊを生成し、当該署名σ_ｉｊと、グループユーザー識別子ｄ_ｉと、属性ａｔｔ_ｊとを含む属性署名データ＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞を、追跡用公開鍵ｔｍｐｋで暗号化することで、属性署名データの暗号化データｃ_ｉｊを取得するとともに、属性署名データのゼロ知識証明π_ｉｊを取得する。つまり、統合属性ベースグループ署名処理システム１０００では、グループユーザー用装置ＵＥ（ｄ_ｉ）が、属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）（Σ_ｊ＝（ｃ_ｉｊ，π_ｉｊ））を取得し、当該属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）をグループ管理装置２に送信する。

グループ管理装置２は、グループユーザー用装置ＵＥ（ｄ_ｉ）から受信した属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）に対して、ユーザー属性署名認証処理を行う。ここで、属性署名セットデータ（ａｔｔ_ｊ，Σ_ｊ）は、グループユーザー識別子ｄ_ｉを暗号化したデータを含むだけなので、どのグループユーザーがその属性を所有しているかを知ることはできない。つまり、統合属性ベースグループ署名処理システム１０００において、グループユーザーの匿名性、属性の匿名性が確保される。

また、グループ管理装置２は、属性署名セットデータに対して、ゼロ知識認証処理を行いながら、有効な属性署名セットデータのみを重複なくリストした有効データリストｖｌを生成する。

グループ管理装置２は、統合署名処理（ａＳｉｇｎ）を行い、有効データリストｖｌに含まれる属性署名セットデータにメッセージＭを追加したデータに対して、グループ識別子ｇに基づいて生成された暫定秘密鍵ｔａｓｋ_ｊにより暫定署名処理を行うことで、電子署名σ’_ｊを取得する。

そして、グループ管理装置２は、暫定署名データの集合データにグループ識別子ｇを対応づけた統合署名データ＜｛σ’_ｊ｝_{ｊ∈｛1,...,v｝}，ｇ＞を、追跡用公開鍵ｔｍｐｋと、乱数ｒを用いて暗号化することで、統合署名データの暗号化データｃを取得するするとともに、統合署名データのゼロ知識証明Πを取得する。そして、グループ管理装置２は、統合署名セットデータΣ（＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛1,...,v｝}，ｃ，Π））を取得する。ここで、統合署名データの暗号化データｃは、追跡用公開鍵ｔｍｐｋで暗号化されているため、追跡装置４以外が復号することはできない。つまり、複数のグループユーザーが有する属性を統合して生成した統合署名セットデータΣにおいても、ユーザーの匿名性、属性の匿名性が確保される。

また、統合属性ベースグループ署名処理システム１０００では、認証装置１が、共通ステートメントｃｒｓを用いて、統合署名データΣのゼロ知識証明Πについてのゼロ知識認証処理を行う。これにより、認証装置１により、統合署名セットデータΣの有効性を判定することができるとともに、認証装置１に対しても、ユーザーの匿名性、属性の匿名性が確保される。

また、統合属性ベースグループ署名処理システム１０００では、統合署名セットデータΣに対して認証処理を行うだけでよいので、認証処理を簡易化することができる。例えば、複数のグループユーサーが別々に署名を行い、当該署名に対して、個別に認証するマルチ署名方法（Multi-signatures）では、複数回の認証処理が必要になるが、統合属性ベースグループ署名処理システム１０００では、統合署名セットデータΣに対して認証処理を行うだけでよいので、認証処理を簡易化することができる。

そして、統合属性ベースグループ署名処理システム１０００では、追跡処理が必要となったときに、追跡装置４により、追跡処理を行うことで、メッセージＭについての統合署名データΣから、グループ識別子ｇを取得（特定）し、さらに、属性ａｔｔ_ｊについて署名をしたグループユーザー識別子ｄ_ｉを取得（特定）することができる。つまり、統合属性ベースグループ署名処理システム１０００では、追跡可能性（traceability）を確保することができる。

［他の実施形態］
また、上記実施形態で説明した統合属性ベースグループ署名処理システム１０００、認証装置１、グループ管理装置２、グループユーザー用装置ＵＥ（ｄ_ｉ）、鍵生成装置３、および、追跡装置４において、各ブロックは、ＬＳＩなどの半導体装置により個別に１チップ化されても良いし、一部又は全部を含むように１チップ化されても良い。

なお、ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。

また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。

また、上記各実施形態の各機能ブロックの処理の一部または全部は、プログラムにより実現されるものであってもよい。そして、上記各実施形態の各機能ブロックの処理の一部または全部は、コンピュータにおいて、中央演算装置（ＣＰＵ）により行われる。また、それぞれの処理を行うためのプログラムは、ハードディスク、ＲＯＭなどの記憶装置に格納されており、ＲＯＭにおいて、あるいはＲＡＭに読み出されて実行される。

また、上記実施形態の各処理をハードウェアにより実現してもよいし、ソフトウェア（ＯＳ（オペレーティングシステム）、ミドルウェア、あるいは、所定のライブラリとともに実現される場合を含む。）により実現してもよい。さらに、ソフトウェアおよびハードウェアの混在処理により実現しても良い。

例えば、上記実施形態の各機能部を、ソフトウェアにより実現する場合、図１２に示したハードウェア構成（例えば、ＣＰＵ、ＲＯＭ、ＲＡＭ、入力部、出力部等をバスＢｕｓにより接続したハードウェア構成）を用いて、各機能部をソフトウェア処理により実現するようにしてもよい。

また、上記実施形態における処理方法の実行順序は、必ずしも、上記実施形態の記載に制限されるものではなく、発明の要旨を逸脱しない範囲で、実行順序を入れ替えることができるものである。

前述した方法をコンピュータに実行させるコンピュータプログラム及びそのプログラムを記録したコンピュータ読み取り可能な記録媒体は、本発明の範囲に含まれる。ここで、コンピュータ読み取り可能な記録媒体としては、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、大容量ＤＶＤ、次世代ＤＶＤ、半導体メモリを挙げることができる。

上記コンピュータプログラムは、上記記録媒体に記録されたものに限られず、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送されるものであってもよい。

なお、本発明の具体的な構成は、前述の実施形態に限られるものではなく、発明の要旨を逸脱しない範囲で種々の変更および修正が可能である。

１０００ 統合属性ベースグループ署名処理システム
１ 認証装置
２ グループ管理装置
３ 鍵生成装置
４ 追跡装置
ＵＥ（ｄ_１）～ＵＥ（ｄ_ｎ） グループユーザー用装置

Claims (6)

1. 複数のグループユーザーを含むグループを対象とする属性ベースグループ署名処理であって、署名権限の条件が属性に基づいて規定されているポリシーΓに基づいて、署名の有効性が判定される前記属性ベースグループ署名処理を行うための統合属性ベースグループ署名処理方法であり、
   鍵生成装置と、認証装置と、グループ管理装置と、グループユーザー用装置と、を備える統合属性ベースグループ署名処理システムを用いて実行される統合属性ベースグループ署名処理方法であって、
   前記鍵生成装置が、（１）グループに含まれるグループユーザーと、前記グループに含まれるグループユーザー数の最大値とを特定し、（２）属性の汎用セットを規定し、（３）鍵生成処理、署名処理、および、検証処理において使用されるパラメータを規定するセットアップステップと、
   前記鍵生成装置が、前記パラメータに基づいて、（１）ゼロ知識証明用の共通ステートメントｃｒｓと、（２）グループ管理者用の公開鍵ｇｍｐｋおよび秘密鍵ｇｓｐｋと、（３）追跡用の公開鍵ｔｍｐｋおよび秘密鍵ｔｍｓｋと、（４）各グループユーザーｉ（ｉ：自然数、１≦ｉ≦Ｎｕｍ１（Ｎｕｍ１：グループユーサー数））が所有しうる各属性ｊ（ｊ：自然数、１≦ｊ≦Ｎｕｍ２（Ｎｕｍ２：各グループユーザーが所有しうる属性数））についての公開鍵ｕａｐｋ_ｉｊおよびｕａｓｋ_ｉｊと、を生成する鍵生成ステップと、
   前記認証装置が、前記ポリシーΓを設定するポリシー設定ステップと、
   前記グループユーザー用装置が、各グループユーザーｉが所有する属性ａｔｔ_ｊを、秘密鍵ｕａｓｋ_ｉｊを用いて署名処理することで暗号化属性署名σ_ｉｊを取得し、当該暗号化属性署名σ_ｉｊを属性ａｔｔ_ｊ、および、グループユーザー識別子ｄ_ｉと対応付けたデータ＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞を、追跡用公開鍵ｔｍｐｋにより暗号化することで、暗号化データｃ_ｉｊを取得するとともに、前記共通ステートメントｃｒｓを用いてゼロ知識証明データπ_ｉｊを生成し、さらに、属性署名セットデータΣ_ｊ＝（ｃ_ｉｊ，π_ｉｊ）を生成する処理を、グループユーザーｉが所有する属性であって、ポリシーΓに設定されている属性と一致する属性の数に対応する回数であるｍ回（ｍ：自然数）繰り返し実行することで、属性－ユーザー署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛１，．．．，ｍ｝}を取得するユーザー属性署名ステップと、
   前記グループ管理装置が、前記共通ステートメントｃｒｓを用いて、前記ユーザー属性署名ステップにより生成されたデータの有効性を検証し、有効であると判定されたデータを、属性について重複がないように蓄積することで、有効データリストｖｌを取得するユーザー属性署名認証ステップと、
   前記グループ管理装置が、
   （１）グループを識別するためのグループ識別子ｇに基づいて、暫定公開鍵ｔａｐｋ、および、暫定秘密鍵ｔａｓｋを生成し、
   （２）前記有効データリストに含まれる属性データａｔｔ_ｊと署名データΣ_ｊと、グループ署名対象のメッセージＭとを対応付けたデータ＜ａｔｔ_ｊ，Σ_ｊ，Ｍ＞を、暫定秘密鍵ｔａｓｋで暗号化することで、暗号化データσ’_ｊを取得し、暗号化データσ’_ｊをグループ識別子ｇに対応付けたデータを、追跡用公開鍵ｔｍｐｋにより暗号化することで、暗号化データｃを取得するとともに、前記共通ステートメントｃｒｓを用いてゼロ知識証明データΠを生成し、さらに、公開鍵セットｇｐｋ＝（ｃｒｓ，ｇｍｐｋ，ｔｍｐｋ）とし、データ＜ａｔｔ _ｊ ，σ _ｉｊ ，ｄ _ｉ ＞を前記追跡用公開鍵ｔｍｐｋにより暗号化したデータをｃ _ｊ とし、統合署名セットデータΣ＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛１，．．．，ｖ｝}，ｃ，Π）を生成する、統合署名処理ステップと、
   を備える統合属性ベースグループ署名処理方法。
2. 前記統合属性ベースグループ署名処理システムは追跡装置を備え、
   前記統合属性ベースグループ署名処理方法は、さらに、
   前記追跡装置が、前記統合署名セットデータΣを取得する統合署名セットデータ取得ステップと、
   前記追跡装置が、前記統合署名セットデータΣから暗号化データｃを取得し、当該暗号化データｃを、追跡用秘密鍵ｔｍｓｋにより復号したデータからグループ識別子ｇを取得する追跡処理ステップと、
   を備える、
   請求項１に記載の統合属性ベースグループ署名処理方法。
3. 前記追跡処理ステップは、さらに、
   前記追跡装置が、前記統合署名セットデータΣから暗号化データｃ_ｊを取得し、当該暗号化データｃ_ｊを、追跡用秘密鍵ｔｍｓｋにより復号したデータから、属性ａｔｔ_ｊについての署名をしたグループユーザーのグループユーザー識別子ｄ_ｉを取得する、
   請求項２に記載の統合属性ベースグループ署名処理方法。
4. 複数のグループユーザーを含むグループを対象とする属性ベースグループ署名処理であって、署名権限の条件が属性に基づいて規定されているポリシーΓに基づいて、署名の有効性が判定される前記属性ベースグループ署名処理を行うための統合属性ベースグループ署名処理システムであって、
   鍵生成装置と、
   認証装置と、
   グループ管理装置と、
   グループユーザー用装置と、
   を備え、
   前記鍵生成装置は、
   （１）グループに含まれるグループユーザーと、前記グループに含まれるグループユーザー数の最大値とを特定し、（２）属性の汎用セットを規定し、（３）鍵生成処理、署名処理、および、検証処理において使用されるパラメータを規定するセットアップステップと、
   前記パラメータに基づいて、（１）ゼロ知識証明用の共通ステートメントｃｒｓと、（２）グループ管理者用の公開鍵ｇｍｐｋおよび秘密鍵ｇｓｐｋと、（３）追跡用の公開鍵ｔｍｐｋおよび秘密鍵ｔｍｓｋと、（４）各グループユーザーｉ（ｉ：自然数、１≦ｉ≦Ｎｕｍ１（Ｎｕｍ１：グループユーサー数））が所有しうる各属性ｊ（ｊ：自然数、１≦ｊ≦Ｎｕｍ２（Ｎｕｍ２：各グループユーザーが所有しうる属性数））についての公開鍵ｕａｐｋ_ｉｊおよびｕａｓｋ_ｉｊと、を生成する鍵生成ステップと、
   を実行し、
   前記認証装置は、前記ポリシーΓを設定するポリシー設定ステップを実行し、
   前記グループユーザー用装置は、
   各グループユーザーｉが所有する属性ａｔｔ_ｊを、秘密鍵ｕａｓｋ_ｉｊを用いて署名処理することで暗号化属性署名σ_ｉｊを取得し、当該暗号化属性署名σ_ｉｊを属性ａｔｔ_ｊ、および、グループユーザー識別子ｄ_ｉと対応付けたデータ＜ａｔｔ_ｊ，σ_ｉｊ，ｄ_ｉ＞を、追跡用公開鍵ｔｍｐｋにより暗号化することで、暗号化データｃ_ｉｊを取得するとともに、前記共通ステートメントｃｒｓを用いてゼロ知識証明データπ_ｉｊを生成し、さらに、属性署名セットデータΣ_ｊ＝（ｃ_ｉｊ，π_ｉｊ）を生成する処理を、グループユーザーｉが所有する属性であって、ポリシーΓに設定されている属性と一致する属性の数に対応する回数であるｍ回（ｍ：自然数）繰り返し実行することで、属性－ユーザー署名セットデータ｛ａｔｔ_ｊ，Σ_ｊ｝_{ｊ∈｛１，．．．，ｍ｝}を取得するユーザー属性署名ステップを実行し、
   前記グループ管理装置は、
   前記共通ステートメントｃｒｓを用いて、前記ユーザー属性署名ステップにより生成されたデータの有効性を検証し、有効であると判定されたデータを、属性について重複がないように蓄積することで、有効データリストｖｌを取得するユーザー属性署名認証ステップと、
   グループを識別するためのグループ識別子ｇに基づいて、暫定公開鍵ｔａｐｋ、および、暫定秘密鍵ｔａｓｋを生成し、
   前記有効データリストに含まれる属性データａｔｔ_ｊと署名データΣ_ｊと、グループ署名対象のメッセージＭとを対応付けたデータ＜ａｔｔ_ｊ，Σ_ｊ，Ｍ＞を、暫定秘密鍵ｔａｓｋで暗号化することで、暗号化データσ’_ｊを取得し、暗号化データσ’_ｊをグループ識別子ｇに対応付けたデータを、追跡用公開鍵ｔｍｐｋにより暗号化することで、暗号化データｃを取得するとともに、前記共通ステートメントｃｒｓを用いてゼロ知識証明データΠを生成し、さらに、公開鍵セットｇｐｋ＝（ｃｒｓ，ｇｍｐｋ，ｔｍｐｋ）とし、データ＜ａｔｔ _ｊ ，σ _ｉｊ ，ｄ _ｉ ＞を前記追跡用公開鍵ｔｍｐｋにより暗号化したデータをｃ _ｊ とし、統合署名セットデータΣ＝（ｇｐｋ，｛ｃ_ｊ｝_{ｊ∈｛１，．．．，ｖ｝}，ｃ，Π）を生成する、統合署名処理ステップと、
   を実行する、
   統合属性ベースグループ署名処理システム。
5. 前記認証装置は、前記共通ステートメントｃｒｓを用いて、前記統合署名セットデータΣのゼロ知識証明Πについてのゼロ知識認証処理を行う認証ステップを実行する、
   請求項４に記載の統合属性ベースグループ署名処理システム。
6. 請求項１乃至３に記載の統合属性ベースグループ署名処理方法をコンピュータに実行させるためのプログラム。

Images