JPH04500440A - １回提示ブラインドサインシステム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 １回提示ブラインドサインシステム １、発明の分野 本発明は暗号システム、特にリンクの不可能な、ｅブリ・ツクキーデジタルサイ ンシステムに関するものである。

２、従来技術の説明 ブラインドサインは本田願人により米国特許出願５２４，８９８号”Ｂ１１ｎｄ 　ｓｉｇｎａｔｕｒｅ　ｓｙｓｔｅｍ’に基づいた優先権主張の欧州特許公報０ ．１３９，３１３号（１９８５年２月５日）および米国特許出願７８４．９９９ 号’Ｌｌｎａｎｔｉｃｉｐａｔｅｄ　ｂｌｉｎｄ　ｓｉｇｎａｔｕｒｅ　ｓｙｓ ｔｅｍ’に基づいた優先権主張の欧州特許公報０．２１８．３０５号（１９８７ 年４月１５日）に記載されているように技術的に知られている。

これらのサインは現金支払いシステム（例えば、１９８５年ｌＯ月出願のＡＣＭ 通信１０３０乃至１０４４頁の”５ｅｃｕｒｉｔｙ　ｗｉｔｈｏｕｔｉｄｅｎｔ ｉｆｉｃａｔｉｏｎ：Ｔｒａｎｓａｃｔｉｏｎ　ｓｙｓｔｅｍｓ　Ｌｏ　ｇ＋ａ ｋｅ　Ｂｉｇ−Ｂｒｏｔｈｅｒｏｂｓｏｌｅｔｅ”に記載されているような）を 構成するのではなく直接利用することができる。そのようなシステムでは、銀行 は１ドルをブラインドサインにするように変える。人々はそのようなサインを銀 行から購入することが可能であり（どのサインを購入したかを購入者が知ること はブラインドによってサインを銀行以外に知られない）、店でそのサインを使う 。店はどこか他の場所ですでに利用されてない特定のサインを受けることを確か めるようにオンライン処理で銀行でチェックする。もし店がそのようなチェック をしなければ、誰かが１以上の店で同じ番号を利用し、ブラインドサインはそれ らがトレースされることから防がれる。しかし、オンラインチェックは多くの適 用に費用がかかり実行不可能な場合もある。

ブラインドサインの別の利用法は信任状装置にある。これはまた上述の文献に紹 介され、さらに文献（本畠願人およびＪ、Ｈ，Ｅｖｅｒｔｓｅ氏によるＰｒｏｃ ｅｅｄｉｎｇｓ　ｏｆ’　Ｃｒｙｐｔｏ８８．＾１Ｍ。

０ｄｌｙｚｋｏ、　Ｅｄ、、Ｓｐｒｌｎｇｅｒ−Ｖｅｒｌａｇ　１９８７　’Ａ 　５ｅｃｕｒｅ　ａｎｄｐｒｉｖａｃｙ−ｐｒｏｔｅｃｔｉｎｇ　ｐｒｏｔｏｅ ｏｌ　ｆｏｒ　ｔｒａｓｎｍｉｔｔｉｎｇ　ｐｅｒｓｏｎａ！１ｎｆｏｒＩｌｌ ａｔｉｏｎ　ｂｅｔｗｅｅｎ　ｏｒｇａｎｉｚａｔｉｏｎｓ　’　）により紹介 されている。「デジタル筆名」がそのような装置で信任状を表示または受け取る ために設けられるとき、同一の筆名が前に利用されてないことを識別することを オンライン処理で実行することが必要である。

全てのこれらのシステムにおいて、（１）サイン発行パーティ、（２）第１のパ ーティによって発行されるサインに対する複数のパーティ、（３）第２のパーテ ィによって表示されるサインに対する複数のパーティの３つのタイプのパーティ が存在する。「正直な」第２のパーティに対するリンク不可能さを減少せずに改 良された１方法は第３のパーティがサインを受取る前に別のまたは何等かの手形 センターでチェックを受けなければならないことである。そうでなければ、同じ サインが１Å以上の第３のパーティにすでに示されていることがわかると、パー ティは依頼がなくなる。

発明の目的 したがって、本発明の第１の目的は第１のパーティにより第２のパーティにサイ ンを発行し、第２のパーティが第３のパーティにサインを与えることを許容する パブリックキーデジタルサインシステムを提供することである。第１および第３ のパーティの協同は２回以上にわたってサインを示さない第２のパーティのトレ ースをすることか不可能にする。

本発明の別の目的はそのような無制限の書き写し不可能さを提供する。（第２の パーティが２回以上にわたってサインを示さないないことを仮定とすると）たと え無制限の見積もり依頼は第１および第３のパーティに利用可能になるとしても 、書き写し不可能なままである。

本発明のさらに別の目的は第１および第３のパーティが２回以上にわたって１サ インを示す第２のパーティを効果的に発見しトレースする（第１のパーティによ るサインの特別の発行に逆戻りする）ことができることである。

本発明の付加的な目的はサインが２回以上示される後に前記発見およびトレース が常時できることである。

本発明のさらに別の目的は第２のパーティが番号を示されたサインの形に書き直 すことを可能にすることである。

本発明のさらに別の目的は前記番号がある値に表示されることが可能であること である。第２のパーティは示された値と最大値の差の値に対する払い戻しを後で 得ることを可能にする。

本発明のさらに別の目的はもとの示された特別の値が払い戻し中に表示されない 方法において、その値の払い戻しが少なくとも表示された２サイン以上に対して 得られることが可能にすることである。

本発明のさらに別の目的は本発明のその他の目的を達成する効果的で経済的で実 用的な装置および方法を提供することである。

本発明の別の目的、特徴および利点は本発明の説明および添付された請求の範囲 が図面に関連して理解することにより理解される。

図面の簡単な説明 第１図は本発明による第１の例示的な１回提示ブラインドサイン獲得プロコトー ルの好ましい実施例のフローチャートを示す。

第２図は本発明による第１の例示的な１回提示ブラインドサイン表示プロコトー ルの好ましい実施例のフローチャートを示す。

第３図は本発明による第１の例示的なプロコトールの多重提示の検出およびトレ ースの好ましい実施例のフローチャートを示す。　− 第４図は本発明による第１図に対する第２の例示的な１回提示ブラインドサイン 獲得システムの拡張の好ましい実施例のフローチャートを示す。

第５図は本発明による第２図に対する第２の例示的な１回提示ブラインドサイン 表示システムの拡張の好ましい実施例のフローチャートを示す。

第６図は本発明による第４図および第５図の例示的な実施例に対する払い戻しサ イン表示システムの好ましい実施例のフローチャートを示す。

発明の簡単な概要 本発明のこれらおよびその他の目的にしたがって、例示的な実施例の簡単な概要 を説明する。この簡単な概要についていくつかの簡単化および省略が行われ、本 発明の目的を強調させ紹介するのみであるが、その技術的範囲を制限するもので はない。好ましい実施例の詳細な説明は当業者がその技術を利用することを可能 にし、独創的概念は後述される。

基本プロトコールは３つの部分、すなわちパーティＰはパーティＢから１回提示 すインを得る、パーティＰは１回提示すインをパーティＳに示す、およびパーテ ィＢは２回以上提示されたサインを検出しトレースする部分からなる（これらの 文字は利用制限が含まれることなく支払い人、銀行および店を明らかにする記憶 ための手段として選択された）。

サインが発行されるとき、パーティＢを識別する構造がサインに組み込まれる。

サインが提示されるとき、この構造の１部分は明らかにされ、その選択部分は少 なくともＰの制御外である。サインの２部分以上が明らかにされるとしても、簡 単な計算は決定されるサインの構造に組み立てられた識別子を与えることを可能 にする。サインが２回目に提示されると、構造の異なる部分が明らかにされるこ とが予期され、したがって、識別子によってトレース可能である。

さらに、詳しく説明すると好ましい実施例の特定の場合（後の説明ではｔ−１と して表示されている）は形式ｆ　（ｇ（ａ、ｃ）、ｇ　（ａ■ｕ、ｄ）の値のサ インを含む。ここでｆおよびｇは１方向関数である。このサインが示されるとき 、関数ｇの１つからの予め表示された画像はパーティＳに示されるが、他の関数 ｇの画像のみが表示される必要かある。このデータはパーティＳによって試験さ れ、すなわちパブリック関数を適用し、受は取るデジタル号インのメツｔ−ジが どんな結果を生じるかをチェックすることにより行われる。

その他の関数ｇにおける予め表示された画像がまた構造の第２の提示において研 究されると仮定する。第１の注目すべき点は２つの提示が簡単に関連される。な ぜなら関数ｆにおける正確に同一の画像を含むためである。識別情報は簡単にｕ ｍ　Ｈ””■（ａθＵ）を形成することによって検圧される。

■はグループ演算である。

明らかにされた論点を有する関数ｇの選択はシングルビットとして符号化される ことができる。より一般的に、サインの中にｔの項があり、それぞれ提示される 同一の形式である。

ｔビットストリングはどちらの半分が各項に対して開かれるかを決定するチャレ ンジである。１ビツトでもこのチャレンジが異なると、Ｕが簡単に決められるこ とを明らかにするのに十分である。

トレース不可能のために、関数ｇは予めの画像を再生するために反転されること ができないことがもちろん必要である。

Ｃおよびｄ論点は少なくとも関数ｇの範囲と同一の範囲における集合からランダ ムに選択され、関数ｇを反転することは不可能である。

変化はチャレンジストリングのいくつかの部分における金額を符号化にする。チ ャレンジストリングの対応するビットがＯとして表示されているときのみ、他の サインがまたＢパーティによって発行される。これらはパーティＰが使用されて いない値に対する交換を得ることが可能である。しかしながら、これらはす、ｆ ン庖区別することができるので、２以上のオリジナルサインからの変化は一度で 得られ、したがって支払い者に利用された厳密な量を秘密にすることが可能であ る。

一般的な説明 ここに記載されている暗号方法および手段は基本的な第１の実施例および第２の 拡張実施例に分けられる。第１の実施例において、第１の処理（第１図）はパー ティＰがパーティＢからサインを得ることができる。第２の処理（第２図）はこ のサインが優先性をパーティＰに知られていない番号Ｗに応答してパーティＳに よってパーティＰから受け取られる。

パーティＰが全く異なるＷのサインを表示すると（第３図）、第３の処理はパー ティＢがＵ（識別子）を暴露することができるようにする。第２の実施例は変更 されていないこの第３の処理を使用することができるが、パーティＰとパーティ Ｂの間の変更された発行処理（第４図）、パーティＰとパーティＳの間の変更さ れた提示処理（第５図）、およびパーティＰとパーティＢの間の未提示の返済処 理（第６図）を有する。

好ましい実施例の詳細な説明 第１図乃至第６図の表記は当業者に明らかであるが、明確に限定するためにここ で説明される。

行わねる演算はフローチャートボックスに集まっている。

ボックスが位置するコラムはボックス内に限定された演算を実行するパーティを 示す。コラムは上方を横切るパーティの名によって分類される。記号名に基づい て値を省く演算は等しい記号の左側の記号名および右側の値に対する式によって 表示される。別の種類の演算は均等性試験である。“？−？″記号はこの試験を 示すために使用され、試験が続行されないと、試験するパーティはプロトコール を終了する（試験はプロトコール中にパーティによって実行される最終動作であ ると、試験の成功または失敗はプロトコールによるパーティの成功または失敗を 決定する）。最終動作はメツセージを伝送することである。これは左側のメツセ ージ番号によって示される。受領パーティの名前および矢印（読みやすくするた め受領者が左側に位置するとき、各々の受領音名は左向きで示し、受領者が右側 に位置するとき、右向き矢印を示している）に続き、コロンに続き、最後に伝送 されるべきメツセージの実際値を示す式によって続かれる。

いくつかの式が使用される。１つはランダムという単語である。これは値が明細 書に限定されプロトコール以外に関係なく適切なセットから一様に選択されるの が好ましいことを示している。故に、パーティはこれらの目的達成のために適切 な後処理によって物理的ランダム番号発生器を使用することが好ましい。

その他の式は指数法を含む。そのような全ての指数法は剰余モジュロの合成物Ｍ が好ましい。Ｍの素因数分解はパーティＢのみに利用可能であるのが好ましく、 そのような係数は最初に提案された文献（ｂｙ　Ｒｉｖｅｓｔ、５ｈａｏ＋ｉｒ 　ａｎｄ　Ａｄｌｅｍａｎ。

Ｃｏ＋＋＋ａ＋ｕｎｉｃａｔｉｏｎｓ　ｏｆ　ｔｈｅ　ＡＣＭ、Ｆｅｂｒｕａｒ ｙ　１９７８．ｐｐ、１２０−１２６）に記載されているように従来技術におい て良く知られている。

演算が明らかに表示されていないとき、乗法モジュロＭが仮定される。

異なるパブリック指数は係数Ｍと共に使用されることができる。第１図乃至第３ 図において、パブリック指数ｐのみが使用される。これは適切な大きさの奇数素 数、すなわち減少された剰余システムの順序で互いに素であることが識別される のに十分である大きさの素数である番号２または任意の他の整数が適切である。

第４図乃至第６図の拡張実施例では、ｐ−ＧＣＤ（ｐ（１）、ｐ（２）、、、、 ｐ（ｔ））およびｑ−ｑ　（１）、ｑ　（２）、、、、ｑ　（ｔ））を示す。ｐ 　（ｉ）およびＱ　（ｉ）は異なった素因数および他の共通の因数をそれぞれ含 む。またはそれらは因数の多様性を増加させるかもしれない。例えば、特に、通 常は小さい指数が低い単位を表わすとき、ｐ　（ｉ）−２’およびＱ（ｉ）−２ ′は計算において保証され経済性を提供するであろう。

当業者に明らかなように偶数のパブリック指数は特別の処理を必要とし、それは １つの事柄に対して平方根は多くの剰余に存在しないからである。したがって、 記号するべき事柄に対するパーティＢの選択（以下述べられるようにＶと呼ばれ るセットによって決定される）は必然的に記号不可能を防ぐであろう。この発行 を処理する別の方法は正確な２つの因数、すなわち３モジユロ４と一致する熟知 の特定の複合形成の適用によって行われる。ブラインド因数はジャコピ記号１を 有するように調節された関数ｆ下の画像と共にジャコピ記号１の標準パブリック の平方でないものをランダム式に含む。

異なった偶数指数記号の各項はパーティＢの選択によて記号に基づいて含まれた パブリックの平方でないものを有するであろう。さらに注目すべき点は両パーテ ィがノくブリ・ツクの平方でないものを挿入すると、その平方根もまた／でブリ ・ツクであるとき、パーティＰによって記号から取出されることが可能である。

Ｓは詐欺師により研究された選択されたメツセージに関する平方根の機会が許容 できる範囲に小さくなるように十分の大きさであるように注意すべきである。

関数ｆが基礎において使用されるとき、倍数逆関数は最初に右側の式について計 算され、そこからこれは左側の式によって乗算にされる。パーティＢによって指 数に使用されるとき、述べられたのと丁度同一の演算を示すが、計算は剰余モジ ュロＭのグループの順序のモジュロをとる。ノく−テイＢ以外のパーティによっ て指数に使用されるとき、整数除法を示す。全ての演算の結果は二進整数として 符号化されるのが便利で明快であると仮定する（最も少ない正表示は剰余セ・ノ ドと仮定する）。したがって１１によって示された連鎖はビ・ノドベクトル表示 値の並置として定義される。

関数ｆおよび関数ｇは従来技術において熟知である２つの論点を有するパブリッ ク的に一致された１方向関数であるのが好ましい。標準方法で関数ｇに基づく各 画像は関数ｆに対する論点として表示可能であり、関数ｆに基づく各画像は剰余 モジュロＭとして表示される。同一の結果、すなわち通常暗号技術で得られた特 性を生じさせる２つ以上の前動な論点対を発見することが困難である状態では、 これらの関数は「衝突がない」のが好ましい。

さらに、関数ｇの望ましい特性は各特定の許容された第１の論点に対して、各可 能な出力を生成する同一の番号の第２の論点が存在する。言い換えると、第１の 論点を決定するとに対１のマツプを第２の論点から８力に与える。この新しくて 独創的な特性はトレースに対して「無条件」保護の利点を提供する、すなわち無 限の計算力がその結果のみを与えた関数ｇの第１の論点を決定することができな いと思われる。いずれの場合において、そのような特性を有するか絶対意味また は計算的意味における特性に近い関数は同様の利点を提供することができると思 われる。適切な論点の連鎖からの「ランダム」１方向関数は所望された特性に近 づくというより到達することが予期され、１方向関数が利用されることができる であろう。

好ましい関数を構成するための１つの例示的方法は第２の論点に対するグループ に関する「分離ログ」問題としてパブリックキー暗号技術において良く知られて いるパイジエクチブ（ｂｉｊｅｃｔｉｖｅ　）　１方向関数を適用することであ り、さらに、第１の論点の１方向関数に基いてその結果を画像と結合するように 伴ったグループ演算を使用することである。例えば、第１の論点は第１の大きい 素数のモジュロ素数の指数として使用され、その結果（恐らく適用後、固定され たキーまたは類似物を有するＤＥＳ）は加算され、第２の素数のモジュロにより 原始的要素のモジュロの第２の論点に対する第２の素数を高くする。最終結果の パイジェクチブ後スクランブルは最終適応、すなわち固定したキーを有するＤＥ Ｓによって与えられ、もとの２つの論点のそれぞれの類似のプレスクランプルも また使用されることができる。

挿入辞オペレータ“Ｏ′は記載されるべき任意のＵと同じ大きさのプライムの付 加モジュロのクループ動作である。当業者にはビットワイズの排他的オアまたは 任意の適当なグループ動作がどのようにして使用されるかは明瞭であろう。

記号名およびメツセージ番号の両者における下付きは明瞭にするために自然数に わたりて取られている指標を示し、セット表記（セット差）はこれらの範囲にわ たる整列されたセットを示すために使用される。記号名ｉ、ｊ、には指標として 使用される。セットのカーディナリティは通常のようにそれらを“１′記号で囲 んで示す。＠とじて示した特定の動作は指標の記号名における接頭辞として明瞭 にするために使用される（例えばもしもｉこｆ３．１，４　）およびｇｌ、ｇ２ ．ｇ３．ｇ４−４．８゜１．７であるならば、ｇｉ−１，４，フおよびｇｉ＋ｇ ＠ｉ　−５，１２，＆である）。通常の■表記は積モジュロＭに対して使用され 、ここでｎに続く式中の指標はその全指標セットにわたって変化される。

２つのパラメータＳおよびｔは知られており、すべてのパーティでそれらを使用 することが同意されていると仮定する。

それらは使用される指標セットの大きさを決定し、それらの増加は秘密性を増加 させる。非常に高い秘密性はｔ−１００および５−２００を採用する形態と信じ られているが、それよりはるかに小さい値が実際には使用できる。これは特に後 述するように第１図の多重例が互いに導通するとき正しい。Ｕの値は少なくとも ＰおよびＢに知られており、特定の処理または前述のような組み合わせた処理に 対してはユニークな識別子である。

第１図を参照にして好ましい実施例のフローチャートの第１の部分について詳細 に説明する。

ボックス１０１はランダムなＰ選択ｒｉ、ａｔ、ｃｉ、およびｄｌを示し、その ようなランダムは前述のようなものであり、ｉはＳから始まる自然数である。ｒ ｌはパブリック指数に上げられることにより“ブラインド係数”を形成するため に使用され、したがってそれらは従来知られているように（１，・・・、ト１） から選択されることが好ましい。ａｌは２人の異なる支払い者が同じものを選択 する機会を減少するように均一であることが好ましい。Ｃ１とｄｉはｇに対する 第２の論拠として使用され、したがってずでにｇに対して説明された所望の特性 を最大にするように選択されることが好ましく、例えばｇの第２の論点のドメイ ンから均一に選択される。それからＰは最初の論点として対応するａｌに対して ｇを適用することによりｘｌを計算し、第２の論点としてｃｉを計算する。次に 同様の方法でｙｌが計算される。しかし各ａｔはＵとグループ動作Ｏにより結合 され、ｇに対する第１の論点を形成し、ｄｉは第２の論点として取られ、その結 果は記号的に対応するｙｉとして示される。

次に５メツセージが形成され、すでに説明した表記法によって示されるようにＢ へ送られる。１番目のメツセージ［２１，１］１はｐに上げられたｒｉのモジュ ロＭと第１の論点ｘ１および第２の論点ｙｉに対して適用されるｆの積である。

ボックス１０２はメツセージ［１１，１３の受信後Ｂは最初にカージナリティｓ −ｔを有する（ｌ・・・Ｓ）のサブセットから均一にランダムにＶを選択し、そ れからこのサブセットをメツセージ［１２］としてＰに戻す。

ボックス１０３はどのようにしてＰがこのメツセージ［１２］として受けたサブ セットのカーディナリティがｓ−ｔであることをチェックするかを示している。

すでに定めた表記によって要求されるように、もしもこのテストが満足されなけ れば、Ｐは停止し、そうでなければＰはこのセットの範囲で指標ｊをまず割り当 てることによって連続する。それからメツセージ［１３，１］　ｊ、　［１３， ２コｊ、　［１３，３］　ｊ、　［１３，４］　ｊがそれぞれｒｊ、　ａｊ、　 ｃｊ、　ｄｊから形成されて已に送られる。

ボックス１０４は、メツセージ［１３，ｌＪ　ｊ、　ｒｉ３．２］　ｊ、　［１ ３，３１ｊ、　［１３，４］　ｊの受信後のＣの作用を定める。セラ）ｖにおけ る全ての指標に対してメツセージ［１１，１］　ｊがそれぞれｇの下のイメージ である２つの論点のｆ下のイメージとｐに対してあげられたメツセージ［１３， １］　ｊの積モジュロＭとの積と等しいか否か比較される。ｇの最初の適用は第 １の論点としてメツセージ［１３，２］　ｊ　、第２の論点として［１３，３］ 　ｊを有する。これらの第２のものはＵと動作■を使用して結合したメツセージ ［１３，２］　ｊからなる第１の論点および第２の論点［１３，４］　ｊを有す る。このセットが全てのｊをバスすると、Ｂは連続する。次にｋがＶ中でない（ １・・・Ｓｌ中の全ての素子（ごわたっでランすることが可能になる。全ての［ ｉｌ、ｉ］＊の積が形成され、モジュロＭが１７７ｐ乗に上られ、すでに説明し たようにｐ乗根を示す。この値はそれからメツセージ［１４］　としてＰに与え られる。

ボックス１０５は第１の設定ｋが［１２］中ではなく全ての素子（１，・・・、 Ｓ）をランすることを示す。受信したメツセージ［１４］はｐ乗モジュロＭに上 げられ、ｋによりインデックスされた全［１１，１ｊの積モジュロＭと等しいか 否か比較される。

この試験を通るとＰは全ｒｋの積の逆数とメツセージ［１４］の積モジュロＭの 積にｎを設定する。最後にａｋ、　ｃｋ、　ｘｋ、　ｙｋは新しい指標を割り当 てる。整列した指標セット中の第１の素子は新しい指標１を受けるａｌを選択す るｊ範囲を設定し、ｊの指標中の第２の素子はどの素子が指標２を得るかを決定 し、以下同様に指標セットの全素子に対して決定される。同じことはｃｋ、　ｘ ｋ、　ｙｋについても行われる。

第２図を参照して好ましい実施例の部分に対する第２のフローチャートについて 詳細に説明する。

ボックス２０１はすでに説明したようにボックス１０５中で計算されたｎの値を 含むメツセージ［２１，１］をＰによりＳに送信を開始する。ｉに対する指標セ ットは最初のｔの自然数あるように採用される。それから各ｉの値に対してメツ セージ［２１，２］　ｉが第１の論点ｘｉ°および第２の論点ｙｉ’によりｆ下 の画像として形成された後に送られる。

ボックス２０２は＋１．、、、、ｔ　ｌ　の全サブセットからランダムに指標セ ットＷをＳがまず選択することを示す。Ｓは全メツセージ［２１，１］　ｉと全 モジュロの積と均等性に対してメツセージ［２１，１］のｐ乗を試験する。もし も試験が満足であれば、Ｓはメツセージ［２２コの送信で続けられ、ＰにＷを与 える。

ボックス２０３はＰにより受信されたメツセージ［２２］により定められたチャ レンジのミーティングである。［２２］中の素子ｊに対してａ’ｊ、ｅ’ｊおよ びｙ’ｊはメツセージ［２３，１３ｊ　。

［２３，２］　ｊ　、［２３，３］　ｊとしてそれぞれＳに送られ、（１，・・ ・、１）中であって［２２］中ではない素子に対してｘ’に、　ａ’に■Ｕおよ びｄ’にはそれぞれメツセージ［２３，４］　ｋ　、［２３，５］　ｋおよび［ ２３，８］　ｋとして送られる。

ボックス２０４は［２３，１］〜［２３，６］のＳによる受信およびチェックを 示す。Ｗ中の各ｊに対して、メツセージ［２１，２］ｊは２つの論点のｆ下の画 像の均等性を試験し、最初は［２３，１］ｊおよび［２３，２］　ｊのｇ下の画 像であり、その順で第２のものは［２３Ｊ］　ｊである。Ｗ中ではなく（ｌ、・ ・・、ｉｌ中の各ｋに対し、で、メツセージ［２１，２］　ｋは２つの論点のｆ 下の画像により均等性が試験される。ＭｌはＥ２３．４コにであり、第２は［２ ３，５］　ｋおよび［２３，６］　ｋのｇ下の画像であり、その順である。

第３図を参照して好ましい実施例の部分に対する第３のフローチャートについて 詳細に説明する。

ボックス３０１はどのようにしてＢが各Ｓからまず［２１，２］を得て記録する かを示す。

ボックス３０２はＢがボックス３０１中で受けた［２１．２］間の重複性をサー チする。１例では［３０１３中で受信されたとき、適当な方法で［２１，２］を 蓄積し、これは重複を検出するように容易に構成される（当業者に明らかなよう にいわゆる“かきまぜ″がこのため適当なデータ構造であることを認識するであ ろう。これらはすでに１方向関数下の画像であるから、それらの幾つかのビット はかきまぜ値として直接使用されることができる）。別の例は多数の［２１，２ ］に対して捜索されないバッチとして蓄積され、受信されたものを周期的に検索 し、それらをすでに受信したたのものと混合する。捜索およびサーチ技術に基づ いたそのような重複検出の種々の方法はコンピュータ技術では広く知られている 。

ボックス３０３は３０２で反復されたように検出された［２１．２］の特定の値 の少なくとも２つの例に対応しているメツセージ［２３，１］および［２３，５ ］のいずれが得られるかを示している。

これはそれらが重複［２ｘ、２］を供給する各Ｓから得られることが期待される 。例えばそれらは［２Ｌ、２］と共にＳによって与えられてもよい。もしもバッ チ捜索がボックス３０２で行われれば、Ｂは［２３，１：ｌと［２３，５］を得 ることができ、必要な重複に対応するものを検索する。或は例えば［２３，１］ と［２３，５］が［２１，２］と共に供給されない場合には、ＢはＳからこれら を要求し、恐らく個々にＢに知られている［２３．２］をＳが供給する。

ボックス３０４は特定の［２１，２］に対応するＵを再構成することができるこ とを示し、それに対して［２３，１］　と［２３，５］が知られている。これは グループ動作○を使用して［２３，５］と［２３，１１とのグループの反転を結 合する二とにより簡単に行われる。

第４図を参照して好ましい実施例の部分に対する第４のフローチャートについて 詳細に説明する。

このフローチャート中のボックスは第２の実施例の第１図に対応するボックスの 変形を表す。明瞭にし、読みゃすいように変化した部分だけが示されている。す なわちボックス４０１．４０２，４０３，４０４，４０５はそれぞれボックスＩ ＯＩ、１０２．１０３．１０４．１０５に対する変化を示す。

ボックス４０１はＰに対するボックス１０１で定められた作用に対する変化を示 す。ボックス１０１中で使用された記号名ａの定義はボックス４０１中のそれと 置換される。他方ボックス４０１に示された動作およびメツセージは第２の実施 例に対するボックス１０１に含まれる付加的作用のみを定めている。４つの記号 名の１番目の素子（１≦ｌ≦Ｓ）に対する値はランダムに選択される。すなわち ｒ”ｉは残余モジュロＭのセットから選択される。ａ”ｉは■下のグループ素子 を丁度保持できる長さのストリングである。ｂｉはａ”ｉに付加された後ｇに対 する第１の入力に対する適当な長さのストリングとして選択される。ｅｉは第１ 図の０１とｄｉとして選択される（ＵはＢにより選択され、ａｌに対して要求さ れるような多くの情報を含む必要はないことが認められるであろう。それは“バ ースディパラドックス′誘起問題に対して保護される必要はないがらである。し たがって■下のグループ素子は適当な大きいｂを含むためにｇの第１の論点中で 充分な容積を残すようにすることが期待され乙。）。依然として１がらＳに走行 している各指標１に対して、ａｊの値はａ”ｉとｂｉの連鎖として計算され、ｂ ｉ部分は高位桁ビット位置を占める（■により定められたモジュラ付加を残さな い）。ビットストリングとしてこの結果の符号化は第１図のｘｉの形成で使用さ れたｇに対する第１の入力である。第１図中でｙｉの形成において示された符号 化およびグループ動作は、そのｇに対する第１の論点中でｂについての情報を残 さない。さらにｚｉは第１の論点としてのｂｉおよび第２の論点としてのｅｉか ら形成されたｇ下の画像として採用される。メツセージ［１１，２］　ｉはｑ乗 に高められた「”１とモジュロＭの積であることによりブラインドにされた対応 するｚｌを含みＢに送られる。

ボックス４０２はボックス１０２と同じであり、メツセージ［１１，２］　１の 受信を暗示する。

ボックス４０３はボックス１０３に記載された３つの付加メツセージを示す。ボ ックス１０３で定められた各ｊに対して、Ｂにより送られたメツセージ［１３， ５］　ｊ　、［１３，６コｊ、［１３，７］ｊはそれぞれｒｌＪ、　ｂｊ、　ｅ ｊを含む。

ボックス４０４はボックス１０４に対する変形で、前のメツセージ［１４］が送 られないことを除けば全て含まれている。各メツセージ［１１，２］　ｊはｇに 上げられた受信に対応するメツセージ［１３，５］　ｊとｇ下の画像の積と均等 性に対して試験される。ｇに対する第１の論点は受信されたメツセージ［１３， ６］ｊであり、第１の論点は受信されたメツセージ［１３，７］　ｊである。も しも均等性が保持されればメツセージ［１４，１］と［１４，２］　ｋが形成さ れ、Ｐに送られる。［１４，１］を形成する積モジュロＭ中の各項は［１１，１ ］　ｋの一つのｐ番目のモジュロＭであり、順番のセットｖ（１，・・・、Ｓ） 中の第１の素子が指数である［１１．１１はｐ（１）番目の根を得る。指数がそ のセ・ノドの第２の素子であるメツセージはｐ（２）番目の根を得る。

以下このセットの最後の素子まで同様である。同じ指標セットを走行するｋの多 値に対してメツセージ［１４，２］　ｋはメツセージ［１１，２］　ｋのｇ　（ ＠ｋ）番目の根モジュロＭとして形成され、したがってｇ（１）番目の根を持つ メツセージは例えばｉの指標を持ち、順序指標セットＶ　（１，・・・、ｓ）中 のｉ番目の素子が指数であるメツセージから形成される。

ボックス４０５はボックス１０５のＰに対する変化を示す。すなわちボックス１ ０５中で使用された記号名ｎの定義はボ・ンクス４０５中に設定されたものと置 換され、他方ボックス４０５中に示された動作とメツセージは追加の作用につい てのみ定められる。ｐに上げられた第１のメツセージ［１４，１］は［１１，１ ］ｋモジュロＭの指数の積と均等性に対してチェックされる。

Ｂ　１０５中で定められたセット中のｋによりこれらを各指標値に対応する項は 指数に上げられた［１１．１］　ｋであり、その指数はｐ　（ｉ）により割られ たｐの整数商である。ここでｉは指標セット中のｋ（＠にで示された）の位置で ある。それからｎはメツセージ［１４，１］　とｒｋの積の逆数との積として形 成される。この積の各項はｋの指標セット中の素子の１つに対応し、ここでベー スはｒｋであり、その指数はｐ　（＠ｋ）で割られたｐの整数商である。それか らｍｋはメツセージ［１４，２］ｋとｒｋの逆数の積として形成される。これら のそれぞれはｋの指標セット中の素子の１つに対応する。ここでベースはｒ。

゛にであり、その指数はｑ　（＠ｋ）で割られたｑの整数商である。最後にｂｋ とｅｋの素子はそれぞれｂ′とｅ゛とじて後で使用されるために再指標化され、 再ラベルされる。保持された素子の指標はｋが位置する範囲の指標セット中の位 置番号である。

第５図を参照して好ましい実施例の部分に対する第５のフローチャートについて 詳細に説明する。

ボックス５０１はボックス２０１がこの第２の実施例で変更の必要がないことを 示している。

ボックス５０２はボックス２０２中の変化を示している。それは均等性試験の置 換およびランダム部分でない一部または全部を含むようにＷ中の可能な変化を含 み、それはそれぞれ階級に対応するＷの合致素子でもよくもしもそのような素子 がＷ中に現れれば、それは階級に対応する量が転送されることを意味している。

新しい試験はｐに上げられた［２１．１］および整数ｐ（１）乗により割られた 整数ｐに上げられた［２１．２］１の形態のｔの項の積モジュロＭの間の均等性 である。

ボックス５０３はボックス２０３がすでに述べたように期待できるＷのランダム でない部分をチェックすることを除いて変化の必要がないことを示す。

ボックス５０４はボックス２０４がこの第２の実施例で変更の必要がないことを 確認するだけのものである。

第６図を参照して好ましい実施例の部分に対する第６のフローチ丁−トについて 詳細に説明する。

図はすでに述べたように第１の実施例で記載しなかったＰとＢとの間の処理を示 す。

ボックス８０１はＢに対する４つのメツセージ［８１，０。

［６１，２１、［６１，３］　、［６１，４］を送るＰを示し、それぞれ１１ｆ ｆｌｉ、ｂ’ｉおよびｅ′ｉを含む。

ボックス６０２はＢがまずこれら４つのメツセージをどのように受信し、記号名 りで［６１，１］を省略するかを示す。次にＢは均等性を試験する。左側はｐ　 （ｈ）に上げられたメツセージ［６１，２］であり、右側では第１の論点メツセ ージ［６１Ｊ］と第２の論点メツセージ［６１，４１に適用されたｇである。

最後にＢは全ての前に受信した［８１．３］をサーチし、含まれていると考えら れなければならない前にこの新しい［８１，３３がそれら中にないことを確信す る。同様にＢはまた、受信したメツセージのサフィックス（その長さがａ″の長 さであるブリフィックスを超える）が第５図に記載された第２図の変形において 受信されたメツセージ［２３，１３のサフィックスに等しくないことをチェック する。

ある程度の変更および置換は当業者には明白であろう。

例えば、第２図のプロトコールによって、多分ｘｉとｙｉの圧縮１方向関数はメ ツセージ［２１，２］　ｊの代りにその順序にｐを委任するのに充分である（そ のような圧縮画像は不必要であっても、もしもｆ下の像の順序が第４図および第 ５図に関して繰返されるようにその２進表示で辞書編集上でなければならない環 流が行われるならば）。或は別に示すようにｐにより第１図と第２因の間で必要 が節約されるデータ量は例えばＸ゛とｙ゛を保持しないで、ボックス２０１中の ｆについて行ったように単にそれらを再構成することによって図示されたものよ り減少される。

最初に挙げたブラインドサイン刊行物のものでは本質的である。図示された特定 のブラインドの代りに第２のブラインドサインの刊行物に開示された技術が使用 されることができる。さらにパブリック指数ｇで示されたサイン方式は異なった モジュラスに適用でき、或は別出願（υｎａｎｔｉｃｉｐａｔｅｄｓｉｇｎａｔ ｕｒｅ　５ｙｓｔｅＩｌｓ　）に記載されたような全体的に異なる種類のサイン であってもよい。そのようなサインはまたｐ下のものとの項の積であり、第４図 のプロトコールの多重例は［１４，２］が戻る前に特定のｐにより導かれる。こ れらの例はＢが複数のチャレンジセットＶを供給する前に全メツセージ〔１１］ を受信する方法で行われ、制限はこれらが接続されず、連鎖ｔであることだけで ある。さらにこの方法は第１図の技術を適用に採用されることもできる。また第 １の実施例のサインは第２の実施例で成されているように異なる項に対して異な るパブリック指数を使用することができ、または第２の実施例はすでに述べられ た辞書編集順序技術が使用されるとき単一のパブリック指数のみが必要であろう （第４図の場合、順序は［１１，３］として送らなければならず、ｊ番目のエン トリーに対しボックス４０４中で成されたこれらの試験の一部としてＢによりチ ェックされる）。

さらに別の変形は１つのｆにおけるより多くのｇを含む。

Ｕは“キー共用°、′シャドウ′または“部分キー″と呼ばれる当業者によく知 られた各種の技術によりこ：れらのｇの間で分割される。これらの方式のいわゆ る“しきい値″より１つ少ないｇの数であり、その論点は提示中明らかにされな げてばならない。

以上本発明の説明は例示として記載されたものであり、当業者は本発明の技術的 範囲から逸脱されることなく、種々の変形、変更形態および均等物が使用可能で あることを認識するであろう。

Ｐ　Ｂ Ｂ 丁匈■τｅ５ １Ｆ匈ｔａｒε６ 国際調査報告

Claims (1)

【特許請求の範囲】
1. １．少なくとも暗号仮定下で、高い確率で各サインが少なくとも２つの部分に分 割された識別情報を含むことを確保するようにした複数のサインを発行し、 前記少なくとも２つの部分のそれぞれの少なくとも１つを示す方法でデジタルサ インを示してチェックし、示されたサインのセットについて試験を行い、前記発 行されたサインの少なくとも１つの異なる部分が発行されたサインを２回以上示 すならば、識別子の少なくとも１つを生成するステップを有するパブリックキー デジタルサインシステム。