JPH08149124A - ゼロ知識証明プロトコルを利用した情報配送方法およびシステム - Google Patents

ゼロ知識証明プロトコルを利用した情報配送方法およびシステム

Info

Publication number
JPH08149124A
JPH08149124A JP7047115A JP4711595A JPH08149124A JP H08149124 A JPH08149124 A JP H08149124A JP 7047115 A JP7047115 A JP 7047115A JP 4711595 A JP4711595 A JP 4711595A JP H08149124 A JPH08149124 A JP H08149124A
Authority
JP
Japan
Prior art keywords
information
user
sentence
encryption
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP7047115A
Other languages
English (en)
Other versions
JP3314900B2 (ja
Inventor
Masasuki Kanda
雅透 神田
Kiyoshi Yamanaka
喜義 山中
Yoichi Takashima
洋一 高嶋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP04711595A priority Critical patent/JP3314900B2/ja
Publication of JPH08149124A publication Critical patent/JPH08149124A/ja
Application granted granted Critical
Publication of JP3314900B2 publication Critical patent/JP3314900B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Landscapes

  • Computer And Data Communications (AREA)

Abstract

(57)【要約】 【目的】 情報提供者から通信回線により利用者に情報
を提供する場合、利用者の正当性と、情報配送の確実性
と、配送情報の正当性を保証し、配送情報や受信報告の
改竄等の不正行為を防止し、後日これらを証明できる情
報配送方法およびシステム。 【構成】 利用者が情報提供者に情報の配送を要求した
時に、情報提供者がゼロ知識証明プロトコルにしたがっ
て利用者の利用者認証を行なう過程と、情報提供者が利
用者に配送する情報Ｍをゼロ知識証明プロトコル中にお
ける検査文Ｅに含めて送信し、利用者に情報を１ビット
または複数ビット単位で配送する過程と、ゼロ知識証明
プロトコルの通信履歴データＨを情報提供者が記録管理
する過程と、を同時に行なう。

Description

【発明の詳細な説明】
【０００１】
【産業上の利用分野】本発明は、電気通信システムを用
いて利用者が要求した情報を情報提供者が提供する場合
に、情報提供者が利用者認証により利用者の正当性を認
証しつつ、かつ利用者に要求された情報を利用者まで確
実に配送するとともに、後日利用者から要求した情報を
受信していないなどの異議申し立てに対して、情報提供
者が間違いなく要求された情報を利用者に配送し、かつ
利用者が受信している事実を証明できるようにするため
のものであり、特に有料情報提供サービスや配達証明サ
ービスなどに有用な情報配送方法およびシステムに関す
る。
【０００２】
【従来の技術】従来、代表的な認証方法としてはシステ
ム利用者の正当性を検査する利用者認証方式と、情報が
正当なものであることを証明するメッセージ認証方式
と、更にこれらを組み合わせて作成した情報が正当なも
のであることを情報作成者が保証するディジタル署名方
式がある。ここで、簡単に利用者認証方式とメッセージ
認証方式とディジタル署名方式について、それぞれ図を
参照しながら説明する。
【０００３】図１（ａ）は利用者認証方式の代表的な例
であるFiat Shamir 法（A.Fiat andA.Shamir:“How to
prove yourself,practical solutions to identificati
onand signature problems”，Proc. of Crypto' 86,19
86.5並びに米国特許第4,748,668 号）による認証方式の
概念図である。
【０００４】このFiat Shamir 法によれば、秘密情報ｓ
を所有している者（以下、証明者という）が検証者に対
してその正当性を証明しようとしたとき、Ｎ（＝ｐｑ：
ｐ，ｑは互いに異なる大きな素数）とＩ（＝ｓ2 （mod
Ｎ））を証明者の公開情報とし、ｓとｐ，ｑを証明者の
秘密情報として以下のように認証される。
【０００５】まず始めに証明者が乱数Ｒを生成させ、初
期応答文Ｘ＝Ｒ2 （mod Ｎ）を計算し、検証者にＸを送
る。前記Ｘを受信した検証者は検査文ｅとしてランダム
に０または１を選び、証明者にｅを送る。前記ｅを受信
した証明者は、応答文Ｙ＝Ｒｓe （mod Ｎ）を計算し、
検証者にＹを送る。前記Ｙを受信した検証者は、検証式
Ｙ2 ＝Ｘ×Ｉe （mod Ｎ）が成立するかを検証する。
【０００６】ここまでを１ラウンドとして、これをｔラ
ウンド繰り返すことにより、秘密情報ｓを知らない第三
者が検証者の検証式をクリアできる確率は（１／２t ）
となる。したがって、十分に大きなｔにおいて正常に認
証が終了した場合、検証者は検証相手（証明者）を秘密
情報ｓを所有している正当な証明者であると判断して構
わない。
【０００７】なお、この認証方式は一般にゼロ知識証明
に基づく認証方式と呼ばれ、証明者は検証者に対して秘
密情報ｓを所有している事実だけを伝え、秘密情報ｓに
関するその他の内容は一切漏らさないというメリットが
ある。
【０００８】しかし、Fiat Shamir 法では証明者と検証
者との通信履歴が、後日検証者が証明者を認証したこと
の証拠にならないという問題があった。そのため、この
問題に対する解決方法としては桜井（特開平５−１２３
２１号）による認証方式が提案されている。この認証方
式によれば、検証者が証明者を認証した後でも検証者が
証明者を本当に認証したことの証拠が残るとされてい
る。
【０００９】しかし、ここで証拠として残るのはあくま
で検証者が証明者を通信を介して認証したという事実に
ついてのみであり、この認証事実の他は通信内容を始め
としてどのような通信が行われたのかについて何ら言及
するものではない。また、認証事実の証拠として通信系
列全てを記録保管するため、検証者が記録保管しておか
なければならない情報量が多いという欠点もある。
【００１０】次に、図１（ｂ）は、メッセージ認証の一
例である認証子法による認証方式の概念図である。この
認証方式によれば、メッセージＭを送信したい証明者は
秘密鍵Ｋh をパラメータとするハッシュ関数ｈを利用し
てメッセージＭに対する認証子ｈk （Ｍ）を作成し、前
記メッセージＭと共に前記認証子を送信相手である検証
者に送信する。検証者はあらかじめ証明者と同じ秘密鍵
Ｋh を秘密裏に共有しているので、受信したメッセージ
から上記と同じように秘密鍵Ｋh を用いて認証子を作成
し、受信した認証子と照合検査する。この照合に成功す
れば、受信したメッセージの正当性が保証される。これ
は秘密鍵Ｋh を知らなければ、任意のメッセージに対す
る正しい認証子は作成できないためである。
【００１１】しかし、上記の利用者認証、メッセージ認
証は共に、基本的には第三者による不正行為を防止する
ことが最大の目的であり、前記利用者認証が正常に終了
したことで保証されるのは、あくまで証明者が正当な秘
密情報の所有者であること、すなわち第三者が不正に利
用していないということだけであり、また前記メッセー
ジ認証において照合検査に成功したことで保証されるの
は、第三者によるメッセージの改竄などの不正行為が行
われていないということだけである。したがって、上記
の２つの認証方式は共に、基本的には第三者の不正行為
に対してのみ有効であり、証明者もしくは検証者による
不正行為に対してはまるで効力を持たないのが欠点であ
る。
【００１２】次に、図１（ｃ）はディジタル署名の一例
であるＲＳＡ署名法（R.L.Rivest，A.Shamir,L.Adlema
n，“A method for obtaining digital signatures and
public-key cryptosystem ”，Comm. ACM, vol.21, N
o.2,1978.2）の概念図である。
【００１３】ＲＳＡ署名法によれば、ｅとＮ（＝ｐｑ：
ｐ，ｑは互いに異なる大きな素数）を署名者の公開情
報、ｄ［ｅ×ｄ（mod(p-1)(q-1))＝１］とｐ，ｑを署名
者の秘密情報として以下のように認証される。
【００１４】まず署名者は、メッセージＭを確かに署名
者が作成したものであることを保証するために署名文Ｃ
＝Ｍd （mod Ｎ）を計算し、Ｃを検証者に送信する。前
記Ｃを受信した検証者はＭ＝Ｃe （mod Ｎ）を計算し、
得られたメッセージＭの正当性を判断する。この時、得
られたメッセージＭが正当であると判断されれば、受信
したメッセージＭが署名者により間違いなく作成された
ものであることが保証される。
【００１５】これは秘密情報ｄを知らなければ任意のメ
ッセージに対する正しい署名文を作成できないためであ
り、しかも秘密情報ｄは各個人固有のもので一人ずつ異
なるため、署名者自体も特定されることになるからであ
る。したがって、第三者や検証者がメッセージ内容を改
竄したり、あるいは署名者がメッセージ内容を否定した
りするなどの不正行為は困難であると考えられている。
【００１６】しかし、これはあくまでメッセージのやり
取りが正常に終了した時点以後から効力が生じるもので
あり、それ以前、すなわち署名者からみて送信した署名
文Ｃが確実に検証者に届いているかどうかの保証は何も
ないため、検証者に署名文Ｃを受信していないと主張さ
れてしまえば、署名者にはその主張に対抗する手段がな
いのが欠点である。
【００１７】
【発明が解決しようとする課題】利用者が要求した情報
を情報提供者が提供する場合には以下の４条件、すなわ
ち、（１）正当な利用者であることを保証する利用者認
証、（２）情報提供者は利用者が要求した情報を確実に
提供し、かつ利用者が提供された情報を受信したことを
保証する配送証明、（３）提供した情報が正当なもので
あり、改竄などの不正行為を防止できる内容照明、
（４）後日、必要に応じて情報提供者が調停者に通信履
歴などの証拠を提示することにより（１）〜（３）のす
べてについて証明できること、を満たすことが必要であ
る。
【００１８】しかし、従来方式で説明したようにFiat S
hamir 法では（１）のみ、桜井（特開平５−１２３２１
号）の方式では（１）と（４）の一部（利用者認証の証
拠のみ）、メッセージ証拠では（３）の一部のみ（情報
が正当である保証のみ）、ＲＳＡ署名法では（３）のみ
が満たされるだけであるため、ある種の不正行為、特に
（２）のように利用者が提供された情報を受信している
にもかかわらず、受信していないというような不当な主
張に対して、情報提供者は全く対抗できないという欠点
がある。
【００１９】本発明の目的は、情報提供者から利用者
（カード、利用者端末等を含む）に対して必要なメッセ
ージを送信する場合に、従来方式では満たせなかった上
記の４条件すべてを満たすことができるゼロ知識証明プ
ロトコルを利用した情報配送方法およびシステムを提供
することである。
【００２０】
【課題を解決するための手段】本発明の一側面による
と、少なくとも情報提供者と利用者とを含むシステムに
おいて、利用者が情報提供者に情報の配送を要求した時
に、情報提供者が、ゼロ知識証明プロトコルにしたがっ
て利用者の利用者認証を行なう過程と、情報提供者が利
用者に配送する情報Ｍをゼロ知識証明プロトコル中にお
ける検査文Ｅに含めて送信し、利用者に情報を１ビット
または複数ビット単位で配送する過程と、情報提供者
が、ゼロ知識証明プロトコルの通信履歴データＨを記録
管理する過程とを同時に行なうことを特徴とする情報配
送方法が提供される。
【００２１】また、本発明の他の側面によると、少なく
とも利用者端末と情報提供者端末とを含むシステムであ
って、利用者端末は、情報提供者端末との間の通信を制
御する利用者通信制御手段と、利用者が秘密に保持すべ
き秘密情報を蓄積しておく利用者秘密情報蓄積手段と、
乱数を発生する乱数発生手段と、前記利用者通信制御手
段を介して通信される初期応答文と応答文を前記秘密情
報と乱数に基づいて生成する利用者演算手段とを有し、
情報提供者端末は、利用者端末との間の通信を制御する
情報提供者通信制御手段と、前記情報提供者通信制御手
段を介して利用者に提供する情報を蓄積しておく情報デ
ータベースと、前記情報提供者通信制御手段を介して利
用者の認証を行なう検証手段とを有することを特徴とす
る情報配送システムが提供される。
【００２２】また、本発明の他の側面によると、少なく
とも利用者端末と情報提供者端末とを含むシステムであ
って、利用者端末は、情報提供者端末との間の通信を制
御する利用者通信制御手段と、利用者が秘密に保持すべ
き秘密情報を蓄積しておく利用者秘密情報蓄積手段と、
前記利用者通信制御手段を介して情報提供者端末との間
で暗号通信を行う利用者共通鍵暗号手段と、乱数を発生
する乱数発生手段と、前記利用者通信制御手段を介して
送信される初期応答文と応答文と秘密鍵を生成する利用
者演算手段と、前記利用者通信制御手段を介して情報提
供者から配送された情報を蓄積する情報蓄積手段とを有
し、情報提供者端末は、利用者端末との間の通信を制御
する情報提供者通信制御手段と、前記情報提供者通信制
御手段を介して利用者に提供する情報を蓄積しておく情
報データベースと、秘密鍵と検査文を生成する情報提供
者演算手段と、前記情報提供者通信制御手段を介して利
用者端末との間で暗号通信を行なう情報提供者共通鍵暗
号手段と、前記情報提供者通信制御手段を介して利用者
の認証を行なう検証手段とを有することを特徴とする情
報配送システムが提供される。
【００２３】
【作用】本発明によれば、第一に情報提供者による利用
者の認証方法としてゼロ知識証明プロトコルを利用して
いるため、ゼロ知識証明プロトコルの目的や従来からの
利用方法からいっても、利用者が正当なカードを利用し
ていなければ情報提供者の検証をクリアし続けることは
ほとんど不可能であり、認証段階でほぼ完全に拒絶され
る。
【００２４】第二に情報提供者から配送情報を利用者へ
配送する部分では、配送情報をゼロ知識証明プロトコル
の検査文に含めて配送を行なっているため、ゼロ知識証
明プロトコルが正常に終了すれば、カード上において間
違いなく検査文、すなわち配送情報を受信・記録し、適
正な処理をしていたことになる。また、途中で情報提供
者の検証に失敗した場合にはそれ以降の認証は打ち切ら
れ、残りの検査文は配送されないため、利用者が知るこ
とのできる配送情報は検証に失敗する以前のものに限ら
れる。
【００２５】第三に通信履歴を記録管理することにより
情報提供者と利用者との間で正常な認証が行なわれたこ
とを情報提供者は確認できるので、第二の効果と合わせ
て利用者は配送情報を受信し、かつカードの蓄積手段に
配送情報が記録されているはずである。このことは、情
報提供者から開示される通信履歴と利用者から提出され
るカードに記録された配送情報とを照合することによっ
て、利用者が情報暗号化用秘密鍵を生成できる状態であ
るかどうかを判定できる。なお、この場合、利用者から
カードの提出がない場合には、情報暗号化用秘密鍵は生
成できる状態にあると判定する。
【００２６】したがって、不正な利用者がシステムを利
用したり、あるいは配送情報のすべてを不正に搾取した
りすることはできない。また、正常に認証が終了してい
るにも関わらず利用者が配送情報を受信していないなど
という不当な主張に対して、情報提供者は通信履歴を開
示するとともに、利用者にカードを提出するよう要求す
ることにより対抗できる。
【００２７】
【実施例】以下、本発明の実施例を図面を用いて説明す
る。
【００２８】図２は、本発明の第１実施例における情報
配送システムの構成例を示す図である。図２において、
１は利用者が所有するカードであり、１１はカード固有
の秘密情報を蓄積する秘密情報蓄積手段、１２はゼロ知
識証明プロトコルで利用する乱数発生手段、１３はプロ
トコルを実行するうえで必要な演算を行う演算手段、１
４は情報提供者からの情報を記録する蓄積手段である。
なお、これらの手段はいずれもＩＣ等の耐タンパー装置
上に組み込まれており、物理的に安全である。
【００２９】２は利用者が使用する固定型の利用者端末
であり、２１はカード挿入手段、２２は情報提供者から
の情報を蓄積する蓄積手段、２３は情報を利用する利用
手段、２４は情報提供者との間で通信を行なうための通
信制御手段である。
【００３０】３は利用者に配送情報の配送する情報提供
者端末であり、３１は配送情報を蓄積する情報蓄積手
段、３２は配送情報を分割して検査文の組を作成する情
報分割手段、３３はゼロ知識証明プロトコルの検証を行
なう検証手段、３４は通信履歴や認証記録を記録管理し
ておく履歴管理手段、３５は利用者端末との間で通信を
行うための通信制御手段である。
【００３１】次に、図２のシステムにおけるゼロ知識証
明プロトコルを利用した情報配送方法について、図３お
よび図４に示す処理フローチャートと配送情報の例を基
に説明する。なお、ここではゼロ知識証明プロトコルと
してFiat Shamir 法を用いることとし、準備段階とし
て、信頼できるセンタが各利用者ごとにＰ，Ｑ，Ｎ，
Ｉ，ｓを設定し、このうちＮとＩを利用者の公開情報と
して公開し、ｓを利用者の秘密情報としてカード１の秘
密情報蓄積手段１１に蓄積して利用者に配布する。ここ
で、ＰとＱは互いに異なる大きな素数であり、Ｎ＝ＰＱ
である。また、Ｉ＝ｓ2 （mod Ｎ）が成立している。
【００３２】情報暗号化用秘密鍵Ｗで暗号化されたメッ
セージＷ（ｍ）をすでに利用者端末２の蓄積手段２２に
蓄積している利用者に対して、前記情報暗号化用秘密鍵
Ｗを配送情報として配送する場合の例を説明する。
【００３３】まず、利用者は、自分のカード１をカード
挿入手段２１に挿入後、情報提供者に情報暗号化用秘密
鍵Ｗの配送を依頼する。（Ｓ１）。
【００３４】情報提供者は、情報蓄積手段３１に蓄積さ
れている情報暗号化用秘密鍵Ｗを図４に示す配送情報５
０のように情報分割手段３２においてｇビットごとに分
割し、ｇビットで構成される検査文ｅjiの組を作成する
（Ｓ２）。ここで、情報暗号化用秘密鍵Ｗのビット数を
Ｌw とすると、検査文の組はＬw ／ｇ個作成されること
になり、ｉは１からｇまで、ｊは１からＬw ／ｇまでの
値をとる。
【００３５】次に、カード１は、乱数発生手段１２にお
いてｇ個の乱数Ｒi を生成し（Ｓ３）、それぞれについ
て演算手段１３においてＸi ＝Ｒi 2 （mod Ｎ）を計算
し、Ｘi を通信制御手段２４を経由して情報提供者に送
信する（Ｓ４）。
【００３６】通信制御手段３５を経由してＸi を受信し
た情報提供者は、ｊ組目の検査文ｅjiを通信制御手段３
５を経由してカード１に送信する（Ｓ５）。
【００３７】カード１では、通信制御手段２４を経由し
て受信した検査文ｅjiのそれぞれのビットｉに対し、演
算手段１３において０ならＹi ＝Ｒi を、１なら秘密情
報蓄積手段１１に蓄積されている秘密情報ｓを用いてＹ
i ＝ｓＲi （mod Ｎ）を計算し、蓄積手段１４に検査文
ｅjiを記録した後、通信制御手段２４を経由してＹiを
情報提供者に送信する（Ｓ６）。
【００３８】情報提供者は、通信制御手段３５を経由し
て受信した前記Ｘi と前記Ｙi 、および前記検査文ｅji
からそれぞれのビットｉに対し、検証手段３３において
検査ビットが０ならば検証式Ｙi 2 ＝Ｘi （mod Ｎ）
を、１ならば検証式Ｙi 2 ＝Ｘi Ｉ（mod Ｎ）を満たす
かどうかを検証する（Ｓ７）。この検証に失敗した場合
には、カード１は不正であるとみなして、それ以降の利
用を中止（Ｓ８）し、成功した場合には前記Ｘi と前記
Ｙi 、および前記検査文ｅjiを通信履歴として履歴管理
手段３４に記録管理する（Ｓ９）。そして、上記Ｓ３以
降のステップを情報分割手段３２で作成したＬw ／ｇ個
の検査文ｅjiの組すべてを送信し終わるまで繰り返し
（Ｓ１０）、最終的に情報提供者は、情報分割手段３２
で作成したＬw ／ｇ個の検査文ｅjiの組すべての送信が
終了した時点をもって情報暗号化用秘密鍵Ｗの配送が終
了したとみなす（Ｓ１１）。
【００３９】カード１では蓄積手段１４に記録されたＬ
w ／ｇ個の検査文ｅjiの組すべてを結合し、情報暗号化
用秘密鍵Ｗを複製した（Ｓ１２）後、利用者端末２の利
用手段２３に転送する（Ｓ１３）。利用手段２３では転
送されてきた情報暗号化用秘密鍵Ｗを用いて蓄積手段２
２に蓄積されている暗号化されたメッセージＷ（ｍ）を
復号し、メッセージｍを得ることができる（Ｓ１４）。
【００４０】以上の説明は、利用者に対して確実に必要
な情報を配送し、かつ利用者のカードに記録されたこと
を情報提供者が確認できるものである。例えば、メッセ
ージｍを著作物などの有料情報とした時、情報暗号化用
秘密鍵Ｗで暗号化したＷ（ｍ）をあらかじめ利用者に送
信し、またはＣＤ−ＲＯＭ等の媒体に記録して配布して
おき、その後情報提供者が前記情報暗号化用秘密鍵Ｗを
上記の配送方法によって送信することにより、メッセー
ジｍを間違いなく購入した利用者に対して著作権使用料
などの情報料を徴収するときに、情報提供者は履歴管理
手段３４に記録管理された通信履歴を利用できる。ま
た、電子メールにおいて郵便内容ｍを情報暗号化用秘密
鍵Ｗで暗号化し、あらかじめ配達先にＷ（ｍ）を送信し
ておき、後日電子メール管理者から配達先に対して前記
情報暗号化用秘密鍵Ｗを上記の配送方法により送信する
ことにより、電子メール管理者は電子メールの配達証明
に利用できるなど、さまざまな利用が可能である。
【００４１】以上説明したとおり、この第１実施例で
は、第一に情報提供者による利用者の認証方法としてゼ
ロ知識証明プロトコルを利用しているため、ゼロ知識証
明プロトコルの目的や従来からの利用方法からいって
も、利用者が正当なカードを利用していなければ情報提
供者の検証をクリアし続けることはほとんど不可能であ
り、認証段階でほぼ完全に拒絶される。
【００４２】第二に情報提供者から配送情報を利用者へ
配送する部分では、配送情報をゼロ知識証明プロトコル
の検査文に含めて配送を行なっているため、ゼロ知識証
明プロトコルが正常に終了すれば、カード上において間
違いなく検査文、すなわち配送情報を受信・記録し、適
正な処理をしていたことになる。また、途中で情報提供
者の検証に失敗した場合にはそれ以降の認証は打ち切ら
れ、残りの検査文は配送されないため、利用者が知るこ
とのできる配送情報は検証に失敗する以前のものに限ら
れる。
【００４３】第三に通信履歴（前記Ｘi 、前記Ｙi 、前
記検査文ｅji）を記録管理することにより情報提供者と
利用者との間で正常な認証が行なわれたことを情報提供
者は確認できるので、第二の効果と合わせて利用者は配
送情報を受信し、かつカードの蓄積手段１４に配送情報
が記録されているはずである。このことは、情報提供者
から開示される通信履歴と利用者から提出されるカード
に記録された配送情報とを照合することによって、利用
者が情報暗号化用秘密鍵Ｗを生成できる状態であるかど
うかを判定できる。なお、この場合、利用者からカード
の提出がない場合には、情報暗号化用秘密鍵Ｗは生成で
きる状態にあると判定する。
【００４４】したがって、不正な利用者がシステムを利
用したり、あるいは配送情報のすべてを不正に搾取した
りすることはできない。また、正常に認証が終了してい
るにも関わらず利用者が配送情報を受信していないなど
という不当な主張に対して、情報提供者は通信履歴を開
示するとともに、利用者にカードを提出するよう要求す
ることにより対抗できる。
【００４５】なお当然のことであるが、上記の実施例に
おいても、配送情報すべてを分割して検査文ｅjiを生成
する必要性はなく、例えば、配送情報の始めからｇｎビ
ット目までを検査文ｅji（ｊ＝１，…，ｎ）とし、ｎ組
の検査文ｅjiによるゼロ知識証明プロトコルが終了した
後、配送情報の残りの部分を一括して送信するような情
報の配送方法も考えられる。この場合、ｎの値を様々に
変えることにより、ゼロ知識証明におけるセキュリティ
レベルを変えられるうえ、通信量を削減できるといった
特徴がある。例えばｎをＬw ／ｇの半分とすれば、通信
量もほぼ半分となる。
【００４６】また、検査文ｅjiの生成方法についても、
単純に配送情報を分割して生成するだけでなく、ダミー
情報を付加したり、あるいは暗号化を行ったりして生成
することも可能である。この場合、カード内にあらかじ
め設定されている秘密情報、もしくは蓄積された検査文
ｅjiから自律的にダミー情報を除去、あるいは復号を行
ったりして元の配送情報に復元する機能を持たせること
により、ゼロ知識証明を正常に終了しないかぎり、前記
配送情報を取り出せないようにできる。したがって、第
三者もしくは利用者が検査文ｅjiを不正に搾取したり、
大部分の検査文ｅjiを受信した後、故意に認証を失敗さ
せ、検査文ｅjiのうち配送されてこない残りの部分を予
測したりする等の不正行為を行ない、情報提供者が配送
に失敗したと判断あるいは気がつかないうちに、第三者
もしくは利用者が配送情報を獲得してしまうことがない
ようにできる。
【００４７】なお、上述の第１実施例による情報配送方
法およびシステムでは、ゼロ知識証明プロトコルに必要
な情報はすべて耐タンパー装置上に組み込まれており、
実際の情報配送においても耐タンパー装置上に組み込ま
れた手段のみを用いて実行されるため、前記情報が外部
に漏れることはなく、たとえカード所有者であっても前
記情報を知ることができない。したがって、カード自体
を偽造したり、あるいはカード上の記録情報を書き変え
たりする等の不正行為を防止できる。
【００４８】次に本発明の第２実施例について説明す
る。
【００４９】図５は本発明の第２実施例における情報配
送システムの構成を示すブロック図であり、１０は情報
提供者端末２０から情報の提供を受ける利用者の端末
（利用者端末）を示し、１００は通信回線３０を制御す
る通信制御手段、１０１は利用者の秘密情報を蓄積して
おく利用者秘密情報蓄積手段、１０２は利用者が必要な
情報を一時的に蓄積する一時メモリ、１０３は利用者が
乱数を生成するための乱数発生手段、１０４は利用者が
必要な演算を行う機能を有する演算手段、１０５は共通
鍵暗号方法（例えば、ＤＥＳ，ＦＥＡＬ）による暗号通
信を行うための共通鍵暗号手段、１０６は利用者が受信
した情報を出力もしくは利用する情報出力／利用手段で
ある。
【００５０】また、２０は情報を提供する情報提供者の
端末（情報提供者端末）を示し、２００は通信回線３０
を制御する通信制御手段、２０１は情報提供者の秘密情
報を蓄積しておく情報提供者秘密情報蓄積手段、２０２
は提供する情報が蓄積してある情報データベース、２０
３は情報提供者が必要な情報を一時的に蓄積する一時メ
モリ、２０４は情報提供者が必要な演算を行う機能を有
する演算手段、２０５は共通鍵暗号方法による暗号通信
を行うための共通鍵暗号手段、２０６はFiat Shamir 法
に基づいて通信系列の正当性を検証する検証手段であ
る。３０は利用者と情報提供者とを通信で接続する通信
回線を表す。
【００５１】以下、図６のフローチャートにしたがって
動作手順を説明する。
【００５２】まず基準段階として、信頼できるセンタが
各利用者ごとにｐ１，ｑ１，Ｉ，ｓを設定し、このうち
Ｎ１とＩを利用者の公開情報として公開し、ｓを利用者
の秘密情報として利用者秘密情報蓄積手段１０１に蓄積
して利用者に秘密裏に配布する。ここで、ｐ１とｑ１は
それぞれ互いに異なる大きな素数であり、Ｎ１＝ｐ１×
ｑ１である。また、Ｉ＝ｓ2 （mod Ｎ１）が成立してい
る。
【００５３】さらに、各情報提供者と各利用者の間には
システム秘密鍵ＳＫを設定し、利用者秘密情報蓄積手段
１０１および情報提供者秘密情報蓄積手段２０１に登録
しておく。このシステム秘密鍵ＳＫは、各情報提供者と
各利用者の間ごとに異なる方が好ましいことはいうまで
もないが、システム設計上、システム全体の共通鍵とし
て１種類あるいは複数種類のシステム秘密鍵を複数の利
用者で利用しても構わない。
【００５４】（１）配送確認ステップ 利用者端末１０は、乱数発生手段１０３によりｇ個の乱
数Ｒi （ｉ＝１，２，…，ｇ）を生成し、一時メモリ１
０２に蓄積し（Ｓ１０１）、その後、それぞれの乱数に
ついて演算手段１０４により初期応答文Ｘi ＝Ｒ
i 2 （mod Ｎ１）（ｉ＝１，２，…，ｇ）を計算し（Ｓ
１０２）、通信回線３０を介して情報提供者端末２０に
送信する（Ｓ１０３）。
【００５５】情報提供者端末２０は、受信した初期応答
文Ｘi （ｉ＝１，２，…，ｇ）を一時メモリ２０３に蓄
積し（Ｓ１０４）、その後、利用者端末１０に配送する
情報Ｍを情報データベース２０２より取り出して（Ｓ１
０５）、情報提供者秘密情報蓄積手段２０１に蓄積され
たシステム秘密鍵ＳＫを秘密鍵として、共通鍵暗号手段
２０５により暗号化した暗号文Ｃ＝ＥSK（Ｍ）を通信回
線３０を介して利用者端末１０に送信する（Ｓ１０
６）。
【００５６】利用者端末１０は、受信した暗号文Ｃを一
時メモリ１０２に蓄積し（Ｓ１０７）、その後、演算手
段１０４において暗号文Ｃを用いてｇビットの情報圧縮
関数であるハッシュ関数ｈにより検査文ｅi ＝ｈ（Ｃ）
（ｉ＝１，２，…，ｇ）を生成する（Ｓ１０８）。生成
した検査文ｅi のそれぞれのビットｉに対し、一時メモ
リ１０２に蓄積された乱数Ｒi と利用者秘密情報蓄積手
段１０１に蓄積された利用者の秘密情報ｓとからｅi ＝
０ならばＹi ＝Ｒi を、ｅi ＝１ならばＹi ＝ｓＲ
i （mod Ｎ１）を計算し（Ｓ１０９）、応答文Ｙi （ｉ
＝１，２，…，ｇ）として情報提供者端末２０に通信回
線３０を介して送信する（Ｓ１１０）。
【００５７】情報提供者端末２０は、受信した応答文Ｙ
i （ｉ＝１，２，…，ｇ）を一時メモリ２０３に蓄積し
（Ｓ１１１）、その後、演算手段２０４において暗号文
Ｃを用いてｇビットの情報圧縮関数であるハッシュ関数
ｈにより検査文ｅi ＝ｈ（Ｃ）（ｉ＝１，２，…，ｇ）
を生成する（Ｓ１１２）。検証手段２０６において利用
者の公開情報Ｉおよび一時メモリ２０３に蓄積された初
期応答文Ｘi と応答文Ｙi と検査文ｅi とからそれぞれ
のビットｉに対し、ｅi ＝０ならば検証式Ｙi 2 ＝Ｘi
（mod Ｎ１）を、ｅi ＝１ならば検証式Ｙi 2 ＝Ｘi ×
Ｉ（mod Ｎ１）を満たすかどうかを検証する（Ｓ１１
３）。この検証に失敗した場合には利用者は不正である
と見做してそれ以降の利用を禁止し（Ｓ１１４Ａ）、成
功した場合には情報Ｍの配送が正常に終了したと判断す
る（Ｓ１１４Ｂ）。
【００５８】（２）情報取り出しステップ 利用者端末１は、一時メモリ１０２に蓄積された暗号文
Ｃを利用者秘密情報蓄積手段１０１に蓄積されたシステ
ム秘密鍵ＳＫを秘密鍵として共通鍵暗号手段１０５によ
り情報Ｍ＝ＤSK（Ｃ）に復号して、情報出力／利用手段
１０６から情報Ｍを出力する（Ｓ１１５）。
【００５９】上記の情報配送方法を用いて配送確認ステ
ップが正常に終了したことは、ゼロ知識証明プロトコル
による利用者認証が正常に行われたことのほかに、検査
文ｅi （ｉ＝１，２，…，ｇ）が正しく生成されたこと
の証明となる。また、検査文ｅi （ｉ＝１，２，…，
ｇ）は利用者端末１０が受信した暗号文Ｃより情報圧縮
関数であるハッシュ関数を用いて生成されることから、
正しい暗号文Ｃを受信しなければ正しい検査文ｅi （ｉ
＝１，２，…，ｇ）を生成することはできない。したが
って、検査文ｅi （ｉ＝１，２，…，ｇ）を利用者が正
しく生成できることと、利用者が暗号文Ｃ（および情報
Ｍ）を正常に受信したこととは同値となる。以上の説明
から明らかなように、情報提供者は正確かつ確実に情報
を利用者に配送したことを確認できる。
【００６０】なお、上記の説明において共通鍵暗号方法
を利用して暗号化／復号を行なっているが、公開鍵暗号
方法を利用しても当然構わない。また、Fiat Shamir 法
をもとに説明したが、本方法は拡張Fiat Shamir 法（太
田−岡本「Fiat-Shamir 法の高次への拡張」、電子情報
通信学会技術研究報告ＩＳＥＣ８８−１３）を始めとす
る、素因数分解困難性あるいは離散対数問題等の困難性
に安全性の根拠を置く全てのゼロ知識対話証明プロトコ
ルに応用が可能である。
【００６１】次に、本発明の第３実施例について説明す
る。
【００６２】図７は本発明の第３の実施例における情報
配送システムの構成を示すブロック図であり、１０は情
報提供者２０から情報の提供を受ける利用者の端末（利
用者端末）を示し、構成手段は図５に示す第２実施例と
同様である。２０は情報を提供する情報提供者の端末
（情報提供者端末）を示し、２００から２０６までの構
成手段は第２実施例と同様であり、２０７は情報任意ビ
ット長の複数のブロックに分割し、蓄積する情報分割手
段、２０８は後日情報を利用者に配送した事実を証明す
る証拠としての通信履歴を記録管理する通信履歴ファイ
ルである。３０は第２実施例と同様に通信回線を表す。
４０は後日、情報提供者が通信履歴ファイル２０８に記
録管理している通信履歴について、中立的立場によりそ
の通信履歴の正当性を判定する調停者の端末（調停者端
末）を表し、４０１は必要な演算を行う機能を有する演
算手段、４０２は調停者が必要な情報を一時的に蓄積す
る一時メモリ、４０３は正当性の判定を依頼された通信
履歴についてその正当性を検証する検証手段、４０４は
情報を任意ビット長の複数のブロックに分割し、蓄積す
る情報分割手段である。
【００６３】以下、図８のフローチャートにしたがって
配送確認ステップでの動作手順を、また、図９のフロー
チャートにしたがって調停での動作手順を説明する。
尚、準備段階は、前述した第２実施例と同様である。
【００６４】（１）配送確認ステップ 情報提供者端末２０は、利用者端末１０に配送する情報
Ｍを情報データベース２０２から取り出し（Ｓ１２
１）、情報分割手段２０７において情報Ｍを任意ビット
長サイズの複数のブロックに分割し、情報ブロックＭＢ
j （ｉ＝１，２，…，ｍ）として蓄積する（Ｓ１２
２）。ここでは説明を簡単にするため、分割したブロッ
ク数をｍ、全てのブロックについビット長をｇで一定と
する。
【００６５】これより以下の処理は第ｊブロックについ
てのものであり、第１ブロックから第ｍブロックまで各
ブロックごとに以下の処理を順次（ｍ回）繰り返し行
う。
【００６６】利用者端末１０は、乱数発生手段１０３に
よりｇ個の乱数Ｒij（ｉ＝１，２，…，ｇ）を生成した
後一時メモリ１０２に蓄積し（Ｓ１２３）、それぞれの
乱数について演算手段１０４により初期応答文Ｘij＝Ｒ
ij 2 （mod Ｎ１）（ｉ＝１，２，…，ｇ）を計算した後
一時メモリ１０２に蓄積する（Ｓ１２４）。その後、利
用者秘密情報蓄積手段１０１に蓄積されているシステム
秘密鍵ＳＫを秘密鍵として、共通鍵暗号手段１０５によ
り暗号化した暗号化初期応答文ＣＸij＝ＥSK（Ｘij）
（ｉ＝１，２，…，ｇ）を通信回線３０を介して情報提
供者端末２０に送信する（Ｓ１２５）。
【００６７】情報提供者端末２０は、受信した暗号化初
期応答文ＣＸij（ｉ＝１，２，…，ｇ）を情報提供者秘
密情報蓄積手段２０１に蓄積されているシステム秘密鍵
ＳＫを秘密鍵として、共通鍵暗号手段２０５により初期
応答文Ｘij＝ＤSK（ＣＸij）（ｉ＝１，２，…，ｇ）に
復号して、一時メモリ２０３に蓄積する（Ｓ１２６）。
その後、情報提供者秘密情報蓄積手段２０１に蓄積され
ているシステム秘密鍵ＳＫを秘密鍵として、情報分割手
段２０７に蓄積された情報ブロックＭＢj を共通鍵暗号
手段２０５により暗号化した暗号文ブロックＣＢj ＝Ｅ
SK（ＭＢj ）を通信回線３０を介して利用者端末１０に
送信する（Ｓ１２７）。
【００６８】利用者端末１０は、受信した暗号文ブロッ
クＣＢj を利用者秘密情報蓄積手段１０１に蓄積されて
いるシステム秘密鍵ＳＫを秘密鍵として、共通鍵暗号手
段１０５により情報ブロックＭＢj ＝ＤSK（ＣＢj ）に
復号して、情報出力／利用手段１０６から情報ブロック
ＭＢj を出力する（Ｓ１２８）。
【００６９】さらに情報ブロックＭＢj を出力すると同
時に、演算手段１０４において情報ブロックＭＢj と一
時メモリ１０２に蓄積された初期応答文Ｘij（ｉ＝１，
２，…，ｇ）とを用いて一方向性ランダムハッシュ関数
ｈにより検査文ｅij＝ｈ（ＭＢj ‖Ｘ1j‖Ｘ2j‖…‖Ｘ
gj）（ｉ＝１，２，…，ｇ）を生成し（Ｓ１２９）、生
成した検査文ｅijのそれぞれのビットｉに対し、一時メ
モリ１０２に蓄積された乱数Ｒijと利用者秘密情報蓄積
手段１０１に蓄積された利用者の秘密情報ｓとからｅij
＝０ならばＹji＝Ｒijを、ｅij＝１ならばＹij＝ｓＲij
（mod Ｎ１）を計算して（Ｓ１３０）、応答文Ｙij（ｉ
＝１，２，…，ｇ）として情報提供者端末２０に通信回
線３０を介して送信する（Ｓ１３１）。
【００７０】情報提供者端末２０は、受信した応答文Ｙ
ij（ｉ＝１，２，…，ｇ）を一時メモリ２０３に蓄積し
（Ｓ１３２）、その後、演算手段２０４において一時メ
モリ２０３に蓄積された初期応答文Ｘij（ｉ＝１，２，
…，ｇ）と情報分割手段２０７に蓄積された情報ブロッ
クＭＢj とを用いて、一方向性ランダムハッシュ関数ｈ
により検査文ｅij＝ｈ（ＭＢj ‖Ｘ1j‖Ｘ2j‖…‖
Ｘgj）（ｉ＝１，２，…，ｇ）を生成し、一時メモリ２
０３に蓄積する（Ｓ１３３）。
【００７１】そして、検証手段２０６において利用者の
公開情報Ｉおよび一時メモリ２０３に蓄積された初期応
答文Ｘijと応答文Ｙijと検査文ｅijとからそれぞれのビ
ットｉに対し、ｅij＝０ならば検証式Ｙij 2 ＝Ｘij（mo
d Ｎ１）を、ｅij＝１ならば検証式Ｙij 2 ＝Ｘij×Ｉ
（mod Ｎ１）を満たすかどうかを検証する（Ｓ１３
４）。この検証に失敗した場合には利用者は不正である
と見做して直ちにプロトコルの実行を中止し（Ｓ１３
５）、成功した場合には全てのブロックが終了するまで
以上の処理を繰り返す（Ｓ１３６）。そして、第１ブロ
ックから第ｍブロックまでの全てのブロックについて検
証に成功した場合には、一時メモリ２０３に蓄積された
情報Ｍ、検査文ｅij、応答文Ｙij（ｉ＝１，２，…，
ｇ：ｊ＝１，２，…，ｍ）を通信履歴Ｈとして通信履歴
ファイル２０８に記録管理する（Ｓ１３７）。
【００７２】（２）調停 後日、利用者が情報Ｍを受信していないと主張した場合
には、情報提供者端末２０は通信履歴ファイル２０８に
記録管理された通信履歴Ｈを提示し、調停者端末４０の
一時メモリ４０２に蓄積する（Ｓ１４１）。
【００７３】調停者端末４０は、情報分割手段４０４に
おいて、一時メモリ４０２に蓄積された通信履歴中の情
報Ｍについて、情報Ｍを複数の情報ブロックＭＢj （ｊ
＝１，２，…，ｍ）に分割して蓄積する（Ｓ１４２）。
【００７４】各ブロック（第ｊブロック）について、演
算手段４０１において利用者端末１０の公開情報Ｉと一
時メモリ４０２に蓄積された通信履歴Ｈ中の検査文ｅij
および応答文Ｙijからそれぞれのビットｉに対し、ｅij
＝０ならばＹij＝Ｙij 2 （mod Ｎ１）を、ｅij＝１なら
ばＸij＝Ｙij 2 ／Ｉ（mod Ｎ１）を計算し、計算結果Ｘ
ij（ｉ＝１，２，…，ｇ）を一時メモリ４０２に蓄積す
る（Ｓ１４３）。
【００７５】次に、情報分割手段４０４に蓄積された情
報ブロックＭＢj と一時メモリ４０２に蓄積された計算
結果Ｘij（ｉ＝１，２，…，ｇ）とから演算手段４０１
の一方向性ランダムハッシュ関数ｈにより検査文ｅij＝
ｈ（ＭＢj ‖Ｘ1j‖Ｘ2j‖…‖Ｘgj）（ｉ＝１，２，
…，ｇ）を生成する。（Ｓ１４４）。
【００７６】その後、検証手段４０３において一時メモ
リ４０２に蓄積された通信履歴Ｈ中の検査文ｅij（ｉ＝
１，２，…，ｇ）と一致するかどうかを検査する（Ｓ１
４５）。全てのブロック（第１ブロックから第ｍブロッ
クまでのｍブロック）について一致すれば（Ｓ１４
６）、通信履歴Ｈの正当性が保証されたこととなり（Ｓ
１４７）、そうでなければ通信履歴Ｈは無効となる（Ｓ
１４８）。
【００７７】上記の情報配送方法を用いて配送確認ステ
ップが正常に終了したことは、ゼロ知識証明プロトコル
による利用者認証が正常に行われたことのほかに、検査
文ｅij（ｉ＝１，２，…，ｇ：ｊ＝１，２，…，ｍ）が
正しく生成されたことの証明となる。また、検査文ｅij
（ｉ＝１，２，…，ｇ：ｊ＝１，２，…，ｍ）は利用者
が受信した情報ブロックＭＢj （ｊ＝１，２，…，ｍ）
と利用者が生成した初期応答文Ｘij（ｉ＝１，２，…，
ｇ：ｊ＝１，２，…，ｍ）とから一方向性ランダムハッ
シュ関数ｈを用いて生成されることから、正しい情報ブ
ロックＭＢj （ｊ＝１，２，…，ｍ）を受信しなければ
正しい検査文ｅij（ｉ＝１，２，…，ｇ：ｊ＝１，２，
…，ｍ）を生成することはできない。したがって、検査
文ｅij（ｉ＝１，２，…，ｇ：ｊ＝１，２，…，ｍ）を
利用者が正しく生成できることと利用者が情報ブロック
ＭＢj （ｊ＝１，２，…，ｍ）を正常に受信したことと
は同値となる。したがって、情報提供者は正確かつ確実
に情報を利用者に配送したことを確認できる。
【００７８】なお、上記の説明では、共通鍵暗号方法を
利用して暗号化／復号を行った例を説明したが、公開鍵
暗号方法を利用しても当然構わない。また、Fiat Shami
r 法をもとに説明をしたが、本方法は拡張Fiat Shamir
法（太田−岡本「Fiat-Shamir 法の高次への拡張」、電
子情報通信学会技術研究報告ＩＳＥＣ８８−１３）を始
めとする、素因数分解困難性あるいは離散対数問題等の
困難性に安全性の根拠を置く全てのゼロ知識対話証明プ
ロトコルに対応が可能である。
【００７９】次に、検査文ｅij、応答文Ｙij、（ｉ＝
１，２，…，ｇ：ｊ＝１，２，…，ｍ）、情報Ｍからな
る通信履歴Ｈの関係では、ゼロ知識証明プロトコルにお
ける検証式と一方向性ランダムハッシュ関数とにより相
互に関係し合っているため、一部を不正に改竄するなど
して通信履歴Ｈを偽造することは不可能である。したが
って、通信履歴Ｈを記録管理することにより、情報Ｍを
利用者が確実に受信していることの証拠として、後日、
調停者などの中立的な第三者に提示することができる。
【００８０】さらに、情報提供者端末と利用者端末との
間の通信が情報Ｍの分割ブロック数ｍと同じ回数だけ繰
り返し行われるため、途中で情報提供者の検証に失敗し
た場合にはそれ以降の通信は打ち切られ、残りの情報ブ
ロックは送信されない。すなわち、利用者が知ることの
できる情報ブロックは検証に失敗する以前のもののみに
限られるので、情報提供者の検証を失敗させた利用者は
結果として情報Ｍ全体を正しく受信することが不可能と
なる。したがって、利用者の秘密情報ｓを知らない不正
な利用者が不正な応答文Ｙij（ｉ＝１，２，…，ｇ）を
送信する場合はもとより、応答文そのものを送信しない
ような不正行為を行い、情報提供者が情報Ｍを利用者に
配送した事実を証明する通信履歴Ｈを情報提供者が記録
管理できないにもかかわらず、利用者が情報Ｍ全体を不
正に獲得してしまうことがないようにすることが可能で
ある。
【００８１】また、上記の説明では分割するブロックを
各ブロックともビット長をｇで一定としたが、例えば第
１ブロックは１ビット、第２ブロックは２ビット、第３
ブロックは４ビットというようにブロックごとにビット
長サイズを変えても当然構わない。
【００８２】以上の説明は、情報提供者が情報Ｍを正確
かつ確実に利用者に配送したことを証明できるものであ
り、例えば著作物などの有料情報を情報Ｍとして配送す
る場合、あるいはあらかじめ暗号化されたソフトウェア
などをＣＤ−ＲＯＭ等により無償あるいは有償で配布し
た後、暗号化されたソフトウェアを復号するための鍵を
情報Ｍとして配送する場合、上記の情報配送方法によっ
て情報提供者が利用者に情報Ｍを配送することにより、
情報提供者が記録管理する通信履歴Ｈを著作権使用料等
の情報料あるいはソフトウェアの販売代金を徴収すると
きの証明情報として利用できるなど、様々な利用が可能
である。
【００８３】次に、本発明の第４実施例について説明す
る。
【００８４】図１０は本発明の第４実施例における情報
配送システムの構成を示すブロック図であり、１０は情
報提供者端末２０から情報の提供を受ける利用者の端末
（利用者端末）を示し、１００から１０６までは第２実
施例と同様の構成であり、１０７は公開鍵暗号方法（例
えば、ＲＳＡ，ElGamal ）による暗号通信を行うための
公開鍵暗号手段、１０８は分割されたブロック情報を元
の情報再構成する情報再構成手段、１０９は情報提供者
から受信した情報を蓄積する情報蓄積手段である。２０
は情報を提供する情報提供者の端末（情報提供者端末）
を示し、２００から２０８までは第３実施例と同様の構
成であり、２０９は情報提供者が乱数を生成するための
乱数発生手段、２１０は公開鍵暗号方法による暗号通信
を行うための公開鍵暗号手段である。３０は第２実施例
と同様に通信回線である。４０は調停者端末を表し、４
０１から４０４までは第３実施例と同様の構成であり、
４０５は公開鍵暗号方法による暗号化を行うための公開
鍵暗号手段である。
【００８５】以下、図１１のフローチャートにしたがっ
て配送確認ステップと情報取り出しステップでの動作手
順を、また図１２のフローチャートにしたがって調停で
の動作手順を説明する。
【００８６】まず、準備段階として、信頼できるセンタ
が各利用者ごとにｐ１，ｑ１，Ｉ，ｓ，ｐ２，ｑ２，Ｐ
Ｕ，ＳＵを設定し、このうちＮ１，Ｎ２，Ｉ，ＰＵを利
用者の公開情報（公開鍵）として公開し、ｓ，ＳＵを利
用者の秘密情報（秘密鍵）として利用者秘密情報蓄積手
段１０１に蓄積して利用者に秘密裏に配布する。ここ
で、（ｐ１，ｑ１）と（ｐ２，ｑ２）の各組はそれぞれ
互いに異なる大きな素数の組になっており、Ｎ１＝ｐ１
×ｑ１、Ｎ２＝ｐ２×ｑ２である。また、Ｉ＝ｓ2 （mo
d Ｎ１），ＰＵ×ＳＵ＝１（mod (p2-1)(q2-1)）が成立
している。なお、ｐ１＝ｐ２，ｑ１＝ｑ２としてもよ
い。
【００８７】（１）配送確認ステップ 利用者端末１０は、乱数発生手段１０３によりｇ×ｍ個
の乱数Ｒjk（ｊ＝１，２，…，ｇ：ｋ＝１，２，…，
ｍ）を生成し、一時メモリ１０２に蓄積する（Ｓ１５
１）。それぞれの乱数について演算手段１０４により初
期応答文Ｘjk＝Ｒjk 2 （mod Ｎ１）（ｊ＝１，２，…，
ｇ：ｋ＝１，２，…，ｍ）を計算し（Ｓ１５２）、通信
回線３０を介して情報提供者に送信する（Ｓ１５３）。
【００８８】情報提供者端末２０は、受信した初期応答
文Ｘjk（ｊ＝１，２，…，ｇ：ｋ＝１，２，…，ｍ）を
一時メモリ２０３に蓄積し（Ｓ１５４）、また乱数発生
手段２０９により乱数文Ｚをランダムに生成して一時メ
モリ２０３に蓄積する（Ｓ１５５）。
【００８９】次に、初期応答文Ｘjk（ｊ＝１，２，…，
ｇ：ｋ＝１，２，…，ｍ）と乱数文Ｚとから演算手段２
０４の一方向性ランダムハッシュ関数ｈによりｇビット
サイズの情報暗号化用秘密鍵Ｗj ＝ｈ（Ｚ‖Ｘ11‖Ｘ21
‖…‖Ｘgm）（ｊ＝１，２，…，ｇ）を生成して一時メ
モリ２０３に蓄積する（Ｓ１５６）。ここで、一般にｇ
の値は共通鍵暗号手段１０５および共通鍵暗号手段２０
５で使用する秘密鍵の鍵長と等しいかそれ以上である。
その後、配送する情報Ｍを情報データベース２０２から
取り出し（Ｓ１５７）、情報暗号化用秘密鍵Ｗj （ｊ＝
１，２，…，ｇ）を秘密鍵として共通鍵暗号手段２０５
により暗号文Ｃ＝Ｅw （Ｍ）に暗号化した後、利用者端
末１０に暗号文Ｃを通信回線３０を介して送信する（Ｓ
１５８）。
【００９０】利用者端末１０は、暗号文Ｃを情報蓄積手
段１０９に受信／蓄積した後、受信した旨を通信回線３
０を介して情報提供者端末２０に通知する（Ｓ１５
９）。
【００９１】情報提供者端末２０は、一時メモリ２０３
に蓄積された情報暗号化用秘密鍵Ｗj （ｊ＝１，２，
…，ｇ）を利用者の公開情報ＰＵを用いて公開鍵暗号手
段２１０により暗号化して検査文ｅi ＝（Ｗ1 ‖Ｗ2 ‖
…‖Ｗg ）PU（mod Ｎ２）（ｉ＝１，２，…，Ｌ）を生
成する（Ｓ１６０）。なお、ＬはＮ２のビット長に等し
い。
【００９２】次に、情報分割手段２０７において検査文
ｅi （ｉ＝１，２，…，Ｌ）を複数個のブロックに分割
し、検査文ブロックとして蓄積する（Ｓ１６１）。ここ
では説明を簡単にするため、分割したブロック数をｍ、
全てのブロックについてビット長をｇで一定とし、分割
した検査文を検査文ブロックｅＢjk（ｊ＝１，２，…，
ｇ：ｋ＝１，２，…，ｍ）と表す。すなわち、ｅＢjk＝
ｅ(j+g(k-1))であり、例えばｅＢ11＝ｅ1 ，ｅＢg1＝ｅ
g ，ｅＢ12＝ｅg+1 ，ｅＢLm＝ｅL のようになる。
【００９３】これより以下の処理は第ｋブロックについ
てのものであり、第１ブロックから第ｍブロックまで各
ブロックごとに以下の処理を順次（ｍ回）繰り返し行
う。
【００９４】情報提供者端末２０は、情報分割手段２０
７に蓄積された検査文ブロックｅＢjk（ｊ＝１，２，
…，ｇ）を通信回線３０を介して利用者端末１０に送信
する（Ｓ１６２）。
【００９５】利用者端末１０は、受信した検査文ブロッ
クｅＢjk（ｊ＝１，２，…，ｇ）を一時メモリ１０２に
蓄積し（Ｓ１６３）、その後、演算手段１０４において
受信した検査文ブロックｅＢjkのそれぞれのビットｊに
対し、一時メモリ１０２に蓄積された乱数Ｒjkと利用者
秘密情報蓄積手段１０１に蓄積された利用者の秘密情報
ｓとからｅＢjk＝０ならばＹjk＝Ｒjkを、ｅＢjk＝１な
らばＹjk＝ｓＲjk（mod Ｎ１）を計算して（Ｓ１６
４）、応答文Ｙjk（ｊ＝１，２，…，ｇ）として情報提
供者端末２０に通信回線３０を介して送信する（Ｓ１６
５）。
【００９６】情報提供者端末２０は、受信した応答文Ｙ
jk（ｊ＝１，２，…，ｇ）を一時メモリ２０３に蓄積し
（Ｓ１６６）、その後、検証手段２０６において利用者
の公開情報Ｉおよび一時メモリ２０３に蓄積された初期
応答文Ｘjkと応答文Ｙjkと検査文ｅjkとからそれぞれの
ビットｊに対し、ｅjk＝０ならば検証式Ｙjk 2 ＝Ｘ
jk（mod Ｎ１）を、ｅjk＝１ならば検証式Ｙjk 2 ＝Ｘjk
×Ｉ（mod Ｎ１）を満たすかどうかを検証する（Ｓ１６
７）。この検証に失敗した場合には利用者は不正である
と見做して直ちにプロトコルの実行を中止し（Ｓ１６
８）、成功した場合には全てのブロックが終了するまで
以上の処理を繰り返す（Ｓ１６９）。そして、第１ブロ
ックから第ｍブロックまでの全てのブロックについて検
証に成功した場合には、一時メモリ２０３に蓄積された
乱数文Ｚ、検査文ｅjk、応答文Ｙjk（ｊ＝１，２，…，
ｇ：ｋ＝１，２，…，ｍ）を通信履歴Ｈとして通信履歴
ファイル２０８に記録管理する（Ｓ１７０）。
【００９７】（２）情報取り出しステップ 利用者端末１０は、情報再構成手段１０８において、一
時メモリ１０２に蓄積された検査文ブロックｅＢjk（ｊ
＝１，２，…，ｇ：ｋ＝１，２，…，ｍ）から検査文ｅ
i （ｉ＝１，２，…，Ｌ）を再構成し（Ｓ１７１）、利
用者秘密情報蓄積手段１０１に蓄積されている利用者の
秘密情報ＳＵを用いて公開鍵暗号手段１０７により復号
して情報暗号化用秘密鍵Ｗj ＝（ｅ1 ‖ｅ2 ‖…‖
ｅL ）SU（mod Ｎ２）（ｊ＝１，２，…，ｇ）を獲得し
た後、情報蓄積手段１０９に蓄積する（Ｓ１７２）。
【００９８】最後に、情報蓄積手段１０９に蓄積された
情報暗号化用秘密鍵Ｗj （ｊ＝１，２，…，ｇ）を秘密
鍵として、共通鍵暗号手段１０５により情報蓄積手段１
０９に蓄積された暗号文Ｃを復号し、情報Ｍ＝Ｄ
w （Ｃ）を情報出力／利用手段１０６より獲得すること
ができる（Ｓ１７３）。
【００９９】（３）調停 後日、利用者が情報Ｍを受信していないと主張した場合
には、情報提供者端末２０は通信履歴ファイル２０８に
記録管理された通信履歴Ｈを提示し、調停者端末４０の
一時メモリ４０２に蓄積する（Ｓ１８１）。
【０１００】調停者端末４０は、各ブロック（第ｋブロ
ック）について一時メモリ４０２に蓄積された通信履歴
Ｈ中の検査文ｅjkおよび応答文Ｙjkからそれぞれのビッ
トｊに対し、演算手段４０１においてｅjk＝０ならばＸ
jk＝Ｙjk 2 （mod Ｎ１）を、ｅjk＝１ならばＸjk＝Ｙjk
2 ／Ｉ（mod Ｎ１）を計算し、計算結果Ｘjk（ｊ＝１，
２，…，ｇ）を一時メモリ４０２に蓄積する（Ｓ１８
２）。
【０１０１】次いで、一時メモリ４０２に蓄積された計
算結果Ｘjk（ｊ＝１，２，…，ｇ）と乱数文Ｚとを用い
て演算手段４０１の一方向性ランダムハッシュ関数ｈに
よりｇビットサイズの情報暗号化用秘密鍵Ｗj ＝ｈ（Ｚ
‖Ｘ11‖Ｘ21‖…‖Ｘgm）（ｊ＝１，２，…，ｇ）を生
成し（Ｓ１８３）、利用者の公開情報ＰＵを用いて公開
鍵暗号手段４０５により暗号化して検査文ｅi ＝（Ｗ1
‖Ｗ2 ‖…‖Ｗg ）PU（mod Ｎ２）（ｉ＝１，２，…，
Ｌ）を生成する（Ｓ１８４）。
【０１０２】その後、情報分割手段４０４において検査
文ｅi （ｉ＝１，２，…，Ｌ）を複数個のブロックに分
割して、検査文ブロックｅＢjk（ｊ＝１，２，…，ｇ：
ｋ＝１，２，…，ｍ）生成し（Ｓ１８５）、最後に各ブ
ロック（第ｋブロック）について、検証手段４０３にお
いて一時メモリ４０２に蓄積された通信履歴Ｈ中の検査
文ｅjk（ｊ＝１，２，…，ｇ）と一致するかどうかを検
査する（Ｓ１８６）。全てのブロック（第１ブロックか
ら第ｍブロックまでのｍブロック）について一致すれば
（Ｓ１８７）、通信履歴Ｈの正当性が証明されたことに
なり、利用者が情報Ｍを受信していることが保証された
こととなり（Ｓ１８８）、そうでなければ通信履歴Ｈは
無効とされる（Ｓ１８９）。
【０１０３】上記の情報配送方法を用いれば、情報Ｍ本
体は初めに暗号文Ｃに暗号化されて利用者に送信される
ため、暗号文Ｃを利用者が受信した時点では情報Ｍを獲
得されることはない。そして、ゼロ知識証明プロトコル
が正常に終了した時点で、ゼロ知識証明プロトコルによ
る利用者認証が正常に行われたことのほかに、検査文ｅ
jk（ｊ＝１，２，…，ｇ：ｋ＝１，２，…，ｍ）を利用
者が正しく受信したことの証明となる。
【０１０４】また、検査文ｅjk（ｊ＝１，２，…，ｇ：
ｋ＝１，２，…，ｍ）を利用者が復号することにより情
報暗号化用秘密鍵Ｗj （ｊ＝１，２，…，ｇ）を生成
し、生成した情報暗号化用秘密鍵Ｗj （ｊ＝１，２，
…，ｇ）を用いて暗号文Ｃを復号して情報Ｍを獲得する
ことができる。したがって、検査文ｅjk（ｊ＝１，２，
…，ｇ：ｋ＝１，２，…，ｍ）を利用者が正しく受信し
たことと利用者が情報Ｍを正常に受信したこととは同値
となる。したがって、情報提供者は正確かつ確実に情報
を利用者に配送したことを確認できる。
【０１０５】なお、上記の説明において公開鍵暗号方法
を利用して暗号化／復号を行っているが、共通鍵暗号方
法を利用しても当然構わない。また、Fiat Shamir 法を
もとに説明したが、本方法は拡張Fiat Shamir 法（太田
−岡本「Fiat-Shamir 法の高次への拡張」、電子情報通
信学会技術研究報告ＩＳＥＣ８８−１３）を始めとす
る、素因数分解困難性あるいは離散対数問題等の困難性
に安全性の根拠を置く全てのゼロ知識対話証明プロトコ
ルに応用が可能である。
【０１０６】次に、検査文ｅjk、応答文Ｙjk、（ｊ＝
１，２，…，ｇ：ｋ＝１，２，…，ｍ）、乱数文Ｚから
なる通信履歴Ｈの関係では、ゼロ知識証明プロトコルに
おける検証式と一方向性ランダムハッシュ関数とにより
相互に関係し合っているため、一部を不正に改竄するな
どして通信履歴Ｈを偽造することは不可能である。した
がって、通信履歴Ｈを記録管理することにより、情報暗
号化用秘密鍵Ｗj （ｊ＝１，２，…，ｇ）を利用者が確
実に受信していることの証拠として、後日、調停者など
の中立的な第三者に提示することができる。
【０１０７】さらに、情報提供者と利用者との間の通信
が情報暗号化用秘密鍵Ｗj （ｊ＝１，２，…，ｇ）の分
割ブロック数ｍと同じ回数だけ繰り返し行われるため、
途中で情報提供者の検証に失敗した場合にはそれ以降の
通信は打ち切られ、残りの検査文は送信されない。すな
わち、利用者が知ることのできる検査文は検証に失敗す
る以前のもののみに限られるので、情報提供者の検証を
失敗させた利用者は暗号文Ｃを復号するために必要な情
報の一部しか獲得することができず、結果として正しい
情報暗号化用秘密鍵Ｗj （ｊ＝１，２，…，ｇ）を生成
することが不可能となる。したがって、利用者の秘密情
報ｓを知らない不正な利用者が不正な応答文Ｙjk（ｊ＝
１，２，…，ｇ：ｋ＝１，２，…，ｍ）を送信する場合
はもとより、応答文そのものを送信しないような不正行
為を行い、情報提供者が情報Ｍを利用者に配送した事実
を証明する通信履歴Ｈを情報提供者が記録管理できない
にもかかわらず、利用者が情報Ｍを獲得するのに必要な
検査文ｅjk（ｊ＝１，２，…，ｇ：ｋ＝１，２，…，
ｍ）を受信し、情報Ｍを不正に復号／獲得してしまうこ
とがないようにすることが可能である。また、上記の説
明では分割するブロックを各ブロックともビット長をｇ
で一定としたが、例えば第１ブロックは１ビット、第２
ブロックは２ビット、第３ブロックは４ビットというよ
うにブロックごとにビット長サイズを変えても当然構わ
ない。
【０１０８】以上の説明は、情報提供者が大容量の情報
Ｍを正確かつ確実に利用者に配送したことを証明できる
ものであり、例えば情報Ｍを著作物などの「オンデマン
ドサービス」としての有料情報とした場合、上記の情報
配送方法によって情報提供者が利用者に情報Ｍを配送す
ることにより、情報提供者が記録管理する通信履歴Ｈを
著作権使用料等の情報料を徴収するときの証明情報とし
て利用できるなど、様々な利用が可能である。
【０１０９】以上説明したとおり、本発明の第２〜第４
実施例のゼロ知識証明プロトコルを利用した情報配送方
法では、第一にプロトコルの動作自体は利用者認証とし
てのゼロ知識証明プロトコルと同等であるため、ゼロ知
識証明プロトコルと同様に、不正な利用者が情報提供者
の検証をクリアすることはほぼ不可能である。第二に配
送確認ステップが正常に終了した場合には、ゼロ知識証
明プロトコルが正常に終了したことと同値であるので、
情報提供者は正しい利用者が情報を正しく受信している
と判断できる。
【０１１０】叉、情報を暗号化し暗号文として送信する
ことにより、第三者による情報の盗聴を防止し、かつ第
三者が情報を解読するために有効な情報も得られないよ
うにすることもできる。
【０１１１】叉、本発明の第２実施例によれば、暗号文
の復号処理を配送確認ステップと切り離して実行するこ
とができる。
【０１１２】叉、本発明の第２、第３実施例によれば、
例えばハッシュ関数などを用いて情報（または利用者が
復号可能な暗号文）から検査文を生成することにより検
査文のサイズを小さくすることができ、配送確認ステッ
プにおける通信量及び処理時間を削減できる。
【０１１３】叉、本発明の第３実施例によれば、一方向
性関数を用いて検査文を生成することにより、情報（ま
たは利用者が復号可能な暗号文）、応答文、及び検査文
とからなる通信履歴の偽造を不可能にする。
【０１１４】叉、例えば不正な利用者による利用などに
より配送確認ステップの途中で情報提供者のプロトコル
に失敗した場合には、直ちにプロトコルの実行が中止さ
れ、検証に失敗した以降のブロックは利用者に送信され
ないことになるため、結果として情報（または利用者が
復号可能な暗号文）全てを不正に獲得してしまうことが
ないようにできる。
【０１１５】叉、本発明の第４実施例によれば、大容量
の情報を送信する場合に、第一に情報は情報提供者が生
成した情報暗号化用秘密鍵によって初めに暗号化されて
利用者に配送されるため、利用者の認証が行われる以前
に情報本体を利用者が取り出すことはできない。第二に
情報暗号化用秘密鍵についてのみ検査文として配送確認
を行うことにより、通信量及び配送確認のための処理時
間を大幅に短縮できる。第三に配送確認ステップが正常
に終了すれば利用者は検査文を正しく受信したことが確
認でき、情報取り出しステップにおいて情報暗号化用秘
密鍵を獲得することが保証されるので、この時点で初め
て情報を間違いなく取り出すことができる。したがっ
て、これらの効果により情報配送方法が終了した場合に
は、情報提供者は正規の利用者に対して情報を暗号化し
た状態で提供した後、利用者が暗号化された情報を復号
するために必要な情報を利用者に配送し、かつ確実に利
用者が受信したことが確認できるので、情報提供者は情
報を利用者まで確実に配送したと判断できる。
【０１１６】叉、一方向性関数を用いて情報暗号化用秘
密鍵を生成することにより情報提供者にとって都合の良
い情報暗号化用秘密鍵を不正に生成できないようにする
ことができる。また、同様に一方向性関数を用いること
により、乱数文と検査文と応答文とからなる通信履歴を
偽造することは不可能になるので、情報提供者は正規の
利用者に対して要求された情報を暗号化した状態で提供
した後、利用者が暗号化された情報を復号するために必
要な情報を利用者に配送し、かつ確実に利用者が受信し
たことを後日証明できる証拠能力を持つことができる。
【０１１７】叉、検査文について暗号通信を行うこと
は、情報暗号化用秘密鍵についても暗号通信を行なって
いることと同等の効果が得られるため、第三者による情
報暗号化用秘密鍵の盗聴を防止し、かつ第三者が情報暗
号化用秘密鍵を解読するために有効な情報も得られない
ようにもなる。
【０１１８】叉、検査文の復号処理を配送確認ステップ
と切り離して実行することができる。
【０１１９】叉、例えば不正な利用者による利用などに
より配送確認ステップの途中で情報提供者の検証に失敗
した場合には、ただちにプロトコルの実行が中止され、
検証に失敗した以降のブロックは利用者に送信されない
ことになる。したがって、情報提供者の検証を失敗させ
た利用者は暗号化された情報を復号するために必要な情
報の一部しか獲得することができず、結果として情報本
体もしくは情報暗号化用秘密鍵を生成することが不可能
となるので、不正な利用者が要求した情報を不正に獲得
してしまうことがないようにできる。
【０１２０】叉、本発明の第３、第４実施例によれば、
偽造不可能な通信履歴を実際に情報を配送した証拠とし
て記録管理することができ、かつ必要に応じて提示でき
るようになる。さらに、情報提供者が情報を配送した事
実の証拠として記録管理しなければならない情報量が桜
井（特開平５−１２３２１）の方式と比較して大幅に削
減できる。
【０１２１】叉、情報提供者と利用者の間で情報の提供
の有無について調停を行う必要が生じた場合、情報提供
者が通信履歴を裁判所等の中立な調停機関に提示し、調
停機関が証拠能力を有する通信履歴についてその正当性
を検査することにより、情報提供者と利用者のどちらの
主張が正当であるのかを判定できる。すなわち、情報提
供者が利用者に対して情報（または利用者が復号可能な
暗号文）を送信し、かつ利用者が確実に受信したこと
を、後日調停者が確認できるので、利用者が情報（また
は利用者が復号可能な暗号文）を受信しているにも関わ
らず、利用者が情報を受信していないなどという不当な
主張を防止できる。
【０１２２】叉、これらの実施例によれば、情報提供者
が要求された情報を利用者に確実に配送し、かつ利用者
が確実に受信していることを情報提供者が確認できるシ
ステムとなる。また、必要に応じて情報提供者が利用者
を認証する利用者認証方法としてのゼロ知識証明プロト
コルを単独に使用することもできる。
【０１２３】叉、情報提供者と利用者の間で暗号通信が
できるようにしたシステムとなる。
【０１２４】叉、本発明の第４実施例によれば、情報提
供者から提供された情報を蓄積し、利用者が必要に応じ
て情報を利用できるようにしたシステムとなる。
【０１２５】叉、情報暗号化用秘密鍵の生成機能を有
し、情報暗号化用秘密鍵を用いた情報配送ができように
したシステムとなる。
【０１２６】叉、本発明の第３、第４実施例によれば、
証拠能力を有する通信履歴を必要に応じて提示できるよ
うにしたシステムとなる。
【０１２７】叉、不正な利用者であることを検出した際
には直ちにプロトコルの実行を中止して、不正な利用者
が要求した情報を不正に獲得してしまうことがないよう
にしたシステムとなる。
【０１２８】叉、裁判所等の中立な調停機関により、証
拠能力を有する通信履歴についてその正当性を検査し、
情報提供者と利用者のどちらの主張が正当であるのかを
判定することができるようにしたシステムとなる。
【０１２９】次に本発明の第５実施例について説明す
る。
【０１３０】図１３は本発明の第５実施例における情報
配送システムの構成を示すブロック図であり、１０は情
報提供者に対して情報の配送を必要とする利用者（端
末）を示し、１００は通信回線３０を制御する通信制御
手段、１０１はセンタが作成し利用者の秘密情報を蓄積
しておく利用者秘密情報蓄積手段、１０５は共通鍵暗号
方法（例えば、ＤＥＳ，ＦＥＡＬ）による暗号通信を行
うための共通鍵暗号手段、１０７は公開鍵暗号方法（例
えば、ＲＳＡ）による暗号通信を行うための公開鍵暗号
手段、１０９は情報提供者から配送された情報を蓄積す
る情報蓄積手段、１０２は利用者が必要な情報を一時的
に蓄積する一時メモリ、１０３は利用者が乱数を生成す
るための乱数発生手段、１０４は必要な演算を行う演算
手段、１０６は利用者が要求した情報を出力もしくは利
用する情報出力／利用手段である。
【０１３１】また、２０は情報を提供する情報提供者
（端末）を示し、２００は通信回線３０を制御する通信
制御手段、２０１はセンタが作成した情報提供者の秘密
情報を蓄積しておく情報提供者秘密情報蓄積手段、２０
５は共通鍵暗号方法による暗号通信を行うための共通鍵
暗号手段、２１０は公開鍵暗号方法による暗号通信を行
うための公開鍵暗号手段、２０２は提供する情報が蓄積
してある情報データベース、２０３は情報提供者が必要
な情報を一時的に蓄積する一時メモリ、２０９は情報提
供者が乱数を生成するための乱数発生手段、２０４は必
要な演算を行う演算手段、２０６はFiat Shamir 法に基
づいて通信系列の正当性を検証する検証手段である。３
０は利用者と情報提供者とを通信で接続する通信回線を
表す。
【０１３２】以下、図１４のフローチャートにしたがっ
て情報配送ステップ、配送確認ステップ、情報取り出し
ステップの動作手順を説明する。
【０１３３】まず基準段階として、信頼できるセンタが
各利用者ごとにｐ１，ｑ１，Ｉ，ｓ，ｐ２，ｑ２，Ｐ
Ｕ，ＳＵを設定し、このうちＮ１，Ｎ２，Ｉ，ＰＵを利
用者の公開情報（公開鍵）として公開し、ｓ，ＳＵを利
用者の秘密情報（秘密鍵）として利用者秘密情報蓄積手
段１０１に蓄積して利用者に秘密裏に配布する。ここ
で、（ｐ１，ｑ１）と（ｐ２，ｑ２）の各組はそれぞれ
互いに異なる大きな素数の組になっており、Ｎ１＝ｐ１
×ｑ１，Ｎ２＝ｐ２×ｑ２である。また、Ｉ＝ｓ2（mod
Ｎ１），ＰＵ×ＳＵ＝１（mod(p2-1)(q2-1) ）が成立
している。なお、ｐ１＝ｐ２，ｑ１＝ｑ２としてもよ
い。
【０１３４】さらに、各情報提供者ごとにｐ，ｑ，Ｐ
Ｃ，ＳＣを設定し、このうちＮ，ＰＣを情報提供者の公
開情報（公開鍵）として公開し、ＳＣを情報提供者の秘
密情報（秘密鍵）として情報提供者秘密情報蓄積手段２
０１に蓄積して情報提供者に秘密裏に配布する。ここ
で、ｐ，ｑは互いに異なる大きな素数であり、Ｎ＝ｐｑ
である。また、ＰＣ×ＳＣ＝１（mod(p-1)(q-1) ）が成
立している。
【０１３５】（１）情報配送ステップ 情報提供者は、乱数発生手段２０９によりｇビットサイ
ズの情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を
生成して一時メモリ２０３に蓄積する（Ｓ２０１）。こ
こで、一般にｇの値は共通鍵暗号手段１０５，２０５で
使用する秘密鍵の鍵長と等しいかそれ以上ある。なお、
ここでは情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，
ｇ）について乱数発生手段２０９により生成している
が、実際には関数を使用して生成したり、あるいは特定
の秘密鍵を一意的に使用するなどしても構わない。
【０１３６】次に、利用者に配送する情報Ｍを情報デー
タベース２０２から取り出し（Ｓ２０２）、情報暗号化
用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を秘密鍵として共
通鍵暗号手段２０５により暗号文Ｃ＝Ｅw （Ｍ）に暗号
化した後（Ｓ２０３）、利用者に暗号文Ｃを通信回線３
０（および通信制御手段１００，２００）を介して送信
する（Ｓ２０４）。
【０１３７】利用者は、暗号文Ｃを情報蓄積手段１０９
に受信／蓄積した後、受信した旨を通信回線３０を介し
て情報提供者に通知する（Ｓ２０５）。
【０１３８】（２）配送確認ステップ 利用者は、乱数発生手段１０３によりｇ個の乱数Ｒ
i （ｉ＝１，２，…，ｇ）を生成し、一時メモリ１０２
に蓄積した後（Ｓ２０６）、それぞれの乱数について演
算手段１０４により初期応答文Ｘi ＝Ｒi 2 （mod Ｎ
１）（ｉ＝１，２，…，ｇ）を計算し（Ｓ２０７）、情
報提供者の公開鍵ＰＣを用いて公開鍵暗号手段１０７に
より暗号化初期応答文ＣＸi ＝Ｘi PC（mod Ｎ）（ｉ＝
１，２，…，ｇ）に暗号化して（Ｓ２０８）、通信回線
３０を介して情報提供者に送信する（Ｓ２０９）。
【０１３９】情報提供者は、情報提供者秘密情報蓄積手
段２０１に蓄積された秘密鍵ＳＣを用いて公開鍵暗号手
段２１０により受信した暗号化初期応答文ＣＸi を初期
応答文Ｘi ＝ＣＸi SC（mod Ｎ）（ｉ＝１，２，…，
ｇ）に復号した後、一時メモリ２０３に蓄積する（Ｓ２
１０）。
【０１４０】次に、一時メモリ２０３に蓄積された情報
暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を秘密鍵配
送文Ｖi および検査文ｅi （ｉ＝１，２，…，ｇ）とし
て一時メモリ２０３に蓄積した後（Ｓ２１１）、利用者
の公開鍵ＰＵを用いて公開鍵暗号手段２１０により暗号
化検査文Ｃｅi ＝（ｅ1 ‖ｅ2 ‖…‖ｅg ）PU（modＮ
２）（ｉ＝１，２，…，｜Ｎ２｜）に暗号化して（Ｓ２
１２）、通信回線３０を介して送信する（Ｓ２１３）。
ここで、｜Ｎ２｜はＮ２のビット数を表す。
【０１４１】利用者は、利用者秘密情報蓄積手段１０１
に蓄積された秘密鍵ＳＵを用いて公開鍵暗号手段１０７
により受信した暗号化検査文Ｃｅi （ｉ＝１，２，…，
ｇ）を検査文ｅi ＝（Ｃｅ1 ‖Ｃｅ2 ‖…‖Ｃ
ｅ｜N2｜）SU（mod Ｎ２）（ｉ＝１，２，…，ｇ）に復
号した後、一時メモリ１０２に蓄積する（Ｓ２１４）。
【０１４２】次に、演算手段１０４において検査文ｅi
のそれぞれのビットｉに対し、一時メモリ１０２に蓄積
された乱数Ｒi と利用者秘密情報蓄積手段１０１に蓄積
された利用者の秘密情報ｓとからｅi ＝０ならばＹi ＝
Ｒi を、ｅi ＝１ならばＹi＝ｓＲi （mod Ｎ１）を計
算し（Ｓ２１５）、応答文Ｙi （ｉ＝１，２，…，ｇ）
として情報提供者に通信回線３０を介して送信する（Ｓ
２１６）。
【０１４３】情報提供者は、受信した応答文Ｙi （ｉ＝
１，２，…，ｇ）を一時メモリ２０３に蓄積した（Ｓ２
１７）後、検証手段２０６において利用者の公開情報Ｉ
および一時メモリ２０３に蓄積された初期応答文Ｘi と
応答文Ｙi と検査文ｅi とからそれぞれのビットｉに対
し、ｅi ＝０ならば検証式Ｙi 2 ＝Ｘi （mod Ｎ１）
を、ｅi ＝１ならば検証式Ｙi 2 ＝Ｘi ×Ｉ（mod Ｎ
１）を満たすかどうかを検証する（Ｓ２１８）。この検
証に失敗した場合には利用者は不正であるとみなしてそ
れ以降の利用を禁止し（Ｓ２１９Ａ）、そうでなければ
正常に終了する（Ｓ２１９Ｂ）。
【０１４４】（３）情報取り出しステップ 利用者は、一時メモリ１０２に蓄積された検査文ｅ
i （ｉ＝１，２，…，ｇ）から演算手段１０４において
秘密鍵配送文Ｖi および情報暗号化用秘密鍵Ｗi （ｉ＝
１，２，…，ｇ）を取り出し、情報蓄積手段１０９に蓄
積する（Ｓ２２０）。
【０１４５】最後に、情報蓄積手段１０９に蓄積された
情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を秘密
鍵として、共通鍵暗号手段１０５により情報蓄積手段１
０９に蓄積された暗号文Ｃを復号し（Ｓ２２１）、要求
した情報Ｍ＝Ｄw （Ｃ）を情報出力／利用手段１０６よ
り獲得することができる（Ｓ２２２）。
【０１４６】上記の情報配送方法を用いれば、情報Ｍは
初めに暗号文Ｃに暗号化されて利用者に送信されるた
め、暗号文Ｃを利用者が受信した時点では情報Ｍを獲得
されることはない。そして、ゼロ知識証明プロトコルが
正常に終了した時点で、ゼロ知識証明プロトコルによる
利用者認証が正常に行われたことのほかに、検査文ｅi
（ｉ＝１，２，…，ｇ）を利用者が正常に受信し、適切
な処理を行っていることがわかる。
【０１４７】また、利用者は検査文ｅi （ｉ＝１，２，
…，ｇ）を正しく受信していれば情報暗号化用秘密鍵Ｗ
i （ｉ＝１，２，…，ｇ）を生成し、利用者が要求した
情報の暗号文Ｃを復号して情報Ｍを獲得することができ
るため、検査文ｅi （ｉ＝１，２，…，ｇ）を利用者が
正常に受信したことと利用者が要求した情報を正常に受
信したこととは同値となる。したがって、情報提供者は
要求された情報を正確かつ確実に利用者に配送したこと
を確認できる。
【０１４８】なお、上記の説明において公開鍵暗号方法
を利用して暗号化／復号を行っている部分については、
共通鍵暗号方法を利用しても当然構わない。また、上記
の説明ではFiat Shamir 法をもとに説明したが、本方法
は拡張Fiat Shamir 法（太田−岡本「Fiat-Shamir 法の
高次への拡張」、電子情報通信学会技術研究報告ＩＳＥ
Ｃ８８−１３）を始めとする、素因数分解困難性あるい
は離散対数問題等の困難性に安全性の根拠を置く全ての
ゼロ知識対話証明プロトコルに応用が可能である。
【０１４９】次に、本発明の第６実施例について説明す
る。
【０１５０】図１５は本発明の第６の実施例における情
報配送システムの構成を示すブロック図であり、システ
ム構成は情報提供者（端末）２０の情報提供者秘密情報
蓄積手段２０１が必要ないことを除き、第５実施例の構
成と同様である。
【０１５１】以下、図１６のフローチャートにしたがっ
て情報配送ステップ、配送確認ステップ、情報取り出し
ステップの動作手順を説明する。
【０１５２】まず、準備段階として、信頼できるセンタ
が各利用者ごとにｐ１，ｑ１，Ｉ，ｓ，ｐ２，ｑ２，Ｐ
Ｕ，ＳＵを設定し、このうちＮ１，Ｎ２，Ｉ，ＰＵを利
用者の公開情報（公開鍵）として公開し、ｓ，ＳＵを利
用者の秘密情報（秘密鍵）として利用者秘密情報蓄積手
段１０１に蓄積して利用者に秘密裏に配布する。ここ
で、（ｐ１，ｑ１）と（ｐ２，ｑ２）の各組はそれぞれ
互いに異なる大きな素数の組になっており、Ｎ１＝ｐ１
×ｑ１，Ｎ２＝ｐ２×ｑ２である。また、Ｉ＝ｓ2 （mo
d Ｎ１），ＰＵ×ＳＵ＝１（mod(p2-1)(q2-1) ）が成立
している。なお、ｐ１＝ｐ２，ｑ１＝ｑ２としてもよ
い。
【０１５３】（１）情報配送ステップ 第５実施例と同様である（Ｓ２３１〜２３５）。 （２）配送確認ステップ 利用者は、乱数発生手段１０３により｜Ｎ２｜個の乱数
Ｒi （ｉ＝１，２，…，｜Ｎ２｜）を生成し、一時メモ
リ１０２に蓄積した後（Ｓ２３６）、それぞれの乱数に
ついて演算手段１０４により初期応答文Ｘi ＝Ｒ
i 2 （mod Ｎ１）（ｉ＝１，２，…，｜Ｎ２｜）を計算
し（Ｓ２３７）、通信回線３０を介して情報提供者に送
信する。（Ｓ２３８）。ここで、｜Ｎ２｜はＮ２のビッ
ト数を表す。
【０１５４】情報提供者は、受信した初期応答文Ｘ
i （ｉ＝１，２，…，｜Ｎ２｜）を一時メモリ２０３に
蓄積する（Ｓ２３９）。次に、一時メモリ２０３に蓄積
された情報暗号化用秘密鍵Ｗi を秘密鍵配送文Ｖi （ｉ
＝１，２，…，ｇ）として利用者の公開鍵ＰＵを用いて
公開鍵暗号手段２１０により暗号化し、検査文ｅi ＝
（Ｖ1 ‖Ｖ2 ‖…‖Ｖg ）PU（mod Ｎ２）（ｉ＝１，
２，…，｜Ｎ２｜）を生成した後、一時メモリ２０３に
蓄積する（Ｓ２４０）。その後、検査文ｅi （ｉ＝１，
２，…，｜Ｎ２｜）を通信回線３０を介して送信する
（Ｓ２４１）。
【０１５５】利用者は、受信した検査文ｅi （ｉ＝１，
２，…，｜Ｎ２｜）を一時メモリ１０２に蓄積した（Ｓ
２４２）後、演算手段１０４において検査文ｅi のそれ
ぞれのビットｉに対し、一時メモリ１０２に蓄積された
乱数Ｒi と利用者秘密情報蓄積手段１０１に蓄積された
利用者秘密情報ｓとからｅi ＝０ならばＹi ＝Ｒi を、
ｅi ＝１ならばＹi ＝ｓＲi （mod Ｎ１）を計算し（Ｓ
２４３）、応答文Ｙi（ｉ＝１，２，…，ｇ）として情
報提供者に通信回線３０を介して送信する（Ｓ２４
４）。
【０１５６】情報提供者は、受信した応答文Ｙi （ｉ＝
１，２，…，｜Ｎ２｜）を一時メモリ２０３に蓄積した
（Ｓ２４５）後、検証手段２０６において利用者の公開
情報Ｉおよび一時メモリ２０３に蓄積された初期応答文
Ｘi と応答文Ｙi と検査文ｅi とからそれぞれのビット
ｉに対し、ｅi ＝０ならば検証式Ｙi 2 ＝Ｘi （modＮ
１）を、ｅi ＝１ならば検証式Ｙi 2 ＝Ｘi ×Ｉ（mod
Ｎ１）を満たすかどうかを検証する（Ｓ２４６）。この
検証に失敗した場合には利用者は不正であるとみなして
それ以降の利用を禁止し（Ｓ２４７Ａ）、そうでなけれ
ば正常に終了する（Ｓ２４７Ｂ）。
【０１５７】（３）情報取り出しステップ 利用者は、一時メモリ１０２に蓄積された検査文ｅ
i （ｉ＝１，２，…，｜Ｎ２｜）を利用者秘密情報蓄積
手段１０１に蓄積された秘密鍵ＳＵを用いて公開鍵暗号
手段１０７により秘密鍵配送文Ｖi ＝（ｅ1 ‖ｅ2 ‖…
‖ｅ｜N2｜）SU（mod Ｎ２）（ｉ＝１，２，…，ｇ）に
復号した（Ｓ２４８）後、演算手段１０４において情報
暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を取り出
し、情報蓄積手段１０９に蓄積する（Ｓ２４９）。
【０１５８】最後に、情報蓄積手段１０９に蓄積された
情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を秘密
鍵として、共通鍵暗号手段１０５により情報蓄積手段１
０９に蓄積された暗号文Ｃを復号し（Ｓ２５０）、要求
した情報Ｍ＝Ｄw （Ｃ）を情報出力／利用手段１０６よ
り獲得することができる（Ｓ２５１）。
【０１５９】上記の情報配送方法を用いれば、第５実施
例と全く同等の効果が得られる。また第５実施例と比較
して、一時メモリ等に蓄積しなければならない情報量の
サイズは大きくなるが、処理速度の遅い公開鍵暗号方法
を利用する回数が１回ですむため、処理時間の短縮化が
期待できる。
【０１６０】なお、上記の説明において公開鍵暗号方法
を利用して暗号化／復号を行っている部分については共
通鍵暗号方法を利用しても当然構わない。また、上記の
説明ではFiat Shamir 法をもとに説明したが、本方法は
拡張Fiat Shamir 法（太田−岡本「Fiat-Shamir 法の高
次への拡張」、電子情報通信学会技術研究報告ＩＳＥＣ
８８−１３）を始めとする、素因数分解困難性あるいは
離散対数問題等の困難性に安全性の根拠を置く全てのゼ
ロ知識対話証明プロトコルに応用が可能である。
【０１６１】次に、本発明の第７実施例について説明す
る。
【０１６２】図１７は本発明の第７の実施例における情
報配送システムの構成を示すブロック図であり、１０は
利用者（端末）を示し、公開鍵暗号手段１０７が必要な
いことを除いて１００から１０９までの構成手段は第６
実施例と同様であり、１１０は情報配送要求文を作成す
る入力手段である。２０は情報提供者（端末）を示し、
公開鍵暗号手段２１０が必要ないことを除いて２００か
ら２０６までと２０９の構成手段は第６実施例と同様で
あり、２０８は後日、情報を利用者に配送した事実を証
明する証拠としての通信履歴Ｈを記録管理する通信履歴
ファイルである。３０は利用者と情報提供者とを通信で
接続する通信回線を表す。４０は後日、情報提供者が通
信履歴ファイル２０８に記録管理している通信履歴Ｈに
ついて、中立的立場によりその通信履歴Ｈの正当性を判
定する調停者（端末）を表し、４０２は調停者が必要な
情報を一時的に蓄積する一時メモリ、４０１は必要な演
算を行う演算手段、４０３は正当性の判定を依頼された
通信履歴Ｈについてその正当性を検証する検証手段であ
る。
【０１６３】以下、図１８のフローチャートにしたがっ
て情報配送ステップ、配送確認ステップ、情報取り出し
ステップの動作手順を、また図１９のフローチャートに
したがって調停での動作手順を説明する。
【０１６４】まず、準備段階として、信頼できるセンタ
が各利用者ごとにｐ１，ｑ１，Ｉ，ｓを設定し、このう
ちＮ１とＩを利用者の公開情報として公開し、ｓを利用
者の秘密情報として利用者秘密情報蓄積手段１０１に蓄
積して利用者に秘密裏に配布する。ここで、ｐ１とｑ１
は互いに異なる大きな素数を表し、Ｎ１＝ｐ１×ｑ１で
ある。また、Ｉ＝ｓ2 （mod Ｎ１）が成立している。
【０１６５】（１）情報配送ステップ 利用者は、情報提供者に提供して欲しい情報について入
力手段１１０から情報配送要求文ＲＳを作成し、一時メ
モリ１０２に蓄積した（Ｓ２６１）後、通信回線３０を
介して情報提供者に送信する（Ｓ２６２）。ここで、情
報配送要求文ＲＳは、例えば図２０に示すように要求日
時、利用者識別番号、要求情報名、要求情報コード等か
ら構成される。なお、図２０は情報配送要求文ＲＳの構
成形態を表している。
【０１６６】ここでは情報配送要求文ＲＳを利用者より
情報提供者に送信しているが、実際には要求情報コード
のみを利用者が情報提供者に送信するなどして、情報提
供者と利用者がそれぞれ独自に同じ情報配送要求文ＲＳ
を作成するようにしてもよい。
【０１６７】情報提供者は、乱数発生手段２０９により
乱数文Ｚをランダムに生成し（Ｓ２６３）、情報配送要
求文ＲＳと生成した乱数文Ｚとを一時メモリ２０３に蓄
積した（Ｓ２６４）後、情報配送要求文ＲＳと乱数文Ｚ
とから演算手段２０４中の第一の一方向性ランダムハッ
シュ関数ｆ１によりｇビットサイズの情報暗号化用秘密
鍵Ｗi ＝ｆ１（ＲＳ，Ｚ）（ｉ＝１，２，…，ｇ）を生
成して一時メモリ２０３に蓄積する（Ｓ２６５）。ここ
で、一般にｇの値は共通鍵暗号手段１０５，２０５で使
用する秘密鍵の鍵長と等しいかそれ以上である。次に、
情報配送要求文ＲＳ中の要求情報コードをもとに、その
コードに対応する情報Ｍを情報データベース２０２から
取り出し（Ｓ２６６）、情報暗号化用秘密鍵Ｗi （ｉ＝
１，２，…，ｇ）を秘密鍵として共通鍵暗号手段２０５
により暗号文Ｃ＝Ｅw （Ｍ）に暗号化した（Ｓ２６７）
後、利用者に暗号文Ｃを通信回線３０を介して送信する
（Ｓ２６８）。
【０１６８】利用者は、暗号文Ｃを情報蓄積手段１０９
に受信／蓄積した後、受信した旨を通信回線３０を介し
て情報提供者に通知する（Ｓ２６９）。
【０１６９】（２）配送確認ステップ 利用者は、乱数発生手段１０３によりｇ個の乱数Ｒ
i （ｉ＝１，２，…，ｇ）を生成した後一時メモリ１０
２に蓄積し（Ｓ２７０）、それぞれの乱数について演算
手段１０４により初期応答文Ｘi ＝Ｒi 2 （mod Ｎ１）
（ｉ＝１，２，…，ｇ）を計算した後一時メモリ１０２
に蓄積し（Ｓ２７１）、初期応答文Ｘi （ｉ＝１，２，
…，ｇ）を通信回線３０を介して情報提供者に送信する
（Ｓ２７２）。
【０１７０】情報提供者は、受信した初期応答文Ｘ
i （ｉ＝１，２，…，ｇ）を一時メモリ２０３に蓄積し
た（Ｓ２７３）後、一時メモリ２０３に蓄積された情報
配送要求文ＲＳと初期応答文Ｘi （ｉ＝１，２，…，
ｇ）とから演算手段２０４中の第二の一方向性ランダム
ハッシュ関数ｆ２によりｇビットサイズの鍵暗号化用秘
密鍵Ｋi ＝ｆ２（ＲＳ，（Ｘ1 ‖Ｘ2 ‖…‖Ｘg ））
（ｉ＝１，２，…，ｇ）を生成し、一時メモリ２０３に
蓄積する（Ｓ２７４）。なお、ｆ１とｆ２は同じ関数で
も当然構わない。
【０１７１】次に、一時メモリ２０３に蓄積された情報
暗号化用秘密鍵Ｗi と鍵暗号化用秘密鍵Ｋi （ｉ＝１，
２，…，ｇ）とから演算手段２０４中の第三の関数ｆ３
により秘密鍵配送文Ｖi （ｉ＝１，２，…，ｇ）を生成
し、検査文ｅi （ｉ＝１，２，…，ｇ）として一時メモ
リ２０３に蓄積した（Ｓ２７５）後、利用者に検査文ｅ
i （ｉ＝１，２，…，ｇ）を通信回線３０を介して送信
する（Ｓ２７６）。こ
【外１】 利用者は、受信した検査文ｅi （ｉ＝１，２，…，ｇ）
を一時メモリ１０２に蓄積した（Ｓ２７７）後、演算手
段１０４において検査文ｅi のそれぞれのビットｉに対
し、一時メモリ１０２に蓄積された乱数Ｒi と利用者秘
密情報蓄積手段１０１に蓄積された利用者の秘密情報ｓ
とからｅi ＝０ならばＹi ＝Ｒi を、ｅi ＝１ならばＹ
i ＝ｓＲi （mod Ｎ１）を計算し（Ｓ２７８）、応答文
Ｙi （ｉ＝１，２，…，ｇ）として情報提供者に通信回
線３０を介して送信する（Ｓ２７９）。
【０１７２】情報提供者は、受信した応答文Ｙi （ｉ＝
１，２，…，ｇ）を一時メモリ２０３に蓄積した（Ｓ２
８０）後、検証手段２０６において利用者の公開情報Ｉ
および一時メモリ２０３に蓄積された初期応答文Ｘi と
応答文Ｙi と検査文ｅi とからそれぞれのビットｉに対
し、ｅi ＝０ならば検証式Ｙi 2 ＝Ｘi （mod Ｎ１）
を、ｅi ＝１ならば検証式Ｙi 2 ＝Ｘi ×Ｉ（mod Ｎ
１）を満たすかどうかを検証する（Ｓ２８１）。この検
証に失敗した場合には利用者は不正であるとみなしてそ
れ以降の利用を禁止し（Ｓ２８２）、成功した場合には
図２１に示すように、一時メモリ２０３に蓄積された情
報配送要求文ＲＳ、乱数文Ｚ、検査文ｅi 、応答文Ｙi
（ｉ＝１，２，…，ｇ）を通信履歴Ｈとして通信履歴フ
ァイル２０８に記録管理する（Ｓ２８３）。なお、図２
１は通信履歴Ｈの構成形態を示している。
【０１７３】（３）情報取り出しステップ 利用者は、一時メモリ１０２に蓄積された情報配送要求
文ＲＳと初期応答文Ｘi （ｉ＝１，２，…，ｇ）とから
演算手段１０４中の第二の一方向性ランダムハッシュ関
数ｆ２によりｇビットサイズの鍵暗号化用秘密鍵Ｋi ＝
ｆ２（ＲＳ，（Ｘ1 ‖Ｘ2 ‖…‖Ｘg ））（ｉ＝１，
２，…，ｇ）を生成し、一時メモリ１０２に蓄積する
（Ｓ２８４）。次に、一時メモリ１０２に蓄積された検
査文ｅi （ｉ＝１，２，…，ｇ）から秘密鍵配送文Ｖi
（ｉ＝１，２，…，ｇ）を生成し、生成した秘密鍵配送
文Ｖi と鍵暗号化用秘密鍵Ｋi （ｉ＝１，２，…，ｇ）
とから演算手段１０４中の第三の関数ｆ３の逆関数ｆ
３′により情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，
ｇ）を取り出し、情報蓄積手段１０９に蓄積する（Ｓ２
８
【外２】 す。
【０１７４】最後に、情報蓄積手段１０９に蓄積された
情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を秘密
鍵として共通鍵暗号手段１０５により情報蓄積手段１０
９に蓄積された暗号文Ｃを復号し（Ｓ２８６）、要求し
た情報Ｍ＝Ｄw （Ｃ）を情報出力／利用手段１０６より
獲得することができる（Ｓ２８７）。
【０１７５】（４）調停 後日、利用者が要求した情報を受信していないと主張し
たり、情報配送の要求そのものを否定した場合には、情
報提供者は通信履歴ファイル２０８に記録管理された通
信履歴Ｈを提示し、調停者の一時メモリ４０２に蓄積す
る（Ｓ２９１）。
【０１７６】調停者は、演算手段４０１において利用者
の公開情報Ｉと一時メモリ４０２に蓄積された通信履歴
Ｈ中の検査文ｅi および応答文Ｙi からそれぞれのビッ
トｉに対し、ｅi ＝０ならば、Ｘi ＝Ｙi 2 （mod Ｎ
１）をｅi ＝１ならばＸi ＝Ｙi 2 ／Ｉ（mod Ｎ１）を
計算し、一時メモリ４０２に蓄積する（Ｓ２９２）。
【０１７７】次に、一時メモリ４０２に蓄積された通信
履歴Ｈ中の配送要求文ＲＳと乱数文Ｚとから演算手段４
０１中の第一の一方向性ランダムハッシュ関数ｆ１によ
り情報暗号化用秘密鍵Ｗi ＝ｆ１（ＲＳ，Ｚ）（ｉ＝
１，２，…，ｇ）を（Ｓ２９３）、また情報配送要求文
ＲＳと計算結果Ｘi （ｉ＝１，２，…，ｇ）とから演算
手段４０１中の第二の一方向性ランダムハッシュ関数ｆ
２により鍵暗号化用秘密鍵Ｋi ＝ｆ２（ＲＳ，（Ｘ1 ‖
Ｘ2 ‖…‖Ｘg ））（ｉ＝１，２，…，ｇ）をそれぞれ
生成し、一時メモリ４０２に蓄積する（Ｓ２９４）。そ
して、情報暗号化用秘密鍵Ｗi と鍵暗号化用秘密鍵Ｋi
（ｉ＝１，２，…，ｇ）とから演算手段４０１中の第三
の関数ｆ３により秘密鍵配送文Ｖi （ｉ＝１，２，…，
ｇ）を生成し（Ｓ２９５）、検査文ｅi （ｉ＝１，２，
…，ｇ）として検証手段４０３において一時メモリ４０
２に蓄積された通信履歴Ｈ中の検査文ｅi （ｉ＝１，
２，…，ｇ）と一致するかどうかを検査する（Ｓ２９
６）。一致すれば、通信履歴Ｈの正当性が証明されたこ
とになり（Ｓ２９７）、利用者が情報配送を要求し、か
つ要求した情報を受信していることが保証される。そう
でなければ通信履歴Ｈは無効とされる（Ｓ２９８）。
【０１７８】上記の情報配送方式を用いれば、情報Ｍは
初めに暗号文Ｃに暗号化されて利用者に送信されるた
め、暗号文Ｃを利用者が受信した時点では情報Ｍを獲得
されることはない。そして、ゼロ知識証明プロトコルが
正常に終了した時点で、ゼロ知識証明プロトコルによる
利用者認証が正常に行われたことのほかに、検査文ｅi
（ｉ＝１，２，…，ｇ）を利用者が正常に受信したこと
の証明となる。
【０１７９】また、検査文ｅi （ｉ＝１，２，…，ｇ）
の他は利用者自身が作成した情報配送要求文ＲＳと初期
応答文Ｘi （ｉ＝１，２，…，ｇ）とから情報暗号化用
秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を生成し、利用者が
暗号文Ｃを復号して要求した情報Ｍを獲得することがで
きるため、検査文ｅi （ｉ＝１，２，…，ｇ）を利用者
が正常に受信したことと利用者が要求した情報を正常に
受信したこととは同値となる。したがって、情報提供者
は正確かつ確実に情報を利用者に配送したことを確認で
きる。
【０１８０】また、上記の説明ではFiat Shamir 法をも
とに説明したが、本方法は拡張FiatShamir 法（太田−
岡本「Fiat-Shamir 法の高次への拡張」、電子情報通信
学会技術研究報告ＩＳＥＣ８８−１３）を始めとする、
素因数分解困難性あるいは離散対数問題等の困難性に安
全性の根拠を置く全てのゼロ知識対話証明プロトコルに
応用が可能である。
【０１８１】次に情報要求文ＲＳ、乱数文Ｚ、検査文ｅ
i 、応答文Ｙi （ｉ＝１，２，…，ｇ）からなる通信履
歴Ｈの関係では、ゼロ知識証明プロトコルにおける検証
式と第一および第二の一方向性ランダムハッシュ関数と
により相互に関係し合っているため、一部を不正に改竄
するなどして通信履歴Ｈを偽造することは不可能であ
る。したがって、通信履歴Ｈを記録管理することによ
り、暗号文Ｃを復号して利用者が要求した情報Ｍを獲得
できるための情報暗号化用秘密鍵Ｗi （ｉ＝１，２，
…，ｇ）を利用者が確実に受信していることの証拠とし
て、後日、調停者などの中立的な第三者に提示すること
ができる。
【０１８２】以上の説明は、利用者が情報配送の要求を
情報提供者に行い、情報提供者が要求された情報を正確
かつ確実に利用者に配送したことを証明できるものであ
り、例えば情報Ｍを著作物などの有料情報とした場合、
上記の情報配送方式によって情報提供者が利用者に情報
Ｍを送信することにより、情報提供者が記録管理する通
信履歴Ｈを著作権使用料等の情報料を徴収するときの証
明情報として利用できるなど、様々な利用が可能であ
る。
【０１８３】次に本発明の第８実施例について説明す
る。
【０１８４】図２２は本発明の第８実施例における情報
配送システムの構成を示すブロック図であり、１０は利
用者の端末（端末）を示し、１００から１０７までと１
０９は第５の実施例と同様の構成であり、１１０は情報
配送要求文を作成する入力手段、１０８は分割されたブ
ロック情報を元の情報に再構成する情報再構成手段であ
る。２０は情報提供者（端末）を示し、２００から２０
６までと２０９と２１０は第５実施例と同様の構成であ
り、２０８は後日、情報を利用者に配送した事実を証明
する証拠としての通信履歴Ｈを記録管理する通信履歴フ
ァイル、２０７は情報を任意ビット長の複数のブロック
に分割し、蓄積する情報分割手段である。３０は利用者
と情報提供者とを通信で接続する通信回線を表す。４０
は調停者（端末）を表し、４０１から４０３までは第７
実施例と同様の構成であり、４０４は情報を任意ビット
長の複数のブロックに分割し、蓄積する情報分割手段で
ある。
【０１８５】以下、図２３および図２４のフローチャー
トにしたがって情報配送ステップ、配送確認ステップ、
情報取り出しステップの動作手順を、また図２５のフロ
ーチャートにしたがって調停での動作手順を説明する。
【０１８６】まず、準備段階として、信頼できるセンタ
が各利用者ごとにｐ１，ｑ１，Ｉ，ｓを設定し、このう
ちＮ１とＩを利用者の公開情報として公開し、ｓを利用
者の秘密情報として利用者秘密情報蓄積手段１０１に蓄
積して利用者に秘密裏に配布する。ここで、ｐ１とｑ１
は互いに異なる大きな素数を表し、Ｎ１＝ｐ１×ｑ１で
ある。また、Ｉ＝ｓ2 （mod Ｎ１）が成立している。
【０１８７】さらに、各情報提供者ごとにｐ，ｑ，Ｐ
Ｃ，ＳＣを設定し、このうちＮ，ＰＣを情報提供者の公
開情報（公開鍵）として公開し、ＳＣを情報提供者の秘
密情報（秘密鍵）として情報提供者秘密情報蓄積手段２
０１に蓄積して情報提供者に秘密裏に配布する。ここ
で、ｐ，ｑは互いに異なる大きな素数であり、Ｎ＝ｐｑ
である。また、ＰＣ×ＳＣ＝１（mod(p-1)(q-1））が成
立している。
【０１８８】（１）情報配送ステップ 利用者は、情報提供者に提供して欲しい情報入力につい
て入力手段１１０から情報配送要求文ＲＳを作成し、一
時メモリ１０２に蓄積した（Ｓ３０１）後、情報提供者
の公開鍵ＰＣを用いて公開鍵暗号手段１０７により暗号
化情報配送要求文ＣＲ＝ＲＳPC（mod Ｎ）に暗号化し
（Ｓ３０２）、通信回線３０を介して情報提供者に送信
する（Ｓ３０３）。ここで、情報配送要求文ＲＳは、第
７実施例と同じように、例えば要求日時、利用者識別番
号、要求情報名、要求情報コード等から構成される。
【０１８９】情報提供者は、情報提供者秘密情報蓄積手
段２０１に蓄積された秘密鍵ＳＣを用いて、公開鍵暗号
手段２１０により受信した暗号化情報配送要求文ＣＲを
情報配送要求文ＲＳ＝ＣＲSC（mod Ｎ）に復号した後一
時メモリ２０３に蓄積し（Ｓ３０４）、また乱数発生手
段２０９により乱数文Ｚをランダムに生成した後一時メ
モリ２０３に蓄積する（Ｓ３０５）。
【０１９０】次に、情報配送要求文ＲＳと乱数文Ｚとか
ら演算手段２０４中の第一の一方向性ランダムハッシュ
関数ｆ１によりｇビットサイズの情報暗号化用秘密鍵Ｗ
i ＝ｆ１（ＲＳ，Ｚ）（ｉ＝１，２，…，ｇ）を生成し
て一時メモリ２０３に蓄積する（Ｓ３０６）。ここで、
一般にｇの値は共通鍵暗号手段１０５，２０５で使用す
る秘密鍵の鍵長と等しいかそれ以上である。その後、情
報配送要求文ＲＳ中の要求情報コードをもとに、そのコ
ードに対応する情報Ｍを情報データベース２０２から取
り出し（Ｓ３０７）、情報暗号化用秘密鍵Ｗi （ｉ＝
１，２，…，ｇ）を秘密鍵として共通鍵暗号手段２０５
により暗号文Ｃ＝Ｅw （Ｍ）に暗号化した（Ｓ３０８）
後、利用者に暗号文Ｃを通信回線３０を介して送信する
（Ｓ３０９）。
【０１９１】利用者は、暗号文Ｃを情報蓄積手段１０９
に受信／蓄積した後、受信した旨を通信回線３０を介し
て情報提供者に通知する（Ｓ３１０）。
【０１９２】（２）配送確認ステップ 情報提供者は、情報分割手段２０７において一時メモリ
２０３に蓄積された情報暗号化用秘密鍵Ｗi （ｉ＝１，
２，…，ｇ）を任意ビット長サイズの複数のブロックに
分割し、情報暗号化用ブロック秘密鍵として蓄積する
（Ｓ３１１）。ここでは説明を簡単にするため、分割し
たブロック数をｍ、全てのブロックについてビット長を
Ｌで一定とし、分割した情報暗号化用秘密鍵を情報暗号
化用ブロック秘密鍵ＷＢij（ｉ＝１，２，…，Ｌ：ｊ＝
１，２，…，ｍ）と表す。すなわち、ＷＢij＝Ｗ
(i+L(j-1))であり、例えばＷＢ11＝Ｗ1 、ＷＢL1＝
ＷL 、ＷＢ12＝ＷL+1 、ＷＢLm＝Ｗg のようになる。
【０１９３】これより以下の処理は第ｊブロックについ
てのものであり、配送確認ステップは第１ブロックから
第ｍブロックまで各ブロックごとに以下の処理を順次
（ｍ回）繰り返し行う。
【０１９４】まず利用者は、乱数発生手段１０３により
Ｌ個の乱数Ｒij（ｉ＝１，２，…，Ｌ）を生成した後一
時メモリ１０２に蓄積し（Ｓ３１２）、それぞれについ
て演算手段１０４により初期応答文Ｘij＝Ｒij 2 （mod
Ｎ１）（ｉ＝１，２，…，Ｌ）を計算した後一時メモリ
１０２に蓄積し（Ｓ３１３）、初期応答文Ｘij（ｉ＝
１，２，…，Ｌ）を通信回線３０を介して情報提供者に
送信する（Ｓ３１４）。
【０１９５】情報提供者は、受信した初期応答文Ｘ
ij（ｉ＝１，２，…，Ｌ）を一時メモリ２０３に蓄積し
た（Ｓ３１５）後、一時メモリ２０３に蓄積された情報
配送要求文ＲＳと初期応答文Ｘij（ｉ＝１，２，…，
Ｌ）とから演算手段２０４中の第二の一方向性ランダム
ハッシュ関数ｆ２によりＬビットサイズの鍵暗号化用秘
密鍵Ｋij＝ｆ２（ＲＳ，（Ｘ1j‖Ｘ2j‖…‖ＸLj））
（ｉ＝１，２，…，Ｌ）を生成して一時メモリ２０３に
蓄積する（Ｓ３１６）。なお、ｆ１とｆ２は同じ関数で
も当然構わない。
【０１９６】次に、情報分割手段２０７に蓄積された第
ｊブロック目の情報暗号化用ブロック秘密鍵ＷＢij（ｉ
＝１，２，…，Ｌ）と一時メモリ２０３に蓄積された鍵
暗号化用秘密鍵Ｋij（ｉ＝１，２，…，Ｌ）とから演算
手段２０４中の第三の関数ｆ３により秘密鍵配送文Ｖij
（ｉ＝１，２，…，Ｌ）を生成し、検査文ｅij（ｉ＝
１，２，…，Ｌ）として一時メモリ２０３に蓄積した
（３１７）後、利用者に検査文ｅij（ｉ＝１，２，…，
Ｌ）を通信回線３０を介して送信する（Ｓ３１８）
【外３】 利用者は、受信した検査文ｅij（ｉ＝１，２，…，Ｌ）
を一時メモリ１０２に蓄積した（Ｓ３１９）後、演算手
段１０４において検査文ｅijのそれぞれのビットｉに対
し、一時メモリ１０２に蓄積された乱数Ｒijと利用者秘
密情報蓄積手段１０１に蓄積された利用者の秘密情報ｓ
とから、ｅij＝０ならばＹij＝Ｒijを、ｅij＝１ならば
Ｙij＝ｓＲij（mod Ｎ１）を計算し（Ｓ３２０）、応答
文Ｙij（ｉ＝１，２，…，Ｌ）として情報提供者に通信
回線３０を介して送信する（Ｓ３２１）。
【０１９７】情報提供者は、受信した応答文Ｙij（ｉ＝
１，２，…，Ｌ）を一時メモリ２０３に蓄積した（Ｓ３
２２）後、検証手段２０６において利用者の公開情報Ｉ
および一時メモリ２０３に蓄積された初期応答文Ｘijと
応答文Ｙijと検査文ｅijとからそれぞれのビットｉに対
し、ｅij＝０ならば検証式Ｙij 2 ＝Ｘij（mod Ｎ１）
を、ｅij＝１ならば検証式Ｙij 2 ＝Ｘij×Ｉ（mod Ｎ
１）を満たすかどうかを検証する（Ｓ３２３）。この検
証に失敗した場合には利用者は不正であるとみなして、
ただちにプロトコルの実行を中止し（Ｓ３２４）、成功
した場合にはすべてのブロックが終了するまで以上の処
理を繰り返す（Ｓ３２５）。そして、第１ブロックから
第ｍブロックまでの全てのブロックについて検証に成功
した場合には、一時メモリ２０３に蓄積された情報配送
要求文ＲＳ、乱数文Ｚ、検査文ｅij、応答文Ｙij（ｉ＝
１，２，…，Ｌ：ｉ＝１，２，…，ｍ）を通信履歴Ｈと
して通信履歴ファイル２０８に記録管理する（Ｓ３２
６）。
【０１９８】（３）情報取り出しステップ 利用者は、各ブロックについて一時メモリ１０２に蓄積
された情報配送要求文ＲＳと初期応答文Ｘij（ｉ＝１，
２，…，Ｌ：ｊ＝１，２，…，ｍ））とから演算手段１
０４中の第二の一方向性ランダムハッシュ関数ｆ２によ
りＬビットサイズの鍵暗号化用秘密鍵Ｋij＝ｆ２（Ｒ
Ｓ，（Ｘ1j‖Ｘ2j‖…‖ＸLj））（ｉ＝１，２，…，
Ｌ：ｊ＝１，２，…，ｍ）を生成し、一時メモリ１０２
に蓄積する（Ｓ３２７）。
【０１９９】次に、一時メモリ１０２に蓄積された検査
文ｅij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，…，ｍ）か
ら秘密鍵配送文Ｖij（ｉ＝１，２，…，Ｌ：ｊ＝１，
２，…，ｍ）を生成し、（Ｓ３２８）、生成した秘密鍵
配送文Ｖijと鍵暗号化用秘密鍵Ｋij（ｉ＝１，２，…，
Ｌ：ｊ＝１，２，…，ｍ）とから演算手段１０４中の第
三の関数ｆ３の逆関数ｆ３′により情報暗号化用ブロッ
ク秘密鍵ＷＢij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，
…，ｍ）を取り出し、情報再構成手段１０８に蓄積する
（Ｓ３２９）。ここで、例えば第三の関数ｆ３のＶij＝
ｆ３（Ｗij，Ｋij）
【外４】 排他的論理和を表す。
【０２００】その後に、情報再構成手段１０８により蓄
積された情報暗号化用ブロック秘密鍵ＷＢij（ｉ＝１，
２，…，Ｌ：ｊ＝１，２，…，ｍ）を用いて情報暗号化
用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）に再構成して情報
蓄積手段１０９に蓄積する（Ｓ３３０）。
【０２０１】最後に、情報蓄積手段１０９に蓄積された
情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を秘密
鍵として、共通暗号手段１０５により情報蓄積手段１０
９に蓄積された暗号文Ｃを復号し（Ｓ３３１）、要求し
た情報Ｍ＝Ｄw （Ｃ）を情報出力／利用手段１０６より
獲得することができる（Ｓ３３２） （４）調停 後日、利用者が要求した情報を受信していないと主張し
たり、情報配送の要求そのものを否定した場合には、情
報提供者は通信履歴ファイル２０８に記録管理された通
信履歴Ｈを提示し、調停者の一時メモリ４０２に蓄積す
る（Ｓ３４１）。
【０２０２】調停者は、演算手段４０１において利用者
の公開情報Ｉと一時メモリ４０２に蓄積された通信履歴
Ｈ中の検査文ｅijおよび応答文Ｙijからそれぞれのビッ
トｉに対し、ｅij＝０ならば、Ｘij＝Ｙij 2 （mod Ｎ
１）をｅij＝１ならばＸij＝Ｙij 2 ／Ｉ（mod Ｎ１）を
計算し、一時メモリ４０２に蓄積する（Ｓ３４２）。次
に、一時メモリ４０２に蓄積された通信履歴Ｈ中の情報
配送要求文ＲＳと乱数文Ｚとから演算手段４０１中の第
一の一方向性ランダムハッシュ関数ｆ１により情報暗号
化用秘密鍵Ｗi ＝ｆ１（ＲＳ，Ｚ）（ｉ＝１，２，…，
ｇ）を生成した（Ｓ３４３）後、情報分割手段４０４に
おいて情報暗号化用ブロック秘密鍵ＷＢij（ｉ＝１，
２，…，Ｌ：ｊ＝１，２，…，ｍ）に分割して蓄積する
（Ｓ３４４）。
【０２０３】各ブロック（第ｊブロック）について、一
時メモリ４０２に蓄積された情報配送要求文ＲＳと計算
結果Ｘij（ｉ＝１，２．…，Ｌ）とから演算手段４０１
中の第二の一方向性ランダムハッシュ関数ｆ２により鍵
暗号化用秘密鍵Ｋij＝ｆ２（ＲＳ，（Ｘ1j‖Ｘ2j‖…‖
ＸLj）（ｉ＝１，２，…，Ｌ）を生成して一時メモリ４
０２に蓄積する（Ｓ３４５）。そして、情報分割手段４
０４に蓄積された情報暗号化用ブロック秘密鍵Ｗijと一
時メモリ４０２に蓄積された鍵暗号化用秘密鍵Ｋij（ｉ
＝１，２，…，Ｌ）とから演算手段４０１中の第三の関
数ｆ３により秘密鍵配送文Ｖij（ｉ＝１，２，…，Ｌ）
を生成し（Ｓ３４６）、検査文ｅij（ｉ＝１，２，…，
Ｌ）として検証手段４０３において一時メモリ４０２に
蓄積された通信履歴Ｈ中の検査文ｅij（ｉ＝１，２，
…，Ｌ）と一致するかどうかを検査する（Ｓ３４７）。
全てのブロック（第１ブロックから第ｍブロックまでの
ｍブロック）について一致すれば（Ｓ３４８）、通信履
歴Ｈの正当性が証明されたことになり（Ｓ３４９）、利
用者が情報配送を要求し、かつ要求した情報を受信して
いることが保証される。そうでなければ通信履歴Ｈは無
効とされる（Ｓ３５０）。
【０２０４】上記の情報配送方式を用いれば、第７実施
例と同様の効果が得られるほかに、情報提供者と利用者
の間で情報配送要求文ＲＳについて暗号通信されている
ので、第三者が通信系列を盗聴したとしても、盗聴した
通信系列からは情報配送要求文ＲＳおよび鍵暗号化用秘
密鍵Ｋij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，…，ｍ）
を求めることができない。また、情報暗号化用秘密鍵Ｗ
i （ｉ＝１，２．…，ｇ）は検査文ｅijと鍵暗号化用秘
密鍵Ｋij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，…，ｍ）
とから求められることから、情報暗号化用秘密鍵Ｗ
i （ｉ＝１，２，…，ｇ）を第三者が求めることができ
ないことと同値となるので、第三者が暗号文Ｃを復号
し、不正に情報Ｍを獲得することを防止することが可能
となる。
【０２０５】さらに、情報提供者と利用者との間の通信
が情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）の分
割ブロック数ｍと同じ回数だけ繰り返し行われるため、
途中で情報提供者の検証に失敗した場合にはそれ以降の
通信は打ち切られ、残りの検査文は送信されない。すな
わち、利用者が知ることのできる検査文は検証に失敗す
る以前のもののみに限られるので、情報提供者の検証を
失敗させた利用者は暗号文Ｃを復号するために必要な情
報の一部しか獲得することができず、結果として正しい
情報暗号化用秘密鍵Ｗi （ｉ＝１，２，…，ｇ）を生成
することが不可能となる。
【０２０６】したがって、利用者の秘密情報ｓを知らな
い不正な利用者が不正な応答文Ｙij（ｉ＝１，２，…，
Ｌ：ｊ＝１，２，…，ｍ）を送信する場合はもとより、
応答文そのものを送信しないような不正行為を行い、情
報提供者が要求された情報Ｍを利用者に配送した事実を
証明する通信履歴Ｈを情報提供者が記録管理できないに
もかかわらず、利用者が要求した情報Ｍを獲得するのに
必要な検査文ｅij（（ｉ＝１，２，…，Ｌ：ｊ＝１，
２，…，ｍ）を受信し、情報Ｍを不正に復号／獲得して
しまうことがないようにすることが可能である。
【０２０７】また、上記の説明では分割するブロックを
各ブロックともビット長をＬで一定としたが、例えば第
１ブロックは１ビット、第２ブロックは２ビット、第３
ブロックは４ビットというようにブロックごとにビット
長サイズを変えても当然構わない。
【０２０８】最後に、上記の説明においる暗号通信のう
ち、公開鍵暗号方法による暗号通信については共通鍵暗
号方法による暗号通信を行っても当然構わない。また、
FiatShamir 法をもとに説明をしたが、本方法は拡張Fia
t-Shamir 法（太田−岡本「Fiat-Shamir 法の高次への
拡張」、電子情報通信学会技術研究報告ＩＳＥＣ８８−
１３）を始めとする、素因数分解困難性あるいは離散対
数問題等の困難性に安全性の根拠を置く全てのゼロ知識
対話証明プロトコルに応用が可能である。
【０２０９】以上説明したとおり、本発明の第５〜第８
実施例によれば、ゼロ知識証明プロトコルを利用した情
報配送方法では、第一に情報配送ステップにおいて、利
用者が要求した情報は情報提供者によって暗号化されて
利用者に配送されるため、この時点では要求した情報そ
のものを利用者が取り出すことはできない。第二に配送
確認ステップで行われるプロトコル動作自体は利用者認
証としてのゼロ知識証明プロトコルと同等であるため、
ゼロ知識証明プロトコルと同じように不正な利用者が情
報提供者の検証をクリアすることはほぼ不可能である。
第三に配送確認ステップが正常に終了した場合には、ゼ
ロ知識証明プロトコルが正常に終了したことと同値であ
るから、情報提供者は利用者が検査文を正しく受信し、
適正な処理をしていると判断できる。第四に情報取り出
しステップにおいて、利用者は検査文を正しく受信でき
れば、秘密鍵配送文及び情報暗号化用秘密鍵を作成する
ことができるので、この時点で前記情報暗号化用秘密鍵
により暗号化された情報を復号し、要求した情報を取り
出すことができる。したがって、これらの効果により、
情報配送方法の全てのステップが終了した場合には、情
報提供者は正規の利用者に対して要求された情報を暗号
化した状態で提供した後、利用者が暗号化された情報を
復号するために必要な情報を利用者に配送し、かつ確実
に利用者が受信したことが確認できるので、情報提供者
は利用者が要求した情報を利用者まで確実に配送したと
判断できる。
【０２１０】叉、本発明の第５、第６実施例によれば、
検査文について暗号通信をすることは、情報暗号化用秘
密鍵についても暗号通信をしていることと同等の効果が
得られることになり、第三者が通信路を盗聴したとして
もこれらの秘密鍵が知られることはない。さらに、情報
暗号化用秘密鍵を解読するために有効な情報も得られな
いようにすることもできる。
【０２１１】叉、本発明の第７、第８実施例によれば、
情報提供者にとって都合のよい情報暗号化用秘密鍵を不
正に作成できないようにすることができる。
【０２１２】叉、通信履歴を偽造することは不可能であ
るので、情報提供者は正規の利用者に対して要求された
情報を暗号化した状態で提供した後、利用者が暗号化さ
れた情報を復号するために必要な情報を利用者に配送
し、かつ確実に利用者が受信したことを後日証明できる
証拠能力を持つことができる。
【０２１３】叉、証拠能力を有する通信履歴を必要に応
じて提示できるようになる。また、情報提供者が情報を
配送した事実の証拠として記録管理しなければならない
情報量が桜井（特開平５−１２３２１）の方式と比較し
て大幅に削減できる。
【０２１４】叉、情報提供者と利用者の間で情報の提供
の有無について調停をする必要が生じた場合、裁判所等
の中立な調停機関が証拠能力を有する通信履歴について
その正当性を検査することにより、情報提供者と利用者
のどちらの主張が正当であるのかを判定できる。
【０２１５】叉、本発明の第８実施例によれば、情報配
送要求文を暗号送信することにより、第三者による情報
配送要求文の盗聴を防止し、どんな情報を要求したかな
どの利用者のプライバシーが保護できる。
【０２１６】叉、鍵暗号化用秘密鍵及び情報暗号化用秘
密鍵については、情報提供者と利用者のみの秘密の情報
によりスクランブルされるので、第三者が通信路を盗聴
したとしてもこれらの秘密鍵が知られることはなく、ま
た秘密鍵を解読するために有効な情報も得られない。し
たがって、利用者が要求した情報を第三者が不正に獲得
することはできない。
【０２１７】叉、例えば不正な利用者による利用などに
より配送確認ステップの途中で情報提供者の検証に失敗
した場合には、ただちにプロトコルの実行が中止され、
検証に失敗した以降のブロックは利用者に送信されない
ことになる。したがって、情報提供者の検証を失敗させ
た利用者は暗号化された情報を復号するために必要な情
報の一部しか獲得することができず、結果として鍵暗号
化用秘密鍵もしくは情報暗号化用秘密鍵を生成すること
が不可能となるので、不正な利用者が要求した情報を不
正に獲得してしまうことがないようにできる。
【０２１８】叉、これらの実施例によれば、情報提供者
が要求された情報を利用者に確実に配送し、かつ利用者
が確実に受信していることを情報提供者が確認できるシ
ステムとなる。また、必要に応じて情報提供者が利用者
を認証する利用者認証方法としてのゼロ知識証明プロト
コルを単独に使用することもできる。
【０２１９】叉、情報暗号化秘密鍵を生成するときに乱
数文を利用できるようにしたシステムとなる。
【０２２０】叉、本発明の第５、第８実施例によれば、
情報提供者が秘密に保持すべき情報を蓄積することがで
きる情報提供者秘密情報蓄積手段を有したシステムとな
る。
【０２２１】叉、本発明の第５、第６、第８実施例によ
れば、情報提供者と利用者の間で公開鍵暗号方法による
暗号通信ができるようにしたシステムとなる。
【０２２２】叉、本発明の第７、第８実施例によれば、
情報配送要求文を簡単に作成するための入力手段を利用
者端末に備えたシステムとなる。
【０２２３】叉、鍵暗号化用秘密鍵と秘密鍵配送文との
生成機能を有し、情報暗号化用秘密鍵と鍵暗号用秘密鍵
とを利用した情報配送ができるようにしたシステムとな
る。
【０２２４】叉、証拠能力を有する通信履歴を必要に応
じて提示できるようにしたシステムとなる。
【０２２５】叉、裁判所等の中立な調停機関により、証
拠能力を有する通信履歴についてその正当性を検査し、
情報提供者と利用者のどちらの主張が正当であるのかを
判定することができるようにしたシステムとなる。
【０２２６】叉、本発明の第８実施例によれば、不正な
利用者があることを検出した際には直ちにプロトコルの
実行を中止して、不正な利用者が要求した情報を不正に
獲得してしまうことがないようにしたシステムとなる。
【０２２７】次に本発明の第９実施例について説明す
る。
【０２２８】図２６は本発明の第９実施例における情報
配送システムの構成を示すブロック図であり、１０は情
報の配送を受ける利用者（端末）を示し、１００は通信
回線３０を制御する通信制御手段、１０１は利用者の秘
密情報を蓄積しておく利用者秘密情報蓄積手段、１０５
は共通鍵暗号方法（例えば、ＤＥＳ，ＦＥＡＬ）を利用
する共通鍵暗号手段、１０７は公開鍵暗号方法（例え
ば、ＲＳＡ）を利用する公開鍵暗号手段、１０９は情報
提供者からの配送された情報を蓄積する情報蓄積手段、
１０２は利用者が必要な情報を一時的に蓄積する一時メ
モリ、１０３は利用者が乱数を生成するための乱数発生
手段、１０４は必要な演算を行う演算手段、１０６は情
報を出力もしくは利用する情報出力／利用手段である。
２０は情報を提供する情報提供者（端末）を示し、２０
０は通信回線３０を制御する通信制御手段、２０１は情
報提供者の秘密情報を蓄積しておく情報提供者秘密情報
蓄積手段、２０５は共通鍵暗号方法を利用する共通鍵暗
号手段、２１０は公開鍵暗号方法を利用する公開鍵暗号
手段、２０２は提供する情報が蓄積してある情報データ
ベース、２０３は情報提供者が必要な情報を一時的に蓄
積する一時メモリ、２０４は必要な演算を行う演算手
段、２０６は情報の正当性を検証する検証手段、２０８
は後日情報を利用者に配送した事実を証明する証拠とし
ての通信履歴データＨを記録管理する通信履歴ファイ
ル、２０９は情報提供者が乱数を生成するための乱数発
生手段である。３０は利用者として情報提供者とを通信
で接続する通信回線を表す。４０は後日、情報提供者が
通信履歴ファイル２０８に記録管理している通信履歴デ
ータＨについて、中立的立場によりその通信履歴データ
Ｈの正当性を判定する調停者（端末）を表し、４０２は
調停者が必要な情報を一時的に蓄積する一時メモリ、４
０５は公開鍵暗号方法を利用する公開鍵暗号手段、４０
１は必要な演算を行う演算手段、４０３は正当性の判定
を依頼された通信履歴データＨについてその正当性を検
証する検証手段である。
【０２２９】以下、図２７および図２８のフローチャー
トにしたがって情報配送ステップ、配送確認ステップ、
情報取り出しステップの動作手順を、また図２９のフロ
ーチャートにしたがって調停での動作手順を説明する。
【０２３０】なお、乱数Ｒと初期応答文Ｘと応答文Ｙを
除くアルファベット文字は情報全体を表し、添え字付き
アルファベツト文字はその情報のビット情報を表す。例
えば、情報暗号化用秘密鍵Ｗはｇビット長で構成される
情報暗号化用秘密鍵全体のことを表し、情報暗号化用秘
密鍵Ｗi （ｉ＝１，２，…，ｇ）は情報暗号化用秘密鍵
の第ｉビット目のビット情報を表す。また、乱数Ｒと初
期応答文Ｘと応答文Ｙの添え字は複数個生成される同一
種類の情報の中のひとつの情報を表す。例えば、乱数Ｒ
i （ｉ＝１，２，…，ｇ）はｇ個生成される乱数の中の
第ｉ番目に生成された乱数情報であることを表す。
【０２３１】（０）準備段階 信頼できるセンタが各利用者ごとにｐ１，ｑ１，ＩＤ，
Ｓ，ｐ２，ｑ２，ＰＵ，ＳＵを設定し、このうちＮ１，
Ｎ２，ＩＤ，ＰＵを利用者の公開情報として公開し、
Ｓ，ＳＵを利用者の秘密情報として利用者秘密情報蓄積
手段１０１に蓄積して利用者に秘密裏に配布する。ここ
で、（ｐ１，ｑ１）と（ｐ２，ｑ２）の各組はそれぞれ
互いに異なる大きな素数の組になっており、Ｎ１＝ｐ１
×ｑ１，Ｎ２＝ｐ２×ｑ２である。また、ＩＤ＝Ｓ
2 （mod Ｎ１）、ＰＵ×ＳＵ＝１（mod(p2-1)(q2-1)）
が成立している。なお、ｐ１＝ｐ２，ｑ１＝ｑ２として
もよい。
【０２３２】さらに、各情報提供者ごとにｐ，ｑ，Ｐ
Ｃ，ＳＣを設定し、このうちＮ，ＰＣを情報提供者の公
開鍵として公開し、ＳＣを情報提供者の秘密鍵として情
報提供者秘密情報蓄積手段２０１に蓄積して情報提供者
に秘密裏に配布する。ここで、ｐ，ｑは互いに異なる大
きな素数であり、Ｎ＝ｐｑである。またＰＣ×ＳＣ＝１
（mod (p-1)(q-1)）が成立している。
【０２３３】（１）情報配送ステップ 情報提供者は、乱数発生手段２０９でｇビット長の情報
暗号化用秘密鍵Ｗを任意に生成して一時メモリ２０３に
蓄積する（Ｓ３６１）。ここで、一般にｇの値は共通鍵
暗号手段１０５と２０５で使用する秘密鍵の鍵長と等し
いかそれ以上である。後に、情報Ｍを情報データベース
２０２から取り出し（Ｓ３６２）、情報暗号化用秘密鍵
Ｗを秘密鍵として共通鍵暗号手段２０５により暗号文Ｃ
＝Ｅw （Ｍ）に暗号化した（Ｓ３６３）後、利用者に暗
号文Ｃを通信回線３０を介して送信するる（Ｓ３６
４）。
【０２３４】利用者は、暗号文Ｃを情報蓄積手段１０９
に受信／蓄積した後、受信した旨を通信回線３０を介し
て情報提供者に通知する（Ｓ３６５）。
【０２３５】なお、ここではＳ３６４の暗号文Ｃの送信
について通信回線３０を使用しているが、もちろんＣＤ
−ＲＯＭなどの物理媒体に記録して、通信回線を使用せ
ずに一般に配布するようにしても構わない。その場合に
は、Ｓ３６５の動作は省略されることが多い。
【０２３６】（２）配送確認ステップ 情報提供者は、公開鍵暗号手段２１０により情報暗号化
用秘密鍵Ｗを情報提供者の公開鍵ＰＣで暗号化し（Ｓ３
６６）、暗号化した情報暗号化用秘密鍵ＣＷ＝ＷPC（mo
d Ｎ）を利用者に通信回線３０を介して通信する（Ｓ３
６７）。
【０２３７】利用者は、公開鍵暗号手段１０７により利
用者の秘密情報ＳＵを用いて暗号化された情報暗号化用
秘密鍵ＣＷにディジタル署名を行い（Ｓ３６８）、署名
付き情報暗号化用秘密鍵ＳＷ＝ＣＷSU（mod Ｎ２）を通
信回線３０を介して情報提供者に送信する（Ｓ３６
９）。
【０２３８】情報提供者は、署名付き情報暗号化用秘密
鍵ＳＷを一時メモリ２０３に蓄積した（Ｓ３７０）後、
検証手段２０６において利用者の公開鍵ＰＵを用いて署
名検証式ＣＷ＝ＳＷPU（mod Ｎ２）を満たすうかどうか
を検証する（Ｓ３７１）。この検証に失敗した場合には
利用者は不正であると見做してただちにプロトコルの実
行を中止する（Ｓ３７２）。また検証に成功した場合に
は、演算手段２０４において情報暗号化用秘密鍵Ｗを任
意ビット長の複数のブロックに分割し、情報暗号化用ブ
ロック秘密鍵ＷＢを生成する（Ｓ３７３）。ここでは説
明を簡単にするため、分割したブロック数をｂ、全ての
ブロックについてビット長をＬで一定とし、分割した情
報暗号化用秘密鍵を情報暗号化用ブロック秘密鍵ＷＢij
（ｉ＝１，２，…，Ｌ：ｊ＝１，２，…，ｂ）と表す。
すなわち、ＷＢij＝Ｗ(i+L(j-1))であり、例えばＷＢ11
＝Ｗ1 ，ＷL1＝ＷL ，ＷＢ12＝ＷL+1 ，ＷＢLb＝Ｗg の
ようになる。
【０２３９】利用者は、乱数発生手段１０３によりｇ個
の乱数Ｒij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，…，
ｂ）を生成した後一時メモリ１０２に蓄積し（Ｓ３７
４）、それぞれについて演算手段１０４により初期応答
文Ｘij＝Ｒij 2 （mod Ｎ１）（ｉ＝１，２，…，Ｌ：ｊ
＝１，２，…，ｂ）を計算した後一時メモリ１０２に蓄
積し（Ｓ３７５）、初期応答文Ｘij（ｉ＝１，２，…，
Ｌ：ｊ＝１，２，…，ｂ）を通信回線３０を介して情報
提供者に送信する（Ｓ３７６）。
【０２４０】情報提供者は、初期応答文Ｘij（ｉ＝１，
２，…，Ｌ：ｊ＝１，２，…，ｂ）を一時メモリ２０３
に蓄積した（Ｓ３７７）後、演算手段２０４中の一方向
性ランダムハッシュ関数ｈ（・）によりｇビット長の鍵
暗号化用秘密鍵Ｋij＝ｈ（Ｘ1j‖Ｘ2j‖…‖ＸLj）（ｉ
＝１，２，…，Ｌ：ｊ＝１，２，…，ｂ）を生成し（Ｓ
３７８）、情報暗号化用ブロック秘密鍵ＷＢijと鍵暗号
化用秘密鍵Ｋij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，
…，ｂ）とから演算手段２０４中の関数ｆ（・）により
検査文ｅij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，…，
ｂ）を生成して一時メモリ２０３に蓄積する（Ｓ３７
９）。ここで、関数ｆには例えばｅij＝ｆ（Ｗ
【外５】 これより以下の処理は第ｊブロックについてのものであ
り、配送確認ステップは第１ブロックから第ｂブロック
まで各ブロックごとに以下の処理を順次（ｂ回）繰り返
し行なう。
【０２４１】情報提供者は、利用者に検査文ｅij（ｉ＝
１，２，…，Ｌ）を通信回線３０を介して送信する（Ｓ
３８０）。
【０２４２】利用者は、検査文ｅij（ｉ＝１，２，…，
Ｌ）を一時メモリ１０２に蓄積した（Ｓ３８１）後、演
算手段１０４において検査文ｅijのそれぞれのビットｉ
に対し、乱数Ｒijと利用者の秘密情報Ｓとから、ｅij＝
０ならばＹji＝Ｒijを、ｅij＝１ならばＹij＝Ｓ×Ｒij
（mod Ｎ１）を計算し（Ｓ３８２）、応答文Ｙij（ｉ＝
１，２，…，Ｌ）として情報提供者に通信回線３０を介
して送信する（Ｓ３８３）。
【０２４３】情報提供者は、応答文Ｙij（ｉ＝１，２，
…，Ｌ）を一時メモリ２０３に蓄積した（Ｓ３８４）
後、検証手段２０６において利用者の公開情報ＩＤ、初
期応答文Ｘij、応答文Ｙijおよび検査文ｅijとからそれ
ぞれのビットｉに対し、ｅij＝０ならば検証式Ｙij 2 ＝
Ｘij（mod Ｎ１）を、ｅij＝１ならば検証式Ｙij 2 ＝Ｘ
ij×ＩＤ（mod Ｎ１）を満たすかどうかを検証する（Ｓ
３８５）。この検証に失敗した場合には利用者は不正で
あると見做して直ちにプロトコルの実行を中止し（Ｓ３
８６）、また成功した場合にはＳ３８０に戻り、すべて
のブロックが終了するまで以上の処理を繰り返す（Ｓ３
８７）。そして、第１ブロックから第ｂブロックまでの
全てのブロックについて検証に成功した場合には、情報
暗号化用秘密鍵Ｗ、署名付き情報暗号化用秘密鍵ＳＷ、
検査文ｅij、応答文Ｙij（ｉ＝１，２，…，Ｌ：ｊ＝
１，２，…，ｂ）を通信履歴データＨとして通信履歴フ
ァイル２０８に記録管理する（Ｓ３８８）。
【０２４４】（３）情報取り出しステップ 利用者は、初期応答文Ｘij（ｉ＝１，２，…，Ｌ：ｊ＝
１，２，…，ｂ）から演算手段１０４中の一方向性ラン
ダムハッシュ関数ｈ（・）によりｇビット長の鍵暗号化
用秘密鍵Ｋij＝ｈ（Ｘ1j‖Ｘ2j‖…‖ＸLj）（ｉ＝１，
２，…，Ｌ：ｊ＝１，２，…，ｂ）を生成し（Ｓ３８
９）、検査文ｅijと鍵暗号化用秘密鍵Ｋij（ｉ＝１，
２，…，Ｌ：ｊ＝１，２，…，ｂ）とから演算手段１０
４中の関数ｆ（・）の逆関数ｆ′（・）により情報暗号
化用ブロック秘密鍵ＷＢij（ｉ＝１，２，…，Ｌ：ｊ＝
１，２，…，ｂ）を取り出す（Ｓ３９０）。ここで、例
えば関
【外６】 論理和を表す。その後、演算手段１０４に情報暗号化用
ブロック秘密鍵ＷＢij（ｉ＝１，２，…，Ｌ：ｊ＝１，
２，…，ｂ）を用いて情報暗号化用秘密鍵Ｗi （ｉ＝
１，２，…，ｇ）を生成し、情報蓄積手段１０９に蓄積
する（Ｓ３９１）。最後に、情報暗号化用秘密鍵Ｗを秘
密鍵として共通暗号手段１０５により情報蓄積手段１０
９に蓄積された暗号文Ｃを復号し（Ｓ３９２）、情報Ｍ
＝Ｄw （Ｃ）を情報出力／利用手段１０６より獲得する
ことができる（Ｓ３９３）。
【０２４５】（４）調停 後日、利用者が情報を受信していないと主張した場合に
は、情報提供者は通信履歴ファイル２０８に記録管理さ
れた通信履歴データＨを提示し、調停者の一時メモリ４
０２に蓄積する（Ｓ４０１）。
【０２４６】調停者は、公開暗号手段４０５において情
報暗号化用秘密鍵Ｗを情報提供者の公開鍵ＰＣで暗号化
した情報暗号化用秘密鍵ＣＷ＝ＷPC（mod Ｎ）を生成し
（Ｓ４０２）、検証手段４０３において署名付き情報暗
号化用秘密鍵ＳＷが利用者の公開鍵ＰＵを用いて署名検
証式ＣＷ＝ＳＷPU（mod Ｎ２）を満たすかどうかを検証
する。（Ｓ４０３）。検証が失敗した時は通信履歴デー
タＨは無効とされる（Ｓ４０４）。
【０２４７】署名の検証が成功した場合には、演算手段
４０１において利用者の公開情報ＩＤと通信履歴データ
Ｈ中の検査文ｅijおよび応答文Ｙijからそれぞれのビッ
トｉに対し、ｅij＝０ならば、Ｘij＝Ｙij 2 （mod Ｎ
１）を、ｅij＝１ならばＸij＝Ｙij 2 ／ＩＤ（mod Ｎ
１）を計算して一時メモリ４０２に蓄積し（Ｓ４０
５）、情報暗号化用秘密鍵Ｗから演算手段４０１におい
て情報暗号化用ブロック秘密鍵ＷＢij（ｉ＝１，２，
…，Ｌ：ｊ＝１，２，…，ｂ）を生成する（Ｓ４０
６）。次に、計算結果Ｘij（ｉ＝１，２，…，Ｌ）から
演算手段４０１中の一方向性ランダムハッシュ関数ｈ
（・）によりｇビット長の鍵暗号化用秘密鍵Ｋij＝ｈ
（Ｘ1j‖Ｘ2j‖…‖ＸLj）（ｉ＝１，２，…，Ｌ；ｊ＝
１，２，…，ｂ）を生成し（Ｓ４０７）、情報暗号化用
ブロック秘密鍵ＷＢijと鍵暗号化用秘密鍵Ｋij（ｉ＝
１，２，…，Ｌ：ｊ＝１，２，…，ｂ）とから演算手段
４０１中の関数ｆ（・）により検査文ｅij（ｉ＝１，
２，…，Ｌ：ｊ＝１，２，…，ｂ）を生成して（Ｓ４０
８）、検証手段４０３において一時メモリ４０２に蓄積
された通信履歴データＨ中の検査文ｅij（ｉ＝１，２，
…，Ｌ：ｊ＝１，２，…，ｂ）と全てのビットについて
一致するかどうかを検査する（Ｓ４０９）。全てのビッ
トについて一致すれば、通信履歴データＨの正当性が証
明されたことになり、利用者が情報Ｍを受信しているこ
とが保証される（Ｓ４１０）。そうでなければ通信履歴
データＨは無効とされる（Ｓ４１１）。
【０２４８】上記の情報配送方式を用いれば、情報Ｍは
初めに暗号文Ｃに暗号化されて利用者に送信もしくは物
理媒体により配布されるため、暗号文Ｃを利用者が入手
した時点では情報Ｍを獲得されることはない。そしてプ
ロトコルが正常に終了した時点で、ゼロ知識証明プロト
コルによる利用者認証が正常に行なわれたことのほか
に、検査文ｅを利用者が正常に受信したことが確認でき
る。また、検査文ｅの他は利用者自身が作成した初期応
答文Ｘij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，…，ｂ）
から情報暗号化用秘密鍵Ｗを生成し、利用者が暗号文Ｃ
を復号して情報Ｍを獲得することができるため、検査文
ｅを利用者が正常に受信したことと利用者が情報Ｍを正
常に受信したこととは同値となる。したがって、情報提
供者は正確かつ確実に情報Ｍを利用者に配送したことを
確認できる。
【０２４９】また、情報提供者と利用者との間の通信は
情報暗号化用秘密鍵Ｗの分割ブロック数ｂと同じ回数だ
け繰り返し行なわれるため、途中で情報提供者の検証に
失敗した場合にはそれ以降の通信は打ち切られ、残りの
検査文は送信されない。すなわち、利用者が知ることの
できる検査文は検証に失敗する以前のもののみに限られ
るので、情報提供者の検証を失敗させた利用者は暗号文
Ｃを復号するために必要な情報の一部しか獲得すること
ができず、結果として正しい情報暗号化用秘密鍵Ｗを生
成することが不可能となる。したがって、利用者の秘密
情報Ｓを知らない不正な利用者が不正な応答文を送信す
る場合はもとより、応答文そのものを送信しないような
不正行為を行ない、情報提供者が情報Ｍを利用者に配送
した事実を証明する通信履歴データＨを情報提供者が記
録できないにも関わらず、利用者が情報Ｍを獲得するの
に必要な検査文ｅを全て受信し、情報Ｍを不正に復号／
獲得してしまうことがないようにすることが可能であ
る。なお、上記の説明では分割するブロックを各ブロッ
クともビット長をＬで一定としたが、例えば第１ブロッ
クは１ビット、第ブロックは２ビット、第３ブロックは
４ビットというようにブロックごとにビット長を変えて
も当然構わない。
【０２５０】次に、署名付き情報暗号化用秘密鍵ＳＷは
利用者にしか作成できないため、情報暗号化秘密鍵Ｗも
しくは署名付き情報暗号化用秘密鍵ＳＷを情報提供者が
不正に改変することはできない。また、情報暗号化用秘
密鍵Ｗと、初期応答文Ｘij、検査文ｅij、応答文Ｙ
ij（ｉ＝１，２，…，Ｌ：ｊ＝１，２，…，ｂ）からな
る通信系列との関係では、ゼロ知識証明プロトコルにお
ける検証式と一方向性ランダムハッシュ関数ｈ（・）と
により相互に関係し合っているため、それらの一部を不
正に改竄するなどして通信系列を改変・偽造することは
不可能である。したがって、通信履歴データＨを記録保
管することにより暗号文Ｃを復号して利用者が情報Ｍを
獲得できるための情報暗号化用秘密鍵Ｗを利用者が確実
に受信していることの証拠として後に調停者などの中立
的な第三者に提示することができる。
【０２５１】以上の説明は、情報提供者が情報Ｍを正確
かつ確実に利用者に配送したことを証明できるものであ
り、例えば情報Ｍを著作物などの有料情報とした場合、
上記の情報配送方法によって情報提供者が利用者に情報
Ｍを送信することにより、情報提供者が記録管理する通
信履歴データＨを著作権使用料等の情報料を徴収すると
きの証明情報として利用できるなど、様々な利用が可能
である。
【０２５２】また、上記の説明ではFiat Shamir 法をも
とに説明をしたが、本方法は拡張Fiat Shamir 法（太田
−岡本「Fiat-Shamir 法の高次への拡張」、電子情報通
信学会技術研究報告ＩＳＥＣ８８−１３）を始めとす
る、素因数分解困難性あるいは離散対数問題等の困難性
に安全性の根拠を置く全てのゼロ知識対話証明プロトコ
ルに応用が可能である。
【０２５３】以上説明したとおり、本発明の第９実施例
によれば、ゼロ知識証明プロトコルを利用した情報配送
方法では、第一に情報配送ステップにおいて、利用者が
要求した情報は情報提供者によって暗号化されて利用者
に配送されるため、この時点では要求した情報そのもの
を利用者が取り出すことはできない。第二に配送確認ス
テップで行われるプロトコル動作自体は利用者認証とし
てのゼロ知識証明プロトコルと同等であるため、ゼロ知
識証明プロトコルと同じように不正な利用者が情報提供
者の検証をクリアすることはほぼ不可能である。第三に
配送確認ステップが正常に終了した場合には、ゼロ知識
証明プロトコルが正常に終了したことと同値であるか
ら、情報提供者は利用者が検査文を正しく受信し、適正
な処理をしていると判断できる。第四に情報取り出しス
テップにおいて、利用者は検査文を正しく受信できれば
情報暗号化用秘密鍵を作成することができるので、この
時点で前記情報暗号化用秘密鍵により暗号化された情報
を復号し、要求した情報を取り出すことができる。した
がって、これらの効果により、情報配送方法の全てのス
テップが終了した場合には、情報提供者は正規の利用者
に対して要求された情報を暗号化した状態で提供した
後、利用者が暗号化された情報を復号するために必要な
情報を利用者に配送し、かつ確実に利用者が受信したこ
とが確認できるので、情報提供者は利用者が要求した情
報を利用者まで確実に配送したと判断できる。
【０２５４】叉、情報提供者が自分に都合のよい情報暗
号化用秘密鍵に不正に改竄できないようにすることがで
きる。さらに、暗号化された情報暗号化用秘密鍵は情報
提供者以外は復号することができないので、署名を行う
時点では利用者に情報暗号化用秘密鍵を知られることは
ない。
【０２５５】叉、通信履歴を偽造することは不可能であ
るので、情報提供者は正規の利用者に対して要求された
情報を暗号化した状態で提供した後、利用者が暗号化さ
れた情報を復号するために必要な情報を利用者に配送
し、かつ確実に利用者が受信したことを後日証明できる
証拠能力を持つことができる。
【０２５６】叉、証拠能力を有する通信履歴を必要に応
じて提示できるようになる。また、情報提供者が情報を
配送した事実の証拠として記録管理しなければならない
情報量が桜井（特開平５−１２３２１）の方式と比較し
て大幅に削減できる。
【０２５７】叉、情報提供者と利用者の間で情報の提供
の有無について調停をする必要が生じた場合、裁判所等
の中立な調停機関が証拠能力を有する通信履歴について
その正当性を検査することにより、情報提供者と利用者
のどちらの主張が正当であるのかを判定できる。
【０２５８】叉、例えば不正な利用者による利用などに
より配送確認ステップの途中で情報提供者の検証に失敗
した場合には、ただちにプロトコルの実行が中止され、
検証に失敗した以降のブロックは利用者に送信されない
ことになる。したがって、情報提供者の検証を失敗させ
た利用者は暗号化された情報を復号するために必要な情
報の一部しか獲得することができず、結果として情報暗
号化用秘密鍵を生成することが不可能となるので、不正
な利用者が要求した情報を不正に獲得してしまうことが
ないようにできる。
【０２５９】叉、この実施例によれば、情報提供者が要
求された情報を利用者に確実に配送し、かつ利用者が確
実に受信していることを情報提供者が確認できるシステ
ムとなる。また、必要に応じて情報提供者が利用者を認
証する利用者認証方法としてのゼロ知識証明プロトコル
を単独に使用することもできる。
【０２６０】叉、情報暗号化秘密鍵を生成するときに乱
数文を利用できるようにしたシステムとなる。
【０２６１】叉、情報提供者が秘密に保持すべき情報を
蓄積することができる情報提供者秘密情報蓄積手段を有
したシステムとなる。
【０２６２】叉、情報提供者と利用者の間で公開鍵暗号
方法による暗号通信ができるようにしたシステムとな
る。
【０２６３】叉、鍵暗号化用秘密鍵と生成機能を有し、
情報暗号化用秘密鍵と鍵暗号用秘密鍵とを利用した情報
配送ができるようにしたシステムとなる。
【０２６４】叉、証拠能力を有する通信履歴を必要に応
じて提示できるようにしたシステムとなる。
【０２６５】叉、裁判所等の中立な調停機関により、証
拠能力を有する通信履歴についてその正当性を検査し、
情報提供者と利用者のどちらの主張が正当であるのかを
判定することができるようにしたシステムとなる。
【０２６６】叉、不正な利用者があることを検出した際
には直ちにプロトコルの実行を中止して、不正な利用者
が要求した情報を不正に獲得してしまうことがないよう
にしたシステムとなる。
【０２６７】尚、本発明は上述した各実施例に限定され
るものではなく、その要旨を逸脱しない範囲で、種々変
形して実施することができる。
【０２６８】
【発明の効果】以上説明したとおり、上記第１実施例で
は、第一に情報提供者による利用者の認証方法としてゼ
ロ知識証明プロトコルを利用しているため、ゼロ知識証
明プロトコルの目的や従来からの利用方法からいって
も、利用者が正当なカードを利用していなければ情報提
供者の検証をクリアし続けることはほとんど不可能であ
り、認証段階でほぼ完全に拒絶される。
【０２６９】第二に情報提供者から配送情報を利用者へ
配送する部分では、配送情報をゼロ知識証明プロトコル
の検査文に含めて配送を行なっているため、ゼロ知識証
明プロトコルが正常に終了すれば、カード上において間
違いなく検査文、すなわち配送情報を受信・記録し、適
正な処理をしていたことになる。また、途中で情報提供
者の検証に失敗した場合にはそれ以降の認証は打ち切ら
れ、残りの検査文は配送されないため、利用者が知るこ
とのできる配送情報は検証に失敗する以前のものに限ら
れる。
【０２７０】第三に通信履歴（前記Ｘi 、前記Ｙi 、前
記検査文ｅji）を記録管理することにより情報提供者と
利用者との間で正常な認証が行なわれたことを情報提供
者は確認できるので、第二の効果と合わせて利用者は配
送情報を受信し、かつカードの蓄積手段１４に配送情報
が記録されているはずである。このことは、情報提供者
から開示される通信履歴と利用者から提出されるカード
に記録された配送情報とを照合することによって、利用
者が情報暗号化用秘密鍵Ｗを生成できる状態であるかど
うかを判定できる。なお、この場合、利用者からカード
の提出がない場合には、情報暗号化用秘密鍵Ｗは生成で
きる状態にあると判定する。
【０２７１】したがって、不正な利用者がシステムを利
用したり、あるいは配送情報のすべてを不正に搾取した
りすることはできない。また、正常に認証が終了してい
るにも関わらず利用者が配送情報を受信していないなど
という不当な主張に対して、情報提供者は通信履歴を開
示するとともに、利用者にカードを提出するよう要求す
ることにより対抗できる。
【０２７２】また、上記第１実施例において、配送情報
すべてを分割して検査文ｅjiを生成する必要性はなく、
例えば、配送情報の始めからｇｎビット目までを検査文
ｅji（ｊ＝１，…，ｎ）とし、ｎ組の検査文ｅjiによる
ゼロ知識証明プロトコルが終了した後、配送情報の残り
の部分を一括して送信するような情報の配送方法とすれ
ば、ｎの値を様々に変えることにより、ゼロ知識証明に
おけるセキュリティレベルを変えられるうえ、通信量を
削減できる。例えばｎをＬw ／ｇの半分とすれば、通信
量もほぼ半分となる。
【０２７３】また、検査文ｅjiの生成方法についても、
単純に配送情報を分割して生成するだけでなく、ダミー
情報を付加したり、あるいは暗号化を行ったりして生成
することも可能である。この場合、カード内にあらかじ
め設定されている秘密情報、もしくは蓄積された検査文
ｅjiから自律的にダミー情報を除去、あるいは復号を行
ったりして元の配送情報に復元する機能を持たせること
により、ゼロ知識証明を正常に終了しないかぎり、前記
配送情報を取り出せないようにできる。したがって、第
三者もしくは利用者が検査文ｅjiを不正に搾取したり、
大部分の検査文ｅjiを受信した後、故意に認証を失敗さ
せ、検査文ｅjiのうち配送されてこない残りの部分を予
測したりする等の不正行為を行ない、情報提供者が配送
に失敗したと判断あるいは気がつかないうちに、第三者
もしくは利用者が配送情報を獲得してしまうことがない
ようにできる。
【０２７４】また、上記第１実施例による情報配送方法
およびシステムでは、ゼロ知識証明プロトコルに必要な
情報はすべて耐タンパー装置上に組み込まれており、実
際の情報配送においても耐タンパー装置上に組み込まれ
た手段のみを用いて実行されるため、前記情報が外部に
漏れることはなく、たとえカード所有者であっても前記
情報を知ることができない。したがって、カード自体を
偽造したり、あるいはカード上の記録情報を書き変えた
りする等の不正行為を防止できる。
【０２７５】一方、上記第２〜第４実施例のゼロ知識証
明プロトコルを利用した情報配送方法では、第一にプロ
トコルの動作自体は利用者認証としてのゼロ知識証明プ
ロトコルと同等であるため、ゼロ知識証明プロトコルと
同様に、不正な利用者が情報提供者の検証をクリアする
ことはほぼ不可能である。第二に配送確認ステップが正
常に終了した場合には、ゼロ知識証明プロトコルが正常
に終了したことと同値であるので、情報提供者は正しい
利用者が情報を正しく受信していると判断できる。
【０２７６】叉、情報を暗号化し暗号文として送信する
ことにより、第三者による情報の盗聴を防止し、かつ第
三者が情報を解読するために有効な情報も得られないよ
うにすることもできる。
【０２７７】叉、上記第２実施例によれば、暗号文の復
号処理を配送確認ステップと切り離して実行することが
できる。
【０２７８】叉、上記第２、第３実施例によれば、例え
ばハッシュ関数などを用いて情報（または利用者が復号
可能な暗号文）から検査文を生成することにより検査文
のサイズを小さくすることができ、配送確認ステップに
おける通信量及び処理時間を削減できる。
【０２７９】叉、上記第３実施例によれば、一方向性関
数を用いて検査文を生成することにより、情報（または
利用者が復号可能な暗号文）、応答文、及び検査文とか
らなる通信履歴の偽造を不可能にする。
【０２８０】叉、例えば不正な利用者による利用などに
より配送確認ステップの途中で情報提供者のプロトコル
に失敗した場合には、直ちにプロトコルの実行が中止さ
れ、検証に失敗した以降のブロックは利用者に送信され
ないことになるため、結果として情報（または利用者が
復号可能な暗号文）全てを不正に獲得してしまうことが
ないようにできる。
【０２８１】叉、上記第４実施例によれば、大容量の情
報を送信する場合に、第一に情報は情報提供者が生成し
た情報暗号化用秘密鍵によって初めに暗号化されて利用
者に配送されるため、利用者の認証が行われる以前に情
報本体を利用者が取り出すことはできない。第二に情報
暗号化用秘密鍵についてのみ検査文として配送確認を行
うことにより、通信量及び配送確認のための処理時間を
大幅に短縮できる。第三に配送確認ステップが正常に終
了すれば利用者は検査文を正しく受信したことが確認で
き、情報取り出しステップにおいて情報暗号化用秘密鍵
を獲得することが保証されるので、この時点で初めて情
報を間違いなく取り出すことができる。したがって、こ
れらの効果により情報配送方法が終了した場合には、情
報提供者は正規の利用者に対して情報を暗号化した状態
で提供した後、利用者が暗号化された情報を復号するた
めに必要な情報を利用者に配送し、かつ確実に利用者が
受信したことが確認できるので、情報提供者は情報を利
用者まで確実に配送したと判断できる。
【０２８２】叉、一方向性関数を用いて情報暗号化用秘
密鍵を生成することにより情報提供者にとって都合の良
い情報暗号化用秘密鍵を不正に生成できないようにする
ことができる。また、同様に一方向性関数を用いること
により、乱数文と検査文と応答文とからなる通信履歴を
偽造することは不可能になるので、情報提供者は正規の
利用者に対して要求された情報を暗号化した状態で提供
した後、利用者が暗号化された情報を復号するために必
要な情報を利用者に配送し、かつ確実に利用者が受信し
たことを後日証明できる証拠能力を持つことができる。
【０２８３】叉、検査文について暗号通信を行うこと
は、情報暗号化用秘密鍵についても暗号通信を行なって
いることと同等の効果が得られるため、第三者による情
報暗号化用秘密鍵の盗聴を防止し、かつ第三者が情報暗
号化用秘密鍵を解読するために有効な情報も得られない
ようにもなる。
【０２８４】叉、検査文の復号処理を配送確認ステップ
と切り離して実行することができる。
【０２８５】叉、例えば不正な利用者による利用などに
より配送確認ステップの途中で情報提供者の検証に失敗
した場合には、ただちにプロトコルの実行が中止され、
検証に失敗した以降のブロックは利用者に送信されない
ことになる。したがって、情報提供者の検証を失敗させ
た利用者は暗号化された情報を復号するために必要な情
報の一部しか獲得することができず、結果として情報本
体もしくは情報暗号化用秘密鍵を生成することが不可能
となるので、不正な利用者が要求した情報を不正に獲得
してしまうことがないようにできる。
【０２８６】叉、上記第３、第４実施例によれば、偽造
不可能な通信履歴を実際に情報を配送した証拠として記
録管理することができ、かつ必要に応じて提示できるよ
うになる。さらに、情報提供者が情報を配送した事実の
証拠として記録管理しなければならない情報量が桜井
（特開平５−１２３２１）の方式と比較して大幅に削減
できる。
【０２８７】叉、情報提供者と利用者の間で情報の提供
の有無について調停を行う必要が生じた場合、情報提供
者が通信履歴を裁判所等の中立な調停機関に提示し、調
停機関が証拠能力を有する通信履歴についてその正当性
を検査することにより、情報提供者と利用者のどちらの
主張が正当であるのかを判定できる。すなわち、情報提
供者が利用者に対して情報（または利用者が復号可能な
暗号文）を送信し、かつ利用者が確実に受信したこと
を、後日調停者が確認できるので、利用者が情報（また
は利用者が復号可能な暗号文）を受信しているにも関わ
らず、利用者が情報を受信していないなどという不当な
主張を防止できる。
【０２８８】叉、上記第２〜第４実施例によれば、情報
提供者が要求された情報を利用者に確実に配送し、かつ
利用者が確実に受信していることを情報提供者が確認で
きるシステムとなる。また、必要に応じて情報提供者が
利用者を認証する利用者認証方法としてのゼロ知識証明
プロトコルを単独に使用することもできる。
【０２８９】叉、情報提供者と利用者の間で暗号通信が
できるようにしたシステムとなる。
【０２９０】叉、上記第４実施例によれば、情報提供者
から提供された情報を蓄積し、利用者が必要に応じて情
報を利用できるようにしたシステムとなる。
【０２９１】叉、情報暗号化用秘密鍵の生成機能を有
し、情報暗号化用秘密鍵を用いた情報配送ができように
したシステムとなる。
【０２９２】叉、上記第３、第４実施例によれば、証拠
能力を有する通信履歴を必要に応じて提示できるように
したシステムとなる。
【０２９３】叉、不正な利用者であることを検出した際
には直ちにプロトコルの実行を中止して、不正な利用者
が要求した情報を不正に獲得してしまうことがないよう
にしたシステムとなる。
【０２９４】叉、裁判所等の中立な調停機関により、証
拠能力を有する通信履歴についてその正当性を検査し、
情報提供者と利用者のどちらの主張が正当であるのかを
判定することができるようにしたシステムとなる。
【０２９５】一方、上記第５〜第８実施例によれば、ゼ
ロ知識証明プロトコルを利用した情報配送方法では、第
一に情報配送ステップにおいて、利用者が要求した情報
は情報提供者によって暗号化されて利用者に配送される
ため、この時点では要求した情報そのものを利用者が取
り出すことはできない。第二に配送確認ステップで行わ
れるプロトコル動作自体は利用者認証としてのゼロ知識
証明プロトコルと同等であるため、ゼロ知識証明プロト
コルと同じように不正な利用者が情報提供者の検証をク
リアすることはほぼ不可能である。第三に配送確認ステ
ップが正常に終了した場合には、ゼロ知識証明プロトコ
ルが正常に終了したことと同値であるから、情報提供者
は利用者が検査文を正しく受信し、適正な処理をしてい
ると判断できる。第四に情報取り出しステップにおい
て、利用者は検査文を正しく受信できれば、秘密鍵配送
文及び情報暗号化用秘密鍵を作成することができるの
で、この時点で前記情報暗号化用秘密鍵により暗号化さ
れた情報を復号し、要求した情報を取り出すことができ
る。したがって、これらの効果により、情報配送方法の
全てのステップが終了した場合には、情報提供者は正規
の利用者に対して要求された情報を暗号化した状態で提
供した後、利用者が暗号化された情報を復号するために
必要な情報を利用者に配送し、かつ確実に利用者が受信
したことが確認できるので、情報提供者は利用者が要求
した情報を利用者まで確実に配送したと判断できる。
【０２９６】叉、上記第５、第６実施例によれば、検査
文について暗号通信をすることは、情報暗号化用秘密鍵
についても暗号通信をしていることと同等の効果が得ら
れることになり、第三者が通信路を盗聴したとしてもこ
れらの秘密鍵が知られることはない。さらに、情報暗号
化用秘密鍵を解読するために有効な情報も得られないよ
うにすることもできる。
【０２９７】叉、上記第７、第８実施例によれば、情報
提供者にとって都合のよい情報暗号化用秘密鍵を不正に
作成できないようにすることができる。
【０２９８】叉、通信履歴を偽造することは不可能であ
るので、情報提供者は正規の利用者に対して要求された
情報を暗号化した状態で提供した後、利用者が暗号化さ
れた情報を復号するために必要な情報を利用者に配送
し、かつ確実に利用者が受信したことを後日証明できる
証拠能力を持つことができる。
【０２９９】叉、証拠能力を有する通信履歴を必要に応
じて提示できるようになる。また、情報提供者が情報を
配送した事実の証拠として記録管理しなければならない
情報量が桜井（特開平５−１２３２１）の方式と比較し
て大幅に削減できる。
【０３００】叉、情報提供者と利用者の間で情報の提供
の有無について調停をする必要が生じた場合、裁判所等
の中立な調停機関が証拠能力を有する通信履歴について
その正当性を検査することにより、情報提供者と利用者
のどちらの主張が正当であるのかを判定できる。
【０３０１】叉、上記第８実施例によれば、情報配送要
求文を暗号送信することにより、第三者による情報配送
要求文の盗聴を防止し、どんな情報を要求したかなどの
利用者のプライバシーが保護できる。
【０３０２】叉、鍵暗号化用秘密鍵及び情報暗号化用秘
密鍵については、情報提供者と利用者のみの秘密の情報
によりスクランブルされるので、第三者が通信路を盗聴
したとしてもこれらの秘密鍵が知られることはなく、ま
た秘密鍵を解読するために有効な情報も得られない。し
たがって、利用者が要求した情報を第三者が不正に獲得
することはできない。
【０３０３】叉、例えば不正な利用者による利用などに
より配送確認ステップの途中で情報提供者の検証に失敗
した場合には、ただちにプロトコルの実行が中止され、
検証に失敗した以降のブロックは利用者に送信されない
ことになる。したがって、情報提供者の検証を失敗させ
た利用者は暗号化された情報を復号するために必要な情
報の一部しか獲得することができず、結果として鍵暗号
化用秘密鍵もしくは情報暗号化用秘密鍵を生成すること
が不可能となるので、不正な利用者が要求した情報を不
正に獲得してしまうことがないようにできる。
【０３０４】叉、上記第５〜第８実施例によれば、情報
提供者が要求された情報を利用者に確実に配送し、かつ
利用者が確実に受信していることを情報提供者が確認で
きるシステムとなる。また、必要に応じて情報提供者が
利用者を認証する利用者認証方法としてのゼロ知識証明
プロトコルを単独に使用することもできる。
【０３０５】叉、情報暗号化秘密鍵を生成するときに乱
数文を利用できるようにしたシステムとなる。
【０３０６】叉、上記第５、第８実施例によれば、情報
提供者が秘密に保持すべき情報を蓄積することができる
情報提供者秘密情報蓄積手段を有したシステムとなる。
【０３０７】叉、上記第５、第６、第８実施例によれ
ば、情報提供者と利用者の間で公開鍵暗号方法による暗
号通信ができるようにしたシステムとなる。
【０３０８】叉、上記第７、第８実施例によれば、情報
配送要求文を簡単に作成するための入力手段を利用者端
末に備えたシステムとなる。
【０３０９】叉、鍵暗号化用秘密鍵と秘密鍵配送文との
生成機能を有し、情報暗号化用秘密鍵と鍵暗号用秘密鍵
とを利用した情報配送ができるようにしたシステムとな
る。
【０３１０】叉、証拠能力を有する通信履歴を必要に応
じて提示できるようにしたシステムとなる。
【０３１１】叉、裁判所等の中立な調停機関により、証
拠能力を有する通信履歴についてその正当性を検査し、
情報提供者と利用者のどちらの主張が正当であるのかを
判定することができるようにしたシステムとなる。
【０３１２】叉、上記第８実施例によれば、不正な利用
者があることを検出した際には直ちにプロトコルの実行
を中止して、不正な利用者が要求した情報を不正に獲得
してしまうことがないようにしたシステムとなる。
【０３１３】一方、上記第９実施例によれば、ゼロ知識
証明プロトコルを利用した情報配送方法では、第一に情
報配送ステップにおいて、利用者が要求した情報は情報
提供者によって暗号化されて利用者に配送されるため、
この時点では要求した情報そのものを利用者が取り出す
ことはできない。第二に配送確認ステップで行われるプ
ロトコル動作自体は利用者認証としてのゼロ知識証明プ
ロトコルと同等であるため、ゼロ知識証明プロトコルと
同じように不正な利用者が情報提供者の検証をクリアす
ることはほぼ不可能である。第三に配送確認ステップが
正常に終了した場合には、ゼロ知識証明プロトコルが正
常に終了したことと同値であるから、情報提供者は利用
者が検査文を正しく受信し、適正な処理をしていると判
断できる。第四に情報取り出しステップにおいて、利用
者は検査文を正しく受信できれば情報暗号化用秘密鍵を
作成することができるので、この時点で前記情報暗号化
用秘密鍵により暗号化された情報を復号し、要求した情
報を取り出すことができる。したがって、これらの効果
により、情報配送方法の全てのステップが終了した場合
には、情報提供者は正規の利用者に対して要求された情
報を暗号化した状態で提供した後、利用者が暗号化され
た情報を復号するために必要な情報を利用者に配送し、
かつ確実に利用者が受信したことが確認できるので、情
報提供者は利用者が要求した情報を利用者まで確実に配
送したと判断できる。
【０３１４】叉、情報提供者が自分に都合のよい情報暗
号化用秘密鍵に不正に改竄できないようにすることがで
きる。さらに、暗号化された情報暗号化用秘密鍵は情報
提供者以外は復号することができないので、署名を行う
時点では利用者に情報暗号化用秘密鍵を知られることは
ない。
【０３１５】叉、通信履歴を偽造することは不可能であ
るので、情報提供者は正規の利用者に対して要求された
情報を暗号化した状態で提供した後、利用者が暗号化さ
れた情報を復号するために必要な情報を利用者に配送
し、かつ確実に利用者が受信したことを後日証明できる
証拠能力を持つことができる。
【０３１６】叉、証拠能力を有する通信履歴を必要に応
じて提示できるようになる。また、情報提供者が情報を
配送した事実の証拠として記録管理しなければならない
情報量が桜井（特開平５−１２３２１）の方式と比較し
て大幅に削減できる。
【０３１７】叉、情報提供者と利用者の間で情報の提供
の有無について調停をする必要が生じた場合、裁判所等
の中立な調停機関が証拠能力を有する通信履歴について
その正当性を検査することにより、情報提供者と利用者
のどちらの主張が正当であるのかを判定できる。
【０３１８】叉、例えば不正な利用者による利用などに
より配送確認ステップの途中で情報提供者の検証に失敗
した場合には、ただちにプロトコルの実行が中止され、
検証に失敗した以降のブロックは利用者に送信されない
ことになる。したがって、情報提供者の検証を失敗させ
た利用者は暗号化された情報を復号するために必要な情
報の一部しか獲得することができず、結果として情報暗
号化用秘密鍵を生成することが不可能となるので、不正
な利用者が要求した情報を不正に獲得してしまうことが
ないようにできる。
【０３１９】叉、上記第９実施例によれば、情報提供者
が要求された情報を利用者に確実に配送し、かつ利用者
が確実に受信していることを情報提供者が確認できるシ
ステムとなる。また、必要に応じて情報提供者が利用者
を認証する利用者認証方法としてのゼロ知識証明プロト
コルを単独に使用することもできる。
【０３２０】叉、情報暗号化秘密鍵を生成するときに乱
数文を利用できるようにしたシステムとなる。
【０３２１】叉、情報提供者が秘密に保持すべき情報を
蓄積することができる情報提供者秘密情報蓄積手段を有
したシステムとなる。
【０３２２】叉、情報提供者と利用者の間で公開鍵暗号
方法による暗号通信ができるようにしたシステムとな
る。
【０３２３】叉、鍵暗号化用秘密鍵と生成機能を有し、
情報暗号化用秘密鍵と鍵暗号用秘密鍵とを利用した情報
配送ができるようにしたシステムとなる。
【０３２４】叉、証拠能力を有する通信履歴を必要に応
じて提示できるようにしたシステムとなる。
【０３２５】叉、裁判所等の中立な調停機関により、証
拠能力を有する通信履歴についてその正当性を検査し、
情報提供者と利用者のどちらの主張が正当であるのかを
判定することができるようにしたシステムとなる。
【０３２６】叉、不正な利用者があることを検出した際
には直ちにプロトコルの実行を中止して、不正な利用者
が要求した情報を不正に獲得してしまうことがないよう
にしたシステムとなる。
【図面の簡単な説明】
【図１】従来のFiat Shamir 法による利用者認証方式
と、従来の認証子法によるメッセージ認証方式と、従来
のＲＳＡ署名法によるディジタル署名方式を示す概念図
である。
【図２】本発明の第１実施例における情報配送システム
の構成例を示すブロック図である。
【図３】図２に示す情報配送システムの動作手順を示す
フローチャートである。
【図４】図２に示す情報配送システムで用いる配送情報
の例を示す模式図である。
【図５】本発明の第２実施例における情報配送システム
の構成例を示すブロック図である。
【図６】図５に示す情報配送システムの動作手順を示す
フローチャートである。
【図７】本発明の第３実施例における情報配送システム
の構成例を示すブロック図である。
【図８】図７に示す情報配送システムの配送確認に関す
る動作手順を示すフローチャートである。
【図９】図７に示す情報配送システムの調停に関する動
作手順を示すフローチャートである。
【図１０】本発明の第４実施例における情報配送システ
ムの構成例を示すブロック図である。
【図１１】図１０に示す情報配送システムの配送確認と
情報取り出しに関する動作手順を示すフローチャートで
ある。
【図１２】図１０に示す情報配送システムの調停に関す
る動作手順を示すフローチャートである。
【図１３】本発明の第５実施例における情報配送システ
ムの構成例を示すブロック図である。
【図１４】図１３に示す情報配送システムの動作手順を
示すフローチャートである。
【図１５】本発明の第６実施例における情報配送システ
ムの構成例を示すブロック図である。
【図１６】図１５に示す情報配送システムの動作手順を
示すフローチャートである。
【図１７】本発明の第７実施例における情報配送システ
ムの構成例を示すブロック図である。
【図１８】図１７に示す情報配送システムの情報配送、
配送確認、情報取り出しに関する動作手順を示すフロー
チャートである。
【図１９】図１７に示す情報配送システムの調停に関す
る動作手順を示すフローチャートである。
【図２０】図１７に示す情報配送システムで用いる情報
配送要求文の構成形態を示す模式図である。
【図２１】図１７に示す情報配送システムで用いる通信
履歴の構成形態を示す模式図である。
【図２２】本発明の第８実施例における情報配送システ
ムの構成例を示すブロック図である。
【図２３】図２２に示す情報配送システムの情報配送、
配送確認、情報取り出しに関する動作手順の前半を示す
フローチャートである。
【図２４】図２２に示す情報配送システムの情報配送、
配送確認、情報取り出しに関する動作手順の後半を示す
フローチャートである。
【図２５】図２２に示す情報配送システムの調停に関す
る動作手順を示すフローチャートである。
【図２６】本発明の第９実施例における情報配送システ
ムの構成例を示すブロック図である。
【図２７】図２６に示す情報配送システムの情報配送、
配送確認、情報取り出しに関する動作手順の前半を示す
フローチャートである。
【図２８】図２６に示す情報配送システムの情報配送、
配送確認、情報取り出しに関する動作手順の後半を示す
フローチャートである。
【図２９】図２６に示す情報配送システムの調停に関す
る動作手順を示すフローチャートである。
【符号の説明】
１ カード １１ 秘密情報蓄積手段 １２ 乱数発生手段 １３ 演算手段 １４ 蓄積手段 ２ 利用者端末 ２１ カード挿入手段 ２２ 蓄積手段 ２３ 利用手段 ２４ 通信制御手段 ３ 情報提供者端末 ３１ 情報蓄積手段 ３２ 情報分割手段 ３３ 検証手段 ３４ 履歴管理手段 ３５ 通信制御手段 ５０ 配送情報 １０ 利用者端末 ２０ 情報提供者端末 ３０ 通信回線 ４０ 調停者端末 １００ 通信制御手段 １０１ 利用者秘密情報蓄積手段 １０２ 一時メモリ １０３ 乱数発生手段 １０４ 演算手段 １０５ 共通鍵暗号手段 １０６ 情報出力／利用手段 １０７ 公開鍵暗号手段 １０８ 情報再構成手段 １０９ 情報蓄積手段 １１０ 入力手段 ４１ 演算手段 ４２ 一時メモリ ４３ 検証手段 ４４ 情報分割手段 ４５ 公開鍵暗号手段 ２００ 通信制御手段 ２０１ 情報提供者秘密情報蓄積手段 ２０２ 情報データベース ２０３ 一時メモリ ２０４ 演算手段 ２０５ 共通鍵暗号手段 ２０６ 検証手段 ２０７ 情報分割手段 ２０８ 通信履歴ファイル ２０９ 乱数発生手段 ２１０ 公開鍵暗号手段 ４０１ 演算手段 ４０２ 一時メモリ ４０３ 検証手段 ４０４ 情報分割手段 ４０５ 公開鍵暗号手段
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.6 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｇ０９Ｃ 1/00 7259−5Ｊ

Claims (62)

    【特許請求の範囲】
  1. 【請求項１】 少なくとも情報提供者と利用者とを含む
    システムにおいて、 利用者が情報提供者に情報の配送を要求した時に、 情報提供者が、ゼロ知識証明プロトコルにしたがって利
    用者の利用者認証を行なう過程と、 情報提供者が、利用者に配送する情報Ｍをゼロ知識証明
    プロトコル中における検査文Ｅに含めて送信し、利用者
    に情報を１ビットまたは複数ビット単位で配送する過程
    と、 情報提供者が、ゼロ知識証明プロトコルの通信履歴デー
    タＨを記録管理する過程と、 を同時に行なうことを特徴とする情報配送方法。
  2. 【請求項２】 請求項１に記載の情報配送方法におい
    て、前記利用者認証を行なう過程及び前記配送する過程
    は、 利用者が、初期応答文Ｘを情報提供者に送信し、 情報提供者が、利用者に配送する情報Ｍを利用者に送信
    し、 利用者が、情報Ｍを検査文Ｅとして、初期応答文Ｘと検
    査文Ｅと利用者の秘密情報Ｓとを用いて応答文Ｙを作成
    して情報提供者に送信し、 情報提供者が、情報Ｍを検査文Ｅとして、応答文Ｙは初
    期応答文Ｘと検査文Ｅと利用者の公開情報Ｉとに対する
    正しい応答になっているかを検査して、利用者の秘密情
    報Ｓを漏らすことなく、利用者は秘密情報Ｓを知ってい
    ることを認証するとともに、利用者は情報Ｍを確実に受
    信していることを確認することからなる配送確認プロセ
    スを含むことを特徴とする情報配送方法。
  3. 【請求項３】 請求項２に記載の情報配送方法におい
    て、 情報提供者から利用者に送信する情報Ｍについて暗号通
    信を行なうことを特徴とする情報配送方法。
  4. 【請求項４】 請求項３に記載の情報配送方法におい
    て、 利用者から情報提供者に送信する初期応答文Ｘまたは応
    答文Ｙの少なくともいずれか一方について暗号通信を行
    なうことを特徴とする情報配送方法。
  5. 【請求項５】 請求項１に記載の情報配送方法におい
    て、前記利用者認証を行なう過程及び前記配送する過程
    は、 利用者が、初期応答文Ｘを情報提供者に送信し、 情報提供者が、利用者に配送する情報Ｍを暗号化した暗
    号文Ｃを利用者に送信し、 利用者が、暗号文Ｃを検査文Ｅとして、初期応答文Ｘと
    検査文Ｅと利用者の秘密情報Ｓとを用いて応答文Ｙを作
    成して情報提供者に送信し、 情報提供者が、送信した暗号文Ｃを検査文Ｅとして、応
    答文Ｙは初期応答文Ｘと検査文Ｅと利用者の公開情報Ｉ
    とに対する正しい応答になっているかを検査して、利用
    者の秘密情報Ｓを漏らすことなく、利用者は秘密情報Ｓ
    を知っていることを認証するとともに、利用者は暗号文
    Ｃを確実に受信していることを確認することからなる配
    送確認プロセスと、 利用者が、暗号文Ｃを復号して情報Ｍを獲得することか
    らなる情報取り出しプロセスとを含むことを特徴とする
    情報配送方法。
  6. 【請求項６】 請求項２から請求項５のいずれかに記載
    の情報配送方法において、 利用者及び情報提供者は、少なくとも情報Ｍまたは暗号
    文Ｃを用いて情報圧縮関数により検査文Ｅを作成するこ
    とを特徴とする情報配送方法。
  7. 【請求項７】 請求項２から請求項６のいずれかに記載
    の情報配送方法において、 利用者及び情報提供者は、少なくとも情報Ｍまたは暗号
    文Ｃと初期応答文Ｘとを用いて一方向性関数により検査
    文Ｅを作成することを特徴とする情報配送方法。
  8. 【請求項８】 請求項７に記載の情報配送方法におい
    て、前記記録管理する過程では、 情報提供者が、少なくとも情報Ｍまたは暗号文Ｃと検査
    文Ｅと応答文Ｙとからなる通信履歴データＨを記録管理
    することを特徴とする情報配送方法。
  9. 【請求項９】 請求項８に記載の情報配送方法におい
    て、更に、 情報提供者が、調停者に対し通信履歴データＨを提示
    し、 調停者が、検査文Ｅと応答文Ｙと利用者の公開情報Ｉと
    から初期応答文Ｘを計算し、少なくとも初期応答文Ｘと
    情報Ｍまたは暗号文Ｃとを用いて一方向性関数により検
    査文Ｅを作成し、作成した検査文Ｅは通信履歴データＨ
    に含まれる検査文Ｅと一致するかを検査して、一致すれ
    ば情報提供者は利用者を認証し、かつ利用者に対して情
    報Ｍを配送したことを認めることからなる過程を含むこ
    とを特徴とする情報配送方法。
  10. 【請求項１０】 請求項２から請求項９のいずれかに記
    載の情報配送方法において、前記利用者認証を行なう過
    程及び前記配送する過程は、 情報提供者が、利用者に送信する情報Ｍまたは暗号文Ｃ
    を任意ビット長のサイズの複数個のブロックに分割し、
    各ブロックごとに独立して繰り返し配送確認プロセスを
    行なうことを特徴とする情報配送方法。
  11. 【請求項１１】 請求項１に記載の情報配送方法におい
    て、前記利用者認証を行なう過程及び前記配送する過程
    は、 利用者が、初期応答文Ｘを情報提供者に送信し、 情報提供者が、情報暗号化用秘密鍵Ｗを生成し、利用者
    に配送する情報Ｍを情報暗号化用秘密鍵Ｗを用いて共通
    鍵暗号方式により暗号化した暗号文Ｃを利用者に送信
    し、 利用者が、暗号文Ｃを受信した後、受信した旨を情報提
    供者に通知し、 情報提供者が、少なくとも情報暗号化用秘密鍵Ｗを用い
    て検査文Ｅを生成して利用者に送信し、 利用者が、初期応答文Ｘと検査文Ｅと利用者の秘密情報
    Ｓとを用いて応答文Ｙを作成して情報提供者に送信し、 情報提供者が、応答文Ｙは初期応答文Ｘと検査文Ｅと利
    用者の公開情報Ｉとに対する正しい応答になっているか
    を検査して、利用者の秘密情報Ｓを漏らすことなく、利
    用者は秘密情報Ｓを知っていることを認証するととも
    に、利用者は検査文Ｅを確実に受信していることを確認
    することからなる配送確認プロセスと、 利用者が、少なくとも検査文Ｅを用いて情報暗号化用秘
    密鍵Ｗを取り出し、情報暗号化用秘密鍵Ｗを用いて共通
    鍵暗号方式により暗号文Ｃを復号して情報Ｍを獲得する
    ことからなる情報取り出しプロセスとを含むことを特徴
    とする情報配送方法。
  12. 【請求項１２】 請求項１１に記載の情報配送方法にお
    いて、 情報提供者は、少なくとも初期応答文Ｘと乱数文Ｚを用
    いて一方向性関数により情報暗号化用秘密鍵Ｗを生成す
    ることを特徴とする情報配送方法。
  13. 【請求項１３】 請求項１２に記載の情報配送方法にお
    いて、前記記録管理する過程では、 情報提供者が、少なくとも乱数文Ｚと検査文Ｅと応答文
    Ｙとからなる通信履歴データＨを記録管理することを特
    徴とする情報配送方法。
  14. 【請求項１４】 請求項１３に記載の情報配送方法にお
    いて、更に、 情報提供者が、調停者に対し通信履歴データＨを提示
    し、 調停者が、検査文Ｅと応答文Ｙと利用者の公開情報Ｉと
    から初期応答文Ｘを計算し、少なくとも初期応答文Ｘと
    乱数文Ｚを用いて一方向性関数により情報暗号化用秘密
    鍵Ｗを生成し、少なくとも情報暗号化用秘密鍵Ｗを用い
    て検査文Ｅを作成し、作成した検査文Ｅは通信履歴デー
    タＨに含まれる検査文Ｅと一致するかを検査して、一致
    すれば情報提供者は利用者を認証し、かつ利用者に対し
    て情報Ｍを配送したことを認めることからなる過程とを
    含むことを特徴とする情報配送方法。
  15. 【請求項１５】 請求項１に記載の情報配送方法におい
    て、前記利用者認証を行なう過程及び前記配送する過程
    は、 情報提供者が、情報暗号化用秘密鍵Ｗを生成し、情報Ｍ
    を情報暗号化用秘密鍵Ｗを用いて共通鍵暗号方式により
    暗号化した暗号文Ｃを利用者に送信し、 利用者が、暗号文Ｃを受信した後、受信した旨を情報提
    供者に通知することからなる情報配送プロセスと、 利用者が、初期応答文Ｘを情報提供者に送信し、 情報提供者が、少なくとも情報暗号化秘密鍵Ｗを用いて
    検査文Ｅを作成して利用者に送信し、 利用者が、初期応答文Ｘと検査文Ｅと利用者の秘密情報
    Ｓとを用いて応答文Ｙを作成して情報提供者に送信し、 情報提供者が、応答文Ｙは初期応答文Ｘと検査文Ｅと利
    用者の公開情報Ｉとに対する正しい応答になっているか
    を検査して、利用者の秘密情報Ｓを漏らすことなく、利
    用者は秘密情報Ｓを知っていることを認証するととも
    に、利用者は検査文Ｅを確実に受信していることを確認
    することからなる配送確認プロセスと、 利用者が、少なくとも検査文Ｅを用いて情報暗号化用秘
    密鍵Ｗを獲得し、情報暗号化用秘密鍵Ｗを用いて共通鍵
    暗号方式により暗号文Ｃを復号して情報Ｍを獲得するこ
    とからなる情報取り出しプロセスとを含むことを特徴と
    する情報配送方法。
  16. 【請求項１６】 請求項１５に記載の情報配送方法にお
    いて、 情報提供者は少なくとも自ら生成した乱数文Ｚを用いて
    一方向性関数により情報暗号化用秘密鍵Ｗを生成するこ
    とを特徴とする情報配送方法。
  17. 【請求項１７】 請求項１６に記載の情報配送方法にお
    いて、 前記配送確認プロセスでは、情報提供者は少なくとも初
    期応答文Ｘを用いて一方向性関数により鍵暗号化用秘密
    鍵Ｋを生成し、少なくとも情報暗号化用秘密鍵Ｗと鍵暗
    号化用秘密鍵Ｋとを用いて検査文Ｅを生成して利用者に
    送信し、 前記情報取り出しプロセスでは、利用者は少なくとも初
    期応答文Ｘを用いて一方向性関数により鍵暗号化用秘密
    鍵Ｋを生成し、少なくとも検査文Ｅと鍵暗号化用秘密鍵
    Ｋとを用いて情報暗号化用秘密鍵Ｗを取り出すことを特
    徴とする情報配送方法。
  18. 【請求項１８】 請求項１７に記載の情報配送方法にお
    いて、前記記録管理する過程では、 情報提供者が、少なくとも乱数文Ｚと検査文Ｅと応答文
    Ｙとからなる通信履歴データＨを記録管理することを特
    徴とする情報配送方法。
  19. 【請求項１９】 請求項１８に記載の情報配送方法にお
    いて、更に、 情報提供者が調停者に対し通信履歴データＨを提示し、 調停者が検査文Ｅと応答文Ｙと利用者の公開情報Ｉとか
    ら初期応答文Ｘを計算し、少なくとも初期応答文Ｘを用
    いて一方向性関数により鍵暗号用秘密鍵Ｋを、また少な
    くとも乱数文Ｚを用いて一方向性関数により情報暗号化
    用秘密鍵Ｗをそれぞれ生成し、少なくとも鍵暗号用秘密
    鍵Ｋと情報暗号化用秘密鍵Ｗとを用いて検査文Ｅを作成
    し、作成した検査文Ｅは通信履歴データＨに含まれる検
    査文Ｅと一致するかを検査して、一致すれば情報提供者
    は利用者を認証し、かつ利用者に対して情報Ｍを配送し
    たことを認めることからなる過程を含むことを特徴とす
    る情報配送方法。
  20. 【請求項２０】 請求項１６に記載の情報配送方法にお
    いて、 前記配送確認プロセスでは、情報提供者は少なくとも初
    期応答文Ｘおよび利用者と情報提供者が秘密に共有して
    いる秘密情報ＣＳとを用いて一方向性関数により鍵暗号
    化用秘密鍵Ｋを生成し、少なくとも情報暗号化用秘密鍵
    Ｗと鍵暗号化用秘密鍵Ｋとを用いて検査文Ｅを生成して
    利用者に送信し、 前記情報取り出しプロセスでは、利用者は少なくとも初
    期応答文Ｘと秘密情報ＣＳとを用いて一方向性関数によ
    り鍵暗号化用秘密鍵Ｋを生成し、少なくとも検査文Ｅと
    鍵暗号化用秘密鍵Ｋとを用いて情報暗号化用秘密鍵Ｗを
    取り出すことを特徴とする情報配送方法。
  21. 【請求項２１】 請求項２０に記載の情報配送方法にお
    いて、前記記録管理する過程では、 情報提供者が、少なくとも利用者と情報提供者が秘密に
    共有している秘密情報ＣＳと乱数文Ｚと検査文Ｅと応答
    文Ｙとからなる通信履歴データＨを記録管理することを
    特徴とする情報配送方法。
  22. 【請求項２２】 請求項２１に記載の情報配送方法にお
    いて、更に、 情報提供者が調停者に対し通信履歴データＨを提示し、 調停者が検査文Ｅと応答文Ｙと利用者の公開情報Ｉとか
    ら初期応答文Ｘを計算し、少なくとも初期応答文Ｘおよ
    び利用者と情報提供者が秘密に共有している秘密情報Ｃ
    Ｓとを用いて一方向性関数により鍵暗号用秘密鍵Ｋを、
    また少なくとも乱数文Ｚを用いて一方向性関数により情
    報暗号化用秘密鍵Ｗをそれぞれ生成し、少なくとも鍵暗
    号用秘密鍵Ｋと情報暗号化用秘密鍵Ｗとを用いて検査文
    Ｅを作成し、作成した検査文Ｅは通信履歴データＨに含
    まれる検査文Ｅと一致するかを検査して、一致すれば情
    報提供者は利用者を認証し、かつ利用者に対して情報Ｍ
    を配送したことを認めることから成る過程を含むことを
    特徴とする情報配送方法。
  23. 【請求項２３】 請求項１５に記載の情報配送方法にお
    いて、 利用者は、要求文Ｒを情報提供者に送信し、 情報提供者は、少なくとも要求文Ｒと自ら生成した乱数
    文Ｚとを用いて一方向性関数により情報暗号化用秘密鍵
    Ｗを生成することを特徴とする情報配送方法。
  24. 【請求項２４】 請求項２３に記載の情報配送方法にお
    いて、 利用者から情報提供者に送信する要求文Ｒについて暗号
    通信を行なうことを特徴とする情報配送方法。
  25. 【請求項２５】 請求項２３または請求項２４に記載の
    情報配送方法において、 前記配送確認プロセスでは、情報提供者が、少なくとも
    初期応答文Ｘを用いて一方向性関数により鍵暗号化用秘
    密鍵Ｋを生成し、少なくとも情報暗号化用秘密鍵Ｗと鍵
    暗号化用秘密鍵Ｋとを用いて検査文Ｅを生成して利用者
    に送信し、 前記情報取り出しプロセスでは、利用者が、少なくとも
    初期応答文Ｘを用いて一方向性関数により鍵暗号化用秘
    密鍵Ｋを生成し、少なくとも検査文Ｅと鍵暗号化用秘密
    鍵Ｋとを用いて情報暗号化用秘密鍵Ｗを取り出すことを
    特徴とする情報配送方法。
  26. 【請求項２６】 請求項２５に記載の情報配送方法にお
    いて、前記記録管理する過程では、 情報提供者が、少なくとも乱数文Ｚと検査文Ｅと応答文
    Ｙと要求文Ｒとからなる通信履歴データＨを記録管理す
    ることを特徴とする情報配送方法。
  27. 【請求項２７】 請求項２６に記載の情報配送方法にお
    いて、更に、 情報提供者が、調停者に対し通信履歴データＨを提示
    し、 調停者が、検査文Ｅと応答文Ｙと利用者の公開情報Ｉと
    から初期応答文Ｘを計算し、少なくとも初期応答文Ｘを
    用いて一方向性関数により鍵暗号用秘密鍵Ｋを、また少
    なくとも乱数文Ｚと要求文Ｒとを用いて一方向性関数に
    より情報暗号化用秘密鍵Ｗをそれぞれ生成し、少なくと
    も鍵暗号用秘密鍵Ｋと情報暗号化用秘密鍵Ｗとを用いて
    検査文Ｅを作成し、作成した検査文Ｅは通信履歴データ
    Ｈに含まれる検査文Ｅと一致するかを検査して、一致す
    れば情報提供者は利用者を認証し、かつ利用者に対して
    情報Ｍを配送したことを認めることからなる過程を含む
    ことを特徴とする情報配送方法。
  28. 【請求項２８】 請求項２３または請求項２４に記載の
    情報配送方法において、 前記配送確認プロセスでは、情報提供者が、少なくとも
    初期応答文Ｘおよび利用者と情報提供者が秘密に共有し
    ている秘密情報ＣＳとを用いて一方向性関数により鍵暗
    号化用秘密鍵Ｋを生成し、少なくとも情報暗号化用秘密
    鍵Ｗと鍵暗号化用秘密鍵Ｋとを用いて検査文Ｅを生成し
    て利用者に送信し、 前記情報取り出しプロセスでは、利用者が、少なくとも
    初期応答文Ｘと秘密情報ＣＳとを用いて一方向性関数に
    より鍵暗号化用秘密鍵Ｋを生成し、少なくとも検査文Ｅ
    と鍵暗号化用秘密鍵Ｋとを用いて情報暗号化用秘密鍵Ｗ
    を取り出すことを特徴とする情報配送方法。
  29. 【請求項２９】 請求項２８に記載の情報配送方法にお
    いて、前記記録管理する過程では、 情報提供者が、少なくとも利用者と情報提供者が秘密に
    共有している秘密情報ＣＳと乱数文Ｚと検査文Ｅと応答
    文Ｙと要求文Ｒとからなる通信履歴データＨを記録管理
    することを特徴とする情報配送方法。
  30. 【請求項３０】 請求項２９に記載の情報配送方法にお
    いて、更に、 情報提供者が、調停者に対し通信履歴データＨを提示
    し、 調停者が、検査文Ｅと応答文Ｙと利用者の公開情報Ｉと
    から初期応答文Ｘを計算し、少なくとも初期応答文Ｘお
    よび利用者と情報提供者が秘密に共有している秘密情報
    ＣＳとを用いて一方向性関数により鍵暗号用秘密鍵Ｋ
    を、また少なくとも乱数文Ｚと要求文Ｒとを用いて一方
    向性関数により情報暗号化用秘密鍵Ｗをそれぞれ生成
    し、少なくとも鍵暗号用秘密鍵Ｋと情報暗号化用秘密鍵
    Ｗとを用いて検査文Ｅを作成し、作成した検査文Ｅは通
    信履歴データＨに含まれる検査文Ｅと一致するかを検査
    して、一致すれば情報提供者は利用者を認証し、かつ利
    用者に対して情報Ｍを配送したことを認めることから成
    る過程を含むことを特徴とする情報配送方法。
  31. 【請求項３１】 請求項１５に記載の情報配送方法にお
    いて、更に、 情報提供者が、利用者には復号できない方式で暗号化し
    た情報暗号化用秘密鍵ＣＷを利用者に送信し、 利用者が、暗号化された情報暗号化用秘密鍵ＣＷにディ
    ジタル署名した署名付き情報暗号用秘密鍵ＳＷを情報提
    供者に送信し、 情報提供者が、署名付き情報暗号用秘密鍵ＳＷの署名は
    正しいかを検証することからなる過程を含むことを特徴
    とする情報配送方法。
  32. 【請求項３２】 請求項３１に記載の情報配送方法にお
    いて、 前記配送確認プロセスでは、情報提供者が、少なくとも
    初期応答文Ｘを用いて一方向性関数により鍵暗号化用秘
    密鍵Ｋを生成し、少なくとも情報暗号化用秘密鍵Ｗと鍵
    暗号化用秘密鍵Ｋとを用いて検査文Ｅを生成して利用者
    に送信し、 前記情報取り出しプロセスでは、利用者が、少なくとも
    初期応答文Ｘを用いて一方向性関数により鍵暗号化用秘
    密鍵Ｋを生成し、少なくとも検査文Ｅと鍵暗号化用秘密
    鍵Ｋとを用いて情報暗号化用秘密鍵Ｗを取り出すことを
    特徴とする情報配送方法。
  33. 【請求項３３】 請求項３２に記載の情報配送方法にお
    いて、前記記録管理する過程では、 情報提供者が、少なくとも情報暗号用秘密鍵Ｗと署名付
    き情報暗号用秘密鍵ＳＷと検査文Ｅと応答文Ｙとからな
    る通信履歴データＨを記録管理することを特徴とする情
    報配送方法。
  34. 【請求項３４】 請求項３３に記載の情報配送方法にお
    いて、更に、 情報提供者が、調停者に対し通信履歴データＨを提示
    し、 調停者が、署名付き情報暗号用秘密鍵ＳＷは情報暗号用
    秘密鍵Ｗに対する正しい署名であるかどうかを検証した
    後、検査文Ｅと応答文Ｙと利用者の公開情報Ｉとから初
    期応答文Ｘを計算し、少なくとも初期応答文Ｘを用いて
    一方向性関数により鍵暗号用秘密鍵Ｋを生成し、少なく
    とも鍵暗号用秘密鍵Ｋと情報暗号化用秘密鍵Ｗとを用い
    て検査文Ｅを作成し、作成した検査文Ｅは通信履歴デー
    タＨに含まれる検査文Ｅと一致するかを検査して、一致
    すれば情報提供者は利用者を認証し、かつ利用者に対し
    て情報Ｍを配送したことを認めることからなる過程を含
    むことを特徴とする情報配送方法。
  35. 【請求項３５】 請求項３１に記載の情報配送方法にお
    いて、 前記配送確認プロセスでは、情報提供者は少なくとも初
    期応答文Ｘ及び利用者と情報提供者が秘密に共有してい
    る秘密情報ＣＳを用いて一方向性関数により鍵暗号化用
    秘密鍵Ｋを生成し、少なくとも情報暗号化用秘密鍵Ｗと
    鍵暗号化用秘密鍵Ｋとを用いて検査文Ｅを生成して利用
    者に送信し、 前記情報取り出しプロセスでは、利用者は少なくとも初
    期応答文Ｘ及び利用者と情報提供者が秘密に共有してい
    る秘密情報ＣＳを用いて一方向性関数により鍵暗号化用
    秘密鍵Ｋを生成し、少なくとも検査文Ｅと鍵暗号化用秘
    密鍵Ｋとを用いて情報暗号化用秘密鍵Ｗを取り出すこと
    を特徴とする情報配送方法。
  36. 【請求項３６】 請求項３５に記載の情報配送方法にお
    いて、前記記録管理する過程では、 情報提供者が、少なくとも情報暗号用秘密鍵Ｗと署名付
    き情報暗号用秘密鍵ＳＷと検査文Ｅと応答文Ｙ及び利用
    者と情報提供者が秘密に共有している秘密情報ＣＳとか
    らなる通信履歴データＨを記録管理することを特徴とす
    る情報配送方法。
  37. 【請求項３７】 請求項３６に記載の情報配送方法にお
    いて、更に、 情報提供者が調停者に対し通信履歴データＨを提示し、 調停者が署名付き情報暗号用秘密鍵ＳＷは情報暗号用秘
    密鍵Ｗに対する正しい署名であるかどうかを検証した
    後、検査文Ｅと応答文Ｙと利用者の公開情報Ｉとから初
    期応答文Ｘを計算し、少なくとも初期応答文Ｘ及び利用
    者と情報提供者が秘密に共有している秘密情報ＣＳを用
    いて一方向性関数により鍵暗号用秘密鍵Ｋを生成し、少
    なくとも鍵暗号用秘密鍵Ｋと情報暗号化用秘密鍵Ｗとを
    用いて検査文Ｅを作成し、作成した検査文Ｅは通信履歴
    データＨに含まれる検査文Ｅと一致するかを検査して、
    一致すれば情報提供者は利用者を認証し、かつ利用者に
    対して情報Ｍを配送したことを認めることからなる過程
    を含むことを特徴とする情報配送方法。
  38. 【請求項３８】 請求項１１から請求項３７のいずれか
    に記載の情報配送方法において、 情報提供者から利用者に送信する検査文Ｅについて暗号
    通信を行なうことを特徴とする情報配送方法。
  39. 【請求項３９】 請求項３８の情報配送方法において、 利用者から情報提供者に送信する初期応答文Ｘまたは応
    答文Ｙの少なくとも一方を暗号通信を行なうことを特徴
    とする情報配送方法。
  40. 【請求項４０】 請求項１１から請求項３７のいずれか
    に記載の情報配送方法において、 前記配送確認プロセスでは、情報提供者が、少なくとも
    検査文Ｅを暗号化して利用者に送信し、 前記情報取り出しプロセスでは、利用者が、検査文Ｅを
    復号することを特徴とする情報配送方法。
  41. 【請求項４１】 請求項１１から請求項４０のいずれか
    に記載の情報配送方法において、前記利用者認証を行な
    う過程及び前記配送する過程は、 検査文Ｅを任意ビット長のサイズの複数個のブロックに
    分割し、各ブロックことに独立して繰り返し配送確認プ
    ロセスを行なうことを特徴とする情報配送方法。
  42. 【請求項４２】 請求項１から請求項４１のいずれかに
    記載の情報配送方法において、 利用者側の動作は携帯可能な利用者のカードによって実
    行されることを特徴とする情報配送方法。
  43. 【請求項４３】 請求項１から請求項４２のいずれかに
    記載の情報配送方法において、更に、 前記形態可能な利用者のカードに利用者が受信した情報
    Ｍまたは情報暗号用秘密鍵Ｗを記録することを含むこと
    を特徴とする情報配送方法。
  44. 【請求項４４】 少なくとも利用者端末と情報提供者端
    末とを含むシステムであって、 利用者端末は、 情報提供者端末との間の通信を制御する利用者通信制御
    手段と、 利用者が秘密に保持すべき秘密情報を蓄積しておく利用
    者秘密情報蓄積手段と、 乱数を発生する乱数発生手段と、 前記利用者通信制御手段を介して通信される初期応答文
    と応答文を前記秘密情報と乱数に基づいて生成する利用
    者演算手段とを有し、 情報提供者端末は、 利用者端末との間の通信を制御する情報提供者通信制御
    手段と、 前記情報提供者通信制御手段を介して利用者に提供する
    情報を蓄積しておく情報データベースと、 前記情報提供者通信制御手段を介して利用者の認証を行
    なう検証手段とを有することを特徴とする情報配送シス
    テム。
  45. 【請求項４５】 請求項４４に記載の情報配送システム
    において、 利用者端末は更に前記利用者通信制御手段を介して情報
    提供者から配送された情報を蓄積する情報蓄積手段を有
    することを特徴とする情報配送システム。
  46. 【請求項４６】 請求項４４または請求項４５に記載の
    情報配送システムにおいて、 利用者端末および情報提供者端末の双方が更に共通鍵暗
    号方式または公開鍵暗号方式、もしくはその両方の暗号
    方式による暗号通信を行う暗号手段を有することを特徴
    とする情報配送システム。
  47. 【請求項４７】 請求項４６に記載の情報配送システム
    において、 情報提供者端末は更に前記暗号手段で利用される情報提
    供者が秘密に保持すべき情報を蓄積する情報提供者秘密
    情報蓄積手段を有することを特徴とする情報配送システ
    ム。
  48. 【請求項４８】 請求項４４から請求項４７のいずれか
    に記載の情報配送システムにおいて、 利用者端末の前記利用者演算手段および情報提供者端末
    の前記検証手段の双方が情報圧縮関数または一方向性関
    数、もしくはその両方の関数による関数演算を行う手段
    を有することを特徴とする情報配送システム。
  49. 【請求項４９】 請求項４４から請求項４８のいずれか
    に記載の情報配送システムにおいて、 情報提供者端末は更に通信履歴データを記録管理する通
    信履歴ファイルを有することを特徴とする情報配送シス
    テム。
  50. 【請求項５０】 請求項４９に記載の情報配送システム
    において、更に、 情報提供者が利用者に情報を提供したことを照明する通
    信履歴データについて、通信履歴データの正当性を検査
    する調停端末であって、 初期応答文と検査文を生成する調停演算手段と、 通信履歴データ中の検査文と前記調停演算手段で生成し
    た検査文とに基づいて該通信履歴データの正当性を検査
    する調停検証手段とを有するものを含むことを特徴とす
    る情報配送システム。
  51. 【請求項５１】 請求項４４から請求項５０のいずれか
    に記載の情報配送システムにおいて、 情報提供者端末は更に前記情報提供者通信制御手段を介
    して利用者へ配送する情報を任意ビット長サイズの複数
    のブロックに分割する情報分割手段を有し、 利用者端末は更に前記複数個のブロックに分割された情
    報を元の情報に再構成する情報再構成手段を有すること
    を特徴とする情報配送システム。
  52. 【請求項５２】 少なくとも利用者端末と情報提供者端
    末とを含むシステムであって、 利用者端末は、 情報提供者端末との間の通信を制御する利用者通信制御
    手段と、 利用者が秘密に保持すべき秘密情報を蓄積しておく利用
    者秘密情報蓄積手段と、 前記利用者通信制御手段を介して情報提供者端末との間
    で暗号通信を行う利用者共通鍵暗号手段と、 乱数を発生する乱数発生手段と、 前記利用者通信制御手段を介して通信される初期応答文
    と応答文と秘密鍵を生成する利用者演算手段と、 前記利用者通信制御手段を介して情報提供者から配送さ
    れた情報を蓄積する情報蓄積手段とを有し、 情報提供者端末は、 利用者端末との間の通信を制御する情報提供者通信制御
    手段と、 前記情報提供者通信制御手段を介して利用者に提供する
    情報を蓄積しておく情報データベースと、 秘密鍵と検査文を生成する情報提供者演算手段と、 前記情報提供者通信制御手段を介して利用者端末との間
    で暗号通信を行う情報提供者共通鍵暗号手段と、 前記情報提供者通信制御手段を介して利用者の認証を行
    なう検証手段とを有することを特徴とする情報配送シス
    テム。
  53. 【請求項５３】 請求項５２に記載の情報配送システム
    において、 情報提供者端末は更に前記情報提供者演算手段で利用さ
    れる乱数を発生する乱数発生手段を有することを特徴と
    する情報配送システム。
  54. 【請求項５４】 請求項５２または請求項５３に記載の
    情報配送システムにおいて、 利用者端末および情報提供者端末の双方が更に公開鍵暗
    号方式による暗号通信を行なう公開鍵暗号手段をを有す
    ることを特徴とする情報配送システム。
  55. 【請求項５５】 請求項５２から請求項５４のいずれか
    に記載の情報配送システムにおいて、 情報提供者端末は更に前記情報提供者演算手段または前
    記公開鍵暗号手段で利用される情報提供者が秘密に保持
    すべき情報を蓄積する情報提供者秘密情報蓄積手段を有
    することを特徴とする情報配送システム。
  56. 【請求項５６】 請求項５２から請求項５５のいずれか
    に記載の情報配送システムにおいて、 利用者端末は更にディジタル署名を行うディジタル署名
    手段を有し、 情報提供者端末はディジタル署名を検証するためのディ
    ジタル署名検証手段を有することを特徴とする情報配送
    システム。
  57. 【請求項５７】 請求項５２から請求項５６のいずれか
    に記載の情報配送システムにおいて、 情報提供者端末は更に通信履歴データを記録管理する通
    信履歴ファイルを有することを特徴とする情報配送シス
    テム。
  58. 【請求項５８】 請求項５７に記載の情報配送システム
    において、更に、 情報提供者が利用者に情報を提供したことを証明する通
    信履歴データについて、通信履歴データの正当性を検査
    する調停端末であって、 初期応答文と秘密鍵と検査文を生成する調停演算手段
    と、 通信履歴データ中の検査文と前記調停演算手段で生成し
    た検査文とに基づいて該通信履歴データの正当性を検査
    する調停検証手段とを有するものを含むことを特徴とす
    る情報配送システム。
  59. 【請求項５９】 請求項５８に記載の情報配送システム
    において、 調停端末が更に通信履歴データ中の署名付き情報暗号用
    秘密鍵の署名は正当であるかを検証する検証手段を有す
    ることを特徴とする情報配送システム。
  60. 【請求項６０】 請求項５２から請求項５９のいずれか
    に記載の情報配送システムにおいて、 情報提供者端末は更に前記情報提供者通信制御手段を介
    して利用者へ配送する情報を任意ビット長サイズの複数
    のブロックに分割する情報分割手段を有し、 利用者端末は更に前記複数個のブロックに分割された情
    報を元の情報に再構成する情報再構成手段を有すること
    を特徴とする情報配送システム。
  61. 【請求項６１】 請求項４４から請求項６０のいずれか
    に記載の情報配送システムにおいて、 利用者端末は前記利用者秘密鍵蓄積手段、乱数発生手
    段、利用者演算手段を含んだカードと、 該カードが挿入されるカード挿入手段とを有することを
    特徴とする情報配送システム。
  62. 【請求項６２】 請求項６１に記載の情報配送システム
    において、 前記カードは更に情報提供者から配送された情報を蓄積
    する情報カード蓄積手段を有することを特徴とする情報
    配送システム。
JP04711595A 1994-03-07 1995-03-07 ゼロ知識証明プロトコルを利用した情報配送方法およびシステム Expired - Fee Related JP3314900B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP04711595A JP3314900B2 (ja) 1994-03-07 1995-03-07 ゼロ知識証明プロトコルを利用した情報配送方法およびシステム

Applications Claiming Priority (7)

Application Number Priority Date Filing Date Title
JP3579794 1994-03-07
JP21337494 1994-09-07
JP6-213374 1994-09-07
JP22628294 1994-09-21
JP6-226282 1994-09-21
JP6-35797 1994-09-21
JP04711595A JP3314900B2 (ja) 1994-03-07 1995-03-07 ゼロ知識証明プロトコルを利用した情報配送方法およびシステム

Publications (2)

Publication Number Publication Date
JPH08149124A true JPH08149124A (ja) 1996-06-07
JP3314900B2 JP3314900B2 (ja) 2002-08-19

Family

ID=27460148

Family Applications (1)

Application Number Title Priority Date Filing Date
JP04711595A Expired - Fee Related JP3314900B2 (ja) 1994-03-07 1995-03-07 ゼロ知識証明プロトコルを利用した情報配送方法およびシステム

Country Status (1)

Country Link
JP (1) JP3314900B2 (ja)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11110464A (ja) * 1997-10-03 1999-04-23 Nri & Ncc Co Ltd 電子証券の発行、移転、証明、消去のための処理システム及びその処理方法
JP2002536875A (ja) * 1999-01-27 2002-10-29 フランス テレコム 減少した計算組を伴う認証または署名プロセス
US6947911B1 (en) 2000-06-15 2005-09-20 Hitachi, Ltd. Method for making contract and system for processing contract
JP2007019977A (ja) * 2005-07-08 2007-01-25 Sony Corp Ａｖ機器
JP2009199609A (ja) * 1997-11-13 2009-09-03 Hyperspace Communications Inc データ転送システム
JP2011205646A (ja) * 1999-09-21 2011-10-13 Discovery Communications Llc 電子書籍のセキュリティ及び著作権保護のシステム
JP2016519540A (ja) * 2013-05-14 2016-06-30 ペキン ユニバーシティ ファウンダー グループ カンパニー，リミティド 分散環境の安全通信認証方法及びシステム
CN110851858A (zh) * 2019-10-16 2020-02-28 上海源庐加佳信息科技有限公司 基于零知识证明的酒店个人隐私数据保护方法

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11110464A (ja) * 1997-10-03 1999-04-23 Nri & Ncc Co Ltd 電子証券の発行、移転、証明、消去のための処理システム及びその処理方法
JP2009199609A (ja) * 1997-11-13 2009-09-03 Hyperspace Communications Inc データ転送システム
US9912516B2 (en) 1997-11-13 2018-03-06 Intellectual Ventures I Llc Method and apparatus for data file transfer using destination linked directories
JP2002536875A (ja) * 1999-01-27 2002-10-29 フランス テレコム 減少した計算組を伴う認証または署名プロセス
USRE42517E1 (en) 1999-01-27 2011-07-05 Phentam Dire Nv, Llc Authenticating or signature method with reduced computations
JP2011205646A (ja) * 1999-09-21 2011-10-13 Discovery Communications Llc 電子書籍のセキュリティ及び著作権保護のシステム
US6947911B1 (en) 2000-06-15 2005-09-20 Hitachi, Ltd. Method for making contract and system for processing contract
JP2007019977A (ja) * 2005-07-08 2007-01-25 Sony Corp Ａｖ機器
JP4529825B2 (ja) * 2005-07-08 2010-08-25 ソニー株式会社 Ａｖ機器
JP2016519540A (ja) * 2013-05-14 2016-06-30 ペキン ユニバーシティ ファウンダー グループ カンパニー，リミティド 分散環境の安全通信認証方法及びシステム
CN110851858A (zh) * 2019-10-16 2020-02-28 上海源庐加佳信息科技有限公司 基于零知识证明的酒店个人隐私数据保护方法
CN110851858B (zh) * 2019-10-16 2023-09-05 上海源庐加佳信息科技有限公司 基于零知识证明的酒店个人隐私数据保护方法

Also Published As

Publication number Publication date
JP3314900B2 (ja) 2002-08-19

Similar Documents

Publication Publication Date Title
US6011848A (en) Method and system for message delivery utilizing zero knowledge interactive proof protocol
CN109714167B (zh) 适用于移动应用签名的身份认证与密钥协商方法及设备
TWI497336B (zh) 用於資料安全之裝置及電腦程式
CN1829144B (zh) 加密通信系统及方法
CN109687959B (zh) 密钥安全管理系统和方法、介质和计算机程序
US8195951B2 (en) Data processing system for providing authorization keys
US20050105735A1 (en) Information processing system and method, information processing device and method, recording medium, and program
CN1937492A (zh) 信息处理设备及其控制方法
JP2009089000A (ja) 暗号モジュール配信システム、暗号管理サーバ装置、暗号処理装置、クライアント装置、暗号管理プログラム、暗号処理プログラム、およびクライアントプログラム
KR100563515B1 (ko) 과도 키 디지탈 시간 스탬프 방법 및 시스템
CN110910978A (zh) 一种应用于区块链网络的信息处理方法及相关装置
US20220005039A1 (en) Delegation method and delegation request managing method
CN109492424A (zh) 数据资产管理方法、数据资产管理装置及计算机可读介质
CN108833431A (zh) 一种密码重置的方法、装置、设备及存储介质
JPH11298470A (ja) 鍵の配布方法およびシステム
JP3314900B2 (ja) ゼロ知識証明プロトコルを利用した情報配送方法およびシステム
US8261088B2 (en) Secret authentication system
WO2020010432A1 (en) Method, system, and device for selecting a winner of a raffle based on content from raffle tickets
KR102331451B1 (ko) 디지털 콘텐츠 거래를 위한 블록체인 네트워크 시스템 및 디지털 콘텐츠 거래 방법
Hubbers et al. Description and analysis of the RIES internet voting system
JP3476171B2 (ja) データ保証システムおよびデータ保証方法
CN112822175B (zh) 一种信息访问方法、装置及电子设备
CN115065679B (zh) 基于区块链的电子健康档案共享模型、方法、系统和介质
CN116866093B (zh) 身份认证方法、身份认证设备以及可读存储介质
CN117349895B (zh) 基于区块链的汽车金融数字档案管理方法及装置

Legal Events

Date Code Title Description
LAPS Cancellation because of no payment of annual fees