JPH1091697A - 発行機関分離型番号登録式電子現金方法および利用者装置 - Google Patents
発行機関分離型番号登録式電子現金方法および利用者装置Info
- Publication number
- JPH1091697A JPH1091697A JP8239263A JP23926396A JPH1091697A JP H1091697 A JPH1091697 A JP H1091697A JP 8239263 A JP8239263 A JP 8239263A JP 23926396 A JP23926396 A JP 23926396A JP H1091697 A JPH1091697 A JP H1091697A
- Authority
- JP
- Japan
- Prior art keywords
- signature
- information
- mod
- key information
- bank
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
Abstract
(57)【要約】
【課題】 電子現金の発行、還収を一元的に管理する。
【解決手段】 利用者Ｕは、ランダムな引換番号Ｒｃを
用いて署名対象Ｃを計算し、Ｃに対する銀行Ａの署名Ｓ
Ｃをブラインド署名を用いて取得し、これを引換証と
し、利用者ＵはそのＳＣ及びＲｃを発行機関Ｏへ送り、
機関ＯはＲｃが記憶にないことを確認し、Ｃを利用者と
同様に計算してＳＣがＣの銀行署名であることを検証
し、コイン番号Ｒｆを発行し、Ｒｆに基づくコインＦを
発行し、Ｒｃ，Ｒｆを記憶してＦ，Ｒｆを利用者へ送
る。Ｆ，Ｒｆで支払を受けた受領者はこれを銀行Ｂへ送
り、これより機関Ｏへ転送し、Ｒｆが記憶されているこ
とを確認した後、Ｒｆを記憶から削除する。
用いて署名対象Ｃを計算し、Ｃに対する銀行Ａの署名Ｓ
Ｃをブラインド署名を用いて取得し、これを引換証と
し、利用者ＵはそのＳＣ及びＲｃを発行機関Ｏへ送り、
機関ＯはＲｃが記憶にないことを確認し、Ｃを利用者と
同様に計算してＳＣがＣの銀行署名であることを検証
し、コイン番号Ｒｆを発行し、Ｒｆに基づくコインＦを
発行し、Ｒｃ，Ｒｆを記憶してＦ，Ｒｆを利用者へ送
る。Ｆ，Ｒｆで支払を受けた受領者はこれを銀行Ｂへ送
り、これより機関Ｏへ転送し、Ｒｆが記憶されているこ
とを確認した後、Ｒｆを記憶から削除する。
Description
【０００１】
【発明の属する技術分野】この発明は、電気通信システ
ムやＩＣカードを利用してディジタル情報の授受により
電子的な現金を実現する電子現金方法に関する。
ムやＩＣカードを利用してディジタル情報の授受により
電子的な現金を実現する電子現金方法に関する。
【０００２】
【従来の技術】電子現金はＩＣカードを電子現金の財布
（電子財布）とするような形で広く使われるようにな
る。その際には、電子現金はいかなる物理媒体にも依存
しないで、情報そのものが電子現金となるような形で電
子財布に格納される形態が望ましい。
（電子財布）とするような形で広く使われるようにな
る。その際には、電子現金はいかなる物理媒体にも依存
しないで、情報そのものが電子現金となるような形で電
子財布に格納される形態が望ましい。
【０００３】電子現金の一つの実現策は、物理的な手段
によって安全性を保証する方法である。例えば、テレホ
ンカード等の磁気カードによるプリペイドカードは、カ
ード上の磁気状態を他のカードに物理的にコピーするこ
とが困難であるということを安全性の要として成り立っ
ている。しかしながら、この安全性の前提は世の中の製
造技術レベルの推移により大きく変化する。さらに、こ
の方式は、常に物理媒体（磁気カード等）と一体で実現
されるため、情報の形の電子現金のように通信回線で転
送するようなことはできない。
によって安全性を保証する方法である。例えば、テレホ
ンカード等の磁気カードによるプリペイドカードは、カ
ード上の磁気状態を他のカードに物理的にコピーするこ
とが困難であるということを安全性の要として成り立っ
ている。しかしながら、この安全性の前提は世の中の製
造技術レベルの推移により大きく変化する。さらに、こ
の方式は、常に物理媒体（磁気カード等）と一体で実現
されるため、情報の形の電子現金のように通信回線で転
送するようなことはできない。
【０００４】別の実現策は、クレジットカードのような
電子的ＩＤカード（電子クレジットカードもしくは電子
小切手）を用いて、後日決済する方法である。電子クレ
ジットカードでは、手書きの署名の代わりにディジタル
署名を用いることにより、処理の完全電子化（情報化）
を実現でき、その決済用情報を通信回線で転送できる。
しかし、この方式の欠点は、利用者のプライバシを保証
できない点である（これは、現行のクレジットカードや
小切手においても同様である）。つまり、クレジットカ
ードを発行・決済する機関は、自由に利用者の購買履歴
を入手できるのはもとより、また、小売店までも利用者
のクレジットカード番号や署名を知ることができる。
電子的ＩＤカード（電子クレジットカードもしくは電子
小切手）を用いて、後日決済する方法である。電子クレ
ジットカードでは、手書きの署名の代わりにディジタル
署名を用いることにより、処理の完全電子化（情報化）
を実現でき、その決済用情報を通信回線で転送できる。
しかし、この方式の欠点は、利用者のプライバシを保証
できない点である（これは、現行のクレジットカードや
小切手においても同様である）。つまり、クレジットカ
ードを発行・決済する機関は、自由に利用者の購買履歴
を入手できるのはもとより、また、小売店までも利用者
のクレジットカード番号や署名を知ることができる。
【０００５】一方、ブラインド署名（詳細は後述する）
と支払い時でのオンラインチェック（小売店が、利用者
の提示した情報が二重／不正使用されていないかを、管
理センタにオンラインで問い合わせること。）を組み合
わせることにより、上述した情報化、安全性、プライバ
シの問題を解決できる。しかし、各小売店が各利用者の
購買時に必ずセンタにアクセスすることは、処理時間
（利用者の待ち時間）、通信コスト、管理センタでのオ
ンライン処理コスト及びデータベース維持管理コスト等
を考えると、現実的な解とは言えない。従って、現金支
払い時の処理はオフラインで処理できることが望まし
い。
と支払い時でのオンラインチェック（小売店が、利用者
の提示した情報が二重／不正使用されていないかを、管
理センタにオンラインで問い合わせること。）を組み合
わせることにより、上述した情報化、安全性、プライバ
シの問題を解決できる。しかし、各小売店が各利用者の
購買時に必ずセンタにアクセスすることは、処理時間
（利用者の待ち時間）、通信コスト、管理センタでのオ
ンライン処理コスト及びデータベース維持管理コスト等
を考えると、現実的な解とは言えない。従って、現金支
払い時の処理はオフラインで処理できることが望まし
い。
【０００６】プライバシを重視し、オフライン処理可能
な電子現金方式としては、例えば、D.Chaum, A.Fiat an
d M.Naor, “Untraceable Electronic Cash,”Advances
inCryptology-Crypto'88, Lecture Notes in Computer
Science 403, pp.319-327,Springer-Verlag, Berlin(1
988)やT.Okamoto etal. “Disposable Zero-Knowledge
Authentications and Their Applications to Untracea
ble Electronic Cash,”Advances in Cryptology-Cryt
o'89, Lecture Notes in Computer Science 435, pp.48
1-496, Springer-Verlag, Berlin(1989）、特願平２−
８８８３８号「電子現金実施方法及びその装置」などが
ある。
な電子現金方式としては、例えば、D.Chaum, A.Fiat an
d M.Naor, “Untraceable Electronic Cash,”Advances
inCryptology-Crypto'88, Lecture Notes in Computer
Science 403, pp.319-327,Springer-Verlag, Berlin(1
988)やT.Okamoto etal. “Disposable Zero-Knowledge
Authentications and Their Applications to Untracea
ble Electronic Cash,”Advances in Cryptology-Cryt
o'89, Lecture Notes in Computer Science 435, pp.48
1-496, Springer-Verlag, Berlin(1989）、特願平２−
８８８３８号「電子現金実施方法及びその装置」などが
ある。
【０００７】まず、利用者のプライバシを保証するため
の基本技術であるブラインド署名について説明する。ブ
ラインド署名では、署名者に文書の内容を秘密にしたま
まで署名を付けてもらう。ＲＳＡ法に基づいた方式が文
献 D.Chaum, “Security ｗｉthout Identification:
Transaction Systems to Make Big Brother Obsolete,
”Comm. of the ACM, 28, 10, pp.1030-1044(1985)
で、ゼロ知識対話証明に基づいたブラインド署名が文献
T.Okamoto etal. “Divertible Zero-Knowledge Intera
ctive Proofs and Commutative Random Self-Reducibl
e, ”The Proc. of Eurocrypt'89(1989) で示されてい
る。
の基本技術であるブラインド署名について説明する。ブ
ラインド署名では、署名者に文書の内容を秘密にしたま
まで署名を付けてもらう。ＲＳＡ法に基づいた方式が文
献 D.Chaum, “Security ｗｉthout Identification:
Transaction Systems to Make Big Brother Obsolete,
”Comm. of the ACM, 28, 10, pp.1030-1044(1985)
で、ゼロ知識対話証明に基づいたブラインド署名が文献
T.Okamoto etal. “Divertible Zero-Knowledge Intera
ctive Proofs and Commutative Random Self-Reducibl
e, ”The Proc. of Eurocrypt'89(1989) で示されてい
る。
【０００８】署名の要求者は、ブラインド署名前処理に
よって文書（ｍ）を乱数（ｒ）で攪乱してブラインドメ
ッセージ（ｘ）を生成する。署名者は、秘密鍵を用いて
ｘに対応する仮の署名（ｙ）を計算する。このとき、ｍ
はｒによって攪乱されているので、署名者は文書（ｍ）
を知ることはできない。要求者は、ブラインド署名後処
理によってｙから乱数（ｒ）の影響を除去して、本来の
文書（ｍ）に対する真の署名（ｙ′）を求めて、ｍと
ｙ′の組を検証者に送信する。検証者は、署名者の公開
鍵を用いてｙ′がｍの署名であることを確認する。ここ
で、検証者はｙとｙ′の対応関係を知ることはできな
い。ブラインド署名の手順 Ａを署名者、Ｐを署名要求者、ｅA を署名者Ａの公開情
報とする。Ｆをブラインド署名前処理アルゴリズム、Ｄ
を多重ブラインド署名アルゴリズム、Ｇをブラインド署
名後処理アルゴリズムとする。これらの関数の使用法
は、ＦeAとＤeAから作成した仮の署名Ω（＝ＤeA（ＦeA
（ｍ1 ），…，ＦeA（ｍk ))) にＧeAを施して、ｋ個の
メッセージｍ1 ，…，ｍk に対するＡの真の署名Ｂ＝Ｄ
eA（ｍ1 ，…，ｍk ）を算出する。署名者Ａと要求者Ｐ
は以下の手順に従って多重ブラインド署名を作成する。
よって文書（ｍ）を乱数（ｒ）で攪乱してブラインドメ
ッセージ（ｘ）を生成する。署名者は、秘密鍵を用いて
ｘに対応する仮の署名（ｙ）を計算する。このとき、ｍ
はｒによって攪乱されているので、署名者は文書（ｍ）
を知ることはできない。要求者は、ブラインド署名後処
理によってｙから乱数（ｒ）の影響を除去して、本来の
文書（ｍ）に対する真の署名（ｙ′）を求めて、ｍと
ｙ′の組を検証者に送信する。検証者は、署名者の公開
鍵を用いてｙ′がｍの署名であることを確認する。ここ
で、検証者はｙとｙ′の対応関係を知ることはできな
い。ブラインド署名の手順 Ａを署名者、Ｐを署名要求者、ｅA を署名者Ａの公開情
報とする。Ｆをブラインド署名前処理アルゴリズム、Ｄ
を多重ブラインド署名アルゴリズム、Ｇをブラインド署
名後処理アルゴリズムとする。これらの関数の使用法
は、ＦeAとＤeAから作成した仮の署名Ω（＝ＤeA（ＦeA
（ｍ1 ），…，ＦeA（ｍk ))) にＧeAを施して、ｋ個の
メッセージｍ1 ，…，ｍk に対するＡの真の署名Ｂ＝Ｄ
eA（ｍ1 ，…，ｍk ）を算出する。署名者Ａと要求者Ｐ
は以下の手順に従って多重ブラインド署名を作成する。
【０００９】ステップ１：Ｐはブラインド署名前処理に
より、ｋ個のメッセージ｛ｍi ｜ｉ＝１，２，…，ｋ｝
からｋ個のブラインドメッセージｘi ＝｛ＦeA（ｍi ）
｜ｉ＝１，２，…，ｋ｝を生成して、Ａに送信する。こ
こで、それぞれのｘi ＝ＦeA（ｍi ）は独立に計算され
ており、関数ＦeAは乱数を使用してｍi を隠す。 ステップ２：Ａは仮の署名Ω＝ＤeA（ＦeA（ｍ1 ），
…，ＦeA（ｍk ））をｋ個のブラインドメッセージＦeA
（ｍ1 ），…，ＦeA（ｍk ）から生成して、Ｐに送信す
る。
より、ｋ個のメッセージ｛ｍi ｜ｉ＝１，２，…，ｋ｝
からｋ個のブラインドメッセージｘi ＝｛ＦeA（ｍi ）
｜ｉ＝１，２，…，ｋ｝を生成して、Ａに送信する。こ
こで、それぞれのｘi ＝ＦeA（ｍi ）は独立に計算され
ており、関数ＦeAは乱数を使用してｍi を隠す。 ステップ２：Ａは仮の署名Ω＝ＤeA（ＦeA（ｍ1 ），
…，ＦeA（ｍk ））をｋ個のブラインドメッセージＦeA
（ｍ1 ），…，ＦeA（ｍk ）から生成して、Ｐに送信す
る。
【００１０】ステップ３：Ｐは、ＧeAを用いたブライン
ド署名後処理により、ｍ1 ，…，ｍ k に対応したＡの真
のディジタル署名Ｂ＝ＤeA（ｍ1 ，…，ｍk ）を算出す
る。 （ブラインド署名の手順終わり）ＲＳＡ法をブラインド
署名に使用する場合には、ブラインドメッセージ（ブラ
インド署名前処理）を、ｘi ＝ＦeA（ｍi ）＝ｒi eA×
ｍi mod ｎ、ここでｒiは攪乱するための乱数、仮の署
名を、
ド署名後処理により、ｍ1 ，…，ｍ k に対応したＡの真
のディジタル署名Ｂ＝ＤeA（ｍ1 ，…，ｍk ）を算出す
る。 （ブラインド署名の手順終わり）ＲＳＡ法をブラインド
署名に使用する場合には、ブラインドメッセージ（ブラ
インド署名前処理）を、ｘi ＝ＦeA（ｍi ）＝ｒi eA×
ｍi mod ｎ、ここでｒiは攪乱するための乱数、仮の署
名を、
【００１１】
【数１】
【００１２】ブラインド署名後処理を、
【００１３】
【数２】
【００１４】とそれぞれおいて、署名は、
【００１５】
【数３】
【００１６】となる。このとき、検証式ＶeA（ｍ1 ，
…，ｍk ，Ｂ）は
…，ｍk ，Ｂ）は
【００１７】
【数４】
【００１８】のとき合格（ＯＫ）を出力する。ここで、
（ｅA ，ｎ）はＡの使用するＲＳＡ法の公開鍵であり、
次の式をみたす。 ｎ＝Ｐ×Ｑ ｅA ×ｄA ≡１（mod Ｌ） ただしＬ＝ＬＣＭ｛（Ｐ−１），（Ｑ−１）｝ ここで、Ｌ＝ＬＣＭ｛ａ，ｂ｝はａとｂの最小公倍数
を、ａ≡ｂ（mod ｎ）は（ａ−ｂ）がｎの倍数であるこ
とを表す。以降ではｄA を１／ｅA と表すこともある。
以下の Chaum・Fiat・Naor法ではｋ＞１の場合を、後述
する実施例では、ｋ＝１の場合を想定する。
（ｅA ，ｎ）はＡの使用するＲＳＡ法の公開鍵であり、
次の式をみたす。 ｎ＝Ｐ×Ｑ ｅA ×ｄA ≡１（mod Ｌ） ただしＬ＝ＬＣＭ｛（Ｐ−１），（Ｑ−１）｝ ここで、Ｌ＝ＬＣＭ｛ａ，ｂ｝はａとｂの最小公倍数
を、ａ≡ｂ（mod ｎ）は（ａ−ｂ）がｎの倍数であるこ
とを表す。以降ではｄA を１／ｅA と表すこともある。
以下の Chaum・Fiat・Naor法ではｋ＞１の場合を、後述
する実施例では、ｋ＝１の場合を想定する。
【００１９】ＲＳＡ暗号の構成例は、文献 Rivest, R.
L. etal. “A Method for ObtainingDigital Signature
s and Public-Key Cryptosystems”，Communications o
f the ACM, Vol. 21, No.2, pp.120-126,(1978）に示さ
れている。ブラインド署名の構成法は、例えば、Chaum,
D. “Blind Signature Systems”，US Patent No.:4,7
59,063 や Ohta, K. etal. “Authentication System a
nd Apparatus Therefor”，US patent No.:4,969,189
に示されている。
L. etal. “A Method for ObtainingDigital Signature
s and Public-Key Cryptosystems”，Communications o
f the ACM, Vol. 21, No.2, pp.120-126,(1978）に示さ
れている。ブラインド署名の構成法は、例えば、Chaum,
D. “Blind Signature Systems”，US Patent No.:4,7
59,063 や Ohta, K. etal. “Authentication System a
nd Apparatus Therefor”，US patent No.:4,969,189
に示されている。
【００２０】ところで、利用者のブライバシは、ブライ
ンド署名を用いることで、利用者だけの責任において保
証できる。すなわち、攪乱用の乱数ｒの付加と除去を利
用者が実行するので、ｒを秘密にする限りは、誰もがｙ
＝Ωとｙ′＝Ｂの対応関係を知ることはできないことに
注意しよう。ここで、代表的な電子現金方式である Cha
um・Fiat・Naor法での、銀行と利用者間での電子現金の
発行処理、利用者の小売店での電子現金の支払い、小売
店と銀行間の決裁処理について述べる。電子現金の発行処理 利用者Ｐが、銀行Ａから電子現金Ｃを発行してもらう手
順を示す。ここで、ＩＤは利用者Ｐの識別情報、ｅ
A は、利用者が指定する電子現金の金額（例えば１万
円）に対応する銀行のディジタル署名用の公開鍵とす
る。利用者が銀行から電子現金を発行してもらう手順
は、以下の通りである。
ンド署名を用いることで、利用者だけの責任において保
証できる。すなわち、攪乱用の乱数ｒの付加と除去を利
用者が実行するので、ｒを秘密にする限りは、誰もがｙ
＝Ωとｙ′＝Ｂの対応関係を知ることはできないことに
注意しよう。ここで、代表的な電子現金方式である Cha
um・Fiat・Naor法での、銀行と利用者間での電子現金の
発行処理、利用者の小売店での電子現金の支払い、小売
店と銀行間の決裁処理について述べる。電子現金の発行処理 利用者Ｐが、銀行Ａから電子現金Ｃを発行してもらう手
順を示す。ここで、ＩＤは利用者Ｐの識別情報、ｅ
A は、利用者が指定する電子現金の金額（例えば１万
円）に対応する銀行のディジタル署名用の公開鍵とす
る。利用者が銀行から電子現金を発行してもらう手順
は、以下の通りである。
【００２１】ステップ１：利用者Ｐは、乱数ａi （ただ
し、ｉ＝１，…，Ｋ）を生成して、公開された一方向関
数ｇを用いて、 ｘi ＝ｇ（ａi ） ｙi ＝ｇ（ａi （＋）ＩＤ） を求める。（＋）は排他的論理和を示す。
し、ｉ＝１，…，Ｋ）を生成して、公開された一方向関
数ｇを用いて、 ｘi ＝ｇ（ａi ） ｙi ＝ｇ（ａi （＋）ＩＤ） を求める。（＋）は排他的論理和を示す。
【００２２】ステップ２：Ｐは、公開された一方向関数
ｆとブラインド署名前処理関数ＦeAを用いて、 Ｗi ＝ＦeA（ｆ（ｘi ，ｙi ）） を計算して、銀行に提示する。 ステップ３：銀行Ａは、１からＫの中からランダムにＫ
／２個の部分集合Ｕ＝｛ｉj ｝、（ただし１＜ｊ＜Ｋ／
２に対して１＜ｉ j ＜Ｋ）を選び、それを開示要求とし
て利用者に送信する。（以下では、表記を簡単にするた
めに、Ｕ＝｛Ｋ／２＋１，Ｋ／２＋２，…，Ｋ）｝が開
示要求として指定されたと仮定して説明する。）Ｋ個の
中からランダムにＫ／２個の部分集合の開示を要求する
手順を「抜き打ち検査」とよぶ。
ｆとブラインド署名前処理関数ＦeAを用いて、 Ｗi ＝ＦeA（ｆ（ｘi ，ｙi ）） を計算して、銀行に提示する。 ステップ３：銀行Ａは、１からＫの中からランダムにＫ
／２個の部分集合Ｕ＝｛ｉj ｝、（ただし１＜ｊ＜Ｋ／
２に対して１＜ｉ j ＜Ｋ）を選び、それを開示要求とし
て利用者に送信する。（以下では、表記を簡単にするた
めに、Ｕ＝｛Ｋ／２＋１，Ｋ／２＋２，…，Ｋ）｝が開
示要求として指定されたと仮定して説明する。）Ｋ個の
中からランダムにＫ／２個の部分集合の開示を要求する
手順を「抜き打ち検査」とよぶ。
【００２３】ステップ４：利用者Ｐは、銀行Ａから開示
要求を受信すると、指定されたＫ／２個のａi とＷi を
作成するために関数ＦeAの中で用いた乱数をＡに開示す
る。 ステップ５：銀行Ａは、開示されたＫ／２組のすべてに
ついて正当性の検証を行ない、いずれかの検査に不合格
のときには、以降の処理を中止する。すべての検査に合
格のときには、銀行Ａは開示対象でないｉ（ここでは、
ｉ＝１，２，…，Ｋ／２）に対して、次の手順を行な
う。
要求を受信すると、指定されたＫ／２個のａi とＷi を
作成するために関数ＦeAの中で用いた乱数をＡに開示す
る。 ステップ５：銀行Ａは、開示されたＫ／２組のすべてに
ついて正当性の検証を行ない、いずれかの検査に不合格
のときには、以降の処理を中止する。すべての検査に合
格のときには、銀行Ａは開示対象でないｉ（ここでは、
ｉ＝１，２，…，Ｋ／２）に対して、次の手順を行な
う。
【００２４】ステップ６：銀行Ａは、 Ω＝ＤeA（Ｗ1 ，…，ＷK/2 ） を計算して、利用者Ｐに送信する。 ステップ７：利用者Ｐは、銀行からの受信データΩから
電子現金Ｃを以下のように計算する。
電子現金Ｃを以下のように計算する。
【００２５】Ｃ＝ＧeA（Ω）＝ＤeA（ｆ（ｘ1 ，ｙ
1 ），…，ｆ（ｘK/2,ｙK/2 ））電子現金による支払 つぎに、利用者Ｐが銀行Ａより発行された電子現金Ｃを
用いて小売店Ｖで支払をする場合について説明する。そ
れぞれのｉ（ただしｉ＝１，２，…，Ｋ／２）に対し
て、次の処理を実行する。
1 ），…，ｆ（ｘK/2,ｙK/2 ））電子現金による支払 つぎに、利用者Ｐが銀行Ａより発行された電子現金Ｃを
用いて小売店Ｖで支払をする場合について説明する。そ
れぞれのｉ（ただしｉ＝１，２，…，Ｋ／２）に対し
て、次の処理を実行する。
【００２６】ステップ１：利用者Ｐは、電子現金（Ｃ）
を小売店Ｖへ送信する。 ステップ２：小売店Ｖは乱数ビットｅi を生成して、利
用者Ｐへ送信する。 ステップ３：利用者Ｐは、ｅi ＝１のときａi とｙ
i を、ｅi ＝０のときｘiとａi （＋）ＩＤを小売店Ｖ
へ送信する。 ステップ４：小売店Ｖは、銀行Ａの公開鍵ｅA を用い
て、Ｃがメッセージｆ（ｘ1 ，ｙ1 ），…，ｆ（ｘ
K/2 ，ｙK/2 ）の正しい署名であることを検査する。 決済 最後に、小売店Ｖと銀行Ａの間の決済方法について説明
する。小売店Ｖは、利用者との電子現金使用時の交信履
歴Ｈを銀行に提出する。銀行はＨの正当性を検査し、検
査に合格すれば、Ｈを記憶しておくと共に小売店の口座
に該当する金額を払い込む（もしくは、何らかの手段で
該当する金額を小売店に支払う）。銀行は、電子現金の
不正使用を見つけると、Ｈとすでに記憶している交信履
歴からＣに対応して記憶しているａi とａi （＋）ＩＤ
を探し出して、不正者の識別情報ＩＤを確定する。
を小売店Ｖへ送信する。 ステップ２：小売店Ｖは乱数ビットｅi を生成して、利
用者Ｐへ送信する。 ステップ３：利用者Ｐは、ｅi ＝１のときａi とｙ
i を、ｅi ＝０のときｘiとａi （＋）ＩＤを小売店Ｖ
へ送信する。 ステップ４：小売店Ｖは、銀行Ａの公開鍵ｅA を用い
て、Ｃがメッセージｆ（ｘ1 ，ｙ1 ），…，ｆ（ｘ
K/2 ，ｙK/2 ）の正しい署名であることを検査する。 決済 最後に、小売店Ｖと銀行Ａの間の決済方法について説明
する。小売店Ｖは、利用者との電子現金使用時の交信履
歴Ｈを銀行に提出する。銀行はＨの正当性を検査し、検
査に合格すれば、Ｈを記憶しておくと共に小売店の口座
に該当する金額を払い込む（もしくは、何らかの手段で
該当する金額を小売店に支払う）。銀行は、電子現金の
不正使用を見つけると、Ｈとすでに記憶している交信履
歴からＣに対応して記憶しているａi とａi （＋）ＩＤ
を探し出して、不正者の識別情報ＩＤを確定する。
【００２７】以上が Chaum・Fiat・Naor法であるが利用
者が不正にＣを２回使用すると、ｅ i ＝１のときａi ，
ｅi ＝０のときａi （＋）ＩＤが銀行に記憶されている
ので、１回目と２回目のｅi が異なる場合には、ａ
i （＋）（ａi （＋）ＩＤ）＝ＩＤが成り立つので、銀
行はこれを計算してＩＤを検出できる。銀行は、Ｋ／２
ビットを問い合わせるので、Ｃの二重使用を検出できな
い確率は２-K/2となる（通常、Ｋ＝２０程度が推奨され
ている）。
者が不正にＣを２回使用すると、ｅ i ＝１のときａi ，
ｅi ＝０のときａi （＋）ＩＤが銀行に記憶されている
ので、１回目と２回目のｅi が異なる場合には、ａ
i （＋）（ａi （＋）ＩＤ）＝ＩＤが成り立つので、銀
行はこれを計算してＩＤを検出できる。銀行は、Ｋ／２
ビットを問い合わせるので、Ｃの二重使用を検出できな
い確率は２-K/2となる（通常、Ｋ＝２０程度が推奨され
ている）。
【００２８】
【発明が解決しようとする課題】前述の電子現金方法
は、複数の銀行が電子現金を発行した場合、利用者はそ
れぞれの銀行公開鍵を保有することが必要となるほか、
銀行も他行発行の電子現金を受け取った場合、不正使用
の有無を検査するために発行元の銀行に戻す仕組みが必
要となるなど、それぞれ管理負担が大きい。さらに、電
子現金を払い出す銀行は、必ず発行電子現金を負債とし
て会計処理する発行銀行となる必要があり、ある程度の
信用力をもち、電子現金の発行管理負担等を担う能力の
ある銀行でないと事実上電子現金を利用できないほか、
電子現金の発行機関を１つに限りこれを一元的に管理す
ることが不可能であった。
は、複数の銀行が電子現金を発行した場合、利用者はそ
れぞれの銀行公開鍵を保有することが必要となるほか、
銀行も他行発行の電子現金を受け取った場合、不正使用
の有無を検査するために発行元の銀行に戻す仕組みが必
要となるなど、それぞれ管理負担が大きい。さらに、電
子現金を払い出す銀行は、必ず発行電子現金を負債とし
て会計処理する発行銀行となる必要があり、ある程度の
信用力をもち、電子現金の発行管理負担等を担う能力の
ある銀行でないと事実上電子現金を利用できないほか、
電子現金の発行機関を１つに限りこれを一元的に管理す
ることが不可能であった。
【００２９】また、前述の電子現金方法は、不正にコピ
ーされた電子現金の使用者を特定する目的で、過去に使
用された全ての電子現金の使用履歴を銀行が保持しなけ
ればならず、かつ決済時にはこれら全ての使用履歴を検
索する必要があり、即時決済を行うには大容量かつ高速
なデータベースが必要になるという問題がある。銀行が
保持すべき電子コインの履歴を削減する一つの方法は、
銀行が利用者に対し預金引き下ろし時に引換証を発行
し、一定期間内に利用者はこの引換証と交換に電子コイ
ンを発行して貰い、この時銀行はコイン番号を記憶して
おき、決済終了後に使用済コインの番号情報を削除する
ことである。しかしながら、この方法では、利用者にと
って引き下ろしの手続きが２回に分割されて不便なほ
か、この引換証を受け取ってから電子現金を発行して貰
うまでの一定の期間に規則性がみられたり、引き出し回
数が多い等の目立った行動パターンがあると、銀行によ
って容易に身元が特定され、コイン番号と紐づけられる
可能性があり、匿名性が完全ではない。
ーされた電子現金の使用者を特定する目的で、過去に使
用された全ての電子現金の使用履歴を銀行が保持しなけ
ればならず、かつ決済時にはこれら全ての使用履歴を検
索する必要があり、即時決済を行うには大容量かつ高速
なデータベースが必要になるという問題がある。銀行が
保持すべき電子コインの履歴を削減する一つの方法は、
銀行が利用者に対し預金引き下ろし時に引換証を発行
し、一定期間内に利用者はこの引換証と交換に電子コイ
ンを発行して貰い、この時銀行はコイン番号を記憶して
おき、決済終了後に使用済コインの番号情報を削除する
ことである。しかしながら、この方法では、利用者にと
って引き下ろしの手続きが２回に分割されて不便なほ
か、この引換証を受け取ってから電子現金を発行して貰
うまでの一定の期間に規則性がみられたり、引き出し回
数が多い等の目立った行動パターンがあると、銀行によ
って容易に身元が特定され、コイン番号と紐づけられる
可能性があり、匿名性が完全ではない。
【００３０】この発明の目的は、銀行と電子現金の発行
機関を分離することによって、複数の銀行が同一の発行
機関を利用することができ、利用者はどの銀行から引き
出した電子現金かを意識することなく区別せずに扱うこ
とができ、発行機関は電子現金の発行・還収を一元的に
管理することが可能な電子現金方法およびその装置であ
って、利用者のプライバシーを保ちつつ、電子現金の発
行に伴い保持すべきデータを削減し、即時決済が容易な
電子現金方法およびその装置を提供することにある。
機関を分離することによって、複数の銀行が同一の発行
機関を利用することができ、利用者はどの銀行から引き
出した電子現金かを意識することなく区別せずに扱うこ
とができ、発行機関は電子現金の発行・還収を一元的に
管理することが可能な電子現金方法およびその装置であ
って、利用者のプライバシーを保ちつつ、電子現金の発
行に伴い保持すべきデータを削減し、即時決済が容易な
電子現金方法およびその装置を提供することにある。
【００３１】
【課題を解決するための手段】この発明の一例によれ
ば、まず、利用者装置は引換番号Ｒｃからなる署名対象
Ｃを作成する。ブラインド署名を用いてこの署名対象Ｃ
に対する日付情報付の銀行署名ＳＣを入手し、このＳＣ
を引換証とし、その後、利用者装置はＲｃおよびＳＣを
発行機関装置へ送付し、発行機関装置はＳＣに付けられ
た日付情報付銀行署名ＳＣから、発行されてから一定期
間内にあることを検証するとともに、引換番号Ｒｃが引
換履歴ＨＣに記憶されていないことを確認し、更に、利
用者装置と同じ手順でＲｃよりＣを計算し、ＳＣがＣに
対する銀行署名であることを確認する。その後、コイン
番号Ｒｆを発行し、Ｒｆに基づいて電子コインＦを発行
し、引換番号Ｒｃを引換履歴ＨＣに、コイン番号Ｒｆに
関する情報を発行履歴ＨＦへそれぞれ記憶する。前記確
認のいずれかを満たさなかった場合は電子コインの発行
を中止する。
ば、まず、利用者装置は引換番号Ｒｃからなる署名対象
Ｃを作成する。ブラインド署名を用いてこの署名対象Ｃ
に対する日付情報付の銀行署名ＳＣを入手し、このＳＣ
を引換証とし、その後、利用者装置はＲｃおよびＳＣを
発行機関装置へ送付し、発行機関装置はＳＣに付けられ
た日付情報付銀行署名ＳＣから、発行されてから一定期
間内にあることを検証するとともに、引換番号Ｒｃが引
換履歴ＨＣに記憶されていないことを確認し、更に、利
用者装置と同じ手順でＲｃよりＣを計算し、ＳＣがＣに
対する銀行署名であることを確認する。その後、コイン
番号Ｒｆを発行し、Ｒｆに基づいて電子コインＦを発行
し、引換番号Ｒｃを引換履歴ＨＣに、コイン番号Ｒｆに
関する情報を発行履歴ＨＦへそれぞれ記憶する。前記確
認のいずれかを満たさなかった場合は電子コインの発行
を中止する。
【００３２】支払に使用された電子コインＦは決済時に
銀行Ｂへ送信され、銀行Ｂはこれをさらに発行機関装置
に送信し、発行機関装置はコイン番号Ｒｆが記憶されて
いることを確認した後、Ｒｆに関する情報を発行履歴Ｈ
Ｆから削除する。また、Ｒｃの署名に含まれる日付から
一定期間の後、Ｒｃに関する情報を引換履歴ＨＣから削
除する。削除したＲｃ、Ｒｆに関する情報を外部記憶装
置へ保存することもできる。
銀行Ｂへ送信され、銀行Ｂはこれをさらに発行機関装置
に送信し、発行機関装置はコイン番号Ｒｆが記憶されて
いることを確認した後、Ｒｆに関する情報を発行履歴Ｈ
Ｆから削除する。また、Ｒｃの署名に含まれる日付から
一定期間の後、Ｒｃに関する情報を引換履歴ＨＣから削
除する。削除したＲｃ、Ｒｆに関する情報を外部記憶装
置へ保存することもできる。
【００３３】
実施例１ 以下では、この発明の一実施例について説明する。図１
はこの発明の実施に必要とする要素を示し、引換証の発
行及び電子現金の決済を行う銀行Ａ及びＢの各装置（以
下、銀行装置と記す）１００及び５００と、電子現金を
発行してもらう利用者Ｕの装置（以下、利用者装置と記
す）２００と、電子現金を発行する機関（以下、発行機
関Ｏと記す）の装置（以下、発行機関装置と記す）３０
０と電子現金を受領する受領者Ｍの装置（以下、受領者
装置と記す）４００とよりなり、これらは例えば通信回
線を介して接続されているが、情報を記録できるＩＣカ
ード等を介しての接続であってもよい。準備 まず、銀行装置１００は署名アルゴリズムＤ１および、
この署名法に対応する秘密情報Ｓ１および公開情報Ｐ１
を記憶装置１０１に保持し、Ｓ１を用いて本日の日付Ｄ
に対する署名ＳＤを生成する。Ｄ，ＳＤを発行機関装置
３００に送信すると共に、記憶する。ＳＤ作成に使用す
る署名アルゴリズムＤ１がＲＳＡの場合、秘密情報Ｓ１
は２つの大きな素数ｐ１，ｑ１および整数ｄ１であり、
公開情報Ｐ１はｅ１およびＮ１であり、Ｎ１とｐ１，ｑ
１はＮ１＝ｐ１×ｑ１の関係にあり、ｄ１とｅ１はｄ１
＝１／ｅ１ mod ＬＣＭ（ｐ１−１，ｑ１−１）なる関
係を満たす。ＬＣＭ（ａ，ｂ）はａとｂの最小公約数を
示す。また、署名ＳＤはＳＤ＝Ｄd1 mod Ｎ１を実行す
る署名生成器によって生成し、検証式Ｖ１はＤがＳＤe1
mod Ｎ１に等しいことを検証する署名検証器によって
検証する。
はこの発明の実施に必要とする要素を示し、引換証の発
行及び電子現金の決済を行う銀行Ａ及びＢの各装置（以
下、銀行装置と記す）１００及び５００と、電子現金を
発行してもらう利用者Ｕの装置（以下、利用者装置と記
す）２００と、電子現金を発行する機関（以下、発行機
関Ｏと記す）の装置（以下、発行機関装置と記す）３０
０と電子現金を受領する受領者Ｍの装置（以下、受領者
装置と記す）４００とよりなり、これらは例えば通信回
線を介して接続されているが、情報を記録できるＩＣカ
ード等を介しての接続であってもよい。準備 まず、銀行装置１００は署名アルゴリズムＤ１および、
この署名法に対応する秘密情報Ｓ１および公開情報Ｐ１
を記憶装置１０１に保持し、Ｓ１を用いて本日の日付Ｄ
に対する署名ＳＤを生成する。Ｄ，ＳＤを発行機関装置
３００に送信すると共に、記憶する。ＳＤ作成に使用す
る署名アルゴリズムＤ１がＲＳＡの場合、秘密情報Ｓ１
は２つの大きな素数ｐ１，ｑ１および整数ｄ１であり、
公開情報Ｐ１はｅ１およびＮ１であり、Ｎ１とｐ１，ｑ
１はＮ１＝ｐ１×ｑ１の関係にあり、ｄ１とｅ１はｄ１
＝１／ｅ１ mod ＬＣＭ（ｐ１−１，ｑ１−１）なる関
係を満たす。ＬＣＭ（ａ，ｂ）はａとｂの最小公約数を
示す。また、署名ＳＤはＳＤ＝Ｄd1 mod Ｎ１を実行す
る署名生成器によって生成し、検証式Ｖ１はＤがＳＤe1
mod Ｎ１に等しいことを検証する署名検証器によって
検証する。
【００３４】また、銀行装置１００は電子コインの額面
ｗｉ（ｉ＝１，…，ｎ）毎に異なる公開情報Ｐｗｉと秘
密情報Ｓｗｉを保持し、金額対鍵対応表として記憶して
いるものとする。ここで、秘密情報Ｓｗｉは２つの大き
な素数ｐｗｉ，ｑｗｉおよび整数ｄｗｉであり、公開情
報ＰｗｉはｅｗｉおよびＮｗｉであり、Ｎｗｉとｐｗ
ｉ，ｑｗｉはＮｗｉ＝ｐｗｉ×ｑｗｉの関係にあり、ｄ
ｗｉとｅｗｉはｄｗｉ＝１／ｅｗｉ modＬＣＭ（ｐｗｉ
−１，ｑｗｉ−１）なる関係を満たす。
ｗｉ（ｉ＝１，…，ｎ）毎に異なる公開情報Ｐｗｉと秘
密情報Ｓｗｉを保持し、金額対鍵対応表として記憶して
いるものとする。ここで、秘密情報Ｓｗｉは２つの大き
な素数ｐｗｉ，ｑｗｉおよび整数ｄｗｉであり、公開情
報ＰｗｉはｅｗｉおよびＮｗｉであり、Ｎｗｉとｐｗ
ｉ，ｑｗｉはＮｗｉ＝ｐｗｉ×ｑｗｉの関係にあり、ｄ
ｗｉとｅｗｉはｄｗｉ＝１／ｅｗｉ modＬＣＭ（ｐｗｉ
−１，ｑｗｉ−１）なる関係を満たす。
【００３５】発行機関装置３００は署名アルゴリズムＤ
２および、この署名法に対応する秘密情報Ｓ２および公
開情報Ｐ２を保持する。例えば、署名アルゴリズムＤ２
がＲＳＡの場合、秘密情報Ｓ２は２つの大きな素数ｐ
２，ｑ２および整数ｄ２であり、公開情報Ｐ２はｅ２お
よびＮ２であり、Ｎ２とｐ２，ｑ２はＮ２＝ｐ２×ｑ２
の関係にあり、ｄ２とｅ２はｄ２＝１／ｅ２ mod ＬＣ
Ｍ（ｐ２−１，ｑ２−１）なる関係を満たす。また、署
名アルゴリズムＤ２は署名対象Ｘに対してＹ＝Ｘ d2 mod
Ｎ２を計算する署名生成器によって実行し、検証式Ｖ
２はＸがＹe2 modＮ２に等しいことを検証する署名検証
器によって検証する。また額面ｗｉに対応する公開情報
Ｐｗｉの金額対鍵対応表を記憶している。
２および、この署名法に対応する秘密情報Ｓ２および公
開情報Ｐ２を保持する。例えば、署名アルゴリズムＤ２
がＲＳＡの場合、秘密情報Ｓ２は２つの大きな素数ｐ
２，ｑ２および整数ｄ２であり、公開情報Ｐ２はｅ２お
よびＮ２であり、Ｎ２とｐ２，ｑ２はＮ２＝ｐ２×ｑ２
の関係にあり、ｄ２とｅ２はｄ２＝１／ｅ２ mod ＬＣ
Ｍ（ｐ２−１，ｑ２−１）なる関係を満たす。また、署
名アルゴリズムＤ２は署名対象Ｘに対してＹ＝Ｘ d2 mod
Ｎ２を計算する署名生成器によって実行し、検証式Ｖ
２はＸがＹe2 modＮ２に等しいことを検証する署名検証
器によって検証する。また額面ｗｉに対応する公開情報
Ｐｗｉの金額対鍵対応表を記憶している。
【００３６】利用者装置２００は、銀行が公開した公開
情報Ｐ１、額面ｗｉに対応する公開情報Ｐｗｉの金額対
鍵対応表および発行機関が公開したＰ２を保持する。引換証発行処理 利用者Ｕが引換証を銀行Ａから発行してもらう手順は以
下のとおりである（図２、図３、図８参照）。
情報Ｐ１、額面ｗｉに対応する公開情報Ｐｗｉの金額対
鍵対応表および発行機関が公開したＰ２を保持する。引換証発行処理 利用者Ｕが引換証を銀行Ａから発行してもらう手順は以
下のとおりである（図２、図３、図８参照）。
【００３７】ステップ１：利用者装置２００は銀行装置
１００よりＤおよびＳＤを入手し（Ｓ１）、これと公開
情報Ｐ１を署名検証器２０２へ入力する。署名検証器２
０２は入力Ｄが本日の日付であることを確認した後、署
名アルゴリズムＤ１に基づく検証式 Ｄ＝ＳＤe1 mod Ｎ１ …（Ｖ１） が成り立つことを検証する（Ｓ２）。
１００よりＤおよびＳＤを入手し（Ｓ１）、これと公開
情報Ｐ１を署名検証器２０２へ入力する。署名検証器２
０２は入力Ｄが本日の日付であることを確認した後、署
名アルゴリズムＤ１に基づく検証式 Ｄ＝ＳＤe1 mod Ｎ１ …（Ｖ１） が成り立つことを検証する（Ｓ２）。
【００３８】検証が正しければ、引換番号生成器２０３
を駆動して引換番号Ｒｃを生成し、Ｄ、ＳＤ、および引
換番号Ｒｃをハッシュ演算器２０４へ入力する。ハッシ
ュ演算器２０４は Ｃ＝ｇ（Ｄ，ＳＤ，Ｒｃ） を計算する。ただし、ｇ（ ）を一方向性関数とする。
を駆動して引換番号Ｒｃを生成し、Ｄ、ＳＤ、および引
換番号Ｒｃをハッシュ演算器２０４へ入力する。ハッシ
ュ演算器２０４は Ｃ＝ｇ（Ｄ，ＳＤ，Ｒｃ） を計算する。ただし、ｇ（ ）を一方向性関数とする。
【００３９】続いて、乱数生成器２０５を駆動して乱数
Ｒｂを生成し、引き下ろし金額ｗｉに対応する公開情報
Ｐｗｉを記憶装置２０１内の金額対鍵対応表より読み出
し、Ｐｗｉ，ＣおよびＲｂをブラインド署名前処理器２
０６へ入力する。ブラインド署名前処理器２０６は Ｚ＝Ｃ×Ｒｂewi mod Ｎｗｉ を計算し（Ｓ３）、この処理結果Ｚおよび引き下ろし金
額情報ｗｉを銀行装置１００に送付する（Ｓ４）。
Ｒｂを生成し、引き下ろし金額ｗｉに対応する公開情報
Ｐｗｉを記憶装置２０１内の金額対鍵対応表より読み出
し、Ｐｗｉ，ＣおよびＲｂをブラインド署名前処理器２
０６へ入力する。ブラインド署名前処理器２０６は Ｚ＝Ｃ×Ｒｂewi mod Ｎｗｉ を計算し（Ｓ３）、この処理結果Ｚおよび引き下ろし金
額情報ｗｉを銀行装置１００に送付する（Ｓ４）。
【００４０】ステップ２：銀行装置１００は受信したｗ
ｉに対応する秘密情報Ｓｗｉを記憶装置１０１内の金額
対鍵対応表より読み出し、ＳｗｉおよびＺを署名生成器
１０２へ入力して Ｑ＝Ｚdwi mod Ｎｗｉ を計算して、ブラインド署名し（Ｓ５）、この署名処理
結果Ｑを利用者装置２００へ返信する（Ｓ６）とともに
会計処置装置１２１は適当な会計処理を講じる。例えば
利用者Ｕの口座を金額ｗｉだけ減額し、これを銀行Ａの
引換証発行見合いの特別な管理勘定へ移転する記帳を実
施。
ｉに対応する秘密情報Ｓｗｉを記憶装置１０１内の金額
対鍵対応表より読み出し、ＳｗｉおよびＺを署名生成器
１０２へ入力して Ｑ＝Ｚdwi mod Ｎｗｉ を計算して、ブラインド署名し（Ｓ５）、この署名処理
結果Ｑを利用者装置２００へ返信する（Ｓ６）とともに
会計処置装置１２１は適当な会計処理を講じる。例えば
利用者Ｕの口座を金額ｗｉだけ減額し、これを銀行Ａの
引換証発行見合いの特別な管理勘定へ移転する記帳を実
施。
【００４１】ステップ３：利用者装置は受信した署名Ｑ
を Ｚ＝Ｑewi mod Ｎｗｉ の検証式で検証し（Ｓ７）、検証が正しければブライン
ド署名後処理器２０７へＲｂ、公開鍵情報Ｐｗｉおよび
受信したＱを入力し、 ＳＣ＝Ｑ／Ｒｂ mod Ｎｗｉ を計算してブラインド署名後処理を行い、引換証ＳＣを
得る（Ｓ８）。この引換証ＳＣおよびｗｉ，Ｄ，ＳＤ，
Ｒｃを引換情報として、記憶装置２０１へ記憶する（Ｓ
９）。引換処理 つぎに、利用者Ｕが銀行Ａより発行された引換情報と引
換に発行機関Ｏから電子コインを発行してもらう手順に
ついて説明する（図４、図５、図９参照）。なお、この
引換処理は、引換証発行処理に引き続き実施しても良い
ため、利用者Ｕは実際にはこれら２つの処理を意識せず
一連の処理とみなすことができる。また、発行機関Ｏお
よび銀行Ａがそれぞれ保有する会計処理装置３２１、１
２１は利用者Ｕの電子コイン引き出しに際し、適当な会
計処理を講じる。例えば銀行装置１００の会計処理装置
は発行機関装置３００からの連絡を受け、引換証発行見
合いの特別な管理勘定から金額ｗｉだけ減額する記帳を
行い、同額を発行機関装置３００へ送金し、発行機関装
置３００の会計処理装置３２１は、これを電子コイン発
行見合い金の管理勘定に記帳して管理する。
を Ｚ＝Ｑewi mod Ｎｗｉ の検証式で検証し（Ｓ７）、検証が正しければブライン
ド署名後処理器２０７へＲｂ、公開鍵情報Ｐｗｉおよび
受信したＱを入力し、 ＳＣ＝Ｑ／Ｒｂ mod Ｎｗｉ を計算してブラインド署名後処理を行い、引換証ＳＣを
得る（Ｓ８）。この引換証ＳＣおよびｗｉ，Ｄ，ＳＤ，
Ｒｃを引換情報として、記憶装置２０１へ記憶する（Ｓ
９）。引換処理 つぎに、利用者Ｕが銀行Ａより発行された引換情報と引
換に発行機関Ｏから電子コインを発行してもらう手順に
ついて説明する（図４、図５、図９参照）。なお、この
引換処理は、引換証発行処理に引き続き実施しても良い
ため、利用者Ｕは実際にはこれら２つの処理を意識せず
一連の処理とみなすことができる。また、発行機関Ｏお
よび銀行Ａがそれぞれ保有する会計処理装置３２１、１
２１は利用者Ｕの電子コイン引き出しに際し、適当な会
計処理を講じる。例えば銀行装置１００の会計処理装置
は発行機関装置３００からの連絡を受け、引換証発行見
合いの特別な管理勘定から金額ｗｉだけ減額する記帳を
行い、同額を発行機関装置３００へ送金し、発行機関装
置３００の会計処理装置３２１は、これを電子コイン発
行見合い金の管理勘定に記帳して管理する。
【００４２】ステップ１：利用者装置２００は電子コイ
ンの引換のために、発行機関装置３００へｗｉ，Ｄ，Ｓ
Ｄ，ＲｃおよびＳＣを送信する（Ｓ１）。 ステップ２：発行機関装置３００は受信したＤ，ＳＤお
よび、記憶装置３０１内のＤ，ＳＤを比較器３０２へ入
力してＤ，ＳＤが一致することを確認する（署名検証器
により検証式Ｖ１を確認しても構わない）（Ｓ２）。
Ｄ，ＳＤが一致した場合は、Ｒｃを検索器３０３へ入力
して引換履歴ＨＣを検索しＲｃが過去に使用されていな
いことを確認する（Ｓ３）。Ｒｃが過去に使用されてい
ない場合は、Ｄ，ＳＤ，Ｒｃ，ＳＣ，Ｐｗｉを署名検証
器３０４へ入力して ｇ（Ｄ，ＳＤ，Ｒｃ）＝ＳＣewi mod Ｎｗｉ を満たすことにより、ＳＣが正しいことを確認する（Ｓ
４）。署名検証結果が正しければＲｃを引換履歴ＨＣに
記憶し（Ｓ５）、コイン番号生成器３０５を駆動してコ
イン番号Ｒｆを生成する。ｗｉ，Ｒｆを発行履歴ＨＦと
し記憶装置３０１へ記憶した後（Ｓ７）、ｗｉ、Ｒｆお
よびＳ２を署名生成器３０６へ入力して、アルゴリズム
Ｄ２により、 Ｆ＝ｇ（ｗｉ，Ｒｆ）d2 mod Ｎ２ を計算して電子コインＦを生成する（Ｓ７）。このコイ
ン生成処理結果ＦおよびＲｆを利用者装置２００へ返送
する（Ｓ８）。
ンの引換のために、発行機関装置３００へｗｉ，Ｄ，Ｓ
Ｄ，ＲｃおよびＳＣを送信する（Ｓ１）。 ステップ２：発行機関装置３００は受信したＤ，ＳＤお
よび、記憶装置３０１内のＤ，ＳＤを比較器３０２へ入
力してＤ，ＳＤが一致することを確認する（署名検証器
により検証式Ｖ１を確認しても構わない）（Ｓ２）。
Ｄ，ＳＤが一致した場合は、Ｒｃを検索器３０３へ入力
して引換履歴ＨＣを検索しＲｃが過去に使用されていな
いことを確認する（Ｓ３）。Ｒｃが過去に使用されてい
ない場合は、Ｄ，ＳＤ，Ｒｃ，ＳＣ，Ｐｗｉを署名検証
器３０４へ入力して ｇ（Ｄ，ＳＤ，Ｒｃ）＝ＳＣewi mod Ｎｗｉ を満たすことにより、ＳＣが正しいことを確認する（Ｓ
４）。署名検証結果が正しければＲｃを引換履歴ＨＣに
記憶し（Ｓ５）、コイン番号生成器３０５を駆動してコ
イン番号Ｒｆを生成する。ｗｉ，Ｒｆを発行履歴ＨＦと
し記憶装置３０１へ記憶した後（Ｓ７）、ｗｉ、Ｒｆお
よびＳ２を署名生成器３０６へ入力して、アルゴリズム
Ｄ２により、 Ｆ＝ｇ（ｗｉ，Ｒｆ）d2 mod Ｎ２ を計算して電子コインＦを生成する（Ｓ７）。このコイ
ン生成処理結果ＦおよびＲｆを利用者装置２００へ返送
する（Ｓ８）。
【００４３】ステップ３：利用者装置は受信したＦ，Ｒ
ｆおよび、ｗｉ，Ｐ２を署名検証器２０８へ入力し、ア
ルゴリズムＤ２に基づく検証式 ｇ（ｗｉ，Ｒｆ）＝Ｆe2 mod Ｎ２ …（Ｖ２） が成り立つことを検証する（Ｓ９）。検証結果が正しけ
れば、ｗｉ，Ｆ，Ｒｆを電子コイン情報として記憶装置
２０１へ格納する（Ｓ１０）。決済処理 受領者Ｍと銀行Ｂの間の決済方法について説明する（図
１０参照）。ただし、支払時に利用者Ｕは受領者Ｍへ
Ｆ，ｗｉ，Ｒｆを送付し、支払いが終了した状態では、
受領者装置４００の記憶装置４０１にＦ，ｗｉ，Ｒｆが
格納されているものとする。
ｆおよび、ｗｉ，Ｐ２を署名検証器２０８へ入力し、ア
ルゴリズムＤ２に基づく検証式 ｇ（ｗｉ，Ｒｆ）＝Ｆe2 mod Ｎ２ …（Ｖ２） が成り立つことを検証する（Ｓ９）。検証結果が正しけ
れば、ｗｉ，Ｆ，Ｒｆを電子コイン情報として記憶装置
２０１へ格納する（Ｓ１０）。決済処理 受領者Ｍと銀行Ｂの間の決済方法について説明する（図
１０参照）。ただし、支払時に利用者Ｕは受領者Ｍへ
Ｆ，ｗｉ，Ｒｆを送付し、支払いが終了した状態では、
受領者装置４００の記憶装置４０１にＦ，ｗｉ，Ｒｆが
格納されているものとする。
【００４４】ステップ１：受領者装置４００は決済時に
銀行装置５００へＦ，ｗｉ，Ｒｆを送付する。 ステップ２：銀行装置５００はＦ，ｗｉ，Ｒｆをさらに
発行機関装置３００へ送付する。 ステップ３：発行機関装置３００は記憶装置３０１から
発行履歴ＨＦを読み出し、Ｒｆと共に検索器３０７へ入
力してＲｆが記憶されていることを確認する。続いて署
名検証器３０８へＦ，Ｒｆ，ｗｉおよびＰ２を入力し、
アルゴリズムＤ２に基づく検証式 ｇ（ｗｉ，Ｒｆ）＝Ｆe2 mod Ｎ２ …（Ｖ２） が成り立つことを検証する。検証が正しければ、発行履
歴ＨＦからＲｆ，ｗｉに関する情報を削除、または外部
記憶装置３０９へ移動する。なお、発行機関装置３００
および銀行装置５００がそれぞれ保有する会計処理装置
３２１，５２１は受領者装置４００からの電子コインの
預入に際し適当な会計処理を講じる。例えば、まず銀行
装置５００の会計処理装置５２１は電子コインと引換
に、受領者Ｍの口座を金額ｗｉだけ増額するとともに銀
行Ｂの保有電子コインの管理勘定を増額記帳し、次に、
発行機関装置３００の会計処理装置３２１は銀行装置５
００から電子コインを受取るのと引換に、電子コイン発
行見合い金の管理勘定から金額ｗｉを減額記帳し、同額
を銀行装置５００へ送金。銀行装置５００の会計処理装
置は送金された金額を自己勘定に繰入れるとともに保有
電子コインの管理勘定を同額だけ減額記帳する。引換履歴更新処理 公開情報Ｄは一定期間後に新たな公開情報Ｄ′に更新さ
れ、以前の日付情報Ｄに基づいて発行した引換証ＳＣは
期限切れとなり、無効となる。この公開情報Ｄの更新処
理について説明する（図６、図７参照）。
銀行装置５００へＦ，ｗｉ，Ｒｆを送付する。 ステップ２：銀行装置５００はＦ，ｗｉ，Ｒｆをさらに
発行機関装置３００へ送付する。 ステップ３：発行機関装置３００は記憶装置３０１から
発行履歴ＨＦを読み出し、Ｒｆと共に検索器３０７へ入
力してＲｆが記憶されていることを確認する。続いて署
名検証器３０８へＦ，Ｒｆ，ｗｉおよびＰ２を入力し、
アルゴリズムＤ２に基づく検証式 ｇ（ｗｉ，Ｒｆ）＝Ｆe2 mod Ｎ２ …（Ｖ２） が成り立つことを検証する。検証が正しければ、発行履
歴ＨＦからＲｆ，ｗｉに関する情報を削除、または外部
記憶装置３０９へ移動する。なお、発行機関装置３００
および銀行装置５００がそれぞれ保有する会計処理装置
３２１，５２１は受領者装置４００からの電子コインの
預入に際し適当な会計処理を講じる。例えば、まず銀行
装置５００の会計処理装置５２１は電子コインと引換
に、受領者Ｍの口座を金額ｗｉだけ増額するとともに銀
行Ｂの保有電子コインの管理勘定を増額記帳し、次に、
発行機関装置３００の会計処理装置３２１は銀行装置５
００から電子コインを受取るのと引換に、電子コイン発
行見合い金の管理勘定から金額ｗｉを減額記帳し、同額
を銀行装置５００へ送金。銀行装置５００の会計処理装
置は送金された金額を自己勘定に繰入れるとともに保有
電子コインの管理勘定を同額だけ減額記帳する。引換履歴更新処理 公開情報Ｄは一定期間後に新たな公開情報Ｄ′に更新さ
れ、以前の日付情報Ｄに基づいて発行した引換証ＳＣは
期限切れとなり、無効となる。この公開情報Ｄの更新処
理について説明する（図６、図７参照）。
【００４５】ステップ１：銀行装置１００はＤ，ＳＤの
期限切れ検査を行い（Ｓ１）、一定期間経過していれば
記憶装置１０１内の公開情報ＤをＤ′へ更新するととも
に（Ｓ２）、Ｄ′に対する署名ＳＤ′を計算して、
Ｄ′，ＳＤ′を発行機関装置３００に通知する（Ｓ
３）。 ステップ２：発行機関装置３００は記憶装置３０１内の
Ｄ，ＳＤを通知された日付情報Ｄ′，ＳＤ′に更新する
と共に（Ｓ４）、以前の日付情報Ｄに基づく引換履歴Ｈ
Ｃを削除、または外部記憶装置３０９へ移動する（Ｓ
５）。引換処理において、以前の日付情報Ｄが利用者装
置２００から発行機関装置３００に送付されてきた場
合、対応する日付情報を記憶装置３０１から読み出せな
いため、比較器３０３での比較結果が不良となり、引換
処理は中断される。
期限切れ検査を行い（Ｓ１）、一定期間経過していれば
記憶装置１０１内の公開情報ＤをＤ′へ更新するととも
に（Ｓ２）、Ｄ′に対する署名ＳＤ′を計算して、
Ｄ′，ＳＤ′を発行機関装置３００に通知する（Ｓ
３）。 ステップ２：発行機関装置３００は記憶装置３０１内の
Ｄ，ＳＤを通知された日付情報Ｄ′，ＳＤ′に更新する
と共に（Ｓ４）、以前の日付情報Ｄに基づく引換履歴Ｈ
Ｃを削除、または外部記憶装置３０９へ移動する（Ｓ
５）。引換処理において、以前の日付情報Ｄが利用者装
置２００から発行機関装置３００に送付されてきた場
合、対応する日付情報を記憶装置３０１から読み出せな
いため、比較器３０３での比較結果が不良となり、引換
処理は中断される。
【００４６】図８中の引換番号発生器２０３の具体例を
図１２に示す。乱数発生器２０９より乱数を発生させ、
この乱数ａとその利用者固有情報ＩＤＵとをハッシュ演
算器２１０に入れて、ｇ（ ）を一方向性関数とする演
算ｇ（ａ‖ＩＤＵ）を行いその演算結果を引換番号Ｒｃ
とする。図９中のコイン番号生成器３０５の具体例を図
１３に示す。コイン番号初期値が記憶装置３１０にまず
格納され、記憶装置３１０の記憶内容がコイン番号Ｒｆ
として取出されるごとに、そのコイン番号Ｒｆは加算器
３１１で＋１されて新たなコイン番号として記憶装置３
１０に格納される。 実施例２ ここでは、特願平７−２８７４５７〔信託機関付き電子
現金方法〕にこの発明を適用した実施例を示す。
図１２に示す。乱数発生器２０９より乱数を発生させ、
この乱数ａとその利用者固有情報ＩＤＵとをハッシュ演
算器２１０に入れて、ｇ（ ）を一方向性関数とする演
算ｇ（ａ‖ＩＤＵ）を行いその演算結果を引換番号Ｒｃ
とする。図９中のコイン番号生成器３０５の具体例を図
１３に示す。コイン番号初期値が記憶装置３１０にまず
格納され、記憶装置３１０の記憶内容がコイン番号Ｒｆ
として取出されるごとに、そのコイン番号Ｒｆは加算器
３１１で＋１されて新たなコイン番号として記憶装置３
１０に格納される。 実施例２ ここでは、特願平７−２８７４５７〔信託機関付き電子
現金方法〕にこの発明を適用した実施例を示す。
【００４７】まず、発明の実施に必要とする要素は、図
１４に示すように信託機関装置６００、利用者装置７０
０、銀行装置８００、発行機関装置９００、受領者装置
１０００、および銀行装置１１００よりなり、これらは
例えば通信回線を介して接続されているが、情報を記録
できるＩＣカード等を介しての接続であってもよい。 準備 この実施例２の電子現金方法では、電子現金の利用者Ｕ
は、まず最初に、信託機関Ｊと呼ぶ機関により、利用許
可証を発行してもらう。銀行Ａは利用者Ｕの要求に従
い、利用者Ｕにある金額の電子現金の引換証を発行す
る。発行機関Ｏは、利用者Ｕから提示された電子現金の
引換証と交換に電子現金（または、電子コインと呼ぶ）
を発行する。利用者Ｕは、その電子コインを額面金額に
なるまで何回でも各種小売店等の支払いに用いる。最後
に、各小売店等は、利用者の各支払い毎に銀行で決済を
行う。
１４に示すように信託機関装置６００、利用者装置７０
０、銀行装置８００、発行機関装置９００、受領者装置
１０００、および銀行装置１１００よりなり、これらは
例えば通信回線を介して接続されているが、情報を記録
できるＩＣカード等を介しての接続であってもよい。 準備 この実施例２の電子現金方法では、電子現金の利用者Ｕ
は、まず最初に、信託機関Ｊと呼ぶ機関により、利用許
可証を発行してもらう。銀行Ａは利用者Ｕの要求に従
い、利用者Ｕにある金額の電子現金の引換証を発行す
る。発行機関Ｏは、利用者Ｕから提示された電子現金の
引換証と交換に電子現金（または、電子コインと呼ぶ）
を発行する。利用者Ｕは、その電子コインを額面金額に
なるまで何回でも各種小売店等の支払いに用いる。最後
に、各小売店等は、利用者の各支払い毎に銀行で決済を
行う。
【００４８】この実施例２では、信託機関装置６００、
利用者装置７００、銀行装置８００、発行機関装置９０
０の署名アルゴリズムは全てＲＳＡ方式とする。信託機
関装置６００、利用者装置７００、発行機関装置９０
０、それぞれの秘密鍵と公開鍵は、（ｄｊ，Ｎｊ）と
（ｅｊ，Ｎｊ）、（ｄｕ，Ｎｕ）と（ｅｕ，Ｎｕ）、
（ｄ２，Ｎ２）と（ｅ２，Ｎ２）（利用者装置７００の
公開鍵は匿名公開情報である）である。銀行Ａが使用す
る署名用の鍵の法はＮ１（＝ＬＣＭ（ｐ１−１，ｑ１−
１））であり、ｅ１，ｄ１は日付と額面金額をもとに公
開鍵指数部生成関数ｆ等によって、その都度生成され
る。公開鍵指数部生成関数は、一定のアルゴリズムをも
ち、以下の条件を満たすものであれば何でもよい。例え
ば、ｆ（・m1) をｍ１番目の素数へのマッピング関数と
すること等が考えられる。
利用者装置７００、銀行装置８００、発行機関装置９０
０の署名アルゴリズムは全てＲＳＡ方式とする。信託機
関装置６００、利用者装置７００、発行機関装置９０
０、それぞれの秘密鍵と公開鍵は、（ｄｊ，Ｎｊ）と
（ｅｊ，Ｎｊ）、（ｄｕ，Ｎｕ）と（ｅｕ，Ｎｕ）、
（ｄ２，Ｎ２）と（ｅ２，Ｎ２）（利用者装置７００の
公開鍵は匿名公開情報である）である。銀行Ａが使用す
る署名用の鍵の法はＮ１（＝ＬＣＭ（ｐ１−１，ｑ１−
１））であり、ｅ１，ｄ１は日付と額面金額をもとに公
開鍵指数部生成関数ｆ等によって、その都度生成され
る。公開鍵指数部生成関数は、一定のアルゴリズムをも
ち、以下の条件を満たすものであれば何でもよい。例え
ば、ｆ（・m1) をｍ１番目の素数へのマッピング関数と
すること等が考えられる。
【００４９】 ｆ（・m1) ≠ｆ（・m )・Ｐ（ｆ（・k )) mod Ｎ１ ただし、ｍ１≠ｍ， Ｐ（ｆ（・k ))はｆ（・k )(ｋ＝
１，２，…ｎ）の多項式 ＧＣＤ（ｆ（・），ＬＣＭ
（ｐ１−１，ｑ１−１））＝１ なお、秘密鍵ｄ１は１／ｆ（・） mod ＬＣＭ（ｐ１−
１，ｑ１−１）を計算することによって求められる。
１，２，…ｎ）の多項式 ＧＣＤ（ｆ（・），ＬＣＭ
（ｐ１−１，ｑ１−１））＝１ なお、秘密鍵ｄ１は１／ｆ（・） mod ＬＣＭ（ｐ１−
１，ｑ１−１）を計算することによって求められる。
【００５０】信託機関装置６００の署名、銀行装置８０
０の署名、発行機関装置９００の署名、利用者装置７０
０の署名はそれぞれ、利用許可証の正当性の検査、引換
証の正当性の検査、電子コインの正当性の検査、支払・
譲渡行為確認の検査に使用する。利用者装置の署名で
は、公開鍵中のｅｕは共通としても良いが、Ｎｕは利用
者ごとに定める。また、署名時に使用する一方向性関数
ｇ，ｈもあわせて定め、公開しておく。利用許可証の発行処理 利用者Ｕは、利用許可証を信託機関Ｊから発行してもら
う（図１４参照）。この手順は、それぞれの利用者が、
Ｎｕの登録時に１度だけ行う。
０の署名、発行機関装置９００の署名、利用者装置７０
０の署名はそれぞれ、利用許可証の正当性の検査、引換
証の正当性の検査、電子コインの正当性の検査、支払・
譲渡行為確認の検査に使用する。利用者装置の署名で
は、公開鍵中のｅｕは共通としても良いが、Ｎｕは利用
者ごとに定める。また、署名時に使用する一方向性関数
ｇ，ｈもあわせて定め、公開しておく。利用許可証の発行処理 利用者Ｕは、利用許可証を信託機関Ｊから発行してもら
う（図１４参照）。この手順は、それぞれの利用者が、
Ｎｕの登録時に１度だけ行う。
【００５１】ステップ１：利用者装置７００はＮｕを信
託機関装置６００に送信する。 ステップ２：信託機関装置６００は、利用者装置７００
の身元を何らかの方法で確認をしたのちに、有効期限等
の情報Ｉを生成し、ＮｕおよびＩに対する署名Ｂを演算
する。その後、この署名ＢとＩを利用者装置７００に送
信する。 ステップ３：利用者装置７００は、信託機関装置６００
からの受信データＢ，Ｉと匿名公開情報Ｎｕとを利用許
可証（Ｂ，Ｉ，Ｎｕ）として、記憶装置７０１に記憶す
る。電子現金の引換証の発行処理 つぎに、利用者Ｕが銀行Ａから電子現金の引換証を発行
してもらう手順を示す（図１５参照）。ここで、Ｎ１は
取引を行う銀行に対応する公開鍵の法である。
託機関装置６００に送信する。 ステップ２：信託機関装置６００は、利用者装置７００
の身元を何らかの方法で確認をしたのちに、有効期限等
の情報Ｉを生成し、ＮｕおよびＩに対する署名Ｂを演算
する。その後、この署名ＢとＩを利用者装置７００に送
信する。 ステップ３：利用者装置７００は、信託機関装置６００
からの受信データＢ，Ｉと匿名公開情報Ｎｕとを利用許
可証（Ｂ，Ｉ，Ｎｕ）として、記憶装置７０１に記憶す
る。電子現金の引換証の発行処理 つぎに、利用者Ｕが銀行Ａから電子現金の引換証を発行
してもらう手順を示す（図１５参照）。ここで、Ｎ１は
取引を行う銀行に対応する公開鍵の法である。
【００５２】ステップ１：利用者装置７００は、日付情
報Ｄと引出額ｗｉ（金額情報：例えば１万円）を公開鍵
指数部生成器７０２に入力し、金額署名用の公開鍵ｅ１
を計算する。続いて、乱数発生器７０３を用いて乱数Ｒ
ｃを生成して、記憶装置７０１に記憶し、一方、その乱
数Ｒｃと記憶装置７０１から読みだしたＢより、ハッシ
ュ演算器７０４を用いてｇ（Ｂ‖Ｒｃ）を計算する。続
いて、乱数生成器７０３を駆動して乱数ｒを生成し、引
出額ｗｉと先に計算したｅ１および公開鍵の法Ｎ１とと
もにブラインド署名前処理器７０５へ入力し、次式の処
理を行う。
報Ｄと引出額ｗｉ（金額情報：例えば１万円）を公開鍵
指数部生成器７０２に入力し、金額署名用の公開鍵ｅ１
を計算する。続いて、乱数発生器７０３を用いて乱数Ｒ
ｃを生成して、記憶装置７０１に記憶し、一方、その乱
数Ｒｃと記憶装置７０１から読みだしたＢより、ハッシ
ュ演算器７０４を用いてｇ（Ｂ‖Ｒｃ）を計算する。続
いて、乱数生成器７０３を駆動して乱数ｒを生成し、引
出額ｗｉと先に計算したｅ１および公開鍵の法Ｎ１とと
もにブラインド署名前処理器７０５へ入力し、次式の処
理を行う。
【００５３】 Ｚ＝ｇ（Ｂ‖Ｒｃ）ｒe1 mod Ｎ１ （３） この処理結果Ｚを電子コインの金額情報ｗｉ、日付情報
Ｄと共に銀行装置８００に送信する。 ステップ２：銀行装置８００は、秘密鍵作成用情報ｐ
１，ｑ１、およびＤ，ｗｉを秘密鍵指数部生成器８０２
に入力し、金額署名用の秘密鍵ｄ１を計算する。このｄ
１と公開鍵の法Ｎ１を署名生成器８０３へ入力し、受信
情報Ｚに対して次の仮署名処理を行う。
Ｄと共に銀行装置８００に送信する。 ステップ２：銀行装置８００は、秘密鍵作成用情報ｐ
１，ｑ１、およびＤ，ｗｉを秘密鍵指数部生成器８０２
に入力し、金額署名用の秘密鍵ｄ１を計算する。このｄ
１と公開鍵の法Ｎ１を署名生成器８０３へ入力し、受信
情報Ｚに対して次の仮署名処理を行う。
【００５４】 Ｑ＝Ｚd1 mod Ｎ１ （４） この仮署名Ｑを利用者装置７００に送信する。同時に利
用者Ｕの口座から該当する金額を引き落とす等の適当な
会計処理を講じる。 ステップ３：利用者装置は、乱数ｒ、公開鍵の法Ｎ１と
受信情報Ｑとをブラインド署名後処理器７０６へ入力
し、次式の処理を行って指定した金額の引換証ＳＣを得
る。
用者Ｕの口座から該当する金額を引き落とす等の適当な
会計処理を講じる。 ステップ３：利用者装置は、乱数ｒ、公開鍵の法Ｎ１と
受信情報Ｑとをブラインド署名後処理器７０６へ入力
し、次式の処理を行って指定した金額の引換証ＳＣを得
る。
【００５５】 ＳＣ＝Ｑ／ｒ mod Ｎ１ （５） ここで、ＳＣ＝ｇ（Ｂ‖Ｒｃ）d1 mod Ｎ１となること
になる。引換証と電子現金の交換処理引き続き、利用者
装置７００は引換証を発行機関装置９００に送り、電子
コインに引換える。以下では、この引換処理の手順を示
す（図１６参照）。
になる。引換証と電子現金の交換処理引き続き、利用者
装置７００は引換証を発行機関装置９００に送り、電子
コインに引換える。以下では、この引換処理の手順を示
す（図１６参照）。
【００５６】ステップ１：利用者装置７００は、発行機
関装置９００へ引換証ＳＣおよびｗｉ，Ｂ，Ｄ，Ｒｃを
送信する。 ステップ２：発行機関装置９００は受信したＤおよび、
記憶装置９０１に記憶されている引換証の有効日付ＪＤ
を比較器９０２へ入力してＤが有効であることを確認す
る。Ｄが有効な場合は、Ｒｃを検索器９０３へ入力して
Ｒｃが引換履歴ＨＣに記録されていないことを確認す
る。Ｒｃが過去に使用されていない場合は、Ｄおよびｗ
ｉを公開鍵指数部生成器９０４に入力してｅ１を計算
し、これとＢ，Ｒｃ，ＳＣ，Ｎ１を署名検証器９０５へ
入力して、 ｇ（Ｂ‖Ｒｃ）＝ＳＣe1 mod Ｎ１ を満たすことを確認する。
関装置９００へ引換証ＳＣおよびｗｉ，Ｂ，Ｄ，Ｒｃを
送信する。 ステップ２：発行機関装置９００は受信したＤおよび、
記憶装置９０１に記憶されている引換証の有効日付ＪＤ
を比較器９０２へ入力してＤが有効であることを確認す
る。Ｄが有効な場合は、Ｒｃを検索器９０３へ入力して
Ｒｃが引換履歴ＨＣに記録されていないことを確認す
る。Ｒｃが過去に使用されていない場合は、Ｄおよびｗ
ｉを公開鍵指数部生成器９０４に入力してｅ１を計算
し、これとＢ，Ｒｃ，ＳＣ，Ｎ１を署名検証器９０５へ
入力して、 ｇ（Ｂ‖Ｒｃ）＝ＳＣe1 mod Ｎ１ を満たすことを確認する。
【００５７】署名検証結果が正しければ、Ｒｃを引換履
歴ＨＣへ記憶する。更に、乱数発生器９０６を用いてＲ
ｆを生成し、ｗｉ，Ｒｆ，Ｂを発行履歴ＨＦへ記憶す
る。その後、Ｂ，Ｒｆ，ｗｉおよび（ｄ２，Ｎ２）を署
名生成器９０７へ入力して、 Ｆ＝ｇ（Ｂ‖ｗｉ‖Ｒｆ）d2 mod Ｎ２ を計算し、Ｆ，Ｒｆを利用者装置７００へ返送する。こ
の時、発行機関装置９００と銀行装置８００との間で適
当な会計処理を講じる。
歴ＨＣへ記憶する。更に、乱数発生器９０６を用いてＲ
ｆを生成し、ｗｉ，Ｒｆ，Ｂを発行履歴ＨＦへ記憶す
る。その後、Ｂ，Ｒｆ，ｗｉおよび（ｄ２，Ｎ２）を署
名生成器９０７へ入力して、 Ｆ＝ｇ（Ｂ‖ｗｉ‖Ｒｆ）d2 mod Ｎ２ を計算し、Ｆ，Ｒｆを利用者装置７００へ返送する。こ
の時、発行機関装置９００と銀行装置８００との間で適
当な会計処理を講じる。
【００５８】ステップ３：利用者装置７００は受信した
Ｆおよび、ｗｉ，Ｒｆを電子コイン情報として記憶装置
７０１へ格納する。電子コインによる支払 つぎに、利用者Ｕが発行機関Ｏにより発行された電子コ
インＦを用いて、受領者Ｍに支払いを行う場合について
説明する（図１７参照）。
Ｆおよび、ｗｉ，Ｒｆを電子コイン情報として記憶装置
７０１へ格納する。電子コインによる支払 つぎに、利用者Ｕが発行機関Ｏにより発行された電子コ
インＦを用いて、受領者Ｍに支払いを行う場合について
説明する（図１７参照）。
【００５９】ステップ１：利用者装置７００は、Ｉ，Ｎ
ｕ，Ｂ，Ｒｆ，Ｆ，ｗｉを受領者装置１０００に送る。 ステップ２：受領者装置１０００は、受信したＩ，Ｎｕ
および、記憶装置１００１から読み出したｅｊ，Ｎｊを
署名検証器１００２へ入力し、Ｉ，Ｎｕに対する署名Ｂ
の正当性を、次式を検証することにより確認する。
ｕ，Ｂ，Ｒｆ，Ｆ，ｗｉを受領者装置１０００に送る。 ステップ２：受領者装置１０００は、受信したＩ，Ｎｕ
および、記憶装置１００１から読み出したｅｊ，Ｎｊを
署名検証器１００２へ入力し、Ｉ，Ｎｕに対する署名Ｂ
の正当性を、次式を検証することにより確認する。
【００６０】 ｇ（Ｎｕ‖Ｉ）≡Ｂej mod Ｎｊ （６） 続いて、Ｂ，Ｒｆに対する署名Ｆの正当性、つまり電子
コインＦの正当性を検証するため、受信したＢ，ｗｉ，
Ｒｆ，Ｆおよび、記憶装置１００１から読み出したｅ
２，Ｎ２を署名検証器１００３へ入力し、次式を満たす
ことを確認する。 ｇ（Ｂ‖ｗｉ‖Ｒｆ）≡Ｆe2 mod Ｎ２ （７） この検査の何れかが不合格のときは以降の処理を中止す
る。
コインＦの正当性を検証するため、受信したＢ，ｗｉ，
Ｒｆ，Ｆおよび、記憶装置１００１から読み出したｅ
２，Ｎ２を署名検証器１００３へ入力し、次式を満たす
ことを確認する。 ｇ（Ｂ‖ｗｉ‖Ｒｆ）≡Ｆe2 mod Ｎ２ （７） この検査の何れかが不合格のときは以降の処理を中止す
る。
【００６１】ステップ３：この両検査に合格する場合、
受領者装置１０００は乱数生成器１００４を用いて乱数
Ｅ′を生成し、それを受領者装置１０００の識別子ＩＤ
ｖ及びタイマー１００５が出力する時刻印Ｔと共に利用
者装置７００に送る。 ステップ４：利用者装置７００は、電子コインＦのうち
金額ｘを使用することを決め、署名生成器７０７へｘ，
ｄｕ，Ｎｕと受信情報Ｔ，Ｅ′，ＩＤｖを入力し、次式
により署名を行う。
受領者装置１０００は乱数生成器１００４を用いて乱数
Ｅ′を生成し、それを受領者装置１０００の識別子ＩＤ
ｖ及びタイマー１００５が出力する時刻印Ｔと共に利用
者装置７００に送る。 ステップ４：利用者装置７００は、電子コインＦのうち
金額ｘを使用することを決め、署名生成器７０７へｘ，
ｄｕ，Ｎｕと受信情報Ｔ，Ｅ′，ＩＤｖを入力し、次式
により署名を行う。
【００６２】 Ｓ＝ｇ（ｘ‖ｈ（ＩＤｖ‖Ｔ‖Ｅ′））du mod Ｎｕ （８） この署名Ｓ、公開鍵ｅｕ、およびｘを受領者装置１００
０に送る。ステップ５：受領者装置１０００は、署名検
証器１００６へＳ，ｅｕ，Ｎｕ，ｘ，Ｔ，Ｅ′，ＩＤｖ
を入力し、次式が成り立つことを検証する。 ｇ（ｘ‖ｈ（ＩＤｖ‖Ｔ‖Ｅ′））≡Ｓeu mod Ｎｕ （９） この検証に合格すれば、受領者装置１０００は、利用者
装置７００のｘに該当する金額の支払いを正当なものと
みなして受領し、記憶装置１００１に格納する。決済 受領者装置１０００と銀行装置１１００の間の決済方法
について説明する（図１８参照）。簡単のため、支払額
ｘと引き下ろし額ｗｉは同じ値である。すなわち、一つ
の電子コインが一度に使い切られる場合について説明す
る。
０に送る。ステップ５：受領者装置１０００は、署名検
証器１００６へＳ，ｅｕ，Ｎｕ，ｘ，Ｔ，Ｅ′，ＩＤｖ
を入力し、次式が成り立つことを検証する。 ｇ（ｘ‖ｈ（ＩＤｖ‖Ｔ‖Ｅ′））≡Ｓeu mod Ｎｕ （９） この検証に合格すれば、受領者装置１０００は、利用者
装置７００のｘに該当する金額の支払いを正当なものと
みなして受領し、記憶装置１００１に格納する。決済 受領者装置１０００と銀行装置１１００の間の決済方法
について説明する（図１８参照）。簡単のため、支払額
ｘと引き下ろし額ｗｉは同じ値である。すなわち、一つ
の電子コインが一度に使い切られる場合について説明す
る。
【００６３】ステップ１：受領者装置１０００は、利用
者装置７００との電子コイン使用時の交信履歴ＨＦ、す
なわちＸ，Ｓ，Ｔ，Ｅ′，ＩＤｖ，ｅｕ，Ｉ，Ｎｕ，
Ｂ，Ｒｆ，Ｆ，ｗｉを銀行装置１１００に提出する。 ステップ２：銀行装置１１００は検証器１１０２を用い
て、電子コインによる支払時の検査と同様に、つまり、
式（６）、（７）、（９）の各検証を行うことによって
ＨＦの正当性を検査する。検証結果が異常ならばＦを不
正コインとみなし、処理を中断する。正常ならば、さら
に交信履歴Ｈを発行機関装置９００に送信する。
者装置７００との電子コイン使用時の交信履歴ＨＦ、す
なわちＸ，Ｓ，Ｔ，Ｅ′，ＩＤｖ，ｅｕ，Ｉ，Ｎｕ，
Ｂ，Ｒｆ，Ｆ，ｗｉを銀行装置１１００に提出する。 ステップ２：銀行装置１１００は検証器１１０２を用い
て、電子コインによる支払時の検査と同様に、つまり、
式（６）、（７）、（９）の各検証を行うことによって
ＨＦの正当性を検査する。検証結果が異常ならばＦを不
正コインとみなし、処理を中断する。正常ならば、さら
に交信履歴Ｈを発行機関装置９００に送信する。
【００６４】ステップ３：発行機関装置９００は、銀行
装置１１００と同様にＨＦの正当性を検証する。検証結
果が異常ならば、Ｆを不正コインとみなし、処理を中断
する。正常ならばさらに、Ｒｆを元に発行履歴ＨＦを検
索し、Ｒｆが存在すれば二重使用の不正行為はないと判
断し、Ｒｆに関する情報を発行履歴から削除し、これを
必要に応じて外部記憶装置に保持する。
装置１１００と同様にＨＦの正当性を検証する。検証結
果が異常ならば、Ｆを不正コインとみなし、処理を中断
する。正常ならばさらに、Ｒｆを元に発行履歴ＨＦを検
索し、Ｒｆが存在すれば二重使用の不正行為はないと判
断し、Ｒｆに関する情報を発行履歴から削除し、これを
必要に応じて外部記憶装置に保持する。
【００６５】なお、発行機関装置および銀行装置がそれ
ぞれ保有する会計処理装置は、受領者装置からの電子コ
インの預入に際し適当な会計処理を講じる。引換履歴更新処理 公開情報Ｄの更新は実施例１と同様に行う。上述におい
て各装置内に示すブロック構成は機能を示し、必ずしも
１つの機器として存在するものではない。
ぞれ保有する会計処理装置は、受領者装置からの電子コ
インの預入に際し適当な会計処理を講じる。引換履歴更新処理 公開情報Ｄの更新は実施例１と同様に行う。上述におい
て各装置内に示すブロック構成は機能を示し、必ずしも
１つの機器として存在するものではない。
【００６６】以上の説明から理解されるように、この発
明による利用者装置は、図９中の記憶装置２０１、匿名
検証器２０２、２０８、引換番号発生器２０３、ハッシ
ュ演算器２０４、乱数生成器２０５、ブラインド署名前
処理器２０６、ブラインド署名後処理器２０７、を備
え、この装置は当然電子現金の受領を可能とされるから
図１０中の記憶装置４０１を備えかつ、銀行装置、発行
機関装置、受領者装置に対し、それぞれ送信する手段を
有している。
明による利用者装置は、図９中の記憶装置２０１、匿名
検証器２０２、２０８、引換番号発生器２０３、ハッシ
ュ演算器２０４、乱数生成器２０５、ブラインド署名前
処理器２０６、ブラインド署名後処理器２０７、を備
え、この装置は当然電子現金の受領を可能とされるから
図１０中の記憶装置４０１を備えかつ、銀行装置、発行
機関装置、受領者装置に対し、それぞれ送信する手段を
有している。
【００６７】
【発明の効果】以上述べたこの発明の効果は以下のとお
り。 １．銀行と電子現金発行機関の分離 銀行は電子現金の発行機関にならずとも、利用者に対し
て電子現金サービスを提供することが可能。発行機関が
全ての電子現金の発行・還収を一元的に管理するため、
各銀行がそれぞれ個別に電子現金の発行管理業務、不正
使用のチェックなどを行う必要はない。 ２．複数の銀行による円滑な電子現金サービスの提供 複数の銀行が同一の電子現金発行機関を利用することに
より、利用者はどの銀行から引き出した電子現金かを意
識することなく扱うことができる。すなわち、利用者は
各銀行の公開鍵を保有する必要はなく、自分が現金を引
き出す取引銀行の公開鍵以外は、発行機関の公開鍵を持
てばすむことになる。 ３．プライバシーと二重使用チェック用データベースの
容量について 銀行と発行機関を分離したため、利用者はいかなる時も
発行機関とは匿名で接することが可能となった。そのた
め、二重使用チェック用データベースの容量を逓減する
番号登録式電子現金方式（発行時に電子コインの情報を
登録し、還流時にこれを削除する方式）を、利用者のプ
ライバシーを完全に保ちつつ実現することが可能。
り。 １．銀行と電子現金発行機関の分離 銀行は電子現金の発行機関にならずとも、利用者に対し
て電子現金サービスを提供することが可能。発行機関が
全ての電子現金の発行・還収を一元的に管理するため、
各銀行がそれぞれ個別に電子現金の発行管理業務、不正
使用のチェックなどを行う必要はない。 ２．複数の銀行による円滑な電子現金サービスの提供 複数の銀行が同一の電子現金発行機関を利用することに
より、利用者はどの銀行から引き出した電子現金かを意
識することなく扱うことができる。すなわち、利用者は
各銀行の公開鍵を保有する必要はなく、自分が現金を引
き出す取引銀行の公開鍵以外は、発行機関の公開鍵を持
てばすむことになる。 ３．プライバシーと二重使用チェック用データベースの
容量について 銀行と発行機関を分離したため、利用者はいかなる時も
発行機関とは匿名で接することが可能となった。そのた
め、二重使用チェック用データベースの容量を逓減する
番号登録式電子現金方式（発行時に電子コインの情報を
登録し、還流時にこれを削除する方式）を、利用者のプ
ライバシーを完全に保ちつつ実現することが可能。
【図１】この発明方法が適用されるシステムの原理構成
を示すブロック図。
を示すブロック図。
【図２】実施例１の引換証発行処理における利用者装置
の動作手順を示す流れ図。
の動作手順を示す流れ図。
【図３】実施例１の引換証発行処理における銀行装置の
動作手順を示す流れ図。
動作手順を示す流れ図。
【図４】実施例１の電子現金引換処理における利用者装
置の動作手順を示す流れ図。
置の動作手順を示す流れ図。
【図５】実施例１の電子現金引換処理における発行機関
装置の動作手順を示す流れ図。
装置の動作手順を示す流れ図。
【図６】実施例１の引換履歴削除における銀行装置の処
理を示す流れ図。
理を示す流れ図。
【図７】実施例１の引換履歴削除における発行機関装置
の処理を示す流れ図。
の処理を示す流れ図。
【図８】実施例１の利用者装置と銀行装置の引換証発行
処理における機能構成例を示すブロック図。
処理における機能構成例を示すブロック図。
【図９】実施例１の利用者装置と銀行装置の引換処理に
おける機能構成例を示すブロック図。
おける機能構成例を示すブロック図。
【図１０】実施例１の受領者装置と銀行装置および発行
機関装置の決済処理における機能構成例を示すブロック
図。
機関装置の決済処理における機能構成例を示すブロック
図。
【図１１】実施例１の銀行装置における履歴情報更新処
理の機能構成例を示すブロック図。
理の機能構成例を示すブロック図。
【図１２】引換番号生成器の構成例を示すブロック図。
【図１３】コイン番号生成器の構成例を示すブロック
図。
図。
【図１４】実施例２が適用されるシステム構成例を示す
ブロック図。
ブロック図。
【図１５】実施例２の引換証の発行処理における機能構
成例を示すブロック図。
成例を示すブロック図。
【図１６】実施例２の引換処理における機能構成例を示
すブロック図。
すブロック図。
【図１７】実施例２の電子コインによる支払における機
能構成例を示すブロック図。
能構成例を示すブロック図。
【図１８】実施例２の決済における機能構成例を示すブ
ロック図。
ロック図。
───────────────────────────────────────────────────── フロントページの続き (72)発明者 藤岡 淳 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 (72)発明者 森畠 秀実 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内
Claims (14)
- 【請求項１】 銀行の装置（以下、銀行装置と記す）
と、電子コインを発行してもらう者（以下、利用者と記
す）の装置（以下、利用者装置と記す）と、電子コイン
を発行する機関（以下、発行機関と記す）の装置（以
下、発行機関装置と記す）とによる電子現金を実施する
電子現金方法において、 銀行装置は利用者装置に対し引換証ＳＣを発行し、 その後、利用者装置は引換証ＳＣを発行機関装置に送
り、 発行機関装置は引換証ＳＣが有効であることを確認した
後、コイン番号Ｒｆに基づく電子コインＦを発行し、コ
イン番号Ｒｆを発行履歴ＨＦに記憶し、 決済時に、前記銀行装置又は他の銀行装置は入金された
電子コインＦを発行機関装置に送り、 発行機関装置はこれが有効であることを確認した後、コ
イン番号Ｒｆに関する記憶を発行履歴ＨＦから削除する
ことを特徴とする発行機関分離型番号登録式電子現金方
法。 - 【請求項２】 請求項１記載の番号登録式電子現金方法
において、 利用者装置はランダムな引換番号Ｒｃを用いて署名対象
Ｃを計算し、署名対象Ｃを秘密情報Ｒｂにより攪乱して
Ｚを得、そのＺおよび引き下ろし額ｗｉを銀行装置へ送
付し、 銀行装置はＺに対して引き下ろし額ｗｉ相当の署名Ｑを
付けて利用者装置へ返送し、利用者装置は秘密情報Ｒｂ
を用いて署名Ｑから署名対象Ｃに対する署名ＳＣを計算
して前記引換証ＳＣを得、ｗｉ，Ｒｃ，ＳＣを引換情報
として記憶し、銀行装置の前記引換証ＳＣの発行を行
い、かつ引換証ＳＣと共にｗｉ，Ｒｃを発行機関装置へ
送り、発行機関装置は署名対象Ｃを計算し、署名ＳＣを
検証し、引換番号Ｒｃが引換履歴ＨＣに既に記憶されて
いないことを確認した後、引換番号Ｒｃを記憶し、コイ
ン番号Ｒｆを生成して記憶し、Ｒｆに基づいて前記電子
コインＦの発行を行うことを特徴とする発行機関分離型
番号登録式電子現金方法。 - 【請求項３】 請求項２記載の番号登録式電子現金方法
において、 公開情報Ｄを前記引換情報に加え、公開情報Ｄは適当な
時期に更新することを特徴とする電子現金方法。 - 【請求項４】 電子現金を受領するもの（以下、受領者
と記す）の装置（以下、受領者装置と記す）を備え、 銀行装置は秘密鍵情報Ｓ１、公開鍵情報Ｐ１，Ｐ２、お
よび公開情報Ｄを保持し、発行機関装置は秘密鍵情報Ｓ
２、公開鍵情報Ｐ１，Ｐ２、および有効判定情報ＪＤを
保持し、 利用者装置は公開鍵情報Ｐ１，Ｐ２、および公開情報Ｄ
を保持し、 利用者装置はＲｃを生成し、これをハッシュ演算と前記
署名対象Ｃを得、 公開情報Ｄおよび引き下ろし金額ｗｉにより公開鍵指数
部ｅ１を計算し、秘密情報Ｒｂとして乱数Ｒｂを用い、
Ｃ，ＲｂおよびＰ１，ｅ１を用いてＣをブラインド署名
前処理して前記Ｃに対する攪乱Ｚを得、 銀行装置はｗｉおよび秘密鍵情報Ｓ１、公開情報Ｄを用
いて秘密鍵指数部ｄ１を計算し、Ｓ１，ｄ１，Ｚを用い
てＺに対するｗｉ相当の署名演算を行って前記署名Ｑを
得、 利用者装置はＱ，Ｒｂ、および公開鍵情報Ｐ１を用いて
Ｑに対しブラインド署名後処理を行って前記引換証ＳＣ
を得、 発行機関装置は受信したＤと有効判定情報ＪＤとを比較
してＤが有効であることを確認し、これも電子コインＦ
の発行条件とし、Ｄおよび引き下ろし金額ｗｉを用いて
公開鍵指数部ｅ１を計算し、ＳＣ，Ｒｃ，Ｐ１，ｅ１を
用いてＳＣの署名検証器の検証を行い、これも電子コイ
ンＦの発行条件とし、利用者装置はＦ，Ｒｆ，ｗｉを受
領者装置へ送って支払を行い、 受領者装置はＦ，Ｒｆおよびｗｉを決済のために銀行装
置へ送信し、 これらを受領した銀行装置は発行機関装置にこれらを送
信し、 発行機関装置はＲｆが発行履歴ＨＦに記憶されているこ
とを確認し、Ｆ，Ｒｆ，ｗｉ，Ｐ２によりＦが正当であ
るかを検証して前記有効であることの確認を行うことを
特徴とする請求項３記載の番号登録式電子現金方法およ
びその装置。 - 【請求項５】 銀行装置の秘密鍵情報Ｓ１は２つの大き
な素数ｐ１，ｑ１であり、公開鍵情報Ｐ１はＮ１であ
り、Ｎ１とｐ１，ｑ１はＮ１＝ｐ１×ｑ１の関係にあ
り、発行機関装置の秘密鍵情報Ｓ２はｐ２，ｑ２および
整数ｄ２であり、公開鍵情報Ｐ２はｅ２およびＮ２であ
り、Ｎ２とｐ２，ｑ２はＮ２＝ｐ２×ｑ２の関係にあ
り、ｄ２とｅ２はｄ２＝１／ｅ２ mod ＬＣＭ（ｐ２−
１，ｑ２−１）なる関係にあり（ＬＣＭ（ａ，ｂ）はａ
とｂの最小公約数を表わす）、前記公開鍵指数部ｅ１の
生成をｆ（Ｄ，ｗｉ）の計算で行い、前記ハッシュ演算
はｇ() を一方向性関数としてｇ（Ｒｃ）を計算し、 前記ブラインド署名前処理を Ｃ×Ｒｂe1 mod Ｎ１ の計算により行い、 前記秘密鍵指数部ｄ１の生成を、 １／ｆ（Ｄ，ｗｉ） mod ＬＣＭ（ｐ１−１，ｑ１−
１） の計算で行い、前記署名Ｑを得る演算を、 Ｚd1 mod Ｎ１ の計算により行い、 前記ブラインド署名後処理を、 Ｑ／Ｒｂ mod Ｎ１ の計算により行い、 発行機関装置での前記ＳＣに対する署名検証を、 ｇ（Ｒｃ）＝ＳＣe1 mod Ｎ１ が成立することで確認し、前記ｗｉ，Ｒｆに対する署名
Ｆの生成を、 ｇ（ｗｉ，Ｒｆ）d2 mod Ｎ２ の計算により行って前記電子コインＦを得、 発行機関装置での前記Ｆの正当性の検証を、 ｇ（ｗｉ，Ｒｆ）＝Ｆe2 mod Ｎ２ が成立することにより確認することを特徴とする請求項
４記載の番号登録式電子現金方法。 - 【請求項６】 請求項４記載の番号登録式電子現金方法
において、銀行装置の秘密鍵情報Ｓ１は２つの大きな素
数ｐ１，ｑ１であり、公開鍵情報Ｐ１はＮ１であり、Ｎ
１とｐ１、ｑ１はＮ１＝ｐ１×ｑ１の関係にあり、 発行機関装置の秘密鍵情報Ｓ２はｐ２，ｑ２および整数
ｄ２であり、公開鍵情報Ｐ２はｅ２およびＮ２であり、
Ｎ２とｐ２，ｑ２はＮ２＝ｐ２×ｑ２の関係にあり、ｄ
２とｅ２はｄ２＝１／ｅ２ mod ＬＣＭ（ｐ２−１，ｑ
２−１）なる関係にあり、 利用者装置での前記公開鍵指数部ｅ１の生成を、ｆ( )
を公開鍵指数部生成関数として、ｆ（Ｄ，ｗｉ）の計算
により行い、前記ハッシュ演算を、ｇ( ) を一方向性関
数としてｇ（Ｒｃ）の計算により行い、 前記ブラインド署名前処理を、 Ｃ×Ｒｂe1 mod Ｎ１ の計算により行い、銀行装置での前記秘密鍵指数部ｄ１
の生成を、 １／ｆ（Ｄ，ｗｉ） mod ＬＣＭ（ｐ１−１，ｑ１−
１） の計算により行い、前記署名Ｑを得る演算を、 Ｚd1 mod Ｎ１ の計算により行い、前記ブラインド署名後処理を、 Ｑ／Ｒｂ mod Ｎ１ の計算により行い、発行機関装置での前記ＳＣに対する
署名検証を、 ｇ（Ｒｃ）＝ＳＣe1 mod Ｎ１ が成立することで確認し、前記コイン番号ＲｆにＲｃを
用い、 前記ｗｉ，Ｒｆに対する署名Ｆの生成を、 ＳＣd2 mod Ｎ２ の計算により行い、 発行機関装置での前記Ｆの正当性の検証を ｇ（Ｄ，ＳＤ，Ｒｆ）＝（Ｆewi mod Ｎｗｉ）e2 mo
d Ｎ２ が成立することにより行うことを特徴とする電子現金方
法。 - 【請求項７】 請求項２に記載の番号登録式電子現金方
法において、 銀行装置は預金引き下ろし時に、公開情報ＤおよびＤに
対するその銀行の署名ＳＤを利用者装置に送信し、利用
者装置は署名対象Ｃの計算に際し、ランダムな引換番号
Ｒｃに加え、ＤおよびＳＤを用いることを特徴とする電
子現金方法。 - 【請求項８】 請求項７記載の電子現金方法において、 銀行装置は秘密鍵情報Ｓ１、公開鍵情報Ｐ１，Ｐ２、公
開情報Ｄ，ＳＤおよび、額面ｗｉ（ｉ＝１…ｎ）に対応
する公開鍵情報Ｐｗｉと秘密鍵情報Ｓｗｉの金額対鍵対
応表を保持し、 ＳＤは秘密鍵情報Ｓ１による公開鍵情報Ｄに対するディ
ジタル署名であり、発行機関装置は秘密鍵情報Ｓ２、公
開鍵情報Ｐ１，Ｐ２、公開情報Ｄ、有効判定情報ＪＤお
よび、額面ｗｉ（ｉ＝１…ｎ）に対応する公開鍵情報Ｐ
ｗｉと金額対鍵対応表を保持し、 利用者装置は公開鍵情報Ｐ１，Ｐ２および、額面ｗｉ
（ｉ＝１…ｎ）に対応する公開鍵情報Ｐｗｉとの金額対
鍵対応表を保持し、 電子現金を受領するものの装置（以下受領者装置と記
す）を備え、 利用者装置は受領したＳＤ，Ｄを公開鍵情報Ｐ１により
署名検証を行い、正しければ、引換番号Ｒｃを生成し、
署名対象ＣをＤ，ＳＤおよびＲｃのハッシュ演算により
求め、 秘密情報Ｒｂを乱数の生成により求め、 ＣおよびＲｂをブラインド署名前処理して前記Ｃに対す
るＲｂの攪乱を行い、 銀行装置はｗｉに対応する秘密鍵情報ＳｗｉによりＺに
対する署名を行って前記署名Ｑを求め、 利用者装置はＱ，Ｒｂ，Ｐｗｉを用いてブラインド署名
後処理を行って前記引換証ＳＣを得る計算を行い、ｗ
ｉ，Ｄ，ＳＤ，Ｒｃ，ＳＣを引換情報として保持し、利
用者装置は発行機関装置へＳＣ，ｗｉ，Ｒｃの他にＤ，
ＳＤも送信し、 発行機関装置は受信したＤ，ＳＤの公開鍵情報Ｐ１を用
いてＳＤの署名検証を行ってＳＤの正当性を確認し、Ｄ
と有効判定情報ＪＤを比較して、Ｄが有効であることを
確認し、その後、前記署名対象Ｃの計算およびＳＣの検
証を、Ｄ，ＤＳ，Ｒｃを用いて署名対象Ｃを計算し、そ
のＣと、Ｐｗｉとを用いてＳＣの署名検証を行ってＳＣ
の正当性を検証して行い、前記電子コインＦの発行を、
ｗｉ，Ｒｆに対するＳ２による署名により求め、 利用者装置は支払のためにＦ，Ｒｆ，ｗｉを受領者装置
へ送り、 受領者装置は受信したＦ，Ｒｆおよびｗｉを銀行装置へ
送信し、 これらを受信した銀行装置はそのＦ，Ｒｆ，ｗｉを発行
機関装置に送信し、 発行機関装置は発行履歴ＨＦを検索してこれに存在して
いることによりＲｆが有効であることを確認し、ｗｉ，
Ｐ２を用いてＦ，Ｒｆに対する署名検証を行ってＦが正
当であることを確認することを特徴とする電子現金方
法。 - 【請求項９】 請求項８記載の番号登録式電子現金方法
において、 銀行装置の秘密鍵情報Ｓ１は２つの大きな素数ｐ１，ｑ
１および整数ｄ１であり、公開鍵情報Ｐ１はｅ１および
Ｎ１であり、Ｎ１とｐ１，ｑ１はＮ１＝ｐ１×ｑ１の関
係にあり、ｄ１とｅ１はｄ１＝１／ｅ１ mod ＬＣＭ
（ｐ１−１，ｑ１−１）なる関係にあり、 発行機関装置の秘密鍵情報Ｓ２はｐ２，ｑ２および整数
ｄ２であり、公開鍵情報Ｐ２はｅ２およびＮ２であり、
Ｎ２とｐ２、ｑ２はＮ２＝ｐ２×ｑ２の関係にあり、ｄ
２とｅ２はｄ２＝１／ｅ２ mod ＬＣＭ（ｐ２−１，ｑ
２−１）なる関係にあり、 銀行装置の秘密鍵情報Ｓｗｉはｐｗｉ，ｑｗｉおよび整
数ｄｗｉであり、公開鍵情報ｐｗｉはｅｗｉおよびＮｗ
ｉであり、Ｎｗｉとｐｗｉ、ｑｗｉはＮｗｉ＝ｐｗｉ×
ｑｗｉの関係にあり、ｄｗｉとｅｗｉはｄｗｉ＝１／ｅ
ｗｉ mod ＬＣＭ（ｐｗｉ−１，ｑｗｉ−１）なる関係
にあり、 公開情報Ｄは日付であり、ＳＤはＳＤ＝Ｄd1 mod Ｎ１
の関係を満たすＤに対する署名であり、 利用者装置でのＳＤに対する検証は Ｄ＝ＳＤe1 mod Ｎ１ が成立することの確認により行い、 Ｄ，ＳＤ、および引換番号Ｒｃのハッシュ演算は、ｇ
( ) を一方向性関数として ｇ（Ｄ，ＳＤ，Ｒｃ） の計算により行い、ブラインド署名前処理を Ｃ×Ｒｂewi mod Ｎｗｉ の計算により行い、銀行装置でのＺに対する署名生成
を、 Ｚdwi mod Ｎｗｉ の計算により行い、 利用者装置でのブラインド署名後処理を、 Ｑ／Ｒｂ mod Ｎｗｉ の計算により行い、発行機関装置でのＳＤの検証を、 Ｄ＝ＳＤe1 mod Ｎ１ が成り立つことの確認により行い、Ｄと有効判定情報Ｊ
Ｄの比較からＤが有効期限内にあることを確認し、ＳＣ
の署名検証を、 ｇ（Ｄ，ＳＤ，Ｒｃ）＝ＳＣewi mod Ｎｗｉ が成立つことの確認により行い、ｗｉ，Ｒｆに対する署
名を、 ｇ（ｗｉ，Ｒｆ）d2 mod Ｎ２ の計算により行い、 発行機関装置ではＦの検証を、 ｇ（ｗｉ，Ｒｆ）＝Ｆe2 mod Ｎ２ が成立つことの確認により行うことを特徴とする電子現
金方法。 - 【請求項１０】 請求項８記載の番号登録式電子現金方
法において、 銀行装置の秘密鍵情報Ｓ１は２つの大きな素数ｐ１，ｑ
１および整数ｄ１であり、公開鍵情報Ｐ１はｅ１および
Ｎ１であり、Ｎ１とｐ１，ｑ１はＮ１＝ｐ１×ｑ１の関
係にあり、ｄ１とｅ１はｄ１＝１／ｅ１ mod ＬＣＭ
（ｐ１−１，ｑ１−１）なる関係にあり、発行機関装置
の秘密鍵情報Ｓ２はｐ２，ｑ２および整数ｄ２であり、
公開情報Ｐ２はｅ２およびＮ２であり、Ｎ２とｐ２，ｑ
２はＮ２＝ｐ２×ｑ２であり、ｄ２とｅ２はｄ２＝１／
ｅ２ mod ＬＣＭ（ｐ２−１，ｑ２−１）なる関係にあ
り、 銀行装置の秘密鍵情報Ｓｗｉはｐｗｉ，ｑｗｉおよび整
数ｄｗｉであり、公開鍵情報ＰｗｉはｅｗｉおよびＮｗ
ｉであり、Ｎｗｉとｐｗｉ，ｑｗｉはＮｗｉ＝ｐｗｉ×
ｑｗｉの関係にあり、ｄｗｉとｅｗｉはｄｗｉ＝１／ｅ
ｗｉ mod ＬＣＭ（ｐｗｉ−１，ｑｗｉ−１）なる関係
にあり、公開情報Ｄは日付であり、ＳＤはＳＤ＝Ｄd1
mod Ｎ１の関係を満たすＤに対する署名であり、 利用者装置ではＳＤに対する署名検証を、 Ｄ＝ＳＤe1 mod Ｎ１ が成り立つことの確認により行い、Ｄ，ＳＤ、および引
換番号Ｒｃのハッシュ演算は、ｇ( ) を一方向性関数と
して ｇ（Ｄ，ＳＤ，Ｒｃ） の計算により行い、ブラインド署名前処理は、 Ｃ×Ｒｂewi mod Ｎｗｉ の計算により行い、 銀行装置でのＺに対する署名生成は Ｚdwi mod Ｎｗｉ の計算により行い、利用者装置でのブラインド署名後処
理は Ｑ／Ｒｂ mod Ｎｗｉ を計算により行い、 発行機関装置でのＳＤの署名検証を、 Ｄ＝ＳＤe1 mod Ｎ１ が成り立つことの確認により行い、Ｄと有効判定情報Ｊ
Ｄの比較からＤが有効期限内にあることを確認し、ＳＣ
の署名検証を、 ｇ（Ｄ，ＳＤ，Ｒｃ）＝ＳＣewi mod Ｎｗｉ が成立することの確認により行い、 コイン番号ＲｆをＲｃとし、ｗｉ，Ｒｆに対する署名生
成を、 ＳＣd2 mod Ｎ２ の計算により行い、発行機関装置でのＦの検証は ｇ（Ｄ，ＳＤ，Ｒｆ）＝（Ｆewi mod Ｎｗｉ）e2 mo
d Ｎ２ が成立することの確認により行うことを特徴とする電子
現金方法。 - 【請求項１１】 請求項７記載の番号登録式電子現金方
法において、 銀行装置は秘密鍵情報Ｓ１、公開鍵情報Ｐ１，Ｐ２、公
開情報Ｄ，ＳＤ、額面ｗｉ（ｉ＝１，…ｎ）に対応する
公開鍵情報Ｐｗｉと秘密鍵情報Ｓｗｉの対応表を保持
し、ＳＤはＳ１によるＤに対するディジタル署名であ
り、発行機関装置は秘密鍵情報Ｓ２、公開鍵情報Ｐ１，
Ｐ２、公開情報Ｄ、有効判定情報ＪＤ、額面ｗｉに対応
する公開鍵情報Ｐｗｉとの対応表を保持し、 利用者装置は公開鍵情報Ｐ１，Ｐ２、額ｗｉに対応する
公開鍵情報との対応表を保持し、 電子現金を受領するものの装置（以下、受領者装置と記
す）を備え、 銀行装置は公開情報Ｄ、その署名ＳＤを発行機関装置へ
送信し、発行機関装置は受信した各銀行装置のＤ，ＳＤ
を保持し、 利用者装置は受信したＳＤ，ＤをＰ１により署名検証を
行い、正しければ引換番号Ｒｃを生成し、 前記署名対象ＣをＤ，ＳＤ，Ｒｃのハッシュ演算により
求め、 秘密情報Ｒｂを乱数の生成により求め、ＣおよびＲｂを
ブラインド署名前処理して前記Ｃに対するＲｂの攪乱を
行い、 銀行装置はｗｉに対応する秘密鍵情報によりＺに対する
署名を行って前記署名Ｑを求め、 利用者装置はＱ，Ｒｂ，Ｐｗｉを用いてブラインド署名
後処理を行って前記引換証ＳＣを得る計算を行い、 ｗｉ，Ｄ，ＳＤ，Ｒｃ，ＳＣを引換情報として保持し、
発行機関装置へＳＣ，ｗｉ，Ｒｃの他にＤ，ＳＤを送信
し、 発行機関装置は受信したＤ，ＳＤを保持していたＤ，Ｓ
Ｄと一致するかの比較により正当性を確認し、 Ｄと有効判定情報ＪＤを比較してＤが有効であることを
確認し、 その後前記署名対象Ｃの計算およびＳＣの検証を、受信
したＤ，ＤＳ，Ｒｃを用いて署名対象Ｃを計算し、その
ＣとＰｗｉとを用いてＳＣの署名検証を行ってＳＣの正
当性を検証することにより行い、 前記電子コインＦの発行を、ｗｉ，Ｒｆに対するＳ２に
よる署名により求め、 利用者装置は支払のために、Ｆ，Ｒｆ，ｗｉを受領者装
置へ送り、 受信者装置は受領したＦ，Ｒｆ，ｗｉを銀行装置へ送信
し、 これらを受信した銀行装置はその受信したＦ，Ｒｆ，ｗ
ｉを発行機関装置へ送信し、 発行機関装置は発行履歴ＨＦを検索して、これに存在し
ていることによりＲｆが有効であることを確認し、 ｗｉ，Ｐ２を用いてＦ，Ｒｆに対する署名検証を行って
Ｆが正当であることを確認することを特徴とする電子現
金方法。 - 【請求項１２】 請求項５、６、９、１０、１１の何れ
かに記載の番号登録式電子現金方法において、 発行機関装置は外部記憶装置を備え、決済時にＲｆに関
する記憶を発行履歴から削除したものを外部記憶装置へ
移動することを特徴とする電子現金方法。 - 【請求項１３】 請求項５、６の番号登録式電子現金方
法において、 発行機関装置は一定期間後に保持している有効判定情報
ＪＤをＪＤ′へ更新し、その結果、無効となった以前の
Ｄに関連して登録されたＲｃに関する情報を引換履歴Ｈ
Ｃから削除することを特徴とする電子現金方法。 - 【請求項１４】 銀行装置の公開鍵情報Ｐ１、額面ｗｉ
（ｉ＝１，…，ｎ）と対応する公開鍵情報Ｐｗｉとの対
応表を記憶する記憶装置と、 銀行装置から受信した日付情報とその署名ＳＤと、上記
Ｐ１とを入力してＤが所定の日付であり、かつＳＤが正
しい署名であることを検証する第１署名検証手段と、 ランダムな引換番号Ｒｃを生成する引換番号生成手段
と、 検証済みの上記Ｄ，ＳＤと上記Ｒｃが入力され、署名対
象Ｃを演算するハッシュ演算手段と、 乱数Ｒｂを生成する乱数生成手段と、 額面ｗｉと対応する公開鍵情報Ｐｗｉと、ＲｂとＣが入
力されてブラインド署名前処理を演算した結果Ｚを出力
するブラインド署名前処理手段と、 銀行装置より受信した署名Ｑと、上記ＲｂとＰｗｉが入
力され、ブラインド署名後処理を演算して引換証ＳＣを
出力するブラインド署名後処理手段と、 発行機関装置より受信した電子コインＦ、コイン番号Ｒ
ｆとｗｉが入力され、Ｆ，Ｒｆの署名検証を行う第２署
名検証手段と、 上記ハッシュ演算手段に入力したＲｃ，Ｄ，ＳＤ、これ
らと対応するブラインド署名前処理に用いたＰｗｉのｗ
ｉ、また対応するＳＣを引換情報として、第２署名検証
手段で正当と認められたＦ，Ｒｆ及びその検証に用いた
ｗｉをコイン情報として、支払により受領したコイン情
報ｗｉ，Ｆ，Ｒｆを記憶する手段と、 上記ブラインド署名前処理結果Ｚと対応するｗｉ、上記
支払として受領したコイン情報ｗｉ，Ｆ，Ｒｆとをそれ
ぞれ銀行装置へ送信する手段と、 上記引換情報を発行機関装置へ送信する手段と、 上記コイン情報を支払のために受領者装置へ送信する手
段と、 を具備する利用者装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP23926396A JP3599493B2 (ja) | 1996-09-10 | 1996-09-10 | 発行機関分離型番号登録式電子現金方法および利用者装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP23926396A JP3599493B2 (ja) | 1996-09-10 | 1996-09-10 | 発行機関分離型番号登録式電子現金方法および利用者装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH1091697A true JPH1091697A (ja) | 1998-04-10 |
| JP3599493B2 JP3599493B2 (ja) | 2004-12-08 |
Family
ID=17042170
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP23926396A Expired - Lifetime JP3599493B2 (ja) | 1996-09-10 | 1996-09-10 | 発行機関分離型番号登録式電子現金方法および利用者装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3599493B2 (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002530723A (ja) * | 1998-11-25 | 2002-09-17 | アナトリエヴィッチ ゾロタレフ，オレグ | 支払いを発効させる方法およびそのための装置 |
| JP2003536181A (ja) * | 2000-06-22 | 2003-12-02 | マスターカード インターナシヨナル インコーポレーテツド | 擬似或いは代理口座番号なしでコンピュータネットワークを越えて安全な支払いを処理するための改善された方法およびシステム |
| JP2004503018A (ja) * | 2000-07-07 | 2004-01-29 | トムソン ライセンシング ソシエテ アノニム | 少額決済処理を管理するためのシステム及び方法、並びに対応するクライアント端末及び小売商装置 |
-
1996
- 1996-09-10 JP JP23926396A patent/JP3599493B2/ja not_active Expired - Lifetime
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002530723A (ja) * | 1998-11-25 | 2002-09-17 | アナトリエヴィッチ ゾロタレフ，オレグ | 支払いを発効させる方法およびそのための装置 |
| JP2003536181A (ja) * | 2000-06-22 | 2003-12-02 | マスターカード インターナシヨナル インコーポレーテツド | 擬似或いは代理口座番号なしでコンピュータネットワークを越えて安全な支払いを処理するための改善された方法およびシステム |
| JP2004503018A (ja) * | 2000-07-07 | 2004-01-29 | トムソン ライセンシング ソシエテ アノニム | 少額決済処理を管理するためのシステム及び方法、並びに対応するクライアント端末及び小売商装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3599493B2 (ja) | 2004-12-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP0755136B1 (en) | Method and apparatus for implementing traceable electronic cash | |
| US6299062B1 (en) | Electronic cash system based on a blind certificate | |
| CA2182173C (en) | Efficient electronic money | |
| AU698271B2 (en) | Restricted blind signatures | |
| US6438691B1 (en) | Transmitting messages over a network | |
| Traoré | Group signatures and their relevance to privacy-protecting offline electronic cash systems | |
| US20220215355A1 (en) | Method for directly transmitting electronic coin data records between terminals and payment system | |
| US20020128983A1 (en) | Method and device for returning of change in an electronic payment system | |
| de Solages et al. | An efficient fair off-line electronic cash system with extensions to checks and wallets with observers | |
| US9165297B2 (en) | Virtual account and token-based digital cash protocols | |
| US8468100B2 (en) | Issuing electronic vouchers | |
| Batten et al. | Off-line digital cash schemes providing untraceability, anonymity and change | |
| Wang et al. | A consumer scalable anonymity payment scheme with role based access control | |
| JP3599493B2 (ja) | 発行機関分離型番号登録式電子現金方法および利用者装置 | |
| JP3171227B2 (ja) | 信託機関付き電子紙幣実施方法 | |
| Wang et al. | Building a consumer scalable anonymity payment protocol for Internet purchases | |
| Kane | On the use of continued fractions for electronic cash | |
| JP3435682B2 (ja) | 電子現金預け入れ方法、その装置およびプログラム記録媒体 | |
| Mao | Lightweight micro-cash for the Internet | |
| JP3388485B2 (ja) | 匿名電子現金預け入れ方法、その装置およびプログラム記録媒体 | |
| JP3599492B2 (ja) | 番号登録式電子現金方法および利用者装置 | |
| JPH10124597A (ja) | 利用許可証付き電子小切手方法および装置 | |
| JP3171228B2 (ja) | 複数信託機関を利用した電子紙幣実施方法 | |
| JP3435677B2 (ja) | 追跡可能な電子現金実施方法及びその装置 | |
| Mu et al. | A new scheme of credit based payment for electronic commerce |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20040601 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20040730 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20040824 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20040914 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080924 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080924 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090924 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090924 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100924 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110924 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120924 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130924 Year of fee payment: 9 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |