JPH1115374A

JPH1115374A - 秘密鍵分割供託方法およびその確認方法

Info

Publication number: JPH1115374A
Application number: JP9162385A
Authority: JP
Inventors: Yoshiki Samejima; 吉喜鮫島; Toshiyuki Tsutsumi; 俊之堤
Original assignee: Hitachi Software Engineering Co Ltd
Current assignee: Hitachi Software Engineering Co Ltd
Priority date: 1997-06-19
Filing date: 1997-06-19
Publication date: 1999-01-22

Abstract

(57)【要約】【課題】 ElGamar型公開鍵暗号およびRSA公開鍵暗号の
秘密鍵を複数に分割して供託する場合に、検証機関にお
いて秘密鍵が正しく分割されて供託されているかをゼロ
知識証明を用いて容易に確認可能なように分割して供託
すること、また供託された秘密鍵が正しく分割され供託
されているかどうかを確認すること。【解決手段】分割した秘密鍵の和が元の秘密鍵に剰余
nまたはｌで等しくなるように分割して供託する。供託
機関コンピュータに登録してある分割の秘密鍵が正しい
かどうかを検証者コンピュータによってゼロ知識証明を
利用して確認する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ElGamal暗号（エ
ルガマル暗号）やElGamal型楕円曲線暗号などElGamal型
公開鍵暗号およびＲＳＡ公開鍵暗号の秘密鍵分割供託方
法およびその確認方法に係り、特に、複数の供託機関に
秘密鍵を分割して供託する場合における供託方法と、そ
の供託された分割秘密鍵の確認方法に関するものであ
る。

【０００２】

【従来の技術】通信内容を暗号化して送信することによ
り、通信内容の秘密性を確保することができるが、一方
において犯罪等の社会正義に反する不正目的で使用され
たとしても暗号通信の内容を捜査機関等が知ることはで
きないという矛盾がある。

【０００３】そこで、暗号通信を不正目的に利用してい
るユーザの通信内容を解読し犯罪捜査に利用する方法と
して、各ユーザが使用する復号鍵（＝秘密鍵）を第三者
機関である供託機関に登録させておき、捜査が必要な場
合には裁判所の許可を受け、捜査機関が復号鍵を供託機
関から入手し、捜査対象のユーザが送受信している暗号
文を解読する方法が提案されている。

【０００４】また、供託機関自身の不正をも防止するた
め、１つの機関にのみ復号鍵を供託するのではなく、複
数の機関に分割して供託する方法が提案されている。

【０００５】復号鍵を分割して供託した場合、捜査機関
は全ての供託機関に登録してある復号鍵を組み合わせて
元の復号鍵を組立て、解読に利用することになる。

【０００６】なお、本発明が対象とするElGamal暗号やE
lGamal型楕円曲線暗号については、IEEE Ｐ１３６３: S
taｎdaｒd foｒＰuｂlic-Keｙ CｒｙＰtoｇｒaＰhｙの
Editoｒial Coｎtｒiｂutioｎの第４章の「Sｙｓtemｓ
ｂaｓed oｎ the DiｓcｒeteLoｇaｒithm Ｐｒoｂlem」
と第５章の「Sｙｓtemｓｂaｓed oｎ the ElliＰtic C
uｒve Diｓcｒete Loｇaｒithm Ｐｒoｂlem」に詳しく
解説されているので、その説明は省略する。

【０００７】また、ＲＳＡ暗号についても「暗号理論入
門」（岡本栄司著、共立出版、1994、pp88-99)に解説
されているので、その説明は省略する。

【０００８】

【発明が解決しようとする課題】ところで、上記のよう
なElGamal型公開鍵暗号およびＲＳＡ公開鍵暗号におけ
る秘密鍵供託方法において、特に複数の供託機関に秘密
鍵を分割して供託する場合には、秘密鍵の所有者が正し
く当該秘密鍵を分割して供託しているかどうかが問題と
なる。

【０００９】分割の仕方が正しくない場合には、捜査に
利用しようとしても暗号文が解読できない。もし、強制
的に容疑者であるユーザから秘密鍵を入手しようとする
と、捜査していることが容疑者に知れてしまう。

【００１０】そこで、Ravi Ganesan、The Yaksha Secur
ity System、Communications of the ACM (March 199
6)、 Vol. 39、No. 3、pp 55-60に説明されているよう
に、ＲＳＡ暗号の公開鍵で暗号化したデータを各供託機
関に回覧し、各々が保有している分割された秘密鍵片で
復号し、元のデータが復号できるかどうかで正しく分割
・供託されているかどうか確認する方法がある。

【００１１】しかし、確認者が悪意を持っていた場合、
本来はユーザだけがアクセスできるはずの暗号データを
復号できてしまうという問題がある。

【００１２】本発明は、このような問題を解決するため
になされたものであり、その第１の目的は、ElGamal型
公開鍵暗号およびＲＳＡ公開鍵暗号における秘密鍵分割
して供託した場合に、正しく分割して供託されているこ
とをゼロ知識証明等を用いて容易に検証することが可能
な秘密鍵供託方法を提供することにある。

【００１３】また、本発明の第２の目的は、秘密鍵が正
しく分割されて供託されていることを確認することがで
きる確認方法を提供することにある。

【００１４】

【課題を解決するための手段】上記第１の目的を達成す
るために、本発明は、クライアントコンピュータがElGa
mal暗号アルゴリズムによって暗号化された暗号文を復
号するための秘密鍵を複数の供託機関コンピュータに分
割して供託する方法において、基本元をＢ、Ｂの位数を
ｎ（すなわち、ｎ個の和が０となる最小数）、秘密鍵を
ｓ、公開鍵ＰをＰ＝ｓＢ、ｉを秘密鍵ｓの分割数とした
とき、クライアントコンピュータは複数の供託機関コン
ピュータに対し、自クライアントコンピュータが使用す
る秘密鍵ｓをｓ＝Σｓ_i(mod ｎ)となるように分割して
供託することを特徴とする。

【００１５】特に、素数ｎ、剰余ｎでｎ−１乗して１に
なる数ｇを基本元とし、秘密鍵をｓ、公開鍵Ｐを剰余ｎ
で計算して「Ｐ＝｛ｇのｓ乗｝(mod ｎ)」としたエルガ
マル公開鍵暗号の秘密鍵ｓをｉ個に分割して供託する場
合、クライアントコンピュータは自クライアントコンピ
ュータが使用する秘密鍵ｓを、分割した秘密鍵ｓ_iの和
が剰余ｎ−１で元の秘密鍵に等しい「ｓ＝Σｓ_i(mod ｎ
-１)」となるように分割してｉ個の供託機関コンピュー
タに供託することを特徴とする。

【００１６】ここで、実施形態では、ElGamal型公開鍵
暗号としてElGamal暗号の例を示すが、ElGamal型楕円曲
線暗号でも同様に適用可能である。

【００１７】また、ＲＳＡ公開鍵暗号において、２つの
任意の素数をｐ，ｑ、ｎをｐ×ｑ、ｌをｐ−1とｑ−1の
最小公倍数、ｅとｄを剰余ｌでｅ×ｄ＝1なる数、ｎと
ｅを公開鍵、ｄを秘密鍵、ｉを秘密鍵ｓの分割数とした
とき、秘密鍵ｄを、秘密鍵ｄの和が元の秘密鍵ｄに剰余
ｌで等しいｄ＝Σｄ_i(mod ｌ)となるように分割してク
ライアントコンピュータから複数の供託機関コンピュー
タに供託することを特徴とする。

【００１８】また、上記第２の目的を達成するために、
本発明は、供託機関コンピュータに登録してある分割の
秘密鍵が正しいかどうかを検証者コンピュータに、ゼロ
知識証明を利用して確認することを特徴とする。

【００１９】その第１の確認方法としては、供託機関コ
ンピュータＫ_iからｐ_i＝ｇのｓ_i乗(mod ｎ)を検証者コ
ンピュータＶに伝達した後、検証者コンピュータＶにお
いてｐ＝Πｐ_i(mod ｎ)を確認し、さらに各供託機関コ
ンピュータＫｉがｐ_i＝｛ｇのｓ_i乗｝(mod ｎ)なるｓ_i
を知っていることを次の手順を所定回数だけ繰り返して
確認する。

【００２０】(１) 供託機関コンピュータＫ_iで乱数ｒを
生成し、Ｘ＝｛ｇのｒ乗｝(mod ｎ)をＶに送る。

【００２１】(２) 検証者コンピュータＶは「０」以上
「ｎ−１」未満の乱数ｂを選び、供託機関コンピュータ
Ｋ_iに送る。

【００２２】(３) 供託機関コンピュータＫ_iはｙ＝ｒ＋
ｂｓ_i(mod ｎ−１)を計算して検証者コンピュータＶに
送る。

【００２３】(４) 検証者コンピュータＶは｛ｇのｙ
乗｝＝ｘ×｛Ｐ_iのｂ乗｝(mod ｎ)を確認する。

【００２４】ここで(１)，(４)の巾乗と乗算は剰余ｎ
で、(３)の和は剰余ｎ-１で計算する。

【００２５】また、第２の確認方法としては、次の手順
を、各供託機関コンピュータＫ_iに対して同時並行して
所定回数だけ繰り返す。

【００２６】(１) 各供託機関コンピュータＫ_iは乱数ｒ
_iを生成、ｘ_i＝｛ｇのｒ_i乗｝(modｎ)を検証者コンピュ
ータＶに送る。

【００２７】(２) 検証者コンピュータＶは「０」以上
「ｎ−１」未満の乱数ｂを選び、各供託機関コンピュー
タＫ_iに送る。

【００２８】(３) 各供託機関コンピュータＫ_iはｙ_i＝
ｒ_i＋ｂｓ_i(mod ｎ−１)を計算して検証者コンピュータ
Ｖに送る。

【００２９】(４) 検証者コンピュータＶはΠ｛ｇのｙ_i
乗｝＝｛Ｐのｂ乗｝×Πｘ_i(mod ｎ)を確認する。

【００３０】ここで(１)、(４)の巾乗と乗算は剰余ｎ
で、(３)の和は剰余ｎ−１で計算し、Πｘ_iは剰余ｎで
の全てのｘ_iの積、Π｛ｇのｙ_i乗｝はｙ_iは剰余ｎ−１
での全てのｙ_iの積を示す。

【００３１】ElGamal型楕円曲線暗号においては、(１)
各供託機関コンピュータＫ_iは、分割した秘密鍵ｓ_iに対
応する公開鍵Ｐ_iを「Ｐ_i＝ｓ_iＢ」として楕円曲線上で
計算して検証者コンピュータＶに送り、(２)検証者コン
ピュータＶは「Ｐ＝ΣＰ_i」を楕円曲線上で確認し、
(３)検証者コンピュータＶは各供託機関コンピュータＫ
_iとの間で(３-１)供託機関コンピュータＫ_iは乱数ｒを
生成し、「Ｘ＝ｒＢ」を楕円曲線上で計算して検証者コ
ンピュータＶに送り、(３-２)検証者コンピュータＶは
乱数ｂを生成してＫ_iに送り、(３-３)供託機関コンピュ
ータＫ_iは保有している分割秘密鍵ｓ_iを使って「ｙ＝ｒ
＋ｂｓ_i(mod ｎ)」を計算してＶに送り、(３-４)Ｖはｙ
個のＢの和「ｙＢ」と「ｂＰ_i＋Ｘ」が等しいことを楕
円曲線上で確認する。

【００３２】一方、ＲＳＡ暗号の場合においても、供託
機関コンピュータＫ_iに登録していある分割秘密鍵が正
しいかどうかを、ゼロ知識証明を利用して確認する。具
体的には次の手順を所定回数だけ繰り返す。

【００３３】ここで、ＲＡＳ暗号の公開鍵をｎ，ｅと
し、秘密鍵をｄ＝Σｄ_i(mod ｌ)とする。ただし、ｎ＝
ｐ×ｑ、ｌ＝ｌcm(ｐ−１,ｑ−１)、ｄ_iは各供託機関Ｋ
_iに預けてある分割した秘密鍵である。

【００３４】(１) 検証者コンピュータＶは乱数Ｒを生
成し、各供託機関コンピュータＫ_iに送る。

【００３５】(２) 各供託機関コンピュータＫ_iは乱数Ｒ
iを生成し、Ｘ_i＝｛Ｒ_iのｅ乗｝(mod ｎ)をＶに送る。

【００３６】(３) 検証者コンピュータＶは０≦ν＜ｎ
なるνをランダムに選び、各供託機関コンピュータＫ_i
に送る。

【００３７】(４) 各供託機関コンピュータＫ_iは、Ｙ_i
＝Ｒ_i×｛Ｒのνd_i乗｝(mod ｎ)を計算して検証者コン
ピュータＶに送る。

【００３８】(５) 検証者コンピュータＶはΠ{Ｙ_iのｅ
乗}＝（Ｒのν乗）×ΠX_i(mod ｎ)を確認する。

【００３９】ここで(２),(４),(５)の巾乗と乗算は剰余
ｎで計算し、Π{X_iのe乗}は全てのX_iの積、Π{Ｙ_iのe
乗}は全ての{Ｙi}のe乗の積を示す。

【００４０】

【発明の実施の形態】以下、本発明の実施の形態を図面
に基づいて詳細に説明する。

【００４１】図１は、本発明を適用した秘密鍵分割供託
確認システムの全体構成を示す図であり、１０１は検証
者Ｖのコンピュータ１０２と供託機関Ｋ₁，Ｋ₂のコンピ
ュータ１０３，１０４とを接続するネットワークであ
る。１０２は検証者Ｖのコンピュータであり、１０３お
よび１０４は供託機関Ｋ₁，Ｋ₂のコンピュータであり、
それぞれネットワーク１０１に接続している。

【００４２】供託機関コンピュータ１０３，１０４に
は、ユーザが使用するクライアントコンピュータ１０５
または１０６からネットワーク１０７を通じて登録機関
コンピュータ１０８に依頼された秘密鍵Ｓを登録機関コ
ンピュータ１０８で複数に分割した分割秘密鍵ｓ_iが供
託される。この場合、分割機関コンピュータ１０８を経
由せずに各クライアントコンピュータ１０５または１０
６から直接に分割した秘密鍵ｓ_iを供託する方法も実施
される。

【００４３】なお、ここでは２つの供託機関Ｋ₁，Ｋ₂が
システム内に存在する構成を図示しているが、３つ以上
でも構わない。

【００４４】図２は、供託機関Ｋ₁，Ｋ₂のコンピュータ
１０３，１０４の内部構成を示すブロック図であり、２
０２は当該供託機関コンピュータからネットワーク１０
１にデータを送信したり、逆にネットワーク１０１から
送信されて来たデータを受信し、当該供託機関コンピュ
ータ内部に取り込む通信器である。

【００４５】２０３は図３に例示するように鍵所有者の
公開鍵と分割された秘密鍵の１つを保持している秘密鍵
データベースである。

【００４６】２０４は検証者コンピュータ１０２との間
で後述するプロトコルによって分割秘密鍵の確認を行う
ＣＰＵ（演算処理装置）、２０５は分割秘密鍵の確認を
行うためのプログラムやデータを一時記憶するメモリ、
２０６は乱数生成器であり、これらの各部はバスライン
２０７で接続されている。

【００４７】図３は、供託機関コンピュータ１０３，１
０４内の秘密鍵データベース２０３の内部構成を示すも
のであり、鍵の所有者名を示すフィールド３０１と、所
有者が供託した秘密鍵の一部を格納しているフィールド
３０２と、所有者の公開鍵を格納しているフィールド３
０３とから構成され、複数の所有者の分割秘密鍵および
公開鍵が所有者名別に格納されている。

【００４８】図４は、検証者Ｖのコンピュータ１０２の
内部構成を示すブロック図であり、４０２は当該検証者
コンピュータからネットワーク１０１にデータを送信し
たり、逆にネットワーク１０１から送信されて来たデー
タを受信して当該検証者コンピュータ内部に取り込む通
信器である。４０３は図５に例示しているように鍵所有
者の公開鍵を保持している公開鍵データベースである。

【００４９】４０４は供託機関コンピュータとの間で後
述するプロトコルによって分割秘密鍵の確認を行うＣＰ
Ｕ、４０５は分割秘密鍵の確認を行うためのプログラム
やデータを一時記憶するメモリ、４０６は乱数生成器で
あり、これらの各部はバスライン４０７で接続されてい
る。

【００５０】図５は、検証者コンピュータ１０２内の公
開鍵データベース４０３の内部構成を示すものであり、
鍵の所有者名を示すフィールド５０１と、所有者の公開
鍵を格納しているフィールド５０２とから構成され、複
数の所有者の公開鍵が所有者名別に格納されている。

【００５１】本実施形態において、まず、ユーザの秘密
鍵を分割する方法について説明する。

【００５２】クライアントコンピュータ１０５，１０６
がElGamal暗号アルゴリズムによって暗号化された暗号
文を復号するための秘密鍵を複数の供託機関コンピュー
タ１０３，１０４に分割して供託する場合、任意の素数
をｎ、ｇを剰余ｎで位数ｎ−１なる数(ｇの{ｎ−１}乗
＝１(mod ｎ))、秘密鍵をｓ、公開鍵をｐ＝｛ｇのｓ
乗｝(mod ｎ)、ｉを秘密鍵ｓの分割数としたとき、各ク
ライアントコンピュータ１０５，１０６は複数の供託機
関コンピュータ１０３，１０４に対し、自クライアント
コンピュータの１ユーザが使用する秘密鍵ｓをｓ＝Σｓ
_i(mod ｎ−１)となるように分割して供託する。すなわ
ち、分割した秘密鍵ｓの和が剰余ｎで元の秘密鍵に等し
くなるように分割し、その分割した秘密鍵を１個ずつ各
供託機関コンピュータ１０３，１０４に供託する。これ
によって、各供託機関コンピュータ１０３，１０４内の
秘密鍵データベース２０３には図３で示したような構造
で分割秘密鍵が公開鍵と共に格納される。

【００５３】ここで、本実施形態では、ElGamal型公開
鍵暗号としてElGamal暗号の例を説明するが、ElGamal型
楕円曲線暗号でも同様に適用可能である。

【００５４】次に、供託機関コンピュータに供託した秘
密鍵が正しく分割して供託されているかどうかをゼロ知
識証明を用いて確認する方法について説明する。

【００５５】図６は、検証者コンピュータ１０２と供託
機関コンピュータ１０３，１０４との主要なやりとりを
摸式的に示した図であり、まず、ステップ６０１におい
て、供託機関Ｋ_i（ｉ＝１，２）のコンピュータ１０
３，１０４で乱数ｒを生成し、「数１」で示すようにＸ
＝｛ｇのｒ乗｝を剰余ｎで計算し、検証者コンピュータ
１０２に向けて送信する。

【００５６】

【数１】

【００５７】次にステップ６０２において、検証者コン
ピュータ１０２で「０」以上「ｎ−１」未満の乱数ｂ
（mod n-1)を生成し、供託機関コンピュータ１０３，１
０４に向けて送信する。

【００５８】最後のステップ６０３において、供託機関
Ｋ_iのコンピュータ１０３，１０４は「ｙ＝ｒ＋ｂｓ_i」
を剰余ｎ-１で計算し、検証者コンピュータ１０２に向
けて送信する。通常、これを所定の回数繰り返す。所定
回数繰り返す理由は、検証者コンピュータ１０２が生成
する乱数ｂが供託機関コンピュータ１０３，１０４で予
測されていると、供託機関コンピュータ１０３，１０４
が検証者コンピュータ１０２を騙す可能性があるからで
あり、所定個数の乱数ｂに対して、供託されている分割
秘密鍵ｓｉが正しく分割されていることが検証されたと
きのみ、分割が正しく行われているものとし、１回でも
検証不可の場合は不正常であると判断される。

【００５９】図７は、供託機関コンピュータ１０３，１
０４と検証者コンピュータ１０２とが実施する処理の全
体の流れを示すフローチャートである。

【００６０】まず、ステップ７０１において、検証者コ
ンピュータ１０２は各供託機関コンピュータ１０３，１
０４とのネットワーク１０１を介した通信路を確立した
後、これから検証する秘密鍵の所有者名を各供託機関Ｋ
_iのコンピュータ１０３，１０４に送信する。

【００６１】次に、ステップ７０２において、各供託機
関コンピュータ１０３，１０４は検証者コンピュータ１
０２から送られてきた所有者名をキーワードとして秘密
鍵データベース２０３を検索し、その所有者名に対応す
る分割秘密鍵ｓ_iを取り出し、「数２」で示すＰ_i＝ｇの
ｓi乗を剰余ｎで計算し、その計算結果であるＰ_iの通信
パケットを検証者コンピュータ１０２に送信する。

【００６２】

【数２】

【００６３】ここでｇ、ｎは公開鍵の一部であり、秘密
鍵データベース２０３の公開鍵のフィールド３０３から
取り出す。

【００６４】次に、ステップ７０３において、検証者コ
ンピュータ１０２は各供託機関コンピュータ１０３，１
０４から受け取ったＰ_iの積＝ΠＰ_iを剰余ｎで計算した
後、今回の検証対象の所有者名に対応する公開鍵Ｐを公
開鍵データベース４０３から検索し、ΠＰ_i＝Ｐかどう
かを確認する。異なる場合は、正しい分割秘密鍵が供託
されていないと判断し、検証を中止する。

【００６５】次に、ステップ７０４において、図８に示
す検証プロトコルを検証者コンピュータ１０２と各供託
機関コンピュータ１０３，１０４との間で所定回数繰り
返す。この場合の回数はどの程度の確率で検証したいの
かによる。

【００６６】具体的には、Ｎ回繰り返すと検証の正しさ
は、「数３」で表すことができ、逆に、間違いの確率は
「数４」で表すことができる。

【００６７】

【数３】

【００６８】

【数４】

【００６９】次に、ステップ７０５において、検証者コ
ンピュータ１０２は検証結果を鍵供託機関コンピュータ
１０３，１０４に通知し、通信路を解除する。

【００７０】図８は、ステップ７０４の１回分の検証者
コンピュータ１１０２と供託機関コンピュータ１０３，
１０４とのやりとりの詳細を示すフローチャートであ
り、図６に対応している。

【００７１】まず、ステップ８０１において、供託機関
コンピュータ１０３，１０４は「０」以上「ｎ−１未
満」の乱数ｒを生成し、「数１」で示したように、Ｘ＝
｛ｇのｒ乗｝を剰余ｎで計算し、検証者コンピュータ１
０２に送る。

【００７２】続くステップ８０２において、検証者コン
ピュータは「０」以上「ｎ−１未満」の乱数ｂを生成し
て各供託機関コンピュータ１０３，１０４に送る。ここ
で、ｎは所有者の公開鍵の一部であり、公開鍵データベ
ース４０３中の鍵所有者名のフィールド５０２から取り
出す。

【００７３】次に、８０３において、供託機関コンピュ
ータ１０３，１０４はｙ＝ｒ＋ｂｓ_i（mod n)を計算
し、検証者コンピュータ１０２に送る。

【００７４】続くステップ８０４において、検証者コン
ピュータ１０２は、「数５」の両辺が等しくなるかどう
かを確認する。

【００７５】

【数５】

【００７６】次に、図９を参照し、図８のステップ８０
１に当たる供託機関コンピュータ１０３，１０４の処理
の詳細を説明する。

【００７７】まず、供託機関コンピュータ１０３，１０
４は、ステップ９０１において、乱数生成器２０６を用
いて「０」以上「ｎ−１未満」の乱数ｒを生成し、メモ
リ２０５に格納する。ここで、ｎは所有者の公開鍵の一
部であり、秘密鍵データベース２０３中の鍵所有者の公
開鍵のフィールド３０３から取り出す。

【００７８】続くステップ９０２においては、「数１」
で示したように、Ｘ＝｛ｇのｒ乗｝を剰余ｎで計算し、
メモリ２０５に格納する。さらにステップ９０３におい
ては、メモリ２０５内にステップ９０２の計算結果
「Ｘ」の通信パケットを組立て、その通信パケットを通
信器２０２を用いて検証者コンピュータ１０２に送る。

【００７９】次に、図１０を参照し、図８のステップ８
０２に当たる検証者コンピュータ１０２の処理の詳細を
説明する。

【００８０】まず、ステップ１００１において、供託機
関コンピュータ１０３，１０４が送信した通信パケット
を通信器４０２を用いて受信し、その通信パケットの中
の「Ｘ」をメモリ４０５に格納する。

【００８１】続くステップ１００２においては、乱数生
成器４０６を用いて「０」以上「ｎ−１」未満の乱数ｂ
を生成し、メモリ４０５に格納する。ここで、ｎは所有
者の公開鍵の一部であり、公開鍵データベース４０３中
の鍵所有者名の公開鍵のフィールド５０２から取り出
す。

【００８２】続くステップ１００３においては、メモリ
４０５内に乱数ｂの通信パケットを組立て、その通信パ
ケットを通信器４０２を用いて供託機関コンピュータ１
０３，１０４に送る。

【００８３】次に、図１１を参照し、図８のステップ８
０３に当たる供託機関コンピュータ１０３，１０４の処
理の詳細を説明する。

【００８４】まず、ステップ１１０１において、検証者
コンピュータ１０２が送信した乱数ｂの通信パケットを
通信器２０２を用いて受信し、その中の乱数ｂをメモリ
２０５に格納する。

【００８５】続くステップ１１０２においては、メモリ
２０５に格納した乱数ｂ、図９のステップ９０１で生成
した乱数ｒ、秘密鍵データベース２０３のフィールド３
０２の分割秘密鍵ｓiを用いて、ｙ＝ｒ＋ｂｓ_i(mod ｎ-
１）を計算する。

【００８６】続くステップ１１０３においては、メモリ
２０５内にステップ１１０２の計算結果「ｙ」の通信パ
ケットを組立て、その通信パケットを通信器２０２を用
いて検証者コンピュータ１０２に送る。

【００８７】次に、図１２を参照し、図８のステップ８
０４に当たる検証者コンピュータ１０２の処理の詳細を
説明する。

【００８８】まず、ステップ１２０１において、供託機
関コンピュータ１０３，１０４が送信した「ｙ」の通信
パケットを通信器４０２を用いて受信し、その中の
「ｙ」をメモリ４０５に格納する。

【００８９】続くステップ１２０２においては、「数
５」の両辺が等しくなることを確認する。この式が成立
しない場合は確認不可として図７のステップ７０４の処
理を終える。

【００９０】分割秘密鍵の確認方法の他の例次に、供託機関コンピュータ１０３，１０４に供託され
たElGamal暗号における分割秘密鍵の確認方法の他の例
について、図１３〜図１５を参照して説明する。なお、
処理の大部分は前述の確認方法と同様であるので、主要
な部分である図６、図７、図８に対応する部分だけを説
明する。

【００９１】図１３は、検証者コンピュータ１０２と供
託機関コンピュータ１０３，１０４との主要なやりとり
を摸式的に示したものであり、まず、ステップ１３０１
において、各供託機関コンピュータ１０３，１０４が乱
数ｒ_iを生成し、「数６」で示されるＸiを検証者コンピ
ュータ１０２に向けて送信する。

【００９２】

【数６】

【００９３】次にステップ１３０２において、検証者コ
ンピュータ１０２で「０」以上「ｎ−１未満」の乱数ｂ
を生成し、ｂ（mod n−1）を各供託機関コンピュータ１
０３，１０４に向けて、送信する。

【００９４】最後のステップ１３０３においては、供託
機関コンピュータ１０３，１０４において、ｙ_i＝ｒ_i＋ｂｓ_i（mod n-1）を計算し、検証者コンピュータ１０２に向けて送信す
る。通常、これを所定の回数繰り返す。所定回数繰り返
すのは前述の通りである。

【００９５】図１４は、検証者コンピュータ１０２と供
託機関コンピュータ１０３，１０４における処理の全体
の流れを示すフローチャートであり、まず、ステップ１
４０１において、検証者コンピュータ１０２は各供託機
関コンピュータ１０３，１０４とのネットワーク１０１
を介した通信路を確立した後、これから検証する分割秘
密鍵の所有者名を各供託機関コンピュータ１０３，１０
４に送信する。

【００９６】続くステップ１４０２において、図１５に
示す検証プロトコルを、検証者コンピュータ１０２と各
供託機関コンピュータ１０３，１０４との間で所定回数
繰り返す。この場合の、繰り返し回数はどの程度の確率
で検証したいのかによる。

【００９７】検証の正しさは、「数３」で示した通りで
ある。

【００９８】続くステップ１４０３において、検証者コ
ンピュータ１０２は検証結果を供託機関コンピュータ１
０３，１０４に通知し、通信路を解除する。

【００９９】図１５は、図１４のステップ１４０２の１
回分のやりとりを示すフローチャートであり、先の図８
で説明した方法との違いは、各ステップを各供託機関コ
ンピュータ１０３，１０４に対して同時並列的に処理進
めるようにしていることである。

【０１００】ステップ１５０１において、各供託機関コ
ンピュータ１０３，１０４は、「０」以上「ｎ−１未
満」の乱数ｒ_iを生成し、「数６」で示したＸ_iを計算
し、その計算結果のＸ_iを検証者コンピュータ１０２に
送る。ここで、ｎは所有者の公開鍵の一部であり、秘密
鍵データベース２０３中の公開鍵のフィールド３０３か
ら取り出す。

【０１０１】続くステップ１５０２において、検証者コ
ンピュータ１０２は「０」以上「ｎ−１未満」の乱数ｂ
を生成して各供託機関コンピュータ１０３，１０４に送
る。ここで、ｎは所有者の公開鍵の一部であり、公開鍵
データベース４０３中の公開鍵のフィールド５０２から
取り出す。

【０１０２】続くステップ１５０３において、各供託機
関コンピュータ１０３，１０４は、ｙ_i＝ｒ_i＋ｂｓ_i(mod n-1) を計算し、検証者コンピュータ１０２に送る。

【０１０３】続くステップ１５０４において、検証者コ
ンピュータ１０２は、「数７」の両辺が等しいかどうか
を確認し、等しければ秘密鍵Ｓは正しく分割されている
ものと判断する。

【０１０４】

【数７】

【０１０５】このように、以上説明した分割秘密鍵の確
認方法によれば、クライアントコンピュータを使用する
ユーザが複数の供託機関コンピュータに供託した分割秘
密鍵が正しく分割されていることを確認することができ
る。この場合、ゼロ知識証明を用いているため、供託機
関コンピュータ同士、あるいは供託機関コンピュータと
検証者コンピュータとの間で秘密鍵自体が知られてしま
うことがなく、複数の機関に供託している意義が損なわ
れないという利点がある。

【０１０６】すなわち、各供託機関コンピュータ１０
３，１０４はΠＰ_i＝Ｐや「数５」が成り立つような
Ｐ_i，Ｘ，ｙを検証者コンピュータ１０２に送信してい
るが、送信者コンピュータ１０２がランダムに送って来
る乱数ｂを予測できないので、供託機関コンピュータが
秘密鍵を知らなかったり、誤って供託されていた場合に
は、このようなＸ，ｙを生成するのは不可能である。ま
た、各供託機関コンピュータ１０３，１０４は分割秘密
鍵ｓ_iの情報として、Ｐ_i＝｛ｇのｓ_i乗｝やｙ＝ｒ＋ｂ
ｓ_i（但し、Ｘ＝ｇのｒ乗）を送信しているが、これか
らｓ_iの情報を得るのは不可能である。なぜならば、Ｐ_i
やＸ＝ｇのｒ乗なるＸからｒを求めてｓ_iを求めるのは
離散対数問題そのものであり、ＥｌＧａｍａｌ暗号を解
読するのに等しく、著しく困難であるからである。

【０１０７】従って、各ユーザの秘密鍵が正しく分割さ
れていることが検証されているならば、図１６のシステ
ム構成図に示すように、クライアントコンピュータ１０
５と１０６との暗号文を捜査機関１１が裁判所１１０の
許可を得て解読しようとする場合に、各供託機関コンピ
ュータ１０３，１０４，１０９に分割して供託されてい
るクライアントコンピュータ１０５，１０６の分割秘密
鍵を取得し、この分割秘密鍵によってクライアントコン
ピュータ１０５，１０６間の暗号文を解読し、犯罪捜査
等に役立てることができる。

【０１０８】ＲＳＡ公開鍵暗号における秘密鍵の分割供
託方法次に、ＲＳＡ公開鍵暗号における秘密鍵の分割供託方法
について説明する。

【０１０９】ＲＳＡ公開鍵暗号における秘密鍵を複数の
供託機関コンピュータ１０３，１０４に分割して供託す
る場合、２つの素数をｐ，ｑ、ｎ＝ｐ×ｑ、ｌを「ｐ−
１」と「ｑ−１」の最小公倍数（すなわち、ｌ＝ｌｃｍ
（ｐ−１，ｑ−１））、ｅとｄを剰余ｌでｅ×ｄ＝１な
る数とし、ｎとｅを公開鍵、ｄを秘密鍵、ｉを秘密鍵ｄ
の分割数、分割した秘密鍵をｄ_iとしたとき、分割した
秘密鍵ｄ_iの和が元の秘密鍵ｄに剰余ｌで等しい、ｄ＝
Σｄ_i(mod ｌ)となるように分割して供託する。

【０１１０】これによって、各供託機関コンピュータ１
０３，１０４内の秘密鍵データベース２０３には、図３
で示したような構造で分割秘密鍵ｄ_iが公開鍵ｎ，ｅと
共に格納される。

【０１１１】なお、ＲＳＡ公開鍵暗号における分割秘密
鍵の確認システムのハードウェア構成は、図１〜図５と
全く同様の構成であるので、ハードウェア構成について
は図１〜図５を参照して説明する。

【０１１２】図１７は、検証者コンピュータ１０２と供
託機関コンピュータ１０３，１０４との主要なやりとり
部分を摸式的に示した図であり、まず、ステップ１７０
１において、検証者コンピュータ１０２で乱数Ｒを生成
し、この乱数Ｒを各供託機関Ｋｉのコンピュータ１０
３，１０４に向けて送信する。

【０１１３】次に、ステップ１７０２において、各供託
機関Ｋ_iのコンピュータ１０３，１０４が乱数Ｒ_iを生成
し、「数８」で示すように、Ｘ_i＝{Ｒ_iのｅ乗｝を剰余
ｎで計算し、その計算結果Ｘ_iを検証者コンピュータ１
０２Ｖに向けて送信する。

【０１１４】

【数８】

【０１１５】続くステップ１７０３において、検証者コ
ンピュータ１０２において乱数νを生成し、その乱数ν
を各供託機関コンピュータ１０３，１０４に向けて送信
する。

【０１１６】最後のステップ１７０４において、各供託
機関コンピュータ１０３，１０４が「数９」で示される
Ｙ_iを計算し、検証者コンピュータ１０２に向けて送信
する。通常、これを所定の回数繰り返す。所定回数繰り
返す理由は、ElGamal暗号の場合と同じである。

【０１１７】

【数９】

【０１１８】図１８は、供託機関コンピュータ１０３，
１０４と検証者コンピュータ１０２とが実施する処理の
全体の流れを示すフローチャートである。

【０１１９】まず、ステップ１８０１において、検証者
コンピュータ１０２は各供託機関コンピュータ１０３，
１０４とのネットワーク１０１を介した通信路を確立し
た後、これから検証する秘密鍵の所有者名を通信パケッ
トによって各供託機関コンピュータ１０３，１０４に送
信する。

【０１２０】次に、ステップ１８０２において、図１９
に示す検証処理を検証者コンピュータ１０２と各供託機
関コンピュータ１０３，１０４とで同時に並行して所定
回数繰り返す。規定回数はどの程度の確率でによる。検
証の正しさは、「数１０」で表すことができ、ほぼ「数
１１」の値以上となる。また間違いの確率は、「数１
２」で表され、「数１３」以下の値となる。

【０１２１】

【数１０】

【０１２２】

【数１１】

【０１２３】

【数１２】

【０１２４】

【数１３】

【０１２５】続くステップ１８０３において、検証者コ
ンピュータ１０２は検証結果を供託機関コンピュータ１
０３，１０４に通知し、通信路を解除する。

【０１２６】図１９は、図１８のステップ１８０２の１
回分のやりとりを示すフローチャートであり、まず、ス
テップ１９０１において、検証者コンピュータ１０２は
「０」以上「ｎ未満」の乱数Ｒを生成し、各供託機関コ
ンピュータ１０３，１０４に送る。ここで、ｎは所有者
の公開鍵の一部であり、公開鍵データベース２０３中の
公開鍵のフィールド３０３から取り出す。

【０１２７】続くステップ１９０２において、各供託機
関コンピュータ１０３，１０４は「０」以上「ｎ未満」
の乱数Ｒ_iを生成し、その乱数Ｒ_iで「数８」で示したＸ
_iを計算し、検証者コンピュータ１０２に送る。

【０１２８】続くステップ１９０３において、検証者コ
ンピュータ１０２は乱数νを生成して各供託機関コンピ
ュータ１０３，１０４に送る。

【０１２９】続くステップ１９０４において、各供託機
関コンピュータ１０３，１０４は「数９」で示したＹ_i
を計算し、検証者コンピュータ１０２に送る。

【０１３０】続くステップ１９０５において、検証者コ
ンピュータ１０２は「数１０」の両辺が等しいかどうか
を確認し、等しければ分割秘密鍵ｄｉは正しく分割され
ているものと判断する。

【０１３１】

【数１４】

【０１３２】次に、図２０を参照し、図１９のステップ
１９０１に当たる検証者コンピュータ１０２の処理を説
明する。

【０１３３】まず、ステップ２００１において、検証者
コンピュータ１０２は乱数生成器４０６を用いて「０」
以上「ｎ未満」の乱数Ｒを生成し、メモリ４０５に格納
する。

【０１３４】次に、ステップ２００２においては、メモ
リ４０５内に乱数Ｒの通信パケットを組立て、通信器４
０２を用いて各供託機関コンピュータ１０３，１０４に
送る。

【０１３５】次に、図２１を参照し、図１９のステップ
１９０２に当たる供託機関コンピュータ１０３，１０４
の処理を説明する。

【０１３６】まず、供託機関コンピュータ１０３，１０
４はステップ２１０１において、検証者コンピュータ１
０２が送信した乱数Ｒの通信パケットを通信器２０２を
用いて受信し、中身の乱数Ｒをメモリ２０５に格納す
る。

【０１３７】続くステップ２１０２において、乱数生成
器２０６を用いて「０」以上「ｎ未満」の乱数Ｒ_iを生
成してメモリ２０５に格納する。続くステップ１５０３
においては「数８」で示したＸ_iを計算し、メモリ２０
５に格納する。次に、ステップ２１０４において、メモ
リ２０５内で計算結果Ｘ_iの通信パケットを組立て、そ
の通信パケットを通信器２０２を用いて検証者コンピュ
ータ１０２に送る。

【０１３８】次に、図２２を参照し、図１９のステップ
１９０３に当たる検証者コンピュータ１０２の処理を説
明する。

【０１３９】まず、ステップ２２０１において、検証者
コンピュータ１０２は供託機関コンピュータ１０３，１
０４が送信したＸ_iの通信パケットを通信器４０２を用
いて受信し、中身のＸ_iをメモリ４０５に格納する。続
くステップ２２０２において、乱数生成器４０６を用い
て「０」以上「ｎ未満」の乱数νを生成し、メモリ４０
５に格納する。

【０１４０】続くステップ２２０３において、メモリ４
０５内で乱数νの通信パケットを組立て、その通信パケ
ットを通信器４０２を用いて各供託機関コンピュータ１
０３，１０４に送る。

【０１４１】次に、図２３を参照し、図１９のステップ
１９０４に当たる供託機関コンピュータ１０３，１０４
の処理を説明する。まず、供託機関コンピュータ１０
３，１０４は、ステップ２３０１において、検証者コン
ピュータ１０２が送信した乱数νの通信パケットを通信
器２０２を用いて受信し、中身の乱数νをメモリ２０５
に格納する。

【０１４２】続くステップ２３０２においては、メモリ
２０５に格納した乱数Ｒ，ν，Ｒｉおよび秘密鍵データ
ベース２０３の分割秘密鍵のフィールド３０２の分割秘
密鍵ｄ_iを用い、「数９」で示したＹ_iを計算する。

【０１４３】続くステップ２３０３において、メモリ２
０５内で計算結果Ｙ_iの通信パケットを組立て、その通
信パケットを通信器２０２を用いて検証者コンピュータ
１０２に送る。

【０１４４】次に、図２４を参照し、図１９のステップ
１９０５に当たる検証者コンピュータ１０２の処理を説
明する。まず、検証者コンピュータ１０２はステップ２
４０１において、供託機関コンピュータ１０３，１０４
が送信したＹ_iの通信パケットを通信器４０２を用いて
受信し、中身のＹ_iをメモリ４０５に格納する。

【０１４５】続くステップ２４０２においては、「数１
４」の両辺が等しいかどうかを検証し、等しければ、分
割秘密鍵ｄ_iは正しく分割されているものと判断し、等
しくなければ、検証不能する。

【０１４６】このように、ＲＳＡ公開鍵暗号における秘
密鍵を複数の供託機関コンピュータ１０３，１０４に分
割して供託する場合に、分割した秘密鍵ｄ_iの和が元の
秘密鍵ｄに剰余ｌで等しい、ｄ＝Σｄ_i(mod ｌ)となる
ように分割して供託することにより、検証機関において
秘密鍵ｄｉが正しく分割されて供託されているかをゼロ
知識証明を用いて容易に確認するのに役立てることがで
きる。

【０１４７】また、分割された秘密鍵ｄ_iをゼロ知識証
明を用いて検証することにより、正しく分割されて供託
されているかを確認することができる。すなわち、各供
託機関コンピュータ１０３，１０４は「数１４」が成り
立つようなＸ_i，Ｙ_iを検証者コンピュータ１０２に送信
しているが、検証者コンピュータ１０２が送信する乱数
νが予測できないため、供託機関コンピュータ１０３，
１０４が秘密鍵ｄ_iを知らなかったり、誤って供託され
ていた場合には、「数１４」が成り立つようなＸ_i，Ｙ_i
を計算するのは不可能である。従って、正しく分割され
ていた場合にのみ「数１４」が成立し、秘密鍵ｄ_iが正
しく分割されて供託されていることを確認することがで
きる。

【０１４８】また、各供託機関コンピュータ１０３，１
０４は、分割秘密鍵ｄｉの情報として「数９」で示した
Ｙｉを送信しているが、これから｛Ｒのｄ_i乗｝の情報
を得るのは不可能である。何故ならば、Ｒ_iがわかれば
「数９」により｛Ｒのｄ_i乗｝を計算できるが、Ｒ_iは各
供託機関コンピュータ１０３，１０４がランダムに生成
し、各供託機関コンピュータ１０３，１０４のみが知っ
ている情報である。また、Ｒ_iに関する情報で供託機関
コンピュータの外部に出力したのは「数１」の情報のみ
であり、これからＲ_iを計算するのはＲＳＡ暗号そのも
のを解読するのに等しく、解読は著しく困難である。よ
って、検証者コンピュータ１０２の検証者が悪意を持っ
て暗号データに対し秘密鍵ｄを求めようとしても不可能
であり、悪意の検証者によってユーザの秘密鍵ｄが盗用
されるのを防止し、供託した秘密鍵の秘密を維持するこ
とができる。

【０１４９】なお、図１７では検証者コンピュータ１０
２において乱数Ｒとνを別のタイミングで生成している
が、同時に生成し、これらを一緒に供託機関コンピュー
タ１０３，１０４に送信するようにしてもよい。

【０１５０】

【発明の効果】以上説明したように、本発明によれば、
ＲＳＡ公開鍵暗号やElGamal型公開鍵暗号における秘密
鍵を複数の供託機関に分割して供託する場合に、分割し
た秘密鍵の和が元の秘密鍵に剰余nまたはｌで等しくな
るように分割して供託することにより、検証機関におい
て秘密鍵が正しく分割されて供託されているかをゼロ知
識証明を用いて容易に確認するのに役立てることができ
る。

【０１５１】また、分割された秘密鍵をゼロ知識証明を
用いて検証することにより、正しく分割されて供託され
ているかを確認することができる。特に、検証者コンピ
ュータの検証者が悪意を持って暗号データに対し秘密鍵
を求めようとしても不可能であり、悪意の検証者によっ
てユーザの秘密鍵が盗用されるのを防止し、供託した秘
密鍵の秘密を維持することができるという効果がある。

【図面の簡単な説明】

【図１】本発明を適用した秘密鍵分割供託確認システム
の全体構成図である。

【図２】供託機関コンピュータの内部構成を示すブロッ
ク図である。

【図３】供託機関コンピュータ内に設けられた秘密鍵デ
ータベースの内部構成図である。

【図４】検証者コンピュータの内部構成を示すブロック
図である。

【図５】検証者コンピュータ内に設けられた公開鍵デー
タベースの内部構成図である。

【図６】検証者コンピュータと供託機関コンピュータと
の主要なやりとりを示す図である。

【図７】検証者コンピュータと供託機関コンピュータが
実施する処理の全体の流れを示すフローチャートであ
る。

【図８】図７のステップ７０４の詳細を示すフローチャ
ートである。

【図９】図８のステップ８０１の詳細を示すフローチャ
ートである。

【図１０】図８のステップ８０２の詳細を示すフローチ
ャートである。

【図１１】図８のステップ８０３の詳細を示すフローチ
ャートである。

【図１２】図８のステップ８０４の詳細を示すフローチ
ャートである。

【図１３】分割秘密鍵の確認方法の他の例における検証
者コンピュータと供託機関コンピュータとの主要なやり
とりを示す図である。

【図１４】検証者コンピュータと供託機関コンピュータ
が実施する処理の全体の流れを示すフローチャートであ
る。

【図１５】図１４のステップ１４０２の詳細を示すフロ
ーチャートである。

【図１６】分割秘密鍵を捜査機関が使用して暗号文を解
読するためのシステム構成を示す図である。

【図１７】ＲＳＡ公開鍵暗号における検証者コンピュー
タと供託機関コンピュータとの主要なやりとりを示す図
である。

【図１８】ＲＳＡ公開鍵暗号における検証者コンピュー
タと供託機関コンピュータが実施する処理の全体の流れ
を示すフローチャートである。

【図１９】図１８のステップ１８０２の詳細を示すフロ
ーチャートである。

【図２０】図１９のステップ１９０１の詳細を示すフロ
ーチャートである。

【図２１】図１９のステップ１９０２の詳細を示すフロ
ーチャートである。

【図２２】図１９のステップ１９０３の詳細を示すフロ
ーチャートである。

【図２３】図１９のステップ１９０４の詳細を示すフロ
ーチャートである。

【図２４】図１９のステップ１９０５の詳細を示すフロ
ーチャートである。

【符号の説明】

１０１…ネットワーク、１０２…検証者コンピュータ、
１０３，１０４…供託機関コンピュータ、１０５，１０
６…クライアントコンピュータ、１０７…ネットワー
ク、１０８…登録機関コンピュータ、２０３…秘密鍵デ
ータベース、２０６…乱数生成器、３０２…分割秘密
鍵、３０３…公開鍵、４０３…公開鍵データベース、４
０６…乱数生成器。

Claims

【特許請求の範囲】

【請求項１】クライアントコンピュータがエルガマル
暗号アルゴリズムによって暗号化された暗号文を復号す
るための秘密鍵を複数の供託機関コンピュータに分割し
て供託する方法において、基本元をＢ、Ｂの位数をｎ、秘密鍵をｓ、公開鍵ＰをＰ
＝ｓＢ、ｉを秘密鍵ｓの分割数としたとき、クライアン
トコンピュータは複数の供託機関コンピュータに対し、
自クライアントコンピュータが使用する秘密鍵ｓをｓ＝
Σｓ_i(mod ｎ)となるように分割して供託することを特
徴とする秘密鍵分割供託方法。
【請求項２】請求項１の秘密鍵分割供託方法を用いて
供託機関コンピュータに供託された分割秘密鍵の和が元
の秘密鍵に等しいこと確認する方法であって、分割秘密
鍵の和が元の秘密鍵に等しいことをゼロ知識証明を用い
て検証することを特徴とする分割秘密鍵確認方法。
【請求項３】分割が正しいかどうか確認する検証者コ
ンピュータと分割した秘密鍵を持つ供託機関コンピュー
タとの間で、 (１)各供託機関コンピュータは分割した秘密鍵ｓ_iに対
応する公開鍵Ｐ_iを基本元Ｂのｓ_i個の和として求めて検
証者コンピュータに送り、 (２)検証者コンピュータは公開鍵Ｐが各供託機関コンピ
ュータから送られてきた全てのＰ_iの和ΣＰ_iに等しいこ
とを確認し、 (３)検証者コンピュータは各供託機関コンピュータとの
間で (３-１)供託機関コンピュータは乱数ｒを生成して基本
元Ｂのｒ個の和Ｘを計算して検証者コンピュータに送
り、 (３-２)検証者コンピュータは乱数ｂを生成して供託機
関コンピュータに送り、 (３-３)供託機関コンピュータは保有している分割秘密
鍵ｓ_iを使って「ｒ＋ｂｓ_i＝ｙ」を剰余ｎで計算して検
証者コンピュータに送り、 (３-４)検証者コンピュータはｙ個のＢの和ｙＢとｂ個
のＰ_iとＸの和「ｂＰi＋Ｘ」が等しいことを確認する、
処理を１回以上繰り返し、分割した秘密鍵ｓ_iの和が元
の秘密鍵ｓに等しいことを検証することを特徴とする請
求項２記載の分割秘密鍵確認方法。
【請求項４】分割が正しいかどうか確認する検証者コ
ンピュータと分割した秘密鍵を持つ供託機関コンピュー
タとの間で、(１)各供託機関コンピュータは乱数ｒ_iを
生成して基本元Ｂのｒ_i個の和「Ｘ_i＝ｒ_iＢ」を計算し
て検証者コンピュータに送り、 (２)検証者コンピュータは乱数ｂを生成して各供託機関
コンピュータに送り、 (３)各供託機関コンピュータは保有している分割秘密鍵
ｓ_iを使って「ｙ_i＝ｒ_i＋ｂｓ_i」を剰余ｎで計算して検
証者コンピュータに送り、 (４)検証者コンピュータは各供託機関コンピュータから
送られてきた全てのｙ_i個の基本元Ｂの和Σｙ_iＢと「ｂ
Ｐ＋ΣＸ_i」とが等しいかどうか確認する、処理を１回
以上繰り返し、分割した秘密鍵ｓ_iの和が元の秘密鍵ｓ
に等しいことを検証することを特徴とする請求項２記載
の秘密鍵鍵確認方法。
【請求項５】クライアントコンピュータがエルガマル
暗号アルゴリズムによって暗号化された暗号文を復号す
るための秘密鍵を複数の供託機関コンピュータに分割し
て供託する方法において、素数ｎ、剰余ｎでｎ−１乗して１になる数ｇを基本元と
し、秘密鍵をｓ、公開鍵Ｐを剰余ｎで計算して「Ｐ＝
｛ｇのｓ乗｝(mod ｎ)」としたエルガマル公開鍵暗号の
秘密鍵ｓをｉ個に分割して供託するとき、クライアント
コンピュータは自クライアントコンピュータが使用する
秘密鍵ｓを、分割した秘密鍵ｓ_iの和が剰余ｎ−１で元
の秘密鍵に等しい「ｓ＝Σｓ_i(mod ｎ-１)」となるよう
に分割してｉ個の供託機関コンピュータに供託すること
を特徴とする秘密鍵分割供託方法。
【請求項６】請求項５の秘密鍵分割供託方法を用いて
供託機関コンピュータに供託された分割秘密鍵の和が元
の秘密鍵に等しいこと確認する方法であって、分割秘密
鍵の和が元の秘密鍵に等しいことをゼロ知識証明を用い
て検証することを特徴とする分割秘密鍵確認方法。
【請求項７】分割が正しいかどうかを確認する検証者
コンピュータと分割した秘密鍵を持つ供託機関コンピュ
ータとの間で、 (１)各供託機関コンピュータは分割した秘密鍵ｓ_iに対
応する公開鍵Ｐ_iを「Ｐ_i＝｛ｇのｓ_i乗}(mod ｎ)」と計
算して検証者コンピュータに送り、 (２)検証者コンピュータは「Ｐ＝ΠＰ_i(mod ｎ)」とな
ることを確認し、 (３)検証者コンピュータは各供託機関コンピュータとの
間で (３-１)供託機関コンピュータは乱数ｒを生成し、「Ｘ
＝｛ｇのｒ乗｝(mod ｎ)」検証者コンピュータに送り、 (３-２)検証者コンピュータは乱数ｂを生成して供託機
関コンピュータに送り、 (３-３)供託機関コンピュータは自身が保有している分
割秘密鍵ｓ_iを使って「ｙ＝ｒ＋ｂｓ_i(mod ｎ−１)」を
計算して検証者コンピュータに送り、 (３-４)検証者コンピュータは「｛ｇのｙ乗｝(mod
ｎ)」と「Ｘ×{Ｐ_iのｂ乗｝(mod ｎ)」が等しいかどう
かを確認する、処理を１回以上繰り返し、分割した秘密
鍵の和が元の秘密鍵に等しいことを検証することを特徴
とする請求項６記載の分割秘密鍵確認方法。
【請求項８】分割が正しいかどうか確認する検証者コ
ンピュータと分割した秘密鍵を持つ各供託機関コンピュ
ータとの間で、 (１)各供託機関コンピュータは乱数ｒ_iを生成し、「Ｘ_i
＝｛ｇのｒ_i乗}(modｎ)」を検証者コンピュータに送
り、 (２)検証者コンピュータは乱数ｂを生成して各供託機関
コンピュータに送り、 (３)各供託機関コンピュータは自身が保有している分割
秘密鍵ｓ_iを使って「ｙ_i＝ｒ_i＋ｂｓ_i(mod ｎ-１)」を
計算して検証者コンピュータに送り、 (４)検証者コンピュータは「Π｛ｇのｙ_i乗}(mod ｎ)」
と「Ｐのｂ乗×ΠＸ_i(mod ｎ)」が等しいかどうか確認
する、という処理を１回以上繰り返し、分割した秘密鍵
の和が元の秘密鍵に等しいことを検証することを特徴と
する請求項６記載の分割秘密鍵の確認方法。
【請求項９】基本点をＢ、Ｂの位数をｎ、ｎ個の和が
０となる最小数がｎ、秘密鍵をｓ、公開鍵Ｐをｓ個のＢ
の和(Ｐ=ｓＢ)としたエルガマル型楕円曲線公開鍵暗号
の秘密鍵ｓをｉ個に分割してクライアントコンピュータ
から供託機関コンピュータに供託する方法であって、分割した秘密鍵ｓの和が元の秘密鍵に剰余ｎで等しい
「ｓ＝Σｓ_i(mod ｎ)」となるように分割して供託する
ことを特徴とする秘密鍵分割供託方法。
【請求項１０】請求項９の秘密鍵分割供託方法を用い
て供託機関コンピュータに供託された分割秘密鍵の和が
元の秘密鍵に等しいこと確認する方法であって、分割秘
密鍵の和が元の秘密鍵に等しいことをゼロ知識証明を用
いて検証することを特徴とする分割秘密鍵確認方法。
【請求項１１】分割が正しいかどうかを確認する検証
者コンピュータと分割した秘密鍵を持つ供託機関コンピ
ュータとの間で、 (１)各供託機関コンピュータは分割した秘密鍵ｓ_iに対
応する公開鍵Ｐ_iを「Ｐ_i＝ｓ_iＢ」として楕円曲線上で
計算して検証者コンピュータに送り、 (２)検証者コンピュータは「Ｐ＝ΣＰ_i」を楕円曲線上
で確認し、 (３)検証者コンピュータは各供託機関コンピュータとの
間で (３-１)供託機関コンピュータは乱数ｒを生成し、「Ｘ
＝ｒＢ」を楕円曲線上で計算して検証者コンピュータに
送り、 (３-２)検証者コンピュータは乱数ｂを生成して供託機
関コンピュータに送り、 (３-３)供託機関コンピュータは保有している分割秘密
鍵ｓ_iを使って「ｙ＝ｒ＋ｂｓ_i(mod ｎ)」を計算して検
証者コンピュータに送り、 (３-４)検証者コンピュータはｙ個のＢの和「ｙＢ」と
「ｂＰ_i＋Ｘ」が等しいことを楕円曲線上で確認する、
という(３-１)から(３-４)の処理を１回以上繰り返すこ
とで分割した秘密鍵の和が元の秘密鍵に等しいことを検
証することを特徴とする請求項１０記載の分割秘密鍵確
認方法。
【請求項１２】分割が正しいかどうか確認する検証者
コンピュータと分割した秘密鍵を持つ供託機関コンピュ
ータとの間で、 (１)各供託機関コンピュータは乱数ｒ_iを生成し、「Ｘ_i
＝ｒ_iＢ」を楕円曲線上で計算して検証者コンピュータ
に送り、 (２)検証者コンピュータは乱数ｂを生成して各供託機関
コンピュータに送り、 (３)各供託機関コンピュータは自身が保有している分割
秘密鍵ｓ_iを使って「ｙ_i＝ｒ_i＋ｂｓ_i(mod ｎ)」を計算
して検証者コンピュータに送り、 (４)検証者コンピュータは全てのｙ_i個のＢの和「Σｙ_i
Ｂ」と「ｂＰ＋ΣＸ_i」が楕円曲線上で等しいかどうか
確認する、という処理を１回以上繰り返し、分割した秘
密鍵の和が元の秘密鍵に等しいことを検証することを特
徴とする請求項１０記載の分割秘密鍵の確認方法。
【請求項１３】２つの素数をｐ，ｑ、ｎ＝ｐ×ｑ、ｌ
を「ｐ−１」と「ｑ−１」の最小公倍数、ｅとｄを剰余
ｌで「ｅ×ｄ＝１」なる数とし、ｎとｅを公開鍵、ｄを
秘密鍵とするＲＳＡ公開鍵暗号の秘密鍵ｄをｉ個に分割
してクライアントコンピュータから複数の供託機関コン
ピュータに供託する方法であって、分割した秘密鍵ｄ_iの和が元の秘密鍵ｄに剰余ｌで等し
い「ｄ＝Σｄ_i(mod ｌ)」となるように分割して供託す
ることを特徴とする秘密鍵分割供託方法。
【請求項１４】請求項１３に記載の秘密鍵分割供託方
法を用いて供託機関コンピュータに供託した分割秘密鍵
の和が元の秘密鍵に剰余ｌで等しいことを確認する方法
であって、分割秘密鍵の和が元の秘密鍵に剰余ｌで等し
いことをゼロ知識証明を用いて検証することを特徴とす
る分割秘密鍵の確認方法。
【請求項１５】分割が正しいかどうか確認する検証者
コンピュータと分割した秘密鍵を持つ供託機関コンピュ
ータとの間で、 (１)検証者コンピュータは０以上ｎ未満の乱数Ｒを生成
して各供託機関コンピュータに送り、 (２)各供託機関コンピュータは乱数Ｒ_iを生成してＸ_i＝
{Ｒ_iのｅ乗｝を剰余ｌで計算して検証者コンピュータに
送り、 (３)検証者コンピュータは０以上ｎ未満の乱数νを生成
して各供託機関コンピュータに送り、 (４)各供託機関コンピュータは保有している分割秘密鍵
ｄ_iを使って「Ｙ_i＝Ｒ_i×｛Ｒのｄ_iv乗}」を剰余ｌで計
算して検証者コンピュータに送り、 (５)検証者コンピュータは「ΠＸ_i×｛Ｒのν乗｝」と
「Π{Ｙ_iのｅ乗｝」が剰余ｌで等しいかどうか確認す
る、という処理を１回以上繰り返し、分割した秘密鍵の
和が元の秘密鍵に等しいことを検証することを特徴とす
る請求項１４記載の分割秘密鍵の確認方法。
【請求項１６】分割が正しいかどうか確認する検証者
コンピュータと分割した秘密鍵を持つ供託機関コンピュ
ータとの間で、 (１)各供託機関コンピュータは乱数Ｒ_iを生成して「Ｘ_i
＝{Ｒ_iのｅ乗｝」を剰余ｌで計算して検証者コンピュー
タに送り、 (２)検証者コンピュータは０以上ｎ未満の乱数Ｒとνを
生成して各供託機関コンピュータに送り、 (３)各供託機関は保有している分割秘密鍵ｄ_iを使って
「Ｙ_i＝Ｒ_i×｛Ｒのｄ_iν乗}」を剰余ｌで計算して検証
者コンピュータに送り、 (４)検証者コンピュータは「ΠＸ_i×｛Ｒのν乗}」と
「Π{Ｙ_iのｅ乗｝」が剰余ｌで等しいかどうか確認す
る、という処理を１回以上繰り返し、分割した秘密鍵の
和が元の秘密鍵に等しいことを検証することを特徴とす
る請求項１４記載の分割秘密鍵の確認方法。