JPH11514752A - 命題論理から充足可能な論理式を証明するための暗号手段 - Google Patents

Abstract

(57)【要約】 複数の秘密に関するある数字を保有する証明側が、原子命題が秘密間の論理関係式である命題論理から、充足可能な論理式を証明する暗号手段が開示されている。証明は論理式自体に含まれる以上の情報は明らかにしない。秘密に関する付加情報を明らかにせずに、そうした証明が無制限に行える手段がある。一方で、証明が前以て決められた回数以上実行される場合に、秘密全部あるいは秘密の一部が明らかになることを保証する手段もある。証明は、ゼロ知識証明あるいは署名付証明であればよい。

Description

【発明の詳細な説明】 命題論理から充足可能な論理式を証明するための暗号手段 発明の背景 １．発明の分野 本発明は個人が保持するデータの特徴を証明するための暗号手段を安全にする ことに関する。より詳細には、付加情報を明らかにせずに命題論理から論理式を 証明するための手段に関する。 ２．従来技術の説明 本出願人によって１９９４年２月２８日に出願された米国特許出願第０８／２０ ３，２３１において、付加情報を明らかにせずに個人が保持するデータの特徴を 証明するための装置が記載され、特許請求されている。そこでは特に、１つかそ れ以上の秘密を保持する証明側（prover party）がどのようにして秘密における 線形関係式を安全に証明するかが記載されている。線形関係式を証明する特別な 場合は、秘密がある価値を有することを証明することに関連する。 １適用例では、個人的に保持されたデータは、ある権限を与えられた側により 発行された資格認証（credential）の集合を表し、証明側は付加情報を明らかに せずに自分の資格認証が特別な値を有することあるいは線形関係式が資格認証に 適用されることを証明する。資格認証がないことをある特別に指定した値（典型 的に０）により表し、資格認証があることを別の値（典型的に１）により表すこ とにより、証明側は、資格認証を表す秘密がそれぞれ１か０かを証明する方法で 自分が資格認証を有するか有しないかを証明することができる。同様に、秘密の 値の合計が１に等しいことを証明することにより、証明側は自分が２つのそうし た資格認証のうち１つだけを有していることを証明することができる。一般にｋ 個の資格認証のうちι個（ι≧０，ｋ≧ι）を有することを証明することができ る。 米国特許出願第０８／２０３，２３１に記載された資格認証発行及び更新方法 は非常に強力であるが、一方線形関係式を証明する方法は機能性の点で著しく限 定される。 ２つ以上の線形関係式からなるシステムを証明するために、米国特許出願第０ ８／２０３，２３１に記載された方法は、各関係式に対し１回ずつ繰り返し適用 されなければならないと考えられる。付加情報を明らかにせずにしかも効率を大 きく下げずに証明側によって証明されるいかなる線形関係システムをも許容する 方法が望ましい。 米国特許出願第０８／２０３，２３１の方法は、多くの値を呈することのでき る資格認証がある値は有しないことを、その真の値を明らかにせずに証明するこ とができない。 ｋ個の資格認証のうち正確にι個を保持することを証明する手段は、イエス／ ノー認証に対してのみ適用されるのであって、この方法ではｋ個の資格認証のう ち少なくともι個を有することを証明することができない。 より一般的には、米国特許出願第０８／２０３，２３１の方法では、線形関係 式に対していわゆる命題論理から任意の充足可能な論理式を証明することができ ない。これらは論理連結語「ＡＮＤ」、「ＯＲ」、「ＮＯＴ」によって原子命題 をつなぐ論理式であって、それらの原子命題は有限体（finite field）上の線形 関係式である。本文中の「充足可能（satisfiable）」とは論理式が真となるよ うに原子命題の変数に対する割り当てが存在することを意味する。そうした論理 式の例は「（S₁ＡＮＤ S₂）ＯＲ（S₃ＡＮＤ（ＮＯＴS₄））」ここで各S₁，．． ．，S₄は数ｘ₁，．．．，ｘ_kを有する１個の線形関係式を表す。論理式が真とな るように（ｘ₁，．．．，ｘ_k）に対する割り当てがあるとき論理式は充足可能で ある。この解釈において、米国特許出願第０８／２０３，２３１の方法は、論理 連結語なしで線形関係式をつなぐ論理式のみを証明することができる。この方法 では１個又はそれ以上の論理連結語を有する論理式を証明することができない。 証明側が、例えば第２と第３公開鍵に対応する、あるいは第５公開鍵に対応す る秘密鍵を自分が知っていることを、それ以上のことは明らかにせずに証明する ことができる方法は、当該分野で周知である。（１９９５年、スプリンガー・バ ーレグ、ユーロクリプト９４、コンピュータ・サイエンスの講義ノート、暗号学 の進化、「部分知識の証明と証拠隠しプロトコルの簡単な設計」、クラマー．エ ル、ダムガード．アイ、ショーエンメーカーズ．ベーを参照）しかしながら、こ の方法では「ＡＮＤ」と「ＯＲ」のみを有する単調な論理式しか証明ができない 。連結語「ＮＯＴ」を扱うことができない。さらに重要なのはこの方法に対する 原子命題が、秘密間の線形関係の代わりに「証明側がｉ番目の公開鍵に対応する 秘密鍵を知っている」形式になっていることである。 米国特許出願第０８／２０３，２３１では、証明側が全く同じ線形関係式を２ 度以上（あるいはより一般的に前以て決められた回数以上）証明する場合に、資 格認証の集合またはその１部を照合側（verifier party）により計算できる方法 も記載されている。この方法では証明側がどの線形関係を証明する必要があるの か前以て知っている必要があり、これは望ましくないことがよくある。さらに資 格認証の集合に対し命題論理から、論理式どれか２つ（必ずしも同じである必要 はない）あるいはそうした全ての論理式の特殊な範疇から論理式どれか２つを証 明側が証明する場合に、認証側が資格認証の集合を計算することができる方法が 望ましい。 さらに米国特許出願第０８／２０３，２３１の方法は論理式のゼロ知識証明(z ero-knowledge proof)と論理式の署名付証明(signed proof)以外の区別をしない 。この方法では、署名付証明が与えられた場合、伝えることのできる照合側の確 信度の大きさ、言い換えれば署名付証明の色々な味付けの間の区別をすることが できない。証明側が秘密集合を知っているという確信を認証側が伝えることがで き、証明側によって証明された論理式のいずれも伝えることができないことが望 ましい場合もある。また証明側が秘密集合を知っており、証明側が論理式の下ク ラスから１つを、どれががを確信せずに証明したという確信度を、認証側が伝え れることが必要な場合もある。さらに証明側が証明した特定の論理式に関 する確信度と同様に、証明側が秘密集合を知っているという確信度を、認証側が 伝えられる必要がある場合もある。 米国特許出願第０８／２０３，２３１に記載された線形関係式を証明するため の方法では、さらに証明側が数の集合に関する表現(representation)の知識を証 明する必要がある。この数の集合は証明すべき特定の関係式に依存する。証明す べき論理式にかかわらず数の集合が常に同じである方法が望ましい。これによっ てよく知られた同時繰り返し２乗法（simultaneous repeated squaring）を効果 的に使うことができる(例えば、アディソン・ウェスリー出版社、第２版、半数 （seminumerical）アルゴリズム第２巻４６５頁練習２７「コンピュータプログ ラミング技術」、クヌース．ディーを参照のこと)。なぜなら数の集合の空でな い各部分集合に対し、部分集合の中に簡単に前以て計算し記憶できる、数の積を 有するテーブル１つだけ必要とされるからである。 本発明の目的 そこで、本発明の目的は、 個人的に保持する秘密に関連する線形関係式からなるいかなるシステムを、秘 密についての付加情報を明らかにせずに証明側が証明することができるようにす ること、 個人的に保持する秘密に関連しない線形関係式からなるいかなるシステムを、 秘密についての付加情報を明らかにせずに証明側が証明することができるように すること、 個人的に保持する秘密が線形関係式からなる特定の集合の少なくとも幾つかを 満足することを、秘密についての付加情報を明らかにせずに証明側が証明するこ とができるようにすること、 原子命題が、証明者が個人的に保持する秘密に関連する線形関係式である命題 論理から、任意の充足可能な論理式を、秘密についての付加情報を明らかにせず に証明側が証明することができるようにすること、 原子命題が個人的に保持する秘密に関連する線形関係式である命題論理から、 充足可能な論理式からなる前以て決められた範疇に属する論理式を証明する場合 証明側が自分の秘密集合に対し前以て決められた回数以上かかわる場合において のみ、認証側は証明側が個人的に保持する秘密集合あるいはそれらの秘密の１部 を計算することができるようにすること、 上記目的のいずれか１つにおいて、認証側は証明者によってなされる証明に対 し制限的なブラインドをかけることができるようにすること、 上記目的のいずれか１つにおいて、認証側は証明者によってなされる証明に対 し完全なブラインドをかけることができるようにすること、 上記目的のいずれか１つにおいて、証明側は自分の証明をゼロ知識証明として 実行することができるようにすること、 上記目的の最初の７つのいずれか１つにおいて、証明側が署名付証明として自 分の証明を実行し、続いて照合側は、証明側が秘密の集合を知っているという確 信と、証明側によって証明された論理式についての確信を伝えることができるよ うにすること、 上記目的の最初の７つのいずれか１つにおいて、証明側が署名付証明として自 分の証明を実行し、続いて照合側は、証明側が個人的に保持した秘密の集合を知 っているという確信を伝えることができるが、証明側によって証明された論理式 についての確信を伝えることができないようにすること、 上記目的の最初の７つのいずれか１つにおいて、証明側が署名付証明として自 分の証明を実行し、続いて照合側は、証明側が個人的に保持した秘密の集合を知 っているという確信と、どの特定の論理式かは分からないが、証明側が制限され た論理式のクラスの中から論理式１つを証明するという確信を伝えることができ るようにすること、 上３つの目的のいずれか１つにおいて、証明側は照合側と相互作用せずに、署 名付証明を行うことができるようにすること、 上記目的のいずれか１つにおいて、証明側を２つの相互対立した目的を有する 部分（sub-party）に分け、各部分が証明側の秘密の１部のみを知っているよう にすることができるようにすること、 上記目的において、前以て計算されたテーブル１つを用いた同時繰り返し２乗 法を保証することで、証明側と照合側にとって効率的な計算をすることができる ようにすること、 プライバシ保護資格認証機構（credential mechanism）において本発明の上記 目的を使用することができるようにすること、 本発明の他の目的を満たす効率的、経済的かつ実用的な装置及び方法を得るこ とである。 図と共に記載事項及び添付した請求範囲を読むことにより、本発明の他の特徴 、目的及び利点は明らかになるであろう。 図の詳細な説明 図１では、本発明の教えにしたがって、線形関係式からなるシステムが秘密集 合に属することを、秘密に関する付加情報を明らかにせずに証明するための１つ 目のプロトコルのフローチャートが示されている。 図２では、本発明の教えにしたがって、線形関係式からなるシステムが秘密集 合に属することを、秘密に関する付加情報を明らかにせずに証明するための２つ 目のプロトコルのフローチャートが示されている。 図３では、本発明の教えにしたがって、線形関係が秘密集合に対して成り立た ないことを、秘密に関する付加情報を明らかにせずに証明するためのプロトコル のフローチャートが示されている。 図４では、本発明の教えにしたがって、２つの線形関係式のうち少なくとも１ つが秘密集合に属することを、秘密に関する付加情報を明らかにせずに証明する ためのプロトコルのフローチャートが示されている。 図５では、本発明の教えにしたがって、２度以上実行する際に限って秘密に関 する付加情報を明らかにする条件のもとで、線形関係式からなるシステムが秘密 集合に属することを証明するためのプロトコルのフローチャートが示されている 。 図６では、本発明の教えにしたがって、２度以上実行する際に限って秘密に関 する付加情報を明らかにする条件のもとで、０または１つ以上の連結語「ＡＮＤ 」と高々１つの連結語「ＮＯＴ」により秘密集合に属する線形関係式をつなげる 充足可能な論理式を証明するためのプロトコルのフローチャートが示されている 。 発明の詳細な説明 図１から図６までの標記は当業者には明らかであると考えられるが、明確さの ために最初に上記標記について復習する。図は証明側と認証側のプロトコルを示 し、図とそれに付随した説明の中に、それぞれに対応してＰとνで示される。プ ロトコルに関係する側のものにより行われる動作は、フローチャートのボックス 内に一緒にまとめられている。フローチャートのボックスに記載された動作を実 行する側は、ボックスを縦に見て一番上に表示されている。ボックス内の各行は 、計算、送信又は記憶動作のような手順を記載する。フローチャートは付随した 数字に従ってボックスごとに読まれなければならないし、ボックス内では行ごと に読まれなければならない。「側(party)」という言葉は組織(entity)を示し、 時には、プロトコル内の１つの手順あるいは一連の手順を実行するエージェント として見なされることもある。この言葉はこれらの手順を実行する手段として見 なされることもあるし、某かの適当なデジタル論理回路の形態を有することもあ る。例えば、図のいかなるボックスあるいはボックスの集まりも、ボックスある いはボックスの集まりに記述される記憶、入力／出力、及び送信段階（できれば 乱数発生源の機能を除く）を実行出来る限りにおいて、ハードワイヤード配線及 び専用の結合論理、あるいは当該分野でよく知られた例えばマイクロプロセッサ のようなある種の適当なプログラムマシーン、により実現され得る。 記号「←」は、その左側の変数もしくは記号にその右側の値が割り当てられる ことを意味する、割当を表している。こうした割当は記憶スペースが確保される ことを必ずしも意味せず、ＲＡＭにおいて実行される中間計算結果であることも ある。 性を保持しない際に発生することには、本発明は関与しない。明確さのため、そ うした場合プロトコルは停止するようになっている。 記号「∈_R」は、その左側の数字がほぼ一様で独立の確率分布によりその右側 の集合から選択されることを示している。実際には、できれば追加の後処理と共 に、物理的な乱数発生器を用いることができ、あるいは決定的疑似乱数発生器を 用いてもよい。後者の場合、装置により発生した全乱数は１つの秘密事項から発 生し、例えば、秘密事項を数列及び／あるいは発生する乱数を表す特性確定器（ type specifier）により変化させる。 コロンと少なくとも１つの数字が続く「Ｓｅｎd」なる語は、少なくとも１つ の数字が、動作を行う側から、フローチャートのボックス間をつなぐ線によって 示される別の側に送信されることを表す。 任意の整数ιに対し、記号Z_ιは数集合｛０，．．．，ι−１｝を表し、法(mo dulo)ιの整数環と呼ばれる（勿論、当業者に明らかなように、代わりに他のい かなる集合を使ってもよい。）。Z_ιの要素の加法及び乗法は、法ιにより定義 される。 標準的な数学標記にあるように、記号ΠとΣは、それぞれ積と和を表し、常に 同じ規則に従って１つ又はそれ以上の数字が作られる場合、標準的な数学の（ 横、縦、斜め方向の）省略記号が用いられ、省略記号の前及び後の情報から論理 的に推測できる。例えば、ボックス１３の最初の３行の標記は次のように解釈さ れる。ｋ−ιが１に等しければ、１つの関係、すなわち、ｒ₁に対したものだけ が定義される。ｋ−ιが１より大きければ、ｒ₂は、ｒ₂←ｃｘ_π(2)＋ｗ₂ ｍｏ ｄ ｑと計算され、そのような計算が続く。ｋ−ιが０に等しい特殊な場合、い かなる関係も定義されない。同じように、ボックス１３の第４列の標記は次のよ うに解釈される。ｋ−ιが１に等しければ、１つの数すなわちｒ₁だけが送信さ れ、ｋ−ιが１より大きければ、数ｒ₁からｒ_{k- ι}まで含めて送信される。ｋ− ιが０の特殊な場合、何も送信されない。 図１から６まで、当該分野でよく知られたいわゆる離散的対数仮定に基づいた 好ましい実施形態を表している。最初に，群が決定され、ｑ個の数字を有したGq と名付けられる。ここで、ｑは大きな素数である。一般性を失うことなく、Gq内 の群作用素(operator)は乗法と仮定される。効率の良いアルゴリズムが、Gqの数 字の確認、発生、等価性テスト及び乗法に用いられるべきであるが、離散的対数 の計算には用いられない。Gqに属する数字及び明示されない法作用素を含む表現 は、Gqにおける計算を表す。環Zqの計算では、法作用素は明示される。 加えて、全てGqに属し１に等しくない、いわゆる生成元ｇ₁，．．．，ｇ_kが選 択される。ここでｋ≧２。米国特許出願第０８／２０３，２３１の用語を用いて 、（ｇ₁，．．．，ｇ_k）に関してGqに属するある数ｈの表現(representation)は 、 い。（ｇ₁，．．．，ｇ_k）に関して、すべて０となる表現（０，．．，０）と異 なる数１の表現をうまく計算できないことが重要である。 これに関して、生成 元ｇ₁，．．．，ｇ_kは例えばνに信頼された側か、ν自身によりランダムに生成 される。この側は、群G_qを特定することもできる。当業者に明らかなように、全 ての生成元を実質ランダムな方法で選ぶ必要はない。生成元の１つは、その発生 元に関して離散的対数がうまく計算できないと考えられている限り、小集合例え ば最初の１００個の素数から選んでもよい。 以後、ベクトル（ｘ₁，．．．，ｘ_k）をＰの秘密集合と名付ける。本発明の方 法により、Ｐは自分の秘密集合の性質（property）を証明することができ、その 性質は命題論理の充足可能な論理式により記述され、原子論理は秘密の中で一次 方程式になる。 本発明の方法において、Ｐは、生成元ベクトルに関してある数の表現を証明す る必要があり、その数と各生成元が、集合｛ｈ，ｇ₁，．．．，ｇ_k｝において生 成元のべき乗の積であり、積の特殊な定義は証明する論理式を特定する。表現の 知識を、それに関する（有益な）情報を明らかにすることなく証明するために、 米国特許出願第０８／２０３，２３１の図１８に記載されたプロトコルが全般的 に使用される。以後、これを「知識の基本的証明」と名付ける。表現の知識を証 明するためのこの特殊な選択は、ほとんどの適用において好ましいと考えられて いる。しかしながら、当業者に明らかなように、本発明の技術は、完全かつ確実 な周知の特性を有する、表現の知識の他のいかなる証明に基づいて実行すること ができる。これは証拠隠し（witness hiding）である（と考えられている）。こ れら代替法は、単純な変形であったり、おそらく、照合側に対する照合の関係に おける幾つかあるいは全ての指数（例えば呼びかけとその応答の位置）を相互交 換することによって得られる。一方、完全に異なった方法に依存する代替法もあ る。 当該分野において、同時繰り返し２乗法(simultaneous repeated squaring) ている。効率よくは、２^k−１個の全ての空でない｛ｇ₁，．．．，ｇ_k｝の部分 集合に対し、部分集合のｇ_iの積を前もって計算し、テーブルに記憶させるのが 好ましい。例えば、ｋが１４に等しいければ、ｇ_iは５１２ビット数で表され、 このテーブルは記憶スペースのほぼ１メガバイトを占めるが、現在利用できるパ ーソナルコンピュータ（テーブル全体をＲＡＭにロードできる）の範囲に十分収 まる。ｋをどのように選んでも、べき乗の積を計算するのに必要なＧｑに属する モジーュラ乗法の数は、ｑの２進数長の２倍を越える必要はない。また、テーブ ル用の記憶スペースと必要とされるモジューラ乗法の数を（例えば、単独のビッ トの代わりに指数ビットのグループを考えることによって）交換する方法や、さ らに計算効率を上げる方法が、当該分野で知られている。 離散的対数を計算する際の困難に関して、実施形態の記述の選択は単なる提案 であって、いかなる方法にも制限されない。本発明の技術は、いわゆるＲＳＡ根 の計算の（推定される）困難さに基づいて実行されうる。これに関して、秘密集 合（ｘ₁，．．．，ｘ_k）は環Ｚ_υに属する数からなる。ここでυは大きな素数で ある。計算は群 で実行される。ここでｎはランダムに生成されかつ少なくとも Ｐに未知の（少なくとも）２つの大きな互いに離れた素数の積である。全て に 属する数Ｙ₁，．．，Ｙ_k（ｋ≧１）と大きいのが好ましい位数が続けて決定され る。米国特許出願第０８／２０３，２３１にあるように、ｘ₁，．．．，ｘ_k に等しければ、数ｈの表現と呼ばれる。ｎと（Ｙ₁，．．．，Ｙ_k，υ）の選択は 、（Ｙ₁，．．．，Ｙ_k，υ）に関して、「取るに足らない」表現（０，．．．， １）と異なる、数１の計算を少なくともＰ計算することができないように考えら れたものでなくてはならない。この要件は容易に満足される。ｎ 数）を生成することが簡単にできる。代わるものとして、ｎが２つの強い ものは圧倒的な確率で高位数を有する。勿論、他の適した方法を用いてもよい。 表現についての（有益な）情報を明らかにせずに表現の知識を証明するために、 米国特許出願第０８／２０３，２３１の図５で記述された、知識の基本的証明を 用いることができる。各図の詳細な記述の次に、ＲＳＡ根の計算の困難さに基づ いた、本発明の技術の実施方法が述べられる。ＲＳＡの場合に対する記述は、Ｒ ＳＡに基づくプロトコル全体を書き出すよりはむしろ、離散的対数に基づくプロ トコルに対し必要な変化のみを詳細に述べてある。 ここで、図１について、秘密集合についての付加情報を明らかにすることなく 、線形関係式からなるシステムが秘密集合に適用されることを証明するための１ つ目のプロトコルのフローチャートが詳細に述べられている。 まず最初に、Ｐは（ｇ₁，．．．，ｇ_k）に関して、Ｇｑに属するある数ｈの表 現（ｘ₁，．．．，ｘ_k）を知っている。この表現は、Ｐの秘密集合である。数ｈ は秘密集合上においてＰの委任（commitment）である。一般性を失うことなく、 Ｐはνに対しその秘密が次の独立な線形関係式を満足することを証明しなければ ならないと仮定される。 又は行列形式で、 ここで、ι≧１。 さらなる参照のために、この線形関係システムによって特定される論理式をＦで 表す。α_ij（１≦ｉ≦ι、１≦ｊ≦ｋ−ι）とｂ_i（１≦ｉ≦ι）はZqの要素で あり、π(・)は｛１，．．．ｋ｝の並び替えである。ｘ₁，．．．，ｘ_kのいかな る線形関係システムもこの形式で記述されることは、当業者には明らかである。 すなわち、線形関係システムが独立関係を含むならば、このシステムは、ここで ι個で表された独立線形関係システムにされ得る。そこで係数行列はいわゆる行 標準形（行エチェロン形としても知られる）に変形され得る。最後に適切な並べ 替えπ(・)を用いて、係数行列の列は相互交換でき、上に示したシステムに至る 。 明らかに、前以て決定されたα_ij（１≦ｉ≦ι、１≦ｊ≦ｋ−ι）とｂ_i（１ ≦ｉ≦ι）は、Ｆが線形関係システムからなる論理式である（つまりＦは連結語「 ＡＮＤ」のみを有する）ことを特定する付加ビットと出来る限り併せて、論理式 Ｆを記述するのに使用することができる。勿論、Ｆを特定するのに必要な付加ビ ットがどれほど必要かは、Ｐが証明のため中からあるＦを選ぶことができる論理 式の集合に依存する。 本発明技術は、 なる。Ｐは確かに、線形関係システムが成り立つ場合そのような表現すなわち （ｘ_π(1) ，．．．，ｘ_π(k-ι）を知っている。知識の基本的証明を適用し、 結果表現の拡張によって、Ｐ及びνは、集合｛ｈ，ｇ₁，．．．，ｇ_k｝における べき乗の積の数値を求めることにより、証明の中の全てのべき乗の積値を求める ことができる。故に、２^k+1＋１個の入力が空でない部分集合｛ｈ，ｇ₁，．．． ，ｇ_k｝内の数の積からなる、前以て計算したテーブルを利用することで、Ｐ及 びは例えば同時繰り返し２乗法を効果的に適用できる。プロトコルの手順は次の 通り。 ボックス１１の１行目では、Ｐが全てＺｑに属するｋ−ι個の乱数ｗ₁，．． ．，ｗ_{k- ι}を生成するのが示されている。２行目では、 に関して，Ｇｑに属するある数ａのランダムに生成された表現、すなわち（ｗ₁ ，．．．，ｗ_ｋ-ι）をＰが知っている状態で、Ｐがａの計算を行うことが示さ れている。数ａは、知識のスリームーブ（three-move）証明技術で一般的に用い られる用語に従って、第１証拠（initial witness）と呼んでもよい。３行目で は、Ｐがｈ、ｈに対する認証者のデジタル認証（cert(h)と標記）、及びａをν に送信するのが示されている。認証は、Ｐの身元を特定するもの及び満了日付の ような情報上のものであればよいが、そのような情報は本発明技術と無関係であ るから明示しない。他の方法では、適用によってνはｈ及び認証を公開鍵ディレ クトリや類似したものから検索することができてもよい。あるいは、νが別の方 法でｈの有効性を確かめることができるので、認証が全く必要ないこともある。 いずれの場合も、プロトコルが何度もされるようになっていても、ｈ及び認証は νに対しせいぜい１度送るだけでよいのは明らかである。 ボックス１２の１行目には、Ｚ₂ｔに属する呼びかけ（challenge）数ｃを生成 するのが示され、２行目には、νがｃをＰに送信するのが示される。ｃの選択の 仕方には幾つかの基本的に異なる方法があり、各方法は、本方法に対し重大な違 いを与える。ｃの生成方法に依存して、プロトコルはゼロ知識、証拠隠し又は署 名付証明（最後のものは色々味付けできる）このことは、ボックス１３とボック ス１４の記述後、短くまとめて記載されている。 ボックス１３の最初の３行では、Ｐが全てＺｑに属するｒ_{k- ι+１}，．．．， ｒ_kで表されるｋ−ι個の応答数を計算しているのが示してある。４行目には、 Ｐがｋ−ι個の応答数をνに送信するのが示されている。 ボックス１４の最初の３行では、νがι個の数ｒ_{k- ι+1}，．．．，ｒ_kを計算 しているのが示してある。４行目にはＰによりなされたｋ−ι個の応答の照合を 行っているのが示されている。照合が有効であれば、そこでνは証明を認める。 νが認めれば、Ｐが真にランダムなｃに対しうまく騙していた確率は１／２^tで 、ｃが少なくともａの一方向ハッシュとして計算されている場合その確率は、１ ／２^tに近い。 Zq上の線形関係により原子命題を表せば、図１の発明技術は、論理連結語「Ａ ＮＤ」のみを有するいわゆる命題論理から充足可能な論理式を証明するために用 いることができる例を次に挙げる。 例１：論理式「（x₁＝2x₃＋3x₄＋5modq）ＡＮＤ（x₂＝6x₄−7modq） に等しいかどうかを調べることにより、応答の照合を行う。（例１終わり）ボッ クス１２の記述に戻って、ｃが決定される第１の方法は、νがある小集合（つま りｔは小さくなくてはならない）からｃを選択することである。Ｐがｈの秘密集 合（つまり表現）を知っていることと、論理式ＦがＰの秘密集合に適用されるこ とをνが確信するために、プロトコルの４つの手順は何度も繰り返さなければな らない。結果的にこれはゼロ知識証明となる。 第２の方法は、大集合（つまりｔは大きい）からｃをランダムに選ぶことであ る。この場合では高い確率でνを確信させるためにプロトコル手順の繰り返し は不要である。プロトコルはゼロ知識とは考えられていないにもかかわらず、が Ｐの秘密についての付加的な情報を得ることは不可能と考えられている。（確か に、ｋが少なくともι＋２で、付加的な「ダミーの」秘密と共に、Ｐの秘密集合 を拡張することでＰにより常に保証される場合、プロトコルは証拠隠しでありえ る。）他の方法では、νからプロトコルを開始させ、Ｐに対し、Ｐの呼びかけｃ の委任を送信することにより、プロトコルはゼロ知識になり得る。そこで、νは ボックス１２において認証を開示しなければならない。（これはνがボックス１ １でＰによって与えられた情報に依存してｃを計算できないことを保証す Ｐとνによって使用される生成元集合から取った生成元である。 第３の方法では、証明を署名付証明として実行することができる。これは、証 明の後に、νが第三者に対し、νがＰとプロトコルを実行したことを、プロトコ ル実行の写しを見せることにより証明することができることを意味する。この場 合、呼びかけｃは、ある情報のハッシュ（ｔは大きいことを意味する）として計 算しなければならない。好ましくはハッシュ関数は、衝突しにくいもの（collis ion-intractable）であるべきで、古い署名付証明を新しい署名付証明に組み合 わせるのを防ぐために、ハッシュ関数における幾つかの代数関係は計算不可能で あるべきである。ｃを計算するためにハッシュされた情報は、少なくともａを有 するべきである。さらに、次の幾つかあるいは全てはハッシュされてもよい。ｈ 、ｈのデジタル認証（ボックス１１の３行目に示された特別な場合、すなわちＰ に対応して別の方法でｈが確認できる場合、認証は省略してもよい）、νに対す るメッセージ（そこで署名付証明は、そのメッセージ上のＰのデジタル署名とし て役立つ）、満了日付のような付加情報、及びＰによって論証される論理式Ｆの 記述。次の情報は署名付証拠を構成するのに十分である。ｈ、(ｒ₁，．．．，ｒ_{k- ι} )、ｃ、ｃを計算するためにハッシュされた（他の）いかなる情報、及び例 外的にａ（署名付証明はｃかａのどちらか１つを有すればよい。前者の場合、署 名付証明はよりコンパクトになる。）。 Ｆの記述がハッシュされるかどうかは、署名付証明が正確に証明することに対 し重大な示唆を有する。すなわち、Ｆの記述がハッシュされるなら、プロトコル 実行の写しは、証明の後に第三者に、Ｐがｈに対応した秘密集合を知っているこ と及び、論理式ＦがＰの秘密集合に適用されることを確信するために使用するこ とができる。他方、Ｆがハッシュされないなら、一般にプロトコル実行の写しは 、Ｐがｈに対応する秘密集合を知っていることを証明するだけである。これは、 論理式ＦがＰの秘密集合に適用されるという事実を確実に証明するものではない 。しかしながら、Ｐが自身の秘密に対するいかなる線形関係システムを証明する ことができないが、少なくとも係数α_ijの幾つかが前以て決定された無視できる Zqの部分集合の中になければならない線形関係システムのみ証明することができ れば、Ｆの全記述にわたってハッシュする必要はない。Ｆの記述の一部のみハッ シュすれば十分であるし、（例えばα_ijの１部、α_ijに適用される線形関係式の 記述、あるいはより一般的にＦについて幾つかの情報）あるいは、署名付証明が 第三者に、Ｐがｈに対応する秘密集合を知っていることと、論理式ＦがＰの秘密 集合に適用されることを確信させるために、Ｆの情報が多分全くハッシュされな いこともある。あるいは、ｃを計算する際に係数α_ijかつ／又はｂ_iの幾つかの みハッシュされる場合、あるいはより一般的に係数α_ijかつ／又はｂ_iについて 一部の情報のみ（言い換えればＦの記述の一部がハッシュされる場合、署名付証 明は、制限された論理式の集合の中の１つが、そのうちのどれがかを明らかにす ることなく、Ｐの秘密集合に適用されていると確信させてもよい。上述したこと より、これらの署名付証明の変形がどのように構成されるかということと、いろ いろなタイプの署名付証明が、使用されるべき適用場所に応じてそれぞれ有利な 点があるということは、当業者にとって明らかであると考えられる。 よって記述される論理式の中から取り出した論理式ＦをＰが証明しなければなら こで、ｃがｈとａのみのハッシュならば、署名付証明（ｈ，ｃ，Ａ及びｒから構 成）はｘ₂＝Ａ ｍoｄ ｑを証明しない。それはＰが（ｇ₁，ｇ₂）に関してｈの表 現を知っているということを示すだけである。すなわち、Ｐとνは乱数 ｗ₁， しかしながら、この場合Ａは（ハッシュ関数が十分安全であると仮定して）Ｐと νの支配下にない。それで、署名付証明は、無視できるＺｑの部分集合にＡがな ければならない特殊な場合（例えばＡが０か１のみである場合）において、ｘ₂ ＝Ａ ｍoｄ ｑであることを証明する。ｈとａだけでなく、Ｆの記述をハッシュ することによって（Ａが可能な論理式Ｆ全てをパラメータ化すれば、ＡをＦを記 述するのに使用することができる）、証明される論理式の集合に対し制限が課せ られるかどうかにかかわらず、署名付証明が、ＦがＰの秘密集合に適用されるこ とを示すことが保証される。 署名付証明の場合、Ｐは自分でｃを計算することができる（さらにＰがａをν に供給する必要がない）ことも当業者には明らかである。このことは、ハッシュ 値に含まれるべき付加情報をＰが利用できるかどうか及びＰがｃを知っているこ とができるかどうかに依存する。つまり、νがＰに対し、ｃの計算においてｃが ハッシュされることを希望するという情報を与えれば、Ｐは自分でｃを計算でき る。特に、Ｐがハッシュする必要のある情報全てを自分で決定できれば、νとの 相互作用は不要となる。他方、νがＰに末知のままであるべきメッセージをハッ シュしたければ、あるいはνが署名付証明にブラインドをかけたければ、ν自身 がｃの計算をおこなう。 署名付証明を完全にブラインドするために、νはボックス１２内でｃを次のよ うに計算できる。νはｋ−ι＋１個のブラインド要素ｒ₀，．．．，ｒ_{k- ι}を生 成する。νはこれらを用いて、 に従って、ａからブラインド形式ａ’を計算する。署名付証明を得るための上述 した方法の１つでハッシュすることで、νは数ｃ’を計算し、今回だけはａの代 わりにａ’をハッシュする。さらに、νはｃ←ｃ’＋ｒ₀ｍｏｄ ｑに従って 応答ｃを計算する。ボックス１４ではνは に従ってｒ₁，．．．，ｒ_{k- ι}のブラインド形式ｒ'₁，．．．，ｒ'_{k- ι}を計算す る。ここで、１≦ｉ≦ｋ−ι。そこで署名付証明は次のもので形成される。ｈ、 （ｒ'₁，．．．，ｒ'_{k- ι}）、ｃ’、ｃ’を計算するためにハッシュされたいか なる情報及び例外的にａ’（ｃ’とａ’のいずれか１つを有すれば十分である。 前者はよりコンパクトな署名付証明になる。）。制限されたブラインド形式の署 名付証明を得るために、ボックス１３においてνがどのようにｃを計算し、Ｐの 応答を調整するかは当業者には明らかである。これに関して制限ブラインドに対 する発明技術は、米国特許出願第０８／２０３，２３１及び米国特許出願第０８ ／３２１，８５５、１９９４年１０月１４日出願において詳しく述べられている 。両者とも本出願人により図１の発明技術と容易に組み合わせることができる。 さらに、Ｆを証明するためのプロトコルは移譲不可能（non-transferable）に できる。すなわちνは実時間において、第三者を確信させるために第三者にプロ トコル実行を移譲することができない。（ゼロ知識はいわゆる中間人間(man-in- the-middle)攻撃を防ぐのに十分でない）これに関して、本発明技術は当該分野 で知られた技術と組み合わせすることができる（１９９６年、スプリンガー・バ ーレグ、ユーロクリプト９６、コンピュータ・サイエンスの講義ノート、暗号学 の進化、「指定検証者証拠とその応用」、ジャコブソン．エム、サコ．ケー、イ ンパリャツォ．エルを参照）。実際において、ＦがＳのｈの表現に適用できるこ とあるいは、Ｐがνに関連したGqに属するある数の表現を知っていることどちら かをＰは証明しなければならない。このことにより、Ｐは く述べた）、あるいはνの公開鍵に対応した秘密鍵をＰが知っていることを証明 しなければならない。このことを得るために、当該分野で知られた別の方法を用 いることができる。（１９９５年、スプリンガー・バーレグ、ユーロクリプト９ ４、コンピュータ・サイエンスの講義ノート、暗号学の進化、「部分知識の証明 と証拠隠しプロトコルの簡単な設計」、クラマー．エル、ダムガード．アイ、シ ョーエンメーカーズ．ベーを参照）この技術により、Ｐは自分が第１公開鍵の秘 密鍵か、第２公開鍵の秘密鍵かを知っていることを証明することができる。 米国特許出願第０８／２０３，２３１に述べられた技術を用いて、Ｐは、必ず しも同じ目的で行動しない２つ（又はそれ以上）の構成要素からなることもでき る。典型的な例は、Ｐは人により作動するコンピュータ装置である。 発行者の ために作動する改竄防止型（tamper-resistant）計算機器Ｔ（典型はスマートカ ードやそれに類似の物）、ユーザのために作動するユーザ制御によるパーソナル コンピュータＵ、及びＴに対してやＴからの情報の全ての流れがＵを通過しなけ ればならないように配置されたＴとＵ、からＰは構成される。 ｈの表現（ｘ₁ ，．．．，ｘ_k）の一部が、Ｔの発行者あるいは第三者に代わってプログラムさ れたＴのみに既知であることを保証することにより、一般的にＴが協力するとき のみ証明は行われる。これに関して、Ｔにのみ既知の、例えばｘ_kのよう はその秘密鍵と見ることができる。線形関係式がｘ_kを含まない場合、ｘ_kがＴに より明らかにされないように証明を実行することができる。 このことを示すために例１を再度考える。この場合、Ｔはｘ₅を知っており、 をａ₁に掛け合わすべきである。そこでＵはｒ₁とｒ₂を計算し、一方Ｔはｒ₃を与 える必要がある。 米国特許出願第０８／２０３，２３１に詳しく述べられているように、Ｕはさ らにＴからνへのサブリミナル通路及びその逆の通路を防ぐことができる。実際 には、Ｔとνの両者に既知の乱数のディベロップメントさえも防ぐことがで きる。これに関して例１では、Ｕは呼びかけｃをＴに（流入を防ぐために）送る 前に に属する乱数ｔをｃに加えることができる。又Ｕはｒ₃をνに（流出を防 ぐために）送る前にＺｑに属する乱数ｕをｒ₃に加えることができる。同様に、 ボックス１２での上述したｃの計算方法、ブラインドと制限的ブラインドの技 術、証明用プロトコルを移譲不可能にする技術、及びＰを対立した目的の構成要 素に分ける技術が、以後記述される本発明の他の方法にも等しくよく適用される ことは当業者には明らかである。この理由で今後の記述では、これらの技術に対 する参照のみが（適当な場合はいつでも）与えられる。 図１の発明技術は、ＲＳＡ根計算の困難さにも基づいている。Ｐが同じ線形関 ｘ₁，．．．，ｘ_k）に委任しなければならないと考える。（何に適用されるかに よって、ｘ_k+1は秘密かつランダムに選ばれたり選ばれなかったりする。後者の 場合計算効率の上でｘ_k+1は１と等しくとることができる）本発明技術はＰに、 ることから構成される。米国特許出願第０８／２０３，２３１の図５に記述され た知識の基本的証明を用い、さらに結果表現を拡張することにより、前以て計算 されたテーブル１つが、同時繰り返し２乗法に対し使用することができる。記載 事項と共に記述に対応した図を研究することにより、当業者は簡単に図１の発明 方法を適用できると考えられるので、詳細な記述はここでは省略する。同様に、 呼びかけの計算、ブラインド、制限的ブラインド、証明用プロトコルの移譲不可 能化及びＰの対立目的構成要素への分化に対して上述した技術は当業者には簡単 であると考えられている。 今度は図２について、秘密集合に関して付加情報を明らかにせずに線形関係式 からなるシステムが秘密集合に適用されることを証明する２つ目のプロトコルの フローチャートが詳細に述べられている。図１の場合のようにまず最初に、Ｐは （ｇ₁，．．．，ｇ_k）に関して，Gqに属するｈの表現（ｘ₁，．．．，ｘ_k）を知 っている。Ｐはι個の次の独立線形関係式 からなるシステムを証明する必要がある。 図１の方法とは反対に、係数α_ij（１≦ｉ≦ι，１≦ｊ≦ｋ）からなる行列は行 標準形である必要はない。この論理式Ｆを証明するプロトコル手順は以下の通り 。 ボックス２１では１行目にＰが全てＺｑに属するｋ個の乱数ｗ₁，．．．，ｗ_k を生成することが示される。２行目には（ｇ₁，．．．，ｇ_k）に関して，（ｗ₁ ，．．．，ｗ_k）がＧｑに属する数ａの表現であるように、ａをＰが計算するの が示されている。数ａを第１証拠と呼んでもよい。次の３行では線形関係システ ムに従って、全てＺｑに属するι個の数ｅ₁，．．．，ｅιをＰが計算するのが 示される。６行目ではＰがｈ、ｈのデジタル認証及びａをνに送信する。ボック ス１１に対する注はここでも適用される。 ボックス２２の１行目ではνがＺ₂tに属する呼びかけ数ｃを生成するのが示さ れている。２行目ではνがｃをＰに送信するのが示されている。 ボックス２３の１行目ではＰが全てＺｑに属しｒ₁，．．．，ｒ_kで表されるｋ 個の応答数を計算しているのが示される。４行目ではＰがｋ個の応答数をνに送 信するのが示されている。ボックス２４の最初の４行ではι＋１個の照合関係式 を調べることによりｋ個の応答ｒ₁ ，．．．，ｒ_kの照合を行うことが示されて いる。全ての照合が有効であればνは証明を認める。 図１の方法と比較して今回の方法はＰからνへ送信すべき情報が更に多くな る必要がある。他方有利な点はａの計算が証明すべき線形関係式からなる特定の システムに依存しないことである。従ってＰは証明すべき関係式からなるシステ ムを知る前にａを前以て計算することができる。数ｅ₁，．．．，ｅ_ιの計算の みが証明すべき特定のシステムに依存するが、ａの計算時間に比べてこれらの計 算時間は無視できる。 図１に関して記載された全ての技術が図２に関する発明技術にも適用できるこ とは当業者には明らかである。さらに署名付証明の場合、ｃを計算する際にＦは ハッシュされるべきかどうかあるいはＦに関する一部の情報をハッシュすべきか どうかの問題は にも適用される。例えばＰがいかなる論理式Ｆを証明すること ができ、署名付証明がＦがＰの秘密集合に適用されることを確信すべきであれば 、（ｅ₁，．．．，ｅ_ι）同様記述Ｆもハッシュされるべきである。全論理式の 集合の幾つかの論理式がＰの秘密に適用されることを署名付証明が確信するだけ で十分であれば、Ｆについての一部の情報かつ／又は（ｅ₁，．．．，ｅ_ι）に ついての一部の情報のみが（考慮される論理式の特定の部分集合に応じた情報の 選択と共に）ハッシュされる必要がある。（ｅ₁，．．．，ｅ_ι）についてのい かなる情報もハッシュされなければ、署名付証明は、Ｐが２、３の論理式を証明 することができる場合でさえ、Ｐが（ｇ₁，．．．，ｇ_k）に関してｈの表現を知 っていることを証明する。 図２の発明方法の変形は可能である。例えば後で記述される図５の発明方法は 、図１の方法の応用である。これは図２と同じ利点を有し、一方通信効率が幾ら か良くなっている。（図５の発明技術は付加的な目標に役立つ。つまりＰが２度 以上証明を行うのを防ぐ。しかしこの余分な特徴はここでは関係ない。今されて いる議論に対して図５におけるＰは同様にｈに関する証拠が実行されるたびに自 由にａを選ぶことができる。ボックス２３とボックス２４に対する以下の変更に より、図２の方法は図５の方法と効率が等しくなる。ボックス２３ではＰは応答 数のうちｋ−ι個だけを計算し、それらをνに送信する。（ｋ−ι個の位置は前 以てνの同意がなければならない）ボックス２４の最後の３行に示された線形関 係式を照合する代わりに、νは残りのι個の応答数をそれらのι個の関係式 に従って計算する。最後にνはボックス２４の１行目に示されたように全部でｋ 個の応答数を照合する。 より一般的にボックス２１でＰが送信した数（ｅ₁，．．．，ｅ_ι）がある制 限を満足するように要求することで、νはＰが実行することのできる論理式の集 合を下クラスに制限することができる。つまり数（ｅ₁，．．．，ｅ_ι）は、ａ の調節済みの形式が特定の論理式を証明するのに用いることができることを保証 するために、ａを調整するための訂正要素(correction factor)として考えるこ とができる。ボックス２１でＰがｚ（＜ι）個までの訂正要素を送信することが できることかつ／又はＰが（線形あるいは他の）関係式からなるシステムを満足 する訂正要素のみ送信することができることによって、Ｐによるａの計算は可能 な論理式の部分集合であることを予想することが可能である。図１のプロトコル はＰがいかなる訂正要素を用いることをνが許さない極端な場合として考えるこ とができる。従ってＰは論理式Ｆに直接対応してａを計算しなければならない。 ＲＳＡ根の計算の困難さを基に、他の全ての上述した変形や関連した技術同様 、図２の発明技術をどのように基礎付けるかは当業者には明らかである。このた め詳細な記述は省略する。 今度は図３について、秘密集合に関する付加情報を明らかにせずに、線形関係 式が秘密集合に適用されないことを証明ためのプロトコルのフローチャートが詳 細に記述されている。最初の状況は図１に対して記述されたのと同じである。Ｐ はνに対しＰの秘密集合（それがｈの表現であることをＰは知っている）が論理 試^x _π(1)≠α₁＋α₂x_π(2)・・・＋α_κx_π(κ)modqを満足することを証明する必要 がある。係数α_ij（１≦ｉ≦ｋ）はＺｑの要素であり、それらはＰが証明する必 要のある式Ｆの記述を形成する（もう１度言うが、Ｐが証明する全論理式のスペ ースに応じて、Ｆを記述するための付加ビットが必要になる。）。当事者には明 らかなように、｛１，．．．ｋ｝の適切な並べ換えπ(・)に対し、いかなる線形 不等式もこの形式で書くことができる。さらにπ(・)はせいぜい２つの要素を相 互交換して残りはそのままであるように常に定義できる。 不等式が成り立てば、ｘ_π(1)はZqに属する０でないεに対し (α₁＋α₂x_π(2)−・・・−α_κx_π(κ))−εmodq,に等しい。本発明技術は 、 に関して、数ｇ_π(1)の表現をＰが知っていることをＰが証明することから構成 される。不等式が成り立つ場合、Ｐは確かにそうした表現、すなわち (δmodq,x_π(2)δmodq,...,x_π(κ)δmodq) を知っている。ここでδはε^-1ｍoｄ ｑを表す。知識の基本的証明を適用し、か つ結果表現を集合｛ｈ，ｇ₁，．．．，ｇ_k｝の数のべき乗の積に拡張することで 、次のようなプロトコルが生じる。（もう１度言うが、他のいかなる知識証明も 代わりに使用できる） ボックス３１の１行目では、Ｐが全てZqに属する乱数ｗ₁，．．．，ｗ_kを生成 するのが示されている。２行目には、 に関して，Gqに属する数ａの、ランダムに生成された表現すなわち （ｗ₁ ，．．．，ｗ_k）をＰが知っているという状態で、ａをＰが計算するのが示され る。数ａは第１証拠と呼んでもよい。３行目には、Ｐがｈ、ｈのデジタル認証、 及びａをνに送信するのが示されている。ボックス１１に対する注はここでも適 用される。 ボックス３２の１行目では、νがＺ₂tに属する呼びかけ数ｃを生成しているの が示される。２行目にはνがｃをＰに送信するのが示されている。 ボックス３３の１行目では、不等式が成り立てば０でない差異数εが示されて いる。２行目では、Ｐがδで表される法ｑに関するεの逆数を計算するのが示さ れている。次の４行はＰが全てZqに属し、ｒ₁，．．．，ｒ_kで表されるｋ個の応 答数を計算するのが示される。７行目では、Ｐがｋ個の応答数をνに送信するの が示される。 ボックス３４では、νがｋ個の応答数ｒ₁，．．．，ｒ_kを照合するのが示され る。照合が有効ならνは証明を認める。 Ｚｑ上の線形関係式によって原子命題を表すことで、論理連結語「ＮＯＴ」１ つを有し外の論理連結語を持たない命題論理から、いかなる充足可能な論理式を 証明するために本発明技術を用いることができる。図３で記述したプロトコルは νに対し論理式「ＮＯＴ(x_π(1)＝α₁＋α₂x_π(2)＋・・・＋α_κx_π(κ)modq）」 を証明する。 図１に関して記載された技術全て図３についての本発明技術にも適用されるこ とは当業者には明らかである。また図２の発明技術により証明される訂正要素使 用の技術が、Ｐが証明すべき論理式に独立にＰがａを計算できることを保証する ために使用される。図２で記載されているように、ａと共にＰによって予想され る論理式の集合を制限するために、νは訂正要素の数を制限かつ／又は訂正要素 が満足すべき関係式を制限することができる。 さらに、ι個（ι＞１）の独立な線形関係式がどれも無効であることを証明す るために、Ｐは各不等式に対し一度ずつ、プロトコルをι回実行する必要がある 。ι個の証明全て平行に実行してもよいし、さらに同じ呼びかけｃに応答しても よい。後者の場合、署名付証明を得るために証明１つ１つのデータがｃ内にハッ シュされなければならない。当業者に明らかなように、図１に関して記載された 署名付証明の種々の味付けもこの場合得ることができる。 図１の発明技術との組み合わせにより、Zq上の線形関係の原子命題である論理 連結語「ＡＮＤ」と「ＮＯＴ」両方を有する命題論理からいかなる充足可能な論 理式をＰは証明することができる。１つ又はそれ以上の線形関係式と１つの線形 不等式から構成されるシステムに対し、不等式はまず差異数（εによって上記さ れている）を導入することにより線形関係式として書かれる。適切な置換により システムは次の行列関係式で表すことができる。 ここでｆ₁ ，．．．，ｆ_ιはＺ_ιに属する数である。（明らかにｆ₁は例えば１ に常に等しくするようにできる）Ｐは り立つ場合、Ｐは確かにそうした表現、すなわち (δ，x_π(1)δmodq,...,x_π(κ-ι)δmodq） を知っている。ここでδはε-1ｍoｄ ｑを表す。例１に基づいて、さらに「ＮＯ Ｔ」関係１つを加えた例は次のとおり。 例２： 論理式「（ x₁＝2x₃＋3x₄＋5modq）ＡＮＤ（x₂＝6x₄−7modq） ＡＮＤ（ＮＯＴ（ x₃＝4x₄＋8modq）」 （ｋ＝５）を証明するために、Ｐは x₁＝2x₃＋3x₄＋5modq、 x₂＝6x₄−7mod_q、及び０でないと証明されるべき εに対しx₃＝4x₄＋8−ε mｏdqを証明する必要がある。置換によってＰは x₁ ＝11x₄＋21−2εmodq,x₂=6x₄−7modq 、及びx₃＝4x₄÷8−εを証明しなけ ればならない。（δmodq,x₄δmodq,x₅modq） 証明を実行できる。ここでδ＝ε^-1ｍｏｄ ｑ より明確には、Ｚｑに属する 計算し、呼びかけｃに応じて応答γ₁←cδ＋w₁modq,r₂←cδx₄＋w₂modq及び r₃−cδx₅＋w₃mod q を与える。νはａが を照合する。 図１の発明技術に関して、Ｐはｘ₅が既知であるＴと（ｘ₁，ｘ₂，ｘ₃，ｘ₄） が既知であるＵから構成することができる。ａの計算においてｗ₃はＴによって とができる。応答を計算する際にＴはＵに r₃＝cx₅＋w₃modq を与え、 ＵはそれをＴに伝える前にそれにδを掛ける。より一般的には流入を防ぐために 、Ｐはνの呼びかけｃをＴに伝える前にＺｑに属する乱数ｔをｃに加えることが でき、流出を防ぐためにＴはＺｑに属する数ｕをδと掛けてνに伝える前にｕ より一般的には、図１及び図３の発明技術により、任意の数の論理連結語「Ａ ＮＤ」及び「ＮＯＴ」からなるいかなる充足可能な論理式をＰは証明することが できる。論理連結語「ＮＯＴ」２つ以上存在する場合、平行に処理し、同一の呼 びかけに応答する幾つかの部分論理式（sub-formula）証明に、証明を分割する ことができる。例えば、論理式「Ｓ₁ＡＮＤ Ｓ₂ＡＮＤ Ｓ₃ＡＮＤＳ₄ＡＮＤ（Ｎ ＯＴ Ｓ₅）ＡＮＤ（ＮＯＴ Ｓ₆）」を証明するために、２つの部分論理式証明が 実行される。ここで S₁，．．．，S₆は論理式が充足可能な線形関係式である。 分割には多くの方法が用いることができる。Ｐは「Ｓ₁ＡＮＤ Ｓ₂ＡＮＤ Ｓ₃Ａ ＮＤ Ｓ₄ＡＮＤ（ＮＯＴ Ｓ₅）」かつ「ＮＯＴ Ｓ₆」を証明すればよいし、「 Ｓ₁ＡＮＤ Ｓ₂ＡＮＤ（ＮＯＴ Ｓ₅）」かつ「Ｓ₃ＡＮＤ Ｓ₄ ＡＮＤ（ＮＯＴ Ｓ₆）」を証明すればよい。他にも色々ある。 論理連結語「ＡＮＤ」及び「ＮＯＴ」を有する命題論理からいかなる充足可能 な論理式を証明するための発明技術もまたＲＳＡ根計算の困難さに基づいている 。Ｐが図３に対する不等式を証明しなければならないが、法ｑの代わりに法υを 用 とで，Ｐが（ｘ₁，．．．，ｘ_k）に委任すると仮定する。不等式１つを証明する ための本発明技術は、Ｐが に関して，数Ｙ_π(1)の表現を知っていることをＰに証明させることから構成さ れる。不等式が成り立てば、ε≠０ ｍoｄ υでＰはよく知られた拡張ユークリ ッドアルゴリズムを用いてεｄ＝１＋ｆυを満たすＺυに属する数ｄ及びｆを計 算することができる。Ｐに既知の満足する表現は ここで、ａｄｉｖ υは余りが正であるようにａからυを引くことのできる回数 の最大値を表す。すなわちａ＝υ（ａ ｄｉｖ υ）+a ｍoｄ ｑ 当業者に明ら かなように、システム （ここで ｆ₁ ，．．．，ｆ_ιはＺ_υに属する数） を証明するために、Ｐは が成り立つ場合、Ｐは確かにそうした表現、すなわち(δ,x_π(1)δmodυ,...,x_π(κ-ι) δmodυ,x_κ+1)を知っている。ここでδはε^-1ｍoｄ ｑを表す。論理 連結語「ＡＮＤ」及び「ＮＯＴ」を有する一般的な充足可能な論理式の証明に対 する応用は、離散的対数に基づくアプローチに対して記述された方法を研究すれ ば当業者には容易であるを考えられる。従ってここでは省略する。前に詳しく述 べた他の全ての技術及び変形に対し同じものが有効である。 今度は図４について、秘密集合に関する付加情報を明らかにせずに、２つの線 形関係式のうち少なくとも１つが秘密集合に適用されることを証明ためのプロト コルのフローチャートが詳細に記述されている。 最初の状況はまた図１と同じで、Ｐはνに対しＰに既知の表現が線形関係式x_π(1) ＝α₁＋α₂x_π(2)・・・＋α_κx_{( κ)}ｍｏｄｑか線形関係式x_ρ(1)＝β₁＋β₂x_ρ(2)・・・ ＋β_κx_ρ(κ)ｍｏｄｑ一方あるいは両方を満たすことを証明しなけれ ばならない。係数α_iとβ_i（１≦ｉ≦ｋ）は の要素でπ(・)とρ(・)はせいぜい ２つの要素を相互交換するように常に定義できる、｛１，．．，ｋ｝を適切に並 べ替えたものである。 最初の線形関係式（のみ）が成り立てば、Ｐはいかなる呼びかけｃ₁に対し を満たす応答（ｒ₂ ，．．．，ｒ_k）を計算することができる。ここで、ａ₁は に生成される。同様に、２つ目の線形関係式（のみ）が成り立てば、Ｐはいかな る呼びかけｃ₂に対し 満たす応答（ｓ₂ ，．．．，ｓ_k）を計算することができる。ここで、ａ₂はＺ_q 成される。証明を実行するために、自分で選んだｃ_i及びランダムに自分で選ん だ「応答」の集合から適切なａ_iを計算することによってＰがｃ₁、ｃ₂どちらの 呼びかけかを予想できるように、Ｐは呼びかけｃ₁、ｃ₂のうち１つを自分でラン ダムに選ぶ。これを擬態証明（simulated proof）と名付ける。他の呼びかけは Ｐによって予想されず、それによってＰに真の証明を実行させることができる。 しかしながら、Ｐはどの呼びかけ（及び応答の集合）を自分が選ぶかを隠すこと ができる。 より詳細には、具体的に１つ目の線形関係式が成立し、２つ目が成立しないと 仮定すると、ランダムに呼びかけｃ₂と「応答」ｓ₂，．．．，ｓ_kを生成し、 を計算することによりＰはａ₂を計算する。１つ目の関係式に対し、Ｐは知識の 基本的証明をおこなう。せいぜい１つの呼びかけを、どれであると明らかにせず にＰが正しく選ぶ（従って予想する）ことを保証するために、νはプロトコルの 中でＰに乱数呼びかけｃを送信し、Ｐは例えばｃ₁とｃ₂のビット上排他的（bitw ise exclusive-or）論理和がｃに等しいように呼びかけｃ₁、ｃ₂を使用する。 ボックス４１の最初の２行では、上述したようにＰが数ａ₁を計算するのが示さ れる。３行目と４行目では、Ｐが自分でランダムに選んだ呼びかけｃ₂及びｋ−1 個の自己選択応答ｓ₂，．．．，ｓ_kを生成するのが示されている。５行目に示さ れたように、Ｐはｃ₂及びＳ₂，．．．，ｓ_kに基づいて数ａ₂を計算する。最後に ６行目に示されたように、Ｐはｈ，ｈのデジタル認証、ａ₁及びａ₂をνに送信す る。ボックス１１に対する注意はここでも適用される。数ａ₁とａ₂は第１証拠と 呼んでもよい。 ボックス４２の１行目では、νがＺ₂tに属する呼びかけ数ｃを生成するのが示 される。２行目にはνがｃをＰに送信するのが示される。 ボックス４３の１行目には自分で選んだ呼びかけｃ₁と呼びかけｃから、それ が計算するのが示される。結果の呼びかけＣ₁に対しＰはｋ−１個の応答ｒ₂， ．．．，ｒ_kを次の３行に示されるように計算する。５行目に示されるように 、Ｐは呼びかけ２つ、１つ目の線形関係式に対する応答、及び２つ目の線形関係 式に対する自己選択応答をνに送信する。 ボックス４４の１行目には、Ｐがビット上排他的論理和がに等しい呼びかけｃ₁ とｃ₂２つを使用したことをνが照合するのが示される。これはνに対しＰが自 分で ｃ₁、ｃ₂の１つだけを生成したことを保証する。２行目では、呼びかけｃ₂ に対し１つ目の線形関係式に対す応答をνが照合しているのが示される。３行 目では、呼びかけＣ₂に対し２つ目の線形関係式に対す応答をνが照合している のが示される。３つ全ての照合が有効なら、νは証明を認める。 Zq上の線形関係式によって原子命題を表すことで、論理連結語「ＯＲ」１つを 有し外の論理連結語を持たない命題論理から、いかなる充足可能な論理式を証明 するために本発明技術を用いることができる。図４で記述したプロトコルはνに 対し論理式 を証明する。 明らかにボックス４３においてｃ₁、ｃ₂の１つは、νが自分で計算できるので Ｐによって送信される必要がない。さらに、ボックス４３において自分で選んだ 呼びかけとνの呼びかけから残りの呼びかけ値を計算するためのビット上排他的 作用素を使用する代わりに、他の関数を用いることができる。例えば、ｃ₁とｃ₂ は c₁＋c₂＝cmod2^t を満たすことが必要であればよい。 原子命題がZq上の線形関係である命題論理から任意の充足可能な論理式を証明 するために、図１、３、４の発明技術を組み合わせることができることが評価さ れる。これに関してそうした論理式Ｆは「Ｑ₁ＡＮＤＱ₂ＡＮＤ ．．．ＡＮＤＱ_l 」形式で表現できる。ここで部分論理式Ｑ_iは「Ｒ_1iＯＲＲ_2iＯＲ．．．ＯＲＲ_li 」形式を有する。さらに部分部分論理式(subsub-formula)Ｒ_1i,Ｒ_2i，．．． ，Ｒ_liは、 「ＡＮＤ」連結語とせいぜい「ＮＯＴ」連結語１つ（他の倫理連結語は用いない ）によりZq上の線形関係式をつなげる命題論理の論理式である。ι個の表現から １つを証明するために図４の発明技術を使用することで、Ｐは部分論理式Q₁を証 明することができる。論理式Ｆを証明するために、Ｐは部分集合Ｑ₁，Ｑ₂， ．．．，Ｑνそれぞれを分けて証明する必要がある。これらι個の部分論理式証 明は平行に、さらに同じ呼びかけに応答して実行することができる。例２に基づ いた例は次の通り。 例３： 線形関係式 を考える。Ｐは論理式Ｆ＝「(Ｓ₁ＡＮＤ Ｓ₂ＡＮＤ(ＮＯＴ(Ｓ₃ＯＲ Ｓ₇))ＡＮ Ｄ Ｓ₆)ＯＲ((ＮＯＴ(Ｓ₄ＯＲ Ｓ₇))ＡＮＤ Ｓ₅ＡＮＤ Ｓ₆)」を証明する必要が ある。命題論理の規則を適用することで、Ｆは「(S₁ＡＮＤ S₂ＡＮＤ(ＮＯＴ S₃ ))ＯＲ((ＮＯＴ S₄)ＡＮＤ S₅))ＡＮＤ(S₆ＡＮＤ（ＮＯＴ S₇))」形式に書き直 すことができる。ここでＲ₁₁＝「S₁ＡＮＤ S₂ＡＮＤ ＡＮＤ（ＮＯＴ Ｓ₃）」 ，Ｒ₁₂＝「（ＮＯＴ Ｓ₄）ＡＮＤ Ｓ₅」，Ｒ₂₂＝「Ｓ₆ＡＮＤ（ＮＯＴ Ｓ₇）」 ，Ｑ₁＝「Ｒ₁₁ＯＲＲ₁₂」，Ｑ₂＝Ｒ₂₂とする。部分論理式Q₁及びQ₂を分けて証明 することにより、Ｐは論理式Fをνに 関してｇ₁の表現の知識のどちらか又は両方を証明することができる。これに関 して図４の発明技術を容易に用いることができる。ＰはまずともにGqに属する数 ａ₁及びａ₂２つをνに与える。呼びかけCに応答してＰはνに対し、呼びかけｃ₁ に応答した１つ目の応答の集合（ｒ₁，ｒ₂，ｒ₃）及び呼びかけｃ₂に応答した２ つ目の応答の集合（ｓ₁，ｓ₂，ｓ₃，ｓ₄）を与える。νは 合し、照合が２つとも有効であればνは証明を認める。ここで、Ｐは つを選択することができる。それに対応してＰは自分でランダムに適切な応答の 集合を選び、νによる照合が有効であるように自分で選んだ呼びかけと応答の集 合からａ₁，ａ₂の２つの数から１つをＰは計算する。同様に、Ｑ₂を証明する い。これに関して、ＰはＧｑに属する数ａ₃をνに与える。呼びかけｃ₃に応答 する。そこでνは応答の集合を照合する。２つの証明を平行して行うことで、ν から１つの呼びかけだけが必要なようにｃをｃ₃に等しくなるようにとれる。さ らに、Ｆの署名付証明は（ａ₁，ａ₂，ａ₃）、少なくとも（ｈ（ａ₁，．．．，ａ₃ ））の一方向ハッシュ値として計算された呼びかけｃ＝ｃ₃，ｃ₁とｃ₂（の１つ ）及び応答の集合３つから構成される。署名付証明がどれくらいの確信度を伝え るべきかに応じて、ハッシュがＦの記述に作用すべきか、作用する必要はないか 、あるいはＦについての部分情報に対してのみか、になる。（例３終わり） より一般的に本発明技術はι個の表現のうち少なくともｍ個の知識を証明する のに使用することができる。（ただしι≧ｍ）これに関して、Ｐは自分で選んだ 呼びかけ値と応答の集合を生成することにより、成立しない高々ι−ｍ個の線形 関係式に対し知識証明するふり（simulate）をする。成立する線形関係式に対し 真の知識証明を行う。（代わりに、Ｐは成立する丁度ｍ個の関係式に対し真の知 識証明を行うことができ、残りの関係式が成立するかどうかに関係なく残りι− ｍ個に対しては証明するふりをすることができる）そこでι個の呼びかけ値はＰ がι−ｍ個（それ以上不可）なら、Ｐがどれを自由に選んだかを明らかにせずに 、いずれでも自由に選ぶことができるようになっていなければならない。これに 関 して、ι個の呼びかけ値は例えば前以て特定されたｍ個の独立な線形関係式を満 足することが必要になるようにすることができる。この一般化された方法は、１ より大きいｍに対し１度も適用される必要がないことに注意。いかなる充足可能 な論理式も、０又は１個以上の連結語「ＡＮＤ」及び高々１個の連結語「ＯＲ」 からなる論理式を証明する本発明技術とι個の表現のうち１個の知識を証明する 本発明技術を適用することで証明することができる。しかしながら、ι個からｍ （≧２）個の表現の知識証明の技術は効率を上げるために使用することができる 。例えば、論理式「（R₁ＡＮＤ R₂）ＯＲ（R₁ＡＮＤ R₃）ＯＲ（R₂ＡＮＤ R₃） 」を証明するために、Ｐはｍ＝２，ι＝３の状況を利用できる。ｍ=１，ι＝３ の場合の適用は効率が悪くなる証明になってしまう可能性がある。（例えば、R₁ 、R₂両方とも連結語「ＮＯＴ」を有する場合） 効率を上げるために、νはι個の照合を同時に処理することができる。これは 当該分野で周知のＤＳＡ署名を照合するための１群処理（batch-processing）技 術に類似している。（１９９５年、スプリンガー・バーレグ、ユーロクリプト９ ４、コンピュータ・サイエンスの講義ノートpp.７７ー８５、暗号学の進化、、 「ＤＳＡは改良されるか デジタル署名標準との複雑なトレード・オフ」、ナカ シュ．デー、ムライイ．デー、ヴァドナイ．エス、ラファエル．デーを参照）ι るために、（ここでｕ_iとυ_ijはＰの応答に関する表現（expression）である） を照合する。ｐ_iが選ばれた集合の大きさは、安全レベルを決定し、小最適化 はｐ₁を常に１に等しくすることである。 図４の発明方法は当該分野で周知の方法に関連している。（１９９５年、スプ リンガー・バーレグ、ユーロクリプト９４、コンピュータ・サイエンスの講義ノ ート、暗号学の進化、、「部分知識の証明と証拠隠しプロトコルの簡単な設計」 、クラマー.エル、ダムガード.アイ、ショーエンメーカーズ.ベーを参照）認めら れるように、２つの方法は２点重大な違いがあることが認められる。参照の方法 はＰがｋ個の秘密鍵の部分集合ι（≧ｍ）個からm個の知識を証明する状況にの み 適用される。ｋ個の秘密鍵はそれぞれｋ個の公開鍵に対応する。言い換えれば、 その方法によって、Ｐは命題論理から単調な論理式（連結語「ＡＮＤ」と「ＯＲ 」のみが存在することを意味する）を証明することができる。原子論理が「Ｐが ｉ番目の公開鍵に対応する秘密鍵を知っている」という形式であることから、論 理式は常に充足可能である。対照的に本発明技術では、複数の秘密鍵が対応する 公開鍵が１つだけ存在し、原子命題がＺ_qの線形関係である命題論理から、いか なる充足可能な論理式を証明することができる。明らかに認められるように、参 照の方法は、線形関係式に対する命題論理から任意の充足可能な論理式を証明す るための本発明方法を最適化するために使用される。すなわち、参照の方法が複 数の線形関係式と高々１つの線形不等式からなるシステムである部分論理式に対 応するように、原子命題を解釈することができる。図３の記載に詳しく述べられ たように、そうした部分論理式１つに対し、Ｐはｋ個の要素に関してある数の表 現の知識証明をする必要がでてくる。言い換えれば、ねじれた(distorted)公開 鍵に対する秘密鍵の知識証明をする必要がでてくる。例えば、連結した通常の形 式「（Ｒ₁₁ ＡＮＤ Ｒ₂₁ ＡＮＤ．．．ＡＮＤ Ｒ_ι１）ＯＲ．．．ＯＲ（Ｒ₁₂ ＡＮＤ Ｒ₂₂ ＡＮＤ．．．ＡＮＤ Ｒ_m2）」（ここで各R_ijは０か１以上の 連結語「ＡＮＤ」及び高々１個の連結語「ＯＲ」によりZq上の線形関係式をつな げる命題論理からの部分論理式）のＦは、νから与えられた呼びかけからＰが自 分で選んだ呼びかけを生成する方法を制限するための、当該分野で周知の構成法 を適用することで、効率よく証明できる。(１９９５年、スプリンガー・バーレ グ、ユーロクリプト８８、コンピュータ・サイエンスの講義ノートpp.７７ー８ ５、暗号学の進化、「一般化された秘密共有と単調関数」、ベナロー．ジェー、 ライヒター．ジェーを参照)例は次の通り。 式Ｆ＝「（Ｓ₁ＡＮＤ（ＮＯＴ Ｓ₂）ＡＮＤ（ＮＯＴ Ｓ₃））ＯＲ（Ｓ₄ＡＮＤ Ｓ₅ＡＮＤ（ＮＯＴ Ｓ₆）ＡＮＤ（ＮＯＴ Ｓ₇）」を証明する必要があると仮定 する。Ｆは形式「（Ｒ₁₁ＡＮＤ Ｒ₂₁）ＯＲ（Ｒ₁₂ＡＮＤ Ｒ₂₂）」に書き直せる 。ここでＲ₁₁＝「Ｓ₁ＡＮＤ（ＮＯＴ Ｓ₂）」Ｒ₂₁＝「ＮＯＴ Ｓ₃ 」、Ｒ₁₂＝「Ｓ₄ＡＮＤ（ＮＯＴ Ｓ₆）」、Ｒ₂₂＝「Ｓ₅ＡＮＤ（ＮＯＴ Ｓ₇）」 は全てＦの部分論理式である。仮に例えば部分論理式R₁₂が連結語「ＮＯＴ」を 含まないなら、部分論理式R₁₂及びR₂₂は１つの部分論理式にまとめることができ たかもしれない。参照の方法に関してこのことはＰが第１と第２秘密鍵あるいは 第３と第４秘密鍵の知識を証明しなければならないことを意味する。これに関し てＲ₁₁，Ｒ₁₂，Ｒ₂₁，Ｒ₂₂に応じてそれぞれ４つの数ａ₁，．．．，ａ₄を計算し た後で、（例２と比較）νの呼びかけｃから４つの呼びかけｃ₁，．．．，ｃ₄を 得ることによってＰは証明を実行できる。４つの呼びかけは、Ｐが自分でｃ₁、 ｃ₂を選択でき、ｃ₃、ｃ₄は選択しないか、あるいはｃ₃、ｃ₄を自分で選択でき 、ｃ₁、ｃ₂は選択しないかいずれか一方でなくてはならない。例えば「Ｒ₁₂ＡＮ Ｄ Ｒ₂₂」のような真である論理式の一部に対し、Ｐは真の知識証明を実行でき 、真でない「Ｒ₁₁ＡＮＤ Ｒ₂₁」部分に対しては、自分で選んだ応答と自分で選 んだ呼びかけｃ₁、ｃ₂を用いることにより証明を実行するふりをすることができ る。上述参照のベナローとライヒターの構成法に従って、ｃ₁，．．．，ｃ₄は制 限ｃ₁＝ｃ₂，ｃ₃＝ｃ₄及び照合過程の一部として を満たすようにとることができる。（例４終わり） 当業者に明らかなように、図１に関して記述された全技術が図４の発明技術及 びその一般化したものにも適用できる。図２の発明技術によって証明される訂正 要素使用の技術を用いることもできる。図２に対し述べられたようにＰにより予 想される論理式の集合を制限するために、νは訂正要素数かつ／またはそれらが 満たすべき関係式を制限することができる。 上述した一般化、変形及び関連した技術同様ＲＳＡ根計算の困難さに基づいた 本発明技術の応用は、既に述べられた詳細な記述と共に図を研究すれば当業者に は容易であると考えられる。従って詳細な記述は省略する。 今度は図５について、２度以上実行されない限り秘密集合についての付加情報 を明らかにすることなく、線形関係式からなるシステムが秘密集合に適用される ことを証明するためのプロトコルのフローチャートが詳しく述べられる。 図１に関してと同様、Ｐはまず（ｇ₁，．．．，ｇ_k）に関してGqに属する数ｈ の表現（ｘ₁，．．．，ｘ_k）を知っている。本発明技術によりＰはνに対し、Ｐ の表現全体を明らかにすることなく２つの異なる呼びかけに応答して証明が実行 できないように、Ｐの表現が図１に関して記述されたι（≧１）個の独立した線 形関係式を満たすことを証明することができる。本技術は次の通りである。 Ｐはまず、Zqに属するランダムに生成された数ｗ₁，．．．，ｗ_kに対する 認証を発行する権限を与えられた側は、証明実行の際にＰによって明らかにされ なければならない、少なくとも（ｈ，ａ）のデジタル認証を発行することができ る。具体的にしかし一般性を失う事なく、ａを計算する際には、Ｐは証明すべき 関係式からなる特定のシステムを知っている必要はないと仮定される。証明実行 の際Ｐが全てZqに属するι個の訂正要素もνに送信する図２の発明技術を適用す る。Ｐに既知の「新しい」ａの表現が証明実行に適するようにａを調整するため 構成される。ａの役目をする調整された数と共に図１のプロトコルを実行し、結 果の表現を拡張することにより図５のプロトコルが得られる。 ボックス５１の最初の３行では、Ｐが全てZqに属するι個の訂正要素ｅ₁， ．．．，ｅ_ιを計算するのが示される。４行目に示されるように、Ｐはνに対し （ｈ，ａ）、（ｈ，ａ）のデジタル認証及びι個の訂正要素を送信する。適用に 応じて、νは公開鍵ディレクトリや類似したものから（ｈ，ａ）及びその認証を 検索することができてもよいし、あるいは別の何かの方法で（ｈ，ａ）の正しさ をνが調べることができるために認証が不必要であってもよい。 ボックス５２の１行目では、νがＺqに属する呼びかけ数ｃを生成するのが示 される。２行目では、νがｃをＰに送信するのが示される。 ボックス５３の最初の３行では、Ｐがｋ−ι個の応答数（ｒ₁，．．．，ｒ_{k- ι} ）を計算するのが示される。４行目では、Ｐがこれらをνに送信するのが示さ れる。 ボックス５４の最初の３行では、νがι個の数ｒ_{k- ι+1}，．．．，ｒ_kを計算 するのが示される。４行目では、νがＰにより与えられたｋ−ι個の応答を照合 するのが示される。照合が有効であれば、νは証明を認める。νがデータベース に（ｈ，ａ），ｃ及び（ｒ₁，．．．，ｒ_k）を記憶させることは示されていない 。（他の方法では、（ｈ，ａ）の代わりに（ｈ，ａ）のハッシュのみが記憶され る。さらに、Ｐが同じ（ｈ，ａ）を用いて２つの証明を行う際にＰの表現のどの 情報を計算すべきかに応じて、ｃ及び（ｒ₁，．．．，ｒ_k）からの情報を記憶す れば十分であったり、より効果的になったりする。これらの変形は端的に詳しく 議論される。） 当業者には明らかなように、νはボックス５２において、Ｐが以前に同じ（ｈ ，ａ）（あるいは適用によってはｈのみあるいはｈのハッシュ）を既に利用した かどうかを調べるために、データベースにアクセスしようと思えばできる。図５ の発明技術は、そうしたオン・ラインチェックが（常に）可能ではない状況に特 に関連している。これはνが分散され多くの証明が複数の証明側によってなされ る場合起きる。そうした場合は中央側（central party）（典型は（ｈ，ａ）の 認証の発行者を表す）がデータベースを保持し、νが中央側とプロトコル実行の 写しを（及び証明される特定のシステムについて中央側に知らせる用として、証 明される論理式の記述も多分一緒に）中央側に送信するために時々のみ接触する のがより実際的である。典型的な適用例としては、米国特許出願第０８／２０３ 、２３１に詳細されたオフ・ライン電子キャッシュシステム及びより一般的な資 格認証機構がある。 同じ（ｈ，ａ）を使用し、ｃと法２^tが異なるが、必ずしも同じ線形関係式か らなるシステムに適用されない呼びかけｃ’に応答して、Ｐが２度目の証明を実 行する場合、対応する数（ｒ'₁，．．．，ｒ'ｋ）によって表現（ｘ₁，．．．， ｘ_k）をデータベースを制御する側により後で計算することができる。明確に 明を２度以上証明する際に特定のｘ_i１つだけを計算できれば十分な場合、ベク トル（ｒ₁，．．．，ｒ_k）全体の代わりに だけを記憶すれば十分である。さら に（ｈ，ａ）の一部のみ、またはｈか（ｈ，ａ）の一方向ハッシュを記憶する ことにより、衝突に対する調査のためにより大きなデータベース記憶効率が獲得 できる。 データベースを保持する中央側とνの利害関係が一致しない特殊な場合、中央 側はνに対し署名付証明をＰと行うように要求することを好んでもよい。署名付 証明によってどの特定の論理式が証明されたかを反論できないほど示されること を保証するために、ボックス５２において呼びかけｃは、少なくともａ，証明さ れる論理式の記述、ベクトル（ｅ₁，．．．，ｅ_ι）及びおそらくｈと（プロト コル実行の日付と時間、ν側の身元といつた）付加情報の一方向ハッシュ値とし て決定することができる。この場合、νが中央側にプロトコル実行の写しを送信 する際、νは証明された論理式の記述に沿って送信しなければならない。 以外の形で計算してもよい。そこでＰはそれに対応してボックス５１においてι 個の訂正要素を計算しなければならない。図５のプロトコルによって、前以てシ ステムを知る必要なく、Ｐは線形関係式からなるいかなるシステムを実行するこ とができる。明らかに、２度実行されて表現が明らかになるように、１つの特定 の線形関係システムを証明することのみＰができるべきであれば、プロトコルに 訂正要素は提供されるべきではない。このことによりＰは最初から適切な形式の ａを計算する必要がある。（ボックス１１と比較）より一般的には、図２で既に 詳しく述べられたように、νはＰが使える訂正要素の数と形式に制限を与えても よい。この方法により付加情報を明らかにしないでＰは制限された論理式の集合 どれか１つを証明することができることを保証できる。一方、同じ（ｈ，ａ）に 対する制限された集合からＰがどれか２つの論理式を実行すれば、Ｐの秘密集合 は計算できる。認証側はＰが用いることができる訂正要素の数と形式を、認証あ るいはｘ_iの１つにコード化することができる。 当事者には明らかなように、図１に関して記載された全ての技術が、図４の発 明技術及びその一般化にも適用できる。さらに図２の発明技術により証明される 訂正要素使用の技術を用いることもできる。図２に関して既に述べられたように 、 ｃを決定する際（ｅ₁，．．．，ｅ_ι）をハッシュしない署名付証明はここで特 別興味深い。このことは、Ｐにより証明された論理式をνが中央側から隠したい と考え、一方で、Ｐが２度以上（ｈ，ａ）を利用する場合に中央側がＰの表現（ の一部）を計算することができるような適用例に望ましい。典型的な適用例は米 国特許出願第０８／２０３、２３１に詳細されたオフ・ライン電子キャッシュシ ステムで、（ｈ，ａ）はデジタルコインを表す。数（ｘ₁，．．．，ｘ_k）は収入 分類のようなＰの特性を表してもよいし、安く買うためにそれらの幾つかをν（ 商人）に明らかにすることを選ぶことができる。νは、客のプライバシを守るた め中央側（銀行）に対しＰの収入分類を明らかにしないことを選んでもよい。 米国特許出願第０８／２０３、２３１に述べられたものと類似の方法で、Ｐが 前以て決められた任意の整数ｕ回以上証明を実行するときのみＰの表現が計算で きることを保証することができる。これに関して、Ｐは（ｈ，ａ₁，．．．，ａ_u ）に委任するべきである。ここで、各ａ₁，．．．，ａ_uは図５のａと同じ方法で 決められる。（ｈ，ａ₁，．．．，ａ_u）に関してｉ番目の証明を実行する際に、 Ｐは対（ｈ，ａ_i）を使用する。委任を実行する幾つかの方法が存在する。１つ はａ_iを葉、別の各ノードを子ノードの一方向ハッシュとする二進樹を作り根ノ ードとｈを認証する。別の方法では（ｈ，ａ₁，．．．，ａ_u）を直接認証する。 ＲＳＡ根計算の困難さに基づいた本発明を実施することは、既に詳細に述べた 記述と共に図を研究することにより当業者には容易である。従って詳細な記述は ここでは省略する。 図５のプロトコルでは、前以て決定された回数以上証明するときのみＰの秘密 集合の付加情報が明らかにされる方法によって、連結語「ＡＮＤ」を０又は１つ 以上及び連結語「ＯＲ」を１つ有する命題論理からＰは論理式を証明することが できない。今度は図６にについて、論理式が２度以上実行されない限り秘密の付 加情報が漏れることなく、０または１つ以上の連結語「ＡＮＤ」及び高々１つの 連結語「ＯＲ」によって線形関係式をつなげる、充足可能な論理式が秘密集合に 適用されることを証明するためのプロトコルのフローチャートが詳しく述べられ る。 図３に関して詳細されたように、そうした論理式は行列方程式 で表すことができる。ここで、ｆ₁，．．．，ｆ_ιはＺｑに属する数で、εは０ でない差異数である。０または１つ以上の連結語「ＡＮＤ」及び高々１つの連結 語「ＯＲ」によって線形関係式をつなげるいかなる充足可能な論理式をＰが証明 できるために、Ｐがι＋１個までの訂正要素を明らかにすることができると仮定 する。訂正要素の中のι個は（ｇ_π(k-ι+1），．．．，ｇ_π(1)）に対応する指 数を調整するために使用され、１個はｈに対応する指数を調整するために使用さ れる（もう１度言うが、代わりに証明することができる論理式のクラスを制限す るために訂正要素に制限を設けてもよいし、制限された要素を１つも提供しない ことにより、Ｐはａを計算する際に論理式１つだけ予想することができる。必要 な修正は当業者には容易であると考えられる。）。明確には、Ｐはまず（ｇ₁， ．．．，ｇ_k）に関してａのランダムに生成された表現（ｗ₁，．．．，ｗ_k）を 知っている。プロトコルは次の通りである。 ボックス６１の１行目では、ｈに対応する指数を調整するためにＰが使用する 、Ｚｑに属した乱数ｗ₀をＰが計算するのが示される。次の４行では、Ｐが全て Ｚqに属するι＋１個の訂正要素（ｅ₀，ｅ₁，，．．．，ｅ_ι）を計算するのが 示されている。５行目に示されるように、Ｐはνに対し（ｈ，ａ），（ｈ，ａ） のデジタル認証及びι＋１個の訂正要素を送信する。ボックス５１に対しての注 は ここでも適用される。 ボックス６２の１行目では、νがＺ₂tに属する呼びかけ数ｃを生成するのが示 される。２行目では、νがｃをＰに送信するのが示される。 ボックス６３の１行目では、Ｐが差異数εの乗法逆数δを計算するのが示され る。差異数は、行列関係式で示されるι個の線形関係式の１つからＰによって計 算することができる。次の４行では、Ｐがｋ−ι＋１個の応答数を計算するのが 示され、６行目では、Ｐが応答数をνに送信するのが示される。ボックス６４の 最初の５行では、νがι個の数ｒ_{k- ι+1}，．．．，ｒ_kを計算するのが示されて いる。（ｒ_{k- ι+1}とｒ_kの計算は図においてそれぞれ２行にわたっているが単に 配置よくするためである）６行目では、νがＰによって与えられたｋ−ι＋１個 の応答を照合するのが示される 照合が有効であれば、νは証明を認める。νが （ｈ，ａ），ｃ， （e₀−γ₀modq,γ₁,...,γ_κ）をデータベースに記憶する ことは示されない。 図５の記述で詳しく述べられかつ参照された技術は全て同様に有効である。特 に、中央側がデータベースを保持する場合に特別役に立つ。Ｐが（ｈ，ａ）に関 して２回目の証明を実行する場合、異なった呼びかけに対し、表現（ｘ₁，．． ．，ｘ_k）はデータベースを保持する側によって後で計算することができる。(さ らに(e₀−γ₀modq,γ₁,...,γ_κ)を記憶する代わりに(γ₁(e₀−γ₀)^-1mod q,... , ｒ_κ(e₀−r₀)^-1mod q)）を記憶すれば十分である）大きなデータベース記憶 に対し類似の技術が使用できる。データベースを保持する中央側の利害関係とν の利害関係が等しくない場合、中央側は一般にνがＰと署名付証明を実行するよ うに要求するべきである。署名付証明によって、証明された特定の論理式か、論 理式の部分クラスの１つが証明されたのか、あるいはＰがｈの表現を知っている という事実だけを確信するのかは、訂正要素かつ／又は証明される論理式につい てどの情報がハッシュされるのかで決めることができる。証明の中でＰが（ｈ， ａ）を用いる回数は、前以て決められたいかなる整数にすることができる。さら にＰがＴとＵからなる状況及びＲＳＡ根の困難さに関連した実施形態に対する適 用は容易である。 さらにより一般的に、２度以上の証明が（ｘ₁，．．．，ｘ_k）を明らかにする ような方法で、原子命題がZq上の線形関係である、命題論理からいかなる充足可 能な論理式をＰが証明するようにすることができる。 複数の連結語「ＡＮＤ」と連結語「ＮＯＴ」を２つ以上（連結語「ＯＲ」は含 まない）有する命題論理のいかなる充足可能な論理式は、部分論理式に対する各 証明を図５又は図６のように扱うことができるように、部分論理式に対応する幾 つかの証明に分けることができる。（図３の記述と比較）（ｈ，ａ）に関する論 理式の署名付証明に対し、部分論理式に対する証明は、全て平行に１つの呼びか けｃに応答して実行することができる。例えば部分論理式のｍ個の平行証明に、 論理式の証明が分けられる場合、Ｐがボックス５１と６１において数ａを送信す る必要があるのと同じ方法で、ｉ番目の部分論理式の証明では、Ｐは数ａ_iを送 信する必要がある。署名付証明では、νの呼びかけｃは少なくとも（ａ₁，．． ．，ａ_m）の一方向ハッシュ値として計算しなければならない。さら Ｐによって選ばれなければならない。より正確には、論理式の証明において、ａ ならない。当事者には明らかなように、このことによって表現（ｘ₁，．．．， ｘ_k）を異なった呼びかけに応答するいかなる２つの写しから計算することがで きる。明確には、図６に従って１とｍの間のｉに対し、Ｐはｉ番目の部分論理式 証明に対する応答の集合を明らかにしなければならないし、νはボックス６４の ４行目に記載された照合関係式に従って部分論理式証明を照合することができる 。全ての照合関係式（各部分論理式証明に対し１つで合計ｍ個）を掛け合わし、 が得られる。（この計算はνによって実際に行われる必要はない）ここで、ｋ＋ １個の指数ｚ₀，．．．，ｚ_kは訂正要素、ｉ番目の部分論理式証明の応答数、呼 びかけ値及びＰが証明する論理式を特定する係数を含んだ線形組み合わせである 。さらにＰが（ｈ，ａ）に関して２つの証明を実行する場合に、呼びかけ数と (z₁/z₀modq,...,z_κ/z₀modq)を記憶することにより、データベースを保持する側 は表現（ｘ₁，．．．，ｘ_k）を計算することができる。 命題論理からの任意の充足可能な論理式は連結語「ＯＲ」を有することもでき る。そうした論理式を扱うために、図４に関して記載された任意の論理式の証明 に対する発明技術が、前段落に記載した、いかなる２つの証明が（ｘ₁，．．． ，ｘ_k）を明らかにすることを保証するための発明技術と共に適用することがで きる。明確には、Ｐによって証明されるべき論理式が例えばｍ個の部分証明に分 けられ、各証明はある呼びかけ数に応答して実行することができる。ｍ個の呼び かけ数は、Ｐが証明する必要のある論理式に従う制限を条件に、νの呼びかけ値 （署名付証明では一方向ハッシュ値）１つからＰにより決定されなければならな い。（例３と比較）前段落で詳しく述べたように、ａを調整するためにＰはｋ＋ １個までの訂正要素を明らかにしてよく、（さらに適切な制限を加えてもよい） 論理式証明の中でＰにより送信される数である。（ａ_iはボックス６１のａと同 じ役割をする）再度言うが、全部でｍ個の応答数の集合、Ｐによって証明される 論理式の記述、Ｐの呼びかけ値及び訂正要素（幾つでも）から１つの関係式 かなる２つの証明をＰが実行する場合に、（ｘ₁，．．．，ｘ_k）を計算するには 呼びかけ数と(z₁/z₀modq,...,z_κ/z₀modq)を記憶すれば十分である。 ここでまた、安全度がＲＳＡ根計算に関連する実施形態の記述やＰが２つでで きた状況に本発明を適用する際の記述に対しては詳細な記述は省略する。図と共 に対応する記述を研究することで、当事者はこれらの記述を与えることについて ほとんど困難を感じないと考えられる。 本文は好ましい実施形態の詳細な記述を有する。本発明についてのこれらの記 述は例として与えられたが、他方当業者により、種々の変形、外の形を有するも の及び等価なものが、本発明の精神と範囲から離れることなく採用されると認め られる。例えば式の値を求める順序、式の並べ方、フローチャートボックスでの 式、テスト、送信の並べ方、フローチャートの作業の分け方、フローチャートボ ックスの並べ方に関して本質的に同じものは多くある。ここでなされた特定の選 び方は、説明を明確にする目的のためだけである。 当業者にとってある種の変形及び交換は明らかである。例えば、ａの送信及び 、署名付証明に対し呼びかけｃを計算する際のａのハッシュ化の代わりに、衝突 しにくいａのハッシュ化を用いることができる。勿論νによる照合は対応して調 整する必要がある。さらに本発明技術は素数から構成されていない群においても 適用できる。その場合、Ｐの秘密集合はもはや体（field）には属さず、零因子 を有する環に属する。この点から、多くの適用例では素数の群に対する選択が好 ましいと考えられる。しかしながら、これは問題となる必要はない。なぜなら零 因子は（２つの大きな素数の積の位数に等しい乗法群において働くような場合） 見つけにくかったり、零因子を見つけることができることが身近な適用例にとっ て有利であったりするからである。例えばＡｘ₁＝B ｍｏｄ ２ｑを証明すること により、（Ａは偶数）Ｐは、ｑにより区別される２つの値のうち１つを有するこ とを、どちらであるかを明らかにせずに証明する。同様に、本発明がＲＳＡ群に 基づく場合、指数υは必ずしも素数である必要はない。例えば代わりにυは２つ の大きな素数の積ととることができる。再び、Ｐの秘密集合は零因子を有する環 に属し、υを２つの大きな素数の積ととることにより、Ｐが零因子をみつけるこ とを不可能にすることができる。零因子がみつけられるのは時には役に立つ。他 の変形や交換は本文の中で示唆されたり、時々詳細に記述されたりしている。 また当業者にとって、ここで開示された本発明の技術及びプロトコル部分がど のように有効に用いることができるかは明らかである。例えば米国特許出願第０ ８／２０３、２３１に記載された資格認証技術は本適用の発明技術と共に適用す ることができる。米国特許出願第０８／３２１、８５５に記載された秘密鍵認証 を用いて、ｈまたは（ｈ，ａ）を認証することができる。認証は制限されたブラ インド発行プロトコルの方法により発行することができる。すなわち少なくとも ｘ₁，．．．，ｘ_kの幾つかは認証発行機関によりｈにコード化される。一方認証 及び（ｈ，ａ）認証発行機関から隠される。（ｇ₁，．．．，ｇ_k）に関して２つ の数ｈ₁とｈ₂の表現をＰが知っているとνが確信した場合には、本発明技術 Ｐの仮り名（pseudonym）である時である。このことは、おそらくＰが証明する 必要のある論理式の部分論理式の形式において、仮り名の身元を示唆する指数が 両方の指数で同じであることをＰが証明することを許している。 別の例は当該分野でよく知られたいわゆる否定不可能署名（uneniable ．．．，ｘ₃）を署名者の秘密鍵とすると、メッセージｍの否定不可能署名は 、ｍが線形関係式の係数の１つとなるように数ｘ₁，．．．，ｘ₃の２つを含むい かなる線形関係式となるようにとることができる。（例えばｘ₁＋ｍｘ₂ｍoｄ ｑ がとられる）署名を確認するために図１の方法を用いることができる。さらに、 署名を否定するため図３の方法を用いることができる。両方の場合とも、上述し たような小さな呼びかけ数に対する４段階の繰り返しか、第１段階がνの呼びか けのνの委任である５段階プロトコルのどちらかを要求するプロトコルのゼロ知 識の変形を用いるべきである。この方法は当該分野でよく知られた否定不可能署 名スキームの重大な改良を行うと認められる。（スプリンガー・バーレグ、クリ プト９１、コンピュータ・サイエンス５７６の講義ノートｐｐ．４７０ー４８４ 、暗号学の進化、、「署名者にとって無条件に安全な否定不可能暗号署名」、シ ャウム．デー、ヘイスト．エー、フィッツマン．ベーを参照）さらに当業者に明 らかなように、同様の構成法はＲＳＡ根計算の困難さに基づくことができる。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ， ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＫＥ，ＬＳ，ＭＷ，ＳＤ，Ｓ Ｚ，ＵＧ)，ＡＭ，ＡＵ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，Ｃ Ｎ，ＣＺ，ＥＥ，ＦＩ，ＧＥ，ＨＵ，ＩＳ，ＪＰ，ＫＧ ，ＫＰ，ＫＲ，ＫＺ，ＬＫ，ＬＲ，ＬＴ，ＬＶ，ＭＤ， ＭＧ，ＭＮ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＲＯ，ＲＵ，Ｓ Ｇ，ＳＩ，ＳＫ，ＴＪ，ＴＭ，ＴＴ，ＵＡ，ＵＳ，ＵＺ ，ＶＮ

Claims (1)

1. 【特許請求の範囲】 １． 複数の秘密（ｘ₁，．．．，ｘ_k）が命題論理から論理式を満たすことを証 明する装置において、 上記論理式が、１つ又はそれ以上の論理連結語「ＡＮＤ」、「ＯＲ」、「ＮＯ Ｔ」によって上記秘密において線形関係式をつなぎ、 上記装置が を形成する委任手段と、 ここでｇ₁，．．．，ｇ_kは離散的対数計算が実質不可能な群に属する実質ラン ダムな数であり、 第１の数ベクトルに関して第１の数の表現を知っていることを証明する証明方 法で、上記第１の数及び上記第１の数ベクトルの各数が集合｛ｈ，ｇ₁，．．． ，ｇ_k｝及びその逆数のべき乗の積となっているもの、 とを有する装置。 ２． 上記論理式がι（＜ｋ）個の独立線形関係式 により表され、 ここで、π（・）は｛１，．．，ｋ｝を並び替えたものであり、 ｑは上記群の位数を表し、 上記第１の数は に等しく、 上記第１の数ベクトルは に等しい、 請求項１に記載の装置。 ３． 上記論理式が線形不等式 により表され、 ここで、π（・）は｛１，．．，ｋ｝を並び替えたものであり、 ｑは上記群の位数を表し、 上記第１の数はｇ_π(1)に等しく、 上記第１の数ベクトルは に等しい、 請求項１に記載の装置。 ４． 上記論理式が少なくとも独立線形方程式１つと線形不等式丁度１つからな るシステム により表され、 ここで、π（・）は｛１，．．，ｋ｝を並び替えたものであり、 ｑは上記群の位数を表し、 εはZqに属する０でない差異数εで、 上記第１の数は に等しく、 上記第１の数ベクトルは に等しい、 請求項１に記載の装置。 ５． 上記論理式がより大きな論理式の部分論理式で、上記のより大きな論理式 が少なくとも論理連結語「ＯＲ」を１つ有する装置で、請求項２から４までのう ち１つに記載の装置。 ６． 上記論理式が「Ｒ₁ＯＲ．．．ＯＲ Ｒ_ι」で表され、各部分論理式（１≦ ｉ≦ι）が０または１つ以上の連結語「ＡＮＤ」と高々１つの連結語「ＮＯＴ」 により上記秘密集合における線形関係式をつなぐ、 請求項１に記載の装置。 ７． 上記論理式が論理連結語「ＯＲ」を少なくとも１つ有し、 上記装置が自分で選んだ呼びかけと自分で選んだ応答を使用することで、第２数 ベクトルの少なくとも１つに関して第２数の少なくとも１つを知っていることを 証明するシュミレーティング手段をさらに有する、 請求項１に記載の装置。 ８． 上記論理式あるいは上記論理式の部分論理式が で表され、 ここで、π（・）とρ(・)は｛１，．．，ｋ｝を並び替えたものであり、 ｑは上記群の位数を表す、 請求項１に記載の装置。 ９． 上記証明手段においてさらに、 Zqに属する実質ランダムな数を少なくとも１つ生成するための乱数生成装置と 、 上記群に属する第１証拠を計算するための第１証拠計算装置と、 呼びかけ数に応答してZqに属する応答数を少なくとも１つ計算するための応答 生成装置と、 少なくとも上記応答数を表す信号を送信するための送信装置とを有する、 請求項２から８の１つに記載の装置。 １０． 上記呼びかけ数が、一方向ハッシュ関数を少なくともｈと上記第１証拠 に適用することで計算される、 請求項９に記載の装置。 １１． 上記一方向ハッシュ関数がさらに上記論理式の１部の記述に適用された 、 請求項１０に記載された装置。 １２． 上記一方向ハッシュ関数がさらに上記論理式を一義的に表す記述に適用 された、 請求項１０に記載の装置。 １３． 上記証明装置がさらに、 Zqに属する訂正要素を少なくとも１つ計算するための訂正要素計算手段と、 上記の訂正要素少なくとも１つを表す信号を送信するための上記送信手段とを 有する、 請求項９に記載の装置。 １４． 少なくともｈ、上記第１証拠、上記訂正要素少なくとも１つに関する少 なくとも部分的な情報、及び上記論理式に関する少なくとも部分的な情報に対す る一方向ハッシュ関数の適用により上記呼びかけ数が計算される、 請求項１３に記載の装置。 １５． 上記装置が少なくとも２つの構成要素により作動され、 上記の最低２つの構成要素のそれぞれが上記複数の秘密集合を全部でなく１部保 持する、 請求項１に記載の装置。 １６． 上記証明手段においてさらに、 Zqに属する実質的なｋ−ι個の乱数（ｗ₁，．．．，ｗ_{k- ι}）を生成するため の乱数生成装置と、 を計算するための第１証拠計算手段と、 ｒ_i←ｃｘ_π(i)＋ｗ_iｍｏｄｑ（１≦ｉ≦ｋ−ι）に従って呼びかけ数ｃに応答 してｋ−ι個の応答数ｒ₁，．．．，ｒ_{k- ι}を計算するための応答生成手段と、 少なくとも上記ｋ−ι個の応答数を表す信号を送信するための送信手段とを有 する、 請求項２に記載の装置。 １７． 上記証明手段においてさらに、 Zqに属する実質ランダムなｋ−ι＋ｚ（１≦ｚ≦ι）個の数を生成するための 乱数生成手段と、 上記少なくともｋ−ι＋ｚ個の実質ランダムな数から第１証拠ａを計算するた めの第１証拠計算手段と、 Zqに属するｚ個の訂正要素を計算し、上記訂正要素が前以て決められた形式を 満たす訂正要素生成手段と、 呼びかけ数に応答して少なくともｋ−ι個の応答数を計算するための応答生成 手段と、 少なくとも上記ｋ−ι個の応答数と上記ｚ個の訂正要素を表す信号を送信する ための送信装置とを有する、 請求項２に記載の装置。 １８． 上記証明手段においてさらに、 Zqに属するｋ個の実質ランダムな数（ｗ₁，．．．，ｗ_k）を生成するための乱 数生成手段と、 を計算するための第１証拠計算手段と、 （１≦ｊ≦ι）に従ってι個の訂正要素ｅ₁，．．．，ｅ_ιを計算する訂正要素 生成手段と、 呼びかけ数ｃに応答して、Zqに属する少なくともｋ−ι個の応答数を計算する ための応答生成手段と、 少なくとも上記ｋ−ι個の応答数と上記ι個の訂正要素を表す信号を送信する ための送信装置とを有する、 請求項２に記載の装置。 １９． 上記証明手段においてさらに、 Zqに属するｋ個の実質ランダムな数（ｗ₁，．．．，ｗ_k）を生成するための乱 数生成手段と、 を計算するための第１証拠計算手段と、 ｒ₁←ｃδ＋ｗ₁ｍｏｄ ｑ，ｒ_i←ｃｘ_π(ｉ)δ＋ｗ_iｍｏｄ ｑ（２≦ｉ≦ｋ）に 従って呼びかけ数ｃに応答して、ｋ個の応答数ｒ₁，．．．，ｒ_kを計算するため の応答生成手段と、 ここで、δが に等しく、 少なくとも上記ｋ個の応答数を表す信号を送信するための送信装置とを有する 、 請求項３記載の装置。 ２０． 上記証明手段においてさらに、 Zqに属するｋ＋１個の実質ランダムな数（ｗ₀，．．．，ｗ_k）を生成するため の乱数生成手段と、 を計算するための第１証拠計算手段と、 （１≦ｊ≦ι）に従ってι＋１個の訂正要素ｅ₀，．．．，ｅ_ιを計算する訂正 要素生成手段と、 ｒ₀←ｃδ＋ｗ₀ｍｏｄ ｑ，ｒ_i←ｃｘ_π(i)δ＋ｗ_iｍｏｄ ｑ（１≦ｉ≦ｋ− ι）に従って、呼びかけ数ｃに応答して、ｋ−ι＋１個の応答数ｒ₀，．．．， ｒ_{k- ι}を計算する応答生成手段と、 ここでδはε^-1ｍoｄ ｑ に等しく、 少なくとも上記ｋ−ι＋１個の応答数と上記ι＋１個の訂正要素を表す信号を 送信するための送信装置とを有する、 請求項４に記載の装置。 ２１． 上記証明手段においてさらに、 Zqに属するｋ−１個の実質ランダムな数（ｗ₂，．．．，ｗ_k）を生成するため の乱数生成手段と、 を計算するための第１証拠計算手段と、 自分で選んだ実質ランダムな呼びかけ数ｃ₂を生成するための呼びかけシミュ レート手段と、 自分で選んだ実質ランダムなｋ−１個の応答数ｓ₂，．．．，ｓ_kを生成するた めの応答シミュレート手段と、 を計算するための第１証拠シミュレート手段と、 ｒ_i←ｃ₁ｘ_π(i)＋ｗ_iｍoｄ ｑ（２≦ｉ≦ｋ）に従って呼びかけ数ｃに応答し て、ｋ−１個の応答数ｒ₂，．．．，ｒ_{k- ι}を計算する応答生成手段と、 ここで、ｃ₁はｃとｃ₂から一義的に決まり、 少なくとも（ｒ₂，．．．，ｒ_k），（ｓ₂，．．，ｓ_k）とｃ₁，ｃ₂の１つを表 す信号を送信するための送信装置とを有する、 請求項８に記載の装置。 ２２． 複数の秘密（ｘ₁，．．．，ｘ_k）が命題論理から論理式を満たすことを 証明する装置において、 上記論理式が、１つ又はそれ以上の論理連結語「ＡＮＤ」、「ＯＲ」、「ＮＯ Ｔ」によって上記秘密集合において線形関係式をつなげ、 上記装置が を形成する委任手段と、 ここでｎは最低２つの互いに離れた素数の積、υは整数、Ｙ₁，．．．，Ｙ_k 第１の数ベクトルに関して第１の数の表現を知っていることを証明する証明手 段と、 ここで上記第１の数及び上記第１の数ベクトルの１つだけが集合｛ｈ，Ｙ₁， ．．．，Ｙ_k｝及びその逆数のべき乗の積となっていて、上記第１の数ベクト ルの最後の数がυである、 を有する装置。 ２３． 上記論理式がι（＜ｋ）個の独立線形関係式 により表され、 ここで、π（・）は｛１，．．，ｋ｝を並び替えたものであり、 上記第１の数は に等しく、 上記第１の数ベクトルは に等しい、 請求項２２に記載の装置。 ２４． 上記論理式が線形不等式 により表され、 ここで、π（・）は｛１，．．，ｋ｝を並び替えたものであり、 上記第１の数はＹ_π(1)に等しく、 上記第１の数ベクトルは に等しい、 請求項２２に記載の装置。 ２５． 上記論理式が少なくとも独立線形方程式１つと線形不等式丁度１つから なるシステム により表され、 ここで、π（・）は｛１，．．，ｋ｝を並び替えたものであり、 εはZ_υに属する０でない差異数 で、 上記第１の数は に等しく、 上記第１の数ベクトルは に等しい、 請求項２２に記載の装置。 ２６． 上記論理式がより大きな論理式の部分論理式で、上記のより大きな論理 式が少なくとも論理連結語「ＯＲ」を１つ有する装置で、請求項２３から２５ま でのうち１つに記載の装置。 ２７． 上記論理式が「R₁ＯＲ．．．ＯＲ R_ι」で表され、各部分論理式 R_i（ １≦ｉ≦ι）が０または１つ以上の連結語「ＡＮＤ」と高々１つの連結語「ＮＯ Ｔ」により上記秘密集合における線形関係式をつなぐ、 請求項２２に記載の装置。 ２８． 上記論理式が論理連結語「ＯＲ」を少なくとも１つ有し、 上記装置が自分で選んだ呼びかけと自分で選んだ応答を使用することで、 第２の数ベクトルの少なくとも１つに関して第２の数の少なくとも１つを知って いることを証明するシュミレーティング手段をさらに有する、 請求項１に記載の装置。 ２９． 上記論理式あるいは上記論理式の部分論理式が で表され、 ここで、π（・）とρ（・）が｛１，．．，ｋ｝を並び替えたものである、 請求項２２に記載の装置。 ３０． 上記証明手段においてさらに、 数１つを生成するための乱数生成装置と、 数１つを計算するための応答生成装置と、 少なくとも上記応答数を表す信号を送信するための送信装置とを有する、 請求項２３から２９の１つに記載の装置。 ３１． 上記呼びかけ数が、一方向ハッシュ関数を少なくともｈと上記第１証拠 に適用することで計算される、 請求項３０に記載の装置。 ３２． 上記一方向ハッシュ関数がさらに上記論理式の１部の記述に適用された 、 請求項３１に記載の装置。 ３３． 上記一方向ハッシュ関数がさらに上記論理式を一義的に表す記述に適用 された、 請求項３１に記載の装置。 ３４． 上記証明装置がさらに、 Z_υに属する訂正要素を少なくとも１つ計算するための訂正要素計算手段と、 上記の訂正要素少なくとも１つを表す信号を送信するための上記送信手段とを有 する、 請求項３０に記載の装置。 ３５． 少なくともｈ、上記第１証拠、上記訂正要素少なくとも１つに関する少 なくとも部分的な情報、及び上記論理式に関する少なくとも部分的な情報に対す る一方向ハッシュ関数の適用により上記呼びかけ数が計算される、 請求項３４に記載の装置。 ３６． 上記装置が少なくとも２つの構成要素により作動され、 上記の最低２つの構成要素のそれぞれが上記複数の秘密を全部でなく１部保持す る、 請求項２２に記載の装置。