JPWO2006132143A1 - 認証システム、認証装置、端末装置及び検証装置 - Google Patents

Abstract

証明したい情報である証明情報をぼかして得られるぼかし情報を提示するサービス利用装置１と、サービス利用装置１によって提示されたぼかし情報の正当性を検証するサービス提供装置３ａ〜３ｃと、サービス利用装置１による正当なぼかし情報の発行を支援する認証装置２とからなる認証システムであって、認証装置２は、証明情報とぼかし情報とを含む情報に対してデジタル署名を施し、得られたデジタル署名と証明情報とぼかし情報とを含む認証情報を生成し（Ｓ２）、サービス利用装置１は、認証装置２で生成された認証情報から、ユーザの指示によって選択されるぼかし情報とその指示を示す指示情報とデジタル署名とを含むぼかし認証情報を生成し（Ｓ４）、サービス提供装置３ａ〜３ｃは、サービス利用装置１で生成されたぼかし認証情報に対して、そこに含まれるデジタル署名に基づいて、そこに含まれる指示情報が示すぼかし情報の正当性を検証する（Ｓ６）。

Description

本発明は、身分証明書などの第三者機関によって認証された証明書データに対して、証明書の保持者のプライバシーを確保しつつ、正確に本人認証を行う認証システムに関する。

近年、一般家庭へのインターネットの普及に伴い、ネットワークを介した商品の販売や、音楽や映像といったデジタルコンテンツの配信といった各種サービスの提供が盛んになってきた。そのようなサービスの提供の際に、サービス提供側は、そのサービス提供のために必要な、利用者の個人情報を利用者から入手する必要がある。例えば、ネットワークを介した商品販売であれば、商品を配送するために利用者の氏名、住所、電話番号を入手する必要があり、商品代金の決済のために、クレジットカード番号の入手が必要となる場合もある。更に、商品の購買動向を調査して今後の販促活動に活用するために、利用者の年齢や職業なども入手する場合もある。また、利用者から個人情報を入手する際には、サービス提供者側は、その入手した個人情報が正しい内容であること、即ち、利用者が、自分の正確な個人情報を虚偽なく申告していることを確認したいという要求がある。一方、利用者側は、サービス提供側に、必要以上の個人情報を提供したくないという要求もある。このようなサービス提供者側、利用者側のどちらの要求も満足するためには、利用者側が提供する個人情報の正当性を保証しつつ、サービス提供者側には必要以上の個人情報が提供しないで済むような仕組みの実現が望まれる。

このような仕組みを実現するための従来の一方式として、「電子墨塗り方式」と呼ばれる方式が開示されている（特許文献１参照）。図１は、電子墨塗り方式を用いた認証システムのブロック図である。この認証システムは、メッセージに対してその内容を認証してデジタル署名の付与を行い、署名付きメッセージの生成を行う署名生成者９０と、その署名付きメッセージを受け取って、必要に応じて「電子墨塗り」を施して署名検証者９２に送付する電子墨塗り者９１と、電子墨塗り者９１から受け取った「電子墨塗り」が施された署名付きメッセージの正当性を検証する署名検証者９２とからなる。

この認証システムにおいて、メッセージに署名が付加されて、電子墨塗りが行われ、署名の検証が行われる一連の手順は、次の通りである。まず、署名生成者９０は、幾つかのデータブロックからなるメッセージＭに対するデジタル署名Ｓを生成する。このとき、メッセージＭが幾つかのデータブロックからなるというのは、例えば、メッセージＭが、「犯人山田太郎は、犯行を認めた」という文章であるとき、このメッセージが４つのデータブロック「犯人」、「山田太郎」、「犯行を」、「認めた」に分割可能であるようなことを意味する。次に、そのメッセージＭとデジタル署名Ｓを受け取った電子墨塗り者９１は、必要であればデジタル署名を検証した後、メッセージＭについて、４つのデータブロックのうち幾つかを「墨塗り」する。例えば、メッセージＭが上記例で挙げた４つのデータブロックからなる文章であった場合、電子墨塗り者９１は、「山田太郎」に対して電子墨塗りを行ったとする。このとき、メッセージＭは「犯人●●●●は、犯行を認めた」というように「山田太郎」の部分を隠す（墨塗りする）ことになる。こうして作られた墨塗り後のメッセージＭｓと、元のメッセージＭに付加されていた署名Ｓとが署名検証者９２に送付される。署名検証者９２は、墨塗りされたメッセージＭｓと署名Ｓとの間に一定の関係が成り立つことを検証することによって、墨塗りされたメッセージＭｓの正当性を検証する。このとき、署名検証者９２は、メッセージＭｓが、元のメッセージＭの一部を墨塗りして作られたことを確認することができるが、墨塗りされたデータブロック（この例では、「山田太郎」）が何であったかは、知ることができない。このように、電子墨塗り方式では、オリジナルのメッセージの一部を秘匿しつつ、メッセージの正当性が認証可能であり、この例のように、メッセージの一部を秘匿することで、個人のプライバシー（犯人の名前）を保護しつつ、その内容（犯人が犯行を認めたこと）の正当性を確認できるといえる。

また、例えば、「名前＝山田太郎」、「年齢＝２３歳」、「住所＝大阪府門真市」という３つのデータブロックからなるメッセージに対して「電子墨塗り方式」を用いることで、名前と住所のみが必要であり、年齢は必要がない場合、メッセージの「年齢＝２３歳」のブロックを墨塗りした上で、年齢以外の項目（氏名、住所）についてはデジタル署名を検証することによって正しいことを確認することができる。
特開２００５−５１７３４号公報

しかしながら、上記従来技術においては、次に述べるようなユースケースにおいて、個人のプライバシーの保護と内容の正当性確認を両立させることができないという問題がある。

例えば、名前と、「年齢が２０歳以上であること」だけが確認できればよい場合、上記従来技術においては、データブロックの正確な年齢（２３歳）を提示する、もしくは、墨塗りをして年齢をまったく提示しない、のどちらかしか選択できず、正確な年齢を提示せずに、「２０歳以上であること」だけを提示することは不可能である。そのために、「２０歳以上であること」を提示するために、正確な年齢（２３歳）を提示することになり、つまり、必要以上の個人情報を提示することになり、個人のプライバシーが十分に保護されない。

そこで、本発明は、上記の課題を解決するもので、上記のようなユースケースにおいても、個人のプライバシーを十分に保護でき、かつ、サービス提供者側で提示された個人情報の正当性が確認可能な認証システムを提供することを目的とする。

上記目的を達成するために、本発明は、証明したい情報である証明情報をぼかして得られるぼかし情報を提示する端末装置と、前記端末装置によって提示されたぼかし情報の正当性を検証する検証装置と、前記端末装置による正当なぼかし情報の発行を支援する認証装置とからなる認証システムであって、前記認証装置は、少なくも１つの証明情報と前記証明情報に対応する複数のぼかし情報とを保持する情報保持手段と、前記情報保持手段に保持された証明情報とぼかし情報とを含む情報に対してデジタル署名を施すことによってデジタル署名を生成し、生成したデジタル署名と前記証明情報と前記ぼかし情報とを含む情報を認証情報として生成する認証情報生成手段と、生成された認証情報を前記端末装置に送信する第１の送信手段とを備え、前記端末装置は、前記認証装置から送信されてくる認証情報を受信する第１の受信手段と、ユーザからの指示に基づいて、前記受信手段で受信された認証情報に含まれる複数のぼかし情報の中から、少なくとも１つのぼかし情報を選択する旨の指示を受け付けるぼかし指示受付手段と、前記ぼかし指示受付手段によって受け付けられた指示によって選択されるぼかし情報と前記指示を示す指示情報と前記デジタル署名とを含む情報をぼかし認証情報として生成するぼかし認証情報生成手段と、生成されたぼかし認証情報を前記検証装置に送信する第２の送信手段とを備え、前記検証装置は、前記端末装置から送信されてくるぼかし認証情報を受信する第２の受信手段と、前記受信手段で受信されたぼかし認証情報に含まれるデジタル署名に基づいて、前記ぼかし認証情報に含まれる指示情報が示す、前記ぼかし認証情報に含まれるぼかし情報の正当性を検証する署名検証手段とを備えることを特徴とする。

これによって、認証装置において、複数の正当なぼかし情報が予め準備され、端末装置において、ユーザが所望するぼかし情報で証明情報が置き換えられて検証装置に送信され、検証装置において、ぼかし情報の正当性が検証される。つまり、ユーザは、所望の証明情報をぼかし情報に置き換えて提示することできるとともに、ぼかし情報を受け取った検証装置は、そのぼかし情報が認証装置によって正当に発行されたものであることを確認することができる。

なお、本発明は、このような認証システムとして実現できるだけでなく、その認証システムを構成する認証装置単体、端末装置単体、検証装置単体として実現したり、それら認証装置、端末装置、検証装置で実行されるプログラムとして実現したり、そのプログラムが記録されたコンピュータ読み取り可能なＣＤ−ＲＯＭ等の記録媒体として実現することもできる。

本発明の認証システムによれば、ユーザの身元情報を情報的にぼかした内容に変更ができ、かつ、ぼかした内容の正当性をデジタル署名によって確認可能な認証システムが実現されるという効果がある。

つまり、必要以上に個人情報をさらすことなく、個人情報の正当性を確認できるので、証明すべき必要最低限の情報だけを伝達することができる認証システムが実現される。

図１は、本発明の従来技術に係る認証システムの構成を示す図である。 図２は、本発明の実施の形態に係る認証システムの構成を示すシステム構成図である。 図３は、本発明の実施の形態に係る認証システムにおける通信のやりとりを示す通信シーケンス図である。 図４は、本発明の実施の形態に係るサービス利用装置の構成を示すブロック図である。 図５は、本発明の実施の形態に係るユーザ身元情報及びぼかし用情報の構成の一例を示す図である。 図６は、本発明の実施の形態に係る認証装置の構成を示すブロック図である。 図７は、本発明の実施の形態に係る認証装置の主要な動作を示すフローチャートである。 図８は、本発明の実施の形態に係るぼかし住所情報データベースの構成を示すブロック図である。 図９は、本発明の実施の形態に係る身元認証情報生成部の構成を示すブロック図である。 図１０は、本発明の実施の形態に係る分割された身元認証情報の構成の一例を示す図である。 図１１は、本発明の実施の形態に係るぼかし身元認証情報生成部の構成を示すブロック図である。 図１２は、本発明の実施の形態に係るぼかし身元認証情報生成部の動作手順を示すフローチャートである。 図１３は、本発明の実施の形態に係る更新付加情報の構成の一例を示す図である。 図１４は、本発明の実施の形態に係るサービス提供装置の構成を示すブロック図である。 図１５は、本発明の実施の形態に係るデジタル署名検証部の構成を示すブロック図である。 図１６は、本発明の実施の形態に係るデジタル署名検証部の動作手順を示すフローチャートである。 図１７は、本発明の実施の形態の変形例に係るハッシュ計算方法を説明するための図である。 図１８は、本発明の実施の形態の変形例に係るハッシュ計算方法を説明するための図である。

符号の説明

１ サービス利用装置
２ 認証装置
３ａ〜３ｃ サービス提供装置
１０ ユーザ身元情報記憶部
１１ 身元認証情報発行依頼データ送付部
１２ 身元認証情報受信部
１３ 身元認証情報保管部
１４ 身元認証情報表示部
１５ ぼかし指示受付部
１６ ぼかし身元認証情報生成部
１７ サービス利用要求データ送付部
１８ サービスデータ受信部
２０ 身元認証情報発行依頼受信部
２１ ユーザ身元情報確認部
２２ ぼかし用情報生成部
２３ 身元認証情報生成部
２４ 身元認証情報送信部
３０ データ分割部
３１ 署名検証鍵記憶部
３２ デジタル署名検証部
３３ ユーザ身元情報確認部
３４ ユーザ身元情報保管部
３５ サービスデータ送付許可部
３６ サービスデータ保管部
３７ サービスデータ送付部

以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。

（認証システムの概要）
図２は、本発明の実施の形態における認証システムの一構成例を示すシステム構成図である。この認証システムは、必要以上に個人情報をさらすことなく、個人情報の正当性を確認できるとともに、証明すべき必要最低限の情報だけを伝達することができる認証システムであり、インターネット等の通信網で接続されたサービス利用装置１、認証装置２及びサービス提供装置３ａ〜３ｃから構成される。サービス利用装置１は、証明したい情報である証明情報をぼかして得られるぼかし情報（ここでは、証明情報の内容を曖昧にした内容を示す情報）を提示する端末装置の一例であり、サービス提供装置３ａ〜３ｃは、サービス利用装置１によって提示されたぼかし情報の正当性を検証する検証装置の一例であり、認証装置２は、サービス利用装置１による正当なぼかし情報の発行を支援する認証装置の一例である。

本実施の形態では、サービス利用者は、サービス利用装置１を用いて、サービス提供者がサービス提供装置３ａ〜３ｃによって提供する各種のサービスを利用する。サービス提供装置３ａ〜３ｃは、サービス利用者がサービス利用をする際に、サービス提供のために必要な利用者の個人情報の提示を要求する。このとき、サービス提供装置３ａ〜３ｃは、一部の個人情報については、生の情報ではなく、曖昧化（抽象化）された情報の提示を許諾している。たとえば、氏名と住所については、氏名のイニシャルだけ、住所の地方名（「近畿地方」など）の提示を許諾している。

サービス利用装置１は、認証機関である認証装置２により発行された身分証明書を保持しており、上記個人情報の提示要求に対して、この身分証明書を提示する。このとき、サービス利用装置１は、サービス提供装置３ａ〜３ｃが要求する個人情報の内容に応じて、上記身分証明書に対して情報のぼかし処理を行った身分証明書をサービス提供装置３ａ〜３ｃに提示する。例えば、「氏名」についてはイニシャルだけ、「住所」については地方名だけを提示する。

図３は、この認証システムにおける通信のやりとりを示す通信シーケンス図である。

まず、サービス利用装置１は、認証装置２に対して、身元認証情報（ここでは、身分証明書）の発行を依頼するために、その旨を示す身元認証情報発行依頼データを送信する（Ｓ１）。

身元認証情報発行依頼データを受信した認証装置２は、その身元認証情報発行依頼データに基づいて、複数の身元情報とぼかし身元情報との対を含む身元認証情報を生成し（Ｓ２）、生成した身元認証情報をサービス利用装置１に返信する（Ｓ３）。

身元認証情報を受信したサービス利用装置１は、その身元認証情報に対してユーザの指示に従った変更（一部の項目をぼかす処理）をすることで、身元認証情報に含まれる所望の身元情報をぼかし身元情報に置換したぼかし身元認証情報（ここでは、ぼかした身分証明書）を生成し（Ｓ４）、生成したぼかし身元認証情報を含むサービス利用要求データをサービス提供装置３ａ〜３ｃに送信する（Ｓ５）。

サービス利用要求データを受信したサービス提供装置３ａ〜３ｃは、そのサービス利用要求データに含まれるぼかし身元情報を検証し（Ｓ６）、正当性を確認できた場合に、要求されたサービスデータをサービス利用装置１に提供する（Ｓ７）。

以下では、この認証システムにおけるサービス利用装置１、認証装置２、サービス提供装置３ａ〜３ｃの動作について、「システムセットアップ」、「身分証明書発行手続き」（図３におけるＳ１〜Ｓ３）、「サービス利用手続き」（図３におけるＳ４〜Ｓ７）の手続きごとに説明する。

（システムセットアップ）
認証装置２は、認証システムの立ち上げ時に、デジタル署名の署名生成鍵を作成し、認証装置２内に秘密に保持する。また、その署名生成鍵を用いて生成したデジタル署名を検証するための署名検証鍵も同時に作成し、サービス提供装置３ａ〜３ｃに配布し、これら装置内に保持させる。ここで、デジタル署名としては、公開鍵暗号方式を用いたデジタル署名法を用いるものとする。公開鍵暗号方式を用いたデジタル署名法は、公知の技術であるため、詳細についてここでは説明しない。

（身分証明書発行手続き）
「身分証明書発行手続き」は、サービス利用者が、この認証システムを最初に利用する時に行う。この手続きにより、サービス利用者は、各種サービスを利用する際に必要となる身分証明書を入手しておく。以下、身分証明書発行手続きの詳細について説明する。

図４は、サービス利用者が、「身分証明書発行手続き」及び「サービス利用手続き」を実行するために使用するサービス利用装置１の一構成例を示すブロック図である。

サービス利用装置１は、サービス利用者が利用するパーソナルコンピュータ等であり、サービス利用者の身元情報（ユーザ身元情報）を記憶するユーザ身元情報記憶部１０と、そのユーザ身元情報から身元認証情報発行依頼データ作成して認証装置２に送付する身元認証情報発行依頼データ送付部１１と、認証装置２から送付される身元認証情報を受信する身元認証情報受信部１２と、受信した身元認証情報を保管する身元認証情報保管部１３と、保管している身元認証情報をサービス利用者が見える形で表示する身元認証情報表示部１４と、サービス利用者から身元認証情報に対するぼかし処理に関する指示を受け付けるぼかし指示受付部１５と、サービス利用者の指示に基づいて、身元認証情報に対してぼかし処理を行ってぼかし身元認証情報を作成するぼかし身元認証情報生成部１６と、作成されたぼかし身元認証情報にサービス利用を要求する旨の情報を付加してサービス提供装置３ａ〜３ｃのいずれかに送付するサービス利用要求データ送付部１７と、サービス提供装置３ａ〜３ｃのいずれかから提供されるサービスデータを受信するサービスデータ受信部１８とからなる。

サービス利用者が認証機関に対して自身の身元認証情報を発行してほしい旨の依頼をサービス利用装置１に指示すると、サービス利用装置１は、以下の処理を行う。まず、ユーザ身元情報記憶部１０は、記憶しているユーザ身元情報を身元認証情報発行依頼データ送付部１１に転送する。ここで、ユーザ身元情報とは、サービス利用者の個人情報のことである。ユーザ身元情報の例を、図５（ａ）に示す。図５（ａ）において、ユーザ身元情報４１は、サービス利用者の氏名として漢字、ローマ字表記で「山田太郎／ＹＡＭＡＤＡ ＴＡＲＯ」と示す氏名情報４１０と、年齢として「２４歳」を示す年齢情報４１１と、住所として「大阪府門真市大字門真１００６」を示す住所情報４１２とからなる。

次に、身元認証情報発行依頼データ送付部１１は、ユーザ身元情報４１に、このユーザ身元情報に基づいた身元認証情報の発行を依頼する旨のメッセージ情報を付加することによって身元認証情報発行依頼データを作成し、認証装置２に送付する（図３のＳ１））。

身元認証情報発行依頼データを受信した認証装置２の動作を説明する。図６は、認証装置２の一構成例を示すブロック図である。認証装置２は、サービス利用装置１から送付される身元認証情報発行依頼データを受信する身元認証情報発行依頼データ受信部２０と、受信した身元認証情報発行依頼データに含まれるユーザ身元情報４１がサービス利用者の個人情報として正確なものであることを確認するユーザ身元情報確認部２１と、ユーザ身元情報４１に対して「ぼかし」を行うための元となるデータであるぼかし用情報を生成するぼかし用情報生成部２２と、ユーザ身元情報４１とぼかし用情報に基づいて、デジタル署名を施すことによって身元認証情報を生成する身元認証情報生成部２３と、生成された身元認証情報をサービス利用装置１に送付する身元認証情報送信部２４とからなる。

図７は、図６に示された認証装置２の主要な動作を示すフローチャートである。

身元認証情報発行依頼データ受信部２０は、身元認証情報発行依頼データを受信し、その身元認証情報発行依頼データに含まれるユーザ身元情報４１を、ユーザ身元情報確認部２１、ぼかし用情報生成部２２、及び身元認証情報生成部２３に転送する。ユーザ身元情報確認部２１は、身元認証情報発行依頼データ受信部２０から転送されてきたユーザ身元情報４１が、正しいものであることを確認する（図７のＳ１０）。確認する方法としては、例えば、認証装置２は、市役所などの公的機関が保持する住民票データベースとネットワークを介して接続されており、ユーザ身元情報４１を、住民票データベースに照会することにより、それが正しいことを確認することができる。ユーザ身元情報４１が正しいものと確認されたときに限り、以下の処理を続行する。不正なものであることが判明した場合には、以下の処理は行わず、処理を終了する。

ぼかし用情報生成部２２は、次のようにして、サービス利用装置１から受信したユーザ身元情報４１に含まれる氏名情報４１０、年齢情報４１１、住所情報４１２に対して、ぼかし用情報を生成する（図７のＳ１１）。ぼかし用情報の例を、図５（ｂ）に示す。まず、氏名情報４１０については、そのローマ字表記の姓、名それぞれの先頭一文字を取り出して、氏名のイニシャル表記を作成して、ぼかし氏名情報４４０として生成する。図５に示す例においては、氏名のローマ字表記「ＹＡＭＡＤＡ ＴＡＲＯ」の姓の先頭一文字「Ｙ」と名の先頭一文字「Ｔ」を取り出して、イニシャル表記の「Ｔ．Ｙ」をぼかし氏名情報４４０とする。

年齢情報４１１については、年齢の一の位をゼロに変えた年代表記を、ぼかし年齢情報４４１とする。図５の例では、年齢「２４歳」の一の位「４」を「０」に変えて年代表記「２０代」としたものを、ぼかし年齢情報４４１とする。

住所情報４１２については、ぼかし用情報生成部２２の内部に予め保持している、ぼかし住所情報データベースに基づいて、ぼかし住所情報４４２を生成する。図８は、ぼかし用情報生成部２２の内部に保持されているぼかし住所情報データベース４２の一例を示すものである。ぼかし住所情報データベース４２は、ぼかし住所情報規則４２０〜４２４から構成され、例えば、ぼかし住所情報規則４２０は、住所情報「東京都」は、ぼかし住所情報「関東地方」に変換されることを示す。図５に示す例においては、住所情報４３２「大阪府門真市大字門真１００６」のうち、都道府県を示す「大阪府」を抽出し、これに対して、ぼかし住所規則４２２を適用して、ぼかし住所情報４４２を「近畿地方」とする。このようにして生成されたぼかし氏名情報４４０、ぼかし年齢情報４４１、ぼかし住所情報４４２からなる、ぼかし用情報４４を生成し、身元認証情報生成部２３に転送する。

身元認証情報生成部２３は、身元認証情報発行依頼データ受信部２０から転送されてくるユーザ身元情報４１とぼかし用情報生成部２２から転送されてくるぼかし用情報４４を元に、身元認証情報を生成する（図７のＳ１２）。

図９は、身元認証情報生成部２３の一構成例を示すブロック図である。身元認証情報生成部２３は、身元認証情報発行依頼データ受信部２０から転送されてくるユーザ身元情報４１を分割するデータ分割部２３０と、乱数を生成する乱数生成部２３１と、データ分割部２３０で分割されたユーザ身元情報４１のそれぞれに乱数を付加する乱数付加部２３２と、ハッシュ計算を行なって中間ハッシュ値を生成する中間ハッシュ値生成部２３３と、生成された中間ハッシュ値にぼかし用情報生成部２２から転送されてくるぼかし用情報４４を付加するぼかし用情報付加部２３４と、ぼかし用情報付加部２３４で得られた情報に対してハッシュ計算を行なって最終ハッシュ値を生成する最終ハッシュ値生成部２３５と、デジタル署名を生成するための署名生成鍵を記憶する署名生成鍵記憶部２３６と、最終ハッシュ値生成部２３５で得られた最終ハッシュ値に対してデジタル署名を作成する署名作成部２３７と、データ分割部２３０で分割されたユーザ身元情報４１、乱数生成部２３１が生成した乱数、署名作成部２３７で作成されたデジタル署名及びぼかし用情報生成部２２から転送されてくるぼかし用情報４４からサービス利用装置１に送付する身元認証情報を作成する送付データ作成部２３８とからなる。以下、身元認証情報生成部２３の動作（図３のＳ２）を説明する。

データ分割部２３０は、入力されるユーザ身元情報４１を分割して乱数付加部２３２及び送付データ作成部２３８に転送する。具体的には、図５（ａ）において、ユーザ身元情報４１を、氏名情報４１０、年齢情報４１１、住所情報４１２の３つのデータに分割し、乱数付加部２３２及び送付データ作成部２３８に転送する。

次に、乱数生成部２３１は、３つの乱数値ｒ１、ｒ２、ｒ３を生成して、乱数付加部２３２及び送付データ作成部２３８に転送する。ここで、発生する乱数の個数は、データ分割部２３０において生成された分割データの個数と等しい。

次に、乱数付加部２３２は、上記氏名情報４１０、年齢情報４１１、住所情報４１２を、所定の規則に基づいて、それぞれ数値データｍ１、ｍ２、ｍ３に変換する。上記所定の規則としては、ＡＳＣＩＩコードから数値への変換などを用いればよい。そして、得られた数値データｍ１、ｍ２、ｍ３に対して、乱数生成部２３１で生成した乱数ｒ１、ｒ２、ｒ３をそれぞれ結合して、ｍ１‖ｒ１、ｍ２‖ｒ２、ｍ３‖ｒ３とし、中間ハッシュ値生成部２３３に転送する。ここで「‖」は、データの結合（例えば、桁連結）を表す。

次に、中間ハッシュ値生成部２３３は、乱数付加部２３２から転送されてきたデータｍ１‖ｒ１、ｍ２‖ｒ２、ｍ３‖ｒ３に対して、以下の計算を行って、中間ハッシュ値ｉ１、ｉ２、ｉ３を生成し、ぼかし用情報付加部２３４に転送する。

ｉ１＝Ｈａｓｈ（ｍ１‖ｒ１）
ｉ２＝Ｈａｓｈ（ｍ２‖ｒ２）
ｉ３＝Ｈａｓｈ（ｍ３‖ｒ３）

ここでＹ＝Ｈａｓｈ（Ｘ）は、データＸに対して所定のハッシュ計算Ｈａｓｈを行い、その結果をＹとすることを意味する。ここで用いるハッシュアルゴリズムＨａｓｈとしては、公知のハッシュ方式であればなんでもよく、例えば、ＳＨＡ１方式を使えばよい。

次に、ぼかし用情報付加部２３４は、ぼかし用情報生成部２２から転送されてくるぼかし用情報４４を、ぼかし氏名情報４４０、ぼかし年齢情報４４１、ぼかし住所情報４４２の３つのデータに分割し、更にそれぞれのデータを、所定の規則に基づいて、数値データｂ１、ｂ２、ｂ３に変換する。ここで用いる所定の規則もＡＳＣＩＩコードから数値への変換などを用いればよい。こうして生成された数値データｂ１、ｂ２、ｂ３を、中間ハッシュ値ｉ１、ｉ２、ｉ３とそれぞれ結合して、結合データｉ１‖ｂ１、ｉ２‖ｂ２、ｉ３‖ｂ３を作成し、最終ハッシュ値生成部２３５に転送する。

次に、最終ハッシュ値生成部２３５は、ぼかし用情報付加部２３４から転送されたデータｉ１‖ｂ１、ｉ２‖ｂ２、ｉ３‖ｂ３に対して、以下のハッシュ計算を行い、最終ハッシュ値ｈ１、ｈ２、ｈ３を生成し、署名作成部２３７に転送する。

ｈ１＝Ｈａｓｈ（ｉ１‖ｂ１）
ｈ２＝Ｈａｓｈ（ｉ２‖ｂ２）
ｈ３＝Ｈａｓｈ（ｉ３‖ｂ３）

署名生成鍵記憶部２３６は、認証システム立ち上げ時に作成した署名生成鍵を記憶している。最終ハッシュ値生成部２３５による処理の後、署名生成鍵記憶部２３６は、記憶している署名生成鍵を署名作成部２３７に転送する。

次に、署名作成部２３７は、署名生成鍵記憶部２３６から転送された署名生成鍵を用いて、最終ハッシュ値ｈ１、ｈ２、ｈ３を元にデジタル署名を生成する。具体的には、以下の計算により、デジタル署名Ｓを生成する。

Ｓ＝Ｓｉｇ（Ｋｓ、ｈ１‖ｈ２‖ｈ３）

ここで、Ｋｓは署名生成鍵、Ｓ＝Ｓｉｇ（Ｋ、Ｄ）は、署名生成鍵Ｋを用いてデータＤに基づくデジタル署名Ｓを生成することを表す。なお、デジタル署名を生成する方式は公知であるので、ここではその詳細を説明しない。上記のようにして生成したデジタル署名Ｓを、送付データ作成部２３８に転送する。

次に、送付データ作成部２３８は、ユーザ身元情報４１、乱数ｒ１、ｒ２、ｒ３、ぼかし用情報４４、及び、デジタル署名Ｓから、図１０に示すような身元認証情報４３を作成する。ここで、ユーザ身元情報４１に含まれる氏名情報４１０、年齢情報４１１、住所情報４１２には、それぞれインデックス値として「１」「２」「３」が付与される。ぼかし用情報４４に含まれるぼかし氏名情報４４０、ぼかし年齢情報４４１、ぼかし住所情報４４２にも、それぞれインデックス情報として「１」「２」「３」が付与される。また、身元認証情報４３には、ぼかしブロック情報４５０、乱数ｒ１（４５１）、乱数ｒ２（４５２）、乱数ｒ３（４５３）からなる付加情報４５と、デジタル署名Ｓ（４６）が含まれ、ぼかしブロック情報４５０、乱数ｒ１〜ｒ３（４５１〜４５３）には、それぞれインデックス値として「０」「１」「２」「３」が付与される。ここで、ぼかしブロック情報４５０とは、身元認証情報４３のうち、情報の「ぼかし」が行われている身元情報がどれかをインデックス値で表記している。なお、認証装置２で身元認証情報４３を生成した時点では、情報の「ぼかし」が行われる身元情報は無いので、ぼかしブロック情報４５０としては、「なし」を表すデータが設定されている（後述するように、ぼかしブロック情報４５０はサービス利用装置１で設定される。）。このようにして、送付データ作成部２３８は、身元認証情報４３を作成して、身元認証情報送信部２４に転送する。そして、身元認証情報送信部２４は、上記身元認証情報４３を、サービス利用装置１に送付する。

サービス利用装置１は、認証装置２から送付される身元認証情報４３を、図４に示すように、身元認証情報受信部１２にて受信する（図３のＳ３）。身元認証情報受信部１２は、受信した身元認証情報４３を、身元認証情報保管部１３に転送する。そして、身元認証情報保管部１３は、その身元認証情報４３を保管する。

（サービス利用手続き）
「サービス利用手続き」は、サービス利用者が、サービス利用装置１を用いて、サービス提供業者がサービス提供装置３ａ〜３ｃで提供するサービスを利用する際に実行される。サービス利用手続きを実行する前には、サービス利用装置１は、前述した「身分証明書発行手続き」を実行して、認証装置２から、身元認証情報４３の発行を受けている必要がある。図２では、認証システム内に、３つのサービスＡ、Ｂ、Ｃをそれぞれサービス提供業者Ａ、Ｂ、Ｃが提供する場合について示している。このとき、サービス提供業者Ａは、サービス提供装置３ａを、サービス提供業者Ｂは、サービス提供装置３ｂを、サービス提供業者Ｃは、サービス提供装置３ｃを、それぞれ用いてサービスを提供する。サービス利用者は、それらのサービスの中から、利用したいサービスを１つ選び、サービス利用装置１を用いて、そのサービスに対応するサービス提供装置からサービス提供を受ける。以下では、サービス提供者が、サービスＡを利用する場合の、サービス利用手続きについて説明するが、サービスＢ、Ｃを利用する場合についても、これと同様の手順となる。

最初に、サービス利用者から、サービスＡを利用する旨の指示を受けたサービス利用装置１は、図４に示す身元認証情報保管部１３にて、その内部に保管している身元認証情報４３を、身元認証情報表示部１４に転送する。

次に、身元認証情報表示部１４は、転送されてきた身元認証情報４３に含まれる情報のうち、氏名情報４１０、年齢情報４１１、住所情報４１２を表示し、表示したユーザ身元情報のうち、どの情報に対して「ぼかし」を行うかをサービス利用者に問いかけるメッセージを表示する。表示内容を確認したサービス利用者は、３つの情報から、どれに「ぼかし」を行うかを指示するデータをサービス利用装置１に対して入力し、サービス利用装置１は、ぼかし指示受付部１５にて、その指示を受け付ける。このとき、「ぼかし」を行う情報は、１つだけでも良いし、複数を指定しても良いし、１つも「ぼかし」を行わないという指示でも良い。以下では、氏名情報４１０と住所情報４１２に対して「ぼかし」を行う指示が、サービス利用者からあった場合について説明する。なお、ユーザ身元情報のうち、どの情報に対して「ぼかし」を行うかは、サービス利用者が全く自由に指定することが可能な場合もあるし、利用するサービスによって予め決められた制約の下で、サービス利用者が指定する場合もある。例えば、利用者の正確な年齢情報を必要とするサービスの場合には、年齢情報については、「ぼかし」をしないことが、そのサービスを利用するための条件となっており、サービス利用者は、年齢情報については、「ぼかし」を行う指示が出せない。ぼかし指示を受け付けたぼかし指示受付部１５は、そのぼかし指示を、ぼかし身元認証情報生成部１６に転送する。

次に、ぼかし身元認証情報生成部１６は、身元認証情報保管部１３から入力された身元認証情報４３と、ぼかし指示受付部１５から転送されてきたぼかし指示を元に、ぼかし身元認証情報を生成する（図３のＳ４）。以下、その処理詳細について説明する。

図１１は、ぼかし身元認証情報生成部１６の一構成例を示すブロック図である。ぼかし身元認証情報生成部１６は、身元認証情報保管部１３から転送されてくる身元認証情報４３を複数のデータ（ユーザ身元情報４１、ぼかし用情報４４、付加情報４５、デジタル署名４６）に分割するデータ分割部１６０と、中間ハッシュ値生成部１６３及び付加情報更新部１６４にぼかし指示受付部１５からの指示を示すぼかし部分指定情報を転送するぼかし部分指定部１６１と、ぼかし部分指定部１６１からのぼかし部分指示情報に基づいてユーザ身元情報４１に対してぼかし用情報４４を用いてぼかし処理を行うことによってぼかしユーザ身元情報４７を生成するデータぼかし部１６２と、ぼかし部分指定部１６１からのぼかし部分指定情報と付加情報４５とに基づいてユーザ身元情報４１に対してハッシュ計算を行って中間ハッシュ値を計算する中間ハッシュ値生成部１６３と、ぼかし部分指定部１６１からのぼかし部分指定情報に基づいて付加情報４５を中間ハッシュ値生成部１６３からの中間ハッシュ値で更新することによって更新付加情報４８を生成する付加情報更新部１６４と、デジタル署名４６、ぼかし用情報４４、更新付加情報４８及びぼかしユーザ身元情報４７を連結してぼかし身元認証情報を作成するデータ連結部１６５とからなる。

以下、身元認証情報４３とぼかし指示を入力されたときのぼかし身元認証情報生成部１６の動作について、図１２に示された主要な動作を示すフローチャートを用いて説明する。

まず、データ分割部１６０は、身元認証情報保管部１３から転送されてくる身元認証情報４３を受け付けて、複数のデータに分割する。具体的には、図１０で示されるようなユーザ身元情報４１と、ぼかし用情報４４と、付加情報４５と、デジタル署名４６の４つに分割する。そして、ユーザ身元情報４１をデータぼかし部１６２及び中間ハッシュ値生成部１６３に転送し、ぼかし用情報４４をデータぼかし部１６２及びデータ連結部１６５に転送し、付加情報４５を中間ハッシュ値生成部１６３及び付加情報更新部１６４に転送し、デジタル署名４６をデータ連結部１６５に転送する。

次に、ぼかし部分指定部１６１は、ぼかし指示を受け付けて、その指示を示すぼかし部分指定情報をデータぼかし部１６２及び中間ハッシュ値生成部１６３及び付加情報更新部１６４に転送する。具体的には、ぼかし部分指定情報は、氏名情報と住所情報に対してぼかし処理を行うことを示す情報であり、例えば、氏名情報、住所情報のインデックス値である「１」「３」からなる情報である。

次に、データぼかし部１６２は、データ分割部１６０から転送されてくるユーザ身元情報４１に対して、ぼかし部分指定部１６１から転送されてくるぼかし部分指定情報に従って、ぼかし用情報４４を用いて、情報の「ぼかし」を行い、ぼかしユーザ身元情報を生成する（図１２のＳ２０）。具体的には、「氏名情報と住所情報に対してぼかしを行う」というぼかし部分指定情報に従って、ユーザ身元情報４１の氏名情報４１０をぼかし用情報４４のぼかし氏名情報４４０に置き換えるとともに、ユーザ身元情報４１の住所情報４１２をぼかし用情報４４のぼかし住所情報４４２に置き換える。このようにして、図１３に示すような、ぼかしユーザ身元情報４７を生成する。ここでは、氏名「山田 太郎／ＹＡＭＡＤＡ ＴＡＲＯ」は、「Ｔ．Ｙ」というイニシャル表記に情報がぼかされ、住所「大阪府門真市大字門真１００６」は、「近畿地方」と情報がぼかされたことになる。そして、データぼかし部１６２は、このようにして得られたぼかしユーザ身元情報４７をデータ連結部１６５に転送する。

次に、中間ハッシュ値生成部１６３は、ぼかし部分指定部１６１から転送されてくるぼかし部分指定情報に従って、データ分割部１６０から転送されてくるユーザ身元情報４１及び付加情報４５から中間ハッシュ値を計算する（図１２のＳ２１）。具体的には、まず、ぼかし部分指定情報「氏名情報（インデックス値「１」）と住所情報（インデックス値「３」）をぼかし処理する」より、ユーザ身元情報４１から、インデックス値「１」と「３」の情報（即ち、氏名情報４１０と住所情報４１２）を取り出し、これらを前述の変換規則に従って数値データｍ１、ｍ３に変換する。また、付加情報４５からも、インデックス値「１」と「３」の情報（即ち、乱数ｒ１とｒ３）を取り出して、以下の計算により、中間ハッシュ値ｉ１とｉ３を生成する。そして、生成した中間ハッシュ値ｉ１、ｉ３を付加情報更新部１６４に転送する。

ｉ１＝Ｈａｓｈ（ｍ１‖ｒ１）
ｉ３＝Ｈａｓｈ（ｍ３‖ｒ３）

次に、付加情報更新部１６４は、ぼかし部分指定部１６１から転送されてくるぼかし部分指定情報に従って、中間ハッシュ値生成部１６３から転送されてくる中間ハッシュ値ｉ１、ｉ３を用いて、データ分割部１６０から転送されてくる付加情報４５の更新を行う（図１２のＳ２２）。具体的には、ぼかし部分指定情報「氏名情報（インデックス値「１」）と住所情報（インデックス値「３」）をぼかし処理する」より、付加情報４５のうち、インデックス値「１」と「３」の情報（即ち、氏名情報４１０と住所情報４１２）を、それぞれ中間ハッシュ値ｉ１、ｉ３に置き換えて、付加情報の更新を行う。また、ぼかしブロックを表示するインデックス値「０」のデータ領域に、「１」「３」を記憶する。これは、中間ハッシュ値に置き換わったフィールドのインデックス値を示している。図１３に、このような付加情報更新部１６４による付加情報４５の更新によって得られる更新付加情報４８を示す。本図に示されるように、更新付加情報４８は、ぼかしブロック情報４８０、中間ハッシュ値ｉ１（４８１）、乱数ｒ２（４８２）、中間ハッシュ値ｉ３（４８３）によって構成されている。付加情報更新部１６４は、こうして更新を行った結果得られる更新付加情報４８を、データ連結部１６５に転送する。

次に、データ連結部１６５は、データぼかし部１６２から転送されてくるぼかしユーザ身元情報４７、データ分割部１６０から転送されてくるぼかし用情報４４及びデジタル署名４６並びに付加情報更新部１６４から転送されてくる更新付加情報４８を結合して、ぼかし身元認証情報を生成する（図１２のＳ２３）。図１３に、ぼかし身元認証情報４９を示す。こうして作成された、ぼかし身元認証情報４９を、サービス利用要求データ送付部１７に転送し、ぼかし身元認証情報生成部１６の処理は完了する。

最後に、図４に示されるように、サービス利用要求データ送付部１７は、ぼかし身元認証情報４９で生成されたぼかし身元認証情報４９に、サービスＡの利用を要求する旨のメッセージを付加したデータをサービス利用要求データとして、サービス提供装置３ａに送付する（図３のＳ５）。

次に、サービス利用要求データを受け取った後の、サービス提供装置３ａ（３ｂ、３ｃ）の内部動作について説明する。図１４は、サービス提供装置３ａ（３ｂ、３ｃ）の一構成例を示すブロック図である。サービス提供装置３ａ（３ｂ、３ｃ）は、サービス利用装置１から受信したサービス利用要求データからぼかし身元認証情報４９を取り出して分割するデータ分割部３０と、デジタル署名を検証するための署名検証鍵を記憶する署名検証鍵記憶部３１と、署名検証鍵を用いてデジタル署名の検証を行うデジタル署名検証部３２と、ユーザ身元情報の確認を行うユーザ身元情報確認部３３と、ユーザ身元情報を保管するユーザ身元情報保管部３４と、デジタル署名の検証結果及びユーザ身元情報の確認結果を元にサービス利用者へのサービスデータ送付の許可を行うサービスデータ送付許可部３５と、サービス利用者に送付するサービスデータを保管するサービスデータ保管部３６と、サービス利用者にサービスデータを送付するサービスデータ送付部３７とからなる。以下、サービス提供装置３ａ（３ｂ、３ｃ）の動作詳細について説明する。

まず、データ分割部３０は、サービス利用装置１から受信したサービス利用要求データに含まれるぼかし身元認証情報４９を取り出し、さらに、ぼかし身元認証情報４９を、ぼかしユーザ身元情報４７、ぼかし用情報４４、更新付加情報４８、及びデジタル署名４６に分割する。そして、ぼかしユーザ身元情報４７をユーザ身元情報確認部３３及びデジタル署名検証部３２に転送し、ぼかし用情報４４、更新付加情報４８及びデジタル署名４６をデジタル署名検証部３２に転送する。

次に、署名検証鍵記憶部３１は、記憶している署名検証鍵をデジタル署名検証部３２に転送する。

そして、デジタル署名検証部３２は、署名検証鍵記憶部３１から転送されてくる署名検証鍵を用いて、ぼかしユーザ身元情報４７、ぼかし用情報４４及び更新付加情報４８に基づいてデジタル署名４６の検証を行う（図３のＳ６）。その詳細を以下で説明する。

図１５は、デジタル署名検証部３２の内部構成例を示すブロック図である。デジタル署名検証部３２は、更新付加情報４８から中間ハッシュ値と乱数とを取り出す中間ハッシュ値抽出部３２０と、ぼかしユーザ身元情報４７と乱数とから中間ハッシュ値を計算する中間ハッシュ値生成部３２１と、中間ハッシュ値とぼかしユーザ身元情報４７とぼかし用情報４４と更新付加情報４８とから最終ハッシュ値を計算する最終ハッシュ値生成部３２２と、署名検証鍵を用いて最終ハッシュ値とデジタル署名４６の正当性を検証する署名チェック部３２３とからなる。

以下、デジタル署名検証部３２の内部動作について、その主要な動作フローを示す図１６を用いて詳細に説明する。

まず、中間ハッシュ値抽出部３２０は、更新付加情報４８のぼかしブロック情報４８０を参照してブロック１及び３がぼかし処理をされていることを知る。そして、インデックス値が１と３の領域から、中間ハッシュ値ｉ１（４８１）及びｉ３（４８３）を取り出して、最終ハッシュ値生成部３２２に転送する（図１６のＳ３０）。

次に、中間ハッシュ値生成部３２１は、更新付加情報４８のぼかしブロック情報４８０を参照して、ブロック２がぼかし処理をされていないことを知る。そして、インデックス値が２の領域から、乱数ｒ２（４８２）を読み出す。また、ぼかしユーザ身元情報４７から、インデックス値が２の年齢情報４７１を取得して、所定の変換ルールに基づいて数値データｍ２に変換する。そして、下記の計算式により中間ハッシュ値１２を計算し、最終ハッシュ値生成部３２２に転送する（図１６のＳ３１）。

ｉ２＝Ｈａｓｈ（ｍ２‖ｒ２）

次に、最終ハッシュ値生成部３２２は、更新付加情報４８のぼかしブロック情報４８０を参照して、ブロック１と３がぼかし処理をされていることを知る。そして、中間ハッシュ値抽出部３２０から、中間ハッシュ値ｉ１（４８１）及びｉ３（４８３）を受け取る。一方、ぼかしユーザ身元情報４７のインデックス値が１と３の領域からぼかし氏名情報４７０及びぼかし住所情報４７２を取得し、それぞれを所定の変換ルールに基づいて数値データｂ１及びｂ３に変換する。また、ぼかし用情報４４のインデックス値が２（ぼかし処理の行われていないブロック）の領域から、ぼかし年齢情報４４１を取得し所定の変換ルールに従って数値データｂ２に変換する。さらに、中間ハッシュ値生成部３２１から中間ハッシュ値ｉ２を受け取る。

そして、最終ハッシュ値生成部３２２は、このようにして得られた、ｉ１、ｉ３、ｂ１、ｂ２、ｂ３、及び、ｉ２を用いて、以下の計算式により、最終ハッシュ値ｈ１、ｈ２、ｈ３を計算して、署名チェック部３２３に転送する（図１６のＳ３２）。

ｈ１＝Ｈａｓｈ（ｉ１‖ｂ１）
ｈ２＝Ｈａｓｈ（ｉ２‖ｂ２）
ｈ３＝Ｈａｓｈ（ｉ３‖ｂ３）

次に、署名チェック部３２３は、署名検証鍵Ｋｐを用いて、最終ハッシュ値ｈ１、ｈ２、ｈ３及びデジタル署名Ｓの正当性を以下のようにしてチェックし、検証結果Ｒｅｓｕｌｔを、図１４に示されるサービスデータ送付許可部３５に転送する（図１６のＳ３３）。

Ｒｅｓｕｌｔ＝Ｖｅｒｉｆｙ（Ｋｐ，ｈ１‖ｈ２‖ｈ３，Ｓ）
ここで、Ｒｅｓｕｌｔ＝Ｖｅｒｉｆｙ（Ｋｐ，ｄ，Ｓ）は、検証鍵Ｋｐを用いて、デジタル署名Ｓがデータｄの正当なデジタル署名であるかを検証し、その結果（ＯＫまたはＮＧ）をＲｅｓｕｌｔとすることを意味する。

デジタル署名検証部３２の処理の後、ユーザ身元情報確認部３３は、ぼかしユーザ身元情報４７の内容を確認する。具体的には、例えば２０歳以上限定のサービスである場合に、年齢情報４７１を確認して２０歳以上であることをチェックする、などである。そのチェックの結果、問題がなければ、ぼかしユーザ身元情報４７を、ユーザ身元情報保管部３４に転送する。もしも問題が見つかった場合には、以降の処理は行わず、サービス利用者に対して、サービス提供を拒否する旨の通知を行う。

次に、ユーザ身元情報保管部３４は、ぼかしユーザ身元情報４７をサービス利用者のリストに追加して、ユーザのデータ登録を行う。

サービスデータ送付許可部３５は、検証結果ＲｅｓｕｌｔがＯＫであり、かつ、ユーザ身元情報保管部３４が、正常にユーザ登録を完了したことを確認した後に、サービスデータ送付許可信号をサービスデータ送付部３７に送付する。

サービスデータ送付部３７は、サービスデータ保管部３６に保管されたサービスデータをサービス利用装置１に送付する（図３のＳ７）。サービスデータとしては、例えば、音楽や映画などのコンテンツや、地図などの情報が考えられる。

そして、サービス利用装置１は、サービスデータ受信部１８にて、サービス提供装置３ａ（３ｂ、３ｃ）から送付されてくるサービスデータを受信する。

（認証システムの安全性）
次に、この認証システムにおける以下の２点に関する安全性について説明する。

（１）ぼかし身元認証情報から、ぼかしを行う前のユーザ身元情報が分からないこと

（２）身元認証情報から、不正にぼかしを行って作成したぼかし身元認証情報が作成できないこと

まず、上記（１）について説明する。図１３に示すぼかし身元認証情報４９において、氏名情報と住所情報に対してぼかし処理が行われている。ぼかし身元認証情報４９から、ぼかしを行う前の元の氏名情報と住所情報を復元するための、唯一の方法としては、更新付加情報４８に含まれる中間ハッシュ値ｉ１（４８１）及びｉ３（４８３）とから、以下の計算式を元に、氏名情報（の数値データ）ｍ１、及び住所情報（の数値データ）ｍ３を逆算するしかない。

ｉ１＝Ｈａｓｈ（ｍ１‖ｒ１）
ｉ３＝Ｈａｓｈ（ｍ３‖ｒ３）

ここで、ｒ１、ｒ３は、乱数データであり、ぼかし身元認証情報４９から元のユーザ身元情報を求めようとする解析者には知りえないデータである。Ｈａｓｈは、ハッシュ関数であるから、ハッシュ値ｉ１から逆算により、ｍ１‖ｒ１を計算することはできない。よって、解析者は、ｍ１‖ｒ１を予想して、その予想値に対してＨａｓｈの計算を行って得られた結果がｉ１と一致するかどうかを検査する、という試行を何度も繰り返すことになる。従って、ｍ１‖ｒ１のデータサイズが十分に大きければ、正しいｍ１‖ｒ１を求めるために必要になる上記試行回数は膨大になり、計算量の上で正しいｍ１‖ｒ１を求めることは実質的には、不可能である。また、氏名情報ｍ１については、ぼかし氏名情報「Ｔ．Ｙ」から、ある程度候補が絞り込める（イニシャルＴ．Ｙの氏名に限定される）ので上記試行回数は削減されるが、乱数ｒ１は全くランダムな値であるため、ｍ１のような絞込みは行えない。従って、乱数が十分なデータ長（例えば、６４ビット以上）を有していれば、たとえｍ１については、候補の絞込みが行えたとしても、安全性上問題は生じない。

次に、上記（２）の安全性について説明する。上記実施の形態においては、サービス利用者は、サービス利用装置１に、氏名情報４１０と住所情報４１２に対して、ぼかし処理を指示して、サービス利用装置１は、ぼかし処理を行った。デジタル署名Ｓは、認証装置２によって以下のように生成される。

１．身元情報ｍ１、ｍ２、ｍ３に対して適切なぼかし用情報ｂ１、ｂ２、ｂ３を生成。

２．乱数ｒ１、ｒ２、ｒ３を生成して、以下のｉ１、ｉ２、ｉ３を計算。

ｉ１＝Ｈａｓｈ（ｍ１‖ｒ１）
ｉ２＝Ｈａｓｈ（ｍ２‖ｒ２）
ｉ３＝Ｈａｓｈ（ｍ３‖ｒ３）

３．以下の式により、ｈ１、ｈ２、ｈ３を計算。

ｈ１＝Ｈａｓｈ（ｉ１‖ｂ１）
ｈ２＝Ｈａｓｈ（ｉ２‖ｂ２）
ｈ３＝Ｈａｓｈ（ｉ３‖ｂ３）

４．ｈ１‖ｈ２‖ｈ３に対して、署名鍵を用いてデジタル署名Ｓを生成。

もし、ぼかし処理を行う際に、認証装置２が定めたぼかし用情報ｂ１、ｂ２、ｂ３以外の情報でぼかし処理を行った場合、署名検証処理において、最終ハッシュ値計算で用いる、ｂ１、ｂ２、ｂ３が、署名生成時とは異なる値ｂ１’、ｂ２’、ｂ３’として計算されるため、ｈ１、ｈ２、ｈ３とは異なる最終ハッシュ値ｈ１’、ｈ２’、ｈ３’が計算される。従って、ｂ１、ｂ２、ｂ３のどれかひとつでも違う値になると、署名検証は、ｈ１‖ｈ２‖ｈ３とは異なる値に対して行われるために、署名検証は不合格になる。

以上のようにして、サービス利用装置１は、身元認証情報（本実施の形態では、身分証明書）に記載している氏名「山田太郎／ＹＡＭＡＤＡ ＴＡＲＯ」をイニシャル表記の「Ｔ．Ｙ」に、住所「大阪府門真市大字門真１００６」を「近畿地方」に置き換えることで、情報的に「ぼかし」を行った上で、サービス提供装置３ａに送付することができる。

本実施の形態では、身元認証情報に対して「ぼかし」を行うとき、いちいち認証装置２に身元認証情報の再発行を要求することはなく、身元認証情報の「ぼかし」を行う際には、認証装置２の処理負荷はかからない。また、サービス提供装置３ａは、その「ぼかし」が行われた身元認証情報（ぼかし身元認証情報）が、元の正しい身元認証情報から正しく「ぼかし」が行われたことを、署名検証により確認することができる。即ち、身元認証情報を認証局の助けを必要とせずにユーザ側でぼかし処理が行える認証システムが実現できている。

更に、例えば、認証装置が署名とともに署名を施した時刻を付与することにより、「２００３年１２月３日に、２４歳であることが認証局（認証装置）によって認証された」ということを身元認証情報により保証し、その後、利用者側にて、「２００３年１２月３日に、“２０歳代”であることが認証局（認証装置）によって認証された」とぼかしてサービス提供者に提示するような機能も、本発明の認証システムでは実現可能である。一方、ぼかしを行うたびに認証装置２に身元認証情報を再発行を要求する構成では、この機能は実現し得ない。なぜなら、認証装置は再発行の時に、再発行時の現在時刻を付与するので、例えば、再発行により「２００５年３月３１日に、“２０歳代”であることが認証局によって認証された」ということを証明する身元認証情報になってしまい、２００３年１２月３日に認証されたという情報は損なわれてしまうからである。これは、認証された内容とともに、認証された時刻も重要となるようなアプリケーションにおいては問題となる。

なお、本実施の形態では、ユーザなどの身元を示す文字情報を対象としているが、これは、数値化が可能な情報であれば何でもよく、例えば、画像情報、音声情報であってもよい。

また、一方向性関数はハッシュ関数に限定されるものはなく、さらに、用いるハッシュ方式、デジタル署名方式は、特定の方式に限定されるものではない。

また、本実施の形態では、ユーザ身元情報として、氏名情報、年齢情報、住所情報の３つとしているが、本発明は、この種類、この個数に限定されるものではない。さらに、認証システムが対象とするデータも、ユーザ身元情報に限定されるものではない。

また、本実施の形態では、認証装置が、ユーザから提出されるユーザ身元情報からぼかし用情報を生成しているが、このぼかし用情報はユーザが作成してユーザ身元情報とともに提出するようにしてもよい。この場合、認証装置がユーザが提出したぼかし用情報が、ユーザ身元情報の内容を正しくぼかしたものになっているかを確認するようにして、正しいと判断される場合に、身元認証情報を発行するようにしてもよい。

また、本実施の形態では、ぼかし用情報は、ユーザ身元情報の内容を曖昧化したものとして生成したが、これに限られるものでなく、両者が互いに論理的に矛盾しない内容のもの（あるいは、ユーザ身元情報の内容を概念的に包含する関係にある）としてもよい。例えば、ユーザ身元情報として「りんごが好きである」とし、ぼかし用情報として「みかんが好きである」とした場合に、両者は論理的には矛盾していない。その場合には、サービス提供装置３ａ〜３ｃは、サービス利用装置１から送られてくるぼかし認証情報に含まれるぼかし情報が対応する証明情報と論理的に矛盾しないことを確認すればよい。具体的には、証明情報と論理的に矛盾しないぼかし情報の一覧を保持しておき、その一覧にあるぼかし情報を受け取った場合に、証明情報とぼかし情報とが論理的に矛盾しない（あるいは、ぼかし情報が照明情報の内容を概念的に包含する関係にある）と判断すればよい。それによって、サービス提供装置３ａ〜３ｃは、例えば、サービス利用装置１から送られてきたぼかし情報が「みかんが好きである」場合に、「りんごが好きである」という証明情報と論理的に矛盾しないと分かるので、そのぼかし情報が正当であると判断することができる。

なお、本実施の形態では、例えば、氏名情報に対して１つのぼかし用情報が対応しているが、これは、複数のぼかし用情報が存在しており、ユーザが、ぼかし処理を行う際に上記複数のぼかし用情報から好きなものを１つ選んで、ぼかし処理を行うことも可能である。以下その方法について説明する。実施の形態では、ユーザ身元情報が氏名、年齢、住所の３つの身元情報からなる場合の例で説明したが、ここでは簡単のために、ユーザ身元情報が、１つの身元情報からなる場合で説明する。この場合、実施の形態におけるデジタル署名の生成、ぼかし処理、デジタル署名検証の処理は以下のように要約できる。

（デジタル署名生成）
１．身元情報ｍに対してぼかし用情報を１つ（ｂ）を定める。

２．乱数ｒを生成して、中間ハッシュ値ｉ、最終ハッシュ値ｈを以下の式により計算する。

ｉ＝Ｈａｓｈ（ｍ‖ｒ） ・・・（式１）
ｈ＝Ｈａｓｈ（ｉ‖ｂ） ・・・（式２）

３．最終ハッシュ値ｈに対して、署名生成鍵を用いて署名Ｓを生成する。

４．身元情報ｍ、ぼかし用情報ｂ、乱数ｒ、署名Ｓを身元認証情報として、ユーザに送付する。

（ぼかし処理）
１．身元情報ｍと乱数ｒとから、（式１）に従って、中間ハッシュ値ｉを計算する。

２．ぼかし身元情報ｂ、中間ハッシュ値ｉ、署名Ｓをぼかし身元認証情報として、署名検証者に送付する。

（署名検証）
１．ぼかし身元情報ｂと中間ハッシュ値ｉとから、（式２）に従って、最終ハッシュ値ｈを計算する。

２．署名検証鍵を用いて、最終ハッシュ値ｈと署名Ｓに対して署名検証を行う。

身元情報ｍに対して、ぼかし用情報が複数ある場合の署名生成、ぼかし処理、署名検証を行う場合の変形例を二つ（変形例１、変形例２）説明する。ここでは、ぼかし用情報が７個（ｂ１〜ｂ７）ある場合を例にして説明する。

（変形例１）
（署名生成）
１．身元情報ｍに対して７個のぼかし用情報ｂ１〜ｂ７を生成する。

２．８個の乱数ｒ０〜ｒ７を生成して、ハッシュ値ｈ０００〜ｈ１１１を計算する。

ｈ０００＝Ｈａｓｈ（ｍ‖ｒ０）
ｈ００１＝Ｈａｓｈ（ｂ１‖ｒ１）
ｈ０１０＝Ｈａｓｈ（ｂ２‖ｒ２）
ｈ０１１＝Ｈａｓｈ（ｂ３‖ｒ３）
ｈ１００＝Ｈａｓｈ（ｂ４‖ｒ４）
ｈ１０１＝Ｈａｓｈ（ｂ５‖ｒ５）
ｈ１１０＝Ｈａｓｈ（ｂ６‖ｒ６）
ｈ１１１＝Ｈａｓｈ（ｂ７‖ｒ７）

３．図１７に示すツリー構造に従って最終ハッシュ値ｈを計算する。このツリー構造において、ｈ＊＊（１つの「＊」が０又は１）は、
ｈ＊＊＝Ｈａｓｈ（ｈ＊＊０‖ｈ＊＊１）
に従って計算する。更に、ｈ＊は、
ｈ＊＝Ｈａｓｈ（ｈ＊０‖ｈ＊１）
に従って計算する。そして、最終ハッシュ値ｈは、
ｈ＝Ｈａｓｈ（ｈ０‖ｈ１）
により計算する。

３．最終ハッシュ値ｈに対して、署名生成鍵を用いてデジタル署名Ｓを生成する。

４．身元情報ｍ、ぼかし用情報ｂ１〜ｂ７、乱数ｒ０〜ｒ７、デジタル署名Ｓをユーザに送付する。

（ぼかし処理）
ぼかし用情報ｂ４を用いて身元情報ｍにぼかし処理を行う場合を例に説明する。

１．（署名生成）の２．と同様の手順により、最終ハッシュ値ｈを求める。

２．以下のようにして、署名検証者に送付するハッシュ値を選択する。まず、選択したぼかし用情報ｂ４のインデックス「４」を２進数「１００」に変換する。ここで、「１００」の末尾の０１を反転させて「１０１」を得て、ｈ１０１を選択する。次に「１００」の末尾を削除して「１０」を得る。ここで、「１０」の末尾の０１を反転させて「１１」を得て、ｈ１１を選択する。さらに、「１０」の末尾を削除して「１」を得る。「１」の０１を反転して「０」を得て、ｈ０を選択する。上記の手順により、ｈ１０１、ｈ１１、ｈ０が選択される。この手順は、図１８のツリーで説明できる。即ち、ｂ４に対応するハッシュ値ｈ１００からルートに至るまでのパスを考え（図の太線）、そのパスに含まれる各ノードの子ノードのうち、上記パスに含まれていない方の子ノードに割り当てられているハッシュ値を選択することになる。

３．ぼかし身元情報ｂ４、乱数ｒ４、ハッシュ値ｈ１０１、ｈ１１、ｈ０、署名Ｓをぼかし身元認証情報として、署名検証者に送付する。

（署名検証）
１．ぼかし身元情報ｂ４、乱数ｒ４、とハッシュ値ｈ１０１、ｈ１１、ｈ０とから、最終ハッシュ値ｈを計算する。具体的には、
ｈ１００＝Ｈａｓｈ（ｂ４‖ｒ４）
を計算し、
ｈ１０＝Ｈａｓｈ（ｈ１００‖ｈ１０１）
ｈ１＝Ｈａｓｈ（ｈ１０‖ｈ１１）
ｈ＝Ｈａｓｈ（ｈ０‖ｈ１）
を計算することで求められる。

２．署名検証鍵を用いて、最終ハッシュ値ｈと署名Ｓに対して署名検証を行う。

（変形例２）
（署名生成）
１．身元情報ｍに対して７個のぼかし用情報ｂ１〜ｂ７を生成する。

２．８個の乱数ｒ０〜ｒ７を生成して、ハッシュ値ｈ０〜ｈ７を計算する。

ｈ０＝Ｈａｓｈ（ｍ‖ｒ０）
ｈ１＝Ｈａｓｈ（ｂ１‖ｒ１）
ｈ２＝Ｈａｓｈ（ｂ２‖ｒ２）
ｈ３＝Ｈａｓｈ（ｂ３‖ｒ３）
ｈ４＝Ｈａｓｈ（ｂ４‖ｒ４）
ｈ５＝Ｈａｓｈ（ｂ５‖ｒ５）
ｈ６＝Ｈａｓｈ（ｂ６‖ｒ６）
ｈ７＝Ｈａｓｈ（ｂ７‖ｒ７）
３．最終ハッシュ値ｈを、
ｈ＝Ｈａｓｈ（ｈ０‖ｈ１‖ｈ２‖・・・‖ｈ７）
により計算する。

３．最終ハッシュ値ｈに対して、署名生成鍵を用いてデジタル署名Ｓを生成する。

４．身元情報ｍ、ぼかし用情報ｂ１〜ｂ７、乱数ｒ０〜ｒ７、デジタル署名Ｓをユーザに送付する。

（ぼかし処理）
ぼかし用情報ｂ４を用いて身元情報ｍにぼかし処理を行う場合を例に説明する。

１．（署名生成）の２．と同様の手順により、最終ハッシュ値ｈを求める。

３．ぼかし身元情報ｂ４、乱数ｒ４、及び、ぼかし用情報ｂ４に対応するハッシュ値ｈ４を除いたハッシュ値ｈ０、ｈ１、ｈ２、ｈ３、ｈ５、ｈ６、ｈ７、署名Ｓをぼかし身元認証情報として、署名検証者に送付する。

（署名検証）
１．ぼかし身元情報ｂ４、乱数ｒ４、とハッシュ値ｈ０、ｈ１、ｈ２、ｈ３、ｈ５、ｈ６、ｈ７とから、最終ハッシュ値ｈを計算する。具体的には、
ｈ４＝Ｈａｓｈ（ｂ４‖ｒ４）
を計算し、
ｈ＝Ｈａｓｈ（ｈ０‖ｈ１‖ｈ２‖・・・‖ｈ７）
を計算することで求められる。

２．署名検証鍵を用いて、最終ハッシュ値ｈと署名Ｓに対して署名検証を行う。

以上のどちらの変形例においても、ひとつの身元情報に対して複数のぼかし用情報が設定可能な、認証システムが実現できる。なお、上記２つの変形例において、ぼかし用情報は必ずしも複数（２個以上）である必要はなく、ぼかし用情報が１つでもよい。また、本変形例では、ユーザ身元情報が１つの場合について説明しているが、これは複数のユーザ身元情報からなる場合にも自明な拡張により適用可能である。

また、本発明のような電子ぼかし機能は、従来技術で述べた「電子墨塗り技術」を改良した以下の方法でも実現可能である。

（署名生成）
１．身元情報ｂ０からぼかし用情報ｂ１〜ｂ７を生成。

２．上記ｂ０〜ｂ７から、電子墨塗り技術を用いて、電子署名Ｓを作成。

３．ｂ０〜ｂ７及びＳをユーザに送付する。

（ぼかし処理）
１．ぼかし処理に使用するぼかし用情報をｂ１〜ｂ７から一つ選択する（以下では、ｂ３を選んだものとする）。

２．ｂ０〜ｂ７のうち、ｂ３以外の情報を「墨塗り」した墨塗りデータを作成し、これをぼかし認証情報として、署名検証者に送付する。

（署名検証）
１．ぼかし認証情報を「ｂ３以外のデータが墨塗りされた墨塗りデータ」として署名検証を行う。

なお、本発明を上記実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。

（１）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。上記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。上記マイクロプロセッサが上記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

（２）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。上記ＲＡＭには、コンピュータプログラムが記憶されている。上記マイクロプロセッサが、上記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

（３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。上記ＩＣカードまたは上記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。上記ＩＣカードまたは上記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記ＩＣカードまたは上記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（４）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、上記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本発明は、上記コンピュータプログラムまたは上記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている上記デジタル信号であるとしてもよい。

また、本発明は、上記コンピュータプログラムまたは上記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、上記メモリは、上記コンピュータプログラムを記憶しており、上記マイクロプロセッサは、上記コンピュータプログラムにしたがって動作するとしてもよい。

また、上記プログラムまたは上記デジタル信号を上記記録媒体に記録して移送することにより、または上記プログラムまたは上記デジタル信号を上記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

（５）上記実施の形態及び上記変形例における構成要素を任意に組み合わせてもよい。

本発明にかかる認証システムは、個人情報等の証明書データを認証するシステムとして、特に、認証装置によって生成された認証データの内容の一部を、それを受け取った利用者が認証装置の助けなしに、情報的にぼかし処理をすることが可能であるという特徴を有するので、利用者の匿名性が可能な利用者認証システムとして有用である。

本発明は、身分証明書などの第三者機関によって認証された証明書データに対して、証明書の保持者のプライバシーを確保しつつ、正確に本人認証を行う認証システムに関する。

近年、一般家庭へのインターネットの普及に伴い、ネットワークを介した商品の販売や、音楽や映像といったデジタルコンテンツの配信といった各種サービスの提供が盛んになってきた。そのようなサービスの提供の際に、サービス提供側は、そのサービス提供のために必要な、利用者の個人情報を利用者から入手する必要がある。例えば、ネットワークを介した商品販売であれば、商品を配送するために利用者の氏名、住所、電話番号を入手する必要があり、商品代金の決済のために、クレジットカード番号の入手が必要となる場合もある。更に、商品の購買動向を調査して今後の販促活動に活用するために、利用者の年齢や職業なども入手する場合もある。また、利用者から個人情報を入手する際には、サービス提供者側は、その入手した個人情報が正しい内容であること、即ち、利用者が、自分の正確な個人情報を虚偽なく申告していることを確認したいという要求がある。一方、利用者側は、サービス提供側に、必要以上の個人情報を提供したくないという要求もある。このようなサービス提供者側、利用者側のどちらの要求も満足するためには、利用者側が提供する個人情報の正当性を保証しつつ、サービス提供者側には必要以上の個人情報が提供しないで済むような仕組みの実現が望まれる。

このような仕組みを実現するための従来の一方式として、「電子墨塗り方式」と呼ばれる方式が開示されている（特許文献１参照）。図１は、電子墨塗り方式を用いた認証システムのブロック図である。この認証システムは、メッセージに対してその内容を認証してデジタル署名の付与を行い、署名付きメッセージの生成を行う署名生成者９０と、その署名付きメッセージを受け取って、必要に応じて「電子墨塗り」を施して署名検証者９２に送付する電子墨塗り者９１と、電子墨塗り者９１から受け取った「電子墨塗り」が施された署名付きメッセージの正当性を検証する署名検証者９２とからなる。

この認証システムにおいて、メッセージに署名が付加されて、電子墨塗りが行われ、署名の検証が行われる一連の手順は、次の通りである。まず、署名生成者９０は、幾つかのデータブロックからなるメッセージＭに対するデジタル署名Ｓを生成する。このとき、メッセージＭが幾つかのデータブロックからなるというのは、例えば、メッセージＭが、「犯人山田太郎は、犯行を認めた」という文章であるとき、このメッセージが４つのデータブロック「犯人」、「山田太郎」、「犯行を」、「認めた」に分割可能であるようなことを意味する。次に、そのメッセージＭとデジタル署名Ｓを受け取った電子墨塗り者９１は、必要であればデジタル署名を検証した後、メッセージＭについて、４つのデータブロックのうち幾つかを「墨塗り」する。例えば、メッセージＭが上記例で挙げた４つのデータブロックからなる文章であった場合、電子墨塗り者９１は、「山田太郎」に対して電子墨塗りを行ったとする。このとき、メッセージＭは「犯人●●●●は、犯行を認めた」というように「山田太郎」の部分を隠す（墨塗りする）ことになる。こうして作られた墨塗り後のメッセージＭｓと、元のメッセージＭに付加されていた署名Ｓとが署名検証者９２に送付される。署名検証者９２は、墨塗りされたメッセージＭｓと署名Ｓとの間に一定の関係が成り立つことを検証することによって、墨塗りされたメッセージＭｓの正当性を検証する。このとき、署名検証者９２は、メッセージＭｓが、元のメッセージＭの一部を墨塗りして作られたことを確認することができるが、墨塗りされたデータブロック（この例では、「山田太郎」）が何であったかは、知ることができない。このように、電子墨塗り方式では、オリジナルのメッセージの一部を秘匿しつつ、メッセージの正当性が認証可能であり、この例のように、メッセージの一部を秘匿することで、個人のプライバシー（犯人の名前）を保護しつつ、その内容（犯人が犯行を認めたこと）の正当性を確認できるといえる。

また、例えば、「名前＝山田太郎」、「年齢＝２３歳」、「住所＝大阪府門真市」という３つのデータブロックからなるメッセージに対して「電子墨塗り方式」を用いることで、名前と住所のみが必要であり、年齢は必要がない場合、メッセージの「年齢＝２３歳」のブロックを墨塗りした上で、年齢以外の項目（氏名、住所）についてはデジタル署名を検証することによって正しいことを確認することができる。
特開２００５−５１７３４号公報

しかしながら、上記従来技術においては、次に述べるようなユースケースにおいて、個人のプライバシーの保護と内容の正当性確認を両立させることができないという問題がある。

例えば、名前と、「年齢が２０歳以上であること」だけが確認できればよい場合、上記従来技術においては、データブロックの正確な年齢（２３歳）を提示する、もしくは、墨塗りをして年齢をまったく提示しない、のどちらかしか選択できず、正確な年齢を提示せずに、「２０歳以上であること」だけを提示することは不可能である。そのために、「２０歳以上であること」を提示するために、正確な年齢（２３歳）を提示することになり、つまり、必要以上の個人情報を提示することになり、個人のプライバシーが十分に保護されない。

そこで、本発明は、上記の課題を解決するもので、上記のようなユースケースにおいても、個人のプライバシーを十分に保護でき、かつ、サービス提供者側で提示された個人情報の正当性が確認可能な認証システムを提供することを目的とする。

上記目的を達成するために、本発明は、証明したい情報である証明情報をぼかして得られるぼかし情報を提示する端末装置と、前記端末装置によって提示されたぼかし情報の正当性を検証する検証装置と、前記端末装置による正当なぼかし情報の発行を支援する認証装置とからなる認証システムであって、前記認証装置は、少なくも１つの証明情報と前記証明情報に対応する複数のぼかし情報とを保持する情報保持手段と、前記情報保持手段に保持された証明情報とぼかし情報とを含む情報に対してデジタル署名を施すことによってデジタル署名を生成し、生成したデジタル署名と前記証明情報と前記ぼかし情報とを含む情報を認証情報として生成する認証情報生成手段と、生成された認証情報を前記端末装置に送信する第１の送信手段とを備え、前記端末装置は、前記認証装置から送信されてくる認証情報を受信する第１の受信手段と、ユーザからの指示に基づいて、前記受信手段で受信された認証情報に含まれる複数のぼかし情報の中から、少なくとも１つのぼかし情報を選択する旨の指示を受け付けるぼかし指示受付手段と、前記ぼかし指示受付手段によって受け付けられた指示によって選択されるぼかし情報と前記指示を示す指示情報と前記デジタル署名とを含む情報をぼかし認証情報として生成するぼかし認証情報生成手段と、生成されたぼかし認証情報を前記検証装置に送信する第２の送信手段とを備え、前記検証装置は、前記端末装置から送信されてくるぼかし認証情報を受信する第２の受信手段と、前記受信手段で受信されたぼかし認証情報に含まれるデジタル署名に基づいて、前記ぼかし認証情報に含まれる指示情報が示す、前記ぼかし認証情報に含まれるぼかし情報の正当性を検証する署名検証手段とを備えることを特徴とする。

これによって、認証装置において、複数の正当なぼかし情報が予め準備され、端末装置において、ユーザが所望するぼかし情報で証明情報が置き換えられて検証装置に送信され、検証装置において、ぼかし情報の正当性が検証される。つまり、ユーザは、所望の証明情報をぼかし情報に置き換えて提示することができるとともに、ぼかし情報を受け取った検証装置は、そのぼかし情報が認証装置によって正当に発行されたものであることを確認することができる。

なお、本発明は、このような認証システムとして実現できるだけでなく、その認証システムを構成する認証装置単体、端末装置単体、検証装置単体として実現したり、それら認証装置、端末装置、検証装置で実行されるプログラムとして実現したり、そのプログラムが記録されたコンピュータ読み取り可能なＣＤ−ＲＯＭ等の記録媒体として実現することもできる。

本発明の認証システムによれば、ユーザの身元情報を情報的にぼかした内容に変更ができ、かつ、ぼかした内容の正当性をデジタル署名によって確認可能な認証システムが実現されるという効果がある。

つまり、必要以上に個人情報をさらすことなく、個人情報の正当性を確認できるので、証明すべき必要最低限の情報だけを伝達することができる認証システムが実現される。

以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。

（認証システムの概要）
図２は、本発明の実施の形態における認証システムの一構成例を示すシステム構成図である。この認証システムは、必要以上に個人情報をさらすことなく、個人情報の正当性を確認できるとともに、証明すべき必要最低限の情報だけを伝達することができる認証システムであり、インターネット等の通信網で接続されたサービス利用装置１、認証装置２及びサービス提供装置３ａ〜３ｃから構成される。サービス利用装置１は、証明したい情報である証明情報をぼかして得られるぼかし情報（ここでは、証明情報の内容を曖昧にした内容を示す情報）を提示する端末装置の一例であり、サービス提供装置３ａ〜３ｃは、サービス利用装置１によって提示されたぼかし情報の正当性を検証する検証装置の一例であり、認証装置２は、サービス利用装置１による正当なぼかし情報の発行を支援する認証装置の一例である。

本実施の形態では、サービス利用者は、サービス利用装置１を用いて、サービス提供者がサービス提供装置３ａ〜３ｃによって提供する各種のサービスを利用する。サービス提供装置３ａ〜３ｃは、サービス利用者がサービス利用をする際に、サービス提供のために必要な利用者の個人情報の提示を要求する。このとき、サービス提供装置３ａ〜３ｃは、一部の個人情報については、生の情報ではなく、曖昧化（抽象化）された情報の提示を許諾している。たとえば、氏名と住所については、氏名のイニシャルだけ、住所の地方名（「近畿地方」など）の提示を許諾している。

サービス利用装置１は、認証機関である認証装置２により発行された身分証明書を保持しており、上記個人情報の提示要求に対して、この身分証明書を提示する。このとき、サービス利用装置１は、サービス提供装置３ａ〜３ｃが要求する個人情報の内容に応じて、上記身分証明書に対して情報のぼかし処理を行った身分証明書をサービス提供装置３ａ〜３ｃに提示する。例えば、「氏名」についてはイニシャルだけ、「住所」については地方名だけを提示する。

図３は、この認証システムにおける通信のやりとりを示す通信シーケンス図である。

まず、サービス利用装置１は、認証装置２に対して、身元認証情報（ここでは、身分証明書）の発行を依頼するために、その旨を示す身元認証情報発行依頼データを送信する（Ｓ１）。

身元認証情報発行依頼データを受信した認証装置２は、その身元認証情報発行依頼データに基づいて、複数の身元情報とぼかし身元情報との対を含む身元認証情報を生成し（Ｓ２）、生成した身元認証情報をサービス利用装置１に返信する（Ｓ３）。

身元認証情報を受信したサービス利用装置１は、その身元認証情報に対してユーザの指示に従った変更（一部の項目をぼかす処理）をすることで、身元認証情報に含まれる所望の身元情報をぼかし身元情報に置換したぼかし身元認証情報（ここでは、ぼかした身分証明書）を生成し（Ｓ４）、生成したぼかし身元認証情報を含むサービス利用要求データをサービス提供装置３ａ〜３ｃに送信する（Ｓ５）。

サービス利用要求データを受信したサービス提供装置３ａ〜３ｃは、そのサービス利用要求データに含まれるぼかし身元情報を検証し（Ｓ６）、正当性を確認できた場合に、要求されたサービスデータをサービス利用装置１に提供する（Ｓ７）。

以下では、この認証システムにおけるサービス利用装置１、認証装置２、サービス提供装置３ａ〜３ｃの動作について、「システムセットアップ」、「身分証明書発行手続き」（図３におけるＳ１〜Ｓ３）、「サービス利用手続き」（図３におけるＳ４〜Ｓ７）の手続きごとに説明する。

（システムセットアップ）
認証装置２は、認証システムの立ち上げ時に、デジタル署名の署名生成鍵を作成し、認証装置２内に秘密に保持する。また、その署名生成鍵を用いて生成したデジタル署名を検証するための署名検証鍵も同時に作成し、サービス提供装置３ａ〜３ｃに配布し、これら装置内に保持させる。ここで、デジタル署名としては、公開鍵暗号方式を用いたデジタル署名法を用いるものとする。公開鍵暗号方式を用いたデジタル署名法は、公知の技術であるため、詳細についてここでは説明しない。

（身分証明書発行手続き）
「身分証明書発行手続き」は、サービス利用者が、この認証システムを最初に利用する時に行う。この手続きにより、サービス利用者は、各種サービスを利用する際に必要となる身分証明書を入手しておく。以下、身分証明書発行手続きの詳細について説明する。

図４は、サービス利用者が、「身分証明書発行手続き」及び「サービス利用手続き」を実行するために使用するサービス利用装置１の一構成例を示すブロック図である。

サービス利用装置１は、サービス利用者が利用するパーソナルコンピュータ等であり、サービス利用者の身元情報（ユーザ身元情報）を記憶するユーザ身元情報記憶部１０と、そのユーザ身元情報から身元認証情報発行依頼データを作成して認証装置２に送付する身元認証情報発行依頼データ送付部１１と、認証装置２から送付される身元認証情報を受信する身元認証情報受信部１２と、受信した身元認証情報を保管する身元認証情報保管部１３と、保管している身元認証情報をサービス利用者が見える形で表示する身元認証情報表示部１４と、サービス利用者から身元認証情報に対するぼかし処理に関する指示を受け付けるぼかし指示受付部１５と、サービス利用者の指示に基づいて、身元認証情報に対してぼかし処理を行ってぼかし身元認証情報を作成するぼかし身元認証情報生成部１６と、作成されたぼかし身元認証情報にサービス利用を要求する旨の情報を付加してサービス提供装置３ａ〜３ｃのいずれかに送付するサービス利用要求データ送付部１７と、サービス提供装置３ａ〜３ｃのいずれかから提供されるサービスデータを受信するサービスデータ受信部１８とからなる。

サービス利用者が認証機関に対して自身の身元認証情報を発行してほしい旨の依頼をサービス利用装置１に指示すると、サービス利用装置１は、以下の処理を行う。まず、ユーザ身元情報記憶部１０は、記憶しているユーザ身元情報を身元認証情報発行依頼データ送付部１１に転送する。ここで、ユーザ身元情報とは、サービス利用者の個人情報のことである。ユーザ身元情報の例を、図５（ａ）に示す。図５（ａ）において、ユーザ身元情報４１は、サービス利用者の氏名として漢字、ローマ字表記で「山田 太郎／ＹＡＭＡＤＡ ＴＡＲＯ」と示す氏名情報４１０と、年齢として「２４歳」を示す年齢情報４１１と、住所として「大阪府門真市大字門真１００６」を示す住所情報４１２とからなる。

次に、身元認証情報発行依頼データ送付部１１は、ユーザ身元情報４１に、このユーザ身元情報に基づいた身元認証情報の発行を依頼する旨のメッセージ情報を付加することによって身元認証情報発行依頼データを作成し、認証装置２に送付する（図３のＳ１）。

身元認証情報発行依頼データを受信した認証装置２の動作を説明する。図６は、認証装置２の一構成例を示すブロック図である。認証装置２は、サービス利用装置１から送付される身元認証情報発行依頼データを受信する身元認証情報発行依頼データ受信部２０と、受信した身元認証情報発行依頼データに含まれるユーザ身元情報４１がサービス利用者の個人情報として正確なものであることを確認するユーザ身元情報確認部２１と、ユーザ身元情報４１に対して「ぼかし」を行うための元となるデータであるぼかし用情報を生成するぼかし用情報生成部２２と、ユーザ身元情報４１とぼかし用情報に基づいて、デジタル署名を施すことによって身元認証情報を生成する身元認証情報生成部２３と、生成された身元認証情報をサービス利用装置１に送付する身元認証情報送信部２４とからなる。

図７は、図６に示された認証装置２の主要な動作を示すフローチャートである。

身元認証情報発行依頼データ受信部２０は、身元認証情報発行依頼データを受信し、その身元認証情報発行依頼データに含まれるユーザ身元情報４１を、ユーザ身元情報確認部２１、ぼかし用情報生成部２２、及び身元認証情報生成部２３に転送する。ユーザ身元情報確認部２１は、身元認証情報発行依頼データ受信部２０から転送されてきたユーザ身元情報４１が、正しいものであることを確認する（図７のＳ１０）。確認する方法としては、例えば、認証装置２は、市役所などの公的機関が保持する住民票データベースとネットワークを介して接続されており、ユーザ身元情報４１を、住民票データベースに照会することにより、それが正しいことを確認することができる。ユーザ身元情報４１が正しいものと確認されたときに限り、以下の処理を続行する。不正なものであることが判明した場合には、以下の処理は行わず、処理を終了する。

ぼかし用情報生成部２２は、次のようにして、サービス利用装置１から受信したユーザ身元情報４１に含まれる氏名情報４１０、年齢情報４１１、住所情報４１２に対して、ぼかし用情報を生成する（図７のＳ１１）。ぼかし用情報の例を、図５（ｂ）に示す。まず、氏名情報４１０については、そのローマ字表記の姓、名それぞれの先頭一文字を取り出して、氏名のイニシャル表記を作成して、ぼかし氏名情報４４０として生成する。図５に示す例においては、氏名のローマ字表記「ＹＡＭＡＤＡ ＴＡＲＯ」の姓の先頭一文字「Ｙ」と名の先頭一文字「Ｔ」を取り出して、イニシャル表記の「Ｔ．Ｙ」をぼかし氏名情報４４０とする。

年齢情報４１１については、年齢の一の位をゼロに変えた年代表記を、ぼかし年齢情報４４１とする。図５の例では、年齢「２４歳」の一の位「４」を「０」に変えて年代表記「２０代」としたものを、ぼかし年齢情報４４１とする。

住所情報４１２については、ぼかし用情報生成部２２の内部に予め保持している、ぼかし住所情報データベースに基づいて、ぼかし住所情報４４２を生成する。図８は、ぼかし用情報生成部２２の内部に保持されているぼかし住所情報データベース４２の一例を示すものである。ぼかし住所情報データベース４２は、ぼかし住所情報規則４２０〜４２４から構成され、例えば、ぼかし住所情報規則４２０は、住所情報「東京都」は、ぼかし住所情報「関東地方」に変換されることを示す。図５に示す例においては、住所情報４３２「大阪府門真市大字門真１００６」のうち、都道府県を示す「大阪府」を抽出し、これに対して、ぼかし住所規則４２２を適用して、ぼかし住所情報４４２を「近畿地方」とする。このようにして生成されたぼかし氏名情報４４０、ぼかし年齢情報４４１、ぼかし住所情報４４２からなる、ぼかし用情報４４を生成し、身元認証情報生成部２３に転送する。

身元認証情報生成部２３は、身元認証情報発行依頼データ受信部２０から転送されてくるユーザ身元情報４１とぼかし用情報生成部２２から転送されてくるぼかし用情報４４を元に、身元認証情報を生成する（図７のＳ１２）。

図９は、身元認証情報生成部２３の一構成例を示すブロック図である。身元認証情報生成部２３は、身元認証情報発行依頼データ受信部２０から転送されてくるユーザ身元情報４１を分割するデータ分割部２３０と、乱数を生成する乱数生成部２３１と、データ分割部２３０で分割されたユーザ身元情報４１のそれぞれに乱数を付加する乱数付加部２３２と、ハッシュ計算を行なって中間ハッシュ値を生成する中間ハッシュ値生成部２３３と、生成された中間ハッシュ値にぼかし用情報生成部２２から転送されてくるぼかし用情報４４を付加するぼかし用情報付加部２３４と、ぼかし用情報付加部２３４で得られた情報に対してハッシュ計算を行なって最終ハッシュ値を生成する最終ハッシュ値生成部２３５と、デジタル署名を生成するための署名生成鍵を記憶する署名生成鍵記憶部２３６と、最終ハッシュ値生成部２３５で得られた最終ハッシュ値に対してデジタル署名を作成する署名作成部２３７と、データ分割部２３０で分割されたユーザ身元情報４１、乱数生成部２３１が生成した乱数、署名作成部２３７で作成されたデジタル署名及びぼかし用情報生成部２２から転送されてくるぼかし用情報４４からサービス利用装置１に送付する身元認証情報を作成する送付データ作成部２３８とからなる。以下、身元認証情報生成部２３の動作（図３のＳ２）を説明する。

データ分割部２３０は、入力されるユーザ身元情報４１を分割して乱数付加部２３２及び送付データ作成部２３８に転送する。具体的には、図５（ａ）において、ユーザ身元情報４１を、氏名情報４１０、年齢情報４１１、住所情報４１２の３つのデータに分割し、乱数付加部２３２及び送付データ作成部２３８に転送する。

次に、乱数生成部２３１は、３つの乱数値ｒ１、ｒ２、ｒ３を生成して、乱数付加部２３２及び送付データ作成部２３８に転送する。ここで、発生する乱数の個数は、データ分割部２３０において生成された分割データの個数と等しい。

次に、乱数付加部２３２は、上記氏名情報４１０、年齢情報４１１、住所情報４１２を、所定の規則に基づいて、それぞれ数値データｍ１、ｍ２、ｍ３に変換する。上記所定の規則としては、ＡＳＣＩＩコードから数値への変換などを用いればよい。そして、得られた数値データｍ１、ｍ２、ｍ３に対して、乱数生成部２３１で生成した乱数ｒ１、ｒ２、ｒ３をそれぞれ結合して、ｍ１‖ｒ１、ｍ２‖ｒ２、ｍ３‖ｒ３とし、中間ハッシュ値生成部２３３に転送する。ここで「‖」は、データの結合（例えば、桁連結）を表す。

次に、中間ハッシュ値生成部２３３は、乱数付加部２３２から転送されてきたデータｍ１‖ｒ１、ｍ２‖ｒ２、ｍ３‖ｒ３に対して、以下の計算を行って、中間ハッシュ値ｉ１、ｉ２、ｉ３を生成し、ぼかし用情報付加部２３４に転送する。

ｉ１＝Ｈａｓｈ（ｍ１‖ｒ１）
ｉ２＝Ｈａｓｈ（ｍ２‖ｒ２）
ｉ３＝Ｈａｓｈ（ｍ３‖ｒ３）

ここでＹ＝Ｈａｓｈ（Ｘ）は、データＸに対して所定のハッシュ計算Ｈａｓｈを行い、その結果をＹとすることを意味する。ここで用いるハッシュアルゴリズムＨａｓｈとしては、公知のハッシュ方式であればなんでもよく、例えば、ＳＨＡ１方式を使えばよい。

次に、ぼかし用情報付加部２３４は、ぼかし用情報生成部２２から転送されてくるぼかし用情報４４を、ぼかし氏名情報４４０、ぼかし年齢情報４４１、ぼかし住所情報４４２の３つのデータに分割し、更にそれぞれのデータを、所定の規則に基づいて、数値データｂ１、ｂ２、ｂ３に変換する。ここで用いる所定の規則もＡＳＣＩＩコードから数値への変換などを用いればよい。こうして生成された数値データｂ１、ｂ２、ｂ３を、中間ハッシュ値ｉ１、ｉ２、ｉ３とそれぞれ結合して、結合データｉ１‖ｂ１、ｉ２‖ｂ２、ｉ３‖ｂ３を作成し、最終ハッシュ値生成部２３５に転送する。

次に、最終ハッシュ値生成部２３５は、ぼかし用情報付加部２３４から転送されたデータｉ１‖ｂ１、ｉ２‖ｂ２、ｉ３‖ｂ３に対して、以下のハッシュ計算を行い、最終ハッシュ値ｈ１、ｈ２、ｈ３を生成し、署名作成部２３７に転送する。

ｈ１＝Ｈａｓｈ（ｉ１‖ｂ１）
ｈ２＝Ｈａｓｈ（ｉ２‖ｂ２）
ｈ３＝Ｈａｓｈ（ｉ３‖ｂ３）

署名生成鍵記憶部２３６は、認証システム立ち上げ時に作成した署名生成鍵を記憶している。最終ハッシュ値生成部２３５による処理の後、署名生成鍵記憶部２３６は、記憶している署名生成鍵を署名作成部２３７に転送する。

次に、署名作成部２３７は、署名生成鍵記憶部２３６から転送された署名生成鍵を用いて、最終ハッシュ値ｈ１、ｈ２、ｈ３を元にデジタル署名を生成する。具体的には、以下の計算により、デジタル署名Ｓを生成する。

Ｓ＝Ｓｉｇ（Ｋｓ、ｈ１‖ｈ２‖ｈ３）

ここで、Ｋｓは署名生成鍵、Ｓ＝Ｓｉｇ（Ｋ、Ｄ）は、署名生成鍵Ｋｓを用いてデータＤに基づくデジタル署名Ｓを生成することを表す。なお、デジタル署名を生成する方式は公知であるので、ここではその詳細を説明しない。上記のようにして生成したデジタル署名Ｓを、送付データ作成部２３８に転送する。

次に、送付データ作成部２３８は、ユーザ身元情報４１、乱数ｒ１、ｒ２、ｒ３、ぼかし用情報４４、及び、デジタル署名Ｓから、図１０に示すような身元認証情報４３を作成する。ここで、ユーザ身元情報４１に含まれる氏名情報４１０、年齢情報４１１、住所情報４１２には、それぞれインデックス値として「１」「２」「３」が付与される。ぼかし用情報４４に含まれるぼかし氏名情報４４０、ぼかし年齢情報４４１、ぼかし住所情報４４２にも、それぞれインデックス情報として「１」「２」「３」が付与される。また、身元認証情報４３には、ぼかしブロック情報４５０、乱数ｒ１（４５１）、乱数ｒ２（４５２）、乱数ｒ３（４５３）からなる付加情報４５と、デジタル署名Ｓ（４６）が含まれ、ぼかしブロック情報４５０、乱数ｒ１〜ｒ３（４５１〜４５３）には、それぞれインデックス値として「０」「１」「２」「３」が付与される。ここで、ぼかしブロック情報４５０とは、身元認証情報４３のうち、情報の「ぼかし」が行われている身元情報がどれかをインデックス値で表記している。なお、認証装置２で身元認証情報４３を生成した時点では、情報の「ぼかし」が行われる身元情報は無いので、ぼかしブロック情報４５０としては、「なし」を表すデータが設定されている（後述するように、ぼかしブロック情報４５０はサービス利用装置１で設定される。）。このようにして、送付データ作成部２３８は、身元認証情報４３を作成して、身元認証情報送信部２４に転送する。そして、身元認証情報送信部２４は、上記身元認証情報４３を、サービス利用装置１に送付する。

サービス利用装置１は、認証装置２から送付される身元認証情報４３を、図４に示すように、身元認証情報受信部１２にて受信する（図３のＳ３）。身元認証情報受信部１２は、受信した身元認証情報４３を、身元認証情報保管部１３に転送する。そして、身元認証情報保管部１３は、その身元認証情報４３を保管する。

（サービス利用手続き）
「サービス利用手続き」は、サービス利用者が、サービス利用装置１を用いて、サービス提供業者がサービス提供装置３ａ〜３ｃで提供するサービスを利用する際に実行される。サービス利用手続きを実行する前には、サービス利用装置１は、前述した「身分証明書発行手続き」を実行して、認証装置２から、身元認証情報４３の発行を受けている必要がある。図２では、認証システム内に、３つのサービスＡ、Ｂ、Ｃをそれぞれサービス提供業者Ａ、Ｂ、Ｃが提供する場合について示している。このとき、サービス提供業者Ａは、サービス提供装置３ａを、サービス提供業者Ｂは、サービス提供装置３ｂを、サービス提供業者Ｃは、サービス提供装置３ｃを、それぞれ用いてサービスを提供する。サービス利用者は、それらのサービスの中から、利用したいサービスを１つ選び、サービス利用装置１を用いて、そのサービスに対応するサービス提供装置からサービス提供を受ける。以下では、サービス提供者が、サービスＡを利用する場合の、サービス利用手続きについて説明するが、サービスＢ、Ｃを利用する場合についても、これと同様の手順となる。

最初に、サービス利用者から、サービスＡを利用する旨の指示を受けたサービス利用装置１は、図４に示す身元認証情報保管部１３にて、その内部に保管している身元認証情報４３を、身元認証情報表示部１４に転送する。

次に、身元認証情報表示部１４は、転送されてきた身元認証情報４３に含まれる情報のうち、氏名情報４１０、年齢情報４１１、住所情報４１２を表示し、表示したユーザ身元情報のうち、どの情報に対して「ぼかし」を行うかをサービス利用者に問いかけるメッセージを表示する。表示内容を確認したサービス利用者は、３つの情報から、どれに「ぼかし」を行うかを指示するデータをサービス利用装置１に対して入力し、サービス利用装置１は、ぼかし指示受付部１５にて、その指示を受け付ける。このとき、「ぼかし」を行う情報は、１つだけでも良いし、複数を指定しても良いし、１つも「ぼかし」を行わないという指示でも良い。以下では、氏名情報４１０と住所情報４１２に対して「ぼかし」を行う指示が、サービス利用者からあった場合について説明する。なお、ユーザ身元情報のうち、どの情報に対して「ぼかし」を行うかは、サービス利用者が全く自由に指定することが可能な場合もあるし、利用するサービスによって予め決められた制約の下で、サービス利用者が指定する場合もある。例えば、利用者の正確な年齢情報を必要とするサービスの場合には、年齢情報については、「ぼかし」をしないことが、そのサービスを利用するための条件となっており、サービス利用者は、年齢情報については、「ぼかし」を行う指示が出せない。ぼかし指示を受け付けたぼかし指示受付部１５は、そのぼかし指示を、ぼかし身元認証情報生成部１６に転送する。

次に、ぼかし身元認証情報生成部１６は、身元認証情報保管部１３から入力された身元認証情報４３と、ぼかし指示受付部１５から転送されてきたぼかし指示を元に、ぼかし身元認証情報を生成する（図３のＳ４）。以下、その処理詳細について説明する。

図１１は、ぼかし身元認証情報生成部１６の一構成例を示すブロック図である。ぼかし身元認証情報生成部１６は、身元認証情報保管部１３から転送されてくる身元認証情報４３を複数のデータ（ユーザ身元情報４１、ぼかし用情報４４、付加情報４５、デジタル署名４６）に分割するデータ分割部１６０と、中間ハッシュ値生成部１６３及び付加情報更新部１６４にぼかし指示受付部１５からの指示を示すぼかし部分指定情報を転送するぼかし部分指定部１６１と、ぼかし部分指定部１６１からのぼかし部分指示情報に基づいてユーザ身元情報４１に対してぼかし用情報４４を用いてぼかし処理を行うことによってぼかしユーザ身元情報４７を生成するデータぼかし部１６２と、ぼかし部分指定部１６１からのぼかし部分指定情報と付加情報４５とに基づいてユーザ身元情報４１に対してハッシュ計算を行って中間ハッシュ値を計算する中間ハッシュ値生成部１６３と、ぼかし部分指定部１６１からのぼかし部分指定情報に基づいて付加情報４５を中間ハッシュ値生成部１６３からの中間ハッシュ値で更新することによって更新付加情報４８を生成する付加情報更新部１６４と、デジタル署名４６、ぼかし用情報４４、更新付加情報４８及びぼかしユーザ身元情報４７を連結してぼかし身元認証情報を作成するデータ連結部１６５とからなる。

以下、身元認証情報４３とぼかし指示を入力されたときのぼかし身元認証情報生成部１６の動作について、図１２に示された主要な動作を示すフローチャートを用いて説明する。

まず、データ分割部１６０は、身元認証情報保管部１３から転送されてくる身元認証情報４３を受け付けて、複数のデータに分割する。具体的には、図１０で示されるようなユーザ身元情報４１と、ぼかし用情報４４と、付加情報４５と、デジタル署名４６の４つに分割する。そして、ユーザ身元情報４１をデータぼかし部１６２及び中間ハッシュ値生成部１６３に転送し、ぼかし用情報４４をデータぼかし部１６２及びデータ連結部１６５に転送し、付加情報４５を中間ハッシュ値生成部１６３及び付加情報更新部１６４に転送し、デジタル署名４６をデータ連結部１６５に転送する。

次に、ぼかし部分指定部１６１は、ぼかし指示を受け付けて、その指示を示すぼかし部分指定情報をデータぼかし部１６２及び中間ハッシュ値生成部１６３及び付加情報更新部１６４に転送する。具体的には、ぼかし部分指定情報は、氏名情報と住所情報に対してぼかし処理を行うことを示す情報であり、例えば、氏名情報、住所情報のインデックス値である「１」「３」からなる情報である。

次に、データぼかし部１６２は、データ分割部１６０から転送されてくるユーザ身元情報４１に対して、ぼかし部分指定部１６１から転送されてくるぼかし部分指定情報に従って、ぼかし用情報４４を用いて、情報の「ぼかし」を行い、ぼかしユーザ身元情報を生成する（図１２のＳ２０）。具体的には、「氏名情報と住所情報に対してぼかしを行う」というぼかし部分指定情報に従って、ユーザ身元情報４１の氏名情報４１０をぼかし用情報４４のぼかし氏名情報４４０に置き換えるとともに、ユーザ身元情報４１の住所情報４１２をぼかし用情報４４のぼかし住所情報４４２に置き換える。このようにして、図１３に示すような、ぼかしユーザ身元情報４７を生成する。ここでは、氏名「山田 太郎／ＹＡＭＡＤＡ ＴＡＲＯ」は、「Ｔ．Ｙ」というイニシャル表記に情報がぼかされ、住所「大阪府門真市大字門真１００６」は、「近畿地方」と情報がぼかされたことになる。そして、データぼかし部１６２は、このようにして得られたぼかしユーザ身元情報４７をデータ連結部１６５に転送する。

次に、中間ハッシュ値生成部１６３は、ぼかし部分指定部１６１から転送されてくるぼかし部分指定情報に従って、データ分割部１６０から転送されてくるユーザ身元情報４１及び付加情報４５から中間ハッシュ値を計算する（図１２のＳ２１）。具体的には、まず、ぼかし部分指定情報「氏名情報（インデックス値「１」）と住所情報（インデックス値「３」）をぼかし処理する」より、ユーザ身元情報４１から、インデックス値「１」と「３」の情報（即ち、氏名情報４１０と住所情報４１２）を取り出し、これらを前述の変換規則に従って数値データｍ１、ｍ３に変換する。また、付加情報４５からも、インデックス値「１」と「３」の情報（即ち、乱数ｒ１とｒ３）を取り出して、以下の計算により、中間ハッシュ値ｉ１とｉ３を生成する。そして、生成した中間ハッシュ値ｉ１、ｉ３を付加情報更新部１６４に転送する。

ｉ１＝Ｈａｓｈ（ｍ１‖ｒ１）
ｉ３＝Ｈａｓｈ（ｍ３‖ｒ３）

次に、付加情報更新部１６４は、ぼかし部分指定部１６１から転送されてくるぼかし部分指定情報に従って、中間ハッシュ値生成部１６３から転送されてくる中間ハッシュ値ｉ１、ｉ３を用いて、データ分割部１６０から転送されてくる付加情報４５の更新を行う（図１２のＳ２２）。具体的には、ぼかし部分指定情報「氏名情報（インデックス値「１」）と住所情報（インデックス値「３」）をぼかし処理する」より、付加情報４５のうち、インデックス値「１」と「３」の情報（即ち、氏名情報４１０と住所情報４１２）を、それぞれ中間ハッシュ値ｉ１、ｉ３に置き換えて、付加情報の更新を行う。また、ぼかしブロックを表示するインデックス値「０」のデータ領域に、「１」「３」を記憶する。これは、中間ハッシュ値に置き換わったフィールドのインデックス値を示している。図１３に、このような付加情報更新部１６４による付加情報４５の更新によって得られる更新付加情報４８を示す。本図に示されるように、更新付加情報４８は、ぼかしブロック情報４８０、中間ハッシュ値ｉ１（４８１）、乱数ｒ２（４８２）、中間ハッシュ値ｉ３（４８３）によって構成されている。付加情報更新部１６４は、こうして更新を行った結果得られる更新付加情報４８を、データ連結部１６５に転送する。

次に、データ連結部１６５は、データぼかし部１６２から転送されてくるぼかしユーザ身元情報４７、データ分割部１６０から転送されてくるぼかし用情報４４及びデジタル署名４６並びに付加情報更新部１６４から転送されてくる更新付加情報４８を結合して、ぼかし身元認証情報を生成する（図１２のＳ２３）。図１３に、ぼかし身元認証情報４９を示す。こうして作成された、ぼかし身元認証情報４９を、サービス利用要求データ送付部１７に転送し、ぼかし身元認証情報生成部１６の処理は完了する。

最後に、図４に示されるように、サービス利用要求データ送付部１７は、ぼかし身元認証情報４９で生成されたぼかし身元認証情報４９に、サービスＡの利用を要求する旨のメッセージを付加したデータをサービス利用要求データとして、サービス提供装置３ａに送付する（図３のＳ５）。

次に、サービス利用要求データを受け取った後の、サービス提供装置３ａ（３ｂ、３ｃ）の内部動作について説明する。図１４は、サービス提供装置３ａ（３ｂ、３ｃ）の一構成例を示すブロック図である。サービス提供装置３ａ（３ｂ、３ｃ）は、サービス利用装置１から受信したサービス利用要求データからぼかし身元認証情報４９を取り出して分割するデータ分割部３０と、デジタル署名を検証するための署名検証鍵を記憶する署名検証鍵記憶部３１と、署名検証鍵を用いてデジタル署名の検証を行うデジタル署名検証部３２と、ユーザ身元情報の確認を行うユーザ身元情報確認部３３と、ユーザ身元情報を保管するユーザ身元情報保管部３４と、デジタル署名の検証結果及びユーザ身元情報の確認結果を元にサービス利用者へのサービスデータ送付の許可を行うサービスデータ送付許可部３５と、サービス利用者に送付するサービスデータを保管するサービスデータ保管部３６と、サービス利用者にサービスデータを送付するサービスデータ送付部３７とからなる。以下、サービス提供装置３ａ（３ｂ、３ｃ）の動作詳細について説明する。

まず、データ分割部３０は、サービス利用装置１から受信したサービス利用要求データに含まれるぼかし身元認証情報４９を取り出し、さらに、ぼかし身元認証情報４９を、ぼかしユーザ身元情報４７、ぼかし用情報４４、更新付加情報４８、及びデジタル署名４６に分割する。そして、ぼかしユーザ身元情報４７をユーザ身元情報確認部３３及びデジタル署名検証部３２に転送し、ぼかし用情報４４、更新付加情報４８及びデジタル署名４６をデジタル署名検証部３２に転送する。

次に、署名検証鍵記憶部３１は、記憶している署名検証鍵をデジタル署名検証部３２に転送する。

そして、デジタル署名検証部３２は、署名検証鍵記憶部３１から転送されてくる署名検証鍵を用いて、ぼかしユーザ身元情報４７、ぼかし用情報４４及び更新付加情報４８に基づいてデジタル署名４６の検証を行う（図３のＳ６）。その詳細を以下で説明する。

図１５は、デジタル署名検証部３２の内部構成例を示すブロック図である。デジタル署名検証部３２は、更新付加情報４８から中間ハッシュ値と乱数とを取り出す中間ハッシュ値抽出部３２０と、ぼかしユーザ身元情報４７と乱数とから中間ハッシュ値を計算する中間ハッシュ値生成部３２１と、中間ハッシュ値とぼかしユーザ身元情報４７とぼかし用情報４４と更新付加情報４８とから最終ハッシュ値を計算する最終ハッシュ値生成部３２２と、署名検証鍵を用いて最終ハッシュ値とデジタル署名４６の正当性を検証する署名チェック部３２３とからなる。

以下、デジタル署名検証部３２の内部動作について、その主要な動作フローを示す図１６を用いて詳細に説明する。

まず、中間ハッシュ値抽出部３２０は、更新付加情報４８のぼかしブロック情報４８０を参照してブロック１及び３がぼかし処理をされていることを知る。そして、インデックス値が１と３の領域から、中間ハッシュ値ｉ１（４８１）及びｉ３（４８３）を取り出して、最終ハッシュ値生成部３２２に転送する（図１６のＳ３０）。

次に、中間ハッシュ値生成部３２１は、更新付加情報４８のぼかしブロック情報４８０を参照して、ブロック２がぼかし処理をされていないことを知る。そして、インデックス値が２の領域から、乱数ｒ２（４８２）を読み出す。また、ぼかしユーザ身元情報４７から、インデックス値が２の年齢情報４７１を取得して、所定の変換ルールに基づいて数値データｍ２に変換する。そして、下記の計算式により中間ハッシュ値ｉ２を計算し、最終ハッシュ値生成部３２２に転送する（図１６のＳ３１）。

ｉ２＝Ｈａｓｈ（ｍ２‖ｒ２）

次に、最終ハッシュ値生成部３２２は、更新付加情報４８のぼかしブロック情報４８０を参照して、ブロック１と３がぼかし処理をされていることを知る。そして、中間ハッシュ値抽出部３２０から、中間ハッシュ値ｉ１（４８１）及びｉ３（４８３）を受け取る。一方、ぼかしユーザ身元情報４７のインデックス値が１と３の領域からぼかし氏名情報４７０及びぼかし住所情報４７２を取得し、それぞれを所定の変換ルールに基づいて数値データｂ１及びｂ３に変換する。また、ぼかし用情報４４のインデックス値が２（ぼかし処理の行われていないブロック）の領域から、ぼかし年齢情報４４１を取得し所定の変換ルールに従って数値データｂ２に変換する。さらに、中間ハッシュ値生成部３２１から中間ハッシュ値ｉ２を受け取る。

そして、最終ハッシュ値生成部３２２は、このようにして得られた、ｉ１、ｉ３、ｂ１、ｂ２、ｂ３、及び、ｉ２を用いて、以下の計算式により、最終ハッシュ値ｈ１、ｈ２、ｈ３を計算して、署名チェック部３２３に転送する（図１６のＳ３２）。

ｈ１＝Ｈａｓｈ（ｉ１‖ｂ１）
ｈ２＝Ｈａｓｈ（ｉ２‖ｂ２）
ｈ３＝Ｈａｓｈ（ｉ３‖ｂ３）

次に、署名チェック部３２３は、署名検証鍵Ｋｐを用いて、最終ハッシュ値ｈ１、ｈ２、ｈ３及びデジタル署名Ｓの正当性を以下のようにしてチェックし、検証結果Ｒｅｓｕｌｔを、図１４に示されるサービスデータ送付許可部３５に転送する（図１６のＳ３３）。

Ｒｅｓｕｌｔ＝Ｖｅｒｉｆｙ（Ｋｐ，ｈ１‖ｈ２‖ｈ３，Ｓ）
ここで、Ｒｅｓｕｌｔ＝Ｖｅｒｉｆｙ（Ｋｐ，ｄ，Ｓ）は、検証鍵Ｋｐを用いて、デジタル署名Ｓがデータｄの正当なデジタル署名であるかを検証し、その結果（ＯＫまたはＮＧ）をＲｅｓｕｌｔとすることを意味する。

デジタル署名検証部３２の処理の後、ユーザ身元情報確認部３３は、ぼかしユーザ身元情報４７の内容を確認する。具体的には、例えば２０歳以上限定のサービスである場合に、年齢情報４７１を確認して２０歳以上であることをチェックする、などである。そのチェックの結果、問題がなければ、ぼかしユーザ身元情報４７を、ユーザ身元情報保管部３４に転送する。もしも問題が見つかった場合には、以降の処理は行わず、サービス利用者に対して、サービス提供を拒否する旨の通知を行う。

次に、ユーザ身元情報保管部３４は、ぼかしユーザ身元情報４７をサービス利用者のリストに追加して、ユーザのデータ登録を行う。

サービスデータ送付許可部３５は、検証結果ＲｅｓｕｌｔがＯＫであり、かつ、ユーザ身元情報保管部３４が、正常にユーザ登録を完了したことを確認した後に、サービスデータ送付許可信号をサービスデータ送付部３７に送付する。

サービスデータ送付部３７は、サービスデータ保管部３６に保管されたサービスデータをサービス利用装置１に送付する（図３のＳ７）。サービスデータとしては、例えば、音楽や映画などのコンテンツや、地図などの情報が考えられる。

そして、サービス利用装置１は、サービスデータ受信部１８にて、サービス提供装置３ａ（３ｂ、３ｃ）から送付されてくるサービスデータを受信する。

（認証システムの安全性）
次に、この認証システムにおける以下の２点に関する安全性について説明する。

（１）ぼかし身元認証情報から、ぼかしを行う前のユーザ身元情報が分からないこと

（２）身元認証情報から、不正にぼかしを行って作成したぼかし身元認証情報が作成できないこと

まず、上記（１）について説明する。図１３に示すぼかし身元認証情報４９において、氏名情報と住所情報に対してぼかし処理が行われている。ぼかし身元認証情報４９から、ぼかしを行う前の元の氏名情報と住所情報を復元するための、唯一の方法としては、更新付加情報４８に含まれる中間ハッシュ値ｉ１（４８１）及びｉ３（４８３）とから、以下の計算式を元に、氏名情報（の数値データ）ｍ１、及び住所情報（の数値データ）ｍ３を逆算するしかない。

ｉ１＝Ｈａｓｈ（ｍ１‖ｒ１）
ｉ３＝Ｈａｓｈ（ｍ３‖ｒ３）

ここで、ｒ１、ｒ３は、乱数データであり、ぼかし身元認証情報４９から元のユーザ身元情報を求めようとする解析者には知りえないデータである。Ｈａｓｈは、ハッシュ関数であるから、ハッシュ値ｉ１から逆算により、ｍ１‖ｒ１を計算することはできない。よって、解析者は、ｍ１‖ｒ１を予想して、その予想値に対してＨａｓｈの計算を行って得られた結果がｉ１と一致するかどうかを検査する、という試行を何度も繰り返すことになる。従って、ｍ１‖ｒ１のデータサイズが十分に大きければ、正しいｍ１‖ｒ１を求めるために必要になる上記試行回数は膨大になり、計算量の上で正しいｍ１‖ｒ１を求めることは実質的には、不可能である。また、氏名情報ｍ１については、ぼかし氏名情報「Ｔ．Ｙ」から、ある程度候補が絞り込める（イニシャルＴ．Ｙの氏名に限定される）ので上記試行回数は削減されるが、乱数ｒ１は全くランダムな値であるため、ｍ１のような絞込みは行えない。従って、乱数が十分なデータ長（例えば、６４ビット以上）を有していれば、たとえｍ１については、候補の絞込みが行えたとしても、安全性上問題は生じない。

次に、上記（２）の安全性について説明する。上記実施の形態においては、サービス利用者は、サービス利用装置１に、氏名情報４１０と住所情報４１２に対して、ぼかし処理を指示して、サービス利用装置１は、ぼかし処理を行った。デジタル署名Ｓは、認証装置２によって以下のように生成される。

１．身元情報ｍ１、ｍ２、ｍ３に対して適切なぼかし用情報ｂ１、ｂ２、ｂ３を生成。

２．乱数ｒ１、ｒ２、ｒ３を生成して、以下のｉ１、ｉ２、ｉ３を計算。

ｉ１＝Ｈａｓｈ（ｍ１‖ｒ１）
ｉ２＝Ｈａｓｈ（ｍ２‖ｒ２）
ｉ３＝Ｈａｓｈ（ｍ３‖ｒ３）

３．以下の式により、ｈ１、ｈ２、ｈ３を計算。

ｈ１＝Ｈａｓｈ（ｉ１‖ｂ１）
ｈ２＝Ｈａｓｈ（ｉ２‖ｂ２）
ｈ３＝Ｈａｓｈ（ｉ３‖ｂ３）

４．ｈ１‖ｈ２‖ｈ３に対して、署名鍵を用いてデジタル署名Ｓを生成。

もし、ぼかし処理を行う際に、認証装置２が定めたぼかし用情報ｂ１、ｂ２、ｂ３以外の情報でぼかし処理を行った場合、署名検証処理において、最終ハッシュ値計算で用いる、ｂ１、ｂ２、ｂ３が、署名生成時とは異なる値ｂ１’、ｂ２’、ｂ３’として計算されるため、ｈ１、ｈ２、ｈ３とは異なる最終ハッシュ値ｈ１’、ｈ２’、ｈ３’が計算される。従って、ｂ１、ｂ２、ｂ３のどれかひとつでも違う値になると、署名検証は、ｈ１‖ｈ２‖ｈ３とは異なる値に対して行われるために、署名検証は不合格になる。

以上のようにして、サービス利用装置１は、身元認証情報（本実施の形態では、身分証明書）に記載している氏名「山田太郎／ＹＡＭＡＤＡ ＴＡＲＯ」をイニシャル表記の「Ｔ．Ｙ」に、住所「大阪府門真市大字門真１００６」を「近畿地方」に置き換えることで、情報的に「ぼかし」を行った上で、サービス提供装置３ａに送付することができる。

本実施の形態では、身元認証情報に対して「ぼかし」を行うとき、いちいち認証装置２に身元認証情報の再発行を要求することはなく、身元認証情報の「ぼかし」を行う際には、認証装置２の処理負荷はかからない。また、サービス提供装置３ａは、その「ぼかし」が行われた身元認証情報（ぼかし身元認証情報）が、元の正しい身元認証情報から正しく「ぼかし」が行われたことを、署名検証により確認することができる。即ち、身元認証情報を認証局の助けを必要とせずにユーザ側でぼかし処理が行える認証システムが実現できている。

更に、例えば、認証装置が署名とともに署名を施した時刻を付与することにより、「２００３年１２月３日に、２４歳であることが認証局（認証装置）によって認証された」ということを身元認証情報により保証し、その後、利用者側にて、「２００３年１２月３日に、“２０歳代”であることが認証局（認証装置）によって認証された」とぼかしてサービス提供者に提示するような機能も、本発明の認証システムでは実現可能である。一方、ぼかしを行うたびに認証装置２に身元認証情報を再発行を要求する構成では、この機能は実現し得ない。なぜなら、認証装置は再発行の時に、再発行時の現在時刻を付与するので、例えば、再発行により「２００５年３月３１日に、“２０歳代”であることが認証局によって認証された」ということを証明する身元認証情報になってしまい、２００３年１２月３日に認証されたという情報は損なわれてしまうからである。これは、認証された内容とともに、認証された時刻も重要となるようなアプリケーションにおいては問題となる。

なお、本実施の形態では、ユーザなどの身元を示す文字情報を対象としているが、これは、数値化が可能な情報であれば何でもよく、例えば、画像情報、音声情報であってもよい。

また、一方向性関数はハッシュ関数に限定されるものはなく、さらに、用いるハッシュ方式、デジタル署名方式は、特定の方式に限定されるものではない。

また、本実施の形態では、ユーザ身元情報として、氏名情報、年齢情報、住所情報の３つとしているが、本発明は、この種類、この個数に限定されるものではない。さらに、認証システムが対象とするデータも、ユーザ身元情報に限定されるものではない。

また、本実施の形態では、認証装置が、ユーザから提出されるユーザ身元情報からぼかし用情報を生成しているが、このぼかし用情報はユーザが作成してユーザ身元情報とともに提出するようにしてもよい。この場合、認証装置がユーザが提出したぼかし用情報が、ユーザ身元情報の内容を正しくぼかしたものになっているかを確認するようにして、正しいと判断される場合に、身元認証情報を発行するようにしてもよい。

また、本実施の形態では、ぼかし用情報は、ユーザ身元情報の内容を曖昧化したものとして生成したが、これに限られるものでなく、両者が互いに論理的に矛盾しない内容のもの（あるいは、ユーザ身元情報の内容を概念的に包含する関係にある）としてもよい。例えば、ユーザ身元情報として「りんごが好きである」とし、ぼかし用情報として「みかんが好きである」とした場合に、両者は論理的には矛盾していない。その場合には、サービス提供装置３ａ〜３ｃは、サービス利用装置１から送られてくるぼかし認証情報に含まれるぼかし情報が対応する証明情報と論理的に矛盾しないことを確認すればよい。具体的には、証明情報と論理的に矛盾しないぼかし情報の一覧を保持しておき、その一覧にあるぼかし情報を受け取った場合に、証明情報とぼかし情報とが論理的に矛盾しない（あるいは、ぼかし情報が証明情報の内容を概念的に包含する関係にある）と判断すればよい。それによって、サービス提供装置３ａ〜３ｃは、例えば、サービス利用装置１から送られてきたぼかし情報が「みかんが好きである」場合に、「りんごが好きである」という証明情報と論理的に矛盾しないと分かるので、そのぼかし情報が正当であると判断することができる。

なお、本実施の形態では、例えば、氏名情報に対して１つのぼかし用情報が対応しているが、これは、複数のぼかし用情報が存在しており、ユーザが、ぼかし処理を行う際に上記複数のぼかし用情報から好きなものを１つ選んで、ぼかし処理を行うことも可能である。以下その方法について説明する。実施の形態では、ユーザ身元情報が氏名、年齢、住所の３つの身元情報からなる場合の例で説明したが、ここでは簡単のために、ユーザ身元情報が、１つの身元情報からなる場合で説明する。この場合、実施の形態におけるデジタル署名の生成、ぼかし処理、デジタル署名検証の処理は以下のように要約できる。

（デジタル署名生成）
１．身元情報ｍに対してぼかし用情報として１つ（ｂ）を定める。

２．乱数ｒを生成して、中間ハッシュ値ｉ、最終ハッシュ値ｈを以下の式により計算する。

ｉ＝Ｈａｓｈ（ｍ‖ｒ） ・・・（式１）
ｈ＝Ｈａｓｈ（ｉ‖ｂ） ・・・（式２）

３．最終ハッシュ値ｈに対して、署名生成鍵を用いて署名Ｓを生成する。

４．身元情報ｍ、ぼかし用情報ｂ、乱数ｒ、署名Ｓを身元認証情報として、ユーザに送付する。

（ぼかし処理）
１．身元情報ｍと乱数ｒとから、（式１）に従って、中間ハッシュ値ｉを計算する。

２．ぼかし身元情報ｂ、中間ハッシュ値ｉ、署名Ｓをぼかし身元認証情報として、署名検証者に送付する。

（署名検証）
１．ぼかし身元情報ｂと中間ハッシュ値ｉとから、（式２）に従って、最終ハッシュ値ｈを計算する。

２．署名検証鍵を用いて、最終ハッシュ値ｈと署名Ｓに対して署名検証を行う。

身元情報ｍに対して、ぼかし用情報が複数ある場合の署名生成、ぼかし処理、署名検証を行う場合の変形例を二つ（変形例１、変形例２）説明する。ここでは、ぼかし用情報が７個（ｂ１〜ｂ７）ある場合を例にして説明する。

（変形例１）
（署名生成）
１．身元情報ｍに対して７個のぼかし用情報ｂ１〜ｂ７を生成する。

２．８個の乱数ｒ０〜ｒ７を生成して、ハッシュ値ｈ０００〜ｈ１１１を計算する。

ｈ０００＝Ｈａｓｈ（ｍ‖ｒ０）
ｈ００１＝Ｈａｓｈ（ｂ１‖ｒ１）
ｈ０１０＝Ｈａｓｈ（ｂ２‖ｒ２）
ｈ０１１＝Ｈａｓｈ（ｂ３‖ｒ３）
ｈ１００＝Ｈａｓｈ（ｂ４‖ｒ４）
ｈ１０１＝Ｈａｓｈ（ｂ５‖ｒ５）
ｈ１１０＝Ｈａｓｈ（ｂ６‖ｒ６）
ｈ１１１＝Ｈａｓｈ（ｂ７‖ｒ７）

３．図１７に示すツリー構造に従って最終ハッシュ値ｈを計算する。このツリー構造において、ｈ＊＊（１つの「＊」が０又は１）は、
ｈ＊＊＝Ｈａｓｈ（ｈ＊＊０‖ｈ＊＊１）
に従って計算する。更に、ｈ＊は、
ｈ＊＝Ｈａｓｈ（ｈ＊０‖ｈ＊１）
に従って計算する。そして、最終ハッシュ値ｈは、
ｈ＝Ｈａｓｈ（ｈ０‖ｈ１）
により計算する。

４．最終ハッシュ値ｈに対して、署名生成鍵を用いてデジタル署名Ｓを生成する。

５．身元情報ｍ、ぼかし用情報ｂ１〜ｂ７、乱数ｒ０〜ｒ７、デジタル署名Ｓをユーザに送付する。

（ぼかし処理）
ぼかし用情報ｂ４を用いて身元情報ｍにぼかし処理を行う場合を例に説明する。

１．（署名生成）の２．と同様の手順により、最終ハッシュ値ｈを求める。

２．以下のようにして、署名検証者に送付するハッシュ値を選択する。まず、選択したぼかし用情報ｂ４のインデックス「４」を２進数「１００」に変換する。ここで、「１００」の末尾の０１を反転させて「１０１」を得て、ｈ１０１を選択する。次に「１００」の末尾を削除して「１０」を得る。ここで、「１０」の末尾の０１を反転させて「１１」を得て、ｈ１１を選択する。さらに、「１０」の末尾を削除して「１」を得る。「１」の０１を反転して「０」を得て、ｈ０を選択する。上記の手順により、ｈ１０１、ｈ１１、ｈ０が選択される。この手順は、図１８のツリーで説明できる。即ち、ｂ４に対応するハッシュ値ｈ１００からルートに至るまでのパスを考え（図の太線）、そのパスに含まれる各ノードの子ノードのうち、上記パスに含まれていない方の子ノードに割り当てられているハッシュ値を選択することになる。

３．ぼかし身元情報ｂ４、乱数ｒ４、ハッシュ値ｈ１０１、ｈ１１、ｈ０、署名Ｓをぼかし身元認証情報として、署名検証者に送付する。

（署名検証）
１．ぼかし身元情報ｂ４、乱数ｒ４、とハッシュ値ｈ１０１、ｈ１１、ｈ０とから、最終ハッシュ値ｈを計算する。具体的には、
ｈ１００＝Ｈａｓｈ（ｂ４‖ｒ４）
を計算し、
ｈ１０＝Ｈａｓｈ（ｈ１００‖ｈ１０１）
ｈ１＝Ｈａｓｈ（ｈ１０‖ｈ１１）
ｈ＝Ｈａｓｈ（ｈ０‖ｈ１）
を計算することで求められる。

２．署名検証鍵を用いて、最終ハッシュ値ｈと署名Ｓに対して署名検証を行う。

（変形例２）
（署名生成）
１．身元情報ｍに対して７個のぼかし用情報ｂ１〜ｂ７を生成する。

２．８個の乱数ｒ０〜ｒ７を生成して、ハッシュ値ｈ０〜ｈ７を計算する。

ｈ０＝Ｈａｓｈ（ｍ‖ｒ０）
ｈ１＝Ｈａｓｈ（ｂ１‖ｒ１）
ｈ２＝Ｈａｓｈ（ｂ２‖ｒ２）
ｈ３＝Ｈａｓｈ（ｂ３‖ｒ３）
ｈ４＝Ｈａｓｈ（ｂ４‖ｒ４）
ｈ５＝Ｈａｓｈ（ｂ５‖ｒ５）
ｈ６＝Ｈａｓｈ（ｂ６‖ｒ６）
ｈ７＝Ｈａｓｈ（ｂ７‖ｒ７）
３．最終ハッシュ値ｈを、
ｈ＝Ｈａｓｈ（ｈ０‖ｈ１‖ｈ２‖・・・‖ｈ７）
により計算する。

４．最終ハッシュ値ｈに対して、署名生成鍵を用いてデジタル署名Ｓを生成する。

５．身元情報ｍ、ぼかし用情報ｂ１〜ｂ７、乱数ｒ０〜ｒ７、デジタル署名Ｓをユーザに送付する。

（ぼかし処理）
ぼかし用情報ｂ４を用いて身元情報ｍにぼかし処理を行う場合を例に説明する。

１．（署名生成）の２．と同様の手順により、最終ハッシュ値ｈを求める。

２．ぼかし身元情報ｂ４、乱数ｒ４、及び、ぼかし用情報ｂ４に対応するハッシュ値ｈ４を除いたハッシュ値ｈ０、ｈ１、ｈ２、ｈ３、ｈ５、ｈ６、ｈ７、署名Ｓをぼかし身元認証情報として、署名検証者に送付する。

（署名検証）
１．ぼかし身元情報ｂ４、乱数ｒ４、とハッシュ値ｈ０、ｈ１、ｈ２、ｈ３、ｈ５、ｈ６、ｈ７とから、最終ハッシュ値ｈを計算する。具体的には、
ｈ４＝Ｈａｓｈ（ｂ４‖ｒ４）
を計算し、
ｈ＝Ｈａｓｈ（ｈ０‖ｈ１‖ｈ２‖・・・‖ｈ７）
を計算することで求められる。

２．署名検証鍵を用いて、最終ハッシュ値ｈと署名Ｓに対して署名検証を行う。

以上のどちらの変形例においても、ひとつの身元情報に対して複数のぼかし用情報が設定可能な、認証システムが実現できる。なお、上記２つの変形例において、ぼかし用情報は必ずしも複数（２個以上）である必要はなく、ぼかし用情報が１つでもよい。また、本変形例では、ユーザ身元情報が１つの場合について説明しているが、これは複数のユーザ身元情報からなる場合にも自明な拡張により適用可能である。

また、本発明のような電子ぼかし機能は、従来技術で述べた「電子墨塗り技術」を改良した以下の方法でも実現可能である。

（署名生成）
１．身元情報ｂ０からぼかし用情報ｂ１〜ｂ７を生成。

２．上記ｂ０〜ｂ７から、電子墨塗り技術を用いて、電子署名Ｓを作成。

３．ｂ０〜ｂ７及びＳをユーザに送付する。

（ぼかし処理）
１．ぼかし処理に使用するぼかし用情報をｂ１〜ｂ７から一つ選択する（以下では、ｂ３を選んだものとする）。

２．ｂ０〜ｂ７のうち、ｂ３以外の情報を「墨塗り」した墨塗りデータを作成し、これをぼかし認証情報として、署名検証者に送付する。

（署名検証）
１．ぼかし認証情報を「ｂ３以外のデータが墨塗りされた墨塗りデータ」として署名検証を行う。

なお、本発明を上記実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。

（１）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。上記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。上記マイクロプロセッサが上記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

（２）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。上記ＲＡＭには、コンピュータプログラムが記憶されている。上記マイクロプロセッサが、上記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

（３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。上記ＩＣカードまたは上記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。上記ＩＣカードまたは上記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記ＩＣカードまたは上記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（４）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、上記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本発明は、上記コンピュータプログラムまたは上記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている上記デジタル信号であるとしてもよい。

また、本発明は、上記コンピュータプログラムまたは上記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、上記メモリは、上記コンピュータプログラムを記憶しており、上記マイクロプロセッサは、上記コンピュータプログラムにしたがって動作するとしてもよい。

また、上記プログラムまたは上記デジタル信号を上記記録媒体に記録して移送することにより、または上記プログラムまたは上記デジタル信号を上記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

（５）上記実施の形態及び上記変形例における構成要素を任意に組み合わせてもよい。

本発明にかかる認証システムは、個人情報等の証明書データを認証するシステムとして、特に、認証装置によって生成された認証データの内容の一部を、それを受け取った利用者が認証装置の助けなしに、情報的にぼかし処理をすることが可能であるという特徴を有するので、利用者の匿名性が可能な利用者認証システムとして有用である。

図１は、本発明の従来技術に係る認証システムの構成を示す図である。 図２は、本発明の実施の形態に係る認証システムの構成を示すシステム構成図である。 図３は、本発明の実施の形態に係る認証システムにおける通信のやりとりを示す通信シーケンス図である。 図４は、本発明の実施の形態に係るサービス利用装置の構成を示すブロック図である。 図５は、本発明の実施の形態に係るユーザ身元情報及びぼかし用情報の構成の一例を示す図である。 図６は、本発明の実施の形態に係る認証装置の構成を示すブロック図である。 図７は、本発明の実施の形態に係る認証装置の主要な動作を示すフローチャートである。 図８は、本発明の実施の形態に係るぼかし住所情報データベースの構成を示すブロック図である。 図９は、本発明の実施の形態に係る身元認証情報生成部の構成を示すブロック図である。 図１０は、本発明の実施の形態に係る分割された身元認証情報の構成の一例を示す図である。 図１１は、本発明の実施の形態に係るぼかし身元認証情報生成部の構成を示すブロック図である。 図１２は、本発明の実施の形態に係るぼかし身元認証情報生成部の動作手順を示すフローチャートである。 図１３は、本発明の実施の形態に係る更新付加情報の構成の一例を示す図である。 図１４は、本発明の実施の形態に係るサービス提供装置の構成を示すブロック図である。 図１５は、本発明の実施の形態に係るデジタル署名検証部の構成を示すブロック図である。 図１６は、本発明の実施の形態に係るデジタル署名検証部の動作手順を示すフローチャートである。 図１７は、本発明の実施の形態の変形例に係るハッシュ計算方法を説明するための図である。 図１８は、本発明の実施の形態の変形例に係るハッシュ計算方法を説明するための図である。

符号の説明

１ サービス利用装置
２ 認証装置
３ａ〜３ｃ サービス提供装置
１０ ユーザ身元情報記憶部
１１ 身元認証情報発行依頼データ送付部
１２ 身元認証情報受信部
１３ 身元認証情報保管部
１４ 身元認証情報表示部
１５ ぼかし指示受付部
１６ ぼかし身元認証情報生成部
１７ サービス利用要求データ送付部
１８ サービスデータ受信部
２０ 身元認証情報発行依頼データ受信部
２１ ユーザ身元情報確認部
２２ ぼかし用情報生成部
２３ 身元認証情報生成部
２４ 身元認証情報送信部
３０ データ分割部
３１ 署名検証鍵記憶部
３２ デジタル署名検証部
３３ ユーザ身元情報確認部
３４ ユーザ身元情報保管部
３５ サービスデータ送付許可部
３６ サービスデータ保管部
３７ サービスデータ送付部

Claims (18)

1. 証明したい情報である証明情報をぼかして得られるぼかし情報を提示する端末装置と、前記端末装置によって提示されたぼかし情報の正当性を検証する検証装置と、前記端末装置による正当なぼかし情報の発行を支援する認証装置とからなる認証システムであって、
   前記認証装置は、
   少なくも１つの証明情報と前記証明情報に対応する少なくとも１つのぼかし情報とを保持する情報保持手段と、
   前記情報保持手段に保持された証明情報とぼかし情報とを含む情報に対してデジタル署名を施すことによってデジタル署名を生成し、生成したデジタル署名と前記証明情報と前記ぼかし情報とを含む情報を認証情報として生成する認証情報生成手段と、
   生成された認証情報を前記端末装置に送信する第１の送信手段とを備え、
   前記端末装置は、
   前記認証装置から送信されてくる認証情報を受信する第１の受信手段と、
   ユーザからの指示に基づいて、前記受信手段で受信された認証情報に含まれる少なくとも１つのぼかし情報の中から、どのぼかし情報を選択するかの指示を受け付けるぼかし指示受付手段と、
   前記ぼかし指示受付手段によって受け付けられた指示によって選択されるぼかし情報と前記デジタル署名とを含む情報をぼかし認証情報として生成するぼかし認証情報生成手段と、
   生成されたぼかし認証情報を前記検証装置に送信する第２の送信手段とを備え、
   前記検証装置は、
   前記端末装置から送信されてくるぼかし認証情報を受信する第２の受信手段と、
   前記受信手段で受信されたぼかし認証情報に含まれるデジタル署名に基づいて、前記ぼかし認証情報に含まれるぼかし情報の正当性を検証する署名検証手段とを備える
   ことを特徴とする認証システム。
2. 前記認証情報生成手段は、
   前記証明情報に対して第１の一方向性関数による処理を施すことによって第１の中間値を生成する第１の中間値生成部と、
   生成された第１の中間値と、前記証明情報に対応するぼかし情報とからデジタル署名を作成する署名作成部とを有し、
   前記ぼかし情報生成手段は、
   前記ぼかし指示受付手段によって受け付けられた指示によって選択されるぼかし情報に対応する証明情報に対して第１の一方向性関数による処理を施すことによって第２の中間値を生成する第２の中間値生成部と、
   生成された第２の中間値と前記ぼかし情報と前記デジタル署名とを連結することによって前記ぼかし認証情報を生成するデータ連結部とを有し、
   前記署名検証手段は、前記ぼかし認証情報に含まれる第２の中間値とデジタル署名とに基づいて、前記ぼかし認証情報に含まれるぼかし情報の正当性を検証する
   ことを特徴とする請求項１記載の認証システム。
3. 前記認証情報生成手段はさらに、乱数を生成する乱数生成手段を備え、
   前記第１の中間値生成部は、前記乱数生成手段で生成された乱数と前記証明情報とを含む情報に対して前記第１の一方向性関数による処理を施すことによって前記第１の中間値を生成し、
   前記認証情報生成手段は、前記デジタル署名と前記証明情報と前記ぼかし情報と前記乱数とを含む情報を前記認証情報として生成し、
   前記第２の中間値生成部は、前記認証情報に含まれる乱数と前記証明情報とを含む情報に対して前記第１の一方向性関数による処理を施すことによって前記第２の中間値を生成する
   ことを特徴とする請求項２記載の認証システム。
4. 前記署名作成部は、前記第１の中間値と前記ぼかし情報とを含む情報に第２の一方向性関数による処理を施すことによって生成した値から前記デジタル署名を作成し、
   前記署名検証手段は、前記ぼかし認証情報に含まれる第２の中間値と前記ぼかし認証情報に含まれるぼかし情報とを含む情報に第２の一方向性関数による処理を施し、得られた値と前記ぼかし認証情報に含まれるデジタル署名との整合性を確認することにより、前記ぼかし認証情報に含まれるぼかし情報の正当性を検証する
   ことを特徴とする請求項２記載の認証システム。
5. 前記第１及び第２の一方向性関数は、ハッシュ関数である
   ことを特徴とする請求項４記載の認証システム。
6. 前記情報保持手段は、複数の証明情報と、前記複数の証明情報のそれぞれに対応する少なくとも１つのぼかし情報とを保持し、
   前記認証情報生成手段は、前記情報保持手段に保持された複数の証明情報と少なくとも１つのぼかし情報とを含む情報に対してデジタル署名を施すことによって前記デジタル署名を生成し、
   前記ぼかし認証情報生成手段は、前記受信手段で受信された認証情報に含まれる複数の証明情報のうち、前記ぼかし指示受付手段によって受け付けられた指示によって選択されるぼかし情報に対応する証明情報を当該ぼかし情報で置き換え、置き換え後の証明情報と前記指示を示す指示情報と前記デジタル署名とを含む情報をぼかし認証情報として生成する
   ことを特徴とする請求項１記載の認証システム。
7. 前記ぼかし情報は、対応する証明情報の内容を曖昧にした内容を示す
   ことを特徴とする請求項１記載の認証システム。
8. 前記証明情報には、身元情報が含まれる
   ことを特徴とする請求項１記載の認証システム。
9. 前記ぼかし情報の内容は、対応する証明情報の内容を概念的に包含する関係にあり、
   前記署名検証手段は、さらに、前記ぼかし認証情報に含まれるぼかし情報の内容が対応する証明情報の内容を概念的に包含する関係にあることを確認する
   ことを特徴とする請求項１記載の認証システム。
10. 請求項１記載の認証システムにおける認証装置。
11. 証明したい情報である証明情報をぼかして得られるぼかし情報を提示する端末装置と、前記端末装置によって提示されたぼかし情報の正当性を検証する検証装置とに接続された認証装置が前記端末装置による正当なぼかし情報の発行を支援する方法であって、
    少なくも１つの証明情報と前記証明情報に対応する少なくとも１つのぼかし情報とを取得する情報取得ステップと、
    前記情報取得ステップに取得された証明情報とぼかし情報とを含む情報に対してデジタル署名を施すことによってデジタル署名を生成し、生成したデジタル署名と前記証明情報と前記ぼかし情報とを含む情報を認証情報として生成する認証情報生成ステップと、
    生成された認証情報を前記端末装置に送信する第１の送信ステップと
    を含むことを特徴とするばかし情報発行支援方法。
12. 証明したい情報である証明情報をぼかして得られるぼかし情報を提示する端末装置と、前記端末装置によって提示されたぼかし情報の正当性を検証する検証装置とに接続され、前記端末装置による正当なぼかし情報の発行を支援する認証装置のためのプログラムであって、
    請求項１１記載のぼかし情報発行支援方法に含まれるステップをコンピュータに実行させる
    ことを特徴とするプログラム。
13. 請求項１記載の認証システムにおける端末装置。
14. 証明情報をぼかして得られるぼかし情報の正当性を検証する検証装置と、ぼかし情報の発行を支援する認証装置とに接続された端末装置が所望のぼかし情報を提示するぼかし情報提示方法であって、
    前記認証装置から送信されてくる認証情報を受信する第１の受信ステップと、
    ユーザからの指示に基づいて、前記受信ステップで受信された認証情報に含まれる少なくとも１つのぼかし情報の中から、どのぼかし情報を選択するかの指示を受け付けるぼかし指示受付ステップと、
    前記ぼかし指示受付ステップによって受け付けられた指示によって選択されるぼかし情報と前記デジタル署名とを含む情報をぼかし認証情報として生成するぼかし認証情報生成ステップと、
    生成されたぼかし認証情報を前記検証装置に送信する第２の送信ステップと
    を含むことを特徴とするばかし情報提示方法。
15. 証明情報をぼかして得られるぼかし情報の正当性を検証する検証装置と、ぼかし情報の発行を支援する認証装置とに接続され、所望のぼかし情報を提示する端末装置のためのプログラムであって、
    請求項１４記載のぼかし情報提示方法に含まれるステップをコンピュータに実行させる
    ことを特徴とするプログラム。
16. 請求項１記載の認証システムにおける検証装置。
17. 証明したい情報である証明情報をぼかして得られるぼかし情報を提示する端末装置と接続された検証装置が、前記端末装置によって提示されたぼかし情報の正当性を検証する方法であって、
    前記端末装置から送信されてくるぼかし認証情報を受信する第２の受信手段と、
    前記受信手段で受信されたぼかし認証情報に含まれる第２の中間値とデジタル署名に基づいて、前記ぼかし認証情報に含まれるぼかし情報の正当性を検証する署名検証ステップを含み、
    前記デジタル署名は、前記証明情報に対して第１の一方向性関数による処理を施すことによって得られた第１の中間値と、前記証明情報に対応するぼかし情報とを含む情報にデジタル署名を施すことによって作成されており、
    前記第２の中間値は、ユーザの指示によって選択されるぼかし情報に対応する証明情報に対して第１の一方向性関数による処理を施すことによって生成されており、
    前記署名検証ステップでは、前記ぼかし認証情報に含まれる第２の中間値と前記ぼかし認証情報に含まれるぼかし情報とを含む情報に第２の一方向性関数による処理を施し、得られた値と前記ぼかし認証情報に含まれるデジタル署名との整合性を確認することにより、前記ぼかし認証情報に含まれるぼかし情報の正当性を検証する
    ことを特徴とするぼかし情報検証方法。
18. 証明したい情報である証明情報をぼかして得られるぼかし情報を提示する端末装置と接続され、前記端末装置によって提示されたぼかし情報の正当性を検証する検証装置のためのプログラムであって、
    請求項１７記載のぼかし情報検証方法に含まれるステップをコンピュータに実行させる
    ことを特徴とするプログラム。

Images