WO2005022428A1

WO2005022428A1 - 属性情報提供サーバ、属性情報提供方法、およびプログラム

Info

Publication number: WO2005022428A1
Application number: PCT/JP2004/011831
Authority: WO
Inventors: Yoshinobu Ishigaki; Masayuki Numao; Madoka Yuriyama; Yuji Watanabe
Original assignee: Ibm Japan, Ltd.; International Business Machines Corporation
Priority date: 2003-08-28
Filing date: 2004-08-18
Publication date: 2005-03-10
Also published as: JP5078257B2; US20120117657A1; US8122511B2; JPWO2005022428A1; US8713691B2; US20060200671A1; CN1842817A

Abstract

　個人情報を持つ個人情報取り扱い業者が、その個人の求めに応じて個人情報の一部を第三者に提供し、個人情報取り扱い業者および個人の双方に利益のあるビジネスを提供する。　加入者の個人情報が格納されたデータベースから所定の個人情報をネットワーク７０を介して提供する属性情報提供サーバ１０と、属性情報提供サーバ１０に対して加入者自らの個人情報の中から幾つかの情報を抜き出すユーザ装置３０と、属性情報提供サーバ１０からユーザ装置３０を利用する加入者に関する所定の個人情報を取得する属性情報受信装置５０とを備え、属性情報提供サーバ１０は、ユーザ装置３０によってデータベースから抜き出された幾つかの属性情報だけを仮想レコードとしてデータベースに登録すると共に、この仮想レコードのキーとしての仮想ＩＤをユーザ装置３０に提供し、属性情報受信装置５０は、仮想ＩＤをユーザ装置３０から取得し、この仮想ＩＤに基づいて属性情報提供サーバ１０から仮想レコードを読み込む。

Description

属性情報提供サーバ、属性情報提供方法、およびプログラム技術分野

[0001] 本発明は、ネットワークを介して属性情報を提供する属性情報提供サーバ等に関する。

背景技術

[0002] 属性証明書 (Attribute Certificate)は、通常の公開鍵証明書が本人性を証明するのに対して、その人物がユーザ権限として、どのような属性を持っているかを証明するものであり、 IETF(Internet Engineering Task Force)の定める X.509でその仕様が定められている (例えば、非特許文献 1参照。 )oまた、発行も公開鍵証明書を発行する公開鍵認証局 (Certification Authority)ではなぐ属性認証機関 (Attribute Authority)によって行われる。このように、本人性と属性との認証を分ける動きは、 OASIS (構造化情報標準促進協会)の標準である SAML(Security Assertion Markup Language)でも取り入れられており、複数の独立機関によるドメインをまたがった柔軟な認証'許可を可能にし、 Federated IDという新しい認証サービスの提案にもつながっている (例えば、非特許文献 2参照。 )₀

[0003] この属性情報 (属性データ)には、氏名、住所、年齢、職業、電話番号、性別、家族構成などが含まれるが、これらの属性情報の中には、会社の人事部が証明するような組織上の職位に関するようなものから、個人の趣味のようなものまで様々なものがある。前述の属性証明書が使えるものは、属性自身が公的第三者によって証明できるようなものであり、プライバシー保護の観点から、趣味のような個人的な属性には第三者機関を認証機関とするのは適さない。このように、属性には、第三者から認定される Authorized属性と、完全に個人の任意で決められる Discretionary属性があり、それぞれ異なるセキュリティ要件がある。

[0004] ここで、属性データを与信情報として扱うものとして、 ICチップ付きのクレジットカード内に、カード番号以外に住所などの属性情報を入れておくことで、商店などにてクレジット決済の際に付加情報を同時に開示できる従来技術が存在する (例えば、特許文献 1参照。 )oカゝかる特許文献 1では、付加情報を区分化し、情報の開示レベルによつてこの開示する情報をコントロールする機能についても示されている。また、クレジット会社などの運営する信用センターが、各加盟店の信用レベルを格付けし、それによって情報開示レベルを決定する機能にっ、ても示されて、る。

[0005] また、ネットワークを介しての通信における認証システムにて、認証サーバが新規の登録者に対して共通 IDであるユニバーサル IDを発行し、このユニバーサル IDを提示した要求に応じて、他の端末者に対して登録者の個人情報力住所などの商取引に必要な情報を抽出して送信することで、ネットワークを介して商品の購入やサービスの提供を受ける際に必要とされる個人情報の入力操作を簡略ィ匕する技術が開示されている (例えば、特許文献 2参照。 )₀

[0006] 非特許文献 1 : FC 3281 on An Internet Attribute Certificate [平成 15年 8月 4日検索 ]インターネット <

http://wwwl .ietf.org/ mail-archive/ ietf-announce/ Current/ msgl8344.html > 非特許文献 2 : Liberty Alliance [平成 15年 8月 4日検索]インターネットく

http://www.projectliberty.org/ >

特許文献 1：特開 2001-325526号公報 (第 4-5頁、図 1)

特許文献 2 :特開 2001-244927号公報 (第 3-4頁、図 1)

発明の開示

発明が解決しょうとする課題

[0007] ところで、前述した Authorized属性の中で、例えば預金残高や購買履歴、会員情報などといった、個人とそれが属するサービスプロバイダとの共有情報についても、その個人の属性として扱えると便利なことが多い。例えば米国においては、カード取得のための審査はかなり厳重で、例えば、 1年以上、銀行口座を管理していたという取引履歴が必要とされる。かかる場合に、その取引銀行カゝら認証をしてもらえれば、新規取引が容易となり、加入者にとってもサービスプロノイダにとっても、利のあるサービスとなり得る。こうした共有情報は、本来は個人の情報として保護されるべきものであるが、個人の同意と希望のもとに、力かる情報を、それを保護するサービスプロバイダに認証してもらう個人属性与信サービスの仕組みが望まれるところである。 [0008] また、与信をサービスとするビジネスとしては、クレジットカードが代表的なものであるが、ここでは、与信額を上限とする金銭を与信の対象として、クレジットカード会社の加入者が加入店舗から商品を購入するときの決算サービスが行われて、る。ところ

1S インターネットのようなネットワーク上では、お互いに全く知らないもの同士が取り引きを開始したい場合がある。このようなネットワーク上における与信の特徴として、

1.与信の対象は金銭以外の信頼情報であること。

2.取り引きをしょうとする二者は必ずしも同じ信頼機関に属していないこと。等が挙げられる。そのために、クレジットカードの仕組みでは実現できない、金銭以外で与信になるものとして、信頼できる組織の会員 (membership)であることや、その会員として所属する期間、その間の活動履歴などが重要となる。これらは、全て個人とその所属する機関が共有する情報である。また、信頼熟成のためには、取り引きをしようとしている二者が同じ組織に属している必要はなぐそれぞれが備えている基準に照らして、相手を信頼できるかどうか決定できるような仕組みが必要である。現在のクレジットカードの仕組みでは、責任、与信範囲、および取引対象者が予め決められており、こうしたネットワーク上で期待されて、るようなフレキシブルな与信付与の仕組みは実現されていない。

[0009] 更に、上述した特許文献 1に記載の技術では、参加者が従来のクレジットカードの枠みに制限されており、また、その属性も商店が商品を配送するために必要な情報に限定されている。また、上述した X.509等の属性証明のための技術では、例えば非特許文献 1等では属性証明書のフォーマットを決めているだけであり、具体的なサービスの仕組みについてはカバーされていない。また更に、上述した特許文献 2に記載の技術では、加入者の匿名性やどの属性を証明するか等について、加入者自身がコントロールすることができない。また、自分がどの新規取引業者と取り引きしょうとしているかを個人情報取り扱い業者に常に認識されることから、加入者にとっては十分なプライバシーの保護が図られない。

[0010] 本発明は、以上のような技術的課題を解決するためになされたものであって、その目的とするところは、インターネットなどのネットワークを用いて、例えば金銭以外の属性を与信の対象とすること等を可能とする属性情報提供サービスを実現することにある。

また他の目的は、加入者の個人情報の一部を、加入者の同意の下で、新規取引者に提供することにある。

更に他の目的は、加入者がどの新規取引業者と取り引きしょうとしているかを個人情報取り扱い業者に知られずに、認証を可能とすることにある。

課題を解決するための手段

[0011] かかる目的のもと、本発明は、属性情報が格納されたデータベース力所定の属性情報をネットワークを介して提供する属性情報提供サーバであって、ネットワークを介して接続されるユーザ装置により、データベースに格納されている属性情報の中から幾つかの属性情報の抜き出し指示を受ける手段と、ユーザ装置によって指示されデータベース力抜き出された幾つかの属性情報だけを仮想レコードとしてデータべ一スに登録する手段と、仮想レコードのキーとしての仮想 IDをユーザ装置に提供する手段と、ネットワークを介して接続される属性情報受信装置から、仮想 IDを用いた仮想レコードの読み込み要求を受ける手段と、属性情報受信装置に対して仮想レコードを提供する手段とを含む。

[0012] ここで、この抜き出し指示を受ける手段は、ユーザ装置だけにユーザ装置の操作者に関する属性情報を参照させ、仮想レコードを抜き出させる際に、任意の属性に対するコピーを許可する一方、任意の属性に対する改ざんを禁止することを特徴とすることができる。これによれば、属性情報提供サーバは、自らがユーザ装置との間で得た活動履歴などの個人情報の一部を、加入者であるユーザ装置の同意の下で、属性情報受信装置に開示する際、それが改ざんされていないということだけを責任範囲として、与信をする仕組みを提供できる。また、読み込み要求を受ける手段は、データベースの中からどの仮想 IDに対する仮想レコードの読み込み要求がなされているかを知り得ない状態にあることを特徴とすることができる。

[0013] 一方、本発明が適用される属性情報提供サーバは、データベースに格納される属性情報の中から選択された所定の情報である仮想レコードを生成手段によって生成し、この仮想レコードのキーとなる仮想 IDに対応付けて格納手段によりデータベースに格納する。また、ネットワークを介して接続されるユーザ装置に仮想 ID提供手段により仮想 IDを提供し、ネットワークを介して接続される属性情報受信装置力ゝらの仮想 I Dを用いた要求に基づいて、仮想レコード提供手段は、属性情報受信装置に仮想レコードを提供する。この仮想レコード提供手段は、データベースの中からどの仮想 ID が選ばれたかを知り得な、状態にて、属性情報受信装置に仮想レコードを提供することを特徴とすることができる。

[0014] ここで、この生成手段は、データベースに格納されている加入者の属性情報の中から、ユーザ装置によって抜き出された情報を仮想レコードとして生成することを特徴とすることができる。また、この仮想レコード提供手段は、 1-out-of-N OT(Oblivious Transfer)のプロトコルを用いて、属性情報受信装置に仮想レコードを提供することを特徴とすることができる。

[0015] 他の観点から把えると、本発明が適用される属性情報提供サーバは、顧客ごとに、複数の属性情報を含む顧客レコードを格納するデータベースと、顧客が操作するュ一ザ装置からの要求に基づき、データベースから顧客の顧客レコードを読み出し、ネットワークを介してユーザ装置に提供する顧客レコード表示部と、ユーザ装置からネットワークを介し、顧客レコードの中から所定の属性情報に対する選択を受ける属性選択部と、この属性選択部により受けた選択に基づき、顧客レコードの中から選択された属性情報によって仮想レコードを生成すると共に、生成された仮想レコードをデータベースに格納する仮想レコード生成部と、この仮想レコード生成部により生成された仮想レコードを特定するための仮想 IDをユーザ装置に提供する仮想 ID発行部と、属性情報受信装置力もネットワークを介してなされる仮想 IDを用いた情報参照要求に基づき、データベース力も該当する仮想レコードを読み出して属性情報受信装置に提供する仮想レコード参照処理部とを含む。

[0016] ここで、この仮想レコード生成部は、オリジナルである顧客レコードの属性内容と、生成された仮想レコードの属性内容とを比較し、改ざんされていないことを検証することを特徴としている。また、この仮想 ID発行部によりユーザ装置に提供される仮想 I Dは、顧客レコードの IDとはアンリンカブルな IDであることを特徴とすることができる。

[0017] また、本発明が適用される属性情報提供サーバは、複数の属性情報を含むレコードをレコード格納手段により格納し、このレコード格納手段により格納されたレコードの中から、ネットワークを介して選択された所定の属性情報によって生成された仮想レコードを仮想レコード格納手段により格納する。そして、どの仮想レコードが選ばれた力を知り得ない状態にて、仮想レコード格納手段の中から選ばれた仮想レコードを、仮想レコード開示手段によりネットワークを介して開示する。

[0018] ここで、この仮想レコード格納手段は、キーとしての仮想 IDに対応付けて仮想レコードを格納し、仮想レコード開示手段は、どの仮想 IDが選ばれた力を知り得ない状態にて、仮想 IDを用いた開示要求を受けることを特徴としている。より具体的には、この仮想レコード開示手段は、ォブリビアストランスファー (Oblivious Transfer)の暗号技術を用、て仮想レコードの開示を実現して、る。

[0019] 一方、本発明を方法のカテゴリから把えると、本発明が適用される属性情報提供方法は、ネットワークを介してなされたユーザ装置からの要求に基づき、複数の属性情報力もなるレコードが格納されたデータベースから、所定のレコードを読み出すステツプと、読み出された所定のレコードを、ネットワークを介してユーザ装置に提供するステツプと、所定のレコードの中から所定の属性情報に対するユーザ装置力の選択をネットワークを介して受けるステップと、所定のレコードの中力選択された所定の属性情報を含む仮想レコードを生成するステップと、生成された仮想レコードをデータベースに格納するステップと、データベースに格納される仮想レコードの属性情報が顧客レコードの属性情報から改ざんされたものでな、ことを検証するステップと、格納された仮想レコードを特定するための仮想 IDをネットワークを介してユーザ装置に提供するステップと、ネットワークを介して属性情報受信装置力も仮想 IDを用いた情報参照要求を受けるステップと、この情報参照要求に基づき、データベースから該当する仮想レコードを読み出すステップと、読み出された仮想レコードを属性情報受信装置にネットワークを介して提供するステップと、を含む。この情報参照要求は、 1-out-of-N OT(Oblivious Transfer)のプロトコルを用いてなされることを特徴とすることがでさる。

[0020] 更に他の観点力把えると、本発明が適用される属性情報提供方法は、顧客別の顧客レコードの中から所定の属性が選択されて生成された仮想レコードをキーとなる仮想 IDに対応付けて格納されたデータベースに対して、この仮想 IDを用いた仮想レコードの取得要求を受けるステップと、仮想 IDに対応する仮想レコードをデータべ一ス力読み出し、取得要求に対して仮想レコードを開示するステップとを含み、この仮想レコードの取得要求を受けるステップは、取得要求を受ける際に、どの仮想 IDが選ばれたかが秘匿されることを特徴としている。ここで、この顧客自身のコンピュータ装置を介して、顧客自身の顧客レコードの中力所定の属性の選択を受けるステップと

、選択された所定の属性だけを属性とする仮想レコードを生成してデータベースに格納するステップと、データベースに格納された仮想レコードのキーとなる仮想 IDをコンピュータ装置に提供するステップとを更に含むことができる。

[0021] また本発明は、ネットワークを介して属性情報を提供するための属性情報提供サーノ《として機能するコンビユーがこれらの各機能を実現可能に構成されたプログラムとして把握することができる。このプログラムをコンピュータに対して提供する際に、例えばサーバとしてのコンピュータにインストールされた状態にて提供される場合の他、コンピュータに実行させるプログラムをコンピュータが読取可能に記憶した記憶媒体にて提供する形態が考えられる。この記憶媒体としては、例えば DVDや CD— ROM媒体等が該当し、 DVDや CD— ROM読取装置等によってプログラムが読み取られ、フラッシュ ROM等にこのプログラムが格納されて実行される。また、これらのプログラムは、例えば、プログラム伝送装置によってネットワークを介して提供される形態がある

[0022] 具体的には、本発明が適用されるプログラムは、コンピュータに、ネットワークを介してなされたユーザ装置力もの要求に基づき、複数の属性情報力もなるレコードが格納されたデータベースから、所定のレコードを読み出す機能と、読み出された所定のレコードを、ネットワークを介してユーザ装置に提供する機能と、所定のレコードの中力所定の属性情報に対するユーザ装置力の選択をネットワークを介して受ける機能と、この所定のレコードの中から選択された所定の属性情報を含む仮想レコードを生成する機能と、データベースに格納される仮想レコードの属性情報がレコードの属性情報から改ざんされたものではなヽことを検証する機能と、生成された仮想レコードをデータベースに格納する機能と、格納された仮想レコードを特定するための仮想 IDをネットワークを介してユーザ装置に提供する機能とを実現させる。 [0023] 他の観点から把えると、本発明が適用されるプログラムは、ネットワークを介して属性情報を提供するための属性情報提供サーバとして機能するコンピュータに、格納されるレコードの中から所定の属性が選択されて生成された仮想レコードを、キーとなる仮想 IDに対応付けてデータベースに格納する機能と、どの仮想 IDが選ばれた力が秘匿された状態にて仮想 IDを用いた仮想レコードの取得要求を受ける機能と、仮想 IDに対応する仮想レコードをデータベースから読み出し、取得要求に対して仮想レコードを開示する機能とを実現させる。発明の効果

[0024] 本発明によれば、属性情報を持つ機関が、例えば特定個人の属性情報の一部を第三者に提供することで、例えば特定個人や機関に対して属性情報に関する利益のあるビジネスを提供することができる。

発明を実施するための最良の形態

[0025] 以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。

図 1は、本実施の形態が適用される属性情報提供システム (与信付与システム)の全体構成を示した図である。ここでは、個人情報取り扱い業者に設置される属性情報提供サーバ (個人情報サーバ) 10、属性情報提供システムの加入者がクライアント端末として用いるユーザ装置 30、新規取引者が利用するクライアント端末である属性情報受信装置 (与信情報受信装置) 50が配置され、これらがインターネット等のネットヮーク 70を介して接続されている。このネットワーク 70は、インターネットなどの公的、広域的なネットワークでもローカルなネットワークでも良い。すなわち、インターネット上に設けられた公的なデータベースサーバを属性情報提供サーバ 10として本実施形態のシステムを構築することもできるし、企業内イントラネットのような閉じた形態で本実施形態のシステムを構築することもできる。

[0026] サービスプロバイダが管理するサーバである属性情報提供サーバ 10は、会員 (ュ一ザ装置 30)の個人情報や会員との間の取引情報を管理し、会員の同意に基づいて属性を認証するための仮想 IDトークン (VIDトークン)を発行してヽる。仮想 IDトークンは、仮想 ID(VID)に、例えば属性情報提供サーバ 10の URL等を含んで形成される。この仮想 IDの発行依頼者として、サービスプロバイダの会員であるユーザ装置 3 0では、属性情報提供サーバ 10に登録してある個人情報 (顧客レコード、単に「レコード」とする場合がある)から、新規取引者である属性情報受信装置 50に開示したい属性が選ばれ、属性情報提供サーバ 10に対して VIDトークンの発行の依頼がなされる。属性受領者としての任意の相手である属性情報受信装置 50は、ユーザ装置 3 0との新規取引の際に、信頼関係構築のための属性証明書を属性情報提供サーバ 10経由で受け取つている。

[0027] 属性情報提供サーバ 10では、加入者であるユーザ装置 30との間で VIDトークンの発行が行われ、また、新規取引者である属性情報受信装置 50との間で仮想レコードの参照が行われる。この中で、 VIDトークンを秘密にしたまま参照するものを VID秘匿参照とする。尚、属性情報提供サーバ 10の機能については、後に詳述する。

[0028] ユーザ装置 30では、属性情報提供サーバ 10からの VIDトークンの取得と、それを属性情報受信装置 50に渡すための VIDトークンの送信が行われる。

この VIDトークンの取得では、ユーザ装置 30は、所定の Webブラウザを使用して属性情報提供サーバ 10と通信をする。このとき、 SSL(Secure Sockets Layer)などの喑号ィ匕および認証機能を用いることによって、第三者が情報を盗み見ることを防ぐことができる。また、ユーザ装置 30の認証も、通常の HTTP(Hypertext Transfer Protocol)で定められている Basic認証などを使うことも可能である。

VIDトークンの送信では、ユーザ装置 30は、取得した VIDトークンを SMTP(Simple Mail Transfer Protocol)などのメールプロトコルを用いて属性情報受信装置 50に送信している。

[0029] 属性情報受信装置 50では、ユーザ装置 30からの VIDトークンの取得と、属性情報提供サーバ 10からの仮想レコードの取得が行われる。

まず、 VIDトークンの取得では、通常のメールソフトなどによって、ユーザ装置 30から VIDトークンが取得される。

仮想レコードの取得としては、通常取得と VID秘匿取得とがある。通常取得の処理では、 VIDトークンに含まれる URLによって属性情報提供サーバ 10に接続し、 VID を提示することで、その仮想レコードを取得する。 VID秘匿取得では、属性情報受信装置 50と属性情報提供サーバ 10との間で、後述する OTプロトコルを行うことで、所定の属性を得ることができる。

[0030] 本実施の形態では、以下の 2つの暗号技術を要素技術として用いている。

まず、第 1の暗号技術は、ォブリビアストランスファー (OT:Oblivious Transfer)である。 1-out-of-N OTは、 Ν個の情報を持つサーバと、そのうちの 1つを読みたいクライアントの間 (2者の間)のプロトコルで、クライアントは Ν個のうち 1つだけ情報を読むことができるが、そのどれを読めたかをサーバは知ることができないとするものである。即ち、情報提供者である属性情報提供サーバ 10が持つ Ν個の情報のうち、クライアント（例えば、属性情報受信装置 50)は、その 1つだけを受け取ることができ、そのどれを選んだかを属性情報提供サーバ 10は知り得ない。尚、詳細は文献 [Naor, M. and Pinkas, B.: Oblivious Transfer and Polynomial Evaluation, in proc. of STOC, 1999.」に詳しいが、ここではその内容を省略する。

[0031] 第 2の暗号技術は、暗号関数の準同型性である。準同型性をもつ公開鍵暗号関数 Epk(X)は、

Epkl(Epk2(X)) = Epk2(Epkl(X))

を満たす。例えば、後述するエルガマル (mGamal)暗号などは準同型性を有している

[0032] ここで、図 1に示す属性情報提供システムにて実行される各プロトコルについて説明する。

図 2は、属性情報提供システムの各装置が実行する処理を示したフローチャートである。図 1の全体構成図を参照して説明すると、まず、ネットワーク 70を介してユーザ装置 30から属性情報提供サーバ 10に対し、仮想 ID(VID： VirtuallD)を含む仮想 ID トークン (VIDトークン)の発行依頼が出される (ステップ 201)。このとき、ユーザ装置 30 は、自分の個人情報 (顧客レコード)からどれを VIDトークンの下で開示するかを選択する (ステップ 202)。属性情報提供サーバ 10では、後述する GID(Globally-unique ID)力も属性の一部がコピーされ、仮想 IDをキーとしてデータベース (後述)に登録される (ステップ 203)。そして、属性情報提供サーノ 10からユーザ装置 30に対して、ネットワーク 70を介して VIDトークンが発行される (ステップ 204)。

[0033] その後、ユーザ装置 30から属性情報受信装置 50に対し、 VIDトークンが渡され、仮想 IDを含めた取引依頼がネットワーク 70を介して出力される (ステップ 205)。その後、属性情報受信装置 50は、属性情報提供サーバ 10に対して取得した仮想 IDを提示し、付随する属性情報の開示を要求する (ステップ 206)。属性情報提供サーバ 1 0は、仮想 IDをキーとする属性を与信情報として、即ち、仮想 IDの参照情報 (仮想レコード)を属性情報受信装置 50に開示する (ステップ 207)。このようにして、仮想レコードを取得した属性情報受信装置 50は、開示された属性 (仮想レコードの結果)により、新規取引するだけの信頼が得られた場合には、ユーザ装置 30に対してネットヮーク 70を介し、取り引きの承諾を通知し、ユーザ装置 30と属性情報受信装置 50との間で取り引きが開始される (ステップ 208)。

[0034] 次に、本実施の形態が適用される各構成要素のハードウア構成について説明する。

図 3は、本実施形態の属性情報提供サーバ 10やユーザ装置 30、属性情報受信装置 50を実現するのに好適なコンピュータ装置のハードウェア構成例を模式的に示した図である。

図 3に示すコンピュータ装置は、演算手段である CPU(Central Processing Unit:中央処理装置) 101、 M/B (マザ一ボード)チップセット 102、この M/Bチップセット 102 および CPUバスを介して CPU101に接続されたメインメモリ 103、同じく M/Bチップセット 102および AGP(Accelerated Graphics Port)を介して CPU 101に接続されたビデォカード 104を備えている。また、 PCI(Peripheral Component Interconnect)バスを介して M/Bチップセット 102に接続された磁気ディスク装置 (HDD) 105、およびネットワークインターフェイス 106を有している。更に、この PCIバスからブリッジ回路 107 および ISAOndustry Standard Architecture)バスなどの低速なバスを介して M/Bチップセット 102に接続されたフロッピーディスクドライブ 108、およびキーボード/マウス 1 09とを備えてヽる。

[0035] 尚、図 3は本実施形態を実現するコンピュータ装置のハードウェア構成を例示するに過ぎず、本実施形態を適用可能であれば、他の種々の構成を取ることができる。例えば、ビデオカード 104を設ける代わりに、ビデオメモリのみを搭載し、 CPU101にてイメージデータを処理する構成としても良い。また、外部記憶装置として、 ATA(AT Attachment)や SCSI(Small Computer System Interface)などのインターフェイスを介して、 CD— R(Compact Disc Recordable)や DVD— RAM(Digital Versatile Disc Random Access Memory)のドライブ等を設けることも可能である。

[0036] 次に、本実施形態の属性情報提供サーバ 10における機能構成を、図 4を用いて詳述する。

図 4に示すように、属性情報提供サーバ 10は、 VID発行の機能として、抜き出し指示を受ける手段として機能する顧客レコード表示部 11および属性選択部 12、仮想レコードの生成手段の一つとして機能する仮想レコード生成部 13、仮想 ID提供手段の一つとして機能する VIDトークン発行部 14を備えている。また、仮想レコードの参照機能 (仮想レコード提供手段)として、仮想レコード参照処理部 18および仮想レコード発行部 19を備えている。更に、例えば図 3に示す磁気ディスク装置 105を用いて、加入者であるユーザ装置 30の顧客レコードや仮想レコードを格納するデータベース 20 を備えている。

[0037] このデータベース 20では、図 5に示すようなテーブルで個人情報を管理している。

もともとの個人情報のレコードは、顧客ごとに、複数の属性力もなる顧客レコードを GI D(Globally-unique ID)をキーとして保存されている。そして、ここから属性の一部がコピーされたものを、仮想 IDをキーとして登録するものとしている。図 5に示すように、同一個人の情報であっても、仮想 IDでは、 GIDの属性の異なった一部だけがコピーされており、仮想 IDである「V010101」と「V010011」とでは、各々、異なった属性情報が選択されている。仮想 ID属性の属性証明では、不必要な属性にはフィルタがかけられている。また、例えば図 5に示す仮想 ID「V010011」のように、匿名属性として、名前の部分にフィルタをかけることができる。仮想 IDの発行に際し、この仮想 IDは、 GIDとはアンリンカブル (Unlinkable)な IDとされる。また、属性コピーでは、必要な属性のみが実 IDである GIDの属性力もコピーされる。尚、仮想 IDフィールドは、実 IDと全く同等に扱うことができ、属性が欠落した実 IDレコードとの区別がつかないように構成されている。

[0038] 顧客レコード表示部 11は、仮想 IDの発行に際し、データベース 20より加入者であるユーザ装置 30の顧客レコードを取り出し、この取り出した内容を、参照のために、例えばユーザ装置 30のディスプレイ (図示せず)に表示する。ここで表示される顧客レコードは、例えば、図 5に示したように、プライマリーキーとして GIDを持ち、名前や住所などの複数の属性力なるレコードである。尚、顧客レコード表示部 11には、図 5 に示すように、 GIDと共に、今までに所定の属性が選択されて生成された仮想レコードも表示させ、参照させることができる。

属性選択部 12は、加入者であるユーザ装置 30に、表示された属性から、新規取引者である属性情報受信装置 50に提示したい属性だけを抜き出させる (選ばせる)。

[0039] 仮想レコード生成部 13は、ユーザ装置 30にて抜き出された属性だけをコピーした新しいレコードを作る。このレコードのプライマリーキーとして、既存のレコードのプライマリーキーである GIDとぶつからないような IDを生成し、これを仮想 IDとする。また、ここでは、仮想 IDの値が定義されるドメインは、十分に大きいものとし、仮想 IDを知らない者が総当り攻撃などで偶然、仮想 IDを探りあてることはないものと仮定する。生成された仮想レコードは、データベース 20に格納される。

VIDトークン発行部 14では、仮想レコード生成部 13によって生成された仮想 IDと、自サーノ (属性情報提供サーバ 10)の URLの組 {VID,URL}とを VIDトークンとして発行する。

[0040] 仮想レコード参照処理部 18では、仮想レコードの参照に際して、通常参照の処理、または VID秘匿参照の処理が実行される。 VIDトークンをユーザ装置 30から受信した属性情報受信装置 50は、前述のように、例えばブラウザを用いて、 VIDトークンに含まれる URLにアクセスすることにより、属性情報提供サーバ 10に接続される。仮想レコード参照処理部 ₁₈は、属性情報受信装置 50から提示された仮想 IDに基づいて、データベース 20から仮想レコードを検索し、仮想レコード発行部 19により、属性情報受信装置 50のディスプレイ (図示せず)に検索結果を表示する。属性情報受信装置 50は、力かる表示によって、仮想レコードにある属性情報を取得することができる。場合によっては、仮想レコード参照処理部 18や仮想レコード発行部 19にて、属性に属性情報提供サーバ 10の署名を付けて、確かに属性情報提供サーバ 10にある属性情報であるということを証明するようなサービスも付加することが可能である。

[0041] 次に、属性情報提供サーバ 10にて実行される仮想 ID秘匿参照の処理について説明する。

秘匿参照は、仮想 IDを属性情報提供サーバ 10に秘密にしたまま仮想レコードを取得するものであり、前述した OT(ObliviousTransfer)が用いられる。以下では簡単な O T、

OT({_S_l,..,_S_n})について説明する。

まず、属性情報提供サーバ 10は、予めランダムに秘密の値 $t_s ¥in Z_q$を決定し

を公開しておく。

属性情報受信装置 50は、秘密鍵 $t_u$をランダムに $Z_q$から選び、その公開鍵である

を計算する。ここで、属性情報受信装置 50は、属性情報提供サーバ 10の $h$番目の情報を得ようとしているものとする。このとき、まず、 2点 ${(0, Q_0), (h, Q_u)}$を通るような 1次多項式 $Y(x)$を、例えばラグランジュの補間法を使って一意に決定する。この多項式を使って、 $η$点 $YJ = Y(i),i=0,..,n-1$を計算し、 $¥{Y_1,Y_2,.., Υ_η¥}$を属性情報提供サーバ 10に送る。

属性情報提供サーバ 10は、属性情報受信装置 50の公開している点が 1次多項式上の点であることを検証した後、 $丫」$をそれぞれエルガマル (ElGamal)暗号の公開鍵として、秘密情報 $s_i$を暗号化したもの $Ej<_S_i,Y_i), i=l,..,n$を属性情報受信装置 50に送る。

属性情報受信装置 50は、 $h$によって指定された点については、それに対応する秘密鍵 $t_u$を持っているので、属性情報提供サーノ 10から送り返された ElGamal 暗号文を復号できる。したがって、 1個の秘密情報を得ることが可能となる。

OTでは、 h番目を指定しなければならな、が、属性情報受信装置 50の持つ仮想 I D(VID)が、全体の顧客レコードの何番目であるのかは、以下のように設定することができる。例えば、属性情報提供サーバ 10は、一方向性ハッシュ関数 H0を用い、 H( VID)のリストを公開することで設定を可能とすることができる。ここで、ノ、ッシュ関数 H のアルゴリズムは公開されているものとする。また、例えば、新規取引業者である属性情報受信装置 50は、 H(VID)のリスト中で自分の持つ仮想 IDが何番目であるかを知ることがでさる。

[0043] これで、上記の OTプロトコルによって、 H(VID)番目のレコードを取得することができる。但し、このままでは、自分の持っている仮想 IDに対応する H(VID)番目以外を指定してくることがあり、これを防ぐためには、別のハッシュ関数 H'Oを用い、予め仮想レコードの属性を H， (VID)を鍵として暗号化しておく。このハッシュ関数 H'のアルゴリズムも公開されてヽるものとする。まとめると以下のように構成される。

例えば、仮想レコードが以下のように m個の属性力もなつていたとする。

{ VIDj , Attr_{i,l}, .., Attr— {i,m}}

これを k_I = H' (VID_i)として、属性を暗号ィ匕して以下のようにする。

s— i = { H(VID_i), E— k— i(Attr— ml), E_k_i(Attr_m)}

そして、 H(VID_i)をキーとして、仮想レコード全体をソートし、順番を割り振り、これに対して OT({s_l , .. ,s_n})を行えばよ!/ヽ。

属性情報受信装置 50では、例えば、ユーザ装置 30から得た仮想 IDに基づいて、仮想レコード

s— i = { H(VID_i), E— k— i(Attr— ml), E_k_i(Attr_m)}

を取得することができる。これを k_i=H' (VIDj)によって復号することによって、 m個の属性を得ることができる。

[0044] 以上、詳述したように、本実施の形態では、まず、加入者であるユーザ装置 30は、所定のブラウザを用い、ネットワーク 70を介して個人情報取り扱い業者の運営する属性情報提供サーバ 10に入るように構成した。そして、属性情報提供サーバ 10上のデータベース 20に格納された個人属性テーブルから、必要情報だけを抜き出したものを仮想レコードとして登録し、これのキーとして仮想 IDを発行してもらうように構成した。その後、ユーザ装置 30は仮想 IDと認証に必要な情報とを新規取引者である属性情報受信装置 50に送り、属性情報受信装置 50では、その仮想 IDを使って、属性情報提供サーバ 10にログインしている。そして、属性情報受信装置 50は、仮想レコードに登録された情報データを属性情報提供サーバ 10から得ることで、属性データを参照し、取引相手が信頼できるかを判断して、取引を開始することが可能となる。

[0045] 尚、このプロトコルにおけるセキュリティの要件として、

(1) ユーザ装置 30は、属性情報提供サーバ 10上の自分の属性レコードだけを読むことができる。

(2) ユーザ装置 30は、仮想レコードを登録する際に、元の属性レコード (GIDレコード)の中の任意の属性をコピーすることはできる力改ざんすることはできない。

(3) 属性情報受信装置 50は、属性情報提供サーバ 10から渡された仮想 ID(+パスワード)によって、その仮想レコードだけを読むことができる。また、このとき次のプライパシー要件も必要に応じて付加することができる。

(4) 属性情報提供サーバ 10は、属性情報受信装置 50が仮想レコードを取得するときに、それがどの仮想 IDなの力即ち、どのユーザ装置 30の仮想レコードを渡そうとして、るのかを知ることができな、(知り得な、)。として、る。

上記要件の (1)および (3)は、従来の認証の仕組みを使えば容易に実現される。上記要件の (2)については、次のように仮想レコード登録時のサーバ側のチヱックとして実現することが可能である。

[0046] また、上述したように、本実施の形態では、属性情報提供サーバ 10上での仮想レコードおよび仮想 IDの発行は、以下のようになされる。

(1) 個人情報レコードは、 GIDという IDをプライマリーキーとして、データベース 20上に登録されてヽるものとする。

(2) 加入者であるユーザ装置 30は、 GIDとは無関係な仮想 ID(VID)をキーとする空のレコードを作る。

(3) 加入者であるユーザ装置 30は、自分の GIDレコードのうち、取引相手 (属性情報受信装置 50)に開示したい属性部分だけを仮想 IDのレコードにコピーする。

(4) このとき、属性情報提供サーバ 10は、オリジナルのレコードの属性部と仮想レコードの属性部の ORを計算し、この結果がオリジナルレコードの属性部と等しいことを検証する。即ち、

Attribute(GID) OR Attribute(VID) = Attribute(GID)

また、この要件 (4)については、暗号技術 OTによって実現される。 [0047] 以上のような構成によって、本実施の形態では、個人情報を持つ機関 (属性情報提供サーバ 10)が、その個人の求めに応じて、個人情報の一部を第三者に提供しており、この個人情報を持つ機関は、それを提供するビジネス展開が可能となる。また、加入者 (ユーザ装置 30)は、インターネット (ネットワーク 70)上で必要な与信を簡単に得ることができる。個人情報を持つ機関 (属性情報提供サーバ 10)としては、金融機関や ISP(Internet Service Provider),ネット上の商店サイト等でもよぐ加入者 (ユーザ装置 30)の同意の下に個人情報を発行するので、プライバシーの問題も生じない。また、新規取引業者 (属性情報受信装置 50)が、渡された情報を十分な与信情報と見る力否かは、新規取引業者 (属性情報受信装置 50)の任意である。更に、個人情報取り扱い業者 (属性情報提供サーバ 10)は、開示する情報については、それが自らが持つ情報と同等である (改ざんされていない)ことだけが責任範囲となり、与信情報そのものについての正当性の保障をする必要がない。例えば、加入者 (ユーザ装置 30)が自分の情報の登録時に虚偽の情報を登録した場合の正当性の保証をするものではない。

[0048] また、本実施の形態によれば、属性レコード自体が、加入者 (ユーザ装置 30)と個人情報取り扱、業者 (属性情報提供サーバ 10)の共有物 (加入者自身が登録した属性と、預金額などの活動履歴情報)であることから、加入者 (ユーザ装置 30)は、属性情報提供サーバ 10上の自分の属性レコードだけを読むことができる。また、加入者 (ユーザ装置 30)は、仮想レコードを登録する際に、元の属性レコードの中における任意の属性をコピーすることはできる力改ざんすることはできない。これによつて、加入者は、名前を特定されずに預金額などの属性だけを証明することが可能となる。更に、新規取引者 (属性情報受信装置 50)は、加入者 (ユーザ装置 30)力も渡された仮想 ID (+パスワード)によって、その仮想レコードだけを読むことができる。即ち、新規取引者 (属性情報受信装置 50)側にて認証は仮想 IDだけで行われるので、個人情報取り扱い業者 (属性情報提供サーバ 10)は、だれが仮想レコードをアクセスした力を知ることができない。その結果、この仮想 IDの受け渡しは、加入者 (ユーザ装置 30)の責任であることが明確化される。また更に、個人情報取り扱い業者 (属性情報提供サーバ 10)は、 1-out-of-N OTによって、どの加入者 (ユーザ装置 30)の仮想 IDを要求されているのかを知り得ない。これによつて、加入者 (ユーザ装置 30)は、自分がどの新規取弓 I業者 (属性情報受信装置 50)と取り弓 Iきしょうとして、るかを、個人情報取り扱!/、業者 (属性情報提供サーバ 10)に知られない状態で、認証だけを受けることができる。これによって、加入者 (ユーザ装置 30)のプライバシーの保護が強化され、また、個人情報取引業者 (属性情報提供サーバ 10)にとつても、不必要な情報を知ることなぐサービスすることが可能となる。

産業上の利用可能性

[0049] 本発明の活用例としては、属性情報提供サーバとして用いられるサーバ、ユーザ装置や属性情報受信装置として用いられる PCなどのコンピュータ装置などがあり、これらをインターネットなどのネットワークを介して Web接続されたシステム構成が考えられる。サービスプロバイダとして適用される属性情報提供サーバは、 ISP(Internet Service Provider)や金融機関、ショップサイトなどが考えられる。サービスプロバイダとしての社会的信頼が高ければ高、ほど、その与信サービスも価値あるものとなる。図面の簡単な説明

[0050] [図 1]本実施の形態が適用される属性情報提供システム (与信付与システム)の全体構成を示した図である。

[図 2]属性情報提供システムの各装置が実行する処理を示したフローチャートである

[図 3]本実施形態の属性情報提供サーバやユーザ装置、属性情報受信装置を実現するのに好適なコンピュータ装置のハードウェア構成例を模式的に示した図である。

[図 4]本実施形態の属性情報提供サーバにおける機能構成を示した図である。

[図 5]ユーザ装置のディスプレイに表示される顧客レコードおよび仮想レコードの例を示した図である。

符号の説明

[0051] 10· ··属性情報提供サーバ (個人情報サーバ)、 11…顧客レコード表示部、 12…属性選択部、 13· ··仮想レコード生成部、 14 VIDトークン発行部、 18· ··仮想レコード参照処理部、 19· ··仮想レコード発行部、 20…データベース、 30· ··ユーザ装置、 50· ·· 属性情報受信装置 (与信情報受信装置)、 70· ··ネットワーク

Claims

請求の範囲

[1] 属性情報が格納されたデータベース力所定の属性情報をネットワークを介して提供する属性情報提供サーバであって、

ネットワークを介して接続されるユーザ装置により、データベースに格納されている属性情報の中から幾つ力の属性情報の抜き出し指示を受ける手段と、

前記ユーザ装置によって指示されデータベースから抜き出された前記幾つかの属性情報だけを仮想レコードとしてデータベースに登録する手段と、

前記仮想レコードのキーとしての仮想 IDを前記ユーザ装置に提供する手段と、ネットワークを介して接続される属性情報受信装置から、前記仮想 IDを用いた前記仮想レコードの読み込み要求を受ける手段と、

前記属性情報受信装置に対して前記仮想レコードを提供する手段とを含む属性情報提供サーバ。

[2] 前記抜き出し指示を受ける手段は、前記ユーザ装置だけに当該ユーザ装置の操作者に関する属性情報を参照させ、前記仮想レコードを抜き出させる際に、任意の属性に対するコピーを許可する一方、任意の属性に対する改ざんを禁止することを特徴とする請求項 1記載の属性情報提供サーバ。

[3] 前記読み込み要求を受ける手段は、データベースの中からどの仮想 IDに対する仮想レコードの読み込み要求がなされているかを知り得ない状態にあることを特徴とする請求項 1記載の属性情報提供サーバ。

[4] データベースに格納される属性情報の中から選択された所定の情報である仮想レコードを生成する生成手段と、

前記仮想レコードのキーとなる仮想 IDに対応付けてデータベースに格納する格納手段と、

ネットワークを介して接続されるユーザ装置に前記仮想 IDを提供する仮想 ID提供手段と、

ネットワークを介して接続される属性情報受信装置力もの前記仮想 IDを用いた要求に基づいて、当該属性情報受信装置に前記仮想レコードを提供する仮想レコード提供手段とを含み、前記仮想レコード提供手段は、データベースの中からどの仮想 IDが選ばれたかを知り得ない状態にて、当該属性情報受信装置に前記仮想レコードを提供することを特徴とする属性情報提供サーバ。

[5] 前記生成手段は、データベースに格納されている加入者の属性情報の中から、前記ユーザ装置によって抜き出された情報を仮想レコードとして生成することを特徴とする請求項 4記載の属性情報提供サーバ。

[6] 前記仮想レコード提供手段は、 1- out- of- N OT(Oblivious Transfer)のプロトコルを用いて、前記属性情報受信装置に前記仮想レコードを提供することを特徴とする請求項 4記載の属性情報提供サーバ。

[7] 顧客ごとに、複数の属性情報を含む顧客レコードを格納するデータベースと、顧客が操作するユーザ装置力もの要求に基づき、前記データベースから当該顧客の顧客レコードを読み出し、ネットワークを介して前記ユーザ装置に提供する顧客レコード表示部と、

前記ユーザ装置力ネットワークを介し、前記顧客レコードの中から所定の属性情報に対する選択を受ける属性選択部と、

前記属性選択部により受けた選択に基づき、前記顧客レコードの中から選択された属性情報によって仮想レコードを生成すると共に、生成された当該仮想レコードを前記データベースに格納する仮想レコード生成部と、

前記仮想レコード生成部により生成された前記仮想レコードを特定するための仮想

IDを前記ユーザ装置に提供する仮想 ID発行部とを含む属性情報提供サーバ。

[8] 属性情報受信装置からネットワークを介してなされる前記仮想 IDを用いた情報参照要求に基づき、前記データベース力も該当する仮想レコードを読み出して当該属性情報受信装置に提供する仮想レコード参照処理部を更に備えたことを特徴とする請求項 7記載の属性情報提供サーバ。

[9] 前記仮想レコード生成部は、オリジナルである前記顧客レコードの属性内容と、生成された前記仮想レコードの属性内容とを比較し、改ざんされて、な、ことを検証することを特徴とする請求項 7記載の属性情報提供サーバ。

[10] 前記仮想 ID発行部により前記ユーザ装置に提供される前記仮想 IDは、前記顧客レコードの IDとはアンリンカブルな IDであることを特徴とする請求項 7記載の属性情報提供サーバ。

[11] 複数の属性情報を含むレコードを格納するレコード格納手段と、

前記レコード格納手段により格納された前記レコードの中から、ネットワークを介して選択された所定の属性情報によって生成された仮想レコードを格納する仮想レコード格納手段と、

どの仮想レコードが選ばれた力を知り得ない状態にて、前記仮想レコード格納手段の中力選ばれた仮想レコードを、ネットワークを介して開示する仮想レコード開示手段とを含む属性情報提供サーバ。

[12] 前記仮想レコード格納手段は、キーとしての仮想 IDに対応付けて仮想レコードを格納し、

前記仮想レコード開示手段は、どの仮想 IDが選ばれた力を知り得ない状態にて、前記仮想 IDを用いた開示要求を受けることを特徴とする請求項 11記載の属性情報提供サーバ。

[13] 前記仮想レコード開示手段は、ォブリビアストランスファー (Oblivious Transfer)の暗号技術を用いて前記仮想レコードの開示を実現することを特徴とする請求項 11記載の属性情報提供サーバ。

[14] ネットワークを介してなされたユーザ装置力もの要求に基づき、複数の属性情報からなるレコードが格納されたデータベースから、所定のレコードを読み出すステップと読み出された前記所定のレコードを、ネットワークを介して前記ユーザ装置に提供するステップと、

前記所定のレコードの中から所定の属性情報に対する前記ユーザ装置からの選択をネットワークを介して受けるステップと、

前記所定のレコードの中から選択された前記所定の属性情報を含む仮想レコードを生成するステップと、

生成された前記仮想レコードをデータベースに格納するステップと、

格納された前記仮想レコードを特定するための仮想 IDをネットワークを介して前記ユーザ装置に提供するステップとを含む属性情報提供方法。

[15] ネットワークを介して属性情報受信装置から前記仮想 IDを用いた情報参照要求を受けるステップと、

前記情報参照要求に基づき、データベース力も該当する仮想レコードを読み出すステップと、

読み出された前記仮想レコードを前記属性情報受信装置にネットワークを介して提供するステップとを更に含む請求項 14記載の属性情報提供方法。

[16] 前記情報参照要求は、 1-out-of-N OT(Oblivious Transfer)のプロトコルを用いてなさ

れることを特徴とする請求項 14記載の属性情報提供方法。

[17] データベースに格納される前記仮想レコードの属性情報が前記顧客レコードの属性情報から改ざんされたものでないことを検証するステップを更に含む請求項 14記載の属性情報提供方法。

[18] 顧客別の顧客レコードの中力所定の属性が選択されて生成された仮想レコードをキーとなる仮想 IDに対応付けて格納されたデータベースに対して、当該仮想 IDを用いた当該仮想レコードの取得要求を受けるステップと、

前記仮想 IDに対応する前記仮想レコードを前記データベース力読み出し、前記取得要求に対して当該仮想レコードを開示するステップとを含み、

前記仮想レコードの取得要求を受けるステップは、当該取得要求を受ける際に、どの仮想 IDが選ばれたかが秘匿されることを特徴とする属性情報提供方法。

[19] 顧客自身のコンピュータ装置を介して、当該顧客自身の顧客レコードの中力所定の属性の選択を受けるステップと、

選択された前記所定の属性だけを属性とする前記仮想レコードを生成して前記データベースに格納するステップと、

前記データベースに格納された前記仮想レコードのキーとなる前記仮想 IDを前記コンピュータ装置に提供するステップとを更に含む請求項 18記載の属性情報提供方法。

[20] ネットワークを介して属性情報を提供するための属性情報提供サーバとして機能するコンピュータに、

ネットワークを介してなされたユーザ装置力もの要求に基づき、複数の属性情報からなるレコードが格納されたデータベースから、所定のレコードを読み出す機能と、読み出された前記所定のレコードを、ネットワークを介して前記ユーザ装置に提供する機能と、

前記所定のレコードの中から所定の属性情報に対する前記ユーザ装置からの選択をネットワークを介して受ける機能と、

前記所定のレコードの中から選択された前記所定の属性情報を含む仮想レコードを生成する機能と、

生成された前記仮想レコードをデータベースに格納する機能と、

格納された前記仮想レコードを特定するための仮想 IDをネットワークを介して前記ユーザ装置に提供する機能とを実現させるプログラム。

[21] 前記コンピュータに、データベースに格納される前記仮想レコードの属性情報が前記レコードの属性情報力改ざんされたものではないことを検証する機能を更に実現させる請求項 20記載のプログラム。

[22] ネットワークを介して属性情報を提供するための属性情報提供サーバとして機能するコンピュータに、

格納されるレコードの中から所定の属性が選択されて生成された仮想レコードを、キーとなる仮想 IDに対応付けてデータベースに格納する機能と、

どの仮想 IDが選ばれたかが秘匿された状態にて前記仮想 IDを用いた前記仮想レコードの取得要求を受ける機能と、

前記仮想 IDに対応する前記仮想レコードを前記データベース力読み出し、前記取得要求に対して当該仮想レコードを開示する機能とを実現させるプログラム。