WO2010067820A1 - ゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラム - Google Patents

ゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラム Download PDF

Info

Publication number
WO2010067820A1
WO2010067820A1 PCT/JP2009/070605 JP2009070605W WO2010067820A1 WO 2010067820 A1 WO2010067820 A1 WO 2010067820A1 JP 2009070605 W JP2009070605 W JP 2009070605W WO 2010067820 A1 WO2010067820 A1 WO 2010067820A1
Authority
WO
WIPO (PCT)
Prior art keywords
zero knowledge
data
zero
hash value
pseudo random
Prior art date
Application number
PCT/JP2009/070605
Other languages
English (en)
French (fr)
Inventor
勇 寺西
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US13/133,110 priority Critical patent/US20110246779A1/en
Priority to EP09831924.7A priority patent/EP2378706A4/en
Priority to JP2010542116A priority patent/JPWO2010067820A1/ja
Publication of WO2010067820A1 publication Critical patent/WO2010067820A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/04—Protocols specially adapted for terminals or networks with limited capabilities; specially adapted for terminal portability
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
    • H04L9/3013—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the discrete logarithm problem, e.g. ElGamal or Diffie-Hellman systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem
    • H04L2209/463—Electronic voting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Definitions

  • the present invention relates to a discrete logarithm zero-knowledge proofing system, and more particularly, to a zero-knowledge proofing system, a zero-knowledge proofing device, a zero-knowledge validating unit, and a zero-knowledge proofing device which make it possible to reduce the storage capacity of devices required for zero-knowledge proofing. It relates to a method and its program.
  • n is a natural number
  • G is an element of Z / nZ
  • x is an integer
  • “x to the power of G” is described as “G x ” in lines other than mathematical expressions.
  • This technology is widely used in technologies related to cryptography, and is applied in various situations such as public key cryptography, electronic signatures, group signatures, electronic voting, and the like.
  • Patent Document 2 describes a technique related to the receipt of electronic money, which reduces the storage capacity of an ID to be transmitted for a challenge.
  • Patent Document 3 describes a technique for generating challenges in a chain from one hash value.
  • Patent Document 4 describes a technique in which even if an intermediary deletes a signature portion of a digitally signed data stream, the final receiver does not prevent the ability to verify the authenticity of the data.
  • An object of the present invention is to provide a zero knowledge proving system, a zero knowledge proving device, a zero knowledge verifying device, a zero knowledge proving method, and a program that enable zero knowledge proof of discrete logarithm even with a device having a small main storage capacity. It is.
  • a zero-knowledge proving system for performing discrete-log zero-knowledge proving that is a verification in a state in which the zero-knowledge verifying device does not know x, wherein the zero-knowledge proving device performs pseudorandom numbers and hash values obtained in the past Calculating a plurality of pseudo random numbers from a temporary storage unit storing the random number sequence, an arbitrary random number sequence and a pseudo random function, and calculating a hash value based on the calculated pseudo random numbers and the information stored in the temporary storage unit.
  • a first processing unit which performs a process of overwriting the temporary storage unit with the calculated pseudorandom numbers and the hash value a plurality of times, a second processing unit which determines a part of the plurality of pseudorandom numbers based on the hash values;
  • Department doubt Data receiving means having a third processing unit for transmitting a hash value obtained by recalculating the similar random number to the zero knowledge verifying device, the zero knowledge verifying device sequentially receiving new input data from the zero knowledge proving device
  • Processing means for newly overwriting the temporary storage unit with the hash value of data including the variable and the input data stored in the temporary storage unit provided in advance each time the data receiving unit receives the input data;
  • a determination unit which determines whether to authenticate or reject the zero knowledge proving device based on and sends the result of the determination back to the zero knowledge proving device.
  • a zero knowledge verifying apparatus that causes a zero knowledge verifying apparatus to verify a temporary storage unit that stores pseudo random numbers and hash values obtained in the past, and calculates a plurality of pseudo random numbers from an arbitrary random number sequence and a pseudo random function;
  • a first processing unit that calculates a hash value based on the calculated pseudo random number and information stored in the temporary storage unit and overwrites the calculated pseudo random number and hash value on the temporary storage unit multiple times
  • a second processing unit that determines a part of the plurality of pseudo random numbers based on the hash value, and a third processing unit that transmits a hash value obtained by recalculating a part of the pseudo random numbers to the zero knowledge verification device
  • the hash value A data receiving unit for receiving data representing rejection or certification from the zero knowledge verification apparatus after being transmitted to the knowledge verification apparatus;
  • a determination unit for returning the result of the above to the zero knowledge proving device.
  • the first processing unit calculates a pseudo random number from the pseudo random function, and based on the calculated pseudo random number, the pseudo random number stored in the temporary storage unit provided in advance, and the hash value obtained in the past
  • the first processing unit calculates the hash value and overwrites the calculated pseudo random number and the hash value on the temporary storage unit multiple times, and the second processing unit performs the zero knowledge verification device based on the hash value Output to
  • the third processing unit recalculates a part of the plurality of pseudo random numbers, sends the part to the zero knowledge verifying device,
  • a procedure of performing a process of overwriting a storage unit multiple times, a procedure of determining a part of a plurality of pseudo random numbers based on a hash value, and a zero knowledge test on a hash value obtained by recalculating a part of the pseudo random numbers A computer is caused to execute a procedure of transmitting
  • a zero-knowledge verification device that performs discrete-log zero-knowledge proofing that does not know x without knowing x
  • causing the computer to execute a procedure of determining whether to make a decision and sending the result of the determination back to the zero knowledge proving device.
  • the present invention is configured to perform the calculation processing for calculating the hash value as described above while reusing the memory for storing the pseudo random number and the hash value. Therefore, a plurality of random numbers and a hash value corresponding to each of them It is not necessary to store the entire set of (i) and (ii), so that even a device with a small main storage capacity can enable discrete logarithm zero-knowledge proofing.
  • the zero knowledge proving system 1 comprises a zero knowledge proving device (the prover device 10) and a zero knowledge verifying device (the verifier device 20).
  • the zero knowledge proving device (certifier device 10) calculates a plurality of pseudo random numbers from a temporary storage unit (RAM 12) storing pseudo random numbers and a hash value obtained in the past, and an arbitrary random number sequence and a pseudo random function.
  • the zero knowledge verification apparatus is a data receiving means (communication interface 23) for sequentially receiving new input data from the zero knowledge proving apparatus, and a temporary storage provided in advance each time the data receiving means receives the input data.
  • Processing means for overwriting the temporary storage unit with a hash value of data including a variable and input data stored in the unit (RAM 22) as a new variable based on the variable It has a determination unit (third processing unit 24c) that determines whether to authenticate or reject the zero knowledge proving device and sends the result of the determination back to the zero knowledge proving device.
  • the first processing unit 14a of the zero knowledge proving device reads the elements G and H of the group, defines an initial value of data V representing a pseudo random number, and determines the first and second data.
  • the second processing unit 14b following this gives a data Y representing a part of the plurality of pseudo random numbers to some initial value, and adds a value based on the hash value U of the data including V and j to Y. It has an iterative processing function that repeats the process of setting Y to N times.
  • the third processing unit 14c following this repeats the process of setting G to Y and the power residue remainder as A, N times, and in the j-th process (1 ⁇ j ⁇ N), to Y0 and R0.
  • the first and second hash values T0 and T1 are calculated on the basis, and 1-bit data c is calculated from data including V, A and j, and if c is 0, Y0, R0 and T1, c is If it is 1, it has a hash value output processing function that performs processing of transmitting Y1, R1 and T0 to the zero knowledge verification apparatus.
  • the zero knowledge proving device transmits the hash value to the zero knowledge verifying device, and then returns a data receiving unit (communication interface 13) which is returned from the zero knowledge verifying device and which represents the rejection or the authentication. Equipped with
  • the processing means reads the elements G and H of the group, gives some initial value to the data V representing variables, and proves zero knowledge It receives data c, data Y, data T, and data R from the device as input, calculates first and second hash values including Y and R, and newly overwrites the temporary storage unit as data V A first processing unit 24a that repeats a number of times is provided.
  • the processing means initializes data W to 0 and data C to 0, and sets a hash value of data including (1 ⁇ j ⁇ N) V and j in the jth process to U, and Wj and U
  • a second processing unit 24b is repeated N times such that the product of W and W is newly added to W, and the product of Cj and U to C is newly added and C.
  • the processing means further sets A to be the product of G multiplied by W and the product of H multiplied by C minus a product of multiplication by the power remainder and is A, and in the j-th process (1 ⁇ j ⁇ N) Repeat the procedure of outputting and stopping data indicating that the zero knowledge proving device is rejected if the hash value of one including V, A and j does not match Cj, and repeat this procedure N times.
  • the third processing unit 24 c outputs data representing that the zero knowledge proving device is to be authenticated if the data representing the rejection is not output.
  • the present embodiment does not need to store all pairs of a plurality of random numbers and their corresponding hash values, so that even if the device has a small main storage capacity, the discrete logarithm is zero Knowledge proof can be made possible. This will be described in more detail below.
  • ⁇ , N, ⁇ , ⁇ , ⁇ , ⁇ , n be security parameters.
  • ⁇ , N, ⁇ , ⁇ , ⁇ , ⁇ , and n may be 160, 1304, 60, 60, 1244, 1024, and 1024, respectively.
  • ⁇ , N, ⁇ , ⁇ , ⁇ , and n can be set to 192, 2496, 112, 112, 2384, 2048, and 2048, respectively.
  • F ⁇ + ⁇ be a pseudorandom function producing an output of ⁇ + ⁇ bits, and write the output of F ⁇ + ⁇ when data X and key K are input as F ⁇ + ⁇ (K, X).
  • F ⁇ + ⁇ be a pseudorandom function that produces an output of ⁇ + ⁇ bits.
  • the output of F ⁇ + ⁇ when data X and key K are input is written as F ⁇ + ⁇ (K, X). Note that “ ⁇ + ⁇ ” and “ ⁇ + ⁇ ” are subscripts in an actual expression.
  • any F ⁇ + ⁇ and F ⁇ + ⁇ may be used as long as the output satisfies the above conditions, for example, a function that makes the hash value correspond to (K, X) can be F ⁇ + ⁇ and F ⁇ + ⁇ .
  • Each character of “ ⁇ ”, “ ⁇ ”, and“ 1 ”of“ ⁇ , ⁇ , ⁇ 1 ” is a subscript character in an actual expression.
  • FIG. 1 is an explanatory view showing the configuration of a zero knowledge proving system 1 according to a first embodiment of the present invention.
  • the zero knowledge proving system 1 includes a prover device 10 which is a computer device operated by a prover, and a verifier device 20 which is a computer device operated by a verifier.
  • the prover device 10 and the verifier device 20 are Connected to each other.
  • the prover device 10 has a central processing unit (CPU) 11 which is an entity that executes a computer program, a random access memory (RAM) 12 in which a computer program executed by the CPU 11 is read and stored, and another computer. And a communication interface 13 for exchanging data. Then, the proving means 14 which is a computer program executed by the CPU 11 is stored in the RAM 12 and executed.
  • the input device 16 is used to input initial data and the like necessary for the operation of the proving means 14.
  • the verifier device 20 also includes a CPU 21, a RAM 22, and a communication interface 23.
  • the verification means 24 which is a computer program executed by the CPU 21 is stored in the RAM 22 and executed.
  • the input device 26 is used to input initial data and the like necessary for the operation of the verification means 24.
  • the proving means 14 and the verifying means 24 are illustrated as being present and executed on the CPUs 11 and 21, respectively.
  • a loop 15 exists in the algorithm of the proving means 14, and each time the loop 15 is executed, the proving means 14 outputs (c, Y, R, T) to the verifier device 20 through the communication interface 13.
  • a loop 25 exists in the algorithm of the verification means 24, and each time it goes around the loop 25, it receives (c, Y, R, T) outputted from the proving means 14.
  • the loops 15 and 25 are realized by, for example, a for statement, a while statement, a do-while statement, etc. in the C ++ language, but can be realized with a syntax corresponding to each language in other programming languages.
  • the parameters of G, H and n are input by the prover to the prover device 10 and the verifier to the verifier device 20 using the input devices 16 and 26, respectively. Also, the prover inputs x to the prover device 10 using the input device 16.
  • the prover or proving means 14 secures storage areas such as STORE [G] 12 g, STORE [H] 12 h, STORE [n] 12 n, STORE [x] 12 x on the RAM 12 and stores G and H respectively in these areas. , N, write x.
  • the verifier or verification means 24 also secures storage areas such as STORE [G] 22 g, STORE [H] 22 h, and STORE [n] 22 n on the RAM 22, and stores G, H,. write n.
  • the proving means 14 reserves storage areas such as storage areas STORE [V] 12 v, STORE [Rand X] 12 rx, STORE [Rand R] 12 rr, STORE [Y] 12 y, and STORE [A] 12 a on the RAM 12. Since these storage areas are areas required only during the execution of the proving means, they may be dynamically secured when the proving means 14 is executed. In the following description, it is assumed that each of the above areas is a different area on the RAM 12, but since the STORE [Y] 12y and the STORE [A] 12a are not used simultaneously, the same area is used. You may use
  • the verification means 24 stores STORE [V] 22v, STORE [W1] 22w1, ..., STORE [WN] 22wn, STORE [C1] 22c1, ..., STORE [CN] 22cn, STORE [W] 22w, STORE A storage area [C] 22 c is secured on the RAM 22. Since these storage areas are areas required only during the execution of the verification means 24, they may be secured dynamically when the verification means 24 is executed.
  • FIGS. 2 to 4 are flowcharts showing the operation of the proving means 14 shown in FIG.
  • the part performing the operation (steps S101 to S114) described in FIG. 2 in the proving means 14 is referred to as “first processing unit” in the claims and the operation described in FIG.
  • the part that performs (steps S115 to 123) is referred to as a "second processing unit” in the claims, and the part that performs the operation (steps S124 to 132) described in FIG. Department.
  • the proving means 14 randomly selects RandX and RandR, both of which are bit strings of ⁇ bits, and writes the selected RandX and RandR into STORE [RandX] 12rx and STORE [RandR] 12rr, respectively (steps S102 to S103).
  • the proving means 14 reads RandX from the STORE [RandX] 12rx, and calculates Y0 by the following equation (step S107).
  • the proving means 14 reads Rand R from the STORE [Rand R] 12 rr, and calculates R 0 by the following equation (step S 108).
  • the proving means 14 calculates T0 by the following equation (step S109).
  • the proving means 14 reads V from the STORE [V] 12v, calculates V by the following equation, and overwrites the obtained V on the STORE [V] 12v (step S110).
  • the proving means 14 reads x from STORE [x] 12x and calculates Y1 by the following equation (step S111).
  • the proving means 14 reads Rand R from the STORE [Rand R] 12 rr and calculates R 1 by the following equation (step S 112).
  • the proving means 14 calculates T1 from the obtained Y1 and R1 by the following equation (step S113).
  • the proving means 14 reads V from the STORE [V] 12v, calculates V by the following equation, and overwrites the obtained V on the STORE [V] 12v (step S114). After that, the processing of the proving means 14 returns to step S105, and j is increased by 1 and the processing of steps S107 to S114 is repeated until j ⁇ N + 1.
  • the proving means 14 reads RandX from the STORE [RandX] 12rx and calculates Y0 by the following equation (step S119).
  • the proving means 14 calculates U by the following equation (step S120).
  • the proving means 14 reads Y from the STORE [Y] 12 y, calculates Y by the following equation, and overwrites the obtained Y on the STORE [Y] 12 y (step S 121).
  • the proving means 14 reads G, Y and n respectively from STORE [G] 12 g, STORE [Y] 12 y, and STORE [n] 12 n and calculates A by the following formula (Step S122) The obtained A is written to STORE [A] (step S123).
  • STORE [Y] 12 y and STORE [A] 12 a use different storage areas, since STORE [Y] 12 y is not used in subsequent steps, STORE [Y] 12 y is released. It is also good.
  • the proving means 14 reads RandX from the STORE [RandX] 12rx and calculates Y0 by the following equation (step S127).
  • the proving means 14 reads x from STORE [x] 12x and calculates Y1 by the following equation (step S128).
  • the proving means 14 reads Rand R from STORE [Rand R] 12 rr, and calculates R 0 and R 1 by the following equation (step S 129).
  • the proving means 14 calculates T0 and T1 by the following equation (step S130).
  • the proving means 14 reads V and A from the STORE [V] 12 v and the STORE [A] 12 a, respectively, and calculates c by the following equation (step S 131).
  • the proving means 14 calculates each of Y, T, R by the following equation, and outputs (c, Y, R, T) to the verifier device 20 through the communication interface 13 (step S132). .
  • FIGS. 5 to 7 are flowcharts showing the operation of the verification means 24 shown in FIG.
  • the part performing the operation (steps S201 to S211) described in FIG. 5 in the verification unit 24 is referred to as “first processing unit” in the claims, and the operation described in FIG.
  • the part that performs (steps S212 to S218) is called a “second processing unit” in the claims.
  • the "first processing unit” and the “second processing unit” are collectively referred to as “processing means”.
  • a portion performing the operation (steps S219 to S226) shown in FIG. 7 is referred to as a "determination unit” or a "third processing unit".
  • the verification means 24 first calculates V from G and H given in advance by the following equation, and writes V obtained in STORE [V] 22 v (step S 201).
  • the verification unit 24 reads the value of V stored in the STORE [V] 22 v, calculates V by the following equation, and overwrites the obtained V on the STORE [V] 22 v (step S 209).
  • the verification means 24 reads the value of V stored in STORE [V] 22 v again, calculates V by the following equation, and further overwrites the obtained V on STORE [V] 22 v (step S 210). .
  • the verification means 24 defines Cj and Wj as the following equation, and writes Cj and Wj defined by these in STORE [Cj] 22cj and STORE [Wj] 22wj (step S211).
  • step S203 the processing of the verification means 24 returns to step S203, and repeats the processing of steps S205 to S211 until j ⁇ N + 1 is obtained by increasing j by one.
  • the verification means 24 calculates U by the following equation (step S216).
  • the verification means 24 reads W and Wj from STORE [W] 22w and STORE [Wj] 22wj, respectively, calculates W by the following equation using the value of U calculated in step S216, and stores this W [ W] is overwritten (step S217).
  • the verification means 24 reads C and Cj from the STORE [C] 22c and STORE [Cj] 22cj, respectively, calculates C by the following equation, and overwrites this C on the STORE [C] 22c (step S218). Thereafter, the processing of the verification means 24 returns to step S214, and j is increased by 1 and the processing of steps S216 to S218 is repeated until j ⁇ N + 1.
  • step S214 the verification unit 24 reads G, H, n from STORE [G] 22 g, STORE [H] 22 h, STORE [n] 22 n, respectively, and calculates A by the following formula. (Step S219).
  • Verification unit 24 reads V from STORE [V] 22 v, and determines whether or not the condition for C j shown by the following equation is satisfied (steps S 223 to 224), and if it is satisfied, verification unit 24 sends Reject is output (details will be described later), and the process ends (step S225).
  • the verification means 24 does nothing in particular and returns to the process of step S221, increments j by 1 and repeats the processes of steps S223 to S224 until j ⁇ N + 1.
  • step S222 Even if j ⁇ N + 1 is determined in step S222, if reject is not output by then, the verification means 24 outputs accept to the prover device 10 (details will be described later) and ends the processing (step S226).
  • the “reject” that the verification means 24 outputs to the prover device 10 mentioned above means that the verifier device 20 has determined that the proof that the prover device 10 attempted to do is unfair, "Accept” means that it is judged to be valid.
  • the prover device 10 may notify the user of the fact through the display device.
  • the prover device 10 is notified of this zero-knowledge proof to another program using it as a subroutine, and when the "accept” output is received, the processing by the program is continued, and when the "reject” output is received, the processing is performed there. You may end the
  • the operation according to the present embodiment is in the zero knowledge proving system 1 including the zero knowledge proving device (the prover device 10) and the zero knowledge verifying device (the verifier device 20).
  • Processing unit 14a calculates a pseudo random number from an arbitrary random number sequence and a pseudo random function (FIG. 2: steps S107 to 108), and stores the calculated pseudo random number and the temporary storage unit (RAM 12) provided in advance.
  • the first processing unit calculates the hash value and overwrites the calculated pseudo random number and the hash value on the temporary storage unit multiple times based on the calculated pseudo random number and the hash value obtained in the past ( 2: Steps S109 to 114), the second processing unit 14b determines a part of the plurality of pseudo random numbers to be output to the zero knowledge verification apparatus based on the hash value (FIG. 3: Steps S115 to 22), the third processing unit, sends the hash value obtained by recalculating the part of the pseudo-random number to zero knowledge verification device (Fig. 4: Step S125 ⁇ 132).
  • the data receiving means communication interface 23 sequentially receives new input data from the zero knowledge proving device (FIG.
  • step S205 the verifying means 24 receives the input data
  • the hash value of data including the variable and input data stored in the temporary storage unit (RAM 22) prepared in advance each time is newly overwritten as a variable in the temporary storage area (FIG. 5: steps S209 to 210).
  • steps S209 to 210 Whether to authenticate or reject the zero knowledge proving device is judged based on and the result of the determination is sent back to the zero knowledge proving device.
  • the first processing unit 14a of the zero knowledge proving device reads the elements G and H of the group (FIG. 2: step S101), reads the integer x, and defines an initial value of data V representing a pseudo random number, The process of calculating the first and second data pseudo random function values and newly setting the hash value of data including V and the first and second data pseudo random function values Y0 and R0 to V N times (N is Two or more natural numbers) are repeated (FIG. 2: steps S107-114).
  • the second processing unit 14b of the zero knowledge proving device gives some initial value to the data Y representing a part of the plurality of pseudo random numbers, and in the j-th process, V and j at (1 ⁇ j ⁇ N) Y. Is repeated N times to newly add Y based on the value based on the hash value U of the data including N (FIG. 3: steps S119 to 121).
  • the third processing unit 14c of the zero knowledge proving apparatus repeats the process of setting G to Y with a power remainder as A by N times (FIG. 4: steps S127 to 132), and the jth process And calculate the first and second hash values T0 and T1 based on Y0 and R0 (FIG. 4: steps S127 to 130), and 1 bit from data including V and A and j Data c (FIG. 4: step S131), and if c is 0, Y0, R0 and T1 are sent to zero knowledge verification apparatus 20 if c is 1 and Y1 and R1 and T0 are sent.
  • a process is performed (FIG. 4: step S132).
  • the first processing unit 24a of the processing means 24 of the zero knowledge verification apparatus reads the elements G and H of the group and gives some initial value to the data V representing the variable (FIG. 5: step S201)
  • the data c, the data Y, the data T, and the data R are received as an input from the zero knowledge proving device 10 in the j th process (1 ⁇ j ⁇ N) (FIG. 5: step S205)
  • a process of calculating 1 and second hash values and newly overwriting the temporary storage as data V is repeated N times (FIG. 5: steps S207 to S211).
  • the second processing unit 24b initializes data W to 0 and data C to 0 (FIG. 6: step S212), and data including (1 ⁇ j ⁇ N) V and j in the j-th process
  • the hash value of U is U (FIG. 6: step S216)
  • the product of W j and U plus W is newly W (FIG. 6: step S 217)
  • the product of C j and U plus C is new
  • the procedure of C (FIG. 6: step S218) is repeated N times.
  • the third processing unit 24c multiplies the product of G by W by a power of 2 and the data of C calculated by the second processing section by the product of H by a minus product of multiplication by H Represents A (FIG. 7: step S 219), and indicates that if the hash value including (1.ltoreq.j.ltoreq.N) V, A and j does not match Cj in the j-th process, the zero knowledge proving device is rejected Repeat the procedure of outputting and stopping the data (reject) (FIG. 7: steps S224 to 225) N times and repeating this procedure N times, if the reject is not output, the zero knowledge proving device is authenticated To output data (accept) representing (FIG. 7: step S226).
  • each of the operation steps may be programmed to be executable by a computer, and may be executed by the prover device 10 and the verifier device 20, which are computers that directly execute the steps.
  • the present embodiment has the following effects.
  • This embodiment can reduce the required storage capacity as compared to the technique described in Patent Document 1.
  • the reason is as follows.
  • the first reason is that in the present embodiment, some of the data including Yi are generated by a pseudo-random function using the same key. As a result, if only the keys of the pseudorandom function are stored, those data can be calculated from the keys as needed. Therefore, there is no need to store those data, and as a result, the storage capacity can be reduced.
  • the third reason is that the output of data is small.
  • the amount of data to be output is proportional to N.
  • the data after calculation can be output immediately and deleted from the storage area.
  • the required storage capacity can be small, so that the present embodiment can be used even in a device with a small storage capacity.
  • the second embodiment of the present invention is the same as the first embodiment described in FIGS. 1 to 7 in the network and hardware configuration, and the rough configuration of software.
  • the second embodiment is different from the first embodiment in that the zero knowledge proving device (the prover device 10) outputs the pseudo random number and the hash value to the zero knowledge verifying device (the verifier device 20).
  • a zero knowledge verification apparatus (verifier apparatus 20) having a first storage apparatus (storage 317) for storing and outputting sets collectively and from which the data receiving means is the zero knowledge proving apparatus (certifier apparatus 10)
  • the point is that it has a second storage device (storage 327) which collectively stores the set of the received pseudo random number and the hash value.
  • the storage device Since the storage device has a large storage capacity per unit price compared to volatile storage means, it is easy to increase the capacity. Also by providing this configuration, the present embodiment can obtain the same effect as that of the first embodiment described above. This will be described in more detail below.
  • FIG. 8 is an explanatory view showing the configuration of the zero knowledge proving system 301 according to the second embodiment of the present invention.
  • the zero knowledge proving system 301 includes a prover device 310 which is a computer device operated by a prover, and a verifier device 320 which is a computer device operated by a verifier.
  • the prover device 310 and the verifier device 320 Connected to each other.
  • the same elements as those of the first embodiment of the present invention are referred to by the same names and reference numerals.
  • the prover device 310 includes the CPU 11, the RAM 12, the communication interface 13, and the input device 16 as in the case of the prover device 10 according to the first embodiment described above.
  • the prover device 310 includes a storage 317 which is a large capacity nonvolatile storage means.
  • the storage 317 is a hard disk or a flash memory.
  • a proving means 314 which is a computer program to be executed by the CPU 11 is stored in the RAM 12 and executed.
  • the verifier device 320 also includes a storage 327 which is a large capacity nonvolatile storage means such as a hard disk or a flash memory.
  • the verification means 324 which is a computer program executed by the CPU 21 is stored in the RAM 22 and executed.
  • FIG. 9 is a flowchart showing the operation of the proving means 314 shown in FIG.
  • FIG. 9 shows only the difference from the operation of the proving means 14 shown in FIGS.
  • Steps S101 to 131 are the same as the operation of the proving means 14 shown in FIGS. 2 to 4, but (c, Y, R, T) calculated in step S 132 is not transmitted to the verifier device 20 but It is stored in the storage 317 (step S132 b). Then, if j ⁇ N + 1 in step S126, all (c, Y, R, T) stored in the storage 317 are transmitted to the verifier device 320 through the communication interface 13 (step S133 b), and the process is performed. Finish.
  • FIG. 10 is a flow chart showing the operation of the verification means 324 shown in FIG. After step S201, the verification means 324 receives all (c, Y, R, T) from the proving means 314, and stores it in the storage 327 (step S201 b).
  • the subsequent operations are the same as the operations of the verification unit 24 shown in FIGS. 5 to 7 and steps S202 to S226 except that step S205 is changed to “read data from storage 327” (step S205 b). is there.
  • the storages 317 and 327 which are nonvolatile storage means, have a large storage capacity per unit price as compared with the RAMs 12 and 22, which are volatile storage means, so that the capacity can be easily increased. Therefore, the same effect as that of the first embodiment described above can be obtained also in the second embodiment.
  • the embodiment of the present invention is configured as hardware, a program for realizing the functions of the zero knowledge proving system, the zero knowledge proving device, and the zero knowledge verifying device described above on software It may be constructed as In this case, the program is recorded on a recording medium and becomes a target of commerce.
  • the present invention can be widely used in situations where discrete logarithm zero-knowledge proofing is used. More specifically, there are public key encryption, electronic signature, group signature, electronic voting and the like. In particular, such technology is suitable for use in a device with a small storage capacity, such as a mobile phone terminal or a PDA (Personal Digital Assistant).
  • a device with a small storage capacity such as a mobile phone terminal or a PDA (Personal Digital Assistant).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

【課題】主記憶装置の容量の小さいデバイスでも離散対数のゼロ知識証明を可能とするゼロ知識証明システムなどを提供する。 【解決手段】ゼロ知識証明装置１０が、疑似乱数と過去に求めたハッシュ値とを記憶する一時記憶部１３と、複数の疑似乱数を計算し、この計算された疑似乱数と一時記憶部に記憶された情報に基づいてハッシュ値を計算する処理を複数回行う第１の処理部１４ａと、ハッシュ値に基づき複数の疑似乱数の一部を決定する第２の処理部１４ｂと、一部の疑似乱数を再計算して得られるハッシュ値をゼロ知識検証装置に送付する第３の処理部１４ｃとを有し、ゼロ知識検証装置２０が、一時記憶領域２２と、新しい入力データを順次受けとるデータ受信手段２３と、入力データを受信するたびに変数と入力データとを含むデータのハッシュ値を新しく変数として一時記憶領域に上書きする処理手段２４とを有する。

Description

ゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラム
　本発明は、離散対数のゼロ知識証明システムに関し、特にゼロ知識証明に必要なデバイスの記憶容量を低減することを可能とするゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラムに関する。
　まず、離散対数のゼロ知識証明について説明する。ここでいう離散対数のゼロ知識証明とは、証明者というエンティティ（要素）が検証者というエンティティに対して、「Ｈ＝Ｇｘを満たすｘを知っている」という事実を、ｘを明かす事なく証明するという技術である。
　ここで、ｎは自然数、ＧをＺ／ｎＺの元、ｘを整数とし、また数式以外の行では「Ｇのｘ乗」を「Ｇｘ」と表記するものとする。この技術は、暗号に関わる技術に数多く利用されており、公開鍵暗号、電子署名、グループ署名、電子投票など、様々な場面で応用されている。
　離散対数のゼロ知識証明には様々な方法が知られており、その中でも代表的なものとしては非特許文献１に記載されている方法からメッセージｍを除いたものがある。この方式でＨ＝Ｇｘを満たすＧをＺ／ｎＺの元ｘの知識を証明するためには、証明者はまずＺ／ｎＺの中からアトランダムにｒを選び、下式からｕを計算する。
Figure JPOXMLDOC01-appb-M000001
　そして証明者は、これに続いてハッシュ値ｃ＝Ｈ（ｕ）を計算し、ρ＝ｒ＋ｃｘを算出して、（ｃ，ρ）の組を検証者に送付する。それに対して検証者は、下式でｕを計算し、ｃ＝Ｈ（ｕ）を満たせば証明者が行おうとした証明が正当であると判断したことを示す「ａｃｃｅｐｔ」を証明者に返信し、満たさなければ不当であると判断したことを示す「ｒｅｊｅｃｔ」を返信する。
Figure JPOXMLDOC01-appb-M000002
　しかしながら非特許文献１記載の方法には、Ｇの位数をｑとすると、ｘを知らない証明者であっても１／ｑ（１／３）程度の確率で、「Ｈ＝Ｇｘを満たすｘを知っている」と偽証できてしまうという問題がある。そのため通常は、偽証される可能性を低減するため、前述の処理を複数回繰り返す必要があるので、その処理は煩雑で時間のかかるものとなる。
　特許文献１にはこの点を改良し、Ｎ個の乱数Ｙ１、…ＹＮを選び、各ＹｉからデータＴｉを計算し、ハッシュ値Θ（Ｔ１、…Ｔｎ、…）を計算し、その後Ｙ１、…ＹＮを使った計算をさらに行なうというゼロ知識証明方法が記載されている。この方法によれば、ｘを知らない証明者が「Ｈ＝Ｇｘを満たすｘを知っている」と偽証できる確率を、１／ｑ程度にまで低減させることが可能である。
　また、これ以外にゼロ知識証明に関連する技術文献として、次に述べる各々がある。特許文献２には、電子マネーの受領に関する技術で、チャレンジのために送信するＩＤの記憶容量を少なくする技術について記載されている。特許文献３には、１つのハッシュ値からチャレンジを連鎖的に生成するという技術について記載されている。特許文献４には、電子署名済のデータストリームに対して中間者がその署名部分を削除しても最終受信者がデータの真正性を検証する能力を妨げられないという技術について記載されている。
再公表ＷＯ２００６／０７７７０１号公報 特開２０００－０６７１４１号公報 特開２００３－２１８８５８号公報 特表２００７－５０３１３４号公報 Claus-Peter Schnorr. EfficientSignature Generation by Smart Cards. J. Cryptology 4(3): 161-174 (1991)
　しかしながら特許文献１記載のゼロ知識証明方法は、主記憶装置に全てのＹｉとΘ（Ｔ１、…Ｔｎ、…）との組が記憶されていることが前提となる。Ｙｉは１３００～２５００ビットのデータであり、Ｎは１０００～２０００程度の値なので、この方法を実現するためには主記憶装置に１３０～５００メガビットもの記憶容量が必要となる。したがって特許文献１記載の方法を、容量の小さい主記憶装置しか持たない携帯電話端末やＰＤＡ（Personal Digital Assistant）などのようなデバイスで利用することは困難である。特許文献２～４、および非特許文献１にも、この問題を解決しうる構成は記載されていない。
　本発明の目的は、主記憶装置の容量の小さいデバイスでも離散対数のゼロ知識証明を可能とするゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラムを提供することにある。
　上記目的を達成するため、本発明に係るゼロ知識証明システムは、ゼロ知識証明装置とゼロ知識検証装置とからなり、ゼロ知識証明装置が「Ｈ＝Ｇｘを満たすｘを知っている」か否かを、ゼロ知識検証装置がｘを知らない状態での検証である離散対数のゼロ知識証明を行うゼロ知識証明システムであって、ゼロ知識証明装置が、疑似乱数と過去に求めたハッシュ値とを記憶する一時記憶部と、任意の乱数列と疑似ランダム関数とから複数の疑似乱数を計算し、この計算された疑似乱数と一時記憶部に記憶された情報に基づいてハッシュ値を計算すると共に計算された疑似乱数およびハッシュ値を一時記憶部に上書きするという処理を複数回行う第１の処理部と、ハッシュ値に基づき複数の疑似乱数の一部を決定する第２の処理部と、一部の疑似乱数を再計算して得られるハッシュ値をゼロ知識検証装置に送信する第３の処理部とを有し、ゼロ知識検証装置が、ゼロ知識証明装置から新しい入力データを順次受けとるデータ受信手段と、データ受信手段が入力データを受信するたびに予め備えられている一時記憶部に記憶された変数と入力データとを含むデータのハッシュ値を新しく変数として一時記憶部に上書きする処理手段と、変数に基づいてゼロ知識証明装置を認証するか拒絶するかを判断して判断の結果をゼロ知識証明装置に返信する判断部とを有することを特徴とする。
　上記目的を達成するため、本発明に係るゼロ知識証明装置は、ゼロ知識検証装置との協働により、自らが「Ｈ＝Ｇｘを満たすｘを知っている」か否かをｘを知らないゼロ知識検証装置に検証させるゼロ知識証明装置であって、疑似乱数と過去に求めたハッシュ値とを記憶する一時記憶部と、任意の乱数列と疑似ランダム関数から複数の疑似乱数を計算し、この計算された疑似乱数と一時記憶部に記憶された情報に基づいてハッシュ値を計算すると共に計算された疑似乱数およびハッシュ値を一時記憶部に上書きするという処理を複数回行う第１の処理部と、ハッシュ値に基づき複数の疑似乱数の一部を決定する第２の処理部と、一部の疑似乱数を再計算して得られるハッシュ値をゼロ知識検証装置に送信する第３の処理部と、ハッシュ値をゼロ知識検証装置に送信した後にゼロ知識検証装置からの拒絶する旨もしくは認証する旨を表すデータを受信するデータ受信部とを有することを特徴とする。
　上記目的を達成するため、本発明に係るゼロ知識検証装置は、ゼロ知識証明装置からの要求に基づいて、ゼロ知識証明装置が「Ｈ＝Ｇｘを満たすｘを知っている」か否かをｘを知らない状態で検証するゼロ知識検証装置であって、ゼロ知識証明装置から新しい入力データを順次受けとるデータ受信手段と、データ受信手段が入力データを受信するたびに、予め備えられた一時記憶部に記憶された変数と入力データとを含むデータのハッシュ値を新しく変数として一時記憶部に上書きする処理手段と、変数に基づいてゼロ知識証明装置を認証するか拒絶するかを判断して判断の結果をゼロ知識証明装置に返信する判断部とを有することを特徴とする。
　上記目的を達成するため、本発明に係るゼロ知識証明方法は、ゼロ知識証明装置とゼロ知識検証装置とからなるゼロ知識証明システムにあって、ゼロ知識証明装置が「Ｈ＝Ｇｘを満たすｘを知っている」か否かを、ゼロ知識検証装置がｘを知らない状態での検証である離散対数のゼロ知識証明を行う方法であって、ゼロ知識証明装置側では、任意の乱数列と疑似ランダム関数とから、第１の処理部が疑似乱数を計算し、この計算された疑似乱数と、予め備えられた一時記憶部に記憶された疑似乱数と過去に求めたハッシュ値とに基づいて、第１の処理部がハッシュ値を計算すると共に計算された疑似乱数およびハッシュ値を一時記憶部に上書きするという処理を複数回行い、ハッシュ値に基づき、第２の処理部がゼロ知識検証装置に出力する複数の疑似乱数の一部を決定し、一部の疑似乱数を、第３の処理部が再計算してゼロ知識検証装置に送付し、次に、ゼロ知識検証装置側では、ゼロ知識証明装置から、データ受信手段が新しい入力データを順次受けとり、データ受信手段が入力データを受信するたびに、検証手段が一時記憶領域に記憶された変数と入力データとを含むデータのハッシュ値を新しく変数として予め備えられた一時記憶領域に上書きし、変数に基づいて、判断部がゼロ知識証明装置を認証するか拒絶するかを判断して判断の結果をゼロ知識証明装置に返信することを特徴とする。
　上記目的を達成するため、本発明に係るゼロ知識証明プログラムは、ゼロ知識検証装置との協働により、自らが「Ｈ＝Ｇｘを満たすｘを知っている」か否かをｘを知らないゼロ知識検証装置に検証させる離散対数のゼロ知識証明を行うゼロ知識証明装置にあって、疑似乱数と過去に求めたハッシュ値とを予め備えられた一時記憶部に記憶する手順と、任意の乱数列と疑似ランダム関数から複数の疑似乱数を計算する手順と、この計算された疑似乱数と一時記憶部に記憶された情報に基づいてハッシュ値を計算すると共に計算された疑似乱数およびハッシュ値を一時記憶部に上書きするという処理を複数回行う手順と、ハッシュ値に基づき複数の疑似乱数の一部を決定する手順と、一部の疑似乱数を再計算して得られるハッシュ値をゼロ知識検証装置に送信する手順と、ハッシュ値をゼロ知識検証装置に送信した後にゼロ知識検証装置からの拒絶する旨もしくは認証する旨を表すデータを受信する手順とをコンピュータに実行させることを特徴とする。
　上記目的を達成するため、本発明に係る別のゼロ知識証明プログラムは、ゼロ知識証明装置からの要求に基づいて、ゼロ知識証明装置が「Ｈ＝Ｇｘを満たすｘを知っている」か否かをｘを知らない状態で検証する離散対数のゼロ知識証明を行うゼロ知識検証装置にあって、ゼロ知識証明装置から新しい入力データを順次受けとる手順と、データ受信手段が入力データを受信するたびに、予め備えられた一時記憶部に記憶された変数と入力データとを含むデータのハッシュ値を新しく変数として一時記憶部に上書きする手順と、変数に基づいてゼロ知識証明装置を認証するか拒絶するかを判断して判断の結果をゼロ知識証明装置に返信する手順とをコンピュータに実行させることを特徴とする。
　本発明は、上述したようにハッシュ値を計算する計算処理を疑似乱数とハッシュ値とを記憶するメモリを再利用しながら行うように構成したので、複数の乱数とそれらの各々に対応するハッシュ値との組を全て記憶する必要はなく、従って、主記憶装置の容量の小さいデバイスでも離散対数のゼロ知識証明を可能とすることができる。
本発明の第１の実施形態に係るゼロ知識証明システムの構成を示す説明図である。 図１で示した証明手段の動作を表すフローチャートである。 図２の続きである。 図２～３の続きである。 図１で示した検証手段の動作を表すフローチャートである。 図５の続きである。 図５～６の続きである。 本発明の第２の実施形態に係るゼロ知識証明システムの構成を示す説明図である。 図８で示した証明手段の動作を表すフローチャートである。 図８で示した検証手段の動作を表すフローチャートである。
（第１の実施形態）
　以下、本発明の実施形態の構成について添付図に基づいて説明する。
　最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
　本実施形態に係るゼロ知識証明システム１は、ゼロ知識証明装置（証明者装置１０）とゼロ知識検証装置（検証者装置２０）とからなる。ゼロ知識証明装置（証明者装置１０）は、疑似乱数と過去に求めたハッシュ値とを記憶する一時記憶部（ＲＡＭ１２）と、任意の乱数列と疑似ランダム関数とから複数の疑似乱数を計算し、この計算された疑似乱数と一時記憶部に記憶された情報に基づいてハッシュ値を計算すると共に計算された疑似乱数およびハッシュ値を一時記憶部に上書きするという処理を複数回行う第１の処理部１４ａと、ハッシュ値に基づき複数の疑似乱数の一部を決定する第２の処理部１４ｂと、一部の疑似乱数を再計算して得られるハッシュ値をゼロ知識検証装置に送信する第３の処理部１４ｃとを有する。ゼロ知識検証装置（検証者装置２０）は、ゼロ知識証明装置から新しい入力データを順次受けとるデータ受信手段（通信インターフェイス２３）と、データ受信手段が入力データを受信するたびに予め備えられた一時記憶部（ＲＡＭ２２）に記憶された変数と入力データとを含むデータのハッシュ値を新しく変数として一時記憶部に上書きする処理手段（第１～第２の処理部２４ａ～２４ｂ）と、変数に基づいてゼロ知識証明装置を認証するか拒絶するかを判断して判断の結果をゼロ知識証明装置に返信する判断部（第３の処理部２４ｃ）を有する。
　ここでゼロ知識証明装置（証明者装置１０）の第１の処理部１４ａは、群の元Ｇ、Ｈを読み込み、疑似乱数を表すデータＶの初期値を定義し、第１および第２のデータ疑似ランダム関数値を計算し、Ｖと第１および第２のデータ疑似ランダム関数値Ｙ０およびＲ０を含むデータのハッシュ値を新しくＶとする処理をＮ回（Ｎは２以上の自然数）繰り返す繰り返し処理機能を持つ。
　これに続く第２の処理部１４ｂは、複数の疑似乱数の一部を表すデータＹに何らかの初期値を与え、ＹにＶとｊを含むデータのハッシュ値Ｕに基づく値を加えたものを新しくＹとする処理をＮ回繰り返す繰り返し処理機能を持つ。
　さらにこれに続く第３の処理部１４ｃは、ＧをＹで冪乗剰余したものをＡとするという処理をＮ回繰り返し、そのｊ回目の処理で（１≦ｊ≦Ｎ）、Ｙ０およびＲ０に基づいて第１および第２のハッシュ値Ｔ０およびＴ１を計算し、ＶとＡとｊを含むデータから１ビットのデータｃを計算し、ｃが０であればＹ０とＲ０とＴ１を、ｃが１であればＹ１とＲ１とＴ０を、ゼロ知識検証装置に対して送信する処理を行うハッシュ値出力処理機能を持つ。そして、ゼロ知識証明装置は、ハッシュ値をゼロ知識検証装置に送信した後に該ゼロ知識検証装置から返信される、拒絶する旨もしくは認証する旨を表すデータを受信するデータ受信部（通信インターフェイス１３）を備える。
　一方、ゼロ知識検証装置（検証者装置２０）にあって、その処理手段（検証手段２４）は、群の元Ｇ、Ｈを読み込み、変数を表すデータＶに何らかの初期値を与え、ゼロ知識証明装置からデータｃとデータＹとデータＴとデータＲを入力として受けとり、ＹとＲとを含む第１および第２のハッシュ値を計算して新たにデータＶとして一時記憶部に上書きする処理をＮ回繰り返す第１の処理部２４ａを備える。
　また、その処理手段は、データＷを０、データＣを０と各々初期設定し、ｊ回目の処理で（１≦ｊ≦Ｎ）Ｖとｊを含むデータのハッシュ値をＵとし、ＷｊとＵの積にＷを加えたものを新しくＷとし、ＣｊとＵの積にＣを加えたものを新しくＣとするという手順をＮ回繰り返す第２の処理部２４ｂを備える。
　そしてその処理手段はさらに、ＧをＷで冪乗剰余したものにＨをＣにマイナスをかけたもので冪乗剰余したものを乗じたものをＡとし、ｊ回目の処理で（１≦ｊ≦Ｎ）ＶとＡとｊを含むもののハッシュ値がＣｊと一致しなければゼロ知識証明装置を拒絶する旨を表すデータを出力して停止するという手順を繰り返し、この手順をＮ回繰り返した後で拒絶する旨を表すデータを出力していなければゼロ知識証明装置を認証する旨を表すデータを出力する第３の処理部２４ｃを備える。
　この構成を備えることにより、本実施形態は、複数の乱数とそれらの各々に対応するハッシュ値との組を全て記憶しなくてもよいので、主記憶装置の容量が小さいデバイスでも離散対数のゼロ知識証明を可能とすることができる。
　以下、これをより詳細に説明する。
　α、Ｎ、π、ζ、λ、κ、ｎを各々セキュリティ・パラメータとする。実用上は、α、Ｎ、π、ζ、λ、κ、ｎとしてそれぞれ１６０、１３０４、６０、６０、１２４４、１０２４、１０２４とするとよい。しかしより安全を期して、α、Ｎ、π、ζ、λ、κ、ｎとして１９２、２４９６、１１２、１１２、２３８４、２０４８、２０４８とすることもできる。
　ｎをビット数がαである非負整数とし、ＧをＺ／ｎＺの元とし、ｘをλビットの非負整数とし、Ｈ＝Ｇｘとする。ここでは、本発明に係るゼロ知識証明システムによって「Ｈ＝Ｇｘを満たすｘを知っている」という事実が証明されるべきであるとする。
　Ｆλ＋ζをλ＋ζビットの出力を出す疑似ランダム関数とし、データＸと鍵Ｋを入力した時のＦλ＋ζの出力をＦλ＋ζ（Ｋ、Ｘ）と書く。同様にＦλ＋πをλ＋πビットの出力を出す疑似ランダム関数とする。データＸと鍵Ｋを入力した時のＦλ＋πの出力をＦλ＋π（Ｋ、Ｘ）と書く。なお、「λ＋ζ」「λ＋π」は、実際の式では下付き文字となる。
　出力が上述の条件を満たしてさえいればどのようなＦλ＋ζ、Ｆλ＋πとして使っても良いが、たとえば（Ｋ、Ｘ）にそのハッシュ値を対応させる関数をＦλ＋ζ、Ｆλ＋πとする事ができる。Θλ、Θκ、Θ１をそれぞれ出力がλビット、κビット、１ビットのハッシュ関数とする。なお、「Θλ、Θκ、Θ１」の「λ」「κ」「１」の各文字は、実際の式では下付き文字となる。
　図１は、本発明の第１の実施形態に係るゼロ知識証明システム１の構成を示す説明図である。ゼロ知識証明システム１は、証明者が操作するコンピュータ装置である証明者装置１０と、検証者が操作するコンピュータ装置である検証者装置２０とからなり、証明者装置１０と検証者装置２０とは相互に接続されている。
　証明者装置１０は、コンピュータプログラムを実行する主体であるＣＰＵ（Central Processing Unit）１１と、ＣＰＵ１１が実行するコンピュータプログラムが読み込まれて記憶されるＲＡＭ（Random Access Memory）１２と、他のコンピュータとのデータの交換を行う通信インターフェイス１３とを備える。そして、ＣＰＵ１１に実行されるコンピュータプログラムである証明手段１４が、ＲＡＭ１２に記憶されて実行される。入力装置１６は、証明手段１４の動作に必要な初期データなどの入力に使用される。
　これと同様に、検証者装置２０も、ＣＰＵ２１と、ＲＡＭ２２と、通信インターフェイス２３とを備える。そして、ＣＰＵ２１に実行されるコンピュータプログラムである検証手段２４が、ＲＡＭ２２に記憶されて実行される。入力装置２６は、検証手段２４の動作に必要な初期データなどの入力に使用される。なお、図１では便宜上、証明手段１４および検証手段２４は、各々ＣＰＵ１１および２１上に存在して実行されるように描いている。
　証明手段１４のアルゴリズムにはループ１５が存在し、このループ１５が実行されるたびに証明手段１４は、通信インターフェイス１３を介して検証者装置２０に、（ｃ、Ｙ、Ｒ、Ｔ）を出力する。検証手段２４のアルゴリズムにはループ２５が存在し、このループ２５を回るたびに証明手段１４から出力された（ｃ、Ｙ、Ｒ、Ｔ）を受けとる。ループ１５および２５は、たとえばＣ＋＋言語ではｆｏｒ文やｗｈｉｌｅ文、ｄｏ－ｗｈｉｌｅ文などによって実現されるが、これ以外のプログラム言語においても各々の言語に応じた構文で実現可能である。
　Ｇ、Ｈ、ｎの各々のパラメータは、証明者が証明者装置１０に、検証者が検証者装置２０に、入力装置１６および２６を使用して各々入力する。またｘは、証明者が入力装置１６を利用して証明者装置１０に入力する。証明者または証明手段１４は、ＲＡＭ１２上にＳＴＯＲＥ［Ｇ］１２ｇ、ＳＴＯＲＥ［Ｈ］１２ｈ、ＳＴＯＲＥ［ｎ］１２ｎ、ＳＴＯＲＥ［ｘ］１２ｘという記憶領域を確保し、それらの各領域にそれぞれＧ、Ｈ、ｎ、ｘを書き込む。これと同様に、検証者または検証手段２４も、ＲＡＭ２２上にＳＴＯＲＥ［Ｇ］２２ｇ、ＳＴＯＲＥ［Ｈ］２２ｈ、ＳＴＯＲＥ［ｎ］２２ｎという記憶領域を確保し、それらの各領域にそれぞれＧ、Ｈ、ｎを書き込む。
　証明手段１４はＲＡＭ１２上に記憶領域ＳＴＯＲＥ［Ｖ］１２ｖ、ＳＴＯＲＥ［ＲａｎｄＸ］１２ｒｘ、ＳＴＯＲＥ［ＲａｎｄＲ］１２ｒｒ、ＳＴＯＲＥ［Ｙ］１２ｙ、ＳＴＯＲＥ［Ａ］１２ａという記憶領域を確保する。なおこれらの記憶領域は証明手段の実行中でのみ必要とする領域なので、証明手段１４の実行時に動的に確保されるようにしてもよい。また、以下では上記の各領域は各々ＲＡＭ１２上の異なる領域である事を前提として説明しているが、ＳＴＯＲＥ［Ｙ］１２ｙとＳＴＯＲＥ［Ａ］１２ａは同時に利用されることはないので、同じ領域を利用しても構わない。
　これと同様に検証手段２４は、ＳＴＯＲＥ［Ｖ］２２ｖ、ＳＴＯＲＥ［Ｗ１］２２ｗ１、…、ＳＴＯＲＥ［ＷＮ］２２ｗｎ、ＳＴＯＲＥ［Ｃ１］２２ｃ１、…、ＳＴＯＲＥ［ＣＮ］２２ｃｎ、ＳＴＯＲＥ［Ｗ］２２ｗ、ＳＴＯＲＥ［Ｃ］２２ｃという記憶領域をＲＡＭ２２上に確保する。なおこれらの記憶領域は検証手段２４の実行中でのみ必要とされる領域であるので、検証手段２４が実行される時に動的に確保するようにしてもよい。
（証明手段の動作）
　図２～４は、図１で示した証明手段１４の動作を表すフローチャートである。図２～４で、証明手段１４の中で図２に記載された動作（ステップＳ１０１～１１４）を行う部分を請求項内では「第１の処理部」といい、図３に記載された動作（ステップＳ１１５～１２３）を行う部分を請求項内では「第２の処理部」といい、図４に記載された動作（ステップＳ１２４～１３２）を行う部分を請求項内では「第３の処理部」という。
　処理を開始すると、まず証明手段１４は下式でＶ＝Θκ（Ｇ、Ｈ）を計算し、ＳＴＯＲＥ［Ｖ］１２ｖにＶを記憶する（ステップＳ１０１）。
Figure JPOXMLDOC01-appb-M000003
　続いて証明手段１４は、共にαビットのビット列であるＲａｎｄＸおよびＲａｎｄＲをランダムに選び、選んだＲａｎｄＸ、ＲａｎｄＲをそれぞれＳＴＯＲＥ［ＲａｎｄＸ］１２ｒｘ、ＳＴＯＲＥ［ＲａｎｄＲ］１２ｒｒに書き込む（ステップＳ１０２～１０３）。
　次に証明手段１４は、変数ｊの初期値を０とし（ステップＳ１０４）、ｊを１ずつ増加させながら、ｊ＝１～Ｎの各々について、後述のステップＳ１０７～１１４を実行する。ｊ≧Ｎ＋１となれば、後述のステップＳ１１５に進む（ステップＳ１０５～１０６）。
　証明手段１４は、ＳＴＯＲＥ［ＲａｎｄＸ］１２ｒｘからＲａｎｄＸを読み込み、下式でＹ０を計算する（ステップＳ１０７）。
Figure JPOXMLDOC01-appb-M000004
　続いて証明手段１４は、ＳＴＯＲＥ［ＲａｎｄＲ］１２ｒｒからＲａｎｄＲを読み込み、下式でＲ０を計算する（ステップＳ１０８）。
Figure JPOXMLDOC01-appb-M000005
　さらに証明手段１４は、下式でＴ０を計算する（ステップＳ１０９）。
Figure JPOXMLDOC01-appb-M000006
　そして証明手段１４は、ＳＴＯＲＥ［Ｖ］１２ｖからＶを読み込み、下式でＶを計算して、得られたＶをＳＴＯＲＥ［Ｖ］１２ｖに上書きする（ステップＳ１１０）。
Figure JPOXMLDOC01-appb-M000007
　続いて証明手段１４は、ＳＴＯＲＥ［ｘ］１２ｘからｘを読み込んで下式でＹ１を計算する（ステップＳ１１１）。
Figure JPOXMLDOC01-appb-M000008
　続いて証明手段１４は、ＳＴＯＲＥ［ＲａｎｄＲ］１２ｒｒからＲａｎｄＲを読み込んで下式でＲ１を計算する（ステップＳ１１２）。
Figure JPOXMLDOC01-appb-M000009
　証明手段１４は、得られたＹ１とＲ１とから下式でＴ１を計算する（ステップＳ１１３）。
Figure JPOXMLDOC01-appb-M000010
　さらに証明手段１４は、ＳＴＯＲＥ［Ｖ］１２ｖからＶを読み込んで下式でＶを計算し、得られたＶをＳＴＯＲＥ［Ｖ］１２ｖに上書きする（ステップＳ１１４）。
Figure JPOXMLDOC01-appb-M000011
 　この後、証明手段１４の処理はステップＳ１０５に戻り、ｊを１だけ増加させてｊ≧Ｎ＋１となるまではステップＳ１０７～１１４の処理を繰り返す。
　ステップＳ１０６でｊ≧Ｎ＋１と判断されれば、証明手段１４はＲＡＭ１２上に記憶領域ＳＴＯＲＥ［Ｙ］１２ｙを確保し、Ｙの初期値をＹ＝０として、ＹをＳＴＯＲＥ［Ｙ］１２ｙに書き込む（ステップＳ１１５）。続いて証明手段１４は、変数ｊの初期値を０とし（ステップＳ１１６）、ｊを１ずつ増加させながら、ｊ＝１～Ｎの各々について、後述のステップＳ１１９～１２１を実行する。ｊ≧Ｎ＋１となれば、後述のステップＳ１２２に進む（ステップＳ１１７～１１８）。
　証明手段１４は、ＳＴＯＲＥ［ＲａｎｄＸ］１２ｒｘからＲａｎｄＸを読み込んで下式でＹ０を計算する（ステップＳ１１９）。
Figure JPOXMLDOC01-appb-M000012
　続いて証明手段１４は、下式でＵを計算する（ステップＳ１２０）。
Figure JPOXMLDOC01-appb-M000013
　さらに証明手段１４はＳＴＯＲＥ［Ｙ］１２ｙからＹを読み込み、下式でＹを計算し、得られたＹをＳＴＯＲＥ［Ｙ］１２ｙに上書きする（ステップＳ１２１）。
Figure JPOXMLDOC01-appb-M000014
　ステップＳ１１８でｊ≧Ｎ＋１と判断されれば、証明手段１４はＳＴＯＲＥ［Ｇ］１２ｇ、ＳＴＯＲＥ［Ｙ］１２ｙ、ＳＴＯＲＥ［ｎ］１２ｎから各々Ｇ、Ｙ、ｎを読み込んで下式でＡを計算し（ステップＳ１２２）、得られたＡをＳＴＯＲＥ［Ａ］に書き込む（ステップＳ１２３）。ここで、ＳＴＯＲＥ［Ｙ］１２ｙとＳＴＯＲＥ［Ａ］１２ａとが異なる記憶領域を利用している場合は、以後のステップではＳＴＯＲＥ［Ｙ］１２ｙを使用しないので、ＳＴＯＲＥ［Ｙ］１２ｙを解放してもよい。
Figure JPOXMLDOC01-appb-M000015
　これに続いて証明手段１４は、変数ｊの初期値を０とし（ステップＳ１２４）、ｊを１ずつ増加させながら、ｊ＝１～Ｎの各々について、後述のステップＳ１２７～１３２を実行する。ｊ≧Ｎ＋１となれば、処理を終了する（ステップＳ１２５～１２６）。このステップＳ１２７～１３２が、前述のループ１５である。
　証明手段１４は、ＳＴＯＲＥ［ＲａｎｄＸ］１２ｒｘからＲａｎｄＸを読み込んで下式でＹ０を計算する（ステップＳ１２７）。
Figure JPOXMLDOC01-appb-M000016
　この後、証明手段１４はＳＴＯＲＥ［ｘ］１２ｘからｘを読み込んで下式でＹ１を計算する（ステップＳ１２８）。
Figure JPOXMLDOC01-appb-M000017
　そして証明手段１４は、ＳＴＯＲＥ［ＲａｎｄＲ］１２ｒｒからＲａｎｄＲを読み込み、下式でＲ０およびＲ１を計算する（ステップＳ１２９）。
Figure JPOXMLDOC01-appb-M000018
　さらに証明手段１４は、下式でＴ０およびＴ１を計算する（ステップＳ１３０）。
Figure JPOXMLDOC01-appb-M000019
　そして証明手段１４は、ＳＴＯＲＥ［Ｖ］１２ｖおよびＳＴＯＲＥ［Ａ］１２ａからそれぞれＶ、Ａを読み込み、下式でｃを計算する（ステップＳ１３１）。
Figure JPOXMLDOC01-appb-M000020
　最後に証明手段１４は、下式でＹ、Ｔ、Ｒの各々を計算し、通信インターフェイス１３を介して検証者装置２０に対して（ｃ、Ｙ、Ｒ、Ｔ）を出力する（ステップＳ１３２）。
Figure JPOXMLDOC01-appb-M000021
（検証手段の動作）
　図５～７は、図１で示した検証手段２４の動作を表すフローチャートである。図５～７で、検証手段２４の中で図５に記載された動作（ステップＳ２０１～２１１）を行う部分を請求項内では「第１の処理部」といい、図６に記載された動作（ステップＳ２１２～２１８）を行う部分を請求項内では「第２の処理部」という。「第１の処理部」と「第２の処理部」とを合わせて「処理手段」という。そして、図７に記載された動作（ステップＳ２１９～２２６）を行う部分を請求項内では「判断部」もしくは「第３の処理部」という。
　処理を開始すると、検証手段２４はまず、予め与えられたＧおよびＨから下式でＶを計算し、ＳＴＯＲＥ［Ｖ］２２ｖに得られたＶを書き込む（ステップＳ２０１）。
Figure JPOXMLDOC01-appb-M000022
　次に検証手段２４は、変数ｊの初期値を０とし（ステップＳ２０２）、ｊを１ずつ増加させながら、ｊ＝１～Ｎの各々について、後述のステップＳ２０５～２１１を実行する。ｊ≧Ｎ＋１となれば、後述のステップＳ２１２に進む（ステップＳ２０３～２０４）。このステップＳ２０５～２１１が、前述のループ２５である。
　検証手段２４は、証明手段１４から送信されたｃ、Ｙ、Ｔ、Ｒの各々の数値を入力として受信する（ステップＳ２０５）。続いてｃ＝１であるかｃ＝０であるかについて判断し、ｃ＝１なら下記の数２３で、ｃ＝０なら下記の数２４で、Ｔ０およびＴ１を計算する（ステップＳ２０６～２０８）。
Figure JPOXMLDOC01-appb-M000023
Figure JPOXMLDOC01-appb-M000024
　続いて検証手段２４は、ＳＴＯＲＥ［Ｖ］２２ｖに記憶されているＶの値を読み込んで下式でＶを計算し、得られたＶをＳＴＯＲＥ［Ｖ］２２ｖに上書きする（ステップＳ２０９）。
Figure JPOXMLDOC01-appb-M000025
　さらに検証手段２４は、ＳＴＯＲＥ［Ｖ］２２ｖに記憶されているＶの値を再び読み込んで下式でＶを計算し、得られたＶをＳＴＯＲＥ［Ｖ］２２ｖにまたさらに上書きする（ステップＳ２１０）。
Figure JPOXMLDOC01-appb-M000026
　そして検証手段２４は、ＣｊおよびＷｊを下式のように定義し、これらで定義されたＣｊ、ＷｊをそれぞれＳＴＯＲＥ［Ｃｊ］２２ｃｊ、ＳＴＯＲＥ［Ｗｊ］２２ｗｊに書き込む（ステップＳ２１１）。
Figure JPOXMLDOC01-appb-M000027
　この後、検証手段２４の処理はステップＳ２０３に戻り、ｊを１だけ増加させてｊ≧Ｎ＋１となるまではステップＳ２０５～２１１の処理を繰り返す。
　ステップＳ２０４でｊ≧Ｎ＋１と判断されれば、検証手段２４はＷ＝０、Ｃ＝０と定義し、Ｗ、ＣをそれぞれＳＴＯＲＥ［Ｗ］２２ｗ、ＳＴＯＲＥ［Ｃ］２２ｃに書き込む。（ステップＳ２１２）。次に検証手段２４は、変数ｊの初期値を０とし（ステップＳ２１３）、ｊを１ずつ増加させながら、ｊ＝１～Ｎの各々について、後述のステップＳ２１６～２１８を実行する。ｊ≧Ｎ＋１となれば、後述のステップＳ２１２に進む（ステップＳ２１４～２１５）。
　検証手段２４は、下式でＵを計算する（ステップＳ２１６）。
Figure JPOXMLDOC01-appb-M000028
　そして検証手段２４は、ＷおよびＷｊをそれぞれＳＴＯＲＥ［Ｗ］２２ｗ、ＳＴＯＲＥ［Ｗｊ］２２ｗｊから読み込み、ステップＳ２１６で計算されたＵの値を用いて下式でＷを計算し、このＷをＳＴＯＲＥ［Ｗ］に上書きする（ステップＳ２１７）。
Figure JPOXMLDOC01-appb-M000029
　同様に検証手段２４は、ＣおよびＣｊをそれぞれＳＴＯＲＥ［Ｃ］２２ｃ、ＳＴＯＲＥ［Ｃｊ］２２ｃｊから読み込み、下式でＣを計算し、このＣをＳＴＯＲＥ［Ｃ］２２ｃに上書きする（ステップＳ２１８）。
Figure JPOXMLDOC01-appb-M000030
 　この後、検証手段２４の処理はステップＳ２１４に戻り、ｊを１だけ増加させてｊ≧Ｎ＋１となるまではステップＳ２１６～２１８の処理を繰り返す。
　ステップＳ２１４でｊ≧Ｎ＋１と判断されれば、検証手段２４はＧ、Ｈ、ｎをそれぞれＳＴＯＲＥ［Ｇ］２２ｇ、ＳＴＯＲＥ［Ｈ］２２ｈ、ＳＴＯＲＥ［ｎ］２２ｎから読み込み、下式でＡを計算する（ステップＳ２１９）。
Figure JPOXMLDOC01-appb-M000031
　次に検証手段２４は、変数ｊの初期値を０とし（ステップＳ２２０）、ｊを１ずつ増加させながら、ｊ＝１～Ｎの各々について、後述のステップＳ２２３～２２４を実行する。ｊ≧Ｎ＋１となれば、後述のステップＳ２２６に進む（ステップＳ２２１～２２２）。
　検証手段２４は、ＶをＳＴＯＲＥ［Ｖ］２２ｖから読み込んで、下式で示すＣｊについての条件が成立するか否かについて判断し（ステップＳ２２３～２２４）、成立すれば証明者装置１０に対してｒｅｊｅｃｔを出力して（詳細は後述）処理を終了する（ステップＳ２２５）。
Figure JPOXMLDOC01-appb-M000032
　数３２で示した条件が成立しなければ、検証手段２４は特に何もせずステップＳ２２１の処理に戻り、ｊを１だけ増加させてｊ≧Ｎ＋１となるまではステップＳ２２３～２２４の処理を繰り返す。
　ステップＳ２２２でｊ≧Ｎ＋１と判断されても、それまでにｒｅｊｅｃｔが出力されていなければ、検証手段２４は証明者装置１０に対してａｃｃｅｐｔを出力して（詳細は後述）処理を終了する（ステップＳ２２６）。
　上記でいう、検証手段２４が証明者装置１０に対して出力する「ｒｅｊｅｃｔ」とは、検証者装置２０が、証明者装置１０が行おうとした証明が不当であると判断したという意味であり、「ａｃｃｅｐｔ」とは正当であると判断したという意味である。証明者装置１０は、検証者装置２０から「ａｃｃｅｐｔ」もしくは「ｒｅｊｅｃｔ」の出力を受信したら、たとえばその旨をディスプレイ装置を通じてユーザに通知するようにしてもよい。また、証明者装置１０内でこのゼロ知識証明をサブルーチンとして使っている別のプログラムに通知して、「ａｃｃｅｐｔ」出力を受信したら該プログラムによる処理を継続し、「ｒｅｊｅｃｔ」出力を受信したらそこで処理を打ち切るようにしてもよい。
（第１の実施形態の全体的な動作）
　次に、上記の実施形態の全体的な動作について説明する。本実施形態に係る動作は、ゼロ知識証明装置（証明者装置１０）とゼロ知識検証装置（検証者装置２０）とからなるゼロ知識証明システム１にあって、ゼロ知識証明装置側では、第１の処理部１４ａが任意の乱数列と疑似ランダム関数とから疑似乱数を計算し（図２：ステップＳ１０７～１０８）、この計算された疑似乱数と、予め備えられた一時記憶部（ＲＡＭ１２）に記憶された疑似乱数と過去に求めたハッシュ値とに基づいて、第１の処理部がハッシュ値を計算すると共に計算された疑似乱数およびハッシュ値を一時記憶部に上書きするという処理を複数回行い（図２：ステップＳ１０９～１１４）、第２の処理部１４ｂが、ハッシュ値に基づきゼロ知識検証装置に出力する複数の疑似乱数の一部を決定し（図３：ステップＳ１１５～１２２）、第３の処理部が、一部の疑似乱数を再計算して得られるハッシュ値をゼロ知識検証装置に送付する（図４：ステップＳ１２５～１３２）。ゼロ知識検証装置側では、データ受信手段（通信インターフェイス２３）が、ゼロ知識証明装置から新しい入力データを順次受けとり（図５：ステップＳ２０５）、検証手段２４が、データ受信手段が入力データを受信するたびに予め備えられた一時記憶部（ＲＡＭ２２）に記憶された変数と入力データとを含むデータのハッシュ値を新しく変数として一時記憶領域に上書きして（図５：ステップＳ２０９～２１０）、この変数に基づいてゼロ知識証明装置を認証するか拒絶するかを判断して判断の結果をゼロ知識証明装置に返信する（図７：ステップＳ２１９～２２６）。
　ここで、ゼロ知識証明装置の第１の処理部１４ａは、群の元Ｇ、Ｈを読み込み（図２：ステップＳ１０１）、整数ｘを読み込み、疑似乱数を表すデータＶの初期値を定義し、第１および第２のデータ疑似ランダム関数値を計算し、Ｖと第１および第２のデータ疑似ランダム関数値Ｙ０およびＲ０を含むデータのハッシュ値を新しくＶとするという処理をＮ回（Ｎは２以上の自然数）繰り返す（図２：ステップＳ１０７～１１４）。
　引き続いてゼロ知識証明装置の第２の処理部１４ｂは、複数の疑似乱数の一部を表すデータＹに何らかの初期値を与え、ｊ回目の処理で（１≦ｊ≦Ｎ）ＹにＶとｊを含むデータのハッシュ値Ｕに基づく値を加えたものを新しくＹとする処理をＮ回繰り返す（図３：ステップＳ１１９～１２１）。
　さらに引き続いてゼロ知識証明装置の第３の処理部１４ｃが、ＧをＹで冪乗剰余したものをＡとするという処理をＮ回繰り返し（図４：ステップＳ１２７～１３２）、そのｊ回目の処理で（１≦ｊ≦Ｎ）、Ｙ０およびＲ０に基づいて第１および第２のハッシュ値Ｔ０およびＴ１を計算し（図４：ステップＳ１２７～１３０）、ＶとＡとｊを含むデータから１ビットのデータｃを計算し（図４：ステップＳ１３１）、ｃが０であればＹ０とＲ０とＴ１を、ｃが１であればＹ１とＲ１とＴ０を、ゼロ知識検証装置２０に対して送信する処理を行う（図４：ステップＳ１３２）。
　ゼロ知識検証装置（検証者装置２０）の処理手段２４が有する第１の処理部２４ａは、群の元Ｇ、Ｈを読み込み、変数を表すデータＶに何らかの初期値を与え（図５：ステップＳ２０１）、ｊ回目の処理で（１≦ｊ≦Ｎ）ゼロ知識証明装置１０からデータｃとデータＹとデータＴとデータＲを入力として受けとり（図５：ステップＳ２０５）、ＹとＲとを含む第１および第２のハッシュ値を計算して新たにデータＶとして一時記憶部に上書きする処理をＮ回繰り返す（図５：ステップＳ２０７～２１１）。
　引き続いて第２の処理部２４ｂが、データＷを０、データＣを０と各々初期設定し（図６：ステップＳ２１２）、ｊ回目の処理で（１≦ｊ≦Ｎ）Ｖとｊを含むデータのハッシュ値をＵとし（図６：ステップＳ２１６）、ＷｊとＵの積にＷを加えたものを新しくＷとし（図６：ステップＳ２１７）、ＣｊとＵの積にＣを加えたものを新しくＣとする（図６：ステップＳ２１８）という手順をＮ回繰り返す。
　さらに引き続いて第３の処理部２４ｃが、ＧをＷで冪乗剰余したものにＨを第２の処理部で計算されたデータＣにマイナスをかけたもので冪乗剰余したものを乗じたものをＡとし（図７：ステップＳ２１９）、ｊ回目の処理で（１≦ｊ≦Ｎ）ＶとＡとｊとを含むハッシュ値がＣｊと一致しなければゼロ知識証明装置を拒絶する旨を表すデータ（ｒｅｊｅｃｔ）を出力して停止する（図７：ステップＳ２２４～２２５）という手順をＮ回繰り返し、この手順をＮ回繰り返した後でｒｅｊｅｃｔを出力していなければゼロ知識証明装置を認証する旨を表すデータ（ａｃｃｅｐｔ）を出力する（図７：ステップＳ２２６）。
　ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するコンピュータである証明者装置１０および検証者装置２０に実行させるようにしてもよい。
　この動作により、本実施形態は以下のような効果を奏する。
　本実施形態は、特許文献１記載の技術と比べて、必要とされる記憶容量を少なくすることができる。その理由は以下の通りである。第一の理由は、本実施形態では、Ｙｉを始めとしたデータのいくつかを同じ鍵を使った疑似ランダム関数によって生成するようにしたからである。この結果、疑似ランダム関数の鍵のみを記憶すれば、それらのデータは必要に応じて鍵から計算できるようになる。したがってそれらのデータを記憶する必要がなくなり、結果として記憶容量が少なくてすむ。
　第二の理由は、ハッシュ値の計算方法を変えたからである。特許文献１記載の技術では、Ｔ１～ＴＮの全てを同時に記憶して一度にハッシュ値Ｖ＝Θ（Ｔ１、…ＴＮ、…）を計算する必要があったので、Ｎに比例した記憶容量が必要であった。それに対して本実施形態では、まずＶを空列に初期化し、ｉ＝１～Ｎに対してＶ＝Θ（Ｖ、Ｔｉ）を計算する事でハッシュ値を算出するようにしたので、Ｖ＝Θ（Ｖ、Ｔｉ）を計算し終ったらＴｉを消去してもよい。従って、Ｔ１、…ＴＮの全てを同時に記憶しなくてもよく、計算が終わった値から順次消去していくことができる。
　第三の理由は、データの出力を小わけにしたからである。特許文献１記載の技術では、出力すべきデータを全て計算し終ってからデータを出力していたので、出力すべきデータの量はＮに比例してしまう。それに対して本実施形態では、計算の終わったデータはその場で出力した上で記憶領域から消去することができる。
　従って、本実施形態では必要とされる記憶容量が少なくて済み、そのため記憶容量の小さいデバイスにおいても本実施形態を利用することができる。
（第２の実施形態）
　本発明の第２の実施形態は、ネットワークおよびハードウェアの構成、さらにソフトウェアの大まかな構成は、図１～７で述べた第１の実施形態と同一である。第２の実施形態が前述の第１の実施形態と異なる点は、ゼロ知識証明装置（証明者装置１０）がゼロ知識検証装置（検証者装置２０）に出力される疑似乱数とハッシュ値との組を一括して記憶して出力する第１のストレージ装置（ストレージ３１７）を有し、ゼロ知識検証装置（検証者装置２０）が、データ受信手段がゼロ知識証明装置（証明者装置１０）から受信した疑似乱数とハッシュ値との組を一括して記憶する第２のストレージ装置（ストレージ３２７）を有するという点である。
　ストレージ装置は揮発性記憶手段と比べて単位価格あたりの記憶容量が大きいため、大容量化が容易である。この構成を備えることによっても、本実施形態は、前述の第１の実施形態と同様の効果を得ることができる。
　以下、これをより詳細に説明する。
　図８は、本発明の第２の実施形態に係るゼロ知識証明システム３０１の構成を示す説明図である。ゼロ知識証明システム３０１は、証明者が操作するコンピュータ装置である証明者装置３１０と、検証者が操作するコンピュータ装置である検証者装置３２０とからなり、証明者装置３１０と検証者装置３２０とは相互に接続されている。なお、本発明の第１の実施形態と同一の要素については、同一の名称および参照番号で呼ぶ。
　証明者装置３１０は、前述の第１の実施形態に係る証明者装置１０と同じくＣＰＵ１１と、ＲＡＭ１２と、通信インターフェイス１３と、入力装置１６とを備える。これに加えて、証明者装置３１０は大容量の不揮発性記憶手段であるストレージ３１７を備える。ストレージ３１７は、具体的にはハードディスクもしくはフラッシュメモリなどである。そして、ＣＰＵ１１に実行されるコンピュータプログラムである証明手段３１４が、ＲＡＭ１２に記憶されて実行される。
　これと同様に、検証者装置３２０も、ＣＰＵ２１と、ＲＡＭ２２と、通信インターフェイス２３と、入力装置２６に加えて、ハードディスクもしくはフラッシュメモリなど大容量の不揮発性記憶手段であるストレージ３２７を備える。そして、ＣＰＵ２１に実行されるコンピュータプログラムである検証手段３２４が、ＲＡＭ２２に記憶されて実行される。
　図９は、図８で示した証明手段３１４の動作を表すフローチャートである。図９は、図２～４で示した証明手段１４の動作との相違点についてのみ示している。ステップＳ１０１～１３１については図２～４で示した証明手段１４の動作と同一だが、ステップＳ１３２で算出された（ｃ、Ｙ、Ｒ、Ｔ）は検証者装置２０に送信されるのではなく、ストレージ３１７に保存される（ステップＳ１３２ｂ）。そして、ステップＳ１２６でｊ≧Ｎ＋１となれば、ストレージ３１７に保存されている全ての（ｃ、Ｙ、Ｒ、Ｔ）を通信インターフェイス１３を通じて検証者装置３２０に送信してから（ステップＳ１３３ｂ）、処理を終了する。
　図１０は、図８で示した検証手段３２４の動作を表すフローチャートである。ステップＳ２０１の次に、検証手段３２４は証明手段３１４から全ての（ｃ、Ｙ、Ｒ、Ｔ）を受信し、ストレージ３２７に保存する（ステップＳ２０１ｂ）。以後の動作は、ステップＳ２０５が「ストレージ３２７からデータを読み出す」（ステップＳ２０５ｂ）ように変更される点を除いて、図５～７で示した検証手段２４の動作、ステップＳ２０２～２２６と同一である。
　不揮発性記憶手段であるストレージ３１７および３２７は、揮発性記憶手段であるＲＡＭ１２および２２と比べて単位価格あたりの記憶容量が大きいため、大容量化が容易である。従って、この第２の実施形態でも前述の第１の実施形態と同様の効果を得ることができる。
　これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。
　なお、以上の説明では、本発明の実施形態をハードウェアとして構築した場合を説明したが、以上説明したゼロ知識証明システム，ゼロ知識証明装置及びゼロ知識検証装置の機能をソフトウェア上で実現するプログラムとして構築しても良いものである。この場合、前記プログラムは記録媒体に記録されて商取引の対象となる。
　この出願は２００８年１２月１１日に出願された日本出願特願２００８－３１６０２２を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　本発明は、離散対数のゼロ知識証明が利用される場面において、幅広く利用できる。より具体的には、公開鍵暗号、電子署名、グループ署名、電子投票などである。特に、そのような技術を、たとえば携帯電話端末やＰＤＡ（Personal Digital Assistant）などのような記憶容量の小さいデバイスで利用することに適している。
　　１、３０１　ゼロ知識証明システム
　　１０、３１０　証明者装置
　　１１、２１　ＣＰＵ
　　１２、２２　ＲＡＭ
　　１２ｇ　ＳＴＯＲＥ［Ｇ］
　　１２ｈ　ＳＴＯＲＥ［Ｈ］
　　１２ｎ　ＳＴＯＲＥ［ｎ］
　　１２ｘ　ＳＴＯＲＥ［ｘ］
　　１２ｖ　ＳＴＯＲＥ［Ｖ］
　　１２ｒｘ　ＳＴＯＲＥ［ＲａｎｄＸ］
　　１２ｒｒ　ＳＴＯＲＥ［ＲａｎｄＲ］
　　１２ｙ　ＳＴＯＲＥ［Ｙ］
　　１２ａ　ＳＴＯＲＥ［Ａ］
　　１３、２３　通信インターフェイス
　　１４、３１４　証明手段
　　１４ａ、２４ａ、３２４ａ　第１の処理部
　　１４ｂ、２４ｂ　第２の処理部
　　１４ｃ、２４ｃ、３１４ｃ　第３の処理部
　　１５、２５　ループ
　　１６、２６　入力装置
　　２０、３２０　検証者装置
　　２２ｇ　ＳＴＯＲＥ［Ｇ］
　　２２ｈ　ＳＴＯＲＥ［Ｈ］
　　２２ｎ　ＳＴＯＲＥ［ｎ］
　　２２ｖ　ＳＴＯＲＥ［Ｖ］
　　２２ｗ１　ＳＴＯＲＥ［Ｗ１］
　　２２ｗｎ　ＳＴＯＲＥ［ＷＮ］
　　２２ｃ１　ＳＴＯＲＥ［Ｃ１］
　　２２ｃｎ　ＳＴＯＲＥ［ＣＮ］
　　２２ｗ　ＳＴＯＲＥ［Ｗ］
　　２２ｃ　ＳＴＯＲＥ［Ｃ］
　　２４、３２４　検証手段
　　３１７、３２７　ストレージ

Claims (9)

  1. 　ゼロ知識証明装置とゼロ知識検証装置とからなり、前記ゼロ知識証明装置が「Ｈ＝Ｇｘを満たすｘを知っている」か否かを、前記ゼロ知識検証装置が前記ｘを知らない状態での検証である離散対数のゼロ知識証明を行うゼロ知識証明システムであって、
    　前記ゼロ知識証明装置が、疑似乱数と過去に求めたハッシュ値とを記憶する一時記憶部と、任意の乱数列と疑似ランダム関数とから複数の疑似乱数を計算し、この計算された疑似乱数と前記一時記憶部に記憶された情報に基づいてハッシュ値を計算すると共に前記計算された疑似乱数およびハッシュ値を前記一時記憶部に上書きするという処理を複数回行う第１の処理部と、前記ハッシュ値に基づき前記複数の疑似乱数の一部を決定する第２の処理部と、前記一部の疑似乱数を再計算して得られる前記ハッシュ値を前記ゼロ知識検証装置に送信する第３の処理部とを有し、
    　前記ゼロ知識検証装置が、前記ゼロ知識証明装置から新しい入力データを順次受けとるデータ受信手段と、前記データ受信手段が前記入力データを受信するたびに予め備えられている一時記憶部に記憶された変数と前記入力データとを含むデータのハッシュ値を新しく前記変数として前記一時記憶部に上書きする処理手段と、前記変数に基づいて前記ゼロ知識証明装置を認証するか拒絶するかを判断して前記判断の結果を前記ゼロ知識証明装置に返信する判断部と
    を有することを特徴とするゼロ知識証明システム。
  2. 　前記請求項１記載のゼロ知識証明システムにおいて、
    　前記ゼロ知識証明装置の前記第１の処理部が、群の元Ｇ、Ｈを読み込み、前記疑似乱数を表すデータＶの初期値を定義し、第１および第２のデータ疑似ランダム関数値を計算し、前記Ｖと前記第１および第２のデータ疑似ランダム関数値Ｙ０およびＲ０を含むデータのハッシュ値を新しくＶとする処理をＮ回（Ｎは２以上の自然数）繰り返す繰り返し処理機能を有し、
    　前記ゼロ知識証明装置の前記第２の処理部が、前記複数の疑似乱数の一部を表すデータＹに何らかの初期値を与え、ｊ回目の処理で（１≦ｊ≦Ｎ）前記Ｙに前記Ｖと前記ｊを含むデータのハッシュ値Ｕに基づく値を加えたものを新しくＹとする処理を前記Ｎ回繰り返す繰り返し処理機能を有し、
    　前記ゼロ知識証明装置の前記第３の処理部が、前記Ｇを前記Ｙで冪乗剰余したものをＡとするという処理を前記Ｎ回繰り返し、そのｊ回目の処理で（１≦ｊ≦Ｎ）、前記Ｙ０および前記Ｒ０に基づいて第１および第２のハッシュ値Ｔ０およびＴ１を計算し、前記Ｖと前記Ａと前記ｊを含むデータから１ビットのデータｃを計算し、前記ｃが０であれば前記Ｙ０と前記Ｒ０と前記Ｔ１を、前記ｃが１であれば前記Ｙ１と前記Ｒ１と前記Ｔ０を、前記ゼロ知識検証装置に対して送信する処理を行うハッシュ値出力処理機能を有する
    ことを特徴とするゼロ知識証明システム。
  3. 　前記請求項２記載のゼロ知識証明システムにおいて、
    　前記ゼロ知識検証装置の前記処理手段が、
    　群の元Ｇ、Ｈを読み込み、前記変数を表すデータＶに何らかの初期値を与え、前記ゼロ知識証明装置からデータｃとデータＹとデータＴとデータＲを入力として受けとり、前記Ｙと前記Ｒとを含む第１および第２のハッシュ値を計算して新たに前記データＶとして前記一時記憶部に上書きする処理を前記Ｎ回繰り返す第１の処理部と、
    　データＷを０、データＣを０と各々初期設定し、ｊ回目の処理で（１≦ｊ≦Ｎ）前記Ｖと前記ｊを含むデータのハッシュ値をＵとし、前記Ｗｊと前記Ｕの積に前記Ｗを加えたものを新しくＷとし、前記Ｃｊと前記Ｕの積に前記Ｃを加えたものを新しくＣとするという手順を前記Ｎ回繰り返す第２の処理部とを備え、
    　前記ゼロ知識検証装置の前記判断部が、前記Ｇを前記Ｗで冪乗剰余したものに前記Ｈを前記Ｃにマイナスをかけたもので冪乗剰余したものを乗じたものをＡとし、ｊ回目の処理で（１≦ｊ≦Ｎ）前記Ｖと前記Ａと前記ｊとを含むハッシュ値が前記Ｃｊと一致しなければ前記ゼロ知識証明装置を拒絶する旨を表すデータを出力して停止するという手順を繰り返し、この手順をＮ回繰り返した後で前記拒絶する旨を表すデータを出力していなければ前記ゼロ知識証明装置を認証する旨を表すデータを出力する第３の処理部を備える
    ことを特徴とするゼロ知識証明システム。
  4. 　前記ゼロ知識証明装置が、前記ゼロ知識検証装置に出力される前記疑似乱数と前記ハッシュ値との組を一括して記憶して前記ゼロ知識検証装置に対して出力するストレージ装置を有し、
    　前記ゼロ知識検証装置が、前記データ受信手段が前記ゼロ知識証明装置から受信した前記疑似乱数と前記ハッシュ値との組を一括して記憶するストレージ装置を有することを特徴とする、請求項１ないし請求項３のうちいずれか１項に記載のゼロ知識証明システム。
  5. 　ゼロ知識検証装置との協働により、自らが「Ｈ＝Ｇｘを満たすｘを知っている」か否かを前記ｘを知らない前記ゼロ知識検証装置に検証させるゼロ知識証明装置であって、
    　疑似乱数と過去に求めたハッシュ値とを記憶する一時記憶部と、
    　任意の乱数列と疑似ランダム関数から複数の疑似乱数を計算し、この計算された疑似乱数と前記一時記憶部に記憶された情報に基づいてハッシュ値を計算すると共に前記計算された疑似乱数およびハッシュ値を前記一時記憶部に上書きするという処理を複数回行う第１の処理部と、
    　前記ハッシュ値に基づき前記複数の疑似乱数の一部を決定する第２の処理部と、
    　前記一部の疑似乱数を再計算して得られる前記ハッシュ値をゼロ知識検証装置に送信する第３の処理部と、
    　前記ハッシュ値をゼロ知識検証装置に送信した後に前記ゼロ知識検証装置からの拒絶する旨もしくは認証する旨を表すデータを受信するデータ受信部と
    を有することを特徴とするゼロ知識証明装置。
  6. 　ゼロ知識証明装置からの要求に基づいて、前記ゼロ知識証明装置が「Ｈ＝Ｇｘを満たすｘを知っている」か否かを前記ｘを知らない状態で検証するゼロ知識検証装置であって、
    　前記ゼロ知識証明装置から新しい入力データを順次受けとるデータ受信手段と、
    　前記データ受信手段が前記入力データを受信するたびに、予め備えられた一時記憶部に記憶された変数と前記入力データとを含むデータのハッシュ値を新しく前記変数として前記一時記憶部に上書きする処理手段と、
    　前記変数に基づいて前記ゼロ知識証明装置を認証するか拒絶するかを判断して前記判断の結果を前記ゼロ知識証明装置に返信する判断部と
    を有することを特徴とするゼロ知識検証装置。
  7. 　ゼロ知識証明装置とゼロ知識検証装置とからなるゼロ知識証明システムにあって、前記ゼロ知識証明装置が「Ｈ＝Ｇｘを満たすｘを知っている」か否かを、前記ゼロ知識検証装置が前記ｘを知らない状態での検証である離散対数のゼロ知識証明を行う方法であって、
    　前記ゼロ知識証明装置側では、
    　　任意の乱数列と疑似ランダム関数とから、第１の処理部が疑似乱数を計算し、
    　　この計算された疑似乱数と、予め備えられた一時記憶部に記憶された疑似乱数と過去に求めたハッシュ値とに基づいて、前記第１の処理部がハッシュ値を計算すると共に前記計算された疑似乱数およびハッシュ値を前記一時記憶部に上書きするという処理を複数回行い、
    　　前記ハッシュ値に基づき、第２の処理部がゼロ知識検証装置に出力する前記複数の疑似乱数の一部を決定し、
    　　前記一部の疑似乱数を、第３の処理部が再計算して前記ゼロ知識検証装置に送付し、
    　次に、前記ゼロ知識検証装置側では、
    　　前記ゼロ知識証明装置から、データ受信手段が新しい入力データを順次受けとり、
    　　前記データ受信手段が前記入力データを受信するたびに、検証手段が前記一時記憶領域に記憶された変数と前記入力データとを含むデータのハッシュ値を新しく前記変数として予め備えられた一時記憶領域に上書きし、
    　　前記変数に基づいて、判断部が前記ゼロ知識証明装置を認証するか拒絶するかを判断して前記判断の結果を前記ゼロ知識証明装置に返信する
    ことを特徴とするゼロ知識証明方法。
  8. 　ゼロ知識検証装置との協働により、自らが「Ｈ＝Ｇｘを満たすｘを知っている」か否かを前記ｘを知らない前記ゼロ知識検証装置に検証させるゼロ知識証明装置にあって、
    　疑似乱数と過去に求めたハッシュ値とを予め備えられた一時記憶部に記憶する手順と、
    　任意の乱数列と疑似ランダム関数から複数の疑似乱数を計算する手順と、
    　この計算された疑似乱数と前記一時記憶部に記憶された情報に基づいてハッシュ値を計算すると共に前記計算された疑似乱数およびハッシュ値を前記一時記憶部に上書きするという処理を複数回行う手順と、
    　前記ハッシュ値に基づき前記複数の疑似乱数の一部を決定する手順と、
    　前記一部の疑似乱数を再計算して得られる前記ハッシュ値をゼロ知識検証装置に送信する手順と、
    　前記ハッシュ値をゼロ知識検証装置に送信した後に前記ゼロ知識検証装置からの拒絶する旨もしくは認証する旨を表すデータを受信する手順と
    をコンピュータに実行させることを特徴とするゼロ知識証明プログラム。
  9. 　ゼロ知識証明装置からの要求に基づいて、前記ゼロ知識証明装置が「Ｈ＝Ｇｘを満たすｘを知っている」か否かを前記ｘを知らない状態で検証するゼロ知識検証装置にあって、
    　前記ゼロ知識証明装置から新しい入力データを順次受けとる手順と、
    　前記データ受信手段が前記入力データを受信するたびに、予め備えられた一時記憶部に記憶された変数と前記入力データとを含むデータのハッシュ値を新しく前記変数として前記一時記憶部に上書きする手順と、
    　前記変数に基づいて前記ゼロ知識証明装置を認証するか拒絶するかを判断して前記判断の結果を前記ゼロ知識証明装置に返信する手順と
    をコンピュータに実行させることを特徴とするゼロ知識証明プログラム。
PCT/JP2009/070605 2008-12-11 2009-12-09 ゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラム WO2010067820A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US13/133,110 US20110246779A1 (en) 2008-12-11 2009-12-09 Zero-knowledge proof system, zero-knowledge proof device, zero-knowledge verification device, zero-knowledge proof method and program therefor
EP09831924.7A EP2378706A4 (en) 2008-12-11 2009-12-09 Zero-knowledge proof system, zero-knowledge proof device, zero-knowledge verification device, zero-knowledge proof method and program therefor
JP2010542116A JPWO2010067820A1 (ja) 2008-12-11 2009-12-09 ゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008316022 2008-12-11
JP2008-316022 2008-12-11

Publications (1)

Publication Number Publication Date
WO2010067820A1 true WO2010067820A1 (ja) 2010-06-17

Family

ID=42242807

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/070605 WO2010067820A1 (ja) 2008-12-11 2009-12-09 ゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラム

Country Status (4)

Country Link
US (1) US20110246779A1 (ja)
EP (1) EP2378706A4 (ja)
JP (1) JPWO2010067820A1 (ja)
WO (1) WO2010067820A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102169592B1 (ko) * 2020-04-07 2020-10-23 장예위 증명 도구 공유 시스템
CN113794567A (zh) * 2021-09-13 2021-12-14 上海致居信息科技有限公司 一种sha256哈希算法零知识证明电路的合成加速方法及装置

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR3018378A1 (fr) * 2014-03-12 2015-09-11 Enrico Maim Systeme et procede transactionnels a architecture repartie fondees sur des transactions de transferts d'unites de compte entre adresses
WO2016179525A1 (en) 2015-05-07 2016-11-10 ZeroDB, Inc. Zero-knowledge databases
US11265165B2 (en) * 2015-05-22 2022-03-01 Antique Books, Inc. Initial provisioning through shared proofs of knowledge and crowdsourced identification
FR3059802B1 (fr) * 2016-12-07 2018-11-09 Safran Identity & Security Procede de generation d'une signature electronique d'un document associe a un condensat
EP3698514B1 (en) 2017-10-19 2024-02-21 Autnhive Corporation System and method for generating and depositing keys for multi-point authentication
US10903997B2 (en) 2017-10-19 2021-01-26 Autnhive Corporation Generating keys using controlled corruption in computer networks
US20210233064A1 (en) * 2018-06-06 2021-07-29 Enrico Maim Secure transactional system in a p2p architecture
US10721069B2 (en) 2018-08-18 2020-07-21 Eygs Llp Methods and systems for enhancing privacy and efficiency on distributed ledger-based networks
CN110995438B (zh) * 2019-10-24 2022-07-12 南京可信区块链与算法经济研究院有限公司 一种非交互零知识证明方法、系统及存储介质
CN114880109B (zh) * 2021-12-15 2023-04-14 中国科学院深圳先进技术研究院 基于cpu-gpu异构架构的数据处理方法、设备以及存储介质
CN114880108B (zh) * 2021-12-15 2023-01-03 中国科学院深圳先进技术研究院 基于cpu-gpu异构架构的性能分析方法、设备以及存储介质

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000067141A (ja) 1998-08-25 2000-03-03 Nippon Telegr & Teleph Corp <Ntt> 電子マネー譲渡方法、その装置及びそのプログラム記録媒体
JP2003218858A (ja) 2002-01-25 2003-07-31 Nippon Telegr & Teleph Corp <Ntt> 署名生成方法及び署名検証方法及び署名生成装置及び署名検証装置及び署名生成プログラム及び署名検証プログラム及び署名生成プログラムを格納した記憶媒体及び署名検証プログラムを格納した記憶媒体
JP2005252349A (ja) * 2004-03-01 2005-09-15 Japan Process Development Co Ltd 擬ゼロ知識証明法
JP2006077701A (ja) 2004-09-10 2006-03-23 Matsushita Electric Ind Co Ltd 密閉型圧縮機
WO2006077701A1 (ja) * 2005-01-21 2006-07-27 Nec Corporation 署名装置、検証装置、証明装置、暗号化装置、及び復号化装置
WO2007007836A1 (ja) * 2005-07-13 2007-01-18 Nippon Telegraph And Telephone Corporation 認証システム、認証方法、証明装置、検証装置、それらのプログラム及び記録媒体
JP2007503134A (ja) 2003-08-15 2007-02-15 株式会社エヌ・ティ・ティ・ドコモ 損失を適応制御したデータストリームの認証方法及び装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3456993B2 (ja) * 1991-02-07 2003-10-14 トムソン マルチメデイア ソシエテ アノニム 識別および／またはディジタル署名を行うための方法および識別装置並びに検証装置
FR2700430B1 (fr) * 1992-12-30 1995-02-10 Jacques Stern Procédé d'authentification d'au moins un dispositif d'identification par un dispositif de vérification et dispositif pour sa mise en Óoeuvre.
FR2714780B1 (fr) * 1993-12-30 1996-01-26 Stern Jacques Procédé d'authentification d'au moins un dispositif d'identification par un dispositif de vérification.
US6011848A (en) * 1994-03-07 2000-01-04 Nippon Telegraph And Telephone Corporation Method and system for message delivery utilizing zero knowledge interactive proof protocol
US6108783A (en) * 1998-02-11 2000-08-22 International Business Machines Corporation Chameleon hashing and signatures
US6857024B1 (en) * 1999-10-22 2005-02-15 Cisco Technology, Inc. System and method for providing on-line advertising and information
JP4298146B2 (ja) * 2000-08-22 2009-07-15 キヤノン株式会社 印刷データを生成する情報処理装置及び方法
JP4306232B2 (ja) * 2002-11-25 2009-07-29 日本電気株式会社 証明システムと評価システム
JP4940592B2 (ja) * 2005-08-11 2012-05-30 日本電気株式会社 否認可能零知識対話証明に適用される証明装置及び検証装置

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000067141A (ja) 1998-08-25 2000-03-03 Nippon Telegr & Teleph Corp <Ntt> 電子マネー譲渡方法、その装置及びそのプログラム記録媒体
JP2003218858A (ja) 2002-01-25 2003-07-31 Nippon Telegr & Teleph Corp <Ntt> 署名生成方法及び署名検証方法及び署名生成装置及び署名検証装置及び署名生成プログラム及び署名検証プログラム及び署名生成プログラムを格納した記憶媒体及び署名検証プログラムを格納した記憶媒体
JP2007503134A (ja) 2003-08-15 2007-02-15 株式会社エヌ・ティ・ティ・ドコモ 損失を適応制御したデータストリームの認証方法及び装置
JP2005252349A (ja) * 2004-03-01 2005-09-15 Japan Process Development Co Ltd 擬ゼロ知識証明法
JP2006077701A (ja) 2004-09-10 2006-03-23 Matsushita Electric Ind Co Ltd 密閉型圧縮機
WO2006077701A1 (ja) * 2005-01-21 2006-07-27 Nec Corporation 署名装置、検証装置、証明装置、暗号化装置、及び復号化装置
WO2007007836A1 (ja) * 2005-07-13 2007-01-18 Nippon Telegraph And Telephone Corporation 認証システム、認証方法、証明装置、検証装置、それらのプログラム及び記録媒体

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"Claus-Peter Schnorr. Efficient Signature Generation by Smart Cards", J. CRYPTOLOGY, vol. 4, no. 3, 1991, pages 161 - 174
See also references of EP2378706A4 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102169592B1 (ko) * 2020-04-07 2020-10-23 장예위 증명 도구 공유 시스템
CN113794567A (zh) * 2021-09-13 2021-12-14 上海致居信息科技有限公司 一种sha256哈希算法零知识证明电路的合成加速方法及装置
CN113794567B (zh) * 2021-09-13 2024-04-05 上海致居信息科技有限公司 一种sha256哈希算法零知识证明电路的合成加速方法及装置

Also Published As

Publication number Publication date
JPWO2010067820A1 (ja) 2012-05-24
EP2378706A1 (en) 2011-10-19
EP2378706A4 (en) 2017-06-28
US20110246779A1 (en) 2011-10-06

Similar Documents

Publication Publication Date Title
WO2010067820A1 (ja) ゼロ知識証明システム、ゼロ知識証明装置、ゼロ知識検証装置、ゼロ知識証明方法およびそのプログラム
Delgado-Segura et al. A fair protocol for data trading based on bitcoin transactions
JP5497677B2 (ja) 公開鍵を検証可能に生成する方法及び装置
CN109377215B (zh) 区块链交易方法及装置、电子设备
US8856524B2 (en) Cryptographic methods, host system, trusted platform module, computer arrangement, computer program product and computer program
JP4155712B2 (ja) オンボードシステムによって生成される公開鍵の使用を検証する方法
CN110730963B (zh) 用于信息保护的系统和方法
JP5488596B2 (ja) 署名装置、署名検証装置、匿名認証システム、署名方法、署名認証方法およびそれらのプログラム
US20140089670A1 (en) Unique code in message for signature generation in asymmetric cryptographic device
CN110505067B (zh) 区块链的处理方法、装置、设备及可读存储介质
CN103718500A (zh) 证书确认
JP2012512574A (ja) 鍵合意プロトコルの加速
KR102218188B1 (ko) 블록체인 기반의 인증서 관리를 수행하는 노드 장치 및 그 동작 방법
US20160269397A1 (en) Reissue of cryptographic credentials
CA2554368A1 (en) Group signature system, method, device, and program
JP2024029184A (ja) コンピュータネットワークの間のタスクの分配のためのアキュムレータに基づくプロトコルのためのコンピュータ実施システム及び方法
CN114064800A (zh) 用户资产视图计算方法、系统、计算机设备及存储介质
EP1266364A1 (fr) Procede cryptographique de protection contre la fraude
WO2013153628A1 (ja) 演算処理システムおよび演算結果認証方法
CN115550073A (zh) 可监管隐身地址构造方法
CN114503509B (zh) 密钥-值映射承诺系统和方法
Hou et al. Blockchain-based efficient verifiable outsourced attribute-based encryption in cloud
US20220345312A1 (en) Zero-knowledge contingent payments protocol for granting access to encrypted assets
Chalkias et al. HashWires: Hyperefficient Credential-Based Range Proofs
CN111311264A (zh) 一种交易发送者的监管方法和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09831924

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2009831924

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2009831924

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2010542116

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 13133110

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE