WO2018110608A1 - 照合システム、方法、装置及びプログラム - Google Patents

照合システム、方法、装置及びプログラム Download PDF

Info

Publication number
WO2018110608A1
WO2018110608A1 PCT/JP2017/044769 JP2017044769W WO2018110608A1 WO 2018110608 A1 WO2018110608 A1 WO 2018110608A1 JP 2017044769 W JP2017044769 W JP 2017044769W WO 2018110608 A1 WO2018110608 A1 WO 2018110608A1
Authority
WO
WIPO (PCT)
Prior art keywords
encrypted data
verification
binary vector
value
data
Prior art date
Application number
PCT/JP2017/044769
Other languages
English (en)
French (fr)
Inventor
春菜 肥後
寿幸 一色
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US16/469,486 priority Critical patent/US11128462B2/en
Priority to JP2018556722A priority patent/JP7127543B2/ja
Publication of WO2018110608A1 publication Critical patent/WO2018110608A1/ja
Priority to US17/397,431 priority patent/US11882218B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/065—Encryption by serially and continuously modifying data stream elements, e.g. stream cipher systems, RC4, SEAL or A5/3
    • H04L9/0656—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher
    • H04L9/0662—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher with particular pseudorandom sequence generator
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response

Definitions

  • the present invention is based on the priority claim of Japanese patent application: Japanese Patent Application No. 2016-243709 (filed on Dec. 15, 2016), the entire contents of which are incorporated herein by reference. Shall.
  • the present invention relates to a verification system, method, apparatus, and program.
  • a template is created based on biometric information, and the created template is stored in a database as authentication information.
  • an authentication target is accepted when authentication information created based on a biometric subject to authentication and a template stored in a database are similar (or matched).
  • an authentication target is not accepted when the authentication information and the template are not similar (or coincident). Even if a plurality of pieces of authentication information are created from one living body, the plurality of pieces of authentication information do not always match each other. However, when the similarity is measured using a certain distance function, the distance between the plurality of pieces of authentication information is short. On the other hand, the distance between a plurality of pieces of authentication information created from different living bodies is long.
  • the biometric authentication technology collates the template stored in the database with the authentication information created for the authentication target by using the above characteristics.
  • fingerprints, veins, etc. are examples of biometric information, and are data that does not change throughout life.
  • the damage caused when biometric information is leaked outside the verification system is significant.
  • the biometric information is one piece of information that requires confidentiality. Therefore, even if a template leaks outside the verification system, a template protection type biometric authentication technique that prevents biometric information from leaking outside is important.
  • the biometric authentication technology As with other authentication technologies, it is necessary to prevent a living body in which authentication information is registered from impersonating a living body different from the living body (that is, “spoofing”). For example, an authentication technique that succeeds in authentication by sending a specific value to a matching system is not sufficiently resistant to impersonation. Further, in the authentication technology, there is a risk that the communication information is wiretapped (intercepted) as well as the risk of the template leaking. In the authentication technology, even if communication information is wiretapped, it is necessary to prevent spoofing. For example, when a legitimate client succeeds in authenticating the verification system, a method in which authentication is successful by retransmitting data transmitted to the verification system by a different client is likely not to be sufficiently resistant to impersonation. .
  • Patent Document 1 discloses registration information of a user encrypted using an encryption algorithm that can calculate a Hamming distance in an encrypted state, and verification information encrypted using the registration information and the encryption algorithm.
  • the calculation result of the Hamming distance between the verification information and the user is converted to include the Hamming distance between the verification information and the user, and the verification information and a different hamming distance from the user.
  • the Hamming distance between the converted registration information and the Hamming distance between the collation information and the user and the Hamming distance between the collation information and another user included in the calculated Hamming distance are included in the calculated Hamming distance.
  • a method and apparatus for executing a process for determining whether or not the input collation information is illegal based on a comparison result between the threshold value and a preset threshold value It is shown.
  • Patent Document 3 discloses a method for easily canceling encrypted information in an encryption processing system using homomorphic encryption.
  • the first data is converted by using the first conversion polynomial to obtain the first polynomial, and an expression obtained based on the random number corresponding to the first data and the second data is converted into the second conversion.
  • a second polynomial is obtained by conversion using a polynomial, and the random number is obtained by converting the random number using at least one of the first conversion polynomial or the second conversion polynomial, and the first polynomial is obtained.
  • the second polynomial and the random number polynomial are encrypted using a homomorphic encryption method, and an encrypted first polynomial, an encrypted second polynomial, and an encrypted random number polynomial are obtained.
  • a method for collating first data and second data using an encrypted first polynomial, an encrypted second polynomial, and an encrypted random number polynomial is disclosed. .
  • Patent Document 4 discloses a technique configured using a more general homomorphic encryption method in a system in which intervention by a reliable third party is introduced.
  • Patent Document 5 describes a technique in which the size of the template does not depend on the parameter of the range of the acceptable range and the load on the third party is small.
  • the distance from the biometric information that is a target to be compared with the registered biometric information is disclosed to a third party. It is known that a malicious third party can perform an attack (hill climbing attack) by using the distance obtained at the time of collation.
  • Non-Patent Document 1 describes all three security features: the security against attackers collocated by the server and the user, the security against attackers collocated by the decryptor and the user, and the property that an eavesdropper cannot impersonate the user. A method of satisfying has been proposed.
  • the notation such as the encryption algorithm used in this specification will be described.
  • public key cryptography will be described.
  • the public key cryptosystem is represented by three algorithms (Gen, Enc, Dec): key generation, encryption, and decryption.
  • the key generation algorithm (indicated as “Gen”) outputs a public key pk and a secret key sk based on the security parameter 1 ⁇ ⁇ . (pk, sk) ⁇ Gen (1 ⁇ ⁇ )
  • the encryption algorithm receives the public key pk and plaintext m and outputs ciphertext c. c ⁇ Enc (pk, m)
  • the decryption algorithm receives the secret key sk and ciphertext c, and outputs a decryption result m ′.
  • pk and sk may be abbreviated in some cases that are apparent from the context.
  • Homomorphic encryption is public key cryptography that can calculate the ciphertext of the operation result of plaintext from a plurality of ciphertexts. For example, the plaintext m 1, ..., ciphertext Enc of m n (m 1), ... , Enc (m m) ciphertext corresponding to the sum of the plaintext without using the secret key from Enc (m 1 + ... + m n ) Is called “additive homomorphic encryption”.
  • Patent Documents 2 and 3 have a problem in terms of resistance to an impersonation attack by an eavesdropper.
  • Patent Documents 2, 3, and 5 Somewhat homomorphic encryption and pairing calculation are required.
  • Somewhat homomorphic encryption has problems such as a heavy processing load and strong assumptions compared to additive homomorphic encryption.
  • Non-Patent Document 1 when the biological information is a binary vector (binary code string), the present inventors need to increase the degree of defense (resistance) against an impersonation attack by an eavesdropper or the like. I found out. In addition to this, since the present inventors have found a technique that can handle 1: N authentication, the following is proposed.
  • the main object of the present invention is to provide a collation system, method, collation apparatus, and program that can avoid leakage and spoofing and improve safety in collating binary vectors.
  • a verification system generates a random number and obtains a first value related to a first binary vector encrypted with an encryption key by performing an operation with the random number while encrypting the first binary vector.
  • a verification device for transmitting the encrypted data or the encrypted data obtained by encrypting the generated random number with the encryption key to the verification requesting device, and a second verification for verification while encrypting the encrypted data from the verification device.
  • the verification requesting device for transmitting the encrypted data obtained by the calculation with the binary vector element to the verification device.
  • the collation device based on the second value related to the first binary vector encrypted with the encryption key, the cipher data transmitted from the collation request device, and the random number, Encryption data or the encryption data and auxiliary data for verifying the degree of mismatch between the binary vector and the first binary vector is generated and transmitted to the verification device as the query.
  • the collation system is configured to decrypt the encrypted data of the query transmitted from the collation device with a decryption key, or based on the decrypted value and the auxiliary data of the query, the second binary vector and the
  • the verification apparatus determines whether or not the number of mismatched elements of the first binary vector is equal to or less than a predetermined number.
  • the verification device generates a random number and generates encrypted data obtained by calculation with the random number while encrypting the first value related to the first binary vector encrypted with the encryption key, or generation Transmitting encrypted data obtained by encrypting the random number using the encryption key to the verification requesting device;
  • a step in which the verification requesting device transmits the encrypted data obtained by the calculation with the elements of the second binary vector for verification while encrypting the encrypted data from the verification device to the verification device When, (C) based on the second value related to the first binary vector encrypted with an encryption key, the encrypted data transmitted from the verification requesting device, and the random number, Generating encrypted data or the encrypted data and auxiliary data for verifying the degree of mismatch between the second binary vector and the first binary vector, and transmitting the encrypted data to the verification device as the query; (D) based on the value obtained by decrypting the encrypted data of the query transmitted from the verification device with a decryption key, or the decrypted value and the
  • encrypted data obtained by calculation with the random number while generating a random number and encrypting the first value related to the first binary vector encrypted with the encryption key; Or means for transmitting encrypted data obtained by encrypting the generated random number with the encryption key to a verification requesting device, and a second binary vector for verification from the verification requesting device while encrypting the encrypted data.
  • the computer of the verification device includes: A random number is generated and encrypted data obtained by calculation with the random number while the first value related to the first binary vector encrypted with the encryption key is encrypted, or the generated random number is used as the encryption key. Processing to send the encrypted data encrypted in step 1 to the verification request device; A process of receiving encrypted data obtained by calculation with the elements of the second binary vector for verification while encrypting the encrypted data from the verification requesting device; Based on the second value related to the first binary vector encrypted with the encryption key, the encrypted data transmitted from the verification requesting device, and the random number, the second binary vector and the Processing for generating encrypted data or the encrypted data and auxiliary data for verifying the degree of mismatch of the first binary vector, and transmitting the encrypted data to the verification device as the query; Based on a value obtained by decrypting the encrypted data using a decryption key, or on the basis of the decrypted value and the auxiliary data, the number of mismatched elements between the second binary vector and the first binary vector is determined in advance.
  • a semiconductor storage such as a computer-readable recording medium (for example, RAM (Random Access Memory), ROM (Read Only Memory), or EEPROM (Electrically Erasable and Programmable ROM) ROM) storing the above program, HDD (Hard Disk Drive), CD (Compact Disk), DVD (Digital Versatile Disk) and other non-transitory computer computer readable recording media are provided.
  • a computer-readable recording medium for example, RAM (Random Access Memory), ROM (Read Only Memory), or EEPROM (Electrically Erasable and Programmable ROM) ROM) storing the above program, HDD (Hard Disk Drive), CD (Compact Disk), DVD (Digital Versatile Disk) and other non-transitory computer computer readable recording media.
  • FIG. 1 is a diagram illustrating one embodiment of the present invention.
  • ⁇ i is a sum operator for i (i may be omitted in the drawing).
  • the encryption data from the verification requesting device 120 for example, Enc (S ⁇ i (1-2x i ) y i ) in FIG. 4 or the like, or Enc (S ⁇ i A i B i ) in FIG. 14 or the like, or 1: N
  • auxiliary data for example, the hash value H (a i b i r i ) in FIG. 22 or the hash value H (a i b i ) in FIG. ), And generate The generated query is transmitted to the verification device 150.
  • the verification device 150 A value (d H (X, Y)) obtained by decrypting the encrypted data of the query from the verification device 140 (for example, Enc (d H (X, Y)) in FIG. 4, FIG. 19, etc.) with a decryption key (sk).
  • N authentication The encrypted data of the query (for example, Enc (a i (2x i -1)), Enc (b i r i (2y i -1)) in FIG. 22, or Enc (a i b i (2x i in FIG. 26)). -1) (2y i -1))) with the decryption key (sk) (eg, (z a , z b ) in FIG.
  • the verification device 150 outputs a verification result (accepted or rejected).
  • the verification device 150 may return a verification result (acceptance or rejection) to the verification device 140 as a response to the query, and the verification device 140 may transmit the verification result (acceptance or rejection) to the verification request device 120. .
  • the encrypted data obtained by encrypting at least one of A i )) with the encryption key (pk) is transmitted to the storage device 130.
  • the storage device 130 stores the encrypted registration data.
  • the encryption key (public key) and the decryption key (secret key) are preferably public key cryptosystems having homomorphism with respect to addition. Alternatively, a public key cryptosystem having multiplicative homomorphism may be used as the cryptosystem. Or you may use the public key cryptosystem which has homomorphism regarding addition and multiplication, like Somewhat homomorphic encryption scheme.
  • the registration request device 110 and the verification request device 120 may constitute a registration client and an authentication client, respectively.
  • the registration client and the authentication client may have an integrated device configuration in which registration and verification are performed by the same device, or registration and verification may be performed by separate devices.
  • the storage device 130 and the verification device 140 may be configured as a server (database server, authentication server) that performs registration and verification processing in response to a request from a client.
  • the storage device 130 and the verification device 140 may be configured as an integrated server.
  • the storage device 130 stores the first and second templates as registration data.
  • the verification requesting device 120 sends each of the second encrypted data (Enc (pk, S (1 ⁇ 2x 1 )),..., Enc (pk, S (1 ⁇ 2x n ))) transmitted from the verification device 140.
  • the collation device 140 performs a scalar operation on the third encrypted data by the reciprocal number (S ⁇ (-1)) ( ⁇ is a power operator) of the random number (S), and generates a random number (
  • the verification device 140 In response to the verification request from the verification requesting device 120, the verification device 140 Generate a random number (S) Third encrypted data ((Enc (pk, S (1 ⁇ 2x 1 )),..., Enc (pk, S (1 ⁇ ⁇ ) obtained by performing a scalar operation on the random number (S) while the first encrypted data is encrypted. 2x n ))). Then, the collation device 140 transmits the third encrypted data to the collation request device 120.
  • the subsequent processes of the collation device 140 and the verification device 150 are the same as those in the first embodiment.
  • the registration requesting device 110 encrypts each element of the first binary vector for registration with a public key (pk) (Enc (pk, x1)),..., Enc (pk, xn)) are transmitted to the storage device 130.
  • the storage device 130 records the encrypted data of each element of the first binary vector.
  • the collation device 140 further generates a random number (S),
  • the first encrypted data (Enc (pk, (1-2x 1 )), ..., Enc (pk, (1-2x n )) is a third cryptographic data (Enc (pk, S (1-2x 1 )), ..., Enc (pk, S (1-2x n ))).
  • the verification device 140 the third cipher data (Enc (pk, S (1 - 2x n)) - 2x 1)), ..., Enc (pk, S (1) and transmits the collating request device 120.
  • the subsequent processes of the collation device 140 and the verification device 150 are the same as those in the first embodiment.
  • the first conversion function f1 is given as follows, for example.
  • A is an n-dimensional conversion value vector.
  • the second conversion function f2 is given as follows, for example.
  • B is an n-dimensional conversion value vector.
  • the first conversion function f1 may be implemented as a subroutine using the binary vector X as an input parameter and the conversion value vector A as an output parameter.
  • the second conversion function f2 may be implemented as a subroutine using the binary vector Y as an input parameter and the conversion value vector B as an output parameter.
  • the second embodiment will be described with reference to FIG.
  • the registration requesting device 110 obtains a conversion value vector [A 1 ,..., A n ] by applying the first conversion function f 1 to the binary vector X for registration.
  • [A 1 , ..., A n ] T f1 [x 1 , ..., x n ] T
  • T f1 [x 1 , ..., x n ] T
  • the verification device 140 generates a random number (S), For each of the encrypted data (Enc (pk, A 1 ),..., Enc (pk, An )) of the first conversion value, the encrypted data (Enc (pk, SA 1 ), ..., Enc (pk, SA n )) are obtained. Then, the verification device 140 transmits the obtained encrypted data (Enc (pk, SA 1 ),..., Enc (pk, SA n )) to the verification request device 120.
  • S random number
  • This encrypted data is encrypted data Enc (pk, d H (X, Y)) having a Hamming distance d H (X, Y) between vectors X and Y.
  • the collation device 140 transmits the encrypted data Enc (pk, d H (X, Y)) of the Hamming distance d H (X, Y) of the vectors X and Y to the verification device 150.
  • the verification device 150 decrypts the encrypted data Enc (pk, d H (X, Y)) with the secret key sk.
  • the verification device 150 accepts if the Hamming distance d H (X, Y) between the decoded vectors X and Y is equal to or less than the threshold value t.
  • Cipher data second template
  • the addition is encrypted data having a Hamming distance d H (X, Y) between the binary vectors X and Y.
  • the verification device 140 transmits the encrypted data of the Hamming distance between the binary vectors X and Y to the verification device 150.
  • the verification device 150 decrypts the encrypted data of the hamming distance between the binary vectors X and Y with the secret key sk.
  • the verification device 150 determines whether or not the decoded value (Hamming distance) is equal to or less than the threshold value t. If the decoded value (hamming distance) is equal to or less than the threshold value t, the verification device 150 accepts it.
  • the storage device 130 records the encrypted data of each element of the first binary vector.
  • the subsequent processes of the collation device 140 and the verification device 150 are the same as those in the second embodiment.
  • the storage device 130 records the encrypted data of each element of the first binary vector.
  • the subsequent processes of the collation device 140 and the verification device 150 are the same as those in the second embodiment.
  • the verification device 140 uses the third and fourth cipher data (Enc (pk, a i (2x i -1)), Enc (pk, b i r i (2y i -1))) and the above
  • the verification device 150 Using the secret key (sk), the third encrypted data (Enc (pk, a i (2x i -1))) and the fourth encrypted data (Enc (pk, b i r i (2y i ⁇ A first decoding result (z a ) and a second decoding result (z b ) obtained by decoding 1))) are obtained.
  • the verification device 150 calculates a hash value (H (z a z b )) of the product of the first and second decryption results.
  • the verification device 150 determines that the number of mismatches between the hash value H ((z a z b )) and the hash value (H (a i b i r i )) received from the verification device 140 is equal to or less than a predetermined value. It is determined whether or not. The verification device 150 accepts if the number of mismatches is equal to or less than a predetermined value, and rejects otherwise.
  • the subsequent processes of the collation device 140 and the verification device 150 are the same as those in the third embodiment.
  • the storage device 130 includes means for generating a hash value (H (c i ⁇ 2)) of the square (c i ⁇ 2) of each random number c i .
  • the verification device 150 determines whether the hash value (H (z i ⁇ 2)) of each decrypted value (z i ) matches the corresponding hash value (H (c i ⁇ 2)) transmitted from the storage device 130. To do. For example, the verification device 150 rejects if there is any mismatch, and accepts it if all match.
  • the storage device 130 stores the encrypted data of the first operation value when the verification result in the verification device 150 is accepted.
  • the storage device 130 includes means for generating a square hash value H (c i ⁇ 2) of each random number (c i ).
  • the key generation algorithm first receives a security parameter 1 ⁇ ⁇ as input.
  • the encryption algorithm first receives the public key pk and message m as input.
  • M C [1] / (C [0] ⁇ x) is output as the decryption result.
  • the decryption algorithm may return g ⁇ m instead of message m. If Modified-Elgamal cipher is used, ciphertext corresponding to addition of plaintext or constant multiplication can be calculated with encryption.
  • N-dimensional vector for registration data Represented by n represents a predetermined value (natural number).
  • the processing in the verification system is roughly divided into ⁇ Preparation phase, ⁇ Registration phase, and -Includes a verification phase.
  • the verification device 150 generates a public key pk and a secret key sk using the security parameter 1 ⁇ ⁇ , and discloses the public key pk (S100).
  • d E 2 (X, Y) The distance between registration data (n-dimensional vector) and collation data (n-dimensional vector): d E 2 (X, Y) is divided as follows.
  • the storage device 130 Enc (pk, xi) (i 1,..., n), Is stored in correspondence with the registered identifier Id (Identity) or the like.
  • the collation request device 120 transmits a collation request to the collation device 140 (S102).
  • the verification device 140 stores a registered template from the storage device 130: Enc (pk, x 1 ),..., Enc (pk, x n ), Is acquired (S103).
  • the verification device 140 is a random number Preferably, a different number is selected each time.
  • the collation device 140 is Encryption data (second template) Is not transmitted to the verification requesting device 120.
  • Scl ((-2y i ), Enc (pk, Sx i )) (i 1, ..., n)
  • the collation device 140 is a registered template When, And the encrypted data of distance d E 2 (X, Y) by additive homomorphism ... (15) Ask for.
  • the verification device 140 transmits the encrypted data Enc (pk, d E 2 (X, Y)) to the verification device 150 (S107).
  • the decryption result is g ⁇ (d E 2 (X, Y)), and it is determined whether it matches any of g ⁇ 0, g ⁇ 1, ... g ⁇ t. To do.
  • the verification device 150 may return the verification result (acceptance / non-acceptance) to the verification device 140 (S109).
  • Enc (pk, Sx i ⁇ 2) can be calculated from ⁇ Enc (pk, Sx i ) ⁇ received in S106 of FIG.
  • the collation device 140 calculates Enc (pk, D 2 ) by performing a scalar operation of the reciprocal S ⁇ (-1) of Enc (pk, SD 2 ) transmitted from the collation request device 120. Then, Enc (pk, D 1 ) + Enc (pk, D 2 ) is calculated based on the additive homomorphism, and transmitted to the verification device 150 as the encrypted distance Enc (pk, d E 2 (X, Y)).
  • the verification requesting device 120 matches the encrypted data Enc (pk, Sx i ) received from the verification device 140 with Enc (pk, Sx i ⁇ 2).
  • the verification requesting device 120 uses the encrypted data Enc (pk, S) of the random number S received from the verification device 140, ... (17) Is transmitted to the verification device 140. That is, Enc (pk, cS) is obtained from the scalar operation Scl (c, Enc (pk, S)).
  • the verification device 140 is transmitted from the verification request device 120.
  • Enc (pk, SD 2 ) transmitted from the verification requesting device 120 are treated as being Enc (pk, SD 2 ) transmitted from the verification requesting device 120, and a scalar operation of the reciprocal S ⁇ (-1) of S is performed to obtain Enc (pk, D 2 ).
  • Enc (pk, D 2 ) and Enc (pk, D 1 ) as the encryption distance Enc (pk, d E 2 (X, Y)) 150.
  • Enc (pk, d E 2 (X, Y)) transmitted from the verification device 140 to the verification device 150 is given as follows.
  • the verification device 150 decrypts Enc (pk, d E 2 (X, Y)) using the secret key sk. Judge whether the decryption result (g ⁇ c) matches any of g ⁇ 0, g ⁇ 1, ..., g ⁇ t (t is a threshold), and verify the result (if it matches either one, accept) Output as.
  • the distance between the registered biometric information X and the biometric information Y used for authentication is selected by selecting c equal to or less than t.
  • an eavesdropper can impersonate any user.
  • the iris (Iris Code), palm print (Competitive Code), etc. are well known as binary vector biometric information with a very low error rate. Whether or not two pieces of biometric information are extracted from the same person is determined by the Hamming distance between the two pieces of biometric information. That is, if the hamming distance is less than or equal to the threshold value, the same person is determined, and if the hamming distance is greater than the threshold value, it is determined that the person is different.
  • some embodiments will be described with reference to the drawings.
  • FIG. 4 is a diagram for explaining a first exemplary embodiment of the present invention.
  • an n-dimensional binary vector For example, the Hamming distance is divided as follows.
  • D1 does not depend on the value of the matching vector Y.
  • the storage device 130 Enc (pk, 1-2x i ) (i 1,..., n) and Is stored in association with the registration identifier Id.
  • the collation device 140 does not transmit Enc (pk, S) to the collation request device 120. Therefore, the verification requesting device 120 ... (33) Cannot be calculated. For this reason, the client cannot impersonate the Hamming distance.
  • the verification device 140 is transmitted from the verification request device 120. , Scalar operation of reciprocal S ⁇ (-1) of random number S ... (34) by doing, ... (35) Is calculated.
  • the verification device 140 transmits the encrypted Hamming distance Enc (pk, d H (X, Y)) to the verification device 150 (S17).
  • the verification device 150 decrypts Enc (pk, d H (X, Y)) using the secret key sk.
  • the verification device 150 confirms whether the decoding result (d H (X, Y)) matches g ⁇ 0, g ⁇ 1,..., G ⁇ t (t is a threshold value) (S18).
  • the verification device 150 outputs the verification result (accepted if it matches any one) (S19).
  • FIG. 5 is a diagram illustrating the configuration of the first embodiment of the present invention.
  • the collation system 100 includes an information processing system such as a computer system.
  • the collation system 100 according to the first exemplary embodiment includes a registration request device 110, a storage device 130, a collation request device 120, a collation device 140, and a verification device 150.
  • the registration request device 110 includes a registration information extraction unit 111, a template generation unit 112, and a communication unit 113.
  • the storage device 130 includes a storage device that stores information, and also includes a calculation unit that processes information. That is, the storage device 130 includes an identifier management unit 131, a registration data generation unit 132, a registration data storage unit 133, a registration data search unit 134, and a communication unit 135.
  • the verification request device 120 includes a verification request generation unit 121, a verification information extraction unit 122, a response generation unit 123, and a communication unit 124.
  • the collation device 140 includes a registration data acquisition unit 141, a random number generation unit 142, an encrypted data generation unit 143, an encrypted distance calculation unit 144, a query generation unit 145, and a communication unit 146.
  • the verification device 150 includes a key generation unit 151, a decryption key storage unit 152, a query verification unit 153, a verification result generation unit 154, and a communication unit 155.
  • a communication unit (not shown) Communication connection between transmitter (interface) and receiver (interface)) and communication network (for example, local network (Local Area Network: LAN) or wide area network (Wide Area Network: WAN))
  • communication network for example, local network (Local Area Network: LAN) or wide area network (Wide Area Network: WAN)
  • LAN Local Area Network
  • WAN Wide Area Network
  • the registration request device 110, the storage device 130, the verification device 140, and the verification request device 120 include a public key published by the verification device 150 (for example, a pair of an encryption key and a decryption key of the homomorphic encryption method created by the verification device 150). Among the above-mentioned encryption keys).
  • the registration request device 110 and the verification request device 120 may be collectively represented as “first node”.
  • the storage device 130 and the verification device 140 may be collectively referred to as “second node”.
  • the verification device 150 may be represented as “third node”.
  • the registration request device 110 and the verification request device 120 may be configured as a client device, the storage device 130 and the verification device 140 as a server device, and the verification device 150 as a decryption device connected to the server device.
  • the processing in the verification system 100 is roughly classified as follows: ⁇ Preparation phase, ⁇ Registration phase, and -Includes a verification phase.
  • a homomorphic encryption method having homomorphism is used for addition and scalar calculation.
  • the above-mentioned Modified Elgamal encryption is used as the encryption method.
  • elliptic Elgamal encryption or Paillier encryption may be used.
  • the elliptic Elgamal cipher is defined for a group on an elliptic curve over a finite field.
  • a prime number of 128 bits or more is selected for q.
  • the decryption algorithm may return m (*) G instead of the message m.
  • a public key and a secret key are mainly generated using the security parameter 1 ⁇ ⁇ .
  • a template in which the extracted registration vector is encrypted is created and stored mainly using the public key (encryption key) generated in the preparation phase.
  • the distance between the newly extracted verification vector and one registered vector is calculated mainly using the secret key (decryption key) generated in the preparation phase.
  • FIG. 6 is a flowchart illustrating an example of processing executed by the matching system 100 according to the first exemplary embodiment in the preparation phase. With reference to FIG. 6, the process which the collation system 100 which concerns on this embodiment performs in a preparation phase is demonstrated.
  • the key generation unit 151 in the verification device 150 receives the security parameter, and uses the received security parameter to obtain an encryption key (public key) pk and a decryption key (secret key) sk, for example, according to a key generation algorithm. Generate (step A1). Note that the generated encryption key and decryption key conform to a public key encryption method (eg, Modified Elgamal encryption) having homomorphism with respect to addition and scalar multiplication.
  • a public key encryption method eg, Modified Elgamal encryption
  • the key generation unit 151 discloses the generated encryption key pk in the verification system 100 (step A2).
  • the key generation unit 151 stores the generated decryption key sk in the decryption key storage unit 152 (step A3).
  • the processing executed in the preparation phase is not limited to the mode illustrated in FIG.
  • FIG. 7 is a flowchart illustrating an example of processing executed by the matching system 100 according to the first exemplary embodiment in the registration phase. With reference to FIG. 7, the process which the collation system 100 which concerns on 1st Embodiment performs in a registration phase is demonstrated.
  • the registration information extraction unit 111 in the registration request device 110 receives biometric information (referred to as “registration vector”) from the biometric subject to registration.
  • registration vector biometric information
  • X [x [1],..., x [n]] Is extracted (step B1).
  • the ciphertext calculated in step B2 is also referred to as “first template”.
  • the template generation unit 112 in the registration request apparatus 110 generates one template obtained by encrypting x [1] +,... + X [n] using the encryption key pk (step B3).
  • the ciphertext calculated in step B3 is also referred to as a “second template”.
  • template generator 112 a plurality of number rr1 [1] from the Z q, ..., r1 [n ], and to select the rr1.
  • the template generation unit 112 reads the generation source g and the value h from the public key pk, and creates the following ciphertext regarding the binary vector X.
  • the template generation unit 112 in the registration request apparatus 110 collects the first template and the second template, (C1 [1], ..., C1 [n], CC1) (46) (Step B4).
  • the communication unit 113 of the registration request device 110 is a template (C1 [1],..., C1 [n], CC1) Is sent to the storage device 130 (step B5).
  • the communication unit 135 of the storage device 130 receives the template from the registration request device 110. (C1 [1],..., C1 [n], CC1) are received (step B6).
  • the identifier management unit 131 in the storage device 130 determines a registration identifier id that is an identifier unique to the template received from the registration requesting device 110 (step B7).
  • the communication unit 135 of the storage device 130 sends the registration identifier id to the registration request device 110 (step B8).
  • the communication unit 113 of the registration request device 110 receives the registration identifier id from the storage device 130 (step B9).
  • the registration request device 110 displays the received registration identifier id on a user interface (UI) such as a display (step B10).
  • UI user interface
  • the registration request device 110 may store the received registration identifier id in an IC (integrated_circuit) card such as an employee ID card or an identifier card.
  • IC integrated_circuit
  • the registration data generation unit 132 in the storage device 130 collects the template and the registration identifier id to register the registration data. (C1 [1], ..., C1 [n], CC1, id) (47) (Step B11).
  • the registration data is stored in the registration data storage unit 133 in the storage device 130 (step B12).
  • step B11 and step B12 may be executed prior to step B8. That is, the storage device 130 may store the registration data in the registration data storage unit 133 before transmitting the registration identifier id to the registration request device 110.
  • FIG. 8 is a flowchart illustrating an example of processing executed by the verification system 100 according to the first exemplary embodiment in the verification phase. With reference to FIG. 8, FIG. 5, the process which the encryption verification system 100 performs in a verification phase is demonstrated.
  • the collation requesting device 120 receives an identifier (referred to as “collation identifier”) possessed by the collation (authentication) (step C1).
  • the verification request generator 121 in the verification request device 120 generates a verification request including the received verification identifier (step C2).
  • the communication unit 124 of the verification requesting device 120 sends a verification request to the verification device 140 (step C3).
  • the communication unit 146 of the verification device 140 receives the verification request from the verification request device 120 (step C4).
  • the registration data acquisition unit 141 in the verification device 140 generates a registration data request including the verification identifier included in the verification request transmitted from the verification request device 120 (step C5).
  • the communication unit 146 of the verification device 140 sends a registration data request to the storage device 130 (step C6).
  • the communication unit 135 of the storage device 130 receives a registration data request from the verification device 140 (step C7).
  • the registration data search unit 134 in the storage device 130 includes registration data (also referred to as “target template”) including a verification identifier included in the registration data request among one or a plurality of registration data stored in the registration data storage unit 133. (Step C8).
  • the communication unit 146 of the verification device 140 receives the template from the storage device 130 (step C10).
  • the random number generation unit 142 of the verification device 140 is an integer (random number) according to the pseudo random number generation procedure. Is generated (step C11).
  • the random number generation unit 142 preferably generates a different random number S each time a collation request is made.
  • the communication unit 146 of the verification device 140 sends the encrypted data (C2 [1],..., C2 [n]) to the verification request device 120 (step C13).
  • the verification requesting device 120 receives the encrypted data transmitted by the verification device 140 in step C13 (step C14).
  • the response generation unit 123 in the verification requesting device 120 Enc (pk, S (1-2x [1]) (C2 [1]), ..., Enc (pk, S (1-2x [n])) (C2 [n]): Encrypted response from scalar arithmetic and additive homomorphic addition: ... (51) Is generated (step C16). That is, the response generation unit 123 in the verification requesting device 120 uses Enc (pk, S (1-2x [1]) from the scalar operation Scl (y [1], Enc (pk, S (1-2x [1]))). ) y [1]) is generated.
  • the communication unit 124 of the verification requesting device 120 sends the response CC2 to the verification device 140 (step C17).
  • the collation device 140 receives the response CC2 from the collation request device 120 (step C18).
  • the query generation unit 145 in the verification device 140 generates a query including the encrypted distance Enc (pk, d H (X, Y)) (step C20).
  • the communication unit 146 of the verification device 140 sends the query to the verification device 150 (step C21).
  • the communication unit 155 of the verification device 150 receives the query Enc (pk, f) from the verification device 140 (step C24).
  • the query verification unit 153 in the verification device 150 decrypts the encryption distance Enc (pk, d H (X, Y)) of the query using the secret key sk.
  • Dec (sk, Enc (pk, d H (X, Y))) g ⁇ ⁇ d H (X, Y) ⁇ (54)
  • the verification result generation unit 154 in the verification device 150 compares d H (X, Y) with the threshold value t (step C23).
  • the verification device 150 outputs the calculated verification result (step C25).
  • step C11 may be executed prior to steps C5 to C10.
  • the matching system 100 even when authenticating with the same registration vector, the process using the random number selected in step C11 of FIG. 7 is performed. . Therefore, even if the communication content of the verification process is leaked, even if the leaked content is resent or data created using the leaked content is sent, a distance equal to the distance at the time of the verification is calculated. Or a small value cannot be calculated.
  • an attacker who does not know the registered vector is not considered “accepted”, that is, has resistance to spoofing attacks. .
  • the encrypted data (challenge) sent from the verification device 140 to the verification request device 120 does not include the encryption data Enc (pk, S) of the random number S. Therefore, the verification requesting device 120 sends the encrypted data Enc (pk, S (1-2x [1])),..., Enc (pk, S (1-2x [ n])) Enc (pk, (x [1] +... + x [n])), Enc (pk, S ((x [1] + ... + x [n]))) cannot be calculated. Therefore, the hamming distance between X and Y cannot be disguised, and an eavesdropper cannot impersonate the user.
  • the data received by the verification device 150 having the secret key is a ciphertext of the Hamming distance between the registration vector and the verification vector, and the value of the registration vector and the verification vector is not disclosed. Therefore, according to the matching system 100 according to the first exemplary embodiment, values other than the distance between the registered vector and the matching vector are not leaked to devices other than the devices that extract the respective vectors. It is possible to calculate the distance between the registered vector and the matching vector.
  • the verification device 150 having the decryption key can be modified so as not to disclose the Hamming distance between the registered vector and the verification vector.
  • the verification device 150 having a decryption key secret key
  • the verification device 150 having a decryption key can be transformed into a method that cannot calculate the Hamming distance between the registered vector and the collation vector.
  • the method that does not disclose the distance between the registration vector and the verification vector for the verification device 150 having the decryption key prevents the verification device 150 having the decryption key from calculating the value of the registration vector even under special circumstances. Higher safety can be achieved.
  • FIG. 9 is a diagram for explaining a first modification of the first embodiment.
  • the basic configuration is the same as in the first embodiment. The differences are as follows. Note that the notation such as omitting the public key pk in the registration vector X and encryption Enc () follows FIG.
  • Registration request unit 110 as a template, Enc (pk, (1-2x 1 )), ..., Enc (pk, (1-2x n)) instead, Enc (pk, x 1) , ..., Enc (pk , x n ) are sent to the storage device 130 (S11A).
  • the storage device 130 From Enc (pk, x 1 ), ..., Enc (pk, x n ), using additive homomorphic scalar and addition operations, Enc (pk, (1-2x 1 )), ..., Enc (pk, (1-2x n )) (55) Enc (pk, x 1 +, ..., + x n ) (56) Is obtained and stored (S11B).
  • the template generation unit 112 of the registration requesting device 110 generates Enc (pk, x 1 ),..., Enc (pk, x n ).
  • FIG. 10 is a diagram illustrating a second modification of the first embodiment.
  • the basic configuration is the same as in the first embodiment. The differences are as follows. Note that the notation such as omitting the public key pk in the registration vector X and encryption Enc () follows FIG.
  • the registration requesting device 110 sends Enc (pk, x 1 ),..., Enc (pk, x n ) as a template to the storage device 130 as in the first modification (S11A).
  • the storage device 130 includes Enc (pk, x 1 ),..., Enc (pk, x n ) (57) Remember.
  • the verification device 140 Upon receiving a verification request from the inquiry requesting device 120 (S12), the verification device 140 acquires Enc (pk, x 1 ),..., Enc (pk, x n ) from the storage device 130 (S13A), and adds Using homomorphic scalar and addition operations, Enc (pk, (1-2x 1) ), ..., Enc (pk, (1-2x n)), and, Enc (pk, x 1 + , ..., + x n) Request (S13B).
  • the first embodiment described with reference to FIGS. 4 to 9 is safe against a semi-honest attacker, but there is a spoofing attack by the attacker. 4, the collation device 140 transmits Enc (pk, S (1-2x 1 )),..., Enc (pk, S (1-2x n )) to the collation requesting device 120.
  • Enc (pk, Sz) can be transmitted to the verification device 140 in at most two trials for an arbitrary value z.
  • the verification device 140 treats Enc (pk, Sz) received from the verification request device 120 as Enc (pk, D2), and adds Enc (pk, Sz) and Enc (pk, D 1 ) to Enc (pk , Sz + D 1 ) is transmitted to the verification device 150.
  • X [x 1 , ..., x n ]
  • Is a first converted value vector A that takes a value other than the binary value converted by a predetermined conversion formula, and is a second converted value vector Y [y 1 ,..., Y n ].
  • the operation result (inner product A / B) with the conversion value vector B is ...
  • the conversion value Ai of the registration vector X that generates is transmitted to the verification requesting device 120 as a challenge.
  • Enc (pk, S ⁇ [i 1 to n] Ai ⁇ Bi) ... (61)
  • the biological information is a binary vector, a spoofing attack can be avoided. This will be described below.
  • Registration vector Collation vector A 1 that satisfies the following relationship with respect to, ..., A n, B 1 , ..., determine the B n.
  • the constraint equations are n ⁇ 2 for each x i y i coefficient and n for each y i in total, n (n + 1).
  • the unknown is n (2n + 1). ... (65)
  • the verification requesting device 120 ... (67) Is transmitted to the verification device 140.
  • T is a transpose operator.
  • the above equations (62) and (63) are expressed using the following transformation matrix.
  • L is a matrix Is the inverse of the determinant.
  • a 1 and A 2 are different for each value (0,0), (0,1), (1,0), (1,1) of (x 1 , x 2 ) (( b) and (c)).
  • B 1 and B 2 are given below.
  • FIG. 12 is a diagram illustrating the configuration of the registration request apparatus 110 according to the second embodiment.
  • the registration request device 110 uses the binary vector extracted by the registration information extraction unit 111. And preset conversion factors: Is provided with a conversion value generation unit 114 for obtaining conversion values (A 1 ,..., A n ).
  • the other basic configuration is the same as that of the first embodiment shown in FIG. 5 except that the conversion template generation unit 112 of the registration request device 110, the registration data generation unit 132 of the storage device 130, and the verification device 140.
  • the contents of the processes performed by the encrypted data generation unit 143, the encrypted distance calculation unit 144, and the verification requesting device 120 are different from those of the first embodiment.
  • FIG. 13 is a diagram for explaining the registration phase.
  • step B1A added to FIG. 7 will be described.
  • the conversion value generation unit 114 uses the binary vector extracted by the registration information extraction unit 111. And preset conversion factors: Based on the above, conversion values (A 1 ,..., A n ) are obtained (B 1 A).
  • the template generation unit 112 uses the first template as Enc (pk, A 1 ), ..., Enc (pk, A n ) (79) Is generated (B2). Further, the template generation unit 112 serves as a second template. Enc (pk, x 1 ), ..., Enc (pk, x n ) (80) (B3), these templates are combined (B4), and transmitted to the storage device 130 (B5).
  • FIG. 14 is a diagram for explaining the operation sequence of the second embodiment.
  • FIG. 14 corresponds to the notations of FIG. 4 and FIG.
  • the public key and secret key generation (S20) corresponds to S10 in FIGS.
  • the registration request apparatus 110 has n (n + 1) conversion coefficients: Is set in advance. Further, the verification requesting device 120 includes n ⁇ 2 conversion coefficients: Is set.
  • the conversion value generation unit 114 of the registration request apparatus 110 uses the binary vector extracted by the registration information extraction unit 111. And preset conversion factors: Based on the above, conversion values (A 1 ,..., A n ) are obtained.
  • Enc (pk, A 1 ), ..., Enc (pk, A n ) (81) Is generated.
  • the template generation unit 112 serves as a second template. Enc (pk, x 1 ), ..., Enc (pk, x n ) (82) Is generated.
  • the template generation unit 112 of the registration request device 110 uses the first and second templates as templates. ... (83) Is sent to the storage device 130 via the communication unit 113 (S21).
  • the identifier management unit 131 When the storage device 130 receives the template, the identifier management unit 131 generates a registration identifier id, and the registration data generation unit 132 associates the template with the registration identifier id. ... (84) Is stored in the registered data storage unit 133.
  • the registration data acquisition unit 141 reads from the storage device 130. Is received (S23A).
  • the collation device 140 uses the random number generator 142 as the random number. Is generated (S24).
  • the random number generation unit 142 performs a scalar operation on the random number S on the encrypted data Enc (pk, A 1 ),..., Enc (pk, A n ) of the converted value, Enc (pk, SA 1 ), ..., Enc (pk, SA n ) (85) Is transmitted to the verification requesting device 120 via the communication unit 146 (S25).
  • the response generation unit 123 of the verification requesting device 120 passes through the communication unit 124. Is sent to the verification device 140 as a response to the challenge (S26).
  • the encryption distance calculation unit 144 of the verification device 140 uses the obtained D 1 and the second template received from the storage device 130. ... (91) Thus, the encrypted data of the Hamming distance between the binary vectors X and Y is calculated with encryption.
  • the collation device 140 transmits the encryption data Enc (pk, d H (X, Y)) of the Hamming distance between the binary vectors X and Y to the verification device 150 (S27).
  • the verification device 150 decrypts the encrypted data Enc (pk, d H (X, Y)) with the secret key sk (Dec (sk, Enc (pk, d H (X, Y)))), and the decryption result is the threshold value t. It is determined whether or not (S28), and the verification result is output (S29).
  • FIG. 15 is a diagram illustrating a first modification of the second embodiment described above.
  • converted value A 1 registration request unit 110 ..., and calculates the A n, these encrypted data Enc (pk, A 1), ..., Enc (pk, A n) a, had been sent to the storage device 130 as a first template, in the first modification, the template generating unit 112 of the registration request unit 110, the conversion value [a 1, ... a n] of the encrypted data Enc (pk, a 1) ,..., Enc (pk, A n ) is not transmitted to the storage device 130.
  • the template generation unit 112 of the registration requesting device has n pieces of encrypted data of x 1 ,..., X n (first template). Enc (pk, x 1 ), ..., Enc (pk, x n ) Is transmitted to the storage device 130 (S21).
  • the registration request device 110 has the same configuration as that shown in FIG. Other configurations are the same as the configuration of the first embodiment shown in FIG. 5 except that the template generation unit 112 of the registration request device 110, the registration data generation unit 132 of the storage device 130, and the encryption of the verification device 140 The processes performed by the data generation unit 143, the encrypted distance calculation unit 144, and the verification requesting device 120 are different from those in the first embodiment.
  • the communication unit 135 of the storage device 130 receives the first template transmitted from the registration requesting device 110, and the registration data generation unit 132 relates to the registration identifier id assigned by the identifier management unit 131, Is stored in the registered data storage unit 133.
  • the registration data generation unit 132 of the storage device 130 stores the registration data of n elements x 1 ,..., X n of the n-dimensional binary vector X.
  • Enc (pk, x 1 ), ..., Enc (pk, x n ) (93) Encrypted data of the sum of elements ⁇ x i ⁇ Is generated (S21A).
  • the registration data generation unit 132 of the storage device 130 includes a conversion coefficient group set in the storage device 130. From the encrypted data of the converted values A 1 ,..., A n with the n elements x 1 ,. Enc (pk, A 1 ),..., Enc (pk, A n ) Is calculated (S21B).
  • the registration data acquisition unit 141 receives, from the storage device 130, Enc (pk, A 1 ),..., Enc (pk, An ). Encrypted data (second template): Is received (S23).
  • the random number generation unit 142 of the verification device 140 generates a random number S (S24). Then, the encrypted data generation unit 143 uses an additive homomorphic scalar operation rule, Enc (pk, SA 1 ),..., Enc (pk, SA n ) Is transmitted to the verification requesting device 120 via the communication unit 146 (S25).
  • the response generation unit 123 of the verification requesting device 120 uses the set n ⁇ 2 conversion coefficients. And the binary vector extracted by the collation information extraction unit 122 From ... (95) Ask for.
  • the basic configuration of Modification 2 is the same as the configuration of the first embodiment shown in FIG.
  • FIG. 16 is a diagram for explaining the operation of the second modification. With reference to FIGS. 16 and 5, the operation of the second modification will be described.
  • the storage device 130 stores the first and second templates in association with the registration id.
  • the registration data acquisition unit 141 of the verification device 140 receives the verification request from the verification request device 120 (S22), the encrypted data Enc (n of the n elements ⁇ x i ⁇ of the n-dimensional binary vector X is stored from the storage device 130. pk, x 1 ),..., Enc (pk, x n ) Is received (S23A).
  • the encrypted data generation unit 143 of the verification device 140 Enc (pk, x 1 ), ..., Enc (pk, x n ) encrypted, encrypted data of the sum of elements ⁇ xi ⁇ Is generated (S23A).
  • the cipher data generation unit 143 of the verification device 140 includes n pieces of x 1,... , Xn cipher registration data Enc (pk, x 1 ) ,..., Enc (pk, x n ) and a set conversion coefficient group. Then, encrypted data Enc (pk, A1),..., Enc (pk, An) of the converted values A1,... An are generated (S24B).
  • the collation device 140 generates a random number S (S24) and, according to an additive homomorphic scalar operation rule, Enc (pk, SA 1 ),..., Enc (pk, SA n ) Is transmitted to the verification requesting device 120 via the communication unit 146 (S25).
  • the verification requesting device 120 uses the set n ⁇ 2 conversion coefficients And binary vectors From ... (98) Ask for. Furthermore, from Enc (pk, SA1), ..., Enc (pk, SAn) and converted values B1, ..., Bn, ... (99) Is sent to the verification device 140 as a response (S26). Since it is the same as that of the modification 1 of FIG. 14 after this, description is abbreviate
  • the registration request device 110 includes a conversion coefficient. Is not preset.
  • the verification requesting device 120 includes n ⁇ 2 conversion factors Also not set.
  • FIG. 18 is a diagram for explaining the collation phase of the third modification. Differences from FIG. 8 and Modification 1 will be described.
  • the random number generation unit 142 of the verification device 140 generates the random number S and generates the encrypted data Enc (pk, SA1),..., ENc (pk, SAn) by performing the scalar operation on the converted random number data. (C12).
  • FIG. 19 illustrates an overall operation sequence of the third modification.
  • the storage device 130 stores the first template in association with the registration identifier id.
  • the registration data acquisition unit 141 of the verification device 140 receives a verification request from the verification request device 120 (S22), the encrypted data Enc (pk, x) of n elements ⁇ x i ⁇ of the binary vector X from the storage device 130 is received. 1 ),..., Enc (pk, x n ) Is received (S23).
  • the encrypted data generation unit 143 of the verification device 140 encrypts the encrypted data Enc (pk, x 1 ),..., Enc (pk, x n ) of n elements ⁇ x i ⁇ of the binary vector X. , Encryption data of sum of n elements ⁇ xi ⁇ of binary vector X Is generated (S23A).
  • the random number generator 142 of the verification device 140 generates a random number S (S24), calculates Enc (pk, SA 1 ),..., ENc (pk, SA n ), and Enc (pk, SA 1 ),.
  • the verification requesting device 120 receives n ⁇ 2 conversion coefficients transmitted from the verification device 140. And binary vectors From ... (101) Ask for. Furthermore, from Enc (pk, SA 1 ), ..., Enc (pk, SA n ) and converted values B 1 , ..., B n , ... (102) Is sent to the verification device 140 as a response (S26).
  • the processing (S27) in which the collation device 140 that has received the response of the expression (102) transmits a query and the processing (S28 and S29) of the verification device 150 that has received the query from the collation device 140 are the same as in the second modification. The description is omitted.
  • the sum of n elements ⁇ x i ⁇ of the n-dimensional binary vector X for registration in the registration requesting device 110 is the same as in the first embodiment.
  • Encryption data And the encrypted data may be transmitted to the storage device 130.
  • the third embodiment is configured to be compatible with 1: N authentication.
  • FIG. 20 is a diagram illustrating the configuration of the collation device 140 and the verification device 150 in the third embodiment.
  • the basic configuration of the registration request device 110 and the verification request device 120 is the configuration shown in FIG. However, the processing of each part is different from that of the first embodiment.
  • the third embodiment corresponds to 1: N authentication. *
  • the collation device 140 includes a hash value generation unit 148 in addition to the configuration shown in FIG.
  • the random number generation unit 142 of the verification device 140 generates random numbers a i , b i , and r i .
  • the encrypted data transmitted to the verification requesting device 120 does not depend on the registered data (template). For this reason, 1: N authentication can be performed.
  • the hash value generation unit 1532 of the query verification unit 153 of the verification device 150 calculates a hash value H (z a z b ) of the product of z a and z b .
  • the mismatch determination unit 1533 of the query verification unit 153 of the verification device 150 has a calculated H (zazb) that does not match the hash value H (a i b i r i ) received from the verification device 140 by t or less. It is determined whether or not.
  • the verification result generation unit 154 accepts if the number of mismatches is t or less, and accepts it otherwise.
  • the verification device 150 can decrypt it with the secret key sk.
  • the hash value of a i b i r i is transmitted to the verification device 150.
  • it is difficult to reversely calculate the input u from the hash value v (v H (u)). For this reason, even if it is wiretapped, the contents cannot be read.
  • FIG. 21 is a diagram for explaining the processing of the collation phase in the third embodiment.
  • the random number generation unit 142 of the verification device 140 generates random numbers a i , b i , and r i (C11).
  • the data is transmitted to the device 120 (C13).
  • H is a one-way hash function.
  • the hash value generation unit 1532 of the query verification unit 153 of the verification device 150 calculates a hash value H (z a z b ) of the product of z a and z b (C23B).
  • the mismatch determination unit 1533 of the query verification unit 153 of the verification device 150 is configured so that the calculated hash value H (z a z b ) does not match the hash value H (a i b i r i ) received from the verification device 140. It is determined whether or not the number is t or less, and the verification result generation unit 154 accepts if the number of mismatches is t or less, otherwise accepts (C24), and outputs a verification result ( C25).
  • FIG. 22 is a diagram for explaining the operation sequence of the third embodiment.
  • the collation device 140 generates random numbers a i , b i and r i (S34).
  • the verification device 150 Enc the encrypted data by using the secret key sk (pk, a i (2x i -1)), Enc (pk, b i r i (2y i -1)) decoding result z a a, z From b , the hash value H (z a z b ) of the product is calculated (S38A).
  • the verification device 150 determines whether or not the calculated hash value H (z a z b ) does not match the hash value H (a i b i r i ) received from the verification device 140 so that the number of i is equal to or less than t. (S38B). If the number of mismatches is t or less, it is accepted, otherwise it is not accepted. The verification device 150 outputs a detection result (acceptance / nonacceptance) (S39).
  • FIG. 23 is a diagram for explaining the operation sequence of the first modification of the third embodiment.
  • the collation device 140 generates random numbers a i , b i and r i (S34).
  • the collation device 140 generates a hash value H (a i b i r i ) and transmits it to the verification device 150 (S37).
  • the verification device 150 Enc the encrypted data by using the secret key sk (pk, a i (2x i -1)), Enc (pk, b i r i (2y i -1)) decoding result z a a, z From b , the hash value H (z a z b ) of the product is calculated (S38A).
  • the verification device 150 determines whether or not the number of i that does not match the calculated H (z a z b ) with the hash value H (a i b i r i ) received from the verification device 140 is t or less ( S38B). If the number of mismatches is t or less, it is accepted, otherwise it is not accepted.
  • the verification device 150 outputs a detection result (acceptance / nonacceptance) (S39).
  • FIG. 24 is a diagram for explaining a modification of the third embodiment.
  • the storage device 130 further includes a random number generation unit 136, an encrypted data generation unit 137, and a hash value generation unit 138 in addition to the configuration of the storage device 130 of FIG. 5.
  • the verification apparatus 150 further includes a registration data check unit 156 including a decryption unit 1561, a hash value generation unit 1562, and a match determination unit 1563.
  • FIG. 25 is a diagram illustrating an operation sequence of a registration phase according to a modification.
  • the registration request device 110 is a binary vector (2x 1 -1), ..., (2x n -1) is calculated from the data encrypted with the public key pk (first template) Enc (pk, (2x 1 -1)), ..., Enc (pk, (2x n -1)) (113) Is transmitted to the storage device 130 (S31).
  • the random number generation unit 136 of the storage device 130 generates random numbers c 1 ,..., C n (S31A).
  • the encryption data generation unit 137 of the storage device 130 is calculated from the scalar operation Scl (ci, Enc (pk, (2xi-1))). Enc (pk, c 1 (2x 1 -1)), ..., Enc (pk, c n (2x n -1)) (114) Is generated.
  • the hash value generation unit 138 of the storage device 130 calculates a hash value H (c 1 ⁇ 2),..., H (c n ⁇ 2) using the hash function H.
  • the storage device 130 transmits Enc (pk, c1 (2x 1 -1)), ..., Enc (pk, cn (2x n -1)) and hash value H (c 1 ⁇ 2), via the communication unit 135. ..., H (c n ⁇ 2) is transmitted to the verification device 150 (S31B).
  • the verification device 150 notifies the storage device 130 of the verification result (S31E).
  • the storage device 130 Enc (pk, (2x 1 ⁇ 1)),..., Enc (pk, (2x n ⁇ 1)) Is stored in the registration data storage unit 133 in association with the registration identifier id (S31G).
  • decryption unit 1561 and the hash value generation unit 1562 may use the decryption unit 1531 and the hash value generation unit 1532 of the query verification unit 153 in common.
  • the registration requesting device 110 is a binary vector.
  • Enc (pk, x 1 ),..., Enc (pk, x n ) is generated and transmitted to the storage device 130.
  • Enc (pk, (2x 1 -1)),. (pk, (2x n -1)) is calculated, random numbers c1, ..., cn are generated, and from the scalar operation Scl (c i , Enc (pk, (2x i -1))), Enc (pk , c 1 (2x 1 -1)), ..., Enc (pk, c n (2x n -1)) may be generated.
  • a product of messages obtained by the verification device decrypting the ciphertext is obtained.
  • a cipher in which the product of decrypted values is not defined cannot be used.
  • the modified Elgamal cipher that outputs Dec (sk, Enc (pk, m)) g ⁇ m, where the decryption algorithm is not a message, or Dec (sk, Enc (pk, m)) where the decryption algorithm is not a message
  • the modified Elgamal cipher and ECElgamal cipher are generally difficult to construct a decryption algorithm that outputs a message.
  • a binary vector can be handled as biometric information, resistant to spoofing attacks, and Somewhat homomorphic encryption and pairing operations are not required.
  • Patent Documents 2 and 3 described above there is a problem in terms of resistance to a spoofing attack, and somewhat homomorphic encryption and pairing calculation are required.
  • Patent Document 5 there is a problem in terms of resistance to a spoofing attack, and Somewhat homomorphic encryption and pairing calculation are required.
  • a binary vector can be handled as biometric information, it is resistant to spoofing attacks, and there is no need for Somewhat homomorphic encryption or pairing operation. : N authentication can be supported.
  • a fourth embodiment of the present invention will be described.
  • the basic configuration of the fourth embodiment of the present invention is the same as FIG. 20 referred to in the description of the third embodiment.
  • an encryption method having an additive homomorphism is used.
  • a multiplicative homomorphic encryption method such as ElGamal encryption or RSA encryption is used.
  • (h, g, q) be a public key and x be a secret key.
  • the random number generation unit 142 of the verification device 140 generates random numbers a i and b i .
  • the request is transmitted to the requesting device 120 (S45).
  • the encrypted data transmitted to the verification requesting device 120 does not depend on the registered data (template). For this reason, 1: N authentication can be performed.
  • the verification result generation unit 154 accepts if the number of mismatches is t or less, and accepts it otherwise.
  • FIG. 26 is a diagram illustrating an operation sequence according to the fourth embodiment.
  • the collation device 140 generates random numbers a i and b i (S44).
  • the verification device 150 uses the secret key sk to convert the encrypted data from the decryption result z i of Enc (pk, a i b i r (2x i ⁇ 1) (2y i ⁇ 1)) to the hash value H (z i ). Is calculated (S48A).
  • the verification device 150 determines whether the calculated H (z i ) does not match the hash value H (a i b i ) received from the verification device 140 so that the number of i is equal to or less than t (S48B). If the number of mismatches is t or less, it is accepted, otherwise it is not accepted.
  • the verification device 150 outputs a detection result (acceptance / nonacceptance) (S49).
  • a function for checking whether or not x i ⁇ ⁇ 0, 1 ⁇ is satisfied may be implemented.
  • the configuration of the modification of the fourth embodiment is the configuration of the storage device 130 and the verification device 150 of FIG.
  • a multiplicative homomorphic system such as RSA encryption or ElGamal encryption may be used.
  • FIG. 27 is a diagram illustrating an operation sequence of a registration phase according to a modification. Note that FIG. 27 has the same sequence as FIG. 25, but is different in the cryptographic data calculation process in that a multiplicative homomorphic method is used.
  • the registration request device 110 is a binary vector for registration. (2x 1 -1), ..., (2x n -1) is calculated from the data encrypted with the public key pk (first template) Enc (pk, (2x 1 -1)), ..., Enc (pk, (2x n -1)) (123) Is transmitted to the storage device 130 (S41).
  • the random number generation unit 136 of the storage device 130 generates random numbers c 1 ,..., C n (S41A).
  • the hash value generation unit 138 of the storage device 130 calculates a hash value H (c 1 ⁇ 2),..., H (c n ⁇ 2) using the hash function H.
  • the storage device 130 transmits Enc (pk, c1 (2x 1 -1)), ..., Enc (pk, cn (2x n -1)) and hash value H (c 1 ⁇ 2), via the communication unit 135. ..., H (c n ⁇ 2) is transmitted to the verification device 150 (S41B).
  • the verification device 150 notifies the storage device 130 of the verification result (S41E).
  • the storage device 130 Enc (pk, (2x 1 ⁇ 1)),..., Enc (pk, (2x n ⁇ 1)) Is stored in the registration data storage unit 133 in association with the registration identifier id (S41G).
  • decryption unit 1561 and the hash value generation unit 1562 may use the decryption unit 1531 and the hash value generation unit 1532 of the query verification unit 153 in common.
  • the storage device 130 stores Enc (pk, (2x1-1)),..., Enc (pk, (2xn-1)) in the registration data storage unit in association with the registration identifier id.
  • z i c i (2x i -1) is a value other than + c i and -c i , And it will be rejected.
  • the secret key of ElGamal encryption is x
  • the public key is (h, g, q)
  • the ciphertext for plaintext m is (c1, c2).
  • (C1 ⁇ t, c2) calculated for a random number t randomly selected from ⁇ 0,1, ..., q-1 ⁇ is a secret key x / t
  • a public key (h, g ⁇ t, q) Is a ciphertext of plaintext m corresponding to.
  • the verification device 140 receives a verification request from the verification request device 120 (S42), and generates a different random number t each time.
  • the public key (h, g ⁇ t, q) Send ciphertext and public key (h, g ⁇ t, q) corresponding to.
  • the verification requesting device 120 sends the ciphertext corresponding to the public key (h, g ⁇ t, q) received from the verification device 140 to the verification device 140 (S46).
  • the collation device 140 can return the ciphertext received from the collation requesting device 120 in step S46 to the ciphertext corresponding to the original public key (h, g, q) by using t.
  • the encryption method is not limited to multiplicative homomorphic encryption such as RSA encryption and ElGamal encryption, but a public key cryptosystem (Somewhat homomorphism) having homomorphism with respect to addition and multiplication.
  • a fully homomorphic cipher using Gentry's ideal lattice eg "Fully Homomorphic Encryption Using Ideal Lattices," In Symposium on Theroy of Computing -STOC 2009, ACM, 169-178, Etc.
  • a computer system 10 such as a server computer includes a processor (CPU (Central Processing Unit), data processing device) 11, a semiconductor memory (for example, RAM (Random Access Memory), ROM (Read Only Memory), or A storage device 12 including at least one of an EEPROM (Electrically Erasable and Programmable ROM), an HDD (Hard Disk Drive), a CD (Compact Disc), a DVD (Digital Versatile Disc), a display device 13, and a communication interface 14 It has.
  • CPU Central Processing Unit
  • data processing device for example, RAM (Random Access Memory), ROM (Read Only Memory), or
  • a storage device 12 including at least one of an EEPROM (Electrically Erasable and Programmable ROM), an HDD (Hard Disk Drive), a CD (Compact Disc), a DVD (Digital Versatile Disc), a display device 13, and a communication interface 14 It has.
  • EEPROM Electrically Erasable and Programmable ROM
  • HDD Hard Disk Drive
  • the communication interface 14 is communicatively connected to the registration request device 110, the verification request device 120, the storage device 130, and the verification device 150.
  • the storage device 12 stores a program that realizes the function of the collation device 140 described in each of the above-described embodiments, and the processor 11 reads and executes the program, whereby the collation device of each of the above-described embodiments. 140 may be realized.
  • the storage device 12 and, for example, the registration data storage unit 133 of the storage device 130 shown in FIG. 5 are the same storage device, and the processor 11 uses the identifier management unit 131 and the registration data generation unit 132 of the storage device 130 shown in FIG.
  • the processing of the registration data search unit 134 may be further executed.
  • the computer system 10 may be implemented as a cloud server provided to a client as a cloud service.
  • the registration request device 110 of each of the above embodiments may also be mounted on the computer system 10 as shown in FIG. Further, the verification requesting device 120 of each of the above embodiments may be implemented as the computer system 10.
  • the registration request device 110 and the verification request device 120 may be separate computer systems, or may be configured to perform registration and verification at the same location.
  • Programs for realizing the functions of the registration requesting device 110 and the verification requesting device 120 in FIG. 5 and the like are stored in the storage device 12, and the processor 11 reads and executes the programs so that each of the embodiments described above can be obtained. You may make it implement
  • the processor 11 of the registration requesting device 110 and the verification requesting device 120 acquires biometric information such as a fingerprint from a sensor (not shown) via the interface 14 and extracts binary vectors X and Y from the acquired information. Also good.
  • the verification apparatus 150 of each of the embodiments may be realized by a program executed on a computer, as in FIG.
  • Patent Documents 1-5 and Non-Patent Document 1 are incorporated herein by reference.
  • the embodiments and examples can be changed and adjusted based on the basic technical concept.
  • Various combinations or selections of various disclosed elements are possible within the scope of the claims of the present invention. . That is, the present invention of course includes various variations and modifications that could be made by those skilled in the art according to the entire disclosure including the claims and the technical idea.
  • a random number is generated and encrypted data obtained by calculation with the random number while the first value related to the first binary vector encrypted with the encryption key is encrypted, or the generated random number is used as the encryption key.
  • a verification device that transmits the encrypted data encrypted in step 1 to the verification request device; The verification requesting device for transmitting the cryptographic data obtained by the calculation with the elements of the second binary vector for verification while encrypting the encrypted data from the verification device to the verification device; With The collation device, based on the second value related to the first binary vector encrypted with the encryption key, the cipher data transmitted from the collation request device, and the random number, For generating the encryption data or the encryption data and the auxiliary data for verifying the degree of mismatch between the binary vector of the first binary vector and Based on a value obtained by decrypting the encrypted data of the query transmitted from the verification device with a decryption key, or based on the decrypted value and the auxiliary data of the query, the second binary vector and the first two
  • a collation system comprising: the verification device that
  • Appendix 2 A registration requesting device for transmitting encrypted data obtained by encrypting each element of the first binary vector for registration and at least one of a predetermined calculation result for each element with the encryption key; A storage device that receives at least one encrypted data of each element of the first binary vector and the predetermined calculation result for each element transmitted from the registration requesting device, and stores it as registration data;
  • a first random number is generated, and a first operation value related to each element of the first binary vector encrypted with the encryption key is encrypted with the encryption key.
  • a collation device that obtains second cipher data obtained by calculating the random number for each cipher data, and transmits the second cipher data to the collation request device; While obtaining each of the second encrypted data from the collating device, the third cipher data, which is the sum of values obtained by performing a scalar operation on each element of the second binary vector for collation, is obtained, and the collation
  • the verification requesting device to be transmitted to the device; With The verification device is The fourth cryptographic data from which the random number included in the third cryptographic data transmitted from the verification requesting device is deleted, and the second calculation value relating to each element of the first binary vector are used as the cryptographic key.
  • the verification device includes: Based on a comparison between a distance between the first and second binary vectors obtained by decrypting the sixth encrypted data of the query transmitted from the verification device with the decryption key and a predetermined threshold value, A verification system characterized by outputting acceptance / rejection.
  • the encrypted data of each element of the first binary vector is received from the registration requesting device, a first calculation value and a second calculation value for each element of the first binary vector are calculated, and the first calculation value is calculated.
  • the encrypted data and the fifth encrypted data are recorded as registration data,
  • the storage device for recording the encrypted data of each element of the first binary vector;
  • the verification device is
  • the first and second ciphers are calculated by calculating first and second operation values for each element of the first binary vector while encrypting encrypted data of each element of the first binary vector.
  • a verification request device that obtains encrypted data obtained by multiplying a value obtained by calculating the random number by the second conversion value, and sends the total of the encrypted data to the verification device as third encrypted data;
  • the verification device is The fourth encrypted data, which is a sum of values obtained by deleting the random number included in the third encrypted data transmitted from the verification requesting device and multiplying the first converted value and the second converted value, is obtained.
  • the verification device includes: Based on a comparison between a distance between the first and second binary vectors obtained by decrypting the sixth encrypted data of the query transmitted from the verification device with the decryption key and a predetermined threshold value, A verification system characterized by outputting acceptance / rejection.
  • the first n-dimensional binary vector for registration is subjected to the first transformation to obtain n first transformation values, and the n first transformation values are encrypted with an encryption key.
  • a registration requesting device for generating the first encrypted data and sending the first encrypted data and the encrypted data of each element of the first binary vector for registration to the storage device; Generating the fifth encrypted data obtained by encrypting the sum of the elements of the first binary vector;
  • the storage device for recording the first and fifth encrypted data as registration data and transmitting the first and fifth encrypted data to the verification device;
  • the verification system according to appendix 7, characterized by comprising:
  • a registration requesting device that sends encrypted data of each element of the first binary vector of n dimensions for registration to a storage device; Means for obtaining encrypted data of n first converted values obtained by performing the first conversion on the first binary vector while encrypting the encrypted data of each element of the first binary vector When, Means for generating fifth encrypted data obtained by encrypting the sum of the elements of the first binary vector, the first encrypted data of the n first converted values, and the first two The storage device for recording the fifth encrypted data obtained by encrypting the sum of the elements of the value vector; With The verification device is Upon receipt of an inquiry request from the verification requesting device, the encrypted data of the n first converted values is obtained from the storage device, a random number is generated, and the random number is converted into the n first converted values Each of the first encrypted data is calculated to obtain second encrypted data, transmitted to the verification requesting device, The verification requesting device includes: The second conversion value obtained by subjecting the second binary vector to the second conversion is obtained, and each second conversion value is calculated
  • the verification device is From the third encrypted data transmitted from the verification requesting device, the fourth encrypted data is obtained as a sum of values obtained by deleting the random number and multiplying the first converted value and the second converted value.
  • the verification device is Generate encrypted data of the sum of the elements while encrypting the elements of the first binary vector, and encrypt the encrypted data of the elements of the first binary vector Means for obtaining first encrypted data of n first converted values obtained by performing the first conversion on a vector; Means for generating fifth encrypted data obtained by encrypting a sum of elements of the first binary vector; Generating a random number, calculating the random number to the first encrypted data of the n first conversion values to obtain the second encrypted data, and transmitting the second encrypted data to the verification requesting device;
  • the verification requesting device includes: N second conversion values obtained by performing the second conversion on the second binary vector are obtained, and the second conversion values are calculated for each of the second encrypted data, Obtaining encrypted data obtained by multiplying the first converted value by the second converted value to the value obtained by calculating the random number, and sending the third encrypted data of the total of the encrypted data to the verification device;
  • the verification device is From the third encrypted data transmitted from the verification requesting device, the random number is deleted, and
  • the verification device is When receiving a query request from the verification requesting device, obtain encrypted data of each element of the first binary vector, Means for generating fifth encrypted data obtained by encrypting a sum of elements of the first binary vector; Means for generating a first group of transform coefficients constituting the first transform; Means for obtaining n first converted values obtained by performing the first conversion on the first binary vector while encrypting encrypted data of each element of the first binary vector; A random number is generated, and the random number is calculated for the first encrypted data composed of the n first converted values to obtain the second encrypted data, and is transmitted to the verification requesting device And Further, the second group of transform coefficients used in the generation of the first group of transform coefficients is transmitted to the verification requesting device.
  • the verification requesting device includes: The second conversion value obtained by applying the second conversion defined by the conversion coefficient of the second group from the verification device to the second binary vector is obtained, and the second conversion value is determined as the verification Calculating each of the second encrypted data received from the device, multiplying the first converted value by the random number and the second converted value to obtain encrypted data, and summing up the encrypted data Sending the third encrypted data consisting of The verification device is The random number is deleted from the third encrypted data transmitted from the verification requesting device, and the encrypted data of the sum of values obtained by multiplying the first converted value and the second converted value is obtained.
  • Appendix 12 A registration requesting device that generates encrypted data of each element of the first binary vector of n dimensions for registration and sends it to a storage device; 11. The collation system according to appendix 9 or 10, wherein encrypted data of each element of the first binary vector from the registration requesting device is stored.
  • a verification device that receives the verification request from the verification requesting device, generates first to third random numbers, and transmits the first encrypted data obtained by encrypting the first random number with the encryption key to the verification requesting device;
  • the first operation value of each element of the second binary vector for verification and the second encrypted data which is the first operation result of the encrypted data of the first random number are obtained and transmitted to the verification device A verification requesting device,
  • the verification device is Third cipher data obtained by calculating the second random number to the second cipher data from the collation request device, and the collation request device, 4th encryption data which is the operation result of the encryption data of the 1st operation value of each element of the 1st binary vector, and the 3rd random number, and the hash based on the generated 1st thru / or 3rd random number Send the value (auxiliary data for verification) to the verification device,
  • the verification device includes: Decrypting the third and fourth cipher data from the collation device with a decryption key, calculating a hash
  • a collation device that, upon receiving a collation request from the collation request device, generates first and second random numbers, and transmits the first encrypted data obtained by encrypting the first random number with the encryption key to the collation request device; , The first operation value of each element of the second binary vector for verification and the second encrypted data that is the first operation result of the encrypted data of the first random number are obtained and transmitted to the verification device.
  • the verification requesting device With The verification device is The second encrypted data from the verification requesting device, the encrypted data of the first operation value of each element of the first binary vector for registration encrypted with the encryption key, and the second random number
  • the third encrypted data that is the result of the calculation and the hash value (auxiliary data for verification) based on the generated first and second random numbers are transmitted to the verification device,
  • the verification device includes: The third encrypted data from the verification device is decrypted with a decryption key, a hash value of the decrypted value is calculated, and the number of mismatches between the hash value and the has
  • the storage device for storing encrypted data transmitted from the registration requesting device;
  • a storage device comprising means for transmitting the cryptographic data obtained by calculating the random numbers and the hash value to the verification device;
  • the verification device decrypts each encrypted data transmitted from the storage device with the decryption key, obtains a hash value of each decrypted value, and each hash value corresponds to a corresponding hash value transmitted from the storage device If there is at least one mismatch, it is rejected. If all match, it is accepted. If the verification result at the verification device is accepted, the storage device receives the first operation value. 15.
  • the verification system according to appendix 13 or 14, characterized in that the encrypted data is stored.
  • the verification device generates a random number and generates encrypted data obtained by calculation with the random number while encrypting the first value related to the first binary vector encrypted with the encryption key, or generation Transmitting encrypted data obtained by encrypting the random number using the encryption key to the verification requesting device; (B) a step in which the verification requesting device transmits the encrypted data obtained by the calculation with the elements of the second binary vector for verification while encrypting the encrypted data from the verification device to the verification device When, (C) based on the second value related to the first binary vector encrypted with an encryption key, the encrypted data transmitted from the verification requesting device, and the random number, Generating encrypted data or the encrypted data and auxiliary data for verifying the degree of mismatch between the second binary vector and the first binary vector, and transmitting the encrypted data to the verification device as the query; (D) based on the value obtained by decrypting the encrypted data of the query transmitted from the verification device with a decryption key, or the decrypted value and the auxiliary data
  • the collation device generates a random number in response to the collation request from the collation requesting device, and uses a first operation value relating to each element of the first binary vector encrypted with the encryption key as the encryption key. Obtaining the second encrypted data obtained by calculating the random number for each of the first encrypted data encrypted in step, and transmitting the second encrypted data to the verification requesting device;
  • the collation requesting device is a third cipher that is a sum of values obtained by calculating the values of the second binary vector for collation for each of the second cipher data transmitted from the collating device.
  • the collation device includes a second cipher data obtained by deleting the random number included in the third cipher data transmitted from the collation request device, and a second element relating to each element of the first binary vector.
  • the sixth encrypted data having the distance between the first and second binary vectors is obtained by adding the fifth encrypted data encrypted with the encryption key while being encrypted to obtain the sixth encrypted data having the distance between the first and second binary vectors.
  • the verification device decrypts the sixth encrypted data with the decryption key, and accepts based on a comparison between a distance between the first and second binary vectors of the decryption result and a predetermined threshold value.
  • a collation method characterized by outputting a rejection.
  • the registration requesting device includes the first encrypted data obtained by encrypting the first operation value related to the first binary vector with the encryption key, and the elements related to the elements of the first binary vector. Generating the fifth encrypted data obtained by encrypting the second calculated value with the encryption key, and transmitting the first encrypted data and the fifth encrypted data to a storage device;
  • the storage device receives the first encrypted data and the fifth encrypted data from the registration requesting device and stores them as registered data;
  • step (E) Before the step (a), (E) the registration requesting device encrypting each element of the first binary vector with an encryption key and transmitting it to the storage device; (F) the storage device recording encrypted data of each element of the first binary vector; Including In the step (a), The collation device calculates first and second operation values for each element of the first binary vector while encrypting encrypted data of each element of the first binary vector, and The matching method according to appendix 19, characterized in that it is obtained as fifth encrypted data.
  • the collation device deletes the random number included in the third encrypted data transmitted from the collation request device, and sums the values obtained by multiplying the first conversion value and the second conversion value.
  • the fourth encrypted data is obtained, and the fourth encrypted data is added to the fourth encrypted data while encrypting the fifth encrypted data obtained by encrypting the sum of the elements of the first binary vector with the encryption key.
  • the verification device decrypts the sixth encrypted data with the decryption key, and accepts based on a comparison between a distance between the first and second binary vectors of the decryption result and a predetermined threshold value.
  • a collation method characterized by outputting a rejection.
  • a registration requesting device performs the first transformation on the first n-dimensional binary vector for registration to obtain n first transformation values; Sending the first encrypted data obtained by encrypting the n first converted values with an encryption key to a storage device; (F) the storage device generates fifth encrypted data obtained by encrypting a sum of elements of the first binary vector; 24.
  • the verification device When receiving the inquiry request from the verification requesting device, the verification device obtains n pieces of encrypted data of the first conversion values from the storage device, generates a random number, and generates the random number as the n number of random numbers.
  • Each of the encrypted data of the first conversion value is calculated to obtain the second encrypted data, transmitted to the verification requesting device,
  • the verification requesting device obtains the second conversion value obtained by performing the second conversion on the second binary vector, and receives the second conversion value from the verification device.
  • a cryptographic operation is performed on each of the encrypted data, and the encrypted data obtained by multiplying the first converted value by the random number and the second converted value is obtained, and a third encrypted data of the sum of the encrypted data is obtained.
  • Send to the verification device In the step (c), The verification device deletes the random number from the third encrypted data transmitted from the verification requesting device, and calculates the first sum of values obtained by multiplying the first conversion value and the second conversion value. 4 cipher data is obtained, and sixth cipher data obtained by adding the fourth cipher data and the fifth cipher data registered in the storage device is obtained and transmitted to the verification device.
  • the verification method according to attachment 23 The verification method according to attachment 23.
  • step (a) The collation device encrypts the encrypted data of each element of the first binary vector, and the n first converted values obtained by performing the first conversion on the first binary vector.
  • a process for obtaining encrypted data The verification device generates fifth encrypted data obtained by encrypting a sum of elements of the first binary vector; Generating a random number, calculating the second random data by calculating the random number to the first encrypted data of the n first converted values, and transmitting the second encrypted data to the verification requesting device;
  • Including The verification requesting device obtains n second conversion values obtained by performing the second conversion on the second binary vector, and uses the second conversion values as the second encrypted data.
  • the verification device deletes the random number from the third encrypted data transmitted from the verification requesting device, and calculates a fourth sum of values obtained by multiplying the first converted value and the second converted value.
  • Obtaining encrypted data obtaining a value obtained by adding the fourth encrypted data and the fifth encrypted data registered in the storage device, and transmitting the encrypted data to the verification device as an encrypted Hamming distance.
  • step (a) The collation device, upon receiving an inquiry request from the collation request device, obtaining encrypted data of each element of the first binary vector; Generating a first group of transform coefficients constituting the first transform; Obtaining n first converted values obtained by performing the first conversion on the first binary vector while encrypting the encrypted data of each element of the first binary vector; A step of generating a random number, calculating the second random data by calculating the random number on the first encrypted data including the n first converted values, and transmitting the second encrypted data to the verification requesting device; , A step of transmitting the second group of transform coefficients constituting the second transform used to generate the first group of transform coefficients to the verification requesting device; Including In the step (b), The collation requesting device obtains the second conversion value obtained by subjecting the second binary vector to the second transformation defined by the second group of transform coefficients from the collating device, and obtaining the second conversion value.
  • the collation device deletes the random number from the third cipher data transmitted from the collation request device, and obtains cipher data of a sum of values obtained by multiplying the first conversion value and the second conversion value.
  • the sixth encrypted data obtained by adding the fifth encrypted data obtained by encrypting the first calculated value related to each element of the total encrypted data and the first binary vector with the encryption key to the verification device.
  • (Appendix 29) (A) Upon receiving a verification request from the verification requesting device, the verification device generates first to third random numbers, and requests the verification request for the first encrypted data obtained by encrypting the first random number with the encryption key. Transmitting to the device; (B) The collation requesting device includes a first computation value of each element of the second binary vector for collation and second cipher data that is a first computation result of the cipher data of the first random number. And sending to the verification device; (C) The collation device includes a third cipher data obtained by calculating the second random number on the second cipher data from the collation request device, and a first registration data encrypted with the cipher key.
  • the verification device decrypts the third and fourth encrypted data from the verification device with a decryption key, calculates a hash value obtained by multiplying the decrypted value, and the hash value is the verification value It is determined whether or not the number of mismatches with the hash value received from the device is equal to or smaller than a predetermined value. If the number of mismatches is equal to or smaller than the predetermined value, the acceptance is accepted.
  • the collation method characterized by this.
  • (Appendix 30) (A) Upon receiving a verification request from the verification requesting device, the verification device generates first and second random numbers, and requests the verification request for the first encrypted data obtained by encrypting the first random number with the encryption key. Transmitting to the device; (B) The collation requesting device includes a first computation value of each element of the second binary vector for collation and second cipher data that is a first computation result of the cipher data of the first random number. And transmitting to the verification device, (C) The verification device is a calculation result of each element of the second encrypted data from the verification requesting device and the first binary vector for registration encrypted with the encryption key.
  • the verification device decrypts the fourth encrypted data from the verification device with a decryption key, calculates a hash value of the decrypted value, and the hash value is the hash value received from the verification device. It is determined whether or not the number of mismatches is less than or equal to a predetermined value, and if the number of mismatches is less than or equal to a predetermined value, it is accepted, otherwise it is rejected .
  • step (E) the registration requesting device transmitting encrypted data obtained by encrypting the first operation value of each element of the previous first binary vector with an encryption key to the storage device;
  • the storage device generating random numbers for the encrypted data of the first operation value of each element of the first binary vector;
  • the storage device generating a hash value of each random number;
  • the storage device transmits the encrypted data obtained by calculating the random numbers and the hash value to the verification device;
  • the verification device decrypts each encrypted data transmitted from the storage device with the decryption key, obtains a hash value of each decrypted value, and each hash value is transmitted from the storage device.
  • the storage device stores the encrypted data of the first operation value when the verification result in the verification device is accepted;
  • a random number is generated and encrypted data obtained by calculation with the random number while the first value related to the first binary vector encrypted with the encryption key is encrypted, or the generated random number is used as the encryption key.
  • a first conversion value obtained by performing a first conversion set in advance on a first binary vector for registration encrypted with an encryption key is used as the cipher.
  • the fourth encrypted data which is a sum of values obtained by deleting the random number included in the third encrypted data transmitted from the verification requesting device and multiplying the first converted value and the second converted value, is obtained.
  • a verification device that outputs a verification result based on a comparison between a distance between the first and second binary vectors obtained by decrypting the sixth encrypted data of the query with the decryption key and a predetermined threshold value
  • (Appendix 35) Means for generating first to third random numbers upon receiving a verification request from the verification requesting device, and transmitting first encrypted data obtained by encrypting the first random number with the encryption key to the verification requesting device; The first request value of each element of the second binary vector for verification and the second encrypted data that is the first calculation result of the encrypted data of the first random number are received from the verification requesting device.
  • Means Third cipher data obtained by computing the second random number on the second cipher data from the verification requesting device, cipher data of a first computed value of each element of the first binary vector for registration, Means for transmitting, to the verification device, fourth encrypted data that is a calculation result of the third random number and a hash value (auxiliary data for verification) based on the generated first to third random numbers;
  • a hash value of a value obtained by decrypting the third and fourth encrypted data with a decryption key and multiplying the decrypted value is calculated, and the number of mismatches between the hash value and the hash value transmitted from the verification device is It is determined whether or not the value is equal to or less than a predetermined value, and if the number of mismatches is equal to or less than the predetermined value, the verification result is received. Otherwise, the verification result is received from the verification device that is not accepted.
  • Means A collation device characterized by comprising:
  • (Appendix 36) Means for generating first and second random numbers upon receiving a verification request from the verification requesting device, and transmitting first encrypted data obtained by encrypting the first random number with the encryption key to the verification requesting device; The first request value of each element of the second binary vector for verification and the second encrypted data that is the first calculation result of the encrypted data of the first random number are received from the verification requesting device.
  • the third encrypted data is decrypted with a decryption key, a hash value of the decrypted value is calculated, and the number of mismatches between the hash value and the hash value transmitted from the verification device is equal to or less than a predetermined value.
  • a collation device characterized by comprising:
  • a random number is generated and encrypted data obtained by calculation with the random number while the first value related to the first binary vector encrypted with the encryption key is encrypted, or the generated random number is used as the encryption key.
  • Based on a value obtained by decrypting the encrypted data using a decryption key, or on the basis of the decrypted value and the auxiliary data the number of mismatched elements between the second binary vector and the first binary vector is determined in advance.
  • the fourth cryptographic data from which the random number included in the third cryptographic data transmitted from the verification requesting device is deleted, and the second calculation value relating to each element of the first binary vector are used as the cryptographic key.
  • Processing Third cipher data obtained by computing the second random number on the second cipher data from the verification requesting device, cipher data of a first computed value of each element of the first binary vector for registration, A process of transmitting the fourth encrypted data, which is a calculation result of the third random number, and a hash value based on the generated first to third random numbers to the verification device; A hash value of a value obtained by decrypting the third and fourth encrypted data with a decryption key and multiplying the decrypted value is calculated, and the number of mismatches between the hash value and the hash value transmitted from the verification device is It is determined whether or not the value is equal to or less than a predetermined value, and if the number of mismatches is equal to or less than the predetermined value, the verification result is received. Processing, A program that executes
  • the second encrypted data from the verification requesting device, the encrypted data of the first operation value of each element of the first binary vector for registration encrypted with the encryption key, and the second random number A process of transmitting to the verification device the third encrypted data that is the result of the calculation and a hash value based on the generated first and second random numbers;
  • the third encrypted data is decrypted with a decryption key, a hash value of the decrypted value is calculated, and the number of mismatches between the hash value and the hash value transmitted from the verification device is equal to or less than a predetermined value.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Mathematical Physics (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Physics & Mathematics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Algebra (AREA)
  • Power Engineering (AREA)
  • Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Storage Device Security (AREA)

Abstract

二値のベクトルに関して漏洩やなりすまし等を回避可能とし安全性を高める。照合装置は、乱数を生成し暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する。照合要求装置は、前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算で得た暗号データを前記照合装置に送信する。照合装置は、前記暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、照合要求装置から送信された前記暗号データと前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、前記クエリとして、検証装置に送信する。検証装置は、前記照合装置から送信された前記クエリの前記暗号データを復号鍵で復号した値、又は、前記復号した値と前記クエリの前記補助データに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるかを否か判定する。

Description

照合システム、方法、装置及びプログラム
［関連出願についての記載］
　本発明は、日本国特許出願：特願２０１６－２４３７０９号（２０１６年１２月１５日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
　本発明は照合システム、方法、装置及びプログラムに関する。
　クラウドコンピューティングサービス等、通信ネットワークに通信接続している計算機資源を用いてデータを管理するサービスが広く普及している。この種のサービスは機密性の高いデータを管理することから、データの安全性を保証する必要がある。ネットワーク環境において、データを暗号化されたままの状態で管理し、データを復号することなく、検索や統計処理等を行う技術の研究開発が行われている。また、例えば静脈等の生体が有する特徴（生体情報）に基づいた認証情報を用いて、安全性の高い認証を実現する生体認証技術が注目を集めている。
　生体認証技術においては、生体情報に基づきテンプレートが作成され、作成されたテンプレートが認証情報としてデータベースに保管される。生体認証技術においては、認証対象である生体に基づき作成された認証情報と、データベースに保管されているテンプレートとが類似（または、一致）している場合に、認証対象が受理される。生体認証技術においては、該認証情報と、該テンプレートとが類似（または、一致）していない場合に、認証対象は受理されない。一つの生体から作成された複数の認証情報であっても、該複数の認証情報は、相互に一致するとは限らない。しかし、類似しているか否かを、ある距離関数を用いて測定した場合に、該複数の認証情報間の距離は短い。これに対して、異なる生体から、それぞれ、作成された複数の認証情報間の距離は長い。生体認証技術は、上記の特質を利用することによって、データベースに保管されているテンプレートと、認証対象に関して作成された認証情報との照合を行う。例えば、指紋、静脈等は、生体情報の一例であり、生涯不変のデータとされている。生体情報が照合システムの外部に漏洩された場合の被害が甚大である。このため、該生体情報は、機密性が要求される情報の一つである。したがって、テンプレートが照合システムの外部に漏洩したとしても、生体情報が外部に漏洩しないテンプレート保護型の生体認証技術が重要である。
　また、生体認証技術では、他の認証技術と同様に、認証情報を登録した生体に、該生体と異なる生体がなりすますこと（すなわち、「なりすまし」）を防ぐ必要がある。例えば、特定の値を照合システムに送信することによって認証に成功する認証技術は、該なりすましへの耐性が十分でない。さらに、認証技術においては、テンプレートが漏洩してしまうリスクだけでなく、通信情報が盗聴（傍受）されるリスクもある。認証技術においては、通信情報が盗聴されたとしても、なりすましを防ぐ必要がある。例えば、正規のクライアントが照合システムに対する認証に成功した場合に、該照合システムへ送信したデータを、異なるクライアントが再送することによって認証に成功する方式は、なりすましへの耐性が十分でない可能性が高い。
　例えば、特許文献１には、暗号化した状態でハミング距離を算出可能な暗号アルゴリズムを用いて暗号化されたユーザの登録情報を、当該登録情報と前記暗号アルゴリズムを用いて暗号化された照合情報との間のハミング距離の計算結果に前記照合情報と前記ユーザとのハミング距離及び前記照合情報と前記ユーザとは異なる他人とのハミング距離が含まれるように変換し、入力された前記照合情報と、前記変換された登録情報とのハミング距離を計算し、前記計算されたハミング距離に含まれる、前記照合情報と前記ユーザとのハミング距離及び前記照合情報と前記ユーザとは異なる他人とのハミング距離と予め設定された閾値との比較結果に基づいて前記入力された照合情報が不正なものか否かを判定する処理を実行する方法、装置が開示されている。
　また、特許文献２には、準同型暗号を利用した秘匿生体認証システム・秘匿タグ検索システムにおいて、ベクトルデータＡ＝（ａ１、ａ２、…）を準同型暗号で暗号化する場合、各成分ａｉを暗号化し、暗号ベクトルデータＥ（Ａ）＝（Ｅ（ａ１）、Ｅ（ａ２）、…）を生成し、さらに、２つの暗号ベクトルデータＥ（Ａ）＝（Ｅ（ａ１）、Ｅ（ａ２）、…）とＥ（Ｂ）＝（Ｅ（ｂ１）、Ｅ（ｂ２）、…）の距離を暗号化したまま計算する（距離の例には、ハミング距離がある）が、このようにベクトルデータの各成分を準同型暗号化する場合、暗号ベクトルデータＥ（Ａ）＝（Ｅ（ａ１）、Ｅ（ａ２）、…）、Ｅ（Ｂ）＝（Ｅ（ｂ１）、Ｅ（ｂ２）、…）などのサイズが巨大になり、さらに秘匿距離計算に多大な計算時間を要するという問題があることが記載され、暗号ベクトルデータのサイズと秘匿距離計算の時間の両方を削減する構成が開示されている。
　特許文献３には、準同型暗号を利用した暗号処理システムにおいて、暗号化された情報を簡便にキャンセルする方法が開示されている。第１のデータを第１の変換多項式を用いて変換して第１の多項式を取得し、第１のデータに対応する乱数と第２のデータとを基に得られる式を、第２の変換多項式を用いて変換して第２の多項式を取得し、第１の変換多項式または前記第２の変換多項式のうち少なくとも一方を用いて前記乱数を変換して乱数多項式を取得し、第１の多項式と第２の多項式と乱数多項式とを、準同型暗号方式を用いて暗号化して、暗号化された第１の多項式と暗号化された第２の多項式と暗号化された乱数多項式とを取得し、暗号化された第１の多項式と暗号化された第２の多項式と暗号化された乱数多項式とを用いて、第１のデータと第２のデータとの照合を行う方法が開示されている。
　さらに、特許文献４には、信頼できる第三者による介入を導入したシステムにおいて、より一般的な準同型暗号方式を用いて構成される技術が開示されている。
　さらにまた、特許文献５には、テンプレートのサイズが、受理可能な範囲の広さのパラメータに依存せず、かつ、第三者の負荷が小さい技術が記載されている。しかし、この方式では、第三者に対し、登録された生体情報と照合する対象である生体情報との距離が明かされる。悪意を有した第三者が、照合時に得られる距離を利用することによる攻撃（ヒルクライミング攻撃）が可能であることが知られている。
　また、非特許文献１には、サーバとユーザが結託する攻撃者に対する安全性、復号者及びユーザが結託する攻撃者に対する安全性、盗聴者がユーザになりすましをできない性質の三つの安全性をすべて満たす方式が提案されている。
　本明細書で用いられる暗号アルゴリズム等の記法に関して説明しておく。まず公開鍵暗号について説明する。公開鍵暗号方式は、鍵生成、暗号化、復号の三つのアルゴリズム(Gen, Enc, Dec)で表される。
　鍵生成アルゴリズム（「Gen」と表記する）はセキュリティパラメータ1^κに基づき、公開鍵pkと、秘密鍵skを出力する。
(pk, sk) ← Gen(1^κ）
　暗号化アルゴリズム（「Enc」と表記する）は公開鍵pkと平文ｍを入力とし暗号文ｃを出力する。
ｃ ← Enc(pk, m)
　復号アルゴリズム（「Dec」と表記する）は、秘密鍵sk，暗号文cを入力とし、復号結果m'を出力する。
m’ ← Dec(sk, c)
　なお、本明細書、図面等では、文脈から明らかな場合等、pk, skは略記される場合がある。準同型暗号は、複数の暗号文から、その平文の演算結果の暗号文を計算可能な公開鍵暗号である。例えば、平文m1,…,mnの暗号文Enc(m1),…,Enc(mm)から秘密鍵を用いずに平文の和に対応する暗号文Enc(m1+…+mn)を計算できるものを「加法準同型暗号」と呼ぶ。
特開２０１６－１３１３３５号公報 特開２０１４－１２６８６５号公報 特開２０１６－１２１１１号公報 国際公開第２０１４／１８５４４７号 国際公開第２０１２／１１４４５２号
肥後、一色、森、尾花、"認証時の情報開示の少ない秘匿生体認証方式"、暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０１６）、２０１６．
　以下に関連技術の分析を与える。
　特許文献２、３では、盗聴者によるなりすまし攻撃に対する耐性の点で問題がある。また、特許文献２、３、５では、Somewhat準同型暗号やペアリング演算が必要とされる。Somewhat準同型暗号は、加法準同型暗号よりも計算の処理負荷が重い、仮定が強い等の課題を有する。
　また、非特許文献１の開示において、生体情報が二値ベクトル（二値符号列）の場合、盗聴者等によるなりすまし攻撃に対する防御度（耐性）を高める必要があることを、本発明者らは知見した。これに加えて、１：Ｎ認証にも対応可能な技術を本発明者らは知見したので、以下に提案する。
　本発明の主たる目的は、二値のベクトルの照合に関して漏洩やなりすまし等を回避可能とし安全性を高める照合システム、方法、照合装置、プログラムを提供することである。
　本発明の一つの側面によれば、照合システムは、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する照合装置と、前記照合装置からの前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算で得た暗号データを前記照合装置に送信する前記照合要求装置と、を備えている。前記照合装置は、前記暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、前記クエリとして検証装置に送信する。照合システムは、前記照合装置から送信された前記クエリの前記暗号データを復号鍵で復号した値、又は、前記復号した値と前記クエリの前記補助データに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する前記検証装置を備えている。
　本発明の別の側面によれば、
（ａ）照合装置が、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する工程と、
（ｂ）前記照合要求装置が、前記照合装置からの前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、前記照合装置に送信する工程と、
（ｃ）前記照合装置が、暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、前記クエリとして検証装置に送信する工程と、
（ｄ）前記検証装置が、前記照合装置から送信された前記クエリの前記暗号データを復号鍵で復号した値、又は、前記復号した値と前記クエリの前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する工程と、を含む照合方法が提供される。
　本発明の別の側面によれば、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する手段と、前記照合要求装置から、前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、受信する手段と、暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、前記クエリとして検証装置に送信する手段と、復号鍵を用いて前記暗号データを復号した値、又は前記復号した値と前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する前記検証装置から、検証結果を受信する手段と、を備えた照合装置が提供される。
　本発明のさらに別の一つの側面によれば、照合装置のコンピュータに、
　乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する処理と、
　前記照合要求装置から、前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、受信する処理と、
　暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、前記クエリとして検証装置に送信する処理と、
　復号鍵を用いて前記暗号データを復号した値、又は前記復号した値と前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する前記検証装置から、検証結果を受信する処理と、を実行させるプログラムが提供される。
　本発明によれば、上記プログラムを記憶したコンピュータ読み出し可能な記録媒体（例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、又は、ＥＥＰＲＯＭ（Electrically Erasable and Programmable ROM））等の半導体ストレージ、ＨＤＤ（Hard Disk Drive）、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）等のnon-transitory computer readable recording mediumが提供される。
　本発明によれば、二値のベクトルの照合に関して二値のベクトルの漏洩やなりすまし等を回避可能とし、安全性を高めることを可能としている。
本発明の例示的な実施形態の構成を説明する図である。 比較例を説明する図である。 比較例における問題点（なりすまし攻撃）の一例を説明する図である。 本発明の例示的な第１の実施形態の動作シーケンスを説明する図である。 本発明の例示的な第１の実施形態の構成例を説明する図である。 本発明の例示的な第１の実施形態における準備フェーズを説明する図である。 本発明の例示的な第１の実施形態における登録フェーズを説明する図である。 本発明の例示的な第１の実施形態における照合フェーズを説明する図である。 本発明の例示的な第１の実施形態の変形例１の動作シーケンスを説明する図である。 本発明の例示的な第１の実施形態の変形例２の動作シーケンスを説明する図である。 本発明の例示的な第２の実施形態を説明する図である。 本発明の例示的な第２の実施形態における登録要求装置の構成例を説明する図である。 本発明の例示的な第２の実施形態における登録フェーズを説明する図である。 本発明の例示的な第２の実施形態の動作シーケンスを説明する図である。 本発明の例示的な第２の実施形態の変形例１の動作シーケンスを説明する図である。 本発明の例示的な第２の実施形態の変形例２の動作シーケンスを説明する図である。 本発明の例示的な第２の実施形態の変形例３における照合装置の構成例を説明する図である。 本発明の例示的な第２の実施形態の変形例３における照合フェーズを説明する図である。 本発明の例示的な第２の実施形態の変形例３の動作シーケンスを説明する図である。 本発明の例示的な第３の実施形態の構成例を説明する図である。 本発明の例示的な第３の実施形態における照合フェーズを説明する図である。 本発明の例示的な第３の実施形態の動作シーケンスを説明する図である。 本発明の例示的な第３の実施形態の変形例１の動作シーケンスを説明する図である。 本発明の例示的な第３の実施形態の変形例２の構成を説明する図である。 本発明の例示的な第３の実施形態の変形例２の登録フェーズの動作シーケンスを説明する図である。 本発明の例示的な第４の実施形態の登録フェーズの動作シーケンスを説明する図である。 本発明の例示的な第４の実施形態の変形例１の登録フェーズの動作シーケンスを説明する図である。 本発明の例示的な第５の実施形態の構成を説明する図である。
＜基本形態＞
　図１は、本発明の一形態を説明する図である。図１を参照すると、本発明の一形態の照合システム１００において、
　照合装置１４０は、照合要求装置１２０からの照合要求に対して、
乱数（例えば図４、図９、図１０、図１４～図１６、図１９のＳ）を生成し、
暗号鍵（公開鍵pk）で暗号化されて記憶されている第１の二値ベクトル（X=[x1,…,xn]）に関する第１の評価値（例えば図４、図９、図１０のEnc(1-2xi) (i=1,…,n)、又は図１４のEnc(Ai)）と、前記乱数（Ｓ）との演算で得た暗号データ（図４等のEnc(S(1-2xi)、又は、図１４のEnc(SＡi) (i=1,…,n) ）を生成し、照合要求装置１２０に送信する。１：Ｎ認証の場合には、
　照合装置１４０は、照合要求装置１２０からの照合要求に対して、
乱数（例えば図２２のai,bi,ri、又は、図２６のai, bi）を生成し、
該乱数の暗号鍵（公開鍵pk）によって暗号化した暗号データ（例えば図２２や図２６のEnc(bi) (i=1,…,n)）を生成し、照合要求装置１２０に送信する。
　照合要求装置１２０は、
照合装置１４０からの前記暗号データ（例えば図４等のEnc(pk,S(1-2xi))、又は、図１４のEnc(SAi)、又は、１：Ｎ認証の場合、図２２や図２６のEnc(bi) (i=1,…,n)）を暗号化したまま、
照合用の第２の二値ベクトル（Y=[y1,…,yn]）の要素{yi}(i=1,…,n)、又は、前記要素{yi}(i=1,…,n)に関する演算結果（例えば図１４のBi)との演算により得た暗号データ（例えば図４等のEnc(SΣi (1-2xi)yi)、又は、図１４等のEnc(SΣi AiBi)、又は、１：Ｎ認証の場合、図２２、図２６のEnc(bi(2yi-1)） (i=1,…,n))を、照合装置１４０に送信する。なお、Σiはiに関する総和の演算子である（図面ではiが省略される場合もある）。
　照合装置１４０は、
暗号鍵(pk)で暗号化されている前記第１の二値ベクトル（X=[x1,…,xn]）に関する第２の評価値の暗号データ（図４等のEnc(Σixi）、又は、１：Ｎ認証の場合、図２２のEnc(2xi-1) )、
照合要求装置１２０からの前記暗号データ（例えば図４等のEnc(SΣi (1-2xi)yi)、又は、図１４等のEnc(SΣiAiBi）、又は、１：Ｎ認証の場合、図２２のEnc(bi（2yi-1)）)、及び、前記乱数（例えば図４、図１４等のＳ、又は、１：Ｎ認証の場合、図２２のai,ri、又は、図２６のai）
に基づき、
前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するためのクエリとして、
暗号データ（例えば図４、図１４等のEnc(dH(X,Y))）を生成するか、又は、
１：Ｎ認証の場合、暗号データ（例えば図２２のEnc(ai(2xi-1)),Enc(biri(2yi-1))、又は、図２６のEnc(aibi(2xi-1)(2yi-1))）と、補助データ（例えば図２２のハッシュ値Ｈ(aibiri)、又は、図２６のハッシュ値Ｈ(aibi)）と、を生成し、
　生成した前記クエリを、検証装置１５０に送信する。
　検証装置１５０は、
照合装置１４０からの前記クエリの前記暗号データ（例えば図４、図１９等のEnc(dH(X,Y))）を復号鍵(sk)で復号した値（dH(X,Y)）に基づき、又は、１：Ｎ認証の場合、
前記クエリの暗号データ（例えば図２２のEnc(ai(2xi-1)), Enc(biri(2yi-1))、又は、図２６のEnc(aibi(2xi-1)(2yi-1))）を復号鍵(sk)で前記復号した値（例えば図２２の(za,zb)、又は、図２６のzi)から生成した補助データ（例えば図２２のＨ(zazb)、又は、図２６のＨ(zi）)と、前記クエリの前記補助データ（例えば図２２のＨ(aibiri)、又は、図２６のＨ(aibi)）とに基づき、
前記第２の二値ベクトル（Y）と前記第１の二値ベクトル（X）の不一致の要素の個数が予め定められた個数以下であるか否かを判定する。検証装置１５０は、検証結果（受理又は不受理）を出力する。検証装置１５０は、検証結果（受理又は不受理）をクエリに対する応答として照合装置１４０に返し、照合装置１４０は、検証結果（受理又は不受理）を照合要求装置１２０に送信するようにしてもよい。
　登録要求装置１１０は、登録用の第１の二値ベクトルXの各要素{ｘi}(i=1,…,n)の暗号データ（Enc(xi) (i=1,…,n)）と、前記各要素に関する第１の評価値（演算結果）（例えば図４、図９、図１０のEnc(1-2xi) (i=1,…,n)、又は図１４のEnc(Ai)）の少なくとも一方を、前記暗号鍵(pk)で暗号化した暗号データを記憶装置１３０に送信する。記憶装置１３０は、暗号化された登録データを記憶する。なお、暗号鍵（公開鍵）、復号鍵（秘密鍵）は、好ましくは、加法に関して準同型性を有する公開鍵暗号方式が用いられる。あるいは、暗号方式として、乗法準同型性を有する公開鍵暗号方式を用いてもよい。あるいは、Somewhat準同型（somewhat homomorphic encryption scheme）のように、加法と乗法に関して準同型性を有する公開鍵暗号方式を用いてもよい。
　登録要求装置１１０と照合要求装置１２０は、それぞれ、登録用クライアントと認証用クライアントを構成してもよい。登録用クライアントと認証用クライアントは、登録と照合を同一の装置で行う一体型の装置構成としてもよいし、あるいは登録と照合を別々の装置で行うようにしてもよい。記憶装置１３０と照合装置１４０は、クライアントからの要求を受けて登録、照合の処理を行うサーバ（データベースサーバ、認証サーバ）として構成してもよい。記憶装置１３０と照合装置１４０は一体のサーバとして構成してもよい。
＜第１形態（First Mode）＞
　本発明の一形態において、図４を参照すると、登録要求装置１１０は、登録用のn次元の第１の二値ベクトルX＝［x1,…,xn］について、各要素{xi}(i=1,…,n)に関する第１の演算値(1 - 2xi) (i=1,…,n)を、公開鍵(pk)を用いた加法準同型暗号で暗号化した第１の暗号データ（第１のテンプレート）（Enc(pk, (1 - 2xｉ))） (i=1,…,n)と、
各要素{xi}(i=1,…,n)の第２の演算値（Σ[i=1 to n] xi）を公開鍵(pk)で暗号化した第５の暗号データ（第２のテンプレート）（Enc(pk, Σ[i=1 to n] xi)）
を記憶装置１３０に送信するようにしてもよい。記憶装置１３０は、前記第１、第２のテンプレートを登録データとして記憶する。なお、演算子Σ[i=1 to n]はiが１からnまでの総和演算を表し、
Σ[i=1 to n] O(i)=O(1)+…＋O(n)
である。
　照合装置１４０は、照合要求装置１２０からの照合要求に対して、
乱数（S）を生成し、
前記第１の暗号データ（Enc(pk, (1 - 2xi))） (i=1,…,n)を暗号化したまま、スカラー演算により、乱数Ｓを乗算した第２の暗号データ（Enc(pk, S(1 - 2x1)),…,Enc(pk, S(1 - 2xn))）を求めるようにしてもよい。
　照合装置１４０は、第２の暗号データ（Enc(pk, S(1 - 2x1)),…,Enc(pk, S(1 - 2xn))）を、照合要求装置１２０に送信するようにしてもよい。
　照合要求装置１２０は、照合装置１４０から送信された第２の暗号データ（Enc(pk, S(1 - 2x1)),…,Enc(pk,S(1 - 2xn))）の各々に、登録用のn次元の第２の二値ベクトルY=[y1,…,yn]の各要素{ｙi}(i=1,…,n)をスカラー演算で乗算した値の総和である第３の暗号データ（Enc(pk, S Σ[i=1 to n] (1 - 2xi)yi))を求める。そして、照合要求装置１２０は、第３の暗号データ（Enc(pk, S Σ[i=1 to n] (1 - 2xi)yi))を照合装置１４０に送信する。
　照合装置１４０は、照合要求装置１２０から送信された第３の暗号データ（Enc(pk, S Σ[i=1 to n] (1 - 2xi)yi))から、乱数（S）を削除した第４の暗号データ（Enc(pk, Σ[i=1 to n] (1 - 2xi)yi)）を求める。
　その際、照合装置１４０は、第３の暗号データに、乱数（S）の逆数（S＾(-1)）（＾は冪乗演算子）をスカラー演算して第３の暗号データから乱数（S）を除去した第４の暗号データ（Enc(pk, Σ[i=1 to n] (1 - 2xi)yi))を求める。
　照合装置１４０は、第４の暗号データ（Enc(pk, Σ[i=1 to n] (1 - 2xi)yi)）と、記憶装置１３０に登録された前記第５の暗号データ（Enc(pk, Σ[i=1 to n] xi)）とを暗号化したまま加算することで（準同型加算）、前記第１、第２の二値ベクトルの距離の暗号データ（=Enc(pk, dH(X,Y))=Enc(pk, (Σ[i=1 to n] xi) + (Σ[i=1 to n] (1 - 2xi)yi))を求める。そして、照合装置１４０は、前記第１、第２の二値ベクトルの距離の暗号データ（=Enc(pk, dH(X,Y))を、クエリとして、検証装置１５０に送信する。
　検証装置１５０は、暗号データ（Enc(pk, dH(X,Y))）を、秘密鍵（sk）を用いて、復号する（Dec(sk, Enc(pk, dH(X,Y)))）。
　そして、検証装置１５０は、復号の結果得られた前記第１、第２の二値ベクトルのハミング距離（dH(X,Y))と、閾値ｔとの比較に基づき（dH(X,Y))<=t）、受理、不受理を出力する。
＜第１形態（First Mode）:変形例１＞
　あるいは、本発明の一形態においては、図９を参照すると、登録要求装置１１０は、前記登録用の第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝(i=1,…,n)を公開鍵(pk)で暗号化した暗号データEnc(pk, x1), …,Enc(pk, xn）を記憶装置１３０に送信する。記憶装置１３０は、前記第１の二値ベクトルXの各要素｛xi｝の前記暗号データ(Enc(pk, xi)）(i=1,…,n)を暗号化したまま、前記第１の二値ベクトルXの各要素｛xi｝に関する第１の演算値（Enc(pk, S(1 - 2xi))）(i=1,…,n)、第２の演算値（Enc(pk, Σ[i=1 to n] xi)）を計算し、それぞれ、第１の暗号データ（テンプレート）（Enc(pk, S(1 - 2xi)) (i=1,…,n)）、第２の暗号データ（テンプレート）（Enc(pk, Σ[i=1 to n] xi)）として記録する。
　照合装置１４０は、照合要求装置１２０からの照合要求に対して、
乱数（Ｓ）を生成し、
前記第１の暗号データを暗号化したまま、乱数(S)をスカラー演算した第３の暗号データ（（Enc(pk, S(1 - 2x1)), …,Enc(pk, S(1 - 2xn))）を求める。
そして、照合装置１４０は、第３の暗号データを照合要求装置１２０に送信する。
　照合要求装置１２０は、照合装置１４０からの前記第３の暗号データの各々を暗号化したまま、登録用の第２の二値ベクトルの各要素をスカラー演算で乗算した値の総和である第４の暗号データ（Enc(pk, S Σ[i=1 to n] (1 - 2xi)yi)）を求める。
そして、照合要求装置１２０は、第４の暗号データを照合装置１４０に送信する。これ以降の照合装置１４０、検証装置１５０の処理は上記した第１形態と同一である。
＜第１形態（First Mode）:変形例２＞
　あるいは、本発明のさらなる一形態においては、図１０を参照すると、登録要求装置１１０は、前記登録用の第１の二値ベクトルの各要素を公開鍵(pk)で暗号化した暗号データ（Enc(pk, x1)), …,Enc(pk, xn）)を記憶装置１３０に送信する。記憶装置１３０は、前記第１の二値ベクトルの各要素の暗号データを記録する。
　照合装置１４０は、照合要求装置１２０からの照合要求に対して、
前記第１の二値ベクトルの各要素｛xi｝の暗号データ（Enc(pk,xi)）(i=1,…,n)を暗号化したまま、前記第１の二値ベクトルの各要素｛xi｝に関する第１の演算値（1 - 2xi）(i=1,…,n)、第２の演算値（Σ[i=1 to n] xi)の第１の暗号データ（Enc(pk, (1 - 2x1)), …,Enc(pk, (1 - 2xn))）、第２の暗号データ（Enc(pk, Σ[i=1 to n] xi)）を求める。
　照合装置１４０は、さらに、乱数(S)を生成し、
第１の暗号データ（Enc(pk, (1 - 2x1)), …,Enc(pk, (1 - 2xn))に乱数(S)をスカラー演算した第３の暗号データ（Enc(pk, S(1 - 2x1)), …,Enc(pk, S(1 - 2xn))）を求める。
そして、照合装置１４０は、第３の暗号データ（Enc(pk, S(1 - 2x1)), …,Enc(pk, S(1 - 2xn))）を照合要求装置１２０に送信する。
　照合要求装置１２０は、照合装置１４０からの前記第３の暗号データの各々（Enc(pk, S(1 - 2xi))）(i=1,…,n)を暗号化したまま、照合用の第２の二値ベクトルY=[y1,…,yn]の各要素{ｙi}(i=1,…,n)をスカラー演算で乗算した値の総和である第４の暗号データ（Enc(pk, S Σ[i=1 to n] (1 - 2xi)yi))を求める。
そして、照合要求装置１２０は、第４の暗号データ（Enc(pk, S Σ[i=1 to n] (1 - 2xi)yi))を照合装置１４０に送信する。これ以降の照合装置１４０、検証装置１５０の処理は上記した第１形態と同一である。
＜第２形態（Second Mode）＞
　本発明の第２の形態において、登録要求装置１１０に、登録用のn次元の二値ベクトルX=[x1,…,xn]に対して作用させる第１の変換関数f1が予め設定されているものとする。また、照合要求装置１２０には、照合用のn次元の二値ベクトルY=[y1,…,yn]に対して作用させる第２の変換関数f2が設定されているものとする。
　第１の変換関数f1は、例えば以下で与えられる。
　A=f1(X)=FX+d
　ここで、Aはn次元の変換値ベクトルである。Fは、変換係数{ai,j}(i=1,…,n,j=1,…,n)をi行、j列の要素（成分）とするn×nの変換行列である。dは変換係数{ai,n+1}(i=1,…,n）を有するn次元ベクトル（オフセット）である。
　第２の変換関数f2は、例えば以下で与えられる。
　B=f2(Y)=EY
　ここで、Bはn次元の変換値ベクトルである。Eは、変換係数{bi,j}(i=1,…,n,j=1,…,n)をi行、j列の要素（成分）とするn×nの変換行列である。登録要求装置１１０において、第１の変換関数f1は、二値ベクトルXを入力パラメータとし、変換値ベクトルAを出力パラメータとするサブルーチンとして実装するようにしてもよい。照合要求装置１２０において、第２の変換関数f2は二値ベクトルYを入力パラメータとし、変換値ベクトルBを出力パラメータとするサブルーチンとして実装するようにしてもよい。以下、図１４を参照して、第２の形態について説明する。
　登録要求装置１１０は、登録用の二値ベクトルXに対して第１の変換関数f1を施すことで、変換値ベクトル[A１,…,An]を求める。
　[A１,…,An]T=f1[x1,…,xn]T
　なお、上付き文字（Supescript）Tは、転置（transpose）演算子である。
　登録要求装置１１０は、第１のテンプレートとして、第１の変換値Ai（i=1,…,n）を公開鍵(pk)で暗号化した暗号データEnc(pk,A1),…,Enc(pk,An)を生成する。登録要求装置１１０は、暗号データEnc(pk,A1),…,Enc(pk,An)を記憶装置１３０に送付する。また登録要求装置１１０は第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝(i=1,…,n)を公開鍵(pk)で暗号化した暗号データ（Enc(pk, x1), …,Enc(pk, xn）)を記憶装置１３０に送信する。
　照合装置１４０は、照合要求装置１２０から照会要求を受けると、
記憶装置１３０から第１の変換値の暗号データ（Enc(pk,A1),…,Enc(pk,An)）を取得する。また、照合装置１４０は、記憶装置１３０から暗号データ（Enc(pk, x1), …,Enc(pk, xn）)を取得する。
照合装置１４０は、第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝の総和の暗号データ（Enc(pk, Σ[i=1 to n] xi)）を求める。
また、照合装置１４０は、乱数（S）を生成し、
前記第１の変換値の暗号データ（Enc(pk, A1),…,Enc(pk, An)）の各々に対して、乱数（S）のスカラー演算により、暗号データ（Enc(pk, SA1),…,Enc(pk, SAn)）を求める。
そして、照合装置１４０は、求めた暗号データ（Enc(pk, SA1),…,Enc(pk, SAn)）を照合要求装置１２０に送信する。
　照合要求装置１２０は、抽出された照合用のn次元の二値ベクトルY=[y1,…,yn]に対して第２の変換関数f2を演算することで第２の変換値(B１,…,Bn)を求める。
さらに、照合要求装置１２０は、照合装置１４０から受信した暗号データEnc(pk, SAi) (i=1,…,n)を暗号化したまま、第２の変換値(Bi) (i=1,…,n)との演算により、n個の前記第１の変換値（変換ベクトル）[A1,…,An]に乱数を乗算した値[SA1,…,SAn]と、第２の変換値（変換ベクトル）[B1,…,Bn]の要素を互いに乗算した値の総和の暗号データ（Enc(pk, Σ[i=1 to n] SAｉBｉ)）を求める。
そして、照合要求装置１２０は、暗号データ（Enc(pk, Σ[i=1 to n] SAｉBｉ)）をレスポンスとして照合装置１４０に送付する。
　照合装置１４０は、前記レスポンス（暗号データ）（Enc(pk, Σ[i=1 to n] SAｉBｉ)）に、前記乱数（S）の逆数（S＾(-1)）をスカラー演算し、前記レスポンスから前記乱数（S）を除去して、n個の前記第１の変換値（変換ベクトル）[A1,…,An]と第２の変換値（変換ベクトル）[B1,…,Bn]の要素を互いに乗算した値の総和の暗号データ（Enc(pk, Σ[i=1 to n] AｉBｉ)）（ベクトルAとBの内積の暗号データ）を求める。
照合装置１４０は、
暗号データ（Enc(pk, Σ[i=1 to n] AｉBｉ)）と、
記憶装置１３０に登録された暗号データ（第２テンプレート）（Enc(pk, Σ[i=1 to n] xi)）と、を暗号化したまま加算した暗号データを求める。この暗号データは、ベクトルXとYのハミング距離dH(X,Y)の暗号データEnc(pk, dH(X,Y))である。
　第１の変換関数f1におけるn(n+1)個の変換係数{ai,j}(i=1,…,n,j=1,…,n+1)と、第２の変換関数f2におけるn^2個の変換係数{bi,j}(i,j=1,…,n)は、第１、第２の変換値Ai, Bi（i=1,…,n）が、
Σ[i=1 to n] AｉBｉ = Σ[i=1 to n] （1－2xｉ)yi　
が成り立つように設定されている。すなわち、ベクトルAとBの内積とΣ[i=1 to n] xiとを加算した値（Σ[i=1 to n] AｉBｉ＋Σ[i=1 to n] xi）は、
Σ[i=1 to n] （1－2xｉ)yi＋Σ[i=1 to n] xi
となり、ベクトルXとYのハミング距離dH(X,Y)である。すなわち、Σ[i=1 to n] AｉBｉは、二値ベクトルXとYのハミング距離dH(X,Y)の第１分割値、Σ[i=1 to n] xiは該ハミング距離dH(X,Y)の第２分割値である。
　照合装置１４０は、前記ベクトルXとYのハミング距離dH(X,Y)の暗号データEnc(pk, dH(X,Y))を、検証装置１５０に送信する。
検証装置１５０は、暗号データEnc(pk, dH(X,Y))を秘密鍵skで復号する。
検証装置１５０、復号したベクトルXとYのハミング距離dH(X,Y)が閾値ｔ以下であれば受理する。
＜第２形態（Second Mode）:変形例１＞
　あるいは、本発明のさらなる一形態においては、図１５を参照すると、登録要求装置１１０は、登録用のn次元の第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝の暗号データ（Enc(pk, xi)）（i=1,…,n）を記憶装置１３０に送付する。
　記憶装置１３０は、第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝(i=1,…,n)の暗号データ（Enc(pk, xi)）（i=1,…,n）を取得し、第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝の総和の暗号データ（Enc(pk, Σ[i=1 to n] xi)）を求める。また、記憶装置１３０は、第１の二値ベクトルXの各要素｛xi｝(i=1,…,n)を暗号化したまま第１の二値ベクトルXに第１の変換関数f1を施すことで、n個の第１の変換値{Ai} (i=1,…,n)の暗号データEnc(pk, Ai) (i=1,…,n)を求める手段を備えている。記憶装置１３０は、前記n個の第１の変換値の暗号データ（Enc(pk, Ai) (i=1,…,n)）と、前記第１の二値ベクトルの要素の総和を暗号化した暗号データ（Enc(pk, Σ[i=1 to n] xi)）を記録する。
　照合装置１４０は、照合要求装置１２０から照会要求を受けると、記憶装置１３０からn個の第１の変換値の暗号データを取得し、乱数（S）を生成する。
照合装置１４０は、前記乱数Sを前記n個の第１の変換値の暗号データにそれぞれスカラー演算して暗号データ（Enc(pk, SAi) (i=1,…,n)）を求める。
そして、照合装置１４０は、暗号データ（Enc(pk, SAi) (i=1,…,n)）を照合要求装置１２０に送信する。
　照合要求装置１２０は、照合用のn次元の第２の二値ベクトルY=[y1,…,yn]に対して、第２の変換関数f2を作用させることで、n個の第２の変換値（変換ベクトル）[B１,…,Bn]を求める。
また、照合要求装置１２０は、照合装置１４０から受信した暗号データ（Enc(pk, SAi)）(i=1,…,n)を暗号化したままスカラー演算することで、前記第１の変換値（Ai）の乱数（S）を乗算した値に第２の変換値（Bi）を乗じた値の暗号データEnc(pk, SAｉBｉ) (i=1,…,n) を求める。
そして、照合要求装置１２０は、これらの暗号データの総和（Enc(pk, Σ[i=1 to n] SAｉBｉ)）をレスポンスとして照合装置１４０に送付する。
　照合装置１４０は、前記レスポンス（Enc(pk, Σ[i=1 to n] SAｉBｉ)）に、前記乱数Sの逆数をスカラー演算し前記レスポンスから前記乱数Sを除去して、n個の前記第１の変換値（変換ベクトル）[A1,…,An]と第２の変換値（変換ベクトル）[B1,…,Bn]を互いに乗算した値の総和の暗号データ（Enc(pk, Σ[i=1 to n] AｉBｉ)）（ベクトルAとBの内積の暗号データ）を求める。
照合装置１４０は、
前記ベクトルAとBの内積の暗号データ（Enc(pk, Σ[i=1 to n] AｉBｉ)）と、
記憶装置１３０に登録された暗号データ（第２テンプレート）（Enc(pk, Σ[i=1 to n] xi)）と、を加算（準同型加算）した暗号データを求める。
（Σ[i=1 to n] AｉBｉ）＋（Σ[i=1 to n] xi）＝（Σ[i=1 to n] （1－2xｉ)yi）＋（Σ[i=1 to n] xi）
が成り立つ。
　すなわち、暗号データ（Enc(pk, Σ[i=1 to n] AｉBｉ)）と暗号データ（第２テンプレート）（Enc(pk, Σ[i=1 to n] xi)）との加算は、二値ベクトルXとYのハミング距離dH(X,Y)の暗号データとなる。照合装置１４０は、二値ベクトルXとYのハミング距離の暗号データを、検証装置１５０に送信する。検証装置１５０は、二値ベクトルXとYのハミング距離の暗号データを秘密鍵skで復号する。検証装置１５０は、復号値（ハミング距離）が閾値ｔ以下であるか否か判定し、閾値ｔ以下であれば、受理し、ｔを超える場合、不受理とする。
＜第２形態（Second Mode）：変形例２＞
　あるいは、本発明のさらなる一形態においては、図１６を参照すると、登録要求装置１１０は、登録用のn次元の第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝の暗号データ（Enc(pk, xi)（i=1,…,n））を記憶装置１３０に送付する。記憶装置１３０は、第１の二値ベクトルの各要素の暗号データを記録する。
　照合装置１４０は、照合要求装置１２０から照会要求を受けると、記憶装置１３０から第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝の暗号データ（Enc(pk, xi)）（i=1,…,n）を取得し、第１の二値ベクトルXの各要素｛xi｝の総和の暗号データ（Enc(pk, Σ[i=1 to n] xi)）を求める。なお、第１の二値ベクトルXの各要素｛xi｝の総和の暗号データ（Enc(pk, Σ[i=1 to n] xi)）は記憶装置１３０で求める構成としてもよい。
　照合装置１４０は、第１の二値ベクトルX＝［x1,…,xn］の要素｛xi｝の暗号データ（Enc(pk, xi)）（i=1,…,n）を暗号化したまま第１の変換関数f1を作用させ、n個の第１の変換値{Ai} (i=1,…,n)の暗号データEnc(pk, Ai) (i=1,…,n)を求める手段を備えている。さらに、乱数（S）を生成し、前記乱数（S）を前記n個の第１の変換値の暗号データにそれぞれスカラー演算して暗号データEnc(pk, SAi) (i=1,…,n)を求める。
そして、照合装置１４０は、暗号データEnc(pk, SAi) (i=1,…,n)を照合要求装置１２０に送信する。
　照合要求装置１２０は、照合用のn次元の第２二値ベクトルY=[y1,…,yn]に対して第２の変換関数f2を作用させてn個の第２の変換値（変換ベクトル）[B１,…,Bn]を求める。
照合要求装置１２０は、照合装置１４０から受信した暗号データEnc(pk, SAi) (i=1,…,n)を暗号化したままスカラー演算し、前記第１の変換値（Ai）に乱数（S）を乗算した値に第２の変換値（Bi）(i=1,…,n)を乗じた値の暗号データ（Enc(pk, SAｉBｉ)） (i=1,…,n) を求める。
そして、照合要求装置１２０は、暗号データ（Enc(pk, SAｉBｉ)） (i=1,…,n)の総和（Enc(pk, Σ[i=1 to n] SAｉBｉ)）を、レスポンスとして照合装置１４０に送付する。これ以降の照合装置１４０と検証装置１５０の処理は、前記第２の形態と同一である。
＜第２形態（First Mode）：変形例３＞
　あるいは、本発明のさらなる一形態においては、図１９を参照すると、登録要求装置１１０は、登録用のn次元の第１の二値ベクトルX＝［x1,…,xn］の各要素{xi}の暗号データ（Enc(pk, xi)）（i=1,…,n）を記憶装置１３０に送付する。記憶装置１３０は、第１の二値ベクトルの各要素の暗号データを記録する。
　照合装置１４０は、照合要求装置１２０から照会要求を受けると、
記憶装置１３０からn次元の第１の二値ベクトルの各要素の暗号データ（Enc(pk, xi)）（i=1,…,n）を取得し、第１の二値ベクトルXの各要素｛xi｝の総和の暗号データ（Enc(pk, Σ[i=1 to n] xi)）を求める。なお、第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝の総和の暗号データ（Enc(pk, Σ[i=1 to n] xi)）は記憶装置１３０で求める構成としてもよい。
照合装置１４０は、第１の変換関数f1の第１群の変換係数{ai,j}(i=1,…,n,j=1,…,n+1)を生成する。
照合装置１４０は、前記ｎ（ｎ＋１）個の第１群の変換係数{ai,j}(i=1,…,n,j=1,…,n+1)と第１の二値ベクトルX＝［x1,…,xn］の各要素｛xi｝の暗号データに基づき、n個の第１の変換値{Ai} (i=1,…,n)の暗号データEnc(pk, Ai) (i=1,…,n)を求める。
照合装置１４０は、さらに、乱数（S）を生成し、前記乱数（S）を前記n個の第１の変換値{Ai} (i=1,…,n)の暗号データEnc(pk, Ai) (i=1,…,n)にそれぞれスカラー演算して暗号データEnc(pk, SAi) (i=1,…,n)を求める。
そして、照合装置１４０は、暗号データEnc(pk, SAi) (i=1,…,n)を照合要求装置１２０に送信する。
照合装置１４０は、さらに、前記ｎ（ｎ＋１）個の第１群の変換係数{ai,j}(i=1,…,n,j=1,…,n+1)の生成に用いたｎ×n個の第２群の変換係数{bi,j} (i,j=1,…,n)を照合要求装置１２０に送信する。
　照合要求装置１２０は、照合装置１４０から送信されたｎ×n個の第２群の変換係数｛bi,j}(i,j=1,…,n)からなる第２の変換関数f2を、照合用のn次元の第２の二値ベクトルY=[y1,…,yn]に作用させた演算結果であるn個の第２の変換値(B１,…,Bn)を求める。
照合要求装置１２０は、照合装置１４０から受信した暗号データEnc(pk, SAi) (i=1,…,n)を暗号化したままスカラー演算し、前記第１の変換値{Ai} (i=1,…,n)の乱数（S）倍に第２の変換値（Bi) (i=1,…,n)を乗じた値の暗号データ（Enc(pk, SAｉBｉ)） (i=1,…,n)を求める。
そして、照合要求装置１２０は、これらの暗号データ（Enc(pk, SAｉBｉ)） (i=1,…,n)の総和（Enc(pk, Σ[i=1 to n] SAｉBｉ)）を、レスポンスとして照合装置１４０に送付する。これ以降の照合装置１４０と検証装置１５０の処理は、前記第２の形態と同一である。
＜第３形態（Thrid Mode）＞
　本発明の第３形態において、図２２を参照すると、登録要求装置１１０は、前記登録用のn次元の第１の二値ベクトルX＝［x1,…,xn］について、各要素{xi}(i=1,…,n)に関する第１の演算値(2xi-1)を公開鍵(pk)を用いた加法準同型暗号で暗号化した第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を記憶装置１３０に送信する。記憶装置１３０は、前記第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を記憶する。
　照合要求装置１２０から照合要求を受けた照合装置１４０は、第１乃至第３の乱数(bi, ai, ri) (i=1,…,n)を生成する。
照合要求装置１２０は、第１の乱数{bi} (i=1,…,n)の暗号データを、照合要求装置1２０に送信する。
照合要求装置１２０は、照合用の二値ベクトルY=[y1,…,yn]の各要素{yi}を、前記第１の乱数{bi} の暗号データ（Enc(pk,bi)） (i=1,…,n)にスカラー演算して、第２の暗号データ（Enc(pk, bi(2yi-1))） (i=1,…,n)を求める。
そして、照合要求装置１２０は、第２の暗号データ（Enc(pk, bi(2yi-1))） (i=1,…,n)を照合装置１４０に送信する。
　照合装置１４０は、
照合要求装置１２０からの前記第２の暗号データ（Enc(pk, bi(2yi-1))） (i=1,…,n)と、
記憶装置１３０からの前記第１の暗号データ（Enc(pk, (2xi-1))）(i=1,…,n)と、
前記第１乃至第３の乱数(bi, ai, ri) (i=1,…,n)と、
に基づき、
前記第１の暗号データ（Enc(pk, (2xi-1))）に、前記第２の乱数｛ai｝をスカラー演算で乗算した値の第３の暗号データ（Enc(pk, ai(2xi-1))） (i=1,…,n)と、
前記第２の暗号データ（Enc(pk, bi(2yi-1))）に、第３の乱数(ri)をスカラー演算した値の第４の暗号データ（Enc(pk, biri(2yi-1))） (i=1,…,n)と、を求める。
さらにｍ照合装置１４０は、前記第１乃至第３の乱数（bi, ai, ri）の積のハッシュ値（H(aibiri)） (i=1,…,n)を生成する。
照合装置１４０は、
前記第３の暗号データ（Enc(pk, ai(2xi-1))） (i=1,…,n)と、
前記第４の暗号データ（Enc(pk, biri(2yi-1))） (i=1,…,n)と、
前記ハッシュ値（H(aibiri)） (i=1,…,n)を検証装置１５０に送信する。その際、照合装置１４０では、前記第３、第４の暗号データ（Enc(pk, ai(2xi-1))、Enc(pk, biri(2yi-1))）と前記ハッシュ値（H(aibiri)）(i=1,…,n)は、インデクスiに関する順序をシャッフルして送信するようにしてもよい。
　検証装置１５０は、
秘密鍵(sk)を用いて前記第３の暗号データ（Enc(pk, ai(2xi-1))）と、前記第４の暗号データ（Enc(pk, biri(2yi-1))）を復号した第１復号結果（ｚa）と第２の復号結果（ｚb）を求める。
検証装置１５０は、前記第１、第２の復号結果の積のハッシュ値（H(ｚaｚｂ)）を計算する。
そして、検証装置１５０は、前記ハッシュ値H（(ｚaｚｂ)）と、照合装置１４０から受信したハッシュ値（H(aibiri)）とについて、不一致の個数が所定値以下であるか否かを判定する。
検証装置１５０は、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする。
＜第３形態（Thrid Mode）；変形例１＞
　第３形態の変形例として、図２３を参照すると、登録要求装置１１０は、前記登録用のn次元の第１の二値ベクトルX＝［x1,…,xn］について、各要素{xi}(i=1,…,n)を公開鍵(pk)で暗号化した第１の暗号データ（Enc(pk, xi)) (i=1,…,n)を記憶装置１３０に送信する。記憶装置１３０は、前記第１の暗号データ（Enc(pk, xi)） (i=1,…,n)を記憶する。
　照合要求装置１２０から照合要求を受けた照合装置１４０は、第１乃至第３の乱数(bi, ai, ri) (i=1,…,n)を生成する。
また、照合装置１４０は、記憶装置１３０から、暗号データ（Enc(pk, xi)） (i=1,…,n)を受け取り、これらを暗号化したまま、スカラー演算、加法準同型演算により、第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を生成する。
照合装置１４０は、第１の乱数{bi} (i=1,…,n)の暗号データ（Enc(pk,bi)） (i=1,…,n)を照合要求装置1２０に送信する。
照合要求装置１２０は、照合用の二値ベクトルY=[y1,…,yn]の各要素{yi}の演算結果(2yi-1) (i=1,…,n)を、前記第１の乱数の暗号データ（Enc(pk,bi)） (i=1,…,n)にスカラー演算して、第２の暗号データ（Enc(pk, bi(2yi-1))） (i=1,…,n)を求める。
そして、照合要求装置１２０は、第２の暗号データ（Enc(pk, bi(2yi-1))） (i=1,…,n)を照合装置１４０に送信する。これ以降の照合装置１４０、検証装置１５０の処理は上記第３形態と同様である。あるいは、記憶装置１３０が、登録要求装置１１０から暗号データ（Enc(pk, xi)） (i=1,…,n)を受け取り、これらを暗号化したまま、スカラー演算、加法準同型演算により、第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を生成し、登録データとして記憶する構成としてもよい。
＜第３形態（Third Mode）：変形例２＞
　本発明の第３の形態の変形例２において、図２５を参照すると、登録要求装置１１０は、n次元の第１の二値ベクトルX＝［x1,…,xn］について、各要素{xi}(i=1,…,n)に関する第１の演算値(2xi-1)を公開鍵(pk)を用いた加法準同型暗号で暗号化した第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を記憶装置１３０に送信する。
　記憶装置１３０は、前記第１の二値ベクトルX＝［x1,…,xn］の各要素{xi}(i=1,…,n)の第１の演算値の暗号データ（Enc(pk, (2xi-1))）(i=1,…,n)に対して、乱数（ci）(i=1,…,n)(ci∈Fq)をそれぞれ生成し、前記各暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)に前記各乱数ci(i=1,…,n)をスカラー演算した暗号データ（Enc(pk, ci(2xi-1))） (i=1,…,n)を生成する手段を備えている。
また、記憶装置１３０は、前記各乱数ciの２乗(ci^2)のハッシュ値（H(ci^2)）を生成する手段を備えている。
記憶装置１３０は、前記各乱数ciをスカラー演算した暗号データ（Enc(pk, ci(2xi-1))） (i=1,…,n)と前記ハッシュ値（H(ci^2)）(i=1,…,n)を検証装置１５０に送信する。
　検証装置１５０は、記憶装置１３０から送信された各暗号データ（Enc(pk, ci(2xi-1))） (i=1,…,n)を、秘密鍵(sk)を用いて復号して各復号値（zi）のハッシュ値（H（zi^2））を求める。
検証装置１５０は、各復号値（zi）のハッシュ値（H（zi^2）が、記憶装置１３０から送信された対応するハッシュ値（H(ci^2)）と一致するか判定する。
検証装置１５０は、例えば、不一致のものが一つでもあれば不受理とし、全て一致する場合、受理とする。記憶装置１３０は、検証装置１５０での検証結果が受理の場合、前記第１の演算値の暗号データを記憶する。
＜第４形態（Fourth Mode）＞
　本発明の第４形態において、図２６を参照すると、登録要求装置１１０は、前記登録用の第１の二値ベクトルX＝［x1,…,xn］について、各要素｛xi｝に関する第１の演算値(2xi-1)を公開鍵(pk)を用いた加法準同型暗号で暗号化した第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を記憶装置１３０に送信する。記憶装置１３０は、前記第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を記憶する。
　照合要求装置１２０から照合要求を受けた照合装置１４０は、第１、第２の乱数(bi, ai)(i=1,…,n)を生成する。
照合装置１４０は、第１の乱数{bi} (i=1,…,n)を、公開鍵(pk)を用いて暗号化した暗号データ（Enc(pk, bi)） (i=1,…,n)を照合要求装置1２０に送信する。
　照合要求装置１２０は、照合用の二値ベクトルY=[y1,…,yn]の各要素{yi}について演算値(2yi-1) (i=1,…,n)を、公開鍵(pk)を用いて暗号化した暗号データ（Enc(pk, (2yi-1))） (i=1,…,n)を求める。
さらに、照合要求装置１２０は、前記第１の乱数{bi} の暗号データEnc(pk,bi) (i=1,…,n)を暗号化したまま乗算して、第２の暗号データ（Enc(pk, bi(2yi-1))） (i=1,…,n)を求める。
そして、照合要求装置１２０は、第２の暗号データ（Enc(pk, bi(2yi-1))） (i=1,…,n)を照合装置１４０に送信する。
　照合装置１４０は、生成した第２の乱数｛ai} (i=1,…,n)と、記憶装置１３０からの第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)とを乗算して、暗号データ（Enc(pk,ai(2xi-1))）(i=1,…,n)を求める。
照合装置１４０は、
該暗号データ（Enc(pk,ai(2xi-1))） (i=1,…,n)と、
照合要求装置１２０から送信された前記第２の暗号データ（Enc(pk, bi(2yi-1))） (i=1,…,n)とを、例えば暗号化したまま乗算して（乗法準同型）、
暗号データ（Enc(pk, aibi(2xi-1)(2yi-1))）を求める。
照合装置１４０は、さらに前記第１、第２の乱数の積（aibi）(i=1,…,n)のハッシュ値（H(aibi)）を生成する。
そして、照合装置１４０は、算出した該暗号データ（Enc(pk, aibi(2xi-1)(2yi-1))）と、該ハッシュ値（H(aibi)）を、検証装置１５０に送信する。その際、照合装置１４０は、該暗号データ（Enc(pk, aibi(2xi-1)(2yi-1))）と該ハッシュ値（H(aibi)） (i=1,…,n)について、インデクスiに関する順序をシャッフルして送信するようにしてもよい。
　検証装置１５０は、秘密鍵(sk)を用いて、前記暗号データ（Enc(pk, aibi(2xi-1)(2yi-1))）(i=1,…,n)を復号して復号結果（ｚi）(i=1,…,n)を求める。
検証装置１５０は、復号値（ｚi）(i=1,…,n)のハッシュ値（H(ｚi)）を計算する。
検証装置１５０は、
該ハッシュ値（H(ｚi)）(i=1,…,n)と、
照合装置１４０から受信したハッシュ値（H(aibi)）(i=1,…,n)と、
について、不一致の個数が所定値以下であるか否かを判定する。
検証装置１５０は、例えば不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする。
＜第４形態（Fourh Mode）：変形例＞
　本発明の第４の形態の変形例において、図２７を参照すると、登録要求装置１１０は、第１の二値ベクトルX＝［x1,…,xn］について、各要素｛xi｝に関する第１の演算値(2xi-1)を公開鍵(pk)を用いた乗法準同型暗号方式で暗号化した第１の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を記憶装置１３０に送信する。
　記憶装置１３０は、前記第１の二値ベクトルX＝［x1,…,xn］の各要素xiの第１の演算値の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)に対して乱数（ci）(i=1,…,n)(ci∈Fq)をそれぞれ生成し、前記各暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)に、乱数（ci）の暗号データEnc(pk,ci)を乗算した暗号データ（Enc(pk, ci(2xi-1))） (i=1,…,n)を生成する手段を備えている。
また、記憶装置１３０は、前記各乱数（ci）の２乗のハッシュ値H(ci^2)を生成する手段を備えている。
記憶装置１３０は、暗号データ（Enc(pk, ci(2xi-1))） (i=1,…,n)と前記ハッシュ値（H(ci^2)）(i=1,…,n)を検証装置１５０に送信する。
　検証装置１５０は、記憶装置１３０から送信された各暗号データ（Enc(pk, ci(2xi-1))） (i=1,…,n)を、秘密鍵（sk）を用いて復号する。
そして、検証装置１５０は、各暗号データ（Enc(pk, ci(2xi-1))） (i=1,…,n)の復号値（ｚi）のハッシュ値（H(zi^2)）(i=1,…,n)を求める。
検証装置１５０は、前記各ハッシュ値（H(zi^2)）(i=1,…,n)が、記憶装置１３０から送信された対応するハッシュ値（H(ci^2)）(i=1,…,n)と一致するか判定する。
検証装置１５０は、例えば、不一致のものが一つでもあれば不受理とし、全て一致する場合、受理とする。
記憶装置１３０は、検証装置１５０での検証結果が受理の場合、前記第１の演算値の暗号データ（Enc(pk, (2xi-1))） (i=1,…,n)を記憶する。
　以下では、本発明の実施形態の説明の前に比較例を説明しておく。
　まず、Modified-Elgamal暗号の各アルゴリズムの動作について説明する。鍵生成アルゴリズムは、まず、入力としてセキュリティパラメータ1^κを受け取る。
　次に、位数がκビットの素数qである群Gとその生成元gを生成する。
Figure JPOXMLDOC01-appb-I000001
をランダムに選び、h=g^xとする（^は冪乗演算子）。
　最後に、公開鍵pk=(g, h=g^x)及び秘密鍵sk=xを出力する。
　暗号化アルゴリズムは、まず、公開鍵pk及びメッセージmを入力として受け取る。
　次に、乱数ｒ
Figure JPOXMLDOC01-appb-I000002
をランダムに選ぶ。
　次に、C[0]=g^r、C[1]=h^r・g^mを計算する。
　最後に、暗号文C=(C[0], C[1])を出力する。
　復号アルゴリズムは、まず、秘密鍵sk=x及び暗号文C=(C[0], C[1])を入力として受け取る。
　次に、復号結果として、M=C[1]/(C[0]^x)を出力する。
　あるメッセージmの暗号文
Enc(pk,m)=(C[0],C[1])=(g^r,h^r・g^m)
に対し、
Dec(sk, (c[0], c[1]))=c[1]/(c[0]^x)=g^m
となる。
　復号アルゴリズムは、メッセージｍではなくg^mを返すものであってもよい。Modified-Elgamal暗号を用いると、暗号化したまま平文の加算や定数倍に対応する暗号文を計算できる。
　加算の場合、公開鍵pk=(g, h=g^x)と２つのメッセージm及びm'の暗号文
C=Enc(pk,m) = (C[0], C[1]) = (g^r, h^r・g^m)、及び、
C'=Enc(pk,m') = (C'[0], C'[1]) = (g^r', h^r'・g^m')
に対し、
(C[0]・C'[0], C[1]・C'[1])= (g^{r+r'}, h^{r+r'}・g^{m+m'}) = Enc(pk,m+m')が成り立つ。
　また、定数倍の場合、公開鍵pk=(g, h=g^x)、任意の定数z、及び暗号文c= Enc(pk,m)= (c[0], c[1]) = (g^r, h^r・g^m)に対し、
(c[0]^z, c[1]^z) = (g^{zr}, h^{zr}・g^{zm})=Enc(pk,zm)
が成り立つ。
　すなわち、Enc(pk, x) = C, Enc(pk, x') = C'、整数zに対し、
加算を
Add(C, C') = (C[0]・C'[0], C[1]・C'[1])
スカラー演算を
Scl(ｚ, C) = (C[0]^z, C[1]^z)
と定めると、
Add(C, C') = Enc(pk, x+x' mod q)
Scl(z, C) = Enc(pk, zx mod q)
　ただし、x+x' mod q、zx mod qは、x+x'、zｘを体Fq上で計算した結果である。
＜比較例＞
　以下の比較例は、非特許文献１の開示に基づく。
　登録用のデータをn次元ベクトル：
Figure JPOXMLDOC01-appb-I000003
で表す。ｎは所定の値（自然数）を表す。xi（i=1,…,n）は0乃至lのいずれかの値（例えば整数）をとる。
　照合（認証）対象を表す対象データを
Figure JPOXMLDOC01-appb-I000004
とする。｛yi｝（i=1,…,n）は０乃至ｌのいずれかの値（例えば整数）をとる。
　照合システムにおける処理は、大別して、
・準備フェーズ、
・登録フェーズ、及び、
・照合フェーズを含む。図２を参照すると、準備として、例えば検証装置１５０は、セキュリティパラメータ1^κを用いて、公開鍵pk、秘密鍵skを生成し、公開鍵pkを公開する（Ｓ１００）。
　登録データ（n次元ベクトル）と照合データ（n次元ベクトル）の距離：dE 2(X,Y)を、以下のように分割する。
Figure JPOXMLDOC01-appb-I000005
　　　　・・・（１）
Figure JPOXMLDOC01-appb-I000006
　　　　・・・（２）
Figure JPOXMLDOC01-appb-I000007
　　　　・・・（３）
　登録要求装置１１０は、登録データX=[x1,…,xn]に関して、テンプレートとして、
n個の要素xｉ(i=1,…,n)の暗号データ:
Enc(pk, xi)    (i=1,…,n)
とn個の要素xｉの２乗の総和
Figure JPOXMLDOC01-appb-I000008
の暗号データ：
Figure JPOXMLDOC01-appb-I000009
を記憶装置１３０に送信する（Ｓ１０１）。
　記憶装置１３０は、
Enc(pk, xi)    (i=1,…,n),
Figure JPOXMLDOC01-appb-I000010
を登録識別子Id（Identity）等に対応して記憶する。
　照合要求装置１２０は、照合用データY=[y1,…,yn]を照合する場合、照合要求を照合装置１４０に送信する（Ｓ１０２）。
　照合装置１４０は、ユーザＩＤに基づき記憶装置１３０から登録テンプレート：
Enc(pk, x1),…, Enc(pk, xn)，

Figure JPOXMLDOC01-appb-I000011
を取得する（Ｓ１０３）。
　照合装置１４０は乱数Sを生成し（Ｓ１０４）、登録されたテンプレートEnc(pk, xi) (i=1,…,n)をスカラー演算則でS倍した暗号データ
Enc(pk, Sx1),…, Enc(pk, Sxn) 
を作成し、これらの暗号データを照合要求装置１２０に送信する（Ｓ１０５）。
　照合装置１４０は、乱数
Figure JPOXMLDOC01-appb-I000012
として、好ましくは、毎回異なる数を選択する。なお、照合装置１４０は、
Figure JPOXMLDOC01-appb-I000013
に関する暗号データ（第２テンプレート）
Figure JPOXMLDOC01-appb-I000014
は照合要求装置１２０に送信しない。
　照合要求装置１２０は、照合用データY=[y1,…,yn]から、
Figure JPOXMLDOC01-appb-I000015
を計算する。そして、照合要求装置１２０は、受信したEnc(pk, S)に対して、スカラー演算
Figure JPOXMLDOC01-appb-I000016
　　　　　　・・・(４)
により、
Figure JPOXMLDOC01-appb-I000017
　　　　　　　　・・・（５)
を生成する。すなわち、照合要求装置１２０が受け取った乱数Ｓの暗号データを、
Enc(pk, S) = C = (g^r, g^S・h^r) = (C[0], C[1])　　　　　　・・・(６)
とする。
　照合要求装置１２０は、Enc(pk, S) = C = (C[0], C[1])に対して、
Figure JPOXMLDOC01-appb-I000018
　　　　　　　　　　　　　　　・・・(７)
を計算する。これは、式（５）の
Figure JPOXMLDOC01-appb-I000019
と等価である。
　また、照合要求装置１２０は、照合装置１４０から受け取ったn個の{Enc(pk, Sxi)}i(i=1,…,n)に対して、照合ベクトルの要素{yｉ}のスカラー演算
Scl((-2yｉ), Enc(pk, Sxi)) （i=1,…,n）により、n個の
Enc(pk, (-2yi)Sxi)＝Enc(pk, -2Sxiyi)（i=1,…,n）　　　　　　　　　・・・(８)
を求める。そして、準同型暗号の加法演算により、
Figure JPOXMLDOC01-appb-I000020
　　　　　　　　　　　　　　　　　　　　・・・(９)
を求め
Figure JPOXMLDOC01-appb-I000021
　　　　　　　　　　　　　　　　　　　・・・(１０)
との準同型加算により、
Figure JPOXMLDOC01-appb-I000022
　　　　　　　　・・・(１１)
を求め、照合装置１４０に送信する（Ｓ１０６）。
　照合装置１４０は、受け取った暗号データEnc(pk, SD2)に対して、Sの逆数（S^(-1)＝S^(q-2) mod q）のスカラー演算
Scl（S^(-1), Enc(pk, SD2)）　　　　　　　　　　　・・・(１２)
を施し、
Scl(S^(-1), Enc(pk, SD2)) = Enc(pk, S^(-1)SD2) = Enc(pk, D2)　　　・・・(１３)
により、
Figure JPOXMLDOC01-appb-I000023
　　　　　　　　・・・(１４)
を算出する。
　照合装置１４０は登録されたテンプレート

Figure JPOXMLDOC01-appb-I000024
と、
Figure JPOXMLDOC01-appb-I000025
とから、加法準同型により、距離dE 2(X,Y)の暗号データ

Figure JPOXMLDOC01-appb-I000026
　・・・(１５)

を求める。照合装置は１４０は、暗号データEnc(pk,dE 2(X,Y))を検証装置１５０に送信する（Ｓ１０７）。
　検証装置は１５０、秘密鍵skを用いて距離の暗号データEnc(pk,dE 2(X,Y))を復号し、
Dec(sk,Enc(pk,dE 2(X,Y)))=dE 2(X,Y)
を求め、該距離dE 2(X,Y)が所定の閾値＝ｔ以下であるか否かを判定する（Ｓ１０８）。Modified Elgamal暗号では、復号結果はg^(dE 2(X,Y))であり、これが、g^0、ｇ^1、・・・g^tのいずれかに一致するか否かを判定する。
　検証装置１５０は、検証結果（受理・不受理）を、照合装置１４０に返すようにしてもよい（Ｓ１０９）。
＜比較例の問題点＞
　二値ベクトルのハミング距離は多値ベクトルのユークリッド距離と同じ方法で算出できることから、上記した多値ベクトル型の生体情報をユークリッド距離dE 2(X,Y)によって照合するシステムは二値ベクトル型の生体情報も扱えそうに思われる。
　二値ベクトル
Figure JPOXMLDOC01-appb-I000027
の各要素xiは、
xi＾2=xi　（i==1,…,n）　　・・・(１６)
が成り立つ。
　したがって、図２のＳ１０６で受信した｛Enc(pk, Sxi)｝ からEnc(pk, Sxi^2)が計算できることになる。
　前述したように、照合装置１４０では、照合要求装置１２０から送信されたEnc(pk,SD2)に対してSの逆数S^(-1)のスカラー演算により、Enc(pk,D2)を求め、加法準同型に基づきEnc(pk, D1)+Enc(pk, D2)を計算し、暗号化距離Enc(pk、dE 2(X,Ｙ))として検証装置１５０に送信する。ここで、二値ベクトル型である場合、
Figure JPOXMLDOC01-appb-I000028
ならば、xi^2=xiであることから，照合要求装置１２０は、照合装置１４０から受け取った暗号データEnc(pk, Sxi)はEnc(pk, Sxi^2)と一致する。
　さらに、図３に示すように、Ｓ１０６において、照合要求装置１２０は、照合装置１４０から受け取った乱数Sの暗号データEnc(pk, S）を利用して、
Figure JPOXMLDOC01-appb-I000029
　          ・・・(１７)
を計算し、照合装置１４０に送信する。すなわち、スカラー演算Scl(c, Enc(pk,S))より、Enc(pk, cS)を求める。
　また、
Figure JPOXMLDOC01-appb-I000030
　　　　　・・・(１８)
より、
Figure JPOXMLDOC01-appb-I000031
　　　　　・・・(１９)
を求め、スカラー演算
Figure JPOXMLDOC01-appb-I000032
　　　　・・・(２０)

より、
Figure JPOXMLDOC01-appb-I000033
　　　　　　　　　　・・・(２１)
を求める。上式（２１）をEnc(pk, cS)と暗号化したまま加算することで、以下が求まる。
Figure JPOXMLDOC01-appb-I000034
　　　　・・・(２２)
　照合装置１４０は、照合要求装置１２０から送信された

Figure JPOXMLDOC01-appb-I000035
を、照合要求装置１２０から送信されたEnc(pk,SD2)であるものとして扱い、Sの逆数S^(-1)のスカラー演算を施してEnc(pk,D2)を求める。そして、加法準同型を用いて、Enc(pk,D2)とEnc(pk,D1)を加算したものを、暗号化距離Enc(pk、dE 2(X,Ｙ))として、検証装置１５０に送信する。
　この場合、照合装置１４０が検証装置１５０に送信するEnc(pk、dE 2(X,Ｙ))は以下で与えられる。
Figure JPOXMLDOC01-appb-I000036
　　　　　　　　　　　　　　　　　　　　　　　　　　・・・(２３)
　検証装置１５０は、秘密鍵skを用いてEnc(pk、dE 2(X,Ｙ))を復号する。復号結果（g^c）がg^0, g^1,…, g^t (tは閾値)のいずれかに一致するか判定し、判定結果を検証結果（いずれかに一致すれば受理）として出力する。
　このため、照合要求装置１２０において、ｔ以下のｃを選択することで、登録された生体情報Ｘと認証に用いられる生体情報Ｙの間の距離は、
D1+D2=c<=t　　　　　　　　　　　・・・(２４)
と算出される。したがって、図２の例の場合、必ず受理されるクエリを検証装置１５０に送付することができる。
　上記のとおり、生体情報が二値ベクトルの場合、盗聴者は、任意のユーザになりすまし可能である。
　虹彩(Iris Code）、掌紋(Competitive Code）などはエラー率が非常に低い二値ベクトル型の生体情報としてよく知られている。二つの生体情報が同一人物から抽出されたかどうかは二つの生体情報の間のハミング距離によって判定する。すなわち，ハミング距離が閾値以下ならば、同一人物、閾値よりも大きければ、違う人物と判定する。以下、図面を参照して、いくつかの実施形態について説明する。
＜第１の実施形態＞
　図４は、本発明の例示的な第１の実施形態を説明する図である。本実施形態では、n次元の二値ベクトル
Figure JPOXMLDOC01-appb-I000037

Figure JPOXMLDOC01-appb-I000038
のハミング距離を例えば以下のように分割する。
Figure JPOXMLDOC01-appb-I000039
　　　　・・・(２５)
Figure JPOXMLDOC01-appb-I000040
　　　　　　　　　　　　　　・・・(２６)
Figure JPOXMLDOC01-appb-I000041
　　　　　　　　　　　・・・(２７)
　上記のとおり、D1は照合用ベクトルYの値に依らない。
　準備フェーズにおける公開鍵、秘密鍵の生成（Ｓ１０）は、前述した通りである。
　登録要求装置１１０は、二値ベクトルX=[x1, …,xn]∈{0,1}nから
Enc(pk, 1-2x1),…,Enc(pk, 1-2xn) 　　・・・(２８)
と、
Figure JPOXMLDOC01-appb-I000042
　　　　　　　　・・・(２９)
を記憶装置１３０に送信する（Ｓ１１）。
　記憶装置１３０は、
Enc(pk, 1-2xi)  (i=1,…,n)と
Figure JPOXMLDOC01-appb-I000043
を登録識別子Idに対応させて記憶する。
　照合装置１４０は、照合要求装置１２０から照合要求を受け取る（Ｓ１２）。照合装置１４０、記憶装置１３０からIdに関連して記憶された暗号データEnc(pk, 1-2x1),…,Enc(pk, 1-2xn)を受け取る（Ｓ１３）。照合装置１４０は、乱数Sを生成する（Ｓ１４）。そして、照合装置１４０は、乱数Sのスカラー演算
Scl(S, Enc(pk, 1-2xi)) (i=1,…,n)により、
暗号データEnc(pk, S(1-2xi)) (i=1,…,n)　　　　・・・(３０)
を求める。照合装置１４０は、該暗号データEnc(pk, S(1-2xi)) (i=1,…,n)を照合要求装置１２０に送信する（Ｓ１５）。
　照合要求装置１２０は、Y=[y1, ….,yn]∈{0,1}nと、照合装置１４０から受け取った
暗号データEnc(pk, S(1-2xi)) (i=1,…,n)
から、スカラー演算Scl(yi, Enc(pk, S(1-2xi)))より、
Enc(pk, S(1-2xi)yi) (i=1,…,n)　　　　　・・・(３１)
を求め、これらを加算することで、
Figure JPOXMLDOC01-appb-I000044
　　　・・・(３２)
を計算する。照合要求装置１２０は、Enc(pk,SD2)を照合装置１４０に送信する（Ｓ１６）。
　照合装置１４０は、照合要求装置１２０にEnc(pk,S)を送信しない。よって、照合要求装置１２０は、

Figure JPOXMLDOC01-appb-I000045
　　・・・(３３)
を算出することはできない。このため、クライアントはハミング距離を偽装できない。
　照合装置１４０は、照合要求装置１２０から送信された
Figure JPOXMLDOC01-appb-I000046
に対して、乱数Sの逆数S^(-1)をスカラー演算
Figure JPOXMLDOC01-appb-I000047
　　・・・(３４)

することで、
Figure JPOXMLDOC01-appb-I000048
　　　・・・(３５)
を算出する。
　照合装置１４０は、式（３５）のEnc(pk,D2)に記憶装置１３０に登録されたテンプレート
Figure JPOXMLDOC01-appb-I000049
　　　・・・(３６)
を加算して、暗号化ハミング距離
Enc(pk,dH(X,Y))=Enc(pk,D1)+Enc(pk,D2)　　　　・・・(３７)
を求める。照合装置１４０は、暗号化ハミング距離Enc(pk,dH(X,Y))を検証装置１５０に送信する（Ｓ１７）。
　検証装置１５０は、秘密鍵skを用いてEnc(pk、dH(X,Ｙ))を復号する。検証装置１５０は、復号結果（ｄH(X,Y)）が、g^0, g^1,…, g^t (tは閾値)に一致するか確認する（Ｓ１８）。検証装置１５０は、検証結果（いずれかに一致すれば受理）として出力する（Ｓ１９）。
　図５は、本発明の第１の実施形態の構成を例示する図である。照合システム１００は、コンピュータシステム等による情報処理システムから構成される。第１の例示的な実施形態に係る照合システム１００は、登録要求装置１１０と、記憶装置１３０と、照合要求装置１２０と、照合装置１４０と、検証装置１５０とを有する。
　登録要求装置１１０は、登録情報抽出部１１１と、テンプレート生成部１１２、通信部１１３とを有する。
　記憶装置１３０は、情報を記憶するストレージデバイスを備えるほか、情報を処理する演算部を備えている。すなわち、記憶装置１３０は識別子管理部１３１と、登録データ生成部１３２と、登録データ記憶部１３３と、登録データ検索部１３４と、通信部１３５を有する。
　照合要求装置１２０は、照合要求生成部１２１と、照合情報抽出部１２２と、レスポンス生成部１２３と、通信部１２４を有する。
　照合装置１４０は、登録データ取得部１４１と、乱数生成部１４２と、暗号データ生成部１４３と、暗号化距離計算部１４４と、クエリ生成部１４５と、通信部１４６を有する。
　検証装置１５０は、鍵生成部１５１と、復号鍵記憶部１５２と、クエリ検証部１５３と、検証結果生成部１５４と、通信部１５５を有する。
　例えば、登録要求装置１１０と記憶装置１３０間、記憶装置１３０と照合装置１４０間、照合要求装置１２０と照合装置１４０間、照合装置１４０と検証装置１５０間は、各装置の通信部（不図示の送信機（インタフェース）と受信機（インタフェース）を備える）と、通信網（例えば、構内ネットワーク（Local Area Network : LAN）、あるいは、広域ネットワーク（Wide Area Network :WAN）等）を介して通信接続する構成としてもよい。あるいは、登録要求装置１１０、記憶装置１３０、照合装置１４０、照合要求装置１２０、検証装置１５０のうち、複数の装置を一つのユニットに実装し、各装置をユニット内のバス（装置間バスや装置内バス）で結合する構成としてもよい。また、登録要求装置１１０、記憶装置１３０、照合装置１４０、照合要求装置１２０は、検証装置１５０が公開した公開鍵（例えば検証装置１５０が作成した準同型暗号方式の暗号化鍵と復号鍵のペアのうちの前記暗号化鍵）を取得可能に構成されている。
　なお、照合システム１００においては、登録要求装置１１０と、照合要求装置１２０とをまとめて、「第１ノード」と表してもよい。照合システム１００においては、記憶装置１３０と、照合装置１４０とをまとめて、「第２ノード」と表してもよい。また、照合システム１００においては、検証装置１５０を、「第３ノード」と表してもよい。例えば登録要求装置１１０と照合要求装置１２０はクライアント装置、記憶装置１３０と照合装置１４０はサーバ装置、検証装置１５０はサーバ装置に通信接続する復号装置として構成してもよい。
　本実施形態に係る照合システム１００の動作について説明する。本発明の第１の例示的な実施形態に係る照合システム１００における処理について説明する。
　照合システム１００における処理は、大別して、
・準備フェーズ、
・登録フェーズ、及び、
・照合フェーズを含む。
　まず、各フェーズにおける処理の概要について説明する。本発明の第１の例示的な実施形態に係る照合システム１００では、加法、スカラー演算について準同型性を持つ準同型暗号方式を用いる。説明の便宜上、暗号方式は上記したModified Elgamal暗号を用いる。あるいは楕円Elgamal暗号、あるいは、Paillier暗号を用いてもよい。
　楕円Elgamal暗号は、有限体上の楕円曲線上の群に対して定義される。
＜鍵生成＞：楕円曲線のパラメータa,b,p,q及び楕円曲線上の基点Gを入力として受け取り、公開鍵pk=G, H=x(*)G及び秘密鍵sk=xを出力する。ただし、メッセージ空間は体Fｑ＝0,1,…,q-1である。一般的に、ｑは128ビット以上の素数が選択される。
＜暗号化＞：公開鍵pk及びメッセージm∈Fqを入力として受け取り、乱数
Figure JPOXMLDOC01-appb-I000050
を選択し、暗号文を、
C = (C[0] = R(*)G, C[1] = (m (*) G) (+) (r (*) H))　　　　・・・（３８）
を出力する。すなわち、
C[1] = (m + rx) (*) G　　　　　　　　　　　　　　　　　・・・（３９）
を満たす。
＜復号＞：秘密鍵sk及び暗号文C = (C[0], C[1])を入力として受け取り、
M = C[1] (-) (sk (*) C[0])を出力する。　　　　　　　　　・・・（４０）
すなわち、
C[1] (-) (sk (*) C[0]) = (m + rx) (*) G (-) x (*) (r (*) G) = m (*)G　・・・（４１）
を満たす。復号アルゴリズムは、メッセージmではなくm(*)Gを返すもので構わない。
　上記の各アルゴリズムでは、次の記法を用いている。
　楕円曲線上の点AとBの加算：A (+) B
　楕円曲線上の点AとBの減算：A (-) B
　楕円曲線上の点Aのz倍：z (*) A
　準備フェーズにおいては、主として、セキュリティパラメータ1^κを用いて、公開鍵、及び、秘密鍵が生成される。
　登録フェーズにおいては、主として、準備フェーズで生成された公開鍵（暗号化鍵）を用いて、抽出された登録ベクトルが暗号化されたテンプレートが作成され、保存される。
　照合フェーズにおいては、主として、準備フェーズで生成された秘密鍵（復号鍵）を用いて、新たに抽出された照合ベクトルと一つの登録ベクトルとの間の距離が算出される。
　次に、照合システム１００が、上述した各フェーズにて実行する処理について詳細に説明する。
　図６は、準備フェーズにおいて、第１の例示的な実施形態に係る照合システム１００が実行する処理の一例を示すフローチャートである。図６を参照して、本実施形態に係る照合システム１００が、準備フェーズにて実行する処理について説明する。
　検証装置１５０における鍵生成部１５１は、セキュリティパラメータを受信し、受信したセキュリティパラメータを用いて、例えば、鍵生成アルゴリズムに従い、暗号化鍵(公開鍵)ｐｋ、及び、復号鍵（秘密鍵）skを生成する（ステップＡ１）。なお、生成される暗号化鍵、及び、復号鍵は、加法及びスカラー乗算に関して準同型性を有する公開鍵暗号方式（例えばModified Elgamal暗号）に準拠する。
　鍵生成部１５１は、生成した暗号化鍵pkを、照合システム１００において公開する（ステップＡ２）。
　鍵生成部１５１は、生成した復号鍵skを、復号鍵記憶部１５２に格納する（ステップＡ３）。
　なお、本実施形態に係る照合システム１００において、準備フェーズにて実行する処理は、図６に例示した様態に制限されるものでないことは勿論である。
　図７は、登録フェーズにおいて、第１の例示的な実施形態に係る照合システム１００が実行する処理の一例を示すフローチャートである。図７を参照して、第１の実施形態に係る照合システム１００が登録フェーズにて実行する処理について説明する。
　登録要求装置１１０における登録情報抽出部１１１は、登録対象の生体から生体情報（「登録ベクトル」と呼ぶ）
　X=[x[1],…,x[n]]
を抽出する（ステップＢ１）。なお、ここでは、単に演算式の明確化のため、xi (i=1,…,n)の添え字iを角括弧内とした表記x[i](i=1,…,n)で表す。
　次に、登録要求装置１１０におけるテンプレート生成部１１２は、暗号化鍵ｐｋを用いて、1-2xi(i=1,…,n)を暗号化したn個のテンプレートを生成する。
Enc(pk, 1-2x[1])，…， Enc(pk, 1-2x[n])　 　　・・・(４２)
（ステップＢ２）。ステップＢ２で計算した暗号文を「第１テンプレート」とも呼ぶ。
　次に、登録要求装置１１０におけるテンプレート生成部１１２は、暗号化鍵ｐｋを用いて、x[1]+,…+x[n]を暗号化した１個のテンプレートを生成する（ステップＢ３）。
Enc(pk, x[1]+,…+x[n])　　　　　　　　　　　　・・・(４３)
　ステップＢ３で計算した暗号文を「第２テンプレート」とも呼ぶ。
Enc(pk,1-2x[1])（=C1[1]と表す），
　　　　…,
Enc(pk,1-2x[n])（=C1[n]と表す），
Enc(pk, x[1]+…+x[n])（CC1と表す）　　　　　・・・(４４)
　Modified-Elgamal暗号では、テンプレート生成部１１２はＺｑの中から複数の数rr1[1],…,r1[n]、及び、rr1を選ぶ。
　テンプレート生成部１１２は公開鍵ｐｋから、生成元ｇと、値ｈとを読み取り、二値ベクトルＸに関して以下の暗号文を作成する。
(g^{r1[1]}, g^{1-2x[1]}×h^{r1[1]})=(C1[1][0], C1[1][1]) (=C1[1])
   …,
(g^{r1[n]}, g^{1-2x[n]}×h^{r1[n]}) =(C1[n][0], C1[n][1])(=C1[n])}})
(g{rr1}, g{x[1]+…+x[n]}×h{rr1}))=(CC1[0],CC1[1]) (=CC1)
　　　　　　　　　　　　　　　　　　　　　　　　　・・・(４５)
　次に、登録要求装置１１０におけるテンプレート生成部１１２は、第１テンプレートと第２テンプレートをまとめ、テンプレート
(C1[1],…, C1[n], CC1)　　　　　　　　　　　　　・・・(４６)
とする（ステップＢ４）。
　登録要求装置１１０の通信部１１３は、テンプレート
(C1[1],…,C1[n],CC1)
を記憶装置１３０に送付する（ステップＢ５）。
　記憶装置１３０の通信部１３５は、登録要求装置１１０から、該テンプレート
(C1[1],…,C1[n],CC1)を受け取る（ステップＢ６）。
　記憶装置１３０における識別子管理部１３１は、登録要求装置１１０から受け取ったテンプレートに固有の識別子である登録識別子ｉｄを決定する（ステップＢ７）。
　記憶装置１３０の通信部１３５は、登録識別子ｉｄを登録要求装置１１０に送付する（ステップＢ８）。
　次に、登録要求装置１１０の通信部１１３は、記憶装置１３０から登録識別子ｉｄを受け取る（ステップＢ９）。
　登録要求装置１１０は、受信した登録識別子ｉｄを、ディスプレイ等のユーザインターフェース（ＵＩ）に表示する（ステップＢ１０）。あるいは、登録要求装置１１０は、社員証や、識別子カード等の、ＩＣ（integrated_circuit）カードに、受信した登録識別子ｉｄを格納してもよい。
　次に、記憶装置１３０における登録データ生成部１３２は、テンプレートと登録識別子ｉｄをまとめ、登録データ
(C1[1],…,C1[n],CC1, id)　　　　　　　　　 ・・・(４７)
とする（ステップＢ１１）。
　記憶装置１３０における登録データ記憶部１３３に、上記登録データを格納する（ステップＢ１２）。
　なお、本実施形態に係る照合システム１００が登録フェーズにて実行する処理は、図３に例示された様態に限定されない。例えば、ステップＢ８に先だってステップＢ１１とステップＢ１２とが実行されてもよい。すなわち、記憶装置１３０は、登録識別子ｉｄを登録要求装置１１０に送信する前に、登録データを登録データ記憶部１３３に、上記登録データを格納するようにしてもよい。
　図８は、照合フェーズにおいて、第１の例示的な実施形態に係る照合システム１００が実行する処理の一例を示すフローチャートである。図８、図５を参照して暗号照合システム１００が、照合フェーズにて実行する処理について説明する。
　照合要求装置１２０は、照合（認証）対象の持つ識別子（「照合識別子」と呼ぶ）を受け取る（ステップＣ１）。
　次に、照合要求装置１２０における照合要求生成部１２１は、受け取った照合識別子を含む照合要求を生成する（ステップＣ２）。
　照合要求装置１２０の通信部１２４は、照合要求を照合装置１４０に送付する（ステップＣ３）。
　照合装置１４０の通信部１４６は、照合要求装置１２０から照合要求を受け取る（ステップＣ４）。
　次に、照合装置１４０における登録データ取得部１４１は、照合要求装置１２０から送信された照合要求に含まれる照合識別子を含む登録データ要求を生成する（ステップＣ５）。
　照合装置１４０の通信部１４６は、登録データ要求を記憶装置１３０に送付する（ステップＣ６）。
　次に、記憶装置１３０の通信部１３５は、照合装置１４０から登録データ要求を受け取る（ステップＣ７）。
　記憶装置１３０における登録データ検索部１３４は、登録データ記憶部１３３に格納されている、一つまたは複数の登録データのうち、登録データ要求に含まれる照合識別子を含む登録データ（「対象テンプレート」ともいう）を特定する（ステップＣ８）。
　記憶装置１３０の通信部１３５は、当該テンプレート:
Enc(pk,1-2x[1])（=C1[1]）,
　　　　　…,
Enc(pk,1-2x[n])（=C1[n]）
Enc(pk, x[1]+…+x[n])（＝CC1）　　　　　　　　　　　　・・・(４８)
を照合装置１４０に送付する（ステップＣ９）。
　照合装置１４０の通信部１４６は、記憶装置１３０から該テンプレートを受け取る（ステップＣ１０）。
　照合装置１４０の乱数生成部１４２は、疑似乱数生成手順に従い整数（乱数）
Figure JPOXMLDOC01-appb-I000051
を生成する（ステップＣ１１）。
　乱数生成部１４２は、好ましくは、照合要求のたびに毎回異なる乱数Sを生成する。
　次に、照合装置１４０における暗号データ生成部１４３は、加法準同型のスカラー演算則から、n個の第１のテンプレート：
Enc(pk,1-2x[1])（=C1[1]）,
　　　　　…,
Enc(pk,1-2x[n])（=C1[n]）
に対するSのスカラー演算Scl(S, Enc(pk,1-2x[1])),…, Scl(S, Enc(pk,1-2x[n]))
より、n個の暗号データ（「チャレンジ」ともいう）：
Enc(pk,S(1-2x[1]))（C2[1]と表す），
　　　　…
Enc(pk,S(1-2x[n]))（C2[n]と表す）　　　　　　　　・・・(４９)
を生成する（ステップＣ１２）。
すなわち、
C1[1]=(g^{r1[1]}, g^{(1-2x[1])}×h^{r1[1]})=(C1[1][0], C1[1][1])に対して、
(C1[1][0]^S,C1[1][1]^S) =C2[1],
   …,
C1[ｎ]= (g^{r1[n]}, g^{(1-2x[n])}×h^{r1[n]}) =(C1[n][0], C1[n][1])(=C1[n])に対して、
(C1[n][0]^S,C1[n][1]^S) =C2[n]
　　　　　　　　　　　　　　　　　　　　　　　　　・・・(５０)
　照合装置１４０の通信部１４６は、暗号データ (C2[1],…,C2[n])を照合要求装置１２０に送付する（ステップＣ１３）。
　照合要求装置１２０は、照合装置１４０がステップＣ１３で送信した暗号データを受け取る（ステップＣ１４）。
　次に、照合要求装置１２０における照合情報抽出部１２２は、認証対象の生体から照合ベクトル
　　Y=(y[1],y[2],…,y[n])
を抽出する（ステップＣ１５）。
　次に、照合要求装置１２０におけるレスポンス生成部１２３は、
Enc(pk,S(1-2x[1]))（C2[1]），
　　　　　…,
Enc(pk,S(1-2x[n]))（C2[n]）より、スカラー演算則と加法準同型の加法とから、暗号化したレスポンス：
Figure JPOXMLDOC01-appb-I000052
　　　　・・・(５１)
を生成する（ステップＣ１６）。すなわち、照合要求装置１２０におけるレスポンス生成部１２３は、スカラー演算Scl(y[1], Enc(pk,S(1-2x[1])))よりEnc(pk,S(1-2x[1])y[1])を生成する。以下同様に、Scl(y[n], Enc(pk,S(1-2x[n])))より、Enc(pk,S(1-2x[n])y[n])を生成する。そして、これらを加算することで、
Enc(pk,S（(1-2x[1])y[1]+,…,+(1-2x[n])y[n]））（=CC2）を求める。
　次に、照合要求装置１２０の通信部１２４は上記レスポンスCC2を照合装置１４０に送付する（ステップＣ１７）。
　次に、照合装置１４０は、照合要求装置１２０から、上記レスポンスCC2を受け取る（ステップＣ１８）。
　次に、照合装置１４０における暗号化距離計算部１４４は、
Enc(pk,S（(1-2x[1])y[1]+,…, (1-2x[n])y[n]))に対してS＾-1でスカラー演算する。
Scl(S^(-1), Enc(pk,S（(1-2x[1])y[1]+,…, (1-2x[n])y[n])）)
この結果、
Enc(pk,（(1-2x[1])y[1]+,…, (1-2x[n])y[n]）)　 ・・・(５２)
を取得する。これと、記憶装置１３０より受信した第２のテンプレート：Enc(pk, x[1],…,x[n])＝Enc(pk,D1)より、暗号化ハミング距離を得る。
Figure JPOXMLDOC01-appb-I000053
　　　　　　　　　　　　　　　　　　・・・(５３)
　次に、照合装置１４０におけるクエリ生成部１４５は、暗号化距離Enc(pk, dH(X,Y))を含むクエリを生成する（ステップＣ２０）。
　照合装置１４０の通信部１４６は、上記クエリを検証装置１５０に送付する（ステップＣ２１）。
　次に、検証装置１５０の通信部１５５は、照合装置１４０から、上記クエリＥｎｃ（ｐｋ，ｆ）を受け取る（ステップＣ２４）。
　次に、検証装置１５０におけるクエリ検証部１５３は、秘密鍵ｓｋを用いてクエリの暗号化距離Enc(pk, dH(X,Y))を復号する。
　Dec(sk, Enc(pk, dH(X,Y)))＝g^{dH(X,Y)}　 ・・・(５４)
　次に、検証装置１５０における検証結果生成部１５４は、dH(X,Y)を閾値ｔと比較する（ステップＣ２３）。検証結果生成部１５４は、g^{dH(X,Y)}がg^0, g^1, g^tのいずれかに一致するか判定する。いずれかに一致すれば、dH(X,Y)<=tであり、受理、いずれかにも一致しなれれば、dH(X,Y)＞ｔであり、不受理の検証結果を生成する（ステップＣ２４）。
　検証装置１５０は、算出した照合結果を出力する（ステップＣ２５）。
　なお、本実施形態に係る照合システム１００が照合フェーズにて実行する処理は、図８に例示された様態に限定されない。例えば、ステップＣ５～Ｃ１０に先だってステップＣ１１が実行されてもよい。
　また、第１の例示的な実施形態に係る照合システム１００によれば、同じ登録ベクトルとの認証を行う際であっても、図７のステップＣ１１で選ばれた乱数を用いた処理が行われる。したがって、照合処理の通信内容が漏洩したとしても、漏洩した内容を再送したり、漏洩した内容を利用して作成したデータを送付したりしても、漏洩した照合時の距離と等しい距離を算出したり、小さい値を算出したりすることはできない。登録ベクトルと認証ベクトルの間の距離が閾値より小さいときに「受理」とする認証に利用する場合、登録ベクトルを知らない攻撃者が「受理」とされない性質、すなわち、なりすまし攻撃への耐性を有する。
　特に、照合装置１４０から照合要求装置１２０に送る暗号データ（チャレンジ）に、乱数Sの暗号データEnc(pk,S)は含まれない。このため、照合要求装置１２０は、照合装置１４０から照合要求装置１２０に送られた暗号データEnc(pk,S(1-2x[1])), …,Enc(pk,S(1-2x[n]))からは、
Enc(pk,（x[1]+…+x[n])）、 
Enc(pk, S（（x[1]+…+x[n])））を算出することはできない。したがって、XとYのハミング距離の偽装はできず、盗聴者によるユーザのなりすましはできない。
　また、秘密鍵を持つ検証装置１５０が受け取るデータは、登録ベクトルと照合ベクトルの間のハミング距離の暗号文であり、登録ベクトルや照合ベクトルの値は開示されない。したがって、第１の例示的な実施形態に係る照合システム１００によれば、それぞれのベクトルを抽出する装置以外の装置には、登録ベクトルと照合ベクトルの距離以外の値は漏洩せず、検証装置において、登録ベクトルと照合ベクトルの間の距離を算出することが可能である。
　さらに、第１の例示的な実施形態に係る照合システム１００では、復号鍵を持つ検証装置１５０に対して、登録ベクトルと照合ベクトルの間のハミング距離を開示しないように変形可能である。例えば、非特許文献１に記載された方式と同じ方法を適用することにより、復号鍵（秘密鍵）を持つ検証装置１５０が、登録ベクトルと照合ベクトルの間のハミング距離を算出できない方式に変形できる。復号鍵を持つ検証装置１５０に対して、登録ベクトルと照合ベクトルの間の距離を開示しない方式は、特別な状況下においても復号鍵を持つ検証装置１５０が登録ベクトルの値を算出することを防ぐことができるため、より高い安全性を達成できる。
＜変形例１＞
　図９は、第１の実施形態の変形例１を説明する図である。基本構成は、第１の実施形態と同様である。相違点は以下のとおりである。なお、登録ベクトルX、暗号化Enc（）において公開鍵pkを省略等の表記は図４に従う。
　登録要求装置１１０は、テンプレートとして、Enc(pk, (1-2x1)),…,Enc(pk, (1-2xn))ではなく、Enc(pk,x1),…,Enc(pk,xn)を記憶装置１３０に送付する（Ｓ１１Ａ）。
　記憶装置１３０は、
Enc(pk,x1),…,Enc(pk,xn)から、加法準同型のスカラー演算、加算演算を用いて、
Enc(pk, (1-2x1)),…,Enc(pk, (1-2xn))　　・・・(５５)
Enc(pk,x1+,…,+xn)　　　　　　　　　　・・・（５６)
を求め、記憶する（Ｓ１１Ｂ）。
　照合装置１４０は、照会要求装置１２０からの照合要求を受けると（Ｓ１２）、記憶装置１３０から、
Enc(pk, (1-2x1)),…,Enc(pk, (1-2xn))、
及び
Enc(pk,x1+,…,+xn)を取得する（Ｓ１３）。これ以降の処理は、図４と同一であるため、説明は省略する。
　図５において、登録要求装置１１０のテンプレート生成部１１２は、Enc(pk,x1),…,Enc(pk,xn)を生成する。記憶装置１３０の登録データ生成部１３２は、Enc(pk,x1),…,Enc(pk,xn)から、
Enc(pk, (1-2x1))=C1[1],
…,
Enc(pk, (1-2xn))=C1[n]、及び、Enc(pk,x1+,…,+xn)=CC1を求め、登録識別子idと関連付けた登録データ
(C1[1],…,C1[n],CC1, id)
を生成して登録データ記憶部１３３に格納する。この変形例１によれば、登録要求装置１１０の処理負荷を軽減している。
＜変形例２＞
　図１０は、第１の実施形態の変形例２を説明する図である。基本構成は、第１の実施形態と同様である。相違点は以下のとおりである。なお、登録ベクトルX、暗号化Enc（）において公開鍵pkを省略等の表記は図４に従う。
　登録要求装置１１０は、テンプレートとして、変形例１と同様、Enc(pk,x1),…,Enc(pk,xn)を記憶装置１３０に送付する（Ｓ１１Ａ）。
　記憶装置１３０は、Enc(pk,x1),…,Enc(pk,xn)　　　　　・・・(５７)
を記憶する。
　照合装置１４０は、照会要求装置１２０からの照合要求を受けると（Ｓ１２）、記憶装置１３０から、Enc(pk,x1),…,Enc(pk,xn)を取得し（Ｓ１３Ａ）、加法準同型のスカラー演算、加算演算を用いて、
Enc(pk, (1-2x1)),…,Enc(pk, (1-2xn))、及び、Enc(pk,x1+,…,+xn)を求める（Ｓ１３Ｂ）。
　これ以降の処理は、図４と同一であるため、説明は省略する。
＜第２の実施形態＞
　図４乃至図９を参照して説明した第１の実施形態は、Semi-honestな攻撃者に対しては安全であるが、攻撃者によるなりすまし攻撃が存在する。図４のステップＳ１５では、照合装置１４０がEnc(pk,S(1-2x1)),…,Enc(pk,S(1-2xn))を照合要求装置１２０に送信している。
　登録ベクトル
Figure JPOXMLDOC01-appb-I000054
の各要素は二値であることから、Enc(pk,S(1-2x1)),…,Enc(pk,S(1-2xn))は、
Enc(pk,S)、Enc(pk,-S)　　　　　　　　　　　　・・・(５８)
のいずれかである。任意の値ｚについて高々２回の試行でEnc(pk, Sz)を照合装置１４０に送信することができる。照合装置１４０は照合要求装置１２０から受信したEnc(pk, Sz)をEnc(pk, D2)として扱い、Enc(pk, Sz)とEnc(pk,D1)を加算して得たEnc(pk, Sz＋D1)を検証装置１５０に送信する。
　この場合、
Figure JPOXMLDOC01-appb-I000055
　 　　　　　　　　　　・・・(５９)
であれば、受理される。
　そこで、第２の実施形態では、照合装置１４０がEnc(pk,S(1-2x1)),…,Enc(pk,S(1-2xn))を照合要求装置１２０に送信する登録テンプレートに乱数を乗算した暗号データEnc(pk,S(1-2xi)) (i=1,…,n)を送信するかわりに、登録用の二値ベクトルX=[x1,…,xn]を所定の変換式で変換した二値以外の値をとる第１の変換値ベクトルＡであって、照合用の二値ベクトルY=[y1,…,yn]を変換した第２の変換値ベクトルＢとの演算結果（内積A・B）が
Figure JPOXMLDOC01-appb-I000056
　　　　　　　　　　　　・・・(６０)
を生成する登録ベクトルXの変換値Aiを、チャレンジとして照合要求装置１２０に送信する。照合要求装置１２０は、変換値Aiの暗号データEnc(pk,Ai)と照合用の二値ベクトルY=[y1,…,yn]に関する変換値Biとの加法準同型演算から、Enc(pk,SΣ[i=1 to n] Ai・Bi)を照合装置１４０に送信する。Enc(pk,SΣ[i=1 to n] Ai・Bi)は
Figure JPOXMLDOC01-appb-I000057
　 　　　　　・・・(６１)
と等価であり、生体情報が二値ベクトルの場合において、なりすまし攻撃を回避可能としている。以下に説明する。
登録ベクトル
Figure JPOXMLDOC01-appb-I000058
照合ベクトル
Figure JPOXMLDOC01-appb-I000059
に対して以下の関係を満たすA1,…,An、B1,…,Bnを求める。
Figure JPOXMLDOC01-appb-I000060
　　　　　　　　　　　　　　　　　　　　　・・・(６２)
Figure JPOXMLDOC01-appb-I000061
　　　　　　　　　　　　　　　　　　　　　　・・・(６３)
Figure JPOXMLDOC01-appb-I000062
　　　　　　　　　　　　　　　　　　　　　　・・・(６４)
　制約式は各xiyiの係数に関するn^2個と、各yiに関するn個の計n(n+1)個である。未知数はn(2n+1)である。
Figure JPOXMLDOC01-appb-I000063
　　　　　　　　　　　　　　　　　　　　　　　　　・・・(６５)
　ここで、bi,j（i=1,…,n, j=1,…,n）を固定すると、未知数は
Figure JPOXMLDOC01-appb-I000064
　　　　　　　　　　　　　・・・(６６)
　のn(n+1)個である。
（未知数の個数）＞＝（制約式の個数）
であるため、解が存在する、特に、各bi,j（i=1,…,n,j=1,…,n）を固定すると、各ai,j（i=1,…,n,j=1,…,n+1）は一意に定まる。
　本実施形態では、照合装置１４０は、Enc(pk, SAi) (i=1,…,n)を照合要求装置１２０に送信する。照合要求装置１２０は、
Figure JPOXMLDOC01-appb-I000065
　　・・・(６７)
を照合装置１４０に送信する。
　説明をみやすくするため、２次元の場合の登録ベクトル、照合ベクトル
Figure JPOXMLDOC01-appb-I000066

Figure JPOXMLDOC01-appb-I000067
を例に説明する。なお、Tは転置演算子（Transpose operator）である。上記式（６２）、（６３）は以下のような変換行列を用いて表させる。

Figure JPOXMLDOC01-appb-I000068
　　　　・・・(６８)

Figure JPOXMLDOC01-appb-I000069
　　　　　　　　・・・(６９)
上記式（６４）は以下で与えられる。
Figure JPOXMLDOC01-appb-I000070
　・・・(７０)
　これを解くと、各係数は以下で与えられる。
Figure JPOXMLDOC01-appb-I000071
　　　　　　　　　　　　　　　　　　　　　　　　　　　　・・・(７１)
ただし、Lは行列
Figure JPOXMLDOC01-appb-I000072
の行列式(determinant)の逆数である。
Figure JPOXMLDOC01-appb-I000073
　　　　　　　　　　　　　　　　　・・・(７２)
　したがって、以下のように表せる。
Figure JPOXMLDOC01-appb-I000074
　　　　　　　　　　　　　　　　　　　　　　　　　　　・・・(７３)
なお、上式において、b1,1=b2,2=1, b1,2=b2,1=0の場合、
Figure JPOXMLDOC01-appb-I000075
　　　　　　　　　　　　　　　　　　　　　　　　・・・(７４)
となり、これは前記第１の実施形態のn=2の場合に対応する。
　簡単な具体例として、ｑ＝13の場合（メッセージ空間：Fq）について説明する。
Figure JPOXMLDOC01-appb-I000076
　　　　　　　　　　　　　・・・(７５)
とすると、
Figure JPOXMLDOC01-appb-I000077
である（フェルマーの小定理よりqが素数ならばg^(q-1)=1 　mod qが成り立つため、g・g^(q-2)=1 mod q、したがって、逆元は
ｇ^(-1)＝g^(q-2) mod q　　　　　　　　　　・・・(７６)
である）。
　したがって、
Figure JPOXMLDOC01-appb-I000078
　　　　　　　　　　　　　　　　　　　　・・・(７７)
が、制約式をみたすことになる。
Figure JPOXMLDOC01-appb-I000079
　　　　　　　　　　　　　　　　　・・・(７８)
　この場合、A1、A2は、(x1,x2)の値（0,0）, (0,1), (1,0), (1,1)毎に異なる（図１１の（ｂ）と（ｃ）参照）。なお、B1、B2は以下で与えられる。
Figure JPOXMLDOC01-appb-I000080
　図１２は、第２の実施形態の登録要求装置１１０の構成を説明する図である。登録要求装置１１０は、登録情報抽出部１１１で抽出された二値ベクトル
Figure JPOXMLDOC01-appb-I000081
と、予め設定された変換係数：
Figure JPOXMLDOC01-appb-I000082
に基づき、変換値(A１,…,An)を求める変換値生成部１１４を備えている。その他の基本構成は、図５に示した前記第１の実施形態の構成と同様とされるが、登録要求装置１１０の変換テンプレート生成部１１２、記憶装置１３０の登録データ生成部１３２、照合装置１４０の暗号データ生成部１４３、暗号化距離計算部１４４、照合要求装置１２０で行われる処理の内容が、前記第１の実施形態と相違している。
　図１３は、登録フェーズを説明する図である。以下では、図７に追加されたステップB1Aについて説明する。ステップB1Aでは、変換値生成部１１４が、登録情報抽出部１１１で抽出された二値ベクトル
Figure JPOXMLDOC01-appb-I000083
と、予め設定された変換係数：
Figure JPOXMLDOC01-appb-I000084
に基づき、変換値(A１,…,An)を求める（Ｂ１Ａ）。
　テンプレート生成部１１２は、第１のテンプレートとして、
　Enc(pk, A1),…,Enc(pk, An)　　　　　　　　　　　 ・・・(７９)
を生成する（Ｂ２）。また、テンプレート生成部１１２は、第２のテンプレートとして、
Enc(pk,x1),…,Enc(pk, xn)　　　　　　　　　　　 ・・・(８０)
を生成し（Ｂ３）、これらのテンプレートを合わせ（Ｂ４）、記憶装置１３０に送信する（Ｂ５）。
　図１４は、第２の実施形態の動作シーケンスを説明する図である。図１４は、図４、図９等の表記に対応している。なお、公開鍵と秘密鍵の生成（Ｓ２０）は、図４、図９等のＳ１０に対応している。
　前述したように、第２の実施形態では、登録要求装置１１０に、n(n+1)個の変換係数：
Figure JPOXMLDOC01-appb-I000085
が予め設定されているものとする。また、照合要求装置１２０には、n^2個の変換係数：
Figure JPOXMLDOC01-appb-I000086
が設定されているものとする。
　登録要求装置１１０の変換値生成部１１４は、登録情報抽出部１１１で抽出された二値ベクトル
Figure JPOXMLDOC01-appb-I000087
と、予め設定された変換係数：
Figure JPOXMLDOC01-appb-I000088
に基づき、変換値(A１,…,An)を求める。
　次に登録要求装置１１０のテンプレート生成部１１２は、第１のテンプレートとして、Ai（i=1,…,n）の暗号データ
Enc(pk,A1),…,Enc(pk,An)　　　　　　・・・(８１)
を生成する。
　またテンプレート生成部１１２は、第２のテンプレートとして、
Enc(pk,x1),…,Enc(pk, xn)　　　　　　　　　　　・・・(８２)
を生成する。
　そして、登録要求装置１１０のテンプレート生成部１１２は、第１、第２のテンプレートからテンプレート
Figure JPOXMLDOC01-appb-I000089
　　　　　・・・(８３)
を生成し、通信部１１３を介して記憶装置１３０に送付する（Ｓ２１）。
　記憶装置１３０は、該テンプレートを受け取ると、識別子管理部１３１は、登録識別子idを生成し、登録データ生成部１３２は登録識別子idに関連させて

Figure JPOXMLDOC01-appb-I000090
　　　　　　　　　　　　　　　　　　・・・（８４）
を登録データ記憶部１３３に記憶する。
　照合装置１４０において、通信部１４６が照合要求装置１２０から照会要求を受けると（Ｓ２２）、登録データ取得部１４１は、記憶装置１３０から
Figure JPOXMLDOC01-appb-I000091
を受け取る（Ｓ２３Ａ）。
　照合装置１４０は、Enc(pk,x1),,…,Enc(pk, xn)を暗号化したまま、要素｛ｘi｝の総和の暗号データEnc(pk,Σ[i=1 to n]xi)を生成する（Ｓ２３Ｂ）。
　照合装置１４０は、乱数生成部１４２は乱数
Figure JPOXMLDOC01-appb-I000092
を生成する（Ｓ２４）。
　そして、乱数生成部１４２は、変換値の暗号データEnc(pk, A1),…,Enc(pk, An)に対して乱数Sをスカラー演算して、
Enc(pk, SA1),…,Enc(pk, SAn)　　　　　　・・・(８５)
を求め、通信部１４６を介して、照合要求装置１２０に送信する（Ｓ２５）。
　Enc(pk, Ai) (i=1,…,n)は、(x1,…xn)の値の組み合わせに応じて値が異なる。このため、攻撃者にとって、照合装置１４０から照合要求装置１２０に送信されるEnc(pk,S・Ai) (i=1,…,n)から、Enc(pk, S)を推測することは困難であり、なりすまし攻撃を困難とする。
　照合要求装置１２０のレスポンス生成部１２３は、{bi,j}(i,j=1,…,n)と、照合情報抽出部１２２で抽出された二値ベクトル
Figure JPOXMLDOC01-appb-I000093
から、
Figure JPOXMLDOC01-appb-I000094
　　　　　　・・・(８６)
　　
を求める。
　照合要求装置１２０のレスポンス生成部１２３は、加法準同型の加算、及びスカラー演算則を用いて、照合装置１４０から受信した暗号データ（チャレンジ）Enc(pk, Ai)　(i=1,…,n)を暗号化したまま、スカラー演算Scl（Bi, Enc(pk, SAi))　(i=1,…,n)により、
Enc(pk, SA1・B1),…,Enc(pk, SAn・Bn)　　　　　・・・(８７)
を計算し、これらを暗号化したまま加算することで、
Figure JPOXMLDOC01-appb-I000095
　　　　　　　　　　　　　　　　　　　・・・(８８)
を求める。照合要求装置１２０のレスポンス生成部１２３は、通信部１２４を介して、
Figure JPOXMLDOC01-appb-I000096

をチャレンジに対するレスポンスとして照合装置１４０に送付する（Ｓ２６）。
　照合装置１４０の暗号化距離計算部１４４では、
Figure JPOXMLDOC01-appb-I000097
に対して、乱数Sの逆数S^(-1)（S^(q-2)　mod q）をスカラー演算し、

Figure JPOXMLDOC01-appb-I000098
　　　　　　　　　　・・・(８９)

　を求める。
　ここで、
Figure JPOXMLDOC01-appb-I000099
　　　　・・・(９０)
である。
　照合装置１４０の暗号化距離計算部１４４は、求めたD１と、記憶装置１３０から受け取った第２のテンプレート
Figure JPOXMLDOC01-appb-I000100
　　　　　　　・・・(９１)
より、暗号化したまま、二値ベクトルXとYのハミング距離の暗号データを計算する。
Figure JPOXMLDOC01-appb-I000101
　　　　　　　　　　　　　　　　　　　　　　　　　　　・・・(９２)
　照合装置１４０は、二値ベクトルXとYのハミング距離の暗号データEnc(pk, dH(X,Y))を検証装置１５０に送信する（Ｓ２７）。検証装置１５０は暗号データEnc(pk, dH(X,Y))を秘密鍵skで復号し(Dec(sk, Enc(pk, dH(X,Y))))、復号結果が閾値ｔ以下であるか否か判定し（Ｓ２８）、検証結果を出力する（Ｓ２９）。
＜変形例１＞
　図１５は、上記した第２の実施形態の変形例１を説明する図である。上記した第２の実施形態では、登録要求装置１１０が変換値A1,…,Anを計算し、これらの暗号データEnc(pk, A1),…,Enc(pk, An)を、第１テンプレートとして記憶装置１３０に送付していたが、変形例１では、登録要求装置１１０のテンプレート生成部１１２は、変換値［A1,…An］の暗号データEnc(pk, A1),…,Enc(pk, An)を記憶装置１３０に送信しない。登録要求装置のテンプレート生成部１１２は、前記第１の実施形態と同様に、n個のx１,…,xｎの暗号データ（第１のテンプレート）
Enc(pk, x１),…,Enc(pk, xｎ)
を記憶装置１３０に送信する（Ｓ２１）。
　登録要求装置１１０は、図５に示した構成と同様とされる。その他の構成も、図５に示した前記第１の実施形態の構成と同様とされるが、登録要求装置１１０のテンプレート生成部１１２、記憶装置１３０の登録データ生成部１３２、照合装置１４０の暗号データ生成部１４３、暗号化距離計算部１４４、照合要求装置１２０で行われる処理が、前記第１の実施形態と相違している。
　記憶装置１３０の通信部１３５は、登録要求装置１１０から送信された第１のテンプレートを受け取り、登録データ生成部１３２は、識別子管理部１３１が付与した登録識別子idに関連して、第１のテンプレートを登録データ記憶部１３３に記憶する。
　さらに、記憶装置１３０の登録データ生成部１３２は、n次元二値ベクトルXのn個の要素ｘ1,…,ｘnの登録データ
Enc(pk, x1),…,Enc(pk, xn)　 ・・・(９３)
を暗号化したまま、要素｛ｘi｝の総和の暗号データ
Figure JPOXMLDOC01-appb-I000102
を生成する（Ｓ２１Ａ）。
　記憶装置１３０の登録データ生成部１３２は、記憶装置１３０に設定された変換係数群
Figure JPOXMLDOC01-appb-I000103
から、n次元二値ベクトルXのn個の要素ｘ1,…,ｘnを暗号化したまま、変換値A1,…,Anの暗号データ
Enc(pk, A1),…, Enc(pk, An)　　
を計算する（Ｓ２１Ｂ）。
　ここで、Enc(pk, ai,jxｊ) （j=1,…,n）は、暗号データEnc(pk, xｊ)に対するスカラー演算Scl(ai,j，Enc(pk, xｊ))（j=1,…,n）で求まる。さらに記憶装置１３０の登録データ生成部１３２はEnc(pk, ai, n+1)を求め、これらを暗号化したまま加算することで、暗号データEnc(pk, Ai)（i=1,…,n）を計算し、登録データ記憶部１３３に記憶する（Ｓ２１Ｂ）。
Enc(pk, A1)= Enc(pk, a1,1・x1)+,…, Enc(pk, a1,ｎ・xｎ) + Enc(pk, a1,n+1)
　　…,
Enc(pk, An)= Enc(pk, an,1・x1)+,…, Enc(pk, an,ｎ・xｎ) + Enc(pk, an,n+1)
　　　　　　　　　　　　　　　　・・・(９４)
　照合装置１４０は、照合要求装置１２０から照合要求を受けると、登録データ取得部１４１は、記憶装置１３０から、Enc(pk, A1),…, Enc(pk, An)と、
Figure JPOXMLDOC01-appb-I000104
の暗号データ（第２のテンプレート）：
Figure JPOXMLDOC01-appb-I000105
を受け取る（Ｓ２３）。
　照合装置１４０の乱数生成部１４２は、乱数Ｓを生成する（Ｓ２４）。そして、暗号データ生成部１４３は、加法準同型のスカラー演算則により、
Enc(pk, SA1),…, Enc(pk, SAn)
を計算し、通信部１４６を介して照合要求装置１２０に送信する（Ｓ２５）。
　照合要求装置１２０のレスポンス生成部１２３は、設定されたn^2個の変換係数
Figure JPOXMLDOC01-appb-I000106
と照合情報抽出部１２２で抽出された二値ベクトル
Figure JPOXMLDOC01-appb-I000107
から、
Figure JPOXMLDOC01-appb-I000108
　　　　　　　　　　　　　　　　・・・(９５)
を求める。
　照合要求装置１２０のレスポンス生成部１２３は、照合装置１４０から送信されたEnc(pk, SA1),…, Enc(pk, SAn)と、変換値B１,…,Ｂｎからスカラー演算、加法演算により、
Figure JPOXMLDOC01-appb-I000109
　　　　　　　　　　　　　　　　・・・(９６)
を求め、レスポンスとして、通信部１２４を介して照合装置１４０に送付する（Ｓ２６）。これ以降の動作シーケンスは、図１４と同様であるため、説明は省略する。
＜変形例２＞
　上記変形例１では、記憶装置１３０が、登録要求装置１１０から送信された第１テンプレートのEnc(pk,xi) (i=1,…,n)から変換値A1,…Anの暗号データEnc(pk, Ai)(i=1,…,n)を生成しているが、変形例２では、照合装置１４０が、チャレンジ作成時に、変換値A1,…Anの暗号データEnc(pk, Ai)(i=1,…,n)を作成する。変形例２の基本構成は、図５に示した前記第１の実施形態の構成と同様とされるが、登録要求装置１１０のテンプレート生成部１１２、記憶装置１３０の登録データ生成部１３２、照合装置１４０の暗号データ生成部１４３、暗号化距離計算部１４４、照合要求装置１２０で行われる処理が、前記第１の実施形態と相違している。
　図１６は、変形例２の動作を説明する図である。図１６及び図５を参照して、変形例２の動作を説明する。
　登録要求装置１１０は、前記第１の実施形態と同様、n次元の二値ベクトルXのn個の要素｛xｉ｝(i=1,…,n)の暗号データEnc(pk, xi) (i=1,…,n)（第１のテンプレート）を記憶装置１３０に送信する（Ｓ２１）。
　記憶装置１３０は第１及び第２のテンプレートを登録idに関連して記憶する。
　照合装置１４０の登録データ取得部１４１は、照合要求装置１２０から照合要求を受けると（Ｓ２２）、記憶装置１３０からn次元の二値ベクトルXのn個の要素｛xｉ}の暗号データEnc(pk, x1),…,Enc(pk, xn)
を受け取る（Ｓ２３Ａ）。
　照合装置１４０の暗号データ生成部１４３は、
　Enc(pk, x1),…,Enc(pk, xn)を暗号化したまま、要素｛ｘi｝の総和の暗号データ
Figure JPOXMLDOC01-appb-I000110
　を生成する（Ｓ２３Ａ）。
　照合装置１４０の暗号データ生成部１４３は、n個のｘ１,…,ｘnの暗号登録データEnc(pk, ｘ１),…, Enc(pk, ｘn)と、設定された変換係数群
Figure JPOXMLDOC01-appb-I000111
から、変換値A1,…Anの暗号データEnc(pk, A1),…, Enc(pk, An)を生成する（Ｓ２４Ｂ）。
Enc(pk,A1)= Enc(pk, a1,1・x1)+,…, +a1,nEnc(pk, a1,n・xｎ)+Enc(pk,a1,n+1)
　　　…,
Enc(pk,An)= Enc(pk, an,1・x1)+,…, +an,nEnc(pk, an,n・xｎ)+Enc(pk,an,n+1)
　　　　　　　　　　　　　　　　　　　　　　　・・・(９７)
　照合装置１４０は、乱数Sを生成し（Ｓ２４）、加法準同型のスカラー演算則により、
Enc(pk, SA1),…, Enc(pk, SAn)
を計算し、通信部１４６を介して照合要求装置１２０に送信する（Ｓ２５）。
　照合要求装置１２０は、設定されたn^2個の変換係数
Figure JPOXMLDOC01-appb-I000112
と二値ベクトル
Figure JPOXMLDOC01-appb-I000113
から、
Figure JPOXMLDOC01-appb-I000114
　　　　　　　　　　　・・・(９８)
を求める。さらに、Enc(pk, SA1),…, Enc(pk, SAn)と変換値B1.,…,Bnから、
Figure JPOXMLDOC01-appb-I000115
　　　　　　　　　　　・・・(９９)
を求め、レスポンスとして照合装置１４０に送付する（Ｓ２６）。これ以降は、図１４の変形例１と同様であるため、説明を省略する。
＜変形例３＞
　変形例３では、登録要求装置１１０には、変換係数

Figure JPOXMLDOC01-appb-I000116

は予め設定されていない。また照合要求装置１２０には、
n^2個の変換係数
Figure JPOXMLDOC01-appb-I000117
も設定されていない。
　変形例３では、照合装置１４０が、チャレンジ作成時に、変換係数｛ai,j｝(i=1,…,n,j=1,…,n+1)をその都度作成する。
　図１７は、変形例３の照合装置１４０の構成例を示す図である。図１７に示すように、照合装置１４０は、チャレンジ作成時に、変換係数｛ai,j｝(i=1,…,n,j=1,…,n+1)を生成する変換係数生成部１４７をさらに備えている。
　暗号データ生成部１４３は、登録データ取得部１４１で取得したn個のｘｉの暗号データEnc(pk,xi) (i=1,…,n)と、作成した変換係数｛ai,j｝(i=1,…,n,j=1,…,n+1)に基づき、変換値A１,…,Anを計算し、暗号化したデータをチャレンジとして照合要求装置１２０に送信する。
　また、照合装置１４０は、照合要求装置１２０に対するチャレンジの送信時に、変換係数（第１群の変換係数）｛ai,j｝(i=1,…,n,j=1,…,n+1)の計算に用いた変換係数（第２群の変換係数）｛bi,j｝(i, j=1,…,n)を照合要求装置１２０に送信する。
　図１８は、変形例３の照合フェーズを説明する図である。図８及び変形例１との相違点を説明する。
　照合装置１４０の変換係数生成部１４７は、チャレンジを生成する度に、変換係数｛ai,j｝(i=1,…,n,j=1,…,n+1)を生成する（Ｃ１１Ａ）。
　照合装置１４０の暗号データ生成部１４３は変換係数｛ai,j｝(i=1,…,n,j=1,…,n+1)と、Enc(pk, ｘ1),…, Enc(pk, ｘn)とに基づき、各要素{xi}を暗号化したまま、変換値の暗号データEnc(pk, A1),…,ENc(pk, An)を生成する（Ｃ１１Ｂ）。
　照合装置１４０の乱数生成部１４２は、乱数Sを生成し、変換値の暗号データに乱数Sをスカラー演算することで、暗号データEnc(pk, SA1),…,ENc(pk, SAn)を生成する（Ｃ１２）。照合装置１４０は、生成した暗号データEnc(pk, SA1),…,ENc(pk, SAn)と、n^2個の変換係数{bi,j}(i,j=1,…,n)を照合要求装置１２０に送信する（Ｃ１３）。
　図１９は、変形例３の全体の動作シーケンスを説明する。登録要求装置１１０は、登録用の二値ベクトルX＝[x1,…,xn]のn個の要素｛xｉ｝の暗号データEnc(pk, xi) (i=1,…,n)からなる第１のテンプレートを記憶装置１３０に送信する（Ｓ２１）。
　記憶装置１３０は第１のテンプレートを登録識別子idに関連して記憶する。
　照合装置１４０の登録データ取得部１４１は、照合要求装置１２０から照合要求を受けると（Ｓ２２）、記憶装置１３０から二値ベクトルXのn個の要素｛xｉ｝の暗号データEnc(pk, ｘ1),…, Enc(pk, ｘn)
を受け取る（Ｓ２３）。
　照合装置１４０の暗号データ生成部１４３は、ら二値ベクトルXのn個の要素｛xｉ｝の暗号データEnc(pk, x1),…,Enc(pk, xn)を暗号化したまま、二値ベクトルXのn個の要素｛ｘi｝の総和の暗号データ
Figure JPOXMLDOC01-appb-I000118
を生成する（Ｓ２３Ａ）。
　照合装置１４０の変換係数生成部１４７は、チャレンジを生成する度に、変換係数｛ai,j｝(i=1,…,n,j=1,…,n+1)を生成する（Ｓ２４Ａ）。したがって、チャレンジ毎に異なる値となる場合もある。変換係数｛ai,j｝(i=1,…,n,j=1,…,n+1)は、{bi,j} (i=1,…,n)に基づき、計算される。照合装置１４０の変換係数生成部１４７は、チャレンジを生成する度に、変換係数{bi,j} (i=1,…,n)を異なる値に設定するようにしてもよい。
　照合装置１４０の暗号データ生成部１４３は、変換係数｛ai,j｝(i=1,…,n,j=1,…,n+1)と、登録暗号データEnc(pk, ｘ1),…, Enc(pk, ｘn)とに基づき、Enc(p,xi)(i=1,…,n)を暗号化したまま、
Enc(pk, A1),…,ENc(pk, An)　　　　　　　　・・・(１００)
を生成する（Ｓ２４Ｂ）。
　照合装置１４０の乱数生成部１４２は、乱数Sを生成し（Ｓ２４）、Enc(pk, SA1),…,ENc(pk, SAn)を計算し、Enc(pk, SA1),…,Enc(pk, SAn)とn^2個の変換係数{bi,j}(i,j=1,…,n)を照合要求装置１２０に送信する（Ｓ２５）。
　照合要求装置１２０は、照合装置１４０から送信されたn^2個の変換係数
Figure JPOXMLDOC01-appb-I000119
と二値ベクトル
Figure JPOXMLDOC01-appb-I000120
から、
Figure JPOXMLDOC01-appb-I000121
　　　　　　・・・(１０１)
を求める。さらに、Enc(pk, SA1),…, Enc(pk, SAn)と、変換値B1,…,Bnから、
Figure JPOXMLDOC01-appb-I000122
　　　　　　　　・・・(１０２)
を求め、レスポンスとして照合装置１４０に送付する（Ｓ２６）。式（１０２）のレスポンスを受信した照合装置１４０がクエリを送信する処理（Ｓ２７）と、照合装置１４０からクエリを受信した検証装置１５０の処理（Ｓ２８、Ｓ２９）は変形例２と同じであるため、説明を省略する。
　なお、前記第２の実施形態及び各変形例において、前記第１の実施形態と同様に、登録要求装置１１０で登録用のn次元二値ベクトルXのn個の要素｛ｘi｝の総和の暗号データ
Figure JPOXMLDOC01-appb-I000123
を生成し、暗号データを記憶装置１３０に送信するようにしてもよい。
＜第３の実施形態＞
　上記第１、第２の実施形態では、復号者が受け取った距離の暗号文を復号し、距離が閾値t以下であるか否かを確認する。modified Elgamal暗号を用い、復号アルゴリズムがメッセージではなく、Dec(sk, Enc(pk, m)）=g^mを出力する場合、復号者は、復号値が1、g、g^2,g^3,…,g^tのいずれかと一致するか否かを確認する。
　楕円Elgamal暗号を用い、復号アルゴリズムがメッセージではなく、Dec(sk, Enc(pk, m)）=m(*)Gを出力する場合、復号者は、復号値がO,G, 2(*)G,3(*)G, …,t(*)Gのいずれかと一致するか否かを確認すればよい。復号アルゴリズムがメッセージを出力する場合、復号者は復号値が0,1,2,3,…,tのいずれかと一致するか否かを確認すればよい。
　照合（認証）時に、y1,…,ynとして、y1,…,yi-1,yi+1,…,yn=0,yi=αを用いると、算出されるハミング距離は、
Figure JPOXMLDOC01-appb-I000124
・・・(１０３)
となる。
　各xi (i=1,…,n)が約1/2の確率で0または1を取ると仮定すると、
Figure JPOXMLDOC01-appb-I000125
　　　　　・・・(１０４)
が成り立つためである。
Figure JPOXMLDOC01-appb-I000126
　を

Figure JPOXMLDOC01-appb-I000127
　　　・・・(１０５)
を満たすように定めれば，xiの値によって約1/2の確率で受理される。さらに、検証装置１５０における受理/不受理の結果から、ｘiの値が判定できる。すなわち、
　受理されれば、xi=1,
　不受理であれば、xi=0と判定される。
　このため、攻撃者はこの試行を各i=1,…,nに対して繰り返すことにより、登録された生体情報x1,…,xnを知ることができる。以上から、第１、第２の実施形態では、１:Ｎ認証を行うことができない。第３の実施形態では、１:Ｎ認証に対応可能に構成される。
　また、第３の実施形態では、照合フェーズにおいて、照合用のベクトルY＝[y1,…,yn]として0，1以外の値を入力された場合、これを検知する機能を具備する。
Figure JPOXMLDOC01-appb-I000128
　　　　　　　　　　　　　　　・・・(１０６)
　また、以下に示すように、（2yi-1）を用いて、xi=yiであるか否かを判定できる。
Figure JPOXMLDOC01-appb-I000129
　　　　　　　　　　　　　　　・・・(１０７)
　(2xi-1)(2yi-1)は、
xi=yiであり、yiが０又は１のときは、１、
ｙi=０且つｘi=1、又はｙi=1且つｘi=0のときは、－１、
ｙiが０、１以外のときは、１、－１以外の値となる。
xi=yiでないiの個数(ベクトルXとYの同一番目の要素xiとyiが不一致の個数)をハミング距離dH(X,Y)とすればよい。
　図２０は、第３の実施形態における照合装置１４０と検証装置１５０の構成を説明する図である。登録要求装置１１０、照合要求装置１２０の基本構成は、図５に示した構成とされる。ただし、各部の処理は前記第１の実施形態と相違している。第３の実施形態は１：Ｎ認証に対応している。　
　照合装置１４０は、図５に示した構成に加えてハッシュ値生成部１４８を備えている。
　照合要求装置１２０から照合要求を受けた照合装置１４０の登録データ取得部１４１は、記憶装置１３０から登録識別子idに関連して記憶された暗号データ｛Enc(pk, (2xi-1))｝ (i=1,…,n)を受信する。
　照合装置１４０の乱数生成部１４２は、乱数aｉ，bｉ，rｉを生成する。
　照合装置１４０の暗号データ生成部１４３は乱数ｂi(i=1,…,n)の暗号データEnc(pk, ｂi)　(i=1,…,n)を照合要求装置１２０に送信する。照合要求装置１２０に送信する暗号データは登録データ（テンプレート）に依存しない。このため、１：Ｎ認証を行うことができる。
　照合要求装置１２０のレスポンス生成部１２３は、記憶装置１３０から受信したEnc(pk, (2xi-1))と、照合要求装置１２０から送信されたEnc(pk, bi(2yi)-1)  (i=1,…,n)と、乱数ai,bi,riから、
Enc(pk, ai(2xi-1))　(i=1,…,n),
Enc(pk, biri(2yi-1))　(i=1,…,n)
　　　　　　　　　　　　　　　　　　　　　・・・(１０８)
を生成する。
　ハッシュ値生成部１４８は、乱数aｉ，bｉ，rｉ(i=1,…,n)の積aｉbｉrｉ（mod q）のハッシュ値
Ｈ（ａiｂiｒi）　　　　・・・(１０９)
を計算する。
　クエリ生成部１４５は、暗号データEnc(pk, ai(2xi-1))、Enc(pk, biri(2yi-1))(i=1,…,n)とハッシュ値H(aｉbｉrｉ)　(i=1,…,n)を含むクエリを生成し、通信部１４６を介して検証装置１５０に送信する。Hは一方向性ハッシュ関数である。なお、暗号データEnc(pk, ai(2xi-1)),Enc(pk, biri(2yi-1))　(i=1,…,n)を送信する順番として、iをシャフルして送信するようにしてもよい。
　検証装置１５０のクエリ検証部１５３の復号部１５３１は、秘密鍵skを用いて暗号データEnc(pk, ai(2xi-1))、Enc(pk, biri(2yi-1))　(i=1,…,n)を復号する。
ｚa=Dec(sk, Enc(pk, ai(2xi-1)))　
ｚb=Dec(sk, Enc(pk, biri(2yi-1)))
　　　　　　　　　　　　　・・・(１１０)
を計算する。
　さらに検証装置１５０のクエリ検証部１５３のハッシュ値生成部１５３２は、ｚaとｚｂの積のハッシュ値H（ｚaｚｂ）を計算する。
　検証装置１５０のクエリ検証部１５３の不一致判定部１５３３は、計算したH（zazb）が照合装置１４０から受信したハッシュ値H(aｉbｉrｉ)と不一致のｉの個数がｔ以下であるか否かを判定する。
　検証結果生成部１５４は、不一致の個数がｔ以下であれば、受理、それ以外の場合、不受理とする。
　ｚaｚｂ=aｉbｉrｉ(2xi-1)(2yi-1)　　　　・・・(１１１)

yiが０又は１であり、yi=xiの場合、ｚaｚｂ=aｉbｉrｉ
yiが０又は１であり、yi≠xiの場合、ｚaｚｂ=－aｉbｉrｉ
yiが０,１以外の場合、ｚaｚｂはaｉbｉrｉ、-aｉbｉrｉ以外の値である。
したがって、
H（zazb）＝H（aｉbｉrｉ）　　・・・(１１２)
が成り立つときは、yi=xiであり、ｙi=０又は１の値である。これ以外（ハッシュ値H（ｚaｚｂ）≠H（aｉbｉrｉ））の場合、yiは０又は１であるがｘiと異なるか、yiが０、１以外の値の場合である。このように、i=1,…,nに関する式（１１２）について、不一致の個数が閾値ｔ以下であれば、受理する。
　なお、照合装置１４０で生成した乱数の積aｉbｉrｉを公開鍵pkで暗号化して検証装置１５０に送信しても、検証装置１５０では秘密鍵skで復号化することができる。そこの、aｉbｉrｉのハッシュ値が検証装置１５０に送信される。一方、ハッシュ値v（v＝H(u)）から入力uの逆算は困難である。このため、盗聴されても、中身は読み取れない。
　図２１は、第３の実施形態における照合フェーズの処理を説明する図である。照合要求装置１２０から照合要求を受けると（Ｃ４）、照合装置１４０の登録データ取得部１４１は、記憶装置１３０からIdに関連して記憶された暗号データEnc(pk, (2xi-1)) (i=1,…,n)を受信する（Ｃ４～Ｃ１０）。照合装置１４０の乱数生成部１４２は、乱数aｉ，bｉ，rｉを生成する（Ｃ１１）。
　照合装置１４０の暗号データ生成部１４３は乱数ｂi(i=1,…,n)の暗号データEnc(pk, ｂi)　(i=1,…,n)を生成し（Ｃ１２）、照合要求装置１２０に送信する（Ｃ１３）。
　照合要求装置１２０は、照合装置１４０からEnc(pk, ｂi) (i=1,…,n)を受け取り（Ｃ１４）、照合ベクトル
Figure JPOXMLDOC01-appb-I000130
を抽出し（Ｃ１５）、レスポンス生成部１２３は、照合装置１４０から受け取ったEnc(pk,ｂi) (i=1,…,n)から、スカラー演算によってScl(2yi-1, Enc(bi))= Enc(bi(2yi-1)) (i=1,…,n)を求める（Ｃ１６）。照合要求装置１２０は、Enc(pk, bi(2yi-1)) (i=1,…,n)を照合装置１４０に送信する（Ｃ１７）。
　照合装置１４０は、Enc(pk, bi(2yi-1)) (i=1,…,n)を受け取り（Ｃ１８）、記憶装置１３０から受信したEnc(pk, (2xi-1))と、照合要求装置１２０から送信されたEnc(pk, bi(2yi-1))  (i=1,…,n)と、乱数ai,bi,riから、
Enc(pk, ai(2xi-1)) (i=1,…,n),
Enc(pk, biri(2yi-1)) (i=1,…,n)
を生成する（Ｃ１９Ａ）。またハッシュ値生成部１４８は、乱数aｉ，bｉ，rｉ(i=1,…,n)の積aｉbｉrｉ（mod q）のハッシュ値H(aibiri)を計算する（Ｃ１９Ｂ）。
　クエリ生成部１４５は、暗号データEnc(pk, ai(2xi-1))、Enc(pk, biri(2yi-1))(i=1,…,n)とハッシュ値H(aｉbｉrｉ)(i=1,…,n)を含むクエリを生成し（Ｃ２０）、通信部１４６を介して検証装置１５０に送信する（Ｃ２１）。Hは一方向性ハッシュ関数である。
　検証装置１５０の通信部１５５がクエリを受けると、クエリ検証部１５３の復号部１５３１は、秘密鍵skを用いて暗号データEnc(pk, ai(2xi-1))、Enc(pk, biri(2yi-1)) (i=1,…,n)を復号する（Ｃ２３Ａ）。すなわち、クエリ検証部１５３の復号部１５３１は
ｚa=Dec(sk, Enc(pk, ai(2xi-1)))　
ｚb=Dec(sk, Enc(pk, biri(2yi-1)))
を計算する。
　さらに検証装置１５０のクエリ検証部１５３のハッシュ値生成部１５３２は、ｚaとｚｂの積のハッシュ値H（ｚaｚｂ）を計算する（Ｃ２３Ｂ）。
　検証装置１５０のクエリ検証部１５３の不一致判定部１５３３は、計算したハッシュ値H（zazb）が、照合装置１４０から受信したハッシュ値H(aｉbｉrｉ)と不一致のｉの個数がｔ以下であるか否かを判定し、検証結果生成部１５４は、不一致の個数がｔ以下であれば、受理、それ以外の場合、不受理とし（Ｃ２４）、検証結果を出力する（Ｃ２５）。
　図２２は、第３の実施形態の動作シーケンスを説明する図である。登録要求装置１１０は、登録ベクトルX=[x1, …,xn]を抽出し、要素｛xi｝(i=1,…,n)の演算結果(2xi-1)の暗号データEnc(pk, (2xi-1)) (i=1,…,n)を記憶装置１３０に送信し（Ｓ３１）、記憶装置１３０は、登録識別子Idに関連して記憶する。
　照合要求装置１２０から照合要求を受けると（Ｓ３２）、照合装置１４０は、記憶装置１３０からIdに関連して記憶された暗号データEnc(pk, (2xi-1)) (i=1,…,n)を受信する（Ｓ３３）。
　照合装置１４０は乱数aｉ，bｉ，rｉを生成する（Ｓ３４）。照合装置１４０は乱数ｂi(i=1,…,n)の暗号データEnc(pk, ｂi) (i=1,…,n)を照合要求装置１２０に送信する（Ｓ３５）。
　照合要求装置１２０は、照合ベクトルY=[y1, ….,yn]を抽出し、照合装置１４０から受け取ったEnc(pk, ｂi) (i=1,…,n)から、Enc(bi(2yi-1)) (i=1,…,n)を求め照合装置１４０に送信する（Ｓ３６）。
　照合装置１４０は、照合要求装置１２０からのEnc(pk, bi(2yi-1)) (i=1,…,n)と、記憶装置１３０からの暗号データEnc(pk, (2xi-1))と乱数ai,bi,riから暗号データ
Enc(pk, ai(2xi-1)) (i=1,…,n),
Enc(pk, biri(2yi-1)) (i=1,…,n)を生成する。照合装置１４０は、さらに、ハッシュ値H(aibiri)を生成する。照合装置１４０は、これらを検証装置１５０に送信する（Ｓ３７）。
　検証装置１５０は、秘密鍵skを用いて暗号データをEnc(pk, ai(2xi-1))、Enc(pk, biri(2yi-1))の復号結果ｚa、ｚｂから、その積のハッシュ値H（ｚaｚｂ）を計算する（Ｓ３８Ａ）。
　検証装置１５０は、計算したハッシュ値H（zazb）が照合装置１４０から受信したハッシュ値H(aｉbｉrｉ)と不一致のｉの個数がｔ以下であるか否かを判定する（Ｓ３８Ｂ）。不一致の個数がｔ以下であれば、受理、それ以外の場合、不受理とする。検証装置１５０は検出結果（受理・不受理）を出力する（Ｓ３９）。
＜変形例１＞
　図２３は、第３の実施形態の変形例１の動作シーケンスを説明する図である。登録要求装置１１０は、登録ベクトルX=[x1, ….,xn]を抽出し、要素｛xi｝(i=1,…,n)の暗号データEnc(pk, xi) (i=1,…,n)を記憶装置１３０に送信し（Ｓ３１）、記憶装置１３０は、登録識別子Idに関連して記憶する。
　照合要求装置１２０から照合要求を受けると（Ｓ３２）、照合装置１４０は、記憶装置１３０からIdに関連して記憶された暗号データEnc(pk, xi) (i=1,…,n)を受信する（Ｓ３３）。
　照合装置１４０は乱数aｉ，bｉ，rｉを生成する（Ｓ３４）。照合装置１４０は、暗号データEnc(pk, xi) (i=1,…,n)を暗号化したままEnc(pk, 2xi-１) (i=1,…,n)を求める。照合装置１４０は乱数ｂi(i=1,…,n)の暗号データEnc(pk, ｂi) (i=1,…,n)を照合要求装置１２０に送信する（Ｓ３５）。
　照合要求装置１２０は、照合ベクトルY=[y1,…,yn]を抽出し、照合装置１４０から受け取ったEnc(pk, ｂi) (i=1,…,n)から、Enc(pk, biyi) (i=1,…,n)を求め、照合装置１４０に送信する（Ｓ３６）。
　照合装置１４０は、照合要求装置１２０からのEnc(pk, biyi) (i=1,…,n)を受け、暗号化したままEnc(pk, bi(2yi-1)) (i=1,…,n)を生成する。照合装置１４０は、Enc(pk, (2xi-1))と乱数aiiから、Enc(pk, ai(2xi-1)) (i=1,…,n)を生成し、Enc(pk,bi(2yi-1))と乱数rｉからEnc(pk, biri(2yi-1)) (i=1,…,n)を生成する。
　照合装置１４０は、ハッシュ値H(aibiri)を生成し、検証装置１５０に送信する（Ｓ３７）。なお、照合要求装置１２０は、照合ベクトルY=[y1,…,yn]を抽出し、照合装置１４０から受け取ったEnc(pk,ｂi) (i=1,…,n)から、Enc(pk, bi(2yi-1)) (i=1,…,n)を生成し照合装置１４０に送信するようにしてもよい。
　検証装置１５０は、秘密鍵skを用いて暗号データをEnc(pk, ai(2xi-1))、Enc(pk, biri(2yi-1))の復号結果ｚa、ｚｂから、その積のハッシュ値H（ｚaｚｂ）を計算する（Ｓ３８Ａ）。
　検証装置１５０は、計算したH（zazb）が照合装置１４０から受信したハッシュ値H(aｉbｉrｉ)と不一致のｉの個数がｔ以下であるか否かを判定する（Ｓ３８Ｂ）。不一致の個数がｔ以下であれば、受理、それ以外の場合、不受理とする。検証装置１５０は検出結果（受理・不受理）を出力する（Ｓ３９）。
＜変形例２＞
　第３の実施形態の変形例１では、照合装置１４０が記憶装置１３０から暗号データEnc(pk, xi) (i=1,…,n)を受け取ると、暗号化したままEnc(pk, 2xi-1) (i=1,…,n)を求めているが、記憶装置１３０が、登録要求装置１１０から登録ベクトルX=[x1, …,xn]を抽出し、要素｛xi｝(i=1,…,n)の暗号データEnc(pk, xi) (i=1,…,n)を受け取ると、暗号化したままEnc(pk, 2xi－１) (i=1,…,n)を求め、登録データ記憶部１３３に記憶する構成としてもよい。
＜変形例３＞
　第３実施形態の変形例３において、登録ベクトルX＝[xi,…,xn]の各データxi(i=1,…,n)がxi∈｛０，１｝であるか否かのチェックを行う機能を実装するようにしてもよい。
　図２４は、第３の実施形態の変形例を説明する図である。図２４を参照すると、記憶装置１３０は、図５の記憶装置１３０の構成に加えて、さらに、乱数生成部１３６、暗号データ生成部１３７、ハッシュ値生成部１３８を備えている。
　検証装置１５０は、復号部１５６１と、ハッシュ値生成部１５６２と、一致判定部１５６３を備えた登録データチェック部１５６を更に備えている。
　図２５は、変形例の登録フェーズの動作シーケンスを説明する図である。登録要求装置１１０は、二値ベクトル
Figure JPOXMLDOC01-appb-I000131
から、（2x1-1),…, (2xn-1)を計算し、公開鍵pkで暗号化したデータ（第１のテンプレート）
Enc(pk, (2x1-1)),…,Enc(pk, (2xn-1))  　・・・(１１３)
を記憶装置１３０に送信する（Ｓ３１）。
　記憶装置１３０の乱数生成部１３６は、乱数c1,…,cnを生成する（Ｓ３１Ａ）。
　記憶装置１３０の暗号データ生成部１３７は、スカラー演算Scl（ci, Enc(pk, (2xi-1))）から、
Enc(pk, c1(2x1-1)),…,Enc(pk, cn(2xn-1))　　　・・・(１１４)
を生成する。
　記憶装置１３０のハッシュ値生成部１３８は、ハッシュ関数Hを用いてハッシュ値H（c1^2）,…,H（cn^2）を計算する。記憶装置１３０は、通信部１３５を介して、Enc(pk, c1(2x1-1)),…,Enc(pk, cn(2xn-1))とハッシュ値H（c1^2）,…,H（cn^2）を検証装置１５０に送信する（Ｓ３１Ｂ）。
　検証装置１５０の復号部１５６１は、秘密鍵ｓｋを用いて、Enc(pk, cn(2xi-1)) (i=1,…,n)を復号する（Ｓ３１Ｃ）。
　zi=Dec(sk,Enc(pk, ci(2xi-1)))＝ci(2xi-1) (i=1,…,n)　・・・(１１５)
　そして、検証装置１５０のハッシュ値生成部１５６２はハッシュ値H（zi^2）(i=1,…,n)を求める。
　検証装置１５０の一致判定部１５６３は、i=1,…,nのすべてについて
H（zi^2）＝H（ci^2）　　　　　　・・・（１１６）
であれば、受理し、H（zi^2）＝H（ci^2）を満たさないiが一つでもあれば不受理とする（Ｓ３１Ｄ）。
　検証装置１５０は検証結果を記憶装置１３０に通知する（Ｓ３１Ｅ）。
　記憶装置１３０は、検証装置１５０での検証結果が「受理」の場合（Ｓ３１ＦのＹｅｓ分岐）、Enc(pk, (2x1-1)),…,Enc(pk, (2xn-1))を登録識別子idと関連付けて登録データ記憶部１３３に記憶する（Ｓ３１Ｇ）。
　なお、復号部１５６１、ハッシュ値生成部１５６２は、クエリ検証部１５３の復号部１５３１、ハッシュ値生成部１５３２を共通に用いてもよい。
　zi=ci(2xi-1) (i=1,…,n)は、
ｘiが０のとき、-ci、
ｘiが1のとき、ci
　　　　　　　　　　　　　　　・・・（１１７）
である。
　したがって、
Figure JPOXMLDOC01-appb-I000132
の場合、ハッシュ値H（ｚi^2）＝H（ｃi^2）が成り立つ。H（ｚ１^2）＝H（ｃ１^2）,…,H（ｚｎ^2）＝H（ｃｎ^2）が成立する場合は受理される。この場合、記憶装置１３０は、Enc(pk, (2x1-1)),…,Enc(pk, (2xn-1))を登録識別子idと関連付けて登録データ記憶部に記憶する。
　一方、xiが０又は１でない場合、zi=ci(2xi-1) は＋ci、-ci以外の値となり、
Figure JPOXMLDOC01-appb-I000133
となり、不受理とする。　
　これ以降の照合フェーズは、図１６を参照して説明したものと同様である。
　なお、登録要求装置１１０は、二値ベクトル
Figure JPOXMLDOC01-appb-I000134
からEnc(pk, x1),…,Enc(pk, xn)を生成して、記憶装置１３０に送信し、記憶装置１３０において、 Enc(pk, (2x1-1)),…,Enc(pk, (2xn-1))を計算し、さらに、 乱数c1,…,cnを生成し、スカラー演算Scl（ci, Enc(pk, (2xi-1))）から、Enc(pk, c1(2x1-1)),…,Enc(pk, cn(2xn-1))を生成するようにしてもよい。この場合、第１の実施形態にも登録ベクトルX＝[x１,…,xn]の各データxi(i=1,…,n)が
Figure JPOXMLDOC01-appb-I000135
であるか否かのチェックを行うことができる。
　第３の実施形態では、検証装置が暗号文を復号して得たメッセージ同士の積を求める。このため，復号値同士の積が定義されていない暗号は使用できない。例えば、復号アルゴリズムがメッセージではなく、Dec（sk,Enc（pk,m））=g^mを出力するmodified Elgamal暗号や、復号アルゴリズムがメッセージではなく、Dec（sk, Enc（pk,m））=m(*)Gを出力するECElgamal暗号は使用できない。modified Elgamal暗号及びECElgamal暗号のメッセージ空間Fq、Paillier暗号のメッセージ空間はZN={0,1,…,N-1}上では積が定義されているため、復号アルゴリズムがメッセージを出力する場合、復号者は復号値が0,1,2,3,…,tのいずれかと一致するか否かを確認すればよい。ただし，modified Elgamal暗号及びECElgamal暗号は、一般的にメッセージを出力する復号アルゴリズムの構成は難しい。
　前記第１、第２の実施形態によれば、生体情報として二値ベクトルを扱うことができ、なりすまし攻撃に耐性を有し、さらに、Somewhat準同型暗号やペアリング演算が不要とされる。上記した特許文献２、３では、なりすまし攻撃に対する耐性の点で問題があり、Somewhat準同型暗号やペアリング演算が必要とされる。また、特許文献５では、なりすまし攻撃に対する耐性の点で問題があり、Somewhat準同型暗号やペアリング演算が必要とされる。
　また、前記第３の実施形態によれば、生体情報として二値ベクトルを扱うことができ、なりすまし攻撃に耐性を有し、さらに、Somewhat準同型暗号やペアリング演算が不要とされるほか、１：Ｎ認証に対応可能である。
＜第４の実施形態＞
　本発明の第４の実施形態について説明する。本発明の第４の実施形態の基本構成は、前記第３の実施形態の説明で参照した図２０と同一とされる。前記第３の実施形態では、加法準同型を有する暗号方式を用いているが、第４の実施形態では、例えばElGamal暗号やRSA暗号等、乗法準同型の暗号方式を用いる。
　ElGamal暗号の鍵生成は、位数q（ビット数はセキュリティパラメータｋ）が素数である群G（乗法群Z＊ ｑ）で生成元gを選び、xを{0,1,…,q-1}から選び、h＝g＾xとする。（h, g, q）を公開鍵とし、xを秘密鍵とする。暗号化は、平文mに対して乱数rを{0,1,…,q-1}からランダムに選び、
c1=g^r mod q, 
c2=m・h^r mod q
を計算し、(c1, c2)を暗号文とする。
　復号化は、受け取った暗号文に対して、
m = c2(c1^x)^(-1)
とする。ここで、平文m1、m2∈Gでの暗号文は、
Enc(pk, m1)=（g^r1, m1・h^r1）、
Enc(pk, m2)=（g^r2, m2・h^r2）
となり、これら二つの暗号文を掛け合わると、 
（g^（r1＋r2）, (m1×m2)h^（r1＋r2））＝Enc(pk, m1×m2)
となり、
　Enc(pk, (m1×m2))=Enc(pk, m1)×Enc(pk, m2)
が成り立つ。
　RSA暗号では、適当な正整数eを選択し、大きな2つの素数{p ,q}を生成し、その積n (=pq)をeとともに公開鍵{e, n}とし、d= e^（-1） ( mod(p-1)(q-1) )を秘密鍵とする。平文mの暗号化は、
c=m^e mod n 
で与えられ、復号化は、
m=c^d mod n
で与えられる。二つの平文m1、m2∈Z＊ ｎの二つの暗号文
Enc(pk, m1)=m1^e mod n、
Enc(pk, m2)=m2^e mod n 
を掛け合わると、
（m1×m2）^e mod n=Enc(pk, （m1×m2）)となり、
Enc(pk, (m1×m2))=Enc(pk, m1)×Enc(pk, m2)が成り立つ。
　図２０を参照すると、第４の実施形態において、照合要求装置１２０から照合要求を受けた照合装置１４０の登録データ取得部１４１は、記憶装置１３０から登録識別子idに関連して記憶された暗号データ｛Enc(pk, (2xi-1))｝ (i=1,…,n)を受信する。
　照合装置１４０の乱数生成部１４２は、乱数aｉ，bｉを生成する。
　照合装置１４０の暗号データ生成部１４３は乱数ｂi(i=1,…,n)を公開鍵pkで暗号化した暗号データEnc(pk, ｂi) (i=1,…,n)を照合要求装置１２０に送信する（Ｓ４５）。照合要求装置１２０に送信する暗号データは登録データ（テンプレート）に依存しない。このため、１：Ｎ認証を行うことができる。
　照合要求装置１２０のレスポンス生成部１２３は、照合ベクトルY=［y1,…,yn］の各要素｛yi｝の演算結果(2yi-1)を公開鍵pkで暗号化しEnc(pk, (2yi-1) ) (i=1,…,n)を生成する。照合要求装置１２０のレスポンス生成部１２３は、照合装置１４０から受信したEnc(pk, ｂi)と、Enc(pk, (2yi-1)) (i=1,…,n)を暗号化したまま乗算して（乗法準同暗号）、Enc(pk, ｂi(2yi-1) )を生成し、照合装置１４０に送信する。
　照合装置１４０は、乱数ai(i=1,…,n)を公開鍵pkで暗号化した暗号データEnc(pk, ai) (i=1,…,n)を求め、Enc(pk, (2xi-1))と、照合要求装置１２０からのEnc(pk, bi(2yi-1) )より乗法準同型を用いて、
Enc(pk, aibi(2xi-1)(2yi-1)) (i=1,…,n)　　　　　　　・・・(１１８)
を生成する。
　ハッシュ値生成部１４８は、乱数aｉ，bｉ(i=1,…,n)の積aｉbｉ（mod q）のハッシュ値
H(aibi)　　　　・・・(１１９)
を計算する。
　クエリ生成部１４５は、暗号データEnc(pk, aibi (2xi-1) (2yi-1))(i=1,…,n)とハッシュ値H(aｉbｉ)(i=1,…,n)を含むクエリを生成し、通信部１４６を介して検証装置１５０に送信する（Ｓ４７）。Hは一方向性ハッシュ関数である。なお、暗号データEnc(pk, aibi (2xi-1) (2yi-1))(i=1,…,n)を送信する順番として、iに関してシャフルして送信するようにしてもよい。
　検証装置１５０のクエリ検証部１５３の復号部１５３１は、秘密鍵skを用いて暗号データEnc(pk, aaibi (2xi-1) (2yi-1)) (i=1,…,n)を復号する。
ｚi=Dec(sk, Enc(pk, aibi (2xi-1) (2yi-1)) (i=1,…,n)　　　　・・・(１２０)
を計算する。
　さらに検証装置１５０のクエリ検証部１５３のハッシュ値生成部１５３２は、ｚiのハッシュ値H（ｚi）(i=1,…,n)を計算する。
　検証装置１５０のクエリ検証部１５３の不一致判定部１５３３は、計算したH（ｚi）(i=1,…,n)が照合装置１４０から受信したハッシュ値H(aｉbｉ)と不一致のｉの個数がｔ以下であるか否かを判定する。
　検証結果生成部１５４は、不一致の個数がｔ以下であれば、受理、それ以外の場合、不受理とする。
　ｚｉ=aｉbｉ(2xi-1)(2yi-1)　　　　・・・(１２１)
yiが０又は１であり、yi=xiの場合、ｚｉ=aｉbｉ
yiが０又は１であり、yi≠xiの場合、ｚｉ=－aｉbｉ
yiが０、１以外の場合、ｚｉはaｉbｉ、-aｉbｉ以外の値である。
したがって、
H（zｉ）＝H（aｉbｉ）　　・・・(１２２)
が成り立つときは、yi=xiであり、ｙi=０又は１の値である。これ以外（ハッシュ値H（ｚ）≠H（aｉbｉ））の場合、yiは０又は１であるがｘiと異なるか、yiが０、１以外の値の場合である。このような、xiと不一致の個数がｔ以下であれば、受理する。
　図２６は、第４の実施形態の動作シーケンスを説明する図である。登録要求装置１１０は、登録ベクトルX=[x1, ….,xn]を抽出し、要素｛xi｝(i=1,…,n)の演算結果(2xi-1)の暗号データEnc(pk, (2xi-1)) (i=1,…,n)を記憶装置１３０に送信し（Ｓ４１）、記憶装置１３０は、登録識別子Idに関連して記憶する。
　照合要求装置１２０から照合要求を受けると（Ｓ４２）、照合装置１４０は、記憶装置１３０からIdに関連して記憶された暗号データEnc(pk, (2xi-1)) (i=1,…,n)を受信する（Ｓ４３）。
　照合装置１４０は乱数aｉ，bｉを生成する（Ｓ４４）。照合装置１４０は乱数ｂi(i=1,…,n)の暗号データEnc(pk, ｂi) (i=1,…,n)を照合要求装置１２０に送信する（Ｓ４５）。
　照合要求装置１２０は、照合用の二値ベクトルY=[y1, ….,yn]を抽出し、各要素｛yi｝の演算結果（2yi-1)の暗号データEnc(pk, (2yi-1)) (i=1,…,n)を求め、照合装置１４０から受け取ったEnc(pk, ｂi) (i=1,…,n)と、Enc(pk, (2yi-1)) (i=1,…,n)から、Enc(pk, bi(2yi-1)) (i=1,…,n)を求め照合装置１４０に送信する（Ｓ４６）。
　照合装置１４０は、照合要求装置１２０からのEnc(pk, bi(2yi-1)) (i=1,…,n)と、記憶装置１３０からのEnc(pk, (2xi-1))と乱数ai,bi,から、Enc(pk, aibi (2xi-1) (2yi-1)) (i=1,…,n)を生成し、ハッシュ値H(aibii)を生成し、検証装置１５０に送信する（Ｓ４７）。
　検証装置１５０は、秘密鍵skを用いて暗号データをEnc(pk, aibir (2xi-1) (2yi-1))の復号結果ｚiから、ハッシュ値H（ｚi）を計算する（Ｓ４８Ａ）。
　検証装置１５０は、計算したH（ｚi）が照合装置１４０から受信したハッシュ値H(aｉbｉ)と不一致のｉの個数がｔ以下であるか否かを判定する（Ｓ４８Ｂ）。不一致の個数がｔ以下であれば、受理、それ以外の場合、不受理とする。検証装置１５０は検出結果（受理・不受理）を出力する（Ｓ４９）。
＜変形例１＞
　前記第３の実施形態の変形例３と同様、第４の実施形態においても、登録ベクトルX＝[xi,…,xn]の各要素｛xi｝(i=1,…,n)がxi∈｛０，１｝であるか否かのチェックを行う機能を実装するようにしてもよい。第４の実施形態の変形例の構成は、図２４の記憶装置１３０と検証装置１５０の構成とされる。第４の実施形態の変形例１では、例えばＲＳＡ暗号、ElGamal暗号等、乗法準同型号方式を用いてもよい。
　図２７は、変形例の登録フェーズの動作シーケンスを説明する図である。なお、図２７は、図２５とシーケンスは同じであるが、乗法準同型号方式を用いている点で暗号データの演算処理が相違している。登録要求装置１１０は、登録用の二値ベクトル
Figure JPOXMLDOC01-appb-I000136
から、（2x1-1),…, (2xn-1)を計算し、公開鍵pkで暗号化したデータ（第１のテンプレート）
Enc(pk, (2x1-1)),…,Enc(pk, (2xn-1))  　・・・(１２３)
を記憶装置１３０に送信する（Ｓ４１）。
　記憶装置１３０の乱数生成部１３６は、乱数c1,…,cnを生成する（Ｓ４１Ａ）。
　記憶装置１３０の暗号データ生成部１３７は、乱数c1,…,cnを公開鍵pkで暗号化した円号データEnc(pk,ci) (i=1,…,n)と、Enc(pk, (2xi-1))(i=1,…,n)から、
Enc(pk, c1(2x1-1)),…,Enc(pk, cn(2xn-1))　　　・・・(１２４)
を生成する。
　記憶装置１３０のハッシュ値生成部１３８は、ハッシュ関数Hを用いてハッシュ値H（c1^2）,…,H（cn^2）を計算する。記憶装置１３０は、通信部１３５を介して、Enc(pk, c1(2x1-1)),…,Enc(pk, cn(2xn-1))とハッシュ値H（c1^2）,…,H（cn^2）を検証装置１５０に送信する（Ｓ４１Ｂ）。
　検証装置１５０の復号部１５６１は、秘密鍵skを用いて、Enc(pk, cn(2xi-1)) (i=1,…,n)を復号する（Ｓ４１Ｃ）。
　zi=Dec(sk,Enc(pk, ci(2xi-1)))＝ci(2xi-1) (i=1,…,n)　　・・・(１２５)
　そして、検証装置１５０のハッシュ値生成部１５６２はハッシュ値H（zi^2）(i=1,…,n)を求める。
　検証装置１５０の一致判定部１５６３は、i=1,…,nのすべてについて
H（zi^2）＝H（ci^2）　　　　　　・・・（１２６）
であれば、受理する。
H（zi^2）＝H（ci^2）を満たさないiが一つでもあれば、検証装置１５０の一致判定部１５６３は不受理とする（Ｓ４１Ｄ）。
　検証装置１５０は検証結果を記憶装置１３０に通知する（Ｓ４１Ｅ）。
　記憶装置１３０は、検証装置１５０での検証結果が「受理」の場合（Ｓ４１ＦのＹｅｓ分岐）、Enc(pk, (2x1-1)),…,Enc(pk, (2xn-1))を登録識別子idと関連付けて登録データ記憶部１３３に記憶する（Ｓ４１Ｇ）。
　なお、復号部１５６１、ハッシュ値生成部１５６２は、クエリ検証部１５３の復号部１５３１、ハッシュ値生成部１５３２を共通に用いてもよい。
　zi=ci(2xi-1) (i=1,…,n)は、
ｘiが０のとき、-ci、
ｘiが1のとき、ci
　　　　・・・（１２７）
である。
　したがって、
Figure JPOXMLDOC01-appb-I000137
の場合、ハッシュ値
H（ｚi^2）＝H（ｃi^2）　　　　・・・（１２８）
が成り立つ。
　すなわち、H（ｚ１^2）＝H（ｃ１^2）,…,H（ｚｎ^2）＝H（ｃｎ^2）が成立する場合は、受理される。この場合、記憶装置１３０は、Enc(pk, (2x1-1)),…,Enc(pk, (2xn-1))を登録識別子idと関連付けて登録データ記憶部に記憶する。一方、xiが０又は１でない場合、zi=ci(2xi-1) は＋ci、-ci以外の値となり、
Figure JPOXMLDOC01-appb-I000138
となり、不受理とする。
＜変形例２＞
　第４の実施形態において、例えば検証装置１５０が、図２６のステップＳ４５及びＳ４６における通信内容を手に入れられる場合、秘密鍵を用いて照合用の二値ベクトルの各要素｛yi｝（i=1,…,n）の値を知ることができてしまう。そこで、第４の実施形態の変形例２では、例えば、非特許文献１に記載の方法と同様の方法を用いて、これを防ぐ。すなわち、照合装置１４０と照合要求装置１２０の間の通信を、検証装置１５０の持つ鍵とは異なる鍵に対応する暗号文とする。
　例えば、ElGamal暗号の秘密鍵をｘ、公開鍵を（h, g, q）、平文mに対する暗号文を(c1, c2)とする。{0,1,…,q-1}からランダムに選んだ乱数ｔに対して計算される(c1^t, c2)は、秘密鍵x/t、公開鍵（h, g^t, q）に対応する平文ｍの暗号文である。ElGamal暗号を用いる場合、照合装置１４０は、照合要求装置１２０から照合要求を受け取ると（Ｓ４２）、そのたびに異なる乱数ｔを生成し、ステップＳ４５では、公開鍵（h, g^t, q）に対応する暗号文及び公開鍵（h, g^t, q）を送付する。
　照合要求装置１２０は、照合装置１４０から受け取った公開鍵（ｈ，ｇ＾ｔ，ｑ）に対応する暗号文を照合装置１４０に送付する（Ｓ４６）。
　照合装置１４０は、ｔを用いることにより、ステップＳ４６で照合要求装置１２０から受け取った暗号文を元の公開鍵（ｈ，ｇ，ｑ）に対応する暗号文に戻すことができる。
　なお、第４の実施形態において、暗号化方式は、RSA暗号、ElGamal暗号等の乗法準同型暗号に制限されるものでなく、加法と乗法に関して準同型性を有する公開鍵暗号方式（Somewhat準同型（somewhat homomorphic encryption scheme）、Gentryによるイデアル格子を利用した完全準同型暗号(例えばC.Gentryによる"Fully Homomorphic Encryption Using Ideal Lattices," In Symposium on Theroy of Computing -STOC 2009,  ACM, 169-178, 2009等が参照される）を用いてもよい。
＜第５の実施形態＞
　図２８に示すように、照合装置１４０は、コンピュータシステムに実装してもよい。図２８を参照すると、サーバコンピュータ等のコンピュータシステム１０は、プロセッサ（ＣＰＵ（Central Processing Unit）、データ処理装置）１１、半導体メモリ（例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、又は、ＥＥＰＲＯＭ（Electrically Erasable and Programmable ROＭ）等）、ＨＤＤ（Hard Disk Drive）、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）等の少なくともいずれかを含む記憶装置１２と、表示装置１３と、通信インタフェース１４を備えている。通信インタフェース１４は、登録要求装置１１０、照合要求装置１２０、記憶装置１３０、検証装置１５０と通信接続する。記憶装置１２に、上記した各実施形態で説明した照合装置１４０の機能を実現するプログラムを記憶しておき、プロセッサ１１が、該プログラムを読み出して実行することで、上記した各実施形態の照合装置１４０を実現するようにしてもよい。あるいは、記憶装置１２と、例えば図５等の記憶装置１３０の登録データ記憶部１３３を同一の記憶装置とし、プロセッサ１１で、図５等の記憶装置１３０の識別子管理部１３１、登録データ生成部１３２、登録データ検索部１３４の処理をさらに実行するようにしてもよい。コンピュータシステム１０はクラウドサービスとしてクライアントに提供するクラウドサーバとして実装するようにしてもよい。
　前記各実施形態の登録要求装置１１０も、図２８に示すように、コンピュータシステム１０に実装してもよい。また前記各実施形態の照合要求装置１２０も、コンピュータシステム１０として実装してもよい。登録要求装置１１０と照合要求装置１２０は別々のコンピュータシステムであってもよいし、登録と照合を同一箇所で行う構成としてもよい。記憶装置１２に、図５等の登録要求装置１１０、照合要求装置１２０の機能を実現するプログラムを記憶しておき、プロセッサ１１が、該プログラムを読み出して実行することで、上記した各実施形態の登録要求装置１１０、照合要求装置１２０を実現するようにしてもよい。登録要求装置１１０、照合要求装置１２０のプロセッサ１１は、インタフェース１４を介して不図示のセンサから指紋等の生体情報を取得し、取得した情報から二値のベクトルX、Yを抽出するようにしてもよい。なお、前記各実施形態の検証装置１５０も、図２８と同様、コンピュータ上で実行されるプログラムで実現してもよいことは勿論である。
　なお、上記の特許文献１－５、非特許文献１の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ乃至選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
　上記した実施形態は、以下のように付記される（ただし、以下に制限されない）。
（付記１）
　乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する照合装置と、
　前記照合装置からの前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算で得た暗号データを前記照合装置に送信する前記照合要求装置と、
　を備え、
　前記照合装置は、前記暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、クエリとして検証装置に送信し、
　前記照合装置から送信された前記クエリの前記暗号データを復号鍵で復号した値、又は、前記復号した値と前記クエリの前記補助データに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する前記検証装置を備えた、ことを特徴とする照合システム。
（付記２）
　登録用の前記第１の二値ベクトルの各要素と前記各要素に対する所定の演算結果の少なくとも一方を前記暗号鍵で暗号化した暗号データを送信する登録要求装置と、
　前記登録要求装置から送信された前記第１の二値ベクトルの各要素と前記各要素に対する前記所定の演算結果の少なくとも一方の暗号データを受け、登録データとして記憶する記憶装置と、
　をさらに備えたことを特徴とする付記１記載の照合システム。
（付記３）
　照合要求装置からの照合要求に対して、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルの各要素に関する第１の演算値を前記暗号鍵で暗号化した第１の暗号データの各々に、前記乱数を演算して得た第２の暗号データを求め、照合要求装置に送信する照合装置と、
　前記照合装置からの前記第２の暗号データの各々を暗号化したまま、照合用の第２の二値ベクトルの各要素をスカラー演算した値の総和である第３の暗号データを求め、前記照合装置に送信する前記照合要求装置と、
　を備え、
　前記照合装置は、
　前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除した第４の暗号データと、前記第１の二値ベクトルの各要素に関する第２の演算値を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、クエリとして検証装置に送信し、
　前記検証装置は、
　前記照合装置から送信された前記クエリの前記第６の暗号データを前記復号鍵で復号して得た前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、受理、不受理を出力する、ことを特徴とする照合システム。
（付記４）
　前記第１の二値ベクトルに関する前記第１の演算値を前記暗号鍵で暗号化した前記第１の暗号データと、前記第１の二値ベクトルの各要素に関する前記第２の演算値を前記暗号鍵で暗号化した前記第５の暗号データと、を生成し、前記第１の暗号データ及び前記第５の暗号データを記憶装置に送信する登録要求装置と、
　前記登録要求装置から前記第１の暗号データと前記第５の暗号データを受け、登録データとして記憶し、さらに、前記第１の暗号データと前記第５の暗号データを前記照合装置に供給する前記記憶装置と、
　を備えたことを特徴とする付記３に記載の照合システム。
（付記５）
　前記第１の二値ベクトルの各要素を前記暗号鍵で暗号化した暗号データを記憶装置に送信する登録要求装置と、
　前記登録要求装置から前記第１の二値ベクトルの各要素の暗号データを受け、前記第１の二値ベクトルの各要素に関する第１の演算値と第２の演算値を計算して前記第１の暗号データ及び前記第５の暗号データを求め、登録データとして記録し、
　さらに、前記第１の暗号データと前記第５の暗号データを前記照合装置に供給する前記記憶装置を備えた、ことを特徴とする付記３に記載の照合システム。
（付記６）
　前記第１の二値ベクトルの各要素を暗号鍵で暗号化して記憶装置に送信する登録要求装置と、
　前記第１の二値ベクトルの各要素の暗号データを記録する前記記憶装置と、
　を備え、
　前記照合装置は、
　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルの各要素に関する第１、第２の演算値を計算して前記第１及び第５の暗号データとして求める、ことを特徴とする付記３に記載の照合システム。
（付記７）
　照合要求装置から照会要求を受けると、暗号鍵で暗号化されている第１の二値ベクトルに対して予め設定された第１の変換を施してなる第１の変換値を前記暗号鍵で暗号化した第１の暗号データに対して、生成した乱数を演算して得た第２の暗号データを求め、照合要求装置に送信する照合装置と、
　第２の二値ベクトルに予め設定された第２の変換を施してなる第２の変換値を、前記照合装置から送信された前記第２の暗号データに演算することで、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和を第３の暗号データとして前記照合装置に送付する照合要求装置と、
　を備え、
　前記照合装置は、
　前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和である第４の暗号データを求め、前記第４の暗号データに、前記第１の二値ベクトルの各要素の総和を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、クエリとして検証装置に送信し、
　前記検証装置は、
　前記照合装置から送信された前記クエリの前記第６の暗号データを前記復号鍵で復号して得た前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、受理、不受理を出力する、ことを特徴とする照合システム。
（付記８）
　前記登録用のn次元の前記第１の二値ベクトルに前記第１の変換を施してn個の前記第１の変換値を求め、n個の前記第１の変換値を暗号鍵で暗号化した前記第１の暗号データを生成し、前記第１の暗号データと、登録用のn次元の前記第１の二値ベクトルの各要素の暗号データを記憶装置に送付する登録要求装置と、
　前記第１の二値ベクトルの要素の総和を暗号化した前記第５の暗号データを生成し、
　前記第１、第５の暗号データを登録データとして記録し、前記第１、第５の暗号データを前記照合装置に送信する前記記憶装置と、
　を備えた、ことを特徴とする付記７に記載の照合システム。
（付記９）
　登録用のn次元の前記第１の二値ベクトルの各要素の暗号データを記憶装置に送付する登録要求装置と、
　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施したn個の前記第１の変換値の暗号データを求める手段と、
　前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成する手段を備え、前記n個の第１の変換値の前記第１の暗号データと、前記第１の二値ベクトルの要素の総和を暗号化した前記第５の暗号データを記録する前記記憶装置と、
　を備え、
　前記照合装置は、
　前記照合要求装置から照会要求を受けると、前記記憶装置からn個の前記第１の変換値の暗号データを取得し、乱数を生成し、前記乱数を前記n個の第１の変換値の前記第１の暗号データにそれぞれ演算して第２の暗号データを求め、前記照合要求装置に送信し、
　前記照合要求装置は、
　前記第２の二値ベクトルに前記第２の変換を施してなる前記第２の変換値を求め、前記各第２の変換値を前記照合装置から受信した前記第２の暗号データの各々に演算して、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和の第３の暗号データを前記照合装置に送付し、
　前記照合装置は、
　前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除して前記第１の変換値と前記第２の変換値を乗算した値の総和の前記第４の暗号データを求め、前記第４の暗号データと前記記憶装置に登録された前記第５の暗号データを加算した第６の暗号データを求め、前記検証装置に送信する、ことを特徴とする付記７に記載の照合システム。
（付記１０）
　前記照合装置は、
　前記第１の二値ベクトルの要素を暗号化したまま前記要素の総和の暗号データを生成し、前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施したn個の前記第１の変換値の第１の暗号データを求める手段と、
　前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成する手段を備え、
　乱数を生成し、前記乱数を前記n個の第１の変換値の前記第１の暗号データにそれぞれ演算して前記第２の暗号データを求め、前記照合要求装置に送信し、
　前記照合要求装置は、
　前記第２の二値ベクトルに前記第２の変換を施してなるn個の前記第２の変換値を求め、前記各第２の変換値を、前記第２の暗号データの各々に演算し、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和の第３の暗号データを前記照合装置に送付し、
　前記照合装置は、
　前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和の第４の暗号データを求め、前記第４の暗号データと前記記憶装置に登録された前記第５の暗号データを加算した第６の暗号データを求め、前記検証装置に送信する、ことを特徴とする付記７に記載の照合システム。
（付記１１）
　前記照合装置は、
　前記照合要求装置から照会要求を受けると、前記第１の二値ベクトルの各要素の暗号データを取得し、
　前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成する手段と、
　前記第１の変換を構成する第１群の変換係数を生成する手段と、
　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施してなるn個の前記第１の変換値を求める手段と、
　を備え、さらに乱数を生成し、前記乱数を、前記n個の第１の変換値からなる前記第１の暗号データにそれぞれ演算して前記第２の暗号データを求め、前記照合要求装置に送信し、
　さらに、前記第１群の変換係数の生成に用いた、前記第２の変換を構成する第２群の変換係数を前記照合要求装置に送信し、
　前記照合要求装置は、
　前記照合装置からの第２群の変換係数で規定される前記第２の変換を前記第２の二値ベクトルに施してなる前記第２の変換値を求め、前記第２の変換値を前記照合装置から受信した前記第２の暗号データの各々に演算して、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和からなる第３の暗号データを前記照合装置に送付し、
　前記照合装置は、
　前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除し、前記第１の変換値と第２の変換値を乗算した値の総和の暗号データを求め、前記総和の暗号データと前記第５の暗号データを加算した第６の暗号データを求め、前記検証装置に送信する、ことを特徴とする付記７に記載の照合システム。
（付記１２）
　前記登録用のn次元の前記第１の二値ベクトルの各要素の暗号データを生成して記憶装置に送付する登録要求装置と、
　前記登録要求装置からの前記第１の二値ベクトルの各要素の暗号データを記憶する、ことを特徴とする付記９又は１０記載の照合システム。
（付記１３）
　照合要求装置から照合要求を受けると、第１乃至第３の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信する照合装置と、　照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを求め、前記照合装置に送信する照合要求装置と、
　を備え、
　前記照合装置は、
　前記照合要求装置からの前記第２の暗号データに前記第２の乱数を演算した第３の暗号データと、前記照合要求装置は、
第１の二値ベクトルの各要素の第１の演算値の暗号データと前記第３の乱数との演算結果である第４の暗号データと、前記生成した第１乃至第３の乱数に基づくハッシュ値を（検証用の補助データ）を検証装置に送信し、
　前記検証装置は、
　前記照合装置からの前記第３、第４の暗号データを復号鍵で復号し、復号した値を乗算した値のハッシュ値を計算し、前記ハッシュ値と、前記照合装置から送信されたハッシュ値との不一致の個数が予め定められた所定値以下であるか否かを判定し、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする、ことを特徴とする照合システム。
（付記１４）
　照合要求装置から照合要求を受けると、第１、第２の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信する照合装置と、
　照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを求めて、前記照合装置に送信する前記照合要求装置と、
　を備え、
　前記照合装置は、
　前記照合要求装置からの前記第２の暗号データと、前記暗号鍵で暗号化されている登録用の第１の二値ベクトルの各要素の第１の演算値の暗号データと前記第２の乱数の演算結果である第３の暗号データと、前記生成した第１及び第２乱数に基づくハッシュ値（検証用の補助データ）とを検証装置に送信し、
　前記検証装置は、
　前記照合装置からの前記第３の暗号データを復号鍵で復号し、復号した値のハッシュ値を計算し、前記ハッシュ値と、前記照合装置から送信されたハッシュ値との不一致の個数が予め定められた所定値以下であるか否かを判定し、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする、ことを特徴とする照合システム。
（付記１５）
　前記第１の二値ベクトルの各要素の第１の演算値を暗号鍵で暗号化した暗号データを前記記憶装置に送信する登録要求装置と、
　前記登録要求装置から送信された暗号データを記憶する前記記憶装置と、
　を備えた、ことを特徴とする付記１３又は１４に記載の照合システム。
（付記１６）
　前記第１の二値ベクトルの各要素の第１の演算値を暗号鍵で暗号化した暗号データを前記記憶装置に送信する登録要求装置と、
　前記第１の二値ベクトルの各要素の前記第１の演算値の暗号データに対して乱数をそれぞれ生成する手段と、
　前記各乱数のハッシュ値を生成する手段と、
　を備え、
　前記各乱数を演算した暗号データと前記ハッシュ値を前記検証装置に送信する手段を
備えた記憶装置と、
　を備え、
　前記検証装置は、前記記憶装置から送信された各暗号データを前記復号鍵で復号し、復号した各値のハッシュ値を求め、前記各ハッシュ値が、前記記憶装置から送信された対応するハッシュ値と一致するか判定し、不一致のものが一つでもあれば不受理とし、全て一致する場合、受理とし
　前記記憶装置は、前記検証装置での検証結果が受理の場合、前記第１の演算値の暗号データを記憶する、ことを特徴とする付記１３又は１４に記載の照合システム。
（付記１７）
（ａ）照合装置が、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する工程と、
（ｂ）前記照合要求装置が、前記照合装置からの前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、前記照合装置に送信する工程と、
（ｃ）前記照合装置が、暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、前記クエリとして検証装置に送信する工程と、
（ｄ）前記検証装置が、前記照合装置から送信された前記クエリの前記暗号データを復号鍵で復号した値、又は、前記復号した値と前記クエリの前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する工程と、
　を含む、ことを特徴とする照合方法。
（付記１８）
　前記工程（ａ）の前に、
（ｅ）登録要求装置が、登録用の前記第１の二値ベクトルの各要素と前記各要素に対する演算結果の少なくとも一方を前記暗号鍵で暗号化した暗号データを記憶装置に送信する工程と、
（ｆ）前記記憶装置が、前記登録要求装置から送信された前記第１の二値ベクトルの各要素と前記各要素に対する演算結果の少なくとも一方の暗号データを受け、登録データとして記憶する工程と、
　をさらに含む、ことを特徴とする付記１７に記載の照合方法。
（付記１９）
（ａ）照合装置は、照合要求装置からの照合要求に対して、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルの各要素に関する第１の演算値を前記暗号鍵で暗号化した第１の暗号データの各々に、前記乱数を演算して得た第２の暗号データを求め、前記照合要求装置に送信する工程と、
（ｂ）前記照合要求装置は、前記照合装置から送信された前記第２の暗号データの各々に、照合用の第２の二値ベクトルの各値を演算した値の総和である第３の暗号データを求め、前記照合装置に送信する工程と、
（ｃ）前記照合装置は、前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除した第４の暗号データと、前記第１の二値ベクトルの各要素に関する第２の演算値を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、検証装置に送信する工程と、
（ｄ）前記検証装置は、前記第６の暗号データを前記復号鍵で復号し、復号結果の前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、受理、不受理を出力する、ことを特徴とする照合方法。
（付記２０）
　前記工程（ａ）の前に、
（ｅ）登録要求装置が、前記第１の二値ベクトルに関する前記第１の演算値を前記暗号鍵で暗号化した前記第１の暗号データと、前記第１の二値ベクトルの各要素に関する前記第２の演算値を前記暗号鍵で暗号化した前記第５の暗号データと、を生成し、前記第１の暗号データ及び前記第５の暗号データを記憶装置に送信する工程と、
（ｆ）前記記憶装置が、前記登録要求装置から前記第１の暗号データと前記第５の暗号データを受け、登録データとして記憶する工程と、
　を含む、ことを特徴とする付記１９に記載の照合方法。
（付記２１）
　前記工程（ａ）の前に、
（ｅ）登録要求装置が、前記第１の二値ベクトルの各要素を前記暗号鍵で暗号化した暗号データを記憶装置に送信する工程と、
（ｆ）前記記憶装置が、前記登録要求装置から前記第１の二値ベクトルの各要素の暗号データを受け、前記第１の二値ベクトルの各要素に関する第１の演算値及び第２の演算値を計算して前記第１の暗号データ及び前記第５の暗号データを求め、登録データとして記録する工程を含む、ことを特徴とする付記１９に記載の照合方法。
（付記２２）
　前記工程（ａ）の前に、
（ｅ）登録要求装置が、前記第１の二値ベクトルの各要素を暗号鍵で暗号化して記憶装置に送信する工程と、
（ｆ）前記記憶装置が、前記第１の二値ベクトルの各要素の暗号データを記録する工程と、
　を含み、
　前記工程（ａ）において、
　前記照合装置は、前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルの各要素に関する第１、第２の演算値を計算して前記第１及び第５の暗号データとして求める、ことを特徴とする付記１９に記載の照合方法。
（付記２３）
（ａ）照合装置は、前記照合要求装置から照会要求を受けると、暗号化されている登録用の第１の二値ベクトルに予め設定された第１の変換を施してなる第１の変換値を前記暗号鍵で暗号化した第１の暗号データに対して、前記乱数を演算して得た第２の暗号データを求め、前記照合要求装置に送信する工程と、
（ｂ）前記照合要求装置は、照合用の第２の二値ベクトルに第２の変換を施してなる第２の変換値を、前記照合装置から受信した前記第２の暗号データに演算することで、前記第１の変換値に前記乱数を演算した値に第２の変換値を乗じた暗号データを求め、前記暗号データの総和を第３の暗号データとして前記照合装置に送付する工程と、
（ｃ）前記照合装置は、前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和である第４の暗号データを求め、前記第４の暗号データに、前記第１の二値ベクトルの各要素の総和を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、前記検証装置に送信する工程と、
（ｄ）前記検証装置は、前記第６の暗号データを前記復号鍵で復号し、復号結果の前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、受理、不受理を出力する、ことを特徴とする照合方法。
（付記２４）
　前記工程（ａ）の前に、
（ｅ）登録要求装置が、前記登録用のn次元の前記第１の二値ベクトルに前記第１の変換を施しn個の第１の変換値を求め、
　前記n個の第１の変換値を暗号鍵で暗号化した第１の暗号データを記憶装置に送付する工程と、
（ｆ）前記記憶装置が、前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成し、
　前記第１、第５の暗号データを登録データとして記録する工程とを含む、ことを特徴とする付記２３に記載の照合方法。
（付記２５）
　前記工程（ａ）の前に、
（ｅ）登録要求装置が、前記登録用のn次元の前記第１の二値ベクトルの各要素の暗号データを生成して記憶装置に送付する工程と、
（ｆ）前記記憶装置が、前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施したn個の前記第１の変換値の暗号データを求め、
　前記第１の二値ベクトルの要素を暗号化したまま前記要素の総和を暗号化した第５の暗号データを生成し、
　前記n個の第１の変換値の前記第１の暗号データと、前記第１の二値ベクトルの要素の総和を暗号化した前記第５の暗号データを記録する工程と、
　を含み、
　前記工程（ａ）において、
　前記照合装置は、前記照合要求装置から照会要求を受けると、前記記憶装置からn個の前記第１の変換値の暗号データと、を取得し、乱数を生成し、前記乱数を前記n個の第１の変換値の暗号データにそれぞれ演算して第２の暗号データを求め、前記照合要求装置に送信し、
　前記工程（ｂ）において、
　前記照合要求装置は、前記第２の二値ベクトルに前記第２の変換を施してなる前記第２の変換値を求め、前記各第２の変換値を前記照合装置から受信した前記第２の暗号データの各々にスカラー演算して、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和の第３の暗号データを前記照合装置に送付し、
　前記工程（ｃ）において、
　前記照合装置は、前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除して、前記第１の変換値と前記第２の変換値を乗算した値の総和の前記第４の暗号データを求め、前記第４の暗号データと前記記憶装置に登録された前記第５の暗号データを加算した第６の暗号データを求め、前記検証装置に送信する、ことを特徴とする付記２３に記載の照合方法。
（付記２６）
　前記工程（ａ）において、
　前記照合装置が、前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施したn個の前記第１の変換値の暗号データを求める工程と、
　前記照合装置が、前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成し、
　乱数を生成し、前記乱数を前記n個の第１の変換値の前記第１の暗号データにそれぞれ演算して前記第２の暗号データを求め、前記照合要求装置に送信する工程と、
　を含み、
　前記工程（ｂ）において、
　前記照合要求装置は、前記第２の二値ベクトルに前記第２の変換を施してなるn個の前記第２の変換値を求め、前記各第２の変換値を、前記第２の暗号データの各々に演算し、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和の第３の暗号データを前記照合装置に送付し、
　前記工程（ｃ）において、
　前記照合装置は、前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和の第４の暗号データを求め、前記第４の暗号データと前記記憶装置に登録された前記第５の暗号データを加算した値を求め、暗号化したハミング距離として前記検証装置に送信する、ことを特徴とする付記２３に記載の照合方法。
（付記２７）
　前記工程（ａ）において、
　前記照合装置は、前記照合要求装置から照会要求を受けると、前記第１の二値ベクトルの各要素の暗号データを取得する工程と、
　前記第１の変換を構成する第１群の変換係数を生成する工程と、
　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施してなるn個の前記第１の変換値を求める工程と、
　さらに乱数を生成し、前記乱数を、前記n個の第１の変換値からなる前記第１の暗号データにそれぞれ演算して前記第２の暗号データを求め、前記照合要求装置に送信する工程と、
　さらに、前記第１群の変換係数の生成に用いた、前記第２の変換を構成する第２群の変換係数を前記照合要求装置に送信する工程と、
　を含み、
　前記工程（ｂ）において、
　前記照合要求装置は、前記照合装置からの第２群の変換係数で規定される前記第２の変換を前記第２の二値ベクトルに施してなる前記第２の変換値を求め、前記第２の変換値を前記照合装置から受信した前記第２の暗号データの各々に演算して、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和からなる第３の暗号データを前記照合装置に送付し、
　前記工程（ｃ）において、
　前記照合装置は、前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除し、前記第１の変換値と第２の変換値を乗算した値の総和の暗号データを求め、前記総和の暗号データと前記第１の二値ベクトルの各要素に関する第１の演算値を前記暗号鍵で暗号化した前記第５の暗号データを加算した第６の暗号データを前記検証装置に送信する、ことを特徴とする付記２３に記載の照合方法。
（付記２８）
　前記工程（ａ）の前に、
（ｅ）登録要求装置が、前記登録用のn次元の前記第１の二値ベクトルの各要素の暗号データを生成して記憶装置に送付する工程と、
（ｆ）前記記憶装置が、前記登録要求装置からの前記第１の二値ベクトルの各要素の暗号データを記憶する工程と、
　を含む、ことを特徴とする付記２６又は２７に記載の照合方法。
（付記２９）
（ａ）照合装置は、照合要求装置から照合要求を受けると、第１乃至第３の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信する工程と、
（ｂ）前記照合要求装置は、照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを求め、前記照合装置に送信する工程と、
（ｃ）前記照合装置は、前記照合要求装置からの前記第２の暗号データに前記第２の乱数を演算した第３の暗号データと、前記暗号鍵で暗号化されている登録用の第１の二値ベクトルの各要素の演算結果である暗号データと前記第３の乱数との演算結果である第４の暗号データと、前記生成した第１乃至第３の乱数に基づくハッシュ値（検証用の補助データ）を検証装置に送信する工程と、
（ｄ）前記検証装置は、前記照合装置からの前記第３、第４の暗号データを復号鍵で復号し、復号した値を乗算した値のハッシュ値を計算し、前記ハッシュ値が、前記照合装置から受信したハッシュ値と不一致の個数が予め定められた所定値以下であるか否かを判定し、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする、ことを特徴とする照合方法。
（付記３０）
（ａ）照合装置は、照合要求装置から照合要求を受けると、第１、第２の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信する工程と、
（ｂ）前記照合要求装置は、照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを求めて、前記照合装置に送信する工程と、
（ｃ）前記照合装置は、前記照合要求装置からの前記第２の暗号データと、前記暗号鍵で暗号化されている登録用の第１の二値ベクトルの各要素の演算結果である第３の暗号データと、前記第２の乱数の演算結果である第４の暗号データと、前記生成した第１及び第２乱数に基づくハッシュ値（検証用の補助データ）とともに検証装置に送信する工程と、
（ｄ）前記検証装置は、前記照合装置からの前記第４の暗号データを復号鍵で復号し、復号した値のハッシュ値を計算し、前記ハッシュ値が、前記照合装置から受信したハッシュ値と不一致の個数が予め定められた所定値以下であるか否かを判定し、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする、ことを特徴とする照合方法。
（付記３１）
　前記工程（ａ）の前に、
（ｅ）登録要求装置が、前第１の二値ベクトルの各要素の第１の演算値を暗号鍵で暗号化した暗号データを記憶装置に送信する工程と、
（ｆ）前記記憶装置が、前記第１の二値ベクトルの各要素の前記第１の演算値の暗号データに対して乱数をそれぞれ生成する工程と、
（ｇ）前記記憶装置が、前記各乱数のハッシュ値を生成する工程と、
（ｈ）前記記憶装置が、前記各乱数を演算した暗号データと前記ハッシュ値を前記検証装置に送信する工程と、
（ｉ）前記検証装置は、前記記憶装置から送信された各暗号データを前記復号鍵で復号し、復号した各値のハッシュ値を求め、前記各ハッシュ値が、前記記憶装置から送信された対応するハッシュ値と一致するか判定し、不一致のものが一つでもあれば不受理とし、全て一致する場合、受理とする工程と、
（ｊ）前記記憶装置は、前記検証装置での検証結果が受理の場合、前記第１の演算値の暗号データを記憶する工程と、
　を含む、ことを特徴とする付記２９又は３０に記載の照合方法。
（付記３２）
　乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する手段と、
　前記照合要求装置から、前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、受信する手段と、
　暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、前記クエリとして検証装置に送信する手段と、
　復号鍵を用いて前記暗号データを復号した値、又は前記復号した値と前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する前記検証装置から、検証結果を受信する手段と、
　を備えた、ことを特徴とする照合装置。
（付記３３）
　照合要求装置からの照合要求に対して、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルの各要素に関する第１の演算値を前記暗号鍵で暗号化した第１の暗号データの各々に、前記乱数を演算して得た第２の暗号データを求め、照合要求装置に送信する手段と、
　前記照合要求装置から、前記第２の暗号データの各々を暗号化したまま、照合用の第２の二値ベクトルの各要素をスカラー演算した値の総和である第３の暗号データを受信する手段と、
　を備え、
　前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除した第４の暗号データと、前記第１の二値ベクトルの各要素に関する第２の演算値を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、クエリとして検証装置に送信する手段と、
　前記クエリの前記第６の暗号データを前記復号鍵で復号して得た前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、検証結果を出力する検証装置から検証結果を受信する手段と、
　を備えたことを特徴とする照合装置。
（付記３４）
　照合要求装置から照会要求を受けると、暗号鍵で暗号化されている登録用の第１の二値ベクトルに対して予め設定された第１の変換を施してなる第１の変換値を前記暗号鍵で暗号化した第１の暗号データに対して、生成した乱数を演算して得た第２の暗号データを求め前記照合要求装置に送信する手段と、
　前記照合要求装置から、照合用の第２の二値ベクトルに予め設定された第２の変換を施してなる第２の変換値を前記第２の暗号データに演算することで、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データの総和である第３の暗号データを受信する手段と、
　前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和である第４の暗号データを求め、前記第４の暗号データに、前記第１の二値ベクトルの各要素の総和を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、クエリとして検証装置に送信する手段と、
　前記クエリの前記第６の暗号データを前記復号鍵で復号して得た前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、検証結果を出力する検証装置から検証結果を受信する手段と、
　を備えたことを特徴とする照合装置。
（付記３５）
　照合要求装置から照合要求を受けると、第１乃至第３の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信する手段と、
　前記照合要求装置から、照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを受信する手段と、
　前記照合要求装置からの前記第２の暗号データに前記第２の乱数を演算した第３の暗号データと、登録用の第１の二値ベクトルの各要素の第１の演算値の暗号データと前記第３の乱数との演算結果である第４の暗号データと、前記生成した第１乃至第３の乱数に基づくハッシュ値（検証用の補助データ）とを検証装置に送信する手段と、
　前記第３、第４の暗号データを復号鍵で復号し、復号した値を乗算した値のハッシュ値を計算し、前記ハッシュ値と、前記照合装置から送信されたハッシュ値との不一致の個数が予め定められた所定値以下であるか否かを判定し、検証結果として、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする検証装置から検証結果を受信する手段と、
　を備えたことを特徴とする照合装置。
（付記３６）
　照合要求装置から照合要求を受けると、第１、第２の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信する手段と、
　前記照合要求装置から、照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを受信する手段と、
　前記照合要求装置からの前記第２の暗号データと、前記暗号鍵で暗号化されている登録用の第１の二値ベクトルの各要素の第１の演算値の暗号データと前記第２の乱数の演算結果である第３の暗号データと、前記生成した第１及び第２乱数に基づくハッシュ値（検証用の補助データ）とを検証装置に送信する手段と、
　前記第３の暗号データを復号鍵で復号し、復号した値のハッシュ値を計算し、前記ハッシュ値と、前記照合装置から送信されたハッシュ値との不一致の個数が予め定められた所定値以下であるか否かを判定し、検証結果として、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする検証装置から検証結果を受信する手段と、
　を備えたことを特徴とする照合装置。
（付記３７）
　照合装置のコンピュータに、
　乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する処理と、
　前記照合要求装置から、前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、受信する処理と、
　暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、前記クエリとして検証装置に送信する処理と、
　復号鍵を用いて前記暗号データを復号した値、又は前記復号した値と前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する前記検証装置から、検証結果を受信する処理と、
　を実行させるプログラム。
（付記３８）
　照合装置のコンピュータに、
　照合要求装置からの照合要求に対して、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルの各要素に関する第１の演算値を前記暗号鍵で暗号化した第１の暗号データの各々に、前記乱数を演算して得た第２の暗号データを求め、照合要求装置に送信する処理と、
　前記照合要求装置から、前記第２の暗号データの各々を暗号化したまま、照合用の第２の二値ベクトルの各要素をスカラー演算した値の総和である第３の暗号データを受信する処理と、
　前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除した第４の暗号データと、前記第１の二値ベクトルの各要素に関する第２の演算値を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、クエリとして検証装置に送信する処理と、
　前記クエリの前記第６の暗号データを前記復号鍵で復号して得た前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、検証結果を出力する検証装置から検証結果を受信する処理と、
　を実行させるプログラム。
（付記３９）
　照合要求装置から照会要求を受けると、暗号鍵で暗号化されている登録用の第１の二値ベクトルに対して予め設定された第１の変換を施してなる第１の変換値を前記暗号鍵で暗号化した第１の暗号データに対して、生成した乱数を演算して得た第２の暗号データを求め前記照合要求装置に送信する処理と、
　前記照合要求装置から、照合用の第２の二値ベクトルに予め設定された第２の変換を施してなる第２の変換値を前記第２の暗号データに演算することで、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データの総和である第３の暗号データを受信する処理と、
　前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和である第４の暗号データを求め、前記第４の暗号データに、前記第１の二値ベクトルの各要素の総和を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、クエリとして検証装置に送信する処理と、
　前記クエリの前記第６の暗号データを前記復号鍵で復号して得た前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、検証結果を出力する検証装置から検証結果を受信する処理と、
　を実行させるプログラム。
（付記４０）
　照合要求装置から照合要求を受けると、第１乃至第３の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信する処理と、
　前記照合要求装置から、照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを受信する処理と、
　前記照合要求装置からの前記第２の暗号データに前記第２の乱数を演算した第３の暗号データと、登録用の第１の二値ベクトルの各要素の第１の演算値の暗号データと前記第３の乱数との演算結果である第４の暗号データと、前記生成した第１乃至第３の乱数に基づくハッシュ値とを検証装置に送信する処理と、
　前記第３、第４の暗号データを復号鍵で復号し、復号した値を乗算した値のハッシュ値を計算し、前記ハッシュ値と、前記照合装置から送信されたハッシュ値との不一致の個数が予め定められた所定値以下であるか否かを判定し、検証結果として、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする検証装置から検証結果を受信する処理と、
　を実行させるプログラム。
（付記４１）
　照合要求装置から照合要求を受けると、第１、第２の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信する処理と、
　前記照合要求装置から、照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを受信する処理と、
　前記照合要求装置からの前記第２の暗号データと、前記暗号鍵で暗号化されている登録用の第１の二値ベクトルの各要素の第１の演算値の暗号データと前記第２の乱数の演算結果である第３の暗号データと、前記生成した第１及び第２乱数に基づくハッシュ値とを検証装置に送信する処理と、
　前記第３の暗号データを復号鍵で復号し、復号した値のハッシュ値を計算し、前記ハッシュ値と、前記照合装置から送信されたハッシュ値との不一致の個数が予め定められた所定値以下であるか否かを判定し、検証結果として、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする検証装置から検証結果を受信する処理と、
　を実行させるプログラム。
１００　照合システム
１０、２０　コンピュータシステム（コンピュータ装置）
１１、２１　プロセッサ
１２、２２　記憶装置
１３、２３　表示装置
１４、２４　インタフェース
２５　センサ
１１０　登録要求装置
１１１　登録情報抽出部
１１２　テンプレート生成部
１１３　通信部
１１４　変換値生成部
１２０　照合要求装置
１２１　照合要求生成部
１２２　照合情報抽出部
１２３　レスポンス生成部
１２４　通信部
１３０　記憶装置
１３１　識別子管理部
１３２　登録データ生成部
１３３　登録データ記憶部
１３４　登録データ検索部
１３５　通信部
１３６　乱数生成部
１３７　暗号データ生成部
１３８　ハッシュ値生成部
１４０　照合装置
１４１　登録データ取得部
１４２　乱数生成部
１４３　暗号データ生成部
１４４　暗号化距離計算部
１４５　クエリ生成部
１４６　通信部
１４７　変換係数生成部
１４８　ハッシュ値生成部
１５０　検証装置
１５１　鍵生成部
１５２　復号鍵記憶部
１５３　クエリ検証部
１５４　検証結果生成部
１５５　通信部
１５６　登録データチェック部
１５３１　復号部
１５３２　ハッシュ値生成部
１５３３　不一致判定部
１５６１　復号部
１５６２　ハッシュ値生成部
１５６３　一致判定部

Claims (33)

  1. 　乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する照合装置と、
    　前記照合装置からの前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算で得た暗号データを前記照合装置に送信する前記照合要求装置と、
    　を備え、
    　前記照合装置は、前記暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、クエリとして検証装置に送信し、
    　前記照合装置から送信された前記クエリの前記暗号データを復号鍵で復号した値、又は、前記復号した値と前記クエリの前記補助データに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるかを否か判定する前記検証装置を備えた、ことを特徴とする照合システム。
  2. 　登録用の前記第１の二値ベクトルの各要素と前記各要素に対する所定の演算結果の少なくとも一方を前記暗号鍵で暗号化した暗号データを送信する登録要求装置と、
    　前記登録要求装置から送信された前記第１の二値ベクトルの各要素と前記各要素に対する前記所定の演算結果の少なくとも一方の暗号データを受け、登録データとして記憶する記憶装置と、
    　をさらに備えたことを特徴とする請求項１記載の照合システム。
  3. 　前記照合装置は、
    　前記照合要求装置からの照合要求に対して、前記第１の二値ベクトルの各要素に関する第１の演算値を前記暗号鍵で暗号化した第１の暗号データの各々に、前記乱数を演算して得た第２の暗号データを求め、前記照合要求装置に送信し、
    　前記照合要求装置は、
    　前記照合装置からの前記第２の暗号データの各々を暗号化したまま、前記第２の二値ベクトルの各要素をスカラー演算した値の総和である第３の暗号データを求め、前記照合装置に送信し、
    　前記照合装置は、
    　前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除した第４の暗号データと、前記第１の二値ベクトルの各要素に関する第２の演算値を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、前記検証装置に送信し、
    　前記検証装置は、
    　前記第６の暗号データを前記復号鍵で復号して得た前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、受理、不受理を出力する、ことを特徴とする請求項１に記載の照合システム。
  4. 　前記第１の二値ベクトルに関する前記第１の演算値を前記暗号鍵で暗号化した前記第１の暗号データと、前記第１の二値ベクトルの各要素に関する前記第２の演算値を前記暗号鍵で暗号化した前記第５の暗号データと、を生成し、前記第１の暗号データ及び前記第５の暗号データを記憶装置に送信する登録要求装置と、
    　前記登録要求装置から前記第１の暗号データと前記第５の暗号データを受け、登録データとして記憶し、さらに、前記第１の暗号データと前記第５の暗号データを前記照合装置に供給する前記記憶装置と、
    　を備えたことを特徴とする請求項３に記載の照合システム。
  5. 　前記第１の二値ベクトルの各要素を前記暗号鍵で暗号化した暗号データを記憶装置に送信する登録要求装置と、
    　前記登録要求装置から前記第１の二値ベクトルの各要素の暗号データを受け、前記第１の二値ベクトルの各要素に関する第１の演算値と第２の演算値を計算して前記第１の暗号データ及び前記第５の暗号データを求め、登録データとして記録し、
    　さらに、前記第１の暗号データと前記第５の暗号データを前記照合装置に供給する前記記憶装置を備えた、ことを特徴とする請求項３に記載の照合システム。
  6. 　前記第１の二値ベクトルの各要素を暗号鍵で暗号化して記憶装置に送信する登録要求装置と、
    　前記第１の二値ベクトルの各要素の暗号データを記録する前記記憶装置と、
    　を備え、
    　前記照合装置は、
    　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルの各要素に関する第１、第２の演算値を計算して前記第１及び第５の暗号データとして求める、ことを特徴とする請求項３に記載の照合システム。
  7. 　前記照合装置は、
    　前記照合要求装置から照会要求を受けると、前記第１の二値ベクトルに対して予め設定された第１の変換を施してなる第１の変換値を前記暗号鍵で暗号化した第１の暗号データに対して、前記乱数を演算して得た第２の暗号データを求め、前記照合要求装置に送信し、
    　前記照合要求装置は、
    　前記第２の二値ベクトルに予め設定された第２の変換を施してなる第２の変換値を、前記照合装置から送信された前記第２の暗号データに演算することで、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和を第３の暗号データとして前記照合装置に送付し、
    　前記照合装置は、
    　前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和である第４の暗号データを求め、前記第４の暗号データに、前記第１の二値ベクトルの各要素の総和を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、前記検証装置に送信し、
    　前記検証装置は、
    　前記第６の暗号データを前記復号鍵で復号して得た前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、受理、不受理を出力する、ことを特徴とする請求項１に記載の照合システム。
  8. 　前記登録用のｎ次元の前記第１の二値ベクトルに前記第１の変換を施してｎ個の前記第１の変換値を求め、ｎ個の前記第１の変換値を暗号鍵で暗号化した前記第１の暗号データを生成し、前記第１の暗号データと、登録用のｎ次元の前記第１の二値ベクトルの各要素の暗号データを記憶装置に送付する登録要求装置と、
    　前記第１の二値ベクトルの要素の総和を暗号化した前記第５の暗号データを生成し、
    　前記第１、第５の暗号データを登録データとして記録し、前記第１、第５の暗号データを前記照合装置に送信する前記記憶装置と、
    　を備えた、ことを特徴とする請求項７に記載の照合システム。
  9. 　登録用のｎ次元の前記第１の二値ベクトルの各要素の暗号データを記憶装置に送付する登録要求装置と、
    　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施したｎ個の前記第１の変換値の暗号データを求める手段と、
    　前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成する手段を備え、
    　前記ｎ個の第１の変換値の前記第１の暗号データと、前記第１の二値ベクトルの要素の総和を暗号化した前記第５の暗号データを記録する前記記憶装置と、
    　を備え、
    　前記照合装置は、
    　前記照合要求装置から照会要求を受けると、前記記憶装置からｎ個の前記第１の変換値の暗号データを取得し、乱数を生成し、前記乱数を前記ｎ個の第１の変換値の前記第１の暗号データにそれぞれ演算して第２の暗号データを求め、前記照合要求装置に送信し、
    　前記照合要求装置は、
    　前記第２の二値ベクトルに前記第２の変換を施してなる前記第２の変換値を求め、前記各第２の変換値を前記照合装置から受信した前記第２の暗号データの各々に演算して、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和の第３の暗号データを前記照合装置に送付し、
    　前記照合装置は、
    　前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除して、前記第１の変換値と前記第２の変換値を乗算した値の総和の前記第４の暗号データを求め、前記第４の暗号データと前記記憶装置に登録された前記第５の暗号データを加算した第６の暗号データを求め、前記検証装置に送信する、ことを特徴とする請求項７に記載の照合システム。
  10. 　前記照合装置は、
    　前記照合要求装置から照会要求を受けると、前記第１の二値ベクトルの各要素の暗号データを取得し、
    　前記第１の二値ベクトルの要素を暗号化したまま前記要素の総和の暗号データを生成する手段と、
    　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施したｎ個の前記第１の変換値の第１の暗号データを求める手段と、
    　前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成する手段を備え、
    　乱数を生成し、前記乱数を前記ｎ個の第１の変換値の前記第１の暗号データにそれぞれ演算して前記第２の暗号データを求め、前記照合要求装置に送信し、
    　前記照合要求装置は、
    　前記第２の二値ベクトルに前記第２の変換を施してなるｎ個の前記第２の変換値を求め、前記各第２の変換値を、前記第２の暗号データの各々に演算し、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和の第３の暗号データを前記照合装置に送付し、
    　前記照合装置は、
    　前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和の第４の暗号データを求め、前記第４の暗号データと前記記憶装置に登録された前記第５の暗号データを加算した第６の暗号データを求め、前記検証装置に送信する、ことを特徴とする請求項７に記載の照合システム。
  11. 　前記照合装置は、
    　前記照合要求装置から照会要求を受けると、前記第１の二値ベクトルの各要素の暗号データを取得し、
    　前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成する手段と、
    　前記第１の変換を構成する第１群の変換係数を生成する手段と、
    　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施してなるｎ個の前記第１の変換値を求める手段と、
    　を備え、さらに乱数を生成し、前記乱数を、前記ｎ個の第１の変換値からなる前記第１の暗号データにそれぞれ演算して前記第２の暗号データを求め、前記照合要求装置に送信し、
    　さらに、前記第１群の変換係数の生成に用いた、前記第２の変換を構成する第２群の変換係数を前記照合要求装置に送信し、
    　前記照合要求装置は、
    　前記照合装置からの第２群の変換係数で規定される前記第２の変換を前記第２の二値ベクトルに施してなる前記第２の変換値を求め、前記第２の変換値を前記照合装置から受信した前記第２の暗号データの各々に演算して、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和からなる第３の暗号データを前記照合装置に送付し、
    　前記照合装置は、
    　前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除し、前記第１の変換値と第２の変換値を乗算した値の総和の暗号データを求め、前記総和の暗号データと前記第５の暗号データを加算した第６の暗号データを求め、前記検証装置に送信する、ことを特徴とする請求項７に記載の照合システム。
  12. 　前記登録用のｎ次元の前記第１の二値ベクトルの各要素の暗号データを生成して記憶装置に送付する登録要求装置と、
    　前記登録要求装置からの前記第１の二値ベクトルの各要素の暗号データを記憶する、ことを特徴とする請求項９又は１０に記載の照合システム。
  13. 　前記照合装置は、
    　前記照合要求装置から照合要求を受けると、第１乃至第３の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信し、
    　前記照合要求装置は、
    　照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを求め、前記照合装置に送信し、
    　前記照合装置は、
    　前記照合要求装置からの前記第２の暗号データに前記第２の乱数を演算した第３の暗号データと、前記暗号鍵で暗号化されている前記第１の二値ベクトルの各要素の第１の演算値の暗号データと前記第３の乱数との演算結果である第４の暗号データと、前記生成した第１乃至第３の乱数に基づくハッシュ値とを、前記検証装置に送信し、
    　前記検証装置は、
    　前記照合装置からの前記第３、第４の暗号データを復号鍵で復号し、復号した値に基づきハッシュ値を計算し、前記ハッシュ値と、前記照合装置から送信されたハッシュ値との不一致の個数が予め定められた所定値以下であるか否かを判定し、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする、ことを特徴とする請求項１に記載の照合システム。
  14. 　前記照合装置は、
    　前記照合要求装置から照合要求を受けると、第１、第２の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信し、
    　前記照合要求装置は、
    　照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを求めて、前記照合装置に送信し、
    　前記照合装置は、
    　前記照合要求装置からの前記第２の暗号データと、前記暗号鍵で暗号化されている前記第１の二値ベクトルの各要素の第１の演算値の暗号データと前記第２の乱数の演算結果である第３の暗号データと、前記生成した第１及び第２の乱数に基づくハッシュ値とを前記検証装置に送信し、
    　前記検証装置は、
    　前記照合装置からの前記第３の暗号データを復号鍵で復号し、復号した値のハッシュ値を計算し、前記ハッシュ値と、前記照合装置から送信されたハッシュ値との不一致の個数が予め定められた所定値以下であるか否かを判定し、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする、ことを特徴とする請求項１に記載の照合システム。
  15. 　前記第１の二値ベクトルの各要素の第１の演算値を暗号鍵で暗号化した暗号データを前記記憶装置に送信する登録要求装置と、
    　前記登録要求装置から送信された暗号データを記憶する前記記憶装置と、
    　を備えた、ことを特徴とする請求項１３又は１４に記載の照合システム。
  16. 　前記第１の二値ベクトルの各要素の第１の演算値を暗号鍵で暗号化した暗号データを前記記憶装置に送信する登録要求装置と、
    　前記第１の二値ベクトルの各要素の前記第１の演算値の暗号データに対して乱数をそれぞれ生成する手段と、
    　前記各乱数のハッシュ値を生成する手段と、
    　を備え、
    　前記各乱数を演算した暗号データと前記ハッシュ値を前記検証装置に送信する手段を
    備えた記憶装置と、
    　を備え、
    　前記検証装置は、前記記憶装置から送信された各暗号データを前記復号鍵で復号し、復号した各値のハッシュ値を求め、前記各ハッシュ値が、前記記憶装置から送信された対応するハッシュ値と一致するか判定し、不一致のものが一つでもあれば不受理とし、全て一致する場合、受理とし、
    　前記記憶装置は、前記検証装置での検証結果が受理の場合、前記第１の演算値の暗号データを記憶する、ことを特徴とする請求項１３又は１４に記載の照合システム。
  17. （ａ）照合装置が、乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する工程と、
    （ｂ）前記照合要求装置が、前記照合装置からの前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、前記照合装置に送信する工程と、
    （ｃ）前記照合装置が、暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、クエリとして検証装置に送信する工程と、
    （ｄ）前記検証装置が、前記照合装置から送信された前記クエリの前記暗号データを復号鍵で復号した値、又は、前記復号した値と前記クエリの前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する工程と、
    　を含む、ことを特徴とする照合方法。
  18. 　前記工程（ａ）の前に、
    （ｅ）登録要求装置が、登録用の前記第１の二値ベクトルの各要素と前記各要素に対する演算結果の少なくとも一方を前記暗号鍵で暗号化した暗号データを記憶装置に送信する工程と、
    （ｆ）前記記憶装置が、前記登録要求装置から送信された前記第１の二値ベクトルの各要素と前記各要素に対する演算結果の少なくとも一方の暗号データを受け、登録データとして記憶する工程と、
    　をさらに含む、ことを特徴とする請求項１７に記載の照合方法。
  19. 　前記工程（ａ）において、
    　前記照合装置は、前記照合要求装置からの照合要求に対して、前記第１の二値ベクトルの各要素に関する第１の演算値を前記暗号鍵で暗号化した第１の暗号データの各々に、前記乱数を演算して得た第２の暗号データを求め、前記照合要求装置に送信し、
    　前記工程（ｂ）において、
    　前記照合要求装置は、前記照合装置から送信された前記第２の暗号データの各々に、前記第２の二値ベクトルの各値を演算した値の総和である第３の暗号データを求め、前記照合装置に送信し、
    　前記工程（ｃ）において、
    　前記照合装置は、前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除した第４の暗号データと、前記第１の二値ベクトルの各要素に関する第２の演算値を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、前記検証装置に送信し、
    　前記工程（ｄ）において、
    　前記検証装置は、前記第６の暗号データを前記復号鍵で復号し、復号結果の前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、受理、不受理を出力する、ことを特徴とする請求項１７に記載の照合方法。
  20. 　前記工程（ａ）の前に、
    （ｅ）登録要求装置が、前記第１の二値ベクトルに関する前記第１の演算値を前記暗号鍵で暗号化した前記第１の暗号データと、前記第１の二値ベクトルの各要素に関する前記第２の演算値を前記暗号鍵で暗号化した前記第５の暗号データと、を生成し、前記第１の暗号データ及び前記第５の暗号データを記憶装置に送信する工程と、
    （ｆ）前記記憶装置が、前記登録要求装置から前記第１の暗号データと前記第５の暗号データを受け、登録データとして記憶する工程と、
    　を含む、ことを特徴とする請求項１９に記載の照合方法。
  21. 　前記工程（ａ）の前に、
    （ｅ）登録要求装置が、前記第１の二値ベクトルの各要素を前記暗号鍵で暗号化した暗号データを記憶装置に送信する工程と、
    （ｆ）前記記憶装置が、前記登録要求装置から前記第１の二値ベクトルの各要素の暗号データを受け、前記第１の二値ベクトルの各要素に関する第１の演算値及び第２の演算値を計算して前記第１の暗号データ及び前記第５の暗号データを求め、登録データとして記録する工程を含む、ことを特徴とする請求項１９に記載の照合方法。
  22. 　前記工程（ａ）の前に、
    （ｅ）登録要求装置が、前記第１の二値ベクトルの各要素を暗号鍵で暗号化して記憶装置に送信する工程と、
    （ｆ）前記記憶装置が、前記第１の二値ベクトルの各要素の暗号データを記録する工程と、
    　を含み、
    　前記工程（ａ）において、
    　前記照合装置は、前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルの各要素に関する第１、第２の演算値を計算して前記第１及び第５の暗号データとして求める、ことを特徴とする請求項１９に記載の照合方法。
  23. 　前記工程（ａ）において、
    　前記照合装置は、前記照合要求装置から照会要求を受けると、前記第１の二値ベクトルに予め設定された第１の変換を施してなる第１の変換値を前記暗号鍵で暗号化した第１の暗号データに対して、前記乱数を演算して得た第２の暗号データを求め、前記照合要求装置に送信し、
    　前記工程（ｂ）において、
    　前記照合要求装置は、
    　前記第２の二値ベクトルに予め設定された第２の変換を施してなる第２の変換値を、前記照合装置から受信した前記第２の暗号データに演算することで、前記第１の変換値に前記乱数を演算した値に第２の変換値を乗じた暗号データを求め、前記暗号データの総和を第３の暗号データとして前記照合装置に送付し、
    　前記工程（ｃ）において、
    　前記照合装置は、前記照合要求装置から送信された前記第３の暗号データに含まれる前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和である第４の暗号データを求め、前記第４の暗号データに、前記第１の二値ベクトルの各要素の総和を前記暗号鍵で暗号化した第５の暗号データとを暗号化したまま加算することで、前記第１、第２の二値ベクトルの距離の第６の暗号データを求め、前記検証装置に送信し、
    　前記工程（ｄ）において、
    　前記検証装置は、前記第６の暗号データを前記復号鍵で復号し、復号結果の前記第１、第２の二値ベクトルの距離と予め定められた閾値との比較に基づき、受理、不受理を出力する、ことを特徴とする請求項１７に記載の照合方法。
  24. 　前記工程（ａ）の前に、
    （ｅ）登録要求装置が、前記登録用のｎ次元の前記第１の二値ベクトルに前記第１の変換を施しｎ個の第１の変換値を求め、
    　前記ｎ個の第１の変換値を暗号鍵で暗号化した第１の暗号データを記憶装置に送付する工程と、
    （ｆ）前記記憶装置が、前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成し、
    　前記第１、第５の暗号データを登録データとして記録する工程とを含む、ことを特徴とする請求項２３に記載の照合方法。
  25. 　前記工程（ａ）の前に、
    （ｅ）登録要求装置が、前記登録用のｎ次元の前記第１の二値ベクトルの各要素の暗号データを生成して記憶装置に送付する工程と、
    （ｆ）前記記憶装置が、前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施したｎ個の前記第１の変換値の暗号データを求め、
    　前記第１の二値ベクトルの要素を暗号化したまま前記要素の総和を暗号化した第５の暗号データを生成し、
    　前記ｎ個の第１の変換値の前記第１の暗号データと、前記第１の二値ベクトルの要素の総和を暗号化した前記第５の暗号データを記録する工程と、
    　を含み、
    　前記工程（ａ）において、
    　前記照合装置は、前記照合要求装置から照会要求を受けると、前記記憶装置からｎ個の前記第１の変換値の暗号データと、を取得し、乱数を生成し、前記乱数を前記ｎ個の第１の変換値の暗号データにそれぞれ演算して第２の暗号データを求め、前記照合要求装置に送信し、
    　前記工程（ｂ）において、
    　前記照合要求装置は、前記第２の二値ベクトルに前記第２の変換を施してなる前記第２の変換値を求め、前記各第２の変換値を前記照合装置から受信した前記第２の暗号データの各々にスカラー演算して、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和の第３の暗号データを前記照合装置に送付し、
    　前記工程（ｃ）において、
    　前記照合装置は、前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除して前記第１の変換値と前記第２の変換値を乗算した値の総和の前記第４の暗号データを求め、前記第４の暗号データと前記記憶装置に登録された前記第５の暗号データを加算した第６の暗号データを求め、前記検証装置に送信する、ことを特徴とする請求項２３に記載の照合方法。
  26. 　前記工程（ａ）において、
    　前記照合装置が、前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施したｎ個の前記第１の変換値の暗号データを求める工程と、
    　前記照合装置が、前記第１の二値ベクトルの要素の総和を暗号化した第５の暗号データを生成し、
    　乱数を生成し、前記乱数を前記ｎ個の第１の変換値の前記第１の暗号データにそれぞれ演算して前記第２の暗号データを求め、前記照合要求装置に送信する工程と、
    　を含み、
    　前記工程（ｂ）において、
    　前記照合要求装置は、前記第２の二値ベクトルに前記第２の変換を施してなるｎ個の前記第２の変換値を求め、前記各第２の変換値を、前記第２の暗号データの各々に演算し、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和の第３の暗号データを前記照合装置に送付し、
    　前記工程（ｃ）において、
    　前記照合装置は、前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除して、前記第１の変換値と第２の変換値を乗算した値の総和の第４の暗号データを求め、前記第４の暗号データと前記記憶装置に登録された前記第５の暗号データを加算した値を求め、暗号化したハミング距離として前記検証装置に送信する、ことを特徴とする請求項２３に記載の照合方法。
  27. 　前記工程（ａ）において、
    　前記照合装置は、前記照合要求装置から照会要求を受けると、前記第１の二値ベクトルの各要素の暗号データを取得する工程と、
    　前記第１の変換を構成する第１群の変換係数を生成する工程と、
    　前記第１の二値ベクトルの各要素の暗号データを暗号化したまま、前記第１の二値ベクトルに前記第１の変換を施してなるｎ個の前記第１の変換値を求める工程と、
    　さらに乱数を生成し、前記乱数を、前記ｎ個の第１の変換値からなる前記第１の暗号データにそれぞれ演算して前記第２の暗号データを求め、前記照合要求装置に送信する工程と、
    　さらに、前記第１群の変換係数の生成に用いた、前記第２の変換を構成する第２群の変換係数を前記照合要求装置に送信する工程と、
    　を含み、
    　前記工程（ｂ）において、
    　前記照合要求装置は、前記照合装置からの第２群の変換係数で規定される前記第２の変換を前記第２の二値ベクトルに施してなる前記第２の変換値を求め、前記第２の変換値を前記照合装置から受信した前記第２の暗号データの各々に演算して、前記第１の変換値に前記乱数を演算した値に前記第２の変換値を乗じた暗号データを求め、前記暗号データの総和からなる第３の暗号データを前記照合装置に送付し、
    　前記工程（ｃ）において、
    　前記照合装置は、前記照合要求装置から送信された前記第３の暗号データから、前記乱数を削除し、前記第１の変換値と第２の変換値を乗算した値の総和の暗号データを求め、前記総和の暗号データと前記第１の二値ベクトルの各要素に関する第１の演算値を前記暗号鍵で暗号化した前記第５の暗号データを加算した第６の暗号データを前記検証装置に送信する、ことを特徴とする請求項２３に記載の照合方法。
  28. 　前記工程（ａ）の前に、
    （ｅ）登録要求装置が、前記登録用のｎ次元の前記第１の二値ベクトルの各要素の暗号データを生成して記憶装置に送付する工程と、
    （ｆ）前記記憶装置が、前記登録要求装置からの前記第１の二値ベクトルの各要素の暗号データを記憶する工程と、
    　を含む、ことを特徴とする請求項２６又は２７に記載の照合方法。
  29. 　前記工程（ａ）において、
    　前記照合装置は、前記照合要求装置から照合要求を受けると、第１乃至第３の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信し、
    　前記工程（ｂ）において、
    　前記照合要求装置は、照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを求め、前記照合装置に送信し、
    　前記工程（ｃ）において、
    　前記照合装置は、前記照合要求装置からの前記第２の暗号データに前記第２の乱数を演算した第３の暗号データと、前記暗号鍵で暗号化されている前記第１の二値ベクトルの各要素の演算結果である暗号データと前記第３の乱数との演算結果である第４の暗号データと、前記生成した第１乃至第３の乱数のハッシュ値を前記検証装置に送信し、
    　前記工程（ｄ）において、
    　前記検証装置は、前記照合装置からの前記第３、第４の暗号データを復号鍵で復号し、復号した値に基づくハッシュ値を計算し、前記ハッシュ値が、前記照合装置から受信したハッシュ値と不一致の個数が予め定められた所定値以下であるか否かを判定し、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする、ことを特徴とする請求項１７に記載の照合方法。
  30. 　前記工程（ａ）において、
    　前記照合装置は、前記照合要求装置から照合要求を受けると、第１、第２の乱数を生成し、前記第１の乱数を前記暗号鍵で暗号化した第１の暗号データを前記照合要求装置に送信し、
    　前記工程（ｂ）において、
    　前記照合要求装置は、照合用の第２の二値ベクトルの各要素の第１の演算値と、前記第１の乱数の暗号データの第１の演算結果である第２の暗号データを求めて、前記照合装置に送信し、
    　前記工程（ｃ）において、
    　前記照合装置は、前記照合要求装置からの前記第２の暗号データと、前記暗号鍵で暗号化されている前記第１の二値ベクトルの各要素の演算結果である第３の暗号データと、前記第２の乱数の演算結果である第４の暗号データと、前記生成した第１及び第２の乱数のハッシュ値とともに前記検証装置に送信し、
    　前記工程（ｄ）において、
    　前記検証装置は、前記照合装置からの前記第４の暗号データを復号鍵で復号し、復号した値のハッシュ値を計算し、前記ハッシュ値が、前記照合装置から受信したハッシュ値と不一致の個数が予め定められた所定値以下であるか否かを判定し、不一致の個数が所定値以下であれば、受理、それ以外の場合、不受理とする、ことを特徴とする請求項１７に記載の照合方法。
  31. 　前記工程（ａ）の前に、
    （ｅ）登録要求装置が、前記第１の二値ベクトルの各要素の第１の演算値を暗号鍵で暗号化した暗号データを記憶装置に送信する工程と、
    （ｆ）前記記憶装置が、前記第１の二値ベクトルの各要素の前記第１の演算値の暗号データに対して乱数をそれぞれ生成する工程と、
    （ｇ）前記記憶装置が、前記各乱数のハッシュ値を生成する工程と、
    （ｈ）前記記憶装置が、前記各乱数を演算した暗号データと前記ハッシュ値を前記検証装置に送信する工程と、
    （ｉ）前記検証装置は、前記記憶装置から送信された各暗号データを前記復号鍵で復号し、復号した各値のハッシュ値を求め、前記各ハッシュ値が、前記記憶装置から送信された対応するハッシュ値と一致するか判定し、不一致のものが一つでもあれば不受理とし、全て一致する場合、受理とする工程と、
    （ｊ）前記記憶装置は、前記検証装置での検証結果が受理の場合、前記第１の演算値の暗号データを記憶する工程と、
    　を含む、ことを特徴とする請求項２９又は３０に記載の照合方法。
  32. 　乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する手段と、
    　前記照合要求装置から、前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、受信する手段と、
    　暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、クエリとして検証装置に送信する手段と、
    　復号鍵を用いて前記暗号データを復号した値、又は前記復号した値と前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるかを否か判定する前記検証装置から、検証結果を受信する手段と、
    　を備えた、ことを特徴とする照合装置。
  33. 　照合装置のコンピュータに、
    　乱数を生成し、暗号鍵で暗号化されている第１の二値ベクトルに関する第１の値を暗号化したまま前記乱数との演算で得た暗号データ、又は、生成した前記乱数を前記暗号鍵で暗号化した暗号データを照合要求装置に送信する処理と、
    　前記照合要求装置から、前記暗号データを暗号化したまま照合用の第２の二値ベクトルの要素との演算により得た暗号データを、受信する処理と、
    　暗号鍵で暗号化されている前記第１の二値ベクトルに関する第２の値と、前記照合要求装置から送信された前記暗号データと、前記乱数とに基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の程度を検証するための、暗号データ、又は、前記暗号データと補助データを生成し、クエリとして検証装置に送信する処理と、
    　復号鍵を用いて前記暗号データを復号した値、又は前記復号した値と前記補助データ、に基づき、前記第２の二値ベクトルと前記第１の二値ベクトルの不一致の要素の個数が予め定められた個数以下であるか否かを判定する前記検証装置から、検証結果を受信する処理と、
    　を実行させるプログラム。
PCT/JP2017/044769 2016-12-15 2017-12-13 照合システム、方法、装置及びプログラム WO2018110608A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US16/469,486 US11128462B2 (en) 2016-12-15 2017-12-13 Matching system, method, apparatus, and program
JP2018556722A JP7127543B2 (ja) 2016-12-15 2017-12-13 照合システム、方法、装置及びプログラム
US17/397,431 US11882218B2 (en) 2016-12-15 2021-08-09 Matching system, method, apparatus, and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016-243709 2016-12-15
JP2016243709 2016-12-15

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US16/469,486 A-371-Of-International US11128462B2 (en) 2016-12-15 2017-12-13 Matching system, method, apparatus, and program
US17/397,431 Continuation US11882218B2 (en) 2016-12-15 2021-08-09 Matching system, method, apparatus, and program

Publications (1)

Publication Number Publication Date
WO2018110608A1 true WO2018110608A1 (ja) 2018-06-21

Family

ID=62558877

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/044769 WO2018110608A1 (ja) 2016-12-15 2017-12-13 照合システム、方法、装置及びプログラム

Country Status (3)

Country Link
US (2) US11128462B2 (ja)
JP (1) JP7127543B2 (ja)
WO (1) WO2018110608A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020121461A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 照合システム、クライアントおよびサーバ
WO2020121460A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 照合システム、クライアントおよびサーバ

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019014425A1 (en) * 2017-07-13 2019-01-17 Pindrop Security, Inc. SAFE PARTY WITH SEVERAL PARTIES KNOWING NO VOICE IMPRESSIONS
EP3493460A1 (en) * 2017-12-01 2019-06-05 Gemalto Sa Cryptography device having secure provision of random number sequences
US10665244B1 (en) 2018-03-22 2020-05-26 Pindrop Security, Inc. Leveraging multiple audio channels for authentication
US11093446B2 (en) * 2018-10-31 2021-08-17 Western Digital Technologies, Inc. Duplicate request checking for file system interfaces
KR102570070B1 (ko) * 2018-12-27 2023-08-23 삼성전자주식회사 일반화된 사용자 모델을 이용한 사용자 인증 방법 및 장치
CN109861820B (zh) * 2019-02-18 2021-05-25 吉林大学珠海学院 基于随机散列和位运算的加密解密方法和装置
WO2020216875A1 (en) * 2019-04-23 2020-10-29 Onespan Nv Methods and systems for privacy preserving evaluation of machine learning models
US20220321363A1 (en) * 2019-06-05 2022-10-06 Nec Corporation Collation system, client, and server
US11444774B2 (en) * 2020-01-08 2022-09-13 Tata Consultancy Services Limited Method and system for biometric verification
US11528134B2 (en) * 2020-03-24 2022-12-13 International Business Machines Corporation Authentication using transformation verification
EP3993308A1 (en) * 2020-10-29 2022-05-04 Zama SAS Fully homomorphic cryptography with improved data item representation
US11799643B2 (en) * 2021-01-19 2023-10-24 Bank Of America Corporation Collaborative architecture for secure data sharing
CN114610606B (zh) * 2022-02-25 2023-03-03 中国人民解放军国防科技大学 基于到达-定值分析的二进制模块相似性匹配方法及装置
US20230344632A1 (en) * 2022-04-22 2023-10-26 Vmware, Inc. Distributed registration and authentication via threshold secret sharing and additively homomorphic encryption

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012114452A1 (ja) * 2011-02-22 2012-08-30 三菱電機株式会社 類似度算出システム及び類似度算出装置及びコンピュータプログラム及び類似度算出方法
JP2016111594A (ja) * 2014-12-09 2016-06-20 日本電気株式会社 暗号文照合システム、方法、およびプログラム
JP2016114692A (ja) * 2014-12-12 2016-06-23 富士通株式会社 暗号処理装置、暗号処理方法、及び暗号処理プログラム
JP2016167037A (ja) * 2015-03-10 2016-09-15 富士通株式会社 暗号処理装置、暗号処理方法、および暗号処理プログラム

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4422981B2 (ja) * 2003-06-12 2010-03-03 パナソニック株式会社 暗号通信システム
US8392708B2 (en) * 2007-10-30 2013-03-05 Hewlett-Packard Development Company, L. P. Auditing data integrity
JP4526574B2 (ja) * 2008-03-31 2010-08-18 富士通株式会社 暗号データ管理システム、および暗号データ管理方法
CN102081727B (zh) * 2009-11-30 2014-04-30 中兴通讯股份有限公司 一种射频识别安全认证方法及系统
JP2014126865A (ja) 2012-12-27 2014-07-07 Fujitsu Ltd 暗号処理装置および方法
US10211986B2 (en) 2013-05-15 2019-02-19 Nec Corporation Program collation system, node, collation method, and computer-readable medium
JP2016012111A (ja) 2014-06-30 2016-01-21 富士通株式会社 暗号処理方法、暗号処理装置、および暗号処理プログラム
JP2016131335A (ja) 2015-01-14 2016-07-21 富士通株式会社 情報処理方法、情報処理プログラムおよび情報処理装置
KR102450295B1 (ko) * 2016-01-04 2022-10-04 한국전자통신연구원 암호 데이터의 중복 제거 방법 및 장치
JP6589051B2 (ja) * 2016-03-28 2019-10-09 株式会社日立製作所 データベースシステム及びデータ検索方法
JP6260067B1 (ja) * 2016-08-09 2018-01-17 Kddi株式会社 管理システム、鍵生成装置、車載コンピュータ、管理方法、及びコンピュータプログラム
US11178122B2 (en) * 2016-08-31 2021-11-16 I.X Co., Ltd. Data encryption and decryption method and system

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012114452A1 (ja) * 2011-02-22 2012-08-30 三菱電機株式会社 類似度算出システム及び類似度算出装置及びコンピュータプログラム及び類似度算出方法
JP2016111594A (ja) * 2014-12-09 2016-06-20 日本電気株式会社 暗号文照合システム、方法、およびプログラム
JP2016114692A (ja) * 2014-12-12 2016-06-23 富士通株式会社 暗号処理装置、暗号処理方法、及び暗号処理プログラム
JP2016167037A (ja) * 2015-03-10 2016-09-15 富士通株式会社 暗号処理装置、暗号処理方法、および暗号処理プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
HIGO, HARUNA ET AL.: "Hidden Body Verification Method for Handling Binary-Vector Bioinformation. Abstracts of the 2017 Symposium on Cryptography and Information Security", INFORMATION AND COMMUNICATION ENGINEERS, 24 January 2017 (2017-01-24), pages 1 - 7 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020121461A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 照合システム、クライアントおよびサーバ
WO2020121460A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 照合システム、クライアントおよびサーバ
JPWO2020121460A1 (ja) * 2018-12-12 2021-10-21 日本電気株式会社 照合システム、クライアントおよびサーバ
JPWO2020121461A1 (ja) * 2018-12-12 2021-10-21 日本電気株式会社 照合システム、クライアントおよびサーバ
JP7259868B2 (ja) 2018-12-12 2023-04-18 日本電気株式会社 システムおよびクライアント
JP7302606B2 (ja) 2018-12-12 2023-07-04 日本電気株式会社 システムおよびサーバ
US12063293B2 (en) 2018-12-12 2024-08-13 Nec Corporation Collation system, client and server

Also Published As

Publication number Publication date
US20210367783A1 (en) 2021-11-25
JP7127543B2 (ja) 2022-08-30
US11882218B2 (en) 2024-01-23
US11128462B2 (en) 2021-09-21
US20190394039A1 (en) 2019-12-26
JPWO2018110608A1 (ja) 2019-10-24

Similar Documents

Publication Publication Date Title
JP7127543B2 (ja) 照合システム、方法、装置及びプログラム
JP6459658B2 (ja) 暗号処理装置、暗号処理方法、および暗号処理プログラム
JP7259868B2 (ja) システムおよびクライアント
JP6931247B2 (ja) 暗号文照合システム、方法、およびプログラム
JP2017076839A (ja) 暗号処理方法、暗号処理装置、および暗号処理プログラム
Maitra et al. An enhanced multi‐server authentication protocol using password and smart‐card: cryptanalysis and design
JP2016131335A (ja) 情報処理方法、情報処理プログラムおよび情報処理装置
JP7302606B2 (ja) システムおよびサーバ
JP7231023B2 (ja) 照合システム、クライアントおよびサーバ
JP2016114692A (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
WO2014185450A1 (ja) 照合システム、ノード、照合方法およびプログラム
JP6229716B2 (ja) 照合システム、ノード、照合方法およびプログラム
JP7323004B2 (ja) データ抽出システム、データ抽出方法、登録装置及びプログラム
JP6738061B2 (ja) 暗号文照合システム、方法、および記録媒体
Barman et al. A novel secure key-exchange protocol using biometrics of the sender and receiver
Abidin On privacy-preserving biometric authentication
Chen et al. Privacy-aware smart card based biometric authentication scheme for e-health
Sarkar et al. A novel session key generation and secure communication establishment protocol using fingerprint biometrics
WO2018174063A1 (ja) 照合システム、方法、装置及びプログラム
JP5799635B2 (ja) 暗号データ検索システム、装置、方法及びプログラム
TWI381696B (zh) 基於利用個人化秘密的ｒｓａ非對稱式密碼學之使用者認證
Irshad et al. A secure mutual authenticated key agreement of user with multiple servers for critical systems
De Lacerda Filho et al. Improving Data Security, Privacy, and Interoperability for the IEEE Biometric Open Protocol Standard
Tan et al. On the realization of fuzzy identity‐based identification scheme using fingerprint biometrics
Joshi et al. Multifactor Authentication Scheme for Privacy Preserved Data Security

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17882132

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018556722

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17882132

Country of ref document: EP

Kind code of ref document: A1