WO2022024182A1

WO2022024182A1 - 知識証明方法、知識証明プログラム、および情報処理装置

Info

Publication number: WO2022024182A1
Application number: PCT/JP2020/028716
Authority: WO
Inventors: 剛宮前
Original assignee: 富士通株式会社
Priority date: 2020-07-27
Filing date: 2020-07-27
Publication date: 2022-02-03
Also published as: JPWO2022024182A1; EP4191939A1; US20230128879A1; EP4191939A4

Abstract

非対話ゼロ知識証明の検証が第三者に委任されることを抑止する。　第１の情報処理装置（１）は、所定値（ｙ）を検証者の公開鍵（ｐｋ）で暗号化した暗号文（ｙ'）を生成する。また第１の情報処理装置（１）は、第２の関数（Ｆ'）と第１の入力値（｛ｕ，ｗ｝）と公開鍵（ｐｋ）とを含む第２の入力値（｛ｕ'，ｗ｝）とに基づいて、証明情報（π）を生成する。第２の関数（Ｆ'）は、第１の関数（Ｆ）に示される計算と第１の関数（Ｆ）の計算結果を公開鍵（ｐｋ）で暗号化する計算とを含む。証明情報（π）は、第２の入力値に含まれる秘匿対象の秘匿値（ｗ）を有していることを、非対話ゼロ知識証明によって証明する情報である。第１の情報処理装置（１）は、暗号文（ｙ'）と証明情報（π）とを含む知識証明情報を、公開鍵（ｐｋ）に対応する秘密鍵（ｖｋ）を有する検証者が管理する第２の情報処理装置（２）に送信する。

Description

知識証明方法、知識証明プログラム、および情報処理装置

　本発明は、知識証明方法、知識証明プログラム、および情報処理装置に関する。

　暗号技術の１つとしてゼロ知識証明がある。ゼロ知識証明は、ある人（証明者）が他の人（検証者）に、自分の持っている命題が真であることを伝えるのに、真であること以外の何の知識も伝えることなく証明することである。ゼロ知識証明には、証明者と検証者との間で対話を繰り返すことで証明するゼロ知識対話証明と、証明者が検証者へ情報を１回送信するだけで証明する非対話ゼロ知識証明とがある。

　非対話ゼロ知識証明は、例えば自己主権型アイデンティティ（Self-Sovereign Identity）と呼ばれる技術分野で有効に活用できる。自己主権型アイデンティティは、ユーザに紐づけられた個人情報をすべてユーザ自身で管理、制御するというコンセプトの元で、アイデンティティ管理を行う技術である。ユーザは、個人情報の管理を企業や他人に任せる代わりに、自身でデータベースを用意し（あるいはブロックチェーンなどの共有データベースを利用し）、自身でアクセス管理を行う。このような状況で、プライバシーを保ったままユーザ間で相互にアイデンティティの証明を行えるようにするため、ゼロ知識証明が利用されている。このゼロ知識証明として非対話型ゼロ知識証明を用いれば、アイデンティティ証明の利便性を向上させることができる。

　情報の証明技術としては、例えば署名者から検証者に検証データを送付するだけで、相互に交信しなくても第三者に転送されないデジタル署名方法が提案されている。
　非対話ゼロ知識証明としては例えばｚｋ－ＳＮＡＲＫ（zero-knowledge Succinct Non-interactive ARgument of Knowledge）があり、このｚｋ－ＳＮＡＲＫを利用したPinocchioと呼ばれるシステムが提案されている。またｚｋ－ＳＮＡＲＫを分散台帳へ応用することも提案されている。

特開平０９－１７１３４９号公報

B. Parno, C. Gentry, J. Howell and M. Raykova, "Pinocchio: nearly practical verifiable computation", IEEE Symposium on Security and Privacy Oakland 2013 corrected version, 13 May 2013 長沼健，「分散台帳での匿名送金とその監査について　－ゼロ知識証明を利用したセキュアプロトコル－」，情報処理Vol.61 No.2，15 Jan 2020，pp.152-158

　非対話ゼロ知識証明では、証明者がオンライン状態でなくても検証者による検証が可能である反面、不特定多数のユーザが検証を行えてしまう。そのため検証者は、証明者の許可を得ずに第三者に検証を委任することが可能である。検証の委任が自由に行われると、証明者の不利益となる場合がある。

　例えば著名人である証明者が自身の収入を証明する証明書を有しているという事実を非対話ゼロ知識証明で証明する場合を想定する。この場合において、開示された収入に間違いがないことの検証が第三者に委任されると、第三者は証明者の収入を知ると同時に、その収入に誤りがないということを知ることができる。すなわち、証明者の個人情報が、その情報に誤りがないという証明付きで漏洩してしまうことになり、その情報が悪用される危険性が高まる。

　１つの側面では、本発明は、非対話ゼロ知識証明の検証が第三者に委任されることを抑止することを目的とする。

　１つの案では、証明者が管理する第１の情報処理装置による知識証明方法が提供される。
　第１の情報処理装置は、所定値を検証者の公開鍵で暗号化した暗号文を生成する。また第１の情報処理装置は、第１の入力値を入力した場合の計算結果が所定値となる第１の関数に示される計算と第１の関数の計算結果を公開鍵で暗号化する計算とを含む第２の関数と、第１の入力値と公開鍵とを含む第２の入力値とに基づいて、第２の関数に入力した場合に計算結果として暗号文を得ることができる第２の入力値に含まれる秘匿対象の秘匿値を有していることを、非対話ゼロ知識証明によって証明する証明情報を生成する。そして第１の情報処理装置は、暗号文と証明情報とを含む知識証明情報を、公開鍵に対応する秘密鍵を有する検証者が管理する第２の情報処理装置に送信する。

　１態様によれば、非対話ゼロ知識証明の検証が第三者に委任されることを抑止することができる。
　本発明の上記および他の目的、特徴および利点は本発明の例として好ましい実施の形態を表す添付の図面と関連した以下の説明により明らかになるであろう。

第１の実施の形態に係る知識証明方法の一例を示す図である。システム構成の一例を示す図である。端末装置のハードウェアの一例を示す図である。不特定の第三者が検証できる場合に生じる情報漏洩の一例を示す図である。知識証明情報を暗号化した場合における情報漏洩の一例を示す図である。不特定の第三者による検証を抑止した非対話ゼロ知識証明の一例を示す図である。署名者のサーバが有する機能の一例を示す図である。端末装置とＴＴＰのサーバと検証者のサーバとの機能の一例を示すブロック図である。非対話ゼロ知識証明の処理手順の一例を示すシーケンス図である。ＴＴＰのサーバによる事前設定処理手順の一例を示すフローチャートである。証明者の端末装置による証明処理手順の一例を示すフローチャートである。検証者のサーバによる検証処理手順の一例を示すフローチャートである。

　以下、本実施の形態について図面を参照して説明する。なお各実施の形態は、矛盾のない範囲で複数の実施の形態を組み合わせて実施することができる。
　〔第１の実施の形態〕
　まず第１の実施の形態について説明する。第１の実施の形態は、非対話ゼロ知識証明の検証に検証者のマスターシークレットである暗号鍵を利用させることで、非対話ゼロ知識証明の検証が第三者に委任されることを抑止するものである。

　図１は、第１の実施の形態に係る知識証明方法の一例を示す図である。図１には、知識証明方法を、証明者が管理する第１の情報処理装置１と検証者が管理する第２の情報処理装置２とを用いて実現する例が示されている。第１の情報処理装置１は、例えば知識証明の処理手順が記述されたプログラムを実行することにより、第１の実施の形態に係る知識証明方法を実施することができる。第２の情報処理装置２は、例えば知識証明方法で証明された知識の検証の処理手順が記述された知識証明プログラムを実行することにより、証明された知識を検証することができる。

　第１の情報処理装置１は、記憶部１ａと処理部１ｂとを有する。記憶部１ａは、例えば第１の情報処理装置１が有するメモリまたはストレージ装置である。処理部１ｂは、例えば情報処理装置１が有するプロセッサまたは演算回路である。

　記憶部１ａは、例えば証明者の個人情報が真正な情報であることを示す証明書３を記憶する。証明書３には、個人情報と、その個人情報が真正であることを示すデジタル署名とが含まれる。

　処理部１ｂは、所定値ｙを検証者の公開鍵ｐｋで暗号化した暗号文ｙ’を生成する。所定値ｙは、例えば証明者の個人情報である。処理部１ｂは、検証者の公開鍵ｐｋを取得し、所定値ｙを公開鍵ｐｋで暗号化することで、暗号文ｙ’を生成することができる。

　また処理部１ｂには、第１の入力値を入力した場合の計算結果が所定値ｙとなる第１の関数（関数Ｆ）に示される計算と関数Ｆの計算結果を公開鍵ｐｋで暗号化する計算（Ｅｎｃ（ｐｋ，ｙ））とを含む第２の関数（関数Ｆ’）を有している。関数Ｆ’は、複数の多項式で表されていてもよい。第１の入力値には、証明者が秘匿している秘匿値ｗが含まれる。例えば１の入力値は、数値群ｕと証明者の秘匿値ｗである証明書３とを含む。数値群ｕにはデジタル署名の検証鍵が含まれる。関数Ｆ’は、第１の入力値｛ｕ，ｗ｝と公開鍵ｐｋとを含む第２の入力値｛ｕ’，ｗ｝（ｕ’＝｛デジタル署名の検証鍵，検証者の公開鍵ｐｋ｝）を入力した場合の計算結果が暗号文ｙ’となる。

　処理部１ｂは、関数Ｆ’と、第１の入力値｛ｕ，ｗ｝と公開鍵ｐｋとを含む第２の入力値｛ｕ’，ｗ｝とに基づいて、証明情報πを生成する。証明情報πは、関数Ｆ’に入力した場合に計算結果として暗号文ｙ’を得ることができる第２の入力値｛ｕ’，ｗ｝に含まれる秘匿対象の秘匿値ｗを有していることを、非対話ゼロ知識証明によって証明する情報である。そして処理部１ｂは、暗号文ｙ’と証明情報πとを含む知識証明情報を、公開鍵ｐｋに対応する秘密鍵ｖｋを有する検証者が管理する第２の情報処理装置２に送信する。

　第２の情報処理装置２は、知識証明情報に基づいて、秘匿値ｗを証明者が有していることを検証する。さらに第２の情報処理装置２は、検証者の秘密鍵ｖｋを用いて暗号文ｙ’を復号する。そして第２の情報処理装置２は、検証に成功し、かつ復号により所定値ｙが得られた場合、関数Ｆの計算結果を所定値ｙとするために第１の入力値ｕ，ｗに含める秘匿値ｗを、証明者が知っていると認定する。

　このようにして、証明者は、例えば個人情報を所定値ｙとし、個人情報の証明書３を秘匿値ｗとすることで、その個人情報の証明書３を検証者に渡すことなく、証明書３を有していることを検証者に対して証明することができる。例えば個人情報が証明者の収入の場合、検証者に対して証明者の収入を証明することができる。

　このとき、検証者が管理する第２の情報処理装置２は、証明情報πを検証することに加えて、暗号文ｙ’を検証者の秘密鍵で復号することで、証明者が証明書３を有していると認定することができる。検証者が第三者に検証を委任する場合、検証者のマスターシークレットである秘密鍵を第三者に渡さなければ、証明者が証明書３を有していることを検証することはできない。そのため第三者への検証の委任は抑止される。

　なお知識証明情報のデータ長が短くて済む非対話ゼロ知識証明としてｚｋ－ＳＮＡＲＫがある。ｚｋ－ＳＮＡＲＫは、信頼できる第三者の協力を得て実施することができる。例えば第１の情報処理装置１の処理部１ｂは、信頼できる第三者の管理する第３の情報処理装置から、ｚｋ－ＳＮＡＲＫにより非対話ゼロ知識証明を実施するための証明用参照情報を取得する。そして処理部１ｂは、証明用参照情報を用いて証明情報πを生成する。また第２の情報処理装置２は、第３の情報処理装置から、ｚｋ－ＳＮＡＲＫにより非対話ゼロ知識証明を実施するための検証用参照情報を取得し、検証用参照情報を用いて秘匿値ｗを証明者が有していることを検証する。

　〔第２の実施の形態〕
　次に第２の実施の形態について説明する。第２の実施の形態は、著名人が自身の総収入を、非対話ゼロ知識証明を用いて証明する場合の例である。

　図２は、システム構成の一例を示す図である。図２の例では、ネットワーク２０を介して端末装置１００と複数のサーバ２００，３００，４００，５００が接続されている。端末装置１００は、証明者が使用するコンピュータである。サーバ２００は、署名者Ａが使用するコンピュータである。サーバ３００は、署名者Ｂが使用するコンピュータである。サーバ４００は、信頼できる第三者機関（ＴＴＰ：Trusted Third Party）が使用するコンピュータである。サーバ５００は、検証者が使用するコンピュータである。

　例えば著名人が自身の総収入を銀行などの金融機関に対して証明する場合、著名人が証明者であり、収入を証明する公的機関が署名者であり、金融機関が検証者である。収入を証明する公的機関が地域ごと（例えば国ごと）にある場合、署名者Ａと署名者Ｂとは、それぞれ別の地域の公的機関である。

　証明者が複数の地域（例えば複数の国）で収入を得ている場合、証明者の総収入は、各地域での収入の合計となる。その場合、証明者は各地域の公的機関から収入証明書を取得することとなる。

　図３は、端末装置のハードウェアの一例を示す図である。端末装置１００は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、バス１０９を介してメモリ１０２と複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１０１がプログラムを実行することで実現する機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。

　メモリ１０２は、端末装置１００の主記憶装置として使用される。メモリ１０２には、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０２には、プロセッサ１０１による処理に利用する各種データが格納される。メモリ１０２としては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。

　バス１０９に接続されている周辺機器としては、ストレージ装置１０３、グラフィック処理装置１０４、入力インタフェース１０５、光学ドライブ装置１０６、機器接続インタフェース１０７およびネットワークインタフェース１０８がある。

　ストレージ装置１０３は、内蔵した記録媒体に対して、電気的または磁気的にデータの書き込みおよび読み出しを行う。ストレージ装置１０３は、コンピュータの補助記憶装置として使用される。ストレージ装置１０３には、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお、ストレージ装置１０３としては、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）を使用することができる。

　グラフィック処理装置１０４には、モニタ２１が接続されている。グラフィック処理装置１０４は、プロセッサ１０１からの命令に従って、画像をモニタ２１の画面に表示させる。モニタ２１としては、有機ＥＬ（Electro Luminescence）を用いた表示装置や液晶表示装置などがある。

　入力インタフェース１０５には、キーボード２２とマウス２３とが接続されている。入力インタフェース１０５は、キーボード２２やマウス２３から送られてくる信号をプロセッサ１０１に送信する。なお、マウス２３は、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

　光学ドライブ装置１０６は、レーザ光などを利用して、光ディスク２４に記録されたデータの読み取り、または光ディスク２４へのデータの書き込みを行う。光ディスク２４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク２４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）などがある。

　機器接続インタフェース１０７は、端末装置１００に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース１０７には、メモリ装置２５やメモリリーダライタ２６を接続することができる。メモリ装置２５は、機器接続インタフェース１０７との通信機能を搭載した記録媒体である。メモリリーダライタ２６は、メモリカード２７へのデータの書き込み、またはメモリカード２７からのデータの読み出しを行う装置である。メモリカード２７は、カード型の記録媒体である。

　ネットワークインタフェース１０８は、ネットワーク２０に接続されている。ネットワークインタフェース１０８は、ネットワーク２０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。ネットワークインタフェース１０８は、例えばスイッチやルータなどの有線通信装置にケーブルで接続される有線通信インタフェースである。またネットワークインタフェース１０８は、基地局やアクセスポイントなどの無線通信装置に電波によって通信接続される無線通信インタフェースであってもよい。

　端末装置１００は、以上のようなハードウェアによって、第２の実施の形態の処理機能を実現することができる。サーバ２００，３００，４００，５００も端末装置１００と同様のハードウェアによって実現することができる。また、第１の実施の形態に示した情報処理装置１，２も、図３に示した端末装置１００と同様のハードウェアにより実現することができる。

　端末装置１００は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、第２の実施の形態の処理機能を実現する。端末装置１００に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。例えば、端末装置１００に実行させるプログラムをストレージ装置１０３に格納しておくことができる。プロセッサ１０１は、ストレージ装置１０３内のプログラムの少なくとも一部をメモリ１０２にロードし、プログラムを実行する。また端末装置１００に実行させるプログラムを、光ディスク２４、メモリ装置２５、メモリカード２７などの可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１０１からの制御により、ストレージ装置１０３にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

　以上のようなシステムにより、非対話ゼロ知識証明を行うことができる。非対話ゼロ知識証明を用いれば、例えば、著名人は、収入を証明する証明書を金融機関に渡すことなく、自身の総収入を金融機関に対して証明することができる。この際、収入の証明に対する検証を不特定多数の者が実施できてしまうと、著名人の個人情報が、内容の証明付きで漏洩してしまう。

　図４は、不特定の第三者が検証できる場合に生じる情報漏洩の一例を示す図である。図４は、ある著名人が、借金のために公的機関である署名者４１の署名付きの収入証明書をベースに生成した収入の知識証明情報を、金融機関である検証者４３に提出した場合の例を示している。図４の例では、検証者４３を限定する技術を適用していない非対話型ゼロ知識証明により、収入証明書を有していることを証明している。

　証明者４２は、公的機関である署名者４１から、署名付きの収入証明書を発行してもらう。証明者４２と検証者４３とは、ＴＴＰ４４から、非対話ゼロ知識証明に用いる参照情報を取得する。証明者４２は、非対話ゼロ知識証明による収入証明用の知識証明情報を検証者４３に渡す。金融機関である検証者４３は、知識証明情報を検証し、正しく検証できた場合、資金の貸し付けなどのサービスを証明者に提供する。

　このとき、金融機関の担当者は、知識証明情報の検証を、ゴシップ記事を載せる雑誌の出版社などの報道機関に証明を委任することが可能である。この場合、報道機関が検証者４５となって著名人の知識証明情報を検証できる。報道機関は、例えば著名人の収入が検証できた場合、金融機関の担当者に対価を支払う。このように、著名人の収入を証明する知識証明情報を、金融機関内部の不正行為者が第三者に売却することが可能である。その結果、資金の借入とは関係無い第三者が、著名人の個人情報を入手するだけでなく、その個人情報が正しいことの検証までを行えてしまう。

　ここで検証者４３しか知識証明情報を検証できないように、検証者４３の公開鍵で知識証明情報を暗号化する案が考えられる。しかし、知識証明情報を暗号化するだけでは不十分である。

　図５は、知識証明情報を暗号化した場合における情報漏洩の一例を示す図である。なお、図５では、図４に示した署名者４１とＴＴＰ４４とは省略されている。
　証明者４２は、検証者４３に対してだけ証明した知識証明情報を、検証者４３の公開鍵で暗号化する。そして証明者４２は、暗号文の知識証明情報を検証者４３に送信する。仮に暗号化された知識証明情報を他の検証者４５が入手したとしても、検証者４５は検証者４３の復号鍵を持っていないため知識証明情報の内容を入手することができない。しかし、検証者４３が自身で復号した平文の知識証明情報を不正に検証者４５に提供した場合、検証者４５は知識証明情報の検証を実施できてしまう。

　つまり、すべてのユーザを完全には信用できない前提の場合、図５に示す方法では証明者４２の個人情報の証明付きでの漏洩を防止することができない。
　そこで第２の実施の形態では、証明者４２は、知識証明情報全体の暗号化ではなく、検証において使用する関数の計算結果を検証者の公開鍵で暗号化する。

　図６は、不特定の第三者による検証を抑止した非対話ゼロ知識証明の一例を示す図である。証明者４２は、非対話ゼロ知識証明に使用する関数Ｆの計算結果であるｙを検証者４３（金融機関）の公開鍵で暗号化する。証明者４２は、暗号化された値（暗号文ｙ’）を知識証明情報に含める。検証者４３は、検証者４３自身のマスターシークレットである秘密鍵を用い、知識証明情報を検証する。この場合、検証者４３自身のマスターシークレットを用いなくては、検証ができない。そのため、検証者４３が他の報道機関などへ証明の検証を委任する行為を抑止できる。

　すなわち図６に示すゼロ知識証明では、検証者４３は検証時に自身のマスターシークレットを使用する。そのため、仮に検証者が証明を検証者４５へ委任する場合は、知識証明情報と共に自身のマスターシークレットを検証者４５へ提供することが要求される。しかし、一旦、自身のマスターシークレットを他者へ提供してしまうと、そのマスターシークレットで実現していたあらゆる機能（電子署名、暗号化、ゼロ知識証明など）の安全性の保証がなくなる。そのため、現実的には、検証者４３が自身のマスターシークレットを第三者である検証者４５に提供することはできない。その結果、検証にマスターシークレットを用いることが、検証を委任することに対する強い抑止効果として作用する。

　次に、図７、図８を参照して、検証者を制限した非対話ゼロ知識証明を実現するために各装置が有する機能について説明する。
　図７は、署名者のサーバが有する機能の一例を示す図である。署名者Ａのサーバ２００は、記憶部２１０、署名部２２０、および証明書送信部２３０を有する。

　記憶部２１０には、収入情報２１１および署名者Ａの署名鍵２１２が格納されている。収入情報２１１は、著名人である証明者の収入「￥ａ」を示す情報である。署名鍵２１２は、署名者Ａが証明者の収入を証明する際に使用する鍵である。記憶部２１０は、例えばサーバ２００が有するメモリまたはストレージ装置の記憶領域の一部である。

　署名部２２０は、署名鍵２１２を用いて署名者の収入情報２１１にデジタル署名を施す。例えば署名部２２０は、署名鍵２１２で収入情報２１１を暗号化する。暗号化した結果が、署名者Ａによるデジタル署名である。

　証明書送信部２３０は、証明者の収入を証明する証明書を、証明者が使用する端末装置１００に送信する。証明書には、例えば証明者の収入情報２１１とその収入情報に対する署名者Ａのデジタル署名とが含まれる。

　署名者Ｂのサーバ３００は、記憶部３１０、署名部３２０、および証明書送信部３３０を有する。
　記憶部３１０には、収入情報３１１および署名者Ｂの署名鍵３１２が格納されている。収入情報３１１は、著名人である証明者の収入「￥ｂ」を示す情報である。署名鍵３１２は、署名者Ｂが証明者の収入を証明する際に使用する鍵である。記憶部３１０は、例えばサーバ３００が有するメモリまたはストレージ装置の記憶領域の一部である。

　署名部３２０は、署名鍵３１２を用いて署名者の収入情報３１１にデジタル署名を施す。例えば署名部３２０は、署名鍵３１２で収入情報３１１を暗号化する。暗号化した結果が、署名者Ｂによるデジタル署名である。

　証明書送信部３３０は、証明者の収入を証明する証明書を、証明者が使用する端末装置１００に送信する。証明書には、例えば証明者の収入情報３１１とその収入情報に対する署名者Ｂのデジタル署名とが含まれる。

　図８は、端末装置とＴＴＰのサーバと検証者のサーバとの機能の一例を示すブロック図である。非対話ゼロ知識証明は、ＴＴＰのサーバ４００による事前設定処理（セットアップとも呼ばれる）、証明者の端末装置１００による証明処理、および検証者のサーバ５００による検証処理によって実現される。

　ＴＴＰのサーバ４００は、事前設定部４１０と参照情報送信部４２０とを有する。
　事前設定部４１０は、検証者のサーバ５００から関係情報５１１を取得する。関係情報５１１には、証明者が有している証拠（例えば総収入の証明書１２１，１２２）と、その証拠が正しい場合に、その証拠を用いた計算によって得られるべき情報との関係が示されている。その関係は、例えば関数とその関数の変数とによって表される。事前設定部４１０は、関係情報５１１に基づいて、非対話ゼロ知識証明を可能とするため参照情報を生成する。以下、参照情報のうち証明に使用する情報を証明用参照情報、検証に使用する情報を検証用参照情報と呼ぶ。

　参照情報送信部４２０は、証明用参照情報を、証明者の端末装置１００に送信する。また参照情報送信部４２０は、検証用参照情報を、検証者のサーバ５００に送信する。
　端末装置１００は、証明書取得部１１０、記憶部１２０、参照情報取得部１３０、ゼロ知識証明部１４０、および証明情報送信部１５０を有する。

　証明書取得部１１０は、サーバ２００，３００それぞれから送信された証明書１２１，１２２を取得する。証明書取得部１１０は、取得した証明書１２１，１２２を記憶部１２０に格納する。

　記憶部１２０は、証明書１２１，１２２を記憶する。記憶部１２０は、例えば端末装置１００が有するメモリ１０２またはストレージ装置１０３の記憶領域の一部である。
　参照情報取得部１３０は、ＴＴＰのサーバ４００から証明用参照情報を取得する。証明用参照情報は、非対話ゼロ知識証明の際に参照する情報である。参照情報取得部１３０は、取得した証明用参照情報をゼロ知識証明部１４０に送信する。

　ゼロ知識証明部１４０は、証明用参照情報を用いて、収入のデジタル署名を有していることについての非対話ゼロ知識証明を行う。ゼロ知識証明部１４０は、非対話ゼロ知識証明の結果、知識証明情報を生成する。知識証明情報には、証明者が証明しようとする命題（例えば総収入の証明書１２１，１２２を有していること）を証明する複数の数値が含まれる。ゼロ知識証明部１４０は、生成した知識証明情報を証明情報送信部１５０に送信する。

　証明情報送信部１５０は、知識証明情報を検証者のサーバ５００に送信する。
　検証者のサーバ５００は、記憶部５１０、関係情報送信部５２０、参照情報取得部５３０、証明情報取得部５４０、および検証部５５０を有する。

　記憶部５１０は、関係情報５１１および秘密鍵５１２を記憶する。関係情報５１１は、例えば関数とその関数に使用される既知の変数値を含む。既知の変数値には、検証者の公開鍵を含めてもよい。秘密鍵５１２は、検証者の公開鍵で暗号化された暗号文の復号に使用する鍵である。秘密鍵５１２は、検証者が厳重に秘匿すべきマスターシークレットである。記憶部５１０は、例えばサーバ５００が有するメモリまたはストレージ装置の記憶領域の一部である。

　関係情報送信部５２０は、関係情報５１１をＴＴＰのサーバ４００に送信する。
　参照情報取得部５３０は、ＴＴＰのサーバ４００から検証用参照情報を取得する。参照情報取得部５３０は、取得した検証用参照情報を検証部５５０に送信する。

　証明情報取得部５４０は、証明者の端末装置１００から知識証明情報を取得する。証明情報取得部５４０は、取得した知識証明情報を検証部５５０に送信する。
　検証部５５０は、検証用参照情報と秘密鍵５１２とを用いて、知識証明情報を検証する。検証部５５０は、知識証明情報が正しいと検証できた場合、証明者が証明しようとしている命題が正しいと判定する。検証部５５０は、検証結果を、サーバ５００のモニタなどに出力する。

　なお、図７、図８に示した各要素の機能は、例えば、その要素に対応するプログラムモジュールをコンピュータに実行させることで実現することができる。
　次に証明者が総収入を非対話ゼロ知識証明によって証明するための手順について説明する。

　図９は、非対話ゼロ知識証明の処理手順の一例を示すシーケンス図である。署名者Ａのサーバ２００の署名部２２０は、例えば証明者からの依頼に応じて、証明者の収入情報２１１に対するデジタル署名を生成する（ステップＳ１１）。例えば署名部２２０は、署名者Ａの署名鍵２１２で収入情報２１１を暗号化する。証明書送信部２３０は、収入情報２１１とデジタル署名とを含む証明書を、証明者の端末装置１００に送信する（ステップＳ１２）。

　署名者Ｂのサーバ３００の署名部３２０は、例えば証明者からの依頼に応じて、証明者の収入情報３１１に対するデジタル署名を生成する（ステップＳ１３）。例えば署名部３２０は、署名者Ｂの署名鍵３１２で収入情報３１１を暗号化する。証明書送信部２３０は、収入情報３１１とデジタル署名とを含む証明書を、証明者の端末装置１００に送信する（ステップＳ１４）。

　その後、収入の証明書を取得した証明者が検証者にサービスの提供（例えば融資）を申し込む。申し込みを受けて、検証者は、サーバ５００に証明者の総収入を確認する処理の実行を指示する。するとサーバ５００の関係情報送信部５２０は、総収入の証明書を証明者が有していることを検証するための関係情報５１１をＴＴＰのサーバ４００に送信する（ステップＳ１５）。

　関係情報５１１には、関数Ｆ’と関数の変数値として用いる数値群ｕ’＝｛ｕ，ｐｋ｝とが含まれる。数値群ｕ’には、署名者Ａが署名に用いた署名鍵２１２に対応する検証鍵、と署名者Ｂが署名に用いた署名鍵３１２に対応する検証鍵とを含む。ｐｋは、検証者の公開鍵である。関数Ｆ’は以下の式で表される。
Ｆ’（ｕ’）＝Ｅｎｃ（Ｆ）（ｕ’）＝Ｅｎｃ（Ｆ）（ｕ，ｗ，ｐｋ）　　（１）
　Ｅｎｃ（Ｆ）（ｕ，ｗ，ｐｋ）は、関数Ｆ（ｕ，ｗ）の計算結果を、検証者の公開鍵ｐｋで暗号化することを示している。秘匿値ｗは、収入情報２１１、収入情報２１１のデジタル署名、収入情報３１１、および収入情報３１１のデジタル署名を含む。関数Ｆ（ｕ，ｗ）は、各収入情報２１１，３１１のデジタル署名を対応する検証鍵によって検証した上で、証明者の総収入をｙ（ｙ＝ａ＋ｂ）としたときにｙを計算する計算アルゴリズムである。すなわち関数Ｆ’（ｕ’）は、関数Ｆ（ｕ，ｗ）の計算により得られた総収入であるｙを検証者の公開鍵で暗号化する計算アルゴリズムである。ここで総収入であるｙを暗号化して得られる暗号文をｙ’とする。

　ＴＴＰのサーバ４００では、事前設定部４１０が非対話ゼロ知識証明に使用する参照情報を生成する（ステップＳ１６）。生成される参照情報には、例えば「Ｑ，ＥＫ_F'，ＶＫ_F'，ｅ」が含まれる。Ｑは、関数Ｆ’を２次算術プログラム（ＱＡＰ：Quadratic Arithmetic Program）に変換して得られた多項式の集合である。ＥＫ_F'とＶＫ_F'とは、それぞれ関数Ｆ’に基づいて生成された評価鍵と検証鍵である。ＥＫ_F'とＶＫ_F'は、それぞれ多数の数値を含む数値群である。ＥＫ_F'とＶＫ_F'に含まれる数値についての詳細は後述する。ｅは、非自明な双線形写像である。

　参照情報送信部４２０は、証明に使用する証明用参照情報を証明者の端末装置１００に送信する（ステップＳ１７）。証明用参照情報には、例えば「Ｆ’，ｕ’，Ｑ，ＥＫ_F'」が含まれる。参照情報送信部４２０は、検証に使用する検証用参照情報を検証者のサーバ５００に送信する（ステップＳ１８）。検証用参照情報には、例えば「ｅ，ＶＦ_F’」が含まれる。

　証明者の端末装置１００では、参照情報取得部１３０が証明用参照情報を取得する。そしてゼロ知識証明部１４０が、複数の証明書と証明用参照情報とを用いて、知識証明情報を生成する（ステップＳ１９）。知識証明情報には、例えば総収入の暗号文ｙ’と証明情報π_y'とが含まれる。そして証明情報送信部１５０が知識証明情報を検証者のサーバ５００に送信する（ステップＳ２０）。

　検証者のサーバ５００では、証明情報取得部５４０が知識証明情報を取得する。そして検証部５５０が、検証用参照情報と知識証明情報と秘密鍵５１２に基づいて、ゼロ知識証明を検証する（ステップＳ２１）。

　このような手順で証明者の総収入の非対話ゼロ知識証明が行われる。以下、図１０～図１２を参照して、ＴＴＰのサーバ４００、証明者の端末装置１００、および検証者のサーバ５００それぞれが実行する処理について詳細に説明する。

　図１０は、ＴＴＰのサーバによる事前設定処理手順の一例を示すフローチャートである。以下、図１０に示す処理をステップ番号に沿って説明する。
　［ステップＳ１０１］事前設定部４１０は、検証者のサーバ５００から関係情報を取得する。

　［ステップＳ１０２］事前設定部４１０は、関係情報に含まれる関数Ｆ’に基づいて、ＱＡＰのＱを生成する。Ｑには、複数の多項式｛ｔ（ｘ），Ｖ，Ｗ，Ｙ｝が含まれる（Ｖ＝｛ｖ_k（ｘ）｝、Ｗ＝｛ｗ_k（ｘ）｝、Ｙ＝｛ｙ_k（ｘ）｝、インデックスｋ∈［ｍ］＝｛０，・・・，ｍ｝、ｍはＱのサイズを示す整数）。ｔ（ｘ）はターゲット多項式である。ターゲット多項式はｔ（ｘ）＝（ｘ－ｒ₁）（ｘ－ｒ₂）である（ｒ₁，ｒ₂は乱数）。

　多項式ｐ（ｘ）＝Ｖ（ｘ）Ｗ（ｘ）－Ｙ（ｘ）がターゲット多項式ｔ（ｘ）で割り切れることが、証明者が入力する秘匿値ｗが正しいことを証明するための条件となる。
　［ステップＳ１０３］事前設定部４１０は、実数ｇと双線形写像ｅとランダムな実数「ｓ，α，βv，βw，βy，γ」を生成する。ここでｇは、双線形写像ｅ「ｅ：Ｇ×Ｇ→Ｇ_T」の群Ｇの生成元である。ｓは第三者に秘密のパラメータである。

　［ステップＳ１０４］事前設定部４１０は、「Ｑ，ｇ，ｅ，ｓ，α，β_v，β_w，β_y，γ」に基づいて、評価鍵ＥＫ_F'と検証鍵ＶＫ_F'を生成する。なお評価鍵ＥＫ_F'と検証鍵ＶＫ_F'の生成処理は、セキュリティパラメータλ（λは１以上の整数）を用いて「（ＥＫ_F'，ＶＫ_F'）←ＫｅｙＧｅｎ（Ｆ，１^λ）」と表される。１^λは、１のλビット列を表している。

　評価鍵ＥＫ_F'は、以下のような数値群を含む。

　検証鍵ＶＫ_F'は、以下のような数値群を含む。

　Ｉｍｉｄ＝｛Ｎ＋１，・・・，ｍ｝である。Ｎは関数Ｆの入出力値の数である。ｄはＱの次数である。
　［ステップＳ１０５］参照情報送信部４２０は、証明者の端末装置１００へ証明用参照情報を送信する。

　［ステップＳ１０６］参照情報送信部４２０は、検証者のサーバ５００へ検証用参照情報を送信する。
　このようにして、ＴＴＰのサーバ４００による事前設定処理が行われる。次に証明者の端末装置１００によって、証明用参照情報に基づいて証明処理が実行される。

　図１１は、証明者の端末装置による証明処理手順の一例を示すフローチャートである。以下、図１１に示す処理をステップ番号に沿って説明する。
　［ステップＳ２０１］証明書取得部１１０は、署名者それぞれのサーバ２００，３００から証明書１２１，１２２を取得する。証明書取得部１１０は、取得した証明書１２１，１２２を記憶部１２０に格納する。

　［ステップＳ２０２］参照情報取得部１３０は、ＴＴＰのサーバ４００から証明用参照情報を取得する。
　［ステップＳ２０３］ゼロ知識証明部１４０は、ｕ’に含まれる公開鍵ｐｋが、検証者のマスターシークレットである秘密鍵ｖｋに対応する公開鍵であることを確認する。例えばＴＴＰのサーバ４００が認証局としての機能を兼ね備えている場合、ゼロ知識証明部１４０は、ＴＴＰのサーバ４００から公開鍵ｐｋが検証者のものであることを保証するデジタル署名を取得する。ゼロ知識証明部１４０は、取得したデジタル署名を検証することで、取得した公開鍵ｐｋが検証者の秘密鍵ｖｋに対応する公開鍵であることを確認する。

　［ステップＳ２０４］ゼロ知識証明部１４０は、ｕ’，ｗを入力として、総収入の暗号文であるｙ’＝Ｆ’（ｕ’，ｗ）を計算し、関数Ｆ’に対するＱを評価することで、多項式Ｖ，Ｗ，Ｙの係数｛ｃ_i｝_ｉ∈[m]を生成する。すなわちゼロ知識証明部１４０は、関数Ｆ’（ｕ’，ｗ）の計算結果がｙ’となる正しいｕ’，ｗを知っている。そこでゼロ知識証明部１４０は、Ｑに正しいｕ’，ｗを代入することで多項式Ｖ，Ｗ，Ｙの係数を計算する。具体的にはゼロ知識証明部１４０は、多項式ｐ（ｘ）＝Ｖ（ｘ）Ｗ（ｘ）－Ｙ（ｘ）がターゲット多項式ｔ（ｘ）で割り切れるような多項式の係数｛ｃ_i｝_ｉ∈[m]を生成する。

　なおｕ’には検証者の公開鍵ｐｋが含まれており、関数Ｆ’の計算アルゴリズムには公開鍵ｐｋを用いてｙを暗号化する処理が含まれている。ｙは証明者の総収入であり、ゼロ知識証明部１４０がｙ’＝Ｆ’（ｕ’，ｗ）を計算することは、正しい入力によって得られる総収入ｙを検証者の公開鍵ｐｋで暗号化した暗号文を得ることを意味する。

　［ステップＳ２０５］ゼロ知識証明部１４０は、多項式ｐ（ｘ）とターゲット多項式ｔ（ｘ）とに基づいて、多項式ｈ（ｘ）を計算する。多項式ｈ（ｘ）＝ｐ（ｘ）／ｔ（ｘ）である。多項式ｐ（ｘ）はターゲット多項式ｔ（ｘ）で割り切れるため、多項式ｈ（ｘ）の係数も計算可能である。

　証明者は、「Ｖ（ｘ）Ｗ（ｘ）－Ｙ（ｘ）＝Ｈ（ｘ）ｔ（ｘ）」を満たす各多項式の係数を知っていることを検証者に証明すれば、「ｙ’＝Ｆ’（ｕ’，ｗ）」を満たすｕ’，ｗを知っていることを証明したこととなる。各多項式の係数を知っていることの証明は、ＴＴＰのサーバ４００が事前設定処理で生成した評価鍵ＥＫ_F'を用いたペアリング暗号の技術によって実現することができる。

　［ステップＳ２０６］ゼロ知識証明部１４０は、評価鍵ＥＫ_F'、多項式Ｖ，Ｗ，Ｙの係数｛ｃ_i｝_ｉ∈[m]、多項式ｈ（ｘ）に基づいて、ペアリング暗号の技術を用いて証明情報π_y'を計算する。証明情報π_y'は、以下のような数値群を含む。

　このようにゼロ知識証明部１４０によるｙ’とπ_y’とを生成する計算は、（ｙ，π_y）←Ｃｏｍｐｕｔｅ（ＥＫ_F’，ｕ’）と表すことができる。
　［ステップＳ２０７］ゼロ知識証明部１４０は、知識証明情報（ｙ’，π_y'）を検証者のサーバ５００に送信する。

　このようにして証明者の端末装置１００により知識証明情報が生成される。生成された知識証明情報は検証者のサーバ５００によって検証される。
　図１２は、検証者のサーバによる検証処理手順の一例を示すフローチャートである。以下、図１２に示す処理をステップ番号に沿って説明する。

　［ステップＳ３０１］関係情報送信部５２０は、ＴＴＰのサーバ４００へ関係情報を送信する。
　［ステップＳ３０２］参照情報取得部５３０は、ＴＴＰのサーバ４００から検証用参照情報を取得する。

　［ステップＳ３０３］証明情報取得部５４０は、証明者の端末装置１００から知識証明情報（ｙ’，π_y'）を取得する。
　［ステップＳ３０４］検証部５５０は、証明情報π_y'の整合性をチェックする。整合性のチェックは｛０，１｝＝Ｖｅｒｉｆｙ（ＶＫ_F'，ｕ’，ｙ’，π_y'）で表され、整合性が確認できた場合に結果が「１」となり、確認できなかった場合に結果が「０」となる。整合性のチェックでは、双線形写像ｅを使用してαおよびβが正しいことが確認される。例えば以下の式が正しいことが確認される。

　このようなチェックがα項で８ペアリング、β項で３ペアリングについて行われる。検証部５５０は、すべてのチェックにおいて式が満たされた場合、証明情報π_y'の整合性が確認できたと判断する。

　［ステップＳ３０５］検証部５５０は、証明情報π_y'の整合性が確認できたか否かを判断する。検証部５５０は、整合性が確認できた場合、処理をステップＳ３０６に進める。また検証部５５０は、整合性が確認できなかった場合、処理をステップＳ３１０に進める。

　［ステップＳ３０６］検証部５５０は、証明者が正しくｕ’を使用したことをチェックする。例えば検証部５５０は、以下の式が満たされることを確認する。

　検証部５５０は、上記の式（６）が満たされた場合、正しくｕ’が使用されたと判断する。検証部５５０は、証明情報π_y'の整合性を確認でき、証明者が正しくｕ’を使用したことも確認できた場合、証明者が総収入の証明書１２１，１２２を有していると認定することができる。ただしこの時点では、総収入は暗号化されており、証明書１２１，１２２によって証明された総収入の具体的な数値は不明である。

　［ステップＳ３０７］検証部５５０は、ｕ’の使用が確認できた場合、処理をステップＳ３０８に進める。また検証部５５０は、ｕ’の使用が確認できなかった場合、処理をステップＳ３１０に進める。

　［ステップＳ３０８］検証部５５０は、ｙ＝Ｄｅｃ（ｙ’，ｓｋ）を計算する。これは暗号文ｙ’を検証者の秘密鍵ｓｋを用いて複合する処理である。
　［ステップＳ３０９］検証部５５０は、証明者が総収入ｙの証明書１２１，１２２を有していることを示す証明情報の検証に成功したことを示す結果を出力する。その後、検証処理が終了する。

　［ステップＳ３１０］検証部５５０は、検証失敗を示す結果を出力する。その後、検証処理が終了する。
　このようにして、非対話ゼロ知識証明が実現される。この非対話ゼロ知識証明では、関数Ｆ’内に検証者の公開鍵ｐｋを用いた暗号化のアルゴリズムが含まれている。そして関数Ｆ’の計算結果として得られるｙ’は証明者の総収入の暗号文である。ｙ’を復号できるのは検証者のマスターシークレットである秘密鍵を有している者（すなわち検証者）のサーバ５００のみである。

　ここで検証者（あるいは検証者の組織内の悪意を有する者）が、証明者の総収入の情報の証明付きでの第三者への漏洩を画策したものとする。この場合、検証者から第三者へ、知識証明情報と検証用参照情報と検証者の秘密鍵を渡さなければならない。しかし多くの場合において、秘密鍵は検証者のマスターシークレットであり、証明者の情報を漏洩することにより得られる利益よりも、マスターシークレットが漏洩することによる損失の方が大きい。また検証者の組織内ではマスターシークレットは厳重に管理されており、特定の権限を有する一部の者のみがマスターシークレットにアクセスできる。そのため検証者による第三者への情報漏洩は抑止される。

　また検証者から第三者へ知識証明情報と検証用参照情報とが渡され、検証者の秘密鍵が渡されない場合、第三者は、ｙ’（証明者の総収入の暗号文）を正しく求めることができる証明書１２１，１２２を証明者が有していることは確認できる。しかしこの場合、第三者はｙ’が証明者の総収入の暗号文であるかどうかを確認することができない。そのため、証明者の総収入が証明付きで漏洩することは抑止されている。

　なお第２の実施の形態で利用したｚｋ－ＳＮＡＲＫの計算方法の詳細は非特許文献１に詳しい。
　〔その他の実施の形態〕
　第２の実施の形態では、ｚｋ－ＳＮＡＲＫにより非対話ゼロ知識証明を実現しているが、他のゼロ知識証明技術を利用することもできる。他のゼロ知識証明としては、ｚｋ－ＳＴＡＲＫ（zero-knowledge Scalable Transparent ARgument of Knowledge）、Bullet Proofなどがある。ｚｋ－ＳＴＡＲＫまたはBullet Proofを用いれば、ＴＴＰによる事前設定（セットアップ）は不要となる。

　上記については単に本発明の原理を示すものである。さらに、多数の変形、変更が当業者にとって可能であり、本発明は上記に示し、説明した正確な構成および応用例に限定されるものではなく、対応するすべての変形例および均等物は、添付の請求項およびその均等物による本発明の範囲とみなされる。

　１　第１の情報処理装置
　１ａ　記憶部
　１ｂ　処理部
　２　第２の情報処理装置
　３　証明書

Claims

　証明者が管理する第１の情報処理装置が、
　所定値を検証者の公開鍵で暗号化した暗号文を生成し、
　第１の入力値を入力した場合の計算結果が前記所定値となる第１の関数に示される計算と前記第１の関数の計算結果を前記公開鍵で暗号化する計算とを含む第２の関数と、前記第１の入力値と前記公開鍵とを含む第２の入力値とに基づいて、前記第２の関数に入力した場合に計算結果として前記暗号文を得ることができる前記第２の入力値に含まれる秘匿対象の秘匿値を有していることを、非対話ゼロ知識証明によって証明する証明情報を生成し、
　前記暗号文と前記証明情報とを含む知識証明情報を、前記公開鍵に対応する秘密鍵を有する前記検証者が管理する第２の情報処理装置に送信する、
　知識証明方法。
　前記第２の情報処理装置が、
　前記知識証明情報に基づいて、前記秘匿値を前記証明者が有していることを検証し、
　前記検証者の前記秘密鍵を用いて前記暗号文を復号し、
　前記検証に成功し、かつ前記復号により前記所定値が得られた場合、前記第１の関数の計算結果を前記所定値とするために前記第１の入力値に含める前記秘匿値を、前記証明者が知っていると認定する、
　請求項１記載の知識証明方法。
　前記第１の情報処理装置は、信頼できる第三者の管理する第３の情報処理装置から、ｚｋ－ＳＮＡＲＫ（zero-knowledge Succinct Non-interactive ARgument of Knowledge）による前記非対話ゼロ知識証明のための証明用参照情報を取得し、前記証明用参照情報を用いて前記証明情報を生成し、
　前記第２の情報処理装置は、前記第３の情報処理装置から、ｚｋ－ＳＮＡＲＫによる前記非対話ゼロ知識証明のための検証用参照情報を取得し、前記検証用参照情報を用いて前記秘匿値を前記証明者が有していることを検証する、
　請求項２記載の知識証明方法。
　前記所定値は、前記証明者の個人情報を含み、前記秘匿値は前記個人情報が真正であることを証明する情報を含む、
　請求項１ないし３のいずれかに記載の知識証明方法。
　前記秘匿値は、前記個人情報が真正であることを証明するデジタル署名を含み、前記第１の入力値は、前記デジタル署名の生成に用いた署名鍵に対応する検証鍵を含む、
　請求項４記載の知識証明方法。
　証明者が管理する第１の情報処理装置に、
　所定値を検証者の公開鍵で暗号化した暗号文を生成し、
　第１の入力値を入力した場合の計算結果が前記所定値となる第１の関数に示される計算と前記第１の関数の計算結果を前記公開鍵で暗号化する計算とを含む第２の関数と、前記第１の入力値と前記公開鍵とを含む第２の入力値とに基づいて、前記第２の関数に入力した場合に計算結果として前記暗号文を得ることができる前記第２の入力値に含まれる秘匿対象の秘匿値を有していることを、非対話ゼロ知識証明によって証明する証明情報を生成し、
　前記暗号文と前記証明情報とを含む知識証明情報を、前記公開鍵に対応する秘密鍵を有する前記検証者が管理する第２の情報処理装置に送信する、
　処理を実行させる知識証明プログラム。
　所定値を検証者の公開鍵で暗号化した暗号文を生成し、第１の入力値を入力した場合の計算結果が前記所定値となる第１の関数に示される計算と前記第１の関数の計算結果を前記公開鍵で暗号化する計算とを含む第２の関数と、前記第１の入力値と前記公開鍵とを含む第２の入力値とに基づいて、前記第２の関数に入力した場合に計算結果として前記暗号文を得ることができる前記第２の入力値に含まれる秘匿対象の秘匿値を有していることを、非対話ゼロ知識証明によって証明する証明情報を生成し、前記暗号文と前記証明情報とを含む知識証明情報を、前記公開鍵に対応する秘密鍵を有する前記検証者が管理する第２の情報処理装置に送信する処理部、
　を有する情報処理装置。