WO2023119447A1 - 署名システム、署名方法、及び署名プログラム - Google Patents

署名システム、署名方法、及び署名プログラム Download PDF

Info

Publication number
WO2023119447A1
WO2023119447A1 PCT/JP2021/047410 JP2021047410W WO2023119447A1 WO 2023119447 A1 WO2023119447 A1 WO 2023119447A1 JP 2021047410 W JP2021047410 W JP 2021047410W WO 2023119447 A1 WO2023119447 A1 WO 2023119447A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
signature
verification
tracking
signing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2021/047410
Other languages
English (en)
French (fr)
Inventor
のん 川名
健 長沼
健太 高橋
渉 中村
志江 本宮
峻行 羽渕
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to PCT/JP2021/047410 priority Critical patent/WO2023119447A1/ja
Publication of WO2023119447A1 publication Critical patent/WO2023119447A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Definitions

  • the present invention relates to a signature system, a signature method, and a signature program.
  • biometric authentication the registered biometric information is compared with the authenticator's biometric information, and if the degree of similarity is above a certain level, authentication is successful. Since errors occur every time biometric information is acquired, it is necessary to adopt a method that is not affected by errors when matching.
  • Patent Document 1 Japanese Patent Application Laid-Open No. 2013-123142
  • Non-Patent Document 1 are available as the background art of the present invention.
  • Patent Literature 1 describes, “At the time of registration, a predetermined secret key is embedded in the feature amount of the user's biometric information, and a biometric certificate is issued in combination with the corresponding public key.
  • Generate a new temporary private key and temporary public key pair for the feature create a signature for the message using the temporary private key, embed the temporary private key in the signing feature to create a commitment, A combination of the temporary public key, the signature, and the commitment is used as a biometric signature, and when verifying the biometric signature, the signature is verified with the temporary public key, and a difference private key and a difference public key are generated from the biometric certificate, the commitment, and the temporary public key. and verify response.” (see summary).
  • Non-Patent Document 1 discloses a group signature method that is different from the individual signature method described in Patent Document 1.
  • the group signature scheme described in Non-Patent Document 1 is characterized by anonymity in which a verifier cannot recognize who among the members generated the signature.
  • biometric signature system described in Patent Document 1 allows electronic signatures by individuals, signatures do not have anonymity, making it clear who generated the signature.
  • group signature method described in Non-Patent Document 1 maintains the anonymity of the signature creator, but does not support signatures using biometric information.
  • an external verification terminal is notified which signature terminal has generated the personal signature.
  • the objective is to allow a confidential and authorized tracker terminal to identify which signature terminal generated the personal signature.
  • the signing system includes a grouping terminal including a processor and a memory, a verification terminal including a processor and a memory, and a tracking terminal including a processor and a memory, wherein the memory of the grouping terminal includes a plurality of signing terminals.
  • the processor of the verification terminal verifies the group signature and the tracking information received from the grouping terminal based on the group verification key and the zero-knowledge proof received from the grouping terminal;
  • a tracking terminal processor identifies, based on the tracking private key and the tracking information received from the grouping terminal, that the group signature was generated based on the personal signature of the user of the first signing terminal.
  • the present invention while guaranteeing that a personal signature using biometric information has been generated by any of the signature terminals, it is possible to keep secret which signature terminal generated the personal signature from an external verification terminal. , an authorized tracker terminal can identify which signing terminal generated the personal signature.
  • FIG. 1 is a block diagram showing a configuration example of a signature generation/verification system in Example 1;
  • FIG. 3 is a block diagram showing a hardware configuration example of a signer terminal in Example 1;
  • FIG. 5 is a sequence diagram showing an example of pre-processing in Example 1;
  • 7 is a flow chart showing an example of verification key generation processing according to the first embodiment;
  • 4 is a sequence diagram showing an example of signature generation processing in Example 1.
  • FIG. 4 is a flow chart showing an example of electronic signature generation processing in Embodiment 1.
  • FIG. 7 is a flowchart illustrating an example of zero-knowledge proof generation processing according to the first embodiment; 7 is a flow chart showing an example of random permutation verification key generation processing according to the first embodiment; 7 is a flowchart illustrating an example of zero-knowledge proof generation processing according to the first embodiment; 7 is a flow chart showing an example of tracking information generation processing according to the first embodiment; 5 is a flow chart showing an example of signature verification processing in Embodiment 1.
  • FIG. 7 is a flow chart showing an example of zero-knowledge proof ⁇ 0 verification processing according to the first embodiment; 10 is a flowchart illustrating an example of zero-knowledge proof ⁇ 1 verification processing in the first embodiment; 7 is a flow chart showing an example of tracking information verification processing in Embodiment 1.
  • FIG. FIG. 4 is an explanatory diagram showing an example of a use case of the signature generation/verification system in Example 1;
  • a signer terminal gives an electronic signature using biometric information to an in-house document
  • a grouping terminal gives a grouping signature based on the electronic signature.
  • Fig. 1 is a block diagram showing a configuration example of a signature generation/verification system.
  • the signature generation/verification system includes, for example, a signer terminal 100, a signer terminal 200, a grouping executor terminal 300, a verifier terminal 400, and a tracker terminal 500, and these terminals are connected to the Internet or the like. are interconnected by a network 600 .
  • the signer terminal 100 or the signer terminal 200 executes signature generation processing using biometric information.
  • the signer terminal 100 includes a verification key generation unit 101 and an electronic signature generation unit 102, which are functional units.
  • Verification key generation unit 101 generates a verification key for signer terminal 100 .
  • the electronic signature generation unit 102 generates an electronic signature as an individual of the user of the signer terminal 100 .
  • the signer terminal 200 includes a verification key generation unit 201 and an electronic signature generation unit 202, which are functional units.
  • Verification key generation unit 201 generates a verification key for signer terminal 200 .
  • the electronic signature generation unit 202 generates an electronic signature for the user of the signer terminal 200 as an individual.
  • the grouping executor terminal 300 generates a group signature by executing the grouping process of the signatures generated by the signer terminal 100 or the signer terminal 200. In other words, in the grouping process, the grouping executor terminal 300 conceals whether the signer is the user of the signer terminal 100 or the signer terminal 200, and the signer is the user of the signer terminal 100. Alternatively, the process of generating a zero-knowledge proof proving that the user is the user of the signer's terminal 200 is executed.
  • the grouping executor terminal 300 includes a group verification key generation unit 301, a grouping unit 302, and a zero-knowledge proof unit 303, which are functional units.
  • Group verification key generation section 301 generates a group verification key based on the verification key generated by each signer terminal.
  • the grouping unit 302 generates a group electronic signature based on an individual electronic signature generated by one of the signer terminals, and tracking information for tracking which individual has signed.
  • the zero-knowledge proof unit 303 generates a zero-knowledge proof for the verifier terminal 400 to verify the group signature and a zero-knowledge proof for the verifier terminal 400 to verify the tracking information.
  • the grouping process, group signature, and zero-knowledge proof method will be described later, but the grouping executor's terminal 300, which is a terminal different from the signer's terminal 100 with the personal signature, can execute these processes.
  • the verifier terminal 400 verifies the group signature and tracking information generated by the grouping executor terminal 300.
  • Verifier terminal 400 includes electronic signature verification section 401, which is a functional section.
  • the electronic signature verification unit 401 verifies the group signature and tracking information generated by the grouping executor terminal 300 .
  • the tracker terminal 500 executes a tracking process to identify whether the signer of the generated group signature is the user of the signer terminal 100 or the user of the signer terminal 200.
  • Tracker terminal 500 includes signer tracking unit 501, which is a functional unit.
  • the signer tracking unit 501 executes the tracking process described above based on the tracking information.
  • FIG. 2 is a block diagram showing an example hardware configuration of the signer terminal 100.
  • the signer terminal 100 includes, for example, a CPU (Control Processing Unit) 100-1, an auxiliary storage device 100-2, a memory 100-3, an input/output interface 100-5, a communication device 100-6, biometric information
  • An acquisition sensor 100-7 and a computer are connected via an internal signal line 100-4.
  • the CPU 100-1 includes a processor and executes programs stored in the memory 100-3.
  • the memory 100-3 includes ROM, which is a nonvolatile storage element, and RAM, which is a volatile storage element.
  • the ROM stores immutable programs (eg, BIOS) and the like.
  • the RAM is a high-speed and volatile storage device such as a DRAM (Dynamic Random Access Memory), and temporarily stores programs executed by the CPU 100-1 and data used during execution of the programs.
  • the auxiliary storage device 100-2 is, for example, a large-capacity, non-volatile storage device such as a magnetic storage device (HDD) or flash memory (SSD), and is used when the CPU 100-1 executes programs and programs. Store data. That is, the program is read from auxiliary storage device 100-2, loaded into memory 100-3, and executed by CPU 100-1.
  • HDD magnetic storage device
  • SSD flash memory
  • the input/output interface 100-5 is an interface to which a keyboard, a mouse, etc. are connected to receive input from the user, and a display device, a printer, etc. are connected to output the execution result of the program in a form that can be visually recognized by the user. Including interfaces, etc.
  • the communication device 100-6 is a network interface device that controls communication with other devices according to a predetermined protocol.
  • the communication device 100-6 also includes a serial interface such as USB (Universal Serial Bus).
  • the program executed by CPU 100-1 is provided to signer terminal 100 via removable media (CD-ROM, flash memory, etc.) or network 600, and stored in non-volatile auxiliary storage device 100-2, which is a non-temporary storage medium. stored in For this reason, the signer's terminal 100 preferably has an interface for reading data from removable media.
  • the biometric information acquisition sensor 100-7 is a sensor that acquires the user's biometric information.
  • a fingerprint sensor that acquires fingerprints and wrinkles on a hand, a vein sensor that acquires veins on a hand, or the like is an example of the biometric information acquisition sensor 100-7.
  • the hardware configuration of the signer terminal 200 is the same as the hardware configuration of the signer terminal 100, and the hardware configuration of the grouping executor terminal 300, the verifier terminal 400, and the tracker terminal 500 is similar to that of the biometric information acquisition. Since the hardware configuration is the same as that of the signer terminal 100 except that the sensor 100-7 may not be provided, the description is omitted.
  • the CPU 100-1 of the signer terminal 100 operates according to the verification key generation program loaded in the memory 100-3 of the signer terminal 100, thereby functioning as the verification key generation unit 101, and the memory 100-1 of the signer terminal 100 3 functions as an electronic signature generation unit 1020 by operating according to the electronic signature generation program loaded in .
  • the functional units included in the signer terminal 200, the grouping executor terminal 300, the verifier terminal 400, and the tracker terminal 500 also have the same relationship between the programs that implement the functional units and the functional units. omitted.
  • the information used by the signature generation/verification system may be expressed in any data structure without depending on the data structure.
  • a data structure suitably selected from a table, list, database, or queue can store the information.
  • the signer terminal 100 is a computer system configured on one physical computer or on a plurality of computers configured logically or physically, and operates in separate threads on the same computer. Alternatively, it may operate on a virtual computer built on a plurality of physical computer resources. This also applies to other terminals.
  • FIG. 3 is a sequence diagram illustrating an example of preprocessing.
  • verification key generation section 101 of signer terminal 100 generates verification key VK A (S110), and transmits verification key VK A to grouping executor terminal 300 (S115).
  • Verification key generation unit 201 of signer terminal 200 generates verification key VK B (S120), and transmits verification key VK B to grouping executor terminal 300 (S125). Details of the verification key generation processing in steps S110 and S210 will be described later.
  • the signer tracking unit 501 stores the private key Sk as a private key for tracking in the auxiliary storage device 100-2 and/or the memory 100-3 of the tracker terminal 500, and groups the public key Pk as a public key for tracking. is sent to the executor terminal 300 (S135), and the pre-processing ends.
  • f is, for example, a generator of a multiplicative group of a predetermined finite field F, and a base point of the ElGamal cryptosystem.
  • FIG. 4 is a flowchart showing an example of verification key generation processing in step S110.
  • the verification key generation unit 101 of the signer terminal 100 initializes variables (S111). Specifically, the verification key generation unit 101 uses A as the biometric information of the signer himself/herself who is the user of the signer terminal 100, T as a randomly determined real number constant, for example as a multiplicative group of a predetermined finite field F Set the generator g of . For example, the biometric information A of the signer himself/herself is acquired by the biometric information acquisition sensor 100-7 and stored in the auxiliary storage device 100-2 and/or the memory 100-3.
  • the function hz is a function from a vector space over a finite field to a finite field (for example, hz:: ⁇ n ⁇ F).
  • FIG. 5 is a sequence diagram showing an example of signature generation processing.
  • the electronic signature generation unit 102 of the signer terminal 100 generates an electronic signature (personal signature) ⁇ for the message M (S130), and transmits the electronic signature ⁇ to the grouping executor terminal 300 (S135).
  • the details of the process of generating the electronic signature ⁇ in step S130 will be described later.
  • the zero-knowledge proof unit 303 of the grouping executor terminal 300 executes a zero-knowledge proof generation process (S320) to generate a zero-knowledge proof ⁇ 0 or ⁇ 1 (S320).
  • FIG. 6 is a flowchart showing an example of electronic signature generation processing in step S130.
  • the electronic signature generation unit 102 executes signature generation processing (S122).
  • M) to generate s': r+ sk'A ⁇ h'.
  • H different from hz
  • this electronic signature for example, it is possible to verify which user of the signer terminal 100 signed by using the verification method of Fuzzy Signature.
  • FIG. 7 is a flow chart showing an example of the zero-knowledge proof generation process in step S320.
  • the zero-knowledge proof unit 303 of the grouping executor terminal 300 generates a random permutation verification key MVK (S330). The details of the random permutation verification key generation processing in step S330 will be described later.
  • the zero-knowledge proof unit 303 generates a verification random number h (random number of 1 or 0) (S340). Note that the zero-knowledge proof unit 303 may generate the verification random number h by substituting GVK into a predetermined hash function.
  • the zero-knowledge proof unit 303 uses the random number h to generate a zero-knowledge proof ⁇ 0 or ⁇ 1 (S350) and terminates the process. Details of the zero-knowledge proof processing in step S350 will be described later.
  • FIG. 8 is a flow chart showing an example of the random permutation verification key generation process in step S330.
  • the zero-knowledge proof unit 303 of the grouping executor terminal 300 acquires the verification keys VK A and VK B generated by the signer terminal 100 and the signer terminal 200 in the verification key generation process of step S110 (S331).
  • the zero-knowledge proof unit 303 outputs the random permutation verification key MVK (so that it can also be used in other functional units of the grouping executor terminal 300) (S334), and terminates the random permutation verification key generation process.
  • FIG. 9 is a flowchart showing an example of the zero-knowledge proof generation process in step S350.
  • the zero-knowledge proof unit 303 of the grouping executor terminal 300 sets h as the verification random number generated using the random permutation verification key MVK (S351).
  • h is a 1-bit random number that takes a value of either 1 or 0, for example.
  • FIG. 10 is a flow chart showing an example of the tracking information generation process in step S600.
  • this ⁇ e is determined by the signature verifier whether the ElGamal ciphertext Enc (Pk, vk A ⁇ 1 ) of the signer information is correctly encrypted, that is, if the plaintext of the ElGamal ciphertext is vk A ⁇ 1 or vk B Used to verify that it is -1 .
  • the grouping unit 302 generates a zero-knowledge proof ⁇ s proving that the ElGamal ciphertext corresponds to the electronic signature (S630). Specifically, for example, the grouping unit 302 calculates Pk a g a for the random number r used in step S610 and the random number a in the verification mask process (S332). The grouping unit 302 generates random numbers u 1 and u 2 in the finite field F and calculates (Pk ⁇ u 1 )(g ⁇ u 2 ).
  • This ⁇ s is used when the signature verifier verifies whether the ElGamal ciphertext Enc(Pk, vk A ⁇ 1 ) of the signer information corresponds to the electronic signature ⁇ .
  • FIG. 11 is a flowchart showing an example of signature verification processing.
  • the electronic signature verification unit 401 of the verifier terminal 400 executes verification processing of the Schnorr signature Sig(M; sk' A ) (S400).
  • the electronic signature verification unit 401 determines whether verification has succeeded or failed in the verification process in step S400 (S410). When the electronic signature verification unit 401 determines that the verification has failed (S410: verification failure), it outputs [false] (S490) and terminates the signature verification process.
  • the electronic signature verification unit 401 determines that the verification is successful (S410: verification successful), it generates a verification random number h (random number of 1 or 0) (S420).
  • the electronic signature verification unit 401 determines that the zero-knowledge proof ⁇ 0 verification process has succeeded (S460: verification success), it executes the tracking information verification process (S480), and checks whether the tracking information verification process has succeeded. Determine (S500).
  • the electronic signature verification unit 401 outputs [True] when it determines that the tracking information verification process has succeeded (S500: verification success), that is, when the verification of the zero-knowledge proof and the tracking information has succeeded.
  • the electronic signature verification unit 401 determines that the tracking information verification process has failed (S500: verification failure)
  • the process proceeds to step S490.
  • FIG. 12 is a flow chart showing an example of the zero-knowledge proof ⁇ 0 verification process in step S440.
  • Electronic signature verification unit 401 of verifier terminal 400 uses ⁇ 0 , vk A , and vk B to calculate (g ⁇ (a+sk A ), g ⁇ (b+sk B )), and (g ⁇ (a+sk A ), ⁇ (b+sk B )) is replaced with an element of ⁇ , and is generated as I (S441).
  • FIG. 13 is a flow chart showing an example of the zero-knowledge proof ⁇ 1 verification process in step S450.
  • the electronic signature verification unit 401 of the verifier terminal 400 verifies ⁇ e according to, for example, the following procedure (S481).
  • f ⁇ s 1 ((f r ) ⁇ c 1 )*T 11 (1)
  • Pk ⁇ s1 (( Pkr ) ⁇ c1 )* T12 (2)
  • f ⁇ s 2 ((f r ) ⁇ c 2 )*T 21 (3)
  • Pk ⁇ s 2 ((Pk r vk A ⁇ 1 vk B ) ⁇ c 2 )*T 22 (4)
  • c1 + c2 Hash( T11 , T12 , T21 , T22 ) (5)
  • the electronic signature verification unit 401 determines that the verification process of ⁇ e is successful, and at least one of the five equations is unsuccessfully verified. If so, it is determined that the verification process for ⁇ e has failed.
  • the electronic signature verification unit 401 verifies ⁇ s according to the following procedure, for example (S482).
  • the electronic signature verification unit 401 determines that the verification process of ⁇ s is successful, and if the verification of at least one of the two equations fails , it is determined that the verification process of ⁇ s has failed.
  • the electronic signature verification unit 401 determines that the verification of the tracking information T is successful when the verification processing of both ⁇ e and ⁇ s succeeds, and the verification processing of at least one of ⁇ e and ⁇ s fails. If so, it is determined that the verification of the trace information T has failed, and the trace information verification process is terminated.
  • FIG. 15 is an explanatory diagram showing an example of a use case of the signature generation/verification system. Assume that the preprocessing in FIG. 3 has been completed.
  • an EC (Electronic Commerce) mall operator owns a grouping executor terminal 300, each member (purchaser of goods) in the EC mall owns a signer terminal, and a vendor in the EC mall A delivery company that owns the verifier terminal 400 and delivers the merchandise of the store owner to the member owns the tracker terminal 500 .
  • EC Electronic Commerce
  • the signer terminal 100 owned by member A generates member A's personal signature ⁇ and transmits the personal signature ⁇ and product order information to grouping executor terminal 300 .
  • Grouping executor terminal 300 generates group signature ?
  • the store owner delivers the product indicated by the order information to the delivery company.
  • the tracker terminal 500 recognizes the member A based on the tracking information T included in the group signature ⁇ ', and the delivery company delivers the product to the user A.
  • the EC mall store owner cannot use the verifier terminal 400 to know which member has ordered the product, but it is possible to determine whether the product has been ordered by a legitimate member of the EC mall. can be verified. Furthermore, the delivery company can use the tracker terminal 500 to grasp the member of the delivery destination, that is, the member who ordered the product.
  • the grouping terminal 300 executes the grouping process in step S320 and the zero-knowledge proof generation process in step S330.
  • 100 or the signer's terminal 200 That is, signer terminal 100 or signer terminal 200 and grouping executor terminal 300 may be the same terminal.
  • the grouping executor terminal 300 once executes a series of processes from the random permutation verification key generation process in step S330 to the zero-knowledge proof generation process in step S350, and outputs one zero-knowledge proof.
  • the series of processes may be executed multiple times, and multiple zero-knowledge proofs may be output.
  • the grouping executor terminal 300 executes the series of processes a plurality of times, in the verification key masking process in step S332 of FIG. may be newly generated. Accordingly, the series of processes from the verification random number generation process in step S420 to the zero-knowledge proof determination process in step S470 by the verifier terminal 400 of FIG. It only needs to be executed (that is, it does not necessarily have to be executed once).
  • the present invention is not limited to the above-described embodiments, and includes various modifications.
  • the above-described embodiments have been described in detail in order to explain the present invention in an easy-to-understand manner, and are not necessarily limited to those having all the described configurations. It is also possible to replace part of the configuration of one embodiment with the configuration of another embodiment, or to add the configuration of another embodiment to the configuration of one embodiment. Moreover, it is possible to add, delete, or replace a part of the configuration of each embodiment with another configuration.
  • each of the above configurations, functions, processing units, processing means, etc. may be realized in hardware, for example, by designing a part or all of them with an integrated circuit.
  • each of the above configurations, functions, etc. may be realized by software by a processor interpreting and executing a program for realizing each function.
  • Information such as programs, tables, and files that implement each function can be stored in a recording device such as a memory, a hard disk, an SSD (Solid State Drive), or a recording medium such as an IC card, SD card, or DVD.
  • control lines and information lines indicate what is considered necessary for explanation, and not all control lines and information lines are necessarily indicated on the product. In practice, it may be considered that almost all configurations are interconnected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

グループ化端末は、複数の署名端末に含まれる第１署名端末のユーザの生体情報に基づく個人署名と、複数の署名端末のユーザそれぞれの生体情報に基づく検証鍵と、追跡用公開鍵と、を保持し、複数の署名端末の検証鍵に基づいて、グループ検証鍵を生成し、第１署名端末の検証鍵、個人署名、及び乱数と置換群の元に基づいてグループ署名を生成し、複数の署名端末の検証鍵に基づいてゼロ知識証明を生成し、第１署名端末の検証鍵及び追跡用公開鍵に基づいて追跡情報を生成し、検証端末は、グループ検証鍵及びゼロ知識証明に基づいて、グループ署名及び追跡情報を検証し、追跡者端末は、追跡用公開鍵に対応する追跡用秘密鍵及び追跡情報に基づいて、グループ署名が第１署名端末のユーザの個人署名に基づくことを特定する。

Description

署名システム、署名方法、及び署名プログラム
　本発明は、署名システム、署名方法、及び署名プログラムに関する。
　生体認証では、登録されている生体情報と認証者の生体情報を比較し、類似度が一定以上であれば認証成功とする。生体情報は取得する度に誤差が生じるため、照合の際には誤差の影響を受けない方式を採用する必要がある。
　本発明の背景技術として特許文献１（特開２０１３－１２３１４２号公報）及び非特許文献１がある。特許文献１には、「登録時にユーザの生体情報の特徴量に対して所定の秘密鍵を埋め込み、対応する公開鍵と組にして生体証明書を発行する。署名時にはユーザの生体情報の署名用特徴量に対して、新たに一時秘密鍵と一時公開鍵のペアを生成し、一時秘密鍵を用いてメッセージに対する署名を作成し、署名用特徴量に一時秘密鍵を埋め込んでコミットメントを作成し、前記一時公開鍵と前記署名と前記コミットメントの組を生体署名とし、生体署名検証時には署名を一時公開鍵で検証し、生体証明書とコミットメントと一時公開鍵から差分秘密鍵と差分公開鍵を生成して対応を検証する。」と記載されている（要約参照）。
　非特許文献１には、特許文献１に記載の個人署名方式と異なる、グループ署名方式を開示している。非特許文献１に記載のグループ署名方式では、検証者はメンバ内の誰が署名を生成したのかを認識することができない匿名性を特徴として有する。
特開２０１３－１２３１４２号公報
Ｄ．Ｂｏｎｅｈ，　Ｘ．Ｂｏｙｅｎ，　ａｎｄ　Ｈ．Ｓｈａｃｈａｍ，　"Ｓｈｏｒｔ　Ｇｒｏｕｐ　Ｓｉｇｎａｔｕｒｅｓ，　ｉｎ　ＣＲＹＰＴＯ"，　２００４
　特許文献１に記載の生体署名システムは個人による電子署名が可能であるが、署名は匿名性を持たず、誰が署名を生成したのかが明らかになる。一方で、非特許文献１に記載のグループ署名方式では、署名生成者の匿名性が保たれているが、生体情報を用いた署名には対応していない。
　そこで、本発明の一態様は、いずれかの署名端末によって生体情報を用いた個人署名が生成されたことを保証しつつ、外部の検証端末には、どの署名端末が個人署名を生成したかを秘匿し、権限を有する追跡者端末はどの署名端末が個人署名を生成したかを特定可能となることを目的とする。
　上記課題を解決するために本発明の一態様は、以下の構成を採用する。署名システムは、プロセッサとメモリとを含むグループ化端末と、プロセッサとメモリとを含む検証端末と、プロセッサとメモリとを含む追跡端末と、を含み、前記グループ化端末のメモリは、複数の署名端末に含まれる第１署名端末のユーザの生体情報に基づく個人署名と、前記複数の署名端末のユーザそれぞれの生体情報に基づく検証鍵と、追跡用公開鍵と、を保持し、前記追跡端末のメモリは、前記追跡用公開鍵に対応する追跡用秘密鍵を保持し、前記グループ化端末のプロセッサは、前記複数の署名端末の検証鍵それぞれに基づいて、グループ検証鍵を生成し、前記第１署名端末の検証鍵、前記個人署名、及び乱数と置換群の元に基づいてグループ署名を生成し、前記複数の署名端末それぞれの検証鍵に基づいてゼロ知識証明を生成し、前記第１署名端末の検証鍵及び前記追跡用公開鍵に基づいて追跡情報を生成し、前記グループ検証鍵、前記グループ署名、前記ゼロ知識証明、及び前記追跡情報を前記検証端末に送信し、前記追跡情報を前記追跡端末に送信し、前記検証端末のプロセッサは、前記グループ化端末から受信した前記グループ検証鍵及び前記ゼロ知識証明に基づいて、前記グループ化端末から受信した前記グループ署名及び前記追跡情報を検証し、前記追跡端末のプロセッサは、前記追跡用秘密鍵及び前記グループ化端末から受信した追跡情報に基づいて、前記グループ署名が前記第１署名端末のユーザの個人署名に基づいて生成されたことを特定する。
　本発明によれば、生いずれかの署名端末によって生体情報を用いた個人署名が生成されたことを保証しつつ、外部の検証端末には、どの署名端末が個人署名を生成したかを秘匿し、権限を有する追跡者端末はどの署名端末が個人署名を生成したかを特定することができる。
実施例１における署名生成/検証システムの構成例を示すブロック図である。 実施例１における署名者端末のハードウェア構成例を示すブロック図である。 実施例１における事前処理の一例を示すシーケンス図である。 実施例１における検証鍵生成処理の一例を示すフローチャートである。 実施例１における署名生成処理の一例を示すシーケンス図である。 実施例１における電子署名生成処理の一例を示すフローチャートである。 実施例１におけるゼロ知識証明生成処理の一例を示すフローチャートである。 実施例１におけるランダム置換検証鍵生成処理の一例を示すフローチャートである。 実施例１におけるゼロ知識証明生成処理の一例を示すフローチャートである。 実施例１における追跡情報生成処理の一例を示すフローチャートである。 実施例１における署名検証処理の一例を示すフローチャートである。 実施例１におけるゼロ知識証明π０検証処理の一例を示すフローチャートである。 実施例１におけるゼロ知識証明π１検証処理の一例を示すフローチャートである。 実施例１における追跡情報検証処理の一例を示すフローチャートである。 実施例１における署名生成/検証システムのユースケースの一例を示す説明図である。
　以下、本発明の第一の実施形態を添付図面に基づいて説明する。本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。
　本実施例の署名生成／検証システムは、例えば、社内文書に対して署名者端末が生体情報を用いた電子署名を付与し、グループ化端末が当該電子署名に基づくグループ化署名を付与する。これにより、社内で当該文書を閲覧、及び電子署名の検証をする際には、署名者が確かに電子署名を付与した事を確認しつつ、社外で当該文書を閲覧する際には、署名者が署名処理を行った事を秘匿化し、当該組織に所属するいずれかの人物が電子署名を付与した事実のみを社外の検証者が確認できる。また、どの署名者が署名を行ったかを追跡者端末のみが確認することができる。
　図１は、署名生成/検証システムの構成例を示すブロック図である。署名生成/検証システムは、例えば、署名者端末１００と、署名者端末２００と、グループ化実行者端末３００と、検証者端末４００と、追跡者端末５００と、を含みこれらの端末はインターネット等のネットワーク６００により相互に接続されている。
　図１の例では、署名者端末１００又は署名者端末２００が生体情報を用いた署名の生成処理を実行する。署名者端末１００は、それぞれ機能部である、検証鍵生成部１０１及び電子署名生成部１０２を含む。検証鍵生成部１０１は、検証鍵生成部１０１は、署名者端末１００の検証鍵を生成する。電子署名生成部１０２は、署名者端末１００のユーザの個人としての電子署名を生成する。
　署名者端末２００は、それぞれ機能部である、検証鍵生成部２０１及び電子署名生成部２０２を含む。検証鍵生成部２０１は、署名者端末２００の検証鍵を生成する。電子署名生成部２０２は、署名者端末２００のユーザの個人としての電子署名を生成する。
　グループ化実行者端末３００は、署名者端末１００又は署名者端末２００が生成した署名のグループ化処理を実行することでグループ署名を生成する。つまり、グループ化実行者端末３００は、グループ化処理において、署名者が署名者端末１００のユーザであるか署名者端末２００のユーザであるかを秘匿化し、かつ署名者が署名者端末１００のユーザ又は署名者端末２００のユーザであることを証明するゼロ知識証明の生成処理を実行する。
　グループ化実行者端末３００は、それぞれ機能部である、グループ検証鍵生成部３０１、グループ化部３０２、及びゼロ知識証明部３０３を含む。グループ検証鍵生成部３０１は、各署名者端末が生成した検証鍵に基づいて、グループ検証鍵を生成する。グループ化部３０２は、いずれかの署名者端末が生成した個人としての電子署名に基づいて、グループ電子署名、及びどの個人が署名をしたかを追跡するための追跡情報を生成する。
　ゼロ知識証明部３０３は、検証者端末４００がグループ署名を検証するためのゼロ知識証明、及び検証者端末４００が追跡情報を検証するためのゼロ知識証明を生成する。グループ化処理やグループ署名やゼロ知識証明の方法については後述するが、個人署名をした署名者端末１００とは異なる端末であるグループ化実行者端末３００がこれらの処理を実行することができる。
　検証者端末４００は、グループ化実行者端末３００が生成したグループ署名及び追跡情報を検証する。検証者端末４００は、機能部である電子署名検証部４０１を含む。電子署名検証部４０１は、グループ化実行者端末３００が生成したグループ署名及び追跡情報を検証する。
　追跡者端末５００は、生成されたグループ署名の署名者が、署名者端末１００のユーザ又は署名者端末２００のユーザのどちらであるかを特定する追跡処理を実行する。追跡者端末５００は、機能部である署名者追跡部５０１を含む。署名者追跡部５０１は、追跡情報に基づいて、上記した追跡処理を実行する。
　図２は、署名者端末１００のハードウェア構成例を示すブロック図である。署名者端末１００は、例えば、ＣＰＵ（Ｃｏｎｔｒｏｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）１００－１と、補助記憶装置１００－２と、メモリ１００－３と、入出力インターフェース１００－５と、通信装置１００－６と、生体情報取得センサ１００－７と、が内部信号線１００－４を介して接続されている計算機によって構成される。
　ＣＰＵ１００－１はプロセッサを含み 、メモリ１００－３に格納されたプログラムを実行する。メモリ１００－３は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ１００－１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。
　補助記憶装置１００－２は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ１００－１が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。すなわち、プログラムは、補助記憶装置１００－２から読み出されて、メモリ１００－３にロードされて、ＣＰＵ１００－１によって実行される。
　入出力インターフェース１００－５は、キーボードやマウス、などが接続され、ユーザからの入力を受けるインターフェースであり、ディスプレイ装置やプリンタなどが接続され、プログラムの実行結果をユーザが視認可能な形式で出力するインターフェースなどを含む。
　通信装置１００－６は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置である。また、通信装置１００－６は、例えば、ＵＳＢ（Ｕｎｉｖｅｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）等のシリアルインターフェースを含む。ＣＰＵ１００－１が実行するプログラムは、リムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又はネットワーク６００を介して署名者端末１００に提供され、非一時的記憶媒体である不揮発性の補助記憶装置１００－２に格納される。このため、署名者端末１００は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。
　生体情報取得センサ１００－７はユーザの生体情報を取得するセンサである。手の指紋や皺を取得する指紋センサ、又は手の静脈を取得する静脈センサ等は、生体情報取得センサ１００－７の一例である。
　なお、署名者端末２００のハードウェア構成は署名者端末１００のハードウェア構成と同様であり、グループ化実行者端末３００、検証者端末４００、及び追跡者端末５００のハードウェア構成は、生体情報取得センサ１００－７を有していなくてもよい点を除いて、署名者端末１００のハードウェア構成と同様であるため、説明を省略する。
　署名者端末１００のＣＰＵ１００―１は、署名者端末１００のメモリ１００－３にロードされた検証鍵生成プログラムに従って動作することで、検証鍵生成部１０１として機能し、署名者端末１００のメモリ１００－３にロードされた電子署名生成プログラムに従って動作することで、電子署名生成部１０２０として機能する。署名者端末２００、グループ化実行者端末３００、検証者端末４００、及び追跡者端末５００に含まれる機能部についても、各機能部を実現するプログラムと機能部との関係は同様であるため、説明を省略する。
　なお、本実施形態において、署名生成/検証システムが使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。例えば、テーブル、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。署名者端末１００は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。これは他の端末についても同様である。
　以下、本実施例における事前処理を図３から図４、署名生成処理を図５から図６、ゼロ知識証明生成処理を図７から図９、追跡情報生成処理を図１０、署名検証処理を図１１から図１３、追跡情報検証処理を図１４、を参照しながら説明する。
　図３は、事前処理の一例を示すシーケンス図である。まず、署名者端末１００の検証鍵生成部１０１は、検証鍵ＶＫＡを生成し（Ｓ１１０）、検証鍵ＶＫＡをグループ化実行者端末３００に送信する（Ｓ１１５）。署名者端末２００の検証鍵生成部２０１は検証鍵ＶＫＢを生成し（Ｓ１２０）、検証鍵ＶＫＢをグループ化実行者端末３００に送信する（Ｓ１２５）。ステップＳ１１０及びステップＳ２１０の検証鍵生成処理の詳細は後述する。グループ化実行者端末３００のグループ検証鍵生成部３０１は、グループ検証鍵ＧＶＫ＝（ＶＫＡ，ＶＫＢ）を生成する(Ｓ３１０)。
　追跡者端末５００の署名者追跡部５０１は、追跡用鍵ペアであるエルガマル暗号の公開鍵及び秘密鍵の組（Ｐｋ，Ｓｋ）＝（ｆｘ，ｘ）を生成する（Ｓ５００）。署名者追跡部５０１は、当該秘密鍵Ｓｋを追跡用秘密鍵として追跡者端末５００の補助記憶装置１００－２及び／又はメモリ１００－３に保存し、当該公開鍵Ｐｋを追跡用公開鍵としてグループ化実行者端末３００に送信し（Ｓ１３５）、事前処理を終了する。ただし、ｆは、例えば予め定められた有限体Ｆの乗法群の生成元であり、エルガマル暗号のベースポイントである。
　図４は、ステップＳ１１０の検証鍵生成処理の一例を示すフローチャートである。署名者端末１００の検証鍵生成部１０１は、変数の初期設定をする（Ｓ１１１）。具体的には、検証鍵生成部１０１は、署名者端末１００のユーザである署名者本人の生体情報をＡ、例えばランダムに決定した実数定数をＴ、例えば予め定められた有限体Ｆの乗法群の生成元ｇを設定する。なお、例えば、署名者本人の生体情報Ａは、生体情報取得センサ１００－７によって取得され、補助記憶装置１００－２及び／又はメモリ１００－３に格納される。
　検証鍵生成部１０１は、署名者の鍵生成処理を実行する(Ｓ１１２)。具体的には、例えば、検証鍵生成部１０１は、有限体Ｆ内の乱数ｓｋＡを生成し、例えば予め定められた関数ｈｚを用いて、ｖｋＡ：＝ｇ＾ｓｋＡ、ａ：＝ｈｚ（ｓｋＡ）－１を算出し（但し、「＾」はべき乗を表す）、公開テンプレートｃＡ：＝ａ＋ＴＡを算出する。ただし関数ｈｚは有限体上のベクトル空間から有限体への関数である（例えば、ｈｚ：：Ｚ＾ｎ→Ｆである）。
　検証鍵生成部１０１は、検証鍵ＶＫＡ：＝（ｖｋＡ，ｃＡ）とし、ＶＫＡをグループ化実行者端末３００に出力して（Ｓ１１３）、検証鍵生成処理終了する。なお、ステップＳ１２０の検証鍵生成処理については図４と同様であるため（Ａを署名者端末２００のユーザの生体情報Ｂ、ａをｂ、ｓｋＡを有限体Ｆ内の乱数ｓｋＢと読み替えれば、同様の方法でＶＫＢが生成される）、説明を省略する。
　図５は署名生成処理の一例を示すシーケンス図である。署名者端末１００の電子署名生成部１０２は、メッセージＭに対して電子署名（個人署名）σを生成し（Ｓ１３０）、グループ化実行者端末３００に電子署名σを送信する（Ｓ１３５）。ステップＳ１３０の電子署名σの生成処理の詳細については後述する。
　次にグループ化実行者端末３００のゼロ知識証明部３０３は、ゼロ知識証明生成処理(Ｓ３２０)を実行し、ゼロ知識証明π０又はπ１を生成する（Ｓ３２０）。グループ化部３０２は、追跡情報Ｔと、電子署名（グループ署名）σ’＝（Ｍ，ＧＶＫ，πｉ，Ｔ）　（ｉ＝０　ｏｒ　１）と、を生成して（Ｓ６００）、署名生成処理を終了する。
　図６は、ステップＳ１３０における電子署名生成処理の一例を示すフローチャートである。署名者端末１００の電子署名生成部１０２は、ステップＳ１１０の検証鍵生成処理で生成された検証鍵ＶＫＡ＝（ｖｋＡ，ｃＡ）を取得する（Ｓ１２１）。電子署名生成部１０２は、署名の生成処理を実行する(Ｓ１２２)。
　電子署名生成部１０２は、署名生成時の生体情報をＡ’、メッセージをＭとして、Ｆ内の乱数ｓｋ’Ａを取得し、署名生成時の検証鍵ｖｋ’Ａ：＝ｇ＾ｓｋ’Ａを生成する。電子署名生成部１０２は、有限体Ｆ内の新たな乱数ｒと予め定められたハッシュ関数Ｈ（ｈｚとは異なる）を用いて、Ｒ：＝ｇｒ、ｈ’：＝Ｈ（Ｒ｜｜Ｍ）を計算し、ｓ’：＝ｒ＋ｓｋ’Ａ・ｈ’を生成する。ここで、Ｓｉｇ（Ｍ；ｓｋ’Ａ）：＝（ｈ’，ｓ’）と表す。電子署名生成部１０２は、ａ’：＝ｈｚ（ｓｋ’Ａ）－１を計算し、署名生成時のテンプレートｃ’：＝ａ’＋ＴＡ’を生成する。この電子署名は、例えば、Ｆｕｚｚｙ　Ｓｉｇｎａｔｕｒｅの検証方法を用いて、どの署名者端末１００のユーザによって署名がされたかが検証可能である。
　電子署名生成部１０２は、電子署名（個人署名）σ：＝（ｖｋ’Ａ，ｈ’，ｓ’，ｃ’）をグループ化実行者端末３００に出力し（Ｓ１２３）、電子署名生成処理を終了する。
　図７は、ステップＳ３２０のゼロ知識証明生成処理の一例を示すフローチャートである。グループ化実行者端末３００のゼロ知識証明部３０３は、ランダム置換検証鍵ＭＶＫを生成する（Ｓ３３０）。ステップＳ３３０のランダム置換検証鍵生成処理の詳細は後述する。ゼロ知識証明部３０３は、検証用乱数ｈ（１又は０である乱数）を生成する（Ｓ３４０）。なお、ゼロ知識証明部３０３は、ＧＶＫを予め定められたハッシュ関数に代入することで、検証用乱数ｈを生成してもよい。ゼロ知識証明部３０３は、乱数ｈを用いてゼロ知識証明π０又はπ１を生成して（Ｓ３５０）処理を終了する。ステップＳ３５０のゼロ知識証明処理の詳細は後述する。
　図８は、ステップＳ３３０のランダム置換検証鍵生成処理の一例を示すフローチャートである。グループ化実行者端末３００のゼロ知識証明部３０３は、署名者端末１００及び署名者端末２００がステップＳ１１０の検証鍵生成処理で生成した検証鍵ＶＫＡ、ＶＫＢを取得する（Ｓ３３１）。
　ゼロ知識証明部３０３は、検証鍵のマスク処理を実行する(Ｓ３３２)。具体的には、例えば、ゼロ知識証明部３０３は、有限体Ｆ内の乱数ａ、ｂを生成し、（ｇ＾（ａ＋ｓｋＡ），ｇ＾（ｂ＋ｓｋＢ））を計算する。さらに、ゼロ知識証明部３０３は、例えば予め定められた対称群、の元τを用いた置換を実行することで、ＭＶＫ：＝τ（ｇ＾（ａ＋ｓｋＡ），ｇ＾（ｂ＋ｓｋＢ））を計算する。
　ゼロ知識証明部３０３は、ランダム置換検証鍵ＭＶＫを（グループ化実行者端末３００の他の機能部においても利用できるように）出力して（Ｓ３３４）、ランダム置換検証鍵生成処理を終了する。
　図９は、ステップＳ３５０のゼロ知識証明生成処理の一例を示すフローチャートである。グループ化実行者端末３００のゼロ知識証明部３０３は、ランダム置換検証鍵ＭＶＫを用いて生成した検証用乱数をｈとする（Ｓ３５１）。ただし、ｈは例えば１又は０のいずれかの値をとる１ビット乱数とする。
　ゼロ知識証明部３０３は、ｈ＝０であるかｈ＝１であるか判定する(Ｓ３５２)。ゼロ知識証明部３０３は、ｈ＝０であると判定した場合には（Ｓ３５２：ｈ＝０）、ゼロ知識証明π０：＝（ａ，ｂ，τ）を生成して(Ｓ３５３)、ゼロ知識証明π０を検証者端末４００に出力し(Ｓ３５４)、ゼロ知識証明生成処理を終了する。
　ゼロ知識証明部３０３は、ｈ＝１であると判定した場合には（Ｓ３５２：ｈ＝１）、Δ：＝ｈｚ(「ｃ’－ｃＡ」)を計算し（但し、「　」は、例えば、床関数又は天井関数等の所定の端数処理を示す関数である）、ゼロ知識証明π１：＝（Ｓｉｇ（Ｍ；ａ＋ｓｋ’Ａ－Δ），ＭＶＫにおけるＭＶＫＡの位置）を生成して（Ｓ３５５）、ゼロ知識証明π１を検証者端末４００に出力して(Ｓ３５６)、ゼロ知識証明処理を終了する。
　図１０は、ステップＳ６００の追跡情報生成処理の一例を示すフローチャートである。まず、グループ化実行者端末３００のグループ化部３０２は、署名者情報のエルガマル暗号化処理（署名者情報のエルガマル暗号文を生成）を実行する（Ｓ６１０）。具体的には、例えば、グループ化部３０２は、署名者ＡのｖｋＡに対して、ｖｋＡ －１を計算し、追跡用公開鍵Ｐｋを用いてエルガマル暗号文Ｅｎｃ（Ｐｋ，ｖｋＡ －１）を生成する。つまり、有限体Ｆ内の乱数ｒに対して、Ｅｎｃ（Ｐｋ，ｖｋＡ －１）＝（ｆｒ，ＰｋｒＶｋＡ －１）となる。
　グループ化部３０２は、エルガマル暗号文の正当性を証明するゼロ知識証明πｅを生成する（Ｓ６２０）。具体的には、例えば、グループ化部３０２は、有限体Ｆ内の乱数ｔ１を生成し、Ｔ１１＝ｆ＾ｔ１、Ｔ１２＝Ｐｋ＾ｔ１、とし、有限体Ｆ内の乱数ｃ２，ｓ２を生成し、Ｔ２１＝ｆ＾ｓ２、Ｔ２２＝ｐｋ＾ｓ２／（ＰｋｒｖｋＡ －１ｖｋＢ）＾ｃ２を計算する。さらに、グループ化部３０２は、ｃ＝Ｈａｓｈ（Ｔ１１，Ｔ１２，Ｔ２１，Ｔ２２）を生成し、ｃ１：＝ｃ－ｃ２を算出する。グループ化部３０２は、ｓ１＝ｒ＊ｃ１＋ｔ１を算出し、πｅ＝（Ｔ１１，Ｔ１２，Ｔ２１，Ｔ２２，ｃ１，ｃ２，ｓ１，ｓ２）を算出する。
　なお、このπｅは、署名検証者が、署名者情報のエルガマル暗号文Ｅｎｃ（Ｐｋ，ｖｋＡ －１）が正しく暗号化されているか、つまりエルガマル暗号文の平文がｖｋＡ －１又はｖｋＢ －１であることを検証するために利用される。
　次に、グループ化部３０２は、エルガマル暗号文が電子署名と対応していることを証明するゼロ知識証明πｓを生成する（Ｓ６３０）。具体的には、例えば、グループ化部３０２は、ステップＳ６１０で利用した乱数ｒと、検証用マスク処理(Ｓ３３２)の乱数ａと、に対して、Ｐｋａｇａを計算する。グループ化部３０２は、有限体Ｆ内の乱数ｕ１、ｕ２を生成し、（Ｐｋ＾ｕ１）（ｇ＾ｕ２）を計算する。グループ化部３０２は、ｖ＝Ｈａｓｈ（（Ｐｋ＾ｕ１）（ｇ＾ｕ２））を計算し、ｓ３＝ｒ＊ｖ＋ｕ１、ｓ４-＝ａ＊ｖ＋ｕ２を計算し、πｓ＝（（Ｐｋ＾ｕ１）（ｇ＾ｕ２），ｖ，ｓ３，ｓ４）を生成する。
　なお、このπｓは、署名検証者が、署名者情報のエルガマル暗号文Ｅｎｃ（Ｐｋ，ｖｋＡ －１）が電子署名σと対応しているかを検証する際に利用される。
　グループ化部３０２は、追跡情報Ｔ＝（Ｅｎｃ（Ｐｋ，ｖｋＡ －１），πｅ、πｓ）を、検証者端末４００に出力して（Ｓ６４０）、追跡情報生成処理を終了する。
　図１１は、署名検証処理の一例を示すフローチャートである。検証者端末４００の電子署名検証部４０１は、Ｓｃｈｎｏｒｒ署名Ｓｉｇ（Ｍ；ｓｋ’Ａ）の検証処理を実行する（Ｓ４００）。電子署名検証部４０１は、ステップＳ４００における検証処理において、検証に成功したか失敗したかを判定する(Ｓ４１０)。電子署名検証部４０１は、検証に失敗したと判定した場合には（Ｓ４１０：検証失敗）、[ｆａｌｓｅ]を出力して（Ｓ４９０）、署名検証処理を終了する。
　電子署名検証部４０１は、検証に成功したと判定した場合には（Ｓ４１０：検証成功）検証用乱数ｈ（１又は０である乱数）を生成する（Ｓ４２０）。
　電子署名検証部４０１は、ステップＳ４２０で生成した検証用乱数ｈがｈ＝０であるかｈ＝１であるかを判定する（Ｓ４３０）。電子署名検証部４０１は、ｈ＝０であると判定した場合には（Ｓ４３０：ｈ＝０）、ゼロ知識証明π０検証処理を実行し(Ｓ４４０)、ゼロ知識証明π０検証処理に成功したかを判定する（Ｓ４６０）。
　電子署名検証部４０１は、ゼロ知識証明π０検証処理に成功したと判定した場合には（Ｓ４６０：検証成功）、追跡情報検証処理を実行し(Ｓ４８０)、追跡情報検証処理に成功したかを判定する（Ｓ５００）。電子署名検証部４０１は、追跡情報検証処理に成功したと判定した場合（Ｓ５００：検証成功）、つまりゼロ知識証明と追跡情報との検証に成功した場合に[Ｔｒｕｅ]を出力する。電子署名検証部４０１は、追跡情報検証処理に失敗したと判定した場合（Ｓ５００：検証失敗）、ステップＳ４９０に遷移する。
　電子署名検証部４０１は、ｈ＝１であると判定した場合には（Ｓ４３０：ｈ＝１）、ゼロ知識証明π１検証処理を実行し(Ｓ４５０)、ゼロ知識証明π１検証処理に成功したかを判定する（Ｓ４７０）。電子署名検証部４０１は、ゼロ知識証明π１検証処理に成功したと判定した場合には（Ｓ４７０：検証成功）、ステップＳ４８０に遷移する。
　図１２は、ステップＳ４４０のゼロ知識証明π０検証処理の一例を示すフローチャートである。検証者端末４００の電子署名検証部４０１は、π０、ｖｋＡ、及びｖｋＢを用いて、（ｇ＾（ａ＋ｓｋＡ），ｇ＾（ｂ＋ｓｋＢ））を計算し、（ｇ＾（ａ＋ｓｋＡ），ｇ＾（ｂ＋ｓｋＢ））をτの元で置換したものをＩとして生成する（Ｓ４４１）。
　電子署名検証部４０１は、Ｉ＝ＭＶＫであるかを判定する(Ｓ４４２)。電子署名検証部４０１は、Ｉ＝ＭＶＫであると判定した場合には（Ｓ４４２：Ｙｅｓ）、検証に成功したことを示す[Ｔｒｕｅ]を出力し(Ｓ４４３)、Ｉ＝ＭＶＫでないと判定した場合には（Ｓ４４２：Ｎｏ）、検証に失敗したことを示す[Ｆａｌｓｅ]を出力し(Ｓ４４４)、ゼロ知識証明π０検証処理を終了する。
　図１３は、ステップＳ４５０のゼロ知識証明π１検証処理の一例を示すフローチャートである。検証者端末４００の電子署名検証部４０１は、π１とＭＶＫを用いて、Ｃ：＝ｇ＾（ａ＋ｓｋ’Ａ－Δ）を計算し、Ｖ：＝ｇ＾（ａ＋ｓｋＡ）を計算する（Ｓ４５１）。ただし、Δ：＝ｈｚ（「ｃ’－ｃＡ」）とする。
　電子署名検証部４０１は、Ｃ＝Ｖであるかを判定する(Ｓ４５２)。電子署名検証部４０１は、Ｃ＝Ｖであると判定した場合には（Ｓ４５２：Ｙｅｓ）、検証に成功したことを示す[Ｔｒｕｅ]を出力し(Ｓ４５３)、Ｃ＝Ｖでないと判定した場合には（Ｓ４５２：Ｎｏ）、検証に失敗したことを示す[Ｆａｌｓｅ]を出力し(Ｓ４５４)、ゼロ知識証明π１検証処理を終了する。
　図１４は、ステップＳ４８０の追跡情報Ｔ＝（Ｅｎｃ（Ｐｋ，ｖｋＡ －１），πｅ，πｓ）の検証処理の一例を示すフローチャートである。検証者端末４００の電子署名検証部４０１は、例えば以下の手順に従いπｅの検証処理を行う(Ｓ４８１)。
　電子署名検証部４０１は、追跡情報Ｔ＝（Ｅｎｃ（Ｐｋ，ｖｋＡ －１），πｅ，πｓ）のπｅとＥｎｃ（Ｐｋ，ｖｋＡ －１）＝（ｆｒ，Ｐｋｒ，ｖｋＡ －１）に対してｖｋＡ，ｖｋＢを利用して、（ＰｋｒｖｋＡ －１）ｖｋＡ＝Ｐｋｒ，（ＰｋｒｖｋＡ －１）ｖｋＢを計算する。電子署名検証部４０１は、ｆとｆｒとＰｋｒと（ＰｋｒｖｋＡ －１）ｖｋＢとπｅ＝（Ｔ１１，Ｔ１２，Ｔ２１，Ｔ２２，ｃ１，ｃ２，ｓ１，ｓ２）を用いて以下の５つの等式を検証する。
　ｆ＾ｓ１＝（（ｆｒ）＾ｃ１）＊Ｔ１１・・・（１）
　Ｐｋ＾ｓ１＝（（Ｐｋｒ）＾ｃ１）＊Ｔ１２・・・（２）
　ｆ＾ｓ２＝（（ｆｒ）＾ｃ２）＊Ｔ２１・・・（３）
　Ｐｋ＾ｓ２＝（（ＰｋｒｖｋＡ －１ｖｋＢ）＾ｃ２）＊Ｔ２２・・・（４）
　ｃ１＋ｃ２＝Ｈａｓｈ（Ｔ１１，Ｔ１２，Ｔ２１，Ｔ２２）・・・（５）
　電子署名検証部４０１は、当該５つ全ての等式の検証に成功した場合、πｅの検証処理に成功したと判定し、当該５つの等式のうち少なくとも１つの等式の検証に失敗した場合には、πｅの検証処理に失敗したと判定する。
　次に、電子署名検証部４０１は、例えば以下の手順に従いπｓの検証処理を行う(Ｓ４８２)。電子署名検証部４０１は、追跡情報Ｔ＝（Ｅｎｃ（Ｐｋ，ｖｋＡ －１），πｅ，πｓ）のπｓ＝（Ｐｋ＾ｕ１，ｇ＾ｕ２，ｖ，ｓ３，ｓ４）と、Ｅｎｃ（Ｐｋ，ｖｋＡ －１）＝（ｆｒ，Ｐｋｒ，ｖｋＡ －１）のＰｋｒｖｋＡ －１と、ステップＳ３３２のｇ＾（ａ＋ｓｋＡ）＝ｇａｖｋＡと、に対して、Ｐｋｒｇａを計算し、以下の２つの等式を検証する。
　ｖ＝Ｈａｓｈ（（Ｐｋ＾ｕ１）（ｇ＾ｕ２））・・・（１）
　（Ｐｋ＾ｓ３）（ｇ＾ｓ４）＝（Ｐｋｒｇａ）＾（ｖ（Ｐｋ＾ｕ１）（ｇ＾ｕ２））・・・（２）
　電子署名検証部４０１は、当該２つ全ての等式の検証に成功した場合、πｓの検証処理に成功したと判定し、当該２つの等式の少なくとも一方の等式の検証に失敗した場合には、πｓの検証処理に失敗したと判定する。
　次に、電子署名検証部４０１は、πｅ、πｓの両方の検証処理が成功した場合に追跡情報Ｔの検証に成功したと判定し、πｅ、πｓの少なくとも一方の検証処理が失敗した場合には追跡情報Ｔの検証に失敗したと判定して、追跡情報検証処理を終了する。
　なお、追跡者端末５００の署名者追跡部５０１は、電子署名（グループ署名）σ’＝（Ｍ，ＧＶＫ，πｉ，Ｔ）・・・（ｉ＝１　ｏｒ　１）をグループ化実行者端末３００から取得し、σ’に含まれる追跡情報Ｔ＝（Ｅｎｃ（Ｐｋ，ｖｋＡ －１），πｅ，πｓ）のエルガマル暗号文Ｅｎｃ（Ｐｋ，ｖｋＡ －１）を、追跡用秘密鍵Ｓｋを用いて復号化し、ｖｋＡ －１を計算し、さらにｖｋＡを計算することで、署名者がＡであることを特定することができる。
　図１５は、署名生成/検証システムのユースケースの一例を示す説明図である。図３の事前処理が完了済みであるものとする。図１５の例では、ＥＣ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｍｍｅｒｃｅ）モール運営者がグループ化実行者端末３００を所有し、ＥＣモールでの会員（商品購入者）それぞれが署名者端末を所有し、ＥＣモールにおける出店者が検証者端末４００を所有し、出店者の商品を会員に配送する配送業者が追跡者端末５００を所有する。
　会員Ａが所有する署名者端末１００は、会員Ａの個人署名σを生成し、個人署名σと商品注文情報をグループ化実行者端末３００に送信する。グループ化実行者端末３００は、会員Ａの個人署名に基づいて、追跡情報Ｔを含むグループ署名σ’を生成し、検証者端末４００及び追跡者端末５００に送信する。
　検証者端末４００が、グループ署名σ’と、グループ署名σ’に含まれる追跡情報Ｔと、の検証に成功した場合、出店者は注文情報が示す商品を配送業者に渡す。追跡者端末５００は、グループ署名σ’に含まれる追跡情報Ｔに基づいて会員Ａを把握して、配送業者はユーザＡの元に商品を配送する。
　図１５のユースケースによって、ＥＣモールの出店者は検証者端末４００を用いて、どの会員によって商品が発注されたかを把握することはできないが、ＥＣモールの正当な会員によって商品が発注されたかを検証することができる。さらに、宅配業者は追跡者端末５００を用いて、配送先の会員、即ち商品を発注した会員を把握することができる。
　なお、本実施例ではステップＳ３２０のグループ化処理とステップＳ３３０のゼロ知識証明生成処理をグループ化実行者端末３００が実行しているが、グループ化実行者端末３００に代えて、例えば、署名者端末１００又は署名者端末２００が実行してもよい。つまり、署名者端末１００又は署名者端末２００と、グループ化実行者端末３００と、は同一の端末であってもよい。
　また、図７において、グループ化実行者端末３００が、ステップＳ３３０のランダム置換検証鍵生成処理からステップＳ３５０のゼロ知識証明生成処理までの一連の処理を１回実行して１つのゼロ知識証明を出力しているが、当該一連の処理を複数回実行してもよいし、複数のゼロ知識証明を出力してもよい。また、グループ化実行者端末３００が当該一連の処理を複数回実行する場合には、図８のステップＳ３３２の検証鍵のマスク処理において、乱数ａ，ｂを新たに生成し、対称群の元τを新たに生成してもよい。これに従い、図１１の検証者端末４００による、ステップＳ４２０の検証用乱数生成処理からステップＳ４７０のゼロ知識証明の判定処理までの一連の処理も、署名に含まれるゼロ知識証明の数に応じた回数実行されればよい（つまり必ずしも一回である必要はない）。
　なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
　また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

Claims (15)

  1. 　署名システムであって、
    　プロセッサとメモリとを含むグループ化端末と、プロセッサとメモリとを含む検証端末と、プロセッサとメモリとを含む追跡端末と、を含み、
    　前記グループ化端末のメモリは、
    　複数の署名端末に含まれる第１署名端末のユーザの生体情報に基づく個人署名と、
    　前記複数の署名端末のユーザそれぞれの生体情報に基づく検証鍵と、
    　追跡用公開鍵と、を保持し、
    　前記追跡端末のメモリは、前記追跡用公開鍵に対応する追跡用秘密鍵を保持し、
    　前記グループ化端末のプロセッサは、
    　前記複数の署名端末の検証鍵それぞれに基づいて、グループ検証鍵を生成し、
    　前記第１署名端末の検証鍵、前記個人署名、及び乱数と置換群の元に基づいてグループ署名を生成し、
    　前記複数の署名端末それぞれの検証鍵に基づいてゼロ知識証明を生成し、
    　前記第１署名端末の検証鍵及び前記追跡用公開鍵に基づいて追跡情報を生成し、
    　前記グループ検証鍵、前記グループ署名、前記ゼロ知識証明、及び前記追跡情報を前記検証端末に送信し、
    　前記追跡情報を前記追跡端末に送信し、
    　前記検証端末のプロセッサは、前記グループ化端末から受信した前記グループ検証鍵及び前記ゼロ知識証明に基づいて、前記グループ化端末から受信した前記グループ署名及び前記追跡情報を検証し、
    　前記追跡端末のプロセッサは、前記追跡用秘密鍵及び前記グループ化端末から受信した追跡情報に基づいて、前記グループ署名が前記第１署名端末のユーザの個人署名に基づいて生成されたことを特定する、署名システム。
  2. 　請求項１に記載の署名システムであって、
    　前記グループ化端末のプロセッサは、
    　前記第１署名端末のユーザの生体情報に基づくテンプレートを用いて前記ゼロ知識証明を生成し、
    　前記追跡情報を生成する要素を前記グループ署名に含める、署名システム。
  3. 　請求項１に記載の署名システムであって、
    　前記グループ化端末のプロセッサは、
    　前記複数の署名端末それぞれの検証鍵に対して乱数を加え、所定の置換群の元に基づく置換処理によるマスク処理を実行し、
    　前記置換処理の実行後のベクトルに基づいて、前記ゼロ知識証明を生成する、署名システム。
  4. 　請求項３に記載の署名システムであって、
    　前記ゼロ知識証明は、
    　前記マスク処理に用いられた乱数、及び前記置換群の元に基づく第１ゼロ知識証明と、
    　前記マスク処理後に生成した署名、及び前記置換処理の実行後のベクトルにおける前記第１署名端末の検証鍵を示す要素の位置と、に基づく第２ゼロ知識証明と、の少なくとも一方を含む、署名システム。
  5. 　請求項１に記載の署名システムであって、
    　前記複数の署名端末は第２署名端末を含み、
    　前記第１署名端末の検証鍵ＶＫＡは、ｇ＾ｓｋＡと（但し、ｇは所定の有限体の元であり、ｓｋＡは前記所定の有限体の乱数である）、前記第１署名端末のユーザの生体情報から生成されたテンプレートｃＡと、を含み、
    　前記第２署名端末の検証鍵ＶＫＢは、ｇ＾ｓｋＢと（但し、ｇは所定の有限体の元であり、ｓｋＢは前記所定の有限体の乱数である）、前記第２署名端末のユーザの生体情報から生成されたテンプレートｃＢと、を含み、
    　前記グループ化端末のプロセッサは、
    　乱数ａ及びｂに対して、（ｇ＾（ａ＋ｓｋＡ），ｇ＾（ｂ＋ｓｋＢ））を算出し、
    　所定の対称群の元τに対して、ＭＶＫ：＝τ（ｇ＾（ａ＋ｓｋＡ），ｇ＾（ｂ＋ｓｋＢ））を算出するマスク処理を実行する、署名システム。
  6. 　請求項５に記載の署名システムであって、
    　前記ゼロ知識証明は第１ゼロ知識証明と第２ゼロ知識証明とを含み、
    　前記グループ化端末のプロセッサは、
    　前記第１ゼロ知識証明π０：＝（ａ，ｂ，τ）を生成し、
    　前記第２ゼロ知識証明π１：＝（ＭＶＫにおけるＭＶＫＡの位置を示す番号，（Ｓｉｇ（Ｍ；ａ＋ｓｋ’Ａ－ｈｚ（「ｃ’－ｃＡ」））））を生成し（但し、ｓｋ’Ａは前記所定の有限体の乱数）、
    　Ｍはメッセージであり、
    　ｃ’は前記第１署名端末のユーザの生体情報に基づく署名生成時のテンプレートであり、
    　所定のハッシュ関数ｈｚに対して、ａ＝ｈｚ＾（ｓｋＡ）－１、ｂ＝ｈｚ＾（ｓｋＢ）－１であり、
    　Ｈはハッシュ関数ｈｚと異なるハッシュ関数である、署名システム。
  7. 　請求項６に記載の署名システムであって、
    　前記検証端末のプロセッサは、
    　（ｇ＾（ａ＋ｓｋＡ），ｇ＾（ｂ＋ｓｋＢ））をτの前記元で置換したＩを算出し、
    　Ｉ＝ＭＶＫであるかの判定結果に従って、前記第１ゼロ知識証明π０を検証し、
    　前記第１ゼロ知識証明π０の検証結果に基づいて、前記グループ化端末から受信した前記グループ署名を検証する、署名システム。
  8. 　請求項６に記載の署名システムであって、
    　前記検証端末のプロセッサは、
    　Δ：＝ｈｚ（「ｃ’－ｃＡ」）に対して、Ｃ：＝ｇ＾（ａ＋ｓｋ’Ａ－Δ）を算出し、
    　Ｖ：＝ｇ＾（ａ＋ｓｋＡ）を算出し、
    　Ｃ＝Ｖであるかの判定結果に従って、前記第２ゼロ知識証明π１を検証し、
    　前記第２ゼロ知識証明π１の検証結果に基づいて、前記グループ化端末から受信した前記グループ署名を検証する、署名システム。
  9. 　請求項１に記載の署名システムであって、
    　前記グループ化端末のプロセッサは、
    　前記複数の署名端末それぞれの公開鍵に対して前記追跡用公開鍵に基づくエルガマル暗号化処理を行い、
    　エルガマル暗号文の正当性証明πｅと、エルガマル暗号文が電子署名と対応していることを示す対応証明πｓと、を生成して、前記追跡情報に含める、署名システム。
  10. 　請求項９に記載の署名システムであって、
    　前記検証端末のプロセッサは、
    　前記グループ化端末から受信した追跡情報に含まれる前記正当性証明πｅと前記対応証明πｓとを検証し、前記正当性証明πｅと前記対応証明πｓとの両方の検証が成功した場合に、前記追跡情報の検証に成功したと判定する、署名システム。
  11. 　請求項９に記載の署名システムであって、
    　前記追跡端末のプロセッサは、
    　前記グループ化端末から受信した電子署名情報σ’に対して、
    　追跡情報Ｔ＝（Ｅｎｃ（Ｐｋ，ｖｋＡ －１），πｅ，πｓ）に含まれる前記エルガマル暗号文Ｅｎｃ（Ｐｋ，ｖｋＡ －１）を、前記追跡用秘密鍵を用いて復号化し（但し、Ｐｋは前記追跡用公開鍵であり、ｖｋＡは前記第１署名端末の検証鍵である）、
    　ｖｋＡ －１を計算し、さらにｖｋＡを計算することで、署名者が前記第１署名端末のユーザであることを特定する、署名システム。
  12. 　署名システムによる署名方法であって、
    　前記署名システムは、グループ化端末と、検証端末と、追跡端末と、を含み、
    　前記グループ化端末は、
    　複数の署名端末に含まれる第１署名端末のユーザの生体情報に基づく個人署名と、
    　前記複数の署名端末のユーザそれぞれの生体情報に基づく検証鍵と、
    　追跡用公開鍵と、を保持し、
    　前記追跡者端末は、前記追跡用公開鍵に対応する追跡用秘密鍵を保持し、
    　前記署名方法は、
    　前記グループ化端末が、前記複数の署名端末の検証鍵それぞれに基づいて、グループ検証鍵を生成し、
    　前記グループ化端末が、前記第１署名端末の検証鍵、前記個人署名、及び乱数と置換群の元に基づいてグループ署名を生成し、
    　前記グループ化端末が、前記複数の署名端末それぞれの検証鍵に基づいてゼロ知識証明を生成し、
    　前記グループ化端末が、前記第１署名端末の検証鍵及び前記追跡用公開鍵に基づいて追跡情報を生成し、
    　前記グループ化端末が、前記グループ検証鍵、前記グループ署名、前記ゼロ知識証明、及び前記追跡情報を前記検証端末に送信し、
    　前記グループ化端末が、前記追跡情報を前記追跡端末に送信し、
    　前記検証端末が、前記グループ化端末から受信した前記グループ検証鍵及び前記ゼロ知識証明に基づいて、前記グループ化端末から受信した前記グループ署名及び前記追跡情報を検証し、
    　前記追跡端末が、前記追跡用秘密鍵及び前記グループ化端末から受信した追跡情報に基づいて、前記グループ署名が前記第１署名端末のユーザの個人署名に基づいて生成されたことを特定する、署名方法。
  13. 　請求項１２に記載の署名方法であって、
    　前記グループ化端末が、
    　前記第１署名端末のユーザの生体情報に基づくテンプレートを用いて前記ゼロ知識証明を生成し、
    　前記追跡情報を生成する要素を前記グループ署名に含める、署名方法。
  14. 　請求項１２に記載の署名方法であって、
    　前記グループ化端末が、
    　前記複数の署名端末それぞれの検証鍵に対して乱数を加え、所定の置換群の元に基づく置換処理によるマスク処理を実行し、
    　前記置換処理の実行後のベクトルに基づいて、前記ゼロ知識証明を生成する、署名方法。
  15. 　グループ化端末に署名を実行させる署名プログラムであって、
    　前記グループ化端末は、プロセッサとメモリとを含み、
    　前記メモリは、
    　複数の署名端末に含まれる第１署名端末のユーザの生体情報に基づく個人署名と、
    　前記複数の署名端末のユーザそれぞれの生体情報に基づく検証鍵と、
    　追跡用公開鍵と、を保持し、
    　前記追跡端末のメモリは、前記追跡用公開鍵に対応する追跡用秘密鍵を保持し、
    　前記署名プログラムは、
    　前記複数の署名端末の検証鍵それぞれに基づいて、グループ検証鍵を生成する処理と、
    　前記第１署名端末の検証鍵、前記個人署名、及び乱数と置換群の元に基づいてグループ署名を生成する処理と、
    　前記複数の署名端末それぞれの検証鍵に基づいてゼロ知識証明を生成する処理と、
    　前記第１署名端末の検証鍵及び前記追跡用公開鍵に基づいて追跡情報を生成する処理と、
    　前記グループ検証鍵、前記グループ署名、前記ゼロ知識証明、及び前記追跡情報を前記検証端末に送信する処理と、
    　前記追跡情報を前記追跡端末に送信する処理と、を前記プロセッサに実行させる、署名プログラム。
PCT/JP2021/047410 2021-12-21 2021-12-21 署名システム、署名方法、及び署名プログラム Ceased WO2023119447A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/047410 WO2023119447A1 (ja) 2021-12-21 2021-12-21 署名システム、署名方法、及び署名プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/047410 WO2023119447A1 (ja) 2021-12-21 2021-12-21 署名システム、署名方法、及び署名プログラム

Publications (1)

Publication Number Publication Date
WO2023119447A1 true WO2023119447A1 (ja) 2023-06-29

Family

ID=86901681

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/047410 Ceased WO2023119447A1 (ja) 2021-12-21 2021-12-21 署名システム、署名方法、及び署名プログラム

Country Status (1)

Country Link
WO (1) WO2023119447A1 (ja)

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
TAKAHASHI KENTA; MATSUDA TAKAHIRO; MURAKAMI TAKAO; HANAOKA GOICHIRO; NISHIGAKI MASAKATSU: "Signature schemes with a fuzzy private key", INTERNATIONAL JOURNAL OF INFORMATION SECURITY (IJIS), SPRINGER, HEIDELBERG, DE, vol. 18, no. 5, 23 February 2019 (2019-02-23), DE , pages 581 - 617, XP036880519, ISSN: 1615-5262, DOI: 10.1007/s10207-019-00428-z *
YUTA YONEYAMA: "Fuzzy Signature scheme for Biometric Digital Signature ", 2012 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY YOKOSHU, 30 January 2012 (2012-01-30), pages 1 - 7, XP055281883, Retrieved from the Internet <URL:http://www.infsoc.org/conference/csiep2012/CSIEP2012.pdf#page=23> [retrieved on 20160620] *

Similar Documents

Publication Publication Date Title
US11329981B2 (en) Issuing, storing and verifying a rich credential
US11481786B2 (en) Genuine instance of digital goods
JP6069852B2 (ja) 情報処理装置、情報処理方法、及びプログラム
CN100383694C (zh) 为可被具有安全模块的用户设备执行的事务维护私密
KR102354758B1 (ko) 영지식 증명 기술 기반 분산 디지털 인증 시스템 및 방법
CN109818752B (zh) 信用评分生成方法、装置、计算机设备和存储介质
JP2014068140A (ja) 情報処理装置、情報処理方法及びプログラム
WO2020160391A1 (en) An efficient, environmental and consumer friendly consensus method for cryptographic transactions
JP5327223B2 (ja) 署名システム
JP4818663B2 (ja) 同種写像ベースの署名の生成および検証のためのシステムおよび方法
JP6933290B2 (ja) 秘密計算装置、秘密計算認証システム、秘密計算方法、およびプログラム
WO2013129084A1 (ja) 情報処理装置、情報処理方法、及びプログラム
JP2015513156A (ja) ビザンチン・フォールトトレランス及び閾値コイントス
CN116975937A (zh) 匿名证明方法、匿名验证方法
CN116723026A (zh) 登录验证方法、装置、计算机设备及存储介质
CN114128213B (zh) 用于验证公钥的可靠性的装置、方法以及其程序
WO2023119447A1 (ja) 署名システム、署名方法、及び署名プログラム
CN118378240B (zh) 一种固件安全启动方法和系统
JP2000339153A (ja) プログラム検証方法及び装置及びプログラム検証プログラムを格納した記憶媒体
JP7594986B2 (ja) 生体認証システム、生体認証サーバ、及び生体認証方法
JPWO2020121459A1 (ja) 認証システム、クライアントおよびサーバ
WO2022239647A1 (ja) 署名システム及び署名方法
JP2022022309A5 (ja)
US20260019245A1 (en) Message presentation system, presentation apparatus, and message presentation method
JP7832140B2 (ja) 情報処理システム及び情報処理方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21968884

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21968884

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP