WO2023282129A1 - 検証可能なクレームを取得するユーザ装置、当該ユーザ装置を含むシステム及び検証可能なクレームを取得する方法 - Google Patents

検証可能なクレームを取得するユーザ装置、当該ユーザ装置を含むシステム及び検証可能なクレームを取得する方法 Download PDF

Info

Publication number
WO2023282129A1
WO2023282129A1 PCT/JP2022/025806 JP2022025806W WO2023282129A1 WO 2023282129 A1 WO2023282129 A1 WO 2023282129A1 JP 2022025806 W JP2022025806 W JP 2022025806W WO 2023282129 A1 WO2023282129 A1 WO 2023282129A1
Authority
WO
WIPO (PCT)
Prior art keywords
value
user device
origin
generator
acquisition request
Prior art date
Application number
PCT/JP2022/025806
Other languages
English (en)
French (fr)
Inventor
慧 吉村
英明 古川
将司 川口
Original Assignee
株式会社野村総合研究所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社野村総合研究所 filed Critical 株式会社野村総合研究所
Priority to CN202280047786.5A priority Critical patent/CN117643011A/zh
Publication of WO2023282129A1 publication Critical patent/WO2023282129A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H04L9/16—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms the keys or algorithms being changed during operation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Definitions

  • Non-Patent Document 1 discloses "Verifiable Credentials". Note that a verifiable credential may also be denoted as a verifiable claim (VC). In the following description, verifiable claims and verifiable credentials are simply referred to as "claims.” The claim contains personal information of its owner. Examples of personal information included in a claim can be the date of birth, education, medical history, assets, etc. of the owner of the claim. Claims are issued by organizations that can guarantee the personal information included in the complaint (CP (Claims Provider), such as local governments, schools, hospitals, and banks.
  • CP Cosmetic Application Provider
  • the RP can confirm that the owner satisfies the predetermined conditions.Specifically, for example, the RP can It can be confirmed that the owner is over a predetermined age and has assets over a predetermined amount.
  • the claim includes, for example, a signature generated with the private key of the CP issuing the claim.
  • the RP confirms that the presented claim was issued by the CP and that the content of the presented claim has been tampered with. I can confirm that it is not.
  • Claims may also include a Distributed Identifier (DID) for the RP to determine if the person submitting the claim to the RP is the rightful owner of the claim.
  • DID is a unique identifier for an owner, whose value can be obtained by becoming an identity provider themselves.
  • the CP includes the value of the DID in the claim when issuing the claim. This associates the claim with that DID.
  • CPs Since the personal information that a CP can guarantee depends on its content, there can be multiple CPs for each type of personal information (age, educational background, assets, etc.). In addition, there may be multiple RPs because there are various organizations that need to confirm personal information.
  • FIG. 1 shows CP#1 to CP#N of number N (where N is an integer of 1 or more) and RP#1 to #M of number M (where M is an integer of 1 or more).
  • the user device in FIG. 1 is a device used by a claim owner (hereinafter referred to as a user) who obtains a claim from the CP and presents it to the RP.
  • a user device may be, for example, a smart phone, a tablet, a personal computer (PC).
  • the user device receives and stores claim VC#n from CP#n (n is an integer from 1 to N). It is assumed that claims VC#1 to VC#N are associated with the same DID. In this case, the user equipment needs to use the same DID for RP#1 to RP#M.
  • RP#2 receives VC#2
  • RP#M receives VC#1 and VC#N. If the DID used by the user is the same regardless of the RP, RP#2 and RP#M cooperate (collusion) so that RP#2 and RP#M are connected to VC#1, VC#2, and It can be determined that the users who submitted VC#N are the same. In this way, RPs cooperate with each other to specify various complaints from a certain user, so that the RP can unfairly obtain various personal information of the user.
  • DID#m DID#m
  • VC#n DID#m
  • the user equipment acquires two VC#1 (DID#1) and VC#1 (DID#M) from CP#1.
  • the user equipment presents VC#1 (DID#1) to RP#1 and presents VC#1 (DID#M) to RP#M.
  • DID#M VC#1
  • the RP sends a challenge to the user equipment when a claim is presented.
  • the user device generates a signature for the challenge with the private key of the public key pair included in the claim and sends it to the RP.
  • the RP can determine whether the user is the rightful owner of the claim by verifying the signature with the public key included in the claim.
  • the user must make the public key included in the claim different.
  • the user device must manage the private key for the public key included in each claim, and the amount of information to be kept secret in the user device increases.
  • the present invention provides a technology that makes it difficult to perform name identification, eliminates restrictions on where to submit claims, and reduces the amount of information held by user devices.
  • a user device comprises holding means for holding confidential information, generating means for generating a generator, and calculation for obtaining a commitment corresponding to the generator based on the generator and the secret information. means, and a verifiable claim (VC ), wherein the value of the origin used by the obtaining means to obtain the new VC is the value of the origin used by the obtaining means to obtain the VC in the past. different from the value of
  • FIG. 4 is an explanatory diagram when using the same DID for each RP;
  • FIG. 4 is an explanatory diagram when using different DIDs for each RP;
  • 1 is a configuration diagram of a system according to one embodiment;
  • FIG. 4 is a sequence diagram of complaint acquisition processing according to an embodiment;
  • FIG. 4 is a sequence diagram of complaint presentation processing according to one embodiment;
  • 1 is a functional block diagram of a user device according to one embodiment;
  • FIG. 3 is a configuration diagram of the system according to this embodiment.
  • a user equipment 1 , a plurality of CPs 2 and a plurality of RPs 3 are connected to a network 4 .
  • the user device 1 is configured to be able to communicate with multiple CPs 2 and multiple RPs 3 via the network 4 .
  • the number of CP2 is N (N is an integer of 1 or more)
  • the number of RP3 is M (M is an integer of 1 or more).
  • CP#n n is an integer from 1 to N
  • RP#m m is 1 to M.
  • the user device 1 acquires and stores the complaint from the CP 2 according to the user's operation. In addition, the user device 1 presents the stored complaint to the RP3 according to the user's operation.
  • the number of combinations of CP2 and RP3 is N ⁇ M, and in the following description, as an example, it is assumed that the user device 1 acquires N ⁇ M complaints in advance. Note that the user device acquires M complaints from each CP3.
  • FIG. 4 is a sequence diagram of complaint acquisition processing.
  • the user device 1 holds confidential information w (S10).
  • S11 the user device 1 generates a prime number p.
  • all operations in the following description are modulo operations of a prime number p, but to simplify the explanation, the fact that they are modulo operations, that is, the notation of "mod p" (congruent expression) is omitted. do.
  • mod p congruent expression
  • the present disclosure shows an implementation based on the discrete logarithm problem, those skilled in the art will understand that implementations based on different difficulties, such as the discrete logarithm problem on an elliptic curve, are also possible without replacing the role of the device. It is about to be done.
  • the user device 1 In S12, the user device 1 generates N ⁇ M generators g nm equal to the number of complaints to be obtained. Note that all generators g nm have different values. The generator g nm can be generated randomly, for example, without regularity. In addition, the user device 1 may record the generators used in the past and select them without duplication.
  • the user device 1 transmits to CP#1 a complaint generation request including the prime number p, the generators g 11 to g 1M , and the comments com 11 to com 1M .
  • CP#1 generates a total of M claims VC#11 to VC#1M in response to the claim generation request.
  • Claim VC#1m includes a prime number p, a generator g 1m , and a commitment com 1m , in addition to the user's private information guaranteed by CP#1.
  • Claim VC#1m may also include a signature generated with CP#1's private key.
  • CP#1 transmits the generated claims VC#11 to VC#1M to the user equipment 1 in S15.
  • the user device 1 stores the received claims VC#11 to VC#1M.
  • the user device 1 transmits a complaint generation request to CP#2 in S16.
  • This claim generation request includes a prime number p, generators g 21 to g 2M and comments com 21 to com 2M .
  • CP#2 generates a total of M claims VC#21 to VC#2M in response to the claim generation request.
  • Claim VC#2m includes a prime number p, a generator g 2m , and a commitment com 2m , in addition to the user's personal information guaranteed by CP#2.
  • Claim VC#2m may also include a signature generated with CP#2's private key.
  • CP#2 transmits the generated claims VC#21 to VC#2M to the user equipment 1 in S17.
  • the user device 1 stores the received claims VC#21 to VC#2M. In the same way, the user device 1 repeatedly transmits a complaint generation request to each CP and obtains M complaints. Therefore, the user device 1 obtains N ⁇ M complaints at the end of S19.
  • processing up to S13 in FIG. 4 can be performed at any timing before acquiring the complaint, not when acquiring the complaint.
  • the generated value is saved in the user device 1 .
  • the user device 1 generates a value r in S20.
  • the user device 1 can randomly generate the value r. Since it is desirable to select a value that has never been used for RP#m as the value r, the user device 1 may record the used value r and select it so that there is no duplication. Below, the value r is also written as a random value r. Subsequently, in S21, the user device 1 obtains a proof based on the random value r. The proof contains values x and values c.
  • Hash( ⁇ ) is an arbitrary hash function assuming a random oracle.
  • the user device 1 notifies RP#m of the proof, that is, the value x and the value c together with the claim VC#nm.
  • VC#nm includes com nm , g nm and p.
  • the hash function used in S23 is the same as the hash function used in S21.
  • the hash function used in S21 and S23 is determined by either the user device 1 or RP#m and notified to the other by an arbitrary method.
  • RP#m compares Z and x in S24.
  • the user device 1 has obtained a total of M claims from CP#1, VC#11 to VC#1M.
  • the user device 1 presents the claim obtained from CP#1 to RP#1, the user device 1 can select any one of VC#11 to VC#1M. That is, the user device 1 can present VC#12 or VC#1M instead of VC#11 to CP#1.
  • the claim of this embodiment is not associated with the DID, but is associated with the commitment com included in the claim, and the Schnorr protocol that applies the Fiat-Shamir Heuristic based on the commitment com and proofs (x and c), That is, it is for determining whether or not the owner is the rightful owner by non-interactive zero-knowledge proof (NIZK).
  • NIZK non-interactive zero-knowledge proof
  • the claim acquisition process and the claim presentation process can be made independent of each other.
  • the information presented to RP3 for authentication is a value generated based on a different value generator g and a random value r. difficult.
  • the information that the user device 1 should hold secret is only the secret information w, and the amount of information is small.
  • the user device 1 has acquired N ⁇ M complaints in advance, but this is an example, and the number of complaints that the user device 1 acquires in advance from each CP 2 is arbitrary.
  • the user device 1 can determine the number of complaints to be obtained in advance from each CP 2 according to the number (or expected number) of submission destinations of personal information guaranteed by each CP 2 .
  • the user device 1 can acquire a total of five complaints in advance, three complaints from CP#1 and two complaints from CP#2. Further, after that, the user device 1 can pre-acquire any number of complaints from each CP 2 as necessary.
  • the user device 1 controls the random value r generated in S20 of FIG. 5 so as to be different from the value used in the past. This is because if the random value r is the same, the proof value will also be the same, and spoofing is possible. For this reason, if the random value r generated in S20 is the same as the value used when presenting the same complaint to the same RP3 in the past, the user device 1 generates a value different from the value used in the past. The generation of the random value r is repeated until .
  • RP3 is also configured to reject authentication if the same claims submitted in the past are presented and the value of the proof presented is the same as that presented in the past. .
  • RP3 can be configured to notify the user device 1 of doubts instead of rejecting authentication even when the same claim presented in the past is presented with the same proof.
  • the user device 1 does not need to manage the random value r used in the past, and when questioned by the RP3, selects a different random value r and calculates the proof (S21 in FIG. 5). Then, the proof notification (S22 in FIG. 5) is performed again.
  • Such a question can be raised if RP3 has been proven to receive the same value of x in the past for the same VC#nm.
  • the interactive zero-knowledge proof procedure in which the RP3 notifies the user device 1 of the challenge value chal may be implemented in place of the processing of S22 to S25 or in addition to the processing of S22 to S25.
  • the value corresponding to the same secret information w is used to generate all comments.
  • FIG. 6 shows a functional block diagram of the user device 1 of each of the above embodiments.
  • the functional block shown in FIG. 6 is a device (device) including one or more processors and one or more memory devices, such as a smartphone, tablet, or PC. It can be realized by letting
  • the generator management unit 10 generates the generator g.
  • the generation source management unit 10 holds the value of the generation source g that was generated in the past and used for the complaint. Manage so as not to generate the element g.
  • the generator management unit 10 generates the generator g randomly, for example, so that the generation of the generator g does not have regularity.
  • the generation source management unit 10 generates a random value and determines whether or not the value is the same as the value used for complaints in the past. If the generated value is not the same as the value used in the complaint in the past, the origin management unit 10 sets the generated value as a new origin g. On the other hand, if the generated value is the same as the value used in the complaint in the past, the origin management unit 10 selects a value different from the value used in the complaint in the past.
  • the random value management unit 11 generates a random value r to be used when presenting the complaint to RP3 (S20 in FIG. 5). In one example, the random value management unit 11 manages and holds the value of the random value r used when presenting the complaint to RP3. When presenting the complaint to RP3, the random value management unit 11 manages the generation of the random value r so as not to use the random value r used when presenting the complaint to RP3 in the past. As described above, the random value management unit 11 can also be configured to regenerate the random value r when the RP 3 notifies of doubts about the proof.
  • the prime number management unit 12 generates and holds a prime number p.
  • the complaint acquisition unit 13 performs processing for requesting complaints from each CP 2 and acquiring the complaints. As described above, when acquiring a complaint, the complaint acquiring unit 12 notifies the CP 2 of the prime number p, the generator g, and the commitment com.
  • the confidential information holding unit 14 holds confidential information w
  • the complaint holding unit 15 stores the complaint obtained from CP2 in a memory device.
  • the complaint itself can be stored not only in the memory device inside the user device 1 but also in the memory device of a device external to the user device 1 .
  • An external device may be a peripheral device connectable to the user device 1 .
  • the external device may be a device that can communicate with the user device 1 via the network 4 .
  • the complaint holding unit 15 stores the complaint in the internal or external storage device of the user device 1 .
  • the complaint presentation unit 16 presents complaints to RP3. As described above, the complaint presenting section 15 presents the proof (x, c) to RP3 together with the complaint.
  • the calculation unit 17 calculates the commitment com and the values x and c. In the case of the second embodiment, the calculation unit 17 also generates derived secret information based on the secret information w and the generator g.
  • the communication unit 18 performs communication processing with CP2 and RP3 via the network 4 .
  • the user device 1 can be realized by a program that causes the device to operate as the user device 1 when executed by one or more processors of a device having one or more processors.
  • These computer programs can be stored on non-transitory computer-readable storage media or distributed via networks.
  • the user device 1 is a device independent of the CP2 and RP3 (for example, the functions of the user device 1 are implemented as an application installed in a smartphone or a personal computer).
  • the functions of the user device 1 are implemented as an application installed in a smartphone or a personal computer.
  • a configuration in which part of the functions of the user device 1 are arranged in CP2 or RP3 is also possible.
  • CP2 when CP2 is implemented as a system including a web application server, all the functions of the user device 1 are also implemented on the CP2 side, and the processes of the functions of the user device 1 implemented on the CP2 side and the original A configuration may be adopted in which the processes of the functions implemented by the CP2 are executed independently in an inaccessible state, and the information on the user device 1 and the generated information are stored by the CP2 as information for each user. It should be noted that if some functions remain on the user side, they can be implemented as plug-ins for web browsers.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

ユーザ装置は、秘密情報を保持する保持手段と、生成元を生成する生成手段と、前記生成元と前記秘密情報とに基づき前記生成元に対応するコミットメントを求める演算手段と、前記生成元と前記生成元に対応するコミットメントとを含む取得要求を第１外部装置に送信することで、前記生成元と前記生成元に対応するコミットメントとを含む検証可能なクレーム（ＶＣ）を取得する取得手段と、を備え、前記取得手段が新しい前記ＶＣを取得するために使用する前記生成元の値は、前記取得手段が過去に前記ＶＣを取得するために使用した前記生成元の値とは異なる。

Description

検証可能なクレームを取得するユーザ装置、当該ユーザ装置を含むシステム及び検証可能なクレームを取得する方法
　本開示は、検証可能なクレーム（Ｖｅｒｉｆｉａｂｌｅ　Ｃｌａｉｍｓ）に関する。
　非特許文献１は、"検証可能なクレデンシャル"（Ｖｅｒｉｆｉａｂｌｅ　Ｃｒｅｄｅｎｔｉａｌｓ）を開示している。なお、検証可能なクレデンシャルは、検証可能なクレーム（ＶＣ）とも表記され得る。以下の説明では、検証可能なクレーム及び検証可能なクレデンシャルを単に"クレーム"と表記する。クレームは、その所有者の個人情報を含む。クレームに含められる個人情報の例は、当該クレームの所有者の生年月日、学歴、病歴、資産等であり得る。クレームは、例えば、自治体、学校、病院、銀行といった、当該クレームに含められる個人情報を保証できる機関（以下、ＣＰ（Ｃｌａｉｍｓ　Ｐｒｏｖｉｄｅｒ）が発行する。個人情報を確認する必要がある機関（以下、ＲＰ（Ｒｅｌｙｉｎｇ　Ｐａｒｔｙ）に所有者が当該個人情報を含むクレームを提出することで、当該ＲＰは、当該所有者が所定条件を満たしていることを確認できる。具体的には、例えば、ＲＰは、当該所有者が、所定の年齢以上であることや、所定金額以上の資産を有していることを確認できる。
　なお、クレームは、例えば、当該クレームを発行するＣＰの秘密鍵で生成された署名を含む。ＲＰは、当該クレームを発行したＣＰの公開鍵で提示されたクレームに含まれる署名を検証することで、提示されたクレームが当該ＣＰによって発行されたことと、提示されたクレームの内容が改竄されていないことを確認できる。また、ＲＰにクレームを提出したものが当該クレームの正当な所有者であるか否かをＲＰが判定するため、クレームには、分散型識別子（ＤＩＤ）が含められ得る。ＤＩＤは、所有者の一意な識別子であり、その値は所有者自身がアイデンティティプロバイダーになることで取得できる。ＣＰは、クレームを発行する際、当該ＤＩＤの値を当該クレームに含める。これにより、クレームは当該ＤＩＤに関連付けられる。
　ＣＰが保証できる個人情報はその内容に依存するため、個人情報の種別（年齢、学歴、資産等）毎に複数のＣＰが存在し得る。また、個人情報を確認する必要がある機関も様々であるため複数のＲＰが存在し得る。
"Ｖｅｒｉｆｉａｂｌｅ　Ｃｒｅｄｅｎｔｉａｌｓ　Ｄａｔａ　Ｍｏｄｅｌ　１．０"、［оｎｌｉｎｅ］、２０１９年１１月１９日、Ｗ３Ｃ、［令和３年６月１８日検索］、インターネット＜ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｗ３．ｏｒｇ／ＴＲ／ｖｃ－ｄａｔａ－ｍｏｄｅｌ／＞
　図１は、数Ｎ（ここで、Ｎは１以上の整数）のＣＰ＃１～ＣＰ＃Ｎと、数Ｍ（ここで、Ｍは１以上の整数）のＲＰ＃１～＃Ｍを示している。図１のユーザ装置は、クレームをＣＰから取得し、ＲＰに提示するクレームの所有者（以下、ユーザと表記する）が使用する装置である。ユーザ装置は、例えば、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）であり得る。ユーザ装置は、ＣＰ＃ｎ（ｎは１～Ｎまでの整数）からクレームＶＣ＃ｎを受け取り保存する。なお、クレームＶＣ＃１～ＶＣ＃Ｎは、それぞれ、同じＤＩＤに関連付けられているものとする。この場合、ユーザ装置は、同じＤＩＤをＲＰ＃１～ＲＰ＃Ｍとの間で使用する必要がある。
　しかしながら、総てのＲＰとの間で同じＤＩＤを使用すると、所謂、"名寄せ"の問題が生じる。例えば、図１においてＲＰ＃２は、ＶＣ＃２を受け取り、ＲＰ＃Ｍは、ＶＣ＃１及びＶＣ＃Ｎを受け取っている。ユーザが使用しているＤＩＤがＲＰに拘わらず同一だとしたら、ＲＰ＃２及びＲＰ＃Ｍが連携（結託）することで、ＲＰ＃２及びＲＰ＃Ｍは、ＶＣ＃１、ＶＣ＃２及びＶＣ＃Ｎを提出したユーザが同じであると判定することができる。この様に、ＲＰ同士が連携してあるユーザからの様々なクレームを特定することで、ＲＰが当該ユーザの様々な個人情報を不当に入手できてしまう。
　このため、図２に示す様にＲＰ毎に異なるＤＩＤを使用することが考えられる。以下の説明において、ユーザは、ＲＰ＃ｍ（ｍは１～Ｍまでの整数）に対しては値ＤＩＤ＃ｍのＤＩＤを使用するものとする。また、ＣＰ＃ｎから取得するＤＩＤ＃ｍに関連付けられたクレームをＶＣ＃ｎ（ＤＩＤ＃ｍ）と表記する。ユーザ装置は、ＣＰ＃１から２つのＶＣ＃１（ＤＩＤ＃１）及びＶＣ＃１（ＤＩＤ＃Ｍ）を取得する。ユーザ装置は、ＶＣ＃１（ＤＩＤ＃１）についてはＲＰ＃１に提示し、ＶＣ＃１（ＤＩＤ＃Ｍ）についてはＲＰ＃Ｍに提示する。この様に、ＤＩＤの値をＲＰ毎に異ならせることで、ＲＰ同士が連携しても同じユーザからのクレームを特定することが難しくなり、"名寄せ"の問題を抑えることができる。
　しかしながら、例えば、図２の状態で、ユーザがＶＣ＃２をＲＰ＃１に提出する場合、ユーザ装置は、まず、ＣＰ＃２にＶＣ＃２（ＤＩＤ＃１）の生成を依頼して、ＶＣ＃２（ＤＩＤ＃１）を取得する必要がある。予め総ての組み合わせ（つまり、Ｎ×Ｍ個）のクレームを取得しておくことも可能であるが、将来的に使用（ＲＰに提示）するか否かが不明である多数のクレームを取得して保持・管理することは好ましくない。この様に、図２の構成において、クレームは、特定のＲＰにのみ提示できるものとなる。ユーザの利便性を考慮すると、取得するクレームは任意のＲＰに提出できるものであることが好ましい。
　このため、例えば、クレームにユーザの公開鍵を含める構成を考えることもできる。この場合、ＲＰは、クレームが提示された際にチャレンジをユーザ装置に送信する。ユーザ装置は、クレームに含まれる公開鍵の対の秘密鍵でチャレンジに対する署名を生成してＲＰに送信する。ＲＰは、当該署名をクレームに含まれる公開鍵で検証することでユーザが当該クレームの正当な所有者であるかを判定することができる。この構成により、取得するクレームは、特定のＲＰに紐づいたものではなくなる。
　しかしながら、この場合、ユーザは、クレームに含める公開鍵をそれぞれ異なるものとしなければならない。つまり、ユーザ装置は、それぞれのクレームに含めた公開鍵に対する秘密鍵を管理しなければならず、ユーザ装置で秘密に保持すべき情報量が多くなる。
　本発明は、名寄せを行うことを難しくし、クレーム提出先の制限をなくし、かつ、ユーザ装置で保持する情報量を抑える技術を提供するものである。
　本開示の一態様によると、ユーザ装置は、秘密情報を保持する保持手段と、生成元を生成する生成手段と、前記生成元と前記秘密情報とに基づき前記生成元に対応するコミットメントを求める演算手段と、前記生成元と前記生成元に対応するコミットメントとを含む取得要求を第１外部装置に送信することで、前記生成元と前記生成元に対応するコミットメントとを含む検証可能なクレーム（ＶＣ）を取得する取得手段と、を備え、前記取得手段が新しい前記ＶＣを取得するために使用する前記生成元の値は、前記取得手段が過去に前記ＶＣを取得するために使用した前記生成元の値とは異なる。
　本発明によると、名寄せを行うことを難しくし、クレーム提出先の制限をなくし、かつ、ユーザ装置で保持する情報量を抑えることができる。
　本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。
各ＲＰに同じＤＩＤを使用する場合の説明図。 ＲＰ毎に異なるＤＩＤを使用する場合の説明図。 一実施形態によるシステムの構成図。 一実施形態によるクレーム取得処理のシーケンス図。 一実施形態によるクレーム提示処理のシーケンス図。 一実施形態によるユーザ装置の機能ブロック図。
　以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態で説明されている特徴の組み合わせの全てが発明に必須のものとは限らない。実施形態で説明されている複数の特徴のうち二つ以上の特徴が任意に組み合わされてもよい。また、同一若しくは同様の構成には同一の参照番号を付し、重複した説明は省略する。
　＜第一実施形態＞
　図３は、本実施形態によるシステムの構成図である。ユーザ装置１、複数のＣＰ２及び複数のＲＰ３は、ネットワーク４に接続される。ユーザ装置１は、複数のＣＰ２及び複数のＲＰ３と、ネットワーク４を介して通信可能な様に構成される。図１において、ＣＰ２の数はＮ（Ｎは１以上の整数）であり、ＲＰ３の数はＭ（Ｍは１以上の整数）である。なお、以下の説明において個々のＣＰ２を区別する場合には、ＣＰ＃ｎ（ｎは１からＮまでの整数）と表記し、個々のＲＰ３を区別する場合には、ＲＰ＃ｍ（ｍは１からＭまでの整数）と表記する。ユーザ装置１は、そのユーザの操作に応じてＣＰ２からクレームを取得して保存する。また、ユーザ装置１は、そのユーザの操作に応じて保存しているクレームをＲＰ３に提示する。図３において、ＣＰ２とＲＰ３との組み合わせ数はＮ×Ｍであり、以下の説明では、一例として、ユーザ装置１がＮ×Ｍ個のクレームを事前に取得するものとする。なお、ユーザ装置は、各ＣＰ３からＭ個のクレームを取得する。
　図４は、クレーム取得処理のシーケンス図である。ユーザ装置１は、秘密情報ｗを保持している（Ｓ１０）。Ｓ１１において、ユーザ装置１は、素数ｐを生成する。なお、以下の説明における総ての演算は、素数ｐの剰余演算であるが、説明を簡略化するため、剰余演算であること、つまり、"ｍоｄ　ｐ"との表記（合同式）については省略する。また、本開示では離散対数問題に依る実装を示すが、楕円曲線上の離散対数問題など、異なる困難性に依る実装も、装置の役割を置き換えることなく可能であることは、当業者には理解されるところである。Ｓ１２において、ユーザ装置１は、取得するクレームの数と同じＮ×Ｍ個の生成元ｇｎｍを生成する。なお、総ての生成元ｇｎｍの値は異なる。生成元ｇｎｍは規則性が無い様に、例えば、ランダムに生成され得る。また、ユーザ装置１は、過去に用いた生成元を記録し、重複のないよう選択してもよい。Ｓ１３で、ユーザ装置は、生成元ｇｎｍの値と秘密情報ｗに対応する値とに基づきコミットメントｃоｍｎｍ＝ｇｎｍ ｗを生成する。
　ユーザ装置１は、Ｓ１４で、素数ｐ、生成元ｇ１１～ｇ１Ｍ及びコメットメントｃоｍ１１～ｃоｍ１Ｍを含むクレーム生成要求をＣＰ＃１に送信する。ＣＰ＃１は、クレーム生成要求に応答してＶＣ＃１１～ＶＣ＃１Ｍの計Ｍ個のクレームを生成する。クレームＶＣ＃１ｍは、ＣＰ＃１が保証するユーザの個人情報に加えて、素数ｐと、生成元ｇ１ｍと、コミットメントｃоｍ１ｍと、を含む。また、クレームＶＣ＃１ｍは、ＣＰ＃１の秘密鍵で生成された署名も含み得る。ＣＰ＃１は、Ｓ１５で、生成したクレームＶＣ＃１１～ＶＣ＃１Ｍをユーザ装置１に送信する。ユーザ装置１は、受信したクレームＶＣ＃１１～ＶＣ＃１Ｍを保存する。
　ユーザ装置１は、Ｓ１６で、クレーム生成要求をＣＰ＃２に送信する。このクレーム生成要求は、素数ｐ、生成元ｇ２１～ｇ２Ｍ及びコメットメントｃоｍ２１～ｃоｍ２Ｍを含む。ＣＰ＃２は、クレーム生成要求に応答してＶＣ＃２１～ＶＣ＃２Ｍの計Ｍ個のクレームを生成する。クレームＶＣ＃２ｍは、ＣＰ＃２が保証するユーザの個人情報に加えて、素数ｐと、生成元ｇ２ｍと、コミットメントｃоｍ２ｍと、を含む。また、クレームＶＣ＃２ｍは、ＣＰ＃２の秘密鍵で生成された署名も含み得る。ＣＰ＃２は、Ｓ１７で、生成したクレームＶＣ＃２１～ＶＣ＃２Ｍをユーザ装置１に送信する。ユーザ装置１は、受信したクレームＶＣ＃２１～ＶＣ＃２Ｍを保存する。以下同様に、ユーザ装置１は、各ＣＰにクレーム生成要求を送信し、Ｍ個のクレームを取得することを繰り返す。したがって、ユーザ装置１は、Ｓ１９の終了時点において、Ｎ×Ｍ個のクレームを取得する。
　なお、図４のＳ１３までの処理は、クレームを取得する際ではなく、クレームを取得する前の任意のタイミングで行うことができる。この場合、生成した値については、ユーザ装置１に保存しておく。
　続いて、ユーザ装置１がＲＰ＃ｍにＣＰ＃ｎから取得したクレームＶＣ＃ｎｍを提示する際の処理について図５を用いて説明する。ユーザ装置１は、Ｓ２０で値ｒを生成する。例えば、ユーザ装置１は、値ｒをランダムに生成することができる。値ｒはＲＰ＃ｍに対して過去に用いたことのない値を選ぶことが望ましいため、ユーザ装置１は、用いた値ｒを記録しておき、重複のないよう選択してもよい。以下では値ｒをランダム値ｒとも表記する。続いて、ユーザ装置１は、Ｓ２１で、ランダム値ｒに基づきプルーフを求める。プルーフは、値ｘ及び値ｃを含む。値ｘは、ｘ＝ｇｎｍ ｒで求められ、値ｃは、ｃ＝ｒ－ｗ＊Ｈａｓｈ（ｘ）で求められる。なお、Ｈａｓｈ（・）は、ランダムオラクルが仮定される任意のハッシュ関数である。ユーザ装置１は、Ｓ２２で、クレームＶＣ＃ｎｍと共に、プルーフ、つまり、値ｘ及び値ｃをＲＰ＃ｍに通知する。なお、上述した様に、ＶＣ＃ｎｍには、ｃоｍｎｍ、ｇｎｍ及びｐが含まれている。
　Ｓ２３において、ＲＰ＃ｍは、Ｚ＝ｇｎｍ ｃ＊ｃоｍｎｍ Ｈａｓｈ（ｘ）を計算する。なお、Ｓ２３で使用するハッシュ関数は、Ｓ２１で使用するハッシュ関数と同じである。例えば、Ｓ２１及びＳ２３で使用するハッシュ関数は、ユーザ装置１又はＲＰ＃ｍのどちらかが決定して任意の方法で他方に通知する。ＲＰ＃ｍは、Ｓ２４においてＺとｘを比較する。ここで、ｃ＝ｒ－ｗ＊Ｈａｓｈ（ｘ）であり、ｃоｍｎｍ＝ｇｎｍ ｗであるため、
Ｚ＝ｇｎｍ ｃ＊ｃоｍｎｍ Ｈａｓｈ（ｘ）
　＝ｇｎｍ ｒ－ｗ＊Ｈａｓｈ（ｘ）＊ｇｎｍ ｗ＊Ｈａｓｈ（ｘ）
　＝ｇｎｍ ｒ
　＝ｘ
となる。
　つまり、Ｚ＝ｘになることは、ｃоｍｎｍの生成に使用された秘密情報ｗと、値ｃの計算に使用された秘密情報ｗが同じであることを意味する。したがって、Ｚ＝ｘにする値ｃを含むプルーフを提出したものと、ｃоｍｎｍをＣＰ＃ｎに提示してクレームを取得したものが同一であると判定できる。したがって、Ｚ＝ｘであると、ＲＰ＃ｍは、Ｓ２５において、クレームＶＣ＃ｎｍが正当な所有者によって提示されたものと判定する。一方、Ｚ≠ｘの場合、ユーザ装置１は、Ｓ２５において、クレームＶＣ＃ｎｍが正当ではない所有者によって提示されたものと判定する。なお、図５の処理においてＳ２１までの処理は、クレームを提示する際ではなく、クレームを提示する前の任意のタイミングで行うことができる。この場合、生成した値については、ユーザ装置１に保存しておく。
　なお、上記説明では、理解を容易にするため、ＲＰ＃ｍにＣＰ＃ｎから取得したクレームを提示する際、ユーザ装置１は、ＣＰ＃ｎから取得したＭ個のクレームの内のＶＣ＃ｎｍを提示するとしていた。しかしながら、これは、ユーザ装置１がＣＰ＃ｎから取得したＶＣ＃ｎ１～ＶＣ＃ｎＭの計Ｍ個のクレームそれぞれがＲＰ＃１～ＲＰ＃Ｍに１対１で対応しており、提示先のＲＰ３が決まれば、それに応じて当該ＲＰ３に提示するクレームがＭ個のクレームの内の特定の１つに限定されることを意味するものではない。
　例えば、ユーザ装置１は、ＣＰ＃１からＶＣ＃１１～ＶＣ＃１Ｍの計Ｍ個のクレームを取得している。ユーザ装置１が、ＲＰ＃１にＣＰ＃１から取得したクレームを提示する場合、ユーザ装置１は、ＶＣ＃１１～ＶＣ＃１Ｍの内の任意の１つを選択することができる。つまり、ユーザ装置１は、ＣＰ＃１に対して、ＶＣ＃１１ではなく、ＶＣ＃１２やＶＣ＃１Ｍを提示することができる。これは、本実施形態のクレームはＤＩＤに関連付けられておらず、クレームに含まれるコミットメントｃоｍに関連付けられ、コミットメントｃоｍと、プルーフ（ｘ及びｃ）とによる、Ｆｉａｔ－Ｓｈａｍｉｒ　Ｈｅｕｒｉｓｔｉｃを適用したＳｃｈｎｏｒｒプロトコル、すなわち非対話型ゼロ知識証明（ＮＩＺＫ）により正当な所有者であるか否かを判定するためである。つまり、本実施形態において、あるＣＰ２から取得した複数のクレームの提示先は固定的ではない。
　別の言い方をすると、背景技術で述べた様に、ＲＰ３毎に異なるＤＩＤを使用し、クレームをＤＩＤに関連付ける場合、発行されるクレームの提示先は固定的となる。例えば、ＲＰ＃１との間で使用しているＤＩＤに関連付けられたクレームは、ＲＰ＃１にしか提示できないものとなる。つまり、ＲＰ３毎に異なるＤＩＤを使用し、クレームをＤＩＤに関連付けると、クレームの取得処理は、ある特定のＲＰ３に対するクレームの提示処理のための処理になるとの関係を有することになる。一方、本実施形態では、クレームの取得処理とクレームの提示処理は独立しており、取得するクレームは特定のＲＰ３に関連付けられない。例えば、ＲＰ＃１に提示するつもりで取得したクレームをＲＰ＃１以外のＲＰ３に提示することもできる。
　したがって、本実施形態の様にクレームを生成することで、特定のＲＰ３のみに提示できるクレームを予め取得して保持し、結果として使用しないといった無駄が生じることを防ぐことができる。さらに、クレームの取得処理とクレームの提示処理を独立したものとできる。また、ＲＰ３に認証のために提示する情報は、それぞれが異なる値の生成元ｇと、ランダム値ｒと、に基づき生成された値であるため、ＲＰ３同士が連携しても名寄せを行うことは難しい。さらに、ユーザ装置１が秘密として保持すべき情報は秘密情報ｗのみと、その情報量は少ない。
　また、上記説明において、ユーザ装置１は、Ｎ×Ｍのクレームを事前に取得していたが例示であり、ユーザ装置１が各ＣＰ２から事前に取得するクレームの数は任意である。例えば、ユーザ装置１は、各ＣＰ２が保証する個人情報の提出先の数（又は予想数）に応じて、各ＣＰ２から事前に取得するクレームの数を決定することができる。限定しない具体的な例として、ユーザ装置１は、ＣＰ＃１からの３つのクレームと、ＣＰ＃２からの２つのクレームの計５つのクレームを事前に取得することができる。また、その後、必要に応じて、ユーザ装置１は、各ＣＰ２から任意の数のクレームの事前取得を行うことができる。但し、事前取得処理を複数回行う場合でも、取得する総てのクレームそれぞれに含める生成元ｇの値については異ならせる。なお、クレームに含まれるコミットメントｃоｍの値は、同じクレームに含まれる生成元ｇの値に応じたものとなる。
　なお、あるクレームをあるＲＰ３に過去に提示していた場合、図５のＳ２０で生成するランダム値ｒについては、過去に使用した値とは異なる様にユーザ装置１は制御する。これはランダム値ｒが同じであるとプルーフの値も同じとなり成り済ましが可能となるからである。このため、ユーザ装置１は、Ｓ２０で生成したランダム値ｒが、過去に同じクレームを同じＲＰ３に提示する際に使用したものと同じであれば、過去に使用した値とは異なる値が生成されるまでランダム値ｒの生成を繰り返す。また、ＲＰ３も、過去に提示されたのと同じクレームが提示された際、提示されたプルーフの値が、過去に提示されたものと同じである場合には認証を拒否する様に構成される。
　また、ＲＰ３は、過去に提示されたのと同じクレームが、同じプルーフと共に提示された場合でも認証を拒否するのではなくユーザ装置１に疑義を通知する構成とすることもできる。この場合、ユーザ装置１は、過去に使用したランダム値ｒを管理する必要はなく、ＲＰ３から疑義を唱えられたときに、異なるランダム値ｒを選択して、プルーフの計算（図５のＳ２１）と、プルーフの通知（図５のＳ２２）を再度行う。こうした疑義は、ＲＰ３が、同一のＶＣ＃ｎｍに関して、過去に同じ値ｘを受け取って証明されたことがある場合に唱えられうる。
　また、ＲＰ３がチャレンジの値ｃｈａｌをユーザ装置１に通知する対話型ゼロ知識証明の手順を、Ｓ２２～Ｓ２５の処理に代えて、或いは、Ｓ２２～Ｓ２５の処理に追加して実装する構成とすることもできる。この場合、ユーザ装置１は、ｃ´＝ｒ－ｗ＊ｃｈａｌをＲＰ３に通知する。そして、ＲＰ３は、ｘとＺ＝ｇｎｍ ｃ´＊ｃоｍｎｍ ｃｈａｌとを比較することで認証を行う。
　＜第二実施形態＞
　続いて、第二実施形態について第一実施形態との相違点を中心に説明する。第一実施形態において、ユーザ装置１は、コミットメントｃоｍｎｍをｃоｍｎｍ＝ｇｎｍ ｗとして生成していた。つまり、総てのコメントメントの生成に同じ秘密情報ｗに対応する値を使用していた。本実施形態では、コミットメントｃоｍｎｍを生成するために、ユーザ装置１は、まず、秘密情報ｗに基づき派生秘密情報ｗ＃ｎｍを、ｗ＃ｎｍ＝Ｈａｓｈ（ｗ；ｇｎｍ）として求める。なお、このハッシュ関数は、図５の処理で使用するハッシュ関数とは異なり得る。そして、ユーザ装置１は、コミットメントｃоｍｎｍをｃоｍｎｍ＝ｇｎｍ ｗ＃ｎｍで求める。したがって、ユーザ装置１は、図５の値ｃの計算においても秘密情報ｗの代わりに派生秘密情報ｗ＃ｎｍを使用する。生成元ｇｎｍの値は総て異なるため、派生秘密情報ｗ＃ｎｍの値も異なる。これにより、秘密情報ｗの値を乱雑にし、名寄せを行うことをより難しくすることができる。
　＜ユーザ装置の構成＞
　上記各実施形態のユーザ装置１の機能ブロック図を図６に示す。図６に示す機能ブロックは、１つ以上のプロセッサと、１つ以上のメモリデバイスと、を備えたスマートフォン、タブレット、ＰＣ等の装置（デバイス）の前記１つ以上のプロセッサに適切なプログラムを実行させることで実現され得る。
　生成元管理部１０は、生成元ｇを生成する。なお、生成元管理部１０は過去に生成してクレームに使用した生成元ｇの値を保持しており、新たに生成元ｇを生成する場合、過去に使用した生成元ｇと同じ値の生成元ｇを生成しない様に管理する。また、生成元ｇの生成に規則性が生じない様に、生成元管理部１０は、例えば、ランダムに生成元ｇを生成する。例えば、生成元管理部１０は、ランダムな値を生成し、その値が過去にクレームに使用した値と同じであるか否かを判定する。生成した値が過去にクレームに使用した値と同じではない場合、生成元管理部１０は、生成した値を新たな生成元ｇとする。一方、生成した値が過去にクレームに使用した値と同じである場合、生成元管理部１０は、過去にクレームに使用した値とは異なる値を選択する。
　ランダム値管理部１１は、クレームをＲＰ３に提示する際に使用するランダム値ｒを生成する（図５のＳ２０）。一例において、ランダム値管理部１１は、クレームをＲＰ３に提示する際に使用したランダム値ｒの値を管理・保持する。そして、当該クレームをＲＰ３に提示する際、ランダム値管理部１１は、過去に当該クレームを当該ＲＰ３に提示する際に使用したランダム値ｒを使用しない様にランダム値ｒの生成を管理する。なお、上述した様に、ランダム値管理部１１は、ＲＰ３からプルーフに対する疑義が通知された場合に、ランダム値ｒを再生成する構成とすることもできる。素数管理部１２は、素数ｐを生成して保持する。
　クレーム取得部１３は、各ＣＰ２にクレームを要求して当該クレームを取得する処理を行う。上述した様に、クレームを取得する際、クレーム取得部１２は、素数ｐ、生成元ｇ及びコミットメントｃоｍをＣＰ２に通知する。
　秘密情報保持部１４は、秘密情報ｗを保持し、クレーム保持部１５は、ＣＰ２から取得したクレームをメモリデバイスに保存する。なお、クレームそのものは、ユーザ装置１の内部のメモリデバイスに保存する構成のみならず、ユーザ装置１の外部の装置のメモリデバイスに保存する構成とすることもできる。外部の装置は、ユーザ装置１に接続可能な周辺機器であり得る。また、外部の装置は、ユーザ装置１とネットワーク４を介して通信できる装置であり得る。つまり、クレーム保持部１５は、ユーザ装置１の内部又は外部の記憶装置にクレームを保存する。
　クレーム提示部１６は、ＲＰ３にクレームを提示する。上述した様に、クレーム提示部１５は、クレームと共にプルーフ（ｘ、ｃ）をＲＰ３に提示する。
　演算部１７は、コミットメントｃоｍの計算や、値ｘ及び値ｃの計算を行う。また、第二実施形態の場合、演算部１７は、秘密情報ｗ及び生成元ｇに基づき派生秘密情報の生成も行う。通信部１８は、ネットワーク４を介するＣＰ２やＲＰ３との通信処理を行う。
　なお、本発明によるユーザ装置１は、１つ以上のプロセッサを有するデバイスの当該１つ以上のプロセッサで実行されると、当該デバイスを上記ユーザ装置１として動作させるプログラムにより実現することができる。これらコンピュータプログラムは、非一時的なコンピュータ読取可能記憶媒体に記憶されて、又は、ネットワーク経由で配布が可能なものである。
　また、上記実施形態では、ユーザ装置１が、ＣＰ２、ＲＰ３とは独立した装置（例えば、スマートフォンやパーソナルコンピュータにインストールされるアプリケーションとしてユーザ装置１の機能を実装）である場合を例にして説明をしていた。しかしながら、ユーザ装置１の機能の一部をＣＰ２又はＲＰ３に配置した構成とすることもできる。例えば、ＣＰ２がウェブアプリケーションサーバを含むシステムとして実装されている場合には、ユーザ装置１の機能も全てＣＰ２側にて実装し、このＣＰ２側に実装されたユーザ装置１の機能のプロセスと、本来ＣＰ２が実装している機能のプロセスとを独立にアクセス不可の状態で実行し、ユーザ装置１の情報及び生成された情報をユーザ別の情報としてＣＰ２が保管する構成であってもよい。なお、一部の機能をユーザ側に残存させる場合には、ウェブブラウザのブラグインにして実装することが可能である。
　発明は上記の実施形態に制限されるものではなく、発明の要旨の範囲内で、種々の変形・変更が可能である。
　本願は、２０２１年７月６日提出の日本国特許出願特願２０２１－１１２２９０を基礎として優先権を主張するものであり、その記載内容の全てを、ここに援用する。

Claims (8)

  1. 　秘密情報を保持する保持手段と、
    　生成元を生成する生成手段と、
    　前記生成元と前記秘密情報とに基づき前記生成元に対応するコミットメントを求める演算手段と、
    　前記生成元と前記生成元に対応するコミットメントとを含む取得要求を第１外部装置に送信することで、前記生成元と前記生成元に対応するコミットメントとを含む検証可能なクレーム（ＶＣ）を取得する取得手段と、
    を備え、
    　前記取得手段が新しい前記ＶＣを取得するために使用する前記生成元の値は、前記取得手段が過去に前記ＶＣを取得するために使用した前記生成元の値とは異なる、ユーザ装置。
  2. 　前記演算手段は、前記生成元の値と前記秘密情報に対応する値とを入力とするハッシュ関数の出力値を求め、当該出力値と当該生成元の値とに基づき当該生成元に対応するコミットメントを求める、請求項１に記載のユーザ装置。
  3. 　前記取得手段が取得した前記ＶＣと共に当該ＶＣのプルーフを第２外部装置に提示する提示手段をさらに備え、
    　前記ＶＣのプルーフは、第１の値と第２の値とを含み、
    　前記演算手段は、前記提示手段が提示する前記ＶＣに含まれる前記生成元と第３の値とに基づき前記第１の値を求め、前記第１の値のハッシュ値と、前記第３の値と、前記秘密情報に対応する値と、に基づき前記第２の値を求め、
    　前記演算手段は、前記提示手段が第１ＶＣを前記第２外部装置に提示する場合において、前記提示手段が前記第１ＶＣを前記第２外部装置に過去に提示していた場合、前記第１の値及び前記第２の値を求めるために使用する前記第３の値を、前記第１ＶＣを前記第２外部装置に過去に提示した際に使用した前記第３の値とは異ならせる、請求項１又は２に記載のユーザ装置。
  4. 　ユーザ装置と、１つ以上の第１外部装置と、を含むシステムであって、
    　前記ユーザ装置は、
    　　秘密情報を保持する保持手段と、
    　　生成元を生成する生成手段と、
    　　前記生成元と前記秘密情報とに基づき前記生成元に対応するコミットメントを求める演算手段と、
    　　前記１つ以上の第１外部装置の内の少なくとも１つの第１外部装置に、１つ以上の生成元と前記１つ以上の生成元それぞれに対応するコミットメントとを含む取得要求を送信する第１送信手段と、
    を備え、
    　前記１つ以上の第１外部装置は、
    　前記取得要求を受信したことに応答して、前記ユーザ装置に、受信した前記取得要求に含まれる前記１つ以上の生成元それぞれに対応する検証可能なクレーム（ＶＣ）を送信する第２送信手段であって、前記生成元に対応するＶＣは、当該生成元と、当該生成元に対応するコミットメントと、を含む、前記第２送信手段を、
    備え、
    　前記第１送信手段が前記少なくとも１つの第１外部装置に送信する前記取得要求に含まれる前記１つ以上の生成元の値は互いに異なり、かつ、前記第１送信手段が過去に送信した前記取得要求に含まれていた前記１つ以上の生成元の値とは異なる、システム。
  5. 　１つ以上の第２外部装置をさらに備え、
    　前記ユーザ装置は、
    　前記少なくとも１つの第１外部装置に送信した前記取得要求の応答として取得したＶＣと共に、第１の値及び第２の値を含む当該ＶＣのプル―プを前記１つ以上の第２外部装置の内の１つの第２外部装置に提示する提示手段をさらに備え、
    　前記１つ以上の第２外部装置は、
    　前記ユーザ装置から前記ＶＣと共に前記ＶＣのプルーフが提示された場合、前記ＶＣに含まれる前記生成元及び前記コミットメントと、前記プルーフとに基づき、前記ユーザ装置のユーザが当該ＶＣの所有者であるか否かを判定する判定手段を備え、
    　前記第１の値は、前記１つの第２外部装置に提示する前記ＶＣに含まれる前記生成元と第３の値とに基づく値であり、前記第２の値は、前記第１の値のハッシュ値と、前記第３の値と、前記秘密情報に対応する値と、に基づく値である、請求項４に記載のシステム。
  6. 　ユーザ装置における方法であって、
    　第１外部装置に、１つ以上の生成元と前記１つ以上の生成元それぞれに対応するコミットメントとを含む取得要求を送信することであって、生成元に対応するコミットメントは、当該生成元と前記ユーザ装置が保持する秘密情報とに基づき生成されている、前記取得要求を送信することと、
    　前記取得要求を送信したことの応答として、前記第１外部装置から、前記１つ以上の生成元それぞれに対応する検証可能なクレーム（ＶＣ）を受信することであって、前記生成元に対応するＶＣは、当該生成元と、当該生成元に対応するコミットメントと、を含む、前記ＶＣを受信することと、
    を含み、
    　前記取得要求に含まれる前記１つ以上の生成元それぞれの値は互いに異なり、かつ、前記ユーザ装置が過去に送信した前記取得要求に含まれていた前記１つ以上の生成元の値とは異なる、方法。
  7. 　前記１つ以上の生成元それぞれに対応するＶＣの内の１つのＶＣと、当該１つのＶＣに対応するプルーフと、を第２外部装置に送信することをさらに含み、
    　前記１つのＶＣに対応するプルーフは、当該１つのＶＣに含まれる前記生成元及びランダム値に基づく第１の値と、前記第１の値のハッシュ値、前記ランダム値及び前記秘密情報に対応する値に基づく第２の値と、を含む、請求項６に記載の方法。
  8. 　ユーザ装置が、第１外部装置に、１つ以上の生成元と前記１つ以上の生成元それぞれに対応するコミットメントとを含む取得要求を送信することであって、生成元に対応するコミットメントは、当該生成元と前記ユーザ装置が保持する秘密情報とに基づき生成されている、前記取得要求を送信することと、
    　前記取得要求を受信したことに応答して、前記第１外部装置が、前記ユーザ装置に、前記１つ以上の生成元それぞれに対応する検証可能なクレーム（ＶＣ）を送信することであって、前記生成元に対応するＶＣは、当該生成元と、当該生成元に対応するコミットメントと、を含む、前記ＶＣを送信することと、
    　前記ユーザ装置が、前記１つ以上の生成元それぞれに対応するＶＣの内の１つのＶＣと、当該１つのＶＣに対応するプルーフと、を第２外部装置に送信することと、
    　前記第２外部装置が、前記１つのＶＣに含まれる前記生成元及び前記コミットメントと、前記１つのＶＣに対応するプルーフとに基づき、前記ユーザ装置のユーザが当該１つのＶＣの所有者であるか否かを判定することと、を含み、
    　前記取得要求に含まれる前記１つ以上の生成元それぞれの値は互いに異なり、かつ、前記ユーザ装置が過去に送信した前記取得要求に含まれていた前記１つ以上の生成元の値とは異なり、
    　前記１つのＶＣに対応するプルーフは、当該１つのＶＣに含まれる前記生成元及びランダム値に基づく第１の値と、前記第１の値のハッシュ値、前記ランダム値及び前記秘密情報に対応する値に基づく第２の値と、を含む、方法。
PCT/JP2022/025806 2021-07-06 2022-06-28 検証可能なクレームを取得するユーザ装置、当該ユーザ装置を含むシステム及び検証可能なクレームを取得する方法 WO2023282129A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202280047786.5A CN117643011A (zh) 2021-07-06 2022-06-28 一种获取可验证声明的用户装置、包含该用户装置的系统以及获取可验证声明的方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021112290A JP2023008607A (ja) 2021-07-06 2021-07-06 検証可能なクレームを取得するユーザ装置、当該ユーザ装置を含むシステム及び検証可能なクレームを取得する方法
JP2021-112290 2021-07-06

Publications (1)

Publication Number Publication Date
WO2023282129A1 true WO2023282129A1 (ja) 2023-01-12

Family

ID=84801593

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/025806 WO2023282129A1 (ja) 2021-07-06 2022-06-28 検証可能なクレームを取得するユーザ装置、当該ユーザ装置を含むシステム及び検証可能なクレームを取得する方法

Country Status (3)

Country Link
JP (1) JP2023008607A (ja)
CN (1) CN117643011A (ja)
WO (1) WO2023282129A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150319164A1 (en) * 2012-03-01 2015-11-05 Certicom Corp. System and method for connecting client devices to a network
US20170357816A1 (en) * 2016-06-12 2017-12-14 Apple Inc. Hierarchical Encryption of Data
WO2021033262A1 (ja) * 2019-08-20 2021-02-25 日本電信電話株式会社 ユーザクレデンシャル制御システムおよびユーザクレデンシャル制御方法
CN113065868A (zh) * 2021-04-01 2021-07-02 湖南大学 供应链企业金融数字身份管理方法及系统、设备、介质

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150319164A1 (en) * 2012-03-01 2015-11-05 Certicom Corp. System and method for connecting client devices to a network
US20170357816A1 (en) * 2016-06-12 2017-12-14 Apple Inc. Hierarchical Encryption of Data
WO2021033262A1 (ja) * 2019-08-20 2021-02-25 日本電信電話株式会社 ユーザクレデンシャル制御システムおよびユーザクレデンシャル制御方法
CN113065868A (zh) * 2021-04-01 2021-07-02 湖南大学 供应链企业金融数字身份管理方法及系统、设备、介质

Also Published As

Publication number Publication date
JP2023008607A (ja) 2023-01-19
CN117643011A (zh) 2024-03-01

Similar Documents

Publication Publication Date Title
US20200349252A1 (en) Program execution and data proof scheme using multiple key pair signatures
CN113098838B (zh) 一种可信分布式身份认证方法、系统、存储介质及应用
Guo et al. Outsourced dynamic provable data possession with batch update for secure cloud storage
KR102267735B1 (ko) 영지식 증명을 이용한 탈중앙화 신원증명 시스템 및 방법
CN101981890B (zh) 安全工作组管理和通信的系统和方法
JP4639084B2 (ja) セキュア認証の暗号方法および暗号装置
US20210243026A1 (en) Password based threshold token generation
US20080091941A1 (en) Group Signature System, Member Status Judging Device, Group Signature Method And Member Status Judging Program
US9882890B2 (en) Reissue of cryptographic credentials
Hohenberger et al. ANONIZE: A large-scale anonymous survey system
CN110365662B (zh) 业务审批方法及装置
WO2019047418A1 (zh) 数字签名方法、装置和系统
CN107248997B (zh) 多服务器环境下基于智能卡的认证方法
Abe et al. Universally composable adaptive oblivious transfer (with access control) from standard assumptions
CN112332980B (zh) 一种数字证书签发和验签方法、设备及存储介质
Mandal Provably secure certificateless protocol for wireless body area network
CN113112268A (zh) 匿名多重签名方法、计算机设备和存储介质
WO2023282129A1 (ja) 検証可能なクレームを取得するユーザ装置、当該ユーザ装置を含むシステム及び検証可能なクレームを取得する方法
Wang et al. Anonymous single sign-on schemes transformed from group signatures
CN111314059B (zh) 账户权限代理的处理方法、装置、设备及可读存储介质
EP4252384B1 (en) Methods, devices and system related to a distributed ledger and user identity attribute
CN115622812A (zh) 基于区块链智能合约的数字身份验证方法及系统
CN113112269B (zh) 多重签名方法、计算机设备和存储介质
Ohtake et al. An efficient strong key-insulated signature scheme and its application
Frederiksen et al. Attribute-based single sign-on: Secure, private, and efficient

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22837545

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 202280047786.5

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 18576945

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22837545

Country of ref document: EP

Kind code of ref document: A1