WO2026028331A1 - 非対話ブラインド署名システム、装置、方法、及びプログラム - Google Patents

非対話ブラインド署名システム、装置、方法、及びプログラム

Info

Publication number
WO2026028331A1
WO2026028331A1 PCT/JP2024/027339 JP2024027339W WO2026028331A1 WO 2026028331 A1 WO2026028331 A1 WO 2026028331A1 JP 2024027339 W JP2024027339 W JP 2024027339W WO 2026028331 A1 WO2026028331 A1 WO 2026028331A1
Authority
WO
WIPO (PCT)
Prior art keywords
signature
key
public key
interactive
signer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
PCT/JP2024/027339
Other languages
English (en)
French (fr)
Inventor
和輝 山村
哲矢 奥田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
NTT Inc USA
Original Assignee
Nippon Telegraph and Telephone Corp
NTT Inc USA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp, NTT Inc USA filed Critical Nippon Telegraph and Telephone Corp
Priority to PCT/JP2024/027339 priority Critical patent/WO2026028331A1/ja
Publication of WO2026028331A1 publication Critical patent/WO2026028331A1/ja
Pending legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Definitions

  • This disclosure relates to non-interactive blind signature systems, devices, methods, and programs.
  • Non-Patent Document 1 One type of digital signature is known as a blind signature, which can generate a signature while keeping the message secret from the signer.
  • a blind signature which can generate a signature while keeping the message secret from the signer.
  • interactive communication between two parties is essential when generating a blind signature, but there is also a known technique called non-interactive blind signature, which can generate a signature through non-interactive communication if the message to be signed is random (Non-Patent Document 1).
  • This disclosure has been made in light of the above points, and aims to realize a non-interactive blind signature system in which anonymity is unconditionally guaranteed as long as it is used within a predetermined number of times.
  • a non-interactive blind signature system is a non-interactive blind signature system that includes at least a signer device that generates a pre-signature using non-interactive blind signatures, and a recipient device that generates a message and a signature from the pre-signature, wherein the signer device includes a first key generation unit that generates a public key and a private key of a digital signature scheme as the public key and private key of the signer device in the blind signature, and a first nonce value that is used to generate a digital signature generated by the digital signature scheme based on the private key of the signer device, the public key of the recipient device, and a first nonce value.
  • the recipient device has a pre-signature generation unit that generates a digital signature as the pre-signature, and the recipient device has a second key generation unit that generates a private key including a q-wise hash function as the recipient device's private key and a commitment of the q-wise hash function as the recipient device's public key, and a signature generation unit that generates the message using the q-wise hash function and the signature using a dual-mode non-interactive zero-knowledge proof based on the signer device's public key, the recipient device's private key and public key, a second nonce value, and the pre-signature.
  • FIG. 1 is a diagram illustrating an example of a conventional blind signature.
  • FIG. 1 is a diagram illustrating an example of a conventional non-interactive blind signature scheme.
  • 1 is a diagram illustrating an example of the overall configuration of a non-interactive blind signature system according to an embodiment of the present invention.
  • FIG. 2 is a diagram illustrating an example of a functional configuration of a receiver device according to the present embodiment.
  • FIG. 2 is a diagram illustrating an example of the functional configuration of a signer device according to the present embodiment.
  • FIG. 2 is a diagram illustrating an example of a functional configuration of a verifier device according to the present embodiment.
  • 10 is a flowchart illustrating an example of a signer's key generation process.
  • FIG. 10 is a flowchart illustrating an example of a receiver's key generation process.
  • FIG. 10 is a sequence diagram illustrating an example of a signature generation and acquisition process.
  • FIG. 10 is a sequence diagram illustrating an example of a signature verification process.
  • FIG. 2 illustrates an example of a hardware configuration of a computer.
  • a blind signature is a type of anonymous signature that allows a user (hereafter referred to as the recipient) who has the message to be signed to generate a signature while keeping the message confidential from the signer.
  • Blind signatures are also a type of digital signature that originated as an application of electronic cash.
  • blind signatures A simple application of blind signatures is anonymous authentication. For example, when creating an account for an application, you might want an administrator to generate a signature for your ID. By using blind signatures, you can generate a signature while keeping your ID secret from the administrator. During actual authentication, you simply present your ID and the signature generated using blind signatures.
  • Figure 1 is a diagram for explaining an example of a conventional blind signature.
  • step S11 to S17 signature generation and verification are achieved through steps S11 to S17 below.
  • the signature verifier has obtained the signer's public key pk before executing step S17, which will be described later.
  • the recipient, signer, and verifier below more accurately refer to the devices, equipment, terminals, etc. that act as the recipient, signer, and verifier, respectively.
  • S11 The recipient generates a secret message M using M ⁇ Mask(m).
  • m is the message to be signed
  • Mask is an algorithm that takes message m as input and outputs secret message M.
  • secret message M is a message in which the contents of message m have been concealed by encryption or other means.
  • S13 The signer generates a pre-signed psig by psig ⁇ Issue sk (M), where sk is the signer's private key, and Issue sk is an algorithm that takes the private key sk and the secret message M as input and outputs a pre-signed psig.
  • S15 The recipient generates the signature sig using sig ⁇ Obtain(psig).
  • Obtain is an algorithm that takes the pre-signature psig as input and outputs the signature sig.
  • S17 The verifier verifies the signature sig using 1/0 ⁇ Verify pk (m, sig), where pk is the signer's public key, and Verify pk is an algorithm that takes the public key pk, message m, and signature sig as input and outputs 1 or 0. For example, 1 indicates successful verification, and 0 indicates unsuccessful verification.
  • steps S12 and S14 above correspond to interactive communication between the recipient and the signer.
  • Non-interactive blind signature Interactive communication between two parties is essential when generating a blind signature, but non-interactive blind signatures (NIBS: Non-interactive Blind Signatures for random messages) are known that can generate a signature through non-interactive communication if the message to be signed is random (Non-Patent Document 1). Considering the application of the above blind signature to anonymous authentication, if it is acceptable for the ID to be a random value, non-interactive blind signatures can be a powerful application technology.
  • Figure 2 is a diagram for explaining an example of a conventional non-interactive blind signature.
  • signature generation and verification are realized by the following steps S21 to S25.
  • the signature verifier has obtained the signer's public key pk before executing step S25, which will be described later. It is also assumed that the signer has obtained the recipient's public key pkr in advance. Note that the recipient, signer, and verifier below more precisely refer to the devices, equipment, terminals, etc. that will serve as the recipient, signer, and verifier, respectively.
  • S21 The signer generates a pre-signature psig using psig ⁇ Issue sk (nonce, pk r ), where sk is the signer's private key, nonce is a nonce value, and Issue sk is an algorithm that takes the private key sk, the nonce value nonce, and the public key pk r as inputs and outputs a pre-signature psig.
  • S23 The recipient generates a message m and a signature sig by (m, sig) ⁇ Obtain sk_r (nonce, psig).
  • sk_r means "sk r " and is the recipient's private key.
  • Obtain sk_r is an algorithm that takes the private key sk r , the nonce value nonce, and the pre-signature psig as input and outputs a message m and a signature sig.
  • S25 The verifier verifies the signature sig using 1/0 ⁇ Verify pk (m, sig), where pk is the signer's public key, and Verify pk is an algorithm that takes the public key pk, message m, and signature sig as input and outputs 1 or 0. For example, 1 indicates successful verification, and 0 indicates unsuccessful verification.
  • non-interactive blind signature method (hereinafter referred to as the "proposed method”, or when explicitly referring to non-interactive blind signatures, as “non-interactive blind signatures related to the proposed method") that unconditionally guarantees anonymity if used within a predetermined number of times.
  • the digital signature SIG (SIG.Gen, SIG.Sign, SIG.Verify) is composed of the following three probabilistic polynomial-time algorithms:
  • SIG.Gen( ⁇ ) Takes security parameter ⁇ as input and outputs a key pair (pk, sk) consisting of verification key pk and signature key sk.
  • verification key pk implicitly defines message space Mpk .
  • verification key pk and signature key sk may also be referred to as public key and private key, respectively.
  • SIG.Sign(sk, m) A signature key sk and a message m ⁇ M pk are input, and a signature ⁇ is output.
  • CMT.Setup( ⁇ ) Takes security parameter ⁇ as input and outputs public parameters pp.
  • the public parameters pp implicitly define a message space Mpp and a random number space Rpp .
  • pp ⁇ CMT.Setup( ⁇ ); (m,r,m',r') ⁇ A(pp)] negl( ⁇ ). Here, negl( ⁇ ) indicates that the probability is negligible with respect to ⁇ .
  • a specific example of a commitment method CMT that satisfies the above-mentioned unconditional confidentiality is the Pedersen commitment method (Reference 1).
  • NIZK NIZK. Prove(crs, x, w): Takes common reference information crs, statement x, and evidence w as input and outputs a proof/argument ⁇ .
  • the dual-mode non-interactive zero-knowledge proof NIZK satisfies the following properties 2-1 to 2-6.
  • the common reference information crs is randomly sampled from the SPACE CRS , it is guaranteed to be in a hiding mode except with negligible probability.
  • the q-wise independent hash functions are a family of hash functions that can be used as random functions if they are used within a predetermined number of q times.
  • H be a family of hash functions.
  • H a family of hash functions.
  • element h: ⁇ 0,1 ⁇ a ⁇ 0,1 ⁇ b of the function family H if the following holds, H is called a q-wise independent hash function family.
  • a and b are predetermined integers of 1 or more, and q is a predetermined integer of 1 or more.
  • Non-Patent Document 1 a special pseudo-random function called a verifiable random function (VRF).
  • VRF verifiable random function
  • the proposed method avoids the use of a verifiable random function and instead uses a commitment scheme that satisfies unconditional confidentiality, a dual-mode non-interactive zero-knowledge proof, and q-wise independent hash functions.
  • the proposed method unconditionally guarantees anonymity as long as it is used within a predetermined number of times (specifically, within q times).
  • the non-interactive blind signature method proposed consists of five algorithms (KeyGen, RKeyGen, Issue, Obtain, and Verify).
  • KeyGen( ⁇ ) Takes a security parameter ⁇ as input and outputs a key pair (pk, sk) consisting of a signer's public key pk and private key sk.
  • pk, sk a key pair consisting of a signer's public key pk and private key sk.
  • RKeyGen( ⁇ ) Takes security parameter ⁇ as input and outputs a key pair (rpk, rsk) consisting of the recipient's public key rpk and private key rsk.
  • Verify(pk, m, sig) Takes the signer's public key pk, message m, and signature sig as input and outputs 1 or 0. Note that, for example, 1 indicates successful verification and 0 indicates unsuccessful verification.
  • H crs be the random oracle from ⁇ 0, 1 ⁇ * to SPACE CRS .
  • H pp be the random oracle from ⁇ 0, 1 ⁇ * to the space of security parameters of the commitment method CMT that satisfies unconditional confidentiality.
  • the NP relation R is defined below.
  • ⁇ KeyGen KeyGen( ⁇ ) Using the security parameter ⁇ as input, generate a key pair (pk, sk) using (pk, sk) ⁇ SIG.Gen( ⁇ ), and output the key pair (pk, sk) as the signer's key pair (pk, sk). Note that this means that the key pair of a regular digital signature SIG is used as the signer's key pair.
  • ⁇ RKeyGen RKeyGen( ⁇ ) Using security parameter ⁇ as input, samples hash function h ⁇ H and calculates com ⁇ CMT.Com(H pp (0), h; r).
  • r ⁇ R H_pp(0) is a random number.
  • H_pp(0) means "H pp (0)”.
  • (com, (h, r)) is output as the recipient's key pair (rpk, rsk). Note that this means that the q-wise hash function h and the random number r are the recipient's private key rsk, and the private key rsk is committed to the recipient's public key rpk. This commitment is unconditionally secure due to perfect confidentiality.
  • This dual-mode non-interactive zero-knowledge proof is executed in confidential mode and is therefore unconditionally secure.
  • Fig. 3 is a diagram showing an example of the overall configuration of the non-interactive blind signature system 1 according to this embodiment.
  • the non-interactive blind signature system 1 includes a recipient device 10, a signer device 20, and a verifier device 30.
  • the recipient device 10, signer device 20, and verifier device 30 are communicatively connected via a communication network 40, which may include, for example, the Internet.
  • the recipient device 10 is any device, equipment, terminal, etc. that acts as a recipient.
  • the signer device 20 is any device, equipment, terminal, etc. that acts as a verifier.
  • the verifier device 30 is any device, equipment, terminal, etc. that acts as a verifier.
  • the recipient device 10, signer device 20, and verifier device 30 can be realized by various devices, equipment, terminals, etc., such as PCs (personal computers), smartphones, tablet devices, wearable devices, general-purpose servers, IoT devices, industrial equipment, etc.
  • PCs personal computers
  • smartphones smartphones
  • tablet devices wearable devices
  • general-purpose servers IoT devices
  • industrial equipment etc.
  • Fig. 4 is a diagram showing an example of the functional configuration of the recipient device 10 according to this embodiment.
  • the recipient device 10 has a communication unit 101, a key generation unit 102, and a signature generation unit 103. Each of these units is realized, for example, by one or more programs installed in the recipient device 10, which are executed by a processor such as a CPU (Central Processing Unit).
  • the recipient device 10 also has a memory unit 104.
  • the memory unit 104 is realized, for example, by the storage area of various storage devices such as an HDD (Hard Disk Drive), SSD (Solid State Drive), and flash memory.
  • the communication unit 101 receives a pre-signed psig from the signer device 20 and sends a pair (m, sig) of a message m and a signature sig to the verifier device 30.
  • the key generation unit 102 executes RKeyGen, a non-interactive blind signature algorithm related to the proposed method, to generate a key pair (rpk, rsk) consisting of a public key rpk and a private key rsk.
  • the signature generation unit 103 executes the non-interactive blind signature Obtain related to the proposed method and generates a pair (m, sig) of a message m and a signature sig.
  • the storage unit 104 stores various data (e.g., key pairs (rpk, rsk), pairs of message m and signature sig (m, sig), etc.).
  • Fig. 5 is a diagram showing an example of the functional configuration of signer device 20 according to this embodiment.
  • the signer device 20 has a communication unit 201, a key generation unit 202, and a pre-signature generation unit 203. Each of these units is realized, for example, by a processor such as a CPU executing one or more programs installed in the signer device 20.
  • the signer device 20 according to this embodiment also has a memory unit 204.
  • the memory unit 204 is realized, for example, by the storage area of various storage devices such as an HDD, SSD, or flash memory.
  • the communication unit 201 sends the pre-signature psig to the recipient device 10.
  • the key generation unit 202 executes KeyGen, a non-interactive blind signature algorithm based on the proposed method, to generate a key pair (pk, sk) consisting of a public key pk and a private key sk.
  • the pre-signature generation unit 203 executes a non-interactive blind signature issue related to the proposed method and generates a pre-signature psig.
  • the storage unit 204 stores various data (e.g., key pairs (pk, sk), recipient public keys rpk, etc.).
  • Fig. 6 is a diagram showing an example of the functional configuration of the verifier device 30 according to this embodiment.
  • the verifier device 30 has a communication unit 301 and a verification unit 302. These units are realized, for example, by one or more programs installed in the verifier device 30, which are executed by a processor such as a CPU.
  • the verifier device 30 according to this embodiment also has a memory unit 303.
  • the memory unit 303 is realized, for example, by the storage area of various storage devices such as an HDD, SSD, or flash memory.
  • the communication unit 301 receives a pair (m, sig) of a message m and a signature sig from the recipient device 10.
  • the verification unit 302 executes the non-interactive blind signature verification according to the proposed method and verifies the signature sig.
  • the storage unit 303 stores various data (e.g., the signer's public key pk, etc.).
  • Fig. 7 is a flowchart showing an example of a signer's key generation process.
  • the key generation unit 202 of the signer device 20 executes KeyGen, a non-interactive blind signature method according to the proposed method, to generate a key pair (pk, sk) consisting of a public key pk and a private key sk (step S101). That is, the key generation unit 202 receives the security parameter ⁇ as input, generates the key pair (pk, sk) using (pk, sk) ⁇ SIG.Gen( ⁇ ), and outputs the key pair (pk, sk) as the signer's key pair (pk, sk).
  • KeyGen a non-interactive blind signature method according to the proposed method
  • the key generation unit 202 of the signer device 20 stores the key pair (pk, sk) generated in step S101 above in the storage unit 204, and also makes the public key pk public using any method (step S102).
  • One method for making the public key pk public is, for example, to register the public key pk on a public server.
  • Fig. 8 is a flowchart showing an example of the recipient's key generation process.
  • the key generation unit 102 of the recipient device 10 executes RKeyGen, a non-interactive blind signature algorithm according to the proposed method, to generate a key pair (rpk, rsk) of a public key rpk and a private key rsk (step S201). That is, the key generation unit 102 receives a security parameter ⁇ as an input, samples a hash function h ⁇ H, calculates com ⁇ CMT.Com( Hpp (0),h;r), and outputs (com,(h,r)) as the recipient's key pair (rpk,rsk).
  • the key generation unit 102 of the recipient device 10 stores the key pair (rpk, rsk) generated in step S101 above in the storage unit 104, and also publishes the public key rpk using any method (step S202).
  • One method for publishing the public key rpk is, for example, to register the public key rpk on a public server.
  • Fig. 9 is a sequence diagram showing an example of the signature generation and acquisition process.
  • the pre-signature generation unit 203 of the signer device 20 executes the non-interactive blind signature issue according to the proposed method to generate a pre-signature psig (step S301). That is, the pre-signature generation unit 203 receives the signer's private key sk, the recipient's public key rpk, and the nonce value nonce ⁇ Npk as input, calculates psig ⁇ SIG.Sign(sk,(nonce,rpk)), and outputs the pre-signature psig.
  • the communication unit 201 of the signer device 20 transmits the pre-signature psig generated in step S301 above to the recipient device 10 (step S302).
  • the signature generation unit 103 of the recipient device 10 executes Obtain, a non-interactive blind signature according to the proposed method, to generate a pair (m, sig) of a message m and a signature sig (step S303). Specifically, the signature generation unit 103 receives the signer's public key pk, the recipient's key pair (rpk, rsk), the nonce value nonce, and the pre-signature psig as inputs.
  • the unit 103 calculates ⁇ ; otherwise, the unit 103 calculates m ⁇ h(nonce, psig) and sig ⁇ NIZK.Prove(H crs (0), (pk, m), (rpk, h, r, nonce, psig)), and outputs (m, sig).
  • the signature generation unit 103 terminates the process if the symbol ⁇ , which indicates failure, is output.
  • the signature generation unit 103 of the recipient device 10 stores the pair (m, sig) of the message m and signature sig generated in step S303 above in the memory unit 104 (step S304).
  • Fig. 10 is a sequence diagram showing an example of the signature verification process.
  • the communication unit 101 of the recipient device 10 transmits the pair (m, sig) of the message m and the signature sig to the verifier device 30 (step S401).
  • the verification unit 302 of the verifier device 30 executes non-interactive blind signature verification according to the proposed method and verifies the signature sig (step S402). That is, the verification unit 302 receives the signer's public key pk, the message m, and the signature sig as input, and outputs NIZK.Verify(H crs (0), (m, pk), sig). As a result, 1 is output if the verification is successful, and 0 is output if the verification is unsuccessful.
  • Fig. 11 is a diagram showing an example of the hardware configuration of the computer 500.
  • the computer 500 shown in FIG. 11 has an input device 501, a display device 502, an external I/F 503, a communication I/F 504, a RAM (Random Access Memory) 505, a ROM (Read Only Memory) 506, an auxiliary storage device 507, and a processor 508.
  • a processor 508 Each of these pieces of hardware is connected to each other so as to be able to communicate with each other via a bus 509.
  • the input device 501 is, for example, a keyboard, a mouse, a touch panel, physical buttons, etc.
  • the display device 502 is, for example, a display, a display panel, etc. Note that the computer 500 may not have at least one of the input device 501 and the display device 502, for example.
  • the external I/F 503 is an interface with external devices such as a recording medium 503a.
  • recording media 503a include a CD (Compact Disc), a DVD (Digital Versatile Disk), an SD memory card (Secure Digital memory card), and a USB (Universal Serial Bus) memory card.
  • the communication I/F 504 is an interface for connecting to a communication network.
  • the RAM 505 is a volatile semiconductor memory (storage device) that temporarily stores programs and data.
  • the ROM 506 is a non-volatile semiconductor memory (storage device) that can store programs and data even when the power is turned off.
  • the auxiliary storage device 507 is a non-volatile storage device such as an HDD, SSD, or flash memory.
  • the processor 508 is, for example, a CPU or other computing device.
  • the hardware configuration shown in FIG. 11 is an example, and the hardware configuration of the computer 500 is not limited to this.
  • the computer 500 may have multiple auxiliary storage devices 507 or multiple processors 508, may not have some of the hardware shown in the figure, or may have various types of hardware other than the hardware shown in the figure.
  • the non-interactive blind signature system 1 can realize a non-interactive blind signature system in which anonymity is unconditionally guaranteed as long as it is used within a predetermined number of times.
  • the non-interactive blind signature system 1 according to this embodiment uses a commitment scheme that ensures unconditional confidentiality, a dual-mode non-interactive zero-knowledge proof, and q-wise independent hash functions, instead of a special pseudo-random function called a verifiable random function. This is because the use of a verifiable random function requires assumptions about the computational complexity. This makes it possible to unconditionally guarantee anonymity, even if, for example, a quantum computer or an even more powerful computer is developed.
  • Reference 1 Pedersen, TP: Non-interactive and information-theoretic secure verifiable secret sharing.
  • Reference 2 Groth, J., Ostrovsky, R., Sahai, A.: Perfect non-interactive zero knowledge for NP.
  • Non-interactive blind signature system 10 Recipient device 20 Signer device 30 Verifier device 40 Communication network 101 Communication unit 102 Key generation unit 103 Signature generation unit 104 Storage unit 201 Communication unit 202 Key generation unit 203 Pre-signature generation unit 204 Storage unit 301 Communication unit 302 Verification unit 303 Storage unit 500 Computer 501 Input device 502 Display device 503 External I/F 503a Recording medium 504 Communication I/F 505 RAM 506 ROM 507 Auxiliary storage device 508 Processor 509 Bus

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本開示の一態様による非対話ブラインド署名システムは、署名者装置が、デジタル署名方式の公開鍵及び秘密鍵を、前記ブラインド署名における前記署名者装置の公開鍵及び秘密鍵として生成する第１の鍵生成部と、前記署名者装置の秘密鍵と、前記受領者装置の公開鍵と、第１のナンス値とに基づいて、前記デジタル署名方式により生成されるデジタル署名を事前署名として生成する事前署名生成部と、を有し、前記受領者装置が、ｑ－ｗｉｓｅハッシュ関数が含まれる秘密鍵を前記受領者装置の秘密鍵、前記ｑ－ｗｉｓｅハッシュ関数のコミットメントを前記受領者装置の公開鍵として生成する第２の鍵生成部と、前記署名者装置の公開鍵と、前記受領者装置の秘密鍵及び公開鍵と、第２のナンス値と、前記事前署名とに基づいて、前記ｑ－ｗｉｓｅハッシュ関数によりメッセージと、Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明により署名とを生成する署名生成部と、を有する。

Description

非対話ブラインド署名システム、装置、方法、及びプログラム
　本開示は、非対話ブラインド署名システム、装置、方法、及びプログラムに関する。
　デジタル署名の１つとして、署名者に対してメッセージを秘匿しつつ署名を生成可能なブラインド署名と呼ばれる手法が知られている。一般にブラインド署名を生成する際には２者間の対話通信が不可欠であるが、署名対象のメッセージがランダムであれば非対話による通信で署名を生成することが可能な非対話ブラインド署名と呼ばれる手法も知られている（非特許文献１）。
Lucjan Hanzlik, " Non-interactive blind signatures for random messages, " In Annual International Conference on the Theory and Applications of Cryptographic Techniques, pages 722-752. Springer, 2023.
　しかしながら、既存の非対話ブラインド署名では匿名性（ｂｌｉｎｄｎｅｓｓ）が計算量的仮定の下で保証されているため、その仮定が成り立たなくなった場合には匿名性が破られてしまうという問題点がある。
　本開示は、上記の点に鑑みてなされたもので、予め決められた回数以内の使用であれば匿名性が無条件に保証される非対話ブラインド署名を実現することを目的とする。
　本開示の一態様による非対話ブラインド署名システムは、非対話型のブラインド署名により事前署名を生成する署名者装置と、前記事前署名からメッセージ及び署名を生成する受領者装置とが少なくとも含まれる非対話ブラインド署名システムであって、前記署名者装置は、デジタル署名方式の公開鍵及び秘密鍵を、前記ブラインド署名における前記署名者装置の公開鍵及び秘密鍵として生成する第１の鍵生成部と、前記署名者装置の秘密鍵と、前記受領者装置の公開鍵と、第１のナンス値とに基づいて、前記デジタル署名方式により生成されるデジタル署名を前記事前署名として生成する事前署名生成部と、を有し、前記受領者装置は、ｑ－ｗｉｓｅハッシュ関数が含まれる秘密鍵を前記受領者装置の秘密鍵、前記ｑ－ｗｉｓｅハッシュ関数のコミットメントを前記受領者装置の公開鍵として生成する第２の鍵生成部と、前記署名者装置の公開鍵と、前記受領者装置の秘密鍵及び公開鍵と、第２のナンス値と、前記事前署名とに基づいて、前記ｑ－ｗｉｓｅハッシュ関数により前記メッセージと、Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明により前記署名とを生成する署名生成部と、を有する。
　予め決められた回数以内の使用であれば匿名性が無条件に保証される非対話ブラインド署名を実現することができる。
従来のブラインド署名の一例を説明するための図である。 従来の非対話ブラインド署名の一例を説明するための図である。 本実施形態に係る非対話ブラインド署名システムの全体構成の一例を示す図である。 本実施形態に係る受領者装置の機能構成の一例を示す図である。 本実施形態に係る署名者装置の機能構成の一例を示す図である。 本実施形態に係る検証者装置の機能構成の一例を示す図である。 署名者の鍵生成処理の一例を示すフローチャートである。 受領者の鍵生成処理の一例を示すフローチャートである。 署名生成及び取得処理の一例を示すシーケンス図である。 署名検証処理の一例を示すシーケンス図である。 コンピュータのハードウェア構成の一例を示す図である。
　以下、本発明の一実施形態について、図面を参照しながら詳細に説明する。
　＜従来技術＞
　まず、従来技術であるブラインド署名と非対話ブラインド署名について説明する。
　　≪ブラインド署名≫
　ブラインド署名とは、委託型の匿名署名の１つであり、署名対象のメッセージを持つユーザ（以下、受領者と呼ぶ。）はそのメッセージを署名者に対して秘匿しながら署名生成を可能とする方式である。なお、ブラインド署名は電子現金の応用先として生まれた経緯があるデジタル署名でもある。
　ブラインド署名の簡単な応用例としては、匿名認証が挙げられる。例えば、或るアプリケーションのアカウントを作成した際に、自身のＩＤに対する署名を管理者に生成してもらいたいとする。このとき、ブラインド署名を用いることにより、自身のＩＤを管理者に秘匿しながら署名の生成が可能となる。なお、実際の認証時には、自身のＩＤとブラインド署名で生成された署名とを提示すればよい。
　従来のブラインド署名の一例について、図１を参照しながら説明する。図１は、従来のブラインド署名の一例を説明するための図である。
　図１に示すように、従来のブラインド署名では、以下のＳ１１～Ｓ１７により署名生成及びその検証が実現される。以下では、署名の検証者は、後述するＳ１７の実行前に署名者の公開鍵ｐｋを取得しているものとする。なお、以下の受領者、署名者、検証者は、正確には、それぞれ受領者、署名者、検証者となる装置、機器、端末等のことである。
　Ｓ１１：受領者は、Ｍ←Ｍａｓｋ（ｍ）により秘匿メッセージＭを生成する。ここで、ｍは署名対象のメッセージ、Ｍａｓｋはメッセージｍを入力として秘匿メッセージＭを出力するアルゴリズムである。なお、秘匿メッセージＭは、メッセージｍの内容を暗号化等により秘匿したメッセージのことである。
　Ｓ１２：受領者は、秘匿メッセージＭを署名者に送信する。
　Ｓ１３：署名者は、ｐｓｉｇ←Ｉｓｓｕｅｓｋ（Ｍ）により事前署名ｐｓｉｇを生成する。ここで、ｓｋは署名者の秘密鍵、Ｉｓｓｕｅｓｋは秘密鍵ｓｋと秘匿メッセージＭとを入力として事前署名ｐｓｉｇを出力するアルゴリズムである。
　Ｓ１４：署名者は、事前署名ｐｓｉｇを受領者に送信する。
　Ｓ１５：受領者は、ｓｉｇ←Ｏｂｔａｉｎ（ｐｓｉｇ）により署名ｓｉｇを生成する。ここで、Ｏｂｔａｉｎは事前署名ｐｓｉｇを入力として署名ｓｉｇを出力するアルゴリズムである。
　Ｓ１６：受領者は、（ｍ，ｓｉｇ）を検証者に送信する。
　Ｓ１７：検証者は、１／０←Ｖｅｒｉｆｙｐｋ（ｍ，ｓｉｇ）により署名ｓｉｇを検証する。ここで、ｐｋは署名者の公開鍵、Ｖｅｒｉｆｙｐｋは公開鍵ｐｋとメッセージｍと署名ｓｉｇとを入力として１又は０を出力するアルゴリズムである。なお、例えば、１は検証成功、０は検証失敗を表す。
　なお、上記のＳ１２及びＳ１４が受領者と署名者との間の対話通信に相当する。
　　≪非対話ブラインド署名≫
　ブラインド署名を生成する際には２者間の対話通信が不可欠であるが、署名対象のメッセージがランダムであれば非対話による通信で署名を生成することが可能な非対話ブラインド署名（ＮＩＢＳ：Non-interactive Blind Signatures for random messages）が知られている（非特許文献１）。上記のブラインド署名の匿名認証への応用例を考えた場合、ＩＤがランダム値でも構わないとすれば非対話ブラインド署名は強力な応用技術となり得る。
　従来の非対話ブラインド署名の一例について、図２を参照しながら説明する。図２は、従来の非対話ブラインド署名の一例を説明するための図である。
　図２に示すように、従来の非対話ブラインド署名では、以下のＳ２１～Ｓ２５により署名生成及びその検証が実現される。以下では、署名の検証者は、後述するＳ２５の実行前に署名者の公開鍵ｐｋを取得しているものとする。また、署名者は、受領者の公開鍵ｐｋｒを事前に取得しているものとする。なお、以下の受領者、署名者、検証者は、正確には、それぞれ受領者、署名者、検証者となる装置、機器、端末等のことである。
　Ｓ２１：署名者は、ｐｓｉｇ←Ｉｓｓｕｅｓｋ（ｎｏｎｃｅ，ｐｋｒ）により事前署名ｐｓｉｇを生成する。ここで、ｓｋは署名者の秘密鍵、ｎｏｎｃｅはノンス値、Ｉｓｓｕｅｓｋは秘密鍵ｓｋとノンス値ｎｏｎｃｅと公開鍵ｐｋｒとを入力として事前署名ｐｓｉｇを出力するアルゴリズムである。
　Ｓ２２：署名者は、事前署名ｐｓｉｇを受領者に送信する。
　Ｓ２３：受領者は、（ｍ，ｓｉｇ）←Ｏｂｔａｉｎｓｋ_ｒ（ｎｏｎｃｅ，ｐｓｉｇ）によりメッセージｍ及び署名ｓｉｇを生成する。ここで、ｓｋ_ｒは「ｓｋｒ」を意味し、受領者の秘密鍵である。Ｏｂｔａｉｎｓｋ_ｒは秘密鍵ｓｋｒとノンス値ｎｏｎｃｅと事前署名ｐｓｉｇとを入力としてメッセージｍと署名ｓｉｇとを出力するアルゴリズムである。
　Ｓ２４：受領者は、（ｍ，ｓｉｇ）を検証者に送信する。
　Ｓ２５：検証者は、１／０←Ｖｅｒｉｆｙｐｋ（ｍ，ｓｉｇ）により署名ｓｉｇを検証する。ここで、ｐｋは署名者の公開鍵、Ｖｅｒｉｆｙｐｋは公開鍵ｐｋとメッセージｍと署名ｓｉｇとを入力として１又は０を出力するアルゴリズムである。なお、例えば、１は検証成功、０は検証失敗を表す。
　＜従来の非対話ブラインド署名の問題点＞
　上記の非特許文献１に記載されている非対話ブラインド署名では、匿名性（ｂｌｉｎｄｎｅｓｓ）が計算量的仮定の下で保証されているため、その仮定が成り立たなくなった場合には匿名性が破られてしまう恐れがある。例えば、量子計算機や更に強力な計算機が開発された場合、上記の非特許文献１に記載されている非対話ブラインド署名では、匿名性が破られてしまう恐れがある。
　一方で、既存のブラインド署名には、例えば、ＲＳＡ型ブラインド署名、ｓｃｈｎｏｒｒ型ブラインド署名等といった無条件に匿名性が保証される方式が多く存在する。
　そこで、以下では、予め決められた回数以内の使用であれば匿名性が無条件に保証される非対話ブラインド署名（以下、「提案手法」、又は非対話ブラインド署名であることを明示する場合は「提案手法に係る非対話ブラインド署名」と呼ぶ。）を提案する。
　＜準備＞
　まず、提案手法の前提となる技術を準備する。
　　≪デジタル署名≫
　デジタル署名ＳＩＧ＝（ＳＩＧ．Ｇｅｎ，ＳＩＧ．Ｓｉｇｎ，ＳＩＧ．Ｖｅｒｉｆｙ）は、以下の３つの確率的多項式時間アルゴリズムで構成される。
　ＳＩＧ．Ｇｅｎ（λ）：セキュリティパラメータλを入力として、検証鍵ｐｋと署名鍵ｓｋとの鍵ペア（ｐｋ，ｓｋ）を出力する。以下、検証鍵ｐｋは、メッセージ空間Ｍｐｋを暗に定義するものと仮定する。なお、検証鍵ｐｋ及び署名鍵ｓｋはそれぞれ公開鍵及び秘密鍵と呼ばれてもよい。
　ＳＩＧ．Ｓｉｇｎ（ｓｋ，ｍ）：署名鍵ｓｋとメッセージｍ∈Ｍｐｋとを入力として、署名σを出力する。
　ＳＩＧ．Ｖｅｒｉｆｙ（ｐｋ，ｍ，σ）：検証鍵ｐｋとメッセージｍと署名σとを入力として、１又は０を出力する。なお、例えば、１は検証成功、０は検証失敗を表す。
　　≪無条件秘匿性を満たすコミットメント方式≫
　無条件秘匿性を満たすコミットメント方式ＣＭＴ＝（ＣＭＴ．Ｓｅｔｕｐ，ＣＭＴ．Ｃｏｍ）は、以下の２つの確率的多項式時間アルゴリズムで構成される。
　ＣＭＴ．Ｓｅｔｕｐ（λ）：セキュリティパラメータλを入力として、公開パラメータｐｐを出力する。以下、公開パラメータｐｐは、メッセージ空間Ｍｐｐと乱数空間Ｒｐｐとを暗に定義するものと仮定する。
　ＣＭＴ．Ｃｏｍ（ｐｐ，ｍ；ｒ）：公開パラメータｐｐとメッセージｍ∈Ｍｐｐと乱数ｒ∈Ｒｐｐとを入力として、コミットメントｃｏｍを出力する。
　ここで、無条件秘匿性を満たすコミットメント方式ＣＭＴは、以下の性質１－１及び性質１－２を満たすものとする。
　性質１－１（計算量的拘束性（Computational Binding））：任意の確率的多項式時間アルゴリズムで表される攻撃者をＡとする。このとき、Ｐｒ［ｍ≠ｍ'∈Ｍｐｐ∧ＣＭＴ．Ｃｏｍ（ｐｐ，ｍ；ｒ）＝ＣＭＴ．Ｃｏｍ（ｐｐ，ｍ'；ｒ'）｜ｐｐ←ＣＭＴ．Ｓｅｔｕｐ（λ）；（ｍ，ｒ，ｍ'，ｒ'）←Ａ（ｐｐ）］＝ｎｅｇｌ（λ）が成り立つ。ここで、ｎｅｇｌ（λ）はλに関して無視できる確率であることを表す。
　性質１－２（完全秘匿性（Perfect Hiding））：任意の攻撃者Ａに対して、Ｐｒ［ｂ＝ｂ'｜ｐｐ←ＣＭＴ．Ｓｅｔｕｐ（λ）；（ｍ０，ｍ１）←Ａ（ｐｐ）；ｂ←｛０，１｝；ｒ←Ｒｐｐ；ｃｏｍ←ＣＭＴ．Ｃｏｍ（ｐｐ，ｍｂ；ｒ）；ｂ'←Ａ（ｐｐ，ｃｏｍ）］＝１／２が成り立つ。
　上記の無条件秘匿性を満たすコミットメント方式ＣＭＴの具体例としては、例えば、Ｐｅｄｅｒｓｅｎのコミットメント方式（参考文献１）等が挙げられる。
　　≪Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明≫
　Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明には、拘束モード（binding mode）と秘匿モード（hiding mode）の２つのモードが存在するものとする。また、ＮＰ関係Ｒに関するＮＰ言語をＬＲとする。このとき、ＮＰ言語ＬＲに対するＤｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明ＮＩＺＫ＝（ＮＩＺＫ．Ｓｅｔｕｐ，ＮＩＺＫ．Ｐｒｏｖｅ，ＮＩＺＫ．Ｖｅｒｉｆｙ，ＮＩＺＫ．Ｓｉｍ，ＮＩＺＫ．Ｅｘｔｒａｃｔ）は、以下の５つのアルゴリズムで構成される。
　ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｂｉｎｄｉｎｇ）：セキュリティパラメータλを入力として、共通参照情報ｃｒｓとＮＩＺＫ．Ｓｉｍ用のトラップドアζとを出力する。
　ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｈｉｄｉｎｇ）：セキュリティパラメータλを入力として、共通参照情報ｃｒｓとＮＩＺＫ．Ｅｘｔｒａｃｔ用のトラップドアξとを出力する。
　ＮＩＺＫ．Ｐｒｏｖｅ（ｃｒｓ，ｘ，ｗ）：共通参照情報ｃｒｓとステートメントｘと証拠ｗとを入力として、証明／アーギュメントπを出力する。
　ＮＩＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，ｘ，π）：共通参照情報ｃｒｓとステートメントｘと証明／アーギュメントπとを入力として、１又は０を出力する。なお、例えば、１は証明／アーギュメントπが正しい、０は証明／アーギュメントπが正しくないことを表す。
　ＮＩＺＫ．Ｓｉｍ（ｃｒｓ，ζ，ｘ）：共通参照情報ｃｒｓとトラップドアζとステートメントｘとを入力として、シミュレーションされたアーギュメントπ＊又は失敗を表す記号⊥を出力する。
　ＮＩＺＫ．Ｅｘｔｒａｃｔ（ｃｒｓ，ξ，ｘ，π）：共通参照情報ｃｒｓとトラップドアξとステートメントｘと証明πとを入力として、証拠ｗを出力する。
　ここで、Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明ＮＩＺＫは、以下の性質２－１～性質２－６を満たすものとする。
　性質２－１（Mode Indistinguishability）：任意のセキュリティパラメータλに対して、モード識別不可能性に対する攻撃者Ａのアドバンテージを以下で定義する。
　ＡｄｖＡ（λ）＝｜Ｐｒ［ｍｏｄｅ＝ｍｏｄｅ＊｜ｍｏｄｅ←｛ｂｉｎｄｉｎｇ，ｈｉｄｉｎｇ｝；（ｃｒｓ，・）←ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｍｏｄｅ）；ｍｏｄｅ＊←Ａ（λ，ｃｒｓ）］－１／２｜
　ここで、ｍｏｄｅは｛ｂｉｎｄｉｎｇ，ｈｉｄｉｎｇ｝からランダムに選択され、ランダムな共通参照情報ｃｒｓが得られる。
　このとき、任意の確率的多項式時間アルゴリズムで表される攻撃者Ａに対して、アドバンテージＡｄｖＡ（λ）が無視できる。
　性質２－２（Perfect Completeness in both Modes）：任意のセキュリティパラメータλと、任意の（ｘ，ｗ）∈Ｒと、ｃｒｓ←ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｂｉｎｄｉｎｇ）と、π←ＮＩＺＫ．Ｐｒｏｖｅ（ｃｒｓ，ｘ，ｗ）とに対して、ＮＩＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，ｘ，π）＝１が成り立つ。同様に、任意のセキュリティパラメータλと、任意の（ｘ，ｗ）∈Ｒと、ｃｒｓ←ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｈｉｄｉｎｇ）と、π←ＮＩＺＫ．Ｐｒｏｖｅ（ｃｒｓ，ｘ，ｗ）とに対して、ＮＩＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，ｘ，π）＝１が成り立つ。
　性質２－３（Perfect Soundness in Binding Mode）：任意の攻撃者Ａに対して、Ｐｒ［ＮＩＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，ｘ，π）＝１∧（ｘがＮＰ言語ＬＲに含まれない）｜（ｃｒｓ，ξ）←ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｂｉｎｄｉｎｇ）；（ｘ，π）←Ａ（ｃｒｓ）］＝０が成り立つ。
　性質２－４（Extractability in Binding Mode）：任意の（ｘ，π）に対して、Ｐｒ［ＮＩＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，ｘ，π）＝１∧（（ｘ，ＮＩＺＫ．Ｅｘｔｒａｃｔ（ｃｒｓ，ξ，ｘ，π））がＮＰ関係Ｒに含まれない）｜（ｃｒｓ，ξ）←ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｂｉｎｄｉｎｇ）；（ｘ，π）←Ａ（ｃｒｓ）］＝０が成り立つ。
　性質２－５（Perfect Zero-Knowledge in Hiding Mode）：任意の（ｃｒｓ，ξ）←ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｈｉｄｉｎｇ）と、任意の（ｘ，ｗ）∈Ｒとに対して、｛ＮＩＺＫ．Ｐｒｏｖｅ（ｃｒｓ，ｘ，ｗ）｝の分布と｛ＮＩＺＫ．Ｓｉｍ（ｃｒｓ，ζ，ｘ）｝の分布とが完全に識別不可能（Perfectly indistinguishable）である。
　性質２－６（Setup-Free for Hiding Mode）：セキュリティパラメータλによって暗に定義される、共通参照情報（ＣＲＳ：common random string）の空間をＳＰＡＣＥＣＲＳとする。このとき、Ｐｒ［ｃｒｓ∈ＮＩＺＫ．Ｓｅｔｕｐ（λ，ｈｉｄｉｎｇ）｜ｃｒｓ←ＳＰＡＣＥＣＲＳ］＝１－ｎｅｇｌ（λ）が成り立つ。
　上記の性質２－６により、共通参照情報ｃｒｓがＳＰＡＣＥＣＲＳからランダムにサンプリングされた場合、無視できる確率を除いて、秘匿モード（hiding mode）であることが保証される。
　上記のＤｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明の具体例としては、例えば、ＧＯＳ　Ｐｒｏｏｆ（参考文献２）等が挙げられる。
　　≪ｑ－ｗｉｓｅ　ｉｎｄｅｐｅｎｄｅｎｔ　ｈａｓｈ　ｆｕｎｃｔｉｏｎｓ≫
　ｑ－ｗｉｓｅ　ｉｎｄｅｐｅｎｄｅｎｔ　ｈａｓｈ　ｆｕｎｃｔｉｏｎｓとは、予め決められたｑ回以内の使用であればランダム関数として使用できるハッシュ関数の族のことである。
　ハッシュ関数の関数族をＨとする。このとき、相異なるｑ個の元ｘ１，ｘ２，・・・，ｘｑ∈｛０，１｝ａと、ｙ１，ｙ２，・・・，ｙｑ∈｛０，１｝ｂと、関数族Ｈの元ｈ：｛０，１｝ａ→｛０，１｝ｂとに対して、以下を満たす場合、Ｈをｑ－ｗｉｓｅ　ｉｎｄｅｐｅｎｄｅｎｔ　ｈａｓｈ　ｆｕｎｃｔｉｏｎｓという。
　Ｐｒ［ｈ（ｘ１）＝ｙ１，ｈ（ｘ２）＝ｙ２，・・・，ｈ（ｘｑ）＝ｙｑ｜ｈ←Ｈ］＝（２－ｂ）ｑ
　ただし、ａ及びｂは予め決められた１以上の整数である。また、ｑは予め決められた１以上の整数である。
　＜提案手法＞
　上記の非特許文献１に記載されている非対話ブラインド署名の匿名性が計算量的仮定を置かなければいけない理由は検証可能なランダム関数（ＶＲＦ：verifiable random function）と呼ばれる特殊な疑似ランダム関数を利用しているためである。このため、提案手法では、検証可能なランダム関数の利用を避け、その代わりに、無条件秘匿性を満たすコミットメント方式と、Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明と、ｑ－ｗｉｓｅ　ｉｎｄｅｐｅｎｄｅｎｔ　ｈａｓｈ　ｆｕｎｃｔｉｏｎｓとを用いる。これにより、提案手法では、予め決められた回数以内（具体的にはｑ回以内）の使用であれば匿名性が無条件に保証される。
　提案手法に係る非対話ブラインド署名は５つのアルゴリズム（ＫｅｙＧｅｎ，ＲＫｅｙＧｅｎ，Ｉｓｓｕｅ，Ｏｂｔａｉｎ，Ｖｅｒｉｆｙ）で構成される。
　ＫｅｙＧｅｎ（λ）：セキュリティパラメータλを入力として、署名者の公開鍵ｐｋと秘密鍵ｓｋとの鍵ペア（ｐｋ，ｓｋ）を出力する。以下、公開鍵ｐｋは、ノンス値の空間Ｎｐｋを暗に定義するものと仮定する。
　ＲＫｅｙＧｅｎ（λ）：セキュリティパラメータλを入力として、受領者の公開鍵ｒｐｋと秘密鍵ｒｓｋとの鍵ペア（ｒｐｋ，ｒｓｋ）を出力する。
　Ｉｓｓｕｅ（ｓｋ，ｒｐｋ，ｎｏｎｃｅ）：署名者の秘密鍵ｓｋと受領者の公開鍵ｒｐｋとノンス値ｎｏｎｃｅ∈Ｎｐｋとを入力として、事前署名ｐｓｉｇを出力する。
　Ｏｂｔａｉｎ（ｐｋ，ｒｐｋ，ｒｓｋ，ｎｏｎｃｅ，ｐｓｉｇ）：署名者の公開鍵ｐｋと受領者の鍵ペア（ｒｐｋ，ｒｓｋ）とノンス値ｎｏｎｃｅと事前署名ｐｓｉｇとを入力として、メッセージｍと署名ｓｉｇとのペア（ｍ，ｓｉｇ）又は失敗を表す記号⊥を出力する。
　Ｖｅｒｉｆｙ（ｐｋ，ｍ，ｓｉｇ）：署名者の公開鍵ｐｋとメッセージｍと署名ｓｉｇとを入力として、１又は０を出力する。なお、例えば、１は検証成功、０は検証失敗を表す。
　　≪提案手法に係る非ブラインド署名を構成する各アルゴリズムの詳細≫
　デジタル署名をＳＩＧ＝（ＳＩＧ．Ｇｅｎ，ＳＩＧ．Ｓｉｇｎ，ＳＩＧ．Ｖｅｒｉｆｙ）、無条件秘匿性を満たすコミットメント方式をＣＭＴ＝（ＣＭＴ．Ｓｅｔｕｐ，ＣＭＴ．Ｃｏｍ）、（ｑ＋２）－ｗｉｓｅ　ｉｎｄｅｐｅｎｄｅｎｔ　ｈａｓｈ　ｆｕｎｃｔｉｏｎｓをＨとする。また、ＮＰ言語ＬＲに対するＤｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明をＮＩＺＫ＝（ＮＩＺＫ．Ｓｅｔｕｐ，ＮＩＺＫ．Ｐｒｏｖｅ，ＮＩＺＫ．Ｖｅｒｉｆｙ，ＮＩＺＫ．Ｓｉｍ，ＮＩＺＫ．Ｅｘｔｒａｃｔ）とする。
　｛０，１｝＊からＳＰＡＣＥＣＲＳへのランダムオラクルをＨｃｒｓとする。同様に、｛０，１｝＊から無条件秘匿性を満たすコミットメント方式ＣＭＴのセキュリティパラメータの空間へのランダムオラクルをＨｐｐとする。また、ＮＰ関係Ｒを以下で定義する。
　（（ｐｋ，ｍ），（ｃｏｍ，ｈ，ｒ，ｎｏｎｃｅ，ｐｓｉｇ））∈Ｒ ⇔ ＳＩＧ．Ｖｅｒｉｆｙ（ｐｋ，（ｎｏｎｃｅ，ｃｏｍ），ｐｓｉｇ）＝１∧ＣＭＴ．Ｃｏｍ（Ｈｐｐ（０），ｈ；ｒ）＝ｃｏｍ∧ｈ（ｎｏｎｃｅ，ｐｓｉｇ）＝ｍ
　ここで、ｈ∈Ｈである。
　このとき、提案手法に係る非ブラインド署名を構成する各アルゴリズム（ＫｅｙＧｅｎ，ＲＫｅｙＧｅｎ，Ｉｓｓｕｅ，Ｏｂｔａｉｎ，Ｖｅｒｉｆｙ）を以下で構成する。
　・ＫｅｙＧｅｎ
　ＫｅｙＧｅｎ（λ）：セキュリティパラメータλを入力として、（ｐｋ，ｓｋ）←ＳＩＧ．Ｇｅｎ（λ）により鍵ペア（ｐｋ，ｓｋ）を生成し、その鍵ペア（ｐｋ，ｓｋ）を署名者の鍵ペア（ｐｋ，ｓｋ）として出力する。なお、これは、通常のデジタル署名ＳＩＧの鍵ペアを署名者の鍵ペアとすることを意味する。
　・ＲＫｅｙＧｅｎ
　ＲＫｅｙＧｅｎ（λ）：セキュリティパラメータλを入力として、ハッシュ関数ｈ∈Ｈをサンプリングすると共に、ｃｏｍ←ＣＭＴ．Ｃｏｍ（Ｈｐｐ（０），ｈ；ｒ）を計算する。ここで、ｒ∈ＲＨ_ｐｐ（０）は乱数である。なお、Ｈ_ｐｐ（０）は「Ｈｐｐ（０）」を意味する。そして、（ｃｏｍ，（ｈ，ｒ））を受領者の鍵ペア（ｒｐｋ，ｒｓｋ）として出力する。なお、これは、ｑ－ｗｉｓｅハッシュ関数ｈと乱数ｒとを受領者の秘密鍵ｒｓｋ、その秘密鍵ｒｓｋをコミットしたものを受領者の公開鍵ｒｐｋとすることを意味する。このコミットメントは完全秘匿性により無条件に安全である。
　・Ｉｓｓｕｅ
　Ｉｓｓｕｅ（ｓｋ，ｒｐｋ，ｎｏｎｃｅ）：署名者の秘密鍵ｓｋと受領者の公開鍵ｒｐｋとノンス値ｎｏｎｃｅ∈Ｎｐｋとを入力として、ｐｓｉｇ←ＳＩＧ．Ｓｉｇｎ（ｓｋ，（ｎｏｎｃｅ，ｒｐｋ））を計算し、事前署名ｐｓｉｇを出力する。なお、これは、通常のデジタル署名を事前署名とすることを意味する。
　・Ｏｂｔａｉｎ
　Ｏｂｔａｉｎ（ｐｋ，ｒｐｋ，ｒｓｋ，ｎｏｎｃｅ，ｐｓｉｇ）：署名者の公開鍵ｐｋと受領者の鍵ペア（ｒｐｋ，ｒｓｋ）とノンス値ｎｏｎｃｅと事前署名ｐｓｉｇとを入力として、ＳＩＧ．Ｖｅｒｉｆｙ（ｐｋ，（ｎｏｎｃｅ，ｒｐｋ），ｐｓｉｇ）＝０（つまり、検証失敗）であれば⊥、そうでなければｍ←ｈ（ｎｏｎｃｅ，ｐｓｉｇ）及びｓｉｇ←ＮＩＺＫ．Ｐｒｏｖｅ（Ｈｃｒｓ（０），（ｐｋ，ｍ），（ｒｐｋ，ｈ，ｒ，ｎｏｎｃｅ，ｐｓｉｇ））を計算した上で（ｍ，ｓｉｇ）を出力する。なお、これは、受領者の秘密鍵ｒｓｋに含まれるｑ－ｗｉｓｅハッシュ関数ｈによってメッセージｍを生成すると共に、更に正当にメッセージが生成されたことをＤｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明で証明することを意味する。このＤｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明は秘匿モードで実行されるため、無条件に安全である。
　・Ｖｅｒｉｆｙ
　Ｖｅｒｉｆｙ（ｐｋ，ｍ，ｓｉｇ）：署名者の公開鍵ｐｋとメッセージｍと署名ｓｉｇとを入力として、ＮＩＺＫ．Ｖｅｒｉｆｙ（Ｈｃｒｓ（０），（ｍ，ｐｋ），ｓｉｇ）を出力する。なお、これは、Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明で証明を検証することを意味する。
　以下、上記の提案手法に係る非対話ブラインド署名を実現する非対話ブラインド署名システム１について説明する。
　＜全体構成例＞
　本実施形態に係る非対話ブラインド署名システム１の全体構成例について、図３を参照しながら説明する。図３は、本実施形態に係る非対話ブラインド署名システム１の全体構成の一例を示す図である。
　図３に示すように、本実施形態に係る非対話ブラインド署名システム１には、受領者装置１０と、署名者装置２０と、検証者装置３０とが含まれる。受領者装置１０と署名者装置２０と検証者装置３０は、例えば、インターネット等を含む通信ネットワーク４０を介して通信可能に接続される。
　受領者装置１０は、受領者となる各種装置、機器、端末等である。署名者装置２０は、検証者となる各種装置、機器、端末等である。検証者装置３０は、検証者となる各種装置、機器、端末等である。
　なお、受領者装置１０、署名者装置２０、検証者装置３０は、例えば、ＰＣ（パーソナルコンピュータ）、スマートフォン、タブレット端末、ウェアラブルデバイス、汎用サーバ、ＩｏＴ機器、産業用機器等といった各種の装置、機器、端末等により実現することができる。
　＜機能構成例＞
　　≪受領者装置１０≫
　本実施形態に係る受領者装置１０の機能構成例について、図４を参照しながら説明する。図４は、本実施形態に係る受領者装置１０の機能構成の一例を示す図である。
　図４に示すように、本実施形態に係る受領者装置１０は、通信部１０１と、鍵生成部１０２と、署名生成部１０３とを有する。これら各部は、例えば、受領者装置１０にインストールされた１以上のプログラムが、ＣＰＵ（Central Processing Unit）等のプロセッサに実行させる処理により実現される。また、本実施形態に係る受領者装置１０は、記憶部１０４を有する。記憶部１０４は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュメモリ等の各種記憶装置の記憶領域により実現される。
　通信部１０１は、署名者装置２０から事前署名ｐｓｉｇを受信したり、検証者装置３０に対してメッセージｍと署名ｓｉｇのペア（ｍ，ｓｉｇ）を送信したりする。
　鍵生成部１０２は、提案手法に係る非対話ブラインド署名のＲＫｅｙＧｅｎを実行し、公開鍵ｒｐｋと秘密鍵ｒｓｋとの鍵ペア（ｒｐｋ，ｒｓｋ）を生成する。
　署名生成部１０３は、提案手法に係る非対話ブラインド署名のＯｂｔａｉｎを実行し、メッセージｍと署名ｓｉｇのペア（ｍ，ｓｉｇ）を生成する。
　記憶部１０４は、各種データ（例えば、鍵ペア（ｒｐｋ，ｒｓｋ）、メッセージｍと署名ｓｉｇのペア（ｍ，ｓｉｇ）等）を記憶する。
　　≪署名者装置２０≫
　本実施形態に係る署名者装置２０の機能構成例について、図５を参照しながら説明する。図５は、本実施形態に係る署名者装置２０の機能構成の一例を示す図である。
　図５に示すように、本実施形態に係る署名者装置２０は、通信部２０１と、鍵生成部２０２と、事前署名生成部２０３とを有する。これら各部は、例えば、署名者装置２０にインストールされた１以上のプログラムが、ＣＰＵ等のプロセッサに実行させる処理により実現される。また、本実施形態に係る署名者装置２０は、記憶部２０４を有する。記憶部２０４は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等の各種記憶装置の記憶領域により実現される。
　通信部２０１は、受領者装置１０に対して事前署名ｐｓｉｇを送信する。
　鍵生成部２０２は、提案手法に係る非対話ブラインド署名のＫｅｙＧｅｎを実行し、公開鍵ｐｋと秘密鍵ｓｋとの鍵ペア（ｐｋ，ｓｋ）を生成する。
　事前署名生成部２０３は、提案手法に係る非対話ブラインド署名のＩｓｓｕｅを実行し、事前署名ｐｓｉｇを生成する。
　記憶部２０４は、各種データ（例えば、鍵ペア（ｐｋ，ｓｋ）、受領者の公開鍵ｒｐｋ等）を記憶する。
　　≪検証者装置３０≫
　本実施形態に係る検証者装置３０の機能構成例について、図６を参照しながら説明する。図６は、本実施形態に係る検証者装置３０の機能構成の一例を示す図である。
　図６に示すように、本実施形態に係る検証者装置３０は、通信部３０１と、検証部３０２とを有する。これら各部は、例えば、検証者装置３０にインストールされた１以上のプログラムが、ＣＰＵ等のプロセッサに実行させる処理により実現される。また、本実施形態に係る検証者装置３０は、記憶部３０３を有する。記憶部３０３は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等の各種記憶装置の記憶領域により実現される。
　通信部３０１は、受領者装置１０からメッセージｍと署名ｓｉｇのペア（ｍ，ｓｉｇ）を受信する。
　検証部３０２は、提案手法に係る非対話ブラインド署名のＶｅｒｉｆｙを実行し、署名ｓｉｇを検証する。
　記憶部３０３は、各種データ（例えば、署名者の公開鍵ｐｋ等）を記憶する。
　＜処理の詳細＞
　　≪署名者の鍵生成処理≫
　署名者の公開鍵ｐｋと秘密鍵ｓｋとの鍵ペア（ｐｋ，ｓｋ）を生成する処理について、図７を参照しながら説明する。図７は、署名者の鍵生成処理の一例を示すフローチャートである。
　署名者装置２０の鍵生成部２０２は、提案手法に係る非対話ブラインド署名のＫｅｙＧｅｎを実行し、公開鍵ｐｋと秘密鍵ｓｋとの鍵ペア（ｐｋ，ｓｋ）を生成する（ステップＳ１０１）。すなわち、鍵生成部２０２は、セキュリティパラメータλを入力として、（ｐｋ，ｓｋ）←ＳＩＧ．Ｇｅｎ（λ）により鍵ペア（ｐｋ，ｓｋ）を生成し、その鍵ペア（ｐｋ，ｓｋ）を署名者の鍵ペア（ｐｋ，ｓｋ）として出力する。
　署名者装置２０の鍵生成部２０２は、上記のステップＳ１０１で生成した鍵ペア（ｐｋ，ｓｋ）を記憶部２０４に保存すると共に、公開鍵ｐｋを任意の方法により公開する（ステップＳ１０２）。なお、公開鍵ｐｋを公開する方法としては、例えば、公開のサーバに公開鍵ｐｋを登録する方法等が挙げられる。
　　≪受領者の鍵生成処理≫
　受領者の公開鍵ｒｐｋと秘密鍵ｒｓｋとの鍵ペア（ｒｐｋ，ｒｓｋ）を生成する処理について、図８を参照しながら説明する。図８は、受領者の鍵生成処理の一例を示すフローチャートである。
　受領者装置１０の鍵生成部１０２は、提案手法に係る非対話ブラインド署名のＲＫｅｙＧｅｎを実行し、公開鍵ｒｐｋと秘密鍵ｒｓｋとの鍵ペア（ｒｐｋ，ｒｓｋ）を生成する（ステップＳ２０１）。すなわち、鍵生成部１０２は、セキュリティパラメータλを入力として、ハッシュ関数ｈ∈Ｈをサンプリングすると共にｃｏｍ←ＣＭＴ．Ｃｏｍ（Ｈｐｐ（０），ｈ；ｒ）を計算し、（ｃｏｍ，（ｈ，ｒ））を受領者の鍵ペア（ｒｐｋ，ｒｓｋ）として出力する。
　受領者装置１０の鍵生成部１０２は、上記のステップＳ１０１で生成した鍵ペア（ｒｐｋ，ｒｓｋ）を記憶部１０４に保存すると共に、公開鍵ｒｐｋを任意の方法により公開する（ステップＳ２０２）。なお、公開鍵ｒｐｋを公開する方法としては、例えば、公開のサーバに公開鍵ｒｐｋを登録する方法等が挙げられる。
　　≪署名生成及び取得処理≫
　署名ｓｉｇとメッセージｍのペア（ｍ，ｓｉｇ）を生成及び取得する処理について、図９を参照しながら説明する。図９は、署名生成及び取得処理の一例を示すシーケンス図である。
　署名者装置２０の事前署名生成部２０３は、提案手法に係る非対話ブラインド署名のＩｓｓｕｅを実行し、事前署名ｐｓｉｇを生成する（ステップＳ３０１）。すなわち、事前署名生成部２０３は、署名者の秘密鍵ｓｋと受領者の公開鍵ｒｐｋとノンス値ｎｏｎｃｅ∈Ｎｐｋとを入力として、ｐｓｉｇ←ＳＩＧ．Ｓｉｇｎ（ｓｋ，（ｎｏｎｃｅ，ｒｐｋ））を計算し、事前署名ｐｓｉｇを出力する。
　署名者装置２０の通信部２０１は、上記のステップＳ３０１で生成した事前署名ｐｓｉｇを受領者装置１０に送信する（ステップＳ３０２）。
　受領者装置１０の署名生成部１０３は、提案手法に係る非対話ブラインド署名のＯｂｔａｉｎを実行し、メッセージｍと署名ｓｉｇのペア（ｍ，ｓｉｇ）を生成する（ステップＳ３０３）。すなわち、署名生成部１０３は、署名者の公開鍵ｐｋと受領者の鍵ペア（ｒｐｋ，ｒｓｋ）とノンス値ｎｏｎｃｅと事前署名ｐｓｉｇとを入力として、ＳＩＧ．Ｖｅｒｉｆｙ（ｐｋ，（ｎｏｎｃｅ，ｒｐｋ），ｐｓｉｇ）＝０であれば⊥、そうでなければｍ←ｈ（ｎｏｎｃｅ，ｐｓｉｇ）及びｓｉｇ←ＮＩＺＫ．Ｐｒｏｖｅ（Ｈｃｒｓ（０），（ｐｋ，ｍ），（ｒｐｋ，ｈ，ｒ，ｎｏｎｃｅ，ｐｓｉｇ））を計算した上で（ｍ，ｓｉｇ）を出力する。なお、署名生成部１０３は、失敗を表す記号⊥が出力された場合は処理を中止する。
　受領者装置１０の署名生成部１０３は、上記のステップＳ３０３で生成したメッセージｍと署名ｓｉｇのペア（ｍ，ｓｉｇ）を記憶部１０４に保存する（ステップＳ３０４）。
　　≪署名検証処理≫
　署名ｓｉｇを検証する処理について、図１０を参照しながら説明する。図１０は、署名検証処理の一例を示すシーケンス図である。
　受領者装置１０の通信部１０１は、メッセージｍと署名ｓｉｇのペア（ｍ，ｓｉｇ）を検証者装置３０に送信する（ステップＳ４０１）。
　検証者装置３０の検証部３０２は、提案手法に係る非対話ブラインド署名のＶｅｒｉｆｙを実行し、署名ｓｉｇを検証する（ステップＳ４０２）。すなわち、検証部３０２は、署名者の公開鍵ｐｋとメッセージｍと署名ｓｉｇとを入力として、ＮＩＺＫ．Ｖｅｒｉｆｙ（Ｈｃｒｓ（０），（ｍ，ｐｋ），ｓｉｇ）を出力する。これにより、検証が成功した場合は１、検証が失敗した場合は０が出力される。
　＜ハードウェア構成例＞
　本実施形態に係る受領者装置１０、署名者装置２０、及び検証者装置３０は、例えば、図１１に示すコンピュータ５００のハードウェア構成により実現される。図１１は、コンピュータ５００のハードウェア構成の一例を示す図である。
　図１１に示すコンピュータ５００は、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、ＲＡＭ（Random Access Memory）５０５と、ＲＯＭ（Read Only Memory）５０６と、補助記憶装置５０７と、プロセッサ５０８とを有する。これらの各ハードウェアは、それぞれがバス５０９を介して通信可能に接続される。
　入力装置５０１は、例えば、キーボード、マウス、タッチパネル、物理ボタン等である。表示装置５０２は、例えば、ディスプレイ、表示パネル等である。なお、コンピュータ５００は、例えば、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくてもよい。
　外部Ｉ／Ｆ５０３は、記録媒体５０３ａ等の外部装置とのインタフェースである。記録媒体５０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。
　通信Ｉ／Ｆ５０４は、通信ネットワークに接続するためのインタフェースである。ＲＡＭ５０５は、プログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。ＲＯＭ５０６は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。補助記憶装置５０７は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等の不揮発性の記憶装置である。プロセッサ５０８は、例えば、ＣＰＵ等の各種演算装置である。
　なお、図１１に示すハードウェア構成は一例であって、コンピュータ５００のハードウェア構成はこれに限られるものではない。例えば、コンピュータ５００は、複数の補助記憶装置５０７や複数のプロセッサ５０８を有していてもよいし、図示したハードウェアの一部を有していなくてもよいし、図示したハードウェア以外の種々のハードウェアを有していてもよい。
　＜まとめ＞
　以上のように、本実施形態に係る非対話ブラインド署名システム１は、予め決められた回数以内の使用であれば匿名性が無条件に保証される非対話ブラインド署名を実現することができる。このとき、本実施形態に係る非対話ブラインド署名システム１では、検証可能なランダム関数と呼ばれる特殊な疑似ランダム関数の代わりに、無条件秘匿性を満たすコミットメント方式と、Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明と、ｑ－ｗｉｓｅ　ｉｎｄｅｐｅｎｄｅｎｔ　ｈａｓｈ　ｆｕｎｃｔｉｏｎｓとを用いている。これは、検証可能なランダム関数を用いる場合、計算量的仮定を置く必要があるためである。これにより、例えば、量子計算機や更に強力な計算機が開発された場合であっても、無条件に匿名性を保証することが可能となる。
　本発明は、具体的に開示された上記の実施形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。
　［参考文献］
　参考文献１：Pedersen, T.P.: Non-interactive and information-theoretic secure verifiable secret sharing. In: Feigenbaum, J. (ed.) Advances in Cryptology - CRYPTO '91, 11th 41 Annual International Cryptology Conference, Santa Barbara, California, USA, August 11-15, 1991, Proceedings. Lecture Notes in Computer Science, vol. 576, pp. 129-140. Springer (1991).
　参考文献２：Groth, J., Ostrovsky, R., Sahai, A.: Perfect non-interactive zero knowledge for NP. In: Vaudenay, S. (ed.) Advances in Cryptology - EUROCRYPT 2006, 25th Annual International Conference on the Theory and Applications of Cryptographic Techniques, St. Petersburg, Russia, May 28 - June 1, 2006, Proceedings. Lecture.
　１　　　　非対話ブラインド署名システム
　１０　　　受領者装置
　２０　　　署名者装置
　３０　　　検証者装置
　４０　　　通信ネットワーク
　１０１　　通信部
　１０２　　鍵生成部
　１０３　　署名生成部
　１０４　　記憶部
　２０１　　通信部
　２０２　　鍵生成部
　２０３　　事前署名生成部
　２０４　　記憶部
　３０１　　通信部
　３０２　　検証部
　３０３　　記憶部
　５００　　コンピュータ
　５０１　　入力装置
　５０２　　表示装置
　５０３　　外部Ｉ／Ｆ
　５０３ａ　記録媒体
　５０４　　通信Ｉ／Ｆ
　５０５　　ＲＡＭ
　５０６　　ＲＯＭ
　５０７　　補助記憶装置
　５０８　　プロセッサ
　５０９　　バス

Claims (8)

  1. 　非対話型のブラインド署名により事前署名を生成する署名者装置と、前記事前署名からメッセージ及び署名を生成する受領者装置とが少なくとも含まれる非対話ブラインド署名システムであって、
    　前記署名者装置は、
    　デジタル署名方式の公開鍵及び秘密鍵を、前記ブラインド署名における前記署名者装置の公開鍵及び秘密鍵として生成する第１の鍵生成部と、
    　前記署名者装置の秘密鍵と、前記受領者装置の公開鍵と、第１のナンス値とに基づいて、前記デジタル署名方式により生成されるデジタル署名を前記事前署名として生成する事前署名生成部と、を有し、
    　前記受領者装置は、
    　ｑ－ｗｉｓｅハッシュ関数が含まれる秘密鍵を前記受領者装置の秘密鍵、前記ｑ－ｗｉｓｅハッシュ関数のコミットメントを前記受領者装置の公開鍵として生成する第２の鍵生成部と、
    　前記署名者装置の公開鍵と、前記受領者装置の秘密鍵及び公開鍵と、第２のナンス値と、前記事前署名とに基づいて、前記ｑ－ｗｉｓｅハッシュ関数により前記メッセージと、Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明により前記署名とを生成する署名生成部と、を有する、
    　非対話ブラインド署名システム。
  2. 　前記第２の鍵生成部は、
    　前記ｑ－ｗｉｓｅハッシュ関数と乱数とで構成される秘密鍵を前記受領者装置の秘密鍵、前記乱数を用いて無条件秘匿性を満たすコミットメント方式により前記ｑ－ｗｉｓｅハッシュ関数をコミットしたコミットメントを前記受領者装置の公開鍵として生成する、請求項１に記載の非対話ブラインド署名システム。
  3. 　前記署名生成部は、
    　前記第２のナンス値及び前記事前署名を入力として前記ｑ－ｗｉｓｅハッシュ関数により前記メッセージを生成し、
    　ランダムにサンプリングされた情報を共通参照情報、前記署名者装置の公開鍵及び前記メッセージをステートメント、前記受領者装置の公開鍵及び秘密鍵と前記第２のナンス値と前記事前署名とを証拠として、前記Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明により生成された証明を前記署名として生成する、請求項１又は２に記載の非対話ブラインド署名システム。
  4. 　前記Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明には秘匿モードと拘束モードとが存在し、秘匿モードに関してはセットアップ不要である、請求項３に記載の非対話ブラインド署名システム。
  5. 　非対話型のブラインド署名により事前署名を生成する装置であって、
    　デジタル署名方式の公開鍵及び秘密鍵を、前記ブラインド署名における前記装置の公開鍵及び秘密鍵として生成する鍵生成部と、
    　前記装置の秘密鍵と、前記事前署名を受領する受領者装置の公開鍵と、ナンス値とに基づいて、前記受領者装置の公開鍵及び前記ナンス値を署名対象として前記デジタル署名方式により生成されるデジタル署名を前記事前署名として生成する事前署名生成部と、を有する、
    　装置。
  6. 　非対話型のブラインド署名の事前署名からメッセージ及び署名を生成する装置であって、
    　ｑ－ｗｉｓｅハッシュ関数が含まれる秘密鍵を前記装置の秘密鍵、前記ｑ－ｗｉｓｅハッシュ関数のコミットメントを前記装置の公開鍵として生成する鍵生成部と、
    　前記事前署名を生成する署名者装置の公開鍵と、前記装置の秘密鍵及び公開鍵と、ナンス値と、前記事前署名とに基づいて、前記ナンス値及び前記事前署名を入力とする前記ｑ－ｗｉｓｅハッシュ関数により前記メッセージと、秘匿モードで実行されるＤｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明により前記署名とを生成する署名生成部と、を有する、
    　装置。
  7. 　非対話型のブラインド署名により事前署名を生成する署名者装置と、前記事前署名からメッセージ及び署名を生成する受領者装置とが少なくとも含まれる非対話ブラインド署名システムに用いられる方法であって、
    　前記署名者装置が、
    　デジタル署名方式の公開鍵及び秘密鍵を、前記ブラインド署名における前記署名者装置の公開鍵及び秘密鍵として生成する第１の鍵生成手順と、
    　前記署名者装置の秘密鍵と、前記受領者装置の公開鍵と、第１のナンス値とに基づいて、前記デジタル署名方式により生成されるデジタル署名を前記事前署名として生成する事前署名生成手順と、を実行し、
    　前記受領者装置が、
    　ｑ－ｗｉｓｅハッシュ関数が含まれる秘密鍵を前記受領者装置の秘密鍵、前記ｑ－ｗｉｓｅハッシュ関数のコミットメントを前記受領者装置の公開鍵として生成する第２の鍵生成手順と、
    　前記署名者装置の公開鍵と、前記受領者装置の秘密鍵及び公開鍵と、第２のナンス値と、前記事前署名とに基づいて、前記ｑ－ｗｉｓｅハッシュ関数により前記メッセージと、Ｄｕａｌ－ｍｏｄｅ非対話型ゼロ知識証明により前記署名とを生成する署名生成手順と、を実行する、
    　方法。
  8. 　コンピュータを、請求項５又は６に記載の装置として機能させるプログラム。
PCT/JP2024/027339 2024-07-31 2024-07-31 非対話ブラインド署名システム、装置、方法、及びプログラム Pending WO2026028331A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2024/027339 WO2026028331A1 (ja) 2024-07-31 2024-07-31 非対話ブラインド署名システム、装置、方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2024/027339 WO2026028331A1 (ja) 2024-07-31 2024-07-31 非対話ブラインド署名システム、装置、方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2026028331A1 true WO2026028331A1 (ja) 2026-02-05

Family

ID=98606367

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2024/027339 Pending WO2026028331A1 (ja) 2024-07-31 2024-07-31 非対話ブラインド署名システム、装置、方法、及びプログラム

Country Status (1)

Country Link
WO (1) WO2026028331A1 (ja)

Similar Documents

Publication Publication Date Title
US11895248B2 (en) Method and apparatus for generating blockchain transaction
Bera et al. Designing blockchain-based access control protocol in IoT-enabled smart-grid system
CN110998581B (zh) 使用多重密钥对签名的程序执行和数据证明方案
CN114586313B (zh) 用于签署一信息的系统及方法
RU2736447C1 (ru) Перекрестная торговля активами в сетях блокчейнов
CN110914851A (zh) 提高区块链网络与外部数据源之间的通信的完整性
CN111819827A (zh) 用于控制区块链上的资源的访问和完整性的方法和系统
CN110612700A (zh) 基于恢复的公钥进行认证
US12526132B2 (en) Computer implemented system and method for sharing a common secret
WO2013031414A1 (ja) 署名検証装置、署名検証方法、プログラム、及び記録媒体
JP2022549070A (ja) ブロックチェーン上に認証済みデータを格納するコンピュータにより実施される方法及びシステム
CN112600675B (zh) 基于群签名的电子投票方法及装置、电子设备、存储介质
CN113711562B (zh) 用于区块链交易中的知识证明的计算机实现的方法和系统
US20070124584A1 (en) Proving ownership of shared information to a third party
Bagchi et al. Quantum safe lattice-based single round online collaborative multi-signature scheme for blockchain-enabled IoT applications
Yao et al. Verifiable secure aggregation scheme for privacy protection in federated learning networks
CN112417489B (zh) 数字签名的生成方法、装置和服务器
WO2013129084A1 (ja) 情報処理装置、情報処理方法、及びプログラム
WO2022116175A1 (zh) 数字签名的生成方法、装置和服务器
Xia et al. An improved privacy preserving construction for data integrity verification in cloud storage
Prajapat et al. Blockchain-enabled secure signature scheme with quantum key distribution for IoMT-based healthcare systems
CN117081752B (zh) 一种基于区块链的数据安全共享方法和系统
Jin et al. An efficient blockchain-based authentication scheme with transferability
Far et al. Zero‐knowledge‐based distributed auditing protocol
Skudnov Bitcoin clients

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 24949619

Country of ref document: EP

Kind code of ref document: A1