JP2000235341A - 公開検証可能依頼復元ブラインド署名方法、その装置およびプログラム記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 署名要求者が署名生成者からの仮の署名を待
つ必要をなくす。 【解決手段】 要求者端末１１は署名者端末１３からＴ
₀ （ｉ）（ｉ＝１，…，Ｌ）を受信し、乱数ｗ
_j （ｉ），ｅ_j （ｉ）を生成し、文書Ｍ^(L+1) を選び、
暗号関数値Ｍ⁽ⁱ⁾ ＝Ｅ_i （Ｍ⁽ⁱ⁺¹⁾ ，ｅ_i （Ｌ），ｗ_i
（Ｌ），…，ｅ_i （ｉ），ｗ_i （ｉ））を求め、Ｍ
⁽ⁱ⁺¹⁾ ，ｗ_j ⁽ⁱ⁾ ，ｅ_j （ｉ）をブラインド処理してｃ
_j （ｉ）を求め、Ｍ⁽¹⁾ とｃ₁ （ｉ）を端末１３へ送
る。端末１３はｃ₁ （ｉ）に対する署名ｚ₁ （ｉ）を生
成し、Ｍ⁽¹⁾ とｚ₁ （ｉ），ｃ₁ （ｉ）を復号者１の端
末へ送る。復号者ｉの端末１４−ｉではＭ⁽ⁱ⁾ を復号し
てＭ⁽ⁱ⁺¹⁾ ，ｗ_i （ｊ），ｅ_i （ｊ）を得、ｚ_i （ｊ）
に対し、ｗ_i （ｊ），ｅ_i （ｊ）を用いてアンブライン
ド処理してｚ_i+1 （ｊ）を得、ｚ_i+1 （ｉ）がｚ
_i+1 （Ｌ），…，ｚ _i+1 （ｉ−１），Ｍ⁽ⁱ⁺¹⁾ に対する
署名であることを確認してｚ_i+1 （Ｌ），…，ｚ
_i+1 （ｉ），Ｍ⁽ⁱ⁺¹⁾ を復号者ｉ＋１の端末へ送る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムで無記名投票を実現する場合や、プライバシを重視し
た追跡不可能型のディジタル署名を実現する場合等で利
用されるブラインド署名の効率的な実現方法及びその装
置に関する。

【０００２】

【従来の技術】電子投票を実現する手段の一つに、ブラ
インド署名を用いる方法がある。すなわち、投票者は選
挙管理人からブラインド署名を入手し、アンブラインド
した署名を匿名通信路を介して投票する事によって、投
票者の匿名性と、投票の正当性を保つ方法である。

【０００３】まず、利用者のプライバシを保証できるブ
ラインド署名方式について説明する。ブラインド署名を
用いると、署名者に文書の内容を秘密にしたままで署名
を付けてもらうことができる。対話証明に基づくディジ
タル署名法をブラインド署名に変換する技法が文献「T.
Okamoto and K.Ohta：“Divertible Zero-KnowledgeInt
eractive Proofs and Commutative Random Self-Reduci
ble”，Advances inCryptology-EUROCRYPT '89，Lectur
e Notes in Computer Science 434 ，pp.134-149，Spri
nger-Verlag ，Berlin（1990）」で示されている。

【０００４】Ｓｃｈｎｏｒｒ署名は対話証明に基づいた
ディジタル署名法の一つである。ｐ，ｑを大きな素数と
し、ｑはｐ−１を割り切るものとする。Ｚ_p の位数ｑの
部分群をＧ_q と表す。ｇを位数ｑの部分群の生成元とす
る。以下の説明中では、特に表記のない限り、すべての
演算はＺ_p 中で行うものとする。これらのパラメータ
（ｐ，ｑ，ｇ）は公開されているものとする。

【０００５】署名者は署名鍵ｘと検証鍵ｙ：＝ｇ^x を保
持し、検証鍵はパラメータと同様に公開する。メッセー
ジＭに対するブラインド署名は以下の手順で行う。 Ｓｃｈ−１ 署名者は乱数ｗ′∈Ｚ_q を生成し、Ｔ′：
＝ｇ^w'を計算し、署名要求者へ送付する。 Ｓｃｈ−２ 署名要求者は、乱数ｗ∈Ｚ_q およびｅ∈Ｚ
_q を生成し、Ｔ：＝Ｔ′ｇ^w ｙ^-eを計算する。次に、ハ
ッシュ関数Ｈ（）を用いてｃ：＝Ｈ（Ｍ，Ｔ）を計算
し、ｃ′：＝ｃ＋ｅ（mod ｑ）を署名者へ送付する。

【０００６】Ｓｃｈ−３ 署名者はｚ′：＝ｗ′−ｃ′
・ｘmod ｑを計算し、ｚ′を要求者へ送付する。 Ｓｃｈ−４ 要求者は、ｚ：＝ｚ′＋ｗmod ｑを計算す
る。署名は（ｚ，ｃ）の対であり、この署名を得た検証
者は ｃ＝Ｈ（Ｍ，ｇ^z ｙ^c ）（mod ｑ） が成り立つことを確認することにより、署名の正当性を
検証することができる。

【０００７】このＳｃｈｎｏｒｒ署名に基づくブライン
ド署名は、ｐが大きいときにＧ_p におけるｇを底とする
離散対数問題を解くことが困難なことに安全性の根拠を
持つ署名法であり、公開された署名検証鍵ｙから秘密の
署名生成鍵ｘを求めることは困難である。次に、匿名通
信路について説明する。匿名通信路を物理的な構成に因
らず、電気通信システムにより実現する手段として、Ｍ
ＩＸ−ＮＥＴが提唱されている。ＭＩＸ−ＮＥＴではＬ
個のサーバＵ₁ ，…，Ｕ_L が直列的に記名通信路で接続
されたシステムである。

【０００８】ＲＳＡ関数を用いてこれを実装する場合
は、各サーバは、大きな素数ｐ_i ，ｑ _i に対し、ｎ_i ＝
ｐ_i ・ｑ_i およびｅ_i ・ｄ_i ＝１（mod ＬＣＭ（ｐ_i −
１，ｑ _i −１））を満たす（ｄ_i ，Ｎ_i ），（ｅ_i ，Ｎ
_i ）をそれぞれ復号鍵、暗号化鍵とする。ＬＣＭ（ａ，
ｂ）はａとｂの最小公倍数を表わす。ＲＳＡによるメッ
セージｍの暗号化は、まず、乱数ｒを選び、メッセージ
ｍとｒをビット結合してｍ‖ｒとする。そして、Ｍ：＝
（ｍ‖ｒ）^di，mod Ｎ_i として暗号文Ｍを得る。以下で
は、この暗号化手順をＥ_i （ｍ，ｒ）と書く。

【０００９】各利用者は、送信すべきメッセージｍをＭ
₁ ：＝Ｅ₁ （Ｅ₂ （…Ｅ_L （ｍ，ｒ _L ），…），
ｒ₂ ），ｒ₁ ）のように、各暗号化鍵を用いて多重に暗
号化し、Ｕ ₁ へ送付する。Ｕ₁ は、複数の利用者から暗
号化されたメッセージが集まった後、これをｄ₁で復号
し、各メッセージについて、Ｅ₂ （…Ｅ_L （ｍ，
ｒ_l ），…）ｒ₂ ）およびｒ₁ を得る。Ｕ₁ はそれぞれ
のメッセージから得られたＥ₂ （…Ｅ_L （ｍ，ｒ _l ），
…）ｒ₂ ）の順序をランダムに置換し、Ｕ₂ へ送付す
る。この際、各メッセージについてのｒ₁ は秘密とする
ことで、Ｕ₂ へ送付された各Ｅ₂ （…Ｅ_L （ｍ，
ｒ_l ），…）ｒ₂ ）がＵ₁ への入力のどのメッセージに
関する復号結果であるのかを判別できないようにするこ
とができる。以下、Ｕ₂ ，…，Ｕ_L も同様の処理を繰り
返す。最後にＵ_L は、各メッセージｍを公開する。少な
くとも一つのサーバが乱数ｒ_i および置換の順序を秘密
に保つことにより、各利用者からＵ₁に入力された暗号
文と、Ｕ_L が出力したメッセージとの関連は隠匿され、
匿名通信路として機能する。

【００１０】

【発明が解決しようとする課題】上記のブラインド署名
とＭＩＸ−ＮＥＴを組み合わせた場合、署名要求者は、
署名者からブラインド署名を得るまで署名の要求処理を
完了することができない。例えば、電子投票にブライン
ド署名を適用すると、投票者が署名要求者であり、選挙
管理者が署名者であり、集計者が署名検証者となるの
で、投票者は選挙管理者からの返信を待たなければなら
ない。電子現金にブラインド署名を適用すると、利用者
が署名要求者であり、電子現金の発行銀行が署名生成者
であり、小売店が署名検証者となるので、利用者は銀行
からの返事を待たなければならない。待ち時間は、署名
生成者の署名作成時間と署名要求者と署名生成者の回線
状況等に依存する。

【００１１】署名要求者である投票者や電子現金の利用
者の待ち時間を短くするには、署名者である選挙管理者
や銀行の署名生成処理を高速にしたり、回線が常に使用
可能となるようにしなければならない。特に、上記の二
つの例で明らかなように、署名生成者（選挙管理者，銀
行）に署名生成の処理が集中するので、即時にブライン
ドされた署名を返すようにするには、署名生成者に高速
な処理、かつ、高い信頼性が要求されるために、署名生
成処理装置のコストが増加する問題がある。

【００１２】更に、ＭＩＸ−ＮＥＴのサーバが不正な処
理を行った場合、その不正は、検証式を満たさない署名
が最後のサーバの出力に現れるまで発見されることはな
い。例えば、最初のサーバＵ₁ が要求者Ｒ₁ のメッセー
ジのみを改竄（ざん）し、他の要求者のメッセージは正
常に処理されたとすると、ＭＩＸ−ＮＥＴの出力には一
つだけ検証式を満たさないメッセージが含まれることに
なる。全ての処理をもう一度実行し、今度は、全て正常
に処理したとすると、ＭＩＸ−ＮＥＴの出力に現れる署
名は全て検証式を満たす。この二つの出力の差分を調べ
ることにより、Ｕ₁ はＲ₁ のメッセージの復号結果を知
ることができてしまうため、匿名性を保つことができな
い。

【００１３】この発明の目的は、投票の無記名性や電子
現金の支払時のプライバシを保証したままで、署名要求
者が署名生成者からの仮の署名を待つ必要がないブライ
ンド署名を実現することにある。

【００１４】

【課題を解決するための手段】この発明では、アンブラ
インド処理をＭＩＸ−ＮＥＴのサーバ（以下、このサー
バを復号者と呼ぶ）に委託する。要求者端末は、ブライ
ンドされたメッセージに加え、復号者の鍵で暗号化され
たアンブラインドに用いる乱数を署名者端末に送付す
る。署名者端末はブラインドされたメッセージに対し署
名を行い、そのブラインド署名と共に、その暗号化され
たアンブラインド用乱数を復号者端末へ送付する。復号
者端末は、この暗号部分を復号してアンブラインド用乱
数を得、ブラインド署名をアンブラインドする。これに
よって、要求者端末は、署名者端末からのブラインド署
名の返送を待つことなく処理を終了することができる。

【００１５】さらに、復号者端末が複数の場合に、各復
号者端末の出力値に署名者端末の署名が含まれるように
する事により、各復号者により不正な処理が行われた場
合は直ちにこれを発見することができるようにする。

【００１６】

【発明の実施の形態】実施例１ 図１に、この発明の実施例１の全体構成を示す。要求者
端末１１−１〜１１−ｎはそれぞれ記名通信路１２−１
〜１２−ｎを介して署名者端末１３と結合し同様に、署
名者端末１３は復号者Ｌの端末１４−Ｌと、復号者Ｌの
端末１４−Ｌは復号者Ｌ−１の端末１４−Ｌ−１と結合
し、以下順次結合して復号者１の端末１４−１に至るま
で記名通信路で順次接続されている。

【００１７】要求者の端末１１の機能構成を図２に示
す。要求者の端末１１は、制御部２１、メモリ２２、乱
数生成器２３、べき乗ランダム化器２４、暗号化器２
５、ハッシュ器２６、受信部２７、送信部２８、入力部
２９を備える。署名者の端末１３の機能構成を図３に示
す。署名者端末１３は、制御部３１、メモリ３２、乱数
生成器３３、べき乗演算器３４、署名生成器３５、受信
部３６、送信部３７を備える。

【００１８】復号者の端末１４の機能構成を図４に示
す。復号者の端末１４は制御部４１、メモリ４２、復号
器４３、アンブラインド器４４、べき乗演算器４５、ハ
ッシュ演算器４６、比較器４７、復号証明器４８、置換
器４９、受信部５１、送信部５２を備える。この実施例
では、ｎ人の要求者と、Ｌ人の復号者がいるものとす
る。

【００１９】ｐ，ｑを大きな素数とし、ｑはｐ−１を割
り切るものとする。Ｚ_p の位数ｑの部分群をＧ_q と表
す。ｇを位数ｑの部分群の生成元とする。以下の説明中
では、特に表記のない限り、すべての演算はＺ_p 中で行
うものとする。これらのパラメータ（ｐ，ｑ，ｇ）は全
てのプロトコル参加者（要求者、署名者、復号者）に対
して公開され、それぞれの端末のメモリに格納されてい
るものとする。

【００２０】署名者は署名鍵ｘと検証鍵ｙ＝ｇ^x を保持
し、検証鍵はパラメータと同様に公開され、それぞれの
端末のメモリに格納されているものとする。更に、復号
者Ｕ_i の端末１４−ｉは暗号化鍵Ｙ_i と、復号鍵Ｘ_i を
備え、暗号化鍵Ｙ_i は上記と同様に、公開されているも
のとする。これらの鍵が使用される暗号手順をＥ_i （）
とし、復号手順をＤ_i （）とする。

【００２１】要求者端末１１は以下の手順を実行する。 Ｒ−１ 受信部２７を駆動し、Ｔ₀ （ｉ）をｉ＝１，
…，Ｌについて署名者端末１３から受信する。 Ｒ−２ 乱数生成器２３を駆動して乱数ｗ_j （ｉ），ｅ
_j （ｉ）を得、ｗ_j （ｉ），ｅ_j （ｉ）およびＴ
_j-1 （ｉ），ｇ，ｙ，ｐをべき乗ランダム化器２４へ入
力してＴ_j-1 （ｉ）ｇ^wj(i) ｙ^-ej(i)を計算し、その結
果をＴ_j （ｉ）としてメモリ２２へ格納する。この処理
を、ｉ＝１，…，Ｌ，およびｊ＝１，…，ｉについて繰
り返す。

【００２２】Ｒ−３ 証明を付けるべきメッセージＭ
^(L+1) を選択し、ｉ＝Ｌ，…，１に対して以下の処理を
繰り返す。すなわち、Ｙ_i ，Ｍ⁽ⁱ⁺¹⁾ 、および、ｊ＝
ｉ，…，Ｌに対する（ｗ_i （ｊ），ｅ_i （ｊ））を暗号
化器２５に入力してＥ_i （Ｍ^{(i+1 )} ，ｅ_i （Ｌ），ｗ_i
（Ｌ），…，ｅ_i （ｉ），ｗ_i （ｉ））を計算し、その
出力をＭ⁽ⁱ⁾ とする。

【００２３】Ｒ−４ ｉ＝１，…，Ｌに対して以下の処
理を繰り返す。すなわち、ｑ，Ｍ^{(i +1)} 、および、ｊ＝
ｉ，…，Ｌに対するＴ_i （ｊ）、および、ｊ＝１，…，
ｉに対するｅ_j （ｉ）をハッシュ演算器２６へ入力して
Ｈ（Ｍ⁽ⁱ⁺¹⁾ ，Ｔ_i （Ｌ），…，Ｔ_i （ｉ））＋ｅ
₁ （ｉ）＋…＋ｅ_i （ｉ）mod ｑを計算し、その出力を
ｃ ₁ （ｉ）とする。

【００２４】Ｒ−５ 送信部２８を駆動し、Ｍ⁽¹⁾ とｉ
＝１，…，Ｌについてｃ₁ （ｉ）を署名者端末１３へ送
付する。署名者端末１３は以下の手順を実行する。 Ｓ−１ 乱数生成器３３をＬ回駆動し、生成されたＬ個
の乱数をｗ₀ （ｉ），ｉ＝１，…，Ｌとする。

【００２５】Ｓ−２ ｇ，ｑおよびｗ₀ （ｉ）をべき乗
演算器３６に入力してｇ^w0(i) （mod ｐ）を計算する。
その出力をＴ₀ （ｉ）とし、これをｉ＝１，…，Ｌに対
して繰り返す。 Ｓ−３ 送信部３７を駆動してＴ₀ （ｉ）をｉ＝１，
…，Ｌについて要求者端末１１−１〜１１−ｎへ送付す
る。

【００２６】Ｓ−４ 受信部３６を駆動してＭ⁽¹⁾ とｉ
＝１，…，Ｌについてｃ₁ （ｉ）を要求者端末１１−１
〜１１−ｎから受信する。 Ｓ−５ ｉ＝１，…，Ｌについて以下の処理を繰り返
す。すなわち、ｘ，ｑ，ｗ₀ （ｉ），ｃ₁ （ｉ）を署名
生成器３５へ入力してｗ₀ （ｉ）−ｃ₁ （ｉ）・ｘmod
ｑを計算し、その出力をｚ₁ （ｉ）とする。

【００２７】Ｓ−６ 送信部３７を駆動し、Ｍ⁽¹⁾ およ
び、ｉ＝１，…，Ｌについてｚ₁ （ｉ），ｃ₁ （ｉ）を
復号者１の端末１４−１へ送付する。復号者ｉの端末１
４−ｉは以下の処理を実行する。ただし、最初の復号者
１の端末１４−１についてはステップＵ−１からＵ−５
を除く。 Ｕ−１ 受信部５１を駆動し、Ｍ⁽ⁱ⁾ および、ｊ＝ｉ，
…，Ｌについてｚ_i （ｊ），ｃ_i （ｊ）を復号者ｉ−１
の端末１４−ｉ−１から受信する。

【００２８】Ｕ−２ ｇ，ｙ，ｐ，ｚ_i （ｊ），ｃ
_i （ｊ）をべき乗演算器４５に入力してｇ^zi(j) ｙ
^ci(j) を計算し、その出力をＴ_i-1 （ｊ）とする。この
処理をｊ＝ｉ−１，…，Ｌについて繰り返す。 Ｕ−３ ｑ，Ｍ⁽ⁱ⁾ および、ｊ＝ｉ−１，…，Ｌに対す
るＴ_i-1 （ｊ）をハッシュ演算器４６へ入力してＨ（Ｍ
⁽ⁱ⁾ ，Ｔ_i-1 （Ｌ），…，Ｔ_i-1 （ｉ−１）mod ｑ）を
計算し、その出力をｄ^(i-1) とする。

【００２９】Ｕ−４ ｄ^(i-1) およびｃ_i （ｉ−１）を
比較器４７へ入力し、これらの値が等しいことを確認す
る。 Ｕ−５ 上記手順をｎ個全てのメッセージについて繰り
返す。 Ｕ−６ 復号鍵Ｘ_i およびＭ⁽ⁱ⁾ を復号器４３へ入力し
てＤ_i （Ｍ⁽ⁱ⁾ ）を計算し、Ｍ⁽ⁱ⁺¹⁾ およびｗ
_i （ｊ），ｅ_i （ｊ）をｊ＝ｉ，…，Ｌについて得る。

【００３０】Ｕ−７ ｚ_i （ｊ），ｃ_i （ｊ），ｗ
_i （ｊ），ｅ_i （ｊ），ｑをアンブラインド器４４へ入
力してｚ_i （ｊ）＋ｗ_i （ｊ）mod ｑおよびｃ_i （ｊ）
−ｅ_i （ｊ）mod ｑを計算し、その出力をそれぞれｚ
_i+1 （ｊ），ｃ_i+1 （ｊ）とする。 Ｕ−８ ｇ，ｙ，ｐ，ｚ_i+1 （ｊ），ｃ_i+1 （ｊ）をべ
き乗演算器４５に入力してｇ^z(i+1)(j) ｙ^c(i+1)(j) を
計算し、その出力をＴ_i （ｊ）とする。この処理をｊ＝
ｉ，…，Ｌについて繰り返す。

【００３１】Ｕ−９ ｑ，Ｍ⁽ⁱ⁺¹⁾ および、ｊ＝ｉ，
…，Ｌに対するＴ_i （ｊ）をハッシュ演算器４６へ入力
してＨ（Ｍ⁽ⁱ⁺¹⁾ ，Ｔ_i （Ｌ），…，Ｔ_i （ｉ））mod
ｑを計算し、その出力をｄ⁽ⁱ⁾ とする。 Ｕ−１０ ｄ⁽ⁱ⁾ およびｃ_i+1 （ｉ）を比較器４７へ入
力し、これらの値が等しいことを確認する。

【００３２】Ｕ−１１ 上記手順を全てのメッセージに
対して実行する。 Ｕ−１２ 全てのメッセージ｛Ｍ⁽ⁱ⁺¹⁾ ，（ｚ
_i+1 （ｊ），ｃ_i+1 （ｊ）：ｊ＝ｉ，…，Ｌ｝を置換器
４９へ入力して順序をランダムに入れ替え、送信部５２
を駆動して置換の結果を復号者ｉ＋１へ送付する。 ここで、ステップＵ−７で得られるｚ_i+1 （ｉ），ｃ
_i+1 （ｉ）は、アンブラインドの結果得られるＭ⁽ⁱ⁺¹⁾
および、ｊ＝ｉ＋１，…，Ｌについてのｚ_i+1 （ｊ），
ｃ_i+1 （ｊ）に対するＳｃｈｎｏｒｒ署名となってい
る。ステップＵ−８，Ｕ−９，Ｕ−１０はこの署名に対
する検証手順である。全ての手順が正しく実行された場
合には、ｇ^z(i+1)(i)ｙ^c(i+1)(i) は ｇ^z(i+1)(i)ｙ^c(i+1)(j)＝ｇ^zi(j)+wi(j)ｙ^ci(j)-ei(j) ＝ｇ^{w0(j)-c1(j)x+w1(j)+...+wi(j)}ｙ^{c1(j)-e1(j)-...-ei(j)} ＝Ｔ₀(j)ｇ^{w1(j)+...wi(j)}ｙ^{-e1(j)-...-ei(j)} ＝Ｔ_i (j) となるため、ｄ⁽ⁱ⁾ ：＝Ｈ（Ｍ⁽ⁱ⁺¹⁾ ，Ｔ_i （Ｌ），
…，Ｔ_i （ｉ）mod ｑは要求者端末が計算したｃ
_i+1 （ｉ）と等しくなる。一方、このような署名を署名
者の協力なしに作成することは困難であるため、正しい
署名は復号者端末が正しく復号処理を行った場合にのみ
得ることができる。よって、この署名検証により、復号
者端末の処理が正しかったことを確認することができ
る。復号者ｉ＋１の端末は復号者ｉの端末の出力に対し
てステップＵ−１〜Ｕ−５で示す検証処理を行うことに
より、復号者ｉ＋１の端末が正しく処理したことを確認
した後、自らの復号処理を行う。これによって、最終的
な復号結果が示される前に、不正な処理を検出すること
ができる。 実施例２ 図５に、この発明の実施例２の全体構成を示す。ここで
は、公開掲示板６１を用いた実施例を示す。公開掲示板
６１は、予め認められた送信者からのメッセージをその
送信者のみが書き込める場所に掲示し、一旦掲示した内
容は送信者を含めた誰もが読むことはできるが消去した
り上書きすることができない通信媒体である。掲示板６
１の読み書きは記名通信路を通じて電子的に行うことが
可能であるとする。

【００３３】要求者、署名者、復号者の各端末１１，１
３，１４の構成は実施例１と同様である。まず、準備段
階として、署名者端末１３は以下の手順を実行する。 Ｓ−１ 乱数生成器をＬ回駆動し、生成されたＬ個の乱
数をｗ₀ （ｉ），ｉ＝１，…，Ｌとする。

【００３４】Ｓ−２ ｇ，ｑおよびｗ₀ （ｉ）をべき乗
演算器に入力してｇ^w0(i) （mod ｐ）を計算する。その
出力をＴ₀ （ｉ）とし、これをｉ＝１，…，Ｌに対して
繰り返す。 Ｓ−３ 送信部を駆動して、要求者の識別子Ｒ_k およ
び、Ｔ₀ （ｉ）をｉ＝１，…，Ｌについて掲示板６１へ
送信し、書き込む。

【００３５】Ｓ−４ 上記手順を全ての要求者Ｒ_k に対
して行う。要求者端末は、受信部を駆動し、自らの識別
子Ｒ_k に対応するＴ₀ （ｉ）をｉ＝１，…，Ｌについて
掲示板から受信する。以下の手順は、送受信の相手が掲
示板６１であることを除いて、全て実施例１と同様であ
る。上述において、要求者装置、署名者装置、復号者装
置はそれぞれ、コンピュータによりプログラムを実行さ
せて、その機能を作用させることもできる。

【００３６】

【発明の効果】この発明によれば、要求者端末は暗号化
された乱数成分を署名者端末へ送付するだけで処理を終
了することができるため、署名者端末が署名生成処理を
終了してブラインドされた署名を送り返してくることを
待ち受ける必要が無い。また、各復号者端末の出力に署
名者端末の署名が含まれていることを検証することが可
能となるため、各復号者端末の出力が正当な処理の結果
であることを誰でも容易に検証することが可能であり、
最終結果が出力される前に、不正な処理を発見し、訂正
することが可能となる。よって、不正の対象となったメ
ッセージの作成者のプライバシーを守ることができる。

【図面の簡単な説明】

【図１】この発明の実施例１のシステム構成を示す図。

【図２】要求者端末の機能構成を示す図。

【図３】署名者端末の機能構成を示す図。

【図４】復号者端末の機能構成を示す図。

【図５】実施例の端末間の通信の様子を示す図。

【図６】実施例２のシステム構成を示す図。

フロントページの続き (72)発明者 岡本 龍明 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 (72)発明者 藤岡 淳 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 Ｆターム(参考） 5B049 AA05 BB39 CC01 EE03 GG04 GG07 GG10 5J104 AA09 LA03 LA08 NA02 NA27 NA37 PA17 9A001 EE03 GZ22 JZ71 LL03

Claims (7)

【特許請求の範囲】
1. 【請求項１】 署名要求者端末、署名者端末、検証者端
   末、Ｌ人の復号者Ｕ ₁ ，…，Ｕ_L の端末からなり、それ
   ぞれの復号者端末は暗号化鍵Ｙ_i および復号鍵Ｘ_i をメ
   モリ上に有し、Ｙ_i は公開され、全ての端末のメモリ上
   に格納され、その暗号化関数をＥ_i （）、復号関数をＤ
   _i （）とし、 要求者端末は、乱数生成器を駆動して乱数ｒ_j （ｉ）を
   得、証明を付けるべきメッセージＭ^(L+1) を選択し、Ｍ
   ⁽ⁱ⁺¹⁾ 、および、ｒ_j （ｉ）をｊ＝ｉからＬまで暗号化
   器に入力してＥ_i （Ｍ⁽ⁱ⁺¹⁾ ，ｒ_j （Ｌ），…，ｒ
   _i （ｉ））を計算し、その出力をＭ⁽ⁱ⁾ とし、この処理
   をｉ＝Ｌ，…，１に対して繰り返し、 Ｍ⁽ⁱ⁺¹⁾ とｒ_i （Ｌ）をブラインド処理器へ入力して、
   その出力およびｒ_i （Ｌ−１）をさらにブラインド処理
   器へ入力して、これを繰り返し、ｒ_i （ｉ）を入力する
   まで実行し、その出力をＭ′⁽ⁱ⁾ とし、これをｉ＝１，
   …，Ｌに対して繰り返し実行してＭ′⁽¹⁾ ，…，Ｍ′
   ^(L) を得、このＭ′⁽¹⁾ ，…，Ｍ′^(L) およびＭ⁽¹⁾ を
   署名者端末へ送付し、 署名者端末は、Ｍ′⁽¹⁾ ，…，Ｍ′^(L) を順次署名生成
   器へ入力し、署名ｚ₁（１），…，ｚ₁ （Ｌ）を得、 Ｍ⁽¹⁾ およびｚ₁ （１），…，ｚ₁ （Ｌ）を復号者１の
   端末へ送付し、 復号者ｉの端末はＭ⁽ⁱ⁾ を復号器へ入力してＤ_i （Ｍ
   ⁽ⁱ⁾ ）を計算し、Ｍ^{(i+1 )} ，ｒ_i （Ｌ），…，ｒ
   _i （ｉ）を得、 ｒ_i （ｊ）およびｚ_i （ｊ）をアンブラインド処理器へ
   入力してその出力をｚ _i+1 （ｊ）とし、このアンブライ
   ンド処理をｊ＝Ｌ，…，ｉについて繰り返し、 ｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ）およびＭ⁽ⁱ⁺¹⁾ を署名
   検証器へ入力し、ｚ_{i+ 1} （ｉ）がｚ_i+1 （Ｌ），…，ｚ
   _i+1 （ｉ−１），Ｍ⁽ⁱ⁺¹⁾ に対する署名であることを確
   認し、正しければ、ｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ）お
   よびＭ⁽ⁱ⁺¹⁾ を復号者ｉ＋１の端末へ送付し、これを最
   後の復号者Ｌの端末に至るまで繰り返し、最後の復号者
   Ｌの端末から出力されたＭ^(L+1) およびｚ_L+1 （Ｌ）を
   検証者端末が受信し、 検証者端末はこのＭ^(L+1) ，ｚ_L+1 （Ｌ）を署名検証器
   へ入力し、ｚ_L+1 （Ｌ）がＭ^(L+1) に対する署名である
   ことを検証することを特徴とするブラインド署名方法。
2. 【請求項２】 請求項１記載のブラインド署名方法にお
   いて、 署名者端末はｎ人の要求者の端末に対してブラインド署
   名ｚ₁ （１），…，ｚ ₁ （Ｌ）を発行し、 復号者１の端末はｎ人分のブラインド署名を受信した
   後、それぞれの署名に対して請求項１記載の処理を実行
   した後、全ての署名に対する処理結果をランダム置換器
   へ入力してその順序をランダムに入れ替えた結果を復号
   者２の端末へ送付し、その処理を最後の復号者Ｌの端末
   に至るまで同様に繰り返すことを特徴とするブラインド
   署名方法。
3. 【請求項３】 署名要求者端末から、ブラインド処理し
   たメッセージを署名者端末へ送り、署名者端末でそのブ
   ラインド処理したメッセージに対し署名を行い、その署
   名をＬ人の復号者の端末の共同によりアンブラインド処
   理を行うブラインド署名システムの署名要求者端末であ
   って、 乱数ｒ_j （ｉ）（ｉ＝１，２，…，Ｌ）を生成する乱数
   生成手段と、 メッセージＭ^(L+1) と、Ｍ⁽ⁱ⁺¹⁾ およびｒ_j （ｉ）をｊ
   ＝ｉからＬまで入力して暗号関数値Ｍ⁽ⁱ⁾ ＝
   （Ｍ⁽ⁱ⁺¹⁾ ，ｒ_i （Ｌ），…，ｒ_i （ｉ））を計算して
   出力する処理を、ｉ＝Ｌ，…，１について繰り返す暗号
   化手段と、 Ｍ⁽ⁱ⁺¹⁾ とｒ_i （Ｌ）を入力してブラインド処理し、そ
   の処理結果とｒ_i （Ｌ−１）を入力して、ブラインド処
   理し、これをｒ_i （ｉ）を入力するまで繰り返し、その
   出力をＭ′⁽ⁱ⁾ とし、この処理をｉ＝１，…，Ｌに対し
   て繰り返し実行してＭ′⁽¹⁾ ，…，Ｍ′^(L) を得るブラ
   インド処理手段と、 上記Ｍ′⁽¹⁾ ，…，Ｍ′^(L) およびＭ⁽¹⁾ を署名者端末
   へ送る手段と、 を具備する署名要求者端末。
4. 【請求項４】 署名要求者端末からブラインド処理した
   メッセージを署名者端末へ送り、署名者端末でブライン
   ド処理したメッセージに対し署名を行い、その署名をＬ
   人の復号者の端末の共同によりアンブラインド処理を行
   うブラインド署名システムの第ｉ番目（ｉ＝１，…，
   Ｌ）の復号者端末であって、 第ｉ−１番目の復号者端末からＭⁱ およびｚ_i （ｊ）
   （ｊ＝Ｌ，…，ｉ）を受信する手段と、 Ｍⁱ について復号関数値（Ｍ⁽ⁱ⁺¹⁾ ，ｒ_i （Ｌ），…，
   ｒ_i （ｉ））＝Ｄ_i （Ｍ⁽ⁱ⁾ ）を計算する復号手段と、 ｒ_i （ｊ）およびｚ_i （ｊ）を入力し、アンブラインド
   処理してｚ_i+1 （ｊ）を出力する処理をｊ＝Ｌ，…，ｉ
   について繰り返し行うアンブラインド処理手段と、 ｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ）およびＭ⁽ⁱ⁺¹⁾ を入力
   して、ｚ_i+1 （ｉ）がｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ−
   １），Ｍ⁽ⁱ⁺¹⁾ に対する署名であることを確認する署名
   検証手段と、 その確認が正しければｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ）
   およびＭ⁽ⁱ⁺¹⁾ を第ｉ＋１番目の復号者端末へ送信する
   手段と、 を具備することを特徴とする復号者端末。
5. 【請求項５】 請求項４記載の復号者端末において、 送信する（ｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ），
   Ｍ⁽ⁱ⁺¹⁾ ）のｎ人の要求者と対応するものをその順序を
   ランダムに入れ替えるランダム置換手段を備えることを
   特徴とする復号者端末。
6. 【請求項６】 署名要求者端末からブラインド処理した
   メッセージを署名者端末へ送り、署名者端末でそのブラ
   インド処理したメッセージに対し署名を行い、その署名
   をＬ人の復号者の端末の共同によりアンブラインド処理
   を行うブラインド署名システムの署名要求者端末のコン
   ピュータに、 乱数ｒ_j （ｉ）（ｉ＝１，２，…，Ｌ）を生成する処理
   と、 メッセージＭ^(L+1) と、Ｍ⁽ⁱ⁺¹⁾ およびｒ_j （ｉ）をｊ
   ＝ｉからＬまで入力して暗号関数値Ｍ⁽ⁱ⁾ ＝
   （Ｍ⁽ⁱ⁺¹⁾ ，ｒ_i （Ｌ），…，ｒ_i （ｉ））を計算して
   出力する処理を、ｉ＝Ｌ，…，１について繰り返す処理
   と、 Ｍ⁽ⁱ⁺¹⁾ とｒ_i （Ｌ）を入力してブラインド処理し、そ
   の処理結果とｒ_i （Ｌ−１）を入力してブラインド処理
   し、これをｒ_i （ｉ）を入力するまで繰り返し、その出
   力をＭ′⁽ⁱ⁾ とし、この処理をｉ＝１，…，Ｌに対して
   繰り返し実行してＭ′⁽¹⁾ ，…，Ｍ′^(L) を得る処理
   と、 上記Ｍ′⁽¹⁾ ，…，Ｍ′^(L) およびＭ⁽¹⁾ を署名者端末
   へ送る処理と、 を実行させるプログラムを記録した記録媒体。
7. 【請求項７】 署名要求者端末からブラインド処理した
   メッセージを署名者端末へ送り、署名者端末でブライン
   ド処理したメッセージに対し署名を行い、その署名をＬ
   人の復号者の端末の共同によりアンブラインド処理を行
   うブラインド署名システムの第ｉ番目（ｉ＝１，…，
   Ｌ）の復号者端末のコンピュータに、 第ｉ−１番目の復号者端末からＭⁱ およびｚ_i （ｊ）
   （ｊ＝Ｌ，…，ｉ）を受信する処理と、 Ｍⁱ について復号関数値（Ｍ⁽ⁱ⁺¹⁾ ，ｒ_i （Ｌ），…，
   ｒ_i （ｉ））＝Ｄ_i （Ｍ⁽ⁱ⁾ ）を計算する処理と、 ｒ_i （ｊ）およびｚ_i （ｊ）を入力し、アンブラインド
   処理してｚ_i+1 （ｊ）を出力する処理をｊ＝Ｌ，…，ｉ
   について繰り返し行う処理と、 ｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ）およびＭ⁽ⁱ⁺¹⁾ を入力
   して、ｚ_i+1 （ｉ）がｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ−
   １），Ｍ⁽ⁱ⁺¹⁾ に対する署名であることを確認する処理
   と、 その確認が正しければｚ_i+1 （Ｌ），…，ｚ_i+1 （ｉ）
   およびＭ⁽ⁱ⁺¹⁾ を第ｉ＋１番目の復号者端末へ送信する
   処理と、 を実行させるプログラムを記録した記録媒体。