JP2000231331A - 権利証明書実現方法、その装置 - Google Patents

Abstract

(57)【要約】 【課題】 個人のプライバシを保護しかつ不正利用を防
止する。 【解決手段】 ユーザＵは欲しい証明書と対応した証明
書発行者装置ＣＰの公開鍵ｅ_CP ^l をＵごとのブラックボ
ックスＢへ送り、Ｂは鍵ｄ_B ⁱ ，ｅ_B ⁱ を生成しｄ_B ⁱ
を誰にも秘密に保持し、乱数ｒとｅ_CP ^l を用いてｅ_B ⁱ
に対し、ブラインド署名前処理を行ってＺ₁ を得、Ｚ₁
とｒをＵへ送り、ＵはＺ₁ をＣＰへ送り、ＣＰはｅ_CP ^l
と対応する秘密鍵ｄ_CP ^l でＺ₁ に対する署名Ｚ₂ を生成
し、Ｚ₂ をＵへ送り、Ｕはｅ_CP ^l ，ｒを用いてＺ₂ に対
しブラインド署名後処理を行いＣ_jを得、Ｃ_j を検証
し、合格すればＣ_j ，ｅ_B ⁱ を証明書とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は個人のプライバシ
の保護と不正利用防止を両立した権利証明書を実現する
方法、その装置に関する。

【０００２】

【従来の技術】実社会においても計算機の世界において
も、個人が、確かにその主張する権利を持つ存在である
かを確認する認証作業は、多くの場面において実施され
ている。最近では、Ｗｅｂサイトにおいても、簡単なパ
スワードや公開鍵を用いた認証が頻繁に用いられるよう
になった。

【０００３】これらの認証の目的を考えてみると、その
内容は場合によって大きく異なる。例えば、銀行のＡＴ
Ｍでは各人で異なる預金を確実に処理するため、また個
人のブライバシを侵害しないためにも、端末の前にいる
ユーザの名前を確実に知る必要がある。これに対して、
ニュースなど一般的情報を提供するＷｅｂサイトや、商
品に対するユーザサポートを行う場面においては、ユー
ザの名前を知る事ではなく、ユーザがその権利を持って
いるかどうかを確認することが必要とされる。

【０００４】だが、上記の二番目のような場面において
も、現在の多くの場合、個人識別子を利用し、この識別
子に対応したユーザの持つ権限として、資源管理を実施
している。この手法は、本来の目的に対する実現手段の
不自然さに加えて、ユーザのプライバシの保護上の問題
や、サービス提供者側におけるデータベースの管理負荷
など様々な欠点を持つ。

【０００５】プライバシの問題は特に切実で重要であ
る。例えば、各サービスごとに中央集権的なサーバが準
備されていた場合、もちろんそのサーバの管理する範囲
内でのプライバシは、サーバ管理者に対しては無いに等
しい。だが、問題はそれだけに留まらない。各々別々の
サービスを提供する複数のサーバの管理者が結託した場
合、個人が各サーバに提供した自分に関する全ての情報
と、それらサーバに対する行動履歴の全てが、管理者達
に把握されてしまうことも十分に起こり得る。これは是
が非でも避けなければならない事態である。また、個人
情報の漏洩と追跡不能性が問題となる。

【０００６】このような問題を解決する一つの手法は、
権利の確認に証明書を利用する方法である。権利が確認
された人のみにあらかじめ証明書を配布しておくことに
よって、名前など個人識別情報とは関係なく権利の確認
を実施することができる。だがこの場合、証明書に個人
識別情報が含まれていなければ、証明書のコピーなど不
正利用に対する防御が難しい。またこれに対して、証明
書に短時間の有効期限を設けることや、既存の電子現金
で利用されている技術を用いて証明書の再利用を禁止す
ることで不正利用を防止すると、認証の手段としては、
利便性が著しく損なわれることになる。

【０００７】この発明で使用する世界のモデルを図９に
示す。図中にあるように、以下の三つの要素を仮定す
る。 証明書発行者装置（ＣＰ） 証明書を発行する実体。特定ユーザに対して、そのユー
ザがある権利を持っている、あるいはある特徴を持って
いることを保証する証明書を発行する。 資源管理者装置（ＲＭ） 資源（情報）を管理する実体。自分の管理する資源に対
して、ユーザから提示された複数の証明書をもとに、そ
のユーザの取れる行動の範囲を決定し管理する。 ユーザ装置（Ｕ） 証明書発行者装置ＣＰによって発行された証明書を管理
する。また、資源を利用したいときには、証明書を適当
に選択し、資源管理者装置ＲＭに提示する。この明細書
ではユーザの持つ証明書とその入れ物をプロファイルと
呼ぶ。

【０００８】上記のモデルでは、一つの証明書を複数の
資源管理者装置ＲＭで共用することを前提としている。
従来のような資源ごとにＩＤとパスワードを設定する手
法は、図中中段右側に示すような、ＣＰとＲＭがペアに
なった場合に対応する。

【０００９】

【発明が解決しようとする課題】この発明は以下に示す
要求を満す権利証明書の実現方法を提供しようとするも
のであって、これらを満たす権利証明書の実現方法はユ
ーザのプライバシを最大限に保証し、かつ証明書の不正
利用を防止できると考えられる。 （１）不必要な個人情報漏洩の防止 資源利用時において、資源管理者装置ＲＭの資源の利用
が許可されるために最低限必要な情報しか漏洩しない。
最低限とは、管理者装置ＲＭが指定した情報以外を含ま
ないことである。 （２）行動の追跡不能性 任意の数の証明書発行者装置ＣＰと資源管理者装置ＲＭ
が結託しても、ユーザの行動履歴の全貌は把握できな
い。また行動が把握される可能性のある範囲は、ユーザ
自身が決定する。 （３）証明書再利用性 証明書は何度でも使用することができる。 （４）証明書不正利用不可 証明書は正規のユーザ以外は利用できない。 （５）汎用情報の証明 証明書発行者装置ＣＰは任意の内容の任意個数の情報を
証明できる。

【００１０】

【課題を解決するための手段】この発明によればユーザ
ごとに個別のブラックボックスを用い、ブラックボック
スは記憶機能と計算機能とをもち、誰にも秘密（ユーザ
自身にも）の複数秘密鍵ｄ_B ^k （ｋ＞０）とこれらのそ
れぞれに対応する複数の公開鍵ｅ_B ^k が記憶され、ユー
ザ装置より証明書発行者の公開鍵ｅ_CPをそのユーザのブ
ラックボックスへ送り、ブラックボックスはその公開鍵
の１つｅ_B ⁱ に対し、公開鍵ｅ_CPを用いてブラインド署
名前処理を行い、その処理結果Ｚ₁ とこれに用いた乱数
ｒをユーザ装置へ返す。

【００１１】ユーザ装置はＺ₁ を証明書発行者装置へ送
り、証明書発行者装置は秘密鍵ｄ_CPでＺ₁ に対し署名処
理を行い、その結果Ｚ₂ をユーザ装置へ返す。ユーザ装
置はＺ₂ に対し、ｅ_CP，ｒを用いてブラインド署名後処
理を行い、署名Ｃ_j を得、Ｃ_j が検証式を満すか調べ、
満せばＣ_j ，ｅ_B ⁱ を証明書とする。秘密鍵ｄ_B ^y 、つ
まりブラックボックス自体の正当性を確認できるように
次のようにする。つまりユーザ装置はｅ_CPをブラックボ
ックスに送る際に、適当な証明書Ｃ_y を選び、これと対
応した公開鍵ｅ_B ^y を示す情報もブラックボックスに送
り、ブラックボックスはＺ₁ の署名をｅ_B ^y と対をなす
秘密鍵ｄ_B ^y で行う。ユーザ装置は証明書発行者装置へ
Ｚ₁ とその署名Ｚ₁ ^By、更にＣ_y ，ｅ_B ^y も送り、Ｚ₁
の有効性をＺ₁ ^Byを用いて調べ、かつＣ_y ，ｅ_B ^y が検
証式を満すかを調べ、これらに合格することをＺ₂ 生成
の条件とする。

【００１２】このようにして発行された証明書を提示利
用する場合は、ユーザ装置より利用したい証明書Ｃ_j 、
その公開鍵ｅ_B ⁱ を資源管理者装置へ送り、資源管理者
装置はＣ_j とｅ_B ⁱ が検証式を満すかを証明書発行者装
置の公開鍵ｅ_CPにより調べ、検証式を満せば、ブラック
ボックスがｅ_B ⁱ と対応する秘密鍵ｄ_B ⁱ をもっている
かを、ユーザ装置を仲立ちとして既存の公開鍵方式の認
証手順により検証し、この検証に成功すれば証明書発行
者装置が証明書Ｃ_j の内容をユーザ装置に対し保証して
いると認める。作用 （１）あらかじめ権利が確認された証明書を利用するの
で、名前など個人識別情報とは関係なく権利の確認が実
施でき、不必要な個人情報が漏洩しない。

【００１３】（２）権利証明書の発行にあってはブライ
ンド署名の技術を用いることで、証明書発行者装置ＣＰ
は自分の署名した証明書Ｃを知ることができず、権利証
明書の利用にあっては公開鍵ｅ_B ⁱ は権利証明書ごとに
ユーザが任意に定めることができることから、資源管理
者装置ＲＭはユーザが意図した範囲でしかユーザと権利
証明書Ｃとの関係を見出すことができないでいた。その
結果、任意の数の証明書発行者装置ＣＰと資源管理者装
置ＲＭが結託してもユーザの行動履歴の全貌は把握でき
ない。

【００１４】（３）この権利証明書は、匿名性を保った
まま再利用可能な設計となっている。 （４）また、権利証明書の利用にあっては秘密鍵ｄ_B ⁱ
が必要で、ｄ_B ⁱ は正規のユーザ認証手段を備えたユー
ザプロファイルに内蔵されているため、権利証明書は正
規のユーザ以外利用できない。

【００１５】（５）証明書発行者装置ＣＰは、保証する
内容一個一個に対応する署名鍵を用意したり、保証する
内容から生成した情報と共通の署名鍵との両方で署名を
行ったりすることで、任意の内容の任意個数の情報を証
明できる。

【００１６】

【発明の実施の形態】この発明では使用する世界のモデ
ルは図９に示したように証明書発行者装置ＣＰと資源管
理者装置ＲＭとユーザ装置Ｕとで構成される。更にこの
発明ではユーザ（装置）ごとに個別のブラックボックス
Ｂを利用する。

【００１７】ユーザのプロファイルの構成を図１に示
す。プロファイルは、誰にも秘密の情報を秘めたブラッ
クボックスＢと、各証明書発行者装置ＣＰより発行され
た証明書Ｃｅｒｔ．とで構成される。ブラックボックス
Ｂは記憶機能と計算機能とを持ち例えばスマートカード
のようなＩＣカードで構成することもでき、またユーザ
装置と対応であるがこれと分離された機関に設けられて
もよい。プロファイル以外のデータは、ディスクなどの
外部記憶媒体等でバックアップ、保持することができ
る。

【００１８】ブラックボックスＢは関数として定義でき
るので、証明書発行時及び証明書利用時の通信は、図２
に示すようにモデル化できる。図中の矢印は、二つの実
体の間で通信が起こることを示している。通信路は、ブ
ラックボッスクＢとユーザ装置間、ユーザ装置とサーバ
装置（ＣＰあるいはＲＭ）間の二つが考えられるが、こ
れらの安全性は同程度で、盗聴が可能であると仮定す
る。

【００１９】この発明では、証明書発行手順（プロトコ
ル）の健全性等を実現するためにデジタルブラインド署
名の技術を用いる。ここではブラインド署名を次のよう
に定義する。Ｕ，Ｘを適当な有限集合としたとき、公開
鍵（署名検証鍵）をｅ∈Ｕ、秘密鍵（署名生成鍵）をｄ
∈Ｕとし、ｆ_d ^-1：Ｘ→Ｘを鍵ｄによる署名生成関数、
ｆ_e ：Ｘ→Ｘを鍵ｅによる署名検証関数とする。ｆ_e は
ｄを知らない限り一方向性を持つ。このとき、デジタル
署名系｛Ｕ，Ｘ，ｆ.,ｆ^-1. ｝では、ｘ∈Ｘに関して以
下の関係が成立する。通常ｆ_d ^-1. は署名者が、ｆ_e は
署名検証者が計算する。

【００２０】

【数１０】 有限集合Ｒにおいて、ｒ∈Ｒをブラインドの為の指数と
し、ブラインド関数をＢｌ_e,r ：Ｘ→Ｘ、ブラインド解
凍関数Ｂｌ_e,r ^-1：Ｘ→Ｘとする。ここでＢｌ
_e,r （ｘ）からはｘとｒが判別できないとする。また、
ｆｂ_d ^-1：Ｘ→Ｘをｆ_d ^-1に対応するブラインド署名関
数とする。このとき、ブラインド署名可能な署名系
｛Ｕ，Ｘ，ｆ.,ｆ^-1.,ｆｂ^-1 _.,Ｂｌ.,Ｂｌ^-1 _. ｝は、式
（１）に加えて次の関係を満たす。

【００２１】

【数１１】 ブラインド署名の概念は、Ｃｈａｕｍによって示され
た。一般に、Ｂｌ_e,r.とＢｌ_e,r ^-1 _. は署名発行依頼
者、ｆｂ_d ^-1は署名者が計算する。ｆ_e.は署名検証者が
計算する。この署名法では、署名者が、署名するデータ
の内容ｘを確認できないので、ブラインドと呼ばれてい
る。

【００２２】ブラックボックスＢ、ユーザ装置Ｕ、証明
書発行者装置ＣＰ、資源管理者装置ＲＭの四者におけ
る、証明書発行プロトコル及び証明書提示プロトコルを
以下に示すが、このプロトコルは以下の特徴を持つ。 ・各々のユーザ装置Ｕは固有のブラックボックスＢを所
持する。 ・ブラックボックスＢは誰にも秘密の複数の情報（秘密
鍵）ｄ_B ^k （ｋ＞０）と、これら各々に対応する複数の
公開情報（公開鍵）ｅ_B ^k を持つ。

【００２３】・証明書Ｃは、各々特定のｅ_B ^k に対応す
る形で発行される。証明書Ｃを使用するためには、その
秘密鍵ｄ_B ^k が必要である。従って、証明書Ｃを利用で
きるのはブラックボックスＢを持つユーザ装置Ｕだけで
ある。 ・証明書発行者装置ＣＰは証明書Ｃを発行する際、ブラ
インド署名の技術を用いて署名を行う。証明書発行者装
置ＣＰは自分の署名した証明書Ｃに対応する公開鍵ｅ_B
^k （即ち、ブラックボックスＢ、ユーザ装置Ｕ）を知る
ことができない。

【００２４】・証明書発行者装置ＣＰや資源管理者装置
ＲＭとユーザ装置Ｕが結託しても、ブラックボックスＢ
の持つ秘密情報ｄ_B ^k を引き出すことはできない。 ・ユーザ装置Ｕは常にブラックボックスＢの動作を監視
でき、証明書発行者装置ＣＰや資源管理者装置ＲＭとブ
ラックボックスＢとの不正な情報交換を阻止できる。

【００２５】・ブラックボックスＢに要求される機能は
単純で非常に簡単である。このプロトコルでは、同一証
明書Ｃを複数の資源管理者装置ＲＭに対して提示して利
用した場合や、同一鍵ｅ_B ^k と関連する形で発行された
複数の証明書を利用する場合には、これらが利用される
範囲内において、ユーザ装置の行動履歴及び個人情報が
把握される可能性がある。しかし、これはユーザ装置自
身が適度に異なった証明書、及び鍵を用いることによっ
て解決容易な事項である。ここで、ブラックボックスＢ
に対するユーザ装置Ｕの認証は、既存の個人認証の技術
を用いることを仮定しているので、この明細書では特に
述べない。つまりブラックボックスＢはパスワードや指
紋認識や虹彩認識などによる正規ユーザの認証機能をも
っている。

【００２６】以下に挙げるプロトコルは、上記の事項を
基盤とするが、これに加えてブラックボックスＢ自身の
正当性を確認するための処理が加わっていることに注意
すること。尚、権利の確認処理が終了した後は、既存の
ＳＳＬ等のセキュア通信の技術を用いて、ユーザ装置Ｕ
は資源管理者装置ＲＭの資源を利用することができる。実施例１ 始めは基本として、証明書の内容が、あらかじめ証明書
発行者装置ＣＰが決定した任意個の種類しかない場合に
ついてのプロトコルを述べる。実施例２でこのプロトコ
ルの拡張として、内容及び個数を動的に自由に変更可能
なプロトコルを述べる。 初期状態 ブラックボックスＢは鍵のペア（ｅ_B ⁰ ，ｄ_B ⁰ ）と、
これに対応してブラックボックスＢの正当性を保証する
証明書Ｃ₀ を持つ。ユーザ装置ＵはＣ₀ とｅ_B ⁰ を知っ
ている。証明書発行者装置ＣＰは、自分の保証する内容
の各々に対して、それぞれ鍵のペア（ｅ_CP ^k ，ｄ_CP ^k ）
を決定し、各ｅ_CP ^k を公開している。 証明書発行 ブラックボッスクＢがｊ番目の証明書Ｃ_j を獲得するプ
ロトコルを以下に示す。ここで、サフィックスｙはブラ
ックボックスＢ自身の正当性を証明するために必要なデ
ータに付けられている。またブラックボックスＢは、ｉ
番目の鍵ペアをＣ_j に対応する鍵として利用している。

【００２７】以下、関数ｇ_B はＸ→Ｘとなる一方向性関
数である。また処理の流れを図３に、ブラックボックス
Ｂの機能構成を図４に、ユーザ装置Ｕの機能構成を図５
に、証明書発行者装置ＣＰの機能構成を図６にそれぞれ
示す。 （１）ユーザはユーザ装置Ｕの入力操作部１１を操作し
て、メモリ１２内の、既存の『Ｂは正当である』ことを
保証する証明書から適当な証明書Ｃ_y を選ぶ。また、発
行して欲しい証明書と対応した証明書発行者装置ＣＰの
公開鍵ｅ_CP ^l を選び、証明書Ｃ_y に対応したブラックボ
ックスＢの公開鍵ｅ_B ^y （あるいはｙの値）とｅ_CP ^l を
ブラックボックスＢに送る。ユーザは今回の発行におい
て新しい鍵を用いるのかを決定する。鍵を再利用する場
合には、そのブラックボックスＢの公開鍵ｅ_B ⁱ （ある
いはｉの値）もブラックボックスＢに送る。

【００２８】（２）ブラックボックスＢは、ｅ_CP ^l ，ｅ
_B ^y を受信すると、鍵生成部３１から鍵のペア
（ｅ_B ⁱ ，ｄ_B ⁱ ）（ｉ＞０）を取出し、また乱数生成
部３２から乱数ｒを生成し、一方向性関数器３３にｅ_B
ⁱ を入力してｇ_B （ｅ_B ⁱ ）を計算し、またｅ_CP ^l ，
ｒ、ｇ_B （ｅ_B ⁱ ）をブラインド関数器３４に入力して
式（３）の値Ｚ₁ を計算する。（１）でユーザ装置Ｕが
ｅ_B ⁱ を送付しなかった場合、鍵ペア（ｅ_B ⁱ ，
ｄ_B ⁱ ）はブラックボックスＢの鍵生成部３１によって
新しく作成される。ブラックボックスＢは鍵ｄ_B ⁱ をメ
モリ３６に格納し、誰にも公開しない。

【００２９】

【数１２】 ブラックボックスＢは、ｅ_B ^y に対応する秘密鍵ｄ_B ^y
を用いてＺ₁ の署名情報Ｚ₁ ^Byを署名器３５で計算し、
Ｚ₁ ，Ｚ₁ ^By，ｅ_B ⁱ ，ｒをユーザ装置Ｕに送る。ただ
し、Ｚ₁ ^Byの生成に用いる署名法は、ブラインド署名に
対応しない通常の方法でよい。 （３）ユーザ装置Ｕは、Ｚ₁ ，Ｚ₁ ^By，ｅ_B ⁱ ，ｒを受
信すると、必要に応じて証明書の発行を受ける為に必要
な情報Ｍ_U を作成する。通常、Ｍ_U の内容は、発行され
る証明書の内容に対応して、証明書発行者装置ＣＰがあ
らかじめ指定している。ユーザ装置Ｕは、Ｚ₁ と
Ｚ₁ ^By、Ｍ_U ，Ｃ_y ，ｅ_B ^y を証明書発行者装置ＣＰに
送る。この時ｅ_CP ^l を同時に送るか、ＵとＣＰとの間に
はＵがどのｅ_CP ^l を選んだかの通知が予めなされてい
る。

【００３０】（４）証明書発行者装置ＣＰはＺ₁ ，Ｚ₁
^Byなどを受信すると、Ｚ₁ の有効性をｅ_B ^y ，Ｚ₁ ^Byを
用いて署名検証器５１により確認する。また、ｅ_B ^y を
一方向性関数器５２に入力してｇ_B （ｅ_B ^y ）を計算
し、Ｃ_y ，ｅ_CPy ^x を署名検証関数器５３に入力し、そ
の計算結果とｇ_B （ｅ_B ^y ）とが一致するかを比較器５
４で比較し、つまり

【００３１】

【数１３】 が成り立つかを調べることによってＺ₁ ^Byの署名鍵ｄ_B
^y 、すなわちＢの正当性に対する確認を行う。ここで、
ｅ_CPy ^x は、Ｃ_y の発行者装置ＣＰ_y のＣ_y に対応する
公開鍵である。このようにしてｅ_B ^y の正当性を確認す
ることによってｅ_B ^y と対をなすｄ_B ^y の正当性を確認
する。

【００３２】これらの何れかの検証に失敗すれば、証明
書は発行されず終了する。また、証明書発行者装置ＣＰ
はＭ_U の有効性を調べる。Ｍ_U が、別の証明書発行者装
置ＣＰが発行した証明書である場合、その有効性の確認
は証明書提示プロトコルを用いて行える。証明書の発行
が適切と認められた場合には、証明書発行者装置ＣＰは
以下の値を署名生成関数器５５で計算し、これをユーザ
装置Ｕに送る。

【００３３】

【数１４】 （５）Ｚ₁ を受けたユーザ装置Ｕは、以下の値をブライ
ンド解凍関数器１３で計算する。

【００３４】

【数１５】 またｅ_B ⁱ について一方向性関数器１４でｇ
_B （ｅ_B ⁱ ）を計算し、Ｃ_j とｅ _CP ^l を署名検証関数器
１５に入力し、ｆ_eCP ^l （Ｃ_j ）を計算し、

【００３５】

【数１６】 が成り立つかを比較器１６で調べる。式（１）（２）よ
り、正規の手順を踏んだ有効なＣ_j であれば上式が成り
立つことは明らかである。この有効性が確認されれば、
Ｃ_j ，ｅ_B ⁱ を新しい証明書としてメモリ１２に保管す
る。 証明書提示 証明書Ｃ_j は、特定の内容を保証する証明書発行者装置
ＣＰの鍵ｄ_CP ^l で署名された、ｇ_B （ｅ_B ⁱ ）に対する
署名となっているので、この証明書の利用資格の確認は
簡単である。ｅ_B ⁱ に対応する秘密鍵ｄ_B ⁱ をブラック
ボックスＢが持っていることを確認できればよい。証明
書の提示及び利用のプロトコルを以下に示す（図４、図
７参照）。

【００３６】（１）ユーザＵは利用したい証明書Ｃ_j を
決定し、Ｃ_j と、これに対応した公開鍵ｅ_B ⁱ を資源管
理者装置ＲＭに提示（送信）する。ここで、この証明書
Ｃ_j，ｅ_B ⁱ に対応する証明書発行者装置ＣＰの鍵のペ
アを（ｅ_CP ^m ，ｄ_CP ^m ）とする。ｅ_CP ^m は公開されてい
るはずである。 （２）資源管理者装置ＲＭは、ｅ_CP ^m を用いてＣ_j に対
し署名検証関数器によるｆ_eCP ^m （Ｃ_j ）を求め、かつ
ｅ_B ⁱ に対し一方向性関数器６２でｇ_m （ｅ_B ⁱ ）を求
め比較器６３でｇ_B （ｅ_B ⁱ ）＝ｆ_eCP ^m （Ｃ_j ）が成
り立つかを検証する。この検証が失敗すれば認証は失敗
である。

【００３７】（３）資源管理者装置ＲＭは、既存の公開
鍵方式の認証手順を用いて、ブラックボックスＢがｅ_B
ⁱ に対応する鍵ｄ_B ⁱ を持っているかを認証手段６４と
ブラックボックスＢ内の認証手段３７が協動して確認す
る。この通信はユーザ装置Ｕを仲立ちとして行われる。
この検証に成功すれば、証明書発行者装置ＣＰがｅ_CP ^m
に対応する内容をユーザ装置Ｕに対して保証しているこ
とを、資源管理者装置ＲＭは納得する。実施例２ 実施例１では、各証明書発行者装置ＣＰはあらかじめ自
分の証明する内容を決定し、これに対応する公開鍵（ｅ
_CP ⁰ ，ｅ_CP ¹ ，…ｅ_CP ⁿ ）（ｎ＞０）を公開している必
要があった。実施例２は、この条件を解消し、一つの公
開情報で任意の内容を保証する。

【００３８】この目的の為に、実施例２では、以下に示
す特殊なブラインド署名系を利用する。Ｕ，Ｘ，Ｍ，Ｒ
を適当な有限集合としたとき、公開鍵（署名検証鍵）を
ｅ∈Ｕ、秘密鍵（署名生成鍵）をｄ∈Ｕ、証明内容をｍ
∈Ｍとし、ｆｂ_d,m ^-1：Ｘ→Ｘを鍵ｄとｍによる署名生
成関数、ｆ_e,m ：Ｘ→Ｘを鍵ｅとｍによる署名検証関数
とする。ただし、ｆ_e,m はｄを知らない限り一方向性を
持つ関数である。また、Ｂｌ_e,r 、Ｂｌ_e,r ^-1 を各々
ブラインド関数とブラインド解凍関数とする。Ｂｌ_e,r
（ｘ）からはｘとｒが判別できない。このとき、署名系
｛Ｕ，Ｘ，ｆ.,ｆｂ^-1 _.,Ｂｌ.,Ｂｌ^-1 _. ｝は、ｘ∈Ｘに
関して次の式を満たす。

【００３９】

【数１７】 Ｂｌ．はブラックボックスＢ，ｆｂ^-1. は証明書発行者
装置ＣＰ，Ｂｌ^-1 _. はユーザ装置Ｕまたはブラックボッ
クスＢ，ｆ．は任意の存在が計算する。以下では、この
署名系を利用した実施例１の拡張を述べる。 初期状態 ブラックボックスＢは鍵のペア（ｅ_B ⁰ ，ｄ_B ⁰ ）と、
これに対応してブラックボックスＢの正当性を証明する
証明書Ｃ₀ ，Ｍ_CP ⁰ を持つ。Ｃ₀ とＭ_CP ⁰ は両方で一つ
の証明書となる。これらについては後述参照。ユーザ装
置ＵはＣ₀ とＭ _CP ⁰ ，ｅ_B ⁰ のみを知っている。また、
証明書発行者装置ＣＰは自分の公開鍵ｅ _CPを公開してい
る。 証明書発行 証明書発行プロトコルは、実施例１において証明書Ｃ_y
を（Ｃ_y ，Ｍ_CP ^y ）へ、ｅ_CP ^l をｅ_CPへ置き換えたもの
とほぼ一致する。この処理の流れを図８に示す。各装置
の機能構成は実施例１のそれとほぼ同一である。

【００４０】関数ｇ_B は、Ｘ→Ｘとなる一方向性関数。
ｇ_CPは、Ｍ_CP∈Ｍ×Ｍ×…Ｍ、ｍ∈Ｍとした場合、
ｇ_CP：Ｍ×Ｍ×…Ｍ→Ｍとなる一方向性関数である。 （１）ユーザはユーザ装置より既存の『Ｂは正当であ
る』ことを保証する証明書から適当な証明書Ｃ_y を選
ぶ。Ｃ_y に対応したブラックボックスＢの鍵ｅ_B ^y（あ
るいはｙの値）と証明書発行者装置ＣＰの公開鍵ｅ_CPを
ブラックボックスＢに送る。ユーザ装置Ｕは今回の発行
において新しい鍵を用いるのかを決定する。鍵を再利用
する場合には、そのブラックボックスＢの公開鍵ｅ_B ⁱ
（あるいはｉの値）もブラックボックスＢに送る。

【００４１】（２）ブラックボックスＢは、これらを受
け取ると、鍵のペア（ｅ_B ⁱ ，ｄ_B ⁱ ）（ｉ＞０）と、
ｅ_CPと、乱数ｒから、以下の値Ｚ₃ を計算する。（１）
でユーザ装置Ｕがｅ_B ⁱ を送付しなかった場合、鍵ペア
はブラックボックスＢによって新しく作成される。ブラ
ックボックスＢは鍵ｄ_B ⁱ を誰にも公開しない。

【００４２】

【数１８】 ブラックボックスＢは、ｅ_B ^y に対応する秘密鍵ｄ_B ^y
を用いてＺ₃ の署名情報Ｚ₃ ^Byを計算し、Ｚ₃ ，
Ｚ₃ ^By，ｅ_B ⁱ ，ｒをユーザ装置Ｕに送る。ただし、Ｚ
₃ ^Byで用いる署名法は、ブラインド署名に対応しない通
常の方法でよい。 （３）ユーザ装置Ｕは、Ｚ₃ ，Ｚ₃ ^Byなどを受け取ると
証明書の発行を受ける為に必要な情報Ｍ_U を必要に応じ
て作成する。通常、Ｍ_U の内容は、発行される証明書の
内容に対応して、証明書発行者装置ＣＰがあらかじめ指
定している。ユーザ装置Ｕは、Ｚ₃ とＺ₃ ^By，Ｍ_U ，Ｃ
_y ，Ｍ_CP ^y ，ｅ_B ^y をＣＰに送る。

【００４３】（４）証明書発行者装置ＣＰは、これらを
受け取ると、Ｚ₃ の有効性を署名検証により検証しまた
ブラックボックスＢの正当性を検証する。ブラックボッ
クスＢの正当性は、ｆ_eCPy,gCP（Ｍ_CP ^y ）（Ｃ_y ）＝ｇ
_B （ｅ_B ^y ）が成り立つかを調べることによって行う。
ここで、ｅ_CPy は、Ｃ_y の発行者装置ＣＰ_y の公開鍵で
ある。検証に失敗すれば証明書は発行されず終了する。

【００４４】また、ＣＰはＭ_U の有効性を調べる。証明
書の発行が適切と認められた場合には、証明書発行者装
置ＣＰは、自分が保証する内容（文書）Ｍ_CPを決定し、
以下の値を計算する。証明書発行者装置ＣＰはそのＺ₄
とＭ_CPをユーザ装置Ｕに送る。

【００４５】

【数１９】 （５）ユーザ装置Ｕは、これらを受け取ると以下の値を
計算する。

【００４６】

【数２０】 ユーザ装置ＵはＭ_CPからｍを計算し、ｆ_eCP,m （Ｃ_j ）
＝ｇ_B （ｅ_B ⁱ ）が成り立つかを調べる。式（６）等に
より、正規の手順を踏んだ場合、上式が成り立つことは
明らかである。証明書の有効性が確認されれば、Ｃ_j ，
Ｍ_CP，ｅ_B ⁱ を新しい内容を保証する証明書として保管
する。 証明書提示 証明書の提示及び利用のプロトコルは以下のようにな
る。

【００４７】（１）ユーザ装置Ｕは資源管理者装置ＲＭ
に証明したい事項Ｍ_CPを決定し、Ｍ _CPと、これに対応し
た証明書Ｃ_x ，ｅ_B ^x を資源管理者装置ＲＭに提示す
る。Ｃ _x の発行者装置の鍵は公開されており、これをｅ
_CPとする。 （２）資源管理者装置ＲＭはｅ_CPよりｇ_B （ｅ_B ^x ）＝
ｆ_eCP,m （Ｃ_x ），ｍ＝ｇ_CP（Ｍ_CP）が成り立つかを調
べる。

【００４８】（３）資源管理者装置ＲＭは、既存の公開
鍵方式の認証手順を用いて、ブラックボックスＢがｅ_B
^x に対応する鍵ｅ_B ^x を持っているかどうかを検証す
る。この通信はユーザ装置Ｕを仲立ちとして行われる。
この検証に成功すれば、証明書発行者装置ＣＰがＭ_CPの
内容をユーザ装置Ｕに対して保証していることを、資源
管理者装置ＲＭは納得する。実施例３ 実施例１は、既存のブラインド署名可能な各種署名法、
及び公開鍵を用いた各種認証／署名手順を用いて容易に
実現可能である。この実現には前述の実施例１における
各式をそのまま対応する関数と置き換えればよく、この
実現方法は明らかである。よって、ここでは実施例１に
対しては具体例を述べない。

【００４９】実施例２に対しては、式（６）を満たす関
数が一般に広くは知られていないので、実現例を示す。
ただし、以下の実現例ではブラックボックスＢの認証及
び署名部分にFiat-Shamir 法を利用しているが、この部
分は他の任意の公開鍵を用いた認証／署名法に置き換え
ることが可能であることを注意しておく。 関数の定義 ここでの実現例では、ブラインド署名部分にＣｈａｕｍ
の提案したＲ．Ｓ．Ａを基盤とする方法を用い、ブラッ
クボックスＢの認証にはＦｉａｔらの提案した方式を用
いる。ただし、式（６）を満たすようにｆ．とｆｂ^-1.
は拡張してある。 拡張ブラインド署名法

【００５０】

【数２１】 ｍ^-1とｒ^-1は、Ｎとの最大公約数（ｍ，Ｎ）＝（ｒ，
Ｎ）＝１の時に容易に計算できる。（ｍ，Ｎ）≠１ある
いは（ｒ，Ｎ）≠１は、ｍあるいはｒがｐあるいはｑと
一致するときに起こり得るが、ｐとｑが十分に大きい場
合はこの可能性は無視してよい。上記の式は次のように
式（６）を満たす。

【００５１】

【数２２】 べき乗関数ｘ^e （mod Ｎ）は十分大きいＮとｅのもとで
一方向性を持つことが知られている。だが、式（１１）
の一方向性は完全なものでない。同一ｅ及びｄで既知複
数のｍとｘに対する計算結果が得られると、これを利用
して特殊なｆ_{e, m} を偽造することが計算上容易である。
このような選択文書攻撃（chosen-message attack ）を
避けるために、以下に述べる実現プロトコルでは、ｘが
ユーザ装置Ｕによって操作できないように工夫されてい
る。 ブラックボックスＢの署名と認証 ブラックボックスＢの署名及び認証には、既存の多くの
認証方式を適用できる。ここでは、既にＩＣカード等で
個人認証方式として利用されている、Fiat-Shamir 方式
を利用した方法を例に用いる。Fiat-Shamir 方式は、ゼ
ロ知識性という重要な特徴に加えて、単一公開情報で複
数の内容を証明することが可能なこと、また高速に実行
が可能であることなど大きな利点をもつ。ただし、この
方式の詳細についてはここでは説明しない。

【００５２】Fiat-Shamir 方式の最も提案となる方式で
は、以下の公開情報と秘密情報を定めている。 一方向性関数ｇ_B とｇ_CP 一方向性関数ｇ_B とｇ_CPは、各々既存の適当な任意の関
数を割り当てることができる。ＭＤ５やＳＨＡ−１の
他、秘密鍵暗号方式ＤＥＳやＦＥＡＬを用いてこれらを
実現することも容易である。ここでは、この部分につい
ては具体例を定めず説明を行う。 初期状態 ブラックスボックスＢは鍵のペア（（ｎ_B ⁰ ，
Ｉ_B ⁰ ），ｓ_B ⁰ ）と証明書Ｃ ₀ ，Ｍ_CP ⁰ ，ｃ₀ を持
つ。これらはブラックボックスＢの製造者によってあら
かじめ与えられる。Fiat-Shamir 方式の特徴より、ｎ_B
⁰ は全てのブラックボックスＢで同一でよい。従って、
Ｉ_B ⁰ をブラックボックスＢの製造番号等とする場合、
ブラックボックスＢにはあらかじめｓ_B ⁰ を埋め込むだ
けでよい。Ｃ₀ 等は後から発行することができる。ｃ₀
の役割については後述参照。ユーザ装置Ｕは、
（ｎ_B ⁰ ，Ｉ_B ⁰ ）とＣ₀ ，Ｍ_CP ⁰ ，ｃ₀ を知ってい
る。

【００５３】各証明書発行者装置ＣＰは公開鍵（ｅ_CP，
Ｍ_CP）を公開している（Ｎ_CPは証明書は発行者装置ＣＰ
が使用するＮのこと）。各証明書発行者装置ＣＰは空の
発行済リストＬ_CPを持つ。証明書発行者装置ＣＰは証明
書を発行する度に、ユーザ装置Ｕに提示されたＺ₅ （下
記参照）を発行済リストＬ_CPに登録する。登録期間は最
大Ｔ_CP ^max で、古くなったＺ₅ は消去してよい。証明書
発行者装置ＣＰはＴ_CP ^max を公開している。 証明書発行 （１）ユーザ装置ＵはブラックボックスＢの正当性を保
証する適当な証明書を選び、対応する鍵（ｎ_B ^y ，Ｉ_B
^y ）（あるいはｙ）と証明書発行者装置ＣＰの鍵
（ｅ_CP，Ｎ_CP）をブラックボックスＢに送る。ユーザ装
置Ｕは、証明書発行者装置ＣＰに発行を申請する時刻Ｔ
を決定し、Ｔ_S ＜Ｔ＜Ｔ_e かつＴ_e −Ｔ _S ＜Ｔ _CP ^max と
なるＴ_S 及びＴ_e を選び、これをブラックボックスＢに
送る。

【００５４】また発行に既存の鍵を利用する場合は（ｎ
_B ⁱ ，Ｉ_B ⁱ ）（あるいはｉ）をブラックボックスＢに
送る。 （２）ブラックボックスＢは、ｎ_B ⁱ ，Ｉ_B ⁱ を受け取
ると鍵のペア（（ｎ_B ⁱ ，Ｉ_B ⁱ ），ｓ_B ⁱ ）（ｉ＞
０）と、乱数ｒ，ｃ_j から、以下の値を計算する。即ち
ブラインド回数値を計算する。（１）でユーザ装置Ｕが
（ｎ_B ⁱ ，Ｉ_B ⁱ）を送付しなかった場合、鍵ペアはブ
ラックボックスＢによって新しく作成される。ここで‖
は結合を表す。

【００５５】

【数２３】 ｃ_j は、ｇ_B への入力を常に異なることを保証するため
にあるので、実際にはブラックボックスＢごとのカウン
タでもよい。ブラックボックスＢはｓ_B ^y を用いて、
（Ｚ₅ ‖Ｔ_s ‖Ｔ_e ）に対する署名情報Ｚ₅ ^Byを作成
し、Ｚ₅ ，Ｚ₅ ^By，（ｎ_B ⁱ ，Ｉ_B ⁱ ），ｒ，ｃ_j をユ
ーザ装置Ｕに送る。ここで利用する署名法は、Fiat-Sha
mir 方式である。

【００５６】（３）ユーザ装置Ｕは、Ｚ₅ ，Ｚ₅ ^Byなど
を受け取ると、証明書の発行を受ける為に必要な情報Ｍ
_U を必要に応じて作成する。ユーザ装置Ｕは、Ｚ₅ ，Ｚ
₅ ^By，Ｔ_s ，Ｔ_e ，Ｍ_U ，Ｃ_y ，Ｍ_CP ^y ，ｃ_y ，（ｎ_B
^y ，Ｉ_B ^y ）を証明書発行者装置ＣＰに送る。 （４）証明書発行者装置ＣＰは、Ｚ₅ ，Ｚ₅ ^Byなどを受
け取ると、Ｚ₅ 及びＴ _s ，Ｔ_e の有効性とブラックボッ
クスＢの正当性を検証する。証明書発行者装置ＣＰの持
つ時計がＴ_s 時からＴ_e 時の範囲の時刻を示しているか
を確認する。時間外であれば証明書は発行されない。ま
た、Ｚ₅ が発行済リストＬ_CPに登録されていないことも
確認する。証明書発行者装置ＣＰはＭ_U の有効性も調べ
る。

【００５７】証明書の発行が適切と認められた場合に
は、証明書発行者装置ＣＰはＺ₅ をＬ _CPに加え、自分が
保証する内容（文書）Ｍ_CPを決定して以下の値を計算す
る。即ち署名生成関数値を計算する証明書発行者装置Ｃ
ＰはそのＺ₆ とＭ_CPをユーザ装置Ｕに送る。

【００５８】

【数２４】 （５）ユーザ装置Ｕは、Ｚ₆ を受け取ると、以下の値を
計算する。即ちブラインド解凍関数値を求める。 Ｃ_j ＝ｒ^-1（Ｚ₆ ）（mod Ｎ_CP） （19） ユーザ装置ＵはＭ_CP等からｍ^-1（Ｃ_j ）^eCP ＝ｇ_B （ｎ
_B ⁱ ‖Ｉ_B ⁱ ‖ｃ_j ）（mod Ｎ_CP）が成り立つかを調
べ、つまり署名検証式を満すかを調べて、Ｃ_j の有効性
を検証する。有効性が確認されれば、Ｃ_j ，Ｍ_CP，
ｃ_j ，（ｎ_B ⁱ ，Ｉ_B ⁱ ）を新しい内容を保証する証明
書として保管する。 証明書提示 証明書の提示及び利用のプロトコルは以下のようにな
る。

【００５９】（１）ユーザ装置Ｕは証明したい事項Ｍ_CP
を決定し、Ｍ_CPと、これと対となったＣ_x ，ｃ_x ，（ｎ
_B ^x ，Ｉ_B ^x ）を資源管理者装置ＲＭに提示する。 （２）資源管理者装置ＲＭはｅ_CPとＮ_CP、ユーザ装置Ｕ
よりの情報からｇ_B （ｎ_B ^x ‖Ｉ_B ^x ‖ｃ_x ）＝ｍ
^-1（Ｃ_x ）^ecp （mod Ｎ_CP）が成り立つかを調べ、つま
り署名検証式を満すかを調べる。

【００６０】（３）資源管理者装置ＲＭは、Fiat-Shami
r 方式の認証手順を用いて、ブラックボックスＢがｎ_B
^x とＩ_B ^x に対応する鍵ｓ_B ^x を持っているかどうかを
検証する。この通信はユーザ装置Ｕを仲立ちとして行わ
れる。ただし、Fiat-Shamir方式の詳細はここでは割愛
する。この検証に成功すれば、証明書発行者装置ＣＰが
Ｍ_CPの内容をユーザ装置Ｕに対して保証していること
を、資源管理者装置ＲＭは納得する。なお上述における
各装置はコンピュータによりプログラムを読み出し、解
読実行させることに各機能を行わせることもできる。

【００６１】

【発明の効果】以上説明したように、この発明の方法お
よび装置によれば、次の効果が得られる。 （１）資源管理者装置ＲＭが要求する情報以外の個人情
報が漏洩しない。 （２）任意の数の証明書発行者装置ＣＰと資源管理者装
置ＲＭが結託しても、ユーザ（装置）の行動履歴の全貌
は把握できない。また、行動が把握される可能性のある
範囲は、ユーザ（装置）自身が決定できる。

【００６２】（３）権利証明書は何度でも使用すること
ができる。 （４）正規のブラックボックスを有しないユーザ装置
は、権利証明書を利用できない。 （５）証明書発行者装置ＣＰは任意の内容の任意個数の
情報を証明できる。

【図面の簡単な説明】

【図１】ユーザプロファイルの例を示す図。

【図２】ブラックボックスとユーザ装置と証明書発行者
装置と資源管理者装置との通信を示す図。

【図３】実施例１における証明書発行手順を示す図。

【図４】実施例１におけるブラックボックスの機能構成
を示す図。

【図５】実施例１におけるユーザ装置の機能構成を示す
図。

【図６】実施例１における証明書発行者装置の機能構成
を示す図。

【図７】実施例１における資源管理者装置の機能構成を
示す図。

【図８】実施例２における証明書発行手順を示す図。

【図９】この発明が対象としているシステム構成例を示
す図。

【手続補正書】

【提出日】平成１１年２月１９日（１９９９．２．１
９）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】請求項１０

【補正方法】変更

【補正内容】

【数８】 を演算する手段であり、 上記署名検証手段は、上記公開鍵ｅ_CPを用いてブライン
ド解凍関数値Ｃ_j に対し署名検証関数値ｆ_eCP （Ｃ_j ）
を計算する署名検証関数器と、公開鍵ｅ_B ⁱ に対し一方
向性関数値ｇ_B （ｅ_B ⁱ ）を計算する一方向性関数器
と、署名検証関数値ｆ_eCP （Ｃ_j ）と一方向性関数値ｇ
_B （ｅ_B ⁱ ）を比較し、一致なら合格とする比較器とよ
りなることを特徴とする請求項９記載のユーザ装置。

【手続補正２】

【補正対象書類名】明細書

【補正対象項目名】請求項１７

【補正方法】変更

【補正内容】

───────────────────────────────────────────────────── フロントページの続き (72)発明者 曽根岡 昭直 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 Ｆターム(参考） 5B017 AA06 AA07 BA05 BA07 BA09 BB03 CA14 CA16 5B082 AA11 EA07 EA11 EA12 GA02 GC05 5J104 AA09 LA03 LA08 NA02 PA07

Claims (19)

【特許請求の範囲】
1. 【請求項１】 ユーザ装置がブラックボックスと証明書
   発行者装置とに結合され、ブラックボックスは誰にも引
   き出すことができない秘密鍵を記憶したメモリを備え、 証明書発行時に、ユーザ装置は証明書発行者装置の公開
   鍵をブラックボックスへ送り、 ブラックボックスはブラックボックスの公開鍵ｅ_B ⁱ に
   対してブラインド処理を行い、その結果と公開鍵ｅ_B ⁱ
   をユーザ装置に返し、 ユーザ装置は上記ブラインド処理の結果、公開鍵ｅ_B ⁱ
   を証明書発行者装置へ送り、 証明書発行者装置は、受け取ったブラインド処理結果に
   対し証明書発行者装置の秘密鍵で署名処理を施し、その
   署名処理の結果をユーザ装置に返し、 ユーザ装置は、受け取った署名処理の結果に対し、ブラ
   インド解凍処理を行い、その解凍処理結果に対し公開鍵
   ｅ_B ⁱ を用いて、署名検証を行い、その検証に合格する
   と、上記解凍処理結果と公開鍵ｅ_B ⁱ を権利証明書とす
   ることを特徴とする権利証明書実現方法。
2. 【請求項２】 ユーザ装置は上記権利証明書を資源管理
   者装置へ送り、 資源管理者装置は受け取った権利証明書に対し、署名検
   証を行い、その検証に合格すると、公開鍵方式の認証手
   順を用いてブラックボックスが上記権利証明書の公開鍵
   ｅ_B ⁱ に対応する秘密鍵を持っているかの確認をユーザ
   装置を仲介して行い、この検証に成功すれば、その権利
   証明書の正当性を認めることを特徴とする請求項１記載
   の権利証明書実現方法。
3. 【請求項３】 ユーザ装置は証明書発行者装置の公開鍵
   として、発行して欲しい証明書と対応した公開鍵ｅ_CP ^l
   をブラックボックスへ送り、 ブラックボックスの上記ブラインド処理は、乱数ｒを生
   成し、公開鍵ｅ_B ⁱ に対し、一方向性関数値ｇ_B （ｅ_B
   ⁱ ）を求め、ブラインド関数値 【数１】 を求めることであり、 ブラックボックスはｒもユーザ装置へ送り、 証明書発行者装置の上記署名処理は、公開鍵ｅ_CP ^l と対
   をなす秘密鍵ｄ_CP ^l を用いてＺ₁ に対し署名生成関数値 【数２】 を求めることであり、 ユーザ装置の上記ブラインド解凍処理は、ｅ_CP ^l ，ｒを
   用いてＺ₂ に対しブラインド解凍関数値 【数３】 を求めることであり、 上記解凍処理結果に対する署名検証は、ｅ_CP ^l を用いて
   Ｃ_j に対し署名検証関数値 【数４】 を求め、かつｅ_B ⁱ に対し一方向性関数値ｇ
   _B （ｅ_B ⁱ ）を求め、これらが等しいかを調べることで
   あることを特徴とする請求項１又は２記載の権利証明書
   実現方法。
4. 【請求項４】 ユーザ装置は既存の権利証明書の一つＣ
   _y と対応した公開鍵ｅ_B ^y の情報もブラックボックスへ
   送り、 ブラックボックスはｅ_B ^y と対をなす秘密鍵ｄ_B ^y を用
   いてＺ₁ の署名情報Ｚ ₁ ^Byを作成し、Ｚ₁ ^Byもユーザ装
   置へ送り、 ユーザ装置はＺ₁ ^By，Ｃ_y ，ｅ_B ^y も証明書発行者装置
   へ送り、 証明書発行者装置はＺ₁ の有効性Ｚ₁ ^Byを用いて確認
   し、かつ、Ｃ_y の証明書発行者装置のＣ_y に対応する公
   開鍵ｅ_CPy を用いてＣ_y に対し署名検証関数値ｆ
   _eCPy（Ｃ_y ）を求め、またｅ_B ^y に対し一方向性関数値
   ｇ_B （ｅ_B ^y ）を求め、これらが等しいかを調べて、Ｚ
   ₁ ^Byの署名鍵ｄ_B ^y の正当性を確認し、これらの検証に
   合格すると署名生成処理を行うことを特徴とする請求項
   ３記載の権利証明書実現方法。
5. 【請求項５】 ブラックボックスの上記ブラインド処理
   は、乱数ｒを生成し、公開鍵ｅ_B ⁱ に対し一方向性関数
   値ｇ_B （ｅ_B ⁱ ）を求め、その値に対し、証明書発行者
   装置の公開鍵ｅ_CPと乱数ｒを用いてブラインド関数値 【数５】 を求めることであり、 ブラックボックスはｒもユーザ装置へ送り、 証明書発行者装置の上記署名処理は、自分が保証する内
   容Ｍ_CPに対し一方向性関数値ｍ＝ｇ_CP（Ｍ_CP）を求め、
   ｅ_CPと対をなす秘密鍵ｄ_CPとｍを用いてＺ₃ に対して署
   名生成関数値 【数６】 を求めることであり、 証明書発行者装置はＭ_CPもユーザ装置へ送り、 ユーザ装置の上記解凍処理は、ｅ_CP，ｒを用い、Ｚ₄ に
   対しブラインド解凍関数値 【数７】 を求めることであり、 上記解凍処理結果に対する署名検証は、Ｍ_CPに対し一方
   向性関数値ｍ＝ｇ_CP（Ｍ_CP）を求め、ｍとｅ_CPを用いて
   Ｃ_j に対して署名検証関数値ｆ_eCP,m （Ｃ_j ）を求め、
   かつｅ_B ⁱ に対し一方向性関数値ｇ_B （ｅ_B ⁱ ）を求
   め、これらが等しいかを調べることであることを特徴と
   する請求項１又は２記載の権利証明書実現方法。
6. 【請求項６】 ユーザ装置は既存の権利証明書の一つＣ
   _y と対応した公開鍵ｅ_B ^y の情報もブラックボックスへ
   送り、 ブラックボックスはｅ_B ^y と対をなす秘密鍵ｄ_B ^y を用
   いてＺ₃ の署名情報Ｚ ₃ ^Byを作成し、Ｚ₃ ^Byもユーザ装
   置へ送り、 ユーザ装置はＺ₃ ^By，ｅ_B ^y ，Ｃ_y ，ｃ_y と対応した情
   報Ｍ_CP ^y も証明書発行者装置へ送り、 証明書発行者装置は、Ｚ₃ の有効性をＺ₃ ^Byを用いて確
   認し、かつＭ_CP ^y に対し一方向性関数値ｍ^y ＝ｇ_CP（Ｍ
   _CP ^y ）を求め、Ｃ_y の証明書発行者装置の公開鍵ｅ_CPy
   と、ｍ^y を用いてＣ_y に対し署名検証関数値ｆ_eCPy,m ^y
   （Ｃ_y ）を求め、またｅ_B ^y に対し一方向性関数値ｇ_B
   （ｅ_B ^y ）を求め、これらが等しいかを調べて、Ｚ₃ ^By
   の署名鍵ｄ_B ^y の正当性を確認し、これら検証に合格す
   ると署名生成処理を行うことを特徴とする請求項５記載
   の権利証明書実現方法。
7. 【請求項７】 秘密鍵ｄ、公開鍵ｅとし、Ｎ＝ｐ×ｑ
   （ｐ，ｑ素数）をｅ，ｄに対応する公開情報、ｅ×ｄ
   （mod ＬＣＭ（ｐ−１，ｑ−１））＝１（ＬＣＭ（ａ，
   ｂ）は整数ａ，ｂの最小公倍数を表わす）、ｘ＜Ｎでｘ
   ^de＝ｘ（mod Ｎ）とし、秘密情報ｓ、公開情報Ｉ＝ｓ²
   （mod ｎ）、ｎ＝ｐ×ｑ、Ｉ（任意の識別情報）とし、 上記公開鍵ｅ_CPとして（ｅ_CP，Ｎ_CP）が用いられ、 秘密鍵ｄ_B ⁱ として、ｓ_B ⁱ が、公開鍵ｅ_B ⁱ として
   （ｎ_B ⁱ ，Ｉ_B ⁱ ）が用いられ、 ブラックボックスは乱数ｃ_j も生成し、上記ブラインド
   関数値Ｚ₃ はｒ^ecp ｇ _B （ｎ_B ⁱ ‖Ｉ_B ⁱ ‖ｃ_j ）（mo
   d Ｎ_CP）であり、（ａ‖ｂはａとｂの結合を表わす）、
   ｃ_j もユーザ装置へ送り、 上記署名生成関数Ｚ₄ は（ｍＺ₃ ）^dCP （mod Ｎ_CP）で
   あり、上記ブラインド解凍関数値Ｚ_j はｒ^-1（Ｚ₄ ）
   （mod Ｎ_CP）であり、 上記署名検証関数値はｍ^-1（Ｃ_j ）^eCP （mod Ｎ_CP）で
   あり、これと比較する一方向性関数値はｇ_B （ｎ_B ⁱ ‖
   Ｉ_B ⁱ ‖ｃ_j ）（mod Ｎ_CP）であり、権利証明書にＣ_j
   も加えることを特徴とする請求項５記載の権利証明書実
   現方法。
8. 【請求項８】 ユーザ装置は証明書発行者装置に証明書
   発行を申請する時刻Ｔに対しＴ_s ＜Ｔ＜Ｔ_e かつＴ_e −
   Ｔ _s ＜登録期間最大値Ｔ_CP ^max を満すＴ_s ，Ｔ_e もブラ
   ックボックスへ送り、またブラックボックスの正当性を
   保証する証明書の一つＣ_y と対応する公開鍵（ｎ_B ^y ，
   Ｉ_B ^y ）と対応する情報もブラックボックスへ送り、 ブラックボックスは（ｎ_B ^y ，Ｉ_B ^y ）と対をなす秘密
   鍵ｓ_B ^y で（Ｚ₃ ‖Ｔ _s ‖Ｔ_e ）に対する署名情報Ｚ₅
   ^Byを作成し、Ｚ₅ ^Byもユーザ装置へ送り、 ユーザ装置はＺ₅ ^By，Ｔ_s ，Ｔ_e ，Ｃ_y ，Ｍ_CP ^y ，
   ｃ_y ，（ｎ_B ^y ，Ｉ_B ^y ）も証明書発行者装置へ送り、 証明書発行者装置はＺ₃ ，Ｔ_s ，Ｔ_e の有効性をＺ₅ ^By
   を用いて確認し、またブラックボックス（ｓ_B ^y ）の正
   当性をＭ_CP ^y ，（ｎ_B ^y ，Ｉ_B ^y ），Ｃ_y ，ｃ _y の証明
   書発行者装置の公開鍵（ｎ_CP ^y ，Ｉ_CP ^y ）を用いて確認
   し、証明書発行者装置の時計の時刻がＴ_s とＴ_e の間で
   あることを確認し、Ｚ₃ が発行済リストに登録されてい
   ないことを確認し、これらの確認に全て合格すると上記
   署名生成処理を行い、かつＺ₃ を発行済リストに加える
   ことを特徴とする請求項７記載の権利証明書実現方法。
9. 【請求項９】 証明書発行者装置に権利証明書を発行し
   てもらうユーザ装置であって、 各種公開鍵、権利証明書のリストを記憶するメモリと、 入力操作手段と、 証明書発行時に、証明書発行者装置の公開鍵を、そのユ
   ーザ装置ごとのブラックボックスへ送る手段と、 ブラックボックスより返送されたブラックボックスの公
   開鍵ｅ_B ⁱ 及び乱数ｒをメモリに記憶すると共にそのｅ
   _B ⁱ に対するブラインド処理した結果を証明書発行者装
   置へ送る手段と、 証明書発行者装置から返送された署名処理した結果に対
   しブラインド解凍処理を行うブラインド解凍手段と、 そのブラインド解凍処理結果Ｃ_j が署名検証式を満すか
   検証する署名検証手段と、 その署名検証に合格すると、そのブラインド解凍処理結
   果Ｃ_j と上記公開鍵ｅ _B ⁱ を権利証明書として上記メモ
   リへ格納する手段とを具備するユーザ装置。
10. 【請求項１０】 上記ブラインド解凍手段は、署名処理
    結果Ｚ₂ に対し、証明書発行者装置の上記公開鍵ｅ_CP、
    上記乱数ｒを用いてブラインド解凍関数値 【数８】 を演算する手段であり、 上記署名検証手段は、上記公開鍵ｅ_CPを用いてブライン
    ド解凍関数値Ｃ_j に対し署名検証関数値ｆ_eCP （Ｃ_j ）
    を計算する署名検証関数器と、公開鍵ｅ_B ⁱ に対し一方
    向性関数値ｇ_B （ｅ_B ⁱ ）を計算する一方向性関数器
    と、署名検証関数値ｆ_eCP （Ｃ_j ）と一方向性関数値ｇ
    _B （ｅ_B ⁱ ）を比較し、一致なら合格とする比較器とよ
    りなることを特徴とするユーザ装置。
11. 【請求項１１】 証明書発行者装置に権利証明書を発行
    してもらうユーザ装置ごとに設けられるブラックボック
    スであって、 ユーザ装置から権利証明書発行のための証明書発行者装
    置の公開鍵ｅ_CPを受け取ると、秘密鍵ｄ_B ⁱ と公開鍵ｅ
    _B ⁱ の対を生成する鍵生成手段と、 乱数ｒを生成する乱数生成手段と、 上記公開鍵ｅ_B ⁱ に対し、上記公開鍵ｅ_CP、乱数ｒを用
    いてブラインド処理を行うブラインド処理手段と、 公開鍵ｅ_B ⁱ 、乱数ｒ、ブラインド処理結果Ｚ₁ をユー
    ザ装置へ送る手段と、 秘密鍵ｄ_B ⁱ を外部から読み出すことができないように
    格納するメモリと、 を具備するブラックボックス。
12. 【請求項１２】 上記ブラインド処理手段は、ｅ_B ⁱ に
    対して一方向性関数値ｇ_B （ｅ_B ⁱ ）を計算する一方向
    性関数器と、ｇ_B （ｅ_B ⁱ ）に対しｅ_CP，ｒを用いてブ
    ラインド関数値Ｂｌ_eCP,r （ｇ_B （ｅ_B ⁱ ））を計算す
    るブラインド関数器とよりなることを特徴とする請求項
    １１記載のブラックボックス。
13. 【請求項１３】 ユーザ装置から受け取った公開鍵ｅ_B
    ^y と対をなす秘密鍵ｄ_B ^y を用いてＺ₁ の署名情報Ｚ₁
    ^Byを求める署名生成手段を備え、 上記送る手段はＺ₁ ^Byをも送る手段であることを特徴と
    する請求項１１又は１２記載のブラックボックス。
14. 【請求項１４】 資源管理者装置との間で、ユーザ装置
    を介して、ブラックボックスがｅ_B ⁱ と対応する秘密鍵
    ｄ_B ⁱ を保持していることの公開鍵方式の認証手順を実
    行する認証手段を備えることを特徴とする請求項１１乃
    至１３の何れかに記載のブラックボックス。
15. 【請求項１５】 ユーザ装置からの依頼により権利証明
    書を発行する証明書発行者装置であって、 秘密鍵、公開鍵などを記憶するメモリと、 ユーザ装置から受け取ったブラインド処理結果Ｚ₁ に対
    し、証明書発行者装置の秘密鍵で署名を行う署名手段
    と、 その署名結果Ｚ₂ をユーザ装置へ送る手段とユーザ装置
    から受け取ったＺ₁ とその署名情報Ｚ₁ ^ByからＺ₁ の有
    効性を検証する署名検証手段と、 ユーザ装置から受け取った権利証明書Ｃ_y に対し、その
    証明書発行者装置のＣ _y と対応する公開鍵ｅ_CPy を用い
    て署名検証関数値ｆ_eCPy（Ｃ_y ）を計算する署名検証関
    数器と、 ユーザ装置から受け取ったＣ_y と対応する公開鍵ｅ_B ⁱ
    に対し一方向性関数値ｇ_B （ｅ_B ⁱ ）を計算する一方向
    性関数器と、 計算値ｆ_eCPy（Ｃ_y ）とｇ_B （ｅ_B ⁱ ）を比較して等し
    ければ合格とする比較器と、 上記署名検証手段が検証に合格し、かつ上記比較器が合
    格すると上記署名を行わせる手段と、 を具備することを特徴とする証明書発行者装置。
16. 【請求項１６】 上記署名手段は、証明書発行者装置が
    保証する内容Ｍ_CPに対し一方向性関数値ｍ＝ｇ
    _CP（Ｍ_CP）を計算する一方向性関数器と、上記ブライン
    ド処理結果Ｚ₁ に対し、証明書発行者装置の秘密鍵ｄ_CP
    と上記ｍを用いて署名生成関数値 【数９】 を計算する署名生成関数器とよりなり、 上記送る手段はＭ_CPも送ることを特徴とする請求項１５
    記載の証明書発行者装置。
17. 【請求項１７】 ユーザ装置からの依頼により権利証明
    書を発行する証明書発行者装置であって、 秘密鍵、公開鍵などを記憶するメモリと、 ユーザ装置から受け取ったブラインド処理結果Ｚ₁ に対
    し、証明書発行者装置の秘密鍵で署名を行う署名手段
    と、 その署名結果Ｚ₂ をユーザ装置へ送る手段とユーザ装置
    から受け取ったＺ₁ とその署名情報Ｚ₁ ^ByからＺ₁ の有
    効性を検証する署名検証手段と、 ユーザ装置から受け取ったＭ_CP ^y に対し一方向性関数値
    ｍ^y ＝ｇ_CP（Ｍ_CP ^y ）を計算する一方向性関数器と、 Ｃ_y の証明書発行者装置の公開鍵ｅ_CPy,m ^y を用いてＣ
    _y に対し署名検証関数値ｆ_eCPy, _m ^y （Ｃ_y ）を計算す
    る署名検証関数器と、 ユーザ装置から受け取ったｅ_B ^y に対し一方向性関数値
    ｇ_B （ｅ_B ^y ）を計算する一方向性関数器と、 上記計算値ｆ_eCPy, _m ^y （Ｃ_y ）とｇ_B （ｅ_B ^y ）とを
    比較する比較器と、 上記署名検証手段の検証が合格し、かつ上記比較器の比
    較が一致であれば上記署名を実行させる手段とを具備す
    ることを特徴とする請求項１６記載の証明書発行者装
    置。
18. 【請求項１８】 ユーザ装置から送られた権利証明書Ｃ
    _j ，ｅ_B ⁱ を検証する資源管理者装置であって、 公開鍵を記憶するメモリと、 上記権利証明書の証明書発行者装置のＣ_j と対応する公
    開鍵ｅ_CP ^m を用いてＣ _j に対し、署名検証関数値ｆ_eCP
    ^m （Ｃ_j ）を計算する署名検証関数器と、 上記ｅ_B ⁱ に対し一方向性関数値ｇ_B （ｅ_B ⁱ ）を計算
    する一方向性関数器と、 上記計算値ｆ_eCP ^m （Ｃ_j ）とｇ_B （ｅ_B ⁱ ）を比較し
    て一致すれば合格を出力する比較器と、 ユーザ装置ごとのブラックボックスが上記ｅ_B ⁱ と対応
    した秘密鍵ｄ_B ⁱ を秘密に保持していることを、公開鍵
    方式の認証手順によりユーザ装置を仲介として確認する
    認証手段と、 上記比較器が合格を出力し、かつ上記認証手段が検証に
    成功すれば、証明書発行者装置がｅ_CP ^m に対応する内容
    を保証していると判定する手段とを具備することを特徴
    とする資源管理者装置。
19. 【請求項１９】 ユーザ装置から送られた権利証明書Ｃ
    _j ，Ｍ_CP，ｅ_B ⁱ を検証する資源管理者装置において、 公開鍵を記憶するメモリと、 上記Ｍ_CPに対し一方向性関数値ｍ＝ｇ_CP（Ｍ_CP）を計算
    する一方向性関数器と、 上記Ｃ_j の証明書発行者装置の公開鍵ｅ_CPと上記ｍとを
    用い、Ｃ_j に対し署名検証関数値ｆ_eCP,m （Ｃ_j ）を計
    算する署名検証関数器と、 上記ｅ_B ⁱ に対して一方向性関数値ｇ_B （ｅ_B ⁱ ）を計
    算する一方向性関数器と、 上記計算値ｆ_eCP,m （Ｃ_j ）とｇ_B （ｅ_B ⁱ ）を比較し
    て一致すれば合格を出力する比較器と、 ユーザ装置ごとのブラックボックスが上記ｅ_B ⁱ と対応
    した秘密鍵ｄ_B ⁱ を秘密に保持していることを、公開鍵
    方式の認証手順によりユーザ装置を仲介して確認する認
    証手段と、 上記比較器が合格を出力し、かつ上記認証手段が検証に
    成功すれば、上記権利証明書のＭ_CPの内容を証明書発行
    者装置が保証していると判定する手段と、 を具備することを特徴とする資源管理者装置。