JP2004104172A - Structure of electronic signature, method and system for verifying information therewith - Google Patents

Abstract

<P>PROBLEM TO BE SOLVED: To provide a structure of electronic signatures capable of warranting information quantitative security without being restricted with respect to the subject of a message space to be signed. <P>SOLUTION: This structure is realized by a structure of electronic signatures having a combination of α=[r<SB>i</SB>, α'<SB>il</SB>-α'<SB>i¾Fri¾</SB>] of a random number r<SB>i</SB>generated so as to be different depending on each user U<SB>i,</SB>and an arithmetic value α'<SB>ij</SB>=f(m, l<SB>ij</SB>) (j=1-¾F<SB>ri</SB>¾) by an identifier generating/verifying algorithm between an aggregation F<SB>ri</SB>=[l<SB>il</SB>to l<SB>i¾Fri¾</SB>] corresponding to the random number r<SB>i</SB>in (n, t, k)-Cover Free Family[L, F<SB>1</SB>to F<SB>n</SB>] and message information (m). <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は、電子投票や電子アンケート等において用いることのできる電子署名の構造に係り、詳しくは、所定のグループに所属する複数のユーザのそれぞれの端末において生成されたメッセージ情報ｍに対して付加されるべき電子署名の構造に関する。
【０００２】
また、本発明は、所定のグループに属する複数のユーザのそれぞれの端末において生成された署名付き情報が当該所定のグループに所属する何れかのユーザにて生成されたものであることの検証を行う署名付き情報検証方法及びシステムに関する。
【０００３】
【従来の技術】
例えば、あるグループに所属するユーザを対象とした電子投票や電子アンケートなどを行うシステムでは、確実にそのグループに所属するユーザの投票や回答であることが保障されることや、投票や回答したユーザが特定できないこと、いわゆる、匿名性が確保されることが要求される場合がある。
【０００４】
このようなシステムでは、例えば、あるグループに所属する複数のユーザに対して共通の秘密情報を付与しておき、各ユーザはその共通の秘密情報を用いた署名付きの投票や回答を行う。そして、各ユーザの匿名性を確保した状態で、その投票や回答がそのグループに所属する正規のユーザからなされたものであることを確認することができる。
【０００５】
しかし、上述のようなシステムでは、各ユーザに対して共通の秘密情報が付与されるために、ユーザがそのグループを脱退するなど、ユーザがその秘密情報を使用する必要がなくなった状況が発生する毎に、その秘密情報を無効にしなければならない。また、グループに所属する全てのユーザに対して共通の秘密情報を付与することから、十分な安全性を確保することが比較的難しい。このような問題を解決するため、近年、グループ署名という技術が提案されている。
【０００６】
グループ署名の場合、素因数分解や離散対数問題の計算が計算量的に不可能であるということを前提とした安全性確保（計算量的に安全）の手法がとられている。即ち、現在考えられるどのような高性能のコンピュータでも、現実的な時間内で秘密情報等の解読ができないことを保障している。
【０００７】
しかし、現在、計算量的に安全であることが保障し得ていても、今後、コンピュータの性能向上などにより、その安全性を十分保障し得るものとはならない。
【０００８】
このような問題を解決するため、特願２００１−３４７９９８においては、長期的な安全性の確保に主眼をおいた、いわゆる、計算量的な安全の仮定をおかない手法が提案されている。
【０００９】
【発明が解決しようとする課題】
しかしながら、この特願２００１−３４７９９８では、有限体上の多項式を用いた手法となっており、署名の対象となるメッセージ空間の大きさがユーザの総数以上でなければならないという制約が存在する。このような制約はできるだけ少ないことが望ましい。
【００１０】
そこで、本発明の第１の課題は、署名の対象となるメッセージ空間のサイズに関し制約を受けることなく、情報量的安全性を保障し得る電子署名の構造を提供することである。
【００１１】
また、本発明の第２の課題は、メッセージ情報にそのような電子署名がなされて生成される署名付き情報の検証方法及びシステムを提供することである。
【００１２】
【課題を解決するための手段】
上記第１の課題を解決するため、本発明は請求項１に記載されるように、所定のグループに属する複数のユーザのそれぞれＵ_ｉ（ｉ＝１，・・・，ｎ）の端末において生成されたメッセージ情報ｍに対して付加されるべき電子署名の構造において、上記各ユーザＵ_ｉに対応させてそれぞれ異なるように生成された乱数ｒ_ｉと、（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の上記乱数ｒ_ｉに対応する集合Ｆ_ｒｉ＝｛ｌ_ｉ１，・・・，ｌ_{ｉ｜Ｆｒｉ｜}｝とメッセージ情報ｍとの認証子生成・検証アルゴリズムによる演算の値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）との組α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を有する。
【００１３】
このような電子署名の構造では、電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝、メッセージ情報ｍ及び乱数ｒ_ｉが悪意の第三者に取得されたとしても、全てのｊ（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）に対して生成された値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）の組み合わせは無数に存在するため、電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を構成する値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）を特定することができない。従って、悪意の第三者が所定のグループに所属するユーザに成りすますことはできない。また、（ｎ，ｔ，ｋ）−ＣｏｖｅｒＦｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝の採用により、署名の対象となるメッセージ空間の大きさがユーザの総数以上でなければならないという制約が存在しない。
【００１４】
ここで、（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝とは、元の数がｔであるような集合Ｌに対し、集合Ｆ_ｉ（ｉ＝１，・・・，ｎ）のそれぞれは部分集合であり、且つ、｛ｉ＝１，２，・・・，ｎ｝の中から選ばれた任意の｛ｉ０，ｉ２，・・・，ｉｋ｝に対して、集合Ｆ_ｉｏがＦ_ｉ１からＦ_ｉｋの和集合の部分集合にはならないものをいう。なお、ＣｏｖｅｒＦｒｅｅ　Ｆａｍｉｌｙについては、「Ｐ．Ｅｒｄｏｓ，　Ｐ．Ｆｒａｎｋｉ　ａｎｄ　Ｚ．Ｆｕｒｅｄｉ著，「ａｍｉｌｉｅｓ　ｏｆ　ｆｉｎｉｔｅ　ｓｅｔｓ　ｉｎ　ｗｈｉｃｈ　ｎｏ　ｓｅｔｓ　ｉｓ　ｃｏｖｅｒｅｄ　ｂｙ　ｔｈｅ　ｕｎｉｏｎ　ｏｆ　ｔｗｏｏｔｈｅｒｓ」Ｊｏｕｒｎａｌ　ｏｆ　Ｃｏｍｂｉｎ．　Ｔｈｅｏｒｙ　Ｓｅｒ．　Ａ　３３．　ｐ．１５８−１６６，　１９８２」に詳細が記述されている。
【００１５】
また、上記第２の課題を解決するため、本発明は請求項２に記載されるように、所定のグループに属する複数のユーザのそれぞれＵ_ｉ（ｉ＝１，・・・，ｎ）の端末において生成された署名付き情報が当該所定のグループに所属する何れかのユーザにて生成されたものであることの検証を行う署名付き情報検証方法において、所定のセンタにおいて実行される、上記各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉを生成するステップと、上記生成した乱数ｒ_ｉの何れかを選択するステップと、上記各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉ´を生成するステップと、上記生成した乱数ｒ_ｉ´の何れかを選択するステップと、（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝を生成するステップと、上記選択した乱数ｒ_ｉと、上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の上記選択した乱数ｒ_ｉに対応する集合Ｆ_ｒｉ＝｛ｌ_ｉ１，・・・，ｌ_{ｉ｜Ｆｒｉ｜}｝とをユーザＵ_ｉに発行するステップと、上記生成した乱数ｒ_ｉと上記生成した乱数ｒ_ｉ´との対応関係を表すマッピング情報π_１を生成するステップと、上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の集合Ｌと上記マッピング情報π_１とを検証者に発行するステップとを有し、上記各ユーザＵ_ｉの端末において実行される、上記所定のセンタにおいて発行された乱数ｒ_ｉと集合Ｆ_ｒｉとを取得するステップと、上記取得した集合Ｆ_ｒｉとメッセージ情報ｍとを用い、認証子生成・検証アルゴリズムにより値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）を演算するステップと、上記取得した乱数ｒ_ｉと上記値α´_ｉｊとの組である電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を発行するステップと、上記メッセージ情報ｍと上記発行した電子署名αとを上記検証者に送るステップとを有し、上記検証者の端末において実行される、上記所定のセンタにおいて発行された集合Ｌと上記マッピング情報π_１とを取得するステップと、上記ユーザＵ_ｉの端末から送られた上記メッセージ情報ｍと上記電子署名αとを取得するステップと、上記取得した集合Ｌと上記取得した電子署名α内の乱数ｒ_ｉとを用いて上記集合Ｆ_ｒｉを演算するステップと、上記メッセージ情報ｍと上記集合Ｆ_ｒｉを用い、全てのｊに対して認証子生成・検証アルゴリズムにより値ｆ（ｍ，ｌ_ｉｊ）を演算するステップと、上記値ｆ（ｍ，ｌ_ｉｊ）が上記電子署名α内のα´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）に一致するか否かを判定するステップとを有し、その判定結果を上記メッセージ情報ｍと上記電子署名αからなる署名付き情報が上記所定のグループに属するいずれかのユーザにおいて生成されたものであることの検証結果とする。
【００１６】
このような署名付き情報検証方法では、検証者は、センタから発行された上記集合Ｌ、及び、上記乱数ｒ_ｉと上記乱数ｒ_ｉ´との対応関係を表すマッピング情報π_１と、ユーザＵ_ｉにおいて生成されたメッセージ情報ｍ、及び、電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝とを用いて、全てのｊ（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）に対して認証子生成・検証アルゴリズムにより値ｆ（ｍ，ｌ_ｉｊ）を生成し、その生成された値ｆ（ｍ，ｌ_ｉｊ）と電子署名α内のα´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）とが一致するか否かを判定することにより、メッセージ情報ｍと電子署名αからなる署名付き情報が所定のグループに属するいずれかのユーザにおいて生成されたものであることの検証を行う。
【００１７】
ユーザに対して、メッセージ情報ｍの生成否認を許さないという観点から、本発明は請求項３に記載されるように、上記署名付き情報検証方法において、上記所定のセンタにおいて実行される、上記生成した乱数ｒ_ｉ´と上記ユーザＵ_ｉとの対応関係を表すマッピング情報π_２を生成するステップと、上記生成したマッピング情報π_２を所定の機関に発行するステップとを有し、上記検証者の端末において実行される、上記マッピング情報π_１に基づいて、上記電子署名αに含まれる乱数ｒ_ｉに対応する乱数ｒ_ｉ´を特定し、当該特定した乱数ｒ_ｉ´を上記所定の機関に発行するステップを有し、上記所定の機関において実行される、上記所定のセンタにおいて発行されたマッピング情報π_２を取得するステップと、上記検証者の端末において発行された乱数ｒ_ｉ´を取得するステップと、上記取得したマッピング情報π_２と、上記取得した乱数ｒ_ｉ´とに基づいて、当該乱数ｒ_ｉ´に対応するユーザＵ_ｉを特定するステップとを有する。
【００１８】
上述の署名付き情報検証方法では、検証者が有する情報だけでは、署名付き情報を生成したのは所定のグループに所属する何れかのユーザであることは検証できるものの、ユーザの匿名性が確保されているため、具体的にその生成したユーザを特定することができない。そこで、センタは、予めユーザの乱数ｒ_ｉとユーザＵ_ｉとの対応関係を表すマッピング情報π_２を所定の機関に発行する。これにより、検証者が乱数ｒ_ｉ´を当該所定の機関に提供することにより、その署名付き情報を生成したユーザＵ_ｉを特定することができる。即ち、その署名付き情報を生成したユーザＵ_ｉを検証者と所定の機関が協力し合うことによって特定することができる。このように特定されたユーザＵ_ｉは、その署名付き情報を生成したことを否認することができなくなる。
【００１９】
請求項２に記載された発明と同様の観点から、本発明は請求項４に記載されるように、所定のグループに属する複数のユーザのそれぞれＵ_ｉ（ｉ＝１，・・・，ｎ）の端末において生成された署名付き情報が当該所定のグループに所属する何れかのユーザにて生成されたものであることの検証を行う署名付き情報検証システムにおいて、所定のセンタは、上記各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉを生成する手段と、上記生成された乱数ｒ_ｉの何れかを選択する手段と、上記各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉ´を生成する手段と、上記生成された乱数ｒ_ｉ´の何れかを選択する手段と、（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝を生成する手段と、上記選択された乱数ｒ_ｉと、上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の上記選択された乱数ｒ_ｉに対応する集合Ｆ_ｒｉ＝｛ｌ_ｉ１，・・・，ｌ_{ｉ｜Ｆｒｉ｜}｝とをユーザＵ_ｉに発行する手段と、上記された乱数ｒ_ｉと上記生成した乱数ｒ_ｉ´との対応関係を表すマッピング情報π_１を生成する手段と、上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の集合Ｌと上記マッピング情報π_１とを検証者に発行する手段とを有し、上記各ユーザＵ_ｉの端末は、上記所定のセンタにおいて発行された乱数ｒ_ｉと集合Ｆ_ｒｉとを取得する手段と、上記取得された集合Ｆ_ｒｉとメッセージ情報ｍとを用い、認証子生成・検証アルゴリズムにより値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）を演算する手段と、上記取得された乱数ｒ_ｉと上記値α´_ｉｊとの組である電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を発行する手段と、上記メッセージ情報ｍと上記発行された電子署名αとを上記検証者に送る手段とを有し、上記検証者の端末は、上記所定のセンタにおいて発行された集合Ｌと上記マッピング情報π_１とを取得する手段と、上記ユーザＵ_ｉの端末から送られた上記メッセージ情報ｍと上記電子署名αとを取得する手段と、上記取得された集合Ｌと上記取得された電子署名α内の乱数ｒ_ｉとを用いて上記集合Ｆ_ｒｉを演算する手段と、上記メッセージ情報ｍと上記集合Ｆ_ｒｉを用い、全てのｊに対して認証子生成・検証アルゴリズムにより値ｆ（ｍ，ｌ_ｉｊ）を演算する手段と、上記値ｆ（ｍ，ｌ_ｉｊ）が上記電子署名α内のα´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）に一致するか否かを判定する手段とを有し、その判定結果を上記メッセージ情報ｍと上記電子署名αからなる署名付き情報が上記所定のグループに属するいずれかのユーザにおいて生成されたものであることの検証結果とする。
【００２０】
請求項３に記載された発明と同様の観点から、本発明は請求項５に記載されるように、上記署名付き情報検証システムにおいて、上記所定のセンタは、上記生成された乱数ｒ_ｉ´と上記ユーザＵ_ｉとの対応関係を表すマッピング情報π_２を生成する手段と、上記生成されたマッピング情報π_２を所定の機関に発行する手段とを有し、上記検証者の端末は、上記マッピング情報π_１に基づいて、上記電子署名αに含まれる乱数ｒ_ｉに対応する乱数ｒ_ｉ´を特定し、当該特定した乱数ｒ_ｉ´を上記所定の機関に発行する手段を有し、上記所定の機関は、上記所定のセンタにおいて発行されたマッピング情報π_２を取得する手段と、上記検証者の端末において発行された乱数ｒ_ｉ´を取得する手段と、上記取得されたマッピング情報π_２と、上記取得された乱数ｒ_ｉ´とに基づいて、当該乱数ｒ_ｉ´に対応するユーザＵ_ｉを特定する手段とを有する。
【００２１】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。
【００２２】
本発明の実施の一形態に係る署名付き情報検証方法が適用されるシステムは、例えば、図１に示すように構成される。
【００２３】
図１において、所定のグループに所属するユーザＵ_ｉ（ｉ＝１，・・・，ｎ）が使用すべきユーザ端末１０_１〜１０_ｎ、検証者Ｖ（Ｖｅｒｉｆｉｅｒ）にて管理される検証者端末２０及び信頼できる第三者（Ｔｒｕｓｔｅｄ　Ａｕｔｈｏｒｉｔｙ）が管理するセンタ１００（コンピュータ）が所定のネットワークＮＷに接続されている。また、上記所定のグループ内またはそのグループ以外のユーザで、例えば、電子投票や電子アンケートの回答を回収する者にて管理されるユーザ端末１０ｊ及び所定の機関となるエスクローエージェント（Ｅｓｃｒｏｗ　Ａｇｅｎｔ）２００（コンピュータ）がネットワークＮＷに接続されている。
【００２４】
上記のようなシステムにおいて、例えば、上記所定のグループに所属する複数のユーザＵ_ｉが電子投票を行う場合、図２及び図３に示す手順に従って処理が行われる。
【００２５】
図２においてセンタ１００は、（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝をランダムに生成する（Ｓ１）。更にセンタ１００は、各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉ（ｉ＝１，・・・，ｎ）を生成して何れかを選択するとともに、同様に、各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉ´（ｉ＝１，・・・，ｎ）を生成して何れかを選択する（Ｓ２）。
【００２６】
次にセンタ１００は、選択した乱数ｒ_ｉと、生成した（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の上記選択した乱数ｒ_ｉに対応する集合Ｆ_ｒｉ＝｛ｌ_ｉ１，・・・，ｌ_{ｉ｜Ｆｒｉ｜}｝からなる情報｛ｒ_ｉ，Ｆ_ｒｉ｝をユーザＵ_ｉに送付する（Ｓ３）。
【００２７】
次にセンタ１００は、上記のように生成した乱数ｒ_ｉと乱数ｒ_ｉ´との対応関係を表すマッピング情報π_１を生成し（Ｓ４）、上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の集合Ｌと上記マッピング情報π_１からなる情報｛Ｌ，π_１｝を検証者端末２０にＮＷを介して送付する（Ｓ５）。
【００２８】
その後、センタ１００は、上記のように生成した乱数ｒ_ｉ´とユーザＵ_ｉとの対応関係を表すマッピング情報π_２を生成し（Ｓ６）、当該マッピング情報π_２をエスクローエージェント２００にＮＷを介して送付する（Ｓ７）。
【００２９】
ユーザ端末１０ｉは、上記のようにセンタ１００から送付される｛ｒ_ｉ，Ｆ_ｒｉ｝を受領する（Ｓ８）。更にユーザＵ_ｉが投票内容に関するメッセージをユーザ端末１０ｉに入力すると、当該ユーザ端末１０ｉは、そのメッセージをメッセージ情報ｍに変換し、そのメッセージ情報ｍと、上記受領した値Ｆ_ｒｉとを用いて、認証子生成・検証アルゴリズムにより値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）を生成する。更にユーザ端末１０ｉは、受領した乱数ｒ_ｉと上記値α´_ｉｊとの組である電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を生成し、その電子署名αをメッセージ情報ｍに付加した署名付き情報｛ｍ，ｒ_ｉ，α｝を生成する（Ｓ９）。
【００３０】
次にユーザ端末１０ｉは、ネットワークＮＷを介して上記のように生成した署名付き情報｛ｍ，ｒ_ｉ，α｝を投票の回収を行うユーザが管理するユーザ端末１０ｊに送付する（Ｓ１０）。このように署名付き情報が送信されると、ユーザ端末１０ｉでの投票に関する処理が終了する。
【００３１】
ユーザ端末１０ｊは、ユーザＵ_ｉのユーザ端末１０ｉから上記署名付き情報｛ｍ，ｒ_ｉ，α｝を受領すると（Ｓ１１）、その署名付き情報｛ｍ，ｒ_ｉ，α｝の検証を行う必要があるか否かを判定する（Ｓ１２）。この判定基準は任意に定めることができる。
【００３２】
上記受領した署名付き情報｛ｍ，ｒ_ｉ，α｝の検証を行う必要がないと判定された場合（Ｓ１２でＮＯ）、その署名付き情報｛ｍ，ｒ_ｉ，α｝に含まれるメッセージ情報ｍが投票内容として、ユーザ端末１０ｊに蓄積される。一方、上記受領した署名付き情報｛ｍ，ｒ_ｉ，α｝の検証を行う必要がないと判定された場合（Ｓ１２でＮＯ）、ユーザ端末１０ｊは、検証の依頼とともに、上記ユーザ端末１０ｉから受領した署名付き情報｛ｍ，ｒ_ｉ，α｝を検証者端末２０へ送付する（Ｓ１３）。
【００３３】
検証者端末２０は、センタ１００から情報｛Ｌ，π_１｝を受領すると（Ｓ１５）、それを記憶装置に格納する（Ｓ１６）。更に検証者端末２０は、ユーザ端末１０ｊから検証の依頼とともに、署名付き情報｛ｍ，ｒ_ｉ，α｝を受領すると（Ｓ１７）、その署名付き情報｛ｍ，ｒ_ｉ，α｝内の電子署名αに含まれる値ｓ１＝｛α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を抽出する。更に検証者端末２０は、上記のようにセンタ１００から発行され、記憶装置に格納した情報｛Ｌ，π_１｝と乱数ｒ_ｉからＦ_ｒｉを生成し、その署名付き情報｛ｍ，ｒ_ｉ，α｝に含まれるメッセージ情報ｍを用いて、ｓ２＝｛ｆ（ｍ，ｌ_ｉ１），・・・，ｆ（ｍ，ｌ_{ｉ｜Ｆｒｉ｜}）｝を演算する（Ｓ１８）。
【００３４】
検証者端末２０は、上記のようにして得られた２つの値ｓ１とｓ２とが一致するか否かを判定する（Ｓ１９）。検証者端末２０は、乱数ｒ_ｉ´とユーザＵ_ｉとの対応関係を表すマッピング情報π_２を保持していないので、上記２つの値ｓ１とｓ２とが一致する場合、上記署名付き情報｛ｍ，ｒ_ｉ，α｝を生成したユーザを特定することはできないものの、上記グループに所属する正規のユーザの何れかが生成したものと判断することができる。
【００３５】
一方、上記署名付き情報｛ｍ，ｒ_ｉ，α｝のうち、メッセージ情報ｍ、乱数ｒ_ｉ及び電子署名αの少なくとも１つが改ざんされた場合、上記値ｓ１とｓ２は一致しなくなる。このため、当該値ｓ１とｓ２が一致しない場合、上記署名付き情報｛ｍ，ｒ_ｉ，α｝は、何らかの改ざんがなされたものと判断することができる。
【００３６】
従って、上記値ｓ１とｓ２が一致すると判定された場合（Ｓ１９でＹＥＳ）、検証者端末２０は、当該署名付き情報｛ｍ，ｒ_ｉ，α｝は正当であるとの検証結果を生成し（Ｓ２０）、その検証結果を検証の依頼元となるユーザ端末１０ｊに送信する（Ｓ２１）。一方、上記値ｓ１とｓ２が一致しないと判定された場合（Ｓ１９でＮＯ）、検証者端末２０は、当該署名付き情報｛ｍ，ｒ_ｉ，α｝は不当であるとの検証結果を生成し（Ｓ２２）、その検証結果を検証の依頼元となるユーザ端末１０ｊに送信する（Ｓ２３）。
【００３７】
上記のようにして検証の依頼を行った（Ｓ１３）ユーザ端末１０ｊは、ネットワークＮＷを介して上記検証結果を受信する（Ｓ１４）。上記署名付き情報｛ｍ，ｒ_ｉ，α｝が正当であるとの検証結果を受信した場合、ユーザ端末１０ｊは、その署名付き情報｛ｍ，ｒ_ｉ，α｝に含まれるメッセージ情報ｍにて表される投票内容を有効票として処理する。一方、上記署名付き情報｛ｍ，ｒ_ｉ，α｝が不当であるとの検証結果を受信した場合、ユーザ端末１０ｊは、その署名付き情報｛ｍ，ｒ_ｉ，α｝に含まれるメッセージ情報ｍにて表される投票内容を無効票として処理する。
【００３８】
検証者端末２０は、上記署名付き情報｛ｍ，ｒ_ｉ，α｝が正当であるとの検証結果を得た場合（Ｓ１９でＹＥＳ）、その検証結果をユーザ端末１０ｊに送信した後に（Ｓ２１）、図３に示すＳ２４において、その署名付き情報｛ｍ，ｒ_ｉ，α｝を生成したユーザを特定すべきか否かを判定する。その判定基準は、任意に定めることができる。
【００３９】
上記署名付き情報｛ｍ，ｒ_ｉ，α｝を生成したユーザを特定すべきと判定されると（Ｓ２４でＹＥＳ）、検証者端末２０は、マッピング情報π_１に基づいて、署名付き情報｛ｍ，ｒ_ｉ，α｝に含まれる乱数ｒ_ｉに対応する乱数ｒ_ｉ´を特定し、当該乱数ｒ_ｉ´をネットワークＮＷを介してエスクローエージェント２００へ送付する（Ｓ２５）。
【００４０】
上述したように、乱数ｒ_ｉ´とそれに対応したユーザＵ_ｉ（ｉ＝１，・・・，ｎ）との対応関係を表すマッピング情報π_２をセンタ１００から受領した（図２に示すＳ２７）エスクローエージェント２００は、図３に示すＳ２８において、検証者端末２０から送付される乱数ｒ_ｉ´を受領する。
【００４１】
更にエスクローエージェント２００は、上記乱数ｒ_ｉ´とユーザＵ_ｉ（ｉ＝１，・・・，ｎ）との対応関係を表すマッピング情報π_２から、検証者端末２０から受領した乱数ｒ_ｉ´に対応するユーザＵ_ｉを検索する（Ｓ２９）。その検索の結果、乱数ｒ_ｉ´に対応するユーザＵ_ｉが得られると、エスクローエージェント２００は、そのユーザを特定する識別子Ｕ_ｉを検証者端末２０へ送付する（Ｓ３０）。検証者端末２０は、エスクローエージェント２００からユーザを特定する識別子Ｕ_ｉを受領する（Ｓ２６）。
【００４２】
このように、署名付き情報｛ｍ，ｒ_ｉ，α｝を生成したユーザＵ_ｉの通知を受けた検証者端末２０は、その署名付き情報｛ｍ，ｒ_ｉ，α｝に含まれるメッセージ情報ｍとその生成者となるユーザＵ_ｉとの関係を管理する。これにより、何らかの理由によりメッセージ情報ｍを生成したユーザを特定する必要が生じた場合に、検証者端末２０にて管理されるメッセージ情報ｍとその生成者となるユーザとの関係を利用することが可能となる。従って、ユーザは、自らメッセージ情報ｍを生成したことの否認ができなくなる。
【００４３】
上述したようなシステムによれば、検証者は、署名付き情報｛ｍ，ｒ_ｉ，α｝を生成した者がグループに所属するユーザの何れかであることを検証することができる。また、上記のように署名付き情報｛ｍ，ｒ_ｉ，α｝がユーザ端末１０ｉからユーザ端末１０ｊに送付される際に、悪意の第三者によって不正に取得され、メッセージ情報ｍ、乱数ｒ_ｉ、電子署名αの少なくとも何れかが改ざんされた場合、検証者は、その改ざんを検出することが可能となる。即ち、いかなる計算能力のコンピュータを用いても、正当な署名付き情報｛ｍ，ｒ_ｉ，α｝をその正当性を保持しつつ改ざんすることはできない。
【００４４】
更に、悪意の第三者が上記メッセージ情報ｍ、乱数ｒ_ｉ、電子署名αを不正に取得しても、電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を定めるそれぞれの値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）は無数に存在するので、いかなる計算能力のコンピュータを用いても、その各値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）を特定することができず、不正者が正規ユーザに成りすますことはできない。
【００４５】
また、上記署名付き情報｛ｍ，ｒ_ｉ，α｝に含まれる情報からだけでは、どのような計算能力を有するコンピュータを用いても、その署名付き情報｛ｍ，ｒ_ｉ，α｝を生成したユーザを特定することができない。また、検証者端末２０においても、単独では、その署名付き情報｛ｍ，ｒ_ｉ，α｝を生成したユーザを特定することができない。
【００４６】
一方で、検証者端末２０とエスクローエージェント２００とが協働する場合に限って、署名付き情報｛ｍ，ｒ_ｉ，α｝を生成したユーザを特定することができる。このため、グループに所属するいかなる正規ユーザも生成者が不明であるような署名付き情報｛ｍ，ｒ_ｉ，α｝を生成することができない。
【００４７】
更に、電子署名αの生成に際し、（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝を採用することにより、署名の対象となるメッセージ空間のサイズに関する制約をなくすことができる。
【発明の効果】
以上、説明したように、請求項１記載の本願発明によれば、署名付き情報に含まれる複数の情報のいずれかでも改ざんすれば、その改ざんを検出することができ、また、他人が知り得る情報から電子署名αの構造の要素α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）を論理的に再現することはできない。従って、いかなる性能のコンピュータを用いても不正を行うことができないという、いわゆる情報量的安全性を保障しうるグループ署名の構造を実現することができる。また、電子署名αの生成に際し、（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝を採用することにより、署名の対象となるメッセージ空間のサイズに関する制約をなくすことができる。
【００４８】
また、請求項２乃至５記載の発明によれば、メッセージ情報に上記のような電子署名（グループ署名）が付加されることにより生成された署名付き情報の検証方法及びシステムを実現することができる。
【図面の簡単な説明】
【図１】本発明の実施の一形態に係る署名付き情報検証方法が適用されるシステムの構成例を示す図である。
【図２】図１に示すシステムでの処理の流れの第１の例を示すシーケンス図である。
【図３】図２に示す処理の流れに続く処理の流れを示すシーケンス図である。
【符号の説明】
１０ｉ、１０ｊ、１０_１〜１０_ｎ　ユーザ端末
２０　検証者端末
１００　センタ
２００　エスクローエージェント[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a structure of an electronic signature that can be used in electronic voting, electronic questionnaire, and the like, and more specifically, is added to message information m generated at each terminal of a plurality of users belonging to a predetermined group. The structure of the electronic signature to be done.
[0002]
Further, the present invention verifies that the signed information generated in each terminal of a plurality of users belonging to a predetermined group is generated by any user belonging to the predetermined group. The present invention relates to a method and system for verifying signed information.
[0003]
[Prior art]
For example, in a system that performs electronic voting or electronic questionnaire targeting users belonging to a certain group, it is ensured that the voting or answer of the user belonging to the group is guaranteed, May not be specified, that is, it may be required to ensure anonymity.
[0004]
In such a system, for example, common secret information is given to a plurality of users belonging to a certain group, and each user performs a signed voting or answer using the common secret information. Then, in a state where the anonymity of each user is secured, it is possible to confirm that the voting and the answer are made by the regular users belonging to the group.
[0005]
However, in the above-described system, since common secret information is given to each user, a situation occurs in which the user no longer needs to use the secret information, such as when the user leaves the group. Each time, the confidential information must be invalidated. Also, since common secret information is provided to all users belonging to the group, it is relatively difficult to ensure sufficient security. In order to solve such a problem, a technique called group signature has been proposed in recent years.
[0006]
In the case of a group signature, a method of ensuring security (computationally secure) is taken on the assumption that calculation of a prime factorization or a discrete logarithm problem is impossible in terms of computational complexity. That is, it is ensured that any high-performance computer that can be considered at present cannot decipher confidential information or the like in a realistic time.
[0007]
However, even if it is possible to guarantee that it is computationally safe at present, it will not be possible to sufficiently guarantee the security in the future due to improvements in computer performance.
[0008]
In order to solve such a problem, Japanese Patent Application No. 2001-347998 proposes a method that focuses on ensuring long-term security, that is, a method that does not assume a so-called computational security assumption.
[0009]
[Problems to be solved by the invention]
However, Japanese Patent Application No. 2001-347998 uses a polynomial on a finite field, and has a restriction that the size of the message space to be signed must be equal to or larger than the total number of users. It is desirable that such restrictions be as small as possible.
[0010]
Accordingly, a first object of the present invention is to provide a structure of an electronic signature that can guarantee the security of the information amount without being restricted by the size of the message space to be signed.
[0011]
A second object of the present invention is to provide a method and a system for verifying signed information generated by applying such an electronic signature to message information.
[0012]
[Means for Solving the Problems]
In order to solve the first problem, the present invention is directed to a method for controlling a plurality of users belonging to a predetermined group to each other. _i In the structure of the electronic signature to be added to the message information m generated in the terminal (i = 1,..., N), each of the users U _i , A random number r generated differently for each _i And (n, t, k) -Cover Free Family @ L, F ₁ , ..., F _n The above random number r in｝ _i Set F corresponding to _ri = ｛L _i1 , ..., l _{i | Fri |} The value α ′ of the operation by the authenticator generation / verification algorithm between｝ and the message information m _ij = F (m, l _ij ) (J = 1,..., | F _ri |) And α = ｛r _i , Α ' _i1 , ..., α ' _{i | Fri |} ｝.
[0013]
In such a digital signature structure, the digital signature α = αr _i , Α ' _i1 , ..., α ' _{i | Fri |} ｝, Message information m and random number r _i Is obtained by a malicious third party, all j (j = 1,..., | F _ri |) Generated value for α ' _ij = F (m, l _ij ) Are innumerable, so that the electronic signature α = ｛r _i , Α ' _i1 , ..., α ' _{i | Fri |} The value α 'that constitutes｝ _ij = F (m, l _ij ) Cannot be identified. Therefore, a malicious third party cannot impersonate a user belonging to a predetermined group. Also, (n, t, k) -CoverFree Family @ L, F ₁ , ..., F _n By adopting｝, there is no restriction that the size of the message space to be signed must be equal to or greater than the total number of users.
[0014]
Here, (n, t, k) −Cover Free Family ｛L, F ₁ , ..., F _n ｝ Is a set F for a set L whose original number is t. _i (I = 1,..., N) are subsets, and arbitrary {i0, i2,... Selected from {i = 1, 2,. , Ik}, the set F _io Is F _i1 To F _ik Is not a subset of the union of. The CoverFree Family is described in “P. Erdos, P. Franchi and Z. Furedi,“ Amilias of finesets in which are not covered by the Union of the whole of the Union of the Union of the Union of the Union of the Union of the Union of the Union of the Union of the Union of the Others. Theory Ser. A 33. p. 158-166, 1982 ".
[0015]
Further, in order to solve the above second problem, the present invention provides a method as described in claim 2, wherein each of a plurality of users belonging to a predetermined group _i A signed information verification method for verifying that the signed information generated at the terminal (i = 1,..., N) is generated by any user belonging to the predetermined group , Each user U executed at a predetermined center _i And different random numbers r _i And the generated random number r _i And selecting each of the users U _i And different random numbers r _i 'And the generated random number r _i ', And (n, t, k) -Cover Free Family L, F ₁ , ..., F _n Generating｝, and the selected random number r _i And the above (n, t, k) -Cover Free Family {L, F ₁ , ..., F _n The selected random number r in｝ _i Set F corresponding to _ri = ｛L _i1 , ..., l _{i | Fri |} ｝ And user U _i And the generated random number r _i And the generated random number r _i Mapping information π indicating the correspondence with ' ₁ And (n, t, k) -Cover Free Family {L, F ₁ , ..., F _n The set L in｝ and the mapping information π ₁ Is issued to the verifier. _i Random number r executed at the predetermined center, executed at the terminal _i And set F _ri And the obtained set F _ri And the message information m, the value α ′ is obtained by an authenticator generation and verification algorithm. _ij = F (m, l _ij ) (J = 1,..., | F _ri |), And the obtained random number r _i And the value α ′ _ij And a digital signature α = ｛r _i , Α ' _i1 , ..., α ' _{i | Fri |} ｝, And sending the message information m and the issued electronic signature α to the verifier, and executed at the terminal of the verifier, the set issued at the predetermined center. L and the mapping information π ₁ And the user U _i Acquiring the message information m and the electronic signature α sent from the terminal of the above, the acquired set L and the random number r in the acquired electronic signature α _i And the above set F _ri And the message information m and the set F _ri , And the value f (m, l _ij ), And the value f (m, l) _ij ) Is α ′ in the digital signature α. _ij = F (m, l _ij ), And determining whether the signed information including the message information m and the electronic signature α has been generated by any of the users belonging to the predetermined group. Is the verification result.
[0016]
In such a signed information verification method, the verifier checks the set L issued from the center and the random number r. _i And the above random number r _i Mapping information π indicating the correspondence with ' ₁ And user U _i And the electronic signature α = ｛r _i , Α ' _i1 , ..., α ' _{i | Fri |} ｝ And all j (j = 1,..., | F _ri The value f (m, l) _ij ), And the generated value f (m, l) _ij ) And α ′ in the electronic signature α _ij = F (m, l _ij ) Is determined, it is verified that the signed information including the message information m and the electronic signature α is generated by any user belonging to a predetermined group.
[0017]
In view of not allowing a user to deny the generation of the message information m, the present invention as described in claim 3, in the signed information verification method, the generation performed at the predetermined center, Random number r _i 'And the user U _i Mapping information π indicating the correspondence with ₂ Generating the mapping information π ₂ Is issued to a predetermined institution, and the mapping information π is executed at the terminal of the verifier. ₁ Based on the random number r included in the digital signature α _i A random number r corresponding to _i ′, And the specified random number r _i 'To the predetermined institution, and the mapping information π issued at the predetermined center, executed by the predetermined institution. ₂ And a random number r issued at the verifier's terminal. _i 'And the acquired mapping information π ₂ And the random number r obtained above _i ′, And the random number r _i User U corresponding to ' _i And identifying.
[0018]
According to the above-described signed information verification method, it is possible to verify that the signed information is generated by any user belonging to a predetermined group by using only the information possessed by the verifier, but the anonymity of the user is ensured. Therefore, the generated user cannot be specified specifically. Therefore, the center determines in advance the user's random number r _i And user U _i Mapping information π indicating the correspondence with ₂ Is issued to a prescribed organization. Thereby, the verifier can obtain the random number r _i 'To the predetermined institution, the user U who generated the signed information _i Can be specified. That is, the user U who generated the signed information _i Can be specified by cooperation between the verifier and a predetermined institution. User U identified in this way _i Cannot deny that the signed information has been generated.
[0019]
From a viewpoint similar to the invention described in claim 2, according to the present invention, as described in claim 4, each of a plurality of users belonging to a predetermined group _i (I = 1,..., N) A signed information verification system that verifies that the signed information generated by the terminal is generated by any user belonging to the predetermined group. , The predetermined center is each user U _i And different random numbers r _i Generating means, and the generated random number r _i Means for selecting any one of _i And different random numbers r _i ′, And the generated random number r _i ′, And (n, t, k) −Cover Free Family L, F ₁ , ..., F _n Means for generating｝, and the selected random number r _i And the above (n, t, k) -Cover Free Family {L, F ₁ , ..., F _n The selected random number r in｝ _i Set F corresponding to _ri = ｛L _i1 , ..., l _{i | Fri |} ｝ And user U _i And a random number r described above. _i And the generated random number r _i Mapping information π indicating the correspondence with ' ₁ And (n, t, k) -Cover Free Family {L, F ₁ , ..., F _n The set L in｝ and the mapping information π ₁ And a means for issuing to the verifier _i Is a random number r issued at the predetermined center. _i And set F _ri , And the obtained set F _ri And the message information m, the value α ′ is obtained by an authenticator generation and verification algorithm. _ij = F (m, l _ij ) (J = 1,..., | F _ri |), And the obtained random number r _i And the value α ′ _ij And a digital signature α = ｛r _i , Α ' _i1 , ..., α ' _{i | Fri |} 発 行, and means for sending the message information m and the issued electronic signature α to the verifier, wherein the verifier's terminal includes a set L issued at the predetermined center. The above mapping information π ₁ And the user U _i Means for acquiring the message information m and the electronic signature α sent from the terminal of the above, the obtained set L and the random number r in the obtained electronic signature α _i And the above set F _ri , The message information m and the set F _ri , And the value f (m, l _ij ) And the value f (m, l) _ij ) Is α ′ in the digital signature α. _ij = F (m, l _ij And means for determining whether the message information m and the digital signature α are generated by any of the users belonging to the predetermined group. Is the verification result.
[0020]
From the same viewpoint as the invention described in claim 3, the present invention as described in claim 5, in the signed information verification system, the predetermined center includes the generated random number r _i 'And the user U _i Mapping information π indicating the correspondence with ₂ Means for generating the mapping information π ₂ To a predetermined organization, and the terminal of the verifier has the mapping information π ₁ Based on the random number r included in the digital signature α _i A random number r corresponding to _i ′, And the specified random number r _i 'To the predetermined institution, wherein the predetermined institution includes mapping information π issued in the predetermined center. ₂ And a random number r issued at the verifier's terminal. _i ′, And the acquired mapping information π ₂ And the obtained random number r _i ′, And the random number r _i User U corresponding to ' _i And means for specifying
[0021]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0022]
A system to which a method for verifying signed information according to an embodiment of the present invention is applied is configured, for example, as shown in FIG.
[0023]
In FIG. 1, a user U belonging to a predetermined group _i (I = 1,..., N) user terminals 10 to be used ₁ -10 _n A verifier terminal 20 managed by a verifier V (Verifier) and a center 100 (computer) managed by a trusted third party (Trusted Authority) are connected to a predetermined network NW. In addition, a user terminal 10j managed by a user who is in the above-mentioned group or outside the group and who collects responses to electronic voting and electronic questionnaire, and an escrow agent (Escrow Agent) 200 (a predetermined institution) Computer) is connected to the network NW.
[0024]
In the above system, for example, a plurality of users U belonging to the predetermined group _i Performs electronic voting, the processing is performed according to the procedure shown in FIGS.
[0025]
In FIG. 2, the center 100 includes (n, t, k) -Cover Free Family @ L, F ₁ , ..., F _n ｝ Is randomly generated (S1). Further, the center 100 stores _i And different random numbers r _i (I = 1,..., N) and select any one, and similarly, for each user U _i And different random numbers r _i '(I = 1,..., N) is generated and one of them is selected (S2).
[0026]
Next, the center 100 selects the selected random number r _i And the generated (n, t, k) -Cover Free Family {L, F ₁ , ..., F _n The selected random number r in｝ _i Set F corresponding to _ri = ｛L _i1 , ..., l _{i | Fri |} Information consisting of ｛r _i , F _ri ｝ For user U _i (S3).
[0027]
Next, the center 100 generates the random number r generated as described above. _i And random number r _i Mapping information π indicating the correspondence with ' ₁ Is generated (S4), and the (n, t, k) -Cover Free Family {L, F ₁ , ..., F _n The set L in｝ and the mapping information π ₁ Information consisting of ｛L, π ₁ Is sent to the verifier terminal 20 via the NW (S5).
[0028]
Thereafter, the center 100 generates the random number r generated as described above. _i 'And user U _i Mapping information π indicating the correspondence with ₂ Is generated (S6), and the mapping information π is generated. ₂ Is sent to the escrow agent 200 via the NW (S7).
[0029]
The user terminal 10i receives the $ r sent from the center 100 as described above. _i , F _ri ｝ Is received (S8). User U _i Inputs a message related to the content of the vote to the user terminal 10i, the user terminal 10i converts the message into message information m, and the message information m and the received value F _ri And the value α ′ by the authenticator generation / verification algorithm _ij = F (m, l _ij ) (J = 1,..., | F _ri |) Is generated. Further, the user terminal 10i receives the received random number r _i And the value α ′ _ij And a digital signature α = ｛r _i , Α ' _i1 , ..., α ' _{i | Fri |} ｛Is generated, and the signed information {m, r obtained by adding the electronic signature α to the message information m is generated. _i , Α} (S9).
[0030]
Next, the user terminal 10i transmits the signed information {m, r generated as described above via the network NW. _i , Α} to the user terminal 10j managed by the user who collects the votes (S10). When the signed information is transmitted in this way, the process related to voting at the user terminal 10i ends.
[0031]
The user terminal 10j is a user U _i Of the signed information {m, r _i , Α} (S11), the signed information {m, r _i , Α} is determined (S12). This criterion can be arbitrarily determined.
[0032]
The signed information {m, r received above} _i , Α} (NO in S12), the signed information {m, r _i , Α} are stored in the user terminal 10j as voting contents. On the other hand, the received signed information {m, r _i , Α} (NO in S12), the user terminal 10j sends the signed information {m, r} received from the user terminal 10i together with the verification request. _i , Α} to the verifier terminal 20 (S13).
[0033]
The verifier terminal 20 receives the information {L, π ₁ Upon receipt of｝ (S15), it is stored in the storage device (S16). Further, the verifier terminal 20 requests the verification from the user terminal 10j, and adds the signed information {m, r _i , Α} (S17), the signed information {m, r _i , Α} contained in the digital signature α in {α}. _i1 , ..., α ' _{i | Fri |} Extract｝. Further, the verifier terminal 20 transmits the information {L, π issued from the center 100 and stored in the storage device as described above. ₁ ｝ And random number r _i To F _ri And the signed information {m, r _i , Α}, s2 = {f (m, l) _i1 ), ..., f (m, l _{i | Fri |} ) Is calculated (S18).
[0034]
The verifier terminal 20 determines whether or not the two values s1 and s2 obtained as described above match (S19). The verifier terminal 20 calculates the random number r _i 'And user U _i Mapping information π indicating the correspondence with ₂ , And when the two values s1 and s2 match, the signed information {m, r _i , Α} cannot be specified, but it can be determined that any of the legitimate users belonging to the group has generated the user.
[0035]
On the other hand, the signed information {m, r _i , Α}, message information m, random number r _i And at least one of the electronic signatures α is falsified, the values s1 and s2 do not match. Therefore, if the values s1 and s2 do not match, the signed information {m, r _i , Α} can be determined to have been tampered with.
[0036]
Therefore, when it is determined that the values s1 and s2 match (YES in S19), the verifier terminal 20 transmits the signed information {m, r _i , Α} generate a verification result that is valid (S20), and transmits the verification result to the user terminal 10j that is the verification request source (S21). On the other hand, when it is determined that the values s1 and s2 do not match (NO in S19), the verifier terminal 20 sends the signed information {m, r _i , Α} generate an invalid verification result (S22), and transmit the verification result to the user terminal 10j that is the verification request source (S23).
[0037]
The user terminal 10j that has requested verification as described above (S13) receives the verification result via the network NW (S14). The signed information $ m, r _i , Α} are valid, the user terminal 10j sends the signed information {m, r _i , Α} are processed as valid votes. On the other hand, the signed information {m, r _i , Α} is invalid, the user terminal 10j sends the signed information {m, r _i , Α} are processed as invalid votes.
[0038]
The verifier terminal 20 checks the signed information {m, r _i , Α} is obtained (YES in S19), the verification result is transmitted to the user terminal 10j (S21), and in S24 shown in FIG. 3, the signed information {m, r _i , Α} are to be specified. The criterion can be arbitrarily determined.
[0039]
The signed information $ m, r _i , Α} (YES in S24), the verifier terminal 20 outputs the mapping information π ₁ Based on the signed information {m, r _i , Α} _i A random number r corresponding to _i ′, And the random number r _i 'To the escrow agent 200 via the network NW (S25).
[0040]
As described above, the random number r _i 'And the corresponding user U _i (I = 1,..., N) ₂ The escrow agent 200 receives the random number r sent from the verifier terminal 20 in S28 shown in FIG. _i ´ is received.
[0041]
Further, the escrow agent 200 sets the random number r _i 'And user U _i (I = 1,..., N) ₂ From the random number r received from the verifier terminal 20 _i User U corresponding to ' _i Is searched (S29). As a result of the search, a random number r _i User U corresponding to ' _i Is obtained, the escrow agent 200 transmits the identifier U identifying the user. _i Is sent to the verifier terminal 20 (S30). The verifier terminal 20 uses the identifier U identifying the user from the escrow agent 200. _i Is received (S26).
[0042]
Thus, the signed information {m, r _i , Α} generated user U _i The verifier terminal 20 having received the notification of _i , Α} and the user U who is the creator of the message information m _i Manage relationships with. Thereby, when it becomes necessary to specify the user who generated the message information m for some reason, it is possible to use the relationship between the message information m managed by the verifier terminal 20 and the user who is the creator thereof. It becomes possible. Therefore, the user cannot deny that the user has generated the message information m.
[0043]
According to the system as described above, the verifier checks the signed information {m, r _i , Α} can be verified to be any of the users belonging to the group. Also, as described above, the signed information {m, r _i , Α} are illegally acquired by a malicious third party when sent from the user terminal 10i to the user terminal 10j, and the message information m and the random number r _i If at least one of the digital signatures α has been tampered with, the verifier can detect the tampering. That is, even if a computer having any calculation ability is used, the valid signed information {m, r _i , Α｝ cannot be altered while maintaining its validity.
[0044]
Further, a malicious third party may use the message information m, the random number r _i , Even if the electronic signature α is illegally acquired, the electronic signature α = ｛r _i , Α ' _i1 , ..., α ' _{i | Fri |} Each value α 'that determines｝ _ij = F (m, l _ij ) (J = 1,..., | F _ri |) Exist innumerably, so that using a computer of any computational power, its value α ′ _ij = F (m, l _ij ) Cannot be identified, and a fraudster cannot impersonate a legitimate user.
[0045]
In addition, the signed information {m, r _i , Α}, the signature-added information {m, r _i , Α} cannot be specified. Also, in the verifier terminal 20 alone, the signed information {m, r _i , Α} cannot be specified.
[0046]
On the other hand, only when the verifier terminal 20 and the escrow agent 200 cooperate, the signed information {m, r _i , Α} can be identified. For this reason, signed information {m, r such that the creator is unknown for any authorized user belonging to the group _i , Α} cannot be generated.
[0047]
Further, when generating the digital signature α, (n, t, k) -Cover Free Family @ L, F ₁ , ..., F _n By adopting｝, it is possible to eliminate restrictions on the size of the message space to be signed.
【The invention's effect】
As described above, according to the first aspect of the present invention, if any one of a plurality of pieces of information included in the signed information is tampered, the tampering can be detected and another person can know. From the information, the element α 'of the structure of the electronic signature α _ij = F (m, l _ij ) Cannot be logically reproduced. Therefore, it is possible to realize a structure of a group signature that can guarantee what is called information security, that is, it is impossible to perform fraud even if a computer of any performance is used. When generating the digital signature α, (n, t, k) -Cover Free FamilyＦL, F ₁ , ..., F _n By adopting｝, it is possible to eliminate restrictions on the size of the message space to be signed.
[0048]
According to the second to fifth aspects of the present invention, it is possible to realize a method and system for verifying signed information generated by adding the above-mentioned electronic signature (group signature) to message information. .
[Brief description of the drawings]
FIG. 1 is a diagram illustrating a configuration example of a system to which a method for verifying signed information according to an embodiment of the present invention is applied.
FIG. 2 is a sequence diagram showing a first example of a processing flow in the system shown in FIG. 1;
FIG. 3 is a sequence diagram showing a processing flow following the processing flow shown in FIG. 2;
[Explanation of symbols]
10i, 10j, 10 ₁ -10 _n User terminal
20 Verifier terminal
100 centers
200 Escrow Agent

Claims (5)

所定のグループに属する複数のユーザのそれぞれＵ_ｉ（ｉ＝１，・・・，ｎ）の端末において生成されたメッセージ情報ｍに対して付加されるべき電子署名の構造において、
上記各ユーザＵ_ｉに対応させてそれぞれ異なるように生成された乱数ｒ_ｉと、
（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の上記乱数ｒ_ｉに対応する集合Ｆ_ｒｉ＝｛ｌ_ｉ１，・・・，ｌ_{ｉ｜Ｆｒｉ｜}｝とメッセージ情報ｍとの認証子生成・検証アルゴリズムによる演算の値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）との組α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を有する電子署名の構造。In the structure of the electronic signature to be added to the message information m generated at the terminals of U _i (i = 1,..., N) of a plurality of users belonging to a predetermined group,
A random number r _i generated differently for each user U _i ,
(N, t, k) -Cover Free Family {L, F 1, ..., F n} the set corresponding to the random number _{r i} in _{F ri = {l i1, ···} , l i | Fri |} and the calculation by the authenticator generating and verification algorithms and message information m value _{α'ij = f (m, l} ij) (j = 1, ···, | F ri |) set of the α = _{{r i,} α _{'i1, ···, α'i |} Fri | structure of an electronic signature with a}. 所定のグループに属する複数のユーザのそれぞれＵ_ｉ（ｉ＝１，・・・，ｎ）の端末において生成された署名付き情報が当該所定のグループに所属する何れかのユーザにて生成されたものであることの検証を行う署名付き情報検証方法において、
所定のセンタにおいて実行される、
上記各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉを生成するステップと、
上記生成した乱数ｒ_ｉの何れかを選択するステップと、
上記各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉ´を生成するステップと、
上記生成した乱数ｒ_ｉ´の何れかを選択するステップと、
（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝を生成するステップと、
上記選択した乱数ｒ_ｉと、上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の上記選択した乱数ｒ_ｉに対応する集合Ｆ_ｒｉ＝｛ｌ_ｉ１，・・・，ｌ_{ｉ｜Ｆｒｉ｜}｝とをユーザＵ_ｉに発行するステップと、
上記生成した乱数ｒ_ｉと上記生成した乱数ｒ_ｉ´との対応関係を表すマッピング情報π_１を生成するステップと、
上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の集合Ｌと上記マッピング情報π_１とを検証者に発行するステップと、
を有し、
上記各ユーザＵ_ｉの端末において実行される、
上記所定のセンタにおいて発行された乱数ｒ_ｉと集合Ｆ_ｒｉとを取得するステップと、
上記取得した集合Ｆ_ｒｉとメッセージ情報ｍとを用い、認証子生成・検証アルゴリズムにより値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）を演算するステップと、
上記取得した乱数ｒ_ｉと上記値α´_ｉｊとの組である電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を発行するステップと、
上記メッセージ情報ｍと上記発行した電子署名αとを上記検証者に送るステップと、
を有し、
上記検証者の端末において実行される、
上記所定のセンタにおいて発行された集合Ｌと上記マッピング情報π_１とを取得するステップと、
上記ユーザＵ_ｉの端末から送られた上記メッセージ情報ｍと上記電子署名αとを取得するステップと、
上記取得した集合Ｌと上記取得した電子署名α内の乱数ｒ_ｉとを用いて上記集合Ｆ_ｒｉを演算するステップと、
上記メッセージ情報ｍと上記集合Ｆ_ｒｉを用い、全てのｊに対して認証子生成・検証アルゴリズムにより値ｆ（ｍ，ｌ_ｉｊ）を演算するステップと、
上記値ｆ（ｍ，ｌ_ｉｊ）が上記電子署名α内のα´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）に一致するか否かを判定するステップと、
を有し、その判定結果を上記メッセージ情報ｍと上記電子署名αからなる署名付き情報が上記所定のグループに属するいずれかのユーザにおいて生成されたものであることの検証結果とする署名付き情報検証方法。Information with a signature generated at a terminal of each of U _i (i = 1,..., N) of a plurality of users belonging to a predetermined group generated by any user belonging to the predetermined group In the signed information verification method for verifying that
Executed at a predetermined center,
Generating different random numbers r _i corresponding to the respective users U _i ,
Selecting one of the random number r _i generated above,
Generating different random numbers r _i ′ corresponding to the respective users U _i ;
Selecting any of the generated random numbers r _i ′;
Generating (n, t, k) -Cover Free Family {L, F ₁ ,..., F _n };
And the random number _{r i} mentioned above selected, the (n, t, k) -Cover Free Family {L, F 1, ..., F n} the set corresponding to the selected random number _{r i} in _F ri = _{{l i1,} .., L _{i | Fri |} } to user U _i ,
Generating mapping information π ₁ representing the correspondence between the generated random number r _i and the generated random number r _i ′;
Issuing a set L in the (n, t, k) -Cover Free Family {L, F ₁ ,..., F _n } and the mapping information π ₁ to a verifier;
Has,
Is executed in the terminal of each user U _i,
Obtaining a random number r _i and a set F _ri issued at the predetermined center;
Using the obtained set F _ri and message information m, a value α ′ _ij = f (m, l _ij ) (j = 1,..., | F _ri |) is calculated by an authenticator generation / verification algorithm. Steps and
And issuing a digital signature alpha = a combination of the random number _{r i} and the value [alpha] _'ij where the acquired _{{r i, α'i1, ···} , α'i | | Fri}
Sending the message information m and the issued electronic signature α to the verifier;
Has,
Executed at the verifier's terminal,
Obtaining the set L issued by the predetermined center and the mapping information π ₁ ;
Acquiring and the user U the message information transmitted from the terminal of the _i m and the electronic signature alpha,
A step of computing the set F _ri by using the random number r _i of the acquired electronic signature in α to set L and the above acquired,
Using the message information m and the set F _ri to calculate a value f (m, l _ij ) for all j by an authenticator generation / verification algorithm;
Determining whether the value f (m, l _ij ) matches α ′ _ij = f (m, l _ij ) in the digital signature α;
Signed information verification as a verification result that the determination result is that the signed information including the message information m and the electronic signature α has been generated by any user belonging to the predetermined group. Method. 請求項２に記載の署名付き情報検証方法において、
上記所定のセンタにおいて実行される、
上記生成した乱数ｒ_ｉ´と上記ユーザＵ_ｉとの対応関係を表すマッピング情報π_２を生成するステップと、
上記生成したマッピング情報π_２を所定の機関に発行するステップと、
を有し、
上記検証者の端末において実行される、
上記マッピング情報π_１に基づいて、上記電子署名αに含まれる乱数ｒ_ｉに対応する乱数ｒ_ｉ´を特定し、当該特定した乱数ｒ_ｉ´を上記所定の機関に発行するステップを有し、
上記所定の機関において実行される、
上記所定のセンタにおいて発行されたマッピング情報π_２を取得するステップと、
上記検証者の端末において発行された乱数ｒ_ｉ´を取得するステップと、
上記取得したマッピング情報π_２と、上記取得した乱数ｒ_ｉ´とに基づいて、当該乱数ｒ_ｉ´に対応するユーザＵ_ｉを特定するステップと、
を有する署名付き情報検証方法。The method for verifying signed information according to claim 2,
Executed in the predetermined center,
Generating mapping information π ₂ representing the correspondence between the generated random number r _i ′ and the user U _i ;
Issuing the generated mapping information π ₂ to a predetermined institution;
Has,
Executed at the verifier's terminal,
Based on the mapping information [pi _{1, 'identifies} the random number r _i that the _specified' random number r _i corresponding to the random number r _i contained in the electronic signature α to have the issuing to the predetermined engine,
Executed in the predetermined institution,
Obtaining mapping information π ₂ issued at the predetermined center;
Obtaining a random number r _i ′ issued at the verifier's terminal;
And mapping information [pi ₂ described above acquires, _'based on the, the random number r _i' random number r _i with the acquired identifying the user U _i corresponding to,
A signed information verification method having the following. 所定のグループに属する複数のユーザのそれぞれＵ_ｉ（ｉ＝１，・・・，ｎ）の端末において生成された署名付き情報が当該所定のグループに所属する何れかのユーザにて生成されたものであることの検証を行う署名付き情報検証システムにおいて、
所定のセンタは、
上記各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉを生成する手段と、
上記生成された乱数ｒ_ｉの何れかを選択する手段と、
上記各ユーザＵ_ｉに対応させてそれぞれ異なる乱数ｒ_ｉ´を生成する手段と、
上記生成された乱数ｒ_ｉ´の何れかを選択する手段と、
（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝を生成する手段と、
上記選択された乱数ｒ_ｉと、上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の上記選択された乱数ｒ_ｉに対応する集合Ｆ_ｒｉ＝｛ｌ_ｉ１，・・・，ｌ_{ｉ｜Ｆｒｉ｜}｝とをユーザＵ_ｉに発行する手段と、
上記された乱数ｒ_ｉと上記生成した乱数ｒ_ｉ´との対応関係を表すマッピング情報π_１を生成する手段と、
上記（ｎ，ｔ，ｋ）−Ｃｏｖｅｒ　Ｆｒｅｅ　Ｆａｍｉｌｙ｛Ｌ，Ｆ_１，…，Ｆ_ｎ｝内の集合Ｌと上記マッピング情報π_１とを検証者に発行する手段と、
を有し、
上記各ユーザＵ_ｉの端末は、
上記所定のセンタにおいて発行された乱数ｒ_ｉと集合Ｆ_ｒｉとを取得する手段と、
上記取得された集合Ｆ_ｒｉとメッセージ情報ｍとを用い、認証子生成・検証アルゴリズムにより値α´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）（ｊ＝１，・・・，｜Ｆ_ｒｉ｜）を演算する手段と、
上記取得された乱数ｒ_ｉと上記値α´_ｉｊとの組である電子署名α＝｛ｒ_ｉ，α´_ｉ１，・・・，α´_{ｉ｜Ｆｒｉ｜}｝を発行する手段と、
上記メッセージ情報ｍと上記発行された電子署名αとを上記検証者に送る手段と、
を有し、
上記検証者の端末は、
上記所定のセンタにおいて発行された集合Ｌと上記マッピング情報π_１とを取得する手段と、
上記ユーザＵ_ｉの端末から送られた上記メッセージ情報ｍと上記電子署名αとを取得する手段と、
上記取得された集合Ｌと上記取得された電子署名α内の乱数ｒ_ｉとを用いて上記集合Ｆ_ｒｉを演算する手段と、
上記メッセージ情報ｍと上記集合Ｆ_ｒｉを用い、全てのｊに対して認証子生成・検証アルゴリズムにより値ｆ（ｍ，ｌ_ｉｊ）を演算する手段と、
上記値ｆ（ｍ，ｌ_ｉｊ）が上記電子署名α内のα´_ｉｊ＝ｆ（ｍ，ｌ_ｉｊ）に一致するか否かを判定する手段と、
を有し、その判定結果を上記メッセージ情報ｍと上記電子署名αからなる署名付き情報が上記所定のグループに属するいずれかのユーザにおいて生成されたものであることの検証結果とする署名付き情報検証システム。Information with a signature generated at a terminal of each of U _i (i = 1,..., N) of a plurality of users belonging to a predetermined group generated by any user belonging to the predetermined group In a signed information verification system that verifies that
The predetermined center is
Means for generating different random numbers r _i corresponding to the respective users U _i ,
Means for selecting one of the random number r _i, which is the product,
Means for generating different random numbers r _i ′ corresponding to the respective users U _i ;
Means for selecting any of the generated random numbers r _i ';
Means for generating (n, t, k) -Cover Free Family {L, F ₁ ,..., F _n };
And the random number _{r i,} which is the selected, the (n, t, k) -Cover Free Family {L, F 1, ..., F n} the set corresponding to the selected random number _{r i} in _F ri = {l and means for issuing a} to the user _{U i, | i1, ···,} l i | Fri
Means for generating a mapping information [pi ₁ representing the correspondence between the random number r _{i 'described} above random number r _i and the generated,
Means for issuing the set L in the (n, t, k) -Cover Free Family {L, F ₁ ,..., F _n } and the mapping information π ₁ to a verifier;
Has,
The terminal of each user _{U i} is
Means for obtaining a an issue random number r _i and the set F _ri at the predetermined center
Using the obtained set F _ri and the message information m, a value α ′ _ij = f (m, l _ij ) (j = 1,..., | F _ri |) is calculated by an authenticator generation / verification algorithm. Means to
Electronic signature alpha = a set of the acquired random number _{r i} and the value _{α'ij {r i, α'i1} , ···, α'i | Fri |} and means for issuing a
Means for sending the message information m and the issued electronic signature α to the verifier,
Has,
The verifier's terminal is
Means for acquiring the set L issued by the predetermined center and the mapping information π ₁ ;
Means for acquiring and the user U _i the message information m and the electronic signature transmitted from the terminal of the alpha,
Means for calculating the set F _ri by using the random number r _i of the acquired electronic signature in α to set L and is the acquired,
Means for calculating a value f (m, l _ij ) for all j using an authenticator generation / verification algorithm using the message information m and the set F _ri ,
Means for determining whether the value f (m, l _ij ) matches α ′ _ij = f (m, l _ij ) in the digital signature α,
Signed information verification as a verification result that the determination result is that the signed information including the message information m and the electronic signature α has been generated by any user belonging to the predetermined group. system. 請求項４に記載の署名付き情報検証システムにおいて、
上記所定のセンタは、
上記生成された乱数ｒ_ｉ´と上記ユーザＵ_ｉとの対応関係を表すマッピング情報π_２を生成する手段と、
上記生成されたマッピング情報π_２を所定の機関に発行する手段と、
を有し、
上記検証者の端末は、
上記マッピング情報π_１に基づいて、上記電子署名αに含まれる乱数ｒ_ｉに対応する乱数ｒ_ｉ´を特定し、当該特定した乱数ｒ_ｉ´を上記所定の機関に発行する手段を有し、
上記所定の機関は、
上記所定のセンタにおいて発行されたマッピング情報π_２を取得する手段と、
上記検証者の端末において発行された乱数ｒ_ｉ´を取得する手段と、
上記取得されたマッピング情報π_２と、上記取得された乱数ｒ_ｉ´とに基づいて、当該乱数ｒ_ｉ´に対応するユーザＵ_ｉを特定する手段と、
を有する署名付き情報検証システム。The signed information verification system according to claim 4,
The predetermined center is:
Means for generating mapping information π ₂ representing the correspondence between the generated random number r _i ′ and the user U _i ;
Means for issuing the generated mapping information π ₂ to a predetermined institution;
Has,
The verifier's terminal is
Based on the mapping information [pi _{1, 'identifies} the random number r _i that the _specified' random number r _i corresponding to the random number r _i contained in the electronic signature α to have a means for issuing to the predetermined engine,
The specified institution is:
Means for acquiring mapping information π ₂ issued at the predetermined center;
Means for obtaining a random number r _{i 'issued} in the terminal of the verifier,
And mapping information [pi ₂ which is the acquired, _'based on the, the random number r _i' random number r _i, which is the acquisition means for identifying the user U _i corresponding to,
Signed information verification system having a signature.

Images