JP2012234477A - アカウント生成管理装置、アカウント生成管理方法及びアカウント生成管理プログラム - Google Patents

Abstract

【課題】単一の利用者によるアカウントの生成の可否を管理するブラインド署名サービスを実現できるアカウント生成管理装置、アカウント生成管理方法及びアカウント生成管理プログラムを提供する。
【解決手段】アカウント生成管理装置は、新たなアカウントの生成を許可するか否かを示す管理データを記憶する記憶部１２と、ユーザ端末２から、生成要求メッセージに対してブラインド関数により暗号化された暗号データを受信する生成要求受信部１１１と、管理データが新たなアカウントの生成を許可することを示している場合、暗号データに対して秘密鍵により署名を行い、管理データが新たなアカウントの生成を許可しないことを示している場合、暗号データに対して署名を行わない署名処理部１１２と、署名された第１の署名データを、ユーザ端末２へ送信する送信部１１３と、を備える。
【選択図】図１

Description

本発明は、ネットワーク上のサービスにおいて認証されるアカウントの生成を管理するアカウント生成管理装置、アカウント生成管理方法及びアカウント生成管理プログラムに関する。

従来、ネットワーク上のサービスを利用する際、利用者は、このサービスを提供するサービスプロバイダのアカウントを生成する必要がある。このとき、利用者は、サービスプロバイダへ提出する個人情報等に対して第三者機関による署名を得る場合があるが、利用者のプライバシを保護するために、ブラインド署名の技術を利用して、サービスプロバイダでのアカウントを生成する手法がある（例えば、非特許文献１参照）。

この手法では、サービスを提供するサービスプロバイダと、利用者を認証した上でブラインド署名を実施するブラインド署名サービスとの間において、直接に又は別のＩＤを介しても、それぞれで用いられるアカウント同士が紐付けされない。したがって、たとえ、サービスプロバイダとブラインド署名サービスとが連携したとしても、利用者が提供を受ける個々のサービスにおけるアカウントの関連性を把握することはできないため、利用者のプライバシ情報が秘匿される。

"ＰｓｅｕｄｏＩＤ： Ｅｎｈａｎｃｉｎｇ Ｐｒｉｖａｃｙ ｉｎ Ｆｅｄｅｒａｔｅｄ Ｌｏｇｉｎ"， Ａｒｋａｊｉｔ Ｄｅｙ， Ｓｔｅｐｈｅｎ Ｗｅｉｓ， Ｈｏｔ Ｔｏｐｉｃｓ ｉｎ Ｐｒｉｖａｃｙ Ｅｎｈａｎｃｉｎｇ Ｔｅｃｈｎｏｌｏｇｉｅｓ， ２０１０， ｐｐ． ９５−１０７．

しかしながら、前述したアカウント生成手法においては、サービスプロバイダは、ブラインド署名サービスでの署名を検証することで、このサービスプロバイダでのアカウント生成を申請した利用者の正当性を確認する。このため、既にサービスプロバイダに１個以上のアカウントを保持している利用者が新たに異なるアカウントの生成を申請した場合、サービスプロバイダは、何個目のアカウントの申請であるかの判別ができない。したがって、このサービスプロバイダにおいて、単一の利用者が制限なく複数のアカウントを生成できてしまう。

本発明は、単一の利用者によるアカウントの生成の可否を管理するブラインド署名サービスを実現できるアカウント生成管理装置、アカウント生成管理方法及びアカウント生成管理プログラムを提供することを目的とする。

本発明では、以下のような解決手段を提供する。

（１）ネットワーク上のサービスにおいて認証されるアカウントの生成を管理するアカウント生成管理装置であって、ユーザを識別するＩＤに対応付けて、前記サービスに対する新たなアカウントの生成を許可するか否かを示す管理データを記憶する記憶部と、前記ＩＤにより認証された端末から、生成要求されたアカウント情報を含む生成要求メッセージに対してブラインド関数により暗号化された暗号データを受信する生成要求受信部と、前記記憶部において、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可することを示している場合、前記暗号データに対して秘密鍵により署名を行い、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可しないことを示している場合、前記暗号データに対して署名を行わない署名処理部と、前記署名処理部により署名された第１の署名データを、前記端末へ送信する送信部と、を備えるアカウント生成管理装置。

このような構成によれば、アカウント生成管理装置は、ユーザのプライバシ情報を保護できるブラインド署名を用いてサービスプロバイダのアカウントを生成する際に、アカウントの生成を許可するか否かを判断して、署名を行う。したがって、アカウント生成管理装置は、サービスプロバイダではＩＤを把握できない単一の利用者によるアカウントの生成の可否を管理するブラインド署名サービスを実現できる。

（２）前記管理データは、前記ＩＤに対して新たに生成可能なアカウントの数を示す（１）に記載のアカウント生成管理装置。

このような構成によれば、アカウント生成管理装置は、管理データとして、サービスプロバイダにおいて新たに生成可能なアカウントの数を記憶する。したがって、アカウント生成管理装置は、ユーザのプライバシ情報を保護したまま、単一の利用者による所定数以上のアカウントの生成を制限できる。

（３）前記署名処理部により前記暗号データに対して署名が行われたことに応じて、前記ＩＤに対応付けられている管理データを更新する更新部を備える（２）に記載のアカウント生成管理装置。

このような構成によれば、アカウント生成管理装置は、生成要求メッセージの署名を行うと共に、生成可能なアカウントの数を示す管理データを更新する。したがって、アカウント生成管理装置は、アカウント生成可能な残数を正確に記憶し、単一ユーザによる複数のアカウントの生成を管理できる。

（４）前記サービスにおけるアカウントが削除されたことに応じて、前記端末から、前記ＩＤを含む削除要求メッセージ、及び当該削除要求メッセージが前記サービスの秘密鍵により署名された第２の署名データを受信する削除要求受信部を備え、前記更新部は、前記第２の署名データを前記サービスの秘密鍵に対応する公開鍵により復号し、前記削除要求メッセージの正当性を確認した場合に、前記管理データを更新する（３）に記載のアカウント生成管理装置。

このような構成によれば、アカウント生成管理装置は、アカウントが削除されたことに応じて、ブラインド署名された削除要求メッセージの正当性が確認されると、管理データの更新を行う。したがって、アカウント生成管理装置は、サービスプロバイダとの間でＩＤ等のプライバシ情報を保護したまま、アカウントの生成及び削除に応じて、アカウント生成可能な残数を正確に記憶し、単一ユーザによる複数のアカウントの生成を管理できる。

（５）前記削除要求メッセージは、前記管理データにより示される前記新たに生成可能なアカウントの数を含む（４）に記載のアカウント生成管理装置。

このような構成によれば、アカウント生成管理装置が受け取る削除要求メッセージには、生成可能なアカウントの数が含まれる。したがって、アカウント生成管理装置は、既に処理されたのと同一の削除要求メッセージや、不正な削除要求メッセージによって管理データが誤って更新されるのを抑制できる。

（６）ネットワーク上のサービスにおいて認証されるアカウントの生成をコンピュータが管理するアカウント生成管理方法であって、ユーザを識別するＩＤに対応付けて、前記サービスに対する新たなアカウントの生成を許可するか否かを示す管理データを記憶する記憶ステップと、前記ＩＤにより認証された端末から、生成要求されたアカウント情報を含む生成要求メッセージに対してブラインド関数により暗号化された暗号データを受信する生成要求受信ステップと、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可することを示している場合、前記暗号データに対して秘密鍵により署名を行い、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可しないことを示している場合、前記暗号データに対して署名を行わない署名処理ステップと、前記署名処理ステップにおいて署名された第１の署名データを、前記端末へ送信する送信ステップと、を含むアカウント生成管理方法。

このような構成によれば、アカウント生成管理方法をコンピュータが実行することにより、（１）と同様の効果が期待できる。

（７）ネットワーク上のサービスにおいて認証されるアカウントの生成をコンピュータに管理させるためのアカウント生成管理プログラムであって、ユーザを識別するＩＤに対応付けて、前記サービスに対する新たなアカウントの生成を許可するか否かを示す管理データを記憶する記憶ステップと、前記ＩＤにより認証された端末から、生成要求されたアカウント情報を含む生成要求メッセージに対してブラインド関数により暗号化された暗号データを受信する生成要求受信ステップと、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可することを示している場合、前記暗号データに対して秘密鍵により署名を行い、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可しないことを示している場合、前記暗号データに対して署名を行わない署名処理ステップと、前記署名処理ステップにおいて署名された第１の署名データを、前記端末へ送信する送信ステップと、を実行させるためのアカウント生成管理プログラム。

このような構成によれば、アカウント生成管理プログラムをコンピュータに実行させることにより、（１）と同様の効果が期待できる。

本発明によれば、ブラインド署名サービスにおいて、単一の利用者によるアカウントの生成の可否を管理できる。

本発明の実施形態に係るシステムの機能構成を示すブロック図である。 本発明の実施形態に係るアカウント生成管理テーブルを示す図である。 本発明の実施形態に係るアカウントの生成方法を示すシーケンス図である。 本発明の実施形態に係るアカウントの削除方法を示すシーケンス図である。

以下、本発明の実施形態の一例について説明する。
本実施形態に係るアカウント生成管理装置１は、ネットワーク上のサービスを提供するサービスプロバイダ３において認証されるユーザのアカウントについて、ユーザ端末２からの申請に応じて生成を管理する装置である。

なお、アカウント生成管理装置１は、サーバ装置やＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等、様々な情報処理装置（コンピュータ）であってよく、後述の各機能は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、上記情報処理装置にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。

図１は、本実施形態に係るアカウント生成管理装置１を含むシステムの機能構成を示すブロック図である。

ユーザ端末２は、サービスを提供するサービスプロバイダ（ＳＰ）３と、ネットワーク（インターネット）を介して接続されている。また、同様に、ユーザ端末２は、このサービスプロバイダ３で認証されるアカウントの生成の可否を管理するアカウント生成管理装置１（ブラインド署名サービス：ＢＳＳ）と、ネットワークを介して接続されている。

アカウント生成管理装置１は、制御部１１と記憶部１２とを備える。
制御部１１は、アカウント生成管理装置１の全体を制御する部分であり、記憶部１２に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各種機能を実現している。制御部１１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってよい。なお、制御部１１が備える各部の機能は後述する。

記憶部１２は、ハードウェア群をアカウント生成管理装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）であってよい。具体的には、記憶部１２には、本実施形態の各種機能を制御部１１に実行させるプログラムと、ユーザ及びサービスプロバイダ３毎にアカウントの生成の可否を示す管理データを記憶する。

図２は、本実施形態に係る記憶部１２に格納されているアカウント生成管理テーブルを示す図である。

アカウント生成管理テーブルには、アカウント生成管理装置１においてユーザを識別するＩＤ_ＢＳＳに対応付けて、サービスに対する新たなアカウントの生成を許可するか否かを示す管理データが記憶される。具体的には、管理データは、ＩＤ_ＢＳＳに対して新たに生成可能なアカウントの数を示すデータであり、サービスプロバイダ３においてユーザが新たにアカウントを生成できる数が、サービスプロバイダ３毎に設定されている。

制御部１１は、生成要求受信部１１１と、署名処理部１１２と、送信部１１３と、生成時更新部１１４と、削除要求受信部１１５と、削除時更新部１１６とを備え、上述の管理データを参照及び更新することにより、アカウントの生成を管理する。

また、ユーザ端末２の制御部は、ユーザからの指示入力に基づいてアカウントの生成処理を実行する生成処理部２１（暗号部２１１及び復号部２１２）と、同様に、ユーザからの指示入力に基づいてアカウントの削除処理を実行する削除処理部２２（暗号部２２１及び復号部２２２）とを備える。また、サービスプロバイダ３の制御部は、アカウント生成部３０１と、アカウント削除部３０２と、署名処理部３０３とを備える。

生成要求受信部１１１は、ＩＤ_ＢＳＳ及びパスワード（ＰＷ_ＢＳＳ）により認証されたユーザ端末２から、生成要求メッセージに対してブラインド関数により暗号化された暗号データを受信する。この暗号データは、ユーザ端末２の暗号部２１１により生成される。また、生成要求メッセージ（ｍ_１）は、生成要求されたアカウント情報を含み、例えば、「ｍ_１＝ＩＤ_ＳＰ‖ＰＷ_ＳＰ‖ＣＯＭ」の形式であってよい。なお、ＩＤ_ＳＰ及びＰＷ_ＳＰは、それぞれサービスプロバイダ３に対して申請するＩＤ及びパスワードである。また、ＣＯＭは、申請内容、すなわちアカウントの生成を示すコマンドである。

ここで、ブラインド関数とは、サービスプロバイダ３で管理されるユーザの個人情報（ＩＤ_ＳＰ及びＰＷ_ＳＰ）を含むメッセージｍ_１を、アカウント生成管理装置１に対して秘匿するための暗号化関数（Ｂ（ｍ_１））である。具体的には、例えば、アカウント生成管理装置１の公開鍵ｅ、及びユーザ端末２で生成される乱数ｒを用いて、「Ｂ（ｍ_１）＝ｍ_１ｒ^ｅ」と定義できる。

署名処理部１１２は、記憶部１２のアカウント生成管理テーブルを参照し、ＩＤ_ＢＳＳに対応付けられている管理データ、すなわち生成可能なアカウントの数を確認する。そして、署名処理部１１２は、この数が１以上で新たなアカウントの生成を許可することを示している場合、受信した暗号データに対して自身の秘密鍵により署名（Ｓ_ＢＳＳ（Ｂ（ｍ_１）））を行う。例えば、上述のように「Ｂ（ｍ_１）＝ｍ_１ｒ^ｅ」であれば、秘密鍵ｄを用いて、「（Ｓ_ＢＳＳ（ｍ_１ｒ^ｅ））＝ｍ_１ ^ｄｒ^ｅｄ＝ｍ_１ ^ｄｒ」と演算される。
また、署名処理部１１２は、生成可能なアカウントの数が０で新たなアカウントの生成を許可しないことを示している場合、受信した暗号データに対して署名を行わない。

送信部１１３は、署名処理部１１２により署名された第１の署名データを、ユーザ端末２へ送信する。ユーザ端末２の復号部２１２は、ブラインド関数により暗号化されたメッセージを逆関数により復号し、署名された生成要求メッセージ（Ｂ^−１（Ｓ_ＢＳＳ（Ｂ（ｍ_１）））＝Ｂ^−１（Ｂ（Ｓ_ＢＢＳ（ｍ_１）））＝Ｓ_ＢＳＳ（ｍ_１））を得る。具体的には、例えば、上述のように「Ｓ_ＢＳＳ（Ｂ（ｍ_１））＝ｍ_１ ^ｄｒ」であれば、乱数ｒの逆数ｒ^−１を用いて、「Ｂ^−１（ｍ_１ ^ｄｒ）＝ｒ^−１ｍ_１ ^ｄｒ＝ｍ_１ ^ｄ」と演算される。

そして、サービスプロバイダ３のアカウント生成部３０１は、ユーザ端末２から、生成要求メッセージ（ｍ_１）及びその署名データ（Ｓ_ＢＳＳ（ｍ_１））を受信すると、アカウント生成管理装置１の秘密鍵に対応する公開鍵によって生成要求メッセージの正当性を検証し、申請されたＩＤ_ＳＰ及びＰＷ_ＳＰでアカウントを生成する。

生成時更新部１１４は、署名処理部１１２により暗号データに対して署名が行われたことに応じて、ＩＤ_ＢＢＳに対応付けられている管理データを更新する。具体的には、生成時更新部１１４は、アカウント生成管理テーブルの生成可能数を１減少させて更新する。

削除要求受信部１１５は、サービスプロバイダ３におけるアカウントが削除されたことに応じて、ユーザ端末２から、ＩＤ_ＢＳＳを含む削除要求メッセージ（ｍ_２）、及びこの削除要求メッセージがサービスプロバイダ３の秘密鍵により署名された第２の署名データ（Ｓ_ＳＰ（ｍ_２））を受信する。

この第２の署名データは、アカウント削除部３０２によりアカウントが削除された後、サービスプロバイダ３の署名処理部３０３により署名されて生成される。このとき、削除要求メッセージは、ユーザ端末２の暗号部２２１により、上述のブラインド関数Ｂ（ｍ_２）を用いて暗号化された後に署名され（Ｓ_ＳＰ（Ｂ（ｍ_２）））、その後、復号部２２２により復号される（Ｂ^−１（Ｓ_ＳＰ（Ｂ（ｍ_２）））＝Ｓ_ＳＰ（ｍ_２））。

また、削除要求メッセージ（ｍ_２）は、アカウント生成管理装置１で識別されるユーザのＩＤ_ＢＳＳ、及び管理データにより示される新たに生成可能なアカウントの数（ｎｕｍ）を含み、例えば、「ｍ_２＝ＩＤ_ＢＢＳ‖ＣＯＭ‖ｎｕｍ」の形式であってよい。なお、ＣＯＭは、申請内容、すなわちアカウントの削除を示すコマンドである。

削除時更新部１１６は、第２の署名データを、サービスプロバイダ３の秘密鍵に対応する公開鍵により復号し、削除要求メッセージの正当性を確認した場合に、ＩＤ_ＢＢＳに対応付けられている管理データを更新する。具体的には、削除時更新部１１６は、アカウント生成管理テーブルの生成可能数を１増加させて更新する。

図３は、本実施形態に係るアカウントの生成方法を示すシーケンス図である。
なお、ユーザは、アカウント生成管理装置１（ＢＳＳ）に対して、事前にアカウント（ＩＤ_ＢＳＳ及びＰＷ_ＢＳＳ）を取得しており、アカウント生成管理装置１は、ユーザを正しく認証できる。また、アカウント生成管理装置１（ＢＳＳ）とサービスプロバイダ３（ＳＰ）の公開鍵は公開されており、相互に又は認証機関により、その正当性を確認することができるものとする。

ステップＳ１において、ユーザ端末２は、ＩＤ_ＳＰとＰＷ_ＳＰの組合せについて、サービスプロバイダ３で利用可能であることを確認した後、生成要求メッセージ（ｍ_１＝ＩＤ_ＳＰ‖ＰＷ_ＳＰ‖ＣＯＭ）を生成する。

ステップＳ２において、ユーザ端末２は、ブラインド関数によりｍ_１を暗号化する（Ｂ（ｍ_１））。

ステップＳ３において、ユーザ端末２は、ＩＤ_ＢＳＳ及びＰＷ_ＢＳＳを用いてアカウント生成管理装置１にログインし、アカウント生成管理装置１の認証を得る。

ステップＳ４において、ユーザ端末２は、ステップＳ２で暗号化されたメッセージ（Ｂ（ｍ_１））を、アカウント生成管理装置１へ送信する。

ステップＳ５において、アカウント生成管理装置１は、ＩＤ_ＢＳＳ及びサービスプロバイダ３の識別データに基づいて、アカウント生成管理テーブルの生成可能数（ｎｕｍ）を参照し、アカウントの生成が可能か否かを判定する。生成が可能（判定がＹＥＳ）の場合、処理はステップＳ６に移る。一方、生成が不可能（判定がＮＯ）の場合、アカウント生成管理装置１は、ユーザ端末２へ、エラー通知を行う。

ステップＳ６において、アカウント生成管理装置１は、ステップＳ４で受信した暗号化されたメッセージ（Ｂ（ｍ_１））に対して、自身の秘密鍵を用いて署名を行い、第１の署名データ（Ｓ_ＢＢＳ（Ｂ（ｍ_１）））を生成する。

ステップＳ７において、アカウント生成管理装置１は、ステップＳ６で生成された第１の署名データ（Ｓ_ＢＢＳ（Ｂ（ｍ_１）））を、ユーザ端末２へ送信する。

ステップＳ８において、アカウント生成管理装置１は、アカウントの生成申請に伴って、アカウント生成管理テーブルの生成可能数（ｎｕｍ）を１減少して更新する。

ステップＳ９において、ユーザ端末２は、ステップＳ７で受信した第１の署名データ（Ｓ_ＢＢＳ（Ｂ（ｍ_１）））を、ブラインド関数の逆関数により復号し、復号された生成要求メッセージの署名データ（Ｓ_ＢＢＳ（ｍ_１））を得る。

ステップＳ１０において、ユーザ端末２は、ステップＳ１で生成した生成要求メッセージ（ｍ_１）と、ステップＳ９で取得した署名データ（Ｓ_ＢＢＳ（ｍ_１））とを、サービスプロバイダ３へ送信する。

ステップＳ１１において、サービスプロバイダ３は、ステップＳ１０で受信した署名データを、アカウント生成管理装置１の公開鍵により検証し、生成要求メッセージが正当か否かを判定する。正当な（判定がＹＥＳの）場合、処理はステップＳ１２に移る。一方、正当でない（判定がＮＯの）場合、サービスプロバイダ３は、ユーザ端末２へ、エラー通知を行う。

ステップＳ１２において、サービスプロバイダ３は、ステップＳ１１で正当性が確認された生成要求メッセージ（ｍ_１）に含まれるＩＤ_ＳＰとＰＷ_ＳＰの組合せでアカウントを生成し、ユーザ端末２へ完了通知を行う。
以降、ユーザは、ＩＤ_ＳＰとＰＷ_ＳＰの組合せを利用して、サービスプロバイダ３へログイン可能となる。

図４は、本実施形態に係るアカウントの削除方法を示すシーケンス図である。
なお、サービスプロバイダ３において、ＩＤ_ＳＰとＰＷ_ＳＰの組合せでアカウントが生成済みであるものとする。

ステップＳ２１において、ユーザ端末２は、アカウント生成管理装置１に対して、ＩＤ_ＢＳＳ及びサービスプロバイダ３の識別データに対応する管理データを問い合わせ、アカウント生成管理テーブルの生成可能数（ｎｕｍ）を取得した後、削除要求メッセージ（ｍ_２＝ＩＤ_ＢＳＳ‖ＣＯＭ‖ｎｕｍ）を生成する。

ステップＳ２２において、ユーザ端末２は、ブラインド関数によりｍ_２を暗号化する（Ｂ（ｍ_２））。

ステップＳ２３において、ユーザ端末２は、ＩＤ_ＳＰ及びＰＷ_ＳＰを用いてサービスプロバイダ３にログインし、サービスプロバイダ３の認証を得る。

ステップＳ２４において、ユーザ端末２は、アカウント（ＩＤ_ＳＰ及びＰＷ_ＳＰ）の削除を申請すると共に、ステップＳ２２で暗号化されたメッセージ（Ｂ（ｍ_２））を、サービスプロバイダ３へ送信する。

ステップＳ２５において、サービスプロバイダ３は、削除申請されたアカウント（ＩＤ_ＳＰ及びＰＷ_ＳＰ）を削除する。

ステップＳ２６において、サービスプロバイダ３は、ステップＳ２４で受信した暗号化されたメッセージ（Ｂ（ｍ_２））に対して、自身の秘密鍵を用いて署名を行う（Ｓ_ＳＰ（Ｂ（ｍ_２）））。

ステップＳ２７において、サービスプロバイダ３は、ステップＳ２６で生成された署名データ（Ｓ_ＳＰ（Ｂ（ｍ_２）））を、ユーザ端末２へ送信する。

ステップＳ２８において、ユーザ端末２は、ステップＳ２７で受信した署名データ（Ｓ_ＳＰ（Ｂ（ｍ_２）））を、ブラインド関数の逆関数により復号し、復号された削除要求メッセージの署名データである第２の署名データ（Ｓ_ＳＰ（ｍ_２））を得る。

ステップＳ２９において、ユーザ端末２は、ステップＳ２１で生成した削除要求メッセージ（ｍ_２）と、ステップＳ２８で取得した第２の署名データ（Ｓ_Ｓｐ（ｍ_２））とを、アカウント生成管理装置１へ送信する。

ステップＳ３０において、アカウント生成管理装置１は、ステップＳ２９で受信した第２の署名データを、サービスプロバイダ３の公開鍵により検証し、削除要求メッセージが正当か否かを判定する。正当な（判定がＹＥＳの）場合、処理はステップＳ３１に移る。一方、正当でない（判定がＮＯの）場合、アカウント生成管理装置１は、ユーザ端末２へ、エラー通知を行う。

ステップＳ３１において、アカウント生成管理装置１は、ステップＳ３０で正当性が確認された削除要求メッセージ（ｍ_２）に含まれるｎｕｍの値が、現在のアカウント生成管理テーブルの生成可能数（ｎｕｍ）と一致しているか否かを判定する。一致している（判定がＹＥＳの）場合、処理はステップＳ３２に移る。一方、一致していない（判定がＮＯの）場合、アカウント生成管理装置１は、ユーザ端末２へ、エラー通知を行う。

ステップＳ３２において、アカウント生成管理装置１は、アカウントの削除申請に伴って、アカウント生成管理テーブルの生成可能数（ｎｕｍ）を１増加して更新する。

以上のように、本実施形態によれば、アカウント生成管理装置１は、ユーザのプライバシ情報を保護できるブラインド署名を用いてサービスプロバイダ３のアカウントを生成する際に、アカウントの生成を許可するか否かを判断して、署名を行う。したがって、アカウント生成管理装置１は、サービスプロバイダ３ではＩＤ_ＢＳＳを把握できない単一のユーザによるアカウントの生成の可否を管理できる。
このとき、アカウント生成管理装置１は、管理データとして、サービスプロバイダ３において新たに生成可能なアカウントの数を記憶するので、ユーザのプライバシ情報を保護したまま、単一のユーザによる所定数以上のアカウントの生成を制限できる。

さらに、アカウント生成管理装置１は、生成要求メッセージの署名を行うと共に、生成可能なアカウントの数を示す管理データを更新するので、アカウント生成可能な残数を正確に記憶し、単一のユーザによる複数のアカウントの生成を管理できる。

また、アカウント生成管理装置１は、アカウントが削除されたことに応じて、ブラインド署名された削除要求メッセージの正当性が確認されると、管理データの更新を行う。したがって、アカウント生成管理装置１は、サービスプロバイダ３との間で互いのＩＤ等のプライバシ情報を保護したまま、アカウントの生成及び削除に応じて、アカウント生成可能な残数を正確に記憶し、単一のユーザによる複数のアカウントの生成を管理できる。

さらに、アカウント生成管理装置１が受け取る削除要求メッセージには、生成可能なアカウントの数が含まれるので、既に処理されたのと同一の削除要求メッセージや、不正な削除要求メッセージによって管理データが誤って更新されるのを抑制できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。

前述の実施形態では、アカウントの生成可能数を管理したが、管理データはこれには限られない。例えば、アカウント生成管理装置１は、ユーザの年齢や居住地域等の属性を証明することによって、アカウントの生成を管理してもよい。この場合、アカウント生成管理テーブルには、属性情報そのもの、属性情報を伴ったアカウント、あるいは属性情報に基づくアカウント生成の可否が、サービスプロバイダ３のポリシーに従って、記憶されればよい。

１ アカウント生成管理装置
２ ユーザ端末
３ サービスプロバイダ
１１ 制御部
１２ 記憶部
１１１ 生成要求受信部
１１２ 署名処理部
１１３ 送信部
１１４ 生成時更新部
１１５ 削除要求受信部
１１６ 削除時更新部

Claims (7)

1. ネットワーク上のサービスにおいて認証されるアカウントの生成を管理するアカウント生成管理装置であって、
   ユーザを識別するＩＤに対応付けて、前記サービスに対する新たなアカウントの生成を許可するか否かを示す管理データを記憶する記憶部と、
   前記ＩＤにより認証された端末から、生成要求されたアカウント情報を含む生成要求メッセージに対してブラインド関数により暗号化された暗号データを受信する生成要求受信部と、
   前記記憶部において、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可することを示している場合、前記暗号データに対して秘密鍵により署名を行い、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可しないことを示している場合、前記暗号データに対して署名を行わない署名処理部と、
   前記署名処理部により署名された第１の署名データを、前記端末へ送信する送信部と、を備えるアカウント生成管理装置。
2. 前記管理データは、前記ＩＤに対して新たに生成可能なアカウントの数を示す請求項１に記載のアカウント生成管理装置。
3. 前記署名処理部により前記暗号データに対して署名が行われたことに応じて、前記ＩＤに対応付けられている管理データを更新する更新部を備える請求項２に記載のアカウント生成管理装置。
4. 前記サービスにおけるアカウントが削除されたことに応じて、前記端末から、前記ＩＤを含む削除要求メッセージ、及び当該削除要求メッセージが前記サービスの秘密鍵により署名された第２の署名データを受信する削除要求受信部を備え、
   前記更新部は、前記第２の署名データを前記サービスの秘密鍵に対応する公開鍵により復号し、前記削除要求メッセージの正当性を確認した場合に、前記管理データを更新する請求項３に記載のアカウント生成管理装置。
5. 前記削除要求メッセージは、前記管理データにより示される前記新たに生成可能なアカウントの数を含む請求項４に記載のアカウント生成管理装置。
6. ネットワーク上のサービスにおいて認証されるアカウントの生成をコンピュータが管理するアカウント生成管理方法であって、
   ユーザを識別するＩＤに対応付けて、前記サービスに対する新たなアカウントの生成を許可するか否かを示す管理データを記憶する記憶ステップと、
   前記ＩＤにより認証された端末から、生成要求されたアカウント情報を含む生成要求メッセージに対してブラインド関数により暗号化された暗号データを受信する生成要求受信ステップと、
   前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可することを示している場合、前記暗号データに対して秘密鍵により署名を行い、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可しないことを示している場合、前記暗号データに対して署名を行わない署名処理ステップと、
   前記署名処理ステップにおいて署名された第１の署名データを、前記端末へ送信する送信ステップと、を含むアカウント生成管理方法。
7. ネットワーク上のサービスにおいて認証されるアカウントの生成をコンピュータに管理させるためのアカウント生成管理プログラムであって、
   ユーザを識別するＩＤに対応付けて、前記サービスに対する新たなアカウントの生成を許可するか否かを示す管理データを記憶する記憶ステップと、
   前記ＩＤにより認証された端末から、生成要求されたアカウント情報を含む生成要求メッセージに対してブラインド関数により暗号化された暗号データを受信する生成要求受信ステップと、
   前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可することを示している場合、前記暗号データに対して秘密鍵により署名を行い、前記ＩＤに対応付けられている管理データが新たなアカウントの生成を許可しないことを示している場合、前記暗号データに対して署名を行わない署名処理ステップと、
   前記署名処理ステップにおいて署名された第１の署名データを、前記端末へ送信する送信ステップと、を実行させるためのアカウント生成管理プログラム。

Images