JP3331329B2 - 公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体 - Google Patents
公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体Info
- Publication number
- JP3331329B2 JP3331329B2 JP4451599A JP4451599A JP3331329B2 JP 3331329 B2 JP3331329 B2 JP 3331329B2 JP 4451599 A JP4451599 A JP 4451599A JP 4451599 A JP4451599 A JP 4451599A JP 3331329 B2 JP3331329 B2 JP 3331329B2
- Authority
- JP
- Japan
- Prior art keywords
- signature
- blind
- unblinder
- signer
- ciphertext
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
- 238000000034 method Methods 0.000 title claims description 20
- 238000012795 verification Methods 0.000 title claims description 9
- 238000012805 post-processing Methods 0.000 claims description 10
- 238000012545 processing Methods 0.000 claims description 6
- 238000007781 pre-processing Methods 0.000 claims description 3
- 238000004891 communication Methods 0.000 description 8
- 238000010586 diagram Methods 0.000 description 8
- 238000007689 inspection Methods 0.000 description 5
- 230000005540 biological transmission Effects 0.000 description 2
- 238000012546 transfer Methods 0.000 description 2
- 241001582325 Raphia frater Species 0.000 description 1
- 238000007796 conventional method Methods 0.000 description 1
Landscapes
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Description
【０００１】
【発明の属する技術分野】この発明は、電気通信システ
ムで無記名投票を実現する場合や、プライバシを重視し
た追跡不可能型のデジタル署名を実現する場合等で利用
されるブラインド署名の効率的な実現方法及びその装置
に関する。
ムで無記名投票を実現する場合や、プライバシを重視し
た追跡不可能型のデジタル署名を実現する場合等で利用
されるブラインド署名の効率的な実現方法及びその装置
に関する。
【０００２】
【従来の技術】デジタル情報が改ざんされていないこと
を保証する技術としてデジタル署名がある。デジタル署
名方式の代表的な例として、ＲＳＡ暗号（R.L. Rivest,
etal.“A Method for Obtaining Digital Signatures
and Public-Key Cryptosystems”，Communications of
the ACM, Vol. 21, No.2, pp.120-126,(1978))を利用し
た方式がある。ＲＳＡ暗号は、以下の通りである。
を保証する技術としてデジタル署名がある。デジタル署
名方式の代表的な例として、ＲＳＡ暗号（R.L. Rivest,
etal.“A Method for Obtaining Digital Signatures
and Public-Key Cryptosystems”，Communications of
the ACM, Vol. 21, No.2, pp.120-126,(1978))を利用し
た方式がある。ＲＳＡ暗号は、以下の通りである。
【０００３】署名者Ａは、署名用鍵（ｄ，ｎ）と検査用
鍵（ｅ，ｎ）を、 ｎ＝ｐ×ｑ ｅ×ｄ≡１（mod LCM ｛（ｐ−１），（ｑ−１）｝） （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、ＬＣＭ｛ａ，ｂ｝は整数ａと
ｂの最小公倍数を表して、ｐとｑは異なる２つの大きな
素数とする。また、ａ≡ｂ（mod Ｌ）は、ａ−ｂがＬの
倍数であることを表す。
鍵（ｅ，ｎ）を、 ｎ＝ｐ×ｑ ｅ×ｄ≡１（mod LCM ｛（ｐ−１），（ｑ−１）｝） （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、ＬＣＭ｛ａ，ｂ｝は整数ａと
ｂの最小公倍数を表して、ｐとｑは異なる２つの大きな
素数とする。また、ａ≡ｂ（mod Ｌ）は、ａ−ｂがＬの
倍数であることを表す。
【０００４】ＲＳＡ暗号は、ｎが大きいときｎの素因数
分解が困難なことに安全性の根拠を持つ暗号系であり、
公開された検査用鍵（ｎ，ｅ）から秘密の署名用鍵のｄ
成分を求めることは困難である。検証者Ｂは、署名者Ａ
の検査用鍵（ｅ，ｎ）を個人識別情報（ＩＤ）と組合わ
せて管理する。認証用の鍵を管理するセンタを設けて、
そのセンタが検査用鍵を公開情報管理簿として管理する
ことも多い。
分解が困難なことに安全性の根拠を持つ暗号系であり、
公開された検査用鍵（ｎ，ｅ）から秘密の署名用鍵のｄ
成分を求めることは困難である。検証者Ｂは、署名者Ａ
の検査用鍵（ｅ，ｎ）を個人識別情報（ＩＤ）と組合わ
せて管理する。認証用の鍵を管理するセンタを設けて、
そのセンタが検査用鍵を公開情報管理簿として管理する
ことも多い。
【０００５】署名関数Ｄと検証関数Ｅを Ｄ（ｘ）＝ｘd mod ｎ （２） Ｅ（ｙ）＝ｙe mod ｎ （３） で定義する。０＜ｘ＜ｎをみたすと整数ｘに対して Ｅ（Ｄ（ｘ））＝ｘ が成り立つことが示せる。ここで、ａmod ｎは、ａをｎ
で割ったときの余りを表す。
で割ったときの余りを表す。
【０００６】ＲＳＡ暗号を利用したデジタル署名方式は
以下の通りである。署名者Ａは、一方向性関数ｆを用い
て文書ｍから生成したｆ（ｍ）に対して、秘密の署名関
数Ｄを適用してσ＝Ｄ（ｆ（ｍ））で署名σを生成し、
個人識別情報（ＩＤ）と文書ｍと署名σの組合せ（Ｉ
Ｄ，ｍ，σ）を署名付通信文として検証者Ｖに送信す
る。検証者Ｖは、ＩＤをキーに検査用鍵の登録された公
開情報管理簿を検索して検証関数Ｅを求めて、署名付通
信文のσ成分からＥ（σ）を求め、これが、ｍから求め
たｆ（ｍ）と一致するか検査する。Ｅ（σ）＝ｆ（ｍ）
が成り立てば、署名関数Ｄを知っているのは真の署名者
Ａだけであるから、送信者（署名者）が本物のＡであ
り、（ＩＤ，ｍ，σ）は改ざんされていないと判断す
る。
以下の通りである。署名者Ａは、一方向性関数ｆを用い
て文書ｍから生成したｆ（ｍ）に対して、秘密の署名関
数Ｄを適用してσ＝Ｄ（ｆ（ｍ））で署名σを生成し、
個人識別情報（ＩＤ）と文書ｍと署名σの組合せ（Ｉ
Ｄ，ｍ，σ）を署名付通信文として検証者Ｖに送信す
る。検証者Ｖは、ＩＤをキーに検査用鍵の登録された公
開情報管理簿を検索して検証関数Ｅを求めて、署名付通
信文のσ成分からＥ（σ）を求め、これが、ｍから求め
たｆ（ｍ）と一致するか検査する。Ｅ（σ）＝ｆ（ｍ）
が成り立てば、署名関数Ｄを知っているのは真の署名者
Ａだけであるから、送信者（署名者）が本物のＡであ
り、（ＩＤ，ｍ，σ）は改ざんされていないと判断す
る。
【０００７】ここで、ｆが一方向性関数とは、ｘからｆ
（ｘ）を求める計算は容易であるが、ｆ（ｘ）からｘを
求めるのが困難な関数である。ｆは高速な慣用暗号化装
置、例えばＤＥＳ暗号（Data, Encryption Standard, F
ederal Information Rrocessing Standards Publicatio
n 46, 1977）を用いて構成できる。ここで、利用者のプ
ライバシを保証できるブラインド署名について説明す
る。ブラインド署名では、署名者に文書の内容を秘密に
したままで署名を付けてもらうことができる。ＲＳＡ法
に基づいた方式が文献 D.Chaum, “Security withoutId
entification: Transaction Systems to Make Big Brot
her Obsolete ，”Comm. of the ACM, 28, 10, pp.1030
-1044(1985)で、対話証明に基づいたブラインド署名が
文献T.Okamoto etal. “Divertible Zero-Knowledge In
teractive Proofs and Commutative Random Self-Reduc
ible，”The Rroc. of Eurocrypt'89(1989) で示されて
いる。
（ｘ）を求める計算は容易であるが、ｆ（ｘ）からｘを
求めるのが困難な関数である。ｆは高速な慣用暗号化装
置、例えばＤＥＳ暗号（Data, Encryption Standard, F
ederal Information Rrocessing Standards Publicatio
n 46, 1977）を用いて構成できる。ここで、利用者のプ
ライバシを保証できるブラインド署名について説明す
る。ブラインド署名では、署名者に文書の内容を秘密に
したままで署名を付けてもらうことができる。ＲＳＡ法
に基づいた方式が文献 D.Chaum, “Security withoutId
entification: Transaction Systems to Make Big Brot
her Obsolete ，”Comm. of the ACM, 28, 10, pp.1030
-1044(1985)で、対話証明に基づいたブラインド署名が
文献T.Okamoto etal. “Divertible Zero-Knowledge In
teractive Proofs and Commutative Random Self-Reduc
ible，”The Rroc. of Eurocrypt'89(1989) で示されて
いる。
【０００８】ブラインド署名の考え方は以下のとおりで
ある。署名の要求者Ｐは、ブラインド署名前処理によっ
て文書（ｍ）を乱数（ｒ）で攪乱してブラインドメッセ
ージ（ｍ′）を生成する。署名者Ａは、秘密の署名用鍵
を用いてｍ′に対応する仮の署名（σ′）を計算する。
このとき、ｍはｒによって攪乱されているので、署名者
は文書（ｍ）を知ることはできない。要求者Ｐは、ブラ
インド署名後処理によってσ′から乱数（ｒ）の影響を
除去して、本来の文書（ｍ）に対する真の署名（σ）を
求めて、ｍとσの組を検証者に送信する。検証者は、署
名者の公開鍵を用いてσがｍの署名であることを確認す
る。ここで、複数の文書が署名者Ａによって署名される
場合、署名者Ａと検証者が、たとえ協力したとしてもあ
るσがいずれのσ′に対応つくかを知ることはできな
い。
ある。署名の要求者Ｐは、ブラインド署名前処理によっ
て文書（ｍ）を乱数（ｒ）で攪乱してブラインドメッセ
ージ（ｍ′）を生成する。署名者Ａは、秘密の署名用鍵
を用いてｍ′に対応する仮の署名（σ′）を計算する。
このとき、ｍはｒによって攪乱されているので、署名者
は文書（ｍ）を知ることはできない。要求者Ｐは、ブラ
インド署名後処理によってσ′から乱数（ｒ）の影響を
除去して、本来の文書（ｍ）に対する真の署名（σ）を
求めて、ｍとσの組を検証者に送信する。検証者は、署
名者の公開鍵を用いてσがｍの署名であることを確認す
る。ここで、複数の文書が署名者Ａによって署名される
場合、署名者Ａと検証者が、たとえ協力したとしてもあ
るσがいずれのσ′に対応つくかを知ることはできな
い。
【０００９】ＲＳＡ法を利用したブラインド署名の実現
法は以下の通り。Ｓｔｅｐ１ 署名要求者Ｐは乱数ｒ∈
（Ｚ／ｎＺ）を生成して、文書ｍから ｍ′＝ｒe ×ｍ mod n （４） でｍ′を生成して、署名者Ａに送信する。Ｓｔｅｐ２
Ａは秘密の署名用鍵ｄを用いて、 σ′＝ｍ′d mod ｎ （５） でσ′を生成して、Ｐに送信する。
法は以下の通り。Ｓｔｅｐ１ 署名要求者Ｐは乱数ｒ∈
（Ｚ／ｎＺ）を生成して、文書ｍから ｍ′＝ｒe ×ｍ mod n （４） でｍ′を生成して、署名者Ａに送信する。Ｓｔｅｐ２
Ａは秘密の署名用鍵ｄを用いて、 σ′＝ｍ′d mod ｎ （５） でσ′を生成して、Ｐに送信する。
【００１０】Ｓｔｅｐ３ Ｐは、ｍに対応したＡの真の
ディジタル署名σを σ＝σ′／ｒmod ｎ （６） で算出して、ｍとσを検証者Ｖに送信する。Ｓｔｅｐ４
Ｖは ｍ＝σe mod ｎ （７） が成立するかを検査する。
ディジタル署名σを σ＝σ′／ｒmod ｎ （６） で算出して、ｍとσを検証者Ｖに送信する。Ｓｔｅｐ４
Ｖは ｍ＝σe mod ｎ （７） が成立するかを検査する。
【００１１】ここで、σe ≡（σ′／ｒ）e ≡σ′e ／
ｒe ≡ｍ′／ｒe ≡（ｒe ・ｍ）／ｒe ≡ｍ（mod ｎ）
が成り立つので、σはｍの署名である。なお、上の例で
０＜ｍ＜ｎの場合にはｍを検証者Ｖが復元可能なのでＶ
にｍを送信する必要がないが、ｍが長い場合にハッシュ
値ｆ（ｍ）を計算してその値を上記のｍとみなして処理
する場合もあるので、その場合には検証者がｆ（ｍ）を
計算するために文書ｍの送信が必要となることに注意。
ｒe ≡ｍ′／ｒe ≡（ｒe ・ｍ）／ｒe ≡ｍ（mod ｎ）
が成り立つので、σはｍの署名である。なお、上の例で
０＜ｍ＜ｎの場合にはｍを検証者Ｖが復元可能なのでＶ
にｍを送信する必要がないが、ｍが長い場合にハッシュ
値ｆ（ｍ）を計算してその値を上記のｍとみなして処理
する場合もあるので、その場合には検証者がｆ（ｍ）を
計算するために文書ｍの送信が必要となることに注意。
【００１２】簡単のため、以下のような記法を用いる。 ｍ′＝Ψ（ｍ，ｒ）：ブラインド署名前処理関数 σ′＝ΣA （ｍ′）：署名者Ａの署名作成関数 ｙ＝Φ（σ′，ｒ）：ブラインド署名後処理関数 合格／不合格＝ＶA （ｍ，ｙ）：署名者Ａの署名検証関
数 上記の例では、ｍ′＝Ψ（ｍ，ｒ）＝ｒe ×ｍ mod n，
σ′＝ΣA （ｍ′）＝ｍ′d mod ｎ，σ＝Φ（σ′，
ｒ）＝σ′／ｒmod ｎ，ＶA は「ｙe ≡ｍ mod nの場
合、かつ、この場合に限って、合格＝ＶA （ｍ，ｙ）」
となっていることに注意。
数 上記の例では、ｍ′＝Ψ（ｍ，ｒ）＝ｒe ×ｍ mod n，
σ′＝ΣA （ｍ′）＝ｍ′d mod ｎ，σ＝Φ（σ′，
ｒ）＝σ′／ｒmod ｎ，ＶA は「ｙe ≡ｍ mod nの場
合、かつ、この場合に限って、合格＝ＶA （ｍ，ｙ）」
となっていることに注意。
【００１３】ディジタル署名を用いた電子投票方式は、
例えば、太田和夫：“単一の選挙管理者を用いた電子投
票方式”，昭和６３年電子情報通信学会春季全国大会，
Ａ−２９４（昭６３−３）で提案されている。ブライン
ド署名は、電子現金方式において利用者のプライバシを
保証するための基本的な技術として用いられており、例
えば、D.Chaum, A.Fiat and M.Naor, “Untraceable El
ectronic Cash ，”Advances in Cryptology-Crypto'8
8，Lecture Notes in Computer Science 403 ，pp.319-
327，Springer-Verlag, Berlin(1988) やT. Okamoto et
al.“DisposableZero-Knowledge Authentications and
Their Applications to Untraceable Electronic Cash
，”Advances in Cryptology-Crypto'89，Lecture Not
es in Computer Science 435, pp.481-496, Springer-V
erlag, Berlin(1989)などがある。
例えば、太田和夫：“単一の選挙管理者を用いた電子投
票方式”，昭和６３年電子情報通信学会春季全国大会，
Ａ−２９４（昭６３−３）で提案されている。ブライン
ド署名は、電子現金方式において利用者のプライバシを
保証するための基本的な技術として用いられており、例
えば、D.Chaum, A.Fiat and M.Naor, “Untraceable El
ectronic Cash ，”Advances in Cryptology-Crypto'8
8，Lecture Notes in Computer Science 403 ，pp.319-
327，Springer-Verlag, Berlin(1988) やT. Okamoto et
al.“DisposableZero-Knowledge Authentications and
Their Applications to Untraceable Electronic Cash
，”Advances in Cryptology-Crypto'89，Lecture Not
es in Computer Science 435, pp.481-496, Springer-V
erlag, Berlin(1989)などがある。
【００１４】上記の方式では、署名要求者Ｐは、署名者
から署名σ′が戻されて、Ｓｔｅｐ３を実行するまで署
名の要求処理を完了することができない。例えば、電子
投票にブラインド署名を適用すると、投票者が署名要求
者であり、選挙管理委員会が署名者であり、投票集計者
が署名の検証者となるので、投票者は選挙管理委員会か
らの返事を待たなければならない。電子現金にブライン
ド署名を適用すると、利用者が署名要求者であり、電子
現金の発行銀行が署名者であり、小売店が署名の検証者
となるので、利用者は銀行からの返事を待たなければな
らない。待ち時間は、署名者の署名作成時間と署名要求
者と署名者の回線状況等に依存する。
から署名σ′が戻されて、Ｓｔｅｐ３を実行するまで署
名の要求処理を完了することができない。例えば、電子
投票にブラインド署名を適用すると、投票者が署名要求
者であり、選挙管理委員会が署名者であり、投票集計者
が署名の検証者となるので、投票者は選挙管理委員会か
らの返事を待たなければならない。電子現金にブライン
ド署名を適用すると、利用者が署名要求者であり、電子
現金の発行銀行が署名者であり、小売店が署名の検証者
となるので、利用者は銀行からの返事を待たなければな
らない。待ち時間は、署名者の署名作成時間と署名要求
者と署名者の回線状況等に依存する。
【００１５】
【発明が解決しようとする課題】署名要求者である投票
者や電子現金の利用者の待ち時間を短くするには、署名
者である選挙管理委員会や銀行の署名生成処理を高速に
することや、回線を常に使用可能とするようにしなけれ
ばならない。特に、上記の二つの例で明らかなように、
署名者（選挙管理委員会，銀行）に署名生成の処理が集
中するので、即時に署名σ′を返すようにするには、署
名者に高速にかつ高い信頼性を要求するために、署名生
成処理装置のコストが増加する問題がある。
者や電子現金の利用者の待ち時間を短くするには、署名
者である選挙管理委員会や銀行の署名生成処理を高速に
することや、回線を常に使用可能とするようにしなけれ
ばならない。特に、上記の二つの例で明らかなように、
署名者（選挙管理委員会，銀行）に署名生成の処理が集
中するので、即時に署名σ′を返すようにするには、署
名者に高速にかつ高い信頼性を要求するために、署名生
成処理装置のコストが増加する問題がある。
【００１６】この発明の目的は、投票の無記名性や電子
現金のプライバシーを保証したままで、署名要求者が署
名者からの署名を待つ必要がないブラインド署名を信頼
性を高くして実現することにある。
現金のプライバシーを保証したままで、署名要求者が署
名者からの署名を待つ必要がないブラインド署名を信頼
性を高くして実現することにある。
【００１７】
【課題を解決するための手段】この発明では、ブライン
ド署名後処理を信頼できる第三者Ｕの装置に委託する。
署名要求者装置は、ブラインドメッセージｍ′に加え
て、新たに暗号化された乱数成分ｒ′（＝ＥU （ｒ））
を導入して、ｍ′とｒ′を署名者装置に送信する。ここ
で、暗号化された乱数成分ｒ′は第三者Ｕの装置が復号
化できるように生成したものであり、Ｕの装置は復号化
した乱数ｒを用いて、署名要求者装置に代わってブライ
ンド署名後処理関数を実行する。署名者装置は、仮の署
名σ′を署名の要求者装置には返さずに、ｒ′と共に第
三者Ｕの装置に転送する。
ド署名後処理を信頼できる第三者Ｕの装置に委託する。
署名要求者装置は、ブラインドメッセージｍ′に加え
て、新たに暗号化された乱数成分ｒ′（＝ＥU （ｒ））
を導入して、ｍ′とｒ′を署名者装置に送信する。ここ
で、暗号化された乱数成分ｒ′は第三者Ｕの装置が復号
化できるように生成したものであり、Ｕの装置は復号化
した乱数ｒを用いて、署名要求者装置に代わってブライ
ンド署名後処理関数を実行する。署名者装置は、仮の署
名σ′を署名の要求者装置には返さずに、ｒ′と共に第
三者Ｕの装置に転送する。
【００１８】さらに、Ｕの不正を防ぐために、複数のＵ
（Ｕ1 ，…，ＵL ）の装置を導入するとともに、いずれ
かのＵi が不正をした場合その不正を発見できるように
各Ｕ i の装置がＵi+1 の装置に送出する情報の正当性を
検証できるようにする。
（Ｕ1 ，…，ＵL ）の装置を導入するとともに、いずれ
かのＵi が不正をした場合その不正を発見できるように
各Ｕ i の装置がＵi+1 の装置に送出する情報の正当性を
検証できるようにする。
【００１９】
【発明の実施の形態】以下では、この発明の一実施例に
ついて説明する。図１はこの発明の全体構成を示す図で
ある。署名の要求者装置１００は通信路５００を介して
署名者装置２００と結合して、署名者装置２００はアン
ブラインダー装置３００に通信路６００を介して結合し
ているとする。アンブラインダー装置３００は複数個存
在してもよく、それらは通信路７００を介して順次結合
しており、最後のアンブラインダー装置３００と検証者
装置４００との間に通信路８００がある。
ついて説明する。図１はこの発明の全体構成を示す図で
ある。署名の要求者装置１００は通信路５００を介して
署名者装置２００と結合して、署名者装置２００はアン
ブラインダー装置３００に通信路６００を介して結合し
ているとする。アンブラインダー装置３００は複数個存
在してもよく、それらは通信路７００を介して順次結合
しており、最後のアンブラインダー装置３００と検証者
装置４００との間に通信路８００がある。
【００２０】図２にこの発明の通信シーケンス例を、図
３に署名の要求者装置１００の機能構成例を、図４に署
名者装置２００の機能構成例を、図５に第ｉ番目のアン
ブラインダー装置３００−ｉの機能構成例を、図６に検
証者装置４００の機能構成例をそれぞれ示す。次に、ア
ンブラインダーがＬ個の場合のこの発明の手順を示す
（Ｌは１以上の整数）。
３に署名の要求者装置１００の機能構成例を、図４に署
名者装置２００の機能構成例を、図５に第ｉ番目のアン
ブラインダー装置３００−ｉの機能構成例を、図６に検
証者装置４００の機能構成例をそれぞれ示す。次に、ア
ンブラインダーがＬ個の場合のこの発明の手順を示す
（Ｌは１以上の整数）。
【００２１】なお、ここに示す実施例では、ＲＳＡブラ
インド署名を用いた場合について説明する。従って、署
名者は、事前にその公開鍵（ｎ，ｅ）、秘密鍵（ｄ）を
生成し、公開鍵を公開しておくことにする。ＲＳＡブラ
インド署名については、先に紹介した文献 D.Chaum,
“ Security without Identification: Transaction Sy
stems to Make Big Brother Obsolete, ”Comm. of the
ACM, 28, 10, pp.1030-1044(1985)を参照されたい。
インド署名を用いた場合について説明する。従って、署
名者は、事前にその公開鍵（ｎ，ｅ）、秘密鍵（ｄ）を
生成し、公開鍵を公開しておくことにする。ＲＳＡブラ
インド署名については、先に紹介した文献 D.Chaum,
“ Security without Identification: Transaction Sy
stems to Make Big Brother Obsolete, ”Comm. of the
ACM, 28, 10, pp.1030-1044(1985)を参照されたい。
【００２２】さらに、各アンブラインダーＵi （ｉ＝
１，…，Ｌ）の公開の暗号関数をＥiとし、Ｕi はその
秘密の復号関数Ｄi を保持するものとする。また、署名
に用いるハッシュ関数（ＳＨＡ，ＭＤ５など）をｈとす
る。Step１ 署名の要求者Ｐの装置１００は、図３に示
すように乱数生成器１０１で乱数ｒj,i （ｉ＝１，２，
…，Ｌ；ｊ＝ｉ，ｉ＋１，…，Ｌ）を生成し、乱数ｒ
j,i と文書ｍより、ハッシュ関数演算器１０７、剰余演
算器１０２と暗号器１０３を用いて、以下のブラインド
メッセージ（Ｂ1,0 ，…，ＢL,0 ）と暗号文Ｃ0を生成
する。
１，…，Ｌ）の公開の暗号関数をＥiとし、Ｕi はその
秘密の復号関数Ｄi を保持するものとする。また、署名
に用いるハッシュ関数（ＳＨＡ，ＭＤ５など）をｈとす
る。Step１ 署名の要求者Ｐの装置１００は、図３に示
すように乱数生成器１０１で乱数ｒj,i （ｉ＝１，２，
…，Ｌ；ｊ＝ｉ，ｉ＋１，…，Ｌ）を生成し、乱数ｒ
j,i と文書ｍより、ハッシュ関数演算器１０７、剰余演
算器１０２と暗号器１０３を用いて、以下のブラインド
メッセージ（Ｂ1,0 ，…，ＢL,0 ）と暗号文Ｃ0を生成
する。
【００２３】 ＢL,i ＝ｈ（ｍ）・（ｒL,i+1 …ｒL,L ）e mod ｎ，（ｉ＝０，…，Ｌ−１） Ｂj,i ＝ｈ（Ｃj ‖Ｂj+1,j ‖…‖ＢL,j ）・（ｒj,i+1 …ｒj,j ）e mod ｎ， （ｊ＝Ｌ−１，…，１；ｉ＝０，…，ｊ−１） ＣL-1 ＝ＥL （ｍ‖ｒL,L ）， Ｃi-1 ＝Ｅi （Ｃi ‖ｒi,i ‖…‖ｒL,i ）．（ｉ＝１，…，Ｌ−１） ＢL,i を求める演算器の代表としてＢL,0 を求める例を
図７Ａに示し、Ｂj,iを求める演算器の代表としてＢ
j,0 を求める例を図７Ｂに示し、Ｃi-1 を求める演算器
の例を図７Ｃに示す。 Step２ Ｐの装置１００は、（Ｂ1,0,…，ＢL,0 ）とＣ
0 を署名者装置２００に送信する。 Step３ 署名者Ａの装置２００は、図４に示すように秘
密の署名鍵ｄと剰余演算器２０２を用いて、以下の署名
（σ1,0 ，…，σL,0 ）を生成する。
図７Ａに示し、Ｂj,iを求める演算器の代表としてＢ
j,0 を求める例を図７Ｂに示し、Ｃi-1 を求める演算器
の例を図７Ｃに示す。 Step２ Ｐの装置１００は、（Ｂ1,0,…，ＢL,0 ）とＣ
0 を署名者装置２００に送信する。 Step３ 署名者Ａの装置２００は、図４に示すように秘
密の署名鍵ｄと剰余演算器２０２を用いて、以下の署名
（σ1,0 ，…，σL,0 ）を生成する。
【００２４】 σj,0 ＝Ｂj,0 d mod ｎ （＝ｈ（Ｃj ‖Ｂj+1,j ‖…‖ＢL,j ）d ・（ｒj,1 …ｒj,j ）mod ｎ） 署名者Ａの装置２００は、（σ1,0 ，…，σL,0 ）とＣ
0 をアンブラインダーＵ1 の装置３００−１に送信す
る。 Step４ アンブラインダーＵi の装置３００−ｉは、図
５Ａに示すように、受け取った（σi,i-1 ，…，σ
L,i-1 ）とＣi-1 より剰余演算器３０２と復号器３０４
を用いて、以下のブラインド署名後処理関数値
（σ i,i ，…，σL,i ）と暗号文Ｃi を生成する。
0 をアンブラインダーＵ1 の装置３００−１に送信す
る。 Step４ アンブラインダーＵi の装置３００−ｉは、図
５Ａに示すように、受け取った（σi,i-1 ，…，σ
L,i-1 ）とＣi-1 より剰余演算器３０２と復号器３０４
を用いて、以下のブラインド署名後処理関数値
（σ i,i ，…，σL,i ）と暗号文Ｃi を生成する。
【００２５】 Ｃi ‖ｒi,i ‖…‖ｒL,i ＝Ｄi （Ｃi-1 ）， σj,i ＝σj,i-1 ／ｒj,i mod ｎ．（ｊ＝ｉ，…，Ｌ） アンブラインダーＵi の装置３００−ｉは、他の署名要
求者の同様の情報とシャッフルして（順序をまぜて）
（σ i,i ，…，σL,i ）とＣi をアンブラインダーＵ
i+1 の装置３００−（ｉ＋１）に送る。 Step５ （σ i,i ，…，σL,i ）とＣi を入手したアン
ブラインダーＵ i+1 の装置３００−（ｉ＋１）は、図６
Ａに示すようにハッシュ関数演算器４０７、剰余演算器
４０２と比較器４０５を用いて（σ i,i ，…，σL,i ）
とＣi の正当性を以下の検証式が成立するかどうかで検
証することができる。
求者の同様の情報とシャッフルして（順序をまぜて）
（σ i,i ，…，σL,i ）とＣi をアンブラインダーＵ
i+1 の装置３００−（ｉ＋１）に送る。 Step５ （σ i,i ，…，σL,i ）とＣi を入手したアン
ブラインダーＵ i+1 の装置３００−（ｉ＋１）は、図６
Ａに示すようにハッシュ関数演算器４０７、剰余演算器
４０２と比較器４０５を用いて（σ i,i ，…，σL,i ）
とＣi の正当性を以下の検証式が成立するかどうかで検
証することができる。
【００２６】 σi,i e ≡ｈ（Ｃi ‖σi+1,i e mod ｎ‖…‖σL,i e mod ｎ）（mod ｎ）． Step６ アンブラインダーＵL の装置３００−Ｌは、図
５Ｂに示すようにアンブラインダーＵL-1 の装置３００
−（Ｌ−１）より受け取ったσL,L-1 とＣL-1 より剰余
演算器３０２と復号器３０４を用いて、以下のｍとσを
生成する。 ｍ‖ｒL,L ＝ＤL （ＣL-1 ）， σ＝σL,L-1 ／ｒL,L mod ｎ． アンブラインダーＵL の装置３００−Ｌは、（ｍ，σ）
を、他の署名要求者装置の同様の情報とシャッフルして
検証者装置４００に送る。 Step７ 検証者Ｖの装置４００は、図６Ｂに示すように
ハッシュ関数演算器４０７、剰余演算器４０２と比較器
４０５を用いて（ｍ，σ）の正当性を以下の検証式が成
立するかどうかで検証することができる。ｈ（ｍ）＝σ e mod ｎ
５Ｂに示すようにアンブラインダーＵL-1 の装置３００
−（Ｌ−１）より受け取ったσL,L-1 とＣL-1 より剰余
演算器３０２と復号器３０４を用いて、以下のｍとσを
生成する。 ｍ‖ｒL,L ＝ＤL （ＣL-1 ）， σ＝σL,L-1 ／ｒL,L mod ｎ． アンブラインダーＵL の装置３００−Ｌは、（ｍ，σ）
を、他の署名要求者装置の同様の情報とシャッフルして
検証者装置４００に送る。 Step７ 検証者Ｖの装置４００は、図６Ｂに示すように
ハッシュ関数演算器４０７、剰余演算器４０２と比較器
４０５を用いて（ｍ，σ）の正当性を以下の検証式が成
立するかどうかで検証することができる。ｈ（ｍ）＝σ e mod ｎ
【００２７】要求者装置１００、署名者装置２００、ア
ンブラインダー装置３００、検証者装置４００はそれぞ
れコンピュータにプログラムを解読実行させて機能させ
ることもできる。
ンブラインダー装置３００、検証者装置４００はそれぞ
れコンピュータにプログラムを解読実行させて機能させ
ることもできる。
【００２８】
【発明の効果】この発明では、署名要求者装置は、署名
者装置に送信した時点で処理が完了する。つまり、署名
者装置は署名結果を署名要求者装置には返さずに、アン
ブラインダー装置に転送するだけでよいので、従来方式
とは異なって、署名作成処理の即時性は要求されない。
者装置に送信した時点で処理が完了する。つまり、署名
者装置は署名結果を署名要求者装置には返さずに、アン
ブラインダー装置に転送するだけでよいので、従来方式
とは異なって、署名作成処理の即時性は要求されない。
【００２９】アンブラインダー装置を複数設定し、その
アンブラインダー装置は多くの署名要求者装置からのデ
ータをスクランブルすることにより最終的な署名・文書
対の匿名性を保証することができる。また、各アンブラ
インダー装置で出力された情報の正当性を検証すること
ができるため、あるアンブラインダー装置が不正を行え
ばその不正を検出できる。
アンブラインダー装置は多くの署名要求者装置からのデ
ータをスクランブルすることにより最終的な署名・文書
対の匿名性を保証することができる。また、各アンブラ
インダー装置で出力された情報の正当性を検証すること
ができるため、あるアンブラインダー装置が不正を行え
ばその不正を検出できる。
【図１】この発明方法が適用されるシステムの構成を示
す図。
す図。
【図２】この発明方法における通信シーケンスを示す
図。
図。
【図３】要求者装置の機能構成を示す図。
【図４】署名者装置の機能構成を示す図。
【図５】アンブラインダー装置の機能構成を示す図。
【図６】検証者装置の機能構成を示す図。
【図７】Ａ，Ｂは要求者装置中のハッシュ関数演算器１
０７と剰余演算器１０２の相互演算の様子を示す図、Ｃ
は暗号器１０３の詳細例を示す図である。
０７と剰余演算器１０２の相互演算の様子を示す図、Ｃ
は暗号器１０３の詳細例を示す図である。
フロントページの続き 審査官 中里 裕正 (56)参考文献 特開 平１−177164（ＪＰ，Ａ) 特開 平８−315053（ＪＰ，Ａ) (58)調査した分野(Int.Cl.7，ＤＢ名) H04L 9/32 G06F 17/60 148 ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (3)
- 【請求項１】 文書の内容を隠したままで署名をつける
ことができるブラインド署名を実現する方法において、 署名要求者装置は乱数生成器、ブラインド署名前処理関
数計算器、暗号器を備え、署名者装置は署名作成関数計
算器を備え、複数（Ｌ個）のアンブラインダー装置は復
号器、ブラインド署名後処理関数計算器を備え、検証者
装置は署名検証関数計算器を備え、 署名要求者装置は、文書ｍと乱数生成器が生成した複数
の乱数ｒ1 ，…，ｒLをブラインド署名前処理関数計算
器に入力してＬ個のブラインドメッセージＢ1，…，Ｂ
L を生成し、上記文書ｍと上記複数の乱数を暗号器に入
力して暗号文Ｃ0 を生成し、（Ｂ1 ，…，ＢL ，Ｃ0 ）
を署名者装置に送信し、 署名者装置は、受信したブラインドメッセージＢ1 ，
…，ＢL を署名作成関数計算器に入力して、署名
σ1,0 ，…，σL,0 を生成して、受信した暗号文Ｃ0 と
共にアンブラインダー装置に送信し、 第ｉ番目のアンブラインダー装置は、第ｉ−１番目のア
ンブラインダー装置（第０番目のアンブラインダー装置
は署名者装置とみなす）より受け取った（σi,i-1 ，
…，σL,i-1 ）および暗号文Ｃi-1 からブラインド署名
後処理関数計算器と復号器を用いてブラインド署名後処
理関数値（σ i,i ，…，σL,i ）および暗号文Ｃi を生
成してそれらを第ｉ＋１番目のアンブラインダー装置に
送り、 （σ i,i ，…，σL,i ）およびＣi を入手した第ｉ＋１
番目のアンブラインダー装置はσi,i を署名としてＣi
を含む他の部分の情報の正当性を検証し、 第Ｌ番目のアンブラインダー装置は、文書ｍとｍの署名
σを得て、（ｍ，σ）を検証者装置に送信し、 検証者装置は、文書ｍと署名σを署名検証関数計算器に
入力して、その正当性を検証するを特徴とするブライン
ド署名方法。 - 【請求項２】 署名要求者装置よりのブラインドメッセ
ージＢ1 ，…，ＢLと暗号文Ｃ0 を署名者装置で受け取
り、Ｂ1 ，…，ＢL を署名生成処理した署名σ1,0 ，
…，σL,0 とＣ0 を、複数のアンブラインダー装置で順
次ブラインド署名後処理と復号とを行うシステムのｉ番
目のアンブラインダー装置であって、 ｉ−１番目のアンブラインダー装置よりσi,i-1 ，…，
σL,i-1 と暗号文Ｃi-1 を受信する手段と、 Ｃi-1 を復号してＣi と乱数ｒj,i （ｊ＝ｉ，…，Ｌ）
を得る手段と、 σi,i-1 ，…，σL,i-1 とｒj,i を入力してブラインド
署名後処理関数値σ i,i ，…，σL,i を得る手段と、 σ i,i ，…，σL,i およびＣ i をｉ＋１番目のアンブラ
インダー装置へ送る手段とを具備することを特徴とする
アンブラインダー装置。 - 【請求項３】 署名要求者装置よりのブラインドメッセ
ージＢ1 ，…，ＢLと暗号文Ｃ0 を署名者装置で受取
り、Ｂ1 ，…，ＢL を署名生成処理した署名σ1,0 ，
…，σL,0 とＣ0 を複数のアンブラインダー装置で順次
ブラインド署名後処理と復号を行うシステムのｉ番目の
アンブラインダー装置であって、 ｉ−１番目のアンブラインダー装置よりσi,i-1 ，…，
σL,i-1 と暗号文Ｃi-1 を受信する手段と、 Ｃi-1 を復号して暗号文Ｃi と乱数ｒj,i （ｊ＝ｉ，
…，Ｌ）を得る処理と、 σi,i-1 ，…，σL,i-1 とｒj,i を入力してブラインド
署名後処理関数値σi,i ，…，σL,i を得る手段と、 σi,i ，…，σL,i とＣ i をｉ＋１番目のアンブライン
ダーに送る手段とを備えるアンブラインダー装置として
コンピュータを機能させるためのプログラムを記録した
コンピュータ読み取り可能な記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP4451599A JP3331329B2 (ja) | 1999-02-23 | 1999-02-23 | 公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP4451599A JP3331329B2 (ja) | 1999-02-23 | 1999-02-23 | 公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000242170A JP2000242170A (ja) | 2000-09-08 |
| JP3331329B2 true JP3331329B2 (ja) | 2002-10-07 |
Family
ID=12693694
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP4451599A Expired - Lifetime JP3331329B2 (ja) | 1999-02-23 | 1999-02-23 | 公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3331329B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| ATE362249T1 (de) | 2004-03-02 | 2007-06-15 | France Telecom | Verfahren und vorrichtungen zur erstellung fairer blindunterschriften |
| JP2009278223A (ja) * | 2008-05-13 | 2009-11-26 | Panasonic Corp | 電子証明システム及び秘匿通信システム |
-
1999
- 1999-02-23 JP JP4451599A patent/JP3331329B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2000242170A (ja) | 2000-09-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6292897B1 (en) | Undeniable certificates for digital signature verification | |
| US8713321B2 (en) | Method and apparatus for verifiable generation of public keys | |
| US7730319B2 (en) | Provisional signature schemes | |
| JP4692284B2 (ja) | グループ署名システム、方法、装置、およびプログラム | |
| US9882890B2 (en) | Reissue of cryptographic credentials | |
| KR100718489B1 (ko) | 신규의 공정한 은닉 서명을 위한 서명 방법, 컴퓨터 프로그램, 장치 및 서명 시스템 | |
| EP2792098B1 (en) | Group encryption methods and devices | |
| US8015398B2 (en) | Set membership proofs in data processing systems | |
| CN118160275A (zh) | 阈值签名方案 | |
| JP3513324B2 (ja) | ディジタル署名処理方法 | |
| JP3331329B2 (ja) | 公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体 | |
| JP3316466B2 (ja) | 電子無記名投票方法、その装置及びプログラム記録媒体 | |
| JP2000231330A (ja) | ブラインド署名方法、そのシステム、その装置およびプログラム記録媒体 | |
| JP3689292B2 (ja) | 匿名電子投票装置および匿名電子投票処理方法 | |
| JPH09200198A (ja) | メッセージ認証システム | |
| El Mane et al. | Digital Signature for data and documents using operating PKI certificates | |
| JP3862397B2 (ja) | 情報通信システム | |
| Shujing et al. | Comment and improvement on the “semi-quantum ring signature protocol based on multi-particle GHZ state” | |
| WO2023016730A1 (en) | Generating digital signatures | |
| WO2023016728A1 (en) | Generating digital signatures | |
| Lau | Proxy signature schemes | |
| JP2000242171A (ja) | ブラインド署名方法、その装置およびそのプログラム記録媒体 | |
| Li et al. | Online-submitting System based on a Safe and Anonymous Protocol | |
| Pfitzmann | History of digital signature schemes | |
| Schoenmakers et al. | Client-server trade-offs in secure computation |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080719 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080719 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090719 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090719 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100719 Year of fee payment: 8 |