JP3690474B2

JP3690474B2 - 権利証明書実現方法、その装置

Info

Publication number: JP3690474B2
Application number: JP3279299A
Authority: JP
Inventors: 直之佐藤; 英明鈴木; 昭直曽根岡
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1999-02-10
Filing date: 1999-02-10
Publication date: 2005-08-31
Anticipated expiration: 2019-02-10
Also published as: JP2000231331A

Description

【０００１】
【発明の属する技術分野】
この発明は個人のプライバシの保護と不正利用防止を両立した権利証明書を実現する方法、その装置に関する。
【０００２】
【従来の技術】
実社会においても計算機の世界においても、個人が、確かにその主張する権利を持つ存在であるかを確認する認証作業は、多くの場面において実施されている。最近では、Ｗｅｂサイトにおいても、簡単なパスワードや公開鍵を用いた認証が頻繁に用いられるようになった。
【０００３】
これらの認証の目的を考えてみると、その内容は場合によって大きく異なる。例えば、銀行のＡＴＭでは各人で異なる預金を確実に処理するため、また個人のブライバシを侵害しないためにも、端末の前にいるユーザの名前を確実に知る必要がある。これに対して、ニュースなど一般的情報を提供するＷｅｂサイトや、商品に対するユーザサポートを行う場面においては、ユーザの名前を知る事ではなく、ユーザがその権利を持っているかどうかを確認することが必要とされる。
【０００４】
だが、上記の二番目のような場面においても、現在の多くの場合、個人識別子を利用し、この識別子に対応したユーザの持つ権限として、資源管理を実施している。この手法は、本来の目的に対する実現手段の不自然さに加えて、ユーザのプライバシの保護上の問題や、サービス提供者側におけるデータベースの管理負荷など様々な欠点を持つ。
【０００５】
プライバシの問題は特に切実で重要である。例えば、各サービスごとに中央集権的なサーバが準備されていた場合、もちろんそのサーバの管理する範囲内でのプライバシは、サーバ管理者に対しては無いに等しい。だが、問題はそれだけに留まらない。各々別々のサービスを提供する複数のサーバの管理者が結託した場合、個人が各サーバに提供した自分に関する全ての情報と、それらサーバに対する行動履歴の全てが、管理者達に把握されてしまうことも十分に起こり得る。これは是が非でも避けなければならない事態である。また、個人情報の漏洩と追跡不能性が問題となる。
【０００６】
このような問題を解決する一つの手法は、権利の確認に証明書を利用する方法である。権利が確認された人のみにあらかじめ証明書を配布しておくことによって、名前など個人識別情報とは関係なく権利の確認を実施することができる。だがこの場合、証明書に個人識別情報が含まれていなければ、証明書のコピーなど不正利用に対する防御が難しい。またこれに対して、証明書に短時間の有効期限を設けることや、既存の電子現金で利用されている技術を用いて証明書の再利用を禁止することで不正利用を防止すると、認証の手段としては、利便性が著しく損なわれることになる。
【０００７】
この発明で使用する世界のモデルを図９に示す。図中にあるように、以下の三つの要素を仮定する。
証明書発行者装置（ＣＰ）
証明書を発行する実体。特定ユーザに対して、そのユーザがある権利を持っている、あるいはある特徴を持っていることを保証する証明書を発行する。
資源管理者装置（ＲＭ）
資源（情報）を管理する実体。自分の管理する資源に対して、ユーザから提示された複数の証明書をもとに、そのユーザの取れる行動の範囲を決定し管理する。
ユーザ装置（Ｕ）
証明書発行者装置ＣＰによって発行された証明書を管理する。また、資源を利用したいときには、証明書を適当に選択し、資源管理者装置ＲＭに提示する。この明細書ではユーザの持つ証明書とその入れ物をプロファイルと呼ぶ。
【０００８】
上記のモデルでは、一つの証明書を複数の資源管理者装置ＲＭで共用することを前提としている。従来のような資源ごとにＩＤとパスワードを設定する手法は、図中中段右側に示すような、ＣＰとＲＭがペアになった場合に対応する。
【０００９】
【発明が解決しようとする課題】
この発明は以下に示す要求を満す権利証明書の実現方法を提供しようとするものであって、これらを満たす権利証明書の実現方法はユーザのプライバシを最大限に保証し、かつ証明書の不正利用を防止できると考えられる。
（１）不必要な個人情報漏洩の防止
資源利用時において、資源管理者装置ＲＭの資源の利用が許可されるために最低限必要な情報しか漏洩しない。最低限とは、管理者装置ＲＭが指定した情報以外を含まないことである。
（２）行動の追跡不能性
任意の数の証明書発行者装置ＣＰと資源管理者装置ＲＭが結託しても、ユーザの行動履歴の全貌は把握できない。また行動が把握される可能性のある範囲は、ユーザ自身が決定する。
（３）証明書再利用性
証明書は何度でも使用することができる。
（４）証明書不正利用不可
証明書は正規のユーザ以外は利用できない。
（５）汎用情報の証明
証明書発行者装置ＣＰは任意の内容の任意個数の情報を証明できる。
【００１０】
【課題を解決するための手段】
この発明によればユーザごとに個別のブラックボックスを用い、ブラックボックスは記憶機能と計算機能とをもち、誰にも秘密（ユーザ自身にも）の複数秘密鍵ｄ_B ^k（ｋ＞０）とこれらのそれぞれに対応する複数の公開鍵ｅ_B ^kが記憶され、ユーザ装置より証明書発行者の公開鍵ｅ_CPをそのユーザのブラックボックスへ送り、ブラックボックスはその公開鍵の１つｅ_B ⁱに対し、公開鍵ｅ_CPを用いてブラインド署名前処理を行い、その処理結果Ｚ₁とこれに用いた乱数ｒをユーザ装置へ返す。
【００１１】
ユーザ装置はＺ₁を証明書発行者装置へ送り、証明書発行者装置は秘密鍵ｄ_CPでＺ₁に対し署名処理を行い、その結果Ｚ₂をユーザ装置へ返す。
ユーザ装置はＺ₂に対し、ｅ_CP，ｒを用いてブラインド署名後処理を行い、署名Ｃ_jを得、Ｃ_jが検証式を満すか調べ、満せばＣ_j，ｅ_B ⁱを証明書とする。
秘密鍵ｄ_B ^y、つまりブラックボックス自体の正当性を確認できるように次のようにする。つまりユーザ装置はｅ_CPをブラックボックスに送る際に、適当な証明書Ｃ_yを選び、これと対応した公開鍵ｅ_B ^yを示す情報もブラックボックスに送り、ブラックボックスはＺ₁の署名をｅ_B ^yと対をなす秘密鍵ｄ_B ^yで行う。ユーザ装置は証明書発行者装置へＺ₁とその署名Ｚ₁ ^By、更にＣ_y，ｅ_B ^yも送り、Ｚ₁の有効性をＺ₁ ^Byを用いて調べ、かつＣ_y，ｅ_B ^yが検証式を満すかを調べ、これらに合格することをＺ₂生成の条件とする。
【００１２】
このようにして発行された証明書を提示利用する場合は、ユーザ装置より利用したい証明書Ｃ_j、その公開鍵ｅ_B ⁱを資源管理者装置へ送り、資源管理者装置はＣ_jとｅ_B ⁱが検証式を満すかを証明書発行者装置の公開鍵ｅ_CPにより調べ、検証式を満せば、ブラックボックスがｅ_B ⁱと対応する秘密鍵ｄ_B ⁱをもっているかを、ユーザ装置を仲立ちとして既存の公開鍵方式の認証手順により検証し、この検証に成功すれば証明書発行者装置が証明書Ｃ_jの内容をユーザ装置に対し保証していると認める。
作用
（１）あらかじめ権利が確認された証明書を利用するので、名前など個人識別情報とは関係なく権利の確認が実施でき、不必要な個人情報が漏洩しない。
【００１３】
（２）権利証明書の発行にあってはブラインド署名の技術を用いることで、証明書発行者装置ＣＰは自分の署名した証明書Ｃを知ることができず、権利証明書の利用にあっては公開鍵ｅ_B ⁱは権利証明書ごとにユーザが任意に定めることができることから、資源管理者装置ＲＭはユーザが意図した範囲でしかユーザと権利証明書Ｃとの関係を見出すことができないでいた。その結果、任意の数の証明書発行者装置ＣＰと資源管理者装置ＲＭが結託してもユーザの行動履歴の全貌は把握できない。
【００１４】
（３）この権利証明書は、匿名性を保ったまま再利用可能な設計となっている。
（４）また、権利証明書の利用にあっては秘密鍵ｄ_B ⁱが必要で、ｄ_B ⁱは正規のユーザ認証手段を備えたユーザプロファイルに内蔵されているため、権利証明書は正規のユーザ以外利用できない。
【００１５】
（５）証明書発行者装置ＣＰは、保証する内容一個一個に対応する署名鍵を用意したり、保証する内容から生成した情報と共通の署名鍵との両方で署名を行ったりすることで、任意の内容の任意個数の情報を証明できる。
【００１６】
【発明の実施の形態】
この発明では使用する世界のモデルは図９に示したように証明書発行者装置ＣＰと資源管理者装置ＲＭとユーザ装置Ｕとで構成される。
更にこの発明ではユーザ（装置）ごとに個別のブラックボックスＢを利用する。
【００１７】
ユーザのプロファイルの構成を図１に示す。プロファイルは、誰にも秘密の情報を秘めたブラックボックスＢと、各証明書発行者装置ＣＰより発行された証明書Ｃｅｒｔ．とで構成される。ブラックボックスＢは記憶機能と計算機能とを持ち例えばスマートカードのようなＩＣカードで構成することもでき、またユーザ装置と対応であるがこれと分離された機関に設けられてもよい。プロファイル以外のデータは、ディスクなどの外部記憶媒体等でバックアップ、保持することができる。
【００１８】
ブラックボックスＢは関数として定義できるので、証明書発行時及び証明書利用時の通信は、図２に示すようにモデル化できる。図中の矢印は、二つの実体の間で通信が起こることを示している。通信路は、ブラックボッスクＢとユーザ装置間、ユーザ装置とサーバ装置（ＣＰあるいはＲＭ）間の二つが考えられるが、これらの安全性は同程度で、盗聴が可能であると仮定する。
【００１９】
この発明では、証明書発行手順（プロトコル）の健全性等を実現するためにデジタルブラインド署名の技術を用いる。ここではブラインド署名を次のように定義する。Ｕ，Ｘを適当な有限集合としたとき、公開鍵（署名検証鍵）をｅ∈Ｕ、秘密鍵（署名生成鍵）をｄ∈Ｕとし、ｆ_d ^-1：Ｘ→Ｘを鍵ｄによる署名生成関数、ｆ_e：Ｘ→Ｘを鍵ｅによる署名検証関数とする。ｆ_eはｄを知らない限り一方向性を持つ。このとき、デジタル署名系｛Ｕ，Ｘ，ｆ.,ｆ^-1. ｝では、ｘ∈Ｘに関して以下の関係が成立する。通常ｆ_d ^-1. は署名者が、ｆ_eは署名検証者が計算する。
【００２０】
【数１０】

有限集合Ｒにおいて、ｒ∈Ｒをブラインドの為の指数とし、ブラインド関数をＢｌ_e,r：Ｘ→Ｘ、ブラインド解凍関数Ｂｌ_e,r ^-1：Ｘ→Ｘとする。ここでＢｌ_e,r（ｘ）からはｘとｒが判別できないとする。また、ｆｂ_d ^-1：Ｘ→Ｘをｆ_d ^-1に対応するブラインド署名関数とする。このとき、ブラインド署名可能な署名系｛Ｕ，Ｘ，ｆ.,ｆ^-1.,ｆｂ^-1 _.,Ｂｌ.,Ｂｌ^-1 _.｝は、式（１）に加えて次の関係を満たす。
【００２１】
【数１１】

ブラインド署名の概念は、Ｃｈａｕｍによって示された。一般に、Ｂｌ_e,r.とＢｌ_e,r ^-1 _.は署名発行依頼者、ｆｂ_d ^-1は署名者が計算する。ｆ_e.は署名検証者が計算する。この署名法では、署名者が、署名するデータの内容ｘを確認できないので、ブラインドと呼ばれている。
【００２２】
ブラックボックスＢ、ユーザ装置Ｕ、証明書発行者装置ＣＰ、資源管理者装置ＲＭの四者における、証明書発行プロトコル及び証明書提示プロトコルを以下に示すが、このプロトコルは以下の特徴を持つ。
・各々のユーザ装置Ｕは固有のブラックボックスＢを所持する。
・ブラックボックスＢは誰にも秘密の複数の情報（秘密鍵）ｄ_B ^k（ｋ＞０）と、これら各々に対応する複数の公開情報（公開鍵）ｅ_B ^kを持つ。
【００２３】
・証明書Ｃは、各々特定のｅ_B ^kに対応する形で発行される。証明書Ｃを使用するためには、その秘密鍵ｄ_B ^kが必要である。
従って、証明書Ｃを利用できるのはブラックボックスＢを持つユーザ装置Ｕだけである。
・証明書発行者装置ＣＰは証明書Ｃを発行する際、ブラインド署名の技術を用いて署名を行う。証明書発行者装置ＣＰは自分の署名した証明書Ｃに対応する公開鍵ｅ_B ^k（即ち、ブラックボックスＢ、ユーザ装置Ｕ）を知ることができない。
【００２４】
・証明書発行者装置ＣＰや資源管理者装置ＲＭとユーザ装置Ｕが結託しても、ブラックボックスＢの持つ秘密情報ｄ_B ^kを引き出すことはできない。
・ユーザ装置Ｕは常にブラックボックスＢの動作を監視でき、証明書発行者装置ＣＰや資源管理者装置ＲＭとブラックボックスＢとの不正な情報交換を阻止できる。
【００２５】
・ブラックボックスＢに要求される機能は単純で非常に簡単である。
このプロトコルでは、同一証明書Ｃを複数の資源管理者装置ＲＭに対して提示して利用した場合や、同一鍵ｅ_B ^kと関連する形で発行された複数の証明書を利用する場合には、これらが利用される範囲内において、ユーザ装置の行動履歴及び個人情報が把握される可能性がある。しかし、これはユーザ装置自身が適度に異なった証明書、及び鍵を用いることによって解決容易な事項である。ここで、ブラックボックスＢに対するユーザ装置Ｕの認証は、既存の個人認証の技術を用いることを仮定しているので、この明細書では特に述べない。つまりブラックボックスＢはパスワードや指紋認識や虹彩認識などによる正規ユーザの認証機能をもっている。
【００２６】
以下に挙げるプロトコルは、上記の事項を基盤とするが、これに加えてブラックボックスＢ自身の正当性を確認するための処理が加わっていることに注意すること。
尚、権利の確認処理が終了した後は、既存のＳＳＬ等のセキュア通信の技術を用いて、ユーザ装置Ｕは資源管理者装置ＲＭの資源を利用することができる。
実施例１
始めは基本として、証明書の内容が、あらかじめ証明書発行者装置ＣＰが決定した任意個の種類しかない場合についてのプロトコルを述べる。実施例２でこのプロトコルの拡張として、内容及び個数を動的に自由に変更可能なプロトコルを述べる。
初期状態
ブラックボックスＢは鍵のペア（ｅ_B ⁰，ｄ_B ⁰）と、これに対応してブラックボックスＢの正当性を保証する証明書Ｃ₀を持つ。ユーザ装置ＵはＣ₀とｅ_B ⁰を知っている。証明書発行者装置ＣＰは、自分の保証する内容の各々に対して、それぞれ鍵のペア（ｅ_CP ^k，ｄ_CP ^k）を決定し、各ｅ_CP ^kを公開している。
証明書発行
ブラックボッスクＢがｊ番目の証明書Ｃ_jを獲得するプロトコルを以下に示す。ここで、サフィックスｙはブラックボックスＢ自身の正当性を証明するために必要なデータに付けられている。またブラックボックスＢは、ｉ番目の鍵ペアをＣ_jに対応する鍵として利用している。
【００２７】
以下、関数ｇ_BはＸ→Ｘとなる一方向性関数である。また処理の流れを図３に、ブラックボックスＢの機能構成を図４に、ユーザ装置Ｕの機能構成を図５に、証明書発行者装置ＣＰの機能構成を図６にそれぞれ示す。
（１）ユーザはユーザ装置Ｕの入力操作部１１を操作して、メモリ１２内の、既存の『Ｂは正当である』ことを保証する証明書から適当な証明書Ｃ_yを選ぶ。また、発行して欲しい証明書と対応した証明書発行者装置ＣＰの公開鍵ｅ_CP ^lを選び、証明書Ｃ_yに対応したブラックボックスＢの公開鍵ｅ_B ^y（あるいはｙの値）とｅ_CP ^lをブラックボックスＢに送る。ユーザは今回の発行において新しい鍵を用いるのかを決定する。鍵を再利用する場合には、そのブラックボックスＢの公開鍵ｅ_B ⁱ（あるいはｉの値）もブラックボックスＢに送る。
【００２８】
（２）ブラックボックスＢは、ｅ_CP ^l，ｅ_B ^yを受信すると、鍵生成部３１から鍵のペア（ｅ_B ⁱ，ｄ_B ⁱ）（ｉ＞０）を取出し、また乱数生成部３２から乱数ｒを生成し、一方向性関数器３３にｅ_B ⁱを入力してｇ_B（ｅ_B ⁱ）を計算し、またｅ_CP ^l，ｒ、ｇ_B（ｅ_B ⁱ）をブラインド関数器３４に入力して式（３）の値Ｚ₁を計算する。（１）でユーザ装置Ｕがｅ_B ⁱを送付しなかった場合、鍵ペア（ｅ_B ⁱ，ｄ_B ⁱ）はブラックボックスＢの鍵生成部３１によって新しく作成される。ブラックボックスＢは鍵ｄ_B ⁱをメモリ３６に格納し、誰にも公開しない。
【００２９】
【数１２】

ブラックボックスＢは、ｅ_B ^yに対応する秘密鍵ｄ_B ^yを用いてＺ₁の署名情報Ｚ₁ ^Byを署名器３５で計算し、Ｚ₁，Ｚ₁ ^By，ｅ_B ⁱ，ｒをユーザ装置Ｕに送る。ただし、Ｚ₁ ^Byの生成に用いる署名法は、ブラインド署名に対応しない通常の方法でよい。
（３）ユーザ装置Ｕは、Ｚ₁，Ｚ₁ ^By，ｅ_B ⁱ，ｒを受信すると、必要に応じて証明書の発行を受ける為に必要な情報Ｍ_Uを作成する。通常、Ｍ_Uの内容は、発行される証明書の内容に対応して、証明書発行者装置ＣＰがあらかじめ指定している。ユーザ装置Ｕは、Ｚ₁とＺ₁ ^By、Ｍ_U，Ｃ_y，ｅ_B ^yを証明書発行者装置ＣＰに送る。この時ｅ_CP ^lを同時に送るか、ＵとＣＰとの間にはＵがどのｅ_CP ^lを選んだかの通知が予めなされている。
【００３０】
（４）証明書発行者装置ＣＰはＺ₁，Ｚ₁ ^Byなどを受信すると、Ｚ₁の有効性をｅ_B ^y，Ｚ₁ ^Byを用いて署名検証器５１により確認する。また、ｅ_B ^yを一方向性関数器５２に入力してｇ_B（ｅ_B ^y）を計算し、Ｃ_y，ｅ_CPy ^xを署名検証関数器５３に入力し、その計算結果とｇ_B（ｅ_B ^y）とが一致するかを比較器５４で比較し、つまり
【００３１】
【数１３】

が成り立つかを調べることによってＺ₁ ^Byの署名鍵ｄ_B ^y、すなわちＢの正当性に対する確認を行う。
ここで、ｅ_CPy ^xは、Ｃ_yの発行者装置ＣＰ_yのＣ_yに対応する公開鍵である。このようにしてｅ_B ^yの正当性を確認することによってｅ_B ^yと対をなすｄ_B ^yの正当性を確認する。
【００３２】
これらの何れかの検証に失敗すれば、証明書は発行されず終了する。また、証明書発行者装置ＣＰはＭ_Uの有効性を調べる。Ｍ_Uが、別の証明書発行者装置ＣＰが発行した証明書である場合、その有効性の確認は証明書提示プロトコルを用いて行える。証明書の発行が適切と認められた場合には、証明書発行者装置ＣＰは以下の値を署名生成関数器５５で計算し、これをユーザ装置Ｕに送る。
【００３３】
【数１４】

（５）Ｚ₁を受けたユーザ装置Ｕは、以下の値をブラインド解凍関数器１３で計算する。
【００３４】
【数１５】

またｅ_B ⁱについて一方向性関数器１４でｇ_B（ｅ_B ⁱ）を計算し、Ｃ_jとｅ_CP ^lを署名検証関数器１５に入力し、ｆ_eCP ^l（Ｃ_j）を計算し、
【００３５】
【数１６】

が成り立つかを比較器１６で調べる。式（１）（２）より、正規の手順を踏んだ有効なＣ_jであれば上式が成り立つことは明らかである。この有効性が確認されれば、Ｃ_j，ｅ_B ⁱを新しい証明書としてメモリ１２に保管する。
証明書提示
証明書Ｃ_jは、特定の内容を保証する証明書発行者装置ＣＰの鍵ｄ_CP ^lで署名された、ｇ_B（ｅ_B ⁱ）に対する署名となっているので、この証明書の利用資格の確認は簡単である。ｅ_B ⁱに対応する秘密鍵ｄ_B ⁱをブラックボックスＢが持っていることを確認できればよい。証明書の提示及び利用のプロトコルを以下に示す（図４、図７参照）。
【００３６】
（１）ユーザＵは利用したい証明書Ｃ_jを決定し、Ｃ_jと、これに対応した公開鍵ｅ_B ⁱを資源管理者装置ＲＭに提示（送信）する。ここで、この証明書Ｃ_j，ｅ_B ⁱに対応する証明書発行者装置ＣＰの鍵のペアを（ｅ_CP ^m，ｄ_CP ^m）とする。ｅ_CP ^mは公開されているはずである。
（２）資源管理者装置ＲＭは、ｅ_CP ^mを用いてＣ_jに対し署名検証関数器によるｆ_eCP ^m（Ｃ_j）を求め、かつｅ_B ⁱに対し一方向性関数器６２でｇ_m（ｅ_B ⁱ）を求め比較器６３でｇ_B（ｅ_B ⁱ）＝ｆ_eCP ^m（Ｃ_j）が成り立つかを検証する。この検証が失敗すれば認証は失敗である。
【００３７】
（３）資源管理者装置ＲＭは、既存の公開鍵方式の認証手順を用いて、ブラックボックスＢがｅ_B ⁱに対応する鍵ｄ_B ⁱを持っているかを認証手段６４とブラックボックスＢ内の認証手段３７が協動して確認する。この通信はユーザ装置Ｕを仲立ちとして行われる。この検証に成功すれば、証明書発行者装置ＣＰがｅ_CP ^mに対応する内容をユーザ装置Ｕに対して保証していることを、資源管理者装置ＲＭは納得する。
実施例２
実施例１では、各証明書発行者装置ＣＰはあらかじめ自分の証明する内容を決定し、これに対応する公開鍵（ｅ_CP ⁰，ｅ_CP ¹，…ｅ_CP ⁿ）（ｎ＞０）を公開している必要があった。実施例２は、この条件を解消し、一つの公開情報で任意の内容を保証する。
【００３８】
この目的の為に、実施例２では、以下に示す特殊なブラインド署名系を利用する。Ｕ，Ｘ，Ｍ，Ｒを適当な有限集合としたとき、公開鍵（署名検証鍵）をｅ∈Ｕ、秘密鍵（署名生成鍵）をｄ∈Ｕ、証明内容をｍ∈Ｍとし、ｆｂ_d,m ^-1：Ｘ→Ｘを鍵ｄとｍによる署名生成関数、ｆ_e,m：Ｘ→Ｘを鍵ｅとｍによる署名検証関数とする。ただし、ｆ_e,mはｄを知らない限り一方向性を持つ関数である。また、Ｂｌ_e,r、Ｂｌ_e,r ^-1 を各々ブラインド関数とブラインド解凍関数とする。Ｂｌ_e,r（ｘ）からはｘとｒが判別できない。このとき、署名系｛Ｕ，Ｘ，ｆ.,ｆｂ^-1 _.,Ｂｌ.,Ｂｌ^-1 _.｝は、ｘ∈Ｘに関して次の式を満たす。
【００３９】
【数１７】

Ｂｌ．はブラックボックスＢ，ｆｂ^-1. は証明書発行者装置ＣＰ，Ｂｌ^-1 _.はユーザ装置ＵまたはブラックボックスＢ，ｆ．は任意の存在が計算する。以下では、この署名系を利用した実施例１の拡張を述べる。
初期状態
ブラックボックスＢは鍵のペア（ｅ_B ⁰，ｄ_B ⁰）と、これに対応してブラックボックスＢの正当性を証明する証明書Ｃ₀，Ｍ_CP ⁰を持つ。Ｃ₀とＭ_CP ⁰は両方で一つの証明書となる。これらについては後述参照。ユーザ装置ＵはＣ₀とＭ_CP ⁰，ｅ_B ⁰のみを知っている。また、証明書発行者装置ＣＰは自分の公開鍵ｅ_CPを公開している。
証明書発行
証明書発行プロトコルは、実施例１において証明書Ｃ_yを（Ｃ_y，Ｍ_CP ^y）へ、ｅ_CP ^lをｅ_CPへ置き換えたものとほぼ一致する。この処理の流れを図８に示す。各装置の機能構成は実施例１のそれとほぼ同一である。
【００４０】
関数ｇ_Bは、Ｘ→Ｘとなる一方向性関数。ｇ_CPは、Ｍ_CP∈Ｍ×Ｍ×…Ｍ、ｍ∈Ｍとした場合、ｇ_CP：Ｍ×Ｍ×…Ｍ→Ｍとなる一方向性関数である。
（１）ユーザはユーザ装置より既存の『Ｂは正当である』ことを保証する証明書から適当な証明書Ｃ_yを選ぶ。Ｃ_yに対応したブラックボックスＢの鍵ｅ_B ^y（あるいはｙの値）と証明書発行者装置ＣＰの公開鍵ｅ_CPをブラックボックスＢに送る。ユーザ装置Ｕは今回の発行において新しい鍵を用いるのかを決定する。鍵を再利用する場合には、そのブラックボックスＢの公開鍵ｅ_B ⁱ（あるいはｉの値）もブラックボックスＢに送る。
【００４１】
（２）ブラックボックスＢは、これらを受け取ると、鍵のペア（ｅ_B ⁱ，ｄ_B ⁱ）（ｉ＞０）と、ｅ_CPと、乱数ｒから、以下の値Ｚ₃を計算する。（１）でユーザ装置Ｕがｅ_B ⁱを送付しなかった場合、鍵ペアはブラックボックスＢによって新しく作成される。ブラックボックスＢは鍵ｄ_B ⁱを誰にも公開しない。
【００４２】
【数１８】

ブラックボックスＢは、ｅ_B ^yに対応する秘密鍵ｄ_B ^yを用いてＺ₃の署名情報Ｚ₃ ^Byを計算し、Ｚ₃，Ｚ₃ ^By，ｅ_B ⁱ，ｒをユーザ装置Ｕに送る。ただし、Ｚ₃ ^Byで用いる署名法は、ブラインド署名に対応しない通常の方法でよい。
（３）ユーザ装置Ｕは、Ｚ₃，Ｚ₃ ^Byなどを受け取ると証明書の発行を受ける為に必要な情報Ｍ_Uを必要に応じて作成する。通常、Ｍ_Uの内容は、発行される証明書の内容に対応して、証明書発行者装置ＣＰがあらかじめ指定している。ユーザ装置Ｕは、Ｚ₃とＺ₃ ^By，Ｍ_U，Ｃ_y，Ｍ_CP ^y，ｅ_B ^yをＣＰに送る。
【００４３】
（４）証明書発行者装置ＣＰは、これらを受け取ると、Ｚ₃の有効性を署名検証により検証しまたブラックボックスＢの正当性を検証する。ブラックボックスＢの正当性は、ｆ_eCPy,gCP（Ｍ_CP ^y）（Ｃ_y）＝ｇ_B（ｅ_B ^y）が成り立つかを調べることによって行う。ここで、ｅ_CPyは、Ｃ_yの発行者装置ＣＰ_yの公開鍵である。検証に失敗すれば証明書は発行されず終了する。
【００４４】
また、ＣＰはＭ_Uの有効性を調べる。
証明書の発行が適切と認められた場合には、証明書発行者装置ＣＰは、自分が保証する内容（文書）Ｍ_CPを決定し、以下の値を計算する。証明書発行者装置ＣＰはそのＺ₄とＭ_CPをユーザ装置Ｕに送る。
【００４５】
【数１９】

（５）ユーザ装置Ｕは、これらを受け取ると以下の値を計算する。
【００４６】
【数２０】

ユーザ装置ＵはＭ_CPからｍを計算し、ｆ_eCP,m（Ｃ_j）＝ｇ_B（ｅ_B ⁱ）が成り立つかを調べる。式（６）等により、正規の手順を踏んだ場合、上式が成り立つことは明らかである。証明書の有効性が確認されれば、Ｃ_j，Ｍ_CP，ｅ_B ⁱを新しい内容を保証する証明書として保管する。
証明書提示
証明書の提示及び利用のプロトコルは以下のようになる。
【００４７】
（１）ユーザ装置Ｕは資源管理者装置ＲＭに証明したい事項Ｍ_CPを決定し、Ｍ_CPと、これに対応した証明書Ｃ_x，ｅ_B ^xを資源管理者装置ＲＭに提示する。Ｃ_xの発行者装置の鍵は公開されており、これをｅ_CPとする。
（２）資源管理者装置ＲＭはｅ_CPよりｇ_B（ｅ_B ^x）＝ｆ_eCP,m（Ｃ_x），ｍ＝ｇ_CP（Ｍ_CP）が成り立つかを調べる。
【００４８】
（３）資源管理者装置ＲＭは、既存の公開鍵方式の認証手順を用いて、ブラックボックスＢがｅ_B ^xに対応する鍵ｅ_B ^xを持っているかどうかを検証する。この通信はユーザ装置Ｕを仲立ちとして行われる。この検証に成功すれば、証明書発行者装置ＣＰがＭ_CPの内容をユーザ装置Ｕに対して保証していることを、資源管理者装置ＲＭは納得する。
実施例３
実施例１は、既存のブラインド署名可能な各種署名法、及び公開鍵を用いた各種認証／署名手順を用いて容易に実現可能である。この実現には前述の実施例１における各式をそのまま対応する関数と置き換えればよく、この実現方法は明らかである。よって、ここでは実施例１に対しては具体例を述べない。
【００４９】
実施例２に対しては、式（６）を満たす関数が一般に広くは知られていないので、実現例を示す。ただし、以下の実現例ではブラックボックスＢの認証及び署名部分にFiat-Shamir 法を利用しているが、この部分は他の任意の公開鍵を用いた認証／署名法に置き換えることが可能であることを注意しておく。
関数の定義
ここでの実現例では、ブラインド署名部分にＣｈａｕｍの提案したＲ．Ｓ．Ａを基盤とする方法を用い、ブラックボックスＢの認証にはＦｉａｔらの提案した方式を用いる。ただし、式（６）を満たすようにｆ．とｆｂ^-1. は拡張してある。
拡張ブラインド署名法
【００５０】
【数２１】

ｍ^-1とｒ^-1は、Ｎとの最大公約数（ｍ，Ｎ）＝（ｒ，Ｎ）＝１の時に容易に計算できる。（ｍ，Ｎ）≠１あるいは（ｒ，Ｎ）≠１は、ｍあるいはｒがｐあるいはｑと一致するときに起こり得るが、ｐとｑが十分に大きい場合はこの可能性は無視してよい。上記の式は次のように式（６）を満たす。
【００５１】
【数２２】

べき乗関数ｘ^e（mod Ｎ）は十分大きいＮとｅのもとで一方向性を持つことが知られている。だが、式（１１）の一方向性は完全なものでない。同一ｅ及びｄで既知複数のｍとｘに対する計算結果が得られると、これを利用して特殊なｆ_e,mを偽造することが計算上容易である。このような選択文書攻撃（chosen-message attack ）を避けるために、以下に述べる実現プロトコルでは、ｘがユーザ装置Ｕによって操作できないように工夫されている。
ブラックボックスＢの署名と認証
ブラックボックスＢの署名及び認証には、既存の多くの認証方式を適用できる。ここでは、既にＩＣカード等で個人認証方式として利用されている、Fiat-Shamir 方式を利用した方法を例に用いる。Fiat-Shamir 方式は、ゼロ知識性という重要な特徴に加えて、単一公開情報で複数の内容を証明することが可能なこと、また高速に実行が可能であることなど大きな利点をもつ。ただし、この方式の詳細についてはここでは説明しない。
【００５２】
Fiat-Shamir 方式の最も提案となる方式では、以下の公開情報と秘密情報を定めている。

一方向性関数ｇ_Bとｇ_CP
一方向性関数ｇ_Bとｇ_CPは、各々既存の適当な任意の関数を割り当てることができる。ＭＤ５やＳＨＡ−１の他、秘密鍵暗号方式ＤＥＳやＦＥＡＬを用いてこれらを実現することも容易である。ここでは、この部分については具体例を定めず説明を行う。
初期状態
ブラックスボックスＢは鍵のペア（（ｎ_B ⁰，Ｉ_B ⁰），ｓ_B ⁰）と証明書Ｃ₀，Ｍ_CP ⁰，ｃ₀を持つ。これらはブラックボックスＢの製造者によってあらかじめ与えられる。Fiat-Shamir 方式の特徴より、ｎ_B ⁰は全てのブラックボックスＢで同一でよい。従って、Ｉ_B ⁰をブラックボックスＢの製造番号等とする場合、ブラックボックスＢにはあらかじめｓ_B ⁰を埋め込むだけでよい。Ｃ₀等は後から発行することができる。ｃ₀の役割については後述参照。ユーザ装置Ｕは、（ｎ_B ⁰，Ｉ_B ⁰）とＣ₀，Ｍ_CP ⁰，ｃ₀を知っている。
【００５３】
各証明書発行者装置ＣＰは公開鍵（ｅ_CP，Ｍ_CP）を公開している（Ｎ_CPは証明書は発行者装置ＣＰが使用するＮのこと）。各証明書発行者装置ＣＰは空の発行済リストＬ_CPを持つ。証明書発行者装置ＣＰは証明書を発行する度に、ユーザ装置Ｕに提示されたＺ₅（下記参照）を発行済リストＬ_CPに登録する。登録期間は最大Ｔ_CP ^maxで、古くなったＺ₅は消去してよい。証明書発行者装置ＣＰはＴ_CP ^maxを公開している。
証明書発行
（１）ユーザ装置ＵはブラックボックスＢの正当性を保証する適当な証明書を選び、対応する鍵（ｎ_B ^y，Ｉ_B ^y）（あるいはｙ）と証明書発行者装置ＣＰの鍵（ｅ_CP，Ｎ_CP）をブラックボックスＢに送る。ユーザ装置Ｕは、証明書発行者装置ＣＰに発行を申請する時刻Ｔを決定し、Ｔ_S＜Ｔ＜Ｔ_eかつＴ_e−Ｔ_S ＜Ｔ_CP ^maxとなるＴ_S及びＴ_eを選び、これをブラックボックスＢに送る。
【００５４】
また発行に既存の鍵を利用する場合は（ｎ_B ⁱ，Ｉ_B ⁱ）（あるいはｉ）をブラックボックスＢに送る。
（２）ブラックボックスＢは、ｎ_B ⁱ，Ｉ_B ⁱを受け取ると鍵のペア（（ｎ_B ⁱ，Ｉ_B ⁱ），ｓ_B ⁱ）（ｉ＞０）と、乱数ｒ，ｃ_jから、以下の値を計算する。即ちブラインド回数値を計算する。（１）でユーザ装置Ｕが（ｎ_B ⁱ，Ｉ_B ⁱ）を送付しなかった場合、鍵ペアはブラックボックスＢによって新しく作成される。ここで‖は結合を表す。
【００５５】
【数２３】

ｃ_jは、ｇ_Bへの入力を常に異なることを保証するためにあるので、実際にはブラックボックスＢごとのカウンタでもよい。ブラックボックスＢはｓ_B ^yを用いて、（Ｚ₅‖Ｔ_s‖Ｔ_e）に対する署名情報Ｚ₅ ^Byを作成し、Ｚ₅，Ｚ₅ ^By，（ｎ_B ⁱ，Ｉ_B ⁱ），ｒ，ｃ_jをユーザ装置Ｕに送る。ここで利用する署名法は、Fiat-Shamir 方式である。
【００５６】
（３）ユーザ装置Ｕは、Ｚ₅，Ｚ₅ ^Byなどを受け取ると、証明書の発行を受ける為に必要な情報Ｍ_Uを必要に応じて作成する。ユーザ装置Ｕは、Ｚ₅，Ｚ₅ ^By，Ｔ_s，Ｔ_e，Ｍ_U，Ｃ_y，Ｍ_CP ^y，ｃ_y，（ｎ_B ^y，Ｉ_B ^y）を証明書発行者装置ＣＰに送る。
（４）証明書発行者装置ＣＰは、Ｚ₅，Ｚ₅ ^Byなどを受け取ると、Ｚ₅及びＴ_s，Ｔ_eの有効性とブラックボックスＢの正当性を検証する。証明書発行者装置ＣＰの持つ時計がＴ_s時からＴ_e時の範囲の時刻を示しているかを確認する。時間外であれば証明書は発行されない。また、Ｚ₅が発行済リストＬ_CPに登録されていないことも確認する。証明書発行者装置ＣＰはＭ_Uの有効性も調べる。
【００５７】
証明書の発行が適切と認められた場合には、証明書発行者装置ＣＰはＺ₅をＬ_CPに加え、自分が保証する内容（文書）Ｍ_CPを決定して以下の値を計算する。即ち署名生成関数値を計算する証明書発行者装置ＣＰはそのＺ₆とＭ_CPをユーザ装置Ｕに送る。
【００５８】
【数２４】

（５）ユーザ装置Ｕは、Ｚ₆を受け取ると、以下の値を計算する。即ちブラインド解凍関数値を求める。
Ｃ_j＝ｒ^-1（Ｚ₆）（mod Ｎ_CP）（19）
ユーザ装置ＵはＭ_CP等からｍ^-1（Ｃ_j）^eCP＝ｇ_B（ｎ_B ⁱ‖Ｉ_B ⁱ‖ｃ_j）（mod Ｎ_CP）が成り立つかを調べ、つまり署名検証式を満すかを調べて、Ｃ_jの有効性を検証する。有効性が確認されれば、Ｃ_j，Ｍ_CP，ｃ_j，（ｎ_B ⁱ，Ｉ_B ⁱ）を新しい内容を保証する証明書として保管する。
証明書提示
証明書の提示及び利用のプロトコルは以下のようになる。
【００５９】
（１）ユーザ装置Ｕは証明したい事項Ｍ_CPを決定し、Ｍ_CPと、これと対となったＣ_x，ｃ_x，（ｎ_B ^x，Ｉ_B ^x）を資源管理者装置ＲＭに提示する。
（２）資源管理者装置ＲＭはｅ_CPとＮ_CP、ユーザ装置Ｕよりの情報からｇ_B（ｎ_B ^x‖Ｉ_B ^x‖ｃ_x）＝ｍ^-1（Ｃ_x）^ecp（mod Ｎ_CP）が成り立つかを調べ、つまり署名検証式を満すかを調べる。
【００６０】
（３）資源管理者装置ＲＭは、Fiat-Shamir 方式の認証手順を用いて、ブラックボックスＢがｎ_B ^xとＩ_B ^xに対応する鍵ｓ_B ^xを持っているかどうかを検証する。この通信はユーザ装置Ｕを仲立ちとして行われる。ただし、Fiat-Shamir 方式の詳細はここでは割愛する。
この検証に成功すれば、証明書発行者装置ＣＰがＭ_CPの内容をユーザ装置Ｕに対して保証していることを、資源管理者装置ＲＭは納得する。なお上述における各装置はコンピュータによりプログラムを読み出し、解読実行させることに各機能を行わせることもできる。
【００６１】
【発明の効果】
以上説明したように、この発明の方法および装置によれば、次の効果が得られる。
（１）資源管理者装置ＲＭが要求する情報以外の個人情報が漏洩しない。
（２）任意の数の証明書発行者装置ＣＰと資源管理者装置ＲＭが結託しても、ユーザ（装置）の行動履歴の全貌は把握できない。また、行動が把握される可能性のある範囲は、ユーザ（装置）自身が決定できる。
【００６２】
（３）権利証明書は何度でも使用することができる。
（４）正規のブラックボックスを有しないユーザ装置は、権利証明書を利用できない。
（５）証明書発行者装置ＣＰは任意の内容の任意個数の情報を証明できる。
【図面の簡単な説明】
【図１】ユーザプロファイルの例を示す図。
【図２】ブラックボックスとユーザ装置と証明書発行者装置と資源管理者装置との通信を示す図。
【図３】実施例１における証明書発行手順を示す図。
【図４】実施例１におけるブラックボックスの機能構成を示す図。
【図５】実施例１におけるユーザ装置の機能構成を示す図。
【図６】実施例１における証明書発行者装置の機能構成を示す図。
【図７】実施例１における資源管理者装置の機能構成を示す図。
【図８】実施例２における証明書発行手順を示す図。
【図９】この発明が対象としているシステム構成例を示す図。

Claims

ユーザ装置がブラックボックスと証明書発行者装置とに結合され、ブラックボックスは誰にも引き出すことができない秘密鍵を記憶したメモリを備え、
証明書発行時に、ユーザ装置は証明書発行者装置の公開鍵をブラックボックスへ送り、
ブラックボックスはブラックボックスの公開鍵ｅ_B ⁱに対してブラインド処理を行い、その結果と公開鍵ｅ_B ⁱをユーザ装置に返し、
ユーザ装置は上記ブラインド処理の結果、公開鍵ｅ_B ⁱを証明書発行者装置へ送り、
証明書発行者装置は、受け取ったブラインド処理結果に対し証明書発行者装置の秘密鍵で署名処理を施し、その署名処理の結果をユーザ装置に返し、
ユーザ装置は、受け取った署名処理の結果に対し、ブラインド解凍処理を行い、その解凍処理結果に対し公開鍵ｅ_B ⁱを用いて、署名検証を行い、その検証に合格すると、上記解凍処理結果と公開鍵ｅ_B ⁱを権利証明書とし、
ブラックボックスの上記ブラインド処理は、乱数ｒを生成し、公開鍵ｅ _B ⁱ に対し一方向性関数値ｇ _B （ｅ _B ⁱ ）を求め、その値に対し、証明書発行者装置の公開鍵ｅ _CP と乱数ｒを用いてブラインド関数値

を求めることであり、
ブラックボックスはｒもユーザ装置へ送り、
証明書発行者装置の上記署名処理は、自分が保証する内容Ｍ _CP に対し一方向性関数値ｍ＝ｇ _CP （Ｍ _CP ）を求め、ｅ _CP と対をなす秘密鍵ｄ _CP とｍを用いてＺ ₃ に対して署名生成関数値

を求めることであり、
証明書発行者装置はＭ _CP もユーザ装置へ送り、
ユーザ装置の上記解凍処理は、ｅ _CP ，ｒを用い、Ｚ ₄ に対しブラインド解凍関数値

を求めることであり、
上記解凍処理結果に対する署名検証は、Ｍ _CP に対し一方向性関数値ｍ＝ｇ _CP （Ｍ _CP ）を求め、ｍとｅ _CP を用いてＣ _j に対して署名検証関数値ｆ _eCP,m （Ｃ _j ）を求め、かつｅ _B ⁱ に対し一方向性関数値ｇ _B （ｅ _B ⁱ ）を求め、これらが等しいかを調べることである
ことを特徴とする権利証明書実現方法。
ユーザ装置は上記権利証明書を資源管理者装置へ送り、
資源管理者装置は受け取った権利証明書に対し、署名検証を行い、その検証に合格すると、公開鍵方式の認証手順を用いてブラックボックスが上記権利証明書の公開鍵ｅ_B ⁱに対応する秘密鍵を持っているかの確認をユーザ装置を仲介して行い、この検証に成功すれば、その権利証明書の正当性を認めることを特徴とする請求項１記載の権利証明書実現方法。
ユーザ装置は既存の権利証明書の一つＣ_yと対応した公開鍵ｅ_B ^yの情報もブラックボックスへ送り、
ブラックボックスはｅ_B ^yと対をなす秘密鍵ｄ_B ^yを用いてＺ₃の署名情報Ｚ₃ ^Byを作成し、Ｚ₃ ^Byもユーザ装置へ送り、
ユーザ装置はＺ₃ ^By，ｅ_B ^y，Ｃ_y，ｃ_yと対応した情報Ｍ_CP ^yも証明書発行者装置へ送り、
証明書発行者装置は、Ｚ₃の有効性をＺ₃ ^Byを用いて確認し、かつＭ_CP ^yに対し一方向性関数値ｍ^y＝ｇ_CP（Ｍ_CP ^y）を求め、Ｃ_yの証明書発行者装置の公開鍵ｅ_CPyと、ｍ^yを用いてＣ_yに対し署名検証関数値ｆ_eCPy,m ^y（Ｃ_y）を求め、またｅ_B ^yに対し一方向性関数値ｇ_B（ｅ_B ^y）を求め、これらが等しいかを調べて、Ｚ₃ ^Byの署名鍵ｄ_B ^yの正当性を確認し、これら検証に合格すると署名生成処理を行う
ことを特徴とする請求項１または２記載の権利証明書実現方法。
秘密鍵ｄ、公開鍵ｅとし、Ｎ＝ｐ×ｑ（ｐ，ｑ素数）をｅ，ｄに対応する公開情報、ｅ×ｄ（mod ＬＣＭ（ｐ−１，ｑ−１））＝１（ＬＣＭ（ａ，ｂ）は整数ａ，ｂの最小公倍数を表わす）、ｘ＜Ｎでｘ^de＝ｘ（mod Ｎ）とし、秘密情報ｓ、公開情報Ｉ＝ｓ²（mod ｎ）、ｎ＝ｐ×ｑ、Ｉ（任意の識別情報）とし、
上記公開鍵ｅ_CPとして（ｅ_CP，Ｎ_CP）が用いられ、
秘密鍵ｄ_B ⁱとして、ｓ_B ⁱが、公開鍵ｅ_B ⁱとして（ｎ_B ⁱ，Ｉ_B ⁱ）が用いられ、
ブラックボックスは乱数ｃ_jも生成し、上記ブラインド関数値Ｚ₃はｒ^ecpｇ_B（ｎ_B ⁱ‖Ｉ_B ⁱ‖ｃ_j）（mod Ｎ_CP）であり、（ａ‖ｂはａとｂの結合を表わす）、ｃ_jもユーザ装置へ送り、
上記署名生成関数Ｚ₄は（ｍＺ₃）^dCP（mod Ｎ_CP）であり、上記ブラインド解凍関数値Ｚ_jはｒ^-1（Ｚ₄）（mod Ｎ_CP）であり、
上記署名検証関数値はｍ^-1（Ｃ_j）^eCP（mod Ｎ_CP）であり、これと比較する一方向性関数値はｇ_B（ｎ_B ⁱ‖Ｉ_B ⁱ‖ｃ_j）（mod Ｎ_CP）であり、権利証明書にＣ_jも加えることを特徴とする請求項１または２記載の権利証明書実現方法。
ユーザ装置は証明書発行者装置に証明書発行を申請する時刻Ｔに対しＴ_s＜Ｔ＜Ｔ_eかつＴ_e−Ｔ_s ＜登録期間最大値Ｔ_CP ^maxを満すＴ_s，Ｔ_eもブラックボックスへ送り、またブラックボックスの正当性を保証する証明書の一つＣ_yと対応する公開鍵（ｎ_B ^y，Ｉ_B ^y）と対応する情報もブラックボックスへ送り、
ブラックボックスは（ｎ_B ^y，Ｉ_B ^y）と対をなす秘密鍵ｓ_B ^yで（Ｚ₃‖Ｔ_s‖Ｔ_e）に対する署名情報Ｚ₅ ^Byを作成し、Ｚ₅ ^Byもユーザ装置へ送り、
ユーザ装置はＺ₅ ^By，Ｔ_s，Ｔ_e，Ｃ_y，Ｍ_CP ^y，ｃ_y，（ｎ_B ^y，Ｉ_B ^y）も証明書発行者装置へ送り、
証明書発行者装置はＺ₃，Ｔ_s，Ｔ_eの有効性をＺ₅ ^Byを用いて確認し、またブラックボックス（ｓ_B ^y）の正当性をＭ_CP ^y，（ｎ_B ^y，Ｉ_B ^y），Ｃ_y，ｃ_yの証明書発行者装置の公開鍵（ｎ_CP ^y，Ｉ_CP ^y）を用いて確認し、証明書発行者装置の時計の時刻がＴ_sとＴ_eの間であることを確認し、Ｚ₃が発行済リストに登録されていないことを確認し、これらの確認に全て合格すると上記署名生成処理を行い、かつＺ₃を発行済リストに加える
ことを特徴とする請求項４記載の権利証明書実現方法。
ユーザ装置からの依頼により権利証明書を発行する証明書発行者装置であって、
秘密鍵、公開鍵などを記憶するメモリと、
ユーザ装置から受け取ったブラインド処理結果Ｚ₁に対し、証明書発行者装置の秘密鍵で署名を行う署名手段と、
その署名結果Ｚ₂をユーザ装置へ送る手段と
ユーザ装置から受け取ったＺ₁とその署名情報Ｚ₁ ^ByからＺ₁の有効性を検証する署名検証手段と、
ユーザ装置から受け取った権利証明書Ｃ_yに対し、その証明書発行者装置のＣ_yと対応する公開鍵ｅ_CPyを用いて署名検証関数値ｆ_eCPy（Ｃ_y）を計算する署名検証関数器と、
ユーザ装置から受け取ったＣ_yと対応する公開鍵ｅ_B ⁱに対し一方向性関数値ｇ_B（ｅ_B ⁱ）を計算する一方向性関数器と、
計算値ｆ_eCPy（Ｃ_y）とｇ_B（ｅ_B ⁱ）を比較して等しければ合格とする比較器と、
上記署名検証手段が検証に合格し、かつ上記比較器が合格すると上記署名を行わせる手段とを具備し、
上記署名手段は、証明書発行者装置が保証する内容Ｍ _CP に対し一方向性関数値ｍ＝ｇ _CP （Ｍ _CP ）を計算する一方向性関数器と、上記ブラインド処理結果Ｚ ₁ に対し、証明書発行者装置の秘密鍵ｄ _CP と上記ｍを用いて署名生成関数値

を計算する署名生成関数器とよりなり、
上記送る手段はＭ _CP も送ることを特徴とする証明書発行者装置。
ユーザ装置からの依頼により権利証明書を発行する証明書発行者装置であって、
秘密鍵、公開鍵などを記憶するメモリと、
証明書発行者装置が保証する内容Ｍ _CP に対し一方向性関数値ｍ＝ｇ _CP （Ｍ _CP ）を計算する一方向性関数器と、ユーザ装置から受け取ったブラインド処理結果Ｚ ₁ に対し、証明書発行者装置の秘密鍵ｄ _CP と上記ｍを用いて署名生成関数値

を計算する署名生成関数器と、
ユーザ装置から受け取ったＺ₁とその署名情報Ｚ₁ ^ByからＺ₁の有効性を検証する署名検証手段と、
ユーザ装置から受け取ったＭ_CP ^yに対し一方向性関数値ｍ^y＝ｇ_CP（Ｍ_CP ^y）を計算する一方向性関数器と、
Ｃ_yの証明書発行者装置の公開鍵ｅ_CPy,m ^yを用いてＣ_yに対し署名検証関数値ｆ_eCPy, _m ^y（Ｃ_y）を計算する署名検証関数器と、
ユーザ装置から受け取ったｅ_B ^yに対し一方向性関数値ｇ_B（ｅ_B ^y）を計算する一方向性関数器と、
上記計算値ｆ_eCPy, _m ^y（Ｃ_y）とｇ_B（ｅ_B ^y）とを比較する比較器と、
上記署名検証手段の検証が合格し、かつ上記比較器の比較が一致であれば上記署名を実行させる手段と
上記署名結果Ｚ ₂ 及び上記Ｍ _CP をユーザ装置へ送る手段と
を具備することを特徴とする証明書発行者装置。
ユーザ装置から送られた権利証明書Ｃ_j，上記証明書発行者装置が保証する内容Ｍ_CP，上記権利証明書Ｃ _j に対応するｅ_B ⁱを検証する資源管理者装置において、
公開鍵を記憶するメモリと、
上記Ｍ_CPに対し一方向性関数値ｍ＝ｇ_CP（Ｍ_CP）を計算する一方向性関数器と、
上記Ｃ_jの証明書発行者装置の公開鍵ｅ_CPと上記ｍとを用い、Ｃ_jに対し署名検証関数値ｆ_eCP,m（Ｃ_j）を計算する署名検証関数器と、
上記ｅ_B ⁱに対して一方向性関数値ｇ_B（ｅ_B ⁱ）を計算する一方向性関数器と、
上記計算値ｆ_eCP,m（Ｃ_j）とｇ_B（ｅ_B ⁱ）を比較して一致すれば合格を出力する比較器と、
ユーザ装置ごとのブラックボックスが上記ｅ_B ⁱと対応した秘密鍵ｄ_B ⁱを秘密に保持していることを、公開鍵方式の認証手順によりユーザ装置を仲介して確認する認証手段と、
上記比較器が合格を出力し、かつ上記認証手段が検証に成功すれば、上記権利証明書のＭ_CPの内容を証明書発行者装置が保証していると判定する手段と、
を具備することを特徴とする資源管理者装置。