JP3910529B2 - 電子投票システム - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は、投票及び***作業を行う電子投票システムに関する。
【０００２】
【従来の技術】
近年、インターネットの普及により、暗号プロトコルを使用した電子投票サービスが提供されつつある。既存の電子投票の方式の多くは、信任投票のような形態の投票、すなわち、「Ｙｅｓ」か「Ｎｏ」かのいずれか一票を投じる形態を扱っている。また、複数の候補から１つだけを選択する投票には、この方式を拡張することにより実現されている。
非特許文献１には、準同型性に基づく電子投票方式が、また、非特許文献２には、準同型性に基づく分割不可能な複数票電子投票方式について記載されている。
なお、準同型性とは、秘密情報s₁をｎ個のシェア｛S_1,1, S_1,2,...., S_1,n｝に、秘密情報s₂をｎ個のシェア｛S_2,1, S_2,2,...., S_2,n｝に分散し、i番目のプレーヤーがS_1,i及びS_2,iを受け取る場合、秘密情報s₁とs₂の和であるs₁+s₂は、各プレーヤーの持つS_1,i+S_2,iを合わせた｛S_1,1+S_2,1, S_1,2+S_2,2,...., S_1,n+S_2,n｝から復元することができる性質をいう。
非特許文献３には、シャッフリングに基づく電子投票方式が記載されている。これは、Ｍｉｘサーバが投票者から暗号化された投票内容を受信すると、この暗号化された投票内容の置換と再暗号化を行って次のＭｉｘサーバへ送信し、投票内容の置換と再暗号化を複数のＭｉｘサーバにより繰り返すことで最終結果を復号する方式である。
また、非特許文献４には、ブラインド署名に基づく電子投票方式が記載されている。これは、暗号化した投票内容に選挙管理人がブラインド署名を付加し、集計サーバは、投票者からこのブラインド署名が付された暗号化した投票内容に基づき集計を行う方式である。
【０００３】
【非特許文献１】
サコ、キリアン（Sako, K. and Kilian, J.），「部分的にコンパチブルな準同型性を使用したセキュアな投票方式（Secure Voting Using Partially Compatible Homomorphisms）」，アドバンス・イン・クリプトロジー：クリプト’９４（Advances in Cryptology: Crypto'94），ドイツ，シュプリンガー・フェアラーク(Springer-Verlag），１９９４年８月，ＬＮＣＳ８３９，ｐ．４１１−４２４
【非特許文献２】
税所哲郎、他４名，「準同型性を利用した１人複数投票可能な電子投票方式」，コンピュータセキュリティシンポジウム２００２論文集，社団法人情報処理学会，平成１４年１０月３０日，情報処理学会シンポジウムシリーズ Ｖｏｌ．２００２，Ｎｏ．１６，ｐ．４６７−４７２
【非特許文献３】
サコ、キリアン（Sako, K. and Kilian, J.），「レシートフリーなミックスタイプ投票方式（Receipt-Free Mix-type Voting Scheme）」，アドバンス・イン・クリプトロジー：ユーロクリプト’９５（Advances in Cryptology: EuroCrypt'95），ドイツ,シュプリンガー・フェアラーク（Springer-Verlag），１９９５年，ＬＮＣＳ９２１，ｐ．３９３−４０３
【非特許文献４】
藤岡淳、他２名，「電子投票方式」，ＮＴＴ Ｒ＆Ｄ，日本電信電話株式会社，１９９５年１０月，Ｖｏｌ．４４，Ｎｏ．１０，ｐ．２４４−２５１
【０００４】
【発明が解決しようとする課題】
一般的な選挙のように、投票者１人が１票を投じる形態のほかに、各投票者がそれぞれ異なる票数を持つ場合がある。また、この各投票者のそれぞれの異なる数の票を、複数の選択肢に任意に分配して投票を行うケースも存在する。
しかし、非特許文献１に記載されるような準同型性を用いた電子投票方式により上述した投票を行う場合、投票者が持ち票数分だけゼロ知識証明を実行しなければならない。これは、効率が悪く、現実的ではないという問題がある。なお、ゼロ知識証明とは、一般に、証明者と検証者の間で何度かやりとりして、証明者が保持している秘密の情報について、証明者がその知識を知っていることを検証者に対して確率的に証明する方法である。
また、非特許文献２に記載される準同型性に基づく分割不可能な電子投票方式では、投票内容の秘匿性を保ちながら、複数票の分割投票を行うことは原理的に不可能である。
また、非特許文献３及び４に記載されるような方式を適用した場合、投票データに票の分割パターンを含めると、持ち票数との照合により匿名性が失われるという問題がある。また、Ｙｅｓ−Ｎｏの票を持ち票数分投票すると、匿名性は確保できるが、匿名通信路の入出力が投票総数となるため、効率が悪く現実的ではないという問題がある。
【０００５】
この発明は、上記のような事情を考慮してなされたもので、その目的は、各投票者の投票内容を秘匿し、さらに、不正な投票を防ぎながら、各投票者が持つ票を複数の選択肢に任意に分割して投票することができる効率的な電子投票システムを提供することにある。
【０００６】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、投票者の端末装置と、前記投票者が投票を行うための投票データを生成する投票データ生成サーバと、投票を集計する複数の集計サーバとをネットワークを介して接続してなる電子投票システムであって、前記投票データ生成サーバは、各投票者の持ち票を各選択肢に割り当てた全ての投票パターンそれぞれについて、各集計サーバに対応する秘密分散された投票データのシェアを生成し、生成した投票データのシェアそれぞれを、対応する各集計サーバの鍵により暗号化して、当該各投票者の前記端末装置へ送信する投票データ生成手段を備え、前記端末装置は、前記投票データ生成サーバから、全ての投票パターンについて、各集計サーバに対応する秘密分散された投票データのシェアの暗号文を受信し、この投票データのシェアの暗号文中から投票者が投票するパターンに応じた投票データのシェアの暗号文を、対応する各集計サーバへ送信する投票手段を備え、前記集計サーバは、投票数をカウントするための秘密分散されたカウンタと、前記端末装置から投票データのシェアの暗号文を受信し、前記秘密分散されたカウンタを、この暗号文を復号して得た投票データのシェアを加算した値に更新するカウンタ加算手段と、各集計サーバが保有する前記秘密分散されたカウンタを基に投票総数を復号する投票結果算出手段とを備える、ことを特徴とする電子投票システムである。
【０００７】
請求項２に記載の発明は、請求項１に記載の電子投票システムであって、さらに、前記集計サーバへ投票データの正当性を確認するための情報を保持する公開掲示板サーバとネットワークを介して接続され、前記投票データ生成手段は、前記投票データのシェアから生成した正当性確認データを、投票パターンを秘匿して前記公開掲示板サーバへ送信し、
前記公開掲示板サーバは、投票パターンを秘匿した正当性確認データを受信し、内部に記憶するシェア記憶手段を備え、前記カウンタ加算手段は、正当性確認データを前記公開掲示板サーバから読み出し、この正当性確認データを基に前記投票データのシェアが正当であると判断した場合に、前記秘密分散されたカウンタを、当該投票データのシェアを加算した値に更新する、ことを特徴とする。
【０００８】
請求項３に記載の発明は、請求項２に記載の電子投票システムであって、前記投票データ生成手段は、前記投票データのシェアの平文を前記端末装置へ送信し、前記投票手段は、前記投票データ生成サーバから前記投票データのシェアの平文を受信し、この投票データのシェアの平文と、前記公開掲示板サーバから読み出した正当性確認データとを基に、前記投票データのシェアの暗号文が正当であると判断した場合に、投票者が投票するパターンに応じた投票データのシェアの暗号文を対応する各集計サーバへ送信する、ことを特徴とする。
【００１５】
【発明の実施の形態】
以下、図面を参照し、この発明の実施の形態について説明する。
なお、便宜上、
【数１】

をＸ^y _zのように記述する。
【００１６】
１． システムモデル
図１は、この発明の一実施の形態による電子投票システムの構成を示すブロック図である。
本電子投票システムには、ｎ人の投票者Ｖ₁〜Ｖ_n（以下、「投票者Ｖ」と記述）が存在する。i番目（1≦i≦n）の投票者Ｖを投票者Ｖ_i、投票者Ｖ_iの持つ票数をx_i（以下、「持ち票数x_i」と記述）、投票者Ｖ_iがＹｅｓに投じる票数をv⁽ⁱ⁾ _Y（以下、「Ｙｅｓ票数v⁽ⁱ⁾ _Y」と記述）、Ｎｏに投じる票数をv⁽ⁱ⁾ _N（以下、「Ｎｏ票数v⁽ⁱ⁾ _N」と記述）とする。このとき、
【数２】

かつ
【数３】

が成り立つ。
そして、ｍ台の集計サーバＳ₁〜Ｓ_m（以下、「集計サーバＳ」と記述）は、投票者Ｖ₁〜Ｖ_nが各々保有する端末装置Ｔ₁〜Ｔ_n（以下、「端末装置Ｔ」と記述）から受信した投票データを基に、
【数４】

（以下、「Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _{Y 」}」と記述）及び
【数５】

（以下、「Ｎｏの総票数Σ_iv⁽ⁱ⁾ _N」と記述）を求める。
【００１７】
ここで、以下の健全性、完全性及びプライバシの条件を満たすとき、この電子投票システムで行われる電子投票はセキュアであるという。
（１）健全性
いかなる投票者Ｖ（端末装置Ｔ）も、各々の持ち票数x₁〜x_n（以下、「持ち票数ｘ」と記述）を超える投票はできない。すなわち、以下が成り立つ。
【数６】

また、上記が成立しているときに、（v⁽ⁱ⁾ _Y，v⁽ⁱ⁾ _N）は有効であるという。
（２）完全性
（１）に記載の健全性を満たす全ての投票に対して、集計サーバＳは、Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y及びＮｏの総票数Σ_iv⁽ⁱ⁾ _Nを正しく出力する。
（３）プライバシ
集計サーバＳと端末装置Ｔ（投票者Ｖ）は、Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y及びＮｏの総票数Σ_iv⁽ⁱ⁾ _N以外のいかなる情報も得ない。ただし、各投票者Ｖのそれぞれの持ち票数ｘと、各投票者Ｖが投票に参加したかどうかは公開されても良い。
【００１８】
本実施の形態による電子投票システムにおいては、各投票のプライバシを確保するために、線形性を持った秘密分散を利用して集計機能をｍ台の集計サーバＳへ分散させる。投票者Ｖの保有する端末装置Ｔは、各選択肢に投じる票数を示す投票データを秘密分散したシェア、すなわち、Ｙｅｓ票数v⁽ⁱ⁾ _Y及びＮｏ票数v⁽ⁱ⁾ _N（1≦i≦n）のシェアを各集計サーバＳに送信する。各集計サーバＳは、自身が端末装置Ｔから受信した投票データのシェアの総和を計算し、最終的に各集計サーバＳの保有する投票データのシェアの総和から総投票数を復元する。
【００１９】
２．構成
投票データ生成サーバＳ_Rは、専用線やブロードバンド回線によりインターネットなどのネットワークＮと接続され、公開掲示板サーバＢ及び端末装置Ｔと通信する機能を有する。ただし、端末装置Ｔとは、暗号化された通信プロトコルを使用するなどしてセキュアに接続される。
投票データ生成サーバＳ_Rは、全てのi（1≦i≦n）に対する（投票者Ｖ_i，持ち票数x_i）のペアを内部に記憶している。そして、全ての投票者Ｖについて、各集計サーバＳに対応する秘密分散された投票データのシェアを投票パターン毎に生成する機能と、平文の投票データのシェア及び電子署名された投票データのシェアの暗号文を端末装置Ｔへ送信する機能を有する。なお、投票パターンとは、各選択肢に持ち票数をどのように配分するかのパターンを示す。また、端末装置Ｔ及び集計サーバＳが投票の正当性の検証を行うための正当性確認データ、すなわち、投票データのシェアを基にしたハッシュ値を生成し、さらに生成したハッシュ値をシャッフルし投票パターンを秘匿して公開掲示板サーバＢへ書き込む機能を有する。
【００２０】
公開掲示板サーバＢは、専用線やブロードバンド回線によりネットワークＮと接続され、投票データ生成サーバＳ_R、端末装置Ｔ及び集計サーバＳと通信する機能を有する。また、公開掲示板サーバＢは、投票データ生成サーバＳ_Rから投票パターンを秘匿した正当性確認データ、すなわち、全ての可能な投票データのシェアを基に生成され、かつ、シャッフルされたハッシュ値を受信し、内部に記憶する機能を有する。
【００２１】
端末装置Ｔは、各投票者Ｖが保有するパーソナルコンピュータであり、専用線やブロードバンド回線によりネットワークＮと接続され、投票データ生成サーバＳ_R、公開掲示板サーバＢ及び集計サーバＳと通信する機能を有する。ただし、投票データ生成サーバＳ_Rとは、暗号化された通信プロトコルを使用するなどしてセキュアに接続される。
端末装置Ｔは、投票データ生成サーバＳ_Rから、平文の投票データのシェアと、電子署名された投票データのシェアの暗号文を受信し、内部に記憶する機能を有する。また、平文の投票データのシェアからハッシュ値を生成するとともに、公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）を読み出して比較し、投票データ生成サーバＳ_Rから受信した投票データのシェア及び公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）の正当性を確認する機能を有する。さらに、平文の投票データのシェアから投票データを復号し、投票データの正当性を確認する機能を有する。加えて、平文の投票データのシェアを暗号化し、投票データ生成サーバＳ_Rから受信した投票データのシェアが正しく暗号化されているかどうかを確認する機能を有する。そして、投票者Ｖがキーボードやマウス、ボタンなどから入力した投票パターンを示す情報を受け、この入力された投票パターンに対応する電子署名された投票データのシェアの暗号文を内部から読み出し、各集計サーバＳへ送信する機能を有する。
【００２２】
集計サーバＳは、専用線やブロードバンド回線によりネットワークＮと接続され、公開掲示板サーバＢ及び端末装置Ｔと通信する機能を有する。
各集計サーバＳは、共同でＹｅｓ用のカウンタＣ_Y（以下、「ＹｅｓカウンタＣ_Y」と記述）及びＮｏ用のカウンタＣ_N（以下、「ＮｏカウンタＣ_N」と記述）を求めるため、カウンタのシェアを内部に記憶する。これらのカウンタのシェアは、ｍ台中ｔ台の集計サーバＳが不正な場合でも集計結果を正しく復元可能な、Ｓｈａｍｉｒの（ｔ＋１，ｍ）分散法により分散されている（但し、ｍ＞３ｔ＋１）。
さらに、端末装置Ｔから受信した、電子署名された投票データのシェアの暗号文に付された電子署名をチェックする機能と、この投票データのシェアを復号してハッシュ値を生成し、公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）を読み出して比較することにより、投票データのシェアの正当性を確認する機能を有する。また、各集計サーバＳは、すでに投票を終えた投票者Ｖの識別子からなるリストＬ₁〜Ｌ_m（以下、「既投票者リストＬ」と記述）を内部に記憶し、投票者Ｖが既に投票を行っているか否かを判断する機能を有する。そして、正当性が確認された投票データのシェアをカウンタのシェアに加算する機能と、各集計サーバＳが保有するカウンタのシェアを合わせてカウンタを復元する機能を有する。
【００２３】
３． 電子投票システムの動作手順
３．１ 電子投票の手順の概要
図２は、本実施の形態による電子投票の手順の概要を示す図である。投票手順は、準備フェーズ、投票フェーズ及び集計フェーズの３フェーズからなる。
（１）準備フェーズ
投票データ生成サーバＳ_Rは、各投票者Ｖが投票可能な全投票パターン毎の投票データのシェアを生成する。そして、不正投票を検出するための正当性確認データとして、この投票データのシェアからハッシュ値を算出し、さらに、投票パターンを認識できないように算出したハッシュ値をシャッフルして公開掲示板サーバＢへ書き込む（ステップＳ１１）。その後、投票データ生成サーバＳ_Rは、全投票パターンの平文の投票データのシェア及び電子署名された投票データのシェアの暗号文を各端末装置Ｔへ送信する（ステップＳ１２）。端末装置Ｔは、公開掲示板サーバＢを参照し、投票パターンのシャッフルが正しくなされていること、そして、投票データが正しく生成されていることをチェックする（ステップＳ１３）。
（２）投票フェーズ
各投票者Ｖが投票を行う投票パターンを選択すると、端末装置Ｔは、全ての集計サーバＳへ選択した投票パターンに対応した電子署名された投票データのシェアの暗号文を送信する（ステップＳ２１）。集計サーバＳは、二重投票がないことを確認するとともに、受信した投票データのシェアが正しいことを公開掲示板サーバＢによりチェックする（ステップＳ２２）。このチェックが正しく終了した場合のみ、集計サーバＳは、それぞれが保有するＹｅｓカウンタＣ_Yのシェア及びＮｏカウンタＣ_Nのシェアを更新する。
（３）集計フェーズ
全ての集計サーバＳは、秘密分散の復元プロトコルを使用し、ＹｅｓカウンタＣ_Y（Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y）及びＮｏカウンタＣ_N（Ｎｏの総票数Σ_iv⁽ⁱ⁾ _N）を復元する（ステップＳ３１）。
【００２４】
なお、本電子投票システムにおいては、以下を仮定する。
・投票データ生成サーバＳ_Rは投票データのシェアを生成する準備フェーズのみ動作し、一度端末装置Ｔからの投票が始まると一切の動作を行わない。
・投票データ生成サーバＳ_Rは、任意の集計サーバＳや端末装置Ｔとは結託しない。
・任意の装置から公開掲示板サーバＢの内容を参照できるが、公開掲示板サーバＢ内の情報の追加・変更は、投票データ生成サーバＳ_Rのみが可能である。
・投票データ生成サーバＳ_Rは、一度公開掲示板サーバＢへ全ての情報を入力した後は、公開掲示板サーバＢ内の情報を一切変更しない。
各フェーズの詳細手順を以下に示す。
【００２５】
３．２ 準備フェーズ
（１） 図３は、カウンタ及び既投票者リストの初期化の手順を示す図である。まず、集計サーバＳは、各々が内部に記憶しているカウンタのシェアの初期化を行う。すなわち、集計サーバＳ_j（1≦j≦m）は、各々
ＹｅｓカウンタＣ_YのシェアＣ_Y,j = 0
及び
ＮｏカウンタＣ_NのシェアＣ_N,j = 0
を実行する。
次に、集計サーバＳ_j（1≦j≦m）は、各々が内部に記憶している既投票者リストＬ_jに空集合を書き込む。
【００２６】
（２） 図４は、投票データの生成の方式を示す図である。投票データ生成サーバＳ_Rは、全ての投票者Ｖに対して、秘密分散された投票パターン毎の投票データのシェアを生成する。すなわち、投票者Ｖ_i（1≦i≦n）の持ち票数x_iの範囲内のＹｅｓの票数k（0≦k≦x_i）及びＮｏの票数（x_i−k）を、各集計サーバＳ_j（1≦j≦m）に秘密分散するためのシェアを生成し、
【数７】

（以下、「Ｙｅｓ票数のシェアｓ^(i,k) _Y,j」と記述）及び
【数８】

（以下、「Ｎｏ票数のシェアｓ^(i,k) _N,j」と記述）を得る。図においては、i番目の投票者Ｖ_iの投票パターン（Ｙｅｓの票数k，Ｎｏの票数（x_i−k））＝（0,x_i），・・・，（x_i,0）に対して、集計サーバＳ₁に送信すべき
【数９】

が、集計サーバＳ_jに送信すべき
【数１０】

が、集計サーバＳ_mに送信すべき
【数１１】

が生成されることを示している。
【００２７】
次に、投票データ生成サーバＳ_Rは、全てのＹｅｓ票数のシェアｓ^(i,k) _Y,j及びＮｏ票数のシェアｓ^(i,k) _N,jを、ＲＳＡ（Rivest-Shamir-Adleman）暗号等により、対応する各集計サーバＳの公開鍵を用いて暗号化する。すなわち、投票データ生成サーバＳ_Rは、
【数１２】

（「‖」は結合を表す）を基に、
【数１３】

を、各i（1≦i≦n），k（0≦k≦x_i），j（1≦j≦m）について算出する。ただし、PkS_jは、j番目の集計サーバＳ_jの公開鍵であり、Enc<Pk>(w)は、平文wを公開鍵Pkにより暗号化した結果の暗号文を示す。
続いて、投票データ生成サーバＳ_Rは、自身の秘密鍵SkS_Rを用いて、各投票パターン毎の電子署名を作成する。すなわち、
【数１４】

を、各i（1≦i≦n），k（0≦k≦x_i）について計算する。なお、Sig<Sk>(w)は、秘密鍵Skを利用して作成したwの電子署名を表す。
【００２８】
（３） 図５は、公開掲示板サーバＢへのハッシュ値の書込みの方式を示す図である。投票データ生成サーバＳ_Rは、各i（1≦i≦n）について、以下のようにＹｅｓ票数及びＮｏ票数のシェアの結合s^(i,k) _jのハッシュ値を算出する。
【数１５】

ここで、「H」は衝突困難な一方向性ハッシュ関数とする。さらに、投票データ生成サーバＳ_Rは、ランダム置換πを選ぶ。そして、各j（1≦j≦m）について
【数１６】

を、選択したπを用いてシャッフルし、
【数１７】

を得る。投票データ生成サーバＳ_Rは、シャッフルした投票データのシェアのハッシュ値の集合H(s⁽ⁱ⁾ _j)（1≦i≦n，1≦j≦m）を公開掲示板サーバＢへ送信する。公開掲示板サーバＢは、シャッフルした投票データのシェアのハッシュ値の集合H(s⁽ⁱ⁾ _j)（1≦i≦n，1≦j≦m）を受信し、内部に記憶する。
【００２９】
（４） 図６は、投票データの配信の方式を示す図である。投票データ生成サーバＳ_Rは、各端末装置Ｔ_i（1≦i≦n）へ
平文のＹｅｓ票数及びＮｏ票数のシェアの結合の組（s^(i,k) ₁，・・・，s^(i,k) _m）(0≦k≦x_i）
及び、
投票パターン毎に電子署名Sig^(i,k)を付した投票データのシェアの暗号文の組（ES^(i,k) ₁，・・・，ES^(i,k) _m）(0≦k≦x_i）
を送信する。
各端末装置Ｔ_i（1≦i≦n）は、平文のＹｅｓ票数及びＮｏ票数のシェアの結合の組（s^(i,k) ₁，・・・，s^(i,k) _m）から、全てのk（0≦k≦x_i），j（1≦j≦m）について、投票データのシェアのハッシュ値h^(i,k) _jを（数１５）と同様の方法により算出する。そして、公開掲示板サーバＢに記録されている自身のiに対応したシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jを読み出し、これが、算出した投票データのシェアのハッシュ値h^(i,k) _jの集合と等価であり、かつ、投票パターンがシャッフルされた内容であることを確認する。
次に、各端末装置Ｔ_i（1≦i≦n）は、Ｙｅｓ票数のシェア（s^(i,k) _Y,1，・・・，s^(i,k) _Y,m）とＮｏ票数のシェア（s^(i,k) _N,1，・・・，s^(i,k) _N,m）（0≦k≦x_i）を復元し、それぞれがＹｅｓの票数kとＮｏの票数（x_i−k）のシェアであることを確認する。
さらに、各端末装置Ｔ_i（1≦i≦n）は、（数１３）と同様の方法により、Ｙｅｓ票数及びＮｏ票数のシェアの結合s^(i,k) _jを集計サーバＳ_jの公開鍵PkS_jで暗号化した暗号文ES^(i,k) _jを算出し、投票データ生成サーバＳ_Rから受信した暗号文ES^(i,k) _jと一致するかを全てのk（0≦k≦x_i），j（1≦j≦m）について検証する。
【数１８】

なお、
【数１９】

は、右辺と左辺が等しいか否かの検証を行うことを意味する。
【００３０】
３．３ 投票フェーズ
本節においては、i番目の端末装置Ｔ_iを用いて動作を説明するが、各端末装置Ｔ₁〜Ｔ_nにおいても同様に動作する。
（１） 図７は、投票者からの投票の方式を示す図である。端末装置Ｔ_iは、投票者Ｖ_iから投票パターンの選択の入力を受ける。このとき、投票者Ｖ_iの選択した投票パターンがＹｅｓ票数v⁽ⁱ⁾ _Yであるとすると、各端末装置Ｔ_i（1≦i≦n）は、Ｙｅｓの票数k＝Ｙｅｓ票数v⁽ⁱ⁾ _Yである電子署名付きの投票データのシェアの暗号文の組を全集計サーバＳへ送信する。具体的には、端末装置Ｔは、Ｙｅｓの票数k＝Ｙｅｓ票数v⁽ⁱ⁾ _Yに対応した投票データの暗号文の組（ES^(i,k) ₁，・・・，ES^(i,k) _m）に電子署名Sig^(i,k)を付した投票データを全ての集計サーバＳへ送信する。また、端末装置Ｔ_iは、この投票データと併せて、投票者Ｖ_iの識別子を送信する。
各集計サーバＳ_j（1≦j≦m）は、自身の記憶する既投票者リストＬ_jに端末装置Ｔ_iから受信した投票者Ｖ_iの識別子がすでに登録されているか否かをチェックする。もし、既投票者リストＬ_jに投票者Ｖ_iが既に登録されていたと判断した場合、当該受信データを破棄する。
既投票者リストＬ_jに投票者Ｖ_iが登録されていないことを確認すると、続いて、各集計サーバＳ_j（1≦j≦m）は、電子署名Sig^(i,k)の検証を行う。もし、電子署名Sig^(i,k)が正当ではないと判断した場合、当該受信データを破棄する。
各集計サーバＳ_j（1≦j≦m）は、電子署名Sig^(i,k)が正しいと判断した場合、投票データの暗号文ES^(i,k) _jを自身の秘密鍵SkS_jを利用して復号し、平文のＹｅｓ票数及びＮｏ票数のシェアの結合ｓ^(i,k) _j（k＝v⁽ⁱ⁾ _Y）を得る。
【数２０】

なお、Dec<Sk>(c)は、暗号文cを秘密鍵Skを用いて復号した結果得られる平文を示す。そして、各集計サーバＳ_jは、公開掲示板サーバＢからシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jを取得し、復号した平文のＹｅｓ票数及びＮｏ票数のシェアの結合s^(i,k) _j（k＝v⁽ⁱ⁾ _Y）のハッシュ値H（s^(i,k) _j）が含まれていることをチェックする。
【数２１】

上記全てのチェックが完了した場合に、各集計サーバＳ_j（1≦j≦m）は、投票者Ｖ_iの識別符号を自身の既投票者リストＬ_jに追加し、内部に記憶する。
【００３１】
（２） 図８は、カウンタの加算の方式を示す図である。各集計サーバＳ_j（1≦j≦m）は、以下のように、自身が内部に記憶しているＹｅｓカウンタＣ_YのシェアＣ_Y,jに復号されたＹｅｓ票数のシェアｓ^(i,k) _Y,j（k＝v⁽ⁱ⁾ _Y）を、ＮｏカウンタＣ_NのシェアＣ_N,jに復号されたＮｏ票数のシェアｓ^(i,k) _N,j（k＝v⁽ⁱ⁾ _Y）を加算し、更新する。
【数２２】

【００３２】
３．４ 集計フェーズ
図９は、投票数の集計の方式を示す図である。集計フェーズにおいて、各集計サーバＳ_j（1≦j≦m）が内部に記憶しているＹｅｓカウンタＣ_YのシェアＣ_Y,j及びＮｏカウンタＣ_NのシェアＣ_N,jを基に、ＹｅｓカウンタＣ_Y（＝Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y）及びＮｏカウンタＣ_N（＝Ｎｏの総票数Σ_iv⁽ⁱ⁾ _N）を復元する。ＹｅｓカウンタＣ_Y及びＮｏカウンタＣ_Nは、（ｔ＋１，ｍ）分散法により分散されているため、ｔ台以下の集計サーバＳに誤りや不正があった場合であっても、ＹｅｓカウンタＣ_Y及びＮｏカウンタＣ_Nは正しく復元することが可能である。
【００３３】
３．５ 効果
（１）健全性
投票権のない投票者が投票データを集計サーバＳに送信した場合、公開掲示板サーバＢに存在する（投票者Ｖ_i，シャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _j）のペアの検索によって、この投票を棄却することができる。また、投票データ生成サーバＳ_Rによって作られた投票データのシェアは、各集計サーバＳに対応して暗号化され、有効なＹｅｓ票数v⁽ⁱ⁾ _Yについてまとめた上で電子署名が付されているため、投票データのシェアの正当性を確認することができる。また、シェアの各ペアは、
【数２３】

を満たしており、各投票者Ｖは、
【数２４】

となる不正な投票を行うことができない。
また、各集計サーバＳ内の既投票者リストＬにより投票者Ｖの二重投票をチェックし、破棄することができる。
【００３４】
（２）完全性
集計サーバＳのカウンタは、（ｔ＋１，ｍ）分散法により分散されており、０に初期設定される。そして、投票内容は秘密分散を用いて複数台の集計サーバＳへ分散される。従って、ｍ台中ｔ台の集計サーバＳに不具合や不正があっても、秘密分散の復元と誤り訂正プロトコルにより、正しいカウンタ値（総票数）が復元される。
【００３５】
（３）プライバシ
集計サーバＳのカウンタは、（ｔ＋１，ｍ）分散法により分散されているため、ｔ台以下の集計サーバＳの結託では、カウンタ値（総票数）を知ることはできない。
また、公開掲示板サーバＢが公開するシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jは、投票データ生成サーバＳ_Rによりシャッフルされて投票パターンが秘匿されている。そのため、集計サーバＳは、端末装置Ｔから受信した暗号文ES^(i,k) _jと公開掲示板サーバＢ内のシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jからＹｅｓ票数v⁽ⁱ⁾ _Yを知ることはできない。
また、端末装置Ｔと投票データ生成サーバＳ_Rとの間の通信路がセキュアであるため、他の投票者の投票データを知ることはできない。また、他の端末装置Ｔから送信された暗号文ES^(i,k) _jと公開掲示板サーバＢ内のシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jから他の投票者のＹｅｓ票数v⁽ⁱ⁾ _Yを知ることはできない。
【００３６】
４．一般化と他の形態への応用
４．１ 一般化
上記電子投票システムは、Ｙｅｓ−Ｎｏのような２つの選択肢だけではなく、３以上の選択肢を持つ一般的な分割可能な投票に拡張することが可能である。ここでは、投票者Ｖ_i（1≦i≦n）が存在するとき、i番目の投票者Ｖ_iが持ち票x_iを持ち、選択肢Ａ₁，…，Ａ_uへ全ての持ち票x_iを分配して投票する場合を想定する。このとき、投票者Ｖ_iは、
【数２５】

及び
【数２６】

を満たす投票を行う。
このような投票を実現するため、各集計サーバＳ₁〜Ｓ_mは、ｕ個のカウンタのシェアを持つ。そして、準備フェーズにおいて投票データ生成サーバＳ_Rは、３章に記載したＹｅｓ票数のシェアｓ^(i,k) _Y,j及びＮｏ票数のシェアｓ^(i,k) _N,jの代わりに、
k₁＋…＋k_u＝x_i
かつ
0≦k₁，…，k_u≦x_i
を満たすような投票数のシェア
【数２７】

を全てのj（1≦j≦m），k₁，... ，k_uに対して生成する。この点を除き、３章に示す電子投票システムの動作手順と同様に構成可能である。すなわち、本節に示す一般化された電子投票システムの動作手順においては、投票データ生成サーバＳ_Rは、各投票者Ｖに対して、
【数２８】

のシェアを作成する。
【００３７】
４．２ 部分的棄権が可能な投票
棄権票が存在する場合、
【数２９】

となる投票も有効である。この場合、持ち票x_iを持つi番目の投票者Ｖ_i（1≦i≦n）は、Ｙｅｓにv⁽ⁱ⁾ _Y票、Ｎｏにv⁽ⁱ⁾ _N票、棄権にv⁽ⁱ⁾ _A（＝x_i−v⁽ⁱ⁾ _Y−v⁽ⁱ⁾ _N）票を投票する。各集計サーバＳは、ＹｅｓカウンタＣ_Y、ＮｏカウンタＣ_N、棄権票カウンタＣ_Aの各々に対応して、秘密分散したＹｅｓカウンタＣ_YのシェアＣ_Y,j、秘密分散したＮｏカウンタＣ_NのシェアＣ_N,j、秘密分散した棄権票カウンタＣ_AのシェアＣ_A,j（1≦j≦m）を内部に記憶する。そして、投票データ生成サーバＳ_Rは、以下の投票データのシェアを生成する。
【数３０】

その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００３８】
４．３ 分割不可な複数投票
分割不可能な複数電子投票においては、投票者Ｖが、持ち票ｘを全てＹｅｓあるいはＮｏに割り当て、投票する。すなわち、
【数３１】

または
【数３２】

となる投票を行う。このとき、投票データ生成サーバＳ_Rは、
（x_i，０）及び（０，x_i）
のシェアを作成し、各端末装置Ｔへ送信する。
その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００３９】
４．４ 多候補者選挙
多候補者選挙は、投票者が、ｕ個の候補の中から１つの候補のみを選択する方式である。この場合、各集計サーバＳは、ｕ番目の候補を選択したときのカウンタの分散である分散カウンタＣ_1,j，．．．，Ｃ_u,j（1≦j≦m）を保有する。そして、投票データ生成サーバＳ_Rは、１つだけが「１」で残りが全て「０」となるような、以下の投票データのシェアを生成し、端末装置Ｔへ送信する。
（1,0,0,...,0），（0,1,0,...,0），．．．，（0,0,0,...,1）
その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００４０】
５．その他
上記実施の形態によれば、健全性、完全性、プライバシを保持しながら、各投票者が持つ票を複数の選択肢に任意に分割して投票することができる電子投票を実現することができる。また、ゼロ知識証明などを使用せず、負荷を抑えた電子投票システムを提供することが可能となる。また、部分的な棄権、分割不可の複数投票、あるいは、多候補者選挙を行うことができる。
【００４１】
なお、上述の投票データ生成サーバＳ_R、公開掲示板サーバＢ、端末装置Ｔ、及び、集計サーバＳは、内部にコンピュータシステムを有している。そして、上述した動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含むものである。
【００４２】
また、「コンピュータ読み取り可能な記録媒体」とは、ＲＯＭの他に、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のシステムやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００４３】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００４４】
【発明の効果】
この発明によれば、各投票者の投票内容を秘匿しながら、さらに、不正な投票を防ぎながら、各投票者が持つ票を複数の選択肢に任意に分割して投票することができる効率的な電子投票システムを提供することができる。さらに、部分的な棄権、分割不可の複数投票、あるいは、多候補者選挙を行うことができる。
【図面の簡単な説明】
【図１】 この発明の一実施の形態による電子投票システムの構成を示すブロック図である。
【図２】 同実施の形態による電子投票の手順の概要を示す図である。
【図３】 同実施の形態によるカウンタ及び既投票者リストの初期化の手順を示す図である。
【図４】 同実施の形態による投票データの生成の方式を示す図である。
【図５】 同実施の形態による公開掲示板サーバへのハッシュ値の書込みの方式を示す図である。
【図６】 同実施の形態による投票データの配信の方式を示す図である。
【図７】 同実施の形態による投票者からの投票の方式を示す図である。
【図８】 同実施の形態によるカウンタの加算の方式を示す図である。
【図９】 同実施の形態による投票数の集計の方式を示す図である。
【符号の説明】
Ｓ_Ｒ…投票データ生成サーバ
Ｂ…公開掲示板サーバ
Ｔ、Ｔ₁、Ｔ₂、Ｔ_i、Ｔ_n…端末装置
Ｓ₁、Ｓ₂、Ｓ_j、Ｓ_m…集計サーバ

Claims (3)

1. 投票者の端末装置と、前記投票者が投票を行うための投票データを生成する投票データ生成サーバと、投票を集計する複数の集計サーバとをネットワークを介して接続してなる電子投票システムであって、
   前記投票データ生成サーバは、
   各投票者の持ち票を各選択肢に割り当てた全ての投票パターンそれぞれについて、各集計サーバに対応する秘密分散された投票データのシェアを生成し、生成した投票データのシェアそれぞれを、対応する各集計サーバの鍵により暗号化して、当該各投票者の前記端末装置へ送信する投票データ生成手段を備え、
   前記端末装置は、
   前記投票データ生成サーバから、全ての投票パターンについて、各集計サーバに対応する秘密分散された投票データのシェアの暗号文を受信し、この投票データのシェアの暗号文中から投票者が投票するパターンに応じた投票データのシェアの暗号文を、対応する各集計サーバへ送信する投票手段を備え、
   前記集計サーバは、
   投票数をカウントするための秘密分散されたカウンタと、
   前記端末装置から投票データのシェアの暗号文を受信し、前記秘密分散されたカウンタを、この暗号文を復号して得た投票データのシェアを加算した値に更新するカウンタ加算手段と、
   各集計サーバが保有する前記秘密分散されたカウンタを基に投票総数を復号する投票結果算出手段とを備える、
   ことを特徴とする電子投票システム。
2. さらに、前記集計サーバへ投票データの正当性を確認するための情報を保持する公開掲示板サーバとネットワークを介して接続され、
   前記投票データ生成手段は、前記投票データのシェアから生成した正当性確認データを、投票パターンを秘匿して前記公開掲示板サーバへ送信し、
   前記公開掲示板サーバは、投票パターンを秘匿した正当性確認データを受信し、内部に記憶するシェア記憶手段を備え、
   前記カウンタ加算手段は、正当性確認データを前記公開掲示板サーバから読み出し、この正当性確認データを基に前記投票データのシェアが正当であると判断した場合に、前記秘密分散されたカウンタを、当該投票データのシェアを加算した値に更新する、
   ことを特徴とする請求項１に記載の電子投票システム。
3. 前記投票データ生成手段は、前記投票データのシェアの平文を前記端末装置へ送信し、
   前記投票手段は、前記投票データ生成サーバから前記投票データのシェアの平文を受信し、この投票データのシェアの平文と、前記公開掲示板サーバから読み出した正当性確認データとを基に、前記投票データのシェアの暗号文が正当であると判断した場合に、投票者が投票するパターンに応じた投票データのシェアの暗号文を対応する各集計サーバへ送信する、
   ことを特徴とする請求項２に記載の電子投票システム。

Images