JP4771053B2 - 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム - Google Patents

統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム Download PDF

Info

Publication number
JP4771053B2
JP4771053B2 JP2005155306A JP2005155306A JP4771053B2 JP 4771053 B2 JP4771053 B2 JP 4771053B2 JP 2005155306 A JP2005155306 A JP 2005155306A JP 2005155306 A JP2005155306 A JP 2005155306A JP 4771053 B2 JP4771053 B2 JP 4771053B2
Authority
JP
Japan
Prior art keywords
commitment
proof
integrated
replacement
order number
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2005155306A
Other languages
English (en)
Other versions
JP2006333193A (ja
Inventor
潤 古川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2005155306A priority Critical patent/JP4771053B2/ja
Priority to US11/915,621 priority patent/US8009828B2/en
Priority to PCT/JP2006/310346 priority patent/WO2006126585A1/ja
Priority to CA002609459A priority patent/CA2609459A1/en
Priority to EP06756552.3A priority patent/EP1890421A4/en
Publication of JP2006333193A publication Critical patent/JP2006333193A/ja
Application granted granted Critical
Publication of JP4771053B2 publication Critical patent/JP4771053B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0421—Anonymous communication, i.e. the party's identifiers are hidden from the other party or parties, e.g. using an anonymizer
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C13/00—Voting apparatus
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/42—Anonymization, e.g. involving pseudonyms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem
    • H04L2209/463—Electronic voting

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Business, Economics & Management (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Physics & Mathematics (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Finance (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Storage Device Security (AREA)

Description

本発明は、匿名通信路の構成などに使われる統合証明付シャッフル技術による統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステムに関する。
［従来の技術（１）］
従来の証明付シャッフルの技術について、例えば、特許文献１（特開２００１−２５１２８９号公報）の記載が参照される。図５に、特許文献１に記載された構成を示す。なお、説明に用いている図面中で、合流する矢印は、矢印の元の情報が、全て集まって矢印の先へ送られることを意味し、分岐する矢印は矢印の元の情報全て又は一部が、それぞれの矢印の先へ送られることを意味する。また、特許文献１の再暗号シャッフルを、以下では、シャッフルと称する。
図５において、暗号文と公開鍵１００がシャッフルステップ１０１に入力されてシャッフルされる。この時入力された暗号文１００とシャッフルを特定する情報であるシャッフル情報１０２が同一変換証明ステップ１０３に送られ、シャッフル情報１０２が置換証明ステップ１０４に送られる。同一変換証明ステップ１０３は同一変換証明文１０５を生成し出力すると同時に、証明文生成に使用した乱数１０６を置換証明ステップ１０４に送る。置換証明ステップ１０４は置換証明文１０７を出力する。リスポンス生成ステップ１０８には同一変換証明文１０５と置換証明文１０４と暗号文と公開鍵１００とシャッフル済み暗号文１０９とを入力し、同一変換証明文１０５と置換証明文１０４と暗号文とにリスポンスを加えてシャッフル証明文１１０を生成し出力する。同一変換証明文１０５は、リスポンスと合さって、入力文の順番の入れ替えや暗号化である暗号文の変換内容の知識を持っていることの証明であると同時に、入力される暗号文が複数の整数の要素となる場合はそれぞれの要素が同じ順番の入れ替えと対応する暗号化の処理とを受けたことの証明でもある。置換証明文１０７は、リスポンスと合さって、入力される暗号文に対しての、順番の入れ替えが正しくなされたことの証明である。
図５に示されるシャッフルとは、入力された暗号文の順序を入れ替えて再び暗号化することである。この処理が正当であることを証明するために、同文献では同一変換証明ステップと置換証明ステップの二つの証明ステップを用いている。この証明対象の分割により同文献ではシャッフル証明文生成の効率化を達成している。
［従来の技術（２）］
従来の証明付シャッフル復号を用いたミックスネットの技術２００について、例えば、非特許文献１（Kazue Sako, Joe Kilian: Receipt-Free Mix-Type Voting Scheme - A Practical Solution to the Implementation of a Voting Booth. EUROCRYPT 1995: 393-403, Springer）の記載が参照される。
図６に示すように、ここでは、複数のミキサー（２０１,２０２，２０３，２０４，２０５，２０６）による証明付シャッフルを、連続して行うことにより、入力された複数の暗号文２０７の順序を入れ替えかつ再暗号化して出力２０８している。各ミキサーが独立して暗号文の順序を入れ替えるため、全てのミキサーがどのように順番を入れ替えたかを知らなければ、全体としてどのように順番が入れ替えたかが分からなくなっている。このようにして、入力された暗号文と出力された暗号文の対応は、全てのミキサーが結託して情報を漏洩しなければ分からない。このような技術は電子投票等で、投票者と投票内容の関係を秘匿したい場合に有効位である。
しかし、本方法では全てのミキサーが結託しさえすれば、入力と出力の対応関係が分かってしまう。そのため、よりこのような結託を起きにくくするために、ミキサーの数を十分に多くすることが重要である。
［従来の技術（３）］
従来の技術（２）以外にも、ミックスネットを用いて電子投票を実現している例が、非特許文献２（Jun Furukawa, Hiroshi Miyauchi, Kengo Mori, Satoshi Obana, Kazue Sako: An Implementation of a Universally Verifiable Electronic Voting Scheme based on Shuffling. Financial Cryptography 2002, : 16-30, LNCS 2339,Springer）に記載されている。ここでは、最初に投票を管轄するセンターが、全ての投票者より投票内容を暗号化した暗号文を受付ける。次にこのセンターが暗号文全ての集合を、複数のミキサーに順番に渡す。各ミキサーはこの暗号文の集合の順序を入れ替えかつ再暗号化した後にセンターに返還する。これをセンターが次のミキサーへ渡すと言った作業を全てのミキサーに関して繰り返す。最後のミキサーから受け取った暗号文を復号して、投票結果を集計する。
特開２００１−２５１２８９号公報 Kazue Sako, Joe Kilian: Receipt-Free Mix-Type Voting Scheme - A Practical Solution to the Implementation of a Voting Booth. EUROCRYPT 1995: 393-403, Springer Jun Furukawa, Hiroshi Miyauchi, Kengo Mori, Satoshi Obana, Kazue Sako: An Implementation of a Universally Verifiable Electronic Voting Scheme based on Shuffling. Financial Cryptography 2002, : 16-30, LNCS 2339,Springer
しかしながら、上記従来の技術は下記記載の問題点を有している。
従来の技術（１）を複数のミキサーで連続して行うことにより、従来の技術（２）で述べられたミックスネットを構成した場合を考える。このようなミックスネットは電子投票を行う際には有効な方法である。しかし、電子投票において、投票の十分な匿名性を求めた場合、上に記したように、ミキサーの数を増やす必要がある。一方、各ミキサーが正しく振る舞ったことを確認しなければ、投票の正当性が確認できないため、従来の技術（１）では示されたように、選挙を監視する人々がミキサーの振る舞いを検証する必要がある。この検証作業に必要な計算量は大きい。すなわち、投票に十分な匿名性を求めた場合、ミキサーの数を多くする必要があり、検証は各ミキサーに関して行う必要があることから、ミックスネット全体の検証には多大な時間がかかることになる。
本発明は上述したような従来の技術が有する問題点を解決するためになされたものであり、検証者の必要な計算量がミキサーの数によらず一定の大きさとなる統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステムを提供することを目的とする。
上記目的を達成するための本発明の統合シャッフル正当性証明装置は、順序数１からλが割り当てられた複数の統合シャッフル正当性証明装置と、該複数の統合シャッフル正当性証明装置と通信回線で接続された証明統合装置と、該証明統合装置と通信回線で接続され、該複数の統合シャッフル正当性証明装置および該証明統合装置による情報処理を検証する統合シャッフル正当性検証装置とを有するミックスネットシステムにおける、順序数κの統合シャッフル正当性証明装置であって、
外部からコミットメント用公開鍵が前記順序数κ（１≦κ≦λ）の前記統合シャッフル正当性証明装置に入力され、順序数κが２以上λ以下の任意の整数であるとき、前記順序数が１からκ−１までの統合シャッフル正当性証明装置のそれぞれで生成された暗号文である置換証明文を含む置換蓄積コミットメントを前記証明統合装置から受信すると、該置換蓄積コミットメントに自装置による置換証明文を付加した置換証明コミットメントを該コミットメント用公開鍵で暗号化して前記証明統合装置に送信する置換証明コミットメント装置と、
置換証明コミットメント統合装置と、
分散復号証明装置と、を有し、
前記置換証明コミットメント装置は、
乱数が外部から入力され、順序数κが割り当てられた第一置換蓄積コミットメントが前記証明統合装置から入力されると、前記コミットメント用公開鍵、前記乱数および該第一置換蓄積コミットメントを用いて、該コミットメント用公開鍵による暗号文を含む、順序数κが割り当てられた第一置換証明コミットメントを生成して前記証明統合装置に出力する第一置換証明コミットメント装置と、
順序数κが割り当てられた第一逆置換蓄積コミットメントが前記証明統合装置から入力されると、前記コミットメント用公開鍵、前記乱数および該第一逆置換蓄積コミットメントを用いて、順序数κが割り当てられた第一逆置換証明コミットメントを生成して前記証明統合装置に出力する第一置換証明コミットメント逆送装置と、
順序数κが割り当てられた第二置換蓄積コミットメントが前記証明統合装置から入力されると、前記乱数および該第二置換蓄積コミットメントを用いて、前記コミットメント用公開鍵による暗号文からなる、順序数κが割り当てられた第二置換証明コミットメントを生成して前記証明統合装置に出力する第二置換証明コミットメント装置と、
順序数κが割り当てられた第二逆置換蓄積コミットメンが前記証明統合装置から入力されると、前記コミットメント用公開鍵、前記乱数および該第二逆置換蓄積コミットメントを用いて、順序数κが割り当てられた第二逆置換証明コミットメントを生成して前記証明統合装置に出力する第二置換証明コミットメント逆送装置と、
順序数κが割り当てられた第三置換蓄積コミットメントが前記証明統合装置から入力されると、前記乱数および該第三置換蓄積コミットメントを用いて、前記コミットメント用公開鍵による暗号文からなる、順序数κが割り当てられた第三置換証明コミットメントを生成して前記証明統合装置に出力する第三置換証明コミットメント装置とをさらに有し、
前記置換証明コミットメント統合装置は、前記順序数λが割り当てられた前記置換証明コミットメントとして前記第一置換証明コミットメント、前記第二置換証明コミットメントおよび前記第三置換証明コミットメントをまとめた統合置換証明コミットメントと、該λが割り当てられた挑戦値とが前記証明統合装置から入力され、前記順序数κが割り当てられた、前記コミットメント用公開鍵を構成する複数の秘密鍵から分散された秘密鍵が入力されると、前記統合置換証明コミットメントの暗号文を生成し、該暗号文を前記分散された秘密鍵で復号した分散復号を前記分散復号証明装置および前記証明統合装置に出力し、
前記分散復号証明装置は、前記置換証明コミットメント統合装置から前記分散復号を受信すると、該分散復号を検証するためのコミットメントを前記証明統合装置に出力し、該統合置換証明コミットメントの暗号文の該分散された秘密鍵による分散復号を検証するための挑戦値を受信すると、該統合置換証明コミットメントの暗号文の該分散された秘密鍵による分散復号を検証するためのレスポンスを、該分散された秘密鍵、乱数、及び該挑戦値より生成して前記証明統合装置に出力する構成である。
本発明によれば、統合シャッフル正当性証明装置は順序数が自分より前の装置から受け取る置換蓄積コミットメントに自装置の置換証明文を付加している。そのため、順序数の順に置換蓄積コミットメントに各統合シャッフル正当性証明装置の置換証明文が蓄積され、シャッフルを行う全ての装置のシャッフルの正当性を証明する情報がまとめられる。その結果、まとめられた情報から全体のシャッフルの検証を効率的に行うことが可能となる。
一方、上記目的を達成するための本発明の証明統合装置は、順序数１からλが割り当てられた複数の統合シャッフル正当性証明装置と、該複数の統合シャッフル正当性証明装置と通信回線で接続された証明統合装置と、該証明統合装置と通信回線で接続され、該複数の統合シャッフル正当性証明装置および該証明統合装置による情報処理を検証する統合シャッフル正当性検証装置とを有するミックスネットシステムにおける証明統合装置であって、
前記順序数が１からλまで割り当てられた前記複数の統合シャッフル正当性証明装置のそれぞれとの通信手段と、
前記複数の統合シャッフル正当性証明装置および前記証明統合装置による情報処理を検証するための前記統合シャッフル正当性検証装置との通信手段と、
前記順序数が１からκ（１≦κ≦λ）までの統合シャッフル正当性証明装置のそれぞれで生成された暗号文である置換証明文を含む置換証明コミットメントを順序数κの統合シャッフル正当性証明装置から受信すると、順序数κが１以上（λ−１）以下の任意の整数であるとき、順序数がκ＋１の統合シャッフル正当性証明装置に対して、置換証明文を要求するために前記順序数κの統合シャッフル正当性証明装置から受信した置換証明コミットメントを含む置換蓄積コミットメントを送信するコミットメント統合装置と、
ミック用公開鍵および該ミックス用公開鍵で暗号化された複数の暗号文からなるミックスネット入力暗号文が外部から入力され、前記順序数κに関して１からλまで、前記ミックスネット入力暗号文から順序数κが割り当てられた入力暗号文列を生成し、該順序数κを割り当てた入力暗号文列を順序数κが割り当てられた前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた出力暗号文列を前記統合シャッフル正当性証明装置から受信すると、順序数κが割り当てられた出力暗号文列から入力暗号文列を生成し、該入力暗号文列に順序数κ＋１を割り当てる処理を行って、前記順序数がλの統合シャッフル正当性証明装置から受信した出力暗号文列から、前記ミックスネット入力暗号文の順番を入れ替えて再暗号化した結果であるミックスネット出力暗号文を生成して前記統合シャッフル正当性検証装置に送信するミックス装置と、
前記置換証明コミットメントが統合された統合置換証明コミットメントと前記統合同一変換コミットメントとを含む統合コミットメントを前記統合シャッフル正当性検証装置に送信するコミットメント装置と、
前記統合シャッフル正当性検証装置より前記挑戦値を統合した統合挑戦値を受信すると、該統合挑戦値より、前記順序数λ＋１が割り当てられた挑戦値を生成し、前記複数の統合シャッフル正当性証明装置の順序数κに関して前記順序数λ＋１から１まで、順序数κ＋１を割り当てた挑戦値を順序数κが割り当てられた前記統合シャッフル正当性証明装置に送信し、該順序数κが割り当てられたレスポンスを受信すると、該レスポンスを順序数κが割り当てられた挑戦値に変換する処理を行って、前記順序数１が割り当てられたレスポンスから統合レスポンスを生成して前記統合シャッフル正当性検証装置に送信するレスポンス統合装置と、
コミットメント用公開鍵が外部から入力され、前記順序数λが割り当てられた置換証明コミットメントと、該λが割り当てられた挑戦値とが前記順序数λが割り当てられた統合シャッフル正当性証明装置から入力されると、該置換証明コミットメントを統合した統合置換証明コミットメントの暗号文を生成し、前記複数の統合シャッフル正当性証明装置のそれぞれと通信を行って、各統合シャッフル正当性証明装置から、順序数κが割り当てられた、前記コミットメント用公開鍵を構成する複数の秘密鍵から分散された秘密鍵により前記統合置換証明コミットメントの暗号文が復号された分散復号結果を受信すると、該分散復号結果から統合置換証明コミットメントの暗号文の復号結果を生成し、該復号結果を、対応する統合シャッフル正当性検証装置に送信する統合置換証明コミットメント復号装置と、を有し、
前記コミットメント統合装置は、
前記順序数κに関して１からλまで、外部から入力される共通参照基底に基づいて順序数κが割り当てられた同一変換コミットメントを生成し、該順序数κを割り当てた同一変換コミットメントを順序数κの前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた同一変換知識コミットメントを順序数κの前記統合シャッフル正当性証明装置から受信すると、該同一変換知識コミットメントを順序数κ＋１が割り当てられた同一変換コミットメントに変換する処理を行って、前記順序数λの統合シャッフル正当性証明装置から受信する同一変換コミットメントから統合同一変換コミットメントを生成する同一変換知識証明コミットメント統合装置を有し、
前記コミットメント統合装置は、
前記順序数κに関して１からλまで、順序数κを割り当てた置換蓄積コミットメントを生成し、該順序数κを割り当てた置換蓄積コミットメントを順序数κの前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた置換証明コミットメントを順序数κの前記統合シャッフル正当性証明装置から受信すると、該置換証明コミットメントを順序数κ＋１が割り当てられた置換蓄積コミットメントに置換する処理を行って、前記順序数λの統合シャッフル正当性証明装置から受信する置換証明コミットメントから前記統合置換証明コミットメントを生成する構成である。
また、上記目的を達成するための本発明の統合シャッフル正当性検証装置は、順序数１からλが割り当てられた複数の統合シャッフル正当性証明装置と、該複数の統合シャッフル正当性証明装置と通信回線で接続された証明統合装置と、該証明統合装置と通信回線で接続され、該複数の統合シャッフル正当性証明装置および該証明統合装置による情報処理を検証する統合シャッフル正当性検証装置とを有するミックスネットシステムにおける統合シャッフル正当性検証装置であって、
前記統合シャッフル正当性検証装置にミックスネット入力暗号文が外部から入力され、該ミックスネット入力暗号文の順番を入れ替えて再暗号化した結果であるミックスネット出力暗号文が前記証明統合装置から前記統合シャッフル正当性検証装置に入力され、
前記複数の統合シャッフル正当性証明装置および前記証明統合装置による情報処理を検証するための統合同一変換コミットメント及び統合置換証明コミットメントを前記証明統合装置より受信するコミットメント受信装置と、
前記統合シャッフル正当性証明装置の認証に用いられる、ランダムな数の列である挑戦値を生成して前記証明統合装置に送信する挑戦値生成装置と、
前記順序数λが割り当てられた置換証明コミットメントと、該λが割り当てられた挑戦値とが前記証明統合装置から入力されると、前記統合置換証明コミットメントの暗号文を生成し、前記証明統合装置と通信することで、該統合置換証明コミットメントの分散された暗号文の復号結果から求められた復号統合置換証明コミットメントが正しく生成されたか否かを検証する復号統合置換証明コミットメント受信装置と、
前記挑戦値に対応して前記順序数１の前記統合シャッフル正当性証明装置から出力されたレスポンスである統合レスポンスを前記証明統合装置より受信し、該証明統合装置より前記復号統合置換証明コミットメントを受信する受信装置と、
前記統合同一変換コミットメントと前記統合置換証明コミットメントと前記挑戦値と前記統合レスポンスと前記復号統合置換証明コミットメントとに基づいて、前記ミックスネット出力暗号文が前記ミックスネット入力暗号文から正しく生成されているか否かを示す検証結果を出力する検証装置と、
を有する構成である。
さらに、上記目的を達成するための本発明のミックスネットシステムは、上記本発明の統合シャッフル正当性証明装置が複数と、上記本発明の証明統合装置と、上記本発明の統合シャッフル正当性検証装置とを有するミックスネットシステムであって、
前記ミックスネットシステムは、
前記証明統合装置と前記複数の統合シャッフル正当性証明装置との通信手段と、
前記証明統合装置と前記統合シャッフル正当性検証装置との通信手段とをさらに有し、
前記証明統合装置は、
ミックスネット入力暗号文が前記証明統合装置に外部から入力されると、前記複数の統合シャッフル正当性証明装置のそれぞれと通信を行うことで、前記ミックスネット入力暗号文の順番を入れ替えて再暗号化した結果であるミックスネット出力暗号文を取得し、該ミックスネット出力暗号文を前記統合シャッフル正当性検証装置に送信し、その後、前記複数の統合シャッフル正当性証明装置および前記証明統合装置による情報処理を検証するためのコミットメントを統合した統合コミットメントを生成して該統合シャッフル正当性検証装置に送信し、該統合シャッフル正当性検証装置から挑戦値を受信すると、該挑戦値に対応する統合レスポンスを生成して該統合シャッフル正当性検証装置に送信し、前記統合置換証明コミットメントから前記復号統合置換証明コミットメントを生成して該統合シャッフル正当性検証装置に送信し、該統合シャッフル正当性検証装置と通信することで、該復号統合置換証明コミットメントを検証し、
前記統合シャッフル正当性検証装置は、
前記挑戦値を生成すると、該挑戦値を前記証明統合装置に送信し、該証明統合装置との通信により取得したデータから、前記ミックスネット出力暗号文が前記ミックスネット入力暗号文の順番を入れ替えて再暗号化したものであるか否かを調べることで、ミックスネットの処理が正しく行われたか否かを判定した結果を出力するものである。
本発明によれば、複数のミキサーがシャッフルを行うミックスネットの正当性の検証を行うときに、検証者の必要とする計算量がミキサーの数、すなわち、行われるシャッフルの回数に依存しなくなる。これは検証者の負担を軽くすることができるため、ミキサーの数を増やすことを容易にし、より強い匿名性を持ったミックスネットを構成できる。
本発明のミックスネットシステムの実施例について図面を参照して説明する。以下の実施例では、楕円Elgamal暗号を使った例に即して説明する。離散対数問題の難しい巡回群であればよい。
はじめに、本発明にて前提となる事項から順に説明していく。
「記号」
Ｍｋ，ｎ（Ｘ）をＥ上の点のなすｋ行ｎ列の行列とする。
Ｘは楕円Ｅ、ＺｑあるいはElGamal暗号文の空間ＥＣの場合を考える。ただし、ＥＣの点はＥの点二つからなり、Ｍｋ，ｎ（ＥＣ）＝Ｍｋ，２ｎ（Ｅ）である。
今ここで、Ａ∈Ｍｋ，ｎ（Ｘ）とするとき、Ａの（ｉ，ｊ）成分をＡｉｊと記す。
また、Ｂ∈Ｍｎ，ｍ（Ｙ）とするとき、ＡＢはｋ行ｍ列の行列で、その（ｉ，ｊ）成分を、（ＡＢ）ｉｊ＝Σｇ＝１ ｎＡｉｇＢｇｊと定義する。
この定義において、乗算は、Ｘ，Ｙが共にＺｑであればＺｑ上の乗算とし、ＸがＺｑで、ＹがＥであれば、楕円曲線のスカラー倍として定義する。一方、加算は、Ｘ，Ｙが共にＺｑであればＺｑ上の加算とし、ＸがＺｑで、ＹがＥであれば、楕円曲線の加算として定義する。
今ここで、Ａ，Ｂ∈Ｍｋ，ｎ（Ｘ）に対して、Ａ◎Ｂを（Ａ◎Ｂ）ｉｊ＝ＡｉｊＢｉｊと定義する。
［楕円Elgamal公開鍵暗号方式］
楕円ElGamal暗号方式は、公開鍵暗号系に属する暗号方式である。最初に、関係ｑ ｍｏｄ３＝２となる素数をｑとし、位数がｑの楕円曲線をＥとし、Ｅの生成元をＧとし、Ｅの単位元をＯとする。すなわち，任意のＥ上の点Ｐは、［ｑ］Ｐ＝Ｏを満たす。ここで、［ｘ］Ｇは、Ｇのｘ倍点を表す。
楕円Elgamal公開鍵暗号方式は次の三つのアルゴリズムからなる。
「鍵生成アルゴリズム」
乱数が入力され、秘密鍵ｘをＺｑの要素ランダムに選び、公開鍵ＭをＭ＝［ｘ］Ｇを計算して求め、秘密鍵ｘと公開鍵Ｍを出力する。
「暗号化アルゴリズム」
平文Ｍ∈Ｅと公開鍵Ｍと乱数とが入力され、ｓをＺｑの要素ランダムに選び、暗号文をＣ＝（Ｇ１，Ｍ１）＝（［ｓ］Ｇ，Ｍ＋［ｓ］Ｍ）と計算し、これを出力する。
「復号アルゴリズム」
暗号文Ｃと秘密鍵ｘが入力され、復号文Ｍ’＝Ｍ１−［ｘ］Ｇ１を出力する。復号アルゴリズムの出力Ｍ’が暗号化された平文Ｍに一致することは、Ｍ’＝Ｍ１−［ｘ］Ｇ１＝Ｍ＋［ｓ］Ｍ−［ｘ］［ｓ］Ｇ＝Ｍ＋［ｓ］Ｍ−［ｓ］Ｍ＝Ｍから明らかである。
「再暗号アルゴリズム」
暗号文（Ｇ１，Ｍ１）が入力され、ランダムに選ばれたＺｑの要素ｔを用いて、再暗号文（Ｇ’１，Ｍ’１）＝（［ｔ］Ｇ＋Ｇ１，［ｓ］Ｍ＋Ｍ１）
を出力する。（Ｇ’１，Ｍ’１）と（Ｇ１，Ｍ１）の復号結果は同じになる。
[再暗号の記号]
Ｃ∈Ｍｋ，１（ＥＣ）、ＹをElGamal暗号文の公開鍵とする。このとき、Ｙ＊Ｃ∈Ｍｋ，１（ＥＣ）を、（Ｙ＊Ｃ）ｉ，１がＣｉのＹを用いて再暗号したものとなるものとする。
また、θ∈Ｍｋ，１（Ｚｑ）である場合、Ｙ＊θ∈Ｍｋ，１（ＥＣ）は、（Ｙ＊θ）ｉが（［θ］Ｇ）ｉに対してＹを用いて再暗号したものとなるものとする。
Ｃ’∈Ｍｋ，１（ＥＣ）である場合、Ｃ＋Ｃ’∈Ｍｋ，１（ＥＣ）は、（Ｃ＋Ｃ’）ｉがＣｉとＣ’ｉの復号文のＥ上での和を暗号化したものとする。
「秘密鍵分散と分散復号」
秘密鍵がｙであり、公開鍵がＹ＝［ｙ］Ｇであるときに、秘密鍵ｙが分散所持されているとする。すなわち、ｙ＝Σκ＝１ λｙ（κ）ｍｏｄ ｑが成り立ち、各ｙ（κ）のそれぞれが別個に所持されている。本実施例では、このｙ（κ）を分散された秘密鍵と呼ぶ。
このとき、公開鍵Ｙによる暗号文（Ｇ１，Ｍ１）を完全に復号するには、Ｍ１を各復号用の秘密鍵を用いて計算した値から［ｙ（κ）］Ｇ１を順に引いていく操作を、全てのκに関して行う。
［ｙ（κ）］Ｇ１を秘密鍵ｙ（κ）による分散復号の結果と呼ぶ。
「ミックスネットシステムとミキサー」
ミックスネットシステムは複数のミキサーを有する構成である。本発明では、ミキサーの数をλとする。ミックスネットシステムに用いるElGamal暗号方式の公開鍵をＭとし、これをミックス用の公開鍵とする。ミックスネットシステムに入力される暗号文の列がミックスネット入力暗号文を構成する。
「ミキサー」
このミキサーには１からλまでの順番が付けられている。κ番目のミキサーをＰ（κ）と記す。また、κを順序数と呼ぶ。
「ミックスネット入力暗号文」
ミックスネットに入力されるｋ個の暗号文を、（Ｇｉ，Ｍｉ），ｉ＝１，．．．，ｋとする。それぞれの暗号文の各要素はＥの元である。
Ｇ（１）∈Ｍｋ，１（Ｅ）をその（ｉ，１）成分がＧｉである列ベクトル（ｋ行１列の行列）とし、Ｍ（１）∈Ｍｋ，１（Ｅ）をその（ｉ，１）成分がＭｉである列ベクトル（ｋ行１列の行列）とする。
「ミックスネット出力暗号文」
ミックスネットから出力されるｋ個の復号文を、（Ｇ’ｉ，Ｍｉ），ｉ＝１，．．．，ｋとする。それぞれの復号文の各要素はＥの元である。
Ｇ（λ＋１）∈Ｍｋ，１（Ｅ）をその（ｉ，１）成分がＧ’ｉである列ベクトル（ｋ行１列の行列）とし、Ｍ（λ＋１）∈Ｍｋ，１（Ｅ）をその（ｉ，１）成分がＭ’ｉである列ベクトル（ｋ行１列の行列）とする。
これらはｋ個の暗号文（Ｇｉ，Ｍｉ），ｉ＝１，．．．，ｋを、ランダムに選ばれたＺｑの要素であるｓｉ（ｉ＝１，．．．，ｋ）と、ミックス用公開鍵Ｍで（［ｓｉ］Ｇ＋Ｇｉ，［ｓｉ］Ｍ＋Ｍｉ），ｉ＝１，．．．，ｋと再暗号化し、さらにそれらの順番を入れ替えたものである。この操作をシャッフルと呼ぶ。
「置換行列」
置換行列について説明する。「置換行列」を、各行各列に０でない成分が唯一存在し、その値がＺｑ上の１であるｋ行ｋ列の正方行列とする。このような置換行列の集合をＰＭｋ，ｋ（Ｚｑ）と表す。φ∈ＰＭｋ，ｋ（Ｚｑ）の逆行列をφ＊と表す。
φ∈ＰＭ４，４（Ｚｑ）の例として、
０，１，０，０
０，０，０，１
０，０，１，０
１，０，０，０
があげられる。
「各ミキサーの入出力」
各ミキサーは統合シャッフル正当性証明装置により実現される。
次に、本実施形態のミックスネットシステムは、入力されるデータをシャッフルする統合シャッフル正当性証明装置と、シャッフルによる同一変換知識証明及び置換証明をまとめる証明統合装置と、まとめられた証明の正当性を検証するための統合シャッフル正当性検証装置を有する構成である。統合シャッフル正当性証明装置は複数設けられている。統合シャッフル正当性証明装置の個数をλとする。統合シャッフル正当性証明装置と証明統合装置が通信回線で接続され、証明統合装置と統合シャッフル正当性検証装置が通信回線で接続されている。以下に各構成について説明する。
本発明のミックスネットシステムの一部となる統合シャッフル正当性証明装置についての一構成例を、図１を参照して説明する。本発明におけるミックスネットシステムは、λ個のミキサーを有する構成であり、ｋ個の暗号文をシャッフルするものとする。
統合シャッフル正当性証明装置３００は、外部の他の装置とデータを送受信するためのインターフェース部を含む入力装置及び出力装置と、データを保存するための記憶装置と、各部を制御する制御装置とを有するサーバで構成される。制御装置には、プログラムにしたがって所定の処理を実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、プログラムを格納するためのメモリが設けられている。
図１に示すシャッフル装置３０１、同一変換知識証明コミットメント装置３０９、第一置換証明コミットメント装置３１０、第一置換証明コミットメント逆送装置３１１、第二置換証明コミットメント装置３１２、第二置換証明コミットメント逆送装置３１３、第三置換証明コミットメント装置３１４、レスポンス生成装置３１５、置換証明コミットメント統合装置３１６、及び分散復号証明装置３１７がサーバ内に仮想的に構成される。
統合シャッフル正当性証明装置３００には、自装置が実現するミキサーの順番を表す番号である順序数３０５となるκと、シャッフルする暗号文の個数ｋと、楕円曲線Ｅを表すパラメターと、Ｅの生成子Ｇ∈Ｅ＝Ｍ１，１（Ｅ）とが入力される。また、Ｅ上からランダムに選ばれた点による疑似公開鍵３０６となるＦとミックス用公開鍵３０７ａとなるＭ∈Ｅが統合シャッフル正当性証明装置３００に入力される。これらの情報は記憶装置に格納され、全てのステップのいずれにおいても利用可能となる。入力される暗号文はミックス用公開鍵３０７ａで暗号化されているものとする。
また、順序数３０５のκが入力された統合シャッフル装置の秘密鍵３０８をｙ（κ）∈Ｚｑとする。そして、Ｙ＝Σκ＝１ λ［ｙ（κ）］Ｇ∈Ｅ＝Ｍ１，１（Ｅ）をコミットメント用公開鍵３０７ｂとする。図１に示す公開鍵３０７は、上記ミックス用公開鍵３０７ａ及びコミットメント用公開鍵３０７ｂを含むものである。順序数３０５のκが入力された統合シャッフル正当性証明装置３００にｙ（κ）とＹが入力される。統合シャッフル正当性証明装置３００には乱数３０３が入力される。これらの情報も記憶装置に格納される。
統合シャッフル正当性証明装置３００に入力される上述のκ，ｋ，Ｍ，Ｆ，ｙ（κ），Ｙ及び乱数３０３に関しては、その入力を明示的に書かないが、各ステップで記憶装置から自由に読み出すことが可能である。なお、ＯはＥの無限遠点Ｆ’（１）＝Ｇ’（１）＝Ｍ’（１）＝Ｏとする。
[シャッフル装置３０１]
二つのｋ成分列ベクトルである入力暗号文列３０２として、（Ｇ（κ），Ｍ（κ））∈（Ｍｋ，１（Ｅ），Ｍｋ，１（Ｅ））が証明統合装置４００から入力される。次に、ランダムなｋ行ｋ列の置換行列φ（κ）∈ＰＭｋ，ｋ（Ｚｑ）を、乱数３０３を用いて生成する。次に、ランダムなｋ成分列ベクトル(ｋ行１列行列)θ（κ）∈Ｍｋ，１（Ｚｑ）を、乱数３０３を用いて生成する。
φ(κ)、θ(κ)は入力された乱数より一意的に作られるため、入力された乱数にあらかじめ含まれていたと考える。すなわち、以下の装置において、統合シャッフル正当性証明装置３００に入力された乱数を用いれば、φ及びθのような乱数から作られたデータは、同一のものを再度生成することができる。
次に、二つのｋ成分列ベクトルである出力暗号文列３０４として、（Ｇ（κ＋１），Ｍ（κ＋１））∈（Ｍｋ，１（Ｅ），Ｍｋ，１（Ｅ））を（Ｇ（κ＋１），Ｍ（κ＋１））＝（[φ(κ)]Ｇ(κ)＋[θ(κ)]Ｇ，[φ(κ)]Ｍ(κ)＋[θ(κ)]Ｍ）と生成する。出力暗号文列３０４は入力暗号文列３０２の各暗号文を再暗号したうえで、それらの順番を入れ替えた(置換した)ものとなっている。統合シャッフル正当性証明装置３００は、出力暗号文列３０４として、（Ｇ（κ＋１），Ｍ（κ＋１））∈（Ｍｋ，１（Ｅ），Ｍｋ，１（Ｅ））を証明統合装置４００に出力する。
[シャッフル証明に関する装置（３０９〜３１７）の説明始まり]
[同一変換知識証明コミットメント装置３０９]
同一変換コミットメント基底３１８として、Ｆ(κ)∈Ｍｋ，１（Ｅ）と、Ｆ’(κ)∈Ｅ＝Ｍｋ，１（Ｅ）と、Ｇ’(κ)∈Ｅ＝Ｍｋ，１（Ｅ）と、Ｍ’(κ)∈Ｅ＝Ｍｋ，１（Ｅ）とが証明統合装置４００から入力される。次に、ランダムなｋ成分行ベクトル(１行ｋ列行列)ψ(κ)∈Ｍ１，ｋ（Ｚｑ）を、乱数３０３を用いて生成する。次に、ランダムなＺｑ上の点(１行１列行列)ρ(κ)∈Ｚｑ＝Ｍ１，１（Ｚｑ）を、乱数３０３を用いて生成する。
次に、Ｆ(κ＋１)∈Ｍｋ，１（Ｅ）をＦ(κ+1)＝（[φ(κ)]Ｆ(κ)＋[θ(κ)]Ｆ）と生成する。
次に、Ｆ’(κ＋１)∈Ｍ１，１（Ｚｑ）と、Ｇ’(κ＋１)∈Ｍ１，１（Ｚｑ）と、Ｍ’(κ＋１)∈Ｍ１，１（Ｚｑ）とを、
Ｆ’(κ+1)＝[ψ(κ)]Ｆ(κ)＋[ρ(κ)]Ｆ＋Ｆ’(κ)、
Ｇ’(κ+1)＝[ψ(κ)]Ｇ(κ)＋[ρ(κ)]Ｇ＋Ｇ’(κ)、
Ｍ’(κ+1)＝[ψ(κ)]Ｍ(κ)＋[ρ(κ)]Ｍ＋Ｍ’(κ)、
と生成する。統合シャッフル正当性証明装置３００は、Ｆ(κ＋１)∈Ｍｋ，１（Ｅ）と、Ｆ’(κ＋１)∈Ｅ＝Ｍ１，１（Ｅ）と、Ｇ’(κ＋１)∈Ｅ＝Ｍ１，１（Ｅ）と、Ｍ’(κ＋１)∈Ｅ＝Ｍ１，１（Ｅ）とを、同一変換知識証明コミットメント３１９として証明統合装置４００に出力する。
[第一置換証明コミットメント装置３１０]
Ｃ１ （１）∈Ｍｋ，１（ＥＣ）は、その全ての成分０∈ＺｑのＹによる暗号文であるとする。第一置換蓄積コミットメント３２０としてＣ１ （κ）∈Ｍｋ，１（ＥＣ）が証明統合装置４００から入力される。次に、Ｃ１ （κ＋１）∈Ｍｋ，１（ＥＣ）を、Ｃ１ (κ＋１)＝（ψ(κ)φ(κ)＊）＊Ｙ＋(Ｃ１ (κ)[φ(κ)＊])＊Ｙと生成する。統合シャッフル正当性証明装置３００は、Ｃ１ （κ＋１）∈Ｍｋ，１（ＥＣ）を第一置換証明コミットメント３２１として証明統合装置４００に出力する。
[第一置換証明コミットメント逆送装置３１１]
Ｃ２ （λ＋１）＝Ｃ１ （λ＋１）∈Ｍｋ，１（ＥＣ）とする。第一逆置換蓄積コミットメント３２２として、Ｃ２ （κ＋１）∈Ｍｋ，１（ＥＣ）が証明統合装置４００から入力される。次に、Ｃ２ （κ）∈Ｍｋ，１（ＥＣ）を、Ｃ２ (κ)＝（Ｃ２ (κ＋１)[φ(κ)]）＊Ｙと生成する。統合シャッフル正当性証明装置３００は、Ｃ２ （κ）∈Ｍｋ，１（ＥＣ）を第一逆置換証明コミットメント３２３として証明統合装置４００に出力する。また、これを記憶装置に保存しておく。
[第二置換証明コミットメント装置３１２]
Ｃ３ （１）＝Ｃ２ （１）∈Ｍｋ，１（ＥＣ）とする。第二置換蓄積コミットメント３２４として、Ｃ３ （κ）∈Ｍｋ，１（ＥＣ）が証明統合装置４００から入力される。次に、Ｃ３ （κ＋１）∈Ｍｋ，１（ＥＣ）を、Ｃ３ (κ＋１)＝（Ｃ２ (κ)◎[ψ(κ)]）＊Ｙ＋（Ｃ３ (κ)[φ(κ)]）＊Ｙと生成する。統合シャッフル正当性証明装置３００は、Ｃ３ （κ＋１）∈Ｍｋ，１（ＥＣ）を第二置換証明コミットメント３２５として証明統合装置４００に出力する。
[第二置換証明コミットメント逆送装置３１３]
Ｃ４ （λ＋１）＝Ｃ３ （λ＋１）∈Ｍｋ，１（ＥＣ）とする。第二逆置換蓄積コミットメント３２６として、Ｃ４ （κ＋１）∈Ｍｋ，１（ＥＣ）が証明統合装置３２６から入力される。次に、Ｃ４ （κ）∈Ｍｋ，１（ＥＣ）を、Ｃ４ (κ)＝（Ｃ４ (κ＋１)[φ(κ)]）＊Ｙと生成する。統合シャッフル正当性証明装置３００は、Ｃ４ （κ）∈Ｍｋ，１（ＥＣ）を、第二逆置換証明コミットメント３２７として証明統合装置４００に出力する。また、これを記憶装置に保存しておく。
[第三置換証明コミットメント装置３１４]
Ｃ５ （１）＝Ｃ４ （１）∈Ｍｋ，１（ＥＣ）とする。第三置換蓄積コミットメント３２８として、Ｃ５ （κ）∈Ｍｋ，１（ＥＣ）が証明統合装置４００から入力される。次に、Ｃ５ （κ＋１）∈Ｍｋ，１（ＥＣ）を、Ｃ５ (κ＋１)＝（Ｃ４ (κ)◎[ψ(κ)]）＊Ｙ＋（Ｃ５ (κ)[φ(κ)]）＊Ｙと生成する。統合シャッフル正当性証明装置３００は、Ｃ５ （κ＋１）∈Ｍｋ，１（ＥＣ）を第三置換証明コミットメント３２９として証明統合装置４００に出力する。
なお、同一変換知識証明コミットメントが同一変換証明文に相当し、置換証明コミットメントが置換証明文に相当する。
[レスポンス生成装置３１５]
挑戦値ｒ（λ＋１）∈Ｍ１，ｋ（Ｚｑ）が統合シャッフル正当性検証装置によりランダムに選ばれるとする。また、ｒ’（λ＋１）＝０とする。なお、挑戦値の生成方法については実施例２及び実施例３で詳細に説明する。挑戦値３３０として、ｒ（κ＋１）∈Ｍ１，ｋ（Ｚｑ）とｒ’（κ＋１）∈Ｍ１，１（Ｚｑ）＝Ｚｑとが証明統合装置４００から入力される。
次に、ｒ（κ）∈Ｍ１，ｋ（Ｚｑ）とｒ’（κ）∈Ｍ１，１（Ｚｑ）＝Ｚｑとを
ｒ（κ）＝（ｒ（κ＋１）φ（κ））＋ψ（κ）、
ｒ’（κ）＝（ｒ（κ＋１）θ（κ））＋ρ（κ）＋ｒ’（κ＋１）、
と生成する。統合シャッフル正当性証明装置３００は、ｒ（κ）∈Ｍ１，ｋ（Ｚｑ）とｒ’（κ）∈Ｍ１，１（Ｚｑ）＝Ｚｑとをレスポンス３３１として証明統合装置４００に出力する。
［置換証明コミットメント統合装置３１６］
λ番目の統合シャッフル正当性証明装置３００の出力した第一置換証明コミットメント３２１のＣ１ （λ＋１）∈Ｍｋ，１（ＥＣ）と、第二置換証明コミットメント３２５のＣ２ （λ＋１）∈Ｍｋ，１（ＥＣ）と、第三置換証明コミットメント３２９のＣ３ （λ＋１）∈Ｍｋ，１（ＥＣ）とが入力される。λ番目の統合シャッフル正当性証明装置３００に入力された挑戦値としてｒ（λ＋１）∈Ｍ１，ｋ（Ｚｑ）とｒ’（λ＋１）∈Ｍ１，１（Ｚｑ）＝Ｚｑとが入力される。
次に、上述の第一置換証明コミットメントから第三置換証明コミットメント３２１、３２５、３２９をまとめた統合置換証明コミットメントの暗号文Ｃ６∈Ｍ１，１（ＥＣ）を、Ｃ６＝［ｒ（λ＋１）］Ｃ１ （λ＋１）＋[ｒ（λ＋１）◎ｒ（λ＋１）]Ｃ２ （λ＋１）＋［１］Ｃ３ （λ＋１）と生成する。ただし、上式の［１］とは、Ｍ１，ｋ（Ｚｑ）の要素で、その成分が全て１∈Ｚｑであるものである。また、Ｃ６の第一成分をＣ６，１とし、第二成分をＣ６，２とする。
次に、秘密鍵３０８のｙ(κ)を用いて、この統合置換証明コミットメントの暗号文の分散復号を行い、分散復号の結果３３２としてＣ６，２ （κ）∈Ｅを、Ｃ６，２ （κ）＝［ｙ（κ）］Ｃ６，２と計算して証明統合装置４００に出力する。
［分散復号証明装置３１７］
ランダムなｙ’（κ）∈Ｚｑを選び、Ｃ’６，２ （κ）＝［ｙ’（κ）］Ｃ６，２を生成して証明統合装置４００に出力する。復号証明の挑戦値としてｓ∈Ｚｑが証明統合装置４００から入力される。復号証明のレスポンスとしてｔ（κ）∈Ｚｑを、ｔ（κ）＝ｙ（κ）ｓ＋ｙ’（κ）と生成して証明統合装置４００に出力する。
[シャッフル証明に関する装置の説明終わり]
本実施例の統合シャッフル正当性証明装置は、統合シャッフル正当性証明装置は順序数が自分より前の装置から受け取る置換蓄積コミットメントに自装置の置換証明文を付加している。順序数の順に置換蓄積コミットメントに各統合シャッフル正当性証明装置の置換証明文が蓄積されることで、シャッフルを行う全ての装置のシャッフルの正当性を証明する情報がまとめられる。その結果、まとめられた情報から全体のシャッフルの検証を効率的に行うことが可能となる。
本発明のミックスネットシステムの一部となる証明統合装置についての一構成例を図２を参照して説明する。
証明統合装置４００は、外部の他の装置とデータを送受信するためのインターフェース部を含む入力装置及び出力装置と、データを保存するための記憶装置と、各部を制御する制御装置とを有するサーバで構成される。制御装置には、プログラムにしたがって所定の処理を実行するＣＰＵと、プログラムを格納するためのメモリが設けられている。
図２に示すミックス装置４０５、同一変換知識証明コミットメント統合装置４０９、第一置換証明コミットメント統合装置４１０、第一置換証明コミットメント統合逆送装置４１１、第二置換証明コミットメント統合装置４１２、第二置換証明コミットメント統合逆送装置４１３、第三置換証明コミットメント統合装置４１４、コミットメント装置４１５、レスポンス統合装置４１６、統合置換証明コミットメント復号装置４１７、及び統合分散復号証明装置４１８がサーバ内に仮想的に構成される。
証明統合装置４００は、インターフェース部を介して、実施例１で説明した複数の統合シャッフル正当性証明装置３００、及び統合シャッフル正当性検証装置５００と通信可能に接続される。なお、統合シャッフル正当性証明装置３００の個数を実施例１と同様にλとする。
証明統合装置４００には、複数の暗号文からなる、ミックスネット入力暗号文４０１が入力される。この暗号文の個数をｋとする。証明統合装置４００は、λ個の統合シャッフル正当性証明装置３００と通信することで、ミックスネット入力暗号文４０１から、その順序を入れ替えた値に再暗号を行ったデータであるミックスネット出力暗号文４０２を生成し、これを統合シャッフル正当性検証装置５００に出力する。
さらに、証明統合装置４００は、λ個の統合シャッフル正当性証明装置３００と通信することで、証明のために必要なデータを準備する。そして、このデータを利用して、統合シャッフル正当性検証装置５００と通信することで、統合シャッフル正当性検証装置５００にミックスネットとして正当性を証明する。以下に各構成要素について詳細に説明する。
[入力装置]
証明統合装置４００に、楕円曲線Ｅを指定するパラメターと、Ｅの生成元Ｇ∈Ｅと、ミックス用公開鍵３０７ａのＭ∈Ｅと、疑似公開鍵３０６のＦ∈Ｅと、コミットメント用公開鍵３０７ｂのＹ∈Ｅと、ミックス用公開鍵３０７ａのＭで暗号化されたミックスネット入力暗号文４０１として（Ｇｉ，Ｍｉ），ｉ＝１，．．．，ｋ∈（Ｅ，Ｅ）ｋと、ランダムに選ばれる共通参照基底４０３として（Ｆ１，．．．，Ｆｋ）∈Ｅ＾ｋと、乱数４０４とが入力される。これらの情報は記憶装置に格納される。
[ミックス装置４０５]
１番目の入力暗号文列となる（Ｇ（１），Ｍ（１））∈（Ｍｋ，１（Ｅ））２について、Ｇ（１）∈Ｍｋ，１（Ｅ）をその（ｉ，１）成分がＧｉである列ベクトル（ｋ行１列の行列）として生成し、Ｍ（１）∈Ｍｋ，１（Ｅ）をその（ｉ，１）成分がＭｉである列ベクトル（ｋ行１列の行列）として生成する。そして、κ＝１からκ＝λまで以下に示す手順を繰り返す。
[繰り返し処理始め]
κ番目の入力暗号文列４０６として（Ｇ（κ），Ｍ（κ））∈（Ｍｋ，１（Ｅ））２を、κ番目の統合シャッフル正当性証明装置３００に送る。κ番目の統合シャッフル正当性証明装置３００からκ番目の出力暗号文列４０７として（Ｇ（κ＋１），Ｍ（κ＋１））∈（Ｍｋ，１（Ｅ））２を受信する。
κ＝λでなければ、（Ｇ（κ＋１），Ｍ（κ＋１））∈（Ｍｋ，１（Ｅ））２をκ＋１番目の入力暗号文列とする。
[繰り返し処理終わり]
λ番目の出力暗号文列（Ｇ（λ＋１），Ｍ（λ＋１））∈（Ｍｋ，１（Ｅ））２からミックスネット出力暗号文４０２となる（Ｇ’ｉ，Ｍ’ｉ），ｉ＝１，．．．，ｋ∈（Ｅ，Ｅ）ｋを、Ｇ’ｉがＧ（λ＋１）のｉ番目の成分となり、Ｍ’ｉがＭ（λ＋１）のｉ番目の成分となるように生成する。証明統合装置はミックスネット出力暗号文４０２を出力し、出力暗号文４０２を統合シャッフル正当性検証装置に送信する（符号４０８）。
[証明統合に関する装置４０９〜４１８]
[同一変換知識証明コミットメント統合装置４０９]
１番目の同一変換コミットメント基底４１９の（Ｆ（１）∈Ｍｋ，１（Ｅ），Ｆ’（１）∈Ｍ１，１（Ｅ），Ｇ’（１）∈Ｍ１，１（Ｅ），Ｍ’（１）∈Ｍ１，１（Ｅ））を共通参照基底４０３から次のように生成する。Ｆ（１）∈Ｍｋ，１（Ｅ）をその（ｉ，１）成分がＦｉである列ベクトル（ｋ行１列の行列）として、Ｆ’（１）＝Ｏ∈Ｍ１，１（Ｅ），Ｇ’（１）＝Ｏ∈Ｍ１，１（Ｅ），Ｍ’（１）＝Ｏ∈Ｍ１，１（Ｅ）とする。そして、κ＝１からκ＝λまで以下に示す手順を繰り返す。
[繰り返し処理始め]
κ番目の同一変換コミットメント基底４１９を（Ｆ（κ）∈Ｍｋ，１（Ｅ），Ｆ’（κ）∈Ｍ１，１（Ｅ），Ｇ’（κ）∈Ｍ１，１（Ｅ），Ｍ’（κ）∈Ｍ１，１（Ｅ））として、κ番目の統合シャッフル正当性証明装置３００に送る。κ番目の統合シャッフル正当性証明装置３００から、κ番目の同一変換知識証明コミットメント４２０として（Ｆ（κ＋１）∈Ｍｋ，１（Ｅ），Ｆ’（κ＋１）∈Ｍ１，１（Ｅ），Ｇ’（κ＋１）∈Ｍ１，１（Ｅ），Ｍ’（κ＋１）∈Ｍ１，１（Ｅ））を受信する。
κ＝λでなければ、（Ｆ（κ＋１）∈Ｍｋ，１（Ｅ），Ｆ’（κ＋１）∈Ｍ１，１（Ｅ），Ｇ’（κ＋１）∈Ｍ１，１（Ｅ），Ｍ’（κ＋１）∈Ｍ１，１（Ｅ））をκ＋１番目の同一変換知識証明コミットメント４２０とする。
[繰り返し処理終わり]
λ番目の同一変換知識証明コミットメント４２０の（Ｆ（κ＋１）∈Ｍｋ，１（Ｅ），Ｆ’（κ＋１）∈Ｍ１，１（Ｅ），Ｇ’（κ＋１）∈Ｍ１，１（Ｅ），Ｍ’（κ＋１）∈Ｍ１，１（Ｅ））を、統合同一変換コミットメントとする。同一変換知識証明コミットメント統合装置４０９は統合同一変換コミットメント４３４をコミットメント装置４１５に出力する。
[第一置換証明コミットメント統合装置４１０]
１番目の第一置換蓄積コミットメント４２１となるＣ１ （１）∈Ｍｋ，１（ＥＣ）を、その全ての成分が０∈ＺｑのＹによる暗号文であるとする。そして、κ＝１からκ＝λまで以下に示す手順を繰り返す。
[繰り返し処理始め]
κ番目の第一置換蓄積コミットメント４２１を、Ｃ１ （κ）∈Ｍｋ，１（ＥＣ）として、κ番目の統合シャッフル正当性証明装置３００に送る。κ番目の統合シャッフル正当性証明装置３００からκ番目の第一置換証明コミットメント４２２のＣ１ （κ＋１）∈Ｍｋ，１（ＥＣ）を受信する。
κ＝λでなければ、Ｃ１ （κ＋１）∈Ｍｋ，１（ＥＣ）をκ＋１番目の第一置換証明コミットメント４２２とする。
[繰り返し処理終わり]
λ番目の第一置換証明コミットメント４２２のＣ１ （κ＋１）∈Ｍｋ，１（ＥＣ）を、統合第一置換証明コミットメントとする。第一置換証明コミットメント統合装置４１０は統合第一置換証明コミットメント４３５をコミットメント装置４１５に出力する。
[第一置換証明コミットメント統合逆送装置４１１]
λ番目の第一逆置換蓄積コミットメント４２３をＣ２ （λ＋１）＝Ｃ１ （λ＋１）∈Ｍｋ，１（ＥＣ）とする。そして、κ＝λからκ＝１まで以下に示す手順を繰り返す。
[繰り返し処理始め]
κ番目の第一逆置換蓄積コミットメント４２３をＣ２ （κ＋１）∈Ｍｋ，１（ＥＣ）としてκ番目の統合シャッフル正当性証明装置３００に送る。κ番目の統合シャッフル正当性証明装置３００からκ番目の第一逆置換証明コミットメント４２４のＣ２ （κ）∈Ｍｋ，１（ＥＣ）を受信する。
κ＝１でなければ、Ｃ２ （κ）∈Ｍｋ，１（ＥＣ）をκ−１番目の第一逆置換蓄積コミットメント４２４とする。
[繰り返し処理終わり]
１番目の第一逆置換証明コミットメント４２４となるＣ２ （１）∈Ｍｋ，１（ＥＣ）を統合第一逆置換証明コミットメントとする。
[第二置換証明コミットメント統合装置４１２]
１番目の第二置換蓄積コミットメント４２５をＣ３ （１）＝Ｃ２ （１）∈Ｍｋ，１（ＥＣ）とする。そして、κ＝１からκ＝λまで以下に示す手順を繰り返す。
[繰り返し処理始め]
κ番目の第二置換蓄積コミットメント４２５をＣ３ （κ）∈Ｍｋ，１（ＥＣ）としてκ番目の統合シャッフル正当性証明装置３００に送る。κ番目の統合シャッフル正当性証明装置３００からκ番目の第二置換証明コミットメント４２６のＣ３ （κ＋１）∈Ｍｋ，１（ＥＣ）を受信する。
κ＝λでなければ、Ｃ３ （κ＋１）∈Ｍｋ，１（ＥＣ）をκ＋１番目の第二置換証明コミットメント４２６とする。
[繰り返し処理終わり]
λ番目の第二置換証明コミットメント４２６のＣ３ （κ＋１）∈Ｍｋ，１（ＥＣ）を、統合第二置換証明コミットメントとする。第二置換証明コミットメント統合装置４１２は統合第二置換証明コミットメント４３６をコミットメント装置４１５に出力する。
[第二置換証明コミットメント統合逆送装置４１３]
λ番目の第二逆置換蓄積コミットメント４２７をＣ４ （λ＋１）＝Ｃ３ （λ＋１）∈Ｍｋ，１（ＥＣ）とする。そして、κ＝λからκ＝１まで以下に示す手順を繰り返す。
[繰り返し処理始め]
κ番目の第二逆置換蓄積コミットメント４２７をＣ４ （κ＋１）∈Ｍｋ，１（ＥＣ）としてκ番目の統合シャッフル正当性証明装置３００に送る。κ番目の統合シャッフル正当性証明装置３００からκ番目の第二逆置換証明コミットメント４２８のＣ４ （κ）∈Ｍｋ，１（ＥＣ）を受信する。
κ＝１でなければ、Ｃ４ （κ）∈Ｍｋ，１（ＥＣ）をκ−１番目の第二逆置換蓄積コミットメント４２８とする。
[繰り返し処理終わり]
１番目の第二逆置換証明コミットメント４２８となるＣ４ （１）∈Ｍｋ，１（ＥＣ）を統合第二逆置換証明コミットメントとする。
[第三置換証明コミットメント統合装置４１４]
１番目の第三置換蓄積コミットメント４２９をＣ５ （１）＝Ｃ４ （１）∈Ｍｋ，１（ＥＣ）とする。そして、κ＝１からκ＝λまで以下に示す手順を繰り返す。
[繰り返し処理始め]
κ番目の第三置換蓄積コミットメント４２９をＣ５ （κ）∈Ｍｋ，１（ＥＣ）としてκ番目の統合シャッフル正当性証明装置３００に送る。κ番目の統合シャッフル正当性証明装置３００からκ番目の第三置換証明コミットメント４３０のＣ５ （κ＋１）∈Ｍｋ，１（ＥＣ）を受信する。
κ＝λでなければ、Ｃ５ （κ＋１）∈Ｍｋ，１（ＥＣ）をκ＋１番目の第三置換証明コミットメント４３０とする。
[繰り返し処理終わり]
λ番目の第三置換証明コミットメント４３０となるＣ５ （κ＋１）∈Ｍｋ，１（ＥＣ）を統合第三置換証明コミットメントとする。第三置換証明コミットメント統合装置４１４は統合第三置換証明コミットメント４３７をコミットメント装置４１５に出力する。
[コミットメント装置４１５]
証明統合装置４００は、統合同一変換コミットメント４３４と、統合第一置換証明コミットメント４３５と、統合第二置換証明コミットメント４３６と、統合第三置換証明コミットメント４３７とをまとめて統合コミットメント５０８を生成して、統合シャッフル正当性検証装置５００に送信する。
[レスポンス統合装置４１６]
統合シャッフル正当性検証装置５００から統合挑戦値５０９としてｃ（λ＋１）∈Ｍ１，ｋ（Ｚｑ）が入力される。統合挑戦値５０９を用いてλ番目の挑戦値４３１となる（ｒ（λ＋１），ｒ’（λ＋１））∈（Ｍ１，ｋ（Ｚｑ），Ｍ１，１（Ｚｑ））を以下のようにして生成する。ただし、ｒ（λ＋１）＝ｃ（λ＋１），ｒ’（λ＋１）＝０とする。κ＝λからκ＝１まで以下に示す手順を繰り返す。
[繰り返し処理始め]
κ番目の挑戦値４３１をｒ（κ＋１）∈Ｍ１，ｋ（Ｚｑ）とｒ’（κ＋１）∈Ｍ１，１（Ｚｑ）＝Ｚｑとしてκ番目の統合シャッフル正当性証明装置３００に送信する。κ番目の統合シャッフル正当性証明装置３００からκ番目のレスポンス４３２のｒ（κ）∈Ｍ１，ｋ（Ｚｑ）とｒ’（κ）∈Ｍ１，１（Ｚｑ）＝Ｚｑとを受信する。
κ＝１でなければ、ｒ（κ）∈Ｍ１，ｋ（Ｚｑ）とｒ’（κ）∈Ｍ１，１（Ｚｑ）＝Ｚｑとをκ−１番目の挑戦値４３１とする。
[繰り返し処理終わり]
１番目のレスポンス４３２のｒ（１）∈Ｍ１，ｋ（Ｚｑ）とｒ’（１）∈Ｍ１，１（Ｚｑ）＝Ｚｑとを統合レスポンス５１０とする。レスポンス統合装置４１６は統合レスポンス５１０を統合シャッフル正当性検証装置５００に送信する。
［統合置換証明コミットメント復号装置４１７］
統合置換証明コミットメントの暗号文Ｃ６＝［ｒ（λ＋１）］Ｃ１ （λ＋１）＋[ｒ（λ＋１）◎ｒ（λ＋１）]Ｃ２ （λ＋１）＋［１］Ｃ３ （λ＋１）を生成する。ここで、Ｃ６の第一成分をＣ６，１とし、第二成分をＣ６，２とする。κ＝１からκ＝λまでの統合シャッフル正当性証明装置３００と通信して、それぞれのκに関するＣ６の分散復号の結果４３３としてＣ６，２ （κ）∈Ｅを得る。これらを合わせて、Ｈ∈Ｅを、Ｈ＝Ｃ６，１−Σκ＝１ λＣ６，２ （κ）と生成する。統合置換証明コミットメント復号装置４１７は、このＨを復号統合置換証明コミットメント５１１として統合シャッフル正当性検証装置５００に送信する。
［統合分散復号証明装置４１８］
統合分散復号証明装置４１８は、以下のようにして、κ＝１からκ＝λまでの統合シャッフル正当性証明装置３００と通信すること（符号４４２）と、統合シャッフル正当性検証装置５００と通信すること（符号４４３）で、統合シャッフル正当性検証装置５００に対して、上記Ｈが正当な統合置換証明コミットメントの暗号文の復号文であることを証明する。
κ＝１からκ＝λまでの統合シャッフル正当性証明装置３００と通信して、各統合シャッフル正当性証明装置からＣ’６，２ （κ）∈Ｚｑを受け取る。続いて、分散復号の証明のコミットメントＣ’６，２＝Σκ＝１ λＣ’６，２ （κ）を生成して、統合シャッフル正当性検証装置５００に送信する。また、統合シャッフル正当性検証装置５００より復号証明の挑戦値ｓ∈Ｚｑを受け取ると、これをκ＝１からκ＝λまでの統合シャッフル正当性証明装置３００に送信する。続いて、κ＝１からκ＝λまでの統合シャッフル正当性証明装置３００と通信して、各統合シャッフル正当性証明装置３００から復号証明のレスポンスｔ（κ）∈Ｚｑを受け取る。そして、復号証明の統合レスポンスｔ＝Σκ＝１ λｔ（κ）を生成して、統合シャッフル正当性検証装置５００に送信する。
本実施例の証明統合装置は、複数の統合シャッフル正当性証明装置のそれぞれと通信を行って、各装置でのシャッフルの正当性の情報を一つにまとめることで、ミックスネット全体を一つのシャッフルとみなして処理することが可能となる。
本発明のミックスネットシステムの一部となる統合シャッフル正当性検証装置についての一構成例を図３を参照して説明する。
統合シャッフル正当性検証装置５００は、外部の他の装置とデータを送受信するためのインターフェース部を含む入力装置及び出力装置と、データを保存するための記憶装置と、各部を制御する制御装置とを有するサーバで構成される。制御装置には、プログラムにしたがって所定の処理を実行するＣＰＵと、プログラムを格納するためのメモリが設けられている。
図３に示すコミットメント受信装置５０２、挑戦値生成装置５０３、レスポンス受信装置５０４、複合統合置換証明コミットメント受信装置５０５、分散復号検証装置５０６、及び検証装置５０７がサーバ内に仮想的に構成される。また、統合シャッフル正当性検証装置５００は、実施例２と同様に、インターフェース部を介して証明統合装置４００と通信可能に接続される。以下に、各構成要素について詳細に説明する。
[入力装置]
楕円曲線Ｅを指定するパラメターと、Ｅの生成元Ｇ∈Ｅと、ミックス用公開鍵３０７ａのＭ∈Ｅと、疑似公開鍵３０６のＦ∈Ｅと、コミットメント用公開鍵３０７ｂのＹ∈Ｅが入力される。また、ミックス用公開鍵３０７ａのＭで暗号化されたミックスネット入力暗号文４０１となる（Ｇｉ，Ｍｉ），ｉ＝１，．．．，ｋ∈（Ｅ，Ｅ）ｋと、ミックスネット出力暗号文４０２の（Ｇ’ｉ，Ｍ’ｉ），ｉ＝１，．．．，ｋ∈（Ｅ，Ｅ）ｋと、共通参照基底４０３の（Ｆ１，．．．，Ｆｋ）∈Ｅ＾ｋと、乱数５０１とが入力される。これらの情報は記憶装置に格納される。
[コミットメント受信装置５０２]
証明統合装置４００より統合同一変換コミットメント（Ｆ（κ＋１）∈Ｍｋ，１（Ｅ），Ｆ’（κ＋１）∈Ｍ１，１（Ｅ），Ｇ’（κ＋１）∈Ｍ１，１（Ｅ），Ｍ’（κ＋１）∈Ｍ１，１（Ｅ））と、統合第一置換証明コミットメントＣ１ （κ＋１）∈Ｍｋ，１（ＥＣ）と、統合第二置換証明コミットメントＣ３ （κ＋１）∈Ｍｋ，１（ＥＣ）と、統合第三置換証明コミットメントＣ５ （κ＋１）∈Ｍｋ，１（ＥＣ）とを含む統合コミットメント５０８を受信する。
[挑戦値生成装置５０３]
ランダムな統合挑戦値５０９としてｃ（λ＋１）∈Ｍ１，ｋ（Ｚｑ）を生成して、証明統合装置４００に送信する。
[レスポンス受信装置５０４]
証明統合装置４００より統合レスポンス５１０のｒ（１）∈Ｍ１，ｋ（Ｚｑ）とｒ’（１）∈Ｍ１，ｋ（Ｚｑ）＝Ｚｑを受信する。
[復号統合置換証明コミットメント受信装置５０５]
証明統合装置４００より復号統合置換証明コミットメント５１１のＨ∈Ｅを受信する。
[分散復号検証装置５０６]
証明統合装置４００と通信すること（符号４４３）で、証明統合装置４００から受信した復号統合置換証明コミットメント５１１のＨにより正当な統合置換証明コミットメントの暗号文の復号文であることを、以下のようにして証明する。
証明統合装置４００より分散復号の証明のコミットメントＣ’６，２∈Ｅを受け取る。復号証明の挑戦値としてランダムなｓ∈Ｚｑを生成して、証明統合装置４００に送信する。復号証明の統合レスポンスとしてｔ∈Ｚｑを証明統合装置４００から受信する。
[検証装置５０７]
暗号文Ｃ６＝［ｒ（λ＋１）］Ｃ１ （λ＋１）＋[ｒ（λ＋１）◎ｒ（λ＋１）]Ｃ２ （λ＋１）＋［１］Ｃ３ （λ＋１）を生成する。ここで、Ｃ６の第一成分をＣ６，１とし、第二成分をＣ６，２とする。次の式が成り立つことを確認する。
［ｒ’（１）］Ｆ＋［ｒ（１）］Ｆ（１）＝Ｆ’（λ＋１）＋［ｃ（λ＋１）］Ｆ（λ＋１）、
［ｒ’（１）］Ｇ＋［ｒ（１）］Ｇ（１）＝Ｇ’（λ＋１）＋［ｃ（λ＋１）］Ｇ（λ＋１）、
［ｒ’（１）］Ｍ＋［ｒ（１）］Ｍ（１）＝Ｍ’（λ＋１）＋［ｃ（λ＋１）］Ｍ（λ＋１）、
［ｔ］Ｃ６，２＝［ｓ］（Ｃ６，１−Ｈ）＋Ｃ’６，２、
［Σｉ＝１ ｋ｛（ｒｉ （１））３−（ｃｉ （１））３｝］Ｇ＝Ｈ、の５式である。
これらが成り立てば、ミックスネット出力暗号文がミックスネット入力暗号文から正しく生成され、「正当」であるものと判定する。一方、これらが成り立たなければ、ミックスネット出力暗号文がミックスネット入力暗号文から正しく生成されておらず、「不当」であると判定する。そして、その判定結果を検証結果５１２として出力装置から出力する。
本実施例の統合シャッフル正当性検証装置は、シャッフルの正当性に関する情報を証明統合装置から受信して検証すればよいため、従来のように複数の統合シャッフル正当性証明装置との間でデータをやりとりしなくてすむ。
本発明の一実施例をなす統合シャッフル正当性証明装置、証明統合装置、及び統合シャッフル正当性検証装置がなす、検証可能なミックスネットシステム６００について、図４を参照して説明する。
ミックスネットシステム６００は、実施例１で説明した統合シャッフル正当性証明装置３００と、実施例２で説明した証明統合装置４００と、実施例３で説明した統合シャッフル正当性検証装置５００とを有する。統合シャッフル正当性証明装置３００は複数設けられている。ここでは、統合シャッフル正当性証明装置の個数をλとし、統合シャッフル正当性証明装置に符号３００−１〜３００−λを記す。
各統合シャッフル正当性証明装置３００と証明統合装置４００はインターフェース部を介して相互に通信可能である。また、証明統合装置４００と統合シャッフル正当性検証装置５００はインターフェース部を介して相互に通信可能である。
統合シャッフル正当性証明装置３００−１〜λのそれぞれには、自装置が実現するミキサーの順番を表す順序数κと、シャッフルする暗号文の個数ｋと、楕円曲線Ｅを表すパラメターと、Ｅの生成子Ｇ∈Ｅ＝Ｍ１，１（Ｅ）と、ミックス用公開鍵Ｍと、各統合シャッフル装置の秘密鍵ｙ(κ)∈Ｚｑと、コミットメント用公開鍵Ｙと、乱数とが入力される。
証明統合装置４００には、楕円曲線Ｅを指定するパラメターと、Ｅの生成元Ｇ∈Ｅと、ミックス用の公開鍵Ｍ∈Ｅと、疑似公開鍵Ｆ∈Ｅと、コミットメント用公開鍵Ｙ∈Ｅと、ミックス用公開鍵Ｍで暗号化されたミックスネット入力暗号文４０１の（Ｇｉ，Ｍｉ），ｉ＝１，．．．，ｋ∈（Ｅ，Ｅ）ｋと、共通参照基底の（Ｆ１，．．．，Ｆｋ）∈Ｅ＾ｋとが入力される。
統合シャッフル正当性検証装置５００には、楕円曲線Ｅを指定するパラメターと、Ｅの生成元Ｇ∈Ｅと、ミックス用の公開鍵Ｍ∈Ｅと、疑似公開鍵Ｆ∈Ｅと、コミットメント用公開鍵Ｙ∈Ｅと、ミックス用公開鍵Ｍで暗号化されたミックスネット入力暗号文（Ｇｉ，Ｍｉ），ｉ＝１，．．．，ｋ∈（Ｅ，Ｅ）ｋと、ミックスネット出力暗号文（Ｇ’ｉ，Ｍ’ｉ），ｉ＝１，．．．，ｋ∈（Ｅ，Ｅ）ｋと、共通参照基底の（Ｆ１，．．．，Ｆｋ）∈Ｅ＾ｋと、乱数とが入力される。
証明統合装置４００は、全ての統合シャッフル正当性証明装置３００−１〜λと通信を行うことにより（符号６０１−１〜λ）、ミックスネット出力暗号文４０２を生成する（符号６０２）。そして、ミックスネット出力暗号文４０２を統合シャッフル正当性検証装置５００に送信する（符号６０３）。統合シャッフル正当性検証装置５００はミックスネット出力暗号文４０２を証明統合装置４００から受信する。
続いて、証明統合装置４００は、全ての統合シャッフル正当性証明装置３００−１〜λと通信を行うことにより（符号６０１−１〜λ）、統合コミットメントを生成する。そして、統合コミットメントを統合シャッフル正当性検証装置５００に送信する。統合シャッフル正当性検証装置５００は統合コミットメントを証明統合装置４００から受信すると、統合挑戦値を生成して証明統合装置４００に送信する。
証明統合装置４００は、統合シャッフル正当性検証装置５００から統合挑戦値を受信すると、統合シャッフル正当性証明装置３００−１〜λのそれぞれに挑戦値を送信し、それぞれからレスポンスを受信する（符号６０１−１〜λ）。そして、統合シャッフル正当性証明装置３００−１〜λから受信したレスポンスをまとめて統合レスポンスを生成する。続いて、証明統合装置４００は、統合レスポンスを統合シャッフル正当性検証装置５００に送信する。
その後、証明統合装置４００は、全ての統合シャッフル正当性証明装置３００−１〜λと通信を行うことにより（符号６０１−１〜λ）、復号統合置換証明コミットメントを生成する。そして、復号統合置換証明コミットメントを統合シャッフル正当性検証装置５００に送信する。統合シャッフル正当性検証装置５００は復号統合置換証明コミットメントを証明統合装置４００から受信する。
さらに、証明統合装置４００は、統合シャッフル正当性検証装置５００と通信することで（符号６０４）、復号統合置換証明コミットメントの正当性を証明する。ただし、この証明のために、証明統合装置４００は全ての統合シャッフル正当性証明装置３００−１〜λと通信を行う。
統合シャッフル正当性検証装置５００は、証明統合装置４００との通信で得られた全てのデータから、上記ミックスネット出力暗号文４０２が、上記ミックスネット入力暗号文４０１の順番を入れ替えて再暗号化したものであるか否かを判定する。すなわち、正しくミックスネットの処理が行われているか否かを判定した検証結果５１２を出力する。
本発明のミックスネットシステムは、ミックスネット全体を一つのシャッフルと見なして、この一つのシャッフルの正当性の証明を複数のミキサーが協力して検証者に対して出力することにより、検証者の必要な計算量がミキサーの数によらず一定の大きさにすることが可能となる。
本発明のミックスネットシステムは、ミックスネット全体を一つのシャッフルと見なして、この一つのシャッフルの正当性の証明を複数のミキサーが協力して検証者に対して出力している。そのため、複数のミキサーがシャッフルを行うミックスネットの正当性の検証を行うときに、検証者の必要とする計算量がミキサーの数、すなわち行われるシャッフルの回数に依存しなくなる。その結果、検証者の負担を軽くすることができる。そのため、ミキサーの数を増やすことを容易にし、より強い匿名性を持ったミックスネットを構成できるという効果を奏する。
この効果は電子投票システムに用いると効果的である。例えば、従来の技術（３）の電子投票の管理センターが証明統合装置を操作し、各ミキサーが統合シャッフル正当性検証性装置を用いる。統合シャッフル正当性検証装置は個別の検証者と通信してその電子投票の正当性を証明してもよいが、統合シャッフル正当性検証装置の出力する統合挑戦値と復号証明の挑戦値の代りに、ハッシュ関数の出力を用いることで、統合シャッフル正当性検証装置と通信を行うことなく、証明作業を完遂することができる。
この証明作業において、ハッシュ関数を用いずに、検証者と通信して証明していれば検証者に送ったであろうデータを、ミックスネットの証明文として出力する。このミックスネットの証明文を用いれば、誰でもミックスネットの正当性を検証することができる。よって、管理センターはこの証明文を投票の正当性を検証したい人、例えば全ての投票者、に配布し、その正当性を証明することができる。この配布した証明文の大きさは、本発明を適用した場合、ミックスネットを構成するミキサーの数に依存しない。そのため、小さな計算パワーしか所持しない多くの投票者でも、ミキサーの数が多い場合にさえ、容易に電子投票の正当性を検証することができる。
本実施例の統合シャッフル正当性証明装置の構成を示す図である。 本実施例の証明統合装置の構成を示す図である。 本実施例の統合シャッフル正当性検証装置の構成を示す図である。 本実施例のミックスネットシステムの構成を示すブロック図である。 従来の技術（１）の構成を説明するための図である。 従来の技術（２）の構成を説明するための図である。
符号の説明
３００ 統合シャッフル正当性証明装置
４００ 証明統合装置
５００ 統合シャッフル正当性検証装置
６００ ミックスネットシステム

Claims (7)

  1. 順序数１からλが割り当てられた複数の統合シャッフル正当性証明装置と、該複数の統合シャッフル正当性証明装置と通信回線で接続された証明統合装置と、該証明統合装置と通信回線で接続され、該複数の統合シャッフル正当性証明装置および該証明統合装置による情報処理を検証する統合シャッフル正当性検証装置とを有するミックスネットシステムにおける、順序数κの統合シャッフル正当性証明装置であって、
    外部からコミットメント用公開鍵が前記順序数κ（１≦κ≦λ）の前記統合シャッフル正当性証明装置に入力され、順序数κが２以上λ以下の任意の整数であるとき、前記順序数が１からκ−１までの統合シャッフル正当性証明装置のそれぞれで生成された暗号文である置換証明文を含む置換蓄積コミットメントを前記証明統合装置から受信すると、該置換蓄積コミットメントに自装置による置換証明文を付加した置換証明コミットメントを該コミットメント用公開鍵で暗号化して前記証明統合装置に送信する置換証明コミットメント装置と、
    置換証明コミットメント統合装置と、
    分散復号証明装置と、を有し、
    前記置換証明コミットメント装置は、
    乱数が外部から入力され、順序数κが割り当てられた第一置換蓄積コミットメントが前記証明統合装置から入力されると、前記コミットメント用公開鍵、前記乱数および該第一置換蓄積コミットメントを用いて、該コミットメント用公開鍵による暗号文を含む、順序数κが割り当てられた第一置換証明コミットメントを生成して前記証明統合装置に出力する第一置換証明コミットメント装置と、
    順序数κが割り当てられた第一逆置換蓄積コミットメントが前記証明統合装置から入力されると、前記コミットメント用公開鍵、前記乱数および該第一逆置換蓄積コミットメントを用いて、順序数κが割り当てられた第一逆置換証明コミットメントを生成して前記証明統合装置に出力する第一置換証明コミットメント逆送装置と、
    順序数κが割り当てられた第二置換蓄積コミットメントが前記証明統合装置から入力されると、前記乱数および該第二置換蓄積コミットメントを用いて、前記コミットメント用公開鍵による暗号文からなる、順序数κが割り当てられた第二置換証明コミットメントを生成して前記証明統合装置に出力する第二置換証明コミットメント装置と、
    順序数κが割り当てられた第二逆置換蓄積コミットメンが前記証明統合装置から入力されると、前記コミットメント用公開鍵、前記乱数および該第二逆置換蓄積コミットメントを用いて、順序数κが割り当てられた第二逆置換証明コミットメントを生成して前記証明統合装置に出力する第二置換証明コミットメント逆送装置と、
    順序数κが割り当てられた第三置換蓄積コミットメントが前記証明統合装置から入力されると、前記乱数および該第三置換蓄積コミットメントを用いて、前記コミットメント用公開鍵による暗号文からなる、順序数κが割り当てられた第三置換証明コミットメントを生成して前記証明統合装置に出力する第三置換証明コミットメント装置とをさらに有し、
    前記置換証明コミットメント統合装置は、前記順序数λが割り当てられた前記置換証明コミットメントとして前記第一置換証明コミットメント、前記第二置換証明コミットメントおよび前記第三置換証明コミットメントをまとめた統合置換証明コミットメントと、該λが割り当てられた挑戦値とが前記証明統合装置から入力され、前記順序数κが割り当てられた、前記コミットメント用公開鍵を構成する複数の秘密鍵から分散された秘密鍵が入力されると、前記統合置換証明コミットメントの暗号文を生成し、該暗号文を前記分散された秘密鍵で復号した分散復号を前記分散復号証明装置および前記証明統合装置に出力し、
    前記分散復号証明装置は、前記置換証明コミットメント統合装置から前記分散復号を受信すると、該分散復号を検証するためのコミットメントを前記証明統合装置に出力し、該統合置換証明コミットメントの暗号文の該分散された秘密鍵による分散復号を検証するための挑戦値を受信すると、該統合置換証明コミットメントの暗号文の該分散された秘密鍵による分散復号を検証するためのレスポンスを、該分散された秘密鍵、乱数、及び該挑戦値より生成して前記証明統合装置に出力する、統合シャッフル正当性証明装置。
  2. 順序数１からλが割り当てられた複数の統合シャッフル正当性証明装置と、該複数の統合シャッフル正当性証明装置と通信回線で接続された証明統合装置と、該証明統合装置と通信回線で接続され、該複数の統合シャッフル正当性証明装置および該証明統合装置による情報処理を検証する統合シャッフル正当性検証装置とを有するミックスネットシステムにおける証明統合装置であって、
    前記順序数が１からλまで割り当てられた前記複数の統合シャッフル正当性証明装置のそれぞれとの通信手段と、
    前記複数の統合シャッフル正当性証明装置および前記証明統合装置による情報処理を検証するための前記統合シャッフル正当性検証装置との通信手段と、
    前記順序数が１からκ（１≦κ≦λ）までの統合シャッフル正当性証明装置のそれぞれで生成された暗号文である置換証明文を含む置換証明コミットメントを順序数κの統合シャッフル正当性証明装置から受信すると、順序数κが１以上（λ−１）以下の任意の整数であるとき、順序数がκ＋１の統合シャッフル正当性証明装置に対して、置換証明文を要求するために前記順序数κの統合シャッフル正当性証明装置から受信した置換証明コミットメントを含む置換蓄積コミットメントを送信するコミットメント統合装置と、
    ミック用公開鍵および該ミックス用公開鍵で暗号化された複数の暗号文からなるミックスネット入力暗号文が外部から入力され、前記順序数κに関して１からλまで、前記ミックスネット入力暗号文から順序数κが割り当てられた入力暗号文列を生成し、該順序数κを割り当てた入力暗号文列を順序数κが割り当てられた前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた出力暗号文列を前記統合シャッフル正当性証明装置から受信すると、順序数κが割り当てられた出力暗号文列から入力暗号文列を生成し、該入力暗号文列に順序数κ＋１を割り当てる処理を行って、前記順序数がλの統合シャッフル正当性証明装置から受信した出力暗号文列から、前記ミックスネット入力暗号文の順番を入れ替えて再暗号化した結果であるミックスネット出力暗号文を生成して前記統合シャッフル正当性検証装置に送信するミックス装置と、
    前記置換証明コミットメントが統合された統合置換証明コミットメントと前記統合同一変換コミットメントとを含む統合コミットメントを前記統合シャッフル正当性検証装置に送信するコミットメント装置と、
    前記統合シャッフル正当性検証装置より前記挑戦値を統合した統合挑戦値を受信すると、該統合挑戦値より、前記順序数λ＋１が割り当てられた挑戦値を生成し、前記複数の統合シャッフル正当性証明装置の順序数κに関して前記順序数λ＋１から１まで、順序数κ＋１を割り当てた挑戦値を順序数κが割り当てられた前記統合シャッフル正当性証明装置に送信し、該順序数κが割り当てられたレスポンスを受信すると、該レスポンスを順序数κが割り当てられた挑戦値に変換する処理を行って、前記順序数１が割り当てられたレスポンスから統合レスポンスを生成して前記統合シャッフル正当性検証装置に送信するレスポンス統合装置と、
    コミットメント用公開鍵が外部から入力され、前記順序数λが割り当てられた置換証明コミットメントと、該λが割り当てられた挑戦値とが前記順序数λが割り当てられた統合シャッフル正当性証明装置から入力されると、該置換証明コミットメントを統合した統合置換証明コミットメントの暗号文を生成し、前記複数の統合シャッフル正当性証明装置のそれぞれと通信を行って、各統合シャッフル正当性証明装置から、順序数κが割り当てられた、前記コミットメント用公開鍵を構成する複数の秘密鍵から分散された秘密鍵により前記統合置換証明コミットメントの暗号文が復号された分散復号結果を受信すると、該分散復号結果から統合置換証明コミットメントの暗号文の復号結果を生成し、該復号結果を、対応する統合シャッフル正当性検証装置に送信する統合置換証明コミットメント復号装置と、を有し、
    前記コミットメント統合装置は、
    前記順序数κに関して１からλまで、外部から入力される共通参照基底に基づいて順序数κが割り当てられた同一変換コミットメントを生成し、該順序数κを割り当てた同一変換コミットメントを順序数κの前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた同一変換知識コミットメントを順序数κの前記統合シャッフル正当性証明装置から受信すると、該同一変換知識コミットメントを順序数κ＋１が割り当てられた同一変換コミットメントに変換する処理を行って、前記順序数λの統合シャッフル正当性証明装置から受信する同一変換コミットメントから統合同一変換コミットメントを生成する同一変換知識証明コミットメント統合装置を有し、
    前記コミットメント統合装置は、
    前記順序数κに関して１からλまで、順序数κを割り当てた置換蓄積コミットメントを生成し、該順序数κを割り当てた置換蓄積コミットメントを順序数κの前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた置換証明コミットメントを順序数κの前記統合シャッフル正当性証明装置から受信すると、該置換証明コミットメントを順序数κ＋１が割り当てられた置換蓄積コミットメントに置換する処理を行って、前記順序数λの統合シャッフル正当性証明装置から受信する置換証明コミットメントから前記統合置換証明コミットメントを生成する、証明統合装置。
  3. 請求項１に記載の統合シャッフル正当性証明装置であって、
    複数の暗号文を含む、前記順序数κが割り当てられた入力暗号文列が前記証明統合装置から入力され、ミックス用公開鍵と乱数とが外部から入力されると、該入力暗号文列に対して該ミックス用公開鍵および該乱数を用いて再暗号化し、それらの順番を入れ替えた後、複数の暗号文を含む、該順序数κが割り当てられた出力暗号文列を前記証明統合装置に出力するシャッフル装置と、
    前記順序数κが割り当てられた挑戦値が前記証明統合装置より入力され、乱数が外部から入力されると、該順序数κが割り当てられた挑戦値に基づいて生成したレスポンスを前記証明統合装置に出力するレスポンス生成装置とをさらに有し、
    前記置換証明コミットメント装置は、
    外部から入力される共通参照基底より求められ、前記順序数κが割り当てられた同一変換コミットメント基底と、該順序数κが割り当てられた前記入力暗号文列とが前記証明統合装置より入力されると、前記同一置換コミットメント基底、前記乱数および該入力暗号文列を用いて、順序数κが割り当てられた同一変換知識証明コミットメントを生成して前記証明統合装置に出力する同一変換知識証明コミットメント装置を有し、
    前記置換証明コミットメント装置は、
    前記順序数κが割り当てられた前記置換蓄積コミットメントが前記証明統合装置より入力され、該置換蓄積コミットメントおよび前記乱数を用いて、前記コミットメント用公開鍵による暗号文を含む、該順序数κが割り当てられた前記置換証明コミットメントを生成して前記証明統合装置に出力する、統合シャッフル正当性証明装置。
  4. 順序数１からλが割り当てられた複数の統合シャッフル正当性証明装置と、該複数の統合シャッフル正当性証明装置と通信回線で接続された証明統合装置と、該証明統合装置と通信回線で接続され、該複数の統合シャッフル正当性証明装置および該証明統合装置による情報処理を検証する統合シャッフル正当性検証装置とを有するミックスネットシステムにおける統合シャッフル正当性検証装置であって、
    前記統合シャッフル正当性検証装置にミックスネット入力暗号文が外部から入力され、該ミックスネット入力暗号文の順番を入れ替えて再暗号化した結果であるミックスネット出力暗号文が前記証明統合装置から前記統合シャッフル正当性検証装置に入力され、
    前記複数の統合シャッフル正当性証明装置および前記証明統合装置による情報処理を検証するための統合同一変換コミットメント及び統合置換証明コミットメントを前記証明統合装置より受信するコミットメント受信装置と、
    前記統合シャッフル正当性証明装置の認証に用いられる、ランダムな数の列である挑戦値を生成して前記証明統合装置に送信する挑戦値生成装置と、
    前記順序数λが割り当てられた置換証明コミットメントと、該λが割り当てられた挑戦値とが前記証明統合装置から入力されると、前記統合置換証明コミットメントの暗号文を生成し、前記証明統合装置と通信することで、該統合置換証明コミットメントの分散された暗号文の復号結果から求められた復号統合置換証明コミットメントが正しく生成されたか否かを検証する復号統合置換証明コミットメント受信装置と、
    前記挑戦値に対応して前記順序数１の前記統合シャッフル正当性証明装置から出力されたレスポンスである統合レスポンスを前記証明統合装置より受信し、該証明統合装置より前記復号統合置換証明コミットメントを受信する受信装置と、
    前記統合同一変換コミットメントと前記統合置換証明コミットメントと前記挑戦値と前記統合レスポンスと前記復号統合置換証明コミットメントとに基づいて、前記ミックスネット出力暗号文が前記ミックスネット入力暗号文から正しく生成されているか否かを示す検証結果を出力する検証装置と、
    を有する統合シャッフル正当性検証装置。
  5. 請求項２記載の証明統合装置であって、
    前記コミットメント統合装置は、
    前記順序数κに関して１からλまで、順序数κが割り当てられた第一置換蓄積コミットメントを生成し、該順序数κを割り当てた第一置換蓄積コミットメントを前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた第一置換証明コミットメントを順序数κの統合シャッフル正当性証明装置から受信すると、該第一置換証明コミットメントを順序数κ＋１が割り当てられた第一置換蓄積コミットメントに置換する処理を行って、前記順序数がλの統合シャッフル正当性証明装置から受信する第一置換証明コミットメントから統合第一置換証明コミットメントを生成する第一置換証明コミットメント統合装置と、
    前記順序数κに関してλから１まで、順序数κを割り当てた第一逆置換蓄積コミットメントを、該順序数κが割り当てられた前記統合シャッフル正当性証明装置に送信し、該順序数κが割り当てられた第一逆置換証明コミットメントを順序数κの統合シャッフル正当性証明装置から受信すると、該第一逆置換証明コミットメントを順序数κ−１が割り当てられた第一逆置換蓄積コミットメントに置換する処理を行って、順序数１が割り当てられた第一逆置換証明コミットメントから統合第一逆置換証明コミットメントを生成する第一置換証明コミットメント統合逆送装置と、
    前記順序数κに関して１からλまで、順序数κが割り当てられた第二置換蓄積コミットメントを生成し、該順序数κを割り当てた第二置換蓄積コミットメントを前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた第二置換証明コミットメントを順序数κの統合シャッフル正当性証明装置から受信すると、該第二置換証明コミットメントを順序数κ＋１が割り当てられた第二置換蓄積コミットメントに置換する処理を行って、前記順序数がλの統合シャッフル正当性証明装置から受信する第二置換証明コミットメントから統合第二置換証明コミットメントを生成する第二置換証明コミットメント統合装置と、
    前記順序数κに関してλから１まで、順序数κを割り当てた第二逆置換蓄積コミットメントを、該順序数κが割り当てられた前記統合シャッフル正当性証明装置に送信し、該順序数κが割り当てられた第二逆置換証明コミットメントを順序数κの統合シャッフル正当性証明装置から受信すると、該第二逆置換証明コミットメントを順序数κ−１が割り当てられた第二逆置換蓄積コミットメントに置換する処理を行って、順序数１が割り当てられた第二逆置換証明コミットメントから統合第二逆置換証明コミットメントを生成する第二置換証明コミットメント統合逆送装置と、
    前記順序数κに関して１からλまで、順序数κが割り当てられた第三置換蓄積コミットメントを生成し、該順序数κを割り当てた第三置換蓄積コミットメントを前記統合シャッフル正当性証明装置に送信し、順序数κが割り当てられた第三置換証明コミットメントを順序数κの統合シャッフル正当性証明装置から受信すると、該第三置換証明コミットメントを順序数κ＋１が割り当てられた第三置換蓄積コミットメントに置換する処理を行って、前記順序数がλの統合シャッフル正当性証明装置から受信する第三置換証明コミットメントから統合第三置換証明コミットメントを生成する第三置換証明コミットメント統合装置とをさらに有し、
    前記証明統合装置は、
    前記複数の統合シャッフル正当性証明装置のそれぞれから前記統合置換証明コミットメントの暗号文の前記分散された秘密鍵による分散復号を検証するためのコミットメントを受信すると、該コミットメントから前記統合置換証明コミットメントの暗号文の復号を検証するためのコミットメントを生成し、該コミットメントを前記統合シャッフル正当性検証装置に送信し、前記統合置換証明コミットメントの暗号文の前記分散された秘密鍵による分散復号を検証するための挑戦値を前記統合シャッフル正当性検証装置に送信し、前記複数の統合シャッフル正当性証明装置のそれぞれから前記統合置換証明コミットメントの暗号文の前記分散された秘密鍵による分散復号を検証するためのレスポンスを受信すると、該レスポンスから前記統合置換証明コミットメントの暗号文の復号を検証するための統合レスポンスを生成し、該統合レスポンスを前記統合シャッフル正当性検証装置に送信する統合分散復号証明装置をさらに有する証明統合装置。
  6. 請求項４に記載の統合シャッフル正当性検証装置であって、
    前記証明統合装置から前記統合置換証明コミットメントの暗号文の復号を検証するためのコミットメントを受信すると、該統合置換証明コミットメントの暗号文の前記分散された秘密鍵による分散復号を検証するための挑戦値を生成して該証明統合装置に送信し、該証明統合装置から該統合置換証明コミットメントの暗号文の復号を検証するための統合レスポンスを受信すると、該統合置換証明コミットメントの暗号文から前記復号統合置換証明コミットメントが正しく生成されているか否かを検証する分散復号検証装置をさらに有する統合シャッフル正当性検証装置。
  7. 請求項１または３記載の統合シャッフル正当性証明装置が複数と、請求項２または５記載の証明統合装置と、請求項４または６記載の統合シャッフル正当性検証装置とを有するミックスネットシステムであって、
    前記ミックスネットシステムは、
    前記証明統合装置と前記複数の統合シャッフル正当性証明装置との通信手段と、
    前記証明統合装置と前記統合シャッフル正当性検証装置との通信手段とをさらに有し、
    前記証明統合装置は、
    ミックスネット入力暗号文が前記証明統合装置に外部から入力されると、前記複数の統合シャッフル正当性証明装置のそれぞれと通信を行うことで、前記ミックスネット入力暗号文の順番を入れ替えて再暗号化した結果であるミックスネット出力暗号文を取得し、該ミックスネット出力暗号文を前記統合シャッフル正当性検証装置に送信し、その後、前記複数の統合シャッフル正当性証明装置および前記証明統合装置による情報処理を検証するためのコミットメントを統合した統合コミットメントを生成して該統合シャッフル正当性検証装置に送信し、該統合シャッフル正当性検証装置から挑戦値を受信すると、該挑戦値に対応する統合レスポンスを生成して該統合シャッフル正当性検証装置に送信し、前記統合置換証明コミットメントから前記復号統合置換証明コミットメントを生成して該統合シャッフル正当性検証装置に送信し、該統合シャッフル正当性検証装置と通信することで、該復号統合置換証明コミットメントを検証し、
    前記統合シャッフル正当性検証装置は、
    前記挑戦値を生成すると、該挑戦値を前記証明統合装置に送信し、該証明統合装置との通信により取得したデータから、前記ミックスネット出力暗号文が前記ミックスネット入力暗号文の順番を入れ替えて再暗号化したものであるか否かを調べることで、ミックスネットの処理が正しく行われたか否かを判定した結果を出力する、ミックスネットシステム。
JP2005155306A 2005-05-27 2005-05-27 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム Active JP4771053B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2005155306A JP4771053B2 (ja) 2005-05-27 2005-05-27 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム
US11/915,621 US8009828B2 (en) 2005-05-27 2006-05-24 Integrated shuffle validity proving device, proof integrating device, integrated shuffle validity verifying device, and mix net system
PCT/JP2006/310346 WO2006126585A1 (ja) 2005-05-27 2006-05-24 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム
CA002609459A CA2609459A1 (en) 2005-05-27 2006-05-24 Integrated shuffle validity proving device, proof integrating device, integrated shuffle validity verifying device, and mix network system
EP06756552.3A EP1890421A4 (en) 2005-05-27 2006-05-24 INTEGRATED MIXTURE VALIDITY PROOF DEVICE, INTEGRATION DEVICE FOR EVIDENCE, INTEGRATED MIXTURE VALIDITY CHECK DEVICE, AND MIXTURE NETWORK SYSTEM

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2005155306A JP4771053B2 (ja) 2005-05-27 2005-05-27 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム

Publications (2)

Publication Number Publication Date
JP2006333193A JP2006333193A (ja) 2006-12-07
JP4771053B2 true JP4771053B2 (ja) 2011-09-14

Family

ID=37452009

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2005155306A Active JP4771053B2 (ja) 2005-05-27 2005-05-27 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム

Country Status (5)

Country Link
US (1) US8009828B2 (ja)
EP (1) EP1890421A4 (ja)
JP (1) JP4771053B2 (ja)
CA (1) CA2609459A1 (ja)
WO (1) WO2006126585A1 (ja)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7099471B2 (en) * 2000-03-24 2006-08-29 Dategrity Corporation Detecting compromised ballots
JP4771053B2 (ja) * 2005-05-27 2011-09-14 日本電気株式会社 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム
US9137012B2 (en) * 2006-02-03 2015-09-15 Emc Corporation Wireless authentication methods and apparatus
JP2011196450A (ja) * 2010-03-18 2011-10-06 Ricoh Co Ltd 駆動装置および画像形成装置
FR2969777B1 (fr) * 2010-12-22 2013-01-04 Eads Defence & Security Sys Procede d'activation d'un mecanisme, et dispositif mettant en oeuvre un tel procede.
US9009817B1 (en) * 2013-03-12 2015-04-14 Open Invention Network, Llc Virtual smart card to perform security-critical operations
JP2014220661A (ja) * 2013-05-08 2014-11-20 株式会社東芝 証明装置、出力装置、検証装置、入力装置、証明方法、検証方法およびプログラム

Family Cites Families (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5367573A (en) * 1993-07-02 1994-11-22 Digital Equipment Corporation Signature data object
US5682430A (en) * 1995-01-23 1997-10-28 Nec Research Institute, Inc. Secure anonymous message transfer and voting scheme
US6092051A (en) * 1995-05-19 2000-07-18 Nec Research Institute, Inc. Secure receipt-free electronic voting
US6049613A (en) * 1997-03-07 2000-04-11 Jakobsson; Markus Method and apparatus for encrypting, decrypting, and providing privacy for data values
JP3298826B2 (ja) * 1998-05-29 2002-07-08 日本電信電話株式会社 匿名通信方法及び装置及びプログラム記録媒体
US6317833B1 (en) * 1998-11-23 2001-11-13 Lucent Technologies, Inc. Practical mix-based election scheme
JP4181724B2 (ja) 2000-03-03 2008-11-19 日本電気株式会社 証明付再暗号シャッフル方法と装置、再暗号シャッフル検証方法と装置、入力文列生成方法と装置及び記録媒体
CA2404161C (en) * 2000-03-24 2006-05-23 Votehere, Inc. Verifiable, secret shuffles of encrypted data, such as elgamal encrypteddata for secure multi-authority elections
US7099471B2 (en) * 2000-03-24 2006-08-29 Dategrity Corporation Detecting compromised ballots
US7389250B2 (en) * 2000-03-24 2008-06-17 Demoxi, Inc. Coercion-free voting scheme
JP3788246B2 (ja) * 2001-02-13 2006-06-21 日本電気株式会社 匿名復号システム及び匿名復号方法
CA2441304C (en) * 2001-03-24 2005-05-31 Votehere, Inc. Verifiable secret shuffles and their application to electronic voting
JP3901471B2 (ja) * 2001-05-18 2007-04-04 日本電気株式会社 証明付シャッフル復号システムと証明付シャッフル復号方法、シャッフル復号検証方法
JP4774650B2 (ja) * 2001-08-07 2011-09-14 日本電気株式会社 離散対数の一致または不一致を示すゼロ知識証明システム及び方法
US7516891B2 (en) * 2002-02-20 2009-04-14 David Chaum Ballot integrity systems
JP4306232B2 (ja) * 2002-11-25 2009-07-29 日本電気株式会社 証明システムと評価システム
JP3910529B2 (ja) * 2002-12-06 2007-04-25 株式会社エヌ・ティ・ティ・データ 電子投票システム
EP1708407A4 (en) * 2004-01-22 2014-03-26 Nec Corp MixNet SYSTEM
JP4835831B2 (ja) * 2004-01-26 2011-12-14 日本電気株式会社 多数の入力から関数を計算する方法および装置
US7694880B2 (en) * 2004-01-26 2010-04-13 Nec Corporation Anonymous electronic voting system and anonymous electronic voting method
EP1571777A1 (en) * 2004-03-02 2005-09-07 France Telecom Electronic voting process using fair blind signatures
EP1728220A2 (en) * 2004-03-25 2006-12-06 Cryptomathic A/S Electronic voting systems
WO2005122049A2 (en) * 2004-06-07 2005-12-22 Dategrity Corporation Cryptographic systems and methods, including practical high certainty intent verification, such as for encrypted votes in an electronic election
US20060123465A1 (en) * 2004-10-01 2006-06-08 Robert Ziegler Method and system of authentication on an open network
US7315941B2 (en) * 2004-12-17 2008-01-01 Ntt Docomo Inc. Multi-certificate revocation using encrypted proof data for proving certificate's validity or invalidity
WO2006070682A1 (ja) * 2004-12-27 2006-07-06 Nec Corporation 制限付ブラインド署名システム
JP4830860B2 (ja) * 2005-01-21 2011-12-07 日本電気株式会社 署名装置、検証装置、証明装置、暗号化装置、及び復号化装置
JP4872908B2 (ja) * 2005-02-10 2012-02-08 日本電気株式会社 メンバー証明書獲得装置、メンバー証明書発行装置、グループ署名装置、グループ署名検証装置
WO2006092909A1 (ja) * 2005-02-28 2006-09-08 Nec Corporation シャッフル復号正当性証明装置と方法、シャッフル復号検証装置と方法、プログラムと記録媒体
JP4771053B2 (ja) * 2005-05-27 2011-09-14 日本電気株式会社 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム
JP4940592B2 (ja) * 2005-08-11 2012-05-30 日本電気株式会社 否認可能零知識対話証明に適用される証明装置及び検証装置

Also Published As

Publication number Publication date
US8009828B2 (en) 2011-08-30
WO2006126585A1 (ja) 2006-11-30
CA2609459A1 (en) 2006-11-30
US20090080645A1 (en) 2009-03-26
EP1890421A1 (en) 2008-02-20
EP1890421A4 (en) 2016-11-30
JP2006333193A (ja) 2006-12-07

Similar Documents

Publication Publication Date Title
Lee et al. Providing receipt-freeness in mixnet-based voting protocols
US7634085B1 (en) Identity-based-encryption system with partial attribute matching
Boneh et al. Almost entirely correct mixing with applications to voting
JP5293745B2 (ja) データ参照システム、データベース提示分散システム、及びデータ参照方法
US6317833B1 (en) Practical mix-based election scheme
Kate et al. Pairing-based onion routing with improved forward secrecy
Demirel et al. Improving Helios with Everlasting Privacy Towards the Public.
TWI444030B (zh) 動態群組中建立金鑰、認證及安全通訊方法
Chen et al. Public-key quantum digital signature scheme with one-time pad private-key
JP4771053B2 (ja) 統合シャッフル正当性証明装置、証明統合装置、統合シャッフル正当性検証装置及びミックスネットシステム
Sebé et al. Simple and efficient hash-based verifiable mixing for remote electronic voting
Wu Fully homomorphic encryption: Cryptography's holy grail
CN117201132A (zh) 一种完全去中心化的多委员会属性基加密方法及其应用
EP1361693B1 (en) Handle deciphering system and handle deciphering method, and program
Buccafurri et al. Allowing non-identifying information disclosure in citizen opinion evaluation
Venukumar et al. A survey of applications of threshold cryptography—proposed and practiced
CN114629640A (zh) 一种解决密钥托管问题的白盒可追责属性基加密***及其方法
Querejeta-Azurmendi et al. An internet voting proposal towards improving usability and coercion resistance
Peng et al. Efficient proof of validity of votes in homomorphic e-voting
Glondu Belenios specification
Gallegos-García et al. Identity based threshold cryptography and blind signatures for electronic voting
Chander The state-of-the-art cryptography techniques for secure data transmission
Syta et al. Deniable anonymous group authentication
Tornos et al. Optimizing ring signature keys for e-voting
Dugardin et al. A New Fair Identity Based Encryption Scheme

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20070423

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100811

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20101012

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110309

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110509

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110525

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110607

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140701

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Ref document number: 4771053

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150