JP5060556B2 - グループ署名システム、装置及びプログラム - Google Patents
グループ署名システム、装置及びプログラム Download PDFInfo
- Publication number
- JP5060556B2 JP5060556B2 JP2009522460A JP2009522460A JP5060556B2 JP 5060556 B2 JP5060556 B2 JP 5060556B2 JP 2009522460 A JP2009522460 A JP 2009522460A JP 2009522460 A JP2009522460 A JP 2009522460A JP 5060556 B2 JP5060556 B2 JP 5060556B2
- Authority
- JP
- Japan
- Prior art keywords
- group
- signer
- public
- key
- signature
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
- H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
- H04L9/3013—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the discrete logarithm problem, e.g. ElGamal or Diffie-Hellman systems
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
- H04L9/3255—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using group based signatures, e.g. ring or threshold signatures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/42—Anonymization, e.g. involving pseudonyms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Storage Device Security (AREA)
Description
以下では、実施形態方式の前提となるグループ署名の機能と安全性について定義する。
効率のよい既存方式のほとんどは、メンバ秘密鍵に対するグループ管理者の署名をメンバ証明書として利用する。実施形態方式では、グループ管理者の署名を利用しないため、従来方式のメンバ証明書と区別するために署名者特定情報(tracing information)という用語を用いる。グループ署名においては、暗号化された署名者特定情報と、署名者特定情報が正しく暗号化されていることを示す非対話的知識証明と、メンバ秘密鍵及び署名者特定情報を持っていることを示す非対話的知識証明とが含まれることはメンバ証明書と同様である。
鍵生成アルゴリズムGKgは、公開パラメータとグループのメンバ数nを入力とし、グループ公開鍵gpk、グループ秘密鍵gmsk、メンバ秘密鍵の集合gsk=(gsk[1],…,gsk[n])、それに対応する署名者特定情報T=(T1,…,Tn)を生成して出力するための確率的多項式時間アルゴリズムである。
署名生成アルゴリズムGSigは、グループ公開鍵gpk、メンバ秘密鍵gsk[i]、署名者特定情報Ti、メッセージmsgに対し、グループ署名σを生成する確率的多項式時間アルゴリズムである。
署名検証アルゴリズムGVfは、グループ公開鍵gpk、メッセージmsg、グループ署名σを入力とし、署名が正しければ有効(valid)を、正しくなければ無効(invalid)を出力する確定的多項式時間アルゴリズムである。
署名者特定アルゴリズムOpenは、グループ公開鍵gpk、グループ秘密鍵gmsk、メッセージmsg、グループ署名σを入力とし、署名が正しければその署名を生成したユーザのID=iを、正しくなければ無効(invalid)を出力する確定的多項式時間アルゴリズムである。
グループ署名の安全性について当初は数多くの要件が定義されていた。その後、ベラー(Bellare)らが、静的グループ(static group)のグループ署名の安全性の要件をまとめている(M. Bellare, D. Micciancio, and B. Warinschi, “Foundations of Group Signatures: Formal Definitions, Simplified Requirements, and a Construction Based on General Assumptions,” In Proc. of EUROCRYPT 2003, LNCS 2656, pp.614-629, 2003.参照)。なお、静的グループとは、メンバの追加・削除機能を持たず一度グループが生成されるとメンバの変更がないグループをいう。ここで、ベラーの要件は非常に厳しいものであり、グループメンバ全員の結託に対する安全性が考慮されている。このため、一般的には、ベラーの要件を弱めて安全性が定義されている。ここでは、ベラーの要件に基づき、グループ管理者やメンバの結託がない場合の安全性を再定義する。結託以外の定義はベラーの定義と同様である。
GVf(gpk,msg,GSig(gsk[i],msg))= valid かつ
Open(gmsk,msg,GSig(gsk[i],msg))=i
すなわち、正しく生成された署名は、署名検証アルゴリズムGVfにより検証に成功し、署名者特定アルゴリズムOpenにより署名者を特定できる。
以下のゲームを考える。
(a)署名(signing):上記と同様。
(b)買収(corruption):上記と同様。ただし既に1回行われていた場合は質問できない。また、このときu=i0またはu=i1であってはならない。
b’=bのとき、“敵Aは攻撃に成功した”という。敵Aの成功確率が無視できるとき、グループ署名方式は匿名性(anonymity)を持つという。
以下のゲームを考える。
(a)署名(signing):ユーザiとメッセージmsgを指定し、署名質問(signing query)を行い、グループ署名σ=GSig(gpk,gsk[i],msg)を得る。
(b)買収(corruption):ユーザu(1≦u≦n)を指定し、買収質問を行い、メンバ秘密鍵gsk[u]を得る。
以下では、実施形態方式を理解するうえで重要なDDH(decisional Diffie-Hellman)問題、リプレゼンテーション(representation)、クラマー−シャウプ(Cramer-Shoup)暗号について説明する。
素数位数qの乗法巡回群をGとする。ランダムな4つ組(quadruples)(g1,g2,u1,u2)∈G4の分布をRとする。g1,g2∈Gとr∈Zqとをランダムに選び、u1=gr、u2=grとした4つ組(g1,g2,u1,u2)∈G4の分布をDとする。このとき、任意に与えられた4つ組(g1,g2,u1,u2)が分布R,Dのいずれに属するかを見分ける問題をDDH問題と呼ぶ。実施形態方式の安全性はDDH問題の困難性に帰着される。
乗法巡回群G上の演算において、h=g1^{e1}g2^{e2}…gk^{ek}を満たす(e1,e2,…,ek)を、g1,g2,…,gkを底としたhのリプレゼンテーションと呼ぶ。なお、“^”はベキ乗を表す記号である。
実施形態方式では、署名者特定情報の暗号化にクラマー−シャウプ暗号(R. Cramer and V. Shoup, “A Practical Public Key Cryptosystem Provably Secure against Adaptive Chosen Ciphertext Attack,” In Proc. of CRYPTO ’98, LNCS 1462, pp.13-25, 1998. 参照)を利用する。但し、実施形態方式はクラマー−シャウプ暗号に限定されない。
以下にクラマー−シャウプ暗号を説明する。
公開パラメータとして素数位数qの乗法巡回群Gとその生成元g1と汎用一方向性ハッシュ(universal one-way hash)関数を入力とし、以下の処理を行う。
(2)x1,x2,y1,y2,z∈Zqをランダムに選択する。
(3)c=g1^{x1}g2^{x2}、d=g1^{y1}g2^{y2}、h=g1 zを計算する。
(4)ハッシュ関数Hを汎用一方向性ハッシュ関数の集合から選択する。
(5)公開鍵pk=(g1,g2,c,d,h,H)、秘密鍵sk=(x1,x2,y1,y2,z)を出力する。
公開鍵pk=(g1,g2,c,d,h,H)、メッセージm∈Gを入力とし、以下の処理を行う。
(2)u1=g1 r、u2=g2 r、e=hrmを計算する。
(3)α=H(u1,u2,e)を計算する。
(4)v=crdrαを計算する。
(5)暗号文(u1,u2,e,v)を出力する。
暗号文(u1,u2,e,v)を入力とし、以下の処理を行う。
(2)u1^{x1+y1α}u2^{x2+y2α}=vが成り立つか否かを検証し、否の場合には無効な暗号文として拒絶して処理を終了する。
(3)m=e/u1 zを計算し、平文として出力する。
以上がクラマー−シャウプ暗号の処理である。
続いて、実施形態方式の概要を説明する。
図1は本発明の一実施形態に係るグループ署名システムの構成を示す模式図である。このグループ署名システムは、互いに通信可能な1台のグループ管理者装置10、n台の署名者装置201,…,20i,…,20j,…,20n及び1台の検証者装置30を備えている。各装置10,201,…,20n,30は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体Mから対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。また、各署名者装置201,…,20nは、互いに同一のハードウェア構成のため、以下の説明ではi番目の署名者装置20iを代表させて述べる。また、本実施形態のグループ署名方式は、後述する図8乃至図15に一例を示すように、クラマー−シャウプ暗号を暗号化方式に用い、シュノア(Schnorr)署名を応用した方式を零知識証明方式に用いているが、これらの暗号化方式及び零知識証明方式には限定されない。すなわち、本実施形態のグループ署名方式は、図8乃至図15に示した方式に限らず、他の暗号化方式及び零知識証明方式を用いても実現可能となっている。
グループ管理者装置10では、グループ管理者の入力部12の操作により、公開パラメータ(q,G,g1,H)が管理者用記憶部11に保存された後、グループ鍵生成部14が起動されたとする。
グループ管理者装置10では、予めグループ管理者の入力部12の操作により、メンバ数nに対応するn人分のユーザ識別情報ID(1),…,ID(i),…,ID(j),…,ID(n)が管理者用記憶部11に保存されたとする。なお、ユーザ識別情報ID(1),…,ID(n)は、メンバ数nが入力されたメンバ秘密鍵生成部15により生成され、メンバ秘密鍵生成部15から管理者用記憶部11に書き込まれてもよい。
次に、メンバ秘密鍵生成部15は、管理者用記憶部11内の生成元g1及びメンバ秘密鍵gsk[i](=ki1,ki2)に基づいて、署名者特定情報Ti=g1^{ki1}を計算する(ST21)。すなわち、署名者特定情報Tiは、リプレゼンテーション自体ではなく、リプレゼンテーションの一部をベキ指数とした値である。
ユーザiは、オンライン又はオフラインにより、ユーザ情報をグループ管理者装置10に登録する。これにより、ユーザiは、公開パラメータ、グループ公開鍵gpk=(g1,g2,f,c,d,h,H)、メンバ秘密鍵gsk[i](=ki1,ki2)及び署名者特定情報Tiを暗号化通信又は記憶媒体の郵送などの安全な手法によりグループ管理者から取得する。
署名者装置20iでは、ユーザiの入力部22の操作により、グループ署名生成部25が起動されたとする。
次に、グループ署名生成部25は、署名者用記憶部21内の素数位数qを参照し、メンバ秘密鍵(ki1,ki2)及びステップST31で得られた乱数rを隠すための乱数r1,r2,rr∈Zqをランダムに選択する(ST41)。
検証者装置30は、予め検証者の入力部32の操作により、公開パラメータ(q,G,g1,H)及びグループ公開鍵gpk=(g1,g2,f,c,d,h,H)をグループ管理者装置10から取得して検証者用記憶部31に保存しているとする。これにより、検証者装置30は、署名検証処理が可能となっている。
例えば不正の発覚や、サービス利用料金の徴収のためといった何らかの事情により、署名者を特定する必要が生じた場合について述べる。
ここでは実施形態方式の安全性を証明する。
[補題1]実施形態方式は正当性(correctness)を持つ。
(証明)実施形態方式の定義より明らか。
(証明スケッチ)実施形態方式の匿名性を無視できない確率で破る敵Aanonを利用してDDH問題を無視できない確率で破る解く敵ADDHを構成する。
敵ADDHへの入力を(g1,g2,u1,u2)とする。
i∈{1,…,n}をランダムに選択する。
ki1,ki2∈Zqをランダムに選択する。
f=g1^{ki1}g2^{ki2}を計算する。
Ti=g1^{ki1}とする。
j∈{1,…n}\{i}に対してTj∈Gをランダムに選択する。
c=g1^{x1}g2^{x2}、d=g1^{y1}g2^{y2}、h=g1 zを計算する。
ハッシュ関数Hを汎用一方向性ハッシュ関数の集合から選択する。
グループ公開鍵gpk=(g1,g2,f,c,d,h,H)、ユーザiのメンバ秘密鍵gsk[i]=(ki1,ki2)とする。
ユーザjに対する買収質問(corruption query)の応答を以下のようにシミュレートする。
j=iの場合はgsk[i]=(ki1,ki2)を返し、それ以外のユーザが指定された場合はエラーとして終了する。
署名者特定情報の暗号文の部分はTjのクラマー−シャウプ(Cramer-Shoup)暗号化を行う。
非対話的知識証明の部分はランダムオラクルを利用したシミュレーションを行う。これは、一般的な手法であるため、詳細の説明を省略する。
b∈{0,1}をランダムに選択する。
署名者特定情報の暗号文の部分はクラマー−シャウプ暗号の安全性証明と同様にシミュレートする。
非対話的知識証明の部分はランダムオラクルを利用したシミュレーションを行う。
敵ADDHは、b=b’の場合には1を出力し、それ以外の場合は0を出力する。
上述のシミュレーションはいずれも正しく行われているため、敵ADDHはDDH問題を無視できない確率で解く。
(証明スケッチ)実施形態方式の追跡可能性を無視できない確率で破る敵Atraceを利用して離散対数問題を無視できない確率で破る解く敵ADLを構成する。
敵ADLへの入力を(g1,f)とする。
i∈{1,…,n}をランダムに選択する。
ki1,ki2∈Zqをランダムに選択する。
g2=(fg1^{−ki1})^{1/ki2}とする。
Ti=g1^{ki1}とする。
j∈{1,…,n}\{i}に対してTj∈Gをランダムに選択する。
x1,x2,y1,y2,z∈Zqをランダムに選択する。
c=g1^{x1}g2^{x2}、d=g1^{y1}g2^{y2}、h=g1 zを計算する。
ハッシュ関数Hを汎用一方向性ハッシュ関数から選択する。
グループ公開鍵gpk=(g1,g2,f,c,d,h,H)、ユーザiのメンバ秘密鍵gsk[i]=(ki1,ki2)とする。
巻き戻し(rewind)によって2つの異なる署名
σ=(u1,u2,e,v,A,B,C,s1,s2,sr)と、
σ’=(u1’,u2’,e’,v’,A’,B’,C’,s1’,s2’,sr’)を得る。
β’=H(g1,g2,h,u1’,u2’,e’,v’,A’,B’,C’,msg)とし、k1’=(s1−s1’)/(β−β’)、k2’=(s2−s2’)/(β−β’)とすると、f=g1^{k1’}g2^{k2’}である。また、追跡可能性の定義より(k1’,k2’)≠j(ki1,ki2)であるため、g2=g1^{−(ki1−k1’)/(ki2−k2’)}が成り立つ。
実施形態方式の効率を評価するために、通常の電子署名であるRSA署名方式の署名生成の計算量を基準にしたときの従来のグループ署名方式及び実施形態方式の計算量とデータ長を考える。
比較する方式の計算量の大部分はベキ乗剰余演算にかかる。このため、ベキ乗剰余演算以外の計算量を無視し、ベキ乗剰余演算の計算量に注目する。
ベキ乗剰余演算の計算量は(法のビット長)2×ベキ指数のビット長に比例するため、法のビット長が同じ場合には全体の計算量がベキ指数のビット長の総和に比例する。
Claims (9)
- 互いに通信可能なグループ管理者装置(10)、署名者装置(20i)及び検証者装置(30)を備え、各装置がグループ署名方式を用いるグループ署名システムであって、
前記グループ管理者装置は、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータを記憶するパラメータ記憶手段(11)と、
前記パラメータ記憶手段内の公開パラメータに基づいて、値a,b∈Zqを含むグループ秘密鍵と、第1関係式g2=g1 a及び第2関係式f=g1 bを満たす値g2,f及び前記生成元g1を含むグループ公開鍵とを生成するグループ鍵生成手段(14)と、
前記グループ秘密鍵、前記グループ公開鍵及び第3関係式ki1=b−aki2 mod qに基づいて、第4関係式f=g1^{ki1}g2^{ki2}を満たすリプレゼンテーションki1,ki2からなるメンバ秘密鍵を算出するメンバ秘密鍵生成手段(但し、^はベキ乗を表す記号)(15)と、
前記メンバ秘密鍵及び前記生成元g1に基づいて、署名者特定情報Ti=g1^{ki1}を算出する署名者特定情報算出手段(15)と、を備えており、
前記署名者装置は、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータと、前記グループ公開鍵、前記メンバ秘密鍵、前記署名者特定情報Ti及びメッセージを記憶する署名者用記憶手段(21)と、
前記署名者用記憶手段内の公開パラメータ及びグループ公開鍵に基づいて前記署名者特定情報Tiを暗号化し、当該署名者特定情報Tiの暗号文データを生成する暗号文生成手段(25)と、
前記署名者用記憶手段内の公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及び前記メッセージと、前記署名者特定情報Tiの暗号文データとに基づいて、当該メンバ秘密鍵を知っていて、且つ、前記暗号文データが当該署名者特定情報Tiを基に正しく生成されていることを示す零知識証明を生成する零知識証明生成手段(25)と、
前記暗号文データ及び前記零知識証明からなるグループ署名と前記メッセージとを前記検証者装置に送信する手段(23)と、を備えており、
前記検証者装置は、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータと前記グループ公開鍵とを記憶する検証者用記憶手段(31)と、
前記署名者装置から前記グループ署名及びメッセージを受信する手段(33)と、
前記受信したグループ署名及びメッセージと前記検証者用記憶手段内の公開パラメータ及びグループ公開鍵とに基づいて、当該グループ署名の正当性を検証する検証手段(34)と、
前記検証した結果を前記署名者装置に送信する手段(33)と、
を備えたことを特徴とするグループ署名システム。 - グループ署名方式を用いる署名者装置(20i)及び検証者装置(30)に通信可能なグループ管理者装置(10)であって、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータを記憶するパラメータ記憶手段(11)と、
前記パラメータ記憶手段内の公開パラメータに基づいて、値a,b∈Zqを含むグループ秘密鍵と、第1関係式g2=g1 a及び第2関係式f=g1 bを満たす値g2,f及び前記生成元g1を含むグループ公開鍵とを生成するグループ鍵生成手段(14)と、
前記グループ秘密鍵、前記グループ公開鍵及び第3関係式ki1=b−aki2 mod qに基づいて、第4関係式f=g1^{ki1}g2^{ki2}を満たすリプレゼンテーションki1,ki2からなるメンバ秘密鍵を算出するメンバ秘密鍵生成手段(但し、^はベキ乗を表す記号)(15)と、
前記メンバ秘密鍵及び前記生成元g1に基づいて、署名者特定情報Ti=g1^{ki1}を算出する署名者特定情報算出手段(15)と、
前記グループ署名方式におけるグループ署名を生成するための前記公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及び前記署名者特定情報Tiを前記署名者装置に送信する手段(13)と、
前記グループ署名方式におけるグループ署名を検証するための前記公開パラメータ及び前記グループ公開鍵を前記検証者装置に送信する手段(13)と、
を備えたことを特徴とするグループ管理者装置。 - 請求項2に記載のグループ管理者装置において、
前記署名者特定情報Ti及びユーザ識別情報ID(i)が互いに関連付けて記憶されているユーザ情報記憶手段(11)と、
前記署名者特定情報Ti=g1^{ki1}に関し、前記メンバ秘密鍵を知っていて、且つ、前記暗号文データが前記署名者特定情報Tiを基に正しく生成されていることを示す零知識証明と、前記署名者特定情報Tiの暗号文データとからなるグループ署名及びメッセージを前記署名者装置から受信する手段(13)と、
前記受信したグループ署名及びメッセージと前記パラメータ記憶手段内の公開パラメータと前記生成したグループ秘密鍵及びグループ公開鍵とに基づいて、当該グループ署名の正当性を検証する署名検証手段(16)と、
前記検証した結果が正当性を示すとき、前記グループ秘密鍵に基づいて前記暗号文データから署名者特定情報Tiを計算し、得られた署名者特定情報Tiに対応するユーザ識別情報ID(i)を前記ユーザ情報記憶手段から特定する署名者特定手段(17)と、を備えており、
前記暗号文データは、前記公開パラメータ及びグループ公開鍵に基づいて前記署名者特定情報Tiが前記署名者装置により暗号化されたデータであり、
前記零知識証明は、前記公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及びメッセージと、前記署名者特定情報Tiの暗号文データとに基づいて前記署名者装置により生成されたデータであることを特徴とするグループ管理者装置。 - グループ署名方式を用いるグループ管理者装置(10)及び検証者装置(30)に通信可能な署名者装置(20i)であって、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータと、前記公開パラメータに基づいて、値a,b∈Zqと第1関係式g2=g1 a及び第2関係式f=g1 bとを満たすように生成された値g2,f及び前記生成元g1を含むグループ公開鍵と、前記値a,b∈Zq、前記グループ公開鍵及び第3関係式ki1=b−aki2 mod qに基づいて、第4関係式f=g1^{ki1}g2^{ki2}を満たすように生成(但し、^はベキ乗を表す記号)されたリプレゼンテーションki1,ki2からなるメンバ秘密鍵と、前記メンバ秘密鍵及び前記生成元g1に基づいて生成された署名者特定情報Ti=g1^{ki1}とを前記グループ管理者装置から受信する手段(23)と、
前記受信した公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及び前記署名者特定情報Tiとメッセージとを記憶するための署名者用記憶手段(21)と、
前記メッセージを作成して前記署名者用記憶手段に書き込む手段(24)と、
前記署名者用記憶手段内の公開パラメータ及びグループ公開鍵に基づいて前記署名者特定情報Tiを暗号化し、当該署名者特定情報Tiの暗号文データを生成する暗号文生成手段(25)と、
前記署名者用記憶手段内の公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及び前記メッセージと、前記署名者特定情報Tiの暗号文データとに基づいて、当該メンバ秘密鍵を知っていて、且つ、前記暗号文データが当該署名者特定情報Tiを基に正しく生成されていることを示す零知識証明を生成する零知識証明生成手段(25)と、
前記暗号文データ及び前記零知識証明からなるグループ署名と前記メッセージとを前記検証者装置に送信する手段(23)と、
を備えたことを特徴とする署名者装置。 - グループ署名方式を用いるグループ管理者装置(10)及び署名者装置(20i)に通信可能な検証者装置(30)であって、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータと、前記公開パラメータに基づいて、値a,b∈Zqと第1関係式g2=g1 a及び第2関係式f=g1 bとを満たすように生成された値g2,f及び前記生成元g1を含むグループ公開鍵とを前記グループ管理者装置から受信する手段(33)と、
前記受信した公開パラメータと前記グループ公開鍵とを記憶する検証者用記憶手段(31)と、
前記値a,b∈Zq、前記グループ公開鍵及び第3関係式ki1=b−aki2 mod qに基づいて第4関係式f=g1^{ki1}g2^{ki2}を満たすように生成(但し、^はベキ乗を表す記号)されたリプレゼンテーションki1,ki2からなるメンバ秘密鍵と、前記メンバ秘密鍵及び前記生成元g1に基づいて生成された署名者特定情報Ti=g1^{ki1}とに関し、前記メンバ秘密鍵を知っていて、且つ、前記暗号文データが前記署名者特定情報Tiを基に正しく生成されていることを示す零知識証明と、前記署名者特定情報Tiの暗号文データとからなるグループ署名及びメッセージを前記署名者装置から受信する手段(33)と、
前記受信したグループ署名及びメッセージと前記検証者用記憶手段内の公開パラメータ及びグループ公開鍵とに基づいて、当該グループ署名の正当性を検証する検証手段(34)と、
前記検証した結果を前記署名者装置に送信する手段(33)と、を備えており、
前記暗号文データは、前記公開パラメータ及びグループ公開鍵に基づいて前記署名者特定情報Tiが前記署名者装置により暗号化されたデータであり、
前記零知識証明は、前記公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及びメッセージと、前記署名者特定情報Tiの暗号文データとに基づいて前記署名者装置により生成されたデータであることを特徴とする検証者装置。 - グループ署名方式を用いる署名者装置(20i)及び検証者装置(30)に通信可能なグループ管理者装置(10)のプログラムであって、
前記グループ管理者装置のコンピュータを、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータを前記コンピュータのメモリ(11)に書き込む手段(13)、
前記メモリ内の公開パラメータに基づいて、値a,b∈Zqを含むグループ秘密鍵と、第1関係式g2=g1 a及び第2関係式f=g1 bを満たす値g2,f及び前記生成元g1を含むグループ公開鍵とを生成するグループ鍵生成手段(14)、
前記グループ秘密鍵、前記グループ公開鍵及び第3関係式ki1=b−aki2 mod qに基づいて、第4関係式f=g1^{ki1}g2^{ki2}を満たすリプレゼンテーションki1,ki2からなるメンバ秘密鍵を算出するメンバ秘密鍵生成手段(但し、^はベキ乗を表す記号)(15)、
前記メンバ秘密鍵及び前記生成元g1に基づいて、署名者特定情報Ti=g1^{ki1}を算出する署名者特定情報算出手段(15)、
前記グループ署名方式におけるグループ署名を生成するための前記公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及び前記署名者特定情報Tiを前記署名者装置に送信する手段(13)、
前記グループ署名方式におけるグループ署名を検証するための前記公開パラメータ及び前記グループ公開鍵を前記検証者装置に送信する手段(13)、
として機能させるためのプログラム。 - 請求項6に記載のプログラムにおいて、
前記コンピュータを、
前記署名者特定情報Ti及びユーザ識別情報ID(i)を互いに関連付けて前記メモリに書き込む手段(15)、
前記署名者特定情報Ti=g1^{ki1}に関し、前記メンバ秘密鍵を知っていて、且つ、前記暗号文データが前記署名者特定情報Tiを基に正しく生成されていることを示す零知識証明と、前記署名者特定情報Tiの暗号文データとからなるグループ署名及びメッセージを前記署名者装置から受信する手段(13)、
前記受信したグループ署名及びメッセージと前記パラメータ記憶手段内の公開パラメータと前記生成したグループ秘密鍵及びグループ公開鍵とに基づいて、当該グループ署名の正当性を検証する署名検証手段(16)、
前記検証した結果が正当性を示すとき、前記グループ秘密鍵に基づいて前記暗号文データから署名者特定情報Tiを計算し、得られた署名者特定情報Tiに対応するユーザ識別情報ID(i)を前記メモリから特定する署名者特定手段(17)と、として機能させ、
前記暗号文データは、前記公開パラメータ及びグループ公開鍵に基づいて前記署名者特定情報Tiが前記署名者装置により暗号化されたデータであり、
前記零知識証明は、前記公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及びメッセージと、前記署名者特定情報Tiの暗号文データとに基づいて前記署名者装置により生成されたデータであることを特徴とするプログラム。 - グループ署名方式を用いるグループ管理者装置(10)及び検証者装置(30)に通信可能な署名者装置(20i)のプログラムであって、
前記署名者装置のコンピュータを、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータと、前記公開パラメータに基づいて、値a,b∈Zqと第1関係式g2=g1 a及び第2関係式f=g1 bとを満たすように生成された値g2,f及び前記生成元g1を含むグループ公開鍵と、前記値a,b∈Zq、前記グループ公開鍵及び第3関係式ki1=b−aki2 mod qに基づいて、第4関係式f=g1^{ki1}g2^{ki2}を満たすように生成(但し、^はベキ乗を表す記号)されたリプレゼンテーションki1,ki2からなるメンバ秘密鍵と、前記メンバ秘密鍵及び前記生成元g1に基づいて生成された署名者特定情報Ti=g1^{ki1}とを前記グループ管理者装置から受信する手段(23)、
前記受信した公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及び前記署名者特定情報Tiとメッセージとを前記コンピュータのメモリ(21)に書き込む手段(23)、
前記メッセージを作成して前記メモリに書き込む手段(24)、
前記メモリ内の公開パラメータ及びグループ公開鍵に基づいて前記署名者特定情報Tiを暗号化し、当該署名者特定情報Tiの暗号文データを生成する暗号文生成手段(25)、
前記メモリ内の公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及び前記メッセージと、前記署名者特定情報Tiの暗号文データとに基づいて、当該メンバ秘密鍵を知っていて、且つ、前記暗号文データが当該署名者特定情報Tiを基に正しく生成されていることを示す零知識証明を生成する零知識証明生成手段(25)、
前記暗号文データ及び前記零知識証明からなるグループ署名と前記メッセージとを前記検証者装置に送信する手段(23)、
として機能させるためのプログラム。 - グループ署名方式を用いるグループ管理者装置(10)及び署名者装置(20i)に通信可能な検証者装置(30)のプログラムであって、
前記検証者装置のコンピュータを、
前記グループ署名方式に用いる素数位数q、及び前記qの乗法巡回群Gの生成元g1を含む公開パラメータと、前記公開パラメータに基づいて、値a,b∈Zqと第1関係式g2=g1 a及び第2関係式f=g1 bとを満たすように生成された値g2,f及び前記生成元g1を含むグループ公開鍵とを前記グループ管理者装置から受信する手段(33)、
前記受信した公開パラメータと前記グループ公開鍵とを前記コンピュータのメモリ(31)に書き込む手段(33)、
前記値a,b∈Zq、前記グループ公開鍵及び第3関係式ki1=b−aki2 mod qに基づいて第4関係式f=g1^{ki1}g2^{ki2}を満たすように生成(但し、^はベキ乗を表す記号)されたリプレゼンテーションki1,ki2からなるメンバ秘密鍵と、前記メンバ秘密鍵及び前記生成元g1に基づいて生成された署名者特定情報Ti=g1^{ki1}とに関し、前記メンバ秘密鍵を知っていて、且つ、前記暗号文データが前記署名者特定情報Tiを基に正しく生成されていることを示す零知識証明と、前記署名者特定情報Tiの暗号文データとからなるグループ署名及びメッセージを前記署名者装置から受信する手段(33)、
前記受信したグループ署名及びメッセージと前記メモリ内の公開パラメータ及びグループ公開鍵とに基づいて、当該グループ署名の正当性を検証する検証手段(34)、
前記検証した結果を前記署名者装置に送信する手段(33)、として機能させ、
前記暗号文データは、前記公開パラメータ及びグループ公開鍵に基づいて前記署名者特定情報Tiが前記署名者装置により暗号化されたデータであり、
前記零知識証明は、前記公開パラメータ、前記グループ公開鍵、前記メンバ秘密鍵及びメッセージと、前記署名者特定情報Tiの暗号文データとに基づいて前記署名者装置により生成されたデータであることを特徴とするプログラム。
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
PCT/JP2007/063824 WO2009008069A1 (ja) | 2007-07-11 | 2007-07-11 | グループ署名システム、装置及びプログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JPWO2009008069A1 JPWO2009008069A1 (ja) | 2010-09-02 |
JP5060556B2 true JP5060556B2 (ja) | 2012-10-31 |
Family
ID=40228266
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2009522460A Active JP5060556B2 (ja) | 2007-07-11 | 2007-07-11 | グループ署名システム、装置及びプログラム |
Country Status (5)
Country | Link |
---|---|
US (1) | US8200977B2 (ja) |
JP (1) | JP5060556B2 (ja) |
KR (1) | KR101099814B1 (ja) |
CN (1) | CN101689993B (ja) |
WO (1) | WO2009008069A1 (ja) |
Families Citing this family (23)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP4764447B2 (ja) * | 2008-03-19 | 2011-09-07 | 株式会社東芝 | グループ署名システム、装置及びプログラム |
WO2011007697A1 (ja) * | 2009-07-13 | 2011-01-20 | 日本電気株式会社 | 匿名認証署名システム、ユーザ装置、検証装置、署名方法、検証方法およびそれらのプログラム |
KR101425552B1 (ko) * | 2010-10-04 | 2014-08-05 | 한국전자통신연구원 | 제어가능 연결성을 제공하는 그룹서명 시스템 및 방법 |
JP5849962B2 (ja) * | 2010-10-29 | 2016-02-03 | 日本電気株式会社 | 署名処理装置 |
EP2657925B1 (en) * | 2010-12-24 | 2018-05-16 | Mitsubishi Electric Corporation | Signature generating device, method of generating signature, and recording medium |
US8681992B2 (en) | 2012-02-13 | 2014-03-25 | Alephcloud Systems, Inc. | Monitoring and controlling access to electronic content |
US9219715B2 (en) | 2012-02-13 | 2015-12-22 | PivotCloud, Inc. | Mediator utilizing electronic content to enforce policies to a resource |
US8731203B2 (en) | 2012-02-13 | 2014-05-20 | Alephcloud Systems, Inc. | Securing a secret of a user |
US9172711B2 (en) | 2012-02-13 | 2015-10-27 | PivotCloud, Inc. | Originator publishing an attestation of a statement |
US9092780B2 (en) | 2012-02-13 | 2015-07-28 | PivotCloud, Inc. | User-mediator monitoring and controlling access to electronic content |
EP2846492A1 (en) * | 2013-09-05 | 2015-03-11 | Thomson Licensing | Cryptographic group signature methods and devices |
US9264221B2 (en) * | 2014-01-31 | 2016-02-16 | Google Inc. | Systems and methods for faster public key encryption using the associated private key portion |
US10104088B2 (en) | 2016-09-28 | 2018-10-16 | International Business Machines Corporation | Traitor tracing for obfuscated credentials |
CN107579819B (zh) * | 2017-09-13 | 2019-11-19 | 何德彪 | 一种sm9数字签名生成方法及*** |
CN108833107B (zh) * | 2018-05-19 | 2021-06-11 | 深圳市图灵奇点智能科技有限公司 | 零知识证明的公共参数生成方法及*** |
CN108667626B (zh) * | 2018-07-20 | 2020-03-03 | 陕西师范大学 | 安全的两方协作sm2签名方法 |
US10972274B2 (en) * | 2018-08-29 | 2021-04-06 | International Business Machines Corporation | Trusted identity solution using blockchain |
FR3091107A1 (fr) * | 2018-12-24 | 2020-06-26 | Orange | Procédé et système de génération de clés pour un schéma de signatures anonymes |
CN109600233B (zh) * | 2019-01-15 | 2021-06-08 | 西安电子科技大学 | 基于sm2数字签名算法的群签名标识签发方法 |
CN110311782B (zh) * | 2019-04-29 | 2020-04-14 | 山东工商学院 | 个人信息的零知识证明方法、***及存储介质 |
CN115812315A (zh) * | 2020-07-21 | 2023-03-17 | 哈曼国际工业有限公司 | 用于自主车辆中的数据安全的***和方法 |
KR102439195B1 (ko) * | 2022-05-03 | 2022-08-31 | 세종대학교산학협력단 | 다중 서명 생성 방법 및 시스템과 이를 수행하기 위한 컴퓨팅 장치 |
US20230388280A1 (en) * | 2022-05-25 | 2023-11-30 | CybXSecurity LLC | System, Method, and Computer Program Product for Generating Secure Messages for Messaging |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2005210638A (ja) * | 2004-01-26 | 2005-08-04 | Toshiba Corp | デジタル署名システム、デジタル署名管理装置、デジタル署名管理方法及びプログラム |
WO2006077700A1 (ja) * | 2005-01-21 | 2006-07-27 | Nec Corporation | グループ署名方式 |
WO2006085430A1 (ja) * | 2005-02-10 | 2006-08-17 | Nec Corporation | メンバー証明書獲得装置、メンバー証明書発行装置、グループ署名装置、グループ署名検証装置 |
WO2007010903A1 (ja) * | 2005-07-19 | 2007-01-25 | Nec Corporation | 鍵発行方法、グループ署名システム |
Family Cites Families (24)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE3833309A1 (de) * | 1987-09-30 | 1989-04-20 | Toshiba Kawasaki Kk | Bildverarbeitungseinrichtung |
JP3053106B2 (ja) * | 1990-11-02 | 2000-06-19 | 株式会社日立製作所 | 暗号化処理装置、及び復号化処理装置 |
US6243467B1 (en) * | 1998-07-23 | 2001-06-05 | The United States Of America As Represented By The National Security Agency | Method of elliptic curve cryptographic digital signature generation and verification using reduced base tau expansion in non-adjacent form |
JP2001202013A (ja) * | 2000-01-21 | 2001-07-27 | Nec Corp | 匿名参加権限管理システム |
US6584566B1 (en) * | 1998-08-27 | 2003-06-24 | Nortel Networks Limited | Distributed group key management for multicast security |
US6240188B1 (en) * | 1999-07-06 | 2001-05-29 | Matsushita Electric Industrial Co., Ltd. | Distributed group key management scheme for secure many-to-many communication |
US7269728B1 (en) * | 1999-09-21 | 2007-09-11 | Nortel Networks Limited | Apparatus and method for distributing management keys in a multicast domain |
US7181017B1 (en) * | 2001-03-23 | 2007-02-20 | David Felsher | System and method for secure three-party communications |
KR100395158B1 (ko) * | 2001-07-12 | 2003-08-19 | 한국전자통신연구원 | 유한 비가환군을 이용한 공개키 암호 시스템 |
US8098818B2 (en) * | 2003-07-07 | 2012-01-17 | Qualcomm Incorporated | Secure registration for a multicast-broadcast-multimedia system (MBMS) |
US20050086481A1 (en) * | 2003-10-15 | 2005-04-21 | Cisco Technology, Inc. | Naming of 802.11 group keys to allow support of multiple broadcast and multicast domains |
US7590236B1 (en) * | 2004-06-04 | 2009-09-15 | Voltage Security, Inc. | Identity-based-encryption system |
CN1773905B (zh) * | 2004-11-10 | 2010-08-18 | 日电(中国)有限公司 | 在安全通信***中生成匿名公钥的方法、设备和*** |
US8028171B2 (en) * | 2005-01-21 | 2011-09-27 | Nec Corporation | Signature apparatus, verifying apparatus, proving apparatus, encrypting apparatus, and decrypting apparatus |
US20070016584A1 (en) * | 2005-07-15 | 2007-01-18 | Grell Mathew L | Group access without using an administrator |
US8306026B2 (en) * | 2005-12-15 | 2012-11-06 | Toshiba America Research, Inc. | Last hop topology sensitive multicasting key management |
US7477738B2 (en) * | 2005-12-21 | 2009-01-13 | General Instrument Corporation | Data sequence encryption and decryption |
US20070157212A1 (en) * | 2006-01-04 | 2007-07-05 | Berg Douglas C | Context key routing for parallel processing in an application serving environment |
CN101106449B (zh) * | 2006-07-13 | 2010-05-12 | 华为技术有限公司 | 实现多方通信安全的***和方法 |
CN101155027B (zh) * | 2006-09-27 | 2012-07-04 | 华为技术有限公司 | 密钥共享方法和*** |
EP2154667A4 (en) * | 2007-05-25 | 2015-11-11 | Nec Corp | KEY EXCHANGE DEVICE AND KEY EXCHANGE METHOD |
JP2009026407A (ja) * | 2007-07-20 | 2009-02-05 | Toshiba Corp | 情報記録媒体 |
US8189789B2 (en) * | 2008-11-03 | 2012-05-29 | Telcordia Technologies, Inc. | Intrusion-tolerant group management for mobile ad-hoc networks |
US8094823B1 (en) * | 2008-12-24 | 2012-01-10 | Rockstar Bidco, LP | Extended diffie-hellman group key generation |
-
2007
- 2007-07-11 JP JP2009522460A patent/JP5060556B2/ja active Active
- 2007-07-11 CN CN200780053725.5A patent/CN101689993B/zh active Active
- 2007-07-11 KR KR1020107000205A patent/KR101099814B1/ko active IP Right Grant
- 2007-07-11 WO PCT/JP2007/063824 patent/WO2009008069A1/ja active Application Filing
-
2010
- 2010-01-08 US US12/684,606 patent/US8200977B2/en active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2005210638A (ja) * | 2004-01-26 | 2005-08-04 | Toshiba Corp | デジタル署名システム、デジタル署名管理装置、デジタル署名管理方法及びプログラム |
WO2006077700A1 (ja) * | 2005-01-21 | 2006-07-27 | Nec Corporation | グループ署名方式 |
WO2006085430A1 (ja) * | 2005-02-10 | 2006-08-17 | Nec Corporation | メンバー証明書獲得装置、メンバー証明書発行装置、グループ署名装置、グループ署名検証装置 |
WO2007010903A1 (ja) * | 2005-07-19 | 2007-01-25 | Nec Corporation | 鍵発行方法、グループ署名システム |
Also Published As
Publication number | Publication date |
---|---|
CN101689993B (zh) | 2013-02-27 |
KR101099814B1 (ko) | 2011-12-27 |
CN101689993A (zh) | 2010-03-31 |
US20100169656A1 (en) | 2010-07-01 |
JPWO2009008069A1 (ja) | 2010-09-02 |
KR20100018043A (ko) | 2010-02-16 |
US8200977B2 (en) | 2012-06-12 |
WO2009008069A1 (ja) | 2009-01-15 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP5060556B2 (ja) | グループ署名システム、装置及びプログラム | |
JP4764447B2 (ja) | グループ署名システム、装置及びプログラム | |
Boneh et al. | Chosen-ciphertext security from identity-based encryption | |
Liu et al. | Certificateless signcryption scheme in the standard model | |
Shahandashti et al. | Threshold attribute-based signatures and their application to anonymous credential systems | |
Brown et al. | Provably secure implicit certificate schemes | |
Tso et al. | Strongly secure certificateless short signatures | |
Tso et al. | Efficient and short certificateless signatures secure against realistic adversaries | |
Huang et al. | Short (identity-based) strong designated verifier signature schemes | |
Brickell et al. | Enhanced privacy ID from bilinear pairing | |
Lu et al. | Sequential aggregate signatures, multisignatures, and verifiably encrypted signatures without random oracles | |
JP4973193B2 (ja) | 制限付ブラインド署名システム | |
Kiayias et al. | Concurrent blind signatures without random oracles | |
Ateniese et al. | A provably secure Nyberg-Rueppel signature variant with applications | |
Ren et al. | Generalized ring signatures | |
Tang et al. | Towards provably secure proxy signature scheme based on isomorphisms of polynomials | |
Tso | A new way to generate a ring: Universal ring signature | |
Tian et al. | A systematic method to design strong designated verifier signature without random oracles | |
Liu et al. | Fair exchange signature schemes | |
Tian et al. | A non-delegatable strong designated verifier signature without random oracles | |
Feng et al. | Generic constructions for strong designated verifier signature | |
Tian et al. | A short non-delegatable strong designated verifier signature | |
Li et al. | An efficient certificate-based designated verifier signature scheme | |
Dent | A brief history of provably-secure public-key encryption | |
Gao et al. | Round-optimal ID-based blind signature schemes without ROS assumption |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20120622 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20120710 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120803 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150810 Year of fee payment: 3 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5060556 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |