JP5448864B2

JP5448864B2 - Commitment system, master device, transmission device, reception device, commitment method, program, recording medium

Info

Publication number: JP5448864B2
Application number: JP2010007937A
Authority: JP
Inventors: 陵西巻; 英一郎藤崎
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-01-18
Filing date: 2010-01-18
Publication date: 2014-03-19
Anticipated expiration: 2030-01-18
Also published as: JP2011145591A

Description

本発明は、非対話型かつ共通参照情報が再利用可能で、頑強なコミットメントを実現するコミットメントシステム、マスター装置、送信装置、受信装置、コミットメント方法、プログラム、記録媒体に関する。 The present invention relates to a commitment system, a master device, a transmission device, a reception device, a commitment method, a program, and a recording medium that realize a robust commitment in which non-interactive and common reference information can be reused.

代表的な非対話型かつ共通参照情報が再利用可能で頑強なコミットメント方式として、非特許文献１，２，３がある。非特許文献１は、安全性が強ＲＳＡ仮定という強い仮定に基づいている。非特許文献２は、安全性が強ＲＳＡ仮定またはＤＳＡ仮定という強い仮定に基づいている。非特許文献３は、安全性が強ＲＳＡまたはｑ−強ＤＨ仮定という強い仮定に基づいている。 Non-Patent Documents 1, 2 and 3 are representative non-interactive and common commitment information reusable and robust commitment methods. Non-Patent Document 1 is based on a strong assumption that safety is a strong RSA assumption. Non-Patent Document 2 is based on a strong assumption that safety is a strong RSA assumption or a DSA assumption. Non-Patent Document 3 is based on the strong assumption that safety is a strong RSA or q-strong DH assumption.

I. Damgard and J. Groth, “Non-interactive and reusable non-malleable commitment schemes,” In STOC, pp.426-437, ACM, 2003.I. Damgard and J. Groth, “Non-interactive and reusable non-malleable commitment schemes,” In STOC, pp.426-437, ACM, 2003. P.D. MacKenzie and K. Yang, “On Simulation-Sound Trapdoor Commitments,” In EUROCRYPT, volume 3027 of Lecture Notes in Computer Science, pp.382-400, Springer, 2004.P.D.MacKenzie and K. Yang, “On Simulation-Sound Trapdoor Commitments,” In EUROCRYPT, volume 3027 of Lecture Notes in Computer Science, pp.382-400, Springer, 2004. R. Gennaro, “Multi-trapdoor Commitments and Their Applications to Proofs of Knowledge Secure Under Concurrent Man-in-the-Middle Attacks,” In CRYPTO, volume 3152 of Lecture Notes in Computer Science, pp. 220-236, Springer, 2004.R. Gennaro, “Multi-trapdoor Commitments and Their Applications to Proofs of Knowledge Secure Under Concurrent Man-in-the-Middle Attacks,” In CRYPTO, volume 3152 of Lecture Notes in Computer Science, pp. 220-236, Springer, 2004 .

しかしながら、従来技術は全て強い仮定に基づいて安全性を達しているため、仮定が標準的ではなく、安全性の信頼性が低いという課題がある。 However, since all of the conventional techniques achieve safety based on strong assumptions, the assumptions are not standard, and there is a problem that reliability of safety is low.

本発明は、非対話型かつ共通参照情報が再利用可能で、ＲＳＡ仮定または計算ＤＨ仮定という標準的な仮定に基づいて安全性を達成できる頑強なコミットメント方式を提供することを目的とする。 It is an object of the present invention to provide a robust commitment scheme in which non-interactive and common reference information can be reused and security can be achieved based on standard assumptions, RSA assumptions or computational DH assumptions.

本発明のコミットメントシステムは、送信装置、受信装置、マスター装置で構成される。マスター装置は、少なくともマスター公開鍵ＰＫとハッシュ関数Ｈを含む共通参照情報ｃｒｓを生成し、送信装置と受信装置に送信する共通参照情報生成部を備える。送信装置は、送信入力部、乱数生成部、ワンタイム署名鍵生成部、コミットメント要素生成部、ワンタイム署名生成部、コミットメント送信部、デコミットメント送信部を備える。送信入力部は、共通参照情報ｃｒｓと文書ｍとを受け取る。乱数生成部は、乱数ｒを生成する。ワンタイム署名鍵生成部は、ワンタイム署名の署名検証鍵ｖｋ_０と署名生成鍵ｓｋ_０とを生成する。コミットメント要素生成部は、Ｈ（ｖｋ_０）をマルチトラップドアコミットメントの個別公開鍵ｐｋとし、文書ｍをコミットするために、マスター公開鍵ＰＫ、個別公開鍵ｐｋ、文書ｍ、乱数ｒを用いてコミットメント要素Ｃ、デコミットメント要素Ｄを求める。ワンタイム署名生成部は、コミットメント要素Ｃに対するワンタイム署名σ_０を、署名生成鍵ｓｋ_０を用いて生成する。コミットメント送信部は、コミットメント要素Ｃと署名検証鍵ｖｋ_０を含むコミットメントｃｏｍを、受信装置に送信する。デコミットメント送信部は、デコミットメント要素Ｄと文書ｍとワンタイム署名σ_０を含むデコミットメントｄｅｃを、受信装置に送信する。受信装置は、受信入力部、ワンタイム署名検証部、コミットメント検証部を備える。受信入力部は、共通参照情報ｃｒｓと、コミットメント要素Ｃ’と署名検証鍵ｖｋ_０’を含むコミットメントｃｏｍと、デコミットメント要素Ｄ’と文書ｍ’とワンタイム署名σ_０’を含むデコミットメントｄｅｃとを受け取る。ワンタイム署名検証部は、署名検証鍵ｖｋ_０’を用いて、コミットメント要素Ｃ’に対するワンタイム署名σ_０’の正当性を検証する。コミットメント検証部は、マルチトラップドアコミットメントの検証アルゴリズムによって、コミットメント要素Ｃ’とデコミットメント要素Ｄ’の正当性を検証する。 The commitment system of the present invention includes a transmission device, a reception device, and a master device. The master device includes a common reference information generation unit that generates common reference information crs including at least the master public key PK and the hash function H, and transmits the common reference information crs to the transmission device and the reception device. The transmission apparatus includes a transmission input unit, a random number generation unit, a one-time signature key generation unit, a commitment element generation unit, a one-time signature generation unit, a commitment transmission unit, and a decommission transmission unit. The transmission input unit receives the common reference information crs and the document m. The random number generation unit generates a random number r. The one-time signature key generation unit generates a signature verification key vk ₀ and a signature generation key sk ₀ for a one-time signature. The commitment element generation unit uses H (vk ₀ ) as the individual public key pk of the multi-trap door commitment, and uses the master public key PK, the individual public key pk, the document m, and the random number r to commit the document m. Element C and decommitment element D are obtained. The one-time signature generation unit generates a one-time signature σ ₀ for the commitment element C using the signature generation key sk ₀ . The commitment transmission unit transmits a commitment com including the commitment element C and the signature verification key vk ₀ to the receiving device. The decommitment transmission unit transmits a decommitment dec including the decommitment element D, the document m, and the one-time signature σ ₀ to the receiving device. The receiving apparatus includes a reception input unit, a one-time signature verification unit, and a commitment verification unit. The reception input unit includes common reference information crs, a commitment com including a commitment element C ′ and a signature verification key vk ₀ ′, a decommissioning element D ′, a document m ′, and a decommitment dec including a one-time signature σ ₀ ′. Receive. The one-time signature verification unit verifies the validity of the one-time signature σ ₀ ′ with respect to the commitment element C ′ using the signature verification key vk ₀ ′. The commitment verification unit verifies the validity of the commitment element C ′ and the decommitment element D ′ by using a multi-trap door commitment verification algorithm.

本発明のコミットメントシステムは、マルチトラップドアコミットメントの構成が、弱選択文書攻撃に対して存在的偽造不可能な署名方式を利用している。また、マスター公開鍵ＰＫが署名方式の検証鍵に、マスタートラップドアが署名方式の署名鍵に、個別公開鍵が署名方式の文書に、個別公開鍵のトラップドアが署名方式の署名にそれぞれ対応している。つまり、コミットメントの拘束性を破ることがトラップドアの取得と等価となっている。本発明のコミットメントシステムは、ＲＳＡ仮定または計算ＤＨ仮定が成立しているならば、非対話型かつ共通参照情報が再利用可能で頑強なコミットメント方式である。よって、本発明のコミットメントシステムによれば、非対話型かつ共通参照情報が再利用可能で、ＲＳＡ仮定または計算ＤＨ仮定という標準的な仮定に基づいて安全性を達成できる頑強なコミットメント方式を提供できる。 The commitment system of the present invention uses a signature scheme in which the structure of the multi-trap door commitment cannot exist forgery against weakly selected document attacks. The master public key PK corresponds to the signature method verification key, the master trap door corresponds to the signature method signature key, the individual public key corresponds to the signature method document, and the individual public key trap door corresponds to the signature method signature. ing. In other words, breaking the constraint of commitment is equivalent to acquiring a trapdoor. The commitment system of the present invention is a robust commitment method that is non-interactive and allows the common reference information to be reused if the RSA assumption or the calculation DH assumption holds. Therefore, according to the commitment system of the present invention, it is possible to provide a robust commitment method in which non-interactive and common reference information can be reused and safety can be achieved based on the standard assumption of RSA assumption or calculation DH assumption. .

実施例１のコミットメントシステムの構成例を示す図。1 is a diagram illustrating a configuration example of a commitment system according to a first embodiment. 実施例１のコミットメントシステムの処理フローを示す図。The figure which shows the processing flow of the commitment system of Example 1. FIG. 実施例２のコミットメントシステムの構成例を示す図。FIG. 6 is a diagram illustrating a configuration example of a commitment system according to a second embodiment. 実施例２のコミットメントシステムの処理フローを示す図。The figure which shows the processing flow of the commitment system of Example 2. FIG. 実施例３のコミットメントシステムの構成例を示す図。FIG. 10 is a diagram illustrating a configuration example of a commitment system according to a third embodiment. 実施例３のコミットメントシステムの処理フローを示す図。The figure which shows the processing flow of the commitment system of Example 3. FIG.

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。 Hereinafter, embodiments of the present invention will be described in detail. In addition, the same number is attached | subjected to the structure part which has the same function, and duplication description is abbreviate | omitted.

図１に実施例１のコミットメントシステムの構成例を、図２に実施例１のコミットメントシステムの処理フローを示す。本実施例のコミットメントシステムは、送信装置２００、受信装置３００、マスター装置１００で構成され、各装置はネットワーク１０００で接続されている。マスター装置１００は、少なくともマスター公開鍵ＰＫとハッシュ関数Ｈを含む共通参照情報ｃｒｓを生成し、送信装置と受信装置に送信する共通参照情報生成部１５０、マスター記録部１９０を備える。送信装置２００は、送信入力部２１０、乱数生成部２２０、ワンタイム署名鍵生成部２３０、コミットメント要素生成部２４０、ワンタイム署名生成部２５０、コミットメント送信部２６０、デコミットメント送信部２７０、送信記録部２９０を備える。受信装置３００は、受信入力部３１０、ワンタイム署名検証部３２０、コミットメント検証部３３０、受信記録部３９０を備える。 FIG. 1 shows a configuration example of the commitment system of the first embodiment, and FIG. 2 shows a processing flow of the commitment system of the first embodiment. The commitment system according to this embodiment includes a transmission device 200, a reception device 300, and a master device 100, and each device is connected by a network 1000. The master device 100 includes a common reference information generation unit 150 and a master recording unit 190 that generate common reference information crs including at least the master public key PK and the hash function H and transmit the common reference information crs to the transmission device and the reception device. The transmission apparatus 200 includes a transmission input unit 210, a random number generation unit 220, a one-time signature key generation unit 230, a commitment element generation unit 240, a one-time signature generation unit 250, a commitment transmission unit 260, a decommission transmission unit 270, and a transmission recording unit. 290. The reception apparatus 300 includes a reception input unit 310, a one-time signature verification unit 320, a commitment verification unit 330, and a reception recording unit 390.

封フェーズでは、マスター装置１００の共通参照情報生成部１５０が、マスター公開鍵ＰＫとハッシュ関数Ｈを含む共通参照情報ｃｒｓを生成し、マスター記録部１９０に記録し、送信装置２００と受信装置３００に送信する（Ｓ１５０）。送信装置２００の送信入力部２１０は、共通参照情報ｃｒｓと文書ｍとを受け取り、送信記録部２９０に記録する（Ｓ２１０）。また、受信装置３００の受信入力部も、共通参照情報ｃｒｓを受け取り、受信記録部３９０に記録する（Ｓ３１１）。 In the sealing phase, the common reference information generation unit 150 of the master device 100 generates common reference information crs including the master public key PK and the hash function H, records the common reference information crs in the master recording unit 190, and transmits the common reference information crs to the transmission device 200 and the reception device 300. Transmit (S150). The transmission input unit 210 of the transmission device 200 receives the common reference information crs and the document m and records them in the transmission recording unit 290 (S210). The reception input unit of the reception device 300 also receives the common reference information crs and records it in the reception recording unit 390 (S311).

送信装置２００の乱数生成部２２０が、乱数ｒを生成し、送信記録部２９０に記録する（Ｓ２２０）。ワンタイム署名鍵生成部２３０が、ワンタイム署名の署名検証鍵ｖｋ_０と署名生成鍵ｓｋ_０とを生成し、送信記録部２９０に記録する（Ｓ２３０）。コミットメント要素生成部２４０が、Ｈ（ｖｋ_０）をマルチトラップドアコミットメントの個別公開鍵ｐｋとし、文書ｍをコミットするために、マスター公開鍵ＰＫ、個別公開鍵ｐｋ、文書ｍ、乱数ｒを用いてコミットメント要素Ｃ、デコミットメント要素Ｄを求め、送信記録部２９０に記録する（Ｓ２４０）。ワンタイム署名生成部２５０は、コミットメント要素Ｃに対するワンタイム署名σ_０を、署名生成鍵ｓｋ_０を用いて生成し、送信記録部２９０に記録する（Ｓ２５０）。コミットメント送信部２６０は、コミットメント要素Ｃと署名検証鍵ｖｋ_０を含むコミットメントｃｏｍを、受信装置３００に送信する（Ｓ２６０）。そして、受信装置３００の受信入力部３１０が、コミットメント要素Ｃ’と署名検証鍵ｖｋ_０’を含むコミットメントｃｏｍを受信し、受信記録部３９０に記録する（Ｓ３１２）。 The random number generation unit 220 of the transmission device 200 generates a random number r and records it in the transmission recording unit 290 (S220). The one-time signature key generation unit 230 generates a signature verification key vk ₀ and a signature generation key sk ₀ for the one-time signature, and records them in the transmission recording unit 290 (S230). The commitment element generation unit 240 uses H (vk ₀ ) as the individual public key pk of the multi-trap door commitment and uses the master public key PK, the individual public key pk, the document m, and the random number r to commit the document m. The commitment element C and the decommitment element D are obtained and recorded in the transmission recording unit 290 (S240). The one-time signature generation unit 250 generates a one-time signature σ ₀ for the commitment element C using the signature generation key sk ₀ and records it in the transmission recording unit 290 (S250). The commitment transmission unit 260 transmits a commitment com including the commitment element C and the signature verification key vk ₀ to the reception device 300 (S260). Then, the reception input unit 310 of the reception device 300 receives the commitment com including the commitment element C ′ and the signature verification key vk ₀ ′ and records it in the reception recording unit 390 (S312).

開封フェーズでは、送信装置２００のデコミットメント送信部２７０が、デコミットメント要素Ｄと文書ｍとワンタイム署名σ_０を含むデコミットメントｄｅｃを、受信装置３００に送信する（Ｓ２７０）。受信装置３００の受信入力部３１０は、デコミットメント要素Ｄ’と文書ｍ’とワンタイム署名σ_０’を含むデコミットメントｄｅｃを受信し、受信記録部３９０に記録する（Ｓ３１３）。ワンタイム署名検証部３２０は、署名検証鍵ｖｋ_０’を用いて、コミットメント要素Ｃ’に対するワンタイム署名σ_０’の正当性を検証する（Ｓ３２０）。コミットメント検証部３３０は、マルチトラップドアコミットメントの検証アルゴリズムによって、コミットメント要素Ｃ’とデコミットメント要素Ｄ’の正当性を検証する（Ｓ３３０）。なお、ステップＳ３２０，Ｓ３３０の検証が失敗した場合には、エラーを出力し、処理を中止すればよい。 In the unsealing phase, the decommitment transmission unit 270 of the transmission device 200 transmits the decommitment dec including the decommitment element D, the document m, and the one-time signature σ ₀ to the reception device 300 (S270). The reception input unit 310 of the reception apparatus 300 receives the decommitment dec including the decommitment element D ′, the document m ′, and the one-time signature σ ₀ ′, and records it in the reception recording unit 390 (S313). The one-time signature verification unit 320 verifies the validity of the one-time signature σ ₀ ′ with respect to the commitment element C ′ using the signature verification key vk ₀ ′ (S320). The commitment verification unit 330 verifies the legitimacy of the commitment element C ′ and the decommissioning element D ′ using a multi-trap door commitment verification algorithm (S330). In addition, when verification of step S320, S330 fails, an error should be output and a process should be stopped.

本実施例のコミットメントシステムは、マルチトラップドアコミットメントの構成が、弱選択文書攻撃に対して存在的偽造不可能な署名方式を利用している。また、マスター公開鍵ＰＫが署名方式の検証鍵に、マスタートラップドアが署名方式の署名鍵に、個別公開鍵が署名方式の文書に、個別公開鍵のトラップドアが署名方式の署名にそれぞれ対応している。つまり、コミットメントの拘束性を破ることがトラップドアの取得と等価となっている。本実施例のコミットメントシステムは、ＲＳＡ仮定または計算ＤＨ仮定が成立しているならば、非対話型かつ共通参照情報が再利用可能で頑強なコミットメント方式である。 The commitment system of the present embodiment uses a signature scheme in which the configuration of the multi-trap door commitment does not exist forgery against weakly selected document attacks. The master public key PK corresponds to the signature method verification key, the master trap door corresponds to the signature method signature key, the individual public key corresponds to the signature method document, and the individual public key trap door corresponds to the signature method signature. ing. In other words, breaking the constraint of commitment is equivalent to acquiring a trapdoor. The commitment system according to the present embodiment is a robust commitment method in which non-interactive and common reference information can be reused if the RSA assumption or the calculation DH assumption is established.

図３に実施例２のコミットメントシステムの構成例を、図４に実施例２のコミットメントシステムの処理フローを示す。本実施例のコミットメントシステムは、送信装置５００、受信装置６００、マスター装置４００で構成され、各装置はネットワーク１０００で接続されている。マスター装置４００は、ＲＳＡモジュラス部４１０、マスター選定部４２０、関数定義部４３０、マスター鍵生成部４４０、共通参照情報生成部４５０、マスター記録部４９０を備える。送信装置５００は、送信入力部５１０、乱数生成部２２０、ワンタイム署名鍵生成部２３０、コミットメント要素生成部５４０、ワンタイム署名生成部２５０、コミットメント送信部２６０、デコミットメント送信部２７０、送信記録部５９０を備える。受信装置６００は、受信入力部６１０、ワンタイム署名検証部３２０、コミットメント検証部６３０、受信記録部６９０を備える。なお、本実施例では、λはセキュリティパラメータ、ｆは１^λに依存する整数、ｐ、ｑは互いに異なるλビットの奇素数、Ｆは任意ビットのビット列をｆビットのビット列に変換する擬似ランダム関数とする。 FIG. 3 shows a configuration example of the commitment system of the second embodiment, and FIG. 4 shows a processing flow of the commitment system of the second embodiment. The commitment system according to this embodiment includes a transmission device 500, a reception device 600, and a master device 400, and each device is connected by a network 1000. The master device 400 includes an RSA modulus unit 410, a master selection unit 420, a function definition unit 430, a master key generation unit 440, a common reference information generation unit 450, and a master recording unit 490. The transmission apparatus 500 includes a transmission input unit 510, a random number generation unit 220, a one-time signature key generation unit 230, a commitment element generation unit 540, a one-time signature generation unit 250, a commitment transmission unit 260, a decommission transmission unit 270, and a transmission recording unit. 590. The receiving device 600 includes a reception input unit 610, a one-time signature verification unit 320, a commitment verification unit 630, and a reception recording unit 690. In this embodiment, λ is a security parameter, f is an integer depending on 1 ^λ , p and q are odd prime numbers of λ bits, and F is a pseudo-random function for converting a bit string of arbitrary bits into a bit string of f bits. And

封フェーズでは、マスター装置４００のＲＳＡモジュラス部４１０が、
２^ｆ＜φ（Ｎ）＝（ｐ−１）（ｑ−１）＜２^ｆ＋２
であるＲＳＡモジュラスＮ＝ｐｑを求め、出力するとともに、マスター記録部４９０に記録する（Ｓ４１０）。マスター選定部４２０が、１以上Ｎ−１以下の任意の整数ｈと、擬似ランダム関数Ｆの鍵Ｋと、ｆビットのビット列ｃとをランダムに選び、マスター記録部４９０に記録する（Ｓ４２０）。関数定義部４３０が、関数Ｐ_Ｋ，ｃを、 In the sealing phase, the RSA modulus section 410 of the master device 400 is
2 ^f <φ (N) = (p−1) (q−1) <2 ^{f + 2}
RSA modulus N = pq is calculated and output and recorded in the master recording unit 490 (S410). The master selection unit 420 randomly selects an arbitrary integer h of 1 or more and N−1 or less, the key K of the pseudo random function F, and the bit string c of f bits, and records them in the master recording unit 490 (S420). The function definition unit 430 converts the function P _{K, c} into

のように定義し、マスター記録部４９０に記録する（Ｓ４３０）。マスター鍵生成部４４０が、（Ｎ，ｈ，ｃ，Ｋ）をマスター公開鍵ＰＫとし、（ｐ，ｑ，ＰＫ）をマスタートラップドアＴＫとし、マスター記録部４９０に記録する（Ｓ４４０）。共通参照情報生成部４５０が、マスター公開鍵ＰＫとＪビットのビット列を出力するハッシュ関数Ｈを含む共通参照情報ｃｒｓを生成し、送信装置５００と受信装置６００に送信する（Ｓ４５０）。送信装置５００の送信入力部５１０は、共通参照情報ｃｒｓと文書ｍとを受け取り、送信記録部５９０に記録する（Ｓ５１０）。また、受信装置６００の受信入力部も、共通参照情報ｃｒｓを受け取り、受信記録部６９０に記録する（Ｓ６１１）。 And is recorded in the master recording unit 490 (S430). The master key generation unit 440 records (N, h, c, K) as the master public key PK and (p, q, PK) as the master trap door TK, and records them in the master recording unit 490 (S440). The common reference information generation unit 450 generates common reference information crs including a hash function H that outputs a master public key PK and a J-bit bit string, and transmits the common reference information crs to the transmission device 500 and the reception device 600 (S450). The transmission input unit 510 of the transmission device 500 receives the common reference information crs and the document m and records them in the transmission recording unit 590 (S510). The reception input unit of the reception device 600 also receives the common reference information crs and records it in the reception recording unit 690 (S611).

乱数生成部２２０が、乱数ｒを生成し、送信記録部５９０に記録する（Ｓ２２０）。ワンタイム署名鍵生成部２３０が、ワンタイム署名の署名検証鍵ｖｋ_０と署名生成鍵ｓｋ_０とを生成し、送信記録部５９０に記録する（Ｓ２３０）。コミットメント要素生成部５４０が、
（１）Ｈ（ｖｋ_０）を個別公開鍵ｐｋとし、
（２）ｅ_ｊ＝Ｐ_Ｋ，ｃ（ｐｋ^（ｊ））、ただしｐｋ^（ｊ）はｐｋの先頭のｊビット
をｊ＝１からｊ＝Ｊまで計算し、ｅ_ｍｉｎをｅ_１，…，ｅ_Ｊのうちで最小の値とし、
（３）ｍ_ｊ＝ｍｍｏｄｅ_ｊ
をｊ＝１からｊ＝Ｊまで計算し、
（４）Ｍｍｏｄｅ_ｊ＝ｍ_ｊ
がすべてのｊに対して成り立つＭを０以上 The random number generation unit 220 generates a random number r and records it in the transmission recording unit 590 (S220). The one-time signature key generation unit 230 generates a signature verification key vk ₀ and a signature generation key sk ₀ for the one-time signature, and records them in the transmission recording unit 590 (S230). The commitment element generation unit 540
(1) Let H (vk ₀ ) be an individual public key pk,
(2) e _j = P _{K, c} (pk ^(j) ), where pk ^(j) calculates the first j bits of pk from j = 1 to j = J, and e _{min is set} to e ₁ ,. _J is the smallest value,
(3) m _j = m mod e _j
Is calculated from j = 1 to j = J,
(4) M mod e _j = m _j
Is greater than or equal to 0 for all j

以下の整数の中から求め、
（５）０以上ｅ_ｍｉｎ−１以下の整数である文書ｍをコミットするために、コミットメント要素Ｃ、デコミットメント要素Ｄを、 Find from the following integers,
(5) In order to commit the document m which is an integer of 0 or more and e _min −1 or less, the commitment element C and the decommitment element D are

のように求め、送信記録部５９０に記録する（Ｓ５４０）。ワンタイム署名生成部２５０が、コミットメント要素Ｃに対するワンタイム署名σ_０を、署名生成鍵ｓｋ_０を用いて生成し、送信記録部５９０に記録する（Ｓ２５０）。コミットメント送信部２６０が、コミットメント要素Ｃと署名検証鍵ｖｋ_０を含むコミットメントｃｏｍを、受信装置６００に送信する（Ｓ２６０）。そして、受信装置６００の受信入力部６１０が、コミットメント要素Ｃ’と署名検証鍵ｖｋ_０’を含むコミットメントｃｏｍを受信し、受信記録部６９０に記録する（Ｓ６１２）。 And is recorded in the transmission recording unit 590 (S540). The one-time signature generation unit 250 generates a one-time signature σ ₀ for the commitment element C using the signature generation key sk ₀ and records it in the transmission recording unit 590 (S250). The commitment transmission unit 260 transmits a commitment com including the commitment element C and the signature verification key vk ₀ to the reception device 600 (S260). Then, the reception input unit 610 of the reception device 600 receives the commitment com including the commitment element C ′ and the signature verification key vk ₀ ′ and records it in the reception recording unit 690 (S612).

開封フェーズでは、送信装置５００のデコミットメント送信部２７０が、デコミットメント要素Ｄと文書ｍとワンタイム署名σ_０を含むデコミットメントｄｅｃを、受信装置６００に送信する（Ｓ２７０）。受信装置６００の受信入力部６１０は、デコミットメント要素Ｄ’＝（Ｍ’，ｒ’）と文書ｍ’とワンタイム署名σ_０’を含むデコミットメントｄｅｃを受信し、受信記録部６９０に記録する（Ｓ６１３）。ワンタイム署名検証部３２０が、署名検証鍵ｖｋ_０’を用いて、コミットメント要素Ｃ’に対するワンタイム署名σ_０’の正当性を検証する（Ｓ３２０）。コミットメント検証部６３０が、
（１）Ｈ（ｖｋ_０’）を個別公開鍵ｐｋ’とし、
（２）ｅ_ｊ’＝Ｐ_Ｋ，ｃ（ｐｋ’^（ｊ））、ただしｐｋ’^（ｊ）はｐｋ’の先頭のｊビット
および、
ｍ_ｊ’＝Ｍ’ ｍｏｄｅ_ｊ’
をｊ＝１からｊ＝Ｊまで計算し、
（３）ｍ_１’＝ｍ_２’＝，…，＝ｍ_Ｊ’
かつ In the unsealing phase, the decommitment transmission unit 270 of the transmission device 500 transmits the decommitment dec including the decommitment element D, the document m, and the one-time signature σ ₀ to the reception device 600 (S270). The reception input unit 610 of the reception apparatus 600 receives the decommitment dec including the decommitment element D ′ = (M ′, r ′), the document m ′, and the one-time signature σ ₀ ′, and records it in the reception recording unit 690. (S613). The one-time signature verification unit 320 uses the signature verification key vk ₀ ′ to verify the validity of the one-time signature σ ₀ ′ for the commitment element C ′ (S320). The commitment verification unit 630
(1) Let H (vk ₀ ′) be an individual public key pk ′,
(2) e _j ′ = P _{K, c} (pk ′ ^(j) ), where pk ′ ^(j) is the first j bits of pk ′ and
m _j '= M' mod e _j '
Is calculated from j = 1 to j = J,
(3) m ₁ '= m ₂ ' =, ..., = m _J '
And

であることを検証する（Ｓ６３０）。なお、ステップＳ３２０，Ｓ６３０の検証が失敗した場合には、エラーを出力し、処理を中止すればよい。 (S630). In addition, when verification of step S320, S630 fails, an error should be output and a process should be stopped.

本実施例のコミットメントシステムでは、送信装置５００が、トラップドアｔｄを In the commitment system of the present embodiment, the transmission device 500 sets the trap door td.

のように生成できる。また、Ｍ^〜を
ｍ_ｊ ^〜＝Ｍ^〜ｍｏｄｅ_ｊ
をｊ＝１からｊ＝Ｊまで計算したときに、
ｍ_１ ^〜＝ｍ_２ ^〜＝，…，＝ｍ_Ｊ ^〜
が成り立ち、かつ、Ｍ^〜≠Ｍとし、 Can be generated as follows. Also, let M ^~ be m _j ^~ = M ^~ mod e _j
Is calculated from j = 1 to j = J,
m ₁ ^~ = m ₂ ^~ =, ..., = m _J ^~
And M ^~ ≠ M,

とし、デコミットメント要素をＤ^〜＝（Ｍ^〜，ｒ^〜）とすると、 And the de-commitment element is D ^~ = (M ^~ , r ^~ ),

となる。つまり、両開きできる。このように、本実施例のコミットメントシステムは、マルチトラップドアコミットメントの６つのアルゴリズムを有している。 It becomes. In other words, it can be double-opened. Thus, the commitment system of the present embodiment has six algorithms for multi-trap door commitment.

本実施例のコミットメントシステムは、マルチトラップドアコミットメントの構成が、弱選択文書攻撃に対して存在的偽造不可能な署名方式を利用している。また、マスター公開鍵ＰＫが署名方式の検証鍵に、マスタートラップドアが署名方式の署名鍵に、個別公開鍵が署名方式の文書に、個別公開鍵のトラップドアが署名方式の署名にそれぞれ対応している。つまり、コミットメントの拘束性を破ることがトラップドアの取得と等価となっている。本実施例のコミットメントシステムは、ＲＳＡ仮定が成立しているならば、非対話型かつ共通参照情報が再利用可能で頑強なコミットメント方式である。 The commitment system of the present embodiment uses a signature scheme in which the configuration of the multi-trap door commitment does not exist forgery against weakly selected document attacks. The master public key PK corresponds to the signature method verification key, the master trap door corresponds to the signature method signature key, the individual public key corresponds to the signature method document, and the individual public key trap door corresponds to the signature method signature. ing. In other words, breaking the constraint of commitment is equivalent to acquiring a trapdoor. The commitment system of the present embodiment is a robust commitment method that is non-interactive and allows the common reference information to be reused if the RSA assumption is satisfied.

図５に実施例３のコミットメントシステムの構成例を、図６に実施例３のコミットメントシステムの処理フローを示す。本実施例のコミットメントシステムは、送信装置８００、受信装置９００、マスター装置７００で構成され、各装置はネットワーク１０００で接続されている。マスター装置７００は、マスター選定部７２０、マスター鍵生成部７４０、共通参照情報生成部７５０、マスター記録部７９０を備える。送信装置８００は、送信入力部８１０、乱数生成部８２０、ワンタイム署名鍵生成部２３０、コミットメント要素生成部８４０、ワンタイム署名生成部２５０、コミットメント送信部２６０、デコミットメント送信部２７０、送信記録部８９０を備える。受信装置９００は、受信入力部９１０、ワンタイム署名検証部３２０、コミットメント検証部９３０を備える。なお、本実施例では、λはセキュリティパラメータ、ＧとＧ_Ｔは２^λより大きい素数位数ｐの双線型群、Ｊはあらかじめ定めた正の整数、ＥはＧ×Ｇの元をＧ_Ｔの元に変換する双線型写像とする。 FIG. 5 shows a configuration example of the commitment system of the third embodiment, and FIG. 6 shows a processing flow of the commitment system of the third embodiment. The commitment system according to this embodiment includes a transmission device 800, a reception device 900, and a master device 700, and each device is connected by a network 1000. The master device 700 includes a master selection unit 720, a master key generation unit 740, a common reference information generation unit 750, and a master recording unit 790. The transmission apparatus 800 includes a transmission input unit 810, a random number generation unit 820, a one-time signature key generation unit 230, a commitment element generation unit 840, a one-time signature generation unit 250, a commitment transmission unit 260, a decommission transmission unit 270, and a transmission recording unit. 890. The reception device 900 includes a reception input unit 910, a one-time signature verification unit 320, and a commitment verification unit 930. In the present embodiment, lambda is the security parameter, G and G _T is 2 ^lambda greater than bilinear group prime order p, J is a positive predetermined integer, E is the original G × G of G _T The bilinear map to be converted to the original is used.

封フェーズでは、マスター装置７００のマスター選定部７２０が、０以上ｐ−１以下の整数ａと、群Ｇの生成元ｇと群Ｇの元ｖ_０，…，ｖ_Ｊをランダムに選び、マスター記録部７９０に記録する（Ｓ７２０）。マスター鍵生成部７４０が、（ｇ，ｖ_０，…，ｖ_Ｊ，Ｅ（ｇ，ｇ）^ａ）をマスター公開鍵ＰＫとし、ａをマスタートラップドアとし、マスター記録部７９０に記録する（Ｓ７４０）。共通参照情報生成部７５０が、マスター公開鍵ＰＫとＪビットのビット列を出力するハッシュ関数Ｈを含む共通参照情報ｃｒｓを生成し、送信装置８００と受信装置９００に送信する（Ｓ７５０）。送信装置８００の送信入力部８１０は、共通参照情報ｃｒｓと文書ｍとを受け取り、送信記録部８９０に記録する（Ｓ８１０）。また、受信装置９００の受信入力部も、共通参照情報ｃｒｓを受け取り、受信記録部９９０に記録する（Ｓ９１１）。 The sealing phase, the master selection unit 720 of the master device 700, and zero or more p-1 an integer a, the original _v 0 of generator g and the group G of the group G, ..., _{v J} randomly selected, master recording This is recorded in the part 790 (S720). The master key generation unit 740 records (g, v ₀ ,..., V _J , E (g, g) ^a ) as the master public key PK, a as the master trap door, and records it in the master recording unit 790 (S740). . The common reference information generation unit 750 generates common reference information crs including a hash function H that outputs a master public key PK and a J-bit bit string, and transmits the common reference information crs to the transmission device 800 and the reception device 900 (S750). The transmission input unit 810 of the transmission device 800 receives the common reference information crs and the document m and records them in the transmission recording unit 890 (S810). The reception input unit of the reception device 900 also receives the common reference information crs and records it in the reception recording unit 990 (S911).

乱数生成部８２０が、乱数ｒ_１，ｒ_２を生成し、送信記録部８９０に記録する（Ｓ８２０）。ワンタイム署名鍵生成部２３０が、ワンタイム署名の署名検証鍵ｖｋ_０と署名生成鍵ｓｋ_０とを生成し、送信記録部８９０に記録する（Ｓ２３０）。コミットメント要素生成部８４０が、
（１）Ｈ（ｖｋ_０）を個別公開鍵ｐｋとし、
（２）群Ｇの元ρ_１とρ_２をランダムに選定し、
（３）Ｅ（ρ_１，ｇ）をβ_１、Ｅ（ρ_２，Ｖ_ｐｋ ^−１）をβ_２、Ｅ（ｇ，ｇ）^ａをβ
ただし、 The random number generation unit 820 generates the random numbers r ₁ and r ₂ and records them in the transmission recording unit 890 (S820). The one-time signature key generation unit 230 generates a signature verification key vk ₀ and a signature generation key sk ₀ for the one-time signature, and records them in the transmission recording unit 890 (S230). The commitment element generation unit 840
(1) Let H (vk ₀ ) be an individual public key pk,
(2) randomly selecting elements ρ ₁ and ρ ₂ of group G;
(3) E (ρ ₁ , g) is β ₁ , E (ρ ₂ , V _pk ⁻¹ ) is β ₂ , E (g, g) ^a is β
However,

ｐｋ_ｊはｐｋのｊ番目のビット
とし、
（４）０以上ｐ−１以下の整数である文書ｍをコミットするために、コミットメント要素Ｃ、デコミットメント要素Ｄを、 pk _j is the jth bit of pk,
(4) In order to commit the document m which is an integer of 0 or more and p-1 or less, the commitment element C and the decommitment element D are

のように求め、送信記録部８９０に記録する（Ｓ８４０）。ワンタイム署名生成部２５０が、コミットメント要素Ｃに対するワンタイム署名σ_０を、署名生成鍵ｓｋ_０を用いて生成し、送信記録部８９０に記録する（Ｓ２５０）。コミットメント送信部２６０が、コミットメント要素Ｃと署名検証鍵ｖｋ_０を含むコミットメントｃｏｍを、受信装置９００に送信する（Ｓ２６０）。そして、受信装置９００の受信入力部９１０が、コミットメント要素Ｃ’と署名検証鍵ｖｋ_０’を含むコミットメントｃｏｍを受信し、受信記録部９９０に記録する（Ｓ９１２）。 And is recorded in the transmission recording unit 890 (S840). The one-time signature generation unit 250 generates a one-time signature σ ₀ for the commitment element C using the signature generation key sk ₀ and records it in the transmission recording unit 890 (S250). The commitment transmission unit 260 transmits a commitment com including the commitment element C and the signature verification key vk ₀ to the reception device 900 (S260). Then, the reception input unit 910 of the reception device 900 receives the commitment com including the commitment element C ′ and the signature verification key vk ₀ ′, and records it in the reception recording unit 990 (S912).

開封フェーズでは、送信装置８００のデコミットメント送信部２７０が、デコミットメント要素Ｄと文書ｍとワンタイム署名σ_０を含むデコミットメントｄｅｃを、受信装置９００に送信する（Ｓ２７０）。受信装置９００の受信入力部９１０は、デコミットメント要素Ｄ’＝（ｍ’，ｒ_１’，ｒ_２’）と文書ｍ’とワンタイム署名σ_０’を含むデコミットメントｄｅｃとを受信し、受信記録部９９０に記録する（Ｓ９１３）。ワンタイム署名検証部３２０が、署名検証鍵ｖｋ_０’を用いて、コミットメント要素Ｃ’に対するワンタイム署名σ_０’の正当性を検証する（Ｓ３２０）。コミットメント検証部９３０が、
（１）Ｈ（ｖｋ_０’）を個別公開鍵ｐｋ’とし、
（２）Ｅ（ρ_１’，ｇ）をβ_１’、Ｅ（ρ_２’，Ｖ_ｐｋ ^−１）をβ_２’、Ｅ（ｇ，ｇ）^ａをβ’とし、
（３） In the unsealing phase, the decommitment transmission unit 270 of the transmission device 800 transmits a decommitment dec including the decommitment element D, the document m, and the one-time signature σ ₀ to the reception device 900 (S270). The reception input unit 910 of the reception apparatus 900 receives and receives the decommitment element D ′ = (m ′, r ₁ ′, r ₂ ′), the document m ′, and the decommitment dec including the one-time signature σ ₀ ′. Recording is performed in the recording unit 990 (S913). The one-time signature verification unit 320 uses the signature verification key vk ₀ ′ to verify the validity of the one-time signature σ ₀ ′ for the commitment element C ′ (S320). The commitment verification unit 930
(1) Let H (vk ₀ ′) be an individual public key pk ′,
(2) E (ρ ₁ ′, g) is β ₁ ′, E (ρ ₂ ′, V _pk ⁻¹ ) is β ₂ ′, E (g, g) ^a is β ′,
(3)

であることを検証する（Ｓ９３０）。なお、ステップＳ３２０，Ｓ６３０の検証が失敗した場合には、エラーを出力し、処理を中止すればよい。 (S930). In addition, when verification of step S320, S630 fails, an error should be output and a process should be stopped.

本実施例のコミットメントシステムでは、送信装置５００が、トラップドアｔｄ＝（σ_１，σ_２）を生成できる。ここで、σ_１，σ_２は、 In the commitment system of the present embodiment, the transmission device 500 can generate the trap door td = (σ ₁ , σ ₂ ). Here, σ ₁ and σ ₂ are

ただし、ｐｋ_ｊはｐｋのｊ番目のビット、ｗは０以上ｐ−１以下からランダムに選ばれた整数
である。また、ｍ^〜をｍ^〜≠ｍ、ｒ⁻ _１とｒ⁻ _２を Here, pk _j is the j-th bit of pk, and w is an integer randomly selected from 0 to p−1. Further, ^{m ~} a ^{m ~} ≠ m, r ^- ₂ ^- ₁ and r

を満たす整数、ｒ^〜 _１とｒ^〜 _２を
ｒ^〜 _１＝ｒ_１−（ｍ^〜−ｍ）ｒ⁻ _１ｍｏｄｐ
ｒ^〜 _２＝ｒ_２−（ｍ^〜−ｍ）ｒ⁻ _２ｍｏｄｐ
とし、デコミットメント要素をＤ^〜＝（ｍ^〜，ｒ^〜 ₁，ｒ^〜 _２）とすると、 Integer ^{satisfying, r} _{~ 1} and ^r _{~ 2} the ^{_{_{^{r ~ 1 = r 1 - (}}}} m ~ -m) r - 1 mod p
^{_{_{^{r ~ 2 = r 2 - (}}}} m ~ -m) r - 2 mod p
And the de-commitment element is D ^~ = (m ^~ , r ^~ ₁ , r ^~ ₂ ),

本実施例のコミットメントシステムは、マルチトラップドアコミットメントの構成が、弱選択文書攻撃に対して存在的偽造不可能な署名方式を利用している。また、マスター公開鍵ＰＫが署名方式の検証鍵に、マスタートラップドアが署名方式の署名鍵に、個別公開鍵が署名方式の文書に、個別公開鍵のトラップドアが署名方式の署名にそれぞれ対応している。つまり、コミットメントの拘束性を破ることがトラップドアの取得と等価となっている。本実施例のコミットメントシステムは、計算ＤＨ仮定が成立しているならば、非対話型かつ共通参照情報が再利用可能で頑強なコミットメント方式である。 The commitment system of the present embodiment uses a signature scheme in which the configuration of the multi-trap door commitment does not exist forgery against weakly selected document attacks. The master public key PK corresponds to the signature method verification key, the master trap door corresponds to the signature method signature key, the individual public key corresponds to the signature method document, and the individual public key trap door corresponds to the signature method signature. ing. In other words, breaking the constraint of commitment is equivalent to acquiring a trapdoor. The commitment system according to the present embodiment is a robust commitment method that is non-interactive and allows the common reference information to be reused if the calculation DH assumption holds.

安全性に関する補足説明
上述の説明の中で使われている用語について以下に説明する。なお、この補足説明の内容は本願の出願日前から既知の内容である。 Supplementary explanation regarding safety Terms used in the above description will be described below. The contents of this supplementary explanation are known from the date before the filing date of the present application.

マルチトラップドアコミットメントについては非特許文献３に詳細に示されている。その一部を紹介すると、マルチトラップコミットメントは６つのアルゴリズム（マスター鍵生成ＫＧｅｎ．，選択Ｓｅｌ．，トラップドア生成ＴＧｅｎ．，コミットメントＣｏｍ．，検証Ｖｒｆｙ．，両開きＥｑｕｉｖ．）からなる。そして、マルチトラップドアコミットメントは、正当性、情報理論的秘匿性、拘束性の性質を持つ。 The multi-trap door commitment is described in detail in Non-Patent Document 3. To introduce a part of them, multi-trap commitment consists of six algorithms (master key generation KGen., Selection Sel., Trapdoor generation TGen., Commitment Com., Verification Vrfy., Double swing Equiv.). Multi-trap door commitment has legitimacy, information-theoretic secrecy, and binding properties.

署名方式は、３つの確率的多項式時間アルゴリズム（鍵生成アルゴリズムＳｉｇ．Ｇｅｎ，署名アルゴリズムＳｉｇ．Ｓｉｇｎ，検証アルゴリズムＳｉｇ．Ｖｒｆｙ）からなる。そして、署名方式が弱選択文書攻撃に対して存在的偽造不可能とは、どのような敵（攻撃者）に対しても敵が次のゲームに勝つ確率が無視できることである。 The signature scheme is composed of three probabilistic polynomial time algorithms (key generation algorithm Sig.Gen, signature algorithm Sig.Sign, and verification algorithm Sig.Vrfy). The fact that the signature scheme cannot exist forgery against weakly selected document attacks means that the probability that the enemy wins the next game can be ignored for any enemy (attacker).

（１）質問：敵は最初に文書ｍ_１，…，ｍ_ｋのリストＱを送る。 (1) Question: The enemy first sends a list Q of documents m ₁ ,..., M _k .

（２）答え：検証鍵と署名鍵の対（ｖｋ，ｓｋ）および、質問された文書に対する署名σ_１，…，σ_ｋを敵に送る。 (2) Answer: a pair of verification key and the signature key (vk, sk) and, signature σ ₁ to the question document, ..., and sends it to the enemy σ _k.

（３）出力：敵は（ｍ^＊，σ^＊）を出力する。もし、ｍ^＊がＱに含まれておらず、かつｍ^＊に対する署名σ^＊が正当ならば敵がゲームに勝ったという。 (3) Output: The enemy outputs (m ^* , σ ^* ). If, m ^* is not included in the Q, and that the enemy has won the game if the signature σ ^* is valid for m ^*.

λはセキュリティパラメータ、ｐ、ｑは互いに異なるλビットの奇素数とする。そして、ＲＳＡモジュラスＮ＝ｐｑ、φ（Ｎ）＝（ｐ−１）（ｑ−１）と互いに素な正の整数ｅ、１以上Ｎ−１以下のランダムな整数ｙが与えられたときに、ｘ^ｅ＝ｙｍｏｄＮなるｘを計算することが困難であることをＲＳＡ仮定という。つまり、ＲＳＡ仮定では、どのような敵に対しても、ｘを計算できる優位性が無視できる。 λ is a security parameter, and p and q are odd prime numbers having different λ bits. When RSA modulus N = pq, φ (N) = (p−1) (q−1) and a relatively prime positive integer e and a random integer y of 1 to N−1 are given, The difficulty in calculating x such that x ^e = y mod N is called the RSA assumption. In other words, under RSA assumption, the advantage of being able to calculate x for any enemy can be ignored.

ＧとＧ_Ｔは素数位数ｐの巡回群、ＥはＧ×Ｇの元をＧ_Ｔの元に変換する双線型写像であり、双線型性と非退化性を満たすとする。また、ｇは群Ｇの生成元、ａとｂは０以上ｐ−１以下の任意の整数とする。そして、（Ｇ，Ｇ_Ｔ，ｐ，ｇ，Ｅ）と（ｇ^ａ，ｇ^ｂ）が与えられたときに、ｇ^ａｂを計算することが困難であることを計算ＤＨ（ディッフィー・へルマン）仮定という。つまり、計算ＤＨ仮定では、どのような敵に対しても、ｇ^ａｂを計算できる優位性が無視できる。 G and G _T are prime order cyclic groups of p, E is the bilinear map for converting the original G × G in the original G _T, and satisfies the bilinear and non-degenerative. Further, g is a generation source of the group G, and a and b are arbitrary integers of 0 or more and p−1 or less. Then, given (G, G _T , p, g, E) and (g ^a , g ^b ), it is difficult to calculate g ^ab DH (Diffie Hellman) assumption That's it. In other words, under the calculation DH assumption, the superiority of calculating g ^ab for any enemy can be ignored.

プログラム、記録媒体
上述の構成をコンピュータによって実現する場合、マスター装置、送信装置、受信装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。 Program, Recording Medium When the above-described configuration is realized by a computer, processing contents of functions that the master device, the transmission device, and the reception device should have are described by the program. The processing functions are realized on the computer by executing the program on the computer.

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。 The program describing the processing contents can be recorded on a computer-readable recording medium. As the computer-readable recording medium, for example, any recording medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory may be used.

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。 The program is distributed by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。 A computer that executes such a program first stores, for example, a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. When executing the process, the computer reads a program stored in its own recording medium and executes a process according to the read program. As another execution form of the program, the computer may directly read the program from a portable recording medium and execute processing according to the program, and the program is transferred from the server computer to the computer. Each time, the processing according to the received program may be executed sequentially. Also, the program is not transferred from the server computer to the computer, and the above-described processing is executed by a so-called ASP (Application Service Provider) type service that realizes the processing function only by the execution instruction and result acquisition. It is good. Note that the program in this embodiment includes information that is used for processing by an electronic computer and that conforms to the program (data that is not a direct command to the computer but has a property that defines the processing of the computer).

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、マスター装置、送信装置、受信装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。 In this embodiment, the master device, the transmission device, and the reception device are configured by executing a predetermined program on the computer. However, at least a part of these processing contents is realized by hardware. It is good.

本発明は、電気通信システムでのコミットメント方式に利用することができる。 The present invention can be used in commitment schemes in telecommunications systems.

１００、４００、７００マスター装置
１５０、４５０、７５０共通参照情報生成部
１９０、４９０、７９０マスター記録部
２００、５００、８００送信装置
２１０、５１０、８１０送信入力部
２２０、８２０乱数生成部
２３０ワンタイム署名鍵生成部
２４０、５４０、８４０コミットメント要素生成部
２５０ワンタイム署名生成部
２６０コミットメント送信部
２７０デコミットメント送信部
２９０、５９０、８９０送信記録部
３００、６００、９００受信装置
３１０、６１０、９１０受信入力部
３２０ワンタイム署名検証部
３３０、６３０、９３０コミットメント検証部
３９０、６９０、９９０受信記録部
４１０ＲＳＡモジュラス部
４２０、７２０マスター選定部
４３０関数定義部
４４０、７４０マスター鍵生成部
１０００ネットワーク 100, 400, 700 Master device 150, 450, 750 Common reference information generation unit 190, 490, 790 Master recording unit 200, 500, 800 Transmission device 210, 510, 810 Transmission input unit 220, 820 Random number generation unit 230 One-time signature Key generation unit 240, 540, 840 Commitment element generation unit 250 One-time signature generation unit 260 Commitment transmission unit 270 Decommitment transmission unit 290, 590, 890 Transmission recording unit 300, 600, 900 Reception device 310, 610, 910 Reception input unit 320 One-time signature verification unit 330, 630, 930 Commitment verification unit 390, 690, 990 Reception recording unit 410 RSA modulus unit 420, 720 Master selection unit 430 Function definition unit 440, 740 Master key generation unit 1000 Network

Claims

送信装置、受信装置、マスター装置で構成されるコミットメントシステムであって、
前記マスター装置は、
λはセキュリティパラメータ、ｆは１^λに依存する整数、ｐ、ｑは互いに異なるλビットの奇素数、Ｆは任意ビットのビット列をｆビットのビット列に変換する擬似ランダム関数とし、
２^ｆ＜φ（Ｎ）＝（ｐ−１）（ｑ−１）＜２^ｆ＋２であるＲＳＡモジュラスＮ＝ｐｑを出力するＲＳＡモジュラス部と、
１以上Ｎ−１以下の任意の整数ｈと、擬似ランダム関数Ｆの鍵Ｋと、ｆビットのビット列ｃとをランダムに選ぶマスター選定部と、
関数Ｐ_Ｋ，ｃを、

のように定義する関数定義部と、
（Ｎ，ｈ，ｃ，Ｋ）をマスター公開鍵ＰＫとし、（ｐ，ｑ，ＰＫ）をマスタートラップドアＴＫとするマスター鍵生成部と、
マスター公開鍵ＰＫとＪビットのビット列を出力するハッシュ関数Ｈを含む共通参照情報ｃｒｓを生成し、前記送信装置と前記受信装置に送信する共通参照情報生成部
を備え、
前記送信装置は、
前記共通参照情報ｃｒｓと文書ｍとを受け取る送信入力部と、
乱数ｒを生成する乱数生成部と、
ワンタイム署名の署名検証鍵ｖｋ_０と署名生成鍵ｓｋ_０とを生成するワンタイム署名鍵生成部と、
Ｈ（ｖｋ_０）を個別公開鍵ｐｋとし、
ｅ_ｊ＝Ｐ_Ｋ，ｃ（ｐｋ^（ｊ））、ただしｐｋ^（ｊ）はｐｋの先頭のｊビット
をｊ＝１からｊ＝Ｊまで計算し、ｅ_ｍｉｎをｅ_１，…，ｅ_Ｊのうちで最小の値とし、
ｍ_ｊ＝ｍｍｏｄｅ_ｊ
をｊ＝１からｊ＝Ｊまで計算し、
Ｍｍｏｄｅ_ｊ＝ｍ_ｊ
がすべてのｊに対して成り立つＭを０以上

以下の整数の中から求め、
０以上ｅ_ｍｉｎ−１以下の整数である文書ｍをコミットするために、コミットメント要素Ｃ、デコミットメント要素Ｄを、

のように求めるコミットメント要素生成部と、
コミットメント要素Ｃに対するワンタイム署名σ_０を、署名生成鍵ｓｋ_０を用いて生成するワンタイム署名生成部と、
コミットメント要素Ｃと署名検証鍵ｖｋ_０を含むコミットメントｃｏｍを、前記受信装置に送信するコミットメント送信部と、
デコミットメント要素Ｄと文書ｍとワンタイム署名σ_０を含むデコミットメントｄｅｃを、前記受信装置に送信するデコミットメント送信部と、
を備え、
前記受信装置は、
前記共通参照情報ｃｒｓと、コミットメント要素Ｃ’と署名検証鍵ｖｋ_０’を含むコミットメントｃｏｍと、デコミットメント要素Ｄ’＝（Ｍ’，ｒ’）と文書ｍ’とワンタイム署名σ_０’を含むデコミットメントｄｅｃとを受け取る受信入力部と、
署名検証鍵ｖｋ_０’を用いて、コミットメント要素Ｃ’に対するワンタイム署名σ_０’の正当性を検証するワンタイム署名検証部と、
Ｈ（ｖｋ_０’）を個別公開鍵ｐｋ’とし、
ｅ_ｊ’＝Ｐ_Ｋ，ｃ（ｐｋ’^（ｊ））、ただしｐｋ’^（ｊ）はｐｋ’の先頭のｊビット
および、
ｍ_ｊ’＝Ｍ’ ｍｏｄｅ_ｊ’
をｊ＝１からｊ＝Ｊまで計算し、
ｍ_１’＝ｍ_２’＝，…，＝ｍ_Ｊ’
かつ

であることを検証するコミットメント検証部と、
を備える
ことを特徴とするコミットメントシステム。 A commitment system composed of a transmission device, a reception device, and a master device,
The master device is
λ is a security parameter, f is an integer that depends on 1 ^λ , p and q are different λ-bit odd prime numbers, F is a pseudo-random function that converts a bit string of arbitrary bits into a bit string of f bits,
RSA modulus part that outputs RSA modulus N = pq, where 2 ^f <φ (N) = (p−1) (q−1) <2 ^{f + 2} ,
A master selection unit that randomly selects an arbitrary integer h of 1 or more and N−1 or less, a key K of a pseudo-random function F, and a bit string c of f bits;
Function P _{K, c}

A function definition part defined as
A master key generation unit having (N, h, c, K) as a master public key PK and (p, q, PK) as a master trap door TK;
A common reference information generating unit that generates common reference information crs including a hash function H that outputs a master public key PK and a J-bit bit string, and transmits the common reference information crs to the transmitting device and the receiving device;
The transmitter is
A transmission input unit for receiving the common reference information crs and the document m;
A random number generator for generating a random number r;
A one-time signature key generation unit that generates a signature verification key vk ₀ and a signature generation key sk ₀ for a one-time signature;
Let H (vk ₀ ) be an individual public key pk,
e _j = P _{K, c} (pk ^(j) ), where pk ^(j) calculates the first j bits of pk from j = 1 to j = J, and e _min is among e ₁ ,..., e _J To the smallest value,
m _j = m mod e _j
Is calculated from j = 1 to j = J,
M mod e _j = m _j
Is greater than or equal to 0 for all j

Find from the following integers,
In order to commit a document m that is an integer greater than or equal to 0 and less than or equal to e _min −1, a commitment element C and a decommitment element D are

A commitment element generation unit
A one-time signature generation unit that generates a one-time signature σ ₀ for the commitment element C using the signature generation key sk ₀ ;
A commitment transmitter that transmits a commitment com including a commitment element C and a signature verification key vk ₀ to the receiving device;
A decommitment transmission unit that transmits a decommitment dec including the decommitment element D, the document m, and the one-time signature σ ₀ to the receiving device;
With
The receiving device is:
Including the common reference information crs, a commitment com including a commitment element C ′ and a signature verification key vk ₀ ′, a decommissioning element D ′ = (M ′, r ′), a document m ′, and a one-time signature σ ₀ ′ A receiving input unit for receiving decommitment dec;
A one-time signature verification unit that verifies the validity of the one-time signature σ ₀ ′ with respect to the commitment element C ′ using the signature verification key vk ₀ ′;
Let H (vk ₀ ') be the individual public key pk',
e _j '= P _{K, c} (pk' ^(j) ), where pk ' ^(j) is the first j bits of pk' and
m _j '= M' mod e _j '
Is calculated from j = 1 to j = J,
m ₁ '= m ₂ ' =, ..., = m _J '
And

A commitment verification unit that verifies that
A commitment system characterized by

λはセキュリティパラメータ、ｆは１^λに依存する整数、ｐ、ｑは互いに異なるλビットの奇素数、Ｆは任意ビットのビット列をｆビットのビット列に変換する擬似ランダム関数とし、
２^ｆ＜φ（Ｎ）＝（ｐ−１）（ｑ−１）＜２^ｆ＋２であるＲＳＡモジュラスＮ＝ｐｑを出力するＲＳＡモジュラス部と、
１以上Ｎ−１以下の任意の整数ｈと、擬似ランダム関数Ｆの鍵Ｋと、ｆビットのビット列ｃとをランダムに選ぶマスター選定部と、
関数Ｐ_Ｋ，ｃを、

のように定義する関数定義部と、
（Ｎ，ｈ，ｃ，Ｋ）をマスター公開鍵ＰＫとし、（ｐ，ｑ，ＰＫ）をマスタートラップドアＴＫとするマスター鍵生成部と、
マスター公開鍵ＰＫとＪビットのビット列を出力するハッシュ関数Ｈを含む共通参照情報ｃｒｓを生成する共通参照情報生成部
を備えるマスター装置。 λ is a security parameter, f is an integer that depends on 1 ^λ , p and q are different λ-bit odd prime numbers, F is a pseudo-random function that converts a bit string of arbitrary bits into a bit string of f bits,
RSA modulus part that outputs RSA modulus N = pq, where 2 ^f <φ (N) = (p−1) (q−1) <2 ^{f + 2} ,
A master selection unit that randomly selects an arbitrary integer h of 1 or more and N−1 or less, a key K of a pseudo-random function F, and a bit string c of f bits;
Function P _{K, c}

A function definition part defined as
A master key generation unit having (N, h, c, K) as a master public key PK and (p, q, PK) as a master trap door TK;
A master apparatus comprising a common reference information generation unit that generates common reference information crs including a hash function H that outputs a master public key PK and a J-bit bit string.

λはセキュリティパラメータ、ｆは１^λに依存する整数、ｐ、ｑは互いに異なるλビットの奇素数、Ｆは任意ビットのビット列をｆビットのビット列に変換する擬似ランダム関数、Ｐ_Ｋ，ｃを、

のように定義される関数、ＮはＮ＝ｐｑ、ｈは１以上Ｎ−１以下の任意の整数、Ｋは擬似ランダム関数Ｆの鍵、ｃはｆビットのビット列とし、
マスター公開鍵ＰＫ＝（Ｎ，ｈ，ｃ，Ｋ）とＪビットのビット列を出力するハッシュ関数Ｈを含む共通参照情報ｃｒｓと文書ｍとを受け取る送信入力部と、
乱数ｒを生成する乱数生成部と、
ワンタイム署名の署名検証鍵ｖｋ_０と署名生成鍵ｓｋ_０とを生成するワンタイム署名鍵生成部と、
Ｈ（ｖｋ_０）を個別公開鍵ｐｋとし、
ｅ_ｊ＝Ｐ_Ｋ，ｃ（ｐｋ^（ｊ））、ただしｐｋ^（ｊ）はｐｋの先頭のｊビット
をｊ＝１からｊ＝Ｊまで計算し、ｅ_ｍｉｎをｅ_１，…，ｅ_Ｊのうちで最小の値とし、
ｍ_ｊ＝ｍｍｏｄｅ_ｊ
をｊ＝１からｊ＝Ｊまで計算し、
Ｍｍｏｄｅ_ｊ＝ｍ_ｊ
がすべてのｊに対して成り立つＭを０以上

のように求めるコミットメント要素生成部と、
コミットメント要素Ｃに対するワンタイム署名σ_０を、署名生成鍵ｓｋ_０を用いて生成するワンタイム署名生成部と、
コミットメント要素Ｃと署名検証鍵ｖｋ_０を含むコミットメントｃｏｍを送信するコミットメント送信部と、
デコミットメント要素Ｄと文書ｍとワンタイム署名σ_０を含むデコミットメントｄｅｃを送信するデコミットメント送信部と、
を備える送信装置。 λ is a security parameter, f is an integer depending on 1 ^λ , p and q are different λ-bit odd prime numbers, F is a pseudo-random function for converting an arbitrary bit string into an f-bit bit string, P _{K, c} ,

N is N = pq, h is an arbitrary integer between 1 and N−1, K is a key of the pseudorandom function F, c is a bit string of f bits,
A transmission input unit that receives the common reference information crs including the master public key PK = (N, h, c, K) and the hash function H that outputs a bit string of J bits and the document m;
A random number generator for generating a random number r;
A one-time signature key generation unit that generates a signature verification key vk ₀ and a signature generation key sk ₀ for a one-time signature;
Let H (vk ₀ ) be an individual public key pk,
e _j = P _{K, c} (pk ^(j) ), where pk ^(j) calculates the first j bits of pk from j = 1 to j = J, and e _min is among e ₁ ,..., e _J To the smallest value,
m _j = m mod e _j
Is calculated from j = 1 to j = J,
M mod e _j = m _j
Is greater than or equal to 0 for all j

A commitment element generation unit
A one-time signature generation unit that generates a one-time signature σ ₀ for the commitment element C using the signature generation key sk ₀ ;
A commitment transmitter that transmits a commitment com including a commitment element C and a signature verification key vk ₀ ;
A decommitment transmission unit that transmits a decommitment dec including the decommitment element D, the document m, and the one-time signature σ ₀ ;
A transmission apparatus comprising:

のように定義される関数、ＮはＮ＝ｐｑ、ｈは１以上Ｎ−１以下の任意の整数、Ｋは擬似ランダム関数Ｆの鍵、ｃはｆビットのビット列とし、
マスター公開鍵ＰＫ＝（Ｎ，ｈ，ｃ，Ｋ）とＪビットのビット列を出力するハッシュ関数Ｈを含む共通参照情報ｃｒｓと、コミットメント要素Ｃ’と署名検証鍵ｖｋ_０’を含むコミットメントｃｏｍと、デコミットメント要素Ｄ’＝（Ｍ’，ｒ’）と文書ｍ’とワンタイム署名σ_０’を含むデコミットメントｄｅｃとを受け取る受信入力部と、
署名検証鍵ｖｋ_０’を用いて、コミットメント要素Ｃ’に対するワンタイム署名σ_０’の正当性を検証するワンタイム署名検証部と、
Ｈ（ｖｋ_０’）を個別公開鍵ｐｋ’とし、
ｅ_ｊ’＝Ｐ_Ｋ，ｃ（ｐｋ’^（ｊ））、ただしｐｋ’^（ｊ）はｐｋ’の先頭のｊビット
および、
ｍ_ｊ’＝Ｍ’ ｍｏｄｅ_ｊ’
をｊ＝１からｊ＝Ｊまで計算し、
ｍ_１’＝ｍ_２’＝，…，＝ｍ_Ｊ’
かつ

であることを検証するコミットメント検証部と
を備える受信装置。 λ is a security parameter, f is an integer depending on 1 ^λ , p and q are different λ-bit odd prime numbers, F is a pseudo-random function for converting an arbitrary bit string into an f-bit bit string, P _{K, c} ,

N is N = pq, h is an arbitrary integer between 1 and N−1, K is a key of the pseudorandom function F, c is a bit string of f bits,
Master reference key PK = (N, h, c, K) and common reference information crs including hash function H that outputs a bit string of J bits, commitment com including commitment element C ′ and signature verification key vk ₀ ′, A reception input unit that receives a decommitment element D ′ = (M ′, r ′), a document m ′, and a decommitment dec including a one-time signature σ ₀ ′;
A one-time signature verification unit that verifies the validity of the one-time signature σ ₀ ′ with respect to the commitment element C ′ using the signature verification key vk ₀ ′;
Let H (vk ₀ ') be the individual public key pk',
e _j '= P _{K, c} (pk' ^(j) ), where pk ' ^(j) is the first j bits of pk' and
m _j '= M' mod e _j '
Is calculated from j = 1 to j = J,
m ₁ '= m ₂ ' =, ..., = m _J '
And

And a commitment verification unit that verifies that

送信装置、受信装置、マスター装置で構成されるコミットメントシステムを用いたコミットメント方法であって、
λはセキュリティパラメータ、ｆは１^λに依存する整数、ｐ、ｑは互いに異なるλビットの奇素数、Ｆは任意ビットのビット列をｆビットのビット列に変換する擬似ランダム関数とし、
封フェーズでは、
前記マスター装置が、２^ｆ＜φ（Ｎ）＝（ｐ−１）（ｑ−１）＜２^ｆ＋２であるＲＳＡモジュラスＮ＝ｐｑを出力するＲＳＡモジュラスステップと、
前記マスター装置が、１以上Ｎ−１以下の任意の整数ｈと、擬似ランダム関数Ｆの鍵Ｋと、ｆビットのビット列ｃとをランダムに選ぶマスター選定ステップと、
前記マスター装置が、関数Ｐ_Ｋ，ｃを、

のように定義する関数定義ステップと、
前記マスター装置が、（Ｎ，ｈ，ｃ，Ｋ）をマスター公開鍵ＰＫとし、（ｐ，ｑ，ＰＫ）をマスタートラップドアＴＫとするマスター鍵生成ステップと、
前記マスター装置が、マスター公開鍵ＰＫとＪビットのビット列を出力するハッシュ関数Ｈを含む共通参照情報ｃｒｓを生成し、前記送信装置と前記受信装置に送信する共通参照情報生成ステップと、
前記送信装置が、前記共通参照情報ｃｒｓと文書ｍとを受け取る送信入力ステップと、
前記受信装置が、前記共通参照情報ｃｒｓを受け取る第１受信入力ステップと、
前記送信装置が、乱数ｒを生成する乱数生成ステップと、
前記送信装置が、ワンタイム署名の署名検証鍵ｖｋ_０と署名生成鍵ｓｋ_０とを生成するワンタイム署名鍵生成ステップと、
前記送信装置が、Ｈ（ｖｋ_０）を個別公開鍵ｐｋとし、
ｅ_ｊ＝Ｐ_Ｋ，ｃ（ｐｋ^（ｊ））、ただしｐｋ^（ｊ）はｐｋの先頭のｊビット
をｊ＝１からｊ＝Ｊまで計算し、ｅ_ｍｉｎをｅ_１，…，ｅ_Ｊのうちで最小の値とし、
ｍ_ｊ＝ｍｍｏｄｅ_ｊ
をｊ＝１からｊ＝Ｊまで計算し、
Ｍｍｏｄｅ_ｊ＝ｍ_ｊ
がすべてのｊに対して成り立つＭを０以上

のように求めるコミットメント要素生成ステップと、
前記送信装置が、コミットメント要素Ｃに対するワンタイム署名σ_０を、署名生成鍵ｓｋ_０を用いて生成するワンタイム署名生成ステップと、
前記送信装置が、コミットメント要素Ｃと署名検証鍵ｖｋ_０を含むコミットメントｃｏｍを、前記受信装置に送信するコミットメント送信ステップと、
前記受信装置が、コミットメント要素Ｃ’と署名検証鍵ｖｋ_０’を含むコミットメントｃｏｍを受け取る第２受信入力ステップと
を有し、
開封フェーズでは、
前記送信装置が、デコミットメント要素Ｄと文書ｍとワンタイム署名σ_０を含むデコミットメントｄｅｃを、前記受信装置に送信するデコミットメント送信ステップと、
前記受信装置が、デコミットメント要素Ｄ’＝（Ｍ’，ｒ’）と文書ｍ’とワンタイム署名σ_０’を含むデコミットメントｄｅｃとを受け取る第３受信入力ステップと、
前記受信装置が、署名検証鍵ｖｋ_０’を用いて、コミットメント要素Ｃ’に対するワンタイム署名σ_０’の正当性を検証するワンタイム署名検証ステップと、
前記受信装置が、Ｈ（ｖｋ_０’）を個別公開鍵ｐｋ’とし、
ｅ_ｊ’＝Ｐ_Ｋ，ｃ（ｐｋ’^（ｊ））、ただしｐｋ’^（ｊ）はｐｋ’の先頭のｊビット
および、
ｍ_ｊ’＝Ｍ’ ｍｏｄｅ_ｊ’
をｊ＝１からｊ＝Ｊまで計算し、
ｍ_１’＝ｍ_２’＝，…，＝ｍ_Ｊ’
かつ

であることを検証するコミットメント検証ステップと
を有する
ことを特徴とするコミットメント方法。 A commitment method using a commitment system composed of a transmission device, a reception device, and a master device,
λ is a security parameter, f is an integer that depends on 1 ^λ , p and q are different λ-bit odd prime numbers, F is a pseudo-random function that converts a bit string of arbitrary bits into a bit string of f bits,
In the sealing phase,
An RSA modulus step in which the master device outputs an RSA modulus N = pq where 2 ^f <φ (N) = (p−1) (q−1) <2 ^{f + 2} ;
A master selection step in which the master device randomly selects an arbitrary integer h of 1 to N−1, a key K of a pseudo-random function F, and a bit string c of f bits;
The master device determines the function P _{K, c}

A function definition step defined as
A master key generating step in which the master device uses (N, h, c, K) as a master public key PK and (p, q, PK) as a master trap door TK;
The master device generates common reference information crs including a hash function H that outputs a master public key PK and a J-bit bit string, and transmits the common reference information crs to the transmitting device and the receiving device;
A transmission input step in which the transmission device receives the common reference information crs and the document m;
A first receiving input step in which the receiving device receives the common reference information crs;
The transmitting device generates a random number r;
A one-time signature key generation step in which the transmitting device generates a signature verification key vk ₀ and a signature generation key sk ₀ of a one-time signature;
The transmitting device uses H (vk ₀ ) as an individual public key pk,
e _j = P _{K, c} (pk ^(j) ), where pk ^(j) calculates the first j bits of pk from j = 1 to j = J, and e _min is among e ₁ ,..., e _J To the smallest value,
m _j = m mod e _j
Is calculated from j = 1 to j = J,
M mod e _j = m _j
Is greater than or equal to 0 for all j

Commitment element generation step
A one-time signature generation step in which the transmitting device generates a one-time signature σ ₀ for the commitment element C using a signature generation key sk ₀ ;
A commitment transmitting step in which the transmitting device transmits a commitment com including a commitment element C and a signature verification key vk ₀ to the receiving device;
The receiving device has a second receiving input step of receiving a commitment com including a commitment element C ′ and a signature verification key vk ₀ ′;
In the opening phase,
A de-commitment transmission step in which the transmitting device transmits a de-commitment dec including the de-commitment element D, the document m, and the one-time signature σ ₀ to the receiving device;
A third receiving input step in which the receiving device receives a decommitment element D ′ = (M ′, r ′), a document m ′, and a decommitment dec including a one-time signature σ ₀ ′;
A one-time signature verification step in which the receiving device verifies the validity of the one-time signature σ ₀ ′ with respect to the commitment element C ′ using the signature verification key vk ₀ ′;
The receiving device uses H (vk ₀ ′) as an individual public key pk ′,
e _j '= P _{K, c} (pk' ^(j) ), where pk ' ^(j) is the first j bits of pk' and
m _j '= M' mod e _j '
Is calculated from j = 1 to j = J,
m ₁ '= m ₂ ' =, ..., = m _J '
And

And a commitment verification step for verifying that the commitment method is included.

請求項２記載のマスター装置、請求項３記載の送信装置、もしくは請求項４記載の受信装置としてコンピュータを機能させるプログラム。 Billing master device to claim 2, a program that causes a computer as the receiving apparatus according to the transmission apparatus of claim 3, or claim 4, wherein.

請求項６記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。 A computer-readable recording medium on which the program according to claim 6 is recorded.