(57)【要約】本発明は、メッセージの匿名署名の暗号化の方法とシステムに関する。本方法は付加的な署名で匿名署名を補完することからなり、該署名は共通私有鍵を用いて計算（１３）されるものであり、該私有鍵は、署名することを許可されたグループのメンバー全体には共通で、失効したすべてのメンバーには知られていない。この私有鍵は、グループ内での失効ごとにグループのレベルで、メンバーによるメッセージの匿名署名のときにのみ、このメンバーのレベルで更新（８、１１）される。本システムは、グループ内のメンバー数と同じだけのチップカードと、第一の計算手段を含む装置とで構成される。【特許請求の範囲】
【請求項１】
グループのメンバーによって実行されるようになっているメッセージの匿名署名の暗号化の方法であって、このグループは、それぞれが計算手段（２５）と、関連づけられた記憶手段（２４）とを備えたｎ人のメンバーで構成されており、本方法がグループの構築の際に、
−第一過程において、認証局の第一の計算手段によって、一つの共通公開鍵（３０）と一つの共通私有鍵（３１）で構成されている、グループのメンバーに共通の非対称鍵のペア（３０、３１）を計算（１）することからなる初期過程と、
−第二過程において、第一の計算手段によって、グループに関連づけられたグループの公開鍵（３２）を計算（２）することからなる初期過程と、
−第三過程において、各メンバーについて、認証局の計算手段とメンバーの計算手段との間の相互作用の際に、それぞれがグループの公開鍵（３２）に関連づけられ、グループのメンバーごとに異なっているグループの私有鍵（３３1）を計算（３）し、このグループの私有鍵（３３1）をメンバーの記憶手段（２４）に記憶する(４)ことからなる初期過程と、
−第四過程において、第一の計算手段によって、グループのメンバー数と同じだけの対称秘密鍵（３４i）を決定（５）することからなる初期過程と、
−第五過程において、第一の計算手段（２０）によって、共通私有鍵（３１）を各秘密鍵（３４i）で暗号化（６）することで、失効していないメンバー数と同じだけの共通私有鍵（３１）の暗号化された形式を得られるようにすることからなる初期過程を含むことを特徴とし、
また、グループ内での失効ごとに、本方法が、
−第六過程において、第一の計算手段(２０)によって共通非対称鍵のペア（３０、３１）を変更（８）することで、共通公開鍵（３０）と共通私有鍵（３１）を最新にできるようにすることからなる過程と、
−第七過程において、第一の計算手段（２０）によって、共通私有鍵（３１）を各秘密鍵（３４i）で暗号化（９）することで、失効していないメンバー数と同じだけの共通私有鍵（３１）の暗号化された形式を得られるようにすることからなる過程を含むことを特徴とし、
そして、受信者に送信されるべきメッセージの、グループのメンバーによる匿名署名（１０）ごとに、本方法が、
−第八過程において、共通私有鍵（３１）の暗号化された値の一つが、メンバーの記憶手段（２４）によって記憶された対称秘密鍵（３４i）を用いて復号化できる場合に限り、メンバーの記憶手段（２４）によって記憶された共通私有鍵（３１）を更新（１１）することからなる過程と、
−第九過程において、メンバーの計算手段（２５）によって、メッセージの匿名と言われる署名を、グループの私有鍵（３３1）を用いて計算（１２）することからなる過程と、
−第十過程において、メンバーの計算手段（２４）によって、メッセージと匿名署名で構成されるユニットの付加的と言われる署名を、メンバーの共通私有鍵（３１）を用いて計算（１３）することからなる過程を含むことを特徴とする、匿名署名の暗号化の方法。
【請求項２】
グループの構築が日時ｔ１に起こり、過程がさらに、
−第一過程の際、第一の計算手段によって、共通私有鍵（３１）をｔ１に等しい更新日時に関連づけることからなる過程と、
−第三過程の際、各メンバーの記憶手段（２４）によって、共通私有鍵（３１）の更新日時を記憶（１５）することからなる過程を含み、
また、日時ｔ２におけるグループ内での失効ごとに、過程がさらに、
−第六過程の際、第一の計算手段（２０）によって更新日時を変更（１６）することで、日時ｔ２に等しい更新日時を決定できるようにすることからなる過程を含み、
そして受信者に送信されるべきメッセージの、グループのメンバーによる匿名署名ごとに、過程がさらに、
−第八過程の際、メンバーの記憶手段（２４）によって記憶された更新日時（Ｄ1）が、第一の計算手段によって更新された共通私有鍵（３１）の更新の更新日時（Ｄ）と異なるときに限り、メンバーの記憶手段（２４）によって記憶された共通私有鍵を更新（１１）することからなる過程を含む、
請求項１に記載の匿名署名の暗号化の方法
【請求項３】
過程がさらに、
−第三過程の際、第一の計算手段によってさらに、グループの各メンバーについてメンバーの識別子（３５i）を計算（３）することと、各メンバーの記憶手段（２４）によってさらにメンバーの識別子（３５i）を記憶（４）することからなる過程と、
また、グループ内での失効ごとに、過程がさらに、
−第一の計算手段（２０）によって、グループの各新規メンバーについて識別子（３５i）を計算することからなる過程を含む、
請求項１に記載の匿名署名の暗号化の方法。
【請求項４】
初期過程がさらに、
−第三過程の際、第一の計算手段（２０）に接続された記憶手段（３６）によって、各メンバーの対称秘密鍵（３４i）、グループの公開鍵（３２）、グループのメンバーに共通の公開鍵（３０）、それぞれが識別子（３５i）の一つに関連づけられている共通私有鍵（３１）の暗号化されたさまざまな形式の各々、および各識別子（３５i）を記憶することからなる過程を含み、
また、グループのメンバーの一人の失効に対応している、グループ構成の変更ごとに対して、本方法がさらに、
−第一の計算手段（２０）に接続された記憶手段（３６）から、このメンバーの秘密鍵（３４i）を抹消することからなる過程を含み、
さらに、メンバーの記憶手段（２４）によって記憶された共通私有鍵（３１）を更新するために、本方法がさらに、
−メンバーの計算手段（２５）によって、第一の計算手段（２０）に接続され、メンバーの識別子（３５i）に関連づけられた記憶手段（３６）に記憶されている共通私有鍵（３１）の暗号化された形式を読み取ることからなる過程と、
−メンバーの計算手段（２５）によって、メンバーの記憶手段（２４）によって記憶された秘密鍵（３４i）を用いて、前もって読み取られた共通私有鍵（３１）の暗号化された形式を復号化することからなる過程を含む、
請求項３に記載のメッセージの匿名署名の暗号化の方法。
【請求項５】
初期過程がさらに、
−第三過程の際、第一の計算手段（２０）に接続された記憶手段（３６）によって、各メンバーの秘密鍵、グループのメンバーに共通の非対称鍵のペア（３０、３１）、およびグループの公開鍵（３２）を記憶することからなる過程を含み、
また、グループ内での失効に対応しているグループの構成の変更ごとに、本方法がさらに、
−第一の計算手段（２０）に接続された記憶手段（３６）によって、失効したメンバーの秘密鍵を抹消することからなる過程を含み、
そして、メンバーの記憶手段（２４）によって記憶された共通私有鍵（３１）を更新するために、本方法がさらに、
−メンバーの計算手段（２５）によって、第一の計算手段（２０）に接続された記憶手段（３６）に記憶されている共通私有鍵（３１）の暗号化されたさまざまな形式を読み取ることからなる過程と、
−メンバーの計算手段（２５）によって、またメンバーの記憶手段（２４）によって記憶された秘密鍵（３４1）を用いて、共通私有鍵（３１）の暗号化されたさまざまな形式を復号化することからなる過程を含む、
請求項１に記載のメッセージの匿名署名の暗号化の方法。
【請求項６】
デジタルメッセージの匿名署名の暗号化装置であり、該装置が、
−第一の計算手段（２０）を含むことを特徴とする装置であり、該計算手段は、一方ではｎ人のメンバーで構成されるグループのメンバーに共通の非対称鍵の少なくとも一つのペア（３０、３１）を、他方ではグループに関連づけられたグループの公開鍵（３２）を計算（１、２）するためのものであり、また各メンバーについて、メンバーの計算手段（２５）との相互作用の際、それぞれがグループの公開鍵（３２）に関連づけられ、グループの各メンバーに対して異なっているグループの私有鍵（３３1）を計算（３）するためのものであり、またグループのメンバー数と同じだけの対称秘密鍵（３４i）を決定（５）するためのものであり、そして、共通私有鍵（３１）を各対称秘密鍵（３４i）で暗号化（６）することで、失効していないメンバー数と同じだけの共通私有鍵（３１）の暗号化された形式を得られるようにするためのものである。
【請求項７】
本装置がさらに、
−通信ネットワーク（２３）を介して第一の計算手段（２０）に接続された記憶手段（３６）を含んでおり、該記憶手段が、少なくともグループの各メンバーの対称秘密鍵（３４i）、グループの公開鍵（３２）、グループのメンバーに共通の公開鍵（３０）、および共通私有鍵（３１）の暗号化されたさまざまな形式のそれぞれを記憶するためのものである、請求項６に記載のデジタルメッセージの匿名署名の暗号化装置。
【請求項８】
ｎ人のメンバーで構成されるグループのメンバーに充てられ、請求項６または請求項７に記載の装置と相互作用するようになっているチップカード（２１1）であり、該チップカードが、
−グループのメンバーに共通の私有鍵（３１）、メンバーのグループの私有鍵（３３1）、およびメンバーに割り振られる対称秘密鍵（３４1）の記憶手段（２４）と、
−本装置の第一の計算手段（２０）によって計算された、共通私有鍵（３１）の暗号化された値の一つが、メンバーの記憶手段（２４）によって記憶された対称秘密鍵（３４1）を用いて復号化できるときに限り共通私有鍵（３１）を更新（１１）するための、メンバーの記憶手段（２４）によって記憶された共通私有鍵（３１）の更新手段（２５）と、
−グループの私有鍵（３３1）を用いてメッセージの匿名署名を計算(１２)するため、またメンバーの共通私有鍵（３１）で、メッセージおよび匿名署名で構成されるユニットの付加的な署名を計算（１３）するための計算手段（２５）を含むことを特徴とするチップカード。
【請求項９】
更新手段（２５）が復号化手段を含むことで、メンバーの記憶手段（２４）によって記憶された対称秘密鍵（３４1）を用いて、共通私有鍵（３１）の、暗号化され、本装置の第一の計算手段（２０）によって計算された値の一つを復号化できるようになっている、請求項８に記載のチップカード(２１1)。
【請求項１０】
請求項１に記載の方法を実施するようになっている、デジタルメッセージの匿名署名の暗号化システムであり、該システムが、
−請求項６および請求項７に記載の少なくとも一つの装置と、
−少なくとも、グループ内のメンバー数と同じだけの請求項８に記載のチップカード(２１1)を含むことを特徴とする、デジタルメッセージの匿名署名の暗号化システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は電気通信の領域、より特徴的には、特に暗号化を必要とするサービスのための情報送信の機密化に関するものである。
【背景技術】
【０００２】
電気通信方法によって送信されたファイルの発信者を認証するために、電子署名のメカニズムが開発されている。電子版での情報送信という用語は、現状では、電気通信方法によるファイルの送信を形容するために用いられていることには留意する必要がある。本発明の文脈で問題となるファイルは、紙の状態での提示ではなく、必然的にデジタルの状態で現れるものであり、したがって、本出願のこれ以降において、メッセージという用語はこのタイプのファイルを指すために用いられる。最も一般的な電子署名のメカニズムは、認証局と言われる存在者を機能させる、公開鍵式と言われる暗号化技術に基づいている。通常、この認証局は、公開鍵式の一般的な方法によるユーザー・アカウント用の証明書を生成し、したがってこれらの証明書が、公開鍵とこの鍵の所有者のＩＤとの間のリンクを確立する。このような方法を実行するために、メッセージの署名者である個人は、事前に、少なくとも自身の公開鍵とＩＤを伝達することで、認証局のもとで認証してもらう必要がある。その実行の際、署名方法は、一方ではメッセージの内容を、他方では個人の私有鍵を考慮しつつ、メッセージの電子署名を計算する。署名者は受信者に、メッセージ、署名、および証明書を送信する。メッセージの受信者は、少なくとも公開鍵とメッセージの内容によって、メッセージの電子署名を検証する。
【０００３】
電子投票、ネットオークション、あるいは匿名の電子支払いといった特徴的な用途のためには、匿名とされる電子署名を利用可能にすることが必要である。匿名の電子署名は電子署名と同一の特徴を有しているが、受信者が署名者のＩＤを決定できない点、つまり、署名者が匿名性を保持する点は異なる。そうとはいえ、受信者は認証局にアクセスすることができ、該認証局が証明書を介して、匿名性を解除するための手段を使用可能にする。
【０００４】
さまざまなタイプの匿名署名の中で、グループの匿名署名と呼ばれる特徴的なタイプがある。グループの匿名署名の方法によって、グループの各メンバーは、そのグループに特徴的であるような電子署名を生成することができる。グループの匿名署名を伴うメッセージの受信者は、署名がグループのメンバーによって生成されたことを検証できる。そうとはいえ、該受信者は、グループのさまざまなメンバーの中で該当するメンバーを決定することはできない。
【０００５】
本発明の文脈において、グループは個人の集合であり、該個人は権限者に、同一グループに属するものとして申告している。この申告の際、各個人は所定のプロトコルにしたがって認証局と相互作用するのだが、該プロトコルから個人は、認証局によって事前に決められているグループの公開鍵に関連付けられた私有鍵を得て、権限者と個人はこの私有鍵に関連づけられた個人の識別子を得る。これら個人の各々は、本出願のこれ以降において、メンバーという用語で指す。このようなプロトコルの一例は、Ｊ．ＣａｍｅｎｉｓｃｈとＭ．Ｍｉｃｈｅｌｓの論文に記載されており、該論文は、Ｂ．Ｋａｌｉｓｋｉ（編）『Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ９７』ＬＮＣＳ第１２９６巻、ｐｐ．４１０−４２４、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９９７に「Ｅｆｆｉｃｉｅｎｔ  ｇｒｏｕｐ  ｓｉｇｎａｔｕｒｅ  ｓｉｇｎａｔｕｒｅ  ｓｃｈｅｍｅｓ  ｆｏｒ  ｌａｒｇｅ  ｇｒｏｕｐｓ」として収録されている。同一の相互作用は、新規メンバーの加入の際にも起こる。あるグループの存在は、認証局の側から、グループ鍵と呼ばれる公開鍵をそのグループに割り振ることと、公開鍵に関連づけられ、メンバーごとに異なっている私有鍵と、識別子とを各メンバーに割り振ることによって表される。その私有鍵によって、メンバーはメッセージに対するグループの匿名署名を選んで作成することができる。任意の受信者は、この署名がグループの公開鍵を使う条件にしたがって、グループのメンバーによって作成されたことを検証することができる。検証後、受信者は署名がグループのメンバーによって作成されたこと、あるいはされていないことを確証する、あるいは確証しないのだが、該受信者はこのメンバーの識別子に関するいかなる情報も得ることはなく、署名者は、認証局の公開鍵を用いて暗号化された自身の識別子だけを受信者に伝達しており、したがって、署名は匿名なのである。しかし、受信者には、認証局にアクセスする可能性があり、該認証局は、グループの匿名署名に付随する暗号化された識別子から署名者のＩＤを決定することができる。認証局はしたがって、いかなる場合にも匿名性を解除することができる。
【０００６】
認証局のもとでの構築の後、グループは発展してもよい。第一のタイプの発展によると、新たな個人がグループのメンバーになることができる。第二のタイプの発展によると、メンバーは、グループ中の個人の脱退、あるいはグループ中の個人の除名などによっていなくなることもでき、このタイプの発展は、失効という。グループの各発展で、認証局は、グループの匿名署名を作成する手段をグループのメンバーに与えるか取り上げるかという問題に直面する。第一の課題は、新規メンバーにグループの匿名署名を作成する手段を割り当てることに存しており、該課題は、公開鍵／私有鍵の既知の生成アルゴリズムの一つを用いることで解決され、該アルゴリズムによって、必要とされるだけの私有鍵を一つの同じ公開鍵に関連づけられるようになる。このようなアルゴリズムの一例は、Ｊ．ＣａｍｅｎｉｓｃｈとＭ．Ｍｉｃｈｅｌｓの論文に記載されており、該論文は、Ｂ．Ｋａｌｉｓｋｉ（編）『Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ９７』ＬＮＣＳ第１２９６巻、ｐｐ．４１０−４２４、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９９７に「Ｅｆｆｉｃｉｅｎｔ  ｇｒｏｕｐ  ｓｉｇｎａｔｕｒｅ  ｓｉｇｎａｔｕｒｅ  ｓｃｈｅｍｅｓ  ｆｏｒ  ｌａｒｇｅ  ｇｒｏｕｐｓ」として記載されている。
【０００７】
第二の課題は、個人からこれらの方法を取り上げることに存しており、該課題は失効方法である既知のさまざまな解決法を有している。
【０００８】
これらの方法の第一は、Ｅ．ＢｒｅｓｓｏｎとＪ．Ｓｔｅｒｎによる論文、「Ｅｆｆｉｃｉｅｎｔ  Ｒｅｖｏｃａｔｉｏｎ  ｉｎ  ｇｒｏｕｐ  Ｓｉｇｎａｔｕｒｅｓ」に記載されており、Ｋ．Ｋｉｍ（編）『Ｐｕｂｌｉｃ  Ｋｅｙ  Ｃｒｙｐｔｏｇｒａｐｈｙ』ＰＫＣ２００１、ＬＮＣＳ第１９９２巻、ｐｐ．１９０−２０６、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、２００１に記載されている。この方法は、グループの各メンバーが自身に固有の識別子を有するということに基づいている。署名が匿名のままでなければならないので、この識別子を明らかにすることができない。しかし、この方法によると、署名者の識別子は失効した各メンバーの識別子によって割られる。つまり、割り算の結果は、署名者が失効したメンバー自身でなく、またそうではない場合に限り、常に１とは異なるのである。続いてこの方法は、暗号化のアルゴリズムを用いてこれらの割り算の各結果を暗号化し、所定の要素を伴ったこれらの暗号化された結果を受信者に送信する。受信者は所定の要素と暗号化された結果を活用することで、一方では割り算が正確に実行されたことを検証し、他方では、すべての結果が１とは異なることを検証できるようにしている。つまり、署名が失効していないメンバーによって作成されたことを確認するためである。
【０００９】
この方法には、失効したメンバーの数に比例して計算の長さと時間が増大する、グループの匿名署名を生成するという不都合があるのだが、これは、失効されるメンバー数と同じだけ暗号化された結果と所定要素があるからである。
【００１０】
これらの失効の第二の方法は、Ｈ．Ｊ．Ｋｉｍ、Ｊ．Ｉ．ＬｉｍおよびＤ．Ｈ．Ｌｅｅの論文に記載されており、該論文は、Ｄ．Ｗｏｎ（編）『Ｉｎｆｏｒｍａｔｉｏｎ  Ｓｅｃｕｒｉｔｙ  ａｎｄ  Ｃｒｙｐｔｏｌｏｇｙ』、ＩＣＩＳＣ２０００、ＬＮＣＳ第２０１５巻、p．１５０、ｓ．Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、２０００に、「Ｅｆｆｉｃｉｅｎｔ  ａｎｄ  Ｓｅｃｕｒｅ  Ｍｅｍｂｅｒ  Ｄｅｌｅｔｉｏｎ  ｉｎ  Ｇｒｏｕｐ  Ｓｉｇｎａｔｕｒｅ  Ｓｃｈｅｍｅｓ」として収録されている。この方法は、グループ署名の成功に必要な鍵に加えて、三つの補足的な鍵を用いることからなり、それらはつまり、各メンバー用の所有者私有鍵、各メンバーが自身の鍵の有効性を確認できるようにするための所有者公開鍵、そして、更新用公開鍵であり、該更新用公開鍵によって、各メンバーは、メンバーがグループに加わり、また抜けるたびに、自身の所有者私有鍵を変更できるようになる。各新規メンバー用、およびメンバーの各失効用に、認証局は所有者公開鍵と更新用の鍵を変更する。グループに残っている各メンバーは、更新用の鍵によって自身の所有者私有鍵を変更し、所有者公開鍵によってその有効性を検証する。メッセージの電子署名の場合、署名者であるメンバーは自身の所有者私有鍵を用いる。このように、受信者は所有者公開鍵によって電子署名を検証できる。この方法には特殊な用法であるという不都合があるのだが、それは、該方法が特殊なグループの署名のスキーマにおいてのみ確かであると証明されているからであり、このスキーマはＪ．ＣａｍｅｎｉｓｃｈとＭ．Ｍｉｃｈｅｌｓの論文に提示されているものに対応しており、該論文は、Ｋ．ＯｈｔａとＤ．Ｐｅｉ（編）『Ａｄｖａｎｃｅs  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＡＳＩＡＣＲＹＰＴ’９８』、ＬＮＣＳ第１５１４巻、ｐｐ．１６０−１７４、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９９８に、「Ａ  ｇｒｏｕｐ  Ｓｉｇｎａｔｕｒｅ  Ｓｃｈｅｍｅ  ｗｉｔｈ  Ｉｍｐｒｏｖｅｄ  Ｅｆｆｉｃｉｅｎｃｙ」として記載されている。またこの方法は、メンバーがグループに加わり、また抜けるたびに各メンバーに計算を強いるという点で不利であり、これらの計算は、グループの変動が激しければ頻繁であってもよい。
【非特許文献１】Ｅ．ＢｒｅｓｓｏｎとＪ．Ｓｔｅｒｎ「Ｅｆｆｉｃｉｅｎｔ  Ｒｅｖｏｃａｔｉｏｎ  ｉｎ  ｇｒｏｕｐ  Ｓｉｇｎａｔｕｒｅｓ」ｉｎ  Ｋ．Ｋｉｍ（Ｅｄ．）『Ｐｕｂｌｉｃ  Ｋｅｙ  Ｃｒｙｐｔｏｇｒａｐｈｙ』ＰＫＣ２００１、ＬＮＣＳ第１９９２巻、ｐｐ．１９０−２０６、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、２００１
【発明の開示】
【発明が解決しようとする課題】
【００１１】
本発明の一つの目的は、既知の方法および前述した方法の不都合を改善することである。
【課題を解決するための手段】
【００１２】
そのため本発明は、あるグループのメンバーによって実行されるようになっている、メッセージの匿名署名の暗号化の方法を目的としており、該グループは、それぞれが計算手段と、関連づけられた記憶手段とを備えてたｎ人のメンバーで構成されている。この方法は、グループの構築時に、以下のことからなる初期過程を含む。
−第一過程において、認証局の第一の計算手段によって、グループのメンバーに共通の非対称鍵のペアを計算することからなる過程で、この鍵のペアは共通の公開鍵と私有鍵から構成されている。
−第二過程において、第一の計算手段によって、グループに関連づけられたグループの公開鍵を計算することからなる過程。
−第三過程において、各メンバーについて、認証局の計算手段とメンバーの計算手段との間の相互作用の際に、グループの私有鍵を計算し、このグループの私有鍵をメンバーの記憶手段の中に記憶することからなる過程で、グループの各私有鍵はグループの公開鍵に関連づけられ、グループのメンバーごとに異なっている。
−第四過程において、第一の計算手段によって、グループのメンバー数と同じだけの対称秘密鍵を決定することからなる過程。
−第五過程において、第一の計算手段によって、共通の私有鍵を各秘密鍵で暗号化することで、失効していないメンバー数と同じだけの共通私有鍵の暗号化された形式を得られるようにすることからなる過程。
【００１３】
そしてグループ内での失効ごとに、本方法は以下のことからなる過程を含む。
−第六過程において、第一の計算手段によって共通の非対称鍵のペアを変更することで、共通公開鍵と共通私有鍵を最新にできるようにすることからなる過程。
−第七過程において、第一の計算手段によって、共通私有鍵を各秘密鍵で暗号化することで、失効していないメンバー数と同じだけの共通私有鍵の暗号化された形式を得られるようにすることからなる過程。
【００１４】
受信者に送信されるべきメッセージの、グループのメンバーによる匿名の署名ごとに、本方法は以下のことからなる過程を含む。
−第八過程において、共通私有鍵の暗号化された値の一つが、メンバーの記憶手段によって記憶された対称秘密鍵を用いて復号化できる場合に限り、メンバーの記憶手段によって記憶された共通私有鍵を更新することからなる過程。
−第九過程において、メンバーの計算手段によって、メッッセージの匿名と言われる署名を、グループの私有鍵を用いて計算することからなる過程。
−第十過程において、メンバーの計算手段によって、メッセージと匿名署名で構成されるユニットの付加的と言われる署名を、メンバーの共通私有鍵を用いて計算することからなる過程。
【００１５】
本発明による方法は、メンバーによって付加的な署名を用いて実行される、メッセージの匿名署名を完成させることからなる。この付加的な署名は、メンバーが保持する、署名の私有鍵のコピーを用いて計算されるのだが、該コピーは、署名することを許可されたメンバー全員に対して同一であり、失効したすべてのメンバーには知られていない。共通と言われるこの私有鍵は、グループのメンバーの失効のたびに、認証局によって更新される。メンバーによって保持されるコピーの更新は、このメンバーによるメッセージの匿名署名の局面においてのみ始動し、更新は失効していないメンバーに対してのみ可能である。
【００１６】
したがって、失効したメンバーはつねに検出されるのだが、これは、該メンバーが更新された共通私有鍵を有していないため、該メンバーが生み出す付加的な署名が必然的に偽であるからである。
【００１７】
もう一つの目的によると、本発明による方法は、グループの構築が日時ｔ１に起こるようなもので、さらに過程が、
−第一過程の際、第一の計算手段によって、共通私有鍵をｔ１に等しい更新日時に関連づけ、
−第三過程の際、各メンバーの記憶手段によって、共通私有鍵の更新日時を記憶することからなるような方法であり、
そして、日時ｔ２におけるグループ内での失効ごとに、過程がさらに、
−第六過程の際、第一の計算手段によって更新日時を変更することで、日時ｔ２に等しい更新日時を決定できるようにすることからなるような方法であり、
そして、受信者に送信されるべきメッセージの、グループのメンバーによる匿名署名ごとに、過程がさらに、
−第八過程の際、メンバーの記憶手段によって記憶された更新日時が、第一の計算手段によって更新された共通私有鍵の更新日時と異なるときに限り、メンバーの記憶手段によって記憶された共通私有鍵を更新することからなるような方法である。
【００１８】
もう一つの目的によると、本発明による方法は、過程がさらに、
−第三過程の際、第一の計算手段によって、グループの各メンバーについて、さらにメンバーの識別子を計算し、各メンバーの記憶手段によってさらにメンバーの該識別子を記憶することからなるような方法であり、
そして、グループ内での失効ごとに、過程がさらに、
−第一の計算手段によって、グループの各新規メンバーについて識別子を計算することからなるような方法である。
【００１９】
もう一つの目的によると、本発明による方法は、過程がさらに、
−第三過程の際、第一の計算手段に接続された記憶手段によって、各メンバーの対称秘密鍵、グループのメンバーに共通の非対称鍵のペア、およびグループの公開鍵を記憶することからなるような方法であり、
そして、グループ内での失効に対応する、グループ構成の各変更について、本方法がさらに、
−第一の計算手段に接続された記憶手段から、失効したメンバーの秘密鍵を抹消することからなる過程を含むような方法であって、
そして、メンバーの記憶手段によって記憶された共通私有鍵を更新するために、本方法が以下のことからなる過程を含むような方法である。
−メンバーの計算手段によって、第一の計算手段に接続された記憶手段に記憶されている共通私有鍵の、暗号化されたさまざまな形式を読み取ることからなる過程。
−メンバーの計算手段によって、またメンバーの記憶手段によって記憶された秘密鍵を用いて、共通私有鍵の暗号化されたさまざまな形式を復号化することからなる過程。
【００２０】
本発明はさらに、デジタルメッセージの匿名署名の暗号化装置も目的としており、該装置は以下のものを含む。
−第一の計算手段であり、該計算手段は、一方では、ｎ人のメンバーで構成されるグループのメンバーに共通の非対称鍵の少なくとも一つのペアを計算するため、他方では、該グループに関連づけられたグループの公開鍵を計算するためのものであり、各メンバーについては、メンバーの計算手段との相互作用の際、それぞれがグループの公開鍵に関連づけられ、グループの各メンバーに対して異なっているグループの私有鍵を計算するための手段であり、グループのメンバー数と同じだけの対称秘密鍵を決定するためのものであり、そして、共通の私有鍵を各対称秘密鍵で暗号化することで、失効していないメンバー数と同じだけの共通私有鍵の暗号化された形式を得られるようにするための手段である。
【００２１】
もう一つの目的によると、本発明による装置は以下のものを含む。
−通信ネットワークを介して第一の計算手段に接続された記憶手段であり、該記憶手段は、少なくともグループの各メンバーの対称秘密鍵、グループの公開鍵、グループのメンバーに共通の公開鍵、および共通私有鍵の暗号化されたさまざまな形式のそれぞれを記憶するための手段である。
【００２２】
本発明はさらに、ｎ人のメンバーで構成されるグループのメンバーに充てられ、前述の装置と相互作用するようになっているチップカードも目的としている。このカードは以下のものを含む。
−グループのメンバーに共通の私有鍵、メンバーのグループの私有鍵、およびメンバーに割り振られる対称秘密鍵の記憶手段。
−本装置の第一の計算手段によって計算された、共通私有鍵の暗号化された値の一つが、メンバーの記憶手段によって記憶された対称秘密鍵を用いて復号化できるときに限り共通私有鍵を更新するための、メンバーの記憶手段によって記憶された共通私有鍵の更新手段。
−グループの私有鍵を用いてメッセージの匿名署名を計算するため、また、メンバーの共通私有鍵を用いて、メッセージと匿名署名で構成されるユニットの付加的な署名を計算するための計算手段。
【００２３】
もう一つの目的によると、本発明によるカードは、更新手段が復号化手段を含むようなカードであり、該復号化手段は、メンバーの記憶手段によって記憶された共通私有鍵を用いて、共通私有鍵の、暗号化され、本装置の第一の計算手段によって計算された値の一つを復号化するための手段である。
【発明を実施するための最良の形態】
【００２４】
本発明のその他の特徴と利点は、以下において、非限定的な例として示され、特徴的な実施態様の添付図面を参照しながらなされる説明の際に明らかになるものである。それらの図面は以下のことを表す。
−図１は、本発明による方法のフローチャートである。
−図２は、本発明による方法の特徴的な実施のフローチャートである。
−図３は、本発明による方法の特徴的な実施態様のスキーマである。
【００２５】
図１は、本発明によるメッセージの匿名署名の暗号化方法のフローチャートを表している。本方法はｎ人のメンバーで構成されるグループのメンバーによって実行されるようになっている。各メンバーは、記憶手段に関連づけられた計算手段を有している。本方法は、初期過程および非初期過程を含むさまざまな過程で展開する。初期過程はグループの構築時に起こるものであり、以下にリストアップされている。
【００２６】
第一過程は、認証局の第一の計算手段によって、グループのメンバーに共通の非対称鍵のペアを計算１することからなり、鍵のこのペアは、共通公開鍵と共通私有鍵で構成されている。第一段階に用いられるアルゴリズムは、公開鍵式署名アルゴリズムであり、該アルゴリズムは、Ｒ．Ｌ．Ｒｉｖｅｓｔ、Ａ．ＳｈａｍｉｒおよびＬ．Ａｄｌｅｍａｎが作成者であるＲＳＡアルゴリズムであってよい。
【００２７】
第二過程は、第一の計算手段によってグループに関連づけられたグループの公開鍵を計算２することからなる。計算は、特徴的なアルゴリズムを手段として用いて実行される。このアルゴリズムは、Ｊ．ＣａｍｅｎｉｓｃｈとＭ．Ｍｉｃｈｅｌｓの論文に記載されているものであってよく、該論文はＢ．Ｋａｌｉｓｋｉ（編）『Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ９７』ＬＮＣＳ第１２９６巻、ｐｐ．４１０−４２４、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９９７に「Ｅｆｆｉｃｉｅｎｔ  ｇｒｏｕｐ  ｓｉｇｎａｔｕｒｅ  ｓｉｇｎａｔｕｒｅ  ｓｃｈｅｍｅｓ  ｆｏｒ  ｌａｒｇｅ  ｇｒｏｕｐs」として収録されている。
【００２８】
第三過程は、認証局と、連続的に加わるグループの各メンバーとの間の相互作用の際に、グループの公開鍵に関連づけられたグループの私有鍵を計算３することからなり、グループの各私有鍵は、グループの各メンバーに対して異なっている。相互作用の際、メンバーのグループの私有鍵は、メンバーの記憶手段によって記憶４され、認証局はこの鍵を認識していない。計算は、特徴的なアルゴリズムを手段として用いて実行される。このアルゴリズムは、Ｊ．ＣａｍｅｎｉｓｃｈとＭ．Ｍｉｃｈｅｌｓの論文に記載されているものであってよく、該論文はＢ．Ｋａｌｉｓｋｉ（編）『Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ９７』ＬＮＣＳ第１２９６巻、ｐｐ．４１０−４２４、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９９７に「Ｅｆｆｉｃｉｅｎｔ  ｇｒｏｕｐ  ｓｉｇｎａｔｕｒｅ  ｓｉｇｎａｔｕｒｅ  ｓｃｈｅｍｅｓ  ｆｏｒ  ｌａｒｇｅ  ｇｒｏｕｐs」として収録されている。
【００２９】
第四過程は、第一の計算手段によって、グループのメンバー数と同じだけの対称秘密鍵を決定５することからなる。この決定は鍵を形成するために、恣意的な方法で数字と文字を引くことからなってもよい。変型例によると、対称秘密鍵はある一定の分布を検証することができる。そのような分布は、Ｃ．Ｋ．Ｗｏｎｇ、Ｍ．Ｇ．Ｇｏｕｄａ、およびＳ．Ｓ．Ｌａｍによる、『Ｔｅｃｈｎｉｃａｌ  Ｒｅｐｏｒｔ  ＴＲ−９７−２３』、１９９７年７月２８日所収の「Ｓｅｃｕｒｅ  Ｇｒｏｕｐ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  Ｕｓｉｎｇ  Ｋｅｙ  Ｇｒａｐｈ」というタイトルの論文に記載されている。
【００３０】
第五過程は、第一の計算手段によって、各秘密鍵に共通の私有鍵を計算６することで、失効していないメンバー数と同じだけの共通私有鍵の暗号化された形式を得られるようにすることからなる。暗号化は、ＡＥＳアルゴリズムのような暗号化アルゴリズムを手段として用いることで実行される。
【００３１】
前述の変型例によると、対称秘密鍵はある一定の分布を検証し、該分布によって、共通私有鍵を各秘密鍵の一つによって暗号化するのではなく、それらのいくつかによって暗号化できるようになる。
【００３２】
構築後、グループの構成は変更７することができる。変更はグループ内での失効によって、あるいはグループに新規メンバーが入ることからなる。グループ内での失効ごと、そして選択的には新規メンバーの加入の際に、本方法は以下の過程を含む。
【００３３】
第六過程は、第一の計算手段によって、共通非対称鍵のペアを変更８することで、グループ構成の共通公開鍵と共通私有鍵を最新にできるようにすることからなる。この変更は、典型的には第一段階の際に用いられたものと同一のアルゴリズムを用いることで実行される。
【００３４】
第七過程は、第一の計算手段によって、各秘密鍵に共通の私有鍵を計算９することで、失効していないメンバー数と同じだけの共通私有鍵の暗号化された形式を得られるようにすることからなる。この暗号化は、典型的には第五過程の際に用いられたものと同一のアルゴリズムを用いることで実行される。
【００３５】
任意の所与の時間に、グループのメンバーはメッセージの署名１０に取りかかってから、それを受信者に送信することができる。そのメンバーによるメッセージの匿名署名ごとに、本方法は以下の過程を含む。
【００３６】
第八過程は、共通私有鍵の暗号化された値の一つがメンバー記憶手段によって記憶された対称秘密鍵によって復号化できるときに限り、メンバーの記憶手段によって記憶された共通私有鍵を更新１１することからなる。復号化は、第七過程、つまり暗号化の際に用いられたのと同一のアルゴリズムを用いることで実行される。更新は、復号化アルゴリズムによって共通私有鍵の暗号化された値の一つが復号化できれば実行される。
【００３７】
第九過程は、メンバーの記憶手段に関連づけられた計算手段によって、グループの私有鍵を用いてメッセージの匿名と言われる署名を計算１２することからなる。計算は、匿名署名のアルゴリズムを手段として用いることで実行される。そのようなアルゴリズムは、Ｊ．ＣａｍｅｎｉｓｃｈとＭ．Ｓｔａｄｌｅｒの論文に記載されており、該論文は、Ｂ．Ｋａｌｉｓｋｉ（編）『Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ９７』ＬＮＣＳ第１２９６巻、ｐｐ．４１０−４２４、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９９７に「Ｅｆｆｉｃｉｅｎｔ  ｇｒｏｕｐ  ｓｉｇｎａｔｕｒｅ  ｓｉｇｎａｔｕｒｅ  ｓｃｈｅｍｅｓ  ｆｏｒ  ｌａｒｇｅ  ｇｒｏｕｐs」として収録されている。もう一つの説明はＪ．ＣａｍｅｎｉｓｃｈとＭ．Ｍｉｃｈｅｌｓの論文に与えられており、該論文は、Ｋ．ＯｈｔａとＤ．Ｐｅｉ（編）『Ａｄｖａｎｃｅｓ  ｉｎ  ｃｒｙｐｔｏｌｏｇｙ−ＡＳＩＡＣＲＹＰＴ’９８』ＬＮＣＳ第１５１４巻、ｐｐ．１６０−１７４、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９９８に「Ａ  ｇｒｏｕｐ  ｓｉｇｎａｔｕｒｅ  ｓｃｈｅｍｅ  ｗｉｔｈ  ｉｍｐｒｏｖｅｄ  ｅｆｆｉｃｉｅｎｃｙ」として収録されている。
【００３８】
第十過程は、メンバーの計算手段によって、メンバーの共通私有鍵を用いて、メッセージと匿名署名で構成されるユニットの付加的と言われる署名を計算１３することからなる。第十過程に用いられるアルゴリズムは公開鍵式の署名アルゴリズムであり、該アルゴリズムはＲＳＡアルゴリズムであってよい。
【００３９】
図２は、本発明による方法の特徴的な実施のフローチャートである。図１において既に説明されている要素は、重複説明していない。特徴的な要素を以下に説明する。
【００４０】
第一過程はさらに、ｔ１をグループの構築日時と考えた上で、ｔ１に等しい更新日時を共通私有鍵に関連１４づけることからなる。
【００４１】
第三過程はさらに、各メンバーの記憶手段によって、共通私有鍵の更新日時を記憶１５することからなる。
【００４２】
第六過程の際の日時ｔ２での共通私有鍵の更新ごとに、本方法はさらに、第一の計算手段によって更新日時を変更１６することで、日時ｔ２に等しい更新日時を決定できるようにすることからなる。
【００４３】
受信者に送信されるべきメッセージの、グループのメンバーによる匿名署名ごとに、第八過程は、さらに、メンバーの記憶手段によって記憶された更新日時が、第一の計算手段によって更新された共通私有鍵の更新日時と異なっていれば１７、メンバーの記憶手段によって記憶された共通私有鍵を更新することからなる。それに対して、メンバーの記憶手段によって記憶された日時が更新されたグループの私有鍵の更新日時と等しければ、メンバーの記憶手段による更新は行われない。
【００４４】
失効も新規メンバーの加入もない限り、共通非対称鍵のペアの更新および第一の計算手段による更新日時の更新も行われない。したがって、有利な仕方では、メンバーの計算手段は共通私有鍵の更新はせず、該計算手段は付加的な署名の計算のために、メンバーの記憶手段に記憶されている共通私有鍵を用いる。
【００４５】
図３は、あるシステムを用いた本発明による方法の実施態様のスキーマである。
【００４６】
該システムは、少なくとも一つの計算手段２０と、グループ内のメンバー数と同じだけのチップカード２１1を有している。
【００４７】
個人、法人、国内もしくは国際的機関のような認証局は、図３のサーバーによって表されている計算手段２０を所有している。この計算手段２０は、第一の通信コネクション２２によって通信ネットワーク２３に接続されており、該ネットワークは、インターネットのような公共ネットワークと同様、ＬＡＮネットワークのような私的ネットワークでもよく、ＬＡＮとは英語での用語Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋの略語である。
【００４８】
グループの各メンバーは、チップカード２１1を所有しており、該カードはチップ内に記憶手段２４と計算手段２５を含んでいる。各メンバーはさらにこのカードの読取器２６を所有しているか、あるいは該読み取り器にアクセスでき、該カードは、第二の通信コネクション２７によってパーソナルコンピュータ２８、あるいはそれに準じたあらゆるコンピュータに接続されている。パーソナルコンピュータ２８は、第三の通信コネクション２９によって通信ネットワーク２３に接続されている。
【００４９】
認証局の元でのグループの構築は、認証局とグループの各メンバーとの間の相互作用として表される。この相互作用の前に、認証局のサーバー２０は、グループのメンバーに共通の非対称鍵のペア３０、３１と、グループに関連づけられたグループの公開鍵３２を計算する。各相互作用の際に、認証局のサーバー２０とメンバーの計算手段２５は、グループの私有鍵３３1を計算する。グループの私有鍵３３1は、メンバーのチップカードの記憶手段２４に記憶される。認証局との相互作用の後、メンバーはグループの私有鍵を有しており、該グループの私有鍵は該メンバーに固有のものであり、他のすべてのメンバーのグループの私有鍵とは異なっている。共通非対称鍵のペア３０、３１は、共通公開鍵３０と共通私有鍵３１で構成される。このペア３０、３１に、更新日時Ｄを関連づけることができ、該日時はこのペアの計算による日時ｔ１に初期化されている。グループの私有鍵は、グループの各メンバーについて異なっており、グループの公開鍵３２に関連づけられている。
【００５０】
各相互作用の際に、認証局のサーバー２０は、対称秘密鍵３４1を決定する。サーバー２０が、続いて共通私有鍵３１を各秘密鍵３４iで暗号化することで、失効していないメンバー数とおなじだけの共通私有鍵３１の暗号化された形式を得られるようにする。
【００５１】
一般的に各相互作用の際には、認証局のサーバー２０とメンバーの計算手段２５はさらに、メンバーの識別子３５iを計算する。
【００５２】
認証局とメンバーの相互作用の間、チップカード２１1はその記憶手段２４に共通私有鍵３１、メンバーのグループの私有鍵３３1、そしてメンバーに割り振られた秘密鍵３４1を記憶する。チップカードへの鍵の転送は従来の方法による相互作用の際に実行される。
【００５３】
認証局は、各対称秘密鍵３４iと各メンバーの識別子３５iのコピーを記憶スペースに保存しており、該記憶スペースはサーバー２０の記憶領域あるいは関連づけられた記憶手段３６であってよい。さまざまな公開鍵と共通私有鍵３１の暗号化された値は、記憶スペース２０、３６の共有部分に保存されたディレクトリに整理されており、これはつまり、特にグループの各メンバーによって、あるいは、特にメッセージの各受信者によって直接アクセス可能ということであり、これはネットワーク２３を介して行われる。
【００５４】
認証局の元での構築後、グループは、グループ内への新規メンバーの加入によって、あるいはグループのメンバーの失効によって進展することができる。
【００５５】
グループ内での失効ごとに、サーバー２０が共通非対称鍵３０、３１を変更することで、グループの構成の非対称鍵のペアを最新にできるようになる。この更新は、更新と言われる所与の日付で実行される。該更新はまた、場合によってはグループ内への新規メンバーの加入の際にも実行される。
【００５６】
共通非対称鍵のペアを最新にした後、サーバー２０はグループの失効していないメンバーのチップカード２１1用に、暗号化された形式でこの非対称鍵のペアの私有鍵３１を配置する。サーバー２０は、失効していない各メンバーの個人用の秘密鍵３４iを用いることで、これらのメンバー数と同じだけの暗号化された形式を計算する。グループの進展ごとに、サーバー２０は最新の共通非対称鍵のペア３０、３１の私有鍵３１を暗号化する。
【００５７】
用いられる暗号化アルゴリズムの入力引数として導入された個人用の各秘密鍵３４iは、最新の非対称鍵のペアの共通私有鍵３１の暗号化された値である結果に対応する。さまざまな結果と、一般的には更新日時は、ディレクトリに整理される。
【００５８】
グループのメンバーがパーソナルコンピュータ２８に保存されたメッセージに署名しようとするとき、該メンバーは自身のチップカード２１1をこのコンピュータ２８に接続された読み取り器２６に挿入する。チップカード２１1の計算手段２５は記憶スペース２０、３６につながっており、該スペースにディレクトリが、パーソナルコンピュータ２８とネットワーク２３を介して保存されている。
【００５９】
チップカード２１1は、共通私有鍵の更新日時Ｄをディレクトリで読み取る。チップカード２１1の計算手段２５は、この更新日時Ｄを、該チップカードが自身の記憶手段２４に保持している日時Ｄ1と比較する。これらの日時は異なっているか、あるいは同一となっている。
【００６０】
日時が異なっていれば、チップカード２１1は、例えば、自身の記憶手段２４に共通私有鍵３１の暗号化されたさまざまな形式をコピーすることができる。そうすると、チップカード２１1の計算手段２５は、共通私有鍵３１の暗号化された各形式の復号化に取りかかることができ、これには前もって用いられた暗号化アルゴリズムに関連づけられた復号化アルゴリズムを用いる。入力引数は、一方ではチップカード２１1に記憶された個人用秘密鍵３４1を、他方では、連続的に取られた、共通私有鍵３１の暗号化された形式をとっている。復号化の第一の正しい結果にあたり、チップカード２１1は、一方では、該チップカードが自身の記憶手段２４に保持している共通私有鍵３１を、暗号化された共通私有鍵３１の復号化された値によって更新し、他方では、該チップカードが自身の記憶手段２４に保持している更新日時Ｄ1を、暗号化された共通私有鍵３１の復号化された値に関連づけられた更新日時Ｄによって更新する。
【００６１】
もう一つの方法は、共通私有鍵３１の暗号化された各形式の前に、関係しているメンバーの識別子を置くことからなる。チップカード２１1の計算手段２５は、そうすると、該識別子を用いて共通私有鍵３１の暗号化された各形式のテストに取りかかることができる。チップカードは、有効なテストに達すると、それから共通私有鍵３１の暗号化された形式の復号化に取りかかり、該形式は、前もって用いられた暗号化アルゴリズムに関連付けられた復号化アルゴリズムによって、自身に対応する。入力引数は、一方ではチップカード２１1に記憶された個人用の秘密鍵３４1を、他方では共通私有鍵３１の暗号化された形式をとっている。チップカード２１1は、一方では該チップカードが自身の記憶手段２４に保持している共通私有鍵３１を、暗号化された共通私有鍵３１の復号化された値によって更新し、他方では、該チップカードが自身の記憶手段２４に保持している更新日時Ｄ1を、暗号化された共通私有鍵３１の復号化された値に関連づけられた更新日時Ｄによって更新する。
【００６２】
日付が同一であれば、チップカードは自身の記憶手段２４に共通私有鍵３１のさまざまな暗号化された形式のコピーは実行しない。この状況は、グループへのメンバーの加入から、グループのいかなる進展も起こらなかったときに生じるもので、したがって、チップカード２１1は最新の共通私有鍵３１を保持する。
【００６３】
この更新段階の後、チップカード２１1の計算手段２５はコンピュータ２８に記憶されたメッセージを回収する。チップカード２１1の計算手段２５は、署名アルゴリズムによってこのメッセージの匿名署名を計算する。入力引数は、一方ではメッセージを、他方ではチップの記憶手段２４に記憶されたグループの私有鍵３３1をとっている。
【００６４】
この計算の後、チップカード２１1の計算手段２５は、先行する署名のアルゴリズムを用いて、メッセージと匿名署名で形成されるユニットの付加的といわれる第二の署名を計算する。入力引数は、一方ではメッセージと匿名署名で形成されるユニットを、他方ではメンバーの記憶手段に記憶された共通私有鍵３１をとっている。
【００６５】
最後に、チップカード２１1はメンバーによって選択された受信者に、付加的な署名、匿名署名、およびメッセージを送信する。
【００６６】
受信者はこれらの条件の下、メッセージに署名したメンバーが失効していないメンバーであることを検証することができる。そのために受信者は、共通公開鍵を用いて、それぞれグループの公開鍵である付加的な署名と匿名署名という二つの署名のそれぞれを検証する。検証するために、受信者は、例えばパーソナルコンピュータ３７で使用可能な検証アルゴリズムを用いる。入力引数は、一方ではメッセージを、他方では共通公開鍵をとっており、それぞれがグループの公開鍵となっている。
【００６７】
本発明による方法の第一の応用は、電子投票である。電子投票は二つの段階で展開される。
−管理局の元での選挙人名簿への登録。
−投票管理サーバーに通信ネットワークを介して接続された投票箱への投票操作。
【００６８】
登録の際、有権者は本発明による方法にしたがって、グループの私有鍵を得る。この方法の実施において、有権者がグループの私有鍵から作成することになる匿名署名は、「相関的」と言われる。これは、有権者が匿名署名を作成することで、匿名の方法で第二の投票用紙に署名しようとした場合、この用紙が投票箱に拒否されることになるということを意味する。実際、匿名署名が相関的であるので、投票箱は第二の匿名署名かどうかを検証することができる。
【００６９】
不正の意志のある有権者は、グループの私有鍵を紛失したと主張し、私有鍵をもう一つ受け取り、二回投票できるようにすることはできない。実際、本発明による方法の実施により、該有権者にグループの第一の私有鍵の使用を禁止できるようになるのだが、これはつまり、該有権者がグループの第一の私有鍵を紛失したと申告した瞬間にこのグループの私有鍵が更新されるのである。この紛失は、メンバーの失効として本発明による方法の実施によって管理される。
【００７０】
本発明による方法の第二の応用は、ネットオークションサービスである。オークションは、三つの関与者を必要とする。つまり、オークションサーバー、認証局、および客である。客の集合は、客のグループと言われるグループを形成する。客のグループに登録しようとする利用者は認証局にアクセスしなければならず、該認証局が該利用者にグループの私有鍵を提供する。こうして該利用者は、グループの匿名署名を作成する権利を得る。この権利を携えているので、該利用者は匿名の方法で各オークションに署名することができる。ある製品に対するオークションのとき、客のグループの各メンバーは、特に競売中の製品と入札金額を含んでいるメッセージに署名することで、高値をつけることができる。オークションサーバーは、グループの匿名署名を検証することで、グループの帰属を、したがってオークションの有効性を検証することができる。落札者は、落札前に最後の入札を行った人である。オークションサーバーによって受理された最後のメッセージはしたがって、落札者のメッセージである。サーバーはそうして、このメッセージと、対応しているグループの匿名署名を認証局に伝え、該認証局だけが、匿名性を解除し、そうしてオークションにかけられた製品の購入者の物理的なＩＤを決定することができる。
【００７１】
オークションは、グループダイナミクスを機能させる。新たな人物が日毎にグループに登録することができ、メンバーはいつでも、グループを離れることも、不正により追放されることもある。したがって、失効システムを設置することにより、失効したメンバーが自身の署名を不正に利用することができないようにすることが不可欠である。実際、失効したメンバーは、グループの私有鍵を用い続けることで、オークションに参加し、例えば金額をつり上げるなどして、オークションの円滑な進行を狂わせることもできるのである。そして、問題のオークションで勝たないように手続きから十分に早期に抜けるようにしてしまえば、落札者のＩＤしか最終的に明らかにされないため、この不正は検出されない。本発明による方法の実施により、グループの一人または複数のメンバーの失効の問題を解決できるようになる。
【００７２】
本発明による方法の第三の応用は、電子支払いである。この応用は、四つの関与者を機能させる。つまり、客、販売者、銀行、および認証局である。各客は、第一の取引を実行できるようになる前に、システムに識別してもらい、グループの私有鍵を得られるようにしなければならない。支払いを実行するために、客は銀行から電子マネーを引き出さなければならない。該客が引き出すマネーは、ブラインド署名と言われるメカニズムを用いることで匿名である。販売者におけるマネーＣの支出は以下の方法で行われる。客はマネーＣに対するグループの署名を生成し、署名とマネーＣの全体を販売者に送信する。販売者は、各マネーＣに付いた銀行の署名を検証し、そしてグループの署名を検証する。二つの署名のそれぞれが有効であれば、販売者は取引を受理する。期日の所与のとき、販売者は銀行に、署名と口座振替での支払いで受領したマネーを送信する。例えば同一のマネーをいくつかの取引で再利用することによるような不正の場合、銀行が争点となっているマネーに対するグループの署名を認証局に送信することで、該銀行は不正な客を識別し、違反者を処罰できるようにする。
【００７３】
グループの評判の悪い私有鍵の失効という信頼度の高いメカニズムは、以下のタイプの不正行為を避けるために必要である。つまり、誠実ではない客が認証局に、グループの私有鍵ｓを紛失したことを連絡し、そうしてｓを使って犯されうる不正行為に対するあらゆる責任を負わない。該客は共犯者に自身の鍵を渡し、該共犯者は銀行から正式に引き出したマネーｃに署名するために、ｓを用い、そして好きな回数だけ該マネーを使う。本発明による方法によって、グループの私有鍵の失効という問題を解決できるようになる。
【図面の簡単な説明】
【００７４】
【図１】本発明による方法のフローチャートである。
【図２】本発明による方法の特徴的な実施のフローチャートである。
【図３】は本発明による方法の特徴的な実施態様のスキーマである。
【符号の説明】
【００７５】
２０  計算手段
２１  チップカード
２２  通信コネクション
２３  通信ネットワーク
２４  記憶手段
２５  計算手段
２６  読取器
２７  通信コネクション
２８  パーソナルコンピュータ
２９  通信コネクション
３０  共通公開鍵
３１  共通私有鍵
３２  公開鍵
３３  グループの私有鍵
３４  秘密鍵
３５  識別子
３６  記憶手段
３７  パーソナルコンピュータ
【図１】
2005525721.tif 000002
【図２】
2005525721.tif 000003
【図３】
2005525721.tif 000004
【国際調査報告】
2005525721.tif 000005
2005525721.tif 000006
2005525721.tif 000007
2005525721.tif 000008