(57)【要約】【課題】インターネットで、匿名性を確保した状態で、活発な情報交換の場を形成し、かつ、ユーザの投票により行き過ぎた行為者の追放等を可能にする。【解決手段】ユーザ装置は、ブラインド署名を用いて管理者装置によってオーソライズされたサービスチケットを当該ユーザＩＤを管理者装置に渡すことなく得る手段と、前記ブラインド署名により得たサービスチケットを用いて管理者装置にＩＤを知られることなくネットワーク上の情報交換サービスを利用する手段と、あるユーザ（行為者）の情報交換サービスに対する行為（対象行為）の是非についてＩＤを知られることなく投票を行う手段などを有する。管理者装置は、ユーザ装置からの投票を集計する手段と、ユーザ装置からの二重投票を検証する手段と、投票の集計結果によって、行為者のＩＤを知ることなく、行為者の対象行為を制限する手段などを有する。【選択図】図１
2008004048.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上に、該ネットワーク上で提供される情報交換サービスを管理する管理者の管理者装置と、情報交換サービスを利用するユーザのユーザ装置が繋がれた情報交換システムにおける他者間意思決定方法であって、
ユーザ装置は、管理者装置に対してブラインド署名を用いて管理者装置によってオーソライズされた前記情報交換サービス利用のためのチケット（以下、サービスチケット）を当該ユーザが誰であるかを示す情報（以下、ＩＤ）を管理者装置に渡すことなく得るステップと、前記ブラインド署名により得たサービスチケットを用いて管理者装置にＩＤを知られることなく情報交換サービスを利用するステップと、あるユーザ（以下、行為者）の情報交換サービスに対する行為（以下、対象行為）の是非についてＩＤを知られることなく投票を行うステップとを有し、
管理者装置は、ユーザ装置からの投票を集計するステップと、ユーザ装置からの二重投票を検証するステップと、投票の集計結果によって、行為者のＩＤを知ることなく、行為者の対象行為を制限するステップとを有することを特徴とする他者間意思決定方法。
【請求項２】
ネットワーク上に、該ネットワーク上で提供される情報交換サービスを管理する管理者の管理者装置と、情報交換サービスを利用するユーザのユーザ装置と、グループ署名用サーバとが繋がれた情報交換システムにおける他者間意思決定方法であって、
ユーザ装置は、管理者装置に対してブラインド署名を用いて管理者装置によってオーソライズされた者であることをグループ署名用サーバに証明し、該グループ署名用サーバを介し、グループ署名を用いることにより前記情報交換サービス利用のためのチケット（以下、サービスチケット）を当該ユーザが誰であるかを示す情報（以下、ＩＤ）を管理者装置に渡すことなく得るステップと、前記ブラインド署名とグループ署名により得たサービスチケットを用いて管理者装置にＩＤを知られることなく情報交換サービスを利用するステップと、あるユーザ（以下、行為者）の情報交換サービスに対する行為（以下、対象行為）の是非についてＩＤを知られることなく投票を行うステップとを有し、
管理者装置は、ユーザ装置からの投票を集計するステップと、ユーザ装置からの二重投票を検証するステップと、投票の集計結果によって、行為者のＩＤを知ることなく、行為者の対象行為を制限するステップとを有することを特徴とする他者間意思決定方法。
【請求項３】
請求項１もしくは２に記載の他者間意思決定方法の方法において、
管理者装置は、ユーザ装置からの投票を所定期間受け付けるステップをさらに有することを特徴とする他者間意思決定方法。
【請求項４】
請求項３に記載の他者間意思決定方法において、
管理者装置は、前記所定期間中、随時、投票の集計結果をユーザに告知するステップをさらに有することを特徴とする他者間意思決定方法。
【請求項５】
請求項３もしくは４に記載の他者間意思決定方法において、
管理者装置は、前記所定期間中でも、行為者の対象行為を否定する投票の数が所定値以上になった場合には、その時点で行為者の対象行為を制限し、逆に行為者の対象行為を肯定する投票の数が所定値以上になった場合には、その時点で評価を中止すること特徴とする他者間意思決定方法。
【請求項６】
請求項３もしくは４に記載の他者間意思決定方法において、
管理者装置は、行為者から対象行為を改めて要求を受け付けると、そのことをユーザに告知するステップをさらに有することを特徴とする他者間意思決定方法。
【請求項７】
請求項１ないし６のいずれか１項に記載の他者間意思決定方法を実施する情報交換システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は電子アクセス、電子投票などにおいて、普段は管理者の提供するサービスに対して匿名性を確保した状態でアクセス可能であるが、そのサービス内における投票行為などにおいても匿名性を確保したままで投票を行うことができる他者間意思決定方法及びそれを実施した情報交換システムに関する。
【背景技術】
【０００２】
現在、インターネット上では掲示板、ｂｌｏｇ、ＳＮＳ（ソーシャルネットワーキングサービス）など様々な情報交換サービスが展開されている。これらのサービスにおいては、例えば「にちゃんねる」のようにユーザ同士だけでなく管理者に対しても匿名なサービスがあり、その匿名性が活発な情報の交換の場を提供する一要因となっている。一方で、多くの掲示板やｂｌｏｇ等においてはユーザの登録制を取っているところもみられ、管理者に対しては実名、もしくは仮名の状態でサービスが提供されており、管理者にとっても管理しやすく、結果的にユーザにとっても安心な情報交換の場を提供している。ここで、「実名」とは管理者に対して、ユーザが誰であるかまでわかる状態、「仮名」とは管理者に対して、同一のユーザであることだけが分かる状態、「匿名」とは管理者に対して、ユーザであることだけがわかる状態をそれぞれ表すとする。
【０００３】
管理者に対する匿名性と活発、安心な情報交換の場の形成とには非常に密接な係わり合いがあり、活発かつ安心な情報交換の場を提供するために、非特許文献１に示されているようなグループ署名や、非特許文献２に示されているようなリング署名を用いることによって、普段は匿名の状態でのサービスヘのアクセスを許し、有事の際には所定の手続きを踏むことによって実名、もしくは仮名の状態へと変化させることができる技術の利用が考えられる。
【０００４】
さらに、実名の状態の掲示板等においてさえ活発な情報交換がなされ、時には行き過ぎた内容の情報が提供される場合などにおいては、管理者の判断、もしくは参加ユーザの総意によってその情報の削除や情報提供者をそのサービス追放などの処置を行うことによって、安心な情報交換の場を形成する方法も考えられる。中でも、参加ユーザの総意による管理を行うことにより、管理者が全ての提供された情報のチェックを行わなくて済むことや、ユーザの意見を反映させたサービス管理を行うことができるなど様々なメリットを得ることができる。
【０００５】
このとき、ユーザからの総意を電子的に得る際には、電子投票などの技術の応用が考えられる。正しくユーザからの総意を得るためには、投票者による二重投票や共謀や管理者による集計操作などの投票に関わる不正の排除を如何に行うか、また投票の際の投票者のプライバシの保護のために投票に関わる匿名性（以下では、サービスの提供を受ける際の、管理者に対するユーザの行為についての匿名性を「行為の匿名性」とし、ユーザからの総意を得る際の、管理者に対するユーザの投票についての匿名性を「投票の匿名性」と呼ぶことにする）の確保を如何に行うか、ということが非常に重要となる。不正の排除に関しては非特許文献１に示されているようなブラインド署名技術や、投票の匿名性の確保に関しては前述のグループ署名技術などの利用が考えられる。また、特許文献１では、複数回の投票行為が行われるような場合に対して、その複数回の投票行為間における同一ユーザの投票のリンクを断つことによりさらなる匿名性の確保を行っている。
【特許文献１】佐古，“匿名参加権限管理システム，”特開２００１−２０２０１３
【非特許文献１】Ｉ．Ｄamgard  ndＭ．Ｋoprowski，“Ｐractical  threshold  ＲＳＡ  signatures  without  a  trusted  dealer”，ＥＵＲＯＣＲＹＰＴ  ‘０１，ＬＮＣＳ  ２０４５，ｐｐ．１５２−１６５，Ｓpringer−Ｖerlag，２００１
【非特許文献２】菊池，多田，中西，“リング署名プロトコルにおける署名者開示，”第２０回コンピュータセキュリティ研究会（ＣＳＥＣ）予稿集，２００３年２月
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上述のように、活発かつ安心な情報交換の場を提供するためには、管理者にユーザ登録を行った後にユーザの管理者に対する行為の匿名性を回復し、このとき行き過ぎた情報の提供等があった場合には参加ユーザの総意による行為の匿名性の排除に基づく削除や追放が行われ、さらにその際のユーザの総意を正しく得るためには投票に関わる不正の排除や投票の匿名性の確保を行うことが重要である。また、投票の匿名性の確保を考えた場合、特許文献１の方法は複数回の投票行為間における同一ユーザの投票のリンクまで断っているため匿名性は高いと考えられるが、そのためにグループ署名を応用した技術を利用しているために重い処理になる懸念がある。さらに、特許文献１の方法をそのまま用いた投票を行ったとしても、管理者に対してユーザの行為の匿名性が匿名の状態であった場合には、行為の匿名性を排除することは容易には実現できないため、削除や追放といった処置を行うことが容易には実現できない。
【０００７】
本発明においては、活発かつ安心な情報交換の場を提供するため、管理者にユーザ登録を行った後にユーザの管理者に対する行為の匿名性を回復し、このとき行き過ぎた情報の提供等があった場合には参加ユーザの総意による行為の匿名性の排除に基づく削除や追放が行われ、さらにその際のユーザの総意を正しく得るためには投票に関わる不正の排除や投票の匿名性の確保を行うことを目指し、ブラインド署名技術を利用した比較的軽い処理によって、行為の匿名性については仮名の状態を実現し、投票の匿名性についても仮名の状態を実現することで前述の課題の解決を図る。さらに、ブラインド署名技術とグループ署名技術を組み合わせることによって行為の匿名性については匿名の状態を実現しつつ、投票の匿名性については仮名の状態を維持することで前述の課題の解決策を提案する。
【課題を解決するための手段】
【０００８】
本発明は、ネットワーク上に、該ネットワーク上で提供される情報交換サービスを管理する管理者の管理者装置と、情報交換サービスを利用するユーザのユーザ装置が繋がれた情報交換システムにおいて、ユーザ装置は、管理者装置に対してブラインド署名を用いて管理者装置によってオーソライズされた前記情報交換サービス利用のためのチケット（以下、サービスチケット）を当該ユーザが誰であるかを示す情報（以下、ＩＤ）を管理者装置に渡すことなく得る手段と、前記ブラインド署名により得たサービスチケットを用いて管理者装置にＩＤを知られることなく情報交換サービスを利用する手段と、あるユーザ（以下、行為者）の情報交換サービスに対する行為（以下、対象行為）の是非についてＩＤを知られることなく投票を行う手段とを具備し、管理者装置は、ユーザ装置からの投票を集計する手段と、ユーザ装置からの二重投票を検証する手段と、投票の集計結果によって、行為者のＩＤを知ることなく、行為者の対象行為を制限する手段とを具備することを特徴とする。
【０００９】
また、本発明は、ネットワーク上に、該ネットワーク上で提供される情報交換サービスを管理する管理者の管理者装置と、情報交換サービスを利用するユーザのユーザ装置と、グループ署名用サーバとが繋がれた情報交換システムにおいて、ユーザ装置は、管理者装置に対してブラインド署名を用いて管理者装置によってオーソライズされた者であることをグループ署名用サーバに証明し、該グループ署名用サーバを介し、グループ署名を用いることにより前記情報交換サービス利用のためのチケット（以下、サービスチケット）を当該ユーザが誰であるかを示す情報（以下、ＩＤ）を管理者装置に渡すことなく得る手段と、前記ブラインド署名とグループ署名により得たサービスチケットを用いて管理者装置にＩＤを知られることなく情報交換サービスを利用する手段と、あるユーザ（以下、行為者）の情報交換サービスに対する行為（以下、対象行為）の是非についてＩＤを知られることなく投票を行う手段とを具備し、管理者装置は、ユーザ装置からの投票を集計する手段と、ユーザ装置からの二重投票を検証する手段と、投票の集計結果によって、行為者のＩＤを知ることなく、行為者の対象行為を制限する手段とを具備することを特徴とする。
【００１０】
また、管理者装置は、ユーザ装置からの投票を所定期間受け付ける手段や、前記所定期間中、随時、投票の集計結果をユーザに告知する手段をさらに具備することを特徴とする。管理者装置は、前記所定期間中でも、行為者の対象行為を否定する投票の数が所定値以上になった場合には、その時点で行為者の対象行為を制限し、逆に行為者の対象行為を肯定する投票の数が所定値以上になった場合には、その時点で評価を中止する。
【００１１】
また、管理者装置は、行為者から対象行為を改めて要求を受け付けると、そのことをユーザに告知する手段をさらに具備することを特徴とする。
【発明の効果】
【００１２】
本発明によれば、サービスを利用するユーザはユーザ間はもとより、管理者に対しても仮名、もしくは匿名の状態を、サービスの利用目的の違反等の他のユーザの気持ちを害するような行為をしない限りにおいて、維持することが可能であるので行為の匿名性の確保により活発な情報交換の場を形成することができ、かつ、ユーザの総意により行き過ぎた情報の提供等の行為の削除やその行為者の追放などを安心な情報交換の場の形成もすることができ、さらにそのユーザの総意を得る際には投票に関わる不正の排除と投票の匿名性の確保により正しいユーザ総意の形成が可能となる。また、ブラインド署名のみを用いた方法とブラインド署名とグループ署名を用いた方法を選択可能とすることにより、処理速度等に基づく最適なサービス提供の形態を選ぶことも可能となる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の実施の形態について図面を用いて詳しく説明する。
［第１の実施の形態］
ここでは第１の実施形態として、ユーザの操作するユーザ装置とサービス提供者の操作するサービス提供者装置が繋がれたネットワーク上で、サービス提供者は、自身の提供するサービスとしてあるタレントのファンが集まりコミュニケーションを図ることを目的としたインターネット上のファンクラブを提供しており、当該ファンクラブ内の提供コンテンツにおいてあるユーザの目的に沿わない行為、例えば掲示板に対する誹謗中傷の書き込みや、違法なファイルの共有などを対象行為とし、該対象行為を確認したユーザ（以下、評価者）が評価を行い、その結果として該対象行為のユーザ（以下、行為者）がファンクラブから削除される例について、図面を用いて詳細に説明する。
【００１４】
第１の実施形態におけるシステム構成は、図１に示すように、ユーザ１４０が操作するユーザ装置１４１、ファンクラブ１０を提供している管理者１０００が操作する管理者装置１００１がネットワーク１５００を通じて接続されている。ここで、ファンクラブ１０において目的に沿わない対象行為を行うユーザを行為者１１０、該行為者１１０の操作するユーザ装置を行為者装置１１１とし、対象行為を確認しそれを評価するユーザを評価者１２０、該評価者１００の操作するユーザ装置を評価者装置１２１とする。図２乃至図５に管理者装置１００１、ユーザ装置１４１、行為者装置１１１及び評価者装置１２１の主要構成要素をそれぞれ示す。
【００１５】
まず、管理者１０００が提供するファンクラブ１０に加入するための手続きについて説明する。図６はその処理フローチャートを示す。
【００１６】
管理者１０００が提供するファンクラブ１０に加入するために、そのサービスの加入を希望する者（以下、ユーザ１４０）は、自身の属性情報からサービス加入に必要な情報をサービス加入者情報Infoyとして、自身の操作する装置（以下、ユーザ装置１４１）の具備するサービス加入者情報作成部１４２を用いて作成、もしくは専用の申し込み用紙等を用いて作成し、それをユーザ装置１４１を用いて管理者装置１００１に送信、もしくは郵送にて管理者１０００に提出する。管理者１０００は、ユーザ１４０から受け取ったサービス加入者情報Infoyをもとに、自身が定めるファンクラブ１０の利用条件を満たすものであればユーザ１４０のファンクラブ１０への加入を認めて、ユーザ１４０に対して管理者装置１００１の具備するサービス提供部１００２へのアクセスのための初期ユーザＩＤであるＩＤyと初期ユーザパスワードであるＰＷyを管理者装置１００１の具備するユーザＩＤ＆ユーザパスワード生成部１００３から生成する。そして、管理者１０００は、このＩＤyとＰＷyを管理者装置１００1を用いてユーザ装置１４１に送信、もしくは郵送で送信し、さらにユーザ１４０のサービス加入者情報InfoyにＩＤyとＰＷyと結びつけて、管理者装置１００１の具備するユーザＩＤ＆ユーザパスワード記憶部１００８に記憶する。ユーザ１４０は自身の操作するユーザ装置１４１の具備するユーザＩＤ＆ユーザパスワード記憶部１４５に管理者１０００から受け取ったＩＤyとＰＷyを記憶する。
【００１７】
次に、この初期ユーザＩＤであるＩＤyと初期パスワードであるＰＷyを得たユーザ１４０は、ファンクラブ１０にアクセスするために必要な管理者からの証明書certyを管理者１０００が誰に発行したか分からない形で得るために、ブラインド署名の技術を用いた証明書発行を以下のように行う。
【００１８】
ユーザ１４０は、自身の操作するユーザ装置１４１の具備する署名鍵対生成部１４３において、ユーザ署名公開鍵pkyとユーザ署名秘密鍵skyの鍵対を生成し、さらに乱数ｒyを生成し、ユーザ署名公開鍵pkyにハッシュをかけたｈ（pky）に対して、管理者署名公開鍵pksを用いて
【００１９】
【数１】
2008004048.tif 000003
のような暗号化を行い、管理者装置１００１へ送信をする。これを受け取った管理者装置１００１は、管理者署名秘密鍵sksを用いて
【００２０】
【数２】
2008004048.tif 000004
のように署名を行い、これをユーザ装置１４１へ返送する。これを受け取ったユーザ装置１４１は乱数ｒyを除去することによって、ユーザ署名公開鍵pkyに対する管理者１０００からの証明書
【００２１】
【数３】
2008004048.tif 000005
を得て、証明書記憶部１４６に記憶する。
【００２２】
以上により、ユーザ１４０は管理者１０００に対してブラインド署名を用いて、ユーザ１４０が誰であるかを示す情報（ＩＤ）を管理者に渡すことなく、管理者１０００によってオーソライズされた証明者（サービスチケット）を得ることができる。
【００２３】
次に、ユーザによるファンクラブ１０への記事の投稿等を行う場合の処理について説明する。図７はその処理シーケンスを示す。
【００２４】
記事を投稿等したいユーザ１４０は自身の操作するユーザ装置１４１を用いて管理者装置１００１の具備するサービス提供部１００２にアクセスを要求する。管理者装置１００１は、自身の具備する認証実行部１００７においてチャレンジデータchを生成し、さらに時間情報計算部１００６からその時の時刻情報Ｔnowを取得し、これらをユーザ装置１４１へ送信する。これを受け取ったユーザ装置１４１は、自身の具備する認証実行部１４４においてユーザ署名秘密鍵skyを用いて、チャレンジデータch、時刻情報Ｔnowに対する署名Ｓigy生成し、署名Ｓigyとユーザ署名公開鍵pkyと証明書certyとを管理者装置１００１に返信する。
【００２５】
管理者装置１００１は、チャレンジデータch、時刻情報Ｔnow、ユーザ署名公開鍵pkyから署名Ｓigyの検証を行い、続いて証明書certyからユーザ署名公開鍵pkyの検証を行う。そして、管理者装置１００１は、証明書certyの正当性を検証した後に、そのcertyが自身の具備するブラックリスト記憶部１０１２に記憶されていないことを確かめた上で、ファンクラブ１０へのアクセスを許可する。この時点で、証明書certyと、初期ユーザＩＤ、初期ユーザパスワードＰＷとの結びつきが分からないため、管理者２０００には誰がアクセスしているかを知ることができない。
【００２６】
許可を得たユーザ１４０は、自身の操作するユーザ装置１４１を用いてファンクラブ１０への記事の投稿等を行い、これを受信した管理者１０００は、自身の操作する管理者装置１００１を用いて、そのときのセッション情報ｍと証明書certyとをリンクさせ、管理者装置１００１の具備するセッション情報記憶部１０１１に記憶しておく。
【００２７】
以上により、ユーザ１４０は、ブラインド署名により得た証明書（サービスチケット）を用いて、管理者１０００にＩＤ等を知られることなくファンクラブ１０へアクセスして記事の投稿等を行うことができる。
【００２８】
次に、あるユーザ（行為者）が行った行為（対象行為）に対する評価処理について説明する。
【００２９】
初めに、いくつかの前提条件について説明する。
＜ファンクラブ１０の利用条件の作成＞
ファンクラブ１０を作成した管理者１０００が、ファンクラブ１０の作成目的に応じて利用条件ｍsを指定し、これを受けて管理者装置１００１の具備する利用条件設定部１００４により、ファンクラブ１０の利用条件ｍsが生成され、管理者装置１００１の具備するサービス提供部１００２に格納される。
＜評価による削除の判断基準としての開催の設定と評価期間の設定＞
ファンクラブ１０を作成した管理者１０００が、ファンクラブ１０に対する対象行為を容認する数、容認しない数（以下、参加閾値Ｖalok、削除閾値Ｖalng）を自身の操作する管理者装置１００１の具備する利用可否判断情報作成部１００５から生成し、管理者装置１００１の具備する利用可否判断情報記憶部１００９に記憶させる。また、評価を行う期間（以下、評価期間Ｔeval）を自身の操作する管理者装置１００１の具備する同じく利用可否判断情報作成部１００５から生成し、管理者装置１００１の具備する利用可否判断情報記憶部１００９に記憶させる。
【００３０】
次に、対象行為の評価処理について説明する。図８は対象行為評価時の管理者装置１００１の処理フローチャートを示す。
【００３１】
いま、ファンクラブ１０に利用を行う行為者１１０が自身の操作する行為者装置１１１を用いて、管理者装置１００１の具備するサービス提供部１００２に格納されている利用条件ｍsに反した内容の行為を行ったとする。その行為を確認したあるユーザ（評価者１２０）は、行為者１１０のファンクラブ１０への利用を制限する必要があると判断した場合、評価者１２０の操作する評価者装置１２１の具備する評価開始情報生成部１２２より評価開始情報Infosを生成し、その評価開始情報Infosを管理者装置１００１に送信する。
【００３２】
管理者装置１００１は、評価者１２０から評価開始情報Infosを受け取ると（ステップ８０１）、その時刻を自身の具備する時間情報計算部１００６から評価開始時刻Ｔstartとして生成し、利用可否判断情報記憶部１００９から評価期間Ｔevalを取り出し、これらから時間情報計算部１００６より評価終了時刻Ｔendを生成し（ステップ８０２）、評価開始情報Infos、評価開始時刻Ｔstart、評価終了時刻Ｔendを自身の具備する利用可否判断情報記憶部１００９に記憶する。そして、管理者装置１００１は、掲示板等を用いてファンクラブ１０を利用するユーザに対し、評価開始情報Infosが提出されたことを告知して、ユーザからの評価の受付けを開始する（ステップ８０３）。以下、行為者１１０の行為を評価するユーザをすべて評価者１２０と呼ぶことにする。
【００３３】
評価者１２０は自身の操作する評価者装置１２１を用いて管理者装置１００１のサービス提供プ１００２にアクセスし当該対象行為を確認する。それを確認した評価者１２０は、行為者１１０のファンクラブ１０への利用を制限する必要があるかどうかを判断し、その結果である利用可否評価情報ｍjを評価者装置１２１を用いて管理者装置１００１へ送信を試みる。それを受けた管理者２０００は、行為者から参加取り消し要求がないか、評価期間内かチェックした後（ステップ８０４、８０５）、前述のユーザによる記事の利用の手続きと同様にチャレンジ＆レスボンス認証によって評価者の正当性を確認し、さらに評価者１２０の証明書certyから送信された利用可否評価情報ｍjが存在しないかどうかを調べ（ステップ８０６）、存在しなければ利用可否評価情報ｍjと証明書certyを結びつけて利用可否判断情報記憶部１００９に記憶し、さらに参加可否評価情報ｍjに記された参加の可否それぞれの集計値Ｎok，Ｎngについてカウントアップしてサービス提供部１００２に格納する（ステップ８０７、８０８、８０９）。
【００３４】
次に、評価の終了について説明する。行為者１１０、もしくはユーザは自身の操作する装置を用いて管理者装置１００１の具備するサービス提供部１００２にアクセスし、集計値ＮokかＮngを閲覧することができる。それを閲覧した結果として、行為者１１０が自己の行為を取りやめる場合は、行為者装置１１１の具備する行為取り消し要求生成部１１３から参加取り消し要求ｍtを作成し、それを管理者装置１００１へ送信する。管理者１０００は、行為者１１０から参加取り消し要求を受理すると、管理者装置１００１のサービス提供部１００２から評価開始情報Infosを削除し、同時に掲示板等を用いて評価開始情報Infosが削除されたことを評価者１２０に告知し、行為者１１０の評価を終了する（ステップ８１４）。
【００３５】
また、管理者１０００は、自身の操作する管理者装置１００１の具備するサービス提供部１００２から、行為者１１０の行為に対して評価者１２０の評価の集計値Ｎok，Ｎngを取り出し、また、利用可否判断情報記憶部１００９から参加閾値Ｖalok、削除閾値Ｖalngを取り出して、集計値Ｎokが参加閾値Ｖalokを超えた場合には、評価終了時刻Ｔendの前でも、管理者１０００は行為者１１０の利用内容を認めて評価を終了し（ステップ８１０でＹＥＳ）、また評価終了時刻Ｔendを過ぎても集計値Ｎngが削除閾値Ｖalngを超えなかった場合、同様に、管理者１０００は行為者１１０の利用内容を認めて評価を終了する（ステップ８１２でＮＯ）。
【００３６】
一方、集計値Ｎngが削除閾値Ｖalngを超えた場合（ステップ８１１、８１２でＹＥＳ）、管理者１０００は行為者１１０の利用を制限する必要があると判断し、そのcertyをブラックリスト記憶部１０１２に載せることによって、その利用を制限し（ステップ８１３）、行為者１１０の評価を終了する。
【００３７】
以上、により、あるユーザの行為（対象行為）に対して、その対象行為の削除・訂正やその対象行為を行ったユーザ（行為者）をサービスできない状態にするかどうかの是非についての投票を、行為者以外のユーザ（評価者）が、その投票に関して当該評価者のＩＤ等を管理者に知られること無く行うことができ、また、その投票の結果によって管理者は、行為者のＩＤ等を知ることなく、対象行為の削除・訂正や行為者をサービスできない状態にすることができる。
【００３８】
［第２の実施の形態］
ここでは第２の実施の形態として、ユーザの操作するユーザ装置とサービス提供者（管理者）の操作する管理者装置が繋がれたネットワーク上で、管理者は、自身の提供するサービスとしてＳＮＳを提供しており、当該ＳＮＳ提供中においてあるユーザの目的に沿わない行為、例えば無関係な画像を提供するとか、過激な発言を行うなどを対象行為とし、該対象行為を確認したユーザ（評価者）が評価を行い、その結果としてその行為者が当該ＳＮＳから削除される例について、図面を用いて詳細に説明する。
【００３９】
第２の実施形態におけるシステム構成は、図９に示すように、ユーザ２４０が操作するユーザ装置２４１、ＳＮＳ２０を提供している管理者２０００が操作する管理者装置２００１、グループ署名用サーバ２３００がネットワーク２５００を通じて接続されている。ここで、ＳＮＳ２０において目的に沿わない対象行為を行うユーザを行為者２１０、該行為者２１０の操作するユーザ装置を行為者装置２１１とし、対象行為を確認しそれを評価するユーザを評価者２２０、該評価者２２０の操作するユーザ装置を評価者装置２２１とする。図１０乃至図１４に管理者装置２００１、ユーザ装置２４１、行為者装置２１１、評価者装置２２１、及びグループ署名用サーバ２３０の主要構成要素をそれぞれ示す。
【００４０】
まず、管理者２０００が提供するＳＮＳ２０に加入するための手続きについて説明する。図１５はその処理シーケンスを示す。
【００４１】
管理者２０００が提供するＳＮＳ２０に加入するために、そのサービスの加入を希望する者（以下、ユーザ２４０）は、自身の属性情報からサービス加入に必要な情報をサービス加入者情報Infoyとして、自身の操作する装置（以下、ユーザ装置２４１）の具備するサービス加入者情報作成部２４２を用いて作成、もしくは専用の申し込み用紙等を用いて作成し、それをユーザ装置２４１を用いて管理者装置２００１に送信、もしくは郵送にて管理者２０００に提出する。管理者２０００は、ユーザ２４０から受け取ったサービス加入者情報Infoyをもとに、自身が定めるＳＮＳ２０の利用条件を満たすものであればユーザ２４０の匿名掲示板サービスヘの加入を認めて、ユーザ２４０に対して管理者装置２００１の具備するサービス提供部２００２へのアクセスのための初期ユーザＩＤであるＩＤyと初期ユーザパスワードであるＰＷyを管理装置２００１の具備するユーザＩＤ＆ユーザパスワード生成部２００３から生成する。そして、管理者２０００は、このＩＤyとＰＷyを自身の管理者装置２００１を用いて、ユーザ装置２４１に送信もしくは郵送等でユーザ２４０に送信し、さらに、ユーザ２４０のサービス加入者情報InfoyにＩＤyとＰＷyと結びつけて、管理装置２００１の具備するユーザＩＤ＆ユーザパスワード記憶部２００９に記憶する。ユーザ２４０は、自身の操作するユーザ装置２４１の具備するユーザＩＤ＆ユーザパスワード記憶部２４５に、管理者２０００から受け取ったＩＤyとＰＷyを記憶する。
【００４２】
次に、この初期ユーザＩＤであるＩＤyと初期パスワードであるＰＷyを得たユーザ２４０は、ＳＮＳ２０にアクセスするために必要な管理者２０００からの証明書certyを管理者２０００が誰に発行したか分からない形で得るために、ブラインド署名の技術を用いた証明書発行を以下のように行う。
【００４３】
ユーザ２４０は、自身の操作するユーザ装置２４１の具備する署名鍵対生成部２４３において、ユーザ署名公開鍵pkyとユーザ署名秘密鍵skyの鍵対を生成し、さらに乱数ｒyを生成し、ユーザ署名公開鍵pkyにハッシュをかけたｈ（pky）に対して、管理者署名公開鍵pksを用いて
【００４４】
【数４】
2008004048.tif 000006
のような暗号化を行い、管理者装置２００１へ送信をする。これを受け取った管理者装置２００１は、管理者署名秘密鍵sksを用いて
【００４５】
【数５】
2008004048.tif 000007
のように署名を行い、これをユーザ装置２４１へ返送する。これを受け取ったユーザ装置２４１は乱数ｒyを除去することによってユーザ署名公開鍵pkyに対する管理者２０００からの証明書
【００４６】
【数６】
2008004048.tif 000008
を得て、証明書記憶部２４６に記憶する。
【００４７】
次に、ユーザ２４０がＳＮＳ２０にアクセスする際に必要となるグループ署名の署名生成鍵ＳＧi（ｉ＝１，…，Ｎ、あるｉはユーザ２４０を表す指数、Ｎはユーザ２４０の総数）を取得する手順について説明する。なお、グループ署名については、例えば、下記の文献１や２に詳述されており、ユーザ２４０は署名生成鍵ＳＧiを用いてＳＮＳ２０にアクセスし、管理者２０００はグループ公開鍵ＧＰＫを用いてその正当性を検証することができる。
［文献１］土居範久（監修），佐々木良一（代表），“情報セキュリティ事典，”ｐｐ．２７７，共立出版，２００３年７月１０日初版．
［文献２］Ｔoru  Ｎakanishi  and  Ｙuji  Ｓugiyama：Ａ  Ｇroup  Ｓignature  Ｓcheme  with  Ｅfficient  Ｍembership  Ｒevocation  for  Ｍiddle-Ｓcale  Ｇroups，IEICE  Ｔrans．Ｆundamentals，Ｖol．E88-A，No.5，pp.1224-1233，May  2005.
【００４８】
ユーザ２４０は、ユーザ装置２４１を操作することによって、ユーザ署名公開鍵pkyと証明書certyを用いて、グループ署名用サーバ２３００に自分が管理者２０００に登録を済ませた正当なユーザであることを証明し、グループ署名用サーバ２３００の具備するグループ署名リボーク鍵生成部２３０２にアクセスして、文献１や文献２に記載のようなグループ署名方法に従って、サービスを受けるユーザ全員が協力することによって、グループ公開鍵ＧＰＫを（ｎ，ｅ，Ｇ，ｇ，ａ，λ，ｃ）とする（ただし、（ｎ，ｅ）をＲＳＡ方式の公開鍵，ｇを位数ｎの巡回群Ｇの生成元，ｎの素因数を法とする乗法群における位数が大きい要素ａ∈Ｚ*nを選び，更に，秘密鍵長の上限λ，定数ｃ）。また、ユーザ２４０は、ユーザ装置２４１を操作することによって、分散署名生成鍵ＳＳＧ1i，…，ＳＳＧji，…，ＳＳＧNi及び分散署名検証鍵ＳＳＶi1，…，ＳＳＶij，…，ＳＳＶiNを生成し（ｊは、指数ｉで識別されるあるユーザ２４０以外のユーザを表す指数）、グループ署名用サーバ２０００１を介して、自身以外のユーザ２４０へと配布される。これを受けたユーザ２４０は、一定数以上の分散署名生成鍵ＳＳＧを用いて署名生成鍵ＳＧiを生成する。
【００４９】
このとき、署名生成鍵
【００５０】
【数７】
2008004048.tif 000009
は、ｊ＝１，…，Ｎのうちの一定数以上の分散署名生成鍵ＳＳＧij：乱数ｙijから一意に得られる秘密鍵ｘiと、その秘密鍵ｘiから得られるｙi、さらにｙiからｖie≡（ｙi＋１）（mod  ｎ）を満たす値として得られるｖiから生成される。
【００５１】
一方、署名検証鍵
【００５２】
【数８】
2008004048.tif 000010
は、ｊ＝１，…，Ｎのうちの一定数以上の分散署名検証鍵
【００５３】
【数９】
2008004048.tif 000011
から一意に得られる値となる。
【００５４】
なお、署名検証時に用いられる署名検証鍵はグループ公開鍵ＧＰＫであり、分散署名検証鍵ＳＳＶと署名検証鍵ＳＶはユーザ２４０を特定する際に用いられるものである。
【００５５】
ユーザ装置２４１は、分散署名検証鍵ＳＳＶi1，…，ＳＳＶij，…，ＳＳＶiNを自身の具備するリボーク用秘密鍵記憶部２４７に記憶し、さらに署名生成鍵ＳＧiを自身の具備する署名生成鍵記憶部２４８に記憶する。また、グループ署名用サーバ２３００は、グループ公開鍵ＧＰＫを管理者装置２００１へ送信し、これを受け取った管理者装置２００１は自身の具備するグループ公開鍵記憶部２０１３に記憶する。
【００５６】
以上により、ユーザ２４０は管理者２０００に対してブラインド署名を用いて管理者２０００によってオーソライズされた者であることを証明し、該オーソライズされたユーザ２４０と管理者２０００とによってグループ署名を用いることにより、ユーザ２４０のＩＤ等を管理者２０００に渡すことなく証明書（サービスチケット）を得ることができる。そして、ユーザ２４０は、このブラインド署名とグループ署名を用いて得たサービスチケットを用いて、管理者２０００にＩＤ等を知られることなくＳＮＳ２０を利用することができる。
【００５７】
次に、ユーザによるＳＮＳ２０への情報等の提供を行う場合の処理について説明する。図１６はその処理シーケンスを示す。
【００５８】
自らの情報等をＳＮＳ２０に提供したいユーザ２４０は、自身の操作するユーザ装置２４１を用いて管理者装置２００１の具備するサービス提供部２００２にアクセスを要求する。管理者装置２００１は、自身の具備する認証実行部２００７においてチャレンジデータchを生成し、さらに時間情報計算部２００６からその時の時刻情報Ｔnowを取得し、これらをユーザ装置２４１へ送信する。これを受け取ったユーザ装置２４１は、自身の具備する署名文生成部２４４において、例えば、文献１に記載の署名生成のようにして、
【００５９】
【数１０】
2008004048.tif 000012
を計算し、グループ署名
【００６０】
【数１１】
2008004048.tif 000013
を管理装置２００１に返信する。
ここで、ＳＫＬＯＧＬＯＧ［：］とＳＬＲＯＯＴＬＯＦ［：］は、それぞれ、
【００６１】
【数１２】
2008004048.tif 000014
を満たすｔと、
【００６２】
【数１３】
2008004048.tif 000015
を満たすｕを知っていることを証明するゼロ知識証明をチャレンジデータchに対するデジタル署名に変換したものである。
【００６３】
管理者装置２００１は、例えは文献１記載のようにグループ署名Ｓigyの検証を行い、ＳＮＳ２０へのアクセスを許可する。グループ署名の特徴より、管理者２０００に対してユーザ２４０は匿名の状態でアクセスすることが可能である。
【００６４】
次に、あるユーザがＳＮＳ２０に行った行為（対象行為）に対する評価処理について説明する。
【００６５】
初めに、いくつかの前提条件について説明する。
＜ＳＮＳ２０の利用条件の作成＞
ＳＮＳ２０を作成した管理者２０００がＳＮＳ２０の作成目的に応じて利用条件ｍsを指定し、これを受けて管理者装置２００１の具備する利用条件設定部２００４によりＳＮＳ２０の利用条件ｍsが生成され、管理者装置２００１の具備するサービス提供部２００２に格納される。
【００６６】
＜評価による削除の判断基準としての閾値の設定と評価期間の設定＞
ＳＮＳ２０を作成した管理者２０００が、ＳＮＳ２０に対する対象行為を容認しない数（以下、削除閾値Ｖalng）を自身の操作する管理者装置２００１の具備する利用可否判断情報作成部２００５から生成し、管理者装置２００１の具備する利用可否判断情報記憶部２０１０に記憶させる。また、評価を行う期間（以下、評価期間ＴeVal）を自身の操作する管理者装置２００１の具備する利用可否判断情報作成部２００５から生成し、管理者装置２００１の具備する同じく利用可否判断情報記憶部２０１０に記憶させる。
【００６７】
次に、対象行為の評価処理について説明する。これは、グループ署名用サーバ２３００を利用することを除けば、先の第１の実施の形態の場合と基本的に同様である。
【００６８】
いま、ＳＮＳ２０に利用を行う行為者２１０が、自身の操作する行為者装置２１１を用いて、管理者装置２００１の具備するサービス提供部２００２に格納されている利用条件ｍsに反した内容の利用を行ったとする。その利用を確認したあるユーザ（評価者２２０）が行為者２１０のＳＮＳ２０への利用を制限する必要があると判断した場合、評価者２２０の操作する評価者装置２２１の具備する評価開始情報生成部２２２より評価開始情報Infosを生成し、ユーザ署名公開鍵pkyと証明書certyを用いて、管理者装置２００１にアクセスして、その評価開始情報Infosを送信する。これを受け取った管理者装置２００１は、その時刻を自身の具備する時間情報計算部２００６から評価開始時刻Ｔstartとして生成し、さらに利用可否判断情報記憶部２０１０から評価期間ＴeValを取り出し、これらから時間情報計算部２００６より評価終了時刻Ｔendを生成して、評価開始情報Infos、評価開始時刻Ｔstart、評価終了時刻Ｔendを自身の具備する利用可否判断情報記憶部２０１０に記憶する。そして、管理者装置２００１は、掲示板等を用いてＳＮＳ２０を利用するユーザに対し、評価開始情報Infosが提出されたことを告知して、ユーザからの評価の受付けを開始する。以下、行為者２１０の行為を評価するユーザをすべて評価者２２０と呼ぶことにする。
【００６９】
評価者２２０は、自身の操作する評価者装置２２１を用いて管理者装置２００１のサービス提供部２００２にアクセスし当該対象行為を確認する。それを確認した評価者２２０は、行為者２１０のＳＮＳ２０への利用を制限する必要があるかどうかを判断し、制限の必要があると判断した場合にはユーザ署名公開鍵pkyと証明書certyを用いて、グループ署名用サーバ２３００にアクセスし、自身のもつ分散署名検証鍵ＳＳＶi1，…，ＳＳＶij，…，ＳＳＶiNを送する。これを受け取ったグループ署名用サーバ２３００は、その投票を行為可否評価情報ｍjとして管理者装置２００１に送信し、これを受け取った管理者装置２００１は、利用制限の集計値Ｎngについてカウントアップしてサービス提供部２００２に格納する。
【００７０】
次に、評価の終了について説明する。行為者２１０、もしくはユーザ（メンバ）は自身の操作する装置を用いて管理者装置２００１の具備するサービス提供部２００２にアクセスし、集計値Ｎngを閲覧することができる。それを閲覧した結果として、行為者２１０が自己の利用を取りやめる場合は、行為者装置２１１の具備する行為取り消し要求生成部２１３から参加取り消し要求ｍtを作成し、それを管理者装置２００１へ送信する。これを受け取った管理者２０００は、行為者２１０からの参加取り消し要求を受理するのであれば、サービス提供部２００２から評価開始情報Infosを削除し、同時に掲示板により管理者装置２００１から評価開始情報Infosが削除されたことを評価者２２０に告知し、行為者２１０の評価を終了する。
【００７１】
また、管理者２０００は、自身の操作する管理者装置２００１の具備するサービス提供部２００２から、行為者２１０の利用に対して評価者２２０の評価の集計値Ｎngを取り出し、また、利用可否判断情報記憶部２０１０から削除閾値Ｖalngを取り出し、評価終了時刻Ｔendを過ぎても評価の集計値Ｎngが削除閾値Ｖalngを超えなかった場合、管理者２０００は行為者２１０の利用内容を認め、行為者２１０の評価を終了する。また、集計値Ｎngが削除閾値Ｖalngを超えた場合は、行為者２１０の利用を制限する必要があると判断し、終了時刻Ｔendの前であっても、自信の具備するリボーク処理実行部２００９において文献１のように
【００７２】
【数１４】
2008004048.tif 000016
を満たす指数ｉをもつユーザ２４０を特定し、行為者２１０の評価を終了する。
【００７３】
以上により、ユーザ２４０がブラインド署名とグループ署名を用いて得たサービスチケットを用いて、管理者２０００にＩＤ等を知られることなくＳＮＳ２０に行為を行え、また、あるユーザの対象行為に対して他のユーザがその対象行為の削除・訂正や行為者の追放を行うかどうかの是非について投票を行うことができ、その投票の結果によって管理者は行為者のＩＤ等を知ることなく、対象者の削除・訂正や行為者の追放を行うことができ、その投票に関して投票の不正行為の検証を行うことができる。
【００７４】
なお、実施の形態で示した各装置における一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。
【図面の簡単な説明】
【００７５】
【図１】本発明の第１の実施の形態のシステム構成図。
【図２】第１の実施の形態の管理者装置の主要構成図。
【図３】第１の実施の形態のユーザ装置の主要構成図。
【図４】第１の実施の形態の行為者装置の主要構成図。
【図５】第１の実施の形態の評価者装置の主要構成図。
【図６】第１の実施の形態のサービス加入手続の処理シーケンス図。
【図７】第１の実施の形態のサービス利用時の処理シーケンス図。
【図８】第１の実施の形態の管理者装置における評価処理フロー図。
【図９】本発明の第２の実施の形態のシステム構成図。
【図１０】第２の実施の形態の管理者装置の主要構成図。
【図１１】第２の実施の形態のユーザ装置の主要構成図。
【図１２】第２の実施の形態の行為者装置の主要構成図。
【図１３】第２の実施の形態の評価者装置の主要構成図。
【図１４】第２の実施の形態のグループ署名用サーバの主要構成図。
【図１５】第２の実施の形態のサービス加入手続の処理シーケンス図。
【図１６】第２の実施の形態のサービス利用時の処理シーケンス図。
【符号の説明】
【００７６】
１０  ファンクラブ
１１０  行為者
１１１  行為者装置
１２０  評価者
１２１  評価者装置
１４０  ユーザ
１４１  ユーザ装置
１０００  管理者
１００１  管理者装置
２０  ＳＮＳ
２１０  行為者
２１１  行為者装置
２２０  評価者
２２１  評価者装置
２４０  ユーザ
２４１  ユーザ装置
２０００  管理者
２００１  管理者装置
２３００  グールプ署名用サーバ
【図１】
2008004048.tif 000017
【図２】
2008004048.tif 000018
【図３】
2008004048.tif 000019
【図４】
2008004048.tif 000020
【図５】
2008004048.tif 000021
【図６】
2008004048.tif 000022
【図７】
2008004048.tif 000023
【図８】
2008004048.tif 000024
【図９】
2008004048.tif 000025
【図１０】
2008004048.tif 000026
【図１１】
2008004048.tif 000027
【図１２】
2008004048.tif 000028
【図１３】
2008004048.tif 000029
【図１４】
2008004048.tif 000030
【図１５】
2008004048.tif 000031
【図１６】
2008004048.tif 000032