(57)【要約】【課題】暗号化技術を用いた電子データ管理システムにおいて、所定のタイミングになるまで電子データの秘匿性を確保しつつ、鍵の管理負担を軽減する。【解決手段】信用機関のサーバ２０は、選挙管理事務局のサーバ１０から受信した電子投票データの開票時刻や、有権者のパソコン３０に公開するための送信者用公開鍵などのデータを登録する。サーバ２０は、また、選挙管理事務局用の受信者用公開鍵および受信者用秘密鍵を生成し、パソコン３０で送信者用公開鍵を用いて暗号化された電子投票データ（第１暗号化データ）を、受信者用秘密鍵を用いて暗号化（第２暗号化データ）し、サーバ１０に送信する。サーバ２０は、開票時刻になったときに、受信者用公開鍵をサーバ１０に送信する。サーバ１０は、自身が保持する送信者用公開鍵と対になる送信者用秘密鍵と、サーバ２０から受信した受信者用公開鍵とを用いて、暗号化された電子投票データを復号する。【選択図】  図１
2004247894.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して接続された発信者の情報処理装置と、受信者の情報処理装置と、仲介者の情報処理装置を利用して、前記発信者の情報処理装置で生成された所定の電子データを管理する電子データ管理方法であって、
（ａ）前記受信者の情報処理装置で、第１の復号鍵を保持する工程と、
（ｂ）前記発信者の情報処理装置で、前記電子データを前記第１の復号鍵に対応する第１の暗号鍵を用いて暗号化することにより、第１の暗号化データを生成し、該第１の暗号化データを前記仲介者の情報処理装置に送信する工程と、
（ｃ）前記仲介者の情報処理装置で、前記第１の暗号化データを第２の暗号鍵を用いて暗号化することにより、第２の暗号化データを生成し、該第２の暗号化データを前記受信者の情報処理装置に送信する工程と、
（ｄ）予め設定された所定のタイミングで、前記仲介者の情報処理装置から、前記第２の暗号鍵に対応する第２の復号鍵を前記受信者の情報処理装置に送信する工程と、
（ｅ）前記受信者の情報処理装置で、前記第２の暗号化データを前記第２の復号鍵を用いて前記第１の暗号化データに復号し、さらに、該第１の暗号化データを前記第１の復号鍵を用いて復号する工程と、
を備える電子データ管理方法。
【請求項２】
請求項１記載の電子データ管理方法であって、
前記第１の暗号鍵および復号鍵、並びに、前記第２の暗号鍵および復号鍵の少なくとも一方は、公開鍵と秘密鍵との組み合わせからなる、
電子データ管理方法。
【請求項３】
請求項１記載の電子データ管理方法であって、
前記工程（ｃ）は、前記仲介者の情報処理装置で、所定のハッシュ関数を用いて、前記第２の暗号化データのハッシュ値を算出し、保存する工程を含む、
電子データ管理方法。
【請求項４】
ネットワークを介して接続された発信者の情報処理装置から受信者の情報処理装置への電子データの送信を仲介する仲介者の情報処理装置であって、
前記受信者の情報処理装置が保持する第１の復号鍵に対応する第１の暗号鍵を用いて暗号化された第１の暗号化データを、前記発信者の情報処理装置から受信する受信部と、
前記第１の暗号化データを第２の暗号鍵を用いて暗号化することにより、第２の暗号化データを生成する暗号化部と、
該第２の暗号化データを前記受信者の情報処理装置に送信するデータ送信部と、
予め設定された所定のタイミングで、前記第２の暗号鍵に対応する第２の復号鍵を前記受信者の情報処理装置に送信する鍵送信部と、
を備える情報処理装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、暗号化技術を用いた電子データの管理に関する。
【０００２】
【従来の技術】
従来、暗号化技術を用いた電子投票システムや、電子入札システムが提案されている（例えば、特許文献１参照）。特許文献１に記載された電子入札システムは、電子取引所のコンピュータと、セキュリティセンタのコンピュータと、応札者のコンピュータとを備えている。応札者のコンピュータは、共通鍵を生成し、この共通鍵で暗号化した応札情報と、セキュリティセンタのコンピュータで生成された暗号鍵で暗号化した共通鍵とを、電子取引所のコンピュータに送信する。電子取引所のコンピュータは、落札日時が経過した後に、セキュリティセンタのコンピュータから復号鍵を取得し、応札者のコンピュータで暗号化された共通鍵を復号し、この共通鍵を用いて、暗号化された応札情報を復号し、応札者情報を得る。このようにすることによって、落札日時まで応札情報が電子取引所のコンピュータから漏洩するのを防止することができる。
【０００３】
【特許文献１】
特開２００１−２２８７５号公報
【０００４】
【発明が解決しようとする課題】
しかし、特許文献１に記載された電子入札システムでは、複数の応札者の各コンピュータで個別に共通鍵を生成するため、鍵の管理が煩雑だった。このような課題は、電子入札システムに限らず、一般に、暗号化技術を用いた電子データ管理システムにおいて、共通に生じ得る。
【０００５】
本発明は、上述の課題を解決するためになされたものであり、暗号化技術を用いた電子データ管理システムにおいて、所定のタイミングになるまで電子データの秘匿性を確保しつつ、鍵の管理負担を軽減することを目的とする。
【０００６】
【課題を解決するための手段】
上述の課題の少なくとも一部を解決するため、本発明では、以下の構成を採用した。すなわち、本発明の電子データ管理方法は、ネットワークを介して接続された発信者の情報処理装置と、受信者の情報処理装置と、仲介者の情報処理装置を利用して、前記発信者の情報処理装置で生成された所定の電子データを管理する電子データ管理方法であって、（ａ）前記受信者の情報処理装置で、第１の復号鍵を保持する工程と、（ｂ）前記発信者の情報処理装置で、前記電子データを前記第１の復号鍵に対応する第１の暗号鍵を用いて暗号化することにより、第１の暗号化データを生成し、該第１の暗号化データを前記仲介者の情報処理装置に送信する工程と、（ｃ）前記仲介者の情報処理装置で、前記第１の暗号化データを第２の暗号鍵を用いて暗号化することにより、第２の暗号化データを生成し、該第２の暗号化データを前記受信者の情報処理装置に送信する工程と、（ｄ）予め設定された所定のタイミングで、前記仲介者の情報処理装置から、前記第２の暗号鍵に対応する第２の復号鍵を前記受信者の情報処理装置に送信する工程と、（ｅ）前記受信者の情報処理装置で、前記第２の暗号化データを前記第２の復号鍵を用いて前記第１の暗号化データに復号し、さらに、該第１の暗号化データを前記第１の復号鍵を用いて復号する工程と、を備える。
【０００７】
第１の暗号鍵は、例えば、受信者の情報処理装置から発信者の情報処理装置に直接的に送信してもよいし、仲介者の情報処理装置を介して間接的に送信してもよい。また、発信者の情報処理装置のユーザが入力可能なように、郵便やＦＡＸや新聞広告などを用いて、受信者から発信者に知らせるようにしてもよい。
【０００８】
「所定のタイミング」としては、例えば、所定の日時や、やり取りしたデータ量が所定量に達したときや、権限を有する者から第２の復号鍵の送信指示を受け取ったときなどが挙げられる。
【０００９】
本発明では、仲介者の情報処理装置は、第１の復号鍵を保持していないので、第１の暗号化を復号することができない。したがって、仲介者の情報処理装置では、発信者の情報処理装置で生成された電子データの内容を知ることができない。また、受信者の情報処理装置は、所定のタイミングになるまで第２の復号鍵を取得することができないので、所定のタイミングになるまで第２の暗号化データを復号することができない。したがって、受信者の情報処理装置では、予め設定された所定のタイミングになるまで、発信者の情報処理装置で生成された電子データの内容を知ることができない。つまり、本発明によって、所定のタイミングになるまで電子データの秘匿性を確保することができる。更に、本発明では、発信者の情報処理装置では鍵の生成を行わないので、鍵の管理負担を軽減することができる。
【００１０】
本発明の電子データ管理方法において、暗号鍵および復号鍵として、それぞれに共通に利用される共通鍵を用いることも可能であるが、前記第１の暗号鍵および復号鍵、並びに、前記第２の暗号鍵および復号鍵の少なくとも一方は、公開鍵と秘密鍵との組み合わせからなるものとすることが好ましい。
【００１１】
こうすることによって、鍵の受け渡しを容易に行うことができるので、共通鍵を用いる場合よりもセキュリティを向上させることができる。
【００１２】
本発明の電子データ管理方法において、前記工程（ｃ）は、前記仲介者の情報処理装置で、所定のハッシュ関数を用いて、前記第２の暗号化データのハッシュ値を算出し、保存する工程を含むものとすることができる。
【００１３】
こうすることによって、例えば、受信者の情報処理装置で第２の暗号化データのハッシュ値を算出し、仲介者の情報処理装置で生成された第２の暗号化データのハッシュ値と比較することで、仲介者の情報処理装置から受信者の情報処理装置への送信時における第２の暗号化データの改ざんの有無を判断することができる。この場合、ハッシュ値の比較は、受信者の情報処理装置で行ってもよいし、仲介者の情報処理装置で行ってもよい。
【００１４】
なお、本発明の電子データ管理方法において、第１の暗号鍵および復号鍵は、受信者の情報処理装置で生成するようにすることができる。また、第２の暗号鍵および復号鍵は、仲介者の情報処理装置で生成するようにすることができる。こうすることによって、第１の暗号鍵および復号鍵、第２に暗号鍵および復号鍵を、それぞれ受信者の情報処理装置、仲介者の情報処理装置で容易に一元管理するようにすることができる。
【００１５】
本発明は、上述の電子データ管理方法としての構成の他、電子データ管理システムや、この電子データ管理システムで利用される情報処理装置の発明として構成することもできる。また、これらを実現するコンピュータプログラム、およびそのプログラムを記録した記録媒体、そのプログラムを含み搬送波内に具現化されたデータ信号など種々の態様で実現することが可能である。なお、それぞれの態様において、先に示した種々の付加的要素を適用することが可能である。
【００１６】
本発明をコンピュータプログラムまたはそのプログラムを記録した記録媒体等として構成する場合には、情報処理装置の動作を制御するプログラム全体として構成するものとしてもよいし、本発明の機能を果たす部分のみを構成するものとしてもよい。また、記録媒体としては、フレキシブルディスクやＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、光磁気ディスク、ＩＣカード、ＲＯＭカートリッジ、パンチカード、バーコードなどの符号が印刷された印刷物、コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ）および外部記憶装置などコンピュータが読み取り可能な種々の媒体を利用できる。
【００１７】
【発明の実施の形態】
以下、本発明の実施の形態について、実施例に基づき以下の順序で説明する。
Ａ．システム構成：
Ｂ．情報処理装置：
Ｂ１．受信者の情報処理装置（選挙管理事務局のサーバ１０）：
Ｂ２．仲介者の情報処理装置（信用機関のサーバ２０）：
Ｂ３．発信者の情報処理装置（パーソナルコンピュータ３０）：
Ｃ．電子投票データの管理：
Ｃ１．利用登録：
Ｃ２．電子投票：
Ｃ３．開票処理：
Ｄ．変形例：
【００１８】
Ａ．システム構成：
図１は、本発明の一実施例としての電子データ管理システム１０００の概略構成を示す説明図である。本実施例の電子データ管理システム１０００は、選挙管理事務局のサーバ１０や、電子取引所１のサーバ１０Ａや、電子取引所２のサーバ１０Ｂや、信用機関のサーバ２０や、個人あるいは企業等の複数のパーソナルコンピュータ３０を、インターネットＩＮＴを介して接続することによって構成されている。選挙管理事務局のサーバ１０や、電子取引所１のサーバ１０Ａや、電子取引所２のサーバ１０Ｂは、本発明の受信者の情報処理装置に相当する。信用機関のサーバ２０は、本発明の仲介者の情報処理装置に相当する。パーソナルコンピュータ３０は、本発明の発信者の情報処理装置に相当する。
【００１９】
本実施例の電子データ管理システム１０００を、いわゆる電子投票システムに適用した場合、まず、選挙管理事務局のサーバ１０は、電子投票データの開票時刻や、有権者のパーソナルコンピュータ３０に公開するための送信者用公開鍵などを含む電子データ管理システム１０００の利用条件を、信用機関のサーバ２０に送信する（矢印Ａ）。選挙管理事務局のサーバ１０は、送信者用公開鍵と対になる送信者用秘密鍵を保持している。
【００２０】
信用機関のサーバ２０は、有権者のパーソナルコンピュータ３０からの要求に応じて、送信者用公開鍵などを有権者のパーソナルコンピュータ３０に送信する（矢印Ｂ）。
【００２１】
有権者のパーソナルコンピュータ３０は、送信者用公開鍵を用いて電子投票データを暗号化することにより、第１暗号化データを生成し、信用機関のサーバ２０に送信する（矢印Ｃ）。
【００２２】
信用機関のサーバ２０は、選挙管理事務局のサーバ１０に公開するための受信者用公開鍵と、これと対になる受信者用秘密鍵とを保持している。そして、信用機関のサーバ２０は、受信者用秘密鍵を用いて第１暗号化データを暗号化することにより、第２暗号化データを生成し、選挙管理事務局のサーバ１０に送信する（矢印Ｄ）。
【００２３】
信用機関のサーバ２０は、また、開票時刻になったときに、受信者用公開鍵を選挙管理事務局のサーバ１０に送信する（矢印Ｅ）。
【００２４】
選挙管理事務局のサーバ１０は、受信者用公開鍵を用いて、第２暗号化データを第１暗号化データに復号し、さらに、送信者用秘密鍵を用いて、第１暗号化データを電子投票データに復号する。こうすることによって、開票時刻になるまで、有権者以外の第三者に対して投票内容を秘匿することができる。なお、各装置の詳細な説明は後述する。
【００２５】
また、本実施例の電子データ管理システム１０００を、いわゆる電子入札システムに適用した場合には、信用機関のサーバ２０は、電子取引所１のサーバ１０Ａや、電子取引所２のサーバ１０Ｂや、応札する企業のパーソナルコンピュータ３０と、先に説明した電子投票システムに適用した場合と同様に、応札時刻や、暗号化された電子応札データなどのやり取りを行う。この場合、信用機関のサーバ２０は、受信者ごとに応札時刻や、送信者用公開鍵などの利用条件を登録する。また、信用機関のサーバ２０は、受信者用秘密鍵および受信者用公開鍵を、受信者ごとに使い分ける。
【００２６】
Ｂ．情報処理装置：
本実施例では、電子データ管理システム１０００を、選挙管理事務局のサーバ１０と、信用機関のサーバ２０と、有権者のパーソナルコンピュータ３０とを用いた電子投票システムに適用した場合を一例に説明する。
【００２７】
Ｂ１．受信者の情報処理装置（選挙管理事務局のサーバ１０）：
図２は、選挙管理事務局のサーバ１０の構成を示す説明図である。サーバ１０は、図示した各機能ブロックを備えている。これらの各機能ブロックは、ソフトウェア的に構成されている。
【００２８】
制御部１１０は、各部の制御を行う。通信部１２０は、インターネットＩＮＴを介して通信を行い、信用機関のサーバ２０と各種データのやり取りを行う。
【００２９】
鍵生成部１３０は、送信者用公開鍵および送信者用秘密鍵を生成する。送信者用公開鍵は、有権者のパーソナルコンピュータ３０に公開され、有権者のパーソナルコンピュータ３０で、電子投票データを暗号化し、第１暗号化データを生成するための暗号鍵である。送信者用秘密鍵は、送信者用公開鍵と対になる、第１暗号化データを復号するための復号鍵である。
【００３０】
鍵保持部１４０は、鍵生成部１３０で生成された送信者用秘密鍵を保持する。鍵保持部１４０は、さらに、送信者用公開鍵を保持するようにしてもよい。
【００３１】
受信データ記憶部１９０は、信用機関のサーバ２０から受信した第２暗号化データを保存する。第２暗号化データとは、後述するように、信用機関のサーバ２０が保持する受信者用秘密鍵を用いて、第１暗号化データを暗号化することによって生成される暗号化データである。
【００３２】
復号部１６０は、信用機関のサーバ２０から受信した受信者用公開鍵を用いて第２暗号化データを復号し、更に、送信者用秘密鍵を用いて第１暗号化データを復号する。ハッシュ値算出部１５０は、第２暗号化データのハッシュ値を算出する。集計部１７０は、復号された電子投票データの集計処理を行う。
【００３３】
有権者名簿データベース１８０は、有権者の名前、生年月日、住所などを、各有権者に割り当てられた有権者ＩＤおよびパスワードと対応付けて記憶する。有権者名簿データベース１８０の内容のうち有権者ＩＤおよびパスワードは、信用機関のサーバ２０に送信され、認証に利用される。これらの有権者に関するデータは、選挙管理事務局のサーバ１０、仲介者のサーバ２０、および、有権者のパーソナルコンピュータ３０のいずれからも漏洩しないものとする。
【００３４】
Ｂ２．仲介者の情報処理装置（信用機関のサーバ２０）：
図３は、信用機関のサーバ２０の構成を示す説明図である。サーバ２０は、図示した各機能ブロックを備えている。これらの各機能ブロックは、ソフトウェア的に構成されている。
【００３５】
制御部２１０は、各部の制御を行う。通信部２２０は、インターネットＩＮＴを介して通信を行い、選挙管理事務局のサーバ１０や、有権者のパーソナルコンピュータ３０と各種データのやり取りを行う。
【００３６】
登録部２３０は、選挙管理事務局のサーバ１０から受信した利用条件を、利用条件データベース２７０に登録する。利用条件には、電子投票データの開票時刻や、送信者用公開鍵や、有権者ＩＤおよびパスワードを含む有権者リストや、立候補者リストなどが含まれる。
【００３７】
鍵生成部２４０は、受信者用公開鍵および受信者用秘密鍵を生成する。これらは、受信者ごとに生成され、鍵管理データベース２８０に保存される。受信者用秘密鍵は、有権者のパーソナルコンピュータ３０から受信した第１暗号化データを暗号化し、第２暗号化データを生成するための暗号鍵である。受信者用公開鍵は、受信者用秘密鍵と対になり、開票時刻になったときに選挙管理事務局のサーバ１０に公開され、選挙管理事務所のサーバ１０で第２暗号化データを復号するための復号鍵である。
【００３８】
暗号化部２５０は、受信者用秘密鍵を用いて、有権者のパーソナルコンピュータ３０から受信した第１暗号化データを暗号化し、第２暗号化データを生成する。ハッシュ値算出部２６０は、第２暗号化データのハッシュ値を算出する。このハッシュ値は、ハッシュファイルに記録される。
【００３９】
利用条件データベース２７０は、選挙管理事務局のサーバ１０から受信した利用条件を記憶する。鍵管理データベース２８０は、受信者用公開鍵および受信者用秘密鍵を受信者ごとに記憶する。利用ログデータベース２９０は、電子データ管理システム１０００の利用ログを記憶する。
【００４０】
信用機関のサーバ２０は、また、図示しないＷｅｂページ生成部を備えており、選挙管理事務局のサーバ１０や、有権者のパーソナルコンピュータ３０に提供すべきユーザインタフェースや、電子投票用のフォーマットデータなどを含むＷｅｂページを生成する。
【００４１】
図４は、利用条件データベース２７０の内容を概念的に示す説明図である。図示するように、利用条件データベース２７０には、受信者（利用者）の名称および受信者ＩＤごとに、各利用条件に割り当てられた利用条件ＩＤや、受信者用公開鍵を受信者に送信すべき時刻（例えば、開票時刻）を示す時刻データや、送信者用公開鍵や、送信者のＩＤおよびパスワードを記録した送信者リスト（例えば、有権者リスト）が記録されている。利用条件データベース２７０に、さらに、正当な送信者に提供すべきデータ（例えば、電子投票用のフォーマットデータ）を記録するようにしてもよい。送信者リストは、例えば、有権者のパーソナルコンピュータ３０から信用機関のサーバ２０にアクセスがあったときに参照され、認証に用いられる。
【００４２】
図５は、鍵管理データベース２８０の内容を概念的に示す説明図である。図示するように、鍵管理データベース２８０には、受信者の名称および受信者ＩＤごとに、鍵生成部２４０で生成された受信者用公開鍵および受信者用秘密鍵が対応付けて記録されている。本実施例では、信用機関のサーバ２０は、受信者ごとに受信者公開鍵および受信者用秘密鍵を生成し、これらを受信者ごとに使い分けるものとしたが、複数の受信者に共通の受信者公開鍵および受信者用秘密鍵を用いるものとしてもよい。
【００４３】
図６は、利用ログデータベース２９０の内容を概念的に示す説明図である。図示するように、利用ログデータベース２９０には、送信者ＩＤや、受信者ＩＤや、送信者から第１暗号化データを受信した受信時刻や、受信者に第２暗号化データを送信した送信時刻や、第２暗号化データのファイル名や、第２暗号化データのハッシュ値を記したハッシュファイル名が対応付けて記録されている。
【００４４】
Ｂ３．発信者の情報処理装置（パーソナルコンピュータ３０）：
パーソナルコンピュータ３０は、ブラウザを備えており、信用機関のサーバ２０から受信したデータに基づいてＷｅｂページを表示したり、ユーザによって記入された電子投票データを、送信者用公開鍵を用いて暗号化し、第１暗号化データを生成したり、第１暗号化データを信用機関のサーバ２０に送信したりする機能を有している。
【００４５】
Ｃ．電子投票データの管理：
Ｃ１．利用登録：
図７は、選挙管理事務局のサーバ１０から信用機関のサーバ２０に、本実施例の電子データ管理システム１０００の利用登録を行う流れを示すフローチャートである。まず、選挙管理事務局のサーバ１０は、鍵生成部１３０で送信者用公開鍵および送信者用秘密鍵を生成する（ステップＳ１００）。次に、選挙管理事務局のサーバ１０は、信用機関のＷｅｂページにアクセスし、信用機関のサーバ２０に開票時刻や、送信者用公開鍵や、有権者ＩＤ、パスワードなどの利用条件を、ＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔ  Ｌａｙｅｒ）の技術を用いて送信する（ステップＳ１１０）。そして、鍵保持部１４０に送信者用秘密鍵を保存する（ステップＳ１５０）。
【００４６】
信用機関のサーバ２０は、選挙管理事務局のサーバ１０から利用条件を受信すると（ステップＳ１２０）、登録部２３０によって利用条件を利用条件データベース２７０に登録する（ステップＳ１３０）。そして、鍵生成部２４０によって、選挙管理事務局のサーバ１０に対応する受信者用公開鍵および受信者用秘密鍵を生成し、鍵管理データベース２８０に保存する（ステップＳ１４０）。
【００４７】
Ｃ２．電子投票：
図８は、電子投票の流れを示すフローチャートである。まず、有権者のパーソナルコンピュータ３０は、信用機関のＷｅｂページにアクセスし、信用機関のサーバ２０に送信者ＩＤおよびパスワードとともに投票願を、ＳＳＬの技術を用いて送信する（ステップＳ２００）。信用機関のサーバ２０は、これらを受信し、送信者ＩＤおよびパスワードにより認証を行い（ステップＳ２０５）、電子投票用フォーマットデータと、選挙管理事務局に対応した送信者用公開鍵とを、有権者のパーソナルコンピュータ３０に送信する（ステップＳ２１０）。有権者のパーソナルコンピュータ３０は、これらを受信し（ステップＳ２１５）、ユーザの投票内容の入力操作などによって電子投票データを生成する（ステップＳ２２０）。次に、有権者のパーソナルコンピュータ３０は、電子投票データを、送信者用公開鍵を用いて暗号化することによって、第１暗号化データを生成し（ステップＳ２２５）、信用機関のサーバ２０に送信する（ステップＳ２３０）。信用機関のサーバ２０は、これを受信して、利用ログデータベース２９０に受信時刻を保存し（ステップＳ２３５）、受信時刻を含む受信証明を有権者のパーソナルコンピュータ３０に送信する（ステップＳ２４０）。有権者のパーソナルコンピュータ３０は、これを受信し（ステップＳ２４５）、電子投票を終了する。
【００４８】
信用機関のサーバ２０は、有権者のパーソナルコンピュータ３０から受信した第１暗号化データを、暗号化部２５０で受信者用秘密鍵を用いて暗号化することによって、第２暗号化データを生成し（ステップＳ２５０）、選挙管理事務局のサーバ１０に送信する（ステップＳ２５５）。そして、信用機関のサーバ２０は、第２暗号化データの送信時刻を利用ログデータベース２９０に保存する。さらに、信用機関のサーバ２０は、ハッシュ値算出部２６０で第２暗号化データのハッシュ値を算出して、利用ログデータベース２９０に保存する（ステップＳ２７０）。
【００４９】
選挙管理事務局のサーバ１０は、第２暗号化データを受信し（ステップＳ２６０）、受信データ記憶部１９０に保存する（ステップＳ２６５）。
【００５０】
Ｃ３．開票処理：
図９は、電子投票データの開票処理の流れを示すフローチャートである。信用機関のサーバ２０は、利用条件データベース２７０の時刻データとタイマ２５の出力とを比較することによって、開票日時になったか否かを判断する（ステップＳ３００）。開票日時になると、信用機関のサーバ２０は、選挙管理事務局に対応した受信者用公開鍵およびハッシュファイルを、選挙管理事務局のサーバ１０に送信する（ステップＳ３１０）。
【００５１】
選挙管理事務局のサーバ１０は、受信者用公開鍵およびハッシュファイルを受信すると（ステップＳ３２０）、受信データ記憶部１９０から第２暗号化データを取得し（ステップＳ３３０）、ハッシュ値算出部１５０によって、そのハッシュ値を算出する（ステップＳ３４０）。そして、選挙管理事務局のサーバ１０は、ハッシュ値算出部１５０によって算出されたハッシュ値と、信用機関のサーバ２０から受信したハッシュファイルに記されたハッシュ値とを比較することによって、第２暗号化データの改ざんの有無を判断する（ステップＳ３５０）。改ざんがあれば、その第２暗号化データを破棄する（ステップＳ３５５）。なお、ステップＳ３４０における選挙管理事務局のサーバ１０でのハッシュ値の算出は、第２暗号化データの受信時に予め行っておいてもよい。
【００５２】
ステップＳ３５０において、第２暗号化データに改ざんがないと判断されれば、選挙管理事務局のサーバ１０は、復号部１６０によって、受信者用公開鍵を用いて第２暗号化データを復号する（ステップＳ３６０）。こうして選挙管理事務局のサーバ１０は、第１暗号化データを得ることができる。次に、選挙管理事務局のサーバ１０は、復号部１６０によって、鍵保持部１４０に保存されていた送信者用秘密鍵を用いて第１暗号化データを復号する（ステップＳ３７０）。こうして選挙管理事務局のサーバ１０は、電子投票データを得ることができる。
【００５３】
そして、選挙管理事務局のサーバ１０は、集計部１７０によって電子投票データの集計処理を行う（ステップＳ３８０）。次に、選挙管理事務局のサーバ１０は、開票処理を終了するか否か、すなわち、未処理の第２暗号化データが受信データ記憶部１９０に残存しているか否かを判断する（ステップＳ３９０）。未処理の第２暗号化データが残存していなければ終了する。未処理の第２暗号化データが残存していれば、なくなるまでステップＳ３３０〜Ｓ３９０を繰り返す。
【００５４】
以上説明した本実施例の電子データ管理システム１０００（電子投票システム）によれば、開票時刻になるまで投票データの秘匿性を確保することができる。さらに、鍵の管理負担を軽減することができる。
【００５５】
Ｄ．変形例：
以上、本発明のいくつかの実施の形態について説明したが、本発明はこのような実施の形態になんら限定されるものではなく、その要旨を逸脱しない範囲内において種々なる態様での実施が可能である。例えば、以下のような変形例が可能である。
【００５６】
Ｄ１．変形例１：
上記実施例では、本発明を電子投票システムに適用した場合を一例に説明したが、これに限られない。本発明は、一般に、暗号化技術を用いた電子データ管理システムにおいて、所定のタイミングになるまで電子データの秘匿性を確保しつつ、鍵の管理負担を軽減するものであるから、例えば、本発明を電子入札システムに適用することも可能である。この場合、電子投票データの代わりに電子応札情報を応札日時になるまで秘匿することができる。
【００５７】
Ｄ２．変形例２：
上記実施例では、第２暗号化データについてハッシュ値を算出し、第２暗号化データの改ざんの有無を判断可能としたが、第１暗号化データについてもハッシュ値を算出するようにし、改ざんの有無を判断可能としてもよい。また、第２暗号化データのハッシュ値の算出を行わないようにしてもよい。
【００５８】
Ｄ３．変形例３：
上記実施例では、選挙管理事務局のサーバ１０は、信用機関のサーバ２０を介して、送信者用公開鍵を有権者のパーソナルコンピュータ３０に送信するものとしたが、直接送信するようにしてもよい。また、有権者がパーソナルコンピュータ３０に入力可能なように、郵便やＦＡＸや新聞広告などを用いて、選挙管理事務局から有権者に送信者用公開鍵を知らせるようにしてもよい。
【００５９】
Ｄ４．変形例４：
上記実施例では、本発明の発信者の情報処理装置として、有権者が所有するパーソナルコンピュータ３０を用いた場合を例に説明したが、これに限られない。例えば、発信者の情報処理装置として、投票所に設置される投票用の情報処理端末を用いるものとしてもよい。
【００６０】
【発明の効果】
本発明の電子データ管理方法によれば、仲介者の情報処理装置は、第１の復号鍵を保持していないので、第１の暗号化を復号することができない。したがって、仲介者の情報処理装置では、発信者の情報処理装置で生成された電子データの内容を知ることができない。また、受信者の情報処理装置は、予め設定された所定のタイミングになるまで第２の復号鍵を取得することができないので、所定のタイミングになるまで第２の暗号化データを復号することができない。したがって、受信者の情報処理装置では、所定のタイミングになるまで発信者の情報処理装置で生成された電子データの内容を知ることができない。つまり、本発明によって、所定のタイミングになるまで電子データの秘匿性を確保することができる。更に、本発明では、発信者の情報処理装置では鍵の生成を行わないので、鍵の管理負担を軽減することができる。
【図面の簡単な説明】
【図１】本発明の一実施例としての電子データ管理システム１０００の概略構成を示す説明図である。
【図２】選挙管理事務局のサーバ１０の構成を示す説明図である。
【図３】信用機関のサーバ２０の構成を示す説明図である。
【図４】利用条件データベース２７０の内容を概念的に示す説明図である。
【図５】鍵管理データベース２８０の内容を概念的に示す説明図である。
【図６】利用ログデータベース２９０の内容を概念的に示す説明図である。
【図７】選挙管理事務局のサーバ１０から信用機関のサーバ２０に、本実施例の電子データ管理システム１０００の利用登録を行う流れを示すフローチャートである。
【図８】電子投票の流れを示すフローチャートである。
【図９】電子投票データの開票処理の流れを示すフローチャートである。
【符号の説明】
１０００…電子データ管理システム
１０…選挙管理事務局のサーバ
１０Ａ…電子取引所１のサーバ
１０Ｂ…電子取引所２のサーバ
２０…信用機関のサーバ
２５…タイマ
３０…パーソナルコンピュータ
１１０…制御部
１２０…通信部
１３０…鍵生成部
１４０…鍵保持部
１５０…ハッシュ値算出部
１６０…復号部
１７０…集計部
１８０…有権者名簿データベース
１９０…受信データ記憶部
２１０…制御部
２２０…通信部
２３０…登録部
２４０…鍵生成部
２５０…暗号化部
２６０…ハッシュ値算出部
２７０…利用条件データベース
２８０…鍵管理データベース
２９０…利用ログデータベース
ＩＮＴ…インターネット
【図１】
2004247894.tif 000003
【図２】
2004247894.tif 000004
【図３】
2004247894.tif 000005
【図４】
2004247894.tif 000006
【図５】
2004247894.tif 000007
【図６】
2004247894.tif 000008
【図７】
2004247894.tif 000009
【図８】
2004247894.tif 000010
【図９】
2004247894.tif 000011