(57)【要約】【課題】  情報送信者の匿名性を保持しつつ、この匿名性を悪用した不正利用者を特定することができ、なおかつ、特定のサーバへ情報集中を抑制することを可能とする。【解決手段】    認証装置１０において、承認した送信者１２０‐１に対する署名生成鍵、及び送信者情報を秘匿化した秘匿化送信者情報と署名検証鍵とを含む鍵証明書を生成し、これらを送信者１２０‐１に事前に発行する。これによりアクセス集中を抑制する。また、送信者１２０‐１は、送信装置２０‐１を用い、署名生成鍵によってメッセージにデジタル署名を付し、これらを鍵証明書とともに、匿名通信路を通じ、受信装置４０‐１に送信する。これにより、匿名性とメッセージの正当性を保証する。さらに、送信者１２０‐１に不正があった場合、認証機関１１０は、認証装置１０を用い、鍵証明書から送信者１２０‐１を特定する。これにより、不正な送信者１２０‐１を特定する。【選択図】        図１
2005303460.tif 000002
【特許請求の範囲】
【請求項１】
事前処理として、
認証装置の認証手段において、送信者に対する署名生成鍵（ＴＳＫ）及び署名検証鍵（ＴＰＫ）を生成し、
認証装置の証明書生成手段において、送信者情報（ＴＩ）を秘匿化した秘匿化送信者情報（ＳＴＩ）と、上記署名検証鍵（ＴＰＫ）とを含み、当該署名検証鍵（ＴＰＫ）の正当性を証明する鍵証明書（ＴＣＥ）を生成し、
認証装置出力手段において、上記署名生成鍵（ＴＳＫ）と上記鍵証明書（ＴＣＥ）を、送信装置に対して出力し、
送信装置メモリにおいて、上記署名生成鍵（ＴＳＫ）と上記鍵証明書（ＴＣＥ）を格納し、
通信処理として、
送信装置署名生成手段において、上記署名生成鍵（ＴＳＫ）を用い、メッセージのデジタル署名（Ｓ）を生成し、
送信装置送信手段において、上記デジタル署名（Ｓ）と上記鍵証明書（ＴＣＥ）とを、匿名通信路を通じ、受信装置に送信し、
受信装置受信手段において上記デジタル署名（Ｓ）と上記鍵証明書（ＴＣＥ）と受信し、
上記鍵証明書（ＴＣＥ）を受信装置メモリに格納し、
不正者特定処理として、
情報送信者に不正があった場合に、上記受信装置の抽出手段において、上記受信装置メモリから、当該不正者に対応する上記鍵証明書（ＴＣＥ）を抽出し、
抽出された上記鍵証明書（ＴＣＥ）を、受信装置出力手段において、上記認証装置に対して出力し、
認証装置入力手段において、上記鍵証明書（ＴＣＥ）の入力を受け付け、
入力された上記鍵証明書（ＴＣＥ）が有する上記秘匿化送信者情報（ＳＴＩ）に対応する送信者情報（ＴＩ）を、不正者特定手段において求める、
ことを特徴とする匿名通信方法。
【請求項２】
送信者に対する署名生成鍵（ＴＳＫ）及び署名検証鍵（ＴＰＫ）を生成する認証手段と、
送信者情報（ＴＩ）を秘匿化した秘匿化送信者情報（ＳＴＩ）と、上記署名検証鍵（ＴＰＫ）とを含み、当該署名検証鍵（ＴＰＫ）の正当性を証明する鍵証明書（ＴＣＥ）を生成する証明書生成手段と、
上記署名生成鍵（ＴＳＫ）と上記鍵証明書（ＴＣＥ）を、送信装置に対して出力する認証装置出力手段と、
情報送信者に不正があった場合に受信装置において出力される鍵証明書（ＴＣＥ）の入力を受け付ける認証装置入力手段と、
受信した上記鍵証明書（ＴＣＥ）が有する上記秘匿化送信者情報（ＳＴＩ）に対応する送信者情報（ＴＩ）を求める不正者特定手段と、
を有することを特徴とする認証装置。
【請求項３】
事前処理として、
認証装置の認証手段において、送信者に対する署名生成鍵（ＳＫ０）と署名検証鍵（ＰＫ０）、及び各中継装置（Ｒｋ）に対する署名生成鍵（ＳＫｋ）と署名検証鍵（ＰＫｋ）（ｋは自然数）を生成し、
認証装置の証明書生成手段において、上記署名検証鍵（ＰＫ０）の鍵証明書（ＣＥ０）と、上記署名検証鍵（ＰＫｋ）の鍵証明書（ＣＥｋ）（不正者特定装置の公開鍵（Ｙ）によって中継装置（Ｒｋ）の運営者情報（ＲＩｋ）を暗号化した暗号化運営者情報（ＥＲＩｋ）を有する。）とを生成し、
認証装置暗号化手段において、上記不正者特定装置の公開鍵（Ｙ）を用い、送信者情報（ＴＩ）を暗号化した暗号化情報（Ｃ０＝Ｅ（ＴＩ，Ｙ））を生成し、
認証装置出力手段において、上記署名生成鍵（ＳＫ０）、上記鍵証明書（ＣＥ０）及び上記暗号化情報（Ｃ０）を、送信装置に対して出力し、上記署名生成鍵（ＳＫｋ）及び上記鍵証明書（ＣＥｋ）を、各中継装置（Ｒｋ）に対して出力し、
送信装置メモリにおいて、上記署名生成鍵（ＳＫ０）、上記鍵証明書（ＣＥ０）及び上記暗号化情報（Ｃ０）を格納し、
中継装置メモリにおいて、上記署名生成鍵（ＳＫｋ）及び上記鍵証明書（ＣＥｋ）を格納し、
通信処理として、
送信装置署名生成手段において、上記送信装置メモリに格納された上記署名生成鍵（ＳＫ０）を用い、上記暗号化情報（Ｃ０）のデジタル署名（Ｓ０）を生成し、
送信装置送信手段において、上記暗号化情報（Ｃ０）と上記デジタル署名（Ｓ０）と上記鍵証明書（ＣＥ０）とを、匿名通信路を構成する最初の中継装置（Ｒ１）に送信し、
上記匿名通信路を構成する各中継装置（Ｒｉ）（ｉは自然数）の中継装置受信手段において、暗号化情報（Ｃｉ−１）と上記デジタル署名（Ｓｉ−１）と上記鍵証明書（ＣＥｉ−１）を受信し、
中継装置署名検証手段において、上記鍵証明書（ＣＥｉ‐１）を用い、上記デジタル署名（Ｓｉ‐１）を検証し、
上記デジタル署名（Ｓｉ‐１）の検証結果が合格であった場合に、中継装置暗号化手段において、暗号化情報（Ｃｉ‐１）とデジタル署名（Ｓｉ‐１）と鍵証明書（ＣＥｉ‐１）とを、上記不正者特定装置の公開鍵（Ｙ）によって暗号化した暗号化情報（Ｃｉ）を生成し、
中継装置署名生成手段において、上記中継装置メモリに格納された上記署名生成鍵（ＳＫｉ）を用い、上記暗号化情報（Ｃｉ）のデジタル署名（Ｓｉ）を生成し、
中継装置送信手段において、上記暗号化情報（Ｃｉ）と上記デジタル署名（Ｓｉ）と上記中継装置メモリに格納された上記鍵証明書（ＣＥｉ）とを、上記匿名通信路を構成する次の中継装置（上記匿名通信路を構成する次の中継装置が存在しない場合には受信装置）に送信し、
受信装置受信手段において、上記匿名通信路を通じて送信された上記暗号化情報（Ｃｎ）と上記デジタル署名（Ｓｎ）と上記鍵証明書（ＣＥｎ）（ｎは上記匿名通信路の最後尾に位置する中継装置に対応する自然数）を受信し、
受信装置署名検証手段において、上記鍵証明書（ＣＥｎ）を用い、上記デジタル署名（Ｓｎ）を検証し、
上記デジタル署名（Ｓｎ）の検証結果が合格であった場合に、上記暗号化情報（Ｃｎ）を、受信装置メモリに格納し、
不正者特定処理として、
情報送信者に不正があった場合に、受信装置の抽出手段において、上記受信装置メモリから、当該不正者に対応する上記暗号化情報（Ｃｎ）を抽出し、
受信装置出力手段において、上記暗号化情報（Ｃｎ）を、上記不正者特定装置に対して出力し、
不正者特定装置復号手段において、上記暗号化情報（Ｃｎ）を順次復号し、上記暗号化情報（Ｃｐ）と上記デジタル署名（Ｓｐ）と上記鍵証明書（ＣＥｐ）（ｐは０以上ｎ未満の整数）を取得し、
上記不正者特定装置の中継不正探索手段において、上記デジタル署名（Ｓｐ）を上記鍵証明書（ＣＥｐ）によって検証し、その検証結果が不合格であった場合、鍵証明書（ＣＥｐ＋１）が有する暗号化運営者情報（ＥＲＩｐ＋１）を復号し、その運営者情報（ＲＩｐ＋１）を求め、
上記中継不正探索手段における検証結果がすべて合格であった場合、不正送信者特定手段において、上記暗号化情報（Ｃ０）を復号し、上記送信者情報（ＴＩ）を求める、
ことを特徴とする匿名通信方法。
【請求項４】
請求項３記載の匿名通信方法であって、
上記不正者特定装置の公開鍵（Ｙ）は、
複数の不正者特定装置が協力した場合にのみ復号が可能な暗号方式の公開鍵である、
ことを特徴とする匿名通信方法。
【請求項５】
送信者に対する署名生成鍵（ＳＫ０）と署名検証鍵（ＰＫ０）、及び各中継装置（Ｒｋ）に対する署名生成鍵（ＳＫｋ）と署名検証鍵（ＰＫｋ）（ｋは自然数）を生成する認証手段と、
上記署名検証鍵（ＰＫ０）の鍵証明書（ＣＥ０）と、上記署名検証鍵（ＰＫｋ）の鍵証明書（ＣＥｋ）（不正者特定装置の公開鍵（Ｙ）によって中継装置（Ｒｋ）の運営者情報（ＲＩｋ）を暗号化した暗号化運営者情報（ＥＲＩｋ）を有する。）とを生成する証明書生成手段と、
上記不正者特定装置の公開鍵（Ｙ）を用い、送信者情報（ＴＩ）を暗号化した暗号化情報（Ｃ０＝Ｅ（ＴＩ，Ｙ））を生成する認証装置暗号化手段と、
上記署名生成鍵（ＳＫ０）、上記鍵証明書（ＣＥ０）及び上記暗号化情報（Ｃ０）を、送信装置に対して出力し、上記署名生成鍵（ＳＫｋ）及び上記鍵証明書（ＣＥｋ）を、各中継装置（Ｒｋ）に対して出力する認証装置出力手段と、
を有することを特徴とする認証装置。
【請求項６】
不正者特定装置の公開鍵（Ｙ）を用いて送信者情報（ＴＩ）を暗号化した暗号化情報（Ｃ０＝Ｅ（ＴＩ，Ｙ））、送信者に対する署名生成鍵（ＳＫ０）、及び署名検証鍵（ＰＫ０）の鍵証明書（ＣＥ０）を格納する送信装置メモリと、
上記送信装置メモリに格納された上記署名生成鍵（ＳＫ０）を用い、上記暗号化情報（Ｃ０）のデジタル署名（Ｓ０）を生成する送信装置署名生成手段と、
上記暗号化情報（Ｃ０）と上記デジタル署名（Ｓ０）と上記鍵証明書（ＣＥ０）とを、匿名通信路を構成する最初の中継装置（Ｒ１）に送信する送信装置送信手段と、
を有することを特徴とする送信装置。
【請求項７】
中継装置に対する署名生成鍵（ＳＫｉ）、及び署名検証鍵（ＰＫｉ）の鍵証明書（ＣＥｉ）（不正者特定装置の公開鍵（Ｙ）によって中継装置の運営者情報（ＲＩｉ）を暗号化した暗号化運営者情報（ＥＲＩｉ）を有する。）を格納する中継装置メモリと、
暗号化情報（Ｃｉ−１）と上記デジタル署名（Ｓｉ−１）と上記鍵証明書（ＣＥｉ−１）を受信する中継装置受信手段と、
上記鍵証明書（ＣＥｉ‐１）を用い、上記デジタル署名（Ｓｉ‐１）を検証する中継装置署名検証手段と、
上記デジタル署名（Ｓｉ‐１）の検証結果が合格であった場合に、上記不正者特定装置の公開鍵（Ｙ）によって、暗号化情報（Ｃｉ‐１）とデジタル署名（Ｓｉ‐１）と鍵証明書（ＣＥｉ‐１）とを暗号化した暗号化情報（Ｃｉ）を生成する中継装置暗号化手段と、
上記中継装置メモリに格納された上記署名生成鍵（ＳＫｉ）を用い、上記暗号化情報（Ｃｉ）のデジタル署名（Ｓｉ）を生成する中継装置署名生成手段と、
上記暗号化情報（Ｃｉ）と上記デジタル署名（Ｓｉ）と上記中継装置メモリに格納された上記鍵証明書（ＣＥｉ）とを、匿名通信路を構成する次の中継装置（匿名通信路を構成する次の中継装置が存在しない場合には受信装置）に送信する中継装置送信手段と、
を有することを特徴とする中継装置。
【請求項８】
匿名通信路を通じて送信された暗号化情報（Ｃｎ）とデジタル署名（Ｓｎ）と鍵証明書（ＣＥｎ）（ｎは上記匿名通信路の最後尾に位置する中継装置に対応する自然数）を受信する受信装置受信手段と、
上記鍵証明書（ＣＥｎ）を用い、上記デジタル署名（Ｓｎ）を検証する受信装置署名検証手段と、
上記デジタル署名（Ｓｎ）の検証結果が合格であった上記暗号化情報（Ｃｎ）を格納する受信装置メモリと、
情報送信者に不正があった場合に、上記受信装置メモリから、当該不正者に対応する上記暗号化情報（Ｃｎ）を抽出する抽出手段と、
抽出された上記暗号化情報（Ｃｎ）を上記不正者特定装置に対して出力する受信装置出力手段と、
を有することを特徴とする受信装置。
【請求項９】
情報送信者に不正があった場合に受信装置から送信される暗号化情報（Ｃｎ）を順次復号し、暗号化情報（Ｃｐ）とデジタル署名（Ｓｐ）と鍵証明書（ＣＥｐ）（ｐは０以上ｎ未満の整数）を取得する不正者特定装置復号手段と、
上記デジタル署名（Ｓｐ）を上記鍵証明書（ＣＥｐ）によって検証し、その検証結果が不合格であった場合、鍵証明書（ＣＥｐ＋１）が有する暗号化運営者情報（ＥＲＩｐ＋１）を復号する中継不正探索手段と、
上記中継不正探索手段における検証結果がすべて合格であった場合、暗号化情報（Ｃ０）を復号する不正送信者特定手段と、
を有することを特徴とする不正者特定装置。
【請求項１０】
請求項２記載の認証装置としてコンピュータを機能させるためのプログラム。
【請求項１１】
請求項５記載の認証装置としてコンピュータを機能させるためのプログラム。
【請求項１２】
請求項６記載の送信装置としてコンピュータを機能させるためのプログラム。
【請求項１３】
請求項７記載の中継装置としてコンピュータを機能させるためのプログラム。
【請求項１４】
請求項８記載の受信装置としてコンピュータを機能させるためのプログラム。
【請求項１５】
請求項９記載の不正者特定装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号、署名技術を利用した暗号応用プロトコル技術に関し、特に、情報送信者の匿名性を保持しつつ、この匿名性を悪用した不正利用者を特定することが可能な技術に関する。
【背景技術】
【０００２】
ネットワーク上における情報送信者の匿名性、及び送信情報や通信相手といったプライバシ情報を保護する技術として、オニオンルーティングと呼ばれる匿名通信方法（例えば、非特許文献１参照。）がある。しかし、オニオンルーティングのような匿名通信の場合、例えば、電子オークションの落札者が商品を受け取った後に代金を支払わないといった不正が生じても、その不正者を特定することができない。
これに対し、本願発明者は、特願２００３−３８３７６１において、このオニオンルーティングとアクセス認証を組み合わせることで、通常は送信者の匿名性を保護できるが、送信者の不正が発覚した場合には、事前に承認された（複数の）機関が協力することで、当該不正者を特定できる方法を提唱している。
【非特許文献１】Ｐ．  Ｆ．  Ｓｙｖｅｒｓｏｎ，  Ｄ．  Ｍ．  Ｇｏｌｄｓｃｈｌａｇ，  ａｎｄ  Ｍ．  Ｇ．  Ｒｅｅｄ  “Ａｎｏｎｙｍｏｕｓ  ｃｏｎｎｅｃｔｉｏｎｓ  ａｎｄ  ｏｎｉｏｎ  ｒｏｕｔｉｎｇ，”  Ｉｎ  Ｐｒｏｃ．  ｏｆ  ｔｈｅ  １９９７  ＩＥＥＥ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｓｅｃｕｒｉｔｙ  ａｎｄ  Ｐｒｉｖａｃｙ，  ＩＥＥＥ  Ｐｒｅｓｓ，  ｐｐ．  ４４−５４，  Ｍａｙ．  １９９７．
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、特願２００３−３８３７６１号の方法の場合、情報送信者は、利用者認証のため、匿名通信を行うたびに認証サーバにアクセスしなければならない。その結果、認証サーバにアクセスが集中し、当該認証サーバが十分にサービスを行えなくなる可能性がある。
本発明はこのような点に鑑みてなされたものであり、情報送信者の匿名性を保持しつつ、この匿名性を悪用した不正利用者を特定することができ、なおかつ、特定のサーバへ情報集中を抑制することを可能とすることを目的とする。
【課題を解決するための手段】
【０００４】
第１の本発明では上記課題を解決するために、まず、事前処理として、認証装置の認証手段において、送信者に対する署名生成鍵（ＴＳＫ）及び署名検証鍵（ＴＰＫ）を生成し、認証装置の証明書生成手段において、送信者情報（ＴＩ）を秘匿化した秘匿化送信者情報（ＳＴＩ）と署名検証鍵（ＴＰＫ）とを含み、当該署名検証鍵（ＴＰＫ）の正当性を証明する鍵証明書（ＴＣＥ）を生成する。そして、認証装置出力手段において、署名生成鍵（ＴＳＫ）と鍵証明書（ＴＣＥ）を、送信装置に対して出力し、送信装置メモリにおいて、署名生成鍵（ＴＳＫ）と鍵証明書（ＴＣＥ）を格納しておく。
【０００５】
ここで、匿名通信に必要な認証装置での処理は、匿名通信開始前の事前処理として実行される。また、この匿名通信に用いられる署名生成鍵（ＴＳＫ）と鍵証明書（ＴＣＥ）は送信装置メモリに格納され、匿名通信実行時に、送信装置が認証装置にアクセスする必要がない。以上により、認証装置へのアクセス集中を防止できる。また、当該署名生成鍵（ＴＳＫ）を用いたメッセージのデジタル署名（Ｓ）及び鍵証明書（ＴＣＥ）を、送信過程の中継装置に提示し、中継装置がこれを検証できることとすれば、当該中継装置が認証装置の代行を務めていることになる。これにより、通信時に認証装置を経由したのと同様な効果を得ることができる。
【０００６】
また、通信処理の際、送信装置署名生成手段において、署名生成鍵（ＴＳＫ）を用い、メッセージのデジタル署名（Ｓ）を生成し、送信装置送信手段において、デジタル署名（Ｓ）と鍵証明書（ＴＣＥ）とを、匿名通信路を通じ、受信装置に送信する。そして、受信装置受信手段においてデジタル署名（Ｓ）と鍵証明書（ＴＣＥ）と受信し、鍵証明書（ＴＣＥ）を受信装置メモリに格納する。
ここで、鍵証明書（ＴＣＥ）は秘匿化送信者情報（ＳＴＩ）を含むが、認証装置以外は、この鍵証明書（ＴＣＥ）から送信者情報（ＴＩ）を求めることができない。また、各データの通信は匿名通信路を通じて行われる。以上より、情報送信者の匿名性を保持できる。
【０００７】
さらに、情報送信者に不正があった場合、受信装置の抽出手段において、受信装置メモリから、当該不正者に対応する鍵証明書（ＴＣＥ）を抽出し、抽出された鍵証明書（ＴＣＥ）を、受信装置出力手段において、認証装置に出力する。そして、認証装置の認証装置入力手段において、鍵証明書（ＴＣＥ）の入力を受け付け、不正者特定手段において、入力された上記鍵証明書（ＴＣＥ）が有する秘匿化送信者情報（ＳＴＩ）に対応する送信者情報（ＴＩ）を求める。
ここで、認証装置は、入力された鍵証明書（ＴＣＥ）が有する秘匿化送信者情報（ＳＴＩ）から送信者情報（ＴＩ）を求めることができる。これにより、不正な情報送信者を特定できる。
【０００８】
また第２の本発明では上記課題を解決するために、まず、事前処理として、認証装置の認証手段において、送信者に対する署名生成鍵（ＳＫ０）と署名検証鍵（ＰＫ０）、及び各中継装置（Ｒｋ）に対する署名生成鍵（ＳＫｋ）と署名検証鍵（ＰＫｋ）（ｋは自然数）を生成し、認証装置の証明書生成手段において、署名検証鍵（ＰＫ０）の鍵証明書（ＣＥ０）と、署名検証鍵（ＰＫｋ）の鍵証明書（ＣＥｋ）（不正者特定装置の公開鍵（Ｙ）によって中継装置（Ｒｋ）の運営者情報（ＲＩｋ）を暗号化した暗号化運営者情報（ＥＲＩｋ）を有する。）とを生成する。また、認証装置暗号化手段において、不正者特定装置の公開鍵（Ｙ）を用い、送信者情報（ＴＩ）を暗号化した暗号化情報（Ｃ０＝Ｅ（ＴＩ，Ｙ））を生成する。その後、認証装置出力手段において、署名生成鍵（ＳＫ０）、鍵証明書（ＣＥ０）及び暗号化情報（Ｃ０）を、送信装置に対して出力し、署名生成鍵（ＳＫｋ）及び鍵証明書（ＣＥｋ）を、各中継装置（Ｒｋ）に対して出力する。そして、送信装置メモリにおいて、署名生成鍵（ＳＫ０）、鍵証明書（ＣＥ０）及び暗号化情報（Ｃ０）を格納し、中継装置メモリにおいて、署名生成鍵（ＳＫｋ）及び鍵証明書（ＣＥｋ）を格納しておく。
【０００９】
ここで、匿名通信に必要な認証装置での処理は、匿名通信開始前の事前処理として実行される。また、この匿名通信に用いられる署名生成鍵（ＳＫ０）、鍵証明書（ＣＥ０）及び暗号化情報（Ｃ０）は送信装置メモリに格納され、署名生成鍵（ＳＫｋ）及び鍵証明書（ＣＥｋ）は中継装置メモリに格納される。そのため、匿名通信実行時に、送信装置や中継装置が認証装置にアクセスする必要はなく、認証装置へのアクセス集中を防止できる。
また、通信処理の際、送信装置署名生成手段において、送信装置メモリに格納された署名生成鍵（ＳＫ０）を用い、暗号化情報（Ｃ０）のデジタル署名（Ｓ０）を生成し、送信装置送信手段において、暗号化情報（Ｃ０）とデジタル署名（Ｓ０）と鍵証明書（ＣＥ０）とを、匿名通信路を構成する最初の中継装置（Ｒ１）に送信し、匿名通信路を構成する各中継装置（Ｒｉ）（ｉは自然数）の中継装置受信手段において、暗号化情報（Ｃｉ−１）とデジタル署名（Ｓｉ−１）と鍵証明書（ＣＥｉ−１）を受信し、中継装置署名検証手段において、鍵証明書（ＣＥｉ‐１）を用い、デジタル署名（Ｓｉ‐１）を検証し、デジタル署名（Ｓｉ‐１）の検証結果が合格であった場合に、中継装置暗号化手段において、暗号化情報（Ｃｉ‐１）とデジタル署名（Ｓｉ‐１）と鍵証明書（ＣＥｉ‐１）とを、不正者特定装置の公開鍵（Ｙ）によって暗号化した暗号化情報（Ｃｉ）を生成し、中継装置署名生成手段において、中継装置メモリに格納された署名生成鍵（ＳＫｉ）を用い、暗号化情報（Ｃｉ）のデジタル署名（Ｓｉ）を生成し、中継装置送信手段において、暗号化情報（Ｃｉ）とデジタル署名（Ｓｉ）と中継装置メモリに格納された鍵証明書（ＣＥｉ）とを、匿名通信路を構成する次の中継装置（匿名通信路を構成する次の中継装置が存在しない場合には受信装置）に送信し、受信装置受信手段において、匿名通信路を通じて送信された暗号化情報（Ｃｎ）とデジタル署名（Ｓｎ）と鍵証明書（ＣＥｎ）（ｎは匿名通信路の最後尾に位置する中継装置に対応する自然数）を受信し、受信装置署名検証手段において、鍵証明書（ＣＥｎ）を用い、デジタル署名（Ｓｎ）を検証し、デジタル署名（Ｓｎ）の検証結果が合格であった場合に、暗号化情報（Ｃｎ）を、受信装置メモリに格納する。
【００１０】
ここで、暗号化情報（Ｃｉ）は、不正者特定装置しか復号できず、それ以外の第三者は送信者情報（ＴＩ）を得ることができない。また、各データの通信は匿名通信路を通じて行われる。以上より、情報送信者の匿名性を保持できる。
さらに、情報送信者に不正があった場合に、受信装置の抽出手段において、受信装置メモリから、当該不正者に対応する暗号化情報（Ｃｎ）を抽出し、受信装置出力手段において、暗号化情報（Ｃｎ）を不正者特定装置に対して出力し、不正者特定装置復号手段において、暗号化情報（Ｃｎ）を順次復号し、暗号化情報（Ｃｐ）とデジタル署名（Ｓｐ）と鍵証明書（ＣＥｐ）（ｐは０以上ｎ未満の整数）を取得し、不正者特定装置の中継不正探索手段において、デジタル署名（Ｓｐ）を鍵証明書（ＣＥｐ）によって検証し、その検証結果が不合格であった場合、鍵証明書（ＣＥｐ＋１）が有する暗号化運営者情報（ＥＲＩｐ＋１）を復号し、その運営者情報（ＲＩｐ＋１）を求め、中継不正探索手段における検証結果がすべて合格であった場合、不正送信者特定手段において、暗号化情報（Ｃ０）を復号し、送信者情報（ＴＩ）を求める。
【００１１】
ここで、不正者特定装置は、暗号化情報（Ｃ０）を復号することにより送信者情報（ＴＩ）を求めることができる。これにより、不正な情報送信者を特定できる。
【発明の効果】
【００１２】
以上のように、本発明では、情報送信者の匿名性を保持しつつ、この匿名性を悪用した不正利用者を特定することができ、なおかつ、特定のサーバへ情報集中を抑制することができる。
【発明を実施するための最良の形態】
【００１３】
以下、この発明の実施の形態を図面を参照して説明する。
〔第１の実施の形態〕
まず、本発明における第１の実施の形態について説明する。
＜全体構成＞
図１は、本形態における匿名通信システム１の構成を例示した図である。
図１に例示するように、本形態の匿名通信システム１は、認証機関１１０が運用する認証装置１０、情報の送信者１２０‐１〜Ｘが利用する送信装置２０‐１〜Ｘ、中継装置３０‐１〜Ｗ、情報の受信者１４０‐１〜Ｚが利用する受信装置４０‐１〜Ｚを有している。
また、送信装置２０‐１〜Ｘ、中継装置３０‐１〜Ｗ、及び受信装置４０‐１〜Ｚは、インターネット等のネットワーク５０を通じて通信可能に接続されている。さらに、認証機関１１０と、送信者１２０‐１〜Ｘ及び受信者１４０‐１〜Ｚは、例えば、ＩＣ（ｉｎｔｅｇｒａｔｅｄ  ｃｉｒｃｕｉｔ）等の可搬型の記録媒体を用いてオフラインで情報のやり取りを行う。
なお、この例の認証装置１０、送信装置２０‐１〜Ｘ、中継装置３０‐１〜Ｗ、及び受信装置４０‐１〜Ｚは、公知のコンピュータに所定のプログラムを実行させることにより構築されるものである。
【００１４】
＜各装置構成及び処理方法＞
図２の（ａ）は、上述した認証装置１０の構成を例示したブロック図であり、図２の（ｂ）は、送信装置２０（送信装置２０‐１〜Ｘ）の構成を例示したブロック図である。また、図３の（ａ）は、中継装置３０（中継装置３０‐１〜Ｗ）の構成を例示したブロック図であり、図３の（ｂ）は、受信装置４０（受信装置４０‐１〜Ｚ）の構成を例示したブロック図である。また、図４は本形態の事前処理を説明するためのフローチャートであり、図５は送信処理を説明するためのフローチャートであり、図６は、この送信処理を説明するための概念図である。さらに、図７は、本形態における不正者特定処理を説明するためのフローチャートである。
【００１５】
以下、これらの図を用い、本形態における匿名通信システム１を構成する各装置構成、及び処理方法について説明する。なお、以下では、送信者１２０‐１が受信者１４０‐１に対し情報送信を行う場合を例にとって説明する。
＜事前処理＞
まず、認証装置１０（図２（ａ））の鍵メモリ１２に、鍵証明書作成のための秘密鍵（ＳＫ）、それに対応する公開鍵（ＰＫ）、送信者情報を暗号化するための暗号化鍵（Ｋ）を格納する。また、送信装置２０‐１（図２（ｂ）：送信装置２０）の経路設定メモリ２５には、送信相手となる受信装置４０‐１のアドレス（Ａ０）、すべての中継装置３０‐１〜Ｗのアドレス、及び各中継装置３０‐１〜Ｗにそれぞれ対応し、対応する中継装置３０‐１〜Ｗのみが復号できる複数の暗号化関数を格納する。さらに、各中継装置３０‐１〜Ｗ（図３（ａ）：中継装置３０）の鍵メモリ３１には、この暗号化関数の復号に必要な復号鍵（ＲＫｋ）（ｋは自然数）を格納しておく。
【００１６】
送信者１２０‐１（送信利用者）が匿名通信を希望する場合、送信者１２０‐１は、まず、オフラインで認証機関１１０に身元証明の届出を行う。これを受けた認証機関１１０は、それを審査し、適切であると認めた（承認した）場合、この送信者１２０‐１の送信者情報（氏名、住所、電話番号等の個人情報）を認証装置１０の送信者情報メモリ１１に格納する。その後、認証装置１０（図２（ａ））において、以下の処理が実行される。
まず、認証手段１３において、上記の承認された送信者１２０‐１に対する署名生成鍵（ＴＳＫ）及び署名検証鍵（ＴＰＫ）を生成する（図４（ａ）：ステップＳ１）。ここで、署名生成鍵（ＴＳＫ）は、例えばＲＳＡ等の公開鍵暗号方式における秘密鍵であり、署名検証鍵（ＴＰＫ）は、それに対応する公開鍵である。
【００１７】
次に、認証装置暗号化手段１４において、送信者情報メモリ１１から、上記の承認された送信者１２０‐１の送信者情報（ＴＩ）を抽出し、鍵メモリ１２から暗号化鍵（Ｋ）を抽出する。そして、認証装置暗号化手段１４は、この送信者情報（ＴＩ）を暗号化鍵（Ｋ）で暗号化（秘匿化）した秘匿化送信者情報（ＳＴＩ＝Ｅ（ＴＩ，Ｋ））を生成し、それを証明書生成手段１５に送る（ステップＳ２）。なお、Ｅ（α，β）は、αを鍵βを用いて暗号化した暗号文を意味する。
次に、証明書生成手段１５において、鍵メモリ１２から秘密鍵（ＳＫ）を抽出し、認証装置暗号化手段１４から秘匿化送信者情報（ＳＴＩ）を受け取り、認証手段１３から署名検証鍵（ＴＰＫ）を受け取る。そして、証明書生成手段１５は、これらの秘匿化送信者情報（ＳＴＩ）と署名検証鍵（ＴＰＫ）とを含み、当該署名検証鍵（ＴＰＫ）の正当性を証明する鍵証明書（ＴＣＥ＝（ＴＰＫ，Ｅ（ＴＰＫ，ＳＫ），ＳＴＩ）を生成する（ステップＳ３）。すなわち、署名検証鍵（ＴＰＫ）を秘密鍵（ＳＫ）で暗号化したＥ（ＴＰＫ，ＳＫ）と署名検証鍵（ＴＰＫ）と秘匿化送信者情報（ＳＴＩ）を、鍵証明書（ＴＣＥ）として生成する。
【００１８】
次に、認証装置出力手段１６において、認証手段１３において生成された署名生成鍵（ＴＳＫ）と、証明書生成手段１５において生成された鍵証明書（ＴＣＥ）とを受け取り、これらを、送信者１２０‐１が利用する送信装置２０‐１に対して出力する（ステップＳ４）。具体的には、例えば、これらの署名生成鍵（ＴＳＫ）及び鍵証明書（ＴＣＥ）を、送信装置２０‐１向けの可般型記録媒体（ＩＣカード等）に出力し、これらのデータをこの可般型記録媒体に記録し、その可般型記録媒体を送信者１２０‐１に郵送等する。
これを受け取った送信者１２０‐１は、この可般型記録媒体に記憶された署名生成鍵（ＴＳＫ）及び鍵証明書（ＴＣＥ）を、送信装置２０‐１（図２（ｂ）：送信装置２０）の送信装置入力手段２１に読み込ませる（入力させる）（図４（ｂ）：ステップＳ５）。読み込まれた署名生成鍵（ＴＳＫ）及び鍵証明書（ＴＣＥ）は、送信装置メモリ２２に送られ、そこに格納される（ステップＳ６）。
なお、ここでは、ＩＣカード等の可般型記録媒体を介して署名生成鍵（ＴＳＫ）及び鍵証明書（ＴＣＥ）を提供する例を示したが、送信者１２０‐１が、オフラインで認証機関１１０の身分証明を受け、事前にパスワード等の証明キーを受け取っておき、この証明キーを用い、オンラインで認証装置１０から送信装置２０‐１に署名生成鍵（ＴＳＫ）及び鍵証明書（ＴＣＥ）が送信されることとしてもよい。
【００１９】
＜通信処理＞
本形態では、オニオンルーティング（例えば、非特許文献１参照。）によって構成された匿名通信路を通じ、送信装置２０‐１から受信装置４０‐１までの匿名通信を行う（図６）。
本形態における匿名通信を開始する場合、まず、送信者１２０‐１は、送信するメッセージ（ＭＳＧ）を、送信装置２０‐１（図２（ｂ）：送信装置２０）に対して入力し、送信装置２０‐１は、このメッセージ（ＭＳＧ）をメッセージメモリ２３に格納する。
次に、経路設定手段２６において、経路設定メモリ２５に格納されている中継装置３０‐１〜Ｗのアドレスの情報を参照し、介在させる中継装置３０とその中継順序を決定する（図５（ａ）：ステップＳ１１）。この例では、中継装置３０‐１〜ｎが選択され、中継装置３０‐１，２，．．．，ｎという中継順序が選択されたとする（図６）（当然、その他の中継装置、及びその他の中継順序が選択されてもよい）。
【００２０】
その後、経路設定手段２６において、経路設定メモリ２５から、選択した中継装置３０‐１〜ｎのアドレス（Ａ１〜Ａｎ）、受信装置４０‐１のアドレス（Ａ０）、及び各中継装置３０‐１〜ｎにそれぞれ対応し、各中継装置３０‐１〜ｎのみがそれぞれ復号可能な暗号化関数（Ｅ１〜Ｅｎ）を抽出する。そして、この経路設定手段２６は、多層暗号化情報（Ｈ０＝Ｅ１（Ａ２‖Ｅ２（Ａ３‖・・・‖Ｅｎ−１（Ａｎ‖Ｅｎ（Ａ０））・・・））を生成する（ステップＳ１２）。
すなわち、まず経路設定手段２６は、受信装置４０‐１のアドレス（Ａ０）を暗号化関数Ｅｎによって暗号化（Ｅｎ（Ａ０））する。さらに、その暗号文（Ｅｎ（Ａ０））と中継装置３０‐ｎのアドレス（Ａｎ）のデータ結合（Ａｎ‖Ｅｎ（Ａ０））を、暗号化関数Ｅｎ‐１によって暗号化（Ｅｎ‐１（Ａｎ‖Ｅｎ（Ａ０）））する。さらにまた、その暗号文Ｅｎ‐１（Ａｎ‖Ｅｎ（Ａ０））と中継装置３０‐（ｎ‐１）のアドレス（Ａｎ‐１）のデータ結合（Ａｎ‐１‖Ｅｎ‐１（Ａｎ‖Ｅｎ（Ａ０）））を、暗号化関数Ｅｎ‐２によって暗号化（Ｅｎ‐２（Ａｎ‐１‖Ｅｎ‐１（Ａｎ‖Ｅｎ（Ａ０）））する。そして、さらに同様な処理を繰り返し、多層暗号化情報（Ｈ０＝Ｅ１（Ａ２‖Ｅ２（Ａ３‖・・・‖Ｅｎ−１（Ａｎ‖Ｅｎ（Ａ０））・・・））を生成する。
【００２１】
次に、送信装置署名生成手段２４において、送信装置メモリ２２から署名生成鍵（ＴＳＫ）を抽出し、メッセージメモリ２３からメッセージ（ＭＳＧ）を抽出する。そして、送信装置署名生成手段２４は、この署名生成鍵（ＴＳＫ）を用い、メッセージのデジタル署名（Ｓ＝Ｓｉｇ（ＭＳＧ，ＴＳＫ））を生成し、デジタル署名（Ｓ）とメッセージ（ＭＳＧ）を送信装置送信手段２７に送る（ステップＳ１３）。なお、Ｓｉｇ（α，β）は、鍵βでαを暗号化したαのデジタル署名を示す。
次に、送信装置送信手段２７において、経路設定手段２６から多層暗号化情報（Ｈ０）を受け取り、送信装置メモリ２２から鍵証明書（ＴＣＥ）を受け取り、送信装置署名生成手段２４からデジタル署名（Ｓ）とメッセージ（ＭＳＧ）を受け取る。そして、送信装置送信手段２７は、これらの情報を、中継装置３０からなる匿名通信路を通じ、受信装置４０‐１に送信する（ステップＳ１４）。
【００２２】
すなわち、送信装置２０‐１は、まず、これらの情報を、ネットワーク５０を通じ、ステップＳ１１で決定した最初の中継装置３０‐１に送信する。中継装置３０‐１（図３（ａ）：中継装置３０）は、中継装置受信手段３２において、多層暗号化情報（Ｈ０（多層暗号化情報Ｈｉ：ｉ＝０））、メッセージ（ＭＳＧ）、デジタル署名（Ｓ）及び鍵証明書（ＴＣＥ）を受信し、メッセージ（ＭＳＧ）、デジタル署名（Ｓ）及び鍵証明書（ＴＣＥ）を署名検証手段３３に送り、多層暗号化情報（Ｈｉ）を復号手段３４に送る（図５（ｂ）：ステップＳ２１）。
【００２３】
署名検証手段３３は、オンライン或いはオフラインで認証装置１０の鍵メモリ１２に格納されている公開鍵（ＰＫ）を取得し、鍵証明書（ＴＣＥ）が有するＥ（ＴＰＫ，ＳＫ）の復号結果が署名検証鍵（ＴＰＫ）となることを検証する。そして、署名検証手段３３は、合格となった署名検証鍵（ＴＰＫ）を用い、デジタル署名（Ｓ＝Ｓｉｇ（ＭＳＧ，ＴＳＫ））を復号し、その復号結果がメッセージ（ＭＳＧ）となるか否かを検証する（ステップＳ２２）。
ここで、Ｅ（ＴＰＫ，ＳＫ）の復号結果が署名検証鍵（ＴＰＫ）とならなかった場合（ステップＳ２３）、或いは、デジタル署名（Ｓ＝Ｓｉｇ（ＭＳＧ，ＴＳＫ））の復号結果がメッセージ（ＭＳＧ）とならなかった場合には、エラー終了する（ステップＳ２４）。
【００２４】
一方、デジタル署名（Ｓ＝Ｓｉｇ（ＭＳＧ，ＴＳＫ））の復号結果がメッセージ（ＭＳＧ）となった場合には（ステップＳ２３）、復号手段３４において鍵メモリ３１から復号鍵（ＲＫ1）（ＲＫｉ＋１：ｉ＝０）を抽出し、多層暗号化情報（Ｈ０）を復号し、Ａ２‖Ｅ２（Ａ３‖・・・‖Ｅｎ−１（Ａｎ‖Ｅｎ（Ａ０））・・・）を得る。これにより、中継装置３０‐１は、次に送信する中継装置３０‐２のアドレス（Ａ２）（Ａｉ＋２：ｉ＝０）を知ることができる。
そして、中継装置送信手段３５は、署名検証手段３３からメッセージ（ＭＳＧ）、デジタル署名（Ｓ）及び鍵証明書（ＴＣＥ）を受け取り、復号手段３４から、多層暗号化情報（Ｈ１＝Ｅ２（Ａ３‖・・・‖Ｅｎ−１（Ａｎ‖Ｅｎ（Ａ０））・・・）（多層暗号化情報Ｈｉ＋１：ｉ＝０））及び中継装置３０‐２のアドレス（Ａ２）を受け取る。そして、中継装置送信手段３５は、このアドレス（Ａ２）で特定される中継装置３０‐２へ、署名検証手段３３からメッセージ（ＭＳＧ）、デジタル署名（Ｓ）、鍵証明書（ＴＣＥ）及び多層暗号化情報（Ｈ１（多層暗号化情報Ｈｉ＋１：ｉ＝０））を、ネットワーク５０を通じ送信する（ステップＳ２６）。
【００２５】
その後、同様な処理を、ステップＳ１１で選択された各中継装置３０‐２〜ｎにおいて繰り返し、最終的に、メッセージ（ＭＳＧ）、デジタル署名（Ｓ）、鍵証明書（ＴＣＥ）が中継装置３０‐ｎから受信装置４０‐１に送信される（図６）。
以上の通信経路において、多層暗号化情報（Ｈi）は、それが送信された中継装置３０‐（ｉ＋１）のみで復号可能である。そのため、中継装置３０‐（ｉ＋２）アドレス（Ａｉ＋２）を知ることができるのは中継装置３０‐（ｉ＋１）のみである。そして、２以上の中継装置３０を中継することとすれば、１つの中継装置３０が、送信装置２０‐１と受信装置４０‐１双方のアドレスを知ることはできない。これにより、送信装置２０‐１と受信装置４０‐１との通信事実を秘匿することができる。なお、前述のように、介在する中継装置３０、その数、中継順序はあらかじめ決定されているものではなく、通信ごとに、送信装置２０‐１が決定するものである。これにより、２以上の中継装置が結託し、送信装置２０‐１と受信装置４０‐１との通信事実が露呈してしまうという事態を防止することができる。
【００２６】
次に、受信装置４０‐１の受信装置受信手段４１（図３（ｂ）：受信装置４０）において、メッセージ（ＭＳＧ）、デジタル署名（Ｓ）及び鍵証明書（ＴＣＥ）を受信し、これを署名検証手段４２に送る（ステップＳ３１）。
署名検証手段４２は、前述のステップＳ２２と同様な手法によりデジタル署名（Ｓ）を検証し（ステップＳ３２）、これが不合格であった場合（ステップＳ３３）にはエラー終了し（ステップＳ３４）、合格であった場合（ステップＳ３３）には、メッセージ（ＭＳＧ）、デジタル署名（Ｓ）及び鍵証明書（ＴＣＥ）を受信装置メモリに格納する（ステップＳ３５）。
【００２７】
なお、受信装置４０‐１から送信装置２０‐１への返信経路は、セッション管理を行い送信経路を逆に辿ることで確立できる。或いは別の手段として、受信装置４０‐１において返信用の多層暗号化情報（Ｈ）を生成し、これをメッセージ（ＭＳＧ）とともに受信装置４０‐１に送信しておき、受信装置４０‐１が、この返信用の多層暗号化情報Ｈを用い、送信時と同様な方法により、返信メッセージを返信することとしてもよい。
また、送信メッセージ／返信メッセージは、受信装置４０／送信装置２０のみが復号できるように暗号化することで、メッセージの秘匿性を高めることができる。
【００２８】
＜不正者特定処理＞
次に、例えば、匿名の送信者１２０からの入金がない等の不正が生じた場合に、この不正な送信者１２０を特定する処理について説明する。
受信者１４０‐１に情報を送信した送信者１２０に不正があった場合、受信者１４０‐１は、例えば、そのメッセージ（MSG）を指定した不正者特定処理指示を、受信装置４０‐１（図３（ｂ）：受信装置４０）の抽出手段４４に入力する（図７（ａ）：ステップＳ４１）。抽出手段４４は、このメッセージ（MSG）に対応する、すなわち不正者に対応する鍵証明書（ＴＣＥ）を受信装置メモリ４３抽出し、受信装置出力手段４５に送る（ステップＳ４２）。受信装置出力手段４５は、この鍵証明書（ＴＣＥ）を認証装置１０に対して出力する（ステップＳ４３）。具体的には、例えば、ＩＣカード等の可搬型記録媒体にこの鍵証明書（ＴＣＥ）を格納し、この可搬型記録媒体を認証機関１１０に郵送する。この際、この可搬型記録媒体には、例えば、送受信メッセージ、鍵証明書等の通信データの過去ログも格納しておく。
【００２９】
認証機関１１０は、この可搬型記録媒体に記録された過去ログを参照し、受信者１４０‐１の訴えの妥当性を判断し、妥当であると判断した場合には、認証装置１０（図２（ａ））の認証装置入力手段１７に、この可搬型記録媒体に記録された鍵証明書（ＴＣＥ）を入力し、認証装置入力手段１７は、この入力を受け付ける（図７（ｂ）：ステップＳ４５）。
入力された鍵証明書（ＴＣＥ）は、不正者特定手段１８に送られ、不正者特定手段１８は、入力された鍵証明書（ＴＣＥ）が有する秘匿化送信者情報（ＳＴＩ）に対応する送信者情報（ＴＩ）を求める。この例の場合、不正者特定手段１８は、鍵メモリ１２から暗号化鍵（Ｋ）を抽出し、これによって秘匿化送信者情報（ＳＴＩ）を復号し、送信者情報（ＴＩ）を求める。これにより、不正者が特定されることになる。
【００３０】
＜本形態の特徴＞
以上説明したように、本形態では、認証装置１０において、承認した送信者１２０‐１に対する署名生成鍵（ＴＳＫ）、及び送信者情報（ＴＩ）を秘匿化した秘匿化送信者情報（ＳＴＩ）と署名検証鍵（ＴＰＫ）とを含む鍵証明書（ＴＣＥ）を生成し、これらを送信者１２０‐１に事前に発行する。これにより、通信処理のたびに送信装置２０‐１〜Ｘが認証装置１０にアクセスする必要がなくなり、認証装置１０へのアクセス集中を抑制することができる。
【００３１】
また、送信者１２０‐１は、送信装置２０‐１を用い、署名生成鍵（ＴＳＫ）によってメッセージ（ＭＳＧ）にデジタル署名（Ｓ）を付し、これらを鍵証明書（ＴＣＥ）とともに、オニオンルーティングによって構成される匿名通信路を通じ、受信装置４０‐１に送信する。これにより、送信者１２０‐１の匿名性が保持されるとともに、メッセージの正当性が保証される。
さらに、当該デジタル署名（Ｓ）及び鍵証明書（ＴＣＥ）を、送信過程の中継装置３０‐１〜Ｗ提示し、中継装置３０‐１〜Ｗがこれを検証することとしたため、当該中継装置３０‐１〜Ｗが認証装置１０の代行を務めることになる。これにより、通信時に認証装置１０を経由したのと同様な認証効果を得ることができる。そして、中継装置３０‐１〜Ｗが複数であれば、一般にアクセス分散の効果が期待できる。
【００３２】
また、送信者１２０‐１に不正があった場合、受信装置４０‐１を利用する受信者１４０‐１は、鍵証明書（ＴＣＥ）を認証機関１１０に渡し、認証機関１１０は、認証装置１０を用い、この鍵証明書（ＴＣＥ）から送信者１２０‐１を特定する。これにより、不正者の特定ができる。
なお、この発明は上述の実施の形態に限定されるものではなく、その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。例えば、上述の実施の形態では、送信装置と中継装置とを別装置としたが、これらの装置が有する機能を単一装置内に共存させることとしてもよい。また、本形態では、送信者情報（ＴＩ）を秘匿化して秘匿化送信者情報（ＳＴＩ）を生成することとしたが、認証装置１０において、送信者情報（ＴＩ）のテーブルを秘密に保持し、各送信者情報（ＴＩ）のキーとなる情報を秘匿化送信者情報（ＳＴＩ）とすることとしてもよい。この場合、不正者特定手段１８は、送られた秘匿化送信者情報（ＳＴＩ）を元に、このテーブルを検索し、この秘匿化送信者情報（ＳＴＩ）に対応する送信者情報（ＴＩ）を、不正者の情報として特定する。また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。
【００３３】
〔第２の実施の形態〕
次に、本発明における第２の実施の形態について説明する。
＜全体構成＞
図８は、本形態における匿名通信システム２００の構成を例示した図である。
図８に例示するように、本形態の匿名通信システム２００は、認証機関３１０が運用する認証装置２１０、情報の送信者３２０‐１〜Ｘが利用する送信装置２２０‐１〜Ｘ、中継装置運営者３３０‐１〜Ｗが利用する中継装置２３０‐１〜Ｗ、情報の受信者３４０‐１〜Ｚが利用する受信装置２４０‐１〜Ｚ、及び不正者を特定する複数の不正者特定機関３５０‐１〜Ｕがそれぞれ操作する複数の不正者特定装置２５０‐１〜Ｖを有している。
【００３４】
また、認証装置２１０、送信装置２２０‐１〜Ｘ、中継装置２３０‐１〜Ｗ、受信装置２４０‐１〜Ｚ、及び不正者特定装置２５０‐１〜Ｖは、インターネット等のネットワーク２６０を通じて通信可能に接続されている。さらに、認証機関３１０、送信者３２０‐１〜Ｘ、中継装置運営者３３０‐１〜Ｗ、受信者３４０‐１〜Ｚ、及び不正者特定機関３５０‐１〜Ｕは、例えば、ＩＣ等の可搬型の記録媒体を用いてオフラインで情報のやり取りを行う。
なお、この例の認証装置２１０、送信装置２２０‐１〜Ｘ、中継装置２３０‐１〜Ｗ、受信装置２４０‐１〜Ｚ、及び不正者特定装置２５０‐１〜Ｖは、公知のコンピュータに所定のプログラムを実行させることにより構築されるものである。
【００３５】
＜各装置構成及び処理方法＞
図9は、上述した認証装置２１０の構成を例示したブロック図であり、図１０は、送信装置２２０（送信装置２２０‐１〜Ｘ）の構成を例示したブロック図であり、図１１は、中継装置２３０（中継装置２３０‐１〜Ｗ）の構成を例示したブロック図である。また、図１２の（ａ）は、受信装置２４０（受信装置２４０‐１〜Ｚ）の構成を例示したブロック図であり、図１２の（ｂ）は、不正者特定装置２５０（不正者特定装置２５０‐１〜Ｖ）の構成を例示したブロック図である。また、図１３は、本形態の事前処理を説明するためのフローチャートであり、図１４及び図１５の（ａ）は、送信処理を説明するためのフローチャートである。さらに、図１５の（ｂ）及び図１６は、本形態における不正者特定処理を説明するためのフローチャートである。
【００３６】
以下、これらの図を用い、本形態における匿名通信システム２００を構成する各装置構成、及び処理方法について説明する。なお、以下では、送信者３２０‐１が受信者３４０‐１に対し情報送信を行う場合を例にとって説明する。
＜事前処理＞
まず、複数の不正者特定装置２５０‐１〜Ｖが協力し、ある公開鍵暗号関数の単一の公開鍵（Ｙ）（「不正者特定装置の公開鍵（Ｙ）」に相当）を作成し、公開する。なお、この公開鍵（Ｙ）を用いて暗号化された暗号文は、複数の不正者特定装置２５０‐１〜Ｖが協力した場合に限り復号可能である。また、この応用として、あるしきい値数以上の不正者特定装置２５０‐１〜Ｖが協力した場合にのみ復号可能であるしきい値暗号（Ｔｈｒｅｓｈｏｌｄ  ｅｎｃｒｙｐｔｉｏｎ）の公開鍵を当該公開鍵（Ｙ）として用いてもよい。なお、このしきい値暗号の具体例については、しきい値Paillier暗号（例えば「  R. Crmer, I. Damgard, and J. B. Nielsen, "Multiparty computation from threshold homomorphic encryption," Eurocrypt '01, LNCS 2045, pp. 280-300, Springer-Verlag, 2001.」参照。）や、しきい値RSA暗号（例えば「R. Gennaro, S. Jarecki, H. Krawczyk, and T. Rabin, “Robust and efficient sharing of RSA functions,” CRYPTO ’96, Springer-Verlag, 1996.」参照。）がある。
【００３７】
また、認証装置２１０（図９）の鍵メモリ２１２に、鍵証明書作成のための秘密鍵（ＳＫ）、それに対応する公開鍵（ＰＫ）、上述の公開鍵（Ｙ）を格納する。また、送信装置２２０‐１（図１０：送信装置２２０）の経路設定メモリ２２５には、送信相手となる受信装置２４０‐１のアドレス（Ａ０）、すべての中継装置２３０‐１〜Ｗのアドレス、及び各中継装置２３０‐１〜Ｗにそれぞれ対応し、対応する中継装置２３０‐１〜Ｗのみが復号できる複数の暗号化関数を格納する。さらに、各中継装置２３０‐１〜Ｗ（図１１：中継装置２３０）の鍵メモリ２３１には、この暗号化関数の復号に必要な復号鍵（ＲＫｋ）（ｋは自然数）及び上述の公開鍵（Ｙ）を格納しておく。
【００３８】
また、各中継装置運営者３３０‐１〜Ｗは、それぞれの中継装置運営者情報（運営者名称、住所、電話番号等）を、オフラインで認証機関３１０に提供し、認証機関３１０は、その中継装置運営者情報（ＲＩｋ：ｋ∈｛１，２，...，Ｗ｝）を、認証装置１０（図９）の中継装置運営者情報メモリ２１７に格納しておく。さらに、送信者３２０‐１（送信利用者）が匿名通信を希望する場合、送信者３２０‐１は、まず、オフラインで認証機関３１０に身元証明を行い、認証機関３１０は、承認した送信者３２０‐１の送信者情報を認証装置２１０（図９）の送信者情報メモリ２１１に格納する。その後、認証装置２１０において、以下の処理が実行される。
【００３９】
まず、認証手段２１３において、上記の承認された送信者３２０‐１に対する署名生成鍵（ＳＫ０）と署名検証鍵（ＰＫ０）、及び各中継装置２３０‐１〜Ｗ（Ｒｋ）に対する署名生成鍵（ＳＫｋ）と署名検証鍵（ＰＫｋ）を生成する（図１３（ａ）：ステップＳ５１）。生成された署名生成鍵（ＳＫ０，ＳＫｋ）は認証装置出力手段２１６に送られ、署名検証鍵（ＰＫ０，ＰＫｋ）は証明書生成手段２１５に送られる。
次に、認証装置暗号化手段２１４において、送信者情報メモリ２１１から、中継装置運営者情報メモリ２１７から、すべての中継装置運営者３３０‐１〜Ｗの中継装置運営者情報（ＲＩｋ）を抽出し、鍵メモリ２１２から公開鍵（Ｙ）を抽出する。そして、認証装置暗号化手段２１４は、公開鍵（Ｙ）によって各運営者情報（ＲＩｋ）を暗号化した暗号化運営者情報（ＥＲＩｋ＝Ｅ（ＲＩｋ，Ｙ））を生成する（ステップＳ５２）。
【００４０】
生成された暗号化運営者情報（ＥＲＩｋ）は、証明書生成手段２１５に送られる。証明書生成手段２１５は、これを受け取り、さらに認証手段２１３で生成された署名検証鍵（ＰＫ０）及び署名検証鍵（ＰＫｋ）を受け取り、鍵メモリ２１２から秘密鍵（ＳＫ）を抽出する。そして、証明書生成手段２１５は、署名検証鍵（ＰＫ０）の鍵証明書（ＣＥ０＝（ＰＫ0，Ｅ（ＰＫ０，ＳＫ））と、署名検証鍵（ＰＫｋ）の鍵証明書（ＣＥｋ＝（ＰＫｋ，Ｅ（ＰＫｋ，ＳＫ），ＥＲＩｋ））とを生成する（ステップＳ５３）。ここで、鍵証明書（ＣＥｋ）は、公開鍵（Ｙ）によって中継装置（Ｒｋ）の運営者情報（ＲＩｋ）を暗号化した暗号化運営者情報（ＥＲＩｋ）を有している。このように生成された鍵証明書（ＣＥ０，ＣＥｋ）は、認証装置出力手段２１６に送られる。
【００４１】
次に、認証装置暗号化手段２１４において、送信者情報メモリ２１１から、上記の承認された送信者３２０‐１の送信者情報（ＴＩ）を抽出し、送信者情報（ＴＩ）を公開鍵（Ｙ）で暗号化した暗号化情報（Ｃ０＝Ｅ（ＴＩ，Ｙ））を生成し（ステップＳ５４）、認証装置出力手段２１６に送る。
そして、認証装置出力手段２１６において、上述の署名生成鍵（ＳＫ０）、上記鍵証明書（ＣＥ０）及び上記暗号化情報（Ｃ０）を、送信装置２２０‐１に対して出力し、署名生成鍵（ＳＫｋ）及び上記鍵証明書（ＣＥｋ）を、各中継装置２３０‐１〜Ｗ（Ｒｋ）に対して出力する（ステップＳ５５）。
【００４２】
具体的には、例えば、署名生成鍵（ＳＫ０）、鍵証明書（ＣＥ０）及び暗号化情報（Ｃ０）を送信装置２２０‐１向けの可般型記録媒体（ＩＣカード等）に出力して記録し、署名生成鍵（ＳＫｋ）及び鍵証明書（ＣＥｋ）を、各中継装置２３０‐１〜Ｗ（Ｒｋ）向けの可般型記録媒体に出力して記録する。そして、これらの可般型記録媒体を、送信者３２０‐１及び各中継装置運営者３３０‐１〜Ｖに郵送等する。
この送信者３２０‐１向けの可般型記録媒体を受け取った送信者３２０‐１は、この可般型記録媒体に記憶された署名生成鍵（ＳＫ０）、鍵証明書（ＣＥ０）及び暗号化情報（Ｃ０）を、送信装置２２０‐１（図１０：送信装置２２０）の送信装置入力手段２２１に読み込ませる（入力させる）（図１３（ｂ）：ステップＳ５５）。読み込まれた署名生成鍵（ＳＫ０）、鍵証明書（ＣＥ０）及び暗号化情報（Ｃ０）は、送信装置メモリ２２２に送られ、そこに格納される（ステップＳ５６）。
【００４３】
また、各中継装置運営者３３０‐１〜Ｖ向けの可般型記録媒体をそれぞれ受け取った各中継装置運営者３３０‐１〜Ｖは、この可般型記録媒体に記憶された署名生成鍵（ＳＫｋ）及び鍵証明書（ＣＥｋ）を、各中継装置２３０‐１〜Ｗ（図１１：中継装置２３０）の中継装置入力手段２３６に読み込ませる（入力させる）（図１３（ｃ）：ステップＳ５７）。読み込まれた署名生成鍵（ＳＫｋ）及び鍵証明書（ＣＥｋ）は、各中継装置メモリ２３７に送られ、そこに格納される（ステップＳ５８）。
【００４４】
＜通信処理＞
本形態でも、第１の実施の形態と同様、オニオンルーティングによって構成された匿名通信路を通じ、送信装置２２０‐１から受信装置２４０‐１までの匿名通信を行う。
匿名通信を開始する場合、まず、送信者３２０‐１は、送信するメッセージ（ＭＳＧ）を、送信装置２２０‐１（図１０：送信装置２２０）に対して入力し、送信装置２２０‐１は、このメッセージ（ＭＳＧ）をメッセージメモリ２２３に格納する。
次に、経路設定手段２２６において、経路設定メモリ２２５に格納されている中継装置２３０‐１〜Ｗのアドレスの情報を参照し、介在させる中継装置２３０とその中継順序を決定する（図１４（ａ）：ステップＳ６１）。この例では、中継装置２３０‐１〜ｎが選択され、中継装置２３０‐１，２，．．．，ｎという中継順序が選択されたとする。なお、ｎは、選択された中継装置の段数、すなわち匿名通信路の最後尾に位置する中継装置に対応する自然数である。
【００４５】
その後、経路設定手段２２６において、経路設定メモリ２５５から、送信相手となる受信装置２４０‐１のアドレス（Ａ０）、すべての中継装置２３０‐１〜Ｗのアドレス（Ａｉ）、及び各中継装置２３０‐１〜Ｗにそれぞれ対応し、対応する中継装置２３０‐１〜Ｗのみが復号できる複数の暗号化関数（Ｅｉ）を抽出し、メッセージメモリ２２３からメッセージ（ＭＳＧ）を抽出する。そして、経路設定手段２２６は、第１の実施の形態と同様に多層暗号化情報（Ｈ０＝Ｅ１（Ａ２‖Ｅ２（Ａ３‖・・・‖Ｅｎ−１（Ａｎ‖Ｅｎ（Ａ０‖ＭＳＧ））・・・））を生成する（ステップＳ６２）。
【００４６】
次に、送信装置署名生成手段２２４において、送信装置メモリ２２２に格納された署名生成鍵（ＳＫ０）、暗号化情報（Ｃ０）及び経路設定手段２２６から受け取った多層暗号化情報（Ｈ０）を用い、暗号化情報（Ｃ０）と多層暗号化情報（Ｈ０）とのビット結合のデジタル署名（Ｓ＝Ｓｉｇ（Ｃ０‖Ｈ０，ＳＫ０））を生成する（ステップＳ６３）。なお、例えば、デジタル署名（Ｓ０）には、何れかの送信装置２２０が生成したことを示すフラグを立てておく（後述するステップＳ１０６の処理に使用するため）。
生成されたデジタル署名（Ｓ０）、多層暗号化情報（Ｈ０）及び暗号化情報（Ｃ０）は、送信装置送信手段２２７に送られる。送信装置送信手段２２７は、これらを受け取り、さらに送信装置メモリ２２２から鍵証明書（ＣＥ０）を抽出し、これら多層暗号化情報（Ｈ０）、暗号化情報（Ｃ０）、デジタル署名（Ｓ０）、及び鍵証明書（ＣＥ０）を、匿名通信路を構成する最初の中継装置２３０‐１（Ｒ１）に、ネットワーク２６０を通じて送信する（ステップＳ６４）。
【００４７】
次に、匿名通信路を構成する各中継装置２３０‐ｉ（Ｒｉ）（ｉは自然数であり、この例では、中継装置２３０‐１（ｉ＝１）→中継装置２３０‐２（ｉ＝２）→・・・→中継装置２３０‐ｎ（ｉ＝ｎ）と中継される。）は、順次以下の処理を行う。
まず、中継装置受信手段２３２（図１１）において、多層暗号化情報（Ｈｉ‐１＝Ｅｉ（Ａｉ＋１‖Ｅｉ＋１（Ａｉ＋２‖・・・‖Ｅｎ−１（Ａｎ‖Ｅｎ（Ａ０‖ＭＳＧ））・・・））、暗号化情報（Ｃｉ‐１）、デジタル署名（Ｓｉ‐１）、及び鍵証明書（ＣＥｉ‐１）を受信する（図１４（ｂ）：ステップＳ７１）。受信された多層暗号化情報（Ｈｉ‐１）、暗号化情報（Ｃｉ‐１）、デジタル署名（Ｓｉ‐１）、及び鍵証明書（ＣＥｉ‐１）は、署名検証手段２３３に送られ、署名検証手段２３３は、オンライン或いはオフラインで認証装置２１０の鍵メモリ２１２に格納されている公開鍵（ＰＫ）を取得し、これと鍵証明書（ＣＥｉ‐１）を用い、第１の実施の形態と同様な手順により、多層暗号化情報（Ｈｉ‐１）及び暗号化情報（Ｃｉ‐１）のデジタル署名（Ｓｉ‐１）を検証する（ステップＳ７２）。
【００４８】
ここで、検証結果が不合格であった場合（ステップＳ７３）にはエラー終了する（ステップＳ７４）。一方、合格であった場合（ステップＳ７３）には、中継装置暗号化手段２３８において、中継装置受信手段２３２から多層暗号化情報（Ｈｉ‐１）と暗号化情報（Ｃｉ‐１）とデジタル署名（Ｓｉ‐１）と鍵証明書（ＣＥｉ‐１）とを取得し、鍵メモリ２３１から公開鍵（Ｙ）を取得し、多層暗号化情報（Ｈｉ‐１）と暗号化情報（Ｃｉ‐１）とデジタル署名（Ｓｉ‐１）と鍵証明書（ＣＥｉ‐１）とを、不正者特定装置の公開鍵（Ｙ）によって暗号化した暗号化情報（Ｃｉ＝Ｅ（Ｈｉ‐１‖Ｃｉ‐１‖Ｓｉ‐１‖ＣＥｉ‐１，Ｙ））を生成する（ステップＳ７５）。そして、中継装置暗号化手段２３８において生成された暗号化情報（Ｃｉ）は、中継装置署名生成手段２３９に送られる。なお、この暗号化情報を（Ｃｉ＝Ｅ（Ｈｉ‐１‖Ｃｉ‐１‖Ｓｉ‐１‖ＣＥｉ‐１，Ｙ））とすることにより、これを復号できる不正者特定装置２５０が、各中継装置２３０‐１〜Ｗが正しく多層暗号化情報（Ｈｉ‐１）を生成しているか否かを検証できるようになる。
【００４９】
次に、復号手段２３４において、鍵メモリ２３１から復号鍵（ＲＫｉ）を抽出し、中継装置受信手段２３２から多層暗号化情報（Ｈｉ‐１）を受け取り、この多層暗号化情報（Ｈｉ‐１）を復号鍵（ＲＫｉ）で復号し、次の送信先のアドレス（Ａｉ＋１）と、多層暗号化情報（Ｈｉ＝Ｅｉ＋１（Ａｉ＋２‖・・・‖Ｅｎ−１（Ａｎ‖Ｅｎ（Ａ０‖ＭＳＧ）））・・・））を得る（ステップＳ７６）。
次に、中継装置署名生成手段２３９は、復号手段２３４から多層暗号化情報（Ｈｉ）を取得し、中継装置暗号化手段２３８から暗号化情報（Ｃｉ）を取得し、中継装置メモリ２３７に格納された署名生成鍵（ＳＫｉ）を用い、暗号化情報（Ｃｉ）及び多層暗号化情報（Ｈｉ）のビット結合のデジタル署名（Ｓｉ＝Ｓｉｇ（Ｃｉ‖Ｈｉ，ＳＫｉ））を生成する（ステップＳ７７）。
【００５０】
中継装置送信手段２３５は、復号手段２３４からアドレス（Ａｉ＋１）及び多層暗号化情報（Ｈｉ）を受け取り、中継装置署名生成手段２３９から暗号化情報（Ｃｉ）とデジタル署名（Ｓｉ）を受け取り、中継装置メモリ２３７から鍵証明書（ＣＥｉ）を抽出する。
そして、この中継装置送信手段２３５は、アドレス（Ａｉ＋１）が示す、（匿名通信路を構成する）次の中継装置２３０‐（ｉ＋１）（匿名通信路を構成する次の中継装置が存在しない場合には受信装置２４０‐１）に、多層暗号化情報（Ｈｉ）（ｉ＝ｎのときにはメッセージ（ＭＳＧ））、暗号化情報（Ｃｉ）、デジタル署名（Ｓｉ）及び鍵証明書（ＣＥｉ）を、ネットワーク２６０を通じて送信する（ステップＳ７８）。
【００５１】
以上の処理を繰り返し、中継装置２３０‐１→中継装置２３０‐２→・・・→中継装置２３０‐ｎと中継された後、受信装置２４０‐１は、受信装置受信手段２４１において、中継装置２３０‐ｎから送信された（匿名通信路を通じて送信された）メッセージ（ＭＳＧ）、暗号化情報（Ｃｎ）、デジタル署名（Ｓｎ）及び鍵証明書（ＣＥｎ）を受信する（図１５（ａ）：ステップＳ８１）。そして、これらの情報は受信装置署名検証手段２４２に送られる。
受信装置署名検証手段２４２は、オンライン或いはオフラインで認証装置２１０の鍵メモリ２１２に格納されている公開鍵（ＰＫ）を取得し、これと鍵証明書（ＣＥｎ）を用い、メッセージ（ＭＳＧ）及び暗号化情報（Ｃｎ）のデジタル署名（Ｓｎ）を検証する（ステップＳ８２）。
この検証結果が不合格であった場合にはエラー終了し（ステップＳ８４）、合格であった場合には、受信装置署名検証手段２４２は、メッセージ（ＭＳＧ）、暗号化情報（Ｃｎ）、デジタル署名（Ｓｎ）及び鍵証明書（ＣＥｎ）を受信装置メモリ２４３に送り、格納する（ステップＳ８５）。
【００５２】
＜不正者特定処理＞
次に、本形態における不正者特定処理について説明する。
受信者３４０‐１に情報を送信した送信者１２０に不正があった場合、受信者３４０‐１は、例えば、そのメッセージ（MSG）を指定した不正者特定処理指示を、受信装置２４０‐１（図１２（ａ）：受信装置２４０）の抽出手段２４４に入力する（図１５（ｂ）：ステップＳ９１）。
抽出手段２４４は、この指定に対応する、すなわち不正者に対応するメッセージ（ＭＳＧ）、暗号化情報（Ｃｎ）、デジタル署名（Ｓｎ）及び鍵証明書（ＣＥｎ）を受信装置メモリ２４３抽出し、受信装置出力手段２４５に送る（ステップＳ９２）。そして、受信装置出力手段２４５は、これらの情報を不正者特定装置２５０‐１〜Ｖに対して出力する（ステップＳ９３）。具体的には、例えば、ＩＣカード等の可搬型記録媒体にこれらのメッセージ（ＭＳＧ）、暗号化情報（Ｃｎ）、デジタル署名（Ｓｎ）及び鍵証明書（ＣＥｎ）を格納し、この可搬型記録媒体を何れかの不正者特定機関３５０に郵送する。この際、この可搬型記録媒体には、例えば、その他通信データの過去ログも格納しておく。
【００５３】
これを受け取った不正者特定機関３５０は、この可搬型記録媒体に記録された過去ログを参照し、受信者３４０‐１の訴えの妥当性を判断し、妥当であると判断した場合には、何れかの不正者特定装置２５０（図１２（ｂ））の不正者特定装置入力手段２５２に、この可搬型記録媒体に記録されたメッセージ（ＭＳＧ）、暗号化情報（Ｃｎ）、デジタル署名（Ｓｎ）及び鍵証明書（ＣＥｎ）を入力する（図１６：ステップＳ１０１）。
不正者特定装置入力手段２５２は、オンライン或いはオフラインで認証装置２１０の鍵メモリ２１２から取得した公開鍵（ＰＫ）、メッセージ（ＭＳＧ）、暗号化情報（Ｃｎ）、及び鍵証明書（ＣＥｎ）を用い、デジタル署名（Ｓｎ）が正当であることを確認し、それが正当であれば、この暗号化情報（Ｃｎ）を、不正者特定装置復号手段２５３に送る（正当でなければエラー終了する。）。
【００５４】
不正者特定装置復号手段２５３は、公開鍵（Ｙ）に対応する秘密鍵の分散情報（ＳＹｍ）を鍵メモリ２５１から抽出し、他の複数の不正者特定装置２５０（他の不正者特定機関３５０が操作する）から秘密鍵の分散情報（ＳＹｊ）を取得する。そして、不正者特定装置復号手段２５３は、これらを用い、暗号化情報（Ｃｎ＝Ｅ（Ｈｎ‐１‖Ｃｎ‐１‖Ｓｎ‐１‖ＣＥｎ‐１，Ｙ））を１回復号し（ｐ＝ｎ−１におけるステップＳ１０２）、多層暗号化情報（Ｈｎ‐１）と暗号化情報（Ｃｎ‐１）とデジタル署名（Ｓｎ‐１）と鍵証明書（ＣＥｎ‐１）を取得する。
【００５５】
これらは中継不正探索手段２５４に送られ、中継不正探索手段２５４は、上記の公開鍵（ＰＫ）と鍵証明書（ＣＥｎ‐１）を用い、暗号化情報（Ｃｎ‐１）と多層暗号化情報（Ｈｎ‐１）のデジタル署名（Ｓｎ‐１）を検証する（ｐ＝ｎ−１におけるステップＳ１０３）。
ここで、検証結果が不合格なるのは、暗号化情報（Ｃｎ）を生成した中継装置２３０‐ｎが不正な処理を行っていた場合である。そのため、検証結果が不合格となった場合（ステップＳ１０４）、中継不正探索手段２５４は、公開鍵（Ｙ）に対応する秘密鍵の分散情報（ＳＹｍ）を、鍵メモリ２５１から抽出し、他の複数の不正者特定装置２５０から秘密鍵の分散情報（ＳＹｊ）を取得し、これらを用い、鍵証明書（ＣＥｎ）が有する暗号化運営者情報（ＥＲＩｎ）を復号し、その運営者情報（ＲＩｎ）を求め、この不正な処理を行った中継装置運営者３３０‐ｎを特定する（ｐ＝ｎ−１におけるステップＳ１０５）。
【００５６】
一方、検証結果が合格となった場合（ステップＳ１０４）には、ｐ＝０であるか否か（すなわち、ステップＳ１０２の復号により得られたデジタル署名が、何れかの送信装置２２０‐１〜Ｘにより付されたデジタル署名（Ｓ０）であるか否か）を判断する。これは、例えば、このデジタル署名に、何れかの送信装置２２０‐１〜Ｘにより付されたことを示すフラグ（ステップＳ６３参照。）が立っているか否かによって判断する。ここで、ｐ＝０でない場合（ステップＳ１０６）には、ステップＳ１０２に戻り、同様な処理を繰り返す。そして、ステップＳ１０６の処理でｐ＝０と判断された場合（中継不正探索手段２５４における検証結果がすべて合格であった場合）、中継不正探索手段２５４は、暗号化情報（Ｃ０）、デジタル署名（Ｓ０）及び鍵証明書（ＣＥ０）を不正送信者特定手段２５５に送る。これを受け取った不正送信者特定手段２５５は、公開鍵（Ｙ）に対応する秘密鍵の分散情報（ＳＹｍ）を、鍵メモリ２５１から抽出し、他の複数の不正者特定装置２５０から秘密鍵の分散情報（ＳＹｊ）を取得し、これらを用い、暗号化情報（Ｃ０）を復号し、鍵証明書（ＣＥ０）に対応する送信者情報（ＴＩ）を求める（ステップＳ１０７）。これにより不正者である送信者３２０‐１の個人情報を得ることができる。
【００５７】
すなわち、この不正者特定処理では、不正者特定装置復号手段２５３において、暗号化情報（Ｃｎ）を順次復号し、暗号化情報（Ｃｐ）とデジタル署名（Ｓｐ）と鍵証明書（ＣＥｐ）（ｐは０以上ｎ未満の整数）を取得し（ステップＳ１０２）、中継不正探索手段２５４において、デジタル署名（Ｓｐ）を鍵証明書（ＣＥｐ）によって検証し（ステップＳ１０３）、その検証結果が不合格であった場合、鍵証明書（ＣＥｐ＋１）が有する暗号化運営者情報（ＥＲＩｐ＋１）を復号し、その運営者情報（ＲＩｐ＋１）を求め（ステップＳ１０５）、中継不正探索手段２５４における検証結果がすべて合格であった場合、不正送信者特定手段２５５において、暗号化情報（Ｃ０）を復号し、送信者情報（ＴＩ）を求める（ステップＳ１０７）。
【００５８】
＜本形態の特徴＞
本形態では、認証装置２１０において、オフラインの事前処理として、署名生成鍵（ＳＫ０）、鍵証明書（ＣＥ０）及び暗号化情報（Ｃ０）を、送信装置２２０‐１に対して出力し、署名生成鍵（ＳＫｋ）及び鍵証明書（ＣＥｋ）を、各中継装置２３０‐１〜Ｗに対して出力しておき、これらの情報を送信装置２２０‐１及び各中継装置２３０‐１〜Ｗに格納しておくこととした。これにより、通信処理のたびに送信装置２２０‐１〜Ｘが認証装置２１０にアクセスする必要がなくなり、認証装置２１０へのアクセス集中を抑制することができる。
【００５９】
また、送信者３２０‐１は、送信装置２２０‐１を用い、メッセージ（ＭＳＧ）にデジタル署名（Ｓ）を付し、暗号化情報（Ｃ０）にデジタル署名（Ｓ０）を付し、これらの情報をオニオンルーティングによって構成される匿名通信路を通じ、受信装置２４０‐１に送信する。これにより、送信者３２０‐１の匿名性が保持されるとともに、メッセージの正当性が保証される。
さらに、当該デジタル署名（Ｓ，Ｓｉ‐１）を、送信過程の中継装置２３０‐１〜Ｗが検証することとしたため、当該中継装置２３０‐１〜Ｗが認証装置２１０の代行を務めることになる。これにより、通信時に認証装置２１０を経由したのと同様な認証効果を得ることができる。そして、中継装置２３０‐１〜Ｗが複数であれば、一般にアクセス分散の効果が期待できる。
【００６０】
また、送信者３２０‐１に不正があった場合に、不正者特定装置２５０が、この暗号化情報（Ｃ０）を復号し、不正を行った送信者３２０‐１を特定することとした。これにより、不正者の特定ができる。
また、本形態では、不正者特定処理において、中継不正探索手段２５４が、デジタル署名（Ｓｐ）を鍵証明書（ＣＥｐ）によって検証し（ステップＳ１０３）、その検証結果が不合格であった場合、鍵証明書（ＣＥｐ＋１）が有する暗号化運営者情報（ＥＲＩｐ＋１）を復号し、その運営者情報（ＲＩｐ＋１）を求めることとした（ステップＳ１０５）。これにより、中継装置２３０において不正な処理が行われ、不正な送信者３２０‐１を特定できなくなるような事態が生じても、そのような不正な中継装置２３０の存在を検知できるとともに、そのような中継装置２３０を特定できる。
【００６１】
さらに、本形態では、しきい値暗号によって、暗号化情報（Ｃ０）や暗号化運営者情報（ＥＲＩｋ）を生成することとしたため、複数の特定装置２５０‐１〜Ｖが協力しなければこれらを復号できない。これにより、不正に暗号化情報（Ｃ０）や暗号化運営者情報（ＥＲＩｋ）が復号され、送信者や中継装置運営者のプライバシーが漏洩してしまう事態を抑制できる。
なお、この発明は上述の実施の形態に限定されるものではなく、その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。例えば、上述の実施の形態に、特許文献１に記載された中継装置における鍵証明書の改ざん防止処置を施すこととしてもよい。これにより、中継装置において鍵証明書が改ざんされ不正者の特定ができなくなる事態を防止できる。また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。
【００６２】
また、上述の各実施の形態における各構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。
【００６３】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【００６４】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【産業上の利用可能性】
【００６５】
本発明により、例えば、電子オークションのような匿名通信が行われる分野において、この匿名性を悪用した利用者（例えば、料金を支払わず、商品だけを持ち逃げしたような利用者）を特定することが可能となる。
【図面の簡単な説明】
【００６６】
【図１】第１の実施の形態における匿名通信システムの構成を例示した図。
【図２】（ａ）は、第１の実施の形態における、認証装置の構成を例示したブロック図。（ｂ）は、送信装置の構成を例示したブロック図。
【図３】（ａ）は、中継装置の構成を例示したブロック図。（ｂ）は、受信装置の構成を例示したブロック図。
【図４】第１の実施の形態における事前処理を説明するためのフローチャート。
【図５】第１の実施の形態における送信処理を説明するためのフローチャート。
【図６】第１の実施の形態における送信処理を説明するための概念図。
【図７】第１の実施の形態における不正者特定処理を説明するためのフローチャート。
【図８】第２の実施の形態における匿名通信システムの構成を例示した図
【図９】第２の実施の形態における認証装置の構成を例示したブロック図。
【図１０】第２の実施の形態における送信装置の構成を例示したブロック図。
【図１１】第２の実施の形態における中継装置の構成を例示したブロック図。
【図１２】（ａ）は、第２の実施の形態における受信装置の構成を例示したブロック図。（ｂ）は、不正者特定装置の構成を例示したブロック図。
【図１３】第２の実施の形態における事前処理を説明するためのフローチャート。
【図１４】第２の実施の形態における送信処理を説明するためのフローチャート。
【図１５】（ａ）は、第２の実施の形態における送信処理を説明するためのフローチャート。（ｂ）は、第２の実施の形態における不正者特定処理を説明するためのフローチャート。
【図１６】第２の実施の形態における不正者特定処理を説明するためのフローチャート。
【符号の説明】
【００６７】
１，２００  匿名通信システム
１０，２１０  認証装置
２０，２２０  送信装置
３０，２３０  中継装置
４０，２４０  受信装置
２５０  不正者特定装置
【図１】
2005303460.tif 000003
【図２】
2005303460.tif 000004
【図３】
2005303460.tif 000005
【図４】
2005303460.tif 000006
【図５】
2005303460.tif 000007
【図６】
2005303460.tif 000008
【図７】
2005303460.tif 000009
【図８】
2005303460.tif 000010
【図９】
2005303460.tif 000011
【図１０】
2005303460.tif 000012
【図１１】
2005303460.tif 000013
【図１２】
2005303460.tif 000014
【図１３】
2005303460.tif 000015
【図１４】
2005303460.tif 000016
【図１５】
2005303460.tif 000017
【図１６】
2005303460.tif 000018