(57)【要約】  署名要求者端末（１０）からは複数のメッセージを１つの量子状態に符号化して署名者端末（２０）に送信する。署名者端末（２０）においては、量子状態となった複数のメッセージに対してブラインド署名を発行し、メッセージと署名を量子状態に符号化して署名要求者端末（１０）に返信する。
2007088716.tif 000002
【特許請求の範囲】
【請求項１】
署名要求者端末から与えられたメッセージに対して署名者端末にて署名関数を用いて署名を発行するブラインド署名方法において、
前記署名要求者端末が、複数のメッセージ候補を１つの第１の量子状態に符号化するステップと、
前記署名要求者端末が、前記第１の量子状態を量子通信路を介して前記署名者端末に送信するステップと、
前記署名者端末が、前記署名関数を用いて前記第１の量子状態となった前記複数のメッセージ候補のそれぞれに対する署名を発行し、前記複数のメッセージ候補及び前記複数の署名を符号化した１つの第２の量子状態を生成するステップと、
前記署名者端末が、前記第２の量子状態を前記量子通信路を介して前記署名要求者端末に返信するステップと、
前記署名要求者端末が、前記第２の量子状態を測定し、前記複数のメッセージ候補の中の１つのメッセージを特定し、該メッセージに対する署名を得るステップとを有することを特徴とするブラインド署名方法。
【請求項２】
請求項１に記載のブラインド署名方法において、
前記署名要求者端末が、前記複数のメッセージ候補を前記署名者端末に送信するステップと、
前記署名者端末が、前記署名関数を用いて前記複数のメッセージ候補に対する複数の署名を発行し、該複数の署名を前記署名要求者端末に送信するステップと、
前記署名要求者端末が、前記複数のメッセージ候補及び前記署名者端末から送信されてきた複数の署名を符号化した第３の量子状態を生成するステップと、
前記署名要求者端末が、前記第２の量子状態と前記第３の量子状態とを比較することにより前記署名者端末における不正を検証するステップとを有することを特徴とするブラインド署名方法。
【請求項３】
請求項２に記載のブラインド署名方法において、
前記署名者端末が、前記署名要求者端末から送信されてきた複数のメッセージ候補を符号化した第４の量子状態を生成するステップと、
前記署名者端末が、前記第１の量子状態と前記第４の量子状態とを比較することにより前記署名要求者端末における不正を検証するステップとを有することを特徴とするブラインド署名方法。
【請求項４】
メッセージに対する署名を要求する署名要求者端末と、該署名要求者端末から与えられたメッセージに対して署名関数を用いて署名を発行する署名者端末とを有してなるブラインド署名システムにおいて、
前記署名要求者端末は、
複数のメッセージ候補を１つの第１の量子状態に符号化する量子符号化手段と、
前記第１の量子状態を量子通信路を介して前記署名者端末に送信する第１の量子通信手段と、
前記署名者端末から送信されてきた、前記複数のメッセージ候補及び該複数のメッセージ候補にそれぞれ対する複数の署名を符号化した第２の量子状態を測定し、前記複数のメッセージ候補の中の１つのメッセージを特定し、該メッセージに対する署名を得る量子測定手段とを有し、
前記署名者端末は、
前記署名関数を用いて前記第１の量子状態となった前記複数のメッセージ候補のそれぞれに対する署名を発行し、前記複数のメッセージ候補及び前記複数の署名を符号化した前記第２の量子状態を生成する量子計算手段と、
前記第２の量子状態を前記量子通信路を介して前記署名要求者端末に返信する第２の量子通信手段とを有することを特徴とするブラインド署名システム。
【請求項５】
請求項４に記載のブラインド署名システムにおいて、
前記署名者要求者端末は、
前記複数のメッセージ候補を前記署名者端末に送信し、
前記量子符号化手段が、前記複数のメッセージ候補及び前記署名者端末から送信されてきた複数の署名を符号化した第３の量子状態を生成し、
前記第２の量子状態と前記第３の量子状態とを比較することにより前記署名者端末における不正を検証する第１の量子検証手段を有することを特徴とするブラインド署名システム。
【請求項６】
請求項５に記載のブラインド署名システムにおいて、
前記署名者端末は、
前記署名要求者端末から送信されてきた複数のメッセージ候補を符号化した第４の量子状態を生成し、
前記第１の量子状態と前記第４の量子状態とを比較することにより前記署名要求者端末における不正を検証する第２の量子検証手段を有することを特徴とするブラインド署名システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子情報に対して署名を付与するディジタル署名において、署名者にメッセージの内容を秘密にしたままで署名を付与してもらうブラインド署名方法及びそのシステムに関する。
【背景技術】
【０００２】
ブラインド署名は、署名者にメッセージの内容を秘密にしたままで署名を付与してもらう技術である。ＲＳＡ署名に基づく方法が、文献D. Chaum, “Security without Identification: Transaction Systems to Make Big Brother Obsolete”, Communication of the ACM, Vol.28, No.10, pp. 1030-1044(1985)及び、米国特許第４７５９０６３号明細書に示されている。以下にその概要を示す。【０００３】
署名者の秘密鍵をｄ、公開鍵を（ｅ，ｎ）とする。ここで、ｄ，ｅ，ｎは整数であり、任意の整数ｔに対してｔed＝ｔ ｍｏｄ ｎを満たすように選ばれる。また、ｈを適当なハッシュ関数、ｆdをＲＳＡ署名における署名関数ｆd（ｘ）＝ｘd ｍｏｄ ｎとする。【０００４】
まず、署名要求者は乱数ｒを生成し、メッセージＭと署名者の公開鍵ｅとを用いて、Ｘ＝ｒeｈ（Ｍ） ｍｏｄ ｎを計算する。署名要求者は、このブラインドメッセージＸを署名者に送信する。この時、メッセージＭは乱数ｒによって攪乱されており、署名者はブラインドメッセージＸから元のメッセージＭの内容を知ることができない。【０００５】
署名者は、ブラインドメッセージＸを受け取ると、ブラインドメッセージＸと秘密鍵ｄとから、Ｙ＝ｆd（Ｘ）を計算し、Ｙを署名要求者に返信する。【０００６】
署名要求者は先に生成した乱数ｒを用いて、Ｓ＝Ｙ／ｒ ｍｏｄ ｎを計算する。この時、ｔed＝ｔ ｍｏｄ  ｎの関係により、Ｓ＝ｈ（Ｍ）d ｍｏｄ ｎとなっていれば、ＳはメッセージＭに対する正しいＲＳＡ署名になっていることになる。【０００７】
上述したような従来のブラインド署名方法は、ＲＳＡ署名における署名関数ｆがｆd（ｘｙ）＝ｆd（ｘ）ｆd（ｙ）の乗法的性質を持っていることを利用している。このように、ブラインド署名方法として使用できる署名関数は、乗法的性質などの特別な数学的性質を持っている必要があり、任意の署名関数をブラインド署名として利用することができないという問題点がある。
【発明の開示】
【０００８】
本発明は、任意の署名関数をブラインド署名として利用することができるブラインド署名方法及びそのシステムを提供することを目的とする。
【０００９】
上記目的を達成するために本発明は、
前記署名要求者端末が、複数のメッセージ候補を１つの第１の量子状態に符号化し、
前記署名要求者端末が、前記第１の量子状態を量子通信路を介して前記署名者端末に送信し、
前記署名者端末が、前記署名関数を用いて前記第１の量子状態となった前記複数のメッセージ候補のそれぞれに対する署名を発行し、前記複数のメッセージ候補及び前記複数の署名を符号化した１つの第２の量子状態を生成し、
前記署名者端末が、前記第２の量子状態を前記量子通信路を介して前記署名要求者端末に返信し、
前記署名要求者端末が、前記第２の量子状態を測定し、前記複数のメッセージ候補の中の１つのメッセージを特定し、該メッセージに対する署名を得る。
【００１０】
上記のように構成された本発明においては、署名要求者端末にて複数のメッセージ候補を生成し、それらを量子符号化手段により第１の量子状態へ符号化する。第１の量子状態は複数のメッセージ候補を符号化した重ね合わせ状態である。署名要求者端末は、第１の量子状態を量子通信手段を用いて署名者端末へ送信する。この時、署名者端末において、メッセージ候補を特定するために第１の量子状態を測定すると、量子状態の重ね合わせが破壊され、第１の量子状態は別の異なる量子状態へと変化する。このように、複数のメッセージ候補が１つの量子状態に符号化されているため、署名者端末においては、痕跡を残さずにメッセージを特定することができない。一方、署名者端末においては、第１の量子状態を量子計算手段に入力し、量子計算手段を用いて署名関数の計算を行ことで、メッセージを特定することなく、複数のメッセージ候補のそれぞれに対する署名を発行し、複数のメッセージ候補及び複数のメッセージ候補のそれぞれに対する署名の両方を符号化した第２の量子状態を生成することができる。第２の量子状態は、メッセージを符号化した量子状態と、署名を符号化した量子状態とがエンタングルした重ね合わせ状態である。署名者端末は、第２の量子状態を量子通信手段により署名要求者端末へ返信する。署名要求者端末においては、量子測定手段を用いて第２の量子状態を測定する。測定結果が、メッセージ候補の中の或る１つのメッセージである時、上述した第２の量子状態のエンタングルメントの性質により、署名要求者端末において、メッセージに正しく対応した署名を測定によって得る。このようにして、署名要求者は、署名者にメッセージを知られることなく、メッセージに対する署名を得ることができる。
【００１１】
上述したように本発明においては、任意の署名関数がブラインド署名として利用可能になる。すなわち、署名要求者端末においては、署名者にメッセージの内容を知られずに、任意の署名関数による署名を得ることが可能となる。
【図面の簡単な説明】
【００１２】
【図１】本発明のブラインド署名システムの第１の実施の形態を示す図である。
【図２】図１に示したブラインド署名システムにおけるブライド署名方法を説明するためのフローチャートである。
【図３】本発明のブラインド署名システムの第２の実施の形態を示す図である。
【図４】図３に示したブラインド署名システムにおけるブライド署名方法を説明するためのフローチャートである。
【発明を実施するための最良の形態】
【００１３】
（第１の実施の形態）
図１は、本発明のブラインド署名システムの第１の実施の形態を示す図である。【００１４】
本形態は図１に示すように、メッセージに対する署名を要求する署名要求者端末１０と、署名要求者端末１０から与えられたメッセージに対して署名関数を用いて署名を発行する署名者端末２０とが量子通信路３０を介して接続されるものであって、署名要求者端末１０は、第１の量子通信手段１１と量子符号化手段１２と量子測定手段１３とを備え、また、署名者端末２０は、第２の量子通信手段２１と量子計算手段２２とを備えている。【００１５】
量子符号化手段１２は、複数のメッセージ候補を１つの第１の量子状態に符号化する。【００１６】
量子通信手段１１は、第１の量子状態を量子通信路３０を介して署名者端末２０に送信する。【００１７】
量子測定手段１３は、署名者端末２０から送信されてきた、複数のメッセージ候補及び複数のメッセージ候補にそれぞれ対する複数の署名を符号化した第２の量子状態を測定し、複数のメッセージ候補の中の１つのメッセージを特定し、そのメッセージに対する署名を得る。【００１８】
量子計算手段２２は、署名関数を用いて第１の量子状態となった複数のメッセージ候補のそれぞれに対する署名を発行し、この複数のメッセージ候補及び複数の署名を符号化した第２の量子状態を生成する。【００１９】
量子通信手段２１は、第２の量子状態を量子通信路３０を介して署名要求者端末１０に返信する。【００２０】
以下に、上記のように構成されたブラインド署名システムにおけるブライド署名方法について説明する。【００２１】
図２は、図１に示したブラインド署名システムにおけるブライド署名方法を説明するためのフローチャートである。なお、署名者端末２０が、メッセージＭに対して発行する署名Ｓは、署名関数ｆdを用い、Ｓ＝ｆd（Ｍ）で表されるものとする。本発明では任意の署名関数を利用することが可能であり、ｆdの具体的な形により限定されることはない。また、メッセージＭｉを符号化した量子状態を｜Ｍi＞、署名Ｓiを符号化した量子状態を｜Ｓi＞のように表す。メッセージＭiと署名Ｓｉの両方を符号化した量子状態を｜Ｍi＞｜Ｓi＞のように表す。【００２２】
まず、署名要求者端末１０において、複数のメッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・、ＭN｝を生成する（ステップＡ１）。メッセージ候補の数をＮ≧２とする。【００２３】
次に、署名要求者端末１０の量子符号化手段１２において、複数のメッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・｝を符号化した第１の量子状態【００２４】
【数１】
2007088716.tif 000003
を生成する（ステップＡ２）。【００２５】
次に、署名要求者端末１０の量子通信手段１１により、量子状態｜Ψ＞を量子通信路３０を介して署名者端末２０に送信する（ステップＡ３）。【００２６】
署名者端末２０は、署名要求者端末１０から送信されてきた量子状態｜Ψ＞を量子通信手段２１にて受信する（ステップＡ４）。【００２７】
署名者端末２０は、量子状態｜Ｍ＞の入力に対し、量子状態｜Ｍ＞｜ｆd（Ｍ）＞を出力する量子計算手段２２を有する。量子計算手段２２を実現する量子計算機の動作は、Ｕdをユニタリ変換行列として｜Ｍ＞｜ｆd（Ｍ）＞＝Ｕd｜Ｍ＞で表される。署名者端末２０は、受信した量子状態｜Ψ＞を量子計算手段２２に入力し、出力として第２の量子状態【００２８】
【数２】
2007088716.tif 000004
を得る（ステップＡ５）。【００２９】
次に、署名者端末２０の量子通信手段２１により、量子状態｜Φ＞を量子通信路３０を介して署名要求者端末１０に返信する（ステップＡ６）。【００３０】
署名要求者端末１０は、署名者端末２０から返信されてきた量子状態｜Φ＞を量子通信手段１１にて受信する（ステップＡ７）。この時、量子状態｜Φ＞は、【００３１】
【数３】
2007088716.tif 000005
である。【００３２】
その後、署名要求者端末１０の量子測定手段１３により量子状態｜Φ＞を測定する（ステップＡ８）。メッセージを符号化した部分に関する測定結果が、Ｎ≧ｘ≧１として、Ｍxであるとすると、この測定によって量子状態｜Φ＞は｜Φ＞＝｜Ｍx＞｜Ｓx＞に収縮するので、署名を符号化した部分に関する測定結果は必ずＳxとなる。測定結果のＭxとＳxを所望のメッセージ及びそれに対する署名とし終了する。【００３３】
（第２の実施の形態）
上述した第１の実施の形態において、処理フローの至る場所に、署名者や署名要求者の不正を検知するための処理を加えることも考えられる。その一例について説明する。【００３４】
図３は、本発明のブラインド署名システムの第２の実施の形態を示す図である。【００３５】
本形態は図３に示すように、署名要求者端末１１０に第１の量子検証手段１４が設けられ、署名者端末１２０に第２の量子検証手段２３が設けられている点が異なるものである。【００３６】
署名要求者端末１１０は、複数のメッセージ候補を通常の通信回線を介して署名者端末１２０に送信する。【００３７】
署名要求者端末１１０の量子符号化手段１２は、複数のメッセージ候補及び署名者端末１２０から送信されてきた複数の署名を符号化した第３の量子状態を生成する。【００３８】
署名要求者端末１１０の量子検証手段１４は、第２の量子状態と第３の量子状態とを比較することにより署名者端末１２０における不正を検証する。【００３９】
署名者端末１２０は、署名要求者端末１１０から送信されてきた複数のメッセージ候補を符号化した第４の量子状態を生成する。【００４０】
署名者端末１２０の量子検証手段２３は、第１の量子状態と第４の量子状態とを比較することにより署名要求者端末における不正を検証する。【００４１】
本形態のように量子検証手段１４，２３を用いると、或る確率で２つの量子状態が同一ではないことが判明する。また、量子検証手段１４，２３において、２つの量子状態が同一である場合には、検証された２つの量子状態は検証後も変化しない。このような量子検証手段は、例えば、H. Buhrman, R. Cleve, J. Watrous, R. de Wolf, “Quantum fingerprinting”, Physical Review Letters, Vol. 87, pp. 167902 (2001) に示されているスワップテストにより実現可能である。【００４２】
以下に、上記のように構成されたブラインド署名システムにおけるブライド署名方法について説明する。【００４３】
図４は、図３に示したブラインド署名システムにおけるブライド署名方法を説明するためのフローチャートである。【００４４】
まず、署名要求者端末１１０において、複数のメッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・、ＭN｝を生成する（ステップＢ１）。メッセージ候補の数をＮ≧２とする。【００４５】
次に、署名要求者端末１１０の量子符号化手段１２において、複数のメッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・｝を符号化した量子状態｜Ψ1＞と｜Ψ2＞を生成する（ステップＢ２）。｜Ψ1＞と｜Ψ2＞は、第１の実施の形態のステップＡ２における｜Ψ＞と全く同一の状態である。【００４６】
次に、署名要求者端末１１０の量子通信手段１１により、量子状態｜Ψ1＞，｜Ψ2を量子通信路３０を介して署名者端末１２０に送信する（ステップＢ３）。【００４７】
署名者端末１２０は、署名要求者端末１０から送信されてきた２つの量子状態｜Ψ1＞，｜Ψ2＞を量子通信手段２１にて受信する（ステップＢ４）。【００４８】
次に、署名者端末１２０の量子検証手段２３において、２つの量子状態｜Ψ1＞と｜Ψ2＞とが同一であるかどうかを調査する（ステップＢ５）。調査の結果が同一でなかった場合には署名発行を停止する。【００４９】
２つの量子状態｜Ψ1＞と｜Ψ2＞とが同一である場合は、署名者端末１２０の量子計算手段２２に量子状態｜Ψ1＞を入力し、第１の実施の形態にて示したものと同様にして、出力として量子状態｜Φ＞を得る（ステップＢ６）。【００５０】
次に、署名者端末１２０の量子通信手段２１により、量子状態｜Φ＞を量子通信路３０を介して署名要求者端末１１０に返信する（ステップＢ７）。【００５１】
署名要求者端末１１０は、署名者端末１２０から返信されてきた量子状態｜Φ＞を量子通信手段１１にて受信する（ステップＢ８）。【００５２】
その後、不正を検証するフローに入るかどうかを決定する。署名要求者端末１１０あるいは署名者端末１２０にて不正検証フローに入らないと決定した場合は（ステップＢ９）、署名要求者端末１１０の量子測定手段１３において、第１の実施の形態にて示したものと同様にして、量子状態｜Φ＞を測定し、測定結果のＭxとＳxを所望のメッセージ及びそれに対する署名とし正常終了する（ステップＢ１０）。【００５３】
また、不正検証フローに入ると決定した場合は、まず、署名要求者端末１１０から複数のメッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・、ＭN｝を通常の通信回線を介して署名者端末１２０へ送信する（ステップＢ１１）。【００５４】
署名者端末１２０は、不正検証フローに入ると決定した場合は（ステップＢ１２）、署名要求者端末１１０から送信されてきた複数のメッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・、ＭN｝を受信する（ステップＢ１３）。【００５５】
そして、受信したメッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・、ＭN｝は無効なものとして記録し、公開する（ステップＢ１４）。【００５６】
また、署名者端末１２０は、署名関数ｆdを用いて、メッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・、ＭN｝に対する署名を計算し、署名｛Ｓ1、Ｓ2、Ｓ3、・・・、ＳN｝を通常の通信回線を介して署名要求者端末１１０へ送信する（ステップＢ１５）。【００５７】
署名要求者端末１１０は、署名者端末１２０から送信されてきた、メッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・、ＭN｝に対する署名｛Ｓ1、Ｓ2、Ｓ3、・・・、ＳN｝を受信する（ステップＢ１６）。【００５８】
次に、署名要求者端末１１０の量子符号化手段１２において、受信した署名｛Ｓ1、Ｓ2、Ｓ3、・・・、ＳN｝を用い、第３の量子状態【００５９】
【数４】
2007088716.tif 000006
を生成する（ステップＢ１７）。【００６０】
そして、量子検証手段１４において、量子状態｜Φ＞と｜Φ2＞とが同一の量子状態であるかどうかを調査する（ステップＢ１８）。調査の結果が同一であった場合には、検証フローはパスしたものとして一旦終了し、署名の要求をステップＢ１からやり直す。調査の結果が同一でなかった場合には署名者の不正を宣言する。【００６１】
また、署名者端末２０においては、受信したメッセージ候補｛Ｍ1、Ｍ2、Ｍ3、・・・、ＭN｝を用い、第４の量子状態【００６２】
【数５】
2007088716.tif 000007
を生成する（ステップＢ１９）。【００６３】
そして、量子検証手段２３において、量子状態｜Ψ2＞と｜Ψ3＞とが同一の量子状態であるかどうかを調査する（ステップＢ２０）。調査の結果が同一であった場合には、検証フローはパスしたものとして終了する。調査の結果が同一でなかった場合には署名要求者の不正を宣言する。【００６４】
本形態においては、署名者が不正にメッセージを特定しようとした場合、署名要求者端末１１０において、量子状態に残った不正の痕跡を確率的に検知できる。また、署名要求者が不正検証の処理を利用して不正に署名を得ようとした場合も、その不正が署名者端末１２０によって確率的に検知される。【００６５】
なお、本発明における不正検証の方法はこれに限定されるものではない。
【図１】
2007088716.tif 000008
【図２】
2007088716.tif 000009
【図３】
2007088716.tif 000010
【図４】
2007088716.tif 000011
【国際調査報告】
2007088716.tif 000012
2007088716.tif 000013