(57)【要約】【課題】電子受領書に関する。公開鍵インフラストラクチャを提供する通信システムにおいて電子受領書を生成する方法を提供すること。【解決手段】この方法は、第２の当事者が第１の当事者から要求メッセージを受信するステップであって、その要求メッセージがトランザクション要求と、および第１の当事者が所有する、少なくとも第１の当事者のもう１つの公開鍵の秘密に関連付けられた秘密に基づく第１の公開鍵とを含むステップと、第２の当事者に割り当てられた第２の公開鍵を使って要求メッセージの少なくとも一部に電子的に署名して電子受領書を発行するステップと、その電子受領書を第１の当事者に提供するステップとを含む。さらに、公開鍵インフラストラクチャを提供する通信システムにおいて、電子受領書の所有権を検証する方法が提供される。この検証は、第１の当事者と検証当事者との間で送受信される一連のメッセージに基づいて実施される。この方法は、第１の当事者から証拠メッセージを受信するステップであって、その証拠メッセージが、少なくとも第１の当事者が所有する、少なくとも第１の当事者のもう１つの公開鍵の秘密に関連付けられた秘密に基づく第１の公開鍵と、第２の公開鍵を使って要求メッセージに電子的に署名することによって発行された電子受領書とから導出されるステップと、証拠メッセージが第２の公開鍵から導出されたか否か判定するステップとを含む。【選択図】図１
2004527962.tif 000002
【特許請求の範囲】
【請求項１】
公開鍵インフラストラクチャを提供する通信システムにおいて電子受領書（ＬＵ）の所有権を検証する方法であって、前記検証が、第１の当事者（Ｕ）と検証当事者（Ａ、Ｂ）との間で送受信される一連のメッセージに基づいて実施され、
前記第１の当事者（Ｕ）から証拠メッセージ（ＰＭ）を受信するステップであって、前記証拠メッセージ（ＰＭ）が少なくとも、
前記第１の当事者（Ｕ）が所有する、少なくとも前記第１の当事者（Ｕ）のもう１つの公開鍵（ＰＵ、ＰＵＥ）の秘密（ＳＵ、ＳＵＥ）に関連付けられた秘密（ＳＵ）に基づく第１の公開鍵（ＰＵ）と、
第２の公開鍵（ＰＡ）を使って要求メッセージ（ＲＭ）の少なくとも一部に電子的に署名することによって発行された電子受領書（ＬＵ）と
から導出されるステップと、
前記証拠メッセージ（ＰＭ）が前記第２の公開鍵（ＰＡ）から導出されたか否か判定するステップと
を含む方法。
【請求項２】
前記第１の公開鍵（ＰＵ）の下で前記もう１つの公開鍵（ＰＵＥ）および前記もう１つの公開鍵（ＰＵＥ）の前記秘密（ＳＵＥ）の第１の暗号（Ｅ１）を受信することをさらに含む、請求項１に記載の方法。
【請求項３】
前記判定するステップが、前記もう１つの公開鍵（ＰＵＥ）の前記秘密（ＳＵＥ）が前記第１の公開鍵（ＰＵ）の下で前記第１の暗号（Ｅ１）に暗号化されているか否か第１の暗号化証拠を検証することを含む、請求項２に記載の方法。
【請求項４】
前記第１の公開鍵（ＰＵ）の下で前記もう１つの公開鍵（ＰＵ）の前記秘密（ＳＵ）の第２の暗号（Ｅ２）を受信することをさらに含む、請求項１ないし３のいずれかに記載の方法。
【請求項５】
前記判定するステップが、第１の値（ＰＵ）が第２の値（ＳＵ）から導出される公開鍵であり、第３の値（ＬＵ）が前記第２の公開鍵（ＰＡ）に関する少なくとも前記第１の値（ＰＵ）への署名である、第１、第２、第３の値（ＰＵ、ＳＵ、ＬＵ）が存在する第２の暗号化証拠を検証することを含む、請求項１ないし４のいずれかに記載の方法。
【請求項６】
前記判定するステップが、第１の値（ＰＵ）が第２の値（ＳＵ）から導出される第１の公開鍵であり、第３の値（ＬＵ）が前記第２の公開鍵（ＰＡ）に関する少なくとも前記第１の値（ＰＵ）への署名であり、第４の値（ＰＵ）が第５の値（ＳＵ）から導出される公開鍵であり、第６の値（ＬＵ）が第３の公開鍵（ＰＡ）に関する少なくとも前記第４の値（ＰＵ）への署名であり、前記第２の暗号（Ｅ２）が前記第４の値（ＰＵ）の下での前記第２の値（ＳＵ）の暗号である、複数の値（ＰＵ、ＳＵ、ＬＵ、ＰＵ、ＳＵ、ＬＵ）が存在する第３の暗号化証拠を検証することを含む、請求項４に記載の方法。
【請求項７】
公開鍵インフラストラクチャを提供する通信システムにおいて電子受領書（ＬＵ、ＬＵ）を生成する方法であって、
第２の当事者（Ａ、Ａ）が第１の当事者（Ｕ）から要求メッセージ（ＲＭ）を受信するステップであって、前記要求メッセージ（ＲＭ）が、トランザクション要求（ＴＲ２、ＴＲ１）と、前記第１の当事者（Ｕ）が所有する、少なくとも前記第１の当事者（Ｕ）のもう１つの公開鍵（ＰＵ、ＰＵＥ）の秘密（ＳＵ、ＳＵＥ）に関連付けられた秘密（ＳＵ、ＳＵ）に基づく第１の公開鍵（ＰＵ、ＰＵ）とを含むステップと、
前記第２の当事者（Ａ、Ａ）に割り当てられた第２の公開鍵（ＰＡ、ＰＡ）を使って前記要求メッセージ（ＲＭ）の少なくとも一部に電子的に署名して前記電子受領書（ＬＵ、ＬＵ）を発行するステップと、
前記第１の当事者（Ｕ）に前記電子受領書（ＬＵ、ＬＵ）を提供するステップと
を含む方法。
【請求項８】
前記第１の公開鍵（ＰＵ、ＰＵ）の下で前記もう１つの公開鍵（ＰＵＥ）と、前記もう１つの公開鍵（ＰＵＥ）の前記秘密（ＳＵＥ）の第１の暗号（Ｅ１）とを受信することをさらに含む、請求項７に記載の方法。
【請求項９】
前記もう１つの公開鍵（ＰＵＥ）の前記秘密（ＳＵＥ）が前記第１の公開鍵（ＰＵ、ＰＵ）の下で前記第１の暗号（Ｅ１）に暗号化されているか否か第４の暗号化証拠を検証することをさらに含む、請求項８に記載の方法。
【請求項１０】
前記第１の公開鍵（ＰＵ）の下で前記もう１つの公開鍵（ＰＵ）の前記秘密（ＳＵ）の第２の暗号（Ｅ２）を受信することをさらに含む、請求項７ないし９のいずれかに記載の方法。
【請求項１１】
第１の値（ＰＵ）が第２の値（ＳＵ）から導出される公開鍵であり、第３の値（ＬＵ）が前記第２の公開鍵（ＰＡ）に関する少なくとも前記第１の値（ＰＵ）への署名であり、前記第２の暗号（Ｅ２）が前記第１の公開鍵（ＰＵ）の下での前記第２の値（ＳＵ）の暗号である、第１、第２、第３の値（ＰＵ、ＳＵ、ＬＵ）が存在する第５の暗号化証拠を検証することをさらに含む、請求項１０に記載の方法。
【請求項１２】
請求項１ないし１１のいずれか一項に記載の方法の前記各ステップを実行するように適合された手段を含むシステム。
【請求項１３】
請求項１ないし１１のいずれかの方法における各ステップの処理をコンピュータに実行させるプログラム。
【請求項１４】
請求項１３記載の前記プログラムをコンピュータ使用可能媒体上に記憶した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はコンピューティングの分野に関し、詳細には、コンピュータ・ネットワークを介したセキュアなデータ交換の方法および技術的実装に関する。より詳細には、本発明は、所有者が自分の受領書または信用証明書を他人に渡せないようにしながら、匿名の電子受領書および信用証明書の所有権を安全に証明する方法に関する。
【背景技術】
【０００２】
１９９０年代半ば以降最も急速に成長している小売部門の１つは電子商取引と呼ばれている。電子商取引では、コンピュータや電子機器から書籍、記録物、自動車、不動産に至るまで、ありとあらゆる物の企業間取引、企業−消費者間取引、およびオークション販売を容易にするために、インターネットおよび専用ネットワークの使用を伴う。そうした環境においては、消費者のプライバシー保護が主要な関心事となっている。
【０００３】
しかし、電子商取引がインターネットなど既存のオープン・ネットワーク・インフラストラクチャを介して行われるということだけで、既に消費者のプライバシー保護に反している。ある当事者が仲間や部外者に対して匿名のままでいることには、しばしば、正当な理由がある。
【０００４】
個人情報の収集および悪用がますます問題になるに従って、ユーザは情報の公表により消極的になり、偽名または匿名でのトランザクションの実行を望む可能性がある。そうした偽名または匿名のトランザクションのユーザが、後で使用することができる、そのトランザクションの受領書（支払受領書など）を望むことがある。たとえば、ユーザは、ワールド・ワイド・ウェブおよびインターネット上の特定の情報へのアクセスを可能にする支払に対する受領書を受け取り、後で（１回または複数回）その受領書を使って情報を取得し、あるいは、たとえばそのユーザが支払を行ったことなど特定のトランザクションが行われたことを証明しようとすることがある。ユーザが匿名でまたは偽名Ｐとしてトランザクションを行う、偽名または匿名システムにおいては、「従来の」電子受領書（電子署名など）であれば、偽名Ｐのそのトランザクションへの関与が証明されることになる。しかし、そうした受領書は、偽名Ｐであると主張する誰でもそれを横取りして使用することができる。また、偽名Ｐとして振る舞うユーザがその受領書を自分の友人に渡して、それらの友人が同じ情報にアクセスできるようにすることも可能である。
【非特許文献１】
Ａ・リサンスカヤ（A. Lysanskaya）他、「偽名システム（PseudonymSystems）」、Ｈ・ヘイズ（H. Heys）、Ｃ・アダムス（C. Adams）編、セレクテッド・エリアズ・イン・クリプトグラフィ（SelectedAreas in Cryptography）、ＬＳＣＮ第1758巻、シュプリンガー出版（Springer Verlag）、1999年
【非特許文献２】
ヤン・カメニッシュ（Jan Camenisch）、イヴァン・ダムガルト（IvanDamgard）、「検証可能な暗号化、グループ暗号化、およびそれらの分離可能グループ署名および署名共用方式への適用例（Verifiableencryption, group encryption, and their applications to separable groupsignatures and signature sharing schemes）」、Ｔ・オカモト編、アドバンス・イン・クリプトロジー、アジアクリプト2000（Advancesin Cryptology-ASIACRYPT '2000）、レクチャー・ノート・イン・コンピュータ・サイエンス（Lecture Notes inComputer Science）第1976号、京都、日本、2000年、インターナショナル・アソシエーション・フォー・クリプトロジック・リサーチ（InternationalAssociation for Cryptologyc Research）、シュプリンガー出版（Springer-Verlag）、ベルリン、ドイツ、331〜345頁
【発明の開示】
【発明が解決しようとする課題】
【０００５】
偽名または匿名システムにおけるユーザが、自分の実際の身元を明かさずにトランザクション受領書の正当な所有者であることを証明できる方法が求められている。この過程においては、ユーザが友人などの非当事者に自分の受領書を譲渡できないようにする必要がある。
【課題を解決するための手段】
【０００６】
本発明によれば、公開鍵インフラストラクチャを提供する通信システムにおいて電子受領書を生成する方法が提供される。この方法は、第２の当事者が第１の当事者から要求メッセージを受信するステップであって、その要求メッセージがトランザクション要求、および第１の当事者が所有する、少なくとも第１の当事者のもう１つの公開鍵の秘密に関連付けられた秘密に基づく第１の公開鍵を含むステップと、第２の当事者に割り当てられた公開鍵を使ってその要求メッセージの少なくとも一部に電子的に署名して電子受領書を発行するステップと、その電子受領書を第１の当事者に提供するステップとを含む。一般に、第２の公開鍵を使った署名は、第２の公開鍵に関連付けられた秘密を使った署名であると理解することができる。
【０００７】
さらに、公開鍵インフラストラクチャを提供する通信システムにおいて電子受領書の所有権を検証する方法が提供される。この検証は、第１の当事者と検証当事者との間で送受信される一連のメッセージに基づいて実施される。この方法は、第１の当事者から証拠メッセージを受信するステップであって、その証拠メッセージが、少なくとも、第１の当事者が所有する、少なくとも第１の当事者のもう１つの公開鍵の秘密に関連付けられた秘密に基づく第１の公開鍵と、第２の公開鍵を使って要求メッセージの少なくとも一部に電子的に署名することによって発行された電子受領書とから導出されるステップと、証拠メッセージが第２の公開鍵から導出されたか否か判定または検査するステップとを含む。
【０００８】
一般に、公開鍵を使った署名は、前記公開鍵に関連づけられた秘密を使った署名であると理解することができる。この秘密を、普通、秘密鍵と呼ぶ。
【０００９】
前述の方法を適用することによって、高水準のセキュリティを実現することができる。これらの方法により、第１の公開鍵の秘密鍵が、ユーザとも呼ばれる、第１の当事者の秘密鍵に確実にリンクされる。この連結は、１つの秘密鍵を知ることによって、その他の秘密鍵の少なくとも一部を知ることができるようなものである。これらの秘密鍵の一部がユーザにとって貴重なものである場合、リンクさせることによって、ユーザが自分の電子受領書を友人などに譲渡することが妨げられる。たとえば、ユーザの秘密鍵を、銀行口座にアクセスできる秘密にバインドまたはリンクさせることができる。また、システム内のすべての秘密を相互にリンクさせることも可能である。その場合、たとえば、ある友人が完全にそのユーザに成りすますことが可能になる。これは、身分証明書、クレジット・カード、運転免許証、自宅の鍵などすべての中身が入った他人の財布を使うことと同じである。
【００１０】
前述の方法のさらなる利点は、偽名または匿名のトランザクションに基づくシステムにおいて、電子受領書を示すときに、匿名／偽名のままで、個々の受領書の所有権を安全に証明できることである。また、それらの受領書は譲渡不能である。すなわち、それらの受領書は、ユーザがその受領書を他人に渡そうとすると、そのユーザは、自分の偽名でのトランザクションすべての下にある秘密を渡さなければならず、したがって、そのユーザへの成りすましが可能になるように構築される。
【００１１】
別の利点は、受領書を生成する方法および受領書の所有権を検証する方法を、インターネットなど、公開鍵インフラストラクチャを提供する既存の通信ネットワークにおいて実装できることである。
【００１２】
本発明の方法は、受領書がライセンス（ソフトウェア・ライセンスなど）を実際に表す場合に特に有用である。これらの方法を適用すると、ライセンスの正規の所有者、すなわちそのライセンスを受領したユーザは、そのライセンスを他人に渡すことがほとんど不可能である。この点からいうと、本発明によって著作権およびその適用をサポートすることができる。
【００１３】
本発明による方法は、公開鍵インフラストラクチャを提供する通信システムで使用することができる。それは、電子トランザクションに関与する各当事者の正当性を検証し認証する認証局およびその他の登録局からの電子証明書を使った公開鍵暗号方式および署名方式のシステムである。この認証局は、「信頼される第三者機関」とも呼ばれ、組織や個人など他の実体が他者に対してその身元を証明し安全に通信を行えるようにする電子証明書をそれらに発行する実体、一般には企業である。この認証局は、電子証明書サービスを提供する外部企業であっても、企業ＭＩＳ（経営情報システム）部門などの社内機関であってもよい。認証局の主要機能は、各実体の身元を検証しその身元を証明する電子証明書を発行することである。
【００１４】
これに対して、公開鍵暗号方式では、各人が公開鍵および秘密鍵と呼ばれる１対の鍵を取得する。各人の公開鍵は公開されるが、秘密鍵は秘匿される。各メッセージは対象とする受信者の公開鍵を使って暗号化され、その受信者の秘密鍵だけでしか復号化できない。この機構はまた、電子署名のために、あるいは電子署名と併せて使用することもできる。
【００１５】
電子署名は、メッセージに付加される付加データによって形成され、公開鍵暗号を使って送信者およびメッセージ・データを識別し認証する。送信者は一方向ハッシュ関数を使って、メッセージ・データから、たとえば、１６０ビットのハッシュ・コードを生成する。次いで送信者は、自分の秘密鍵を使ってそのハッシュ・コードに署名する。受信者もそのデータからハッシュ・コードを計算し、送信者の公開鍵を使って受信したハッシュを検証する。
【００１６】
すべての通信に公開鍵だけしか関与しないので、送信者および受信者が何らかのセキュアなチャンネルを介して鍵などの機密情報を共用する必要がなくなり、秘密鍵を送信することも共用することもない。公開鍵方式は、認証、機密性、完全性および否認防止のために使用することができる。ＲＳＡは公開鍵暗号化システムの一例である。
【００１７】
電子署名に使用される一方向ハッシュ関数は、「メッセージ要約関数」とも呼ばれ、可変長メッセージを固定長ハッシュにする関数である。ハッシュが与えられた場合、そのハッシュを使ってメッセージを見つけることは計算上不可能である。事実、そのハッシュを使ってメッセージに関する有用な情報を判別することは、たとえ１ビットでも不可能である。一部の一方向ハッシュ関数では、同じハッシュになる２つのメッセージを判別することも計算上不可能である。一方向ハッシュ関数は、暗号関数と同様に、秘密とすることも公開とすることもできる。公開一方向ハッシュ関数を使用すると公開鍵電子署名システムを高速にすることができる。長時間を要する可能性がある長メッセージへの署名ではなく、そのメッセージの一方向ハッシュを計算し、そのハッシュに電子的に署名する。
【００１８】
本発明による方法は、たとえば、Ｈ・ヘイズ（H. Heys）およびＣ・アダムス（C.Adams）編、セレクテッド・エリアズ・イン・クリプトグラフィ（Selected Areas in Cryptography）、ＬＮＣＳ第1758巻、シュプリンガー出版（SpringerVerlag）、1999年にＡ・リサンスカヤ（A. Lysanskaya）他によって記載されている偽名システム内で適用することができる。たとえば、受領書を発行する当事者またはサーバはその偽名システムの認証局などの組織であり、ユーザはその偽名システムの一ユーザである。受領書の発行は、ユーザに「受領」信用証明書を発行することによって実施する。この偽名システムの特性により、以下の利点を確実に実現することができる。受領書の表示は、「受領」信用証明書の所有権の匿名証拠によって実現される。その受領書中で異なる表示同士をリンク可能にするデータが符号化されていなければ、受領書の表示を元のトランザクションへのリンク不能とすることさえできる。各受領書は、譲渡不能性によってそれ自体を区別する。ユーザが受領書を（友人などに）譲渡しようとすると、そのユーザはその偽名システムにおける自分の偽名すべての下にある自分の秘密鍵を譲渡しなければならず、したがって、その友人はそのユーザに成りすますことができる。
【００１９】
従属請求項には、本発明の方法の様々な改変形態および実装形態が含まれる。
【００２０】
次に、本発明の好ましい実施形態を、例示として、添付の概略図を参照しながら、詳細に説明する。
【発明を実施するための最良の形態】
【００２１】
図面は例示のためのものに過ぎず、必ずしも本発明の実施の例をその通りに表すものではない。
【００２２】
図１を参照すると、本発明を使用できる通信環境の一般的配置が示されている。各図においては、同じ参照番号または符号を使って、同じまたは類似の部分を示す。ボックス１に示す第１の当事者（要求者またはユーザＵともいう）は、当技術分野で周知のように通信接続８によってネットワーク５を介して、点線ボックス２に示す第２の当事者Ａ、ボックス３に示す第２の当事者Ａ（第１の検証当事者Ａともいう）、およびボックス４に示す第２の検証当事者Ｂと通信することができる。このシナリオでは、第２の当事者Ａは認証局であり、第２の当事者Ａは、ソフトウェア製品を配布しそのライセンスを供与するソフトウェア会社を示す。第２の当事者Ａを発行者と呼ぶことができ、これ以後、認証当事者Ａと呼ぶ。第２の検証当事者Ｂを検証者と呼ぶことができ、たとえば、そうしたライセンスを検査する検査サーバとして実装される。ボックス３に示す第２の当事者Ａは、検証者機能または発行者機能のどちらかを持つことができる。第２の当事者Ａおよび第２の検証当事者Ｂは同じ事業体に属することも、同じコンピュータ・システム上で実装することもできることを理解されたい。
【００２３】
ボックス１に示すように、ユーザＵは第１の公開鍵ＰＵおよびもう１つの公開鍵ＰＵを持つ。第１の公開鍵ＰＵは、もう１つの公開鍵ＰＵまたはＰＵＥ（図示せず）の秘密ＳＵまたはＳＵＥに関連付けられまたはリンクされた秘密ＳＵに基づくものである。このもう１つの公開鍵ＰＵまたはＰＵＥは、外部公開鍵ＰＵＥとも呼ばれ、たとえば、銀行に関連して使用される１つの公開鍵とすることができる。ボックス２に示すように、認証当事者Ａは、第２の公開鍵ＰＡを持つ。第２の当事者Ａは、ボックス３に示すように、第２の公開鍵ＰＡを持つ。
【００２４】
この通信環境の一般的配置は、以下の各図の記述を容易にするために示したものである。以下の図２〜図９においては、メッセージの交換、具体的には、それらに関連する内容を個々の矢印の上または下に示す。
【００２５】
次に図２を見ると、第２の当事者Ａによって発行される電子受領書ＬＵ（これ以降受領書ＬＵと略す）の生成を示す概略図が示されている。受領書または電子受領書という語は信用証明書、証明書またはライセンスを含むことを理解されたい。
【００２６】
ボックス３で示す第２の当事者Ａは、ユーザＵからＲＭ（ＴＲ２，ＰＵ）というラベル付きの要求メッセージＲＭを受信する。この要求メッセージＲＭは第２のトランザクション要求ＴＲ２および第１の公開鍵ＰＵを含む。第１の公開鍵ＰＵは、第１の当事者Ｕが所有する秘密ＳＵに基づくものである。秘密ＳＵは、たとえば、暗号によって、第１の当事者Ｕのもう１つの公開鍵（図２には示さず）の秘密ＳＵまたはＳＵＥに関連付けられる。第２の当事者Ａは、第２の公開鍵ＰＡを使って要求メッセージＲＭに電子的に署名する。
【００２７】
【数１】
2004527962.tif 000003
とラベル付けされた受領書ＬＵが発行され第１の当事者Ｕに送信される。すなわち、第２の当事者Ａがトランザクションを完了した後で、その受領書ＬＵが発行されユーザＵに戻される。
【００２８】
後で、ユーザＵが受領書ＬＵの正当な所有者であることを証明しようとするとき、そのユーザは、第２の当事者Ａ（その場合、第１の検証当事者Ａとして働く）、または以下で図５を参照して述べるように第２の検証当事者Ｂに証拠メッセージＰＭを送信する。たとえば、これは、ソフトウェアなどの製品の更新や、検査または著作権のためにその製品を起動する際に有利に適用することができる。
【００２９】
受領書ＬＵの検証について述べる前に、さらなるメッセージ交換について説明する。図３に、暗号Ｅ１、およびこの暗号を検証するための第４の暗号化証拠を含む、ユーザＵと第２の当事者Ａとの間のメッセージ交換を示す。この暗号は、銀行などの外部当事者に関連して使用される秘密ＳＵＥを含む。第２の当事者Ａは、第１の公開鍵ＰＵの下で、
【００３０】
【数２】
2004527962.tif 000004
とラベル付けされた、もう１つの公開鍵ＰＵＥとこのもう１つの公開鍵ＰＵＥの秘密ＳＵＥの第１の暗号Ｅ１を受信する。第２の当事者Ａは、この第１の暗号Ｅ１を公開する。そうすることによって、第１の公開鍵ＰＵの秘密ＳＵともう１つの公開鍵ＰＵＥの秘密ＳＵＥとの間のリンクを保証することができる。秘密ＳＵを他人に渡せば、秘密ＳＵＥも他人に渡すことになる。第４の暗号化証拠を検証することによって、第１の公開鍵ＰＵの下で、第１の暗号Ｅ１中にもう１つの公開鍵ＰＵＥの秘密ＳＵＥが暗号化されているか否か知ることができる。したがって、前述の受信したもう１つの公開鍵ＰＵＥおよび第１の暗号Ｅ１を検証することができる。これは次式で表される。
【００３１】
【数３】
2004527962.tif 000005
式ＰＵＥ＝ｆ（ＳＵＥ）は、公開鍵ＰＵＥが秘密鍵ＳＵＥの関数ｆとして導出されることを示す。関数ｆは一般的な関数であり、適宜選択することができる。
【００３２】
一般に、暗号化証拠は当分野で知られており、たとえば、ヤン・カメニッシュ（JanCamenisch）およびイヴァン・ダムガルト（Ivan Damgard）による論文、「検証可能な暗号化、グループ暗号化、およびそれらの分離可能グループ署名および署名共用方式への適用例（Verifiableencryption, group encryption, and their applications to separable groupsignatures and signature sharing schemes）」、Ｔ・オカモト編、アドバンス・イン・クリプトロジー、アジアクリプト2000（Advancesin Cryptology-ASIACRYPT '2000）、レクチャー・ノート・イン・コンピュータ・サイエンス（Lecture Notes inComputer Science）第1976号、京都、日本、2000年、インターナショナル・アソシエーション・フォー・クリプトロジック・リサーチ（InternationalAssociation for Cryptologyc Research）、シュプリンガー出版（Springer-Verlag）、ベルリン、ドイツ、331〜345頁に記載されている。
【００３３】
図４に、内部暗号および受領書ＬＵを検証するための第５の暗号化証拠を含む、ユーザＵと第２の当事者Ａとの間のさらなるメッセージ交換を示す。図９を参照して述べるように、受領書ＬＵが認証当事者Ａから発行されており、ユーザＵがこの受領書ＬＵを取得しているものとする。内部暗号とは、認証当事者Ａに関連して使用される秘密ＳＵを考慮した暗号を意味する。第２の当事者Ａは、ユーザＵから、第１の公開鍵ＰＵの下で、もう１つの公開鍵ＰＵの秘密ＳＵの第２の暗号Ｅ２を受信する。これは、
【００３４】
【数４】
2004527962.tif 000006
とラベル付けされる。第２の当事者Ａはこの第２の暗号Ｅ２を公開する。そうすることによって、第１の公開鍵ＰＵと秘密ＳＵとの間のリンクを保証することができる。第１の値ＰＵが第２の値ＳＵから導出された公開鍵であり、第３の値ＬＵが第２の公開鍵ＰＡに関する少なくとも第１の値ＰＵへの署名であり、第２の暗号Ｅ２が第１の公開鍵ＰＵの下での第２の値ＳＵの暗号である第１、第２、第３の値ＰＵ、ＳＵ、ＬＵが存在する第５の暗号化証拠を検証することによって、受信した第２の暗号Ｅ２および受領書ＬＵを検証することができる。これは次式で表される。
【００３５】
【数５】
2004527962.tif 000007
【００３６】
図５に、電子受領書の所有権の検証の概略図を示す。詳細には、第２の当事者Ａによって発行された受領書ＬＵの所有権を検証する。ボックス４で示す第２の検証当事者Ｂは、ボックス１で示すユーザＵから証拠メッセージＰＭを受信する。この証拠メッセージＰＭは、ユーザＵが所有する秘密ＳＵに基づく第１の公開鍵ＰＵから導出される。前述のように、秘密ＳＵは、たとえば、暗号によって、ユーザＵのもう１つの公開鍵ＰＵまたはＰＵＥの秘密ＳＵまたはＳＵＥに関連付けられる。証拠メッセージＰＭは、さらに、第２の公開鍵ＰＡを使って要求メッセージＲＭに電子的に署名することによって発行された受領書ＬＵから導出される。証拠メッセージＰＭの内容は、それが第２の公開鍵ＰＡに関連して導出されたか否か検査される。
【００３７】
図６に、受領書ＬＵを検証するための第２の暗号化証拠を含む、ユーザＵと第２の検証当事者Ｂとの間のメッセージ交換を示す。第１の値ＰＵが第２の値ＳＵから導出された公開鍵であり、第３の値ＬＵが第２の公開鍵ＰＡに関する少なくとも第１の値ＰＵへの署名である第１、第２、第３の値ＰＵ、ＳＵ、ＬＵが存在する第２の暗号化証拠を検証することによって、受信した第１の公開鍵ＰＵおよび受領書ＬＵを検証することができる。これは次式で表される。
【００３８】
【数６】
2004527962.tif 000008
【００３９】
図７に、外部暗号を検証するための第１の暗号化証拠を含む、ユーザＵと第２の検証当事者Ｂとの間のさらなるメッセージ交換を示す。第２の検証当事者Ｂは、第１の公開鍵ＰＵの下で、もう１つの公開鍵ＰＵＥおよびそのもう１つの公開鍵ＰＵＥの秘密ＳＵＥの第１の暗号Ｅ１を受信する。第２の検証当事者Ｂは、第１の暗号Ｅ１を公開する。そうすることによって、第１の公開鍵ＰＵの秘密ともう１つの公開鍵ＰＵＥの秘密ＳＵＥとの間のリンクを保証することができる。第１の暗号化証拠について、もう１つの公開鍵ＰＵＥの秘密ＳＵＥが第１の公開鍵ＰＵの下で第１の暗号Ｅ１に暗号化されていることを検証することによって、前述の受信したもう１つの公開鍵ＰＵＥおよび第１の暗号Ｅ１を検証することができる。これは次式で表される。
【００４０】
【数７】
2004527962.tif 000009
【００４１】
図８に、受領書ＬＵおよびＬＵと内部暗号を検証するための第３の暗号化証拠を含む、ユーザＵと第２の検証当事者Ｂとの間のさらなるメッセージ交換を示す。第２の検証当事者Ｂは、ユーザＵから、第１の公開鍵ＰＵの下で、もう１つの公開鍵ＰＵの秘密ＳＵの第２の暗号Ｅ２を受信する。これは
【００４２】
【数８】
2004527962.tif 000010
で示される。第２の検証当事者Ｂは第２の暗号Ｅ２を公開する。そうすることによって、第１の公開鍵ＰＵの秘密ＳＵと秘密ＳＵとの間のリンクを保証することができる。第１の値ＰＵが第２の値ＳＵから導出された公開鍵であり、第３の値ＬＵが第２の公開鍵ＰＡに関する少なくとも第１の値（ＰＵ）への署名であり、第４の値ＰＵが第５の値ＳＵから導出された公開鍵であり、第６の値ＬＵが第３の公開鍵ＰＡに関する少なくとも第４の値ＰＵへの署名であり、第２の暗号Ｅ２が第４の値ＰＵの下での第２の値ＳＵの暗号である複数の値ＰＵ、ＳＵ、ＬＵ、ＰＵ、ＳＵ、ＬＵが存在する第３の暗号化証拠を検証することによって、受信した第２の暗号Ｅ２と受領書ＬＵおよびＬＵを検証することができる。これは次式で表される。
【００４３】
【数９】
2004527962.tif 000011
【００４４】
次に図９を見ると、認証当事者Ａが発行した受領書ＬＵの生成を示す概略図が示されている。この受領書生成は、第２の当事者Ａによる受領書ＬＵ生成の前に実施する必要があり、事前発行（pre-installment）と見なすことができる。
【００４５】
ボックス２で示す認証当事者Ａは、ユーザＵからＲＭ（ＴＲ１，ＰＵ）とラベル付けされた要求メッセージＲＭを受信する。この要求メッセージＲＭは、第１のトランザクション要求ＴＲ１および第１の公開鍵ＰＵを含む。第１の公開鍵ＰＵは、第１の当事者Ｕが所有する秘密ＳＵに基づくものである。秘密ＳＵは、第１の当事者Ｕの別のもう１つの公開鍵の秘密に関連付けられる。第２の当事者Ａは、第２の当事者Ａに割り当てられた第２の公開鍵ＰＡを使って、要求メッセージＲＭに電子的に署名する。後者のステップは省略することができる。
【００４６】
【数１０】
2004527962.tif 000012
とラベル付けされた受領書ＬＵが発行され、第１の当事者Ｕに送信される。
【００４７】
一般に、トランザクション要求ＴＲ１およびＴＲ２は、一般に電子商取引と呼ばれる任意の種類の取引とすることができる。したがって、電子商取引は、ネットワークを介したコンピュータによる業務通信およびトランザクションの実施を要約したものである。最も限定的に定義すると、電子商取引とは、ディジタル通信を介した物品およびサービスの売買と資金移動である。しかし、電子商取引には、商取引を可能にし、電子メール、ファイル転送、ファックス、テレビ会議、ワークフロー、あるいはリモート・コンピュータとの対話を使用する、マーケティング、財務、製造、販売、交渉などすべての企業間および企業内業務も含まれる。電子商取引には、また、ワールド・ワイド・ウェブおよびインターネットを介した売買、電子資金移動、スマート・カード、電子マネー、他すべてのディジタル・ネットワークを介した取引方法が含まれる。開示の実施形態はいずれも、図示または記述した、あるいは図示し記述したその他の実施形態の１つまたは複数と組み合わせることができる。また、各実施形態の１つまたは複数の特徴についても組み合わせることが可能である。
【００４８】
本発明は、ハードウェア、ソフトウェア、またはハードウェアとソフトウェアの組合せとして実施することができる。任意の種類のコンピュータ・システム、あるいは本明細書で述べた方法を実行するように適合された他の装置を適用することができる。ハードウェアとソフトウェアの典型的な組合せは、ロードされ実行されたときに、本明細書で述べた方法を実行するようにコンピュータ・システムを制御するコンピュータ・プログラムを備える汎用コンピュータ・システムとすることができる。本発明はまた、本明細書で述べた方法の実装を可能にするすべての特徴を備え、かつ、コンピュータ・システムにロードされたときに、これらの方法を実行できるコンピュータ・プログラム製品に組み込むこともできる。
【００４９】
本発明の脈絡におけるコンピュータ・プログラム手段またはコンピュータ・プログラムは、情報処理能力を有するシステムに、直接、またはａ）別の言語、コードまたは表記への変換またはｂ）異なる材料形態への複製、あるいはその両方の後で、特定の機能を実施させるための、１組の命令の、任意の言語、コードまたは表記による任意の表現を意味する。
【図面の簡単な説明】
【００５０】
【図１】ネットワークを介して接続された可能な関与当事者を示す概略図である。
【図２】一ユーザおよび第２の当事者が関与する電子受領書の生成を示す概略図である。
【図３】第４の暗号化証拠を含む、ユーザと第２の当事者との間のメッセージ交換を示す図である。
【図４】第５の暗号化証拠を含む、ユーザと第２の当事者との間のさらなるメッセージ交換を示す図である。
【図５】本発明による、電子受領書の所有権の検証を示す概略図である。
【図６】第２の暗号化証拠を含む、ユーザと検証当事者との間のメッセージ交換を示す図である。
【図７】第１の暗号化証拠を含む、ユーザと検証当事者との間のさらなるメッセージ交換を示す図である。
【図８】受領書および暗号に関する第３の暗号化証拠を含む、ユーザと検証当事者との間のさらなるメッセージ交換を示す図である。
【図９】認証局が関与する電子受領書の生成を示す概略図である。
【図１】
2004527962.tif 000013
【図２】
2004527962.tif 000014
【図３】
2004527962.tif 000015
【図４】
2004527962.tif 000016
【図５】
2004527962.tif 000017
【図６】
2004527962.tif 000018
【図７】
2004527962.tif 000019
【図８】
2004527962.tif 000020
【図９】
2004527962.tif 000021
【国際公開パンフレット】
2004527962.tif 000022
2004527962.tif 000023
2004527962.tif 000024
2004527962.tif 000025
2004527962.tif 000026
2004527962.tif 000027
2004527962.tif 000028
2004527962.tif 000029
2004527962.tif 000030
2004527962.tif 000031
2004527962.tif 000032
2004527962.tif 000033
2004527962.tif 000034
2004527962.tif 000035
2004527962.tif 000036
2004527962.tif 000037
2004527962.tif 000038
2004527962.tif 000039
2004527962.tif 000040
2004527962.tif 000041
2004527962.tif 000042
【手続補正書】
【提出日】平成14年12月11日(2002.12.11)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項１
【補正方法】変更
【補正の内容】
【請求項１】
公開鍵インフラストラクチャを提供する通信システムにおいて電子受領書（ＬＵ）の所有権を検証する方法であって、前記検証が、第１の当事者（Ｕ）と検証当事者（Ａ、Ｂ）との間で送受信される一連のメッセージに基づいて実施され、
前記第１の当事者（Ｕ）から証拠メッセージ（ＰＭ）を受信するステップであって、前記証拠メッセージ（ＰＭ）が少なくとも、
前記第１の当事者（Ｕ）が所有する、少なくとも前記第１の当事者（Ｕ）のもう１つの公開鍵（ＰＵ、ＰＵＥ）の秘密（ＳＵ、ＳＵＥ）に関連付けられた秘密（ＳＵ）に基づく第１の公開鍵（ＰＵ）と、
第２の公開鍵（ＰＡ）を使ってトランザクション要求（ＴＲ２、ＴＲ１）および第１の公開鍵（ＰＵ、ＰＵ）を含む要求メッセージ（ＲＭ）の少なくとも一部に電子的に署名することによって発行された電子受領書（ＬＵ）と
から導出されるステップと、
前記証拠メッセージ（ＰＭ）が前記第２の公開鍵（ＰＡ）から導出されたか否か判定するステップと
を含む方法。
【国際調査報告】
2004527962.tif 000043
2004527962.tif 000044