"コミットメント生成装置とコミットメント検証装置とを有し、G1,G2,GTが群であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggghhh∈G1を含み、前記コミットメント生成装置は、任意の元tatbt∈Zpを選択する選択部と、cagtaΠi1kgt∈G1を計算する第1コミットメント計算部と、cbhtbΠi1kht∈G1を計算する第2コミットメント計算部と、cmg2t∈G2を計算する第3コミットメント計算部と、cacbccを含むコミットメントCを出力するコミットメント出力部と、dag2ta∈G2を計算する第1デコミット鍵計算部と、dbg2tb∈G2を計算する第2デコミット鍵計算部と、dadbを含むデコミット鍵Dを出力するデコミット鍵出力部と、を含み、前記コミットメント検証装置は、前記コミットメントCの入力を受け付けるコミットメント入力部と、前記メッセージm→、前記コミットメント鍵ck、及び前記デコミット鍵Dの入力を受け付けるオープニング情報入力部と、関係eedaΠi1kecm及びeedbΠi1kecmの両方が満たされるかを検証し、両方の前記関係が満たされる場合に前記メッセージm→を受理し、前記関係の少なくとも一方が満たされない場合に前記メッセージm→を不受理とする検証部と、を含む、コミットメントシステム。コミットメント生成装置とコミットメント検証装置とを有し、G1,G2,GTが群であり、G1≠G2であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggg∈G1を含み、前記コミットメント生成装置は、任意の元tat∈Zpを選択する選択部と、cagtaΠi1kgt∈G1を計算する第1コミットメント計算部と、cmg2t∈G2を計算する第3コミットメント計算部と、caccを含むコミットメントCを出力するコミットメント出力部と、dag2ta∈G2を計算する第1デコミット鍵計算部と、daを含むデコミット鍵Dを出力するデコミット鍵出力部と、を含み、前記コミットメント検証装置は、前記コミットメントCの入力を受け付けるコミットメント入力部と、前記メッセージm→、前記コミットメント鍵ck、及び前記デコミット鍵Dの入力を受け付けるオープニング情報入力部と、関係eedaΠi1kecmが満たされるかを検証し、前記関係が満たされる場合に前記メッセージm→を受理し、前記関係が満たされない場合に前記メッセージm→を不受理とする検証部と、を含む、コミットメントシステム。G1,G2,GTが群であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggghhh∈G1を含み、任意の元tatbt∈Zpを選択する選択部と、cagtaΠi1kgt∈G1を計算する第1コミットメント計算部と、cbhtbΠi1kht∈G1を計算する第2コミットメント計算部と、cmg2t∈G2を計算する第3コミットメント計算部と、cacbccを含むコミットメントCを出力するコミットメント出力部と、dag2ta∈G2を計算する第1デコミット鍵計算部と、dbg2tb∈G2を計算する第2デコミット鍵計算部と、dadbを含むデコミット鍵Dを出力するデコミット鍵出力部と、を有するコミットメント生成装置。G1,G2,GTが群であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggghhh∈G1を含み、ca∈G1cb∈G1cc∈G2を含むコミットメントCの入力を受け付けるコミットメント入力部と、dadb∈G2を含むデコミット鍵D、前記メッセージm→、及び前記コミットメント鍵ckの入力を受け付けるオープニング情報入力部と、関係eedaΠi1kecm及びeedbΠi1kecmの両方が満たされるかを検証し、両方の前記関係が満たされる場合に前記メッセージm→を受理し、前記関係の少なくとも一方が満たされない場合に前記メッセージm→を不受理とする検証部と、を有するコミットメント検証装置。G1,G2,GTが群であり、G1≠G2であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggg∈G1を含み、任意の元tat∈Zpを選択する選択部と、cagtaΠi1kgt∈G1を計算する第1コミットメント計算部と、cmg2t∈G2を計算する第3コミットメント計算部と、caccを含むコミットメントCを出力するコミットメント出力部と、dag2ta∈G2を計算する第1デコミット鍵計算部と、daを含むデコミット鍵Dを出力するデコミット鍵出力部と、を有するコミットメント生成装置。G1,G2,GTが群であり、G1≠G2であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggg∈G1を含み、ca∈G1cc∈G2を含むコミットメントCの入力を受け付けるコミットメント入力部と、da∈G2を含むデコミット鍵D、前記メッセージm→、及び前記コミットメント鍵ckの入力を受け付けるオープニング情報入力部と、関係eedaΠi1kecmが満たされるかを検証し、前記関係が満たされる場合に前記メッセージm→を受理し、前記関係が満たされない場合に前記メッセージm→を不受理とする検証部と、を有するコミットメント検証装置。G1,G2,GTが群であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggghhh∈G1を含み、コミットメント生成装置で、任意の元tatbt∈Zpを選択するステップと、前記コミットメント生成装置で、cagtaΠi1kgt∈G1を計算するステップと、前記コミットメント生成装置で、cbhtbΠi1kht∈G1を計算するステップと、前記コミットメント生成装置で、cmg2t∈G2を計算するステップと、前記コミットメント生成装置で、cacbccを含むコミットメントCを出力するステップと、前記コミットメント生成装置で、dag2ta∈G2を計算するステップと、前記コミットメント生成装置で、dbg2tb∈G2を計算するステップと、前記コミットメント生成装置で、dadbを含むデコミット鍵Dを出力するステップと、コミットメント検証装置で、前記コミットメントCの入力を受け付けるステップと、前記コミットメント検証装置で、前記メッセージm→、前記コミットメント鍵ck、及び前記デコミット鍵Dの入力を受け付けるステップと、前記コミットメント検証装置で、関係eedaΠi1kecm及びeedbΠi1kecmの両方が満たされるかを検証し、両方の前記関係が満たされる場合に前記メッセージm→を受理し、前記関係の少なくとも一方が満たされない場合に前記メッセージm→を不受理とするステップと、を含む、コミットメント方法。G1,G2,GTが群であり、G1≠G2であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggg∈G1を含み、コミットメント生成装置で、任意の元tat∈Zpを選択するステップと、前記コミットメント生成装置で、cagtaΠi1kgt∈G1を計算するステップと、前記コミットメント生成装置で、cmg2t∈G2を計算するステップと、前記コミットメント生成装置で、caccを含むコミットメントCを出力するステップと、前記コミットメント生成装置で、dag2ta∈G2を計算するステップと、前記コミットメント生成装置で、daを含むデコミット鍵Dを出力するステップと、コミットメント検証装置で、前記コミットメントCの入力を受け付けるステップと、前記コミットメント検証装置で、前記メッセージm→、前記コミットメント鍵ck、及び前記デコミット鍵Dの入力を受け付けるステップと、前記コミットメント検証装置で、関係eedaΠi1kecmが満たされるかを検証し、前記関係が満たされる場合に前記メッセージm→を受理し、前記関係が満たされない場合に前記メッセージm→を不受理とするステップと、を有するコミットメント方法。G1,G2,GTが群であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggghhh∈G1を含み、選択部で、任意の元tatbt∈Zpを選択するステップと、第1コミットメント計算部で、cagtaΠi1kgt∈G1を計算するステップと、第2コミットメント計算部で、cbhtbΠi1kht∈G1を計算するステップと、第3コミットメント計算部で、cmg2t∈G2を計算するステップと、コミットメント出力部で、cacbccを含むコミットメントCを出力するステップと、第1デコミット鍵計算部で、dag2ta∈G2を計算するステップと、第2デコミット鍵計算部で、dbg2tb∈G2を計算するステップと、デコミット鍵出力部で、dadbを含むデコミット鍵Dを出力するステップと、を有するコミットメント生成方法。G1,G2,GTが群であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggghhh∈G1を含み、コミットメント入力部で、ca∈G1cb∈G1cc∈G2を含むコミットメントCの入力を受け付けるステップと、オープニング情報入力部で、dadb∈G2を含むデコミット鍵D、前記メッセージm→、及び前記コミットメント鍵ckの入力を受け付けるステップと、検証部で、関係eedaΠi1kecm及びeedbΠi1kecmの両方が満たされるかを検証し、両方の前記関係が満たされる場合に前記メッセージm→を受理し、前記関係の少なくとも一方が満たされない場合に前記メッセージm→を不受理とするステップと、を有するコミットメント検証方法。G1,G2,GTが群であり、G1≠G2であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggg∈G1を含み、選択部で、任意の元tat∈Zpを選択するステップと、第1コミットメント計算部で、cagtaΠi1kgt∈G1を計算するステップと、第3コミットメント計算部で、cmg2t∈G2を計算するステップと、コミットメント出力部で、caccを含むコミットメントCを出力するステップと、第1デコミット鍵計算部で、dag2ta∈G2を計算するステップと、デコミット鍵出力部で、daを含むデコミット鍵Dを出力するステップと、を有するコミットメント生成方法。G1,G2,GTが群であり、G1≠G2であり、g2が前記群G2の生成元であり、eが前記群G1と前記群G2の直積群G1×G2の元に対して前記群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが前記群G1の任意の元ggg∈G1を含み、コミットメント入力部で、ca∈G1cc∈G2を含むコミットメントCの入力を受け付けるステップと、オープニング情報入力部で、da∈G2を含むデコミット鍵D、前記メッセージm→、及び前記コミットメント鍵ckの入力を受け付けるステップと、検証部で、関係eedaΠi1kecmが満たされるかを検証し、前記関係が満たされる場合に前記メッセージm→を受理し、前記関係が満たされない場合に前記メッセージm→を不受理とするステップと、を有するコミットメント検証方法。請求項3又は5のコミットメント生成装置の各部としてコンピュータを機能させるためのプログラム。請求項4又は6のコミットメント検証装置の各部としてコンピュータを機能させるためのプログラム。しかしながら、従来方式は群構造維持の性質を有しない。まず従来方式1は、メッセージmが群の要素ではなく、Zpの要素であるため、群構造維持の性質を有しない。次に従来方式1では、コミットメント検証がメッセージmごとに行われるため、検証式の数がメッセージmの数に比例して増大する。効率的なゼロ知識証明では、証明すべき関係式の数が効率に大きく影響するため従来方式1をゼロ知識証明と組み合わせる場合の計算コストが大きい。従来方式2では、メッセージm1mkが双線形写像を持つ群G2の要素であり、メッセージの個数kの値に拘わらず検証式の数が一定である。しかしコミットメントが群GTの要素であり、群GTは双線形写像を持たない。よって、従来方式2は群構造維持の性質を有しない。従来方式3では、メッセージ、コミットメント、コミットメント鍵、デコミットメント鍵の要素のすべてが双線形写像を持つ群上の要素であり、群構造維持の性質を有する。また、メッセージの個数kの値に拘わらず検証式の数が一定である。しかしながら、従来方式3では、コミットメントの群要素の個数がメッセージの群要素の個数の2倍以上2k2個となり、計算コストが大きい。本発明はこのような点に鑑みてなされたものであり、群構造維持の性質を有し、計算コストが小さいコミットメント方式を提供することを目的とする。第1の本発明では、G1,G2,GTが群であり、g2が群G2の生成元であり、eが群G1と群G2の直積群G1×G2の元に対して群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが群G1の任意の元ggghhh∈G1を含む。コミットメント生成装置は、任意の元tatbt∈Zpを選択し、cagtaΠi1kgt∈G1,cbhtbΠi1kht∈G1,cmg2t∈G2を計算し、cacbccを含むコミットメントCを出力する。さらにコミットメント生成装置は、dag2ta∈G2,dbg2tb∈G2を計算し、dadbを含むデコミット鍵Dを出力する。コミットメント検証装置は、コミットメントCの入力を受け付け、メッセージm→、コミットメント鍵ck、及びデコミット鍵Dの入力を受け付け、関係eedaΠi1kecm及びeedbΠi1kecmの両方が満たされるかを検証し、両方の関係が満たされる場合にメッセージm→を受理し、関係の少なくとも一方が満たされない場合にメッセージm→を不受理とする。第2の本発明では、G1,G2,GTが群であり、G1≠G2であり、g2が群G2の生成元であり、eが群G1と群G2の直積群G1×G2の元に対して群GTの元を得る双線形写像G1×G2→GTであり、Zpが位数pの整数剰余環であり、kが1以上の整数であり、m→m∈G2kがメッセージであり、1mがmの逆元であり、コミットメント鍵ckが群G1の任意の元ggg∈G1を含む。コミットメント生成装置は、任意の元tat∈Zpを選択し、cagtaΠi1kgt∈G1,cmg2t∈G2を計算し、caccを含むコミットメントCを出力する。さらにコミットメント生成装置は、dag2ta∈G2を計算し、daを含むデコミット鍵Dを出力する。コミットメント検証装置は、コミットメントCの入力を受け付け、メッセージm→、コミットメント鍵ck、及びデコミット鍵Dの入力を受け付け、関係eedaΠi1kecmが満たされるかを検証し、関係が満たされる場合にメッセージm→を受理し、関係が満たされない場合にメッセージm→を不受理とする。本発明は、群構造維持の性質を有する。また、kの値にかかわらず検証式の数が一定であり、計算コストが小さい。図面を参照して本発明の実施形態を説明する。第1実施形態第1実施形態を説明する。本形態では、G1,G2,GTが群例えば巡回群であり、g1が群G1の生成元であり、g2が群G2の生成元である。本形態の場合、G1G2であってもよいし、G1≠G2であってもよい。α∈G1に対する1α∈G1はαの逆元α1∈G1を表し、β∈G2に対する1β∈G2はβの逆元β1∈G2を表す。eは群G1と群G2の直積群G1×G2の元に対して群GTの元を得る双線形写像G1×G2→GTである。双線形写像eの具体例は、WeilペアリングやTateペアリングなどのペアリングである。Zpは位数pの整数剰余環である。本形態の位数pは素数であり、群G1,G2の位数もpである。本形態のシステムパラメータをΛとする。<構成>図1に例示するように、本形態のコミットメントシステム1は、管理装置110、コミットメント生成装置120、及びコミットメント検証装置130を有し、ネットワークを通じて通信可能に構成されている。図2Aに例示するように、本形態の管理装置110は、出力部111、一時メモリ112a、記憶部112b、制御部113、選択部114a,114b、及びコミットメント鍵生成部114cを有する。本形態の管理装置110は、例えば、CPU、RAM等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構築される特別な装置である。本形態の管理装置110は、制御部113の制御のもとで各処理を実行する。各処理で得られたデータは、一時メモリ112a又は記憶部112bに格納され、必要に応じて読み出されて他の処理に利用される。図2Bに例示するように、本形態のコミットメント検証装置130は、入力部131コミットメント入力部オープニング情報入力部に相当、一時メモリ132a、記憶部132b、制御部133、及び検証部134を有する。本形態のコミットメント検証装置130は、公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構築される特別な装置である。本形態のコミットメント検証装置130は、制御部133の制御のもとで各処理を実行する。各処理で得られたデータは、一時メモリ132a又は記憶部132bに格納され、必要に応じて読み出されて他の処理に利用される。図3に例示するように、本形態のコミットメント生成装置120は、入力部121a、出力部121bコミットメント出力部及びデコミット鍵出力部に相当、一時メモリ122a、記憶部122b、制御部123、選択部124a、コミットメント計算部124b~124d、コミットメント生成部124e、デコミット鍵計算部124f,124g、及びデコミット鍵生成部124hを有する。本形態のコミットメント生成装置120は、公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構築される特別な装置である。本形態のコミットメント生成装置120は、制御部123の制御のもとで各処理を実行する。各処理で得られたデータは、一時メモリ122a又は記憶部122bに格納され、必要に応じて読み出されて他の処理に利用される。<コミットメント鍵生成処理>図4に例示するように、システムパラメータΛが入力された管理装置110図2Aの選択部114aが、任意の元gh∈G1をランダムに選択しステップS101、選択部114bが任意の元gh∈G1をランダムに選択するステップS102。任意の元ghと任意の元ghとは互いに独立に選択されたものでもよいし、ランダムに選択された任意の元ξη∈Zpに対してggξhhηを満たすものであってもよい。システムパラメータΛと当該任意の元ghghはコミットメント鍵生成部114cに入力される。コミットメント鍵生成部114cは、システムパラメータΛと任意の元ggghhh∈G1とを含むコミットメント鍵ckhghghを生成するステップS103。コミットメント鍵ckは記憶部112bに格納される。記憶部112bに格納されたコミットメント鍵ckは、例えば、他の装置からの要求等に応じて読み出され、出力部111から出力されるステップS104。<コミットメント生成処理>管理装置110から出力されたコミットメント鍵ckは、ネットワーク経由でコミットメント生成装置120図3に送られる。図5に例示するように、コミットメント鍵ckは、入力部121aに入力されて記憶部122bに格納されるステップS111。入力部121aには、メッセージm→m∈G2kが入力され、それが記憶部122bに格納されるステップS112。ただし、kは1以上の予め定められた整数であり、m∈G2を満たす。選択部124aは、任意の元tatbt∈Zpをランダムに選択して出力するステップS113。コミットメント計算部124bには、記憶部122bから読み出されたコミットメント鍵ckの要素、及び選択部124aから出力された任意の元tatが入力される。コミットメント計算部124bは、これらを用いてcagtaΠi1kgt∈G1を計算して出力するステップS114。コミットメント計算部124cには、記憶部122bから読み出されたコミットメント鍵ckの要素、及び選択部124aから出力された任意の元tbtが入力される。コミットメント計算部124cは、これらを用いてcbhtbΠi1kht∈G1を計算して出力するステップS115。コミットメント計算部124dには、記憶部122bから読み出されたコミットメント鍵ckの要素、メッセージm→、及び選択部124aから出力された任意の元tが入力される。コミットメント計算部124dは、これらを用いてcmg2t∈G2を計算して出力するステップS116。コミットメント計算部124b,124c,124dから出力されたca,cb,ccは、コミットメント生成部124eに入力される。コミットメント生成部124eは、cacbccを含むコミットメントCcを生成する。コミットメントCは記憶部122bに格納される。デコミット鍵計算部124fには、記憶部122bから読み出された生成元g2、及び選択部124aから出力された任意の元taが入力される。デコミット鍵計算部124fは、これらを用いてdag2ta∈G2を計算して出力するステップS118。デコミット鍵計算部124gには、記憶部122bから読み出された生成元g2、及び選択部124aから出力された任意の元tbが入力される。デコミット鍵計算部124gは、これらを用いてdbg2tb∈G2を計算して出力するステップS119。デコミット鍵生成部124hには、デコミット鍵計算部124f,124gから出力されたda及びdbが入力される。デコミット鍵生成部124hは、da及びdbを含むデコミット鍵Dを生成して出力するステップS120。デコミット鍵Dは、記憶部122bに格納される。記憶部122bに格納されたコミットメントCは、任意の契機で出力され、ネットワーク経由でコミットメント検証装置130に送信されるステップS121。コミットメントCは、コミットメント検証装置130図2Bの入力部131に入力され、記憶部132bに格納される。<コミットメント検証処理>図6に例示するように、管理装置110から出力されたコミットメント鍵ckは、ネットワーク経由でコミットメント検証装置130図2Bにも送られ、入力部131に入力されて記憶部132bに格納されるステップS121。オープニング時には、コミットメント生成装置120図3の記憶部122bに格納されていたメッセージm→及びデコミット鍵Dが読み出され、出力部121bから出力される。メッセージm→及びデコミット鍵Dは、ネットワーク経由でコミットメント検証装置130図2Bに送信され、入力部131に入力されて記憶部132bに格納されるステップS122。検証部134は、記憶部132bから読み出したコミットメント鍵ck、コミットメントC、メッセージm→、及びデコミット鍵Dが以下の関係を満たすかを判定するステップS123。eedaΠi1kecm...検証式の関係を満たさない場合、検証部134はメッセージm→を不受理として0を出力するステップS125。式の関係を満たす場合、次に検証部134は記憶部132bから読み出したコミットメント鍵ck、コミットメントC、メッセージm→、及びデコミット鍵Dが以下の関係を満たすかを判定するステップS124。eedbΠi1kecm...検証式の関係を満たさない場合、検証部134はメッセージm→を不受理として0を出力するステップS125。一方、検証式の関係を満たす場合、検証部134はメッセージm→がコミットメントCでコミットされていたメッセージであるとして受理し、1を出力するステップS126。<本形態の特徴>cagtaΠi1kgt,cbhtbΠi1kht,cmg2t,dag2ta,dbg2tbより、オープニング時にコミットメント検証装置130に入力されたメッセージm→がコミットメントCに対応するものであれば、検証式は以下のように変形でき、検証式の関係を共に満たす。式etaΠi1kgtg2eg2taΠi1kemg2tmetagtgtg2eg2taeg2teg2tetagtg2etagtg2式etbΠi1khtg2eg2tbΠi1kemg2tmetbhthtg2eg2tbeg2teg2tetbhthtg2etbhthtg2一方、メッセージm→がコミットメントCに対応するものでなければ、式の関係は満たされない。本形態のメッセージm→、コミットメントC、コミットメント鍵ck、デコミットメント鍵Dの要素のすべてが双線形写像eを持つ群上の要素であり、本形態のコミットメント方式は群構造維持の性質を有する。よって、群構造を維持したままですべての演算ができ、暗号プロトコルへの拡張が容易である。本形態のコミットメント方式では、メッセージmの個数kの値にかかわらず、2個の検証式のみで検証処理が実行できる。さらに、メッセージの群要素の個数kに対するコミットメントCの群要素の個数がk2であり、従来方式3の群要素の個数2k2よりも小さい。よって、従来方式1,3よりも計算コスト通信コスト記憶メモリコストが低い。第2実施形態第2実施形態を説明する。以下では第1実施形態との相違点を中心に説明する。本形態では、G1,G2,GTが群例えば巡回群であり、g1が群G1の生成元であり、g2が群G2の生成元である。本形態の場合、G1≠G2である。本形態の位数pは素数であり、群G1,G2の位数もpである。本形態のシステムパラメータをΛsxdhとする。<構成>図1に例示するように、本形態のコミットメントシステム2は、管理装置210、コミットメント生成装置220、及びコミットメント検証装置230を有し、ネットワークを通じて通信可能に構成されている。図7Aに例示するように、本形態の管理装置210は、出力部111、一時メモリ112a、記憶部212b、制御部113、選択部214a,214b、及びコミットメント鍵生成部214cを有する。本形態の管理装置210は、例えば、公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構築される特別な装置である。本形態の管理装置210は、制御部113の制御のもとで各処理を実行する。各処理で得られたデータは、一時メモリ112a又は記憶部212bに格納され、必要に応じて読み出されて他の処理に利用される。図7Bに例示するように、本形態のコミットメント検証装置230は、入力部231コミットメント入力部オープニング情報入力部に相当、一時メモリ132a、記憶部232b、制御部133、及び検証部234を有する。本形態のコミットメント検証装置230は、公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構築される特別な装置である。本形態のコミットメント検証装置230は、制御部133の制御のもとで各処理を実行する。各処理で得られたデータは、一時メモリ132a又は記憶部232bに格納され、必要に応じて読み出されて他の処理に利用される。図8に例示するように、本形態のコミットメント生成装置220は、入力部221a、出力部221bコミットメント出力部及びデコミット鍵出力部に相当、一時メモリ122a、記憶部222b、制御部123、選択部224a、コミットメント計算部124b,124d、コミットメント生成部224e、デコミット鍵計算部124f、及びデコミット鍵生成部224hを有する。本形態のコミットメント生成装置220は、公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構築される特別な装置である。本形態のコミットメント生成装置220は、制御部123の制御のもとで各処理を実行する。各処理で得られたデータは、一時メモリ122a又は記憶部222bに格納され、必要に応じて読み出されて他の処理に利用される。<コミットメント鍵生成処理>図9に例示するように、システムパラメータΛsxdhが入力された管理装置210図7Aの選択部214aが、任意の元g∈G1をランダムに選択しステップS201、選択部214bが任意の元g∈G1をランダムに選択するステップS202。任意の元gと任意の元gとは互いに独立に選択されものでもよいし、ランダムに選択された任意の元ξ∈Zpに対してggξを満たすものであってもよい。システムパラメータΛsxdhと当該任意の元ggはコミットメント鍵生成部214cに入力される。コミットメント鍵生成部214cは、システムパラメータΛsxdhと任意の元ggg∈G1とを含むコミットメント鍵ckggを生成するステップS203。コミットメント鍵ckは記憶部212bに格納される。記憶部212bに格納されたコミットメント鍵ckは、例えば、他の装置からの要求等に応じて読み出され、出力部211から出力されるステップS204。<コミットメント生成処理>管理装置210から出力されたコミットメント鍵ckは、ネットワーク経由でコミットメント生成装置220図8に送られる。図10に例示するように、コミットメント鍵ckは、入力部221aに入力されて記憶部222bに格納されるステップS211。入力部221aには、メッセージm→m∈G2kが入力され、それが記憶部222bに格納されるステップS212。選択部224aは、任意の元tat∈Zpをランダムに選択して出力するステップS213。コミットメント計算部124bには、記憶部222bから読み出されたコミットメント鍵ckの要素、及び選択部224aから出力された任意の元tatが入力される。コミットメント計算部124bは、これらを用いてcagtaΠi1kgt∈G1を計算して出力するステップS114。コミットメント計算部124dには、記憶部222bから読み出されたコミットメント鍵ckの要素、メッセージm→、及び選択部224aから出力された任意の元tが入力される。コミットメント計算部124dは、これらを用いてcmg2t∈G2を計算して出力するステップS116。コミットメント計算部124b,124dから出力されたca,ccは、コミットメント生成部224eに入力される。コミットメント生成部224eは、caccを含むコミットメントCcを生成する。コミットメントCは記憶部222bに格納される。デコミット鍵計算部124fには、記憶部222bから読み出された生成元g2、及び選択部224aから出力された任意の元taが入力される。デコミット鍵計算部124fは、これらを用いてdag2ta∈G2を計算して出力するステップS118。デコミット鍵生成部224hには、デコミット鍵計算部124fから出力されたdaが入力される。デコミット鍵生成部224hは、daを含むデコミット鍵Dを生成して出力するステップS220。デコミット鍵Dは、記憶部222bに格納される。記憶部222bに格納されたコミットメントCは、任意の契機で出力され、ネットワーク経由でコミットメント検証装置230に送信されるステップS221。コミットメントCは、コミットメント検証装置230図7Bの入力部231に入力され、記憶部232bに格納される。<コミットメント検証処理>図11に例示するように、管理装置210から出力されたコミットメント鍵ckは、ネットワーク経由でコミットメント検証装置230図7Bにも送られ、入力部231に入力されて記憶部232bに格納されるステップS221。オープニング時には、コミットメント生成装置220図8の記憶部222bに格納されていたメッセージm→及びデコミット鍵Dが読み出され、出力部221bから出力される。メッセージm→及びデコミット鍵Dは、ネットワーク経由でコミットメント検証装置230図7Bに送信され、入力部231に入力されて記憶部232bに格納されるステップS222。検証部234は、記憶部232bから読み出したコミットメント鍵ck、コミットメントC、メッセージm→、及びデコミット鍵Dが前述の検証式の関係を満たすかを判定するステップS123。検証式の関係を満たさない場合、検証部234はメッセージm→を不受理として0を出力するステップS225。式の関係を満たす場合、検証部234はメッセージm→がコミットメントCでコミットされていたメッセージであるとして受理し、1を出力するステップS226。<本形態の特徴>本形態のメッセージm→、コミットメントC、コミットメント鍵ck、デコミットメント鍵Dの要素のすべてが双線形写像eを持つ群上の要素であり、本形態のコミットメント方式は群構造維持の性質を有する。よって、群構造を維持したままですべての演算ができ、暗号プロトコルへの拡張が容易である。本形態のコミットメント方式では、メッセージmの個数kの値にかかわらず、1個の検証式のみで検証処理が実行できる。さらに、メッセージの群要素の個数kに対するコミットメントCの群要素の個数がk1であり、従来方式3の群要素の個数2k2よりも小さい。よって、従来方式1,3よりも計算コスト通信コスト記憶メモリコストが低い。その他の変形例等本発明は上述の各実施形態に限定されるものではない。例えば、上述の各実施形態では、本形態の位数pが素数であり、群G1,G2の位数もpであることとした。しかし、プロトコルに要求される安全性の程度によっては、位数pが素数以外であってもよく、群G1,G2の位数がp以外であってもよい。群GTの位数もpであってもよいし、pでなくてもよい。また、上記の実施形態では各装置がネットワーク経由で通信を行うこととしたが、各装置がICカード等の可搬型記録媒体を介して情報のやり取りを行ってもよい。また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的なnontransitory記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASPApplicationServiceProvider型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるものコンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等を含むものとする。また、上記の実施形態では、コンピュータ上で所定のプログラムを実行させることにより、各装置を構成することとしたが、これらの処理内容の少なくとも一部が集積回路等のハードウェアによって実現されてもよい。"