特開 2024-131409 情報処理システム及び情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024131409

(43)【公開日】2024-09-30

(54)【発明の名称】情報処理システム及び情報処理方法

(51)【国際特許分類】

   H04L 9/32 20060101AFI20240920BHJP

【ＦＩ】

H04L9/32 200C

H04L9/32 100D

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2023041648

(22)【出願日】2023-03-16

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110001678

【氏名又は名称】藤央弁理士法人

(72)【発明者】

【氏名】川名 のん

(72)【発明者】

【氏名】高橋 健太

(72)【発明者】

【氏名】中村 渉

(57)【要約】

【課題】秘匿化されたメッセージに対する生体情報を用いた電子署名から、元のメッセージに対する電子署名を生成する。
【解決手段】第２計算機は、乱数と、ブラインドメッセージと、に基づくブラインド情報を生成して、第１計算機に送信し、第１計算機は、乱数と、ブラインド情報と、ハッシュ関数と、に基づいて、ハッシュを生成して、第２計算機に送信し、第２計算機は、ハッシュと、ブラインド情報の生成に用いられた乱数と、生体情報に基づくテンプレートと、に基づいて、ブラインドメッセージへの電子署名を生成して、第１計算機に送信し、第１計算機は、当該電子署名と、生体情報に基づく検証鍵と、に基づいて、元のメッセージへの電子署名を生成する。
【選択図】図１

【特許請求の範囲】

【請求項1】

情報処理システムであって、
第１計算機と第２計算機とを含み、
前記第１計算機は、生体情報が変換された第１テンプレートを示す検証鍵を保持し、
前記第２計算機は、乱数に基づいて秘匿化されたメッセージであるブラインドメッセージと、生体情報が変換された第２テンプレートと、を保持し、
前記第２計算機は、乱数を生成し、当該生成した乱数と、前記ブラインドメッセージと、に基づくブラインド情報を生成して、前記第１計算機に送信し、
前記第１計算機は、乱数を生成し、当該生成した乱数と、前記ブラインド情報と、所定の第１ハッシュ関数と、に基づいて、ハッシュを生成して、前記第２計算機に送信し、
前記第２計算機は、前記ハッシュと、前記ブラインド情報の生成に用いられた乱数と、前記第２テンプレートと、に基づいて、前記ブラインドメッセージへの第１電子署名を生成して、前記第１計算機に送信し、
前記第１計算機は、前記第１電子署名と、前記検証鍵と、に基づいて、前記メッセージへの第２電子署名を生成する、情報処理システム。

【請求項2】

請求項１に記載の情報処理システムであって、
第３計算機を含み、
前記第１計算機は、
ランダムベクトルを生成し、
前記第１電子署名が示す前記第２テンプレートに前記ランダムベクトルを加えたベクトルと、前記第１テンプレートと、前記検証鍵と、に基づくゼロ知識証明を生成し、
前記生成したゼロ知識証明を前記第２電子署名に含め、
前記第２電子署名を前記第３計算機に送信し、
前記第３計算機は、前記第２電子署名の検証と、前記第２電子署名が示すゼロ知識証明の検証と、を実行する、情報処理システム。

【請求項3】

請求項１に記載の情報処理システムであって、
前記メッセージｍは、所定の有限体Ｆの元であり、
前記ブラインドメッセージは、ｍ_０：＝ｍ^ｔであり、
ｔは、前記所定の有限体Ｆの乱数であり、
前記第２計算機は、
前記所定の有限体Ｆの乗法群の生成元ｇを保持し、
前記所定の有限体Ｆの乱数ｓ及び乱数ｓｋ’を生成し、
ｖｋ’：＝ｇ^ｓｋ’を算出し、
（ａ_０，ｂ_０）：＝（ｇ^ｓ，ｍ_０ ^ｓ）を算出し、
前記ブラインド情報（ｍ_０ ^ｓｋ’，ｖｋ’ａ_０，ｂ_０）を生成する、情報処理システム。

【請求項4】

請求項３に記載の情報処理システムであって、
前記第１計算機は、
前記メッセージｍと、前記所定の有限体Ｆの乗法群の生成元ｇと、前記ブラインドメッセージの生成に用いられた乱数ｔと、を保持し、
前記所定の有限体Ｆの乱数ｄ、乱数ｕ、及び乱数ｖを生成し、
前記ブラインド情報（ｍ_０ ^ｓｋ’，ｖｋ’ａ_０，ｂ_０）に基づいて、ａ：＝（ａ_０・ｇ^ｖ）^ｕと、ｂ：＝（ｂ_０ ^１／ｔ・ｍ^ｖ）^ｕと、ｖｋ^＊：＝ｖｋ’・ｇ^ｄと、ｚ：＝（ｍ_０ ^ｓｋ’）^１／ｔ，ｚ^＊：＝ｚｇ^ｄと、を算出し、
前記第１ハッシュ関数Ｈａｓｈに基づいて、ｃ：＝Ｈａｓｈ（ｍ，ａ，ｂ，ｚ＊）を算出し、
前記ハッシュｃ_０：＝ｃ／ｕを算出する、情報処理システム。

【請求項5】

請求項４に記載の情報処理システムであって、
前記第２テンプレートの生成に用いられる生体情報Ａ’は、ｎ次元実ベクトルであり、
前記第２テンプレートは、Ｃ’：＝ｘ’＋ＴＡ’であり、
ｘ’：＝ｈ_ｚ ^－１（ｓｋ’）であり、
ｈ_ｚは所定の第２ハッシュ関数であり、
前記第２計算機は、
前記ハッシュに基づいて、ｒ_０：＝ｓ＋ｃ_０・ｓｋ’を算出し、
前記第２テンプレートＣ’を含む前記第１電子署名σ＝（ｖｋ’，ｃ_０，ｒ_０，Ｃ’）を生成する、情報処理システム。

【請求項6】

請求項５に記載の情報処理システムであって、
前記第１テンプレートの生成に用いられる生体情報Ａは、ｎ次元実ベクトルであり、
前記第１テンプレートは、Ｃ：＝ｘ＋ＴＡであり、
ｘ：＝ｈ_ｚ ^－１（ｓｋ）であり、
ｓｋは前記所定の有限体Ｆの乱数であり、
前記第１計算機は、
前記第２ハッシュ関数ｈ_ｚを保持し、
ｎ次元実ベクトルであるランダムベクトルＢを生成し、
Ｃ^＊：＝Ｃ’＋Ｂと、ｒ＝（ｒ_０＋ｖ）ｕと、ｒ^＊：＝ｒ＋ｃｄと、を算出し、
Δｓｋ：＝ｈ_ｚ（Ｃ－Ｃ^＊）と、ｙ：＝ｖｋ^＊・ｇ^Δｓｋ／ｖｋと、を算出し、
ゼロ知識証明π：＝（ｙ，Δｓｋ）を算出し、
前記ゼロ知識証明πを含む前記第２電子署名σ^＊：＝（ＶＫ，ｚ^＊，ａ，ｂ，ｒ^＊，Ｃ^＊，ｖｋ^＊，π）を生成する、情報処理システム。

【請求項7】

請求項６に記載の情報処理システムであって、
第３計算機を含み、
前記第１計算機は、前記第２署名σ^＊を前記第３計算機に送信し、
前記第３計算機は、
所定の署名検証アルゴリズムと、前記第２電子署名σ^＊が示すＶＫ、ｚ＊、ａ、及びｂと、に基づく署名検証処理を実行し、
前記第２電子署名σ^＊が示すｖｋ、ｖｋ^＊、及び前記ゼロ知識証明πに基づくゼロ知識証明検証処理を実行する、情報処理システム。

【請求項8】

請求項７に記載の情報処理システムであって、
前記第３計算機は、
前記所定の有限体Ｆの乗法群の生成元ｇを保持し、
前記ゼロ知識証明検証処理において、
Ｉ＝ｖｋ^＊・ｇ^Δｓｋ／ｖｋを算出し、
Ｉ＝ｙが成立するか否かに基づいて、当該ゼロ知識証明検証処理における検証結果を決定する、情報処理システム。

【請求項9】

情報処理システムによる情報処理方法であって、
前記情報処理システムは、第１計算機と第２計算機とを含み、
前記第１計算機は、生体情報が変換された第１テンプレートを示す検証鍵を保持し、
前記第２計算機は、乱数に基づいて秘匿化されたメッセージであるブラインドメッセージと、生体情報が変換された第２テンプレートと、を保持し、
前記情報処理方法は、
前記第２計算機が、乱数を生成し、当該生成した乱数と、前記ブラインドメッセージと、に基づくブラインド情報を生成して、前記第１計算機に送信し、
前記第１計算機が、乱数を生成し、当該生成した乱数と、前記ブラインド情報と、所定の第１ハッシュ関数と、に基づいて、ハッシュを生成して、前記第２計算機に送信し、
前記第２計算機が、前記ハッシュと、前記ブラインド情報の生成に用いられた乱数と、前記第２テンプレートと、に基づいて、前記ブラインドメッセージへの第１電子署名を生成して、前記第１計算機に送信し、
前記第１計算機が、前記第１電子署名と、前記検証鍵と、に基づいて、前記メッセージへの第２電子署名を生成する、情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理システム及び情報処理方法に関する。

【背景技術】

【0002】

本技術分野の背景技術として、特開２０１３－１２３１４２号公報（特許文献１）がある。この公報には、「登録時にユーザの生体情報の特徴量に対して所定の秘密鍵を埋め込み、対応する公開鍵と組にして生体証明書を発行する。署名時にはユーザの生体情報の署名用特徴量に対して、新たに一時秘密鍵と一時公開鍵のペアを生成し、一時秘密鍵を用いてメッセージに対する署名を作成し、署名用特徴量に一時秘密鍵を埋め込んでコミットメントを作成し、前記一時公開鍵と前記署名と前記コミットメントの組を生体署名とし、生体署名検証時には署名を一時公開鍵で検証し、生体証明書とコミットメントと一時公開鍵から差分秘密鍵と差分公開鍵を生成して対応を検証する。」と記載されている（要約参照）。

【0003】

特許文献１に記載の技術は個人の生体情報を用いた電子署名をメッセージに対して付与する。これに対し、署名者にメッセージの内容を開示することなく、当該署名者が電子署名をするブラインド署名という署名方式がある。

【0004】

ブラインド署名では、秘匿化されたメッセージに対する電子署名が生成され、当該電子署名を受け取ったユーザは秘匿化されたメッセージに対する当該電子署名に基づいて、本来のメッセージに対する電子署名を生成できる。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１３－１２３１４２号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

特許文献１には、秘匿化されたメッセージに署名者の生体情報を用いた電子署名を付与したものをユーザに返す場合に、ユーザが当該電子署名から元のメッセージに対する電子署名を生成する方法については記載されておらず、メッセージに匿名性を持たせることができない。

【0007】

そこで、本発明の一態様は、秘匿化されたメッセージに対する生体情報を用いた電子署名から、元のメッセージに対する電子署名を生成する。

【課題を解決するための手段】

【0008】

上記課題を解決するため本発明の一態様は以下の構成を採用する。情報処理システムは、第１計算機と第２計算機とを含み、前記第１計算機は、生体情報が変換された第１テンプレートを示す検証鍵を保持し、前記第２計算機は、乱数に基づいて秘匿化されたメッセージであるブラインドメッセージと、生体情報が変換された第２テンプレートと、を保持し、前記第２計算機は、乱数を生成し、当該生成した乱数と、前記ブラインドメッセージと、に基づくブラインド情報を生成して、前記第１計算機に送信し、前記第１計算機は、乱数を生成し、当該生成した乱数と、前記ブラインド情報と、所定の第１ハッシュ関数と、に基づいて、ハッシュを生成して、前記第２計算機に送信し、前記第２計算機は、前記ハッシュと、前記ブラインド情報の生成に用いられた乱数と、前記第２テンプレートと、に基づいて、前記ブラインドメッセージへの第１電子署名を生成して、前記第１計算機に送信し、前記第１計算機は、前記第１電子署名と、前記検証鍵と、に基づいて、前記メッセージへの第２電子署名を生成する。

【発明の効果】

【0009】

本発明の一態様によれば、秘匿化されたメッセージに対する生体情報を用いた電子署名から、元のメッセージに対する電子署名を生成することができる。

【0010】

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0011】

【図1】実施例１における署名生成／検証システムの構成例を示すブロック図である。

【図2】実施例１におけるユーザ端末のハードウェア構成例を示すブロック図である。

【図3】実施例１における生体情報を用いたブラインド署名が適用された電子投票処理の一例を示すシーケンス図である。

【図4】実施例１における検証鍵生成処理の一例を示すフローチャートである。

【図5】実施例１におけるブラインド処理の一例を示すフローチャートである。

【図6】実施例１におけるブラインド情報生成処理の一例を示すフローチャートである。

【図7】実施例１におけるハッシュ生成処理の一例を示すフローチャートである。

【図8】実施例１における電子署名生成処理の一例を示すフローチャートである。

【図9】実施例１におけるブラインド署名生成処理の一例を示すフローチャートである。

【図10】実施例１におけるブラインド署名検証処理の一例を示すフローチャートである。

【図11】実施例１におけるゼロ知識証明検証処理の一例を示すフローチャートである。

【発明を実施するための形態】

【0012】

以下、本発明の実施形態を添付図面に基づいて説明する。本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。

【0013】

本実施形態では、生体情報を用いたブラインド署名が適用された電子投票について説明する。投票者によって利用されるユーザ端末は、投票内容を示すメッセージをブラインド化（秘匿化）して、投票立会人によって利用される署名者端末に送付する。署名者端末は投票内容が見えない状態のまま署名者（投票立会人）の生体情報を用いた電子署名を生成し、生成した電子署名をユーザ端末に送信する。

【0014】

ユーザ端末は受信した署名に基づいて、元の投票内容を示すメッセージへの署名を生成し、当該生成した署名を、開票者によって利用される検証者端末に送信する。検証者端末は、受信した署名の検証を行い、正しいものであると確認が取れたら投票内容を投票結果に反映する。

【実施例0015】

図１は、署名生成／検証システムの構成例を示すブロック図である。署名生成／検証システム（情報処理システムの一例）は、例えば、ブラインド化したメッセージに対して生体情報を秘密鍵とした電子署名を行い、署名者とユーザが生成した乱数を用いた計算式からハッシュを生成し、そのハッシュに基づいたブラインド署名の構成と、署名の検証を行う。

【0016】

署名生成／検証システムは、例えば、ユーザ端末１００（第１計算機の一例）、署名者端末２００（第２計算機の一例）、及び検証者端末３００（第３計算機の一例）を含み、これらの端末はインターネット等のネットワーク４００によって相互に接続される。

【0017】

ユーザ端末１００は、例えば、いずれも機能部である、ブラインド処理部１０１、ハッシュ生成部１０２、及びブラインド署名生成部１０３を含む。署名者端末２００は、例えば、いずれも機能部である、検証鍵生成部２０１、ブラインド情報生成部２０２、及び電子署名生成部２０３を含む。検証者端末３００は、例えば、機能部であるブラインド署名検証部３０１を含む。

【0018】

ブラインド処理部１０１は、メッセージをブラインド化する。以下、ブラインド化されたメッセージを単にブラインドメッセージとも呼ぶ。ハッシュ生成部１０２は、乱数を用いた計算式に基づいたハッシュを生成する。

【0019】

検証鍵生成部２０１は、署名者の生体情報に基づく検証鍵を生成する。ブラインド情報生成部２０２は、ハッシュ生成部１０２がハッシュを生成する際に利用されるブラインド情報を生成する。電子署名生成部２０３は、ユーザ端末１００が生成したハッシュと、署名書の生体情報と、を用いて署名を生成する。

【0020】

ブラインド署名生成部１０３は、電子署名生成部２０３が生成した署名を用いて、元のメッセージ（即ちブラインド化される前のメッセージ）に対するブラインド署名を生成する。ブラインド署名検証部３０１は、ブラインド署名生成部１０３が生成したブラインド署名を検証する。

【0021】

図２は、ユーザ端末１００のハードウェア構成例を示すブロック図である。ユーザ端末１００は、例えば、内部信号線１００－４を介して接続された、ＣＰＵ１００－１と、補助記憶装置１００－２と、メモリ１００－３と、入出力インターフェース１００－５と、通信装置１００－６と、生体情報取得センサ１００－７と、を含む計算機によって構成される。

【0022】

ＣＰＵ１００－１はプロセッサを含み、メモリ１００－３に格納されたプログラムを実行する。メモリ１００－３は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ１００－１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

【0023】

補助記憶装置１００－２は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ１００－１が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。すなわち、プログラムは、補助記憶装置１００－２から読み出されて、メモリ１００－３にロードされて、ＣＰＵ１００－１によって実行される。

【0024】

入出力インターフェース１００－５は、キーボードやマウスなどの入力装置が接続され、ユーザからの入力を受けるインターフェースや、ディスプレイ装置やプリンタなどの出力装置が接続され、プログラムの実行結果をユーザが視認可能な形式で出力するインターフェースなどを含む。

【0025】

通信装置１００－６は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置である。また、通信装置１００－６は、例えば、ＵＳＢ（Ｕｎｉｖｅｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）等のシリアルインターフェースを含んでもよい。

【0026】

ＣＰＵ１００－１が実行するプログラムは、リムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又はネットワーク４００を介してユーザ端末１００に提供され、非一時的記憶媒体である不揮発性の補助記憶装置１００－２に格納される。このため、ユーザ端末１００は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。

【0027】

生体情報取得センサ１００－７はユーザの生体情報を取得するセンサであり、例えば、指紋センサ、静脈センサ等を介して、手の指紋や皺、手の静脈といったユーザの生体情報を取得するセンサである。なお、ユーザ端末１００を構成する計算機は、生体情報取得センサ１００－７を含まなくてもよい。

【0028】

なお、署名者端末２００のハードウェア構成はユーザ端末１００のハードウェア構成と同様であり、検証者端末３００は生体情報取得センサ１００－７を含まなくてもよい点を除いて、ユーザ端末１００のハードウェア構成と同様であるため、説明を省略する。

【0029】

前述したユーザ端末１００の機能部は、ユーザ端末１００のＣＰＵ１００－１に含まれる。ユーザ端末１００のＣＰＵ１００－１は、ユーザ端末１００のメモリ１００－３にロードされたブラインド処理プログラムに従って動作することで、ブラインド処理部１０１として機能し、ユーザ端末１００のメモリ１００－３にロードされたハッシュ生成プログラムに従って動作することで、ハッシュ生成部１０２として機能する。

【0030】

なお、ユーザ端末１００に含まれる他の機能部、署名者端末２００に含まれる機能部、及び検証者端末３００に含まれる機能部についても、各機能部を実現するプログラムとＣＰＵ１００－１との関係は同様であるため、説明を省略する。

【0031】

なお、ユーザ端末１００に含まれる他の機能部、署名者端末２００に含まれる機能部、及び検証者端末３００に含まれる機能部による機能の一部又は全部が、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアによって実現されてもよい。

【0032】

なお、本実施形態において、署名生成／検証システムが使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。例えば、テーブル、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

【0033】

また、ユーザ端末１００は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。これは、署名者端末２００及び検証者端末３００についても同様である。

【0034】

図３は、生体情報を用いたブラインド署名が適用された電子投票処理の一例を示すシーケンス図である。図３の例では、ユーザ端末１００は投票者によって利用され、署名者端末２００は投票立会人によって利用され（つまり投票立会人は署名者の一例である）、検証者端末３００は開票者によって利用される（つまり開票者の検証者一例である）。

【0035】

ユーザ端末１００は、例えば入出力インターフェース１００－５に接続された入力装置への入力に従って、投票内容を示すメッセージｍと、投票者の身分証明情報と、を取得し（Ｓ１００）、取得した身分証明情報を署名者端末２００に送信する。

【0036】

身分証明情報は、投票者が投票権を有することを示す情報を含む。署名者端末２００は、身分証明情報に基づいて投票者が投票権を有することを確認できた場合には、後述するステップＳ２１０以降の処理を行う。

【0037】

なお、ステップＳ２１０において署名者端末２００が検証鍵ＶＫを生成して、ユーザ端末１００に送信する処理については、ステップＳ１００の処理よりも前に予め実行されてもよい。

【0038】

なお、ユーザ端末１００は、例えば公開鍵暗号等のアルゴリズムで身分証明情報を暗号化して、署名者端末２００に送信するとよい。この場合、ユーザ端末１００は身分証明情報を暗号化するための暗号化鍵を予め保持し、署名者端末２００は当該暗号化鍵に対応する復号化鍵を予め保持している。

【0039】

また、ユーザ端末１００は、身分証明情報の取得及び送信に代えて又は加えて、署名者端末２００との間で所定のアルゴリズムによる認証（例えば、パスワード認証、生体認証等）を実行することで、投票者が正当な投票権を有することを証明してもよい。

【0040】

まず、署名者端末２００は、検証鍵生成処理を実行する（Ｓ２１０）。検証鍵生成処理において、署名者端末２００は、検証鍵ＶＫを生成し、生成した検証鍵ＶＫと、検証鍵ＶＫの生成に用いた有限体Ｆの乗法群の生成元ｇ及びハッシュ関数ｈ_ｚ（詳細は後述する）と、をユーザ端末１００に送信する。検証鍵生成処理の詳細については図４を用いて後述する。

【0041】

ユーザ端末１００はブラインド処理を実行する（Ｓ１１０）。ブラインド処理において、ユーザ端末１００は、投票内容を示すメッセージｍと、乱数と、に基づいて、当該投票内容を秘匿したブラインドメッセージｍ_０を生成し、生成したブラインドメッセージｍ_０を署名者端末２００に送信する。ブラインド処理の詳細については図５を用いて後述する。

【0042】

署名者端末２００は、ブラインド情報生成処理を実行する（Ｓ２２０）。ブラインド情報生成処理において、署名者端末２００は、署名鍵と乱数とに基づいて、ブラインド情報（ｍ_０ ^ｓｋ’，ｖｋ’，ａ_０，ｂ_０）を生成し、生成したブラインド情報をユーザ端末１００に送信する。ブラインド情報生成処理の詳細については図６を用いて後述する。

【0043】

ユーザ端末１００はハッシュ生成処理を実行する（Ｓ１２０）。ハッシュ生成処理において、ユーザ端末１００は、ブラインド情報と乱数とに基づくハッシュｃ_０を生成し、生成したハッシュｃ_０を署名者端末２００に送信する。ハッシュ生成処理の詳細については図７を用いて後述する。

【0044】

署名者端末２００は、電子署名生成処理を実行する（Ｓ２３０）。電子署名生成処理において、署名者端末２００は、投票立会人（署名書）の生体情報に基づいてブラインドメッセージｍ_０に対する電子署名σ（第１電子署名の一例）を生成し、生成した電子署名σをユーザ端末１００に送信する。電子署名生成処理の詳細については図８を用いて後述する。

【0045】

ユーザ端末１００は、ブラインド署名生成処理を実行する（Ｓ１３０）。ブラインド署名生成処理において、ユーザ端末１００は、ブラインドメッセージｍ_０に対する電子署名σに基づいて（ブラインドメッセージｍ_０の生成に用いられた乱数を電子署名σから除去することで）、ブラインド化されていない投票内容を示すメッセージｍに対するブラインド署名σ^＊を生成し、メッセージｍと、ブラインド署名σ^＊と、を検証者端末３００に送信する。ブラインド署名生成処理の詳細については図９を用いて後述する。

【0046】

検証者端末３００は、ブラインド署名検証処理を実行する（Ｓ３１０）。ブラインド署名検証処理において、検証者端末３００は、ブラインド署名σ^＊（第２電子署名の一例）が投票立会人の生体情報（に基づく電子署名σ）から生成されたことを検証する後述の署名検証処理と、電子署名σはブラインドメッセージｍ_０に対して生成されたこと（即ち元のメッセージｍが用いられずに生成されたこと）を検証する後述のゼロ知識証明検証処理と、を実行する。ブラインド署名検証処理の詳細については図１０を用いて後述する。

【0047】

検証者端末３００は、ブラインド署名検証処理に成功した場合にはメッセージｍが示す投票内容が有効であると判定して、当該投票内容を採用して投票結果に反映し、ブラインド署名検証処理に失敗した場合にはメッセージｍが示す投票内容が無効であると判定して、当該投票内容を破棄する。

【0048】

上記したように、図３に示す電子投票処理において、署名者端末２００は投票者の身分証明情報を取得するものの元のメッセージｍを取得することなく、ブラインドメッセージｍ_０に対する生体署名を生成する。

【0049】

これにより、投票者が正当な投票権を有することを投票立会人が確認でき、かつ投票内容を投票立会人に知られることなく、投票者は、ブラインドメッセージｍ_０に対する投票立会人の生体情報に基づく生体署名を得られる。

【0050】

また、上記したように図３に示す電子投票処理において、検証者端末３００は、投票者の身分証明情報を取得することなく、ブラインド署名の検証を行う。

【0051】

これにより、投票者の身分証明情報を開票者に知られることなく、投票内容に対して正当な投票立会人による生体署名が付与されたこと、及び当該正当な投票立会人が元の投票内容を知ることなく当該生体署名を付与したこと、を開票者は検証することができる。

【0052】

図４は、ステップＳ２１０における検証鍵生成処理の一例を示すフローチャートである。署名者端末２００の検証鍵生成部２０１は、署名者本人の生体情報Ａ、実数定数Ｔ、有限体Ｆの乗法群の生成元ｇを設定する（Ｓ２１１）。

【0053】

但し、生体情報Ａは、例えば、ｎ次元実ベクトル空間の元である。なお、例えば、生体情報Ａは、署名者端末２００の生体情報取得センサ１００－７を介して取得される。また、例えば、次元ｎ、実数定数Ｔ、有限体Ｆ、及び有限体Ｆの生成元ｇは予め定められている（即ちこれらを示す情報が、署名者端末２００の補助記憶装置１００－２及び／又はメモリ１００－３に予め格納されている）。

【0054】

検証鍵生成部２０１は、署名者の鍵生成処理を実行する（Ｓ２１２）。具体的には、例えば、検証鍵生成部２０１は、有限体Ｆ内の乱数ｓｋを生成してｖｋ：＝ｇ^ｓｋを算出し、関数ｈ_ｚを用いて、ｘ：＝ｈ_ｚ ^－１（ｓｋ）を算出し、公開テンプレートＣ：＝ｘ＋ＴＡを算出し、検証鍵ＶＫ：＝（ｖｋ，Ｃ）を生成する。但し、関数ｈ_ｚは有限体Ｆ上のｎ次元ベクトル空間から有限体Ｆ（又はｎ次元実ベクトル空間から有限体Ｆ）へのハッシュ関数であり予め定められている。

【0055】

検証鍵生成部２０１は、検証鍵ＶＫと、有限体Ｆの生成元ｇと、関数ｈ_ｚと、をユーザ端末１００に送信して（Ｓ２１３）、検証鍵生成処理を終了する。

【0056】

なお、ユーザ端末１００は、後述するステップＳ１２１の処理において有限体Ｆの生成元ｇを用いるため、検証鍵生成部２０１は、有限体Ｆの生成元ｇをステップＳ１２１の処理が開始するまでにユーザ端末１００に送信すればよく、必ずしもステップＳ２１３において送信しなくてもよい。

【0057】

また、ユーザ端末１００は、後述するステップＳ１３２の処理において関数ｈ_ｚを用いるため、検証鍵生成部２０１は、関数ｈ_ｚをステップＳ１３２の処理が開始するまでにユーザ端末１００に送信すればよく、必ずしもステップＳ２１３において送信しなくてもよい。

【0058】

なお、検証鍵生成部２０１は、異なるユーザ端末１００に対して同じ検証鍵ＶＫを配布してもよいし、ユーザ端末１００ごとに異なる検証鍵を配布してもよい（即ちユーザ端末１００ごとにステップＳ２１０の検証鍵生成処理を実行してもよい）。

【0059】

図５は、ステップＳ１１０におけるブラインド処理の一例を示すフローチャートである。ユーザ端末１００のブラインド処理部１０１は、ステップＳ１００で取得した投票内容を示すメッセージｍを読み込む（Ｓ１１１）。なお、メッセージｍは有限体Ｆの元である。

【0060】

ブラインド処理部１０１は、有限体Ｆ内の乱数ｔを生成し、ｍ_０：＝ｍ^ｔを算出する（Ｓ１１２）。なお、有限体Ｆは予め定められている。ブラインド処理部１０１は、ブラインドメッセージｍ_０を署名者端末２００に送信して（Ｓ１１３）、ブラインド処理を終了する。

【0061】

図６は、ステップＳ２２０におけるブラインド情報生成処理の一例を示すフローチャートである。署名者端末２００のブラインド情報生成部２０２は、署名鍵生成処理を実行する（Ｓ２２１）。

【0062】

具体的には、例えば、ブラインド情報生成部２０２は、署名者端末２００の生体情報取得センサ１００－７を介して署名生成時の署名者の生体情報Ａ’を取得し、ステップＳ１１３で送信されたブラインドメッセージｍ_０を読み込む。

【0063】

なお、本実施例のブラインド署名が適切に付与されるためには、生体情報Ａ’と生体情報Ａと、が同じ署名者から取得された同種の生体情報（例えば、同じ部位から取得された同種の特徴量）である必要がある。

【0064】

ステップＳ２２１において、さらに、ブラインド情報生成部２０２は、例えば、有限体Ｆ内の乱数ｓｋ’を生成し、署名生成時の署名鍵ｖｋ’：＝ｇ^ｓｋ’と、ｘ’：＝ｈ_ｚ ^－１（ｓｋ’）と、署名生成時のテンプレートＣ’：＝ｘ’＋ＴＡ’と、を算出する。

【0065】

ブラインド情報生成部２０２は、乱数生成処理を実行する（Ｓ２２２）。具体的には、例えば、ブラインド情報生成部２０２は、有限体Ｆ内の乱数ｓを生成し、（ａ_０，ｂ_０）：＝（ｇ^ｓ，ｍ_０ ^ｓ）を算出し、ブラインド情報（ｍ_０ ^ｓｋ’，ｖｋ’ａ_０，ｂ_０）を生成する（Ｓ２２２）。

【0066】

ブラインド情報生成部２０２は、ブラインド情報（ｍ_０ ^ｓｋ’，ｖｋ’ａ_０，ｂ_０）をユーザ端末１００に送信して（Ｓ２２３）、ブラインド情報生成処理を終了する。

【0067】

図７は、ステップＳ１２０におけるハッシュ生成処理の一例を示すフローチャートである。ユーザ端末１００のハッシュ生成部１０２は、ハッシュ生成処理を実行する（Ｓ１２１）。

【0068】

具体的には、例えば、ハッシュ生成部１０２は、有限体Ｆ内の乱数ｄ，ｕ，ｖを生成し、署名者端末２００がステップＳ２２０の署名鍵生成処理で生成した（ａ_０，ｂ_０）と（ｍ_０ ^ｓｋ’，ｖｋ’）を用いて、ａ：＝（ａ_０・ｇ^ｖ）^ｕ，ｂ：＝（ｂ_０ ^１／ｔ・ｍ^ｖ）^ｕ，ｖｋ^＊：＝ｖｋ’・ｇ^ｄ，ｚ：＝（ｍ_０ ^ｓｋ’）^１／ｔ，ｚ^＊：＝ｚｇ^ｄを算出し、さらにｃ：＝Ｈａｓｈ（ｍ，ａ，ｂ，ｚ^＊）を算出する。

【0069】

なお、Ｈａｓｈは、有限体Ｆの４つの元を要素として有するベクトルが入力されると、有限体Ｆの元を出力するハッシュ関数であり、予め定められている。ハッシュ生成部１０２は、ハッシュｃ_０：＝ｃ／ｕを署名者端末２００に送信して（Ｓ１２２）、ハッシュ生成処理を終了する。

【0070】

図８は、ステップＳ２３０における電子署名生成処理の一例を示すフローチャートである。署名者端末２００の電子署名生成部２０３は、ステップＳ２２０のブラインド情報生成処理で得られた、ｓｋ’，ｖｋ’，Ｃ’，乱数ｓを読み込む（Ｓ２３１）。

【0071】

電子署名生成部２０３は、ｒ_０：＝ｓ＋ｃ_０・ｓｋ’を算出し、σ＝（ｖｋ’，ｃ_０，ｒ_０，Ｃ’）を生成する（Ｓ２３２）。電子署名生成部２０３は、ブラインドメッセージｍ_０に対する電子署名σをユーザ端末１００に送信して（Ｓ２３３）、電子署名生成処理を終了する。上記した処理により、署名者端末２００は、メッセージｍを得ることなく、ブラインドメッセージｍ_０に対する、署名者の生体情報に基づく電子署名σを生成することができる。

【0072】

図９は、ステップＳ１３０におけるブラインド署名生成処理の一例を示すフローチャートである。ユーザ端末１００のブラインド署名生成部１０３は、ｎ次元実ベクトル空間内のランダムベクトルＢを生成し、電子署名σを参照してＣ^＊：＝Ｃ’＋Ｂと、ｒ＝（ｒ_０＋ｖ）ｕと、を算出し、さらにｒ^＊：＝ｒ＋ｃｄを算出する（Ｓ１３１）。

【0073】

ブラインド署名生成部１０３は、Δｓｋ：＝ｈ_ｚ（Ｃ－Ｃ^＊）を算出し、ｙ：＝ｖｋ^＊・ｇ^Δｓｋ／ｖｋを算出し、さらにゼロ知識証明π：＝（ｙ，Δｓｋ）を算出する（Ｓ１３２）。ブラインド署名生成部１０３は、メッセージｍへの署名としてσ^＊：＝（ＶＫ，ｚ^＊，ａ，ｂ，ｒ^＊，Ｃ^＊，ｖｋ^＊，π）を生成する（Ｓ１３３）。ブラインド署名生成部１０３は、メッセージｍと、ブラインド署名σ^＊：＝（ＶＫ，ｚ^＊，ａ，ｂ，ｒ^＊，Ｃ^＊，ｖｋ^＊，π）と、を検証者端末３００に送信して（Ｓ１３４）、ブラインド署名生成処理を終了する。

【0074】

上記した処理により、ユーザ端末１００は、署名者端末２００が生成したメッセージｍに対する電子署名σから、ブラインドメッセージｍ_０を生成するために用いられた乱数ｔに関する情報が除去されたブラインド署名σ^＊（つまりメッセージｍに対する署名）であって、署名者の生体情報に基づくσ^＊を生成することができる。

【0075】

図１０は、ステップＳ３１０におけるブラインド署名検証処理の一例を示すフローチャートである。検証者端末３００のブラインド署名検証部３０１は、署名検証処理を実行して署名検証結果を取得する（Ｓ３１１）。具体的には、例えば、ブラインド署名検証部３０１は、ブラインド署名σ^＊に含まれるＶＫ，ｚ^＊，ａ，ｂを用いて所定のアルゴリズムによる署名検証処理（例えば、Ｓｃｈｎｏｒｒ署名検証処理）を実行する。

【0076】

ブラインド署名検証部３０１は、ステップＳ３１１における署名検証結果が成功であるか失敗であるか判定する（Ｓ３１２）。ブラインド署名検証部３０１は、署名検証結果が失敗であると判定した場合（Ｓ３１２：失敗）、［ｆａｌｓｅ］を出力して（Ｓ３１６）、ブラインド署名検証処理を終了する。

【0077】

ブラインド署名検証部３０１は、署名検証結果が成功であると判定した場合（Ｓ３１２：成功）、ゼロ知識証明検証処理を実行してゼロ知識証明検証結果を取得する（Ｓ３１３）。ステップＳ３１３におけるゼロ知識証明処理の詳細は図１１を用いて後述する。

【0078】

ブラインド署名検証部３０１は、ステップＳ３１３におけるゼロ知識証明検証結果が成功であるか失敗であるか判定する（Ｓ３１４）。ブラインド署名検証部３０１は、ゼロ知識証明検証結果が成功であると判定した場合（Ｓ３１４：成功）、［Ｔｒｕｅ］を出力して（Ｓ３１５）、ブラインド署名検証処理を終了する。

【0079】

ブラインド署名検証部３０１は、ゼロ知識証明検証結果が失敗であると判定した場合（Ｓ３１４：失敗）、［Ｆａｌｓｅ］を出力して（Ｓ３１６）、ブラインド署名検証処理を終了する。

【0080】

なお、ブラインド署名検証部３０１は、［Ｔｒｕｅ］を出力した場合（即ちステップＳ３１１の署名検証処理と、ステップＳ３１３のゼロ知識証明検証処理と、の双方が成功であった場合）には、メッセージｍが示す投票内容が有効であると判定して、当該投票内容を採用して投票結果に反映する。

【0081】

また、ブラインド署名検証部３０１は、［Ｆａｌｓｅ］を出力した場合ブラインド署名検証処理に失敗した場合（即ちステップＳ３１１の署名検証処理と、ステップＳ３１３のゼロ知識証明検証処理と、の少なくとも一方が失敗であった場合）には、メッセージｍが示す投票内容が無効であると判定して、当該投票内容を破棄する。

【0082】

図１１は、ステップＳ３１３におけるゼロ知識証明検証処理の一例を示すフローチャートである。検証者端末３００のブラインド署名検証部３０１は、ブラインド署名σ^＊に含まれるπ＝（ｙ，Δｓｋ）、ｖｋ、及びｖｋ^＊を用いて（ｖｋはσ^＊内のＶＫに含まれている）、Ｉ＝ｖｋ^＊・ｇ^Δｓｋ／ｖｋを算出する（Ｓ３１３１）。但し、検証者端末３００の補助記憶装置１００－２及び／又はメモリ１００－３に、有限体Ｆの乗法群の生成元ｇの値が予め格納されているものとする。

【0083】

ブラインド署名検証部３０１は、Ｉ＝ｙが成立するかを判定する（Ｓ３１３２）。ブラインド署名検証部３０１は、Ｉ＝ｙが成立すると判定した場合（Ｓ３１３２：ＹＥＳ）、ゼロ知識証明検証結果として「成功」を出力して（Ｓ３１３３）、ゼロ知識証明検証処理を終了する。

【0084】

ブラインド署名検証部３０１は、Ｉ＝ｙが成立しないと判定した場合（Ｓ３１３２：ＮＯ）、ゼロ知識証明検証結果として「失敗」を出力して（Ｓ３１３４）、ゼロ知識証明検証処理を終了する。

【0085】

以上、本実施形態の署名生成／検証システムでは、署名者端末２００が元のメッセージを取得することなくブラインドメッセージに対する（署名者の生体情報に基づく）生体署名を生成し、ユーザ端末１００が当該電子署名から、元のメッセージに対する（署名者の生体情報に基づく）生体署名を生成することができる。

【0086】

なお、本実施形態では、生体情報を用いたブラインド署名が電子投票処理に適用されるユースケースについて説明したが、従来のブラインド署名が適用される任意のユースケースに対して、本実施形態における生体情報を用いたブラインド署名を適用することができる。

【0087】

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

【0088】

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

【0089】

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

【符号の説明】

【0090】

１００ ユーザ端末、１００－１ ＣＰＵ、１００－２ 補助記憶装置、１００－３ メモリ、１００－５ 入出力インターフェース、１００－６ 通信装置、１００－７ 生体情報取得センサ、１０１ ブラインド処理部、１０２ ハッシュ生成部、１０３ ブラインド署名生成部、２００ 署名者端末、２０１ 検証鍵生成部、２０２ ブラインド情報生成部、２０３ 電子署名生成部、３００ 検証者端末検、３０１ ブラインド署名検証部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】