特許7557778 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

▶ 株式会社国際電気通信基礎技術研究所の特許一覧

特許7557778分散追跡型グループ署名処理方法、および、プログラム

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-09-19

(45)【発行日】2024-09-30

(54)【発明の名称】分散追跡型グループ署名処理方法、および、プログラム

(51)【国際特許分類】

H04L 9/32 20060101AFI20240920BHJP

【ＦＩ】

H04L9/32 200C

H04L9/32 200E

H04L9/32 200B

【請求項の数】 5

(21)【出願番号】P 2021003219

(22)【出願日】2021-01-13

(65)【公開番号】P2022108319

(43)【公開日】2022-07-26

【審査請求日】2023-12-13

(73)【特許権者】

【識別番号】393031586

【氏名又は名称】株式会社国際電気通信基礎技術研究所

(74)【代理人】

【識別番号】100143498

【弁理士】

【氏名又は名称】中西健

(74)【代理人】

【識別番号】100136319

【弁理士】

【氏名又は名称】北原宏修

(74)【代理人】

【識別番号】100148275

【弁理士】

【氏名又は名称】山内聡

(74)【代理人】

【識別番号】100142745

【弁理士】

【氏名又は名称】伊藤世子

(72)【発明者】

【氏名】ペレーラマハラゲニサンサラセウワンディ

(72)【発明者】

【氏名】中村徹

(72)【発明者】

【氏名】橋本真幸

(72)【発明者】

【氏名】横山浩之

【審査官】金沢史明

(56)【参考文献】

【文献】特開２０１２－０３２９５２（ＪＰ，Ａ）

【文献】国際公開第２０２０／０５３９９４（ＷＯ，Ａ１）

【文献】江村恵太, 他，公開鍵長が定数である完全匿名な検証者ローカル失効グループ署名，2020年暗号と情報セキュリティシンポジウム(SCIS2020)，2020年01月，2A2-3，pp. 1-8

【文献】LING, San et al.，Group Signatures from Lattices: Simpler, Tighter, Shorter, Ring-based，Cryptology ePrint Archive，2015年，Paper 2015/014，pp.1-26，[2024年5月31日検索], インターネット＜URL: https://eprint.iacr.org/2015/014＞

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ９／３２

Ｇ０９Ｃ１／００

(57)【特許請求の範囲】

【請求項1】

鍵生成装置と、グループユーザー用装置と、検証装置と、追跡装置と、を備える分散追跡型グループ署名処理システムを用いて実行され、複数のグループユーザーを含むグループを対象とするＩＤベースグループ署名処理を行うとともに、複数の追跡機関による追跡処理を分散して行う分散追跡型グループ署名処理方法であって、
前記鍵生成装置が、公開鍵暗号方式により鍵を生成するステップであって、（１）ゼロ知識証明用共通ステートメントｃｒｓと、（２）グループ管理用公開鍵およびグループ管理用秘密鍵のペアであるグループ管理用鍵ペアと、（３）前記複数の追跡機関のそれぞれの追跡用公開鍵および追跡用秘密鍵の鍵ペアである追跡用鍵ペアと、（４）前記複数のグループユーザーのそれぞれのグループユーザー用公開鍵およびグループユーザー用秘密鍵の鍵ペアであるグループユーザー用鍵ペアとを生成する鍵生成ステップと、
前記グループユーザー用装置が、前記グループユーザー用秘密鍵により、メッセージＭに対して署名処理を実行することでグループユーザー署名ｓを取得し、
少なくとも前記グループユーザーを特定するためのデータであるグループユーザー識別子と、当該グループユーザー識別子に対応するグループユーザーのグループユーザー用公開鍵と、前記グループユーザー署名ｓとを含むセットデータに対して、前記グループユーザーにより選択された前記追跡機関の追跡用公開鍵である選択追跡用公開鍵による暗号化処理を行うことで、署名データの暗号化データＣを取得する署名データ暗号化ステップと、
前記グループユーザー用装置が、前記共通ステートメントｃｒｓを用いてゼロ知識証明データΠを生成するステップであって、（１）少なくとも前記選択追跡用公開鍵と、前記メッセージＭと、前記署名データの暗号化データＣとを含むセットデータをゼロ知識証明のためのステートメントとし、（２）少なくとも、前記グループユーザー識別子と、前記グループユーザー用公開鍵と、前記グループユーザー署名ｓとを含むセットデータをゼロ知識証明のためのウィットネスとすることで、前記ゼロ知識証明データΠを生成するゼロ知識証明生成ステップと、
前記検証装置が、前記ゼロ知識証明生成ステップにより生成された前記ゼロ知識証明データΠの検証を行う検証処理ステップと、
前記追跡装置が、前記選択追跡用公開鍵のペアである追跡用秘密鍵により、前記署名データの暗号化データＣを復号することで、前記署名データの暗号化データＣを生成したグループユーザーのグループユーザー識別子を特定する追跡処理ステップと、
を備える分散追跡型グループ署名処理方法。

【請求項2】

鍵生成装置と、グループユーザー用装置と、検証装置と、追跡装置と、を備える分散追跡型グループ署名処理システムを用いて実行され、複数のグループユーザーを含むグループを対象とするＩＤベースグループ署名処理を行うとともに、複数の追跡機関による追跡処理を分散して行う分散追跡型グループ署名処理方法であって、
前記鍵生成装置が、公開鍵暗号方式である格子暗号方式により鍵を生成するステップであって、格子を規定する行列Ａと、当該行列Ａから導出されるグループ管理用トラップドアーＴ_Ａと、検証用行列Ａ_０，．．．，Ａ_Ｌ（Ｌ：自然数）と、追跡機関を特定するための行列Ｆ_ｉと、当該行列Ｆ_ｉから導出される追跡処理用トラップドアーＴ_Ｆｉとを取得し、
グループユーザーを特定するグループユーザー識別子ｄと、前記行列Ａと、前記検証用行列Ａ_０，．．．，Ａ_Ｌとにより、グループユーザー識別子ｄ用行列Ａ_ｄを算出し、当該行列Ａ_ｄからグループユーザー識別子ｄ用のトラップドアーＴ_Ａｄを取得し、
前記グループユーザー識別子ｄ用のトラップドアーＴ_Ａｄと、行列Ａ_ｄとに基づいて、前記グループユーザー識別子ｄ用の秘密鍵データｚを取得する鍵生成ステップと、
前記グループユーザー用装置が、前記グループユーザーにより選択された追跡機関を示す行列Ｆ_ｉを行列Ｆとし、グループユーザー識別子ｄを暗号化するための行列Ｇ、ベクトルｓ、ベクトルｅ_１、ベクトルｅ_２を取得し、
ベクトルｓ、ベクトルｅ_１を用いて、行列Ｆを暗号化することで第１暗号化データｃ_１を取得し、
前記行列Ｇ、ベクトルｓ、ベクトルｅ_２を用いて、前記グループユーザー識別子ｄを暗号化することで第２暗号化データｃ_２を取得する署名データ暗号化ステップと、
前記グループユーザー用装置が、グループユーザー識別子ｄと、前記グループユーザー識別子ｄ用の秘密鍵データｚと、ベクトルｓ、ベクトルｅ_１およびベクトルｅ_２を含むベクトルｅとをウィットネスとすることで、前記第１暗号化データｃ_１および第２暗号化データｃ_２についてのゼロ知識証明データΠを生成するゼロ知識証明生成ステップと、
前記検証装置が、前記ゼロ知識証明生成ステップにより生成された前記ゼロ知識証明データΠの検証を行う検証処理ステップと、
前記追跡装置が、前記グループユーザー識別子ｄを暗号化するための行列Ｇと、選択された追跡機関を示す行列Ｆと、当該行列ＦのトラップドアーＴ_Ｆとに基づいて、比較用行列Ｙを取得し、
当該行列Ｙと、前記第１暗号化データｃ_１および前記第２暗号化データｃ_２とを用いて復号データｄ’を取得し、
当該復号データｄ’を構成する各ビットの値を、格子を規定する剰余系の法とする素数ｑの半分の値と比較することで特定することで、前記第１暗号化データｃ_１および前記第２暗号化データｃ_２を生成したグループユーザーのグループユーザー識別子ｄを特定する追跡処理ステップと、
を備える分散追跡型グループ署名処理方法。

【請求項3】

鍵生成装置と、グループユーザー用装置と、検証装置と、追跡装置と、を備える分散追跡型グループ署名処理システムを用いて実行され、複数のグループユーザーを含むグループを対象とする属性ベースグループ署名処理を行うとともに、複数の追跡機関による追跡処理を分散して行う分散追跡型グループ署名処理方法であって、
前記鍵生成装置が、公開鍵暗号方式により鍵を生成するステップであって、（１）ゼロ知識証明用共通ステートメントｃｒｓと、（２）グループ管理用公開鍵およびグループ管理用秘密鍵のペアであるグループ管理用鍵ペアと、（３）前記複数のグループユーザーのそれぞれのグループユーザー用公開鍵およびグループユーザー用秘密鍵の鍵ペアであるグループユーザー用鍵ペアとを生成するとともに、前記追跡機関の備えうる属性Ａｔｔを設定する鍵生成ステップと、
前記グループユーザー用装置が、前記グループユーザー用秘密鍵により、メッセージＭに対して署名処理を実行することでグループユーザー署名ｓを取得し、
少なくとも前記グループユーザーを特定するためのデータであるグループユーザー識別子と、当該グループユーザー識別子に対応するグループユーザーのグループユーザー用公開鍵と、前記グループユーザー署名ｓとを含むセットデータに対して、前記グループ管理用公開鍵と前記グループユーザーにより選択された前記追跡機関の属性である選択属性Ａωとを用いて、暗号化処理を行うことで、署名データの暗号化データＣを取得する署名データ暗号化ステップと、
前記グループユーザー用装置が、前記共通ステートメントｃｒｓを用いてゼロ知識証明データΠを生成するステップであって、（１）少なくとも前記選択属性Ａωと、前記メッセージＭと、前記署名データの暗号化データＣとを含むセットデータをゼロ知識証明のためのステートメントとし、（２）少なくとも、前記グループユーザー識別子と、前記グループユーザー用公開鍵と、前記グループユーザー署名ｓとを含むセットデータをゼロ知識証明のためのウィットネスとすることで、前記ゼロ知識証明データΠを生成するゼロ知識証明生成ステップと、
前記検証装置が、前記ゼロ知識証明生成ステップにより生成された前記ゼロ知識証明データΠの検証を行う検証処理ステップと、
前記鍵生成装置が、前記グループ管理用公開鍵と、前記グループ管理用秘密鍵と、追跡処理を許可する属性Ａτとから、追跡用秘密鍵ｓｋ_ｅを生成する復号鍵生成ステップと、
前記追跡装置が、前記追跡用秘密鍵ｓｋ_ｅにより、前記署名データの暗号化データＣを復号することで、前記署名データの暗号化データＣを生成したグループユーザーのグループユーザー識別子を特定する追跡処理ステップと、
を備える分散追跡型グループ署名処理方法。

【請求項4】

鍵生成装置と、グループユーザー用装置と、検証装置と、追跡装置と、を備える分散追跡型グループ署名処理システムを用いて実行され、複数のグループユーザーを含むグループを対象とする属性ベースグループ署名処理を行うとともに、複数の追跡機関による追跡処理を分散して行う分散追跡型グループ署名処理方法であって、
前記鍵生成装置が、公開鍵暗号方式である格子暗号方式により鍵を生成するステップであって、格子を規定する行列Ａと、当該行列Ａから導出されるグループ管理用トラップドアーＴ_Ａと、検証用行列Ａ_０，．．．，Ａ_Ｌ（Ｌ：自然数）と、ランダムに取得されるランダム行列Ｂとを取得し、
グループユーザーを特定するグループユーザー識別子ｄと、前記行列Ａと、前記検証用行列Ａ_０，．．．，Ａ_Ｌとにより、グループユーザー識別子ｄ用行列Ａ_ｄを算出し、当該行列Ａ_ｄからグループユーザー識別子ｄ用のトラップドアーＴ_Ａｄを取得し、
前記グループユーザー識別子ｄ用のトラップドアーＴ_Ａｄと、行列Ａ_ｄとに基づいて、前記グループユーザー識別子ｄ用の秘密鍵データｚを取得する鍵生成ステップと、
前記グループユーザー用装置が、前記グループユーザーにより選択された追跡機関についての属性である選択属性Ａωと、前記行列Ａと、前記検証用行列Ａ_０，．．．，Ａ_Ｌと、ランダム行列Ｂとから導出される行列Ｆ_ωを取得し、
グループユーザー識別子ｄを暗号化するための行列Ｇ、ベクトルｓ、ベクトルｅ_１、ベクトルｅ_２を取得し、
ベクトルｓ、ベクトルｅ_１を用いて、行列Ｆ_ωを暗号化することで第１暗号化データｃ_１を取得し、
前記行列Ｇ、ベクトルｓ、ベクトルｅ_２を用いて、前記グループユーザー識別子ｄを暗号化することで第２暗号化データｃ_２を取得する署名データ暗号化ステップと、
前記グループユーザー用装置が、グループユーザー識別子ｄと、前記グループユーザー識別子ｄ用の秘密鍵データｚと、ベクトルｓ、ベクトルｅ_１およびベクトルｅ_２を含むベクトルｅとをウィットネスとすることで、前記第１暗号化データｃ_１および第２暗号化データｃ_２についてのゼロ知識証明データΠを生成するゼロ知識証明生成ステップと、
前記検証装置が、前記ゼロ知識証明生成ステップにより生成された前記ゼロ知識証明データΠの検証を行う検証処理ステップと、
前記鍵生成装置が、前記行列Ａと、前記検証用行列Ａ_０，．．．，Ａ_Ｌと、ランダム行列Ｂと、追跡処理を許可する属性Ａτとから行列Ｆを取得し、当該行列Ｆと前記グループ管理用トラップドアーＴ_Ａとから、追跡用トラップドアーＴ_Ｆを生成する復号鍵生成ステップと、
前記追跡装置が、前記グループユーザー識別子ｄを暗号化するための行列Ｇと、前記行列Ｆと、当該行列ＦのトラップドアーＴ_Ｆとに基づいて、比較用行列Ｙを取得し、
当該行列Ｙと、前記第１暗号化データｃ_１および前記第２暗号化データｃ_２とを用いて復号データｄ’を取得し、
当該復号データｄ’を構成する各ビットの値を、格子を規定する剰余系の法とする素数ｑの半分の値と比較することで特定することで、前記第１暗号化データｃ_１および前記第２暗号化データｃ_２を生成したグループユーザーのグループユーザー識別子ｄを特定する追跡処理ステップと、
を備える分散追跡型グループ署名処理方法。

【請求項5】

請求項１から４のいずれかに記載の分散追跡型グループ署名処理方法をコンピュータに実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、匿名検証技術に関し、特に、グループ署名を利用する匿名検証技術に関する。

【背景技術】

【0002】

所定のグループに所属するユーザー（グループユーザー）が匿名での検証を可能にする技術として、グループ署名（ＧＳ：ＧｒｏｕｐＳｉｇｎａｔｕｒｅ）が知られている（例えば、非特許文献１を参照）。グループ署名では、グループユーザーの匿名性を確保するとともに、グループユーザーが不正をした場合（例えば、所定のグループユーザーにより作成されたグループ署名により、不正な行為が実行された場合等）にどのグループユーザーが不正をしたか追跡することができるように追跡可能性を実現する必要がある。つまり、グループ署名では、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現する必要がある。

【先行技術文献】

【非特許文献】

【0003】

【文献】D. Chaum and E. Van Heyst, "Group signatures," in EUROCRYPT 1991, LNCS, vol. 547. Springer, 1991, pp. 257-265.

【発明の概要】

【発明が解決しようとする課題】

【0004】

グループ署名では、グループユーザーの匿名性、および、グループユーザーの追跡可能性の両方を実現するために、例えば、以下の処理が実行される。なお、グループ署名では、所定のグループに所属する複数のグループユーザー、検証者（Ｖｅｒｉｆｉｅｒ）（例えば、検証装置）、追跡者（ＴｒａｃｅＡｕｔｈｏｒｉｔｙ）（例えば、追跡装置）により処理が実行される。
（１）鍵生成処理（ＫｅｙＧｅｎ）：
鍵生成処理により、以下の鍵ペアが生成される。
・グループ鍵ペア（グループ公開鍵ｇｐｋ、グループ秘密鍵ｇｓｋ）
・追跡用鍵ペア（追跡用公開鍵ｔｐｋ、追跡用秘密鍵ｔｓｋ）
・グループユーザー署名用鍵ペア（グループユーザー用公開鍵ｐｋ_ｉ、グループユーザー用秘密鍵ｓｋ_ｉ）（なお、グループユーザーのＩＤをｉ（ｉ：自然数、１≦ｉ≦Ｎ、Ｎ：自然数）とする。）
（２）署名処理（Ｓｉｇｎ）：
下記（２Ａ）～（２Ｃ）を実行することで、署名処理が実行される。
（２Ａ）署名データの暗号化処理（追跡用公開鍵ｔｐｋで暗号化）：
ＩＤ＝ｉのグループユーザーが署名したデータ（署名データ）を、追跡用公開鍵ｔｐｋで暗号化することで、上記署名データの暗号化データＣを取得する。
（２Ｂ）署名データのゼロ知識証明Πの生成処理：
メッセージＭ、署名データの暗号化データＣのゼロ知識証明Πを生成する。
（２Ｃ）グループ署名Σの生成処理：
共通ステートメントｃｒｓ、ステートメントｘ、ウィットネスｗを用いてゼロ知識証明Πを生成する。
Π＝ＺＫ．Ｐｒｖ（ｃｒｓ，ｘ，ｗ）
ステートメントｘ＝＜ｇｐｋ，ｔｐｋ，Ｍ，Ｃ＞
ウィットネスｗ＝＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ，ｒ＞
ｉ：グループユーザーＩＤ
ｃｅｒｔ_ｉ：グループユーザーＩＤ＝ｉのグループユーザー用証明
ｓ：グループユーザーＩＤ＝ｉのグループユーザー用の署名データ（グループユーザーの秘密鍵ｓｋ_ｉを用いた、メッセージＭについての署名）
ｒ：署名データの暗号化処理に用いたデータ（｛０，１｝^λ→ｒ）（λ：セキュリティパラメータ）
（３）検証処理（Ｖｅｒｉｆｙ）：
検証者（例えば、検証装置）が、グループ公開鍵ｇｐｋ、メッセージＭ、グループ署名Σを用いて、検証処理を行う。
（４）追跡処理（Ｏｐｅｎ）：
追跡者（例えば、追跡装置）が、署名データの暗号化データＣの復号処理（署名データの暗号化データＣを追跡用秘密鍵ｔｓｋにより復号する処理）を行い、グループ署名をしたグループユーザーを特定することで、追跡処理を行う。

【0005】

グループ署名では、上記のように処理されることで、グループユーザーの匿名性が確保されつつ、検証者により、ゼロ知識証明技術により、署名したグループユーザーを特定することなく、グループ署名Σが真正であるか否かを判定できる（検証できる）。

【0006】

さらに、グループ署名では、グループユーザーが不正をした場合（例えば、所定のグループユーザーにより作成されたグループ署名により、不正な行為が実行された場合等）、追跡者により上記追跡処理が実行されることで、当該グループ署名を行ったグループユーザーを特定することができる。

【0007】

すなわち、グループ署名では、上記のように処理することで、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現することができる。

【0008】

しかしながら、上記のグループ署名では、追跡者が一人（追跡機関が１つ）であるので、追跡者に強大な権限（単独の追跡者（追跡機関）が全てのグループユーザーの追跡処理ができるという強大な権限）が集中してしまうという問題がある。また、上記のグループ署名では、複数のグループユーザーを追跡する場合、単独の追跡者（単独の追跡機関）が、全ての追跡処理を行わなければならず、負荷が過大となってしまい、その結果、効率の良い追跡処理ができないという問題がある。

【0009】

そこで、本発明は、上記課題に鑑み、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現しつつ、追跡処理における追跡機関への処理負荷を軽減し、かつ、処理効率を向上させる技術を実現することを目的とする。

【課題を解決するための手段】

【0010】

上記課題を解決するために、第１の発明は、複数のグループユーザーを含むグループを対象とするＩＤベースグループ署名処理を行うとともに、複数の追跡機関による追跡処理を分散して行う分散追跡型グループ署名処理方法であって、鍵生成ステップと、署名データ暗号化ステップと、ゼロ知識証明生成ステップと、検証処理ステップと、追跡処理ステップと、を備える。

【0011】

鍵生成ステップは、公開鍵暗号方式により鍵を生成するステップである。鍵生成ステップは、（１）ゼロ知識証明用共通ステートメントｃｒｓと、（２）グループ管理用公開鍵およびグループ管理用秘密鍵のペアであるグループ管理用鍵ペアと、（３）複数の追跡機関のそれぞれの追跡用公開鍵および追跡用秘密鍵の鍵ペアである追跡用鍵ペアと、（４）複数のグループユーザーのそれぞれのグループユーザー用公開鍵およびグループユーザー用秘密鍵の鍵ペアであるグループユーザー用鍵ペアとを生成する。

【0012】

署名データ暗号化ステップは、グループユーザー用秘密鍵により、メッセージＭに対して署名処理を実行することでグループユーザー署名ｓを取得する。

【0013】

また、署名データ暗号化ステップは、少なくともグループユーザーを特定するためのデータであるグループユーザー識別子と、当該グループユーザー識別子に対応するグループユーザーのグループユーザー用公開鍵と、グループユーザー署名ｓとを含むセットデータに対して、グループユーザーにより選択された追跡機関の追跡用公開鍵である選択追跡用公開鍵による暗号化処理を行うことで、署名データの暗号化データＣを取得する。

【0014】

ゼロ知識証明生成ステップは、共通ステートメントｃｒｓを用いてゼロ知識証明データΠを生成するステップである。

【0015】

ゼロ知識証明生成ステップは、（１）少なくとも選択追跡用公開鍵と、メッセージＭと、署名データの暗号化データＣとを含むセットデータをゼロ知識証明のためのステートメントとし、（２）少なくとも、グループユーザー識別子と、グループユーザー用公開鍵と、グループユーザー署名ｓとを含むセットデータをゼロ知識証明のためのウィットネスとすることで、ゼロ知識証明データΠを生成する。

【0016】

検証処理ステップは、ゼロ知識証明生成ステップにより生成されたゼロ知識証明データΠの検証を行う。

【0017】

追跡処理ステップは、選択追跡用公開鍵のペアである追跡用秘密鍵により、署名データの暗号化データＣを復号することで、署名データの暗号化データＣを生成したグループユーザーのグループユーザー識別子を特定する。

【0018】

この分散追跡型グループ署名処理方法では、グループユーザーが、複数ある追跡機関の中から所望の追跡装置を選択し、グループユーザーに選択された追跡装置のみが、当該グループユーザーが作成したグループ署名についての追跡処理を実行できる。つまり、この分散追跡型グループ署名処理方法において、グループユーザーが選択する追跡機関を分散させることで、複数の追跡機関が分散して追跡処理を行うことができる。その結果、分散追跡型グループ署名処理方法では、追跡処理を分散させることができ、追跡処理の処理負荷を軽減させることができる。

【0019】

また、この分散追跡型グループ署名処理方法では、ＩＤベースグループ署名技術を使用しているので、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現することができる。

【0020】

このように、この分散追跡型グループ署名処理方法では、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現しつつ、追跡処理における追跡機関（追跡装置）への処理負荷を軽減し、かつ、処理効率を向上させることができる。

【0021】

第２の発明は、複数のグループユーザーを含むグループを対象とするＩＤベースグループ署名処理を行うとともに、複数の追跡機関による追跡処理を分散して行う分散追跡型グループ署名処理方法であって、鍵生成ステップと、署名データ暗号化ステップと、ゼロ知識証明生成ステップと、検証処理ステップと、追跡処理ステップと、を備える。

【0022】

鍵生成ステップは、公開鍵暗号方式である格子暗号方式により鍵を生成するステップである。鍵生成ステップは、格子を規定する行列Ａと、当該行列Ａから導出されるグループ管理用トラップドアーＴ_Ａと、検証用行列Ａ_０，．．．，Ａ_Ｌ（Ｌ：自然数）と、追跡機関を特定するための行列Ｆ_ｉと、当該行列Ｆ_ｉから導出される追跡処理用トラップドアーＴ_Ｆｉとを取得する。

【0023】

また、鍵生成ステップは、グループユーザーを特定するグループユーザー識別子ｄと、行列Ａと、検証用行列Ａ_０，．．．，Ａ_Ｌとにより、グループユーザー識別子ｄ用行列Ａ_ｄを算出し、当該行列Ａ_ｄからグループユーザー識別子ｄ用のトラップドアーＴ_Ａｄを取得する。

【0024】

また、鍵生成ステップは、グループユーザー識別子ｄ用のトラップドアーＴ_Ａｄと、行列Ａ_ｄとに基づいて、グループユーザー識別子ｄ用の秘密鍵データｚを取得する。

【0025】

署名データ暗号化ステップは、グループユーザーにより選択された追跡機関を示す行列Ｆ_ｉを行列Ｆとし、グループユーザー識別子ｄを暗号化するための行列Ｇ、ベクトルｓ、ベクトルｅ_１、ベクトルｅ_２を取得し、ベクトルｓ、ベクトルｅ_１を用いて、行列Ｆを暗号化することで第１暗号化データｃ_１を取得する。

【0026】

また、署名データ暗号化ステップは、行列Ｇ、ベクトルｓ、ベクトルｅ_２を用いて、グループユーザー識別子ｄを暗号化することで第２暗号化データｃ_２を取得する。

【0027】

ゼロ知識証明生成ステップは、グループユーザー識別子ｄと、グループユーザー識別子ｄ用の秘密鍵データｚと、ベクトルｓ、ベクトルｅ_１およびベクトルｅ_２を含むベクトルｅとをウィットネスとすることで、第１暗号化データｃ_１および第２暗号化データｃ_２についてのゼロ知識証明データΠを生成する。

【0028】

検証処理ステップは、ゼロ知識証明生成ステップにより生成されたゼロ知識証明データΠの検証を行う。

【0029】

追跡処理ステップは、グループユーザー識別子ｄを暗号化するための行列Ｇと、選択された追跡機関を示す行列Ｆと、当該行列ＦのトラップドアーＴ_Ｆとに基づいて、比較用行列Ｙを取得する。

【0030】

また、追跡処理ステップは、当該行列Ｙと、第１暗号化データｃ_１および第２暗号化データｃ_２とを用いて復号データｄ’を取得する。

【0031】

また、追跡処理ステップは、当該復号データｄ’を構成する各ビットの値を、格子を規定する剰余系の法とする素数ｑの半分の値と比較することで特定することで、第１暗号化データｃ_１および第２暗号化データｃ_２を生成したグループユーザーのグループユーザー識別子ｄを特定する。

【0032】

この分散追跡型グループ署名処理方法では、グループユーザーが、複数ある追跡機関の中から所望の追跡装置を選択し、グループユーザーに選択された追跡装置のみが、当該グループユーザーが作成したグループ署名についての追跡処理を実行できる。つまり、この分散追跡型グループ署名処理方法において、グループユーザーが選択する追跡装置を分散させることで、複数の追跡装置が分散して追跡処理を行うことができる。その結果、この分散追跡型グループ署名処理方法では、追跡処理を分散させることができ、追跡処理の処理負荷を軽減させることができる。

【0033】

また、この分散追跡型グループ署名処理方法では、ＩＤベースグループ署名技術（暗号方式として格子暗号を使用）を使用しているので、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現することができる。

【0034】

【0035】

第３の発明は、複数のグループユーザーを含むグループを対象とする属性ベースグループ署名処理を行うとともに、複数の追跡機関による追跡処理を分散して行う分散追跡型グループ署名処理方法であって、鍵生成ステップと、署名データ暗号化ステップと、ゼロ知識証明生成ステップと、検証処理ステップと、復号鍵生成ステップと、
公開鍵暗号方式により鍵を生成するステップであって、（１）ゼロ知識証明用共通ステートメントｃｒｓと、（２）グループ管理用公開鍵およびグループ管理用秘密鍵のペアであるグループ管理用鍵ペアと、（３）複数のグループユーザーのそれぞれのグループユーザー用公開鍵およびグループユーザー用秘密鍵の鍵ペアであるグループユーザー用鍵ペアとを生成するとともに、追跡機関の備えうる属性Ａｔｔを設定する鍵生成ステップと、追跡処理ステップと、を備える。

【0036】

【0037】

また、署名データ暗号化ステップは、少なくともグループユーザーを特定するためのデータであるグループユーザー識別子と、当該グループユーザー識別子に対応するグループユーザーのグループユーザー用公開鍵と、グループユーザー署名ｓとを含むセットデータに対して、グループ管理用公開鍵とグループユーザーにより選択された追跡機関の属性である選択属性Ａωとを用いて、暗号化処理を行うことで、署名データの暗号化データＣを取得する。

【0038】

ゼロ知識証明生成ステップは、共通ステートメントｃｒｓを用いてゼロ知識証明データΠを生成するステップである。ゼロ知識証明生成ステップは、（１）少なくとも選択属性Ａωと、メッセージＭと、署名データの暗号化データＣとを含むセットデータをゼロ知識証明のためのステートメントとし、（２）少なくとも、グループユーザー識別子と、グループユーザー用公開鍵と、グループユーザー署名ｓとを含むセットデータをゼロ知識証明のためのウィットネスとすることで、ゼロ知識証明データΠを生成する。

【0039】

検証処理ステップは、ゼロ知識証明生成ステップにより生成されたゼロ知識証明データΠの検証を行う。

【0040】

復号鍵生成ステップは、グループ管理用公開鍵と、グループ管理用秘密鍵と、追跡処理を許可する属性Ａτとから、追跡用秘密鍵ｓｋ_ｅを生成する。

【0041】

追跡処理ステップは、追跡用秘密鍵ｓｋ_ｅにより、署名データの暗号化データＣを復号することで、署名データの暗号化データＣを生成したグループユーザーのグループユーザー識別子を特定する。

【0042】

この分散追跡型グループ署名処理方法では、グループユーザーが、追跡装置が満たすべき属性を選択し、グループユーザーにより選択された属性を有する追跡装置のみが、当該グループユーザーが作成したグループ署名についての追跡処理を実行できる。つまり、この分散追跡型グループ署名処理方法において、グループユーザーが選択する追跡機関を分散させることで、複数の追跡機関が分散して追跡処理を行うことができる。その結果、分散追跡型グループ署名処理方法では、追跡処理を分散させることができ、追跡処理の処理負荷を軽減させることができる。

【0043】

また、この分散追跡型グループ署名処理方法では、属性ベースグループ署名技術を使用しているので、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現することができる。

【0044】

【0045】

第４の発明は、複数のグループユーザーを含むグループを対象とする属性ベースグループ署名処理を行うとともに、複数の追跡機関による追跡処理を分散して行う分散追跡型グループ署名処理方法であって、鍵生成ステップと、署名データ暗号化ステップと、ゼロ知識証明生成ステップと、検証処理ステップと、復号鍵生成ステップと、追跡処理ステップと、を備える。

【0046】

鍵生成ステップは、公開鍵暗号方式である格子暗号方式により鍵を生成するステップである。鍵生成ステップは、格子を規定する行列Ａと、当該行列Ａから導出されるグループ管理用トラップドアーＴ_Ａと、検証用行列Ａ_０，．．．，Ａ_Ｌ（Ｌ：自然数）と、ランダムに取得されるランダム行列Ｂとを取得する。

【0047】

【0048】

【0049】

署名データ暗号化ステップは、グループユーザーにより選択された追跡機関についての属性である選択属性Ａωと、行列Ａと、検証用行列Ａ_０，．．．，Ａ_Ｌと、ランダム行列Ｂとから導出される行列Ｆ_ωを取得する。

【0050】

また、署名データ暗号化ステップは、グループユーザー識別子ｄを暗号化するための行列Ｇ、ベクトルｓ、ベクトルｅ_１、ベクトルｅ_２を取得する。

【0051】

また、署名データ暗号化ステップは、ベクトルｓ、ベクトルｅ_１を用いて、行列Ｆ_ωを暗号化することで第１暗号化データｃ_１を取得する。

【0052】

【0053】

【0054】

検証処理ステップは、ゼロ知識証明生成ステップにより生成されたゼロ知識証明データΠの検証を行う。

【0055】

復号鍵生成ステップは、行列Ａと、検証用行列Ａ_０，．．．，Ａ_Ｌと、ランダム行列Ｂと、追跡処理を許可する属性Ａτとから行列Ｆを取得し、当該行列Ｆとグループ管理用トラップドアーＴ_Ａとから、追跡用トラップドアーＴ_Ｆを生成する。

【0056】

追跡処理ステップは、グループユーザー識別子ｄを暗号化するための行列Ｇと、行列Ｆと、当該行列ＦのトラップドアーＴ_Ｆとに基づいて、比較用行列Ｙを取得する。

【0057】

また、追跡処理ステップは、当該行列Ｙと、第１暗号化データｃ_１および第２暗号化データｃ_２とを用いて復号データｄ’を取得する。

【0058】

【0059】

この分散追跡型グループ署名処理方法（暗号方式として格子暗号を使用）では、グループユーザーが、追跡装置が満たすべき属性を選択し、グループユーザーにより選択された属性を有する追跡装置のみが、当該グループユーザーが作成したグループ署名についての追跡処理を実行できる。つまり、この分散追跡型グループ署名処理方法において、グループユーザーが選択する追跡装置を分散させることで、複数の追跡装置が分散して追跡処理を行うことができる。その結果、この分散追跡型グループ署名処理方法では、追跡処理を分散させることができ、追跡処理の処理負荷を軽減させることができる。

【0060】

【0061】

このように、この分散追跡型グループ署名処理システムでは、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現しつつ、追跡処理における追跡機関（追跡装置）への処理負荷を軽減し、かつ、処理効率を向上させることができる。

【0062】

第５の発明は、第１から第４のいずれかに発明である分散追跡型グループ署名処理方法をコンピュータに実行させるためのプログラムである。

【0063】

これにより、第１から第４のいずれかに発明である分散追跡型グループ署名処理方法をコンピュータに実行させるためのプログラムを実現できる。

【発明の効果】

【0064】

本発明によれば、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現しつつ、追跡処理における追跡機関への処理負荷を軽減し、かつ、処理効率を向上させる技術を実現することができる。

【図面の簡単な説明】

【0065】

【図1】第１実施形態に係る分散追跡型グループ署名処理システム１０００の概略構成図。

【図2】分散追跡型グループ署名処理システム１０００で実行される処理のシーケンス図。

【図3】分散追跡型グループ署名処理システム１０００で実行される処理のシーケンス図。

【図4】分散追跡型グループ署名処理システム１０００で実行される処理のフローチャート。

【図5】分散追跡型グループ署名処理システム１０００で実行される鍵生成処理のフローチャート。

【図6】分散追跡型グループ署名処理システム１０００で実行される署名処理のフローチャート。

【図7】分散追跡型グループ署名処理システム１０００で実行される検証処理のフローチャート。

【図8】分散追跡型グループ署名処理システム１０００で実行される追跡処理のフローチャート。

【図9】第２実施形態に係る分散追跡型グループ署名処理システム２０００の概略構成図。

【図10】分散追跡型グループ署名処理システム２０００で実行される処理のシーケンス図。

【図11】分散追跡型グループ署名処理システム２０００で実行される処理のシーケンス図。

【図12】分散追跡型グループ署名処理システム２０００で実行される処理のフローチャート。

【図13】分散追跡型グループ署名処理システム２０００で実行される鍵生成処理のフローチャート。

【図14】分散追跡型グループ署名処理システム２０００で実行される鍵生成処理のフローチャート。

【図15】分散追跡型グループ署名処理システム２０００で実行される署名処理のフローチャートである。

【図16】分散追跡型グループ署名処理システム２０００で実行される検証処理のフローチャートである。

【図17】分散追跡型グループ署名処理システム２０００で実行される追跡処理のフローチャートである。

【図18】第３実施形態に係る分散追跡型グループ署名処理システム３０００の概略構成図。

【図19】分散追跡型グループ署名処理システム３０００で実行される処理のシーケンス図。

【図20】分散追跡型グループ署名処理システム３０００で実行される処理のシーケンス図。

【図21】分散追跡型グループ署名処理システム３０００で実行される処理のフローチャート。

【図22】分散追跡型グループ署名処理システム３０００で実行される鍵生成処理のフローチャート。

【図23】分散追跡型グループ署名処理システム３０００で実行される署名処理のフローチャート。

【図24】分散追跡型グループ署名処理システム３０００で実行される検証処理のフローチャート。

【図25】分散追跡型グループ署名処理システム３０００で実行される復号鍵生成処理のフローチャート。

【図26】分散追跡型グループ署名処理システム１０００で実行される追跡処理のフローチャート。

【図27】第４実施形態に係る分散追跡型グループ署名処理システム４０００の概略構成図。

【図28】分散追跡型グループ署名処理システム４０００で実行される処理のシーケンス図。

【図29】分散追跡型グループ署名処理システム４０００で実行される処理のシーケンス図。

【図30】分散追跡型グループ署名処理システム４０００で実行される処理のフローチャート。

【図31】分散追跡型グループ署名処理システム４０００で実行される鍵生成処理のフローチャート。

【図32】分散追跡型グループ署名処理システム４０００で実行される鍵生成処理のフローチャート。

【図33】分散追跡型グループ署名処理システム４０００で実行される署名処理のフローチャート。

【図34】分散追跡型グループ署名処理システム４０００で実行される検証処理のフローチャート。

【図35】分散追跡型グループ署名処理システム４０００で実行される復号鍵生成処理のフローチャート。

【図36】分散追跡型グループ署名処理システム２０００で実行される追跡処理のフローチャート。

【図37】ＣＰＵバス構成を示す図。

【発明を実施するための形態】

【0066】

［第１実施形態］
第１実施形態について、図面を参照しながら、以下、説明する。

【0067】

＜１．１：分散追跡型グループ署名処理システムの構成＞
図１は、第１実施形態に係る分散追跡型グループ署名処理システム１０００の概略構成図である。

【0068】

分散追跡型グループ署名処理システム１０００は、図１に示すように、鍵生成装置1と、Ｎ個（Ｎ：自然数）のグループユーザー用装置ＵＥ（ｄ_１）～ＵＥ（ｄ_Ｎ）と、検証装置２と、Ｔ個（Ｔ；自然数）の追跡装置３－１～３－Ｔとを備える。グループユーザー用装置ＵＥ（ｄ_１）～ＵＥ（ｄ_ｎ）と検証装置２とは、例えば、ネットワークにより接続されており、各装置間において、データ通信が可能である。また、鍵生成装置１および追跡装置３－１～３－Ｔも上記ネットワークに接続し、検証装置２と、グループユーザー用装置ＵＥ（ｄ_１）～ＵＥ（ｄ_ｎ）とデータ通信可能としてもよい。

【0069】

なお、説明便宜のため、グループユーザーは、Ｎ人（Ｎ：自然数）であり、グループユーザー識別子ｄ_ｉ（ｉ：自然数、１≦ｉ≦Ｎ）により、各グループユーザーは識別されるものとする。また、グループユーザー識別子ｄ_ｉのグループユーザーが使用する装置がグループユーザー用装置ＵＥ（ｄ_ｉ）であるものとする。なお、この形態に限定されることはなく、例えば、１つのグループユーザー用装置を複数のグループユーザーが使用するようにしてもよい。また、グループユーザー識別子ｄ_ｉのグループユーザーを「グループユーザーｉ」と表記する。

【0070】

鍵生成装置１は、コンピュータや、サーバーを用いて実現される装置であり、セットアップ処理（Ｓｅｔｕｐ）、鍵生成処理（ＫｅｙＧｅｎ）、鍵配布処理を行う。具体的には、鍵生成装置１は、鍵生成処理により、以下の鍵ペア（公開鍵暗号方式による鍵ペア）を生成する。
（１）グループ管理用鍵ペア（ｐｋ_ｓ、ｓｋ_ｓ）
ｍｐｋ_ｓ：グループ管理用公開鍵
ｍｓｋ_ｓ：グループ管理用秘密鍵
（２）Ｔ個の追跡用鍵ペア（ｐｋｅ_ｉ、ｓｋｅ_ｉ）（ｉ：自然数、１≦ｉ≦Ｔ）
ｐｋｅ_ｉ：ｉ番目の追跡用公開鍵（追跡装置３－ｉの追跡用公開鍵）
ｓｋｅ_ｉ：ｉ番目の追跡用秘密鍵（追跡装置３－ｉの追跡用公開鍵）
（３）Ｎ個のグループユーザー用鍵ペア（ｐｋ_ｉ、ｓｋ_ｉ）（ｉ：自然数、１≦ｉ≦Ｎ）
ｐｋ_ｉ：グループユーザーｉの公開鍵
ｓｋ_ｉ：グループユーザーｉの秘密鍵
また、鍵生成装置１は、ゼロ知識証明処理用の共通ステートメントｃｒｓを生成する。

【0071】

鍵生成装置１は、上記により生成した公開鍵（ｐｋ_ｓ、ｐｋｅ_ｉ、ｐｋ_ｉ）、および、ゼロ知識証明処理用の共通ステートメントｃｒｓを公開する。

【0072】

また、鍵生成装置１は、グループ管理用秘密鍵ｓｋ_ｓを、秘密裏に管理する。

【0073】

また、鍵生成装置１は、ｉ番目の追跡用秘密鍵ｓｋｅ_ｉを追跡装置３－ｉに秘密裏に送付し、追跡装置３－ｉは、ｉ番目の追跡用秘密鍵ｓｋｅ_ｉを秘密裏に保持する。

【0074】

また、鍵生成装置１は、グループユーザーｉの秘密鍵ｓｋ_ｉを、グループユーザー用装置ＵＥ（ｄ_ｉ）に秘密裏に送付し、グループユーザー用装置ＵＥ（ｄ_ｉ）は、グループユーザーｉの秘密鍵ｓｋ_ｉを秘密裏に保持する。

【0075】

また、鍵生成装置１は、グループ管理用秘密鍵ｓｋ_ｓを用いて、グループユーザーｉのＩＤと公開鍵ｐｋ_ｉのセットデータ＜ｉ，ｐｋ_ｉ＞に対して署名処理（ＤＳ．Ｓｉｇｎ）を行い、グループユーザーｉのセットデータ＜ｉ，ｐｋ_ｉ＞の証明ｃｅｒｔ_ｉ（これを「グループユーザー用証明」という）を生成する。そして、鍵生成装置１は、生成したグループユーザー用証明ｃｅｒｔ_ｉをグループユーザー用装置ＵＥ（ｄ_ｉ）に送付する。

【0076】

なお、鍵生成装置１は、信頼できる外部機関（Trusted Authority）により実現（提供）されるものであってもよい。

【0077】

グループユーザー用装置ＵＥ（ｄ_ｉ）（ｉ：自然数、１≦ｉ≦Ｎ）は、コンピュータや、サーバーを用いて実現される装置である。グループユーザー用装置ＵＥ（ｄ_ｉ）は、グループユーザー識別子がｄ_ｉであるグループユーザーｉに割り当てられた秘密鍵（ｓｋ_ｉ）を保持し、当該グループユーザー用秘密鍵を用いて、メッセージＭ（署名対象のデータ）に対する署名処理（ＤＳ．Ｓｉｇｎ（ｓｋ_ｉ，Ｍ））を実行することで、メッセージＭについての署名データｓを取得する。そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、上記署名処理により取得した署名データｓに対して、Ｔ個の追跡用公開鍵｛ｐｋｅ_ｉ｝_{ｉ∈｛1,...,T｝}（Ｔ個の追跡用公開鍵ｐｋｅ_ｉ(ｉ：自然数、１≦ｉ≦Ｔ)を「｛ｐｋｅ_ｉ｝_{ｉ∈｛1,...,T｝}」と表記する。以下、他の変数についても同様の表記法を用いる。）の中から選択した追跡用公開鍵（選択した追跡用公開鍵を「選択追跡用公開鍵ｐｋｅ’」と表記する）を用いて暗号化処理を行うことで、暗号化署名データＣを取得する。

【0078】

さらに、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用の鍵ペア（ｏｖｋ，ｏｓｋ）（ｏｖｋ：ワンタイム署名用公開鍵、ｏｓｋ：ワンタイム署名用秘密鍵）を生成する処理を行う。そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用公開鍵ｏｖｋを用いて、セットデータ＜Ｃ，Π＞（Ｃ：暗号化署名データＣ、Π：ゼロ知識証明）の署名処理（ＯＴＳ．Ｓｉｇｎ（ｏｓｋ，＜Ｃ，Π＞）→σ）を行うことで、ワンタイム署名σを取得する。

【0079】

グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用公開鍵ｏｖｋ、暗号化署名データＣ、ゼロ知識証明Π、選択追跡用公開鍵ｐｋｅ’を含めたグループ署名Σを生成し、生成したグループ署名Σ（＝（ｏｖｋ，Ｃ，Π，ｐｋｅ’））を、メッセージＭとともに、検証装置２に出力する。また、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名σを検証装置２に出力する。

【0080】

検証装置２は、コンピュータや、サーバーを用いて実現される装置であり、グループユーザーｉ（グループユーザー用装置ＵＥ（ｄ_ｉ））から出力されるメッセージＭ（グループ署名対象のドキュメント）、グループ署名Σ（＝（ｏｖｋ，Ｃ，Π，ｐｋｅ’））、および、ワンタイム署名σを入力し、グループ署名Σについての検証処理（Ｖｅｒｉｆｙ）を実行する。

【0081】

追跡装置３－ｉ（ｉ：自然数、１≦ｉ≦Ｔ）は、コンピュータや、サーバーを用いて実現される装置であり、メッセージＭ、および、グループ署名Σ（＝（ｏｖｋ，Ｃ，Π，ｐｋｅ’））を取得し、追跡装置３－ｉの追跡用秘密鍵ｓｋｅ’（＝ｓｋｅ_ｉ）を用いて、暗号化署名データＣを復号する。追跡装置３－ｉが、グループユーザーにより選択された追跡装置である場合、追跡用秘密鍵ｓｋｅ’（＝ｓｋｅ_ｉ）を用いて復号処理を行うことで、暗号化署名データＣを正常に復号することができる。そして、復号されたデータから、グループ署名を行ったグループユーザーのＩＤを取得することができる。

【0082】

＜１．２：分散追跡型グループ署名処理システムの動作＞
以上のように構成された分散追跡型グループ署名処理システム１０００の動作について、以下、説明する。

【0083】

図２～図３は、分散追跡型グループ署名処理システム１０００で実行される処理のシーケンス図である。

【0084】

図４は、分散追跡型グループ署名処理システム１０００で実行される処理のフローチャートである。

【0085】

図５は、分散追跡型グループ署名処理システム１０００で実行される鍵生成処理のフローチャートである。

【0086】

図６は、分散追跡型グループ署名処理システム１０００で実行される署名処理のフローチャートである。

【0087】

図７は、分散追跡型グループ署名処理システム１０００で実行される検証処理のフローチャートである。

【0088】

図８は、分散追跡型グループ署名処理システム１０００で実行される追跡処理のフローチャートである。

【0089】

以下では、分散追跡型グループ署名処理システム１０００の動作を、シーケンス図とフローチャートとを参照しながら、説明する。

【0090】

なお、分散追跡型グループ署名処理システム１０００では、（１）デジタル署名技術（Digital signature sheme）、（２）公開鍵暗号技術（Public key encryption scheme）、および、（３）非対話ゼロ知識証明技術（Non-interactive zero-knowledge proof）を使用して処理を行う。
（１）デジタル署名技術（Digital signature sheme）ＤＳは、ＤＳ．Ｇｅｎ、ＤＳ．Ｓｉｇｎ、および、ＤＳ．Ｖｅｒｉｆｙを含む。処理ＤＳ．Ｇｅｎは、１^λが入力されると、鍵ペア（公開鍵ｐｋおよび秘密鍵ｓｋ）を生成する処理である。処理ＤＳ．Ｓｉｇｎは、秘密鍵ｓｋとメッセージｍを入力とし、署名σを出力する処理である。処理ＤＳ．Ｖｅｒｉｆｙは、署名σがメッセージｍについて有効であるとき、「１」を出力し、署名σがメッセージｍについて有効ではないとき、「０」を出力する。
（２）公開鍵暗号技術ＰＫＥは、ＰＫＥ．Ｇｅｎ、ＰＫＥ．Ｅｎｃ、および、ＰＫＥ．Ｄｅｃを含む。処理ＰＫＥ．Ｇｅｎは、１^λが入力されると、鍵ペア（公開鍵ｐｋおよび秘密鍵ｓｋ）を生成する処理である。処理ＰＫＥ．Ｅｎｃは、公開鍵ｐｋとメッセージｍと、乱数ｒとを入力とし、暗号文ｃを出力する処理である。処理ＰＫＥ．Ｄｅｃは、秘密鍵ｓｋおよび暗号文ｃを入力とし、平文ｍを出力する。
（３）非対話ゼロ知識証明技術（Non-interactive zero-knowledge proof）ＮＩＺＫにおいて、Ｒを効率的に計算可能な関係とし、ＬをＲにおけるステートメントを有する言語であるとし、ステートメントをｘとし、（ｘ，ｗ）∈Ｒでであるウィットネス（witness）をｗとする。このとき、非対話ゼロ知識証明技術ＮＩＺＫは、ＺＫ．Ｇｅｎ、ＺＫ．Ｐｒｖ、および、ＺＫ．Ｖｅｒｉｆｙを含む。処理ＺＫ．Ｇｅｎは、１^λが入力されると、共通ステートメントｃｒｓを出力する。処理ＺＫ．Ｐｒｖは、共通ステートメントｃｒｓ、ステートメントｘ、および、ウィットネスｗを入力とし、証明πを出力する。処理ＺＫ．Ｖｅｒｉｆｙは、共通ステートメントｃｒｓ、ステートメントｘ、および、証明πを入力し、証明πが有効であるとき、「１」を出力し、証明πが有効はないとき、「０」を出力する。

【0091】

なお、説明便宜のため、グループユーザー数Ｎ＝２とし、追跡機関（追跡装置）の数Ｔ＝２とし、分散追跡型グループ署名処理システム１０００に、グループユーザー用装置ＵＥ（ｄ_１）、および、グループユーザー用装置ＵＥ（ｄ_２）が含まれており、追跡装置３－１、および、追跡装置３－２が含まれている場合について、以下説明する。

【0092】

また、説明便宜のため、以下では、グループユーザー用装置ＵＥ（ｄ_１）（グループユーザーｉ＝１）が、追跡装置３－１を選択して、グループ署名を行う場合について説明する。

【0093】

（１．２．１：セットアップ処理（ステップＳ１１（図４）、シーケンス図のＳＳ１（図２）））
ステップＳ１１において、鍵生成装置１は、セットアップ処理（Ｓｅｔｕｐ（１^λ））を実行する。具体的には、鍵生成装置１は、セキュリティパラメータλ（λ：自然数）を設定する。また、鍵生成装置１は、グループユーザーの最大数Ｎ（本実施形態では、Ｎ＝２）、および、追跡装置の数Ｔ（本実施形態では、Ｔ＝２）を設定する。

【0094】

（１．２．２：鍵生成処理（ステップＳ１２（図５）、シーケンス図のＳＳ２（図２）））
ステップＳ１２において、鍵生成装置１は、鍵生成処理（ＫｅｙＧｅｎ（１^λ，１^Ｎ，１^Ｔ））を実行する。

【0095】

（ステップＳ１２０１～Ｓ１２０２）：
ステップＳ１２０１において、鍵生成装置１は、セキュリティパラメータλに基づいて、ゼロ知識証明処理用の共通ステートメントｃｒｓを生成する（ＺＫ．Ｇｅｎ（１^λ）→ｃｒｓに相当する処理を実行する）。

【0096】

ステップＳ１２０２において、鍵生成装置１は、セキュリティパラメータλに基づいて、グループ管理用鍵ベア、すなわち、グループ管理用公開鍵ｐｋ_ｓおよびグループ管理用秘密鍵ｓｋ_ｓを生成する（ＤＳ．Ｇｅｎ（１^λ）→ｐｋ_ｓ，ｓｋ_ｓに相当する処理を実行する）。

【0097】

（ステップＳ１２０３～Ｓ１２０５）：
ステップＳ１２０３～Ｓ１２０５（ループ処理（ループ１））において、鍵生成装置１は、セキュリティパラメータλに基づいて、Ｔ個の追跡装置用の追跡用鍵ベア、すなわち、追跡用公開鍵ｐｋｅ_ｉおよび追跡用秘密鍵ｓｋｅ_ｉを生成する（ＰＫＥ．Ｇｅｎ（１^λ）→ｐｋｅ_ｉ，ｓｋｅ_ｉに相当する処理を実行する）。

【0098】

（ステップＳ１２０６～Ｓ１２０９）：
ステップＳ１２０６～Ｓ１２０９（ループ処理（ループ２））において、鍵生成装置１は、セキュリティパラメータλに基づいて、グループユーザーｉ用の鍵ペアを生成する処理、すなわち、グループユーザーｉ用公開鍵ｐｋ_ｉおよび秘密鍵ｓｋ_ｉを生成する（ＤＳ．Ｇｅｎ（１^λ）→ｐｋ_ｉ，ｓｋ_ｉに相当する処理を実行する）処理を行う（ステップＳ１２０７）。

【0099】

また、鍵生成装置１は、グループ管理用秘密鍵ｓｋ_ｓを用いて、グループユーザーｉのグループユーザーｉと公開鍵ｐｋ_ｉのセットデータ＜ｉ，ｐｋ_ｉ＞に対して署名処理（ＤＳ．Ｓｉｇｎ（ｓｋ_ｓ，＜ｉ，ｐｋ_ｉ＞→ｃｅｒｔ_ｉ））を行うことで、グループユーザーｉ用の証明ｃｅｒｔ_ｉを生成する（ステップＳ１２０８）。

【0100】

鍵生成装置１は、上記ステップＳ１２０７、Ｓ１２０８の処理を、グループユーザー数に相当する回数だけ繰り返し実行することで、全てのグループユーザーの鍵ペア（ｐｋ_ｉ，ｓｋ_ｉ）、証明（ｃｅｒｔ_ｉ）を取得する。

【0101】

（ステップＳ１２１０）：
ステップＳ１２１０において、鍵生成装置１は、生成した鍵を出力する処理を行う。具体的には、鍵生成装置１は、共通ステートメントｃｒｓ、グループ管理用公開鍵ｐｋ_ｓ，追跡用公開鍵｛ｐｋｅ_ｉ｝_{ｉ∈｛1,...,T｝}を、グループ公開鍵ｇｐｋ（＝（ｃｒｓ，ｐｋ_ｓ，｛ｐｋｅ_ｉ｝_{ｉ∈｛1,...,T｝}））として公開する。

【0102】

また、鍵生成装置１は、追跡用秘密鍵｛ｓｋｅ_ｉ｝_{ｉ∈｛1,...,T｝}を追跡装置３－ｉに秘密裏に送付し、追跡装置３－ｉは、追跡用秘密鍵ｓｋｅ_ｉを秘密裏に保持する。本実施形態では、追跡用秘密鍵ｓｋｅ_１が追跡装置３－１に送付され、追跡用秘密鍵ｓｋｅ_２が追跡装置３－２に送付される。なお、追跡用秘密鍵（の集合）｛ｓｋｅ_ｉ｝_{ｉ∈｛1,...,T｝}をｔｓｋ（＝｛ｓｋｅ_ｉ｝_{ｉ∈｛1,...,T｝}）と表記する。

【0103】

また、鍵生成装置１は、グループユーザーｉ（グループユーザー用装置ＵＥ（ｄ_ｉ））に、グループユーザーｉ用の秘密鍵ｓｋ_ｉと、証明ｃｅｒｔ_ｉとを秘密裏に送付し、グループユーザーｉ（グループユーザー用装置ＵＥ（ｄ_ｉ））は、秘密鍵ｓｋ_ｉと、証明ｃｅｒｔ_ｉとを保持する。なお、グループユーザーｉ用のデータ（の集合）（ｉ，ｐｋ_ｉ，ｓｋ_ｉ，ｃｅｒｔ_ｉ）をｓｓｋ（＝｛（ｉ，ｐｋ_ｉ，ｓｋ_ｉ，ｃｅｒｔ_ｉ）｝_{ｉ∈｛1,...,N｝}）と表記する。

【0104】

（１．２．３：署名処理（ステップＳ１３（図６）、シーケンス図のＳＳ４（図２）））
ステップＳ１３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、署名処理（Ｓｉｇｎ（ｇｐｋ，ｓｓｋ［ｉ］，Ｍ））を実行する。

【0105】

（ステップＳ１３０１）：
ステップＳ１３０１において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、メッセージＭ（グループ署名の対象データ）に対して、グループユーザーｉの秘密鍵ｓｋ_ｉを用いて署名処理（ＤＳ．Ｓｉｇｎ（ｓｋ_ｉ，Ｍ）→ｓ）を行い、署名ｓを生成する。

【0106】

（ステップＳ１３０２）：
ステップＳ１３０２において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、乱数ｒ（｛０，１｝→ｒ）を設定する。また、グループユーザー用装置ＵＥ（ｄ_ｉ）は、追跡装置３－ｉを選択し、選択した追跡装置３－ｉの公開鍵ｐｋｅ_ｉを選択追跡用公開鍵ｐｋｅ’とする。本実施形態では、選択追跡用公開鍵ｐｋｅ’＝ｐｋｅ_ｉ（ｉ＝１）である。

【0107】

そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、乱数ｒと、選択追跡用公開鍵ｐｋｅ’とを用いて、セットデータ＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ＞を暗号化し、暗号化署名データＣを取得する（ＰＫＥ．Ｅｎｃ（ｐｋｅ’，＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ＞；ｒ＞→Ｃ））。

【0108】

（ステップＳ１３０３）：
ステップＳ１３０３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、署名データのゼロ知識証明処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、共通ステートメントｃｒｓを用いて、
ステートメントｘ＝＜ｐｋ_ｓ，ｐｋｅ’，Ｍ，Ｃ＞、
ウィットネスｗ＝＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ，ｒ＞
として、処理ＺＫ．Ｐｒｖ（ｃｒｓ，ｘ，ｗ）を実行し、ゼロ知識証明Πを取得する。

【0109】

（ステップＳ１３０４）：
ステップＳ１３０４において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、セキュリティパラメータλを用いて、ワンタイム署名用の鍵生成処理（ＯＴＳ．Ｇｅｎ（１^λ）→（ｏｖｋ，ｏｓｋ））を実行し、ワンタイム署名用公開鍵ｏｖｋ、ワンタイム署名用秘密鍵ｏｓｋを生成する。

【0110】

（ステップＳ１３０５）：
ステップＳ１３０５において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用秘密鍵ｏｓｋを用いて、セットデータ＜Ｃ，Π＞についての署名処理（ＯＴＳ．Ｓｉｇｎ（ｏｓｋ，＜Ｃ，Π＞）→σ）を行い、ワンタイム署名σを生成する。

【0111】

（１．２．４：検証処理（ステップＳ１４（図７）、シーケンス図のＳＳ５（図３）））
ステップＳ１４において、検証装置２は、検証処理を実行する。図３のステップＳＳ５に示すように、グループユーザー用装置ＵＥ（ｄ_ｉ）は、検証装置２に、メッセージＭ、グループ署名Σ（＝（ｏｖｋ，Ｃ，Π，ｐｋｅ’））、および、ワンタイム署名σを送信する。

【0112】

（ステップＳ１４０１）：
ステップＳ１４０１において、検証装置２は、グループユーザー用装置ＵＥ（ｄ_ｉ）からグループ署名Σ（＝（ｏｖｋ，Ｃ，Π，ｐｋｅ’））を受信する。

【0113】

（ステップＳ１４０２）：
ステップＳ１４０２において、検証装置２は、ワンタイム公開鍵ｏｖｋを用いて、セットデータ＜Ｃ，Π＞がワンタイム署名σについて有効か否かを判定する検証処理ＯＴＳ．Ｖｅｒｉｆｙ（ｏｖｋ，＜Ｃ，Π＞，σ）を実行する。なお、検証処理ＯＴＳ．Ｖｅｒｉｆｙは、ワンタイム署名がメッセージについて有効であるとき、「１」を出力し、ワンタイム署名がメッセージについて有効ではないとき、「０」を出力する。

【0114】

そして、検証装置２は、検証処理ＯＴＳ．Ｖｅｒｉｆｙ（ｏｖｋ，＜Ｃ，Π＞，σ）による判定結果が「０」である場合、処理をステップＳ１４０５に進め、判定結果が「１」である場合（「０」ではない場合）、処理をステップＳ１４０３に進める。

【0115】

（ステップＳ１４０３）：
ステップＳ１４０３において、検証装置２は、セットデータ＜ｐｋ_ｓ，ｐｋｅ’，Ｍ，Ｃ＞のゼロ知識検証処理を行う。具体的には、検証装置２は、共通ステートメントｃｒｓを用いて、処理ＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，＜ｐｋ_ｓ，ｐｋｅ’，Ｍ，Ｃ，Π）を実行する。

【0116】

そして、検証装置２は、処理ＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，＜ｐｋ_ｓ，ｐｋｅ’，Ｍ，Ｃ，Π）による判定結果が「０」である場合、処理をステップＳ１４０５に進め、判定結果が「１」である場合（「０」ではない場合）、処理をステップＳ１４０４に進める。

【0117】

（ステップＳ１４０４）：
ステップＳ１４０４において、検証装置２は、グループ署名Σ（＝（ｏｖｋ，Ｃ，Π，ｐｋｅ’））が「無効」であると判定する。

【0118】

（ステップＳ１４０５）：
ステップＳ１４０５において、検証装置２は、グループ署名Σ（＝（ｏｖｋ，Ｃ，Π，ｐｋｅ’））が「有効」であると判定する。

【0119】

（１．２．５：追跡処理（ステップＳ１５（図８）、シーケンス図のＳＳ６（図３）））
ステップＳ１５において、追跡装置３－ｉは、追跡処理を実行する。

【0120】

（ステップＳ１５０１）：
ステップＳ１５０１において、追跡装置３－ｉは、追跡用秘密鍵ｓｋｅ_ｉを用いて、暗号化署名データＣを復号する。このとき、追跡装置３－ｉが、グループユーザーｉから選択された追跡装置である場合、追跡装置３－ｉの追跡用秘密鍵ｓｋｅ_ｉは、選択追跡用公開鍵ｐｋｅ’のペアである追跡用秘密鍵（選択追跡用公開鍵ｐｋｅ’のペアである追跡用秘密鍵を「選択追跡用秘密鍵ｓｋｅ’」という）であるので、追跡用秘密鍵ｓｋｅ_ｉ（＝ｓｋｅ’）を用いて、暗号化署名データＣを正常に復号することができる。一方、追跡装置３－ｉが、グループユーザーｉから選択された追跡装置ではない場合、追跡装置３－ｉの保持している追跡用秘密鍵ｓｋｅ_ｉでは、暗号化署名データＣを正常に復号することができない。これにより、グループユーザーｉが選択した以外の追跡装置３－ｉにおいて、グループユーザーｉにより作成されたグループ署名Σが追跡されることがなく、グループユーザーの匿名性が確保される。

【0121】

（ステップＳ１５０２）：
ステップＳ１５０２において、追跡装置３－ｉは、ステップＳ１５０１で復号されたデータからグループユーザーｉのＩＤ（＝ｉ）を特定する。これにより、グループユーザーｉが選択した追跡装置３－ｉのみが、グループ署名Σに対して追跡処理を行い、当該グループ署名Σを作成したグループユーザーｉ（本実施形態では、グループユーザーＩＤ＝１（ｉ＝１）のグループユーザー）を特定することができる。

【0122】

なお、上記では、ｉ＝１のグループユーザー（グループユーザーｉ）が、追跡装置３－１を選択した場合について、説明したが、これに限定されることはなく、例えば、（１）ｉ＝１のグループユーザー（グループユーザー１）が、追跡装置３－１を選択し、かつ、（２）ｉ＝２のグループユーザー（グループユーザー２）が、追跡装置３－２を選択するようにしてもよい。この場合、分散追跡型グループ署名処理システム１０００では、（１）グループユーザーｉ（ｉ＝１）が作成したグループ署名Σについては、追跡装置３－１が追跡処理を実行し、（２）グループユーザーｉ（ｉ＝２）が作成したグループ署名Σについては、追跡装置３－２が追跡処理を実行することになるので、追跡処理を分散させることができる。

【0123】

また、例えば、分散追跡型グループ署名処理システム１０００において、（１）第１の部署（例えば、営業部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－１）のみが追跡処理を実行できるようにし、（２）第２の部署（例えば、技術部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－２）のみが追跡処理を実行できるようにし、（３）第３の部署（例えば、人事部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－３）のみが追跡処理を実行できるようにしてもよい。

【0124】

上記で例示したケースを分散追跡型グループ署名処理システム１０００にて実現する場合、選択追跡用公開鍵ｐｋｅ’を上記条件に合うように、グループユーザーが選択するようにすればよい。

【0125】

以上のように、分散追跡型グループ署名処理システム１０００では、グループユーザーが、複数ある追跡装置の中から所望の追跡装置を選択し、グループユーザーに選択された追跡装置のみが、当該グループユーザーが作成したグループ署名についての追跡処理を実行できる。つまり、分散追跡型グループ署名処理システム１０００において、グループユーザーが選択する追跡装置を分散させることで、複数の追跡装置が分散して追跡処理を行うことができる。その結果、分散追跡型グループ署名処理システム１０００では、追跡処理を分散させることができ、追跡処理の処理負荷を軽減させることができる。

【0126】

また、分散追跡型グループ署名処理システム１０００では、ＩＤベースグループ署名技術を使用しているので、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現することができる。

【0127】

このように、分散追跡型グループ署名処理システム１０００では、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現しつつ、追跡処理における追跡機関（追跡装置）への処理負荷を軽減し、かつ、処理効率を向上させることができる。

【0128】

［第２実施形態］
次に、第２実施形態について、図面を参照しながら、以下、説明する。なお、上述の実施形態と同様の部分については、同一符号を付し、詳細な説明を省略する。

【0129】

＜２．１：分散追跡型グループ署名処理システムの構成＞
図９は、第２実施形態に係る分散追跡型グループ署名処理システム２０００の概略構成図である。

【0130】

第２実施形態に係る分散追跡型グループ署名処理システム２０００の構成は、第１実施形態の分散追跡型グループ署名処理システム１０００と同様である。第１実施形態では、分散追跡型グループ署名処理システム１０００において、ＩＤベース暗号（ＩＢＥ：ＩＤ－ｂａｓｅｄＥｎｃｒｙｐｔｉｏｎ）を用いる場合の一般的な構成（汎用的な構成）、機能について説明した。第２実施形態では、分散追跡型グループ署名処理システム２０００において、ＩＤベース暗号として、格子暗号（Ｌａｔｔｉｃｅｃｒｙｐｔｏｇｒａｐｈｙ）を用いる場合の具体的な処理について説明する。

【0131】

＜２．２：分散追跡型グループ署名処理システムの動作＞
第２実施形態の分散追跡型グループ署名処理システム２０００の動作について、以下説明する。

【0132】

図１０～図１１は、分散追跡型グループ署名処理システム２０００で実行される処理のシーケンス図である。

【0133】

図１２は、分散追跡型グループ署名処理システム２０００で実行される処理のフローチャートである。

【0134】

図１３、図１４は、分散追跡型グループ署名処理システム２０００で実行される鍵生成処理のフローチャートである。

【0135】

図１５は、分散追跡型グループ署名処理システム２０００で実行される署名処理のフローチャートである。

【0136】

図１６は、分散追跡型グループ署名処理システム２０００で実行される検証処理のフローチャートである。

【0137】

図１７は、分散追跡型グループ署名処理システム２０００で実行される追跡処理のフローチャートである。

【0138】

以下では、分散追跡型グループ署名処理システム２０００の動作を、シーケンス図とフローチャートとを参照しながら、説明する。

【0139】

なお、説明便宜のため、グループユーザー数Ｎ＝２とし、追跡機関（追跡装置）の数Ｔ＝２とし、分散追跡型グループ署名処理システム２０００に、グループユーザー用装置ＵＥ（ｄ_１）、および、グループユーザー用装置ＵＥ（ｄ_２）が含まれており、追跡装置３－１、および、追跡装置３－２が含まれている場合について、以下説明する。

【0140】

【0141】

（２．２．１：セットアップ処理（ステップＳＡ１１（図１２）、シーケンス図のＳＳＡ１（図１０）））
ステップＳＡ１１において、鍵生成装置１は、セットアップ処理（Ｓｅｔｕｐ（１^λ））を実行する。具体的には、鍵生成装置１は、セキュリティパラメータλ（λ：自然数）を設定する。

【0142】

そして、鍵生成装置１は、例えば、下記の先行技術文献Ａに開示されているのと同様に、下記の通り、多項式時間で処理が可能となるように、セキュリティパラメータλに基づいて、各パラメータを設定する。
（先行技術文献Ａ）：
Y. Zhang, Y. Gan, Y. Yin, and H. Jia, Attribute-Based VLR Group Signature Scheme from Lattices: 18th International Conference, ICA3PP 2018, Guangzhou, China, November 15-17, 2018, Proceedings, Part IV, 11 2018, pp. 600-610.
Ｎ＝２^Ｌ＝ｐｏｌｙ（λ）
ｎ＝ｐｏｌｙ（λ）
ｍ＝ｃｅｉｌ（２ｎ×ｌｏｇ（ｑ））
ｑ＝Ｏ（Ｌｎ^２）
σ＝ω（ｌｏｇ（ｍ））
β＝Ｏ（ｓｑｒｔ（Ｌｎ））
ｃｅｉｌ（ｘ）：天井関数（ｘ以上の最小整数を取得する関数）
ｓｑｒｔ（ｘ）：ｘの平方根を取得する関数
なお、Ｏ（），ω（）は、ランダウの記号である。

【0143】

（２．２．２：鍵生成処理（ステップＳＡ１２（図１３、図１４）、シーケンス図のＳＳＡ２（図１０）））
ステップＳＡ１２において、鍵生成装置１は、鍵生成処理（ＫｅｙＧｅｎ（１^λ，１^Ｎ，１^Ｔ））を実行する。

【0144】

（ステップＳＡ１２０１）：
ステップＳＡ１２０１において、鍵生成装置１は、例えば、下記先行技術文献（先行技術文献Ｂ）に開示されている方法と同様にして、modified Boyen's signature schemeのための行列Ａ∈Ｚ^ｎ×ｍ _ｑ（Ｚ：整数全体の集合）と、そのトラップドアーＴ_Ａ∈Ｚ_ｑ ^ｍ×ｍとを生成する。
（先行技術文献Ｂ）：
D. Micciancio and C. Peikert, “ Trapdoors for lattices: Simpler, tighter, faster, smaller. ” in EUROCRYPT 2012, LNCS, vol. 7237. Springer Berlin Heidelberg, 2012, pp. 700 - 718.
なお、分散追跡型グループ署名処理システム２０００では、格子暗号を用いることを前提としており、格子は、整数ｎ、ｍ、素数ｑ、Ａ∈Ｚ^ｎ×ｍ _ｑ、ｕ∈Ｚ^ｎ _ｑとすると、格子Λは、以下のように定義される。

【数1】

なお、上記数式の上側の格子を「Λ_ｑ ^{（ｚｅｒｏ）}（Ａ）」と表記することがある。

【0145】

（ステップＳＡ１２０２）：
ステップＳＡ１２０２において、鍵生成装置１は、例えば、先行技術文献Ｂに開示されている方法と同様にして、modified Boyen's signature schemeのための検証キー（検証用行列）Ａ_０，Ａ_１，．．．，Ａ_Ｌ∈Ｚ_ｑ ^ｎ×ｍ（Ｚ：整数全体の集合）と、ベクトルｕとを生成する。

【0146】

（ステップＳＡ１２０３）：
ステップＳＡ１２０３において、鍵生成装置１は、トラップドアー取得処理（ＧｅｎＴｒａｐ（ｎ，ｍ，ｑ））を実行し、行列Ｆ_ｉ∈Ｚ_ｑ ^ｎ×ｍと、そのトラップドアーＴ_Ｆｉ∈Ｚ_ｑ ^ｍ×ｍ（ｉ∈｛１，．．．，Ｔ｝）とを取得する。なお、トラップドアー取得処理ＧｅｎＴｒａｐ（ｎ，ｍ，ｑ）は、ランダム化アルゴリズムを実現する関数であり、ｎ≧１、ｑ≧２、ｍ＝２ｎ×ｌｏｇ（ｑ）（十分大きな値のｍ）が与えられたとき、行列Ａ∈Ｚ_ｑ ^ｎ×ｍと、そのトラップドアー行列Ｒを出力する関数である。

【0147】

（ステップＳＡ１２０４～ＳＡ１２０９）：
ステップＳＡ１２０４～ＳＡ１２０９（ループ処理（ループ１））において、鍵生成装置１は、全てのグループユーザー（全てのグループユーザー用装置）について、ステップＳＡ１２０５～ステップＳＡ１２０８の処理を行う。

【0148】

（ステップＳＡ１２０５）：
ステップＳＡ１２０５において、鍵生成装置１は、Ｌビットの文字列ｄを選択（生成）する。すなわち、鍵生成装置１は、ｄ＝ｄ［１］・・・ｄ［Ｌ］∈｛０，１｝^Ｌである文字列ｄを生成する。なお、Ｌビットの文字列ｄが、グループユーザー（グループユーザー用装置）を特定するための文字列（グループユーザーＩＤ）となる。

【0149】

（ステップＳＡ１２０６）：
ステップＳＡ１２０６において、鍵生成装置１は、グループユーザーＩＤに相当する文字列ｄを用いて、下記数式に相当する処理を行うことで、行列Ａ_ｄを算出する。

【数2】

ｄ_ｉ＝ｄ［ｉ］
ｄ＝ｄ［１］・・・ｄ［Ｌ］∈｛０，１｝^Ｌ
（ステップＳＡ１２０７）：
ステップＳＡ１２０７において、鍵生成装置１は、トラップドアーＴ_Ａと、行列Ａ_ｄとを用いて、トラップドアーＴ_Ａｄ取得処理（ＥｘｔＢａｓｉｓ（Ｔ_Ａ，Ａ_ｄ）→Ｔ_Ａｄ）を実行することで、トラップドアーＴ_Ａｄを取得する。

【0150】

なお、ＥｘｔＢａｓｉｓは、ＰＰＴアルゴリズム（ＰＰＴ：Probabilistic polynomial time algorithm）を実現する関数であり、入力を、行列Ｂ∈Ｚ_ｑ ^ｎ×ｍ’（最初のｍ列は、Ｚ_ｑ ^ｎの範囲である）、および、格子Λ_ｑ ^{（ｚｅｒｏ）}（Ａ）の基底Ｔ_Ａとすると、Ｎｏｒｍ（Ｔ_Ｂ）≦Ｎｏｒｍ（Ｔ_Ａ）（Ｎｏｒｍ（ｘ）は、ｘのノルムを取得する関数である）を満たす格子Λ_ｑ ^{（ｚｅｒｏ）}（Ｂ）の基底Ｔ_Ｂを出力する関数である。

【0151】

（ステップＳＡ１２０８）：
ステップＳＡ１２０８において、鍵生成装置１は、ｓｓｋ用データｚの取得処理を行う。具体的には、鍵生成装置１は、ＳａｍｐｌｅＰｒｅ（Ｔ_Ａｄ，Ａ_ｄ，ｕ，σ）→ｚに相当する処理により、ｓｓｋ用データｚを取得する。なお、Ａ_ｄｚ＝ｕｍｏｄｑ、ＮｏｒｍＡ（ｚ）≦β（ＮｏｒｍＡ（ｘ）は、ｘの無限大ノルムを取得する関数）となるようにｚを取得する。

【0152】

また、ＳａｍｐｌｅＰｒｅは、入力を、行列Ａ∈Ｚ_ｑ ^ｎ×ｍ、トラップドアーの基底Ｒ、ターゲット画像（ｔａｒｇｅｔｉｍａｇｅ）ｕ∈Ｚ_ｑ ^ｎ、標準偏差σ＝ω（ｓｑｒｔ（ｌｏｇ（ｍ）））（ｓｑｒｔ（ｘ）は、ｘの平方根を取得する関数）とすると、格子Λ_ｑ ^ｕ（Ａ）、標準偏差σで基底される分布において、統計的に無視できる距離内となる分布の中からサンプルされるｅ∈Ｚ^ｍを出力する関数である。

【0153】

（ステップＳＡ１２１０）：
ステップＳＡ１２１０において、鍵生成装置１は、上記により取得（生成）した鍵を出力する処理を行う。具体的には、グループ公開鍵ｇｐｋを、ｇｐｋ＝（Ａ，Ａ_０，Ａ_１，．．．，Ａ_Ｌ，ｕ）として公開し、追跡用鍵セットｔｓｋ＝Ｔ_Ｆｉを追跡装置に秘密裏に送付し、グループユーザー署名用鍵ｓｓｋ＝（ｄ，ｚ）を対応するグループユーザー用装置に秘密裏に送付する。なお、本実施形態では、追跡用鍵ｔｓｋ＝Ｔ_Ｆ１が追跡装置３－１に、追跡用鍵ｔｓｋ＝Ｔ_Ｆ２が追跡装置３－２に、送付される。

【0154】

（２．２．３：署名処理（ステップＳＡ１３（図１５）、シーケンス図のＳＳＡ４（図１０）））
ステップＳＡ１３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、署名処理Ｓｉｇｎ（ｇｐｋ，ｓｓｋ［ｉ］，Ｍ）を実行する。

【0155】

（ステップＳＡ１３０１）：
ステップＳＡ１３０１において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、セキュリティパラメータλを用いて、ワンタイム署名用の鍵生成処理（ＯＴＳ．Ｇｅｎ（１^λ）→（ｏｖｋ，ｏｓｋ））を実行し、ワンタイム署名用公開鍵ｏｖｋ、ワンタイム署名用秘密鍵ｏｓｋを生成する。

【0156】

（ステップＳＡ１３０２）：
ステップＳＡ１３０２において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ユーザーＩＤ（＝ｄ）の暗号化処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用公開鍵ｏｖｋを用いて、ハッシュ関数Ｈ_１により、暗号化用行列Ｇを生成する（Ｇ＝Ｈ_１（ｏｖｋ）∈Ｚ_ｑ ^ｎ×Ｌ）。また、グループユーザー用装置ＵＥ（ｄ_ｉ）は、χを整数の集合Ｚ上の確率分布とすると、データｓをχ^ｎからサンプルすることで取得し、データｅ_１をχ^ｍからサンプルすることで取得し、データｅ_２をχ^Ｌからサンプルすることで取得する。

【0157】

そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、下記数式に相当する処理により、ユーザーＩＤ（＝ｄ）の暗号化データを取得する。
ｃ_１＝Ｆ^Ｔｓ＋ｅ_１
ｃ_２＝Ｇ^Ｔｓ＋ｅ_２＋ｆｌｏｏｒ（ｑ／２）ｄ
ｆｌｏｏｒ（ｘ）：床関数（ｘ以下の最大の整数を取得する関数）
Ｆ^Ｔ：Ｆの転置行列
Ｇ^Ｔ：Ｇの転置行列
なお、行列Ｆは、グループユーザーにより選択された追跡装置３－ｉを特定する行列である。つまり、Ｆ＝Ｆ_ｉであり、本実施形態の場合、グループユーザーにより選択された追跡装置が追跡装置３－１であるので、Ｆ＝Ｆ_ｉ＝Ｆ_１である。

【0158】

（ステップＳＡ１３０３）：
ステップＳＡ１３０３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ゼロ知識証明Πの生成処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、（１）グループ署名をしたグループユーザーが有効なメッセージ－署名ペア（ｄ，ｚ）（Ｂｏｙｅｎ’ｓ署名の有効なメッセージ－署名ペア）を有していること、および、（２）暗号化データｃ_１，ｃ_２がワンタイム署名用公開鍵ｏｖｋによりグループユーザーＩＤ（＝ｄ）を正しく暗号化したデータであることを証明するためのゼロ知識証明Πを生成する。このために、グループユーザー用装置ＵＥ（ｄ_ｉ）は、以下の行列Ｐ、ベクトルｃ、ｅを取得する。

【数3】

そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、公開データ（Ａ，Ａ_０，．．．，Ａ_Ｌ，ｕ，Ｐ，ｃ）、ウィットネス（ｄ，ｚ，ｅ）を用いて、下記先行技術文献Ｄに記載されている方法（プロトコル）を実行する。
（先行技術文献Ｄ）：
S. Ling, K. Nguyen, and H. Wang, “ Group signatures from lattices: simpler, tighter, shorter, ring-based,” in PKC 2015, LNCS, vol. 9020. Springer Berlin Heidelberg, 2015, pp. 427 -449.
グループユーザー用装置ＵＥ（ｄ_ｉ）は、上記方法（プロトコル）をｔ（＝ω（ｌｏｇ（ｎ）））回繰り返し、誤差が無視できる程度になるようにする。

【0159】

そして、上記処理をFiat-Shamirヒューリスティック方式により実行することで、ゼロ知識証明Π＝（｛ＣＭＴ_ｊ｝^ｔ _ｊ＝１，ＣＨ，｛ＲＳＰ_ｊ｝^ｔ _ｊ＝１）として取得する。

【0160】

なお、チャレンジＣＨは、
ＣＨ＝（｛Ｃｈ_ｊ｝^ｔ _ｊ＝１）＝Ｈ_２（Ｍ，｛ＣＭＴ_ｊ｝^ｔ _ｊ＝１，ｃ_１，ｃ_２）
である。なお、Ｈ_２（）は、ハッシュ関数である。

【0161】

（ステップＳＡ１３０４）：
ステップＳＡ１３０４において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用秘密鍵ｏｓｋを用いて、暗号化データｃ_１，ｃ_２，ゼロ知識証明Πについての署名処理（ＯＳｉｇｎ（ｏｓｋ，（ｃ_１，ｃ_２），Π）→ｓｉｇ）を行い、ワンタイム署名ｓｉｇを生成する。

【0162】

（ステップＳＡ１３０５）：
ステップＳＡ１３０５において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、グループ署名Σを（ｏｖｋ，（ｃ_１，ｃ_２），Π，ｓｉｇ，Ｆ）として、当該グループ署名Σの出力処理を行う。

【0163】

（２．２．４：検証処理（ステップＳＡ１４（図１６）、シーケンス図のＳＳＡ５（図１１）））
ステップＳＡ１４において、検証装置２は、検証処理を実行する。図１１のステップＳＳＡ５に示すように、グループユーザー用装置ＵＥ（ｄ_ｉ）は、検証装置２に、メッセージＭ、グループ署名Σ（＝（ｏｖｋ，（ｃ_１，ｃ_２），Π，ｓｉｇ，Ｆ））を送信する。

【0164】

（ステップＳＡ１４０１）：
ステップＳＡ１４０１において、検証装置２は、グループユーザー用装置ＵＥ（ｄ_ｉ）からグループ署名Σ（＝（ｏｖｋ，（ｃ_１，ｃ_２），Π，ｓｉｇ，Ｆ））を受信する。

【0165】

（ステップＳＡ１４０２）：
ステップＳＡ１４０２において、検証装置２は、ゼロ知識証明Πを解析する処理を行う。具体的には、検証装置２は、ゼロ知識証明Πを（｛ＣＭＴ_ｊ｝^ｔ _ｊ＝１，ＣＨ，｛ＲＳＰ_ｊ｝^ｔ _ｊ＝１）として解析し、（Ｃｈ_１，．．．，Ｃｈ_ｔ）がＨ_２（Ｍ，｛ＣＭＴ_ｊ｝^ｔ _ｊ＝１，ｃ_１，ｃ_２）と等しくない場合、値「０」を返す。

【0166】

（ステップＳＡ１４０３）：
ステップＳＡ１４０３において、検証装置２は、ゼロ知識証明Πによる検証処理を行う。具体的には、検証装置２は、暗号化用行列Ｇを、Ｇ＝Ｈ_１（ｏｖｋ）により算出し、さらに、上記（数式３）により、データＰ，ｃを算出する。そして、検証装置２は、ｊ＝｛１，．．．，ｔ｝において、公開データ（Ａ，Ａ_０，．．．，Ａ_Ｌ，ｕ，Ｐ，ｃ）を用いて、先行技術文献Ｄに記載されている方法（プロトコル）の検証処理（ＣＭＴ_ｊ、Ｃｈ_ｊについて、ＲＳＰ_ｊが有効かを判断する検証処理）を実行する。そして、いずれかの条件（Ｃｏｎｄｉｔｉｏｎ）が失敗した場合、検証装置２は、値「０」を返す。

【0167】

そして、ステップＳＡ１４０２、ステップＳＡ１４０３において、値「０」が返されることがなかった場合、検証装置２は、値「１」（検証が有効であることを示す値）を返す。

【0168】

（２．２．５：追跡処理（ステップＳＡ１５（図１７）、シーケンス図のＳＳＡ６（図１１）））
ステップＳＡ１５において、追跡装置３－ｉは、追跡処理を実行する。

【0169】

（ステップＳＡ１５０１）：
ステップＳＡ１５０１において、追跡装置３－ｉは、暗号化用行列Ｇの分解処理を行う。具体的には、追跡装置３－ｉは、
Ｇ＝［ｇ_１｜．．．｜ｇ_Ｌ］＝Ｈ_１（ｏｖｋ）
として、暗号化用行列Ｇの要素データｇ_１，．．．，ｇ_Ｌを取得する。

【0170】

（ステップＳＡ１５０２）：
ステップＳＡ１５０２において、追跡装置３－ｉは、比較用行列Ｙの取得処理を行う。具体的には、追跡装置３－ｉは、ｉ∈｛１，．．．，Ｌ｝について、ＳａｍｐｌｅＰｒｅ（ｔｓｋ＝Ｔ_Ｆ，Ｆ，ｇ，σ）により、ｙ_ｉをサンプルする。そして、追跡装置３－ｉは、
Ｙ＝［ｙ_１｜．．．｜ｙ_Ｌ］
とするとことで、比較用行列Ｙを取得する。

【0171】

なお、追跡用秘密鍵ｔｓｋ＝Ｔ_Ｆ（Ｔ_Ｆは、グループユーザーにより選択された追跡装置３－ｉの追跡用秘密鍵（トラップドアー）である）であり、本実施形態の場合、グループユーザーにより選択された追跡装置は、追跡装置３－１であるので、ｔｓｋ＝Ｔ_Ｆ１である。

【0172】

（ステップＳＡ１５０３）：
ステップＳＡ１５０３において、追跡装置３－ｉは、データｄ’の算出処理を行う。具体的には、追跡装置３－ｉは、
ｄ’＝（ｄ’_１，．．．，ｄ’_Ｌ）＝ｃ_２－Ｙ^Ｔｃ_１
Ｙ^Ｔ：Ｙの転置行列
に相当する処理を実行することで、データｄ’を算出する。

【0173】

（ステップＳＡ１５０４）：
ステップＳＡ１５０４において、追跡装置３－ｉは、データｄ’の要素データｄ’_ｉの判定処理を行う。具体的には、追跡装置３－ｉは、ｉ∈｛１，．．．，Ｌ｝において、データｄ’の要素データｄ’_ｉがｆｌｏｏｒ（ｑ／２）ｍｏｄｑよりも「０」に近いならば、ｄ_ｉ＝０とし、データｄ’の要素データｄ’_ｉがｆｌｏｏｒ（ｑ／２）ｍｏｄｑよりも「０」に近くないならば、ｄ_ｉ＝１とする。

【0174】

そして、追跡装置３－ｉは、上記処理により、グループユーザーのＩＤ（＝ｄ＝（ｄ_１，．．．，ｄ_Ｌ））を取得する。

【0175】

なお、本実施形態では、グループユーザーにより選択された追跡装置が追跡装置３－１であるので、追跡装置３－１により、上記処理が実行された場合のみ、正しく、グループユーザーのＩＤ（＝ｄ＝（ｄ_１，．．．，ｄ_Ｌ））を取得することができる。

【0176】

なお、上記では、ｉ＝１のグループユーザー（グループユーザーｉ）が、追跡装置３－１を選択した場合について、説明したが、これに限定されることはなく、例えば、（１）ｉ＝１のグループユーザー（グループユーザー１）が、追跡装置３－１を選択し、かつ、（２）ｉ＝２のグループユーザー（グループユーザー２）が、追跡装置３－２を選択するようにしてもよい。この場合、分散追跡型グループ署名処理システム２０００では、（１）グループユーザーｉ（ｉ＝１）が作成したグループ署名Σについては、追跡装置３－１が追跡処理を実行し、（２）グループユーザーｉ（ｉ＝２）が作成したグループ署名Σについては、追跡装置３－２が追跡処理を実行することになるので、追跡処理を分散させることができる。

【0177】

また、例えば、分散追跡型グループ署名処理システム２０００において、（１）第１の部署（例えば、営業部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－１）のみが追跡処理を実行できるようにし、（２）第２の部署（例えば、技術部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－２）のみが追跡処理を実行できるようにし、（３）第３の部署（例えば、人事部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－３）のみが追跡処理を実行できるようにしてもよい。

【0178】

上記で例示したケースを分散追跡型グループ署名処理システム２０００にて実現する場合、選択された追跡装置を特定する行列Ｆ＝Ｆ_ｉ（選択された追跡装置のトラップドアーは、トラップドアーＴ_Ｆｉ）を上記条件に合うように、グループユーザーが選択するようにすればよい。

【0179】

以上のように、暗号方式として格子暗号を使用する分散追跡型グループ署名処理システム２０００では、グループユーザーが、複数ある追跡装置の中から所望の追跡装置を選択し、グループユーザーに選択された追跡装置のみが、当該グループユーザーが作成したグループ署名についての追跡処理を実行できる。つまり、分散追跡型グループ署名処理システム２０００において、グループユーザーが選択する追跡装置を分散させることで、複数の追跡装置が分散して追跡処理を行うことができる。その結果、分散追跡型グループ署名処理システム１０００では、追跡処理を分散させることができ、追跡処理の処理負荷を軽減させることができる。

【0180】

また、分散追跡型グループ署名処理システム２０００では、ＩＤベースグループ署名技術（暗号方式として格子暗号を使用）を使用しているので、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現することができる。

【0181】

このように、分散追跡型グループ署名処理システム２０００では、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現しつつ、追跡処理における追跡機関（追跡装置）への処理負荷を軽減し、かつ、処理効率を向上させることができる。

【0182】

［第３実施形態］
次に、第３実施形態について、図面を参照しながら、以下、説明する。なお、上述の実施形態と同様の部分については、同一符号を付し、詳細な説明を省略する。

【0183】

＜３．１：分散追跡型グループ署名処理システムの構成＞
図１８は、第３実施形態に係る分散追跡型グループ署名処理システム３０００の概略構成図である。

【0184】

第２実施形態に係る分散追跡型グループ署名処理システム３０００の構成は、第１実施形態の分散追跡型グループ署名処理システム１０００と同様である。第３実施形態では、分散追跡型グループ署名処理システム３０００において、属性ベース暗号（ＡＢＥ：Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄＥｎｃｒｙｐｔｉｏｎ）を用いて分散追跡型グループ署名処理を行う。

【0185】

＜３．２：分散追跡型グループ署名処理システムの動作＞
分散追跡型グループ署名処理システム３０００の動作について、以下、説明する。

【0186】

図１９～図２０は、分散追跡型グループ署名処理システム３０００で実行される処理のシーケンス図である。

【0187】

図２１は、分散追跡型グループ署名処理システム３０００で実行される処理のフローチャートである。

【0188】

図２２は、分散追跡型グループ署名処理システム３０００で実行される鍵生成処理のフローチャートである。

【0189】

図２３は、分散追跡型グループ署名処理システム３０００で実行される署名処理のフローチャートである。

【0190】

図２４は、分散追跡型グループ署名処理システム３０００で実行される検証処理のフローチャートである。

【0191】

図２５は、分散追跡型グループ署名処理システム３０００で実行される復号鍵生成処理のフローチャートである。

【0192】

図２６は、分散追跡型グループ署名処理システム３０００で実行される追跡処理のフローチャートである。

【0193】

以下では、分散追跡型グループ署名処理システム３０００の動作を、シーケンス図とフローチャートとを参照しながら、説明する。

【0194】

なお、説明便宜のため、グループユーザー数Ｎ＝２とし、追跡機関（追跡装置）の数Ｔ＝２とし、分散追跡型グループ署名処理システム３０００に、グループユーザー用装置ＵＥ（ｄ_１）、および、グループユーザー用装置ＵＥ（ｄ_２）が含まれており、追跡装置３－１、および、追跡装置３－２が含まれている場合について、以下説明する。

【0195】

また、説明便宜のため、以下では、グループユーザー用装置ＵＥ（ｄ_１）（グループユーザーｉ＝１）が、追跡装置についての属性として、属性Ａωを選択して、グループ署名を行う場合について説明する。そして、属性Ａωを満たす（有している）追跡装置が追跡装置３－１であるとして説明する。

【0196】

（３．２．１：セットアップ処理（ステップＳＢ１１（図２１）、シーケンス図のＳＳＢ１（図１９）））
ステップＳＡ１１において、鍵生成装置１は、セットアップ処理（Ｓｅｔｕｐ（１^λ））を実行する。具体的には、鍵生成装置１は、セキュリティパラメータλ（λ：自然数）を設定する。

【0197】

また、鍵生成装置１は、グループユーザーの最大数Ｎ（本実施形態では、Ｎ＝２）、および、追跡装置の属性Ａｔｔ（追跡装置が備えうる全ての属性の集合Ａｔｔ）を設定する。

【0198】

（３．２．２：鍵生成処理（ステップＳＢ１２（図２２）、シーケンス図のＳＳＢ２（図１９）））
ステップＳＢ１２において、鍵生成装置１は、鍵生成処理（ＫｅｙＧｅｎ（１^λ，１^Ｎ，１^Ｔ））を実行する。

【0199】

（ステップＳＢ１２０１～ＳＢ１２０２）：
ステップＳＢ１２０１において、鍵生成装置１は、セキュリティパラメータλに基づいて、ゼロ知識証明処理用の共通ステートメントｃｒｓを生成する（ＺＫ．Ｇｅｎ（１^λ）→ｃｒｓに相当する処理を実行する）。

【0200】

ステップＳ１２０２Ｂにおいて、鍵生成装置１は、セキュリティパラメータλに基づいて、グループ管理用鍵ベア、すなわち、グループ管理用公開鍵ｐｋ_ｓおよびグループ管理用秘密鍵ｓｋ_ｓを生成する（ＤＳ．Ｇｅｎ（１^λ）→ｐｋ_ｓ，ｓｋ_ｓに相当する処理を実行する）。

【0201】

（ステップＳＢ１２０３～ＳＢ１２０６）：
ステップＳＢ１２０３～ＳＢ１２０６（ループ処理（ループ１））において、鍵生成装置１は、セキュリティパラメータλに基づいて、グループユーザーｉ用の鍵ペアを生成する処理、すなわち、グループユーザーｉ用公開鍵ｐｋ_ｉおよび秘密鍵ｓｋ_ｉを生成する（ＤＳ．Ｇｅｎ（１^λ）→ｐｋ_ｉ，ｓｋ_ｉに相当する処理を実行する）処理を行う（ステップＳＢ１２０４）。

【0202】

また、鍵生成装置１は、グループ管理用秘密鍵ｓｋ_ｓを用いて、グループユーザーｉのグループユーザーｉと公開鍵ｐｋ_ｉのセットデータ＜ｉ，ｐｋ_ｉ＞に対して署名処理（ＤＳ．Ｓｉｇｎ（ｓｋ_ｓ，＜ｉ，ｐｋ_ｉ＞→ｃｅｒｔ_ｉ））を行うことで、グループユーザーｉ用の証明ｃｅｒｔ_ｉを生成する（ステップＳＢ１２０５）。

【0203】

鍵生成装置１は、上記ステップＳＢ１２０４、ＳＢ１２０５の処理を、グループユーザー数に相当する回数だけ繰り返し実行することで、全てのグループユーザーの鍵ペア（ｐｋ_ｉ，ｓｋ_ｉ）、証明（ｃｅｒｔ_ｉ）を取得する。

【0204】

（ステップＳＢ１２０７）：
ステップＳＢ１２０７において、鍵生成装置１は、生成した鍵を出力する処理を行う。具体的には、鍵生成装置１は、共通ステートメントｃｒｓ、グループ管理用公開鍵ｐｋ_ｓ，追跡装置の属性Ａｔｔを、グループ公開鍵ｇｐｋ（＝（ｃｒｓ，ｐｋ_ｓ，Ａｔｔ））として公開する。

【0205】

また、鍵生成装置１は、マスター秘密鍵ｍｓｋを、ｍｓｋ＝ｓｋ_ｓとして秘密裏に保持する。また、鍵生成装置１は、グループユーザーｉ（グループユーザー用装置ＵＥ（ｄ_ｉ））に、グループユーザーｉ用の秘密鍵ｓｋ_ｉと、証明ｃｅｒｔ_ｉとを秘密裏に送付し、グループユーザーｉ（グループユーザー用装置ＵＥ（ｄ_ｉ））は、秘密鍵ｓｋ_ｉと、証明ｃｅｒｔ_ｉとを保持する。なお、グループユーザーｉ用のデータ（の集合）（ｉ，ｐｋ_ｉ，ｓｋ_ｉ，ｃｅｒｔ_ｉ）をｓｓｋ（＝｛（ｉ，ｐｋ_ｉ，ｓｋ_ｉ，ｃｅｒｔ_ｉ）｝_{ｉ∈｛1,...,N｝}）と表記する。

【0206】

（３．２．３：署名処理（ステップＳＢ１３（図２３）、シーケンス図のＳＳＢ４（図１９）））
ステップＳＢ１３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、署名処理（Ｓｉｇｎ（ｇｐｋ，ｓｓｋ［ｉ］，Ｍ，Ａω））を実行する。

【0207】

（ステップＳＢ１３０１）：
ステップＳＢ１３０１において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、メッセージＭ（グループ署名の対象データ）に対して、グループユーザーｉの秘密鍵ｓｋ_ｉを用いて署名処理（ＤＳ．Ｓｉｇｎ（ｓｋ_ｉ，Ｍ）→ｓ）を行い、署名ｓを生成する。

【0208】

（ステップＳＢ１３０２）：
ステップＳＢ１３０２において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、乱数ｒ（｛０，１｝→ｒ）を設定する。

【0209】

また、グループユーザー用装置ＵＥ（ｄ_ｉ）は、追跡装置について選択した属性を選択属性Ａω（Ａω∈Ａｔｔ）として設定する。

【0210】

そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、乱数ｒと、選択属性Ａωとを用いて、セットデータ＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ＞を暗号化し、暗号化署名データＣを取得する（ＣＰ－ＡＢＥ．Ｅｎｃ（ｇｐｋ，Ａω，＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ＞；ｒ＞→Ｃ））。

【0211】

なお、ＣＰ－ＡＢＥは、パラメータｐａｒａｍ、メッセージＭ、アクセス属性Ｗを入力とし、暗号化データＣを出力する関数である。

【0212】

（ステップＳＢ１３０３）：
ステップＳＢ１３０３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、署名データのゼロ知識証明処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、共通ステートメントｃｒｓを用いて、
ステートメントｘ＝＜ｐｋ_ｓ，Ａω，Ｍ，Ｃ＞、
ウィットネスｗ＝＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ，ｒ＞
として、処理ＺＫ．Ｐｒｖ（ｃｒｓ，ｘ，ｗ）を実行し、ゼロ知識証明Πを取得する。

【0213】

（ステップＳＢ１３０４）：
ステップＳＢ１３０４において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、セキュリティパラメータλを用いて、ワンタイム署名用の鍵生成処理（ＯＴＳ．Ｇｅｎ（１^λ）→（ｏｖｋ，ｏｓｋ））を実行し、ワンタイム署名用公開鍵ｏｖｋ、ワンタイム署名用秘密鍵ｏｓｋを生成する。

【0214】

（ステップＳＢ１３０５）：
ステップＳＢ１３０５において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用秘密鍵ｏｓｋを用いて、セットデータ＜Ｃ，Π＞についての署名処理（ＯＴＳ．Ｓｉｇｎ（ｏｓｋ，＜Ｃ，Π＞）→σ）を行い、ワンタイム署名σを生成する。

【0215】

（３．２．４：検証処理（ステップＳＢ１４（図２４）、シーケンス図のＳＳＢ５（図２０）））
ステップＳＢ１４において、検証装置２は、検証処理を実行する。図２０のステップＳＳＢ５に示すように、グループユーザー用装置ＵＥ（ｄ_ｉ）は、検証装置２に、メッセージＭ、グループ署名Σ（＝（ｏｖｋ，Ｃ，Π，Ａω））、および、ワンタイム署名σを送信する。

【0216】

（ステップＳＢ１４０１）：
ステップＳＢ１４０１において、検証装置２は、グループユーザー用装置ＵＥ（ｄ_ｉ）からグループ署名Σ（＝（ｏｖｋ，Ｃ，Π，Ａω））を受信する。

【0217】

（ステップＳＢ１４０２）：
ステップＳＢ１４０２において、検証装置２は、ワンタイム公開鍵ｏｖｋを用いて、セットデータ＜Ｃ，Π＞がワンタイム署名σについて有効か否かを判定する検証処理ＯＴＳ．Ｖｅｒｉｆｙ（ｏｖｋ，＜Ｃ，Π＞，σ）を実行する。なお、検証処理ＯＴＳ．Ｖｅｒｉｆｙは、ワンタイム署名がメッセージについて有効であるとき、「１」を出力し、ワンタイム署名がメッセージについて有効ではないとき、「０」を出力する。

【0218】

そして、検証装置２は、検証処理ＯＴＳ．Ｖｅｒｉｆｙ（ｏｖｋ，＜Ｃ，Π＞，σ）による判定結果が「０」である場合、処理をステップＳＢ１４０５に進め、判定結果が「１」である場合（「０」ではない場合）、処理をステップＳＢ１４０３に進める。

【0219】

（ステップＳＢ１４０３）：
ステップＳＢ１４０３において、検証装置２は、セットデータ＜ｐｋ_ｓ，Ａω，Ｍ，Ｃ＞のゼロ知識検証処理を行う。具体的には、検証装置２は、共通ステートメントｃｒｓを用いて、処理ＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，＜ｐｋ_ｓ，Ａω，Ｍ，Ｃ，Π）を実行する。

【0220】

そして、検証装置２は、処理ＺＫ．Ｖｅｒｉｆｙ（ｃｒｓ，＜ｐｋ_ｓ，Ａω，Ｍ，Ｃ，Π）による判定結果が「０」である場合、処理をステップＳＢ１４０５に進め、判定結果が「１」である場合（「０」ではない場合）、処理をステップＳＢ１４０４に進める。

【0221】

（ステップＳＢ１４０４）：
ステップＳＢ１４０４において、検証装置２は、グループ署名Σ（＝（ｏｖｋ，Ｃ，Π，Ａω））が「無効」であると判定する。

【0222】

（ステップＳＢ１４０５）：
ステップＳＢ１４０５において、検証装置２は、グループ署名Σ（＝（ｏｖｋ，Ｃ，Π，Ａω））が「有効」であると判定する。

【0223】

（３．２．５：復号鍵生成処理（ステップＳＢ１５（図２５）、シーケンス図のＳＳＢ６（図２０）））
ステップＳＢ１５において、鍵生成装置１は、復号鍵生成処理を実行する。

【0224】

（ステップＳＢ１５０１）：
ステップＳＢ１５０１において、鍵生成装置１は、セキュリティパラメータλに基づいて、グループ公開鍵ｇｐｋ、マスター秘密鍵ｍｓｋ、および、追跡用属性Ａτから、追跡用秘密鍵を生成する処理（ＣＰ－ＡＢＥ．Ｇｅｎ（ｇｐｋ，ｍｓｋ，Ａτ）→ｓｋ_ｅ）を実行し、追跡用秘密鍵ｓｋ_ｅを取得する。なお、追跡用属性Ａτは、追跡処理を許可するための属性であり、属性Ａωが、追跡用属性Ａτを満たす場合（属性Ａωに含まれる属性データが、全て追跡用属性Ａτに含まれる属性データに存在する場合）、追跡処理が許可される（適切に復号できる）。

【0225】

また、ＣＰ－ＡＢＥは、パラメータｐａｒａｍ、マスター秘密鍵ｍｓｋ、属性Ａｔｔを入力として、秘密鍵ｓｋを出力する関数である。

【0226】

（ステップＳＢ１５０２）：
ステップＳＢ１５０２において、鍵生成装置１は、追跡用秘密鍵ｔｓｋを、上記で取得した追跡用秘密鍵ｓｋ_ｅとする出力処理を行う。つまり、鍵生成装置１は、追跡用秘密鍵ｔｓｋ（＝ｓｋ_ｅ）を、追跡用属性Ａτを満たす追跡装置に秘密裏に送付する。

【0227】

（３．２．５：追跡処理（ステップＳＢ１６（図２６）、シーケンス図のＳＳＢ８（図２０）））
ステップＳＢ１６において、追跡装置３－ｉは、追跡処理を実行する。

【0228】

（ステップＳＢ１６０１）：
ステップＳＢ１６０１において、追跡装置３－ｉは、追跡用秘密鍵ｓｋｅ’を用いて、暗号化署名データＣを復号する。

【0229】

このとき、追跡装置３－ｉが、グループユーザーｉが選択した追跡装置の属性を満たす属性を有している場合（すなわち、選択属性Ａωが属性Ａτを満たす場合）、追跡装置３－ｉ（本実施形態では、追跡装置３－１）の追跡用秘密鍵ｓｋ_ｅ’は、追跡用属性Ａτを満たす場合に復号可能な追跡用秘密鍵ｔｓｋ（＝ｓｋ_ｅ）であるため、暗号化署名データＣを正しく復号できる。つまり、追跡装置３－ｉは、復号処理（ＣＰ－ＡＢＥ．Ｄｅｃ（ｓｋ_ｅ’，Ｃ））により、セットデータ＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ＞を取得できる（ＣＰ－ＡＢＥ．Ｄｅｃ（ｓｋ_ｅ’，Ｃ）→＜ｉ，ｐｋ_ｉ，ｃｅｒｔ_ｉ，ｓ＞）。

【0230】

一方、追跡装置３－ｉが、グループユーザーｉが選択した追跡装置の属性を満たす属性を有していない場合（すなわち、選択属性Ａωが属性Ａτを満たさない場合）、追跡装置３－ｉの追跡用秘密鍵ｓｋ_ｅ’は、追跡用属性Ａτを満たす場合に復号可能な追跡用秘密鍵ｔｓｋ（＝ｓｋ_ｅ）ではないため、暗号化署名データＣを正しく復号することはできない。

【0231】

（ステップＳＢ１６０２）：
ステップＳＢ１６０２において、グループユーザーｉが選択した追跡装置の属性を満たす属性を有している追跡装置３－ｉ（本実施形態では、追跡装置３－１）は、ステップＳ１５０１で復号されたデータからグループユーザーｉのＩＤ（＝ｉ）を特定する。これにより、グループユーザーｉが選択した追跡装置の属性を満たす属性を有する追跡装置のみが、グループ署名Σに対して追跡処理を行い、当該グループ署名Σを作成したグループユーザーｉ（本実施形態では、グループユーザーＩＤ＝１（ｉ＝１）のグループユーザー）を特定することができる。

【0232】

なお、上記では、ｉ＝１のグループユーザー（グループユーザーｉ）が選択した追跡装置の属性を満たす属性（選択属性Ａω）を有している追跡装置を追跡装置３－１とした場合について、説明したが、これに限定されることはなく、例えば、（１）ｉ＝１のグループユーザー（グループユーザー１）が選択した追跡装置の属性を満たす属性（選択属性Ａω）を有している追跡装置が、追跡装置３－１であり、かつ、（２）ｉ＝２のグループユーザー（グループユーザー２）が選択した追跡装置の属性を満たす属性（選択属性Ａω’）を有している追跡装置が追跡装置３－２であってもよい。この場合、分散追跡型グループ署名処理システム３０００では、（１）グループユーザーｉ（ｉ＝１）が作成したグループ署名Σについては、追跡装置３－１が追跡処理を実行し、（２）グループユーザーｉ（ｉ＝２）が作成したグループ署名Σについては、追跡装置３－２が追跡処理を実行することになるので、追跡処理を分散させることができる。

【0233】

また、例えば、分散追跡型グループ署名処理システム１０００において、グループユーザーの所属部署により選択属性Ａω（追跡処理を可能とする属性Ａω）を決定し、（１）第１の部署（例えば、営業部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－１）のみが追跡処理を実行できるようにし、（２）第２の部署（例えば、技術部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－２）のみが追跡処理を実行できるようにし、（３）第３の部署（例えば、人事部）に所属するグループユーザーによるグループ署名は、当該部署用の追跡装置（例えば、追跡装置３－３）のみが追跡処理を実行できるようにしてもよい。

【0234】

上記で例示したケースを分散追跡型グループ署名処理システム３０００にて実現する場合、選択属性Ａωを上記条件に合うように、グループユーザーが選択するようにすればよい。

【0235】

以上のように、分散追跡型グループ署名処理システム３０００では、グループユーザーが、追跡装置が満たすべき属性を選択し、グループユーザーにより選択された属性を有する追跡装置のみが、当該グループユーザーが作成したグループ署名についての追跡処理を実行できる。つまり、分散追跡型グループ署名処理システム３０００において、グループユーザーが選択する追跡装置を分散させることで、複数の追跡装置が分散して追跡処理を行うことができる。その結果、分散追跡型グループ署名処理システム３０００では、追跡処理を分散させることができ、追跡処理の処理負荷を軽減させることができる。

【0236】

また、分散追跡型グループ署名処理システム３０００では、属性ベースグループ署名技術を使用しているので、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現することができる。

【0237】

このように、分散追跡型グループ署名処理システム３０００では、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現しつつ、追跡処理における追跡機関（追跡装置）への処理負荷を軽減し、かつ、処理効率を向上させることができる。

【0238】

［第４実施形態］
次に、第４実施形態について、図面を参照しながら、以下、説明する。なお、上述の実施形態と同様の部分については、同一符号を付し、詳細な説明を省略する。

【0239】

＜４．１：分散追跡型グループ署名処理システムの構成＞
図２７は、第４実施形態に係る分散追跡型グループ署名処理システム４０００の概略構成図である。

【0240】

第４実施形態に係る分散追跡型グループ署名処理システム２０００の構成は、第３実施形態の分散追跡型グループ署名処理システム１０００と同様である。第３実施形態では、分散追跡型グループ署名処理システム３０００において、属性ベース暗号（ＡＢＥ：Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄＥｎｃｒｙｐｔｉｏｎ）を用いる場合の一般的な構成（汎用的な構成）、機能について説明した。第４実施形態では、分散追跡型グループ署名処理システム４０００において、属性ベース暗号として、格子暗号（Ｌａｔｔｉｃｅｃｒｙｐｔｏｇｒａｐｈｙ）を用いる場合の具体的な処理について説明する。

【0241】

＜４．２：分散追跡型グループ署名処理システムの動作＞
第４実施形態の分散追跡型グループ署名処理システム４０００の動作について、以下説明する。

【0242】

図２８～図２９は、分散追跡型グループ署名処理システム４０００で実行される処理のシーケンス図である。

【0243】

図３０は、分散追跡型グループ署名処理システム４０００で実行される処理のフローチャートである。

【0244】

図３１、図３２は、分散追跡型グループ署名処理システム４０００で実行される鍵生成処理のフローチャートである。

【0245】

図３３は、分散追跡型グループ署名処理システム４０００で実行される署名処理のフローチャートである。

【0246】

図３４は、分散追跡型グループ署名処理システム４０００で実行される検証処理のフローチャートである。

【0247】

図３５は、分散追跡型グループ署名処理システム４０００で実行される復号鍵生成処理のフローチャートである。

【0248】

図３６は、分散追跡型グループ署名処理システム２０００で実行される追跡処理のフローチャートである。

【0249】

以下では、分散追跡型グループ署名処理システム４０００の動作を、シーケンス図とフローチャートとを参照しながら、説明する。

【0250】

【0251】

【0252】

（４．２．１：セットアップ処理（ステップＳＣ１１（図３０）、シーケンス図のＳＳＣ１（図２８）））
ステップＳＣ１１において、鍵生成装置１は、セットアップ処理（Ｓｅｔｕｐ（１^λ））を実行する。具体的には、鍵生成装置１は、セキュリティパラメータλ（λ：自然数）を設定する。

【0253】

そして、鍵生成装置１は、例えば、先行技術文献Ａに開示されているのと同様に、下記の通り、多項式時間で処理が可能となるように、セキュリティパラメータλに基づいて、各パラメータを設定する。
Ｎ＝２^Ｌ＝ｐｏｌｙ（λ）
ｎ＝ｐｏｌｙ（λ）
ｍ＝ｃｅｉｌ（２ｎ×ｌｏｇ（ｑ））
ｑ＝Ｏ（Ｌｎ^２）
σ＝ω（ｌｏｇ（ｍ））
β＝Ｏ（ｓｑｒｔ（Ｌｎ））
ｃｅｉｌ（ｘ）：天井関数（ｘ以上の最小整数を取得する関数）
ｓｑｒｔ（ｘ）：ｘの平方根を取得する関数
なお、Ｏ（），ω（）は、ランダウの記号である。

【0254】

（４．２．２：鍵生成処理（ステップＳＣ１２（図３１、図３２）、シーケンス図のＳＳＣ２（図２８）））
ステップＳＣ１２において、鍵生成装置１は、鍵生成処理（ＫｅｙＧｅｎ（１^λ，１^Ｎ，Ａｔｔ））を実行する。

【0255】

（ステップＳＣ１２０１）：
ステップＳＣ１２０１において、鍵生成装置１は、例えば、先行技術文献Ｂに開示されている方法と同様にして、modified Boyen's signature schemeのための行列Ａ∈Ｚ^ｎ×ｍ _ｑ（Ｚ：整数全体の集合）と、そのトラップドアーＴ_Ａ∈Ｚ_ｑ ^ｍ×ｍとを生成する。

【0256】

なお、分散追跡型グループ署名処理システム４０００では、格子暗号を用いることを前提としており、格子は、整数ｎ、ｍ、素数ｑ、Ａ∈Ｚ^ｎ×ｍ _ｑ、ｕ∈Ｚ^ｎ _ｑとすると、格子Λは、以下のように定義される。

【数4】

なお、上記数式の上側の格子を「Λ_ｑ ^{（ｚｅｒｏ）}（Ａ）」と表記することがある。

【0257】

（ステップＳＣ１２０２）：
ステップＳＣ１２０２において、鍵生成装置１は、例えば、先行技術文献Ｂに開示されている方法と同様にして、modified Boyen's signature schemeのための検証キー（検証用行列）Ａ_０，Ａ_１，．．．，Ａ_Ｌ∈Ｚ_ｑ ^ｎ×ｍ（Ｚ：整数全体の集合）と、ベクトルｕ∈Ｚ_ｑ ^ｎとを生成する。

【0258】

（ステップＳＣ１２０３）：
ステップＳＣ１２０３において、鍵生成装置１は、ランダム行列Ｂ∈Ｚ_ｑ ^ｎ×ｍを取得する。

【0259】

（ステップＳＣ１２０４～ＳＣ１２０９）：
ステップＳＣ１２０４～ＳＣ１２０９（ループ処理（ループ１））において、鍵生成装置１は、全てのグループユーザー（全てのグループユーザー用装置）について、ステップＳＣ１２０５～ステップＳＣ１２０８の処理を行う。

【0260】

（ステップＳＣ１２０５）：
ステップＳＣ１２０５において、鍵生成装置１は、Ｌビットの文字列ｄを選択（生成）する。すなわち、鍵生成装置１は、ｄ＝ｄ［１］・・・ｄ［Ｌ］∈｛０，１｝^Ｌである文字列ｄを生成する。なお、Ｌビットの文字列ｄが、グループユーザー（グループユーザー用装置）を特定するための文字列（グループユーザーＩＤ）となる。

【0261】

（ステップＳＣ１２０６）：
ステップＳＣ１２０６において、鍵生成装置１は、グループユーザーＩＤに相当する文字列ｄを用いて、下記数式に相当する処理を行うことで、行列Ａ_ｄを算出する。

【数5】

ｄ_ｉ＝ｄ［ｉ］
ｄ＝ｄ［１］・・・ｄ［Ｌ］∈｛０，１｝^Ｌ
（ステップＳＣ１２０７）：
ステップＳＣ１２０７において、鍵生成装置１は、トラップドアーＴ_Ａと、行列Ａ_ｄとを用いて、トラップドアーＴ_Ａｄ取得処理（ＥｘｔＢａｓｉｓ（Ｔ_Ａ，Ａ_ｄ）→Ｔ_Ａｄ）を実行することで、トラップドアーＴ_Ａｄを取得する。

【0262】

【0263】

（ステップＳＣ１２０８）：
ステップＳＣ１２０８において、鍵生成装置１は、ｓｓｋ用データｚの取得処理を行う。具体的には、鍵生成装置１は、ＳａｍｐｌｅＰｒｅ（Ｔ_Ａｄ，Ａ_ｄ，ｕ，σ）→ｚに相当する処理により、ｓｓｋ用データｚを取得する。なお、Ａ_ｄｚ＝ｕｍｏｄｑ、ＮｏｒｍＡ（ｚ）≦β（ＮｏｒｍＡ（ｘ）は、ｘの無限大ノルムを取得する関数）となるようにｚを取得する。

【0264】

【0265】

（ステップＳＣ１２１０）：
ステップＳＣ１２１０において、鍵生成装置１は、上記により取得（生成）した鍵を出力する処理を行う。具体的には、グループ公開鍵ｇｐｋを、ｇｐｋ＝（（Ａ，Ａ_０，Ａ_１，．．．，Ａ_Ｌ，ｕ），Ｂ）として公開する。

【0266】

また、鍵生成装置１は、マスター秘密鍵ｍｓｋを、ｍｓｋ＝ｓｋ_ｓとして秘密裏に保持する。

【0267】

また、鍵生成装置１は、グループユーザー署名用鍵ｓｓｋ＝（ｄ，ｚ）を対応するグループユーザー用装置に秘密裏に送付する。

【0268】

（４．２．３：署名処理（ステップＳＣ１３（図３３）、シーケンス図のＳＳＣ４（図２８）））
ステップＳＣ１３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、署名処理Ｓｉｇｎ（ｇｐｋ，ｓｓｋ［ｉ］，Ｍ，Ａω）を実行する。

【0269】

（ステップＳＣ１３０１）：
ステップＳＣ１３０１において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、セキュリティパラメータλを用いて、ワンタイム署名用の鍵生成処理（ＯＴＳ．Ｇｅｎ（１^λ）→（ｏｖｋ，ｏｓｋ））を実行し、ワンタイム署名用公開鍵ｏｖｋ、ワンタイム署名用秘密鍵ｏｓｋを生成する。

【0270】

（ステップＳＣ１３０２）：
ステップＳＣ１３０２において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ユーザーＩＤ（＝ｄ）の暗号化処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用公開鍵ｏｖｋを用いて、ハッシュ関数Ｈ_１により、暗号化用行列Ｇを生成する（Ｇ＝Ｈ_１（ｏｖｋ）∈Ｚ_ｑ ^ｎ×Ｌ）。

【0271】

また、グループユーザー用装置ＵＥ（ｄ_ｉ）は、属性Ａω＝ｕ_ｉ，ｊ（ｕ_ｉ，ｊは、属性（の集合）Ａωに含まれる属性（個別の属性）を示すデータである）について、下記数式に相当する処理を実行することで、行列Ｆ_ωを取得する。

【数6】

なお、ｖ_ｉ，ｊは、属性Ａωに含まれる属性（個別の属性）を示すデータである。

【0272】

また、グループユーザー用装置ＵＥ（ｄ_ｉ）は、χを整数の集合Ｚ上の確率分布とすると、データｓをχ^ｎからサンプルすることで取得し、データｅ_１をχ^ｍからサンプルすることで取得し、データｅ_２をχ^Ｌからサンプルすることで取得する。

【0273】

そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、下記数式に相当する処理により、ユーザーＩＤ（＝ｄ）の暗号化データを取得する。
ｃ_１＝Ｆ_ω ^Ｔｓ＋ｅ_１
ｃ_２＝Ｇ^Ｔｓ＋ｅ_２＋ｆｌｏｏｒ（ｑ／２）ｄ
ｆｌｏｏｒ（ｘ）：床関数（ｘ以下の最大の整数を取得する関数）
Ｆ_ω ^Ｔ：Ｆ_ωの転置行列
Ｇ^Ｔ：Ｇの転置行列
なお、行列Ｆ_ωは、グループユーザーにより選択された追跡装置の属性を有する追跡装置を特定するための行列である。

【0274】

（ステップＳＣ１３０３）：
ステップＳＣ１３０３において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ゼロ知識証明Πの生成処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、（１）グループ署名をしたグループユーザーが有効なメッセージ－署名ペア（ｄ，ｚ）（Ｂｏｙｅｎ’ｓ署名の有効なメッセージ－署名ペア）を有していること、および、（２）暗号化データｃ_１，ｃ_２がワンタイム署名用公開鍵ｏｖｋによりグループユーザーＩＤ（＝ｄ）を正しく暗号化したデータであることを証明するためのゼロ知識証明Πを生成する。このために、グループユーザー用装置ＵＥ（ｄ_ｉ）は、以下の行列Ｐ、ベクトルｃ、ｅを取得する。

【数7】

そして、グループユーザー用装置ＵＥ（ｄ_ｉ）は、公開データ（Ａ，Ａ_０，．．．，Ａ_Ｌ，ｕ，Ｂ，Ｐ，ｃ）、ウィットネス（ｄ，ｚ，ｅ）を用いて、下記先行技術文献Ｄに記載されている方法（プロトコル）を実行する。
（先行技術文献Ｄ）：
S. Ling, K. Nguyen, and H. Wang, “ Group signatures from lattices: simpler, tighter, shorter, ring-based,” in PKC 2015, LNCS, vol. 9020. Springer Berlin Heidelberg, 2015, pp. 427 -449.
グループユーザー用装置ＵＥ（ｄ_ｉ）は、上記方法（プロトコル）をｔ（＝ω（ｌｏｇ（ｎ）））回繰り返し、誤差が無視できる程度になるようにする。

【0275】

【0276】

【0277】

（ステップＳＣ１３０４）：
ステップＳＣ１３０４において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名処理を行う。具体的には、グループユーザー用装置ＵＥ（ｄ_ｉ）は、ワンタイム署名用秘密鍵ｏｓｋを用いて、暗号化データｃ_１，ｃ_２，ゼロ知識証明Πについての署名処理（ＯＳｉｇｎ（ｏｓｋ，（ｃ_１，ｃ_２），Π）→ｓｉｇ）を行い、ワンタイム署名ｓｉｇを生成する。

【0278】

（ステップＳＣ１３０５）：
ステップＳＣ１３０５において、グループユーザー用装置ＵＥ（ｄ_ｉ）は、グループ署名Σを（ｏｖｋ，（ｃ_１，ｃ_２），Π，ｓｉｇ，Ａω）として、当該グループ署名Σの出力処理を行う。

【0279】

（４．２．４：検証処理（ステップＳＣ１４（図３４）、シーケンス図のＳＳＣ５（図２９）））
ステップＳＣ１４において、検証装置２は、検証処理を実行する。図２９のステップＳＳＡ５に示すように、グループユーザー用装置ＵＥ（ｄ_ｉ）は、検証装置２に、メッセージＭ、グループ署名Σ（＝（ｏｖｋ，（ｃ_１，ｃ_２），Π，ｓｉｇ，Ａω））を送信する。

【0280】

（ステップＳＣ１４０１）：
ステップＳＣ１４０１において、検証装置２は、グループユーザー用装置ＵＥ（ｄ_ｉ）から受信したグループ署名Σ（＝（ｏｖｋ，（ｃ_１，ｃ_２），Π，ｓｉｇ，Ａω））に含まれる属性Ａωを解析する処理を行う。そして、検証装置２は、解析の結果、Ａω∈Ａｔｔを満たさないと判定した場合、検証処理が失敗したと判定する。一方、検証処理は、解析の結果、Ａω∈Ａｔｔを満たすと判定した場合、処理をステップＳＣ１４０２に進める。

【0281】

（ステップＳＣ１４０２）：
ステップＳＣ１４０２において、検証装置２は、グループユーザー用装置ＵＥ（ｄ_ｉ）からグループ署名Σ（＝（ｏｖｋ，（ｃ_１，ｃ_２），Π，ｓｉｇ，Ａω））を受信する。

【0282】

（ステップＳＣ１４０３）：
ステップＳＣ１４０３において、検証装置２は、ゼロ知識証明Πを解析する処理を行う。具体的には、検証装置２は、ゼロ知識証明Πを（｛ＣＭＴ_ｊ｝^ｔ _ｊ＝１，ＣＨ，｛ＲＳＰ_ｊ｝^ｔ _ｊ＝１）として解析し、（Ｃｈ_１，．．．，Ｃｈ_ｔ）がＨ_２（Ｍ，｛ＣＭＴ_ｊ｝^ｔ _ｊ＝１，ｃ_１，ｃ_２）と等しくない場合、値「０」を返す。

【0283】

（ステップＳＣ１４０４）：
ステップＳＣ１４０４において、検証装置２は、ゼロ知識証明Πによる検証処理を行う。具体的には、検証装置２は、暗号化用行列Ｇを、Ｇ＝Ｈ_１（ｏｖｋ）により算出し、さらに、上記（数式３）により、データＰ，ｃを算出する。そして、検証装置２は、ｊ＝｛１，．．．，ｔ｝において、公開データ（Ａ，Ａ_０，．．．，Ａ_Ｌ，ｕ，Ｂ，Ｐ，ｃ）を用いて、先行技術文献Ｄに記載されている方法（プロトコル）の検証処理（ＣＭＴ_ｊ、Ｃｈ_ｊについて、ＲＳＰ_ｊが有効かを判断する検証処理）を実行する。そして、いずれかの条件（Ｃｏｎｄｉｔｉｏｎ）が失敗した場合、検証装置２は、値「０」を返す。

【0284】

そして、ステップＳＣ１４０３、ステップＳＣ１４０４において、値「０」が返されることがなかった場合、検証装置２は、値「１」（検証が有効であることを示す値）を返す。

【0285】

（４．２．５：復号鍵生成処理（ステップＳＣ１５（図３５）、シーケンス図のＳＳＣ６（図２９）））
ステップＳＣ１５において、鍵生成装置１は、復号鍵生成処理を実行する。

【0286】

（ステップＳＣ１５０１）：
ステップＳＣ１５０１において、鍵生成装置１は、下記数式に相当する処理を実行し、行列Ｆを取得する。

【数8】

（ステップＳＣ１５０２）：
ステップＳＣ１５０２において、鍵生成装置１は、追跡用トラップドアーの取得処理を行う。具体的には、鍵生成装置１は、トラップドアーＴ_Ａと、行列Ｆ_ｉとを用いて、トラップドアーＴ_Ｆ取得処理（ＥｘｔＢａｓｉｓ（Ｔ_Ａ，Ｆ_ｉ）→Ｔ_Ｆ）を実行することで、トラップドアーＴ_Ｆを取得する。

【0287】

【0288】

上記により取得されたトラップドアーＴ_Ｆは、グループユーザーが選択した追跡装置についての属性を満たす場合に、グループ署名Σを正常に復号できる秘密鍵となる。

【0289】

（ステップＳＣ１５０３）：
ステップＳＣ１５０３において、鍵生成装置１は、上記により取得（生成）した鍵を出力する処理を行う。つまり、鍵生成装置１は、追跡用トラップドアーＴ_Ｆを、追跡用属性Ａτを満たす追跡装置に秘密裏に送付する。

【0290】

（４．２．６：追跡処理（ステップＳＣ１６（図３６）、シーケンス図のＳＳＣ８（図２９）））
ステップＳＣ１６において、追跡装置３－ｉは、追跡処理を実行する。なお、追跡装置３－ｉは、属性Ａωが追跡用属性Ａτを満たすか否かを判定する。属性Ａωが追跡用属性Ａτを満たさない場合、追跡装置３－ｉは、追跡処理を終了する（この場合、正常に追跡処理ができないので、追跡処理を終了する）。一方、属性Ａωが追跡用属性Ａτを満たす場合、追跡装置３－ｉは、ステップＳＣ１６０１以下の処理を行う。

【0291】

（ステップＳＣ１６０１）：
ステップＳＣ１６０１において、追跡装置３－ｉは、暗号化用行列Ｇの分解処理を行う。具体的には、追跡装置３－ｉは、
Ｇ＝［ｇ_１｜．．．｜ｇ_Ｌ］＝Ｈ_１（ｏｖｋ）
として、暗号化用行列Ｇの要素データｇ_１，．．．，ｇ_Ｌを取得する。

【0292】

（ステップＳＣ１６０２）：
ステップＳＣ１６０２において、追跡装置３－ｉは、比較用行列Ｙの取得処理を行う。具体的には、追跡装置３－ｉは、ｉ∈｛１，．．．，Ｌ｝について、ＳａｍｐｌｅＰｒｅ（ｔｓｋ＝Ｔ_Ｆ，Ｆ，ｇ，σ）により、ｙ_ｉをサンプルする。そして、追跡装置３－ｉは、
Ｙ＝［ｙ_１｜．．．｜ｙ_Ｌ］
とするとことで、比較用行列Ｙを取得する。

【0293】

なお、行列Ｆは、グループユーザーにより選択された属性を有する追跡装置（本実施形態の場合、追跡装置３－１）を特定するための行列である。

【0294】

（ステップＳＣ１５０３）：
ステップＳＣ１５０３において、追跡装置３－ｉは、データｄ’の算出処理を行う。具体的には、追跡装置３－ｉは、
ｄ’＝（ｄ’_１，．．．，ｄ’_Ｌ）＝ｃ_２－Ｙ^Ｔｃ_１
Ｙ^Ｔ：Ｙの転置行列
に相当する処理を実行することで、データｄ’を算出する。

【0295】

（ステップＳＣ１５０４）：
ステップＳＣ１５０４において、追跡装置３－ｉは、データｄ’の要素データｄ’_ｉの判定処理を行う。具体的には、追跡装置３－ｉは、ｉ∈｛１，．．．，Ｌ｝において、データｄ’の要素データｄ’_ｉがｆｌｏｏｒ（ｑ／２）ｍｏｄｑよりも「０」に近いならば、ｄ_ｉ＝０とし、データｄ’の要素データｄ’_ｉがｆｌｏｏｒ（ｑ／２）ｍｏｄｑよりも「０」に近くないならば、ｄ_ｉ＝１とする。

【0296】

そして、追跡装置３－ｉは、上記処理により、グループユーザーのＩＤ（＝ｄ＝（ｄ_１，．．．，ｄ_Ｌ））を取得する。

【0297】

なお、本実施形態では、グループユーザーにより選択された属性を有する追跡装置が追跡装置３－１であるので、追跡装置３－１により、上記処理が実行された場合のみ、正しく、グループユーザーのＩＤ（＝ｄ＝（ｄ_１，．．．，ｄ_Ｌ））を取得することができる。

【0298】

なお、上記では、ｉ＝１のグループユーザー（グループユーザーｉ）が選択した追跡装置の属性を満たす属性（選択属性Ａω）を有している追跡装置を追跡装置３－１とした場合について、説明したが、これに限定されることはなく、例えば、（１）ｉ＝１のグループユーザー（グループユーザー１）が選択した追跡装置の属性を満たす属性（選択属性Ａω）を有している追跡装置が、追跡装置３－１であり、かつ、（２）ｉ＝２のグループユーザー（グループユーザー２）が選択した追跡装置の属性を満たす属性（選択属性Ａω’）を有している追跡装置が追跡装置３－２であってもよい。この場合、分散追跡型グループ署名処理システム４０００では、（１）グループユーザーｉ（ｉ＝１）が作成したグループ署名Σについては、追跡装置３－１が追跡処理を実行し、（２）グループユーザーｉ（ｉ＝２）が作成したグループ署名Σについては、追跡装置３－２が追跡処理を実行することになるので、追跡処理を分散させることができる。

【0299】

【0300】

上記で例示したケースを分散追跡型グループ署名処理システム４０００にて実現する場合、選択属性Ａωを上記条件に合うように、グループユーザーが選択するようにすればよい。

【0301】

以上のように、分散追跡型グループ署名処理システム４０００（暗号方式として格子暗号を使用）では、グループユーザーが、追跡装置が満たすべき属性を選択し、グループユーザーにより選択された属性を有する追跡装置のみが、当該グループユーザーが作成したグループ署名についての追跡処理を実行できる。つまり、分散追跡型グループ署名処理システム４０００において、グループユーザーが選択する追跡装置を分散させることで、複数の追跡装置が分散して追跡処理を行うことができる。その結果、分散追跡型グループ署名処理システム４０００では、追跡処理を分散させることができ、追跡処理の処理負荷を軽減させることができる。

【0302】

また、分散追跡型グループ署名処理システム４０００では、属性ベースグループ署名技術を使用しているので、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現することができる。

【0303】

このように、分散追跡型グループ署名処理システム４０００では、（１）グループユーザーの匿名性（ＵｓｅｒＡｎｏｎｙｍｉｔｙ）、および、（２）グループユーザーの追跡可能性（ＵｓｅｒＴｒａｃｅａｂｉｌｉｔｙ）の両方を実現しつつ、追跡処理における追跡機関（追跡装置）への処理負荷を軽減し、かつ、処理効率を向上させることができる。

【0304】

［他の実施形態］
また、上記実施形態で説明した分散追跡型グループ署名処理システム１０００，２０００、３０００、４０００、鍵生成装置１、グループユーザー用装置ＵＥ（ｄ_ｉ）、検証装置２、および、追跡装置３－１～３－Ｔにおいて、各ブロックは、ＬＳＩなどの半導体装置により個別に１チップ化されても良いし、一部又は全部を含むように１チップ化されても良い。

【0305】

なお、ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。

【0306】

また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（ＦｉｅｌｄＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。

【0307】

また、上記各実施形態の各機能ブロックの処理の一部または全部は、プログラムにより実現されるものであってもよい。そして、上記各実施形態の各機能ブロックの処理の一部または全部は、コンピュータにおいて、中央演算装置（ＣＰＵ）により行われる。また、それぞれの処理を行うためのプログラムは、ハードディスク、ＲＯＭなどの記憶装置に格納されており、ＲＯＭにおいて、あるいはＲＡＭに読み出されて実行される。

【0308】

また、上記実施形態の各処理をハードウェアにより実現してもよいし、ソフトウェア（ＯＳ（オペレーティングシステム）、ミドルウェア、あるいは、所定のライブラリとともに実現される場合を含む。）により実現してもよい。さらに、ソフトウェアおよびハードウェアの混在処理により実現しても良い。

【0309】

例えば、上記実施形態の各機能部を、ソフトウェアにより実現する場合、図３７に示したハードウェア構成（例えば、ＣＰＵ（ＧＰＵを含む）、ＲＯＭ、ＲＡＭ、入力部、出力部等をバスＢｕｓにより接続したハードウェア構成）を用いて、各機能部をソフトウェア処理により実現するようにしてもよい。

【0310】

また、上記実施形態における処理方法の実行順序は、必ずしも、上記実施形態の記載に制限されるものではなく、発明の要旨を逸脱しない範囲で、実行順序を入れ替えることができるものである。

【0311】

前述した方法をコンピュータに実行させるコンピュータプログラム及びそのプログラムを記録したコンピュータ読み取り可能な記録媒体は、本発明の範囲に含まれる。ここで、コンピュータ読み取り可能な記録媒体としては、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、大容量ＤＶＤ、次世代ＤＶＤ、半導体メモリを挙げることができる。

【0312】

上記コンピュータプログラムは、上記記録媒体に記録されたものに限られず、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク等を経由して伝送されるものであってもよい。

【0313】

なお、本発明の具体的な構成は、前述の実施形態に限られるものではなく、発明の要旨を逸脱しない範囲で種々の変更および修正が可能である。

【符号の説明】

【0314】

１０００、２０００、３０００、４０００分散追跡型グループ署名処理システム
１鍵生成装置
２検証装置
３－１～３－Ｔ追跡装置
ＵＥ（ｄ_１）～ＵＥ（ｄ_ｎ）グループユーザー用装置

【図1】