匿名サービス提供システム、装置、プログラム及び方法
【課題】オンライン取引において匿名の利用者にサービス提供する。
【解決手段】サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する複数の利用者装置１００と、サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元に送信し、公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性の検証結果を検証し、該リング署名σの正当性の確認後、暗号化決済情報の正当性の確認結果に応じて、サービス要求元にサービスを提供するサービス提供者装置３００と、暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置４００とを備える。
【解決手段】サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する複数の利用者装置１００と、サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元に送信し、公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性の検証結果を検証し、該リング署名σの正当性の確認後、暗号化決済情報の正当性の確認結果に応じて、サービス要求元にサービスを提供するサービス提供者装置３００と、暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置４００とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、オンライン取引において匿名の利用者にサービス提供し得る匿名サービス提供システムに関する。
【背景技術】
【０００２】
近年、商品やサービス（以下、単にサービスともいう）がオンラインで提供されている。
【０００３】
オンラインでのサービス提供に際しては、利用者やサービス提供者が正当な取引者であることが証明される必要がある。そこで、従来からオンライン取引の際には、正当な取引者であることを証明するために公開鍵暗号が用いられている。
【０００４】
しかしながら、公開鍵暗号を用いたオンライン取引システムでは、サービス提供者に利用者の注文情報が特定されてしまい、プライバシの保護が必ずしも十分ではないという問題がある。
【０００５】
プライバシの保護を確保すべく、利用者の匿名性を実現する暗号方式として、グループ署名方式とリング署名方式とが一般的に知られている。
【０００６】
グループ署名方式を用いれば、グループのメンバによりサービスが注文されたことをサービス提供者に知らせることができるとともに、誰が注文したかまでは特定されないようにすることができる。しかしながら、グループ署名方式では、サービス毎にグループ鍵を管理しなければならず、鍵管理が複雑になるという問題がある。そのため、オンライン取引システムへの導入が困難となる。また、グループ秘密鍵を管理するグループ管理者に権限が集中してしまうという問題がある。
【０００７】
一方、リング署名方式では、公開鍵登録簿から複数の公開鍵を取得して、グループに対応するリング署名を生成する。そのため、リング署名方式では、管理者を設定する必要がない。また、既存の公開鍵暗号基盤を流用でき、グループ署名方式に比して鍵管理が容易である。
【０００８】
ところで、オンライン取引システムでは課金業務が発生するため、決済機関が利用者を特定する必要が生じる。
【０００９】
この点、リング署名方式では、グループ署名方式とは異なり管理者がいないため、リング署名の生成者を特定することができない。そのため、決済処理等に異常が生じた場合、他の利用者が巻き添えになることが懸念される。これに関しては、他の利用者が巻き添えにならないように、リング署名の否認機能の適用が検討されている（例えば、非特許文献１参照）。
【非特許文献１】駒野雄一、外３名，「否認機能を持つリング署名方式の再考（その２）」，信学技報，社団法人電気情報通信学会，２００５年５月１８日，Ｖｏｌ．１０５，Ｎｏ．５１（２００５０５１１），ｐｐ．９−１６
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上述の如く、オンライン取引システムへのリング署名方式の適用が検討されている。リング署名方式を適用するためには、サービス提供者には利用者を特定させず、決済機関には利用者を特定させる必要がある。また、決済処理の異常時等に、他の利用者が巻き添えにならないようにする必要がある。
【００１１】
また、リング署名を生成する際には多数の公開鍵を用いるが、利用者の匿名性を高めるように、適切に公開鍵を選択する必要がある。
【００１２】
本発明は、上記実情に鑑みてなされたものであり、オンライン取引において匿名の利用者にサービス提供することを目的とする。
【課題を解決するための手段】
【００１３】
本発明は上記課題を解決するために、サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する複数の利用者装置と、サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する公開鍵証明書リストをサービス要求元に送信し、公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の検証結果の確認後、暗号化決済情報の正当性の確認結果に応じて、サービス要求元にサービスを提供するサービス提供者装置と、暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置とを備えた匿名サービス提供システムを提供する。
【００１４】
なお、本発明は、各装置の集合体を「システム」として表現したが、これに限らず、装置毎に「装置」又は「プログラム」として表現してもよく、また、システム又は装置毎に「方法」として表現してもよい。すなわち、本発明は、任意のカテゴリーで表現可能となっている。
【００１５】
＜用語＞
本発明において、「サービス」とは、オンライン取引において販売される販売対象のことであり、サービスに付随するデータのみならず、デジタルコンテンツ等の商品を含むものである。
【００１６】
また、本発明において、各記号の定義は以下の表１に従う。
【表１】
【００１７】
＜作用＞
従って、本発明によれば、利用者装置が、サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成し、決済機関装置が、暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認し、サービス提供者装置が、サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元に送信し、公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の検証結果の確認後、暗号化決済情報の正当性の確認結果に応じて、サービス要求元にサービスを提供するので、サービス提供者に利用者が特定されずに決済処理されることになり、オンライン取引において匿名の利用者にサービス提供し得る匿名サービス提供システムを提供できる。
【発明の効果】
【００１８】
本発明によれば、オンライン取引において匿名の利用者にサービス提供することが可能となる。
【発明を実施するための最良の形態】
【００１９】
以下、図面を参照して本発明の実施形態を説明する。
【００２０】
＜第１の実施形態＞
（匿名サービス提供システムの構成）
図１は本発明の第１の実施形態に係る匿名サービス提供システム１の構成を示す模式図である。
【００２１】
匿名サービス提供システム１は、複数の利用者装置１００・証明書発行装置２００・サービス提供者装置３００・決済機関装置４００を備えており、各装置はインターネットなどのネットワーク５００で接続されている。なお、サービス提供者装置３００と決済機関装置４００とは、セキュリティが担保された専用線などのネットワークで接続されていることが好ましい。
【００２２】
図２は本実施形態における匿名サービス提供システム１の各装置の構成を示す模式図である。
【００２３】
各利用者装置１００は、サービスを受ける利用者が操作する端末であり、一般的なコンピュータ等にソフトェアが組み込まれることにより、鍵ペア生成部１０１・証明書発行要求部１０２・鍵情報記憶部１０３・サービス要求部１０４・公開鍵情報選択部１０５・リング署名生成部１０６・決済情報処理部１０７・サービス受付部１０８として機能する。
【００２４】
鍵ペア生成部１０１は、サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成するものである。なお、利用者秘密鍵Ｓｋｉは該利用者装置が電子署名を生成するために用いるものである。
【００２５】
証明書発行要求部１０２は、鍵ペア生成部１０１で生成された利用者公開鍵Ｐｋｉに対する公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）の発行を要求するものであり、サービスＩＤと利用者公開鍵Ｐｋｉとを含む「証明書発行要求」を証明書発行装置２００に送信する。また、証明書発行要求部１０２は、証明書発行装置２００から公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が送信された場合、送信されてきた公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を鍵情報記憶部１０３に書き込む。
【００２６】
鍵情報記憶部１０３は、鍵ペア生成部１０１で生成された鍵ペア（Ｐｋｉ，Ｓｋｉ）ならびに公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を記憶する記憶装置である。
【００２７】
サービス要求部１０４は、利用者が希望するサービスをサービス提供者装置３００に要求するものであり、サービスＩＤを含む「サービス要求」をサービス提供者装置３００に送信する。なお、ここでいうサービスには、インターネットで提供される各種サービスのみならず、サービスに付随して提供されるデジタルコンテンツ等の商品データが含まれる。
【００２８】
公開鍵情報選択部１０５は、電子署名を生成するのに必要な公開鍵を選択するものである。ここでは、公開鍵情報選択部１０５は、サービス要求に応じてサービス提供者装置３００から公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名σの生成に用いる“リング署名用公開鍵情報”として選択する。
【００２９】
リング署名生成部１０６は、公開鍵情報選択部１０５により選択されたリング署名用公開鍵情報の各利用者公開鍵｛Ｐｋ１，…，ＰｋＬ’｝と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいて、後述する方法（図５のステップＳＴ１８）により、リング署名σを生成する。また、リング署名生成部１０６は、リング署名σと、決済情報処理部１０７で生成される暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とをサービス提供者装置３００に送信する機能を有している。
【００３０】
決済情報処理部１０７は、利用者からの決済情報等の入力により、サービスを受けるのに必要な決済処理を行なうものである。具体的には、決済情報処理部１０７は、クレジットカード番号ｃｒｅｄｉｔｋ等の決済情報を決済機関公開鍵Ｐｋｐａｙｍｅｎｔで暗号化した暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を生成する。なお、Ｅ（ｋｅｙ，ｍ）はデータｍを暗号鍵ｋｅｙで暗号化処理することを示す。当該処理では、ＲＳＡ暗号などの公開鍵暗号を用いた処理が行なわれる。
【００３１】
サービス受付部１０８は、サービス提供者装置３００から送信される各種データを受け付けるものである。例えば、サービス受付部は、翻訳サービスの翻訳データや、映画配信サービスのストリーミングデータ等の提供を受け付ける。
【００３２】
証明書発行装置２００は、証明書情報記憶部２０１と公開鍵証明書発行処理部２０２とを備えている。
【００３３】
証明書情報記憶部２０１は、図３に示すように、公開鍵証明書発行処理部２０２により発行された利用者公開鍵Ｐｋｉの公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）とサービスＩＤとを関連付けて記憶する記憶装置である。図３において、Service1、Service2、・・・はサービスＩＤ（ＳＩＤ）を示している。ここで、“サービスＩＤ”はサービス提供者装置３００が提供するサービスと対応するものであり、利用者は公開鍵証明書の発行要求時等に希望するサービスのサービスＩＤを選択する。なお、証明書情報記憶部２０１は、公開鍵証明書と関連付けて利用者情報を記憶する。この利用者情報に基づいて、１８歳未満の利用者にはサービス提供しないようにしたり、指定地域以外の居住者にはサービス提供しないようにしたりすることが可能となる。
【００３４】
なお、公開鍵証明書としては、例えば図４に示すようなＸ．５０９の標準フォーマットが採用される。Ｘ．５０９の公開鍵証明書では、利用者公開鍵Ｐｋｉ以外にも、バージョン、シリアル番号、署名アルゴリズム、証明書発行者、有効期間、所有者名（利用者氏名）、認証局固有拡張子、所有者固有拡張子、拡張情報等が含まれる。このＸ．５０９のフォーマットでは、公開鍵証明書の“拡張情報（extensions）”の項目にサービス情報を追加して、公開鍵証明書自体に利用者の属性情報等を追加することができる。これにより、サービス毎に新たな鍵ペアを生成しなくても、既存の公開鍵証明書を新たなサービスに流用することが可能となる。
【００３５】
公開鍵証明書発行処理部２０２は、利用者装置１００から送られる利用者公開鍵Ｐｋｉに対して公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を発行するものである。具体的には、公開鍵証明書発行処理部２０２は、利用者装置１００から「証明書発行要求」を受信した場合、該証明書発行要求に含まれる利用者公開鍵Ｐｋｉの公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）をサービスＩＤに関連付けて発行し、証明書情報記憶部２０１に書き込んでいる。また、公開鍵証明書発行処理部２０２は、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が発行された場合、その公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を証明書発行要求元の利用者装置１００に送信する。
【００３６】
サービス提供者装置３００は、オンライン取引のサービスを提供するサーバ装置であり、コンピュータにソフトェアが組み込まれることにより、公開鍵情報記憶部３０１・公開鍵情報書込処理部３０２・公開鍵情報読出処理部３０３・サービスメニュー部３０４・リング署名検証部３０５・決済要求部３０６・サービス提供部３０７・履歴情報記憶部３０８として機能する。
【００３７】
公開鍵情報記憶部３０１は、リング署名σの生成に用いる複数の公開鍵証明書をサービスＩＤに関連付けて記憶する記憶装置である。具体的には、公開鍵情報記憶部３０１は、サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストを記憶している。
【００３８】
公開鍵情報書込処理部３０２は、公開鍵情報記憶部３０１に対して書き込み処理を実行するものであり、証明書発行装置２００の証明書情報記憶部２０１から各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得する機能と、取得した公開鍵証明書を公開鍵情報記憶部３０１に書き込む機能とを有している。
【００３９】
公開鍵情報読出処理部３０３は、利用者装置１００から「サービス要求」を受信した場合、該サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書を公開鍵情報記憶部３０１から読み出すものである。読み出された各公開鍵証明書はサービスメニュー部３０４に送出される。
【００４０】
サービスメニュー部３０４は、サービス提供者装置３００が提供するサービスメニューを出力するものである。このサービスメニューは、例えばインターネットを介してアクセス可能に取得し得る状態となっている。サービスメニューにおいては、提供可能サービスに対応する公開鍵証明書がリスト化されており、利用者装置１００からの要求に応じて、公開鍵証明書リストが送信される。要するに、サービスメニュー部３０４では、公開鍵情報読出部３０３により読み出された各公開鍵証明書をリスト化し、サービス要求元の利用者装置１００に送信する。この際、公開鍵証明書自体は送信せず、例えば公開鍵証明書のシリアル番号をリスト化した公開鍵証明書リストを送信するとしてもよい。
【００４１】
リング署名検証部３０５は、公開鍵証明書リストの送信に応じて利用者装置１００からリング署名σと暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とを受信した場合、受信したリング署名σの正当性を、後述する方法（図５のステップＳＴ２３）により検証する。
【００４２】
決済要求部３０６は、サービスに対する決済処理を決済機関装置４００へ要求するものである。具体的には、決済要求部３０６は、リング署名検証部３０５の検証結果によりリング署名σが正当であると確認された場合、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を含む「決済要求」を決済機関装置４００に送信する。
【００４３】
また、決済要求部３０６は、決済要求に応じて決済機関装置４００から「確認結果」を受信する。確認結果には、決済機関装置４００により決済処理が可能（ＯＫ）であるか、不可能（ＮＧ）であるかが示されている。確認結果に、決済機関装置４００により決済処理が可能である旨が示されている場合、決済要求部３０６からサービス提供部３０７にサービス提供命令が送出される。
【００４４】
サービス提供部３０７は、決済要求部３０６からサービス提供命令を受け取った場合、サービス要求元の利用者装置１００にサービスを提供する機能を有している。
【００４５】
履歴情報記憶部３０８は、サービス提供部３０７によって利用者装置１００にサービスを提供した場合、提供したサービスの履歴情報を記憶する記憶装置である。なお、履歴情報には、リング署名σ・サービスＩＤ（ＳＩＤ）・提供ＩＤ（ＣＩＤ）・個数（ｎｕｍ）・価格（ｐｒｉｃｅ）・日時などが含まれる。ここで提供ＩＤ（ＣＩＤ）とは、サービスＩＤ（ＳＩＤ）に対して利用者装置１００へ提供されるサービス毎に割り当てられるユニークなＩＤである。このため、同じサービスＩＤ（ＳＩＤ）のサービスを複数受け取ったとしても、提供ＩＤ（ＣＩＤ）は異なる。
【００４６】
決済機関装置４００は、決済機関装置記憶部４０１・決済情報確認部４０２・決済処理部４０３を備えている。
【００４７】
決済機関装置記憶部４０１は、決済機関秘密鍵Ｓｋｐａｙｍｅｎｔ及び決済機関公開鍵Ｐｋｐａｙｍｅｎｔを記憶する記憶装置である。
【００４８】
決済情報確認部４０２は、サービス提供者装置３００から暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を含む「決済要求」を受信した場合、受信した暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を決済機関秘密鍵Ｓｋｐａｙｍｅｎｔで復号して決済情報の正当性を確認する。また、決済情報確認部４０２は、決済要求に対し、「確認結果」をサービス提供者装置３００に送信する。確認結果には、決済機関装置４００により決済処理が可能（ＯＫ）であるか、不可能（ＮＧ）であるかが示されている。
【００４９】
決済処理部４０３は、決済情報確認部４０２により決済情報が正当であると確認された場合、決済情報ｃｒｅｄｉｔｋに基づいて決済処理を実行する。なお、利用者装置１００から送信される「決済要求」にはサービスに対する金額情報等が含まれており、この金額情報等に基づいて決済処理が実行される。
【００５０】
（匿名サービス提供システムの動作）
次に匿名サービス提供システム１の動作を図５のシーケンス図を用いて説明する。
【００５１】
［１．公開鍵証明書の発行］
前提として、証明書発行装置２００がシステムパラメータｐ・ｑ・ｇ・Ａと、システム関数Ｇ・Ｆを公開しているものとする。ここで、ｐはＬビットの素数、ｑはｐ−１を割り切るＬ１ビットの素数、ｇは位数ｑの乗法群Ａの生成元である。Ｇは任意のビット長の数からＡへの耐衝突一方向性ハッシュ関数である。Ｆは、任意の長さの数からｌ２ビットの数への耐衝突一方向性ハッシュ関数である。なお、耐衝突性とは、Ｇ（ａ）＝Ｇ（ｂ）を満たすａとｂとを見つけることが困難であると認められる性質のことである。また、一方向性とは、ｃが与えられたときにＧ（ａ）＝ｃを満たすａを見つけることが困難であると認められる性質のことである。
【００５２】
このような前提のもと、複数の利用者装置１００の鍵ペア生成部１０１により利用者公開鍵Ｐｋｉおよび利用者秘密鍵Ｓｋｉが生成される。具体的には、鍵ペア生成部１０１により、数字ｓ∈Ｚ／ｑＺ＝｛０，１，・・・，ｑ−１｝がランダムに選ばれ、利用者秘密鍵Ｓｋｉ（ｉは各利用者装置に対応する数でありｉ＝１，・・・，ｎとして表記する）として生成される。また、式Ｐｋｉ ＝ ｇＳｋｉ ｍｏｄ ｐにより、利用者公開鍵Ｐｋｉが生成される（ＳＴ０１）。
【００５３】
そして、鍵ペア生成部１０１により生成された利用者公開鍵Ｐｋｉが、公開鍵証明書の発行に必要なサービスＩＤ等の情報と共に「証明書発行要求」として証明書発行要求部１０２から証明書発行装置２００へ送信される（ＳＴ０２）。証明書発行要求には、利用者の｛氏名、住所、電話番号、クレジット番号、メールアドレス、…｝等が含まれている。
【００５４】
なお、この際、必要に応じて、証明書発行要求の身元確認処理が実行されてもよい（図示せず）。具体的には、証明書発行要求を受け付けた証明書発行装置２００の公開鍵証明書発行処理部２０２から、証明書発行要求元の利用者装置１００のメールアドレスへ本人確認のための登録を行うＵＲＬ（Uniform Resource Locator）が記載されたメールを送る。メールを受信した利用者装置１００は、記載されたＵＲＬへアクセスする。そして証明書発行要求を出したことをアクセスしたページで確認する。
【００５５】
次に、公開鍵証明書発行処理部２０２により、利用者公開鍵Ｐｋｉに対する公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が生成される（ＳＴ０３）。生成された公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）は、利用者情報と共に証明書情報記憶部２０１に書き込まれる。この際、証明書情報記憶部２０１には、サービスが利用可能な利用者を読み出すために、サービスＩＤと公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）とが関連付けられて書き込まれる。
【００５６】
続いて、公開鍵証明書発行処理部２０２により、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が利用者装置１００へ送信される（ＳＴ０４）。
【００５７】
利用者装置１００により公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が受信されると、証明書発行要求部１０２において、証明書発行装置２００の公開鍵が用いられ、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）の正当性が検証される。証明書発行要求部１０２の検証結果により、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が正当であると確認されると、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が鍵情報記憶部１０３に書き込まれる（ＳＴ０５）。なお、利用者はサービス毎に新たな鍵ペアを生成する必要はなく、サービス情報Ｍに対する属性情報を公開鍵証明書の“拡張情報（extension）”の項目に書き込むことで、既存の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を新たなサービスに流用することができる。
【００５８】
［２．サービス要求］
本実施形態では、利用者装置１００を操作する利用者がサービス提供を受ける場合、リング署名σを用いた匿名認証が実行される。リング署名σを用いた匿名認証の実行の前提として、サービス提供者装置３００は、証明書発行装置２００の証明書情報記憶部２０１から各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得する（ＳＴ０６）。例えば、サービス提供者装置３００は、一定期間毎に証明書発行装置２００にアクセスして、これらの情報を取得する。
【００５９】
サービスを要求する場合、まず、利用者装置１００が、サービス提供者装置３００のサイト等にアクセスする（ＳＴ０７）。これにより、利用者装置１００は、サービス提供者装置３００からサービスメニューを取得する（ＳＴ０８）。
【００６０】
次に、利用者装置１００を介して利用者が希望するサービスが選択されると（ＳＴ０９）、選択されたサービスに対するサービスＩＤ（ＳＩＤ）を含む「サービス要求」が利用者装置１００からサービス提供者装置３００へ送信される（ＳＴ１０）。
【００６１】
続いて、サービス提供者装置３００により利用者装置１００から「サービス要求」が受信された場合、サービス要求に含まれるサービスＩＤに対応する公開鍵証明書リストが公開鍵情報記憶部３０１から読み出される（ＳＴ１１）。そして、その公開鍵証明書リストがサービス要求元の利用者装置１００に送信される（ＳＴ１２）。
【００６２】
次に、利用者装置１００の公開鍵情報選択部１０５により、公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝がリング署名σの生成に用いる“リング署名用公開鍵情報”として選択される（ＳＴ１３）。リング署名用公開鍵情報の選択は、例えば公開鍵証明書のシリアル番号等により選択される。
【００６３】
そして、公開鍵証明書リストに記述されたシリアル番号等を含む公開鍵証明書の送信要求がサービス提供者装置３００に送信される（ＳＴ１４）。これを受けて、サービス提供者装置３００の公開鍵情報記憶部３０１から公開鍵証明書が読み出される（ＳＴ１５）。読み出された公開鍵証明書は、リング署名用公開鍵情報として利用者装置１００に送信され（ＳＴ１６）、鍵情報記憶部１０３に書き込まれる。なお、利用者装置１００においては、リング署名用公開鍵情報の受信時に、受信したリング署名用公開鍵情報に含まれる各公開鍵証明書の有効性が検証される（ＳＴ１７）。
【００６４】
［３．リング署名の生成］
利用者装置１００の公開鍵情報選択部１０５によってリング署名用公開鍵情報｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝が選択されると、選択されたリング署名用公開鍵情報｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいて、リング署名生成部１０６により“リング署名σ”が生成される（ＳＴ１８）。具体的には以下の手順による。
【００６５】
まず、リング署名生成部１０６により、ｌ３ビットの乱数情報Ｒが選択され、下式（１）・（２）に基づいて、第１検証情報ｗと第１リング要素情報Ｓとが計算される。なお、サービス情報Ｍには、サービスＩＤ（ＳＩＤ）・提供ＩＤ（ＣＩＤ）・購入個数（ｎｕｍ）・単価（ｐｒｉｃｅ）が含まれる。
【数１】
【００６６】
次に、リング署名生成部１０６により、公開鍵証明書リストにおける利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}の自己の順番ｉ以外の順番ｊに対応させて、０以上ｑ未満の整数の集合から、複数の第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝及び複数の第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝が選択される。
【００６７】
そして、ｊ＝１，・・・，ｉ−１，ｉ＋１，・・・Ｌ’について、下式（３）・（４）に基づいて、複数の第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝及び複数の第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝が生成される。
【数２】
【００６８】
さらに、リング署名生成部１０６により、自己の利用者公開鍵Ｐｋｉに対応させて、０以上ｑ未満の整数ｅが選択され、下式（５）・（６）に基づいて、第２検証情報ａｉ・第３検証情報ｂｉが生成される。
【数３】
【００６９】
そして、リング署名生成部１０６により、第４検証情報ｄが生成される。詳しくは、サービス情報Ｍ、乱数情報Ｒ、第１検証情報ｗ、第１リング要素情報Ｓ、各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝、各第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び各第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝が一方向性ハッシュ関数Ｈに代入され、式ｄ＝Ｈ（Ｍ，Ｒ，ｗ，Ｓ，Ｐｋ１，・・・，ＰｋＬ’，ａ１，ｂ１，・・・，ａＬ’，ｂＬ’）により、第４検証情報ｄが生成される。続いて、下式（７）・（８）に基づいて、第３リング要素情報ｄｉ・第２リング要素情報ｃｉが生成される。
【数４】
【００７０】
この後、リング署名生成部１０６により、上述の方法により生成された各情報を含むリング署名σ＝｛Ｍ，Ｒ，Ｓ，ｃ１，ｄ１，・・・，ｃＬ’，ｄＬ’，Ｐｋ１，・・・ＰｋＬ’｝が生成される。
【００７１】
［４．暗号化決済情報の生成］
リング署名σの生成とともに暗号化決済情報が生成される。詳しくは、利用者装置１００を介して希望するサービスが選択されると、サービス提供者装置３００により選択されたサービスに対する決済情報の入力が促される。ここでは、クレジットカード番号ｃｒｅｄｉｔｋが決済情報として入力される。なお決済金額等はサービスＩＤと予め関連付けられているものとする。
【００７２】
利用者装置１００を介して選択されたサービスの決済情報ｃｒｅｄｉｔｋが入力されると（ＳＴ１９）、決済情報処理部１０７によりクレジットカード番号ｃｒｅｄｉｔｋ等の決済情報が決済機関公開鍵Ｐｋｐａｙｍｅｎｔで暗号化され（ＳＴ２０）、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）が生成される（ＳＴ２１）。なお、ここでは、決済機関公開鍵Ｐｋｐａｙｍｅｎｔは決済機関装置４００から送信される。
【００７３】
暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）が生成されると、リング署名生成部１０６により、先に生成されたリング署名σと、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とがサービス提供者装置３００に送信される（ＳＴ２２）。
【００７４】
［５．リング署名の検証］
サービス提供者装置３００に利用者装置１００からリング署名σと暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とが送信されると、リング署名検証部３０５によりリング署名σの正当性が検証される（ＳＴ２３）。具体的には、以下の手順による。
【００７５】
まず、リング署名検証部３０５により、リング署名σからサービス情報Ｍと乱数情報Ｒが読み出され、下式（９）に基づいて、第１検証情報ｗが生成される。
【数５】
【００７６】
次に、リング署名検証部３０５により、リング署名σから、第１リング要素情報Ｓ、各第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’｝、各第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’｝及び各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝が読み出され、下式（１０）・（１１）に基づいて、複数の第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び複数の第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝が生成される。
【数６】
【００７７】
続いて、リング署名検証部３０５により、リング署名σから、サービス情報Ｍ、乱数情報Ｒ、第１リング要素情報Ｓ及び各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝が読み出される。そして、これらの各情報と、先に生成された各第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び各第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝とから下式（１２）に基づいて、第４検証情報ｄが生成される。
【数７】
【００７８】
この後、リング署名検証部３０５により、第４検証情報ｄと、リング署名σから読み出された第３リング要素情報｛ｄｊ、ｊ＝１〜Ｌ’｝とに基づいて、下式（１３）の検証式が成立するか否かにより、リング署名σの正当性が検証される。
【数８】
【００７９】
上記検証式（１３）が成立すれば、リング署名σは正当であると扱われ、決済要求部３０６による決済処理に移行する。検証式（１３）が成立しなければ、「検証エラー通知」が利用者装置１００へ送信され、処理が中止される。処理が中止された場合、リング署名σは破棄される。
【００８０】
［６．決済要求の送信］
リング署名検証部３０５によりリング署名の検証式が成立した場合、決済要求部３０６により暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を含む「決済要求」が決済機関装置４００に送信される（ＳＴ２４）。
【００８１】
続いて、決済機関装置４００の決済情報確認部４０２において、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）が、決済機関秘密鍵Ｓｋｐａｙｍｅｎｔにより復号処理
Ｄ（Ｓｋｐａｙｍｅｎｔ，Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ））＝ｃｒｅｄｉｔｋ
される（ＳＴ２５）。ここで、Ｄ（ｋｅｙ，ｃ）は、暗号文ｃを鍵ｋｅｙで復号する処理を表す。当該処理では、ＲＳＡ暗号などの公開鍵暗号を用いた処理が行なわれる。
【００８２】
続いて、決済情報確認部４０２により、復号処理により取り出された決済情報（ここではクレジットカード番号ｃｒｅｄｉｔｋ）の正当性が検証される（ＳＴ２５）。そして、復号された決済情報から必要に応じて身元確認が行なわれ（ＳＴ２６）、決済情報確認部４０２からサービス提供者装置３００に決済要求に対する「確認結果」が送信される（ＳＴ２７）。なお、確認結果には、決済機関装置４００による決済処理が可能（ＯＫ）であるか、不可能（ＮＧ）であるかが示されている。
【００８３】
［７．サービス提供］
サービス提供者装置３００では、決済機関装置４００から受信した「確認結果」に、決済機関装置４００による決済処理が可能（ＯＫ）である旨が示されている場合、サービス提供部３０７を介して利用者装置１００にサービスを提供する（ＳＴ２８）。一方、確認結果に、決済機関装置４００による決済処理が不可能（ＮＧ）である旨が示されている場合、決済要求部３０６からサービス提供部３０７への処理が中止される。なお、サービスが提供されたか否かに関わらず、履歴情報が履歴情報記憶部３０８に書き込まれる。
【００８４】
（匿名サービス提供システムの作用効果）
以上説明したように、本実施形態に係る匿名サービス提供システム１によれば、サービスＩＤに関連付けられた公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵Ｐｋｐａｙｍｅｎｔで暗号化して暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を生成する複数の利用者装置１００と、サービスＩＤを含む「サービス要求」を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元に送信し、公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の検証結果の確認後、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）の正当性の「確認結果」に応じて、サービス要求元にサービスを提供するサービス提供者装置３００と、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を決済機関秘密鍵Ｓｋｐａｙｍｅｎｔで復号して決済情報の正当性を確認する決済機関装置４００とを備えており、サービス提供者に利用者を特定させずに決済処理できるので、オンライン取引において匿名の利用者にサービス提供することができる。
【００８５】
また、本実施形態に係る匿名サービス提供システムでは、利用者装置１００のリング署名生成部１０６において、サービス情報Ｍ・乱数情報Ｒ・第１リング要素情報Ｓ・各第２リング要素情報｛ｃｊ、ｊ＝１，・・・，Ｌ’｝・各第３リング要素情報｛ｄｊ、ｊ＝１，・・・，Ｌ’｝・各利用者公開鍵{Ｐｋｊ、ｊ＝１，・・・，Ｌ’}に基づいて、リング署名σ＝｛Ｍ，Ｒ，Ｓ，ｃ１，ｄ１，…，ｃＬ’，ｄＬ’，Ｐｋ１，…ＰｋＬ’｝が生成され、サービス提供者装置３００のリング署名検証部３０５において、検証式ｄ ＝ ｄ１ ＋ ・・・ ＋ ｄＬ’ ｍｏｄ ｑが成立するか否かにより、リング署名σの正当性が検証されるので、リング署名σを生成した利用者をサービス提供者に秘匿することができる。
【００８６】
要するに、匿名サービス提供システム１では、リング署名方式を採用しているので、サービス提供者が、あるサービスの履歴情報からリング署名σの生成に用いられた複数の公開鍵証明書を統計的に分析して利用者を特定しようとしても、サービス要求前に選択した複数の公開鍵証明書の利用者の中から特定することになる。なお、公開鍵証明書の選択数を多くすることにより、利用者の特定を困難にすることができる。
【００８７】
また、匿名サービス提供システムでは、リング署名方式を採用しているので、既存の公開鍵暗号基盤を流用できる。このため、グループ署名方式を用いたシステムに比して、既存のオンライン取引システムへの導入が容易になるというメリットがある。さらに、グループ署名方式を用いたシステムと比較して、サービス毎にグループ鍵を作る必要がなく鍵管理を簡素化できるというメリットがある。
【００８８】
なお、本実施形態に係る匿名サービス提供システムにおいて、公開鍵証明書に利用者へのサービス提供が可能か否かを示す属性情報が書き込まれている場合、利用者装置１００がサービス要求とともに属性情報を送信し、サービス提供者装置３００の公開鍵情報読出処理部３０３が該属性情報に基づいて利用者にサービス提供が可能か否かを判定し、サービス提供が可能であれば、サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書を鍵情報記憶部１０３から読み出すようにしてもよい。
【００８９】
（リング署名用公開鍵情報の他の選択方式１）
なお、本実施形態に係る匿名サービス提供システム１において、リング署名用公開鍵情報の選択方式として、前回のサービス利用者が選んだリング署名用公開鍵情報を次回のサービス利用者のリング署名用公開鍵情報として選択する方式を採用してもよい。
【００９０】
図６はリング署名用公開鍵情報の他の選択方式についての概念を示す模式図である。要するに、この例では、リング署名用公開鍵情報を上書き更新している。
【００９１】
この例の場合、図７に示すような処理となり、利用者装置１００がサービス提供者装置３００にアクセスしてサービスメニューを取得し（ＳＴ３１・ＳＴ３２）、サービスメニュー上でサービスを選択すると（ＳＴ３３）、選択したサービスに対応するリング署名用公開鍵情報が履歴情報記憶部３０８から読み出される（ＳＴ３４・ＳＴ３５）。そして、サービス提供者装置３００から利用者装置１００へ、前回のリング署名の生成に用いられたリング署名用公開鍵情報が利用者装置１００へ送信される（ＳＴ３６）。
【００９２】
利用者装置１００では、リング署名用公開鍵情報を受信した場合、リング署名用公開鍵情報に含まれる各公開鍵証明書の有効性を検証する（ＳＴ３７）。
【００９３】
この際、利用者は、リング署名用公開鍵情報に自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を書き込むことができる。また、リング署名用公開鍵情報に自己の公開鍵証明書が含まれていない場合、自己の公開鍵証明書を書き込むのではなく、サービス提供者装置３００にアクセスして自己の公開鍵証明書を含むリング署名用公開鍵情報を再度要求してもよい。その際は、自己のものを含め出来るだけ多くの公開鍵証明書を要求しておく方が好ましい。
【００９４】
この後は前述同様の手順により、リング署名σを生成して（ＳＴ３８）、サービス提供者装置３００に送信する（ＳＴ３９）。そして、サービス提供者装置３００でリング署名σの正当性が検証された場合には（ＳＴ４０）、サービス提供者装置３００に記憶されているリング署名用公開鍵情報を、今回の利用者が利用したリング署名用公開鍵情報に更新する（ＳＴ４１）。
【００９５】
上述したようなリング署名用公開鍵情報の選択方式では、サービス提供者装置３００が、一の利用者装置１００からリング署名σと、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とを受信した場合、該リング署名σの生成に用いられたリング署名用公開鍵情報の履歴を履歴記憶部３０８に記憶し、各利用者装置のうちのいずれかの利用者装置から次にサービス要求を受信した場合、履歴情報記憶部３０８に記憶された前回のリング署名用公開鍵情報を該サービス要求元の利用者装置に送信する。それゆえ、利用者が次回サービスを受ける際に前回利用したリング署名用公開鍵情報を利用するので、利用者装置１００及びサービス提供者装置３００の処理負担を軽減することができる。結果として、リング署名σの生成時間を短縮することができる。
【００９６】
（リング署名用公開鍵情報の他の選択方式２）
また、本実施形態に係る匿名サービス提供システム１において、サービス提供者装置３００がサービスＩＤに対応させて複数の公開鍵証明書の組を記憶しておき、利用者装置１００を介してそれらの公開鍵証明書の組の一から、リング署名σの生成に用いるリング署名用公開鍵情報｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝を選択するとしてもよい。
【００９７】
具体的には、サービス提供者装置３００の公開鍵情報記憶部３０１には図８に示すようなリストが記憶されており、上記ステップＳＴ１２において、複数の公開鍵証明書リストが利用者装置に送信される。そして、上記ステップＳＴ１３の処理に代えて、利用者装置１００により、複数の公開鍵証明書リストのうちの一つが、リング署名に用いるリング署名用公開鍵情報として選択される。
【００９８】
要するに、このリング署名公開鍵情報の選択方式方では、サービス提供者装置３００の公開鍵情報記憶部３０１は、サービスＩＤ毎に、リング署名の生成に用いる公開鍵証明書の組を複数記憶しており、各利用者装置１００は、公開鍵情報選択部１０５による処理に代えて、複数の組の公開鍵証明書のうち、一の公開鍵証明書の組をリング署名の生成に用いるリング署名用公開鍵情報として選択するので、リング署名σを生成するために用いる複数の公開鍵証明書の選択を迅速化することができる。それゆえ、サービス要求からサービス提供までの時間を短縮化することができ、オンライン取引の利便性向上に資する。
【００９９】
なお、有効期限切れ等の公開鍵証明書は利用者により適宜更新される。
【０１００】
＜第２の実施形態＞
図９は本発明の第２の実施形態に係る匿名サービス提供システム１Ｓの構成の一部を示す模式図である。なお、既に説明した部分と同一部分には略同一符号を付し、特に説明がない限りは重複した説明を省略する。また、以下の各実施形態も同様にして重複した説明を省略する。
【０１０１】
本実施形態に係る匿名サービス提供システム１Ｓは、第１の実施形態に係る匿名サービス提供システム１が以下の手段をさらに具備することにより、公開鍵証明書の廃棄処理を実行する。
【０１０２】
利用者装置１００Ｓは、証明書発行装置２００へ「廃棄要求」を送信する廃棄要求部１０９と、鍵情報記憶部１０３に記憶された利用者公開鍵Ｐｋｉを消去する公開鍵消去部１１０とを備えている。また、証明書発行装置２００Ｓは、廃棄する公開鍵証明書の廃棄リストを記憶する廃棄リスト記憶部２０４と、利用者装置１００から「廃棄要求」を受け付ける廃棄要求受付部２０５と、廃棄リスト記憶部２０４の廃棄リストを更新する廃棄リスト更新部２０６とを備えている。また、サービス提供者装置３００Ｓは、廃棄する公開鍵証明書の廃棄リストを記憶する廃棄リスト記憶部３１１と、証明書発行装置２００から廃棄リストを受け付ける廃棄リスト受付部３１２と、廃棄リスト記憶部３１１の廃棄リストを更新する廃棄リスト更新部３１３とを備えている。
【０１０３】
なお、廃棄リスト（ＣＲＬ : Certificate Revocation List）は、図１０に示すように、Ｘ．５０９という標準規格で規定されている。この廃棄リストには、バージョン・署名アルゴリズム・証明書発行者（認証局）・廃棄リストの発行日時・次回の廃棄リストの発行日時・廃棄証明書のシリアル番号・廃棄日時・拡張情報等が含まれる。
【０１０４】
本実施形態に係る匿名サービス提供システム１Ｓは、以下の手順により破棄処理を実行する。
【０１０５】
まず、利用者装置１００Ｓの廃棄要求部１０９から、「廃棄要求」が証明書発行装置２００Ｓの廃棄要求受付部２０５へ送信される。廃棄要求受付部２０５では、必要に応じて、前述同様の利用者の身元確認用のメールを利用者装置１００Ｓに送信する。
【０１０６】
利用者装置１００Ｓから確認応答があった場合、証明書発行装置２００Ｓの廃棄リスト更新部２０６により、廃棄リスト記憶部２０４に記憶されている廃棄リストが更新される。
【０１０７】
続いて、廃棄リスト更新部２０６から、更新された廃棄リストがサービス提供者装置３００の廃棄リスト更新部３１２へ送信される。
【０１０８】
更新された廃棄リストが廃棄リスト更新部３１２により受け取られると、廃棄リスト記憶部３１１に記憶されている廃棄リストが更新される。
【０１０９】
上述したように、本実施形態に係る匿名サービス提供システム１Ｓは、利用者装置１００Ｓが証明書発行装置２００Ｓへ「廃棄要求」を送信し、証明書発行装置Ｓ２００が利用者装置１００から「廃棄要求」を受け付けると廃棄リストを更新するとともに、その廃棄リストをサービス提供者装置３００Ｓに送信し、サービス提供者装置３００Ｓが廃棄リストの更新をするので、適切な公開鍵証明書によりリング署名σが生成される。
【０１１０】
また、本実施形態に係る匿名サービス提供システム１Ｓにおいては、利用者装置１００Ｓからの廃棄要求によって廃棄リストを更新するのみならず、サービス提供者装置３００Ｓの操作者が廃棄リスト記憶部３１１の廃棄リストを更新してもよい。これにより、例えば、サービスを受けることを止めた利用者の公開鍵証明書や不正な利用を行った利用者の公開鍵証明書を廃棄することができる。
【０１１１】
＜第３の実施形態＞
本発明の第３の実施形態に係る匿名サービス提供システム１Ｔでは、利用者装置１００Ｔからサービス提供者装置３００Ｔに暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を送信せず、テンポラリＩＤを送信する。
【０１１２】
以下、具体的な処理について図１１を用いて説明する。
【０１１３】
リング署名σの検証までの処理は第１の実施形態のＳＴ０１〜ＳＴ２３の処理と同様であるので省略する。
【０１１４】
リング署名σの検証に成功した場合は、サービス提供者装置３００Ｔにより一時的な識別情報であるテンポラリＩＤ（IDtemp）が生成されて利用者装置１００Ｔへ送信される。（ＳＴ５０）。テンポラリＩＤ（IDtemp）としては、乱数情報などが用いられる。
【０１１５】
続いて、決済要求部３０３からテンポラリＩＤ（IDtemp）を含む「決済要求」が決済機関装置４００Ｔへ送信される（ＳＴ５１）。決済要求は、{IDtemp, price×num}の情報から構成される。
【０１１６】
決済機関装置４００Ｔにより決済要求が受け取られた場合、決済情報確認部４０２を介して利用者装置１００Ｔに「決済情報入力要求」が送信される（ＳＴ５２）。この決済情報入力要求には、利用者が受けるサービスの合計金額が含まれる。
【０１１７】
利用者装置１００Ｔにより「決済情報入力要求」が受け取られると、利用者装置１００Ｔのディスプレイ等に決済情報の入力が促される。
【０１１８】
これに応じて、クレジットカード番号（creditk）とテンポラリＩＤ（IDtemp）とを含む決済情報が利用者の操作により利用者装置１００Ｔに入力されると、それらの決済情報が決済機関装置４００Ｔへ送信される（ＳＴ５３）。
【０１１９】
決済機関装置４００Ｔにより決済情報が受け取られると、利用者装置１００Ｔから送信されたテンポラリＩＤ（IDtemp）とサービス提供者装置３００Ｔから送信されたテンポラリＩＤ（IDtemp）との照合が行われ、その照合結果により決済情報の正当性が確認される（ＳＴ５４）。そして、テンポラリＩＤの照合結果とテンポラリＩＤ（IDtemp）とがサービス提供者装置３００Ｔへ送信される（ＳＴ５５）。
【０１２０】
サービス提供者装置３００ＴによりテンポラリＩＤ（IDtemp）の照合結果が受け取られ、テンポラリＩＤ（IDtemp）が一致していた場合には、サービス提供部３０７から利用者装置１００Ｔにサービスが提供される（ＳＴ５６）。一方、テンポラリＩＤ（IDtemp）の照合が一致していなかった場合は、その旨が利用者装置１００Ｔへ送信されてサービスの提供が中止される。
【０１２１】
上述したように、本実施形態に係る匿名サービス提供システム１Ｔは、利用者装置１００Ｔがサービス提供者装置３００ＴにテンポラリＩＤ（IDtemp）を送信し、サービス提供者装置３００Ｔが決済機関装置４００ＴにテンポラリＩＤ（IDtemp）を含む決済要求を送信している。従って、本実施形態に係る匿名サービス提供システム１Ｔによれば、サービス提供者装置３００Ｔに利用者の個人情報等（ここでは暗号化されたクレジットカード番号情報）が知られずに決済を実行することが可能となる。
【０１２２】
＜第４の実施形態＞
本発明の第４の実施形態に係る匿名サービス提供システム１Ｕは、サービス提供者に利用者を特定させる機能を備えている。具体的な構成としては、図１２に示すように、利用者装置１００Ｕが「利用者確認要求」を送信する確認要求部１２０を備え、サービス提供者装置３００Ｕが確認要求検証部３２０を備えている。
【０１２３】
サービス提供者に利用者を特定させる必要が生じるのは、例えば、提供したサービスのデータを利用者装置１００Ｕに再送させる場合である。補足すると、サービス提供者装置３００Ｕから送られてきたサービスのデータが破損している等の理由で、利用者装置１００Ｕの利用者がサービスを満足に受けられなかった場合、利用者装置１００Ｕからサービス提供者装置３００Ｕにデータの再送要求が行なわれる。このような場合、再送先の利用者装置１００Ｕを特定するためにサービス提供者装置３００Ｕに利用者装置を特定させる必要が生じる。
【０１２４】
以下、具体的な処理について図１３を用いて説明する。
【０１２５】
始めに、利用者装置１００Ｕの確認要求部１２０から、リング署名σ＝｛Ｍ，Ｒ，Ｓ，ｃ１，ｄ１，…，ｃＬ’，ｄＬ’，Ｐｋ１，…ＰｋＬ’｝を含む「利用者確認要求」がサービス提供者装置３００へ送信される（ＳＴ６１）。
【０１２６】
サービス提供者装置３００によって「利用者確認要求」が受信されると、確認要求検証部３２０によりリング署名σに含まれるサービス情報Ｍと乱数情報Ｒが耐衝突一方向性ハッシュ関数Ｇに代入されて第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）が生成される。
【０１２７】
また、確認要求検証部３２０により０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第１確認定数ａ及び第２確認定数ｂがランダムに選択され、下式（１４）に基づいて、第３確認定数ｃが生成される（ＳＴ６２）。
【数９】
【０１２８】
生成された第３確認定数ｃは、利用者確認要求元の利用者装置１００Ｕに送信される（ＳＴ６３）。
【０１２９】
次に、利用者装置１００Ｕにより、サービス提供者装置３００Ｕから第３確認定数ｃが受信されると、確認要求部１２０により、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第４確認定数ｒ∈Ｚ／ｑＺが選択される。
【０１３０】
続いて、確認要求部１２０により、下式（１５）・（１６）に基づいて、第５確認定数ｔ及び第６確認定数ｕが生成される（ＳＴ６４）。
【数１０】
【０１３１】
生成された第５確認定数ｔ及び第６確認定数ｕはサービス提供者装置３００に送信される（ＳＴ６５）。
【０１３２】
サービス提供者装置３００によって、利用者装置１００から第５確認定数ｔ及び第６確認定数ｕが受け取られると、確認要求検証部３２０から利用者装置１００へ第１確認定数a及び第２確認定数ｂが送信される（ＳＴ６６）。
【０１３３】
そして、利用者装置１００によって、サービス提供者装置３００から第１確認定数ａ及び第２確認定数ｂが受信された場合、確認要求部１２０により、以下の第３確認定数の検証式（１７）が成立するか否かが検証される（ＳＴ６７）。
【数１１】
【０１３４】
第３確認定数ｃの検証式が成立した場合、確認要求部１２０により、第４確認定数ｒがサービス提供者装置３００Ｕに送信される（ＳＴ６８）。一方、第３確認定数ｃの検証式が成立しない場合、通信エラーなどのトラブルが発生したとして、利用者確認要求が利用者装置１００から再度送信される。
【０１３５】
次に、サービス提供者装置３００Ｕにより、第４確認定数ｒが受信された場合、以下の第６確認定数の検証式（１８）及び第５確認定数の検証式（１９）が成立するか否かが検証される（ＳＴ６９）。
【数１２】
【０１３６】
そして、確認要求検証部３２０において、第５確認定数ｕの検証式（１８）及び第６確認定数ｔの検証式（１９）の成立を確認する。なお、第５確認定数の検証式（１８）及び第６確認定数ｔの検証式（１９）の成立が確認されなかった場合、通信エラーなどのトラブルが発生したと判定されて処理が中止される。
【０１３７】
図１３に示す処理をＫ回実行し、すべての処理で検証式（１９）の成立が確認された場合、「利用者確認要求」の要求元の利用者装置１００Ｕによってリング署名σが生成されたものであると判定され、リング署名σを生成した利用者装置１００Ｕにサービスが再度提供される（ＳＴ７０）。
【０１３８】
上述したように、本実施形態に係る匿名サービス提供システム１Ｕによれば、サービス提供者がサービスを受けた利用者をリング署名σから特定することができる。それゆえ、グループ署名方式を用いたシステムとは異なり、サービス提供者がグループ管理者に、利用者の特定を依頼せずに済む。要するに、グループ署名のように、利用者の知らないうちに密にサービス提供者に利用者が特定されるといった事態が起こらない。このため、利用者に安心感を与えるとともに、グループ管理者の負荷を低減できるオンライン取引システムの導入が可能となる。
【０１３９】
なお、本実施形態の適用例としては、データの再送依頼をする際に、サービス提供者に利用者を特定してもらうといったことが考えられる。例えば、画像データ購入サービスを受けた利用者が、送信されてきた画像データが壊れていたため、再送依頼するような事案が考えられる。
【０１４０】
＜第５の実施形態＞
本発明の第５の実施形態に係る匿名サービス提供システム１Ｖでは、サービス提供者が利用者を特定する機能を備えている。具体的な構成としては、図１４に示すように、サービス提供者装置３００Ｖが「否認要求」を順次送信して利用者を特定する利用者特定処理部３３０を備え、利用者装置１００Ｖが否認要求応答部１３０を備えている。
【０１４１】
例えば、サービス提供者装置３００Ｖがサービス提供した画像データ等が不正に流通されている場合、その流通元を特定するために、画像データの購入者である利用者を特定する必要が生じる。
【０１４２】
以下、具体的な処理について図１５を用いて説明する。
【０１４３】
まず、サービス提供者装置３００Ｖの利用者特定処理部３３０において、不正等が生じたサービスに対して利用者特定処理の実効命令が入力される。具体的には、利用者特定処理を実行するサービスについて、そのサービス要求時のリング署名σの生成に用いられた複数の利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝が履歴情報記憶部３０８から読み出される（ＳＴ８１）。
【０１４４】
続いて、利用者特定処理部３３０により、利用者特定処理の実行命令に応じて、各利用者公開鍵｛Ｐｋｊ，ｊ＝１，…，Ｌ’｝に対応する複数の利用者装置のうち、一つの利用者装置１００ｉが選択される（ＳＴ８２）。この場合、例えば、利用者公開鍵の登録順に選択される。
【０１４５】
次に、利用者特定処理部３３０により、利用者特定処理の実行命令に応じて、リング署名σに含まれるサービス情報Ｍと乱数情報Ｒが耐衝突一方向性ハッシュ関数Ｇに代入されて第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）が生成される。続いて、利用者特定処理部３３０により、利用者特定処理の実行命令に応じて、最大数ｍａｘを全数検索により検索可能な０以上の整数の集合から第１選択数ａ’∈｛０，・・・，ｍａｘ｝が選択されるとともに、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から第２選択数ｂ’∈Ｚ／ｑＺが選択される。それから、利用者特定処理部３３０により、第１検証情報ｗと、第１選択数ａ’及び第２選択数ｂ’とに基づいて、下式（２０）・（２１）に基づいて、第1否認処理定数Ｃ１及び第２否認処理定数Ｃ２が生成される（ＳＴ８３）。
【数１３】
【０１４６】
そして、利用者特定処理部３３０から、第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２を含む「否認要求」がステップＳＴ８２で選択された利用者装置１００ｉに送信される（ＳＴ８４）。
【０１４７】
利用者装置１００ｉによって「否認要求」が受信されると、否認要求応答部１３０により次の関係式（２２）に基づいて検索数ａ’’が検索される。
【数１４】
【０１４８】
また、利用者装置１００ｉの否認要求応答部１３０では、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から第３選択数ｒ’∈Ｚ／ｑＺがランダムに選択される。
【０１４９】
そして、利用者装置１００ｉの否認要求応答部１３０により、第３選択数ｒ’と検索数ａ’’とが耐衝突一方向性ハッシュ関数Ｆに代入されてハッシュ値ｔ’＝Ｆ（ｒ’，ａ’’）が生成され（ＳＴ８５）、サービス提供者装置３００に送信される（ＳＴ８６）。
【０１５０】
サービス提供者装置３００では、第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２の送信に応じて利用者装置１００ｉからハッシュ値ｔ’を受信した場合、その利用者装置１００ｉに第２選択数ｂ’を送信する（ＳＴ８７）。
【０１５１】
続いて、利用者装置１００ｉの否認要求応答部１３０により、ハッシュ値ｔ’の送信に応じてサービス提供者装置３００から第２選択数ｂ’が受信された場合、以下の第１否認処理定数の検証式（２３）及び第２否認処理定数の検証式（２４）が成立するか否かが検証される（ＳＴ８８）。
【数１５】
【０１５２】
そして、利用者装置１００ｉの否認要求応答部１３０において、第１否認処理定数Ｃ１の検証式と第２否認処理定数Ｃ２の検証式とが成立した場合、第３選択数ｒ’がサービス提供者装置３００に送信される（ＳＴ８９）。
【０１５３】
サービス提供者装置３００において、第２選択数ｂ’の送信に応じて利用者装置１００ｉから第３選択数ｒ’が受信された場合、利用者特定処理部３３０により、第３選択数ｒ’と第１選択数ａ’とが耐衝突一方向性ハッシュ関数Ｆに代入されて、ハッシュ値ｔ’の検証式ｔ’＝Ｆ（ｒ’，ａ’）が成立するか否かが検証される。
【０１５４】
図１５に示す処理をＫ回実行し、すべての処理で、利用者特定処理部３３０により、ハッシュ値ｔ’の検証式の成立が確認された場合、リング署名σが利用者装置１００ｉにより生成されたものではないと判定される。そして、利用者特定処理部３３０により、リング署名σが利用者装置１００ｉによって生成されたものではないと判定された場合、リング署名σの生成に用いられた各利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}に対応する複数の利用者装置の中から、次の利用者装置１００ｋが選択されて「否認要求」が送信される。この後は、ハッシュ値ｔ’の検証式が成立しない利用者装置１００ｑが検出されるまで、上記ステップＳＴ８２〜ステップＳＴ８９の処理が繰り返される。そして、ハッシュ値ｔ’の検証式が成立しない利用者装置１００ｑが検出された場合、その利用者装置１００ｑがリング署名σを生成した利用者装置であると判定される。
【０１５５】
以上説明したように、本実施形態に係る匿名サービス提供システムによれば、ハッシュ値ｔ’の検証式が成立しない利用者装置１００ｑが検出されるまで、「否認要求」が利用者装置に順次送信されるので、サービス提供者が、自分が提供したサービス、例えば画像データが不正に流通していることを発見したときに、その画像データを購入した利用者を特定することができる。
【０１５６】
なお、ハッシュ値ｔ’の検証式が成立しない場合、通信エラーが生じていることも考えられる。この場合、第４の実施形態の利用者確認処理を組み合わせることにより、利用者装置１００ｑがリング署名σの生成者であるか否かの判定が可能となる。すなわち、サービス提供者装置３００により、ハッシュ値ｔ’の検証式が成立しない場合、サービス提供者装置３００から利用者装置１００ｑに対して、リング署名σとともに「利用者確認要求」の送信要求を実行する。なお、利用者装置１００ｑが利用者確認要求の送信要求を無視した場合には、その利用者装置１００ｑによりリング署名σが生成されたものとみなす運用を採用してもよい。
【０１５７】
また、本実施形態に係る匿名サービス提供システムによれば、例えば販売した画像データが不正に使用されていることを発覚したときに、その画像データを購入した利用者を特定することができる。この場合は、サービス提供者が、履歴情報記憶部３０８に記憶されているサービスＩＤとリング署名σとから、そのリング署名σを生成した利用者（不正に使われた画像を購入した利用者）を特定する。
【０１５８】
＜その他＞
なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に構成要素を適宜組み合わせてもよい。
【０１５９】
なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１６０】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１６１】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１６２】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１６３】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１６４】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１６５】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【図面の簡単な説明】
【０１６６】
【図１】本発明の第１の実施形態に係る匿名サービス提供システム１の構成を示す模式図である。
【図２】同実施形態における匿名サービス提供システム１の各装置の構成を示す模式図である。
【図３】同実施形態における証明書情報記憶部２０１の構成を示す模式図である。
【図４】公開鍵証明書の構成を示す模式図である。
【図５】同実施形態における匿名サービス提供システム１の動作を説明するためのシーケンス図である。
【図６】同実施形態におけるリング署名用公開鍵情報の他の選択方式１についての概念を示す模式図である。
【図７】同実施形態におけるリング署名用公開鍵情報の他の選択方式１を説明するためのシーケンス図である。
【図８】同実施形態におけるリング署名用公開鍵情報の他の選択方式２に用いる公開鍵情報記憶部３０１の構成を示す模式図である。
【図９】本発明の第２の実施形態に係る匿名サービス提供システム１Ｓの構成の一部を示す模式図である。
【図１０】同実施形態における廃棄リストの構成を示す模式図である。
【図１１】本発明の第３の実施形態に係る匿名サービス提供システム１Ｔの動作を説明するためのシーケンス図である。
【図１２】本発明の第４の実施形態に係る匿名サービス提供システム１Ｕの構成の一部を示す模式図である。
【図１３】同実施形態における匿名サービス提供システム１Ｕの動作を説明するためのシーケンス図である。
【図１４】本発明の第５の実施形態に係る匿名サービス提供システムＶの構成の一部を説明するための模式図である。
【図１５】同実施形態における匿名サービス提供システム１Ｖの動作を説明するためのシーケンス図である。
【符号の説明】
【０１６７】
１・・・匿名サービス提供システム、１００・・・利用者装置、１０１・・・鍵ペア生成部、１０２・・・証明書発行要求部、１０３・・・鍵情報記憶部、１０４・・・サービス要求部、１０５・・・公開鍵情報選択部、１０６・・・リング署名生成部、１０７・・・決済情報処理部、１０８・・・サービス受付部、１０９・・・廃棄要求部、１１０・・・公開鍵消去部、１２０・・・確認要求部、１３０・・・否認要求応答部、２００・・・証明書発行装置、２０１・・・証明書情報記憶部、２０２・・・公開鍵証明書発行処理部、２０４・・・廃棄リスト記憶部、２０５・・・廃棄要求受付部、２０６・・・廃棄リスト更新部、３００・・・サービス提供者装置、３０１・・・公開鍵情報記憶部、３０２・・・公開鍵情報書込処理部、３０３・・・公開鍵情報読出処理部、３０４・・・サービスメニュー部、３０５・・・リング署名検証部、３０６・・・決済要求部、３０７・・・サービス提供部、３０８・・・履歴情報記憶部、３１１・・・廃棄リスト記憶部、３１２・・・廃棄リスト受付部、３１３・・・廃棄リスト更新部、３２０・・・確認要求検証部、３３０・・・利用者特定処理部、４００・・・決済機関装置、４０１・・・決済機関装置記憶部、４０２・・・決済情報確認部、４０３・・・決済処理部、５００・・・ネットワーク。
【技術分野】
【０００１】
本発明は、オンライン取引において匿名の利用者にサービス提供し得る匿名サービス提供システムに関する。
【背景技術】
【０００２】
近年、商品やサービス（以下、単にサービスともいう）がオンラインで提供されている。
【０００３】
オンラインでのサービス提供に際しては、利用者やサービス提供者が正当な取引者であることが証明される必要がある。そこで、従来からオンライン取引の際には、正当な取引者であることを証明するために公開鍵暗号が用いられている。
【０００４】
しかしながら、公開鍵暗号を用いたオンライン取引システムでは、サービス提供者に利用者の注文情報が特定されてしまい、プライバシの保護が必ずしも十分ではないという問題がある。
【０００５】
プライバシの保護を確保すべく、利用者の匿名性を実現する暗号方式として、グループ署名方式とリング署名方式とが一般的に知られている。
【０００６】
グループ署名方式を用いれば、グループのメンバによりサービスが注文されたことをサービス提供者に知らせることができるとともに、誰が注文したかまでは特定されないようにすることができる。しかしながら、グループ署名方式では、サービス毎にグループ鍵を管理しなければならず、鍵管理が複雑になるという問題がある。そのため、オンライン取引システムへの導入が困難となる。また、グループ秘密鍵を管理するグループ管理者に権限が集中してしまうという問題がある。
【０００７】
一方、リング署名方式では、公開鍵登録簿から複数の公開鍵を取得して、グループに対応するリング署名を生成する。そのため、リング署名方式では、管理者を設定する必要がない。また、既存の公開鍵暗号基盤を流用でき、グループ署名方式に比して鍵管理が容易である。
【０００８】
ところで、オンライン取引システムでは課金業務が発生するため、決済機関が利用者を特定する必要が生じる。
【０００９】
この点、リング署名方式では、グループ署名方式とは異なり管理者がいないため、リング署名の生成者を特定することができない。そのため、決済処理等に異常が生じた場合、他の利用者が巻き添えになることが懸念される。これに関しては、他の利用者が巻き添えにならないように、リング署名の否認機能の適用が検討されている（例えば、非特許文献１参照）。
【非特許文献１】駒野雄一、外３名，「否認機能を持つリング署名方式の再考（その２）」，信学技報，社団法人電気情報通信学会，２００５年５月１８日，Ｖｏｌ．１０５，Ｎｏ．５１（２００５０５１１），ｐｐ．９−１６
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上述の如く、オンライン取引システムへのリング署名方式の適用が検討されている。リング署名方式を適用するためには、サービス提供者には利用者を特定させず、決済機関には利用者を特定させる必要がある。また、決済処理の異常時等に、他の利用者が巻き添えにならないようにする必要がある。
【００１１】
また、リング署名を生成する際には多数の公開鍵を用いるが、利用者の匿名性を高めるように、適切に公開鍵を選択する必要がある。
【００１２】
本発明は、上記実情に鑑みてなされたものであり、オンライン取引において匿名の利用者にサービス提供することを目的とする。
【課題を解決するための手段】
【００１３】
本発明は上記課題を解決するために、サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する複数の利用者装置と、サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する公開鍵証明書リストをサービス要求元に送信し、公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の検証結果の確認後、暗号化決済情報の正当性の確認結果に応じて、サービス要求元にサービスを提供するサービス提供者装置と、暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置とを備えた匿名サービス提供システムを提供する。
【００１４】
なお、本発明は、各装置の集合体を「システム」として表現したが、これに限らず、装置毎に「装置」又は「プログラム」として表現してもよく、また、システム又は装置毎に「方法」として表現してもよい。すなわち、本発明は、任意のカテゴリーで表現可能となっている。
【００１５】
＜用語＞
本発明において、「サービス」とは、オンライン取引において販売される販売対象のことであり、サービスに付随するデータのみならず、デジタルコンテンツ等の商品を含むものである。
【００１６】
また、本発明において、各記号の定義は以下の表１に従う。
【表１】
【００１７】
＜作用＞
従って、本発明によれば、利用者装置が、サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成し、決済機関装置が、暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認し、サービス提供者装置が、サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元に送信し、公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の検証結果の確認後、暗号化決済情報の正当性の確認結果に応じて、サービス要求元にサービスを提供するので、サービス提供者に利用者が特定されずに決済処理されることになり、オンライン取引において匿名の利用者にサービス提供し得る匿名サービス提供システムを提供できる。
【発明の効果】
【００１８】
本発明によれば、オンライン取引において匿名の利用者にサービス提供することが可能となる。
【発明を実施するための最良の形態】
【００１９】
以下、図面を参照して本発明の実施形態を説明する。
【００２０】
＜第１の実施形態＞
（匿名サービス提供システムの構成）
図１は本発明の第１の実施形態に係る匿名サービス提供システム１の構成を示す模式図である。
【００２１】
匿名サービス提供システム１は、複数の利用者装置１００・証明書発行装置２００・サービス提供者装置３００・決済機関装置４００を備えており、各装置はインターネットなどのネットワーク５００で接続されている。なお、サービス提供者装置３００と決済機関装置４００とは、セキュリティが担保された専用線などのネットワークで接続されていることが好ましい。
【００２２】
図２は本実施形態における匿名サービス提供システム１の各装置の構成を示す模式図である。
【００２３】
各利用者装置１００は、サービスを受ける利用者が操作する端末であり、一般的なコンピュータ等にソフトェアが組み込まれることにより、鍵ペア生成部１０１・証明書発行要求部１０２・鍵情報記憶部１０３・サービス要求部１０４・公開鍵情報選択部１０５・リング署名生成部１０６・決済情報処理部１０７・サービス受付部１０８として機能する。
【００２４】
鍵ペア生成部１０１は、サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成するものである。なお、利用者秘密鍵Ｓｋｉは該利用者装置が電子署名を生成するために用いるものである。
【００２５】
証明書発行要求部１０２は、鍵ペア生成部１０１で生成された利用者公開鍵Ｐｋｉに対する公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）の発行を要求するものであり、サービスＩＤと利用者公開鍵Ｐｋｉとを含む「証明書発行要求」を証明書発行装置２００に送信する。また、証明書発行要求部１０２は、証明書発行装置２００から公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が送信された場合、送信されてきた公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を鍵情報記憶部１０３に書き込む。
【００２６】
鍵情報記憶部１０３は、鍵ペア生成部１０１で生成された鍵ペア（Ｐｋｉ，Ｓｋｉ）ならびに公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を記憶する記憶装置である。
【００２７】
サービス要求部１０４は、利用者が希望するサービスをサービス提供者装置３００に要求するものであり、サービスＩＤを含む「サービス要求」をサービス提供者装置３００に送信する。なお、ここでいうサービスには、インターネットで提供される各種サービスのみならず、サービスに付随して提供されるデジタルコンテンツ等の商品データが含まれる。
【００２８】
公開鍵情報選択部１０５は、電子署名を生成するのに必要な公開鍵を選択するものである。ここでは、公開鍵情報選択部１０５は、サービス要求に応じてサービス提供者装置３００から公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名σの生成に用いる“リング署名用公開鍵情報”として選択する。
【００２９】
リング署名生成部１０６は、公開鍵情報選択部１０５により選択されたリング署名用公開鍵情報の各利用者公開鍵｛Ｐｋ１，…，ＰｋＬ’｝と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいて、後述する方法（図５のステップＳＴ１８）により、リング署名σを生成する。また、リング署名生成部１０６は、リング署名σと、決済情報処理部１０７で生成される暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とをサービス提供者装置３００に送信する機能を有している。
【００３０】
決済情報処理部１０７は、利用者からの決済情報等の入力により、サービスを受けるのに必要な決済処理を行なうものである。具体的には、決済情報処理部１０７は、クレジットカード番号ｃｒｅｄｉｔｋ等の決済情報を決済機関公開鍵Ｐｋｐａｙｍｅｎｔで暗号化した暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を生成する。なお、Ｅ（ｋｅｙ，ｍ）はデータｍを暗号鍵ｋｅｙで暗号化処理することを示す。当該処理では、ＲＳＡ暗号などの公開鍵暗号を用いた処理が行なわれる。
【００３１】
サービス受付部１０８は、サービス提供者装置３００から送信される各種データを受け付けるものである。例えば、サービス受付部は、翻訳サービスの翻訳データや、映画配信サービスのストリーミングデータ等の提供を受け付ける。
【００３２】
証明書発行装置２００は、証明書情報記憶部２０１と公開鍵証明書発行処理部２０２とを備えている。
【００３３】
証明書情報記憶部２０１は、図３に示すように、公開鍵証明書発行処理部２０２により発行された利用者公開鍵Ｐｋｉの公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）とサービスＩＤとを関連付けて記憶する記憶装置である。図３において、Service1、Service2、・・・はサービスＩＤ（ＳＩＤ）を示している。ここで、“サービスＩＤ”はサービス提供者装置３００が提供するサービスと対応するものであり、利用者は公開鍵証明書の発行要求時等に希望するサービスのサービスＩＤを選択する。なお、証明書情報記憶部２０１は、公開鍵証明書と関連付けて利用者情報を記憶する。この利用者情報に基づいて、１８歳未満の利用者にはサービス提供しないようにしたり、指定地域以外の居住者にはサービス提供しないようにしたりすることが可能となる。
【００３４】
なお、公開鍵証明書としては、例えば図４に示すようなＸ．５０９の標準フォーマットが採用される。Ｘ．５０９の公開鍵証明書では、利用者公開鍵Ｐｋｉ以外にも、バージョン、シリアル番号、署名アルゴリズム、証明書発行者、有効期間、所有者名（利用者氏名）、認証局固有拡張子、所有者固有拡張子、拡張情報等が含まれる。このＸ．５０９のフォーマットでは、公開鍵証明書の“拡張情報（extensions）”の項目にサービス情報を追加して、公開鍵証明書自体に利用者の属性情報等を追加することができる。これにより、サービス毎に新たな鍵ペアを生成しなくても、既存の公開鍵証明書を新たなサービスに流用することが可能となる。
【００３５】
公開鍵証明書発行処理部２０２は、利用者装置１００から送られる利用者公開鍵Ｐｋｉに対して公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を発行するものである。具体的には、公開鍵証明書発行処理部２０２は、利用者装置１００から「証明書発行要求」を受信した場合、該証明書発行要求に含まれる利用者公開鍵Ｐｋｉの公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）をサービスＩＤに関連付けて発行し、証明書情報記憶部２０１に書き込んでいる。また、公開鍵証明書発行処理部２０２は、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が発行された場合、その公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を証明書発行要求元の利用者装置１００に送信する。
【００３６】
サービス提供者装置３００は、オンライン取引のサービスを提供するサーバ装置であり、コンピュータにソフトェアが組み込まれることにより、公開鍵情報記憶部３０１・公開鍵情報書込処理部３０２・公開鍵情報読出処理部３０３・サービスメニュー部３０４・リング署名検証部３０５・決済要求部３０６・サービス提供部３０７・履歴情報記憶部３０８として機能する。
【００３７】
公開鍵情報記憶部３０１は、リング署名σの生成に用いる複数の公開鍵証明書をサービスＩＤに関連付けて記憶する記憶装置である。具体的には、公開鍵情報記憶部３０１は、サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストを記憶している。
【００３８】
公開鍵情報書込処理部３０２は、公開鍵情報記憶部３０１に対して書き込み処理を実行するものであり、証明書発行装置２００の証明書情報記憶部２０１から各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得する機能と、取得した公開鍵証明書を公開鍵情報記憶部３０１に書き込む機能とを有している。
【００３９】
公開鍵情報読出処理部３０３は、利用者装置１００から「サービス要求」を受信した場合、該サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書を公開鍵情報記憶部３０１から読み出すものである。読み出された各公開鍵証明書はサービスメニュー部３０４に送出される。
【００４０】
サービスメニュー部３０４は、サービス提供者装置３００が提供するサービスメニューを出力するものである。このサービスメニューは、例えばインターネットを介してアクセス可能に取得し得る状態となっている。サービスメニューにおいては、提供可能サービスに対応する公開鍵証明書がリスト化されており、利用者装置１００からの要求に応じて、公開鍵証明書リストが送信される。要するに、サービスメニュー部３０４では、公開鍵情報読出部３０３により読み出された各公開鍵証明書をリスト化し、サービス要求元の利用者装置１００に送信する。この際、公開鍵証明書自体は送信せず、例えば公開鍵証明書のシリアル番号をリスト化した公開鍵証明書リストを送信するとしてもよい。
【００４１】
リング署名検証部３０５は、公開鍵証明書リストの送信に応じて利用者装置１００からリング署名σと暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とを受信した場合、受信したリング署名σの正当性を、後述する方法（図５のステップＳＴ２３）により検証する。
【００４２】
決済要求部３０６は、サービスに対する決済処理を決済機関装置４００へ要求するものである。具体的には、決済要求部３０６は、リング署名検証部３０５の検証結果によりリング署名σが正当であると確認された場合、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を含む「決済要求」を決済機関装置４００に送信する。
【００４３】
また、決済要求部３０６は、決済要求に応じて決済機関装置４００から「確認結果」を受信する。確認結果には、決済機関装置４００により決済処理が可能（ＯＫ）であるか、不可能（ＮＧ）であるかが示されている。確認結果に、決済機関装置４００により決済処理が可能である旨が示されている場合、決済要求部３０６からサービス提供部３０７にサービス提供命令が送出される。
【００４４】
サービス提供部３０７は、決済要求部３０６からサービス提供命令を受け取った場合、サービス要求元の利用者装置１００にサービスを提供する機能を有している。
【００４５】
履歴情報記憶部３０８は、サービス提供部３０７によって利用者装置１００にサービスを提供した場合、提供したサービスの履歴情報を記憶する記憶装置である。なお、履歴情報には、リング署名σ・サービスＩＤ（ＳＩＤ）・提供ＩＤ（ＣＩＤ）・個数（ｎｕｍ）・価格（ｐｒｉｃｅ）・日時などが含まれる。ここで提供ＩＤ（ＣＩＤ）とは、サービスＩＤ（ＳＩＤ）に対して利用者装置１００へ提供されるサービス毎に割り当てられるユニークなＩＤである。このため、同じサービスＩＤ（ＳＩＤ）のサービスを複数受け取ったとしても、提供ＩＤ（ＣＩＤ）は異なる。
【００４６】
決済機関装置４００は、決済機関装置記憶部４０１・決済情報確認部４０２・決済処理部４０３を備えている。
【００４７】
決済機関装置記憶部４０１は、決済機関秘密鍵Ｓｋｐａｙｍｅｎｔ及び決済機関公開鍵Ｐｋｐａｙｍｅｎｔを記憶する記憶装置である。
【００４８】
決済情報確認部４０２は、サービス提供者装置３００から暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を含む「決済要求」を受信した場合、受信した暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を決済機関秘密鍵Ｓｋｐａｙｍｅｎｔで復号して決済情報の正当性を確認する。また、決済情報確認部４０２は、決済要求に対し、「確認結果」をサービス提供者装置３００に送信する。確認結果には、決済機関装置４００により決済処理が可能（ＯＫ）であるか、不可能（ＮＧ）であるかが示されている。
【００４９】
決済処理部４０３は、決済情報確認部４０２により決済情報が正当であると確認された場合、決済情報ｃｒｅｄｉｔｋに基づいて決済処理を実行する。なお、利用者装置１００から送信される「決済要求」にはサービスに対する金額情報等が含まれており、この金額情報等に基づいて決済処理が実行される。
【００５０】
（匿名サービス提供システムの動作）
次に匿名サービス提供システム１の動作を図５のシーケンス図を用いて説明する。
【００５１】
［１．公開鍵証明書の発行］
前提として、証明書発行装置２００がシステムパラメータｐ・ｑ・ｇ・Ａと、システム関数Ｇ・Ｆを公開しているものとする。ここで、ｐはＬビットの素数、ｑはｐ−１を割り切るＬ１ビットの素数、ｇは位数ｑの乗法群Ａの生成元である。Ｇは任意のビット長の数からＡへの耐衝突一方向性ハッシュ関数である。Ｆは、任意の長さの数からｌ２ビットの数への耐衝突一方向性ハッシュ関数である。なお、耐衝突性とは、Ｇ（ａ）＝Ｇ（ｂ）を満たすａとｂとを見つけることが困難であると認められる性質のことである。また、一方向性とは、ｃが与えられたときにＧ（ａ）＝ｃを満たすａを見つけることが困難であると認められる性質のことである。
【００５２】
このような前提のもと、複数の利用者装置１００の鍵ペア生成部１０１により利用者公開鍵Ｐｋｉおよび利用者秘密鍵Ｓｋｉが生成される。具体的には、鍵ペア生成部１０１により、数字ｓ∈Ｚ／ｑＺ＝｛０，１，・・・，ｑ−１｝がランダムに選ばれ、利用者秘密鍵Ｓｋｉ（ｉは各利用者装置に対応する数でありｉ＝１，・・・，ｎとして表記する）として生成される。また、式Ｐｋｉ ＝ ｇＳｋｉ ｍｏｄ ｐにより、利用者公開鍵Ｐｋｉが生成される（ＳＴ０１）。
【００５３】
そして、鍵ペア生成部１０１により生成された利用者公開鍵Ｐｋｉが、公開鍵証明書の発行に必要なサービスＩＤ等の情報と共に「証明書発行要求」として証明書発行要求部１０２から証明書発行装置２００へ送信される（ＳＴ０２）。証明書発行要求には、利用者の｛氏名、住所、電話番号、クレジット番号、メールアドレス、…｝等が含まれている。
【００５４】
なお、この際、必要に応じて、証明書発行要求の身元確認処理が実行されてもよい（図示せず）。具体的には、証明書発行要求を受け付けた証明書発行装置２００の公開鍵証明書発行処理部２０２から、証明書発行要求元の利用者装置１００のメールアドレスへ本人確認のための登録を行うＵＲＬ（Uniform Resource Locator）が記載されたメールを送る。メールを受信した利用者装置１００は、記載されたＵＲＬへアクセスする。そして証明書発行要求を出したことをアクセスしたページで確認する。
【００５５】
次に、公開鍵証明書発行処理部２０２により、利用者公開鍵Ｐｋｉに対する公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が生成される（ＳＴ０３）。生成された公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）は、利用者情報と共に証明書情報記憶部２０１に書き込まれる。この際、証明書情報記憶部２０１には、サービスが利用可能な利用者を読み出すために、サービスＩＤと公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）とが関連付けられて書き込まれる。
【００５６】
続いて、公開鍵証明書発行処理部２０２により、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が利用者装置１００へ送信される（ＳＴ０４）。
【００５７】
利用者装置１００により公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が受信されると、証明書発行要求部１０２において、証明書発行装置２００の公開鍵が用いられ、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）の正当性が検証される。証明書発行要求部１０２の検証結果により、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が正当であると確認されると、公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）が鍵情報記憶部１０３に書き込まれる（ＳＴ０５）。なお、利用者はサービス毎に新たな鍵ペアを生成する必要はなく、サービス情報Ｍに対する属性情報を公開鍵証明書の“拡張情報（extension）”の項目に書き込むことで、既存の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を新たなサービスに流用することができる。
【００５８】
［２．サービス要求］
本実施形態では、利用者装置１００を操作する利用者がサービス提供を受ける場合、リング署名σを用いた匿名認証が実行される。リング署名σを用いた匿名認証の実行の前提として、サービス提供者装置３００は、証明書発行装置２００の証明書情報記憶部２０１から各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得する（ＳＴ０６）。例えば、サービス提供者装置３００は、一定期間毎に証明書発行装置２００にアクセスして、これらの情報を取得する。
【００５９】
サービスを要求する場合、まず、利用者装置１００が、サービス提供者装置３００のサイト等にアクセスする（ＳＴ０７）。これにより、利用者装置１００は、サービス提供者装置３００からサービスメニューを取得する（ＳＴ０８）。
【００６０】
次に、利用者装置１００を介して利用者が希望するサービスが選択されると（ＳＴ０９）、選択されたサービスに対するサービスＩＤ（ＳＩＤ）を含む「サービス要求」が利用者装置１００からサービス提供者装置３００へ送信される（ＳＴ１０）。
【００６１】
続いて、サービス提供者装置３００により利用者装置１００から「サービス要求」が受信された場合、サービス要求に含まれるサービスＩＤに対応する公開鍵証明書リストが公開鍵情報記憶部３０１から読み出される（ＳＴ１１）。そして、その公開鍵証明書リストがサービス要求元の利用者装置１００に送信される（ＳＴ１２）。
【００６２】
次に、利用者装置１００の公開鍵情報選択部１０５により、公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝がリング署名σの生成に用いる“リング署名用公開鍵情報”として選択される（ＳＴ１３）。リング署名用公開鍵情報の選択は、例えば公開鍵証明書のシリアル番号等により選択される。
【００６３】
そして、公開鍵証明書リストに記述されたシリアル番号等を含む公開鍵証明書の送信要求がサービス提供者装置３００に送信される（ＳＴ１４）。これを受けて、サービス提供者装置３００の公開鍵情報記憶部３０１から公開鍵証明書が読み出される（ＳＴ１５）。読み出された公開鍵証明書は、リング署名用公開鍵情報として利用者装置１００に送信され（ＳＴ１６）、鍵情報記憶部１０３に書き込まれる。なお、利用者装置１００においては、リング署名用公開鍵情報の受信時に、受信したリング署名用公開鍵情報に含まれる各公開鍵証明書の有効性が検証される（ＳＴ１７）。
【００６４】
［３．リング署名の生成］
利用者装置１００の公開鍵情報選択部１０５によってリング署名用公開鍵情報｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝が選択されると、選択されたリング署名用公開鍵情報｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいて、リング署名生成部１０６により“リング署名σ”が生成される（ＳＴ１８）。具体的には以下の手順による。
【００６５】
まず、リング署名生成部１０６により、ｌ３ビットの乱数情報Ｒが選択され、下式（１）・（２）に基づいて、第１検証情報ｗと第１リング要素情報Ｓとが計算される。なお、サービス情報Ｍには、サービスＩＤ（ＳＩＤ）・提供ＩＤ（ＣＩＤ）・購入個数（ｎｕｍ）・単価（ｐｒｉｃｅ）が含まれる。
【数１】
【００６６】
次に、リング署名生成部１０６により、公開鍵証明書リストにおける利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}の自己の順番ｉ以外の順番ｊに対応させて、０以上ｑ未満の整数の集合から、複数の第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝及び複数の第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝が選択される。
【００６７】
そして、ｊ＝１，・・・，ｉ−１，ｉ＋１，・・・Ｌ’について、下式（３）・（４）に基づいて、複数の第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝及び複数の第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝が生成される。
【数２】
【００６８】
さらに、リング署名生成部１０６により、自己の利用者公開鍵Ｐｋｉに対応させて、０以上ｑ未満の整数ｅが選択され、下式（５）・（６）に基づいて、第２検証情報ａｉ・第３検証情報ｂｉが生成される。
【数３】
【００６９】
そして、リング署名生成部１０６により、第４検証情報ｄが生成される。詳しくは、サービス情報Ｍ、乱数情報Ｒ、第１検証情報ｗ、第１リング要素情報Ｓ、各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝、各第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び各第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝が一方向性ハッシュ関数Ｈに代入され、式ｄ＝Ｈ（Ｍ，Ｒ，ｗ，Ｓ，Ｐｋ１，・・・，ＰｋＬ’，ａ１，ｂ１，・・・，ａＬ’，ｂＬ’）により、第４検証情報ｄが生成される。続いて、下式（７）・（８）に基づいて、第３リング要素情報ｄｉ・第２リング要素情報ｃｉが生成される。
【数４】
【００７０】
この後、リング署名生成部１０６により、上述の方法により生成された各情報を含むリング署名σ＝｛Ｍ，Ｒ，Ｓ，ｃ１，ｄ１，・・・，ｃＬ’，ｄＬ’，Ｐｋ１，・・・ＰｋＬ’｝が生成される。
【００７１】
［４．暗号化決済情報の生成］
リング署名σの生成とともに暗号化決済情報が生成される。詳しくは、利用者装置１００を介して希望するサービスが選択されると、サービス提供者装置３００により選択されたサービスに対する決済情報の入力が促される。ここでは、クレジットカード番号ｃｒｅｄｉｔｋが決済情報として入力される。なお決済金額等はサービスＩＤと予め関連付けられているものとする。
【００７２】
利用者装置１００を介して選択されたサービスの決済情報ｃｒｅｄｉｔｋが入力されると（ＳＴ１９）、決済情報処理部１０７によりクレジットカード番号ｃｒｅｄｉｔｋ等の決済情報が決済機関公開鍵Ｐｋｐａｙｍｅｎｔで暗号化され（ＳＴ２０）、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）が生成される（ＳＴ２１）。なお、ここでは、決済機関公開鍵Ｐｋｐａｙｍｅｎｔは決済機関装置４００から送信される。
【００７３】
暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）が生成されると、リング署名生成部１０６により、先に生成されたリング署名σと、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とがサービス提供者装置３００に送信される（ＳＴ２２）。
【００７４】
［５．リング署名の検証］
サービス提供者装置３００に利用者装置１００からリング署名σと暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とが送信されると、リング署名検証部３０５によりリング署名σの正当性が検証される（ＳＴ２３）。具体的には、以下の手順による。
【００７５】
まず、リング署名検証部３０５により、リング署名σからサービス情報Ｍと乱数情報Ｒが読み出され、下式（９）に基づいて、第１検証情報ｗが生成される。
【数５】
【００７６】
次に、リング署名検証部３０５により、リング署名σから、第１リング要素情報Ｓ、各第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’｝、各第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’｝及び各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝が読み出され、下式（１０）・（１１）に基づいて、複数の第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び複数の第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝が生成される。
【数６】
【００７７】
続いて、リング署名検証部３０５により、リング署名σから、サービス情報Ｍ、乱数情報Ｒ、第１リング要素情報Ｓ及び各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝が読み出される。そして、これらの各情報と、先に生成された各第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び各第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝とから下式（１２）に基づいて、第４検証情報ｄが生成される。
【数７】
【００７８】
この後、リング署名検証部３０５により、第４検証情報ｄと、リング署名σから読み出された第３リング要素情報｛ｄｊ、ｊ＝１〜Ｌ’｝とに基づいて、下式（１３）の検証式が成立するか否かにより、リング署名σの正当性が検証される。
【数８】
【００７９】
上記検証式（１３）が成立すれば、リング署名σは正当であると扱われ、決済要求部３０６による決済処理に移行する。検証式（１３）が成立しなければ、「検証エラー通知」が利用者装置１００へ送信され、処理が中止される。処理が中止された場合、リング署名σは破棄される。
【００８０】
［６．決済要求の送信］
リング署名検証部３０５によりリング署名の検証式が成立した場合、決済要求部３０６により暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を含む「決済要求」が決済機関装置４００に送信される（ＳＴ２４）。
【００８１】
続いて、決済機関装置４００の決済情報確認部４０２において、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）が、決済機関秘密鍵Ｓｋｐａｙｍｅｎｔにより復号処理
Ｄ（Ｓｋｐａｙｍｅｎｔ，Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ））＝ｃｒｅｄｉｔｋ
される（ＳＴ２５）。ここで、Ｄ（ｋｅｙ，ｃ）は、暗号文ｃを鍵ｋｅｙで復号する処理を表す。当該処理では、ＲＳＡ暗号などの公開鍵暗号を用いた処理が行なわれる。
【００８２】
続いて、決済情報確認部４０２により、復号処理により取り出された決済情報（ここではクレジットカード番号ｃｒｅｄｉｔｋ）の正当性が検証される（ＳＴ２５）。そして、復号された決済情報から必要に応じて身元確認が行なわれ（ＳＴ２６）、決済情報確認部４０２からサービス提供者装置３００に決済要求に対する「確認結果」が送信される（ＳＴ２７）。なお、確認結果には、決済機関装置４００による決済処理が可能（ＯＫ）であるか、不可能（ＮＧ）であるかが示されている。
【００８３】
［７．サービス提供］
サービス提供者装置３００では、決済機関装置４００から受信した「確認結果」に、決済機関装置４００による決済処理が可能（ＯＫ）である旨が示されている場合、サービス提供部３０７を介して利用者装置１００にサービスを提供する（ＳＴ２８）。一方、確認結果に、決済機関装置４００による決済処理が不可能（ＮＧ）である旨が示されている場合、決済要求部３０６からサービス提供部３０７への処理が中止される。なお、サービスが提供されたか否かに関わらず、履歴情報が履歴情報記憶部３０８に書き込まれる。
【００８４】
（匿名サービス提供システムの作用効果）
以上説明したように、本実施形態に係る匿名サービス提供システム１によれば、サービスＩＤに関連付けられた公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵Ｐｋｐａｙｍｅｎｔで暗号化して暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を生成する複数の利用者装置１００と、サービスＩＤを含む「サービス要求」を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元に送信し、公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の検証結果の確認後、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）の正当性の「確認結果」に応じて、サービス要求元にサービスを提供するサービス提供者装置３００と、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を決済機関秘密鍵Ｓｋｐａｙｍｅｎｔで復号して決済情報の正当性を確認する決済機関装置４００とを備えており、サービス提供者に利用者を特定させずに決済処理できるので、オンライン取引において匿名の利用者にサービス提供することができる。
【００８５】
また、本実施形態に係る匿名サービス提供システムでは、利用者装置１００のリング署名生成部１０６において、サービス情報Ｍ・乱数情報Ｒ・第１リング要素情報Ｓ・各第２リング要素情報｛ｃｊ、ｊ＝１，・・・，Ｌ’｝・各第３リング要素情報｛ｄｊ、ｊ＝１，・・・，Ｌ’｝・各利用者公開鍵{Ｐｋｊ、ｊ＝１，・・・，Ｌ’}に基づいて、リング署名σ＝｛Ｍ，Ｒ，Ｓ，ｃ１，ｄ１，…，ｃＬ’，ｄＬ’，Ｐｋ１，…ＰｋＬ’｝が生成され、サービス提供者装置３００のリング署名検証部３０５において、検証式ｄ ＝ ｄ１ ＋ ・・・ ＋ ｄＬ’ ｍｏｄ ｑが成立するか否かにより、リング署名σの正当性が検証されるので、リング署名σを生成した利用者をサービス提供者に秘匿することができる。
【００８６】
要するに、匿名サービス提供システム１では、リング署名方式を採用しているので、サービス提供者が、あるサービスの履歴情報からリング署名σの生成に用いられた複数の公開鍵証明書を統計的に分析して利用者を特定しようとしても、サービス要求前に選択した複数の公開鍵証明書の利用者の中から特定することになる。なお、公開鍵証明書の選択数を多くすることにより、利用者の特定を困難にすることができる。
【００８７】
また、匿名サービス提供システムでは、リング署名方式を採用しているので、既存の公開鍵暗号基盤を流用できる。このため、グループ署名方式を用いたシステムに比して、既存のオンライン取引システムへの導入が容易になるというメリットがある。さらに、グループ署名方式を用いたシステムと比較して、サービス毎にグループ鍵を作る必要がなく鍵管理を簡素化できるというメリットがある。
【００８８】
なお、本実施形態に係る匿名サービス提供システムにおいて、公開鍵証明書に利用者へのサービス提供が可能か否かを示す属性情報が書き込まれている場合、利用者装置１００がサービス要求とともに属性情報を送信し、サービス提供者装置３００の公開鍵情報読出処理部３０３が該属性情報に基づいて利用者にサービス提供が可能か否かを判定し、サービス提供が可能であれば、サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書を鍵情報記憶部１０３から読み出すようにしてもよい。
【００８９】
（リング署名用公開鍵情報の他の選択方式１）
なお、本実施形態に係る匿名サービス提供システム１において、リング署名用公開鍵情報の選択方式として、前回のサービス利用者が選んだリング署名用公開鍵情報を次回のサービス利用者のリング署名用公開鍵情報として選択する方式を採用してもよい。
【００９０】
図６はリング署名用公開鍵情報の他の選択方式についての概念を示す模式図である。要するに、この例では、リング署名用公開鍵情報を上書き更新している。
【００９１】
この例の場合、図７に示すような処理となり、利用者装置１００がサービス提供者装置３００にアクセスしてサービスメニューを取得し（ＳＴ３１・ＳＴ３２）、サービスメニュー上でサービスを選択すると（ＳＴ３３）、選択したサービスに対応するリング署名用公開鍵情報が履歴情報記憶部３０８から読み出される（ＳＴ３４・ＳＴ３５）。そして、サービス提供者装置３００から利用者装置１００へ、前回のリング署名の生成に用いられたリング署名用公開鍵情報が利用者装置１００へ送信される（ＳＴ３６）。
【００９２】
利用者装置１００では、リング署名用公開鍵情報を受信した場合、リング署名用公開鍵情報に含まれる各公開鍵証明書の有効性を検証する（ＳＴ３７）。
【００９３】
この際、利用者は、リング署名用公開鍵情報に自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を書き込むことができる。また、リング署名用公開鍵情報に自己の公開鍵証明書が含まれていない場合、自己の公開鍵証明書を書き込むのではなく、サービス提供者装置３００にアクセスして自己の公開鍵証明書を含むリング署名用公開鍵情報を再度要求してもよい。その際は、自己のものを含め出来るだけ多くの公開鍵証明書を要求しておく方が好ましい。
【００９４】
この後は前述同様の手順により、リング署名σを生成して（ＳＴ３８）、サービス提供者装置３００に送信する（ＳＴ３９）。そして、サービス提供者装置３００でリング署名σの正当性が検証された場合には（ＳＴ４０）、サービス提供者装置３００に記憶されているリング署名用公開鍵情報を、今回の利用者が利用したリング署名用公開鍵情報に更新する（ＳＴ４１）。
【００９５】
上述したようなリング署名用公開鍵情報の選択方式では、サービス提供者装置３００が、一の利用者装置１００からリング署名σと、暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）とを受信した場合、該リング署名σの生成に用いられたリング署名用公開鍵情報の履歴を履歴記憶部３０８に記憶し、各利用者装置のうちのいずれかの利用者装置から次にサービス要求を受信した場合、履歴情報記憶部３０８に記憶された前回のリング署名用公開鍵情報を該サービス要求元の利用者装置に送信する。それゆえ、利用者が次回サービスを受ける際に前回利用したリング署名用公開鍵情報を利用するので、利用者装置１００及びサービス提供者装置３００の処理負担を軽減することができる。結果として、リング署名σの生成時間を短縮することができる。
【００９６】
（リング署名用公開鍵情報の他の選択方式２）
また、本実施形態に係る匿名サービス提供システム１において、サービス提供者装置３００がサービスＩＤに対応させて複数の公開鍵証明書の組を記憶しておき、利用者装置１００を介してそれらの公開鍵証明書の組の一から、リング署名σの生成に用いるリング署名用公開鍵情報｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝を選択するとしてもよい。
【００９７】
具体的には、サービス提供者装置３００の公開鍵情報記憶部３０１には図８に示すようなリストが記憶されており、上記ステップＳＴ１２において、複数の公開鍵証明書リストが利用者装置に送信される。そして、上記ステップＳＴ１３の処理に代えて、利用者装置１００により、複数の公開鍵証明書リストのうちの一つが、リング署名に用いるリング署名用公開鍵情報として選択される。
【００９８】
要するに、このリング署名公開鍵情報の選択方式方では、サービス提供者装置３００の公開鍵情報記憶部３０１は、サービスＩＤ毎に、リング署名の生成に用いる公開鍵証明書の組を複数記憶しており、各利用者装置１００は、公開鍵情報選択部１０５による処理に代えて、複数の組の公開鍵証明書のうち、一の公開鍵証明書の組をリング署名の生成に用いるリング署名用公開鍵情報として選択するので、リング署名σを生成するために用いる複数の公開鍵証明書の選択を迅速化することができる。それゆえ、サービス要求からサービス提供までの時間を短縮化することができ、オンライン取引の利便性向上に資する。
【００９９】
なお、有効期限切れ等の公開鍵証明書は利用者により適宜更新される。
【０１００】
＜第２の実施形態＞
図９は本発明の第２の実施形態に係る匿名サービス提供システム１Ｓの構成の一部を示す模式図である。なお、既に説明した部分と同一部分には略同一符号を付し、特に説明がない限りは重複した説明を省略する。また、以下の各実施形態も同様にして重複した説明を省略する。
【０１０１】
本実施形態に係る匿名サービス提供システム１Ｓは、第１の実施形態に係る匿名サービス提供システム１が以下の手段をさらに具備することにより、公開鍵証明書の廃棄処理を実行する。
【０１０２】
利用者装置１００Ｓは、証明書発行装置２００へ「廃棄要求」を送信する廃棄要求部１０９と、鍵情報記憶部１０３に記憶された利用者公開鍵Ｐｋｉを消去する公開鍵消去部１１０とを備えている。また、証明書発行装置２００Ｓは、廃棄する公開鍵証明書の廃棄リストを記憶する廃棄リスト記憶部２０４と、利用者装置１００から「廃棄要求」を受け付ける廃棄要求受付部２０５と、廃棄リスト記憶部２０４の廃棄リストを更新する廃棄リスト更新部２０６とを備えている。また、サービス提供者装置３００Ｓは、廃棄する公開鍵証明書の廃棄リストを記憶する廃棄リスト記憶部３１１と、証明書発行装置２００から廃棄リストを受け付ける廃棄リスト受付部３１２と、廃棄リスト記憶部３１１の廃棄リストを更新する廃棄リスト更新部３１３とを備えている。
【０１０３】
なお、廃棄リスト（ＣＲＬ : Certificate Revocation List）は、図１０に示すように、Ｘ．５０９という標準規格で規定されている。この廃棄リストには、バージョン・署名アルゴリズム・証明書発行者（認証局）・廃棄リストの発行日時・次回の廃棄リストの発行日時・廃棄証明書のシリアル番号・廃棄日時・拡張情報等が含まれる。
【０１０４】
本実施形態に係る匿名サービス提供システム１Ｓは、以下の手順により破棄処理を実行する。
【０１０５】
まず、利用者装置１００Ｓの廃棄要求部１０９から、「廃棄要求」が証明書発行装置２００Ｓの廃棄要求受付部２０５へ送信される。廃棄要求受付部２０５では、必要に応じて、前述同様の利用者の身元確認用のメールを利用者装置１００Ｓに送信する。
【０１０６】
利用者装置１００Ｓから確認応答があった場合、証明書発行装置２００Ｓの廃棄リスト更新部２０６により、廃棄リスト記憶部２０４に記憶されている廃棄リストが更新される。
【０１０７】
続いて、廃棄リスト更新部２０６から、更新された廃棄リストがサービス提供者装置３００の廃棄リスト更新部３１２へ送信される。
【０１０８】
更新された廃棄リストが廃棄リスト更新部３１２により受け取られると、廃棄リスト記憶部３１１に記憶されている廃棄リストが更新される。
【０１０９】
上述したように、本実施形態に係る匿名サービス提供システム１Ｓは、利用者装置１００Ｓが証明書発行装置２００Ｓへ「廃棄要求」を送信し、証明書発行装置Ｓ２００が利用者装置１００から「廃棄要求」を受け付けると廃棄リストを更新するとともに、その廃棄リストをサービス提供者装置３００Ｓに送信し、サービス提供者装置３００Ｓが廃棄リストの更新をするので、適切な公開鍵証明書によりリング署名σが生成される。
【０１１０】
また、本実施形態に係る匿名サービス提供システム１Ｓにおいては、利用者装置１００Ｓからの廃棄要求によって廃棄リストを更新するのみならず、サービス提供者装置３００Ｓの操作者が廃棄リスト記憶部３１１の廃棄リストを更新してもよい。これにより、例えば、サービスを受けることを止めた利用者の公開鍵証明書や不正な利用を行った利用者の公開鍵証明書を廃棄することができる。
【０１１１】
＜第３の実施形態＞
本発明の第３の実施形態に係る匿名サービス提供システム１Ｔでは、利用者装置１００Ｔからサービス提供者装置３００Ｔに暗号化決済情報Ｅ（Ｐｋｐａｙｍｅｎｔ，ｃｒｅｄｉｔｋ）を送信せず、テンポラリＩＤを送信する。
【０１１２】
以下、具体的な処理について図１１を用いて説明する。
【０１１３】
リング署名σの検証までの処理は第１の実施形態のＳＴ０１〜ＳＴ２３の処理と同様であるので省略する。
【０１１４】
リング署名σの検証に成功した場合は、サービス提供者装置３００Ｔにより一時的な識別情報であるテンポラリＩＤ（IDtemp）が生成されて利用者装置１００Ｔへ送信される。（ＳＴ５０）。テンポラリＩＤ（IDtemp）としては、乱数情報などが用いられる。
【０１１５】
続いて、決済要求部３０３からテンポラリＩＤ（IDtemp）を含む「決済要求」が決済機関装置４００Ｔへ送信される（ＳＴ５１）。決済要求は、{IDtemp, price×num}の情報から構成される。
【０１１６】
決済機関装置４００Ｔにより決済要求が受け取られた場合、決済情報確認部４０２を介して利用者装置１００Ｔに「決済情報入力要求」が送信される（ＳＴ５２）。この決済情報入力要求には、利用者が受けるサービスの合計金額が含まれる。
【０１１７】
利用者装置１００Ｔにより「決済情報入力要求」が受け取られると、利用者装置１００Ｔのディスプレイ等に決済情報の入力が促される。
【０１１８】
これに応じて、クレジットカード番号（creditk）とテンポラリＩＤ（IDtemp）とを含む決済情報が利用者の操作により利用者装置１００Ｔに入力されると、それらの決済情報が決済機関装置４００Ｔへ送信される（ＳＴ５３）。
【０１１９】
決済機関装置４００Ｔにより決済情報が受け取られると、利用者装置１００Ｔから送信されたテンポラリＩＤ（IDtemp）とサービス提供者装置３００Ｔから送信されたテンポラリＩＤ（IDtemp）との照合が行われ、その照合結果により決済情報の正当性が確認される（ＳＴ５４）。そして、テンポラリＩＤの照合結果とテンポラリＩＤ（IDtemp）とがサービス提供者装置３００Ｔへ送信される（ＳＴ５５）。
【０１２０】
サービス提供者装置３００ＴによりテンポラリＩＤ（IDtemp）の照合結果が受け取られ、テンポラリＩＤ（IDtemp）が一致していた場合には、サービス提供部３０７から利用者装置１００Ｔにサービスが提供される（ＳＴ５６）。一方、テンポラリＩＤ（IDtemp）の照合が一致していなかった場合は、その旨が利用者装置１００Ｔへ送信されてサービスの提供が中止される。
【０１２１】
上述したように、本実施形態に係る匿名サービス提供システム１Ｔは、利用者装置１００Ｔがサービス提供者装置３００ＴにテンポラリＩＤ（IDtemp）を送信し、サービス提供者装置３００Ｔが決済機関装置４００ＴにテンポラリＩＤ（IDtemp）を含む決済要求を送信している。従って、本実施形態に係る匿名サービス提供システム１Ｔによれば、サービス提供者装置３００Ｔに利用者の個人情報等（ここでは暗号化されたクレジットカード番号情報）が知られずに決済を実行することが可能となる。
【０１２２】
＜第４の実施形態＞
本発明の第４の実施形態に係る匿名サービス提供システム１Ｕは、サービス提供者に利用者を特定させる機能を備えている。具体的な構成としては、図１２に示すように、利用者装置１００Ｕが「利用者確認要求」を送信する確認要求部１２０を備え、サービス提供者装置３００Ｕが確認要求検証部３２０を備えている。
【０１２３】
サービス提供者に利用者を特定させる必要が生じるのは、例えば、提供したサービスのデータを利用者装置１００Ｕに再送させる場合である。補足すると、サービス提供者装置３００Ｕから送られてきたサービスのデータが破損している等の理由で、利用者装置１００Ｕの利用者がサービスを満足に受けられなかった場合、利用者装置１００Ｕからサービス提供者装置３００Ｕにデータの再送要求が行なわれる。このような場合、再送先の利用者装置１００Ｕを特定するためにサービス提供者装置３００Ｕに利用者装置を特定させる必要が生じる。
【０１２４】
以下、具体的な処理について図１３を用いて説明する。
【０１２５】
始めに、利用者装置１００Ｕの確認要求部１２０から、リング署名σ＝｛Ｍ，Ｒ，Ｓ，ｃ１，ｄ１，…，ｃＬ’，ｄＬ’，Ｐｋ１，…ＰｋＬ’｝を含む「利用者確認要求」がサービス提供者装置３００へ送信される（ＳＴ６１）。
【０１２６】
サービス提供者装置３００によって「利用者確認要求」が受信されると、確認要求検証部３２０によりリング署名σに含まれるサービス情報Ｍと乱数情報Ｒが耐衝突一方向性ハッシュ関数Ｇに代入されて第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）が生成される。
【０１２７】
また、確認要求検証部３２０により０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第１確認定数ａ及び第２確認定数ｂがランダムに選択され、下式（１４）に基づいて、第３確認定数ｃが生成される（ＳＴ６２）。
【数９】
【０１２８】
生成された第３確認定数ｃは、利用者確認要求元の利用者装置１００Ｕに送信される（ＳＴ６３）。
【０１２９】
次に、利用者装置１００Ｕにより、サービス提供者装置３００Ｕから第３確認定数ｃが受信されると、確認要求部１２０により、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第４確認定数ｒ∈Ｚ／ｑＺが選択される。
【０１３０】
続いて、確認要求部１２０により、下式（１５）・（１６）に基づいて、第５確認定数ｔ及び第６確認定数ｕが生成される（ＳＴ６４）。
【数１０】
【０１３１】
生成された第５確認定数ｔ及び第６確認定数ｕはサービス提供者装置３００に送信される（ＳＴ６５）。
【０１３２】
サービス提供者装置３００によって、利用者装置１００から第５確認定数ｔ及び第６確認定数ｕが受け取られると、確認要求検証部３２０から利用者装置１００へ第１確認定数a及び第２確認定数ｂが送信される（ＳＴ６６）。
【０１３３】
そして、利用者装置１００によって、サービス提供者装置３００から第１確認定数ａ及び第２確認定数ｂが受信された場合、確認要求部１２０により、以下の第３確認定数の検証式（１７）が成立するか否かが検証される（ＳＴ６７）。
【数１１】
【０１３４】
第３確認定数ｃの検証式が成立した場合、確認要求部１２０により、第４確認定数ｒがサービス提供者装置３００Ｕに送信される（ＳＴ６８）。一方、第３確認定数ｃの検証式が成立しない場合、通信エラーなどのトラブルが発生したとして、利用者確認要求が利用者装置１００から再度送信される。
【０１３５】
次に、サービス提供者装置３００Ｕにより、第４確認定数ｒが受信された場合、以下の第６確認定数の検証式（１８）及び第５確認定数の検証式（１９）が成立するか否かが検証される（ＳＴ６９）。
【数１２】
【０１３６】
そして、確認要求検証部３２０において、第５確認定数ｕの検証式（１８）及び第６確認定数ｔの検証式（１９）の成立を確認する。なお、第５確認定数の検証式（１８）及び第６確認定数ｔの検証式（１９）の成立が確認されなかった場合、通信エラーなどのトラブルが発生したと判定されて処理が中止される。
【０１３７】
図１３に示す処理をＫ回実行し、すべての処理で検証式（１９）の成立が確認された場合、「利用者確認要求」の要求元の利用者装置１００Ｕによってリング署名σが生成されたものであると判定され、リング署名σを生成した利用者装置１００Ｕにサービスが再度提供される（ＳＴ７０）。
【０１３８】
上述したように、本実施形態に係る匿名サービス提供システム１Ｕによれば、サービス提供者がサービスを受けた利用者をリング署名σから特定することができる。それゆえ、グループ署名方式を用いたシステムとは異なり、サービス提供者がグループ管理者に、利用者の特定を依頼せずに済む。要するに、グループ署名のように、利用者の知らないうちに密にサービス提供者に利用者が特定されるといった事態が起こらない。このため、利用者に安心感を与えるとともに、グループ管理者の負荷を低減できるオンライン取引システムの導入が可能となる。
【０１３９】
なお、本実施形態の適用例としては、データの再送依頼をする際に、サービス提供者に利用者を特定してもらうといったことが考えられる。例えば、画像データ購入サービスを受けた利用者が、送信されてきた画像データが壊れていたため、再送依頼するような事案が考えられる。
【０１４０】
＜第５の実施形態＞
本発明の第５の実施形態に係る匿名サービス提供システム１Ｖでは、サービス提供者が利用者を特定する機能を備えている。具体的な構成としては、図１４に示すように、サービス提供者装置３００Ｖが「否認要求」を順次送信して利用者を特定する利用者特定処理部３３０を備え、利用者装置１００Ｖが否認要求応答部１３０を備えている。
【０１４１】
例えば、サービス提供者装置３００Ｖがサービス提供した画像データ等が不正に流通されている場合、その流通元を特定するために、画像データの購入者である利用者を特定する必要が生じる。
【０１４２】
以下、具体的な処理について図１５を用いて説明する。
【０１４３】
まず、サービス提供者装置３００Ｖの利用者特定処理部３３０において、不正等が生じたサービスに対して利用者特定処理の実効命令が入力される。具体的には、利用者特定処理を実行するサービスについて、そのサービス要求時のリング署名σの生成に用いられた複数の利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝が履歴情報記憶部３０８から読み出される（ＳＴ８１）。
【０１４４】
続いて、利用者特定処理部３３０により、利用者特定処理の実行命令に応じて、各利用者公開鍵｛Ｐｋｊ，ｊ＝１，…，Ｌ’｝に対応する複数の利用者装置のうち、一つの利用者装置１００ｉが選択される（ＳＴ８２）。この場合、例えば、利用者公開鍵の登録順に選択される。
【０１４５】
次に、利用者特定処理部３３０により、利用者特定処理の実行命令に応じて、リング署名σに含まれるサービス情報Ｍと乱数情報Ｒが耐衝突一方向性ハッシュ関数Ｇに代入されて第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）が生成される。続いて、利用者特定処理部３３０により、利用者特定処理の実行命令に応じて、最大数ｍａｘを全数検索により検索可能な０以上の整数の集合から第１選択数ａ’∈｛０，・・・，ｍａｘ｝が選択されるとともに、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から第２選択数ｂ’∈Ｚ／ｑＺが選択される。それから、利用者特定処理部３３０により、第１検証情報ｗと、第１選択数ａ’及び第２選択数ｂ’とに基づいて、下式（２０）・（２１）に基づいて、第1否認処理定数Ｃ１及び第２否認処理定数Ｃ２が生成される（ＳＴ８３）。
【数１３】
【０１４６】
そして、利用者特定処理部３３０から、第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２を含む「否認要求」がステップＳＴ８２で選択された利用者装置１００ｉに送信される（ＳＴ８４）。
【０１４７】
利用者装置１００ｉによって「否認要求」が受信されると、否認要求応答部１３０により次の関係式（２２）に基づいて検索数ａ’’が検索される。
【数１４】
【０１４８】
また、利用者装置１００ｉの否認要求応答部１３０では、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から第３選択数ｒ’∈Ｚ／ｑＺがランダムに選択される。
【０１４９】
そして、利用者装置１００ｉの否認要求応答部１３０により、第３選択数ｒ’と検索数ａ’’とが耐衝突一方向性ハッシュ関数Ｆに代入されてハッシュ値ｔ’＝Ｆ（ｒ’，ａ’’）が生成され（ＳＴ８５）、サービス提供者装置３００に送信される（ＳＴ８６）。
【０１５０】
サービス提供者装置３００では、第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２の送信に応じて利用者装置１００ｉからハッシュ値ｔ’を受信した場合、その利用者装置１００ｉに第２選択数ｂ’を送信する（ＳＴ８７）。
【０１５１】
続いて、利用者装置１００ｉの否認要求応答部１３０により、ハッシュ値ｔ’の送信に応じてサービス提供者装置３００から第２選択数ｂ’が受信された場合、以下の第１否認処理定数の検証式（２３）及び第２否認処理定数の検証式（２４）が成立するか否かが検証される（ＳＴ８８）。
【数１５】
【０１５２】
そして、利用者装置１００ｉの否認要求応答部１３０において、第１否認処理定数Ｃ１の検証式と第２否認処理定数Ｃ２の検証式とが成立した場合、第３選択数ｒ’がサービス提供者装置３００に送信される（ＳＴ８９）。
【０１５３】
サービス提供者装置３００において、第２選択数ｂ’の送信に応じて利用者装置１００ｉから第３選択数ｒ’が受信された場合、利用者特定処理部３３０により、第３選択数ｒ’と第１選択数ａ’とが耐衝突一方向性ハッシュ関数Ｆに代入されて、ハッシュ値ｔ’の検証式ｔ’＝Ｆ（ｒ’，ａ’）が成立するか否かが検証される。
【０１５４】
図１５に示す処理をＫ回実行し、すべての処理で、利用者特定処理部３３０により、ハッシュ値ｔ’の検証式の成立が確認された場合、リング署名σが利用者装置１００ｉにより生成されたものではないと判定される。そして、利用者特定処理部３３０により、リング署名σが利用者装置１００ｉによって生成されたものではないと判定された場合、リング署名σの生成に用いられた各利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}に対応する複数の利用者装置の中から、次の利用者装置１００ｋが選択されて「否認要求」が送信される。この後は、ハッシュ値ｔ’の検証式が成立しない利用者装置１００ｑが検出されるまで、上記ステップＳＴ８２〜ステップＳＴ８９の処理が繰り返される。そして、ハッシュ値ｔ’の検証式が成立しない利用者装置１００ｑが検出された場合、その利用者装置１００ｑがリング署名σを生成した利用者装置であると判定される。
【０１５５】
以上説明したように、本実施形態に係る匿名サービス提供システムによれば、ハッシュ値ｔ’の検証式が成立しない利用者装置１００ｑが検出されるまで、「否認要求」が利用者装置に順次送信されるので、サービス提供者が、自分が提供したサービス、例えば画像データが不正に流通していることを発見したときに、その画像データを購入した利用者を特定することができる。
【０１５６】
なお、ハッシュ値ｔ’の検証式が成立しない場合、通信エラーが生じていることも考えられる。この場合、第４の実施形態の利用者確認処理を組み合わせることにより、利用者装置１００ｑがリング署名σの生成者であるか否かの判定が可能となる。すなわち、サービス提供者装置３００により、ハッシュ値ｔ’の検証式が成立しない場合、サービス提供者装置３００から利用者装置１００ｑに対して、リング署名σとともに「利用者確認要求」の送信要求を実行する。なお、利用者装置１００ｑが利用者確認要求の送信要求を無視した場合には、その利用者装置１００ｑによりリング署名σが生成されたものとみなす運用を採用してもよい。
【０１５７】
また、本実施形態に係る匿名サービス提供システムによれば、例えば販売した画像データが不正に使用されていることを発覚したときに、その画像データを購入した利用者を特定することができる。この場合は、サービス提供者が、履歴情報記憶部３０８に記憶されているサービスＩＤとリング署名σとから、そのリング署名σを生成した利用者（不正に使われた画像を購入した利用者）を特定する。
【０１５８】
＜その他＞
なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に構成要素を適宜組み合わせてもよい。
【０１５９】
なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１６０】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１６１】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１６２】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１６３】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１６４】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１６５】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【図面の簡単な説明】
【０１６６】
【図１】本発明の第１の実施形態に係る匿名サービス提供システム１の構成を示す模式図である。
【図２】同実施形態における匿名サービス提供システム１の各装置の構成を示す模式図である。
【図３】同実施形態における証明書情報記憶部２０１の構成を示す模式図である。
【図４】公開鍵証明書の構成を示す模式図である。
【図５】同実施形態における匿名サービス提供システム１の動作を説明するためのシーケンス図である。
【図６】同実施形態におけるリング署名用公開鍵情報の他の選択方式１についての概念を示す模式図である。
【図７】同実施形態におけるリング署名用公開鍵情報の他の選択方式１を説明するためのシーケンス図である。
【図８】同実施形態におけるリング署名用公開鍵情報の他の選択方式２に用いる公開鍵情報記憶部３０１の構成を示す模式図である。
【図９】本発明の第２の実施形態に係る匿名サービス提供システム１Ｓの構成の一部を示す模式図である。
【図１０】同実施形態における廃棄リストの構成を示す模式図である。
【図１１】本発明の第３の実施形態に係る匿名サービス提供システム１Ｔの動作を説明するためのシーケンス図である。
【図１２】本発明の第４の実施形態に係る匿名サービス提供システム１Ｕの構成の一部を示す模式図である。
【図１３】同実施形態における匿名サービス提供システム１Ｕの動作を説明するためのシーケンス図である。
【図１４】本発明の第５の実施形態に係る匿名サービス提供システムＶの構成の一部を説明するための模式図である。
【図１５】同実施形態における匿名サービス提供システム１Ｖの動作を説明するためのシーケンス図である。
【符号の説明】
【０１６７】
１・・・匿名サービス提供システム、１００・・・利用者装置、１０１・・・鍵ペア生成部、１０２・・・証明書発行要求部、１０３・・・鍵情報記憶部、１０４・・・サービス要求部、１０５・・・公開鍵情報選択部、１０６・・・リング署名生成部、１０７・・・決済情報処理部、１０８・・・サービス受付部、１０９・・・廃棄要求部、１１０・・・公開鍵消去部、１２０・・・確認要求部、１３０・・・否認要求応答部、２００・・・証明書発行装置、２０１・・・証明書情報記憶部、２０２・・・公開鍵証明書発行処理部、２０４・・・廃棄リスト記憶部、２０５・・・廃棄要求受付部、２０６・・・廃棄リスト更新部、３００・・・サービス提供者装置、３０１・・・公開鍵情報記憶部、３０２・・・公開鍵情報書込処理部、３０３・・・公開鍵情報読出処理部、３０４・・・サービスメニュー部、３０５・・・リング署名検証部、３０６・・・決済要求部、３０７・・・サービス提供部、３０８・・・履歴情報記憶部、３１１・・・廃棄リスト記憶部、３１２・・・廃棄リスト受付部、３１３・・・廃棄リスト更新部、３２０・・・確認要求検証部、３３０・・・利用者特定処理部、４００・・・決済機関装置、４０１・・・決済機関装置記憶部、４０２・・・決済情報確認部、４０３・・・決済処理部、５００・・・ネットワーク。
【特許請求の範囲】
【請求項１】
サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、該サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する複数の利用者装置と、
前記サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する公開鍵証明書リストをサービス要求元に送信し、該公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の確認後、暗号化決済情報の正当性の確認結果に応じて、サービス要求元にサービスを提供するサービス提供者装置と、
暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項２】
複数の利用者装置と証明書発行装置とサービス提供者装置と決済機関装置とを備え、匿名の利用者にサービスを提供する匿名サービス提供システムであって、
前記各利用者装置は、
サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成する手段と、
前記サービスＩＤと前記利用者公開鍵Ｐｋｉとを含む証明書発行要求を前記証明書発行装置に送信する手段と、
前記サービスＩＤを含むサービス要求を前記サービス提供者装置に送信する手段と、
前記サービス要求に応じて前記サービス提供者装置からサービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名の生成に用いるリング署名用公開鍵情報として選択する公開鍵情報選択手段と、
前記公開鍵情報選択手段により選択されたリング署名用公開鍵情報と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいてリング署名σを生成するリング署名生成手段と、
前記サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する暗号化決済情報生成手段と、
前記リング署名σと前記暗号化決済情報とを前記サービス提供者装置に送信するリング署名送信手段と、
を備え、
前記証明書発行装置は、
前記各利用者公開鍵の公開鍵証明書とサービスＩＤとを関連付けて記憶する証明書情報記憶手段と、
前記利用者装置から前記証明書発行要求を受信した場合、該証明書発行要求に含まれる利用者公開鍵Ｐｋｉの公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）をサービスＩＤに関連付けて発行し、前記証明書情報記憶手段に書き込む手段と、
前記公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を証明書発行要求元の利用者装置に送信する手段と、
を備え、
前記サービス提供者装置は、
リング署名の生成に用いる複数の公開鍵証明書をサービスＩＤに関連付けて記憶する公開鍵情報記憶手段と、
前記証明書発行装置の証明書情報記憶手段から前記各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得し、前記公開鍵情報記憶手段に書き込む手段と、
前記利用者装置からサービス要求を受信した場合、該サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書を前記公開鍵情報記憶手段から読み出す証明書情報読出手段と、
前記証明書情報読出手段によって読み出した各公開鍵証明書をリスト化した公開鍵証明書リストを前記サービス要求元の利用者装置に送信する手段と、
前記公開鍵証明書リストの送信に応じて前記利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証するリング署名検証手段と、
前記リング署名検証手段により正当であると検証した場合、前記暗号化決済情報を含む決済要求を前記決済機関装置に送信する決済要求送信手段と、
前記決済要求に応じて前記決済機関装置から確認結果を受信し、該確認結果に応じて、前記サービス要求元の利用者装置にサービスを提供するサービス提供手段と、
を備え、
前記決済機関装置は、
決済機関秘密鍵を記憶する手段と、
前記サービス提供者装置から前記暗号化決済情報を含む決済要求を受信した場合、該暗号化決済情報を前記決済機関秘密鍵で復号して前記決済情報の正当性を確認する決済情報確認手段と、
前記決済要求に対し、前記決済情報確認手段による確認結果を前記サービス提供者装置に送信する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項３】
請求項１または請求項２に記載の匿名サービス提供システムにおいて、
前記サービス提供者装置は、
一の利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名の生成に用いられたリング署名用公開鍵情報の履歴を記憶する履歴記憶手段と、
前記各利用者装置のうちのいずれかの利用者装置から次にサービス要求を受信した場合、前記履歴記憶手段に記憶された前回のリング署名用公開鍵情報を該サービス要求元の利用者装置に送信する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項４】
請求項１乃至請求項３のいずれか１項に記載の匿名サービス提供システムにおいて、
前記サービス提供者装置の公開鍵情報記憶手段は、前記サービスＩＤ毎に、リング署名の生成に用いる公開鍵証明書の組を複数記憶しており、
前記各利用者装置は、前記公開鍵情報選択手段による処理に代えて、前記複数の組の公開鍵証明書のうち、一の公開鍵証明書の組をリング署名σの生成に用いるリング署名用公開鍵情報として選択する、
ことを特徴とする匿名サービス提供システム。
【請求項５】
請求項１乃至請求項４のいずれか１項に記載の匿名サービス提供システムにおいて、
前記公開鍵証明書には利用者にサービス提供が可能か否かを示す属性情報が書き込まれており、
前記利用者装置は、前記サービス要求とともに前記属性情報を送信し、
前記サービス提供者装置は、前記証明書読出手段に代えて、
前記利用者装置から前記サービス要求とともに前記属性情報を受信した場合、該属性情報に基づいて利用者にサービス提供が可能か否かを判定する手段と、
前記判定の結果、可能であれば、前記サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書を前記公開鍵情報記憶手段から読み出す手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項６】
請求項１乃至請求項５のいずれか１項に記載の匿名サービス提供システムにおいて、
前記各利用者装置は、前記リング署名送信手段に代えて、
前記暗号化決済情報を送信せずにリング署名σのみを前記サービス提供者装置に送信する手段と、
前記リング署名σの送信に応じて前記サービス提供者装置からテンポラリＩＤを受信する手段と、
前記決済機関装置から決済情報入力要求を受信した場合、前記テンポラリＩＤと決済情報とを該決済機関装置に送信する手段と、
を備え、
前記サービス提供者装置は、
前記利用者装置から前記リング署名σを受信した場合、該利用者装置にテンポラリＩＤを送信する手段と、
前記テンポラリＩＤを送信したときに、該テンポラリＩＤと決済要求とを前記決済機関装置に送信する手段と、
前記決済要求に応じて前記テンポラリＩＤと該テンポラリＩＤの照合結果とを前記決済機関装置から受信し、該テンポラリＩＤの照合結果が一致である場合、該テンポラリＩＤを送信した利用者装置にサービスを提供する手段と、
を備え、
前記決済機関装置は、
前記サービス提供者装置から決済要求とテンポラリＩＤとを受信した場合、決済情報入力要求を前記利用者装置に送信する手段と、
前記決済情報入力要求に応じて前記利用者装置からテンポラリＩＤと決済情報とを受信した場合、該利用者装置から受信したテンポラリＩＤと、前記サービス提供者装置から受信したテンポラリＩＤとが一致するか否かを照合する手段と、
前記テンポラリＩＤの照合結果とともに前記サービス提供者装置から受信したテンポラリＩＤを前記サービス提供者装置に送信する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項７】
請求項１乃至請求項６のいずれか１項に記載の匿名サービス提供システムにおいて、
前記利用者装置のリング署名生成手段は、
公開されているシステムパラメータｇ及び素数ｐ、ｑに関し、前記利用者公開鍵Ｐｋｉと前記利用者秘密鍵Ｓｋｉとが、式Ｐｋｉ ＝ ｇＳｋｉ ｍｏｄ ｐの関係を満たしている場合、前記サービス情報Ｍと乱数情報Ｒを耐衝突一方向性ハッシュ関数Ｇに代入して第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）を生成する手段と、
前記第１検証情報ｗと自己の利用者秘密鍵Ｓｋｉとから、式Ｓ ＝ ｗＳｋｉ ｍｏｄ ｐにより、第１リング要素情報Ｓを生成する手段と、
前記リング署名用公開鍵情報である複数の利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}における自己の順番ｉ以外の順番ｊに対応させて、０以上ｑ未満の整数の集合から、複数の第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝及び複数の第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝を選択する手段と、
前記リング署名用公開鍵情報のうち、自己の利用者公開鍵Ｐｋｉ以外の各利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）}から、式ａｊ ＝ ｇｃｊＰｋｊｄｊ ｍｏｄ ｐにより、複数の第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝を生成する手段と、
前記各利用者公開鍵｛ＰＫｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝に対応させて前記第１検証情報ｗと第１リング要素情報Ｓとから、式ｂｊ ＝ ｗｃｊＳｄｊ ｍｏｄ ｐ により、複数の第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝を生成する手段と、
前記自己の利用者公開鍵Ｐｋｉに対応させて、０以上ｑ未満の整数ｅから、式ａｉ＝ｇｅ ｍｏｄ ｐ により、第２検証情報ａｉを生成する手段と、
前記自己の利用者公開鍵Ｐｋｉに対応させて、式ｂｉ ＝ｗ ｅ ｍｏｄ ｐにより、第３
検証情報ｂｉを生成する手段と、
前記サービス情報Ｍ、乱数情報Ｒ、前記第１検証情報ｗ、前記第１リング要素情報Ｓ、前記各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝、前記各第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び前記各第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝を一方向性ハッシュ関数Ｈに代入して、式ｄ＝Ｈ（Ｍ，Ｒ，ｗ，Ｓ，Ｐｋ１，・・・，ＰｋＬ’，ａ１，ｂ１，・・・，ａＬ’，ｂＬ’）により、第４検証情報ｄを生成する手段と、
前記第４検証情報ｄと、前記自己の利用者公開鍵ＰＫｉ以外の各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝に対応する複数の第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝とに基づいて、式ｄｉ ＝ ｄ−（ｄ１ ＋ ・・・ ＋ ｄｉ−１ ＋ ｄｉ＋１ ・・・ ＋ ｄＬ’） ｍｏｄ ｑ により、自己の利用者公開鍵Ｐｋｉに対応する第３リング要素情報ｄｉを生成する手段と、
前記自己の利用者公開鍵Ｐｋｉに対する前記第３リング要素情報ｄｉを、式ｃｉ ＝ ｅ − ｄｉＳｋｉ ｍｏｄ ｑ に代入して、自己の利用者公開鍵Ｐｋｉに対応する第２リング要素情報ｃｉを生成する手段と、
前記サービス情報Ｍ、前記乱数情報Ｒ、前記第１リング要素情報Ｓ、前記各第２リング要素情報｛ｃｊ、ｊ＝１，・・・，Ｌ’｝、前記各第３リング要素情報｛ｄｊ、ｊ＝１，・・・，Ｌ’｝及び前記各利用者公開鍵{Ｐｋｊ、ｊ＝１，・・・，Ｌ’}に基づいて、リング署名情報σ＝｛Ｍ，Ｒ，Ｓ，ｃ１，ｄ１，…，ｃＬ’，ｄＬ’，Ｐｋ１，…ＰｋＬ’｝を生成する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項８】
請求項７に記載の匿名サービス提供システムにおいて、
前記サービス提供者装置のリング署名検証手段は、
前記リング署名σから前記サービス情報Ｍを読み出し、該サービス情報Ｍと乱数情報Ｒを耐衝突一方向性ハッシュ関数Ｇに代入して第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）を生成する手段と、
前記リング署名σから、前記各第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’｝、前記各第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’｝及び各前記利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝を読み出し、式ａｊ ＝ ｇｃｊＰｋｊｄｊ ｍｏｄ ｐにより、複数の第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝を生成する手段と、
前記リング署名σから、前記第１リング要素情報Ｓ、前記各第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’｝及び前記各第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’｝を読み出し、複数の第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝を生成する手段と、
前記リング署名σから、前記サービス情報Ｍ、前記乱数情報Ｒ、前記第１リング要素情報Ｓ及び前記各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝を読み出し、前記各第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び前記各第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝とともに、一方向性ハッシュ関数Ｈに代入して、式ｄ＝Ｈ（Ｍ，Ｒ，ｗ，Ｓ，Ｐｋ１，…，ＰｋＬ’，ａ１，ｂ１，…，ａＬ’，ｂＬ’）により、第４検証情報ｄを生成する手段と、
前記第４検証情報ｄと、前記リング署名σから読み出した複数の第３リング要素情報｛ｄｊ、ｊ＝１〜Ｌ’｝とに基づいて、検証式ｄ ＝ ｄ１ ＋ ・・・ ＋ ｄＬ’ ｍｏｄ ｑが成立するか否かにより、該リング署名σの正当性を検証する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項９】
請求項７または請求項８に記載の匿名サービス提供システムにおいて、
前記利用者装置は、
前記リング署名σとともに利用者確認要求をサービス提供者装置に送信する手段と、
前記利用者確認要求に応じて前記サービス提供者装置から第３確認定数ｃを受信すると、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第４確認定数ｒを選択する手段と、
前記第３確認定数ｃ及び前記第４確認定数ｒとに基づいて、式ｔ ＝ ｃｇｒ ｍｏｄ ｐにより、第５確認定数ｔを生成する手段と、
前記第５確認定数ｔと利用者秘密鍵Ｓｋｉとに基づいて、式ｕ ＝ ｔＳｋｉ ｍｏｄ ｐにより、第６確認定数ｕを生成する手段と、
前記第５確認定数ｔ及び前記第６確認定数ｕを前記サービス提供者装置に送信する手段と、
前記第５確認定数ｔ及び前記第６確認定数ｕの送信に応じて前記サービス提供者装置から第１確認定数ａ及び第２確認定数ｂを受信した場合、該第１確認定数ａ及び該第２確認定数ｂと前記第１検証情報ｗとに基づいて、第３確認定数の検証式ｃ ＝ ｗａｂｇ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記第３確認定数の検証式が成立した場合、前記第４確認定数ｒを前記サービス提供者装置に送信する手段と、
を備え、
前記サービス提供者装置は、
前記リング署名とともに利用者確認要求を前記利用者装置から受信すると、該リング署名σに含まれるサービス情報Ｍと乱数情報Ｒを耐衝突一方向性ハッシュ関数Ｇに代入して第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）を生成する手段と、
０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第１確認定数ａ及び第２確認定数ｂを選択する手段と、
前記第１検証情報ｗと、前記第１確認定数ａ及び前記第２確認定数ｂとに基づいて、式ｃ＝ｗａｇｂ ｍｏｄ ｐ により第３確認定数ｃを生成し、該第３確認定数ｃを前記利用者確認要求元の利用者装置に送信する手段と、
前記第３確認定数ｃの送信に応じて前記利用者装置から前記第５確認定数ｔ及び第６確認定数ｕを受信した場合、前記第１確認定数a及び前記第２確認定数ｂを該利用者装置に送信する手段と、
前記第１確認定数a及び前記第２確認定数ｂの送信に応じて前記利用者装置から前記第４確認定数ｒを受信した場合、該第４確認定数ｒ及び前記第３確認定数ｃに基づいて、第６確認定数ｔの検証式ｔ ＝ ｃｇｒ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記第１確認定数a及び前記第２確認定数ｂの送信に応じて前記利用者装置から前記第４確認定数ｒを受信した場合、前記リング署名σから第１リング要素情報Ｓと利用者公開鍵Ｐｋｉとを読み出し、前記第１確認定数ａと前記第２確認定数ｂと該第４確認定数ｒとに基づいて、第５確認定数の検証式ｕ ＝ ＳａＰｋｉｂ＋ｒ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記第５確認定数ｕの検証式と第６確認定数ｔの検証式とが成立した場合、前記リング署名σが前記利用者確認要求の要求元の利用者装置により生成されたものであると判定する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項１０】
請求項７乃至請求項９のいずれか１項に記載の匿名サービス提供システムにおいて、
前記各利用者装置は、
前記サービス提供者装置から第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２を受信した場合、利用者秘密鍵Ｓｋｉと第１検証情報ｗと第１リング要素情報Ｓとに基づいて、関係式Ｃ１Ｓｋｉ／Ｃ２ ＝ （ｗＳｋｉ／Ｓ）ａ’’ ｍｏｄ ｐを満たす検索数ａ’’を検索する手段と、
０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第３選択数ｒ’を選択する手段と、
前記第３選択数ｒ’と前記検索数ａ’’とを耐衝突一方向性ハッシュ関数Ｆに代入してハッシュ値ｔ’を生成し、前記サービス提供者装置に送信する手段と、
前記ハッシュ値ｔ’の送信に応じて前記サービス提供者装置から第２選択数ｂ’を受信した場合、該第２選択数ｂ’と前記検索数ａ’’とに基づいて、第１否認処理定数の検証式Ｃ１ ＝ ｗａ’’ｇｂ’ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記ハッシュ値ｔ’の送信に応じて前記サービス提供者装置から第２選択数ｂ’を受信した場合、該第２選択数ｂ’と前記検索数ａ’’と前記第１リング要素情報Ｓと利用者公開鍵Ｐｋｉとに基づいて、第２否認処理定数の検証式Ｃ２ ＝ Ｓａ’’Ｐｋｉｂ’ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記第１否認処理定数Ｃ１の検証式と第２否認処理定数Ｃ２の検証式とが成立した場合、前記第３選択数ｒ’を前記サービス提供者装置に送信する手段と、
を備え、
前記サービス提供者装置は、
前記リング署名用公開鍵情報の複数の利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}に対応する利用者装置への利用者特定処理の実行命令の入力を受け付ける手段と、
前記利用特定処理の実行命令に応じて、前記リング署名用公開鍵情報の利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}に対応する利用者装置のうち、一の利用者装置を選択する選択手段と、
前記利用者特定処理の実行命令に応じて、前記リング署名σに含まれるサービス情報Ｍと乱数情報Ｒを耐衝突一方向性ハッシュ関数Ｇに代入して第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）を生成する手段と、
前記利用者特定処理の実行命令に応じて、最大数を全数検索により検索可能な０以上の整数の集合から第１選択数ａ’を選択するとともに、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から第２選択数ｂ’を選択する手段と、
前記第１検証情報ｗと、前記第１選択数ａ’及び前記第２選択数ｂ’とに基づいて、式Ｃ１ ＝ ｗａ’ｇｂ’ ｍｏｄ ｐにより、第１否認処理定数Ｃ１を生成する手段と、
前記リング署名σに含まれる第１リング要素情報Ｓと、前記選択手段により選択された利用者装置の利用者公開鍵Ｐｋｉと、前記第１選択数ａ’及び前記第２選択数ｂ’とに基づいて、式Ｃ２ ＝ Ｓａ’Ｐｋｉｂ’ ｍｏｄ ｐにより、第２否認処理定数Ｃ２を生成する手段と、
前記第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２を前記選択手段により選択された利用者装置に送信する手段と、
前記第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２の送信に応じて前記利用者装置から前記ハッシュ値ｔ’を受信した場合、前記第２選択数ｂ’を該利用者装置に送信する手段と、
前記第２選択数ｂ’の送信に応じて前記利用者装置から前記第３選択数ｒ’を受信した場合、該第３選択数ｒ’と前記第１選択数ａ’とを耐衝突一方向性ハッシュ関数Ｆに代入して、前記ハッシュ値ｔ’の検証式ｔ’＝Ｆ（ｒ’，ａ’）が成立するか否かを検証するハッシュ値検証手段と、
前記ハッシュ値ｔ’の検証式が成立する場合、前記リング署名σが前記利用者装置により生成されたものではないと判定する手段と
前記リング署名が前記利用者装置により生成されたものではないと判定された場合、前記リング署名用公開鍵情報の各利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}に対応する利用者装置の中から、次の利用者装置を選択して利用者特定処理を実行する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項１１】
請求項１０に記載の匿名サービス提供システムにおいて、
前記サービス提供者装置は、
前記ハッシュ値検証手段により、前記ハッシュ値ｔ’の検証式が成立しない場合、前記選択手段により選択された利用者装置に対して、リング署名σとともに利用者確認要求の送信要求を実行する手段と、
前記利用者確認要求の送信要求に応じて、前記リング署名σが前記利用者確認要求の要求元の利用者装置により生成されたものであるか否かを判定する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項１２】
サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する利用者装置と、
前記利用者装置の公開鍵証明書をサービスＩＤに関連付けて発行する証明書発行装置と、
前記暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
のいずれの装置とも接続するサービス提供者装置であって、
リング署名の生成に用いる複数の公開鍵証明書をサービスＩＤに関連付けて記憶する公開鍵情報記憶手段と、
前記証明書発行装置の証明書情報記憶手段から前記各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得し、前記公開鍵情報記憶手段に書き込む手段と、
前記利用者装置からサービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する公開鍵証明書リストを前記公開鍵情報記憶手段から読み出す証明書情報読出手段と、
前記証明書情報読出手段によって読み出した公開鍵証明書リストを前記サービス要求元の利用者装置に送信する手段と、
前記公開鍵証明書リストの送信に応じて前記利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証するリング署名検証手段と、
前記リング署名検証手段により正当であると確認した場合、前記暗号化決済情報を含む決済要求を前記決済機関装置に送信する決済要求送信手段と、
前記決済要求に応じて前記決済機関装置から確認結果を受信し、該確認結果に応じて、前記サービス要求元の利用者装置にサービスを提供するサービス提供手段と、
を備えたことを特徴とするサービス提供者装置。
【請求項１３】
サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元に送信し、前記公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の確認後、前記暗号化決済情報の正当性の確認結果に応じて、前記サービス要求元にサービスを提供するサービス提供者装置と、
利用者公開鍵を含む証明書発行要求に応じて、公開鍵証明書をサービスＩＤに関連付けて発行する証明書発行装置と、
暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
のいずれの装置とも接続する利用者装置であって、
前記利用者装置は、
サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成する手段と、
前記サービスＩＤと前記利用者公開鍵Ｐｋｉとを含む証明書発行要求を前記証明書発行装置に送信する手段と、
前記サービスＩＤを含むサービス要求を前記サービス提供者装置に送信する手段と、
前記サービス要求に応じて前記サービス提供者装置から公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名σの生成に用いるリング署名用公開鍵情報として選択する公開鍵情報選択手段と、
前記公開鍵情報選択手段によって選択したリング署名用公開鍵情報と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいてリング署名σを生成するリング署名生成手段と、
前記サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する暗号化決済情報生成手段と、
前記リング署名σと前記暗号化決済情報とを前記サービス提供者装置に送信するリング署名送信手段と、
を備えたことを特徴とする利用者装置。
【請求項１４】
サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する利用者装置と、
前記利用者装置の公開鍵証明書をサービスＩＤに関連付けて発行する証明書発行装置と、
前記暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
のいずれの装置とも接続するサービス提供者装置のコンピュータに用いられるプログラムであって、
前記サービス提供者装置のコンピュータを、
リング署名の生成に用いる複数の公開鍵証明書をサービスＩＤに関連付けて記憶する公開鍵情報記憶手段、
前記証明書発行装置の証明書情報記憶手段から前記各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得し、前記公開鍵情報記憶手段に書き込む手段、
前記利用者装置からサービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書を前記公開鍵情報記憶手段から読み出す証明書情報読出手段、
前記証明書情報読出手段によって読み出した公開鍵証明書リストを前記サービス要求元の利用者装置に送信する手段、
前記公開鍵証明書リストの送信に応じて前記利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証するリング署名検証手段、
前記リング署名検証手段により正当であると確認した場合、前記暗号化決済情報を含む決済要求を前記決済機関装置に送信する決済要求送信手段、
前記決済要求に応じて前記決済機関装置から確認結果を受信し、該確認結果に応じて、前記サービス要求元の利用者装置にサービスを提供するサービス提供手段、
として機能させるためのプログラム。
【請求項１５】
サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストを前記サービス要求元に送信し、前記公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の確認後、前記暗号化決済情報の正当性の確認結果に応じて、前記サービス要求元にサービスを提供するサービス提供者装置と、
利用者公開鍵を含む証明書発行要求に応じて、公開鍵証明書をサービスＩＤに関連付けて発行する証明書発行装置と、
暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
のいずれの装置とも接続する利用者装置のコンピュータに用いられるプログラムであって、
前記利用者装置のコンピュータを、
サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成する手段、
前記サービスＩＤと前記利用者公開鍵Ｐｋｉとを含む証明書発行要求を前記証明書発行装置に送信する手段、
前記サービスＩＤを含むサービス要求を前記サービス提供者装置に送信する手段、
前記サービス要求に応じて前記サービス提供者装置から公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名の生成に用いるリング署名用公開鍵情報として選択する公開鍵情報選択手段、
前記公開鍵情報選択手段によって選択したリング署名用公開鍵情報と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいてリング署名σを生成するリング署名生成手段、
前記サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する暗号化決済情報生成手段、
前記リング署名σと前記暗号化決済情報とを前記サービス提供者装置に送信するリング署名送信手段、
として機能させるためのプログラム。
【請求項１６】
複数の利用者装置と証明書発行装置とサービス提供者装置と決済機関装置とにより、匿名の利用者にサービスを提供する匿名サービス提供方法であって、
前記各利用者装置が、サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成するステップと、
前記各利用者装置が、前記サービスＩＤと前記利用者公開鍵Ｐｋｉとを含む証明書発行要求を前記証明書発行装置に送信するステップと、
前記証明書発行装置が、前記利用者装置から前記証明書発行要求を受信した場合、該証明書発行要求に含まれる利用者公開鍵Ｐｋｉの公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）をサービスＩＤに関連付けて発行し、証明書情報記憶手段に書き込むステップと、
前記証明書発行装置が、前記公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を証明書発行要求元の利用者装置に送信するステップと、
サービス提供者装置が、証明書発行装置の証明書情報記憶手段から各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得するステップと、
一の利用者装置が、前記サービスＩＤを含むサービス要求を前記サービス提供者装置に送信するステップと、
前記サービス提供者装置が、前記利用者装置からサービス要求を受信した場合、該サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元の利用者装置に送信するステップと、
前記各利用者装置が、前記サービス要求に応じて前記サービス提供者装置から公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名σの生成に用いるリング署名用公開鍵情報として選択する公開鍵情報選択ステップと、
前記各利用者装置が、前記公開鍵情報選択ステップにより選択されたリング署名用公開鍵情報と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいてリング署名σを生成するリング署名生成ステップと、
前記各利用者装置が、前記サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する暗号化決済情報生成ステップと、
前記各利用者装置が、前記リング署名σと前記暗号化決済情報とを前記サービス提供者装置に送信するリング署名送信ステップと、
前記サービス提供者装置が、前記公開鍵証明書リストの送信に応じて前記利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証するリング署名検証ステップと、
前記サービス提供者装置が、前記リング署名検証ステップにより前記リング署名σが正当であると確認した場合、前記暗号化決済情報を含む決済要求を前記決済機関装置に送信する決済要求送信ステップと、
前記決済機関装置が、前記サービス提供者装置から前記暗号化決済情報を含む決済要求を受信した場合、該暗号化決済情報を決済機関秘密鍵で復号して前記決済情報の正当性を確認する決済情報確認ステップと、
前記決済機関装置が、前記決済要求に対し、前記決済情報確認ステップによる確認結果を前記サービス提供者装置に送信するステップと、
前記サービス提供者装置が、前記決済要求に応じて前記決済機関装置から確認結果を受信し、該確認結果に応じて、前記サービス要求元の利用者装置にサービスを提供するサービス提供ステップと
を備えたことを特徴とする匿名サービス提供方法。
【請求項１】
サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、該サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する複数の利用者装置と、
前記サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する公開鍵証明書リストをサービス要求元に送信し、該公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の確認後、暗号化決済情報の正当性の確認結果に応じて、サービス要求元にサービスを提供するサービス提供者装置と、
暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項２】
複数の利用者装置と証明書発行装置とサービス提供者装置と決済機関装置とを備え、匿名の利用者にサービスを提供する匿名サービス提供システムであって、
前記各利用者装置は、
サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成する手段と、
前記サービスＩＤと前記利用者公開鍵Ｐｋｉとを含む証明書発行要求を前記証明書発行装置に送信する手段と、
前記サービスＩＤを含むサービス要求を前記サービス提供者装置に送信する手段と、
前記サービス要求に応じて前記サービス提供者装置からサービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名の生成に用いるリング署名用公開鍵情報として選択する公開鍵情報選択手段と、
前記公開鍵情報選択手段により選択されたリング署名用公開鍵情報と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいてリング署名σを生成するリング署名生成手段と、
前記サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する暗号化決済情報生成手段と、
前記リング署名σと前記暗号化決済情報とを前記サービス提供者装置に送信するリング署名送信手段と、
を備え、
前記証明書発行装置は、
前記各利用者公開鍵の公開鍵証明書とサービスＩＤとを関連付けて記憶する証明書情報記憶手段と、
前記利用者装置から前記証明書発行要求を受信した場合、該証明書発行要求に含まれる利用者公開鍵Ｐｋｉの公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）をサービスＩＤに関連付けて発行し、前記証明書情報記憶手段に書き込む手段と、
前記公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を証明書発行要求元の利用者装置に送信する手段と、
を備え、
前記サービス提供者装置は、
リング署名の生成に用いる複数の公開鍵証明書をサービスＩＤに関連付けて記憶する公開鍵情報記憶手段と、
前記証明書発行装置の証明書情報記憶手段から前記各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得し、前記公開鍵情報記憶手段に書き込む手段と、
前記利用者装置からサービス要求を受信した場合、該サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書を前記公開鍵情報記憶手段から読み出す証明書情報読出手段と、
前記証明書情報読出手段によって読み出した各公開鍵証明書をリスト化した公開鍵証明書リストを前記サービス要求元の利用者装置に送信する手段と、
前記公開鍵証明書リストの送信に応じて前記利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証するリング署名検証手段と、
前記リング署名検証手段により正当であると検証した場合、前記暗号化決済情報を含む決済要求を前記決済機関装置に送信する決済要求送信手段と、
前記決済要求に応じて前記決済機関装置から確認結果を受信し、該確認結果に応じて、前記サービス要求元の利用者装置にサービスを提供するサービス提供手段と、
を備え、
前記決済機関装置は、
決済機関秘密鍵を記憶する手段と、
前記サービス提供者装置から前記暗号化決済情報を含む決済要求を受信した場合、該暗号化決済情報を前記決済機関秘密鍵で復号して前記決済情報の正当性を確認する決済情報確認手段と、
前記決済要求に対し、前記決済情報確認手段による確認結果を前記サービス提供者装置に送信する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項３】
請求項１または請求項２に記載の匿名サービス提供システムにおいて、
前記サービス提供者装置は、
一の利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名の生成に用いられたリング署名用公開鍵情報の履歴を記憶する履歴記憶手段と、
前記各利用者装置のうちのいずれかの利用者装置から次にサービス要求を受信した場合、前記履歴記憶手段に記憶された前回のリング署名用公開鍵情報を該サービス要求元の利用者装置に送信する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項４】
請求項１乃至請求項３のいずれか１項に記載の匿名サービス提供システムにおいて、
前記サービス提供者装置の公開鍵情報記憶手段は、前記サービスＩＤ毎に、リング署名の生成に用いる公開鍵証明書の組を複数記憶しており、
前記各利用者装置は、前記公開鍵情報選択手段による処理に代えて、前記複数の組の公開鍵証明書のうち、一の公開鍵証明書の組をリング署名σの生成に用いるリング署名用公開鍵情報として選択する、
ことを特徴とする匿名サービス提供システム。
【請求項５】
請求項１乃至請求項４のいずれか１項に記載の匿名サービス提供システムにおいて、
前記公開鍵証明書には利用者にサービス提供が可能か否かを示す属性情報が書き込まれており、
前記利用者装置は、前記サービス要求とともに前記属性情報を送信し、
前記サービス提供者装置は、前記証明書読出手段に代えて、
前記利用者装置から前記サービス要求とともに前記属性情報を受信した場合、該属性情報に基づいて利用者にサービス提供が可能か否かを判定する手段と、
前記判定の結果、可能であれば、前記サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書を前記公開鍵情報記憶手段から読み出す手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項６】
請求項１乃至請求項５のいずれか１項に記載の匿名サービス提供システムにおいて、
前記各利用者装置は、前記リング署名送信手段に代えて、
前記暗号化決済情報を送信せずにリング署名σのみを前記サービス提供者装置に送信する手段と、
前記リング署名σの送信に応じて前記サービス提供者装置からテンポラリＩＤを受信する手段と、
前記決済機関装置から決済情報入力要求を受信した場合、前記テンポラリＩＤと決済情報とを該決済機関装置に送信する手段と、
を備え、
前記サービス提供者装置は、
前記利用者装置から前記リング署名σを受信した場合、該利用者装置にテンポラリＩＤを送信する手段と、
前記テンポラリＩＤを送信したときに、該テンポラリＩＤと決済要求とを前記決済機関装置に送信する手段と、
前記決済要求に応じて前記テンポラリＩＤと該テンポラリＩＤの照合結果とを前記決済機関装置から受信し、該テンポラリＩＤの照合結果が一致である場合、該テンポラリＩＤを送信した利用者装置にサービスを提供する手段と、
を備え、
前記決済機関装置は、
前記サービス提供者装置から決済要求とテンポラリＩＤとを受信した場合、決済情報入力要求を前記利用者装置に送信する手段と、
前記決済情報入力要求に応じて前記利用者装置からテンポラリＩＤと決済情報とを受信した場合、該利用者装置から受信したテンポラリＩＤと、前記サービス提供者装置から受信したテンポラリＩＤとが一致するか否かを照合する手段と、
前記テンポラリＩＤの照合結果とともに前記サービス提供者装置から受信したテンポラリＩＤを前記サービス提供者装置に送信する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項７】
請求項１乃至請求項６のいずれか１項に記載の匿名サービス提供システムにおいて、
前記利用者装置のリング署名生成手段は、
公開されているシステムパラメータｇ及び素数ｐ、ｑに関し、前記利用者公開鍵Ｐｋｉと前記利用者秘密鍵Ｓｋｉとが、式Ｐｋｉ ＝ ｇＳｋｉ ｍｏｄ ｐの関係を満たしている場合、前記サービス情報Ｍと乱数情報Ｒを耐衝突一方向性ハッシュ関数Ｇに代入して第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）を生成する手段と、
前記第１検証情報ｗと自己の利用者秘密鍵Ｓｋｉとから、式Ｓ ＝ ｗＳｋｉ ｍｏｄ ｐにより、第１リング要素情報Ｓを生成する手段と、
前記リング署名用公開鍵情報である複数の利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}における自己の順番ｉ以外の順番ｊに対応させて、０以上ｑ未満の整数の集合から、複数の第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝及び複数の第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝を選択する手段と、
前記リング署名用公開鍵情報のうち、自己の利用者公開鍵Ｐｋｉ以外の各利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）}から、式ａｊ ＝ ｇｃｊＰｋｊｄｊ ｍｏｄ ｐにより、複数の第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝を生成する手段と、
前記各利用者公開鍵｛ＰＫｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝に対応させて前記第１検証情報ｗと第１リング要素情報Ｓとから、式ｂｊ ＝ ｗｃｊＳｄｊ ｍｏｄ ｐ により、複数の第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝を生成する手段と、
前記自己の利用者公開鍵Ｐｋｉに対応させて、０以上ｑ未満の整数ｅから、式ａｉ＝ｇｅ ｍｏｄ ｐ により、第２検証情報ａｉを生成する手段と、
前記自己の利用者公開鍵Ｐｋｉに対応させて、式ｂｉ ＝ｗ ｅ ｍｏｄ ｐにより、第３
検証情報ｂｉを生成する手段と、
前記サービス情報Ｍ、乱数情報Ｒ、前記第１検証情報ｗ、前記第１リング要素情報Ｓ、前記各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝、前記各第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び前記各第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝を一方向性ハッシュ関数Ｈに代入して、式ｄ＝Ｈ（Ｍ，Ｒ，ｗ，Ｓ，Ｐｋ１，・・・，ＰｋＬ’，ａ１，ｂ１，・・・，ａＬ’，ｂＬ’）により、第４検証情報ｄを生成する手段と、
前記第４検証情報ｄと、前記自己の利用者公開鍵ＰＫｉ以外の各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝に対応する複数の第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’（但しｊ＝ｉを除く）｝とに基づいて、式ｄｉ ＝ ｄ−（ｄ１ ＋ ・・・ ＋ ｄｉ−１ ＋ ｄｉ＋１ ・・・ ＋ ｄＬ’） ｍｏｄ ｑ により、自己の利用者公開鍵Ｐｋｉに対応する第３リング要素情報ｄｉを生成する手段と、
前記自己の利用者公開鍵Ｐｋｉに対する前記第３リング要素情報ｄｉを、式ｃｉ ＝ ｅ − ｄｉＳｋｉ ｍｏｄ ｑ に代入して、自己の利用者公開鍵Ｐｋｉに対応する第２リング要素情報ｃｉを生成する手段と、
前記サービス情報Ｍ、前記乱数情報Ｒ、前記第１リング要素情報Ｓ、前記各第２リング要素情報｛ｃｊ、ｊ＝１，・・・，Ｌ’｝、前記各第３リング要素情報｛ｄｊ、ｊ＝１，・・・，Ｌ’｝及び前記各利用者公開鍵{Ｐｋｊ、ｊ＝１，・・・，Ｌ’}に基づいて、リング署名情報σ＝｛Ｍ，Ｒ，Ｓ，ｃ１，ｄ１，…，ｃＬ’，ｄＬ’，Ｐｋ１，…ＰｋＬ’｝を生成する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項８】
請求項７に記載の匿名サービス提供システムにおいて、
前記サービス提供者装置のリング署名検証手段は、
前記リング署名σから前記サービス情報Ｍを読み出し、該サービス情報Ｍと乱数情報Ｒを耐衝突一方向性ハッシュ関数Ｇに代入して第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）を生成する手段と、
前記リング署名σから、前記各第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’｝、前記各第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’｝及び各前記利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝を読み出し、式ａｊ ＝ ｇｃｊＰｋｊｄｊ ｍｏｄ ｐにより、複数の第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝を生成する手段と、
前記リング署名σから、前記第１リング要素情報Ｓ、前記各第２リング要素情報｛ｃｊ、ｊ＝１，…，Ｌ’｝及び前記各第３リング要素情報｛ｄｊ、ｊ＝１，…，Ｌ’｝を読み出し、複数の第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝を生成する手段と、
前記リング署名σから、前記サービス情報Ｍ、前記乱数情報Ｒ、前記第１リング要素情報Ｓ及び前記各利用者公開鍵｛Ｐｋｊ、ｊ＝１，…，Ｌ’｝を読み出し、前記各第２検証情報｛ａｊ、ｊ＝１，…，Ｌ’｝及び前記各第３検証情報｛ｂｊ、ｊ＝１，…，Ｌ’｝とともに、一方向性ハッシュ関数Ｈに代入して、式ｄ＝Ｈ（Ｍ，Ｒ，ｗ，Ｓ，Ｐｋ１，…，ＰｋＬ’，ａ１，ｂ１，…，ａＬ’，ｂＬ’）により、第４検証情報ｄを生成する手段と、
前記第４検証情報ｄと、前記リング署名σから読み出した複数の第３リング要素情報｛ｄｊ、ｊ＝１〜Ｌ’｝とに基づいて、検証式ｄ ＝ ｄ１ ＋ ・・・ ＋ ｄＬ’ ｍｏｄ ｑが成立するか否かにより、該リング署名σの正当性を検証する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項９】
請求項７または請求項８に記載の匿名サービス提供システムにおいて、
前記利用者装置は、
前記リング署名σとともに利用者確認要求をサービス提供者装置に送信する手段と、
前記利用者確認要求に応じて前記サービス提供者装置から第３確認定数ｃを受信すると、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第４確認定数ｒを選択する手段と、
前記第３確認定数ｃ及び前記第４確認定数ｒとに基づいて、式ｔ ＝ ｃｇｒ ｍｏｄ ｐにより、第５確認定数ｔを生成する手段と、
前記第５確認定数ｔと利用者秘密鍵Ｓｋｉとに基づいて、式ｕ ＝ ｔＳｋｉ ｍｏｄ ｐにより、第６確認定数ｕを生成する手段と、
前記第５確認定数ｔ及び前記第６確認定数ｕを前記サービス提供者装置に送信する手段と、
前記第５確認定数ｔ及び前記第６確認定数ｕの送信に応じて前記サービス提供者装置から第１確認定数ａ及び第２確認定数ｂを受信した場合、該第１確認定数ａ及び該第２確認定数ｂと前記第１検証情報ｗとに基づいて、第３確認定数の検証式ｃ ＝ ｗａｂｇ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記第３確認定数の検証式が成立した場合、前記第４確認定数ｒを前記サービス提供者装置に送信する手段と、
を備え、
前記サービス提供者装置は、
前記リング署名とともに利用者確認要求を前記利用者装置から受信すると、該リング署名σに含まれるサービス情報Ｍと乱数情報Ｒを耐衝突一方向性ハッシュ関数Ｇに代入して第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）を生成する手段と、
０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第１確認定数ａ及び第２確認定数ｂを選択する手段と、
前記第１検証情報ｗと、前記第１確認定数ａ及び前記第２確認定数ｂとに基づいて、式ｃ＝ｗａｇｂ ｍｏｄ ｐ により第３確認定数ｃを生成し、該第３確認定数ｃを前記利用者確認要求元の利用者装置に送信する手段と、
前記第３確認定数ｃの送信に応じて前記利用者装置から前記第５確認定数ｔ及び第６確認定数ｕを受信した場合、前記第１確認定数a及び前記第２確認定数ｂを該利用者装置に送信する手段と、
前記第１確認定数a及び前記第２確認定数ｂの送信に応じて前記利用者装置から前記第４確認定数ｒを受信した場合、該第４確認定数ｒ及び前記第３確認定数ｃに基づいて、第６確認定数ｔの検証式ｔ ＝ ｃｇｒ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記第１確認定数a及び前記第２確認定数ｂの送信に応じて前記利用者装置から前記第４確認定数ｒを受信した場合、前記リング署名σから第１リング要素情報Ｓと利用者公開鍵Ｐｋｉとを読み出し、前記第１確認定数ａと前記第２確認定数ｂと該第４確認定数ｒとに基づいて、第５確認定数の検証式ｕ ＝ ＳａＰｋｉｂ＋ｒ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記第５確認定数ｕの検証式と第６確認定数ｔの検証式とが成立した場合、前記リング署名σが前記利用者確認要求の要求元の利用者装置により生成されたものであると判定する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項１０】
請求項７乃至請求項９のいずれか１項に記載の匿名サービス提供システムにおいて、
前記各利用者装置は、
前記サービス提供者装置から第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２を受信した場合、利用者秘密鍵Ｓｋｉと第１検証情報ｗと第１リング要素情報Ｓとに基づいて、関係式Ｃ１Ｓｋｉ／Ｃ２ ＝ （ｗＳｋｉ／Ｓ）ａ’’ ｍｏｄ ｐを満たす検索数ａ’’を検索する手段と、
０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から任意に第３選択数ｒ’を選択する手段と、
前記第３選択数ｒ’と前記検索数ａ’’とを耐衝突一方向性ハッシュ関数Ｆに代入してハッシュ値ｔ’を生成し、前記サービス提供者装置に送信する手段と、
前記ハッシュ値ｔ’の送信に応じて前記サービス提供者装置から第２選択数ｂ’を受信した場合、該第２選択数ｂ’と前記検索数ａ’’とに基づいて、第１否認処理定数の検証式Ｃ１ ＝ ｗａ’’ｇｂ’ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記ハッシュ値ｔ’の送信に応じて前記サービス提供者装置から第２選択数ｂ’を受信した場合、該第２選択数ｂ’と前記検索数ａ’’と前記第１リング要素情報Ｓと利用者公開鍵Ｐｋｉとに基づいて、第２否認処理定数の検証式Ｃ２ ＝ Ｓａ’’Ｐｋｉｂ’ ｍｏｄ ｐが成立するか否かを検証する手段と、
前記第１否認処理定数Ｃ１の検証式と第２否認処理定数Ｃ２の検証式とが成立した場合、前記第３選択数ｒ’を前記サービス提供者装置に送信する手段と、
を備え、
前記サービス提供者装置は、
前記リング署名用公開鍵情報の複数の利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}に対応する利用者装置への利用者特定処理の実行命令の入力を受け付ける手段と、
前記利用特定処理の実行命令に応じて、前記リング署名用公開鍵情報の利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}に対応する利用者装置のうち、一の利用者装置を選択する選択手段と、
前記利用者特定処理の実行命令に応じて、前記リング署名σに含まれるサービス情報Ｍと乱数情報Ｒを耐衝突一方向性ハッシュ関数Ｇに代入して第１検証情報ｗ＝Ｇ（Ｍ,Ｒ）を生成する手段と、
前記利用者特定処理の実行命令に応じて、最大数を全数検索により検索可能な０以上の整数の集合から第１選択数ａ’を選択するとともに、０以上ｑ未満の整数であり、かつｑと互いに素な整数の集合から第２選択数ｂ’を選択する手段と、
前記第１検証情報ｗと、前記第１選択数ａ’及び前記第２選択数ｂ’とに基づいて、式Ｃ１ ＝ ｗａ’ｇｂ’ ｍｏｄ ｐにより、第１否認処理定数Ｃ１を生成する手段と、
前記リング署名σに含まれる第１リング要素情報Ｓと、前記選択手段により選択された利用者装置の利用者公開鍵Ｐｋｉと、前記第１選択数ａ’及び前記第２選択数ｂ’とに基づいて、式Ｃ２ ＝ Ｓａ’Ｐｋｉｂ’ ｍｏｄ ｐにより、第２否認処理定数Ｃ２を生成する手段と、
前記第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２を前記選択手段により選択された利用者装置に送信する手段と、
前記第１否認処理定数Ｃ１及び第２否認処理定数Ｃ２の送信に応じて前記利用者装置から前記ハッシュ値ｔ’を受信した場合、前記第２選択数ｂ’を該利用者装置に送信する手段と、
前記第２選択数ｂ’の送信に応じて前記利用者装置から前記第３選択数ｒ’を受信した場合、該第３選択数ｒ’と前記第１選択数ａ’とを耐衝突一方向性ハッシュ関数Ｆに代入して、前記ハッシュ値ｔ’の検証式ｔ’＝Ｆ（ｒ’，ａ’）が成立するか否かを検証するハッシュ値検証手段と、
前記ハッシュ値ｔ’の検証式が成立する場合、前記リング署名σが前記利用者装置により生成されたものではないと判定する手段と
前記リング署名が前記利用者装置により生成されたものではないと判定された場合、前記リング署名用公開鍵情報の各利用者公開鍵{Ｐｋｊ、ｊ＝１，…，Ｌ’}に対応する利用者装置の中から、次の利用者装置を選択して利用者特定処理を実行する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項１１】
請求項１０に記載の匿名サービス提供システムにおいて、
前記サービス提供者装置は、
前記ハッシュ値検証手段により、前記ハッシュ値ｔ’の検証式が成立しない場合、前記選択手段により選択された利用者装置に対して、リング署名σとともに利用者確認要求の送信要求を実行する手段と、
前記利用者確認要求の送信要求に応じて、前記リング署名σが前記利用者確認要求の要求元の利用者装置により生成されたものであるか否かを判定する手段と、
を備えたことを特徴とする匿名サービス提供システム。
【請求項１２】
サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する利用者装置と、
前記利用者装置の公開鍵証明書をサービスＩＤに関連付けて発行する証明書発行装置と、
前記暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
のいずれの装置とも接続するサービス提供者装置であって、
リング署名の生成に用いる複数の公開鍵証明書をサービスＩＤに関連付けて記憶する公開鍵情報記憶手段と、
前記証明書発行装置の証明書情報記憶手段から前記各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得し、前記公開鍵情報記憶手段に書き込む手段と、
前記利用者装置からサービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する公開鍵証明書リストを前記公開鍵情報記憶手段から読み出す証明書情報読出手段と、
前記証明書情報読出手段によって読み出した公開鍵証明書リストを前記サービス要求元の利用者装置に送信する手段と、
前記公開鍵証明書リストの送信に応じて前記利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証するリング署名検証手段と、
前記リング署名検証手段により正当であると確認した場合、前記暗号化決済情報を含む決済要求を前記決済機関装置に送信する決済要求送信手段と、
前記決済要求に応じて前記決済機関装置から確認結果を受信し、該確認結果に応じて、前記サービス要求元の利用者装置にサービスを提供するサービス提供手段と、
を備えたことを特徴とするサービス提供者装置。
【請求項１３】
サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元に送信し、前記公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の確認後、前記暗号化決済情報の正当性の確認結果に応じて、前記サービス要求元にサービスを提供するサービス提供者装置と、
利用者公開鍵を含む証明書発行要求に応じて、公開鍵証明書をサービスＩＤに関連付けて発行する証明書発行装置と、
暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
のいずれの装置とも接続する利用者装置であって、
前記利用者装置は、
サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成する手段と、
前記サービスＩＤと前記利用者公開鍵Ｐｋｉとを含む証明書発行要求を前記証明書発行装置に送信する手段と、
前記サービスＩＤを含むサービス要求を前記サービス提供者装置に送信する手段と、
前記サービス要求に応じて前記サービス提供者装置から公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名σの生成に用いるリング署名用公開鍵情報として選択する公開鍵情報選択手段と、
前記公開鍵情報選択手段によって選択したリング署名用公開鍵情報と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいてリング署名σを生成するリング署名生成手段と、
前記サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する暗号化決済情報生成手段と、
前記リング署名σと前記暗号化決済情報とを前記サービス提供者装置に送信するリング署名送信手段と、
を備えたことを特徴とする利用者装置。
【請求項１４】
サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストからリング署名σを生成し、サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する利用者装置と、
前記利用者装置の公開鍵証明書をサービスＩＤに関連付けて発行する証明書発行装置と、
前記暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
のいずれの装置とも接続するサービス提供者装置のコンピュータに用いられるプログラムであって、
前記サービス提供者装置のコンピュータを、
リング署名の生成に用いる複数の公開鍵証明書をサービスＩＤに関連付けて記憶する公開鍵情報記憶手段、
前記証明書発行装置の証明書情報記憶手段から前記各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得し、前記公開鍵情報記憶手段に書き込む手段、
前記利用者装置からサービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書を前記公開鍵情報記憶手段から読み出す証明書情報読出手段、
前記証明書情報読出手段によって読み出した公開鍵証明書リストを前記サービス要求元の利用者装置に送信する手段、
前記公開鍵証明書リストの送信に応じて前記利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証するリング署名検証手段、
前記リング署名検証手段により正当であると確認した場合、前記暗号化決済情報を含む決済要求を前記決済機関装置に送信する決済要求送信手段、
前記決済要求に応じて前記決済機関装置から確認結果を受信し、該確認結果に応じて、前記サービス要求元の利用者装置にサービスを提供するサービス提供手段、
として機能させるためのプログラム。
【請求項１５】
サービスＩＤを含むサービス要求を受信した場合、該サービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストを前記サービス要求元に送信し、前記公開鍵証明書リストの送信に応じてリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証し、該リング署名σの正当性の確認後、前記暗号化決済情報の正当性の確認結果に応じて、前記サービス要求元にサービスを提供するサービス提供者装置と、
利用者公開鍵を含む証明書発行要求に応じて、公開鍵証明書をサービスＩＤに関連付けて発行する証明書発行装置と、
暗号化決済情報を決済機関秘密鍵で復号して決済情報の正当性を確認する決済機関装置と、
のいずれの装置とも接続する利用者装置のコンピュータに用いられるプログラムであって、
前記利用者装置のコンピュータを、
サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成する手段、
前記サービスＩＤと前記利用者公開鍵Ｐｋｉとを含む証明書発行要求を前記証明書発行装置に送信する手段、
前記サービスＩＤを含むサービス要求を前記サービス提供者装置に送信する手段、
前記サービス要求に応じて前記サービス提供者装置から公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名の生成に用いるリング署名用公開鍵情報として選択する公開鍵情報選択手段、
前記公開鍵情報選択手段によって選択したリング署名用公開鍵情報と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいてリング署名σを生成するリング署名生成手段、
前記サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する暗号化決済情報生成手段、
前記リング署名σと前記暗号化決済情報とを前記サービス提供者装置に送信するリング署名送信手段、
として機能させるためのプログラム。
【請求項１６】
複数の利用者装置と証明書発行装置とサービス提供者装置と決済機関装置とにより、匿名の利用者にサービスを提供する匿名サービス提供方法であって、
前記各利用者装置が、サービスＩＤに関連付けて、利用者公開鍵Ｐｋｉと利用者秘密鍵Ｓｋｉとの鍵ペアを生成するステップと、
前記各利用者装置が、前記サービスＩＤと前記利用者公開鍵Ｐｋｉとを含む証明書発行要求を前記証明書発行装置に送信するステップと、
前記証明書発行装置が、前記利用者装置から前記証明書発行要求を受信した場合、該証明書発行要求に含まれる利用者公開鍵Ｐｋｉの公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）をサービスＩＤに関連付けて発行し、証明書情報記憶手段に書き込むステップと、
前記証明書発行装置が、前記公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を証明書発行要求元の利用者装置に送信するステップと、
サービス提供者装置が、証明書発行装置の証明書情報記憶手段から各利用者公開鍵の公開鍵証明書とサービスＩＤとを取得するステップと、
一の利用者装置が、前記サービスＩＤを含むサービス要求を前記サービス提供者装置に送信するステップと、
前記サービス提供者装置が、前記利用者装置からサービス要求を受信した場合、該サービス要求に含まれるサービスＩＤに対応する複数の公開鍵証明書をリスト化した公開鍵証明書リストをサービス要求元の利用者装置に送信するステップと、
前記各利用者装置が、前記サービス要求に応じて前記サービス提供者装置から公開鍵証明書リストを受信した場合、該公開鍵証明書リストから自己の公開鍵証明書Ｃｅｒｔ（Ｐｋｉ）を含む公開鍵証明書の組｛Ｃｅｒｔ（Ｐｋ１），…，Ｃｅｒｔ（ＰｋＬ’）｝をリング署名σの生成に用いるリング署名用公開鍵情報として選択する公開鍵情報選択ステップと、
前記各利用者装置が、前記公開鍵情報選択ステップにより選択されたリング署名用公開鍵情報と自己の利用者秘密鍵Ｓｋｉとサービスを受けるためのサービス情報Ｍとに基づいてリング署名σを生成するリング署名生成ステップと、
前記各利用者装置が、前記サービスに対する決済情報を決済機関公開鍵で暗号化して暗号化決済情報を生成する暗号化決済情報生成ステップと、
前記各利用者装置が、前記リング署名σと前記暗号化決済情報とを前記サービス提供者装置に送信するリング署名送信ステップと、
前記サービス提供者装置が、前記公開鍵証明書リストの送信に応じて前記利用者装置からリング署名σと暗号化決済情報とを受信した場合、該リング署名σの正当性を検証するリング署名検証ステップと、
前記サービス提供者装置が、前記リング署名検証ステップにより前記リング署名σが正当であると確認した場合、前記暗号化決済情報を含む決済要求を前記決済機関装置に送信する決済要求送信ステップと、
前記決済機関装置が、前記サービス提供者装置から前記暗号化決済情報を含む決済要求を受信した場合、該暗号化決済情報を決済機関秘密鍵で復号して前記決済情報の正当性を確認する決済情報確認ステップと、
前記決済機関装置が、前記決済要求に対し、前記決済情報確認ステップによる確認結果を前記サービス提供者装置に送信するステップと、
前記サービス提供者装置が、前記決済要求に応じて前記決済機関装置から確認結果を受信し、該確認結果に応じて、前記サービス要求元の利用者装置にサービスを提供するサービス提供ステップと
を備えたことを特徴とする匿名サービス提供方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２００９−１５９３１７（Ｐ２００９−１５９３１７Ａ）
【公開日】平成２１年７月１６日（２００９．７．１６）
【国際特許分類】
【出願番号】特願２００７−３３５２６６（Ｐ２００７−３３５２６６）
【出願日】平成１９年１２月２６日（２００７．１２．２６）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
【公開日】平成２１年７月１６日（２００９．７．１６）
【国際特許分類】
【出願日】平成１９年１２月２６日（２００７．１２．２６）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
[ Back to top ]