5.3 匿名性を強化した証明書方式
5.3.1 提案方式の概要
ここで，匿名性を強化した証明書方式の概要を述べる．提案する手法は以下の ように構築される．
但し，ユーザ，各機関，機関管理者間は匿名通信路で結ばれているものとする．
1. 初期設定:
全ての機関管理者MG ∈Gは，鍵生成プロトコルKGGを用いてグループの 秘密鍵，公開鍵の組を生成する．MGによって生成されるグループGの公開 鍵をRSAの法nGとdG, eG, fG, gG, hG, vG ∈Z∗nG2とし，秘密鍵をnGの素因 数とする．
2. 機関OiのグループGへの登録:
機関Oiは，グループGへ登録するためにグループの公開鍵を用いて鍵生成プ ロトコルKG(Oi,G)から，秘密鍵と公開鍵の組(x(Oi,G), y(Oi,G) :=vGx(Oi,G) mod nG)を生成し，識別情報id(Oi,G)とともにグループに登録する．機関管理者 MGは登録された機関の公開鍵のリストを公開する．
3. ユーザの登録:
3-1. ユーザUのグループGへの登録:
ユーザU は，鍵生成プロトコルKGU を用いてシステム内で用いる秘 密鍵xU を生成する．また，仮名生成プロトコルP Gによって，仮名 P(U,G)を生成し，グループGに登録する．これはUの秘密鍵xUを用い てP(U,G) :=gGxUhGs(U,G) modnGで生成される．ただし，s(U,G)はプロ トコルP Gによって生成されるU の秘密情報である．その後，機関管 理者MGはグループ登録証明書発行プロトコルCIGによって登録証明 書を発行する．この証明書はC(U,G) ≡(P(U,G)fG)1/E(U,G) (mod nG)をみ たす(E(U,G), C(U,G))の組であらわされる．
3-2. ユーザUの機関Oi ∈Gへの登録:
i. ユーザUは機関Oiに仮名生成プロトコルP Gを用いて生成したP(U,Oi) :=
gGxUhGx(U,Oi)
modnGを登録する．
ii. Uは検証機関をOiとしたグループ登録証明プロトコルCTGによって グループGへの登録証明をおこなうとともに，登録した仮名P(U,Oi) が正しい型であること，即ちU の秘密鍵を用いて生成されている ことを証明する．
iii. U とOi は仮名保証書生成プロトコルGGによってU のOi への 登録を機関管理者に保証するための情報であるσ(U,Oi)を生成する．
σ(U,Oi)は仮名P(U,Oi)に対して生成され，U へのプライベート出力 である．
iv. Uは機関管理者MGに機関登録証明書発行プロトコルCIOによって σ(U,Oi)の正当性を証明し，MGは機関Oi の登録証明書を発行する．
σ(U,Oi)の正当性とは，σ(U,Oi)が機関Oiによって生成されたものであ り，かつP(U,G)と同じ秘密鍵を用いて生成された仮名に対して発行さ れたものであることを意味する．機関登録証明書はOiの識別情報で あるid(Oi,G)を用いて生成され，C(U,Oi) ≡(P(U,Oi)dGid(Oi,G)
fG)1/E(U,Oi) (modnG) をみたす(E(U,Oi), C(U,Oi))の組であらわされる．
4. 登録証明: ユーザUは検証者V もしくは検証機関Oj ∈ GJ に登録証明をおこ なう．
4-1. 検証者へのOiへの登録，またはグループGIへの登録証明: もし，検証 者V にOi ∈GIへの登録を示す場合は，機関登録証明プロトコルCS+ によってOi ∈ GIへの登録を証明する．また，検証者V にその登録を 示したくない，もしくはその必要がない場合には機関情報をもたない機 関登録証明プロトコルCS−によってグループGIに属するある機関の 登録証明をおこなうことができる．
プロトコルCS+では，id(Oi,G)を検証者に与え，
C(U,Oi)E(U,Oi) ≡gGxUhGs(U,Oi)dGid(Oi,G)fG (modnG)
をみたす，C(U,Oi), E(U,Oi), xU, s(U,Oi) の知識証明をおこない，プロトコ ルCS−ではid(Oi,G)を検証者に与えず，C(U,Oi), E(U,Oi), xU, s(U,Oi)に加 えてid(Oi,G)の知識証明をおこなう．
4-2. 検証機関へのOiへの登録，またはグループGIへの登録証明: ユーザU は検証機関Oj ∈GJに機関登録証明プロトコルCT+によってOi ∈GI
への登録証明書をおこなうとともにP(U,Oj) に対応するユーザであるこ とを証明する．また，Uがその登録の事実をOjに知らせたくない場合 には，グループGIに属するある機関への登録証明とともに，P(U,Oj)に 対応するユーザであることが証明できる．
プロトコルCT+では，id(Oi,G)を検証者に与え，
C(U,Oi)E(U,Oi) ≡gGIxU
hGIs(U,Oi)
dGIid(Oi,G)
fGI (modnGI)
P(U,Oj) ≡gGJxUhGJs(U,Oj) (mod nGJ)
を同時にみたす，C(U,Oi), E(U,Oi), xU, s(U,Oi), s(U,Oj)の知識証明をおこなう ことで，P(U,Oj)に対応するユーザのOiへの登録を示すことができ，プロ トコルCT−ではid(Oi,G)を検証者に与えず，C(U,Oi), E(U,Oi), xU, s(U,Oi), s(U,Oj) に加えてid(Oi,G)の知識証明をおこなう．