JP7808001B2 - メッセージ提示システム、提示用装置、及びメッセージ提示方法 - Google Patents

Description

本発明は、メッセージ提示システム、提示用装置、及びメッセージ提示方法に関する。

発行者から電子的なメッセージと、メッセージの内容を証明するデータ（発行用証明）とを発行されたユーザが、第三者である検証者に対し、メッセージの全部または一部と、自身が当該発行者から発行を受けたことを証明するためのデータ（提示用証明）と、を提示し検証を受ける、システムが知られている。

例えば、非特許文献１では、発行者が、ｃｌａｉｍと呼ばれるメッセージと、発行用証明と、を含むＶｅｒｉｆｉａｂｌｅ Ｃｒｅｄｅｎｉａｌと呼ばれるデータを発行し、発行を受けたユーザ（非特許文献１では所有者と呼ばれる）は、Ｖｅｒｉｆｉａｂｌｅ Ｃｒｅｄｅｎｔｉａｌと、提示用証明と、を含むＶｅｒｉｆｉａｂｌｅ Ｐｒｅｓｅｎｔａｔｉｏｎと呼ばれるデータを検証者に提示するシステムが開示されている。

ユーザは、検証者に対し、発行されたメッセージのうちの一部（部分メッセージ）のみを提示し、残りの部分は秘匿できることが望ましい。このような選択的提示を行う方法として、非特許文献１には、発行者が、メッセージに対する電子署名を生成して発行用証明に含め、ユーザが、当該電子署名に関するゼロ知識証明を提示用証明に含める、という方法が開示されている。また、選択的提示を行う別の方法として、非特許文献２ではＡＣＳ（Ａｎｏｎｙｍｏｕｓ Ｃｒｅｄｅｎｔｉａｌｓ Ｓｙｓｔｅｍ）が開示されている。

Ｗ３Ｃ， "Ｖｅｒｉｆｉａｂｌｅ Ｃｒｅｄｅｎｔｉａｌｓ Ｄａｔａ Ｍｏｄｅｌ ｖ１．１，" ２０２１年１１月９日［２０２２年２月４日検索］、インターネット<https://www.w3.org/TR/2021/REC-vc-data-model-20211109/> Ｏｌｉｖｉｅｒ Ｓａｎｄｅｒｓ， "Ｅｆｆｉｃｉｅｎｔ ｒｅｄａｃｔａｂｌｅ ｓｉｇｎａｔｕｒｅ ａｎｄ ａｐｐｌｉｃａｔｉｏｎ ｔｏ ａｎｏｎｙｍｏｕｓ ｃｒｅｄｅｎｔｉａｌｓ，" ２０２０年１月２８日［２０２２年２月４日検索］、インターネット<https://eprint.iacr.org/2019/1201>

非特許文献１や非特許文献２に記載の方法では、ユーザが保存するデータが漏洩すると、安全性上の脅威が生じる。例えば、非特許文献１に記載の方法では、ユーザが、メッセージと、発行用証明と、を保存する必要がある。このうち、発行用証明が漏洩した場合、ユーザ以外の者がユーザになりすまして提示する脅威が生じる。

また、非特許文献２に記載の方法では、ユーザが、ユーザ秘密鍵と、メッセージと、発行用証明と、を保存する必要がある。このうち、ユーザ秘密鍵が、部分メッセージと、当該部分メッセージに対する提示用証明と、の組を受け取った検証者に漏洩した場合、当該検証者が当該ユーザになりすまして別の検証者に提示する脅威が生じる。

また、非特許文献１と非特許文献２のどちらにおいても、メッセージが漏洩した場合、メッセージのうち提示していない部分が検証者や第三者に知られることになる。

そこで、本発明の一態様は、ユーザが保存するデータが漏洩し得る場合でも、安全性が保たれるようなメッセージ提示システムを実現する。

上記課題を解決するために、本発明の一態様は以下の構成を採用する。メッセージ提示システムは、提示用装置を含み、前記提示用装置は、ユーザの登録用生体情報に基づき生成されたテンプレートと、１以上のメッセージ要素を含むメッセージが暗号化された暗号化メッセージと、前記テンプレートに対応するユーザ公開鍵、前記メッセージ、及び前記メッセージの発行主体に対応する発行者秘密鍵に基づき生成された発行用証明と、を保持し、ユーザの提示用生体情報を取得し、前記テンプレートと前記提示用生体情報とに基づき、前記ユーザ公開鍵に対応するユーザ秘密鍵を生成し、前記ユーザ秘密鍵を用いた前記暗号化メッセージの復号によって、前記メッセージを復元し、前記メッセージの中で提示される部分を特定する情報である提示部分に基づき前記メッセージから部分メッセージを生成し、前記提示部分と、前記発行用証明と、前記ユーザ秘密鍵と、に基づき提示用証明を生成し、前記部分メッセージと、前記提示用証明と、を出力する。

本発明の一態様によれば、ユーザが保存するデータが漏洩し得る場合でも、安全性が保たれるようなメッセージ提示システムが実現される。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

実施例１におけるメッセージ提示システムの構成例を示すブロック図である。 実施例１における発行者登録用装置の機能構成例を示すブロック図である。 実施例１におけるユーザ登録用装置の機能構成例を示すブロック図である。 実施例１における検証者登録用装置の機能構成例を示すブロック図である。 実施例１における発行用装置の機能構成例を示すブロック図である。 実施例１における取得用装置の機能構成例を示すブロック図である。 実施例１における提示用装置の機能構成例を示すブロック図である。 実施例１における検証用装置の機能構成例を示すブロック図である。 実施例１におけるログ出力用装置の機能構成例を示すブロック図である。 実施例１におけるメッセージ提示システムに含まれる各装置を構成する計算機のハードウェア構成例を表すブロック図である。 実施例１における発行者登録処理の一例を示すシーケンス図である。 実施例１におけるユーザ登録処理の一例を示すシーケンス図である。 実施例１における検証者登録処理の一例を示すシーケンス図である。 実施例１における発行処理の一例を示すシーケンス図である。 実施例１における提示処理の一例を示すシーケンス図である。 実施例１におけるログ出力処理の一例を示すシーケンス図である。 実施例１における提示処理中の提示用装置のディスプレイ画面の遷移の一例を表すフローチャートである。

以下、本発明の実施形態を図面に基づき詳細に説明する。なお、本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものでないことに注意すべきである。

実施例１では、ネットワークを介したメッセージ提示システムを説明する。メッセージとは電子的に表現された任意のデータである。例えば、電子的に表現された、運転免許証、マイナンバーカード、職歴証明書、学歴証明書、履修証明書、ワクチン接種証明書、購買履歴、クレジットカード利用履歴、社員証、学生証、及び会員証等は、いずれもメッセージの例である。これ以降、メッセージは電子的に表現されているものとし、「電子的に表現された」という但し書きは省略する。

メッセージは、例えば、１つ以上のメッセージ要素からなる。メッセージ要素は、例えば、それぞれが部分的に提示され得る単位である。例えば、Ｍ１：＝（氏名：日立太郎、生年月日：２０００年１月１日、性別：男、住所：東京都千代田区丸の内一丁目６番６号）は、メッセージの例である。ただし、Ａ１：＝Ａ２は、Ａ１をＡ２により定義することを表す。Ｍ１は、「、」で区切られた、「氏名：日立太郎」と、「生年月日：２０００年１月１日」と、「性別：男」と、住所：「東京都千代田区丸の内一丁目６番６号」と、の４つのメッセージ要素からなる。

なお、メッセージ要素の定義方法は上記に限らない。例えば、Ｍ２：＝（苗字：日立、下の名前：太郎、生年月日：２０００年１月１日、性別：男、住所の都道府県部分：東京都、住所の市区町村以下：千代田区丸の内一丁目６番６号）もメッセージの例である。

「メッセージの中で提示処理において提示される部分」を特定する情報を提示部分と呼び、メッセージのうち提示部分に対応するメッセージ要素からなる組を部分メッセージと呼ぶ。例えば、上記したＭ１における、提示部分が（氏名、生年月日）である場合、この提示部分に対応する部分メッセージは、（氏名：日立太郎、生年月日：２０００年１月１日）である。

各メッセージ要素が何を意味するかを表す情報をキーと呼び、情報そのものをバリューと呼ぶ。例えば、メッセージ要素「氏名：日立太郎」において、キーは「氏名」、バリューは「日立太郎」である。

メッセージの構造としては、上記のＭ１のように、各メッセージ要素がキーとバリューの組からなるようにしてもよいし、各メッセージ要素がバリューからなるようにし、別途、以下のように構造情報を定義してもよい。例えば、Ｍ３：＝（日立太郎、２０００年１月１日、男、東京都千代田区丸の内一丁目６番６号）のようにＭ３をバリューのみよって定義し、構造情報Ｓ３を、Ｓ３：＝（氏名、生年月日、性別、住所）のようにキーによって定義する。メッセージＭ３のメッセージ要素の各位置に対応する構造情報Ｓ３のキーを参照することにより、各メッセージ要素が何を意味するのかを知ることができる。

各メッセージ要素がバリューからなる場合、構造情報は、例えば、メッセージ又は部分メッセージとともに送信、暗号化、及び復号されるようにすればよい。その際、構造情報がメッセージまたは部分メッセージとの紐づけ処理が行われるようにするとよい。例えば、発行用証明に含まれる署名の対象に、構造情報を含めるようにするとよい。あるいは、構造情報を公開の改ざん困難なＤＢ（ＤａｔａＢａｓｅ）（例えば、ブロックチェーンや、信頼できる機関のＤＢ等）に格納し、格納場所へのポインタを、発行用証明に含まれる署名の対象に含めるようにしてもよい。

あるいは、システムが、メッセージの所定の位置に構造情報が格納され、提示の際に構造情報を必ず提示する、という規則が定められてもよい。例えば、メッセージの１番目は構造情報を表すという規則が定められているとき、Ｍ４：＝（Ｓ３、日立太郎、２０００年１月１日、男、東京都千代田区丸の内一丁目６番６号）はメッセージの例である。

また、メッセージには、メッセージの名称（「運転免許証」等）、発行者名、有効期間等のメッセージに関する情報が添付されていてもよい。この場合、提示処理において、メッセージに添付された有効期間が切れていない場合にのみ提示を行い、切れている場合には処理を中止するようにしてもよい。

図１Ａは、メッセージ提示システムの構成例を示すブロック図である。図１Ｂは、発行者登録用装置１００の機能構成例を示すブロック図である。図１Ｃは、ユーザ登録用装置２００の機能構成例を示すブロック図である。図１Ｄは、検証者登録用装置３００の機能構成例を示すブロック図である。図１Ｅは、発行用装置４００の機能構成例を示すブロック図である。図１Ｆは、取得用装置５００の機能構成例を示すブロック図である。図１Ｇは、提示用装置６００の機能構成例を示すブロック図である。図１Ｈは、検証用装置７００の機能構成例を示すブロック図である。図１Ｉは、ログ出力用装置８００の機能構成例を示すブロック図である。

メッセージ提示システム１０は、例えば、発行者登録用装置１００と、ユーザ登録用装置２００と、検証者登録用装置３００と、発行用装置４００と、取得用装置５００と、提示用装置６００と、検証用装置７００と、ログ出力用装置８００と、発行者秘密鍵格納用ＤＢ９０１と、発行者公開鍵格納用ＤＢ９０２と、ユーザ第１ＤＢ９０３と、検証者秘密鍵格納用ＤＢ９０４と、検証者公開鍵格納用ＤＢ９０５と、ユーザ第２ＤＢ９０６と、ユーザ第３ＤＢ９０７と、を含む。

例えば、発行者登録用装置１００と、ユーザ登録用装置２００と、検証者登録用装置３００と、発行用装置４００と、取得用装置５００と、提示用装置６００と、検証用装置７００と、ログ出力用装置８００と、発行者公開鍵格納用ＤＢ９０２と、ユーザ第１ＤＢ９０３と、検証者公開鍵格納用ＤＢ９０５と、ユーザ第２ＤＢ９０６と、ユーザ第３ＤＢ９０７と、はネットワーク９１１に接続されている。

例えば、発行者登録用装置１００と、発行用装置４００と、発行者秘密鍵格納用ＤＢ９０１と、はネットワーク９１２に接続されている。例えば、検証者登録用装置３００と、検証用装置７００と、検証者秘密鍵格納用ＤＢ９０４と、はネットワーク９１３に接続されている。

インターネット、及び組織内のローカルネット等は、いずれもネットワーク９１１、ネットワーク９１２、及びネットワーク９１３の一例である。ネットワーク９１１、ネットワーク９１２、及びネットワーク９１３それぞれは、有線であってもよいし、無線であってもよい。

なお、図１Ａの例では、メッセージ提示システム１０内の装置に接続されるネットワークが、ネットワーク９１２と、ネットワーク９１２と、ネットワーク９１３と、により構成されているが、必ずしもこのような構成でなくてもよい。例えば、ネットワーク９１１、ネットワーク９１２、又はネットワーク９１３のいずれか１つのみが存在し、メッセージ提示システム１０に含まれる全ての装置が当該１つのネットワークに接続されていてもよい。

但し、発行者秘密鍵が通信される場合には、発行者秘密鍵の不正利用を困難とするため、発行者秘密鍵が漏洩することが困難であるような対策がされていることが望ましい。当該通信を行う装置の間で認証を行うことは、対策の一例である。同様に、検証者秘密鍵の不正利用を困難とするため、検証者秘密鍵が検証用装置７００以外で使用されることが困難であるような対策がされていることが望ましい。

発行者登録用装置１００は、例えば、いずれも機能部である、発行者登録用装置通信部１０１と、発行者鍵生成部１０２と、を備える。発行者登録用装置通信部１０１は、発行者登録用装置１００と接続された装置と通信する。発行者鍵生成部１０２は、メッセージおよび発行用証明（メッセージの内容を証明するデータ）をユーザに対し発行する発行主体の発行者秘密鍵と発行者公開鍵とを生成する。

ユーザ登録用装置２００は、例えば、いずれも機能部である、ユーザ登録用装置通信部２０１と、登録用生体情報取得部２０２と、ユーザ鍵生成部２０３と、を備える。ユーザ登録用装置通信部２０１は、ユーザ登録用装置２００に接続された装置と通信する。登録用生体情報取得部２０２は、登録用生体情報を取得する。ユーザ鍵生成部２０３は、登録用生体情報から、テンプレートとユーザ公開鍵との組を生成する。

検証者登録用装置３００は、例えば、いずれも機能部である、検証者登録用装置通信部３０１と、検証者鍵生成部３０２と、を備える。検証者登録用装置通信部３０１は、検証者登録用装置３００に接続された装置と通信する。検証者鍵生成部３０２は、検証者秘密鍵と検証者公開鍵とを生成する。

発行用装置４００は、例えば、いずれも機能部である、発行用装置通信部４０１と、ユーザ秘密鍵知識証明検証部４０２と、メッセージ取得部４０３と、発行用証明生成部４０４と、データ暗号化部４０５と、を備える。

発行用装置通信部４０１は、発行用装置４００に接続された装置と通信する。ユーザ秘密鍵知識証明検証部４０２は、後述するユーザ秘密鍵知識証明とユーザ公開鍵とを用いて、ユーザ秘密鍵知識証明検証を行う。メッセージ取得部４０３は、メッセージを取得する。発行用証明生成部４０４は、ユーザ公開鍵と、発行者秘密鍵と、メッセージと、を用いて発行用証明を生成する。データ暗号化部４０５は、ユーザ公開鍵を用いて、メッセージを暗号化する。

取得用装置５００は、例えば、いずれも機能部である、取得用装置通信部５０１と、発行用生体情報取得部５０２と、ユーザ秘密鍵復元部５０３と、ユーザ秘密鍵知識証明生成部５０４と、を備える。取得用装置通信部５０１は、取得用装置５００に接続された装置と通信する。発行用生体情報取得部５０２は発行用生体情報を取得する。ユーザ秘密鍵復元部５０３は、テンプレートと、発行用生体情報と、を用いてユーザ秘密鍵を復元する。ユーザ秘密鍵知識証明生成部５０４は、復元されたユーザ秘密鍵を用いて、ユーザ秘密鍵知識証明を生成する。

提示用装置６００は、例えば、いずれも機能部である、提示同意取得部６２１と、提示用装置通信部６０１と、提示用生体情報取得部６０２と、ユーザ秘密鍵復元部６０３と、データ復号部６０４と、テンプレート検証部６０５と、提示用証明生成部６０６と、部分メッセージ選択部６０７と、データ暗号化部６０８と、結果出力部６０９と、を備える。

提示同意取得部６２１は、後述する部分メッセージの提示に対するユーザの同意を取得する。提示用装置通信部６０１は、提示用装置６００と接続された装置と通信する。提示用生体情報取得部６０２は、提示用生体情報を取得する。ユーザ秘密鍵復元部６０３は、テンプレートと、提示用生体情報と、を用いてユーザ秘密鍵を復元する。データ復号部６０４は、復元されたユーザ秘密鍵を用いて、暗号化メッセ―ジを復号する。

テンプレート検証部６０５は、テンプレートに対する検証処理を実行する。提示用証明生成部６０６は、発行用証明と、ユーザ秘密鍵と、を用いて、復号されたメッセージの提示部分に対する提示用証明（提示される部分メッセージの選択元であるメッセージが、発行者から発行されたものであることを証明するためのデータ）を生成する。部分メッセージ選択部６０７は、復号されたメッセージに含まれる提示部分を選択して、部分メッセージを生成する。データ暗号化部６０８は、検証者公開鍵を用いて、部分メッセージを暗号化する。また、データ暗号化部６０８は、ユーザ公開鍵を用いて提示用装置６００に関するログを暗号化する。結果出力部６０９は、検証用装置７００による提示用証明に対する検証結果を出力する。

検証用装置７００は、例えば、いずれも機能部である、検証用装置通信部７０１と、提示部分指定部７０２と、データ復号部７０３と、提示用証明検証部７０４と、を備える。検証用装置通信部７０１は、検証用装置７００に接続された装置と通信する。提示部分指定部７０２は、メッセージのうち提示対象となる部分を指定する。データ復号部７０３は、検証者秘密鍵を用いて、暗号化部分メッセージを復号する。提示用証明検証部７０４は、発行者公開鍵と、復号した部分メッセージと、を用いて提示用証明に対する検証処理を実行する。

ログ出力用装置８００は、例えば、いずれも機能部である、ログ出力用装置通信部８０１と、ログ出力用生体情報取得部８０２と、ユーザ秘密鍵復元部８０３と、データ復号部８０４と、ログ出力部８０５と、を備える。

ログ出力用装置通信部８０１は、ログ出力用装置８００に接続された装置と通信する。ログ出力用生体情報取得部８０２は、ログ出力用生体情報を取得する。ユーザ秘密鍵復元部８０３は、テンプレートと、ログ出力用生体情報と、を用いて、ユーザ秘密鍵を復元する。データ復号部８０４は、復元されたユーザ秘密鍵を用いて、提示用装置６００に関する暗号化されたログを復号する。ログ出力部８０５は、復号されたログを出力する。

発行者秘密鍵格納用ＤＢ９０１は、発行者秘密鍵を格納する。発行者秘密鍵格納用ＤＢ９０１の例として、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）内の補助記憶装置が挙げられる。また、別の例として、物理トークンや、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カードが挙げられる。発行者秘密鍵格納用ＤＢ９０１は、発行者登録用装置１００又は発行用装置４００に含まれていてもよい。

発行者公開鍵格納用ＤＢ９０２は、発行者公開鍵を格納する。発行者公開鍵格納用ＤＢ９０２の例として、信頼できる組織のＤＢや、政府のＤＢや、ブロックチェーンや、分散型台帳（ｄｉｓｔｒｉｂｕｔｅｄ ｌｅｄｇｅｒｓ）や、非集中型ＤＢ（ｄｅｃｅｎｔｒａｌｉｚｅｄ ｄａｔａｂａｓｅｓ）が挙げられる。発行者公開鍵格納用ＤＢ９０２は、公開され、かつ改ざんが困難であることが望ましい。

ユーザ第１ＤＢ９０３、ユーザ第２ＤＢ９０６、及びユーザ第３ＤＢ９０７はユーザに関する情報を格納する。例えば、ユーザ第１ＤＢ９０３は、ユーザのテンプレートと、ユーザ公開鍵と、を格納する。例えば、ユーザ第２ＤＢ９０６は、暗号化メッセージと、発行用証明と、を格納する。例えば、ユーザ第３ＤＢ９０７は、暗号化ログを格納する。

なお、上記したユーザ第１ＤＢ９０３、ユーザ第２ＤＢ９０６、及びユーザ第３ＤＢ９０７が格納する情報は必ずしもこのように分かれていなくてもよい（つまり、上記した情報がユーザ第１ＤＢ９０３、ユーザ第２ＤＢ９０６、及びユーザ第３ＤＢ９０７のいずれかに格納されていればよい）。また、ユーザに関する情報を格納するＤＢが必ずしも３つに分かれていなくてもよい。例えば、これら３つのＤＢが１つにまとめられていてもよい。クラウドストレージ、及び企業等の組織のサーバ等は、ユーザ第１ＤＢ９０３、ユーザ第２ＤＢ９０６、及びユーザ第３ＤＢ９０７の例である。また、各ＤＢが複数の物理的装置によって構成され、各データが分割されて格納されていてもよい。例えば、ユーザ第１ＤＢ９０３が複数の物理的装置によって構成され、ユーザ公開鍵が複数個に分割されたうえで、ユーザ第１ＤＢ９０３を構成する各物理的装置が、ユーザ公開鍵の分割された各部分を格納してもよい。

なお、上記した複数の装置が物理的に１つの端末内に含まれていてもよい。一例として、発行機関が保有する発行者端末が、発行者登録用装置１００と、発行用装置４００と、発行者秘密鍵格納用ＤＢ９０１と、を備え、ユーザ個人端末が、ユーザ登録用装置２００と、取得用装置５００と、提示用装置６００と、を備え、検証者が保有する検証者端末が、検証者登録用装置３００と、検証用装置７００と、検証者秘密鍵格納用ＤＢ９０４と、を備えるという構成が挙げられる。

別の例として、発行機関が保有する第１発行者端末が、発行者登録用装置１００と、発行用装置４００と、発行者秘密鍵格納用ＤＢ９０１と、を備え、発行機関が保有する第２発行者端末が、ユーザ登録用装置２００と、取得用装置５００と、を備え、検証者が保有する第１検証者端末が、検証者登録用装置３００と、検証用装置７００と、検証者秘密鍵格納用ＤＢ９０４と、を備え、検証者が保有する第２検証者端末が、提示用装置６００を備えるという構成が挙げられる。この例の場合、ユーザは自身の端末を持たなくても、発行機関が保有する第２発行者端末を用いて発行処理を行い、メッセージを取得することができ、検証者が保有する第２検証者端末を用いて提示処理を行うことができる。これらの構成例において、ログ出力用装置８００は、例えばユーザ個人の端末又は他の端末に含まれ、残りのＤＢは上記した通りの実装が例として挙げられる。

図２は、実施例１におけるメッセージ提示システム１０に含まれる各装置を構成する計算機のハードウェア構成例を表すブロック図である。計算機１００００は、例えば、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０００１、メモリ１０００２、補助記憶装置１０００３、入力装置１０００４、出力装置１０００５、通信装置１０００６、及び読込装置１０００７を有する。

ＣＰＵ１０００１は、プロセッサを含み、メモリ１０００２に格納されたプログラムを実行する。メモリ１０００２は、不揮発性の記憶素子であるＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及び揮発性の記憶素子であるＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ））などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ１０００１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

補助記憶装置１０００３は、例えば、磁気記憶装置（ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ））、フラッシュメモリ（ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ））等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ１０００１が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。すなわち、プログラムは、補助記憶装置１０００３から読み出されて、メモリ１０００２にロードされて、ＣＰＵ１０００１によって実行される。

入力装置１０００４は、キーボードやマウスなどの、オペレータからの入力を受ける装置である。出力装置１０００５は、ディスプレイ装置やプリンタなどの、プログラムの実行結果をオペレータが視認可能な形式で出力する装置である。

通信装置１０００６は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインターフェース装置である。また、通信装置１０００６は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）等のシリアルインターフェースを含む。

ＣＰＵ１０００１が実行するプログラムの一部またはすべては、非一時的記憶媒体であるリムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又は、非一時的記憶装置を備える外部計算機からネットワークを介して計算機１００００に提供され、非一時的記憶媒体である不揮発性の補助記憶装置１０００３に格納されてもよい。読込装置１０００７は、リムーバブルメディアからデータを読み込むインターフェース装置である。

メッセージ提示システム１０に含まれる各装置は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。

例えば、発行者登録用装置１００の発行者登録用装置通信部１０１及び発行者鍵生成部１０２は、発行者登録用装置１００を構成する計算機１００００のＣＰＵ１０００１に含まれる。例えば、発行者登録用装置１００を構成する計算機１００００のＣＰＵ１０００１は、当該計算機１００００のメモリ１０００２にロードされた発行者登録用装置通信プログラムに従って動作することで、発行者登録用装置通信部１０１として機能し、当該メモリ１０００２にロードされた発行者鍵生成プログラムに従って動作することで、発行者鍵生成部１０２として機能する。メッセージ提示システム１０に含まれる他の装置についても、当該装置を構成する計算機１００００のＣＰＵ１０００１と、当該計算機１００００のメモリ１０００２にロードされるプログラムと、当該装置に含まれる機能部と、の関係は同様である。

なお、メッセージ提示システム１０に含まれる各装置に含まれる機能部による機能の一部又は全部が、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアによって実現されてもよい。

メッセージ提示システム１０に含まれる各装置が保持する情報は、当該装置を構成する計算機１００００のメモリ１０００２又は補助記憶装置１０００３に格納される。なお、本実施形態において、メッセージ提示システム１０が使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。例えば、テーブル、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

なお、図示を省略しているが、ユーザ登録用装置２００、取得用装置５００、提示用装置６００、及びログ出力用装置８００を構成する計算機１００００は、顔、指紋、虹彩、掌紋、及び指静脈等の生体情報を取得するためのセンサをさらに有しているとよい。

図３は、実施例１における発行者登録処理の一例を示すシーケンス図である。ステップＳ１１０１では、発行者鍵生成部１０２が、発行者秘密鍵と発行者公開鍵とを生成する。発行者秘密鍵と発行者公開鍵とからなる鍵ペア生成方法として、例えば、後述する通り、墨塗署名方式やＡＣＳ（Ａｎｏｎｙｍｏｕｓ Ｃｒｅｄｅｎｔｉａｌｓ Ｓｙｓｔｅｍ）における鍵ペア生成処理を行えばよい。

ステップＳ１１０２では、発行者登録用装置通信部１０１が、ステップＳ１１０１で生成された発行者秘密鍵を発行者秘密鍵格納用ＤＢ９０１に送信する。ステップＳ１９１１では、発行者秘密鍵格納用ＤＢ９０１が、ステップＳ１１０２で送信された発行者秘密鍵を格納する。

ステップＳ１１０３では、発行者登録用装置通信部１０１が、ステップＳ１１０１で生成された発行者公開鍵を発行者公開鍵格納用ＤＢ９０２に送信する。ステップＳ１９２１では、発行者公開鍵格納用ＤＢ９０２が、ステップＳ１１０３で送信された発行者公開鍵を格納する。

図４は、実施例１におけるユーザ登録処理の一例を示すシーケンス図である。ステップＳ２２０１では、登録用生体情報取得部２０２が、ユーザから登録用生体情報を取得する。生体情報として、顔、指紋、虹彩、掌紋、及び指静脈等の任意の種類を用いて良い。また、複数の種類の生体情報を組み合わせて用いてもよい。

ステップＳ２２０２では、ユーザ鍵生成部２０３が、ステップＳ２２０１で取得された登録用生体情報を用いて、テンプレートとユーザ公開鍵との組を生成する。ステップＳ２２０２の処理の具体例は後述する。

ステップＳ２２０３では、ユーザ登録用装置通信部２０１が、ステップＳ２２０２で生成されたテンプレートとユーザ公開鍵との組をユーザ第１ＤＢ９０３に送信する。ステップＳ２９３１では、ユーザ第１ＤＢ９０３が、ステップＳ２２０３で送信されたテンプレートとユーザ公開鍵との組を格納する。

図５は、実施例１における検証者登録処理の一例を示すシーケンス図である。ステップＳ３３０１では、検証者鍵生成部３０２が、検証者秘密鍵と検証者公開鍵との組を生成する。検証者秘密鍵と検証者公開鍵とからなる鍵ペア生成方法として、任意の暗号方式における鍵ペア生成アルゴリズムを用いてよい。また、任意の署名方式における鍵ペア生成アルゴリズムによって生成された鍵ペアを含めてもよいし、含めなくてもよい。

ステップＳ３３０２では、検証者登録用装置通信部３０１が、ステップＳ３３０１で生成された検証者秘密鍵を検証者秘密鍵格納用ＤＢ９０４に送信する。ステップＳ３９４１では、検証者秘密鍵格納用ＤＢ９０４が、ステップＳ３３０２で送信された検証者秘密鍵を格納する。

ステップＳ３３０３では、検証者登録用装置通信部３０１が、ステップＳ３３０１で生成された検証者公開鍵を検証者公開鍵格納用ＤＢ９０５に送信する。ステップＳ３９５１では、検証者公開鍵格納用ＤＢ９０５が、ステップＳ３３０３で送信された検証者公開鍵を格納する。

図６は、実施例１における発行処理の一例を示すシーケンス図である。ステップＳ４９３１では、ユーザ第１ＤＢ９０３が、格納されているテンプレートとユーザ公開鍵との組を取得用装置５００に送信する。

ステップＳ４５０１では、発行用生体情報取得部５０２が、ユーザから発行用生体情報を取得する。具体的には、例えば、発行用生体情報取得部５０２は、ステップＳ２２０１で用いられた種類又はその一部の種類の生体情報を取得する。

ステップＳ４５０２では、ユーザ秘密鍵復元部５０３が、ステップＳ４９３１で送信されたテンプレートと、ステップＳ４５０１で取得された発行用生体情報と、を用いてユーザ秘密鍵を復元する。ステップＳ４５０２の処理の具体例は後述する。

ステップＳ４５０３では、ユーザ秘密鍵知識証明生成部５０４が、ステップＳ４５０２で復元されたユーザ秘密鍵を用いて、ユーザ秘密鍵知識証明を生成する。ステップＳ４５０３の処理の具体例は後述する。なお、ユーザ秘密鍵知識証明生成部５０４は、ユーザ秘密鍵全体に対する知識証明を生成する代わりに、ユーザ秘密鍵の一部（例えば、ステップＳ５６０５の提示用証明生成に用いる部分）に対する知識証明を生成するようにしてもよい。

ステップＳ４５０４では、取得用装置通信部５０１が、ステップＳ４５０３で生成されたユーザ秘密鍵知識証明と、ステップＳ４９３１で送信されたユーザ公開鍵と、を発行用装置４００に送信する。なお、取得用装置５００は、ユーザ公開鍵を、ステップＳ４９３１で受信する代わりに、ステップＳ４５０２で復元されたユーザ秘密鍵から計算してもよい。この処理に限らず、提示処理においても、提示用装置６００は、ユーザ公開鍵を受信する代わりに、ユーザ秘密鍵から計算してもよい。両方の処理においてユーザ公開鍵がユーザ秘密鍵から計算されるならば、ユーザ公開鍵は必ずしもユーザ第１ＤＢ９０３に格納されなくてもよい。

ステップＳ４４０１では、ユーザ秘密鍵知識証明検証部４０２が、ステップＳ４５０４で送信されたユーザ秘密鍵知識証明とユーザ公開鍵とを用いて、ユーザ秘密鍵知識証明検証を行う。なお、ステップＳ４５０３のユーザ秘密鍵知識証明生成処理とステップＳ４４０１のユーザ秘密鍵知識検証処理は対話的な方式（すなわち、取得用装置５００と発行用装置４００との間の１往復以上の通信の結果、知識証明と知識検証処理が完了するような方式（例えばゼロ知識証明のプロトコル））であってもよい。

ステップＳ４４０２では、メッセージ取得部４０３が、発行対象となるメッセージを取得する。発行対象となるメッセージは、例えば、発行用装置４００又は発行用装置４００に接続された外部のＤＢに予め格納されていてもよいし、発行用装置４００を使用する発行者又はメッセージ発行対象のユーザから入力を受け付けることで生成されてもよい。

ステップＳ４９１１では、発行者秘密鍵格納用ＤＢ９０１が、格納された発行者秘密鍵を発行用装置４００に送信する。ステップＳ４４０３では、発行用証明生成部４０４が、ステップＳ４５０４で送信されたユーザ公開鍵と、ステップＳ４９１１で送信された発行者秘密鍵と、ステップＳ４４０２で取得されたメッセージと、を用いて発行用証明を生成する。ステップＳ４４０３の処理の具体例は後述する。

ステップＳ４４０４では、データ暗号化部４０５が、ステップＳ４５０４で送信されたユーザ公開鍵を用いて、ステップＳ４４０２で取得されたメッセージを暗号化することにより、暗号化メッセージを生成する。暗号化方式としては、任意の公開鍵暗号方式を用いることができる。

ステップＳ４４０５では、発行用装置通信部４０１が、ステップＳ４４０３で生成された発行用証明と、ステップＳ４４０４で生成された暗号化メッセ―ジと、の組をユーザ第２ＤＢ９０６に送信する。ステップＳ４９６１では、ユーザ第２ＤＢ９０６が、ステップＳ４４０５で送信された暗号化メッセージと発行用証明との組を格納する。

図７は、実施例１における提示処理の一例を示すシーケンス図である。ステップＳ５９３１では、ユーザ第１ＤＢ９０３が、格納されたテンプレートとユーザ公開鍵との組を提示用装置６００に送信する。ステップＳ５９６１では、ユーザ第２ＤＢ９０６が、格納された暗号化メッセージと発行用証明との組を提示用装置６００に送信する。

ステップＳ５７０１では、提示部分指定部７０２が、提示部分を指定する。具体的には、例えば、検証用装置７００を使用する検証者、又は検証用装置７００の管理者からの入力により提示部分が指定される。なお、提示部分指定処理は、提示処理よりも前に行われてもよい。例えば、提示処理が店舗での年齢確認のために行われる場合、提示処理よりも前に、生年月日（あるいは、生年月日が所定の日付よりも前であることの証明）が提示部分として指定されていてもよい。

ステップＳ５７０２では、検証用装置通信部７０１が、ステップＳ５７０１で指定された提示部分を提示用装置６００に送信する。送信時に、提示を求めるメッセ―ジの種類（メッセージの名称、発行者等）も送るとよい。この提示を求めるメッセージの種類は、例えば、検証用装置７００を使用する検証者、又は検証用装置７００の管理者からの入力により指定される。なお、この指定は、提示処理よりも前に行われてもよい。

ステップＳ５６２１では、提示同意取得部６２１が、ステップＳ５７０２で送信された提示部分に対応する部分メッセージの提示に対するユーザの同意を取得する。例えば、提示同意取得部６２１は、提示する内容や提示相手等をディスプレイ画面（例えば、提示用装置６００を構成する計算機１００００の出力装置１０００５）に表示し、当該画面に提示に同意するか尋ねるメッセージを表示し、「はい」または「いいえ」をユーザに選択させる。

「はい」が選択された場合、これ以降の処理に進み、「いいえ」が選択された場合、例えば、処理を中止する。「いいえ」が選択された場合、提示同意取得部６２１は、処理が中止された旨をディスプレイ画面に表示してもよい。

ステップＳ５６０１では、提示用生体情報取得部６０２が、ユーザから提示用生体情報を取得する。提示用生体情報取得部６０２は、例えば、ステップＳ２２０１で用いられた種類又はその一部の種類の生体情報を取得する。

ステップＳ５６０２では、ユーザ秘密鍵復元部６０３が、ステップＳ５９３１で送信されたテンプレートと、ステップＳ５６０１で取得された提示用生体情報と、を用いてユーザ秘密鍵を復元する。提示用生体情報が、テンプレート生成に用いられた登録用生体情報と十分近ければ、テンプレートに対応する固定値を持つユーザ秘密鍵が復元される。ステップＳ５６０２の処理の具体例は後述する。

ステップＳ５６０３では、データ復号部６０４が、ステップＳ５６０２で復元されたユーザ秘密鍵を用いて、ステップＳ５９６１で送信された暗号化メッセ―ジに対して復号処理を行い、メッセージを得る。

ステップＳ５６０４では、テンプレート検証部６０５が、ステップＳ５９３１で送信されたテンプレートが改ざんされていないか検証する。ステップＳ５６０４の処理により、テンプレートを不正に変更する攻撃に対するリスクを低減できる。ステップＳ５６０４の処理の具体例は後述する。ステップＳ５６０４の処理を行う場合、検証に成功したならば、次の処理に進み、検証に失敗したならば、例えば、以降の処理を中止する。

ステップＳ５６０５では、提示用証明生成部６０６が、ステップＳ５７０２で送信された提示部分と、ステップＳ５９６１で送信された発行用証明と、ステップＳ５６０２で復元されたユーザ秘密鍵と、必要に応じてステップＳ５６０３で復号されたメッセージの一部または全部と、を用いて提示用証明を生成する。ステップＳ５６０５における提示用証明の生成方法の具体例は後述する。

ステップＳ５６０６では、部分メッセージ選択部６０７が、ステップＳ５６０３で復号されたメッセージに含まれるメッセージ要素のうち、ステップＳ５７０２で送信された提示部分を選択することにより部分メッセージを生成する。なお、メッセージに含まれる全メッセージ要素が提示対象となる場合、部分メッセージ選択部６０７が、メッセージに含まれる全メッセージ要素を選択するようにしてもよいし、ステップＳ５６０６の処理が省略されてもよい。

ステップＳ５９５１では、検証者公開鍵格納用ＤＢ９０５が、格納された検証者公開鍵を提示用装置６００に送信する。ステップＳ５６０７では、データ暗号化部６０８が、ステップＳ５９５１で送信された検証者公開鍵を用いて、ステップＳ５６０６で生成された部分メッセージを暗号化することで、暗号化部分メッセージを生成する。

ステップＳ５６０８では、提示用装置通信部６０１が、ステップＳ５６０７で暗号化された部分メッセージと、ステップＳ５６０５で生成された提示用証明と、の組を検証用装置７００に送信する。ステップＳ５９４１では、検証者秘密鍵格納用ＤＢ９０４が、格納された検証者秘密鍵を検証用装置７００に送信する。

ステップＳ５６０９では、データ暗号化部６０８が、ステップＳ５９３１で送信されたユーザ公開鍵を用いた公開鍵暗号方式により、提示用装置６００に関するログを暗号化し、暗号化ログを生成する。なお、データ暗号化部６０８は、ステップＳ５９３１で送信されたユーザ公開鍵を用いた公開鍵暗号方式に代えて、ステップＳ５６０２で復元されたユーザ秘密鍵を用いた共通鍵暗号方式により当該ログを暗号化してもよい。

暗号化対象となるログは、例えば、提示日時、提示先、提示内容（例えば、提示部分の内容、及びメッセージの種類等）、及び提示に使用した提示用装置６００の識別子等である。なお、ステップＳ５７０５で送信される検証結果を受信した後にステップＳ５６０９の処理を行い、ステップＳ５７０４における検証結果をログに含めるようにしてもよい。

ステップＳ５６１０では、提示用装置通信部６０１が、ステップＳ５６０９で生成された暗号化ログをユーザ第３ＤＢに送信する。ステップＳ５９７１では、ユーザ第３ＤＢが、ステップＳ５６１０で送信された暗号化ログを格納する。

ステップＳ５７０３では、データ復号部７０３が、ステップＳ５９４１で送信された検証者秘密鍵を用いて、ステップＳ５６０８で送信された暗号化部分メッセージに対し復号を行うことで、部分メッセージを生成する。ステップＳ５９２１では、発行者公開鍵格納用ＤＢ９０２が、格納された発行者公開鍵を検証用装置７００に送信する。

ステップＳ５７０４では、提示用証明検証部７０４が、ステップＳ５９２１で送信された発行者公開鍵と、ステップＳ５６０８で送信された提示用証明と、ステップＳ５７０３で復号された部分メッセージと、を用いて検証を行い、検証結果として検証成功または検証失敗を得る。なお、ステップＳ５６０５の提示用証明生成処理と、ステップＳ５７０４の提示用証明検証処理と、提示用装置６００と検証用装置７００との間の対話的な方式によって実行されてもよい。

検証用装置７００は、検証結果と提示された部分メッセージの少なくとも１つを出力してもよい。出力先はディスプレイ画面（例えば、検証用装置７００を構成する計算機１００００の出力装置１０００５）でもよいし、別のプログラムであってもよい。例えば、出力先が決済プログラムである場合、当該決済プログラムによる処理の一例は、検証結果が成功である場合に、提示された部分メッセージ（住所、会員情報等）に応じて割引等を行い、当該ユーザに対して決済処理を行う、というものである。また、出力先が入場管理プログラム（イベント会場への入場管理プログラム等もその一例である）である場合、当該入場管理プログラムの処理の一例は、検証結果が成功であり、かつ、提示された部分メッセージが所定の条件（例えば、所定の感染症に関する検査結果が陰性であるという条件）を満たす場合に当該ユーザの入場を許可する（例えば、門やドアを開く）、というものである。

ステップＳ５７０５では、検証用装置通信部７０１が、ステップＳ５７０４で得られた検証結果を提示用装置６００に送信する。ステップＳ５６１１では、結果出力部６０９が、ステップＳ５７０５で送信された検証結果を出力する。出力先はディスプレイ画面（例えば、提示用装置６００を構成する計算機１００００の出力装置１０００５）でもよいし、別のプログラム（例えば、決済プログラムや、入場管理プログラム）であってもよい。

図８は、実施例１におけるログ出力処理の一例を示すシーケンス図である。ステップＳ６９７１では、ユーザ第３ＤＢ９０７が、格納された暗号化ログをログ出力用装置８００に送信する。ステップＳ６９３１では、ユーザ第１ＤＢ９０３が、格納されたテンプレートをログ出力用装置８００に送信する。

ステップＳ６８０１では、ログ出力用生体情報取得部８０２が、ユーザからログ出力用生体情報を取得する。ログ出力用生体情報取得部８０２は、例えば、ステップＳ２２０１で用いられた種類又はその一部の種類の生体情報を取得する。

ステップＳ６８０２では、ユーザ秘密鍵復元部８０３は、ステップＳ６９３１で送信されたテンプレートと、ステップＳ６８０１で取得されたログ出力用生体情報と、を用いて、ユーザ秘密鍵を復元する。ステップＳ６８０２の処理の具体例は後述する。

ステップＳ６８０３では、データ復号部８０４は、ステップＳ６８０２で復元されたユーザ秘密鍵を用いて、ステップＳ６９７１で送信された暗号化ログを復号することで、ログを得る。ステップＳ６８０４では、ログ出力部８０５は、ステップＳ６８０３で復号されたログを出力する。出力先はディスプレイ画面（例えば、ログ出力用装置８００を構成する計算機１００００の出力装置１０００５）でもよいし、別のプログラムであってもよい。

図９は、実施例１における提示処理中の提示用装置６００のディスプレイ画面の表示内容の遷移の一例を表すフローチャートである。表示内容５１０００は、ステップＳ５６２１の提示同意取得処理における表示内容の例である。表示内容５１０００は、例えば、ブロック５１００１、ブロック５１００２、ブロック５１００３、ブロック５１００４、及びブロック５１００５を含む。

ブロック５１００１には、例えば、情報の提示が要求された旨のテキストが表示されている。ブロック５１００２には、例えば、提示を要求されているメッセージに対応する書類名、並びにメッセージの提示部分及び提示先を示すテキストが表示されている。ブロック５１００３には、例えば、提示に同意するか尋ねるテキストが表示されている。ブロック５１００４には、例えば、「はい」の選択肢が表示されている。ブロック５１００５には、例えば、「いいえ」の選択肢が表示されている。

分岐５９００１は、ステップＳ５６２１の提示同意処理における選択結果に関する分岐である。ステップＳ５６２１で提示に同意された場合、つまりブロック５１００４が選択された場合（分岐５９００１：「はい」）、表示内容５２０００が表示される。ステップＳ５６２１で提示に同意されなかった場合、つまりブロック５１００５が選択された場合（分岐５９００１：「いいえ」）、表示内容５５０００が表示される。

表示内容５２０００は、ステップＳ５６０１の提示用生体情報取得処理における表示内容の例である。表示内容５２０００は、例えば、ブロック５２００１及びブロック５２００２を含む。

ブロック５２００１には、例えば、生体情報を提示するよう要求するテキストが表示されている。ブロック５２００２には、生体情報を取得するためのセンサ（カメラ等）が撮影している画像が表示されている。また、ブロック５２００２は、当該センサに生体情報を提示する適切な位置を示すガイド表示５２００３を含んでもよい。

表示内容５５０００は、ステップＳ５６２１の提示同意処理における選択、または検証結果が検証失敗の場合のステップＳ５６１１におけるリトライするかの選択において「いいえ」が選択された場合の表示内容の例である。表示内容５５０００は、例えば、表示内容５４０００は、例えば、提示処理を中止した旨を示すメッセージが表示されたブロック５５００１を含む。

分岐５９００２は、ステップＳ５７０４の検証結果に関する分岐である。ステップＳ７０４における検証に成功した場合（分岐５９００２：「検証成功」）、ステップＳ５６１１において表示内容５３０００が表示される。ステップＳ５７０４における検証に失敗した場合（分岐５９００２：「検証失敗」）、ステップＳ５６１１において表示内容５４０００が表示される。表示内容５３０００は、例えば、提示処理が完了した旨を示すテキストが表示されたブロック５３００１を含む。

表示内容５４０００は、例えば、ブロック５４００１、ブロック５４００２、及びブロック５４００３を含む。ブロック５４００１には、例えば、検証に失敗したこと（又は提示処理に失敗したこと）を示すテキストが表示されている。ブロック５４００２には、例えば、検証をリトライするか尋ねるテキストが表示されている。ブロック５４００３には、「はい」の選択肢が表示されている。ブロック５４００４には、「いいえ」の選択肢が表示されている。

なお、ステップＳ５７０４に至るまでのいずれかの処理に失敗した場合、例えば、検証失敗の場合と同様、表示内容５４０００に遷移してもよい。この場合、どの処理に失敗したかをブロック５４００１に表示してもよい。

分岐５９００３は、表示内容５４０００における選択結果に関する分岐である。検証にリトライする場合、つまりブロック５４００３が選択された場合（分岐５９００３：「はい」）、表示内容５２０００に遷移する。検証にリトライしない場合、つまりブロック５４００４が選択された場合（分岐５９００３：「いいえ」）、表示内容５５０００に遷移する。

なお、表示内容５１０００が表示されるまでの処理の一例は以下の通りである。提示用装置６００がカメラ等のセンサを備え、当該センサが、検証用装置７００のディスプレイ画面に表示された２次元バーコード等のデータを読み取る。

当該データは、例えば、提示処理と発行処理のどちらを行うか、書類名、提示部分、及び提示先、等の情報が含まれるＷｅｂページへのＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を示す。

提示用装置６００は、当該センサにより取得されたＵＲＩに対応するＷｅｂページへアクセスすることにより、提示処理が行われること、提示する書類名、提示部分、及び提示先、等の情報を得ることができ、ブロック５１００２のテキストのような表示が可能となる。なお、提示処理と発行処理のどちらを行うか、書類名、提示部分、及び提示先、等の情報にアクセスするための手段は、２次元バーコードの読取に限らない任意の方法でよい。

［ユーザ鍵生成処理及びユーザ秘密鍵復元処理の具体例］
ステップＳ２２０２のユーザ鍵生成処理と、ステップＳ４５０２、ステップＳ５６０２、及びステップＳ６８０２のユーザ秘密鍵復元処理の具体例を述べる。なお、ユーザ秘密鍵復元処理の具体例は、ステップＳ４５０２に関して説明するものとし、ステップＳ５６０２及びステップＳ６８０２では、例えば、ステップＳ４５０２と同様の処理を行えばユーザ秘密鍵を復元出来る。

処理の内部では、例えば、バイオメトリック暗号方式が用いられる。バイオメトリック暗号方式は、登録処理において登録用特徴量ｘ＿Ｅ（「＿」は下付き文字を示す）からヘルパーストリングｃ＿Ｅと登録時秘密鍵ｓ＿Ｅを生成する。また、バイオメトリック暗号方式は、復元処理において、復元用特徴量ｘ＿Ａとヘルパーストリングから復元時秘密鍵ｓ＿Ａを生成する。

ｘ＿Ｅとｘ＿Ａが十分近いとき、ｓ＿Ｅ＝ｓ＿Ａとなる、すなわち登録時秘密鍵が復元される。バイオメトリック暗号方式として、Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒ、Ｆｕｚｚｙ Ｓｉｇｎａｔｕｒｅ、Ｆｕｚｚｙ Ｃｏｍｍｉｔｍｅｎｔ、Ｆｕｚｚｙ Ｖａｕｌｔ等の任意の方式を用いることができる。

ステップＳ２２０２において、ユーザ鍵生成部２０３は、登録用生体情報から登録用特徴量ｘ＿Ｅを生成し、バイオメトリック暗号方式の登録処理により登録用特徴量ｘ＿Ｅからヘルパーストリングｃ＿Ｅと登録時秘密鍵ｓ＿Ｅを生成する。そのうえで、ユーザ鍵生成部２０３は、ヘルパーストリングｃ＿Ｅを含むようにテンプレートＴを定める。

テンプレートＴには擬識別子と呼ばれるデータ（例えば、登録時秘密鍵ｓ＿Ｅのハッシュ値や、登録時秘密鍵ｓ＿Ｅに対応する公開鍵）が含まれていてもよい。一方、ユーザ鍵生成部２０３は、登録時秘密鍵ｓ＿Ｅを用いて、ユーザ公開鍵ｕｐｋを生成する。その際に内部処理としてユーザ秘密鍵ｕｓｋが生成される場合をこれ以降では説明するが、必ずしもユーザ秘密鍵ｕｓｋが生成されなくてもよい。

ステップＳ４５０２において、ユーザ秘密鍵復元部５０３は、まず、発行用生体情報から、復元用特徴量ｘ＿Ａを抽出し、ｘ＿Ａと、Ｔに含まれるｃ＿Ｅと、を用いて、バイオメトリック暗号方式の復元処理を行い、復元時秘密鍵ｓ＿Ａを生成する。ｘ＿Ｅとｘ＿Ａが十分近いとき、ｓ＿Ｅ＝ｓ＿Ａとなる、すなわち、登録時秘密鍵が復元される。

なお、ユーザ秘密鍵復元部５０３は、正しくｓ＿Ｅが復元されたかどうか擬識別子を用いて検証し、ｓ＿Ｅが復元されていない場合には処理を中止してもよい。当該処理を中止するかわりに、ステップＳ５６１１に進み、ユーザ秘密鍵復元に失敗した旨を出力してもよい。ユーザ秘密鍵復元部５０３は、登録時秘密鍵ｓ＿Ｅが正しく復元された場合、ｓ＿Ｅを用いて、（ｕｓｋ，ｕｐｋ）の生成方法に対応した鍵復元処理を行い、ｕｓｋを復元する。

（ｕｓｋ，ｕｐｋ）の生成方法の１つ目の例として、ユーザ鍵生成部２０３は、任意の公開鍵暗号方式又は電子署名方式における鍵生成アルゴリズムにより秘密鍵ｓｋ１と公開鍵ｐｋ１のペアを生成する。ユーザ鍵生成部２０３は、ｕｓｋ：＝ｓｋ１と定め、ｐｋ１を含むようにｕｐｋを定める。さらに、ユーザ鍵生成部２０３は、ｓ＿Ｅを用いてｓｋ１を暗号化したデータＥｎｃ（ｓ＿Ｅ，ｓｋ１）を生成し、Ｅｎｃ（ｓ＿Ｅ，ｓｋ１）をテンプレートＴに含める。この場合、鍵復元処理では、ユーザ秘密鍵復元部５０３は、復元されたｓ＿Ｅを用いてＥｎｃ（ｓ＿Ｅ，ｓｋ１）からｓｋ１を復元することで、ｕｓｋが復元できる。

なお、ｓｋ１を複数個の秘密鍵からなる組とし、ｐｋ１がそれに対応する複数個の公開鍵の組としてもよい。これ以降の例でも、秘密鍵と公開鍵はそれぞれ複数個の鍵からなる組であってもよい。秘密鍵と公開鍵はそれぞれ複数個の鍵からなる場合、それらの中から所定のものを用いて暗号化、復号、電子署名生成、及び電子署名検証を行えばよい。

（ｕｓｋ，ｕｐｋ）の生成方法の２つ目の例として、ユーザ鍵生成部２０３は、ｓ＿Ｅに対して変換ｆ＿１（例えば、恒等変換又は疑似乱数生成器あるいはハッシュ関数による変換等）を用いて秘密鍵ｓｋ２：＝ｆ＿１（ｓ＿Ｅ）によりｓｋ２を生成し、ｓｋ２に対応する公開鍵ｐｋ２を生成し、ｕｓｋ：＝ｓｋ２と定め、ｐｋ２を含むようにｕｐｋを定めてもよい。この場合、鍵復元処理では、ユーザ秘密鍵復元部５０３は、復元されたｓ＿Ｅに対してｆ＿１（ｓ＿Ｅ）を計算すればｕｓｋが復元できる。

なお、（ｕｓｋ，ｕｐｋ）の生成方法の１つ目の例と２つ目の例で得られるユーザ秘密鍵、ユーザ公開鍵をそれぞれ連結して得られるユーザ秘密鍵、ユーザ公開鍵が用いられてもよい。あるいは、バイオメトリック暗号方式の登録処理が、ｓ＿Ｅを指定したうえでテンプレートを生成できる方式の場合には、ユーザ鍵生成部２０３は、（ｕｓｋ，ｕｐｋ）を生成してから、ｓ＿Ｅがｕｓｋとなるようにｃ＿Ｅを生成してもよい。この場合、鍵復元処理では、ユーザ秘密鍵復元部５０３は、ｓ＿Ｅを復元することでｕｓｋが復元できる。

あるいは、以下の例のように、１つ目の例と２つ目の例で述べた方法を組み合わせることで得られる方法が用いられてもよい。まず、ユーザ鍵生成部２０３は、任意の公開鍵暗号方式又は電子署名方式における鍵生成アルゴリズムにより秘密鍵ｓｋ１と公開鍵ｐｋ１のペアを生成する。さらに、ユーザ鍵生成部２０３は、ｓ＿Ｅに対して変換ｆ＿１（例えば、恒等変換又は疑似乱数生成器あるいはハッシュ関数による変換等）を用いて秘密鍵ｓｋ２：＝ｆ＿１（ｓ＿Ｅ）によりｓｋ２を生成し、ｓｋ２に対応する公開鍵ｐｋ２を生成する。そのうえで、ユーザ鍵生成部２０３は、ｕｓｋ：＝（ｓｋ１，ｓｋ２）、ｕｐｋ：＝（ｐｋ１，ｐｋ２）により、（ｕｓｋ，ｕｐｋ）を定める。さらに、ユーザ鍵生成部２０３は、ｓｋ２を用いてｓｋ１を暗号化したデータＥｎｃ（ｓｋ２，ｓｋ１）を生成し、Ｅｎｃ（ｓｋ２，ｓｋ１）をテンプレートＴに含める。この場合、鍵復元処理では、ユーザ秘密鍵復元部５０３は、復元されたｓ＿Ｅからｓｋ２：＝ｆ＿１（ｓ＿Ｅ）によりｓｋ２を復元し、さらに、復元されたｓｋ２を用いてＥｎｃ（ｓｋ２，ｓｋ１）からｓｋ１を復元することで、ｕｓｋが復元できる。

この方法の場合、例えば、ｓｋ２をメッセージ復号処理に使用し、ｓｋ１を提示用証明生成処理に使用する等、ｓｋ１とｓｋ２が異なる処理のために用いられてもよい。そのためには、例えば、ｓｋ２又はｐｋ２によりメッセ―ジ暗号化処理が行われ、発行用証明生成処理がｐｋ１を用いて行われるようにすればよい。この例に限らず、秘密鍵と公開鍵が複数の鍵からなる場合、各鍵が異なる処理のために用いられてもよい。

また、ユーザ秘密鍵生成のために、登録用生体情報に加えて、秘密情報（例えば、パスワードや、ＤＢに格納された追加の秘密鍵等）が用いられてもよい。例えば、ユーザ鍵生成部２０３は、上記した方法で生成されたｕｓｋと秘密情報とを連結してできるデータに対し、ハッシュ関数等の任意の関数を用いた変換を行うことで得られる値を、改めてｕｓｋと定めればよい。この場合、ユーザ鍵生成部２０３は、改めて定義されたｕｓｋに対応するようにユーザ公開鍵を定めればよい。ユーザ秘密鍵復元部５０３は、当該秘密情報の入力を受け付け、提示用生体情報に加えて当該秘密情報を用いることでユーザ秘密鍵を復元できる。このように、ユーザ秘密鍵生成のために登録用生体情報に加えて秘密情報が用いられることで、ユーザ秘密鍵が不正に復元されるリスクを低減でき、安全性が向上する。

［ユーザ秘密鍵知識証明生成処理及び検証処理の具体例］
ステップＳ４５０３のユーザ秘密鍵知識証明生成処理と、ステップＳ４４０１のユーザ秘密鍵知識証明検証処理の具体例を述べる。

１つ目の具体例として、ユーザ秘密鍵知識証明生成部５０４は、Ｓｃｈｎｏｒｒ Ｐｒｏｔｏｃｏｌ等の任意の知識証明プロトコルに従い知識証明を生成すればよい。この場合、ユーザ秘密鍵知識証明検証部４０２は、プロトコルで定義された検証処理を行うことで、知識証明が正しいかどうか検証できる。

２つ目の具体例として、ユーザ秘密鍵知識証明検証部４０２が乱数等のデータ（発行用チャレンジ）を取得用装置５００に送信し、ユーザ秘密鍵知識証明生成部５０４が、ユーザ秘密鍵を用いて発行用チャレンジに対する電子署名を生成し、ユーザ秘密鍵知識証明検証部４０２が、発行用チャレンジと、送信されたユーザ公開鍵と、電子署名と、の関係を検証する。

［発行用証明生成、提示用証明生成、提示用証明検証処理の具体例］
ステップＳ４４０３の発行用証明生成と、ステップＳ５６０５の提示用証明生成と、ステップＳ５７０４の提示用証明検証処理の具体例を述べる。メッセージは、ｎ個（ｎは正の整数）のメッセージ要素ｍ［１］，ｍ［２］，．．．，ｍ［ｎ］からなるとし、部分メッセージはｍ［ｉ＿１］，ｍ［ｉ＿２］，．．．，ｍ［ｉ_ｋ］からなるとする（｛ｉ＿１，ｉ＿２，．．．，ｉ＿ｋ｝は｛１，２，．．．，ｎ｝の部分集合）。

提示用証明生成処理では、提示用証明生成部６０６が、ユーザ秘密鍵ｕｓｋから、提示用証明生成用秘密鍵ｕｓｋ＿Ｓをｕｓｋ＿Ｓ：＝ｆ＿Ｓ（ｕｓｋ）により生成し、対応する公開鍵ｕｐｋ＿Ｓがユーザ公開鍵ｕｐｋに含まれているとする。関数ｆ＿Ｓの例として、恒等変換や、ｕｓｋのうち所定の部分を選択する関数等が挙げられる。

１つ目の具体例では、一般的な署名方式と、墨塗署名（Ｒｅｄａｃｔａｂｌｅ Ｓｉｇｎａｔｕｒｅ）方式と、を用いる。これらを説明する。

一般的な署名方式は、鍵ペア生成処理、電子署名生成処理、及び検証処理を含み、それぞれＧｅｎ＿Ｓ、Ｓｉｇ＿Ｓ、Ｖｅｒ＿Ｓと記す。各処理は以下の通りである。Ｇｅｎ＿Ｓは、署名鍵ｓｋ＿Ｓと検証鍵ｐｋ＿Ｓとの組を（ｓｋ＿Ｓ，ｐｋ＿Ｓ）＝Ｇｅｎ＿Ｓ（）により生成する。Ｓｉｇ＿Ｓは、Ｑ＝Ｓｉｇ＿Ｓ（ｓｋ＿Ｓ，Ｌ）により、メッセージＬに対するｓｋ＿Ｓによる電子署名Ｑを生成する。Ｖｅｒ＿Ｓは、Ｒｅｓｕｌｔ＿Ｓ＝Ｖｅｒ＿Ｓ（ｐｋ＿Ｓ，Ｌ，Ｑ）により、検証結果Ｒｅｓｕｌｔ＿Ｓを出力する。Ｒｅｓｕｌｔ＿Ｓは検証成功又は検証失敗である。

墨塗署名方式は、鍵ペア生成処理、電子署名生成処理、墨塗処理、及び検証処理を含み、それぞれＧｅｎ＿Ｒ、Ｓｉｇ＿Ｒ、Ｄｅｒｉｖｅ＿Ｒ、Ｖｅｒ＿Ｒと記す。各処理は以下の通りである。

Ｇｅｎ＿Ｒは、署名鍵ｓｋ＿Ｒと検証鍵ｐｋ＿Ｒとの組を（ｓｋ＿Ｒ，ｐｋ＿Ｒ）＝Ｇｅｎ＿Ｒ（）により生成する処理である。Ｓｉｇ＿Ｒは、Ｎ個（Ｎは正の整数）のメッセージ要素からなるメッセージ（Ｍ［１］，Ｍ［２］，．．．，Ｍ［Ｎ］）に対しＱ＿１＝Ｓｉｇ＿Ｒ（ｓｋ＿Ｒ，（Ｍ［１］，Ｍ［２］，．．．，Ｍ［Ｎ］））により、（Ｍ［１］，Ｍ［２］，．．．，Ｍ［Ｎ］）に対するｓｋ＿Ｒによる電子署名Ｑ＿１を生成する処理である。

Ｄｅｒｉｖｅ＿Ｒは、Ｑ＿２＝Ｄｅｒｉｖｅ＿Ｒ（｛Ｉ＿１，Ｉ＿２，．．．，Ｉ＿Ｋ｝，（Ｍ［１］，Ｍ［２］，．．．，Ｍ［Ｎ］），Ｑ＿１）により、（Ｍ［Ｉ＿１］，Ｍ［Ｉ＿２］，．．．，Ｍ［Ｉ＿Ｋ］）に対するｓｋ＿Ｒによる電子署名Ｑ＿２を生成する処理である。ただし、ＫはＮ以下の正の整数であり、｛Ｉ＿１，Ｉ＿２，．．．，Ｉ＿Ｋ｝は｛１，２，．．．，Ｎ｝の部分集合である。ｓｋ＿Ｒを必要とせずにｓｋ＿Ｒによる電子署名Ｑ＿２の生成が可能であることが、墨塗署名方式の特徴である。

Ｖｅｒ＿Ｒは、Ｒｅｓｕｌｔ＿Ｒ＝Ｖｅｒ＿Ｒ（ｐｋ＿Ｒ，（Ｍ［Ｉ＿１］，Ｍ［Ｉ＿２］，．．．，Ｍ［Ｉ＿Ｋ］），Ｑ＿２）により、検証結果Ｒｅｓｕｌｔ＿Ｒを出力する処理である。Ｒｅｓｕｌｔ＿Ｒは検証成功又は検証失敗である。

これらを用いた１つ目の具体例を説明する。まず、（ｕｓｋ＿Ｓ，ｕｐｋ＿Ｓ）は、Ｇｅｎ＿Ｓ（）により生成される鍵ペアと同じ形式となるよう作成されるとする。また、ステップＳ１１０１の発行者鍵生成処理において、発行者鍵生成部１０２は、Ｇｅｎ＿Ｒにより鍵ペア（ｉｓｋ＿Ｒ，ｉｐｋ＿Ｒ）を生成し、ｉｓｋ＿Ｒを発行者秘密鍵に含め、ｉｐｋ＿Ｒを発行者公開鍵に含める。

ステップＳ４４０３の発行用証明生成処理では、発行用証明生成部４０４が、ｑ＿１１＝Ｓｉｇ＿Ｒ（ｉｓｋ＿Ｒ，（ｍ［１］，ｍ［２］，．．．，ｍ［ｎ］，ｕｐｋ＿Ｓ））により電子署名ｑ＿１１を生成し、電子署名ｑ＿１１を含むように発行用証明を生成する。

ステップＳ５６０５の提示用証明生成処理とステップＳ５７０４の提示用証明検証処理では、例えば、以下の処理を実行する。まず、提示用証明検証部７０４が、乱数等のデータ（提示用チャレンジ）Ｒ＿２を生成し、提示用装置６００に送信する。提示用証明生成部６０６は、ｑ＿１２＝Ｄｅｒｉｖｅ＿Ｒ（｛ｉ＿１，ｉ＿２，．．．，ｉ＿ｋ，ｎ＋１｝，（ｍ［１］，ｍ［２］，．．．，ｍ［ｎ］，ｕｐｋ＿Ｓ），ｑ＿１１）により、（ｍ［ｉ＿１］，ｍ［ｉ＿２］，．．．，ｍ［ｉ＿ｋ］，ｕｐｋ＿Ｓ）に対するｉｓｋ＿Ｒによる電子署名ｑ＿１２を生成する。また、提示用証明生成部６０６は、ｑ＿１３＝Ｓｉｇ＿Ｓ（ｕｓｋ＿Ｓ，Ｒ＿２）により、Ｒ＿２に対するｕｓｋ＿Ｓによる電子署名ｑ＿１３を生成する。提示用証明生成部６０６は、ｑ＿１２とｑ＿１３とｕｐｋ＿Ｓを含むように提示用証明を生成する。

そのうえで、提示用証明検証部７０４が、Ｒｅｓｕｌｔ＿Ｓ＝Ｖｅｒ＿Ｓ（ｕｐｋ＿Ｓ，Ｒ＿２，ｑ＿１３）及びＲｅｓｕｌｔ＿Ｒ＝Ｖｅｒ＿Ｒ（ｉｐｋ＿Ｒ，（ｍ［ｉ＿１］，ｍ［ｉ＿２］，．．．，ｍ［ｉ＿ｋ］，ｕｐｋ＿Ｓ），ｑ＿１２）によりＲｅｓｕｌｔ＿ＳとＲｅｓｕｌｔ＿Ｒを定め、Ｒｅｓｕｌｔ＿ＳとＲｅｓｕｌｔ＿Ｒの両方が検証成功のとき検証成功とし、そうでないとき検証失敗とする。Ｒｅｓｕｌｔ＿Ｓは、提示されたユーザ公開鍵ｕｐｋ＿Ｓに対応するユーザ秘密鍵ｕｓｋ＿Ｓが提示用証明生成のために用いられているかを検証することを示す。Ｒｅｓｕｌｔ＿Ｒは、提示された部分メッセージとｕｐｋ＿Ｓは確かに発行者により指定された正しい値であるかを検証することを示す。

特に、電子署名ｑ＿１１の生成方法として一般的な署名方式を用いることができる。例えば、ｎ個の乱数ｒ［１］，ｒ［２］，．．．，ｒ［ｎ］を生成し、各ｉ＝１，２，．．．，ｎに対しｈ＿i：＝Ｈａｓｈ（ｍ［ｉ］，ｒ［ｉ］）と定義し、ｈ＿１，ｈ＿２，．．．，ｈ＿ｎを連結したデータに対するＳｉｇ＿Ｓによる電子署名をｑ＿１１０とし、ｑ＿１１０と，ｈ＿１，ｈ＿２，．．．，ｈ＿ｎと，ｒ＿１，ｒ＿２，．．．，ｒ＿ｎとの組をｑ＿１１として定める方法が挙げられる。

このとき、ｑ＿１２は，ｑ＿１１０と，ｈ＿１，ｈ＿２，．．．，ｈ＿ｎと，ｒ＿［ｉ＿１］，ｒ＿［ｉ＿２］，．．．，ｒ＿［ｉ＿ｋ］と，の組として定めればよい。ｑ＿１２の検証は、提示された各メッセージ要素に対する（ｈ＿ｉ，ｍ［ｉ］，ｒ［ｉ］）の関係の検証と、ｑ＿１１０と（ｈ＿１，ｈ＿２，．．．，ｈ＿ｎ）の関係の検証を行えばよい。

なお、これはあくまで一例であり、ｈ＿１，ｈ＿２，．．．，ｈ＿ｎに対して連結以外の処理を行うことで得られるデータが、ｑ＿１１０の生成のための署名対象データとして用いられてもよい。例えば、ｑ＿１１０を生成する際の署名対象として、Ｈａｓｈ（ｈ＿１，ｈ＿２，．．．，ｈ＿ｎ）が用いられてもよいし、Ｍａｒｋｌｅ Ｈａｓｈと呼ばれる方式が用いられてもよい。

このようにすれば、各処理に任意の署名方式を用いることができるという効果がある。これにより、特殊な暗号演算及び署名演算を行うライブラリの利用や特殊な暗号演算及び署名演算の実装を不要とし、汎用的な暗号ライブラリ及び署名ライブラリ（例えば、ＲＳＡ暗号、ＲＳＡ署名機能を提供するライブラリ）により実装を行うことができる。

なお、Ｒ＿２を検証用装置７００から送信される乱数等のデータとすることにより、提示用証明を受け取った検証者が別の検証者に提示用証明を送信するという不正を困難とする効果がある。このような効果を得るために、ｑ＿１３を生成するための署名対象文として、Ｒ＿２の代わりに、またはＲ＿２に追加で、検証者に関する情報（検証者の名称等）や、提示日時等のデータＲ＿３を含めてもよい。Ｒ＿３を提示用装置６００が生成する場合は、提示用証明にＲ＿３も含めることにより、検証用装置７００でのｑ＿１３の検証が可能となるようにする。また、ユーザによる提示同意をより明確にするため、ｑ＿１３を生成するための署名対象文に、提示対象である部分メッセージを含めてもよい。

２つ目の具体例を述べる。２つ目の具体例は、非特許文献２等に記載されたＡＣＳを用いた方法である。ステップＳ４４０３の発行用証明生成処理では、発行用証明生成部４０４が、発行者秘密鍵ｉｓｋと、ユーザ公開鍵の一部であるｕｐｋ＿Ｓと、メッセージ（ｍ［１］，ｍ［２］，．．．，ｍ［ｎ］）と、を用いて、発行用証明を生成する。

例えば、発行用証明生成部４０４は、（ｍ［１］，ｍ［２］，．．．，ｍ［ｎ］，ｕｓｋ＿Ｓ）に対するｉｓｋによる電子署名ｑ＿２１を生成する。非特許文献２の方法を用いれば、このような電子署名の生成が可能であり、さらに墨塗署名の性質をもつようにできる。

ステップＳ５６０５の提示用証明生成処理において、提示用証明生成部６０６は、必要に応じて検証用装置７００との間で通信を行い、メッセージと、ユーザ秘密鍵と、提示部分と、発行用証明と、を用いて提示用証明を生成する。例えば、提示用証明生成部６０６は、（ｍ［ｉ＿１］，ｍ［ｉ＿２］，．．．，ｍ［ｉ＿ｋ］，ｕｓｋ＿Ｓ）に対するｉｓｋによる電子署名ｑ＿２２を生成し、さらに、ｕｓｋ＿Ｓの知識証明ｑ＿２３を生成し、ｑ＿２２，ｑ＿２３を含むように提示用証明を生成する。

ステップＳ５７０４の提示用証明検証処理において、提示用証明検証部７０４は、提示された部分メッセージと、提示用証明と、発行者公開鍵と、の関係を検証し、検証成功又は検証失敗を出力する。例えば、提示用証明検証部７０４は、（ｍ［ｉ＿１］，ｍ［ｉ＿２］，．．．，ｍ［ｉ＿ｋ］）と、（ｑ＿２２，ｑ＿２３）と、ｉｐｋとの関係を検証し、検証成功又は検証失敗を出力する。

この方法では、（ｍ［ｉ＿１］，ｍ［ｉ＿２］，．．．，ｍ［ｉ＿ｋ］）が改ざんされていれば検証成功となるのは困難であり、また、ｕｓｋ＿Ｓを知らなければ検証に成功するようなｑ＿２３を生成することは困難である。また、提示用証明生成の際に、提示用証明生成部６０６は、検証用装置７００から送信された乱数（提示用チャレンジの一例）を用いて提示用証明を生成する。このため、検証者がユーザになりすまして別の検証者に提示する攻撃に対するリスクを低減できる。

［テンプレート検証処理の具体例］
ステップＳ５６０４のテンプレート検証処理の１つ目の具体例を述べる。まず、予め、ステップＳ４５０４において、取得用装置通信部５０１が、テンプレートＴに対し所定の関数ｆ＿２（例えば、ハッシュ関数）を用いて計算された関数値ｆ＿２（Ｔ）を発行用装置４００に送信する。そのうえで、ステップＳ４４０２において、メッセージ取得部４０３が、関数値ｆ＿２（Ｔ）をメッセージ要素として含むようにメッセージを定める。

そのうえで、ステップＳ５６０４において、テンプレート検証部６０５は、送信されたテンプレートに対しｆ＿２を用いて関数値を計算し、メッセージに含まれるｆ＿２（Ｔ）の値と等しいか検証する。さらに、テンプレート検証部６０５は、メッセージに含まれる関数値ｆ＿２（Ｔ）と発行用証明の関係を検証することにより、メッセージに含まれる関数値ｆ＿２（Ｔ）が改ざんされていないかを検証する。テンプレート検証部６０５は、この２つの検証に成功した場合、検証成功とし、いずれかに失敗した場合、検証失敗とする。

ステップＳ５６０４のテンプレート検証処理の２つ目の具体例を述べる。２つ目の具体例では、テンプレート検証部６０５は、テンプレートのデータの値の正当性を検証する。登録用特徴量ｘ＿Ｅが線形空間Ｘに属するとする。ＳをＸの部分空間とする。ヘルパーストリングｃ＿Ｅが、ｃ＿Ｅ：＝ｘ＿Ｅ－ＣＶ（ｘ＿Ｅ）により生成され、テンプレートＴがｃ＿Ｅを含む場合を考える。ただし、ＣＶ（ｘ＿Ｅ）は、ｘ＿Ｅに最も近いＳの点を表すとする。このとき、テンプレートＴに含まれるｃ＿Ｅは、ＣＶ（ｃ＿Ｅ）＝０を満たすことが必要である。そこで、テンプレート検証部６０５は、この条件が成り立つかどうか検証することにより、ｃ＿Ｅが不正でないかを確認できる。

ステップＳ５６０４のテンプレート検証処理の３つ目の具体例を述べる。３つ目の具体例でも、テンプレート検証部６０５は、テンプレートのデータの値の正当性を検証する。登録用特徴量ｘ＿Ｅがｔ次元実数値ベクトルであるとする。ヘルパーストリングｃ＿Ｅが、ｔ次元正則行列Ｂを用いて、ｃ＿Ｅ：＝ｘ＿Ｅ－Ｂ＊＜Ｂ＾（－１）＊ｘ＿Ｅ＞により生成され、テンプレートＴがｃ＿Ｅを含む場合を考える。ただし、＊は行列とベクトルの積であり、＜＞は、ベクトルの各成分の小数点部分を切り捨てる処理を表す。このとき、テンプレートＴに含まれるｃ＿Ｅは、Ｂ＾（－１）＊ｃ＿Ｅの各成分が０以上１未満である必要がある。そこで、テンプレート検証部６０５は、この条件が成り立つかどうか検証することにより、ｃ＿Ｅが不正でないかを確認できる。

［処理フローの変更例］
上記した処理フローにおいて、処理の一部を変更することもできる。例えば以下のような変更が挙げられる。

ユーザ第１ＤＢ９０３が公開されている場合は、ステップＳ４４０３の発行用証明生成処理において、発行用証明生成部４０４は、ユーザ公開鍵を用いる代わりに、ユーザ公開鍵を特定できる情報を用いてもよい。ユーザ公開鍵を特定できる情報として、例えば、ユーザ第１ＤＢ９０３の場所が挙げられる。また、ユーザ第１ＤＢ９０３に複数ユーザのユーザ公開鍵が格納されている場合、ユーザ公開鍵を特定できる情報として、どのユーザ公開鍵かを特定するためのユーザＩＤ等の情報が挙げられる。

また、ステップＳ４５０３のユーザ秘密鍵知識証明生成処理と、ステップＳ４４０１のユーザ秘密鍵知識検証処理と、は省略されてもよい。ただし、これらの処理を行うことにより、ステップＳ４５０４で送信されたユーザ公開鍵に対応する正当なユーザにより処理が行われていることが検証できる。

また、ステップＳ４４０３の発行用証明生成処理の一部又は全部を、発行者秘密鍵格納用ＤＢ９０１が行ってもよい。例えば、発行用証明生成処理に、発行者秘密鍵を用いた署名生成処理が含まれる場合、発行用装置４００は、署名対象となるデータを発行者秘密鍵格納用ＤＢ９０１に送信し、発行者秘密鍵格納用ＤＢ９０１は当該署名生成処理を行って得られる電子署名を発行用装置４００に送信し、発行用装置４００が電子署名を用いて発行用証明生成処理のうちの残りの処理を行うようにしてもよい。このようにすることで、発行者秘密鍵が発行者秘密鍵格納用ＤＢ９０１の外部に送信されることが無くなり、安全性が向上する。

また、ステップＳ４４０４のメッセージ暗号化処理は、発行用装置４００の代わりに、ユーザ第２ＤＢ９０６が行ってもよい。その場合、ステップＳ４４０５では、発行用装置通信部４０１が、暗号化メッセージの代わりに、メッセージを送信する。あるいは、ステップＳ４４０５で、発行用装置通信部４０１が、メッセージを取得用装置５００に送信し、取得用装置５００がメッセージ暗号化処理を行ってもよい。この場合、ユーザ公開鍵を用いた公開鍵暗号化の代わりに、ユーザ秘密鍵を用いた共通鍵暗号化が行われてもよい。ただし、発行用装置４００がステップＳ４４０４のメッセージ暗号化処理を行うことにより、発行用装置４００からの通信においてもメッセージが保護されるという効果がある。

また、取得用装置５００や提示用装置６００が、発行されたメッセージと発行用証明の関係を検証してもよい。これにより、発行用証明が正当かどうか確認できる。メッセージと発行用証明のうち暗号化されているものがあれば、ユーザ秘密鍵を用いて復号すればよい。

また、提示部分は、提示するメッセージ要素を表すことに加えて、又は代えて、所定のメッセージ要素に対して、当該メッセージが所定の値と等しいかどうか、あるいは、所定の範囲に含まれた値かを尋ねる内容であってもよい。

例えば、Ｍ３：＝（日立太郎、２０００年１月１日、男、東京都千代田区丸の内一丁目６番６号）と定義し、構造情報Ｓ３を、Ｓ３：＝（氏名、生年月日、性別、住所）と定義し、Ｍ３がＳ３の構造をしていることを検証用装置７００が知っている場合に、提示部分を、Ｍ３の１番目のメッセージ要素と、Ｍ３のうち２番目が２００２年１月１日よりも前の日付であるかどうかを尋ねる内容と、の組としてもよい。このとき、部分メッセージは、Ｍ３の１番目のメッセージ要素からなるメッセージとし、提示用証明に、２番目が２００２年１月１日よりも前の日付であることの証明を含めればよい。このような証明が可能なＡＣＳとして、例えば、Ｆｕｎｃｔｉｏｎ Ｃｒｅｄｅｎｔｉａｌを用いればよい。

また、ステップＳ４４０４では、データ暗号化部４０５が、メッセージに加えて発行用証明を暗号化してもよい。この場合、ステップＳ５６０３の直前までの発行用証明に関する通信及び格納処理では、発行用証明の代わりに暗号化発行用証明が用いられ、ステップＳ５６０３のメッセージ復号処理において、データ復号部６０４は、メッセージに加えて暗号化発行用証明を復号し発行用証明を得る。メッセージと発行用証明は、個別に暗号化されてもよいし、まとめて暗号化されてもよい。また、上記したユーザ鍵生成方法の一例では、テンプレートが、暗号化されたユーザ秘密鍵の一部を含む。この一例において、テンプレートが暗号化されたユーザ秘密鍵の一部を含む代わりに、データ暗号化部４０５が、当該ユーザ秘密鍵の一部をメッセージとともに暗号化することにより暗号化メッセージを生成してもよい。この場合、ステップＳ５６０３のメッセージ復号処理により、当該ユーザ秘密鍵の一部が、メッセージとともに復号され、例えばステップＳ５６０５の提示用証明生成処理に用いることができる。なお、この場合、ステップＳ５６０２において、ユーザ秘密鍵復元部６０３は、ユーザ秘密鍵のうち当該ユーザ秘密鍵の一部を復元しなくてもよく、ユーザ秘密鍵のうちステップＳ５６０３のメッセージ復号処理に必要となる部分を復元すればよい。また、データ暗号化部４０５は、メッセージ及びユーザ秘密鍵の一部とともに、発行用証明を暗号化してもよい。

また、提示部分は、提示用装置６００により指定されてもよい。このとき、例えば、ステップＳ５６２１の提示同意取得処理において、提示部分をユーザに選択させればよい。ステップＳ５６０８では、提示用装置通信部６０１が、必要ならば提示部分の情報を送信する。

また、提示処理において、提示用装置６００は、ステップＳ４４０２で取得されるメッセージの必ずしもすべてを必要としない。例えば、発行用証明生成、提示用証明生成、提示用証明検証処理の１つ目の具体例で説明した方法のうち、一般的な署名方式を用いる方法では、メッセージのうちステップＳ５６０５、ステップＳ５６０６、ステップＳ５６０７、及びステップＳ５６０８の処理のために必要なのは、部分メッセージ（すなわち、メッセージのうち提示部分に対応するメッセージ要素からなる組）のみである。

このように、提示処理において、ステップＳ４４０２で取得されるメッセージのうち一部のみが必要とされる場合には、ステップＳ５６０３で復号されるメッセージ（「提示処理向けメッセージ」とも呼ぶ）は、ステップＳ４４０２で取得されるメッセージ（「発行処理向けメッセージ」とも呼ぶ）の一部のみであってもよい。

さらに、ステップＳ５９６１で送信される暗号化メッセージ（「提示処理向け暗号化メッセージ」とも呼ぶ）は、ステップＳ４４０４で生成された暗号化メッセージ（「発行処理向け暗号化メッセージ」とも呼ぶ）のうち必要な部分のみであってもよい。具体的には、提示処理向け暗号化メッセージは、発行処理向け暗号化メッセージのうち「発行処理向けメッセージのうち、ステップＳ５６０５、ステップＳ５６０６、ステップＳ５６０７、及びステップＳ５６０８の処理に必要な部分」を復号するために必要な部分のみであってもよい。

提示処理向け暗号化メッセージを発行処理向け暗号化メッセージの一部とし、提示処理向けメッセージを発行処理向けメッセージの一部とするような処理方法の一例を述べる。ステップＳ４４０４では、データ暗号化部４０５が、発行処理向けメッセージを複数ブロックに分割し（例えば、発行処理向けメッセージに含まれるメッセージ要素を各ブロックとし）、各ブロックを暗号化することで、複数ブロックからなる発行処理向け暗号化メッセージを生成する。

ステップＳ５９６１では、ユーザ第２ＤＢが、発行処理向け暗号化メッセージのうち必要な部分を、提示処理向け暗号化メッセージとして提示用装置６００に送信する。例えば上記の例のように、部分メッセージが提示処理向けメッセージに含まれれば十分である場合、ユーザ第２ＤＢは、まず、ステップＳ５７０１で指定された提示部分を他装置（例えば、検証用装置７００または提示用装置６００）から受信する。次に、ユーザ第２ＤＢは、提示部分をもとに、部分メッセージを構成するメッセージ要素を特定する。次に、ユーザ第２ＤＢは、発行処理向け暗号化メッセージのうち、特定された各メッセージ要素に対応する暗号化メッセージのブロックを選択し、選択されたブロックを提示処理向け暗号化メッセージとして提示用装置６００に送信する。

このように、発行処理向け暗号化メッセージのうち必要な部分のみをステップＳ５９６１で提示処理向け暗号化メッセージとして送信することにより、発行処理向けメッセージのうち提示処理向けメッセージに含まれない部分が漏洩するリスクを低減できる。

なお、提示処理向けメッセージと部分メッセージが一致する場合、ステップＳ５６０６において、部分メッセージ選択部６０７は、提示処理向けメッセージに含まれるすべてのメッセージ要素を、部分メッセージとして選択すればよい。

また、ステップＳ５６０７の部分メッセージ暗号化処理が実行されなくてもよい。その場合、ステップＳ５６０８では、提示用装置通信部６０１は、暗号化部分メッセージの代わりに、部分メッセージを送信し、ステップＳ５７０３の部分メッセージ復号処理は省略できる。

また、提示用装置６００は、検証用装置７００の正当性を検証するための認証を行ってもよい。検証者秘密鍵と検証者公開鍵の組は、当該認証のために用いることができる。例えば、提示用装置６００が乱数等のチャレンジを生成して検証用装置７００に送信し、検証用装置７００が検証者秘密鍵の一部又は全部を用いて任意の署名アルゴリズムによる電子署名を生成し、提示用装置６００が署名検証を行えばよい。あるいは、検証用装置７００は、任意の知識証明プロトコルにより検証者秘密鍵の一部又は全部に関する知識を証明してもよい。

また、ステップＳ５６０９のログ暗号化処理では、ユーザ公開鍵又はユーザ秘密鍵による暗号化に代えて、システム管理者の秘密鍵又は公開鍵による暗号化が実行されてもよい。この場合の秘密鍵と公開鍵は、通常の公開鍵暗号における鍵ペアでもよいし、ユーザ登録処理と同様の処理により、システム管理者の生体情報から生成されるペアを用いてもよい。なお、生体情報から生成されるペアを用いる場合には、ステップＳ５６０９のログ暗号化処理において、ログ出力用生体情報取得部８０２は、システム管理者の生体情報を取得する。

また、検証者秘密鍵格納用ＤＢ９０４は、部分メッセージ復号部を備え、ステップＳ５７０３の部分メッセージ復号処理を、検証用装置７００の代わりに、部分メッセージ復号部が行うようにしてもよい。これにより、検証者秘密鍵が検証者秘密鍵格納用ＤＢ９０４の外部に送信されることが無くなり、安全性が向上する。

また、発行処理の対象の本人確認するために、例えば、発行者又は発行用装置４００が、ユーザに本人確認書類の提示を要求し、ユーザが当該本人確認書類を提示すればよい。提示方法は、対面でユーザから発行者によって提示する方法あってもよいし、取得用装置５００が当該本人確認書類を写真等の電子データとして取得したうえで発行用装置４００に送信するという方法でもよい。また、本人確認書類の提示に加えて、又は代えて、ユーザが既に発行を受けているメッセージに対する提示処理を行ってもよい。

また、本実施例において秘密鍵を用いた暗号化処理は、秘密鍵に対応する公開鍵を用いた暗号化処理に置き換えられてもよい。また、公開鍵を用いた暗号化処理は、秘密鍵を送信あるいは復元する処理と、送信あるいは復元された秘密鍵を用いた暗号化処理と、に置き換えられてもよい。ただし、この場合、送信される秘密鍵の漏洩リスクを低減するための対策（通信路の暗号化等）がなされることが望ましい。

また、発行者秘密鍵は、発行者秘密鍵格納用ＤＢ９０１に格納される代わりに、例えば以下のように、発行者生体情報から生成されてもよい。ステップＳ１１０１において、発行者鍵生成部１０２は、発行者から生体情報（発行者登録用生体情報）を取得し、ステップＳ２２０２のユーザ鍵生成処理と同様の処理を発行者登録用生体情報に対して行うことにより、発行者テンプレートと発行者公開鍵を生成する。発行者秘密鍵格納用ＤＢ９０１は、発行者秘密鍵の代わりに、生成された発行者テンプレートを格納する。

ステップＳ４９１１において、発行者秘密鍵格納用ＤＢ９０１は、発行者秘密鍵の代わりに、生成された発行者テンプレートを発行用装置４００に送信する。ステップＳ４４０３において、発行用証明生成部４０４は、発行者から再度生体情報（発行者秘密鍵復元用生体情報）を取得し、ステップＳ４５０２のユーザ秘密鍵復元処理と同様の処理を発行者秘密鍵復元用生体情報及び発行者テンプレートに対して行うことにより、発行者秘密鍵を復元する。そのうえで、発行用証明生成部４０４は、復元された発行者秘密鍵を用いて、発行用証明を生成する。

このように、発行者秘密鍵を発行者生体情報から生成することにより、発行者秘密鍵の格納を不要とし、発行者秘密鍵漏洩リスクを低減する効果がある。同様に、検証者秘密鍵を検証者生体情報から生成することも可能であり、そのようにすることで、検証者秘密鍵漏洩リスクを低減する効果がある。なお、発行者秘密鍵や検証者秘密鍵の生成に用いられる生体情報の部位は、ユーザ秘密鍵の生成に用いられる生体情報の部位と必ずしも同一でなくてもよい。

［本実施例の効果］
本実施例により、ユーザが保存するデータ（具体的には、テンプレートと、暗号化メッセージと、ユーザ公開鍵と、発行用証明）がすべて漏洩しうる場合でも、安全性が保たれるという効果がある。

まず、従来のＡＣＳ等のシステムでは、ユーザが保存するデータが漏洩すると、メッセージのうち、提示した部分メッセージ以外の部分も漏洩する。一方、本実施例のメッセージ提示システム１０では、ユーザが保存するデータが漏洩した場合でも、正規ユーザの生体情報が無ければ暗号化メッセージの復号が困難であるため、メッセージのうち、提示した部分メッセージ以外の部分の情報を得ることは困難である。

また、従来のＡＣＳ等のシステムでは、ユーザが保存するデータが漏洩すると、当該データに含まれるユーザ秘密鍵を用いて不正なユーザによるなりすましが行われるおそれがある。一方、本実施例のメッセージ提示システム１０では、ユーザが保存するデータが漏洩しても、正規のユーザの生体情報が無ければユーザ秘密鍵の復元は困難であるため、不正なユーザによるなりすましは困難である。

このように、ユーザが保存するデータ（具体的には、テンプレートと、暗号化メッセージと、ユーザ公開鍵と、発行用証明）がすべて漏洩しうる場合でも安全性が保たれることにより、これらのデータをクラウドストレージなどのオンライン上の場所に格納し、必ずしも限定的でない端末を提示用装置６００として用いて処理を行うことができる。

ユーザが保存するデータが漏洩した場合の安全性が保たれないシステムでは、安全性のための対策として、ユーザが保存するデータを厳重に（例えばオフラインで）管理するという対策や、特定の端末に、ユーザが保存するデータに対する暗復号を行うための鍵を格納し、特定の端末のみから提示を行うという対策が考えられる。しかし、これらの対策ではユーザが特定の端末からしか提示処理を行えないという課題がある。このような課題も本実施例のメッセージ提示システム１０によって解決される。

さらに、ステップＳ５６０５の提示用証明生成処理の際に、提示用証明生成部６０６は、検証用装置７００から送信されたデータを用いて提示用証明を生成することにより、検証者がユーザになりすまして別の検証者に提示する攻撃に対するリスクを低減できる。また、ステップＳ５６０４のテンプレート検証処理が行われることにより、テンプレートを改ざんするような不正のリスクを低減できる。また、各処理の具体例に応じて、既に述べたような安全性向上の効果がある。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１０ メッセージ提示システム、１００ 発行者登録用装置、２００ ユーザ登録用装置、３００ 検証者登録用装置、４００ 発行用装置、５００ 取得用装置、６００ 提示用装置、７００ 検証用装置、８００ ログ出力用装置、９０１ 発行者秘密鍵格納用ＤＢ、９０２ 発行者公開鍵格納用ＤＢ、９０３ ユーザ第１ＤＢ、９０４ 検証者秘密鍵格納用ＤＢ、９０５ 検証者公開鍵格納用ＤＢ、９０６ ユーザ第２ＤＢ、９０７ ユーザ第３ＤＢ、１０００１ ＣＰＵ、１０００２ メモリ、１０００３ 補助記憶装置

Claims (11)

1. メッセージ提示システムであって、
   提示用装置を含み、
   前記提示用装置は、
   ユーザの登録用生体情報に基づき生成されたテンプレートと、
   １以上のメッセージ要素を含むメッセージが暗号化された暗号化メッセージと、
   前記テンプレートに対応するユーザ公開鍵、前記メッセージ、及び前記メッセージの発行主体に対応する発行者秘密鍵に基づき生成された発行用証明と、を保持し、
   ユーザの提示用生体情報を取得し、
   前記テンプレートと前記提示用生体情報とに基づき、前記ユーザ公開鍵に対応するユーザ秘密鍵を生成し、
   前記ユーザ秘密鍵を用いた前記暗号化メッセージの復号によって、前記メッセージを復元し、
   前記メッセージの中で提示される部分を特定する情報である提示部分に基づき前記メッセージから部分メッセージを生成し、
   前記提示部分と、前記発行用証明と、前記ユーザ秘密鍵と、に基づき提示用証明を生成し、
   前記部分メッセージと、前記提示用証明と、を出力する、メッセージ提示システム。
2. 請求項１に記載のメッセージ提示システムであって、
   検証用装置をさらに含み、
   前記検証用装置は、提示用チャレンジを前記提示用装置に送信し、
   前記提示用装置は、前記提示用チャレンジと、前記提示部分と、前記発行用証明と、前記生成した秘密鍵と、に基づき前記提示用証明を生成する、メッセージ提示システム。
3. 請求項１に記載のメッセージ提示システムであって、
   検証用装置をさらに含み、
   前記検証用装置は、前記発行者秘密鍵に対応する発行者公開鍵と、前記提示部分と、を保持し、
   前記提示用装置は、前記提示用証明を前記検証用装置に送信し、
   前記検証用装置は、前記発行者公開鍵と、前記提示部分と、前記部分メッセージと、を用いて、前記提示用証明を検証する、メッセージ提示システム。
4. 請求項１に記載のメッセージ提示システムであって、
   前記提示用装置は、前記テンプレートが改ざんされていないかどうかを、前記テンプレートの生成アルゴリズムに基づいて検証し、前記検証に失敗した場合に前記提示用証明の生成処理を中止する、メッセージ提示システム。
5. 請求項１に記載のメッセージ提示システムであって、
   前記提示用装置は、
   入力装置に接続され、
   前記提示部分を出力するための同意の入力を、前記入力装置を介して受け付けた場合に、前記提示用生体情報の取得を実行する、メッセージ提示システム。
6. 請求項５に記載のメッセージ提示システムであって、
   前記提示用装置は、
   前記同意の入力を受け付けるための表示画面を出力するためのデータを生成し、
   前記表示画面は、前記提示部分のメッセージ要素を示す情報を含む、メッセージ提示システム。
7. 請求項１に記載のメッセージ提示システムであって、
   ログ出力用装置を含み、
   前記ログ出力用装置は、
   前記提示用装置が提示した前記提示部分の提示に関するログが、前記ユーザ公開鍵又は前記ユーザ秘密鍵によって暗号化された暗号化ログと、
   前記テンプレートと、を保持し、
   ユーザのログ出力用生体情報を取得し、
   前記テンプレートと前記ログ出力用生体情報とに基づき、前記ユーザ秘密鍵を生成し、
   当該ユーザ秘密鍵を用いて前記暗号化ログを復号し、
   前記復号したログを出力する、メッセージ提示システム。
8. 請求項１に記載のメッセージ提示システムであって、
   検証者秘密鍵を保持する検証用装置をさらに含み、
   前記提示用装置は、
   前記検証者秘密鍵に対応する検証者公開鍵を保持し、
   前記部分メッセージを前記検証者公開鍵により暗号化した状態で、前記検証用装置に出力する、メッセージ提示システム。
9. 請求項１に記載のメッセージ提示システムであって、
   ＤＢをさらに含み、
   前記発行用証明は、前記ユーザ公開鍵、前記メッセージを含む発行処理向けメッセージ、及び前記発行者秘密鍵に基づき生成され、
   前記ＤＢは、
   前記発行処理向けメッセージが複数個に分割されて暗号化されることにより生成された発行処理向け暗号化メッセージを保持し、
   前記発行処理向け暗号化メッセージの一部を前記暗号化メッセージとして選択し、前記提示用装置に送信する、メッセージ提示システム。
10. メッセージを提示する提示用装置であって、
    プロセッサと、メモリと、を含み、
    前記メモリは、
    ユーザの登録用生体情報に基づき生成されたテンプレートと、
    １以上のメッセージ要素を含むメッセージが暗号化された暗号化メッセージと、
    前記テンプレートに対応するユーザ公開鍵、前記メッセージ、及び前記メッセージの発行主体に対応する発行者秘密鍵に基づき生成された発行用証明と、を保持し、
    前記プロセッサは、
    ユーザの提示用生体情報を取得し、
    前記テンプレートと前記提示用生体情報とに基づき、前記ユーザ公開鍵に対応するユーザ秘密鍵を生成し、
    前記ユーザ秘密鍵を用いた前記暗号化メッセージの復号によって、前記メッセージを復元し、
    前記メッセージの中で提示される部分を特定する情報である提示部分に基づき前記メッセージから部分メッセージを生成し、
    前記提示部分と、前記発行用証明と、前記ユーザ秘密鍵と、に基づき提示用証明を生成し、
    前記部分メッセージと、前記提示用証明と、を出力する、提示用装置。
11. メッセージ提示システムによるメッセージ提示方法であって、
    前記メッセージ提示システムは、提示用装置を含み、
    前記提示用装置は、
    ユーザの登録用生体情報に基づき生成されたテンプレートと、
    １以上のメッセージ要素を含むメッセージが暗号化された暗号化メッセージと、
    前記テンプレートに対応するユーザ公開鍵、前記メッセージ、及び前記メッセージの発行主体に対応する発行者秘密鍵に基づき生成された発行用証明と、を保持し、
    前記メッセージ提示方法は、
    前記提示用装置が、ユーザの提示用生体情報を取得し、
    前記提示用装置が、前記テンプレートと前記提示用生体情報とに基づき、前記ユーザ公開鍵に対応するユーザ秘密鍵を生成し、
    前記提示用装置が、前記ユーザ秘密鍵を用いた前記暗号化メッセージの復号によって、前記メッセージを復元し、
    前記提示用装置が、前記メッセージの中で提示される部分を特定する情報である提示部分に基づき前記メッセージから部分メッセージを生成し、
    前記提示用装置が、前記提示部分と、前記発行用証明と、前記ユーザ秘密鍵と、に基づき提示用証明を生成し、
    前記提示用装置が、前記部分メッセージと、前記提示用証明と、を出力する、メッセージ提示方法。