ブラインド署名

暗号学において、デイビッド・ショーム[ ^1]が提唱したブラインド署名は、署名される前にメッセージの内容が偽装（ブラインド化）されるデジタル署名の一種である。結果として得られるブラインド署名は、通常のデジタル署名と同様に、ブラインド化されていない元のメッセージに対して公的に検証することができる。ブラインド署名は通常、署名者とメッセージ作成者が異なる当事者であるプライバシー関連のプロトコルで採用されている。例としては、暗号選挙システムやデジタルキャッシュスキームなどがある。

暗号ブラインド署名のよく使われる例えは、投票者が記入済みの匿名投票用紙を、外側に投票者の資格情報があらかじめ印刷された特殊なカーボン紙で裏打ちされた封筒に入れるという物理的な行為です。職員が資格情報を確認し、封筒に署名することで、カーボン紙を介して封筒内の投票用紙に署名が転写されます。署名が済んだら、封筒は投票者に返され、投票者は署名済みの投票用紙を新しい無印の通常の封筒に移します。したがって、署名者はメッセージの内容を見ることはできませんが、第三者が後で署名を確認し、基礎となる署名方式の制限内で署名が有効であることを知ることができます。

ブラインド署名は、リンク不可能性を提供するためにも使用できます。これにより、署名者は、署名したブラインド メッセージを、後で検証を求められる可能性がある非ブラインド バージョンにリンクできなくなります。この場合、署名者の応答は検証の前に最初に「非ブラインド化」されるため、署名は非ブラインド メッセージに対して有効のままになります。これは、匿名性が要求されるスキームで役立ちます。

ブラインド署名方式は、 RSAやDSAなど、いくつかの一般的な公開鍵署名方式を使用して実装できます。このような署名を実行するには、まずメッセージを「ブラインド化」します。これは通常、何らかの方法でランダムな「ブラインド化要素」と組み合わせることにより行われます。ブラインド化されたメッセージは署名者に渡され、署名者は標準の署名アルゴリズムを使用して署名します。結果のメッセージはブラインド化要素とともに、後で署名者の公開鍵に対して検証できます。RSA などの一部のブラインド署名方式では、検証前に署名からブラインド化要素を削除することもできます。これらの方式では、ブラインド署名方式の最終的な出力 (メッセージ/署名) は、通常の署名プロトコルの出力と同じです。

ブラインド署名方式は、送信者のプライバシーが重要なアプリケーションで広く使用されています。これには、さまざまな「デジタル キャッシュ」方式や投票プロトコルが含まれます。

たとえば、電子投票システムの整合性を確保するには、各投票用紙を集計に受け入れる前に選挙管理局が認証する必要があります。これにより、管理局は投票者の資格情報をチェックして、投票が許可されていること、および投票用紙を複数提出していないことを確認できます。同時に、この管理局が投票者の選択内容を把握しないことも重要です。リンク不可能なブラインド署名は、管理局が署名した投票用紙の内容を確認できないため、この保証を提供します。また、管理局は署名したブラインド署名を集計用に受け取ったブラインド署名なしの投票用紙にリンクさせることはできません。

ブラインド署名方式は、多くの公開鍵署名プロトコルに存在します。より正式には、ブラインド署名方式は、メッセージに署名を取得したいユーザー Alice と、秘密の署名鍵を所有する署名者 Bob の 2 つの当事者が関与する暗号化プロトコルです。プロトコルの最後に、Alice はBobがメッセージについて何も知ることなく、 mに対する Bob の署名を取得します。何も学ばないというこの直感は、数学的な用語で捉えるのが困難です。通常のアプローチは、すべての (敵対的な) 署名者に対して、署名者と同じ情報を出力できるシミュレーターが存在することを示すことです。これは、ゼロ知識証明システムでゼロ知識が定義される方法に似ています。

^{[2] : 235}

最も単純なブラインド署名方式の 1 つは、 RSA 署名に基づいています。従来の RSA 署名は、メッセージm を公開係数Nを法として秘密指数dで累乗することによって計算されます。ブラインド バージョンでは、 r がNと互いに素である(つまり、gcd ( r , N ) = 1)ようなランダム値r を使用します。 r はNを法として公開指数eで累乗され、結果の値がブラインド ファクターとして使用されます。メッセージの作成者は、メッセージとブラインド ファクターの積を計算します。つまり、 ${\displaystyle r^{e}{\bmod {N}}}$

${\displaystyle m'\equiv mr^{e}\ (\mathrm {mod} \ N)}$

そして、結果の値を署名機関に送信します。rはランダムな値であり、マッピングは順列であるため、もランダムになります。これは、 がmに関する情報を漏らさないことを意味します。署名機関は、ブラインド署名s' を次のように計算します。 ${\displaystyle m'}$${\displaystyle r\mapsto r^{e}{\bmod {N}}}$${\displaystyle r^{e}{\bmod {N}}}$${\displaystyle m'}$

${\displaystyle s'\equiv (m')^{d}\ (\mathrm {mod} \ N).}$

s' はメッセージの作成者に送り返され、作成者はブラインド要素を削除してmの有効な RSA 署名であるs を明らかにすることができます。

${\displaystyle s\equiv s'\cdot r^{-1}\ (\mathrm {mod} \ N)}$

これはRSAキーが方程式を満たすため機能し、したがって ${\displaystyle r^{ed}\equiv r{\pmod {N}}}$

${\displaystyle s\equiv s'\cdot r^{-1}\equiv (m')^{d}r^{-1}\equiv m^{d}r^{ed}r^{-1}\equiv m^{d}rr^{-1}\equiv m^{d}{\pmod {N}},}$

したがって、s は確かにmのシグネチャです。

実際には、1 つのブラインド メッセージに署名すると、最大で 1 つの有効な署名済みメッセージが生成されるという特性が通常望まれます。これは、たとえば選挙で署名された投票用紙 1 枚につき 1 票ということを意味します。この特性は、上記の単純なスキームには当てはまりません。元のメッセージとブラインドされていない署名は有効ですが、ブラインド メッセージとブラインド署名も有効であり、巧妙な攻撃者であれば他の組み合わせも有効になる可能性があります。これに対する解決策は、メッセージ自体ではなく、メッセージの暗号ハッシュにブラインド署名することです。^[3]

RSAは RSA ブラインド攻撃の対象であり、別のメッセージにブラインド署名することで、メッセージを解読するように騙される可能性があります。署名プロセスは署名者の秘密鍵で解読することと同等であるため、攻撃者は署名者の公開鍵で暗号化されたメッセージのブラインド バージョンを提供して署名させることができます。暗号化されたメッセージは通常、攻撃者が署名者の公開鍵で暗号化されて送信されているのを観察し、詳細を知りたい秘密情報です。攻撃者がブラインドを解除すると、署名されたバージョンにはクリア テキストが含まれます。 ${\displaystyle m}$${\displaystyle m'}$

${\displaystyle {\begin{aligned}m''&=m'r^{e}{\pmod {n}}\\&=(m^{e}{\pmod {n}}\cdot r^{e}){\pmod {n}}\\&=(mr)^{e}{\pmod {n}}\\\end{aligned}}}$

はメッセージの暗号化バージョンです。メッセージが署名されている場合、クリアテキストは簡単に抽出できます。 ${\displaystyle m'}$${\displaystyle m}$

${\displaystyle {\begin{aligned}s'&=m''^{d}{\pmod {n}}\\&=((mr)^{e}{\pmod {n}})^{d}{\pmod {n}}\\&=(mr)^{ed}{\pmod {n}}\\&=m\cdot r{\pmod {n}}{\mbox{, since }}ed\equiv 1{\pmod {\phi (n)}}\\\end{aligned}}}$

はオイラーのトーティエント関数を参照することに注意してください。これでメッセージは簡単に取得できます。 ${\displaystyle \phi (n)}$

${\displaystyle {\begin{aligned}m=s'\cdot r^{-1}{\pmod {n}}\end{aligned}}}$

この攻撃が機能するのは、このブラインド署名方式では署名者がメッセージに直接署名するためです。対照的に、非ブラインド署名方式では、署名者は通常、パディング方式を使用します (たとえば、メッセージ自体に署名するのではなく、メッセージに適用された暗号化ハッシュ関数の結果に署名するなど)。ただし、署名者は実際のメッセージを知らないため、非ブラインド化されると、どのパディング方式でも誤った値が生成されます。RSA のこの乗法特性のため、暗号化と署名の両方の目的で同じキーを使用することはできません。

• ダイニング暗号学者プロトコル
• 電子マネー

• EP 出願 1571777、Canard、S.、Gaud、M.、Traore、J.、「公正なブラインド署名を使用した電子投票プロセス」、2005 年 9 月 7 日公開、France Telecom に譲渡 
• 中止時のブラインド署名のセキュリティ
• Javaでのブラインド署名の実装