JP2023540739A - 分散型台帳上の、匿名性取消を伴う、セキュアな、トレース可能な、および、プライバシー保護の、デジタル通貨送金のための方法 - Google Patents

Abstract

本発明は、複数の台帳ノードを含む分散型台帳を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座を複数のもたないユーザの間での、少なくとも第１のユーザへの第２のユーザからの、セキュアな、トレース可能な、および、匿名性取消を伴うプライバシー保護の、デジタル通貨送金のための方法であって、前記ユーザは、前記ノードに、レジストレーション権限機関（４）に、および、取消権限機関に接続されるように構成されるユーザデバイス（３１、３２、…）を使用して、この台帳上にトランザクションを追加することによりデジタル通貨送金を行い、前記権限機関は、公開／プライベート鍵ペアを各々で所有する、方法であって、・前記第１のユーザのユーザデバイスにより行われる登録段階であって、－ 第１のユーザのアイデンティティ（ＩＤｕ１）の証拠をレジストレーション権限機関に送出すること（ＳＥ１）、－ 第１のユーザ識別公開鍵と第１のユーザ識別秘密鍵とを含む第１のユーザ識別鍵ペアを生成すること（ＳＥ２）、－ 前記生成された第１のユーザ識別公開鍵をレジストレーション権限機関に送出すること（ＳＥ３）、－ レジストレーション権限機関が前記証拠に基づいて第１のユーザのアイデンティティを検証した後に、レジストレーション権限機関により生成された署名付きトークンをレジストレーション権限機関から受信すること（ＳＥ４）を含み、前記署名付きトークンは、前記第１のユーザ識別公開鍵と、前記取消権限機関公開鍵（ｐｋＲＥＶＡ）によって暗号化された前記第１のユーザのアイデンティティとを含むトークンに、レジストレーション権限機関秘密鍵（ｓｋＲＡ）によって署名することにより生成される、登録段階、・前記第１のユーザの前記ユーザデバイスにより行われるトランザクション段階であって：分散型台帳に追加されることになるデジタル通貨送金トランザクションに前記第２のユーザとともに参加すること（ＳＴ１）を含み、前記署名付きトークンによって、取消権限機関が、第１のユーザのアイデンティティをリトリーブすることにより第１のユーザの匿名性を取消すことが可能になる、トランザクション段階を含む、方法に関する。

Description

本発明は、デジタル通貨支払の分野に関し、より詳しくは、セキュアなデジタル通貨送金のための方法であって、その送金のユーザの匿名性、および、特別な状況のもとでこの匿名性を取消すことの両方を可能とする、方法に関する。

過去１０年間にわたって、デジタル通貨を使用して、オンラインで、および／または、物理的店舗においての両方で支払を行うことを可能とするシステムへの関心が高まってきている。提案された第１の部類の解決法は、デジタル通貨送金が中央権限機関により管理される、集中型の解決法である。そのような解決法によって、効率的に、ユーザが、商品およびサービスの代金を支払うこと、ならびにまた、１人の個人から別の者に、例えば、家族成員、友人、または、職業販売者ではない売り手にデジタル通貨ユニットを送金することが可能になる。

さりながら、そのような解決法は、すべてのユーザに、中央権限機関にレジストレーションをし、口座を作成すること、および、この権限機関を通してすべてのトランザクションを提出することを必要とする。それゆえに、この中央権限機関は、すべてのユーザの、および、すべてのトランザクションのアイデンティティの完全な知識を有する。

それゆえに、ユーザおよびトランザクションを管理するための中央権限機関をもはや頼りとしない、ならびに、１人のユーザから、銀行口座をもたないユーザを含む別のユーザへのデジタル通貨の直接的な送金を可能にする、分散型台帳を主として頼りとする、より非集中型の解決法が提案された。最も有名な例は、いかなる中央銀行または権限機関によっても制御されない、ｂｉｔｃｏｉｎデジタル通貨である。そのような解決法は、ユーザに、権限機関にレジストレーションをすることを必要とせず、それゆえに、ユーザが匿名のままであることを可能とする。

さりながら、そのような強い匿名性は、また欠点であることがあり、なぜならば、その強い匿名性は、法執行部局が支払人または被支払人のアイデンティティを回復することを可能にすることなく、詐欺または犯罪活動からの金銭が容易に送金されることを可能にするからである。

それゆえに、匿名性、および、通貨を分け合い、その通貨をユーザどうしの間で送金するための能力などの、紙幣および物理的硬貨貨幣と同じ特性を、銀行口座をもつユーザ、および、銀行口座をもたないユーザの両方に提供し、一方で、例えば詐欺またはマネーロンダリングの疑いの事例において、事前定義された条件が満たされるときに、トランザクションに参加するユーザの匿名性を取消すことを可能にする、セキュアなデジタル通貨送金方法およびシステムに対する必要性が存在する。

この目的のために、および、第１の態様によれば、本発明は、それゆえに、複数の台帳ノードを含む分散型台帳を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座をもたない複数のユーザの間での、少なくとも第１のユーザへの第２のユーザからの、セキュアな、トレース可能な、および、匿名性取消を伴うプライバシー保護の、デジタル通貨送金のための方法であって、前記ユーザは、前記ノードに、レジストレーション権限機関に、および、取消権限機関に接続されるように構成されるユーザデバイスを使用して、この台帳上にトランザクションを追加することによりデジタル通貨（ＤＣ）送金を行い、前記権限機関は、公開／プライベート鍵ペアを各々で所有する、方法であって、
・前記第１のユーザのユーザデバイスにより行われる登録（ｅｎｒｏｌｌｍｅｎｔ）段階であって：
－ 第１のユーザのアイデンティティの証拠をレジストレーション権限機関に送出すること、
－ 第１のユーザ識別公開鍵と第１のユーザ識別秘密鍵とを含む第１のユーザ識別鍵ペアを生成すること、
－ 前記生成された第１のユーザ識別公開鍵をレジストレーション権限機関に送出すること、
－ レジストレーション権限機関が前記証拠に基づいて第１のユーザのアイデンティティを検証した後に、レジストレーション権限機関により生成された署名付きトークンをレジストレーション権限機関から受信することを含み、
前記署名付きトークンは、前記第１のユーザ識別公開鍵と、前記取消権限機関公開鍵によって暗号化された前記第１のユーザのアイデンティティとを含むトークンに、レジストレーション権限機関秘密鍵によって署名することにより生成される、登録段階、
・前記第１のユーザの前記ユーザデバイスにより行われるトランザクション段階であって：
－ 分散型台帳に追加されることになるデジタル通貨送金トランザクションに前記第２のユーザとともに参加することを含み、
前記署名付きトークンによって、取消権限機関が、第１のユーザのアイデンティティをリトリーブすることにより第１のユーザの匿名性を取消すことが可能になる、トランザクション段階
を含む、方法に関する。

そのような方法は、取消権限機関に、いかなるトランザクションでもそれに参加するユーザの本当のアイデンティティを明らかにさせることの可能性を保ちながら、銀行口座をもつユーザ、および、銀行口座をもたないユーザの両方が、匿名でデジタル通貨トランザクションをセキュアに行うことを可能にする。

第１の実施形態によれば：
－ 前記第１のユーザが、前記署名付きトークンを認証局に送出し、前記取消権限機関公開鍵によって暗号化された前記第１のユーザのアイデンティティを含む、前記第１のユーザ識別公開鍵に関する証明書を前記認証局から受信し；
－ 前記第１のユーザが、彼の第１のユーザ識別公開鍵を第２のユーザに送出し、次いで彼の第１のユーザ識別公開鍵は前記デジタル通貨送金トランザクションに含められ、
－ 第１のユーザの匿名性を取消すために、取消権限機関が、第１のユーザ識別公開鍵に関連付けられた証明書を入手し、第１のユーザのアイデンティティをリトリーブする。

第１の実施形態によれば、任意選択で：
第２のユーザが、第２のユーザ署名付きトークンを受信するために、第１の態様による方法の登録段階のステップを行っており、第２のユーザ識別公開鍵に関する証明書を受信するために、前記第２のユーザ署名付きトークンを認証局に送出しており、分散型台帳内に格納された以前のトランザクションに参加しており、それにより、第２のユーザが、ある額のデジタル通貨の現在の所有者と考えられ、前記以前のトランザクションが、第２のユーザ識別公開鍵を含み、前記第１のユーザと第２のユーザとの間のデジタル通貨送金トランザクションが、前記以前のトランザクションへの参照を含み、
第２のユーザの匿名性を取消すために、第２のユーザ識別公開鍵が、前記以前のトランザクションからリトリーブされ得るものであり、取消権限機関が、第２のユーザ識別公開鍵に関連付けられた証明書を入手し得るものであり、第２のユーザのアイデンティティをリトリーブし得る。

そのようにすることにより、トランザクションの、被支払人（第１のユーザ）のアイデンティティのみではなく、また支払人（第２のユーザ）のアイデンティティも、取消権限機関により明らかにされ得る。

第２の実施形態によれば：
・前記第１のユーザ識別鍵ペアが、（ｕ_１，ｇ＾ｕ_１）に等しく、ｕ_１が第１のユーザ識別秘密鍵であり、ｇが位数ｑの巡回群Ｇの生成元であり、ｑが整数であり、
・取消権限機関が、取消権限機関および登録されたユーザにとってアクセス可能である、ユーザの識別公開鍵を含む認可されたユーザの少なくとも１つのリスト、ならびに、取消権限機関にとってのみアクセス可能な、および、各ユーザについて、その署名付きトークンと、その識別公開鍵と、ユーザのアイデンティティとを含む、プライベートユーザ識別リストにアクセスでき、
・前記第１のユーザと第２のユーザとの間のデジタル通貨送金トランザクションが、前記取消権限機関公開鍵によって第１のユーザ識別公開鍵を暗号化することにより生成された第１のユーザエルガマル暗号文を含み、
－ 前記第１のユーザが、その署名付きトークンを取消権限機関に送出し、
－ 前記取消権限機関が、認可されたユーザリスト内に第１のユーザ識別公開鍵を、ならびに、プライベートユーザ識別リスト内に署名付きトークン、第１のユーザ識別公開鍵、および、第１のユーザのアイデンティティを記録し、
－ 第１のユーザが、知識のゼロ知識証明（ｚｅｒｏ－ｋｎｏｗｌｅｄｇｅ ｐｒｏｏｆ ｏｆ ｋｎｏｗｌｅｄｇｅ）を第２のユーザに提供し、知識のゼロ知識証明は、第１のユーザ識別公開鍵を明らかにすることなく、第１のユーザエルガマル暗号テキストが、認可されたユーザのリストに属するユーザ識別公開鍵のエルガマル暗号テキスト値であるということ、および、第１のユーザが、対応するユーザ識別プライベート鍵を知っているということを証明し、
－ 第２のユーザが、第１のユーザにより提供された知識のゼロ知識証明を検証し、分散型台帳に追加されるデジタル通貨送金トランザクション内にその知識のゼロ知識証明を付加し、
－ 第１のユーザの匿名性を取消すために、取消権限機関が、第１のユーザエルガマル暗号文を入手し、そのプライベートユーザ識別リストを使用して、第１のユーザのアイデンティティをリトリーブする。

第２の実施形態によれば、任意選択で：
・第２のユーザが、第２のユーザ署名付きトークンを受信するために、請求項１に記載の登録段階のステップを行っており、前記第２のユーザ署名付きトークンを取消権限機関に送出しており、分散型台帳内に格納された以前のトランザクションに参加しており、それにより、第２のユーザが、ある額のデジタル通貨の現在の所有者と考えられ、
・前記第１のユーザと第２のユーザとの間のＤＣ送金トランザクションが、前記以前のトランザクションへの参照を含み、前記以前のトランザクションが、前記取消権限機関公開鍵によって第２のユーザ識別公開鍵を暗号化することにより生成された第２のユーザエルガマル暗号文と、知識のゼロ知識証明とを含み、知識のゼロ知識証明は、第２のユーザ識別公開鍵を明らかにすることなく、第２のユーザエルガマル暗号文が、認可されたユーザのリストに属するユーザ識別公開鍵のエルガマル暗号文値であるということ、および、第２のユーザが、対応するユーザ識別プライベート鍵を知っているということを証明し、
第２のユーザの匿名性を取消すために、前記取消権限機関公開鍵によって第２のユーザ識別公開鍵を暗号化することにより生成された第２のユーザエルガマル暗号文が、第２のユーザのアイデンティティをリトリーブする取消権限機関により、前記以前のトランザクションからリトリーブされ、取得される。

そのようにすることにより、被支払人（第１のユーザ）は、レジストレーションをされたユーザとして認証され、被支払人の匿名性は、彼の公開識別鍵が支払人（第２のユーザ）に明らかにされないので増大されるが、取消権限機関は、任意のユーザ、支払人および被支払人の両方の本当のアイデンティティをリトリーブするための能力を保つ。

取消権限機関が、その取消権限機関が第１のユーザのアイデンティティを正しくリトリーブしたということを証明するための知識のゼロ知識証明を提供し得る。

第１の実施形態において、取消権限機関が、知識のゼロ知識証明を提供し得、知識のゼロ知識証明は、証明書に含まれる前記取消権限機関公開鍵によって暗号化された前記第１のユーザのアイデンティティの暗号文を取消権限機関が正しく復号したということを証明する。

第２の実施形態において、取消権限機関が、知識のゼロ知識証明を提供し得、知識のゼロ知識証明は、デジタル通貨送金トランザクションに含まれるエルガマル暗号文、および、署名付きトークンに含まれる前記取消権限機関公開鍵によって暗号化された前記第１のユーザのアイデンティティの暗号文の両方を取消権限機関が正しく復号したということを証明する。

第１のユーザが、所定の数のＤＣ送金トランザクションに彼が参加した後に、第１の態様による本発明の登録段階のステップを再度実行し得る。

このことは、正当なユーザの鍵およびトークンを盗取したかもしれない攻撃者により行われ得る、悪意のあるトランザクションの危険性を制限する。

第２の実施形態において、取消権限機関が、認可されたユーザの複数個のリストにアクセスでき得る。

第２の態様によれば、本発明は、それゆえに、また、少なくとも１つのコンピュータのメモリ内へと直接的にロード可能なコンピュータプログラム製品であって、前記製品がコンピュータ上で実行されるときに、第１の態様による方法のステップを行うためのソフトウェアコード命令を含む、コンピュータプログラム製品に関する。

第３の態様によれば、本発明は、また、複数の台帳ノードを含む分散型台帳を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座をもたない複数のユーザの間での、少なくとも第１のユーザと第２のユーザとの間の、匿名性取消を伴う、セキュアな、トレース可能な、および、プライバシー保護の、デジタル通貨送金のシステムであって：第１の態様による方法のステップを行うように構成されるプロセッサおよびインターフェースを各々で含む、レジストレーション権限機関と、取消権限機関と、前記ノードに、前記レジストレーション権限機関に、前記取消権限機関に接続されるように構成されるユーザデバイスとを含む、システムに関する。

第４の態様によれば、本発明は、また、複数の台帳ノードを含む分散型台帳を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座をもたない複数のユーザの間での、少なくとも第１のユーザと第２のユーザとの間の、匿名性取消を伴う、セキュアな、トレース可能な、および、プライバシー保護の、デジタル通貨送金のシステムであって：第１の実施形態による方法のステップを実行するように構成されるプロセッサおよびインターフェースを各々で含む、レジストレーション権限機関と、取消権限機関と、認証局と、前記ノードに、前記レジストレーション権限機関に、前記取消権限機関に、および前記認証局に接続されるように構成されるユーザデバイスとを含む、システムに関する。

以下の説明、および、添付される図面は、特定の例示的な態様を詳細に提示し、実施形態の原理が用いられ得る様々な様式のうちのごく少数を指し示すものである。他の利点、および、新規の機能が、図面と連関して考察されるときに、以下の詳細な説明から明白になることになり、開示される実施形態は、すべてのそのような態様、および、それらの態様の等価物を含むことを意図される。

本発明の実施形態によるシステムの概略例示図である。 本発明の実施形態によるユーザデバイスの概略例示図である。 方法が本発明の実施形態による登録段階およびトランザクション段階を含むと方法を概略的に例示する図である。 本発明の第１の実施形態による方法を概略的に例示する図である。 本発明の第２の実施形態による方法を概略的に例示する図である。

本発明は、銀行口座をもつユーザ、および、銀行口座をもたないユーザの両方が、それらのユーザのプライバシーを保護する方法で、デジタル通貨（ＤＣ）送金をセキュアに行うことを可能にする方法に関する。同時に、マネーロンダリングなどの詐欺または犯罪のために本発明を使用することを防止するために、本発明は、行われるトランザクションをトレースすることを可能とし、究極的に、本発明は、任意のユーザの匿名性を取消すという、および、そのユーザの本当のアイデンティティを暴露するという力を中央権限機関に与える。

銀行口座をもつユーザ、および、銀行口座をもたないユーザの両方が、そのようなトランザクションに参加することを可能にするために、本発明による方法は、トランザクションの処理について銀行などの中央権限機関を頼りとしない。図１上のシステム１００上で示されるように、トランザクションの非集中型の処理を可能にするために、その方法は、むしろ、トランザクションを記憶するための分散型台帳１を頼りとする。

Ｂｉｔｃｏｉｎ、Ｅｔｈｅｒｅｕｍ、Ａｌｇｏｒａｎｄなどのよく知られている分散型台帳においてのように、そのような台帳１は、ネットワーク２により相互接続される台帳ノード１１、１２、その他を含む。台帳のユーザは、ネットワーク２を通して台帳ノードに接続されるユーザデバイス３１、３２、…を所有する。ユーザは、台帳ノードにトランザクションを提出するために、彼らのユーザデバイスを使用することにより、ＤＣ送金を慣行にしたがって行い、各トランザクションは、そのトランザクションが台帳ノードにより妥当性を確認される後に台帳に追加される。

そのようなユーザデバイスは、例えば、スマートカード、移動電話、タブレットＰＣ、デスクトップまたはラップトップコンピュータであり得る。以下の段落において、別のユーザにメッセージを送信することなどの、様々なユーザ行為の説明がなされる。そのような行為は、ユーザにより、ネットワーク２を通して台帳ノードおよび他のユーザデバイスとデータを交換する、彼のユーザデバイスを使用することにより行われることが、そのことが明示的に説明されないとしても暗黙裡に行われる。

図２は、そのようなユーザデバイスの概略例示図である。そのユーザデバイスは、ランダムアクセスメモリ（ＲＡＭ）２０３、読み出し専用メモリ（ＲＯＭ）２０４、および／または不揮発性メモリ（ＮＶＭ）２０５に、バス２０２を介して接続される、ＣＰＵまたは暗号プロセッサ２０１などの計算手段を含み得る。ユーザデバイスは、様々な形式のワイヤレスネットワーク、例えば、ワイドエリアネットワーク、ＷｉＦｉネットワーク、または移動電話通信ネットワークにエンティティを接続するために使用されるネットワークインターフェース２０６をさらに含み得る。代替法として、ユーザデバイスは、Ｅｔｈｅｒｎｅｔなどの有線ネットワーク接続を介してネットワークに接続し得る。ユーザデバイスは、また、１つ以上の画面、ラウドスピーカ、マウス、触覚表面、キーボード、その他…などの、デバイスのユーザに対するインターフェースを提供する入出力インターフェース２０７を含み得る。

本発明の主たるアイデアは、ユーザ匿名性を保証する非集中型の分散型台帳を使用することに加えて、トランザクションが台帳に追加された後のいかなる時間においても、中央権限機関がいかなるトランザクションのいかなるユーザの匿名性も取消すことを可能とする機構を提供することである。そのようにするために、レジストレーション権限機関４および取消権限機関５が、ネットワーク２に接続される。何らかのトランザクションに参加する前に、いかなるユーザも、登録ステップを最初に行わなければならず、その登録ステップ中に、そのユーザは、彼の本当のアイデンティティの証明をレジストレーション権限機関に与える。次いで、トランザクションが行われるとき、そのトランザクションは、トランザクションに関与させられるユーザのいずれかの本当のアイデンティティをリトリーブするために、取消権限機関により、任意の後の時間において必要とされる場合に使用され得る要素を含む。以下の段落において説明されるように、本発明による方法は、また、詐欺的ユーザが、取消権限機関が彼のアイデンティティをリトリーブすることを可能にする必要な情報を提供することなく、トランザクションに参加することを防止する、または、詐欺的ユーザが、取消権限機関が別のユーザのアイデンティティをリトリーブすることにつながることになる、偽造された情報を提供することを防止する、セキュリティ機能を含む。

以下の段落は、本発明による方法のステップをより詳細に説明する。

図３上で例示されるように、本発明による方法は、第１に、以下のステップを含む登録段階を含む。次の段落は、第１のユーザにより、本明細書において後で第１のユーザデバイスと呼ばれる彼のユーザデバイスを使用して、これらのステップが行われるときの、これらのステップを説明する。そのようなステップは、支払人または被支払人のいずれかとして、本発明によるＤＣ送金トランザクションに参加することができるようになるために、いかなるユーザによっても行われなければならない。

第１の登録ステップＳＥ１中、第１のユーザデバイス３１は、第１のユーザのアイデンティティＩＤｕ_１の何らかの証拠をレジストレーション権限機関４に送出する。そのような証拠は、例えば、ＩＤカードなどのアイデンティティ文書、または、パスポート、出生証明書、運転免許証、もしくは保健医療サービス文書のコピーであり得る。そのような証拠は、その証拠を提供するユーザを認証するために、レジストレーション権限機関により検証される。ユーザ写真を含む、多数の文書が必要であることがある。

第１の登録ステップと並列に行われ得る第２の登録ステップＳＥ２中、第１のユーザデバイスは、第１のユーザ識別公開鍵ｐｋ_ｕ１と第１のユーザ識別秘密鍵ｓｋ_ｕ１とを含む第１のユーザ識別鍵ペア（ｐｋ_ｕ１，ｓｋ_ｕ１）を生成する。そして第３の登録ステップＳＥ３中、第１のユーザデバイスは、レジストレーション権限機関に、生成された第１のユーザ識別公開鍵ｐｋ_ｕ１を送出する。この公開鍵は、本明細書において後で説明されるように、第１のユーザのアイデンティティをリトリーブするための機構を設けるために、分散型台帳に追加される、および、その第１のユーザを関与させる、すべてのトランザクションにおいて使用されることが意図される。

第４の登録ステップＳＥ４中、レジストレーション権限機関が、提供された証拠に基づいて第１のユーザのアイデンティティを検証した後、そのレジストレーション権限機関は、第１のユーザ識別公開鍵と、取消権限機関公開鍵ｐｋＲＥＶＡによって暗号化された第１のユーザのアイデンティティＩＤｕ_１とを含むトークンに、レジストレーション権限機関秘密鍵ｓｋＲＡによって署名することにより、署名付きトークンｓを第１のユーザについて生成する。そのようなユーザのアイデンティティＩＤｕ_１は、例えば、パスポート番号または保健医療識別番号などの、ユーザに結び付けられた、すでに存在する番号であることがある。代替法として、そのユーザのアイデンティティは、レジストレーション権限機関により生成された乱数であることがある。

ｓ＝ＳＩＧＮ_ｓｋＲＡ（ｐｋ_ｕ１，ＥＮＣ_{ｐｋＲＥＶＡ}（ＩＤｕ_１））であり、ｐｋ_ｕ１は、第１のユーザ識別公開鍵である。登録プロセスに関する他のデータが、また、署名付きトークンを得るために署名されるデータに含まれることがある。

そのようなトークンは、第１のユーザ識別公開鍵ｐｋ_ｕ１を、彼の本当のＩＤ ＩＤｕ_１と、このＩＤそれ自体を開示することなくリンクするものであり、なぜならば、取消権限機関のみが、その取消権限機関のプライベート鍵ｓｋ_ＲＥＶＡを使用して、そのＩＤを復号することができるからである。下記で示されるように、そのことによって、取消権限機関が、第１のユーザのアイデンティティをリトリーブすることにより、第１のユーザの匿名性を取消すことが可能になる。

この第４の登録ステップＳＥ４中、第１のユーザデバイスは、最終的には、レジストレーション権限機関から彼の署名付きトークンを受信する。

図３上で例示されるように、本発明による方法は、また、トランザクション段階を含み、そのトランザクション段階中、第１のユーザは、分散型台帳に追加されることになるＤＣ送金トランザクションに第２のユーザとともに参加する。この段落、および、以下の段落において、そのトランザクション段階が第１のユーザにより彼の第１のユーザデバイスを使用して行われるときの、そのトランザクション段階が説明される。そのトランザクション段階は、第２のユーザ（支払人）または第１のユーザ（被支払人）のいずれかとして、本発明によるＤＣ送金トランザクションに参加するために、いかなるユーザによっても同様に行われなければならない。

以下の段落は、ユーザの識別公開鍵が、分散型台帳に追加されるトランザクション内でユーザの仮名として使用される、本発明の第１の実施形態を説明する。この実施形態において、認証局ＣＡ６も、登録されたユーザに、それらのユーザの識別公開鍵についての証明書を送達するために、ネットワークに接続される。この実施形態のステップは、図４上で示される。

この実施形態において、本発明による方法は、第５の登録ステップＳＥ５を含み、その第５の登録ステップＳＥ５中、第１のユーザは、彼の署名付きトークンを認証局ＣＡに送出し、彼の第１のユーザ識別公開鍵に関する証明書を認証局から受信する。この証明書は、また、取消権限機関公開鍵によって暗号化された第１のユーザのアイデンティティＩＤｕ_１：ＥＮＣｐｋ_ＲＥＶＡ（ＩＤｕ_１）を含む。

提供されたトークンは、レジストレーション権限機関により署名されているので、認証局は、そのトークンが偽造されていないということを容易に検証し得る。

そのような証明書は、公に入手可能にされる。その証明書は、例えば、認証局により要求を基に分配され得る。結果として、第１のユーザ公開鍵の知識を有する誰もが、取消権限機関によってのみ復号され得る、暗号化されたフォーマット下における、第１のユーザの本当のアイデンティティを、この証明書内に見いだし得る。

次の段落は、この第１の実施形態において、どのようにトランザクションが２人のユーザの間で生起するか、および、どのように彼らの匿名性が取消され得るかを説明する。この説明において、第１のユーザは、被支払人であることを想定され、第２のユーザと呼ばれる別のユーザは、支払人であることを想定される。第２のユーザは、第１のユーザと行われることになるトランザクションにとって十分な、ある額のデジタル通貨の所有者であることを想定される。第２のユーザは、デジタル通貨を所有する別のユーザとの以前のトランザクションにより、または、中央銀行貨幣、商業銀行貨幣、電子マネー、もしくは、別の代替的デジタル通貨との交換での、デジタル通貨発行者との以前のトランザクションにより、そのようなデジタル通貨を取得していることがある。そのような発行者は、例えば、銀行またはデジタル通貨市場であり得る。そのような以前のトランザクションは、第１のユーザとのトランザクションが本明細書において下の方で説明されるように記録されることになるのと同じ方法において、台帳内に記録されているはずである。

トランザクション段階は、第１のトランザクションステップＳＴ１を含み得るものであり、その第１のトランザクションステップＳＴ１中、第１のユーザは、彼の第１のユーザ識別公開鍵を第２のユーザに送出する。

ＤＣ送金トランザクションは、普通、送金の額、および、以前のトランザクションであって、それにより支払人が通貨を入手した、以前のトランザクションへの参照などの情報を含む。トランザクションは、秘密鍵を使用して第２のユーザにより署名される。この実施形態において、ユーザは、彼らのトランザクションに署名するために、彼らの識別プライベート鍵を使用する。

この実施形態において、第１のユーザ識別公開鍵が、また、台帳への追加のために、トランザクションが台帳ノードに提出される前に、第２のユーザによりＤＣ送金トランザクションに含められる。そのようにすることにより、仮名として使用される第１のユーザの識別公開鍵の形式における、彼のアイデンティティが、トランザクションに埋め込まれる。

この実施形態による方法は、また、取消ステップＲＳ１を含み、その取消ステップＲＳ１中、取消権限機関ＲＥＶＡは、第１のユーザ識別公開鍵に関連付けられた証明書を入手し、次いで、第１のユーザのアイデンティティＩＤｕ_１をリトリーブする。証明書は、第２のユーザ自身により、または、ユーザの本当のアイデンティティを明らかにするように取消権限機関に要請する権利を付与された管理体もしくは法執行当局などの任意の他のエンティティにより、ＲＥＶＡに送出され得る。第１のユーザの証明書は、第１のユーザにより、トランザクションが生起する前に、例えば、彼が彼の識別公開鍵を送信するときに、第２のユーザに提供され得るものであり、または、第２のユーザは、認証局からその証明書をリトリーブし得る。代替法として、証明書は、例えばＤＣ送金トランザクションに関連して、台帳上に格納され得るものであり、取消権限機関は、台帳からそれ自体でその証明書をリトリーブし得る。第１のユーザ証明書から第１のユーザアイデンティティをリトリーブするために、取消権限機関は、単に、その取消権限機関のプライベート鍵によって、暗号化された値ＥＮＣｐｋ_ＲＥＶＡ（ＩＤｕ_１）を復号すればよい。

以下の段落は、第１の実施形態の事例において、および、第１のユーザと第２のユーザとの間のトランザクションの事例において、どのように支払人、ここでは第２のユーザの匿名性が取消され得るかを説明する。

第１のユーザと第２のユーザとの間のトランザクションが生起する時間において、第２のユーザは、いくらかのデジタル通貨の所有者である。それゆえに、その第２のユーザは、第２のユーザ署名付きトークンを受信するために、上記で説明された登録段階のステップを行っている。その第２のユーザは、また、彼の第２のユーザ識別公開鍵に関する証明書を受信するために、彼の第２のユーザ署名付きトークンを認証局に送出している。デジタル通貨の所有者になるために、その第２のユーザは、分散型台帳内に格納された以前のトランザクションに参加しており、それにより、その第２のユーザは、いくらかの額のデジタル通貨の現在の所有者と考えられる。この以前のトランザクションにおいて、第２のユーザは被支払人であるので、この以前のトランザクションは、第２のユーザ識別公開鍵を含み、上記で説明した。そのような以前のトランザクションは、ＤＣ発行者とのトランザクションであって、それにより第２のユーザが発行者からＤＣを引き出した、ＤＣ発行者とのトランザクション、または、すでにいくらかのＤＣの所有者である別の登録されたユーザとのトランザクションにおける、被支払人としてのトランザクションであり得る。

加えて、第１のユーザと第２のユーザとの間のＤＣ送金トランザクションは、この以前のトランザクションへの参照を含む。

それゆえに、第２のユーザの匿名性を取消すために、第２のユーザ識別公開鍵が、この以前のトランザクションからリトリーブされ、取消権限機関（ＲＥＶＡ）は、第２のユーザ識別公開鍵に関連付けられた証明書を入手し、次いで、第２のユーザのアイデンティティ（ＩＤｕ_２）をリトリーブする。

証明書は、第１のユーザ自身により、または、ユーザの本当のアイデンティティを明らかにするように取消権限機関に要請する権利を付与された管理体もしくは法執行当局などの任意の他のエンティティにより、ＲＥＶＡに送出され得る。第２のユーザの証明書は、また、認証局から第１のユーザによりリトリーブされ得る。代替法として、証明書は、例えばＤＣ送金トランザクションに関連して、台帳上に格納され得るものであり、取消権限機関は、台帳からそれ自体でその証明書をリトリーブし得る。第２のユーザ証明書から第２のユーザアイデンティティをリトリーブするために、取消権限機関は、単に、その取消権限機関のプライベート鍵によって、暗号化された値ＥＮＣｐｋ_ＲＥＶＡ（ＩＤｕ_１）を復号すればよい。

以下の段落は、ユーザが認証局から彼らの識別公開鍵についての証明書を入手することをもはや必要としない、本発明の第２の実施形態を説明する。代わりに、取消権限機関は、登録されたユーザのリストであって、彼らの公開鍵により識別される、登録されたユーザのリストを有し、彼らの本当のアイデンティティを格納する。この実施形態において、ユーザは、彼の識別公開鍵に関する証明書がないにもかかわらず、公開鍵が取消権限機関のリストの中にあるということ、および、彼が、対応する秘密鍵を知っているということの知識のゼロ知識証明（ＺＫＰＫ）を提供することにより、そのユーザが、登録されたユーザであるということ、および、公開鍵が彼自身の識別公開鍵であるということを証明し得る。

この実施形態のステップは、図５上で示される。

より精確には、この実施形態において、第１のユーザ識別鍵ペアは、（ｕ_１，ｇ＾ｕ_１）に等しくあり得るものであり、ｕ_１は第１のユーザ識別秘密鍵であり、ｇは位数ｑの巡回群Ｇの生成元であり、ｑは整数である。同様に、ユーザｉの識別鍵ペアは、（ｕ_ｉ，ｇ＾ｕ_ｉ）に等しくあり得るものであり、ｕ_ｉはユーザ識別秘密鍵である。

取消権限機関は、ユーザの識別公開鍵を含む認可されたユーザの少なくとも１つの、任意選択で複数個のリストＬ１にアクセスでき得るものであり、Ｌ１＝ｇ＾ｕ_１、…、ｇ＾ｕ_ｎである。リストは、取消権限機関によりセットアップおよび維持され得る。代替法として、そのリストは、別のエンティティにより取消権限機関に提供され得る。認可されたユーザのリストＬ１は、ユーザであって、彼の識別公開鍵により識別される、ユーザがリストの中にあるということを、取消権限機関および登録されたユーザが検証することを可能にするために、その取消権限機関にとって、および、それらの登録されたユーザにとってアクセス可能であり得る。

取消権限機関は、また、各ユーザについて、その署名付きトークンＥＮＣｐｋ_ＲＥＶＡ（ＩＤ_Ｕｉ）と、その識別公開鍵ｇ＾ｕｉと、ユーザのアイデンティティＩＤ_Ｕｉとを含むユーザ識別リストＬ２にアクセスできるものであり、Ｌ２＝｛（ｇ＾ｕｉ，ＩＤＵｉ，ＳＩＧＮｓｋＲＡ（ｇ＾ｕｉ，ＥＮＣｐｋ_ＲＥＶＡ（ＩＤ_Ｕｉ））｝である。このリストは、プライベートであり、取消権限機関によってのみアクセス可能である。

この実施形態において、各ＤＣ送金トランザクションは、取消権限機関公開鍵（ｐｋ_ＲＥＶＡ）によって暗号化された被支払人の公開鍵を含むものとする。この値は、被支払人により計算され、支払人に送信され得る。この値は、被支払人識別公開鍵、および次いで、その被支払人の本当のアイデンティティをリトリーブするために、取消権限機関により、後で使用され得る。第１のユーザと第２のユーザとの間のトランザクションの事例において、ＤＣ送金トランザクションは、取消権限機関公開鍵ｐｋ_ＲＥＶＡによって第１のユーザ識別公開鍵を暗号化することにより生成された第１のユーザエルガマル暗号文Ｃ_１＝（ｇ＾ｕ_１）を含み得る。

この実施形態において、本発明による方法は、代替の第５の登録ステップＳＥ５’を含み、その代替の第５の登録ステップＳＥ５’中、第１のユーザは、その署名付きトークンｓ＝ＳＩＧＮ_ｓｋＲＡ（ｇ＾ｕ_１，ＥＮＣ_{ｐｋＲＥＶＡ}（ＩＤ_ｕ１））を取消権限機関に送出し；取消権限機関は、認可されたユーザリストＬ_１内に第１のユーザ識別公開鍵ｇ＾ｕ_１を記録し、その取消権限機関は、プライベートユーザ識別リストＬ_２内に第１のユーザ識別公開鍵ｇ＾ｕ_１、および、第１のユーザのアイデンティティＩＤ_ｕ１を記録する。その取消権限機関は、また、記録される第１のユーザ識別公開鍵ｇ＾ｕ_１、および、第１のユーザのアイデンティティＩＤ_ｕ１が単一のユーザに属するということの証明として、プライベートユーザ識別リストＬ_２内に署名付きトークンｓを記録し得る。

トランザクション段階は、代替の第１のトランザクションステップＳＴ１’を含み得るものであり、その代替の第１のトランザクションステップＳＴ１’中、第１のユーザは、第１のユーザ識別公開鍵を明らかにすることなく、第１のユーザエルガマル暗号文Ｃ１が、認可されたユーザのリストＬ１に属するユーザ識別公開鍵のエルガマル暗号文値であるということ、および、第１のユーザが、対応するユーザ識別プライベート鍵ｕｉを知っているということを証明する知識のゼロ知識証明ＺＫＰＫを第２のユーザに提供する。

トランザクション段階は、代替の第２のトランザクションステップＳＴ２’を含み得るものであり、その代替の第２のトランザクションステップＳＴ２’中、第２のユーザは、第１のユーザにより提供された知識のゼロ知識証明を検証する。そのような検証は、第１のユーザが別の登録されたユーザの公開識別鍵を使用していないということを確実にする。検証が成功するならば、第２のユーザは、デジタル通貨送金トランザクション内にＺＫＰＫを付加し、秘密鍵を使用してトランザクションに署名する。この実施形態において、ユーザは、彼らのトランザクションに署名するために、彼らの識別プライベート鍵以外のプライベートシグネチャ鍵を使用する。トランザクションは、次いで、分散型台帳に追加される。

この第２の実施形態による方法は、また、代替の取消ステップＲＳ１’を含み、その代替の取消ステップＲＳ１’中、第１のユーザの匿名性を取消すために、取消権限機関は、第１のユーザエルガマル暗号文Ｃ１を入手し、その第１のユーザエルガマル暗号文Ｃ１を復号し、その取消権限機関のプライベートユーザ識別リストＬ_２を使用して、第１のユーザのアイデンティティＩＤ_Ｕ１をリトリーブする。暗号文は、第２のユーザ自身により、または、ユーザの本当のアイデンティティを明らかにするように取消権限機関に要請する権利を付与された管理体もしくは法執行当局などの任意の他のエンティティにより、ＲＥＶＡに送出され得る。

以下の段落は、第２の実施形態の事例において、および、第１のユーザと第２のユーザとの間のトランザクションの事例において、どのように支払人、ここでは第２のユーザの匿名性が、また取消され得るかを説明する。

第１の実施形態においてのように、第１のユーザと第２のユーザとの間のトランザクションが生起する時間において、第２のユーザは、いくらかのデジタル通貨の所有者である。それゆえに、その第２のユーザは、第２のユーザ署名付きトークンを受信するために、上記で説明された登録段階のステップを行っている。その第２のユーザは、また、認可されたユーザリストＬ１およびプライベートユーザ識別リストＬ２に追加されることになる、彼の第２のユーザ署名付きトークンを取消権限機関に送出している。デジタル通貨の所有者になるために、その第２のユーザは、分散型台帳内に格納された以前のトランザクションに参加しており、それにより、その第２のユーザは、いくらかの額のデジタル通貨の現在の所有者と考えられる。そのような以前のトランザクションは、ＤＣ発行者とのトランザクションであって、それにより第２のユーザが発行者からＤＣを引き出した、ＤＣ発行者とのトランザクション、または、すでにいくらかのＤＣの所有者である別の登録されたユーザとのトランザクションであり得る。この以前のトランザクションにおいて、第２のユーザは被支払人であるので、この以前のトランザクションは、取消権限機関公開鍵ｐｋ_ＲＥＶＡによって第２のユーザ識別公開鍵ｇ＾ｕ_２を暗号化することにより生成された第２のユーザエルガマル暗号文Ｃ２＝ＥＮＣｐｋ_ＲＥＶＡ（ｇ＾ｕ_２）と、第２のユーザ識別公開鍵を明らかにすることなく、第２のユーザエルガマル暗号文Ｃ２が、認可されたユーザのリストＬ１に属するユーザ識別公開鍵のエルガマル暗号文値であるということ、および、第２のユーザが、対応するユーザ識別プライベート鍵ｕ２を知っているということを証明する知識のゼロ知識証明とを含み、上記で説明した。

加えて、第１のユーザと第２のユーザとの間のＤＣ送金トランザクションは、この以前のトランザクションへの参照を含む。

それゆえに、第２のユーザの匿名性を取消すために、前記取消権限機関公開鍵ｐｋ_ＲＥＶＡによって第２のユーザ識別公開鍵を暗号化することにより生成された第２のユーザエルガマル暗号文Ｃ２＝ＥＮＣｐｋ_ＲＥＶＡ（ｇ＾ｕ_２）が、取消権限機関により、前記以前のトランザクションからリトリーブされ、取得され、その取消権限機関は、その第２のユーザエルガマル暗号文Ｃ２を復号し、プライベートユーザ識別リストＬ_２から第２のユーザのアイデンティティＩＤ_Ｕ２をリトリーブする。

第２のユーザエルガマル暗号文Ｃ２＝（ｇ＾ｕ_２）は、第１のユーザ自身により、または、ユーザの本当のアイデンティティを明らかにするように取消権限機関に要請する権利を付与された管理体もしくは法執行当局などの任意の他のエンティティにより、ＲＥＶＡに送出され得る。第２のユーザエルガマル暗号文Ｃ２は、台帳から第１のユーザによりリトリーブされ得る。

取消権限機関がユーザの本当のアイデンティティをリトリーブした後、取消権限機関は、その取消権限機関が受信した証明書および／またはエルガマル暗号文に含まれる、前記取消権限機関公開鍵によって暗号化された前記ユーザのアイデンティティＩＤｕ_ｉの暗号文ＥＮＣ［ｐｋ_ＲＥＶＡ］（ＩＤ_Ｕｉ）を、その取消権限機関が正しく復号したということ；ならびにそれゆえに、その取消権限機関が、要求されたアイデンティティを正しくリトリーブしたということを証明するための知識のゼロ知識証明πを、要求するエンティティに提供し得る。この証明は、取消権限機関を認証するものである。

セキュリティを増大させるために、ユーザは、第１の実施形態の事例において、彼らの鍵、彼らのトークン、および引き続いて、彼らの識別公開鍵の証明書を定期的に新しくすることを必要とすることがある。そのようにするために、第１のユーザは、所定の数のＤＣ送金トランザクションに彼が参加した後に、登録段階のステップを再度行い得る。すべての登録されたユーザが、前述のことをしなければならないことがある。

第２の態様によれば、本発明は、また、少なくとも１つのコンピュータのメモリ内へと直接的にロード可能なコンピュータプログラム製品であって、前記製品がコンピュータ上で実行されるときに、本明細書において前に説明された方法のステップを行うためのソフトウェアコード命令を含む、コンピュータプログラム製品に関する。

第３の態様によれば、本発明は、また、本明細書において前に説明された、複数の台帳ノードを含む分散型台帳を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座をもたない複数のユーザの間での、少なくとも第１のユーザと第２のユーザとの間の、匿名性取消を伴う、セキュアな、トレース可能な、および、プライバシー保護の、デジタル通貨送金のシステム１００であって：本明細書において前に説明された方法のステップを行うように構成されるプロセッサおよびインターフェースを各々で含む、レジストレーション権限機関と、取消権限機関と、前記ノードに、前記レジストレーション権限機関に、前記取消権限機関に接続されるように構成されるユーザデバイスとを含む、システム１００に関する。

第４の態様によれば、本発明は、また、複数の台帳ノードを含む分散型台帳を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座をもたない複数のユーザの間での、少なくとも第１のユーザと第２のユーザとの間の、匿名性取消を伴う、セキュアな、トレース可能な、および、プライバシー保護の、デジタル通貨送金のシステム１００であって：本明細書において前に説明された、および、図４上で例示される、第１の実施形態による方法のステップを行うように構成されるプロセッサおよびインターフェースを各々で含む、レジストレーション権限機関と、取消権限機関と、認証局と、前記ノードに、前記レジストレーション権限機関に、前記取消権限機関に、および前記認証局に接続されるように構成されるユーザデバイスとを含む、システム１００に関する。

これらの機能に加えて、そのようなコンピュータプログラムおよびシステムは、本明細書において前に説明された任意の他の機能を行うように構成され得る、または、それらの任意の他の機能を含み得る。

結果として、そのような方法、デバイス、およびシステムは、銀行ユーザ、および、銀行口座をもたないユーザの両方が、高レベルの匿名性を伴うＤＣトランザクションを行うことを可能とし、一方で、トランザクションに参加するユーザの匿名性を取消すことを可能にする。

Claims (13)

1. 複数の台帳ノードを含む分散型台帳（１）を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座をもたない複数のユーザの間での、少なくとも第１のユーザへの第２のユーザからの、セキュアな、トレース可能な、および、匿名性取消を伴うプライバシー保護の、デジタル通貨送金のための方法であって、前記ユーザは、前記ノードに、レジストレーション権限機関（４）に、および、取消権限機関（５）に接続されるように構成されるユーザデバイス（３１、３２、…）を使用して、この台帳上にトランザクションを追加することによりデジタル通貨送金を行い、前記権限機関は、公開／プライベート鍵ペアを各々で所有する、方法であって、
   ・前記第１のユーザのユーザデバイスにより行われる登録段階であって、
   － 第１のユーザのアイデンティティ（ＩＤｕ_１）の証拠をレジストレーション権限機関に送出すること（ＳＥ１）、
   － 第１のユーザ識別公開鍵と第１のユーザ識別秘密鍵とを含む第１のユーザ識別鍵ペアを生成すること（ＳＥ２）、
   － 前記生成された第１のユーザ識別公開鍵をレジストレーション権限機関に送出すること（ＳＥ３）、
   － レジストレーション権限機関が前記証拠に基づいて第１のユーザのアイデンティティを検証した後に、レジストレーション権限機関により生成された署名付きトークンをレジストレーション権限機関から受信すること（ＳＥ４）を含み、
   前記署名付きトークンは、前記第１のユーザ識別公開鍵と、前記取消権限機関公開鍵（ｐｋＲＥＶＡ）によって暗号化された前記第１のユーザのアイデンティティ（ＩＤｕ_１）とを含むトークンに、レジストレーション権限機関秘密鍵（ｓｋＲＡ）によって署名することにより生成される、登録段階、
   ・前記第１のユーザの前記ユーザデバイスにより行われるトランザクション段階であって、
   － 分散型台帳に追加されることになるデジタル通貨送金トランザクションに前記第２のユーザとともに参加すること（ＳＴ１）を含み、
   前記署名付きトークンによって、取消権限機関が、第１のユーザのアイデンティティをリトリーブすることにより第１のユーザの匿名性を取消すことが可能になる、トランザクション段階
   を含む、方法。
2. － 前記第１のユーザが、前記署名付きトークンを認証局（６）に送出し、前記取消権限機関公開鍵（ｐｋ_ＲＥＶＡ）によって暗号化された前記第１のユーザのアイデンティティ（ＩＤｕ_１）を含む、前記第１のユーザ識別公開鍵に関する証明書を前記認証局から受信し（ＳＥ５）、
   － 前記第１のユーザが、彼の第１のユーザ識別公開鍵を第２のユーザに送出し（ＳＴ１）、次いで彼の第１のユーザ識別公開鍵は前記デジタル通貨送金トランザクションに含められ、
   － 第１のユーザの匿名性を取消すために、取消権限機関（５）が、第１のユーザ識別公開鍵に関連付けられた証明書を入手し、第１のユーザのアイデンティティ（ＩＤｕ_１）をリトリーブする、
   請求項１に記載の方法。
3. ・第２のユーザ（３２）が、第２のユーザ署名付きトークンを受信するために、請求項１に記載の登録段階のステップを行っており、第２のユーザ識別公開鍵に関する証明書を受信するために、前記第２のユーザ署名付きトークンを認証局（６）に送出しており、分散型台帳（１）内に格納された以前のトランザクションに参加しており、それにより、第２のユーザが、ある額のデジタル通貨の現在の所有者と考えられ、前記以前のトランザクションが、第２のユーザ識別公開鍵を含み、
   ・前記第１のユーザと第２のユーザとの間のデジタル通貨送金トランザクションが、前記以前のトランザクションへの参照を含み、
   第２のユーザの匿名性を取消すために、第２のユーザ識別公開鍵が、前記以前のトランザクションからリトリーブされ、取消権限機関（５）が、第２のユーザ識別公開鍵に関連付けられた証明書を入手し、第２のユーザのアイデンティティ（ＩＤｕ_２）をリトリーブする、
   請求項１または２に記載の方法。
4. ・前記第１のユーザ識別鍵ペアが、（ｕ_１，ｇ＾ｕ_１）に等しく、ｕ_１が第１のユーザ識別秘密鍵であり、ｇが位数ｑの巡回群Ｇの生成元であり、ｑが整数であり、
   ・取消権限機関が、取消権限機関および登録されたユーザにとってアクセス可能である、ユーザの識別公開鍵を含む認可されたユーザの少なくとも１つのリスト（Ｌ_１）、ならびに、取消権限機関にとってのみアクセス可能な、および、各ユーザについて、その署名付きトークンと、その識別公開鍵と、ユーザのアイデンティティとを含む、プライベートユーザ識別リスト（Ｌ_２）にアクセスでき、
   ・前記第１のユーザと第２のユーザとの間のデジタル通貨送金トランザクションが、前記取消権限機関公開鍵（ｐｋ_ＲＥＶＡ）によって第１のユーザ識別公開鍵を暗号化することにより生成された第１のユーザエルガマル暗号文（Ｃ_１）を含み、
   － 前記第１のユーザが、その署名付きトークンを取消権限機関に送出し（ＳＥ５’）、
   － 前記取消権限機関が、認可されたユーザリスト（Ｌ_１）内に第１のユーザ識別公開鍵を、ならびに、プライベートユーザ識別リスト（Ｌ_２）内に署名付きトークン、第１のユーザ識別公開鍵、および、第１のユーザのアイデンティティを記録し（ＳＥ５’）、
   － 第１のユーザが、知識のゼロ知識証明（ＺＫＰＫ）を第２のユーザに提供し（ＳＴ１’）、知識のゼロ知識証明は、第１のユーザ識別公開鍵を明らかにすることなく、第１のユーザエルガマル暗号文（Ｃ１）が、認可されたユーザのリストに属するユーザ識別公開鍵のエルガマル暗号文値であるということ、および、第１のユーザが、対応するユーザ識別プライベート鍵を知っているということを証明し、
   － 第２のユーザが、第１のユーザにより提供された知識のゼロ知識証明を検証し（ＳＴ２’）、分散型台帳に追加されるデジタル通貨送金トランザクション内にそれを付加し、
   － 第１のユーザの匿名性を取消すために、取消権限機関が、第１のユーザエルガマル暗号文（Ｃ１）を入手し、そのプライベートユーザ識別リスト（Ｌ_２）を使用して、第１のユーザのアイデンティティ（ＩＤ_Ｕ１）をリトリーブする（ＲＳ１’）、
   請求項１に記載の方法。
5. ・第２のユーザ（３２）が、第２のユーザ署名付きトークンを受信するために、請求項１に記載の登録段階のステップを行っており、前記第２のユーザ署名付きトークンを取消権限機関に送出しており、分散型台帳内に格納された以前のトランザクションに参加しており、それにより、第２のユーザが、ある額のデジタル通貨の現在の所有者と考えられ、
   ・前記第１のユーザと第２のユーザとの間のＤＣ送金トランザクションが、前記以前のトランザクションへの参照を含み、前記以前のトランザクションが、前記取消権限機関公開鍵（ｐｋ_ＲＥＶＡ）によって第２のユーザ識別公開鍵を暗号化することにより生成された第２のユーザエルガマル暗号文（Ｃ２）と、知識のゼロ知識証明とを含み、知識のゼロ知識証明は、第２のユーザ識別公開鍵を明らかにすることなく、第２のユーザエルガマル暗号文（Ｃ２）が、認可されたユーザのリストに属するユーザ識別公開鍵のエルガマル暗号文値であるということ、および、第２のユーザが、対応するユーザ識別プライベート鍵を知っているということを証明し、
   第２のユーザの匿名性を取消すために、前記取消権限機関公開鍵（ｐｋ_ＲＥＶＡ）によって第２のユーザ識別公開鍵を暗号化することにより生成された第２のユーザエルガマル暗号文（Ｃ２）が、第２のユーザのアイデンティティ（ＩＤ_Ｕ２）をリトリーブする取消権限機関により、前記以前のトランザクションからリトリーブされ、取得される、
   請求項４に記載の方法。
6. 取消権限機関が、その取消権限機関が第１のユーザのアイデンティティを正しくリトリーブしたということを証明するための知識のゼロ知識証明（ＺＫＰＫ）を提供する、請求項１から５のいずれか一項に記載の方法。
7. 取消権限機関が、証明書に含まれる前記取消権限機関公開鍵によって暗号化された前記第１のユーザのアイデンティティ（ＩＤｕ_１）の暗号文を取消権限機関が正しく復号したということを証明する知識のゼロ知識証明を提供する、請求項１から３のいずれか一項に記載の方法。
8. 取消権限機関が、デジタル通貨送金トランザクションに含まれるエルガマル暗号文、および、署名付きトークンに含まれる前記取消権限機関公開鍵によって暗号化された前記第１のユーザのアイデンティティ（ＩＤｕ_１）の暗号文の両方を取消権限機関が正しく復号したということを証明する知識のゼロ知識証明を提供する、請求項４または５に記載の方法。
9. 第１のユーザが、所定の数のデジタル通貨送金トランザクションに彼が参加した後に、請求項１に記載の登録段階のステップを再度行う、請求項１から８のいずれか一項に記載の方法。
10. 取消権限機関が、認可されたユーザの複数個のリストにアクセスできる、請求項５から９のいずれか一項に記載の方法。
11. 少なくとも１つのコンピュータのメモリ内へと直接的にロード可能なコンピュータプログラム製品であって、前記コンピュータプログラム製品が少なくとも１つのコンピュータ上で実行されるときに、請求項１から１０のいずれか一項に記載のステップを行うためのソフトウェアコード命令を含む、コンピュータプログラム製品。
12. 複数の台帳ノードを含む分散型台帳を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座をもたない複数のユーザの間での、少なくとも第１のユーザと第２のユーザとの間の、匿名性取消を伴う、セキュアな、トレース可能な、および、プライバシー保護の、デジタル通貨送金のシステム（１００）であって、請求項１から９のいずれか一項に記載のステップを行うように構成されるプロセッサ（２０１）およびインターフェース（２０７）を各々で含む、レジストレーション権限機関と、取消権限機関と、前記ノードに、前記レジストレーション権限機関に、前記取消権限機関に接続されるように構成されるユーザデバイスとを含む、システム（１００）。
13. 複数の台帳ノードを含む分散型台帳を使用することによる、銀行口座をもつ複数のユーザ、および、銀行口座をもたない複数のユーザの間での、少なくとも第１のユーザと第２のユーザとの間の、匿名性取消を伴う、セキュアな、トレース可能な、および、プライバシー保護の、デジタル通貨送金のシステム（１００）であって、請求項２または３に記載のステップを行うように構成されるプロセッサ（２０１）およびインターフェース（２０７）を各々で含む、レジストレーション権限機関と、取消権限機関と、認証局と、前記ノードに、前記レジストレーション権限機関に、前記取消権限機関に、および前記認証局に接続されるように構成されるユーザデバイスとを含む、システム（１００）。

Images