JP2001209308A - 一括署名方法 - Google Patents

Abstract

(57)【要約】 【課題】 認証や署名において、検証情報の通信量を削
減するとともに、複数の秘密鍵を１回の演算で検証でき
るようにする。 【解決手段】 証明者１は、前情報ｘ＝ｇ^r modｐ
（ｒ：乱数）を計算して検証者に送信する。検証者３
は、乱数ｅを証明者に送信する。証明者１は、検証情報
ｙ＝ｒ＋(ｓ₁＋ｓ₂＋ｓ₃)×ｅ modｑ（ｓ₁〜ｓ₃：秘密
鍵）を計算して検証３者に送信する。検証者３は、検証
式ｘ＝ｇ^y×(ｖ₁×ｖ₂×ｖ₃)^e modｐ（ｖ₁〜ｖ₃：公開
鍵）を検算する。秘密鍵と公開鍵が正しく対応すれば、
検証式が成立する。検証者３が複数の公開鍵をまとめて
検証するので、1回分の認証のベキ乗剰余演算回数で、
複数の秘密鍵を検証できる。検証情報の通信量も削減で
きる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、一括署名方法に関
し、特に、１回の検証で証明者の複数の秘密鍵を認証す
る一括署名方法に関する。

【０００２】

【従来の技術】従来の認証方式としては、Schnorr認証
法（詳細は、「HANDBOOK of APPLIED CRYPTOGRAPHY」Me
nezes，van Oorschot，Vanstone 共著，CRC出版，pp414
-416を参照）や、岡本龍明認証法（詳細は、「現代暗
号」岡本龍明，山本博資 共著，産業図書，pp160-pp161
の「離散対数問題に基づく認証」を参照）が知られてい
る。前者は演算量の少なさから、後者は安全性の高さか
ら非常に優れている。図８に、一対一の通信システムに
おけるSchnorr認証法を示す。図９に、一対一通信シス
テムにおける岡本龍明認証法を示す。

【０００３】ところで、会社などでは、社員は、複数の
グループ(プロジェクトチーム、課、部など)に所属する
ため、複数の秘密鍵を持つことが多い。このように、証
明者が複数の秘密鍵を所有し、それに対応する複数の公
開鍵がある場合には、従来のSchnorr認証やＤＳＡ署名
などの通常の離散対数問題系の認証方式や署名方式で
は、それぞれの秘密鍵と公開鍵の組の数だけ検証を行っ
て、すべての秘密鍵が正しいことを確認する。（ＤＳＡ
署名については、岡本、山本著「現代暗号」（産業図書
1997年）pp.179-180を参照）

【０００４】

【発明が解決しようとする課題】しかし、上記従来のSc
hnorr認証やＤＳＡ署名はベキ乗剰余演算を含むため、
複数回の検証にはある程度の時間が必要となる。したが
って、認証する秘密鍵が非常に多い場合には、演算時間
が大きくなるという問題がある。また、通信量も検証の
回数に依存して増加するという問題がある。

【０００５】本発明は、上記従来の問題を解決して、検
証者は、証明者の複数の秘密鍵を1回の演算で検証でき
るようにすることを目的とする。

【０００６】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、証明者と検証者と通信路とからなる
検証システムの検証方法を、大きな素数をｐ，ｑ（ｑ|
ｐ−１）とし、乗法群Ｚ_p ^*での位数がｑとなるＧＦ(ｐ)
の元をｇとして、証明者は、ｎ（ｎ≧２）個の任意の整
数ｓ_i（１≦ｓ_i≦ｑ−１：１≦ｉ≦ｎ）を秘密鍵として
秘密に保管し、 ｖ_i＝ｇ^-si modｐ（１≦ｉ≦ｎ） を公開鍵として公開し、検証者による認証を受ける場合
に、 (1)証明者は、乱数ｒ（１≦ｒ≦ｑ−１）を選んで前情
報 ｘ＝ｇ^r modｐ を計算して検証者に通信路を介して送信し、 (2)検証者は、前情報ｘを受信してから、乱数ｅ（１≦
ｅ＜ｑ）を選んで証明者に通信路を介して送信し、 (3)証明者は、乱数ｅを受信してから、検証情報 ｙ＝ｒ＋(ｓ₁＋ｓ₂＋…＋ｓ_n)×ｅ modｑ を計算して検証者に通信路を介して送信し、 (4)検証者は、検証情報ｙを受信してから、検証式 ｇ^y×(ｖ₁×ｖ₂×…×ｖ_n)^e modｐ＝ｘ が成り立つか否か検算し、成り立つ場合には証明者の全
ての秘密鍵を正当であると判断し、成り立たない場合に
は不正な秘密鍵が存在すると判断する構成とした。

【０００７】このように構成したことにより、予め証明
者側において複数の検証情報をまとめた検証情報を作成
して検証情報の通信量を削減できる。さらに、検証時に
検証者が複数の公開鍵をまとめて検証することで、検証
回数によらずベキ乗剰余演算の回数を一定回数に保つこ
とができる。

【０００８】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図１〜図７を参照しながら詳細に説明する。

【０００９】（第１の実施の形態）本発明の第１の実施
の形態は、複数のSchnorr認証の検証情報を１つにまと
めた認証方法である。

【００１０】図１は、本発明の第１の実施の形態におけ
る認証方法の手順を示す流れ図である。図１において、
証明者１は、秘密鍵により本人であることを証明しよう
とする者である。通信路２は、無線または有線の通信路
である。検証者３は、公開鍵の示す者と証明者が一致す
るか否かを検証する者である。ステップ１は、前情報の
送信段階である。ステップ２は、乱数の返送段階であ
る。ステップ３は、検証情報の送信段階である。ステッ
プ４は、検証段階である。

【００１１】上記のように構成された本発明の第１の実
施の形態における認証方法の手順を説明する。最初に、
準備段階を説明する。大きな素数をｐとする。大きな素
数とは、離散対数問題を解くことが事実上不可能な程度
に大きな素数であるという意味である。（ｐ−１）の素
因数をｑとする。乗法群Ｚ_p ^*での位数がｑとなるＧＦ
(ｐ)の元をｇとする。すなわち、ＧＦ(ｐ)の元の集合 Ｚ_p ^*＝｛１,２,・・・,ｐ−１｝ は、当然ＧＦ(ｐ)上の乗法に関して群を成すから、ＧＦ
(ｐ)の元のうち、乗法群における位数がｑとなるｇを選
ぶと、 ｇ^q mod p＝１ ｇ^q' mod p≠１(１≦ｑ'≦ｑ−１) を満たす。

【００１２】証明者は、３個の任意の整数ｓ_i（１≦ｓ_i
≦ｑ−１：１≦ｉ≦３）を秘密鍵として秘密に保管す
る。公開鍵として ｖ_i＝ｇ^-si modｐ（１≦ｉ≦３） を公開する。

【００１３】次に、ステップ１を説明する。証明者は、
乱数ｒ（１≦ｒ≦ｑ−１）を選んで、前情報 ｘ＝ｇ^r modｐ を計算して検証者に送信する。

【００１４】ステップ２で、検証者は、乱数ｅ（１≦ｅ
≦ｑ−１）を選んで証明者に送信する。

【００１５】ステップ３で、証明者は、検証情報 ｙ＝ｒ＋(ｓ₁＋ｓ₂＋ｓ₃)×ｅ modｑ を計算して検証者に送信する。

【００１６】ステップ４で、検証者は、検証式 ｘ＝ｇ^y×(ｖ₁×ｖ₂×ｖ₃)^e modｐ を検算する。秘密鍵と公開鍵が正しく対応すれば、 ｇ^y×(ｖ₁×ｖ₂×ｖ₃)^e modｐ ＝ｇ^{ｒ＋(ｓ₁＋ｓ₂＋ｓ₃)×ｅ modｑ} ×(ｇ^-s1×ｇ^-s2×ｇ^-s3)^emodｐ ＝ｇ^{ｒ＋(ｓ₁＋ｓ₂＋ｓ₃)×ｅ−(ｓ₁＋ｓ₂＋ｓ₃)×ｅ} modｐ ＝ｇ^r modｐ＝ｘ となる。したがって、検証式が成り立つ場合には証明者
の全ての秘密鍵を正当であると判断する。成り立たない
場合には、不正な秘密鍵が存在すると判断する。

【００１７】上記のように、本発明の第１の実施の形態
では、認証方法を、複数のSchnorr認証の検証情報を１
つにまとめて認証する方法としてので、１回分のSchnor
r認証のベキ乗剰余演算回数と通信量で、複数の秘密鍵
を検証できる。また、単に複数の秘密鍵を一つの秘密鍵
として扱うように拡張した方式のため、安全性は元の方
式に等しい。

【００１８】（第２の実施の形態）本発明の第２の実施
の形態は、複数の岡本龍明認証の検証情報を１つにまと
めた認証方法である。

【００１９】第２図は、本発明の第２の実施の形態にお
ける認証方法の手順を示した流れ図である。図２におい
て、証明者１は、秘密鍵により本人であることを証明し
ようとする者である。通信路２は、無線または有線の通
信路である。検証者３は、公開鍵の示す者と証明者が一
致するか否かを検証する者である。ステップ１は、前情
報の送信段階である。ステップ２は、乱数の返送段階で
ある。ステップ３は、検証情報の送信段階である。ステ
ップ４は、検証段階である。

【００２０】上記のように構成された本発明の第２の実
施の形態における認証方法の手順を説明する。最初に、
準備段階を説明する。大きな素数をｐとする。（ｐ−
１）の素因数をｑとする。乗法群Ｚ_p ^*での位数がｑとな
るＧＦ(ｐ)の元をｇ₁，ｇ₂とする。証明者は、任意の整
数ｓ_i（１≦ｓ_i≦ｑ−１：１≦ｉ≦３）と、任意の整数
ｔ_i（１≦ｔ_i≦ｑ−１：１≦ｉ≦３）を秘密鍵として秘
密に保管する。公開鍵として ｖ_i＝ｇ₁ ^siｇ₂ ^ti modｐ（１≦ｉ≦３） を公開する。

【００２１】次に、ステップ１を説明する。証明者は、
乱数ｒ₁とｒ₂（１≦ｒ₁，ｒ₂≦ｑ−１）を選んで、前情
報 ｘ＝ｇ₁ ^r1ｇ₂ ^r2 modｐ を計算して検証者に送信する。

【００２２】ステップ２で、検証者は、ｆ（ｆ＝O
(ｐ)）ビットの乱数ｅを選んで、証明者に送信する。

【００２３】ステップ３で、証明者は、検証情報 ｙ₁＝ｒ₁＋(ｓ₁＋ｓ₂＋ｓ₃)×ｅ modｑ ｙ₂＝ｒ₂＋(ｔ₁＋ｔ₂＋ｔ₃)×ｅ modｑ を計算して検証者に送信する。

【００２４】ステップ４で、検証者は、検証式 ｇ^y1ｇ^y2＝ｘ×(ｖ₁×ｖ₂×ｖ₃)^e modｐ を検算する。秘密鍵と公開鍵が正しく対応すれば検証式
が成り立つ。したがって、検証式が成り立つ場合には、
証明者の全ての秘密鍵を正当であると判断する。成り立
たない場合には、不正な秘密鍵が存在すると判断する。

【００２５】上記のように、本発明の第２の実施の形態
では、認証方法を、複数の岡本龍明認証の検証情報を１
つにまとめて認証する方法としてので、１回分の岡本龍
明認証のベキ乗剰余演算回数と通信量で、複数の秘密鍵
を検証できる。また、単に複数の秘密鍵を一つの秘密鍵
として扱うように拡張した方式のため、安全性は元の方
式に等しい。

【００２６】（第３の実施の形態）本発明の第３の実施
の形態は、複数のＤＳＡ署名の署名情報を１つにまとめ
た署名方法である。

【００２７】図３は、本発明の第３の実施の形態におけ
る署名方法の手順を示す流れ図である。図３において、
証明者１は、秘密鍵により本人であることを証明しよう
とする者である。通信路２は、無線または有線の通信路
である。検証者３は、公開鍵の示す者と証明者が一致す
るか否かを検証する者である。ステップ１は、送信段階
である。ステップ２は、検証段階である。

【００２８】上記のように構成された本発明の第３の実
施の形態における署名方法の手順を説明する。最初に、
準備段階を説明する。大きな素数をｐとする。（ｐ−
１）の素因数をｑとする。乗法群Ｚ_p ^*での位数がｑとな
るＧＦ(ｐ)の元をｇとする。証明者は、任意の整数ｘ_i
（１≦ｘ_i≦ｑ−１：１≦ｉ≦３）を秘密鍵として秘密
に保管する。公開鍵として、 ｙ_i＝ｇ^xi modｐ（１≦ｉ≦ｎ） を公開する。証明者と検証者はハッシュ関数ｈ( )を利
用できる。

【００２９】次に、ステップ１を説明する。証明者は、
平文ｍに対して、乱数ｋ（１≦ｋ≦ｑ−１）を選んで、
署名 Ｒ＝(ｇ^k modｐ) modｑ Ｓ＝(ｈ(ｍ)＋(ｘ₁＋ｘ₂＋ｘ₃)×Ｒ)／ｋ modｑ を計算して平文ｍと共に検証者に送信する。

【００３０】ステップ２で、検証者は、検証式 Ｒ＝(ｇ^{h(m)/S mod q}×(ｙ₁×ｙ₂×ｙ₃)^{R/S mod q} mod
ｐ) modｑ を検算する。署名と公開鍵が正しく対応すれば、 (ｇ^{ｈ(ｍ)／Ｓ mod q}×ｇ^{(ｘ₁＋ｘ₂＋ｘ₃)×Ｒ／
Ｓ mod q} mod p) mod q＝(ｇ^{ｋ×Ｓ／Ｓ mod q} mod
p) mod q＝Ｒ となるので、検証式が成り立つ場合には、平文ｍの署名
に用いられた証明者の全ての秘密鍵を正当であると判断
する。成り立たない場合には、不正な秘密鍵が存在する
または成りすましまたは改ざんが行なわれたと判断す
る。

【００３１】上記のように、本発明の第３の実施の形態
では、署名方法を、複数のＤＳＡ署名の署名情報を１つ
にまとめて署名する方法としたので、検証者のべき乗剰
余演算回数が、認証する秘密鍵の個数に依存しない。

【００３２】（第４の実施の形態）本発明の第４の実施
の形態は、複数のSchnorr署名の署名情報を１つにまと
めた署名方法である。

【００３３】図４は、本発明の第４の実施の形態におけ
る署名方法の手順を示す流れ図である。図４において、
証明者１は、秘密鍵により本人であることを証明しよう
とする者である。通信路２は、無線または有線の通信路
である。検証者３は、公開鍵の示す者と証明者が一致す
るか否かを検証する者である。ステップ１は、送信段階
である。ステップ２は、検証段階である。

【００３４】上記のように構成された本発明の第４の実
施の形態における署名方法の手順を説明する。最初に、
準備段階を説明する。大きな素数をｐとする。（ｐ−
１）の素因数をｑとする。乗法群Ｚ_p ^*での位数がｑとな
るＧＦ(ｐ)の元をｇとする。証明者は、任意の整数ｘ_i
（１≦ｘ_i≦ｑ−１：１≦ｉ≦３）を秘密鍵として秘密
に保管する。公開鍵として、 ｙ_i＝ｇ^-xi modｐ（１≦ｉ≦３） を公開する。証明者と検証者は、ｑ以下の値を出力する
ハッシュ関数ｈ( )を利用できる。

【００３５】次に、ステップ１を説明する。証明者は、
平文ｍに対して、乱数ｋ（１≦ｋ≦ｑ−１）を選んで署
名 Ｒ＝ｈ(ｇ^k modｐ，ｍ) Ｓ＝ｋ＋(ｘ₁＋ｘ₂＋ｘ₃)×Ｒ modｑ を計算して平文ｍと共に検証者に送信する。

【００３６】ステップ２で、検証者は、検証式 Ｒ＝ｈ(ｇ^S×(ｙ₁×ｙ₂×ｙ₃)^R modｐ，ｍ) を検算する。署名と公開鍵が正しく対応すれば、 ｈ(ｇ^S×(ｙ₁×ｙ₂×ｙ₃)^R modｐ，ｍ)＝ｈ(ｇ^{ｋ＋
(ｘ₁＋ｘ₂＋ｘ₃)×Ｒ modｑ}×ｇ^{−(ｘ₁＋ｘ₂＋ｘ₃)
×Ｒ modｑ} mod p，ｍ）＝ｈ(ｇ^k modｐ，ｍ)＝Ｒ となるので、検証式が成り立つ場合には、平文ｍの署名
に用いられた証明者の全ての秘密鍵を正当であると判断
する。成り立たない場合には、不正な秘密鍵が存在する
または成りすましまたは改ざんが行なわれたと判断す
る。

【００３７】同様な方法で、Nyberg-Rueppe回復型署名
に適用することもできる。（Nyberg-Rueppe回復型署名
については、Menezes, van Oorschot, Vanstone著「HAN
DBOOKof APPLIED CRYPTOGRAPHY」（CRC出版）pp.460-46
2を参照）すなわち、図５に示すように、準備段階にお
いて、証明者１は、３個の任意の整数ｘ_i（１≦ｘ_i≦ｑ
−１：１≦ｉ≦３）を秘密鍵として秘密に保管する。２
個以上であればいくつでもよい。

【００３８】ｙ_i＝ｇ^ｘ_i modｐ（１≦ｉ≦３） を公開鍵として公開する。

【００３９】ステップ１において、検証者３にメッセー
ジｍを送る場合に、証明者１は平文ｍに対して、乱数ｋ
（１≦ｋ≦ｑ−１）を選んで署名 Ｒ＝ｍ×ｇ^ｋ modｐ Ｓ＝(ｘ₁＋ｘ₂＋ｘ₃)×Ｒ＋ｋ modｑ を計算して検証者３に通信路２を介して送信する。

【００４０】ステップ２において、検証者３は、検証式 ｍ'＝(ｇ^Ｓ)×{(ｙ₁×ｙ₂×ｙ₃)^(−Ｒ)}×Ｒ modｐ により平文ｍ’を計算する。署名に対して改ざんおよび
成りすましが行われていなければ、 ｍ＝ｍ’ となる。

【００４１】上記のように、本発明の第４の実施の形態
では、署名方法を、複数のSchnorr署名の署名情報を１
つにまとめて署名する方法としたので、検証者のべき乗
剰余演算回数が、認証する秘密鍵の個数に依存しない。

【００４２】（第５の実施の形態）本発明の第５の実施
の形態は、ＩＣカードの複数の検証情報を１つにまとめ
て認証サーバで認証する認証方法である。

【００４３】図６は、本発明の第５の実施の形態におけ
る認証方法の手順を示す流れ図である。図６において、
ＩＣカード４は、秘密鍵により真正であることを証明し
ようとするカードである。通信路２は、無線または有線
の通信路である。認証サーバ５は、公開鍵の示すカード
とＩＣカードが一致するか否かを検証する者である。ス
テップ１は、前情報の送信段階である。ステップ２は、
乱数の返送段階である。ステップ３は、検証情報の送信
段階である。ステップ４は、検証段階である。

【００４４】上記のように構成された本発明の第５の実
施の形態における認証方法の手順を説明する。最初に、
準備段階を説明する。大きな素数をｐとする。（ｐ−
１）の素因数をｑとする。乗法群Ｚ_p ^*での位数がｑとな
るＧＦ(ｐ)の元をｇとする。ＩＣカード４には、個人秘
密鍵ｘ₁と、主任秘密鍵ｘ₂と、部秘密鍵ｘ₃が秘密に格
納されている。認証サーバ５は、個人公開鍵 ｙ₁＝ｇ^(-ｘ₁) mod p と、主任公開鍵 ｙ₂＝ｇ^(-ｘ₂) mod p と、部公開鍵 ｙ₃＝ｇ^(-ｘ₃) mod p を保持している。

【００４５】次に、ステップ１を説明する。ＩＣカード
は、乱数ｋ（１≦ｋ≦ｑ−１）を選んで、前情報 ｒ＝ｇ^k modｐ を計算して認証サーバ５に通信路２を介して送信する。

【００４６】ステップ２で、認証サーバ５は、乱数ｅ
（１≦ｅ≦ｑ−１）を選んでＩＣカード４に送信する。

【００４７】ステップ３で、ＩＣカードは、検証情報 ｓ＝ｒ＋(ｘ₁＋ｘ₂＋ｘ₃)×ｅ modｑ を計算して認証サーバに送信する。

【００４８】ステップ４で、認証サーバは、検証式 ｒ＝ｇ^s×(ｙ₁×ｙ₂×ｙ₃)^e modｐ を検算する。秘密鍵と公開鍵が正しく対応すれば、検証
式が成り立つ。したがって、検証式が成り立つ場合には
ＩＣカードの全ての秘密鍵を正当であると判断する。成
り立たない場合には、不正な秘密鍵が存在すると判断す
る。

【００４９】その他の認証方法を利用する場合も、同様
に適用できる。また、署名についても、ほぼ同様にして
実現できることは、当業者には明らかである。

【００５０】上記のように、本発明の第５の実施の形態
では、認証方法を、ＩＣカードの複数の検証情報を１つ
にまとめて認証サーバで認証する方法としたので、社内
の組織変更があっても、対象者のＩＣカードの秘密鍵の
みを変更することで容易に対応できる。

【００５１】（第６の実施の形態）本発明の第６の実施
の形態は、検証式が不成立の場合に２分探索法により不
正鍵を検索する認証方法である。

【００５２】図７は、本発明の第６の実施の形態におけ
る認証方法の手順を示す流れ図である。図７において、
ステップ１は、全体の公開鍵の検証処理である。ステッ
プ２は、公開鍵１〜４の検証処理である。ステップ３
は、公開鍵１、２の検証処理である。ステップ４は、公
開鍵１の検証処理である。ステップ５は、公開鍵１の不
正検出処理である。ステップ６は、公開鍵５、６の検証
処理である。ステップ７は、公開鍵７の検証処理であ
る。ステップ８は、公開鍵５の検証処理である。ステッ
プ９は、公開鍵３の検証処理である。

【００５３】上記のように構成された本発明の第６の実
施の形態における署名方法の手順を説明する。検証者
は、検証式 ｘ＝ｇ^y(ｖ₁×ｖ₂×…×ｖ_n)^e modｐ が成り立つか否かを検証する。検証式が成り立たない場
合は、全公開鍵を半数ずつのグループに分けて検証を行
い、成り立たない方のグループを半数ずつのグループに
分けて検証を行うことを、不正鍵に対応する公開鍵が特
定できるまで繰り返す。

【００５４】２分探索法に類似の方法による不正鍵に対
応する公開鍵の効率的な特定方法を、公開鍵数が８個の
場合を例として説明する。

【００５５】ステップ１：検証者は、次の検証式 ｘ＝ｇ^y(ｖ₁×ｖ₂×ｖ₃×ｖ₄×ｖ₅×ｖ₆×ｖ₇×ｖ₈)^e modｐ -(1) が成り立つか否かを検証する。

【００５６】ステップ２：（１）式が不成立ならば公開
鍵を１〜４と５〜８のグループに分けて、 ｘ＝ｇ^y(ｖ₁×ｖ₂×ｖ₃×ｖ₄)^e modｐ -(2) ｘ＝ｇ^y(ｖ₅×ｖ₆×ｖ₇×ｖ₈)^e modｐ -(3) 同様に検証を行う。

【００５７】ステップ３：（２）式が成立しない場合に
は、１〜２と３〜４にグループ分けて、 ｘ＝ｇ^y(ｖ₁×ｖ₂)^e modｐ -(4) ｘ＝ｇ^y(ｖ₃×ｖ₄)^e modｐ -(5) 同様に検証を行う。

【００５８】ステップ４：（４）式が成立しない場合に
は、１と２に関してそれぞれ同様に、 ｘ＝ｇ^y ｖ₁ ^e modｐ -(6) ｘ＝ｇ^y ｖ₂ ^e modｐ -(7) 検証を行う。

【００５９】ステップ５：（６）式が成立しない場合に
は、不正鍵に対応する公開鍵はｖ₁であると特定でき
る。

【００６０】検証者と証明者からなる検証システムにお
いて、本実施の形態とSchnorr認証法の不正鍵に対応す
る公開鍵を特定するために必要な検証者のベキ乗剰余演
算の回数を、公開鍵の総数をｎとして比較する。

【００６１】不正鍵が存在しないことを検証する場合
は、本実施の形態では常に２回で一定であるのに対し、
Schnorr認証法の場合には２×ｎ回のベキ乗剰余演算が
必要となる。例えば、ｎ＝256台ならば、本実施の形態
では２回であるのに対し、Schnorr認証法では512回のベ
キ乗剰余演算が必要となる。

【００６２】本実施の形態の場合には、不正鍵に対応す
る公開鍵を特定するためには、さらにベキ乗剰余演算が
４×log₂ｎ回必要である。例えば、ｎ＝256台ならば、
本発明では32回となるので、上記の２回との合計で34回
となり、512回必要であるSchnorr認証法より効率的であ
る。

【００６３】実際は、不正鍵が存在する場合の方が少な
いので、存在確認のみならば、ベキ乗剰余演算２回で検
証可能な本実施の形態の方が、不正鍵の存在に関わらず
常に検証に２×ｎ回必要なSchnorr認証法に比べて実用
上はさらに効率的である。

【００６４】その他の認証方法を利用する場合も、同様
に適用できる。また、署名についても、ほぼ同様にして
実現できることは、当業者には明らかである。

【００６５】上記のように、本発明の第６の実施の形態
では、認証方法を、検証式が不成立の場合に２分探索法
により不正鍵を検索する方法としたので、全ての鍵を個
別に検索するより効率的に検索できる。

【００６６】

【発明の効果】以上の説明から明らかなように、本発明
では、証明者と検証者と通信路とからなる検証システム
の検証方法を、大きな素数をｐ，ｑ（ｑ|ｐ−１）と
し、乗法群Ｚ_p ^*での位数がｑとなるＧＦ(ｐ)の元をｇと
して、証明者は、ｎ（ｎ≧２）個の任意の整数ｓ_i（１
≦ｓ_i≦ｑ−１：１≦ｉ≦ｎ）を秘密鍵として秘密に保
管し、 ｖ_i＝ｇ^-si modｐ（１≦ｉ≦ｎ） を公開鍵として公開し、検証者による認証を受ける場合
に、(1)証明者は、乱数ｒ（１≦ｒ≦ｑ−１）を選んで
前情報 ｘ＝ｇ^r modｐ を計算して検証者に通信路を介して送信し、(2)検証者
は、前情報ｘを受信してから、乱数ｅ（１≦ｅ＜ｑ）を
選んで証明者に通信路を介して送信し、(3)証明者は、
乱数ｅを受信してから、検証情報 ｙ＝ｒ＋(ｓ₁＋ｓ₂＋…＋ｓ_n)×ｅ modｑ を計算して検証者に通信路を介して送信し、(4)検証者
は、検証情報ｙを受信してから、検証式 ｇ^y×(ｖ₁×ｖ₂×…×ｖ_n)^e modｐ＝ｘ が成り立つか否か検算し、成り立つ場合には証明者の全
ての秘密鍵を正当であると判断し、成り立たない場合に
は不正な秘密鍵が存在すると判断する構成としたので、
複数の検証情報をまとめた検証情報を作成して検証情報
の通信量を削減できるとともに、検証時に検証者が複数
の公開鍵をまとめて検証することで、検証回数によらず
ベキ乗剰余演算の回数を一定回数に保つことができると
いう効果が得られる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態における認証方法の
手順を示す流れ図、

【図２】本発明の第２の実施の形態における認証方法の
手順を示す流れ図、

【図３】本発明の第３の実施の形態における署名方法の
手順を示す流れ図、

【図４】本発明の第４の実施の形態における署名方法の
手順を示す流れ図、

【図５】本発明の第４の実施の形態における別の署名方
法の手順を示す流れ図、

【図６】本発明の第５の実施の形態における認証方法の
手順を示す流れ図、

【図７】本発明の第６の実施の形態における認証方法の
手順を示す流れ図、

【図８】従来のSchnorr認証法の手順を示す流れ図、

【図９】従来の岡本龍明認証法の手順を示す流れ図であ
る。

【符号の説明】

１ 証明者 ２ 通信路 ３ 検証者 ４ ＩＣカード ５ 認証サーバ

フロントページの続き (72)発明者 松崎 なつめ 神奈川県横浜市港北区新横浜三丁目20番地 ８ 株式会社高度移動通信セキュリティ技 術研究所内 Ｆターム(参考） 5J104 AA07 JA23 JA29 KA05 KA06 KA08 NA02 NA18 NA35

Claims (9)

【特許請求の範囲】
1. 【請求項１】 証明者と検証者と通信路とからなる検証
   システムの検証方法において、大きな素数をｐ，ｑ（ｑ
   |ｐ−１）とし、乗法群Ｚ_p ^*での位数がｑとなるＧＦ
   (ｐ)の元をｇとして、前記証明者は、ｎ（ｎ≧２）個の
   任意の整数ｓ_i（１≦ｓ_i≦ｑ−１：１≦ｉ≦ｎ）を秘密
   鍵として秘密に保管し、 ｖ_i＝ｇ^-si modｐ（１≦ｉ≦ｎ） を公開鍵として公開し、前記検証者による認証を受ける
   場合に、 (1)前記証明者は、乱数ｒ（１≦ｒ≦ｑ−１）を選んで
   前情報 ｘ＝ｇ^r modｐ を計算して前記検証者に前記通信路を介して送信し、 (2)前記検証者は、前記前情報ｘを受信してから、乱数
   ｅ（１≦ｅ＜ｑ）を選んで前記証明者に前記通信路を介
   して送信し、 (3)前記証明者は、前記乱数ｅを受信してから、検証情
   報 ｙ＝ｒ＋(ｓ₁＋ｓ₂＋…＋ｓ_n)×ｅ modｑ を計算して前記検証者に前記通信路を介して送信し、 (4)前記検証者は、前記検証情報ｙを受信してから、検
   証式 ｇ^y×(ｖ₁×ｖ₂×…×ｖ_n)^e modｐ＝ｘ が成り立つか否か検算し、成り立つ場合には前記証明者
   の全ての秘密鍵が正当であり成りすましが行なわれてい
   ないと判断し、成り立たない場合には不正な秘密鍵が存
   在すると判断することを特徴とする認証方法。
2. 【請求項２】 証明者と検証者と通信路とからなる検証
   システムの認証方法において、大きな素数をｐ，ｑ（ｑ
   |ｐ−１）とし、乗法群Ｚ_p ^*での位数がｑとなるＧＦ
   (ｐ)の元をｇ₁，ｇ₂として、証明者は、ｎ（ｎ≧２）個
   の任意の整数ｓ _i（１≦ｓ_i≦ｑ−１：１≦ｉ≦ｎ）とｎ
   個の任意の整数ｔ_i（１≦ｔ_i≦ｑ−１：１≦ｉ≦ｎ）を
   秘密鍵として秘密に保管し、 ｖ_i＝ｇ₁ ^siｇ₂ ^ti modｐ（１≦ｉ≦ｎ） を公開鍵として公開し、前記検証者による認証を受ける
   場合に、 (1)前記証明者は、乱数ｒ₁とｒ₂（１≦ｒ₁，ｒ₂≦ｑ−
   １）を選んで前情報 ｘ＝ｇ₁ ^r1ｇ₂ ^r2 modｐ を計算して前記検証者に前記通信路を介して送信し、 (2)前記検証者は、前記前情報ｘを受信してから、ｆ
   （ｆ＝O(ｐ)）ビットの乱数ｅを選んで前記証明者に前
   記通信路を介して送信し、 (3)前記証明者は、前記乱数ｅを受信してから、検証情
   報 ｙ₁＝ｒ₁＋(ｓ₁＋ｓ₂＋…＋ｓ_n)×ｅ modｑ ｙ₂＝ｒ₂＋(ｔ₁＋ｔ₂＋…＋ｔ_n)×ｅ modｑ を計算して前記検証者に前記通信路を介して送信し、 (4)前記検証者は、前記検証情報ｙ₁,ｙ₂を受信してか
   ら、検証式 ｇ^y1ｇ^y2 mod p＝ｘ×(ｖ₁×ｖ₂×…×ｖ_n)^e modｐ が成り立つか否かを検算し、成り立つ場合には前記証明
   者の全ての秘密鍵が正当であり成りすましが行なわれて
   いないと判断し、成り立たない場合には不正な秘密鍵が
   存在すると判断することを特徴とする認証方法。
3. 【請求項３】 証明者と検証者と通信路とからなる検証
   システムの署名方法において、大きな素数をｐ，ｑ（ｑ
   |ｐ−１）とし、乗法群Ｚ_p ^*での位数がｑとなるＧＦ
   (ｐ)の元をｇとして、前記証明者は、ｎ（ｎ≧２）個の
   任意の整数ｘ_i（１≦ｘ_i≦ｑ−１：１≦ｉ≦ｎ）を秘密
   鍵として秘密に保管し、 ｙ_i＝ｇ^xi modｐ（１≦ｉ≦ｎ） を公開鍵として公開し、前記証明者と前記検証者はハッ
   シュ関数ｈ( )を利用できるものとし、前記検証者にメ
   ッセージを送る場合に、 (1)前記証明者は平文ｍに対して、乱数ｋ（１≦ｋ≦ｑ
   −１）を選んで署名 Ｒ＝(ｇ^k modｐ) modｑ Ｓ＝(ｈ(ｍ)＋(ｘ₁＋ｘ₂＋…＋ｘ_n)×Ｒ)／ｋ modｑ を計算して前記平文ｍと共に前記検証者に前記通信路を
   介して送信し、 (2)前記検証者は、検証式 Ｒ＝(ｇ^h(m)/S×(ｙ₁×ｙ₂×…×ｙ_n)^R/S modｐ) modｑ が成り立つか否かを検算し、成り立つ場合には前記平文
   ｍの署名に用いられた前記証明者の全ての秘密鍵が正当
   であり前記署名に対して改ざんおよび成りすましが行わ
   れていない判断し、成り立たない場合には不正な秘密鍵
   が存在するまたは成りすましまたは改ざんが行なわれた
   と判断することを特徴とする署名方法。
4. 【請求項４】 証明者と検証者と通信路とからなる検証
   システムの署名方法において、大きな素数をｐ，ｑ（ｑ
   |ｐ−１）とし、乗法群Ｚ_p ^*での位数がｑとなるＧＦ
   (ｐ)の元をｇとして、前記証明者は、ｎ（ｎ≧２）個の
   任意の整数ｘ_i（１≦ｘ_i≦ｑ−１：１≦ｉ≦ｎ）を秘密
   鍵として秘密に保管し、 ｙ_i＝ｇ^-xi modｐ（１≦ｉ≦ｎ） を公開鍵として公開し、前記証明者と検証者は、ｑ以下
   の値を出力するハッシュ関数ｈ( )を利用できるものと
   し、前記検証者にメッセージを送る場合に、 (1)前記証明者は、平文ｍに対して、乱数ｋ（１≦ｋ≦
   ｑ−１）を選んで署名 Ｒ＝ｈ(ｇ^k modｐ，ｍ) Ｓ＝ｋ＋(ｘ₁＋ｘ₂＋…＋ｘ_n)×Ｒ modｑ を計算して前記平文ｍと共に前記検証者に前記通信路を
   介して送信し、 (2)前記検証者は、検証式 Ｒ＝ｈ(ｇ^S×(ｙ₁×ｙ₂×…×ｙ_n)^R modｐ，ｍ) が成り立つか否かを検算し、成り立つ場合には前記平文
   ｍの署名に用いられた前記証明者の全ての秘密鍵が正当
   であり前記署名に対して改ざんおよび成りすましが行わ
   れていないと判断し、成り立たない場合には不正な秘密
   鍵が存在するまたは成りすましまたは改ざんが行なわれ
   たと判断することを特徴とする署名方法。
5. 【請求項５】 証明者と検証者と通信路とからなる検証
   システムの署名方法において、大きな素数をｐ，ｑ（ｑ
   |ｐ−１）とし、乗法群Ｚ_p ^*での位数がｑとなるＧＦ
   (ｐ)の元をｇとして、前記証明者は、ｎ（ｎ≧２）個の
   任意の整数ｘ_i（１≦ｘ_i≦ｑ−１：１≦ｉ≦ｎ）を秘密
   鍵として秘密に保管し、 ｙ_i＝ｇ^ｘ_i modｐ（１≦ｉ≦ｎ） を公開鍵として公開し、前記検証者にメッセージを送る
   場合に、 (1)前記証明者は平文ｍに対して、乱数ｋ（１≦ｋ≦ｑ
   −１）を選んで署名 Ｒ＝ｍ×ｇ^ｋ modｐ Ｓ＝(ｘ₁＋ｘ₂＋…＋ｘ_n)×Ｒ＋ｋ modｑ を計算して前記検証者に前記通信路を介して送信し、 (2)前記検証者は、検証式 ｍ'＝(ｇ^Ｓ)×{(ｙ₁×ｙ₂×…×ｙ_n)^(−Ｒ)}×Ｒ mod
   ｐ により平文ｍ’を計算し、前記署名に対して改ざんおよ
   び成りすましが行われていなければ、 ｍ＝ｍ’ となることを特徴とする署名方法。
6. 【請求項６】 前記証明者はＩＣカードであり、前記検
   証者は認証サーバであることを特徴とする請求項１また
   は２記載の認証方法。
7. 【請求項７】 前記証明者はＩＣカードであり、前記検
   証者は認証サーバであることを特徴とする請求項３、
   ４、５のいずれかに記載の署名方法。
8. 【請求項８】 前記検証式が成り立たない場合には、前
   記公開鍵を半数ずつのグループに分けて再び前記検証を
   行い、前記検証式が成り立たない方のグループをさらに
   半数ずつのグループに分けて前記検証を行うことを不正
   な秘密鍵に対応する公開鍵を特定できるまで繰り返すこ
   とを特徴とする請求項１、２、６のいずれかに記載の認
   証方法。
9. 【請求項９】 前記検証式が成り立たない場合には、前
   記公開鍵を半数ずつのグループに分けて再び前記検証を
   行い、前記検証式が成り立たない方のグループをさらに
   半数ずつのグループに分けて前記検証を行うことを不正
   な秘密鍵に対応する公開鍵を特定できるまで繰り返すこ
   とを特徴とする請求項３、４、５、７のいずれかに記載
   の署名方法。