JP3691726B2

JP3691726B2 - Partial blind signature scheme

Info

Publication number: JP3691726B2
Application number: JP2000160704A
Authority: JP
Inventors: 正幸阿部; 龍明岡本
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2000-05-30
Filing date: 2000-05-30
Publication date: 2005-09-07
Anticipated expiration: 2020-05-30
Also published as: JP2001343893A

Description

【０００１】
【発明の属する技術分野】
本発明は、電子情報に対して署名を付与するディジタル署名方式に関するものである。
【０００２】
【従来の技術】
ブラインド署名は、署名者に文書の内容を秘密にしたままで署名を付けてもらう技術である。ＲＳＡ法に基づく方式が、例えばＤ．Ｃｈａｕｍ，”ＳｅｃｕｒｉｔｙｗｉｔｈｏｕｔＩｄｅｎｔｉｔｉｃａｔｉｏｎ：ＴｒａｎｓａｃｔｉｏｎＳｙｓｔｅｍｓｔｏＭａｋｅＢｉｇＢｒｏｔｈｅｒＯｂｓｏｌｅｔｅ”，Ｃｏｍｍ．ｏｆｔｈｅＡＣＭ，Ｖｏｌ．２８，Ｎｏ．１０，１９８５，ｐｐ．１０３０−１０４４に示されている。
【０００３】
署名の要求者は、ブラインド署名前処理によって文書ｍを乱数αで撹乱してブラインドメッセージｅを作成する。署名者は、秘密鍵を用いてｅに対応する仮の署名ｓを計算する。この時、ｅはαによって撹乱されているため、署名者は文書ｍを知ることはできない。要求者は、ブラインド署名後処理によって、ｓから乱数αの影響を除去して、本来の文書ｍに対する署名σを求め、ｍとσの対を署名検証者に送信する。署名検証者は、署名者の公開鍵を用いてσがｍの署名であることを確認する。ここで、署名検証者は、乱数αを知らないため、ｓとσの対応関係を知ることはできない。
【０００４】
Ｓｃｈｎｏｒｒ署名に基づくブラインド署名の手順を以下に示す。ｐ，ｑを大きな素数とし、ｑはｐ−１を割り切るものとする。ｇをＺ_pの位数ｑの元とする。署名者は秘密鍵ｘ及びｙ＝ｇ^x mod ｐを満たす公開鍵ｙを保持する。Ｈをハッシュ関数とする。ｐ，ｑ，ｇ，Ｈ及びｙは公開されているものとする。
【０００５】
（Ｓｔｅｐ−１）署名者は乱数ｋ∈Ｚ_qを生成し、ｒ：＝ｇ^k mod ｑを計算してｒを署名要求者へ送信する。
【０００６】
（Ｓｔｅｐ−２）署名要求者は乱数α，βを生成し、ｒを
【０００７】
【数１】

【０００８】
と撹乱する。次に、チャレンジ値εをε：＝Ｈ（ｍ，γ）のように計算し、このチャレンジ値をｃ＝ε−β mod ｑのように撹乱する。最後に、ｃを署名者へ送信する。
【０００９】
（Ｓｔｅｐ−３）署名者はｓ＝ｋ−ｃｘ mod ｑを計算し、ｓを署名要求者へ送信する。
【００１０】
（Ｓｔｅｐ−４）署名要求者はσ：＝ｓ＋α mod ｑを計算し、（ε，σ）を文書ｍに対する署名として出力する。
【００１１】
文書ｍに対する署名（ε，σ）は、
【００１２】
【数２】

【００１３】
が成り立つ時、正しい文書−署名対として認められ、成り立たないならば、不正な署名であると見なされる。
【００１４】
署名生成手順が正しく実行された場合、出力される（ε，σ）は、
【００１５】
【数３】

【００１６】
となり、検証式
【００１７】
【数４】

【００１８】
を満たす。
【００１９】
【発明が解決しようとする課題】
前述のブラインド署名方式では、署名対象の文書ｍが完全にランダム化されているため、署名者は必要な情報が文書に正しく含まれているか否かを署名時に確かめることができない。例えば、署名者が、署名に有効期限を付けたい場合、前述の方式では、署名要求者が署名対象文書ｍの中に有効期限が正しく挿入しているかどうかを、署名者は確認することができない。
【００２０】
本発明の目的は、署名対象文書中に、必要な情報が正しく含まれていることを署名者及び署名要求者が相互に確認可能である部分ブラインド署名方式を提供することにある。
【００２１】
【課題を解決するための手段】
署名対象文書Ｍを、確認すべき情報を含む共通公開文書Ｄと、秘匿とすべき情報を含む秘匿文書ｍとの二つの部分に分割する。署名者ＡはＤに基づいて、公開された公開鍵生成手段で公開鍵ｙ₁を生成する。但し、この公開鍵生成手段は、対応する秘密鍵を求めることが困難であるようなｙ₁を生成するものとする。署名者は、元々保持している公開鍵ｙ₀と、新たに生成したｙ₁の少なくとも一方に対応する秘密鍵を保持していることを証明するゼロ知識証明プコトコルに基づいてｍに対するブラインド署名を発行する。そのようなゼロ知識証明は、ｙ₀に対応する秘密鍵に対するゼロ知識証明を実際に行う一方で、ｙ₁に対応する秘密鍵に対するゼロ知識証明をシミュレーションで擬似的に行うことで実行する。署名要求者が、ｙ₁あるいはｙ₀に対応する秘密鍵を偽造できない限り、生成された署名は、Ｄ及びｍに基づいていることが保証される。
【００２２】
署名要求者及び署名検証者は、署名者と同様の手順でＤから公開鍵ｙ₁を作成し、ｙ₀とｙ₁の両方を用いて署名を検証する。検証に合格すれば、その署名は、公開部分Ｄ及び秘匿部分ｍの両方に対する署名であることを確認することができる。
【００２３】
【発明の実施の形態】
［実施の形態１］
図１は本発明方式のシステム構成を示すもので、図中、１０は署名者（センタ）、２０は署名要求者、３０は署名検証者である。
【００２４】
署名者１０は、ランダム公開鍵生成手段１１と、コミット作成手段１２と、疑似署名手段１３と、チャレンジ分離手段１４と、署名手段１５とを備えている。署名要求者２０は、ランダム公開鍵生成手段２１と、コミット撹乱手段２２と、チャレンジ生成手段２３と、チャレンジ撹乱手段２４と、撹乱除去手段２５と、署名検証手段２６とを備えている。署名検証者３０は、ランダム公開鍵生成手段３１と、署名検証手段３２とを備えている。
【００２５】
図２は乃至図１０は本発明方式の第１の実施の形態、ここではＥｌＧａｍａｌ署名に基づく実施の形態（但し、特許請求の範囲には含まれない。）を示すもので、図２は署名者１０の処理フロー、図３は署名要求者２０の処理フローをそれぞれ示す。
【００２６】
ｐを大きな素数とし、ｑをｐ−１を割り切る大きな整数とする。ｇを位数がｑであるＺ_pの元とする。署名者１０は｛１，……，ｑ−１｝の範囲に入る秘密鍵ｘ₀及びｙ₀＝ｇ^x0 mod ｐを満たす公開鍵ｙ₀を保持する。Ｈ₁及びＨ₂をハッシュ関数とする。ｐ，ｑ，ｇ，Ｈ₁，Ｈ₂及びｙ₀は公開されているものとする。
【００２７】
まず、公開部分Ｄを署名者１０が決定する場合について説明する。署名要求があった場合、署名者１０は以下の手順に従ってブラインド署名を発行する。
【００２８】
（Ａ１−１）Ｄを選ぶ。
【００２９】
（Ａ１−２）ｙ₁：＝Ｈ₁（Ｄ） mod ｐを計算する（ランダム公開鍵生成手段１１の実行）。
【００３０】
（Ａ１−３）ｋを｛１，……，ｑ−１｝からランダムに選び、ｒ₀：＝ｇ^k modｐを計算する（コミット作成手段１２の実行）。
【００３１】
（Ａ１−４）疑似署名手段１３（ｙ₁，ｇ，ｐ，ｑ）を実行する。その結果を（ｒ₁，ｓ₁，ｃ₁）とする。
【００３２】
（Ａ１−５）ｒ₀，ｒ₁，Ｄを署名要求者２０へ送信する。
【００３３】
（Ａ１−６）署名要求者２０からｅを受信する。
【００３４】
（Ａ１−７）ｅでなく、ＮＧを受信した場合、異常終了する。ＮＧでない場合、次のステップへ進む。
【００３５】
（Ａ１−８）チャレンジ分離手段１４（ｅ，ｃ₁，ｑ）を実行する。その結果をｃ₀とする。
【００３６】
（Ａ１−９）署名手段１５（ｘ，ｋ，ｃ₀，ｑ）を実行する。その結果をｓ₀とする。
【００３７】
（Ａ１−１０）ｓ₀，ｓ₁，ｃ₀，ｃ₁を署名要求者２０へ送信する。
【００３８】
署名要求者２０は、署名者１０に要求を出した後、以下の手順に従って、署名を得る。
【００３９】
（Ｂ１−１）ｒ₀，ｒ₁，Ｄを署名者１０から受信する。
【００４０】
（Ｂ１−２，−３）Ｄを署名に含めることを認めるならば、次のステップへ進む。拒否するならば、ＮＧを署名者１０へ送付し、異常終了する。
【００４１】
（Ｂ１−４）ｙ₁：＝Ｈ₁（Ｄ） mod ｑを計算する（ランダム公開鍵生成手段２１の実行）。
【００４２】
（Ｂ１−５）α₀，β₀，α₁，β₁を｛０，……，ｑ−１｝からランダムに選ぶ。
【００４３】
（Ｂ１−６）コミット撹乱手段２２（ｙ，ｇ，ｒ₀，α₀，β₀，ｐ）を実行し、結果γ₀を得る。
【００４４】
（Ｂ１−７）コミット撹乱手段２２（ｙ，ｇ，ｒ₁、α₁，β₁，ｐ）を実行し、結果γ₁を得る。
【００４５】
（Ｂ１−８）ε：＝Ｈ₂（ｍ‖Ｄ‖ｙ₀‖γ₀‖ｙ₁‖γ₁） mod ｑを計算する（チャレンジ生成手段２３の実行）。
【００４６】
（Ｂ１−９）チャレンジ撹乱手段２４（α₀，β₀，γ₀，ｒ₀，α₁，β₁，γ₁，ｒ₁，ε，ｑ）を実行し、結果ｅを得る。
【００４７】
（Ｂ１−１０）署名者１０へｅを送信する。
【００４８】
（Ｂ１−１１）署名者１０からｓ₀，ｓ₁，ｃ₀，ｃ₁を受信する。
【００４９】
（Ｂ１−１２）撹乱除去手段２５（α₀，β₀，γ₀，ｒ₀，ｃ₀，ｓ₀，ｑ）を実行し、結果（σ₀，ε₀）を得る。
【００５０】
（Ｂ１−１３）撹乱除去手段２５（α₁，β₁，γ₁，ｒ₁，ｃ₁，ｓ₁，ｑ）を実行し、結果（σ₁，ε₁）を得る。
【００５１】
（Ｂ１−１４）署名検証手段２６（γ₀，ε₀，σ₀，γ₁，ε₁，σ₁，Ｄ，ｍ，ｙ₀，ｐ，ｑ）を実行し、ＯＫならば、次のステップへ進む。ＮＧならば、異常終了する。
【００５２】
（Ｂ１−１５）γ₀，ε₀，σ₀，γ₁，ε₁，σ₁を出力する。
【００５３】
署名検証者３０は、署名者１０あるいは署名要求者２０と同様にランダム公開鍵生成手段３１を実行してｙ₁を求めるとともに、署名−文書対（γ₀，ε₀，σ₀，γ₁，ε₁，σ₁，ｍ，Ｄ）に対して、署名要求者２０と同様に署名検証手段３２（γ₀，ε₀，σ₀，γ₁，ε₁，σ₁，Ｄ，ｍ，ｙ₀，ｐ，ｑ）がＯＫとなることを検証する。ＯＫならば、その署名を正しいとし、そうでなければ、不正な署名と見なす。
【００５４】
例えばＰ．Ｈｏｒｓｔｅｒ，Ｍ．Ｍｉｃｈｅｌｓ，Ｈ．Ｐｅｔｅｒｓｅｎ，”ｍｅｔａ−ＭｅｓｓａｇｅＲｅｃｏｖｅｒｙａｎｄＭｅｔａ−ＢｌｉｎｄＳｉｇｎａｔｕｒｅＳｃｈｅｍｅｓＢａｓｅｄｏｎｔｈｅＤｉｓｃｒｅｔｅＬｏｇａｒｉｔｈｍＰｒｏｂｌｅｍａｎｄＴｈｅｉｒＡｐｐｌｉｃａｔｉｏｎｓ”，Ａｉｓａｃｒｙｐｔ’９２，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９２，ｐｐ．２２４−２３７に示される通り、ブラインドＥｌＧａｍａｌ署名には、多数の変形版が存在し、どの変形方式を用いるかによって、上記各手段の具体的内容が決まる。以下にその一例を示す。ここで、記号「＊」は０または１を表すものとする。
【００５５】

【００５６】
【数５】

【００５７】

かつ
【００５８】
【数６】

【００５９】
かつ
【００６０】
【数７】

【００６１】
の時
ＮＧ：それ以外
図４、図５、図６、図７、図８、図９、図１０にそれぞれ、疑似署名手段１３、チャレンジ分離手段１４、署名手段１５、コミット撹乱手段２２、チャレンジ撹乱手段２４、撹乱除去手段２５、署名検証手段２６，３２を実現する処理フローの一例を示す。
【００６２】
各手段の具体的内容によっては、入力変数の幾つかを使用しない場合もある。
【００６３】
ステップＡ−３及びＡ−４で、ｒ₀ mod ｑ＝０あるいはｒ₁ mod ｑ＝０となるか否かを検査し、そうなる場合には、これらのステップを乱数を変えて再度実行する、という手順を加えても良い。
【００６４】
公開部分Ｄを署名要求者が決定する場合は、Ｄに関する選択と不合意（ＮＧ）時の通知の役割を入れ換えれば良い。
【００６５】
Ｄがその日の日付である等、署名者と署名要求者との間で独立に取得可能な値である場合には、Ｄを送付したり、不合意通知をする必要はない。
【００６６】
ハッシュ関数Ｈ₂へ入力する変数の順序は、署名要求者と署名検証者の手順で同一ならば、どのような順序であっても良い。
【００６７】
上記の実施の形態は、乗法群Ｚ_p ^*上で構成されたＥｌＧａｍａｌ署名を用いた例であるが、ＥｌＧａｍａｌ署名は離散対数問題が困難であるようなあらゆる群の上で実現できることが既知であり、例えば本実施の形態の趣旨に沿って、楕円曲線上の有限群でのＥｌＧａｍａｌ署名を用いても良い。
【００６８】
［実施の形態２］
図１１及び図１２は本発明方式の第２の実施の形態、ここではＳｃｈｎｏｒｒ署名に基づく実施の形態を示すもので、図１１は署名者１０の処理フロー、図１２は署名要求者２０の処理フローをそれぞれ示す。
【００６９】
ｐ，ｑを大きな素数とし、ｑはｐ−１を割り切るものとする。ｇをＺ_pの位数ｑの元とする。署名者１０は秘密鍵ｘ及びｙ₀＝ｇ^x mod ｐを満たす公開鍵ｙ₀を保持する。Ｈ₁及びＨ₂をハッシュ関数とする。ｐ，ｑ，ｇ，Ｈ₁，Ｈ₂及びｙ₀は公開されているものとする。
【００７０】
まず、公開部分Ｄを署名者１０が決定する場合について説明する。署名要求があった場合、署名者１０は以下の手順に従ってブラインド署名を発行する。
【００７１】
（Ａ２−１）Ｄを選ぶ。
【００７２】
（Ａ２−２）ｙ₁：＝Ｈ₁（Ｄ） mod ｐを計算する（ランダム公開鍵生成手段１１の実行）。
【００７３】
（Ａ２−３）ｋを｛１，……，ｑ−１｝からランダムに選び、ｒ₀：＝ｇ^k modｐを計算する（コミット作成手段１２の実行）。
【００７４】
（Ａ２−４）（疑似署名手段１３の実行）
（ａ）ｓ₁，ｃ₁を｛０，……，ｑ−１｝からランダムに選ぶ。
【００７５】
（ｂ）ｒ₁：＝ｇ^s1ｙ₀ ^c1 mod ｐを計算する。
【００７６】
（Ａ２−５）ｒ₀，ｒ₁，Ｄを署名要求者２０へ送信する。
【００７７】
（Ａ２−６）署名要求者２０からｅを受信する。
【００７８】
（Ａ２−７）ｅでなく、ＮＧを受信した場合、異常終了する。ＮＧでない場合、次のステップへ進む。
【００７９】
（Ａ２−８）ｃ₀：＝ｅ−ｃ₁ mod ｑを求める（チャレンジ分離手段１４の実行）。
【００８０】
（Ａ２−９）ｓ₀：＝ｋ−ｃ₀ｘ mod ｑを求める（署名手段１５の実行）。
【００８１】
（Ａ２−１０）ｓ₀，ｓ₁，ｃ₀，ｃ₁を署名者要求２０へ送信する。
【００８２】
署名要求者２０は、署名者１０に要求を出した後、以下の手順に従って、署名を得る。
【００８３】
（Ｂ２−１）ｒ₀，ｒ₁，Ｄを署名者１０から受信する。
【００８４】
（Ｂ２−２，−３）Ｄを署名に含めることを認めるならば、次のステップへ進む。拒否するならば、ＮＧを署名者１０へ送付し、異常終了する。
【００８５】
（Ｂ２−４）ｙ₁：＝Ｈ₁（Ｄ） mod ｑを計算する（ランダム公開鍵生成手段２１の実行）。
【００８６】
（Ｂ２−５）α₀，β₀，α₁，β₁を｛０，……，ｑ−１｝からランダムに選び、
【００８７】
【数８】

【００８８】
及び
【００８９】
【数９】

【００９０】
を求める（コミット撹乱手段２２の実行）。
【００９１】
（Ｂ２−６）ε：＝Ｈ₂（ｍ‖Ｄ‖ｙ₀‖γ₀‖ｙ₁‖γ₁）を求める（チャレンジ生成手段２３の実行）。
【００９２】
（Ｂ２−７）ｅ：＝ε−β₀−β₁ mod ｑを求める（チャレンジ撹乱手段２４の実行）。
【００９３】
（Ｂ２−８）署名者１０へｅを送信する。
【００９４】
（Ｂ２−９）署名者１０からｓ₀，ｓ₁，ｃ₀，ｃ₁を受信する。
【００９５】
（Ｂ２−１０）ε₀：＝ｃ₀＋β₀ mod ｑ、σ₀：＝ｓ₀＋α₀ mod ｑ、ε₁：＝ｃ₁＋β₁ mod ｑ及びσ₁：＝ｓ₁＋α₁ mod ｑを求める（撹乱除去手段２５の実行）。
【００９６】
（Ｂ２−１１）（署名検証手段２６の実行）
【００９７】
【数１０】

【００９８】
が成り立つならば、次のステップへ進む。成り立たなければ、異常終了する。
【００９９】
（Ｂ２−１２）ε₀，σ₀，ε₁，σ₁を出力する。
【０１００】
署名検証者３０は、署名者１０あるいは署名要求者２０と同様にランダム公開鍵生成手段３１を実行してｙ₁を求めるとともに、署名−文書対（ε₀，σ₀，ε₁，σ₁，ｍ，Ｄ）に対して、署名要求者２０と同様に署名検証手段３２を実行し、
【０１０１】
【数１１】

【０１０２】
が成り立つことを検証する。成り立つならば、その署名を正しいとし、そうでなければ、不正な署名と見なす。
【０１０３】
署名生成が正しく行われた場合、
【０１０４】
【数１２】

【０１０５】
となり、ε₀，σ₀，ε₁，σ₁，ｍ，Ｄは検証式を満足する。
【０１０６】
公開部分Ｄを署名要求者が決定する場合は、Ｄに関する選択と不合意（ＮＧ）時の通知の役割を入れ換えれば良い。
【０１０７】
Ｄがその日の日付である等、署名者と署名要求者との間で独立に取得可能な値である場合には、Ｄを送付したり、不合意通知をする必要はない。
【０１０８】
ハッシュ関数Ｈ₂へ入力する変数の順序は、署名要求者と署名検証者の手順で同一ならば、どのような順序であっても良い。
【０１０９】
上記の実施の形態は、乗法群Ｚ_p ^*上で構成されたＳｃｈｎｏｒｒ署名を用いた例であるが、ＥｌＧａｍａｌ署名と同様、Ｓｃｈｎｏｒｒ署名も離散対数問題が困難であるような群の上で実現できるので、例えば、本実施の形態の趣旨に沿って、楕円曲線上の有限群でのＳｃｈｎｏｒｒ署名を用いても良い。
【０１１０】
【発明の効果】
以上説明したように、本発明によれば、署名対象文書の中に、必要な情報が正しく含まれていることを署名者と署名要求者が相互に確認できるブラインド署名の発行が可能となる。即ち、署名者は、発行した署名に有効期限やその他の条件等、必要な情報を含めることによって、その署名が署名者の意に沿わない条件で使用されることを防止することが可能となる。
【図面の簡単な説明】
【図１】本発明方式のシステムの概要図
【図２】第１の実施の形態における署名者の処理フローを示す図
【図３】第１の実施の形態における署名要求者の処理フローを示す図
【図４】疑似署名手段を実現する処理フローの一例を示す図
【図５】チャレンジ分離手段を実現する処理フローの一例を示す図
【図６】署名手段を実現する処理フローの一例を示す図
【図７】コミット撹乱手段を実現する処理フローの一例を示す図
【図８】チャレンジ撹乱手段を実現する処理フローの一例を示す図
【図９】撹乱除去手段を実現する処理フローの一例を示す図
【図１０】署名検証手段を実現する処理フローの一例を示す図
【図１１】第２の実施の形態における署名者の処理フローを示す図
【図１２】第２の実施の形態における署名要求者の処理フローを示す図
【符号の説明】
１０：署名者、１１，２１，３１：ランダム公開鍵生成手段、１２：コミット作成手段、１３：疑似署名手段、１４：チャレンジ分離手段、１５：署名手段、２０：署名要求者、２２：コミット撹乱手段、２３：チャレンジ生成手段、２４：チャレンジ撹乱手段、２５：撹乱除去手段、２６，３２：署名検証手段、３０：署名検証者。[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a digital signature method for giving a signature to electronic information.
[0002]
[Prior art]
Blind signature is a technology that allows a signer to sign a document while keeping its contents secret. A method based on the RSA method is described in, for example, Chaum, “Security without Identification: Transaction Systems to Make Big Brother Obsolet”, Comm. of the ACM, Vol. 28, no. 10, 1985, pp. 1030-1044.
[0003]
The requester of the signature creates the blind message e by disturbing the document m with the random number α by the blind signature preprocessing. The signer calculates a temporary signature s corresponding to e using the secret key. At this time, since e is disturbed by α, the signer cannot know the document m. The requester removes the influence of the random number α from s by blind signature post-processing, obtains a signature σ for the original document m, and transmits a pair of m and σ to the signature verifier. The signature verifier uses the signer's public key to confirm that σ is a signature of m. Here, since the signature verifier does not know the random number α, it cannot know the correspondence between s and σ.
[0004]
The procedure of the blind signature based on the Schnorr signature is shown below. Let p and q be large prime numbers, and q be divisible by p-1. Let g be an element of the order q of Z _p . The signer holds a private key x and a public key y that satisfies y = g ^x mod p. Let H be a hash function. Assume that p, q, g, H, and y are open to the public.
[0005]
(Step-1) the signer generates a random number _{^{k∈Z q, r: = g k}} mod q and calculates and transmits an r to the signature requester.
[0006]
(Step-2) The signature requester generates random numbers α and β, and sets r to
[Expression 1]

[0008]
And disturb. Next, the challenge value ε is calculated as ε: = H (m, γ), and the challenge value is disturbed as c = ε−β mod q. Finally, c is sent to the signer.
[0009]
(Step-3) The signer calculates s = k−cx mod q, and sends s to the signer.
[0010]
(Step-4) The signature requester calculates σ: = s + α mod q, and outputs (ε, σ) as a signature for the document m.
[0011]
The signature (ε, σ) for document m is
[0012]
[Expression 2]

[0013]
Is accepted as a valid document-signature pair, otherwise it is considered an illegal signature.
[0014]
When the signature generation procedure is executed correctly, the output (ε, σ) is
[0015]
[Equation 3]

[0016]
And the verification formula [0017]
[Expression 4]

[0018]
Meet.
[0019]
[Problems to be solved by the invention]
In the above-described blind signature method, the document m to be signed is completely randomized, and therefore, the signer cannot confirm whether or not necessary information is correctly included in the document at the time of signing. For example, when the signer wants to add an expiration date to the signature, the signer cannot confirm whether the expiration date is correctly inserted in the signature target document m by the above-described method. .
[0020]
An object of the present invention is to provide a partial blind signature method in which a signer and a signature requester can mutually confirm that necessary information is correctly included in a signature target document.
[0021]
[Means for Solving the Problems]
The signature target document M is divided into two parts: a common public document D including information to be confirmed, and a secret document m including information to be concealed. Based on D, the signer A generates a public key y ₁ using a public key generation unit that has been made public. However, this public key generation means generates y ₁ that makes it difficult to obtain the corresponding secret key. The signer performs a blind signature on m based on a zero-knowledge proof protocol that proves that it holds a private key corresponding to at least one of the public key y ₀ that is originally held and y ₁ that is newly generated. Issue. Such zero knowledge proof is executed by actually performing a zero knowledge proof for the secret key corresponding to y ₀ while performing a pseudo zero proof for the secret key corresponding to y ₁ by simulation. As long as the signature requester cannot forge the secret key corresponding to y ₁ or y ₀ , the generated signature is guaranteed to be based on D and m.
[0022]
The signature requester and signature verifier create a public key y ₁ from D in the same procedure as the signer, and verify the signature using both y ₀ and y ₁ . If the verification is passed, the signature can be confirmed to be a signature for both the public part D and the secret part m.
[0023]
DETAILED DESCRIPTION OF THE INVENTION
[Embodiment 1]
FIG. 1 shows a system configuration according to the present invention. In the figure, 10 is a signer (center), 20 is a signature requester, and 30 is a signature verifier.
[0024]
The signer 10 includes a random public key generation unit 11, a commit creation unit 12, a pseudo signature unit 13, a challenge separation unit 14, and a signature unit 15. The signature requester 20 includes a random public key generation unit 21, a commit disturbance unit 22, a challenge generation unit 23, a challenge disturbance unit 24, a disturbance removal unit 25, and a signature verification unit 26. The signature verifier 30 includes a random public key generation unit 31 and a signature verification unit 32.
[0025]
2 to FIG. 10 show a first embodiment of the method of the present invention, here an embodiment based on an ElGamal signature (however, not included in the scope of claims). FIG. 3 shows a processing flow of the signature requester 20.
[0026]
Let p be a large prime number and q be a large integer that divides p-1. Let g be an element of Z _p with order q. The signer 10 holds a secret key x ₀ that falls within the range of {1,..., Q−1} and a public key y ₀ that satisfies y ₀ = g ^x0 mod p. Let H ₁ and H ₂ be hash functions. It is assumed that p, q, g, H ₁ , H ₂ and y ₀ are made public.
[0027]
First, a case where the signer 10 determines the public part D will be described. When there is a signature request, the signer 10 issues a blind signature according to the following procedure.
[0028]
(A1-1) Select D.
[0029]
(A1-2) y ₁ : = H ₁ (D) mod p is calculated (execution of the random public key generation means 11).
[0030]
(A1-3) k is randomly selected from {1,..., Q−1}, and r ₀ : = g ^k modp is calculated (execution of the commit creation means 12).
[0031]
(A1-4) The pseudo signature means 13 (y ₁ , g, p, q) is executed. The result is (r ₁ , s ₁ , c ₁ ).
[0032]
(A1-5) r ₀ , r ₁ , D are transmitted to the signature requester 20.
[0033]
(A1-6) e is received from the signature requester 20.
[0034]
(A1-7) If NG is received instead of e, the process ends abnormally. If not NG, proceed to the next step.
[0035]
(A1-8) The challenge separation means 14 (e, c ₁ , q) is executed. Let the result be c ₀ .
[0036]
(A1-9) The signature unit 15 (x, k, c ₀ , q) is executed. The result is s ₀ .
[0037]
(A1-10) s ₀ , s ₁ , c ₀ , c ₁ are transmitted to the signature requester 20.
[0038]
After requesting the signer 10, the signature requester 20 obtains a signature according to the following procedure.
[0039]
(B1-1) Receive r ₀ , r ₁ , D from the signer 10.
[0040]
If (B1-2, -3) D is allowed to be included in the signature, proceed to the next step. If rejected, NG is sent to the signer 10 and the process ends abnormally.
[0041]
(B1-4) y ₁ : = H ₁ (D) mod q is calculated (execution of the random public key generation means 21).
[0042]
(B1-5) α ₀ , β ₀ , α ₁ , β ₁ are randomly selected from {0,..., Q−1}.
[0043]
(B1-6) The commit disturbing means 22 (y, g, r ₀ , α ₀ , β ₀ , p) is executed, and the result γ ₀ is obtained.
[0044]
(B1-7) The commit disturbing means 22 (y, g, r ₁ , α ₁ , β ₁ , p) is executed, and the result γ ₁ is obtained.
[0045]
(B1-8) ε: = H ₂ (m‖D‖y ₀ ‖γ ₀ ‖y ₁ ‖γ ₁ ) mod q is calculated (execution of the challenge generation means 23).
[0046]
(B1-9) The challenge disturbing means 24 (α ₀ , β ₀ , γ ₀ , r ₀ , α ₁ , β ₁ , γ ₁ , r ₁ , ε, q) is executed, and the result e is obtained.
[0047]
(B1-10) The e is transmitted to the signer 10.
[0048]
(B1-11) s ₀ , s ₁ , c ₀ , c ₁ are received from the signer 10.
[0049]
(B1-12) The disturbance removing means 25 (α ₀ , β ₀ , γ ₀ , r ₀ , c ₀ , s ₀ , q) is executed, and the result (σ ₀ , ε ₀ ) is obtained.
[0050]
(B1-13) The disturbance removing means 25 (α ₁ , β ₁ , γ ₁ , r ₁ , c ₁ , s ₁ , q) is executed, and the result (σ ₁ , ε ₁ ) is obtained.
[0051]
(B1-14) The signature verification means 26 (γ ₀ , ε ₀ , σ ₀ , γ ₁ , ε ₁ , σ ₁ , D, m, y ₀ , p, q) is executed. Proceed to If NG, the process ends abnormally.
[0052]
(B1-15) γ ₀ , ε ₀ , σ ₀ , γ ₁ , ε ₁ , σ ₁ are output.
[0053]
The signature verifier 30 executes the random public key generation means 31 in the same manner as the signer 10 or the signature requester 20 to obtain y ₁ , and the signature-document pair (γ ₀ , ε ₀ , σ ₀ , γ ₁ , Similarly to the signature requester 20, the signature verification means 32 (γ ₀ , ε ₀ , σ ₀ , γ ₁ , ε ₁ , σ ₁ , D, m, y ₀ ) for ε ₁ , σ ₁ , m, D). , P, q) is verified to be OK. If OK, the signature is considered correct, otherwise it is considered an illegal signature.
[0054]
For example, P.I. Horster, M .; Michels, H.M. Petersen, “meta-Message Recovery and Meta-BlindSignature Schemes Based on the Discrete Logarithm Program and Theila Applications”, Aisacryptp. 92 As shown in 224-237, there are a large number of modified versions of the blind ElGamal signature, and the specific contents of each means are determined depending on which modification method is used. An example is shown below. Here, the symbol “*” represents 0 or 1.
[0055]

[0056]
[Equation 5]

[0057]

And [0058]
[Formula 6]

[0059]
And [0060]
[Expression 7]

[0061]
NG: Otherwise, FIGS. 4, 5, 6, 7, 8, 9, and 10 show pseudo-signature means 13, challenge separation means 14, signature means 15, commit disturbance means 22, and challenge disturbance, respectively. An example of a processing flow for realizing the means 24, the disturbance removal means 25, and the signature verification means 26 and 32 is shown.
[0062]
Depending on the specific contents of each means, some of the input variables may not be used.
[0063]
In steps A-3 and A-4, it is checked whether r ₀ mod q = 0 or r ₁ mod q = 0, and if so, these steps are executed again while changing the random number. You may add the procedure.
[0064]
When the signature requester determines the public part D, the roles of selection regarding D and notification at the time of disagreement (NG) may be interchanged.
[0065]
If D is a value that can be acquired independently between the signer and the signing requester, such as the date of the day, there is no need to send D or notify disagreement.
[0066]
The order of variables input to the hash function H ₂ may be any order as long as the order of the signature requester and the signature verifier is the same.
[0067]
The above embodiment is an example using the ElGamal signature constructed on the multiplicative group Z _p ^* , but it is known that the ElGamal signature can be realized on any group where the discrete logarithm problem is difficult. For example, an ElGamal signature in a finite group on an elliptic curve may be used in accordance with the spirit of the present embodiment.
[0068]
[Embodiment 2]
11 and 12 show a second embodiment of the method of the present invention, here an embodiment based on the Schnorr signature, FIG. 11 is a processing flow of the signer 10, and FIG. 12 is a processing of the signature requester 20. Each flow is shown.
[0069]
Let p and q be large prime numbers, and q be divisible by p-1. Let g be an element of the order q of Z _p . The signer 10 holds the public key y ₀ that satisfies the secret key x and y ₀ = g ^x mod p. Let H ₁ and H ₂ be hash functions. It is assumed that p, q, g, H ₁ , H ₂ and y ₀ are made public.
[0070]
First, a case where the signer 10 determines the public part D will be described. When there is a signature request, the signer 10 issues a blind signature according to the following procedure.
[0071]
(A2-1) Select D.
[0072]
(A2-2) y ₁ : = H ₁ (D) mod p is calculated (execution of the random public key generation means 11).
[0073]
(A2-3) k is randomly selected from {1,..., Q−1}, and r ₀ : = g ^k modp is calculated (execution of the commit creation means 12).
[0074]
(A2-4) (Execution of pseudo-signature means 13)
(A) s ₁ and c ₁ are randomly selected from {0,..., Q−1}.
[0075]
(B) Calculate r ₁ : = g ^s1 y ₀ ^c1 mod p.
[0076]
(A2-5) r ₀ , r ₁ , D are transmitted to the signature requester 20.
[0077]
(A2-6) e is received from the signature requester 20.
[0078]
(A2-7) If NG is received instead of e, the process ends abnormally. If not NG, proceed to the next step.
[0079]
(A2-8) c ₀ : = e−c ₁ mod q is obtained (execution of the challenge separation unit 14).
[0080]
(A2-9) s ₀ : = k−c ₀ x mod q is obtained (execution of the signature unit 15).
[0081]
(A2-10) s ₀ , s ₁ , c ₀ , c ₁ are transmitted to the signer request 20.
[0082]
After requesting the signer 10, the signature requester 20 obtains a signature according to the following procedure.
[0083]
(B2-1) r ₀ , r ₁ , D are received from the signer 10.
[0084]
If (B2-2, -3) D is allowed to be included in the signature, proceed to the next step. If rejected, NG is sent to the signer 10 and the process ends abnormally.
[0085]
(B2-4) y ₁ : = H ₁ (D) mod q is calculated (execution of the random public key generation means 21).
[0086]
(B2-5) α ₀ , β ₀ , α ₁ , β ₁ are randomly selected from {0,..., Q−1},
[0087]
[Equation 8]

[0088]
And [0089]
[Equation 9]

[0090]
(Execution of the commit disturbing means 22).
[0091]
(B2-6) ε: = H ₂ (m‖D‖y ₀ ‖γ ₀ ‖y ₁ ‖γ ₁ ) is obtained (execution of the challenge generation means 23).
[0092]
(B2-7) e: = ε−β ₀ −β ₁ mod q is obtained (execution of the challenge disturbing means 24).
[0093]
(B2-8) e is transmitted to the signer 10.
[0094]
(B2-9) s ₀ , s ₁ , c ₀ , c ₁ are received from the signer 10.
[0095]
(B2-10) ε ₀ : = c ₀ + β ₀ mod q, σ ₀ : = s ₀ + α ₀ mod q, ε ₁ : = c ₁ + β ₁ mod q and σ ₁ : = s ₁ + α ₁ mod q (Execution of disturbance removal means 25).
[0096]
(B2-11) (Execution of signature verification means 26)
[0097]
[Expression 10]

[0098]
If holds, go to the next step. If not, it ends abnormally.
[0099]
(B2-12) ε ₀ , σ ₀ , ε ₁ and σ ₁ are output.
[0100]
The signature verifier 30 executes the random public key generation means 31 in the same manner as the signer 10 or the signature requester 20 to obtain y ₁ , and the signature-document pair (ε ₀ , σ ₀ , ε ₁ , σ ₁ , m, D), the signature verification means 32 is executed in the same manner as the signature requester 20;
[0101]
[Expression 11]

[0102]
Verify that holds. If so, the signature is considered correct, otherwise it is considered an illegal signature.
[0103]
If signature generation is successful,
[0104]
[Expression 12]

[0105]
Thus, ε ₀ , σ ₀ , ε ₁ , σ ₁ , m, and D satisfy the verification formula.
[0106]
When the signature requester determines the public part D, the roles of selection regarding D and notification at the time of disagreement (NG) may be interchanged.
[0107]
If D is a value that can be acquired independently between the signer and the signing requester, such as the date of the day, there is no need to send D or notify disagreement.
[0108]
The order of variables input to the hash function H ₂ may be any order as long as the order of the signature requester and the signature verifier is the same.
[0109]
The above embodiment is an example using the Schnorr signature configured on the multiplicative group Z _p ^*. Like the ElGamal signature, the Schnorr signature can be realized on a group where the discrete logarithm problem is difficult. Therefore, for example, a Schnorr signature in a finite group on an elliptic curve may be used in accordance with the spirit of the present embodiment.
[0110]
【The invention's effect】
As described above, according to the present invention, it is possible to issue a blind signature that allows a signer and a signature requester to mutually confirm that necessary information is correctly included in a signature target document. In other words, the signer can prevent the signature from being used under conditions that do not comply with the signer's will by including necessary information such as an expiration date and other conditions in the issued signature. .
[Brief description of the drawings]
FIG. 1 is a schematic diagram of a system of the present invention system. FIG. 2 is a diagram showing a processing flow of a signer in the first embodiment. FIG. 3 is a processing flow of a signing requester in the first embodiment. FIG. 4 is a diagram showing an example of a processing flow for realizing a pseudo-signature means. FIG. 5 is a diagram showing an example of a processing flow for realizing a challenge separating means. FIG. FIG. 7 is a diagram showing an example of a processing flow for realizing a commit disturbing means. FIG. 8 is a diagram showing an example of a processing flow for realizing a challenge disturbing means. FIG. FIG. 10 is a diagram showing an example of a processing flow for realizing signature verification means. FIG. 11 is a diagram showing a processing flow of a signer in the second embodiment. FIG. 12 is a diagram showing a signature in the second embodiment. Requester's processing flow To Figure [Description of the code]
10: Signer, 11, 21, 31: Random public key generation means, 12: Commit creation means, 13: Pseudo-signature means, 14: Challenge separation means, 15: Signature means, 20: Signature requester, 22: Commit disturbance Means 23: Challenge generation means 24: Challenge disturbance means 25: Disturbance removal means 26, 32: Signature verification means 30: Signature verifier.

Claims

The signer device includes a creating unit that creates a commit value that conceals a random number, and a signing unit that generates a signature based on the random number and the challenge value used for creating the commit. A commit disturbing means for disturbing the value, a challenge generating means for creating a challenge value based on the commit value and the document to be signed, a challenge disturbing means for disturbing the challenge value with a random number, and a disturbance removing means for removing the random number component from the signature And a signature verification means for verifying the signature, wherein the signer device executes the signature without knowing the document to be signed,
The document to be signed consists of two parts: a public common document D and a secret document m .
The signer device includes: a random public key generation unit that generates a random public key from the public common document; a pseudo-signature unit that generates a signature for a randomly selected challenge value; and a pseudo-signature from the challenge value received from the signature requester device. A challenge separating means for separating the random value used in the signing means and generating another challenge value;
The signature requester device has a disturbance removal unit that removes a random number component from the challenge value, and a random public key generation unit similar to the signer device,
The signer device generates a random public key y ₁ by a random public key generation means;
The signer device generates a commit value r ₀ corresponding to the random number k by the commit creation means;
A signer device obtains a pseudo-signature s ₁ based on y ₁ , a random challenge value c ₁ and a random commit value r ₁ by means of a pseudo-signature;
The signature requestor device generates a random public key y ₁ by a random public key generation means;
The signature requester device disturbs r ₀ and r ₁ by commit disturbing means to obtain disturbed commit values γ ₀ , γ ₁ ;
The signature requester device obtains a challenge value ε by the challenge generation means based on the disturbed commit values γ ₀ and γ ₁ and the signature target document;
The signature requester device obtains a challenge value e disturbed by the challenge disturbing means;
The signer device separates c ₁ from e by challenge separating means to generate c ₀ ;
A signer device generating a signature s ₀ by a signing means based on k, c ₀ and a secret signature key;
The signature requester device generates ε ₀ , σ ₀ from c ₀ , s ₀ by the disturbance removing means;
A signature requester device generating ε ₁ and σ ₁ from c ₁ and s ₁ by means of disturbance removal;
The signature requester device executes a step of verifying the signature by the signature verification means based on γ ₀ , ε ₀ , σ ₀ , γ ₁ , ε ₁ , σ ₁ , the public common document and the confidential document. Partial blind signature method.

Let p and q be large prime numbers (q is divisible by p−1), g is an element of the order q of Z _p , and the signer device sets the secret key x and y ₀ = g ^x mod p Based on the Schnorr signature , assuming that the public key y ₀ that satisfies
Pseudo-signature means
(A) s ₁ and c ₁ are randomly selected from {0,..., Q−1}.
(B) Calculation of r ₁ : = g ^s1 y ₀ ^c1 mod p
Realized in
Challenge separation means
c ₀ : = e−c ₁ mod q
Realized by the calculation of
Signing means,
s ₀ : = k−c ₀ x mod q
Realized by the calculation of
Commit disruption means,
α ₀ , α ₁ , β ₀ , β ₁ are randomly selected from {0,..., q−1},

as well as

Realized by the calculation of
Challenge disruption means
e: = ε−β ₀ −β ₁ mod q
Realized by the calculation of
Disturbance removal means,
ε ₀ : = c ₀ + β ₀ mod q,
σ ₀ : = s ₀ + α ₀ mod q,
ε ₁ : = c ₁ + β ₁ mod q
And σ ₁ : = s ₁ + α ₁ mod q
Realized by the calculation of
Signature verification means, H ₁ and H ₂ as hash functions,

The partial blind signature method according to claim 1, wherein if the condition is satisfied, it is OK, and if not, it is realized by NG.