JPH09160492A

JPH09160492A - 署名方式

Info

Publication number: JPH09160492A
Application number: JP7324908A
Authority: JP
Inventors: Mitsuko Miyaji; 充子宮地
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1995-12-13
Filing date: 1995-12-13
Publication date: 1997-06-20
Anticipated expiration: 2015-12-13
Also published as: JP3540477B2

Abstract

(57)【要約】【課題】メッセージ復元が可能かつ安全の高い署名方
式を可能とする。【解決手段】以下の１、２を充たすGF(p) ×GF(p) か
らGF(p) への写像f をメッセージマスク式とする。１：GF(p) ∋g, y_A, m, Zq=｛0,1,…,q-1｝∋t, j, e
に対し、f(g ^ty _A ^j, my_A ^e) 及びf(g ^tyA^j, m
g^e) において、３変数t,j,eが２個の代数式で置き換え
られない。 2:同じく、r₂=f(r₁,m)の逆像はm=f ^-1(r₁,r₂) である以下の１、２を充たすGF(p) ×GF(p) ×GF(p) からGF
(p) への写像ha, hb, hcにて署名式を作る。 1. ha(r₂',s,1)=ha(rr₂',ss,1), hc(r₂',s,1)=hc(rr₂',
ss,1) のときhb(r₂',s,1)-ha(r₂',s,1)≠hb(rr₂',ss,1) 2. ha(r₂',s,1)=ha(rr₂',ss,1), hb(r₂',s,1)=hb(rr₂',
ss,1) のときhc(r₂',s,1)-ha(r₂',s,1)≠hc(rr₂',ss,1)

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報の通信保持技
術に関し、特に、離散対数問題を安全性の根拠として用
いるデジタル署名技術に関する。

【０００２】

【従来の技術】

（発明の技術的背景）本願発明に直接関係する技術は、
我国では未だ必ずしも一般に周知とは言いがたいので、
まず、間接的に関係する技術も含めて公開ディジタル通
信網を使用した暗号通信技術を広く一般的に説明する。
なお、この秘密通信方式等の一般技術については、わが
国では、学術書としては池野信一、小山謙二著「現代暗
号理論」電子通信学会発行１９８６年、一般向けと
しては、一松信著「暗号の数理」講談社刊１９８０
年に詳しい。

【０００３】近年、一般に公開されたディジタル通信回
線網を使用して相互に通信を行ったり、有料で放送番組
を提供したりすることがさかんになってきている。とこ
ろで、一般に公開された通信回線網を使用する場合、第
三者による盗聴や詐称、あるいは送信者による送信先の
間違いを完全に防止することは困難である。このため、
秘密通信方式並びに署名及び認証方式と呼ばれる通信方
式が重要なものとなっている。ここに、秘密通信方式と
は、特定の通信相手以外に通信内容を漏らすことなく通
信を行う方式である。また署名及び認証通信方式とは、
通信相手に通信内容の正当性を示したり、本人であるこ
とを証明する通信方式である。さて、この秘密通信及び
署名、認証通信の方式には、公開鍵暗号とよばれる数値
を利用した方式がある。そして、この公開鍵暗号による
方式は、ＮＴＴ等の公開ディジタル通信網により、国内
外の多数の相手と通信を行う等のごとく通信相手が多
数、しかも通信者が相互に暗号技術について本来的に素
人であるとき、通信相手ごとに異なる暗号鍵を容易に管
理するための方式であり、現在では多数の通信相手と通
信を行うのに不可欠な基盤技術とされている。

【０００４】以下、この暗号通信技術の基本的原理と手
順と特徴を２、３簡単に説明する。（１）有限体上の離散対数問題を使用した秘密通信方
式。なお、これはニイルコブリッツ著 ”アコウスイン
ナンバアセオリイアンドクリプトグラヒイ”(Nea
l koblitz , " A Course in Number Theoryand Cryptog
raphy ",Springer-Verlag,1987)に詳しく述べられてい
る。（原理）ｐを素数、ｇをその一の原始根、ｕを任意の自
然数、αをｇのｕ乗のｐを法とする剰余とする。すなわ
ち、ｇ^u≡α（ｍｏｄｐ）とする。この場合、ｇとｐ
とｕを与えられたときにαを求めるのは容易である。し
かし、ｐが１４０桁程度の素数となると、大型計算機の
発達した今日でも、ｇとｐとαからｕを求めるのは困難
である。これは丁度、２つの素数ｒとｓがあるときｒと
ｓからその積を求めるのは容易であるが、ｒとｓが各１
４０桁程度となれば、積は２８０桁となるため、これか
ら素因数分解によりｒとｓを求めるのは困難なことに似
る。（２）楕円曲線上の離散対数問題を使用した秘密通信方
式。

【０００５】しかしながら、近年の大型計算機の発達を
背景にして、数学の理論（類体論の高次相互律、分解法
則等）を使用して、ｇとｐとαとから比較的少ない計算
量でｕを求める方法が種々開発されつつある。その対策
の一としては、素数ｐを１４０桁程度のものでなく２０
０桁等充分に大きいものとすることがあげられる。ただ
し、この場合には、桁数が大きいだけに、送受信に際し
て必要な計算の絶対量が多くなる等の不都合が生じえ
る。

【０００６】これらのため、楕円曲線を使用した秘密通
信方式が開発された。（原理）次にＥ｛ＧＦ（ｑ）｝の性質、すなわち秘密通
信の根拠の原理について説明する。Ｅ｛ＧＦ（ｑ）｝の
位数が大きな素数で割れる元ＢＰをベースポイント、ｄ
は任意の自然数とする。このとき、ＢＰとｄとからｄ・
ＢＰを計算する（ＢＰをｄ回加える）のは容易である。
しかし、Ｅ｛ＧＦ（ｑ）｝の与えられた元ＱとＢＰに対
して、Ｑ＝ｄ・ＢＰとなる自然数ｄが存在するならばｄを求めよという問題
は、計算機の発達した今日でもＢＰやｑ等が３０桁程度
の自然数となるならば困難である。なお、ここにＢＰ
は、ｐを法とする有限体ＧＦ（ｐ）上でのｇに相当する
役を担うものである。

【０００７】以上で、暗号通信の一般技術の概略説明は
終了する。（３）署名、認証通信次に、本願発明に関係する技術たる署名、認証通信につ
いて説明する。有限体上の離散対数問題におけるユーザ
ＵとユーザＶの共有鍵ｋ_uvを使用しての秘密通信を例に
とるならば、ユーザＵあるいはユーザＶにとって、一番
最初に確かに相手がユーザＶあるいはユーザＵであるこ
とを認証すること、すなわち第三者による詐称を排除す
る必要がある。

【０００８】この場合、ユーザＵとユーザＶとが面談、
書留め郵便等により直接確認する手段もあるが、国際間
はもとより国内の通信においても煩雑となる。この解決
手段として、通信網による公開された数値情報を利用し
て署名、認署を行う技術が開発されている。以下この技
術について、２、３紹介する。（通信網提供者による署名認署）最初、システム初期設
定として、通信網提供者が、その秘密鍵Ｘと、端末の秘
密鍵を生成するためのある秘密鍵生成関数Ｓを保有し、
端末の公開鍵を生成するための所定の公開鍵生成関数Ｐ
と、所定の一方向性関数Ｆと、秘密鍵Ｘを一方向性関数
Ｆに入力したときの出力値Ｙ＝Ｆ（Ｘ）とを端末情報発
行センターの公開情報として公開ディジタル通信網を使
用する各ユーザに通知する。

【０００９】次に、送信に際して、送信者の正当性の証
明を欲するユーザＵが、その端末固有の識別情報ＩＤ_u
と、自分で作成した秘密鍵をもとに作成した公開値をセ
ンターに通知し、その登録を請求する。なお、秘密鍵ｘ
と公開値との間には、ｘ＝Ｓ（ｘ，ｙ，ｋ，ＩＤ_u）の
関係がある。ここに、ｙ＝Ｆ（ｋ）、またｋは乱数値で
ある。

【００１０】ユーザＵからの請求を受けた通信網提供者
が、ユーザＵの公開値ｙ_uを他のユーザに公開する。す
なわち、ユーザＵは、検証用公開鍵として、その秘密鍵
ｘを前記一方向性関数Ｆに入力したときの出力値ｙ_u＝
Ｆ（ｘ）を生成し、送信相手となるユーザＶに対して、
自分の公開情報として、その公開値ｙと識別情報ＩＤｕ
とｙ_uを、公開ディジタル通信網を介して転送する。

【００１１】ユーザＶは、ユーザＵからその端末公開情
報の転送を受けると、ユーザＵの公開鍵として、網提供
者の公開情報Ｙと、ユーザＵの公開値ｙと、その識別情
報ＩＤｕとを公開鍵生成関数Ｐに入力したときの出力値
Ｃ＝Ｐ（Ｙ，ｙ，ＩＤｕ）を生成するこの上で、生成さ
れたユーザＵの公開鍵Ｃと前記検証用公開鍵ｙ_uを比較
し、一致するか否かを確認する。一致したならば、確か
に送信者はユーザＵであると認める。

【００１２】これにより、ユーザＶは網提供者の発行し
た公開値Ｙを使用してユーザＵから送信されてきた公開
鍵を入手しえ、ひいては確かにユーザＵから送られてき
たものと認められる。以上の概略の手順、必要な構成を
図２に示す。なお、認証は必ずしも通信網提供者とは限
らないのも勿論である。

【００１３】次に、具体的な関数式、関数値としての各
鍵の値等としては、Ｙは、式Ｙ≡Ｆ（Ｘ）≡ｇ^x（ｍｏ
ｄｐ）等が用いられ、ｋｕは乱数発生機により計算さ
れ、Ｙｕは、式Ｙｕ≡ｇ∧ｋｕ（ｍｏｄｐ）により計
算し、ｘｕは、式ｘｕ≡Ｓ（Ｘ，ｙｕ，ｋｕ，ＩＤｕ）
≡Ｘ×ｙｕ＋ｋｕ×ＩＤｕ（ｍｏｄ φ）、（ここに、
φはｐのオイラー関数値）等により計算され、Ｐｕは、
式Ｐｕ＝Ｐ（Ｙ，ｙｕ，ＩＤｕ）≡（Ｙ∧ｙｕ）×（ｙ
ｕ∧ＩＤｕ）（ｍｏｄｐ）等により計算される。なおここに、オイラーの関数ψと
は、整数である変数の値より小さいかつその変数と互に
素な整数の個数をいい、例えばψ（ｐ）＝ｐ−１，ψ
（６）＝２（注、１と５），ψ（１０）＝４（注、１、
３、７、９）である。また、任意の互に素な２つの整数
ｕとｖの間には、ｕ∧ψ（ｖ）−１≡０（ｍｏｄｖ）
という関係が常に成立する。例えば、３ψ⁽¹⁰⁾−１＝３
⁴−１＝８０≡０（ｍｏｄ１０）である。また、素数
ｐについては、必ずｎ^p−１≡０（mod P ）となり、こ
の対偶として、任意の整数ｍについて、何か１つの整数
ｎに対してｎ^m−１≡０（mod ｎ）が成立しないなら
ば、ｍは素数でないことがわかる。（第３者による署名、認証）次に、ユーザＵとユーザＶ
との認証に第三のユーザＷを介する方式ものもある。こ
の場合には、ユーザＵとユーザＷ、ユーザＶとユーザＷ
とは相互に認証が必要であるが、ユーザＵとユーザＶと
の直接の認署は不要となる。そしてこれは、銀行（ユー
ザＷに相当）を介しての金銭取引等で重要である。

【００１４】なお、これら署名、認証の内容、方式につ
いては別途本願出願人が、特願平２−３２４４７９号
「公開鍵生成方法及び装置」等にて開示し、また前掲の
現代暗号理論にても種々記載されている周知技術である
ため、これ以上の説明は省略する。（４）メッセージ復元署名次に、署名、認署についての技術の一として、本願発明
に直接関係するメッセージ復元型署名について説明す
る。

【００１５】１９９３年にNyberg-Rueppelにより離散対
数問題に安全性の根拠をおくメッセージ復元型署名が発
表された。以下に離散対数問題を用いたメッセージ復元
型署名のひとつについて述べる。これについて詳しく
は、Nyberg and Rueppel,"A new signature scheme bas
ed on the DSA giving message recovery",1st ACM Con
f. on Comp. and Comm. Security, 1993 を参照された
い。（メッセージ復元型署名の従来例）図３は、従来技術と
しての、上記Nyberg-Rueppel方式におけるメッセージ復
元型署名の手順及び構成を示すものである。

【００１６】以下、本図を参照しながら従来例の手順を
説明する。（１）センターによる初期設定 p を素数、GF(p) の元をg としその位数をq とする。セ
ンターは、システムパラメータとしてp ，q ，g を全ユ
ーザ、すなわち公開ディジタル通信網に接続された全端
末に公開する。（２）ユーザＡによる秘密鍵の生成と公開鍵の登録要求
の発生。

【００１７】署名通信を希望するユーザＡが、その端末
情報とを作成し、これを使用してしての秘密鍵と対応す
る公開鍵も作成し、公開鍵の登録をセンターに要求す
る。このためユーザＡは、乱数ｘ_Aを発生させ、これを
自分の秘密鍵x _Aとし、対応する公開鍵をy _A≡gx_A
(mod P)により求める。更にセンターを経由して、全ユ
ーザにユーザＡの公開鍵y _Aを公開する。（３）ユーザＡによる署名の生成及び送信。

【００１８】ユーザＢに署名、認署通信の発信を行うユ
ーザＡは、以下の処理を行う。１．乱数ｋを生成させる。２．次いで、以下の演算を行う。なお、ここにｍは通信
文である。 r₁≡g ^k (mod p) r₂≡m ／r₁ (mod p)…(a) r₂’≡r₂ (mod q) s ≡k −r₂’x _A (mod q)…(b) を計算する。

【００１９】３．ユーザＡは(r₂，s)を、ユーザＢに送
信する。（４）ユーザＢによる受信したメッセージの復元ユーザＢは、以下の式を計算することにより、メッセー
ジm を復元する。１．g ^sy _A ^r2'r₂≡m (mod p) ここで、上記r₁はコミットメントと呼ばれ、(a) はメッ
セージマスク式, (b)は署名式と呼ばれる。

【００２０】上記従来例は、従来不可能であった離散対
数問題に基づくメッセージ復元型署名を可能にする。ま
た署名式(b) は以下のように６（＝３！）種類の式に一
般化される。 ak = b + cx _A(mod q), (a,b,c)=(1,r₂',s)の置換…
(b')

【００２１】

【発明が解決しようとする課題】しかしながら、この従
来例のメッセージ復元型署名に対しては、式が（ａ）と
（ｂ）が簡単なため変形が容易であり、例えばｙ_A及ぶ
ｇのべき乗並びにｍについての掛け算の式が、３変数よ
り２変数の式に置換しえる等のため近年幾つかの攻撃
recovery-equation attack using g and yA, signature
-equation attackusing g and yA,and homomorphism at
tack （各「ｇとｙ_Aを使用した再生攻撃」、「ｇとｙ
_Aを使用した署名攻撃」及び「準同型攻撃（選択平文攻
撃）」が発表された。これについて詳しくは、宮地充
子、「メッセージ復元型署名の弱点１」、電子情報通信
学会、情報セキュリティ研究会、１９９５, ７月及びNy
bergand Rueppel, "A new signature scheme based on
the DSA giving message recovery", 1st ACM Conf.
on Comp. and Comm.Security, 1993及びNyberg andRu
eppel, "Message recovery for signature schemes bas
ed on the discretelogarithm problem", Advances in
cryptology-Proceedings of Eurocrypt'94,Lecture Not
es in Computer Science, 950(1995), Springer-Varla
g, 182-193を参照されたい。なお、参考までにその攻撃
の１つを図４に示す。

【００２２】これらに加えて、次に述べる冗長性を利用
した攻撃（redundancy attack）が存在する。署名通信
等では、解読の困難性からはｐ、ｑは大きい程好ましい
が、必要な演算が少なくて済む等の面からは小さい方が
好ましい。このかねあいから実際的にはｐは５１２ビッ
ト、１０２４ビット程度の素数が使用されるが、ｑは１
６０ビット程度の数が使用される。この場合、上記
ｒ₂′≡ｒ₂（mod ｑ）の式では、ｐ以下でｒ₂′以外
にこの式を充たす数ｒｒ₂が存在しうる。本読解はこれ
を利用したものである。

【００２３】今、偽造者が一つの署名(r₂,s)を手にいれ
たとき、容易にこの署名文ｍが復元できるが、このとき rr₂=r₂'+q (mod p) （ここに、ｒｒ₂とは
ｒ₂の偽を意味する。） mm=rr₂×(m/r₂) （ここに、ｍｍとは、ｍの偽を意
味する）を計算し、第三者に(rr₂,s) を送信する。これを受け取
った第三者は、Ａの公開鍵を用いて従来例に示した復元
方法でmmを復元し、Ａから送られたと思ってしまう。こ
の結果、偽造者はＡになりすますことができる。

【００２４】参考までに、この攻撃の概要を図５に示
す。なお、本図の「チルダー」は偽造者が署名を生成す
ることを意味する。これら６つの攻撃により、上記従来
例のメッセージ復元型署名方式は、署名式の形によら
ず、ある文の署名の偽造が一組の文と署名のペアを得る
だけで可能になり、安全な方式とはいえなくなった。

【００２５】そして、これらのことは、楕円曲線を使用
した場合にもあてはまる。以上説明してきたように最近
になってメッセージ復元型署名は、その解読方法が考案
され、このためこの署名は安全でないことがわかった。
この解読方法は従来の署名（メッセージを復元できない
署名）には適応できないことがわかっている。しかし、
メッセージ復元性は有用な性質であり、この性質を保持
しつつ解読が回避できることが望ましいといって、あま
り複雑な署名式、メッセージマスク式を採用したりする
のは、必要な計算量の減少を図るという面から好ましく
ない。

【００２６】本発明は、この従来例における問題点を鑑
みてなされたもので、メッセージ復元性を保ちながら、
提案された各種の解読に対して強い、しかも必要な計算
量の少ないメッセージ復元型署名方式を提供することを
目的とする。

【００２７】

【課題を解決するための手段】本発明における署名方式
は、p を素数とし、有限体GF(p) の元をg とし、その位
数をq とし、GF(p) 上定義される署名方式において、署
名者A の秘密鍵をx _A、公開鍵をy _A=g^xAとし、署名し
たい文をm ∈GF(p) とするとき、k を署名者が任意にと
る乱数とし、コミットメントr₁=g^kとし、r₁' ≡r₁ (m
od q), m' ≡m(mod q) とし、ha, hb, hcを有限環Z _q
×Z _q×Z _qからZ _qへの写像とするとき、署名式を、
ha(r₁',s,m')k ≡ hb(r₁',s,m') + hc(r₁',s,m')x _A(m
od q)からs が計算できるように構成している。これに
より、各種の攻撃を回避する。

【００２８】また、本発明におけるメッセージ復元を可
能にするメッセージマスク式を使用したメッセージ復元
型署名方式は、メッセージマスク式として、p を素数と
し、有限体GF(p) の元をg とし、その位数をq とし、GF
(p) 上定義される署名方式において、署名したい文をm
∈GF(p) とするとき、k を署名者が任意にとる乱数と
し、r₁≡ g^k（mod p ）を署名生成処理におけるコミッ
トメントとし、GF(p) ×GF(p) からGF(p) への写像をf
とするとき、r₁とm をf により変換したf(r₁，m)を用い
る。これにより、各種の攻撃を回避する。

【００２９】また、本発明における署名方式、メッセー
ジ復元型署名方式は、ＥＧ（ｐ^r），Ｅ（ＧＦ
（ｐ））、Ｅ（ＧＦ（ｐ^r）上でもなされる。

【００３０】

【発明の実施の形態】従来技術で記載した目的を達成す
るため、請求項１の発明では、特にGF(p) 上のメッセー
ジ復元型署名において、p を素数とし、有限体GF(p) の
元をg とし、その位数をq とし、GF(p) 上定義される署
名方式において、署名したい文をm ∈GF(p) とすると
き、k を署名者が任意にとる乱数とし、r₁＝ g^kを署名
生成処理におけるコミットメントとし、GF(p) ×GF(p)
からGF(p) への写像をf とするとき、r₁とm をf により
変換したf(r₁，m)を用いて署名生成処理におけるメッセ
ージ復元を可能にすることを特徴としている。

【００３１】請求項２の発明では、特にGF(p^r) 上のメ
ッセージ復元型署名において、p を素数とし、r を正整
数とし、有限体GF(p^r) の元をg とし，その位数をq と
し、GF(p^r) 上定義される署名方式において、署名した
い文をm ∈GF(p^r) とするとき、k を署名者が任意にと
る乱数とし，r₁＝g ^kをコミットメントとし、GF(p^r)
×GF(p^r) からGF(p^r) への写像をf₁とし，GF(p^r) か
ら有限環Z _pr＝｛0,1,…,p^r-1｝への写像をπとすると
き、r₁とm をf₁により変換し，この値を更にπを用いて
変換したπ(f₁(r₁，m)) を用いて署名生成処理における
メッセージ復元を可能にすることを特徴としている。

【００３２】請求項３の発明では、特にGF(p) 上のメッ
セージ復元型署名において、p を素数とし、有限体GF
(p) 上定義された楕円曲線をE とし、E(GF(p))の元をG
とし、その位数をq とし、E(GF(p))上定義される署名方
式において、署名したい文をm∈GF(p) とするとき、k
を署名者が任意にとる乱数とし、R₁＝kG＝(r_x, ry) を
コミットメントとし、E(GF(p))×GF(p) からGF(p) への
写像をFとするとき、R₁とm をにF より変換したF(R₁，
m)を用いて署名生成処理におけるメッセージ復元を可能
にすることを特徴としている。

【００３３】請求項４の発明では、特にE(GF(p^r))上の
メッセージ復元型署名において、pを素数とし、r を正
整数とし、有限体GF(p^r) 上定義された楕円曲線をE と
し、E(GF(p^r))の元をG とし、その位数をq とし、E(GF
(p^r))上定義される署名方式において、署名したい文を
m ∈GF(p^r) とするとき、k を署名者が任意にとる乱数
とし、R₁＝kG＝(r_x, r_y) をコミットメントとし、E(GF
(p^r))×GF(p^r) からGF(p^r) への写像をF₁とすると
し、GF(p^r) から有限環Z _prへの写像をπとするとき、
R₁とm をF₁により変換し、この値を更にπを用いて変換
したπ(F₁(R₁，m)) を用いて署名生成処理におけるメッ
セージ復元を可能にすることを特徴としている。

【００３４】請求項５の発明では、特にメッセージ復元
型署名の上のrecovery-equation 攻撃を回避するため、
写像f は、GF(p) ∋g, y_A及び m, 並びにZq= ｛0,1,
…,q-1｝∋t, j及びe に対し、f(g ^ty _A ^j， my
_A ^e）及びf(g ^ty _A ^j, mg^e) において、３変数t,
j,e が２個の代数式で非置換である（置き換えられな
い）ことを特徴としている。

【００３５】請求項６の発明では、特にメッセージ復元
型署名の上のrecovery-equation 攻撃を回避するため、
写像f は、GF(p^r) ∋g, y_A及びm 並びにZ _q= ｛0,1,
…,q-1｝∋t, j及びe に対し、f₁(g^ty _A ^j,my _A ^e)
及びf₁(g^ty _A ^j, mg^e) において、３変数t,j,e が２
個の代数式で非置換である（置き換えられない）ことを
特徴としている。

【００３６】請求項７の発明では、特にメッセージ復元
型署名の上のrecovery-equation 攻撃を回避するため、
写像F は、E(GF(p))∋G 及びY _A, GF(p)∋m 並びにZ
_q=｛0,1,…,q-1｝∋t, j及びe に対し、F(tG+jY _A, m
×x(eY_A))及びf(tG+jy _A, m ×x(eG))において、３変
数t,j,e が２個の代数式で非置換（置き換えられないこ
とを特徴としている。

【００３７】請求項８の発明では、特に特にメッセージ
復元型署名の上のrecovery-equation 攻撃を回避するた
め、写像F₁は、E(GF(p^r))∋G 及びY _A, GF(p^r) ∋m
並びにZ _q= ｛0,1,…,q-1｝∋t, j及びe に対し、f(tG
+jY _A, m ×x(eY_A))及びf(tG+jY _A, m ×x(eG))にお
いて、３変数t,j,e が２個の代数式で非置換である（置
き換えられない）ことを特徴としている。

【００３８】請求項９の発明では、特に特にメッセージ
復元型署名の上のhomomorphism攻撃を回避するため、写
像f は、GF(p) ∋r₁, r₂, m, g及びy _Aに対し、r₂=f(r
₁,m)の逆像をm=f ^-1(r₁,r₂) で定義するとき、任意の２
変数関数φ，ψに対してf ^-1(r₁/g, r₂)≠φ(m,g) 及び
f ^-1(r₁/y _A, r₂) ≠ψ(m,y_A) となることを特徴とし
ている。

【００３９】請求項１０の発明では、特に特にメッセー
ジ復元型署名の上のhomomorphism攻撃を回避するため、
写像f₁は、GF(p^r) ∋r₁, r₂, m, g及びy _Aに対し、r₂
=f₁(r₁,m) の逆像をm=f₁ ^-1(r₁,r₂) で定義するとき、任
意の２変数関数φ，ψに対してf₁ ^-1(r₁/g, r₂) ≠φ
(m,g) 及びf₁ ^-1(r₁/y _A, r₂) ≠ψ(m,y_A) となること
を特徴としている。

【００４０】請求項１１の発明では、特に特にメッセー
ジ復元型署名の上のhomomorphism攻撃を回避するため、
写像F は、E(GF(p))∋R₁, Y _A及びG 並びにGF(p) ∋ m
及びr₂に対し、r₂=f(R₁,m)の逆像をm=f ^-1(R₁,r₂) で定
義するとき、任意の２変数関数φ，ψに対してf ^-1(R₁-
G, r₂)≠φ(m,G) 及びf ^-1(R₁-Y _A, r₂) ≠ψ(m,Y_A)
となることを特徴としている。

【００４１】請求項１２の発明では、特に特にメッセー
ジ復元型署名の上のhomomorphism攻撃を回避するため、
写像F₁は、E(GF(p^r))∋R₁, Y _A及びG 並びにGF(p^r)
∋ m及びr₂に対し、r₂=f(R₁,m)の逆像をm=f ^-1(R₁,r₂)
で定義するとき、任意の２変数関数φ，ψに対してf ^-1
(R₁-G, r₂)≠φ(m,G) 及びf ^-1(R₁-Y _A, r₂) ≠ψ(m,Y
_A) となることを特徴としている。

【００４２】請求項１３の発明では、特にメッセージ復
元型署名の上のrecovery-equation,homomorphism攻撃を
回避するため、写像f は、(r，y)→r ＋y(GF(p) 上の加
算)で定義されることを特徴としている。請求項１４の
発明では、特にメッセージ復元型署名の上のrecovery-e
quation,homomorphism攻撃を回避するため、写像f1は、
(r，y)→r ＋y(GF(p^r) 上の加算) で定義されることを
特徴としている。

【００４３】請求項１５の発明では、特にメッセージ復
元型署名の上のrecovery-equation,homomorphism攻撃を
回避するため、写像F は、楕円曲線のｘ座標関数を用い
て、(R，y)→x(R)＋y(GF(p) 上の加算) で定義されるこ
とを特徴としている。請求項１６の発明では、特にメッ
セージ復元型署名の上のrecovery-equation,homomorphi
sm攻撃を回避するため、写像F1は、楕円曲線のｘ座標関
数を用いて、(R，y)→x(R)＋y(GF(p^r) 上の加算) で定
義されることを特徴としている。

【００４４】請求項１７の発明では、特にメッセージ復
元型署名の上のrecovery-equation,homomorphism攻撃を
回避するため、写像πは、｛α₁，α₂，…，α_r｝を
GF(p ^r) のGF(p) 上の基底とするとき、GF(pr)の元ｘ＝
x₁α₁＋…＋x _rα_r( ｘ₁，…，ｘ_r∈GF(p))に対し
て、π( ｘ) ＝x₁+x₂p+ …+x_rp ^r-1で定義されること
を特徴としている。

【００４５】請求項１８の発明では、GF(p) 上のメッセ
ージ復元型署名の上の攻撃を回避するため、p を素数と
し、有限体GF(p) の元をg とし、その位数をq とし、GF
(p)上定義される署名方式において、署名者A の秘密鍵
をx _A、公開鍵をy _A=g^xAとし、署名したい文をm ∈GF
(p) とするとき、k を署名者が任意にとる乱数とし、r₂
をコミットメントr₁=g^kとm により計算されるGF(p) の
元とし、r₂' ≡r₂ (mod q) とし、ha, hb, hcを有限環
Z _q×Z _q×Z _qからZ _qへの写像とするとき、署名式
を、ha(r₂',s,1)k ≡ hb(r₂',s,1) + hc(r₂',s,1)x _A
(mod q) からsが計算できるように構成することを特徴
としている。

【００４６】請求項１９の発明では、特にGF(p^r) 上の
メッセージ復元型署名の上の攻撃を回避するため、p を
素数とし、r を正整数とし、有限体GF(p^r) の元をg と
し、その位数をq とし、GF(p^r) 上定義される署名方式
において、署名者A の秘密鍵をx _A、公開鍵をy _A=g^xA
とし、署名したい文をm ∈GF(p^r) とするとき、k を署
名者が任意にとる乱数とし、r₂をコミットメントr₁=g^k
とm により計算される有限環Z _prの元とし、r₂' ≡r₂
(mod q) とし、ha, hb, hcを有限環Z _q×Z _q×Z _qか
らZ _qへの写像とするとき、署名式を、ha(r₂',s,1)k
≡ hb(r₂',s,1)+ hc(r₂',s,1)x _A(mod q)からs が計算
できるように構成することを特徴としている。

【００４７】請求項２０の発明では、特にE(GF(p))上の
メッセージ復元型署名の上の攻撃を回避するため、p を
素数とし、有限体GF(p) 上定義された楕円曲線をE と
し、E(GF(p))の元をG とし、その位数をq とし、E(GF
(p))上定義される署名方式において、署名したい文をm
∈GF(p) とするとき、k を署名者が任意にとる乱数と
し、r₂をコミットメントR₁=kG とm により計算されるGF
(p) の元とし、r₂' ≡r₂ (mod q) とし、ha, hb, hcを
有限環Z _q×Z _q×Z _qからZ _qへの写像とするとき、
署名式を、ha(r₂',s,1)k ≡ hb(r ₂,s,1) + hc(r₂',s,
1)x _A(mod q) からsが計算できるように構成すること
を特徴としている。

【００４８】請求項２１の発明では、特にE(GF(p^r) 上
のメッセージ復元型署名の上の攻撃を回避するため、p
を素数とし、r を正整数とし、有限体GF(p^r) 上定義さ
れた楕円曲線をE とし、E(GF(p^r))の元をG とし、その
位数をq とし、E(GF(p^r))上定義される署名方式におい
て、署名したい文をm ∈GF(pr)とするとき、k を署名者
が任意にとる乱数とし、r₂をコミットメントR₁=kG とm
により計算される有限環Z _prの元とし、r₂' ≡r₂ (mod
q) とし、ha, hb, hcを有限環Z _q×Z _q×Z _qからZ
_qへの写像とするとき、署名式を、ha(r₂',s,1)k ≡ h
b(r₂',s,1) + hc(r₂',s,1)x _A(mod q) からs が計算で
きるように構成することを特徴としている。

【００４９】請求項２２の発明では、特にメッセージ復
元型署名の上のsignature-euqaion攻撃を回避するた
め、写像ha,hb, hc は、r₂',s をZ _qの元とするとき、
予め固定された少数値を除く任意のZ _qの元rr₂', ssに
対して、次の二つの条件1. ha(r₂',s,1)=ha(rr₂',ss,
1), hc(r₂',s,1)=hc(rr₂',ss,1) のときhb(r₂',s,1)-ha
(r ₂',s,1) ≠hb(rr₂',ss,1)2. ha(r₂',s,1)=ha(rr₂',s
s,1), hb(r₂',s,1)=hb(rr₂',ss,1)のときhc(r₂',s,1)-h
a(r₂',s,1)≠hc(rr₂',ss,1) を満足することを特徴とし
ている。

【００５０】請求項２３の発明では、特にメッセージ復
元型署名の上のsignature-equation、比例攻撃を回避す
るため、写像ha,hb,hcは、ha(r₂',s,1)=r₂', hc(r₂',s,
1)=sとし、hb(r₂',s,1) は、r₂'=rr₂', s=ssのとき、hb
(r₂',s,1)=hb(rr₂',ss,1) 、r₂'=rr₂', hb(r₂',s,1)=hb
(rr₂',ss,1) のとき、s=ss、hb(0, 0, 1) ≠0,を満たす
ことを特徴としている。

【００５１】請求項２４の発明では、特にメッセージ復
元型署名の上のsignature-equation, 比例攻撃を回避す
るため、写像ha,hb,hcは、ha(r₂',s,1)=s, hc(r₂',s,1)
=r₂'とし、hb(r₂',s,1) は、s=ss, r₂'=rr₂', のとき、
hb(r₂',s,1)=hb(rr₂',ss,1)、s=ss, hb(r₂',s,1)=hb(rr
₂',ss,1) のとき、r₂'=rr₂'、hb(0, 0, 1) ≠0 を満た
すことを特徴としている。

【００５２】請求項２５の発明では、特にメッセージ復
元型署名の上のsignature-equation, 比例攻撃を回避す
るため、写像ha,hb,hcは、ha(r₂',s,1)=s, hb(r₂',s,1)
=r₂'とし、hc(r₂',s,1) は、r₂'=rr₂', s=ssのとき、hc
(r₂',s,1)=hc(rr₂',ss,1) 、s=ss, hc(r₂',s,1)=hc(r
r₂',ss,1) のとき、r₂'=rr₂'hc(0, 0, 1) ≠0 を満たす
ことを特徴としている。

【００５３】請求項２６の発明では、特にメッセージ復
元型署名の上のsignature-equation, 比例攻撃を回避す
るため、写像ha,hb,hcは、ha(r₂',s,1)=r₂', hb(r₂',s,
1)=sとし、hc(r₂',s,1) は、r₂'=rr₂', s=ssのとき、hc
(r₂',s,1)=hc(rr₂',ss,1) 、r₂'=rr₂', hc(r₂',s,1)=hc
(rr₂',ss,1) のとき、s=ss、hc(0, 0, 1) ≠0 を満たす
ことを特徴としている。

【００５４】請求項２７の発明では、特にメッセージ復
元型署名の上のsignature-equation, 比例攻撃を回避す
るため、写像ha,hb,hcは、hc(r₂',s,1)=s, hb(r₂',s,1)
=r₂'とし、ha(r₂',s,1) は、r₂'=rr₂', ha(r₂',s,1)=ha
(rr₂',ss,1) のとき、s=ss、s=ss, ha(r₂',s,1)=ha(r
r₂',ss,1) のとき、r₂'=rr₂'、ha(0,0,1) ≠0 を満たす
ことを特徴としている。

【００５５】請求項２８の発明では、特にメッセージ復
元型署名の上のsignature-equation、比例攻撃を回避す
るため、写像ha,hb,hcは、hc(r₂',s,1)=r₂', hb(r₂',s,
1)=sとし、ha(r₂',s,1) は、r₂'=rr₂', ha(r₂',s,1)=ha
(rr₂',ss,1) のとき、s=ss、s=ss, ha(r₂',s,1)=ha(r
r₂',ss,1)のとき、r₂'=rr₂'、ha(0,0,1) ≠0 を満たす
ことを特徴としている。

【００５６】請求項２９の発明では、特にメッセージ復
元型署名のsignature-equation、比例攻撃を回避するた
め、写像hb(r₂',s,1) は、hb(r₂',s,1)=r₂' ＋s ＋1 で
定義されることを特徴としている。請求項３０の発明で
は、特にメッセージ復元型署名の上のsignature-equati
on、比例攻撃を回避するため、写像hb(r₂',s,1) は、hb
(r₂',s,1)=r₂' ×s ＋1 で定義されることを特徴として
いる。

【００５７】請求項３１の発明では、特にメッセージ復
元型署名の上のsignature-equation、比例攻撃を回避す
るため、写像hc(r₂',s,1) は、hc(r₂',s,1)=r₂' ＋s ＋
1 で定義されることを特徴としている。請求項３２の発
明では、特にメッセージ復元型署名の上のsignature-eq
uation、比例攻撃を回避するため、写像hc(r₂',s,1)
は、hc(r₂',s,1)=r₂' ×s ＋1 で定義されることを特徴
としている。

【００５８】請求項３３の発明では、特にメッセージ復
元型署名の上のsignature-equation、比例攻撃を回避す
るため、写像ha(r₂',s,1) は、ha(r₂',s,1)=0 となる解
(r₂',s) が有限時間（ビットデータの多項式、すなわち
非指数時間）で確定できることを特徴としている。請求
項３４の発明では、特にメッセージ復元型署名の上のsi
gnature-equation、比例攻撃を回避するため、乱数k
を、メッセージマスク式で計算されるr₂と署名式で計算
されるs に対して、ha(r₂',s,1) ≠0 であるように取っ
てくることを特徴としている。

【００５９】請求項３５の発明では、特にメッセージ復
元型署名の上のsignature-equation、比例攻撃を回避す
るため、写像ha(r₂',s,1) は、ha(r₂',s,1)=r₂'+s+1 で
あることを特徴としている。請求項３６の発明では、特
にメッセージ復元型署名の上のsignature-equation、比
例攻撃を回避するため、写像ha(r₂',s,1) は、ha(r₂',
s,1)=r₂' ×s ＋1 であることを特徴としている。

【００６０】請求項３７の発明では、特にGF(p) 上のメ
ッセージ復元型署名の上の攻撃を回避するため、p を素
数とし、q を（Ｐ／４）＜ｑとなる正整数とし、有限体
GF(p) の位数がq となる元をg とし、GF(p) 上定義され
る署名方式において、署名したい文をm ∈GF(p) とする
とき、乱数k を、コミットメントr₁＝g ^kとm により構
成されるGF(p) の元r₂が、０＜r₂＜q となるようにと
り、上記範囲を限定されたr₂を署名式に用いることを特
徴としている。

【００６１】請求項３８の発明では、特にGF(p^r) 上の
メッセージ復元型署名の上の攻撃を回避するため、 pを
素数とし、r を正整数とし、q を（Ｐ／４）＜ｑとなる
正整数とし、有限体GF(p^r) の位数がq となる元をg と
し、GF(p^r) 上定義される署名方式において、署名した
い文をm ∈GF(p^r) とするとき、乱数k を、コミットメ
ントr₁＝g ^kとm により構成されるZ _pr= ｛0,1,…,p
^r-1｝の元r₂が、０＜r₂＜q となるようにとり、上記範
囲を限定されたr₂を署名式に用いることを特徴としてい
る。

【００６２】請求項３９の発明では、特にE(GF(p))上の
メッセージ復元型署名の上の攻撃を回避するため、p を
素数とし、有限体GF(p) 上定義された楕円曲線をE と
し、E(GF(p))の元をG とし、その位数をq とし、E(GF
(p))上定義される署名方式において、署名したい文をm
∈GF(p) とするとき、乱数k を、コミットメントr₁＝g
^kとm により構成されるGF(p) の元r₂が、０＜r₂＜q と
なるようにとり、上記範囲を限定されたr₂を署名式に用
いることを特徴としている。

【００６３】請求項４０の発明では、特にGF(p^r) 上の
メッセージ復元型署名の上の攻撃を回避するため、p を
素数とし、r を正整数とし、有限体GF(p^r) 上定義され
た楕円曲線をE とし、E(GF(p^r))の元をG とし、その位
数をq とし、E(GF(p^r))上定義される署名方式におい
て、署名したい文をm ∈GF(p^r) とするとき、乱数k
を、コミットメントr₁＝g ^kとm により構成されるZ _pr
= ｛0,1,…,p^r-1｝の元r₂が、０＜r₂＜q となるように
とり、上記範囲を限定されたr₂を署名式に用いることを
特徴としている。

【００６４】請求項４１の発明では、特にE(GF(p))上の
メッセージ復元型署名の上の攻撃を回避するため、楕円
曲線E は、元の個数がp となるGF(p) 上の楕円曲線を用
いることを特徴としている。請求項４２の発明では、特
にメッセージ復元型署名の上の攻撃を回避するため、署
名したい文m に対し、m のハッシュ関数値hash(m) をm
の代わりに用いることを特徴としている。請求項４３の
発明では、特にE(GF(p))上のメッセージ復元型署名の上
の攻撃を回避するため、p を素数とし、有限体GF(p) の
元をg とし、その位数をq とし、GF(p) 上定義される署
名方式において、署名者A の秘密鍵をx _A、公開鍵をy
_A=g^xAとし、署名したい文をm ∈GF(p) とするとき、k
を署名者が任意にとる乱数とし、コミットメントr₁=g^k
とし、r₁' ≡r₁ (mod q), m' ≡m (mod q) とし、h
a, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、ha(r₁',s,m')k ≡ hb(r₁',s,
m') + hc(r₁',s,m')x _A(mod q) からs が計算できるよ
うに構成することを特徴としている。

【００６５】請求項４４の発明では、特にE(GF(p))上の
メッセージ復元型署名の上の攻撃を回避するため、p を
素数とし、r を正整数とし、有限体GF(p^r) の元をg と
し、その位数をq とし、GF(p^r) 上定義される署名方式
において、署名者A の秘密鍵をx _A、公開鍵をy _A=g^xA
とし、署名したい文をm ∈GF(p^r) とするとき、k を署
名者が任意にとる乱数とし、コミットメントr₁=g^kと
し、GF(p^r) から有限環Z _prへの写像をπとするとき、
r₁' ≡π(r₁) (mod q), m' ≡π(m) (mod q)とし、h
a, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、ha(r₁',s,m')k ≡ hb(r₁',s,
m') + hc(r₁',s,m')x _A(mod q) からs が計算できるよ
うに構成することを特徴としている。

【００６６】請求項４５では、特にE(GF(p))上のメッセ
ージ復元型署名の上の攻撃を回避するため、p を素数と
し、有限体GF(p) 上定義された楕円曲線をE とし、E(GF
(p))の元をG とし、その位数をq とし、E(GF(p))上定義
される署名方式において、署名したい文をm ∈GF(p) と
するとき、k を署名者が任意にとる乱数とし、コミット
メントR₁=kG とし、E(GF(p))からGF(p) への写像をρと
するとき、r1' ≡ρ(R ₁) (mod q), m' ≡m (mod q)
とし、ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへ
の写像とするとき、署名式を、ha(r₁',s,m')k ≡ hb
(r₁',s,m') + hc(r ₁',s,m')x _A(mod q) からs が計算
できるように構成することを特徴としている。

【００６７】請求項４６の発明では、特にE(GF(p))上の
メッセージ復元型署名の上の攻撃を回避するため、p を
素数とし、r を正整数とし、有限体GF(p^r) 上定義され
た楕円曲線をE とし、E(GF(p^r))の元をG とし、その位
数をq とし、E(GF(p^r))上定義される署名方式におい
て、署名したい文をm ∈GF(p^r) とするとき、k を署名
者が任意にとる乱数とし、コミットメントR₁=kG とし、
E(GF(p^r))からGF(p^r)への写像をρとするとし、GF(p
^r) から有限環Z _pr= ｛0,1,…,p^r-1｝への写像をπと
するとき、r₁' ≡π( ρ(R₁)) (mod q), m' ≡π(m)
(mod q) とし、ha, hb, hcを有限環Z _q×Z _q×Z _q
からZ _qへの写像とするとき、署名式を、ha(r₁',s,m')
k ≡ hb(r₁',s,m') + hc(r₁',s,m')x _A(mod q) からs
が計算できるように構成することを特徴としている。

【００６８】請求項４７の発明では、特にE(GF(p))上の
メッセージ復元型署名の上の攻撃を回避するため、写像
ρは、楕円曲線のｘ座標若しくはｙ座標関数を用いて、
R →x(R)若しくはＲ→ｙ（Ｒ）で定義されることを特徴
としている。請求項４８の発明では、特にE(GF(p))上の
メッセージ復元型署名の上の攻撃を回避するため、写像
πは、｛α₁，α₂，…，α_r｝をGF(p^r) のGF(p) 上
の基底とするとき、GF(p^r) の元ｘ＝x₁α₁＋…＋x _r
α_r( ｘ₁，…，ｘ_r∈GF(p))に対して、π( ｘ) ＝x₁
+x₂p+ …+x_rp ^r-1で定義されることを特徴としてい
る。

【００６９】

【実施例】

（第１実施例）以下、本発明を実施例に基づいて説明す
る。以下、本発明の第１実施例を、図を参照しつつ説明
する。まず、公開ディジタル通信網全体の構成について
説明する。

【００７０】図６は、本発明が実施される公開ディジタ
ル通信網全体の構成図である。本図において、１は通信
網提供者である。２は、公開ディジタル通信回線であ
る。２はディジタル通信回線である。３〜６は、公開デ
ィジタル通信回線２に接続されたユーザ端末（以下、単
に「ユーザ」と言う）Ａ、ユーザＢ、…、ユーザＵ、ユ
ーザＶである。本図に示すように、通信網提供者は、シ
ステムパラメータとして、２進数５１２ビットで表され
る素数ｐ、ｇ^q≡１（mod ｐ）となる最小の整数（位数）ｑが２５６ビットの整数ｑで
ある整数ｇ、ＧＦ（ｐ）上でｆ（ｒ_1,ｍ）≡ｒ₁＋ｍ
（mod ｐ）そしてその逆字像f ^-1がf ^-1（ｒ₁，ｆ（ｒ
₁，ｍ））≡ｍ（mod ｐ）を充たすメッセージマスク
式ｆ，Ｚｇ×Ｚｇ×ＺｇからＺｇへの写像で、ｈａ（ｒ
₂′，ｓ，１）＝ｓ、ｈｂ（ｒ₂′，ｓ，１）≡ｒ₂′
＋ｓ＋１（mod q ）、ｈｃ（ｒ₂′，ｓ，１）ｒ₂′を
充たす関数ｈａ、ｈｂ、ｈｃをシステムパラメータと各
ユーザに公開している。

【００７１】次に、図６に示す通信網提供者１とユーザ
３〜６の構成について説明する。図７は、通信網提供者
１により提供されたＩＣカードやユーザ自身が作成した
パソコン用プログラムの要部の構成図である。本図にお
いて、１１は秘密鍵作成要求受付部である。１２は、秘
密鍵発生部である。１３は、公開鍵作成部である。１４
は、公開鍵公開部である。１５は、秘密鍵通知形態作成
部である。１６は、秘密鍵通知部である。

【００７２】１３１は公開鍵作成部１３内のｇの２ⁿの
ｐを法とする剰余記憶部である。１３２は、同じく法取
り出し部である。１３３は、同じく乗算部である。１３
４は、同じく割算部である。以下、上記各部の作用等に
ついて説明する。秘密鍵作成要求受付部１１は、各ユー
ザ３〜６（本図ではユーザＡ）からの固有の秘密鍵の作
成要求を、ユーザのキーボードを使用しての操作等で受
け付ける。秘密鍵発生部１２は、秘密鍵作成要求受付部
１１が受け付けた要求をもとに、内蔵する乱数発生プロ
グラムにより２進数の乱数を発生させ、これを当該ユー
ザの秘密鍵とする。なお、本実施例では、乱数の発生に
際しては、同一の乱数発生を万が一にも防止し、併せて
整理の都合もあるため当該ユーザの公開ディジタル通信
網上での識別番号をも組み込んだものとしている。また
このため、乱数はｐと同じく５１２ビットとしている。
公開鍵作成部１３は、２進乱数発生部１２の発生させた
乱数をもとに公開鍵を作成する。なお、この手順は、後
で詳しく説明する。

【００７３】公開鍵公開部１４は、公開鍵作成部１３の
作成した公開鍵をその作成要求をなしたユーザ名と共
に、全ユーザに公開する。これは、通信網が正当性を承
認したユーザ名との公開鍵を対応して登録し、ＲＯＭ等
で発行し、また各ユーザの問い合わせに回答する。秘密
鍵通知形態作成部１５は、各ユーザの秘密鍵をその操作
ミスで外部へ漏出しないよう保護する。秘密鍵通知部１
６は、秘密鍵を共有鍵の作成等の必要に応じて使用しう
るようにする。

【００７４】次に、公開鍵作成部１３による公開鍵の作
成について説明する。公開鍵作成部１３は、ｇの２ⁿ乗
のｐを法とする剰余記憶部１３１と法取り出し部１３２
と、乗算部１３０と割算部１３４とを有する。ｇの２ⁿ
のｎを法とする剰余記憶部１３１は、ｇ、ｇ²、ｇ⁴、
ｇ⁸…等ｇの２の累べき剰のｐを法とする剰余ｇ₁、ｇ
₂…、ｇ_iをあらかじめ計算して、ＲＯＭに記憶してい
る。これを小さい数を例にとって、具体的に示す。ｐ＝
１１、ｇ＝２ならば、ｉ＝〔log₂１１〕＝３となり、
２³＜１１となるため、ｇ、ｇ ²、ｇ⁴として２、
２²、２⁴を、更に対応するｇ₁、ｇ₂、ｇ₄として
２、４、５を記憶している。法取り出し部１３２は、秘
密鍵発生部１２から２進数で表現された秘密鍵の通知を
受けると、その値で１が立つ桁に対応するｇ₁、ｇ₂、
…、ｇ_iを取り出す。これも、小さい数を例にとって具
体的にする。今ｘａ＝１０１（１０進の５）とする。１
位と３位（各、ｇの２の０乗と２の２乗）に１が立って
いる。このためｇ₁とｇ₄、すなわち２と５を取り出
す。乗算部１３３は、法取り出し部１３２の取り出した
法を掛け合わせる。割算部１３４は、乗算部１３３の乗
算結果をｎで割り、その剰余を求める。上記具体的数値
で示すならば、２^xa＝２⁵＝２×２⁴≡２×５≡１０
（mod 11) となる。そして、この剰余がユーザＡの公開
鍵とされる。なお、本実施例でｇの累べきを剰を採用し
ているのは、ｇ³、ｇ⁵等の法を採用するのよりも一般
的に処理が速く、演算機等も２進で作動することにあわ
せたものである。

【００７５】次に、署名付きの送信を行うユーザＡ側の
重要な処理の流れを図８に、重要な構成を図９と図１０
に示す。図９において、３１はｒ₂制御部である。３２
は２進乱数発生部である。３３はｒ₁演算部である。３
４は、通信文（ｍ）入力部である。３５は、ｆ関数部で
ある。３６は、ｑ記憶部である。３７は、排除部であ
る。また、３３１は、ｒ₁演算部内のべき剰余記憶部で
ある。また、３３２は、同じく法取り出し部である。３
３３は、同じく乗算部である。３３４は、同じく割算部
である。３５１は、ｆ関数部３５内の和算部である。３
５２は、同じく、割算部である。３７１は、排除部３７
内のｑ読み出し出力部３７１である。３７２は、同じく
引き算部である。３７３は、同じく比較部である。

【００７６】図１０において、３８はＳＫ部である。３
８１は、ＳＫ部３８内のｋ−１演算部である。３８２
は、同じくｒ₂＋１演算部である。３８３は、同じくｒ
₂ｘ_A演算部である。３８４は、同じくｒ₂＋１＋ｒ₂
ｘ_A演算部である。３８５は、同じく、Ｓ計算部であ
る。以下、上記各部の作用等について説明する。

【００７７】最初、システムパラメータの入手（ａ１）
と秘密鍵等の作成操作（ａ２）がなされ、秘密鍵の作成
及び公開鍵の登録がなされる（ａ３）。ｒ₂制御部３１
は、署名通信発信にあたり、２進乱数発生部３２とｍ入
力部３４の作用を調整、制御し、後に説明するが、必要
な繰り返し処理をも行う。通信文入力部３４は、署名発
信のための文、例えば「私は、特発許明です。電話番
号は０３─３５８１─１１０１。確認願います。」等の
文書をユーザにより入力され、これを数値（ｍ）化する
（ａ４）。

【００７８】２進乱数発生部３２は、コミットメント作
成のため署名発信毎に相異なる乱数を発生をさせる。ま
たこのため、発信日時等も乱数発生に使用される。（ａ
５）ｒ₁演算部３３は、発生された２進乱数ｋをもとにｒ₁
≡ｇ^k(mod ｐ）の演算により、ｒ₁を求める。このた
め、通信網提供者におけるｇの２ⁿのｐを法とする剰余
記憶部１３１、法取り出し部１３２、乗算部１３３、割
算部１３４と同じ構成作用をなす剰余記憶部３３１、法
取り出し部３３２、乗算部３３３、割算部３３４を有し
ている。（ａ６）ｆ関数部３５は、ｒ₁演算部３３で作成されたｒ₁と通
信文入力部３４で数値化された通信文ｍをもとに、メッ
セージマスク式ｆを使用して、ｒ₂≡ｆ（ｒ₁，ｍ）（m
od ｐ）の演算を行い、ｒ₂を求める。（ａ７）このため、（mod ｐ）上でのｒ₂≡ｒ₁＋ｍの和算を行
う和算部３５１と、和のｐを法とする剰余を求めるため
ｐでの割算を行う割算部３５２とを内蔵している。

【００７９】ｑ記憶部３６は、あらかじめ別途ユーザに
より入力されたｇをメモリーに記憶している。排除部３
７は、ｆ関数部３５から入力されたｒ₂とｑとの大小比
較を行い（ａ８）、ｒ₂がｑ以上となれば、前述の冗長
攻撃を回避すべくこの送信を行わず、この旨ｒ₂制御部
３１に通知する。

【００８０】この通知を受けた、ｒ₂制御部３１は、２
進乱数発生部３２に再度異なる乱数発生をなさしめて
（ａ９）先のｒ₁と異なるｒ₁を得、これと通信文入力
部３４に入力されている通信文ｍとでｆ関数を部３５に
ｆ関数作用させｔｅ、先と異なるｒ₂を求め、更にｑと
の大小比較を行わしめるというプロセスを、ｇ−ｒ₂が
正となるまで繰り返し実行させる。また、ｑ−ｒ₂が正
となれば、このｒ₂をＳＫ部３７へ出力する。またこの
ため、排除部３７は、ｑ読み出し部３７１と引き算部３
７２と比較部３７３とを内蔵している。ｑ読み出し部３
７１は、ｒ₂の入力があるとｑ記憶部３６からｑの値を
読み出し、引き算部３７２に通知する。引き算部３７２
は、通知されたｑからｒ₂の引き算を行う。比較部３７
３は、引き算部３７２の求めた差が０より小ならばｒ₂
制御部３１へこの旨通知するこのため、この値が正とな
るまで上述の手順を繰り返し実行されることとなる。ま
た、ｒ₂が正ならば、入力されたｒ₂をそのままＳＫ部
へ通知する。

【００８１】ＳＫ部３８は、署名式ｓＫ≡（ｒ₂＋ｓ＋
１）＋ｒ₂ｘ_a（mod ｐ）の演算により、送信対象とな
るメッセージを作成する（ａ１０）。図１４に示すよう
な構成である。そして、内蔵しているｋ−１演算部３８
１は、２進乱数発生部３８１にて発生された、そしてそ
れを使用して計算したｒ₂の値ががｑ未満という要件を
充たすこととなった乱数ｋから１を引き去る。なお、こ
の差をａとする。

【００８２】同じく、ｒ₂＋１演算部３７は、入力され
たｒ₂に１を加える。同じく、ｒ₂ｘ_a演算部３８３
は、排除部３７から入力されたｒ₂と図示しない秘密鍵
記憶部から入力されたｘ_Aとの積を求める。ｒ₂＋１＋
ｒ₂ｘ_A演算部３８４は、ｒ₂＋１演算部３８２から入
力されたｒ ₂＋１とｒ₂ｘ_A演算部３８３から入力され
たｒ₂ｘ_Aとの和を求める。なお、この和をｂとする。
ｓ計算部３８５は、ｋ−１演算部３８１が求めたａとｒ
₂＋１＋ｒ₂ｘ_A演算部３８４が求めたｂとを使用し
て、ｓ・ａ≡ｂ（mod ｑ）を充たすｓをユークソッド
の互除法により求める。そしてこの結果を図示しない送
信部へ送る。

【００８３】以上のもとで、署名を求める他のユーザＢ
へ、（ｒ₂，ｓ）が署名文として送信されることとな
る。（ａ１１）図１１は、署名文を受信したユーザ側の重要な処理の流
れを示す図であり、図１２は構成図である。本図におい
て、４１は受信部である。４２は、拒絶部である。４３
は、ｑ記憶部である。４４は、ｙａ記憶部である。４５
は、ｒ₂記憶部である。４６は、ｓ記憶部である。４７
は、ｇ記憶部である。４８は、ｒ₂＋ｓ＋１演算部であ
る。４９は、ｙ_A ^1/S（mod p)演算部である。４１０
は、ｇ^S（mod p)演算部である。４１１は、ｙ
_A ^r2/s（mod p)演算部である。４１２は、ｇ ^(r2+1+S)/S
（mod p)演算部である。４１３は、ｒ₁≡ｇ^(r2+1+S)/S
ｙ_A ^r2/S（mod P)演算部である。４１４は、ｆ^-1関数部
である。

【００８４】受信部４１は、認署を求める他のユーザ、
今Ａとする、からの送信文（ｒ₂，Ｓ）を受信する（ｂ
１）。拒絶部４２は、受信があった場合、ｒ₂−ｑを計
算し（ｂ２）、正なら一応正当なものとして続行する処
理を行うべく他部にこの受信文を流すが、正でなければ
この署名を拒否する（ｂ３）。またこのため、送信側ユ
ーザと同じくｑ記憶部４３にあらかじめｑを記憶してい
る。ｙ_A記憶部４４は、通信網提供者より公開されたｙ
_Aを、あらかじめメモリーに記憶している。

【００８５】ｇ記憶部４７も、同じくあらかじめｇを記
憶している。ｒ₂記憶部４５は、拒絶部４２が一応認署
したｒ₂を記憶し、ｓ記憶部４６は同じくｓを記憶す
る。なお、ｒ₂とｓの区分けは、別途定めた通信規約に
基づきなされる。ｒ₂＋ｓ＋１演算部４８は、ｒ₂記憶
部４５とｓ記憶部４６からそれぞれｒ₂とｓを読み出
し、和算でｒ₂＋ｓ＋１を求める。ｙ_A ^1/S（mod p)演
算部４９は、ｙ_A記憶部４４からｙ_Aを：Ｓ記憶部４６
からｓを読み出してｙ_A ^1/ ^S（mod p)を演算する。ｇ^S
（mod p)演算部４１０は、ｓ記憶部４６からｓを、ｇ記
憶部４７からｇを読み出して、ｇ^1/S（mod p)を演算す
る。ｙ_A ^r2/S（modp)演算部４１１は、ｒ₂記憶部４５
から読み出したｒ₂とｙ_A ^1/S（mod p)を演算部４９か
ら読み出したｙ_A ^1/S（mod p)をもとに），
（ｙ_A ^1/S）をｒ₂乗し、更にそのｐを法とする剰余を
求める。ｇ^(r2+1+S)/S（mod p)演算部４１２は、ｒ₂＋
ｓ＋１演算部４１８からｒ₂＋ｓ＋１を読み出し、ｇ
^1/S（mod p)演算部４１０から読み出したｇ^1/S（mod
p)をｒ₂＋ｓ＋１乗し、更にこのｐを法とする剰余を求
める。

【００８６】ｒ₁≡ｇ^(r2+1+S)/Sｙ_A ^r2/S（mod p)演算
部４１３は、ｙ_A ^r2/S（mod p)演算部４１１の演算結果
とｇ^(r2+1+S)/S（mod p)演算部４１２の演算結果とか
ら、ｒ ₁≡ｇ^(r2+1+S)/Sｙ_A ^r2/S（mod p)の演算によ
り、ｒ₁を求める（ｂ４）。ｆ₁関数部４１４は、関数
ｆ^-1を使用して演算ｒ₂−ｒ₁を行い、ｍを求める（ｂ
５）。

【００８７】以上の構成により、ユーザＢはユーザＡの
送信文からｍを入手するが、この際通信網提供者が公開
したｙ_Aに相当する秘密鍵ｘ_aを知っているのはユーザ
Ａのみであり、またこのｘ_aを使用しない限りｙ_aを使
用しての正しい復号もなしえばい。このため、送信者
は、確かにユーザＡの署名であると確認する（ｂ６）。
次に、以上の説明とかなり重複するが、以上の手順にお
ける通信文の処理、各種の数式をもとにしての、式や数
値で表現されたデータの変化の様子を中心として、この
手順を説明する。

【００８８】図１は、この数値式や面で表現した手順の
基本的な構成を示すものである。以下、本図を参照しな
がら実施例の手順を説明する。（１）センターによる初期設定 p を素数とし、GF(p) の元をg としその位数をq とす
る。ここでp 〜q ととる。

【００８９】GF(p) ×GF(p) からGF(p) への写像f を、 f(r₁, m)≡r₁＋m (mod p) f の逆写像f を f ^-1(r₁,f(r₁,m))≡ m (mod p) とし、Zq×Zq×ZqからZqへの写像 h_a,h_b,h_cを、ha(r
₂',s,1)=s, hc(r₂',s,1)=r₂'とし、 hb(r₂',s,1) ≡r₂' ＋s ＋1 (mod q) で定義する。また署名式を ha(r₂',s,1)k≡ hb(r₂',s,1) + hc(r₂',s,1)x _A(mod
q) で定義する。

【００９０】センターは、システムパラメータとしてp
，q ，g ，f, ha, hb, hc を公開する。この状態が、
図６に示すものである。（２）ユーザによる署名送信のための秘密鍵の作成及び
センターが認署した公開鍵の登録。

【００９１】ユーザＡが、メッセージ復元型署名通信を
行うため、その秘密鍵を基に公開鍵を作成し、これを通
信網提供者が正しいものとして登録する要求を行う。こ
の要求のため、ユーザＡはその端末識別番号を使用して
乱数を発生させ、秘密鍵Ｘ_Aを生成する。次いで、その
公開値ｙ_A≡ｇ^XA (mod p)を生成し、生成した公開値は
センターを通じて各ユーザに通知される。（３）ユーザＡによる署名の生成及び送付１．２進乱数k を、プログラムにのっとって生成する。

【００９２】２．以下の演算を順に行う。 2-1)r₁≡g ^k (mod p) ， 2-2)r₂≡f(r₁,m) (mod p) …(c) とする。 2-3) q≦r₂の場合、再度上記１に戻り、異なる２進乱数
を生成する。 2-4)sk≡(r₂+s+1)+r₂x_a(mod q)…(d) よりs を計算す
る。

【００９３】３．上記２で生成した(r₂，s)をユーザＢ
に送信する。（４）ユーザＢによる受信したメッセージの復元 1. q ≦r₂ならば、署名を拒絶する。 2. r₁≡g ^(r2+s+1)/sy _A ^r2/s(mod p)を計算し、 f ^-1(r₁,r₂) ≡m (mod p) を計算することにより、メッセージm を復元する。

【００９４】次に、以上の署名の耐攻撃性について説明
する。以上の構成のメッセージ復元型署名の場合、コミ
ットメントr₁が従来例の式(a) のように直接平文m に関
与するのでなく、写像f を通して関与している。この写
像f が (*)1: GF(p)∋g, y_A及びm 並びにZq= ｛0,1,…,q-1｝
∋t, j及びe に対し、f(g ^ty _A ^j, my_A ^e) 及びf(g
^ty _A ^j, mg^e) において、３変数t,j,e が２個の代数
式で非置換である。このため、recovery equation 攻撃
を受けない。

【００９５】2: GF(p)∋r₁, r₂, m, g及びy _Aに対し、
r₂=f(r₁,m)の逆像をm=f ^-1(r₁,r₂) で定義するとき、任
意の２変数関数φ，ψに対してf ^-1(r₁/g, r₂)≠φ(m,
g) 及びf ^-1(r₁/y _A, r₂) ≠ψ(m,y_A) となることか
ら、宮地らにより提案された３つの攻撃(recovery-equa
tion attack ，using g and y _A, and homomorphism a
ttack)を回避できる。

【００９６】また上記実施例のように構成されたメッセ
ージ復元型署名の場合、従来例の式(b')のように署名式
の係数(a,b,c) が(r₂',s,1) の置換という形ではなく、
写像ha, hb, hcを用いて決定されている。この写像ha,
hb, hcが(**)r₂',s をZqの元とするとき、予め固定され
た少数値をのぞく全てのrr₂', ssに対して、次の二つの
条件 1. ha(r₂',s,1)=ha(rr₂',ss,1), hc(r₂',s,1)=hc(rr₂',
ss,1) のときhb(r₂',s,1)-ha(r₂',s,1)≠hb(rr₂',ss,1) 2. ha(r₂',s,1)=ha(rr₂',ss,1), hb(r₂',s,1)=hb(rr₂',
ss,1)のときhc(r₂',s,1)-ha(r₂',s,1)≠hc(rr₂',ss,1) を満たすことから、宮地らにより提案された２つの解読
(signature-equation attack using g and y_A) を回避
できる。さらにこの署名式は従来から存在する比例関係
を用いた解読に対しても、署名式が２項に分解されるこ
とがないので強い。

【００９７】なお、従来から存在する比例関係を用いた
比例攻撃に付いては、L.Harn and Y. Xu, "Design of g
eneralised ElGamal type digital signatureschemes b
ased on discrete logarithm", Electron. Lett., Vol.
30(1994),2025-2026.に詳しい。また、上記実施例のよ
うにp 〜q ととることにより、r₂の値を制限するステッ
プ（署名生成ではステップ2-3,メッセージ復元ではステ
ップ１）を付加することができる。これにより宮地によ
り提案された１つの解読(redundancy attack) を回避で
きる。更にこの場合、ｑのｐに対する比が従来のごとく
２^-400と小さくなく、１／３、１／２することにより、
再度乱数を発生させ繰り返しての処理を行わねばならな
い確率も低下しえる。

【００９８】なお、上述の実施例はf をr₁＋m として行
ったが、これは勿論他の写像f で、(*) を満たすものな
ら何でもよい。またこの際、r₁＋m のように計算量が小
さい写像にすることが望ましい。ha, hb, hcに関して
も、上記の性質(**)をもつものなら何でもよい。またこ
の際、従来から存在する比例関係を用いた解読に対して
も強くなるように、さらに計算量が小さい写像にするこ
とが望ましい。

【００９９】また、上記の従来例以外のどんなメッセー
ジ復元型署名にも上記の写像を付加すると同様に解読が
回避できる。また、上記の署名方式は、メッセージmに
署名する代わりに、m にＩＳＯで定められたＲＣ４、
ＲＣ２等のハッシュ関数を施したハッシュ値に対して
署名し、署名をメッセージとともに送り、ハッシュ値が
正しく復元されることをチェックすることで署名を確認
するという署名方式としても用いることができる。

【０１００】また、上記署名方式は、各ユーザの秘密鍵
等は、通信網提供者又はユーザ用の情報発行センターが
生成するものとしたが、これは勿論各ユーザが任意にそ
の秘密鍵を選定し、公開値等のみセンターへ登録するよ
うにしてもよい。更に、通信網提供者とユーザ用の情報
発行センターが異なってもよい。また、上記署名方式で
は、各種演算はＧＦ（ｐ）上でなされるものとしたが、
これは勿論ＧＦ（ｐ^r）上でなされてもよい、この場合
には、上記実施例における（mod p ）での演算は（mod
p ^r）での演算となり、このため、ｒ₁とｍをＧＦ（ｐ
^r）×ＧＦ（ｐ^r）からＧＦ（ｐ^r）へ字像ｆ₁を用い
て変換した後、この値を更にＧＦ（ｐ^r）から有限環Ｚ
p ^r＝｛０，１，…，ｐ^r-1｝への変更をなす等の手順
が付加される。

【０１０１】なお、この写像πは、｛α₁，α₂，…，
α_r｝をＧＦ（ｐ^r）のＧＦ（ｐ）上の基底とすると
き、ＧＦ（ｐ^r）の元ｘ＝ｘ₁α₁＋…＋ｘ_rα_r（ｘ
₁，ｘ ₂，…，ｘ_r∈ＧＦ（ｐ））に対してπ（ｘ）＝
ｘ₁＋ｘ₂ｐ＋…＋ｘ_rｐ^r-1で定義される。この手順
を図１３に示す。（注、上記実施例はｒ＝１の場合であ
り、πは恒等写像となり、表面上でてこない。）（第２実施例）本実施例は、本発明に係るメッセージ復
元型署名方式として、楕円曲線上での演算を行うもので
ある。

【０１０２】本実施例も、基本的な構成、原理は先の第
１実施例と異ならない。ただし、有限体ＧＦ（ｐ）上の
離散対数問題の困難性でなく、楕円曲線Ｅ（ＧＦ
（ｐ））上の困難性を利用するため、これに関係する点
が異なる。このため、この相違する点を中心に説明す
る。ディジタル公開通信網におる通信網提供者１、各ユ
ーザ３〜６の接続状態及び初期設定としてのシステムパ
ラメータの概略の構成を図１４に示す。

【０１０３】システムパラメータとしてＥ（ＧＦ
（ｐ））と、ｇに換えてのＥ（ＧＦ（ｐ））上の零元と
異なる元Ｇが加えられ、ｐは１０進３０桁の素数であ
る。これは、Ｅ（ＧＦ（ｐ））上の離散対数問題は有限
体上でのそれに比較してはるかに困難であることによ
る。ｑがないが、これは、Ｇのの位数は零元を除き常に
ｐであることによる。また、楕円曲線を使用するため、
ｆはｘ座標関数である。

【０１０４】各部の構成であるが、第１実施例では、ｐ
を法とするｇ^kの剰余を計算するため通信網提供者１及
びユーザ側の剰余記憶部１３１、２３１等には、ｇ，ｇ
²，ｇ⁴，…のｐを法とする剰余があらかじめ記憶され
ていたがこれに換えて、Ｇ，２Ｇ，４Ｇ，…が記憶され
ているのが大きく異なる。更に、これにあわせて、各種
の演算部の乗算も足算を行う点も異なる。

【０１０５】図１５に、通信網提供者の公開鍵作成部２
１３の内部構成を示す。本図に示すように、剰余記憶部
２１３１は、Ｇ，２Ｇ，４Ｇ，８Ｇ…をあらかじめ計算
して記憶おり、第１実施例の乗算部１３と割算部１３４
に換えて足算部２１３３を有している。また、これによ
り、公開鍵として、Ｅ（ＧＦ（ｐ））上の点Ｙ_A（＝Ｘ
_AＧ）を計算し、公開する。

【０１０６】図１６に、署名通信を行うユーザＡ側の構
成を示す。本図においては、３２は２進乱数発生部であ
り、３４は、通信文入力部であり、これらは、先の第１
実施例と異ならない。２３３はＲ₁演算部であり、２進
乱数発生部３２で発生させた乱数ｋ回だけ元Ｇを加えた
値ｋＧを求め、その値Ｒ₁を出力する。このため、あら
かじめ、２Ｇ，４Ｇ，８Ｇに対応するＧ₂，Ｇ₄，Ｇ₈
等を記憶している剰余記憶部２３３１、２進乱数ｋの１
の立つ桁を取り出す法取り出し部２３３２、取り出した
桁に対応する剰余記憶部２３３１内のＧ₁（ここにｉは
２の乗べき）を取り出し、足し算を行う足し算部２３８
３を内蔵している。

【０１０７】２３５は、Ｆ関数であり、ｒ₂≡ｍ／ｘ
（Ｒ₁）（mod p)の演算によりｒ₂を求める。ここにｘ
（Ｒ₁）はＲ₁のＸ座標値である。２３８は、求められ
たｒ₂と上記乱数ｋをもとに、演算ｓｋ≡（ｒ₂＋ｓ＋
１）＋ｒ₂ｘ_A（mod p)よりｓを求めるＳＫ部である。
このため、ｋ−１（＝ａ）を求めるｋ−１演算部２３８
１、ｒ₂＋１を求めるｒ₂＋１演算部２３８２、ｒ₂ｘ
_Aを求めるｒ₂ｘ_A演算部２３８３、ｒ₂＋１＋ｒ₂＋
ｘ_A（＝ｂ）を求めるｒ₂＋１＋ｒ₂＋ｘ_A演算部２３
８４、式ｓ・ａ≡ｂ（mod p)よりｓを求めるｓ計算部２
３８５を内蔵している。

【０１０８】なお、ｍｏｄ演算の法が、ｑでなくｐであ
るのが第１実施例と大きく異なる。図１７は、受信例ユ
ーザの構成図である。本図において、受信部４１、ｒ₂
記憶部及びｓ記憶部４６は第１実施例のものと異ならな
い。２４７は、あらかじめＧを記憶しているＧ記憶部で
ある。２４４は、Ｙ_Aをあらかじめ記憶しているＹ _A記
憶部である。

【０１０９】２４８は、ｒ₂とｓから（ｒ₂＋ｓ＋１）
／ｓを求める（ｒ₂＋ｓ＋１）／ｓ演算部である。２４
９は、ｒ₂／ｓを求めるｒ₂／ｓ演算部である。２４１
１は、Ｅ（ＧＦ（ｐ））上での演算ｒ₂／ｓＹ_Aを行う
ｒ₂／ｓＹ_A演算部である。２４１２は、同じくＥ（Ｇ
Ｆ（ｐ））上での演算（（ｒ₂＋ｓ＋１）／ｓ）Ｇを行
う（（ｒ₂＋ｓ＋１）／ｓ）Ｇ演算部である。２４１３
は、同じく、Ｅ（ＧＦ（ｐ））上での演算Ｒ₁＝（（ｒ
₂＋ｓ＋１）／ｓ）Ｇ＋（ｒ₂／ｓ）Ｙ_Aを行ってＲ₁
を求める演算部である。２４１４は、演算ｍ＝ｘ
（Ｒ₁）ｒ₂（ここに、ｘ（Ｒ₁）はＥ（ＧＦ（ｐ））
上の元Ｒ₁のＸ座標値）よりｍを求めるｍ演算部であ
る。

【０１１０】このため、ｑとｒ₂の大小比較を行う構成
がないのも第１実施例と異なる。次に、以上の手順にお
けるデータそのものの処理、数式、演算を中心とした処
理の流れを図１８に示す。（１）センターによる初期設定１０進３０桁の素数をｐとし、GF(p) 上の元の個数がp
となる楕円曲線をE とし、E(GF(p))の元を零元以外の元
をG とする。このときその位数はp となる。

【０１１１】GF(p) ×GF(p) ×GF(p) からGF(p) への写
像ha, hb, hcを、ha(r₂',s,1)=s, hc(r₂',s,1)=r₂'と
し、 hb(r₂',s,1) ＝r₂' ＋s ＋1 (mod q) で定義する。また署名式を ha(r₂',s,1)k ≡ hb(r₂',s,1) + hc(r₂',s,1)x _A(mod
q) で定義する。

【０１１２】センターは、システムパラメータとしてp
，E(GF(p))，G, ha, hb, hc を全ユーザに公開する。
なお、かかるＥ（ＧＦ（ｐ））の作成手順は、別途本願
出願人が前掲の特願平６−１３４３３９号等にて開示し
ている技術であるため、その説明は省略する。（２）署
名送信を欲するユーザＡによるそのための秘密鍵の作成
及びセンターが認署した公開鍵の登録。

【０１１３】ユーザＡから、メッセージ復元型署名通信
を行うため、その秘密鍵を基に作成した公開鍵を通信網
提供者に正しいものとして登録する要求がなされる。こ
のため、ユーザＡは、乱数を発生させ、これを自分の秘
密鍵をx _Aとし、対応する公開鍵を楕円曲線Ｅ（ＧＦ
（Ｐ））上での演算y _A＝x _AG により求め、これをセ
ンター経由で全ユーザに公開する。

【０１１４】併せて秘密鍵ｘ_Aは、ユーザＡが自分のみ
秘密に保持するものとする。（３）ユーザＡによる署名の生成ユーザＢに署名発信を行おうとするユーザＡは、以下の
処理を行う。１．乱数k を生成する。２．２進数の乱数ｋを生成する。なお、この乱数は、各
送信毎に異なる値がでるものとされている。

【０１１５】2-1)Ｅ（ＧＦ（ｐ））上で、演算R₁＝KGに
より、Ｒ₁を作成する。 2-2)法ｐ上の演算r₂≡m ／x(R₁) (mod p)により、ｒ₂
を求める。ここに、Ｘ（R₁）は、Ｅ（ＧＦ（ｐ））上の
点R₁のｘ座標値である。…(e) とする。 2-3)法ｐ上の演算sk≡(r₂＋s ＋1)＋r₂x _A(mod p)…
(f) よりs を計算する。

【０１１６】３．(r₂，s)をユーザＢに送信する。（４）受信したユーザＢによるメッセージの復元１. ユーザＡからのメッセージ（ｒ₂，ｓ）を受信した
ユーザＢは((r₂+s+1)/s)G+(r₂/s)Y _A＝R₁をＥ（ＧＦ
（ｐ））上で計算し、Ｒ₁を求める。

【０１１７】２．次いで、m ＝x(R₁)r₂を計算すること
によりm を得る。上記実施例のように構成されたメッセ
ージ復元型署名の場合、コミットメントR₁が従来例の式
(a) のように直接平文m に関与するのでなく、式(e) の
ようにｘ座標を通して関与している。すなわち、r₂=F(R
₁,m)=m/x(R₁)となる。このF 関数が (*)1: GF(p)∋g, y_A, m, Z_q= ｛0,1,…,q-1｝∋t,
j, e に対し、F(tG+jY _A, m ×x(eY_A))及びF(tG+jY
_A, m ×x(eG))において、３変数t,j,e が２個の代数式
で非置換（置き換えられ）ない。すなわち、ｍｘ（ｅＹ
_A）、ｍｘ（ｅｇ）の偽造攻撃を受けない。

【０１１８】2: E(GF(p)) ∋R₁, G, Y_A, GF(p) ∋r₂,
m に対し、r₂=F(R₁,m)の逆像をm=F ^-1(R₁,r₂) で定義す
るとき、任意の２変数関数φ，ψに対してF ^-1(R₁-G, r
₂) ≠φ(m,G) 及びF-1(R₁-Y_A, r₂) ≠ψ(m,Y_A) とな
るを満たすことから、宮地らにより提案された３つの解
読(recovery-equation attack using g and yA, and ho
momorphism attack)を回避できる。

【０１１９】また上記実施例のように構成されたメッセ
ージ復元型署名の場合、従来例の式(b')のように署名式
の係数(a,b,c) が(r₂',s,1) の置換という形ではなく、
写像ha, hb, hcを用いて決定されている。この写像ha,
hb, hcが(**)r₂',s をZ _qの元とするとき、予め固定さ
れた少数値をのぞく全てのrr₂', ssに対して、次の二つ
の条件 1. ha(r₂',s,1)=ha(rr₂',ss,1), hc(r₂',s,1)=hc(rr₂',
ss,1) のときhb(r₂',s,1)-ha(r₂',s,1)≠hb(rr₂',ss,1) 2. ha(r₂',s,1)=ha(rr₂',ss,1), hb(r₂',s,1)=hb(rr₂',
ss,1) のときhc(r₂',s,1)-ha(r₂',s,1)≠hc(rr₂',ss,1) を満たすことから、宮地らにより提案された２つの解読
(signature-equation attack using g and yA)を回避で
きる。さらにこの署名式は従来から存在する比例関係を
用いた解読に対しても、署名式が２項に分解されること
がないので強い。なお、従来から存在する比例関係を用
いた比例攻撃に付いては、L.Harn and Y. Xu, "Design
of generalised ElGamal type digital signatureschem
es based on discrete logarithm", Electron. Lett.,
Vol.30(1994),2025-2026.に詳しい。

【０１２０】また、上記例のような楕円曲線を用いると
G の位数が定義体GF(p) のp と等しくなるので、実施例
１のようにr₂の値を制限するステップを付加することな
く、宮地により提案された１つの解読(redundancy atta
ck) を回避できる。また、上述の実施例はｘ座標を用い
たが、これは勿論他の写像で、(*) を満たすものなら何
でもよい。この際、例えばｙ座標のようにｘ座標と同じ
ように計算量が小さい写像にすることが望ましい。ha,
hb, hcに関しても、上記の性質(**)をもつものなら何で
もよい。またこの際、従来から存在する比例関係を用い
た解読に対しても強くなるように、さらに計算量が小さ
い写像にすることが望ましい。

【０１２１】また、上記実施例では、定義体GF(p) のp
とG の位数が等しくなるような楕円曲線を用いたが、通
常の楕円曲線を用いてもよい。このときには、第１実施
例のようにr₂を制限するステップを付加する必要があ
る。また、上記の従来例以外のどんなメッセージ復元型
署名にも上記の写像を付加すると同様に解読が回避でき
る。

【０１２２】また、第１実施例と同じく、メッセージm
に署名する代わりに、m にハッシュ関数を施したハッシ
ュ値に対して署名し、署名をメッセージとともに送り、
ハッシュ値が正しく復元されることをチェックすること
で署名を確認するという署名方式として用いてのよい。
また、同じく、Ｅ（ＧＦ（ｐ））でなくＥ（ＧＦ
（ｐ^r））で行ってもよい。

【０１２３】また、ユーザは、その秘密鍵等の生成を通
信網提供者にしてもらうようにしてもよい。これは、適
当な乱数生成器がないときに便利である。以上、本発明
を実施例に基づいて説明してきたが、本発明は何も上記
実施例に限定されないのは勿論である。

【０１２４】

【発明の効果】以上、説明してきたように、本発明は、
法をメッセージ復元性を保ちながら、宮地らにより提案
されている従来型のメッセージ復元署名に対する６つの
解読法を回避することが可能となり、この一方でそのた
めに付加される計算量も無視できる。このため、公開デ
ィジタル通信網において、安全なメッセージ復元型署名
方式を提供することが可能となり、その実用的価値は大
きい。

【図面の簡単な説明】

【図１】本発明に係るメッセージ復元型署名の第１実施
例の、数値や式の変換を中心とした構成、処理を示した
図である。

【図２】従来の署名、認署通信の手順の一例である。

【図３】従来のメッセージ復元型署名の構成を示した図
である。

【図４】従来の署名、認署通信に対する公開鍵によるre
caovry-equation 攻撃の概略手順を示した図である。

【図５】同じく、redundancy攻撃の概略図である。

【図６】本発明に係るメッセージ復元型署名通信が実施
される公開ディジタル通信網の概略構成図である。

【図７】上記実施例における、通信網提供者の要部の構
成図である。

【図８】同じく、署名通信を行うユーザＡの重要な処理
の流れを示した図である。

【図９】同じく、署名通信を行うユーザＡ側のｒ₂計算
に係る部分の構成図である。

【図１０】同じく、ユーザＡ側のＳＫ部を中心とした構
成図である。

【図１１】同じく、署名文を受信したユーザＢの重要な
処理の流れを示した図である。

【図１２】同じく、署名文を受信したユーザＢ側の要部
の構成図である。

【図１３】第１実施例の変形例として、ＧＦ（ｐ）でな
くＧＦ（ｐ^r）を使用した場合の、関数πによるＧＦ
（ｐ^r）からＺ_pr＝｛０，１，…，ｐ^r-1｝への変換手
順を示した図である。

【図１４】本発明に係るメッセージ復元型署名通信の第
２実施例が実施される公開ディジタル通信網の概略構成
図である。

【図１５】上記実施例における、通信網提供者における
Ｅ（ＧＦ（ｐ））上での演算を実行するための構成であ
る。

【図１６】上記実施例における署名文の発行を行うユー
ザＡの構成図である。

【図１７】同じく、署名文を受信するユーザＢの構成図
である。

【図１８】同じく、数、値、式の変換を中心とした構成
処理を示した図である。

【符合の説明】

１公開ディジタル通信網提供者（各ユーザへの
端末情報発行センターを兼ねる。）２公開ディジタル通信網の回線３、４、５、６、公開ディジタル通信網に接続された
ユーザ１１秘密鍵作成要求受付部１２秘密鍵発生部１３公開鍵作成部１４公開鍵公開部１５秘密鍵通知形態作成部１６秘密鍵通知部３１ｒ₂制御部３２２進乱数発生部３３ｒ₁演算部３４通信文入力部３５ｆ関数部３６ｑ関数部３７排除部３７３比較部３８ＳＫ部３８５ｓ計算部４１受信部４２拒絶部４３ｑ記憶部（ユーザＢ）４４ｙ_A記憶部４５ｒ₂記憶部４６ｓ記憶部４７ｇ記憶部４１３ｒ₁≡ｇ^(r2+s+1)/sｙ_A ^R2/S（mod p)演算部４１４ｆ^-1関数部２１３１剰余記憶部２１３３足算部２３３Ｒ₁演算部２３５Ｆ関数部２３８ＳＫ部２４４Ｙ_A記憶部２４１３Ｒ₁演算部２４１４ｍ演算部

Claims

【特許請求の範囲】

【請求項１】 p を素数とし、有限体GF(p) の元をg と
し、その位数をq とし、 GF(p) 上定義される署名方式において、署名したい文を
m ∈GF(p) とするとき、 k を署名者が任意にとる乱数とし、r₁≡ g^k（mod p ）
を署名生成処理におけるコミットメントとし、GF(p) ×
GF(p) からGF(p) への写像をf とするとき、 r₁とm をf により変換したf(r₁，m)を用いて署名生成処
理におけるメッセージ復元を可能にするメッセージマス
ク式を構成することを特徴としたメッセージ復元型署名
方式。
【請求項２】 p を素数とし、r を正整数とし、有限体
GF(p^r) の元をg とし，その位数をq とし，GF(p^r) 上
定義される署名方式において，署名したい文をm ∈GF(p
^r) とするとき，k を署名者が任意にとる乱数とし，r₁
≡g ^k（mod p ）をコミットメントとし，GF(p^r) ×GF
(p^r) からGF(p^r) への写像をf₁とし，GF(p^r) から有
限環Z _pr＝｛0,1,…,p^r-1｝への写像をπとするとき，
r₁とm をf₁により変換し，この値を更にπを用いて変換
したπ(f₁(r₁，m)) を用いて署名生成処理におけるメッ
セージ復元を可能にするメッセージマスク式を構成する
ことを特徴としたメッセージ復元型署名方式。
【請求項３】 p を素数とし、有限体GF(p) 上定義され
た楕円曲線をE とし、 E(GF(p))の元をG とし、その位数をq とし、 E(GF(p))上定義される署名方式において、署名したい文
をm ∈GF(p) とするとき、 k を署名者が任意にとる乱数とし、R₁＝kG＝(r_x, ry)
をコミットメントとし、 E(GF(p))×GF(p) からGF(p) への写像をFとするとき、R
₁とm をにF より変換したF(R₁，m)を用いて署名生成処
理におけるメッセージ復元を可能にするメッセージマス
ク式を構成することを特徴としたメッセージ復元型署名
方式。
【請求項４】 p を素数とし、r を正整数とし、有限体
GF(p^r) 上定義された楕円曲線をE とし、 E(GF(p^r))の元をG とし、その位数をq とし、 E(GF(p^r))上定義される署名方式において、署名したい
文をm ∈GF(p^r) とするとき、 k を署名者が任意にとる乱数とし、R₁＝kG＝(r_x, r_y)
をコミットメントとし、 E(GF(p^r))×GF(p^r) からGF(p^r) への写像をF₁とする
とし、GF(p^r) から有限環Z _prへの写像をπとすると
き、R₁とm をF₁により変換し、この値を更にπを用いて
変換したπ(F₁(R₁，m)) を用いて署名生成処理における
メッセージ復元を可能にするメッセージマスク式を構成
することを特徴としたメッセージ復元型署名方式。
【請求項５】写像f は、GF(p) ∋g, y_A及び m, 並び
にZq= ｛0,1,…,q-1｝∋t, j及びe に対し、 f(g ^ty _A ^j， my _A ^e）及びf(g ^ty _A ^j, mg^e) に
おいて、３変数t,j,eが２個の代数式で非置換であるこ
とを特徴とした請求項１記載の離散対数問題を用いた署
名方式。
【請求項６】写像f は、GF(p^r) ∋g, y_A及びm,並び
に Z_q= ｛0,1,…,q-1｝∋t, j及びe に対し、 f₁(g^ty _A ^j,my _A ^e) 及びf₁(g^ty _A ^j, mg^e) にお
いて、３変数t,j,e が２個の代数式で非置換であること
を特徴とした請求項２記載の離散対数問題を用いた署名
方式。
【請求項７】写像F は、E(GF(p))∋G 及びY _A, GF
(p)∋m,並びに Z_q=｛0,1,…,q-1｝∋t, j及びe に対
し、 F(tG+jY _A, m ×x(eY_A))及びf(tG+jy _A, m ×x(eG))
において、３変数t,j及び eが２個の代数式で非置換で
あることを特徴とした請求項３記載の離散対数問題を用
いた署名方式。
【請求項８】写像F1は、E(GF(p^r))∋G 及びY _A, GF
(p^r) ∋m,並びに Z _q= ｛0,1,…,q-1｝∋t, j及びe に
対し、 f(tG+jY _A, m ×x(eY_A))及びf(tG+jY _A, m ×x(eG))
において、３変数t,j,e が２個の代数式で非置換である
ことを特徴とした請求項4 記載の離散対数問題を用いた
署名方式。
【請求項９】写像f は、GF(p) ∋r₁, r₂, m, g及びy
_Aに対し、r₂=f(r₁,m)の逆像をm=f ^-1(r₁,r₂) で定義す
るとき、任意の２変数関数φ，ψに対して f ^-1(r₁/g, r₂)≠φ(m,g) 及びf ^-1(r₁/y _A, r₂) ≠ψ(m,y_A) となることを特徴とした請求項１記載の離散対数問題を
用いた署名方式。
【請求項１０】写像f₁は、GF(p^r) ∋r₁, r₂, m, g,
y _Aに対し、r₂=f₁(r₁,m) の逆像をm=f₁ ^-1(r₁,r₂) で定
義するとき、任意の２変数関数φ，ψに対して f₁ ^-1(r₁/g, r₂) ≠φ(m,g) 及びf₁ ^-1(r₁/y _A, r₂) ≠ψ(m,y_A) となることを特徴とした請求項２記載の離散対数問題を
用いた署名方式.
【請求項１１】写像F は、E(GF(p))∋R₁, Y _A及びG
並びにGF(p) ∋ m及びr₂に対し、r₂=f(R₁,m)の逆像をm=
f ^-1(R₁,r₂) で定義するとき、任意の２変数関数φ，ψ
に対して f ^-1(R₁-G, r₂)≠φ(m,G) 及びf ^-1(R₁-Y _A, r₂) ≠ψ(m,Y_A) となることを特徴とした請求項３記載の離散対数問題を
用いた署名方式。
【請求項１２】写像F₁は、E(GF(p^r))∋R₁, Y _A及び
G 並びにGF(p^r) ∋m及びr₂に対し、r₂=f(R₁,m)の逆像
をm=f ^-1(R₁,r₂)で定義するとき、任意の２変数関数
φ，ψに対して f ^-1(R₁-G, r₂)≠φ(m,G) 及びf ^-1(R₁-Y _A, r₂) ≠ψ(m,Y_A) となることを特徴とした請求項４記載の離散対数問題を
用いた署名方式。
【請求項１３】写像f は、(r，y)→r ＋y(GF(p) 上の
加算) で定義されることを特徴とした請求項１記載のメ
ッセージ復元型署名方式。
【請求項１４】写像f1は、(r，y)→r ＋y(GF(p^r) 上
の加算) で定義されることを特徴とした請求項２記載の
メッセージ復元型署名方式。
【請求項１５】写像F は、楕円曲線のｘ座標関数を用
いて、(R，y)→x(R)＋y(GF(p) 上の加算) で定義される
ことを特徴とした請求項３記載のメッセージ復元型署名
方式。
【請求項１６】写像F₁は、楕円曲線のｘ座標関数を用
いて、(R，y)→x(R)＋y(GF(p^r) 上の加算) で定義され
ることを特徴とした請求項４記載のメッセージ復元型署
名方式。
【請求項１７】写像πは、｛α₁，α₂，…，α_r｝
をGF(p^r) のGF(p)上の基底とするとき、GF(pr)の元ｘ
＝x₁α₁＋…＋x _rα_r( ｘ₁，…，ｘ_r∈GF(p))に対
して、 π( ｘ) ＝x₁+x₂p+ …+x_rp ^r-1 で定義されることを特徴とした請求項２、同４、同６、
同８、同１０若しくは請求項１２記載のメッセージ復元
型署名方式。
【請求項１８】 p を素数とし、有限体GF(p) の元をg
とし、その位数をqとし、 GF(p) 上定義される署名方式において、署名者A の秘密
鍵をx _A、公開鍵をy _A=g^xAとし、署名したい文をm ∈G
F(p) とするとき、k を署名者が任意にとる乱数とし、r
₂をコミットメントr₁=g^kとm により計算されるGF(p)
の元とし、r₂' ≡r₂ (mod q) とし、 ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、 ha(r₂',s,1)k ≡ hb(r₂',s,1) + hc(r₂',s,1)x _A(mod
q) からs が計算できるように構成することを特徴としたメ
ッセージ復元型署名方式。
【請求項１９】 p を素数とし、r を正整数とし、有限
体GF(p^r) の元をgとし、その位数をq とし、 GF(p^r) 上定義される署名方式において、署名者A の秘
密鍵をx _A、公開鍵をy _A=g^xAとし、署名したい文をm
∈GF(p^r) とするとき、 k を署名者が任意にとる乱数とし、r₂をコミットメント
r₁=g^kとm により計算される有限環Z _prの元とし、r₂'
≡r₂ (mod q) とし、 ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、 ha(r₂',s,1)k ≡ hb(r₂',s,1) + hc(r₂',s,1)x _A(mod
q) からs が計算できるように構成することを特徴としたメ
ッセージ復元型署名方式。
【請求項２０】 p を素数とし、有限体GF(p) 上定義さ
れた楕円曲線をE とし、 E(GF(p))の元をG とし、その位数をq とし、 E(GF(p))上定義される署名方式において、署名したい文
をm ∈GF(p) とするとき、 k を署名者が任意にとる乱数とし、r₂をコミットメント
R₁=kG とm により計算されるGF(p) の元とし、r₂' ≡r₂
(mod q) とし、 ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、 ha(r₂',s,1)k ≡ hb(r ₂,s,1) + hc(r₂',s,1)x _A(mod
q) からs が計算できるように構成することを特徴とし
たメッセージ復元型署名方式。
【請求項２１】 p を素数とし、r を正整数とし、有限
体GF(p^r) 上定義された楕円曲線をE とし、 E(GF(p^r))の元をG とし、その位数をq とし、 E(GF(p^r))上定義される署名方式において、署名したい
文をm ∈GF(p^r) するとき、 k を署名者が任意にとる乱数とし、r₂をコミットメント
R₁=kG とm により計算される有限環Z _prの元とし、r₂'
≡r₂ (mod q) とし、 ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、 ha(r₂',s,1)k ≡ hb(r₂',s,1) + hc(r₂',s,1)x _A(mod
q) からs が計算できるように構成することを特徴とし
たメッセージ復元型署名方式。
【請求項２２】写像ha,hb, hc は、r₂',s をZ _qの元
とするとき、別途予め固定された所定値を除く任意のZ
_qの元rr₂', ssに対して、次の二つの条件 1. ha(r₂',s,1)=ha(rr₂',ss,1), hc(r₂',s,1)=hc(rr₂',
ss,1) のとき hb(r₂',s,1)-ha(r₂',s,1)≠hb(rr₂',ss,1) 2. ha(r₂',s,1)=ha(rr₂',ss,1), hb(r₂',s,1)=hb(rr₂',
ss,1) のとき hc(r₂',s,1)-ha(r₂',s,1)≠hc(rr₂',ss,1) を満足することを特徴とした請求項１８、同１９、同２
０若しくは請求項２１記載の離散対数問題を用いた署名
方式。
【請求項２３】写像ha,hb,hcは、 ha(r₂',s,1)=r2', hc(r₂',s,1)=sとし、 hb(r₂',s,1) は、 r₂'=rr₂', s=ssのとき、hb(r₂',s,1)=hb(rr₂',ss,1) 、 r₂'=rr₂', hb(r₂',s,1)=hb(rr₂',ss,1) のとき、s=ss、 hb(0, 0, 1) ≠0, を満たすことを特徴とした請求項２２記載のメッセージ
復元型署名方式。
【請求項２４】写像ha,hb,hcは、 ha(r₂',s,1)=s, hc(r₂',s,1)=r₂'とし、 hb(r₂',s,1) は、 s=ss, r₂'=rr₂', のとき、hb(r₂',s,1)=hb(rr₂',ss,1)
、 s=ss, hb(r₂',s,1)=hb(rr₂',ss,1) のとき、r₂'=rr₂'、 hb(0, 0, 1) ≠0 を満たすことを特徴とした請求項２２記載のメッセージ
復元型署名方式。
【請求項２５】写像ha,hb,hcは、 ha(r₂',s,1)=s, hb(r₂',s,1)=r₂'とし、 hc(r₂',s,1) は、 r₂'=rr₂', s=ssのとき、hc(r₂',s,1)=hc(rr₂',ss,1) 、 s=ss, hc(r₂',s,1)=hc(rr₂',ss,1) のとき、r₂'=rr₂' hc(0, 0, 1) ≠0 を満たすことを特徴とした請求項２２記載のメッセージ
復元型署名方式。
【請求項２６】写像ha,hb,hcは、 ha(r₂',s,1)=r₂', hb(r₂',s,1)=sとし、 hc(r₂',s,1) は、 r₂'=rr₂', s=ssのとき、hc(r₂',s,1)=hc(rr₂',ss,1) 、 r₂'=rr₂', hc(r₂',s,1)=hc(rr₂',ss,1) のとき、s=ss、 hc(0, 0, 1) ≠0 を満たすことを特徴とした請求項２２記載のメッセージ
復元型署名方式。
【請求項２７】写像ha,hb,hcは、 hc(r₂',s,1)=s, hb(r₂',s,1)=r₂'とし、 ha(r₂',s,1) は、 r₂'=rr₂', ha(r₂',s,1)=ha(rr₂',ss,1) のとき、s=ss、 s=ss, ha(r₂',s,1)=ha(rr₂',ss,1) のとき、r₂'=rr₂'、 ha(0,0,1) ≠0 を満たすことを特徴とした請求項２２記載のメッセージ
復元型署名方式。
【請求項２８】写像ha,hb,hcは、 hc(r₂',s,1)=r₂', hb(r₂',s,1)=sとし、 ha(r₂',s,1) は、 r₂'=rr₂', ha(r₂',s,1)=ha(rr₂',ss,1) のとき、s=ss、 s=ss, ha(r₂',s,1)=ha(rr₂',ss,1)のとき、r₂'=rr₂'、 ha(0,0,1) ≠0 を満たすことを特徴とした請求項２２記載のメッセージ
復元型署名方式。
【請求項２９】写像hb(r₂',s,1) は、 hb(r₂',s,1)=r₂' ＋s ＋1 で定義されることを特徴とした請求項２３若しくは請求
項２４記載のメッセージ復元型署名方式。
【請求項３０】写像hb(r₂',s,1) は、 hb(r₂',s,1)=r₂' ×s ＋1 で定義されることを特徴とした請求項２３若しくは請求
項２４記載のメッセージ復元型署名方式。
【請求項３１】写像hc(r₂',s,1) は、 hc(r₂',s,1)=r₂' ＋s ＋1 で定義されることを特徴とした請求項２５若しくは請求
項２６記載のメッセージ復元型署名方式。
【請求項３２】写像hc(r₂',s,1) は、 hc(r₂',s,1)=r₂' ×s ＋1 で定義されることを特徴とした請求項２５若しくは請求
項２６記載のメッセージ復元型署名方式。
【請求項３３】写像ha(r₂',s,1) は、ha(r₂',s,1)=0
となる解(r₂',s) がビットの多項式で定まる有限時間で
確定できることを特徴とした請求項２７若しくは請求項
２８記載のメッセージ復元型署名方式。
【請求項３４】乱数k を、メッセージマスク式で計算
されるr₂と署名式で計算されるs に対して、 ha(r₂',s,1) ≠0 であるように取ってくることを特徴とした請求項３３記
載のメッセージ復元型署名方式。
【請求項３５】写像ha(r₂',s,1) は、 ha(r₂',s,1)=r₂'+s+1 であることを特徴とした請求項３
４記載のメッセージ復元型署名方式。
【請求項３６】写像ha(r₂',s,1) は、 ha(r₂',s,1)=r₂' ×s ＋1 であることを特徴とした請求
項３４記載のメッセージ復元型署名方式。
【請求項３７】 p を素数とし、q の１／４以上となる
正整数とし、有限体GF(p) の位数がq となる元をg と
し、 GF(p) 上定義される署名方式において、署名したい文を
m ∈GF(p) とするとき、乱数k を、コミットメントr₁＝
g ^kとm により構成されるGF(p) の元r₂が、０＜ r₂ ＜q となるようにとり、上記範囲を限定されたr₂を署名式に用いることを特徴と
したメッセージ復元型署名方式。
【請求項３８】 p を素数とし、r を正整数とし、q を
p と大きさがほぼ同じである, すなわちp 〜q となる正
整数とし、有限体GF(p^r) の位数がq となる元をg と
し、 GF(p^r) 上定義される署名方式において、署名したい文
をm ∈GF(p^r) とするとき、乱数k を、コミットメント
r₁＝g ^kとm により構成されるZ _pr= ｛0,1,…,p^r-1｝
の元r₂が、０＜ r₂ ＜q となるようにとり、上記範囲を限定されたr₂を署名式に用いることを特徴と
したメッセージ復元型署名方式。
【請求項３９】 p を素数とし、有限体GF(p) 上定義さ
れた楕円曲線をE とし、 E(GF(p))の元をG とし、その位数をq とし、 E(GF(p))上定義される署名方式において、署名したい文
をm ∈GF(p) とするとき、乱数k を、コミットメントr₁
＝g ^kとm により構成されるGF(p) の元r₂が、０＜ r₂ ＜q となるようにとり、上記範囲を限定されたr₂を署名式に用いることを特徴と
したメッセージ復元型署名方式。
【請求項４０】 p を素数とし、r を正整数とし、有限
体GF(p^r) 上定義された楕円曲線をE とし、 E(GF(p^r))の元をG とし、その位数をq とし、 E(GF(p^r))上定義される署名方式において、署名したい
文をm ∈GF(p^r) とするとき、乱数k を、コミットメン
トr₁＝g ^kとm により構成されるZ _pr= ｛0,1,…,
p^r-1｝の元r₂が、０＜ r₂ ＜q となるようにとり、上記範囲を限定されたr₂を署名式に用いることを特徴と
したメッセージ復元型署名方式。
【請求項４１】楕円曲線E は、元の個数がp となるGF(p) 上の楕円曲線を用いることを
特徴とした請求項３９記載の署名方式。
【請求項４２】署名したい文m に対し、m のハッシュ
関数値hash(m) をmの代わりに用いることを特徴とした
請求項１、同２、同３、同４、同１８、同１９、同２
０、同２１、同３７、同３８、同３９若しくは請求項４
０記載の署名方式。
【請求項４３】 p を素数とし、有限体GF(p) の元をg
とし、その位数をqとし、 GF(p) 上定義される署名方式において、署名者A の秘密
鍵をx _A、公開鍵をy _A=g^xAとし、署名したい文をm ∈G
F(p) とするとき、 k を署名者が任意にとる乱数とし、コミットメントr₁=g
^kとし、 r₁' ≡r₁ (mod q), m' ≡m (mod q) とし、 ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、 ha(r₁',s,m')k ≡ hb(r₁',s,m') + hc(r₁',s,m')x _A(m
od q) からs が計算できるように構成することを特徴とした署
名方式。
【請求項４４】 p を素数とし、r を正整数とし、有限
体GF(p^r) の元をgとし、その位数をq とし、 GF(p^r) 上定義される署名方式において、署名者A の秘
密鍵をx _A、公開鍵をy _A=g^xAとし、署名したい文をm
∈GF(p^r) とするとき、 k を署名者が任意にとる乱数とし、コミットメントr₁=g
^kとし、GF(p^r) から有限環Z _prへの写像をπとすると
き、 r₁' ≡π(r₁) (mod q), m' ≡π(m) (mod q) とし、 ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、 ha(r₁',s,m')k ≡ hb(r₁',s,m') + hc(r₁',s,m')x _A(m
od q) からs が計算できるように構成することを特徴とした署
名方式。
【請求項４５】 p を素数とし、有限体GF(p) 上定義さ
れた楕円曲線をE とし、 E(GF(p))の元をG とし、その位数をq とし、 E(GF(p))上定義される署名方式において、署名したい文
をm ∈GF(p) とするとき、 k を署名者が任意にとる乱数とし、コミットメントR₁=k
G とし、E(GF(p))からGF(p) への写像をρとするとき、 r1' ≡ρ(R₁) (mod q), m' ≡m (mod q) とし、 ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、 ha(r₁',s,m')k ≡ hb(r₁',s,m') + hc(r₁',s,m')x _A(m
od q) からs が計算できるように構成することを特徴とした署
名方式。
【請求項４６】 p を素数とし、r を正整数とし、有限
体GF(p^r) 上定義された楕円曲線をE とし、 E(GF(p^r))の元をG とし、その位数をq とし、 E(GF(p^r))上定義される署名方式において、署名したい
文をm ∈GF(p^r) とするとき、 k を署名者が任意にとる乱数とし、コミットメントR₁=k
G とし、E(GF(p^r))からGF(p^r) への写像をρとすると
し、GF(p^r) から有限環Z _pr= ｛0,1,…,p^r-1｝への写
像をπとするとき、 r₁' ≡π( ρ(R₁)) (mod q), m' ≡π(m) (mod q)
とし、 ha, hb, hcを有限環Z _q×Z _q×Z _qからZ _qへの写像
とするとき、署名式を、 ha(r₁',s,m')k ≡ hb(r₁',s,m') + hc(r₁',s,m')x _A(m
od q) からs が計算できるように構成することを特徴とした署
名方式。
【請求項４７】写像ρは、楕円曲線のｘ座標若しくは
ｙ座標関数を用いて、R →x(R)若しくはＲ→ｙ（Ｒ）で
定義されることを特徴とした請求項４５若しくは請求項
４６記載のメッセージ復元型署名方式。
【請求項４８】写像πは、｛α₁，α₂，…，α_r｝
をGF(p^r) のGF(p)上の基底とするとき、GF(p^r) の元
ｘ＝x₁α₁＋…＋x _rα_r( ｘ₁，…，ｘ_r∈GF(p))に
対して、 π( ｘ) ＝x₁+x₂p+ …+x_rp ^r-1 で定義されることを特徴とした請求項４４及び請求項４
６記載のメッセージ復元型署名方式。