JPH11231779A

JPH11231779A - 楕円曲線を用いたブラインド署名方法、その装置およびプログラム記録媒体

Info

Publication number: JPH11231779A
Application number: JP10037282A
Authority: JP
Inventors: Taiichi Saito; 泰一斉藤; Kunio Kobayashi; 邦生小林
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1998-02-19
Filing date: 1998-02-19
Publication date: 1999-08-27

Abstract

(57)【要約】（修正有）【課題】有限体上の離散対数問題を安全性の根拠とす
るよりも安全性を向上させる。【解決手段】楕円曲線Ｅ上の有理点群Ｅ（Ｆ
（ｐⁿ））中の要素数ｑの部分群Ｇ_pからＧ₁ ，Ｇ₂を
選択して公開し、署名者は秘密鍵ｓ₁ ，ｓ₂ としてＺ／
ｑＺからランダムに選択し、公開鍵Ｖ＝［−ｓ₁ ］Ｇ₁
＋［−ｓ₂ ］Ｇ₂ をＥ上の要素として求め、Ｚ／ｑＺか
らｒ′₁ ，ｒ′₂ をランダムに選択して、Ｂ＝［ｒ′
₁ ］Ｇ₁ ＋［ｒ′₂ ］Ｇ₂ をＥ上の要素として求め、Ｂ
を署名秘密者へ送る。依頼者はｒ₁ ，ｒ₂，ｄをＺ／ｑ
Ｚから選択し、Ｘ＝Ｂ＋［ｒ₁ ］Ｇ₁ ＋［ｒ₂ ］Ｇ₂＋
［ｄ］Ｖを、Ｅ上の要素として求め、ｅ＝ｈ（ｍ，
Ｘ），ｅ′＝ｅ−ｄmod ｑを求めて署名者へ送り、署名
者はｙ′₁ ＝ｒ′₁ ＋ｅ′ｓ₁ mod q 、ｙ′₂ ＝ｒ′₂
＋ｅ′ｓ₂ mod q を求めて依頼者へ返送し、依頼者はｙ
₁ ＝ｙ′₁ ＋ｒ₁ mod ｑ，ｙ₂＝ｙ′₂＋ｒ₂mod ｑを
求めて、ｅ，ｙ₁ ，ｙ₂ を署名とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は情報セキュリティ
技術に適用され、署名依頼者が、署名者に、その署名内
容、例えばメッセージｍを明すことなく、署名してもら
うブラインド署名に関するものであり、特に楕円曲線を
利用技術に関するものである。

【０００２】

【従来の技術】従来技術としては、安全性の証明がされ
ているブラインド署名方式として岡本による署名方式が
提案されている。（Tatsuaki Okamoto，“Provably Sec
ure and Practical Identification Scheme and Corres
ponding Signature Schemes ，Lecture Notes in Compu
ter Science ，Volume 740，Advances in Cryptology：
ＣＲＹＰＴ'92 ）従来技術として、提案されている岡本によるブラインド
署名方式の説明をする。図５はこの署名方法の手順を表
すものである。システム構築時にシステムパラメータ
ｐ，ｑ，ｇ₁ ，ｇ₂ ，ｔを生成する。ここでｐ，ｑは素
数、ｑはｐ−１を割りきれる。ｇ₁ ，ｇ₂ はｐを法とす
る既約剰余類群（Ｚ／ｐＺ）^*の要素から選んだもので
あり、いずれの位数もｑであるとする。

【０００３】署名者は秘密鍵ｓ₁ ，ｓ₂ としてＺ／ｑＺ
（Ｚ／ｑＺは｛０，１，…，ｑ−１｝の整数）よりラン
ダムな異なる要素を選び、公開鍵ｖ＝ｇ₁ ^-s1 ｇ₂ ^-s2
modｐを計算してｖを公開するｈをハッシュ関数とし、
その出力のビット長をｔとする。事前計算として、署名
者はランダムな数ｒ₁′，ｒ₂′∈Ｚ／ｑＺを選び、ｂ
＝ｇ₁ ^r'1ｇ₂ ^r'2mod ｐを計算して、署名依頼者に渡
す。

【０００４】署名依頼者は、ランダムにｒ₁，ｒ₂∈Ｚ
／ｑＺとｄ∈Ｚ／ｑＺを生成して、ｘ＝ｂｇ₁ ^r1ｇ₂ ^r1
ｖ^dmod ｐを計算して、更にｘとメッセージｍをハッシ
ュ演算してｅ＝ｈ（ｘ，ｍ）∈Ｚ／２^tＺを計算して、
ｅ′＝ｅ−ｄmod ｑを署名者に渡す。署名者は、ｙ₁′
＝ｒ₁′＋ｅ′ｓ₁mod ｑ，ｙ₂′＝ｒ₂′＋ｅ′ｓ₂
modｑを計算して、（ｙ₁′，ｙ₂′）を署名依頼者へ
渡す。

【０００５】署名依頼者は（ｙ₁′，ｙ₂′）が検証式
ｂ＝ｇ₁ ^y'1ｇ₂ ^y'2ｖ^e'mod ｐを満たすか確かめる。
ここでは署名者が正しく処理をしたならば、次の式が成
り立つことにより、検証式を満たす。ｇ₁ ^y'1ｇ₂ ^y'2ｖ^e'＝ｇ₁ ^r'1+e's1ｇ₂ ^r'2+e's2ｖ^e' ＝ｇ₁ ^r'1ｇ₂ ^r'2（ｇ₁ ^e's1ｇ₂ ^e's2）（ｇ₁ ^-e's1ｇ₂ ^-e's2）＝ｇ₁ ^r'1ｇ₂ ^r'2＝ｂmod ｐ署名依頼者は正しい（ｙ₁′，ｙ₂′）からｙ₁＝
ｙ₁′＋ｒ₁mod ｑ，ｙ₂＝ｙ₂′＋ｒ₂mod ｑを計算
して、（ｅ，ｙ₁，ｙ₂）をｍに対する署名として署名
検証者に渡す。

【０００６】署名検証者はｘ′＝ｇ₁ ^y1ｇ₂ ^y2ｖ^emod
ｐを計算して、等式ｅ＝ｈ（ｘ′，ｍ）を満たすならば
検証成功とする。ここでは署名者が正しく処理をして、
上記検証式を満たしたならば、次の式が成り立つことに
より検証が成功する。ｘ′＝ｇ₁ ^y1ｇ₂ ^y2ｖ^e＝ｇ₁ ^y'1+r1ｇ₂ ^y'2+r2ｖ^e ＝（ｇ₁ ^y'1ｇ₂ ^y'2）ｖ^e'（ｇ₁ ^r1ｇ₂ ^r2）ｖ^e-e' ＝ｂ（ｇ₁ ^r1ｇ₂ ^r2）ｖ^dmod ｐ一方、近年公開鍵暗号の分野では、公開鍵暗号の安全性
をより高めることを主な目的として、有限体上の離散対
数問題を楕円曲線上の離散対数問題に置き換えて暗号ア
ルゴリズムを構築する試みがされてきている。

【０００７】楕円曲線上の離散対数問題とは次のような
ものである。いま、ｐを素数とし、ｎを自然数として、
要素数ｐⁿである有限体Ｆ（ｐⁿ）上で定義された楕円
曲線ＥのＦ（ｐⁿ）有理点で構成される群をＥ（Ｆ（ｐ
ⁿ））として、Ｅ（Ｆ（ｐⁿ））上の２項演算を記号＋
で書き、Ｅ（Ｆ（ｐⁿ））の要素Ｇをｘ個加算したＧ＋
Ｇ＋…＋Ｇ（ｘ個）を［ｘ］Ｇと書くとする。

【０００８】この時、楕円曲線上の離散対数問題とは、
楕円曲線上の群Ｅ（Ｆ（ｐⁿ））の元Ｐ，Ｑに対してＰ
＝［ｎ］Ｑを満たす整数ｎが存在する場合に、ｎを求め
る問題のことである。楕円曲線および楕円曲線上の群に
関しては、J.H.Silverman 著の“The Arithmetic of El
liptic Curves ”，ＧＴＭ106 ，Springer-Verlag New
York 1986 参照。

【０００９】岡本によるブラインド署名方式は有限体上
離散対数問題を安全性の根拠とおいているが、岡本によ
るブラインド署名方式を、楕円曲線上の離散対数問題を
安全性の根拠とするブラインド署名方式に置き換える提
案はされていなかった。

【００１０】

【発明が解決しようとする課題】コンピュータの計算能
力の向上や有限体上の離散対数問題の解法アルゴリズム
の発見により、安全性を向上させるためにより難しい問
題を根拠とする必要が生じてきている。この発明の目的
は上記従来方式の問題点に対して、より難しい問題であ
る楕円曲線上の群に対する離散対数問題を安全性の根拠
とするブラインド署名方法、その装置及びプログラム記
録媒体を提供することである。

【００１１】

【課題を解決するための手段】上記目的を達成するため
に請求項２に係るブラインド署名方法においては、ｐを
素数とし、ｎを自然数として、要素数ｐⁿである有限体
Ｆ（ｐⁿ）上で定義された楕円曲線ＥのＦ（ｐⁿ）有理
点で構成される群をＥ（Ｆ（ｐⁿ））とし、Ｅ（Ｆ（ｐ
ⁿ））上の２項演算を記号＋で書き、Ｅ（Ｆ（ｐⁿ））
の要素Ｇの逆元を記号−Ｇで書き、Ｅ（Ｆ（ｐⁿ））の
要素Ｇをｘ個加算したＧ＋Ｇ＋…＋Ｇ（ｘ個）を［ｘ］
Ｇと書き、負の整数ｘに対して、Ｅ（Ｆ（ｐⁿ））の要
素Ｇの逆元−Ｇを−ｘ個加算した（−Ｇ）＋（−Ｇ）＋
…＋（−Ｇ）（−ｘ個）を［ｘ］Ｇと書くとして、群Ｅ
（Ｆ（ｐⁿ））から、要素数が素数ｑである部分群Ｇ_q
として、その部分群Ｇ_qの異なる２つの要素Ｇ₁ ，Ｇ₂
を選び、（ｐⁿ，Ｅ，ｑ，Ｇ₁ ，Ｇ₂ ）を公開パラメー
タとして公開し、さらに楕円曲線上の群の要素Ｘと整数
ｍを入力変数として２^t−１がｑ以下であるようなｔに
対して、｛０，１，…，２^t−１｝の要素を出力とする
一方向性関数をｈとするとして、署名装置と検証装置が
署名通信をする環境において、署名装置は秘密にランダ
ムに２つのことなる要素ｓ₁ ，ｓ₂ をＺ／ｑＺより選
び、これらを用いて楕円曲線Ｅの群の要素Ｖ＝［−ｓ
₁ ］Ｇ₁ ＋［−ｓ₂ ］Ｇ₂を計算して求め、Ｖを公開鍵
として公開し、（ｓ₁ ，ｓ₂ ）を秘密鍵として秘密に保
持しておく。

【００１２】事前計算として、署名装置がランダムな数
ｒ₁′，ｒ₂′をＺ／ｑＺから選び、これらを用いて楕
円曲線Ｅの群の要素Ｂ＝［ｒ₁′］Ｇ₁＋［ｒ₂′］Ｇ
₂を計算して要素Ｂを署名依頼装置に渡す。ブラインド処理署名依頼装置は、ランダムにｒ₁，ｒ₂とｄをＺ／ｑＺ
から選び、これらと公開要素Ｇ₁，Ｇ₂、公開鍵Ｖを用
いて楕円曲線Ｅの群の要素Ｘ＝Ｂ＋［ｒ₁］Ｇ ₁＋［ｒ
₂］Ｇ₂＋［ｄ］Ｖを計算して、その計算結果と署名対
象メッセージを変数値化したｍに対し一方向性関数演算
ｅ＝ｈ（Ｘ，ｍ）を計算して、ｅ′＝ｅ−ｄ mod ｑを
署名装置に渡す。署名処理署名装置は、ｙ₁′＝ｒ₁′＋ｅ′ｓ₁mod ｑ，ｙ₂′
＝ｒ₂′＋ｅ′ｓ₂mod ｑを計算して、（ｙ₁′，
ｙ₂′）を署名依頼装置へ渡す。

【００１３】署名依頼装置は（ｙ₁′，ｙ₂′）が検証
式Ｂ＝［ｙ₁′］Ｇ₁＋［ｙ₂′］Ｇ₂＋［ｅ′］Ｖを
満たすか確かめる。ここでは署名装置が正しく処理をし
たならば、次の式が成り立つことにより検証式が成り立
つ。［ｙ₁′］Ｇ₁＋［ｙ₂′］Ｇ₂＋［ｅ′］Ｖ＝［ｒ₁′＋ｅ′ｓ₁］Ｇ₁＋［ｒ₂′＋ｅ′ｓ₂］Ｇ₂＋［ｅ′］Ｖ＝［ｒ₁′］Ｇ₁＋［ｒ₂′］Ｇ₂＋［ｅ′ｓ₁］Ｇ₁ ＋［ｅ′ｓ₂］Ｇ₂＋［−ｅ′ｓ₁］Ｇ₁＋［−ｅ′ｓ₂］Ｇ₂ ＝［ｒ₁′］Ｇ₁＋［ｒ₂′］Ｇ₂＝Ｂ署名依頼装置は正しい（ｙ₁′，ｙ₂′）からｙ₁＝ｙ
₁′＋ｒ₁mod ｑ，ｙ ₂＝ｙ₂′＋ｒ₂mod ｑを計算し
て、（ｅ，ｙ₁，ｙ₂）をｍに対する署名として署名検
証装置に渡す。

【００１４】署名検証装置は署名と公開要素Ｇ₁，
Ｇ₂、公開鍵Ｖを用いてＸ′＝［ｙ₁］Ｇ₁＋［ｙ₂］
Ｇ₂＋［ｅ］Ｖを計算して、等式ｅ＝ｈ（Ｘ′，ｍ）を
満たすならば検証成功とする。ここでは署名装置が正し
く処理をしたならば、次の式が成り立つことにより検証
が成功する。

【００１５】Ｘ′＝［ｙ₁］Ｇ₁＋［ｙ₂］Ｇ₂＋［ｅ］Ｖ＝［ｙ₁′＋ｒ₁］Ｇ₁＋［ｙ₂′＋ｒ₂］Ｇ₂＋［ｅ］Ｖ＝［ｙ₁′］Ｇ₁＋［ｙ₂′］Ｇ₂＋［ｅ′］Ｖ＋［ｒ₁］Ｇ₁＋［ｒ₂］Ｇ₂＋［ｅ−ｅ′］Ｖ＝Ｂ＋［ｒ₁］Ｇ₁＋［ｒ₂］Ｇ₂＋［ｄ］Ｖ＝Ｘ

【００１６】

【発明の実施の形態】図１にこの発明のブラインド署名
方法の実施例の処理手順を示し、図２にその署名装置、
図３に署名依頼装置、図４に検証装置の各機能構成をそ
れぞれ示す。システムパラメータ生成システム構築時に、ｐを素数とし、ｎを自然数として、
以下の性質を満たす要素数ｐⁿである有限体Ｆ（ｐⁿ）
とその有限体上に定義された楕円曲線Ｅを選ぶ。

【００１７】・楕円曲線Ｅ上に定義される群の部分群Ｇ
_qの位数が大きな、例えば１６０ビット程度の素数であ
る。・上記部分群の２つの要素をランダムに選べる。ここで
上記部分群Ｇ_qの位数である素数をｑとおく。次に上記
部分群Ｇ_qの異なる要素Ｇ₁ ，Ｇ₂ をランダムに選ぶ。

【００１８】以上の（ＥＦ（ｐⁿ）又はｐⁿ，Ｅ，ｑ，
Ｇ₁ ，Ｇ₂ ）を公開パラメータとして公開する。さらに
楕円曲線上の群の要素Ｘと整数ｍを入力変数として２^t
−１がｑ以下であるようなｔに対し、｛０，１，…，２
^t−１｝の要素を出力とする一方向性ハッシュ関数をｈ
とする。秘密鍵、公開鍵生成署名装置１１のメモリ１２内には前記システム公開パラ
メータが格納されてある。署名者は署名装置１１内の秘
密鍵生成部１４により、秘密にランダムに２つのことな
る要素ｓ₁ ，ｓ₂ をＺ／ｑＺ、つまり｛０，１，…，ｑ
−１｝の整数中より選ぶ。例えば乱数生成器から乱数を
発生させ、その乱数がＺ／ｑＺであればそれを出力する
ことにより、異なる２つのｓ₁ とｓ₂ を得る。これら要
素ｓ₁ ，ｓ₂ と公開要素Ｇ₁ ，Ｇ₂ を用いて楕円曲線Ｅ
の群の要素Ｖが、公開鍵生成部１５で次式により計算さ
れる。

【００１９】Ｖ＝［−ｓ₁ ］Ｇ₁ ＋［−ｓ₂ ］Ｇ₂ … （１）署名者はＶを公開鍵として公開し、（ｓ₁ ，ｓ₂ ）を秘
密鍵として、メモリ１２内に秘密に保持しておく。事前計算署名装置１１は乱数生成部１６により、Ｚ／ｑＺからラ
ンダムな数ｒ₁′，ｒ₂′を選び、これらと公開要
素Ｇ₁，Ｇ₂を用いて楕円曲線Ｅの群へ要素Ｂを事前計
算部１７で次式により求める。

【００２０】Ｂ＝［ｒ₁′］Ｇ₁＋［ｒ₂′］Ｇ₂ … （２）この事前計算値Ｂを送信部１８より署名依頼者の装置
（署名依頼装置）２１へ送る。署名依頼装置２１のメモ
リ２２には公開パラメータＧ₁，Ｇ₂，ｑ、公開鍵Ｖな
どが格納されてある。受信部２３で署名装置１１から事
前計算値Ｂを受信すると、以下のブラインド処理を行
う。即ち乱数生成部２４と２５で、Ｚ／ｑＺからランダ
ムｒ₁，ｒ₂とｄをそれぞれ生成する。

【００２１】次に攪乱数生成部２６で、乱数ｒ₁，
ｒ₂，ｄと公開情報Ｇ₁，Ｇ₂，Ｖとから次式を計算し
て攪乱数Ｘを楕円曲線Ｅの要素として求める。Ｘ＝Ｂ＋［ｒ₁］Ｇ₁＋［ｒ₂］Ｇ₂＋［ｄ］Ｖ … （３）この攪乱数Ｘとメッセージが数値化された整数ｍとを関
数演算部２７に変数としたこの例ではハッシュ関数演算
がなされ演算結果ｅを得る。

【００２２】ｅ＝ｈ（Ｘ，ｍ） … （４）この演算結果ｅと乱数ｄとの次式の引算を剰余演算部２
８で行う。ｅ′＝ｅ−ｄmod ｑ … （５）この演算結果、つまりブラインド処理結果ｅ′を送信部
２９より署名装置１１へ送る。

【００２３】署名装置１１は受信部１３でブラインド処
理結果ｅ′を受信すると、これと、乱数ｒ₁′，
ｒ₂′、秘密鍵ｓ₁，ｓ₂と公開パラメータｑを用いて
次式の署名演算を署名演算部１９で行う。ｙ₁′＝
ｒ₁′＋ｅ′ｓ₁mod ｑ …
（６）ｙ₂′＝ｒ₂′＋ｅ′ｓ₂mod ｑ
… （７）この署名演算結果ｙ₁′，ｙ₂′を
署名依頼装置２１へ送信部１８で送る。

【００２４】署名依頼装置２１は受信部２３で受信され
た署名演算結果ｙ₁′，ｙ₂′に対し、公開情報Ｇ₁，
Ｇ₂，Ｖとブラインド処理結果ｅ′を用い、検証部３１
で、楕円曲線Ｅ上の下記の式を満すかを確める。Ｂ＝［ｙ₁′］Ｇ₁＋［ｙ₂′］Ｇ₂＋［ｅ′］Ｖ … （８）署名装置１１が正しく処理したのならば、式（８）の右
辺に式（６）、式（７）の関係、更に式（１）の関係を
代入すると次の等式が成り立つため、上記検証式が成り
立つ。

【００２５】［ｙ₁′］Ｇ₁＋［ｙ₂′］Ｇ₂＋［ｅ′］Ｖ＝［ｒ₁′＋ｅ′ｓ₁］Ｇ₁＋［ｒ₂′＋ｅ′ｓ₂］Ｇ₂＋［ｅ′］Ｖ＝［ｒ₁′］Ｇ₁＋［ｒ₂′］Ｇ₂＋［ｅ′ｓ₁］Ｇ₁ ＋［ｅ′ｓ₂］Ｇ₂＋［−ｅ′ｓ₁］Ｇ₁＋［−ｅ′ｓ₂］Ｇ₂ ＝［ｒ₁′］Ｇ₁＋［ｒ₂′］Ｇ₂＝Ｂアンブラインド処理検証部３１での検証に合格すると、署名演算結果
ｙ₁′，ｙ₂′に対し、乱数ｒ₁，ｒ₂を用いてアンブ
ラインド処理を次式の演算によりアンブラインド処理部
３２で行う。

【００２６】ｙ₁＝ｙ₁′＋ｒ₁mod ｑ … （９）ｙ₂＝ｙ₂′＋ｒ₂mod ｑ … （10）（ｅ，ｙ₁，ｙ₂）をメッセージｍに対する署名として
署名検証装置４１に送信部２９より送信する。署名検証署名検証装置４１においては図４に示すようにそのメモ
リ４２には公開要素Ｇ ₁，Ｇ₂、公開鍵Ｖが格納されて
おり、受信部４３でメッセージｍとその署名ｅ，ｙ₁，
ｙ₂が受信されると、検証演算部４４でＧ₁，Ｇ₂，Ｖ
と署名ｙ₁，ｙ ₂，ｅとにより楕円曲線Ｅ上でその要素
Ｘ′が次式により計算される。

【００２７】Ｘ′＝［ｙ₁］Ｇ₁［ｙ₂］Ｇ₂＋［ｅ］Ｖ … （11）この計算結果Ｘ′とメッセージｍがハッシュ関数演算部
４５に入力され、ｅ′＝ｈ（Ｘ′，ｍ）が演算される。
この演算結果ｅ′と、受信した署名中のｅとが比較部４
６で比較され、ｅ′＝ｅであるかが確められる。署名装
置１１が正しく処理をしたのならば、式（１１）の右辺
に、式（９），（１０）の関係、更に式（８）、式
（５）の関係を代入すると次の等式が成り立つため、検
証成功する。

【００２８】Ｘ′＝［ｙ₁］Ｇ₁＋［ｙ₂］Ｇ₂＋［ｅ］Ｖ＝［ｙ₁′＋ｒ₁］Ｇ₁＋［ｙ₂′＋ｒ₂］Ｇ₂＋［ｅ］Ｖ＝［ｙ₁′］Ｇ₁＋［ｙ₂′］Ｇ₂＋［ｅ′］Ｖ＋［ｒ₁］Ｇ₁＋［ｒ₂］Ｇ₂＋［ｅ−ｅ′］Ｖ＝Ｂ＋［ｒ₁］Ｇ₁＋［ｒ₂］Ｇ₂＋［ｄ］Ｖ＝Ｘ上述において、公開要素Ｇ₁ ，Ｇ₂ 、変数要素Ｘを求め
る演算は上記例に限られることなく、楕円曲線上で行う
演算であればよい。また署名要素ｙ₁ ，ｙ₂ の演算も上
記例に限られるものでない。

【００２９】署名装置１１、署名依頼装置２１、検証装
置４１は一般にはマイクロプロセッサなどを主体とする
制御部５１，５２，５３がそれぞれ設けられて、各手段
の順次制御や、メモリに対する読み、書きが行われる。

【００３０】

【発明の効果】以上説明したようにこの発明は安全性の
根拠を有限体の離散対数問題から楕円曲線上の離散対数
問題に変えることにより、従来より安全性の向上をはか
ることが可能となった。

【図面の簡単な説明】

【図１】この発明による楕円曲線を用いたブラインド署
名方法の動作手順を示す図。

【図２】この発明の署名装置の実施例の機能構成を示す
ブロック図。

【図３】この発明の署名依頼装置の実施例の機能構成を
示すブロック図。

【図４】この発明の検証装置の実施例の機能構成を示す
ブロック図。

【図５】従来の岡本による有限体上のブラインド署名方
法の動作手順を示す図。

Claims

【特許請求の範囲】

【請求項１】ｐを素数、ｎを自然数とし、要素数ｐⁿ
である有限体Ｆ（ｐ ⁿ）上で定義された楕円曲線ＥのＦ
（ｐⁿ）有理点で構成される群をＥ（Ｆ（ｐ ⁿ））と
し、群Ｅ（Ｆ（ｐⁿ））中の要素Ｇ₁ ，Ｇ₂ と、Ｅ（Ｆ
（ｐⁿ））又はｐⁿと、Ｅを公開し、署名装置は秘密鍵ｓ₁ ，ｓ₂ と上記公開要素Ｇ₁ ，Ｇ₂
を用いて楕円曲線Ｅの群の要素Ｖを求めて公開鍵として
公開し、署名装置は事前処理として、上記楕円曲線Ｅの群Ｅ（Ｆ
（ｐⁿ））中のランダムな要素Ｂを求め、このランダム
要素Ｂを署名依頼装置へ送り、署名依頼装置は受信したランダム要素Ｂを用いて上記楕
円曲線Ｅの群Ｅ（Ｆ（ｐⁿ））中のランダムな要素を、
攪乱要素Ｘとして求め、その攪乱要素Ｘと数値化された署名対象ｍとを入力変数
として関数演算を行い、更にその演算結果ｅに対して乱数にて処理して、ブライ
ンド処理結果であるブラインド署名対象ｅ′を得、この
ブラインド署名対象ｅ′を署名装置へ送り、署名装置は受信したブラインド署名対象ｅ′に対し、上
記ランダム要素Ｂを得る際に用いた情報と、上記秘密鍵
ｓ₁，ｓ₂を用いて署名演算を行い、その署名演算結果であるブラインド署名ｙ₁′，ｙ₂′
を署名依頼装置へ送り、署名依頼装置は受信したブラインド署名ｙ₁′，ｙ₂′
に対し、検証を行い、その検証に合格すると、上記ブラインド署名ｙ₁′，ｙ
₂′に対し、アンブラインド処理を行い、そのアンブラインド処理結果でｙ₁，ｙ₂と上記関数演
算結果ｅとを上記署名対象ｍに対する署名として、その
署名ｙ₁，ｙ₂，ｅと署名対象ｍを検証装置へ送り、検証装置は受信した署名ｙ₁ ，ｙ₂ ，ｅと公開要素Ｇ
₁ ，Ｇ₂ とを用いて楕円曲線Ｅ上の群の要素Ｘ′を求
め、その要素Ｘ′とｍを入力として関数演算を行いその演算
結果とｅとを比較し、一致していれば署名が正しいと判
定することを特徴とする楕円曲線を用いたブラインド署
名方法。
【請求項２】Ｅ（Ｆ（ｐⁿ））上の２項演算を記号＋
で、Ｅ（Ｆ（ｐⁿ））の要素Ｇの逆元を記号−Ｇで、Ｅ
（Ｆ（ｐⁿ））の要素Ｇをｘ個加算したＧ＋Ｇ＋…＋Ｇ
（ｘ個）を［ｘ］Ｇで、負の整数ｘに対して、Ｅ（Ｆ
（ｐⁿ））の要素Ｇの逆元−Ｇを−ｘ個演算した（−
Ｇ）＋（−Ｇ）＋…＋（−Ｇ）（−ｘ個）を［ｘ］Ｇで
それぞれ表わし、上記群Ｅ（Ｆ（ｐⁿ））中の要素からなり、要素数が素
数ｑである部分群Ｇ_qとして、部分群Ｇ_qの異なる２つ
の要素を上記公開要素Ｇ₁ ，Ｇ₂ として選び、ｑも公開
し、上記関数演算は一方向性関数ｈの演算であり、２^t−１
がｑ以下であるようなｔに対して、｛０，１，…，２^t
−１｝の要素を出力するものであり、上記秘密鍵ｓ₁ ，ｓ₂ として、ランダムに２つの異なる
要素をＺ／ｑＺ（Ｚ／ｑＺは｛０，１，…，ｑ−１｝の
整数）より選び、上記公開鍵Ｖを、Ｖ＝［−ｓ₁ ］Ｇ₁ ＋［−ｓ₂ ］Ｇ₂
の計算により求め、上記署名装置は異なるランダムな数ｒ₁′，ｒ₂′をＺ
／ｑＺ（Ｚ／ｑＺは｛０，１，…，ｑ−１｝の整数）よ
り選び、上記ランダム要素ＢをＢ＝［ｒ₁′］Ｇ₁＋
［ｒ₂′］Ｇ₂の計算により求め、上記署名依頼装置での上記ブラインド処理は、ランダム
にｒ₁，ｒ₂とｄをＺ／ｑＺから選び、上記攪乱要素Ｘ
をＸ＝Ｂ＋［ｒ₁］Ｇ₁＋［ｒ₂］Ｇ₂＋［ｄ］Ｖによ
り計算し、上記関数演算をｅ＝ｈ（ｍ，Ｘ）により求
め、ブラインド署名対象ｅ′としてｅ′＝ｅ−ｄmod ｑ
を計算して得る処理であり、上記署名装置の署名演算はｙ₁′＝ｒ₁′＋ｅ′ｓ₁ mo
d ｑ，ｙ₂′＝ｒ₂′＋ｅ′ｓ₂mod ｑであり、上記署名依頼装置の上記検証はＢ＝［ｙ₁′］Ｇ₁＋
［ｙ₂′］Ｇ₂＋［ｅ′］Ｖを満するかの演算であり、
上記アンブラインド処理はｙ₁＝ｙ₁′＋ｒ₁mod ｑ，
ｙ₂＝ｙ₂′＋ｒ₂mod ｑの計算であり、検証装置での上記要素Ｘ′はＸ′＝［ｙ₁ ］Ｇ₁ ＋［ｙ
₂ ］Ｇ₂ ＋［ｅ］Ｖの計算により求め、上記判定は検証
式ｅ＝ｈ（Ｘ′，ｍ）を満たすかどうかチェックをする
ことを特徴とする請求項１記載の楕円曲線を用いたブラ
インド署名方法。
【請求項３】有限体で定義される楕円曲線上の有理点
である公開要素Ｇ₁，Ｇ₂ と秘密鍵ｓ₁ ，ｓ₂ を格納す
るメモリと、上記秘密鍵ｓ₁ ，ｓ₂ を生成する秘密鍵生成手段と、上記秘密鍵ｓ₁ ，ｓ₂ と上記公開要素Ｇ₁ ，Ｇ₂ とを入
力して、上記楕円曲線上の有理点である公開鍵Ｖを生成
する公開鍵生成手段と、乱数ｒ₁′，ｒ₂′をランダムに生成する乱数生成手段
と、上記乱数ｒ₁′，ｒ₂′と上記公開要素Ｇ₁ ，Ｇ₂ を入
力して上記楕円曲線上の有理点であるランダム要素Ｂを
生成する前処理手段と、署名依頼装置から受信したブラインド署名対象ｅ′と、
上記乱数ｒ₁′，ｒ₂′、上記秘密鍵ｓ₁ ，ｓ₂ が入力
されてｅ′に対し署名演算をしてブラインド署名要素ｙ
₁′，ｙ₂′を得る署名演算手段と、上記ランダム要素Ｂ、上記ブラインド署名ｙ₁′，
ｙ₂′を署名依頼装置へ送る送信手段と、上記署名依頼装置より情報を受信する受信手段と、上記各手段を順次制御し、上記メモリに対する読出し書
込みなどを行う制御手段とを具備する署名装置。
【請求項４】上記楕円曲線Ｅはｐを素数とし、ｎを自
然数として、要素数ｐⁿである有限体Ｆ（ｐⁿ）上で定
義され、その有理点で群Ｅ（Ｆ（ｐⁿ））が構成され、
Ｅ（Ｆ（ｐⁿ））上の要素Ｇのｘ個加算を［ｘ］Ｇで表
わし、群Ｅ（Ｆ（ｐⁿ））中の要素数が素数ｑである部
分群Ｇ_qから異なる２つの要素Ｇ₁ ，Ｇ₂ が上記公開要
素として選定されており、上記メモリに上記ｑも記憶されており、上記秘密鍵生成手段はＺ／ｑＺ（Ｚ／ｑＺは｛０，１，
…，ｑ−１｝の整数）よりランダムに２つの異なる整数
ｓ₁ ，ｓ₂ を生成する手段であり、上記公開鍵生成手段はＶ＝［−ｓ₁ ］Ｇ₁ ＋［−ｓ₂ ］
Ｇ₂ を計算してＶを上記公開鍵とする手段であり、上記乱数選択手段はＺ／ｑＺよりランダムに２つの異な
る整数ｒ₁′，ｒ₂′を生成する手段であり、上記署名演算手段はｙ₁′＝ｒ₁′＋ｅ′ｓ₁ mod ｑ，
ｙ₂′＝ｒ₂′＋ｅ′ｓ₂ mod ｑを計算する手段である
ことを特徴とする請求項３記載の署名装置。
【請求項５】有限体で定義される楕円曲線上の有理点
である公開要素Ｇ₁，Ｇ₂、上記有理点である公開鍵
Ｖ、署名対象ｍを格納するメモリと、乱数ｒ₁，ｒ₂，ｄを生成する乱数生成手段と、上記乱数ｒ₁，ｒ₂、上記要素Ｇ₁，Ｇ₂、上記公開鍵
Ｖ、署名装置から受信した上記楕円曲線上の有理点のラ
ンダム要素Ｂが入力されて、上記楕円曲線上の有理点で
ある攪乱要素Ｘを生成する攪乱数生成手段と、上記攪乱要素Ｘと上記署名対象ｍとが変数として入力さ
れて関数演算を行う関数演算手段と、上記関数演算結果ｅと上記乱数ｄを入力してブラインド
署名対象ｅ′を出力するブラインド手段と、署名装置から受信したブラインド署名ｙ₁′，ｙ₂′を
検証する検証手段と、上記検証手段の検証に合格したブラインド署名ｙ₁′，
ｙ₂′と、上記乱数ｒ ₁，ｒ₂が入力されて、アンブラ
インド演算を行って署名要素ｙ₁，ｙ₂を得るアンブラ
インド処理手段と、上記ブラインド署名対象ｅ′を署名装置へ送り、上記要
素ｙ₁，ｙ₂を上記関数演算結果ｅを上記署名対象ｍの
署名として、ｙ₁，ｙ₂，ｅ，ｍを検証装置へ送る送信
手段と、上記署名装置より情報を受信する手段と、上記各手段を順次制御し、上記メモリに対する読出し書
込みなどを行う制御手段とを具備する署名依頼装置。
【請求項６】上記楕円曲線Ｅはｐを素数とし、ｎを自
然数として、要素数ｐⁿである有限体Ｆ（ｐⁿ）で定義
され、その有理点で群Ｅ（Ｆ（ｐⁿ））が構成され、Ｅ
（Ｆ（ｐⁿ））上の要素Ｇのｘ個加算を［ｘ］Ｇで表わ
し、群Ｅ（Ｆ（ｐⁿ））中の要素数が素数ｑである部分
群Ｇ_qから異なる２つの要素Ｇ₁ ，Ｇ ₂ が上記公開要素
として選定されてあり、上記公開鍵はＶ＝［−ｓ₁ ］Ｇ
₁ ＋［−ｓ₂ ］Ｇ₂ を計算した値であり、ｒ₁ ，ｒ₂ ，
ｄはＺ／ｑＺ（Ｚ／ｑＺは｛０，１，…，ｑ−１｝の整
数）からランダムに取った３つの異なる整数であり、上記関数は、２^t−１がｑ以下でありｔに対し、｛０，
１，…，２^t−１｝の要素を出力する一方向性関数ｈで
あり、上記ｑも上記メモリに格納され、上記攪乱数生成手段は、Ｘ＝Ｂ＋［ｒ₁］Ｇ₁＋
［ｒ₂］Ｇ₂＋［ｄ］Ｖを計算する手段であり、上記関数演算手段はｈ（ｍ，Ｘ）を演算する手段であ
り、上記ブラインド手段は、ｅ′＝ｅ−ｄmod ｑを計算する
手段であり、上記検証手段はＢ＝［ｙ₁′］Ｇ₁＋［ｙ₂′］Ｇ₂＋
［ｅ′］Ｖを満すかを確かめる手段であり、上記アンブラインド処理手段はｙ₁＝ｙ₁′＋ｒ₁mod
ｑ，ｙ₂＝ｙ₂′＋ｒ ₂mod ｑを計算する手段であるこ
とを特徴とする請求項５記載の署名依頼装置。
【請求項７】署名対象ｍに対し、ブラインド署名を行
う署名装置で、秘密鍵ｓ₁ ，ｓ₂ を生成する秘密鍵生成過程と、有限体で定義される楕円曲線上の有理点である公開要素
Ｇ₁ ，Ｇ₂ と上記秘密鍵ｓ₁ ，ｓ₂ を用いて上記楕円曲
線上の有理点の要素である公開鍵Ｖを生成する公開鍵生
成過程と、乱数ｒ₁′，ｒ₂′をランダムに生成する乱数生成過程
と、上記乱数ｒ₁′，ｒ₂′と上記公開要素Ｇ₁ ，Ｇ₂ を用
いて上記楕円曲線上の有理点の要素であるランダム要素
Ｂを生成する前処理過程と、上記ランダム要素Ｂを署名依頼装置へ送る過程と、署名依頼装置から受信したブラインド署名対象ｅ′を受
信する過程と、上記受信したブラインド署名対象ｅ′と、上記乱数
ｒ₁′，ｒ₂′、上記秘密鍵ｓ₁ ，ｓ₂ を用いてｅ′に
対し署名演算をしてブラインド署名要素ｙ₁′，ｙ ₂′
を演算する署名演算過程と、上記ブラインド署名ｙ₁′，ｙ₂′を上記署名依頼装置
へ送る送信過程と、を実行させるプログラムを記録したコンピュータ読出し
可能な記録媒体。
【請求項８】上記楕円曲線Ｅはｐを素数とし、ｎを自
然数として、要素数ｐⁿである有限体Ｆ（ｐⁿ）上で定
義され、その有理点群Ｅ（Ｆ（ｐⁿ））が構成され、Ｅ
（Ｆ（ｐⁿ））上の要素Ｇのｘ個加算を［ｘ］Ｇで表わ
し、群Ｅ（Ｆ（ｐⁿ））中の要素数が素数ｑである部分
群Ｇ_qから異なる２つの要素Ｇ₁ ，Ｇ ₂ が上記公開要素
として選定されており、上記秘密鍵生成過程はＺ／ｑＺ（Ｚ／ｑＺは｛０，１，
…，ｑ−１｝の整数）よりランダムに２つの異なる整数
ｓ₁ ，ｓ₂ を取出す過程であり、上記公開鍵生成過程はＶ＝［−ｓ₁ ］Ｇ₁ ＋［−ｓ₂ ］
Ｇ₂ を計算してＶを上記公開鍵とする過程であり、上記乱数選択過程はＺ／ｑＺよりランダムに２つの異な
る整数ｒ₁′，ｒ₂′を取出す過程であり、上記前処理過程はＢ＝［ｒ₁′］Ｇ₁ ＋［ｒ₂′］Ｇ₂
を計算する過程であり、上記署名演算過程はｙ₁′＝ｒ₁′＋ｅ′ｓ₁ mod ｑ，
ｙ₂′＝ｒ₂′＋ｅ′ｓ₂ mod ｑを計算する過程である
ことを特徴とする請求項７記載の記録媒体。
【請求項９】署名装置ｍに対し、署名装置に対しブラ
インド署名を依頼する署名依頼装置で、上記署名装置から、有限体で定義される楕円曲線上の有
理点であるランダム要素Ｂを受信する過程と、乱数ｒ₁，ｒ₂，ｄを生成する乱数生成過程と、上記乱数ｒ₁，ｒ₂、上記楕円曲線上の有理点である公
開要素Ｇ₁，Ｇ₂と上記公開鍵Ｖ、上記ランダム要素Ｂ
とより上記楕円曲線上の有理点である攪乱要素Ｘを生成
する攪乱数生成過程と、上記攪乱要素Ｘと上記署名対象ｍとを入力変数として関
数演算を行う関数演算過程と、上記関数演算結果ｅと上記乱数ｄを用いてブラインド署
名対象ｅ′を計算するブラインド過程と、上記ブラインド署名対象を上記署名装置を送信する過程
と、上記署名装置からブラインド署名を受信する過程と、上記ブラインド署名ｙ₁′，ｙ₂′を検証する検証過程
と、上記検証過程の検証に合格すると、そのブラインド署名
ｙ₁′，ｙ₂′に対し、上記乱数ｒ₁，ｒ₂を用いてア
ンブラインド演算を行って署名要素ｙ₁，ｙ₂を得るア
ンブラインド処理過程と、上記要素ｙ₁，ｙ₂、上記関数演算結果ｅを上記署名対
象ｍの署名として、ｙ ₁，ｙ₂，ｅ，ｍを検証装置へ送
る送信過程と、を実行させるプログラムを記録したコンピュータ読出し
可能な記録媒体。
【請求項１０】上記楕円曲線Ｅはｐを素数とし、ｎを
自然数として、要素数ｐⁿである有限体Ｆ（ｐⁿ）で定
義され、その有理点で群Ｅ（Ｆ（ｐⁿ））が構成され、
Ｅ（Ｆ（ｐⁿ））上の要素Ｇのｘ個加算を［ｘ］Ｇで表
わし、群Ｅ（Ｆ（ｐⁿ））中の要素数が素数ｑである部
分群Ｇ_qから異なる２つの要素Ｇ₁ ，Ｇ₂ が上記公開要
素として選定されてあり、上記公開鍵はＶ＝［−ｓ₁ ］
Ｇ₁ ＋［−ｓ₂ ］Ｇ₂ を計算した値であり、ｒ₁ ，ｒ
₂ ，ｄはＺ／ｑＺ（Ｚ／ｑＺは｛０，１，…，ｑ−１｝
の整数）からランダムに選んだ３つの異なる整数であ
り、上記関数は、２^t−１がｑ以下であり、｛０，１，
…，２^t−１｝の要素を出力する一方向性関数ｈであ
り、上記ｑも公開され、上記攪乱数生成過程は、Ｘ＝Ｂ＋［ｒ₁］Ｇ₁＋
［ｒ₂］Ｇ₂＋［ｄ］Ｖを計算する過程であり、上記関数演算過程はｈ（ｍ，Ｘ）を演算する過程であ
り、上記ブラインド過程は、ｅ′＝ｅ−ｄmod ｑを計算する
過程であり、上記検証過程はＢ＝［ｙ₁′］Ｇ₁＋［ｙ₂′］Ｇ₂＋
［ｅ′］Ｖを満すかを確かめる過程であり、上記アンブラインド処理過程はｙ₁＝ｙ₁′＋ｒ₁mod
ｑ，ｙ₂＝ｙ₂′＋ｒ ₂mod ｑを計算する過程であるこ
とを特徴とする請求項９記載の記録媒体。