WO2008075420A1 - 電子署名プログラム、電子署名装置、および電子署名方法 - Google Patents

電子署名プログラム、電子署名装置、および電子署名方法 Download PDF

Info

Publication number
WO2008075420A1
WO2008075420A1 PCT/JP2006/325380 JP2006325380W WO2008075420A1 WO 2008075420 A1 WO2008075420 A1 WO 2008075420A1 JP 2006325380 W JP2006325380 W JP 2006325380W WO 2008075420 A1 WO2008075420 A1 WO 2008075420A1
Authority
WO
WIPO (PCT)
Prior art keywords
signature
electronic
aggregate
electronic document
signer
Prior art date
Application number
PCT/JP2006/325380
Other languages
English (en)
French (fr)
Inventor
Masahiko Takenaka
Tetsuya Izu
Original Assignee
Fujitsu Limited
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Limited filed Critical Fujitsu Limited
Priority to PCT/JP2006/325380 priority Critical patent/WO2008075420A1/ja
Publication of WO2008075420A1 publication Critical patent/WO2008075420A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Definitions

  • the present invention relates to an individual signature for n electronic documents ⁇ m, ⁇ , m ⁇ to be aggregated.
  • the present invention relates to an electronic signature program, an electronic signature program, an electronic signature device, and an electronic signature method that can perform these verifications.
  • An electronic signature is a signature data that is attached to guarantee the validity of an electronic document, a method for generating the signature data, or an electronic representation of characters, symbols, marks, etc.
  • a signature scheme that proves the creator of an electronic document by applying a public key cryptosystem and guarantees that the electronic document has been tampered with is called a digital signature.
  • FIG. 21 is an explanatory diagram showing a normal electronic signature.
  • signature data ⁇ to ⁇ corresponding to the number n of the electronic documents D 1 to Dn are required when a normal electronic signature is used.
  • Such an electronic signature is classified into an electronic signature based on a prime factorization problem and an electronic signature based on a discrete logarithm problem.
  • the prime factorization problem is a problem in which a composite number obtained by multiplying two prime numbers is decomposed into prime factors. Multiplying the composite number by a prime number of about 100 digits makes prime factorization difficult.
  • Digital signatures based on the prime factorization problem include RSA signatures.
  • the discrete logarithm problem is a problem of calculating a logarithm in a finite field modulo a certain prime number, and has a different purpose from the prime factorization problem.
  • aggregate signatures are attracting attention as a technique for superimposing a plurality of signature data ⁇ to ⁇ shown in FIG.
  • Aggregate signature is one of the application technologies of electronic signature, and superimposes the signature when one or more signatures must be given by one or more signers in the distribution of electronic documents. Can reduce the amount of signature data.
  • FIG. 22 is an explanatory diagram showing an aggregate signature.
  • the signature data ⁇ to ⁇ obtained from each of the plurality of electronic documents Dl to Dn are superimposed (adjusted), so that a single signature data ⁇ can be obtained and the amount of signature data can be reduced. it can.
  • Patent Document 1 Patent No. 2666191
  • Non-Patent Literature l A.Lysyanskaya, et.al, "Sequential AggregateSignatures from Trapdoor Permutations” ), "EUROCRYPT 2004, LNCS 3027, pp. 74-90, 2004
  • Non-Patent Document 2 D.Bone, et.al “(D'Bone et al.)” Aggregate and Verifiably EncryptedSignature from Bilinear Maps, "EUROCRYPT 2003, LNCS 2656, pp. 416-432, 2003
  • the general aggregate signature described above has no restriction on the signature function described above compared to the sequential aggregate signature, such as the order of signature confirmation and deletion of the signature in the middle, and the degree of freedom of signature confirmation is not limited. While it has the advantage of being high, it is based on elliptic curve cryptography pairing, so it is not possible to use existing traps, and it is necessary to construct a unique infrastructure. there were.
  • the present invention can simultaneously achieve a reduction in the amount of signature data, an improvement in the degree of freedom of signature confirmation, and an improvement in convenience by using an existing bag. It is an object to provide an electronic signature program, an electronic signature device, and an electronic signature method.
  • the electronic signature program, the recording medium on which the program is recorded, the electronic signature device, and the electronic signature method according to the present invention include ⁇ electronic documents ⁇ m,
  • the one for the private key a
  • the signature data independent of the temporal public key is calculated, and the combination of the temporary public key ⁇ and the signature data s (r, s.) Is the individual signature of the i-th signer for the electronic document m. It outputs as (sigma).
  • the plurality of individual signatures ⁇ 1,.
  • the aggregate signature ⁇ is acquired and based on the first superposition result r.
  • the first verification information V is calculated, and the second verification information V is calculated based on the second superposition result s.
  • the element with q as the number, M) is a hash function, a is the secret key of the i-th signer, and l ⁇ a ⁇ q— 1.
  • An electronic signature program, a recording medium on which the program is recorded, an electronic signature device, and an electronic signature method according to the present invention reduce the amount of signature data, improve the degree of freedom of signature verification, and use an existing PKI As a result, it is possible to improve the convenience of the system at the same time.
  • FIG. 1 is a block diagram showing a hardware configuration of an electronic signature device according to an embodiment of the present invention.
  • FIG. 2 is an explanatory diagram showing an individual signature and an aggregate signature by an electronic application system for a passport.
  • FIG. 3 is a block diagram showing a functional configuration of an individual signature generation apparatus according to an embodiment of the present invention.
  • FIG. 4 is a flowchart showing an individual signature generation processing procedure (signature algorithm A1) according to the embodiment of the present invention.
  • FIG. 5 is a block diagram showing a functional configuration (part 1) of an aggregate signature generation apparatus that is useful in an embodiment of the present invention.
  • FIG. 6 is a flowchart showing an aggregate signature generation processing procedure (signature algorithm A2) that is relevant to the embodiment of the present invention.
  • Figure 7 shows the deletion process of the aggregate signature by the passport electronic application system.
  • FIG. 8 is a block diagram showing a functional configuration (part 2) of the aggregate signature generation apparatus that is useful in the embodiment of the present invention.
  • FIG. 9 is a flowchart showing a signature deletion processing procedure (signature algorithm A3) according to the embodiment of the present invention.
  • FIG. 10 is an explanatory diagram showing verification processing of an aggregate signature by the electronic application system for a passport.
  • FIG. 11 is a block diagram showing a functional configuration of an aggregate signature verification apparatus according to an embodiment of the present invention.
  • FIG. 12 is a flowchart showing an aggregate signature verification process procedure according to the embodiment of the present invention.
  • FIG. 13 is an explanatory diagram showing an overview of a sequential aggregate signature.
  • FIG. 14 is a block diagram showing a functional configuration (part 3) of the aggregate signature generation apparatus that is useful in the embodiment of the present invention.
  • FIG. 15 is a flowchart showing an aggregate signature generation processing procedure (signature algorithm A5) that is relevant to the embodiment of the present invention.
  • FIG. 16 is a flowchart showing an individual signature generation processing procedure related to the embodiment of the present invention.
  • FIG. 17 is a flowchart showing an aggregate signature generation processing procedure according to the embodiment of the present invention.
  • FIG. 18 is a flowchart showing a signature deletion processing procedure (signature algorithm A8) according to the embodiment of the present invention.
  • FIG. 19 is a flowchart showing an aggregate signature verification processing procedure (signature algorithm A9) according to the embodiment of the present invention.
  • FIG. 20 is a flowchart showing a sequential aggregate signature generation processing procedure (signature algorithm A10) based on the elliptic curve discrete logarithm problem.
  • FIG. 21 is an explanatory diagram showing a normal electronic signature.
  • FIG. 22 is an explanatory diagram showing an aggregate signature. Explanation of symbols
  • an electronic signature program, an electronic signature device, and an electronic signature method that are effective in the present invention can use an existing PKI (public key infrastructure) in the electronic signature (digital signature) technology.
  • PKI public key infrastructure
  • the embodiment will be described in detail with reference to the drawings.
  • FIG. 1 is a block diagram showing a hardware configuration of an electronic signature device according to an embodiment of the present invention.
  • the CPU 101, ROM 102, RAM 103, HDD (node disk drive) 104, HD (node disk) 105, and FDD (flexible disk drive) 106 are detachable.
  • an FD (flexible disc) 107, a display 108, an IZF (interface) 109, a keyboard 110, a mouse 111, a scanner 112, and a printer 113 are provided.
  • Each component is connected by a bus 100.
  • the CPU 101 governs overall control of the electronic signature device.
  • the ROM 102 considers programs such as a boot program.
  • the RAM 103 is used as a work area for the CPU 101.
  • the HDD 104 controls data read / write to the HD 105 according to the control of the CPU 101.
  • the HD 105 performs data written under the control of the HDD 104. .
  • the FDD 106 controls the read Z write of data to the FD 107 according to the control of the CPU 101.
  • the FD 107 stores data written under the control of the FDD 106, or causes the electronic signature device to read data stored in the FD 107.
  • the removable recording medium may be the power of the FD 107, CD-ROM (CD-R, CD-RW), MO, DVD (Digital Versatile Disk), memory card, or the like.
  • Display 108 can be a cursor, icon or toolbox, document, image, Display data such as function information.
  • a CRT, TFT liquid crystal display, plasma display, or the like can be adopted.
  • the IZF 109 is connected to a network 114 such as the Internet through a communication line, and is connected to another device via the network 114.
  • the IZF 109 serves as an internal interface with the network 114 and controls data input / output from an external device.
  • a modem or a LAN adapter can be used as the IZF109.
  • the keyboard 110 includes keys for inputting characters, numbers, various instructions, and the like, and inputs data. Alternatively, a touch panel type input pad or a numeric keypad may be used.
  • the mouse 111 is used to move the cursor, select a range, or move and change the size of windows. A track ball or a joystick may be used as long as they have the same function as a pointing device.
  • the scanner 112 optically reads an image and takes in the image data into the electronic signature device.
  • the scanner 112 may have an OCR function.
  • the printer 113 prints image data and document data.
  • a laser printer ink jet printer can be adopted.
  • An individual signature is a plurality of electronic signatures obtained from one or more electronic documents generated prior to the aggregation process
  • an aggregate signature is an electronic signature obtained by aggregating (superimposing or convolving) a plurality of electronic documents. is there.
  • the Schnore signature method is improved, and a general aggregate signature algorithm that can use an existing DS A certificate is constructed.
  • an application may be made with a plurality of certificates.
  • an application for obtaining a passport requires identification documents such as a family register (abstract) book, resident card, and driver's license. Therefore, the electronic application system for passports will be described as an example.
  • Figure 2 shows the individual signature and aggravation by the passport electronic application system. It is explanatory drawing which shows a web signature.
  • each staff member T1-T3 uses the same signature algorithm A1 to sign Electronic signature (copy of family register, resident's card, driver's license) Apply individual signatures ⁇ to ⁇ to m to m
  • FIG. 3 is a block diagram showing a functional configuration of the individual signature generation apparatus according to the embodiment of the present invention.
  • An individual signature generating apparatus 300 shown in FIG. 3 is an electronic signature apparatus that performs an individual signature ⁇ on an electronic document m to be signed.
  • the individual signature generation device 300 shown in FIG. 3 has the nodeware configuration shown in FIG. 1 and is provided in each of the local governments S1 to S3 shown in FIG.
  • the individual signature generation device 300 includes an electronic document acquisition unit 301, a generation unit 302, a public key calculation unit 303, a signature data calculation unit 304, and an individual signature output unit 305.
  • the generation unit 302 randomly generates a temporary secret key k of the i-th signer who signs the electronic document acquired by the electronic document acquisition unit 301.
  • the temporary secret key k of the i-th signer is generated by generating a random number. Since the secret key k is temporary data, it is randomly generated every time the electronic document m is acquired. The generated secret key k is held in the memory.
  • the public key calculation unit 303 uses the temporary secret key k of the i-th signer generated by the generation unit 302 according to the following equation (1) to temporarily store the i-th signer.
  • the public key r is calculated.
  • ⁇ is a prime number satisfying q I (p-1), q is a prime number, and oc is an element whose order on the cyclic group is q
  • A is the secret key of the i-th signer, and 1 ⁇ a ⁇ q—1.
  • a temporary public key r is calculated by reading a temporary secret key k held in the memory and substituting it into the above equation (1).
  • the above equation (1) is the same as the equation for calculating the temporary public key r in the Schnoor signature.
  • the signature data calculation unit 304 uses the temporary secret key k of the i-th signer generated by the generation unit 302 according to the following equation (2) to use the secret key of the i-th signer. Calculate signature data s for a.
  • h () is a no-chush function.
  • the signature data s is data that does not depend on the temporary public key r and is the main body of the individual signature ⁇ .
  • the signature data calculation unit 304 calculates the signature data s by reading out the temporary secret key k held in the memory and substituting it into the above equation (2).
  • the calculated signature data s is stored in the memory in association with the temporary public key r.
  • the individual signature output unit 305 is a temporary public key calculated by the public key calculation unit 303.
  • the combination s.) Of the open key and the signature data calculated by the signature data calculation unit 304 is output as the individual signature ⁇ i of the square signer for the electronic document.
  • a combination (r,) of the temporary public key r held in the memory and the signature data s calculated by the signature data calculation unit 304 is read from the memory and output.
  • the output format may be stored in a removable portable memory such as a flash memory that may be transmitted to a computer device that executes the signature algorithm A2 described later.
  • the electronic document acquisition unit 301, the generation unit 302, the public key calculation unit 303, the signature data calculation unit 304, and the individual signature output unit 305 described above are specifically illustrated in FIG.
  • the function is realized by causing the CPU 101 to execute a program recorded on a recording medium such as the ROM 102, RAM 103, HD 105, or by the I / F 109.
  • FIG. 4 is a flowchart showing an individual signature generation processing procedure (signature algorithm A1) that is relevant to the embodiment of the present invention.
  • the electronic document acquisition unit 301 acquires the electronic document m to be signed (step S401).
  • the generation unit 302 randomly generates a temporary secret key k ; for the i-th signer who signs the acquired electronic document m (step S402).
  • the public key calculation unit 303 calculates the temporary public key r of the i-th signer using the generated temporary secret key k of the i-th signer (step S403).
  • signature data calculation unit 304 calculates signature data s related to secret key a of i-th signer using generated temporary secret key k of i-th signer (step S404). ). Note that step S404 may be executed before step S403 or may be executed simultaneously.
  • the individual signature output unit 305 outputs the individual signature ⁇ of the i-th signer for the electronic document m (step S405). This completes the series of processing.
  • FIG. 5 is a block diagram showing a functional configuration (part 1) of the aggregate signature generation apparatus that is useful in the embodiment of the present invention.
  • the aggregate signature generation apparatus 500 shown in FIG. 5 performs the aggregation processing of a plurality of individual signatures ⁇ ,..., ⁇ to generate a single aggregate signature ⁇ .
  • the aggregate signature generation apparatus 500 shown in Fig. 5 has the nodeware configuration shown in Fig. 1 and is provided in each of the local governments S1 to S3 shown in Fig. 2 and the personal computer of the applicant. It is operated by each staff member T1-T3 or the applicant.
  • the aggregate signature generation apparatus 500 includes an individual signature acquisition unit 501, a first superimposition unit 502, a second superimposition unit 5003, and an aggregate signature output unit 504.
  • the individual signature acquisition unit 501 receives a plurality of individual signatures ⁇ 1,.
  • 1 ⁇ is obtained.
  • the individual signature ⁇ ,..., ⁇ generated from each individual signature generation device 300 shown in FIG. 3 is received via the network 114 or a portable memory is attached.
  • the obtained individual signatures ⁇ , ⁇ , ⁇ are stored in the memo in the aggregate signature generation device 500.
  • the first superimposing unit 502 superimposes the temporary public key ⁇ r 1,..., R ⁇ acquired by the individual signature acquisition unit 501 by the following equation (3). Specifically, each piece held in memory
  • the second superimposing unit 503 superimposes the signature data ⁇ s 1 ⁇ , s ⁇ obtained by the individual signature obtaining unit 501 according to the following equation (4). Specifically, each individual station held in memory
  • Each signature data ⁇ s, ⁇ , s ⁇ in the name ⁇ , ⁇ , ⁇ is read and aggregated.
  • the superimposed (adjudicated) signature data S is a temporary public key that has been superimposed.
  • the aggregate signature output unit 504 is a combination of the temporary public key r superimposed by the first superimposing unit 502 and the signature data s superimposed by the second superimposing unit 503 (r,
  • It may be stored in removable portable memory such as flash memory that can be sent to a computer device that verifies the aggregate signature described (for example, the computer device of the passport office shown in FIG. 2). .
  • the individual signature acquisition unit 501, the first superimposing unit 502, the second superimposing unit 503, and the aggregate signature output unit 504 described above specifically include, for example, the ROM 102 shown in FIG. , RAM103, HD105, etc.
  • the functions are realized by causing the CPU 101 to execute the program recorded on the recording medium or by the IZF109.
  • FIG. 6 is a flowchart showing an aggregate signature generation processing procedure (signature algorithm A2) that is relevant to the embodiment of the present invention.
  • the individual signature acquisition unit 501 acquires n individual signatures ⁇ ,.
  • the first superimposing unit 502 superimposes the acquired temporary public key ⁇ r, ⁇ , r ⁇ .
  • Step S603 is step S602
  • the aggregate signature output unit 504 superimposes the superimposed public key r and the superimposed public key r.
  • Output aggregate signature ⁇ that is a combination (r, s) with already-signed signature data s (
  • Step S604 This completes a series of processing.
  • FIG. 7 is an explanatory diagram showing the deletion processing of the aggregate signature by the passport electronic application system. If you do not need a driver's license when applying for a passport in Figure 7, you can use electronic documents (driver's license) m and
  • FIG. 8 is a block diagram showing a functional configuration (part 2) of the aggregate signature generation apparatus that is useful in the embodiment of the present invention.
  • the aggregate signature generation apparatus 800 shown in FIG. 8 generates a single aggregate signature ⁇ by performing an aggregation process for a plurality of individual signatures ⁇ , ⁇ , ⁇ .
  • the aggregate signature generation device 800 has the nodeware configuration shown in FIG. 1 and is provided in each of the local governments S1 to S3 shown in FIG. 2 and the personal computer of the applicant. Operated by staff T1-T3 or the applicant.
  • the aggregate signature generation apparatus 800 includes an electronic document 'signature acquisition unit 801, a first deletion unit 802, a second deletion unit 803, a third deletion unit 804, and a deletion result output unit 805. And force is also composed.
  • the electronic document 'signature acquisition unit 801 includes ⁇ electronic documents ⁇ m 1,.
  • m ⁇ is also acquired by each municipality at the time of application. Further, the aggregate signature ⁇ can be obtained from the aggregate signature generation device 800 described above. Further, the individual signature ⁇ to be deleted can be obtained from the aggregate signature generation apparatus 800 described above. Acquired Each data is held in a memory.
  • the first deletion unit 802 individually selects from the obtained n electronic documents ⁇ m, ⁇ , m ⁇ .
  • the electronic document m signed by the signature ⁇ is deleted. Specifically, n k k held in memory
  • the electronic document m is deleted from the memory.
  • the second deletion unit 803 constructs the acquired aggregate signature ⁇ by the following equation (5).
  • the temporary public key of is denoted as r '.
  • the third deletion unit 804 constructs the acquired aggregate signature ⁇ by the following equation (6).
  • the signature data s that constitutes the individual signature ⁇ of m is deleted.
  • the overwritten signature data S is rewritten to S.
  • deletion result output unit 805 outputs the remaining electronic documents ⁇ m 1,..., M 1, m 2,..., M ⁇ obtained by the first deletion unit 802. Also, the second deletion unit 803 and the third deletion unit
  • the deletion result (r ', s') deleted by the removal unit 804 is used as
  • the combination (r ', s') with data s' is read from the memory and output.
  • the output format is
  • a removable portable memory such as a flash memory that can be sent to a computer device (for example, the computer device of the passport office shown in FIG. 2) that verifies the aggregate signature described later.
  • the electronic document 'signature acquisition unit 801, the first deletion unit 802, the second deletion unit 803, the third deletion unit 804, and the deletion result output unit 805 described above specifically include, for example, The program recorded on the recording medium such as ROM102, RAM103, HD105 shown in Fig. 1 This function is realized by causing the CPU 101 to execute the function or by the I / F 109.
  • FIG. 9 is a flowchart showing a signature deletion processing procedure (signature algorithm A3) that is relevant to the embodiment of the present invention.
  • the electronic document 'signature acquisition unit 801 performs n electronic documents ⁇ m, ⁇ , m ⁇ and their aggregate signatures ⁇ and k (l
  • the first deletion unit 802 determines whether the n electronic documents ⁇ m,.
  • the electronic document m signed with the individual signature ⁇ is deleted from 1 n (step S902).
  • the deletion unit 803 of 2 constructs the acquired aggregate signature ⁇ using the above equation (5).
  • a temporary public key r ′ that has already been calculated is calculated (step S903).
  • the third deletion unit 804 deletes the superimposed signature data s force constituting the acquired aggregate signature ⁇ by the first deletion unit 802 using the above equation (6).
  • the signature data s ′ after the deletion is calculated (step S904).
  • the deletion result output unit 805 outputs the remaining electronic documents ⁇ m 1,..., M 1, m 2,. 2 deletion part 803 and no.
  • FIG. 10 is an explanatory diagram showing the verification process of the aggregate signature by the passport electronic application system.
  • Aggregate verification processing is performed using the algorithm A4. Next, an aggregate signature verification apparatus that performs this aggregate verification process will be described.
  • FIG. 11 is a block diagram showing a functional configuration of the aggregate signature verification apparatus according to the embodiment of the present invention.
  • the aggregate signature verification apparatus 1100 shown in FIG. 11 is an electronic signature that verifies (confirms) the validity of the aggregate signature ⁇ to be signed.
  • the aggregate signature verification apparatus 1100 shown in FIG. 11 has the nodeware configuration shown in FIG. 1, and is provided in the passport office 200 shown in FIG. 2, for example. (Verifier) It is operated from Yuko.
  • the aggregate signature verification apparatus 1100 includes an aggregate signature acquisition unit 1101, a first verification information calculation unit 1102, a second verification information calculation unit 1103, a determination unit 1104, and a determination result output unit 1105. It is equipped with.
  • the aggregate signature acquisition unit 1101 receives each individual signature of each of the n electronic documents ⁇ m, ⁇ , m ⁇ .
  • the aggregate signature ⁇ obtained by aggregating the name ⁇ , ⁇ , ⁇ is obtained.
  • ⁇ can be received by the applicant's computer equipment, and can also be removed.
  • a 1 n can be obtained in the same way.
  • Each public key y can be expressed by the following equation (7).
  • the acquired data is stored in the memory of the aggregate signature generation device 500. Retained.
  • the first verification information calculation unit 1102 calculates the first verification information V based on the first superimposition result s acquired by the aggregate signature acquisition unit 1101. In particular,
  • the first verification information V is calculated from the following equation (8). Calculated first validation
  • the second verification information calculation unit 1103 calculates the second verification information V based on the second superimposition result!: Acquired by the aggregate signature acquisition unit 1101. Specifically,
  • the second verification information V is calculated by the following equation (9). Calculated second verification information
  • V (y h (ml ) X to Xy h (mn) ) X r m 0 d ⁇ (9)
  • the verification information V of 2 has the same value.
  • the first verification information V is calculated by the following equation (11):
  • V (V (y h (ml) x... x y h (mn) ) ... (11)
  • the determination unit 1104 compares the first verification information V and the second verification information V,
  • the judgment result output unit 1105 outputs this judgment result.
  • the output of the determination result may be displayed on the display 108 shown in FIG. 1, printed output by the printer 113, or transmitted to the applicant's computer device.
  • the aggregate signature acquisition unit 1101, the first verification information calculation unit 1102, the second verification information calculation unit 1103, the determination unit 1104, and the determination result output unit 1105 described above specifically include, for example, The functions are realized by causing the CPU 101 to execute the program recorded in the recording medium such as the ROM 102, RAM 103, and HD 105 shown in FIG. 1, or by the I / F 109.
  • FIG. 12 is a flowchart showing an aggregate signature verification processing procedure that is relevant to the embodiment of the present invention.
  • the aggregate signature acquisition unit 1101 performs n electronic documents ⁇ m,
  • the key ⁇ y, ⁇ , y ⁇ is also acquired.
  • the first verification information calculation unit 1102 calculates the first verification information V (step S).
  • the second verification information calculation unit 1103 calculates the second verification information V (step 1202)
  • step SI 203 ⁇ or may be performed prior to the step SI 202, may be filed at the same time.
  • the determination unit 1104 compares the first verification information V with the second verification information V, and
  • step S1206 This completes a series of processing.
  • the sequential aggregate signature is an electronic signature method in which each time an individual signature is generated, the aggregation process with the aggregate signature immediately prior to aggregation is performed.
  • FIG. 13 is an explanatory diagram showing an outline of the sequential aggregate signature.
  • Fig. 13 the applicant creates an electronic document m and an individual signature of signature algorithm A1.
  • the initial signature by the applicant is the individual signature ⁇ , but for convenience the aggregate
  • the signature is ⁇ (1) .
  • the electronic document m and aggregate signature ⁇ (1) are then circulated.
  • a 1 A the department that received the reconciliation has the electronic document m, the aggregate signature ⁇ (1), and the applicant's disclosure.
  • the new electronic document m is created by correcting the contents, and the electronic document m and the aggregate station
  • the aggregate signature ⁇ ( 2 ) is generated by the signature algorithm ⁇ 5 using the name ⁇ (1 ).
  • the department that has received the recollection is the electronic document m, m
  • the new electronic document m is created by correcting the contents, and the electronic document m and the aggregate station
  • the aggregate signature ⁇ ( 3 ) is generated by the signature algorithm ⁇ 5 using the name ⁇ ( 2 ).
  • the final approver determines that all electronic documents m, m, m and aggregate signature ⁇ (3 ⁇ 4 and public key y,
  • a 1 y, y is used to verify the validity of all documents m, m, m using signature algorithm A4.
  • FIG. 14 shows the functional configuration of an aggregate signature generation apparatus that is useful in the embodiment of the present invention.
  • FIG. 3 is a block diagram showing (No. 3).
  • the aggregate signature generation apparatus 1400 shown in FIG. 14 is an electronic signature apparatus that sequentially performs an aggregation process with the aggregate signature that was aggregated immediately before each individual signature is generated.
  • the aggregate signature generation device 1400 shown in FIG. 14 has the nodeware configuration shown in FIG.
  • the aggregate signature generator 140 0 is an electronic document 'adjugate signature acquisition unit 1401, a generation unit 1402, a public key calculation unit 1403, a first superimposition unit 1404, a signature data calculation unit 1405, a second superimposition unit 1406, And a gate signature output unit 1407.
  • the electronic document / aggregate signature acquisition unit 1401 obtains an electronic document m to be signed by the i (l ⁇ i ⁇ n) th signer and an electronic document signed by the first signer of l to i.
  • Document ⁇ m
  • the i-th signer is obtained by receiving it from the first signer's aggregate signature generation apparatus 1400 via its network 114 to its own aggregate signature generation apparatus 1400. Can do.
  • the signed electronic document ⁇ m, ..., m ⁇
  • Each acquired data is held in the memory of its own aggregate signature generation device 1400.
  • the generation unit 1402 randomly generates a temporary secret key k of the i-th signer who signs the electronic document m acquired by the electronic document 'adary gate signature acquisition unit 1401. Specifically, a temporary secret key k of the i-th signer is generated by generating a random number. Since the secret key k is temporary data, it is randomly generated each time the electronic document m is acquired. The generated secret key k is held in the memory.
  • public key calculation section 1403 calculates temporary public key r of the i-th signer for electronic document m by the following equation (12).
  • K is the secret key of the i-th signer and l ⁇ k ⁇ q— 1.
  • Equation (12) above is the same as the equation for calculating the temporary public key r in the Schnoor signature.
  • the first superimposing unit 1404 uses the following equation (13) to temporarily superimpose the superimposing signature composing the aggregate signature ⁇ ( ⁇ _1) acquired by the electronic document 'aggregate signature acquiring unit 1401:
  • the superposed (adjudicated) temporary public key r (i) is stored in memory.
  • the signature data calculation unit 1405 calculates temporary signature data s of the i-th signer related to the electronic document by the following equation (14).
  • h () is a no-chush function.
  • the signature data s is data that does not depend on the temporary public key r and is the main body of the individual signature ⁇ .
  • the signature data calculation unit 1405 calculates the signature data s by reading out the temporary secret key k held in the memory and substituting it into the above equation (14). The calculated signature data s is stored in the memory in association with the temporary public key r.
  • the second superimposing unit 1406 uses the following equation (15) to superimpose signature data constituting the aggregate signature ⁇ ( ⁇ _1) acquired by the electronic document 'aggregate signature acquiring unit 1401.
  • the signature signature s (i — 1 > in the aggregate signature ⁇ ( ⁇ — 1 >) stored in the memory is read.
  • the superimposed (adjudicated) signature data s is stored in the memory in association with the superimposed temporary public key r.
  • the aggregate signature output unit 1407 outputs the superimposition result (r (i) , s (i) ) superimposed by the first superimposing unit 1404 and the second superimposing unit 1406 to the aggregate signature ⁇ ( ⁇ Output as.
  • i 1 i-1 may be used.
  • the superimposition result (r (i) , s (i) ) held in the memory is read from the memory and output.
  • the output format may be stored in a removable portable memory such as a flash memory that may be transmitted to the aggregate signature generation apparatus 1400 that performs the aggregate signature next.
  • the second superimposing unit 1406 and the aggregate signature output unit 1407 execute the program recorded in the recording medium such as the ROM 102, RAM 103, and HD 105 shown in FIG. This function can be realized by using the IZF109.
  • FIG. 15 is a flowchart showing an aggregate signature generation processing procedure (signature algorithm A5) that is relevant to the embodiment of the present invention.
  • the electronic document / aggregate signature acquisition unit 1401 uses the i (l ⁇ i ⁇ n) -th signer to sign the electronic document m and l to i The electronic document signed by the first signer ⁇ m
  • Agurigeto signature relates m ⁇ ⁇ ( ⁇ - acquires (step S1501).
  • the generation unit 1402 randomly generates a temporary secret key k ; for the i-th signer who signs the acquired electronic document m (step S 1502).
  • the public key calculation unit 14 03 calculates the temporary public key r of the i-th signer for the electronic document m (step S1503).
  • the first superimposing unit 1404 forms the aggregate signature ⁇ ( ⁇
  • the temporary public key r (i) that has been superimposed up to the signer is calculated (step S 1504).
  • the signature data calculation unit 1405 calculates temporary signature data s for the i-th signer related to the electronic document m (step S 1505). Then, the second superimposing unit 1406 generates the superimposed signature data s (M) and the signature data s constituting the aggregate signature ⁇ ( ⁇ — 1 > ).
  • Step S1507 This completes a series of processing.
  • the i-th department receives the electronic document m, ..., m and the aggregate
  • the aggregate signature ⁇ ⁇ is generated.
  • the digital signature device (signature algorithms A1 to A5) described above can be based on a force elliptic curve discrete problem, which is an example based on the discrete logarithm problem.
  • a force elliptic curve discrete problem which is an example based on the discrete logarithm problem.
  • a general aggregate signature that can use an existing PKI certificate can be configured.
  • the ECDS A private key 'public key' is used as the private key 'public key pair, and the ECDSA PKI certificate is used as it is.
  • E Elliptic curve. Defines an elliptic curve but does not appear directly in the algorithm here.
  • # E Order of elliptic curve. The number of points on the elliptic curve, which does not appear directly in this algorithm.
  • G Base point. One of the points on the elliptic curve. This is the origin of the order r.
  • W Public key of i-th signer.
  • W s -G
  • the PKI certificate information of the i (l ⁇ i ⁇ n) th signer is as follows.
  • FIG. 16 is a flowchart showing an individual signature generation processing procedure that is relevant to the embodiment of the present invention. This individual signature processing procedure replaces the individual signature generation processing procedure (signature algorithm A1) based on the discrete logarithm problem shown in FIG.
  • step S1604 using the temporary secret key u of the i-th signer generated by the signature data calculation unit 304, the signature data related to the secret key s of the i-th signer is obtained by the following equation (15). d is calculated (step S1604). Note that step S1604 may be executed before step S1603 or may be executed simultaneously.
  • the individual signature output unit 305 uses the combination of the temporary public key C of the i-th signer and the signature data d ⁇ C, d ⁇ to the i-th signer of the electronic document m. Output as individual signature ⁇ (step S1605). This completes a series of processing.
  • the present invention can be applied even based on the elliptic curve discrete logarithm problem.
  • FIG. 17 is a flowchart showing an aggregate signature generation processing procedure according to the embodiment of the present invention.
  • This aggregate signature processing procedure is the same as the signature signature generation procedure based on the discrete logarithm problem shown in Figure 6.
  • This is a processing procedure for rhythm A2).
  • the individual signature acquisition unit 501 performs n individual signatures ⁇ ,..., ⁇
  • step SI 701 the superimposed temporary public key C is calculated by superimposing the acquired temporary public key ⁇ C, ⁇ , C ⁇ by the first superimposing unit 502.
  • step SI 702 Perform 1 n A (step SI 702).
  • the second superimposing unit 503 superimposes the obtained signature data ⁇ d, ..., d ⁇ .
  • Step SI 703 the superimposed signature data d is calculated (step SI 703).
  • the process may be executed prior to step S1702 or at the same time.
  • Step S1704 This completes a series of processing.
  • a Schnoor digital signature based on the elliptic curve discrete logarithm problem that is not used for the aggregate signature is applied to the aggregate signature.
  • the processing procedure (signature algorithm A8) for deleting individual signatures from the aggregate signature card is described below.
  • FIG. 18 is a flowchart showing a signature deletion processing procedure (signature algorithm A8) according to the embodiment of the present invention.
  • This signature deletion processing procedure is a processing procedure replacing the signature deletion processing procedure (signature algorithm A3) based on the discrete logarithm problem shown in FIG.
  • the electronic document / signature acquisition unit 801 performs n electronic documents ⁇ m 1,.
  • the first deletion unit 802 determines whether the n electronic documents ⁇ m, ..., m ⁇ are obtained.
  • the second deletion unit 803 constructs the acquired aggregate signature ⁇ using the following equation (16).
  • a superimposed public key C ′ is calculated (step S1803).
  • the third deletion unit 804 deletes the superimposed signature data d force constituting the acquired aggregate signature ⁇ by the first deletion unit 802 using the following equation (17).
  • the deletion result output unit 805 outputs the remaining electronic documents ⁇ m 1,..., M 1, m 2,. 2 deletion part 803 and no.
  • a A k Aggregate signature ⁇ is output (step S1805). This completes the series of processing.
  • FIG. 19 is a flowchart showing an aggregate signature verification processing procedure (signature algorithm A9) according to the embodiment of the present invention.
  • This aggregate signature verification processing procedure is a processing procedure that replaces the aggregate signature verification processing procedure (signature algorithm A4) based on the discrete logarithm problem shown in FIG.
  • the aggregate signature acquisition unit 1101 performs n electronic documents ⁇ m,
  • the first verification information calculation unit 1102 calculates the first verification information V using the following equation (18) (step S 1902), and the second verification information calculation unit 1103 Following formula (19)
  • Step S1903 Is used to calculate the second verification information V.
  • V (h (m) -W H—— hh (m) -W) + C
  • the determination unit 1104 compares the first verification information V with the second verification information V, and
  • step SI 904 Yes
  • a verification failure output is output as the verification result.
  • step S1906 This completes a series of processing.
  • FIG. 20 is a flowchart showing a sequential aggregate signature generation processing procedure (signature algorithm A10) based on the elliptic curve discrete logarithm problem.
  • This aggregate signature generation processing procedure is a processing procedure in place of the aggregate signature generation processing procedure (signature algorithm A5) based on the discrete logarithm problem shown in FIG.
  • the electronic document / aggregate signature acquisition unit 1401 uses the electronic document m to be signed by the i (l ⁇ i ⁇ n) th signer and the electronic document signed by the first to the first signer. ⁇ mi 1
  • Agurigeto signature relates m ⁇ ⁇ ( ⁇ - acquires (step S2001).
  • the generation unit 1402 randomly generates a temporary private key u for the i-th signer who signs the acquired electronic document m (step S2002).
  • the public key calculation unit 14 Based on 03, the temporary public key C ; of the i-th signer for the electronic document is calculated (step S2003).
  • the first superimposing unit 1404 forms the aggregate signature ⁇ ( ⁇
  • the temporary public key C (i) superimposed by the signer of is calculated (step S2004).
  • the signature data calculation unit 1405 calculates temporary signature data d for the i-th signer for the electronic document m (step S2005). Then, the second superimposing unit 1406 converts the superimposed signature data d (i —) and the signature data d constituting the aggregate signature ⁇ (1 >).
  • AA i Superimposes to calculate the signed data d (i) up to the i-th signer.
  • Step S 2007 This completes a series of processing.
  • the i-th department receives the electronic document m, ..., m and the aggregate
  • the signature ⁇ ) is used to verify the validity of the electronic document m, ..., m using the signature algorithm A9
  • the aggregate signature ⁇ ⁇ is generated.
  • the electronic signature program, the electronic signature device, and the electronic signature method according to the present invention are suitable for electronic applications and electronic recollections of various electronic documents.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

　パスポートの申請者は、パスポート申請に際し、自身の戸籍謄本、住民票、運転免許証を用意する必要がある。したがって、申請者は、○○市役所に対する住民票の電子申請と、△△市役所に対する戸籍謄本の電子申請と、□県公安委員会に対する運転免許証の電子申請とをおこなう。ここで、各自治体（○○市役所、△△市役所、□県公安委員会）Ｓ１～Ｓ３では、それぞれの担当職員Ｔ１～Ｔ３により、同一の署名アルゴリズムＡ１を用いて署名対象となる電子文書（戸籍謄本、住民票、運転免許証）ｍ1～ｍ3に個別署名σ1～σ3を施す。そして、署名アルゴリズムＡ２を用いることにより、各個別署名σ1～σ3を重畳してアグリゲート署名σAを生成する。このアグリゲート署名σAが付された電子文書（住民票、戸籍謄本、運転免許証）ｍ1～ｍ3を電子的なパスポート申請書（２１０）に添付することにより、旅券事務所（２００）に対しパスポート申請をおこなうことができる。

Description

明 細 書
電子署名プログラム、電子署名装置、および電子署名方法
技術分野
[0001] 本発明は、ァグリゲート対象となる n個の電子文書 {m , · · ·, m }に関する個別署名
1 n
{ σ , · · ·, σ }の生成、これらのァグリゲート、一部の個別署名の削除、およびシーケ
1 η
ンシャルなァダリゲート、これらの検証をおこなうことができる電子署名プログラム、電 子署名装置、および電子署名方法に関する。
背景技術
[0002] 電子署名とは、電子文書の正当性を保証するために付けられる署名データ、その 署名データを生成する方式、または、文字、記号、マークなどを電子的に表現して署 名をおこなう行為を言い、特に、公開鍵暗号方式を応用して、電子文書の作成者を 証明し、かつその電子文書が改竄されて 、な 、ことを保証する署名方式をデジタル 署名という。
[0003] 図 21は、通常の電子署名を示す説明図である。図 21において、複数の電子文書 D 1〜Dnを複数人で署名する場合、通常の電子署名を用いると電子文書 D 1〜Dn の数 n分の署名データ σ 〜σ が必要となる。
1 η
[0004] このような電子署名は、素因数分解問題に基づく電子署名と、離散対数問題に基 づく電子署名とに分類される。素因数分解問題とは、 2つの素数を掛け合わせた合 成数を素因数に分解する問題である。合成数を 100桁程度の素数によって掛け合わ せておくことにより、素因数分解を困難にしている。素因数分解問題に基づく電子署 名には、 RSA署名などがある。
[0005] 一方、離散対数問題とは、ある素数を法とする有限体において対数を計算する問 題であり、素因数分解問題とは目的を異にする。簡単にいうと、素数 Ρ (たとえば、 Ρ = 83)を法とする有限体では、べき乗するとそのべき乗結果がすべての数（1〜82) を網羅する原始元が存在する。
[0006] たとえば、素数 Ρ = 83の有限体において、原始元 2の 13乗は 8192というべき乗結 果となる力 べき乗結果が 33となる原始元 2のべき乗数を求めるのが困難である。こ れが離散対数問題である。離散対数問題をベースとした電子署名には、エルガマル 署名や、シュノア署名、岡本—シュノア署名（たとえば、下記特許文献 1を参照。）とい つたシュノア系の電子署名などがある。
[0007] また、図 21に示した複数の署名データ σ 〜σ を重畳して 1つの署名データにまる める技術として、ァグリゲート署名が注目されている。ァグリゲート署名は、電子署名 の応用技術の一つで、電子文書流通などで 1または複数の電子文書に対する署名 を 1人または複数人の署名者により付与しなければならない場合に、署名を重畳する ことで署名データ量を削減することができる。
[0008] 図 22は、ァグリゲート署名を示す説明図である。図 22において、複数の電子文書 Dl〜Dnからそれぞれ得られる署名データ σ 〜σ を重畳（ァダリゲーシヨン）するこ とにより、単一の署名データ σ を得ることができ、署名データ量を削減することができ る。
[0009] 現在、ァグリゲート署名の構成方法としては、素因数分解問題をベースとした RSA 署名に基づくシーケンシャルァグリゲート署名（下記非特許文献 1を参照。）と、楕円 曲線暗号技術の一つであるペアリングに基づくジェネラルァグリゲート署名（下記非 特許文献 2を参照。）の 2つの電子署名が知られている。
[0010] 特許文献 1 :特許 2666191号
非特許文献 l :A.Lysyanskaya, et.al, (エー'リスャアンスカャ他） "Sequential Aggreg ateSignatures from Trapdoor Permutations (ン ~~ケンンャル , - ゾリゲ' ~~ト ング不チ ャズ フロム トラップドア パーミュテーシヨンズ）， "EUROCRYPT 2004, LNCS 3027, pp. 74-90, 2004
非特許文献 2 : D.Bone, et.al" (ディー'ボーン他） "Aggregate and Verifiably Encrypt edSignature from Bilinear Maps," (ァグリゲート アンド ベリフイエイブリイ ェンクリプ テッド シグネチヤ フロム ビリネア マップス） EUROCRYPT 2003, LNCS 2656, pp. 416-432, 2003
発明の開示
発明が解決しょうとする課題
[0011] しかしながら、上述したシーケンシャルァグリゲート署名は、 RSAベースのため既存 の PKI証明書が利用可能で、ァグリゲート署名として利用しやす!/、と 、う利点がある 一方、署名確認を署名がおこなわれた逆順におこなわなければならないこと、途中の 署名を削除 Ζ挿入することが不可能であることなど、署名機能の制限が多ぐ署名確 認の自由度が低いという問題点があった。
[0012] また、上述したジェネラルァグリゲート署名は、署名確認の順序や途中の署名の削 除など、シーケンシャルァグリゲート署名と比較して上述した署名機能に制限がなく 署名確認の自由度が高いという利点がある一方、楕円曲線暗号のペアリングをべ一 スとしているため、既存の ΡΚΙを利用することができず、独自のインフラを構築しなけ ればならな 、と 、う問題点があった。
[0013] 本発明は、上述した問題点を解消するため、署名データ量の削減、署名確認の自 由度の向上、および既存 ΡΚΙを利用することによる利便性の向上を同時に実現する ことができる電子署名プログラム、電子署名装置、および電子署名方法を提供するこ とを目的とする。
課題を解決するための手段
[0014] 上述した課題を解決し、目的を達成するために、本発明者らは、ァグリゲート署名 には用いられて ヽな ヽ離散対数問題に基づくシュノア系の電子署名をあえてァグリ ゲート署名に適用することにより、ァグリゲート署名の本質である複数の署名データす ベてのァグリゲーシヨンが可能で、かつ、上述した署名機能の制限がなぐ既存の ΡΚ Iを利用することができると ヽぅシーケンシャルァグリゲート署名とジェネラルァグリゲー ト署名とのトレードオフを解消するァグリゲート署名を構築することに成功した。
[0015] すなわち、この発明の電子署名プログラム、該プログラムを記録した記録媒体、電 子署名装置、および電子署名方法は、ァグリゲート対象となる η個の電子文書 {m ,
1
· ··, m }に関する個別署名 { σ , · ··, σ }の生成をおこなう電子署名プログラム、該プ ログラムを記録した記録媒体、電子署名装置、および電子署名方法において、署名 対象となる i ( 1≤ i≤ η)番目の電子文書 mを取得し、電子文書 mを署名する i番目の 署名者の一時的な秘密鍵 kをランダムに生成し、前記 i番目の署名者の一時的な秘 密鍵 kを用いて、前記 i番目の署名者の一時的な公開鍵 rを算出し、前記 i番目の署 名者の一時的な秘密鍵 kを用いて、前記 i番目の署名者の秘密鍵 aに関する前記一 時的な公開鍵 に依存しない署名データ を算出し、一時的な公開鍵 ^と署名データ sとの組み合わせ (r , s.)を、前記電子文書 mに対する前記 i番目の署名者の個別署 名 σとして出力することを特徴とする。
[0016] 7こたし、 r=a mod p、 s =、a Xh(m) +kリ mod q、 qiま素数、 piま q | 、p— 1) 満たす素数、 aは巡回群上の位数を qとする元、 M)はハッシュ関数、 ^は潘目の署 名者の秘密鍵で 1≤ a≤ q— 1とする。
[0017] また、上記発明において、前記複数の個別署名 {σ , ···, σ }を取得し、一時的な
1 η
公開鍵 {r , ···, r }を重畳し、署名データ {s , ···, s }を重畳し、重畳済みの一時的な
1 n 1 n
公開鍵 rと重畳済みの署名データ sとの組み合わせ (r , s )を、ァグリゲート署名 σ
A A A A A
として出力することとしてもよい。ただし、 r =(r Xr X〜Xr Xr )mod p、 s = (s
A 1 2 n-1 n A 1
+ s H hs +s )mod qとする。
2 n-1 n
[0018] また、上記発明において、前記 n個の電子文書 {m , ···, m }とァグリゲート署名 σ
1 n A と k(l≤k≤n)番目の個別署名 σ を取得し、 η個の電子文書 {m，…， m }の中から k 1 n 個別署名 σ により署名された電子文書 mを削除し、ァグリゲート署名 σ を構成する k k A
重畳済みの一時的な公開鍵 rから電子文書 mの個別署名 σ を構成する一時的な
A k k
公開鍵 rを削除し、ァグリゲート署名 σ を構成する重畳済みの署名データ s力ゝら電 k A A 子文書 mの個別署名 σ を構成する署名データ sを削除し、残余の電子文書 {m , k k k 1
···, m , m , ···, m }を出力するとともに、削除結果 (r ', s ')を前記個別署名 σ k-1 k+1 n A A k を削除したァグリゲート署名 σ ，として出力することとしてもよい。ただし、 r ' =r /r
A A A k mod p、 s， = s s mod qとする。
A A k
[0019] また、上記発明において、ァグリゲート署名 σ を取得し、第 1の重畳結果 rに基づ
A A
いて、第 1の検証情報 Vを算出し、第 2の重畳結果 sに基づいて、第 2の検証情報 V
1 A
を算出し、第 1の検証情報 Vおよび第 2の検証情報 Vに基づいて、前記ァグリゲー
2 1 2
ト署名 σ の正当性を判断し、判断結果を出力することとしてもよい。
A
[0020] また、上記発明において、 i(l≤i≤n)番目の署名者の署名対象となる電子文書 m と l〜i 1番目の署名者による署名済みの電子文書に関するァグリゲート署名 σ
A
とを取得し、電子文書 mを署名する i番目の署名者の一時的な秘密鍵 kをランダムに 生成し、前記電子文書 mに関する前記 i番目の署名者の一時的な公開鍵 rを算出し 、ァグリゲート署名 σ ΰ— Dを構成する重畳済みの一時的な公開鍵 r(i_1)と一時的な公
A A
開鍵 rとを重畳し、前記電子文書 mに関する前記 i番目の署名者の一時的な署名デ ータ sを算出し、ァグリゲート署名 σ (ί— ϋを構成する重畳済みの署名データ s(i— 1〉と署 i A A 名データ sとを重畳し、重畳結果 (rG) , sG) )を、ァグリゲート署名 σ (ΰとして出力するこ
i A A A ととしてもよ 、。
[0021] ただし、 r = a kimod p、 r(i) = (r(i— " X r) mod p、 s = (a X h (m) +k ) mod q、 s(i)
i A A i i i i
= (s(i_1) + s ) mod q、qは素数、 pは q | (p— 1)を満たす素数、 αは巡回群上の位
A A n
数を qとする元、 M)はハッシュ関数、 aは i番目の署名者の秘密鍵で l≤a≤q— 1と する。
発明の効果
[0022] 本発明にかかる電子署名プログラム、該プログラムを記録した記録媒体、電子署名 装置、および電子署名方法は、署名データ量の削減、署名確認の自由度の向上、 および既存 PKIを利用することによる利便性の向上を同時に実現することができると いう効果を奏する。
図面の簡単な説明
[0023] [図 1]図 1は、この発明の実施の形態に力かる電子署名装置のハードウェア構成を示 すブロック図である。
[図 2]図 2は、パスポートの電子申請システムによる個別署名およびァグリゲート署名 を示す説明図である。
[図 3]図 3は、この発明の実施の形態に力かる個別署名生成装置の機能的構成を示 すブロック図である。
[図 4]図 4は、この発明の実施の形態に力かる個別署名生成処理手順 (署名アルゴリ ズム A1)を示すフローチャートである。
[図 5]図 5は、この発明の実施の形態に力かるァグリゲート署名生成装置の機能的構 成 (その 1)を示すブロック図である。
[図 6]図 6は、この発明の実施の形態に力かるァグリゲート署名生成処理手順 (署名ァ ルゴリズム A2)を示すフローチャートである。
[図 7]図 7は、パスポートの電子申請システムによるァグリゲート署名の削除処理を示 す説明図である。
[図 8]図 8は、この発明の実施の形態に力かるァグリゲート署名生成装置の機能的構 成 (その 2)を示すブロック図である。
[図 9]図 9は、この発明の実施の形態にカゝかる署名削除処理手順 (署名アルゴリズム A3)を示すフローチャートである。
[図 10]図 10は、パスポートの電子申請システムによるァグリゲート署名の検証処理を 示す説明図である。
[図 11]図 11は、この発明の実施の形態に力かるァグリゲート署名検証装置の機能的 構成を示すブロック図である。
[図 12]図 12は、この発明の実施の形態にカゝかるァグリゲート署名検証処理手順を示 すフローチャートである。
[図 13]図 13は、シーケンシャルァグリゲート署名の概要を示す説明図である。
[図 14]図 14は、この発明の実施の形態に力かるァグリゲート署名生成装置の機能的 構成 (その 3)を示すブロック図である。
[図 15]図 15は、この発明の実施の形態に力かるァグリゲート署名生成処理手順 (署 名アルゴリズム A5)を示すフローチャートである。
[図 16]図 16は、この発明の実施の形態にカゝかる個別署名生成処理手順を示すフロ 一チャートである。
[図 17]図 17は、この発明の実施の形態にカゝかるァグリゲート署名生成処理手順を示 すフローチャートである。
[図 18]図 18は、この発明の実施の形態にカゝかる署名削除処理手順 (署名ァルゴリズ ム A8)を示すフローチャートである。
[図 19]図 19は、この発明の実施の形態にカゝかるァグリゲート署名検証処理手順 (署 名アルゴリズム A9)を示すフローチャートである。
[図 20]図 20は、楕円曲線離散対数問題に基づくシーケンシャルなァグリゲート署名 生成処理手順 (署名アルゴリズム A10)を示すフローチャートである。
[図 21]図 21は、通常の電子署名を示す説明図である。
[図 22]図 22は、ァグリゲート署名を示す説明図である。 符号の説明
300 個別署名生成装置
301 電子文書取得部
302 生成部
303 公開鍵算出部
304 署名データ算出部
305 個別署名出力部
500 ァグリゲート署名生成装置
501 個別署名取得部
502 第 1の重畳部
503 第 2の重畳部
504 ァグリゲート署名出力部
800 ァグリゲート署名生成装置
801 電子文書 ·署名取得部
802 第 1の削除部
803 第 2の削除部
804 第 3の削除部
805 削除結果出力部
1100 ァグリゲート署名検証装置
1101 ァグリゲート署名取得部
1102 第 1の検証情報算出部
1103 第 2の検証情報算出部
1104 判断部
1105 判断結果出力部
1400 ァグリゲート署名生成装置
1401 電子文書 ·ァグリゲート署名取得部
1402 生成部
1403 公開鍵算出部 1404 第 1の重畳部
1405 署名データ算出部
1406 第 2の重畳部
1407 ァグリゲート署名出力部
発明を実施するための最良の形態
[0025] 以下に、本発明に力かる電子署名プログラム、電子署名装置、および電子署名方 法は、電子署名（デジタル署名）技術において、既存の PKI (公開鍵インフラストラタ チヤ）が利用可能で、署名のァグリゲーシヨン (集合、重畳、畳み込み）が可能で、そ のときに署名の機能制限が少ない電子署名の構成方法である。以下、その実施の形 態を図面に基づいて詳細に説明する。
[0026] 図 1は、この発明の実施の形態に力かる電子署名装置のハードウェア構成を示す ブロック図である。図 1において、電子署名装置は、 CPU101と、 ROM102と、 RA M103と、 HDD (ノヽードディスクドライブ） 104と、 HD (ノヽードディスク） 105と、 FDD ( フレキシブルディスクドライブ） 106と、着脱可能な記録媒体の一例としての FD (フレ キシブルディスク） 107と、ディスプレイ 108と、 IZF (インターフェース） 109と、キーボ ード 110と、マウス 111と、スキャナ 112と、プリンタ 113と、を備えている。また、各構 成部はバス 100によってそれぞれ接続されている。
[0027] ここで、 CPU101は、電子署名装置の全体の制御を司る。 ROM102は、ブートプ ログラムなどのプログラムを記 '慮している。 RAM103は、 CPU101のワークエリアとし て使用される。 HDD104は、 CPU101の制御にしたがって HD105に対するデータ のリード Zライトを制御する。 HD105は、 HDD104の制御で書き込まれたデータを feす。。
[0028] FDD106は、 CPU101の制御にしたがって FD107に対するデータのリード Zライ トを制御する。 FD107は、 FDD106の制御で書き込まれたデータを記憶したり、 FD 107に記憶されたデータを電子署名装置に読み取らせたりする。
[0029] また、着脱可能な記録媒体として、 FD107のほ力、 CD-ROM (CD-R, CD-R W)、 MO、 DVD (Digital Versatile Disk)、メモリーカードなどであってもよい。デ イスプレイ 108は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、 機能情報などのデータを表示する。このディスプレイ 108は、たとえば、 CRT, TFT 液晶ディスプレイ、プラズマディスプレイなどを採用することができる。
[0030] IZF109は、通信回線を通じてインターネットなどのネットワーク 114に接続され、こ のネットワーク 114を介して他の装置に接続される。そして、 IZF109は、ネットワーク 114と内部のインターフェースを司り、外部装置からのデータの入出力を制御する。 I ZF109には、たとえばモデムや LANアダプタなどを採用することができる。
[0031] キーボード 110は、文字、数字、各種指示などの入力のためのキーを備え、データ の入力をおこなう。また、タツチパネル式の入力パッドやテンキーなどであってもよい 。マウス 111は、カーソルの移動や範囲選択、あるいはウィンドウの移動やサイズの変 更などをおこなう。ポインティングデバイスとして同様に機能を備えるものであれば、ト ラックボールやジョイスティックなどであってもよい。
[0032] スキャナ 112は、画像を光学的に読み取り、電子署名装置内に画像データを取り 込む。なお、スキャナ 112は、 OCR機能を持たせてもよい。また、プリンタ 113は、画 像データや文書データを印刷する。プリンタ 113には、たとえば、レーザプリンタゃィ ンクジェットプリンタを採用することができる。
[0033] <個別署名およびァグリゲート署名 >
(個別署名およびァグリゲート署名の概要）
つぎに、この発明の実施の形態に力かる個別署名およびァグリゲート署名について 説明する。個別署名とは、ァグリゲート処理に先立って生成される一または複数の電 子文書から得られる複数の電子署名であり、ァグリゲート署名とは、複数の電子文書 をァグリゲート（重畳、畳み込み）した電子署名である。
[0034] ここでは、シュノア署名方式を改良し、既存の DS A証明書が利用可能なジェネラル ァグリゲート署名アルゴリズムの構築をおこなう。秘密鍵'公開鍵ペアとして、 DSAの 秘密鍵 '公開鍵を使用し、 DS Aの PKI証明書をそのまま使用する。
[0035] ここで、ある申請をおこなうために、複数の証明書類を添えて申請をおこなう場合が ある。たとえば、パスポートの取得申請では、戸籍謄 (抄)本、住民票、運転免許証な どの本人確認書類が必要である。そこで、パスポートの電子申請システムを例に挙げ て説明する。図 2は、パスポートの電子申請システムによる個別署名およびァグリゲ ート署名を示す説明図である。
[0036] ノ スポートの申請者は、パスポート申請に際し、自身の戸籍謄本、住民票、運転免 許証を用意する必要がある。したがって、申請者は、〇〇市役所に対する住民票の 電子申請と、 巿役所に対する戸籍謄本の電子申請と、口県公安委員会に対す る運転免許証の電子申請とをおこなう。
[0037] ここで、各自治体 (〇〇市役所、 巿役所、口県公安委員会) S1〜S3では、そ れぞれの担当職員 T1〜T3により、同一の署名アルゴリズム A1を用いて署名対象と なる電子文書 (戸籍謄本、住民票、運転免許証) m〜mに個別署名 σ 〜 σ を施す
1 3 1 3
[0038] そして、署名アルゴリズム Α2を用いることにより、各個別署名 σ 〜 σ を重畳してァ
1 3
ダリゲート署名 σ を生成する。このァグリゲート署名 σ が付された電子文書 (住民票
A A
、戸籍謄本、運転免許証) m〜mを電子的なパスポート申請書 210に添付すること
1 3
により、旅券事務所 200に対しパスポート申請をおこなうことができる。
[0039] (個別署名生成装置の機能的構成）
つぎに、この発明の実施の形態に力かる個別署名生成装置の機能的構成につい て説明する。図 3は、この発明の実施の形態に力かる個別署名生成装置の機能的構 成を示すブロック図である。図 3に示す個別署名生成装置 300は、署名対象となる電 子文書 mに個別署名 σをおこなう電子署名装置である。
[0040] 図 3に示した個別署名生成装置 300は、図 1に示したノヽードウエア構成で、図 2に 示した各自治体 S1〜S3に設けられており、各担当職員 Τ1〜Τ3により操作される。 図 3において、個別署名生成装置 300は、電子文書取得部 301と、生成部 302と、 公開鍵算出部 303と、署名データ算出部 304と、個別署名出力部 305とを備えてい る。
[0041] まず、電子文書取得部 301は、署名対象となる電子文書 mを取得する。具体的に は、個別署名生成装置 300内または個別署名生成装置 300の外部にあるサーバが 有するデータベースに同種の電子文書が保存されているとすると、そのデータべ一 スから署名対象となる電子文書 mを抽出する。抽出された電子文書は、一時的に電 子署名装置内のメモリ（たとえば、図 1に示した RAM103や HD105)に保持される。 [0042] より具体的には、図 2に示した自治体 (〇〇市役所) S Iを例に挙げると、その自治 体 S 1が管轄する住民の住民票が電子文書としてデータベースに保存されており、 i (i = 1)番目の署名者である自治体 S Iの担当職員 T1が住民票の申請を受けると、申 請者の住民票を電子文書 mとしてデータベース力 抽出することとなる。
1
[0043] また、生成部 302は、電子文書取得部 301によって取得された電子文書 を署名 する i番目の署名者の一時的な秘密鍵 kをランダムに生成する。具体的には、乱数を 発生させることにより、 i番目の署名者の一時的な秘密鍵 kを生成する。この秘密鍵 k は、一時的なデータであるため、電子文書 mを取得する都度ランダムに生成される。 生成された秘密鍵 kは、上記メモリに保持される。
[0044] また、公開鍵算出部 303は、下記式（1)により、生成部 302によって生成された i番 目の署名者の一時的な秘密鍵 kを用いて、 i番目の署名者の一時的な公開鍵 rを算 出する。
[0045] Γ = (Μιηοά ρ ( 1)
[0046] ただし、 ρは q I (p - 1)を満たす素数、 qは素数、 ocは巡回群上の位数を qとする元
、 aは i番目の署名者の秘密鍵で 1≤ a≤ q— 1とする。
[0047] 具体的には、メモリに保持されている一時的な秘密鍵 kを読み出して、上記式（1) に代入することにより、一時的な公開鍵 rを算出する。上記式（1)は、シュノア署名に おける一時的な公開鍵 rの算出式と同一である。
[0048] また、署名データ算出部 304は、下記式（2)により、生成部 302によって生成され た i番目の署名者の一時的な秘密鍵 kを用いて、 i番目の署名者の秘密鍵 aに関する 署名データ sを算出する。
[0049] s = (a X h (m ) +k ) mod q - - - (2)
[0050] ただし、 h ()は、ノ、ッシュ関数である。上記式（2)では、署名データ sは、一時的な 公開鍵 rに依存しないデータであり、個別署名 σの本体となる。署名データ算出部 3 04では、具体的には、メモリに保持されている一時的な秘密鍵 kを読み出して、上記 式 (2)に代入することにより、署名データ sを算出する。算出された署名データ sは、 一時的な公開鍵 rに関連付けられてメモリに保持される。
[0051] また、個別署名出力部 305は、公開鍵算出部 303によって算出された一時的な公 開鍵 と署名データ算出部 304によって算出された署名データ との組み合わせ s.)を、電子文書 に対する潘目の署名者の個別署名 σ iとして出力する。
[0052] 具体的には、メモリに保持された一時的な公開鍵 rと署名データ算出部 304によつ て算出された署名データ sとの組み合わせ (r , )をメモリから読み出して出力する。 出力形式は、後述する署名アルゴリズム A2を実行するコンピュータ装置に送信して もよぐフラッシュメモリなど着脱可能な可搬型メモリに格納することとしてもよい。
[0053] なお、上述した電子文書取得部 301、生成部 302、公開鍵算出部 303、署名デー タ算出部 304、および個別署名出力部 305は、具体的には、たとえば、図 1に示した ROM102, RAM103, HD105などの記録媒体に記録されているプログラムを、 CP U101に実行させることによって、または I/F109によって、その機能を実現する。
[0054] (個別署名生成処理手順 (署名アルゴリズム A1) )
つぎに、この発明の実施の形態にカゝかる個別署名生成処理手順 (署名ァルゴリズ ム A1)について説明する。図 4は、この発明の実施の形態に力かる個別署名生成処 理手順 (署名アルゴリズム A1)を示すフローチャートである。図 4において、まず、電 子文書取得部 301により署名対象となる電子文書 mを取得する (ステップ S401)。
[0055] そして、生成部 302により、取得された電子文書 mを署名する i番目の署名者の一 時的な秘密鍵 k;をランダムに生成する (ステップ S402)。つぎに、公開鍵算出部 303 により、生成された i番目の署名者の一時的な秘密鍵 kを用いて、 i番目の署名者の 一時的な公開鍵 rを算出する (ステップ S403)。
[0056] そして、署名データ算出部 304により、生成された i番目の署名者の一時的な秘密 鍵 kを用いて、 i番目の署名者の秘密鍵 aに関する署名データ sを算出する (ステップ S404)。なお、ステップ S404は、ステップ S403よりも先に実行してもよく、また、同時 に実行することとしてもよい。つぎに、個別署名出力部 305により、電子文書 mに対 する i番目の署名者の個別署名 σとして出力する (ステップ S405)。これにより一連 の処理を終了する。
[0057] このようにして得られた各個別署名 { σ , · · ·, σ }は、ァグリゲート処理によってァグ
1 η
リゲートされて、単一のァグリゲート署名 σ となる。以下、ァグリゲート処理をおこなう
A
ァグリゲート署名生成装置の機能的構成にについて説明する。 [0058] (ァダリゲート署名生成装置の機能的構成 (その 1) )
図 5は、この発明の実施の形態に力かるァグリゲート署名生成装置の機能的構成（ その 1)を示すブロック図である。図 5に示すァグリゲート署名生成装置 500は、複数 の個別署名 {σ , ···, σ }のァグリゲート処理をおこなって単一のァグリゲート署名 σ
1 η
Aを生成する電子署名装置である。
[0059] 図 5に示したァグリゲート署名生成装置 500は、図 1に示したノヽードウエア構成で、 図 2に示した各自治体 S 1〜S3や申請者のパーソナル 'コンピュータに設けられてお り、各担当職員 T1〜T3または申請者により操作される。図 5において、ァグリゲート 署名生成装置 500は、個別署名取得部 501と、第 1の重畳部 502と、第 2の重畳部 5 03と、ァグリゲート署名出力部 504とを備えている。
[0060] まず、図 5において、個別署名取得部 501は、複数の個別署名 {σ , ···, σ }を取
1 η 得する。具体的には、たとえば、図 3に示した各個別署名生成装置 300から生成され た個別署名 {σ , ···, σ }をネットワーク 114を介して受信したり、可搬型メモリを装着
1 η
することで可搬型メモリに保持された複数の個別署名 {σ , ···, σ }を読み込む。取
1 η
得された複数の個別署名 { σ , ···, σ }は、ァグリゲート署名生成装置 500内のメモ
1 η
リに保持される。
[0061] また、第 1の重畳部 502は、下記式（3)により、個別署名取得部 501によって取得さ れた一時的な公開鍵 {r , ···, r }を重畳する。具体的には、メモリに保持された各個
1 n
別署名 {σ , ···, σ }内の各一時的な公開鍵 {r, ···, r }を読み出してァグリゲート処
1 n 1 n
理をおこなう。重畳済みの（ァダリゲートされた)一時的な公開鍵 rはメモリに保持され
A
る。
[0062] r = (r Xr Χ ··· ΧΓ Xr )mod ρ· · · (3)
A 1 2 n-1 n
[0063] また、第 2の重畳部 503は、下記式 (4)により、個別署名取得部 501によって取得さ れた署名データ {s , ···, s }を重畳する。具体的には、メモリに保持された各個別署
1 n
名 {σ , ···, σ }内の各署名データ {s , ···, s }を読み出してァグリゲート処理をおこ
1 n 1 n
なう。重畳済みの（ァダリゲートされた)署名データ Sは、重畳済みの一時的な公開鍵
A
rに関連付けられてメモリに保持される。
A
[0064] s =(s +s +〜 + s +s )mod q---(4) [0065] また、ァグリゲート署名出力部 504は、第 1の重畳部 502による重畳済みの一時的 な公開鍵 rと第 2の重畳部 503による重畳済みの署名データ sとの組み合わせ (r ,
A A A
s )を、ァグリゲート署名 σ として出力する。
A A
[0066] 具体的には、メモリに保持された重畳済みの一時的な公開鍵 rと重畳済みの署名
A
データ sとの組み合わせ (r , s )をメモリから読み出して出力する。出力形式は、後
A A A
述するァグリゲート署名を検証するコンピュータ装置 (たとえば、図 2に示した旅券事 務所のコンピュータ装置）に送信してもよぐフラッシュメモリなど着脱可能な可搬型メ モリに格納することとしてもょ 、。
[0067] なお、上述した個別署名取得部 501、第 1の重畳部 502、第 2の重畳部 503、およ びァグリゲート署名出力部 504は、具体的には、たとえば、図 1に示した ROM102, RAM103, HD105などの記録媒体に記録されているプログラムを、 CPU101に実 行させることによって、または IZF109によって、その機能を実現する。
[0068] (ァダリゲート署名生成処理手順 (署名アルゴリズム A2) )
つぎに、この発明の実施の形態に力かるァグリゲート署名生成処理手順 (署名アル ゴリズム A2)について説明する。図 6は、この発明の実施の形態に力かるァグリゲート 署名生成処理手順 (署名アルゴリズム A2)を示すフローチャートである。図 6におい て、まず、個別署名取得部 501により、 n個の個別署名 { σ , · ··, σ }を取得する (ス
1 η
テツプ S601)。
[0069] つぎに、第 1の重畳部 502により、取得された一時的な公開鍵 {r , · ··, r }を重畳す
1 n ることにより、重畳済みの一時的な公開鍵 rを算出する (ステップ S602)。そして、第
A
2の重畳部 503により、取得された署名データ {s , · ··, s }を重畳することにより、重畳
1 n
済みの署名データ sを算出する（ステップ S603)。ステップ S603は、ステップ S602
A
よりも先に実行してもよぐまた同時であってもよい。
[0070] このあと、ァグリゲート署名出力部 504により、重畳済みの一時的な公開鍵 rと重畳
A
済みの署名データ sとの組み合わせ (r , s )となるァグリゲート署名 σ を出力する（
A A A A
ステップ S604)。これにより一連の処理を終了する。
[0071] このようにして個別署名力 ァグリゲート署名までの一連の電子署名によれば、ァグ リゲート署名には用いられて!/ヽな ヽ離散対数問題に基づくシュノア系の電子署名を あえてァグリゲート署名に適用することで、ァグリゲート署名の本質である複数の署名 データすベてのァグリゲーシヨンが可能で、かつ、既存の PKIを利用することができる 。また、個別署名の削除など署名機能の自由度の向上を図ることができる。以下、ァ ダリゲート署名力 個別署名削除をおこなうァグリゲート署名生成装置について説明 する。
[0072] (個別署名削除の概要）
まず、個別署名の概要について説明する。図 7は、パスポートの電子申請システム によるァグリゲート署名の削除処理を示す説明図である。図 7におけるパスポートの 申請に際し、運転免許証が不要ということであれば、電子文書 (運転免許証) mおよ
3 びその個別署名 σ が削除対象となる。したがって、署名アルゴリズム A3の削除処理
3
により、個別署名 σ の削除後のァグリゲート署名 σ 'が生成される。また、その個別
3 A
署名 σ 元の電子文書 (運転免許証) mも削除される。
3 3
[0073] (ァダリゲート署名生成装置の機能的構成 (その 2) )
つぎに、ァグリゲート署名生成装置の機能的構成 (その 2)について説明する。図 8 は、この発明の実施の形態に力かるァグリゲート署名生成装置の機能的構成 (その 2 )を示すブロック図である。図 8に示すァグリゲート署名生成装置 800は、複数の個別 署名 { σ , · · ·, σ }のァグリゲート処理をおこなって単一のァグリゲート署名 σ を生
1 n A 成する電子署名装置である。
[0074] 図 8において、ァグリゲート署名生成装置 800は、図 1に示したノヽードウエア構成で 、図 2に示した各自治体 S 1〜S3や申請者のパーソナル 'コンピュータに設けられて おり、各担当職員 T1〜T3または申請者により操作される。図 8において、ァグリゲー ト署名生成装置 800は、電子文書'署名取得部 801と、第 1の削除部 802と、第 2の 削除部 803と、第 3の削除部 804と、削除結果出力部 805と、力も構成されている。
[0075] まず、電子文書'署名取得部 801は、 η個の電子文書 {m , · · ·, m }とそのァグリゲ
1 n
ート署名 σ と k (l≤k≤n)番目の個別署名 σ を取得する。 η個の電子文書 {m ,…
A k 1
, m }は、申請の際に各自治体力も取得される。また、ァグリゲート署名 σ は、上述し n A たァグリゲート署名生成装置 800から得ることができる。また、削除対象となる個別署 名 σ は、上述したァグリゲート署名生成装置 800から得ることができる。取得された 各データはメモリに保持される。
[0076] また、第 1の削除部 802は、取得された n個の電子文書 {m , · ··, m }の中から個別
1 n
署名 σ により署名された電子文書 mを削除する。具体的には、メモリ〖こ保持された n k k
個の電子文書 {m , · ··, m }のうち電子文書 mをメモリから消去する。
1 n k
[0077] また、第 2の削除部 803は、下記式（5)により、取得されたァグリゲート署名 σ を構
A
成する重畳済みの一時的な公開鍵 rから第 1の削除部 802によって削除された電子
A
文書 mの個別署名 σ を構成する一時的な公開鍵 rを削除する。削除後の重畳済み k k k
の一時的な公開鍵を r 'と表記する。これにより、メモリに保持されているァグリゲート
A
署名 σ を構成する重畳済みの一時的な公開鍵 r力^ 'に書き換えられる。
A k A
[0078] r 5 =r /r mod ρ · · · (5)
A A k
[0079] また、第 3の削除部 804は、下記式 (6)により、取得されたァグリゲート署名 σ を構
A
成する重畳済みの署名データ s力 第 1の削除部 802によって削除された電子文書
A
mの個別署名 σ を構成する署名データ sを削除する。削除後の重畳済みの署名デ k k k
ータを s 'と表記する。これにより、メモリに保持されているァグリゲート署名 σ を構成
A A
する重畳済みの署名データ Sが S，に書き換えられる。
k A
[0080] s
A，=s -s mod q- - - (6)
A k
[0081] また、削除結果出力部 805は、第 1の削除部 802によって得られた残余の電子文 書 {m , · ··, m , m , · ··, m }を出力する。また、第 2の削除部 803および第 3の削
1 k-1 k+1 n
除部 804によって削除された削除結果 (r ' , s ' )を個別署名 σ を削除したァグリゲ
A A k
ート署名 σ 'として出力する。
A
[0082] 具体的には、メモリに保持された重畳済みの一時的な公開鍵 r 'と重畳済みの署名
A
データ s 'との組み合わせ (r ' , s ' )をメモリから読み出して出力する。出力形式は、
A A A
後述するァグリゲート署名を検証するコンピュータ装置 (たとえば、図 2に示した旅券 事務所のコンピュータ装置）に送信してもよぐフラッシュメモリなど着脱可能な可搬型 メモリに格納することとしてもょ 、。
[0083] なお、上述した電子文書'署名取得部 801、第 1の削除部 802、第 2の削除部 803 、第 3の削除部 804、および削除結果出力部 805は、具体的には、たとえば、図 1に 示した ROM102, RAM103, HD105などの記録媒体に記録されているプログラム を、 CPU101に実行させることによって、または I/F109によって、その機能を実現 する。
[0084] (ァダリゲート署名削除処理手順 (署名アルゴリズム A3) )
つぎに、この発明の実施の形態にカゝかる署名削除処理手順 (署名アルゴリズム A3) について説明する。図 9は、この発明の実施の形態に力かる署名削除処理手順 (署 名アルゴリズム A3)を示すフローチャートである。図 9において、まず、電子文書'署 名取得部 801により、 n個の電子文書 {m , · ··, m }とそのァグリゲート署名 σ と k(l
1 n A
≤k≤n)番目の個別署名 σ を取得する (ステップ S901)。
k
[0085] つぎに、第 1の削除部 802により、取得された n個の電子文書 {m，…， m }の中か
1 n ら個別署名 σ により署名された電子文書 mを削除する (ステップ S902)。そして、第 k k
2の削除部 803により、上記式（5)を用いて、取得されたァグリゲート署名 σ を構成
A
する重畳済みの一時的な公開鍵 rから第 1の削除部 802によって削除された電子文
A
書 mの個別署名 σ を構成する一時的な公開鍵 rを削除することで、削除後の重畳 k k k
済みの一時的な公開鍵 r 'を算出する (ステップ S903)。
A
[0086] つぎに、第 3の削除部 804により、上記式 (6)を用いて、取得されたァグリゲート署 名 σ を構成する重畳済みの署名データ s力も第 1の削除部 802によって削除された
A A
電子文書 m σ
kの個別署名 kを構成する署名データ s
kを削除することで、削除後の重 畳済みの署名データ s 'を算出する (ステップ S 904)。
A
[0087] そして、削除結果出力部 805により、第 1の削除部 802によって得られた残余の電 子文書 {m , · ··, m , m , · ··, m }を出力するとともに、第 2の削除部 803および第
1 k-1 k+1 n
3の削除部 804によって削除された削除結果 (r ' , s ' )を、個別署名 σ を削除した
A A k
ァグリゲート署名 σ 'として出力する (ステップ S905)。これにより一連の処理を終了
A
する。
[0088] この削除処理によれば、個別署名 { σ , · · ·, σ }がァグリゲートされた後でも、任意
1 η
の個別署名 σ を指定するだけで、その個別署名 σ を除く残余の個別署名 { σ ,…
k k 1
, σ , σ , · ··, σ }によるァグリゲート署名 σ 'を生成することができる。
k-1 k+1 n A
[0089] <ァグリゲート署名検証 >
(ァダリゲート署名検証の概要） つぎに、この発明の実施の形態に力かるァグリゲート署名検証の概要について説 明する。図 10は、パスポートの電子申請システムによるァグリゲート署名の検証処理 を示す説明図である。
[0090] 図 10において、ァグリゲート検証処理をおこなう場合、パスポート申請に必要な電 子文書 (住民票、戸籍謄本、運転免許証) m〜mとそのァグリゲート署名 σ のほか
1 3 A
、各自治体 S1〜S3の担当職員 T1〜T3の公開鍵 y〜yを用いる。そして、署名ァ
1 3
ルゴリズム A4を用いて、ァグリゲート検証処理をおこなう。つぎに、このァグリゲート検 証処理をおこなうァグリゲート署名検証装置について説明する。
[0091] (ァダリゲート署名検証装置の機能的構成）
つぎに、この発明の実施の形態に力かるァグリゲート署名検証装置の機能的構成 について説明する。図 11は、この発明の実施の形態に力かるァグリゲート署名検証 装置の機能的構成を示すブロック図である。図 11に示すァグリゲート署名検証装置 1100は、署名対象となるァグリゲート署名 σ の正当性を検証 (確認)する電子署名
A
装置である。
[0092] 図 11に示したァグリゲート署名検証装置 1100は、図 1に示したノヽードウエア構成で 、たとえば図 2に示した旅券事務所 200に設けられており、旅券事務所 200の担当職 員（検証者）〖こより操作される。図 11において、ァグリゲート署名検証装置 1100は、 ァグリゲート署名取得部 1101と、第 1の検証情報算出部 1102と、第 2の検証情報算 出部 1103と、判断部 1104と、判断結果出力部 1105と、を備えている。
[0093] まず、ァグリゲート署名取得部 1101は、 n個の電子文書 {m , · ··, m }の各個別署
1 n
名 { σ , · ··, σ }をァグリゲートしたァグリゲート署名 σ を取得する。ァグリゲート署名
1 n A
σ は申請者のコンピュータ装置力 受信してもよぐまた、着脱可能な可搬型メモリ
A
をァグリゲート署名検証装置 1100に装着することで、可搬型メモリに保持されている ァグリゲート署名 σ を読み込むこととしてもよい。 η個の電子文書 {m , · ··, m }につ
A 1 n ヽても同様に取得してもよ 、。
[0094] また、図 10に示したような署名者の公開鍵 y〜yは、個別署名生成装置 300から
1 n
ネットワーク 114を介して受信することができる。各公開鍵 yは、下記式（7)によってあ らわすことができる。これら取得したデータは、ァグリゲート署名生成装置 500のメモリ に保持される。
[0095] y = mod p…（7)
[0096] また、第 1の検証情報算出部 1102は、ァグリゲート署名取得部 1101によって取得 された第 1の重畳結果 sに基づいて、第 1の検証情報 Vを算出する。具体的には、
A 1
たとえば、第 1の検証情報 Vは下記式 (8)〖こより算出される。算出された第 1の検証
1
情報 Vはメモリ〖こ保持される。
1
[0097] V = a sAmod ρ = Πα ^^mod p · · · (8)
1
[0098] また、第 2の検証情報算出部 1103は、ァグリゲート署名取得部 1101によって取得 された第 2の重畳結果!：に基づいて、第 2の検証情報 Vを算出する。具体的には、た
A 2
とえば、第 2の検証情報 Vは下記式 (9)により算出される。算出された第 2の検証情
2
報 Vはメモリに保持される。
2
[0099] V =(yh(ml)X〜Xyh(mn)) Xr m0d ρ···(9)
2 1 n A
[0100] 上記式（9)を変形することにより下記式（10)となる。
[0101] V =(yh(mDXr =((aiXh(mi)X((ki=((aih(mi)+kimod ρ···(10)
2 i A
[0102] ァグリゲート署名が正しければ、上記式 (8)の第 1の検証情報 Vと上記式（10)の第
1
2の検証情報 Vは同じ値となる。
2
[0103] また、上記式 (8)のかわりに、下記式（11)により第 1の検証情報 Vを算出することと
1
してちよい。
[0104] V =(V(y h(ml)x… xy h(mn)) ...(11)
[0105] 第 1の検証情報 Vを式（11)により算出した場合、第 2の検証情報 Vは重畳済みの
1 2
一時的な公開鍵 rとなる。
A
[0106] また、判断部 1104は、第 1の検証情報 Vと第 2の検証情報 Vとを比較して、ァグリ
1 2
ゲート署名 σ の正当性を判断する。具体的には、第 1の検証情報 Vと第 2の検証情
A 1
報 Vとの値が一致すれば、ァグリゲート署名 σ が正しい (検証成功）こととなり、不一
2 A
致であれば、ァグリゲート署名 σ は誤り（検証失敗)であることがわかる。
A
[0107] 判断結果出力部 1105は、この判断結果を出力する。判断結果の出力は、図 1に示 したディスプレイ 108への表示やプリンタ 113による印刷出力でもよぐまた、申請者 のコンピュータ装置への送信でもよい。 [0108] なお、上述したァグリゲート署名取得部 1101、第 1の検証情報算出部 1102、第 2 の検証情報算出部 1103、判断部 1104、および判断結果出力部 1105は、具体的 には、たとえば、図 1に示した ROM102, RAM103, HD105などの記録媒体に記 録されているプログラムを、 CPU101に実行させることによって、または I/F109によ つて、その機能を実現する。
[0109] (ァダリゲート署名検証処理手順）
つぎに、この発明の実施の形態に力かるァグリゲート署名検証処理手順について 説明する。図 12は、この発明の実施の形態に力かるァグリゲート署名検証処理手順 を示すフローチャートである。
[0110] 図 12において、まず、ァグリゲート署名取得部 1101により、 n個の電子文書 {m ,
1
· ··, m }の各個別署名 { σ , · ··, σ }をァグリゲートしたァグリゲート署名 σ を取得す η 1 n A る（ステップ S1201)。また、 n個の電子文書 {m , · ··, m }および n人の署名者の公開
1 n
鍵 {y , · ··, y }も取得する。
[0111] そして、第 1の検証情報算出部 1102により、第 1の検証情報 Vを算出し (ステップ S
1
1202)、第 2の検証情報算出部 1103により、第 2の検証情報 Vを算出する (ステップ
2
S1203) oステップ SI 203 ίま、ステップ SI 202よりも先に実行してもよく、同時であつ てもよい。
[0112] つぎに、判断部 1104により、第 1の検証情報 Vと第 2の検証情報 Vとを比較して、
1 2
ァグリゲート署名 σ の正当性を判断する（ステップ S1204)。そして、 V =Vである
A 1 2 場合 (ステップ SI 204 : Yes)、検証結果として検証成功出力をおこない (ステップ SI 205)、 V =Vでない場合 (ステップ SI 204 : No)、検証結果として検証失敗出力を
1 2
おこなう（ステップ S1206)。これにより一連の処理を終了する。
[0113] <シ一ケンシヤノレアグリゲート署名 >
(シーケンシャルァグリゲート署名の概要）
シーケンシャルァグリゲート署名とは、個別署名が生成される都度、直前にァグリゲ ートされたァグリゲート署名とのァグリゲート処理を順次おこなっていく電子署名方式 である。
[0114] たとえば、電子文書を複数部署間で回議するときに、各部署において内容の追加訂 正を行って承認して!/ヽき、最終決裁者が最後にその書類を承認すると!ヽぅ場合があ る。図 13は、シーケンシャルァグリゲート署名の概要を示す説明図である。
[0115] 図 13において、申請者は電子文書 mを作成し、署名アルゴリズム A1の個別署名
1
σ を施す。申請者による最初の署名は個別署名 σ であるが、便宜上、ァグリゲート
1 1
署名 σ (1)とする。そして、この電子文書 mとァグリゲート署名 σ (1)を回議する。つぎ
A 1 A に、回議を受け取った部署は、電子文書 mとァグリゲート署名 σ (1)と申請者の公開
1 A
鍵 yを用いて、署名アルゴリズム A4により電子文書 mの正当性を検証する。
1 1
[0116] 検証により正当性の確認後、電子文書 mに承認日付や担当者名を追加したり、内
1
容を修正したりしてあらたな電子文書 mを作成し、この電子文書 mとァグリゲート署
2 2
名 σ (1)を用いて、署名アルゴリズム Α5によりァグリゲート署名 σ (2)を生成する。
A A
[0117] そして次の部署に、電子文書 m , mおよびァグリゲート署名 σ (2)を回議する。つぎ
1 2 A
に、回議を受け取った部署は、電子文書 m , m
1 2とァグリゲート署名 σ (2) Aと公開鍵 y ,
1 vを用いて、署名アルゴリズム A4により電子文書 m , mの正当性を検証する。
2 1 2
[0118] 検証により正当性の確認後、電子文書 mに承認日付や担当者名を追加したり、内
2
容を修正したりしてあらたな電子文書 mを作成し、この電子文書 mとァグリゲート署
3 3
名 σ (2)を用いて、署名アルゴリズム Α5によりァグリゲート署名 σ (3)を生成する。
A A
[0119] 最終決裁者は、すべての電子文書 m , m , mとァグリゲート署名 σ (¾と公開鍵 y ,
1 2 3 A 1 y， yを用いて、署名アルゴリズム A4によりすベての文書 m， m， mの正当性を検
2 3 1 2 3
証 (確認)し、最終決済をおこなう。このようなシーケンシャルァグリゲート処理をおこ なうァグリゲート署名生成装置につ!、て説明する。
[0120] (ァダリゲート署名生成装置の機能的構成 (その 3) )
図 14は、この発明の実施の形態に力かるァグリゲート署名生成装置の機能的構成
(その 3)を示すブロック図である。図 14に示すァグリゲート署名生成装置 1400は、 個別署名が生成される都度、直前にァグリゲートされたァグリゲート署名とのァグリゲ ート処理を順次おこなっていく電子署名装置である。
[0121] 図 14に示したァグリゲート署名生成装置 1400は、図 1に示したノヽードウエア構成で
、図 2に示した申請者や部署のパーソナル 'コンピュータに設けられており、申請者ま たは部署内の職員により操作される。図 14において、ァグリゲート署名生成装置 140 0は、電子文書 'ァダリゲート署名取得部 1401と、生成部 1402と、公開鍵算出部 14 03と、第 1の重畳部 1404と、署名データ算出部 1405と、第 2の重畳部 1406と、ァグ リゲート署名出力部 1407と、を備えている。
[0122] まず、電子文書 ·ァグリゲート署名取得部 1401は、 i ( l≤i≤n)番目の署名者の署 名対象となる電子文書 mと l〜i 1番目の署名者による署名済みの電子文書 {m ,
i 1
· · · , m }に関するァグリゲート署名 σ (ί— Dとを取得する。
i-1 A
[0123] 具体的には、たとえば、 i番目の署名者は、卜 1番目の署名者のァグリゲート署名 生成装置 1400からネットワーク 114を介して自身のァグリゲート署名生成装置 1400 に受信することで取得することができる。なお、署名済みの電子文書 {m , · · · , m }
1 i-1 を取得することとしてもよい。取得された各データは、自身のァグリゲート署名生成装 置 1400のメモリに保持される。
[0124] また、生成部 1402は、電子文書 'ァダリゲート署名取得部 1401によって取得され た電子文書 mを署名する i番目の署名者の一時的な秘密鍵 kをランダムに生成する 。具体的には、乱数を発生させることにより、 i番目の署名者の一時的な秘密鍵 kを生 成する。この秘密鍵 kは、一時的なデータであるため、電子文書 mを取得する都度ラ ンダムに生成される。生成された秘密鍵 kは、上記メモリに保持される。
[0125] また、公開鍵算出部 1403は、下記式（12)により、電子文書 mに関する i番目の署 名者の一時的な公開鍵 rを算出する。
[0126] r = a kimod p ( 12)
[0127] ただし、 pは q I (p - 1)を満たす素数、 qは素数、 ocは巡回群上の位数を qとする元
、 kは i番目の署名者の秘密鍵で l≤k≤q— 1とする。
[0128] 具体的には、メモリに保持されている一時的な秘密鍵 kを読み出して、上記式（12) に代入することにより、一時的な公開鍵 rを算出する。上記式（12)は、シュノア署名 における一時的な公開鍵 rの算出式と同一である。
[0129] また、第 1の重畳部 1404は、下記式（13)により、電子文書'ァグリゲート署名取得 部 1401によって取得されたァグリゲート署名 σ (ί_1)を構成する重畳済みの一時的な
A
公開鍵 r(i— ϋと公開鍵算出部 1403によって算出された一時的な公開鍵!:とを重畳す
A i
る。具体的には、メモリに保持された重畳済みの一時的な公開鍵 r(i_1)と一時的な公 開鍵 とを読み出してァグリゲート処理をおこなう。重畳済みの（ァダリゲートされた） 一時的な公開鍵 r(i)はメモリ〖こ保持される。
A
[0130] rG) =(rG— D Xr)mod ρ···(13)
A A i
[0131] また、署名データ算出部 1405は、下記式（14)により、電子文書 に関する i番目 の署名者の一時的な署名データ sを算出する。
[0132] s = (a Xh(m)+k)mod q--- (14)
[0133] ただし、 h()は、ノ、ッシュ関数である。上記式（14)では、署名データ sは、一時的な 公開鍵 rに依存しないデータであり、個別署名 σの本体となる。署名データ算出部 1 405では、具体的には、メモリに保持されている一時的な秘密鍵 kを読み出して、上 記式（14)に代入することにより、署名データ sを算出する。算出された署名データ s は、一時的な公開鍵 rに関連付けられてメモリに保持される。
[0134] また、第 2の重畳部 1406は、下記式（15)により、電子文書'ァグリゲート署名取得 部 1401によって取得されたァグリゲート署名 σ(ί_1)を構成する重畳済みの署名デー
A
タ s(i— ϋと署名データ算出部 1405によって算出された署名データ sとを重畳する。具
A i
体的には、メモリに保持されたァグリゲート署名 σ(ί— 1〉内の署名データ s(i— 1〉を読み出
A A
して署名データ sとのァグリゲート処理をおこなう。重畳済みの（ァダリゲートされた)署 名データ sは、重畳済みの一時的な公開鍵 rに関連付けられてメモリに保持される。
A A
[0135] s(D =(s(M) +s)mod q---(15)
A A n
[0136] また、ァグリゲート署名出力部 1407は、第 1の重畳部 1404および第 2の重畳部 14 06によって重畳された重畳結果 (r(i) , s(i) )を、ァグリゲート署名 σ(ΰとして出力する。
A A A
署名対象となる電子文書 mやこれまでに生成された電子文書 {m, ···, m }も出力
i 1 i-1 することとしてもよい。
[0137] 具体的には、メモリに保持された重畳結果 (r(i) , s(i) )をメモリから読み出して出力す
A A
る。出力形式は、つぎにァグリゲート署名をおこなうァグリゲート署名生成装置 1400 に送信してもよぐフラッシュメモリなど着脱可能な可搬型メモリに格納することとしても よい。
[0138] なお、上述した電子文書 ·ァグリゲート署名取得部 1401、生成部 1402、公開鍵算 出部 1403、署名データ算出部 1405、第 1の重畳部 1404、署名データ算出部 140 5、第 2の重畳部 1406、およびァグリゲート署名出力部 1407は、具体的には、たとえ ば、図 1に示した ROM102, RAM103, HD105などの記録媒体に記録されている プログラムを、 CPU101に実行させることによって、または IZF109によって、その機 能を実現する。
[0139] (ァダリゲート署名生成処理手順 (署名アルゴリズム A5) )
つぎに、この発明の実施の形態に力かるァグリゲート署名生成処理手順 (署名アル ゴリズム A5)について説明する。図 15は、この発明の実施の形態に力かるァグリゲー ト署名生成処理手順 (署名アルゴリズム A5)を示すフローチャートである。
[0140] まず、電子文書 ·ァグリゲート署名取得部 1401により、 i(l≤i≤n)番目の署名者の 署名対象となる電子文書 mと l〜i 1番目の署名者による署名済みの電子文書 {m
i 1
, · ··, m }に関するァグリゲート署名 σ (ί— とを取得する (ステップ S1501)。
i-1 A
[0141] そして、生成部 1402により、取得された電子文書 mを署名する i番目の署名者の一 時的な秘密鍵 k;をランダムに生成する (ステップ S 1502)。つぎに、公開鍵算出部 14 03により、電子文書 mに関する i番目の署名者の一時的な公開鍵 rを算出する (ステ ップ S1503)。そして、第 1の重畳部 1404により、ァグリゲート署名 σ ( ϋを構成する
A
重畳済みの一時的な公開鍵 r(i— Dと一時的な公開鍵 rとを重畳することにより、 i番目
A i
の署名者までの重畳済みの一時的な公開鍵 r(i)を算出する (ステップ S 1504)。
A
[0142] つぎに、署名データ算出部 1405により、電子文書 mに関する i番目の署名者の一 時的な署名データ sを算出する (ステップ S 1505)。そして、第 2の重畳部 1406により 、ァグリゲート署名 σ (ί— 1〉を構成する重畳済みの署名データ s(M)と署名データ sとを
A A i 重畳することにより、潘目の署名者による重畳済みの署名データ s(i)を算出する (ス
A
テツプ SI 506)。
[0143] つぎに、ァグリゲート署名出力部 1407により、第 1の重畳部 1404および第 2の重 畳部 1406によって重畳された重畳結果 (r(i) , s(i) )を、ァグリゲート署名 σ (ΰとして出
A A A
力する (ステップ S1507)。これにより一連の処理を終了する。
[0144] これにより、 i番目に回議を受け取った部署は、電子文書 m , · ··, m とァグリゲート
1 i-1
署名 σ (ί— 1〉から署名アルゴリズム A4を使用して電子文書 m , · ··, m の正当性を検証
1 i-1
後、電子文書 m に承認日付や担当者名を追加したり、内容を修正したりして文書 m を作成し、電子文書 mとァグリゲート署名 σ (ί— ϋ力も署名アルゴリズム Α5を使用して
i A
ァグリゲート署名 σ ωを生成する。
A
[0145] そして、電子文書 m , · ··, mおよびァグリゲート署名 σ (Dを回議する。最終決裁者
1 i A
は、電子文書 {m , · ··, m }とァグリゲート署名 σ (η)力も上述した署名アルゴリズム Α4
1 n A
を使用してすべての電子文書 {m , · ··, m }の正当性を確認し、最終決済をおこなう
1 n
ことができる。
[0146] <楕円曲線離散問題への応用例 >
つぎに、上述した電子署名装置 (署名アルゴリズム A1〜A5)では、離散対数問題 をベースにした例である力 楕円曲線離散問題をベースにすることもできる。この場 合、 ECDSA証明書を利用すれば、既存 PKI証明書を利用可能なジェネラルァグリ ゲート署名が構成できる。
[0147] そこで、秘密鍵'公開鍵ペアとして、 ECDS Aの秘密鍵'公開鍵を使用し、 ECDSA の PKI証明書をそのまま使用する。以下、 ECDSA証明書の公開パラメータを挙げる
[0148] E :楕円曲線。楕円曲線を定義するが、ここのアルゴリズムでは直接現れることはない 。 # E :楕円曲線の位数。楕円曲線上の点の数、ここのアルゴリズムでは直接現れる ことはない。
q, a, b :楕円曲線パラメータ。楕円曲線の演算に使用する力 ここのアルゴリズムで は直接現れることはない。
r:素数で r I # E
G :ベースポイント。楕円曲線上の点の一つ。位数 rの生成元にあたる。
h():ノ、ッシュ関数
[0149] また、 i (l≤i≤n)番目の署名者の秘密鍵'公開鍵情報としては、以下の情報を用 いる。
[0150] s :i番目の署名者の秘密鍵。 l≤s≤r—l
W： i番目の署名者の公開鍵。 W =s -G
[0151] ここで、 G, Wなどの大文字は楕円曲線上の点を、 sなどの小文字はスカラ値 (整数
)をあらわす。また、演算子「·」は楕円曲線上の点のスカラ倍をあらわす。 [0152] また、 i (l≤i≤n)番目の署名者の PKI証明書情報は、以下の通りである。
[0153] (Ε, # E, q, a, b, r, G, s , W)： i番目の署名者の公開鍵証明書
[0154] (個別署名処理手順 (署名アルゴリズム A6) )
まず、楕円曲線離散対数問題に基づく個別署名生成処理手順 (署名アルゴリズム A6)について説明する。図 16は、この発明の実施の形態に力かる個別署名生成処 理手順を示すフローチャートである。この個別署名処理手順は、図 4に示した離散対 数問題に基づく個別署名生成処理手順 (署名アルゴリズム A1)にかわる処理手順で ある。
[0155] 図 16において、まず、電子文書取得部 301により署名対象となる電子文書 mを取 得する (ステップ S1601)。そして、生成部 302により、取得された電子文書 mを署名 する i番目の署名者の一時的な秘密鍵 uをランダムに生成する (ステップ S1602)。つ ぎに、公開鍵算出部 303により、生成された i番目の署名者の一時的な秘密鍵 uを用 V、て、 i番目の署名者の一時的な公開鍵 C; ( =u · G)を算出する (ステップ S 1603)。
[0156] そして、署名データ算出部 304により、生成された i番目の署名者の一時的な秘密 鍵 uを用いて、下記式（15)により、 i番目の署名者の秘密鍵 sに関する署名データ d を算出する（ステップ S1604)。なお、ステップ S1604は、ステップ S1603よりも先に 実行してもよぐまた、同時に実行することとしてもよい。
[0157] d = (s X h(m) +u) mod Γ· · · (15)
[0158] つぎに、個別署名出力部 305により、 i番目の署名者の一時的な公開鍵 Cと署名デ ータ dの組み合わせ {C , d }を、電子文書 mに対する i番目の署名者の個別署名 σ として出力する (ステップ S1605)。これにより一連の処理を終了する。
[0159] このような個別署名生成処理により、楕円曲線離散対数問題をベースにしても本発 明を適用にすることができる。
[0160] (ァダリゲート署名処理手順 (署名アルゴリズム A7) )
つぎに、楕円曲線離散対数問題に基づくァグリゲート署名生成処理手順 (署名ァ ルゴリズム A7)について説明する。図 17は、この発明の実施の形態にかかるァグリゲ ート署名生成処理手順を示すフローチャートである。このァグリゲート署名処理手順 は、図 6に示した離散対数問題に基づくァグリゲート署名生成処理手順 (署名ァルゴ リズム A2)にかわる処理手順である。
[0161] 図 17において、まず、個別署名取得部 501により、 n個の個別署名 { σ , · ··, σ }
1 η を取得する (ステップ SI 701)。つぎに、第 1の重畳部 502により、取得された一時的 な公開鍵 {C , · ··, C }を重畳することにより、重畳済みの一時的な公開鍵 Cを算出
1 n A する（ステップ SI 702)。
[0162] そして、第 2の重畳部 503により、取得された署名データ {d , · ··, d }を重畳するこ
1 n
とにより、重畳済みの署名データ dを算出する (ステップ SI 703)。ステップ S1703は
A
、ステップ S1702よりも先に実行してもよぐまた同時であってもよい。
[0163] このあと、ァグリゲート署名出力部 504により、重畳済みの一時的な公開鍵 Cと重
A
畳済みの署名データ dとの組み合わせ (C , d )となるァグリゲート署名 σ を出力す
A A A A
る（ステップ S1704)。これにより一連の処理を終了する。
[0164] このような個別署名力 ァグリゲート署名までの一連の電子署名によれば、ァグリゲ ート署名には用いられていない楕円曲線離散対数問題に基づくシュノア系の電子署 名をあえてァグリゲート署名に適用することで、ァグリゲート署名の本質である複数の 署名データすベてのァグリゲーシヨンが可能で、かつ、既存の PKIを利用することが できる。また、個別署名の削除など署名機能の自由度の向上を図ることができる。以 下、ァグリゲート署名カゝら個別署名削除をおこなう処理手順 (署名アルゴリズム A8)に ついて説明する。
[0165] (署名削除処理手順 (署名アルゴリズム A8) )
つぎに、楕円曲線離散対数問題に基づく署名削除処理手順 (署名アルゴリズム A8 )について説明する。図 18は、この発明の実施の形態に力かる署名削除処理手順（ 署名アルゴリズム A8)を示すフローチャートである。この署名削除処理手順は、図 9 に示した離散対数問題に基づく署名削除処理手順 (署名アルゴリズム A3)にかわる 処理手順である。
[0166] 図 18において、まず、電子文書 ·署名取得部 801により、 n個の電子文書 {m , · ··,
1 m }とそのァグリゲート署名 σ と k (l≤k≤n)番目の個別署名 σ を取得する (ステツ n A k
プ S1801)。
[0167] つぎに、第 1の削除部 802により、取得された n個の電子文書 {m，…， m }の中か
1 n ら個別署名 σ により署名された電子文書 mを削除する (ステップ S1802)。そして、 k k
第 2の削除部 803により、下記式（16)を用いて、取得されたァグリゲート署名 σ を構
A
成する重畳済みの一時的な公開鍵 C力 第 1の削除部 802によって削除された電
A
子文書 mの個別署名 σ を構成する一時的な公開鍵 Cを削除することで、削除後の k k k
重畳済みの一時的な公開鍵 C 'を算出する (ステップ S1803)。
A
[0168] C，=C C ·(16)
A A k
[0169] つぎに、第 3の削除部 804により、下記式（17)を用いて、取得されたァグリゲート署 名 σ を構成する重畳済みの署名データ d力も第 1の削除部 802によって削除され
A A
た電子文書 mの個別署名 σ を構成する署名データ dを削除することで、削除後の k k k
重畳済みの署名データ d，を算出する (ステップ S 1804)
A 。
[0170] d，=d -dmod Γ···(17)
A A k
[0171] そして、削除結果出力部 805により、第 1の削除部 802によって得られた残余の電 子文書 {m , ···, m , m , ···, m }を出力するとともに、第 2の削除部 803および第
1 k-1 k+1 n
3の削除部 804によって削除された削除結果 (C ', d ')を、個別署名 σ を削除した
A A k ァグリゲート署名 σ ，として出力する (ステップ S1805)。これにより一連の処理を終
A
了する。
[0172] この削除処理によれば、楕円曲線離散対数問題をベースとした場合であっても、個 別署名 {σ , ···, σ }がァグリゲートされた後でも、任意の個別署名 σ を指定するだ
1 n k
けで、その個別署名 σ を除く残余の個別署名 {σ , ···, σ , σ , ···, σ }による k 1 k-1 k+1 n ァグリゲート署名 σ 'を生成することができる。
A
[0173] (ァダリゲート署名検証処理手順 (署名アルゴリズム A9))
つぎに、楕円曲線離散対数問題に基づくァグリゲート署名検証処理手順 (署名ァ ルゴリズム A9)について説明する。図 19は、この発明の実施の形態にかかるァグリゲ ート署名検証処理手順 (署名アルゴリズム A9)を示すフローチャートである。このァグ リゲート署名検証処理手順は、図 12に示した離散対数問題に基づくァグリゲート署 名検証処理手順 (署名アルゴリズム A4)にかわる処理手順である。
[0174] 図 19において、まず、ァグリゲート署名取得部 1101により、 n個の電子文書 {m ,
1
···, m }の各個別署名 {σ , ···, σ }をァグリゲートしたァグリゲート署名 σ を取得す η 1 n A る（ステップ S1901)。また、 n個の電子文書 {m , · ··, m }および n人の署名者の公開
1 n
鍵 {w , ···, W }も取得する。
1 n
[0175] そして、第 1の検証情報算出部 1102により、下記式（18)を用いて、第 1の検証情 報 Vを算出し (ステップ S 1902)、第 2の検証情報算出部 1103により、下記式（19)
1
を用いて、第 2の検証情報 Vを算出する (ステップ S1903)。ステップ S1903は、ステ
2
ップ S1902よりも先に実行してもよぐ同時であってもよい。
[0176] V =d -G=∑ (s X h (m) +u) -G=∑ (h (m) -W +u -G) (18)
V = (h (m ) -W H—— hh (m ) -W ) +C
2 1 1 n n A
=∑ (h(m) -W +C
i i A
=∑ (h(m) -W +∑u -G
=∑ (h(m) -W +u -G) (19)
[0177] つぎに、判断部 1104により、第 1の検証情報 Vと第 2の検証情報 Vとを比較して、
1 2
ァグリゲート署名 σ の正当性を判断する（ステップ S1904)。そして、 V =Vである
A 1 2 場合 (ステップ SI 904 : Yes)、検証結果として検証成功出力をおこない (ステップ SI 905)、 V =Vでない場合 (ステップ SI 904 : No)、検証結果として検証失敗出力を
1 2
おこなう（ステップ S1906)。これにより一連の処理を終了する。
[0178] (ァダリゲート署名生成処理手順 (署名アルゴリズム A10) )
つぎに、楕円曲線離散対数問題に基づくシーケンシャルなァグリゲート署名生成処 理手順 (署名アルゴリズム A10)について説明する。図 20は、楕円曲線離散対数問 題に基づくシーケンシャルなァグリゲート署名生成処理手順 (署名アルゴリズム A10) を示すフローチャートである。このァグリゲート署名生成処理手順は、図 15に示した 離散対数問題に基づくァグリゲート署名生成処理手順 (署名アルゴリズム A5)にかわ る処理手順である。
[0179] まず、電子文書 ·ァグリゲート署名取得部 1401により、 i(l≤i≤n)番目の署名者の 署名対象となる電子文書 mと l〜i 1番目の署名者による署名済みの電子文書 {m i 1
, · ··, m }に関するァグリゲート署名 σ (ί— とを取得する (ステップ S2001)。
i-1 A
[0180] そして、生成部 1402により、取得された電子文書 mを署名する i番目の署名者の一 時的な秘密鍵 uをランダムに生成する (ステップ S 2002)。つぎに、公開鍵算出部 14 03により、電子文書 に関する i番目の署名者の一時的な公開鍵 C;を算出する (ステ ップ S2003)。そして、第 1の重畳部 1404により、ァグリゲート署名 σ ( ϋを構成する
A
重畳済みの一時的な公開鍵 C(i— と一時的な公開鍵 Cとを重畳することにより、 i番目
A i
の署名者による重畳済みの一時的な公開鍵 C(i)を算出する (ステップ S2004)。
A
[0181] つぎに、署名データ算出部 1405により、電子文書 mに関する i番目の署名者の一 時的な署名データ dを算出する (ステップ S2005)。そして、第 2の重畳部 1406によ り、ァグリゲート署名 σ ( 1〉を構成する重畳済みの署名データ d(i— "と署名データ dとを
A A i 重畳することにより、 i番目の署名者までの重畳済みの署名データ d(i)を算出する (ス
A
テツプ S2006)。
[0182] つぎに、ァグリゲート署名出力部 1407により、第 1の重畳部 1404および第 2の重 畳部 1406によって重畳された重畳結果 (C(i) , d(D )を、ァグリゲート署名 σ (ΰとして
A A A
出力する (ステップ S 2007)。これにより一連の処理を終了する。
[0183] これにより、 i番目に回議を受け取った部署は、電子文書 m , · ··, m とァグリゲート
1 i-1
署名 σ )から署名アルゴリズム A9を使用して電子文書 m , · ··, m の正当性を検証
1 i-1
後、電子文書 m に承認日付や担当者名を追加したり、内容を修正したりして文書 m
i-1 i を作成し、電子文書 mとァグリゲート署名 σ (ί— ϋカゝら署名アルゴリズム Α10を使用して
i A
ァグリゲート署名 σ ωを生成する。
A
[0184] そして、電子文書 m , · ··, mおよびァグリゲート署名 σ (Dを回議する。最終決裁者
1 i A
は、電子文書 {m , · ··, m }とァグリゲート署名 σ (η)力も上述した署名アルゴリズム Α9
1 n A
を使用してすべての電子文書 {m , · ··, m }の正当性を確認し、最終決済をおこなう
1 n
ことができる。
[0185] このように、上述した実施の形態では、ァグリゲート署名には用いられていない離散 対数問題 (または楕円曲線離散対数問題）に基づくシュノア系の電子署名をあえてァ ダリゲート署名に適用することにより、ァグリゲート署名の本質である複数の署名デー タすべてのァグリゲーシヨンが可能で、かつ、上述した署名機能の制限がなぐ既存 の PKIを利用することができると!/、うシーケンシャルァグリゲート署名とジェネラルァグ リゲート署名とのトレードオフを解消することができる。
[0186] これにより、署名データ量の削減、署名確認の自由度の向上、および既存 PKIを利 用することによる利便性の向上を同時に実現することができる。
産業上の利用可能性
以上のように、本発明に力かる電子署名プログラム、電子署名装置、および電子署 名方法は、各種電子文書の電子申請や電子的な回議に適して 、る。

Claims

請求の範囲
[1] ァグリゲート対象となる n個の電子文書 {m , ···, m }に関する個別署名 { σ , ···,
1 n 1 σ }の生成をコンピュータに実行させる電子署名プログラムにおいて、
署名対象となる i ( 1≤ i≤ n)番目の電子文書 mを取得させる電子文書取得工程と、 前記電子文書取得工程によって取得された電子文書 mを署名する i番目の署名者 の一時的な秘密鍵 kをランダムに生成させる生成工程と、
下記式（1)により、前記生成工程によって生成された前記 i番目の署名者の一時的 な秘密鍵 kを用いて、前記 i番目の署名者の一時的な公開鍵 rを算出させる公開鍵 算出工程と、
下記式（2)により、前記生成工程によって生成された前記 i番目の署名者の一時的 な秘密鍵 kを用いて、前記 i番目の署名者の秘密鍵 aに関する前記一時的な公開鍵 r に依存しな 、署名データ sを算出させる署名データ算出工程と、
前記公開鍵算出工程によって算出された一時的な公開鍵 rと前記署名データ算出 工程によって算出された署名データ sとの組み合わせ (r, s)を、前記電子文書 mに 対する前記潘目の署名者の個別署名 σとして出力させる個別署名出力工程と、 を前記コンピュータに実行させることを特徴とする電子署名プログラム。
r = a mod p
s = (a Xh(m) +k)mod q--- (2)
ただし、 qは素数、 pは q I (p— 1)を満たす素数、 αは巡回群上の位数を qとする元 、 h()はハッシュ関数、 は潘目の署名者の秘密鍵で l≤ai≤q— 1とする。
[2] 前記複数の個別署名 {σ , ···, σ }を取得させる個別署名取得工程と、
1 η
下記式 (3)により、前記個別署名取得工程によって取得された一時的な公開鍵 {r
1
, ···, r }を重畳させる第 1の重畳工程と、
下記式 (4)により、前記個別署名取得工程によって取得された署名データ {s , ···,
1 s }を重畳させる第 2の重畳工程と、
前記第 1の重畳工程による重畳済みの一時的な公開鍵 rと前記第 2の重畳工程に
A
よる重畳済みの署名データ sとの組み合わせ (r , s )を、ァグリゲート署名 σ として
A A A A
出力させるァグリゲート署名出力工程と、 を前記コンピュータに実行させることを特徴とする請求項 1に記載の電子署名プロ グラム。
r = (r Xr Χ ··· ΧΓ Xr )mod ρ· · · (3)
A 1 2 n-1 n
s =(s +s H hs +s )mod q# · · (4)
A 1 2 n-1 n
[3] 前記 n個の電子文書 {m , ···, m }と前記ァグリゲート署名出力工程によって出力さ
1 n
れたァダリゲート署名 σ と k(l≤k≤n)番目の個別署名 σ を取得させる電子文書 ·
A k
署名取得工程と、
前記電子文書'署名取得工程によって取得された n個の電子文書 {m , ···, m }の
1 n 中から個別署名 σ により署名された電子文書 mを削除させる第 1の削除工程と、 k k
下記式（5)により、前記電子文書 ·署名取得工程によって取得されたァグリゲート署 名 σ を構成する重畳済みの一時的な公開鍵 r力 前記第 1の削除工程によって削
A A
除された電子文書 mの個別署名 σ を構成する一時的な公開鍵 rを削除させる第 2 k k k
の削除工程と、
下記式 (6)により、前記電子文書 ·署名取得工程によって取得されたァグリゲート署 名 σ
Aを構成する重畳済みの署名データ s
Aから前記第 1の削除工程によって削除さ れた電子文書 mの個別署名 σ を構成する署名データ sを削除させる第 3の削除ェ k k k
程と、
前記第 1の削除工程によって得られた残余の電子文書 {m , ···, m , m , ···, m
1 k-1 k+1 を出力させるとともに、前記第 2および第 3の削除工程によって削除された削除結 果 (r ', s ')を前記個別署名 σ を削除したァグリゲート署名 σ 'として出力させる削
A A k A
除結果出力工程と、
を前記コンピュータに実行させることを特徴とする請求項 2に記載の電子署名プロ グラム。
r， =r Z r mod ρ··· (5)
A A k
s，=s — s mod qe · · (o)
A A k
[4] 前記ァグリゲート署名出力工程によって出力されたァグリゲート署名 σ を取得させ
A
るァグリゲート署名取得工程と、
前記ァグリゲート署名取得工程によって取得された第 1の重畳結果 rに基づいて、 第 1の検証情報 VIを算出させる第 1の検証情報算出工程と、 前記ァグリゲート署名取得工程によって取得された第 2の重畳結果 sに基づ 、て、
A
第 2の検証情報 V2を算出させる第 2の検証情報算出工程と、
前記第 1および第 2の検証情報算出工程によって算出された第 1の検証情報 VIお よび第 2の検証情報 V2に基づいて、前記ァグリゲート署名 σ の正当性を判断する
A
判断工程と、
前記判断工程によって判断された判断結果を出力させる判断結果出力工程と、 を前記コンピュータに実行させることを特徴とする請求項 2に記載の電子署名プロ グラム。
i(l≤i≤n)番目の署名者の署名対象となる電子文書 mと l〜i 1番目の署名者に よる署名済みの電子文書に関するァグリゲート署名 σ (ί_1)とを取得させる電子文書 ·
A
ァグリゲート署名取得工程と、
前記電子文書'ァグリゲート署名取得工程によって取得された電子文書 mを署名 する i番目の署名者の一時的な秘密鍵 kをランダムに生成させる生成工程と、 下記式（7)により、前記電子文書 mに関する前記 i番目の署名者の一時的な公開 鍵 rを算出させる公開鍵算出工程と、
下記式 (8)により、前記電子文書'ァグリゲート署名取得工程によって取得されたァ ダリゲート署名 σ ΰ— Dを構成する重畳済みの一時的な公開鍵 r(i_1)と前記公開鍵算出
A A
工程によって算出された一時的な公開鍵 rとを重畳させる第 1の重畳工程と、 下記式（9)により、前記電子文書 mに関する前記 i番目の署名者の一時的な署名 データ sを算出させる署名データ算出工程と、
下記式（10)により、前記電子文書'ァグリゲート署名取得工程によって取得された ァグリゲート署名 σ (Μ)を構成する重畳済みの署名データ s(i— ϋと前記署名データ算
A A
出工程によって算出された署名データ sとを重畳させる第 2の重畳工程と、 前記第 1および第 2の重畳工程によって重畳された重畳結果 (r(i) , s(i) )を、ァグリゲ
A A
ート署名 σ (ΰとして出力させるァグリゲート署名出力工程と、
A
を前記コンピュータに実行させることを特徴とする電子署名プログラム。
r = a mod p (7) r(i) =(rG— D Xr)mod ρ···(8)
A A i
s = (a Xh(m)+k)mod q--- (9)
s(l) = (s(1 D +s )mod qe · · (10)
A A n
ただし、 qは素数、 pは q I (p— 1)を満たす素数、 αは巡回群上の位数を qとする元 、 h()はハッシュ関数、 は潘目の署名者の秘密鍵で l≤ai≤q— 1とする。
[6] 前記電子署名プログラムは、離散対数問題に基づくアルゴリズムであることを特徴と する請求項 1〜5のいずれか一つに記載の電子署名プログラム。
[7] 前記電子署名プログラムは、楕円曲線離散対数問題に基づくアルゴリズムであるこ とを特徴とする請求項 1〜5のいずれか一つに記載の電子署名プログラム。
[8] ァグリゲート対象となる n個の電子文書 {m , ···, m }に関する個別署名 { σ , ···,
1 n 1 σ }を生成する電子署名装置において、
署名対象となる i ( 1≤ i≤ n)番目の電子文書 mを取得する電子文書取得手段と、 前記電子文書取得手段によって取得された電子文書 mを署名する i番目の署名者 の一時的な秘密鍵 kをランダムに生成する生成手段と、
下記式（11)により、前記生成手段によって生成された前記 i番目の署名者の一時 的な秘密鍵 kを用いて、前記 i番目の署名者の一時的な公開鍵 rを算出する公開鍵 算出手段と、
下記式（12)により、前記生成手段によって生成された前記 i番目の署名者の一時 的な秘密鍵 kを用いて、前記 i番目の署名者の秘密鍵 に関する前記一時的な公開 鍵 rに依存しな 、署名データ sを算出する署名データ算出手段と、
前記公開鍵算出手段によって算出された一時的な公開鍵 rと前記署名データ算出 手段によって算出された署名データ sとの組み合わせ (r, Si)を、前記電子文書 mに 対する前記潘目の署名者の個別署名 σとして出力する個別署名出力手段と、 を備えことを特徴とする電子署名装置。
r = a mod p "1)
s = (a Xh(m) +k)mod q--- (12)
ただし、 qは素数、 pは q I (p— 1)を満たす素数、 αは巡回群上の位数を qとする元 、 h()はハッシュ関数、 は潘目の署名者の秘密鍵で l≤ai≤q— 1とする。 ァグリゲート対象となる n個の電子文書 {m , ···, m }に関する個別署名 { σ , ···,
1 n 1 σ }を生成する電子署名方法において、
署名対象となる i ( 1≤ i≤ n)番目の電子文書 mを取得する電子文書取得工程と、 前記電子文書取得工程によって取得された電子文書 mを署名する i番目の署名者 の一時的な秘密鍵 k;をランダムに生成する生成工程と、
下記式（13)により、前記生成工程によって生成された前記 i番目の署名者の一時 的な秘密鍵 kを用いて、前記 i番目の署名者の一時的な公開鍵 rを算出する公開鍵 算出工程と、
下記式（14)により、前記生成工程によって生成された前記 i番目の署名者の一時 的な秘密鍵 kを用いて、前記 i番目の署名者の秘密鍵 aに関する前記一時的な公開 鍵 rに依存しな 、署名データ sを算出する署名データ算出工程と、
前記公開鍵算出工程によって算出された一時的な公開鍵 rと前記署名データ算出 工程によって算出された署名データ sとの組み合わせ (r, s)を、前記電子文書 に 対する前記潘目の署名者の個別署名 σとして出力する個別署名出力工程と、 を含んだことを特徴とする電子署名方法。
r = a mod p (13)
s = (a Xh(m) +k)mod q--- (14)
ただし、 qは素数、 pは q I (p— 1)を満たす素数、 αは巡回群上の位数を qとする元 、 h()はハッシュ関数、 a.は潘目の署名者の秘密鍵で l≤a.≤q— 1とする。
PCT/JP2006/325380 2006-12-20 2006-12-20 電子署名プログラム、電子署名装置、および電子署名方法 WO2008075420A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2006/325380 WO2008075420A1 (ja) 2006-12-20 2006-12-20 電子署名プログラム、電子署名装置、および電子署名方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2006/325380 WO2008075420A1 (ja) 2006-12-20 2006-12-20 電子署名プログラム、電子署名装置、および電子署名方法

Publications (1)

Publication Number Publication Date
WO2008075420A1 true WO2008075420A1 (ja) 2008-06-26

Family

ID=39536059

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2006/325380 WO2008075420A1 (ja) 2006-12-20 2006-12-20 電子署名プログラム、電子署名装置、および電子署名方法

Country Status (1)

Country Link
WO (1) WO2008075420A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010219908A (ja) * 2009-03-17 2010-09-30 Nec Access Technica Ltd ネットワークシステム及びネットワークシステムにおける端末機器の認証情報集約方法
JP2022554202A (ja) * 2020-06-22 2022-12-28 杭州趣鏈科技有限公司 対話型集約署名方法、設備および記憶媒体
JP7355247B2 (ja) 2020-06-30 2023-10-03 富士通株式会社 署名制御方法、署名制御プログラム、および情報処理装置
JP7489634B2 (ja) 2019-11-07 2024-05-24 株式会社Scu デジタル署名システム及びデジタル署名方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07312592A (ja) * 1993-09-15 1995-11-28 Gemplus Dev 通信システムのための検証方法
JPH10133576A (ja) * 1996-10-31 1998-05-22 Hitachi Ltd 公開鍵暗号方法および装置
JP2000047582A (ja) * 1997-07-04 2000-02-18 Nippon Telegr & Teleph Corp <Ntt> 複数のディジタル署名を一括して検証する方法及びそのための装置とその方法を記録した記録媒体

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07312592A (ja) * 1993-09-15 1995-11-28 Gemplus Dev 通信システムのための検証方法
JPH10133576A (ja) * 1996-10-31 1998-05-22 Hitachi Ltd 公開鍵暗号方法および装置
JP2000047582A (ja) * 1997-07-04 2000-02-18 Nippon Telegr & Teleph Corp <Ntt> 複数のディジタル署名を一括して検証する方法及びそのための装置とその方法を記録した記録媒体

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
"A Multi-signature Scheme with Signers' Intentions Secure against Active Attacks", LECTURE NOTES IN COMPUTER SCIENCE, vol. 2288, 2002, pages 328 - 340, XP003022918 *
"Batch verifying multiple DSA-type digital signatures", COMPUTER NETWORKS, vol. 37, 2001, pages 383 - 389, XP004309779 *
MICALI S., OHTA K., REYZIN L.: "Accountable-Subgroup Multisignatures", PROCEEDINGS OF THE 8TH ACM CONFERENCE ON COMPUTER AND COMMUNICATIONS SECURITY, 2001, XP003022917 *
MIYAZAKI K., HANAOKA G., IMAI H.: "Sosenkei Shazo o Mochiita Denshi Bunsho Kuronuri Gijutsu (Digitally Signed Document sanitizing Scheme from Bilinear Maps)", 2005 NEN ANGO TO JOHO SECURITY SYMPOSIUM KOEN RONBUNSHU, vol. III, 25 January 2005 (2005-01-25), pages 1471 - 1476, XP003022919 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010219908A (ja) * 2009-03-17 2010-09-30 Nec Access Technica Ltd ネットワークシステム及びネットワークシステムにおける端末機器の認証情報集約方法
JP7489634B2 (ja) 2019-11-07 2024-05-24 株式会社Scu デジタル署名システム及びデジタル署名方法
JP2022554202A (ja) * 2020-06-22 2022-12-28 杭州趣鏈科技有限公司 対話型集約署名方法、設備および記憶媒体
JP7355247B2 (ja) 2020-06-30 2023-10-03 富士通株式会社 署名制御方法、署名制御プログラム、および情報処理装置

Similar Documents

Publication Publication Date Title
JP2762909B2 (ja) 電子署名装置
JP4477678B2 (ja) 電子署名方式、電子署名プログラムおよび電子署名装置
EP1808795A2 (en) Digital document management system, digital document management method, and digital document management program
CN109672537A (zh) 基于公钥池的抗量子证书获取系统及获取方法
US8433913B2 (en) Apparatus, method, and program for digital signature
US8452973B2 (en) Digital signature method, program, and apparatus
JP4872908B2 (ja) メンバー証明書獲得装置、メンバー証明書発行装置、グループ署名装置、グループ署名検証装置
CN105635187B (zh) 带印模的电子文件的生成方法与装置、认证方法与装置
JPH02291043A (ja) ディジタル方式により署名および証明するための方法
JPH10133576A (ja) 公開鍵暗号方法および装置
JP4746338B2 (ja) 契約書改竄防止システム及び契約書改竄防止方法
CN107204846B (zh) 数字签名生成方法、系统及节点模块
WO2008075420A1 (ja) 電子署名プログラム、電子署名装置、および電子署名方法
US20030037238A1 (en) Paperless records in aircraft maintenance
JP4763465B2 (ja) 個人認証装置及びサーバ装置及び認証システム及び認証方法
CN114329634A (zh) 一种电子签章文档的防伪方法
JP4282547B2 (ja) 多重署名管理装置、多重署名生成装置、多重署名管理プログラムおよび多重署名生成プログラム
CN110417555A (zh) 一种个人电子签名的安全加密方法和系统
WO2018211475A1 (en) Method for the creation of a document provided with a high-security digital signature
JP2004248045A (ja) 電子署名システムおよび電子署名プログラム
CN106559433A (zh) 利用数字证书固定电子证据和用户身份的方法及系统
JP2003223435A (ja) 文書印刷装置、文書認証装置、文書印刷方法、文書認証方法、文書認証システム、プログラム及び記憶媒体
JP2008035019A (ja) 電子署名装置
JP2003134108A (ja) 電子署名システム、電子署名検証装置、電子署名検証方法、プログラム、及び記録媒体
EP3495983B1 (en) Apparatus and method for embedding digital certifications within documents

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 06842934

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 06842934

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP