JP2001166687A

JP2001166687A - グループ署名生成方法及びシステム

Info

Publication number: JP2001166687A
Application number: JP2000297373A
Authority: JP
Inventors: Yoshiki Samejima; 吉喜鮫島; Takayuki Nakamura; 隆之中村
Original assignee: Hitachi Software Engineering Co Ltd
Current assignee: Hitachi Software Engineering Co Ltd
Priority date: 1999-09-29
Filing date: 2000-09-28
Publication date: 2001-06-22

Abstract

(57)【要約】【課題】１人につき１回の署名処理を行うだけで済
み、署名データの大きさおよび署名検証処理も署名者数
によらず不変で、使い勝手のよいグループ署名を行うこ
とができるグループ署名システムを提供すること。【解決手段】署名対象の１つのデータに対し複数の署
名者の各秘密鍵を用いた署名処理を実行することによっ
て、前記署名対象の１つのデータに対するディジタル署
名データを生成するグループ署名生成システムにおい
て、署名処理に必要な一時的署名データを各署名者の署
名処理の実行前に予め生成し、公開する第１の手段と、
公開された一時的署名データと複数の署名者の各秘密鍵
とを用いた署名処理を実行し、前記署名対象データに対
するディジタル署名データを生成する第２の手段とを備
える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数の署名者が協
力して１つの署名対象データに対するディジタル署名を
生成するグループ署名システムに関するものである。

【０００２】

【従来の技術】コンピュータやネットワーク利用が拡大
し、企業活動だけでなく、社会・行政の分野でも情報の
セキュリティを確保する必要がある。情報セキュリティ
の１つに情報の真正性確保、すなわち電子データの形式
となった情報の作成元や承認元の保証、改竄・修正がな
いことの保証があり、従来からディジタル署名を使って
実現している。

【０００３】複数人の署名者によるディジタル署名の方
法として、「多重署名に適したElGamal署名の一変形方
式」（発表者；新保、暗号と情報セキュリティシンポジ
ウム、2C、電子情報通信学会、1994）に離散対数問題を
ベースとした二巡多重署名方法と一巡多重署名方法とが
紹介されている。二巡多重署名方法では、ディジタル署
名生成に必要なデータが署名者間を二巡することで、一
巡多重署名方法では一巡することで、最終的なディジタ
ル署名を生成する。

【０００４】

【発明が解決しようとする課題】しかしながら、上記の
二巡多重署名方法では、１つの署名対象データの署名を
生成するのに、署名者、すなわちディジタル署名生成に
必要な秘密鍵情報を持つ署名者の処理が２回ずつ必要で
ある。すなわち、Ａ，Ｂ，Ｃの３人が協力して署名する
場合、まずＡが署名の処理をした後、次にＢ、続いてＣ
の順に一巡し、さらにＡ，Ｂ，Ｃがもう一度署名の処理
をする必要がある。したがって、署名者にとって面倒で
あり、使い勝手が悪いという問題がある。

【０００５】一方、一巡多重署名方法では、署名データ
がほぼ人数に比例した大きさになり、署名データサイズ
が大きくなるうえ、人数に応じて違う署名検証処理をし
なければならないという問題がある。

【０００６】本発明の目的は、１人につき１回の署名処
理を行うだけで済み、署名データの大きさおよび署名検
証処理も署名者数によらず不変で、使い勝手のよいグル
ープ署名を行うことができるグループ署名システムを提
供することにある。

【０００７】

【課題を解決するための手段】前記目的を達成するため
に、本発明は、署名対象の１つのデータに対し複数の署
名者の各秘密鍵を用いた署名処理を実行することによっ
て、前記署名対象の１つのデータに対するディジタル署
名データを生成するグループ署名生成システムにおい
て、署名処理に必要な一時的署名データを署名者全員ま
たは一部の署名者の署名処理の実行前に予め生成し、公
開する第１の手段と、公開された一時的署名データと複
数の署名者の各秘密鍵とを用いた署名処理を実行し、前
記署名対象データに対するディジタル署名データを生成
する第２の手段とを備えることを特徴とする。

【０００８】そして、前記第１の手段は、楕円曲線上の
点で位数が素数ｑとなる点をＰとして、各署名者計算機
が生成した乱数ｋから計算した複数のｋＰを前記一時的
署名データとして生成するものであり、前記第２の手段
は、前記ｋＰの楕円曲線上の和を求め、そのｘ座標ｘと
署名対象のデータｈとに基づきモジュロｑで計算したｘ
＋ｈに等しい値ｒと、各署名者計算機が前記乱数ｋと署
名者固有の秘密鍵ｄとからモジュロｑで計算したｓ＝ｋ
−ｒｄの値ｓの和とを１組にしてディジタル署名データ
として生成するものであることを特徴とする。

【０００９】また、前記第１の手段は、位数ｐの有限体
の元で位数が素数ｑとなる元をｇとして、各署名者計算
機が生成した乱数ｋからモジュロｐで計算した複数の
「ｇのｋ乗」なる値を前記一時的署名データとして生成
するものであり、前記第２の手段は、前記「ｇのｋ乗」
なる値の積をモジュロｐで求め、署名対象のデータｈと
前記「ｇのｋ乗」なる値の積とからモジュロｑで計算し
たハッシュ値ｒと、各署名者計算機が前記乱数ｋと署名
者固有の秘密鍵ｄとからモジュロｑで計算したｓ＝ｋ＋
ｒｄの値ｓの和とを１組にしてディジタル署名データと
して生成するものであることを特徴とする。

【００１０】また、楕円曲線上の点で位数が素数qとな
る点をPとした場合に、各署名者の鍵dおよび署名ごとに
各署名者が生成する乱数A及びKを定数項とする多項式を
生成し、署名者ごとに割当てた変数値を代入した前記多
項式のモジュロｑでの値と前記PのA倍の点APとを署名以
前に署名計算機に登録し、さらに各署名者が自分に割り
振られた変数値を代入して得られた値を署名計算機から
取り出し、前記Aに関する値の和とKに関する値の和のモ
ジュロｑでの積を署名計算機に登録するものであり、前
記第２の手段は、各署名者が計算したAPの和の点を、署
名者ごとに割当てた変数値に応じた係数を乗じた積の和
のモジュロｑでの逆数で除して、署名の値の一部rを生
成し、この値rと鍵dに関する値の和との積を求め、この
積と署名対象データのハッシュ値と和を求め、これとK
に関する値のモジュロｑでの積を署名計算機に一時登録
しておき、署名者ごとに割当てた変数値に応じた係数を
乗じた積の和からディジタル署名の残り部分sをモジュ
ロｑで生成するものであることを特徴とする請求項１に
記載のグループ署名生成システム。

【００１１】また、前記第１の手段は、位数ｐの有限体
を用い、有限体の元で位数が素数ｑとなる点をｇとした
場合に、各署名者の鍵ｄ及び署名ごとに各署名者が生成
する乱数Ａ及びＫを定数項とする多項式を生成し、署名
者ごとに割当てた変数値を代入した多項式の値とモジュ
ロｐで計算したｇのＡ乗ｇ^Aとを署名以前に予め署名計
算機に登録し、さらに各署名者が自分に割当てられた変
数値を代入して得られた値を署名計算機から取り出し
て、Ａに関する値の和とＫに関する値の和のモジュロｑ
での積を署名計算機に登録するものであり、前記第２の
手段は、各署名者が計算したｇ^A（mod ｐ）の積を、署
名者ごとに割当てた変数値に応じた係数を乗じた積の和
のモジュロｑでの逆数の巾乗を求め、署名の値の一部ｒ
を生成し、この値ｒとｄに関する値の和との積を求め、
この積と署名対象データのハッシュ値と和を求め、この
和とＫに関する値のモジュロｑでの積を署名計算機に一
時登録し、署名者ごとに割当てた変数値に応じた係数を
乗じた積の和からディジタル署名の残り部分ｓをモジュ
ロｑで生成するものであることを特徴とする。

【００１２】また、本発明のグループ署名生成方法は、
署名処理に必要な一時的署名データを署名者全員または
一部の署名者の署名処理の実行前に予め生成し、公開す
る第１のステップと、公開された一時的署名データと複
数の署名者の各秘密鍵とを用いた署名処理を実行し、前
記署名対象のデータに対するディジタル署名データを生
成する第２のステップとを備えることを特徴とする。

【００１３】また、楕円曲線上の点で位数が素数ｑとな
る点をＰとした場合に、各署名者の鍵ｄおよび署名ごと
に各署名者が生成する乱数Ａ及びＫを定数項とする多項
式を生成し、署名者ごとに割当てた変数値を代入した前
記多項式のモジュロｑでの値と前記ＰのＡ倍の点ＡＰと
を署名以前に署名計算機に登録するステップと、各署名
者が自分に割り振られた変数値を代入して得られた値を
署名計算機から取り出し、前記Ａに関する値の和とＫに
関する値の和のモジュロｑでの積を署名計算機に登録す
るステップと、各署名者が計算したＡＰの和の点を、署
名者ごとに割当てた変数値に応じた係数を乗じた積の和
のモジュロｑでの逆数で除して、ディジタル署名の値の
一部ｒを生成し、この値ｒと鍵ｄに関する値の和との積
を求め、この積と文書のハッシュ値と和を求め、これと
Ｋに関する値のモジュロｑでの積を署名計算機に一時登
録するステップと、署名者ごとに割当てた変数値に応じ
た係数を乗じた積の和からディジタル署名の残り部分ｓ
を生成するステップとを備えることを特徴とする。

【００１４】また、位数ｐの有限体を用い、有限体の元
で位数が素数ｑとなる点をｇとした場合に、各署名者の
鍵ｄ及び署名ごとに各署名者が生成する乱数Ａ及びＫを
定数項とする多項式を生成し、署名者ごとに割当てた変
数値を代入した多項式の値とｇのＡ乗ｇ^A（mod ｐ）と
を署名以前に予め署名計算機に登録するステップと、各
署名者が自分に割当てられた変数値を代入して得られた
値を署名計算機から取り出して、Ａに関する値の和とＫ
に関する値の和の積を署名計算機に登録するステップ
と、各署名者が計算したｇ^A（mod ｐ）の積を、署名者
ごとに割当てた変数値に応じた係数を乗じた積の和のモ
ジュロｑでの逆数の巾乗を求め、ディジタル署名の値の
一部ｒを生成し、この値ｒとｄに関する値の和との積を
求め、この積と文書のハッシュ値と和を求め、この和と
Ｋに関する値の積を署名計算機に一時登録するステップ
と、署名者ごとに割当てた変数値に応じた係数を乗じた
積の和からディジタル署名の残り部分ｓを生成するする
ステップとを備えることを特徴とする。

【００１５】

【発明の実施の形態】以下、本発明の実施の形態を図面
に従い詳細に説明する。図１は、本発明の一実施形態を
示すシステム全体構成図である。本実施形態は、IEEEに
て標準化中のStandard Specifications for Public Key
Cryptographyに示されている Elliptic Curve Verifica
tion Primitive（Nyberg-Rueppel version）に準拠した
ディジタル署名生成システムである。

【００１６】図１において、１０１は複数の署名者が使
用する署名者計算機であり、署名に必要な署名者固有の
秘密鍵情報ｄｉが保管されている。なお、秘密鍵情報ｄ
ｉはＩＣカードのような他の媒体に格納される場合もあ
る。また、署名者計算機１０１は、署名者ごとに独立し
たものであってもよいし、署名者ごとのＩＣカードを用
意した場合には共通した計算機を用いることができる。

【００１７】１０２はグループ署名データを生成する署
名計算機であり、署名対象データや署名に必要な各種デ
ータ１０２１〜１０２４などを格納している。ここで、
１０２１は署名対象のデータである。１０２２は署名に
必要なデータの一種で、ディジタル署名データの一部と
なる。１０２３は署名生成に必要な一時的署名データで
あり、署名に先立ってそれぞれの署名者計算機１０１が
生成し、署名計算機１０２にネットワーク１０４を介し
て転送したものを格納する。例えば、Ｋ１は１番目の署
名者Ｕ１の署名者計算機が生成、Ｋ２は２番目の署名者
Ｕ２の署名者計算機が生成し、以下同様である。この一
時的署名データ１０２３は、使い捨てデータであり、署
名対象データ１０２１に対する署名生成が終わった後、
次の署名のため、改めてそれぞれの署名者計算機１０１
が生成し、署名計算機１０２に格納する。

【００１８】１０２４は、署名生成に必要なデータｓ１
〜ｓＮであり、１０２１〜１０２３を参照して、ｓ１は
１番目の署名者計算機１０１が生成、ｓ２は２番目の署
名者計算機１０１が生成し、以下同様にそれぞれの署名
者計算機１０１が生成して、署名計算機１０２に格納す
る。

【００１９】１０３は、署名に利用する暗号のパラメー
タを生成して各署名者の署名者計算機１０１と署名計算
機１０２に登録するパラメータ登録計算機である。この
パラメータ登録計算機１０３は、本発明により生成され
たディジタル署名データ（グループ署名データ）を検証
するのに必要な公開鍵を計算し、各署名者計算機１０１
および署名計算機に配布し登録する。

【００２０】１０４は、各計算機１０１，１０２，１０
３を接続するネットワークである。まず、ディジタル署
名データを生成するのに必要なパラメータについて説明
しておく。なお、ここでは、楕円曲線暗号を利用したデ
ィジタル署名方法を用いた場合について説明するが、通
常の有限体での離散対数問題をベースとした署名方法を
用いた場合でも同様に可能である。

【００２１】共通パラメータとして次のものがある。（１）位数ｐの体Ｆｐ（２）Ｆｐ上の楕円曲線（３）楕円曲線上のベース点Ｐの位数ｑ（素数）（４）位数ｑの体Ｆｑ（５）署名者Ｕｉ（ｉは１からＮまで）のパラメータと
して、Ｆｑからランダムに選択した秘密鍵ｄｉ

【００２２】本実施形態では、このようなパラメータを
元に、署名者Ｕｉ（ｉは１からＮまで）の計算機１０１
は、Ｆｑからランダムに自分の秘密鍵ｄｉを選び、安全
な記憶場所に保管する。また、部分公開鍵Ｑｉ＝ｄｉＰ
を公開する。また、署名に必要な乱数ｋｉをＦｑから選
択し、Ｋｉ＝ｋｉＰを一時的署名データとして公開す
る。また、Ｑ＝ΣｉＱｉ＝（Σｉｄｉ（mod ｑ））Ｐを
公開鍵として登録する。

【００２３】各署名者Ｕｉの計算機１０１は、以下の計
算を行い、結果の値ｓｉを公開する。

【００２４】

【数１】

【００２５】ここで、ｈは署名対象データ、もしくはそ
のハッシュ値である。全ての署名者計算機がｓｉを計算
したところで、その和ｓ＝Σｉｓｉ（mod ｑ）を求め、
ｒと合わせてディジタル署名データ（ｒ，ｓ）とする。
図２を用いて、システム構築時に必要な処理について説
明する。なお、図２のステップ２０３を除いてパラメー
タ登録計算機１０３が処理する。

【００２６】まず、ステップ２０１において、署名に使
用するパラメータを決定する。具体的には以下のパラメ
ータを決定する。（１）位数ｐの体Ｆｐ（２）Ｆｐ上の楕円曲線（３）位数ｑが素数となる楕円曲線上のベース点Ｐ（４）位数ｑの体Ｆｑなお、パラメータの決定方法は、本発明の範囲外である
ので省略する。

【００２７】次に、ステップ２０２において、ステップ
２０１で決めたパラメータを署名者計算機１０１と署名
計算機１０２に登録する。パラメータ自体は秘密情報で
はないので暗号化する必要はないが、誤ったパラメータ
が登録されないようにする必要がある。

【００２８】次にステップ２０３において、図３に示す
署名者の登録処理を行う。この処理は主に署名者計算機
１０２にて行う。次に、ステップ２０４において、前記
ステップ２０３において計算された部分公開鍵Ｑ１から
ＱＮの楕円曲線上の和を求め、本発明により生成された
署名を検証するのに必要な公開鍵とし、署名者計算機１
０１および署名計算機１０２に配布、登録する。

【００２９】図３を用いて、図２のステップ２０３の署
名者登録処理を詳しく説明する。ここで、ステップ３０
５を除いて各署名者計算機１０１が処理する。まず、ス
テップ３０１において、秘密鍵ｄｉをＦｑからランダム
に選ぶ。ｄｉは漏洩しないように厳重に管理する。続く
ステップ３０２において、Ｑｉ＝ｄｉＰを楕円曲線上で
求め、部分公開鍵Ｑｉとしてパラメータ登録計算機１０
３に送る。ステップ３０３において、秘密パラメータｋ
ｉをＦｑからランダムに選ぶ。ｋｉは漏洩しないように
厳重に管理する。ステップ３０４において、Ｋｉ＝ｋｉ
Ｐを楕円曲線上で求め、署名計算機１０２に送る。ステ
ップ３０５において、署名計算機１０２はステップ３０
４にて送られてきたＫｉを一時的署名データ１０２３と
して登録する。

【００３０】次に、図４を用いて、署名生成処理全体を
説明する。なお、ステップ４０３を除いて署名計算機１
０１が処理する。まずステップ４０１において、署名計
算機１０１が署名対象データ１０２１を所定の記憶エリ
アに置く。次に、ステップ４０２において、一時的署名
データ１０２３（＝Ｋ１）からＫＮの和（ｘ，ｙ）→
「（＝Ｋ１からＫＮ）の和」を楕円曲線上で求め、さら
にｒ＝Ｘ＋ｈ（mod ｑ）を求めて、署名の一部構成デー
タ１０２２として格納する。ここで、ｈは署名対象デー
タのハッシュ値である。次に、ステップ４０３におい
て、各署名者計算機１０１が図５に示す個別署名処理を
行い、それぞれの処理結果ｓｉをデータ１０２４として
格納する。ここで、署名者計算機１０１の処理順序に特
に決まりはなく、並行に処理を進めても構わない。次
に、ステップ４０４においてｓ１からｓＮの和ｓをＦｑ
上で求める。次にステップ４０５において、データ１０
２２（＝ｒ）とのペア（ｒ，ｓ）をディジタル署名デー
タとして出力する。

【００３１】図５を用いて、各署名者Ｕｉの計算機１０
１が行うステップ４０３の個別署名処理を詳しく説明す
る。なお、ステップ５０５を除いて各署名者計算機１０
１が処理する。まず、ステップ５０１において、一時的
署名データ１０２３（＝Ｋ１からＫＮ）の和（ｘ’，
ｙ’）を楕円曲線上で求め、ｒ’＝ｘ’＋ｈ’（mod
ｑ）を求めて、このｒ’と署名の一部構成データ１０２
２（＝ｒ）とが等しいこと（整合性があること）を確認
する。異なっていれば（整合性がなければ）、異常発生
ということで全体の署名処理を中止する。ここで、ｈ’
は署名対象データ１０２１のハッシュ値である。次に、
ステップ５０２において、秘密鍵ｄｉを使ってｓｉ＝ｋ
ｉ−ｒｄｉ（mod ｑ）をＦｑで求める。次に、ステップ
５０３において、ｓｉを署名計算機１０２に送る。署名
計算機１０２は署名生成に必要なデータ１０２４として
格納する。次に、ステップ５０４において次回署名用に
新たに乱数ｋｉを生成し、Ｋｉ＝ｋｉＰを楕円曲線上で
求めて、署名計算機１０２に送る。このｋｉは漏洩しな
いように厳重に管理する。次に、ステップ５０５におい
て、署名計算機１０２は送られてきたＫｉを一時的署名
データ１０２３として格納する。

【００３２】図６は、以上の処理のうち、特に署名生成
処理の部分だけをまとめて図示したものである。以上説
明したように、本実施形態によれば、１つの署名対象デ
ータに対する署名生成処理は、図５に示す処理の１回だ
けで済み、従来までの二巡する方法に比べて使い勝手が
向上する。また、署名結果そのものの大きさは、署名者
の人数によらず不変であり、また署名の検証処理も人数
によらず不変であるため、転送や蓄積のコストや検証処
理を単純化することができる。

【００３３】次に、第２の実施形態について説明する。
本実施形態は、Schnorr署名として知られているもので
あり、前記の実施形態と大きな差はない。ここでは、Sc
hnorr署名への本発明適用の主要部となる部分だけを説
明する。必要なパラメータは、次の通りである。（１）位数ｐの体Ｆｐ（２）Ｆｐのある元ｇ、その位数ｑ（素数）（３）位数ｑの体Ｆｑまず、各署名者Ｕｉの計算機１０１は、Ｆｑからランダ
ムに自分の秘密鍵ｄｉを選び、安全な記憶場所に保管す
る。また、部分公開鍵Ｑｉを公開する。この部分公開鍵
Ｑｉは、次の「数２」で表される。

【００３４】

【数２】

【００３５】また、署名に必要な乱数ｋｉをＦｑから選
択し、一時的署名データＫｉを公開する。この一時的署
名データＫｉは、次の「数３」で表される。

【００３６】

【数３】

【００３７】また、公開鍵Ｑを登録する。この公開鍵Ｑ
は、次の「数４」で表される。

【００３８】

【数４】

【００３９】各署名者Ｕｉの計算機１０１は以下の計算
を行い、結果のｓｉを公開する。

【００４０】

【数５】

【００４１】ここで、hash（，）は２つの引数を取るハ
ッシュ関数である。全ての署名者計算機１０１がｓｉを
計算したところで、その和ｓ＝Σｉｓｉ（mod ｑ）を求
め、ｒとあわせてディジタル署名データ（ｒ，ｓ）とす
る。

【００４２】次に第３の実施形態について説明する。こ
の第３の実施形態は、Ｎ人全員ではなく、そのうちＭ人
（Ｎ＞Ｍ）だけが署名処理に参加する方法である。ま
ず、全体を簡単に説明し、その後、最初の実施形態と異
なる部分を詳しく説明する。使用するパラメータは、次
の通りである。（１）位数ｐの体Ｆｐ（２）Ｆｐ上の楕円曲線（３）楕円曲線上のベース点Ｐと、その位数ｑ（素数）（４）位数ｑの体Ｆｑまず、Ｆｑ上でｄ，ｄ１からｄＮのＮ＋１個の変数から
なる一次の恒等式を生成する。この恒等式を利用して、
各署名者Ｕｉ（ｉは１からＮまで）の計算機１０１は、
Ｆｑから秘密鍵ｄｉを生成し、安全な記憶場所に保管す
る。また、部分公開鍵Ｑｉ＝ｄｉＰを公開する。また、
署名に必要な乱数ｋｉをＦｑから選択して、Ｋｉ＝ｋｉ
Ｐを公開する。さらに、部分公開鍵Ｑｉから公開鍵Ｑを
計算し、登録、公開する。

【００４３】Ｎ人のうちＭ人の署名者Ｕｉの計算機１０
１は、以下の計算を行い、結果のｓｉを公開する。

【００４４】

【数６】

【００４５】ここで、Ｔｊｉは後述する。また、ｈは署
名対象データ、もしくはそのハッシュ値である。全ての
署名者計算機１０１がｓｉを計算したところで、その和
ｓ＝Σｉｓｉ（mod ｑ）を求め、ｒとあわせてディジタ
ル署名データ（ｒ，ｓ）とする。上記の一次恒等式を生
成するステップは、特願平１０−２７８０１２号で説明
している方法と同じである。一例として、Ｆｑが「位数
７」の体であり、３人のうち２人が署名に参加する場合
を例に挙げて説明する。一次恒等式は、次のように表さ
れる。

【００４６】

【数７】

【００４７】この式の特徴は、左辺は常にｄであり、右
辺の３つの変数のうち１つの変数の係数は「０」であ
り、（ａ３）式は、（ａ１）式と（ａ２）式から導け
る。つまり２倍の（ａ１）式から（ａ２）を引けば（ａ
３）式が得られる点である。Ｔｉｊが上記「数７」の式
の係数を表すものとすると、Ｔ１１＝１、Ｔ１２＝２、
Ｔ１３＝０、Ｔ２１＝２、Ｔ２２＝０、Ｔ２３＝１、Ｔ
３１＝０、Ｔ３２＝４、Ｔ３３＝６となる。また、ｓｉ
を計算する時のＴｉｊはどのＭ人が署名に参加するかに
よって決まる。例えば、Ｕ２とＵ３が参加する場合はｄ
２とｄ３の係数が０でない（ａ３）式の係数Ｔ３１，Ｔ
３２，Ｔ３３を使って計算する。

【００４８】次に、この恒等式を利用して、各署名者Ｕ
ｉ（ｉは１からＮまで）の計算機１０１がＦｑから秘密
鍵ｄｉを生成し、また部分公開鍵Ｑｉ＝ｄｉＰを公開す
る処理について、図７と図８を用いて説明する。まず、
ステップ７０１において、各署名者Ｕｊの計算機１０１
にて、「数７」式を満たすｄｊｉを生成する。なお、各
署名者Ｕｊの計算機とＵｉの計算機とは、同じである。

【００４９】

【数８】

【００５０】とする。ｄは任意の数である。次にステッ
プ７０２において、各ＵｊはｄｊｉをＵｉの計算機１０
１に秘密裏に送る。次に、ステップ７０３において、各
Ｕｉはｄｉ＝Σｊｄｊｉ（mod ｑ）を自分の秘密鍵とす
る。

【００５１】最後に、部分公開鍵Ｑｉから公開鍵Ｑを計
算し、登録、公開するステップの処理について、図８を
用いて説明する。まずステップ８０１において、各署名
者計算機１０１は、各秘密鍵を用いてＱｉを計算、パラ
メータ登録計算機１０３に送る。次に、ステップ８０２
において、部分公開鍵Ｑｉから公開鍵Ｑを計算、全てが
一致することを確認する。すなわち、次の式が成り立つ
ことを確認して、Ｑを公開鍵とする。

【００５２】

【数９】

【００５３】計算は全て楕円曲線上で行う。公開鍵Ｑが
公開された後の処理は、前述の第１、第２の実施形態と
同様の処理によってディジタル署名データを生成する。
これによって、Ｎ人全員ではなく、その中のＭ人の協力
によってディジタル署名データを生成することができ
る。

【００５４】次に、第４の実施形態について説明する。
この第４の実施形態は、次回、次々回といった以降の署
名に必要な秘密情報等の計算、検証を行い、署名処理の
一巡性を実現し、かつ全員が同時に参加しなくても署名
が可能になるようにしたものである。この第４の実施形
態は、楕円曲線暗号を利用したＤＳＡ署名を行う場合
に、以下の方法で署名を生成するものである。なお、通
常の有限体での離散対数問題をベースとした署名方式を
用いた場合でも同様に可能である。

【００５５】(1) 基本パラメータを決定して、署名者、
署名計算機に保持させる。・ｐ、ｑは、大きな素数である。・Ｆｑは、位数がｑの有限体である。・Ｅは、Ｆｑ上の楕円曲線である。・Ｐは、Ｅ上の位数がｑ（素数）となる点である。 (2) 署名者Ｕ_I（Ｉは１からＮまで）は、Ｚｐからラン
ダムに値ｄ_Iを選び秘密鍵とし、安全な場所に保管す
る。また、部分公開鍵Ｐ_I＝ｄ_IＰを公開する。 (3) 署名者Ｕ_Iはｄ_Iを定数項とする多項式ｆ_dI（ｔ）を
利用して、ｆ_dI（Ｊ）（mod ｑ）他をサーバ（署名計算
機）に送る。 (4) 署名者Ｕ_Iは他の署名者が生成したｆ_dJ（Ｉ）（mod
ｑ）他を署名計算機から取出し、正しいデータかを検
証、結果をサーバに送る。 (5) 署名者Ｕ_IはＺｐからランダムにＡ_I、Ｋ_Iを選び、
（３）と同様に他の署名者にｆ_AI（Ｊ）（mod ｑ）とｆ
_KI（Ｊ）（mod ｑ）他を署名計算機に送る。 (6) 署名者Ｕ_Iは他の署名者が生成したｆ_AJ（Ｉ）（mod
ｑ）とｆ_KJ（Ｉ）（modｑ）他を署名計算機から受け取
り、正しいか検証、結果を署名計算機に送る。 (7) 署名者Ｕ_Iは他の署名者の（６）の結果が正しいこ
とを確認した上で、｛Σ_Jｆ_AJ（Ｉ）｝｛Σ_Jｆ
_KJ（Ｉ）｝（mod ｑ）を署名計算機へ送る。これは今回
の署名用のパラメータである。 (8) 署名者Ｕ_IはＡ’_I、Ｋ’_I、Ａ’’_I、Ｋ’’_Iを生
成して、（５）と同様に署名計算機に送る。 (9) 署名者Ｕ_IはＡ’_I、Ｋ’_Iについて、（６）と同様
に検証、結果を署名計算機に送る。以上で、署名処理の準備が終了し、署名処理に入る。

【００５６】(1) 署名者Ｕ_Iは、署名計算機から｛Σ_Jｆ
_AJ（Ｉ）｝｛Σ_Jｆ_KJ（Ｉ）｝（modｑ）を取得して、補
完係数を使って、（Ａ₁＋・・・＋Ａ_N）（Ｋ₁＋・・・
＋Ｋ_N）（mod ｑ）を求める。 (2) 署名者Ｕ_Iは、Ａ₁Ｐ＋…＋Ａ_NＰ＝（Ａ₁＋・・・＋
Ａ_N）Ｐを計算する。 (3) 署名者Ｕ_Iは、ｒ＝ｘ（mod ｑ）（ｘは、(（Ｋ₁＋
…＋Ｋ_N）^-1（mod ｑ）)ＰのＸ座標）を計算する。 (4) 署名者Ｕ_Iは、署名対象文書を取得して、そのハッ
シュ値ｈを計算する。 (5) 署名者Ｕ_Iは、｛ｈ＋ｒｆ_d1（Ｉ）＋…＋ｒｆ
_dN（Ｉ）｝｛ｆ_K1（Ｉ）＋…＋ｒｆ_KN（Ｉ）｝（mod
ｑ）を計算して、結果を署名計算機へ送る。これは部分
署名である。 (6) 準備の（７）と同様に準備の（９）の結果が正しい
ことを確認の上、｛Σ_Jｆ_A'J（Ｉ）｝｛Σ_Jｆ
_K'J（Ｉ）｝（mod ｑ）を署名計算機へ送る。 (7) 署名者Ｕ_IはＡ’’_J、Ｋ’’_Jについて、（６）と
同様に検証、結果を署名計算機に送る。 (8) 署名者Ｕ_Iは準備（８）と同様、Ａ’’’_I、
Ｋ’’’_Iや式を生成、ｆ_A'''I（Ｊ）（mod ｑ）やｆ
_K'''I（Ｊ）（mod ｑ）他を署名計算機に送る。 (9) 署名者全員の署名が確認できたなら、署名計算機
は、署名者の部分署名を補完係数の式に代入する。この
結果をｓとする。署名計算機は、（ｒ，ｓ）を署名とし
て出力する。

【００５７】以下、図面に従い、本実施形態について説
明する。最初に、署名者が三人（Ｕ ₁、Ｕ₂、Ｕ₃とす
る）の場合の説明を行い、最後にｎ人（Ｕ₁からＵ_n）の
場合の変更点の説明を行う。なお、以下の手順は、ユー
ザＵ_Iの処理を示している。Ｉは１〜３であり、それぞ
れが独立して実行する。ただし、同期をとる必要がある
部分に関しては、明示的にその旨を記述してある。

【００５８】図９は本実施形態におけるシステム全体構
成を示す図である。図９において、９０１は署名計算
機、９０２は署名計算機の中の署名対象文書、９０３は
署名に参加する署名者計算機である。９０４は署名の基
本パラメータを生成するパラメータ登録計算機である。
９０５は署名計算機９０１と署名者計算機９０３とパラ
メータ登録計算機９０４を接続するネットワークであ
る。署名者計算機９０３は署名対象文書９０３をダウン
ロードして、署名し、部分署名を署名計算機９０１に送
り、署名計算機９０１は最終の署名を生成する。本実施
形態では、署名に参加する計算機は３台以上必要であ
り、３台以上であれば何台存在しても構わないが、署名
用のパラメータの生成には同時に参加する必要がある。
但し、同期処理を行う個所以外では、それぞれ独立に動
作してよい。

【００５９】まず、本実施形態で実施する秘密分散処理
について説明する。図１０を用いて、署名者U_Iが秘密値
x_Iを分割して他の署名者に渡す手順を示す。最初に３人
の場合について説明する。まず、ステップ１００１にて
Ｕ_Iがｘ_Iを定数項とする一次式ｆ（ｔ）＝ｘ_I＋ｘ_I,1
ｔを生成する。ここで一次の係数ｘ_I,1はランダムに選
択する。次に、ステップ１００２にてＵ_Iは、一次式の
値ｆ（Ｊ）とＦ_I,0＝ｘ_IＰとＦ_I,1＝ｘ_I,1Ｐを計算し
て、署名計算機９０１に送る。送る際にはｆ（Ｊ）は暗
号化してＵ_Jだけがアクセスできるように、Ｆ_I,0やＦ
_I,1は改竄を防止または検出する必要があるが、発明の
本質ではないので、ここでは詳細には触れない。次にス
テップ１００３にてＵ_Jは送られてきたｆ（Ｊ）とＦ_I,0
とＦ_I,1が正しいか検証する。検証するには、ｆ（Ｊ）
Ｐ＝Ｆ_I,0＋ＪＦ_I,1が成り立つことを確認する。ｆ
（Ｊ）＝ｘ_I＋ｘ_I,1Ｊ（mod ｑ）なので、ステップ１
００１と１００２の処理が正しく行われば、等式が成り
立つことが分かる。

【００６０】署名者が５人の場合には、ステップ１００
１では、一次式を二次式ｆ（ｔ）＝ｘ_I＋ｘ_I,1ｔ＋ｘ
_I,2ｔ²とし、ステップ１００２では、Ｆ_I,0＝ｘ_IＰと
Ｆ_I,1＝ｘ_I,1ＰとＦ_I,2＝ｘ_I,2Ｐを計算し、ステップ１
００３では、ｆ（Ｊ）Ｐ＝Ｆ_I,0＋ＪＦ_I,1＋Ｊ²Ｆ_I,2 が成り立つことを確認する。署名者が７人、９人…とな
った場合も同様に、三次式、四次式と次数が増えていく
だけで、処理は同じである。

【００６１】次に、図１１を用いて、システム構築時に
必要なシステム構築処理について説明する。まず、ステ
ップ１１０１にて、署名者の登録処理を行う。この処理
は主に署名者計算機９０３にて行う。詳細は後に記述す
る。続くステップ１１０２において、署名用の基本パラ
メータの生成を行う。この処理は主にパラメータ登録計
算機９０４にて行う。詳細は後述する。次にステップ１
１０３にて、署名鍵の生成処理を行う。この処理は主に
署名者計算機９０３にて行う。詳細は後述する。次にス
テップ１１０４にて、部分署名生成用パラメータの生成
処理を行う。この処理は主に署名者計算機９０３にて行
う。詳細は後述する。

【００６２】次に、図１２を用いて、署名者の登録処理
（図１１のステップ１１０１）について説明する。まず
ステップ１２０１にて、署名者計算機９０３は、グルー
プ署名に参加する旨を、署名計算機９０１とパラメータ
登録計算機９０４に通知する。次のステップ１２０２に
て、この通知を受けたパラメータ登録計算機９０４と署
名計算機９０１は、この計算機９０３を署名者リスト一
覧に加える。このリストは、例えば、パラメータ登録計
算機９０４が、パラメータを配布する際の宛先一覧とし
て使用する。

【００６３】図１３を用いて、図１１のステップ１１０
２の基本パラメータの生成処理について説明する。ま
ず、ステップ１３０１にて、パラメータ登録計算機９０
４は、署名に使用する基本パラメータを決定する。具体
的には以下の基本パラメータを決定する。（１）ｐ、ｑは、大きな素数である。（２）Ｆｑは、位数がｑの有限体である。（３）Ｅは、Ｆｑ上の楕円曲線である。（４）Ｐは、Ｅ上の位数がｑ（素数）となる点である。基本パラメータの決定方法は、本発明の範囲外であるの
で、その説明は省略する。次のステップ１３０２にて、
先に決めた基本パラメータを署名者計算機９０３と署名
計算機９０１に登録する。この場合、基本パラメータ自
体は秘密情報ではないので暗号化する必要はないが、誤
った基本パラメータが登録されないようにする必要があ
る。

【００６４】次に、図１４を用いて、図１１におけるス
テップ１１０３の署名鍵の生成処理処理を説明する。署
名鍵の生成に際しては、署名者ごとに以下の処理を繰り
返す。ここでは、署名者U_Iの署名鍵を生成する場合の処
理を代表して説明する。まず、ステップ１４０１にて、
署名者計算機９０３は、Ｚｐからランダムに値ｄ_Iを選
び、これを秘密鍵とする。これらの秘密鍵の和が、グル
ープの秘密鍵となる。続くステップ１４０２にて、署名
者計算機９０３は、Ｐ_I＝ｄ_IＰを計算し、このＰ_Iを公
開鍵として、他の署名者全員宛として署名計算機９０１
に送る。これらの公開鍵の和が、グループの公開鍵とな
る。続く、ステップ１４０３にて、署名者計算機９０３
は、ステップ１００１と同様に、ｄ_Iを定数項とする一
次式ｆ_dI（ｔ）を生成する。

【００６５】次にステップ１４０４にて、署名者計算機
９０３は、ステップ１００２と同様に、ｆ_dI（Ｊ）（mo
d ｑ）（Ｊ≠Ｉ）をＵ_J宛として、係数のスカラー倍の
Ｐを他の署名者宛として署名計算機９０１に送る。ここ
で、ｆ_dI（Ｊ）（mod ｑ）はＵ_Jだけがアクセスできる
ように暗号化しておき、Ｐのスカラ倍は改竄されないも
しくは改竄検知できるようにする。次にステップ１４０
５にて、署名者計算機９０３は、ステップ１００３と同
様に、ｆ_dJ（Ｉ）（mod ｑ）や係数のスカラー倍を署名
計算機９０１から取出し、正しいか検証する。失敗した
ら、全体の処理を停止する。

【００６６】次にステップ１４０６にて、署名者計算機
９０３は補完係数の合意を行う。これは部分署名の和を
秘密裏に求めるために使う。補完係数とは、二次式ｆ
（ｔ）＝Ｔ₀＋Ｔ₁ｔ＋Ｔ₂ｔ²のｔが１、２、３の値から
Ｆ₀を求める際のｆ（１）、ｆ（２）、ｆ（３）の係数
である。ｆ（１）＝Ｔ₀＋Ｔ₁＋Ｔ₂ ｆ（２）＝Ｔ₀＋２Ｔ₁＋４Ｔ₂ ｆ（３）＝Ｔ₀＋３Ｔ₁＋９Ｔ₂ であるから、Ｔ₀＝３ｆ（１）−３ｆ（２）＋ｆ（３）
となり、補完係数は３、−３、１となる。合意方法とし
ては、一台の署名者計算機９０３が値を決定し、他の署
名者計算機９０３に通知する方法がある。

【００６７】最後に、ステップ１４０７にて、署名計算
機９０１は、各署名者計算機９０３から全ての公開鍵が
取得できていることが確認できた場合、これらの和を計
算し、これをグループの公開鍵として保持する。署名参
加者がＵ１、Ｕ２、Ｕ３の場合は、ＰＵＢ＝Ｐ１＋Ｐ２
＋Ｐ３をグループの公開鍵とする。

【００６８】次に、図１５を用いて、ステップ１１０４
のパラメータ生成に必要な処理について説明する。ここ
では、署名者Ｕ_Iの処理を代表して説明する。まず、ス
テップ１５０１にて、署名者計算機９０３は、Ｚｐから
ランダムな値Ａ_I、Ｋ_I、Ａ’_I、Ｋ’_I、Ａ’’_I、
Ｋ’’_I、を選び、ステップ１００１と同様にこれを定
数項とする一次式ｆ_AI（ｔ）、ｆ_KI（ｔ）、ｆ
_A'I（ｔ）、ｆ_K'I（ｔ）、ｆ_A''I（ｔ）、ｆ_K''I（ｔ）
を生成する。次にステップ１５０２にて、署名者計算機
９０３は、ステップ１００２と同様にｆ_AI（Ｊ）（mod
ｑ）、ｆ_KI（Ｊ）（mod ｑ）、ｆ_A'I（Ｊ）（mod
ｑ）、ｆ_K _'I（Ｊ）（mod ｑ）、ｆ_A''I（Ｊ）（mod
ｑ）、ｆ_K''I（Ｊ）（mod ｑ）をＵ_J宛に、先の一次式
の定数項を含めた一次式の係数倍のＰを他の署名者宛
に、署名計算機９０１に送る。次に、ステップ１５０３
にて、署名者計算機９０１は同期をとる。すなわち、全
ての署名者計算機９０１がステップ１５０２までの処理
が終了したことが確認できてから次のステップに進む。
次にステップ１５０４にて、署名者計算機９０３は、ｆ
_AJ（Ｉ）（mod ｑ）、ｆ_KJ（Ｉ）（mod ｑ）、ｆ
_A'J（Ｉ）（mod ｑ）、ｆ_K'J（Ｉ）（mod ｑ）（Ｊ≠
Ｉ）や係数スカラー倍のＰを署名計算機９０１から取得
し、ステップ１００３と同様に正しいか検証、結果を署
名計算機９０１に送る。次にステップ１５０５にて、署
名者計算機９０３は同期をとる。すなわち、全ての署名
者計算機９０３がステップ１５０４までの処理が終了し
たことが確認できてから次のステップに進む。最後にス
テップ１５０６にて、署名者計算機９０３は、ステップ
１５０４の検証結果が正しいことを確認の上、｛Σ_Jｆ
_AJ（Ｉ）｝｛Σ_Jｆ_KJ（Ｉ）｝（mod ｑ）を署名計算機
９０１へ送る。Ｕ₁の場合は、｛ｆ_A1（１）＋ｆ
_A2（１）＋ｆ_A3（１）｝｛ｆ_K1（１）＋ｆ_K2（１）＋ｆ
_K3（１）｝（mod ｑ）を署名計算機９０１へ送る。

【００６９】次に、図１６を用いて、署名生成手順を説
明する。まず、署名対象文書９０２をｍとおき、ステッ
プ１６０１にて、署名計算機９０１は、ｒを以下の手順
で計算する。署名者計算機９０３は、署名計算機９０１
から、｛Σ_Iｆ_AI（Ｊ）｝｛Σ_Iｆ_KI（Ｊ）｝（mod ｑ）
（Ｊ≠Ｉ）を取得する。Ｕ１の場合は、｛ｆ_A1（２）＋ｆ_A2（２）＋ｆ_A3（２）｝｛ｆ_K1（２）
＋ｆ_K2（２）＋ｆ_K3（２）｝（mod ｑ）と｛ｆ_A1（３）＋ｆ_A2（３）＋ｆ_A3（３）｝｛ｆ_K1（３）
＋ｆ_K2（３）＋ｆ_K3（３）｝（mod ｑ）を取得する。

【００７０】次に、ステップ１４０６で求めた補完係数
を使って、｛３｛ｆ_A1（１）＋ｆ_A2（１）＋ｆ_A3（１）｝｛ｆ
_K1（１）＋ｆ_K2（１）＋ｆ _K3（１）｝ −３｛ｆ_A1（２）＋ｆ_A2（２）＋ｆ_A3（２）｝｛ｆ
_K1（２）＋ｆ_K2（２）＋ｆ_K3（２）｝＋｛ｆ_A1（３）＋ｆ_A2（３）＋ｆ_A3（３）｝｛ｆ
_K1（３）＋ｆ_K2（３）＋ｆ _K3（３）｝｝（mod ｑ）＝
（Ａ１＋Ａ２＋Ａ３）（Ｋ１＋Ｋ２＋Ｋ３）（mod ｑ）を計算する。

【００７１】次に、Ａ₁Ｐ＋Ａ₂Ｐ＋Ａ₃Ｐ＝（Ａ₁＋Ａ₂＋Ａ₃）Ｐを計算し、

【００７２】次に、ｒ＝ｘ（mod ｑ）（但しｘは(（Ｋ₁＋Ｋ₂＋Ｋ₃）^-1（mo
d ｑ）) Ｐ＝（（（Ａ１＋Ａ２＋Ａ３）（Ｋ１＋Ｋ２＋
Ｋ３））^-1（mod ｐ））（Ａ１＋Ａ２＋Ａ３）ＰのＸ座
標）を計算する。

【００７３】次に、ステップ１６０２にて、署名者計算
機９０３は、署名対象文書ｍを署名計算機９０１から取
得する。

【００７４】次にステップ１６０３にて、署名者計算機
９０３は、上記で計算したｒを使って、｛ｈａｓｈ（ｍ）＋ｒｆ_d1（Ｉ）＋ｒｆ_d2（Ｉ）＋ｒｆ
_d3（Ｉ）｝｛ｆ_K1（Ｉ）＋ｆ_K2（Ｉ）＋ｆ_K3（Ｉ）｝
（mod ｑ）を計算して（これをα_Iとする）、結果を署名計算機９
０１へ送る。なお、ｈａｓｈ（ｍ）は、署名対象文書ｍ
のハッシュ値である。Ｕ１の場合は、｛ｈａｓｈ（ｍ）＋ｒｆ_d1（１）＋ｒｆ_d2（１）＋ｒｆ
_d3（１）｝｛ｆ_K1（１）＋ｆ_K2（１）＋ｆ_K3（１）｝
（mod ｑ）となる。

【００７５】次にステップ１６０４にて、署名者計算機
９０３は、ステップ１５０４の他の署名者の検証結果を
確認の後、｛Σ_Jｆ_A'J（Ｉ）｝｛Σ_Jｆ_K'J（Ｉ）｝（mo
d ｑ）を署名計算機９０１に送る。例えば、Ｕ１の場合
は、｛ｆ_A'1（１）＋ｆ_A'2（１）＋ｆ_A'3（１）｝｛ｆ
_K'1（１）＋ｆ_K'2（１）＋ｆ_K'3（１）｝（mod ｑ）と
なる。続くステップ１６０５にて、署名計算機は、ｆ
_A''J（Ｉ）（mod ｑ）やｆ_K''J（Ｉ）（mod ｑ）他を取
出し、ステップ１００３と同様に検証する。Ｕ１の場合
は、ｆ_A'''2（１）（mod ｑ）、ｆ_A'''3（１）（mod
ｑ）、ｆ_K'''2（１）（modｑ）、ｆ_K'''3（１）（mod
ｑ）やこれに関係する係数のスカラー倍を署名計算機９
０１から取得して、検証する。続くステップ１６０６に
て、先のステップの検証結果を署名計算機９０１に送
る。

【００７６】次にステップ１６０７にて、署名者計算機
９０３は、Ａ’’’_IＰ、Ｋ’’’_IＰをランダムに選択
し、ステップ１００１と同様にこれを定数項とする一次
式を生成し、ｆ_A'''I（Ｊ）（mod ｑ）、ｆ_K'''I（Ｊ）
（mod ｑ）をＵ_J宛に、定数項や係数のスカラー倍を他
の署名者宛として署名計算機９０１に送る。署名者全員
が部分署名を行うと、最後に署名計算機９０１にて署名
生成処理が行われる。

【００７７】次に、署名計算機９０１での署名手順を図
１７を用いて説明する。まず、ステップ1701にて、署名
計算機９０１は、ステップ１４０６で求めた補完係数を
使ってｓ＝３α₁−３α₂＋α₃（mod ｑ）＝（ｈａｓｈ（ｍ）＋ｒｄ₁＋ｒｄ₂＋ｒｄ₃）（Ｋ₁＋Ｋ₂＋Ｋ₃）（mod ｑ）＝（ｈａｓｈ（ｍ）＋ｒｄ）（Ｋ₁＋Ｋ₂＋Ｋ₃）（mod ｑ）を計算する。続くステップ１７０２にて、署名計算機９
０１は、署名として（ｒ，ｓ）を出力する。

【００７８】このように本実施形態においては、ステッ
プ１６０４、１６０５、１６０６、１６０７にあるよう
に、次回、次々回、次々々回の署名用に、｛Σ_Jｆ
_AJ（Ｉ）｝｛Σ_Jｆ_KJ（Ｉ）｝（mod ｑ）の計算、デー
タの検証、乱数や式生成を行っている。署名生成と同時
に本処理を行うことで、署名処理の一巡性を実現するこ
とができる。

【００７９】なお、署名者がＮ（奇数）人になった場合
には、以下の点を変更する。以下、変更点について説明
する。ここでＴ＝（Ｎ−１）／２とする。

【００８０】ステップ１４０３の変更点署名者計算機は、Ｔ次式を用いる。詳しくは図１０を用
いて説明済みである。検証処理も同様に変更になる。

【００８１】ステップ１４０６の変更点Ｎ人の場合、補完係数とは、ｆ（ｔ）＝Ｔ₀＋Ｔ₁ｔ＋…＋Ｔ_Nｔ^N のｔが１、２、…、Ｎの値からＦ₀を求める際のｆ
（１）、ｆ（２）、…、ｆ（Ｎ）の係数である。

【００８２】ステップ１５０１、１５０２、１５０４の
変更点式の次数がＴ次となる。

【００８３】ステップ１５０６の変更点Ｎ人の場合、ユーザＵ_Iは、｛ｆ_A1（Ｉ）＋・・・＋ｆ_AN（Ｉ）｝｛ｆ_K1（Ｉ）＋・
・・＋ｆ_KN（Ｉ）｝（mod ｑ）を他の署名者全員宛として署名計算機９０１へ送る。

【００８４】ステップ１６０１の変更点Ｎ人の場合、ユーザＵ_Iのｒの計算手順は以下のように
なる。署名者計算機は９０１は、｛ｆ_A1（１）＋…＋ｆ_AN（１）｝｛ｆ_K1（１）＋…＋ｆ
_KN（１）｝（mod ｑ）、 … ｛ｆ_A1（Ｉ−１）＋…＋ｆ_AN（Ｉ−１）｝｛ｆ_K1（Ｉ−
１）＋…＋ｆ_KN（Ｉ−１）｝（mod ｑ）、｛ｆ_A1（Ｉ＋１）＋…＋ｆ_AN（Ｉ＋１）｝｛ｆ_K1（Ｉ＋
１）＋…＋ｆ_KN（Ｉ＋１）｝（mod ｑ）、 … ｛ｆ_A1（Ｎ）＋…＋ｆ_AN（Ｎ）｝｛ｆ_K1（Ｎ）＋…＋ｆ
_KN（Ｎ）｝（modｑ）、を署名計算機９０１から取得し、補完係数を使った式に
代入する。次にＡ₁Ｐ＋…＋Ａ_NＰ＝（Ａ₁＋・・・＋Ａ_N）Ｐを計算し、最後に、ｒ＝ｘ（mod ｑ）（但しｘ＝(（Ｋ₁
＋・・・＋Ｋ_N）^-1（mod ｑ）)Ｐを計算する。

【００８５】ステップ１６０３の変更点Ｎ人の場合、ユーザＵ_Iの署名処理手順は以下のように
なる。｛ｈａｓｈ（ｍ）＋ｒｆ_d1（Ｉ）＋…＋ｒｆ_dN（Ｉ）｝
｛ｆ_K1（Ｉ）＋…＋ｆ_KN（Ｉ）｝（mod ｑ）を計算して（これをα_Iとする）、結果を署名計算機９
０１へ送る。

【００８６】ステップ１６０４の変更点ユーザＵ_Iは、｛ｆ_A'1（Ｉ）＋・・＋ｆ_A'N（Ｉ）｝｛ｆ_K'1（Ｉ）＋
・・＋ｆ_K'N（Ｉ）｝（mod ｑ）を計算して署名計算機９０１へ送る。

【００８７】ステップ１６０５、１６０７の変更点図１０で説明したようにＴ次式としての処理を行う。

【００８８】次に、ＤＳＡ署名を用いた本発明の第５の
実施形態について説明する。図１８は、この実施形態に
おける全体構成図である。図１８において、１８０１は
署名計算機、１８０２は署名対象の文書データ、１８０
３は署名計算に必要なパラメータや一時データ、１８０
５は署名者計算機１８０６はネットワーク、１８０７は
パラメータ登録計算機である。署名計算機１８０１は署
名対象の文書データ１８０２や署名に必要なパラメータ
や一時データ１８０３を格納する。これらは主に、署名
者計算機１８０５で生成され、署名計算機１８０１に格
納され、必要に応じて署名者計算機１８０５が取り出
す。署名者は署名計算機１８０１を直接利用する。パラ
メータ登録計算機１８０７は暗号のパラメータを算出し
たり、署名者計算機１８０５が計算した鍵を登録してお
く。

【００８９】まず、図１９を用いて、本実施形態で繰り
返し使う秘密数の和の積を計算する方法を説明する。こ
こでは、署名者Ｖ₁が数Ｘ₁と数Ｙ₁を、署名者Ｖ₂が数Ｘ
₂と数Ｙ₂を秘密裏に保持しているときに、Ｘ₁、Ｘ₂、Ｙ
₁、Ｙ₂を秘密にしながら、和の積（Ｘ₁＋Ｘ₂）（Ｙ₁＋
Ｙ₂）を求める方法を説明する。Ｘ₁Ｙ₁とＸ₂Ｙ₂は、Ｖ₁
とＶ₂がそれぞれ計算できる。Ｘ₁Ｙ₂＋Ｘ₂Ｙ₁を求める
方法を以下に説明する。ここでは、Ｘ₁、Ｘ₂、Ｙ₁、Ｙ₂
のビット数が等しく、Ｎビットとする。まず、ステップ
１９０１にて、第一署名者Ｖ₁が使用する署名者計算機
１８０５がビット暗号を求め、署名計算機１８０１に送
る。詳細は後述する。署名計算機１８０１は、受取った
ビット暗号を各種パラメータ、一時データ１８０３とし
て格納する。以下、署名者とその署名者が使用する計算
機を特に区別せずに説明する。次に、ステップ１９０２
にて、第二署名者Ｖ₂がビット暗号積と部分積を求め、
署名計算機１８０１に送る。詳細は後述する。署名計算
機１８０１は、受取ったビット暗号積と部分積を各種パ
ラメータ・一時データ１８０３として格納する。

【００９０】次に、ステップ１９０３にて、第一署名者
Ｖ₁が部分積を求め、署名計算機１８０１に送る。詳細
は後述する。署名計算機１８０１は、受取った部分積を
各種パラメータ・一時データ１８０３として格納する。
次に、ステップ１９０４にて署名計算機１８０１がステ
ップ１９０２とステップ１９０３で得た二つの部分積の
和を求め、（Ｘ₁＋Ｘ₂）（Ｙ₁＋Ｙ₂）を出力する。

【００９１】次に、ステップ１９０１の第一署名者Ｖ₁
がビット暗号を署名計算機１８０１に送る手順について
図２０を用いて説明する。まずステップ２００１にて、
第一秘密数Ｘ₁のビット暗号を署名計算機１８０１に送
る。詳細を以下に述べる。第一に、Ｎ＋１個の乱数
Ｒ_XH、Ｒ_X1、…、Ｒ_XNを生成する。ここで、Ｘ₁の各ビ
ットを下位ビットから順にｂ_X1、ｂ_X2、…、ｂ_XNとす
る。例えばＸ₁＝１０１１…１０とすると、ｂ_X1＝０や
ｂ_X2＝１となる。第二に、ＲＲ_X1＝｛Ｒ_X1｝_V2＋ＲＡＮ
ＤＯＭ（ｂ_X1，１，Ｒ_XH）、…、ＲＲ_XN＝｛Ｒ_XN｝_V2＋
ＲＡＮＤＯＭ（ｂ_XN，Ｎ，Ｒ_XH）を計算し、Ｒ_XHと一緒
にＸ₁のビット暗号として署名計算機１８０３に送る。
ここで、｛Ｄ｝_V2はデータＤを第二署名者Ｖ₂の公開鍵
で暗号化することを示す。ここではＲＳＡ暗号を仮定す
る。ＲＡＮＤＯＭ（）は引数から乱数を生成する関数で
ある。同じ引数からは同じ乱数が生成される。

【００９２】次に、ステップ２００２にて、第二秘密数
Ｙ₁についても同様に、ＲＲ_Y1＝｛Ｒ_Y1｝_V2＋ＲＡＮＤ
ＯＭ（ｂ_Y1，１，Ｒ_YH）、…、ＲＲ_YN＝｛Ｒ_YN｝ _V2＋Ｒ
ＡＮＤＯＭ（ｂ_YN，Ｎ，Ｒ_YH）を計算し、Ｒ_YHと一緒に
Ｙ₁のビット暗号として署名計算機１８０３に送る。ス
テップ１９０２の第二署名者Ｖ₂がビット暗号積と部分
積を署名計算機１８０１に送る手順の詳細について図２
１を用いて説明する。まずステップ２１０１にて、前記
ステップ１９０１において第一署名者Ｖ₁が生成したＸ₁
とＹ₁のビット暗号、ＲＲ_X1、…、ＲＲ_XN、Ｒ_XH、ＲＲ
_Y1、…、ＲＲ _YN、Ｒ_YHを署名計算機１８０１から取りだ
す。

【００９３】続くステップ２１０２にて、ビット暗号か
らビット暗号積を計算して、署名計算機１８０１に送
る。詳細を以下に述べる。

【００９４】第一に、ＲＲ_X1に対してＲＲ０_X1＝｛ＲＲ
_X1‐ＲＡＮＤＯＭ（０，１，Ｒ_XH）｝^V2とＲＲ１_X1＝
｛ＲＲ_X1‐ＲＡＮＤＯＭ（１，１，Ｒ_XH）｝^V2を計算す
る。ここで｛Ｄ｝^V2はＤの復号を示す。ｂ_X1が０ならＲ
Ｒ０_X1＝Ｒ_X1、ｂ_X1が１ならＲＲ１_X1＝Ｒ_X1となる。同
様にして、ＲＲ_X2、…、ＲＲ_YNからＲＲ０_X2、…、ＲＲ
１_YNを計算する。第二に、２Ｎ個の乱数ＲＸ₁、…、Ｒ
Ｘ_N、ＲＹ₁、…、ＲＹ_Nを生成する。第三に、ＲＲＲ０
_X1＝ＲＲ０_X1＋ＲＸ₁、ＲＲＲ１_X1＝Ｙ₂＋ＲＲ１_X1＋Ｒ
Ｘ₁、…、ＲＲＲ０_YN＝ＲＲ０_YN＋ＲＹ_N、ＲＲＲ１_YN＝
Ｘ₂＋ＲＲ１_YN＋ＲＹ_Nを計算し、Ｙ₂Ｘ₁＋Ｘ₂Ｙ₁のビッ
ト暗号積として署名計算機１８０３に送る。

【００９５】次にステップ２１０３にてＸ₂Ｙ₂‐（２⁰
ＲＸ₁＋２⁰ＲＹ₁＋…＋２^N-1ＲＸ_N＋２^N-1ＲＹ_N）を部
分積として署名計算機１８０１に送る。続くステップ２
１０４にて、付加的に乱数スカラ積（２⁰ＲＸ₁＋２⁰Ｒ
Ｙ₁＋…＋２^N‐¹ＲＸ_N＋２^N‐¹ＲＹ_N）Ｐも送る。ここ
で、Ｐはステップ２３０１に示すＰである。

【００９６】次に、ステップ１９０３の第一署名者Ｖ₁
が部分積を求め、署名計算機１８０１に送る手順につい
て図２２を用いて説明する。まず、ステップ２２０１に
て前記ステップ１９０２において第二署名者Ｖ₂が生成
したビット暗号積ＲＲＲ０_X1、…、ＲＲＲ０_YNを署名計
算機から取出す。

【００９７】続くステップ２２０２にて、部分積を計算
し、署名計算機１８０１に送る。詳細は以下の通りであ
る。第一に、ビットｂ_X1が０か１に応じて、（Ｙ₂Ｘ₁）
₁＝ＲＲＲ０_X1‐Ｒ_X1＝ＲＸ₁か（Ｙ₂Ｘ₁）₁＝ＲＲＲ１
_X1‐Ｒ_X1＝Ｙ₂＋ＲＸ₁、とする。同様に、（Ｙ
₂Ｘ₁）₂、…、（Ｙ₂Ｘ₁）_N、（Ｘ₂Ｙ₁）₁、…、（Ｘ₂Ｙ
₁）_Nを求める。第二に、これにビット位置を考慮した和
とＹ₁Ｘ₁との和を求め、部分積として署名計算機１８０
１に送る。すなわち、２⁰（Ｙ₂Ｘ₁）₁＋…＋２^N-1（Ｙ₂
Ｘ₁）_N＋２⁰（Ｘ₂Ｙ₁）₁＋…＋２^N-1（Ｘ₂Ｙ₁）_N＋Ｙ₁
Ｘ₁＝Ｙ₂Ｘ₁＋Ｘ₂Ｙ₁＋２⁰ＲＸ₁＋２⁰ＲＹ₁＋…＋２^N‐
¹ＲＸ_N＋２^N‐¹ＲＹ_N＋Ｙ₁Ｘ₁を送る。ここで、ステッ
プ２１０３の部分積と本部分積の和がＸ₂Ｙ₂＋Ｙ₂Ｘ₁＋
Ｘ₂Ｙ₁＋Ｘ₁Ｙ₁＝（Ｘ₁＋Ｘ₂）（Ｙ₁＋Ｙ₂）である事が
分かる。以上が秘密数の和の積処理の説明である。

【００９８】次に、ＤＳＡ署名方法について説明する。
ここでは三人の署名者Ｕ₁、Ｕ₂、Ｕ ₃の場合を例に挙げ
て説明する。ただし、他の場合でも同様である。まず、
図２３を用いてシステムの構築処理を説明する。ステッ
プ２３０１にて、図２のステップ２０１と同様に署名パ
ラメータを決定する。次に、ステップ２３０２にて図２
のステップ２０２と同様に署名計算機１８０１と署名者
計算機１８０５に署名パラメータを登録する。次にステ
ップ２３０３にて図２４に示す署名者登録処理を署名者
計算機１８０５が行う。

【００９９】署名者登録処理について、図２４を用いて
説明する。まずステップ２４０１にて、各署名者が秘密
鍵ｄ_Iをランダムに選ぶ。例えば、Ｕ₁はｄ₁を選択す
る。次に、ステップ２４０２にて各署名者が公開鍵を計
算し、パラメータ登録計算機１８０７に送る。例えば、
Ｕ₁はＱ₁＝ｄ₁Ｐを計算して、パラメータ登録計算機１
８０７に送る。次に、ステップ２４０３にて初期化処理
（１）を行う。この初期化処理（１）は秘密数の和の積
である「（Ａ₁＋Ａ₂＋Ａ₃）（Ｋ₁＋Ｋ₂＋Ｋ₃）」を求め
る手続きの一部分である。詳細は後述する。次に、ステ
ップ２４０４にて初期化処理（２）を行う。この初期化
処理（２）は秘密数の和の積である「（Ａ₁＋Ａ₂＋
Ａ₃）（Ｋ₁＋Ｋ₂＋Ｋ₃）」を求める手続きの一部分であ
る。詳細は後述する。

【０１００】次にステップ２４０５にて、署名計算機１
８０１が署名パラメータｒを求める。すなわち、ステッ
プ２４０４までの処理で求められた部分積の和を求め、
（Ａ₁＋Ａ₂＋Ａ₃）（Ｋ₁＋Ｋ₂＋Ｋ₃）を得る。さらに
（（（Ａ₁＋Ａ₂＋Ａ₃）（Ｋ₁＋Ｋ₂＋Ｋ₃））^-1（mod
ｑ））（Ａ₁Ｐ＋Ａ₂Ｐ＋Ａ₃Ｐ）＝（（Ｋ₁＋Ｋ₂＋Ｋ₃）
^-1（mod ｑ））Ｐのｘ座標ｒを得る。ここで、Ａ₁Ｐ、
Ａ₂Ｐ、Ａ₃Ｐは初期化処理（ステップ２４０３）にて署
名者計算機１８０５から署名計算機１８０１に送信済み
である。

【０１０１】図２５を用いてステップ２４０３の初期化
処理（１）の詳細を説明する。この初期化処理（１）
は、秘密数の和の積である「（Ａ₁＋Ａ₂＋Ａ₃）（Ｋ₁＋
Ｋ₂＋Ｋ₃）」を求める手続きの一部分である。まず、ス
テップ２５０１にて各署名者が二つ乱数を生成する。例
えば、Ｕ₁はＡ₁とＫ₁を生成する。次に、ステップ２５
０２にて各署名者がビット暗号を署名計算機１８０１に
送る。例えばＵ₁は、ｄ₁とＡ₁のビット暗号とＫ₁のビッ
ト暗号二つを署名計算機１８０１に送る。また、生成し
た乱数とＰとのスカラー積を署名計算機１８０１に送
る。例えばＵ₁はＡ₁ＰとＫ₁Ｐを署名計算機１８０１に
送る。署名計算機１８０１は署名パラメータ・一時デー
タ１８０３として格納する。

【０１０２】次に、図２６を用いてステップ２４０４の
初期化処理（２）の詳細を説明する。この初期化処理
（２）は、秘密数の和の積である「（Ａ₁＋Ａ₂＋Ａ₃）
（Ｋ₁＋Ｋ₂＋Ｋ₃）を求める手続きの一部分である。こ
れまでの登録処理、つまり、ステップ２４０１や２４０
２、２４０３であるステップ２５０１と２５０２は、各
署名者が行い、署名者Ｕ₁、Ｕ₂、Ｕ₃の処理順序は任意
であった。本処理は、署名者の順序によってステップ２
６０１と２６０２と２６０３の処理内容が多少異なって
いる。ここでは、Ｕ₁、Ｕ₂、Ｕ₃の順番で処理を行うと
仮定して、それぞれの署名者でのステップ２６０１と２
６０２と２６０３の処理内容を説明する。

【０１０３】第一署名者Ｕ₁の２６０１、２６０２、２
６０３の内容を図２６を用いて説明する。ステップ２６
０１にて、Ａ₂とＡ₃のビット暗号と、Ｋ₂とＫ₃の一つ目
のビット暗号を署名計算機１８０１から取出す。ステッ
プ２６０２にてＡ₂Ｋ₁＋Ｋ₂Ａ₁のビット暗号積、Ａ₃Ｋ₁
＋Ｋ₃Ａ₁のビット暗号積を署名計算機１８０１に送る。
さらにＡ₂Ｋ₁＋Ｋ₂Ａ₁の部分積とＡ₃Ｋ₁＋Ｋ₃Ａ₁の部分
積と−Ａ₁Ｋ₁の和を署名計算機１８０１に送る。Ａ₁Ｋ₁
を引くのは、二つの部分積のそれぞれにＡ₁Ｋ₁が含まれ
るからである。次に、ステップ２６０３にて次の署名用
の乱数として、Ａ’₁とＫ’₁を生成し、Ａ’₁ＰとＫ’₁
Ｐ、ｄ₁とＡ’₁のビット暗号とＫ’₁のビット暗号二つ
を署名計算機１８０１に送る。

【０１０４】第二署名者の場合について図２６を用いて
説明する。第二署名者Ｕ₂の場合、まず、ステップ２６
０１にてＡ₂Ｋ₁＋Ｋ₂Ａ₁のビット暗号積と、Ａ₃のビッ
ト暗号と、Ｋ₃の一つ目のビット暗号を署名計算機１８
０１から取出す。次に、ステップ２６０２にてＡ₃Ｋ₂＋
Ｋ₃Ａ₂のビット暗号積を署名計算機１８０１に送る。さ
らにＡ₂Ｋ₁＋Ｋ₂Ａ₁の部分積を署名計算機１８０１に送
る。次に、ステップ２６０３にて、次の署名用の乱数と
して、Ａ’₂とＫ’₂を生成し、Ａ’₂ＰとＫ’₂Ｐ、ｄ₂
とＡ’₂のビット暗号とＫ’₂のビット暗号二つを署名計
算機１８０１に送る。

【０１０５】次に、第三署名者の場合について説明す
る。第三署名者Ｕ₃の場合、まず、ステップ２６０１に
て、Ａ₃Ｋ₁＋Ｋ₃Ａ₁のビット暗号積と、Ａ₃Ｋ₂＋Ｋ₃Ａ₂
のビット暗号積を署名計算機１８０１から取出す。次
に、ステップ２６０２にて、Ａ₃Ｋ₁＋Ｋ₃Ａ₁の部分積と
Ａ₂Ｋ₃＋Ｋ₂Ａ₃の部分積と−Ａ₃Ｋ₃との和を署名計算機
１８０１に送る。ここでＡ₃Ｋ₃を引いているのは、二つ
の部分積それぞれにＡ₃Ｋ₃が含まれているからである。
次にステップ２６０３にて、次の署名用の乱数として、
Ａ’₃とＫ’₃を生成、Ａ’₃ＰとＫ’₃Ｐ、ｄ₃とＡ’₃の
ビット暗号とＫ’₃のビット暗号の二つを署名計算機１
８０１に送る。

【０１０６】以上が準備作業である。これから実際の署
名作業について説明する。図２７に署名生成処理の手順
を示している。この署名処理は、署名対象文書に署名す
るごとに繰り返す。まず、ステップ２７０１にて署名計
算機１８０１は、署名対象データ１８０２を格納する。
続くステップ２７０２にて、各署名者が署名処理し、対
象データ署名の部分積や次回署名用や次々回署名用のパ
ラメータや一時データを署名計算機１８０１に送る。詳
細は図２８を用いて説明する。続くステップ２７０３に
て、署名計算機１８０１が、対象データ署名の部分積の
和を求め、ｒと合わせて署名とする。続くステップ２７
０４にて署名計算機１８０１が、前記ステップ２７０２
にて各署名者が生成した次回用署名パラメータの部分積
の和を求め、（Ａ’₁＋Ａ’₂＋Ａ’₃）（Ｋ’₁＋Ｋ’₂
＋Ｋ’₃）（mod ｑ）を得、(（（Ａ’₁＋Ａ’₂＋
Ａ’₃）（Ｋ’₁＋Ｋ’₂＋Ｋ’₃））^-1（mod ｑ）)
（Ａ’₁Ｐ＋Ａ’₂Ｐ＋Ａ’₃Ｐ）＝（（Ｋ’₁＋Ｋ’₂＋
Ｋ’₃）^-1（mod ｑ））Ｐのｘ座標ｒ’を次回用署名パ
ラメータとして得る。

【０１０７】ステップ２７０２の署名者個別処理につい
て図２８を用いて説明する。図２６の処理と同じように
本処理も、署名者の順番によってステップ２８０１と２
８０２と２８０３と２８０４の処理内容が多少異なって
いる。ここでは、Ｕ ₁、Ｕ₂、Ｕ₃の順番で処理を行うと
仮定して、それぞれの署名者でのステップ２８０１と２
８０２と２８０３と２８０４の処理内容を説明する。

【０１０８】第一署名者の場合第一署名者Ｕ₁のステップ２８０１〜２８０４の処理内
容を説明する。まず、ステップ２８０１にて、署名対象
文書１８０２とｒを署名計算機１８０１より得る。さら
に、ｄ₂とｄ₃のビット暗号と、Ｋ₂とＫ₃の二つ目のビッ
ト暗号を署名計算機１８０１から取出す。さらに署名対
象文書１８０２のハッシュ値ｈを求める。ステップ２８
０２にて、ｒｄ₂Ｋ₁＋Ｋ₂（ｒｄ₁＋ｈ）のビット暗号積
とｒｄ₃Ｋ₁＋Ｋ₃（ｒｄ₁＋ｈ）のビット暗号積、二つの
部分積と−（ｒｄ₁＋ｈ）Ｋ₁の和、及び二つのビット暗
号積の乱数スカラ積を署名計算機に送る。「−（ｒｄ₁
＋ｈ）Ｋ₁」を足すのは、二つのビット暗号積に（ｒｄ₁
＋ｈ）Ｋ₁が含まれているからである。ステップ２８０
３にて、次回署名用として、Ａ’₂とＡ’₃のビット暗号
と、Ｋ’₂とＫ’₃の一つ目のビット暗号を署名計算機１
８０１から取出し、Ａ’₂Ｋ’₁＋Ｋ’₂Ａ’₁のビット暗
号積、Ａ’₃Ｋ’₁＋Ｋ’₃Ａ’₁のビット暗号積を署名計
算機１８０１に送り、Ａ’₂Ｋ’₁＋Ｋ’₂Ａ’₁の部分積
とＡ’₃Ｋ’₁＋Ｋ’₃Ａ’₁の部分積と「−Ａ’₁Ｋ’₁」
の和を署名計算機１８０１に送る。ステップ２８０４に
て、次々回の署名用の乱数として、Ａ’’₁とＫ’’₁を
生成し、Ａ’’₁ＰとＫ’’₁Ｐ、ｄ₁とＡ’’₁のビット
暗号とＫ’’₁のビット暗号二つを署名計算機１８０１
に送る。

【０１０９】第二署名者Ｕ₂の場合第二署名者Ｕ₂の場合、ステップ２８０１にて署名対象
文書とｒを署名計算機１８０１より得る。さらに、Ｋ₁
Ｐとｒｄ₂Ｋ₁＋Ｋ₂（ｒｄ₁＋ｈ）のビット暗号積と乱数
スカラ積を取り出す。さらにｄ₃のビット暗号と、Ｋ₃の
二つ目のビット暗号を署名計算機１８０１から取出す。
次にステップ２８０２にて、ｒｄ₂Ｋ₁＋Ｋ₂（ｒｄ₁＋
ｈ）のビット暗号積から部分積を求める。部分積とＰの
スカラ積から乱数スカラ積を引いたものとｒｄ₂（Ｋ
₁Ｐ）＋Ｋ₂（ｒＰ₁＋ｈＰ）が等しいことを確認した
ら、この部分積を署名計算機１８０１に送る。さらにｄ
₃のビット暗号とＫ₃の二つ目のビット暗号から、ｒｄ₂
Ｋ₃＋Ｋ₂ｒｄ₃のビット暗号積と部分積を求め、署名計
算機１８０１に送る。ステップ２８０３にて、次回署名
用として、Ａ’₂Ｋ’₁＋Ｋ’₂Ａ’₁のビット暗号積と、
Ａ’₃のビット暗号と、Ｋ’₃の一つ目のビット暗号を署
名計算機１８０１から取出し、Ａ’₃Ｋ’₂＋Ｋ’₃Ａ’₂
のビット暗号積を署名計算機１８０１に送り、Ａ’
₂Ｋ’₁＋Ｋ’₂Ａ’₁の部分積を署名計算機１８０１に送
る。最後に、ステップ２８０４にて次々回の署名用の乱
数として、Ａ’’₂とＫ’’₂を生成、Ａ’’₂Ｐと
Ｋ’’₂Ｐ、ｄ₂とＡ’’₂のビット暗号とＫ’’₂のビッ
ト暗号の二つを署名計算機１８０１に送る。

【０１１０】第三署名者の場合第三署名者の場合、まず、ステップ２８０１にて署名対
象文書とｒとＫ₁Ｐとｒｄ₃Ｋ₁＋Ｋ₃（ｒｄ₁＋ｈ）のビ
ット暗号積と乱数スカラ積、さらにＫ₂Ｐとｒｄ₂Ｋ₃＋
Ｋ₂ｒｄ₃のビット暗号積を署名計算機１８０１から取り
出す。次に、ステップ２８０２にてｒｄ₃Ｋ₁＋Ｋ₃（ｒ
ｄ₁＋ｈ）のビット暗号積から部分積を求める。部分積
とＰのスカラ積から乱数スカラ積を引いたものとｒｄ₃
（Ｋ₁Ｐ）＋Ｋ₃（ｒＰ₁＋ｈＰ）が等しいことを確認す
る。次にＫ₂Ｐとｒｄ₂Ｋ₃＋Ｋ₂ｒｄ₃のビット暗号積か
ら部分積を求める。部分積とＰのスカラ積から乱数スカ
ラ積を引いたものとｒＫ₃Ｐ₂＋ｒｄ₃（Ｋ₂Ｐ）が等しい
ことを確認する。さらに二つの部分積と（−Ｋ₃ｒｄ₃）
の和を署名計算機１８０１に送る。Ｋ₃ｒｄ₃を引くの
は、二つの部分積にそれぞれ含まれているからである。

【０１１１】ここで各署名者の２８０２で現れた部分積
の和を取ると、 (ｒｄ₂Ｋ₁＋Ｋ₂（ｒｄ₁＋ｈ）＋ｒｄ₃Ｋ₁＋Ｋ₃（ｒｄ₁
＋ｈ）＋ｒｄ₂Ｋ₃＋Ｋ₂ｒｄ₃＋Ｋ₁（ｒｄ₁＋ｈ）＋ｒｄ
₂Ｋ₂＋Ｋ₃ｒｄ₃)（mod ｑ）＝（Ｋ₁＋Ｋ₂＋Ｋ₃）（ｒ
（ｄ₁＋ｄ₂＋ｄ₃）＋ｈ）（mod ｑ）となり、ｒと合わせて署名となることがわかる。

【０１１２】次に、ステップ２８０３にて次回署名用と
して、Ａ’₃Ｋ’₁＋Ｋ’₃Ａ’₁のビット暗号積と、Ａ’
₃Ｋ’₂＋Ｋ’₃Ａ’₂のビット暗号積を署名計算機１８０
１から取出し、Ａ’₃Ｋ’₁＋Ｋ’₃Ａ’₁の部分積とＡ’
₂Ｋ’₃＋Ｋ’₂Ａ’₃の部分積と−Ａ’₃Ｋ’₃との和を署
名計算機１８０１に送る。続くステップ２８０４にて次
々回の署名用の乱数として、Ａ’’₃とＫ’’₃を生成
し、Ａ’’₃ＰとＫ’’₃Ｐ、ｄ₃とＡ’’₃のビット暗号
とＫ’’₃のビット暗号二つを署名計算機１８０１に送
る。

【０１１３】図２９に本実施形態での署名処理における
ステップ２７０２（２８０１〜２８０４）と２７０３、
２７０４の概要を図示している。

【０１１４】以上のように本実施形態においては、署名
をしながら、次回と次々回のパラメータを生成している
ため、各署名者が１回ずつ署名処理すれば全体の署名が
完成するという効果が得られる。また、第４の実施形態
と第５の実施形態でＤＳＡ署名の例を説明したが、第５
の実施形態では第４の実施形態と比較して、署名者数の
柔軟性がある。第４の実施形態では、最低でも三人の参
加者が必要であったが、第５の実施形態では二人でも可
能である。また、第４の実施形態では、参加者の半分弱
の不正者しか許されなかったが、第５の実施形態では参
加者のうち一人でも正しい署名者がいれば署名が偽造さ
れることはないという効果がある。

【０１１５】

【発明の効果】以上説明したように、本発明によれば、
１つの署名対象データに対する署名生成処理は１回だけ
で済み、従来までの二巡する方法に比べて使い勝手が向
上するという効果が得られる。また、署名結果そのもの
の大きさは、署名者の人数によらず不変であり、また署
名の検証処理も人数によらず不変であるため、転送や蓄
積のコストや検証処理を単純化することができるなどの
効果が得られる。

【図面の簡単な説明】

【図１】本発明の一実施形態を示すシステム構成図であ
る。

【図２】システム構築時に行う処理のフローチャートで
ある。

【図３】署名登録処理のフローチャートである。

【図４】署名生成処理の全体を示すフローチャートであ
る。

【図５】各署名計算機が行う個別署名処理を示すフロー
チャートである。

【図６】署名生成処理の概要まとめた説明図である。

【図７】Ｎ人のうちＭ人が協力して署名する場合の一時
的署名データを生成する処理のフローチャートである。

【図８】Ｎ人のうちＭ人が協力して署名する場合に公開
鍵を求めて公開する処理のフローチャートである。

【図９】本発明の第４の実施形態を示すシステム構成図
である。

【図１０】署名者が秘密数を分割して他の署名者に渡す
手順を示すフローチャートである。

【図１１】第４の実施形態においてシステム構築時に行
う処理のフローチャートである。

【図１２】第４の実施形態における署名登録処理のフロ
ーチャートである。

【図１３】第４の実施形態における基本パラメータ生成
処理のフローチャートである。

【図１４】第４の実施形態における署名鍵生成処理のフ
ローチャートである。

【図１５】図１１のステップ１１０４の詳細を示すフロ
ーチャートである。

【図１６】第４の実施形態における署名生成処理の全体
を示すフローチャートである。

【図１７】第４の実施形態における署名計算機での署名
手順を示すフローチャートである。

【図１８】本発明の第５の実施形態を示すシステム構成
図である。

【図１９】第５の実施形態において秘密数の和の積処理
を示すフローチャートである。

【図２０】和の積処理（ステップ１）の詳細を示すフロ
ーチャートである。

【図２１】和の積処理（ステップ２）の詳細を示すフロ
ーチャートである。

【図２２】和の積処理（ステップ３）の詳細を示すフロ
ーチャートである。

【図２３】第５の実施形態におけるシステム構築時の処
理を示すフローチャートである。

【図２４】第５の実施形態における署名者登録処理を示
すフローチャートである。

【図２５】第５の実施形態における初期化処理（１）を
示すフローチャートである。

【図２６】第５の実施形態における初期化処理（２）を
示すフローチャートである。

【図２７】第５の実施形態における署名生成処理を示す
フローチャートである。

【図２８】第５の実施形態における署名者個別処理を示
すフローチャートである。

【図２９】第５の実施形態における署名生成処理の概要
まとめた説明図である。

【符号の説明】

１０１…署名者計算機、１０２…署名計算機、１０３…
パラメータ登録計算機、１０４…ネットワーク、１０２
１…署名対象データ、１０２３…一時的署名データ。

Claims

【特許請求の範囲】

【請求項１】署名対象の１つのデータに対し複数の署
名者の各秘密鍵を用いた署名処理を実行することによっ
て、前記署名対象の１つのデータに対するディジタル署
名データを生成するグループ署名生成システムであっ
て、署名処理に必要な一時的署名データを署名者全員または
一部の署名者の署名処理の実行前に予め生成し、公開す
る第１の手段と、公開された一時的署名データと複数の署名者の各秘密鍵
とを用いた署名処理を実行し、前記署名対象のデータに
対するディジタル署名データを生成する第２の手段とを
備えることを特徴とするグループ署名生成システム。
【請求項２】前記第１の手段は、楕円曲線上の点で位
数が素数ｑとなる点をＰとして、各署名者計算機が生成
した乱数ｋから計算した複数のｋＰを前記一時的署名デ
ータとして生成するものであり、前記第２の手段は、前記ｋＰの楕円曲線上の和を求め、
そのｘ座標ｘと署名対象のデータｈとに基づきモジュロ
ｑで計算したｘ＋ｈに等しい値ｒと、各署名者計算機が
前記乱数ｋと署名者固有の秘密鍵ｄとからモジュロｑで
計算したｓ＝ｋ−ｒｄの値ｓの和とを１組にしてディジ
タル署名データとして生成するものであることを特徴と
する請求項１に記載のグループ署名生成システム。
【請求項３】前記第１の手段は、位数ｐの有限体の元
で位数が素数ｑとなる元をｇとして、各署名者計算機が
生成した乱数ｋからモジュロｐで計算した複数の「ｇの
ｋ乗」なる値を前記一時的署名データとして生成するも
のであり、前記第２の手段は、前記「ｇのｋ乗」なる値の積をモジ
ュロｐで求め、署名対象のデータｈと前記「ｇのｋ乗」
なる値の積とからモジュロｑで計算したハッシュ値ｒ
と、各署名者計算機が前記乱数ｋと署名者固有の秘密鍵
ｄとからモジュロｑで計算したｓ＝ｋ＋ｒｄの値ｓの和
とを１組にしてディジタル署名データとして生成するも
のであることを特徴とする請求項１に記載のグループ署
名生成システム。
【請求項４】前記第１の手段は、楕円曲線上の点で位
数が素数qとなる点をPとした場合に、各署名者の鍵dおよび署名ごとに各署名者が生成する乱
数A及びKを定数項とする多項式を生成し、署名者ごとに
割当てた変数値を代入した前記多項式のモジュロｑでの
値と前記PのA倍の点APとを署名以前に署名計算機に登録
し、さらに各署名者が自分に割り振られた変数値を代入して
得られた値を署名計算機から取り出し、前記Aに関する
値の和とKに関する値の和の積を署名計算機に登録する
ものであり、前記第２の手段は、各署名者が計算したAPの和の点を、署名者ごとに割当て
た変数値に応じた係数を乗じた積の和のモジュロｑでの
逆数で除して、署名の値の一部rを生成し、この値rと鍵
dに関する値の和との積を求め、この積と署名対象デー
タのハッシュ値と和を求め、これとKに関する値のモジ
ュロｑでの積を署名計算機に一時登録しておき、署名者
ごとに割当てた変数値に応じた係数を乗じた積の和から
ディジタル署名の残り部分sをモジュロｑで生成するも
のであることを特徴とする請求項１に記載のグループ署
名生成システム。
【請求項５】前記第１の手段は、位数ｐの有限体を用
い、有限体の元で位数が素数ｑとなる点をｇとした場合
に、各署名者の鍵ｄ及び署名ごとに各署名者が生成する
乱数Ａ及びＫを定数項とする多項式を生成し、署名者ご
とに割当てた変数値を代入した多項式のモジュロｑでの
値とモジュロｐでのｇのＡ乗ｇ^Aとを署名以前に予め署
名計算機に登録し、さらに各署名者が自分に割当てられた変数値を代入して
得られた値を署名計算機から取り出して、Ａに関する値
の和とＫに関する値の和のモジュロｑでの積を署名計算
機に登録するものであり、前記第２の手段は、各署名者が計算したモジュロｐでの
ｇ^Aの積を、署名者ごとに割当てた変数値に応じた係数
を乗じた積の和のモジュロｑでの逆数の巾乗を求め、署
名の値の一部ｒを生成し、この値ｒとｄに関する値の和
との積を求め、この積と署名対象データのハッシュ値と
和を求め、この和とＫに関する値のモジュロｑでの積を
署名計算機に一時登録し、署名者ごとに割当てた変数値
に応じた係数を乗じた積の和からディジタル署名の残り
部分ｓをモジュロｑで生成するものであることを特徴と
する請求項１に記載のグループ署名生成システム。
【請求項６】署名対象の１つのデータに対し複数の署
名者の各秘密鍵を用いた署名処理を実行することによっ
て、前記署名対象の１つのデータに対するディジタル署
名データを生成するグループ署名生成方法であって、署名処理に必要な一時的署名データを署名者全員または
一部の署名者の署名処理の実行前に予め生成し、公開す
る第１のステップと、公開された一時的署名データと複数の署名者の各秘密鍵
とを用いた署名処理を実行し、前記署名対象のデータに
対するディジタル署名データを生成する第２のステップ
とを備えることを特徴とするグループ署名生成方法。
【請求項７】署名対象の１つのデータに対し複数の署
名者の各秘密鍵を用いた署名処理を実行することによっ
て、前記署名対象の１つのデータに対するディジタル署
名データを生成するグループ署名生成方法であって、楕円曲線上の点で位数が素数ｑとなる点をＰとした場合
に、各署名者の鍵ｄおよび署名ごとに各署名者が生成する乱
数Ａ及びＫを定数項とする多項式を生成し、署名者ごと
に割当てた変数値を代入した前記多項式のモジュロｑで
の値と前記ＰのＡ倍の点ＡＰとを署名以前に署名計算機
に登録するステップと、各署名者が自分に割り振られた変数値を代入して得られ
た値を署名計算機から取り出し、前記Ａに関する値の和
とＫに関する値の和のモジュロｑでの積を署名計算機に
登録するステップと、各署名者が計算したＡＰの和の点を、署名者ごとに割当
てた変数値に応じた係数を乗じた積の和のモジュロｑで
の逆数で除して、ディジタル署名の値の一部ｒを生成
し、この値ｒと鍵ｄに関する値の和との積を求め、この
積と文書のハッシュ値と和を求め、これとＫに関する値
のモジュロｑでの積を署名計算機に一時登録するステッ
プと、署名者ごとに割当てた変数値に応じた係数を乗じた積の
和からディジタル署名の残り部分ｓをモジュロｑで生成
するステップとを備えることを特徴とするグループ署名
生成方法。
【請求項８】署名対象の１つのデータに対し複数の署
名者の各秘密鍵を用いた署名処理を実行することによっ
て、前記署名対象の１つのデータに対するディジタル署
名データを生成するグループ署名生成方法であって、位数ｐの有限体を用い、有限体の元で位数が素数ｑとな
る点をｇとした場合に、各署名者の鍵ｄ及び署名ごとに各署名者が生成する乱数
Ａ及びＫを定数項とする多項式を生成し、署名者ごとに
割当てた変数値を代入した多項式のモジュロｑでの値と
モジュロｐでのｇのＡ乗ｇ^Aとを署名以前に予め署名計
算機に登録するステップと、各署名者が自分に割当てられた変数値を代入して得られ
た値を署名計算機から取り出して、Ａに関する値の和と
Ｋに関する値の和のモジュロｑでの積を署名計算機に登
録するステップと、各署名者が計算したｇ^Aのモジュロｐでの積を、署名者
ごとに割当てた変数値に応じた係数を乗じた積の和のモ
ジュロｑでの逆数の巾乗を求め、ディジタル署名の値の
一部ｒを生成し、この値ｒとｄに関する値の和との積を
求め、この積と文書のハッシュ値と和を求め、この和と
Ｋに関するモジュロｑでの値の積を署名計算機に一時登
録するステップと、署名者ごとに割当てた変数値に応じた係数を乗じた積の
和からディジタル署名の残り部分ｓをモジュロｑで生成
するするステップとを備えることを特徴とするグループ
署名生成方法。