JP2002543478A

JP2002543478A - 公開鍵を署名する方法とシステム

Info

Publication number: JP2002543478A
Application number: JP2000616162A
Authority: JP
Inventors: パタラン，ジヤツク; キプニス，アビアド; グバン，ルイ
Original assignee: ブル・セー・ペー・８
Priority date: 1999-04-29
Filing date: 2000-04-28
Publication date: 2002-12-17
Anticipated expiration: 2020-04-28
Also published as: EP1049289A1; DK1049289T3; IL135647A0; HK1039004B; DE69920875D1; CN1314040A; EP1049289B1; ES2230814T3; JP2005253107A; IL135647A; DE69920875T2; AU4602800A; JP4183387B2; BR0006085A; HK1039004A1; AU774346B2; WO2000067423A1; BRPI0006085B1; CN1285191C; US7100051B1

Abstract

(57)【要約】本発明はディジタル署名のための暗号方法を提供する。ｋ個の多項式関数Ｐ_ｋｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋから成る集合Ｓ１が公開鍵として供給されるが、ここで、ｋ、ｖ及びｎは整数であり、ｘ_１，．．．，ｘ_ｎ＋ｖは第１にタイプのｎ＋ｖ個の変数であり、ｙ_１，．．．，ｙ_ｋは第２のタイプのｋ個の変数であり、集合Ｓ１は、ｋ個の多項式関数Ｐ’_ｋａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋから成る所与の集合Ｓ２に対して秘密鍵演算を応用することによって得られ、ａ_１，．．．，ａ_ｎ＋ｖはｎ個の「油」変数とｖ個の「酢」変数から成る集合を含むｎ＋ｖ個の変数を示している。署名されるメッセージが提供され、ハッシュ関数に提供されて、ｋ個の値の列ｂ_１，．．．，ｂ_ｋを発生する。これらのｋ個の値は集合Ｓ２のｋ個の変数ｙ_１，．．．，ｙ_ｋの代わりに導入されて、ｋ個の多項式関数Ｐ’’_ｋａ_１，．．．，ａ_ｎ＋ｖから成る集合Ｓ３を発生させ、また、ｖ個の値ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖがｖ個の「酢」変数に対して選択される。式Ｐ’’_ｋａ_１，．．．，ａ_ｎ＋ｖ＝０の集合を解いてａ’_１，．．．，ａ’_ｎの解法を得て、秘密鍵演算を応用して、この解をディジタル署名に変換する。

Description

【発明の詳細な説明】

【０００１】（技術分野）本発明は一般的には暗号に関し、より特定的には公開鍵暗号に関する。

【０００２】（背景技術）最初の公開鍵暗号スキームは１９７５年に導入された。それ以来、多くの公開
鍵スキームが開発されて公開されてきた。多くの公開鍵スキームは整数ｎ（ここ
で、ｎは一般的には５１２ビットと１０２４ビットの間にある）を法とした算術
計算を必要とする。

【０００３】ビット数ｎの値が比較的大きいため、このような公開鍵スキームは、動作が比
較的遅く、ランダムアクセスメモリー（ＲＡＭ）や他の計算リソースを大いに消
費するものと考えられている。これらの問題は、スマートカードという応用分野
などの計算リソースが制限されている応用分野では特に緊急の課題である。した
がって、これらの問題を克服するために、ｎを法とした算術計算をあまり必要と
しない他の公開鍵スキームファミリーが開発されてきた。これらの他のファミリ
ーの中には、公開鍵がｋ個の多変数の多項式の集合として比較的小さい、例えば
２と２^６４という数学的有限体にわたって与えられるスキームがある。

【０００４】このｋ個の多変数多項式の集合は次のように書くことが可能である：ｙ_１＝Ｐ_１（ｘ_１，．．．ｘ_ｎ）ｙ_２＝Ｐ_２（ｘ_１，．．．ｘ_ｎ）．．．ｙ_ｋ＝Ｐ_ｋ（ｘ_１，．．．ｘ_ｎ）ここで、Ｐ_１，．．．，Ｐ_ｋは、小さい総次数、一般的には８以下、多くの場
合においては正確に２という次数の多変数多項式である。

【０００５】このようなスキームの例には、Ｔ．ＭａｔｓｕｍｏｔｏとＨ．ＩｍａｉのＣ^＊スキーム、ＪａｃｑｕｅＰａｔａｒｉｎのＨＦＥスキーム及びＪａｃｑｕｅ
Ｐａｔａｒｉｎの「油と酢」スキームの基本形態がある。

【０００６】Ｃ^＊スキームは、Ｓｐｒｉｎｇｅｒ出版社、ＥＵＲＯＣＲＹＰＴ’８８の議事
録、４１９〜４５３ページの「効果的な署名検証とメッセージ暗号化のための公
開二次式」という題名の記事に説明されている。ＨＦＥスキームは、Ｓｐｒｉｎ
ｇｅｒ出版社、ＥＵＲＯＣＲＹＰＴ’９６の議事録の３３〜４８ページの「隠蔽
体式（ＨＦＥ）と多項式（ＩＰ）の同形：非対称的アルゴリズムの新しい２つの
ファミリー」という題名の記事に説明されている。ＪａｃｑｕｅＰａｔａｒｉ
ｎの「油と酢」スキームの基本的形態は１９９７年９月の暗号に関するＤａｇｓ
ｔｕｈｌＷｏｒｋｓｈｏｐに提出された「油と酢署名スキーム」という題名の
記事に説明されている。

【０００７】しかしながら、Ｃ^＊スキームと「油と酢」スキームの基本的形態とは、Ｃ^＊ス
キームと「油と酢」スキームの基本的形態とが双方共見つかってしまい、Ｓｐｒ
ｉｎｇｅｒ出版社ＬＮＣＳｎ°１４６２、ＣＲＹＰＴＯ’９８の議事録の２５
７〜２６６ページの「油と酢署名スキームの暗号分析」という題名の記事中に公
開されているという点で安全保障されていないことが分かっている。ＨＦＥスキ
ームの構成の弱点は「ＨＦＥ公開鍵暗号システム」と「隠蔽体式（ＨＦＥ）の実
際の暗号分析」という題名の２つの記事中に記載されているが現在のところ、Ｈ
ＦＥスキームは機密漏洩されているとは考えられてはいないがその理由は、良好
に選択され、いまだ根拠あるパラメータの場合、ＨＦＥスキームを解読するため
に必要な計算の回数はそれでも多量なものであるからである。

【０００８】関連技術の一部の態様が次の刊行物に記載されている：Ｓｈａｍｉｒに対する米国特許第５，２６３，０８５号に、ｍを未知数、ａを
法、ｎを合成数としたｋ個の多項式から成るシステムを解く困難さに基づいたセ
キュリティを持つ新しいタイプのディジタル署名スキームが記載されており；Ｓｈａｍｉｒに対する米国特許第５，３７５，１７０号には、小さい鍵を有し
、算術演算をほとんど必要としない新しいクラスの双有理順列に基づいた新規な
ディジタル署名スキームが記載されている。

【０００９】上記の全ての参照文献と本明細書の開示はここに参照して組み込まれるもので
ある。

【００１０】（発明の開示）本発明は、公開鍵をｋ個の多変数多項式の集合として、一般的には有限の数学
体Ｋにわたって与えるディジタル署名暗号スキームのセキュリティを向上させる
ことを追求する。本発明は、特に、「油と酢」スキームとＨＦＥスキームという
基本的形態のセキュリティを向上させることを追求する。本発明に従ってセキュ
リティを向上させるように修正された「油と酢」スキームは本書では不平衡「油
と酢」（ＵＯＶ）スキームと呼ばれる。本発明に従ってセキュリティを向上させ
るように修正されたＨＦＥスキームは本書ではＨＦＥＶスキームと呼ばれる。

【００１１】本発明においては、ｋ個の多項式関数の集合Ｓ１は公開鍵として供給される。
集合Ｓ１は、関数Ｐ_１（ｘ_１，．．．，ｘ_ｎ＋ｖ、ｙ_１，．．．，ｙ_ｋ），．．
．，Ｐ_ｋ（ｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ）を含むことが好まし
いが、ここで、ｋ、ｖ及びｎは整数であり、ｘ_１，．．．，_ｘｎ＋ｖは第１のタ
イプのｎ＋ｖ個の変数であり、ｙ_１，．．．，ｙ_ｋは第２のタイプのｋ個の変数
である。集合Ｓ１は秘密鍵演算をｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ_ｎ _＋ｖ、ｙ_１，．．．ｙ_ｋ），．．．Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．
．．，ｙ_ｋ）に対して応用することによって得ることが好ましいが、ここで、ａ _１，．．．，ａ_ｎ＋ｖはｎ個の「油」変数ａ_１，．．．，ａ_ｎから成る集合とｖ
個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖから成る集合を含むｎ＋ｖ個の変数
である。秘密鍵演算はｎ＋ｖ個の変数ａ_１，．．．，ａ_ｎ＋ｖに対する秘密アフ
ァイン変換ｓを含むことがあることが理解されよう。

【００１２】署名すべきメッセージが提供されると、ハッシュ関数がそのメッセージに対し
て応用されてｋ個の値から成る列ｂ_１，．．．，ｂ_ｋを発生する。このｋ個の変
数から成る列ｂ_１，．．．，ｂ_ｋをそれぞれ集合Ｓ２の変数ｙ_１，．．．，ｙ_ｋの代わりに用いてｋ個の多項式関数Ｐ’’_１（ａ_１，．．．，ａ_ｎ＋ｖ），．．
．，Ｐ’’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ）から成る集合Ｓ３を発生するのが好ま
しい。次に、ｖ個の値ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖをランダムに又は所定の
選択アルゴリズムに従ってｖ個の「酢」変数値ａ_ｎ＋１，．．．，ａ_ｎ＋ｖに対
して選択する。

【００１３】ひとたびｖ個の変数ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖが選択されると、式Ｐ’
’_１（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０，．．．，
Ｐ’’_ｋ（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０の集合
を解いて、ａ’_１，．．．，ａ’_ｎの解を得るのが好ましい。次に、秘密鍵演算
を応用してａ’_１，．．．，ａ’_ｎ＋ｖをディジタル署名ｅ_１，．．．，ｅ_ｎ＋ _ｖに変換する。

【００１４】このように発生したディジタル署名ｅ_１，．．．，ｅ_ｎ＋ｖは、例えばコンピ
ュータ又はスマートカードを含む検証器によって検証される。ディジタル署名を
検証するために、検証器は、署名ｅ_１，．．．，ｅ_ｎ＋ｖ、メッセージ、ハッシ
ュ関数及び公開鍵を得るのが好ましい。次に、検証器はハッシュ関数をメッセー
ジに対して応用してｋ個の値の列ｂ_１，．．．，ｂ_ｋを発生する。ひとたびｋ個
の値ｂ_１，．．．，ｂ_ｋが発生すると、検証器は式Ｐ_１（ｅ_１，．．．，ｅ_ｎ＋ _ｖ，ｂ_１，．．．，ｂ_ｋ）＝０，．．．，Ｐ_ｋ（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０が満足されることを検証することによってディジタル署名
を検証するのが好ましい。

【００１５】このようにして、本発明による好ましい実施形態は、ｋ個の多項式関数の集合
Ｓ１を公開鍵として供給するステップであり、前記集合Ｓ１は関数Ｐ_１（ｘ_１，
．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ_ｋ（ｘ_１，．．．，ｘ_ｎ _＋ｖ，ｙ_１，．．．，ｙ_ｋ）を含み、ここで、ｋ、ｖ及びｎは整数であり、ｘ_１，．．．，ｘ_ｎ＋ｖは第１のタイプのｎ＋ｖ個の変数であり、ｙ_１，．．．，ｙ _ｋは第２のタイプのｋ個の変数であり、集合Ｓ１は秘密鍵演算をｋ個の多項式関
数Ｐ’_１（ａ_１，．．．，ａ_ｎ＋ｖ，．．．，ｙ_１，．．．，ｙ_ｋ），．．．，
Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，．．．，ｙ_ｋ）から成る集合Ｓ２に応用する
ことによって得られるがここで、ａ_１，．．．，ａ_ｎ＋ｖは、ｎ個の「油」変数
ａ_１，．．．，ａ_ｎの集合とｖ個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖから
成る集合を含むｎ＋ｖ個の変数である、前記ステップと；署名されるメッセージ
を提供するステップと；ハッシュ関数をこのメッセージに対して応用してｋ個の
値の列ｂ_１，．．．，ｂ_ｋを発生するステップと；集合Ｓ２の変数ｙ_１，．．．
，ｙ_ｋを置換してそれぞれｋ個の値の列ｂ_１，．．．，ｂ_ｋを導入して、ｋ個の
多項式関数Ｐ’’_１（ａ_１，．．．，ａ_ｎ＋ｖ），．．．，Ｐ’’_ｋ（ａ_１，．
．．，ａ_ｎ＋ｖ）から成る集合Ｓ３を発生するステップと；ｖ個の「酢」変数ａ _ｎ＋１，．．．，ａ_ｎ＋ｖに対してｖ個の値ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖを
選択するステップと；式Ｐ’’_１（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，
ａ’_ｎ＋ｖ）＝０，．．．，Ｐ’’_ｋ（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．
．，ａ’_ｎ＋ｖ）＝０から成る集合を解いてａ’_１，．．．，ａ’_ｎの解法を得
るステップと；秘密鍵演算を応用してａ’_１，．．．，ａ’_ｎ＋ｖをディジタル
署名ｅ_１，．．．，ｅ_ｎ＋ｖに変換するステップと；を含むディジタル署名暗号
方法を提供する。

【００１６】この方法はまたディジタル署名を検証するステップを含むのが好ましい。この
検証ステップは：署名ｅ_１，．．．，ｅ_ｎ＋ｖ、メッセージ、ハッシュ関数及び
公開鍵を得るステップと；ハッシュ関数をメッセージに対して応用してｋ個の値
の列ｂ_１，．．．，ｂ_ｋを発生するステップと；式Ｐ_１（ｅ_１，．．．，ｅ_ｎ＋ _ｖ，ｂ_１，．．．，ｂ_ｋ）＝０，．．．，Ｐ_ｋ（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０が満足されることを検証するステップと；を含むのが好ま
しい。

【００１７】この秘密鍵演算はｎ＋ｖ個の変数ａ_１，．．．，ａ_ｎ＋ｖに対する秘密アファ
イン変換ｓのステップを含むのが好ましい。

【００１８】集合Ｓ２はＨＦＥＶスキームのｋ個の多項式関数から成る集合ｆ（ａ）を含む
のが好ましい。このような場合、集合Ｓ２は単変量多項式から誘導されたｋ個の
関数を含む式を含むのが好ましい。単変量多項式は１００，０００以下の次数の
単変量多項式を含むのが好ましい。

【００１９】代替例として、集合Ｓ２はＵＯＶスキームのｋ個の多項式関数から成る集合Ｓ
を含む。

【００２０】上記の供給ステップはｖ個の「酢」変数をｎ個の「油」変数より大きくなるよ
うに選択するステップを含むのが好ましい。ｖは、ｑ^ｖが２^３２より大きくなる
ように選択されるが、ここで、ｑは有限体Ｋのエレメントの数である。

【００２１】本発明の好ましい実施形態によれば、上記の供給ステップは、集合Ｓ２の内の
ｋ個の多項式関数から成るサブ集合Ｓ２’から集合Ｓ１を得るステップを含んで
いるが、このサブ集合Ｓ２’の特性は、ｋ個の多項式関数Ｐ’_１（ａ_１，．．．
，ａ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，．．．，ｙ_１，．．．，ｙ_ｋ）中のｙ_１，．．．，ｙ_ｋという変数のいずれか
を含む成分の係数でもすべてがゼロであり、また、「酢」変数の数ｖが「油」変
数の数ｎより大きいことにある。

【００２２】集合Ｓ２はＵＯＶスキームのｋ個の多項式関数から成る集合Ｓを含み、また、
「酢」変数の数ｖが、次の条件：すなわち（ａ）次数の「油と酢」スキーム中の
体Ｋの２以外の各特性ｐに対して、ｖが不等式ｑ^{（ｖ−ｎ）−１＊}ｎ^４＞２^４０となることと、（ｂ）次数３の「油と酢」スキーム中のｐ＝２に対して、ｖがｎ ^＊（１＋ｓｑｒｔ（３））であり、ｎ^３／６以下であることと、（ｃ）次数３の
「油と酢」スキーム中の２以外の各ｐに対して、ｖがｎより大きく、ｎ^４以下で
あること、の内の１つを満足するように選択されるのが好ましい。「酢」変数の
数ｖは、次数２の「油と酢」スキーム中の体Ｋの特性ｐ＝２に対して不等式ｖ＜
ｎ^２、ｑ^{（ｖ−ｎ）−１＊}ｎ^４＞２^４０を満足するように選択されるのが好まし
い。

【００２３】また本発明の好ましい実施形態によれば、「油と酢」方法の改善が提供される
が、この改善は「油」変数より多い数の「酢」変数を用いるステップを含んでい
る。「酢」変数の数ｖは、次に条件：すなわち（ａ）体Ｋの２以外の各特性ｐと
次数２の「油と酢」署名方法に対して、ｖが不等式ｑ^{（ｖ−ｎ）−１＊}ｎ^４＞２ ^４０を満足することと、（ｂ）ｐ＝２と次数３の「油と酢」署名方法に対して、
ｖがｎ^＊（１＋ｓｑｒｔ（３））より大きくｎ^３／６以下であるということと、
（ｃ）２以外の各ｐと次数３の「油と酢」署名方法に対して、ｖがｎより大きく
、また、ｎ^４以下であること、の内の一方を満足する用に選択されるのが好まし
い。「酢」変数の数ｖは、次数２の「油と酢」スキーム中の体Ｋの特性ｐ＝２に
対して不等式ｖ＜ｎ^２とｑ^{（ｖ−１）−１＊}ｎ^４＞２^４０を満足するように選択
されるのが好ましい。

【００２４】本発明は次の図面と共に以下の詳細な説明を読めばより完全に理解されよう。

【００２５】ＡＰＰＥＮＤＩＸＩは、ＥＵＲＯＶＲＹＰＴ’９９の議事録中のＳｐｒｉｎ
ｇｅｒ出版社による出版用に提出されたＡｖｉａｄＫｉｐｎｉｓ、Ｊａｃｑｕ
ｅＰａｔａｒｉｎ及びＬｏｕｉｓＧｏｕｂｉｎによる、ＵＯＶスキームとＨ
ＦＥＶスキームの変量を説明している記事である。

【００２６】（発明を実施するための最良の形態）メッセージに対してディジタルを発生してこれを検証するシステム１０、すな
わち本発明のある好ましい実施形態に従って構成され動作するシステム１０の好
ましい実現例の略ブロック図である図１をここで参照する。

【００２７】システム１０は、スマートカードリーダー２５を介してスマートカード２０と
通信する、汎用コンピュータなどのコンピュータ１５を含むのが好ましい。コン
ピュータ１５は、通信バス４０を介して互いに通信するディジタル署名発生器３
０とディジタル署名検証器３５を含むのが好ましい。スマートカード２０は、通
信バス５５を介して互いに通信するディジタル署名発生器４５とディジタル署名
検証器５０を含むのが好ましい。

【００２８】一般的な公開鍵署名スキーム応用分野では、メッセージの署名器と署名済みメ
ッセージの受領器とが、公開された公開鍵と用いられるハッシュ関数とに関して
一致することが理解されよう。ハッシュ関数が機密漏洩している場合、署名器と
受領器はハッシュ関数を変更することに同意する。公開鍵の発生器は署名器でも
受領器でもある必要がないことが理解されよう。

【００２９】ディジタル署名検証器３５は、ディジタル署名発生器３０とディジタル署名発
生器４５の内の一方によって発生される署名を検証するのが好ましい。同様に、
ディジタル署名検証器５０は、ディジタル署名発生器３０とディジタル署名発生
器４５の内の一方によって発生した署名を検証する。

【００３０】第１のプロセッサ（図示せず）中でメッセージに対するディジタル署名を発生
する好ましいディジタル署名暗号方法の略フローチャートの図２Ａと、第２のプ
ロセッサ（図示せず）中で図２Ａのディジタル署名を検証する好ましいディジタ
ル署名暗号方法の略フローチャートである図２Ｂをここで参照すると、図２Ａと
２Ｂの方法は、本発明のある好ましい実施形態に従って動作することが分かる。

【００３１】図２Ａと２Ｂの方法はハードウエア、ソフトウエアまたはハードウエアとソフ
トウエアを組み合わせて実現され得ることが理解されよう。さらに、第１のプロ
セッサと第２のプロセッサは同一である。代替例として、本方法は、第１のプロ
セッサが例えばコンピュータ１５中で機密漏洩しており、第２のプロセッサがス
マートカード２０中で機密漏洩している、又はこの逆である図１のシステム１０
によって実現されている。

【００３２】図２Ａと２Ｂの方法及び図２Ａと２Ｂの方法の応用例が、本書に組み込まれて
いるＡＰＰＥＮＤＩＸＩに記載されている。図２Ａと２Ｂの方法の応用例は、
「油と酢」スキームとＨＦＥスキームの基本的形態を修正し、これによってそれ
ぞれＵＯＶとＨＦＥＶを発生するために採用されたりする。

【００３３】ＡＰＰＥＮＤＩＸＩに、１９９９年５月２〜６日に予定されていたＥＵＲＯ
ＣＲＹＰＴ’９９の議事録中のＳｐｒｉｎｇｅｒ出版社による出版のために提出
されたＡｖｉａｄＫｉｐｎｉｓ、ＪａｃｑｕｅＰａｔａｒｉｎｋ、Ｌｏｕｉ
ｓＧｏｕｂｉｎによる未出版の記事が含まれている。ＡＰＰＥＮＤＩＸＩに
含まれているこの記事はまた、小さい署名を持つＵＯＶスキームとＨＦＥＶスキ
ームの変更例を記載している。

【００３４】図２Ａのディジタル署名暗号方法においては、ｋ個の多項式関数から成る集合
Ｓ１は、例えば図１の発生器３０や図１の発生器４５や外部公開鍵発生器（図示
せず）であったりする公開鍵（図示せず）の発生器によって公開鍵として供給す
るのが好ましい（ステップ１００）。

【００３５】集合Ｓ１は、関数Ｐ_１（ｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．
．．，Ｐ_ｋ（ｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ）を含むのが好まし
いが、ここで、ｋ、ｖ及びｎは整数であり、ｘ_１，．．．，ｘ_ｎ＋ｖは第１のタ
イプのｎ＋ｖ個の変数であり、ｙ_１，．．．，ｙ_ｋは第２のタイプのｋ個の変数
である。集合Ｓ１は、秘密鍵演算をｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ _ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ _１，．．．，ｙ_ｋ）から成る集合Ｓ２に対して応用することによって得るのが好
ましいが、ここで、ａ_１，．．．，ａ_ｎ＋ｖは、ｎ個の「油」変数ａ_１，．．．
，ａ_ｎから成る集合とｖ個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖから成る集
合を含むｎ＋ｖ個の変数である。この秘密鍵演算はｎ＋ｖ個の変数ａ_１，．．．
，ａ_ｎ＋ｖに対する秘密アファイン変換ｓを含むことがあることが理解されよう
。

【００３６】「油」変数と「酢」変数という用語は、１９９７年９月の暗号学に関するＤａ
ｇｓｔｕｈｌＷｏｒｋｓｈｏｐで提示された「油と酢署名スキーム」という題
名の上記の記事に記載されているＪａｃｑｕｅＰａｔａｒｉｎの「油と酢」ス
キームの基本的形態で定義されているような「油と酢」変数のことである。

【００３７】署名されるメッセージが提供される（ステップ１０５）と、署名器はハッシュ
関数をそのメッセージに応用して、ｋ個の値の列ｂ_１，．．．，ｂ_ｋを発生する
（ステップ１１０）のが好ましい。署名器は、例えば、図１の発生器３０であっ
たり発生器４５であったりする。ｋ個の値の列ｂ_１，．．．，ｂ_ｋは、集合Ｓ２
のそれぞれの変数ｙ_１，．．．，ｙ_ｋの代わりに導入して、ｋ個の多項式関数Ｐ
’’_１（ａ_１，．．．，ａ_ｎ＋ｖ），．．．，Ｐ’’_ｋ（ａ_１，．．．，ａ_ｎ＋ _ｖ）から成る集合Ｓ３を発生する（ステップ１１５）のが好ましい。したがって
、ｖ個の値の列ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖはｖ個の「酢」変数ａ_ｎ＋１，
．．．，ａ_ｎ＋ｖに対してランダムに選択される（ステップ１２０）。代替例と
して、ｖ個の値ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖは所定の選択アルゴリズムに従
って選択される。

【００３８】ひとたびｖ個の値ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖが選択されると、式Ｐ’’ _１（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０，．．．，Ｐ
’’_ｋ（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０から成る
集合を解いて、ａ’_１，．．．，ａ’_ｎに対する解を得るのが好ましい（ステッ
プ１２５）。次に、秘密鍵演算を応用して、ａ’_１，．．．，ａ’_ｎ＋ｖをディ
ジタル署名ｅ_１，．．．，ｅ_ｎ＋ｖに変換する（ステップ１３０）。

【００３９】一般化されたディジタル署名ｅ_１，．．．，ｅ_ｎ＋ｖは、例えば図１の検証器
３５又は検証器５０を含むディジタル署名の検証器（図示せず）によって図２Ｂ
を参照して説明される方法に従って検証される。ディジタル署名を検証するため
に、検証器は、署名ｅ_１，．．．，ｅ_ｎ＋ｖ、メッセージ、ハッシュ関数及び公
開鍵を得るのが好ましい（ステップ２００）。次に、検証器はハッシュ関数をメ
ッセージに応用して、ｋ個の値の列ｂ_１，．．．，ｂ_ｋを発生する（ステップ２
０５）。ひとたびｋ個の値ｂ_１，．．．，ｂ_ｋが発生すると、検証器は式Ｐ_１（
ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０，．．．，Ｐ_ｋ（ｅ_１，．
．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０が満足されていることを検証するこ
とによってディジタル署名を検証するのが好ましい（ステップ２１０）。

【００４０】上述のようにディジタル署名を一般化して検証する操作は、ＡＰＰＥＮＤＩＸ
Ｉに記載するＵＯＶのｋ個の多項式関数の集合Ｓを含むことを集合Ｓ２に対し
て許可することによってＵＯＶに対して用いられることが理解されよう。代替例
として、上記のディジタル署名の一般化と検証操作は、ＡＰＰＥＮＤＩＸＩに
記載されるＨＦＥＶスキームのｋ個の多項式関数の集合ｆ（ａ）を含むことを集
合Ｓ２に対して許可することによってＨＦＥＶに対して用いられる。

【００４１】ＡＰＰＥＮＤＩＸＩで述べるように、図２Ａと２Ｂの方法によって、一般的
に、良く知られているＲＳＡスキームなどの従来の数値理論暗号スキームで得ら
れるディジタル署名より小さいディジタル署名を得ることが可能となる。

【００４２】本発明のある好ましい実施形態によれば、集合Ｓ２がＵＯＶスキームのｋ個の
多項式関数の集合Ｓを含んでいる場合、集合Ｓ１は、「油」変数の数ｎより大き
いように選択されている「酢」変数の数ｖを供給される。ｖはまた、ｑ^ｖが２^３ ^２（ここで、ｑは集合Ｓ１、Ｓ２及びＳ３が提供される有限体Ｋのエレメントの
数である）より大きくなるように選択される。

【００４３】Ｓ１は集合Ｓ２のｋ個の多項式関数のサブ集合Ｓ２’から得るのがさらに好ま
しいが、ここで、Ｓ２’は、ｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．
．．，ｙ_ｋ）中のｙ_１，．．．，ｙ_ｋ変数の内のどの変数を含む成分でもその全
ての係数がゼロであり、また、「酢」変数の数ｖが「油」変数の数ｎより大きい
ことを特徴としている。

【００４４】基本的「油と酢」スキームにおいては、「酢」変数の数ｖは、「油」変数の数
ｎに等しくなるように選択される。このようにｖ個の変数を選択するために、本
発明の発明者であるＡｖｉａｄＫｉｐｎｉｓと、ＡｄｉＳｈａｍｉｒはＳｐ
ｒｉｎｇｅｒ、ＬＮＣＳｎ°１４６２、ＣＲＹＰＴＯ’９８の議事録の２５７
〜２６６ページで、基本的な「油と酢」スキームの安全保障を無効とする基本的
な「油と酢」署名スキームの暗号システムを示している。加えて、Ｋｉｐｎｉｓ
とＳｈａｍｉｒによって記載されたと同じ方法を応用することによって、基本的
な「油と酢」スキームは、「油」変数の数ｎより低いいかなる数ｖの「酢」変数
に対しても安全保障が無効とされることが示される。

【００４５】本発明の発明者は、ＡＰＰＥＮＤＩＸＩに記載するように、「油と酢」スキ
ームは、「油と酢」スキームを「酢」変数の数ｖが「油」変数の数ｎよりも大き
くなるように修正することによって「油と酢」スキームが不平衡とされると、結
果得られる不平衡な「油と酢」（ＵＯＶ）スキームは安全保障される。

【００４６】具体的には、ＵＯＶの次数が２でありｐが２以外のあらゆる値である場合に対
して（ここでｐは体Ｋの特性であり、また、１という付加次数である）、ＵＯＶ
スキームは、不等式ｑ^{（ｖ−ｎ）−１＊}ｎ＞２^４０を満足するｖの値に対して安
全保障されていると考えられる。ＵＯＶの次数が２でありｐ＝２である場合、「
酢」変数の数ｖは不等式ｖ＜ｎ^２であり、ｑ^{（ｖ−１）−１＊}ｎ^４＞２^４０を満
足するように選択される。ｎ^２／２より大きくｎ^２以下であるｖの値に対して、
ＵＯＶはまた安全保障されていると考えられ、集合Ｓ１を解くことは、ｋ個の式
のランダム集合を解くことを同じほど困難であると考えられることが理解されよ
う。ｎ^２より大きいｖの値に対しては、ＵＯＶは安全保障されていないと考えら
れる。

【００４７】さらに、ＵＯＶの次数が３でありｐ＝２である場合、ＵＯＶスキームは、実質
的にｎ^＊（１＋ｓｑｒｔ（３））より大きくｎ^３／６以下であるであるｖの値に
対して安全保障されていると考えられる。ｎ^３／６より大きくｎ^３／２以下であ
るｖの値に対しては、ＵＯＶはまた安全保障されていると考えられ、また、集合
Ｓ１を解くことはｋ個の式から成るランダム集合を解くことと同じほど困難であ
ることが理解されよう。ｎ^３／２より大きいｖの値とｎ^＊（１＋ｓｑｒｔ（３）
）未満であるｖの値に対しては、ＵＯＶは安全保障されていないと信じられる。

【００４８】加えて、ＵＯＶが次数３でありｐが２以外の数である場合、ＵＯＶスキームは
、実質的にｎより大きくｎ^４以下であるｖの値に対して安全保障されていると考
えられる。ｎ^３／６より大きくｎ^４以下であるｖの値に対して、ＵＯＶはまた安
全保障されていると考えられ、また、集合Ｓ１を解くことはｋ個の式から成るラ
ンダム集合を解くことと同じほど困難であることが理解されよう。ｎ^４より大き
いｖの値とｎ未満であるｖの値に対して、ＵＯＶは安全保障されていないと考え
られる。

【００４９】集合Ｓ２がＨＦＥＶスキームのｋ個の多項式関数から成る集合ｆ（ａ）を含ん
でいる場合、集合Ｓ２は単変量多項式から誘導されたｋ個の関数を含む式をフッ
くんでいるのが好ましい。単変量多項式は、Ｋ上で次数ｎの拡大体上で１００，
０００以下の次数の多項式を含んでいるのが好ましい。

【００５０】ＵＯＶスキームとＨＦＥＶスキームに対して選択されるパラメータの例をＡＰ
ＰＥＮＤＩＸＩに示す。

【００５１】分かりやすいように、互いに別々の実施形態という文脈で記載されている本発
明の様々な特徴もまた、１つの実施形態中に組み合わされて提供されていること
が理解されよう。逆に、簡潔にするため、１つの実施形態という文脈で記載され
ている本発明の様々な特徴もまた、互いに別々に又は適切に組み合わせて提供さ
れている。

【００５２】本発明は特定的に図示し上述したものに制限されることはないことが当業者に
は理解されよう。むしろ、本発明の範囲は請求項によって定義されるものである
。

【表１】

【図面の簡単な説明】

【図１】メッセージに対してディジタル署名を発生してこれを検証するシステムであり
、本発明の好ましい実施形態に従って構成され動作するシステムの好ましい実現
例の略ブロック図である。

【図２Ａ】メッセージに対してディジタル署名を発生する好ましいディジタル署名暗号方
法であり、本発明の好ましい実施形態に従って動作する方法の略フローチャート
である。

【図２Ｂ】図２Ａのディジタル署名を検証する好ましいディジタル署名暗号方法であり、
本発明の好ましい実施形態に従って動作する方法の略フローチャートである。

【手続補正書】

【提出日】平成１３年１月２６日（２００１．１．２６）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【発明の名称】公開鍵を署名する方法とシステム

【特許請求の範囲】

【発明の詳細な説明】

【０００１】（技術分野）本発明は一般的には暗号に関し、より具体的には公開鍵暗号に関する。

【０００２】（背景技術）最初の公開鍵暗号スキームは１９７５年に導入された。それ以来、多くの公開
鍵スキームが開発されて公開されてきた。多くの公開鍵スキームは整数ｎ（昨今
、ｎは一般的には５１２ビットと１０２４ビットの間にある）を法とした算術計
算を必要とする。

【０００３】ビット数ｎの値が比較的大きいため、このような公開鍵スキームは、動作が比
較的遅く、ランダムアクセスメモリー（ＲＡＭ）や他の計算リソースを大いに消
費するものと考えられている。これらの問題は、スマートカードの適用分野など
計算リソースが制限されている適用分野では特に緊急の課題である。したがって
、これらの問題を克服するために、ｎを法とした算術計算をあまり必要としない
他の公開鍵スキームファミリーが開発されてきた。これらの他のファミリーの中
には、例えば２と２^６４との間の比較的小さい数学的有限体上の、ｋ個の多変数
多項式の集合として、公開鍵が与えられるスキームがある。

【０００４】このｋ個の多変数多項式の集合は次のように書くことが可能である：ｙ_１＝Ｐ_１（ｘ_１，．．．ｘ_ｎ）ｙ_２＝Ｐ_２（ｘ_１，．．．ｘ_ｎ）．．．ｙ_ｋ＝Ｐ_ｋ（ｘ_１，．．．ｘ_ｎ）ここで、Ｐ_１，．．．，Ｐ_ｋは、小さい総次数の、一般的には８以下、多くの
場合においてはちょうど２という次数の多変数多項式である。

【０００６】Ｃ^＊スキームは、Ｓｐｒｉｎｇｅｒ出版社、ＥＵＲＯＣＲＹＰＴ’８８の議事
録、４１９〜４５３ページの「効率的な署名検証とメッセージ暗号化のための公
開二次多項式組」という題名の記事に説明されている。ＨＦＥスキームは、Ｓｐ
ｒｉｎｇｅｒ出版社、ＥＵＲＯＣＲＹＰＴ’９６の議事録の３３〜４８ページの
「隠蔽体式（ＨＦＥ）と多項式の同形（ＩＰ）：非対称アルゴリズムの新しい２
つのファミリー」という題名の記事に説明されている。ＪａｃｑｕｅＰａｔａ
ｒｉｎの「油と酢」スキームの基本的形態は１９９７年９月の暗号に関するＤａ
ｇｓｔｕｈｌＷｏｒｋｓｈｏｐに提出された「油と酢署名スキーム」という題
名の記事に説明されている。

【０００７】しかしながら、Ｃ^＊スキームと「油と酢」スキームの基本的形態とは、Ｃ^＊ス
キームと「油と酢」スキームの基本的形態双方の暗号解読が見つかってしまい、
Ｓｐｒｉｎｇｅｒ出版社ＬＮＣＳｎ°１４６２、ＣＲＹＰＴＯ’９８の議事録
の２５７〜２６６ページの「油と酢署名スキームの暗号解読」という題名の記事
中にＡｖｏｉｄＫｉｐｎｉｓとＡｄｉｓｈａｍｉｒによって公開されている
という点で安全でないことが分かっている。ＨＦＥスキームの構成の弱点は「Ｈ
ＦＥ公開鍵暗号システム」と「隠蔽体式（ＨＦＥ）の実際の暗号解読」という題
名の２つの非公開記事中に記載されているが現在のところ、ＨＦＥスキームは暗
号漏洩(compromise)されているとは考えられてはいない。その理由は、良く選択
され、いまだ妥当なパラメータの場合、ＨＦＥスキームを解読するために必要な
計算の回数はなおも多すぎるからである。

【０００８】関連技術の１部の態様が次の出版物に記載されている：Ｓｈａｍｉｒに対する米国特許第５，２６３，０８５号に、ある合成数ｎを法
としたｍ個の未知数をもつ、ｋ個の多項式から成る系を解く困難さに基づいたセ
キュリティを持つ新しいタイプのディジタル署名スキームが記載されており；Ｓｈａｍｉｒに対する米国特許第５，３７５，１７０号には、小さい鍵を有し
、算術演算をほとんど必要としない新しいクラスの双有理順列(birational perm
utation)に基づいた新規なディジタル署名スキームが記載されている。

【０００９】上記と本明細書全てにわたる参照文献の開示は参照してここに組み込まれるも
のである。

【００１０】（発明の開示）本発明は、一般的には数学的有限体Ｋ上の、ｋ個の多変数多項式の集合として
公開鍵を与えるディジタル署名暗号スキームのセキュリティを向上させることを
追求する。本発明は、特に、「油と酢」スキームとＨＦＥスキームという基本的
形態のセキュリティを向上させることを追求する。本発明に従ってセキュリティ
を向上させるように修正された「油と酢」スキームは本書では不平衡「油と酢」
（ＵＯＶ）スキームと呼ばれる。本発明に従ってセキュリティを向上させるよう
に修正されたＨＦＥスキームは本書ではＨＦＥＶスキームと呼ばれる。

【００１１】本発明においては、ｋ個の多項式関数の集合Ｓ１は公開鍵として供給される。
集合Ｓ１は、関数Ｐ_１（ｘ_１，．．．，ｘ_ｎ＋ｖ、ｙ_１，．．．，ｙ_ｋ），．．
．，Ｐ_ｋ（ｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ）を含むことが好まし
い。ここで、ｋ、ｖ及びｎは整数であり、ｘ_１，．．．，ｘ_ｎ＋ｖは第１のタイ
プのｎ＋ｖ個の変数であり、ｙ_１，．．．，ｙ_ｋは第２のタイプのｋ個の変数で
ある。集合Ｓ１は秘密鍵演算をｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ_ｎ＋ _ｖ、ｙ_１，．．．ｙ_ｋ），．．．Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．
．，ｙ_ｋ）に対して適用することによって得ることが好ましい。ここで、ａ_１，
．．．，ａ_ｎ＋ｖはｎ個の「油」変数ａ_１，．．．，ａ_ｎの集合とｖ個の「酢」
変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖの集合を含むｎ＋ｖ個の変数である。秘密鍵演
算はｎ＋ｖ個の変数ａ_１，．．．，ａ_ｎ＋ｖに対する秘密アフィン変換ｓを含む
ことがあることが理解されよう。

【００１２】署名すべきメッセージが提供されると、ハッシュ関数がそのメッセージに対し
て適用されてｋ個の値の列ｂ_１，．．．，ｂ_ｋを発生する。このｋ個の値の列ｂ _１，．．．，ｂ_ｋをそれぞれ集合Ｓ２の変数ｙ_１，．．．，ｙ_ｋに代入してｋ個
の多項式関数Ｐ’’_１（ａ_１，．．．，ａ_ｎ＋ｖ），．．．，Ｐ’’_ｋ（ａ_１，
．．．，ａ_ｎ＋ｖ）の集合Ｓ３を発生するのが好ましい。次に、ｖ個の値ａ’_ｎ _＋１，．．．，ａ’_ｎ＋ｖをランダムに又は所定の選択アルゴリズムに従ってｖ
個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖに対して選択する。

【００１３】ひとたびｖ個の値ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖが選択されると、式Ｐ’’ _１（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０，．．．，Ｐ
’’_ｋ（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０の集合を
解いて、ａ’_１，．．．，ａ’_ｎの解を得るのが好ましい。次に、秘密鍵演算を
適用してａ’_１，．．．，ａ’_ｎ＋ｖをディジタル署名ｅ_１，．．．，ｅ_ｎ＋ｖに変換する。

【００１４】このように発生したディジタル署名ｅ_１，．．．，ｅ_ｎ＋ｖは、例えばコンピ
ュータ又はスマートカードを含む検証器によって検証される。ディジタル署名を
検証するために、検証器は、署名ｅ_１，．．．，ｅ_ｎ＋ｖ、メッセージ、ハッシ
ュ関数及び公開鍵を得るのが好ましい。次に、検証器はハッシュ関数をメッセー
ジに対して適用してｋ個の値の列ｂ_１，．．．，ｂ_ｋを発生する。ひとたびｋ個
の値ｂ_１，．．．，ｂ_ｋが発生すると、検証器は式Ｐ_１（ｅ_１，．．．，ｅ_ｎ＋ _ｖ，ｂ_１，．．．，ｂ_ｋ）＝０，．．．，Ｐ_ｋ（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０が満足されることを検証することによってディジタル署名
を検証するのが好ましい。

【００１５】このようにして、本発明による好ましい実施形態は、ｋ個の多項式関数の集合
Ｓ１を公開鍵として供給するステップであり、前記集合Ｓ１は関数Ｐ_１（ｘ_１，
．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ_ｋ（ｘ_１，．．．，ｘ_ｎ _＋ｖ，ｙ_１，．．．，ｙ_ｋ）を含み、ここで、ｋ、ｖ及びｎは整数であり、ｘ_１，．．．，ｘ_ｎ＋ｖは第１のタイプのｎ＋ｖ個の変数であり、ｙ_１，．．．，ｙ _ｋは第２のタイプのｋ個の変数であり、集合Ｓ１は秘密鍵演算をｋ個の多項式関
数Ｐ’_１（ａ_１，．．．，ａ_ｎ＋ｖ，．．．，ｙ_１，．．．，ｙ_ｋ），．．．，
Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，．．．，ｙ_ｋ）の集合Ｓ２に適用することに
よって得られ、ここで、ａ_１，．．．，ａ_ｎ＋ｖは、ｎ個の「油」変数ａ_１，．
．．，ａ_ｎの集合とｖ個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖの集合を含む
ｎ＋ｖ個の変数である、前記ステップと；署名されるメッセージを提供するステ
ップと；ハッシュ関数をこのメッセージに対して適用してｋ個の値の列ｂ_１，．
．．，ｂ_ｋを発生するステップと；集合Ｓ２の変数ｙ_１，．．．，ｙ_ｋにそれぞ
れｋ個の値の列ｂ_１，．．．，ｂ_ｋを代入してｋ個の多項式関数Ｐ’’_１（ａ_１，．．．，ａ_ｎ＋ｖ），．．．，Ｐ’’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ）の集合Ｓ
３を発生するステップと；ｖ個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖに対し
てｖ個の値ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖを選択するステップと；式Ｐ’’_１（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０，．．．，Ｐ’
’_ｋ（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０の集合を解
いてａ’_１，．．．，ａ’_ｎの解を得るステップと；秘密鍵演算を適用してａ’ _１，．．．，ａ’_ｎ＋ｖをディジタル署名ｅ_１，．．．，ｅ_ｎ＋ｖに変換するス
テップと；を含むディジタル署名暗号方法を提供する。

【００１６】この方法はまたディジタル署名を検証するステップを含むのが好ましい。この
検証ステップは：署名ｅ_１，．．．，ｅ_ｎ＋ｖ、メッセージ、ハッシュ関数及び
公開鍵を得るステップと；ハッシュ関数をメッセージに対して適用してｋ個の値
の列ｂ_１，．．．，ｂ_ｋを発生するステップと；式Ｐ_１（ｅ_１，．．．，ｅ_ｎ＋ _ｖ，ｂ_１，．．．，ｂ_ｋ）＝０，．．．，Ｐ_ｋ（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０が満足されることを検証するステップと；を含むのが好ま
しい。

【００１７】この秘密鍵演算はｎ＋ｖ個の変数ａ_１，．．．，ａ_ｎ＋ｖに対する秘密アフィ
ン変換ｓのステップを含むのが好ましい。

【００１８】集合Ｓ２はＨＦＥＶスキームのｋ個の多項式関数の集合ｆ（ａ）を含むのが好
ましい。このような場合、集合Ｓ２は単変量多項式から誘導されたｋ個の関数を
含む式を含むのが好ましい。単変量多項式は１００，０００以下の次数の単変量
多項式を含むのが好ましい。

【００１９】代替例として、集合Ｓ２はＵＯＶスキームのｋ個の多項式関数の集合Ｓを含む
。

【００２０】上記の供給ステップは「酢」変数の数ｖを「油」変数の数ｎより大きくなるよ
うに選択するステップを含むのが好ましい。ｖは、ｑ^ｖが２^３２より大きくなる
ように選択されるが、ここで、ｑは有限体Ｋのエレメントの数である。

【００２１】本発明の好ましい実施形態によれば、上記の供給ステップは、集合Ｓ２の内の
ｋ個の多項式関数の部分集合Ｓ２’から集合Ｓ１を得るステップを含んでいるが
、この部分集合Ｓ２’の標数は、ｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ_ｎ _＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ）中のｙ_１，．．．，ｙ_ｋという変数のいずれかを含む構成要素
のすべての係数がゼロであり、また、「酢」変数の数ｖが「油」変数の数ｎより
大きいことにある。

【００２２】集合Ｓ２はＵＯＶスキームのｋ個の多項式関数の集合Ｓを含み、また、「酢」
変数の数ｖが、次の条件：すなわち（ａ）次数２の「油と酢」スキーム中の体Ｋ
の２以外の各標数ｐに対して、ｖが不等式ｑ^{（ｖ−ｎ）−１}＊ｎ^４＞２^４０とな
ることと、（ｂ）次数３の「油と酢」スキーム中のｐ＝２に対して、ｖがｎ＊（
１＋ｓｑｒｔ（３））より大きく、ｎ^３／６以下であることと、（ｃ）次数３の
「油と酢」スキーム中の２以外の各ｐに対して、ｖがｎより大きく、ｎ^４以下で
あること、の内の１つを満足するように選択されるのが好ましい。「酢」変数の
数ｖは、次数２の「油と酢」スキーム中の体Ｋの標数ｐ＝２に対して不等式ｖ＜
ｎ^２、ｑ^{（ｖ−ｎ）−１}＊ｎ^４＞２^４０を満足するように選択されるのが好まし
い。

【００２３】また本発明の好ましい実施形態によれば、「油と酢」方法の改善が提供される
が、この改善は「油」変数より多い数の「酢」変数を用いるステップを含んでい
る。「酢」変数の数ｖは、次の条件：すなわち（ａ）体Ｋの２以外の各標数ｐと
次数２の「油と酢」署名方法に対して、ｖが不等式ｑ^{（ｖ−ｎ）−１}＊ｎ^４＞２ ^４０を満足することと、（ｂ）ｐ＝２と次数３の「油と酢」署名方法に対して、
ｖがｎ＊（１＋ｓｑｒｔ（３））より大きくｎ^３／６以下であるということと、
（ｃ）２以外の各ｐと次数３の「油と酢」署名方法に対して、ｖがｎより大きく
、また、ｎ^４以下であること、の内の一を満足する用に選択されるのが好ましい
。「酢」変数の数ｖは、次数２の「油と酢」スキーム中の体Ｋの標数ｐ＝２に対
して不等式ｖ＜ｎ^２とｑ^{（ｖ−ｎ）−１}＊ｎ^４＞２^４０を満足するように選択さ
れるのが好ましい。

【００２５】付録Ｉは、ＥＵＲＯＶＲＹＰＴ’９９の議事録中のＳｐｒｉｎｇｅｒ出版社に
よる出版用に提出されたＡｖｉａｄＫｉｐｎｉｓ、ＪａｃｑｕｅＰａｔａｒ
ｉｎ及びＬｏｕｉｓＧｏｕｂｉｎによる、ＵＯＶスキームとＨＦＥＶスキーム
の変形形態を説明している記事である。

【００２６】（発明を実施するための最良の形態）メッセージに対してディジタル署名を発生してこれを検証するシステム１０、
すなわち本発明のある好ましい実施形態に従って構成され動作するシステム１０
の好ましい実現例の略ブロック図である図１を参照されたい。

【００２８】一般的な公開鍵署名スキーム適用分野では、メッセージの署名器と署名済みメ
ッセージの受領器とが、公開された公開鍵と用いられるハッシュ関数とに関して
一致することが理解されよう。ハッシュ関数が暗号漏洩している場合、署名器と
受領器はハッシュ関数を変更することに同意する。公開鍵の発生器は署名器でも
受領器でもある必要がないことが理解されよう。

【００３１】図２Ａと２Ｂの方法はハードウエア、ソフトウエア、またはハードウエアとソ
フトウエアを組み合わせて実現され得ることが理解されよう。さらに、第１のプ
ロセッサと第２のプロセッサは同一であってもよい。代替例としては、本方法は
、第１のプロセッサが例えばコンピュータ１５中で暗号漏洩しており、第２のプ
ロセッサがスマートカード２０中で暗号漏洩している、又はこの逆である図１の
システム１０によって実現されている。

【００３２】図２Ａと２Ｂの方法及び図２Ａと２Ｂの方法の適用例が、本書に組み込まれて
いる付録Ｉに記載されている。図２Ａと２Ｂの方法の適用例は、「油と酢」スキ
ームとＨＦＥスキームの基本的形態を修正し、これによってそれぞれＵＯＶとＨ
ＦＥＶをもたらすために採用されうる。

【００３３】付録Ｉに、１９９９年５月２〜６日に予定されていたＥＵＲＯＣＲＹＰＴ’９
９の議事録中のＳｐｒｉｎｇｅｒ出版社による出版のために提出されたＡｖｉａ
ｄＫｉｐｎｉｓ、ＪａｃｑｕｅＰａｔａｒｉｎｋ、ＬｏｕｉｓＧｏｕｂｉ
ｎによる未出版の記事が含まれている。付録Ｉに含まれているこの記事はまた、
小さい署名を持つ、ＵＯＶスキームとＨＦＥＶスキームの変形形態を記載してい
る。

【００３４】図２Ａのディジタル署名暗号方法においては、ｋ個の多項式関数の集合Ｓ１は
、例えば図１の発生器３０や図１の発生器４５や外部公開鍵発生器（図示せず）
であったりする公開鍵（図示せず）の発生器によって公開鍵として供給されるの
が好ましい（ステップ１００）。

【００３５】集合Ｓ１は、関数Ｐ_１（ｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．
．．，Ｐ_ｋ（ｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ）を含むのが好まし
い。ここで、ｋ、ｖ及びｎは整数であり、ｘ_１，．．．，ｘ_ｎ＋ｖは第１のタイ
プのｎ＋ｖ個の変数であり、ｙ_１，．．．，ｙ_ｋは第２のタイプのｋ個の変数で
ある。集合Ｓ１は、秘密鍵演算をｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ_ｎ _＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ）の集合Ｓ２に対して適用することによって得るのが好ましいが
、ここで、ａ_１，．．．，ａ_ｎ＋ｖは、ｎ個の「油」変数ａ_１，．．．，ａ_ｎの
集合とｖ個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖの集合を含むｎ＋ｖ個の変
数である。この秘密鍵演算はｎ＋ｖ個の変数ａ_１，．．．，ａ_ｎ＋ｖに対する秘
密アフィン変換ｓを含むことがあることが理解されよう。

【００３７】署名されるメッセージが提供される（ステップ１０５）と、署名器はハッシュ
関数をそのメッセージに適用して、ｋ個の値の列ｂ_１，．．．，ｂ_ｋを発生する
（ステップ１１０）のが好ましい。署名器は、例えば、図１の発生器３０であっ
たり発生器４５であったりする。ｋ個の値の列ｂ_１，．．．，ｂ_ｋは、集合Ｓ２
のそれぞれの変数ｙ_１，．．．，ｙ_ｋに代入して、ｋ個の多項式関数Ｐ’’_１（
ａ_１，．．．，ａ_ｎ＋ｖ），．．．，Ｐ’’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ）の集
合Ｓ３を発生する（ステップ１１５）のが好ましい。したがって、ｖ個の値の列
ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖはｖ個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ _ｖに対してランダムに選択される（ステップ１２０）。代替例として、ｖ個の値
ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖは所定の選択アルゴリズムに従って選択される
。

【００３８】ひとたびｖ個の値ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖが選択されると、式Ｐ’’ _１（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０，．．．，Ｐ
’’_ｋ（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０の集合を
解いて、ａ’_１，．．．，ａ’_ｎに対する解を得るのが好ましい（ステップ１２
５）。次に、秘密鍵演算を適用して、ａ’_１，．．．，ａ’_ｎ＋ｖをディジタル
署名ｅ_１，．．．，ｅ_ｎ＋ｖに変換する（ステップ１３０）。

【００３９】発生されたディジタル署名ｅ_１，．．．，ｅ_ｎ＋ｖは、例えば図１の検証器３
５又は検証器５０を含むことができるディジタル署名の検証器（図示せず）によ
って図２Ｂを参照して説明される方法に従って検証される。ディジタル署名を検
証するために、検証器は、署名ｅ_１，．．．，ｅ_ｎ＋ｖ、メッセージ、ハッシュ
関数及び公開鍵を得るのが好ましい（ステップ２００）。次に、検証器はハッシ
ュ関数をメッセージに適用して、ｋ個の値の列ｂ_１，．．．，ｂ_ｋを発生する（
ステップ２０５）。ひとたびｋ個の値ｂ_１，．．．，ｂ_ｋが発生すると、検証器
は式Ｐ_１（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０，．．．，Ｐ_ｋ（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０が満足されることを検証
することによってディジタル署名を検証するのが好ましい（ステップ２１０）。

【００４０】上述のようにディジタル署名を発生して検証する操作は、付録Ｉに記載するＵ
ＯＶのｋ個の多項式関数の集合Ｓを含むことを集合Ｓ２に対して許可することに
よってＵＯＶに対して用いられることが理解されよう。代替例として、上記のデ
ィジタル署名の発生と検証操作は、付録Ｉに記載されるＨＦＥＶスキームのｋ個
の多項式関数の集合ｆ（ａ）を含むことを集合Ｓ２に対して許可することによっ
てＨＦＥＶに対して用いられることもできる。

【００４１】付録Ｉで述べるように、図２Ａと２Ｂの方法によって、良く知られているＲＳ
Ａスキームなどの従来の数値理論暗号スキームで得られるディジタル署名より、
一般的に小さいディジタル署名を得ることが可能となる。

【００４２】本発明のある好ましい実施形態によれば、集合Ｓ２がＵＯＶスキームのｋ個の
多項式関数の集合Ｓを含んでいる場合、集合Ｓ１は、「油」変数の数ｎより大き
いように選択されている「酢」変数の数ｖを与えられる。ｖはまた、ｑ^ｖが２^３ ^２（ここで、ｑは集合Ｓ１、Ｓ２及びＳ３が与えられる有限体Ｋのエレメントの
数である）より大きくなるように選択される。

【００４３】Ｓ１は集合Ｓ２のｋ個の多項式関数の部分集合Ｓ２’から得るのがさらに好ま
しいが、ここで、Ｓ２’は、ｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．
．．，ｙ_ｋ）中のｙ_１，．．．，ｙ_ｋ変数の内のどの変数を含む構成要素でも全
ての係数がゼロであり、また、「酢」変数の数ｖが「油」変数の数ｎより大きい
ことを特徴としている。

【００４４】基本的「油と酢」スキームにおいては、「酢」変数の数ｖは、「油」変数の数
ｎに等しくなるように選択される。このようにｖ個の変数を選択するために、本
発明の発明者の一人であるＡｖｉａｄＫｉｐｎｉｓと、ＡｄｉＳｈａｍｉｒ
はＳｐｒｉｎｇｅｒ、ＬＮＣＳｎ°１４６２、ＣＲＹＰＴＯ’９８の議事録の
２５７〜２６６ページで、基本的「油と酢」スキームの安全性を無効とする、暗
号シ解読を示している。加えて、ＫｉｐｎｉｓとＳｈａｍｉｒによって記載され
たと同じ方法を適用することによって、基本的「油と酢」スキームは、「油」変
数の数ｎより低いいかなる数ｖの「酢」変数に対しても安全性が無効とされるこ
とが示される。

【００４５】本発明の発明者は、付録Ｉに記載するように、「油と酢」スキームは、「油と
酢」スキームを「酢」変数の数ｖが「油」変数の数ｎよりも大きくなるように修
正することによって不平衡にされると、結果として得られる不平衡な「油と酢」
（ＵＯＶ）スキームは安全性があることを発見した。

【００４６】具体的には、ＵＯＶの次数が２でありｐが２以外のあらゆる値である場合に対
して（ここでｐは体Ｋの標数であり、また１の付加次数である）、ＵＯＶスキー
ムは、不等式ｑ^{（ｖ−ｎ）−１}＊ｎ＞２^４０を満足するｖの値に対して安全であ
ると考えられる。ＵＯＶの次数が２でありｐ＝２である場合、「酢」変数の数ｖ
は、不等式ｖ＜ｎ^２であり、ｑ^{（ｖ−ｎ）−１}＊ｎ^４＞２^４０を満足するように
選択されうる。ｎ^２／２より大きくｎ^２以下であるｖの値に対して、ＵＯＶはま
た安全であると考えられ、集合Ｓ１を解くことは、ｋ個の式のランダム集合を解
くことと同じほど困難であると考えられることが理解されよう。ｎ^２より大きい
ｖの値に対しては、ＵＯＶは安全でないと考えられる。

【００４７】さらに、ＵＯＶの次数が３でありｐ＝２である場合、ＵＯＶスキームは、実質
的にｎ＊（１＋ｓｑｒｔ（３））より大きくｎ^３／６以下であるであるｖの値に
対して安全であると考えられる。ｎ^３／６より大きくｎ^３／２以下であるｖの値
に対しては、ＵＯＶはやはり安全であると考えられ、また、集合Ｓ１を解くこと
はｋ個の式のランダム集合を解くことと同じほど困難であることが理解されよう
。ｎ^３／２より大きいｖの値とｎ＊（１＋ｓｑｒｔ（３））未満であるｖの値に
対しては、ＵＯＶは安全でないと考えられる。

【００４８】加えて、ＵＯＶが次数３でありｐが２以外の数である場合、ＵＯＶスキームは
、実質的にｎより大きくｎ^４以下であるｖの値に対して安全であると考えられる
。ｎ^３／６より大きくｎ^４以下であるｖの値に対して、ＵＯＶはまた安全である
と考えられ、また、集合Ｓ１を解くことはｋ個の式のランダム集合を解くことと
同じほど困難であることが理解されよう。ｎ^４より大きいｖの値とｎ未満である
ｖの値に対して、ＵＯＶは安全でないと考えられる。

【００４９】集合Ｓ２がＨＦＥＶスキームのｋ個の多項式関数の集合ｆ（ａ）を含んでいる
場合、集合Ｓ２は単変量多項式から誘導されたｋ個の関数を含む式を含くんでい
るのが好ましい。単変量多項式は、Ｋ上の次数ｎの拡大体上で１００，０００以
下の次数の多項式を含んでいるのが好ましい。

【００５０】ＵＯＶスキームとＨＦＥＶスキームに対して選択されるパラメータの例を付録
Ｉに示す。

【００５１】分かりやすいように、互いに別々の実施形態を説明する中で記載されている本
発明の様々な特徴もまた、１つの実施形態中に組み合わされて提供されているこ
とが理解されよう。逆に、簡潔にするため、１つの実施形態を説明する中で記載
されている本発明の様々な特徴もまた、互いに別々に又は適切に組み合わせて提
供されうる。

【００５２】本発明は上で具体的に図示し述べたものに制限されることはないことが当業者
には理解されよう。むしろ、本発明の範囲は請求項によって定義されるものであ
る。

【表１】

【図面の簡単な説明】

【手続補正２】

【補正対象書類名】図面

【補正対象項目名】図２Ａ

【補正方法】変更

【補正の内容】

【図２Ａ】

【手続補正３】

【補正対象書類名】図面

【補正対象項目名】図２Ｂ

【補正方法】変更

【補正の内容】

【図２Ｂ】

───────────────────────────────────────────────────── フロントページの続き (72)発明者グバン，ルイフランス国、エフ−75015・パリ、リユ・ブラウン・セカール、３Ｆターム(参考） 5J104 AA09 LA03 LA05 LA06 NA02 【要約の続き】＝０の集合を解いてａ’_１，．．．，ａ’_ｎの解法を得て、秘密鍵演算を応用して、この解をディジタル署名に変換する。

Claims

【特許請求の範囲】

【請求項１】ｋ個の多項式関数から成る集合Ｓ１を公開鍵として供給する
ステップであり、前記集合Ｓ１が関数Ｐ_１（ｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．
．．，ｙ_ｋ），．．．，Ｐ_ｋ（ｘ_１，．．．，ｘ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ）
を含み、ここで、ｋ、ｖ及びｎは整数であり、ｘ_１，．．．，ｘ_ｎ＋ｖは第１の
タイプのｎ＋ｖ個の変数であり、ｙ_１，．．．，ｙ_ｋは第２のタイプのｋ個の変
数であり、前記集合Ｓ１が、ｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ），．．．，Ｐ’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．
．．，ｙ_ｋ）から成る集合Ｓ２に対して秘密鍵演算を応用することによって得ら
れ、ここで、ａ_１，．．．，ａ_ｎ＋ｖは、ｎ個の「油」変数ａ_１，．．．，ａ_ｎから成る集合とｖ個の「酢」変数ａ_ｎ+１，．．．，ａ_ｎ＋ｖから成る集合を含
むｎ＋ｖ個の変数である、前記ステップと；署名されるメッセージを提供するステップと；前記メッセージに対してハッシュ関数を応用して、ｋ個の値の列ｂ_１，．．．
，ｂ_ｋを発生するステップと；前記ｋ個の値の列ｂ_１，．．．，ｂ_ｋを前記集合Ｓ２のそれぞれの変数ｙ_１，
．．．，ｙ_ｋの代わりに導入して、ｋ個の多項式関数Ｐ’’_１（ａ_１，．．．，
ａ_ｎ＋ｖ），．．．，Ｐ’’_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ）から成る集合Ｓ３を
発生するステップと；前記ｖ個の「酢」変数ａ_ｎ＋１，．．．，ａ_ｎ＋ｖに対してｖ個の変数ａ’_ｎ _＋１，．．．，ａ’_ｎ＋ｖを選択するステップと；式Ｐ’’_１（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝０，
．．．，Ｐ’’_ｋ（ａ_１，．．．，ａ_ｎ，ａ’_ｎ＋１，．．．，ａ’_ｎ＋ｖ）＝
０から成る集合を解いて、ａ’_１，．．．，ａ’_ｎの解を得るステップと；秘密鍵演算を応用して、ａ’_１，．．．，ａ’_ｎ＋ｖをディジタル署名ｅ_１，
．．．，ｅ_ｎ＋ｖに変換するステップと；を含むディジタル署名暗号方法
【請求項２】前記ディジタル署名を検証するステップをさらに含む、請求
項１に記載の方法。
【請求項３】前記検証ステップが：前記署名ｅ_１，．．．，ｅ_ｎ＋ｖ、前記メッセージ、前記ハッシュ関数及び前
記恋迂回鍵を得るステップと；前記ハッシュ関数を前記メッセージに対して応用して、ｋ個の値の列ｂ_１，．
．．，ｂ_ｋを発生するステップと；式Ｐ_１（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０，．．．，Ｐ_ｋ（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０が満足されたことを検証
するステップと；を含む、請求項２に記載の方法。
【請求項４】前記集合Ｓ２がＨＦＥＶスキームのｋ個の多項式関数から成
る集合ｆ（ａ）を含む、請求項１に記載の方法。
【請求項５】前記集合Ｓ２がＵＯＶスキームのｋ個の多項式関数から成る
集合Ｓを含む、請求項１に記載の方法。
【請求項６】前記供給ステップが、「酢」変数の数ｖを「油」変数の数ｎ
より大きくなるように選択するステップを含む、請求項１に記載の方法。
【請求項７】ｑ^ｖが２^３２より大きくなるようにｖが選択され、ここでｑ
が有限体Ｋのエレメントの数である、請求項１に記載の方法。
【請求項８】前記供給ステップが、前記集合Ｓ２のｋ個の多項式関数から
成るサブ集合Ｓ２’から前記集合Ｓ１を得るステップを含み、前記サブ集合Ｓ２
’が、前記ｋ個の多項式関数Ｐ’_１（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．．ｙ _ｋ），．．．，Ｐ_ｋ（ａ_１，．．．，ａ_ｎ＋ｖ，ｙ_１，．．．，ｙ_ｋ）中のｙ_１，．．．，ｙ_ｋ変数のいずれでも含む成分はその全ての係数がゼロであり、また
、「酢」変数の数ｖが「油」変数の数ｎより大きいことを特徴とする、請求項１
に記載の方法。
【請求項９】前記集合Ｓ２が、ＵＯＶスキームのｋ個の多項式関数から成
る集合Ｓを含み、また、「酢」変数の数ｖが：（ａ）次数２の「油と酢」スキームにおける体Ｋの２以外の各特性ｐに対して、
ｖが不等式ｑ^{（ｖ−１）−１＊}ｎ^４＞２^４０を満足する条件と；（ｂ）次数３の「油と酢」スキームにおけるｐ＝２に対して、ｖがｎ^＊（１＋ｓ
ｑｒｔ（３））でｎ^３／６以下である条件と；（ｃ）次数３の「油と酢」スキームにおける２以外の各ｐに対して、ｖがｎより
大きくｎ^４以下である条件と；の内の１つの条件を満足するように選択される、請求項８に記載の方法。
【請求項１０】前記集合Ｓ２が、ＵＯＶスキームのｋ個の多項式関数から
成る集合Ｓを含み、また、「酢」変数の数ｖが、次数２の「油と酢」スキームに
おける体Ｋの特性ｐ＝２に対して不等式ｖ＜ｎ^２とｑ^{（ｖ−１）−１＊}ｎ^４＞２ ^４０を満足するように選択される、請求項８に記載の方法。
【請求項１１】前記秘密鍵演算が、ｎ＋ｖ個の変数ａ_１，．．．，ａ_ｎ＋ _ｖに対する秘密アファイン変換を含む、請求項１に記載の方法。
【請求項１２】前記集合Ｓ２が単変量多項式から誘導されたｋ個の関数を
含む式を含む、請求項４に記載の方法。
【請求項１３】前記単変量多項式が１００，０００以下の次数の単変量多
項式を含む、請求項１２に記載の方法。
【請求項１４】請求項１に記載のディジタル署名を検証する暗号方法にお
いて、前記方法が：前記署名ｅ_１，．．．，ｅ_ｎ＋ｖ、前記メッセージ、前記ハッシュ関数及び前
記公開鍵を得るステップと；前記ハッシュ関数を前記メッセージに対して応用して、ｋ個の値の列ｂ_１，．
．．，ｂ_ｋを発生するステップと；式Ｐ_１（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．．，ｂ_ｋ）＝０，．．．，Ｐ_ｋ（ｅ_１，．．．，ｅ_ｎ＋ｖ，ｂ_１，．．，ｂ_ｋ）＝０が満足されていることを検
証するステップと；を含む方法。
【請求項１５】「油と酢」署名方法において、改善が「油」変数より多く
の「酢」変数を用いるステップを含む方法。
【請求項１６】「酢」変数の数ｖが：（ａ）体Ｋの各特性ｐが２以外であり「油と酢」署名方法の次数が２である場合
、ｖが不等式ｑ^{（ｖ−１）−１＊}ｎ^４＞２^４０を満足する条件と；（ｂ）ｐ＝２であり前記「油と酢」署名方法の次数が３である場合、ｖがｎ^＊（
１＋ｓｑｒｔ（３））でｎ^３／６以下である条件と；（ｃ）各ｐが２以外であり、前記「油と酢」署名方法の次数が３である場合、ｖ
がｎより大きくｎ^４以下である条件と；の内の１つを満足するように選択される、請求項１５に記載の方法。
【請求項１７】前記集合Ｓ２がＵＯＶスキームのｋ個の多項式関数から成
る集合Ｓを含み、また、「酢」変数の数ｖが、次数２の「油と酢」スキームにお
ける体Ｋの特性ｐ＝２に対して不等式ｖ＜ｎ^２とｑ^{（ｖ−１）−１＊}ｎ^４＞２^４ ^０を満足するように選択される、請求項１５に記載の方法。