JP2003218858A - 署名生成方法及び署名検証方法及び署名生成装置及び署名検証装置及び署名生成プログラム及び署名検証プログラム及び署名生成プログラムを格納した記憶媒体及び署名検証プログラムを格納した記憶媒体 - Google Patents

Abstract

(57)【要約】 （修正有） 【課題】 暗号関数、復号関数を使用せず、かつ高速な
楕円曲線上の離散対数問題に基づく、署名の長さが短い
１−ｏｕｔ−ｏｆ−ｎ型の署名生成、及び署名検証を可
能とする方法、装置、プログラム、記録媒体を提供す
る。 【解決手段】 ゼロ知識証明におけるチャレンジを一つ
のハッシュ値から連鎖的に生成する。また、ハッシュ関
数によって群の元のインデックスに変換する。そして、
暗号関数、復号関数の代わりにハッシュ関数を利用し
て、署名の生成および検証を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、署名生成方法及び
署名検証方法及び署名生成装置及び署名検証装置及び署
名生成プログラム及び署名検証プログラム及び署名生成
プログラムを格納した記憶媒体及び署名検証プログラム
を格納した記憶媒体に係り、特に、電気通信システム上
のディジタル署名技術において、署名の長さが短い１−
ｏｕｔ−ｏｆ−ｎ離散対数型署名方法における、署名生
成方法及び署名検証方法及び署名生成装置及び署名検証
装置及び署名生成プログラム及び署名検証プログラム及
び署名生成プログラムを格納した記憶媒体及び署名検証
プログラムを格納した記憶媒体に関する。

【０００２】

【従来の技術】第１の従来の技術として、Cramer等によ
る１−ｏｕｔ−ｏｆ−ｎ離散対数型署名方法（"Proofs
of Partial Knowledge and Simplified Design of Witn
ess Hiding Proofs" Crypto'94, LNCS 839, pp.174-187
Springer-Verlag, 1994）について説明する。

【０００３】以下の説明では、ｐi ，ｑi をそれぞれ大
きな素数とし、ｑi はｐi を割り切るものとする。ｇi
をｐi の位数ｑi の部分群の生成源とする。ｘi ∈Ｚqi
を秘密鍵、ｙi ＝ｇi ^x mod ｐi をｇi ，ｑi ，ｐi と
共に公開鍵とする。

【０００４】ｎ個の公開鍵（ｙj ，ｇj ，ｑj ，ｐj ）
ｊ＝０，…，ｎ−１のうち、あるｙi に関して、対応す
る秘密鍵ｘi を知る署名者は、以下の手順で文書ｍに対
する署名を生成する。Ｌは、ｎ個のｑi のうち最も大き
いもののビット数を表すものとし、Ｈは、Ｌビットの出
力域を持つハッシュ関数とする。集合αから一つの元β
をランダムに選ぶ行為を、β←αと書くことにする。

【０００５】 ｊ＝０，…，ｎ−１までのｊ≠ｉにつ
いて以下の処理を繰り返す。

【０００６】（ａ） ｓj ←Ｚqj （ｂ） ｃj ←｛０，１｝^L （ｃ） ｚj ：＝ｇj ^sjｙj ^cj mod ｐj ｒi ←Ｚqi ｚi ：＝ｇi ^ri mod ｐi ｃ：＝Ｈ（ｚ0 ‖ｚ2 ‖…‖ｚn-1 ‖ｍ） ｃi ＝ｃ「＋」ｃ0 「＋」…「＋」ｃi-1 「＋」…
ｃn ｓi ：＝ｒi −ｃi ・ｘ mod ｑi （ｃ0 ，ｓ0 ，ｃ1 ，ｓ1 ，…，ｃn-1 ，ｓn-1 ）
を出力。

【０００７】文書ｍに対する署名（ｃ0 ，ｓ0 ，ｃ1 ，
ｓ1 ，…，ｃn-1 ，ｓn-1 ）は以下の式が成り立つと
き、正しい署名と認める。

【０００８】

【数１】 上記の従来の方法によれば、署名の受信者は、署名者が
どの公開鍵に対応する秘密鍵を保持しているのかを見分
けることはできない。従って、独立に生成された他人の
公開鍵と、署名者自身の公開鍵に基づいて上記の方法で
署名を生成すると、検証者にとっては、誰が生成した署
名なのか判断できないことになり、署名者のプライバシ
ーが守られ、グループの代表者として署名を生成したこ
とになる。

【０００９】上記と同様の特性を有する第２の従来技術
として、Rivest, Shamir, TaumanによるRing型署名(How
to Leak a Secret. Asiacrypt 2001, LNCS 2248, pp.5
52-565, Springer-Verlag, 2001 ）を説明する。

【００１０】｛０，１｝^L の入出力域を持つ落とし戸付
き一方向性置換関数をｇ0 ，…，ｇn-1 とする。ここ
で、Ｌは十分大きい（例えば、１０２４程度）とする。
Ｈをハッシュ関数、Ｅ，Ｄをそれぞれ共通鍵暗号の暗号
化関数、復号関数とし、「＋」をビット毎排他的論理和
とする。署名者Ｐi は、ｇi に対する落とし戸情報（秘
密鍵）を保持しており、ｇi ^-1を計算することができる
ものとする。

【００１１】文書ｍに対する署名は、以下の手順で生成
する。

【００１２】 Ｋ：＝Ｈ（ｍ） Ｌビットの乱数ｚ0 を生成する。

【００１３】 ｊ＝０，…，ｉ−１まで以下を繰り返
す。

【００１４】（ａ） Ｌビットの乱数ｒj を生成する。

【００１５】（ｂ） ｙj ：＝ｇj （ｒj ） （ｃ） ｚ’j ：＝ｚj 「＋」ｙj （ｄ） ｚj+1 ：＝ＥK （ｚ’j ） ｚ’n-1 ：＝ＤK （ｚ0 ） ｊ＝ｎ−１，…，ｉ＋１まで以下を繰り返す。

【００１６】（ａ） Ｌビットの乱数ｒj を生成する。

【００１７】（ｂ） ｙj ：＝ｇj （ｒj ） （ｃ） ｚj ：＝ｚ’j 「＋」ｙj （ｄ） ｚ’j-1 ：＝ＤK （ｚj ） ｙi ：＝ｚi 「＋」ｚ’i ｒi ：＝ｇi ^-1（ｙi ） （ｚ0 ，ｒ0 ，ｒ1 ，…，ｒn-1 ）を出力。

【００１８】文書ｍに対する署名（ｚ0 ，ｒ0 ，ｒ1 ，
…，ｒn-1 ）は以下の手順で検証する。

【００１９】 Ｋ：＝Ｈ（ｍ） ｊ＝０，…，ｎ−１まで以下を繰り返す。

【００２０】（ａ） ｙj ：＝ｇi （ｒj ） （ｂ） ｚ’j ：＝ｚj 「＋」ｙj （ｃ） ｚj+1 ：＝ＥK （ｚ’j ） ｚn ＝ｚ0 ならば合格。

【００２１】

【発明が解決しようとする課題】しかしながら、上記第
１の従来の方法では、署名の長さが、

【００２２】

【数２】 となる点が問題である。ここで、｜ｑj ｜は、ｑj のビ
ット数を表す。署名の長さは直接的に通信、メモリコス
トに影響するため、短いことが望ましい。

【００２３】また、上記第２の従来の方法では、落とし
戸付き一方向性置換関数に基づく公開鍵暗号に基づいて
のみ構成可能であり、落とし戸のない離散対数問題には
適用できない。従って、高速な楕円曲線上の離散対数問
題に基づいた公開鍵暗号を利用できないという問題があ
る。

【００２４】本発明は、上記の点に鑑みなされたもの
で、離散対数問題に基づく、署名の長さが短い１−ｏｕ
ｔ−ｏｆ−ｎ型の署名生成及び署名検証が可能な署名生
成方法及び署名検証方法及び署名生成装置及び署名検証
装置及び署名生成プログラム及び署名検証プログラム及
び署名生成プログラムを格納した記憶媒体及び署名検証
プログラムを格納した記憶媒体を提供することを目的と
する。

【００２５】

【課題を解決するための手段】図１は、本発明の原理を
説明するための図である。

【００２６】本発明（請求項１）は、Ｇj を位数ｑj の
群とし、Ｇj （ｘ）はインデックスがｘ∈Ｚqjであるよ
うなＧj の元を表し、ｎ個の公開鍵（ｙj ，Ｇj ）ｊ＝
０，…，ｎ−１のうち、あるｙi に対応する秘密鍵ｘi
を使用して文書ｍに対する署名を生成する署名生成方法
において、Ｌは、ｎ個のｑj のうち最も大きいもののビ
ット数を表すものとし、ＨをＬビットの出力域を持つハ
ッシュ関数とし、各群Ｇj は、公開鍵ｙj に対して、 ・証明者は、ランダムなインデックスｗをＺqjから選ん
で、ｚj ：＝Ｇj （ｗ）を検証者に送り； ・検証者は、ランダムなチャレンジｃj をＺqjから選ん
で、証明者に送り； ・証明者は、回答ｓj を回答計算式ｓj ＝Ｆ（ｗ，ｘj
，ｃj ，ｑj ）に沿って計算して検証者に送り； ・検証者は、検証値計算式Ｒに対して、ｚj がＲ（ｙj
，ｓj ，ｃj ，Ｇj ）と等しいか否かを調べ、等しい
ならば受理し、そうでなければ拒否する； なる３交信ゼロ知識証明が存在する群であって、ｗをＺ
qjからランダムに選ぶ第１の乱数生成ステップ（ステッ
プ１）と、ｚi ：＝Ｇi （ｗ）を計算する群要素計算ス
テップ（ステップ２）と、ｊ＝ｉ＋１，…，ｎ−１，
０，…，ｉ−１まで、以下のステップを繰り返すループ
制御ステップ（ステップ３）と、ｃj ：＝Ｈ（ｍ‖ｚj-
1 mod n ）を計算する第１のハッシュステップ（ステプ
４）と、ｓj をＺqjからランダムに選ぶ第２の乱数生成
ステップ（ステップ５）と、ｚj ＝Ｒ（ｙj ，ｓj ，ｃ
j ，Ｇj ）を計算する検証値計算ステップ（ステップ
６）と、ループ制御ステップが終了したとき（ｊ＝ｉ）
（ステップ７）、ｃi ：＝Ｈ（ｍ‖ｚi-1 mod n ）を計
算する第２のハッシュステップ（ステップ８）と、ｓi
：＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ）を計算し、署名（ｃ0
，ｓ0 ，ｓ1 ，…，ｓn-1 ）を出力する回答計算ステ
ップ（ステップ９）と、からなる。

【００２７】本発明（請求項２）は、ハッシュ関数Ｈに
ｍとｚ’j 以外の任意の情報を入力して計算する。

【００２８】本発明（請求項３）は、予め定めた任意の
一つのハッシュ関数の計算時にのみｍを入力し、他のハ
ッシュ関数の計算時にはｍを入力しない。

【００２９】本発明（請求項４）は、請求項１で生成さ
れた文書ｍに対する署名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-
1 ）を検証する署名検証方法において、署名（ｃ0 ，ｓ
0 ，ｓ1 ，…，ｓn-1 ）が入力されると（ステップ１
０）、ｊ＝０，…，ｎ−１まで、以下のステップを繰り
返すループ制御ステップ（ステップ１１）と、ｚj ＝Ｒ
（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値計算ステ
ップ（ステプ１２）と、ｃj+1 ＝Ｈ（ｍ‖ｚj ）を計算
するハッシュステップ（ステップ１３）と、ループ制御
ステップが終了したとき（ｊ＝ｎ）（ステップ１４）、
ｃn ＝ｃ0か否かを判断し、成り立つならば、正当な署
名であると見做す比較ステップ（ステップ１５）と、か
らなる。

【００３０】図２は、本発明の原理構成図である。

【００３１】本発明（請求項５）は、Ｇj を位数ｑj の
群とし、Ｇj （ｘ）はインデックスがｘ∈Ｚqjであるよ
うなＧj の元を表し、ｎ個の公開鍵（ｙj ，Ｇj ）ｊ＝
０，…，ｎ−１のうち、あるｙi に対応する秘密鍵ｘi
を使用して文書ｍに対する署名を生成する署名生成装置
であって、Ｌは、ｎ個のｑj のうち最も大きいもののビ
ット数を表すものとし、ＨをＬビットの出力域を持つハ
ッシュ関数とし、各群Ｇj は、公開鍵ｙj に対して、 ・証明者は、ランダムなインデックスｗをＺqjから選ん
で、ｚj ：＝Ｇj （ｗ）を検証者に送り； ・検証者は、ランダムなチャレンジｃj をＺqjから選ん
で、証明者に送り； ・証明者は、回答ｓj を回答計算式ｓj ＝Ｆ（ｗ，ｘj
，ｃj ，ｑj ）に沿って計算して検証者に送り； ・検証者は、検証値計算式Ｒに対して、ｚj がＲ（ｙj
，ｓj ，ｃj ，Ｇj ）と等しいか否かを調べ、等しい
ならば受理し、そうでなければ拒否する； なる３交信ゼロ知識証明が存在する群であって、ｗをＺ
qjからランダムに選ぶ第１の乱数生成手段１１０と、ｚ
i ：＝Ｇi （ｗ）を計算する群要素計算手段１２０と、
ｃj ：＝Ｈ（ｍ‖ｚj-1 mod n ）を計算する第１のハッ
シュ手段１４０と、ｓj をＺqjからランダムに選ぶ第２
の乱数生成手段１１１と、ｚj ＝Ｒ（ｙj ，ｓj ，ｃj
，Ｇj ）を計算する検証値計算手段１７０と、ｊ＝ｉ
＋１，…，ｎ−１，０，…，ｉ−１まで、第１のハッシ
ュ手段１４０、第２の乱数生成手段１１１、及び検証値
計算手段１７０を繰り返すループ制御手段１６０と、ル
ープ制御手段１６０が終了したとき（ｊ＝ｉ）、ｃi ：
＝Ｈ（ｍ‖ｚi-1 mod n ）を計算する第２のハッシュ手
段１４１と、ｓi ：＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ）を計
算する回答計算手段１８０と、署名（ｃ0 ，ｓ0 ，ｓ1
，…，ｓn-1 ）を出力する署名出力手段１８１と、を
有する。

【００３２】本発明（請求項６）は、第１のハッシュ手
段又は第２のハッシュ手段において、ハッシュ関数Ｈに
ｍとｚ’j 以外の任意の情報を入力して計算する手段を
含む。

【００３３】本発明（請求項７）は、第１のハッシュ手
段又は第２のハッシュ手段において、予め定めた任意の
一つのハッシュ関数の計算時にのみｍを入力し、他のハ
ッシュ関数の計算時にはｍを入力しない手段を含む。

【００３４】本発明（請求項８）は、請求項５の署名生
成装置で生成された文書ｍに対する署名（ｃ0 ，ｓ0 ，
ｓ1 ，…，ｓn-1 ）を検証する署名検証装置であって、
署名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-1 ）を入力する入力
手段２０１と、ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を
計算する検証値計算手段２３０と、ｃj+1 ＝Ｈ（ｍ‖ｚ
j ）を計算するハッシュ手段２４０と、ｊ＝０，…，ｎ
−１まで、検証値計算手段２３０及びハッシュ手段２４
０とを繰り返すループ制御手段２２０と、ループ制御手
段２２０が終了したとき（ｊ＝ｎ）、ｃn ＝ｃ0 か否か
を判断し、成り立つならば、正当な署名であると見做す
比較手段２６０と、を有する。

【００３５】本発明（請求項９）は、Ｇj を位数ｑj の
群とし、二項演算子「＋」j をＧjの群演算とし、Ｇj
（ｘ）はインデックスがｘ∈ＺqjであるようなＧj の元
を表し、ｎ個の公開鍵（ｙj ，Ｇj ）ｊ＝０，…，ｎ−
１のうち、あるｙi に対応する秘密鍵ｘi を使用して文
書ｍに対する署名を生成する署名生成装置で実行される
署名生成プログラムであって、Ｌは、ｎ個のｑj のうち
最も大きいもののビット数を表すものとし、ＨをＬビッ
トの出力域を持つハッシュ関数とし、各群Ｇj は、公開
鍵ｙj に対して、 ・証明者は、ランダムなインデックスｗをＺqjから選ん
で、ｚj ：＝Ｇj （ｗ）を検証者に送り； ・検証者は、ランダムなチャレンジｃj をＺqjから選ん
で、証明者に送り； ・証明者は、回答ｓj を回答計算式ｓj ＝Ｆ（ｗ，ｘj
，ｃj ，ｑj ）に沿って計算して検証者に送り； ・検証者は、検証値計算式Ｒに対して、ｚj がＲ（ｙj
，ｓj ，ｃj ，Ｇj ）が等しいか否かを調べ、等しい
ならば受理し、そうでなければ拒否する； なる３交信ゼロ知識証明が存在する群であって、ｗをＺ
qjからランダムに選ぶ第１の乱数生成プロセスと、ｚi
：＝Ｇi （ｗ）を計算する群要素計算プロセスと、ｃj
：＝Ｈ（ｍ‖ｚj-1 mod n ）を計算する第１のハッシ
ュプロセスと、ｓj をＺqjからランダムに選ぶ第２の乱
数生成プロセスと、ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj
）を計算する検証値計算プロセスと、ｊ＝ｉ＋１，
…，ｎ−１，０，…，ｉ−１まで、第１のハッシュプロ
セス、第２の乱数生成プロセス、及び検証値計算プロセ
スを繰り返すループ制御プロセスと、ループ制御プロセ
スが終了したとき（ｊ＝ｉ）、ｃi ：＝Ｈ（ｍ‖ｚi-1
modn ）を計算する第２のハッシュプロセスと、ｓi ：
＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ）を計算し、署名（ｃ0 ，
ｓ0 ，ｓ1 ，…，ｓn-1 ）を出力する回答計算プロセス
と、を有する。

【００３６】本発明（請求項１０）は、第１のハッシュ
プロセス又は前記第２のハッシュプロセスにおいて、ハ
ッシュ関数Ｈにｍとｚ’j 以外の任意の情報を入力して
計算するプロセスを含む。

【００３７】本発明（請求項１１）は、第１のハッシュ
プロセス又は前記第２のハッシュプロセスにおいて、予
め定めた任意の一つのハッシュ関数の計算時にのみｍを
入力し、他のハッシュ関数の計算時にはｍを入力しない
プロセスを含む。

【００３８】本発明（請求項１２）は、請求項９の署名
生成プログラムで生成された文書ｍに対する署名（ｃ0
，ｓ0 ，ｓ1 ，…，ｓn-1 ）を検証する署名検証装置
で実行される署名検証プログラムであって、ｚj ＝Ｒ
（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値計算プロ
セスと、ｃj+1 ＝Ｈ（ｍ‖ｚj ）を計算するハッシュプ
ロセスと、ｊ＝０，…，ｎ−１まで、検証値計算プロセ
ス及びハッシュプロセスとを繰り返すループ制御プロセ
スと、ループ制御プロセスが終了したとき（ｊ＝ｎ）、
ｃn ＝ｃ0 か否かを判断し、成り立つならば、正当な署
名であると見做す比較プロセスと、を有する。

【００３９】本発明（請求項１３）は、Ｇj を位数ｑj
の群とし、Ｇj （ｘ）はインデックスがｘ∈Ｚqjである
ようなＧj の元を表し、ｎ個の公開鍵（ｙj ，Ｇj ）ｊ
＝０，…，ｎ−１のうち、あるｙi に対応する秘密鍵ｘ
i を使用して文書ｍに対する署名を生成する署名生成装
置で実行される署名生成プログラムを格納した記憶媒体
であって、Ｌは、ｎ個のｑj のうち最も大きいもののビ
ット数を表すものとし、ＨをＬビットの出力域を持つハ
ッシュ関数とし、各群Ｇj は、公開鍵ｙj に対して、 ・証明者は、ランダムなインデックスｗをＺqjから選ん
で、ｚj ：＝Ｇj （ｗ）を検証者に送り； ・検証者は、ランダムなチャレンジｃj をＺqjから選ん
で、証明者に送り； ・証明者は、回答ｓj を回答計算式ｓj ＝Ｆ（ｗ，ｘj
，ｃj ，ｑj ）に沿って計算して検証者に送り； ・検証者は、検証値計算式Ｒに対して、ｚj がＲ（ｙj
，ｓj ，ｃj ，Ｇj ）が等しいか否かを調べ、等しい
ならば受理し、そうでなければ拒否する； なる３交信ゼロ知識証明が存在する群であって、ｗをＺ
qjからランダムに選ぶ第１の乱数生成プロセスと、ｚi
：＝Ｇi （ｗ）を計算する群要素計算プロセスと、ｃj
：＝Ｈ（ｍ‖ｚj-1 mod n ）を計算する第１のハッシ
ュプロセスと、ｓj をＺqjからランダムに選ぶ第２の乱
数生成プロセスと、ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj
）を計算する検証値計算プロセスと、ｊ＝ｉ＋１，
…，ｎ−１，０，…，ｉ−１まで、第１のハッシュプロ
セス、第２の乱数生成プロセス、及び検証値計算プロセ
スを繰り返すループ制御プロセスと、ループ制御プロセ
スが終了したとき（ｊ＝ｉ）、ｃi ：＝Ｈ（ｍ‖ｚi-1
modn ）を計算する第２のハッシュプロセスと、ｓi ：
＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ）を計算し、署名（ｃ0 ，
ｓ0 ，ｓ1 ，…，ｓn-1 ）を出力する回答計算プロセス
と、を有する。

【００４０】本発明（請求項１４）は、第１のハッシュ
プロセス又は前記第２のハッシュプロセスにおいて、ハ
ッシュ関数Ｈにｍとｚ’j 以外の任意の情報を入力して
計算するプロセスを含む。

【００４１】本発明（請求項１５）は、第１のハッシュ
プロセス又は前記第２のハッシュプロセスにおいて、予
め定めた任意の一つのハッシュ関数の計算時にのみｍを
入力し、他のハッシュ関数の計算時にはｍを入力しない
プロセスを含む。

【００４２】本発明（請求項１６）は、請求項１３の署
名生成プログラムで生成された文書ｍに対する署名（ｃ
0 ，ｓ0 ，ｓ1 ，…，ｓn-1 ）を検証する署名検証装置
で実行される署名検証プログラムを格納した記憶媒体で
あって、ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算す
る検証値計算プロセスと、ｃj+1 ＝Ｈ（ｍ‖ｚj ）を計
算するハッシュプロセスと、ｊ＝０，…，ｎ−１まで、
検証値計算プロセス及びハッシュプロセスとを繰り返す
ループ制御プロセスと、ループ制御プロセスが終了した
とき（ｊ＝ｎ）、ｃn ＝ｃ0 か否かを判断し、成り立つ
ならば、正当な署名であると見做す比較プロセスと、を
有する。

【００４３】上記のように、本発明は、ゼロ知識証明に
おけるチャレンジを一つのハッシュ値から連鎖的に生成
しているため、前述の第１の従来の方法のように全ての
チャレンジを署名に含める必要がない。また、前述の第
２の従来の方法のように、暗号化の連鎖を逆にたどる必
要がないため、暗号化関数と復号関数がいずれも不要と
なる。

【００４４】さらに、ハッシュ関数によって群の元をイ
ンデックスに変換する構造であるため、落とし戸付き一
方向性置換関数を用いずとも、秘密鍵を知る署名者は、
ハッシュの連鎖をインデックス側でつなぎ合わせてリン
グ状にすることができる。

【００４５】

【発明の実施の形態】以下では、Ｇj を離散対数問題を
構成する群とし、その位数をｑi とする。また、Ｇj
（ｘ）は、インデックスがｘ∈ＺqjであるようなＧj の
元を表すものとする。また、Ｇj （ｘ）からそのような
元を計算する行為を表すものとする。

【００４６】ｙi ＝Ｇi （ｘi ）とし、ｙi を公開鍵、
ｘi を秘密鍵とする。群Ｇi に対して、以下に示す、ｘ
i の知識のゼロ知識証明が構成可能となる。

【００４７】 証明者は、ランダムなインデックスｗ
をＺqiから選んで、ｚi ：＝Ｇi （ｗ）を検証者に送
る。

【００４８】 検証者は、ランダムなチャレンジｃi
をＺqiから選んで、 ｚi ：＝Ｇi （ｗ） を検証者に送る。

【００４９】 証明者は、回答ｓi を回答計算式 ｓi ＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ） に沿って計算して検証者に送る。

【００５０】 検証者は、検証値計算式Ｒに対して、 ｚi ＝Ｒ（ｙi ，ｓi ，ｃi ，Ｇi ） が成り立つか否かを調べ、成り立つならば受理し、そう
でなければ拒否する。

【００５１】以下では、上記の３交信ゼロ知識証明に基
づいて署名を作成するものとする。図３は、本発明の一
実施の形態における署名生成装置の構成を示す。

【００５２】同図に示す署名生成装置は、乱数生成部１
１０、群要素計算部１２０、ループ変数初期化部１３
０、ハッシュ部１４０、ループ変数更新部１５０、ルー
プ制御部１６０、検証値計算部１７０、回答計算部１８
０から構成される。

【００５３】上記の構成を署名生成手順に沿って配置す
ると図４のようになる。

【００５４】図５は、本発明の一実施の形態における署
名生成のフローチャートである。

【００５５】以下の説明では、Ｇj を離散対数問題を構
成する群とし、その位数をｑi とする。Ｇj （ｘ）は、
インデックスがｘ∈ＺqjであるようなＧj の元を表すも
のとする。

【００５６】ｎ個の公開鍵ｙj ∈Ｇj ，ｊ＝０，…，ｎ
−１に対して、そのうち一つのｙiに対応するインデッ
クスｘi を秘密鍵とし、ｘi を知る署名者が文書ｍに対
して署名を生成するには、以下の手順に従う。

【００５７】Ｌは、ｎ個のｑj のうち最も大きいものの
ビット数を表すものとし、ＨをＬビットの出力域を持つ
ハッシュ関数とする。

【００５８】ステップ１０１） 乱数生成部１１０によ
り、ｗをＺqi からランダムに選ぶ（ｗ←Ｚqi）。

【００５９】ステップ１０２） 群要素計算部１２０に
より、 ｚi ：＝Ｇi （ｗ） を計算する。

【００６０】ステップ１０３） ループ変数初期化部１
３０により、 ｊ＝ｉ＋１ mod ｎ とループ変数を初期化し、ｊ＝ｉ＋１，…，ｎ−１，
０，…，ｉ−１まで以下の処理を繰り返す。

【００６１】ステップ１０４） ハッシュ部１４０によ
り、 ｃj ：＝Ｈ（ｍ‖ｚj-1 mod n ） を計算する。

【００６２】ステップ１０５） 乱数生成部１１０によ
り、ｓj をＺqjからランダムに選ぶ（ｓj ←Ｚqj）。

【００６３】ステップ１０６） 検証値計算部１７０に
より、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ） を計算する。

【００６４】ステップ１０７） ループ変数更新部１５
０により、ｊ＝ｊ＋１mod ｎとする。

【００６５】ステップ１０８） ループ制御部１６０に
より、ｊ＝ｉになるまで上記のステップ１０４〜ステッ
プ１０７の処理を繰り返し、ｊ＝ｉになったらステップ
１０９に移行する。

【００６６】ステップ１０９） ハッシュ部１４０によ
り、 ｃi ：＝Ｈ（ｍ‖ｚi-1 mod n ） を計算する。

【００６７】ステップ１１０） 回答計算部１８０によ
り、 ｓi ：＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ） を計算し、文書ｍに対する署名（ｃ0 ，ｓ0 ，ｓ1 ，
…，ｓn-1 ）を出力する。次に、上記において、署名生
成装置から出力された署名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓ
n-1 ）を検証する場合について説明する。

【００６８】図６は、本発明の一実施の形態における署
名検証装置の構成図である。

【００６９】同図に示す署名検証装置は、ループ変数初
期化部２１０、ループ制御部２２０、検証値計算部２３
０、ハッシュ部２４０、ループ変数更新部２５０、比較
部２６０から構成される。上記の構成を署名検証手順に
沿って配置すると図７のようになる。

【００７０】図８は、本発明の一実施の形態における署
名検証のフローチャートである。

【００７１】ステップ２０１） ループ変数初期化部２
１０によりｊ＝０とし、ループ制御部２２０により、ｊ
＝０，…，ｎ−１まで以下の処理を繰り返す。

【００７２】ステップ２０２） 検証値計算部２３０に
より、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ） を計算する。

【００７３】ステップ２０３） ハッシュ部２４０によ
り、 ｃj+1 ：＝Ｈ（ｍ‖ｚj ） を計算する。

【００７４】ステップ２０４） ループ変数更新部２５
０により、ｊをインクリメント（ｊ＝ｊ＋１）する。

【００７５】ステップ２０５） ループ制御部２２０に
より、ｊ＝ｎなるまで上記の処理を繰り返し、ｊ＝ｎに
なったらステップ２０６に移行する。

【００７６】ステップ２０６） 比較部２６０により、
ｃn ＝ｃ0 かを判断し、成り立つ場合には、正当な署名
とする。

【００７７】

【実施例】以下、本発明の実施例を図面と共に説明す
る。

【００７８】以下では、構成の説明離散対数を構成する
群として、ｐi を素数とする乗法群Ｚpiをとる場合の例
を説明する。

【００７９】ｐi ，ｑi をそれぞれ大きな素数とし、ｑ
i は、ｐi を割り切るものとする。ｇi をｐi の位数ｑ
i の部分群の生成源とする。

【００８０】ｘi ∈Ｚqi を秘密鍵、 ｙi ＝ｇi ^xi mod ｐi をｇi ，ｑi ，ｐi と共に公開鍵とする。

【００８１】ｎ個の公開鍵 （ｙj ，ｇj ，ｑj ，ｐj ）ｊ＝０，…，ｎ−１ のうち、あるｙi に関して、対応する秘密鍵ｘi を知る
署名者（署名生成装置）は、以下の手順で文書ｍに対す
る署名を生成する。以下の説明において、Ｌは、ｎ個の
ｑj のうち最も大きいもののビット数を表すものとし、
ＨをＬビット出力域を持つハッシュ関数とする。

【００８２】まず、本実施例における署名生成装置の構
成を説明する。

【００８３】図９は、本発明の一実施例の署名生成装置
の構成を示す。

【００８４】同図に示す署名生成装置は、乱数生成部３
１０、べき乗剰余演算部３２０、ループ変数初期化部３
３０、ハッシュ部３４０、ループ変数更新部３５０、ル
ープ制御部３６０及び剰余乗減算部３８０から構成され
る。

【００８５】次に、上記の構成における動作を前述の図
５に沿って説明する。

【００８６】ステップ１０１） まず、乱数生成部３１
０により、Ｚqiからランダムにｗを選ぶ。

【００８７】ステップ１０３） ループ変数初期化部３
３０により、ループ変数ｊをｉ＋１mod ｎに初期化し、
ループ制御部６０により以下を繰り返す。

【００８８】ステップ１０４） ハッシュ部３４０によ
り、 ｃj ＝Ｈ（ｍ‖ｚj-1 mod n ） を計算する。

【００８９】ステップ１０５） 乱数生成部３１０によ
り、ｓj をＺqjからランダムに選ぶ。

【００９０】ステップ１０６） べき乗剰余演算部３２
０により、 ｚj ＝ｇj ^sjｙj ^cj mod ｐj を計算する。

【００９１】ステップ１０７） ループ変数更新部１５
０により、ｊ＝１＋１mod ｎとする。

【００９２】ステップ１０８） ループ制御部３６０に
おいて、ｊ＝ｉになるまでステップ１０４以降の処理を
繰り返し、ｊ＝ｉになったらステップ１０９に移行す
る。

【００９３】ステップ１０９） ハッシュ部３４０は、 ｃi ＝Ｈ（ｍ‖ｚi-1 mod n ） を計算する。

【００９４】ステップ１１０） 剰余乗減算部１８０に
より、 ｓi ＝ｗ−ｃi ｘ mod ｑi を計算し、署名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-1 ）を出
力する。

【００９５】次に、署名検証について説明する。

【００９６】図１０は、本発明の一実施例の署名検証装
置の構成を示す。

【００９７】同図に示す署名検証装置は、ループ変数初
期化部４１０、ループ制御部４２０、べき乗剰余演算部
４３０、ハッシュ部４４０、ループ変数更新部４５０、
及び比較部４６０から構成される。

【００９８】次に、上記の構成における動作を前述の図
８に沿って説明する。

【００９９】以下の処理の前に、入力としてｎ個の公開
鍵（ｙi ，ｇj ，ｑj ，ｐj ）ｊ＝０，…，ｎ−１、署
名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-1 ）、及び文書ｍを得
るものとする。

【０１００】ステップ２０１） ループ変数初期化部４
１０により、ループ変数ｊを０に初期化し、ループ制御
部４２０により、以下の処理を繰り返す。

【０１０１】ステップ２０２） 次に、べき乗剰余演算
部４３０により、 ｚj ＝ｇj ^sjｙj ^cj mod ｐj を計算する。

【０１０２】ステップ２０３） ハッシュ部４４０によ
り、 ｃj+1 ＝Ｈ（ｍ‖ｚj ） を計算する。

【０１０３】ステップ２０４） ループ変数更新部４５
０により、ループ変数ｊ＝ｊ＋１とする。

【０１０４】ステップ２０５） ループ制御部４２０に
より、ｊ＝ｎとなるまでステップ２０２以降の処理を繰
り返し、ｊ＝ｎになったらステップ２０６に移行する。

【０１０５】ステップ２０６） 比較部４６０により、
ｃn とｃ0 とを比較し、両者が等しい場合には、署名を
合格とする。そうでなければ不合格とする。

【０１０６】また、上記の実施の形態及び実施例では、
ハッシュ関数にｍとｚ’j 以外の任意の情報（ｙj+1 な
ど）を入力してもよい。更には、文書ｍは、全てのハッ
シュ関数の計算に入力しなくとも、少なくともｃ0 ある
いは、任意のｃj のみ、ハッシュに含めるとしてもよ
い。なお、離散対数問題を構成する群は、楕円曲線上の
加法群をはじめ、その元を容易に標本できるような有限
群であるならば、どのような群であってもよい。

【０１０７】また、上記の実施の形態及び実施例では、
図３、図６の構成に基づいて説明したが、これらの署名
生成装置及び署名検証装置の動作をプログラムとして構
築し、署名生成装置、署名検証装置として利用されるコ
ンピュータにインストールすることも可能である。

【０１０８】また、構築されたプログラムを署名生成装
置及び署名検証装置として利用されるコンピュータに接
続されるハードディスク装置や、フレキシブルディスク
やＣＤ−ＲＯＭ等の可搬記憶媒体に格納しておき、本発
明を実施する際に署名生成装置及び署名検証装置として
利用されるコンピュータにインストールすることによ
り、容易に本発明を実現できる。

【０１０９】なお、本発明は、上記の実施例に限定され
ることなく、特許請求の範囲内において種々変更・応用
が可能である。

【０１１０】

【発明の効果】上述のように、本発明によれば、署名サ
イズは、

【０１１１】

【数３】 であり、ｎが大きいときには、第１の従来の方法の約１
／２で済む。従って、署名サイズが減少することによっ
て、通信コスト及び保存コストを削減させることができ
る。

【０１１２】また、落とし戸がない、離散対数問題に基
づいて構成可能となったため、楕円曲線を利用した高速
化の効果が期待できる。

【図面の簡単な説明】

【図１】本発明の原理を説明するための図である。

【図２】本発明の原理構成図である。

【図３】本発明の一実施の形態における署名生成装置の
構成図である。

【図４】本発明の一実施の形態における処理手順に応じ
て配置した署名生成装置の構成図である。

【図５】本発明の一実施の形態における署名生成のフロ
ーチャートである。

【図６】本発明の一実施の形態における署名検証装置の
構成図である。

【図７】本発明の一実施の形態における処理手順に応じ
て配置した署名検証装置の構成図である。

【図８】本発明の一実施の形態における署名検証のフロ
ーチャートである。

【図９】本発明の一実施例の署名生成装置の構成図であ
る。

【図１０】本発明の一実施例の署名検証装置の構成図で
ある。

【符号の説明】

１００ 署名生成装置 １１０ 第１の乱数生成手段、乱数生成部 １２０ 群要素計算手段、群要素計算部 １３０ ループ変数初期化部 １４０ 第１のハッシュ手段、ハッシュ部 １４１ 第２のハッシュ手段、ハッシュ部 １５０ ループ変数更新部 １６０ ループ制御手段、ループ制御部 １７０ 検証値計算手段、検証値計算部 １８０ 回答計算手段、回答計算部 １８１ 署名出力手段 ２００ 署名検証装置 ２０１ 入力手段 ２１０ ループ変数初期化部 ２２０ ループ制御手段、ループ制御部 ２３０ 検証値計算手段、検証値計算部 ２４０ ハッシュ手段、ハッシュ部 ２５０ ループ変数更新部 ２６０ 比較手段、比較部 ３１０ 乱数生成部 ３２０ べき乗剰余演算部 ３３０ ループ変数初期化部 ３４０ ハッシュ部 ３５０ ループ変数更新部 ３６０ ループ制御部 ３８０ 剰余乗減算部 ４１０ ループ変数初期化部 ４２０ ループ制御部 ４３０ べき乗剰余演算部 ４４０ ハッシュ部 ４５０ ループ変数更新部 ４６０ 比較部

───────────────────────────────────────────────────── フロントページの続き (54)【発明の名称】 署名生成方法及び署名検証方法及び署名生成装置及び署名検証装置及び署名生成プログラム及び 署名検証プログラム及び署名生成プログラムを格納した記憶媒体及び署名検証プログラムを格納 した記憶媒体

Claims (16)

【特許請求の範囲】
1. 【請求項１】 Ｇj を位数ｑj の群とし、Ｇj （ｘ）は
   インデックスがｘ∈ＺqjであるようなＧj の元を表し、
   ｎ個の公開鍵（ｙj ，Ｇj ）ｊ＝０，…，ｎ−１のう
   ち、あるｙi に対応する秘密鍵ｘi を使用して文書ｍに
   対する署名を生成する署名生成方法において、 Ｌは、ｎ個のｑj のうち最も大きいもののビット数を表
   すものとし、ＨをＬビットの出力域を持つハッシュ関数
   とし、 各群Ｇj は、公開鍵ｙj に対して、 ・証明者は、ランダムなインデックスｗをＺqjから選ん
   で、ｚj ：＝Ｇj （ｗ）を検証者に送り； ・前記検証者は、ランダムなチャレンジｃj をＺgjから
   選んで、前記証明者に送り； ・前記証明者は、回答ｓj を回答計算式ｓj ＝Ｆ（ｗ，
   ｘj ，ｃj ，ｑj ）に沿って計算して前記検証者に送
   り； ・前記検証者は、検証値計算式Ｒに対して、ｚj がＲ
   （ｙj ，ｓj ，ｃj ，Ｇj ）が等しいか否かを調べ、等
   しいならば受理し、そうでなければ拒否する；なる３交
   信ゼロ知識証明が存在する群であって、 ｗをＺqjからランダムに選ぶ第１の乱数生成ステップ
   と、 ｚi ＝Ｇi （ｗ）を計算する群要素計算ステップと、 ｊ＝ｉ＋１，…，ｎ−１，０，…，ｉ−１まで、以下の
   ステップを繰り返すループ制御ステップと、 ｃj ：＝Ｈ（ｍ‖ｚj-1 mod n ）を計算する第１のハッ
   シュステップと、 ｓj をＺqjからランダムに選ぶ第２の乱数生成ステップ
   と、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値
   計算ステップと、 前記ループ制御ステップが終了したとき（ｊ＝ｉ）、ｃ
   i ：＝Ｈ（ｍ‖ｚi-1mod n ）を計算する第２のハッシ
   ュステップと、 ｓi ：＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ）を計算し、署名
   （ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-1 ）を出力する回答計算
   ステップと、からなることを特徴とする署名生成方法。
2. 【請求項２】 前記ハッシュ関数Ｈにｍとｚ’j 以外の
   任意の情報を入力して計算する請求項１記載の署名生成
   方法。
3. 【請求項３】 予め定めた任意の一つのハッシュ関数の
   計算時にのみｍを入力し、他のハッシュ関数の計算時に
   はｍを入力しない請求項１記載の署名生成方法。
4. 【請求項４】 前記請求項１で生成された文書ｍに対す
   る署名（ｃ0 ，ｓ0，ｓ1 ，…，ｓn-1 ）を検証する署
   名検証方法において、 ｊ＝０，…，ｎ−１まで、以下のステップを繰り返すル
   ープ制御ステップと、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値
   計算ステップと、 ｃj+1 ＝Ｈ（ｍ‖ｚj ）を計算するハッシュステップ
   と、 前記ループ制御ステップが終了したとき（ｊ＝ｎ）、ｃ
   n ＝ｃ0 か否かを判断し、成り立つならば、正当な署名
   であると見做す比較ステップと、からなるとを特徴とす
   る署名検証方法。
5. 【請求項５】 Ｇj を位数ｑj の群とし、Ｇj （ｘ）は
   インデックスがｘ∈ＺqjであるようなＧj の元を表し、
   ｎ個の公開鍵（ｙj ，Ｇj ）ｊ＝０，…，ｎ−１のう
   ち、あるｙi に対応する秘密鍵ｘi を使用して文書ｍに
   対する署名を生成する署名生成装置であって、 Ｌは、ｎ個のｑj のうち最も大きいもののビット数を表
   すものとし、ＨをＬビットの出力域を持つハッシュ関数
   とし、 各群Ｇj は、公開鍵ｙj に対して、 ・証明者は、ランダムなインデックスｗをＺgjから選ん
   で、ｚj ：＝Ｇj （ｗ）を検証者に送り； ・前記検証者は、ランダムなチャレンジｃj をＺgjから
   選んで、前記証明者に送り； ・前記証明者は、回答ｓj を回答計算式ｓj ＝Ｆ（ｗ，
   ｘj ，ｃj ，ｑj ）に沿って計算して前記検証者に送
   り； ・前記検証者は、検証値計算式Ｒに対して、ｚj がＲ
   （ｙj ，ｓj ，ｃj ，Ｇj ）と等しいか否かを調べ、等
   しいならば受理し、そうでなければ拒否する； なる３交信ゼロ知識証明が存在する群であって、 ｗをＺqjからランダムに選ぶ第１の乱数生成手段と、 ｚi ：＝Ｇi （ｗ）を計算する群要素計算手段と、 ｃj ：＝Ｈ（ｍ‖ｚj-1 mod n ）を計算する第１のハッ
   シュ手段と、 ｓj をＺqjからランダムに選ぶ第２の乱数生成手段と、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値
   計算手段と、 ｊ＝ｉ＋１，…，ｎ−１，０，…，ｉ−１まで、前記第
   １のハッシュ手段、前記第２の乱数生成手段、及び前記
   検証値計算手段を繰り返すループ制御手段と、 前記ループ制御手段が終了したとき（ｊ＝ｉ）、ｃi ：
   ＝Ｈ（ｍ‖ｚi-1 modn ）を計算する第２のハッシュ手
   段と、 ｓi ＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ）を計算する回答計算
   手段と、 署名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-1 ）を出力する署名
   出力手段と、を有することを特徴とする署名生成装置。
6. 【請求項６】 前記第１のハッシュ手段又は前記第２の
   ハッシュ手段は、 ハッシュ関数Ｈにｍとｚ’j 以外の任意の情報を入力し
   て計算する手段を含む請求項５記載の署名生成装置。
7. 【請求項７】 前記第１のハッシュ手段又は前記第２の
   ハッシュ手段は、 予め定めた任意の一つのハッシュ関数の計算時にのみｍ
   を入力し、他のハッシュ関数の計算時にはｍを入力しな
   い手段を含む請求項５記載の署名生成装置。
8. 【請求項８】 前記請求項５の署名生成装置で生成され
   た文書ｍに対する署名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-1
   ）を検証する署名検証装置であって、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値
   計算手段と、 ｃj+1 ＝Ｈ（ｍ‖ｚj ）を計算するハッシュ手段と、 ｊ＝０，…，ｎ−１まで、前記検証値計算手段及び前記
   ハッシュ手段とを繰り返すループ制御手段と、 前記ループ制御手段が終了したとき（ｊ＝ｎ）、ｃn ＝
   ｃ0 か否かを判断し、成り立つならば、正当な署名であ
   ると見做す比較手段と、を有することを特徴とする署名
   検証装置。
9. 【請求項９】 Ｇj を位数ｑj の群とし、Ｇj （ｘ）は
   インデックスがｘ∈ＺqjであるようなＧj の元を表し、
   ｎ個の公開鍵（ｙj ，Ｇj ）ｊ＝０，…，ｎ−１のう
   ち、あるｙi に対応する秘密鍵ｘi を使用して文書ｍに
   対する署名を生成する署名生成装置で実行される署名生
   成プログラムであって、 Ｌは、ｎ個のｑj のうち最も大きいもののビット数を表
   すものとし、ＨをＬビットの出力域を持つハッシュ関数
   とし、 各群Ｇj は、公開鍵ｙj に対して、 ・証明者は、ランダムなインデックスｗをＺgjから選ん
   で、ｚj ：＝Ｇj （ｗ）を検証者に送り； ・前記検証者は、ランダムなチャレンジｃj をＺgjから
   選んで、前記証明者に送り； ・前記証明者は、回答ｓj を回答計算式ｓj ＝Ｆ（ｗ，
   ｘj ，ｃj ，ｑj ）に沿って計算して前記検証者に送
   り； ・前記検証者は、検証値計算式Ｒに対して、ｚj がＲ
   （ｙj ，ｓj ，ｃj ，Ｇj ）と等しいか否かを調べ、等
   しいならば受理し、そうでなければ拒否する； なる３交信ゼロ知識証明が存在する群であって、 ｗをＺqjからランダムに選ぶ第１の乱数生成プロセス
   と、 ｚi ：＝Ｇi （ｗ）を計算する群要素計算プロセスと、 ｃj ：＝Ｈ（ｍ‖ｚj-1 mod n ）を計算する第１のハッ
   シュプロセスと、 ｓj をＺqjからランダムに選ぶ第２の乱数生成プロセス
   と、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値
   計算プロセスと、 ｊ＝ｉ＋１，…，ｎ−１，０，…，ｉ−１まで、前記第
   １のハッシュプロセス、前記第２の乱数生成プロセス、
   及び前記検証値計算プロセスを繰り返すループ制御プロ
   セスと、 前記ループ制御プロセスが終了したとき（ｊ＝ｉ）、ｃ
   i ：＝Ｈ（ｍ‖ｚi-1mod n ）を計算する第２のハッシ
   ュプロセスと、 ｓi ＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ）を計算する回答計算
   プロセスと、 署名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-1 ）を出力する署名
   出力プロセスと、を有することを特徴とする署名生成プ
   ログラム。
10. 【請求項１０】 前記第１のハッシュプロセス又は前記
    第２のハッシュプロセスは、 ハッシュ関数Ｈにｍとｚ’j 以外の任意の情報を入力し
    て計算するプロセスを含む請求項９記載の署名生成プロ
    グラム。
11. 【請求項１１】 前記第１のハッシュプロセス又は前記
    第２のハッシュプロセスは、 予め定めた任意の一つのハッシュ関数の計算時にのみｍ
    を入力し、他のハッシュ関数の計算時にはｍを入力しな
    いプロセスを含む請求項９記載の署名生成プログラム。
12. 【請求項１２】 前記請求項９の署名生成プログラムで
    生成された文書ｍに対する署名（ｃ0 ，ｓ0 ，ｓ1 ，
    …，ｓn-1 ）を検証する署名検証装置で実行される署名
    検証プログラムであって、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値
    計算プロセスと、 ｃj+1 ＝Ｈ（ｍ‖ｚj ）を計算するハッシュプロセス
    と、 ｊ＝０，…，ｎ−１まで、前記検証値計算プロセス及び
    前記ハッシュプロセスとを繰り返すループ制御プロセス
    と、 前記ループ制御プロセスが終了したとき（ｊ＝ｎ）、ｃ
    n ＝ｃ0 か否かを判断し、成り立つならば、正当な署名
    であると見做す比較プロセスと、を有することを特徴と
    する署名検証プログラム。
13. 【請求項１３】 Ｇj を位数ｑj の群とし、Ｇj （ｘ）
    はインデックスがｘ∈ＺqjであるようなＧj の元を表
    し、ｎ個の公開鍵（ｙj ，Ｇj ）ｊ＝０，…，ｎ−１の
    うち、あるｙi に対応する秘密鍵ｘi を使用して文書ｍ
    に対する署名を生成する署名生成装置で実行される署名
    生成プログラムを格納した記憶媒体であって、 Ｌは、ｎ個のｑj のうち最も大きいもののビット数を表
    すものとし、ＨをＬビットの出力域を持つハッシュ関数
    とし、 各群Ｇj は、公開鍵ｙj に対して、 ・証明者は、ランダムなインデックスｗをＺgjから選ん
    で、ｚj ：＝Ｇj （ｗ）を検証者に送り； ・前記検証者は、ランダムなチャレンジｃj をＺgjから
    選んで、前記証明者に送り； ・前記証明者は、回答ｓj を回答計算式ｓj ＝Ｆ（ｗ，
    ｘj ，ｃj ，ｑj ）に沿って計算して前記検証者に送
    り； ・前記検証者は、検証値計算式Ｒに対して、ｚj がＲ
    （ｙj ，ｓj ，ｃj ，Ｇj ）と等しいか否かを調べ、等
    しいならば受理し、そうでなければ拒否する； なる３交信ゼロ知識証明が存在する群であって、 ｗをＺqjからランダムに選ぶ第１の乱数生成プロセス
    と、 ｚi ：＝Ｇi （ｗ）を計算する群要素計算プロセスと、 ｃj ：＝Ｈ（ｍ‖ｚj-1 mod n ）を計算する第１のハッ
    シュプロセスと、 ｓj をＺqjからランダムに選ぶ第２の乱数生成プロセス
    と、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値
    計算プロセスと、 ｊ＝ｉ＋１，…，ｎ−１，０，…，ｉ−１まで、前記第
    １のハッシュプロセス、前記第２の乱数生成プロセス、
    及び前記検証値計算プロセスを繰り返すループ制御プロ
    セスと、 前記ループ制御プロセスが終了したとき（ｊ＝ｉ）、ｃ
    i ：＝Ｈ（ｍ‖ｚi-1mod n ）を計算する第２のハッシ
    ュプロセスと、 ｓi ＝Ｆ（ｗ，ｘi ，ｃi ，ｑi ）を計算する回答計算
    プロセスと、 署名（ｃ0 ，ｓ0 ，ｓ1 ，…，ｓn-1 ）を出力する署名
    出力プロセスと、を有することを特徴とする署名生成プ
    ログラムを格納した記憶媒体。
14. 【請求項１４】 前記第１のハッシュプロセス又は前記
    第２のハッシュプロセスは、 ハッシュ関数Ｈにｍとｚ’j 以外の任意の情報を入力し
    て計算するプロセスを含む請求項１３記載の署名生成プ
    ログラムを格納した記憶媒体。
15. 【請求項１５】 前記第１のハッシュプロセス又は前記
    第２のハッシュプロセスは、 予め定めた任意の一つのハッシュ関数の計算時にのみｍ
    を入力し、他のハッシュ関数の計算時にはｍを入力しな
    いプロセスを含む請求項１３記載の署名生成プログラム
    を格納した記憶媒体。
16. 【請求項１６】 前記請求項１３の署名生成プログラム
    で生成された文書ｍに対する署名（ｃ0 ，ｓ0 ，ｓ1 ，
    …，ｓn-1 ）を検証する署名検証装置で実行される署名
    検証プログラムを格納した記憶媒体であって、 ｚj ＝Ｒ（ｙj ，ｓj ，ｃj ，Ｇj ）を計算する検証値
    計算プロセスと、 ｃj+1 ＝Ｈ（ｍ‖ｚj ）を計算するハッシュプロセス
    と、 ｊ＝０，…，ｎ−１まで、前記検証値計算プロセス及び
    前記ハッシュプロセスとを繰り返すループ制御プロセス
    と、 前記ループ制御プロセスが終了したとき（ｊ＝ｎ）、ｃ
    n ＝ｃ0 か否かを判断し、成り立つならば、正当な署名
    であると見做す比較プロセスと、を有することを特徴と
    する署名検証プログラムを格納した記憶媒体。