JP2012103655A - 耐量子コンピュータ性をもつディジタル署名方式 - Google Patents

Abstract

【課題】従来の方式は、耐量子コンピュータ性がなく、量子コンピュータが出現すると多項式時間で解読されてしまうと予想されている。この発明の目的は、安全性をＮＰ完全問題の１つである高次多変数連立代数方程式の解法に依存する方式を採用することにより、耐量子コンピュータ性を持つディジタル署名方式を提案することにある。
【解決手段】有限体Ｆｑ上のｍ個の任意の要素ｋ_ｉ（ｉ＝１，．．，ｍ）と、Ｆｑ上の四元数環Ｈ上の互いに非可換となるｍ個の要素Ａ_ｉ（ｉ＝１，．．，ｍ）を係数とする四元数環上の暗号化関数Ｆ（Ｘ）を利用者Ａ（署名者）の公開鍵として、利用者Ａ（署名者）が署名作成時毎に作成する補助暗号化関数Ｔ（Ｘ）と暗号化関数Ｆ（Ｘ）とメッセージＥを用いて、ディジタル署名Ｓを生成し、利用者Ｂ（検証者）にＳとＥを送信し、利用者Ｂ（検証者）は受信したＳとＥと公開鍵Ｆ（Ｘ）と公開情報ｑ，ｄ，ｒ，ｍを用いてＳが利用者Ａの署名であることを検証する。
【選択図】図１

Description

この発明は電子文書の正当性を確認するディジタル署名方式に関し、特に安全性が高く、耐量子コンピュータ性をもつディジタル署名方式に関するものである。

「ディジタル署名」とは，送られてきたデータの送信元が間違いないか，伝送経路上でデータが改ざんされていないかを確認するための技術である。従来提案されているディジタル署名方式の代表例として岡本方式やＦｉａｔ−Ｓｈａｍｉｒ方式（Ｆｉａｔ，Ａ．ａｎｄ Ｓｈａｍｉｒ，Ａ：“Ｈｏｗ ｔｏ ｐｒｏｖｅ ｙｏｕｒｓｅｌｆ：ｐｒａｃｔｉｃａｌ ｓｏｌｕｔｉｏｎｓ ｔｏ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅ ｐｒｏｂｌｅｍｓ”，Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｃｒｙｐｔｏ８６，Ｓａｎｔａ Ｂａｒｂａｒａ，Ａｕｇｕｓｔ１９８６，ｐｐ．１８−１−１８−７）がある。

岡本方式の署名方式は、以下の通りである。署名者Ａは素数ｐ，ｑ（ｑはｐ−１の因数の１つ）と乱数ｒ（２以上ｐ−１以下）とからｒ^ｑｍｏｄ ｐを計算し、１となるｑを２つ見つけてｇ_１，ｇ_２とし、これらと乱数ｓ１，ｓ２とからｖ＝ｇ_１ ^−ｓ１・ｇ_２ ^−ｓ２ｍｏｄ ｐを計算し、ｐ，ｑ，ｇ_１，ｇ_２，ｔ，ｖ（ｔは安全性の度合いを示すパラメータ）を公開し、ｓ１，ｓ２を自分の秘密鍵とする。Ａは文書Ｍに対する署名を行うには、乱数ｒ１，ｒ２を発生し、ｘ＝ｇ_１ ^ｒ１・ｇ_２ ^ｒ２ｍｏｄ ｐを計算し、ハッシュ関数演算器でｅ＝ｈ（ｘ，Ｍ）を計算し、秘密鍵ｓ１，ｓ２を用い、ｙ１＝ｒ１＋ｅ・ｓ１ｍｏｄｑ、ｙ２＝ｒ２＋ｅ・ｓ２ｍｏｄ ｑを計算し、署名（ｅ，ｙ１，ｙ２）とＭを検証者Ｂへ送る。Ｂはｗ＝ｇ_１ ^ｙ１・ｇ_２ ^ｙ２・ｖ^ｅｍｏｄ ｐを計算し、ｗ＝ｘかを判定し、成立すれば合格とする。

特許公開平６−５９６２６ ディジタル署名方式 日本電信電話株式会社 岡本 龍明 特許出願平４−２１５８０９

Ｆｉａｔ−Ｓｈａｍｉｒ方式の安全性は、法の合成数の素因数分解の困難さに依存する。岡本方式の安全性は、法の合成数の素因数分解の困難さに依存すること、及び乗法群上の離散対数問題の計算量上の困難さに依存することであり、量子コンピュータが出現するといずれの問題も多項式時間で解読可能と予想されている。

このように岡本方式やＦｉａｔ−Ｓｈａｍｉｒ方式は、耐量子コンピュータ性がなく、量子コンピュータが出現すると多項式時間で解読されてしまうと予想されている。この発明の目的は、安全性をＮＰ完全問題の１つである高次多変数連立代数方程式の解法に依存する方式を採用することにより、耐量子コンピュータ性を持つディジタル署名方式を提案することにある。

信頼のおける第３者機関であるシステムセンタは３以上の素数ｑおよび３つの整数ｄ，ｒ，ｍを選び公開する。利用者Ａ（署名者）は、システム加入時に、秘密鍵［ｋ_ｉ，Ａ_ｉ（ｉ＝１，．．，ｍ）］を選ぶ。ここで、ｋ_ｉ（ｉ＝１，．．，ｍ）を有限体Ｆｑ上のｍ個の任意の要素として、Ａ_ｉ（ｉ＝１，．．，ｍ）をＦｑ上の四元数環Ｈ上の互いに非可換となるｍ個の要素とする。１つの要素ＡｉはＦｑ上の４つの要素から成り立っている四元数である。利用者Ａは公開されている４つのシステムパラメータ［ｑ，ｄ，ｒ，ｍ］と秘密鍵［ｋ_ｉ，Ａ_ｉ（ｉ＝１，．．，ｍ）］から、公開鍵である四元数環上の暗号化関数Ｆ（Ｘ）を以下のように生成する。

利用者ＡはＦ（Ｘ）を展開して、展開式の係数ｆ_{ｊｅ０ｅ１ｅ２ｅ３}を求め、その集合｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝を利用者Ａの公開鍵として、利用者Ａの識別情報ＩＤと対にしてシステムセンタに送る（図２）。ｆ_{ｊｅ０ｅ１ｅ２ｅ３}は以下のような形をしている。四元数Ｆ（Ｘ）の要素表現形式を（ｆ_０，ｆ_１，ｆ_２，ｆ_３）とすると、

ここで、１＋ｒ＋…＋ｒ^ｄ＝ｓとして、
ｅ_０，ｅ_１，ｅ_２，ｅ_３は非負の整数でｅ_０＋ｅ_１＋ｅ_２＋ｅ_３＝ｓを満足する。上記ｆ_ｊを与える式の右辺の項数ｎは、
ｎ＝_４Ｈ_ｓ＝_３＋ｓＣ_３＝（ｓ＋３）（ｓ＋２）（ｓ＋１）／６
となる。

利用者Ａが利用者Ｂに署名Ｓを以下のように送る。
利用者Ａは、すべてのＡ_ｉ（ｉ＝１，．．，ｍ）と非可換な四元数環Ｈの任意の要素Ｒを選ぶ。
利用者Ａは、送信するメッセージＥ＝（Ｅ_０，Ｅ_１，Ｅ_２，Ｅ_３）∈Ｈから、ｇ＝Ｅ_０＋Ｅ_１＋Ｅ_２＋Ｅ_３を生成する。
利用者Ａは自分の秘密鍵［ｋ_ｉ，Ａ_ｉ（ｉ＝１，．．，ｍ）］と選んだ要素Ｒを用いて、Ｆｑ上の四元数環上の補助暗号化関数Ｔ（Ｘ）を以下のように生成する。

利用者ＡはＴ（Ｘ）を展開して、展開式の係数ｔ_{ｊｅ０ｅ１ｅ２ｅ３}を求め、その集合｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝を求める。
ｔ_{ｊｅ０ｅ１ｅ２ｅ３}は以下のような形をしている。
四元数Ｔ（Ｘ）の要素表現形式を（ｔ_０，ｔ_１，ｔ_２，ｔ_３）とすると

ここで、ｅ_０，ｅ_１，ｅ_２，ｅ_３は非負の整数でｅ_０＋ｅ_１＋ｅ_２＋ｅ_３＝ｓを満足する。上記ｔ_ｊを与える式の右辺の項数ｎは、
ｎ＝_４Ｈ_ｓ＝_３＋ｓＣ_３＝（ｓ＋３）（ｓ＋２）（ｓ＋１）／６
となる。

利用者ＡはメッセージＥと署名Ｓ＝［｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝，Ｒ］を利用者Ｂに送る（図３の上段）。

利用者Ｂはシステムセンタの公開鍵管理簿から入手した利用者Ａの公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝と利用者Ａから送られてきたメッセージＥと署名Ｓから以下の手順で検証する。
まず、メッセージＥ＝（Ｅ_０，Ｅ_１，Ｅ_２，Ｅ_３）∈Ｈから、ｇ＝Ｅ_０＋Ｅ_１＋Ｅ_２＋Ｅ_３を生成する。

次に、利用者ＢはＦ（Ｒ^ｇＥ）≠Ｔ（ＲＥ）であることを確認する。
利用者Ｂは｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝からＦ（Ｒ^ｇＥ）の要素表現形式（ｆ’_０，ｆ’_１，ｆ’_２，ｆ’_３）を求める。
Ｒ^ｇＥ＝（ｂ_０，ｂ_１，ｂ_２，ｂ_３）とおくと、

ここで、ｅ_０，ｅ_１，ｅ_２，ｅ_３は非負の整数でｅ_０＋ｅ_１＋ｅ_２＋ｅ_３＝ｓを満足する。上記ｆ’_ｊを与える式の右辺の項数ｎは、
ｎ＝_４Ｈ_ｓ＝_３＋ｓＣ_３＝（ｓ＋３）（ｓ＋２）（ｓ＋１）／６
となる。

同様にして、利用者Ｂは｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝からＴ（ＲＥ）の要素表現形式（ｔ’_０，ｔ’_１，ｔ’_２，ｔ’_３）を求める。
ＲＥ＝（ｃ_０，ｃ_１，ｃ_２，ｃ_３）とおくと

ここで、ｅ_０，ｅ_１，ｅ_２，ｅ_３は非負の整数でｅ_０＋ｅ_１＋ｅ_２＋ｅ_３＝ｓを満足する。上記ｔ’_ｊを与える式の右辺の項数ｎは、
ｎ＝_４Ｈ_ｓ＝_３＋ｓＣ_３＝（ｓ＋３）（ｓ＋２）（ｓ＋１）／６
となる。

利用者Ｂは
Ｔ（ＲＥ）＝（ｔ’_０，ｔ’_１，ｔ’_２，ｔ’_３）≠（ｆ’_０，ｆ’_１，ｆ’_２，ｆ’_３）＝Ｆ（Ｒ^ｇＥ）
を確認する。等しければ送られてきたＳは利用者Ａの署名でないと判定する（図３下段）。

利用者Ｂは、任意の整数ｐを選び、以下のように
Ｆ（Ｒ^ｇ＋ｐ）＝Ｔ（Ｒ^ｐ＋１）
を確認する。

利用者Ｂは｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝からＦ（Ｒ^ｇ＋ｐ）の要素表現形式（ｆ’’_０，ｆ’’_１，ｆ’’_２，ｆ’’_３）を求める。
Ｒ^ｇ＋ｐ＝（ｂ_０，ｂ_１，ｂ_２，ｂ_３）とおいて、

ここで、ｅ_０，ｅ_１，ｅ_２，ｅ_３は非負の整数でｅ_０＋ｅ_１＋ｅ_２＋ｅ_３＝ｓを満足する。上記ｆ”_ｊを与える式の右辺の項数ｎは、
ｎ＝_４Ｈ_ｓ＝_３＋ｓＣ_３＝（ｓ＋３）（ｓ＋２）（ｓ＋１）／６
となる。

同様にして、利用者ＢはＴ（Ｒ^ｐ＋１）の要素表現形式（ｔ’’_０，ｔ’’_１，ｔ’’_２，ｔ’’_３）を求める。
Ｒ^ｐ＋１＝（ｃ_０，ｃ_１，ｃ_２，ｃ_３）とおくと、

ここで、ｅ_０，ｅ_１，ｅ_２，ｅ_３は非負の整数でｅ_０＋ｅ_１＋ｅ_２＋ｅ_３＝ｓを満足する。上記ｔ”_ｊを与える式の右辺の項数ｎは、
ｎ＝_４Ｈ_ｓ＝_３＋ｓＣ_３＝（ｓ＋３）（ｓ＋２）（ｓ＋１）／６
となる。

利用者Ｂは
Ｆ（Ｒ^ｐ＋ｇ）＝（ｔ’’_０，ｔ’’_１，ｔ’’_２，ｔ’’_３）＝（ｆ’’_０，ｆ’’_１，ｆ’’_２，ｆ’’_３）＝Ｔ（Ｒ^ｐ＋１）
を確認する。その結果が一致するかどうかを検証し、その検証に合格すればＳは利用者Ａの正当な署名文書と判定することにより署名文書の正当性を確認する（図４）。

［００１０］で公開される集合｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝の値から秘密鍵［ｋ_ｉ，Ａ_ｉ（ｉ＝１，．．，ｍ）］を求めることが高次元多変数連立代数方程式の解法に帰結される。この解法問題はＮＰ完全問題の一つである。

ところで、岡本方式の安全性は、法の合成数の素因数分解の困難さや素数を法とする離散対数問題の困難さに依存する。

一方、本発明方式の安全性は、有限体Ｆｑ上の高次多変数連立代数方程式の解法の困難さに依存する。次数を大きくし、変数の数を多くすることにより、耐量子コンピュータ性をもつディジタル署名方式である。

岡本方式やＦｉａｔ−Ｓｈａｍｉｒ方式の安全性は、法の合成数の素因数分解の困難さや素数を法とする離散対数問題の困難さに依存するので、量子コンピュータが出現すると、多項式時間で解読可能となる恐れがある。

一方、本発明においては、有限体Ｆｑ上の高次多変数連立代数方程式の解法の困難さに依存するディジタル署名方式が、高次多変数連立代数方程式の解法がＮＰ完全問題の１つとなるので、量子コンピュータに耐えうるディジタル署名方式を提供できる。

従ってこの発明によれば安全性を高く保持するものとなる。

なお、本発明は、上記において説明した実施形態に限定されるものではなく、その主旨を逸脱しない範囲において種々変更可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。

本発明の一実施の形態による署名方式のブロック図である。 同実施の形態による署名方式における利用者Ａの署名処理手順のブロック図である。 同実施の形態による署名方式における利用者Ｂの検証処理手順１のブロック図である。 同実施の形態による署名方式における利用者Ｂの検証処理手順２のブロック図である。

１００…システムセンタ装置
２００…利用者Ａ（署名者）端末
３００…利用者Ｂ（検証者）端末
４００…安全でない通信路
１１０…システムセンタ公開鍵管理簿
２０１、２０２，２０６、３０３…乱数発生器
２０３…記憶装置
２０４…公開鍵生成装器
２０５…署名生成器
３０１，３０４，３０５…検証器
３０２，３０６…比較器

請求項１の発明の一実施例について説明する。

図１にこの発明の全体構成を示す。ディジタル署名を作成する利用者Ａ（署名者）装置２００と、署名を検証する利用者Ｂ（検証者）装置３００とが安全でない通信路４００を介して結合されているとする。

まず、システムに加入した利用者Ａは、システム加入時に、システムセンタ１００からシステムパラメータｑ，ｄ，ｒ，ｍを入手して、署名者装置２００にて基本的に一度だけ行う初期情報設定段階において、図２に示す乱数発生器２０１，２０２を用いて、秘密鍵［ｋｉ，Ａｉ（ｉ＝１，．．，ｍ）］と、公開鍵生成器２０４を用いて公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝を生成し、秘密鍵［ｋｉ，Ａｉ（ｉ＝１，．．，ｍ）］と公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝を記憶装置２０３に入力し、公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝を利用者Ａの識別情報ＩＤと対にして、システムセンタ１００の公開鍵管理簿１１０に登録する。

次に、利用者Ａが文書Ｅに対するディジタル署名を作成する手順について説明する。署名作成者である利用者Ａは、署名者装置２００で署名作成を行う。図３にその処理手順を示す。
利用者Ａは乱数発生器２０６を用いて四元数である乱数Ｒを生成し、記憶装置２０３に入力し、当該文書Ｅ，当該乱数Ｒを入力として署名生成器２０５を用いて｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝を計算し、［｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝，Ｒ］を文書Ｅに対するディジタル署名Ｓとして、ＳとＥを記憶装置２０３に入力し、検証者である利用者ＢにＳとＥを送信する。

次に、検証者である利用者Ｂが検証者装置３００を用いて、署名作成者である利用者Ａの署名者装置２００から送信された文書Ｅと当該文書Ｅに対するディジタル署名［｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝，Ｒ］を検証する手順について説明する。図３，図４に署名検証手順を示す。

まず、Ｔ（ＲＥ）≠Ｆ（Ｒ^ｇＥ）を確認する。検証者である利用者Ｂは検証器３０１を用いて、受信した四元数である文書Ｅから、その４つの要素の和ｇを計算し、システムセンタの公開鍵管理簿から入手した利用者Ａの公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝と受信したＲとＥと計算したｇからＲ^ｇＥを計算して、Ｆ（Ｒ^ｇＥ）＝（ｆ’_０，ｆ’_１，ｆ’_２，ｆ’_３）を生成して、比較器３０２に入力する。一方、検証器３０１を用いて、受信したＲ，ＥからＲＥを計算し、受信した｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝とＲＥからＴ（ＲＥ）＝（ｔ’_０，ｔ’_１，ｔ’_２，ｔ’_３）を生成して、比較器３０２に入力する。比較器３０２を用いて、（ｆ’_０，ｆ’_１，ｆ’_２，ｆ’_３）と（ｔ’_０，ｔ’_１，ｔ’_２，ｔ’_３）が等しいか異なるかを検証する。利用者Ｂは等しいときはＳは利用者Ａの署名ではないと出力する。異なるときは検証器３０４を用いて、図４に示すように検証する。

検証者である利用者Ｂは乱数発生器３０３を用いて、整数である乱数ｐを生成し、検証器３０４に入力する。

検証者である利用者Ｂは検証器３０４にてＲ^ｇ＋ｐを計算し、Ｒ^ｇ＋ｐと公開鍵管理簿から入手した利用者Ａの公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝からＦ（Ｒ^ｇ＋ｐ）＝（ｆ’’_０，ｆ’’_１，ｆ’’_２，ｆ’’_３）を計算し比較器３０６に入力する。

検証者である利用者Ｂは検証器３０５にてＲ^ｐ＋１を計算し、Ｒ^ｐ＋１と受信した｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝からＴ（Ｒ^ｐ＋１）＝（ｔ’’_０，ｔ’’_１，ｔ’’_２，ｔ’’_３）を計算し比較器３０６に入力する。

検証者である利用者Ｂは比較器３０６を用いて、（ｆ’’_０，ｆ’’_１，ｆ’’_２，ｆ’’_３）と（ｔ’’_０，ｔ’’_１，ｔ’’_２，ｔ’’_３）が等しいか異なるかを検証する。等しいときはＳは利用者Ａの署名であると出力する。異なるときはＳは利用者Ａの署名ではないと出力する。

なお、本発明は、上記において説明した実施形態に限定されるものではなく、その主旨を逸脱しない範囲において種々変更可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。

この発明は電子文書の正当性を確認するディジタル署名方式に関し、特に安全性が高く、耐量子コンピュータ性をもつディジタル署名方式を提案するものである。

Claims (1)

1. 電子的に作成したディジタル文書の正当性及び承認者を確認するためのディジタル署名を実現する方式であって、システム加入時に利用者Ａ（署名者）は、秘密鍵［ｋｉ，Ａｉ（ｉ＝１，…，ｍ）］を生成し、その秘密鍵より、公開情報である整数ｑ，ｄ，ｒ，ｍを用いて、公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝を生成し、上記署名者の識別情報ＩＤと上記公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝を対としてシステムセンタの公開鍵管理簿に登録し、署名作成処理段階において、文書Ｅに対して署名を作成したい利用者Ａ（署名者）は、乱数Ｒを生成し、それと上記ｑ，ｄ，ｒ，ｍとＥより、｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝を生成し、上記［｛ｔ_{ｊｅ０ｅ１ｅ２ｅ３}｝，Ｒ］の組を上記文書Ｅに対する署名Ｓとして、文書ＥをＳと共に利用者Ｂ（検証者）に送信し、上記署名Ｓと文書Ｅを受信した利用者Ｂ（検証者）は、上記利用者Ａ（署名者）の識別情報ＩＤに基づき上記システムセンタの公開鍵管理簿より上記公開情報ｑ，ｄ，ｒ，ｍ及び上記公開鍵｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝を検索し、これらｑ，ｄ，ｒ，ｍ，｛ｆ_{ｊｅ０ｅ１ｅ２ｅ３}｝と上記受信したＳとＥより、暗号化関数Ｆ（Ｘ）にＲ^ｇＥを入力して求めた（ｆ’_０，ｆ’_１，ｆ’_２，ｆ’_３）と補助暗号化関数Ｔ（Ｘ）にＲＥを入力して求めた（ｔ’_０，ｔ’_１，ｔ’_２，ｔ’_３）が等しくないことを検証し、暗号化関数Ｆ（Ｘ）にＲ^ｇ＋ｐを入力して求めた（ｆ’’_０，ｆ’’_１，ｆ’’_２，ｆ’’_３）と補助暗号化関数Ｔ（Ｘ）にＲ^ｐ＋１を入力して求めた（ｔ’’_０，ｔ’’_１，ｔ’’_２，ｔ’’_３）が等しいことを検証し，合格すれば正当な署名文書と判定することにより署名文書の正当性を確認することを特徴とするディジタル署名方式。

Images