JP2016001248A - 署名生成装置、署名検証装置、検証システム、およびプログラム - Google Patents

Abstract

【課題】格子上の問題に基づくタグ付き使い捨て署名方式を実現する。
【解決手段】署名生成時には、選択されたｎ_０次元のベクトルｚ_０、選択されたｍ_１次元のベクトルσ_１、およびメッセージに対応するｋ_１次元のベクトルＭ_１を用い、Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報に対応するｋ_０次元のベクトルｚ_１を得、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすｍ_０次元のベクトルσ_０を得、ベクトルσ_０およびσ_１を含む署名を出力する。署名検証時には、ベクトルＭ_１，σ_０，σ_１，ｚ_０を用い、Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報に対応するｋ_０次元のベクトルｚ_１を得、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすことを必要条件とする検証条件を満たすかを判定する。
【選択図】図１

Description

本発明は、署名技術に関し、特に、タグ付き使い捨て署名技術に関する。

タグ付き使い捨て署名（TOS: Tagged One-Time Signature）方式は、使い捨て署名（OTS: One-Time Signature）方式の一種であり、秘密鍵と「タグ」と呼ばれる使い捨て公開鍵とに基づいてメッセージに対する署名を生成し、この秘密鍵に対応する公開鍵とタグとメッセージを用いて署名検証を行う（例えば、非特許文献１等参照）。ＴＯＳ方式では、通常のＯＴＳ方式（例えば、非特許文献２等参照）とは異なり、署名生成のための使い捨て秘密鍵を保存しておく必要がない点で利便性が高い。

Masayuki Abe, Melissa Chase, Bernardo David, Markulf Kohlweiss, Ryo Nishimaki, Miyako Ohkubo, "Constant-Size Structure-Preserving Signatures: Generic Constructions and Simple Assumptions," ASI-ACRYPT 2012, 4-24. Payman Mohassel, "One-Time Signatures and Chameleon Hash Functions," Selected Areas in Cryptography 2010, 302-319.

しかしながら、非特許文献１に記載されたＴＯＳ方式は、ペアリング群上の計算量的仮定に基づく安全性（計算量的安全性）を持つ方式であり、量子計算機が実現した場合その安全性は失われる。

本発明の目的は、量子計算機が実現したとしてもその安全性を保持できると考えられる格子上の問題に基づくタグ付き使い捨て署名方式を提供することである。

署名生成時には、選択されたｎ_０次元のベクトルｚ_０、選択されたｍ_１次元のベクトルσ_１、およびメッセージに対応するｋ_１次元のベクトルＭ_１を用い、Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報に対応するｋ_０次元のベクトルｚ_１を得、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすｍ_０次元のベクトルσ_０を得、ベクトルσ_０およびσ_１を含む署名を出力する。ただし、ｎ_０，ｋ_０，ｍ_０，ｎ_１，ｋ_１，ｍ_１は１以上の整数、Ａ_０はｎ_０行ｋ_０列の行例、Ｂ_０はｎ_０行ｍ_０列の行例、Ａ_１はｎ_１行ｋ_１列の行例、およびＢ_１はｎ_１行ｍ_１列の行例である。

署名検証時には、ベクトルＭ_１，σ_０，σ_１，ｚ_０を用い、Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報に対応するｋ_０次元のベクトルｚ_１を得、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすことを必要条件とする検証条件を満たすかを判定する。

本発明では、格子上の問題に基づくタグ付き使い捨て署名方式を実現できる。

図１は実施形態の署名システムの機能構成を例示するためのブロック図である。 図２は、実施形態の鍵生成装置の機能構成を例示するためのブロック図である。 図３Ａは、実施形態の署名生成装置の機能構成を例示するためのブロック図である。図３Ｂは、実施形態の署名検証装置の機能構成を例示するためのブロック図である。 図４Ａは、実施形態の鍵生成方法を例示するためのフロー図である。図４Ｂは、実施形態の署名生成方法を例示するためのフロー図である。図４Ｃは、実施形態の署名検証方法を例示するためのフロー図である。 図５Ａから図５Ｃは、実施形態のデータ構成を例示するための図である。 図６Ａから図６Ｃは、実施形態のデータ構成を例示するための図である。 図７Ａから図７Ｃは、実施形態のデータ構成を例示するための図である。

以下、本発明の実施形態を説明する。
［定義］
実施形態で使用する用語を定義する。
＜ＳＩＳ（Small Integer Solution）問題＞
ＳＩＳ問題とは、解法が困難とされている格子上の問題の一種であり、暗号プリミティブの安全性の根拠として用いられる（例えば、参考文献１参照）。ＳＩＳ問題とは、要約すれば、素体Ｚ_ｑ上（ただし、ｑは素数）のｎ行ｍ列（ただし、ｎおよびｍは１以上の整数、例えば２以上の整数）の行列Ｂに対して、Ｂｒ＝０となる小さなｍ次元のベクトルｒを求める問題である。小さなベクトルとは、ノルムがある達成可能な小さな正値ｓ以下であることを意味する。例えば、その要素がほとんど０または１で構成されているベクトルは小さいベクトルといえる。例えば、ＳＩＳ問題とは、一様ランダムなＺ_ｑの元からなるｎ行ｍ列の行列Ｂ∈Ｚ_ｑ ^ｎ×ｍ（ただし、ｍはｎの多項式で得られる）に対し、以下の式（１）および（２）を満たす整数集合Ｚの元からなるｍ次元のベクトルｒ∈Λ^⊥（Ｂ）を求める問題である。
Λ^⊥（Ｂ）＝｛ｒ∈Ｚ^ｍ：Ｂｒ＝０∈Ｚ_ｑ ^ｎ｝⊆Ｚ^ｍ （１）
｜r｜_２≦ｓ （２）
ただし、｜r｜_２はｒのユークリッドノルムを表す。
［参考文献１］David Cash, Dennis Hofheinz, Eike Kiltz, Chris Perkest ,“Bonsai, Trees, or How to Delegate a Lattice Basis,” Advances in Cryptology - EUROCRYPT 2010, Lecture Notes in Computer Science Volume 6110, 2010, 523-552.

＜アルゴリズムＧｅｎＢａｓｉｓおよびＳａｍｐｌｅＤ＞
参考文献１，２によれば、以下のようなアルゴリズムＧｅｎＢａｓｉｓおよびＳａｍｐｌｅＤが存在する。
［参考文献２］C. Gentry, C. Peikert, and V. Vaikuntanathan, “Trapdoors for hard lattices and new cryptographic constructions,” In STOC, pages 197-206. 2008.

アルゴリズムＧｅｎＢａｓｉｓは、ｎ，ｍ，ｑを入力とし、基底ベクトルＳ∈Ｚ^ｍと行列Ｂ∈Ｚ_ｑ ^ｎ×ｍとの組（Ｓ，Ｂ）を生成して出力する（（Ｓ，Ｂ）←ＧｅｎＢａｓｉｓ（ｎ，ｍ，ｑ））。ただし、基底ベクトルＳは、行列Ｂについての部分集合（部分ベクトル空間）Λ^⊥（Ｂ）を張る何れかの基底であり、トラップドア（落とし戸）として機能する。

アルゴリズムＳａｍｐｌｅＤは、Ｓ，Ｂ，ｙ，ｓを入力とし、以下の式（３）および（４）を満たす整数集合Ｚの元からなるｍ次元のベクトルｘ∈Λ_ｙ ^⊥（Ｂ）を離散ガウス分布（Discrete Gaussian Distribution）Ｄ（Λ_ｙ ^⊥（Ｂ），ｓ）に従って選択して出力する（ｘ←ＳａｍｐｌｅＤ（Ｓ，Ｂ，ｙ，ｓ））。
Λ_ｙ ^⊥（Ｂ）＝｛ｘ∈Ｚ^ｍ：Ｂｘ＝ｙ｝ （３）
｜ｘ｜_２≦ｓ （４）
ただし、ｙ∈Ｚ_ｑ ^ｎはＺ_ｑの元を要素とするランダムなｎ次元のベクトルである。離散ガウス分布Ｄ（Λ_ｙ ^⊥（Ｂ），ｓ）とは、各ベクトルｘ∈Λ_ｙ ^⊥（Ｂ）に対する確率がガウス分布ρ_ｓ（ｘ）＝ｅｘｐ（−π｜ｘ｜^２／ｓ^２）に比例し、その他のベクトルに対する確率が０となる確率分布を意味する。なお｜ｘ｜^２はｘのノルムを表す。トラップドアとして機能する基底ベクトルＳがない場合、このようなベクトルｘを求めることは困難である。

＜ＳＩＳ問題の困難性に基づくカメレオンハッシュ関数＞
参考文献１では、上記のＳＩＳ問題の困難性に基づいてカメレオンハッシュを構成した。以下、これについて説明する。
安全性のパラメータをｋ，ｎ，ｍ，ｓとする。ただし、ｋは１以上の整数（例えば、２以上の整数）である。まず、（Ｓ，Ｂ）←ＧｅｎＢａｓｉｓ（ｎ，ｍ，ｑ）を計算し、ｎ行ｋ列のＺ_ｑ上の行列Ａ∈Ｚ_ｑ ^ｎ×ｋをランダムに選ぶ。（Ａ，Ｂ）をハッシュ鍵として公開し、Ｓをトラップドアとして秘密に保持する。メッセージはｋビットのビット列であり、その各ビットをＺ_ｑ上の値０，１に割り当てて、ｋ個のＺ_ｑ要素からなる行ベクトルで表現する（Ｍ∈Ｚ_ｑ ^ｋ）。Ｄ（Ｚ^ｍ，ｓ）をｓで制限されるＺ^ｍ上のガウス分布とする。Ｄ（Ｚ^ｍ，ｓ）は、各ベクトルｒ∈Ｚ^ｍに対する確率が分布ρ_ｓ（ｒ）＝ｅｘｐ（−π｜ｒ｜^２／ｓ^２）に比例するガウス分布を意味する。メッセージＭをハッシュするには、Ｚ_ｐ上のｍ行ベクトルｒ∈Ｚ^ｍを分布Ｄ（Ｚ^ｍ，ｓ）に従って選び、Ｈａｓｈ（ｍ，ｒ）＝ＡＭ＋Ｂｒ∈Ｚ^ｎを計算し、その出力であるｎ次元のベクトルＨａｓｈ（ｍ，ｒ）∈Ｚ^ｎをハッシュ値ｈとする。任意のハッシュ値ｈと任意のメッセージＭ’∈Ｚ_ｑ ^ｋに対して、ｈ＝ＡＭ’＋Ｂｒ’となるベクトルｒ’∈Ｚ^ｎは、トラップドアである基底ベクトルＳを用いてｒ’＝ＳａｍｐｌｅＤ（Ｓ，Ｂ，ｈ−ＡＭ’，ｓ）のように計算できる。一方、Ｓを知らない場合、そのようなｒ’を求めることはＳＩＳ問題を解くことに帰着されるため、困難である。

［第１実施形態］
次に第１実施形態を説明する。
＜構成＞
図１に例示するように、本形態の署名システム１は、鍵生成装置１１、署名生成装置１２、および署名検証装置１３を有しており、これらはインターネット等のネットワークを通じて通信可能に構成されている。図２に例示するように、本形態の鍵生成装置１１は、基底生成部１１１、行列生成部１１２、鍵構成部１１３、出力部１１４、および制御部１１９を有する。図３Ａに例示するように、本形態の署名生成装置１２は、入力部１２１、記憶部１２２、選択部１２３、演算部１２４，１２６、タグ選択部１２５、出力部１２７、および制御部１２９を有する。図３Ｂに例示するように、本形態の署名検証装置１３は、入力部１３１、記憶部１３２、演算部１３４、判定部１３６、および制御部１３９を有する。鍵生成装置１１、署名生成装置１２、および署名検証装置１３は、それぞれ制御部１１９，１２９、および１３９の制御のもとで各処理を実行する。鍵生成装置１１、署名生成装置１２、および署名検証装置１３は、それぞれ、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、単独で処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。

＜鍵生成処理＞
鍵生成処理を説明する。なお、事前に安全性のパラメータｎ_０，ｋ_０，ｍ_０，ｎ_１，ｋ_１，ｍ_１，ｓ，ｑが設定されているとする。ただし、ｎ_０，ｋ_０，ｍ_０，ｎ_１，ｋ_１，ｍ_１は１以上の整数であり、例えば、これらは２以上の整数である。ｓは正値であり、ｑは素数である。また、Ｚ_ｑ ^ｎ１の元をｋ_０個の｛０，１｝∈Ｚ_ｑからなるｋ_０次元のベクトルにマッピングするＺ_ｑ ^ｎ１→｛０，１｝^ｋ０なる関数Ｔが設定されているとする。ただし、上付き添え字の「ｎ１」および「ｋ０」は、それぞれ「ｎ_１」および「ｋ_０」を表す。関数Ｔはターゲット衝突困難性を持つ関数である。関数Ｔの構成に限定はないが、例えば、ターゲット衝突困難なハッシュ関数をＴとして用いることができる。

鍵生成装置１１（図２）は、鍵生成関数ＴＯＳ．ｋｅｙ（ｎ_０，ｋ_０，ｍ_０，ｎ_１，ｋ_１，ｍ_１，ｓ）を実行して、公開鍵ｐｋと秘密鍵ｓｋとの鍵ペア（ｓｋ，ｐｋ）を生成する。まず、図４Ａに例示するように、鍵生成装置１１の基底生成部１１１が、ｎ_０，ｍ_０，ｑを入力として（Ｓ_０，Ｂ_０）←ＧｅｎＢａｓｉｓ（ｎ_０，ｍ_０，ｑ）を計算する。Ｂ_０∈Ｚ_ｑ ^{ｎ０×ｍ０}はｎ_０行ｍ_０列の行例である。ただし、上付き添え字の「ｎ０」および「ｍ０」は「ｎ_０」および「ｍ_０」をそれぞれ表す。Ｓ_０∈Ｚ^ｍ０は行例Ｂ_０に対応する秘密情報であるトラップドアである。前述のように、トラップドアＳ_０はＢ_０ｒ_０＝０を満たすｍ_０次元のベクトルｒ_０が属する部分集合（部分ベクトル空間）を張るｍ_０次元の基底ベクトルの何れかである。（Ｓ_０，Ｂ_０）は鍵構成部１１３に送られる（ステップＳ１１１）。

行列生成部１１２は、ｎ_０行ｋ_０列の行例Ａ_０∈Ｚ_ｑ ^{ｎ０×ｋ０}、ｎ_１行ｋ_１列の行例Ａ_１∈Ｚ_ｑ ^{ｎ１×ｋ１}、およびｎ_１行ｍ_１列の行例Ｂ_１∈Ｚ_ｑ ^{ｎ１×ｍ１}を、それぞれランダムに選択する。Ａ_０，Ａ_１，Ｂ_１は鍵構成部１１３に送られる（ステップＳ１１２）。

鍵構成部１１３は、Ｓ_０，Ｂ_０，Ａ_０，Ａ_１，Ｂ_１を入力とし、公開鍵ｐｋ＝（Ａ_０，Ｂ_０，Ａ_１，Ｂ_１，Ｔ，ｓ）および秘密鍵ｓｋ＝（Ｓ_０）を構成して出力する。公開鍵ｐｋと秘密鍵ｓｋとの鍵ペア（ｓｋ，ｐｋ）は、出力部１１４に送られる（ステップＳ１１３）。

出力部１１４は、公開鍵ｐｋを署名生成装置１２（図３Ａ）および署名検証装置１３（図３Ｂ）に送信する。公開鍵ｐｋは、署名生成装置１２の入力部１２１および署名検証装置１３の入力部１３１に入力され、記憶部１２２および記憶部１３２に格納される。秘密鍵ｓｋは署名生成装置１２に安全に送られ、署名生成装置１２の入力部１２１に入力され、記憶部１２２に安全に格納される。秘密鍵ｓｋは秘密情報である（ステップＳ１１４）。

＜署名生成処理＞
署名生成処理を説明する。図４Ｂに例示するように、まず、メッセージｍｓｇに対応するｋ_１次元のベクトルＭ_１∈Ｚ_ｑ ^ｋ１が、署名生成装置１２（図３Ａ）の入力部１２１に入力される。ベクトルＭ_１はｋ_１個の要素｛０，１｝∈Ｚ_ｑ ^ｋ１からなる行ベクトルである。ベクトルＭ_１は記憶部１２２に格納される（ステップＳ１２１）。

タグ選択部１２５は公開鍵ｐｋを入力とし、タグ生成関数ＴＯＳ.Ｔａｇ（ｐｋ）を実行してｎ_０次元のベクトルｚ_０∈Ｚ_ｑ ^ｎ０をランダムに選択し、これをタグｚ_０として出力する。タグｚ_０は署名生成処理のたびに新たに選択される。ただし、タグ選択部１２５は、署名生成処理のたびにランダムに生成したベクトルをタグｚ_０としてもよいし、事前にランダムに複数個生成しておいたｎ_０次元のベクトルから署名生成処理のたびにタグｚ_０を選択してもよい。選択されたタグｚ_０は演算部１２６および出力部１２７に送られる（ステップＳ１２５）。

選択部１２３および演算部１２４，１２６は、署名生成関数ＴＯＳ．Ｓｉｇn（ｓｋ，Ｍ_１，ｚ_０）を実行して署名σを生成する。選択部１２３は、ガウス分布Ｄ（Ｚ^ｍ１，ｓ）（前述のＤ（Ｚ^ｍ，ｓ）においてｍ＝ｍ_１とした分布）に従ってｍ_１次元のベクトルσ_１∈Ｚ_ｑ ^ｍ１を選択して出力する。すなわち、ベクトルσ_１の要素はガウス分布に従って選択される。ベクトルσ_１は署名生成処理のたびに新たに選択される。ただし、選択部１２３は、署名生成処理のたびにガウス分布Ｄ（Ｚ^ｍ１，ｓ）に従ってベクトルσ_１を生成してもよいし、事前にガウス分布Ｄ（Ｚ^ｍ１，ｓ）に従って複数個生成しておいたがｍ_１次元のベクトルから署名生成処理のたびにベクトルσ_１を選択してもよい。選択されたベクトルσ_１は演算部１２４および出力部１２７に送られる（ステップＳ１２３）。

演算部１２４は、記憶部１２２から読み出した公開鍵ｐｋ、および選択部１２３から送られたベクトルσ_１を入力とし、ｎ_１次元のベクトルｈ_１＝Ａ_１Ｍ_１＋Ｂ_１σ_１∈Ｚ_ｑ ^ｎ１（図５Ａ）を含む情報に対応するｋ_０次元のベクトルｚ_１を得る。本形態では、演算部１２４は、ｎ_１次元のベクトルｈ_１を関数Ｔに入力してｋ_０次元のベクトルｚ_１＝Ｔ（ｈ_１）を得て出力する（図５Ｂ）。ベクトルｚ_１は演算部１２６に送られる（ステップＳ１２４）。

演算部１２６は、記憶部１２２から読み出した公開鍵ｓｋおよび秘密鍵ｓｋ、タグ選択部１２５から送られたタグｚ_０、ならびに演算部１２４から送られたベクトルｚ_１を入力とし、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０（図６Ａ）を満たすｍ_０次元のベクトルσ_０∈Ｚ_ｑ ^ｍ０を得る。本形態の演算部１２６は、秘密鍵ｓｋからトラップドアである基底ベクトルＳ_０を抽出し、公開鍵ｐｋからＡ_０，Ｂ_０を抽出し、ｚ_０−Ａ_０ｚ_１（図６Ｂ）を得て、ｍ_０次元のベクトルσ_０＝ＳａｍｐｌｅＤ（Ｓ_０，Ｂ_０，ｚ_０−Ａ_０ｚ_１，ｓ）∈Ｚ_ｑ ^ｍ０（図６Ｃ）得て出力する。なお、タグｚ_０を使い捨て公開鍵とみた場合、ベクトルσ_０はタグｚ_０に対応する使い捨て秘密鍵である。本形態では、アルゴリズムＳａｍｐｌｅＤによって使い捨て秘密鍵に相当するベクトルσ_０を生成できるため、ベクトルσ_０を保持しておく必要がない。すなわち、タグ付き使い捨て署名を実現できる。また、基底ベクトル（トラップドア）Ｓ_０を知らない者がベクトルσ_０を求めることはＳＩＳ問題を解くことに帰着し、困難である。ベクトルσ_０は出力部１２７に送られる（ステップＳ１２６）。

出力部１２７は、タグｚ_０、ベクトルσ_０およびσ_１を含む署名σ＝（σ_０，σ_１）、および記憶部１２２から読み出したベクトルＭ_１を出力する（ステップＳ１２７）。

＜署名検証処理＞
署名検証処理を説明する。署名検証装置１３は、署名検証関数ＴＯＳ．Ｖｒｆ（ｐｋ,ｚ_０,Ｍ_１,σ）を実行する。図４Ｃに例示するように、タグｚ_０、署名σ＝（σ_０，σ_１）、およびベクトルＭ_１が、署名検証装置１３の入力部１３１に入力され、記憶部１３２に格納される。なお、入力部１３１に入力されるタグｚ_０、署名σ＝（σ_０，σ_１）、およびベクトルＭ_１は、上述のように正しく生成されたものとは限らない（ステップＳ１３１）。

判定部１３６は、記憶部１３２から署名σ＝（σ_０，σ_１）および公開鍵ｐｋを読み出し、σ_０およびσ_１がガウス分布Ｄ（Ｚ^ｍ１，ｓ）に従ったものであるかを判定する。この判定は、例えば、｜ｒ｜≦ｓを満たすかを判定し、｜ｒ｜≦ｓを満たせば、σ_０およびσ_１がガウス分布Ｄ（Ｚ^ｍ１，ｓ）に従ったものと判定することにする。σ_０およびσ_１がガウス分布Ｄ（Ｚ^ｍ１，ｓ）に従ったものではないと判定された場合には、判定部１３６は検証失敗を表す「０」を出力し（ステップＳ１３６０）、処理を終了する。一方、σ_０およびσ_１がガウス分布Ｄ（Ｚ^ｍ１，ｓ）に従ったものであると判定された場合、ステップＳ１３４に進む。

ステップＳ１３４では、演算部１３４が、記憶部１３２から、公開鍵ｐｋ、タグｚ_０、署名σ＝（σ_０，σ_１）、およびベクトルＭ_１を読み出し、これらを用い、ｈ_１＝Ａ_１Ｍ_１＋Ｂ_１σ_１（図５Ａ）を含む情報に対応するｋ_０次元のベクトルｚ_１∈Ｚ_ｑ ^ｋ０を得る。本形態では、演算部１３４は、ｎ_１次元のベクトルｈ_１を関数Ｔに入力してｋ_０次元のベクトルｚ_１＝Ｔ（ｈ_１）を得て出力する（図５Ｂ）。ベクトルｚ_１は判定部１３６に送られる（ステップＳ１３４）。

判定部１３６は、ベクトルｚ_１、および記憶部１３２から読み出した公開鍵ｐｋおよびベクトルσ_０を入力とし、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすことを必要条件とする検証条件を判定する。この判定は、（１）ｚ_０とＡ_０ｚ_１＋Ｂ_０σ_０とが一致するか否かによって行われてもよいし、（２）ｚ_０の関数値とＡ_０ｚ_１＋Ｂ_０σ_０の関数値とが一致するか否かによって行われてもよいし、（３）ｚ_０の関数値とＡ_０ｚ_１＋Ｂ_０σ_０の関数値とが所定の関係を満たすか否かによっても行われてもよい。あるいは、（１）〜（３）の何れかの条件を満たし、さらに別の条件を満たすか否かを判定してもよい。すなわち、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすことを必要条件とする検証条件を判定するのであれば、どのような判定が行われてもよい。ここで検証条件を満たさないと判断した場合、判定部１３６は検証失敗を表す「０」を出力し（ステップＳ１３６０）、処理を終了する。一方、検証条件を満たすと判断した場合、判定部１３６は検証成功を表す「１」を出力し（ステップＳ１３６１）、処理を終了する。

＜本形態の特徴＞
一般的なカメレオンハッシュ関数では、メッセージがあるハッシュ値になるような乱数を求めるためには、そのハッシュ値を生成したときに用いた乱数（および元のメッセージ）が必要となる。そのため、ハッシュ値をタグ（使い捨て公開鍵）として署名システムを構成する場合、その生成に利用した乱数（使い捨て秘密鍵）を保存する必要が生じてしまう。これに対し、本形態ではＳＩＳ問題の困難性に基づくカメレオンハッシュ関数を用いて署名システムを構成したため、そのような乱数（ベクトルσ_０）を保存する必要はなく、秘密のトラップドアとハッシュ値のみから乱数（ベクトルσ_０）を求めることができる。この特性を利用して、ハッシュ値に対応するベクトルをタグｚ_０とし、トラップドアＳ_０を長期の秘密鍵ｓｋとすることで、タグ付き使い捨て署名を構成できた。また、格子上の問題の一種であるＳＩＳ問題に基づいて安全性が担保されるため、量子計算機が実現したとしてもその安全性を保持できる。

［第１実施形態の変形例］
第１実施形態のステップＳ１２４およびＳ１３４では、ｎ_１次元のベクトルｈ_１を関数Ｔに入力してｋ_０次元のベクトルｚ_１＝Ｔ（ｈ_１）を得た（図５Ｂ）。しかしながら、衝突が生じないようにｎ_１次元のベクトルｈ_１をｋ_０次元のベクトルｚ_１にマッピングできるのであれば、他の関数を用いてもよい。例えば、Ｚ_ｑ ^ｎ１→｛０，１｝^ｋ０なる関数Ｔに代えてＺ_ｑ ^{ｎ１＋ｎ２}→｛０，１｝^ｋ０なる関数Ｔ’（例えば、ターゲット衝突困難なハッシュ関数）を用いることにし、ｎ_１次元のベクトルｈ_１とｎ_２次元のベクトルｗ_１との連結ｈ_１｜ｗ_１に対してｋ_０次元のベクトルｚ_１＝Ｔ’（ｈ_１｜ｗ_１）を得てもよい（図５Ｃ）。ｗ_１の例は公開鍵ｐｋ等の公開情報である。演算部１２４と演算部１３４とで同じｗ_１が用いられる。

［第２実施形態］
次に第２実施形態を説明する。本形態は第１実施形態の変形例であり、関数Ｔを用いない構成である。以下では第１実施形態との相違点を中心に説明し、第１実施形態と同じ部分については第１実施形態と同じ参照番号を用い、説明を省略する。

＜構成＞
図１に例示するように、本形態の署名システム２は、鍵生成装置２１、署名生成装置２２、および署名検証装置２３を有している。図２に例示するように、本形態の鍵生成装置２１は、基底生成部１１１、行列生成部２１２、鍵構成部２１３、出力部１１４、および制御部１１９を有する。図３Ａに例示するように、本形態の署名生成装置２２は、入力部１２１、記憶部１２２、選択部１２３、演算部２２４，１２６、タグ選択部１２５、出力部１２７、および制御部１２９を有する。図３Ｂに例示するように、本形態の署名検証装置２３は、入力部１３１、記憶部１３２、演算部２３４、判定部１３６、および制御部１３９を有する。

＜鍵生成処理＞
本形態の鍵生成処理が第１実施形態の鍵生成処理と相違するのは、ｎ_１＝ｋ_０であり、関数Ｔが設定されない点である。図４Ａに例示するように、まず、基底生成部１１１がステップＳ１１１を実行し、行列生成部２１２がｎ_１＝ｋ_０としたステップＳ１１２の処理を実行し（ステップＳ２１２）、鍵構成部２１３がＳ_０，Ｂ_０，Ａ_０，Ａ_１，Ｂ_１を入力とし、公開鍵ｐｋ＝（Ａ_０，Ｂ_０，Ａ_１，Ｂ_１，ｓ）および秘密鍵ｓｋ＝（Ｓ_０）を構成して出力する（ステップＳ２１３）。その後、出力部１１４がステップＳ１１４の処理を行い、公開鍵ｐｋは、署名生成装置２２の入力部１２１および署名検証装置２３の入力部１３１に入力され、記憶部１２２および記憶部１３２に格納される。秘密鍵ｓｋは署名生成装置２２に安全に送られ、署名生成装置２２の入力部１２１に入力され、記憶部１２２に安全に格納される。

＜署名生成処理＞
本形態の署名生成処理は、第１実施形態の署名生成処理のステップＳ１２４をステップＳ２２４に置換したものである。ステップＳ２２４のみを説明する。ステップＳ２２４では、演算部２２４は、記憶部１２２から読み出した公開鍵ｐｋ、および選択部１２３から送られたベクトルσ_１を入力とし、ｎ_１＝ｋ_０次元のベクトルｈ_１＝Ａ_１Ｍ_１＋Ｂ_１σ_１∈Ｚ_ｑ ^ｋ０（図７Ａ）を含む情報に対応するｋ_０次元のベクトルｚ_１を得る。本形態の演算部２２４は、ｋ_０次元のベクトルｈ_１をそのままｚ_１として出力する（図７Ｂ）。ベクトルｚ_１は演算部１２６に送られる（ステップＳ２２４）。その他は、第１実施形態と同じである。

＜署名検証処理＞
本形態の署名検証処理は、第１実施形態の署名検証処理のステップＳ１３４をステップＳ２３４に置換したものである。ステップＳ２３４のみを説明する。ステップＳ２３４では、演算部２３４が、記憶部１３２から、公開鍵ｐｋ、タグｚ_０、署名σ＝（σ_０，σ_１）、およびベクトルＭ_１を読み出し、これらを用い、ｈ_１＝Ａ_１Ｍ_１＋Ｂ_１σ_１（図７Ａ）を含む情報に対応するｋ_０次元のベクトルｚ_１∈Ｚ_ｑ ^ｋ０を得る。本形態では、演算部２３４は、ｋ_０次元のベクトルｈ_１をそのままベクトルｚ_１として出力する（図７Ｂ）。ベクトルｚ_１は判定部１３６に送られる（ステップＳ２３４）。その他は、第１実施形態と同じである。

［第２実施形態の変形例］
第２実施形態のステップＳ２２４およびＳ２３４では、ｎ_１＝ｋ_０次元のベクトルｈ_１をそのままベクトルｚ_１とした（図７Ｂ）。しかしながら、ｎ_１＜ｋ_０とし、ｎ_１次元のベクトルｈ_１とｋ_０−ｎ_１次元のベクトルｗ_１との連結ｈ_１｜ｗ_１をそのままｋ_０次元のベクトルｚ_１としてもよい（図７Ｃ）。ｗ_１の例は公開鍵ｐｋ等の公開情報である。演算部２２４と演算部２３４とで同じｗ_１が用いられる。

［その他の変形例］
なお、本発明は上述の実施の形態に限定されるものではない。例えば、素体Ｚ_ｑに代えて素体Ｚ_ｑを基礎体とした拡大体を用いてもよいし、ｑに素数以外の正整数を用いることで素体Ｚ_ｑに代えて環Ｚ_ｑを用いてもよい。また、上記の実施形態では、署名生成装置から署名検証装置に対し、署名とタグとメッセージに対応する情報とが同時に送られたが、これらが別々に送られてもよい。例えば、署名が送られる前にタグやメッセージが公開されてもよい。また、署名σ＝（σ_０，σ_１）を構成するσ_０およびσ_１がガウス分布Ｄ（Ｚ^ｍ１，ｓ）に従ったものであることが明らかな場合等には、ステップＳ１３６２の処理が省略されてもよい。また、各装置がネットワークを通じて情報をやり取りするのではなく、少なくとも一部の組の装置が可搬型記録媒体を介して情報をやり取りしてもよい。或いは、少なくとも一部の組の装置が非可搬型の記録媒体を介して情報をやり取りしてもよい。すなわち、これらの装置の一部からなる組み合わせが、同一の装置であってもよい。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１，２ 署名システム
１１，２１ 鍵生成装置
１２，２２ 署名生成装置
１３，２３ 署名検証装置

Claims (8)

1. ｎ_０，ｋ_０，ｍ_０，ｎ_１，ｋ_１，ｍ_１が１以上の整数、Ａ_０がｎ_０行ｋ_０列の行例、Ｂ_０がｎ_０行ｍ_０列の行例、Ａ_１がｎ_１行ｋ_１列の行例、Ｂ_１がｎ_１行ｍ_１列の行例、選択されたｎ_０次元のベクトルがｚ_０、選択されたｍ_１次元のベクトルがσ_１、Ｍ_１がメッセージに対応するｋ_１次元のベクトルであり、
   Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報に対応するｋ_０次元のベクトルｚ_１を得る第１演算部と、
   ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすｍ_０次元のベクトルσ_０を得る第２演算部と、
   前記ベクトルσ_０およびσ_１を含む署名を出力する出力部と、
   を有する署名生成装置。
2. 請求項１の署名生成装置であって、
   前記第２演算部は、前記行例Ｂ_０に対応する秘密情報であるトラップドアＳ_０を用いて前記ベクトルσ_０を得る、署名生成装置。
3. 請求項２の署名生成装置であって、
   前記トラップドアＳ_０は、Ｂ_０ｒ_０＝０を満たすｍ_０次元のベクトルｒ_０が属する部分ベクトル空間を張るｍ_０次元の基底ベクトルの何れかである、署名生成装置。
4. 請求項１から３の何れかの署名生成装置であって、
   前記Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報がｋ_０次元のベクトルである、署名生成装置。
5. ｎ_０，ｋ_０，ｍ_０，ｎ_１，ｋ_１，ｍ_１が１以上の整数、Ａ_０がｎ_０行ｋ_０列の行例、Ｂ_０がｎ_０行ｍ_０列の行例、Ａ_１がｎ_１行ｋ_１列の行例、Ｂ_１がｎ_１行ｍ_１列の行列であり、
   メッセージに対応するｋ_１次元のベクトルＭ_１、および、署名であるｍ_１次元のベクトルσ_１を用い、Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報に対応するｋ_０次元のベクトルｚ_１を得る演算部と、
   少なくとも、前記ベクトルｚ_１、入力されたｎ_０次元のベクトルｚ_０、および署名であるｍ_０次元のベクトルσ_０を用い、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすことを必要条件とする検証条件を満たすかを判定する判定部と、
   を有する署名検証装置。
6. 請求項５の署名検証装置であって、
   前記判定部は、前記ベクトルσ_０およびσ_１がガウス分布に従ったものであるかを判定し、
   前記検証条件は、さらに前記ベクトルσ_０およびσ_１がガウス分布に従ったものであると判定されたことを含む、署名検証装置。
7. ｎ_０，ｋ_０，ｍ_０，ｎ_１，ｋ_１，ｍ_１が１以上の整数、Ａ_０がｎ_０行ｋ_０列の行例、Ｂ_０がｎ_０行ｍ_０列の行例、Ａ_１がｎ_１行ｋ_１列の行例、およびＢ_１がｎ_１行ｍ_１列の行例であり、
   選択されたｎ_０次元のベクトルｚ_０、選択されたｍ_１次元のベクトルσ_１、およびメッセージに対応するｋ_１次元のベクトルＭ_１を用い、Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報に対応するｋ_０次元のベクトルｚ_１を得、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすｍ_０次元のベクトルσ_０を得、前記ベクトルσ_０およびσ_１を含む署名を出力する署名生成装置と、
   前記ベクトルＭ_１，σ_０，σ_１，ｚ_０を用い、Ａ_１Ｍ_１＋Ｂ_１σ_１を含む情報に対応するｋ_０次元のベクトルｚ_１を得、ｚ_０＝Ａ_０ｚ_１＋Ｂ_０σ_０を満たすことを必要条件とする検証条件を満たすかを判定する署名検証装置と、
   を有する署名システム。
8. 請求項１から４の何れかの署名生成装置、または、請求項５もしくは６の署名検証装置、としてコンピュータを機能させるためのプログラム。

Images