JP2016001263A

JP2016001263A - 部分使い捨て署名システム及び方法、署名装置、検証装置並びにプログラム

Info

Publication number: JP2016001263A
Application number: JP2014121393A
Authority: JP
Inventors: 阿部　正幸; Masayuki Abe; 正幸阿部; 陵西巻; Ryo Nishimaki
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2014-06-12
Filing date: 2014-06-12
Publication date: 2016-01-07
Anticipated expiration: 2034-06-12
Also published as: JP6216688B2

Abstract

【課題】従来よりも効率の良い署名技術を提供する。
【解決手段】pk=(h₀,h₁)を複数回の署名及び検証に使い回すことができる固定の検証鍵とし、sk=(h₀ ^-1)を複数回の署名及び検証に使い回すことができる固定の署名鍵とする。使い捨て鍵生成装置２が、m_ｆを所定の値として、乱数r₀を生成し、z₀=h₀(m_f,r₀)を計算することにより、使い捨て検証鍵opk=(z₀)及び使い捨て署名鍵osk=(r₀)を生成する。署名装置３が、Mを署名の対象となるメッセージとして、署名鍵sk=(h₀ ^-1)及び使い捨て署名鍵osk=(r₀)を用いて、乱数r₁’を生成し、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))を計算することにより、署名σ=(r₀’,r₁’)を生成する。検証装置４が、検証鍵pk=(h₀,h₁)、使い捨て検証鍵opk=(z₀)、メッセージM及び署名σ=(r₀’,r₁’)を用いて、z₀がh₀(h₁(M,r₁’),r₀’)と一致するかを検証する。
【選択図】図１

Description

この発明は、ディジタル署名に関するものである。

使い捨て署名方式(One-Time Signature scheme:OTS)とは、ディジタル署名方式の一種であり、署名鍵が、使い捨て、すなわち一度の署名生成にしか使えない方式を指す。カメレオンハッシュ関数を使ったOTSの構成例が非特許文献１に記載されている。

Payman Mohassel, "One-Time Signatures and Chameleon Hash Functions", Selected Areas in Cryptography, 2010, p.302-319

非特許文献１に記載の署名方式はOTSであり、全ての鍵を署名の度に毎回更新しなければならず、効率が悪いという問題があった。

この発明の目的は、非特許文献１に記載の方式よりも効率が良い部分使い捨て署名システム及び方法、署名装置、検証装置並びにプログラムを提供することである。

この発明の一態様による部分使い捨て署名システムは、(h₀,h₀ ^-1)をカメレオンハッシュ関数の第１の組とし、(h₁,h₁ ^-1)をカメレオンハッシュ関数の第２の組とし、pk=(h₀,h₁)を複数回の署名及び検証に使い回すことができる固定の検証鍵とし、sk=(h₀ ^-1)を複数回の署名及び検証に使い回すことができる固定の署名鍵として、m_ｆを所定の値として、乱数r₀を生成し、z₀=h₀(m_f,r₀)を計算することにより、使い捨て検証鍵opk=(z₀)及び使い捨て署名鍵osk=(r₀)を生成する使い捨て鍵生成装置と、Mを署名の対象となるメッセージとして、署名鍵sk=(h₀ ^-1)及び使い捨て署名鍵osk=(r₀)を用いて、乱数r₁’を生成し、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))を計算することにより、署名σ=(r₀’,r₁’)を生成する署名装置と、検証鍵pk=(h₀,h₁)、使い捨て検証鍵opk=(z₀)、メッセージM及び署名σ=(r₀’,r₁’)を用いて、z₀がh₀(h₁(M,r₁’),r₀’)と一致するかを検証する検証装置と、を備えている。

この発明の一態様による署名装置は、(h₀,h₀ ^-1)をカメレオンハッシュ関数の第１の組とし、(h₁,h₁ ^-1)をカメレオンハッシュ関数の第２の組とし、pk=(h₀,h₁)を複数回の署名及び検証に使い回すことができる固定の検証鍵とし、sk=(h₀ ^-1)を複数回の署名及び検証に使い回すことができる固定の署名鍵とし、m_ｆを所定の値とし、r₀を乱数とし、z₀=h₀(m_f,r₀)とし、使い捨て検証鍵opk=(z₀)とし、使い捨て署名鍵osk=(r₀)として、Mを署名の対象となるメッセージとして、署名鍵sk=(h₀ ^-1)及び使い捨て署名鍵osk=(r₀)を用いて、乱数r₁’を生成し、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))を計算することにより、署名σ=(r₀’,r₁’)を生成する。

この発明の一態様による検証装置は、(h₀,h₀ ^-1)をカメレオンハッシュ関数の第１の組とし、(h₁,h₁ ^-1)をカメレオンハッシュ関数の第２の組とし、pk=(h₀,h₁)を複数回の署名及び検証に使い回すことができる固定の検証鍵とし、sk=(h₀ ^-1)を複数回の署名及び検証に使い回すことができる固定の署名鍵とし、m_ｆを所定の値とし、r₀を乱数とし、z₀=h₀(m_f,r₀)とし、使い捨て検証鍵opk=(z₀)とし、使い捨て署名鍵osk=(r₀)とし、Mを署名の対象となるメッセージとし、r₁’を乱数とし、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))とし、署名σ=(r₀’,r₁’)として、検証鍵pk=(h₀,h₁)、使い捨て検証鍵opk=(z₀)、メッセージM及び署名σ=(r₀’,r₁’)を用いて、z₀がh₀(h₁(M,r₁’),r₀’)と一致するかを検証する。

署名鍵及び検証鍵の一部を使い回すことにより、非特許文献１に記載の方式よりも効率を良くすることができる。

部分使い捨て署名システムの例を説明するためのブロック図。部分使い捨て署名方法の例を説明するための流れ図。

以下、図面を参照しながらこの発明の実施形態について説明する。

図１に示すように、部分使い捨て署名システムは、鍵生成装置１、使い捨て鍵生成装置２、署名装置３、検証装置４、送信装置５及び受信装置６を例えば備えている。部分使い捨て署名方法は、部分使い捨て署名システムが、図２のステップＳ１からステップＳ４の処理を行うことにより実現される。

この発明は、カメレオンハッシュ関数CMHを用いることによりいわゆる部分使い捨て署名を構成する。

ここで、部分使い捨て署名方式(Partial One-time Signatures: POS)とは、署名鍵及び検証鍵のそれぞれが繰り返し使用できる長期鍵と使い捨ての鍵とで構成されており、署名のたびごとに使い捨て鍵部分が新たに構成される署名方式のことを意味する。

カメレオンハッシュ関数CMHは、(h,h^-1)の関数のペアからなる。関数h,h^-1は以下の性質を有する。

関数hは、入力にメッセージMと乱数rを取り、ハッシュ値を出力する関数で、衝突困難ハッシュ関数の性質をもつ。すなわち、h(M,r)=h(M’,r’)となる対(M,r),(M’,r’)を見つけることは困難である。一方で、h^-1は、(M,r,M’)を入力とし、h(M,r)=h(M’,r’)を満たすr’を出力する関数である。すなわち、関数h^-1を知る者は、ある(M,r)に対するハッシュ値を別の(M’,r’)に対するハッシュ値としてこれを開示することが可能になる。

この発明で用いられるカメレオンハッシュ関数CMHを構成する関数h,h^-1は、上記の性質を満たすものであれば、どのようなものであってもよい。

以下では、カメレオンハッシュ関数CMHを構成する関数h,h^-1の一例を示す。

Gを素数位数qの乗法群とする。gを群Gの生成元とする。例えばG⊂Z_pとする。ここで、pは素数であり、q|p-1であるとする。すなわち、qはp-1で割り切れるとする。また、sを1からq-1の正の整数とし、f=g^sとする。G⊂Z_pである場合には、f=g^s (mod p)とする。

このとき、M,r∈Z_qとして、関数h(M,r)=g^Mf^rである。G⊂Z_pである場合には、関数h(M,r)=g^Mf^r(mod p)とする。

また、このとき、関数h^-1(M,r,M’)を、M+s・r=M’+s・r’ (mod q)となるr’を出力する関数とする。すなわち、関数h^-1(M,r,M’)=(M-M’)/s+r (mod q)とする。

＜鍵生成装置１＞
鍵生成装置１は、カメレオンハッシュ関数の第１のペア(h₀,h₀ ^-1)及びカメレオンハッシュ関数の第２のペア(h₁,h₁ ^-1)を生成することにより、複数回の署名及び検証に使い回すことができる固定の検証鍵pk=(h₀,h₁)及び複数回の署名及び検証に使い回すことができる固定の署名鍵sk=(h₀ ^-1)を生成する（ステップＳ１）。生成された検証鍵pk=(h₀,h₁)は、全体に公開される。生成された署名鍵sk=(h₀ ^-1)は、署名装置３に送信される。

鍵生成装置１の処理は、署名生成の前に一回のみ行われ、署名を生成する度ごとには行われない。一度生成された検証鍵pk=(h₀,h₁)及び署名鍵sk=(h₀ ^-1)は複数回の署名及び検証に使い回すことができる。

＜使い捨て鍵生成装置２＞
使い捨て鍵生成装置２は、m_ｆを所定の値として、乱数r₀を生成し、z₀=h₀(m_f,r₀)を計算することにより、使い捨て検証鍵opk=(z₀)及び使い捨て署名鍵osk=(r₀)を生成する（ステップＳ２）。生成された使い捨て検証鍵opk=(z₀)は、全体に公開される。生成された使い捨て署名鍵osk=(r₀)は、署名装置３に送信される。

m_ｆは、所定の固定値であってもよいし、乱数r₀と同様に、使い捨て署名鍵osk=(r₀)の生成の度ごとに異なる値を取ってもよい。この場合、m_ｆは例えば乱数とする。また、m_ｆは、検証鍵pk=(h₀,h₁)の一部であってもよいし、固定値のシステムパラメータであってもよい。

使い捨て鍵生成装置２の処理は、署名を生成する度ごとに行われる。使い捨て検証鍵opk=(z₀)及び使い捨て署名鍵osk=(r₀)を使い回した場合には、安全性が低下する可能性がある。

＜署名装置３＞
署名装置３は、Mを署名の対象となるメッセージとして、署名鍵sk=(h₀ ^-1)及び使い捨て署名鍵osk=(r₀)を用いて、乱数r₁’を生成し、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))を計算することにより、署名σ=(r₀’,r₁’)を生成する（ステップＳ３）。

署名装置３の処理は、例えば送信装置５がメッセージMに対する署名を署名装置３に依頼することを契機に行われる。この場合、送信装置５は署名の対象となるメッセージMを署名装置３に送信し、署名装置３は受信したメッセージMに対して署名σを生成し、生成された署名σは送信装置５に送信される。

その後、送信装置５は、メッセージM及び生成された署名σを受信装置６に送信してもよい。

＜検証装置４＞
検証装置４は、検証鍵pk=(h₀,h₁)、使い捨て検証鍵opk=(z₀)、メッセージM及び署名σ=(r₀’,r₁’)を用いて、z₀がh₀(h₁(M,r₁’),r₀’)と一致するかを検証する（ステップＳ４）。

一致する場合には署名は正当なものであり、一致しない場合には署名σは正当でないと判断することができる。この判断結果が出力されてもよい。例えば、一致する場合には１が出力され、一致しない場合には０が出力される。

なお、h₁(M,r₁’)の計算結果が関数h₀,h₀ ^-1の定義域の範囲外となる場合には、h₀(h₁(M,r₁’),r₀’)を計算することができない。また、この場合、署名装置３はh₀ ^-1(m_f,r₀,h₁(M,r₁’))を計算することはできない。このため、TCHをh₁の値域からh₀,h₀ ^-1の定義域への写像として、検証装置４が、z₀がh₀(h₁(M,r₁’),r₀’)と一致するかではなく、z₀がh₀(THC(h₁(M,r₁’)),r₀’)と一致するかを検証してもよい。この場合、署名装置３はr₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))ではなく、r₀’=h₀ ^-1(m_f,r₀,TCH(h₁(M,r₁’)))を計算する。このように、TCHを用いて、h₁(M,r₁’)の計算結果が必ず関数h₀,h₀ ^-1の定義域の範囲内になるようにすることにより、必ず関数h₀,h₀ ^-1の値を計算することが可能となる。

TCHは、h₁の値域からh₀,h₀ ^-1の定義域への写像である関数であるとともに、ターゲット衝突困難ハッシュ関数であってもよい。すなわち、与えられたターゲットメッセージMに対してTCH(M)と同じ出力値を持つ異なる入力を推定することが困難な関数であってもよい。

検証装置４の処理は、例えば署名装置３が生成した署名σが正当なものであるか送信装置５が確かめるために行われる。この場合、送信装置５は、メッセージM及び生成された署名σを検証装置４に送信する。検証装置４は、受信したメッセージM及び生成された署名σを用いて上記の検証を行う。

検証装置４の処理は、送信装置５からメッセージM及び生成された署名σを受信した受信装置６が、署名σが正当なものであるか確かめるために行われてもよい。この場合、受信装置６は、メッセージM及び生成された署名σを検証装置４に送信する。検証装置４は、受信したメッセージM及び生成された署名σを用いて上記の検証を行う。

このように、署名鍵及び検証鍵の一部である署名鍵sk=(h₀ ^-1)及び検証鍵pk=(h₀,h₁)を使い回すことにより、非特許文献１に記載の方式よりも効率を良くすることができる。

[変形例等]
上記装置及び方法において説明した処理は、記載の順にしたがって時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、各装置における各処理をコンピュータによって実現する場合、その各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、その各処理がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、各処理手段は、コンピュータ上で所定のプログラムを実行させることにより構成することにしてもよいし、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

その他、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

１鍵生成装置
２使い捨て鍵生成装置
３署名装置
４検証装置
５送信装置
６受信装置

Claims

(h₀,h₀ ^-1)をカメレオンハッシュ関数の第１の組とし、(h₁,h₁ ^-1)をカメレオンハッシュ関数の第２の組とし、pk=(h₀,h₁)を複数回の署名及び検証に使い回すことができる固定の検証鍵とし、sk=(h₀ ^-1)を複数回の署名及び検証に使い回すことができる固定の署名鍵として、
m_ｆを所定の値として、乱数r₀を生成し、z₀=h₀(m_f,r₀)を計算することにより、使い捨て検証鍵opk=(z₀)及び使い捨て署名鍵osk=(r₀)を生成する使い捨て鍵生成装置と、
Mを署名の対象となるメッセージとして、上記署名鍵sk=(h₀ ^-1)及び上記使い捨て署名鍵osk=(r₀)を用いて、乱数r₁’を生成し、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))を計算することにより、署名σ=(r₀’,r₁’)を生成する署名装置と、
上記検証鍵pk=(h₀,h₁)、上記使い捨て検証鍵opk=(z₀)、上記メッセージM及び上記署名σ=(r₀’,r₁’)を用いて、z₀がh₀(h₁(M,r₁’),r₀’)と一致するかを検証する検証装置と、
を含む部分使い捨て署名システム。
請求項１の部分使い捨て署名システムにおいて、
TCHをh₁の値域からh₀,h₀ ^-1の定義域への写像として、
上記署名装置は、乱数r₁’を生成し、r₀’=h₀ ^-1(m_f,r₀,TCH(h₁(M,r₁’)))を計算することにより、署名σ=(r₀’,r₁’)を生成し、
上記検証装置は、z₀がh₀(THC(h₁(M,r₁’)),r₀’)と一致するかを検証する、
部分使い捨て署名システム。
(h₀,h₀ ^-1)をカメレオンハッシュ関数の第１の組とし、(h₁,h₁ ^-1)をカメレオンハッシュ関数の第２の組とし、pk=(h₀,h₁)を複数回の署名及び検証に使い回すことができる固定の検証鍵とし、sk=(h₀ ^-1)を複数回の署名及び検証に使い回すことができる固定の署名鍵とし、
m_ｆを所定の値とし、r₀を乱数とし、z₀=h₀(m_f,r₀)とし、使い捨て検証鍵opk=(z₀)とし、使い捨て署名鍵osk=(r₀)として、
Mを署名の対象となるメッセージとして、上記署名鍵sk=(h₀ ^-1)及び上記使い捨て署名鍵osk=(r₀)を用いて、乱数r₁’を生成し、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))を計算することにより、署名σ=(r₀’,r₁’)を生成する署名装置。
(h₀,h₀ ^-1)をカメレオンハッシュ関数の第１の組とし、(h₁,h₁ ^-1)をカメレオンハッシュ関数の第２の組とし、pk=(h₀,h₁)を複数回の署名及び検証に使い回すことができる固定の検証鍵とし、sk=(h₀ ^-1)を複数回の署名及び検証に使い回すことができる固定の署名鍵とし、
m_ｆを所定の値とし、r₀を乱数とし、z₀=h₀(m_f,r₀)とし、使い捨て検証鍵opk=(z₀)とし、使い捨て署名鍵osk=(r₀)とし、
Mを署名の対象となるメッセージとし、r₁’を乱数とし、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))とし、署名σ=(r₀’,r₁’)として、
上記検証鍵pk=(h₀,h₁)、上記使い捨て検証鍵opk=(z₀)、上記メッセージM及び上記署名σ=(r₀’,r₁’)を用いて、z₀がh₀(h₁(M,r₁’),r₀’)と一致するかを検証する検証装置。
(h₀,h₀ ^-1)をカメレオンハッシュ関数の第１の組とし、(h₁,h₁ ^-1)をカメレオンハッシュ関数の第２の組とし、pk=(h₀,h₁)を複数回の署名及び検証に使い回すことができる固定の検証鍵とし、sk=(h₀ ^-1)を複数回の署名及び検証に使い回すことができる固定の署名鍵として、
使い捨て鍵生成装置が、m_ｆを所定の値として、乱数r₀を生成し、z₀=h₀(m_f,r₀)を計算することにより、使い捨て検証鍵opk=(z₀)及び使い捨て署名鍵osk=(r₀)を生成する使い捨て鍵生成ステップと、
署名装置が、Mを署名の対象となるメッセージとして、上記署名鍵sk=(h₀ ^-1)及び上記使い捨て署名鍵osk=(r₀)を用いて、乱数r₁’を生成し、r₀’=h₀ ^-1(m_f,r₀,h₁(M,r₁’))を計算することにより、署名σ=(r₀’,r₁’)を生成する署名ステップと、
検証装置が、上記検証鍵pk=(h₀,h₁)、上記使い捨て検証鍵opk=(z₀)、上記メッセージM及び上記署名σ=(r₀’,r₁’)を用いて、z₀がh₀(h₁(M,r₁’),r₀’)と一致するかを検証する検証ステップと、
を含む部分使い捨て署名方法。
請求項３の署名装置又は請求項４の検証装置の各部としてコンピュータを機能させるためのプログラム。