JP2868104B2 - 楕円曲線に基づくデイジタル署名方法とその署名者装置及び検証者装置 - Google Patents
楕円曲線に基づくデイジタル署名方法とその署名者装置及び検証者装置Info
- Publication number
- JP2868104B2 JP2868104B2 JP4199916A JP19991692A JP2868104B2 JP 2868104 B2 JP2868104 B2 JP 2868104B2 JP 4199916 A JP4199916 A JP 4199916A JP 19991692 A JP19991692 A JP 19991692A JP 2868104 B2 JP2868104 B2 JP 2868104B2
- Authority
- JP
- Japan
- Prior art keywords
- elliptic curve
- random number
- calculating
- modq
- verifier
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
- G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
- G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
- G06F7/724—Finite field arithmetic
- G06F7/725—Finite field arithmetic over elliptic curves
Description
【０００１】
【産業上の利用分野】この発明は電子化された文書のり
ん議／決済、電子投票システムなどで電子的に署名／捺
印を付与するデイジタル署名方式、特に有限体上の楕円
曲線に基づく方法及びそれに用いられる署名者装置、及
び検証者装置に関する。
ん議／決済、電子投票システムなどで電子的に署名／捺
印を付与するデイジタル署名方式、特に有限体上の楕円
曲線に基づく方法及びそれに用いられる署名者装置、及
び検証者装置に関する。
【０００２】
【従来の技術】１９９１年に米国のＮＩＳＴ（Ｎａｔｉ
ｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆＳｔａｎｄａｒｄ
ｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ）は、デイジタル署
名の標準案（ＤＳＡ：Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕ
ｒｅ Ｓｔａｎｄａｒｄ）を提案した（Ｆｅｄｅｒａｌ
Ｒｅｇｉｓｔｅｒ ｏｆ ＮＩＳＴ，“Ｄｉｇｉｔａ
ｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ”Ａｕｇ
ｕｓｔ ３０，１９９１．）。ＤＳＡは署名長が短くな
る点でエルガマル署名法（ＥＩＧａｍａｌ，Ｔ．：“Ａ
Ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍ
ａｎｄ ａ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｂａ
ｓｅｄ ｏｎ ｄｉｓｃｒｅｔｅ ｌｏｇａｒｉｔｈｍ
ｓ”，ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎ ｏｎ Ｉｎ
ｆｏｒｍａｔｉｏｎ Ｔｈｅｏｒｙ，Ｖｏｌ．ＩＴ−３
１，Ｎｏ．４，ｐｐ．４６９−４７２，１９９１．）の
改良版である。ＤＳＡおよびＥｌＧａｍａｌ署名法は有
限体Ｆp 上の離散対数計算の困難さに基づいている。し
かしより一層安全な署名方式が望まれている。
ｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆＳｔａｎｄａｒｄ
ｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ）は、デイジタル署
名の標準案（ＤＳＡ：Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕ
ｒｅ Ｓｔａｎｄａｒｄ）を提案した（Ｆｅｄｅｒａｌ
Ｒｅｇｉｓｔｅｒ ｏｆ ＮＩＳＴ，“Ｄｉｇｉｔａ
ｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ”Ａｕｇ
ｕｓｔ ３０，１９９１．）。ＤＳＡは署名長が短くな
る点でエルガマル署名法（ＥＩＧａｍａｌ，Ｔ．：“Ａ
Ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍ
ａｎｄ ａ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｂａ
ｓｅｄ ｏｎ ｄｉｓｃｒｅｔｅ ｌｏｇａｒｉｔｈｍ
ｓ”，ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎ ｏｎ Ｉｎ
ｆｏｒｍａｔｉｏｎ Ｔｈｅｏｒｙ，Ｖｏｌ．ＩＴ−３
１，Ｎｏ．４，ｐｐ．４６９−４７２，１９９１．）の
改良版である。ＤＳＡおよびＥｌＧａｍａｌ署名法は有
限体Ｆp 上の離散対数計算の困難さに基づいている。し
かしより一層安全な署名方式が望まれている。
【０００３】この発明のデイジタル署名方式は有限体上
の楕円曲線に基づいており、ＤＳＡをより一層安全なよ
うにしたものである。まず楕円曲線の概要を説明する。
素数ｐ、パラメータａ，ｂに対して以下の式を満たす点
の集合に無限遠点Οを加えた集合を、楕円曲線Ｅp と呼
ぶ（Ｋｏｂｌｉｔｚ，Ｎ．：Ａ Ｃｏｕｒｓｅｉｎ Ｎ
ｕｍｂｅｒ Ｔｈｅｏｒｙ ａｎｄ Ｃｒｙｐｔｏｇｒ
ａｐｈｙ，Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌ
ａｇ，１９８７．）。ここでは便宜上、アフィン座標系
で表す。
の楕円曲線に基づいており、ＤＳＡをより一層安全なよ
うにしたものである。まず楕円曲線の概要を説明する。
素数ｐ、パラメータａ，ｂに対して以下の式を満たす点
の集合に無限遠点Οを加えた集合を、楕円曲線Ｅp と呼
ぶ（Ｋｏｂｌｉｔｚ，Ｎ．：Ａ Ｃｏｕｒｓｅｉｎ Ｎ
ｕｍｂｅｒ Ｔｈｅｏｒｙ ａｎｄ Ｃｒｙｐｔｏｇｒ
ａｐｈｙ，Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌ
ａｇ，１９８７．）。ここでは便宜上、アフィン座標系
で表す。
【０００４】 Ｅp ：ｙ2 ≡ｘ3 ＋ａｘ＋ｂ（ｍｏｄｐ）． 楕円曲線上の加算Ｐ3 ＝Ｐ1 ＋Ｐ2 は以下のように定義
される。 ｘ3 ＝λ2 −ｘ1 −ｘ2 ｙ3 ＝λ（ｘ1 −ｘ3 ）−ｙ1 λ＝（ｙ2 −ｙ1 ）／（ｘ2 −ｘ1 ）：（Ｐ1 ≠Ｐ2 ） λ＝（（３ｘ1 2＋ａ）／２ｙ1 ：（Ｐ1 ＝Ｐ2 ） ただしＰi ＝（ｘi ，ｙi ）。
される。 ｘ3 ＝λ2 −ｘ1 −ｘ2 ｙ3 ＝λ（ｘ1 −ｘ3 ）−ｙ1 λ＝（ｙ2 −ｙ1 ）／（ｘ2 −ｘ1 ）：（Ｐ1 ≠Ｐ2 ） λ＝（（３ｘ1 2＋ａ）／２ｙ1 ：（Ｐ1 ＝Ｐ2 ） ただしＰi ＝（ｘi ，ｙi ）。
【０００５】なお、斎次座標系を用いることにより、Ｆ
p 上の除算（拡張ユークリッドアルゴリズムによる逆元
の計算）を行なわずに楕円曲線上の加算が定義できる。
点Ｐのｄ倍点（ｄ・Ｐ）は上記の加算を用いて、バイナ
リ法などにより計算される。この発明の署名方式では、
位数（曲線上の点（ｘ，ｙ）の数）が素数でなく、適当
な大きさの素因数を持つような楕円曲線を用いる。位数
が定まる楕円曲線の例として、ａ＝０，ｂ≠０かつｐ≡
２（ｍｏｄ３）の場合があり、位数は常にｐ＋１とな
る。）
p 上の除算（拡張ユークリッドアルゴリズムによる逆元
の計算）を行なわずに楕円曲線上の加算が定義できる。
点Ｐのｄ倍点（ｄ・Ｐ）は上記の加算を用いて、バイナ
リ法などにより計算される。この発明の署名方式では、
位数（曲線上の点（ｘ，ｙ）の数）が素数でなく、適当
な大きさの素因数を持つような楕円曲線を用いる。位数
が定まる楕円曲線の例として、ａ＝０，ｂ≠０かつｐ≡
２（ｍｏｄ３）の場合があり、位数は常にｐ＋１とな
る。）
【０００６】
【課題を解決するための手段】請求項１の発明によれば
センタにおいて、有限体Ｆp 上の楕円曲線Ｅp （ｙ2≡
ｘ3 ＋ａｘ＋ｂ（ｍｏｄｐ））のうち群の位数（＃
Ｅp ）が素数でないものを選び、その選んだ楕円曲線Ｅ
p 上の一点Ｖ＝（ｖx ，ｖy ），（｛ｖx ，ｖy ｝∈Ｆ
p ）、及び位数＃Ｅp を割り切る素数ｑと、ｑを越えな
い正の整数ｑ′をそれぞれ選び、上記楕円曲線Ｅp 上で
Ｇ＝（＃Ｅp ／ｑ）・Ｖを計算し、上記ｐ，ａ，ｑ，
ｑ′と各署名者ｉに個有な下記公開鍵Ｔi とを公開情報
として公開する。
センタにおいて、有限体Ｆp 上の楕円曲線Ｅp （ｙ2≡
ｘ3 ＋ａｘ＋ｂ（ｍｏｄｐ））のうち群の位数（＃
Ｅp ）が素数でないものを選び、その選んだ楕円曲線Ｅ
p 上の一点Ｖ＝（ｖx ，ｖy ），（｛ｖx ，ｖy ｝∈Ｆ
p ）、及び位数＃Ｅp を割り切る素数ｑと、ｑを越えな
い正の整数ｑ′をそれぞれ選び、上記楕円曲線Ｅp 上で
Ｇ＝（＃Ｅp ／ｑ）・Ｖを計算し、上記ｐ，ａ，ｑ，
ｑ′と各署名者ｉに個有な下記公開鍵Ｔi とを公開情報
として公開する。
【０００７】署名者ｉは自己の秘密鍵ｚi （乱数）と公
開情報ｐ，ａ，Ｇとを用いて楕円曲線Ｅp 上で前記公開
鍵Ｔi ＝ｚi ・Ｇを計算し、そのＴi をセンタへ送り、
公開する。署名に当っては乱数ｋを生成し、そのｋと公
開情報とを用いて楕円曲線Ｅ p 上でＲ＝（ｒx ，ｒy ）
＝ｋ・Ｇを計算し、またメッセージｍを変数に代入して
ハッシュ関数Ｈ（ｍ）を計算し、更にｓ1 ＝ｒx ｍｏｄ
ｑ′を計算し、次に自己の秘密鍵ｚi を用いてｓ2 ＝
（ｋ／（Ｈ（ｍ）＋ｚi ｓ1 ））ｍｏｄｑを計算し、メ
ッセージｍと署名（ｓ1 ，ｓ2 ）とを検証者へ送る。
開情報ｐ，ａ，Ｇとを用いて楕円曲線Ｅp 上で前記公開
鍵Ｔi ＝ｚi ・Ｇを計算し、そのＴi をセンタへ送り、
公開する。署名に当っては乱数ｋを生成し、そのｋと公
開情報とを用いて楕円曲線Ｅ p 上でＲ＝（ｒx ，ｒy ）
＝ｋ・Ｇを計算し、またメッセージｍを変数に代入して
ハッシュ関数Ｈ（ｍ）を計算し、更にｓ1 ＝ｒx ｍｏｄ
ｑ′を計算し、次に自己の秘密鍵ｚi を用いてｓ2 ＝
（ｋ／（Ｈ（ｍ）＋ｚi ｓ1 ））ｍｏｄｑを計算し、メ
ッセージｍと署名（ｓ1 ，ｓ2 ）とを検証者へ送る。
【０００８】検証者は受信したｍと（ｓ1 ，ｓ2 ）と、
公開情報とを用いてｕ1 ＝Ｈ（ｍ）ｓ 2 ｍｏｄｑ，ｕ2
＝ｓ1 ｓ2 ｍｏｄｑを計算し、更に楕円曲線Ｅp 上で
Ｒ′＝（ｒx ′，ｒy ′）＝ｕ1 ・Ｇ＋ｕ2 ・Ｔi を計
算し、その後、検査式ｓ1 ≡ｒx ′（ｍｏｄｑ′）が成
立するか否かを確認する。
公開情報とを用いてｕ1 ＝Ｈ（ｍ）ｓ 2 ｍｏｄｑ，ｕ2
＝ｓ1 ｓ2 ｍｏｄｑを計算し、更に楕円曲線Ｅp 上で
Ｒ′＝（ｒx ′，ｒy ′）＝ｕ1 ・Ｇ＋ｕ2 ・Ｔi を計
算し、その後、検査式ｓ1 ≡ｒx ′（ｍｏｄｑ′）が成
立するか否かを確認する。
【０００９】
【実施例】図１にこの発明が適用されるシステムの例を
示す。センタ装置１１と署名者装置１２及び検証者装置
１３とがそれぞれ通信路１４及び１５で接続され、また
署名者装置１２及び検証者装置１３が通信路１６で接続
されている。センタ装置１１の構成例を図２に、署名者
装置１２の構成例を図３に、検証者装置１３の構成例を
図４にそれぞれ示す。
示す。センタ装置１１と署名者装置１２及び検証者装置
１３とがそれぞれ通信路１４及び１５で接続され、また
署名者装置１２及び検証者装置１３が通信路１６で接続
されている。センタ装置１１の構成例を図２に、署名者
装置１２の構成例を図３に、検証者装置１３の構成例を
図４にそれぞれ示す。
【００１０】センタ装置１１において、素数生成器１７
から素数ｐを生成し、楕円曲線パラメータ生成器１８に
おいて、有限体Ｆp 上の楕円曲線Ｅp ：ｙ2 ≡ｘ3 ＋ａ
ｘ＋ｂ（ｍｏｄｐ）のうち群の位数＃Ｅp が素数でない
ものを選び、かつその選んだ楕円曲線上の一点Ｖ＝（ｖ
x ，ｖy ），（｛ｖx ，ｖy ｝∈Ｆp ）を選び、更にそ
の選んだ位数＃Ｅp を割り切る素数ｑを選び、ｑ′≦ｑ
となる正の整数ｑ′を選びこれらのパラメータａ、Ｖ、
＃Ｅp 、ｑ、ｑ′を出力する。除算器１９で＃Ｅp ／ｑ
の計算を行い、その結果とパラメータａ，Ｖとを楕円曲
線乗算器２１に入力し、楕円曲線Ｅp 上でＧ＝（＃Ｅp
／ｑ）・Ｖを計算する。センタではセンタ装置１１で得
られたパラメータｐ，ａ，Ｇ，ｑ，ｑ′と、署名者ｉか
ら受信した公開鍵Ｔi とを公開情報として公開する。
から素数ｐを生成し、楕円曲線パラメータ生成器１８に
おいて、有限体Ｆp 上の楕円曲線Ｅp ：ｙ2 ≡ｘ3 ＋ａ
ｘ＋ｂ（ｍｏｄｐ）のうち群の位数＃Ｅp が素数でない
ものを選び、かつその選んだ楕円曲線上の一点Ｖ＝（ｖ
x ，ｖy ），（｛ｖx ，ｖy ｝∈Ｆp ）を選び、更にそ
の選んだ位数＃Ｅp を割り切る素数ｑを選び、ｑ′≦ｑ
となる正の整数ｑ′を選びこれらのパラメータａ、Ｖ、
＃Ｅp 、ｑ、ｑ′を出力する。除算器１９で＃Ｅp ／ｑ
の計算を行い、その結果とパラメータａ，Ｖとを楕円曲
線乗算器２１に入力し、楕円曲線Ｅp 上でＧ＝（＃Ｅp
／ｑ）・Ｖを計算する。センタではセンタ装置１１で得
られたパラメータｐ，ａ，Ｇ，ｑ，ｑ′と、署名者ｉか
ら受信した公開鍵Ｔi とを公開情報として公開する。
【００１１】（１）鍵生成 署名者ｉは図３に示す署名者装置１２を用いて、乱数生
成器２３から乱数ｚiを自己の秘密鍵として生成し、こ
れとセンタからの公開情報ｐ，ａ，Ｇとを用いて楕円曲
線乗算器２４で、楕円曲線Ｅp 上でＴi ＝ｚi ・Ｇを計
算し、このＴiを公開鍵としてセンタへ送る。また秘密
鍵ｚi を鍵記憶部２５に記憶しておく。
成器２３から乱数ｚiを自己の秘密鍵として生成し、こ
れとセンタからの公開情報ｐ，ａ，Ｇとを用いて楕円曲
線乗算器２４で、楕円曲線Ｅp 上でＴi ＝ｚi ・Ｇを計
算し、このＴiを公開鍵としてセンタへ送る。また秘密
鍵ｚi を鍵記憶部２５に記憶しておく。
【００１２】（２）署名作成 署名者ｉは図３に示す署名者装置１２を用いて、メッセ
ージｍをハッシュ関数計算器２６に入力してハッシュ値
Ｈ（ｍ）を計算して剰余乗除算器２７に入力する。また
乱数生成器２８から乱数ｋを生成し、これと公開情報
ｐ，ａ，Ｇとを楕円曲線乗算器２９に入力して楕円曲線
Ｅp 上でＲ＝（ｒx ，ｒy ）＝ｋ・Ｇを計算し、その結
果を剰余乗除算器２７に入力する。剰余乗除算器２７で
は ｓ1 ＝ｒx ｍｏｄｑ′， ｓ2 ＝（ｋ／（Ｈ（ｍ）＋ｚi ・ｓ1 ））ｍｏｄｐ を計算する。この（ｓ1 ，ｓ2 ）を署名としてメッセー
ジｍと共に検証者へ送る。
ージｍをハッシュ関数計算器２６に入力してハッシュ値
Ｈ（ｍ）を計算して剰余乗除算器２７に入力する。また
乱数生成器２８から乱数ｋを生成し、これと公開情報
ｐ，ａ，Ｇとを楕円曲線乗算器２９に入力して楕円曲線
Ｅp 上でＲ＝（ｒx ，ｒy ）＝ｋ・Ｇを計算し、その結
果を剰余乗除算器２７に入力する。剰余乗除算器２７で
は ｓ1 ＝ｒx ｍｏｄｑ′， ｓ2 ＝（ｋ／（Ｈ（ｍ）＋ｚi ・ｓ1 ））ｍｏｄｐ を計算する。この（ｓ1 ，ｓ2 ）を署名としてメッセー
ジｍと共に検証者へ送る。
【００１３】（３）署名の検証 検証者は図４に示す検証者装置１３を用いて、受信した
署名（ｓ1 ，ｓ2 ）が同時に受信したメッセージｍに対
する正しい署名であるか否かを以下のように検証する。
ハッシュ関数計算器３１を用いて受信したメッセージｍ
を変数に入れてハッシュ値Ｈ（ｍ）を計算する。その計
算結果Ｈ（ｍ）と受信した署名（ｓ1 ，ｓ2 ）と公開情
報ｑとを剰余乗算器３２に入力して、 ｕ1 ＝Ｈ（ｍ）ｓ2 ｍｏｄｑ， ｕ2 ＝ｓ1 ・ｓ2 ｍ
ｏｄｑ を計算する。その計算結果ｕ1 ，ｕ2 と公開情報ｐ，
ａ，Ｇ，Ｔi とを用いて楕円曲線加算／乗算器３３で下
記の楕円曲線Ｅp 上の計算を行う。
署名（ｓ1 ，ｓ2 ）が同時に受信したメッセージｍに対
する正しい署名であるか否かを以下のように検証する。
ハッシュ関数計算器３１を用いて受信したメッセージｍ
を変数に入れてハッシュ値Ｈ（ｍ）を計算する。その計
算結果Ｈ（ｍ）と受信した署名（ｓ1 ，ｓ2 ）と公開情
報ｑとを剰余乗算器３２に入力して、 ｕ1 ＝Ｈ（ｍ）ｓ2 ｍｏｄｑ， ｕ2 ＝ｓ1 ・ｓ2 ｍ
ｏｄｑ を計算する。その計算結果ｕ1 ，ｕ2 と公開情報ｐ，
ａ，Ｇ，Ｔi とを用いて楕円曲線加算／乗算器３３で下
記の楕円曲線Ｅp 上の計算を行う。
【００１４】 Ｒ′＝（ｒx ′，ｒy ′）＝ｕ1 ・Ｇ＋ｕ2 ・Ｔi その計算結果ｒx ′と受信した署名ｓ1 とを比較器３４
に入力して合同式ｓ1≡ｒx ′（ｍｏｄｑ′）が成立す
るか否かを確認し、成立する場合はその署名（ｓ1 ，ｓ
2 ）はそのメッセージｍに対する正しい署名であると出
力し、それ以外は不正の署名であると出力する。
に入力して合同式ｓ1≡ｒx ′（ｍｏｄｑ′）が成立す
るか否かを確認し、成立する場合はその署名（ｓ1 ，ｓ
2 ）はそのメッセージｍに対する正しい署名であると出
力し、それ以外は不正の署名であると出力する。
【００１５】以上の３段階でデイジタル署名方式が実現
される。ところで、署名とメッセージが正しい場合には
楕円曲線Ｅｐ上の検査式は、以下のようになる。 Ｒ′＝ｕ1 ・Ｇ＋ｕ2 ・Ｔi ＝（Ｈ（ｍ）ｓ2 ＋ｃｑ1 ）・Ｇ＋（ｓ1 ｓ2 ＋ｃ′ｑ1 ）・（ｚi ・Ｇ） ＝（（Ｈ（ｍ）＋ｓ1 ｚi ）ｓ2 ）・Ｇ ＝ｋ・Ｇ ＝Ｒ ただしｑ1 ・Ｇは楕円曲線Ｅp の零元Ｏとなる。また、
ｃ，ｃ′は、ある整数である。以上より、 ｒx ≡ｒx ′（ｍｏｄｐ）， ｒy ≡ｒy ′（ｍｏｄ
ｐ） また、０＜ｒx ，ｒx ′，ｒy ，ｒy ′≦ｐ−１，より ｒx ≡ｒx ′（ｍｏｄｑ′）， ｒy ≡ｒy ′（ｍｏｄ
ｑ′） が成り立つ。署名確認には、法ｑ′でのｘ座標の一致を
調べる。
される。ところで、署名とメッセージが正しい場合には
楕円曲線Ｅｐ上の検査式は、以下のようになる。 Ｒ′＝ｕ1 ・Ｇ＋ｕ2 ・Ｔi ＝（Ｈ（ｍ）ｓ2 ＋ｃｑ1 ）・Ｇ＋（ｓ1 ｓ2 ＋ｃ′ｑ1 ）・（ｚi ・Ｇ） ＝（（Ｈ（ｍ）＋ｓ1 ｚi ）ｓ2 ）・Ｇ ＝ｋ・Ｇ ＝Ｒ ただしｑ1 ・Ｇは楕円曲線Ｅp の零元Ｏとなる。また、
ｃ，ｃ′は、ある整数である。以上より、 ｒx ≡ｒx ′（ｍｏｄｐ）， ｒy ≡ｒy ′（ｍｏｄ
ｐ） また、０＜ｒx ，ｒx ′，ｒy ，ｒy ′≦ｐ−１，より ｒx ≡ｒx ′（ｍｏｄｑ′）， ｒy ≡ｒy ′（ｍｏｄ
ｑ′） が成り立つ。署名確認には、法ｑ′でのｘ座標の一致を
調べる。
【００１６】以上のデイジタル署名方式において署名サ
イズは（｜ｑ｜＋｜ｑ′｜）ビットとなる。ただし｜ｑ
｜はｑのビット長とする。法ｑのサイズはハッシュ関数
の中間一致攻撃に対する安全性を考慮して決められる。
また素数ｐのサイズはＥp 上の離散対数計算の困難さを
考慮して決められる。
イズは（｜ｑ｜＋｜ｑ′｜）ビットとなる。ただし｜ｑ
｜はｑのビット長とする。法ｑのサイズはハッシュ関数
の中間一致攻撃に対する安全性を考慮して決められる。
また素数ｐのサイズはＥp 上の離散対数計算の困難さを
考慮して決められる。
【００１７】
【発明の効果】この発明のデイジタル署名方式は、素数
ｐの大きさを同じにした場合にＤＳＡに比べてより安全
である。なぜならば、この発明の方式の安全性は楕円曲
線Ｅp上の離散対数計算の困難さに基づいており、楕円
曲線Ｅp 上の離散対数問題は一般に有限体Ｅp 上の離散
対数問題より難しいからである。またｓ 1 ＝ｒ x ｍｏｄ
ｑ′を計算することにより点Ｒのｘ座標ｒ x を０から
ｑ′−１の間の整数値に写像し、ｒ x を送るよりもｓ 1
を送ることにより転送情報量が少なくて済む利点があ
る。
ｐの大きさを同じにした場合にＤＳＡに比べてより安全
である。なぜならば、この発明の方式の安全性は楕円曲
線Ｅp上の離散対数計算の困難さに基づいており、楕円
曲線Ｅp 上の離散対数問題は一般に有限体Ｅp 上の離散
対数問題より難しいからである。またｓ 1 ＝ｒ x ｍｏｄ
ｑ′を計算することにより点Ｒのｘ座標ｒ x を０から
ｑ′−１の間の整数値に写像し、ｒ x を送るよりもｓ 1
を送ることにより転送情報量が少なくて済む利点があ
る。
【図１】この発明が適用されるシステムを示すブロック
図。
図。
【図２】センタ装置１１の構成例を示すブロック図。
【図３】請求項２の発明による署名者装置１２の構成例
を示すブロック図。
を示すブロック図。
【図４】請求項３の発明による検証者装置１３の構成例
を示すブロック図。
を示すブロック図。
フロントページの続き (56)参考文献 “Ｔｈｅ Ｄｉｇｉｔａｌ Ｓｉｇｎ ａｔｕｒｅ Ｓｔａｎｄａｒｄ ｐｒｏ ｐｏｓｅｄ ｂｙ ＮＩＳＴ，”Ｃｏｍ ｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，Ｖｏｌ．35，Ｎｏ．７，（Ｊ ｕｌ 1992），ｐ．35−40 Ａ Ｍｅｎｅｚｅｓ，Ｓ．Ｖａｎｓｔ ｏｎｅ，“Ｔｈｅ Ｉｍｐｌｅｍｅｎｔ ａｔｉｏｎ ｏｆ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｓｙｓｔｅｍ ｓ，“Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉ ｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃ ｅ，Ｖｏｌ．453，（1990），ｐ．２− 13 Ｎ．Ｋｏｂｌｉｔｚ，“Ｅｌｌｉｐｔ ｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｓｙｓ ｔｅｍｓ，”Ｍａｔｈｅｍａｔｉｃｓ ｏｆ Ｃｏｍｐｕｔａｔｉｏｎ，Ｖｏ ｌ．48，Ｎｏ．177，（1987），ｐ．203 −209 Ｖ．Ｓ．Ｍｉｌｌｅｒ，“Ｕｓｅ ｏ ｆ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ，”Ｌ ｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏ ｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏ ｌ．218，（1986），ｐ．417−426 (58)調査した分野(Int.Cl.6，ＤＢ名) C09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 - 9/38 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (3)
- 【請求項１】 センタ装置において、素数生成器から素
数ｐを生成し、楕円曲線パラメータ生成器により有限体
Ｆp 上の楕円曲線Ｅp （ｙ2 ≡ｘ3 ＋ａｘ＋ｂ（ｍｏｄ
ｐ）のうち群の位数（＃Ｅp ）が素数でないものを発生
し、更にその楕円曲線Ｅp 上の一点Ｖ＝（ｖx ，
ｖy ），（｛ｖx ，ｖy ｝∈Ｆp ）、及び位数＃Ｅp を
割り切る素数ｑと、ｑを越えない正の整数ｑ′をそれぞ
れ発生し、除算器により＃Ｅ p ／ｑを計算し、楕円曲線
乗算器により上記楕円曲線Ｅp 上でＧ＝（＃Ｅp ／ｑ）
・Ｖを計算し、上記ｐ，ａ，ｑ，ｑ′，Ｇと下記公開鍵
Ｔi とを公開情報として公開し、 署名者ｉの装置は乱数生成器から自己の秘密鍵（乱数）
ｚi を生成し、楕円曲線乗算器により、秘密鍵ｚ i を用
いて上記楕円曲線Ｅp 上でＴi ＝ｚi ・Ｇを計算し、こ
のＴi を上記公開鍵Ｔi として上記センタ装置へ送って
おき、その後、乱数生成器から乱数ｋを生成し、楕円曲
線乗算器により上記楕円曲線Ｅp 上でＲ＝（ｒx ，
ｒy ）＝ｋ・Ｇを計算し、剰余除算器により更にｓ1 ＝
ｒx ｍｏｄｑ′を計算し、また自己の秘密鍵ｚi とハッ
シュ関数Ｈ（・）を用い、メッセージｍに対してｓ2 ＝
（ｋ／（Ｈ（ｍ）＋ｚi ｓ1 ））ｍｏｄｑを計算し、署
名（ｓ1 ，ｓ2 ）をメッセージｍと共に検証者の装置へ
送信し、 その検証者の装置は受信した（ｓ1 ，ｓ2 ）、ｍ及び上
記公開情報を用いて、剰余乗算器によりｕ1 ＝Ｈ（ｍ）
ｓ2 ｍｏｄｑ，ｕ2 ＝ｓ1 ｓ2 ｍｏｄｑを計算、更に楕
円曲線加算／乗算器により、上記楕円曲線Ｅp 上でＲ′
＝（ｒx ′，ｒy ′）＝ｕ1 ・Ｇ＋ｕ2 ・Ｔi を計算
し、比較器により検査式ｓ1 ≡ｒx ′（ｍｏｄｑ′）を
満すか否かを確認することを特徴とする楕円曲線に基づ
くデイジタル署名方法。 - 【請求項２】 秘密鍵として乱数ｚi を発生する第１乱
数生成手段と、 公開情報ｐ，ａ，Ｇと上記ｚi とを用いて楕円曲線Ｅp
上で公開鍵Ｔi ＝ｚi・Ｇを計算する第１楕円曲線乗算
手段と、 上記秘密鍵ｚi を記憶する手段と、 メッセージｍを変数とするハッシュ関数Ｈ（ｍ）を計算
するハッシュ関数計算手段と、 乱数ｋを発生する第２乱数生成手段と、 そのｋと上記ｐ，ａ，Ｇとを用い上記楕円曲線Ｅp 上で
Ｒ＝（ｒx ，ｒy ）＝ｋ・Ｇを計算する第２楕円曲線乗
算手段と、 上記ｚi 、上記Ｈ（ｍ）、上記Ｒ、上記ｋ、及び公開情
報ｑ′を用いてｓ1 ＝ｒa ｍｏｄｑ′及びｓ2 ＝（ｋ／
（Ｈ（ｍ）＋ｚi ｓ1 ））ｍｏｄｑを計算する剰余乗除
算手段と、 上記メッセージｍと、それに対する署名として上記（ｓ
1 ，ｓ2 ）とを検証者へ送信する手段と、 を具備するデイジタル署名の署名者装置。 - 【請求項３】 受信したメッセージｍを変数としてハッ
シュ関数Ｈ（ｍ）を計算するハッシュ関数計算手段と、 上記Ｈ（ｍ）と、公開情報ｑと、上記メッセージｍと共
に受信した署名ｓ1 ，ｓ2 ）とを用いて、ｕ1 ＝Ｈ
（ｍ）ｓ1 ｍｏｄｑ，ｕ2 ＝ｓ1 ｓ2 ｍｏｄｑを計算す
る剰余乗算手段と、 上記ｕ1 ，ｕ2 と、公開情報ｐ，ａ，Ｇと署名者と対応
する公開鍵Ｔi とを用いて楕円曲線Ｅp 上でＲ′＝（ｒ
x ′，ｒy ′）＝ｕ1 ・Ｇ＋ｕ2 ・Ｔi を計算する楕円
曲線加算／乗算手段と、 上記ｒx ′と上記ｓ1 とが一致するか否かを比較する比
較手段と、 を具備するデイジタル署名の検証者装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP4199916A JP2868104B2 (ja) | 1992-07-27 | 1992-07-27 | 楕円曲線に基づくデイジタル署名方法とその署名者装置及び検証者装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP4199916A JP2868104B2 (ja) | 1992-07-27 | 1992-07-27 | 楕円曲線に基づくデイジタル署名方法とその署名者装置及び検証者装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH0643809A JPH0643809A (ja) | 1994-02-18 |
| JP2868104B2 true JP2868104B2 (ja) | 1999-03-10 |
Family
ID=16415736
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP4199916A Expired - Lifetime JP2868104B2 (ja) | 1992-07-27 | 1992-07-27 | 楕円曲線に基づくデイジタル署名方法とその署名者装置及び検証者装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2868104B2 (ja) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4644368B2 (ja) * | 1998-06-23 | 2011-03-02 | マイクロソフト コーポレーション | 非公開に認証可能な暗号署名を生成し、かつ製品の複製に関連してそのような署名を用いるための技術 |
| EP1714420B1 (en) | 2004-02-13 | 2010-12-01 | Certicom Corp. | One way authentication |
| CA2642399C (en) * | 2008-10-30 | 2016-08-16 | Certicom Corp. | Collision-resistant elliptic curve hash functions |
| KR101636671B1 (ko) * | 2014-11-07 | 2016-07-21 | 고려대학교 산학협력단 | 타원곡선 암호화 기반의 복제 불가능한 스마트미터 칩 |
-
1992
- 1992-07-27 JP JP4199916A patent/JP2868104B2/ja not_active Expired - Lifetime
Non-Patent Citations (4)
| Title |
|---|
| "Ｔｈｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｓｔａｎｄａｒｄ ｐｒｏｐｏｓｅｄ ｂｙ ＮＩＳＴ，"Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，Ｖｏｌ．３５，Ｎｏ．７，（Ｊｕｌ １９９２），ｐ．３５−４０ |
| Ａ Ｍｅｎｅｚｅｓ，Ｓ．Ｖａｎｓｔｏｎｅ，"Ｔｈｅ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ，"Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．４５３，（１９９０），ｐ．２−１３ |
| Ｎ．Ｋｏｂｌｉｔｚ，"Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ，"Ｍａｔｈｅｍａｔｉｃｓ ｏｆ Ｃｏｍｐｕｔａｔｉｏｎ，Ｖｏｌ．４８，Ｎｏ．１７７，（１９８７），ｐ．２０３−２０９ |
| Ｖ．Ｓ．Ｍｉｌｌｅｒ，"Ｕｓｅ ｏｆ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ，"Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．２１８，（１９８６），ｐ．４１７−４２６ |
Also Published As
| Publication number | Publication date |
|---|---|
| JPH0643809A (ja) | 1994-02-18 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7996676B2 (en) | Masked digital signatures | |
| US8462944B2 (en) | Method of public key generation | |
| EP0503119B1 (en) | Public key cryptographic system using elliptic curves over rings | |
| Boneh et al. | Short signatures from the Weil pairing | |
| US8639931B2 (en) | Acceleration of key agreement protocols | |
| EP0639907B1 (en) | Digital signature method and key agreement method | |
| US6212637B1 (en) | Method and apparatus for en-bloc verification of plural digital signatures and recording medium with the method recorded thereon | |
| WO1998007253A9 (en) | Accelerating public-key cryptography by precomputing randomly generated pairs | |
| CN107911217B (zh) | 基于ecdsa算法协同生成签名的方法、装置和数据处理系统 | |
| Hwang et al. | An untraceable blind signature scheme | |
| Lim et al. | A study on the proposed Korean digital signature algorithm | |
| EP2495907A1 (en) | System and method for reducing computations in the derivation of a publick key corresponding to an implicit certificate | |
| JP2868104B2 (ja) | 楕円曲線に基づくデイジタル署名方法とその署名者装置及び検証者装置 | |
| Shen et al. | A blind signature based on discrete logarithm problem | |
| US9252941B2 (en) | Enhanced digital signatures algorithm method and system utilitzing a secret generator | |
| JP3540477B2 (ja) | 署名方式 | |
| Chang et al. | Schnorr blind signature based on elliptic curves | |
| Moldovyan et al. | Short signatures from the difficulty of factoring problem | |
| Moldovyan | Short Signatures from Difficulty of Factorization Problem. | |
| Chen et al. | A distributed electronic authentication scheme based on elliptic curve | |
| JPH08160857A (ja) | 楕円曲線に基づく認証方法及び認証システム | |
| Wang et al. | Proxy signature scheme with multiple original signers for wireless e-commerce applications | |
| JPH0237147B2 (ja) | ||
| Hitchcock | Elliptic curve cryptography for lightweight applications | |
| Anitha et al. | Verifiable Encryption of Digital Signatures Using Elliptic Curve Digital Signature Algorithm and its Implementation Issues |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20071225 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081225 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091225 Year of fee payment: 11 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101225 Year of fee payment: 12 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101225 Year of fee payment: 12 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111225 Year of fee payment: 13 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111225 Year of fee payment: 13 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121225 Year of fee payment: 14 |
|
| EXPY | Cancellation because of completion of term | ||
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121225 Year of fee payment: 14 |