JP3107313B2 - ディジタル署名方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、電子化された文書の
稟議／決済、電子投票システム等で、電子的に署名／捺
印を付与するディジタル署名方法に関する。

【０００２】

【従来の技術】ディジタル署名方式の代表的な例とし
て、Chaum のUndeniable 署名法 (David Chaum, Hans v
an Antwerpen, “Undeniable Signatures ”,Crypto89
Abstracts, pp.205-212,(1989), David Chaum “Zero-
Knowledge Undeniable Signatures”, Euro Crypt90 Ab
stracts, pp.419-426, (1990)）がある。Chaum のディ
ジタル署名法は、署名の転用不可性と否認拒否性を備え
た安全性の高い方式である。

【０００３】署名の転用不可性とは、メッセージｍと署
名ｓの対応関係（ｍ，ｓ）が署名としての証拠とはなら
ず、署名者がメッセージｍと署名ｓの対応関係の正当性
を検証者との通信によって証明した場合にのみ署名の正
当性を確認できることである。通常のディジタル署名で
は、検証者がメッセージｍと署名ｓの対応関係の正当性
を、署名者と通信せずに確認できるので、（ｍ，ｓ）が
署名の証拠となる。

【０００４】否認拒否性とは、検証者がメッセージｍや
署名ｓとの対応関係（ｍ，ｓ）の正当性の証明を求めて
いる場合に、署名者が署名が誤っていることを証明でき
ることである。当然のことながら、署名者がメッセージ
ｍに対する正しい署名ｓの正当性を否認しようとしても
成功しないことが必要である。Chaum の Undeniable 署
名法は、以下の通りである。 （１）鍵の登録 署名者Ａは、署名用鍵ｘと検査用鍵（ｇ，ｐ，ｙ）を
（１）式ｙ＝ｇ^x (mod p) （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、剰余計算ａ(mod p) は、ａを
ｐで割ったときの余りを表す。

【０００５】Chaum の署名法は、ｐが大きいとき、ｙと
ｇとｐからｙ＝ｇ^x (mod p) をみたすｘを計算するのが
困難なこと（離散対数問題の困難性）に安全性の根拠を
おく署名法である。利用者の検査用鍵（ｇ，ｐ，ｙ）
は、センタの公開ファイルにて管理され、必要に応じ
て、検証者Ｂはセンタに問い合わせて（ｇ，ｐ，ｙ）を
払い出してもらう。 （２）署名の作成 署名者Ａは、ｐと署名用鍵ｘを用いて、メッセージｍに
対して（２）式ｓ＝ｍ^x (mod p) （２） を計算して署名ｓを作り、これをメッセージｍと共に検
証者Ｂに送信する（剰余付きの計算は、例えば池野、小
山「現代暗号理論」電子通信学会、pp.16-17,(1986) に
示されている）。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、検査用
鍵を用いて署名ｓがメッセージｍに対する正しい署名で
あることを、（ａ）の確認手順によって検査する。

【０００６】一方、もし、署名ｓがメッセージｍに対す
る正しい署名でない場合（以降では、改ざんされた署名
をｔで表わす）には、署名者Ａは（ｂ）の否認手順によ
って証明する。 （ａ）確認手順 ステップ１ 検証者Ｂは、２つの乱数ａとｂを生成し
て、（３）式を計算して通信文ＸをＸ＝ｍ^a ・ｇ^b (mo
d p) （３） 作り、これをメッセージｍと署名ｓと共に署名者Ａに送
信する。

【０００７】ステップ２ 署名者Ａは、乱数ｑを生成し
て、（４）、（５）式を計算して通信文（Ｙ，Ｚ）を Ｙ＝Ｘ・ｇ^q (mod p) （４） Ｚ＝Ｙ^x (mod p) （５） 作り、これを検証者Ｂに送信する。

【０００８】ステップ３ 検証者Ｂは、２つの乱数ａと
ｂを署名者Ａに送信する。ステップ４ 署名者Ａは、受
信したａとｂが、先に受信した通信文Ｘに対して （６）式の関係 Ｘ＝ｍ^a ・ｇ^b (mod p) （６） をみたすことを検査して、合格なら、ｑを検証者Ｂに送
信する。不合格なら処理を停止する。

【０００９】ステップ５ 検証者Ｂは、受信したｑ、先
に受信した通信文（Ｙ，Ｚ）、先に生成したａとｂが、
検査用鍵の一成分ｙ、メッセージｍと署名ｓに対して
（７）、（８）式の関係 Ｙ＝ｍ^a ・ｇ^b+q (mod p) （７） Ｚ＝ｓ^a ・ｙ^b+q (mod p) （８） をみたすことを確認する。合格ならば、ｓがｍに対する
署名者Ａの正しい署名であると判断する。注）ここで、
等号が成立することは、 Ｙ＝Ｘ・ｇ^q ＝（ｍ^a ・ｇ^b ）ｇ^q ＝ｍ^a ・ｇ^b+q (mod
p) Ｚ＝Ｙ^x ＝（ｍ^a ・ｇ^b+q ）^x ＝（ｍ^x ）^a ・（ｇ^x ）
^b+q ＝ｓ^a ・ｙ^b+q (mod p) より明らかである。 （ｂ）否認手順 ステップ１ 検証者Ｂは、２つの乱数ｃ（Ｏ≦ｃ≦ｋ）
と乱数ｄを生成して、（９）、（１０）式を計算して通
信文（Ｖ，Ｗ）を Ｖ＝ｍ^c ・ｇ^d (mod p) （９） Ｗ＝ｔ^c ・ｙ^d (mod p) （１０） 作り、これをメッセージｍと署名ｔと共に署名者Ａに送
信する（ここでｋは安全性のパラメータでありＡとＢが
予め合意した値である）。

【００１０】ステップ２ 署名者Ａは、ｒを１からｋま
で取り直して （ｔ／ｍ^x ）^r ＝Ｗ／Ｖ^X (mod p) （１１） をみたすｒを求めて、ｒのコミットメント関数の値ｅ＝
ＢＣ（ｒ）を検証者Ｂに送信する（ここでコミットメン
ト関数とは、ｒに対してＢＣ（ｒ）＝ＢＣ（ｒ′）をみ
たすｒ′を見つけるのが困難な関数である）。

【００１１】コミットメント関数ＢＣの構成例は、Gill
es Brassard, Claude Crepeau:“Non-transitive trans
fer of confidence: A perfect zero-knowledge intera
ctive protocol for SAT and beyond ”, FOCS'86,pp.1
88-195 に示されている。ステップ３ 検証者Ｂは、乱
数ｄを署名者Ａに送信する。 ステップ４ 署名者Ａは、受信したｄが、通信文（Ｖ，
Ｗ）に対して （Ｖ，Ｗ）＝（ｍ^r ｇ^d (mod p) ，ｔ^r ｙ^d (mod p) ） をみたすことを確認する。成立すれば、ｒを検証者Ｂに
送信する。成立しなければ、検証者Ｂが検証以外のこと
に不正利用していると判断して処理を停止する。

【００１２】ステップ５ 検証者Ｂは、受信したｒがｅ
＝ＢＣ（ｒ）をみたし、さらにｒ＝ｃが成り立つと正し
い署名でないことを確認する。以上のようにして、確認
手順で、正しい署名であれば、これが確認され、正しく
ない署名であれば、正しい署名とは認識されない。この
確認手順では正しい署名者が、正しい署名でないと偽わ
ることができないことは保証されない。しかし否認手順
で、正しくない署名を正しくないと認識し、正しい署名
を正しくないと認識できないから、正しい署名者が偽わ
って正しい署名を自己の署名でないと否認することがで
きない。

【００１３】

【発明が解決しようとする課題】このChaum の方法は発
明の効果の項で後述するように署名者、検証者の各処理
量が多く、また通信量が多い欠点があった。電子化され
た文書の稟議／決済、電子投票システム等では、文書に
付与された電子的な署名／捺印の真偽を確認したいとい
う要求がしばしば生じる。

【００１４】Chaum の方法を考察した場合、この目的に
かなうものであるが、署名の確認、ないし否認の手順と
に、それぞれ異なる手続きを用いている。このため、こ
れの実現においては、異なる装置（ないしソフトウエ
ア）を２種類用意し、その目的に応じてどちらかの装置
を選択して運用しなければならないことになる。この発
明の目的は処理量が少なく、かつ通信量も少なく、しか
も署名の確認・否認手順を同じ手続きで行うことが可能
なディジタル署名方法を提供することにある。

【００１５】

【課題を解決するための手段】この発明によれば、署名
者は署名用鍵ｘを用いてこれと対応する公開情報ｙを生
成し、そのｙを公開し、署名者はメッセージｍに対し、
署名用鍵ｘを用いて署名ｓを作り、ｍとｓとを検証者へ
送信し、検証者はｍとｓとを署名者へ送信し、署名者は
乱数ｒを用いて鍵検証用通信文Ｘ₁ と署名検証用通信文
Ｘ₂ とを生成して検証者へ送信し、検証者は乱数ｅを署
名者へ送信し、署名者は乱数ｒ，ｅと署名用鍵ｘとから
通信文Ｙを生成して検証者へ送信し、検証者はＹとＸ₁
とｙとｅとを用いて鍵ｘの正当性を検証し、ＹとＸ₂ と
ｍとｅとを用いて署名ｓの正当性を検証し、両者が同時
に成立する時に、署名ｓが正しいと判断する。

【００１６】このようにしてこの発明では、署名用鍵ｘ
の正当性を示す手順と署名の正当性を示す手順とを同一
のパラメータを用いて同時に行うことにより、従来方式
では独立な手続きで行われていた署名の確認手順と否認
手順とを同一の手続きで行える。

【００１７】

【実施例】次に、この発明の一実施例について説明す
る。図１にこの発明が適用されるシステムの構成を示
す。センタ１００が署名者装置２００と安全な通信路３
００を介して結合され、署名者装置２００は安全でない
通信路４００を介して検証者装置５００と結合され、検
証者装置５００は安全な通信路３００を介してセンタ１
００と結合されている。

【００１８】センタ１００には図２に示すように公開フ
ァイルが設けられ、公開ファイルにシステムに共通な情
報ｐ，ｇが登録されてあり、また各利用者対応に公開情
報が登録される。図３にこの発明で行われる通信シーケ
ンスの例を示し、図４に署名者装置２００の構成例を示
し、図５に検証者装置５００の構成例を示す。 （１）鍵の登録 署名者Ａがシステムに加入するとき、公開情報ｙを生成
してセンタ１００の公開ファイルに登録する。センタ
は、システム内一意の共通情報として（ｇ，ｐ）も公開
する。ｐは素数であり、ｇは素数ｐの原始根である。

【００１９】ステップ１ 署名者Ａは、乱数発生器２１
０を用いて署名用鍵ｘを生成して、ｘとｐとｇから剰余
つき計算器２２０を用いてｘと対応した公開情報ｙを
（１２）式ｙ＝ｇ^x (mod p) （１２） を計算して求め、これをセンタ１００の公開ファイルに
登録する。 （２）署名の作成 以降では、署名者Ａがメッセージｍに署名する場合につ
いて説明する。

【００２０】ステップ２ 署名者Ａは、剰余つき計算器
２３０を用いて公開情報ｐと署名用鍵ｘとから、メッセ
ージｍに対して（１３）を演算して ｓ＝ｍ^x (mod p) （１３） 署名ｓを得、ｍとｓの対を検証者Ｂに送信する。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、署名ｓ
が署名者Ａのメッセージｍに対する正しい署名であるこ
とを、または、署名ｓがメッセージｍに対する正しい署
名でないことを検査する。

【００２１】ステップ３ 検証者Ｂは、検査したいメッ
セージと署名の対（ｍ，ｓ）を署名者Ａに送信する。 ステップ４ 署名者Ａは、乱数発生器２４０を用いて乱
数ｒを生成して、剰余付き計算器２５０，２６０を用い
て（１４）、（１５）式を計算して鍵検証用通信文Ｘ₁
と、署名検証用通信文Ｘ₂ とを Ｘ₁ ＝ｇ^r (mod p) （１４） Ｘ₂ ＝ｍ^r (mod p) （１５） 得、これを検証者Ｂに送信する。

【００２２】ステップ５ 検証者Ｂは、乱数発生器５１
０を用いて乱数ｅを生成して、署名者Ａに送信する。ス
テップ６ 署名者Ａは、受信したｅ、先に用いたｒと署
名用鍵ｘとから、乗算器２７０、加算器２８０を用いて
（１６）を演算して通信文Ｙを Ｙ＝ｒ＋ｅｘ(mod p-1) （１６） 得、これを検証者Ｂに送信する。

【００２３】ステップ７ 検証者Ｂは、剰余付計算器５
２０でＸ₁ ・ｙ^e (mod p) を計算し、剰余付計算器５３
０でｇ^Y(mod p) を計算し、これら計算結果を比較器５
４０で比較し、また剰余付計算器５５０でＸ₂ ・ｓ^e (m
od p) を計算し、剰余付計算器５７０でｍ^Y (mod p) を
計算し、これら計算結果を比較器５７０で比較し、受信
したＹ、先に受信した通信文（Ｘ₁ ，Ｘ₂ ）、先に送信
したｅが、メッセージｍと署名ｓに対して（１７）、
（１８）式 Ｘ₁ ・ｙ^e ＝ｇ^Y (mod p) （１７） Ｘ₂ ・ｓ^e ＝ｍ^Y (mod p) （１８） をみたすことを検査し、両検査式に合格ならばｓがｍに
対する署名者Ａの正当な署名であり、前者の検査式のみ
に合格ならばｓがｍに対する署名者Ａの正当な署名では
ないと判断する。

【００２４】つまり（１８）式の署名の正当性の検証に
より、正しい署名を正しいと認識し、正しくない署名を
正しくないと認識できる。しかしこれだけでは正しい署
名を正しくないと署名者が否定したことを検証できな
い。しかし署名者が正しい署名を否認するために、例え
ば（１６）式を満さないＹを送信すれば（１８）式が満
されないが、（１７）式も成立しなくなるため、つまり
鍵の正当性が検証されなくなるから、不正があったと判
定され、正しい署名を署名者が否定することはできな
い。正しくない署名は（１７）式が満されるが、（１
８）式が満されなくなる。このようにして署名の確認と
否認とを同一手続きで行える。

【００２５】署名の検査を行う際に、検査の信頼性をよ
り向上させるために、通信内容を複数にして確認するこ
とや、ステップ４からステップ７を複数回繰り返して行
うようにしてもよい。署名者装置２００、検証者装置５
００はそれぞれ電子計算機で構成してもよい。

【００２６】

【発明の効果】この発明の方法とChaum の方法とを比較
すると下記のようになる。但し、Chaum の方法もこの発
明方法も鍵の生成、署名の作成の手順においては相違が
ないので、以下、署名の検査、否認の手順のみについて
考察する。 （１）検証者の処理量 まず、Chaum の方法では、確認の手順で乱数生成２回、
べき乗演算６回、乗算３回、加算１回が必要であり、否
認の手順で乱数生成２回、べき乗演算４回、乗算２回、
コミットメント関数の計算１回が必要であり、計、乱数
生成４回、べき乗演算１０回、乗算５回、加算１回、コ
ミットメント関数の計算１回が必要である。

【００２７】一方、この発明方法においては、確認、お
よび、否認のどちらの手順においても、乱数生成１回、
べき乗演算４回、乗算２回だけを行えばよい。従ってこ
の発明方法の方が処理量が少ない。 （２）署名者の処理量 Chaum の方法では、確認の手順で乱数生成１回、べき乗
演算２回、乗算１回が必要であり、否認の手順でべき乗
演算２＋ｋ回、乗算２回、除算２回、コミットメント関
数の計算１回が必要であり、計、乱数生成１回、べき乗
演算８＋ｋ回、乗算３回、除算２回、コミットメント関
数の計算１回が必要である。

【００２８】一方、この発明方法においては、確認、お
よび、否認のどちらの手順においても、乱数生成１回、
べき乗演算２回、乗算１回、加算１回だけを行えばよ
い。この発明方法の方が処理量が少ない。 （３）システム内の通信量 以下、ｐ，ｍ，ａ，ｂ，ｑ，ｅ，ｄそれぞれを５００ビ
ットとして比較する。

【００２９】Chaum の方式においては、検査の手順で、
８×５００ビットの通信量を必要とし、否認の手順で
は、７×５００ビットの通信量を必要とする。すなわ
ち、全体として必要な通信量は、７５００ビットであ
る。

【００３０】一方、この発明方法は、検査と否認の手順
のどちらにおいても、それに必要な通信量は、 ３０００ビット となり、この発明方法では大幅に通信量が削減されてい
ることが分かる。 （４）装置の構成 Chaum の方法においては、署名者が、署名の検査を依頼
されたときに、それの正当性を判断して、それに応じ
て、確認、ないし、否認の手順を選択して通信を実行す
るが、その際、確認／否認それぞれに専用の装置を必要
とする。

【００３１】しかし、この発明方法においては、確認と
否認の手順を同一にしたため、確認／否認それぞれを同
一装置で実現でき、通信装置の規模を削減することがで
きる。

【図面の簡単な説明】

【図１】この発明方法が適用されるシステムを示すブロ
ック図。

【図２】センタ１００内の公開ファイルの内容例を示す
図。

【図３】この発明方法で行われる通信シーケンスの例を
示す図。

【図４】署名者装置２００の構成例を示すブロック図。

【図５】検証者装置５００の構成例を示すブロック図。

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00

Claims (1)

(57)【特許請求の範囲】
1. 【請求項１】 素数ｐとｐの原始根ｇを公開し、 署名者装置は署名用鍵ｘを生成して、 ｙ＝ｇ^x (mod p) を計算して公開情報ｙを公開し、 署名者装置はメッセージｍに対し、 ｓ＝ｍ^x (mod p) を演算し、署名ｓとｍを検証者装置へ送信し、 検証者装置はメッセージｍとその署名ｓを署名者装置へ
   送信し、 署名者装置はメッセージｍと署名ｓを受信すると、乱数
   ｒを生成し、 Ｘ₁ ＝ｇ^r (mod p) Ｘ₂ ＝ｍ^r (mod p) を演算して、鍵検証用通信文Ｘ₁ と署名検証用通信文Ｘ
   ₂ を検証者装置へ送信し、 検証者装置は鍵検証用通信文Ｘ₁ と署名検証用通信文Ｘ
   ₂ を受信すると、乱数ｅを生成して署名者装置へ送信
   し、 署名者装置は乱数ｅを受信すると、上記受信した乱数ｒ
   と署名用鍵ｘとにより、 Ｙ＝ｒ＋ｅｘ (mod p-1) を演算して通信文Ｙを検証者装置へ送信し、 検証者装置は通信文Ｙを受信すると、鍵検証用通信文Ｘ
   ₁ とｙと乱数ｅから、 Ｘ₁ ・ｙ^e (mod p) を計算し、ｇと通信文Ｙから、 ｇ^Y (mod p) を計算し、これら計算結果を比較し、 署名検証用通信文Ｘ₂ と署名ｓと乱数ｅから、 Ｘ₂ ・ｓ^e (mod p) を計算し、メッセージｍと通信文Ｙから、 ｍ^Y (mod p) を計算し、これら計算結果を比較し、 これら両比較が共に一致すればｓがｍに対する署名者装
   置の正当な署名であることを出力し、前者のみ一致すれ
   ばｓがｍに対する署名者装置の正当な署名でないことを
   出力するディジタル署名方法。