JP3292312B2 - ディジタル署名方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は電子文書の正当性を確
認するディジタル署名方法に関し、特に安全性が高くか
つ通信量を削減できる、効率のよいディジタル署名方法
を提案するものである。

【０００２】

【従来の技術】従来提案されているディジタル署名方式
としてＦｉａｔ−Ｓｈａｍｉｒ方式がある（Ｆｉａｔ，
Ａ．ａｎｄ Ｓｈａｍｉｒ，Ａ：“Ｈｏｗ ｔｏ ｐｒ
ｏｖｅｙｏｕｒｓｅｌｆ：ｐｒａｃｔｉｃａｌ ｓｏｌ
ｕｔｉｏｎｓ ｔｏ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ
ａｎｄ ｓｉｇｎａｔｕｒｅ ｐｒｏｂｌｅｍｓ”，Ｐ
ｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｃｒｙｐｔｏ ８６，Ｓ
ａｎｔａ Ｂａｒｂａｒａ，Ａｕｇｕｓｔ １９８６，
ｐｐ．１８−１−１８−７）。Ｆｉａｔ−Ｓｈａｍｉｒ
の署名方式は、以下の通りである。

【０００３】信頼できるセンタが、個人識別情報として
ＩＤを用いる利用者に対して、次の手順でｋ個の秘密情
報ｓ_j （１≦ｊ≦ｋ）を生成する（ｋは安全性を定める
パラメータであり１以上の値）。 ステップ１：一方向性関数ｆを用いて次式を計算する。 ｖ_j ＝ｆ（ＩＤ，ｊ） （１≦ｊ≦ｋ） ステップ２：各ｖ_j に対してＮの素因数ＰとＱを用いて
次式を計算する。

【０００４】ｓ_j ＝√１／ｖ_j （ｍｏｄ Ｎ） すなわち、ｓ_j ² ＝１／ｖ_j （ｍｏｄ Ｎ）となる。 ステップ３：利用者に対してｋ個のｓ_j を秘密に発行
し、合成数Ｎを公開する。（ｍｏｄ Ｎ）における平方
根の計算は、Ｎの素因数（ＰとＱ）が分かっているとき
のみ実行できる。その方法は、例えばＲａｂｉｎ，Ｍ．
Ｏ．：“Ｄｉｇｉｔａｌｉｚｅｄ Ｓｉｇｎａｔｕｒｅ
ｓ ａｎｄ Ｐｕｂｌｉｃ−Ｋｅｙ Ｆｕｎｃｔｉｏｎ
ｓ ａｓ Ｉｎｔｒａｃｔａｂｌｅ ａｓ Ｆａｃｔｏ
ｒｉｚａｔｉｏｎ”，Ｔｅｃｈ．Ｒｅｐ．ＭＩＴ／ＬＣ
Ｓ／ＴＲ−２１２ ＭＩＴ Ｌａｂ．Ｃｏｍｐｕｔ．Ｓ
ｃｉ．１９７９に示されている。平方根の計算装置の具
体的な構成例は、公開鍵暗号システム（特願昭６１−１
６９３５０）に示されている。

【０００５】署名者Ａは、文書Ｍのディジタル署名を次
の手順で作成する。 ・乱数ｒ_i を生成して次式を計算する。 ｘ_i ＝ｒ_i ² （ｍｏｄ Ｎ） ・一方向ハッシュ関数ｈを用いて、（ｅ_i1，…，ｅ_ik）
＝ｈ（Ｍ，ｘ_i ）を生成する（ｉ＝１，…，ｔ）。

【０００６】・署名文ｙ_i （ｉ＝１，…，ｔ）を次式を
計算して生成する。 ｙ_i ＝ｒ_i Πｓ_j （ｍｏｄ Ｎ） Πはｅ_ijについて
j=1 からｋまで署名者Ａは、Ｍと自分のＩＤとともにＭ
に対する署名（ｙ_i ，ｅ_i1，…，ｅ_ik）（ｉ＝１，…，
ｔ）を検証者Ｂに送付する。検証者Ｂは以下の手順で署
名の検証を行う。

【０００７】・ｖ_j ＝ｆ（ＩＤ，ｊ）（１≦ｊ≦ｋ）を
計算する。 ・ｘ_i ＝ｙ_i ² Πｖ_j （ｍｏｄ Ｎ）を計算する。Πは
ｅ_ijについてｊ＝１からｋまで （ｅ_i1，…，ｅ_ik）＝ｈ（Ｍ，ｘ_i ） が満足されるかどうかを検証し、満足されていれば合格
とする。

【０００８】このとき、偽の署名者が署名検証に合格す
るような署名を作成できる確率は１／２^ktである。ここ
で、ｋは利用者が秘密に管理する秘密情報（ｓ_j ）の個
数であり、ｔは署名のサイズを定めている。

【０００９】

【発明が解決しようとする課題】しかし、Ｆｉａｔ−Ｓ
ｈａｍｉｒ方式では、Ｎのサイズを５１２ビットとする
と、署名のビット数は、（５１２×ｔ＋ｋ×ｔ）ビット
であり、保持する秘密鍵サイズが５１２×ｋビットとな
る。従って、安全性を確保するにはある程度の大きさの
ｋとｔを選ぶ必要があるので、署名サイズを小さくする
（ｔを小さくする）と、秘密鍵サイズが大きくなり、秘
密鍵サイズを小さくする（ｋを小さくする）と、署名サ
イズが大きくなる。

【００１０】このようにＦｉａｔ−Ｓｈａｍｉｒ方式
は、署名サイズと秘密鍵サイズを同時に小さくできない
ことが問題である。この発明の目的は、署名サイズと秘
密鍵サイズを同時に少なくできるディジタル署名方法を
提案することにある。

【００１１】

【課題を解決するための手段】請求項１の発明によれば
利用者（被認証者）装置は、秘密鍵ｓ１，ｓ２を生成
し、その秘密鍵より、公開情報である整数ａ，ｋ，ｎを
用いて、ｎを法とする剰余べき乗演算、剰余乗算によ
り、公開鍵ｖを生成・登録し、署名作成処理段階におい
て、文書Ｍに対して署名を作成する署名者装置は、乱数
ｒ１，ｒ２を生成し、それとａ，ｋ，ｎより、ｎを法と
する剰余べき乗演算、剰余乗算を用いてｘを計算して、
ｘと文書Ｍを一方向ハッシュ関数に入力してｅを計算
し、上記ｒ１，ｒ２、上記秘密鍵（ｓ１，ｓ２）よりｋ
を法とする剰余演算及びｎを法とする剰余演算を用い
て、それぞれｙ１，ｙ２を計算し、（ｅ，ｙ１，ｙ２）
をＭに対する署名としてＭと共に検証者装置に送信し、
これら（ｅ，ｙ１，ｙ２），Ｍを受信した検証者装置
は、上記署名者の識別情報ＩＤに基づき管理簿より公開
情報ａ，ｋ，ｎ及び公開鍵ｖを検索し、これらａ，ｋ，
ｎ，ｖと上記受信したｅ，ｙ１，ｙ２とよりｎを法とす
る剰余べき乗演算、剰余乗算を行ってｗを求め、そのｗ
と上記Ｍとを一方向ハッシュ関数に入力し、その結果が
上記ｅと一致するかどうかを検証し、その検証に合格す
れば正当な署名文書とみなすことにより署名文書の正当
性を確認する。

【００１２】請求項２の発明によれば利用者（署名者）
装置は、秘密鍵ｓ１，ｓ２を生成し、その秘密鍵より、
公開情報である素数ｐ及び整数ｇ₁ ，ｇ₂ を用いて、ｐ
を法とする剰余べき乗演算、剰余乗算により、公開鍵ｖ
を生成し、ｐ，ｇ₁ ，ｇ₂ ，ｖを公開し、署名作成処理
段階において文書Ｍに対して署名を作成する署名者装置
は、乱数ｒ１，ｒ２を生成し、それとｐ，ｇ₁ ，ｇ₂ よ
り、ｐを法とする剰余べき乗演算、剰余乗算を用いてｘ
を計算し、そのｘと文書Ｍを一方向ハッシュ関数に入力
してｅを計算し、上記ｒ１，ｒ２、上記秘密鍵（ｓ１，
ｓ２），ｅより剰余演算を用いて、ｙ１，ｙ２を計算
し、（ｅ，ｙ１，ｙ２）をＭに対する署名としてＭと共
に検証者装置に送信し、（ｅ，ｙ１，ｙ２）を受信した
上記検証者装置は、上記署名者の識別情報ＩＤに基づき
管理簿より公開情報ｐ，ｇ₁ ，ｇ₂ 及び公開鍵ｖを検索
し、これらｐ，ｇ₁ ，ｇ₂ ，ｖと上記受信したｅ，ｙ
１，ｙ２とよりｐを法とする剰余べき乗演算、剰余乗算
を行ってｗを求め、そのｗと上記Ｍとを一方向ハッシュ
関数に入力し、その結果が上記ｅと一致するかどうかを
検証し、その検証に合格すれば正当な署名文書とみなす
ことにより署名文書の正当性を確認することを特徴とす
るディジタル署名方式。

【００１３】Ｆｉａｔ−Ｓｈａｍｉｒ方式が合成数を法
とする“２次”剰余演算式を複数回（ｋｔ）回重ね合わ
せて実現するのに対し、請求項１の発明の方式は、合成
数を法とする“高次”剰余演算式を基本部分で２回だけ
利用して実現する。安全性のレベルは、Ｆｉａｔ−Ｓｈ
ａｍｉｒ方式での重ね合わせ回数（ｋｔ回）とこの発明
方式での次数（ｋ）のサイズ（ビット数）が同じであれ
ば、同等である。この安全性の証明は、発明者の論文
（“Ｐｒｏｖａｂｌｙ Ｓｅｃｕｒｅ ａｎｄＰｒａｃ
ｔｉｃａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｓｃｈｅ
ｍｅｓ ａｎｄＣｏｒｒｅｓｐｏｎｄｉｎｇ Ｓｉｇｎ
ａｔｕｒｅ Ｓｃｈｅｍｅｓ，”ｔｏａｐｐｅａｒ ｉ
ｎ ｔｈｅ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｃｒｙｐ
ｔｏ’９２，ＬＮＣＳ，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａ
ｇ）に示されている。なお、この発明方法の安全性は、
法の合成数の素因数分解の困難さに依存する（Ｆｉａｔ
−Ｓｈａｍｉｒ方式も同じく、法の合成数の素因数分解
の困難さに依存する）。

【００１４】また、請求項２の発明の方法は、“素数”
を法とする“高次”剰余演算式を基本部分で２回だけ利
用して実現する。安全性のレベルは、Ｆｉａｔ−Ｓｈａ
ｍｉｒの方式での重ね合わせ回数（ｋｔ回）と本方法で
の次数（ｅ）のサイズ（ビット数）が同じであれば、同
等である。この安全性の証明は、発明者の前記論文に示
されている。

【００１５】なお、この発明方法の安全性は、素数を法
とする離散対数問題の困難さに依存する。Ｆｉａｔ−Ｓ
ｈａｍｉｒ法が署名作成／検証処理においてｅ_ij（１ビ
ット）に、対応する処理を数多く繰り返した形を基本に
構成するため、署名サイズもしくは秘密鍵サイズが大き
くなるのに対し、本発明では数１００ビットのｅに対応
する１回の処理を基本に構成するため、署名サイズと秘
密鍵サイズを同時に少なくすることができる。

【００１６】

【実施例】請求項１の発明の一実施例について説明す
る。図１にこの発明の全体構成を示す。ディジタル署名
を作成する利用者（署名者）装置１００と、署名を検証
する検証者装置２００とが安全でない通信路３００を介
して結合されているとする。

【００１７】まず、システムに加入した利用者は、シス
テム加入時に利用者装置１００が基本的に一度だけ行う
初期情報設定段階において、図２に示す手順で、公開鍵
と秘密鍵を生成し、公開鍵を利用者の識別情報ＩＤと対
にして、公開鍵管理簿４００もしくは検証者装置２００
に登録する。まず、素数生成器１０１を用いて、２つの
素数ｐ，ｑを定めた後、乗算器１１０を用いてｎ＝ｐｑ
を計算し、１以上ｎ−１以下の整数ａ及び、安全係数ｋ
を定める。次に、乱数生成器１０２を用いて、０以上ｋ
−１以下の乱数ｓ１を生成し、さらに１以上ｎ−１以下
の整数ｓ２を生成し、剰余べき乗演算器１０５と剰余乗
算器１０４を用いて次の計算をする。

【００１８】ｖ＝ａ^-s1 ・ｓ２^-k ｍｏｄ ｎ 利用者は（ａ，ｋ，ｎ，ｖ）を公開鍵として公開し、
（ｓ１，ｓ２）を自分の秘密鍵として保持する。なお、
公開鍵の中で、ｖ以外はシステムが利用者共通の値とし
て定めても良い。次に、利用者が文書Ｍに対するディジ
タル署名を作成する手順について説明する。以下ではそ
の利用者を署名作成者と呼び、署名者装置１００で署名
作成を行う。図３にその処理手順を示す。・署名作成者
装置１００は乱数生成器１０２を用いて乱数ｒ１，ｒ２
を生成し、剰余乗算器１０４と剰余べき乗演算器１０５
を用いて次式を計算する。

【００１９】ｘ＝ａ^r1・ｒ２^k ｍｏｄ ｎ ・一方向性ハッシュ関数演算器１０７を用いて、ｘと文
書Ｍについてｅ＝ｈ（ｘ，Ｍ）を計算する（ここで、ｅ
の値は、０以上（ｋ−１）以下である）。 ・メモリ１０９より自分の秘密鍵（ｓ１，ｓ２）を取り
出し、そのｓ１と、ｒ１，ｅ，ｋから剰余乗算器１０８
と剰余加算器１０６を用いて次式を計算する。

【００２０】ｙ１＝ｒ１＋ｅ・ｓ１ ｍｏｄ ｋ また乗算器１１０でｅ・ｓ１を求め、それにｒ１を加算
器１１１で加算し、その加算結果を除算器１１２におい
てｋで割算し、その割算結果の小数点以下を切り捨て演
算器１１３で切り捨て、その結果とｅ，ｓ２，ａ，ｎか
ら剰余べき乗演算器１１４と剰余演算器１１５を用いて
次式を計算する。

【００２１】 ｙ２＝ａ^[(r1+e・^{s1)/k ]} ・ｒ２・ｓ２^e ｍｏｄ ｎ ［ ］は小数点以下の切り捨て演算を意味する。（ｅ，
ｙ１，ｙ２）を文書Ｍに対するディジタル署名とし、こ
れとＭを検証者装置２００へ送る。次に、検証者装置２
００が署名者装置１００により作成された文書Ｍに対す
るディジタル署名（ｅ，ｙ１，ｙ２）を検証する手順に
ついて説明する。図４に署名検証手順を示す。検証者装
置２００はａ，ｋ，ｎ，ｖと受信したｅ，ｙ１，ｙ２か
ら、剰余乗算器２０４と剰余べき乗演算器２０５を用い
て、ｗ＝ａ^y1・ｙ２^k ・ｖ^e ｍｏｄ ｎを計算し、その
ｗと受信したＭについて一方向ハッシュ関数演算器２１
０を用いてｚ＝ｈ（ｗ，Ｍ）を計算し、その結果のｚと
受信したｅとが一致するかどうかを比較器２０８を用い
て検査し、一致すれば合格と判定し、不一致ならば不合
格とする。

【００２２】次に請求項２の発明の実施例を説明する。
システムに加入した利用者は、システム加入時に局が基
本的に一度だけ行う初期情報設定段階において、図５に
示す手順で、公開鍵と秘密鍵を生成し、公開鍵を利用者
の識別情報ＩＤと対にして、公開鍵管理簿４００もしく
は検証者装置２００に登録する。まず、素数生成器１０
１を用いて、２つの素数ｐ，ｑを定める。ここで、ｑ
は、ｐ−１の因数の１つとなっているように選ぶ（つま
り、ｑはｐ−１を割り切る）。次に、乱数生成器１０２
を用いて、２以上ｐ−１以下の乱数ｒを生成し、それを
ｐ，ｑと共に位数判定器１０３に入力し、位数がｑのも
のを２つ見つけてｇ₁ ，ｇ₂ とする。ここで、位数判定
器１０３ではｒ^q ｍｏｄ ｐを計算し、その値が１なら
ば位数がｑと判定する。次に、乱数生成器１１６を用い
て、０以上ｑ−１以下の２つの乱数ｓ１，ｓ２を生成
し、それより、剰余乗算器１０４と剰余べき乗演算器１
０５を用いて、ｖ＝ｇ₁ ^-s1 ・ｇ₂ ^-s2 ｍｏｄ ｐを計
算する。

【００２３】さらに、安全性の度合いを示すパラメータ
ｔを定める（不正に署名を偽造する成功確率が１／２^t
となる）。利用者は、（ｐ，ｑ，ｇ₁ ，ｇ₂ ，ｔ，ｖ）
を公開鍵として公開し、（ｓ１，ｓ２）を自分の秘密鍵
として保持する。なお、公開鍵の中で、ｖ以外は、シス
テムが利用者共通の値として定めても良い。次に、署名
作成者が署名者装置１００を利用して文書Ｍに対するデ
ィジタル署名を作成する手順について図６を参照して説
明する。・署名者装置１００は乱数生成器１０２を用い
て、乱数ｒ１，ｒ２を生成し、これら乱数ｒ１，ｒ２と
公開鍵ｇ₁ ，ｇ₂ ，ｐとから剰余乗算器１０４と剰余べ
き乗演算器１０５を用いて次式を計算する。

【００２４】ｘ＝ｇ₁ ^r1・ｇ₂ ^r2 ｍｏｄ ｐ ・一方向性ハッシュ関数演算器１１０を用いて、ｘと文
書Ｍからｅ＝ｈ（ｘ，Ｍ）を計算する。 ・メモリ１０９より自分の秘密鍵（ｓ１，ｓ２）を取り
出し、それとｒ１，ｒ２，ｅ，ｑとから、剰余乗算器１
０８と剰余加算器１０６を用いて次式を計算する。

【００２５】 ｙ１＝ｒ１＋ｅ・ｓ１ ｍｏｄ ｑ，ｙ２＝ｒ２＋ｅ・ｓ２ ｍｏｄ ｑ （ｅ，ｙ１，ｙ２）をＭに対するディジタル署名とし、
（ｅ，ｙ１，ｙ２）とＭを検証者装置２００へ送る。次
に、検証者装置２００により、署名者装置１００により
作成された文書Ｍに対するディジタル署名（ｅ，ｙ１，
ｙ２）を検証する手順について図７を参照して説明す
る。

【００２６】検証者装置２００は署名者の公開鍵（ｐ，
ｑ，ｇ₁ ，ｇ₂ ，ｔ，ｖ）を公開鍵管理簿４００より検
索し、これらｐ，ｇ₁ ，ｇ₂ ，ｖと受信した署名ｙ１，
ｙ２，ｅを用いて、剰余乗算器２０４と剰余べき乗演算
器２０５を用いて次式を計算する。 ｗ＝ｇ₁ ^y1・ｇ₂ ^y2・ｖ^e ｍｏｄ ｐ そのｗと受信した文書Ｍについて一方向ハッシュ関数演
算器２１０を用いて次式を計算する。

【００２７】ｚ＝ｈ（ｗ，Ｍ） この計算結果のｚがｅと一致するかどうかを比較器２０
８を用いて検査し、一致すれば合格と判定し、不一致な
らば不合格とする。上述において剰余乗算器１０４，１
０８，１１５は１個で共用してもよい。同様に剰余べき
乗演算器１０５，１１４、また乱数生成器１０２，１１
６にそれぞれ１個を共用してもよい。

【００２８】

【発明の効果】Ｆｉａｔ−Ｓｈａｍｉｒ方式では、Ｎの
サイズを５１２ビットとすると、署名のビット数は（５
１２×ｔ＋ｋ×ｔ）ビットであり、保持する秘密鍵サイ
ズが５１２×ｋビットとなる。従って、Ｆｉａｔ−Ｓｈ
ａｍｉｒ法のパラメータをｋ＝１２８、ｔ＝１とすると
署名サイズは６４０ビット、秘密鍵サイズは６５５３６
ビットとなる。また、ｋ＝１、ｔ＝１２８の場合、署名
サイズは８１９２０ビット、秘密鍵サイズは５１２ビッ
トとなる。

【００２９】一方、請求項１の発明において、Ｆｉａｔ
−Ｓｈａｍｉｒ法のパラメータと同等の安全性のパラメ
ータとして、ｎのサイズを５１２ビット、ｋのサイズを
１２８ビット、ｅのサイズを１２８ビットとすると、署
名サイズは、１２８×２＋５１２＝７６８ビットであ
り、秘密鍵サイズが１２８＋５１２＝６４０ビットとな
る。

【００３０】同様に請求項２の発明において、ｐのサイ
ズを５１２ビット、ｑのサイズを１４０ビット、ｅのサ
イズを１２８ビットとすると、署名サイズは、１４０×
２＋１２８＝４０８ビットであり、秘密鍵サイズが１４
０×２＝２８０ビットとなる。まとめると以下のように
なる。

【００３１】 署名サイズ（ビット） 秘密鍵サイズ（ビット） Fiat-Shamir 法（k=128,t=1) ６４０ ６５５３６ Fiat-Shamir 法（k=1,t=128) ８１９２０ ５１２ 請求項１の発明 ７６８ ６４０ 請求項２の発明 ４０８ ２８０ したがって、請求項１の発明の署名サイズは、Ｆｉａｔ
−Ｓｈａｍｉｒ法（ｋ＝１，ｔ＝１２８）より１０倍以
上改善されており、秘密鍵サイズは、Ｆｉａｔ−Ｓｈａ
ｍｉｒ法（ｋ＝１２８，ｔ＝１）より１０倍以上改善さ
れ、請求項２の発明の署名サイズは、Ｆｉａｔ−Ｓｈａ
ｍｉｒ法（ｋ＝１，ｔ＝１２８）より２０倍以上改善さ
れており、秘密鍵サイズは、Ｆｉａｔ−Ｓｈａｍｉｒ法
（ｋ＝１２８，ｔ＝１）より２０倍以上改善されている
ことが分かる。従ってこの発明によれば安全性を高く保
持し、かつ通信量を削減でき、効率がよいものとなる。

【図面の簡単な説明】

【図１】この発明が適用されるシステムを示すブロック
図。

【図２】請求項１の発明の実施例における署名者装置１
００の初期情報設定段階の処理を示すブロック図。

【図３】請求項１の発明の実施例における署名者装置１
００の署名作成処理を示すブロック図。

【図４】請求項１の発明の実施例における検証者装置２
００の署名検証処理を示すブロック図。

【図５】請求項２の発明の実施例における署名者装置１
００の初期情報設定段階の処理を示すブロック図。

【図６】請求項２の発明の実施例における署名者装置１
００の署名作成処理を示すブロック図。

【図７】請求項２の発明の実施例における検証者装置２
００の署名検証処理を示すブロック図。

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 電子的に作成したディジタル文書の正当
   性及び承認者を確認するためのディジタル署名を実現す
   る方法であって、予め素数ｐ，ｑ、ｎ＝ｐｑ、１以上ｎ
   −１以下の整数ａ及び安全係数ｋとし、利用者（署名
   者）の装置（以下署名者装置と記す）は、０以上ｋ−１
   以下の乱数ｓ１，１以上ｎ−１以下の乱数ｓ２を秘密鍵
   として生成し、これら秘密鍵ｓ１，ｓ２、整数ａ，ｋ，
   ｎを用いて、公開鍵ｖ＝ａ ^-s1 ・ｓ２ ^-k ｍｏｄ ｎを
   生成し、上記署名者の識別情報ＩＤと上記ａ，ｋ，ｎ，
   ｖを対として管理簿に登録し、 署名作成処理段階において、署名者装置は乱数ｒ１，ｒ
   ２を生成し、これら上記ａ，ｋ，ｎより、ｘ＝ａ ^r1 ・ｒ
   ２ ^k ｍｏｄ ｎを計算し、ｘと文書Ｍを一方向ハッシュ
   関数に入力してｅを計算し、 上記ｒ１、上記秘密鍵ｓ１、上記ｋ、上記ｅよりｙ１＝
   ｒ１＋ｅ・ｓ１ ｍｏｄ ｋを計算し、上記ｒ１，ｒ
   ２、上記秘密鍵ｓ２、上記ｅ，ｋ，ｎよりｙ２＝ａ
   ^[(r1+e ・ ^{s1)/k ]} ・ｒ２・ｓ２ ^e ｍｏｄ ｎを計算し、
   ［Ａ］はＡの小数点以下の切捨てを表し、上記（ｅ，ｙ
   １，ｙ２）の組を上記文書Ｍに対する署名として文書Ｍ
   を共に検証者装置に送信し、 上記（ｅ，ｙ１，ｙ２），文書Ｍを受信した検証者装置
   は、上記署名者の識別情報ＩＤに基づき上記管理簿より
   上記公開情報ａ，ｋ，ｎ及び上記公開鍵ｖを検索し、こ
   れらａ，ｋ，ｎ，ｖと上記受信したｅ，ｙ１，ｙ２とよ
   り、ｗ＝ａ ^y1 ・ｙ２ ^k ・ｖ ^e ｍｏｄ ｎを計算し、その
   ｗと上記文書Ｍとを一方向ハッシュ関数に入力し、その
   結果が上記ｅと一致するかどうかを検証し、 一致すれば正当な署名文書とみなすことにより署名文書
   の正当性を確認することを特徴とするディジタル署名方
   法。
2. 【請求項２】 電子的に作成したディジタル文書の正当
   性及び承認者を確認するためのディジタル署名を実現す
   る方法であって、予め素数ｐ，ｑ、ｑはｐ−１の因数の１つとし、２以上
   ｐ−１以下の位数ｑの乱数ｇ ₁ ，ｇ ₂ とし、 利用者（署
   名者）の装置（以下署名者装置と記す）は、０以上ｑ−
   １以下の乱数ｓ１，ｓ２を秘密鍵として生成し、これら
   秘密鍵ｓ１，ｓ２、上記素数ｐ及び乱数ｇ₁ ，ｇ₂ を用
   いて、公開鍵ｖ＝ｇ ₁ ^-s1 ・ｇ ₂ ^-s2 ｍ ｏｄ ｐを計算
   し、上記署名者の識別情報ＩＤと上記ｐ，ｇ₁ ，ｇ₂ ,
   ｖを対にして管理簿に登録し、 署名作成処理段階において署名者装置は、乱数ｒ１，ｒ
   ２を生成し、それらと上記ｐ，ｇ₁ ，ｇ₂ より、ｘ＝ｇ
   ₁ ^r1 ・ｇ ₂ ^r2 ｍｏｄ ｐを計算し、そのｘと文書Ｍを
   一方向ハッシュ関数に入力してｅを計算し、 上記ｒ１，ｒ２、上記秘密鍵ｓ１，ｓ２、上記ｅ，ｑよ
   りｙ１＝ｒ１＋ｅ・ｓ１ ｍｏｄ ｑ，ｙ２＝ｒ２＋ｅ
   ・ｓ２ ｍｏｄ ｑをそれぞれ計算し、上記（ｅ，ｙ
   １，ｙ２）の組を上記文書Ｍに対する署名として上記文
   書Ｍと共に検証者装置に送信し、 上記（ｅ，ｙ１，ｙ２），文書Ｍを受信した上記検証者
   装置は、上記署名者の識別情報ＩＤに基づき上記管理簿
   より公開情報ｐ，ｇ₁ ，ｇ₂ 及び公開鍵ｖを検索し、こ
   れらｐ，ｇ₁ ，ｇ₂ ，ｖと上記受信したｅ，ｙ１，ｙ２
   とよりｗ＝ｇ ₁ ^y1 ・ｇ ₂ ^y2 ・ｖ ^e ｍｏｄ ｐを計算し、
   そのｗと上記文書Ｍとを一方向ハッシュ関数に入力し、
   その計算結果が上記ｅと一致するかどうかを検証し、 一致すれば正当な署名文書とみなすことにより署名文書
   の正当性を確認することを特徴とするディジタル署名方
   法。