JP3316895B2

JP3316895B2 - 正当性の確認システム

Info

Publication number: JP3316895B2
Application number: JP33832792A
Authority: JP
Inventors: 玄次西岡; 和夫宝木
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1992-12-18
Filing date: 1992-12-18
Publication date: 2002-08-19
Anticipated expiration: 2017-08-19
Also published as: JPH06188874A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は署名および認証方式に関
し、特に通信システムを介して行われる署名および認証
処理方式に関する。

【０００２】

【従来の技術】現代暗号理論においては、数論上の問題
の困難性を暗号学的仮定として用いて暗号システムを構
築することが多い。暗号学的仮定として用いられる代表
的な数論上の問題としては、例えば、（ａ） FP(Ｎ)
（Ｆactorization Ｐroblem)：「合成数Ｎに対して、Ｎ
を素因数分解せよ。」という問題、（ｂ）QRP(ｙ,Ｎ)
（Ｑuadratic Ｒesiduosity Ｐroblem)：「合成数Ｎと
互いに素であるｙ（１＜ｙ＜Ｎ）に対して、ｙ≡ｘ
²(mod Ｎ)なるｘ≧１が存在すれば求めよ。」という
問題、（ｃ）DLP_F(α,ｙ,ｐ)（Ｄiscrete Ｌogarithm
Ｐroblem over Ｆield)：「素数ｐと互いに素である
α，ｙ（１＜α,ｙ＜ｐ）に対して、ｙ≡exp(α,ｘ)(mo
d ｐ）（但し、ここで、exp(ａ,ｂ)はａのｂ乗を意味す
る。）なるｘ≧１が存在すれば求めよ。」という問題、
（ｄ）DLP_R(α,ｙ,Ｎ)（Ｄiscrete Ｌogarithm Ｐroble
m over Ｒing)：「合成数Ｎと互いに素であるα，ｙ
（１＜α,ｙ＜Ｎ）に対して、ｙ≡exp(α,ｘ)(modＮ）
（但し、ここで、exp(ａ,ｂ)はａのｂ乗を意味する。）
なるｘ≧１が存在すれば求めよ。」という問題、等があ
る。

【０００３】文献「Ｈ.Ｗoll.,Ｒeductions among Ｎu
mber Ｔheoretic Ｐroblems:INFORMATION AND COMPUTAT
ION 72,pp.167-179(1987).」では、これらの問題の困難
性について、（１）DLP_F(α,ｙ,ｐ) ≦ DLP_R(α,ｙ,Ｎ) （２）QRP(Ｎ) ≦ FP(Ｎ) ≦ DLP_R(α,ｙ,Ｎ) であることが述べられている。

【０００４】従来、このような数論上の問題の困難性を
暗号学的仮定として用いた署名方式として、「ＲＳＡ署
名方式」や「Ｅl-Ｇamal署名方式」等がよく知られてい
る。

【０００５】また、認証方式としては、例えば、QRPの
困難性を暗号学的仮定として用いた文献「Ａ.Ｆiat and
Ａ.Ｓhamir.,Ｈow to prove yourself: ＰracticalＳo
lutions of Ｉdentification and Ｓignature Ｐroblem
s. Ａdvances inＣryptology−Ｐroceedings of Ｃrypt
o'86,Ｌecture Ｎotes in ＣomputerＳcience,vol.263,
Ｓpringer Ｖerlag,Ｂerlin,1987, pp.186-194.」に記
載の「Ｆiat-Ｓhamir法」と呼ばれる認証方式や、DLP_F
の困難性を暗号学的仮定として用いた文献「Ｔ.Ｂeth.,
Ｅfficient zero-knowledge scheme for smart cards,
Ａdvancesin Ｃryptology−Ｐroceedings of Ｅurocryp
t'88, Ｌecture Ｎotes in Ｃomputer Ｓcience,vol.3
30,Ｓpringer Ｖerlag,Ｂerlin,1989,pp.77-84.」に記
載の「Ｂethの認証方式」や、文献「Ｃ.Ｐ.Ｓchnorr.,E
fficientIdentification and Signatures for Smart Ca
rd,Ａdvances in Ｃryptology−Ｐroceedings of Ｃryp
to'89,Ｌecture Ｎotes in Ｃomputer Ｓcience,vol.43
5,Ｓpringer Ｖerlag,Ｂerlin,1990,pp.239-252.」に記
載の「Ｓchnorrの認証方式」が良く知られている。

【０００６】一般に、暗号システムにおける「署名方
式」とは、署名者が自分の秘密情報を用いて文書ｍに対
する署名を作成し、その署名と文書ｍとを確認者に送
り、確認者が上記署名者の公開情報を用いて、文書ｍに
付随する署名の正当性を確かめることにより、文書ｍの
正当性を確かめるものである。また、「認証方式」と
は、確認者に対して自分の身元を証明する目的でセンタ
をアクセスした証明者が、センタが作成した情報を利用
して、身元を証明する認証システムを意味する。

【０００７】ここで、従来例であるＥl-Ｇamal署名方式
とＢethの認証方式について簡単に説明しておく。尚、
以下の説明で用いられる記号のうち、Ｚ_pは、正数ｐを
法とする剰余環を表わす。また、「α∈Ｚ_pのオーダー
がｎである」というのは、Ｚ_pにおいてexp(α,ｘ)≡１
(mod ｐ)となる最小の正数ｘがｎであることを意味す
る（但し、ここで、exp(ａ,ｂ)はａのｂ乗を意味す
る）。

【０００８】「Ｅl-Ｇamal署名方式」準備処理：署名者は次の条件を満たす情報を作成し、公
開情報のみを公開する。

【０００９】秘密情報:・ｓ∈Ｚ_p-1．公開情報:・素数ｐ.・ αはＺ_pの元で、オーダーがｐ-1.・ｖ≡exp(α,ｓ) (mod ｐ）（但し、ここで、exp
(ａ,ｂ)はａのｂ乗を意味する。）・一方向性ハッシュ関数ｆ署名処理：署名者は、以下の手順に従って、文書ｍに対
する署名（ｘ，ｙ）を作成し、確認者との間で署名処理
を行なう。

【００１０】Ｓtep １：署名者は、乱数ｒ∈Ｚ_p-1を選
ぶ。Ｓtep ２：署名者は文書ｍに対して、署名（ｘ，ｙ）を
次の様に計算する。ｘ≡exp(α,ｒ) (mod ｐ) ｙ≡(ｆ(ｍ)＋ｘ・ｓ)/ｒ (mod p-1) Ｓtep ３：署名者は、(ｍ,ｘ,ｙ)を確認者に送る。Ｓtep ４：確認者は、送られてきた(ｍ,ｘ,ｙ)が次式を
満たすことを確かめる。

【００１１】 exp(α,f(m))・exp(ｖ,ｘ)≡exp(ｘ,ｙ) (mod ｐ) (1) 但し、ここで、exp(ａ,ｂ)はａのｂ乗を意味する。

【００１２】この署名方式で、公開情報ｖから秘密情報
ｓを求めるのはDLP_Fであり、ｐが大きければ（２⁵¹²程
度以上）容易に計算できない。また、秘密情報ｓを知ら
ない第３者が式(1)を満たす（ｘ，ｙ）を計算すること
は困難であることから、確認者は式(1)の確認により、
文書ｍが署名者からのものであることを確信するもので
ある。

【００１３】「Ｂethの認証方式」準備処理：センタは、秘密情報ｘ_i（１≦ｉ≦ｍ）を作
成し、ｙ_i≡exp(α,ｘ_i)（mod q)を計算して公開する。
ここで、αはＺ_pの原始元（すなわち、α∈Ｚ_pのオーダ
ーが p-1）で公開情報とする。また、センタは、一方
向性ハッシュ関数ｆを公開する（但し、ここで、exp
(ａ,ｂ)はａのｂ乗を意味する。）。

【００１４】証明者の登録：証明者は、以下の手順に従
って、自分のＩＤ情報をセンタに登録し、センタが作成
した証明者用の秘密情報を配付される。 Step １：証明者は、センタに対して自分のnameを送
る。 Step ２：センタは、ＩＤ_j＝ｆ(name,ｊ) （１≦ｊ≦
ｍ）を作成する。また、(秘密の)乱数ｋ＝ｋ_Aを選び、
ｒ≡exp(α,ｋ) （mod q) を計算して、次の式を満た
す署名ｓ_j（１≦ｊ≦ｍ）を求める。ｘ_j・ｒ＋ｋ・ｓ_j≡ＩＤ_j（mod ｑ−１) すなわち、センタは各ｊ（１≦ｊ≦ｍ）についてＩＤ_j
にＥl-Ｇamal署名（ｒ，ｓ_j）を作成する。 Step ３：センタは、ＩＤ_jに対する署名ｒ，ｓ_j（１≦
ｊ≦ｍ）をＩＣカードに搭載して証明者に渡す。

【００１５】認証処理：１．「セットアップ」証明者と確認者は、認証プロトコ
ルに入る前の操作として、次に手順を実行する。

【００１６】Step １：証明者は、自分のnameとｒを確
認者に送る。

【００１７】Step ２：確認者は、ＩＤ_j＝ｆ(name,ｊ) （１≦ｊ≦ｍ） ρ_j≡exp(ｙ_j,ｒ) （mod q) （１≦ｊ≦ｍ）を計算する。

【００１８】２．「認証プロトコル」証明者と確認者の
間で、次の手続きをｉ＝１からｉ＝ｈまで繰り返すこと
により、証明者は確認者に対して自分の身元を証明す
る。 Step １：証明者は乱数ｔ_i∈Ｚ_q-1を選び、ｚ_i≡exp
(ｒ,-t_i) （mod q) を計算し、確認者に送る。 Step ２：確認者は乱数列(ｂ_ij)を選び、証明者に送
る。ここで、ｂ_ij∈Ｚ_q-1、ＲをＺ_q-1の適当な部分集合
とする。 Step ３. 証明者は、ｕ_i≡ｔ_i＋Σ{ｂ_ij・ｓ_j|ｊ}
（mod q-1) を計算し、確認者に送る。 Step ４. 確認者は、ｖ_i≡Σ{ｂ_ij・ＩＤ_j|ｊ} (mod
q-1) として γ_i≡(Π{exp(ρ_j,ｂ_ij)|ｊ})・exp(ｒ,ｕ_i)・ｚ_i−exp(α,ｖ_i) （mod q) を計算し、全てのｉ（１≦ｉ≦ｈ）についてγ_i＝０を
確かめる。

【００１９】すなわち、認証プロトコルにおいて、証明
者は、確認者に対してｓ_j（１≦ｊ≦ｍ）を所持するこ
とを証明している。センタ以外の第３者が、センタの公
開情報を用いてＥl-Ｇamal署名を作成するのは困難であ
ることから、確認者は、証明者の署名を所持しているこ
との証明により、センタが認めた者であることを確信す
る。

【００２０】

【発明が解決しようとする課題】上述した数論上の問題
に基づく署名、認証方式を構築する場合、実用面から効
率良く署名、認証処理を行なう必要がある。また、安全
面からより難しい数論上の問題に安全性の根拠を置いた
方式であることが望ましい。

【００２１】本発明の目的は、環上の離散対数問題を暗
号学的仮定とする安全性の高い幾つかの署名方式および
認証方式を提供することにある。

【００２２】本発明の他の目的は、計算処理に要する時
間を短縮し、高速化した幾つかの署名方式および認証方
式を提供することにある。

【００２３】

【課題を解決するための手段】上記目的を達成するため
に、従来の離散対数問題の困難性に安全性の根拠を置い
た認証、署名方式の殆どが、体Ｚ_p上の離散対数問題で
考察しているのに対し、本発明では、環Ｚ_N上の離散対
数問題を採用し、且つ、計算処理時間のかかるべき乗計
算を削減したことを特徴とする。

【００２４】さらに具体的に言うと、本発明によれば、
例えば、署名者が、署名者に固有の秘密情報を用いて文
書情報ｍに対する署名ｘを作成して、情報(ｍ，ｘ)を確
認者に送付し、確認者が、上記署名者の公開情報を用い
て文書情報ｍに対する署名ｘの正当性をチェックするこ
とにより、文書情報ｍまたは署名の正当性を確かめる署
名システムにおいて、署名者が、署名者の公開情報であ
る正定数ｖとＮに対して、ｘ⁴−４ｍｘ²＋４ｖ≡０
（ｍｏｄＮ）、または一方向性ハッシュ関数ｆを用い
て得られるｘ⁴−４ｆ（ｍ）ｘ²＋４ｖ≡０（ｍｏｄ
Ｎ）なる関係を満たす署名ｘを作成することを特徴とす
る。

【００２５】また、本発明の認証方式によれば、例え
ば、証明者が自分のＩＤ情報ＩＤ_Aをセンタに送り、セ
ンタが、秘密情報ｋ_A、ｘと公開情報である正定数α、
Ｎを用いて、ｔ_A≡ｅｘｐ（α，ｋ_A）（ｍｏｄ
Ｎ）、ｓ_A≡（ＩＤ_A＋ｔ_A−ｘ）／ｋ_Aを作成し、上記Ｉ
Ｄ_Aに対する署名情報(ｔ_A，ｓ_A)を証明者に送り、証明
者が、確認者に対してＩＤ_Aとｔ_Aを送付した後、自分が
情報ｓ_Aを所持することを証明することにより証明者の
認証を行なうようにしたことを特徴とする。

【００２６】

【作用】本発明における署名・認証方式では、べき乗計
算を減らすことにより、署名・認証処理の効率を向上さ
せ、また、体Ｚ_p上の離散対数問題よりも難解な環Ｚ_N上
の離散対数問題を採用することにより、従来の体Ｚ_p上
の離散対数問題を適用した方式より、安全性を向上させ
ることができる。

【００２７】

【実施例】以下、図面を用いて、本発明の実施例を説明
する。

【００２８】図１は、本発明の署名、認証処理を行うシ
ステム構成を示す。図において、１００はセンタ側装
置、２００は署名者側装置（または証明者側装置）、３
００は確認者側装置であり、これらは通信回線４００を
介して接続されている。

【００２９】署名処理においては、署名者は、署名者側
装置２００を用いて自分の秘密情報から文書ｍに対する
署名を作成し、これらの文書ｍと署名を通信回線４００
を介して確認者側装置３００に送る。確認者は、証明者
の公開情報を用いて、確認者側装置３００で受信署名の
正当性をチェックし、受信文書ｍの正当性を確認する。

【００３０】認証処理においては、証明者は、証明者側
装置２００を操作して自分のＩＤ情報をセンタ側装置１
００に登録する。センタ側装置１００は、証明者用の秘
密情報を作成し、これを証明者に配付する。秘密情報を
受け取った証明者は、通信回線４００を介して確認者側
装置３００との間でやりとりを行なうことにより、自分
がこの秘密情報を所持することを確認者の証明し、これ
によって証明者の認証を行なう。

【００３１】（実施例１）図１、図３及び図４を参照し
て本発明の実施例１（署名方式１）について説明する。

【００３２】署名者側装置２００は、図３に示すよう
に、入力装置２０１、演算装置２０２、メモリ２０３、
乱数発生装置２０４、素数発生装置２０５、および出力
装置２０６を備えている。一方、確認者側装置３００
は、図４に示すように、入力装置３０１、演算装置３０
２、メモリ３０３、乱数発生装置３０４、および出力装
置３０５を備えている。なお、これらの図では、簡単化
のために通信に必要な回路部分は省略して示してある。

【００３３】署名者は、署名者側装置２００の入力装置
２０１を操作して、文書ｍに対し次の関係を満たす署名
(ｘ,ｙ)を作成する。ここで、exp(ａ,ｂ)はａのｂ乗を
意味する。ｘ⁴−４ｍｘ²＋４ｖ≡０（ｍｏｄＮ） (2) 上記署名の作成は次の手順で行う。

【００３４】準備処理：署名者は、署名者側装置２００
で次の情報を作成し、秘密情報はメモリ203に保持し、
公開情報のみを公開する。秘密情報:・素数ｐ、ｑ・ｓ∈Ｚ_N 公開情報:・Ｎ＝ｐ・ｑ・ｖ≡ｓ²(mod Ｎ) 署名処理：署名者は、以下の手順に従って、文書ｍに対
する署名（ｘ，ｙ）を作成し、図５に示すように、確認
者との間で署名処理を行なう。

【００３５】Ｓtep １：署名者は、署名者側装置２００
の演算装置２０２を用いて、ｘ≡exp(ｍ＋ｓ，１／２）＋ｅｘｐ（ｍ−ｓ，１／２) (mod Ｎ) を計算する。Ｓtep ２：署名者は、上記ｘと文書ｍを、通信回線７０
０を介して確認者側装置３００に送る。Ｓtep ３：確認者は、送られてきたｍとｘとの間に、式
(2)が成立するか否かを確認者側装置３００の演算装置
３０２を用いて確かめる。

【００３６】署名者がプロトコルに従って署名を作成す
れば、必ず式(2)が成立する。秘密情報ｓを知らない第
３者が式(2)を満たす署名ｘを作成するのは困難である
ことから、式（２）が成立すれば、確認者は文書ｍが署
名者からのものであることを確信できる。また、署名者
が正しい手順で署名を作成する限り、必ず確認者側で署
名の正当性を確認してもらえる。

【００３７】この署名方法によれば、Ｅｌ−Ｇａｍａｌ
署名のように署名の都度乱数を作成する必要がない。例
えば、Ｅl-Ｇamal署名によれば、２つの異なるメッセー
ジ文ｍ₁，ｍ₂に対して、同じ乱数ｒ∈Ｚ_Mに基づいて署
名(ｘ,ｙ₁)、(ｘ,ｙ₂)を作成すると、ｒ≡(ｍ₁−ｍ₂)/(ｙ₁−ｙ₂) （mod Ｎ) となるため、ｒの値が他人に知られてしまい、署名の偽
造が簡単に行なわれるという問題がある。これに対し
て、上述した本発明の署名方式によれば、ｘの値からｓ
²の値は求まるものの、ｓの値が直接他人に知られるお
それはない。また、上記方式によれば、署名処理におけ
る計算の負担が少なくて済み、Ｅl-Ｇamal署名に比較し
て、署名文の長さも短くて済む。

【００３８】（実施例２）この実施例（署名方式２）で
は、実施例１に示したシステム構成において、署名者
が、文書ｍに対して次の関係を満たす署名(ｘ,ｙ)を作
成する。ここで、exp(ａ,ｂ)はａのｂ乗を意味す
る。

【００３９】 exp(α,m+x)≡exp(ｘ,ｙ)・ｖ (mod Ｎ) (3) （ exp(α,m+x)≡ｘ・exp(ｖ,ｙ) (mod Ｎ) ）署名の作成は以下の手順で行う。

【００４０】準備処理：署名者は、端末装置２００で次
の情報を作成し、秘密情報はメモリ２０３に保持し、公
開情報の公開する。

【００４１】秘密情報：・素数ｐ、ｑ・ｐ’｜ｐ−１、かつｑ’｜ｑ−１なる素数ｐ’，ｑ’ ・ｓ∈Ｚ_M 公開情報：・Ｎ＝ｐ・ｑ、Ｍ＝ｐ’・ｑ’ ・αはＺ_Nの元で、オーダーがＭ・ｖ≡ｅｘｐ（α，ｓ）（ｍｏｄＮ）署名処理：署名者は、以下の手順に従って、文書ｍに対
する署名（ｘ，ｙ）を作成し、図５に示すように、確認
者との間で署名処理を行なう。

【００４２】Ｓtep １：署名者は、署名者側装置２００
の乱数生成装置２０４を用いて、Ｍと互いに素な関係に
ある乱数ｒ∈Ｚ_Mを選ぶ。Ｓtep ２：署名者は、署名者側装置２００の演算装置２
０２を用いて、次式から署名（ｘ，ｙ）を計算する。ｘ≡exp(α,ｒ) (mod Ｎ)，ｙ≡(ｍ＋ｘ−ｓ)/ｒ (mod Ｍ) （ｙ≡(ｍ＋ｘ−ｒ)/ｓ (mod Ｍ) ）Ｓtep ３：署名者は、通信回線４００を介して、署名者
側装置２００から、情報（ｍ,ｘ,ｙ）を確認者側装置３
００に送る。Ｓtep ４：確認者は、送られてきた(ｍ,ｘ,ｙ)を確認者
側装置３００の演算装置３０２で処理し、式(3)が成立
するか否かを確かめる。署名者が正規のプロトコルに従
って署名を作成すれば、 exp(α,m+x)≡exp(α,ry+s)≡exp(ｘ,ｙ)・ｖ (mod Ｎ) ( exp(α,m+x)≡exp(α,sy+r)≡ｘ・exp(ｖ,ｙ) (mod Ｎ) ）の関係から、式(3)は必ず成立する。秘密情報ｓを知ら
ない第３者が、式(3)を満たす署名（ｘ，ｙ）を作成す
るのは困難であることから、確認者は文書ｍは署名者か
らのものであることを確信する。

【００４３】この署名方式によれば、正当な署名者の秘
密情報を知らない第３者が、DLP_Rを解くことなくして、
署名を作成するのは困難である。また、既に説明したよ
うにＥl-Ｇamal署名では、署名作成処理において３回の
べき乗計算を必要とするが、上記本発明の方式によれ
ば、べき乗計算を１回削減できる。また、暗号学的仮定
が、Ｅl-Ｇamal署名ではDLP_Fであるのに対し、本発明の
方式によれば、これがDLP_Rになる。DLP_Rは、DLP_Fよりも
難しい問題であることから、本発明の方式の方が安全性
において高まっている。

【００４４】（実施例３）次に、本発明の実施例３とし
て、実施例１と同様のシステムを用いて行われる安全性
を一層向上させた署名方式３について説明する。署名者
は、文書ｍに対して、次の関係を満たす署名（ｘ，ｙ）
を作成する。ここで、exp(ａ,ｂ)はａのｂ乗を意味す
る。 exp(α,m+x²)≡ｘ・exp(ｖ,ｙ²) (mod Ｎ) (4) （ exp(α,m+x²)≡exp(ｘ,ｙ²)・ｖ (mod Ｎ) ）上記署名の作成は次の手順で行う。

【００４５】準備処理：署名者は、署名者側装置２００
で次の情報を作成し、秘密情報はメモリ２０３に保持
し、公開情報のみを公開する。

【００４６】秘密情報:・素数ｐ，ｑ・ｐ'|p-1 かつｑ'|q-1なる素数ｐ'，ｑ'・ｓ∈Ｚ_M 公開情報:・Ｎ＝ｐ・ｑ，Ｍ＝ｐ'・ｑ'・ αはＺ_Nの元でオーダーがＭ・ｖ≡exp(α,ｓ²) (mod Ｎ) 署名処理：署名者は、以下の手順に従って、文書ｍに対
する署名（ｘ，ｙ）を作成し、図５に示すように、確認
者との間で署名処理を行なう。

【００４７】Ｓtep １：署名者は、署名者側装置２００
の乱数生成装置２０４を用いて、Ｍと互いに素な乱数
ｒ∈Ｚ_Mを選ぶ。Ｓtep ２：署名者は署名者側装置200内の演算装置202を
用いて、次式から署名（ｘ，ｙ）を計算する。ｘ≡exp(α,ｒ²) (mod Ｎ) ｙ≡exp(ｍ＋ｘ²−ｓ²,1/2)/ｒ (mod Ｍ) （ｙ≡exp(ｍ＋ｘ²−ｒ²,1/2)/ｓ (mod Ｍ) ）Ｓtep ３：署名者は、署名者側装置２００から情報(ｍ,
ｘ,ｙ)を通信回線400を介して確認者側装置３００に送
る。Ｓtep ４：確認者は、確認者側装置３００内の演算装置
３０２により、受信情報(ｍ,ｘ,ｙ)に関して式(4)が成
立するか否かを確かめる。署名者がプロトコルに従って
署名を作成すれば、 exp(α,m+x²)≡exp(α,r²y²+s²)≡exp(ｘ,ｙ²)・ｖ (mod Ｎ) ( exp(α,m+x²)≡exp(α,s²y²+r²)≡ｘ・exp(ｖ,ｙ²) (mod Ｎ) ）より、式(4)は必ず成立する。秘密情報ｓを知らない第
３者には、署名（ｘ，ｙ）を作成することが困難である
から、確認者は、文書ｍが署名者本人からのものである
ことを確信できる。

【００４８】この署名方式３においては、(mod Ｎで
の)DLP_Rと(mod Ｍでの)QRPとの双方の問題を解かない
限り、第３者が署名を作成することはできないため、不
正は極めて困難である。

【００４９】（実施例４）次に、本発明の実施例４とし
て、実施例１と同様のシステム構成で実施される認証方
式１について説明する。本実施例においては、図３に示
した素数生成装置２０５は不要である。

【００５０】図２は、センタ側装置１００の構成を示
す。センタ側装置１００は、入力装置１０１、演算装置
１０２、メモリ１０３、乱数発生装置１０４、素数発生
装置１０５及び出力装置１０６を備えている。

【００５１】証明者は、確認者に対して自分の身元を証
明したい。この目的の下で、証明者はセンタをアクセス
する。センタのアクセスは、証明者本人がセンタに訪れ
て入力操作してもよいし、証明者装置２００とセンタ装
置１００との間の通信によってデータ入力を行ってもよ
い。

【００５２】センタの準備処理：センタ側装置１００で
は、乱数生成装置１０４と素数生成装置１０５を用い
て、次の要領で秘密情報と公開情報を作成し、秘密情報
はメモリ１０３に保持しておき、公開情報のみを第３者
に公開する。ここで、exp(ａ,ｂ)はａのｂ乗を意味す
る。

【００５３】秘密情報：・素数ｐ，ｑ・ｐ'|p-1 かつｑ'|q-1なる素数ｐ'，ｑ'・ｘ∈Ｚ_M 公開情報:・Ｎ＝ｐ・ｑ，Ｍ＝ｐ'・ｑ'・ αはＺ_Nの元でオーダーがＭ・ｙ≡exp(α,ｘ) (mod Ｎ)・セキュリティ・パラメータ ζ（１≦ζ≦Ｍ) 証明者の登録：証明者は、図６に示すように、自分のＩ
Ｄ情報ＩＤ_A(e.g. 名前, 住所, 電話番号，等)をセン
タに送信し、登録しておく。センタ側装置１００は、乱
数生成装置１０４を用いて、Ｍと互いに素な(秘密の)乱
数ｋ_Aを選び、ｔ_A≡exp(α,ｋ_A) （mod Ｎ)，ｓ_A≡(ＩＤ_A＋ｔ_A−ｘ)/ｋ_A(mod Ｍ) を計算する。すなわち、センタ装置１００は、署名方式
２で説明した署名方式により、証明者のＩＤ情報ＩＤ_A
に署名（ｔ_A,ｓ_A）を付ける。その後、センタ装置か
ら、証明者装置２００に、証明者のＩＤ情報ＩＤ_Aと共
にｔ_A,ｓ_Aを配布する。これらの情報は、装置間の通信
によって行ってもよいし、例えばＩＣカード等の媒体に
記憶して証明者に配布する方式としてもよい。

【００５４】認証処理：証明者は、確認者に対して情報
ｓ_Aを知らせること、次の手順で、自分がセンタで作成
した情報ｓ_Aを所持することを証明することにより、証
明者の認証を行なう。

【００５５】１．セットアップ：証明者は、確認者に対
して自分の身元を証明するために、証明者側装置２００
を通信回線４００を介して確認者装置３００に接続し、
最初に自分のＩＤ情報ＩＤ_Aとｔ_Aを確認者側装置３００
に送る。

【００５６】２．認証プロトコル：証明者側装置２００
と確認者側装置３００との間で、次のプロトコルをｈ回
繰り返す。Ｓtep １：証明者は、乱数生成装置２０４を用いて、乱
数ｒ∈Ｚ_Mを選び、演算装置２０２でｗ≡exp(ｔ_A,ｒ)
(mod Ｎ)を計算し、算出されたｗを通信回線400を介
して確認者側装置３００に送る。Ｓtep ２：確認者は、乱数生成装置３０３を用いて、乱
数ｅ∈｛0,1,…,ζ}を選び、この乱数ｅを通信回線400
を介して証明者側装置２００に送る。Ｓtep ３：証明者は、証明者側装置２００の演算装置２
０２で、ｕ≡ｒ＋ｅ・ｓ_A(mod Ｍ) を計算し、ｕを通
信回線４００を介して確認者側装置３００に送る。Ｓtep ４：確認者は、確認者側装置３００の演算装置３
０２で、次式をチェックする。 exp(ｙ,ｅ)・exp(ｔ_A,ｕ)≡ｗ・exp(α,e(ID_A+t_A)) （mod Ｎ) 上記人症プロトコルを所定回数（ｈ回）繰返し、Ｓtep
４の式が常に正しく成立した場合、確認者は証明者が本
人であると認める。

【００５７】証明者と確認者が上記人症プロトコルに忠
実に従う限り、 exp(ｙ,ｅ)・exp(ｔ_A,ｕ)≡ｗ・exp(α,ID_A+t_A-x)・exp(ｙ,ｅ) ≡ｗ・exp(α,e(ID_A+t_A)) （mod Ｎ) であることから、確認者は証明者本人を認証することが
できる。

【００５８】すなわち、認証プロトコルにおいて、証明
者は、確認者に対して自分がｓ_Aを所持していることを
証明している。センタ以外の第３者にとって、センタが
公開した情報のみを用いて署名（ｔ_A,ｓ_A）を作成する
のは実質的に困難であることから、確認者は、証明者が
上記署名を所持していることを証明した場合、彼がセン
タが認めた者であることを確信できる。

【００５９】上記認証方式１は、効率に関しては従来Ｂ
ethの認証方式と同等であるが、暗号学的仮定が、DLP_F
からDLP_Rになっているため、安全性は一層高められてい
る。

【００６０】（実施例５）次に、本発明の実施例５とし
て、実施例５と同様のシステム（ただし、図３の素数生
成装置２０５は不要である）を用いて行う認証方式２に
ついて説明する。

【００６１】センタの準備処理：センタ側装置１００
で、秘密情報と公開情報を次の要領で作成し、秘密情報
はメモリ１０３に保持しておき、公開情報のみを公開す
る。

【００６２】秘密情報：・素数ｐ，ｑ・ｐ'|p-1 かつｑ'|q-1なる素数ｐ'，ｑ' 公開情報:・Ｎ＝ｐ・ｑ，Ｍ＝ｐ'・ｑ'・ αはＺ_Nの元でオーダーがＭ・セキュリティ・パラメータ ζ（１≦ζ≦Ｍ) 証明者の登録：証明者は、図７に示すように、自分のＩ
Ｄ情報ＩＤ_A(e.g. 名前, 住所, 電話番号，等)をセン
タ装置１００に送り、これらの情報を登録しておく。セ
ンタ装置１００では、乱数生成装置１０４を用いて乱数
ｘ_A∈Ｚ_Mを選び、ＩＤ_A≡exp(α,ｘ_A)・ｙ_A ²(mod Ｎ）を満たすｙ_Aを演算装置１０２で計算し、情報（ＩＤ_A,
ｘ_A,ｙ_A）を証明者に配布する。ここで、exp(ａ,ｂ)は
ａのｂ乗を意味する。

【００６３】認証処理：証明者は、確認者に対して、自
分がセンタで作成した情報ｘ_Aを所持することを証明す
るために、次の手順を実行する。

【００６４】１．セットアップ証明者は、確認者に対して自分自身の身元を証明するた
めに、証明者側装置２００を通信回線４００を介して確
認者側装置３００に接続し、先ず、自分のＩＤ情報ＩＤ
_Aとｙ_Aを確認者側装置３００に送る。

【００６５】２．認証プロトコル証明者側装置２００と確認者側装置３００との間で、次
のプロトコルをｈ回繰り返す。

【００６６】Ｓtep １：証明者は、乱数生成装置２０５
を用いて、乱数ｒ∈Ｚ_Mを選び、演算装置２０２でｗ
≡exp(α,ｒ) (mod Ｎ) を計算し、ｗを通信回線４０
０を介して確認者側装置３００に送る。Ｓtep ２：確認者は、乱数生成装置３０３を用いて、乱
数ｅ∈｛0,1,…,ζ}を選び、乱数ｅを通信回線４００を
介して証明者側装置２００に送る。Ｓtep ３：証明者は、ｕ≡ｒ＋ｅ・ｘ_A(mod Ｍ)を証明
者側装置２００の演算装置２０２で計算し、ｕを通信回
線４００を介して確認者側装置３００に送る。

【００６７】Ｓtep ４：確認者は、確認者側装置３００
の演算装置３０２で、次式が成立するか否かをチェック
する。ｗ・exp(ＩＤ_A・exp(ｙ_A,-2),ｅ)≡exp(α,ｕ) （mod Ｎ) 確認者は、上記プロトコルのｈ回の実行において、Ｓte
p ４の式が常に成立した場合、証明者が本人であると認
める。証明者と確認者が上記プロトコルに従えば、 exp(α,ｕ)≡exp(α,r+ex_A)≡ｗ・exp(α,ex_A) ≡ｗ・exp(ＩＤ_A・exp(ｙ_A,-2),ｅ) （mod Ｎ) であることから、確認者が証明者を認証することができ
る。

【００６８】すなわち、認証プロトコルにおいて、証明
者は、確認者に対して、自分が情報ｘ_Aを所持している
ことを証明している。センタ以外の第３者にとって、セ
ンタの公開情報のみを用いて（ｘ_A，ｙ_A）を作成するの
は困難であることから、確認者は、証明者が情報ｘ_Aを
所持していることを証明した場合、彼がセンタで認めら
れた者であることを確信できる。

【００６９】上記認証方式２では、Ｎの素因数分解をセ
ンタの秘密情報とし、Ｎの素因数分解を知る者だけがＩＤ_A≡exp(α,ｘ_A)・ｙ_A ²(mod Ｎ）を満たす(ｘ_A,ｙ_A)を計算できることをセンタの特権と
して認証システムを構築している。この認証方式は、mo
d ＮでのQRPの困難性に安全性の根拠を置いており、べ
き乗計算が比較的少ないため、効率が極めてよい。

【００７０】（実施例６）次に、本発明の実施例６とし
て、実施例５のシステム構成（ただし、素数生成装置２
０５は不要）を用いて行う認証方式３について説明す
る。

【００７１】センタの準備処理：センタ側装置１００で
は、乱数生成装置１０４と素数生成装置１０５を用い
て、秘密情報と公開情報を次の要領で作成し、秘密情報
はメモリ１０３に保持しておき、公開情報のみを公開す
る。ここで、exp(ａ,ｂ)はａのｂ乗を意味する。

【００７２】秘密情報：・素数ｐ，ｑ・ｐ'|p-1 かつｑ'|q-1なる素数ｐ'，ｑ'・ｒ∈Ｚ_M・ｓ∈Ｚ_M 公開情報:・Ｎ＝ｐ・ｑ，Ｍ＝ｐ'・ｑ'・ αはＺ_Nの元でオーダーがＭ・ｋ≡exp(α,ｒ) (mod Ｎ)・ｖ≡exp(α,ｓ) (mod Ｎ)・セキュリティ・パラメータ ζ（１≦ζ≦Ｍ) 証明者の登録：証明者は、図８に示すように、自分のＩ
Ｄ情報ＩＤ_A(e.g. 名前, 住所, 電話番号，等)をセン
タ１００に送り、これらの情報を登録しておく。センタ
側装置１００では、乱数生成装置１０４を用いて、乱数
ｘ_A∈Ｚ_Mを選び、ｙ_A≡exp(α,ｘ_A) （mod Ｎ)，ｚ_A≡(ＩＤ_A−ｓ−ｘ_A)/ｒ（mod Ｍ). ( ｚ_A≡(ＩＤ_A−ｒ−ｘ_A)/ｓ（mod Ｍ) ) を計算し、情報（ＩＤ_A,ｘ_A,ｙ_A,ｚ_A）を証明者に配布
する。

【００７３】認証処理：証明者と確認者は次の手順を実
行する。

【００７４】１．セットアップ：証明者は、確認者に対
して自分自身の身元を証明するために、証明者側装置２
００を通信回線４００を介して確認者側装置３００に接
続し、先ず、情報（ＩＤ_A,ｙ_A,ｚ_A,）を確認者側装置３
００に送る。確認者は、確認者側装置３００の演算装置
３０２で、 exp(α,ID_A)≡ｙ_A・ｖ・exp(ｋ,ｚ_A) （mod Ｎ) ( exp(α,ID_A)≡ｙ_A・ｋ・exp(ｖ,ｚ_A) （mod Ｎ) ) が成立するか否かを確かめる。

【００７５】２．認証プロトコル.証明者側装置２００
と確認者側装置３００との間で、次のプロトコルをｈ回
繰り返す。

【００７６】Ｓtep １：証明者は、乱数生成装置２０４
を用いて、乱数ｒ'∈Ｚ_Mを選び、ｗ≡exp(α,ｒ') (mo
d Ｎ)を演算装置２０２で計算し、得られたｗを通信回
線４００を介して確認者側装置３００に送る。Ｓtep ２：確認者は、乱数生成装置３０４を用いて、乱
数ｅ∈｛0,1,…,ζ}を選び、この乱数ｅを通信回線４０
０を介して証明者側装置２００に送る。Ｓtep ３：証明者は、証明者側装置２００の演算装置２
０２で、ｕ≡ｒ'＋ｅ・ｘ_A(mod Ｍ)を計算し、ｕを通
信回線４００を介して確認者側装置３００に送る。Ｓtep ４：確認者は、演算装置３０２で、次式が成立す
るか否かをチェックする。ｗ・exp(ｙ_A,ｅ)≡exp(α,ｕ) （mod Ｎ) 確認者は、上記プロトコルをｈ回繰返し、Ｓtep ４の式
が常に成立する場合、証明者が本人であると認める。証
明者と確認者が上記プロトコルに従えば、 exp(α,ｕ)≡exp(α,r+ex_A)≡ｗ・exp(ｙ_A,ｅ) （mod Ｎ) であることから、確認者は、証明者を本人と認証するこ
とができる。すなわち、上記認証プロトコルにおいて、
証明者は、確認者に対して自分が情報ｘ_Aを所持してい
ることを証明している。センタ以外の第３者にとって、
センタの公開情報から情報（ｘ_A，ｙ_A,ｚ_A）を作成する
のは困難であるから、確認者は、証明者が情報ｘ_Aを所
持していることを証明した場合、証明者がセンタが認め
た者であることを確信できる。上記認証方式３は、べき
乗計算の回数が少ないため、効率が良く、しかもDLP_Rの
困難性に安全性の根拠を置いているため、安全性が高
い。

【００７７】以上説明した実施例１〜実施例６の認証、
署名方式の実用化に当っては、前もって計算できる箇所
はできるだけ前処理計算しておくことが望まく、安全性
と効率の点から、パラメータｐ、ｑ、ｐ’、ｑ’の値は
次の範囲で設定することが望ましい。

【００７８】ｐ，ｑ≧２⁵¹²、ｐ'，ｑ'≧２²⁵⁶ また、ｆを一方向性ハッシュ関数として公開しておき、
署名方式１（実施例１）でｍの代わりにハッシュ値ｆ
(ｍ)を、署名方式２（実施例２）でｍ＋ｘの代わりにハ
ッシュ値ｆ(ｍ,ｘ)を、署名方式３（実施例３）ではｍ
＋ｘ²の代わりにハッシュ値ｆ(ｍ,ｘ²)を採用するよう
にしてもよい。それぞれの認証方式において、ＩＤ情報
ＩＤ_Aの値を大きく取りたい場合、ＩＤ_Aを単独に用いる
代わりに適当な値とハッシュ計算した値を採用するよう
にしてもよい。

【００７９】

【発明の効果】以上の説明から明らかなように、本発明
による署名、認証方式は、従来方式に比較して、べき乗
計算の回数が少なくて済むため、効率良く署名、認証を
行なうことができる。また、暗号学的仮定を、体Ｚ_p上
の離散対数問題より難しい環Ｚ_N上の離散対数問題にお
いているため、高い安全性が得られる。

【図面の簡単な説明】

【図１】本発明の署名、認証方式を実行するためのシス
テム構成を示す図。

【図２】センタ側装置１００の構成を示す図。

【図３】署名者側装置（証明者側装置）２００の構成を
示す図。

【図４】確認者側装置３００の構成を示す図。

【図５】署名方式１〜３の手順の概要を示す図。

【図６】認証方式１の手順の概要を示す図。

【図７】認証方式２の手順の概要を示す図。

【図８】認証方式３の手順の概要を示す図。

【符号の説明】

１００…センタ側装置，２００…署名者側装置（証明者
側装置），３００…確認者側装置。

フロントページの続き (56)参考文献特開昭63−101987（ＪＰ，Ａ) 特開平６−332374（ＪＰ，Ａ) 特開平６−150082（ＪＰ，Ａ) 川村信一、新保淳，“Ｒａｂｉｎ暗号の署名を用いた鍵共有方式”昭和63年電子情報通信学会春季全国大会講演論文集，日本，財団法人電子情報通信学会, 1988年３月15日，基礎・境界〔分冊Ａ −１〕，１−291 Ｊ．ＳｃｈｗｅｎｋａｎｄＪ．Ｅｉｓｆｅｌｄ，“ＰｕｂｌｉｃＫｅｙＥｎｃｒｙｐｔｉｏｎａｎｄＳｉｇｎａｔｕｒｅＳｃｈｅｍｅｓＢａｓｅｄｏｎＰｏｌｙｎｏｍｉａｌｓｏｖｅｒＺｎ”，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，1996年８月５日, ＥＵＲＯＣＲＹＰＴ’96，Ｖｏｌ. 1070，ｐ．60−71 西岡玄次，“体上の離散対数問題に基づく対話形認証方式についての一考察”，電子情報通信学会論文誌，日本, 社団法人電子情報通信学会，1996年10月 25日，Ｖｏｌ．Ｊ79−Ａ，Ｎｏ．10, ｐ．1708−1724 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 H04L 9/00

Claims

(57)【特許請求の範囲】

【請求項１】署名者側装置が、署名者の秘密情報を用い
て文書情報ｍに対する署名ｘを作成して、前記文書情報
ｍと前記署名ｘとを確認者に送付し、確認者側装置が、
前記署名者の公開情報を用いて、前記文書情報ｍの正当
性を確かめる正当性の確認システムにおいて、前記署名者側装置は、素数ｐ、ｑと、ｓ(ただし、ｓ∈Ｚ _N 、Ｚ _N は正の整数ｎ
を法とした剰余系)を作成する手段と、Ｎ＝ｐｑｖ≡ｓ ^２ (ｍｏｄＮ) を計算する手段と、前記ｐ、ｑ、ｓを、前記署名者の秘密情報として保持す
る手段と、前記Ｎ、ｖを前記署名者の公開情報として公開する手段
と、前記Ｎ、ｓ、ｍを用い、ｘ≡ｅｘｐ (ｍ＋ｓ，１/２）＋ｅｘｐ（ｍ−ｓ，１/２) (ｍｏｄＮ) （ただし、ｅｘｐ (ａ，ｂ）は、ａのｂ乗である）を計
算し、乱数を用いることなく署名ｘを生成する手段と、前記署名ｘと前記文書情報ｍを前記確認者側装置に送る
手段と、を備え、前記確認者側装置は、前記公開情報Ｎ、ｖと、受信した前記署名ｘと文書情報
ｍとを用いて計算し、ｘ ^４ −４ｍｘ ^２＋４ｖ≡０ (ｍｏｄＮ）が成立することにより、前記文書情報ｍの正当性を確認
する手段と、を備えることを特徴とする正当性の確認シ
ステム。
【請求項２】請求項１の正当性の確認システムにおい
て、前記文書情報ｍは、文書を一方向性ハッシュ関数ｆに入
力して得た出力であることを特徴とする正当性の確認シ
ステム。