JP3331328B2 - 多重デジタル署名方法、そのシステム、その装置及びそのプログラム記録媒体 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電子化された文
書の稟議／決済等のシステムで、一つの文書に多数の者
が重複して電子的に署名／捺印する多重デジタル署名に
関する。

【０００２】

【従来の技術】デジタル署名方式の代表的な例として、
ＲＳＡ暗号（Ｒ．Ｌ．Ｒｉｖｅｓｔ，ｅｔａｌ．“Ａ
Ｍｅｔｈｏｄ ｆｏｒ Ｏｂｔａｉｎｉｎｇ Ｄｉｇｉ
ｔａｌＳｉｇｎａｔｕｒｅｓ ａｎｄ Ｐｕｂｌｉｃ−
Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ”，Ｃｏｍｍｕｎ
ｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，Ｖｏｌ．２
１，Ｎｏ．２，ｐｐ．１２０−１２６，（１９７８））
を利用した方式がある。ＲＳＡ暗号は、以下の通りであ
る。

【０００３】署名者Ａは、署名用鍵（ｄ，ｎ）と検査用
鍵（ｅ，ｎ）を ｎ＝ｐ×ｑ ｅ×ｄ≡１（mod ＬＣＭ｛（ｐ−１），（ｑ−１）｝） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、ＬＣＭ｛ａ，ｂ｝は整数ａと
ｂの最小公倍数を表して、ｐとｑは異なる２つの大きな
素数とする。また、ａ≡ｂ（mod Ｌ）は、ａ−ｂがＬの
倍数であることを表す。

【０００４】ＲＳＡ暗号は、ｎが大きいときｎの素因数
分解が困難なことに安全性の根拠を持つ暗号系であり、
公開された検査用鍵（ｎ，ｅ）から秘密の署名用鍵のｄ
成分を求めることは困難である。検証者Ｂは、署名者Ａ
の検査用鍵（ｅ，ｎ）を個人識別情報（ＩＤ）と組合わ
せて管理する。センタが、検査用鍵を公開情報管理簿と
して管理することも多い。

【０００５】署名関数Ｄと検証関数Ｅを Ｄ（ｍ）＝ｍ^d mod ｎ Ｅ（ｙ）＝ｙ^e mod ｎ で定義する。０＜ｍ＜ｎをみたす整数ｍに対して Ｅ（Ｄ（ｍ））＝ｍ が成り立つことが示せる。ここで、ａmod ｎは、ａをｎ
で割ったときの余りを表す。

【０００６】ＲＳＡ暗号を利用したデジタル署名方式は
以下の通りである。署名者Ａは、一方向性関数ｆを用い
て文書ｍから生成したｆ（ｍ）に対して、秘密の署名関
数Ｄを適用してｙ＝Ｄ（ｆ（ｍ））で署名ｙを生成し、
個人識別情報（ＩＤ）と文書ｍと署名ｙの組合せ（Ｉ
Ｄ，ｍ，ｙ）を署名つき通信文として検証者Ｂに送信す
る。

【０００７】検証者Ｂは，ＩＤをキーに検査用鍵の登録
された公開情報管理簿を検索して検証関数Ｅを求めて、
署名つき通信文のｙ成分からＥ（ｙ）を求め、これが、
ｍから求めたｆ（ｍ）と一致するか検査する。Ｅ（ｙ）
＝ｆ（ｍ）が成り立でば、署名関数Ｄを知っているのは
真の署名者Ａだけであるから、送信者（署名者）が本物
のＡであり、（ＩＤ，ｍ，ｙ）は改ざんされていないと
判断とする。

【０００８】ここで、ｆが一方向性関数とは、ｘからｆ
（ｘ）を求める計算は容易であるが、ｆ（ｘ）からｘを
求めるのが困難な関数である。ｆは高速な慣用暗号化装
置、例えばＤＥＳ暗号（Ｄａｔａ Ｅｎ−ｃｒｙｐｔｉ
ｏｎ Ｓｔａｎｄａｒｄ，Ｆｅｄｅｒａｌ Ｉｎｆｏｒ
ｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒ
ｄｓ Ｐｕｂｌｉｃａｔｉｏｎ ４６，１９７７）を用
いて構成できる。高速な構成要素を用いれば、ｆの計算
時間はほとんど無視できる。

【０００９】ところで、ＲＳＡ暗号で用いる整数ｎは通
常十進４００桁（１０２４ビット）程度であり、署名用
鍵のｄ成分も１０２４ビット程度となる。ここで、署名
関数Ｄを計算するには、平方乗算アルゴリズムがよく知
られており、４００桁の整数の乗法（ただし法ｎによる
剰余計算を含む）が平均１５３６回必要であり、署名者
Ａにおける署名作成の処理量が大きい。（平方乗算アル
ゴリズム、例えば、Ｄ．Ｒ．Ｓｔｉｎｓｏｎ（櫻井監
訳）：“暗号理論の基礎”、共立出版，ｐ．１３７，
（１９８６）に示されている）。

【００１０】署名者における署名作成の処理量の増加の
問題を解決する方式として、対話証明（ＦｉａｔとＳｈ
ａｍｉｒの方式やＳｃｈｎｏｒｒの方式が代表例）があ
る（Ａ．Ｆｉａｔ，ａｎｄ Ａ．Ｓｈａｍｉｒ，：“Ｈ
ｏｗ ｔｏ ｐｒｏｖｅ ｙｏｕｒｓｅｌｆ：ｐｒａｃ
ｔｉｃａｌ ｓｏｌｕｔｉｏｎｓ ｔｏ ｉｄｅｎｔｉ
ｆｉｃａｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅ ｐｒ
ｏｂｌｅｍｓ”，Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐ−
ｔｏｌｏｇｙ−Ｃｒｙｐｔｏ ８６，Ｓｐｒｉｎｇｅｒ
−Ｖｅｒｌａｇ，ｐｐ．１８６−１９４．Ｃ．Ｐ．Ｓｃ
ｈｎｏｒｒ：“Ｅｆｆｉｃｉｅｎｔ Ｉｄｅｎｔｉｆｉ
ｃａｔｉｏｎ ａｎｄ Ｓｉｇｎａｔｕｒｅｓ ｆｏｒ
Ｓｍａｒｔ Ｃａｒｄ”Ａｄｖａｎｃｅｓ ｉｎ Ｃ
ｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ’８９，Ｓｐ
ｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐｐ．２３５−２５
１．）。

【００１１】以下では、Ｓｃｈｎｏｒｒの方法によるデ
ジタル署名について説明する。信頼できるセンタが、２
つの大きな素数ｐとｑで、ｑがｐ−１の約数となるもの
とし、位数ｑをもつ整数ｇ∈（Ｚ／ｐＺ）^* ＝｛１，
２，…，ｐ−１｝を公開する。 Ｓｔｅｐ１ 署名者Ａは、乱数ｓ∈（Ｚ／ｑＺ）を生成
して、Ｉ＝ｇ^s mod ｐで公開情報Ｉを計算し、個人識別
情報（ＩＤ）とＩの組を公開する。

【００１２】署名者Ａは、検証者Ｂに対して、文書ｍが
本物であることを、次の手順で証明する。 Ｓｔｅｐ２ 署名者Ａは、乱数ｒ∈（Ｚ／ｑＺ）を生成
して、 Ｘ＝ｇ^r mod ｐ を計算する。

【００１３】Ｓｔｅｐ３ Ａは、整数ｅ∈（Ｚ／ｑＺ）
を一方向性関数ｆを用いて ｅ＝ｆ（Ｘ，ｍ） で計算する。 Ｓｔｅｐ４ Ａは署名ｙを ｙ＝ｒ＋ｅｓ mod ｑ で生成して、｛ＩＤ，Ｘ，ｍ，ｙ｝を署名つき通信文と
して検証者Ｂに送る。

【００１４】Ｓｔｅｐ５ 検証者Ｂは、整数ｅ∈（Ｚ／
ｑＺ）を一方向性関数ｆを用いて ｅ＝ｆ（Ｘ，ｍ） で計算する。 Ｓｔｅｐ６ Ｂは、 ｇ^y ≡ＸＩ^e （mod ｐ） が成り立つことを検査する。ここで、ＩはＩＤに対応し
た公開情報。

【００１５】ｙの作り方よりｇ^y ≡ｇ^r （ｇ^s ）^e ≡Ｘ
Ｉ^e （mod ｐ）であるから、上記の検査に合格した場
合、検証者Ｂは文書ｍがＡから送信されたものであると
認める。このとき、整数ｅ∈（Ｚ／ｑＺ）とｙ∈（Ｚ／
ｑＺ）を決めてから検査式に合格するＸ∈（Ｚ／ｐＺ）
^* を計算して、ｅ＝ｆ（Ｘ，ｍ）が成り立つ場合に｛Ｉ
Ｄ，Ｘ，ｍ，ｙ｝を署名つき通信文とすると、署名の偽
造に成功する。検査式ｅ＝ｆ（Ｘ，ｍ）が成り立つ確率
は１／ｑであるから、署名の偽造に要する計算量はｑで
決まる。以降では、ｐのビット数を｜ｐ｜で表す。

【００１６】Ｓｃｈｎｏｒｒの方式では、送信者におけ
る署名作成処理は、｜ｐ｜ビットの整数の乗算（ただし
法ｐにおける剰余計算を含む）が平均３／２｜ｑ｜回、
｜ｑ｜ビットの整数の乗算（ただし法ｑにおける剰余計
算を含む）が１回、｜ｑ｜ビットの整数の加算（ただし
法ｑにおける剰余計算を含む）が１回となる。ここで
は、署名つき通信文｛ＩＤ，Ｘ，ｍ，ｙ｝としたが、Ｘ
の代わりにｅを用いて｛ＩＤ，ｅ，ｍ，ｙ｝とすること
も可能である。このときには、Ｘ＝ｇ^y（Ｉ^e ）^-1 mod
ｐでＸを計算して、ｅ＝ｆ（Ｘ，ｍ）の関係式を成り
立つことを検査することになる。｜ｅ｜＜｜Ｘ｜のと
き、後者の方が通信文を短くできる。

【００１７】

【発明が解決しようとする課題】ここで、上記の方式
を、複数の署名者が順次署名する多重署名に適用するこ
とを考える。ＲＳＡ暗号系を用いたデジタル署名では、
通信文（ＩＤ，ｍ，ｙ）の署名ｙに順次署名を施して
（すなわちＤ_L …Ｄ₁ （ｆ（ｍ）））で多重署名を実現
できる。このとき、署名生成の処理量が大きいことが問
題となる。

【００１８】一方、単純にＳｃｈｎｏｒｒ法を適用する
と、署名者毎にメッセージｍに｛ＩＤ，Ｘ，ｙ｝の情報
を付加する方法が考えられる。ここで、Ｘ成分は｜ｐ｜
ビット、ｙ成分は｜ｑ｜ビットである。Ｌ人の署名者が
順次署名するとき、最終的に（｜ｐ｜＋｜ｑ｜）×Ｌビ
ットの情報がメッセージ（Ｌ人のＩＤおよび文書
（ｍ））に付加される。署名成分（Ｘ成分、ｙ成分）の
増加が問題となる。

【００１９】従来より、Ｘ成分を１巡目で署名者間で持
ち回り、２巡目でｙ成分を署名者間で持ち回って、各々
の成分の値を署名作成処理毎に累積することで、Ｘ成分
とｙ成分をそれぞれ１個に削減可能な多重署名法が提案
されている（Ｋ．Ｏｈｔａａｎｄ Ｔ．Ｏｋａｍｏｔ
ｏ，：“Ａ Ｄｉｇｉｔａｌ Ｍｕｌｔｉｓｉｇｎａｔ
ｕｒｅ Ｓｃｈｅｍｅ Ｂａｓｅｄ ｏｎ ｔｈｅ Ｆ
ｉａｔ−ＳｈａｍｉｒＳｃｈｅｍｅ，”Ａｄｖａｎｃｅ
ｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＡＳＩＡＣＲＹＰ
Ｔ’９１，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐｐ．１
３９−１４８）。しかし、この方式では、限定された状
況のもとでしか安全性が保証できない問題がある（上記
の文献のｐ．１４６のＣｏｎｃｌｕｓｉｏｎ ａｎｄ
Ｏｐｅｎｐｒｏｂｌｅｍｓを参照）。

【００２０】一方、Ｘ成分は署名者毎に増加させ、ｙ成
分の値を署名作成処理毎に累積することにより通信文を
１巡するだけで多重署名する方法が、文献太田、岡本：
「多重署名の厳密な安全性」、電子情報通信学会、信学
技法ＩＳＥＣ９７−２７で提案されているが、その方式
では、署名者の数に比例して署名成分のデータ量が増加
する問題がある。

【００２１】この発明の目的は、従来方式よりも一般的
な状況で安全性を保証でき、かつ署名成分のデータ量の
増加を押さえることも可能な多重署名方式を構成するこ
とにある。

【００２２】

【課題を解決するための手段】従来方式の検証処理で
は、Ｉのべき乗成分として一種類のｅ成分を用いていた
が、この発明では署名者ごとに異なるｅ成分を導入する
ことにより、安全性を保証する。また、主要な署名成分
であるＸ成分とｙ成分の値を署名作成処理毎に累積して
署名成分のデータ量の増加をおさえることにより、Ｆｉ
ａｔ−Ｓｈａｍｉｒ法やＳｃｈｎｏｒｒ法に対して適用
可能な多重署名法を構成する。

【００２３】

【発明の実施の形態】以下では、Ｓｃｈｎｏｒｒ法を用
いてこの発明の一実施例について説明する。ここで示
す、署名者ごとに異なるｅ成分を利用する考え方は、Ｆ
ｉａｔ−Ｓｈａｍｉｒ法、およびそれらを包括する対話
証明を利用したデジタル署名に対しても広く適用可能で
ある。

【００２４】図１はこの発明の原理構成図である。複数
の署名者装置２００，３００，…，６００が公開情報管
理センタ１００と、送信者を特定可能な通信路４００を
介して結合されているとする。また、署名者１の装置２
００，署名者２の装置３００，…，署名者Ｌの装置６０
０は安全でない通信路５００を介してリング状に結合さ
れており、順次署名を行なう。最後の署名者Ｌの装置６
００と検証者装置８００は安全でない通信路７００を介
して結合されているとする。

【００２５】署名者装置２００，３００，…，６００は
システム加入時に秘密情報と公開情報を生成し、公開情
報をセンタ１００の公開情報管理簿に登録する。センタ
１００は、必要に応じて公開情報を署名者装置２００，
…，６００および検証者装置８００に配送する。まず、
センタ１００がシステムを開始する際の初期情報設定処
理について説明する（図２参照）。ここでは、システム
一意の値｛ｐ，ｑ，ｇ｝を公開するのが目的である。 〔初期情報設定処理（システム開始時におけるセンタ１
００の処理）〕 Ｓｔｅｐ１ 素数生成器１１０を用いて素数ｐを生成
し、除算器１２０を用いてｐ−１の約数となる素数ｑを
生成する。

【００２６】Ｓｔｅｐ２ 原始元生成器１３０を用いて
（Ｚ／ｐＺ）^* の原始元αを生成し、剰余つきべき乗乗
算器１４０を用いて、 ｇ＝α^(p-1)/q mod ｐ により位数ｑを持つ整数ｇを生成する。 Ｓｔｅｐ３ 通信路４００を介して、署名者装置２０
０，…，６００と検証者装置８００に公開情報｛ｐ，
ｑ，ｇ｝を配送する。

【００２７】次に、署名者ｉの装置がシステムに加入す
る際の処理について説明する（図３参照） 〔システム加入時における署名者ｉの装置の処理〕 Ｓｔｅｐ４ 乱数発生器２１０を用いて乱数ｓ_i を生成
し、これを、剰余つきべき乗乗算器２２０に公開情報
ｇ，ｐとともに入力して Ｉ_i ＝ｇ^si mod ｐ により、公開情報Ｉ_i を計算する。

【００２８】Ｓｔｅｐ５ 署名者ｉの装置は通信路４０
０を介して、センタ１００に個人識別情報ＩＤ_i ととも
に公開情報Ｉ_i ，関数ｆ_i を送信して公開情報として登
録する。ｓ_i を秘密情報として保持する。 他の署名者装置がシステムに加入する際にも同様の処理
を行なう。ここで、通信路４００は送信者を特定する機
能がついているので、偽の署名者が署名者ｉになり済ま
すことはできないことに注意。

【００２９】この発明は、文書ｍには依存せずに処理可
能な第１巡目と、ｍに依存した第２巡目とから成り立
つ。第１巡目で署名者ｉの装置が出力する通信文をＸ_i
＾と表し、第２巡目で署名者ｉの装置が出力する、文書
ｍに対する署名つき通信文を（Ｉ_i ＾，Ｘ＾，ｍ，ｙ_i
＾）と表す。以下では、署名対象とする通信文を、署名
者（ｉ−１）の装置が署名者ｉの装置へ送信し、署名者
ｉの装置がその通信文に対し署名作成処理を行ない、そ
の結果を署名者（ｉ＋１）の装置に送信する場合につい
て説明する。Ｌ人が順次署名する場合には、ｉを１から
Ｌまで１つずつ増加して、以下の手順を繰り返せばよ
い。第１巡目では署名者（Ｌ＋１）を署名者とみなし、
第２巡目では署名者（Ｌ＋１）を検証者とみなす。ただ
し、Ｉ₀ ＾＝空集合、Ｘ₀ ＾＝１，ｙ₀ ＾＝０とおく。

【００３０】図４に通信文の交信シーケンスを、図５に
署名者ｉの装置の機能構成を示す。第１巡目で署名者
（ｉ−１）の装置から通信文Ｘ_i-1 ＾を受信すると、署
名者ｉの装置は次の第１巡目の署名作成処理を行なう。 〔署名作成時の署名者ｉの装置の第１巡目の処理〕 Ｓｔｅｐ６ 乱数発生器３１０を用いて乱数ｒ_i を生成
して、これを公開情報ｐ，g と共に、剰余つきべき乗乗
算器３２０に入力して Ｘ_i ＾＝Ｘ_i-1 ＾×ｇ^ri mod ｐ によりＸ_i ＾を計算して、署名者（ｉ＋１）の装置に送
信する。Ｘ_L ＾＝Ｘ＾とする。

【００３１】第２巡目で署名者（ｉ−１）の装置から通
信文（Ｉ_i-1 ＾，Ｘ＾，ｍ，ｙ_i-1＾）を受信すると、
署名者ｉの装置は次の第２巡目の署名作成処理を行な
う。 〔署名作成時の署名者ｉの装置の第２巡目の処理〕 Ｓｔｅｐ７ 関数ｆ_i 計算器３３０を用いて ｅ_i ＝ｆ_i （Ｘ＾，ｍ） でｅ_i を求める。

【００３２】Ｓｔｅｐ８ ｅ_i ，ｒ_i を公開情報ｑ、秘
密情報ｓ_i とともに、剰余つき乗算器３４０、剰余つき
加算器３５０に入力して、 ｙ_i ＾＝ｙ_i-1 ＾＋ｒ_i ＋ｅ_i ｓ_i mod ｑ を求める。 Ｓｔｅｐ９ Ｉ_i ＾＝（Ｉ_i-1 ＾，ＩＤ_i ）とおき、
（Ｉ_i ＾，Ｘ＾，ｍ，ｙ _i ＾）を署名者（ｉ＋１）の装
置に送信する。

【００３３】図６に検証者装置８００の機能構成を示
す。署名者Ｌの装置から通信文（Ｉ_L＾，Ｘ＾，ｍ，ｙ
_L ＾）を受信すると、検証者装置８００は次の検査式が
成り立つことを調べる。

【００３４】

【数５】 ここで、 ｅ_i ＝ｆ_i （Ｘ＾，ｍ）（１＜ｉ＜Ｌ） とする。 〔署名検証時の検証者装置８００の処理〕 Ｓｔｅｐ１０ Ｘ＾を文書ｍとともに関数ｆ_i 計算器８
１０に入力して ｅ_i ＝ｆ_i （Ｘ＾，ｍ） によりｅ_i を求める（１＜ｉ＜Ｌ）。

【００３５】Ｓｔｅｐ１１ Ｉ_L ＾中のＩＤ_i 成分から
Ｉ_i を求め、上記で作成したｅ_i 、公開情報ｐ、ととも
に複数成分剰余つきべき乗乗算器８２０に入力して Ｚ＾＝Ｘ＾Ｉ₁ ^e1…Ｉ_L ^eL mod ｐ によりＺ＾を求める。 Ｓｔｅｐ１２ ｙ_L ＾を公開情報ｐ，ｇとともに剰余つ
きべき乗乗算器８３０に入力して

【００３６】

【数６】 により、Ｗを求める。 Ｓｔｅｐ１３ Ｚ＾とＷを比較器８４０に入力して Ｗ＝Ｚ＾ を検査して、一致すれば、文書ｍはＬ人の正しい署名者
によって署名されたものであると認める。

【００３７】ｙ_L ＾の作り方、またＳｔｅｐ４のＩ_i の
式、Ｓｔｅｐ６のＸ_i ＾の式より、

【００３８】

【数７】 であるから、上記の検査に合格した場合、検証者装置８
００は文書ｍがＬ人の正しい署名者によって署名された
ものであると認める。

【００３９】

【発明の効果】１．署名者装置の処理量 一方向性関数ｆ，ｆ_i の計算は乗算より高速であるか
ら、それぞれの署名装置の処理量を乗算（法ｎあるいは
法ｐによる剰余計算を含む）の回数を用いて比較する。

【００４０】 ＲＳＡ暗号を用いる方式： 乗算（法ｎによる剰余計算を含む）が３／２｜ｎ｜回 Ｓｃｈｎｏｒｒ法を直接用いる方式： 乗算（法ｐによる剰余計算を含む）が３／２｜ｑ｜回 乗算（法ｑによる剰余計算を含む）が１回 加算（法ｑによる剰余計算を含む）が１回 この発明： 乗算（法ｐによる剰余計算を含む）が３／２｜ｑ｜回 乗算（法ｑによる剰余計算を含む）が２回 加算（法ｑによる剰余計算を含む）が１回 通常、｜ｎ｜＝１０２４，｜ｑ｜＝１６０が推奨されて
いる。このとき主要項は第１の演算なので、 ＲＳＡ暗号を用いる方式：１５３６回 Ｓｃｈｎｏｒｒ法を直接用いる方式：２４０回 この発明：２４０回 従って、この発明では、ＲＳＡ暗号を用いる方式の５倍
以上の処理速度となる。 ２．検証者装置の処理量 一方向性関数ｆ，ｆ_i の計算は乗算より高速であるか
ら、検証者装置の処理量をべき乗算（ただし法ｎあるい
は法ｐによる剰余計算を含む）の回数を用いて比較す
る。

【００４１】ＲＳＡ暗号を用いる方式：Ｌ回 Ｓｃｈｎｏｒｒ法を直接用いる方式：２×Ｌ回 この発明：Ｌ＋１回 ３．通信文の冗長度 順次多重署名では、いずれの方式でも署名者装置を明ら
かにするために、署名毎にＩＤ情報が付加される（Ｉ_L
＾成分）。以下では、通信文の冗長度をＸ成分、ｙ成分
のビット数で評価する。ＲＳＡ暗号系を利用した署名成
分（ｙ成分）はＤ_L …Ｄ₁ （ｆ（ｍ））とする。

【００４２】ＲＳＡ暗号を用いる方式：｜ｙ｜ビット Ｓｃｈｎｏｒｒ法を直接用いる方式：Ｌ（｜ｅ｜＋｜ｙ
｜）ビット この発明：｜Ｘ｜＋｜ｙ｜ビット なお、通信文を１巡するだけで多重署名する方法が、文
献太田、岡本：「多重署名の厳密な安全性」、電子情報
通信学会、信学技法ＩＳＥＣ９７−２７で提案されてい
るが、その方式では、（Ｌ×｜Ｘ｜＋｜ｙ｜）ビットの
冗長度が必要となる。 ４．安全性の根拠 公開情報ｐ，ｑ，ｇ，Ｉ_i から秘密情報（ｓ_i ）を計算
できないことは、法ｐでの離散対数問題が困難なことに
よって保証できる。署名者が他の署名者の署名を含めて
多重署名を偽造できないことは、この発明の方式が計算
量理論の理論的な研究成果であるランダムオラクルモデ
ルでの“Ｅｘａｃｔ Ｓｅｃｕｒｉｔｙ”性をみたすこ
とによって保証できる。

【００４３】“Ｅｘａｃｔ Ｓｅｃｕｒｉｔｙ”性につ
いては、例えばＭ．Ｂｅｌｌａｒｅａｎｄ Ｐ．Ｒｏｇ
ａｗａｙ，“Ｒａｎｄｏｍ Ｏｒａｃｌｅｓ ａｒｅ
Ｐｒａｃｔｉｃａｌ：Ａ Ｐａｒａｄｉｇｍ ｆｏｒ
Ｄｅｓｉｇｎｉｎｇ Ｅｆｆｉｃｉｅｎｔ Ｐｒｏｔｏ
ｃｏｌｓ，”Ｐｒｏｃ．ｏｆ ｔｈｅ ＦｉｒｓｔＡＣ
Ｍ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ
ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉ
ｔｙ，ｐｐ．６２−７３．を参照。

【図面の簡単な説明】

【図１】この発明のシステム構成図。

【図２】図１中のセンタ１００（システム加入時）の機
能構成を示すブロック図。

【図３】図１中の署名者装置２００のシステム加入時の
処理構成を示すブロック図。

【図４】通信情報の交信シーケンスの様子を示す図。

【図５】図１中の署名者装置３００の署名作成処理にお
ける処理構成を示すブロック図。

【図６】図１中の検証者装置８００の処理構成を示すブ
ロック図。

フロントページの続き (56)参考文献 特開 平２−275983（ＪＰ，Ａ) 特開 平４−156580（ＪＰ，Ａ) 特開 平６−95590（ＪＰ，Ａ) 特開 平10−153956（ＪＰ，Ａ) 多重署名の厳密な安全性，電子情報通 信学会技術研究報告，1997年７月19日, Ｖｏｌ．97，Ｎｏ．182（ＩＳＥＣ97− 27），ｐ．41−52 「ｎ変数べき乗剰余演算とその応用」 に関する考察，電子情報通信学会技術研 究報告，1992年３月18日，Ｖｏｌ．91, Ｎｏ．524（ＩＳＥＣ91−59），ｐ．27 −34 (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 9/32 G09C 1/00 640 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (6)

(57)【特許請求の範囲】
1. 【請求項１】 電子化された文書の稟議／決済等のシス
   テムで、一つの文書に複数の署名者が重複して電子的に
   署名／捺印する多重デジタル署名において、 システムパラメータｐ，ｑ，ｇが公開されており、署名
   者数をＬとするとき、 署名者装置は、乱数発生器、剰余つきべき乗乗算器、関
   数ｆ_i 計算器、剰余つき乗算器、剰余つき加算器を備
   え、 検証者装置は、関数ｆ_i 計算器、複数成分剰余つきべき
   乗乗算器、剰余つきべき乗乗算器、比較器を備え、 署名者ｉの装置（ｉ＝１，２，…，Ｌ）は、システム加
   入時に、 乱数発生器を用いて乱数ｓ_i を生成し、この乱数ｓ
   _i を、剰余つきべき乗乗算器に公開情報ｇ，ｐとともに
   入力して Ｉ_i ＝ｇ^si mod ｐ により公開情報Ｉ_i を計算し、 署名者ｉの装置は個人識別情報ＩＤ_i とともに公開情報
   Ｉ_i 、関数ｆ_i を公開情報として公開して、ｓ_i を秘密
   情報として保持し、 署名者ｉの装置は、署名者（ｉ−１）の装置から通信文
   Ｘ_i-1 ＾を受信すると、（ただしＸ_o ＾＝１）乱数発生
   器を用いて乱数ｒ_i を生成して、この乱数ｒ_iを公開情
   報ｐ，ｇと共に、剰余つきべき乗乗算器に入力して Ｘ_i ＾＝Ｘ_i-1 ＾ｇ^ri mod ｐ によりＸ_i ＾を計算して署名者（ｉ＋１）の装置に送信
   し、 署名者ｉの装置は、署名者（ｉ−１）の装置から文書ｍ
   に対する署名つき通信文（Ｉ_i-1 ＾，Ｘ＾，ｍ，ｙ_i-1
   ＾）を受信すると、（ただし、Ｉ_o ＾＝空集合、ｙ₀ ＾
   ＝０ _， Ｘ＾＝Ｘ _Ｌ ＾とする）関数ｆ_i 計算器を用いて ｅ_i ＝ｆ_i （Ｘ＾，ｍ） によりｅ_i を求め、 ｙ_i-1 ＾，ｅ_i ，ｒ_i を公開情報ｑ、秘密情報ｓ_i とと
   もに、剰余つき乗算器、剰余つき加算器に入力して、 ｙ_i ＾＝ｙ_i-1 ＾＋ｒ_i ＋ｅ_i ｓ_i mod ｑ を求めて、Ｉ_i ＾＝（Ｉ_i-1 ＾，ＩＤ_i ）とおき、通信
   文（Ｉ_i ＾，Ｘ＾，ｍ，ｙ_i ＾）を署名者（ｉ＋１）の
   装置に送信し、 検証者装置は、署名者Ｌの装置から通信文（Ｉ_L ＾，Ｘ
   ＾，ｍ，ｙ_L ＾）を受信すると、 Ｘ＾を文書ｍとともに関数ｆ_i 計算器に入力して ｅ_i ＝ｆ_i （Ｘ＾，ｍ） によりｅ_i を求め（１＜ｉ＜Ｌ）、 Ｉ_L ＾中のＩＤ_i 成分からＩ_i を求め、これらを上記で
   作成したｅ_i 、公開情報ｐ、とともに複数成分剰余つき
   べき乗乗算器に入力して Ｚ＾＝Ｘ＾Ｉ₁ ^e1…Ｉ_L ^eL mod ｐ によりＺ＾を求め、 一方、ｙ_L ＾を公開情報ｐ，ｇとともに剰余つきべき乗
   乗算器に入力して 【数１】 によりＷを求め、 Ｚ＾とＷを比較器に入力して Ｗ＝Ｚ＾ を検査して、一致すれば、文書ｍはＬ人の正しい署名者
   によって署名されたものであると認めることを特徴とす
   る多重デジタル署名方法。
2. 【請求項２】 電子化された文書の稟議／決済等のシス
   テムで、一つの文書に複数の署名者が重複して電子的に
   署名／捺印する多重デジタル署名システムにおいて、 システムパラメータｐ，ｑ，ｇが公開され、 Ｌ個の署名者装置が通信路でリング状に結合され、第Ｌ
   番目の署名者装置に通信路で検証者装置が結合され、 署名者ｉの装置は、（ｉ＝１，２，…，Ｌ）乱数ｓ_i を
   生成する乱数発生器と、 乱数ｓ_i 、公開情報ｇ，ｐが入力され、公開情報Ｉ_i ＝
   ｇ^si mod ｐを計算する剰余つきべき乗乗算器と、 乱数ｓ_i を秘密情報として保持し、個人識別情報Ｉ
   Ｄ_i 、公開情報Ｉ_i 、関数ｆ_i を公開する手段と、 乱数ｒ_i を生成する乱数発生器と、 署名者（ｉ−１）の装置から受信した通信文Ｘ_i-1 ＾、
   乱数ｒ_i 、公開情報ｐ，ｇが入力され、Ｘ_i ＾＝Ｘ_i-1
   ＾ｇ^ri mod ｐを計算する剰余つきべき乗乗算器と、 通信文Ｘ_i ＾を署名者（ｉ＋１）の装置へ送信する手段
   と、 署名者（ｉ−１）の装置から文書ｍに対する署名つき通
   信文（Ｉ_i-1 ＾，Ｘ＾，ｍ，ｙ_i-1 ＾）を受信する手段
   と、ただしＸ＾＝Ｘ _L ＾とし、 Ｘ＾，ｍが入力され、ｅ_i ＝ｆ_i （Ｘ＾，ｍ）を計算す
   る関数ｆ_i 計算器と、 ｙ_i-1 ＾，ｅ_i ，ｒ_i ，ｑ，ｓ_i が入力され、ｙ_i ＾＝
   ｙ_i-1 ＾＋ｒ_i ＋ｅ_iｓ_i mod ｑを計算する剰余つき乗
   算器及び剰余つき加算器と、 Ｉ_i ＾＝（Ｉ_i-1 ＾，ＩＤ_i ）とおき、通信文（Ｉ
   _i ＾，Ｘ＾，ｍ，ｙ_i ＾）を署名者（ｉ＋１）の装置へ
   送信する手段とを備え、 検証者装置は署名者Ｌの装置から通信文（Ｉ_L ＾，Ｘ
   ＾，ｍ，ｙ_L ＾）を受信する手段と、 Ｘ＾，ｍが入力され、ｅ_i ＝ｆ_i （Ｘ＾，ｍ）（ｉ＝
   １，２，…，Ｌ）を計算する関数ｆ_i 計算器と、 Ｉ_L ＾中のＩＤ_i 成分から求めたＩ_i と、ｅ_i ，ｐ，Ｘ
   ＾が入力され、Ｚ＾＝Ｘ＾Ｉ₁ ^e1…Ｉ_L ^eL mod ｐを計
   算する複数成分剰余つきべき乗乗算器と、 ｙ_L ＾，ｐ，ｇが入力され、 【数２】 を計算する剰余つきべき乗乗算器と、 Ｚ＾とＷとを比較する比較器とを備えている。ことを特
   徴とする多重デジタルに署名システム。
3. 【請求項３】 電子化された文書の稟議／決済等のシス
   テムで、一つの文書に複数の署名者が重複して電子的に
   署名／捺印する多重デジタル署名システムにおいて２以
   上の整数Ｌ個の署名者装置がリング状に通信路で結合さ
   れた第ｉ番目（１≦ｉ≦Ｌ）の署名者装置であって、 システムパラメータｐ，ｑ，ｇが公開されており、 乱数ｓ_i を生成する乱数発生器と、 ｓ_i ，ｇ，ｐが入力され、Ｉ_i ＝ｇ^si mod ｐを計算す
   る剰余つきべき乗乗算器と、 ｓ_i を秘密情報として保持し、個人識別情報ＩＤ_i 、公
   開情報Ｉ_i 、関数ｆ_iを公開する手段と、 署名者（ｉ−１）の装置から通信文Ｘ_i-1 ＾を受信する
   手段と、 乱数ｒ_i を生成する乱数発生器と、 Ｘ_i-1 ＾，ｒ_i ，ｐ，ｇが入力され、Ｘ_i ＾＝Ｘ_i-1 ＾
   ｇ^ri mod ｐを計算する剰余つきべき乗乗算器と、 通信文Ｘ_i ＾を署名者（ｉ＋１）の装置へ送信する手段
   と、 署名者（ｉ−１）の装置から文書ｍに対する署名つき通
   信文（Ｉ_i-1 ＾，Ｘ＾，ｍ，ｙ_i-1 ＾）を受信する手段
   と、ただしＸ＾＝Ｘ _L ＾とし、 Ｘ＾，ｍが入力され、ｅ_i ＝ｆ_i （Ｘ＾，ｍ）を計算す
   る関数ｆ_i 計算器と、 ｙ_i-1 ＾，ｅ_i ，ｒ_i ，ｑ，ｓ_i が入力され、ｙ_i ＾＝
   ｙ_i-1 ＾＋ｒ_i ＋ｅ_iｓ_i mod ｑを計算する剰余つき乗
   算器及び剰余つき加算器と、 Ｉ_i ＾＝（Ｉ_i-1 ＾，ＩＤ_i ）とおき、通信文（Ｉ
   _i ＾，Ｘ＾，ｍ，ｙ_i ＾）を署名者（ｉ＋１）の装置へ
   送信する手段とを具備することを特徴とする署名者装
   置。
4. 【請求項４】 電子化された文書の稟議／決済等のシス
   テムで、一つの文書に複数の署名者が重複して電子的に
   署名／捺印する多重デジタル署名システムにおける検証
   者装置であって、 システムパラメータｐ，ｑ，ｇが公開されており、署名
   者ｉの装置（ｉ＝１，２，…，Ｌ）は個人識別情報ＩＤ
   _i 、公開情報Ｉ_i 、関数ｆ_i を公開しており、 Ｌ人の署名者中の第Ｌ番目の署名者装置から通信文（Ｉ
   _L ＾，Ｘ＾，ｍ，ｙ_L＾）を受信する手段と、ただし署
   名者ｉの装置（ｉ＝１，２，…，Ｌ）が署名者 （ｉ−
   １）の装置から受信したＸ _i-1 ＾に対し、乱数ｒ _i を用い
   てＸ _i ＾＝Ｘ _i-1 ＾ｇ ^ri mod ｐと処理してＸ _i ＾を署
   名者ｉの装置へ送信することを行って得られたＸ _L ＾を
   Ｘ＾とし、 Ｘ＾，ｍが入力され、ｅ_i ＝ｆ_i （Ｘ＾，ｍ）（ｉ＝
   １，２，…，Ｌ）を計算する関数ｆ_i 計算器と、 Ｉ_L ＾中のＩＤ_i 成分から求めたＩ_i とｅ_i ，ｐ，Ｘ＾
   が入力され、Ｚ＾＝Ｘ＾Ｉ₁ ^e1…Ｉ_L ^eL mod ｐを計算
   する複数成分剰余つきべき乗算器と、 ｙ_L ＾，ｐ，ｇが入力され、 【数３】 を計算する剰余つきべき乗乗算器と、 Ｚ＾とＷとを比較する比較器とを具備することを特徴と
   する検証者装置。
5. 【請求項５】 電子化された文書の稟議／決済等のシス
   テムで、システムパラメータｐ，ｑ，ｇが公開されてお
   り、一つの文書に複数の署名者が重複して電子的に署名
   ／捺印する多重デジタル署名システムにおいて２以上の
   整数Ｌ個の署名者装置がリング状に通信路で結合された
   第ｉ番目（１≦ｉ≦Ｌ）の署名者装置のコンピュータ
   に、 乱数ｓ_i を生成する処理と、 ｓ_i ，ｇ，ｐが入力され、Ｉ_i ＝ｇ^si mod ｐを計算す
   る処理と、 ｓ_i を秘密情報として保持し、個人識別情報ＩＤ_i 、公
   開情報Ｉ_i 、関数ｆ_iを公開する処理と、 署名者（ｉ−１）の装置から通信文Ｘ_i-1 ＾を受信する
   処理と、 乱数ｒ_i を生成する処理と、 Ｘ_i-1 ＾，ｒ_i ，ｐ，ｇが入力され、Ｘ_i ＾＝Ｘ_i-1 ＾
   ｇ^ri mod ｐを計算する処理と、 通信文Ｘ_i ＾を署名者（ｉ＋１）の装置へ送信する処理
   と、 署名者（ｉ−１）の装置から文書ｍに対する署名つき通
   信文（Ｉ_i-1 ＾，Ｘ＾，ｍ，ｙ_i-1 ＾）を受信する処理
   と、ただしＸ＾＝Ｘ _L ＾とし、 Ｘ＾，ｍが入力され、ｅ_i ＝ｆ_i （Ｘ＾，ｍ）を計算す
   る処理と、 ｙ_i-1 ＾，ｅ_i ，ｒ_i ，ｑ，ｓ_i が入力され、ｙ_i ＾＝
   ｙ_i-1 ＾＋ｒ_i ＋ｅ_iｓ_i mod ｑを計算する処理と、 Ｉ_i ＾＝（Ｉ_i-1 ＾，ＩＤ_i ）とおき、通信文（Ｉ
   _i ＾，Ｘ＾，ｍ，ｙ_i ＾）を署名者（ｉ＋１）の装置へ
   送信する処理とを実行させるプログラムを記憶した記録
   媒体。
6. 【請求項６】 電子化された文書の稟議／決済等のシス
   テムで、システムパラメータｐ，ｑ，ｇが公開されてお
   り、署名者ｉの装置（ｉ＝１，２，…，Ｌ）は個人識別
   情報ＩＤ_i 、公開情報Ｉ_i 、関数ｆ_i を公開しており、
   一つの文書に複数の署名者が重複して電子的に署名／捺
   印する多重デジタル署名システムにおける検証者装置の
   コンピュータに、 Ｌ人の署名者中の第Ｌ番目の署名者装置から通信文（Ｉ
   _L ＾，Ｘ＾，ｍ，ｙ_L＾）を受信する処理と、ただし署
   名者ｉの装置（ｉ＝１，２，…，Ｌ）が署名者（ｉ−
   １）の装置から受信したＸ _i-1 ＾に対し、乱数ｒ _i を用い
   てＸ _i ＾＝Ｘ _i-1 ＾ｇ ^ri mod ｐと処理してＸ _i ＾を署
   名者ｉの装置へ送信することを行って得られたＸ _L ＾を
   Ｘ＾とし、 Ｘ＾，ｍが入力され、ｅ_i ＝ｆ_i （Ｘ＾，ｍ）（ｉ＝
   １，２，…，Ｌ）を計算する処理と、 Ｉ_L ＾中のＩＤ_i 成分から求めたＩ_i とｅ_i ，ｐ，Ｘ＾
   が入力され、Ｚ＾＝Ｘ＾Ｉ₁ ^e1…Ｉ_L ^eL mod ｐを計算
   する処理と、 ｙ_L ＾，ｐ，ｇが入力され、 【数４】 を計算する処理と、 Ｚ＾とＷとを比較する処理とを実行させるプログラムを
   記憶した記録媒体。