JP3522447B2 - 認証交換方法および付加型公衆電子署名方法 - Google Patents
認証交換方法および付加型公衆電子署名方法Info
- Publication number
- JP3522447B2 JP3522447B2 JP15496396A JP15496396A JP3522447B2 JP 3522447 B2 JP3522447 B2 JP 3522447B2 JP 15496396 A JP15496396 A JP 15496396A JP 15496396 A JP15496396 A JP 15496396A JP 3522447 B2 JP3522447 B2 JP 3522447B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- signer
- message
- verifier
- electronic signature
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
- H04L9/3257—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using blind signatures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/60—Digital content management, e.g. content distribution
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Storage Device Security (AREA)
- Mobile Radio Communication Systems (AREA)
Description
【０００１】
【発明の属する技術分野】本発明は、離散的対数の計算
の困難さに安全性を基礎として多様な応用性を有する認
証交換方法(ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｓｃｈｅ
ｍｅ)および付加型公衆電子署名方法に関するもので、
特に、証明者が検証者により多くの情報を提供して証明
者が検証者に自分の身元をより確実に証明でき、すでに
使用された認証情報を再使用できないようにする認証交
換方法と、同一なメッセージに対して複数の署名者が一
連の電子署名を生成でき、署名するメッセージの大きさ
により付加型で電子署名を生成する公衆電子署名方法に
関するものである。
の困難さに安全性を基礎として多様な応用性を有する認
証交換方法(ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｓｃｈｅ
ｍｅ)および付加型公衆電子署名方法に関するもので、
特に、証明者が検証者により多くの情報を提供して証明
者が検証者に自分の身元をより確実に証明でき、すでに
使用された認証情報を再使用できないようにする認証交
換方法と、同一なメッセージに対して複数の署名者が一
連の電子署名を生成でき、署名するメッセージの大きさ
により付加型で電子署名を生成する公衆電子署名方法に
関するものである。
【０００２】なお、本明細書の記述は本件出願の優先権
の基礎たる韓国特許出願第１９９５−１３３８８号（１
９９５年５月２６日出願）の明細書の記載に基づくもの
であって、当該韓国特許出願の番号を参照することによ
って当該韓国特許出願の明細書の記載内容が本明細書の
一部分を構成するものとする。
の基礎たる韓国特許出願第１９９５−１３３８８号（１
９９５年５月２６日出願）の明細書の記載に基づくもの
であって、当該韓国特許出願の番号を参照することによ
って当該韓国特許出願の明細書の記載内容が本明細書の
一部分を構成するものとする。
【０００３】
【従来の技術】現代社会では、学問と半導体技術の革新
によりコンピュータの普及が拡大されることにより、コ
ンピュータ通信網を通じた情報の交換が増大されてい
る。これにより、情報を交換する前に、情報を交換する
相対方の確認と、交換された情報の出処と保存状態等の
情報の保護に対して関心が持たれることになった。情報
が知的財産としての価値を認定される情報化社会に進入
することにより、公衆通信網を通じて伝達される情報の
重要性がより増大される。また、これによる情報の不法
漏出、不法変造等による被害も増加することになった。
によりコンピュータの普及が拡大されることにより、コ
ンピュータ通信網を通じた情報の交換が増大されてい
る。これにより、情報を交換する前に、情報を交換する
相対方の確認と、交換された情報の出処と保存状態等の
情報の保護に対して関心が持たれることになった。情報
が知的財産としての価値を認定される情報化社会に進入
することにより、公衆通信網を通じて伝達される情報の
重要性がより増大される。また、これによる情報の不法
漏出、不法変造等による被害も増加することになった。
【０００４】従って、公衆通信網等の各種通信回線を通
じて流通される情報の保護についての関心が高まること
になって、これにより情報の保護のための方法の研究が
活発に進行している。
じて流通される情報の保護についての関心が高まること
になって、これにより情報の保護のための方法の研究が
活発に進行している。
【０００５】一例として、公衆通信網等の各種通信回線
を通じて情報を交換する時に通信する相対方や伝送を受
けたデータの発信元を確認できる認証交換方法と、通信
処理以前に各種端末システムで電子化された文書に従来
の紙文書における手記署名の代わりに符号化された２進
数列(binary sequence coded by originator) を使用し
て署名することにより、伝送された文書の発信元を確認
でき、また文書が不法に変更されたかどうかと内容証明
等を確認できる電子署名(digital signature)方法があ
る。
を通じて情報を交換する時に通信する相対方や伝送を受
けたデータの発信元を確認できる認証交換方法と、通信
処理以前に各種端末システムで電子化された文書に従来
の紙文書における手記署名の代わりに符号化された２進
数列(binary sequence coded by originator) を使用し
て署名することにより、伝送された文書の発信元を確認
でき、また文書が不法に変更されたかどうかと内容証明
等を確認できる電子署名(digital signature)方法があ
る。
【０００６】上記認証交換方法と電子署名方法におい
て、ｑは大きい素数で、ｇは１とｐ間の自然数でありｑ
乗してｐで割った剰余が１の数（ｇq ≡１ ｍｏｄ
ｐ）とすると、（ｇ，ｑ，ｐ）は使用者らの間に共通に
使用されるシステム係数である。各使用者らは、１とｑ
の間で任意のｓ（１＜ｓ＜ｑ）を選択して秘密鍵に使用
して、ｇを−ｓ乗してｐで割った剰余ｖ（≡ｇ-s ｍｏ
ｄ ｐ）を公開鍵に使用すると、各使用者の公開係数は
（ｖ，ｇ，ｑ，ｐ）になる。これらの公開係数からｓを
探し出すことは困難であり、離散的対数の解を求める際
の困難さと同値である。多くの公開鍵認証交換方法(ide
ntification schemes)と電子署名方法(digital signatu
re schemes) が、上記離散的対数問題の計算が難しいと
の事実に安全性を置いている。
て、ｑは大きい素数で、ｇは１とｐ間の自然数でありｑ
乗してｐで割った剰余が１の数（ｇq ≡１ ｍｏｄ
ｐ）とすると、（ｇ，ｑ，ｐ）は使用者らの間に共通に
使用されるシステム係数である。各使用者らは、１とｑ
の間で任意のｓ（１＜ｓ＜ｑ）を選択して秘密鍵に使用
して、ｇを−ｓ乗してｐで割った剰余ｖ（≡ｇ-s ｍｏ
ｄ ｐ）を公開鍵に使用すると、各使用者の公開係数は
（ｖ，ｇ，ｑ，ｐ）になる。これらの公開係数からｓを
探し出すことは困難であり、離散的対数の解を求める際
の困難さと同値である。多くの公開鍵認証交換方法(ide
ntification schemes)と電子署名方法(digital signatu
re schemes) が、上記離散的対数問題の計算が難しいと
の事実に安全性を置いている。
【０００７】このような電子署名方法は、生成された電
子署名の形態と機能面で、付加型電子署名(digital sig
nature with appendix) 方法、復元型電子署名(digital
signature giving message recovery) 方法、そして、
これらを兼用に使用できる複合型電子署名方法に分類で
きる。
子署名の形態と機能面で、付加型電子署名(digital sig
nature with appendix) 方法、復元型電子署名(digital
signature giving message recovery) 方法、そして、
これらを兼用に使用できる複合型電子署名方法に分類で
きる。
【０００８】上記付加型電子署名方法では、生成された
電子署名を署名したメッセージの後尾に付加する方法と
して署名したメッセージと共に対として処理する。上記
復元型電子署名方法では、生成された電子署名の正当性
の検証結果として電子署名に署名されたメッセージを復
元するものである。検証者は、復元されたメッセージの
内容を確認して、電子署名の正当性を検証する。
電子署名を署名したメッセージの後尾に付加する方法と
して署名したメッセージと共に対として処理する。上記
復元型電子署名方法では、生成された電子署名の正当性
の検証結果として電子署名に署名されたメッセージを復
元するものである。検証者は、復元されたメッセージの
内容を確認して、電子署名の正当性を検証する。
【０００９】そして、付加型と復元型を兼用に使用でき
る複合型電子署名方法は、署名するメッセージの大きさ
（２進ビット数列）または電子署名の使用目的により、
適切に付加型または復元型でメッセージに対して電子署
名を生成できる方法である。
る複合型電子署名方法は、署名するメッセージの大きさ
（２進ビット数列）または電子署名の使用目的により、
適切に付加型または復元型でメッセージに対して電子署
名を生成できる方法である。
【００１０】この複合型電子署名方法は、大きさが小さ
いメッセージについて復元型方法を使用することにより
電子署名の検証結果にメッセージを復元できるから、電
子署名の大きさを小さくして情報通信において通信量を
減らすことができる長所と、大きさが大きいメッセージ
についてはメッセージについての関連情報を包含させて
付加型方法を使用できるから、署名するメッセージの大
きさによりゆとりを持って電子署名を生成できる特徴を
持っている。
いメッセージについて復元型方法を使用することにより
電子署名の検証結果にメッセージを復元できるから、電
子署名の大きさを小さくして情報通信において通信量を
減らすことができる長所と、大きさが大きいメッセージ
についてはメッセージについての関連情報を包含させて
付加型方法を使用できるから、署名するメッセージの大
きさによりゆとりを持って電子署名を生成できる特徴を
持っている。
【００１１】Schnorr(シュノル）は、１９８９年に離散
的対数の安全性を基礎とする認証交換方法と電子署名方
法を発表した。シュノルの電子署名方法は、付加型方法
として１９８５年にElGamal が発表した電子署名方法に
メッセージハッシュ関数(hash function) を導入して電
子署名の生成と検証の手順を簡素化し、また、生成され
た電子署名の大きさも小さくした方法である。
的対数の安全性を基礎とする認証交換方法と電子署名方
法を発表した。シュノルの電子署名方法は、付加型方法
として１９８５年にElGamal が発表した電子署名方法に
メッセージハッシュ関数(hash function) を導入して電
子署名の生成と検証の手順を簡素化し、また、生成され
た電子署名の大きさも小さくした方法である。
【００１２】シュノルの認証交換方法は電子署名方法と
構造が同一なアルゴリズムを使用する方法であり、通信
する相対方に自分の身元を認証させる方法である。ま
ず、証明者(prover)Ａが自分の身元を検証者(verfier)
Ｂに証明するシュノルの認証交換方法をみると次の通り
である。
構造が同一なアルゴリズムを使用する方法であり、通信
する相対方に自分の身元を認証させる方法である。ま
ず、証明者(prover)Ａが自分の身元を検証者(verfier)
Ｂに証明するシュノルの認証交換方法をみると次の通り
である。
【００１３】証明者Ａのシステム係数を（ｇ，ｑ，
ｐ）、秘密鍵をｓ（１＜ｓ＜ｑ）、そして公開鍵をｖ
（≡ｇ-s ｍｏｄ ｐ）とすると、証明者Ａは１とｑの
間で任意数(random number) ｒを選択して、ｇをｒ乗し
てｐで割った剰余ｘ（≡ｇr ｍｏｄ ｐ）を計算して
検証者Ｂに送信する。検証者Ｂは証明者Ａからｘを受信
したら、１とｑの間で任意数ｅを選択して証明者Ａに送
信する。
ｐ）、秘密鍵をｓ（１＜ｓ＜ｑ）、そして公開鍵をｖ
（≡ｇ-s ｍｏｄ ｐ）とすると、証明者Ａは１とｑの
間で任意数(random number) ｒを選択して、ｇをｒ乗し
てｐで割った剰余ｘ（≡ｇr ｍｏｄ ｐ）を計算して
検証者Ｂに送信する。検証者Ｂは証明者Ａからｘを受信
したら、１とｑの間で任意数ｅを選択して証明者Ａに送
信する。
【００１４】証明者Ａは、検証者Ｂから受信したｅを自
分の秘密鍵ｓに掛けて、これにｘの計算に使用した任意
数ｒを足した後ｑで割った剰余ｙ（≡ｒ＋ｓｅ ｍｏｄ
ｑ）を計算して検証者Ｂに送信する。証明者Ａからｙ
を受信した検証者Ｂは、ｇをｙ乗してこれに証明者Ａの
公開鍵ｖをｅ乗して掛けた後ｐで割った剰余ｘ′（≡ｇ
y ｖe ｍｏｄ ｐ）を計算する。このように計算して
求めたｘ′が証明者Ａから受信したｘと同一かを確認し
て、証明者Ａの身元についての正当性を認証することに
なる。
分の秘密鍵ｓに掛けて、これにｘの計算に使用した任意
数ｒを足した後ｑで割った剰余ｙ（≡ｒ＋ｓｅ ｍｏｄ
ｑ）を計算して検証者Ｂに送信する。証明者Ａからｙ
を受信した検証者Ｂは、ｇをｙ乗してこれに証明者Ａの
公開鍵ｖをｅ乗して掛けた後ｐで割った剰余ｘ′（≡ｇ
y ｖe ｍｏｄ ｐ）を計算する。このように計算して
求めたｘ′が証明者Ａから受信したｘと同一かを確認し
て、証明者Ａの身元についての正当性を認証することに
なる。
【００１５】シュノルの電子署名方法では、署名するメ
ッセージをｍとすると、証明者Ａは１とｑの間で任意数
ｒを選択してｇをｒ乗してｐで割った剰余ｘ（≡ｇr
ｍｏｄ ｐ）を計算して、ｘとメッセージｍをハッシュ
関数(hash function) に入力してｅ（＝ｈ（ｘ，ｍ））
を求める。そして、自分の秘密鍵ｓとｅを掛けた後、こ
れにｒを足してｑで割った剰余ｙ（≡ｒ＋ｓｅ ｍｏｄ
ｑ）を計算する。すると、（ｅ，ｙ）がメッセージｍ
についての付加型電子署名になる。メッセージｍについ
ての付加型電子署名（ｅ，ｙ）の正当性の検証はだれに
でも容易であり、この検証方法は次の通りである。
ッセージをｍとすると、証明者Ａは１とｑの間で任意数
ｒを選択してｇをｒ乗してｐで割った剰余ｘ（≡ｇr
ｍｏｄ ｐ）を計算して、ｘとメッセージｍをハッシュ
関数(hash function) に入力してｅ（＝ｈ（ｘ，ｍ））
を求める。そして、自分の秘密鍵ｓとｅを掛けた後、こ
れにｒを足してｑで割った剰余ｙ（≡ｒ＋ｓｅ ｍｏｄ
ｑ）を計算する。すると、（ｅ，ｙ）がメッセージｍ
についての付加型電子署名になる。メッセージｍについ
ての付加型電子署名（ｅ，ｙ）の正当性の検証はだれに
でも容易であり、この検証方法は次の通りである。
【００１６】メッセージｍについての署名者Ａの付加型
電子署名が（ｅ，ｙ）の時、検証者はｇをｙ乗してこれ
に署名者Ａの公開鍵のｖをｅ乗して掛けた後ｐで割った
剰余ｘ′（≡ｇy ｖe ｍｏｄ ｐ）を計算する。そし
て、ｘ′とメッセージｍをハッシュ関数に入力してｅ′
（＝ｈ（ｘ′，ｍ））を求める。
電子署名が（ｅ，ｙ）の時、検証者はｇをｙ乗してこれ
に署名者Ａの公開鍵のｖをｅ乗して掛けた後ｐで割った
剰余ｘ′（≡ｇy ｖe ｍｏｄ ｐ）を計算する。そし
て、ｘ′とメッセージｍをハッシュ関数に入力してｅ′
（＝ｈ（ｘ′，ｍ））を求める。
【００１７】このようにして求めたｅ′がｅと同一かを
確認して、メッセージｍについての署名者Ａの付加型電
子署名（ｅ，ｙ）の正当性を検証する。
確認して、メッセージｍについての署名者Ａの付加型電
子署名（ｅ，ｙ）の正当性を検証する。
【００１８】一方、１９９３年にNybergとRueppel は、
離散的対数の安全性を基礎とした復元型電子署名方法を
発表した。この復元型電子署名方法は、メッセージにつ
いての電子署名の生成のみではなくて、通信する両方が
同一なシステム係数を使用すると電子署名方法と同一な
アルゴリズムを使用して両方が秘密鍵として共有鍵(ses
sion Key) を生成できる方法としても活用できるもので
ある。
離散的対数の安全性を基礎とした復元型電子署名方法を
発表した。この復元型電子署名方法は、メッセージにつ
いての電子署名の生成のみではなくて、通信する両方が
同一なシステム係数を使用すると電子署名方法と同一な
アルゴリズムを使用して両方が秘密鍵として共有鍵(ses
sion Key) を生成できる方法としても活用できるもので
ある。
【００１９】次に、Ｎ−Ｒ(Nyberg-Rueppel)の復元型電
子署名方法をみると、次の通りである。
子署名方法をみると、次の通りである。
【００２０】署名者のシステム係数を（ｇ，ｑ，ｐ）、
秘密鍵をｓ（１＜ｓ＜ｑ）、そして公開鍵をｖ（≡ｇ-s
ｍｏｄ ｐ）とする。ｍを署名するメッセージとする
と、署名者は１とｑの間で任意数ｒを選択してｇを−ｒ
乗してこれにメッセージｍを掛けた後ｐで割った剰余ｘ
（≡ｍｇ-r ｍｏｄ ｐ）を計算する。そして、自分の
秘密鍵ｓとｘを掛けた後、これにｘの計算に使用した任
意数ｒを足してｑで割った剰余ｙ（≡ｒ＋ｓｘ ｍｏｄ
ｑ）を計算する。このように計算した（ｘ，ｙ）が、
メッセージｍについての復元型電子署名になる。
秘密鍵をｓ（１＜ｓ＜ｑ）、そして公開鍵をｖ（≡ｇ-s
ｍｏｄ ｐ）とする。ｍを署名するメッセージとする
と、署名者は１とｑの間で任意数ｒを選択してｇを−ｒ
乗してこれにメッセージｍを掛けた後ｐで割った剰余ｘ
（≡ｍｇ-r ｍｏｄ ｐ）を計算する。そして、自分の
秘密鍵ｓとｘを掛けた後、これにｘの計算に使用した任
意数ｒを足してｑで割った剰余ｙ（≡ｒ＋ｓｘ ｍｏｄ
ｑ）を計算する。このように計算した（ｘ，ｙ）が、
メッセージｍについての復元型電子署名になる。
【００２１】電子署名（ｘ，ｙ）の検証方法では、検証
者がｇをｙ乗してこれに署名者の公開鍵のｖをｘ乗して
掛けた後、さらにこれにｘを掛けてｐで割った剰余ｘｇ
y ｖx ｍｏｄ ｐを計算して、電子署名（ｘ，ｙ）の
検証結果として復元したメッセージｍの内容が適合する
かを確認して電子署名（ｘ，ｙ）の正当性を検証する。
者がｇをｙ乗してこれに署名者の公開鍵のｖをｘ乗して
掛けた後、さらにこれにｘを掛けてｐで割った剰余ｘｇ
y ｖx ｍｏｄ ｐを計算して、電子署名（ｘ，ｙ）の
検証結果として復元したメッセージｍの内容が適合する
かを確認して電子署名（ｘ，ｙ）の正当性を検証する。
【００２２】なお、上記Ｎ−Ｒ(Nyberg-Rueppel)電子署
名方法と同一なアルゴリズムを利用して使用者間に共通
鍵を生成できる鍵交換方法に活用する方法について説明
すると、次の通りである。
名方法と同一なアルゴリズムを利用して使用者間に共通
鍵を生成できる鍵交換方法に活用する方法について説明
すると、次の通りである。
【００２３】使用者ＡとＢがシステム係数に（ｇ，ｑ，
ｐ）を共通に使用するものとし、
ｐ）を共通に使用するものとし、
【００２４】
【外１４】
【００２５】とする。使用者ＡとＢとの間に共有鍵を生
成しようとすると、使用者Ａは１とｑの間で任意数Ｒと
ｒを選択してｘ（≡ｇR ｇ-r ｍｏｄ ｐ）とｙ（≡ｒ
＋ｓAｍｏｄ ｑ）を計算し、使用者Ｂに（ｘ，ｙ）を
送信する。その後使用者Ａは、共有鍵としてＫを、次の
ように
成しようとすると、使用者Ａは１とｑの間で任意数Ｒと
ｒを選択してｘ（≡ｇR ｇ-r ｍｏｄ ｐ）とｙ（≡ｒ
＋ｓAｍｏｄ ｑ）を計算し、使用者Ｂに（ｘ，ｙ）を
送信する。その後使用者Ａは、共有鍵としてＫを、次の
ように
【００２６】
【外１５】
【００２７】を計算して求める。
【００２８】使用者ＢはＡから受信した（ｘ，ｙ）から
次のように計算して、
次のように計算して、
【００２９】
【外１６】
【００３０】従って、使用者ＡとＢは１回の送受信で両
方の間に共有鍵Ｋを生成できる。
方の間に共有鍵Ｋを生成できる。
【００３１】そして、離散的対数の安全性を基礎にした
別の鍵交換方法として、両使用者の間に共有鍵を生成で
きるDiffie-Hellman鍵交換方法がある。この方法は、二
人の使用者ＡとＢとが（ｇ，ｑ，ｐ）をシステム係数に
使用する時、ＡとＢとが各々１とｑの間で任意数ａとｂ
を選択してｇa とｇb を各々計算して交換すると、Ａと
Ｂが共有鍵としてＫ（≡（ｇa ）b ≡（ｇb ）a ｍｏ
ｄ ｐ）を共有できる方法である。
別の鍵交換方法として、両使用者の間に共有鍵を生成で
きるDiffie-Hellman鍵交換方法がある。この方法は、二
人の使用者ＡとＢとが（ｇ，ｑ，ｐ）をシステム係数に
使用する時、ＡとＢとが各々１とｑの間で任意数ａとｂ
を選択してｇa とｇb を各々計算して交換すると、Ａと
Ｂが共有鍵としてＫ（≡（ｇa ）b ≡（ｇb ）a ｍｏ
ｄ ｐ）を共有できる方法である。
【００３２】
【発明が解決しようとする課題】上記のような従来の方
法は、認証方法において証明者の身元が正当であること
を確認する過程で証明者の属性の身分証明書、認証時
刻、使用者システム等の情報なしで使用認証方法の安定
性を根拠に認証するために、証明者の関連情報取得が難
しいという問題点があった。また、電子署名方法におい
ても、復元型の場合は人為的な冗長性(redundancy)の使
用により署名全体の大きさが倍加されて処理負荷を増加
させるという点と、付加型の場合は単純に署名自体の検
証だけをして署名関連情報の取得には限界があって、ま
た単独署名方法は公衆署名方法への拡張、鍵交換方法へ
の拡張およびブラインド署名方法への拡張が難しいとい
う問題点があった。
法は、認証方法において証明者の身元が正当であること
を確認する過程で証明者の属性の身分証明書、認証時
刻、使用者システム等の情報なしで使用認証方法の安定
性を根拠に認証するために、証明者の関連情報取得が難
しいという問題点があった。また、電子署名方法におい
ても、復元型の場合は人為的な冗長性(redundancy)の使
用により署名全体の大きさが倍加されて処理負荷を増加
させるという点と、付加型の場合は単純に署名自体の検
証だけをして署名関連情報の取得には限界があって、ま
た単独署名方法は公衆署名方法への拡張、鍵交換方法へ
の拡張およびブラインド署名方法への拡張が難しいとい
う問題点があった。
【００３３】上記問題点を解決するために案出された本
発明の第１目的は、証明者が検証者により多くの情報を
提供して、すでに使用された認証情報を再使用できない
ようにする認証交換方法を提供することにある。
発明の第１目的は、証明者が検証者により多くの情報を
提供して、すでに使用された認証情報を再使用できない
ようにする認証交換方法を提供することにある。
【００３４】
【００３５】
【００３６】上記問題点を解決するために案出された本
発明の第２の目的は、署名するメッセージの大きさ、す
なわち、２進数列の長さにより付加型で電子署名を生成
するが、同一なメッセージに対して複数の署名者が一連
の電子署名を生成できるようにする付加型公衆電子署名
方法を提供することにある。
発明の第２の目的は、署名するメッセージの大きさ、す
なわち、２進数列の長さにより付加型で電子署名を生成
するが、同一なメッセージに対して複数の署名者が一連
の電子署名を生成できるようにする付加型公衆電子署名
方法を提供することにある。
【００３７】
【００３８】
【課題を解決するための手段】上記目的を達成するため
に、本発明は、コンピュータ通信網を利用した情報交換
システムにおける認証交換方法において、記憶手段から
読み出したシステム係数がｇ，ｑ，ｐで公開鍵が
に、本発明は、コンピュータ通信網を利用した情報交換
システムにおける認証交換方法において、記憶手段から
読み出したシステム係数がｇ，ｑ，ｐで公開鍵が
【数９】
の時、演算手段を用い、証明者の端末(以下、証明者端
末)が任意数ｒを選択してｇを−ｒ乗してｇ-rを求めた
後自分の識別番号と現在の時間を包含する認証情報Ｉを
作成してｇ-rと掛けてｐで割った剰余
末)が任意数ｒを選択してｇを−ｒ乗してｇ-rを求めた
後自分の識別番号と現在の時間を包含する認証情報Ｉを
作成してｇ-rと掛けてｐで割った剰余
【数１０】
を計算して、インタフェースを介して検証者の端末(以
下、検証者端末)に送信する第１段階、検証者端末が証
明者端末からｘを受信した後任意数ｅを選択して証明者
端末に送信すると、演算手段を用い、証明者端末は受信
した任意数ｅとｘをハッシュ関数に入力してｈ（ｘ，
ｅ）を求めて、これに自分の秘密鍵ａを掛けた後ｘの計
算に使用した任意数ｒを足してｑで割った剰余
下、検証者端末)に送信する第１段階、検証者端末が証
明者端末からｘを受信した後任意数ｅを選択して証明者
端末に送信すると、演算手段を用い、証明者端末は受信
した任意数ｅとｘをハッシュ関数に入力してｈ（ｘ，
ｅ）を求めて、これに自分の秘密鍵ａを掛けた後ｘの計
算に使用した任意数ｒを足してｑで割った剰余
【数１１】
を計算して、インタフェースを介して検証者端末に送信
する第２段階、および、検証者端末がｙを受信すると、
演算手段を用い、ｘとｅを共にハッシュ関数に入力して
ｈ（ｘ，ｅ）を求めた後ｇをｙ乗したものに証明者端末
の公開鍵ｖをｈ（ｘ，ｅ）乗してさらにｘを掛けてｐで
割った剰余ｘｇyｖh(x,e) ｍｏｄ ｐを計算してｘに
包含されている認証情報Ｉを復元することで認証情報Ｉ
の内容を確認し、証明者の身元を認証する第３段階をコ
ンピュータを用いた計算にしたがって実行することを特
徴とする。
する第２段階、および、検証者端末がｙを受信すると、
演算手段を用い、ｘとｅを共にハッシュ関数に入力して
ｈ（ｘ，ｅ）を求めた後ｇをｙ乗したものに証明者端末
の公開鍵ｖをｈ（ｘ，ｅ）乗してさらにｘを掛けてｐで
割った剰余ｘｇyｖh(x,e) ｍｏｄ ｐを計算してｘに
包含されている認証情報Ｉを復元することで認証情報Ｉ
の内容を確認し、証明者の身元を認証する第３段階をコ
ンピュータを用いた計算にしたがって実行することを特
徴とする。
【００３９】
【００４０】
【００４１】
【００４２】
【００４３】
【００４４】
【００４５】
【００４６】
【００４７】
【００４８】
【００４９】
【００５０】
【００５１】
【００５２】
【００５３】
【００５４】
【００５５】
【００５６】
【００５７】また、コンピュータ通信網を利用した情報
交換システムにおける、電子メッセージｍに対して複数
の署名者の端末(以下、署名者端末)が一連の電子署名を
生成する付加型公衆電子署名方法において、演算手段を
用い、複数の署名者端末のうちはじめの端末がメッセー
ジｍと自分の識別番号ＩＤ1をハッシュ関数に入力して
ｈ（ＩＤ1，ｍ）を求めた後、これとｍについての自分
の説明文句、そして現在の時間等を包含する情報Ｉ
1（＝ｈ（ＩＤ1，ｍ）、説明文句、現在の時間）を作成
する第１段階、任意数ｒ1を選択して
交換システムにおける、電子メッセージｍに対して複数
の署名者の端末(以下、署名者端末)が一連の電子署名を
生成する付加型公衆電子署名方法において、演算手段を
用い、複数の署名者端末のうちはじめの端末がメッセー
ジｍと自分の識別番号ＩＤ1をハッシュ関数に入力して
ｈ（ＩＤ1，ｍ）を求めた後、これとｍについての自分
の説明文句、そして現在の時間等を包含する情報Ｉ
1（＝ｈ（ＩＤ1，ｍ）、説明文句、現在の時間）を作成
する第１段階、任意数ｒ1を選択して
【００５８】
【数１２】
と
【数１３】
を計算して電子署名（ｘ1，ｙ1）を生成する第２段階、
【００５９】その後、ｉ番目（ｉ≧２）の電子署名（ｘ
i，ｙi）およびメッセージｍを受信して、演算手段を用
い、署名者ｙi-1とメッセージｍについてのｉ番目の署
名者の説明文句と現在の時間を包含する情報Ｉi（＝ｙ
i-、説明文句、現在の時間）を作成した後、任意数ｒi
を選択して
i，ｙi）およびメッセージｍを受信して、演算手段を用
い、署名者ｙi-1とメッセージｍについてのｉ番目の署
名者の説明文句と現在の時間を包含する情報Ｉi（＝ｙ
i-、説明文句、現在の時間）を作成した後、任意数ｒi
を選択して
【数１４】
と
【００６０】
【数１５】
を計算してｉ番目の署名者端末の電子署名（ｘi，ｙi）
を生成する第３段階、
を生成する第３段階、
【００６１】演算手段を用い、全ての署名者端末が電子
署名を生成したかを確認して、未署名の端末があれば第
３段階に復帰して、未署名の端末がなければ最終の電子
署名として（ｘ1，ｘ2，ｘ3，・・・，ｘn-1，ｘn，
ｙn）を生成する第４段階、および、
署名を生成したかを確認して、未署名の端末があれば第
３段階に復帰して、未署名の端末がなければ最終の電子
署名として（ｘ1，ｘ2，ｘ3，・・・，ｘn-1，ｘn，
ｙn）を生成する第４段階、および、
【００６２】検証者の端末(以下、検証者端末)が、公衆
電子署名（ｘ1，ｘ2，ｘ3，・・・，ｘn-1，ｘn，ｙn）
およびメッセージｍを受信して
電子署名（ｘ1，ｘ2，ｘ3，・・・，ｘn-1，ｘn，ｙn）
およびメッセージｍを受信して
【数１６】
【００６３】を使用して演算手段により（ｘn，ｙn）か
らｙn-1を復元することを開始してはじめの署名者端末
の電子署名（ｘ1，ｙ1）を復元して、（ｘi，ｙi）から
復元されたＩ1のｈ（ＩＤ1，ｍ）が検証者端末が求めた
ｈ（ＩＤ1，ｍ）と同値かを検証することにより署名の
正当性を検証する第５段階をコンピュータを用いた計算
にしたがって実行することを特徴とする。
らｙn-1を復元することを開始してはじめの署名者端末
の電子署名（ｘ1，ｙ1）を復元して、（ｘi，ｙi）から
復元されたＩ1のｈ（ＩＤ1，ｍ）が検証者端末が求めた
ｈ（ＩＤ1，ｍ）と同値かを検証することにより署名の
正当性を検証する第５段階をコンピュータを用いた計算
にしたがって実行することを特徴とする。
【００６４】また、コンピュータ通信網を利用した情報
交換システムにおける電子メッセージｍに対して電子署
名を生成するブラインド電子署名方法において、記憶手
段から読み出したシステム係数がｇ，ｑ，ｐで
交換システムにおける電子メッセージｍに対して電子署
名を生成するブラインド電子署名方法において、記憶手
段から読み出したシステム係数がｇ，ｑ，ｐで
【００６５】
【外２７】
【００６６】演算手段により計算して、インタフェース
を介して上記署名者にｘB を送信する第１段階、署名者
が任意数ｒA を選択してｇを−ｒA 乗して受信したｘB
と掛けた後
を介して上記署名者にｘB を送信する第１段階、署名者
が任意数ｒA を選択してｇを−ｒA 乗して受信したｘB
と掛けた後
【００６７】
【外２８】
【００６８】を計算して、インタフェースを介して検証
者に送信する第２段階、検証者が署名者から受信したｘ
A とメッセージｍをハッシュ関数に入力してｈ（ｘA ，
ｍ）を求めた後、これに任意数ｒB を足してｑで割った
剰余ｙB （≡ｈ（ｘA ，ｍ）＋ｒB ｍｏｄ ｑ）を計
算して、インタフェースを介して上記署名者に送信する
第３段階、演算手段を用い、署名者が受信したｙB に自
分の秘密鍵のａA を掛けて任意数ｒA を足してｑで割っ
た剰余ｙA （≡ｒA ＋ｙB ａA ｍｏｄ ｑ）を計算し
て検証者に送信すると、検証者がメッセージｍについて
のブラインド署名(blind signature）（ｘA ，ｙA ）を
受信する第４段階、および、生成された電子署名を検証
するために、検証者が第３段階で求めたｈ（ｘA ，ｍ）
を利用してｖA をｈ（ｘA ，ｍ）乗して、これにｇをｙ
A 乗して掛けた後
者に送信する第２段階、検証者が署名者から受信したｘ
A とメッセージｍをハッシュ関数に入力してｈ（ｘA ，
ｍ）を求めた後、これに任意数ｒB を足してｑで割った
剰余ｙB （≡ｈ（ｘA ，ｍ）＋ｒB ｍｏｄ ｑ）を計
算して、インタフェースを介して上記署名者に送信する
第３段階、演算手段を用い、署名者が受信したｙB に自
分の秘密鍵のａA を掛けて任意数ｒA を足してｑで割っ
た剰余ｙA （≡ｒA ＋ｙB ａA ｍｏｄ ｑ）を計算し
て検証者に送信すると、検証者がメッセージｍについて
のブラインド署名(blind signature）（ｘA ，ｙA ）を
受信する第４段階、および、生成された電子署名を検証
するために、検証者が第３段階で求めたｈ（ｘA ，ｍ）
を利用してｖA をｈ（ｘA ，ｍ）乗して、これにｇをｙ
A 乗して掛けた後
【００６９】
【外２９】
【００７０】を計算してメッセージｍを復元して、その
内容を確認することにより署名者の電子署名（ｘA ，ｙ
A ）の正当性を検証する第５段階をコンピュータを用い
た計算にしたがって実行することを特徴とする。
内容を確認することにより署名者の電子署名（ｘA ，ｙ
A ）の正当性を検証する第５段階をコンピュータを用い
た計算にしたがって実行することを特徴とする。
【００７１】
【発明の実施の形態】本発明を概略的に説明すると、離
散的対数の計算の困難さに安全性を基礎として多様な応
用性を持つことで、証明交換方法によれば証明者が検証
者に多くの付加的な情報を提供して証明者が検証者に自
分の身元をより確実に証明できる。
散的対数の計算の困難さに安全性を基礎として多様な応
用性を持つことで、証明交換方法によれば証明者が検証
者に多くの付加的な情報を提供して証明者が検証者に自
分の身元をより確実に証明できる。
【００７２】すなわち、証明者(prover)が検証者(verif
ier)に自分の身元を認証するために認証情報に識別番号
(identification number) 、現在の日付と時間、そして
現在使用しているシステム(host computer address) 等
を示す情報を包含させる方法として、他の認証交換方法
と比較して証明者はより多くの付随的な情報を検証者に
提供することにより認証者が証明者の身元を認証するこ
とにおいて、幅広い弁別力を提供できる方法である。
ier)に自分の身元を認証するために認証情報に識別番号
(identification number) 、現在の日付と時間、そして
現在使用しているシステム(host computer address) 等
を示す情報を包含させる方法として、他の認証交換方法
と比較して証明者はより多くの付随的な情報を検証者に
提供することにより認証者が証明者の身元を認証するこ
とにおいて、幅広い弁別力を提供できる方法である。
【００７３】また、本発明の電子署名方法は、基本的に
署名するメッセージの大きさ（２進ビット数列の大き
さ）により付加型または復元型で電子署名を生成できる
複合型電子署名方法で、鍵交換方法としても活用され
る。メッセージに対して復元型方法で署名する場合にお
いて、電子署名の検証結果として復元される情報に署名
者のメッセージに関する説明文句と電子署名を生成する
時点の日付と時間等を包含させることにより、検証者が
電子署名の検証結果として電子署名が生成された時期と
署名者が署名したメッセージに関する署名者の付随的な
情報を得られるようにする方法である。
署名するメッセージの大きさ（２進ビット数列の大き
さ）により付加型または復元型で電子署名を生成できる
複合型電子署名方法で、鍵交換方法としても活用され
る。メッセージに対して復元型方法で署名する場合にお
いて、電子署名の検証結果として復元される情報に署名
者のメッセージに関する説明文句と電子署名を生成する
時点の日付と時間等を包含させることにより、検証者が
電子署名の検証結果として電子署名が生成された時期と
署名者が署名したメッセージに関する署名者の付随的な
情報を得られるようにする方法である。
【００７４】そして、公衆電子署名方法は、階層的構造
を持つ組織内で業務上の同一なメッセージや書類に対し
て複数の署名者が一連の電子署名を生成できる。ブライ
ンド電子署名方法は、署名者がメッセージの内容をわか
らない状態でそのメッセージに対して電子署名を生成す
る際に公証機関や登記所で公証を受けるために提出する
文書の内容を公開することが困難な場合に主に使用され
る。
を持つ組織内で業務上の同一なメッセージや書類に対し
て複数の署名者が一連の電子署名を生成できる。ブライ
ンド電子署名方法は、署名者がメッセージの内容をわか
らない状態でそのメッセージに対して電子署名を生成す
る際に公証機関や登記所で公証を受けるために提出する
文書の内容を公開することが困難な場合に主に使用され
る。
【００７５】以下、添付した図面を参照して本発明によ
る実施の形態を詳細に説明する。
る実施の形態を詳細に説明する。
【００７６】図１は本発明による認証交換方法のフロー
図である。
図である。
【００７７】各使用者のシステム係数は（ｇ，ｑ，
ｐ）、上記ｐ，ｑは大きい素数、ｇは１とｐの間の自然
数としてｑ乗してｐで割った剰余が１の数（ｇa ≡１
ｍｏｄｐ）の時、各使用者は１とｑの間で自然数ａ（１
＜ａ＜ｑ）を選択して秘密鍵に使用して、公開鍵ｖ（≡
ｇ-a ｍｏｄ ｐ）を計算して公開した後、使用者らは
ハッシュ関数(hash function) としてｈを共通に使用す
る。
ｐ）、上記ｐ，ｑは大きい素数、ｇは１とｐの間の自然
数としてｑ乗してｐで割った剰余が１の数（ｇa ≡１
ｍｏｄｐ）の時、各使用者は１とｑの間で自然数ａ（１
＜ａ＜ｑ）を選択して秘密鍵に使用して、公開鍵ｖ（≡
ｇ-a ｍｏｄ ｐ）を計算して公開した後、使用者らは
ハッシュ関数(hash function) としてｈを共通に使用す
る。
【００７８】そして、各使用者らは、本方法の使用の登
録時に鍵管理センタ(key authenticartion center)から
固有な識別番号（ＩＤ：identificaion number）を受け
るが、これは一定な長さの２進数列になっている。
録時に鍵管理センタ(key authenticartion center)から
固有な識別番号（ＩＤ：identificaion number）を受け
るが、これは一定な長さの２進数列になっている。
【００７９】図１のように証明者Ａが検証者Ｂに自分の
身元を証明する認証交換方法では、証明者Ａが１とｑの
間で任意数ｒ（１＜ｒ＜ｑ）を選択してｇを−ｒ乗して
ｇ-rを計算する。その後証明者Ａは、自分の識別番号Ｉ
ＤA 、現在の日付と時間、そして現在使用する端末の位
置を示すアドレス(host address or node address)等を
包含する情報Ｉ（＝ＩＤA 、現在の日付と時間、現在使
用される端末の位置）を作成してｇ-rに掛けてｐで割っ
た剰余ｘ（≡Ｉｇ-r ｍｏｄ ｐ）を計算して検証者Ｂ
に送信する。
身元を証明する認証交換方法では、証明者Ａが１とｑの
間で任意数ｒ（１＜ｒ＜ｑ）を選択してｇを−ｒ乗して
ｇ-rを計算する。その後証明者Ａは、自分の識別番号Ｉ
ＤA 、現在の日付と時間、そして現在使用する端末の位
置を示すアドレス(host address or node address)等を
包含する情報Ｉ（＝ＩＤA 、現在の日付と時間、現在使
用される端末の位置）を作成してｇ-rに掛けてｐで割っ
た剰余ｘ（≡Ｉｇ-r ｍｏｄ ｐ）を計算して検証者Ｂ
に送信する。
【００８０】検証者Ｂは、証明者Ａからｘを受信する
と、１とｑの間で任意数ｅを選択して証明者Ａに送信す
る。証明者Ａは検証者Ｂから受信したｅとｘをハッシュ
関数に入力してｈ（ｘ，ｅ）を求めて自分の秘密鍵ａを
掛けた後、これにｘの計算に使用した任意数ｒを足して
ｑで割った剰余ｙ（≡ｒ＋ａｈ（ｘ，ｅ） ｍｏｄ
ｑ）を計算して検証者Ｂに送信する。
と、１とｑの間で任意数ｅを選択して証明者Ａに送信す
る。証明者Ａは検証者Ｂから受信したｅとｘをハッシュ
関数に入力してｈ（ｘ，ｅ）を求めて自分の秘密鍵ａを
掛けた後、これにｘの計算に使用した任意数ｒを足して
ｑで割った剰余ｙ（≡ｒ＋ａｈ（ｘ，ｅ） ｍｏｄ
ｑ）を計算して検証者Ｂに送信する。
【００８１】証明者Ａからｙを受信した検証者Ｂは、ｘ
とｅをハッシュ関数に入力してｈ（ｘ，ｅ）を求めた
後、ｇをｙ乗したものに証明者Ａの公開鍵ｖをｈ（ｘ，
ｅ）乗して掛ける。そして、この結果にｘを掛けた後ｐ
で割った剰余Ｉ（≡ｘｇy ｖh(x,e) ｍｏｄ ｐ）を計
算して証明者Ａの認証情報Ｉを復元する。検証者Ｂは、
復元された認証情報Ｉの内容を確認して、証明者Ａの身
元を認証する。
とｅをハッシュ関数に入力してｈ（ｘ，ｅ）を求めた
後、ｇをｙ乗したものに証明者Ａの公開鍵ｖをｈ（ｘ，
ｅ）乗して掛ける。そして、この結果にｘを掛けた後ｐ
で割った剰余Ｉ（≡ｘｇy ｖh(x,e) ｍｏｄ ｐ）を計
算して証明者Ａの認証情報Ｉを復元する。検証者Ｂは、
復元された認証情報Ｉの内容を確認して、証明者Ａの身
元を認証する。
【００８２】また証明者Ａは、場合によってｘに包含す
る認証情報Ｉを１としてｘ（≡ｇ-rｍｏｄ ｐ）を計算
して、検証者Ｂから受信したｅについてｙ（≡ｒ＋ａｈ
（ｘ，ｅ） ｍｏｄ ｑ）を計算して検証者に送信でき
る。この時、検証者ＢはＩ（≡ｘｇy ｖh(x,e) ｍｏｄ
ｐ）を計算してＩが１であるかを確認して、証明者Ａ
の身元を認証することもできる。
る認証情報Ｉを１としてｘ（≡ｇ-rｍｏｄ ｐ）を計算
して、検証者Ｂから受信したｅについてｙ（≡ｒ＋ａｈ
（ｘ，ｅ） ｍｏｄ ｑ）を計算して検証者に送信でき
る。この時、検証者ＢはＩ（≡ｘｇy ｖh(x,e) ｍｏｄ
ｐ）を計算してＩが１であるかを確認して、証明者Ａ
の身元を認証することもできる。
【００８３】図２および図３は本発明による電子署名方
法のフロー図である。
法のフロー図である。
【００８４】上記認証交換方法のようにｐ，ｑは大きい
素数で、ｇは１とｐの間の自然数でありｑ乗してｐで割
った剰余が１（１≡ｇa ｍｏｄ ｐ）の数である。従
って、各使用者らはシステム係数に（ｇ，ｑ，ｐ）を共
通に使用して１とｑの間で秘密鍵ａを選択してｖ≡ｇ-a
ｍｏｄ ｐを計算してｖを公開鍵として使用する。
素数で、ｇは１とｐの間の自然数でありｑ乗してｐで割
った剰余が１（１≡ｇa ｍｏｄ ｐ）の数である。従
って、各使用者らはシステム係数に（ｇ，ｑ，ｐ）を共
通に使用して１とｑの間で秘密鍵ａを選択してｖ≡ｇ-a
ｍｏｄ ｐを計算してｖを公開鍵として使用する。
【００８５】そして、各使用者らが鍵管理センサ(key a
uthentication center) に本方法の使用を登録すると、
鍵管理センタから固有な識別番号ＩＤが付与される。す
ると各使用者の公開係数は（ｇ，ｑ，ｐ，ｖ，ＩＤ）に
なり、ハッシュ関数としてｈを共通に使用する。
uthentication center) に本方法の使用を登録すると、
鍵管理センタから固有な識別番号ＩＤが付与される。す
ると各使用者の公開係数は（ｇ，ｑ，ｐ，ｖ，ＩＤ）に
なり、ハッシュ関数としてｈを共通に使用する。
【００８６】上記のように、署名者Ａが電子化されたメ
ッセージｍについて電子署名を生成するメカニズムをメ
ッセージｍの大きさ（２進ビット数）により復元型と付
加型で署名する方法を図２および図３を参照して詳細に
説明すると、次の通りである。
ッセージｍについて電子署名を生成するメカニズムをメ
ッセージｍの大きさ（２進ビット数）により復元型と付
加型で署名する方法を図２および図３を参照して詳細に
説明すると、次の通りである。
【００８７】図２は本発明による復元型電子署名方法の
フロー図である。
フロー図である。
【００８８】署名するメッセージｍの２進ビット数が素
数ｐの２進ビット数より小さい場合、この復元型電子署
名方法がに遂行される。
数ｐの２進ビット数より小さい場合、この復元型電子署
名方法がに遂行される。
【００８９】図２のように、署名者Ａは、１とｑの間で
任意数ｒを選択してｇを−ｒ乗してｇ-rを求めた後、こ
れにメッセージｍを掛けてｐで割った剰余ｘ（≡ｍｇ-r
ｍｏｄ ｐ）を求める。そして、署名者Ａはｘと自分
の識別番号ＩＤA を共にハッシュ関数に入力してｈ
（ｘ，ＩＤA ）を求めた後、これに自分の秘密鍵ａを掛
けた後ｒを足してｑで割った剰余ｙ（≡ｒ＋ａｈ（ｘ，
ＩＤA ） ｍｏｄ ｑ）を求める。すると、（ｘ，ｙ）
がメッセージｍについての復元型電子署名になる。
任意数ｒを選択してｇを−ｒ乗してｇ-rを求めた後、こ
れにメッセージｍを掛けてｐで割った剰余ｘ（≡ｍｇ-r
ｍｏｄ ｐ）を求める。そして、署名者Ａはｘと自分
の識別番号ＩＤA を共にハッシュ関数に入力してｈ
（ｘ，ＩＤA ）を求めた後、これに自分の秘密鍵ａを掛
けた後ｒを足してｑで割った剰余ｙ（≡ｒ＋ａｈ（ｘ，
ＩＤA ） ｍｏｄ ｑ）を求める。すると、（ｘ，ｙ）
がメッセージｍについての復元型電子署名になる。
【００９０】そして、上記メッセージｍについての復元
型電子署名（ｘ，ｙ）の正当性の検証はだれでもできな
ければならないもので、検証者は検証の結果として復元
されたメッセージの内容を確認して、署名の正当性を検
証する。この方法を説明すると、次の通りである。
型電子署名（ｘ，ｙ）の正当性の検証はだれでもできな
ければならないもので、検証者は検証の結果として復元
されたメッセージの内容を確認して、署名の正当性を検
証する。この方法を説明すると、次の通りである。
【００９１】署名者Ａのメッセージｍについての復元型
電子署名が（ｘ，ｙ）とすると、検証者Ｂは、ｘと署名
者Ａの識別番号ＩＤA を共にハッシュ関数に入力してｈ
（ｘ，ＩＤA ）を求める。検証者Ｂは、ｇをｙ乗してこ
れに署名者Ａの公開鍵ｖ（≡ｇ-a ｍｏｄ ｐ）を
電子署名が（ｘ，ｙ）とすると、検証者Ｂは、ｘと署名
者Ａの識別番号ＩＤA を共にハッシュ関数に入力してｈ
（ｘ，ＩＤA ）を求める。検証者Ｂは、ｇをｙ乗してこ
れに署名者Ａの公開鍵ｖ（≡ｇ-a ｍｏｄ ｐ）を
【００９２】
【外３０】
【００９３】を計算して、メッセージｍを復元する。検
証者Ｂは、電子署名の検証の結果として復元されたメッ
セージｍの内容を確認して、電子署名の正当性を検証す
る。
証者Ｂは、電子署名の検証の結果として復元されたメッ
セージｍの内容を確認して、電子署名の正当性を検証す
る。
【００９４】図３は本発明による付加型電子署名方法の
フロー図である。
フロー図である。
【００９５】署名するメッセージｍの２進ビット数が素
数ｐの２進ビット数より大きい場合に、この付加型電子
署名方法が遂行される。
数ｐの２進ビット数より大きい場合に、この付加型電子
署名方法が遂行される。
【００９６】図３のように、署名するメッセージをｍと
すると、署名者Ａはメッセージｍを自分の識別番号ＩＤ
A と共にハッシュ関数に入力してＩ（＝ｈ（ＩＤA ，
ｍ））を求める。署名者Ａは、１とｑの間で任意数ｒを
選択してｇを−ｒ乗してｇ-rを求めて、これにＩを掛け
た後ｐで割った剰余ｘ（≡ｈ（ＩＤA ，ｍ）-r ｍｏｄ
ｐ）を求める。署名者Ａは、ｘとメッセージｍをハッシ
ュ関数に入力してｈ（ｘ，ｍ）を求めて、これに自分の
秘密鍵ａを掛けた後ｘの計算に使用した任意数ｒを足し
てｑで割った剰余ｙ（≡ｒ＋ａｈ（ｘ，ｍ） ｍｏｄ
ｑ）を求める。
すると、署名者Ａはメッセージｍを自分の識別番号ＩＤ
A と共にハッシュ関数に入力してＩ（＝ｈ（ＩＤA ，
ｍ））を求める。署名者Ａは、１とｑの間で任意数ｒを
選択してｇを−ｒ乗してｇ-rを求めて、これにＩを掛け
た後ｐで割った剰余ｘ（≡ｈ（ＩＤA ，ｍ）-r ｍｏｄ
ｐ）を求める。署名者Ａは、ｘとメッセージｍをハッシ
ュ関数に入力してｈ（ｘ，ｍ）を求めて、これに自分の
秘密鍵ａを掛けた後ｘの計算に使用した任意数ｒを足し
てｑで割った剰余ｙ（≡ｒ＋ａｈ（ｘ，ｍ） ｍｏｄ
ｑ）を求める。
【００９７】このようにして計算した（ｘ，ｙ）が、メ
ッセージｍについての付加型電子署名としてメッセージ
ｍと共に（ｍ，ｘ，ｙ）として処理される。
ッセージｍについての付加型電子署名としてメッセージ
ｍと共に（ｍ，ｘ，ｙ）として処理される。
【００９８】署名者Ａのメッセージｍについての付加型
電子署名（ｍ，ｘ，ｙ）の検証方法は、受信したｘとメ
ッセージｍをハッシュ関数に入力してｈ（ｘ，ｍ）を求
めた後、ｇをｙ乗してこれに署名者の公開鍵ｖをｈ
（ｘ，ｍ）乗してｇy ｖh(x,m)を求める。その後、ｇy
ｖh(x,m)にｘを掛けてｐで割った剰余ｘｇy ｖh(x,m)
ｍｏｄ ｐを計算してハッシュ関数値Ｉを復元する。検
証者Ｂは、メッセージｍを署名者の識別番号ＩＤA と共
にハッシュ関数に入力してｈ（ＩＤA ，ｍ）を求め、Ｉ
と同一かを確認して付加型電子署名（ｍ，ｘ，ｙ）の正
当性を検証する。
電子署名（ｍ，ｘ，ｙ）の検証方法は、受信したｘとメ
ッセージｍをハッシュ関数に入力してｈ（ｘ，ｍ）を求
めた後、ｇをｙ乗してこれに署名者の公開鍵ｖをｈ
（ｘ，ｍ）乗してｇy ｖh(x,m)を求める。その後、ｇy
ｖh(x,m)にｘを掛けてｐで割った剰余ｘｇy ｖh(x,m)
ｍｏｄ ｐを計算してハッシュ関数値Ｉを復元する。検
証者Ｂは、メッセージｍを署名者の識別番号ＩＤA と共
にハッシュ関数に入力してｈ（ＩＤA ，ｍ）を求め、Ｉ
と同一かを確認して付加型電子署名（ｍ，ｘ，ｙ）の正
当性を検証する。
【００９９】そして、署名者は、署名するメッセージに
ついての署名者の説明文句と署名する時点の時間等を示
す情報を包含する電子署名を生成できるが、その方法の
説明は次の通りである。
ついての署名者の説明文句と署名する時点の時間等を示
す情報を包含する電子署名を生成できるが、その方法の
説明は次の通りである。
【０１００】署名者は、自分の識別番号ＩＤとメッセー
ジをハッシュ関数に入力してｈ（ＩＤ，ｍ）を求めて、
メッセージｍについての説明文句を作成してｈ（ＩＤ，
ｍ）の後に付加する。そして、署名者が使用するコンピ
ュータ端末を通じて、該当メッセージについての説明と
電子署名を生成する時点の時間等を付加して、Ｉ（＝ｈ
（ＩＤA ，ｍ）、説明文句、署名した時間）を作成した
後、メッセージに対して付加型方法で電子署名を生成す
るとよい。
ジをハッシュ関数に入力してｈ（ＩＤ，ｍ）を求めて、
メッセージｍについての説明文句を作成してｈ（ＩＤ，
ｍ）の後に付加する。そして、署名者が使用するコンピ
ュータ端末を通じて、該当メッセージについての説明と
電子署名を生成する時点の時間等を付加して、Ｉ（＝ｈ
（ＩＤA ，ｍ）、説明文句、署名した時間）を作成した
後、メッセージに対して付加型方法で電子署名を生成す
るとよい。
【０１０１】この方法は、既存の署名方法がメッセージ
についての署名のみを行えるのと違い、署名するメッセ
ージについての多様な情報を包含させることにより、検
証者が署名検証の結果として署名の正当性確認および署
名したメッセージに関連された情報を共に取得できるよ
うにする方法である。
についての署名のみを行えるのと違い、署名するメッセ
ージについての多様な情報を包含させることにより、検
証者が署名検証の結果として署名の正当性確認および署
名したメッセージに関連された情報を共に取得できるよ
うにする方法である。
【０１０２】一方、同一なメッセージや書類に対して複
数の署名者が一連の電子署名を生成することが階層的構
造を持つ業務上に必要であるが、このように生成された
電子署名を公衆電子署名として、この公衆電子署名を生
成する方法を説明すると、次の通りである。
数の署名者が一連の電子署名を生成することが階層的構
造を持つ業務上に必要であるが、このように生成された
電子署名を公衆電子署名として、この公衆電子署名を生
成する方法を説明すると、次の通りである。
【０１０３】まず、生成される電子署名の大きさを小さ
くして通信量を減少できる復元型公衆電子署名方法は、
署名するメッセージをｍとし、署名者ＡとＢ、そしてＣ
がそれらの識別子ＩＤA ，ＩＤB およびＩＤC を各々包
含するメッセージｍに対して一連の電子署名を生成する
ために署名者Ａは任意数ｒA を選択して
くして通信量を減少できる復元型公衆電子署名方法は、
署名するメッセージをｍとし、署名者ＡとＢ、そしてＣ
がそれらの識別子ＩＤA ，ＩＤB およびＩＤC を各々包
含するメッセージｍに対して一連の電子署名を生成する
ために署名者Ａは任意数ｒA を選択して
【０１０４】
【外３１】
【０１０５】ｘA とメッセージ署名者Ａの識別子ＩＤA
をハッシュ関数に入力してｈ（ｘA ，ＩＤA ）を求め
て、これと自分の秘密鍵のａA を掛けて任意数ｒA を足
してｑで割った剰余ｙA （≡ｒB ＋ａA ｈ（ｘA ，ＩＤ
A ） ｍｏｄ ｇ）を求めると、（ｘA ，ｙA ）がメッ
セージｍについての署名者Ａの電子署名になる。
をハッシュ関数に入力してｈ（ｘA ，ＩＤA ）を求め
て、これと自分の秘密鍵のａA を掛けて任意数ｒA を足
してｑで割った剰余ｙA （≡ｒB ＋ａA ｈ（ｘA ，ＩＤ
A ） ｍｏｄ ｇ）を求めると、（ｘA ，ｙA ）がメッ
セージｍについての署名者Ａの電子署名になる。
【０１０６】署名者Ｂは、任意数ｒB を選択して
【０１０７】
【外３２】
【０１０８】その後、ｘB と署名者Ｂの識別子ＩＤB を
ハッシュ関数に入力してｈ（ｘB ，ＩＤB ）を求めて、
これと自分の秘密鍵ａB を掛けて任意数ｒB を足してｑ
で割った剰余ｙB （≡ｒB ＋ａB ｈ（ｘB ，ＩＤB ）
ｍｏｄ ｑ）を求めると、（ｘB ，ｙB ）がメッセージ
ｍについての署名者Ｂの電子署名になる。
ハッシュ関数に入力してｈ（ｘB ，ＩＤB ）を求めて、
これと自分の秘密鍵ａB を掛けて任意数ｒB を足してｑ
で割った剰余ｙB （≡ｒB ＋ａB ｈ（ｘB ，ＩＤB ）
ｍｏｄ ｑ）を求めると、（ｘB ，ｙB ）がメッセージ
ｍについての署名者Ｂの電子署名になる。
【０１０９】次に署名者Ｃは、任意数ｒC を選択して
【０１１０】
【外３３】
【０１１１】その後ｘC と署名者Ｃの識別子ＩＤC をハ
ッシュ関数に入力してｈ（ｘC ，ＩＤC ）を求めて、こ
れと自分の秘密鍵ａC を掛けて任意数ｒC を足してｑで
割った剰余ｙC （≡ｒC ＋ａC ｈ（ｘC ，ｍ） ｍｏｄ
ｑ）を求めると、（ｘC ，ｙC ）がメッセージｍにつ
いての署名者Ｃの電子署名になり、メッセージｍについ
ての署名者ＡとＢ、そしてＣの一連の電子署名は
（ｙA ，ｙB ，ｙC ，ｘC ）になる。
ッシュ関数に入力してｈ（ｘC ，ＩＤC ）を求めて、こ
れと自分の秘密鍵ａC を掛けて任意数ｒC を足してｑで
割った剰余ｙC （≡ｒC ＋ａC ｈ（ｘC ，ｍ） ｍｏｄ
ｑ）を求めると、（ｘC ，ｙC ）がメッセージｍにつ
いての署名者Ｃの電子署名になり、メッセージｍについ
ての署名者ＡとＢ、そしてＣの一連の電子署名は
（ｙA ，ｙB ，ｙC ，ｘC ）になる。
【０１１２】この一連の電子署名の検証方法では、検証
者が、
者が、
【０１１３】
【外３４】
【０１１４】を使用してｍについての署名者Ｂの電子署
名（ｘB ，ｙB ）でｘA を復元して、ｍについての署名
者Ａの電子署名（ｘA ，ｙA ）からメッセージｍを復元
する。そして、この内容を確認して署名者Ａの電子署名
の正当性を検証することにより、一連の電子署名
（ｙA ，ｙB ，ｙC ，ｘC ）が正当か否かを検証でき
る。
名（ｘB ，ｙB ）でｘA を復元して、ｍについての署名
者Ａの電子署名（ｘA ，ｙA ）からメッセージｍを復元
する。そして、この内容を確認して署名者Ａの電子署名
の正当性を検証することにより、一連の電子署名
（ｙA ，ｙB ，ｙC ，ｘC ）が正当か否かを検証でき
る。
【０１１５】このような方法で、ｎ名の署名者がメッセ
ージｍについて次のように公衆署名（ｙ1 ，ｙ2 ，
ｙ3 ，…，ｙn-1 ，ｙn ，ｘn ）を生成できる。
ージｍについて次のように公衆署名（ｙ1 ，ｙ2 ，
ｙ3 ，…，ｙn-1 ，ｙn ，ｘn ）を生成できる。
【０１１６】
【外３５】
【０１１７】（ｘn ，ｙn ）からｘn-1 を復元すること
を開始してはじめの署名者の電子署名（ｘ1 ，ｙ1 ）を
復元して、これでメッセージｍを復元してこの内容を確
認することにより、全体の公衆電子署名の正当性を検証
できる。
を開始してはじめの署名者の電子署名（ｘ1 ，ｙ1 ）を
復元して、これでメッセージｍを復元してこの内容を確
認することにより、全体の公衆電子署名の正当性を検証
できる。
【０１１８】次に、メッセージに対して各署名者の説明
文句と署名した時間等を包含する付加型公衆電子署名方
法は、署名者Ａがメッセージｍと自分の識別番号ＩＤA
をハッシュ関数に入力してｈ（ＩＤA ，ｍ）を求めた後
これとメッセージｍについての署名者Ａの説明文句と現
在の時間等を包含する情報ＩA （≡ｈ（ＩＤA ，ｍ）、
説明文句、現在の時間）を作成した後、
文句と署名した時間等を包含する付加型公衆電子署名方
法は、署名者Ａがメッセージｍと自分の識別番号ＩＤA
をハッシュ関数に入力してｈ（ＩＤA ，ｍ）を求めた後
これとメッセージｍについての署名者Ａの説明文句と現
在の時間等を包含する情報ＩA （≡ｈ（ＩＤA ，ｍ）、
説明文句、現在の時間）を作成した後、
【０１１９】
【外３６】
【０１２０】ｙA （≡ｒA ＋ａA ｈ（ｘA ，ｍ） ｍｏ
ｄ ｑ）を計算して電子署名（ｘA ，ｙA ）を生成す
る。そして、署名者ＢがｙA とメッセージｍについての
署名者Ｂの説明文句と現在の時間を包含する情報Ｉ
B （≡ｙA 、説明文句、現在の時間）を作成した後、
ｄ ｑ）を計算して電子署名（ｘA ，ｙA ）を生成す
る。そして、署名者ＢがｙA とメッセージｍについての
署名者Ｂの説明文句と現在の時間を包含する情報Ｉ
B （≡ｙA 、説明文句、現在の時間）を作成した後、
【０１２１】
【外３７】
【０１２２】ｙB （≡ｒB ＋ａB ｈ（ｘB ，ｍ） ｍｏ
ｄ ｑ）を計算して電子署名（ｘB ，ｙB ）を生成す
る。そして、署名者ＣはｙB とメッセージｍについての
署名者Ｃの説明文句と現在の時間を包含する情報Ｉ
C （＝ｙB 、説明文句、現在の時間）を作成した後、
ｄ ｑ）を計算して電子署名（ｘB ，ｙB ）を生成す
る。そして、署名者ＣはｙB とメッセージｍについての
署名者Ｃの説明文句と現在の時間を包含する情報Ｉ
C （＝ｙB 、説明文句、現在の時間）を作成した後、
【０１２３】
【外３８】
【０１２４】ｙC （≡ｒC ＋ａC ｈ（ｘC ，ｍ） ｍｏ
ｄ ｑ）を計算して電子署名（ｘC ，ｙC ）を生成する
と、（ｘA ，ｘB ，ｘC ，ｙC ）がメッセージｍについ
ての付加型公衆電子署名になる。
ｄ ｑ）を計算して電子署名（ｘC ，ｙC ）を生成する
と、（ｘA ，ｘB ，ｘC ，ｙC ）がメッセージｍについ
ての付加型公衆電子署名になる。
【０１２５】この電子署名の検証方法は、検証者が
【０１２６】
【外３９】
【０１２７】を使用して電子署名（ｘA ，ｙA ）の正当
性を検証して、（ｘA ，ｙA ）から復元されたＩA のｈ
（ＩＤA ，ｍ）が検証者が計算したｈ（ＩＤA ，ｍ）と
同値かを検証することにより確認するものである。そし
て、検証者は検証の各段階で、署名者のメッセージにつ
いての説明文句と電子署名を生成した時間を知ることが
できる。
性を検証して、（ｘA ，ｙA ）から復元されたＩA のｈ
（ＩＤA ，ｍ）が検証者が計算したｈ（ＩＤA ，ｍ）と
同値かを検証することにより確認するものである。そし
て、検証者は検証の各段階で、署名者のメッセージにつ
いての説明文句と電子署名を生成した時間を知ることが
できる。
【０１２８】このような方法で、ｎ名の署名者が公衆署
名（ｘ1 ，ｘ2 ，ｘ3 ，…，ｘn-1，ｘn ，ｙn ）を生
成でき、
名（ｘ1 ，ｘ2 ，ｘ3 ，…，ｘn-1，ｘn ，ｙn ）を生
成でき、
【０１２９】
【外４０】
【０１３０】（ｘn ，ｙn ）からｙn-1 の復元を開始し
てはじめの署名者の電子署名（ｘA ，ｙA ）を復元した
後、（ｘ1 ，ｙ1 ）から復元されたＩA のｈ（ＩＤA ，
ｍ）が検証者が計算したｈ（ＩＤ1 ，ｍ）と同値かを検
証して正当性を検証することにより、全体の公衆電子署
名の正当性を検証できる。
てはじめの署名者の電子署名（ｘA ，ｙA ）を復元した
後、（ｘ1 ，ｙ1 ）から復元されたＩA のｈ（ＩＤA ，
ｍ）が検証者が計算したｈ（ＩＤ1 ，ｍ）と同値かを検
証して正当性を検証することにより、全体の公衆電子署
名の正当性を検証できる。
【０１３１】図４は本発明によるブラインド電子署名(B
lind signature) 方法のフロー図である。
lind signature) 方法のフロー図である。
【０１３２】このブラインド電子署名方法は、署名者が
メッセージの内容をわからない状態でそのメッセージに
対して電子署名を生成する方法である。
メッセージの内容をわからない状態でそのメッセージに
対して電子署名を生成する方法である。
【０１３３】これは、公証機関や登記所で公証を受ける
ために文書を提出する時、文書の内容を公開することが
困難な場合に主に使用される署名方法である。メッセー
ジの内容が署名者Ａに公開されない状態で検証者Ｂが署
名者Ａに電子署名を生成するようにすれば、検証者Ｂは
任意数ｒB を選択して、
ために文書を提出する時、文書の内容を公開することが
困難な場合に主に使用される署名方法である。メッセー
ジの内容が署名者Ａに公開されない状態で検証者Ｂが署
名者Ａに電子署名を生成するようにすれば、検証者Ｂは
任意数ｒB を選択して、
【０１３４】
【外４１】
【０１３５】を計算して、署名者ＡにｘB を送信する。
【０１３６】署名者Ａは、任意数ｒA を選択してｇを−
ｒA 乗して受信したｘB に掛けた後
ｒA 乗して受信したｘB に掛けた後
【０１３７】
【外４２】
【０１３８】検証者Ｂに送信すると、検証者Ｂは署名者
Ａから受信したｘA とメッセージｍをハッシュ関数に入
力してｈ（ｘA ，ｍ）を求めた後、これと任意数ｒB を
足してｑで割った剰余ｙB （≡ｈ（ｘA ，ｍ）＋ｒB
ｍｏｄ ｑ）を求めて署名者Ａに送信する。
Ａから受信したｘA とメッセージｍをハッシュ関数に入
力してｈ（ｘA ，ｍ）を求めた後、これと任意数ｒB を
足してｑで割った剰余ｙB （≡ｈ（ｘA ，ｍ）＋ｒB
ｍｏｄ ｑ）を求めて署名者Ａに送信する。
【０１３９】署名者Ａは、検証者Ｂから受信したｙB に
自分の秘密鍵ａA を掛けて任意数ｒA を足してｑで割っ
た剰余ｙA （≡ｒA ＋ｙB ａA ｍｏｄ ｑ）を計算し
て検証者Ｂに送信すると、検証者Ｂは署名者Ａからメッ
セージｍについてのブラインド署名(blind signature）
（ｘA ，ｙA ）を受信することになる。そして、検証者
Ｂが、
自分の秘密鍵ａA を掛けて任意数ｒA を足してｑで割っ
た剰余ｙA （≡ｒA ＋ｙB ａA ｍｏｄ ｑ）を計算し
て検証者Ｂに送信すると、検証者Ｂは署名者Ａからメッ
セージｍについてのブラインド署名(blind signature）
（ｘA ，ｙA ）を受信することになる。そして、検証者
Ｂが、
【０１４０】
【外４３】
【０１４１】メッセージｍを復元して、この内容を確認
して（ｘA ，ｙA ）の正当性を検証する。
して（ｘA ，ｙA ）の正当性を検証する。
【０１４２】鍵交換方法では、二人の使用者ＡとＢがシ
ステム係数に（ｇ，ｑ，ｐ）とハッシュ関数ｈを共通に
使用する。使用者Ａの秘密鍵がａ、公開鍵がｖA （≡ｇ
-aｍｏｄ ｐ）、そして使用者Ｂの秘密鍵がｂ、公開鍵
がｖB （≡ｇ-b ｍｏｄｐ）とする時、使用者ＡとＢが
共通の秘密鍵を生成する方法は次の通りである。
ステム係数に（ｇ，ｑ，ｐ）とハッシュ関数ｈを共通に
使用する。使用者Ａの秘密鍵がａ、公開鍵がｖA （≡ｇ
-aｍｏｄ ｐ）、そして使用者Ｂの秘密鍵がｂ、公開鍵
がｖB （≡ｇ-b ｍｏｄｐ）とする時、使用者ＡとＢが
共通の秘密鍵を生成する方法は次の通りである。
【０１４３】使用者Ａは、任意数Ｒとｒを生成してｇを
Ｒ乗してこれにｇを−ｒ乗して掛けた後ｐで割った剰余
ｘ（≡ｇR ｇ-r ｍｏｄ ｐ）を求める。そして、使用
者Ａは、使用者Ｂの公開鍵ｖB を
Ｒ乗してこれにｇを−ｒ乗して掛けた後ｐで割った剰余
ｘ（≡ｇR ｇ-r ｍｏｄ ｐ）を求める。そして、使用
者Ａは、使用者Ｂの公開鍵ｖB を
【０１４４】
【外４４】
【０１４５】を求めた後、ｘとｋをハッシュ関数に入力
してｈ（ｘ，ｋ）を求めて、これと自分の秘密鍵ａを掛
けて任意数ｒを足してｑで割った剰余ｙ（≡ｒ＋ａｈ
（ｘ，ｋ） ｍｏｄ ｑ）を求めて使用者Ｂに送信す
る。
してｈ（ｘ，ｋ）を求めて、これと自分の秘密鍵ａを掛
けて任意数ｒを足してｑで割った剰余ｙ（≡ｒ＋ａｈ
（ｘ，ｋ） ｍｏｄ ｑ）を求めて使用者Ｂに送信す
る。
【０１４６】その後使用者Ａは、使用者Ｂの公開鍵ｖB
を
を
【０１４７】
【外４５】
【０１４８】を計算して共有鍵に定める。使用者Ｂは、
使用者Ａの公開鍵ｖA を自分の秘密鍵の
使用者Ａの公開鍵ｖA を自分の秘密鍵の
【０１４９】
【外４６】
【０１５０】使用者Ａから受信した（ｘ，ｙ）からｇR
を次のように求める。すなわち、ｇをｙ乗してこれに使
用者Ａの公開鍵ｖA をｈ（ｘ，ｋ）乗して
を次のように求める。すなわち、ｇをｙ乗してこれに使
用者Ａの公開鍵ｖA をｈ（ｘ，ｋ）乗して
【０１５１】
【外４７】
【０１５２】を計算して復元する。その後使用者Ｂは、
ｇR を自分の秘密鍵の−ｂ乗してｐで割った剰余Ｋ（≡
（ｇR ）-b ｍｏｄ ｐ）を計算して共有鍵に定める。
ｇR を自分の秘密鍵の−ｂ乗してｐで割った剰余Ｋ（≡
（ｇR ）-b ｍｏｄ ｐ）を計算して共有鍵に定める。
【０１５３】従って、使用者ＡとＢは秘密鍵としてＫを
共有する。本発明の鍵交換方法では、共有鍵を生成する
使用者ＡでもＢでもない第三者は、使用者ＡとＢの公開
鍵のｖA とｖB からＫを計算できないし、使用者Ａから
Ｂに伝達される情報（ｘ，ｙ）から共有鍵生成者ｇR を
復元できないから、第三者は使用者ＡとＢの間の秘密鍵
の共有鍵Ｋを計算できない。
共有する。本発明の鍵交換方法では、共有鍵を生成する
使用者ＡでもＢでもない第三者は、使用者ＡとＢの公開
鍵のｖA とｖB からＫを計算できないし、使用者Ａから
Ｂに伝達される情報（ｘ，ｙ）から共有鍵生成者ｇR を
復元できないから、第三者は使用者ＡとＢの間の秘密鍵
の共有鍵Ｋを計算できない。
【０１５４】
【発明の効果】上記のように本発明の認証交換方法によ
ると、認証情報に現在の時間を包含させているからどの
証明者も検証者に以前に使用したｘを再び使用できない
し、また正当な使用者でない偽証者が正当な使用者のよ
うに偽証使用とする時に、すでに計算された（ｘ，ｙ）
を使用できない。
ると、認証情報に現在の時間を包含させているからどの
証明者も検証者に以前に使用したｘを再び使用できない
し、また正当な使用者でない偽証者が正当な使用者のよ
うに偽証使用とする時に、すでに計算された（ｘ，ｙ）
を使用できない。
【０１５５】従って、偽証者はｘと検証者が選択した任
意数ｅについて偽証しようとすると、正当な使用者の識
別番号ＩＤと現在の時間を復元するために十分な時間内
にＩを計算できないから、本発明の認証交換方法による
と偽証することが難しいという効果がある。
意数ｅについて偽証しようとすると、正当な使用者の識
別番号ＩＤと現在の時間を復元するために十分な時間内
にＩを計算できないから、本発明の認証交換方法による
と偽証することが難しいという効果がある。
【０１５６】また、二人の使用者が、第三者がわからな
いように共通の秘密鍵を交換することにより、システム
の信頼性を向上できる効果がある。
いように共通の秘密鍵を交換することにより、システム
の信頼性を向上できる効果がある。
【０１５７】また、本発明の公衆電子署名方法による
と、階層的構造を持つ業務上で同一なメッセージや書類
に対して、複数の署名者が一連の電子署名を生成できる
効果がある。
と、階層的構造を持つ業務上で同一なメッセージや書類
に対して、複数の署名者が一連の電子署名を生成できる
効果がある。
【０１５８】また、本発明のブラインド電子署名方法に
よると、署名者はメッセージの内容を確認できないし、
また検証者は署名者の秘密鍵がわからないから、メッセ
ージｍに対して検証者が署名者の電子署名を偽造できな
い効果がある。
よると、署名者はメッセージの内容を確認できないし、
また検証者は署名者の秘密鍵がわからないから、メッセ
ージｍに対して検証者が署名者の電子署名を偽造できな
い効果がある。
【図１】本発明による認証交換方法を説明するためのフ
ロー図である。
ロー図である。
【図２】復元型電子署名方法を説明するためのフロー図
である。
である。
【図３】付加型電子署名方法を説明するためのフロー図
である。
である。
【図４】ブラインド電子署名方法を説明するためのフロ
ー図である。
ー図である。
─────────────────────────────────────────────────────
フロントページの続き
(72)発明者 ジャン チョン ヨン
大韓民国 ソウル チヨングノグ スー
ジヨンノ 100 コリア テレコミュニ
ケーション オーソリティ内
(56)参考文献 特開 平５−68034（ＪＰ，Ａ)
特開 平５−48599（ＪＰ，Ａ)
特許3292312（ＪＰ，Ｂ２)
Claims (2)
- 【請求項１】 コンピュータ通信網を利用した情報交換
システムにおける認証交換方法において、 記憶手段から読み出したシステム係数がｇ，ｑ，ｐで公
開鍵が 【数１】 の時、演算手段を用い、証明者の端末(以下、証明者端
末)が任意数ｒを選択してｇを−ｒ乗してｇ-rを求めた
後自分の識別番号と現在の時間を包含する認証情報Ｉを
作成してｇ-rと掛けてｐで割った剰余 【数２】 を計算して、インタフェースを介して検証者の端末(以
下、検証者端末)に送信する第１段階、 検証者端末が証明者端末からｘを受信した後任意数ｅを
選択して証明者端末に送信すると、演算手段を用い、証
明者端末は受信した任意数ｅとｘをハッシュ関数に入力
してｈ（ｘ，ｅ）を求めて、これに自分の秘密鍵ａを掛
けた後ｘの計算に使用した任意数ｒを足してｑで割った
剰余 【数３】 を計算して、インタフェースを介して検証者端末に送信
する第２段階、および、 検証者端末がｙを受信すると、演算手段を用い、ｘとｅ
を共にハッシュ関数に入力してｈ（ｘ，ｅ）を求めた後
ｇをｙ乗したものに証明者端末の公開鍵ｖをｈ（ｘ，
ｅ）乗してさらにｘを掛けてｐで割った剰余ｘｇyｖ
h(x,e) ｍｏｄ ｐを計算してｘに包含されている認証
情報Ｉを復元することで認証情報Ｉの内容を確認し、証
明者の身元を認証する第３段階をコンピュータを用いた
計算にしたがって実行することを特徴とする認証交換方
法。 - 【請求項２】 コンピュータ通信網を利用した情報交換
システムにおける、電子メッセージｍに対して複数の署
名者の端末(以下、署名者端末)が一連の電子署名を生成
する付加型公衆電子署名方法において、 演算手段を用い、複数の署名者端末のうちはじめの端末
がメッセージｍと自分の識別番号ＩＤ1をハッシュ関数
に入力してｈ（ＩＤ1，ｍ）を求めた後、これとｍにつ
いての自分の説明文句、そして現在の時間等を包含する
情報Ｉ1（＝ｈ（ＩＤ1，ｍ）、説明文句、現在の時間）
を作成する第１段階、 任意数ｒ1を選択して 【数４】 と 【数５】 を計算して電子署名（ｘ1，ｙ1）を生成する第２段階、 その後、ｉ番目（ｉ≧２）の電子署名（ｘi，ｙi）およ
びメッセージｍを受信して、演算手段を用い、署名者ｙ
i-1とメッセージｍについてのｉ番目の署名者の説明文
句と現在の時間を包含する情報Ｉi（＝ｙi-1、説明文
句、現在の時間）を作成した後、任意数ｒiを選択して 【数６】 と 【数７】 を計算してｉ番目の署名者端末の電子署名（ｘi，ｙi）
を生成する第３段階、 演算手段を用い、全ての署名者端末が電子署名を生成し
たかを確認して、未署名の端末があれば第３段階に復帰
して、未署名の端末がなければ最終の電子署名として
（ｘ1，ｘ2，ｘ3，・・・，ｘn-1，ｘn，ｙn）を生成す
る第４段階、および、 検証者の端末(以下、検証者端末)が、公衆電子署名（ｘ
1，ｘ2，ｘ3，・・・，ｘn-1，ｘn，ｙn）およびメッセ
ージｍを受信して 【数８】 を使用して演算手段により（ｘn，ｙn）からｙn-1を復
元することを開始してはじめの署名者端末の電子署名
（ｘ1，ｙ1）を復元して、（ｘi，ｙi）から復元された
Ｉ1のｈ（ＩＤ1，ｍ）が検証者端末が求めたｈ（Ｉ
Ｄ1，ｍ）と同値かを検証することにより署名の正当性
を検証する第５段階をコンピュータを用いた計算にした
がって実行することを特徴とする付加型公衆電子署名方
法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1019950013388A KR0146437B1 (ko) | 1995-05-26 | 1995-05-26 | 인증교환 방법, 복원형 전자서명 방법, 부가형 전자서명 방법, 키교환 방법, 복원형 다중전자서명 방법, 부가형 다중전자서명 방법 및 블라인드 전자서명 방법 |
| KR1995-13388 | 1995-05-26 |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003419910A Division JP2004129303A (ja) | 1995-05-26 | 2003-12-17 | 復元型電子署名方法、付加型電子署名方法、鍵交換方法、復元型公衆電子署名方法およびブラインド電子署名方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH08328472A JPH08328472A (ja) | 1996-12-13 |
| JP3522447B2 true JP3522447B2 (ja) | 2004-04-26 |
Family
ID=19415517
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP15496396A Expired - Fee Related JP3522447B2 (ja) | 1995-05-26 | 1996-05-27 | 認証交換方法および付加型公衆電子署名方法 |
| JP2003419910A Pending JP2004129303A (ja) | 1995-05-26 | 2003-12-17 | 復元型電子署名方法、付加型電子署名方法、鍵交換方法、復元型公衆電子署名方法およびブラインド電子署名方法 |
Family Applications After (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003419910A Pending JP2004129303A (ja) | 1995-05-26 | 2003-12-17 | 復元型電子署名方法、付加型電子署名方法、鍵交換方法、復元型公衆電子署名方法およびブラインド電子署名方法 |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US5966445A (ja) |
| JP (2) | JP3522447B2 (ja) |
| KR (1) | KR0146437B1 (ja) |
| FR (3) | FR2735307B1 (ja) |
Families Citing this family (36)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6212637B1 (en) * | 1997-07-04 | 2001-04-03 | Nippon Telegraph And Telephone Corporation | Method and apparatus for en-bloc verification of plural digital signatures and recording medium with the method recorded thereon |
| JPH11252070A (ja) * | 1998-03-02 | 1999-09-17 | Kdd Corp | 利用者認証方式 |
| DE19811833A1 (de) * | 1998-03-18 | 1999-09-30 | Siemens Ag | Schlüsselaustauschprotokoll |
| US6195698B1 (en) * | 1998-04-13 | 2001-02-27 | Compaq Computer Corporation | Method for selectively restricting access to computer systems |
| US7237114B1 (en) | 2000-04-26 | 2007-06-26 | Pronvest, Inc. | Method and system for signing and authenticating electronic documents |
| US7373510B2 (en) * | 2000-09-12 | 2008-05-13 | International Business Machines Corporation | System and method for implementing a robot proof Web site |
| JP4582939B2 (ja) * | 2001-03-07 | 2010-11-17 | ソニー株式会社 | 情報管理システム、情報管理方法、および情報処理装置、情報処理方法、並びにプログラム |
| DE10111756A1 (de) * | 2001-03-12 | 2002-11-14 | Infineon Technologies Ag | Verfahren zur Authentikation |
| US20020141586A1 (en) * | 2001-03-29 | 2002-10-03 | Aladdin Knowledge Systems Ltd. | Authentication employing the bluetooth communication protocol |
| JP4103340B2 (ja) * | 2001-05-08 | 2008-06-18 | 株式会社日立製作所 | デジタル署名表示装置 |
| FI114062B (fi) * | 2001-06-08 | 2004-07-30 | Nokia Corp | Menetelmä tiedonsiirron turvallisuuden varmistamiseksi, tiedonsiirtojärjestelmä ja tiedonsiirtolaite |
| GB0119629D0 (en) * | 2001-08-10 | 2001-10-03 | Cryptomathic As | Data certification method and apparatus |
| FR2828780B1 (fr) * | 2001-08-20 | 2004-01-16 | France Telecom | Procede de realisation d'une unite cryptographique pour un systeme de cryptographie asymetrique utilisant une fonction logarithme discret |
| US20030050981A1 (en) * | 2001-09-13 | 2003-03-13 | International Business Machines Corporation | Method, apparatus, and program to forward and verify multiple digital signatures in electronic mail |
| US20030120923A1 (en) * | 2001-12-21 | 2003-06-26 | Avaya Technology Corp. | Secure data authentication apparatus |
| JP4390570B2 (ja) * | 2004-01-21 | 2009-12-24 | 株式会社エヌ・ティ・ティ・ドコモ | 多段署名検証システム、電子署名付与装置、データ追加装置及び電子署名検証装置 |
| CA2567285A1 (en) * | 2004-05-18 | 2005-11-24 | Silverbrook Research Pty Ltd | Method and apparatus for security document tracking |
| US7664957B2 (en) * | 2004-05-20 | 2010-02-16 | Ntt Docomo, Inc. | Digital signatures including identity-based aggregate signatures |
| JP2008532389A (ja) | 2005-02-25 | 2008-08-14 | クゥアルコム・インコーポレイテッド | 認証のための小型の公開鍵を用いたデジタル署名 |
| US8412937B2 (en) * | 2005-12-14 | 2013-04-02 | Koninklijke Philips Electronics N.V. | Method and system for authentication of a low-resource prover |
| CA2669145C (en) | 2006-11-15 | 2013-11-05 | Certicom Corp. | Implicit certificate verification |
| CN102017510B (zh) * | 2007-10-23 | 2013-06-12 | 赵运磊 | 自封闭联合知识证明和Diffie-Hellman密钥交换方法与结构 |
| EP2325754A4 (en) * | 2008-09-12 | 2012-01-25 | Nec Corp | MESSAGE DISTRIBUTION SYSTEM AND DISTRIBUTION METHOD |
| US9990478B2 (en) * | 2012-11-30 | 2018-06-05 | The Nielsen Company (Us), Llc | Methods, apparatus, and articles of manufacture to encode auxiliary data into relational database keys and methods, apparatus, and articles of manufacture to obtain encoded data from relational database keys |
| US10453058B2 (en) | 2014-12-17 | 2019-10-22 | Heartland Payment Systems, Inc. | E-signature |
| US10333696B2 (en) | 2015-01-12 | 2019-06-25 | X-Prime, Inc. | Systems and methods for implementing an efficient, scalable homomorphic transformation of encrypted data with minimal data expansion and improved processing efficiency |
| US10158490B2 (en) * | 2015-08-17 | 2018-12-18 | The Boeing Company | Double authentication system for electronically signed documents |
| CN111355584B (zh) * | 2018-12-21 | 2023-04-07 | 北京京东尚科信息技术有限公司 | 用于生成区块链多重签名的方法和装置 |
| US11621837B2 (en) | 2020-09-03 | 2023-04-04 | Theon Technology Llc | Secure encryption of data using partial-key cryptography |
| US11310042B2 (en) | 2020-09-11 | 2022-04-19 | Crown Sterling Limited, LLC | Methods of storing and distributing large keys |
| US11528136B2 (en) * | 2020-11-24 | 2022-12-13 | Crown Sterling Limited, LLC | Decryption of encrypted data missing a private key |
| US11755772B2 (en) | 2021-09-20 | 2023-09-12 | Crown Sterling Limited, LLC | Securing data in a blockchain with a one-time pad |
| US11791988B2 (en) | 2021-11-22 | 2023-10-17 | Theon Technology Llc | Use of random entropy in cryptography |
| US11943336B2 (en) | 2021-11-22 | 2024-03-26 | Theon Technology Llc | Use of gradient decent function in cryptography |
| US11902420B2 (en) | 2021-11-23 | 2024-02-13 | Theon Technology Llc | Partial cryptographic key transport using one-time pad encryption |
| WO2023158673A1 (en) * | 2022-02-16 | 2023-08-24 | Cornellcookson, Llc | Vertically stacking panel door with cam levers and improved ramps |
Family Cites Families (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5140634A (en) * | 1987-09-07 | 1992-08-18 | U.S Philips Corporation | Method and apparatus for authenticating accreditations and for authenticating and signing messages |
| US5396558A (en) * | 1992-09-18 | 1995-03-07 | Nippon Telegraph And Telephone Corporation | Method and apparatus for settlement of accounts by IC cards |
| ATE187588T1 (de) * | 1993-08-17 | 1999-12-15 | R3 Security Engineering Ag | Verfahren zur digitalen unterschrift und verfahren zur schlüsselübereinkunft |
| US5668878A (en) * | 1994-02-28 | 1997-09-16 | Brands; Stefanus Alfonsus | Secure cryptographic methods for electronic transfer of information |
| KR0144086B1 (ko) * | 1994-03-31 | 1998-08-17 | 조백제 | 인증교환과 전자서명 방법 |
| US5761305A (en) * | 1995-04-21 | 1998-06-02 | Certicom Corporation | Key agreement and transport protocol with implicit signatures |
| US5633929A (en) * | 1995-09-15 | 1997-05-27 | Rsa Data Security, Inc | Cryptographic key escrow system having reduced vulnerability to harvesting attacks |
-
1995
- 1995-05-26 KR KR1019950013388A patent/KR0146437B1/ko not_active IP Right Cessation
-
1996
- 1996-05-24 FR FR9606473A patent/FR2735307B1/fr not_active Expired - Lifetime
- 1996-05-27 JP JP15496396A patent/JP3522447B2/ja not_active Expired - Fee Related
- 1996-05-28 US US08/654,289 patent/US5966445A/en not_active Expired - Lifetime
- 1996-11-08 FR FR9613644A patent/FR2738438B1/fr not_active Expired - Lifetime
- 1996-11-08 FR FR9613643A patent/FR2738437B1/fr not_active Expired - Lifetime
-
2003
- 2003-12-17 JP JP2003419910A patent/JP2004129303A/ja active Pending
Also Published As
| Publication number | Publication date |
|---|---|
| KR960042341A (ko) | 1996-12-21 |
| FR2738437A1 (fr) | 1997-03-07 |
| JPH08328472A (ja) | 1996-12-13 |
| FR2735307A1 (fr) | 1996-12-13 |
| US5966445A (en) | 1999-10-12 |
| FR2738437B1 (fr) | 2001-10-12 |
| JP2004129303A (ja) | 2004-04-22 |
| FR2735307B1 (fr) | 2001-10-12 |
| FR2738438A1 (fr) | 1997-03-07 |
| KR0146437B1 (ko) | 1998-09-15 |
| FR2738438B1 (fr) | 2001-10-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3522447B2 (ja) | 認証交換方法および付加型公衆電子署名方法 | |
| US9967239B2 (en) | Method and apparatus for verifiable generation of public keys | |
| US20080133926A1 (en) | Signature schemes using bilinear mappings | |
| US9882890B2 (en) | Reissue of cryptographic credentials | |
| US9800418B2 (en) | Signature protocol | |
| JP2002515128A (ja) | 秘密キー証明書 | |
| JP2002534701A (ja) | 寄託されない署名専用キーを用いた自動回復可能な自動可能暗号システム | |
| CN113360943A (zh) | 一种区块链隐私数据的保护方法及装置 | |
| KR20030062401A (ko) | 겹선형쌍을 이용한 개인식별정보 기반의 은닉서명 장치 및방법 | |
| JP2005520364A (ja) | デジタル署名された証明書を更新しかつ拡張するシステムおよび方法 | |
| KR0146438B1 (ko) | 인증교환 방법과 복원형 전자서명 방법 및 부가형 전자서명 방법 | |
| Aggarwal et al. | Digital signatures | |
| US20150006900A1 (en) | Signature protocol | |
| Lv et al. | Practical convertible authenticated encryption schemes using self-certified public keys | |
| Tso | A new way to generate a ring: Universal ring signature | |
| WO2016187689A1 (en) | Signature protocol | |
| WO2023016729A1 (en) | Generating digital signature shares | |
| JP3540477B2 (ja) | 署名方式 | |
| WO2023016730A1 (en) | Generating digital signatures | |
| Krishna | Providing Security to Confidential Information Using Digital signature | |
| WO2023016728A1 (en) | Generating digital signatures | |
| Lau | Proxy signature schemes |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20031217 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20040204 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080220 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090220 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100220 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100220 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110220 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120220 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130220 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130220 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140220 Year of fee payment: 10 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |