JP3881274B2 - 署名生成方法、および署名検証方法 - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は、署名生成方法、および署名検証方法に関し、特に、公開鍵の種別を離散対数型或いは一方向性置換型の何れか一方に限定することなく両者が混在する署名生成方法、および署名検証方法に関する。
【０００２】
【従来の技術】
従来例を図を参照して説明する。
第１の従来の技術として、Cramer等による1-out-of-n離散対数型署名方法（Proofs of Partial Knowledge and Simplified Design of Witness Hiding Proofs"Crypto'94,LNCS839,pp.174-187,Springer-Verlag,1994）について説明する。
ｐ_i、ｑ_iをそれぞれ大きな素数とし、ｑ_iはｐ_iを割り切るものとする。ｇ_i をｐ_iの位数ｑ_iの部分群の生成源とする。ｘ_i∈Ｚ_qiを秘密鍵、ｙ_i＝ｇ_i ^xi ｍｏｄ ｐ_iをｇ_i、ｑ_i、ｐ_iと共に公開鍵とする。
【０００３】
ｎ個の公開鍵（ｙ_j、ｇ_j、ｑ_j、ｐ_j）、ｊ＝０,......,ｎ−１の内、或るｙ_iに関して、対応する秘密鍵ｘ_i を知る署名者は、以下の手順で文書ｍに対する署名を生成する。ｌ（Ｌの小文字）はｎのｑ_j の内の最も大きいもののビット数を表すものとし、Ｈをｌビットの出力域を持つハッシュ関数とする。集合αから一つの元βをランダムに選ぶ行為をβ←αと書くことにする。
１.ｊ＝０,...,ｎ−１までのｊ≠ｉについて以下を繰り返す。
（ａ）ｓ_j←Ｚ_qj
（ｂ）ｃ_j←｛０,１｝^l
（ｃ）ｚ_j：＝ｇ_j ^sjｙ_j ^cj ｍｏｄ ｐ_j
２.ｒ_i←Ｚ_qi
３.ｚ_i：＝ｇ_i ^ri ｍｏｄ ｐ_i
４.ｃ_k+1＝Ｈ_k+1（ｚ₀‖ｚ₂‖・・・‖ｚ_n-1‖ｍ）
５.ｃ_i＝ｃ(XOR)ｃ₀(XOR)・・・(XOR)ｃ_i-1(XOR)ｃ_i+1(XOR)・・・ｃ_n
６.ｓ_i：＝ｒ_i−ｃ_i・ｘ_i ｍｏｄ ｑ_i
７.（ｃ₀,ｓ₀,ｃ₁,ｓ₁,・・・,ｃ_n-1,ｓ_n-1）を出力。
【０００４】
文書ｍに対する署名（ｃ₀,ｓ₀,ｃ₁,ｓ₁,・・・・,ｃ_n-1,ｓ_n-1）は以下の式が成り立つとき、正しい署名と認める。
ｃ₀(XOR)・・・(XOR)ｃ_n-1
＝Ｈ（ｇ₀ ^s0ｙ₀ ^c0 ｍｏｄ ｐ₀‖・・・・・・‖ｇ_n-1 ^sn-1ｙ_n-1 ^cn-1 ｍｏｄ ｐ_n-1）
但し、(XOR)はビット毎の排他的論理和を表すものとする。
以上の従来例によれば、署名の受信者は、署名者がどの公開鍵に対応する秘密鍵を保持しているのかを見分けることはできない。従って、独立に生成された、他人の公開鍵と署名者自身の公開鍵に基づいて上記の方法で署名を生成すると、検証者にとっては、誰が生成した署名なのか判断できないことになり、署名者のプライバシーが守られ、グループの代表者としての署名を生成したことになる。
【０００５】
同様の特性を有する第２の従来の技術として、Rivest,Shamir,TaumanによるRing型署名（How to Leak a Secret.Asiacrypt 2001,LNCS 2248,pp552-565, Springer-Verlag,2001）を説明する。
｛０,１｝^lの入出力域を持つ落とし戸付き一方向性置換関数をｇ₀,・・・,ｇ_n-1とする。ｌは充分に大きい例えば１０２４程度の数値とする。Ｈをハッシュ関数、Ｅ、Ｄをそれぞれ共通鍵暗号の暗号化関数、復号関数とし、(XOR)をビット毎の排他的論理和とする。署名者Ｐ_iはｇ_iに対する落とし戸情報（秘密鍵）を保持しており、ｇ_i ^-1を計算することができるものとする。
【０００６】
文書ｍに対する署名は、以下の手順で生成する。
１.Ｋ：＝Ｈ（ｍ）
２.ｌビットの乱数ｚ₀を生成する。
３.ｊ＝０,・・・,ｉ−１まで以下を繰り返す。
（ａ）ｌビットの乱数ｒ_jを生成する。
（ｂ）ｙ_j：＝ｇ_j（ｒ_j）
（ｃ）ｚ_j′：＝ｚ_j(XOR)ｙ_j
（ｄ）ｚ_j+1：＝Ｅ_k（ｚ_j′）
４.ｚ′_n-1＝Ｄ_k（ｚ₀）
５.ｊ＝ｎ−１,・・・,ｉ＋１まで以下を繰り返す。
（ａ）ｌビットの乱数ｒ_jを生成する。
（ｂ）ｙ_j：＝ｇ_j（ｒ_j）
（ｃ）ｚ_j：＝ｚ_j′(XOR)ｙ_j
（ｄ）ｚ′_j-1＝Ｄ_k（ｚ_j）
６.ｙ_i：＝ｚ_i(XOR)ｚ_i′
７.ｒ_i：＝ｇ_i ^-1（ｙ_i）
８.（ｚ₀,ｒ₀,ｒ₁,・・・,ｒ_n-1）を出力。
【０００７】
文書ｍに対する署名（ｚ₀,ｒ₀,ｒ₁,・・・,ｒ_n-1）は以下の手順で検証する。
１.Ｋ：＝Ｈ（ｍ）
２.ｊ＝０,・・・,ｎ−１まで以下を繰り返す。
（ａ）ｙ_j：＝ｇ_j（ｒ_j）
（ｂ）ｚ_j′：＝ｚ_j(XOR)ｙ_j
（ｃ）ｚ_j+1：＝Ｅ_k（ｚ_j′）
３.ｚ_n＝ｚ₀ならば合格。
【０００８】
【発明が解決しようとする課題】
以上の従来例は、それぞれ、Schnorr 署名の様な離散対数型の鍵の集合或いはＲＳＡの様な一方向性置換型の鍵の集合のみを対象としているので、一般的に、これらの異なる種類の鍵が混在する様な鍵集合に対しては署名を構成することができない。
この発明は、離散対数問題と一方向性置換の何れの形式の鍵をも含めることのできる一般的な鍵集合に対して、1-out-of n型の署名をすることができる署名生成方法を提供するものである。
【０００９】
【課題を解決するための手段】
Ｇ_jを可換群とし、その位数をｑ_j とする。Ｇ_j(ｘ)はインデックスがｘ∈Ｚ_qjであるようなＧ_jの元を表すものとする。また、Ｇ_j(ｘ)はｘからそのような元を計算する行為をも表すものとする。ｙ_j＝Ｇ_j（ｘ_j）とし、ｙ_j、Ｇ_j を公開鍵、ｘ_jを秘密鍵とする。可換群Ｇ_jに対して、以下に示す、ｘ_j の知識のゼロ知識証明を構成することができる。
１.証明者はランダムなインデックスｗをＺ_qjから選んで、ｚ_j：＝Ｇ_j（ｗ）を検証者へ送る。
２.検証者はランダムなチャレンジｃ_jをＺ_qjから選んで、証明者へ送る。
３.証明者は回答ｓ_jを回答計算式Ｆ_jに従ってｓ_j＝Ｆ_j（ｗ,ｃ,ｘ_j,Ｇ_j）と計算して検証者へ送る。
４.検証者は、検証値計算式Ｒ_j に対してｚ_j＝Ｒ_j（ｓ,ｃ,ｙ_j,Ｇ_j）が成り立つか否かを調べ、成り立つならば受理し、そうでなければ拒否する。
【００１０】
ｆ_jを落とし戸付き一方向性置換関数とし、その入出力域をＧ_j とする。ｆ_j ^-1をｆ_jの逆算とする。即ち、全てのｘ∈Ｇ_jに対して、ｆ_j ^-1（ｆ_j（ｘ））＝ｘが成り立つ。Ｇ_j は少なくとも環であるものとし、二項演算ａ(+)_jｂとａ(-)_jｂはそれぞれＧ_j 上での加減算ａ＋ｂとａ−ｂの結果を表すものとし、ａ‖ｂはａとｂのビット結合を示す。ｆ_jを公開鍵とし、ｆ_j ^-1を秘密鍵とする。
Ｌを、公開鍵（ｙ_j,Ｇ_j）および（ｆ_j,Ｇ_j）を合計ｎ個含む公開鍵のリストとする。それぞれ幾つづつ含むかは任意である。リストＬにおいては、０番目からｎ−１番目の公開鍵があるものとする。記号Ｌ［ｊ］は記号ＤまたはＴを表し、Ｌ［ｋ］＝Ｄの場合はリストＬ中のｊ番目の公開鍵が離散対数型のｙ_j であることを示し、Ｌ［ｋ］＝Ｔの場合はリストＬ中のｊ番目の公開鍵が一方向性置換型のｆ_jであることを示すものとする。
Ｈ_j を一方向性ハッシュ関数とし、Ｌ［ｋ］＝Ｄなるｊについては、出力域がＺ_qjであり、Ｌ［ｋ］＝Ｔなるｊについては、出力域がＧ_jであるものとする。
【００１１】
Ｌに含まれるｎ個の公開鍵の内、或るｋ番目の公開鍵に対応する秘密鍵を知る署名者は、以下の手順で文書ｍに対する署名を生成する。以下で、ｕ∈_Uｖ は、集合ｖから要素をランダムに選択し、選択した要素をｕと呼ぶことを意味する。また、添え字は全て ｍｏｄ ｎを取るものとする。即ち、ｊ＋１がｎとなった場合は、これを０と見なす。
Step１ Ｌ［ｋ］＝Ｄのとき：α∈_UＺ_qk、β＝Ｇ_k（α）
Ｌ［ｋ］＝Ｔのとき：β∈_UＧ_k
とし、ｃ_k+1＝Ｈ_k+1（Ｌ‖ｍ‖β）を計算する。
Step２ ｊ＝ｋ＋１,...,ｎ−１,０,....,ｋ−１まで以下を繰り返す。
Ｌ［ｊ］＝Ｄのとき：ｓ_j∈_UＺ_qj、ｚ_j＝Ｒ_j（ｓ_j,ｃ_j,ｙ_j,Ｇ_j）
Ｌ［ｊ］＝Ｔのとき：ｓ_j∈_UＧ_j、ｚ_j＝ｃ_j(+)_jｆ_j（ｓ_j）
とし、ｃ_j+1＝Ｈ_j+1（Ｌ‖ｍ‖ｚ_j）を計算する。
Step３ 以下を計算する。
Ｌ［ｊ］＝Ｄのとき：ｓ_k＝Ｆ（α,ｃ_k,ｘ_k,Ｇ_k）
Ｌ［ｊ］＝Ｔのとき：ｓ_k＝ｆ_k ^-1（β−ｃ_k）
Step４ 署名（ｃ₀,ｓ₀,ｓ₁,・・・,ｓ_n-1）を出力。
【００１２】
文書ｍに対する署名（ｃ₀,ｓ₀,ｓ₁,・・・,ｓ_n-1）は以下の手順で検証する。
Step１ ｊ＝０,....,ｎ−１まで以下を繰り返す。
Ｌ［ｊ］＝Ｄのとき：ｚ_j＝Ｒ_j（ｓ_j,ｃ_j,ｙ_j,Ｇ_j）
Ｌ［ｊ］＝Ｔのとき：ｚ_j＝ｃ_j(+)_jｆ_j（ｓ_j）
ｃ_j+1：＝Ｈ_j+1（Ｌ‖ｍ‖ｚ_j）を計算する。
Step２ ｃ_n＝ｃ₀ならば正当な署名と見なす。
上述の通りにして、前段の出力値ｚ_jから後段のチャレンジｃ_j+1を計算する際に、後段のチャレンジとして適切な出力域をもつハッシュ関数によりこれを計算するため、後段で使用する公開鍵が離散対数型か一方向性関数型に関わらず、適切な大きさのチャレンジを生成することができる。
【００１３】
【発明の実施の形態】
以下、この発明の実施の形態を図の実施例を参照して説明する。
図１を参照してこの発明の署名生成手順を説明するに、
公開鍵種別初期化手段１１と、公開鍵種別連鎖処理手段１２と、公開鍵種別リング接合手段１３と、
ループ変数初期化手段１４１、ループ変数更新手段１４２、ループ終了判断手段１４３とからなるループ制御手段１４とを備えて署名生成を実施する。
図２を参照するに、公開鍵種別初期化手段１１は、公開鍵判別手段１１１と、乱数生成手段１１２、１１２’と、群要素計算手段１１３と、ハッシュ手段１１４とを備える。
【００１４】
図３を参照するに、公開鍵種別連鎖処理手段１２は公開鍵判別手段１２１と、乱数生成手段１２２、１２２’と、検証値計算手段１２３と、一方向性置換計算手段１２４と、加減算手段１２５と、ハッシュ手段１２６を備える。
図４を参照するに、公開鍵種別リング接合手段１３は、公開鍵判別手段１３１と、回答計算手段１３２と、加減算手段１３３と、一方向性置換逆算計算手段１３４を備える。
図５を参照してこの発明の署名検証手順を説明するに、
図３の公開鍵種別連鎖処理手段１２と、比較手段１５と、ループ変数初期化手段１４１、ループ変数更新手段１４２、ループ終了判断手段１４３とからなるループ制御手段１４とを備えて署名検証を実施する。
【００１５】
（構成の説明）
離散対数を構成する群として、ｐ_i を素数とする乗法群Ｚ_piをとり、落とし戸付き一方向性置換関数としてＲＳＡ関数を用いる場合の実施例を説明する。
ｐ_i、ｑ_iをそれぞれ大きな素数とし、ｑ_iはｐ_iを割り切るものとする。ｇ_i をｐ_iの位数ｑ_iの部分群の生成源とする。ｘ_i∈Ｚ_qiを秘密鍵、ｙ_i＝ｇ_i ^xi ｍｏｄ ｐ_iをｇ_i、ｑ_i、ｐ_iと共に公開鍵とする。
（ｅ_j,Ｎ_j）をＲＳＡ暗号の公開鍵、ｄ_jを秘密鍵とする。即ち、すべてのα∈Ｚ^* _Njに対して、（α^ej）^dj ｍｏｄ Ｎ_j＝αが成り立つ。
【００１６】
（動作の説明）
図６を参照して、署名生成手順の動作を説明する。図６は先の図１に対応する図であり、図６における図７、図８、図９はそれぞれ図２、図３、図４に対応する図である。
入力として、ｎ個の公開鍵を含むリストＬと、或る公開鍵に対応する秘密鍵および署名対象の文書ｍを得る。公開鍵の種別をＤとＴで表し、それぞれ離散対数型、一方向置換型を表わすものとする。リストＬ中のｊ番目の公開鍵の種別をＬ［ｊ］と表す。入力の秘密鍵に対応する公開鍵がリストＬ中でｋ番目に含まれているものとする。Ｌ［ｋ］＝Ｄの場合には秘密鍵はｘ_k であり、Ｌ［ｋ］＝Ｔの場合にはｄ_k である。入力に対して、先ず、図７に示す公開鍵種別初期化手順を実行する。次に、ループ変数初期化手段１４によりループ変数ｊをｋ＋１（ｍｏｄ ｎ） に設定する。次に、図８に示す公開鍵種別連鎖処理手順を実行し、ループ変数更新手順によりｊをｊ＋１（ｍｏｄ ｎ） に設定し、ループ終了判断手段により、ｊがｋと等しいか否かを判定する。等しくない場合には、公開鍵種別連鎖処理手順の実行に戻り、等しい場合には、図９に示す公開鍵種別リング接合手順を実行し、署名を出力して停止する。
【００１７】
以下、手順を図７〜図９を参照して具体的に説明する。図７の公開鍵種別初期化手順は、Ｌ、ｍおよびｋを入力とし、先ず、公開鍵判別手段１１１により、入力秘密鍵に対応する公開鍵がＤとＴの何れであるかを判別する。Ｄの場合には、乱数生成手段１１２により、Ｚ_qkからランダムにｗを選び、群要素計算手段１１３によりｚ_k＝ｇ_k ^w ｍｏｄ ｐ_kを計算する。Ｔの場合は、乱数生成手段１１２’により、Ｚ^* _Nk からランダムにｚ_kを選ぶ。得られたｚ_kを、Ｌ、ｍと共にハッシュ手段１１４によりハッシュし、その結果をｃ_k+1とする。
図８の公開鍵種別連鎖処理手順では、Ｌ、ｍ、ｊおよびｃ_jを入力とし、先ず、公開鍵判別手段１２１により、処理対象としているリストＬ中のｊ番目の公開鍵がＤとＴの何れであるかを判別する。Ｄの場合には、乱数生成手段１２２によりＺ_qjからランダムにｓ_j を選び、検証値計算手段１２３によりｚ_j＝ｇ_j ^sjｙ_j ^cj ｍｏｄ ｐ_j を計算する。Ｔの場合には、乱数生成手段１２２’により、Ｚ^* _Njからランダムにｓ_jを選び、これを一方向性置換計算手段１２４に入力してｙ_j＝ｓ_j ^ej ｍｏｄ Ｎ_jを計算し、ｙ_j、ｃ_j、Ｎ_jを加減算手段１２５へ入力して、ｚ_j＝ｙ_j＋ｃ_j ｍｏｄ Ｎ_jを計算する。得られたｚ_jを、Ｌ、ｍと共にハッシュ手段１２６によりハッシュし、その結果をｃ_j+1とする。
【００１８】
図９の公開鍵種別リング接合手段では、Ｌ、ｃ_k 、ｋを入力とし、更に、入力秘密鍵に対応する公開鍵がＤの場合にはｗと秘密鍵ｘ_k を入力とし、Ｔの場合はｚ_kと秘密鍵ｄ_kを入力とする。先ず、公開鍵判別手段１３１により、入力秘密鍵に対応する公開鍵がＤとＴの何れであるかを判別する。Ｄの場合には、回答計算手段１３２によりｓ_k＝ｗ−ｃ_kｘ_k ｍｏｄ ｐ_kを計算する。Ｔの場合には、加減算手段１３３によりｙ_k＝ｚ_k−ｃ_k ｍｏｄ Ｎ_kを計算し、一方向性置換逆算計算手段１３４にｙ_kとｄ_k、Ｎ_kを入力してｓ_k＝ｙ_k ^dk ｍｏｄ Ｎ_kを計算する。
以上の手段により、文書ｍに対するリストＬ中の公開鍵による1-out-of-n署名が得られる。
【００１９】
次に、図１０を用いて署名検証手順の動作を説明する。図１０は図５に対応する図である。文書ｍ、公開鍵リストＬ、署名（ｃ₀,ｓ₀,ｓ₁,・・・・・・,ｓ_n-1）を入力とする。
先ず、ループ変数初期化手段１４１により、ｊ＝０に設定する。次に、図８の公開鍵種別連鎖処理手順に従って、順次、ｃ₁,・・・・・を計算する。最後のｃ_j+1をｃ_nとして出力し、ｃ₀と共に比較手段１５へ入力する。ｃ_nとｃ₀が一致する場合には、署名を合格とし、そうでなければ不合格とする。
【００２０】
【発明の効果】
以上の通りであって、この発明によれば、1-out-of-n署名に利用することができる公開鍵の種別を離散対数型、或いは一方向性置換型に限定することなく、両者が混在してもこれらを公開鍵判別手段を介して離散対数型の公開鍵であるか或いは一方向性置換型の公開鍵であるかを判別し、判別された種別に対応する処理を当該公開鍵に施して適切な1-out-of-n署名を生成し、なされた署名の署名を検証することができる。
そして、前段の出力値ｚ_jから後段のチャレンジｃ_j+1を計算するに際して、後段のチャレンジとして適切な出力域をもつハッシュ関数によりこれを圧縮計算することにより、後段で使用する公開鍵が離散対数型か一方向性関数型に関わらず適切な大きさのチャレンジを生成することができる。
【図面の簡単な説明】
【図１】署名手段の実施例を示す図。
【図２】公開鍵種別初期化手段を示す図。
【図３】公開鍵種別連鎖処理手段を示す図。
【図４】公開鍵種別リング接合手段を示す図。
【図５】署名検証手順の実施例を示す図。
【図６】実施例の署名手順の流れ図。
【図７】実施例の署名手順中の公開鍵種別初期化手順の流れ図。
【図８】実施例の署名手順中の公開鍵種別連鎖処理手順の流れ図。
【図９】実施例の署名手順中の公開鍵種別リング接合手順の流れ図。
【図１０】実施例の署名検証手順の流れ図。
【符号の説明】
１１ 公開鍵種別初期化手段 １１１ 公開鍵判別手段
１１２、１１２’乱数生成手段 １１３ 群要素計算手段
１１４ ハッシュ手段 １２ 公開鍵種別連鎖処理手段
１２１ 公開鍵判別手段 １２２、１２２’乱数生成手段
１２３ 検証値計算手段 １２４ 一方向性置換計算手段
１２５ 加減算手段 １２６ ハッシュ手段
１３ 公開鍵種別リング接合手段 １３１ 公開鍵判別手段
１３２ 回答計算手段 １３３ 加減算手段
１３４ 一方向性置換逆算計算手段 １４ ループ制御手段
１４１ ループ変数初期化手段 １４２ ループ変数更新手段
１４３ ループ終了判断手段 １５ 比較手段

Claims (2)

1. Ｇ_jを位数ｑ_jの可換群とし、ｘ∈Ｚ_qj に対してＧ_j（ｘ）はインデックスがｘであるようなＧ_jの元を表すものとし、秘密鍵ｘ_jに対してｙ_j＝Ｇ_j（ｘ_j）なるｙ_jおよびＧ_jを離散対数型公開鍵としｆ_jを、或る環Ｇ_j上の落とし戸付き一方向性置換関数とし、ｆ_j ^-1を、ｆ_jの逆算とし、ｆ_jを公開鍵とし、ｆ_j ^-1を一方向性置換型の秘密鍵とし、
   Ｌを、公開鍵（ｙ_j,Ｇ_j）或いは（ｆ_j,Ｇ_j）を合計ｎ個含む公開鍵のリストとし、リストに含まれる或る一つの公開鍵に対応する秘密鍵を使用して文書ｍに対する署名を生成する署名生成方法において、
   離散対数型の公開鍵における各Ｇ_jは、ｙ_jに対して、
   １.証明者はランダムなインデックスｗをＺ_qj から選んで、ｚ_j：＝Ｇ_j（ｗ）を検証者へ送り、
   ２.検証者はランダムなチャレンジｃ_jをＺ_qjから選んで、証明者へ送り、
   ３.証明者は回答ｓ_jを回答計算式ｓ_j＝Ｆ（ｗ,ｘ_j,ｃ_j,ｑ_j ）に沿って計算して検証者へ送り、
   ４.検証者は、検証値計算式Ｒ_j に対してｚ_j＝Ｒ_j（ｙ_j,ｓ_j,ｃ_j,Ｇ_j）が成り立つか否かを調べ、成り立つならば受理し、そうでなければ拒否する、
   なる３交信ゼロ知識証明が存在する群とし、
   二項演算ａ(+)_jｂとａ(-)_jｂはそれぞれＧ_j 上での加減算ａ＋ｂとａ−ｂの結果を表すものとし、ａ‖ｂはａとｂのビット結合演算とし、
   Ｈ_j を一方向性ハッシュ関数とし、Ｌ中のｊ番目の公開鍵が離散対数型の場合には出力域がＺ_qj であり、一方向性置換型の場合には出力域がＧ_jであるものとし、
   署名対象文書ｍ、公開鍵リストＬ、および、ｌに含まれるｎ個の公開鍵の内、或るｋ番目（但し、リスト中の公開鍵は番目０からｎ−１番目までとする）の公開鍵に対応する秘密鍵を入力とし、
   リスト中の公開鍵が離散対数型か一方向性置換型かを判別する公開鍵判別手段と、乱数生成手段と、群要素計算手段と、一方向性置換計算手段と、一方向性置換逆算手段と、加減算手段と、検証値計算手段と、回答計算手段と、ハッシュ手段と、
   ループ変数初期化手段、ループ変数更新手段、ループ終了判断手段とからなるループ制御手段とを備え、
   Step１ ・ Ｌのｋ番目（但し、リスト中の公開鍵は番目０からｎ−１番目までとする）の公開鍵が離散対数型の時は乱数生成手段によりＺ_qkからαを選び、群要素計算手段によりβ＝Ｇ_k（α）を計算し、
   ・Ｌのｋ番目の公開鍵が一方向性置換型の時はＧ_kから乱数βを選び、ハッシュ手段によりｃ_k+1＝Ｈ_k+1（Ｌ‖ｍ‖β）を計算するステップと、
   Step２ ｊ＝ｋ＋１,...,ｎ−１,０,....,ｋ−１について、
   ・Ｌのｊ番目の公開鍵が離散対数型のとき乱数生成手段によりｓ_j∈Ｚ_qjを生成し、検証値計算手段によりｚ_j＝Ｒ_j（ｓ_j,ｃ_j,ｙ_j,Ｇ_j）を計算し、
   ・Ｌのｊ番目の公開鍵が一方向性置換型のとき乱数生成手段によりｓ_j∈Ｇ_j を生成し、加減算手段によりｚ_j＝ｃ_j(+)_jｆ_j（ｓ_j）を計算し、ハッシュ手段によりｃ_{j+1 mod n}：＝Ｈ_{j+1 mod n}（Ｌ‖ｍ‖ｚ_j ）を計算するステップと、
   Step３ ・Ｌのｋ番目の公開鍵が離散対数型のとき回答計算手段によりｓ_k＝Ｆ_k（α,ｃ_k,ｘ_k,Ｇ_k）を計算し、
   ・Ｌのｋ番目の公開鍵が一方向性置換型のとき一方向性置換逆算手段によりｓ_k＝ｆ_k ^-1（β(-)_kｃ_k）を計算するステップと、
   Step４ ・署名（ｃ₀,ｓ₀,ｓ₁,......,ｓ_n-1）を出力するステップ、
   からなることを特徴とする署名生成方法。
2. 請求項１に記載される署名生成方法により生成された文書ｍ、公開鍵リストＬに対する署名（ｃ₀,ｓ₀,ｓ₁,......,ｓ_n-1）を検証する署名検証方法において、
   公開鍵判別手段と、一方向性置換計算手段と、加減算手段と、検証値計算手段と、ハッシュ手段と、
   ループ変数初期化手段、ループ変数更新手段、ループ終了判断手段とからなるループ制御手段とを備え、
   Step１ ループ変数初期化手段によりｊ＝０とし、ループ変数更新手段、ループ終了判断手段により、ｊ＝０,.....,ｎ−１について、
   ・Ｌのｊ番目の公開鍵が離散対数型のとき検証値計算手段によりｚ_j＝Ｒ_j（ｓ_j,ｃ_j,ｙ_j,Ｇ_j）を計算し、
   ・Ｌ のｊ番目の公開鍵が一方向性置換型のとき一方向性関数計算手段によりｆ_j（ｓ_j）を計算し、加減算手段によりｚ_j＝ｃ_j(+)_jｆ_j（ｓ_j）を計算し、ハッシュ手段によりｃ_j+1＝Ｈ_{j+1 mod n}（Ｌ‖ｍ‖ｚ_j ）を順次計算する手順を繰り返すステップと、
   Step２ ｃ_n、とｃ₀を比較手段により比較し、これらが等しいならば、署名を合格とし、そうでなければ不合格とするステップ、
   からなることを特徴とする署名検証方法。

Images