JP4018370B2 - Signature distribution system, program, and method - Google Patents

Description

【００１５】
第４の発明は、第３の発明において、前記受信用エンティティ装置のコンピュータに、
前記送信用エンティティ装置から受けた合計ｎ個の分散情報ｓ_iを用い、前記ｆ(ｚ_i)の関係に基づいて、デジタル署名の一部ｓ及びｎ−１個の乱数ｂ_jを前記署名算出部により計算する機能、前記送信用エンティティ装置から受けたデジタル署名の一部ｒ及び前記計算したデジタル署名の一部ｓからデジタル署名（ｒ，ｓ）を前記署名算出部により復元する機能、前記秘密鍵ｘに対応する公開鍵ｙを用い、前記復元したデジタル署名（ｒ，ｓ）の正当性をｒ^ｓ＝α^h(m)ｙ^r （ｍｏｄ ｐ）の関係に基づいて前記署名検証部により検証する機能、前記送信用エンティティ装置から受けたデジタル署名の一部ｒと前記計算した乱数ｂ_jとを用い、前記コミット値ｃ_jの正当性をｃ_j＝ｒ^{ｂ i}の関係に基づいて前記署名検証部により検証する機能、を実現させるための署名検証用プログラムである。
【００１６】
従って、以上のような各発明によれば、送信側エンティティ装置が、任意のメッセージｍを受信側エンティティ装置に提示した後に、メッセージｍに対する署名（ｒ，ｓ）自体ではなく、署名授受を保証するｎ個の分散情報ｓ_iを時系列的に個別に、受信側エンティティ装置に送信する。
【００１７】
一方、受信側エンティティ装置は、全て揃ったｎ個の分散情報ｓ_iに基づいて署名（ｒ，ｓ）を復元することにより、メッセージｍの保証を得る。
【００１８】
すなわち、デジタル署名を授受する際に、１回で署名全体を授受するのではなく、ｎ個の分散情報を段階的に授受することにより、最終的にデジタル署名（ｒ，ｓ）を授受している。従って、各当事者をいずれも不利な状況にせず、公平な処理を実現させることができる。
【００１９】
なお、以上のような各発明は「システム」又は「プログラム」として表現したが、これに限らず、「装置」、「方法」、「コンピュータ読取り可能な記憶媒体」といった他の名称やカテゴリーで表現してもよい。
【００２０】
【発明の実施の形態】
以下、本発明の各実施形態について図面を用いて説明する。なお、各実施形態の概略は、委託者側（第三者を含んでもよい）が、任意のメッセージｍを受託者に委託する際に、メッセージｍに対するデジタル署名（ｒ，ｓ）自体ではなく、署名授受を保証するｎ個の分散情報ｓ_iを委託内容の遂行前後で時系列的に個別に、受託者に送るというものである。また、受託者は、委託内容の遂行後、揃ったｎ個の分散情報ｓ_iに基づいて署名（ｒ，ｓ）を復元することにより、メッセージｍの保証を得る。
【００２１】
ここで、第１〜第１１の実施形態は、図３６に示すように、委託者側及び受託者のうち、委託者側の主な５つの機能において、委託者と第三者との機能分担を代えた内容となっている。この種の第三者は、分担した機能に関して、委託者の負荷を低減させる一方、受託者から見た信用度を高める役割をもつ。また図示するように、第三者のうち、署名発行機能をもつ者を第三者Ａとも呼び、その他の者を第三者Ｂとも呼ぶ。
【００２２】
また、第１〜第１１の実施形態では、デジタル署名（ｒ，ｓ）の一部ｓに対する分散情報（以下、署名分散値という）の個数ｎをｎ＝２としている。第１２の実施形態では、この個数ｎを任意の複数個に拡張している。
【００２３】
さて、各実施形態で使用する各種パラメータと記号は以下の通りである。
【００２４】
ｐ，ｑ：十分に大きな素数でｐ＝ｗ＊ｑ＋１の関係式を満たす（但し、ｗは２以上の任意の自然数）。
α：乗法群Ｚp^＊での位数がｑとなるような原始元。
ｘ：署名用秘密鍵。
ｙ：検証用公開鍵（ｙ＝α^ｘ（ｍｏｄ ｐ）を満たす）。
ｍ：署名対象となるメッセージ。
（ｒ，ｓ）：メッセージｍに対するデジタル署名（以下、署名ともいう）。
ｒ：署名の一部で、ｋのコミット値（ｒ＝α^ｋ（ｍｏｄ ｐ）を満たす）。
ｓ：署名の一部で、ｋ^-1｛ｈ(ｍ)＋ｘ・ｒ｝（ｍｏｄ ｑ） の値。
ｋ：署名の秘密乱数。
ｈ(ｍ)：メッセージｍのハッシュ値。
ｆ(ｚ):初項ｓのｎ−１次多項式。
ｚ_i：多項式ｆ(ｚ)の引数（０≦ｉ≦ｎ−１）。
ｓ_i：署名の一部ｓの署名分散値（分散情報）で、関数値ｆ(ｚ_i)。
【００２５】
ここで、各パラメータのうち、素数ｐ，ｑ，原始元α，検証用公開鍵ｙは、予めシステムパラメータとして委託者、第三者及び受託者に共有されている。
引数ｚ_iは、受託者による最初の署名分散値ｓ₀の正当性検証よりも前に受託者に配布されるが、システムパラメータと同様に委託者、第三者及び受託者で予め共有してもよい。
【００２６】
（第１の実施形態）
図１は本発明の第１の実施形態に係る署名分散システムの概略構成を示す模式図である。この署名分散システムは、委託者装置１０及び受託者装置２０からなり、図１に「署名者に限定なし」として示したように、署名（ｒ，ｓ）を発行する機能を、委託者装置１０又は第三者装置（図示せず）のいずれが有してもよい構成となっている。
【００２７】
図２は係る署名分散システムの構成を具体的に示す機能ブロック図である。この署名分散システムは、委託者装置１０及び受託者装置２０を備えており、各装置１０，２０はそれぞれハードウェア、ソフトウェア又はその組合せにより構成可能となっている。ここで、各装置１０，２０がソフトウェアにより構成される場合、後述する各機能を実現させるための署名分散／検証用プログラムが予め各装置１０，２０のコンピュータにインストールされている。なお、ハードウェア及び／又はソフトウェアにより各装置を個別に構成可能な旨の説明は、以下の各実施形態の全ての装置（第三者装置を含む）にも適用される。
【００２８】
ここで、委託者装置１０は、委託内容管理部１１、委託者署名管理部１２、署名分散値生成部１３、コミット値計算部１４及び多項式生成部１５を備えている。
【００２９】
委託内容管理部１１は、委託者が受託者に委託する内容（以下、委託内容という）を管理する機能と、委託内容を受託者装置２０に提示する機能と、受託者装置２０から受けた委託意志を確認する機能と、受託意志に従って分散署名の生成要求を委託者署名管理部１２に送出する機能と、委託の際に委託者署名管理部１２から受けた署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを受託者装置２０に送信する機能と、受託者装置２０から受けた処理の遂行結果（以下、処理結果ともいう）又は処理完了通知を審査する機能と、この審査結果に従って委託者署名管理部１２から受けた署名分散値ｓ₁を受託者装置２０に送信する機能と、受託者装置２０から送信された署名受領通知を確認する機能とをもっている。
【００３０】
委託者署名管理部１２は、署名（ｒ，ｓ）を管理する機能と、委託内容管理部１１から受けた分散署名生成要求に基づいて多項式生成部１５に多項式生成要求を送出する機能と、コミット値計算部１４より受けたコミット値ｃ及び署名分散値生成部１３より受けた署名分散値ｓ₀，ｓ₁を保存する機能と、委託の際に署名の一部ｒ、一方の署名分散値ｓ₀及びコミット値ｃを委託内容管理部１１に送信する機能と、委託内容管理部１１の審査結果に従って要求された他方の署名分散値ｓ₁を委託内容管理部１１に送出する機能とをもっている。
【００３１】
署名分散値生成部１３は、多項式生成部１５から受けた多項式ｆ(ｚ)に引数ｚ_iを入力して関数値ｆ(ｚ_i)である署名分散値ｓ_iを生成する機能と、生成した署名分散値ｓ_iを委託者署名管理部１２に送出する機能とをもっている。
【００３２】
コミット値計算部１４は、多項式生成部１５から受けた乱数ｂと署名の一部ｒとに基づいてコミット値ｃ（＝ｒ^ｂ（ｍｏｄ ｐ））を計算する機能と、計算したコミット値ｃを委託者署名管理部１２に送出する機能とをもっている。
【００３３】
多項式生成部１５は、委託者署名管理部１２から受けた多項式生成要求に従って署名（ｒ，ｓ）を用いて多項式ｆ(ｚ)（＝ｓ＋ｂ・ｚ（ｍｏｄ ｑ））を生成する機能と、多項式生成の際に選択した乱数ｂと署名の一部ｒをコミット値計算部１４に送出する機能と、生成した多項式ｆ(ｚ)を署名分散値生成部１３に送出する機能とをもっている。
【００３４】
受託者装置２０は、受託内容処理部２１、受託内容管理部２２、受託者署名管理部２３、署名分散値検証部２４、署名算出部２５及び署名検証部２６を備えている。
【００３５】
受託内容処理部２１は、受託内容管理部２２より受けた受託内容に従って処理を遂行する機能と、その処理の遂行結果（処理結果）を受託内容管理部２２に送出する機能とをもっている。
【００３６】
受託内容管理部２２は、委託者装置１０より受けた受託内容に対して受託意志を委託者装置１０に送信する機能と、受託内容を受託内容処理部２１に送出する機能と、委託者装置１０から受けた署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを受託者署名管理部２３に送出する機能と、受託者署名管理部２３から受けた署名分散値ｓ₀の検証結果に基づいて受託内容処理部２１に委託内容の処理を要求する機能と、受託内容処理部２１より受けた処理結果に基づいて受託内容に対する処理結果又は処理完了通知を委託者装置１０に送信する機能と、委託者装置１０から受けた署名分散値ｓ₁を受託者署名管理部２３に送出する機能と、受託者署名管理部２３より受けた署名（ｒ，ｓ）及びコミット値ｃの各々の検証結果に応じて署名受領通知を委託者装置１０に送信する機能とをもっている。
【００３７】
受託者署名管理部２３は、受託内容管理部２２から受けた署名の一部ｒ、署名分散値ｓ₀，ｓ₁及びコミット値ｃを保存する機能と、保存する署名の一部ｒ、署名分散値ｓ₀（又はｓ₁）及びコミット値ｃを署名分散値検証部２４に送出して検証を要求する機能と、署名分散値検証部２４から受けた署名分散値ｓ₀（又はｓ₁）の検証結果を受託内容管理部２２に通知する機能と、保存する署名の一部ｒ、署名分散値ｓ₀，ｓ₁及びコミット値ｃを署名算出部２５に送出する機能と、署名検証部２６から受けた署名（ｒ，ｓ）及びコミット値ｃの各々の検証結果を受託内容管理部２２に通知する機能とをもっている。
【００３８】
署名分散値検証部２４は、受託者署名管理部２３から受けた署名の一部ｒ、署名分散値ｓ₀（又はｓ₁）及びコミット値ｃを用いて署名分散値ｓ₀（又はｓ₁）の正当性を検証する機能と、署名分散値ｓ₀（又はｓ₁）の検証結果を受託者署名管理部２３に通知する機能とをもっている。
【００３９】
署名算出部２５は、受託者署名管理部２３から受けた署名の一部ｒ、署名分散値ｓ₀，ｓ₁及びコミット値ｃから署名の一部ｓ及び乱数ｂを算出する機能と、算出により得られた署名（ｒ，ｓ）及びコミット値ｃを署名検証部２６に送信する機能と、算出により得られた署名（ｒ，ｓ）を受託者署名管理部２３に送信する機能とをもっている。
【００４０】
署名検証部２６は、署名算出部２５から受けた署名（ｒ，ｓ）及びコミット値ｃの正当性を検証する機能と、この検証結果を受託者署名管理部２３に通知する機能とをもっている。
【００４１】
次に、以上のように構成された署名分散システムの動作を図３のフローチャートを用いて説明する。
【００４２】
まず、委託者装置１０は、署名対象メッセージｍと、メッセージｍへの署名（ｒ，ｓ）とを持っている。各パラメータは以下のような関係式（１），（２）を満たしている。
【００４３】
ｒ＝α^ｋ（ｍｏｄ ｐ） …（１）
ｓ＝ｋ^-1｛ｈ（ｍ）＋ｘ・ｒ｝（ｍｏｄ ｑ） …（２）
ここで、署名（ｒ，ｓ）は、関係式（１），（２）を満たすものであれば、メッセージｍの内容や署名者が誰であるのかに制限が無い。例えば、このメッセージｍと署名（ｒ，ｓ）の対が電子現金を表してもよく、又は土地の権利書や免許証を表してもよい。なお、メッセージｍと署名（ｒ，ｓ）の対が電子現金の場合には、署名分散システムが適用された電子商取引システムが実現され、メッセージｍと署名（ｒ，ｓ）の対が権利書や免許証の場合には、署名分散システムが電子契約システムや電子政府システムが実現される。これら各電子処理システムは一例であり、任意のメッセージｍの内容に対応して任意の電子処理システムを実現可能となっている。
【００４４】
また、署名（ｒ，ｓ）の発行者は、委託者装置１０としてもよく、図示しない第三者装置としてもよい。委託者装置１０が発行者の場合、ｘが委託者装置１０の署名用秘密鍵となり、ｙが委託者装置１０の検証用公開鍵となる。また、引数ｚ₀及びｚ₁は、委託者装置１０と受託者装置２０とで共有された情報とするが、次のステップＳＴ１にて送信するようにしてもよい。
【００４５】
図３に示すように、委託者装置１０では、委託者の操作により、委託者内容管理部１１が委託内容を受託者装置２０に送信する（ＳＴ１）。なお、委託内容はメッセージｍを含んでもよく、また、署名の一部ｒを含んでもよい。
【００４６】
受託者装置２０では、受けた委託内容を受託するか否かの受託意志（肯定又は否定）を受託内容管理部２２から委託者装置１０に送信する（ＳＴ２）。ここで、受託意志は、受託者によりその都度判断された内容で送信されてもよいし、エラーやビジー等の異常の無い限りは全件受託する旨の設定により人間系の判断を介さずに送信されてもよい。
【００４７】
委託者装置１０では、委託内容管理部１１がこの受託意志を確認し（ＳＴ３）、受託意志が否定であると処理を終了し、受託意志が肯定であると、分散署名の生成要求を委託者署名管理部１２に送出する。
【００４８】
委託者署名管理部１２は、この生成要求を受けると、多項式生成要求及び署名（ｒ，ｓ）を多項式生成部１５に送出する。
【００４９】
多項式生成部１５は、この多項式生成要求に従い、乗法群Ｚｑ^＊から任意の乱数ｂを選択し（ｂ∈Ｚｑ^＊）、次式（３）に示すように多項式ｆ(ｚ)を生成する（ＳＴ４）。
【００５０】
ｆ(ｚ)＝ｓ+ ｂ・ｚ（ｍｏｄ ｑ） …（３）
しかる後、多項式生成部１５は、生成の際に、選択した乱数ｂと署名の一部ｒをコミット値計算部１４に送出すると共に、生成した多項式ｆ(ｚ)を署名分散値生成部１３に送出する。
【００５１】
コミット値計算部１４は、この乱数ｂと署名の一部ｒを用いて次式（４）に示すようにコミット値ｃを計算し（ＳＴ５）、このコミット値ｃを委託者署名管理部１２に送出する。
【００５２】
ｃ＝ｒ^ｂ（ｍｏｄ ｐ） …（４）
一方、署名分散値生成部１３は、前述した式（３）に対し、予め各装置１０，２０間で共有された引数ｚ₀，ｚ₁を用いて、次式（３−０），（３−１）に示すように２つの署名分散値ｓ₀，ｓ₁を計算し（ＳＴ６）、得られた署名分散値ｓ₀，ｓ₁を委託者署名管理部１２に送出する。
【００５３】
ｓ₀＝ｆ(ｚ₀)＝ｓ+ ｂ・ｚ₀ （ｍｏｄ ｑ） …（３−０）
ｓ₁＝ｆ(ｚ₁)＝ｓ+ ｂ・ｚ₁ （ｍｏｄ ｑ） …（３−１）
委託者署名管理部１２は、署名の一部ｒ、一方の署名分散値ｓ₀及びコミット値ｃを委託内容管理部１１に送出し、委託内容管理部１１は、これらの各データｒ，ｓ₀，ｃを受託者装置２０に送信する。
【００５４】
受託者装置２０においては、受託内容管理部２２が、受信した署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを受託者署名管理部２３に送出する。受託者署名管理部２３は、これらを保存し、署名分散値検証部２４にコミット値ｃと署名分散値ｓ₀を送信して、署名分散値ｓ₀の正当性検証を要求する。
【００５５】
署名分散値検証部２４は、署名分散値ｓ₀、コミット値ｃ及び署名の一部ｒを用いて、署名分散値ｓ₀の正当性を次の検証式（５−０）により検証し（ＳＴ７）、検証結果を受託者署名管理部２３を介して受託内容管理部２２に通知する。
【００５６】
【数４】

【００５７】
受託内容管理部２２は、通知された署名分散値ｓ₀の検証結果が正当性を示すとき、受託内容及びその処理要求を受託内容処理部２１に送出する。
【００５８】
受託内容処理部２１は、受託内容及びその処理要求に基づいて、受託内容の遂行処理を実行し（ＳＴ８）、処理結果を受託内容管理部２２に送出する。
【００５９】
受託内容管理部２２は、処理結果の内容に基づいて、処理結果（例、補足説明を要するとき）又は処理完了通知（例、成功／失敗など）を委託者装置１０に送信するための送信処理を実行する。
【００６０】
処理結果又は処理完了通知の送信処理としては、郵便、宅配便又は定期便（例、社内便）等で配布される紙媒体（例、葉書、封書等）の印字出力処理、インターネットのメール送信処理、ＦＡＸ送信処理、電話通信処理（音声案内処理又は制御コード送信など）、あるいはそれら各処理の組合せ処理のいずれでもよい。また、インターネット、ＦＡＸ又は電話等を用いる場合の通信方式は有線又は無線のいずれでもよい。また、処理結果を事前審査する第三者機関装置を介在させてもよく、この場合、処理結果や処理完了通知を同装置経由で送信してもよい。
【００６１】
委託者装置１０においては、委託内容管理部１１が、受けた処理結果又は委託内容完了通知を審査し（ＳＴ９）、正当と判断した場合のみ、他方の署名分散値ｓ₁を委託者署名管理部１２に要求し、得られた署名分散値ｓ₁を受託者装置２０に送信する。
【００６２】
ここで、審査は、委託者によりその都度判断された内容で実行されてもよいし（例、送信処理が紙媒体、ＦＡＸ又は電話を用いる場合）、予め設定された内容に基づいて人間系の判断を介さずに実行されてもよい（例、送信処理がメール、ＦＡＸ又は電話を用いる場合）。
【００６３】
なお、ＦＡＸ及び電話は、いずれにも該当するが、例えばＦＡＸの紙出力又は電話の音声案内の場合には委託者により判断され、ＦＡＸ又は電話の通信内容が文字コードや制御コード等で蓄積保存される場合には委託者又は設定内容により判断される。
【００６４】
一方、受託者装置２０においては、受託内容管理部２２が、受けた署名分散値ｓ₁を受託者署名管理部２３に送出する。受託者署名管理部２３は、この署名分散値ｓ₁を署名分散値検証部２４に送出し、署名分散値ｓ₁の正当性の検証を要求する。
【００６５】
署名分散値検証部２４は、署名分散値ｓ₁の正当性を次の検証式（５−１）により検証し（ＳＴ１０）、検証結果を受託者署名管理部２３に返信する。
【００６６】
【数５】

【００６７】
受託者署名管理部２３は、受けた署名分散値の検証結果が正当である場合に、コミット値ｃ、署名の一部ｒ、署名分散値ｓ₀，ｓ₁を署名算出部２５に送信する。
【００６８】
署名算出部２５は、２つの署名分散値ｓ₀，ｓ₁から２つの式（３−０），（３−１）を用いて署名の一部ｓ及び乱数ｂを計算し（ＳＴ１１）、署名の一部ｓ及び乱数ｂを受託者署名管理部２３及び署名検証部２６に送出する。
【００６９】
署名検証部２６は、署名の一部ｓ及び乱数ｂを受けると、次の検証式（６）により署名（ｒ，ｓ）の正当性を検証すると共に、前述した式（４）によりコミット値ｃの正当性を検証し（ＳＴ１２）、各々の検証結果を受託者署名管理部２３に送出する。
【００７０】
ｒ^s＝α^h(m)ｙ^r （ｍｏｄ ｐ） …（６）
なお、署名（ｒ，ｓ）の検証の際に、検証式（６）に代えて、（ｒ，ｓ，ｈ（ｍ））を用いたＤＳＡ（digital signature algorithm）の次の検証式（７）を適用してもよい。
【００７１】
【数６】

【００７２】
受託者署名管理部２３は、署名（ｒ，ｓ）とコミット値ｃの各々の検証結果を受託内容管理部２２に送出する。受託内容管理部２２は、これらの検証結果に基づいて、署名受領通知を委託者装置１０に送信する。
【００７３】
委託者装置１０では、委託内容管理部１１がこの署名受領通知を確認し（ＳＴ１３）、署名授受に関する処理を終了する。
【００７４】
上述したように本実施形態によれば、委託者装置１０が、任意のメッセージｍを受託者装置２０に提示した後に、メッセージｍに対する署名（ｒ，ｓ）自体ではなく、署名授受を保証するｎ個の分散情報ｓ_iを時系列的に個別に、受託者装置２０に送信する。
【００７５】
一方、受託者装置２０は、全て揃ったｎ個の分散情報ｓ_iに基づいて署名（ｒ，ｓ）を復元することにより、メッセージｍの保証を得る。
【００７６】
すなわち、デジタル署名を授受する際に、１回で署名全体を授受するのではなく、ｎ個の分散情報を段階的に授受することにより、最終的にデジタル署名（ｒ，ｓ）を授受している。従って、各当事者をいずれも不利な状況にせず、公平な処理を実現させることができる。
【００７７】
（第２の実施形態）
図４は本発明の第２の実施形態に係る署名分散システムの概略構成を示す模式図であり、図５は同システムの構成を具体的に示す機能ブロック図であって、図１及び図２と同一又はほぼ同一機能の部分には同一符号を付し、機能を変更した部分にはアルファベットの添字を付して重複する機能の説明を省略し、ここでは異なる機能について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。
【００７８】
すなわち、本実施形態は、署名者に限定が無い第１の実施形態の変形例であり、図３６にも示したように、署名（ｒ，ｓ）を発行する機能を委託者装置１０が有する構成となっている。
【００７９】
具体的には図５に示すように、委託者装置１０ａは、前述した各部１１〜１５に加え、署名生成部１６を備えている。
これに伴い、委託者署名管理部１２ａは、前述した同部１２の機能に加え、委託内容管理部１１から受けた分散署名の生成要求に基づいて、署名生成部１６に署名生成要求を送出する機能と、署名生成部１６から受けた署名（ｒ，ｓ）を管理する機能とが付加されている。
【００８０】
署名生成部１６は、委託者署名管理部１２ａから受けた署名生成要求に基づいて署名（ｒ，ｓ）を生成する機能と、生成した署名（ｒ，ｓ）を委託者署名管理部１２に送出する機能とをもっている。
【００８１】
次に、以上のように構成された署名分散システムの動作を図６のフローチャートを用いて説明する。
【００８２】
始めに、署名（ｒ，ｓ）は未だ生成されていない状態にある。
ここで、委託内容を受託者装置２０に送信するステップＳＴ１から、受託意志を確認するＳＴ３までの処理は、前述同様に実行される。
【００８３】
すなわち、委託内容管理部１１は、ステップＳＴ３にて受託意志を確認し、受託意志が否定であると処理を終了し、受託意志が肯定であると、分散署名の生成要求を委託者署名管理部１２ａに送出する。
【００８４】
次に、委託者署名管理部１２ａは、分散署名の生成要求を受けると、前述とは異なり、署名生成部１６に署名生成要求を送出する。
【００８５】
署名生成部１６は、この署名生成要求に従い、乗法群Ｚｑ^＊から任意の乱数ｋを選択し（ｋ∈Ｚｑ^＊）、メッセージｍに対して、前述した式（１），（２）を満たす署名（ｒ，ｓ）を計算し（ＳＴ３−２）、この署名（ｒ，ｓ）を委託者署名管理部１２ａに送出する。
委託者署名管理部１２ａは、この署名（ｒ，ｓ）を保存した後、多項式生成要求及び署名（ｒ，ｓ）を多項式生成部１５に送出する。
【００８６】
以下、前述同様に、ステップＳＴ４の多項式生成からステップＳＴ１３の署名受領通知の確認までの処理が実行される。
【００８７】
上述したように本実施形態によれば、第１の実施形態の効果に加え、委託者装置１０が委託側の全ての処理を実行するので、委託者が委託側の全ての処理を管理することができる。
また、受託意志を受けてから署名（ｒ，ｓ）を生成するので、第１の実施形態よりもメッセージｍの内容を自由に決めることができる。これは以下の各実施形態も同様である。
【００８８】
（第３の実施形態）
図７は本発明の第３の実施形態に係る署名分散システムの概略構成を示す模式図であり、図８は同システムの構成を具体的に示す機能ブロック図である。
【００８９】
本実施形態は、署名者を委託者に限定した第２の実施形態の変形例であり、委託者側に第三者装置３０ｂを設け、図３６にも示したように、委託者側の主な５つの機能のうち、受託者の遂行内容の審査機能と、署名分散値ｓ₁の配布機能とを第三者装置３０ｂに委託した構成となっている。
【００９０】
これに伴い、委託者装置１０ｂは、委託内容管理部１１ｂが第三者装置３０ｂ宛の送信機能が付加されたものとなっている。
【００９１】
具体的には、委託内容管理部１１ｂは、前述した同部１１の機能に関し、委託の際に委託者署名管理部１２ｂから署名の一部ｒ、署名分散値ｓ₁及びコミット値ｃを受けてこれらを委託内容と併せて第三者装置３０ｂに送信する機能が付加される一方、処理結果又は処理完了通知を審査する機能と審査結果に従って署名分散値ｓ₁を受託者装置２０に送信する機能とが省略されている。
【００９２】
また、委託者署名管理部１２ｂは、前述した同部１２ａの機能に関し、委託内容管理部１１の審査結果に従って署名分散値ｓ₁を送出する機能が省略される一方、この署名分散値ｓ₁を委託の際に各データｒ，ｓ₀，ｃと共に委託内容管理部１１ｂに送出する機能を有するものとなっている。
【００９３】
一方、受託者装置２０ｂは、第三者装置３０ｂの付加に伴い、受託内容管理部２２ｂが、第三者装置３０ｂに対する送受信機能が付加されたものとなっている。
【００９４】
具体的には、受託内容管理部２２ｂは、前述した同部２２の機能に関し、処理結果又は処理完了通知の送信機能と署名分散値ｓ₁の受信機能とが第三者装置３０ｂを通信相手として実行される構成になっている。
【００９５】
また一方、第三者装置３０ｂは、審査内容管理部３１、第三者署名管理部３２及び第三者署名分散値検証部３３を備えている。
【００９６】
審査内容管理部３１は、委託者装置１０ｂから受けた委託内容を管理する機能と、委託者装置１０ｂから受けた署名の一部ｒ、署名分散値ｓ₁及びコミット値ｃを第三者署名管理部３２に送出する機能と、受託者装置２０ｂから受けた処理結果又は処理完了通知を審査する機能と、この審査結果に従って第三者署名管理部３２から受けた署名分散値ｓ₁を受託者装置２０ｂに送信する機能とをもっている。
【００９７】
第三者署名管理部３２は、審査内容管理部３１から受けた署名の一部ｒ、署名分散値ｓ₁及びコミット値ｃを管理する機能と、署名の一部ｒ、署名分散値ｓ₁及びコミット値ｃを第三者署名分散値検証部３３に送出して検証を要求する機能と、第三者署名分散値検証部３３から受けた署名分散値ｓ₁の検証結果を管理する機能と、審査内容管理部３１の審査結果に従って要求された署名分散値ｓ₁を審査内容管理部３１に送出する機能とをもっている。
【００９８】
第三者署名分散値検証部３３は、第三者署名管理部３２から受けた署名の一部ｒ、署名分散値ｓ₁及びコミット値ｃに基づいて署名分散値ｓ₁の正当性を検証する機能と、検証結果を第三者署名管理部３２に送出する機能とをもっている。
【００９９】
次に、以上のように構成された署名分散システムの動作を図９のフローチャートを用いて説明する。
【０１００】
始めに、委託内容を受託者装置に送信するステップＳＴ１から、署名分散値ｓ₀，ｓ₁を算出するステップＳＴ６までは、第２の実施形態と同様に実行される。なお、引数ｚ₀，ｚ₁等は各装置１０ｂ，２０ｂ及び３０ｂで共有されている。
【０１０１】
次に、委託者装置１０ｂにおいては、ステップＳＴ６を実行した委託者署名管理部１２ｂが、署名の一部ｒ、２つの署名分散値ｓ₀，ｓ₁及びコミット値ｃを委託内容管理部１１ｂに送出する。
【０１０２】
委託内容管理部１１ｂは、各データｒ，ｓ₀，ｓ₁，ｃを受けると、署名の一部ｒ、他方の署名分散値ｓ₁及びコミット値ｃを第三者装置３０ｂに送信する。
【０１０３】
第三者装置３０ｂでは、審査内容管理部３１が署名の一部ｒ、署名分散値ｓ₁及びコミット値ｃを第三者署名管理部３２に送出し、委託内容を保存する。
【０１０４】
第三者署名管理部３２は、署名の一部ｒ、署名分散値ｓ₁及びコミット値ｃを第三者署名分散値検証部３３に送出して検証を要求する。
【０１０５】
第三者署名分散値検証部３３は、署名の一部ｒ、署名分散値ｓ₁及びコミット値ｃに基づいて署名分散値ｓ₁の正当性を検証し（ＳＴ１０ｔ）、検証結果を第三者署名管理部３２に送出する。
【０１０６】
三者署名管理部３２は、この検証結果を管理する。
【０１０７】
続いて、委託者装置１０ｂでは、委託内容管理部１１ｂが前述同様に各データｒ，ｓ₀，ｃを受託者装置２０ｂに送信する。
【０１０８】
受託者装置２０ｂでは、前述同様にステップＳＴ７〜ＳＴ８が実行された後、前述とは異なり、処理結果又は処理完了通知が第三者装置３０ｂに送信される。
【０１０９】
第三者装置３０ｂでは、審査内容管理部３１が、受けた処理結果又は処理完了通知を審査し（ＳＴ９ｔ）、正当と判断した場合のみ、他方の署名分散値ｓ₁を第三者署名管理部３２に要求し、得られた署名分散値ｓ₁を受託者装置２０ｂに送信する。
【０１１０】
以下、前述同様に、ステップＳＴ１０の署名分散値ｓ₁の正当性検証からステップＳＴ１３の署名受領通知の確認までの処理が実行される。
【０１１１】
上述したように本実施形態によれば、第２の実施形態の効果に加え、第三者装置３０ｂが分担した審査機能と署名分散値ｓ₁の配布機能とに関して、委託者装置１０ｂの負荷を低減させる一方、受託者から見た信用度を高めることができる。
【０１１２】
（第４の実施形態）
図１０は本発明の第４の実施形態に係る署名分散システムの概略構成を示す模式図であり、図１１は同システムの構成を具体的に示す機能ブロック図である。
【０１１３】
本実施形態は、第３の実施形態の変形例であり、第三者装置３０ｂの権限を拡張した第三者装置３０ｃを設け、図３６にも示したように、委託者側の主な５つの機能のうち、前述した審査機能とｓ_１の配布機能とに加え、署名分散値ｓ₀，ｓ₁を算出する機能と、署名分散値ｓ₀を配布する機能とをも第三者装置３０ｃに委託した構成となっている。
【０１１４】
これに伴い、委託者装置１０ｃは、委託者署名管理部１２ｂが省略されると共に、他の各部１３〜１５が第三者装置３０ｃに配置され、機能が若干変形された委託内容管理部１１ｃ及び署名生成部１６ｃを備えた構成となっている。
【０１１５】
ここで、委託内容管理部１１ｃは、委託する内容を管理する機能と、委託内容を受託者装置２０ｃに提示する機能と、受託者装置２０ｃから受けた委託意志を確認する機能と、受託意志に従って署名生成部１ｃに署名の生成要求を行う機能と、署名生成部１６ｃから受けた署名（ｒ，ｓ）を保存する一方、委託内容と署名（ｒ，ｓ）とを第三者装置３０ｃに送信する機能と、受託者装置２０ｃから送られた署名受領通知を確認する機能とをもっている。
【０１１６】
署名生成部１６ｃは、委託内容管理部１１ｃからの署名生成要求に従い、署名（ｒ，ｓ）を生成する機能と、生成した署名（ｒ，ｓ）を委託内容管理部１１ｃに送信する機能とをもっている。
【０１１７】
一方、受託者装置２０ｃは、前述した受託内容管理部２２ｂに代えて、この受託内容管理部２２ｂの機能に関し、署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを第三者装置３０ｃから受信するようにした受託内容管理部２２ｂを備えている。
【０１１８】
また一方、第三者装置３０ｃは、審査内容管理部３１ｃ、第三者署名管理部３２ｃ、署名分散値生成部１３ｔｃ、コミット値計算部１４ｔｃ、多項式生成部１５ｔｃ及び第三者署名検証部３４を備えている。
【０１１９】
審査内容管理部３１ｃは、委託者装置１０ｃから受けた委託内容を管理する機能と、委託者装置１０ｃから受けた署名を第三者署名管理部３２ｃに送出して署名分散値ｓ₀，ｓ₁の生成を要求する機能と、第三者署名管理部３２ｃから受けた署名の一部ｒ、署名分散値ｓ₀（又はｓ₁）及びコミット値ｃを受託者装置２０ｃに送信する機能と、受託者装置２０ｃから受けた処理結果又は処理完了通知を審査する機能と、この審査結果に従って第三者署名管理部３２ｃから受けた署名分散値ｓ_１を受託者装置２０ｃに送信する機能とをもっている。
【０１２０】
第三者署名管理部３２ｃは、審査内容管理部３１ｃから受けた署名（ｒ，ｓ）を管理する機能と、署名（ｒ，ｓ）を第三者署名検証部３４に送出して検証を要求する機能と、審査内容管理部３１ｃから受けた署名分散値の生成要求に基づいて多項式生成部１５ｔｃに多項式の生成を要求する機能と、コミット値計算部１４ｔｃから受けたコミット値ｃ及び署名分散値生成部１３ｔｃから受けた署名分散値ｓ₀，ｓ₁を保存する機能と、管理する署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを審査内容管理部３１ｃに送出する機能と、審査内容管理部３１ｃの審査結果に従って要求された署名分散値ｓ₁を審査内容管理部に送出する機能とをもっている。
【０１２１】
署名分散値生成部１３ｔｃは、前述した同部１３が第三者装置３０ｃに配置されたものであり、同部１３の機能に関し、生成した署名分散値ｓ_iの送出先を第三者署名管理部３２ｃとしたものである。
【０１２２】
コミット値計算部１４ｔｃは、前述した同部１４が第三者装置３０ｃに配置されたものであり、同部１４の機能に関し、計算したコミット値ｃの送出先を第三者署名管理部３２ｃとしたものである。
【０１２３】
多項式生成部１５ｔｃは、前述した同部１５が第三者装置３０ｃに配置されたものであり、同部１５の機能に関し、多項式生成の要求元を第三者署名管理部３２ｃとしたものである。
【０１２４】
第三者署名検証部３４は、第三者署名管理部３２ｃから受けた署名（ｒ，ｓ）の正当性を検証する機能と、検証結果を第三者署名管理部３２ｃに送出する機能とをもっている。
【０１２５】
次に、以上のように構成された署名分散システムの動作を図１２のフローチャートを用いて説明する。
【０１２６】
始めに、委託内容を受託者装置に送信するステップＳＴ１から、署名（ｒ，ｓ）を算出するステップＳＴ３−２までは、第３（又は第２）の実施形態と同様に実行される。
【０１２７】
続いて、委託内容管理部１１ｃは、署名生成部１６ｃから受けた署名（ｒ，ｓ）を保存する一方、委託内容と署名（ｒ，ｓ）とを第三者装置３０ｃに送信する。
【０１２８】
第三者装置３０ｃでは、審査内容管理部３１ｃがこの署名（ｒ，ｓ）を第三者署名管理部３２ｃに送出して署名分散値ｓ₀，ｓ₁の生成を要求し、委託内容を管理する。
【０１２９】
第三者署名管理部３２ｃは、署名（ｒ，ｓ）を第三者署名検証部３４へ送信し、署名（ｒ，ｓ）の検証を要求する。
【０１３０】
第三者署名検証部３４は、署名（ｒ，ｓ）の正当性を検証し、検証結果を第三者署名管理部３２ｃに送出する。
【０１３１】
第三者署名管理部３２ｃは、検証結果が署名（ｒ，ｓ）の正当性を示す場合に限り、多項式生成要求及び署名（ｒ，ｓ）を多項式生成部１５ｔｃに送出する。
【０１３２】
ここで、前述したステップＳＴ４〜ＳＴ６と同様に、多項式を生成するステップＳＴ４ｔから、署名分散値ｓ₀，ｓ₁を算出するステップＳＴ６ｔまでが実行される。
【０１３３】
しかる後、第三者署名管理部３２ｃは、署名の一部ｒ、一方の署名分散値ｓ₀及びコミット値ｃを審査内容管理部３１ｃに送出し、審査内容管理部３１ｃは、これらの各データｒ，ｓ₀，ｃを受託者装置２０ｃに送信する。
【０１３４】
以下、ステップＳＴ７の署名分散値ｓ₀の正当性検証からステップＳＴ１３の署名受領通知の確認までの処理が第３の実施形態と同様に実行される。
【０１３５】
上述したように本実施形態によれば、第３の実施形態の効果に加え、第三者装置３０ｃが分担した署名分散値ｓ₀の算出機能と配布機能とに関して、委託者装置１０ｃの負荷を低減させる一方、受託者から見た信用度を高めることができる。
【０１３６】
（第５の実施形態）
図１３は本発明の第５の実施形態に係る署名分散システムの概略構成を示す模式図であり、図１４は同システムの構成を具体的に示す機能ブロック図である。
【０１３７】
本実施形態は、第１又は第２の実施形態の変形例であり、図３６にも示したように、署名（ｒ，ｓ）を発行する機能を第三者（署名）装置４０ｄが有する構成となっている。
【０１３８】
これに伴い、委託者装置１０ｄは、前述した各部１３〜１５に加え、第三者装置４０ｄによる署名を検証するための委託者署名検証部１７が付加され、また、機能が変形された委託内容管理部１１ｄ及び委託者署名管理部１２ｄを備えた構成となっている。
【０１３９】
ここで、委託者内容管理部１１ｄは、前述した同部１１の機能に加え、第三者装置４０ｄに署名生成要求を送信する機能と、第三者装置４０ｄから受けた署名（ｒ，ｓ）を保存する機能と、この署名（ｒ，ｓ）を委託者署名管理部１２ｄに送出する機能とが付加されている。
【０１４０】
委託者署名管理部１２ｄは、前述した同部１２の機能に加え、委託者内容管理部１１ｄから受けた署名（ｒ，ｓ）を委託者署名検証部１７に送出して検証を要求する機能と、委託者署名検証部１７から受けた検証結果を保存する機能とをもっている。
【０１４１】
委託者署名検証部１７は、委託者署名管理部１２ｄから受けた署名（ｒ，ｓ）を検証する機能と、検証結果を委託者署名管理部１２ｄに送出する機能とをもっている。
【０１４２】
第三者装置４０ｄは、第三者署名生成部１６ｔｄを備えている。
第三者署名生成部１６ｔｄは、前述した署名生成部１６が第三者装置４０ｄに配置されたものであり、同部１６の機能に関し、通信相手を委託者装置１０ｄとしたものである。
【０１４３】
次に、以上のように構成された署名分散システムの動作を図１５のフローチャートを用いて説明する。
【０１４４】
始めに、委託内容を受託者装置２０に送信するステップＳＴ１から、受託意志を確認するＳＴ３までの処理は、第２の実施形態と同様に実行される。
【０１４５】
すなわち、委託内容管理部１１ｄは、ステップＳＴ３にて受託意志を確認し、受託意志が否定であると処理を終了し、受託意志が肯定であると、署名の生成要求（発行依頼）を第三者装置４０ｄに送信する（ＳＴ３−１）。
【０１４６】
次に、第三者装置４０ｄでは、第三者署名生成部１６ｔｄが署名生成要求を受けると、前述同様に署名（ｒ，ｓ）を計算し（ＳＴ３−２ｔ）、この署名（ｒ，ｓ）を委託者装置１０ｄに送信する。
【０１４７】
委託者装置１０ｄでは、委託内容管理部１１ｄが、受信した署名（ｒ，ｓ）を保存すると共に、この署名（ｒ，ｓ）を委託者署名管理部１２ｄに送出する。
【０１４８】
委託者署名管理部１２ｄは、この署名（ｒ，ｓ）を保存の上、委託者署名検証部１７に署名（ｒ，ｓ）を送出し、署名（ｒ，ｓ）の検証を要求する。
【０１４９】
委託者署名検証部１７は、前述した式（７）により署名（ｒ，ｓ）の正当性を検証し、検証結果を委託者署名管理部１２ｄに送出する。
【０１５０】
委託者署名管理部１２ｄは、検証結果が正当である場合に限り、多項式生成要求及び署名（ｒ，ｓ）を多項式生成部１５に送出する。
【０１５１】
以下、ステップＳＴ４の多項式生成からステップＳＴ１３の署名受領通知の確認までの処理が第１の実施形態と同様に実行される。
【０１５２】
上述したように本実施形態によれば、第１の実施形態の効果に加え、第三者装置４０ｄが分担した署名（ｒ，ｓ）の算出機能に関して、委託者装置１０ｄの負荷を低減させる一方、受託者から見た信用度を高めることができる。
【０１５３】
（第６の実施形態）
図１６は本発明の第６の実施形態に係る署名分散システムの概略構成を示す模式図であり、図１７は同システムの構成を具体的に示す機能ブロック図である。
【０１５４】
本実施形態は、第５の実施形態の変形例であり、図３６にも示したように、署名を発行する機能から署名分散値ｓ₀，ｓ₁を算出する機能までを第三者（署名）装置４０ｅが有する構成となっている。
【０１５５】
これに伴い、委託者装置１０ｅは、委託内容管理部１１ｅ及び委託者署名分散値検証部１８を備えている。
【０１５６】
委託内容管理部１１ｅは、委託者の委託内容を管理する機能と、委託内容を受託者装置２０に提示する機能と、受託者装置２０から受けた委託意志を確認する機能と、受託意志に従って第三者装置４０ｅに署名生成を依頼する機能と、第三者装置４０ｅから受けた署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを保存する機能と、署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを委託者署名分散値検証部１８に送信して署名分散値ｓ₀の検証を要求する機能と、署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを受託者装置２０に送信する機能と、受託者装置２０から受けた処理結果又は処理完了通知を審査する機能と、委託処理結果又は処理完了通知の審査結果に従って第三者装置４０ｅに署名分散値ｓ₁の送付を要求する機能と、第三者装置４０ｅから受けた署名分散値ｓ₁を受託者装置２０に送信する機能と、受託者装置２０から受信した署名受領通知を確認する機能とをもっている。
【０１５７】
委託者署名分散値検証部１８は、委託内容管理部１１ｅから署名の一部ｒ、署名分散値ｓ₀（又はｓ₁）及びコミット値ｃを受けると、この署名分散値ｓ₀（又はｓ₁）の正当性を検証する機能と、検証結果を委託内容管理部１１ｅに送出する機能とをもっている。
【０１５８】
第三者装置４０ｅは、第三者署名生成部１６ｔｅ、第三者署名管理部１２ｔｅ、署名分散値生成部１３ｔｅ、コミット値計算部１４ｔｅ及び多項式生成部１５ｔｅを備えている。
【０１５９】
第三者署名管理部１２ｔｅは、委託者装置１０ｅから受けた署名生成要求（発行依頼）に基づいて、第三者署名生成部１６ｔｅに署名の生成を要求する機能と、第三者署名生成部１６ｔｅから受けた署名（ｒ，ｓ）を管理する機能と、多項式生成部１５ｔｅに多項式の生成を要求する機能と、コミット値計算部１４ｔｅから受けたコミット値ｃ及び署名分散値生成部１３ｔｅから受けた署名分散値ｓ₀，ｓ₁を保存する機能と、委託者装置１０から受けた１回目の署名分散値送付要求に基づいて、署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを委託者装置１０に送信する機能と、委託者装置１０から受けた２回目の署名分散値送付要求に基づいて署名分散値ｓ₁を委託者装置１０に送信する機能とををもっている。
【０１６０】
署名分散値生成部１３ｔｅは、前述した同部１３が第三者装置４０ｅに配置されたものであり、同部１３の機能に関し、生成した署名分散値ｓ_iの送出先を第三者署名管理部１２ｔｅとしたものである。
【０１６１】
コミット値計算部１４ｔｅは、前述した同部１４が第三者装置４０ｅに配置されたものであり、同部１４の機能に関し、計算したコミット値ｃの送出先を第三者署名管理部１２ｔｅとしたものである。
【０１６２】
多項式生成部１５ｔｅは、前述した同部１５が第三者装置４０ｅに配置されたものであり、同部１５の機能に関し、多項式生成の要求元を第三者署名管理部１２ｔｅとしたものである。
【０１６３】
第三者署名生成部１６ｔｅは、前述した署名生成部１６が第三者装置４０ｅに配置されたものであり、同部１６の機能に関し、通信相手を第三者署名管理部１２ｔｅとしたものである。
【０１６４】
次に、以上のように構成された署名分散システムの動作を図１８のフローチャートを用いて説明する。
【０１６５】
始めに、委託内容を受託者装置２０に送信するステップＳＴ１から、第三者装置４０ｅが署名（ｒ，ｓ）を計算するステップＳＴ３−２までの処理は、第５の実施形態と同様に実行される。
【０１６６】
但し、第三者署名部１６ｔｅは、第三者署名管理部１２ｔｅを介して署名生成要求を受ける。また、第三者署名部１６ｔｅは、この署名生成要求に基づいて、前述同様に署名（ｒ，ｓ）を計算すると（ＳＴ３−２ｔ）、前述とは異なり、この署名（ｒ，ｓ）を第三者署名管理部１２ｔｅに送出する。
【０１６７】
第三者署名管理部１２ｔｅは、この署名（ｒ，ｓ）を保存の上、多項式生成要求及び署名（ｒ，ｓ）を多項式生成部１５ｔｅに送出する。
【０１６８】
ここで、前述したステップＳＴ４〜ＳＴ６と同様に、多項式を生成するステップＳＴ４ｔから、署名分散値ｓ₀，ｓ₁を算出するステップＳＴ６ｔまでが実行される。
【０１６９】
しかる後、第三者署名管理部１２ｔｅは、署名の一部ｒ、署名分散値ｓ₀，ｓ₁及びコミット値ｃを保存する。また、第三者署名管理部１２ｔｅは、委託者装置１０から署名分散値送付要求を受けると、この要求に基づいて、署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを委託者装置１０ｅに送信する。
【０１７０】
委託者装置１０ｅでは、委託内容管理部１１ｅがこの署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを委託者署名分散値検証部１８に送出し、署名分散値ｓ₀の検証を要求する。
【０１７１】
委託者署名分散値検証部１８は、署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃに基づいて、署名分散値ｓ₀の正当性を前述した検証式（５−０）により検証し（ＳＴ７ｃ）、検証結果を委託内容管理部１１ｅに返信する。
【０１７２】
委託内容管理部１１ｅは、受けた署名分散値ｓ₀の検証結果が正当性を示すとき、署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを受託者装置２０に送信する。
【０１７３】
次に、前述したステップＳＴ７〜ＳＴ９と同様に、署名分散値ｓ₀の正当性を検証するステップＳＴ７から、遂行内容を審査するステップＳＴ９までが実行される。
【０１７４】
但し、委託者装置１０では、委託内容管理部１１が、処理結果又は委託内容完了通知を審査し（ＳＴ９）、正当と判断した場合のみ、他方の署名分散値ｓ₁を第三者装置４０ｅに要求する。
【０１７５】
第三者装置４０ｅは、この要求により、第三者署名管理部１２ｔｅが署名分散値ｓ₁を委託者装置１０ｅに送信する（ＳＴ９−１ｔ）。
【０１７６】
委託者装置１０ｅは、委託内容管理部１１ｅがこの署名分散値ｓ₁を委託者署名分散値検証部１８に送出し、署名分散値ｓ₁の検証を要求する。
【０１７７】
委託者署名分散値検証部１８は、前述同様に、署名分散値ｓ₁の正当性を検証し、検証結果を委託内容管理部１１ｅに送出する。
【０１７８】
委託内容管理部１１ｅは、受けた署名分散値ｓ₀の検証結果が正当性を示すとき、署名分散値ｓ₁を受託者装置２０に送信する（ＳＴ９−２ｃ）。
【０１７９】
以下、前述同様に、ステップＳＴ１０の署名分散値ｓ₁の正当性検証からステップＳＴ１３の署名受領通知の確認までの処理が実行される。
【０１８０】
上述したように本実施形態によれば、第５の実施形態の効果に加え、第三者装置４０ｅが分担した署名分散値ｓ₀，ｓ₁の算出機能に関して、委託者装置１０ｃの負荷を低減させる一方、受託者から見た信用度を高めることができる。
【０１８１】
（第７の実施形態）
図１９は本発明の第７の実施形態に係る署名分散システムの概略構成を示す模式図であり、図２０は同システムの構成を具体的に示す機能ブロック図である。
【０１８２】
本実施形態は、第６の実施形態の変形例であり、図３６にも示したように、委託者装置１０ｆによる遂行内容の審査後、要求により第三者装置４０ｆが署名分散値ｓ₁を受託者装置２０ｆに配布する構成となっている。
【０１８３】
これに伴い、委託者装置１０ｆでは、委託内容管理部１１ｆが、前述した同部１１ｅの機能に関し、第三者装置４０ｆから受けた署名分散値ｓ₁を受託者装置２０ｆに送信する機能が省略されている。
【０１８４】
受託者装置２０ｆでは、受託内容管理部２２ｆが、前述した同部２２の機能に関し、署名分散値ｓ₁の送信元を第三者装置４０ｆに代えた構成となっている。
【０１８５】
第三者装置４０ｆでは、第三者署名管理部１２ｔｆが、前述した同部１２ｔｅの機能に関し、署名分散値ｓ₁の送信先が受託者装置２０ｆに変更されている。
【０１８６】
次に、以上のように構成された署名分散システムの動作を図２１のフローチャートを用いて説明する。
【０１８７】
始めに、委託内容を受託者装置２０に送信するステップＳＴ１から、第三者装置４０ｅが署名分散値ｓ₁を送信するステップＳＴ９−１までの処理は、第６の実施形態と同様に実行される。
【０１８８】
但し、ステップＳＴ９−１の処理において、署名分散値ｓ₁の送信先は、前述とは異なり、受託者装置２０ｆとなっている。すなわち、署名分散値ｓ₁は、第三者装置４０ｆから直接的に受託者装置２０ｆに送信される。
【０１８９】
以下、前述同様に、ステップＳＴ１０の署名分散値ｓ₁の正当性検証からステップＳＴ１３の署名受領通知の確認までの処理が実行される。
【０１９０】
上述したように本実施形態によれば、第６の実施形態の効果に加え、第三者装置４０ｆが分担した署名分散値ｓ₁の配布機能に関して、委託者装置１０ｆの負荷を低減させる一方、受託者から見た信用度を高めることができる。
【０１９１】
（第８の実施形態）
図２２は本発明の第８の実施形態に係る署名分散システムの概略構成を示す模式図であり、図２３は同システムの構成を具体的に示す機能ブロック図である。
【０１９２】
本実施形態は、第７の実施形態の変形例であり、図３６にも示したように、委託者側の主な５つの機能のうち、署名分散値ｓ₀を配布する機能を委託者装置１０ｇが有し、他の４つの機能を第三者装置４０ｇが有する構成となっている。
【０１９３】
これに伴い、委託者装置１０ｇは、委託内容管理部１１ｇの機能が若干変形されている。
【０１９４】
委託内容管理部１１ｇは、前述した同部１１ｆの機能に関し、処理結果等を審査する機能からその審査結果に基づいて署名分散値ｓ₁を受託者装置２０ｇに送信するまでの機能が省略されたものとなっている。
【０１９５】
受託者装置２０ｇは、受託内容管理部２２ｇの機能が若干変形されている。
受託内容管理部２２ｇは、前述した同部２２ｆの機能に関し、処理結果又は処理完了通知の送信先を第三者装置４０ｇに代えた構成となっている。
【０１９６】
第三者装置４０ｇは、前述した同装置４０ｆに関し、審査内容管理部４１ｇが付加された構成となっている。
【０１９７】
審査内容管理部４１ｇは、委託者装置１０ｇから受けた署名生成要求（発行依頼）に基づいて第三者署名管理部１２ｔｇに署名生成を要求する機能と、委託者装置１０ｇから受けた委託内容を管理する機能と、第三者署名管理部１２ｔｇから受けた署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを委託者装置１０ｇに送信する機能と、受託者装置２０ｇから受けた処理結果又は処理完了通知を審査する機能と、委託処理結果又は処理完了通知の審査結果に従って第三者署名管理部１２ｔｇから受けた署名分散値ｓ₁を受託者装置２０ｇに送信する機能とをもっている。但し、受託者装置２０ｇへ署名分散値ｓ₁を送信する時、コミット値ｃや署名の一部ｒを含む関連情報を一緒に送信してもよい。
【０１９８】
第三者署名管理部１２ｔｇは、前述した同部１２ｔｆの機能に関し、通信相手が委託者装置１０ｆに代えて審査内容管理部４１ｇに変更されたものである。
【０１９９】
次に、以上のように構成された署名分散システムの動作を図２４のフローチャートを用いて説明する。
【０２００】
始めに、委託内容を受託者装置２０ｇに送信するステップＳＴ１から、受託者装置２０ｇが委託内容を遂行するステップＳＴ８までの処理は、第７の実施形態と同様に実行される。
【０２０１】
但し、受託者装置２０ｇでは、受託内容管理部２２ｇが、前述とは異なり、第三者装置４０ｇに処理結果又は処理完了通知を送信するための送信処理を実行する。
【０２０２】
第三者装置４０ｇでは、審査内容管理部４１ｇが、受けた処理結果又は委託内容完了通知を審査し（ＳＴ９ｔ）、正当と判断した場合のみ、他方の署名分散値ｓ₁を委託者署名管理部１２ｔｇに要求し、得られた署名分散値ｓ₁を受託者装置２０ｇに送信する（ＳＴ９−１ｔ）。
【０２０３】
以下、前述同様に、ステップＳＴ１０の署名分散値ｓ₁の正当性検証からステップＳＴ１３の署名受領通知の確認までの処理が実行される。
【０２０４】
上述したように本実施形態によれば、第７の実施形態の効果に加え、第三者装置４０ｇが分担した遂行内容の審査機能に関して、委託者装置１０ｇの負荷を低減させる一方、受託者から見た信用度を高めることができる。
【０２０５】
（第９の実施形態）
図２５は本発明の第９の実施形態に係る署名分散システムの概略構成を示す模式図であり、図２６は同システムの構成を具体的に示す機能ブロック図である。
【０２０６】
本実施形態は、第７の実施形態の変形例であり、図３６にも示したように、委託者側の主な５つの機能のうち、遂行内容を審査する機能を委託者装置１０ｈが有し、他の４つの機能を第三者装置４０ｈが有する構成となっている。
【０２０７】
これに伴い、委託者装置１０ｈは、委託者署名分散値検証部１８が省略され、機能が若干変形された委託内容管理部１１ｈを備えている。
【０２０８】
委託内容管理部１１ｈは、前述した同部１１ｆの機能に関し、第三者装置４０ｈから署名の一部ｒ、署名分散値ｓ₀，ｓ₁及びコミット値ｃを受ける機能及びその関連機能（検証機能、送信機能等）が省略されたものとなっている。
【０２０９】
受託者装置２０ｈでは、前述した同部２２ｆの機能に関し、署名分散値ｓ₀の送信元をも第三者装置４０ｈに代えた構成となっている。
【０２１０】
第三者装置４０ｈでは、第三者署名管理部１２ｔｈが、前述した同部１２ｔｅの機能に関し、署名分散値ｓ₀の送信先が受託者装置２０ｈに変更されている。
【０２１１】
次に、以上のように構成された署名分散システムの動作を図２７のフローチャートを用いて説明する。
【０２１２】
始めに、委託内容を受託者装置２０に送信するステップＳＴ１から、第三者装置４０ｈが署名分散値ｓ₀，ｓ₁を算出するステップＳＴ６ｔまでの処理は、第７の実施形態と同様に実行される。
【０２１３】
ステップＳＴ６ｔの後、第三者署名管理部１２ｔｈは、署名の一部ｒ、署名分散値ｓ₀，ｓ₁及びコミット値ｃを保存するが、委託者装置１０ｈから署名分散値送付要求を受けると、前述とは異なり、受託者装置２０ｈに署名の一部ｒ、署名分散値ｓ₀及びコミット値ｃを送信する。すなわち、乱数の一部ｒ、署名分散値ｓ₀及びコミット値ｃは、第三者装置４０ｈから直接的に受託者装置２０ｆに送信される。
【０２１４】
以下、ステップＳＴ７の署名分散値ｓ₀の正当性検証からステップＳＴ１３の署名受領通知の確認までの処理は、第７の実施形態と同様に実行される。
【０２１５】
上述したように本実施形態によれば、第７の実施形態の効果に加え、第三者装置４０ｈが分担した署名分散値ｓ₀の配布機能に関して、委託者装置１０ｈの負荷を低減させる一方、受託者から見た信用度を高めることができる。
【０２１６】
（第１０の実施形態）
図２８は本発明の第１０の実施形態に係る署名分散システムの概略構成を示す模式図であり、図２９は同システムの構成を具体的に示す機能ブロック図である。
【０２１７】
本実施形態は、第７の実施形態の変形例であり、図３６にも示したように、前述した第三者装置４０ｆの機能を、２つの第三者装置３０ｉ，４０ｉに分割した構成となっている。
【０２１８】
ここで、第三者装置３０ｉは、前述した第三者装置４０ｆの各部のうち、第三者署名管理部１２ｔｆ、署名分散値生成部１３ｔｅ、コミット値計算部１４ｔｅ及び多項式生成部１５ｔｅを有し、さらに、第三者署名検証部１９が付加されたものである。
【０２１９】
これに伴い、第三者署名管理部１２ｔｆは、前述した機能に加え、他方の第三者装置４０ｉから受けた署名（ｒ，ｓ）を管理する機能と、署名（ｒ，ｓ）を第三者署名検証部１９に送出して検証を要求する機能とが付加されている。
【０２２０】
第三者署名検証部１９は、第三者署名管理部１２ｔｆから受けた署名（ｒ，ｓ）の正当性を検証する機能と、検証結果を第三者署名管理部１２ｔｆに送出する機能とをもっている。
【０２２１】
第三者装置４０ｉは、前述した第三者装置４０ｆの各部のうち、第三者署名生成部１６ｔｅを備えたものである。なお、第三者署名生成部１６ｔｅは、第三者署名管理部１２ｔｆから受けた署名生成要求に基づいて署名（ｒ，ｓ）を生成する機能と、生成した署名（ｒ，ｓ）を第三者署名管理部１２ｔｆに送信する機能とをもつものである。
【０２２２】
次に、以上のように構成された署名分散システムの動作を図３０のフローチャートを用いて説明する。
【０２２３】
始めに、委託内容を受託者装置２０に送信するステップＳＴ１から、署名の生成要求を第三者装置３０ｉに送信するステップ３−１までの処理は、第７の実施形態と同様に実行される。
【０２２４】
第三者装置３０ｉでは、第三者署名管理部１６ｔｅがこの署名生成要求を署名用の第三者装置４０ｉに転送する。
【０２２５】
署名用の第三者装置４０ｉでは、第三者署名生成部１６ｔｅが署名生成要求を受けると、前述同様に署名（ｒ，ｓ）を計算し（ＳＴ３−２ｔ）、この署名（ｒ，ｓ）を要求元の第三者装置３０ｉに送信する。
【０２２６】
第三者装置３０ｉでは、第三者署名管理部１２ｔｆが、受信した署名（ｒ，ｓ）を保存すると共に、この署名（ｒ，ｓ）を第三者署名検証部１９に送出し、署名（ｒ，ｓ）の検証を要求する。
【０２２７】
第三者署名検証部１９は、署名（ｒ，ｓ）の正当性を検証し、検証結果を第三者署名管理部１２ｔｆに送出する。
【０２２８】
第三者署名管理部１２ｔｆは、検証結果が正当である場合に限り、多項式生成要求及び署名（ｒ，ｓ）を多項式生成部１５ｔｅに送出する。
【０２２９】
以下、ステップＳＴ４ｔの多項式生成からステップＳＴ１３の署名受領通知の確認までの処理が第７の実施形態と同様に実行される。
【０２３０】
上述したように本実施形態によれば、第７の実施形態の効果に加え、２台の第三者装置３０ｉ，４０ｉが互いに機能を分担するので、個々の第三者装置３０ｉ，４０ｉの負荷を低減させることができる。
【０２３１】
（第１１の実施形態）
図３１は本発明の第１１の実施形態に係る署名分散システムの概略構成を示す模式図であり、図３２は同システムの構成を具体的に示す機能ブロック図である。
【０２３２】
本実施形態は、第９の実施形態の変形例であり、図３６にも示したように、前述した第三者装置４０ｈの機能を、２つの第三者装置３０ｊ，４０ｊに分割した構成となっている。
【０２３３】
ここで、第三者装置３０ｊは、前述した第三者装置４０ｈの各部のうち、第三者署名管理部１２ｔｈ、署名分散値生成部１３ｔｅ、コミット値計算部１４ｔｅ及び多項式生成部１５ｔｅを有し、さらに、第三者署名検証部１９ｊが付加されたものである。
【０２３４】
第三者署名管理部１２ｔｈは、前述した機能に加え、他方の第三者装置４０ｊから受けた署名（ｒ，ｓ）を管理する機能と、署名（ｒ，ｓ）を第三者署名検証部１９ｊに送出して検証を要求する機能とが付加されている。
【０２３５】
第三者署名検証部１９ｊは、前述同様に、第三者署名管理部１２ｔｈから受けた署名（ｒ，ｓ）の正当性を検証し、検証結果を第三者署名管理部１２ｔｈに送出するものである。
【０２３６】
第三者装置４０ｊは、前述した第三者装置４０ｈの各部のうち、第三者署名生成部１６ｔｅを備えたものである。第三者署名生成部１６ｔｅは、前述同様に、第三者署名管理部１２ｔｆから受けた署名生成要求に基づいて署名（ｒ，ｓ）を生成し、得られた署名（ｒ，ｓ）を第三者署名管理部１２ｔｈに送信するものである。
【０２３７】
次に、以上のように構成された署名分散システムの動作を図３３のフローチャートを用いて説明する。
【０２３８】
始めに、委託内容を受託者装置２０に送信するステップＳＴ１から、署名の生成要求を第三者装置３０ｊに送信するステップ３−１までの処理は、第９の実施形態と同様に実行される。
【０２３９】
第三者装置３０ｊでは、第三者署名管理部１６ｔｅがこの署名生成要求を署名用の第三者装置４０ｊに転送する。
【０２４０】
署名用の第三者装置４０ｊでは、第三者署名生成部１６ｔｅが署名生成要求を受けると、前述同様に署名（ｒ，ｓ）を計算し（ＳＴ３−２ｔ）、この署名（ｒ，ｓ）を要求元の第三者装置３０ｊに送信する。
【０２４１】
第三者装置３０ｊでは、第三者署名管理部１２ｔｈが、受信した署名（ｒ，ｓ）を保存すると共に、この署名（ｒ，ｓ）を第三者署名検証部１９ｊに送出し、署名（ｒ，ｓ）の検証を要求する。
【０２４２】
第三者署名検証部１９ｊは、署名（ｒ，ｓ）の正当性を検証し、検証結果を第三者署名管理部１２ｔｊに送出する。
【０２４３】
第三者署名管理部１２ｔｈは、検証結果が正当である場合に限り、多項式生成要求及び署名（ｒ，ｓ）を多項式生成部１５ｔｅに送出する。
【０２４４】
以下、ステップＳＴ４ｔの多項式生成からステップＳＴ１３の署名受領通知の確認までの処理が第９の実施形態と同様に実行される。
【０２４５】
上述したように本実施形態によれば、第９の実施形態の効果に加え、２台の第三者装置３０ｊ，４０ｊが互いに機能を分担するので、個々の第三者装置３０ｊ，４０ｊの負荷を低減させることができる。
【０２４６】
なお、上記第２〜第１１の実施形態は、図３６に示すように委託者と第三者との機能分担を代えた場合を説明したが、これに限らず、図３６に示した機能分担とは異なる機能分担としてもよい。
【０２４７】
具体的には、第２〜第１１の実施形態に対応する「署名（ｒ，ｓ）を発行」から「署名分散値ｓ₁を配布」までの５つの機能に関し、委託者と第三者との機能分担が図３６に無い組合せであっても、本発明を同様に実施することができる。
【０２４８】
換言すると、５つの機能に関する委託者と第三者との機能分担は、全て第三者で処理する１通りを除き、全部で２⁵−１（＝３１）通りがある。このうち、第２〜第９の実施形態の８通りを除く２３（＝３１−８）通りのいずれの組合せであっても、本発明を同様に実施して同様の効果を得ることができる。
【０２４９】
同様に、第１０〜第１１の実施形態に対応する「署名（ｒ，ｓ）を発行」を第三者Ａ（署名者）が行なう場合の残りの「署名分散値ｓ₀，ｓ₁を算出」から「署名分散値ｓ₁を配布」までの４つの機能に関し、委託者と第三者Ｂとの機能分担が図３６に無い組合せであっても、同様に実施することができる。
【０２５０】
換言すると、残り４つの機能に関する委託者と第三者Ｂとの機能分担は、全て委託者又は第三者Ｂで処理する２通りを除き、全部で２⁴−２（＝１４）通りがある。このうち、第１０〜第１１の実施形態と重複する２通りを除く１２（＝１４−２）通りのいずれの組合せであっても、本発明を同様に実施して同様の効果を得ることができる。
【０２５１】
また、残り４つの機能を、委託者と第三者Ｂとの機能分担に限らず、委託者、第三者Ａ及び第三者Ｂの機能分担とするように変形しても、本発明を同様に実施できることは言うまでもない。
【０２５２】
（第１２の実施形態）
図３４は本発明の第１２の実施形態に係る署名分散システムの概略構成を示す模式図である。
【０２５３】
すなわち、本実施形態は、２個の署名分散値ｓ₀，ｓ₁を用いる第１〜第１１の実施形態の変形例であり、図３６にも示したように、署名分散値の個数を２個以上の複数ｎ個に拡張したものである。
【０２５４】
本実施形態は具体的には、第１〜第１１の実施形態のうち、任意の実施形態に用いた委託者装置１０ｘ、第三者装置３０ｘ及び第三者（署名）装置４０ｘに適用される委託者側装置５０と、委託者側と同一の実施形態に用いた受託者装置２０ｘに適用される受託者装置２０ｋとを備えている。但し、以下の説明は、第１の実施形態に適用した場合を代表例に挙げて述べる。
【０２５５】
委託者側装置５０では、署名分散値ｓ_iの個数をｎ個に拡張したことに伴い、前述した機能に関し、図２に示す多項式生成部１５がｎ−１個の乱数ｂjとｎ項の多項式ｆ(ｚ)とを生成可能となっており、署名分散値生成部１３がｎ個の署名分散値ｓ_iを生成可能となっており、コミット値計算部１４がｎ−１個のコミット値ｃ_jを生成可能となっている。
【０２５６】
なお、０≦ｉ≦ｎ−１、１≦ｊ≦ｎ−１である。また、ｎ−１個の引数ｚ_iは、委託者側装置５０及び受託者装置２０ｋとで共有されている。
【０２５７】
一方、受託者装置２０ｋは、署名分散値ｓ_iの個数をｎ個に拡張したことに伴い、前述した機能に関し、図２に示す署名分散値検証部２４が後述する検証式（１１）を用いるものとなっており、また、署名算出部２５が署名の一部ｒ、ｎ個の署名分散値ｓ_i及びｎ−１個のコミット値ｃ_jから署名の一部ｓ及び乱数ｂ_jを算出可能となっている。
【０２５８】
次に、以上のように構成された署名分散システムの動作を図３５のフローチャートと前述した図２を参照して説明する。
【０２５９】
始めに、委託内容を受託者装置２０ｋに送信するステップＳＴ１から、受託意志を確認するＳＴ３までの処理は、第１の実施形態と同様に実行される。
【０２６０】
すなわち、委託者側装置５０では、委託内容管理部１１がステップＳＴ３にて受託意志を確認し、受託意志が肯定であるときのみ、分散署名の生成要求を委託者署名管理部１２に送出する。
【０２６１】
委託者署名管理部１２は、この生成要求を受けると、多項式生成要求及び署名（ｒ，ｓ）を多項式生成部１５に送出する。
【０２６２】
多項式生成部１５は、この多項式生成要求に従い、乗法群Ｚｑ^＊からｎ−１個の任意の乱数ｂ_jを選択し（ｂ_j∈Ｚｑ^＊）、次式（８）に示すように多項式ｆ(ｚ)を生成する（ＳＴ４）。
【０２６３】
ｆ(ｚ)＝ｓ+ｂ₁・ｚ＋ｂ₂・ｚ²＋…＋ｂ_n-1・ｚ^n-1 （ｍｏｄ ｑ）…（８）
しかる後、多項式生成部１５は、生成の際に、選択した乱数ｂ_jと署名の一部ｒをコミット値計算部１４に送出すると共に、生成した多項式ｆ(ｚ)を署名分散値生成部１３に送出する。
【０２６４】
コミット値計算部１４は、この乱数ｂ_jと署名の一部ｒを用いて次式（９）に示すようにｎ−１個のコミット値ｃ_jを計算し（ＳＴ５）、このコミット値ｃ_jを委託者署名管理部１２に送出する。
【０２６５】
ｃ_j＝ｒ^bj（ｍｏｄ ｐ） …（９）
一方、署名分散値生成部１３は、前述した式（８）に対し、予め各装置５０，２０ｋ間で共有された引数ｚ₀，…，ｚ_n-1を個別に代入して、次式（１０）に示すようにｎ個の署名分散値ｓ₀，…，ｓ_n-1を計算し（ＳＴ６）、得られた署名分散値ｓ₀，…，ｓ_n-1を委託者署名管理部１２に送出する。
【０２６６】
ｓ_i＝ｆ(ｚ_i)＝ｓ+ｂ₁・ｚ_i＋ｂ₂・ｚ_i ²＋…＋ｂ_n-1・ｚ_i ^n-1 （ｍｏｄ ｑ）…（１０）
委託者署名管理部１２は、署名の一部ｒ、１つ目の署名分散値ｓ₀及びコミット値ｃを委託内容管理部１１に送出し、委託内容管理部１１は、これらの各データｒ，ｓ₀，ｃを受託者装置２０ｋに送信する。
【０２６７】
受託者装置２０ｋは、前述同様に、ステップＳＴ７の署名分散値ｓ₀の正当性から、ステップＳＴ１０の署名分散値ｓ₁の正当性検証までの処理を実行する。
【０２６８】
但し、ステップＳＴ８〜ＳＴ１０の処理は、署名分散値ｓ_iの個数がｎ個あることに基づき、合計ｎ−１回繰り返される。
【０２６９】
また、ステップＳＴ１０₁〜１０_n-1における署名分散値ｓ1，…，ｓ_n-1の検証処理は、署名分散値検証部２４により次の検証式（１１）を用いて実行される。
【０２７０】
【数７】

【０２７１】
また、署名分散値検証部２４は、各々の署名分散値ｓ_iの検証結果をその都度、受託者署名管理部２３に返信する。
【０２７２】
ここで、以上のようなｎ−１回の繰返し処理について具体的に説明する。
【０２７３】
例えば、委託者側装置５０は、委託内容のうち、受託者装置２０ｋが遂行した委託部分に応じて署名分散値ｓ₁，…，ｓ_n-1を渡していく場合を考える。この例では、委託内容は、９章で成る英文書物の翻訳であるとする。また、署名（ｒ，ｓ）は、翻訳料金に相当する電子マネーへの署名、又は翻訳料の支払契約書への署名とする。
【０２７４】
委託者側装置５０は、式（７）〜（９）により、１０個の署名分散値ｓ₀，ｓ₁，…，ｓ₉を計算する。受託者装置２０ｋは、翻訳前に契約の証明用として、署名分散値ｓ0を受ける。その後、受託者装置２０ｋは、１章の翻訳を終える毎に、対応した署名分散値ｓ₁，…，ｓ_n-1のいずれかを送信してもらう。
【０２７５】
これにより、受託者装置２０ｋは、その都度、署名分散値ｓ_iの正当性を検証することで、一章分の報酬又は完了の証拠を確認及び取得しながら、次章の翻訳へと処理を進めることができる。すなわち、各署名分散値ｓ₀，ｓ₁〜ｓ_n-1が、口論時に、受託者の仕事量を示す確かな証拠として機能する。
【０２７６】
さて、以上のような繰返し処理が完了すると、受託者署名管理部２３は、署名分散値検証部２４から受けた全ての署名分散値ｓ₀，…，ｓ_n-1の検証結果が正当である場合に、コミット値ｃ_j、署名の一部ｒ、署名分散値ｓ₀，…，ｓ_n-1を署名算出部２５に送信する。
【０２７７】
署名算出部２５は、ｎ個の署名分散値ｓ₀，…，ｓ_n-1と、各署名分散値ｓ_i毎に前述した式（１０）を用いて署名の一部ｓ及びｎ−１個の乱数ｂ_jを計算し（ＳＴ１１）、署名の一部ｓ及び乱数ｂ_jを受託者署名管理部２３及び署名検証部２６に送出する。
【０２７８】
以下、ステップＳＴ１２の署名（ｒ，ｓ）及びコミット値ｃ_jの正当性検証からステップＳＴ１３の署名受領通知の確認までの処理が、第１の実施形態と同様に実行される。
【０２７９】
上述したように本実施形態によれば、第１〜第１１の実施形態の効果に加え、署名分散値ｓ_iの個数を任意のｎ個に拡張したことから、ｎ−１回の各段階毎に遂行可能な任意の委託内容に対しても適用を図ることができる。
【０２８０】
なお、本実施形態は、第１の実施形態に適用した場合を代表例として述べたが、これに限らず、第２〜第１１の実施形態又は第１１の実施形態で述べた変形例のいずれに適用しても、同様の作用効果を得ることができる。
【０２８１】
また、本実施形態は、委託者側装置５０を構成する各装置の数を最大でｎ個まで増やしても良い。この場合、例えばサーバのメンテナンスを円滑に行なうことができる。また、契約の段階によって異なる第三者装置から分散情報ｓ_iを配布するといった形態も実施できる。
【０２８２】
なお、上記第１〜第１２の実施形態では、ｎ個の分散情報のうちの全て（ｎ個）が揃うと、デジタル署名が復元可能となる（ｎ，ｎ）しきい値秘密分散方式として動作させる場合について説明したが、これに限らず、ｎ個の分散情報のうちの任意のｋ個が揃うと、デジタル署名が復元可能となる（ｋ，ｎ）しきい値秘密分散方式として動作させる構成に変形しても、本発明を同様に実施して同様の効果を得ることができ、さらに信頼性の向上を図ることができる。
【０２８３】
例えば（ｎ，ｎ）しきい値秘密分散方式の場合、受託者装置では、ｎ個の分散情報を全て揃える必要があるので、委託者側装置内の複数台の配布装置（合計で複数台の、委託者装置及び／又は１台以上の第三者装置）から分散情報が配布される場合には、各配布装置が１台でも異常になると、分散情報が揃わず、署名を復元できなくなってしまう。
【０２８４】
一方、（ｋ，ｎ）しきい値秘密分散方式の場合には、受託者装置では、ｎ個の分散情報のうちのｋ個を揃えればよいので、委託者側装置内の各配布装置から分散情報が配布される場合に、各配布装置の分散情報の配分にもよるが、各配布装置が数台異常になっても、ｋ個の分散情報を揃えることができ、署名を復元できる。
【０２８５】
このため、委託者側装置の複数の配布装置から分散情報を配布する場合などには、（ｋ，ｎ）しきい値秘密分散方式を用いることにより、一層、信頼性を向上させることができる。
【０２８６】
補足すると、しきい値ｋとは、分散情報の総数ｎよりも小さい値（ｋ＜ｎ）であり、且つ秘密情報を復元可能となる分散情報の個数ｋのことである。例えば、ｎ＝３、ｋ＝２の場合、しきい値ｋは、３つの分散情報のうち、２つの分散情報が揃えば、署名の一部ｓが復元可能となることを意味している。
【０２８７】
用途としては、例えば第１〜第３の第三者装置（サーバ）Ａ，Ｂ，Ｃがあり、プロセス＃１、＃２がある場合を考える。また、この場合、プロセス＃１が完了すると、第１の第三者装置Ａから１つの分散情報を送り、プロセス＃２が完了すると、第２の第三者装置Ｂから他の１つの分散情報を送る予定である、とする。
【０２８８】
このとき、（ｋ，ｎ）しきい値秘密分散方式によれば、途中で第２の第三者装置Ｂが故障しても、Ｂの代わりに第３の第三者装置Ｃが１つの分散情報を送るので、受託者装置では、ｃから受けた分散情報により、合計２つの分散情報が揃って、秘密情報（署名）を復元できる。この場合、第三者装置Ｃは、異常時の保険（フェイルセーフ）用の装置として機能する。
【０２８９】
また、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０２９０】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０２９１】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０２９２】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０２９３】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０２９４】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０２９５】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０２９６】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組合せて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組合せにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０２９７】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０２９８】
【発明の効果】
以上説明したように本発明によれば、デジタル署名を授受する際に、各当事者をいずれも不利な状況にせず、公平な処理を実現できる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る署名分散システムの概略構成を示す模式図
【図２】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図３】同実施形態における動作を説明するためのフローチャート
【図４】本発明の第２の実施形態に係る署名分散システムの概略構成を示す模式図
【図５】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図６】同実施形態における動作を説明するためのフローチャート
【図７】本発明の第３の実施形態に係る署名分散システムの概略構成を示す模式図
【図８】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図９】同実施形態における動作を説明するためのフローチャート
【図１０】本発明の第４の実施形態に係る署名分散システムの概略構成を示す模式図
【図１１】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図１２】同実施形態における動作を説明するためのフローチャート
【図１３】本発明の第５の実施形態に係る署名分散システムの概略構成を示す模式図
【図１４】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図１５】同実施形態における動作を説明するためのフローチャート
【図１６】本発明の第６の実施形態に係る署名分散システムの概略構成を示す模式図
【図１７】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図１８】同実施形態における動作を説明するためのフローチャート
【図１９】本発明の第７の実施形態に係る署名分散システムの概略構成を示す模式図
【図２０】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図２１】同実施形態における動作を説明するためのフローチャート
【図２２】本発明の第８の実施形態に係る署名分散システムの概略構成を示す模式図
【図２３】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図２４】同実施形態における動作を説明するためのフローチャート
【図２５】本発明の第９の実施形態に係る署名分散システムの概略構成を示す模式図
【図２６】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図２７】同実施形態における動作を説明するためのフローチャート
【図２８】本発明の第１０の実施形態に係る署名分散システムの概略構成を示す模式図
【図２９】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図３０】同実施形態における動作を説明するためのフローチャート
【図３１】本発明の第１１の実施形態に係る署名分散システムの概略構成を示す模式図
【図３２】同実施形態における署名分散システムの構成を具体的に示す機能ブロック図
【図３３】同実施形態における動作を説明するためのフローチャート
【図３４】本発明の第１２の実施形態に係る署名分散システムの概略構成を示す模式図
【図３５】同実施形態における動作を説明するためのフローチャート
【図３６】本発明の各実施形態の概要を示す模式図
【符号の説明】
１０，１０ａ〜１０ｇ…委託者装置
１１，１１ｂ〜１１ｈ…委託内容管理部
１２，１２ａ，１２ｄ，１２ｔｅ〜１２ｔｈ…委託者署名管理部
１３，１３ｔｃ，１３ｔｅ…署名分散値生成部
１４，１４ｔｃ，１４ｔｅ…コミット値計算部
１５，１５ｔｃ，１５ｔｅ…多項式生成部
１６，１６ｃ…署名生成部
１６ｔｄ…第三者署名生成部
１７…委託者署名検証部
１８…委託者署名分散値検証部
２０，２０ｂ，２０ｃ，２０ｆ〜２０ｈ，２０ｋ…受託者装置
２１…受託内容処理部
２２，２２ｂ，２２ｃ，２２ｆ〜２２ｈ…受託内容管理部
２３…受託者署名管理部
２４…署名分散値検証部
２５…署名算出部
２６…署名検証部
３０ｂ，３０ｃ，３０ｉ，３０ｊ…第三者装置
３１…審査内容管理部
３２，３２ｃ…第三者署名管理部
３３…第三者署名分散値検証部
３４…第三者署名検証部
４０ｄ〜４０ｊ…第三者（署名）装置
５０…委託者側装置[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a signature distribution system, program and method applicable to various transaction systems.
[0002]
[Prior art]
A digital signature is an important technique for guaranteeing reliability and evidence in e-commerce, for example. Such digital signatures are used for various services such as electronic contracts, electronic checks, electronic cash, etc., for each applied service.
[0003]
For example, when used for electronic cash, a digital signature is attached to a message portion of electronic cash corresponding to the service price from a consignor entrusting the service (eg, a requester), and the digital signature is included in the electronic cash (see FIG. E.g. service provider). When the trustee settles the electronic cash with a financial institution and confirms that the income corresponding to the amount of the electronic cash is obtained, the trustee provides a predetermined service to the trustee.
This is an example when electronic cash is delivered before the service is provided, and electronic cash may be delivered after the service is provided.
[0004]
[Problems to be solved by the invention]
However, it is known that the digital signature as described above causes different problems depending on whether the timing of delivery of electronic cash to the trustee is after provision of the service from the trustee or before provision of the service ( MK Franklin and MK Reiter, “Verifiable signature sharing”, Advances in Cryptology-EUROCRYPT '95, LNCS 921, pp.50-63, 1995.).
[0005]
That is, in the former, a trustee disadvantageous situation in which electronic cash may not be paid occurs, and in the latter, a consignor disadvantageous situation in which electronic cash may be escaped occurs. In any case, the method of giving and receiving a digital signature becomes unfair processing, which is not preferable.
[0006]
The present invention has been made on the basis of the above circumstances, and provides a signature distribution system, program, and method capable of realizing fair processing without giving each party a disadvantage when transferring a digital signature. With the goal.
[0007]
[Means for Solving the Problems]
1st invention is based on the transmission side entity apparatus which transmits separately the some shared information for decompress | restoring the digital signature with respect to the presented message separately in time series, and the said distributed information received from the said transmission side entity apparatus. A signature distribution system including a reception side entity device for restoring a digital signature, wherein the transmission side entity device includes signature generation means for generating each of the distributed information based on the digital signature, and the reception side entity Each time a request is received from a device, the distributed information transmitting means for individually transmitting each piece of distributed information generated by the signature generating means to the receiving-side entity device. Each time shared information is received from the transmission means, the shared information verification means for verifying the validity of the shared information, When shared information validity is verified are met in whole or predetermined number by shared information verification unit, the signature distributed system and a signature restoring means for restoring the digital signature on the basis of the respective distribution information.
[0009]
Here, the transmitting-side entity device can be realized as, for example, a consignor-side device that entrusts arbitrary processing or a client-side device that provides a predetermined service, and is not limited to a single device, It is good also as a several apparatus group containing a third party apparatus.
[0010]
The receiving-side entity device can be realized as, for example, a trustee device that receives and executes a consigned process, or an ASP (Application Service Provider) -side device that provides a predetermined service.
[0011]
  First2In the invention of the present invention, n (2 ≦ n) distributed information s for restoring a digital signature for the message m presented to the receiving entity device_iA first device capable of calculating the digital signature and a first device capable of verifying the digital signature by a transmitting entity device that individually transmits (0 ≦ i ≦ n−1) to the receiving entity device in time series. Two devices, wherein the first device is a multiplicative group Zq with respect to a predetermined first prime number q.^*A random number k is selected from the above, a hash value h (m) is obtained for the message m, and a predetermined second prime number p (= w * q + 1) related to the first prime number q (where w is an arbitrary number greater than or equal to 2) Natural number), the multiplicative group Zp^*R = α based on a predetermined primitive element α whose order at q is q, a public key cryptography secret key x, the random number k, and the hash value h (m)^k(Mod p) and s = k^-1When calculating a digital signature (r, s) satisfying the expression {h (m) + x · r} (mod q) and transmitting the digital signature (r, s) to the second device,The examination content management unit, the third party signature verification unit, the polynomial generation unit, the commit value calculation unit, and the signature distribution value generation unitA distributed signature program used for a second device, wherein the computer of the second device sends the first device to the computerBy the examination content management departmentWhen the digital signature (r, s) is received, the public key y corresponding to the secret key x is used to determine the validity of the digital signature (r, s) as r.^s= Α^{h (m)}y^r  Based on the relationship (mod p)By the third party signature verification unitThe ability to verify,Multiplicative group Zq ^* To n-1 random numbers b _j A function for selecting the polynomial generator, the random number b _j Based on the polynomial f ( z ) = S + b ₁ ・ Z + b ₂ ・ Z ² + ... + b _n-1 ・ Z ^n-1 (Mod q) a function for generating the polynomial generator, the random number b _j And n−1 commit values c based on part r of the digital signature _j (= R ^bj (Mod a function of calculating p)) by the commit value calculation unit, predetermined n arguments z _i And the polynomial f ( z ) N signature distribution values s based on _i (= F ( z _i ) ) By the signature distribution value generation unit, based on the first request received by the examination content management unit from the receiving entity device, a part r of the digital signature, the first signature distribution value s ₀ , And commit value c _j For each second and subsequent requests received from the receiving entity device by the examination content management unit. _i A function for individually transmitting the information by the examination content management unit,Is a signature distribution program for realizing the above.
[0013]
  First3The present invention is a digital signature (r, s) for the presented message m (r = α^k(Mod p), s = k^-1{H (m) + x · r} (mod q), where p and q are prime numbers having a relationship of p = w * q + 1 (where w is an arbitrary natural number of 2 or more), α is a multiplicative group Zp^*A given primitive element whose order at q is q, k is a multiplicative group Zq^*N (2 ≦ n) distributed information for restoring the digital signature (r, s) with respect to the random number in the list, h (m) is the hash value of m, and x is the secret key of the public key cryptosystem s_i(However, 0≤i≤n-1, s_i= F (z_i) = S + b₁・ Z_i+ B₂・ Z_i ²+ ... + b_n-1・ Z_i ^n-1 (Mod q), z_iN−1 arguments) are individually requested in time series from the transmitting entity device, and a total of n pieces of distributed information s received from the transmitting entity device n times by this request._iA digital signature (r, s) from a digital signature (r, s) and a signature verification program used in a receiving entity device capable of verifying the obtained digital signature (r, s),The receiving entity device includes a consignment content management unit and a signature distribution value verification unit,From the transmitting entity device to the computer of the receiving entity deviceBy the commissioned content management departmentPart of received digital signature r and n-1 commit values c_j(However, 1 ≦ j ≦ n-1, c_j= R^{b j}, B_jIs n−1 random numbers), a public key y corresponding to the secret key x, and a predetermined argument z_iAnd from the transmitting entity deviceBy the commissioned content management departmentDistributed information_iEach time it receives the shared information s_iBased on the relationship of the following formulaBy the signature distribution value verification unitThis is a signature verification program for realizing a verification function.
[0014]
[Equation 3]

[0015]
  First4The invention of the3In the invention, the computer of the receiving entity device includes:
  A total of n pieces of distributed information s received from the transmitting entity device_iAnd f (z_i) And a digital signature part s and n-1 random numbers b._jTheBy the signature calculation unitA function for calculating, a digital signature (r, s) from a part r of the digital signature received from the transmitting entity device and a part s of the calculated digital signatureBy the signature calculation unitUsing the function to restore, the public key y corresponding to the secret key x, the validity of the restored digital signature (r, s) is r^s= Α^{h (m)}y^r  Based on the relationship (mod p)By the signature verification unitA function to verify, a part r of the digital signature received from the transmitting entity device and the calculated random number b_jAnd the commit value c_jThe legitimacy of c_j= R^{b i}Based on the relationshipBy the signature verification unitThis is a signature verification program for realizing a verification function.
[0016]
Therefore, according to each invention as described above, after the transmitting side entity device presents an arbitrary message m to the receiving side entity device, it guarantees the signature exchange, not the signature (r, s) itself for the message m. n distributed information s_iAre transmitted to the receiving entity device individually in time series.
[0017]
On the other hand, the receiving-side entity apparatus has n pieces of shared information s_iThe message m is guaranteed by restoring the signature (r, s) based on.
[0018]
That is, when a digital signature is exchanged, the digital signature (r, s) is finally exchanged by exchanging n pieces of distributed information in stages, instead of exchanging the entire signature at once. Yes. Accordingly, it is possible to achieve fair processing without putting each party in a disadvantageous state.
[0019]
Each invention as described above is expressed as “system” or “program”, but not limited to this, expressed in other names and categories such as “device”, “method”, and “computer-readable storage medium”. May be.
[0020]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings. The outline of each embodiment is as follows. When the consignor side (which may include a third party) entrusts an arbitrary message m to the consignor, not the digital signature (r, s) itself for the message m, N pieces of distributed information s for guaranteeing signature exchange_iAre sent to the trustee individually in time series before and after the execution of the commissioned content. In addition, the trustee, after the execution of the commissioned content, n pieces of distributed information s_iThe message m is guaranteed by restoring the signature (r, s) based on.
[0021]
Here, in the first to eleventh embodiments, as shown in FIG. 36, among the consignor side and the trustee, in the five main functions on the consignor side, the function sharing between the consignor and the third party is performed. The contents are replaced. This kind of third party has the role of increasing the trustworthiness seen from the trustee while reducing the burden on the trustee regarding the function shared. As shown in the figure, among the third parties, a person having a signature issuing function is also called third party A, and the other person is also called third party B.
[0022]
In the first to eleventh embodiments, the number n of shared information (hereinafter referred to as signature shared value) for a part s of the digital signature (r, s) is n = 2. In the twelfth embodiment, the number n is expanded to an arbitrary number.
[0023]
Various parameters and symbols used in each embodiment are as follows.
[0024]
p, q: a sufficiently large prime number satisfying the relational expression p = w * q + 1 (where w is an arbitrary natural number of 2 or more).
α: Multiplicative group Zp^*Primitive element with order q at q.
x: Signature private key.
y: Public key for verification (y = α^x(Mod p) is satisfied).
m: Message to be signed.
(R, s): Digital signature for the message m (hereinafter also referred to as signature).
r: a part of the signature, the commit value of k (r = α^k(Mod p) is satisfied).
s: part of signature, k^-1The value of {h (m) + x · r} (mod q).
k: Secret random number of signature.
h (m): Hash value of message m.
f (z): n-1 order polynomial of the first term s.
z_i: Argument of polynomial f (z) (0 ≦ i ≦ n−1).
s_i: Signature distribution value (distribution information) of part s of signature, function value f (z_i).
[0025]
Here, among the parameters, the prime numbers p, q, the primitive element α, and the verification public key y are shared in advance by the consignor, the third party, and the consignor as system parameters.
Argument z_iIs the initial signature variance value s by the trustee₀It is distributed to the trustee before the verification of the legitimacy, but may be shared in advance by the consignor, a third party and the trustee as in the case of the system parameters.
[0026]
(First embodiment)
FIG. 1 is a schematic diagram showing a schematic configuration of a signature distribution system according to the first embodiment of the present invention. This signature distribution system comprises a consignor device 10 and a consignor device 20, and has the function of issuing a signature (r, s) as shown in FIG. Alternatively, any of the third party devices (not shown) may have.
[0027]
FIG. 2 is a functional block diagram specifically showing the configuration of the signature distribution system. This signature distribution system includes an entrustor apparatus 10 and an entrustor apparatus 20, and each apparatus 10, 20 can be configured by hardware, software, or a combination thereof. Here, when each of the devices 10 and 20 is configured by software, a signature distribution / verification program for realizing each function described later is installed in advance in the computer of each of the devices 10 and 20. Note that the description that each device can be configured individually by hardware and / or software also applies to all devices (including third-party devices) in the following embodiments.
[0028]
Here, the entrustor apparatus 10 includes an entrustment content management unit 11, an entrustor signature management unit 12, a signature distribution value generation unit 13, a commit value calculation unit 14, and a polynomial generation unit 15.
[0029]
The consignment content management unit 11 has a function for managing the contents entrusted to the trustee (hereinafter referred to as “consignment contents”), a function for presenting the consignment contents to the trustee apparatus 20, and a consignment received from the trustee apparatus 20. A function for confirming the will, a function for sending a distributed signature generation request to the entrustor signature management unit 12 according to the entrustment will, a part r of the signature received from the entrustor signature management unit 12 at the time of entrustment, and a signature distribution value s₀And a function of transmitting the commit value c to the trustee apparatus 20, a function of examining a process execution result (hereinafter also referred to as a process result) or a process completion notification received from the trustee apparatus 20, and a consignor according to the examination result Signature distribution value s received from signature management unit 12₁Is transmitted to the trustee device 20, and a function for confirming the signature receipt notification transmitted from the trustee device 20.
[0030]
The entrustor signature management unit 12 has a function of managing the signature (r, s), a function of sending a polynomial generation request to the polynomial generation unit 15 based on the distributed signature generation request received from the entrustment content management unit 11, and a commit The commit value c received from the value calculation unit 14 and the signature distribution value s received from the signature distribution value generation unit 13₀, S₁And a part of signature r at the time of entrustment, one signature distribution value s₀And the function of transmitting the commit value c to the consignment content management unit 11 and the other signature distribution value s requested according to the examination result of the consignment content management unit 11₁Is sent to the commissioned content management unit 11.
[0031]
The signature distribution value generation unit 13 adds the argument z to the polynomial f (z) received from the polynomial generation unit 15._iTo input the function value f (z_i) Is the signature distribution value s_iAnd a signature distribution value s generated_iIs sent to the consignor signature management unit 12.
[0032]
The commit value calculation unit 14 based on the random number b received from the polynomial generation unit 15 and the signature part r, the commit value c (= r^b(Mod p)) and a function for sending the calculated commit value c to the entrustor signature management unit 12.
[0033]
The polynomial generation unit 15 generates a polynomial f (z) (= s + b · z (mod q)) using a signature (r, s) in accordance with a polynomial generation request received from the entrustor signature management unit 12, and a polynomial It has a function of sending the random number b selected at the time of generation and a part of the signature r to the commit value calculation unit 14 and a function of sending the generated polynomial f (z) to the signature distribution value generation unit 13.
[0034]
The trustee apparatus 20 includes a trust content processing unit 21, a trust content management unit 22, a trustee signature management unit 23, a signature distribution value verification unit 24, a signature calculation unit 25, and a signature verification unit 26.
[0035]
The entrusted content processing unit 21 has a function of performing processing in accordance with the entrusted content received from the entrusted content management unit 22 and a function of sending the execution result (processing result) of the processing to the entrusted content management unit 22.
[0036]
The entrusted content management unit 22 has a function of transmitting an entrustment intention to the entrustor device 10 for the entrusted content received from the entrustor device 10, a function of sending the entrusted content to the entrusted content processing unit 21, and the entrustor device 10. Part of the signature r received from, signature distribution value s₀And the commit value c to the trustee signature management unit 23, and the signature distribution value s received from the trustee signature management unit 23₀A function for requesting the commissioned content processing unit 21 to process the commissioned content based on the verification result and a processing result or a processing completion notification for the commissioned content based on the processing result received from the commissioned content processing unit 21 Function to transmit and signature distribution value s received from entrustor apparatus 10₁Is sent to the trustee signature management unit 23, and a signature receipt notification is sent to the trustee device 10 according to the verification results of the signature (r, s) and the commit value c received from the trustee signature management unit 23. It has a function to do.
[0037]
The trustee signature management unit 23 includes a part r of the signature received from the trust content management unit 22 and a signature distribution value s.₀, S₁And a commit value c, a part r of the signature to be saved, and a signature distribution value s₀(Or s₁) And the commit value c to the signature distribution value verification unit 24 to request verification, and the signature distribution value s received from the signature distribution value verification unit 24₀(Or s₁) A verification result to the consignment content management unit 22, part r of the signature to be stored, and signature distribution value s₀, S₁And a function of sending the commit value c to the signature calculation unit 25 and a function of notifying the verification content management unit 22 of the verification results of the signature (r, s) received from the signature verification unit 26 and the commit value c. .
[0038]
The signature distribution value verification unit 24 includes a part r of the signature received from the trustee signature management unit 23, the signature distribution value s.₀(Or s₁) And the commit value c, the signature distribution value s₀(Or s₁) And a signature distribution value s₀(Or s₁) Verification result to the trustee signature management unit 23.
[0039]
The signature calculation unit 25 includes a part r of the signature received from the trustee signature management unit 23, and a signature distribution value s.₀, S₁And a function for calculating a part s and a random number b of the signature from the commit value c, a function for transmitting the signature (r, s) and the commit value c obtained by the calculation to the signature verification unit 26, and a function obtained by the calculation. And a function of transmitting the signature (r, s) to the trustee signature management unit 23.
[0040]
The signature verification unit 26 has a function of verifying the validity of the signature (r, s) and the commit value c received from the signature calculation unit 25 and a function of notifying the verification result to the trustee signature management unit 23.
[0041]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0042]
First, the entrustor apparatus 10 has a signature target message m and a signature (r, s) for the message m. Each parameter satisfies the following relational expressions (1) and (2).
[0043]
r = α^k(Mod p) (1)
s = k^-1{H (m) + x · r} (mod q) (2)
Here, as long as the signature (r, s) satisfies the relational expressions (1) and (2), there is no restriction on the content of the message m or who the signer is. For example, the message m and signature (r, s) pair may represent electronic cash, or may represent a land title or license. When the pair of the message m and the signature (r, s) is electronic cash, an electronic commerce system to which the signature distribution system is applied is realized, and the pair of the message m and the signature (r, s) is a right document or In the case of a license, an electronic contract system or an electronic government system is realized as a signature distribution system. Each of these electronic processing systems is an example, and an arbitrary electronic processing system can be realized corresponding to the content of an arbitrary message m.
[0044]
The issuer of the signature (r, s) may be the entrustor device 10 or a third party device (not shown). When the entrustor apparatus 10 is an issuer, x is a signature private key of the entrustor apparatus 10, and y is a verification public key of the entrustor apparatus 10. Also, the argument z₀And z₁Is information shared by the entrustor apparatus 10 and the entrustor apparatus 20, but may be transmitted in the next step ST1.
[0045]
As shown in FIG. 3, in the consignor device 10, the consignor content management unit 11 transmits the consignment content to the trustee device 20 by the operation of the consignor (ST1). The entrusted content may include the message m or may include a part r of the signature.
[0046]
The trustee device 20 transmits a trust intention (affirmation or negative) as to whether or not to accept the received consignment content from the consignment content management unit 22 to the consignor device 10 (ST2). Here, the will to be entrusted may be transmitted with the contents judged each time by the entrustee, or as long as there is no error or busy, etc., all the cases will be entrusted without any human judgment. May be sent.
[0047]
In the entrustor apparatus 10, the entrustment content management unit 11 confirms the entrustment intention (ST3). If the entrustment intention is negative, the process is terminated. If the entrustment intention is affirmative, a request for generating a distributed signature is entrusted. The signature is sent to the signature management unit 12.
[0048]
When the entrustor signature management unit 12 receives this generation request, it sends the polynomial generation request and the signature (r, s) to the polynomial generation unit 15.
[0049]
In accordance with this polynomial generation request, the polynomial generator 15 multiplicative group Zq^*An arbitrary random number b is selected from (b∈Zq^*), A polynomial f (z) is generated as shown in the following equation (3) (ST4).
[0050]
f (z) =s@+b.z (mod q) (3)
Thereafter, the polynomial generator 15 sends the selected random number b and a part r of the signature to the commit value calculator 14 at the time of generation, and the generated polynomial f (z) to the signature variance value generator 13. Send it out.
[0051]
The commit value calculation unit 14 calculates a commit value c using the random number b and a part r of the signature as shown in the following equation (4) (ST5), and sends the commit value c to the consignor signature management unit 12. Send it out.
[0052]
c = r^b(Mod p) (4)
On the other hand, the signature distribution value generation unit 13 uses the argument z shared between the devices 10 and 20 in advance with respect to the above-described equation (3).₀, Z₁Are used to express two signature distribution values s as shown in the following equations (3-0) and (3-1):₀, S₁(ST6), and the obtained signature distribution value s₀, S₁Is sent to the consignor signature management unit 12.
[0053]
s₀= F (z₀) = S + b · z₀  (Mod q) (3-0)
s₁= F (z₁) = S + b · z₁  (Mod q) (3-1)
The entrustor signature management unit 12 includes a part r of the signature and one signature distribution value s.₀And the commit value c are sent to the consignment content management unit 11, and the consignment content management unit 11 sends the data r, s.₀, C are transmitted to the trustee apparatus 20.
[0054]
In the fiduciary device 20, the consignment content management unit 22 receives part of the received signature r, signature distribution value s.₀The commit value c is sent to the trustee signature management unit 23. The trustee signature management unit 23 stores these, and sends the commit value c and signature distribution value s to the signature distribution value verification unit 24.₀And the signature distribution value s₀Request validity verification of.
[0055]
The signature distribution value verification unit 24 uses the signature distribution value s.₀, The signature distribution value s using the commit value c and the signature part r₀Is verified by the following verification expression (5-0) (ST7), and the verification result is notified to the consignment content management unit 22 via the consignor signature management unit 23.
[0056]
[Expression 4]

[0057]
The entrusted content management unit 22 sends the notified signature distribution value s₀When the verification result indicates validity, the entrusted content and the processing request are sent to the entrusted content processing unit 21.
[0058]
The entrusted content processing unit 21 executes an entrusted content execution process based on the entrusted content and its processing request (ST8), and sends the processing result to the entrusted content management unit 22.
[0059]
The commissioned content management unit 22 transmits a processing result (eg, when supplementary explanation is required) or a processing completion notification (eg, success / failure) to the entrustor device 10 based on the content of the processing result. Execute.
[0060]
As processing for sending processing results or processing completion notifications, print output processing of paper media (eg, postcards, sealed letters, etc.) distributed by mail, courier service or scheduled mail (eg, in-house mail), Internet mail transmission processing , FAX transmission processing, telephone communication processing (such as voice guidance processing or control code transmission), or a combination processing of these processes. In addition, the communication method when using the Internet, FAX, telephone, or the like may be either wired or wireless. Further, a third-party organization device that preliminarily examines the processing result may be interposed, and in this case, the processing result and the processing completion notification may be transmitted via the same device.
[0061]
In the entrustor apparatus 10, the entrusted content management unit 11 examines the received processing result or entrusted content completion notification (ST9) and only determines that the other signature distribution value s is valid.₁To the consignor signature management unit 12 and the obtained signature distribution value s₁Is transmitted to the trustee apparatus 20.
[0062]
Here, the examination may be executed with the contents determined each time by the consignor (for example, when the transmission process uses a paper medium, FAX, or telephone), and the human system based on the preset contents. It may be executed without going through the judgment (for example, when the transmission process uses mail, FAX, or telephone).
[0063]
Note that FAX and telephone correspond to both, but for example, in the case of FAX paper output or telephone voice guidance, it is judged by the consignor, and the communication contents of FAX or telephone are stored and stored as character codes, control codes, etc. In such a case, it is determined by the consignor or the setting contents.
[0064]
On the other hand, in the trustee apparatus 20, the trust content management unit 22 receives the signature distribution value s.₁Is sent to the trustee signature management unit 23. The trustee signature management unit 23 uses the signature distribution value s.₁Is sent to the signature distribution value verification unit 24, and the signature distribution value s₁Request verification of the legitimacy of
[0065]
The signature distribution value verification unit 24 uses the signature distribution value s.₁Is verified by the following verification expression (5-1) (ST10), and the verification result is returned to the trustee signature management unit 23.
[0066]
[Equation 5]

[0067]
The trustee signature management unit 23, when the verification result of the received signature distribution value is valid, the commit value c, a part of the signature r, and the signature distribution value s.₀, S₁Is transmitted to the signature calculation unit 25.
[0068]
The signature calculation unit 25 uses two signature distribution values s.₀, S₁The part s and the random number b of the signature are calculated using the two formulas (3-0) and (3-1) from (ST11), and the part s and the random number b of the signature are obtained from the trustee signature management unit 23 and the signature. The data is sent to the verification unit 26.
[0069]
When the signature verification unit 26 receives a part s of the signature and the random number b, the signature verification unit 26 verifies the validity of the signature (r, s) by the following verification formula (6), and at the same time the commit value c by the above-described formula (4). Are verified (ST12), and each verification result is sent to the trustee signature management unit 23.
[0070]
r^s= Α^{h (m)}y^r  (Mod p) (6)
When verifying the signature (r, s), instead of the verification formula (6), the following verification formula (7) of the DSA (digital signature algorithm) using (r, s, h (m)) May be applied.
[0071]
[Formula 6]

[0072]
The trustee signature management unit 23 sends the verification results of the signature (r, s) and the commit value c to the trust content management unit 22. The entrusted content management unit 22 transmits a signature receipt notification to the entrustor apparatus 10 based on these verification results.
[0073]
In entrustor apparatus 10, entrustment content management section 11 confirms this signature receipt notification (ST 13), and ends the processing related to the exchange of signatures.
[0074]
As described above, according to the present embodiment, after the entrustor apparatus 10 presents an arbitrary message m to the entrustor apparatus 20, the signature (r, s) for the message m itself is not guaranteed, but n is guaranteed. Pieces of distributed information s_iAre transmitted to the trustee apparatus 20 individually in time series.
[0075]
On the other hand, the trustee device 20 has n pieces of shared information s_iThe message m is guaranteed by restoring the signature (r, s) based on.
[0076]
That is, when a digital signature is exchanged, the digital signature (r, s) is finally exchanged by exchanging n pieces of distributed information in stages, instead of exchanging the entire signature at once. Yes. Accordingly, it is possible to achieve fair processing without putting each party in a disadvantageous state.
[0077]
(Second Embodiment)
FIG. 4 is a schematic diagram showing a schematic configuration of a signature distribution system according to the second embodiment of the present invention, and FIG. 5 is a functional block diagram specifically showing the configuration of the system. Parts having the same or substantially the same function are denoted by the same reference numerals, and parts having changed functions are denoted by alphabetical subscripts, and description of overlapping functions is omitted. Here, different functions are mainly described. In the following embodiments, the same description is omitted.
[0078]
That is, this embodiment is a modification of the first embodiment in which the signer is not limited. As shown in FIG. 36, the entrustor apparatus 10 has a function of issuing a signature (r, s). It has a configuration.
[0079]
Specifically, as shown in FIG. 5, the entrustor apparatus 10 a includes a signature generation unit 16 in addition to the units 11 to 15 described above.
Accordingly, the consignor signature management unit 12a sends a signature generation request to the signature generation unit 16 based on the distributed signature generation request received from the consignment content management unit 11 in addition to the function of the unit 12 described above. A function and a function for managing the signature (r, s) received from the signature generation unit 16 are added.
[0080]
The signature generation unit 16 generates a signature (r, s) based on the signature generation request received from the entrustor signature management unit 12 a and sends the generated signature (r, s) to the entrustor signature management unit 12. It has a function to do.
[0081]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0082]
First, the signature (r, s) has not yet been generated.
Here, the processing from step ST1 for transmitting the contents of entrustment to the trustee apparatus 20 to ST3 for confirming the entrustment will be executed as described above.
[0083]
That is, the entrustment content management unit 11 confirms the entrustment intention in step ST3, ends the processing if the entrustment intention is negative, and if the entrustment intention is affirmative, the entrustment content management unit 11 issues a distributed signature generation request. To 12a.
[0084]
Next, when the entrustor signature management unit 12a receives the distributed signature generation request, the entrustor signature management unit 12a sends the signature generation request to the signature generation unit 16, unlike the above.
[0085]
In accordance with this signature generation request, the signature generation unit 16 multiplicative group Zq^*An arbitrary random number k is selected from (k∈Zq^*), The signature (r, s) satisfying the above-described equations (1) and (2) is calculated for the message m (ST3-2), and this signature (r, s) is sent to the consignor signature management unit 12a. Send it out.
The consignor signature management unit 12 a stores the signature (r, s) and then sends the polynomial generation request and the signature (r, s) to the polynomial generation unit 15.
[0086]
Thereafter, the processing from the polynomial generation in step ST4 to the confirmation of the signature receipt notification in step ST13 is executed as described above.
[0087]
As described above, according to the present embodiment, in addition to the effects of the first embodiment, since the consignor device 10 executes all the processing on the consignment side, the consignor manages all the processing on the consignment side. Can do.
In addition, since the signature (r, s) is generated after receiving the will to be entrusted, the content of the message m can be determined more freely than in the first embodiment. The same applies to the following embodiments.
[0088]
(Third embodiment)
FIG. 7 is a schematic diagram showing a schematic configuration of a signature distribution system according to the third embodiment of the present invention, and FIG. 8 is a functional block diagram specifically showing the configuration of the system.
[0089]
This embodiment is a modification of the second embodiment in which the signer is limited to the consignor. A third party device 30b is provided on the consignor side, and as shown in FIG. Of these five functions, the trustee's performance review function and signature distribution value s₁The distribution function is outsourced to the third party device 30b.
[0090]
Along with this, in the consignor device 10b, the consignment content management unit 11b is added with a transmission function addressed to the third party device 30b.
[0091]
Specifically, the consignment content management unit 11b relates to the function of the unit 11 described above, when entrusting, from the consignor signature management unit 12b, a part of the signature r, the signature distribution value s.₁And a function of receiving the commit value c and transmitting them to the third party apparatus 30b together with the contents of the entrustment, while a function of examining the processing result or processing completion notification and the signature distribution value s according to the examination result₁Is omitted from the function of transmitting to the trustee device 20.
[0092]
In addition, the consignor signature management unit 12b relates to the function of the unit 12a described above, and the signature distribution value s according to the examination result of the consignment content management unit 11.₁Is omitted, while the signature distribution value s₁Each data r, s₀, C and a function to send to the commissioned content management unit 11b.
[0093]
On the other hand, in the trustee device 20b, the transmission / reception function for the third party device 30b is added to the trust content management unit 22b with the addition of the third party device 30b.
[0094]
Specifically, the entrusted content management unit 22b relates to the function of the unit 22 described above, the transmission function of the processing result or processing completion notification and the signature distribution value s.₁Is configured to be executed with the third party device 30b as a communication partner.
[0095]
On the other hand, the third party device 30b includes an examination content management unit 31, a third party signature management unit 32, and a third party signature distributed value verification unit 33.
[0096]
The examination content management unit 31 has a function of managing the contents of entrustment received from the entrustor apparatus 10b, a part r of the signature received from the entrustor apparatus 10b, and the signature distribution value s.₁And a function for sending the commit value c to the third party signature management unit 32, a function for examining the processing result or processing completion notification received from the trustee apparatus 20b, and a function received from the third party signature management unit 32 according to the examination result. Signature distribution value s₁Is transmitted to the trustee apparatus 20b.
[0097]
The third party signature management unit 32 includes a part r of the signature received from the examination content management unit 31 and a signature distribution value s.₁And a function for managing the commit value c, a part of the signature r, and a signature distribution value s₁And a function for requesting verification by sending the commit value c to the third party signature distributed value verifying unit 33, and the signature distributed value s received from the third party signature distributed value verifying unit 33₁Of managing the verification result of the signature and the signature distribution value s requested according to the examination result of the examination content management unit 31₁Is sent to the examination content management unit 31.
[0098]
The third party signature distribution value verifying unit 33 receives a part r of the signature received from the third party signature management unit 32 and the signature distribution value s.₁And the signature distribution value s based on the commit value c₁And a function of sending the verification result to the third-party signature management unit 32.
[0099]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0100]
First, from step ST1 for transmitting the contents of entrustment to the trustee apparatus, the signature distribution value s₀, S₁The process up to step ST6 for calculating is performed in the same manner as in the second embodiment. The argument z₀, Z₁Etc. are shared by the devices 10b, 20b and 30b.
[0101]
Next, in entrustor apparatus 10b, entrustor signature management unit 12b that has executed step ST6 performs a part of the signature r, two signature distribution values s.₀, S₁The commit value c is sent to the commissioned content management unit 11b.
[0102]
The entrusted content management unit 11b stores each data r, s₀, S₁, C, a part of the signature r and the other signature variance value s₁The commit value c is transmitted to the third party device 30b.
[0103]
In the third-party device 30b, the examination content management unit 31 performs part of the signature r, signature distribution value s.₁The commit value c is sent to the third-party signature management unit 32, and the consignment content is saved.
[0104]
The third-party signature management unit 32 includes a part of the signature r and the signature distribution value s.₁And the commit value c are sent to the third party signature distribution value verification unit 33 to request verification.
[0105]
The third party signature distribution value verification unit 33 includes a part of the signature r and the signature distribution value s.₁And the signature distribution value s based on the commit value c₁Is verified (ST10t), and the verification result is sent to the third party signature management unit 32.
[0106]
The three-party signature management unit 32 manages the verification result.
[0107]
Subsequently, in the consignor apparatus 10b, the consignment content management unit 11b performs the data r, s as described above.₀, C are transmitted to the trustee apparatus 20b.
[0108]
In trustee apparatus 20b, after steps ST7 to ST8 are executed in the same manner as described above, a processing result or a processing completion notification is transmitted to third party apparatus 30b, unlike the above.
[0109]
In the third-party device 30b, the examination content management unit 31 examines the received processing result or processing completion notification (ST9t), and only determines that the other signature distribution value s is valid.₁Is requested to the third party signature management unit 32, and the obtained signature distribution value s is obtained.₁Is transmitted to the trustee apparatus 20b.
[0110]
Thereafter, as described above, the signature distribution value s in step ST10.₁The processing from the verification of validity to the confirmation of the signature receipt notification in step ST13 is executed.
[0111]
As described above, according to the present embodiment, in addition to the effects of the second embodiment, the examination function shared by the third party device 30b and the signature distribution value s.₁With respect to the distribution function, it is possible to reduce the load on the consignor device 10b and to increase the reliability as viewed from the consignor.
[0112]
(Fourth embodiment)
FIG. 10 is a schematic diagram showing a schematic configuration of a signature distribution system according to the fourth embodiment of the present invention, and FIG. 11 is a functional block diagram specifically showing the configuration of the system.
[0113]
This embodiment is a modification of the third embodiment, and a third party device 30c is provided in which the authority of the third party device 30b is extended. As shown in FIG. Among the three functions, the screening function described above and s₁Signature distribution value s₀, S₁And the signature distribution value s₀The third party device 30c is also entrusted with the function of distributing
[0114]
Along with this, the entrustor apparatus 10c omits the entrustor signature management unit 12b, and the other units 13 to 15 are arranged in the third party apparatus 30c, and the entrusted content management unit 11c with slightly modified functions and The signature generation unit 16c is provided.
[0115]
Here, the entrustment content management unit 11c follows the function of managing the entrusted content, the function of presenting the entrustment content to the trustee device 20c, the function of confirming the entrustment will received from the trustee device 20c, and the entrustment will The function of making a signature generation request to the signature generation unit 1c and the signature (r, s) received from the signature generation unit 16c are stored, while the entrusted content and the signature (r, s) are transmitted to the third party device 30c. And a function for confirming a signature receipt notification sent from the trustee apparatus 20c.
[0116]
The signature generation unit 16c has a function of generating a signature (r, s) and a function of transmitting the generated signature (r, s) to the consignment content management unit 11c in accordance with a signature generation request from the consignment content management unit 11c. Yes.
[0117]
On the other hand, the trustee apparatus 20c replaces the trust content management unit 22b described above with respect to the function of the trust content management unit 22b, and includes part of the signature r, signature distribution value s.₀And a commitment content management unit 22b configured to receive the commit value c from the third party device 30c.
[0118]
Meanwhile, the third party device 30c includes an examination content management unit 31c, a third party signature management unit 32c, a signature distribution value generation unit 13tc, a commit value calculation unit 14tc, a polynomial generation unit 15tc, and a third party signature verification unit 34. I have.
[0119]
The examination content management unit 31c sends the signature received from the entrustor device 10c to the third party signature management unit 32c by sending the signature received from the entrustor device 10c to the third party signature management unit 32c.₀, S₁, A part of the signature r received from the third party signature management unit 32c, and the signature distribution value s₀(Or s₁) And a commit value c to the trustee device 20c, a function for examining the processing result or processing completion notification received from the trustee device 20c, and a signature received from the third-party signature management unit 32c according to the examination result. Variance value s₁Is transmitted to the trustee apparatus 20c.
[0120]
The third-party signature management unit 32c sends a signature (r, s) to the third-party signature verification unit 34 to request verification by managing the signature (r, s) received from the examination content management unit 31c. A function for requesting generation of a polynomial from the polynomial generation unit 15tc based on a signature distribution value generation request received from the examination content management unit 31c, and a commit value c and signature distribution value received from the commit value calculation unit 14tc Signature distribution value s received from the generator 13tc₀, S₁, A part of the signature to be managed r, and a signature distribution value s₀And the commit value c to the examination content management unit 31c, and the signature distribution value s requested according to the examination result of the examination content management unit 31c.₁And a function for sending the contents to the examination content management department.
[0121]
The signature distribution value generation unit 13tc is obtained by arranging the above-described unit 13 in the third-party device 30c, and the generated signature distribution value s is related to the function of the unit 13._iIs the third party signature management unit 32c.
[0122]
The commit value calculation unit 14tc is the above-described unit 14 arranged in the third party device 30c. Regarding the function of the unit 14, the calculated commit value c is sent to a third party signature management unit 32c. It is a thing.
[0123]
The polynomial generation unit 15tc is obtained by arranging the above-described unit 15 in the third-party device 30c, and regarding the function of the unit 15, the polynomial generation request source is the third-party signature management unit 32c. .
[0124]
The third party signature verification unit 34 has a function of verifying the validity of the signature (r, s) received from the third party signature management unit 32c and a function of sending the verification result to the third party signature management unit 32c. Yes.
[0125]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0126]
First, the process from step ST1 for transmitting the contents of entrustment to the trustee apparatus to step ST3-2 for calculating the signature (r, s) is executed in the same manner as the third (or second) embodiment.
[0127]
Subsequently, the consignment content management unit 11c stores the signature (r, s) received from the signature generation unit 16c, and transmits the consignment content and the signature (r, s) to the third party device 30c.
[0128]
In the third party device 30c, the examination content management unit 31c sends the signature (r, s) to the third party signature management unit 32c to send the signature distribution value s.₀, S₁Request generation and manage the contents of commission.
[0129]
The third party signature management unit 32c transmits the signature (r, s) to the third party signature verification unit 34 and requests verification of the signature (r, s).
[0130]
The third party signature verification unit 34 verifies the validity of the signature (r, s) and sends the verification result to the third party signature management unit 32c.
[0131]
The third-party signature management unit 32c sends the polynomial generation request and the signature (r, s) to the polynomial generation unit 15tc only when the verification result indicates the validity of the signature (r, s).
[0132]
Here, similarly to steps ST4 to ST6 described above, from step ST4t for generating a polynomial, the signature distribution value s₀, S₁Up to step ST6t for calculating is executed.
[0133]
Thereafter, the third-party signature management unit 32c determines that a part of the signature r, one signature distribution value s.₀And the commit value c are sent to the examination content management unit 31c. The examination content management unit 31c₀, C are transmitted to the trustee apparatus 20c.
[0134]
Hereinafter, the signature distribution value s in step ST7₀The processing from the validity verification to the confirmation of the signature receipt notification in step ST13 is executed in the same manner as in the third embodiment.
[0135]
As described above, according to the present embodiment, in addition to the effects of the third embodiment, the signature distribution value s shared by the third-party device 30c.₀With respect to the calculation function and the distribution function, it is possible to reduce the load on the entrustor apparatus 10c and to increase the reliability viewed from the entrustee.
[0136]
(Fifth embodiment)
FIG. 13 is a schematic diagram showing a schematic configuration of a signature distribution system according to the fifth embodiment of the present invention, and FIG. 14 is a functional block diagram specifically showing the configuration of the system.
[0137]
This embodiment is a modification of the first or second embodiment. As shown in FIG. 36, the third party (signature) device 40d has a function of issuing a signature (r, s). It has become.
[0138]
Accordingly, the consignor device 10d is provided with a consignor signature verification unit 17 for verifying the signature by the third-party device 40d in addition to the above-described units 13 to 15, and the consignment contents whose functions are modified. The configuration includes a management unit 11d and a consignor signature management unit 12d.
[0139]
Here, in addition to the function of the part 11 described above, the entrustor content management unit 11d has a function of transmitting a signature generation request to the third party device 40d and a signature (r, s) received from the third party device 40d. And a function for sending the signature (r, s) to the entrustor signature management unit 12d.
[0140]
The entrustor signature management unit 12d has a function of requesting verification by sending the signature (r, s) received from the entrustor content management unit 11d to the entrustor signature verification unit 17 in addition to the function of the unit 12 described above. And a function of storing the verification result received from the consignor signature verification unit 17.
[0141]
The entrustor signature verification unit 17 has a function of verifying the signature (r, s) received from the entrustor signature management unit 12d and a function of sending the verification result to the entrustor signature management unit 12d.
[0142]
The third party device 40d includes a third party signature generation unit 16td.
The third party signature generation unit 16td is the one in which the signature generation unit 16 described above is arranged in the third party device 40d, and the communication partner is the entrustor device 10d regarding the function of the unit 16.
[0143]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0144]
First, the processing from step ST1 for transmitting the contents of entrustment to the trustee apparatus 20 to ST3 for confirming the entrustment will be executed as in the second embodiment.
[0145]
That is, the entrustment content management unit 11d confirms the entrustment intention in step ST3, ends the process if the entrustment intention is negative, and if the entrustment intention is affirmative, the entrustment content management unit 11d issues a third signature generation request (issue request). To the user device 40d (ST3-1).
[0146]
Next, in the third party device 40d, when the third party signature generation unit 16td receives the signature generation request, the signature (r, s) is calculated in the same manner as described above (ST3-2t), and this signature (r, s) Is transmitted to the consignor apparatus 10d.
[0147]
In the entrustor apparatus 10d, the entrustment content management unit 11d stores the received signature (r, s) and sends the signature (r, s) to the entrustor signature management unit 12d.
[0148]
The consignor signature management unit 12d saves the signature (r, s), sends the signature (r, s) to the consignor signature verification unit 17, and requests verification of the signature (r, s).
[0149]
The entrustor signature verification unit 17 verifies the validity of the signature (r, s) by the above-described equation (7), and sends the verification result to the entrustor signature management unit 12d.
[0150]
The entrustor signature management unit 12d sends the polynomial generation request and the signature (r, s) to the polynomial generation unit 15 only when the verification result is valid.
[0151]
Thereafter, the processing from the polynomial generation in step ST4 to the confirmation of the signature receipt notification in step ST13 is executed in the same manner as in the first embodiment.
[0152]
As described above, according to the present embodiment, in addition to the effects of the first embodiment, the load on the entrustor apparatus 10d is reduced with respect to the calculation function of the signature (r, s) shared by the third party apparatus 40d. , The trustworthiness seen from the trustee can be increased.
[0153]
(Sixth embodiment)
FIG. 16 is a schematic diagram showing a schematic configuration of a signature distribution system according to the sixth embodiment of the present invention, and FIG. 17 is a functional block diagram specifically showing the configuration of the system.
[0154]
This embodiment is a modification of the fifth embodiment. As shown in FIG. 36, the signature distribution value s is determined from the function for issuing a signature.₀, S₁The third-party (signature) device 40e has a configuration up to the function of calculating.
[0155]
Accordingly, the entrustor apparatus 10 e includes an entrusted content management unit 11 e and an entrustor signature distributed value verification unit 18.
[0156]
The consignment content management unit 11e performs a function according to the consignment will, a function for managing the consignment content of the consignor, a function for presenting the consignment content to the trustee device 20, a function for confirming the consignment will received from the trustee device 20. A function for requesting signature generation to the three-party device 40e, a part r of the signature received from the third-party device 40e, and a signature distribution value s₀And a commit value c, a signature part r, and a signature distribution value s₀And the commit value c are transmitted to the consignor signature distributed value verification unit 18 to transmit the signature distributed value s.₀That requests verification of a signature, a part of the signature r, and the signature distribution value s₀And the function of transmitting the commit value c to the trustee device 20, the function of examining the processing result or the processing completion notification received from the trustee device 20, and the third party device 40e according to the commissioning processing result or the examination result of the processing completion notification. Sign variance value s₁And a signature distribution value s received from the third-party device 40e.₁Is transmitted to the trustee device 20, and a function of confirming the signature receipt notification received from the trustee device 20.
[0157]
The entrustor signature distributed value verification unit 18 sends a part of the signature r and the signature distributed value s from the entrusted content management unit 11e.₀(Or s₁) And the commit value c, the signature distribution value s₀(Or s₁) And a function for sending the verification result to the commissioned content management unit 11e.
[0158]
The third party device 40e includes a third party signature generation unit 16te, a third party signature management unit 12te, a signature distribution value generation unit 13te, a commit value calculation unit 14te, and a polynomial generation unit 15te.
[0159]
The third party signature management unit 12te includes a function for requesting the third party signature generation unit 16te to generate a signature based on a signature generation request (issue request) received from the entrustor apparatus 10e, and a third party signature generation unit. A function for managing the signature (r, s) received from 16te, a function for requesting the polynomial generator 15te to generate a polynomial, and a commit value c received from the commit value calculator 14te and a signature distributed value generator 13te. Signature distribution value s₀, S₁And a part of signature r and signature distribution value s based on the first signature distribution value sending request received from entrustor apparatus 10.₀And the signature distribution value s based on the function of transmitting the commit value c to the entrustor apparatus 10 and the second signature distribution value sending request received from the entrustor apparatus 10.₁Is transmitted to the entrustor apparatus 10.
[0160]
The signature distribution value generation unit 13te is the above-described unit 13 arranged in the third party device 40e, and the generated signature distribution value s is related to the function of the unit 13._iIs the third party signature management unit 12te.
[0161]
The commit value calculation unit 14te is the above-described unit 14 arranged in the third-party device 40e. Regarding the function of the unit 14, the calculated commit value c is sent to the third-party signature management unit 12te. It is a thing.
[0162]
The polynomial generation unit 15te is the above-described unit 15 arranged in the third-party device 40e, and regarding the function of the unit 15, the polynomial generation request source is the third-party signature management unit 12te. .
[0163]
The third-party signature generation unit 16te is the one in which the signature generation unit 16 described above is arranged in the third-party device 40e, and the communication partner is the third-party signature management unit 12te with respect to the function of the unit 16. is there.
[0164]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0165]
First, the processing from step ST1 for transmitting the contents of entrustment to the trustee device 20 to step ST3-2 for calculating the signature (r, s) by the third party device 40e is executed in the same manner as in the fifth embodiment. Is done.
[0166]
However, the third party signature unit 16te receives a signature generation request via the third party signature management unit 12te. Further, when the third party signature unit 16te calculates the signature (r, s) as described above based on the signature generation request (ST3-2t), the third party signature unit 16te converts the signature (r, s) to the first Send to the three-party signature manager 12te.
[0167]
The third party signature management unit 12te saves the signature (r, s), and sends the polynomial generation request and the signature (r, s) to the polynomial generation unit 15te.
[0168]
Here, similarly to steps ST4 to ST6 described above, from step ST4t for generating a polynomial, the signature distribution value s₀, S₁Up to step ST6t for calculating is executed.
[0169]
Thereafter, the third-party signature management unit 12te determines that the signature part r and the signature distribution value s₀, S₁And commit value c. In addition, when the third party signature management unit 12te receives a signature distribution value sending request from the entrustor device 10, based on this request, a part of the signature r and the signature distribution value s₀The commit value c is transmitted to the entrustor apparatus 10e.
[0170]
In the consignor apparatus 10e, the consignment content management unit 11e performs a part r of the signature, the signature distribution value s.₀And the commit value c are sent to the consignor signature distribution value verification unit 18 and the signature distribution value s₀Request verification.
[0171]
The entrustor signature distributed value verification unit 18 includes a part of the signature r and the signature distributed value s.₀And the signature distribution value s based on the commit value c₀Is verified by the verification expression (5-0) described above (ST7c), and the verification result is returned to the commissioned content management unit 11e.
[0172]
The entrusted content management unit 11e receives the signature distribution value s₀When the verification result of 示 す indicates validity, part of the signature r, signature distribution value s₀The commit value c is transmitted to the trustee apparatus 20.
[0173]
Next, as in steps ST7 to ST9 described above, the signature distribution value s₀The process from step ST7 for verifying the legitimacy of the process to step ST9 for examining the content of the execution is executed.
[0174]
However, in the entrustor apparatus 10, the entrusted content management unit 11 examines the processing result or the entrusted content completion notification (ST9) and only determines that the other signature distribution value s is valid.₁Is requested to the third party device 40e.
[0175]
In response to this request, the third party device 40e causes the third party signature manager 12te to execute the signature distribution value s.₁Is transmitted to the entrustor apparatus 10e (ST9-1t).
[0176]
The entrustor apparatus 10e is configured such that the entrusted content management unit 11e uses the signature distribution value s₁Is sent to the consignor signature distribution value verification unit 18 and the signature distribution value s₁Request verification.
[0177]
The entrustor signature distribution value verification unit 18 performs the signature distribution value s as described above.₁And the verification result is sent to the commissioned content management unit 11e.
[0178]
The entrusted content management unit 11e receives the signature distribution value s₀Signature verification value s₁Is transmitted to the trustee apparatus 20 (ST9-2c).
[0179]
Thereafter, as described above, the signature distribution value s in step ST10.₁The processing from the verification of validity to the confirmation of the signature receipt notification in step ST13 is executed.
[0180]
As described above, according to the present embodiment, in addition to the effects of the fifth embodiment, the signature distribution value s shared by the third-party device 40e.₀, S₁With respect to the calculation function, it is possible to reduce the load on the entrustor apparatus 10c and to increase the reliability seen from the entrustee.
[0181]
(Seventh embodiment)
FIG. 19 is a schematic diagram showing a schematic configuration of a signature distribution system according to the seventh embodiment of the present invention, and FIG. 20 is a functional block diagram specifically showing the configuration of the system.
[0182]
This embodiment is a modification of the sixth embodiment, and as shown in FIG. 36, after the execution contents are examined by the entrustor apparatus 10f, the third party apparatus 40f requests the signature distribution value s.₁Is distributed to the trustee apparatus 20f.
[0183]
Accordingly, in the consignor device 10f, the consignment content management unit 11f receives the signature distribution value s received from the third-party device 40f regarding the function of the unit 11e described above.₁Is transmitted to the trustee apparatus 20f.
[0184]
In the fiduciary device 20f, the fiduciary content management unit 22f has a signature distribution value s regarding the function of the unit 22 described above.₁The transmission source is replaced with the third party device 40f.
[0185]
In the third-party device 40f, the third-party signature management unit 12tf has a signature distribution value s regarding the function of the unit 12te described above.₁Is changed to the trustee apparatus 20f.
[0186]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0187]
First, from step ST1 in which the contents of entrustment are transmitted to the trustee apparatus 20, the third party apparatus 40e receives the signature distribution value s.₁The process up to step ST9-1 for transmitting is performed in the same manner as in the sixth embodiment.
[0188]
However, in the process of step ST9-1, the signature distribution value s₁Unlike the above, the transmission destination is the trustee apparatus 20f. That is, the signature distribution value s₁Is transmitted directly from the third party device 40f to the trustee device 20f.
[0189]
Thereafter, as described above, the signature distribution value s in step ST10.₁The processing from the verification of validity to the confirmation of the signature receipt notification in step ST13 is executed.
[0190]
As described above, according to the present embodiment, in addition to the effects of the sixth embodiment, the signature distribution value s shared by the third-party device 40f is shared.₁With respect to the distribution function, it is possible to reduce the load on the consignor apparatus 10f and to increase the reliability as viewed from the consignor.
[0191]
(Eighth embodiment)
FIG. 22 is a schematic diagram showing a schematic configuration of a signature distribution system according to the eighth embodiment of the present invention, and FIG. 23 is a functional block diagram specifically showing the configuration of the system.
[0192]
This embodiment is a modification of the seventh embodiment. As shown in FIG. 36, the signature distribution value s of the five main functions on the consignor side is shown.₀The consignor apparatus 10g has a function of distributing the information, and the third party apparatus 40g has the other four functions.
[0193]
Accordingly, the function of the entrusted content management unit 11g is slightly modified in the entrustor apparatus 10g.
[0194]
The consignment content management unit 11g has the signature distribution value s based on the examination result from the function of examining the processing result and the like regarding the function of the unit 11f described above.₁Is omitted from the function until it is transmitted to the trustee apparatus 20g.
[0195]
In the trustee device 20g, the function of the trust content management unit 22g is slightly modified.
The commissioned content management unit 22g has a configuration in which the transmission destination of the processing result or the processing completion notification is replaced with the third party device 40g regarding the function of the unit 22f described above.
[0196]
The third-party device 40g has a configuration in which an examination content management unit 41g is added to the above-described device 40f.
[0197]
The examination content management unit 41g has a function of requesting the third party signature management unit 12tg to generate a signature based on a signature generation request (issue request) received from the entrustor device 10g, and the entrustment content received from the entrustor device 10g. A function to be managed, a part r of the signature received from the third-party signature management unit 12tg, and a signature distribution value s₀And third party signature management according to the function of transmitting the commit value c to the entrustor apparatus 10g, the function of examining the processing result or process completion notice received from the entrustor apparatus 20g, and the examination result of the entrusting process result or process completion notice Signature distribution value s received from the part 12tg₁Is transmitted to the trustee apparatus 20g. However, the signature distribution value s is sent to the trustee apparatus 20g.₁Related information including the commit value c and part r of the signature may be transmitted together.
[0198]
The third party signature management unit 12tg is the one in which the communication partner is changed to the examination content management unit 41g in place of the entrustor device 10f with respect to the function of the unit 12tf described above.
[0199]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0200]
First, the processing from step ST1 in which the entrustment content is transmitted to the trustee apparatus 20g to step ST8 in which the entrustee device 20g performs the entrustment content is executed as in the seventh embodiment.
[0201]
However, in the fiduciary device 20g, the consignment content management unit 22g executes transmission processing for transmitting a processing result or a processing completion notification to the third party device 40g, unlike the above.
[0202]
In the third party device 40g, the examination content management unit 41g examines the received processing result or the commissioned content completion notice (ST9t), and only determines that the other signature distribution value s is valid.₁To the consignor signature management unit 12tg, and the obtained signature distribution value s₁Is transmitted to the trustee apparatus 20g (ST9-1t).
[0203]
Thereafter, as described above, the signature distribution value s in step ST10.₁The processing from the verification of validity to the confirmation of the signature receipt notification in step ST13 is executed.
[0204]
As described above, according to the present embodiment, in addition to the effect of the seventh embodiment, regarding the examination function of the performance content shared by the third party device 40g, while reducing the load on the entrustor device 10g, from the trustee You can increase the creditworthiness you saw.
[0205]
(Ninth embodiment)
FIG. 25 is a schematic diagram showing a schematic configuration of a signature distribution system according to the ninth embodiment of the present invention, and FIG. 26 is a functional block diagram specifically showing the configuration of the system.
[0206]
This embodiment is a modification of the seventh embodiment. As shown in FIG. 36, the consignor apparatus 10h has a function of examining the performance contents among the five main functions on the consignor side. The third-party device 40h has the other four functions.
[0207]
Accordingly, the entrustor apparatus 10h includes an entrusted content management unit 11h in which the entrustor signature distributed value verification unit 18 is omitted and the function is slightly modified.
[0208]
The entrusted content management unit 11h relates to the function of the unit 11f described above from the third-party device 40h to a part of the signature r, the signature distribution value s.₀, S₁The function for receiving the commit value c and the related functions (verification function, transmission function, etc.) are omitted.
[0209]
In the trustee apparatus 20h, the signature distribution value s is related to the function of the part 22f described above.₀The transmission source is also replaced with the third party device 40h.
[0210]
In the third party device 40h, the third party signature management unit 12th relates to the function of the unit 12te described above, and the signature distribution value s.₀Is changed to the trustee apparatus 20h.
[0211]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0212]
First, from step ST1 in which the contents of entrustment are transmitted to the trustee apparatus 20, the third party apparatus 40h receives the signature distribution value s.₀, S₁The process up to step ST6t for calculating is performed in the same manner as in the seventh embodiment.
[0213]
After step ST6t, the third party signature management unit 12th performs a part of the signature r, the signature distribution value s.₀, S₁And the commit value c, but when a signature distributed value sending request is received from the entrustor apparatus 10h, unlike the above, a part of the signature r and the signature distribution value s are sent to the entrustor apparatus 20h.₀And the commit value c. That is, part of the random number r, signature distribution value s₀The commit value c is transmitted directly from the third party device 40h to the trustee device 20f.
[0214]
Hereinafter, the signature distribution value s in step ST7₀The processing from the validity verification of step S13 to the confirmation of the signature receipt notification in step ST13 is executed in the same manner as in the seventh embodiment.
[0215]
As described above, according to the present embodiment, in addition to the effects of the seventh embodiment, the signature distribution value s shared by the third-party device 40h₀With respect to the distribution function, it is possible to reduce the load on the entrustor apparatus 10h and to increase the trustworthiness seen from the trustee.
[0216]
(Tenth embodiment)
FIG. 28 is a schematic diagram showing a schematic configuration of a signature distribution system according to the tenth embodiment of the present invention, and FIG. 29 is a functional block diagram specifically showing the configuration of the system.
[0217]
This embodiment is a modification of the seventh embodiment. As shown in FIG. 36, the function of the third-party device 40f described above is divided into two third-party devices 30i and 40i. It has become.
[0218]
Here, the third-party device 30i has a third-party signature management unit 12tf, a signature distribution value generation unit 13te, a commit value calculation unit 14te, and a polynomial generation unit 15te among the above-described units of the third-party device 40f. Further, a third party signature verification unit 19 is added.
[0219]
Accordingly, in addition to the above-described function, the third-party signature management unit 12tf manages the signature (r, s) received from the other third-party device 40i and the third signature (r, s). And a function for requesting verification by sending to the person signature verification unit 19.
[0220]
The third party signature verification unit 19 has a function of verifying the validity of the signature (r, s) received from the third party signature management unit 12tf and a function of sending the verification result to the third party signature management unit 12tf. Yes.
[0221]
The third-party device 40i includes a third-party signature generation unit 16te among the units of the third-party device 40f described above. The third party signature generation unit 16te generates a signature (r, s) based on the signature generation request received from the third party signature management unit 12tf, and the generated signature (r, s) And a function of transmitting to the person signature management unit 12tf.
[0222]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0223]
First, the processing from step ST1 for transmitting the contents of entrustment to the trustee device 20 to step 3-1 for transmitting a signature generation request to the third party device 30i is executed in the same manner as in the seventh embodiment. .
[0224]
In the third-party device 30i, the third-party signature management unit 16te transfers this signature generation request to the third-party device 40i for signature.
[0225]
In the third party apparatus 40i for signature, when the third party signature generation unit 16te receives the signature generation request, the signature (r, s) is calculated as described above (ST3-2t), and this signature (r, s) Is transmitted to the requesting third party device 30i.
[0226]
In the third-party device 30i, the third-party signature management unit 12tf stores the received signature (r, s) and sends this signature (r, s) to the third-party signature verification unit 19 for signature ( Request verification of r, s).
[0227]
The third party signature verification unit 19 verifies the validity of the signature (r, s) and sends the verification result to the third party signature management unit 12tf.
[0228]
The third party signature management unit 12tf sends the polynomial generation request and the signature (r, s) to the polynomial generation unit 15te only when the verification result is valid.
[0229]
Thereafter, the processing from the polynomial generation in step ST4t to the confirmation of the signature receipt notification in step ST13 is executed in the same manner as in the seventh embodiment.
[0230]
As described above, according to the present embodiment, in addition to the effects of the seventh embodiment, the functions of the two third party devices 30i and 40i share the functions of the third party devices 30i and 40i. Can be reduced.
[0231]
(Eleventh embodiment)
FIG. 31 is a schematic diagram showing a schematic configuration of a signature distribution system according to the eleventh embodiment of the present invention, and FIG. 32 is a functional block diagram specifically showing the configuration of the system.
[0232]
This embodiment is a modification of the ninth embodiment. As shown in FIG. 36, the function of the third-party device 40h described above is divided into two third-party devices 30j and 40j. It has become.
[0233]
Here, the third-party device 30j includes a third-party signature management unit 12th, a signature distribution value generation unit 13te, a commit value calculation unit 14te, and a polynomial generation unit 15te among the above-described units of the third-party device 40h. Further, a third party signature verification unit 19j is added.
[0234]
In addition to the functions described above, the third party signature management unit 12th manages the signature (r, s) received from the other third party device 40j and the signature (r, s) as a third party signature verification unit. And a function for requesting verification by sending it to 19j.
[0235]
As described above, the third party signature verification unit 19j verifies the validity of the signature (r, s) received from the third party signature management unit 12th and sends the verification result to the third party signature management unit 12th. It is.
[0236]
The third-party device 40j includes a third-party signature generation unit 16te among the units of the third-party device 40h described above. As described above, the third party signature generation unit 16te generates a signature (r, s) based on the signature generation request received from the third party signature management unit 12tf, and the obtained signature (r, s) This is transmitted to the three-party signature management unit 12th.
[0237]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG.
[0238]
First, the process from step ST1 for transmitting the contents of entrustment to the trustee apparatus 20 to step 3-1 for transmitting a signature generation request to the third party apparatus 30j is executed as in the ninth embodiment. .
[0239]
In the third party device 30j, the third party signature manager 16te transfers this signature generation request to the third party device 40j for signature.
[0240]
In the third party apparatus 40j for signature, when the third party signature generation unit 16te receives the signature generation request, the signature (r, s) is calculated in the same manner as described above (ST3-2t), and this signature (r, s) Is transmitted to the requesting third party device 30j.
[0241]
In the third party device 30j, the third party signature management unit 12th saves the received signature (r, s) and sends the signature (r, s) to the third party signature verification unit 19j. Request verification of r, s).
[0242]
The third party signature verification unit 19j verifies the validity of the signature (r, s) and sends the verification result to the third party signature management unit 12tj.
[0243]
The third-party signature management unit 12th sends a polynomial generation request and a signature (r, s) to the polynomial generation unit 15te only when the verification result is valid.
[0244]
Thereafter, the processing from the polynomial generation in step ST4t to the confirmation of the signature receipt notification in step ST13 is executed in the same manner as in the ninth embodiment.
[0245]
As described above, according to the present embodiment, in addition to the effects of the ninth embodiment, the functions of the two third party devices 30j and 40j share each other. Can be reduced.
[0246]
In addition, although the said 2nd-11th embodiment demonstrated the case where the function sharing of a consignor and a third party was changed as shown in FIG. 36, it is not restricted to this but the function sharing shown in FIG. It is good also as function sharing different from.
[0247]
Specifically, from “issue signature (r, s)” to “signature distribution value s” corresponding to the second to eleventh embodiments.₁With respect to the five functions up to “Distribute”, the present invention can be similarly implemented even in a combination in which the function sharing between the consignor and the third party is not shown in FIG.
[0248]
In other words, the function sharing between the consignor and the third party regarding the five functions is 2 in total, except for one way of processing all by the third party.^FiveThere are -1 (= 31) ways. Among these, even if it is any combination of 23 (= 31-8) except 8 ways of 2nd-9th embodiment, this invention can be implemented similarly and the same effect can be acquired.
[0249]
Similarly, the remaining “signature distribution value s when the third party A (signer) performs“ issue signature (r, s) ”corresponding to the tenth to eleventh embodiments.₀, S₁From "Calculate Signature"₁With regard to the four functions up to “Distribute”, even if the combination of functions between the consignor and the third party B is not shown in FIG.
[0250]
In other words, the function sharing between the consignor and the third party B regarding the remaining four functions is 2 in total, except for the two types processed by the consignor or the third party B.^Four-2 (= 14). Of these, any combination of 12 (= 14-2) except the two overlapping with the tenth to eleventh embodiments can be implemented in the same manner to obtain the same effect. it can.
[0251]
Moreover, even if the remaining four functions are not limited to the function sharing between the consignor and the third party B, the present invention can be changed even if the functions are divided among the consignor, the third party A, and the third party B. Needless to say, it can be similarly implemented.
[0252]
(Twelfth embodiment)
FIG. 34 is a schematic diagram showing a schematic configuration of a signature distribution system according to the twelfth embodiment of the present invention.
[0253]
That is, in the present embodiment, two signature distribution values s₀, S₁As shown in FIG. 36, the number of signature distribution values is expanded to a plurality of n of two or more.
[0254]
Specifically, this embodiment is applied to the entrustor device 10x, the third party device 30x, and the third party (signature) device 40x used in any of the first to eleventh embodiments. A consignor side device 50 and a trustee device 20k applied to the trustee device 20x used in the same embodiment as the consignor side are provided. However, in the following description, the case where it is applied to the first embodiment will be described as a representative example.
[0255]
In consignor side device 50, signature distribution value s_i2 has been expanded to n, the polynomial generator 15 shown in FIG. 2 can generate n-1 random numbers bj and an n-term polynomial f (z) for the above-described functions. The signature distribution value generation unit 13 generates n signature distribution values s._iCan be generated, and the commit value calculation unit 14 has n-1 commit values c._jCan be generated.
[0256]
Note that 0 ≦ i ≦ n−1 and 1 ≦ j ≦ n−1. Also, n-1 arguments z_iIs shared by the consignor side device 50 and the consignor device 20k.
[0257]
On the other hand, the trustee apparatus 20k uses the signature distribution value s._i2 is expanded to n, the signature distribution value verification unit 24 shown in FIG. 2 uses the verification formula (11) described later, and the signature calculation unit 25 Signature part r, n signature distribution values s_iAnd n-1 commit values c_jFrom the signature part s and random number b_jCan be calculated.
[0258]
Next, the operation of the signature distribution system configured as described above will be described with reference to the flowchart of FIG. 35 and FIG. 2 described above.
[0259]
First, the processing from step ST1 for transmitting the contents of entrustment to the trustee apparatus 20k to ST3 for confirming the entrustment will be executed in the same manner as in the first embodiment.
[0260]
That is, in the consignor-side device 50, the consignment content management unit 11 confirms the consignment will in step ST3, and sends a distributed signature generation request to the consignor signature management unit 12 only when the consignment intention is positive.
[0261]
When the entrustor signature management unit 12 receives this generation request, it sends the polynomial generation request and the signature (r, s) to the polynomial generation unit 15.
[0262]
In accordance with this polynomial generation request, the polynomial generator 15 multiplicative group Zq^*To n-1 random numbers b_jSelect (b_j∈Zq^*), A polynomial f (z) is generated as shown in the following equation (8) (ST4).
[0263]
f (z) = s + b₁・ Z + b₂・ Z²+ ... + b_n-1・ Z^n-1 (Mod q) (8)
Thereafter, the polynomial generator 15 selects the random number b selected at the time of generation._jAnd a part r of the signature are sent to the commit value calculation unit 14, and the generated polynomial f (z) is sent to the signature distribution value generation unit 13.
[0264]
The commit value calculation unit 14 uses the random number b._jAnd a part of the signature r, n−1 commit values c as shown in the following equation (9)_j(ST5) and this commit value c_jIs sent to the consignor signature management unit 12.
[0265]
c_j= R^bj(Mod p) (9)
On the other hand, the signature distribution value generation unit 13 uses the argument z previously shared between the devices 50 and 20k with respect to the above-described equation (8).₀, ..., z_n-1Are individually substituted, and n signature distribution values s are obtained as shown in the following equation (10).₀, ..., s_n-1(ST6), and the obtained signature distribution value s₀, ..., s_n-1Is sent to the consignor signature management unit 12.
[0266]
s_i= F (z_i) = S + b₁・ Z_i+ B₂・ Z_i ²+ ... + b_n-1・ Z_i ^n-1 (Mod q) (10)
The entrustor signature management unit 12 obtains the signature part r, the first signature distribution value s.₀And the commit value c are sent to the consignment content management unit 11, and the consignment content management unit 11 sends the data r, s.₀, C are transmitted to the trustee apparatus 20k.
[0267]
The trustee apparatus 20k, like the above, the signature distribution value s in step ST7.₀From the validity of the signature distribution value s in step ST10₁Execute the process up to the validity verification of.
[0268]
However, the processing of steps ST8 to ST10 is performed using the signature distribution value s._iIs repeated n-1 times in total based on the fact that there are n.
[0269]
Step ST10₁-10_n-1S1, ..., s_n-1This verification process is executed by the signature distribution value verification unit 24 using the following verification formula (11).
[0270]
[Expression 7]

[0271]
In addition, the signature distribution value verification unit 24 receives each signature distribution value s._iThe verification result is returned to the trustee signature management unit 23 each time.
[0272]
Here, the n-1 iteration processing as described above will be specifically described.
[0273]
For example, the consignor-side device 50 determines the signature distribution value s according to the consignment portion performed by the consignor device 20k among the consignment contents.₁, ..., s_n-1Consider the case of passing In this example, it is assumed that the commissioned content is a translation of an English document consisting of nine chapters. The signature (r, s) is a signature to electronic money corresponding to a translation fee or a signature to a translation fee payment contract.
[0274]
The consignor side device 50 uses the formulas (7) to (9) to obtain 10 signature distribution values s.₀, S₁, ..., s₉Calculate The trustee apparatus 20k receives the signature distribution value s0 for proof of the contract before translation. Thereafter, each time the trustee device 20k finishes translating one chapter, the corresponding signature distribution value s₁, ..., s_n-1Have one of you send.
[0275]
As a result, the trustee apparatus 20k each time the signature distribution value s_iBy verifying the legitimacy, it is possible to proceed to the translation of the next chapter while confirming and obtaining the reward or completion evidence for one chapter. That is, each signature distribution value s₀, S₁~ S_n-1However, when arguing, it serves as solid evidence of the trustee's workload.
[0276]
When the repetition process as described above is completed, the trustee signature management unit 23 receives all the signature distribution values s received from the signature distribution value verification unit 24.₀, ..., s_n-1Commit value c when the verification result is valid_j, Part of signature r, signature distribution value s₀, ..., s_n-1Is transmitted to the signature calculation unit 25.
[0277]
The signature calculation unit 25 uses n signature distribution values s.₀, ..., s_n-1And each signature distribution value s_iEach part s of the signature and n−1 random numbers b using the above-described formula (10)_j(ST11), part s of the signature and random number b_jIs sent to the trustee signature management unit 23 and the signature verification unit 26.
[0278]
Hereinafter, the signature (r, s) and the commit value c in step ST12_jThe processing from the validity verification to the confirmation of the signature receipt notification in step ST13 is executed in the same manner as in the first embodiment.
[0279]
As described above, according to the present embodiment, in addition to the effects of the first to eleventh embodiments, the signature distribution value s_iTherefore, the present invention can be applied to any consignment contents that can be executed every n-1 stages.
[0280]
In addition, although this embodiment described the case where it applied to 1st Embodiment as a representative example, it is not restricted to this, either of the 2nd-11th embodiment or the modification described in 11th Embodiment. Even if applied to the above, the same effect can be obtained.
[0281]
In the present embodiment, the number of devices constituting the consignor-side device 50 may be increased up to n. In this case, for example, maintenance of the server can be performed smoothly. Also, distributed information s from different third party devices depending on the stage of the contract_iIt is possible to implement a form such as distributing.
[0282]
In the first to twelfth embodiments, the digital signature can be restored when all (n) pieces of the n pieces of shared information are prepared, and operates as the (n, n) threshold secret sharing scheme. However, the present invention is not limited to this, and a configuration that operates as a (k, n) threshold secret sharing scheme that enables digital signatures to be restored when any k pieces of n pieces of shared information are prepared. Even if it is deformed, the present invention can be implemented in the same manner to obtain the same effect, and the reliability can be further improved.
[0283]
For example, in the case of the (n, n) threshold secret sharing scheme, the trustee device needs to prepare all n pieces of shared information, and therefore, a plurality of distribution devices (a total of a plurality of distribution devices in the trustee side device). When distributed information is distributed from a consignor device and / or one or more third-party devices), even if one distribution device becomes abnormal, the distributed information is not prepared and the signature cannot be restored. End up.
[0284]
On the other hand, in the case of the (k, n) threshold secret sharing scheme, the trustee device only has to arrange k pieces of the n pieces of distributed information, so that it is distributed from each distribution device in the trustee side device. When information is distributed, depending on the distribution of the distributed information of each distribution device, even if several distribution devices become abnormal, k pieces of distributed information can be arranged and the signature can be restored.
[0285]
For this reason, when distributed information is distributed from a plurality of distribution devices of the consignor side device, the reliability can be further improved by using the (k, n) threshold secret sharing scheme.
[0286]
Supplementally, the threshold value k is a value k smaller than the total number n of shared information (k <n) and the number k of shared information that can restore secret information. For example, in the case of n = 3 and k = 2, the threshold value k means that a part of the signature s can be restored if two pieces of shared information are arranged among the three pieces of shared information.
[0287]
As an application, for example, a case where there are first to third third-party devices (servers) A, B, and C and processes # 1 and # 2 are considered. Further, in this case, when the process # 1 is completed, one shared information is sent from the first third party apparatus A, and when the process # 2 is completed, another shared information is transmitted from the second third party apparatus B. Is supposed to be sent.
[0288]
At this time, according to the (k, n) threshold secret sharing scheme, even if the second third-party device B fails in the middle, the third third-party device C is replaced by one instead of B. Since the information is sent, the trustee apparatus can restore the secret information (signature) by combining the two pieces of shared information by the shared information received from c. In this case, the third party device C functions as a device for insurance (fail safe) at the time of abnormality.
[0289]
In addition, the methods described in each of the embodiments described above are programs that can be executed by a computer, such as a magnetic disk (floppy (registered trademark) disk, hard disk, etc.), an optical disk (CD-ROM, DVD, etc.), a magneto-optical disk ( MO), and can be stored and distributed in a storage medium such as a semiconductor memory.
[0290]
In addition, as long as the storage medium can store a program and can be read by a computer, the storage format may be any form.
[0291]
In addition, an OS (operating system) operating on the computer based on an instruction of a program installed in the computer from the storage medium, MW (middleware) such as database management software, network software, and the like implement the present embodiment. A part of each process may be executed.
[0292]
Furthermore, the storage medium in the present invention is not limited to a medium independent of a computer, but also includes a storage medium in which a program transmitted via a LAN, the Internet, or the like is downloaded and stored or temporarily stored.
[0293]
Further, the number of storage media is not limited to one, and the case where the processing in the present embodiment is executed from a plurality of media is also included in the storage media in the present invention, and the media configuration may be any configuration.
[0294]
The computer according to the present invention executes each process according to the present embodiment based on a program stored in a storage medium, and includes a single device such as a personal computer or a system in which a plurality of devices are connected to a network. Any configuration may be used.
[0295]
In addition, the computer in the present invention is not limited to a personal computer, but includes a processing unit, a microcomputer, and the like included in an information processing device, and is a generic term for devices and devices that can realize the functions of the present invention by a program. .
[0296]
Note that the present invention is not limited to the above-described embodiments, and various modifications can be made without departing from the scope of the invention at the stage of implementation. In addition, the embodiments may be combined as appropriate as possible, and in that case, combined effects can be obtained. Furthermore, the above embodiments include inventions at various stages, and various inventions can be extracted by appropriate combinations of a plurality of disclosed configuration requirements. For example, when an invention is extracted by omitting some constituent elements from all the constituent elements shown in the embodiment, when the extracted invention is implemented, the omitted part is appropriately supplemented by a well-known common technique. It is what is said.
[0297]
In addition, the present invention can be implemented with various modifications without departing from the gist thereof.
[0298]
【The invention's effect】
As described above, according to the present invention, when a digital signature is exchanged, fair processing can be realized without putting each party in a disadvantageous state.
[Brief description of the drawings]
FIG. 1 is a schematic diagram showing a schematic configuration of a signature distribution system according to a first embodiment of the present invention.
FIG. 2 is a functional block diagram specifically showing the configuration of a signature distribution system according to the embodiment.
FIG. 3 is a flowchart for explaining the operation in the embodiment;
FIG. 4 is a schematic diagram showing a schematic configuration of a signature distribution system according to a second embodiment of the present invention.
FIG. 5 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment.
FIG. 6 is a flowchart for explaining the operation in the embodiment;
FIG. 7 is a schematic diagram showing a schematic configuration of a signature distribution system according to a third embodiment of the present invention.
FIG. 8 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment.
FIG. 9 is a flowchart for explaining the operation in the embodiment;
FIG. 10 is a schematic diagram showing a schematic configuration of a signature distribution system according to a fourth embodiment of the present invention.
FIG. 11 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment.
FIG. 12 is a flowchart for explaining the operation in the embodiment;
FIG. 13 is a schematic diagram showing a schematic configuration of a signature distribution system according to a fifth embodiment of the present invention.
FIG. 14 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment;
FIG. 15 is a flowchart for explaining the operation in the embodiment;
FIG. 16 is a schematic diagram showing a schematic configuration of a signature distribution system according to a sixth embodiment of the present invention.
FIG. 17 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment;
FIG. 18 is a flowchart for explaining the operation in the embodiment;
FIG. 19 is a schematic diagram showing a schematic configuration of a signature distribution system according to a seventh embodiment of the present invention.
FIG. 20 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment;
FIG. 21 is a flowchart for explaining the operation in the embodiment;
FIG. 22 is a schematic diagram showing a schematic configuration of a signature distribution system according to an eighth embodiment of the present invention.
FIG. 23 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment;
FIG. 24 is a flowchart for explaining the operation in the embodiment;
FIG. 25 is a schematic diagram showing a schematic configuration of a signature distribution system according to a ninth embodiment of the present invention.
FIG. 26 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment.
FIG. 27 is a flowchart for explaining the operation in the embodiment;
FIG. 28 is a schematic diagram showing a schematic configuration of a signature distribution system according to a tenth embodiment of the present invention.
FIG. 29 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment.
FIG. 30 is a flowchart for explaining the operation in the embodiment;
FIG. 31 is a schematic diagram showing a schematic configuration of a signature distribution system according to an eleventh embodiment of the present invention.
FIG. 32 is a functional block diagram specifically showing the configuration of the signature distribution system according to the embodiment.
FIG. 33 is a flowchart for explaining the operation in the embodiment;
FIG. 34 is a schematic diagram showing a schematic configuration of a signature distribution system according to a twelfth embodiment of the present invention.
FIG. 35 is a flowchart for explaining the operation in the embodiment;
FIG. 36 is a schematic diagram showing an outline of each embodiment of the present invention.
[Explanation of symbols]
10, 10a-10g ... Consignor device
11, 11b to 11h ... Consignment Content Management Department
12, 12a, 12d, 12te to 12th...
13, 13tc, 13te ... signature distribution value generation unit
14, 14tc, 14te ... commit value calculation section
15, 15tc, 15te ... polynomial generator
16, 16c ... Signature generation unit
16td ... Third party signature generator
17 ... Consignor signature verification department
18: Consignor signature distributed value verification unit
20, 20b, 20c, 20f to 20h, 20k ... trustee device
21 ... Contracted content processing department
22, 22 b, 22 c, 22 f to 22 h...
23 ... Trustee Signature Management Department
24: Signature distribution value verification unit
25. Signature calculation section
26: Signature verification unit
30b, 30c, 30i, 30j ... Third party devices
31 ... Examination Content Management Department
32, 32c ... Third-party signature manager
33 ... Third-party signature distribution value verification unit
34 ... Third-party signature verification unit
40d to 40j ... Third party (signature) device
50 ... Consignor side device

Claims (11)

A transmitting entity device that individually transmits a plurality of distributed information for recovering a digital signature for a presented message in time series, and reception that recovers the digital signature based on the distributed information received from the transmitting entity device A signature distribution system comprising a side entity device,
The transmitting entity device is:
Signature generating means for generating each of the distributed information based on the digital signature;
Each time receiving a request from the receiving side entity device, the distributed information transmitting means for individually transmitting each piece of distributed information generated by the signature generating unit to the receiving side entity device,
The receiving entity device is:
Each time shared information is received from the shared information transmission means, the shared information verification means for verifying the validity of the shared information;
Signature restoration means for restoring a digital signature based on each of the shared information when all or a predetermined number of pieces of shared information whose validity has been verified by the shared information verification means;
A signature distribution system comprising: A plurality of signature distribution values for restoring a digital signature for a message presented to the reception side entity device are used for the transmission side entity device having a delegation content management unit and a signature distribution value generation unit. a signature distributed program of the sending entity apparatus for serially transmitted individually,
In the computer of the transmitting entity device,
A function of calculating each signature distribution value by the signature distribution value generation unit based on the digital signature;
A function of transmitting a part of the digital signature and the first signature distribution value by the entrusted content management unit based on a first request from the receiving entity device;
A function for individually transmitting the corresponding signature distribution value by the entrusted content management unit for each second or subsequent request from the receiving-side entity device;
A signature distribution program for realizing Used for a receiving entity device having a trust content management unit and a signature distribution value verification unit,
A plurality of distributed information for restoring the digital signature is generated based on a polynomial including a plurality of random numbers with respect to the digital signature generated using the secret key of the public key cryptosystem for the presented message. Request each of the distributed information individually in time series from the transmitting entity device, and restore the digital signature from all or a predetermined number of distributed information received from the transmitting entity device by this request, and obtain the obtained digital signature A signature verification program for a receiving entity device capable of verifying
In the computer of the receiving entity device,
Based on a part of the digital signature received by the trust content management unit from the transmission entity device, a plurality of commit values for each random number of the polynomial, and a public key corresponding to the secret key, the transmission entity Each time the shared information is received from the device by the commissioned content management unit, the signature distributed value verification unit verifies the validity of the shared information,
Signature verification program for realizing In the signature verification program according to claim 3 ,
The receiving entity device includes a signature calculation unit and a signature verification unit,
In the computer of the receiving entity device,
Based on the polynomial, a part of the digital signature and a plurality of other random numbers are calculated by the signature calculation unit using all or a predetermined number of shared information received from the transmission entity device by the trust content management unit. function,
A function for restoring a digital signature from a part of the digital signature received from the transmission entity device and a part of the calculated digital signature by the signature calculation unit ;
A function for verifying the validity of the restored digital signature by the signature verification unit using the public key;
A function for verifying the validity of each commit value by the signature verification unit using a part of the digital signature received from the transmission entity device and the other random numbers calculated;
Signature verification program for realizing N (2 ≦ n) shared information s _i (0 ≦ i ≦ n−1) for restoring a digital signature for the message m presented to the receiving entity device is time-sequentially addressed to the receiving entity device. A transmitting entity device that individually transmits a first device capable of calculating the digital signature and a second device capable of verifying the digital signature,
The first device selects a random number k from a multiplicative group Zq ^* for a predetermined first prime number q, obtains a hash value h (m) for the message m, and determines a predetermined first number related to the first prime number q. 2 prime numbers p (= w * q + 1, where w is an arbitrary natural number greater than or equal to 2), a predetermined primitive element α whose order in the multiplicative group Zp ^* is q, a secret key x of a public key cryptosystem, and the random number Based on k and the hash value h (m), a digital signature (r that satisfies the equation r = α ^k (mod p) and the equation s = k ⁻¹ {h (m) + x · r} (mod q) , S) and sending this digital signature (r, s) to the second device,
A distributed signature program used in the second apparatus having an examination content management unit, a third party signature verification unit, a polynomial generation unit, a commit value calculation unit, and a signature distribution value generation unit ,
In the computer of the second device,
When the digital signature (r, s) is received from the first device by the examination content management unit , the public key y corresponding to the secret key x is used, and the validity of the digital signature (r, s) is expressed as ^rs = a function for verification by the third-party signature verification unit based on the relationship of α ^{h (m)} y ^r (mod p);
A function of selecting n−1 random numbers b _j from the multiplicative group Zq ^* by the polynomial generator;
Based on the random number b _j , the polynomial f ( z ) = s + b ₁ · z + b ₂ · z ² + ... + b _n-1 · z ^n-1 (Mod a function of generating q) by the polynomial generator;
Based on the random number b _j and a part r of the digital signature, n−1 commit values c _j (= r ^bj (mod a function of calculating p)) by the commit value calculator;
A function of calculating n signature distribution values s _i (= f ( z _i ) ) by the signature distribution value generation unit based on predetermined n arguments z _i and the polynomial f ( z ) ;
Based on the first request received by the examination content management unit from the receiving-side entity device, the part r of the digital signature, the first signature distribution value s ₀ , and the commit value c _j are managed in the examination content management. Function to send by part,
A function of individually transmitting a corresponding signature distribution value s _i by the examination content management unit for each second or subsequent request received from the receiving entity device by the examination content management unit;
A signature distribution program for realizing Digital signature (r, s) for the presented message m (where r = α ^k (mod p), s = k ⁻¹ {h (m) + x · r} (mod q), where p and q are p) = W * q + 1 (where w is an arbitrary natural number greater than or equal to 2), α is a predetermined primitive element whose order is q in the multiplicative group Zp ^* , and k is a random number in the multiplicative group Zq ^* , H (m) is a hash value of m, x is a secret key of a public key cryptosystem,
N (2 ≦ n) shared information s _i (where 0 ≦ i ≦ n−1, s _i = f (z _i ) = s + b ₁ ) for restoring the digital signature (r, s) z _i + b ₂ · z _i ² +... + b _n-1 · z _i ^n-1 (mod q), z _i is n-1 arguments) individually and time-sequentially from the transmitting entity device, With this request, the digital signature (r, s) can be restored from the total of n pieces of distributed information s _i received n times from the transmitting entity device, and the obtained digital signature (r, s) can be verified. A signature verification program used for a receiving entity device,
The receiving entity device includes a consignment content management unit and a signature distribution value verification unit,
In the computer of the receiving entity device,
Part r and n−1 commit values c _j (where 1 ≦ j ≦ n−1, c _j = r ^{b j} , b _j ) of the digital signature received from the transmission entity device by the trust content management unit N−1 random numbers), a public key y corresponding to the secret key x, and a predetermined argument z _i , each time shared information s _i is received from the transmission entity device by the trust content management unit. A function of verifying the validity of the shared information s _{i by} the signature distributed value verification unit based on the relationship of the following formula:
Signature verification program for realizing

The signature verification program according to claim 6 ,
The receiving entity device includes a signature calculation unit and a signature verification unit,
In the computer of the receiving entity device,
Using a total of n pieces of shared information s _i received from the transmitting entity device, a part of the digital signature s and n−1 random numbers b _j are calculated based on the relationship of f (z _i ). Function to calculate by part ,
A function of restoring a digital signature (r, s) by the signature calculation unit from a part r of the digital signature received from the transmission entity device and a part s of the calculated digital signature;
Using the public key y corresponding to the secret key x, the signature verification unit verifies the validity of the restored digital signature (r, s) based on the relationship r ^s = α ^{h (m)} y ^r (mod p). Function to verify by,
Using the part r of the digital signature received from the transmitting entity device and the calculated random number b _j , the validity of the commit value c _j is determined by the signature verification unit based on the relationship c _j = r ^{b i.} The ability to verify,
Signature verification program for realizing N (2 ≦ n) signature distribution values s ₀ ,..., S _j ,..., S _n-1 (1 ≦ j ≦ n−1) for restoring the digital signature (r, s) for the presented message m. ) And the signature distribution values s ₀ ,..., S _j ,..., S _n−1 are used in the reception-side entity device provided for the transmission-side entity device that individually transmits in time series. A signature verification method,
Verifying the validity of the first signature distribution value s ₀ received by the trust content management unit from the transmission side entity device using the signature distribution value verification unit ;
After the validity is verified, the trust content management unit requests the second and subsequent signature distribution values s _j individually in time series from the transmitting entity device;
When the second and subsequent signature distribution values s _j are received from the sending entity device for each individual request by the trust content management unit, the signature distribution value verification unit verifies the validity of the signature distribution value s _j When,
After the validity of the _nth signature distribution value s _n-1 is verified, a part s of the digital signature is restored by the signature calculation unit based on all the signature distribution values s0 to s _n-1 , Obtaining the digital signature (r, s) by the signature calculation unit by using a part s of the digital signature and a part r of the digital signature received from the transmitting entity device in advance;
Verifying the validity of the obtained digital signature (r, s) by the signature verification unit ;
After the validity of the digital signature (r, s) is verified, the trust content management unit transmits a signature receipt notification to the transmitting entity device;
The signature verification method characterized by including. N (2 ≦ n) shared information s _i (0 ≦ i ≦ n−1) for restoring a digital signature for the message m presented to the receiving entity device is time-sequentially addressed to the receiving entity device. A transmitting entity device that individually transmits a first device capable of calculating the digital signature and a second device capable of verifying the digital signature,
The first device selects a random number k from a multiplicative group Zq ^* for a predetermined first prime number q, obtains a hash value h (m) for the message m, and determines a predetermined first number related to the first prime number q. 2 prime numbers p (= w * q + 1, where w is an arbitrary natural number greater than or equal to 2), a predetermined primitive element α whose order in the multiplicative group Zp ^* is q, a secret key x of a public key cryptosystem, and the random number Based on k and the hash value h (m), a digital signature (r that satisfies the equation r = α ^k (mod p) and the equation s = k ⁻¹ {h (m) + x · r} (mod q) , S) and sending this digital signature (r, s) to the second device,
A distributed signature method used in the second apparatus having an examination content management unit, a third party signature verification unit, a polynomial generation unit, a commit value calculation unit, and a signature distribution value generation unit ,
When the examination content management unit receives the digital signature (r, s) from the first device, the public key y corresponding to the secret key x is used, and the validity of the digital signature (r, s) is expressed as ^rs = verifying by the third-party signature verification unit based on the relationship of α ^{h (m) yr} (mod p) ;
The transmitting entity device selecting n−1 random numbers b _j from the multiplicative group Zq ^* by the polynomial generator;
Based on the random number b _j , the polynomial f ( z ) = s + b ₁ · z + b ₂ · z ² + ... + b _n-1 · z ^n-1 (Mod q) is generated by the polynomial generator;
Based on the random number b _j and a part r of the digital signature, n−1 commit values c _j (= r ^bj (mod p)) by the commit value calculation unit;
Calculating n signature distribution values s _i (= f ( z _i ) ) by the signature distribution value generation unit based on predetermined n arguments z _i and the polynomial f ( z ) ;
Based on the first request received by the examination content management unit from the receiving-side entity device, the part r of the digital signature, the first signature distribution value s ₀ , and the commit value c _j are managed in the examination content management. Transmitting to the receiving entity device by a unit;
For each subsequent request received from the receiving entity device by the examination content management unit, a corresponding signature distribution value s _i is individually transmitted to the receiving entity device by the examination content management unit;
A signature distribution method comprising: Digital signature (r, s) for the presented message m (where r = α ^k (mod p), s = k ⁻¹ {h (m) + x · r} (mod q), where p and q are p) = W * q + 1 (where w is an arbitrary natural number greater than or equal to 2), α is a predetermined primitive element whose order is q in the multiplicative group Zp ^* , and k is a random number in the multiplicative group Zq ^* , H (m) is a hash value of m, x is a secret key of a public key cryptosystem,
N (2 ≦ n) shared information s _i (where 0 ≦ i ≦ n−1, s _i = f (z _i ) = s + b ₁ ) for restoring the digital signature (r, s) z _i + b ₂ · z _i ² +... + b _n-1 · z _i ^n-1 (mod q), z _i is n-1 arguments) individually and time-sequentially from the transmitting entity device, With this request, the digital signature (r, s) can be restored from the total n pieces of distributed information s _i received n times from the transmitting side entity device, and the obtained digital signature (r, s) can be verified. A signature verification method used for a receiving entity device,
The receiving entity device includes a consignment content management unit and a signature distribution value verification unit,
Part r and n−1 commit values c _j (where 1 ≦ j ≦ n−1, c _j = r ^{b j} , b _j ) of the digital signature received from the transmission entity device by the trust content management unit N−1 random numbers), a public key y corresponding to the secret key x, and a predetermined argument z _i , each time shared information s _i is received from the transmission entity device by the trust content management unit. The signature verification method further includes a step of verifying the validity of the shared information s _{i by} the signature distributed value verification unit based on the relationship of the following formula.

The signature verification method according to claim 10 ,
The receiving entity device includes a signature calculation unit and a signature verification unit,
Using a total of n pieces of shared information s _i received from the transmitting entity device, a part of the digital signature s and n−1 random numbers b _j are calculated based on the relationship of f (z _i ). Calculating by part ,
Restoring the digital signature (r, s) by the signature calculation unit from the part r of the digital signature received from the entity device for transmission and the part s of the calculated digital signature;
Using the public key y corresponding to the secret key x, the signature verification unit verifies the validity of the restored digital signature (r, s) based on the relationship r ^s = α ^{h (m)} y ^r (mod p). a step of verification by,
Using the part r of the digital signature received from the transmitting entity device and the calculated random number b _j , the validity of the commit value c _j is determined by the signature verification unit based on the relationship c _j = r ^{b i.} Verifying steps;
The signature verification method characterized by including.

Images