JP4612027B2

JP4612027B2 - 署名システム

Info

Publication number: JP4612027B2
Application number: JP2007228314A
Authority: JP
Inventors: 隆一境; 正雄笠原
Original assignee: Murata Machinery Ltd
Current assignee: Murata Machinery Ltd
Priority date: 2007-09-03
Filing date: 2007-09-03
Publication date: 2011-01-12
Anticipated expiration: 2022-12-19
Also published as: JP2007325318A

Description

本発明は、エンティティを特定する特定情報（以下、ＩＤ（Identity）情報という）を用いて署名データの作成処理及び検証処理を行う署名システムに関する。

高度情報化社会と呼ばれる現代社会では、コンピュータネットワークを基盤として、ビジネス上の重要な文書・画像情報が電子的な情報という形で伝送通信されて処理される。このような電子情報は、容易に複写が可能である、複写物とオリジナルとの区別が困難であるという性質があり、情報保全の問題が重要視されている。特に、「コンピュータリソースの共有」，「マルチアクセス」，「広域化」の各要素を満たすコンピュータネットワークの実現が高度情報化社会の確立に不可欠であるが、これは当事者間の情報保全の問題とは矛盾する要素を含んでいる。このような矛盾を解消するための有効な手法として、人類の過去の歴史上主として軍事，外交面で用いられてきた暗号技術が注目されている。

暗号とは、情報の意味が当事者以外には理解できないように情報を交換することである。暗号において、誰でも理解できる元の文（平文）を第三者には意味がわからない文（暗号文）に変換することが暗号化であり、また、暗号文を平文に戻すことが復号であり、この暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗号化の過程及び復号の過程には、それぞれ暗号化鍵及び復号鍵と呼ばれる秘密の情報が用いられる。復号時には秘密の復号鍵が必要であるので、この復号鍵を知っている者のみが暗号文を復号でき、暗号化によって情報の秘密性が維持され得る。

暗号化鍵と復号鍵とは、等しくても良いし、異なっていても良い。両者の鍵が等しい暗号系は、共通鍵暗号系と呼ばれ、米国商務省標準局が採用したＤＥＳ（Data Encryption Standards)はその典型例である。また、両者の鍵が異なる暗号系の一例として、公開鍵暗号系と呼ばれる暗号系が提案された。この公開鍵暗号系は、暗号系を利用する各エンティティが暗号化鍵と復号鍵とを一対ずつ作成し、暗号化鍵を公開鍵リストにて公開し、復号鍵のみを秘密に保持するという暗号系である。公開鍵暗号系では、この一対となる暗号化鍵と復号鍵とが異なり、一方向性関数を利用することによって暗号化鍵から復号鍵を割り出せないという特徴を持たせている。

公開鍵暗号系は、暗号化鍵を公開するという画期的な暗号系であって、高度情報化社会の確立に必要な上述した３つの要素に適合するものであり、情報通信技術の分野等での利用を図るべく、その研究が活発に行われ、典型的な公開鍵暗号系としてＲＳＡ暗号系が提案された。このＲＳＡ暗号系は、一方向性関数として素因数分解の困難さを利用して実現されている。また、離散対数問題を解くことの困難さ（離散対数問題）を利用した公開鍵暗号系も種々の手法が提案されてきた。

また、各エンティティの住所，氏名，電子メールのアドレス等の個人を特定するＩＤ情報を利用する暗号系が提案された。この暗号系では、ＩＤ情報に基づいて送受信エンティティ間で共通の暗号化・復号鍵を生成する。また、このＩＤ情報に基づく暗号技法には、（１）暗号文通信に先立って送受信エンティティ間での予備通信を必要とする方式と、（２）暗号文通信に先立って送受信エンティティ間での予備通信を必要としない方式とがある。特に、（２）の手法は予備通信が不要であるので、エンティティの利便性が高く、将来の暗号系の中枢をなすものと考えられている。

この（２）の手法による暗号系は、ＩＤ−ＮＩＫＳ（ID-based non-interactive key sharing scheme)と呼ばれており、通信相手のＩＤ情報を用いて予備通信を行うことなく暗号化・復号鍵を共有する方式を採用している。ＩＤ−ＮＩＫＳは、送受信エンティティ間で公開鍵，秘密鍵を交換する必要がなく、また鍵のリスト及び第三者によるサービスも必要としない方式であり、任意のエンティティ間で安全に通信を行える。

上述した公開鍵暗号系では、例えばＲＳＡ暗号系の場合にその公開鍵の長さは現在の電話番号の十数倍となり、極めて煩雑である。これに対して、ＩＤ−ＮＩＫＳでは、各ＩＤ情報を名簿という形式で登録しておけば、この名簿を参照して任意のエンティティとの間で共通鍵を生成することができる。従って、ＩＤ−ＮＩＫＳのシステムが安全に実現されれば、多数のエンティティが加入するコンピュータネットワーク上で便利な暗号系を構築できる。このような理由により、ＩＤ−ＮＩＫＳが将来の暗号系の中心になると期待されている。

そこで、本発明者等は、各エンティティのＩＤ情報を使用して、楕円曲線上のペアリングに基づいて予備通信を行うことなく両エンティティ間で容易に共通鍵を共有し合える鍵共有方法、この鍵共有方法を用いた暗号通信システムを提案している（例えば、特許文献１参照）。
特開２００２−２６８９２号公報

本発明者等は、特許文献１のような鍵共有方式（ＩＤ−ＮＩＫＳ）を提案した後も、楕円曲線上のペアリングを用いた各エンティティのＩＤ情報に基づく公開鍵暗号方式及び署名方式の研究を続けている。

本発明は斯かる事情に鑑みてなされたものであり、多項式にエンティティのＩＤ情報を代入することにより、エンティティのＩＤ情報から変換される公開情報（公開鍵）を容易に求めることができる署名システムを提供することを目的とする。

本発明の他の目的は、グループのＩＤ情報及びグループに属する複数のエンティティ夫々のＩＤ情報を使用することにより、グループに対する署名データとそのグループに属する複数のエンティティ夫々に対する署名データとを独立的に容易に作成できる署名システムを提供することにある。

請求項１に係る署名システムは、センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀を設定する手段と、設定した多項式関数ｆ（ｘ）に、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを代入して関数値ｆ（ｕ），ｆ（ｖ）を得る手段と、選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｆ（ｖ）の逆数倍して第１及び第２のエンティティ用の秘密鍵

を生成する手段と、生成した第１及び第２のエンティティ用の秘密鍵

を対応するエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から自身用の秘密鍵

を受け取る手段と、受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ）

を作成する作成手段とを備えており、前記第２のエンティティ装置は、前記センタ装置から自身用の秘密鍵

を受け取る手段と、受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ｅ，Ｓ）を検証する検証手段とを備えることを特徴とする。

請求項２に係る署名システムは、センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀を設定する手段と、設定した多項式関数ｆ（ｘ）に、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを代入して関数値ｆ（ｕ），ｆ（ｖ）を得る手段と、選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｆ（ｖ）の逆数倍して第１及び第２のエンティティ用の秘密鍵

を対応するエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段と、選択された他方の点Ｑを、設定した多項式関数ｆ（ｘ）の係数倍して公開鍵ベクトルＨ＝｛Ｈ₀，Ｈ₁，・・・，Ｈ_d｝＝｛ａ₀Ｑ，ａ₁Ｑ，・・・，ａ_dＱ｝を計算する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から自身用の秘密鍵

を受け取る手段と、受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ベクトルＲ，Ｓ）

の成立を確認することで署名データ（ベクトルＲ，Ｓ）を検証する検証手段とを備えることを特徴とする。

請求項３に係る署名システムは、センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀を設定する手段と、設定した多項式関数ｆ（ｘ）に、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを代入して関数値ｆ（ｕ），ｆ（ｖ）を得る手段と、選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｆ（ｖ）の逆数倍して第１及び第２のエンティティ用の秘密鍵

請求項４に係る署名システムは、センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀を設定する手段と、設定した多項式関数ｆ（ｘ）に、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを代入して関数値ｆ（ｕ），ｆ（ｖ）を得る手段と、選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｆ（ｖ）の逆数倍して第１及び第２のエンティティ用の秘密鍵

請求項５に係る署名システムは、センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀を設定する手段と、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを楕円曲線上のｎねじれ点Ｐに写像してなる第１及び第２のエンティティ用の秘密鍵Ｐ_U，Ｐ_Vを生成する手段と、生成した第１及び第２のエンティティ用の秘密鍵Ｐ_U，Ｐ_Vを対応するエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段と、選択された他方の点Ｑを、設定した多項式関数ｆ（ｘ）の係数倍して公開鍵ベクトルＨ＝｛Ｈ₀，Ｈ₁，・・・，Ｈ_d｝＝｛ａ₀Ｑ，ａ₁Ｑ，・・・，ａ_dＱ｝を計算する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から自身用の秘密鍵Ｐ_Uを受け取る手段と、受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋ，ｒを用いて、平文ｍの署名データ（Ｓ₁，Ｓ₂，ベクトルＳ₃）

を作成する作成手段とを備えており、前記第２のエンティティ装置は、前記センタ装置から自身用の秘密鍵Ｐ_Vを受け取る手段と、受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（Ｓ₁，Ｓ₂，ベクトルＳ₃）を検証する検証手段とを備えることを特徴とする。

請求項６に係る署名システムは、センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、第１のエンティティの特定情報ｕを、ペアリングｅ_n（，）を定義できる楕円曲線上のｎねじれ点Ｐ_Uに変換する手段と、秘密鍵ｙを生成する手段と、第１のエンティティ用の秘密鍵Ｋ_U＝ｙＰ_Uを生成する手段と、生成した第１のエンティティ用の秘密鍵Ｋ_Uを対応する第１のエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段と、楕円曲線上のｎねじれ点Ｑを用いてｙＱを計算する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から自身用の秘密鍵Ｋ_Uを受け取る手段と、受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（Ｒ，Ｓ）

を作成する作成手段とを備えており、前記第２のエンティティ装置は、受け付けた公開鍵を用いて

の成立を確認することで署名データ（Ｒ，Ｓ）を検証する検証手段を備えることを特徴とする。

請求項７に係る署名システムは、センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、第１のエンティティの特定情報ｕを、ペアリングｅ_n（，）を定義できる楕円曲線上のｎねじれ点Ｐ_Uに変換する手段と、秘密鍵ｙを生成する手段と、第１のエンティティ用の秘密鍵Ｋ_U＝ｙＰ_Uを生成する手段と、生成した第１のエンティティ用の秘密鍵Ｋ_Uを対応する第１のエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段と、楕円曲線上のｎねじれ点Ｑを用いてｙＱを計算する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から自身用の秘密鍵Ｋ_Uを受け取る手段と、受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ）

請求項８に係る署名システムは、センタ装置で生成された第１グループに所属する第１のエンティティ及び第２グループに所属する第２のエンティティの秘密鍵、並びに前記センタ装置が公開する公開鍵を使用して、第１グループに属する第１のエンティティ装置にて作成する署名データを第２グループに属する第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀及びｔ（ｘ）＝ｂ_zｘ^z＋ｂ_z-1ｘ^z-1＋・・・＋ｂ₁ｘ＋ｂ₀を設定する手段と、設定した多項式関数ｆ（ｘ）及びｔ（ｘ）それぞれに、受け付けた第１，第２のエンティティの特定情報ｕ，ｖ及び第１，第２グループの特定情報ｇ，ｇ′を代入してエンティティ及びグループそれぞれの関数値ｆ（ｕ），ｆ（ｖ）及びｔ（ｇ），ｔ（ｇ′）を得る手段と、選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｔ（ｇ）及びｆ（ｖ），ｔ（ｇ′）の積の逆数倍して第１，第２のエンティティ用の秘密鍵

を対応する第１及び第２のエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段と、選択された他方の点Ｑ及び設定した多項式関数ｆ（ｘ）を用いて、第１のエンティティ用の公開鍵｛Ｕ₀，Ｕ₁，・・・，Ｕ_z｝＝｛ｂ₀ｆ（ｕ）Ｑ，ｂ₁ｆ（ｕ）Ｑ，・・・，ｂ_zｆ（ｕ）Ｑ｝を生成する手段と、選択された他方の点Ｑ及び設定した多項式関数ｔ（ｘ）を用いて、第２グループ用の公開鍵｛Ｇ₀′，Ｇ₁′，・・・，Ｇ_d′｝＝｛ａ₀ｔ（ｇ′）Ｑ，ａ₁ｔ（ｇ′）Ｑ，・・・，ａ_dｔ（ｇ′）Ｑ｝，を生成する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から秘密鍵

を受け取る手段と、受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ_i）

の成立を確認することで署名データ（ｅ，Ｓ_i）を検証する検証手段とを備えることを特徴とする。

請求項９に係る署名システムは、センタ装置で生成された一のグループに所属する第１のエンティティ及び第２のエンティティの秘密鍵、並びに前記センタ装置が公開する公開鍵を使用して、前記一のグループに属する第１のエンティティ装置にて作成する署名データを前記一のグループに属する第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀及びｔ（ｘ）＝ｂ_zｘ^z＋ｂ_z-1ｘ^z-1＋・・・＋ｂ₁ｘ＋ｂ₀を設定する手段と、設定した多項式関数ｆ（ｘ）及びｔ（ｘ）それぞれに、受け付けた第１，第２のエンティティの特定情報ｕ，ｖ及び前記一のグループの特定情報ｇを代入してエンティティ及びグループそれぞれの関数値ｆ（ｕ），ｆ（ｖ）及びｔ（ｇ）を得る手段と、選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｔ（ｇ）及びｆ（ｖ），ｔ（ｇ）の積の逆数倍して第１，第２のエンティティ用の秘密鍵

を対応する第１及び第２のエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段と、選択された他方の点Ｑ及び設定した多項式関数ｆ（ｘ）を用いて、第１のエンティティ用の公開鍵｛Ｕ₀，Ｕ₁，・・・，Ｕ_z｝＝｛ｂ₀ｆ（ｕ）Ｑ，ｂ₁ｆ（ｕ）Ｑ，・・・，ｂ_zｆ（ｕ）Ｑ｝を生成する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から秘密鍵

請求項１０に係る署名システムは、センタ装置で生成された第１グループに所属する第１のエンティティ及び第２グループに所属する第２のエンティティの秘密鍵、並びに前記センタ装置が公開する公開鍵を使用して、第１グループに属する第１のエンティティ装置にて作成する署名データを第２グループに属する第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀及びｔ（ｘ）＝ｂ_zｘ^z＋ｂ_z-1ｘ^z-1＋・・・＋ｂ₁ｘ＋ｂ₀を設定する手段と、設定した多項式関数ｆ（ｘ）及びｔ（ｘ）それぞれに、受け付けた第１，第２のエンティティの特定情報ｕ，ｖ及び第１，第２グループの特定情報ｇ，ｇ′を代入してエンティティ及びグループそれぞれの関数値ｆ（ｕ），ｆ（ｖ）及びｔ（ｇ），ｔ（ｇ′）を得る手段と、選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｔ（ｇ）及びｆ（ｖ），ｔ（ｇ′）の積の逆数倍して第１，第２のエンティティ用の秘密鍵

を対応する第１及び第２のエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段と、選択された他方の点Ｑ及び設定した多項式関数ｔ（ｘ）を用いて、第１グループ用の公開鍵｛Ｇ₀，Ｇ₁，・・・，Ｇ_d｝＝｛ａ₀ｔ（ｇ）Ｑ，ａ₁ｔ（ｇ）Ｑ，・・・，ａ_dｔ（ｇ）Ｑ｝を生成する手段と、選択された他方の点Ｑ及び設定した多項式関数ｔ（ｘ）を用いて、第２グループ用の公開鍵｛Ｇ₀′，Ｇ₁′，・・・，Ｇ_d′｝＝｛ａ₀ｔ（ｇ′）Ｑ，ａ₁ｔ（ｇ′）Ｑ，・・・，ａ_dｔ（ｇ′）Ｑ｝，を生成する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から秘密鍵

請求項１１に係る署名システムは、センタ装置で生成された一のグループに所属する第１のエンティティ及び第２のエンティティの秘密鍵、並びに前記センタ装置が公開する公開鍵を使用して、前記一のグループに属する第１のエンティティ装置にて作成する署名データを前記一のグループに属する第２のエンティティ装置にて検証する署名システムにおいて、前記センタ装置は、ペアリングｅ_n（，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀及びｔ（ｘ）＝ｂ_zｘ^z＋ｂ_z-1ｘ^z-1＋・・・＋ｂ₁ｘ＋ｂ₀を設定する手段と、設定した多項式関数ｆ（ｘ）及びｔ（ｘ）それぞれに、受け付けた第１，第２のエンティティの特定情報ｕ，ｖ及び前記一のグループの特定情報ｇを代入してエンティティ及びグループそれぞれの関数値ｆ（ｕ），ｆ（ｖ）及びｔ（ｇ）を得る手段と、選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｔ（ｇ）及びｆ（ｖ），ｔ（ｇ）の積の逆数倍して第１，第２のエンティティ用の秘密鍵

を対応する第１及び第２のエンティティ装置へ配布する手段と、ハッシュ関数ｈ（・）を公開鍵として公開する手段と、選択された他方の点Ｑ及び設定した多項式関数ｔ（ｘ）を用いて、前記一のグループ用の公開鍵｛Ｇ₀，Ｇ₁，・・・，Ｇ_z｝＝｛ａ₀ｔ（ｇ）Ｑ，ａ₁ｔ（ｇ）Ｑ，・・・，ａ_zｔ（ｇ）Ｑ｝を生成する手段とを備えており、前記第１のエンティティ装置は、前記センタ装置から秘密鍵

本発明の署名システムにあっては、多項式関数が設定されると共にペアリングを定義できる代数曲線上の点が選択され、署名データを作成するエンティティのＩＤ情報がその多項式関数に代入されて得られる関数値と代数曲線上の選択した点とを使用して署名データが作成される。よって、エンティティのＩＤ情報から代数曲線を用いて変換される公開鍵がより容易に求められる。

本発明の署名システムにあっては、グループのＩＤ情報及びグループに属する複数のエンティティ夫々のＩＤ情報が使用されて、グループに対する署名データとそのグループに属する複数のエンティティ夫々に対する署名データとが独立的に作成される。よって、これらの署名データが容易に作成される。

本発明の署名システムでは、多項式関数を設定すると共にペアリングを定義できる代数曲線上の点を選択し、署名データを作成するエンティティのＩＤ情報をその多項式関数に代入して得られる関数値と代数曲線上の選択した点とを使用して署名データを作成するようにしたので、エンティティのＩＤ情報から代数曲線を用いて変換される公開鍵をより容易に求めることができる。

また、本発明の署名システムでは、グループのＩＤ情報及びグループに属する複数のエンティティ夫々のＩＤ情報を使用して、グループに対する署名データとそのグループに属する複数のエンティティ夫々に対する署名データとを独立的に作成するようにしたので、これらの署名データを容易に作成することができる。

本発明の実施の形態について具体的に説明する。
まず、本発明で用いる楕円曲線のベイユペアリングの基本的性質を述べる。有限体ベクトルＦ_q上で定義された楕円曲線をＥ／ベクトルＦ_qで表し、この楕円曲線をＥ／ベクトルＦ_qのベクトルＦ_q上で有理点がなす群をＥ（ベクトルＦ_q）と表す。ここでは、この楕円曲線の群Ｅ（ベクトルＦ_q）の部分群にｎねじれ部分群Ｅ［ｎ］が含まれるものとする。

楕円曲線上のペアリングは、楕円曲線上の二つのｎねじれ点Ｐ，Ｑ∈Ｅ［ｎ］からベクトルＦ_q上の位数ｎの乗法群への写像である。ペアリングには、以下に示すような性質が存在する。なお、ｅ_n（，）はペアリングを表す。

（非退化）
ある点Ｐ∈Ｅ［ｎ］と任意の点Ｑ∈Ｅ［ｎ］とに対して、
ｅ_n（Ｐ，Ｑ）＝１が成立するとき、Ｐ＝０である。
（反対称）
任意の点Ｐ，Ｑ∈Ｅ［ｎ］に対して、
ｅ_n（Ｐ，Ｑ）＝ｅ_n（Ｑ，Ｐ）^-1が成立する。
（双線形）
任意の点Ｐ，Ｑ，Ｒ∈Ｅ［ｎ］に対して、
ｅ_n（Ｐ＋Ｑ，Ｒ）＝ｅ_n（Ｐ，Ｒ）ｅ_n（Ｑ，Ｒ），
ｅ_n（Ｐ，Ｑ＋Ｒ）＝ｅ_n（Ｐ，Ｑ）ｅ_n（Ｐ，Ｒ）
が成立する。

楕円曲線上のペアリングを暗号方式に適用する場合、十分な安全性を確保するために、利用する楕円曲線とそのｎねじれ部分群とを以下の条件を満たすように選ぶ必要がある。（１）ｎは１６０ビット以上の素数を因数に持つ。
（２）ｑは２¹⁰²⁴以上である。
（３）ベクトルＦ_qの部分体について次の条件を満たす。

以下の説明では、これらの（１）〜（３）の条件を満たす楕円曲線を、ペアリングの計算が可能な安全な楕円曲線と称する。また、以下では簡単のためにｎを素数とする。

（第１実施の形態：ＩＤ情報に基づく公開鍵暗号方法）
図１は、本発明の暗号通信システムの構成を示す模式図である。情報の隠匿を信頼できるセンタ１が設定されており、このセンタ１としては、例えば社会の公的機関を該当できる。このセンタ１と、この暗号通信システムを利用するユーザとしての複数の各エンティティＡ，Ｂ，…，Ｚとは、秘密通信路２ａ，２ｂ，…，２ｚにより接続されており、これらの秘密通信路２ａ，２ｂ，…，２ｚを介してセンタ１から秘密の鍵情報（秘密鍵Ｋ_A，Ｋ_B，…，Ｋ_Z）が各エンティティＡ，Ｂ，…，Ｚへ配布されるようになっている。また、二つのエンティティの間には通信路３ab，３az，３bz，…が設けられており、この通信路３ab，３az，３bz，…を介して通信情報を暗号化した暗号文が互いのエンティティ間で伝送されるようになっている。

次に、暗号通信システムにおけるエンティティ間の情報通信について説明する。図２は、二つのエンティティＶ，Ｕ間における情報の通信状態を示す模式図である。図２の例は、エンティティＶで平文（メッセージ）ｍを暗号文Ｃ₁，Ｃ₂に暗号化してそれをエンティティＵへ伝送し、エンティティＵでその暗号文Ｃ₁，Ｃ₂を元の平文（メッセージ）ｍに復号する場合を示している。なお、エンティティとしては、人間、装置、機械、プログラム、または、それらを構成要素としたシステムなど多様なものがあり、これらの何れの間であっても、本発明は適用可能である。

センタ１は、公開情報であるベクトルＨを含む各種の公開鍵を生成する公開鍵生成部１ａと、各エンティティＶ，Ｕの秘密鍵Ｋ_V，Ｋ_Uを求める秘密鍵生成部１ｂと、生成した秘密鍵Ｋ_V，Ｋ_Uを各エンティティＶ，Ｕへ配布する秘密鍵配布部１ｃとを備えている。

送信側であるエンティティＶの暗号化装置１０は、センタ１から秘密鍵Ｋ_Vを受け取る秘密鍵受取部１１と、乱数ｒを生成する乱数生成部１２と、平文ｍを暗号文Ｃ₁，Ｃ₂に暗号化する暗号化部１３と、作成した暗号文Ｃ₁，Ｃ₂を通信路５０へ送り出す暗号文送出部１４とを備えている。

また、送信側であるエンティティＵの復号装置２０は、センタ１から秘密鍵Ｋ_Uを受け取る秘密鍵受取部２１と、通信路５０から暗号文Ｃ₁，Ｃ₂を受け取る暗号文受取部２２と、暗号文Ｃ₁，Ｃ₂を平文ｍに復号する復号部２３と、復号した平文ｍを出力する平文出力部２４とを備えている。

次に、動作について説明する。図３はセンタ１での処理の動作手順を示すフローチャート、図４はエンティティＶ（送信側）での暗号化処理の動作手順を示すフローチャート、図５はエンティティＵ（受信側）での復号処理の動作手順を示すフローチャートである。

まず、センタ１において、ペアリングが計算可能な安全な楕円曲線が生成され（ステップＳ１）、ｎねじれ点ＰとＱとがランダムに選ばれる（ステップＳ２）。但し、ｅ_n（Ｐ，Ｑ）≠１となるように、点Ｐ，Ｑが選択される。次いで、下記式（１）に示すようなｄ次の多項式関数ｆ（ｘ）が生成される（ステップＳ３）。なお、式（１）において、最高次の係数ａ_dは１で良く、また、ｄ＝１つまり一次式であっても良い。
ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀ …（１）

センタ１において、下記式（２）に示すようなベクトルＨが計算され、そのベクトルＨが公開情報として公開される（ステップＳ４）。また、エンティティＶ，ＵのＩＤ情報ｖ，ｕを用いて、秘密鍵Ｋ_V，Ｋ_Uが下記式（３），（４）に示すように生成されて（ステップＳ５）、各エンティティＶ，Ｕへ配布される（ステップＳ６）。

エンティティＶでは、乱数ｒが乱数生成部１２にて生成され（ステップＳ１１）、エンティティＵのＩＤ情報ｕとセンタ１の公開情報ベクトルＨと乱数ｒとを用いて、下記式（５），（６）に示すように平文ｍから暗号文Ｃ₁，Ｃ₂が暗号化部１３にて作成される（ステップＳ１２，１３）。なお、式（６）における演算記号は、例えば公開鍵暗号でのビット毎のＥＸＯＲ（排他的論理和）を表す。

なお、上記暗号文Ｃ₂におけるｅ_n（Ｐ，Ｑ）は、エンティティＶのＩＤ情報ｖとエンティティＶの秘密鍵Ｋ_Vとセンタ１の公開情報ベクトルＨとを用いて、以下のように算出できる。

作成された暗号文Ｃ₁，Ｃ₂は、暗号文送出部１４から通信路５０を介してエンティティＵへ伝送される（ステップＳ１４）。

通信路５０を伝送された暗号文Ｃ₁，Ｃ₂は、エンティティＵの暗号文受取部２２で受け取られる（ステップＳ２１）。エンティティＵでは、復号部２３において、自身の秘密鍵Ｋ_Uを用いて、下記式（７）に示すように暗号文Ｃ₁，Ｃ₂が平文ｍに復号される（ステップＳ２２）。

以上のようにして、比較的簡単なアルゴリズムによって、暗号文により情報通信を安全に行える。

なお、上述した第１実施の形態では、エンティティＶ（送信側）がセンタ１に登録されており、自身の秘密鍵Ｋ_Vを利用してｅ_n（Ｐ，Ｑ）を求めるようにしたが、このｅ_n（Ｐ，Ｑ）がセンタ１からの公開情報として公開されている場合には、エンティティＶ（送信側）はセンタ１に登録されていなくても暗号文を作成することができる。

（第２実施の形態：ＩＤ情報に基づく署名方法）
次に、第１実施の形態で説明した公開鍵暗号方式と同様の手法を用いる、ＩＤ情報に基づく署名方式について説明する。

図６は、二つのエンティティＵ，Ｖ間における署名システムを示す模式図である。図６の例は、エンティティＵが署名データを作成し、エンティティＶがその署名データを検証する場合を示している。

センタ１は、第１実施の形態と同様の公開鍵生成部１ａ，秘密鍵生成部１ｂ及び秘密鍵配布部１ｃを備えている。

署名側であるエンティティＵの署名装置３０は、センタ１から秘密鍵Ｋ_Uを受け取る秘密鍵受取部３１と、乱数を生成する乱数生成部３２と、各種の公開鍵と自身のＩＤ情報ｕと自身の秘密鍵Ｋ_Uとを用いて署名データを作成する署名データ作成部３３とを備えている。また、検証側であるエンティティＶの検証装置４０は、センタ１から秘密鍵Ｋ_Vを受け取る秘密鍵受取部４１と、エンティティＵからの署名データを検証する署名データ検証部４２とを備えている。

次に、動作について説明する。図７はセンタ１での処理の動作手順を示すフローチャート、図８は署名データを作成するエンティティＵ（署名側）での署名処理の動作手順を示すフローチャート、図９は署名データを検証するエンティティＶ（検証側）での検証処理の動作手順を示すフローチャートである。

まず、センタ１において、第１実施の形態と同様に、ペアリングが計算可能な安全な楕円曲線が生成され（ステップＳ３１）、ｎねじれ点ＰとＱとがランダムに選ばれる（ステップＳ３２）。次いで、上記式（１）に示すようなｄ次の多項式関数ｆ（ｘ）が生成される（ステップＳ３３）。各種（後述する各手法によって異なる）の公開鍵が公開情報として公開される（ステップＳ３４）。また、エンティティＵ，ＶのＩＤ情報ｕ，ｖを用いて、秘密鍵Ｋ_U，Ｋ_Vが前記式（４），（３）に示すように生成されて（ステップＳ３５）、各エンティティＵ，Ｖへ配布される（ステップＳ３６）。

エンティティＵでは、乱数ｋが乱数生成部３２にて生成され（ステップＳ４１）、エンティティＵのＩＤ情報ｕ及び秘密鍵Ｋ_Uと各種の公開鍵（公開情報）と乱数ｋとを用いて、署名データ作成部３３にて署名データが作成される（ステップＳ４２）。作成された署名データは、エンティティＶへ送られる（ステップＳ４３）。

作成された署名データは、エンティティＶで受け取られ（ステップＳ５１）、署名データ検証部４２において、自身及びエンティティＵのＩＤ情報ｖ及びｕと自身の秘密鍵Ｋ_Vと各種の公開鍵（公開情報）とを用いて、その署名データが検証される（ステップＳ５２）。

次に、本発明の署名方法の具体例（第１例〜第６例）について説明する。署名方式の代表的な型として、ElGamal 型とSchnorr 型とが知られており、以下ではこれらの型を中心にして説明する。

〔第１例〕（ElGamal 型のＩ）
第１実施の形態でのセンタ１における公開鍵に、Ｐ∈Ｅ［ｎ］を追加する。センタの公開鍵ベクトルＨと任意のエンティティＣのＩＤ情報ｃとから、下記式（８）のようにｆ（ｃ）Ｑを計算することができる。更に、自身の秘密鍵Ｋ_Cを用いてエンティティＣは下記式（９）のようにｅ_n（Ｐ，Ｑ）を計算することが可能である。つまり、自身の秘密鍵を持っている任意のエンティティはｅ_n（Ｐ，Ｑ）を計算できる。

具体的な署名及び検証は以下のように行う。なお、センタ１は、一方向性関数であるハッシュ関数ｈ（・）を公開鍵として公開する。

署名：（署名データ（Ｒ，Ｓ））エンティティＵにおいて、乱数ｋ∈Ｚ_nが生成され（Ｓ４１）、下記式（10），（11）のように署名データ（Ｒ，Ｓ）が作成される（Ｓ４２）。作成された署名データ（Ｒ，Ｓ）がエンティティＶへ送られる（Ｓ４３）。但し、ｘはＲのｘ座標を表す。

検証：エンティティＶにおいて、署名データ（Ｒ，Ｓ）が受け取られ（Ｓ５１）、下記式（12）に示すｖ₁と下記式（13）に示すｖ₂とが等しいことが確かめられて、署名データの検証が行われる（Ｓ５２）。

〔第２例〕（Schnorr 型のＩ）
第１実施の形態でのセンタ１における公開鍵に、Ｐ∈Ｅ［ｎ］を追加する。具体的な署名及び検証は以下のように行う。なお、センタ１は、ハッシュ関数ｈ（・）を公開鍵として公開する。

署名：（署名データ（ｅ，Ｓ））エンティティＵにおいて、乱数ｋ∈Ｚ_nが生成され（Ｓ４１）、下記式（14）のような中間データｒが計算された後、下記式（15），（16）のように署名データ（ｅ，Ｓ）が作成される（Ｓ４２）。なお、署名データｅは、式（15）で示す如く、平文ｍと中間データｒとの連接のハッシュ値として求められる。作成された署名データ（ｅ，Ｓ）がエンティティＶへ送られる（Ｓ４３）。

検証：エンティティＶにおいて、署名データ（ｅ，Ｓ）が受け取られ（Ｓ５１）、下記式（17），（18）の成立が確かめられて、署名データの検証が行われる（Ｓ５２）。

〔第３例〕（ElGamal 型のII）
この第３例の方式では、Ｐを用いないので、このＰをセンタ１の秘密情報として使用することができる。具体的な署名及び検証は以下のように行う。なお、センタ１は、ハッシュ関数ｈ（・）を公開鍵として公開する。

署名：（署名データ（ベクトルＲ，Ｓ））エンティティＵにおいて、乱数ｋ∈Ｚ_nが生成され（Ｓ４１）、下記式（19），（20）のように署名データ（ベクトルＲ，Ｓ）が作成される（Ｓ４２）。作成された署名データ（ベクトルＲ，Ｓ）がエンティティＶへ送られる（Ｓ４３）。但し、ｘはｋＨ₀のｘ座標を表す。

検証：エンティティＶにおいて、署名データ（ベクトルＲ，Ｓ）が受け取られ（Ｓ５１）、以下の関係の成立が確かめられて、署名データの検証が行われる（Ｓ５２）。まず、ベクトルＲより下記式（21）のようにｋｆ（ｖ）Ｑが求められ、次に、下記式（22），（23），（24）のようにｗ₁，ｗ₂，ｗ₃が得られる。そして、下記式（25）の成立により、署名データ（ベクトルＲ，Ｓ）の正当性が検証される。

〔第４例〕（Schnorr 型のII）
この第４例の方式では、第３例と同様、Ｐを用いないので、このＰをセンタ１の秘密情報として使用することができる。具体的な署名及び検証は以下のように行う。なお、センタ１は、ハッシュ関数ｈ（・）を公開鍵として公開する。

署名：（署名データ（ｅ，Ｓ））エンティティＵにおいて、乱数ｋ∈Ｚ_nが生成され（Ｓ４１）、下記式（26）のような中間データｒが計算された後、下記式（27），（28）のように署名データ（ｅ，Ｓ）が作成される（Ｓ４２）。作成された署名データ（ｅ，Ｓ）がエンティティＶへ送られる（Ｓ４３）。

検証：エンティティＶにおいて、署名データ（ｅ，Ｓ）が受け取られ（Ｓ５１）、以下のようにして、署名データの検証が行われる（Ｓ５２）。まず、下記式（29）に従ってｗが求められ、次に、下記式（30）が成立することにより、署名データ（ｅ，Ｓ）と平文ｍとの正当性が検証される。

〔第５例〕（ElGamal 型のIII)
この第５例の方式では、Ｐをセンタ１の公開鍵とする。この方式の特徴は、署名データの検証時に必ず自身の秘密鍵を必要とする点にある。具体的な署名及び検証は以下のように行う。なお、センタ１は、ハッシュ関数ｈ（・）を公開鍵として公開する。

署名：（署名データ（ベクトルＲ，Ｓ））エンティティＵにおいて、乱数ｋ∈Ｚ_nが生成され（Ｓ４１）、下記式（31），（32）のように署名データ（ベクトルＲ，Ｓ）が作成される（Ｓ４２）。作成された署名データ（ベクトルＲ，Ｓ）がエンティティＶへ送られる（Ｓ４３）。但し、ｘはｋＨ₀のｘ座標を表す。

検証：エンティティＶにおいて、署名データ（ベクトルＲ，Ｓ）が受け取られ（Ｓ５１）、以下の関係の成立が確かめられて、署名データの検証が行われる（Ｓ５２）。下記式（33），（34），（35）のようにｗ₁，ｗ₂，ｗ₃が計算された後、下記式（36）の成立により、署名データ（ベクトルＲ，Ｓ）の正当性が検証される。

〔第６例〕（その他の型）
この第６例の方式での具体的な署名及び検証は以下のように行う。なお、センタ１は、ハッシュ関数ｈ（・）を公開鍵として公開する。

署名：エンティティＵにおいて、乱数ｋ，ｒ∈Ｚ_nが生成され（Ｓ４１）、ハッシュ関数ｈ（・）を用いて平文ｍに対応する楕円曲線上のｎねじれ点Ｍ＝ｈ（ｍ）が計算される。そして、平文ｍに対する署名データ（Ｓ₁，Ｓ₂，ベクトルＳ₃）が、エンティティＵの秘密鍵Ｐ_U（エンティティＵのＩＤ情報ｕを楕円曲線上のｎねじれ点Ｐに写像したもの）と、センタの公開情報ｈ（・），ベクトルＨとを用いて、下記式（37），（38），（39）のように作成される（Ｓ４２）。作成された署名データ（Ｓ₁，Ｓ₂，ベクトルＳ₃）がエンティティＶへ送られる（Ｓ４３）。

検証：エンティティＶにおいて、署名データ（Ｓ₁，Ｓ₂，ベクトルＳ₃）が受け取られ（Ｓ５１）、平文ｍからＭ＝ｈ（ｍ）が得られた後、エンティティＶの秘密鍵Ｐ_Vを用いて、下記式（40）の成立が確かめられて、署名データの検証が行われる（Ｓ５２）。

なお、上述した第２実施の形態では、エンティティＶ（検証側）がセンタ１に登録されており、自身の秘密鍵Ｋ_Vを利用してｅ_n（Ｐ，Ｑ）を求めるようにしたが、このｅ_n（Ｐ，Ｑ）がセンタ１からの公開情報として公開されている場合には、エンティティＶ（検証側）はセンタ１に登録されていなくても署名データの検証を行うことができる。

（第３実施の形態）
次に、第２実施の形態とは異なる秘密鍵及び公開鍵を使用する第３実施の形態の署名方法について、ElGamal 型（第７例）とSchnorr 型（第８例）とを例として説明する。なお、第３実施の形態における署名装置及び検証装置の構成、並びに、センタ処理，署名処理及び検証処理の動作手順は、第２実施の形態（図６〜図９）と同様であるのでそれらの説明は省略する。

〔第７例〕（ElGamal 型）
準備：信頼がおけるセンタにて、ペアリングの計算が可能な安全な楕円曲線が生成され、エンティティＵ（署名側）のＩＤ情報ｕがその楕円曲線上のｎねじれ点Ｐ_Uに変換されると共に、ハッシュ関数ｈ（・）が公開される。また、センタにて、秘密鍵ｙ∈Ｚ_nが生成され、ｎねじれ点Ｑ∈Ｅ［ｎ］を用いて、Ｑ，ｙＱが計算されて公開される。更に、センタにて、エンティティＵのＩＤ情報ｕからエンティティＵの秘密鍵Ｋ_U＝ｙＰ_Uが計算されて、この秘密鍵Ｋ_UがエンティティＵへ送られる。

署名：（署名データ（Ｒ，Ｓ））エンティティＵにおいて、乱数ｋ∈Ｚ_nが生成され、下記式（41），（42）のように署名データ（Ｒ，Ｓ）が作成される。作成された署名データ（Ｒ，Ｓ）がエンティティＶへ送られる。但し、ｘはＲのｘ座標である。

検証：エンティティＶにおいて、署名データ（Ｒ，Ｓ）が受け取られ、下記式（43）の成立が確かめられて、署名データの検証が行われる。

〔第８例〕（Schnorr 型）
準備：センタにおける準備処理は、第７例と同様である。

署名：（署名データ（ｅ，Ｓ））エンティティＵにおいて、乱数ｋ∈Ｚ_nが生成され、下記式（44）のような中間データｒが計算された後、下記式（45），（46）のように署名データ（ｅ，Ｓ）が作成される。作成された署名データ（ｅ，Ｓ）がエンティティＶへ送られる。

検証：エンティティＶにおいて、署名データ（ｅ，Ｓ）が受け取られ、下記式（47），（48）の成立が確かめられて、署名データの検証が行われる。

（第４実施の形態）
次に、複数のエンティティにて構成されるグループを考慮した公開鍵暗号方法及び署名方法について説明する。なお、第４実施の形態の公開鍵暗号方法における暗号化装置及び復号装置の構成、並びに、センタ処理，暗号化処理及び復号処理の動作手順は、第１実施の形態（図２〜図５）と同様であり、また、第４実施の形態の署名方法における署名装置及び検証装置の構成、並びに、センタ処理，署名処理及び検証処理の動作手順は、第２実施の形態（図６〜図９）と同様であるので、それらの説明は省略する。

第４実施の形態にあっては、第１，第２実施の形態で述べたようなセンタ秘密の多項式関数を、各エンティティ用とグループ用との２組生成する。具体的には、下記式（49）に示すような各エンティティ用のｄ次の多項式関数ｆ（ｘ）（上記式（１）と同様）と、下記式（50）に示すようなグループ用のｚ次の多項式関数ｔ（ｘ）とが生成される。
ｆ（ｘ）＝ａ_dｘ^d＋ａ_d-1ｘ^d-1＋・・・＋ａ₁ｘ＋ａ₀ …（49）
ｔ（ｘ）＝ｂ_zｘ^z＋ｂ_z-1ｘ^z-1＋・・・＋ｂ₁ｘ＋ｂ₀ …（50）

エンティティＵがグループＧに属しているとする。また、エンティティＵのＩＤ情報をｕ、グループＧのＩＤ情報をｇとする。この場合、エンティティＵの秘密鍵Ｋ_UGは下記式（51）で与えられ、センタで計算される。また、センタが公開する公開情報としてのグループＧの公開鍵は下記式（52）で与えられ、エンティティＵのための情報（公開する必要はない）は下記式（53）で与えられ、何れもセンタで計算される。

以下、公開鍵暗号方法（第９例及び第１０例）並びに署名方法（第１１例〜第１４例）の具体例について説明する。

〔第９例〕（ＩＤ情報に基づくグループへの公開鍵暗号方法）
グループＧに属するエンティティであれば、誰でも復号可能であるグループＧへの公開鍵暗号方法について説明する。この例は、一つのグループＧに属する全てのエンティティへ同じ暗号文を送付する場合に好適である。

暗号化：送信エンティティ（送信側）において、乱数ｒ∈Ｚ_nが生成され、グループＧへの暗号文として下記式（54），（55）のようなＣ_i，Ｃ_d+1が作成される。ｅ_n（Ｐ，Ｑ）は、送信エンティティのＩＤ情報及び秘密鍵とセンタの公開情報とから計算することができる。

復号：グループＧに属する任意のエンティティＵ（受信側）において、下記式（56）に従って、暗号文Ｃ_i，Ｃ_d+1から平文ｍが復号される。

〔第１０例〕（ＩＤ情報に基づく各エンティティへの公開鍵暗号方法）
第９例と同様の秘密鍵及び公開鍵を用いて、グループＧに属する特定のエンティティＵへ暗号文を送付する例について説明する。グループＧに属するエンティティＵ（受信側）への暗号化及びエンティティＵでの復号は、第１実施の形態と同様に行うことができる。

暗号化：送信エンティティ（送信側）において、乱数ｒ∈Ｚ_nが生成され、エンティティＵへの暗号文として下記式（57），（58）のようなＣ₁，Ｃ₂が作成される。

復号：エンティティＵ側において、下記式（59）に従って、暗号文Ｃ₁，Ｃ₂から平文ｍが復号される。

〔第１１例〕（ＩＤ情報に基づくグループ署名方法：Schnorr 型）
署名データからは、グループ内のどのエンティティが署名したかは特定できないが、そのグループに属するエンティティが署名したということを検証できる署名方法について説明する。

署名：エンティティＵ（署名側）において、乱数ｋ∈Ｚ_nが生成され、下記式（60）のような中間データｒが計算された後、下記式（61），（62）のようにグループＧの署名データ（ｅ，Ｓ_i）が作成される。ｅ_n（Ｐ，Ｑ）は、エンティティＵのＩＤ情報及び秘密鍵とセンタの公開情報とから計算することができる。

検証：グループＧ′に属する任意のエンティティＶ（検証側）において、まず、下記式（63），（64）に従ってｅ_n（Ｐ，Ｑ），ｗが求められ、次に、下記式（65）により、署名データ（ｅ，Ｓ_i）の正当性が検証される。

第１１例は、下記式（66）を満たすｕ′をＩＤ情報に持つエンティティＵ′（署名側）がこのｘ′とｋとを選択した場合、全く同じ署名データになるという性質を有している。従って、署名データからは署名エンティティを特定できないという特徴を有している。
ｘｆ（ｕ）≡ｘ′ｆ（ｕ′）（mod ｎ） …（66）
グループＧの秘密鍵Ｋ_G＝（１／ｔ（ｇ））ＰとエンティティＵの秘密鍵Ｋ_U＝（１／ｆ（ｕ））Ｐとを両方持てば同等の機能を有するように考えられるが、この第１１例ではグループの秘密鍵とエンティティの秘密鍵とを分離できないため、夫々の秘密鍵を各別に譲渡したりすることは不可能である。

〔第１２例〕（ＩＤ情報に基づくグループ署名方法：ElGamal 型）
検証エンティティをグループに属するエンティティに限定する署名方法について説明する。この第１２例の方法では、Ｐをセンタの公開鍵とする。

署名：エンティティＵ（署名側）において、乱数ｋ∈Ｚ_nが生成され、下記式（67），（68）のようにグループＧの署名データ（ベクトルＲ，Ｓ）が作成される。但し、ｘはｋＵ₀のｘ座標を表す。

検証：グループＧに属する任意のエンティティＶ（検証側）において、まず、下記式（69）に従ってｋｆ（ｕ）ｔ（ｇ）Ｑが求められ、次に、下記式（70），（71），（72）のようにｗ₁，ｗ₂，ｗ₃が計算された後、下記式（73）の成立により、署名データ（ベクトルＲ，Ｓ）の正当性が検証される。

〔第１３例〕（ＩＤ情報に基づくエンティティ署名方法：Schnorr 型Ｉ）
第１１例における署名方法を以下のように変更することにより、エンティティＵ（署名側）の署名データを得ることができる。

署名：エンティティＵ（署名側）において、乱数ｋ∈Ｚ_nが生成され、下記式（74）のような中間データｒが計算された後、下記式（75），（76）のようにエンティティＵの署名データ（ｅ，Ｓ_i）が作成される。ｅ_n（Ｐ，Ｑ）は、エンティティＵのＩＤ情報及び秘密鍵とセンタの公開情報とから計算することができる。

検証：グループＧ′に属する任意のエンティティＶ（検証側）において、まず、下記式（77），（78）に従ってｅ_n（Ｐ，Ｑ），ｗが求められ、次に、下記式（79）により、署名データ（ｅ，Ｓ_i）の正当性が検証される。

〔第１４例〕（ＩＤ情報に基づくエンティティ署名方法：Schnorr 型II）
第１３例における署名方法を以下のように変更することにより、検証エンティティをグループＧに属するエンティティに限定することができる。

署名：エンティティＵ（署名側）において、乱数ｋ∈Ｚ_nが生成され、下記式（80）のような中間データｒが計算された後、下記式（81），（82）のようにエンティティＵの署名データ（ｅ，Ｓ_i）が作成される。ｅ_n（Ｐ，Ｑ）は、エンティティＵのＩＤ情報及び秘密鍵とセンタの公開情報とから計算することができる。

検証：グループＧに属する任意のエンティティＶ（検証側）において、まず、下記式（83），（84）に従ってｅ_n（Ｐ，Ｑ）^x，ｗが求められ、次に、下記式（85）により、署名データ（ｅ，Ｓ_i）の正当性が検証される。

この第１４例の方式では、エンティティＶ（検証側）の秘密鍵Ｋ_VGが検証時に不可欠であり、しかも、同じグループに属するエンティティＶでなければｅ_n（Ｐ，Ｑ）^xを計算できないため、エンティティＶをエンティティＵ（署名側）と同じグループＧに属するエンティティに限定することができる。

なお、上述した例では代数曲線として楕円曲線を用いる場合について説明したが、超楕円曲線を用いる場合にあっても、同様のペアリングを定義できるので、簡単に拡張することができる。

ここで、前述した暗号化装置１０，復号装置２０のハードウェアの構成例について図１０を参照して説明する。

暗号化装置１０は、ＣＰＵ５１，通信部５２，操作部５３，表示部５４，ＲＯＭ５５，ＲＡＭ５６，鍵格納部５７等を備えている。ＣＰＵ５１は、バス５８を介して暗号化装置１０の上記ハードウェア各部と接続されていて、それらを制御すると共に、ＲＯＭ５５に格納された暗号化処理のコンピュータプログラムに従って、種々のソフトウェア的機能を実行する。通信部５２は、通信路５０を介した送信・受信処理を実行する。操作部５３は、ユーザによる暗号化すべき平文の入力等の外部からの操作を受け付ける。表示部５４は、入力された暗号化すべき平文等を表示する。ＲＯＭ５５は、暗号化装置１０の上述した暗号化処理の動作に必要な種々のソフトウェアのコンピュータプログラムを予め格納している。ＲＡＭ５６は、ＳＲＡＭまたはフラッシュメモリ等で構成され、暗号化処理の動作時に発生する一時的なデータを記憶する。鍵格納部５７は、上述したベクトルＨを含む公開鍵を格納している。

一方、復号装置２０は、ＣＰＵ６１，通信部６２，操作部６３，表示部６４，ＲＯＭ６５，ＲＡＭ６６，鍵格納部６７，出力部６８等を備えている。ＣＰＵ６１は、バス６９を介して復号装置２０の上記ハードウェア各部と接続されていて、それらを制御すると共に、ＲＯＭ６５に格納された復号処理のコンピュータプログラムに従って、種々のソフトウェア的機能を実行する。通信部６２は、通信路５０を介した送信・受信処理を実行する。操作部６３は、ユーザによる外部からの操作を受け付ける。表示部６４は、復号結果等を表示する。ＲＯＭ６５は、復号装置２０の上述した復号処理の動作に必要な種々のソフトウェアのコンピュータプログラムを予め格納している。ＲＡＭ６６は、ＳＲＡＭまたはフラッシュメモリ等で構成され、復号処理の動作時に発生する一時的なデータを記憶する。鍵格納部６７は、上述した秘密鍵及び公開鍵を格納している。出力部６８は、復号した平文を出力する。

次に、前述した署名装置３０，検証装置４０のハードウェアの構成例について図１１を参照して説明する。

署名装置３０は、ＣＰＵ７１，操作部７２，表示部７３，ＲＯＭ７４，ＲＡＭ７５，鍵格納部７６等を備えている。ＣＰＵ７１は、バス７７を介して署名装置３０の上記ハードウェア各部と接続されていて、それらを制御すると共に、ＲＯＭ７４に格納された署名処理のコンピュータプログラムに従って、種々のソフトウェア的機能を実行する。操作部７２は、ユーザによる外部からの操作を受け付ける。表示部７３は、署名データ等を表示する。ＲＯＭ７４は、署名装置３０の上述した署名処理の動作に必要な種々のソフトウェアのコンピュータプログラムを予め格納している。ＲＡＭ７５は、ＳＲＡＭまたはフラッシュメモリ等で構成され、署名処理の動作時に発生する一時的なデータを記憶する。鍵格納部７６は、上述したベクトルＨを含む公開鍵を格納している。

一方、検証装置４０は、ＣＰＵ８１，操作部８２，表示部８３，ＲＯＭ８４，ＲＡＭ８５，鍵格納部８６，出力部８７等を備えている。ＣＰＵ８１は、バス８８を介して検証装置４０の上記ハードウェア各部と接続されていて、それらを制御すると共に、ＲＯＭ８４に格納された検証処理のコンピュータプログラムに従って、種々のソフトウェア的機能を実行する。操作部８２は、ユーザによる外部からの操作を受け付ける。表示部８３は、検証結果等を表示する。ＲＯＭ８４は、検証装置４０の上述した検証処理の動作に必要な種々のソフトウェアのコンピュータプログラムを予め格納している。ＲＡＭ８５は、ＳＲＡＭまたはフラッシュメモリ等で構成され、検証処理の動作時に発生する一時的なデータを記憶する。鍵格納部８６は、上述した秘密鍵及び公開鍵を格納している。出力部８７は、署名データの検証結果を出力する。

図１２は、本発明の記録媒体の実施の形態の構成を示す図である。ここに例示するコンピュータプログラムは、上述した第１〜第４実施の形態にあって、公開鍵及び秘密鍵を生成する鍵生成処理、暗号文を作成する暗号化処理、暗号文を復号する復号処理、署名データを作成する署名処理、または、署名データを検証する検証処理を含んでおり、以下に説明する記録媒体に記録されている。なお、コンピュータ９０は、センタ１側か、または、各エンティティ側に設けられている。

図１２において、コンピュータ９０とオンライン接続する記録媒体９１は、コンピュータ９０の設置場所から隔たって設置される例えばＷＷＷ(World Wide Web)のサーバコンピュータを用いてなり、記録媒体９１には前述の如きコンピュータプログラム９１ａが記録されている。記録媒体９１から通信線等の伝送媒体９４を介して読み出されたコンピュータプログラム９１ａがコンピュータ９０を制御することにより、コンピュータ９０が上述した処理のいずれかを実行する。

コンピュータ９０の内部に設けられた記録媒体９２は、内蔵設置される例えばハードディスクドライブまたはＲＯＭ（図１０のＲＯＭ５５またはＲＯＭ６５、図１１のＲＯＭ７４またはＲＯＭ８４に相当）等を用いてなり、記録媒体９２には前述の如きコンピュータプログラム９２ａが記録されている。記録媒体９２から読み出されたコンピュータプログラム９２ａがコンピュータ９０を制御することにより、コンピュータ９０が上述した処理のいずれかを実行する。

コンピュータ９０に設けられたディスクドライブ９０ａに装填して使用される記録媒体９３は、運搬可能な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフレキシブルディスク等を用いてなり、記録媒体９３には前述の如きプログラム９３ａが記録されている。記録媒体９３から読み出されたコンピュータプログラム９３ａがコンピュータ９０を制御することにより、コンピュータ９０が上述した処理のいずれかを実行する。

本発明の暗号通信システムの構成を示す模式図である。二つのエンティティ間における情報の通信状態を示す模式図である。センタでの処理の動作手順を示すフローチャートである。送信側のエンティティでの暗号化処理の動作手順を示すフローチャートである。受信側のエンティティでの復号処理の動作手順を示すフローチャートである。二つのエンティティ間における署名システムを示す模式図である。センタでの処理の動作手順を示すフローチャートである。署名側のエンティティでの署名処理の動作手順を示すフローチャートである。検証側のエンティティでの検証処理の動作手順を示すフローチャートである。暗号化装置及び復号装置のハードウェア構成例を示す図である。署名装置及び検証装置のハードウェア構成例を示す図である。記録媒体の実施の形態の構成を示す図である。

符号の説明

１センタ
１ａ公開鍵生成部
１ｂ秘密鍵生成部
１０暗号化装置
１３暗号化部
２０復号装置
２３復号部
３０署名装置
３３署名データ作成部
４０検証装置
４２署名データ検証部
５０通信路
９０コンピュータ
９１，９２，９３記録媒体
９１ａ，９２ａ，９３ａコンピュータプログラム
Ａ，Ｂ，Ｕ，Ｖ，Ｚエンティティ

Claims

センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀を設定する手段と、
設定した多項式関数ｆ（ｘ）に、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを代入して関数値ｆ（ｕ），ｆ（ｖ）を得る手段と、
選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｆ（ｖ）の逆数倍して第１及び第２のエンティティ用の秘密鍵

を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵

を対応するエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ｅ，Ｓ）を検証する検証手段と
を備えることを特徴とする署名システム。
センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀ を設定する手段と、
設定した多項式関数ｆ（ｘ）に、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを代入して関数値ｆ（ｕ），ｆ（ｖ）を得る手段と、
選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｆ（ｖ）の逆数倍して第１及び第２のエンティティ用の秘密鍵

を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵

を対応するエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
選択された他方の点Ｑを、設定した多項式関数ｆ（ｘ）の係数倍して公開鍵ベクトルＨ＝｛Ｈ ₀ ，Ｈ ₁ ，・・・，Ｈ _d ｝＝｛ａ ₀ Ｑ，ａ ₁ Ｑ，・・・，ａ _d Ｑ｝を計算する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ベクトルＲ，Ｓ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ベクトルＲ，Ｓ）を検証する検証手段と
を備えることを特徴とする署名システム。
センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀ を設定する手段と、
設定した多項式関数ｆ（ｘ）に、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを代入して関数値ｆ（ｕ），ｆ（ｖ）を得る手段と、
選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｆ（ｖ）の逆数倍して第１及び第２のエンティティ用の秘密鍵

を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵

を対応するエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ｅ，Ｓ）を検証する検証手段と
を備えることを特徴とする署名システム。
センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀ を設定する手段と、
設定した多項式関数ｆ（ｘ）に、受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを代入して関数値ｆ（ｕ），ｆ（ｖ）を得る手段と、
選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｆ（ｖ）の逆数倍して第１及び第２のエンティティ用の秘密鍵

を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵

を対応するエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
選択された他方の点Ｑを、設定した多項式関数ｆ（ｘ）の係数倍して公開鍵ベクトルＨ＝｛Ｈ ₀ ，Ｈ ₁ ，・・・，Ｈ _d ｝＝｛ａ ₀ Ｑ，ａ ₁ Ｑ，・・・，ａ _d Ｑ｝を計算する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ベクトルＲ，Ｓ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ベクトルＲ，Ｓ）を検証する検証手段と
を備えることを特徴とする署名システム。
センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀ を設定する手段と、
受け付けた第１及び第２のエンティティの特定情報ｕ，ｖを楕円曲線上のｎねじれ点Ｐに写像してなる第１及び第２のエンティティ用の秘密鍵Ｐ _U ，Ｐ _V を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵Ｐ _U ，Ｐ _V を対応するエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
選択された他方の点Ｑを、設定した多項式関数ｆ（ｘ）の係数倍して公開鍵ベクトルＨ＝｛Ｈ ₀ ，Ｈ ₁ ，・・・，Ｈ _d ｝＝｛ａ ₀ Ｑ，ａ ₁ Ｑ，・・・，ａ _d Ｑ｝を計算する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から自身用の秘密鍵Ｐ _U を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋ，ｒを用いて、平文ｍの署名データ（Ｓ ₁ ，Ｓ ₂ ，ベクトルＳ ₃ ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵Ｐ _V を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（Ｓ ₁ ，Ｓ ₂ ，ベクトルＳ ₃ ）を検証する検証手段とを備えることを特徴とする署名システム。
センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
第１のエンティティの特定情報ｕを、ペアリングｅ _n （，）を定義できる楕円曲線上のｎねじれ点Ｐ _U に変換する手段と、
秘密鍵ｙを生成する手段と、
第１のエンティティ用の秘密鍵Ｋ _U ＝ｙＰ _U を生成する手段と、
生成した第１のエンティティ用の秘密鍵Ｋ _U を対応する第１のエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
楕円曲線上のｎねじれ点Ｑを用いてｙＱを計算する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から自身用の秘密鍵Ｋ _U を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（Ｒ，Ｓ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
受け付けた公開鍵を用いて

の成立を確認することで署名データ（Ｒ，Ｓ）を検証する検証手段
を備えることを特徴とする署名システム。
センタ装置で生成されたエンティティの秘密鍵及び該センタ装置が公開する公開鍵を使用して、第１のエンティティ装置にて作成する署名データを第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
第１のエンティティの特定情報ｕを、ペアリングｅ _n （，）を定義できる楕円曲線上のｎねじれ点Ｐ _U に変換する手段と、
秘密鍵ｙを生成する手段と、
第１のエンティティ用の秘密鍵Ｋ _U ＝ｙＰ _U を生成する手段と、
生成した第１のエンティティ用の秘密鍵Ｋ _U を対応する第１のエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
楕円曲線上のｎねじれ点Ｑを用いてｙＱを計算する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から自身用の秘密鍵Ｋ _U を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
受け付けた公開鍵を用いて

の成立を確認することで署名データ（ｅ，Ｓ）を検証する検証手段と
を備えることを特徴とする署名システム。
センタ装置で生成された第１グループに所属する第１のエンティティ及び第２グループに所属する第２のエンティティの秘密鍵、並びに前記センタ装置が公開する公開鍵を使用して、第１グループに属する第１のエンティティ装置にて作成する署名データを第２グループに属する第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀ 及びｔ（ｘ）＝ｂ _z ｘ ^z ＋ｂ _z-1 ｘ ^z-1 ＋・・・＋ｂ ₁ ｘ＋ｂ ₀ を設定する手段と、
設定した多項式関数ｆ（ｘ）及びｔ（ｘ）それぞれに、受け付けた第１，第２のエンティティの特定情報ｕ，ｖ及び第１，第２グループの特定情報ｇ，ｇ′を代入してエンティティ及びグループそれぞれの関数値ｆ（ｕ），ｆ（ｖ）及びｔ（ｇ），ｔ（ｇ′）を得る手段と、
選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｔ（ｇ）及びｆ（ｖ），ｔ（ｇ′ ）の積の逆数倍して第１，第２のエンティティ用の秘密鍵

を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵

を対応する第１及び第２のエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
選択された他方の点Ｑ及び設定した多項式関数ｆ（ｘ）を用いて、第１のエンティティ用の公開鍵｛Ｕ ₀ ，Ｕ ₁ ，・・・，Ｕ _z ｝＝｛ｂ ₀ ｆ（ｕ）Ｑ，ｂ ₁ ｆ（ｕ）Ｑ，・・・，ｂ _z ｆ（ｕ）Ｑ｝を生成する手段と、
選択された他方の点Ｑ及び設定した多項式関数ｔ（ｘ）を用いて、第２グループ用の公開鍵｛Ｇ ₀ ′，Ｇ ₁ ′，・・・，Ｇ _d ′｝＝｛ａ ₀ ｔ（ｇ′）Ｑ，ａ ₁ ｔ（ｇ′）Ｑ，・・・，ａ _d ｔ（ｇ′）Ｑ｝，を生成する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ _i ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ｅ，Ｓ _i ）を検証する検証手段と
を備えることを特徴とする署名システム。
センタ装置で生成された一のグループに所属する第１のエンティティ及び第２のエンティティの秘密鍵、並びに前記センタ装置が公開する公開鍵を使用して、前記一のグループに属する第１のエンティティ装置にて作成する署名データを前記一のグループに属する第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀ 及びｔ（ｘ）＝ｂ _z ｘ ^z ＋ｂ _z-1 ｘ ^z-1 ＋・・・＋ｂ ₁ ｘ＋ｂ ₀ を設定する手段と、
設定した多項式関数ｆ（ｘ）及びｔ（ｘ）それぞれに、受け付けた第１，第２のエンティティの特定情報ｕ，ｖ及び前記一のグループの特定情報ｇを代入してエンティティ及びグループそれぞれの関数値ｆ（ｕ），ｆ（ｖ）及びｔ（ｇ）を得る手段と、
選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｔ（ｇ）及びｆ（ｖ），ｔ（ｇ）の積の逆数倍して第１，第２のエンティティ用の秘密鍵

を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵

を対応する第１及び第２のエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
選択された他方の点Ｑ及び設定した多項式関数ｆ（ｘ）を用いて、第１のエンティティ用の公開鍵｛Ｕ ₀ ，Ｕ ₁ ，・・・，Ｕ _z ｝＝｛ｂ ₀ ｆ（ｕ）Ｑ，ｂ ₁ ｆ（ｕ）Ｑ，・・・，ｂ _z ｆ（ｕ）Ｑ｝を生成する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ベクトルＲ，Ｓ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ベクトルＲ，Ｓ）を検証する検証手段と
を備えることを特徴とする署名システム。
センタ装置で生成された第１グループに所属する第１のエンティティ及び第２グループに所属する第２のエンティティの秘密鍵、並びに前記センタ装置が公開する公開鍵を使用して、第１グループに属する第１のエンティティ装置にて作成する署名データを第２グループに属する第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀ 及びｔ（ｘ）＝ｂ _z ｘ ^z ＋ｂ _z-1 ｘ ^z-1 ＋・・・＋ｂ ₁ ｘ＋ｂ ₀ を設定する手段と、
設定した多項式関数ｆ（ｘ）及びｔ（ｘ）それぞれに、受け付けた第１，第２のエンティティの特定情報ｕ，ｖ及び第１，第２グループの特定情報ｇ，ｇ′を代入してエンティティ及びグループそれぞれの関数値ｆ（ｕ），ｆ（ｖ）及びｔ（ｇ），ｔ（ｇ′）を得る手段と、
選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｔ（ｇ）及びｆ（ｖ），ｔ（ｇ′ ）の積の逆数倍して第１，第２のエンティティ用の秘密鍵

を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵

を対応する第１及び第２のエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
選択された他方の点Ｑ及び設定した多項式関数ｔ（ｘ）を用いて、第１グループ用の公開鍵｛Ｇ ₀ ，Ｇ ₁ ，・・・，Ｇ _d ｝＝｛ａ ₀ ｔ（ｇ）Ｑ，ａ ₁ ｔ（ｇ）Ｑ，・・・，ａ _d ｔ（ｇ）Ｑ｝を生成する手段と、
選択された他方の点Ｑ及び設定した多項式関数ｔ（ｘ）を用いて、第２グループ用の公開鍵｛Ｇ ₀ ′，Ｇ ₁ ′，・・・，Ｇ _d ′｝＝｛ａ ₀ ｔ（ｇ′）Ｑ，ａ ₁ ｔ（ｇ′）Ｑ，・・・，ａ _d ｔ（ｇ′）Ｑ｝，を生成する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ _i ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ｅ，Ｓ _i ）を検証する検証手段と
を備えることを特徴とする署名システム。
センタ装置で生成された一のグループに所属する第１のエンティティ及び第２のエンティティの秘密鍵、並びに前記センタ装置が公開する公開鍵を使用して、前記一のグループに属する第１のエンティティ装置にて作成する署名データを前記一のグループに属する第２のエンティティ装置にて検証する署名システムにおいて、
前記センタ装置は、
ペアリングｅ _n （，）を定義できる楕円曲線上の２点Ｐ，Ｑを適宜に選択する手段と、少なくとも一次の任意の多項式関数ｆ（ｘ）＝ａ _d ｘ ^d ＋ａ _d-1 ｘ ^d-1 ＋・・・＋ａ ₁ ｘ＋ａ ₀ 及びｔ（ｘ）＝ｂ _z ｘ ^z ＋ｂ _z-1 ｘ ^z-1 ＋・・・＋ｂ ₁ ｘ＋ｂ ₀ を設定する手段と、
設定した多項式関数ｆ（ｘ）及びｔ（ｘ）それぞれに、受け付けた第１，第２のエンティティの特定情報ｕ，ｖ及び前記一のグループの特定情報ｇを代入してエンティティ及びグループそれぞれの関数値ｆ（ｕ），ｆ（ｖ）及びｔ（ｇ）を得る手段と、
選択された一方の点Ｐを、得られた関数値ｆ（ｕ），ｔ（ｇ）及びｆ（ｖ），ｔ（ｇ）の積の逆数倍して第１，第２のエンティティ用の秘密鍵

を生成する手段と、
生成した第１及び第２のエンティティ用の秘密鍵

を対応する第１及び第２のエンティティ装置へ配布する手段と、
ハッシュ関数ｈ（・）を公開鍵として公開する手段と、
選択された他方の点Ｑ及び設定した多項式関数ｔ（ｘ）を用いて、前記一のグループ用の公開鍵｛Ｇ ₀ ，Ｇ ₁ ，・・・，Ｇ _z ｝＝｛ａ ₀ ｔ（ｇ）Ｑ，ａ ₁ ｔ（ｇ）Ｑ，・・・，ａ _z ｔ（ｇ）Ｑ｝を生成する手段と
を備えており、
前記第１のエンティティ装置は、
前記センタ装置から秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵、受け付けた公開鍵及び発生させた乱数ｋを用いて、平文ｍの署名データ（ｅ，Ｓ _i ）

を作成する作成手段と
を備えており、
前記第２のエンティティ装置は、
前記センタ装置から自身用の秘密鍵

を受け取る手段と、
受け取った自身用の秘密鍵及び受け付けた公開鍵を用いて

の成立を確認することで署名データ（ｅ，Ｓ _i ）を検証する検証手段と
を備えることを特徴とする署名システム。