JP4679163B2 - デジタル署名情報生成装置、デジタル署名情報生成方法及びプログラム - Google Patents

Description

本発明は、デジタル署名情報を生成するためのデジタル署名情報生成装置、デジタル署名情報生成方法及びプログラムに関する。

情報化社会の発展に伴い、データをデジタル化しネットワークを通じてやり取りするコミュニケーション形態が増加している。デジタルデータ（以下、データとはデジタルデータを指すものとする）は、第三者による作成や複製や改ざん等が容易であるため、データの真正性が重要になる場合には、データに信頼性を持たせるためにデジタル署名（電子署名）の技術が利用される。

基本的なデジタル署名では、例えば、署名者側においては、署名対象のデータにハッシュ関数を適用してハッシュ値を求め、このハッシュ値を署名者の秘密鍵で変換してデジタル署名情報を生成し、このデジタル署名情報を署名対象データに付加して、デジタル署名付データとする。一方、検証者側においては、例えば、検証対象のデジタル署名付データのデータ部分にハッシュ関数を適用して得た第１のデータと、検証対象のデータに付加されているデジタル署名情報を署名者とされている者の公開鍵で逆変換して得た第２のデータとを比較することによって、検証を行う。

デジタル署名情報の偽造や秘密鍵の解読は困難であることから、デジタル署名情報を用いた検証により、署名者とされるユーザがデータに電子証明を行ったという事実（確かに当該データ及び当該署名者の秘密鍵を用いて当該デジタル署名が生成されたという事実）が保証できる。

なお、本明細書において、グループ管理者、署名者、検証者、認証局等について説明する動作は、基本的には、それらに係る装置の動作を意味するものである。

ところで、ネットワーク上のサービスの多様化により、デジタル署名にも様々な機能が求められている。例えば、電子決済や電子投票等において署名者個人のプライバシー保護を実現するために、匿名性を有するデジタル署名が開発されている。匿名性を有するデジタル署名においては、これを利用するユーザは、複数のユーザが加入するグループに所属する。そして、署名者となるユーザは、そのグループに対応する公開鍵で正当性の検証が可能なデジタル署名あるいはそのグループに属する全てのユーザの公開鍵で正当性の検証が可能なデジタル署名を、当該ユーザ自身の秘密鍵を用いて生成する。匿名性を保証するデジタル署名は、検証者がそのグループに属する者のうちのいずれかが当該デジタル署名を生成した事実を検証することはできるが、当該デジタル署名を実際に生成した署名者を特定することはできない。

従来の匿名性を保証する署名方法は、大きく二つに分類される。一つはグループ署名（例えば非特許文献１参照）であり、もう一つはリング署名（例えば特許文献１参照）である。以下、従来のグループ署名とリング署名について簡単に説明する。

グループ署名では、署名者は、グループ管理者と交信を行って署名鍵を生成する。グループ管理者は、グループに対応する公開鍵を生成して認証局に登録する。このとき、グループに対応する公開鍵が予め定められていて各署名者の署名鍵を生成する方法と、各署名者からグループへの参加及び署名鍵の生成を受けるたびに公開鍵を更新して認証局に再登録を行う方法とがある。署名は、証明者の署名鍵を用いて行われ、検証は、グループに対応する公開鍵を用いて行われる。

従来のグループ署名では、グループ管理者が署名者を特定することが可能であるため、署名者が意図しないところで署名者の特定が行われて匿名性の破棄すなわちプライバシーに係る情報の暴露がなされる可能性があった。また、署名者は署名鍵を生成するためにグループ管理者と交信を行わなければならず鍵生成の効率が悪いことに加えて、グループ管理者に秘密情報が集中するためグループ管理者の管理を厳密に行わなければならないという問題点があった。

また、グループ管理者を必要としないグループ署名方式も提案されているが、検証のために検証者と署名者との間のオンラインによる多数回の交信が行われる必要があるため、検証処理の効率が悪いことに加えて、匿名性を保証するために匿名通信技術を用いる必要があった。

すなわち、従来のグループ署名においては、管理者を不要とし、署名者の匿名性を有し、署名者以外のユーザによる否認（自身が真の署名者ではないことの主張）が可能であり、検証をオフラインで実施できるものはなかった。

一方、リング署名では、署名は、動的に選択され認証局から入手された複数の他のユーザの公開鍵及び署名者の署名鍵を用いて行われ（以下、公開鍵が選択された他のユーザを、真の署名者に対してダミー署名者と呼ぶ）、検証は、署名者及びダミー署名者の公開鍵を用いて行われる。

従来のリング署名においても、管理者を不要とし、署名者の匿名性を有し、署名者以外のユーザによる否認が可能であり、検証をオフラインで実施できるものはなかった。
特開２００４−２２９１３７公報 「須賀，市村，"否認機能を持つリング署名"，暗号と情報セキュリティシンポジウム２００３」

従来のデジタル署名においては、管理者を不要とし、署名者の匿名性を有し、署名者以外のユーザによる否認が可能であり、検証をオフラインで実施できるものはなかった。

本発明は、上記事情を考慮してなされたもので、管理者を不要とし、署名者の匿名性を有し、署名者以外のユーザによる否認が可能であり、検証をオフラインで実施できるデジタル署名情報を生成するデジタル署名情報生成装置、デジタル署名情報生成方法及びプログラムを提供することを目的とする。

本発明は、署名対象のデータを入力する入力手段と、前記データに対する署名者となる第１のユーザの秘密鍵を記憶する記憶手段と、前記第１のユーザ以外の第２のユーザの公開鍵の全部又は一部を取得する取得手段と、前記データ及び前記秘密鍵を用いて、個々の前記第２のユーザが前記データに対する署名者であることを否認することを可能にする第１の情報を生成する第１の生成手段と、前記公開鍵の全部又は一部及び前記秘密鍵を用いて、前記第１の情報が前記秘密鍵を用いて生成されたことを保証するための第２の情報を生成する第２の生成手段と、前記第１の情報及び前記第２の情報を含むデジタル署名情報を出力する出力手段とを備えたことを特徴とする。

署名対象のデータにデジタル署名情報が付加されて、署名付きデータとして、受け渡しされる。署名付きデータは、デジタル署名情報生成装置と署名検証装置との間で、通信媒体を介して付け渡しされてもよいし、記録媒体を介して付け渡しされてもよい。

署名検証装置は、署名対象のデータ、該データに付加されたデジタル署名情報並びに署名者及びダミー署名者の公開鍵により、（オフラインで）検証を行うことができる。また、特定の署名者が署名を生成したか否かについての特定が必要な場合には、署名検証装置からデジタル署名情報生成装置に問い合わせて（オンラインの対話により）当該装置に係るユーザが当該デジタル署名情報を生成したこと又は当該デジタル署名情報を生成していないことを検証する。

なお、装置に係る本発明は方法に係る発明としても成立し、方法に係る本発明は装置に係る発明としても成立する。
また、装置または方法に係る本発明は、コンピュータに当該発明に相当する手順を実行させるための（あるいはコンピュータを当該発明に相当する手段として機能させるための、あるいはコンピュータに当該発明に相当する機能を実現させるための）プログラムとしても成立し、該プログラムを記録したコンピュータ読み取り可能な記録媒体としても成立する。

本発明によれば、管理者を不要とし、署名者の匿名性を有し、署名者以外のユーザによる否認が可能であり、検証をオフラインで実施できるデジタル署名情報を生成するデジタル署名情報生成装置、デジタル署名情報生成方法及びプログラムを提供することができる。

以下、図面を参照しながら本発明の実施形態について説明する。

ここで、本実施形態に係るデジタル署名について説明するのに先立って、非特許文献１に開示されたデジタル署名について言及する。

非特許文献１では、署名者の人数をＬ人とし、各署名者Ｐ_ｉ（ｉ∈｛０，…，Ｌ−１｝）は公開情報（ｐ_i，ｑ_ｉ，ｇ_ｉ，ｙ_ｉ，Ｈ_ｉ）を公開しているものとする。ただし、ｐ_ｉとｑ_ｉは、ｑ_ｉがｐ_ｉ−１を割り切るような十分大きな素数とする。ｇ_ｉは位数がｑ_ｉとなるＺ／ｐ_ｉＺ＝｛０，１，…，ｐ_ｉ−１｝内の乗法群Ｇの生成元とする。ｙ_ｉは署名者が秘密裏に保持する秘密情報x_ｉ∈Ｚ／ｑ_ｉＺ＝｛０，１，…，ｑ_ｉ−１｝に対してｙ_ｉ＝ｇ^xi ｍｏｄ ｐ_ｉより計算される値である。Ｈ_ｉは任意のビット長の値をＧの元に写すハッシュ関数とする。また、Ｈを任意のビット長の値をｌ₁ビットの値に写すような、全ての署名者が共通で用いるハッシュ関数とする。

非特許文献１において、署名者Ｐ_ｋは、他の署名者の公開鍵を利用して２種類の署名を生成する。１つ目は、文書Ｍと署名者以外のユーザが自分は署名を生成していないということを主張するための成分Ｒｅｐに対する署名であり、２つ目は文書ＭとＲｅｐのハッシュ値Ｈ（Ｒｅｐ）に対する署名である。

１つ目の署名成分の計算は以下の通りである。

署名者Ｐ_kは、ａ’∈Ｚ／ｑ_kＺをランダムに選択し、Ｔ’_k＝ｇ_k ^a’ ｍｏｄ ｐ_k及びｃ’_k+1＝Ｈ_k（Ｍ，Ｒｅｐ，Ｔ’_k）を計算する。

次に、署名者Ｐ_kは、ｊ＝ｋ＋１，…，Ｌ−１，０（＝Ｌ），…，ｋ−１について、ｓ’_j∈Ｚ／ｑ_jＺをランダムに選択し、Ｐ_jの公開情報（ｐ_j，ｑ_j，ｇ_j，ｙ_j，Ｈ_j）を用いて、Ｔ’_j＝ｇ_j ^s’jｙ_j ^c’j ｍｏｄ ｐ_j及びｃ’_j+1＝Ｈ_j（Ｍ，Ｒｅｐ，Ｔ’_j）を計算する。

最後に、署名者Ｐ_kは、ｓ’_k＝ａ’−ｘ_kｃ’_k ｍｏｄ ｑ_kを計算し、Ｒ_１＝（Ｈ（Ｒｅｐ），ｃ’_０，ｓ’_０，…，ｃ’_L-1，ｓ’_L-1）を１つ目の署名成分とする。

２つ目の署名成分の計算は以下の通りである。

署名者Ｐ_kは、ａ’’＝Ｈ（Ｒ_１）を計算してａ＝ａ’＋ａ’’ ｍｏｄ ｑ_kとおいて、Ｔ_k＝ｇ_k ^ａ ｍｏｄ ｐ_k及びｃ_k+1＝Ｈ_k（Ｍ，Ｈ（Ｒｅｐ），Ｔ_k）を計算する。

次に、署名者Ｐ_kは、ｊ＝ｋ＋１，…，Ｌ−１，０（＝Ｌ），…，ｋ−１について、ｓ_j∈Ｚ／ｑ_jＺをランダムに選択し、Ｐ_jの公開情報（ｐ_j，ｑ_j，ｇ_j，ｙ_j，Ｈ_j）を用いて、Ｔ_j＝ｇ_j ^sjｙ_j ^cj ｍｏｄ ｐ_j及びｃ_j+1＝Ｈ_j（Ｍ，Ｈ（Ｒｅｐ），Ｔ_j）を計算する。

最後に、署名者Ｐ_kは、ｓ_k＝ａ−ｘ_kｃ_k ｍｏｄ ｑ_kを計算し、Ｒ_２＝（ｃ_０，ｓ_０，…，ｃ_L-1，ｓ_L-1）を２つ目の署名成分とする。

このとき、非特許文献１に開示されている通り、２つ目の署名成分の計算におけるａ＝ａ’＋Ｈ（Ｒ_１） ｍｏｄ ｑ_kが正しく生成されているかを保証する手段はなく、署名者が偽りなくａを生成している場合にのみ、署名者以外のユーザが「自分は署名を生成していない」ことを主張できる。

次に、非特許文献１において、署名者が偽りなく署名を生成した場合には、署名から署名者の特定が可能となることを説明する。

署名者Ｐ_iの公開情報（ｐ_i，ｑ_i，ｇ_i，ｙ_i，Ｈ_i）、文書Ｍ、Ｒｅｐ、署名Ｒ_１＝（Ｈ（Ｒｅｐ），ｃ’_０，ｓ’_０，…，ｃ’_L-1，ｓ’_L-1）、署名Ｒ_２＝（ｃ_０，ｓ_０，…，ｃ_L-1，ｓ_L-1）が公開されているとする。このとき、署名者Ｐ_kの署名生成手段から、ｇ_k ^skｙ_k ^ck＝ｇ^a-xkckｙ_k ^ck＝ｇ_k ^a ｍｏｄ ｐ_kとｇ_k ^s’ｋｙ_k ^c’k＝ｇ^a’-xkc’kｙ_k ^c’k＝ｇ_k ^a’ ｍｏｄｐ_kが成り立つ。ここで、署名者を特定しようと試みるもの（非特許文献１に開示される方法の匿名性を破ろうとするもの）は、ａ’’＝Ｈ（Ｒ_１）を計算し、ｇ_i ^siｙ_i ^ci≡ｇ_i ^s’iｙ_i ^c’iｇ_i ^a’’ （ｍｏｄ ｐ_i）となるｉを全数探索により決定する。ｉ＝ｋについてはａ＝ａ’＋ａ’’ ｍｏｄ ｑ_ｋであるため、上述した合同式が成り立つ。一方、ｉ≠ｋについてはｃ_i及びｃ’_iがハッシュ関数の出力であるため、上述の合同式を満たす可能性は低い。このため、上述した合同式により決定されるｉに対してＰ_iが署名者であると特定することが可能となる。

このように非特許文献１に開示された技術では、「署名者以外のユーザが自分は署名を生成していないということを証明できる成分（２種類の署名）」が偽りなく生成されたかどうかを確認する手段がないため、偽ったデジタル署名情報を生成することで、検証には成功するが、署名者自身も署名成の事実を否認できるような署名を生成することができるという問題があるとともに、検証者によりデジタル署名から署名者を容易に特定することができるという問題がある。

一方、本実施形態によれば、署名者は、「署名者以外の他のユーザが自分はデジタル署名情報を生成していない（自分は署名者ではない）ということを証明できる」第１の成分を、他のユーザの公開鍵を用いずに生成する。さらに、署名者は、「署名者が第１の成分を正しく生成していることを保証する」第２の成分を計算するため、署名者が偽って検査式に合格するデジタル署名情報を生成することは不可能である。よって、上述したような問題は起こらない。

以下、本実施形態のデジタル署名について詳しく説明する。

なお、以下の説明では、デジタル署名の対象を文書と呼んでいるが、文書はどのようなデータであっても構わない。

本実施形態に係るデジタル署名情報（以下、単に署名とも呼ぶ）を生成するデジタル署名情報生成装置により、管理者を仮定しない否認可能なオフライン検証型の匿名性を有するデジタル署名が実現される。また、デジタル署名した署名者の特定又は署名者以外の他のユーザのデジタル署名についての否認は、検証者が署名者又は署名者以外の他のユーザと通信をすることによって可能になる。

まず、本実施形態に係る署名生成処理で生成される署名者の特定又は否認を可能とする成分について説明する。

署名者の特定又は否認を可能とする成分及びその特定又は否認の方法は、ゼロ知識否認不可署名（例えば、「D. Chaum, “Zero-Knowledge Undeniable Signature,” in Proceedings of EUROCRYPT ’90」など）を利用することができる。

本実施形態では、安全性の保証を可能とするため、岡本らにより改良された否認不可署名（「T. Okamoto and D. Pointcheval, “,” in Proceedings of CT-RSA 2001」（以下、文献Ａと呼ぶ））を利用した場合を例にとって説明する。

ここで、文献Ａにより開示された方法について説明する。

なお、文献Ａは、匿名性がなく、検証にオンラインを必要とするものであるが、本実施形態は、匿名性を有し、検証をオフラインで実施できるものである。

システムの管理者あるいは署名者となる各ユーザは、ｐ，ｑ，ｇ，Ａ，Ｆを公開する。ここで、ｐはｌビットの素数、ｑはｐ−１を割り切るｌ₁ビットの素数、ｇは位数ｑの乗法群Ａの生成元であり、Ｇは任意のビット長の数からＡへの耐衝突一方向性ハッシュ関数、Ｆは任意の長さの数からｌ₂ビットの数への耐衝突一方向性ハッシュ関数とする。ここで、耐衝突性とはＧ（ａ）＝Ｇ（ｂ）を満たすａ，ｂを見つけることが困難であることを表し、一方向性とはｃが与えられたときにＧ（ａ）＝ｃを満たすａを見つけることが困難であることを表す。

まず、否認不可署名の鍵の生成から否認不可署名の生成までについて説明する。

図７に、否認不可署名の鍵の生成手順（署名者の加入及び署名生成）を示す。また、図８に、否認不可署名の生成手順を示す。

署名者となるユーザは、ｓ∈Ｚ／ｑＺ＝｛０，１，…，ｑ−１｝をランダムに選択して秘密鍵とし（ステップＳ１０１Ｋ）、ｋ＝ｇ^s ｍｏｄ ｐを計算して（ステップＳ１０２Ｋ）、公開鍵として公開し、あるいは認証局に登録する（ステップＳ１０３Ｋ）。

署名者は、デジタル署名対象の文書Ｍを受け付けた後（ステップＳ１０１Ｓ）、ｗ＝Ｇ（Ｍ）を計算し（ステップＳ１０２Ｓ）、Ｓ＝ｗ^ｓ ｍｏｄ ｐを計算して（ステップＳ１０３Ｓ）、（Ｍ，Ｓ）を署名付き文書として公開する（ステップＳ１０４Ｓ）。

一方、検証者は、（Ｍ，Ｓ）が正しい署名付き文書であること又は正しくないこと（署名者がＭに正しく署名をしたこと又はＭに正しく署名をしていないこと）を、署名者と交信を行い以下に説明する確認プロトコル(Confirmation Protocol)あるいは否認プロトコル(Disavowal Protocol)を実行することで検証する。各プロトコルでは、検証者は署名者とK回の繰り返し処理を行い、全ての処理に合格するときに確認または否認を受理する。

図９に、検証装置（署名検証装置）における否認不可署名の検証手順を示す。また、図１０に、署名装置（デジタル署名情報生成装置）における否認不可署名の検証手順を示す。

検証者は、署名付き文書（Ｍ，Ｓ）を、特定のユーザ（例えば、署名者であることを確認しようとする対象のユーザ、または、署名者でないことを確認しようとする対象のユーザ）に問い合わせて（ステップＳ１０１Ｖｖ）、待機する（ステップＳ１０２Ｖｖ）。

この特定のユーザは、問い合わせを受け付けた後（ステップＳ１０１Ｖｓ）、ｗ＝Ｇ（Ｍ）を計算して（ステップＳ１０２Ｖｓ）、Ｓ＝ｗ^s ｍｏｄ ｐが成り立つかどうかを検査して（ステップＳ１０３Ｖｓ）、検査式が成り立つ場合には、（Ｍ，Ｓ）が正しい署名付き文書であるとして検証者に確認プロトコルを実行することを伝え（ステップＳ１０４Ｖｓ）、成り立たない場合には、（Ｍ，Ｓ）が正しくない署名付き文書であるとして検証者に否認プロトコルを実行することを伝えて（ステップＳ１０５Ｖｓ）、待機する（ステップＳ１０６Ｖｓ）。

（確認プロトコル）
図１１に、検証装置（署名検証装置）における否認不可署名の確認手順を示す。また、図１２に、署名装置（デジタル署名情報生成装置）における否認不可署名の確認手順を示す。

検証者は、上記の特定のユーザから確認プロトコルを実行する連絡を受け付けた場合（ステップＳ１０１Ｃｖ）、カウンタとしてcnt=0と設定し（ステップS１０２Ｃｖ）、ｗ＝Ｇ（Ｍ）を計算する（ステップＳ１０３Ｃｖ）。

次に、検証者は、ａ，ｂ∈Ｚ／ｑＺをランダムに選択して（ステップＳ１０４Ｃｖ）、ｃ＝ｗ^aｇ^b ｍｏｄ ｐを計算して（ステップＳ１０５Ｃｖ）、上記の特定のユーザに送信して（ステップＳ１０６Ｃｖ）、待機する（ステップＳ１０７Ｃｖ）。

上記の特定のユーザは、検証者からｃを受け付けた後（ステップＳ１０１Ｃｓ）、ｒ∈Ｚ／ｑＺをランダムに選択して（ステップＳ１０２Ｃｓ）、ｔ＝ｃｇ^r ｍｏｄ ｐ及びｕ＝ｔ^s ｍｏｄ ｐを計算して（ステップＳ１０３Ｃｓ）、検証者に送信し（ステップＳ１０４Ｃｓ）、待機する（ステップＳ１０５Ｃｓ）。

検証者は、上記の特定のユーザからｔ，ｕを受け付けた後（ステップＳ１０８Ｃｖ）、ａ，ｂを上記の特定のユーザに送信して（ステップＳ１０９Ｃｖ）、待機する（ステップＳ１１０Ｃｖ）。

上記の特定のユーザは、検証者からａ，ｂを受け付けた後（ステップＳ１０６Ｃｓ）、ｃ＝ｗ^aｇ^b ｍｏｄ ｐが成り立つかどうかを検査する（ステップＳ１０７Ｃｓ）。検査に合格の場合には、ｒを検証者に送信し（ステップＳ１０８Ｃｓ）、不合格の場合には、（例えば、検証者が不正な処理をした、あるいは、通信路上でエラーが発生したと判断して）処理を停止する（ステップＳ１０９Ｃｓ）。

検証者は、上記の特定のユーザからｒを受け付けた後（ステップＳ１１１Ｃｖ）、ｔ＝ｃｇ^r ｍｏｄ ｐ及びｕ＝Ｓ^aｋ^b+r ｍｏｄ ｐが成り立つかどうか検査する（ステップＳ１１２Ｃｖ）。検査に不合格の場合には、（上記の特定のユーザが不正な処理をした、あるいは、通信路上でエラーが発生したと判断して）処理を停止する（ステップＳ１１７Ｃｖ）。

検査に合格の場合には、cnt=cnt+1とし（ステップS１１３Ｃｖ）、cnt=Kかどうか検査する（ステップS１１４Ｃｖ）。検査に不合格の場合にはステップＳ１０４Ｃｖに戻る（ステップＳ１１５Ｃｖ）。検査に合格の場合には、（Ｍ，Ｓ）を正しい署名付き文書として受理する（ステップＳ１１６Ｃｖ）。

（否認プロトコル）
図１３に、検証装置（署名検証装置）における否認不可署名の否認手順を示す。図１４に、署名装置（デジタル署名情報生成装置）における否認不可署名の否認手順を示す。

他方、検証者は、上記の特定のユーザから否認プロトコルを実行する連絡を受け付けた場合（ステップＳ１０１Ｄｖ）、カウンタとしてcnt=0と設定し（ステップS１０２Ｄｖ）、ｗ＝Ｇ（Ｍ）を計算する（ステップＳ１０3Ｄｖ）。

次に、検証者は、ａ∈｛０，…，ｍａｘ｝とｂ∈Ｚ／ｑＺをランダムに選択して（ステップＳ１０４Ｄｖ），ｃ_１＝ｗ^aｇ^b ｍｏｄ ｐとｃ₂＝Ｓ^aｋ^b ｍｏｄ ｐを計算して（ステップＳ１０５Ｄｖ）、上記の特定のユーザに送信して（ステップＳ１０６Ｄｖ）、待機する（ステップＳ１０７Ｄｖ）。ステップＳ１０３Ｄｖのｍａｘは、後にａが全数探索により見つけられる程度の小さな数として設定される。

上記の特定のユーザは、検証者からｃ₁，ｃ₂を受け付けた後（ステップＳ１０１Ｄｓ）、（ｃ_１ ^ｓ／ｃ₂）＝（ｗ／Ｓ）^a ｍｏｄ ｐを満たすａを探索し（ステップＳ１０２Ｄｓ）、ｒ∈Ｚ／ｑＺをランダムに選択して（ステップＳ１０３Ｄｓ）、ｔ＝Ｆ（ｒ，ａ）を計算して（ステップＳ１０４Ｄｓ）、検証者に送信し（ステップＳ１０５Ｄｓ）、待機する（ステップＳ１０６Ｄｓ）。

検証者は、上記の特定のユーザからｔを受け付けた後（ステップＳ１０８Ｄｖ）、ｂを上記の特定のユーザに送信して（ステップＳ１０９Ｄｖ）、待機する（ステップＳ１１０Ｄｖ）。

上記の特定のユーザは、検証者からｂを受け付けた後（ステップＳ１０７Ｄｓ）、ｃ₁＝ｗ^aｇ^b ｍｏｄ ｐとｃ₂＝Ｓ^aｋ^b ｍｏｄ ｐが成り立つかどうかを検査する（ステップＳ１０８Ｄｓ）。検査に合格の場合には、ｒを検証者に送信して（ステップＳ１０９Ｄｓ）、不合格の場合には、（検証者が不正な処理をした、あるいは、通信路上でエラーが発生したと判断して）処理を停止する（ステップＳ１１０Ｄｓ）。

検証者は、上記の特定のユーザからｒを受け付けた後（ステップＳ１１１Ｄｖ）、ｔ＝Ｆ（ｒ，ａ）が成り立つかどうか検査する（ステップＳ１１２Ｄｖ）。検査に不合格の場合には、（上記の特定のユーザが不正な処理をした、あるいは、通信路上でエラーが発生したと判断して）処理を停止する（ステップＳ１１７Ｄｖ）。

検査に合格の場合には、cnt=cnt+1とし（ステップS１１３Ｄｖ）、cnt=Kかどうか検査する（ステップS１１４Ｄｖ）。検査に不合格の場合にはステップＳ１０４Ｄｖに戻る（ステップＳ１１５Ｄｖ）。検査に合格の場合には、上記の特定のユーザによる（Ｍ，Ｓ）の否認を受理する（ステップＳ１１６Ｄｖ）。

さて、以下では、上記したような否認不可署名を利用した、管理者を仮定しない否認可能なオフライン検証型の匿名性を有する署名方法の構成例を示す。

（第１の構成例）
まず、第１の構成例について説明する。

なお、署名対象の文書にデジタル署名情報を付加した署名付き文書自体は、デジタル署名情報生成装置と署名検証装置との間で、通信媒体を介して付け渡しされてもよいし、記録媒体を介して付け渡しされてもよい。

（共通パラメータの準備）
以下、本構成例に係るデジタル署名情報生成装置、署名検証装置を構成するために用いる関数と、それら関数の入出力データの長さについて説明する。

安全な署名交換システムの構成例を記述するにあたり、安全性のパラメータｌ，ｌ₁，ｌ₂を以下のように選択する。ｌは離散対数問題が計算困難とされるビット長である１０２４とし、ｌ₁はそのときの位数１０２３、ｌ₂は総当りによる探索が困難とされるビット長である８０などである。このとき、ｌビットの素数ｐ及びｐ−１を割り切るｌ_１ビットの素数ｑ、位数ｑの乗法群Ａとその生成元ｇが認証局により公開されているとする。また、任意のビット長の値をＡの元に写像するハッシュ関数Ｇ、任意のビット長の値をＺ／ｑＺの元に写像するハッシュ関数Ｈ、任意のビット長の値をｌ₂ビットの値に写像するハッシュ関数Ｆ、否認プロトコルで用いられるあまり大きくない値ｍａｘが公開されているとする。ハッシュ関数Ｇ，Ｈ，Ｆは、例えばＳＨＡなどのハッシュ関数である（例えば、「M. Bellare and P. Rogaway, “Optimal Asymmetric Encryption−How to encrypt with RSA” Advances in Cryptology−EUROCRYPT’94 LNCS, Springer-Verlag, 1995」等にその具体例が挙げられている）。

（デジタル署名情報生成装置）
図１に、本構成例に係るデジタル署名情報生成装置のブロック図の一例を示す。

演算器２０１は、多倍長の演算を実行する部分であり、具体的には、排他的論理和の計算、ビット連結・分割、ビットの比較などを行う。

乱数生成部２０２は、署名生成時に必要な乱数を発生させる部分である。

乱数メモリ２０３は、乱数生成部２０２により生成された乱数を保存する。

秘密鍵メモリ２０４は、当該装置のユーザＰの公開鍵暗号方式に関する秘密鍵を格納するメモリである。

署名生成部２０５は、署名生成処理や確認及び否認プロトコルを行う際に、秘密鍵メモリ２０４に保存された秘密鍵を読み出す。

入出力部２０６は、生成された当該装置のユーザＰのデジタル署名情報を送信する。入出力部２０６は、自装置と外部との間で取り交わされるその他のデータの入出力も行う。

関数演算部２０７，２０８，２０９は、それぞれ、ランダム関数Ｇ，Ｈ，Ｆによる演算を行う。当該装置のユーザＰのデジタル署名情報の生成や確認及び否認プロトコルにおいては、関数演算部２０７，２０８，２０９に保存されたランダム関数を利用する。ランダム関数は、事前に取り決められたものを保存しておいてもよいし、署名者ごとに定められた関数を入出力部２０６を介して入手・保存してもよい。

制御部２１１は、装置全体の制御を司る。

メモリ２１２は、各種データを記憶する。

なお、デジタル署名情報生成装置は、機能的には、鍵に関する処理を行う機能部分と、後述するデジタル署名情報の第１の成分を生成する機能部分と、デジタル署名情報の第２の成分を生成する機能部分とを有する。

また、デジタル署名情報生成装置は、署名対象の文書にデジタル署名情報を付加した署名付き文書を、ネットワークを介して署名検証装置又は他の装置へ送信する機能や、（署名検証装置又は他の装置との間の受け渡しのために）記録媒体へ書き込む機能を含んでもよい。

（公開鍵及び秘密鍵の準備）
署名者となる各ユーザは、それぞれ、図１に示されるデジタル署名情報生成装置を使用する。認証局により公開されたｐ，ｑ，Ａ，ｇに対して、各ユーザＰ_j（ｊ＝1，…，Ｌ）は、ｓ_j∈Ｚ／ｑＺをランダムに選択して秘密鍵メモリ２０４に格納し、公開鍵ｋ_j＝ｇ^sj ｍｏｄ ｐを計算して公開する。

（署名生成手順）
以下、署名者Ｐ_iによる署名生成の処理手順について説明する。

図２に、本構成例に係る署名生成処理手順の一例を示す。

以下の例では説明を簡潔にするために、公開鍵を登録しているＬ人のうち、署名者となるユーザＰ_iを除くＬ−１人のユーザをダミー署名者として選択する方法を例にとって説明する。この方法の他にも、例えば、署名者Ｐ_iが署名生成時にＬ’≦Ｌ-1を満たす任意のＬ’人のダミー署名者を選択して、ユーザ（署名者たるユーザ、選択されたダミー署名者たるユーザ又は選択されなかったユーザ）を特定するための添え字（以下の例で示すｉやｊ）を動的に決定する方法なども可能である（なお、Ｌ’を固定する方法も可能であり、Ｌ’をも動的に決定する方法も可能である）。

ここで、ステップＳ３０１〜Ｓ３０３により計算されるデジタル署名情報の第１の成分Ｓを利用することで、下記に示す確認及び否認プロトコルにより、署名者Ｐ_iは、第１の成分Ｓを生成した事実を否認することができず、署名者以外のユーザＰ_jは、第１の成分Ｓを生成していないという事実を証明することができる。

一方、ステップＳ３０４〜Ｓ３１１で計算されるデジタル署名情報の第２の成分（ｙ，ｂ，ｃ_１，ｄ_１，…，ｃ_L，ｄ_L）は、第１の成分ＳがユーザＰ_１，…，Ｐ_Lの公開鍵ｋ_１，…，ｋ_Lのいずれかの成分と同一の指数（秘密鍵ｓ_i）をもつことを証明する非対話零知識証明となっている。

署名者Ｐ_iは、署名対象の文書Ｍを受け付けた後（ステップＳ３０１）、ｗ＝Ｇ（Ｍ）を計算して（ステップＳ３０２）、確認又は否認を行うための第１の成分Ｓ＝ｗ^si ｍｏｄ ｐを計算する（ステップＳ３０３）。

次に、署名者Ｐ_iは、第２の成分を計算する。

すなわち、ｂ’∈Ｚ／ｑＺをランダムに選択し（ステップＳ３０４）、ｙ＝ｗ^b’ ｍｏｄ ｐを計算する（ステップＳ３０５）。

ｊ＝１，…，ｉ−１，ｉ＋１，…，Ｌについて、ｃ_j，ｄ_j∈Ｚ／ｑＺをランダムに選択して、ａ_j＝ｇ^cjｋ_j ^dj ｍｏｄ ｐ， ｂ_j＝ｗ^cjＳ^dj ｍｏｄ ｐを計算する（ステップＳ３０６）。

ｅ’∈Ｚ／ｑＺをランダムに選択し（ステップＳ３０７）、ａ_i＝ｇ^ｅ’ ｍｏｄ ｐ， ｂ_i＝ｗ^e’ ｍｏｄ ｐを計算する（ステップＳ３０８）。

ａ_１，ｂ_１，…，ａ_L，ｂ_Lの計算が完了した後、ｄ＝Ｈ（Ｍ，ｗ，Ｓ，ｙ，ｋ_１，…，ｋ_L，ａ_１，ｂ_１，…，ａ_L，ｂ_L）を計算し（ステップＳ３０９）、ｄ_i＝ｄ−（ｄ_１＋…＋ｄ_i-1＋ｄ_i+1＋…＋ｄ_L） ｍｏｄ ｑ及びｃ_i＝ｅ’−ｄ_iｓ_i ｍｏｄ ｑを計算する（ステップＳ３１０）。

そして、ｂ＝ｂ’＋ｄｓ_i ｍｏｄ ｑを計算する（ステップＳ３１１）。

最後に、署名者Ｐ_iは、（Ｍ，Ｓ，ｙ，ｂ，ｃ_１，ｄ_１，…，ｃ_L，ｄ_L，ｋ_１，…，ｋ_L）を署名付き文書として公開する（ステップＳ３１２）。

なお、（Ｍ，Ｓ，ｙ，ｂ，ｃ_１，ｄ_１，…，ｃ_L，ｄ_L，ｋ_１，…，ｋ_L）において、Ｍが署名対象の文書、Ｓが第１の成分、（ｙ，ｂ，ｃ_１，ｄ_１，…，ｃ_L，ｄ_L）が第２の成分である。

また、ｋ_１，…，ｋ_LはそれぞれユーザＰ_１，…，Ｐ_Lの公開鍵である。なお、デジタル署名情報にユーザＰ_１，…，Ｐ_Lの公開鍵を含ませる代わりに、それらを特定可能とする情報を含ませるようにしてもよい。

（署名検証装置）
図３に、本実施形態に係る署名検証装置のブロック図の一例を示す。

演算器４０１は、多倍長の演算を実行する部分であり、具体的には、排他的論理和の計算、ビット連結・分割、ビットの比較などを行う。

入出力部４０６は、デジタル署名情報生成装置により生成された署名付き文書（Ｍ，Ｓ，ｙ，ｂ，ｃ_１，ｄ_１，…，ｃ_L，ｄ_L，ｋ_１，…，ｋ_L）を受け付ける。入出力部４０６は、自装置と外部との間で取り交わされるその他のデータの入出力も行う。

判定部４１３は、入出力部４０６から受け付けられたデジタル署名情報について、（Ｍ，Ｓ，ｙ，ｂ，ｃ_１，ｄ_１，…，ｃ_L，ｄ_L，ｋ₁，…，ｋ_L）から構成されるか否かを検査する。

署名検証部４０７は、ユーザＰ_１，…，Ｐ_Lの公開鍵ｋ₁，…，ｋ_Lを利用してデジタル署名情報を検証する。

関数演算部４０７，４０８，４０９は、それぞれ、ランダム関数Ｇ，Ｈ，Ｆによる演算を行う。署名検証や確認又は否認プロトコルにおいては、関数演算部４０８，４０９，４１０に保存されたランダム関数を利用する。ランダム関数は、事前に取り決められたものを保存しておいてもよいし、署名者ごとに定められた関数を入出力部４０６を介して入手・保存してもよい。

制御部４１１は、装置全体の制御を司る。

メモリ４１２は、各種データを記憶する。

なお、署名検証装置は、機能的には、鍵に関する処理を行う機能部分と、オフラインでのデータの真正性の検証に関する処理を行う機能部分と、オンラインで署名者の特定又は否認に関する処理を行う機能部分とを有する。

また、署名検証装置は、署名対象の文書にデジタル署名情報を付加した署名付き文書を、ネットワークを介してデジタル署名情報生成装置又は他の装置から受信する機能や、署名付き文書を記録した記録媒体から読み込む機能を含んでもよい。

（署名検証手順）
以下、本構成例に係るデジタル署名情報生成装置により生成されたデジタル署名情報を検証する方法について説明する。

図４に、本構成例に係る署名検証処理手順の一例を示す。

検証者は、署名付き文書（Ｍ，Ｓ，ｙ，ｂ，ｃ_１，ｄ_１，…，ｃ_L，ｄ_L，ｋ_１，…，ｋ_L）を受け付けた後（ステップＳ５０１）、ｗ＝Ｇ（Ｍ）を計算する（ステップＳ５０２）。

次に、検証者は、ｊ＝１，…，Ｌについて、ａ_j＝ｇ^cjｋ_j ^dj ｍｏｄ ｐ及びｂ_j＝ｗ^cjＳ^dj ｍｏｄ ｐを計算し（ステップＳ５０３）、ｄ＝Ｈ（Ｍ，ｗ，Ｓ，ｙ，ｋ₁，…，ｋ_L，ａ₁，ｂ₁，…，ａ_L，ｂ_L）を計算する（ステップＳ５０４）。

最後に、検証者は、ｙＳ^d＝ｗ^b ｍｏｄ ｐかつｄ＝ｄ₁＋…＋ｄ_L ｍｏｄ ｑが成り立つかどうか検査して（ステップＳ５０５）、検査に合格なら署名を受理し（ステップＳ５０６）、不合格なら署名を棄却する（ステップＳ５０７）。

（確認及び否認プロトコル）
本構成例における確認及び否認プロトコルは、（Ｍ，Ｓ）を用いて上述した文献Ａの確認及び否認プロトコルと同じ処理により実行することができる。

以上説明した第１の構成例では、有限体の乗法群上の離散対数問題を利用した例を示したが、楕円曲線の点のなす加法群に対しても同様のプロトコルが実現可能である。より具体的には、例えば、標数ｐの体上で定義された楕円曲線Ｅの上の点Ｐと、点Ｐで生成される位数ｑの加法群Ａを用いればよい。また、本構成例のｇの代わりにＰを利用し、乗法群における冪乗剰余演算を楕円曲線上のスカラー倍算に、乗法群における剰余乗算を楕円曲線上の加算にそれぞれ置き換えればよい。

なお、公開鍵は必要に応じて取得できればよく、認証局を用いない構成も可能である。

本構成例によれば、署名検証時には、署名者と通信を行う必要がなく、署名者の特定あるいは署名者以外のユーザの否認には、対象となるユーザとの通信を必要とするデジタル署名を実現することができる。

また、本構成例によれば、グループ管理者が不要であり、各署名者が自ら公開鍵と秘密鍵を生成することができるため鍵生成の効率が良く、全署名者の秘密情報が集中することもないため管理が容易となる。さらに、自らが署名者ではない署名で疑いがかけられた場合には、署名生成処理で生成された署名者の特定又は否認が可能となる第１の成分により署名を生成していないという事実を証明できる。また、署名者の特定には署名者を除く全てのダミー署名者が否認を行わない限り署名者との交信が必要であり、署名者が意図しないところでの匿名性の破棄、すなわちプライバシーに係る情報の暴露はより起こりづらい。また、検証処理において検証者と署名者本人との交信が不要となるため、検証処理の効率が良く、匿名通信技術なども不要となる。

（第２の構成例）
次に、第２の構成例について説明する。

本構成例は、より高いレベルの安全性を保証するために、第１の構成例で用いた否認不可署名（文献Ａの否認不可署名）の署名生成過程において、署名者が乱数Ｒを生成してｗをＧ（Ｍ，Ｒ）により計算し、Ｍ，Ｒ，Ｓを署名付き文書として公開するようにしたものである。

以下では、第１の構成例と相違する点を中心に説明する。

（共通パラメータの準備）
本構成例に係るデジタル署名情報生成装置、署名検証装置を構成するために用いる関数と、それら関数の入出力データの長さについては、第１の構成例と同じである。

（デジタル署名情報生成装置）
本構成例におけるデジタル署名情報生成装置は、第１の構成例（図１）と同じで構わない。ただし、関数演算部２０７，２０８のランダム関数Ｇ，Ｈは、乱数Ｒをもパラメータとして持つものである。

（公開鍵及び秘密鍵の準備）
本構成例における公開鍵及び秘密鍵の生成方法は、第１の構成例と同じである。

（署名生成手順）
本構成例における署名生成手順は、第１の構成例（図２）とほぼ同じであるため、これと相違する点について説明する。

署名者となるユーザＰ_iは、署名対象の文書Ｍを受け付けた後（ステップＳ３０１）、乱数Ｒを生成して、ｗ＝Ｇ（Ｍ，Ｒ）を計算して（ステップＳ３０２）、ステップＳ３０８までは第１の構成例における署名生成手順と同じ処理を行う。

ａ₁，ｂ₁，…，ａ_L，ｂ_Lの計算が完了した後、署名者Ｐ_iは、ｄ＝Ｈ（Ｍ，Ｒ，ｗ，Ｓ，ｙ，ｋ₁，…，ｋ_L，ａ₁，ｂ₁，…，ａ_L，ｂ_L）を計算し（ステップＳ３０９）、ステップＳ３１１まで第１の構成例における署名生成手順と同じ処理を行い、（Ｍ，Ｒ，Ｓ，ｙ，ｂ，ｃ₁，ｄ₁，…，ｃ_L，ｄ_L，ｋ₁，…，ｋ_L）を署名付き文書として公開する（ステップＳ３１２）。

（署名検証装置）
本構成例における署名検証装置は、第１の構成例（図３）と同じである。ただし、関数演算部４０７，４０８のランダム関数Ｇ，Ｈは、乱数Ｒをもパラメータとして持つものである。

（署名検証手順）
本構成例における署名生成手順は、第１の構成例（図４）とほぼ同じであるため、これと相違する点について説明する。

検証者は、署名付き文書（Ｍ，Ｒ，Ｓ，ｙ，ｂ，ｃ₁，ｄ₁，…，ｃ_L，ｄ_L，ｋ₁，…，ｋ_L）を受け付けた後（ステップＳ５０１）、ｗ＝Ｇ（Ｍ，Ｒ）を計算する（ステップＳ５０２）。その後、検証者は第１の構成例と同様にして、ｊ＝１，…，Ｌについてａ_j＝ｇ^cjｋ_j ^dj ｍｏｄ ｐ， ｂ_j＝ｗ^cjＳ^dj ｍｏｄ ｐを計算し（ステップＳ５０３）、ｄ＝Ｈ（Ｍ，Ｒ，ｗ，Ｓ，ｙ，ｋ₁，…，ｋ_L，ａ₁，ｂ₁，…，ａ_L，ｂ_L）を計算する（ステップＳ５０４）。

最後に、検証者は、ステップＳ４０５を行い、検査結果に応じて、署名を受理し、あるいは署名を棄却する（ステップＳ５０６，Ｓ５０７）。

（確認及び否認プロトコル）
本構成例における確認及び否認プロトコルは、第１の構成例で用いた確認及び否認プロトコル（文献Ａの確認及び否認プロトコル）とほぼ同じであるが、相違する点は、ｗをＧ（Ｍ）ではなくｗ＝Ｇ（Ｍ，Ｒ）により計算する点（ステップＳ１０２Ｓ，ステップＳ１０２Ｖｓ，ステップＳ１０２Ｃｖ，ステップＳ１０２Ｄｖ）と、署名付き文書を（Ｍ，Ｓ）ではなく（Ｍ，Ｒ，Ｓ）とする点（ステップＳ１０４Ｓ，ステップＳ１０１Ｖｖ，ステップＳ１０４Ｖｓ，ステップＳ１０５Ｖｓ，ステップＳ１１６Ｃｖ，ステップＳ１１７Ｃｖ，ステップＳ１１６Ｄｖ，ステップＳ１１７Ｄｖ）である。

なお、公開鍵は必要に応じて取得できればよく、認証局を用いない構成も可能である。

本構成例によれば、第１の構成例の効果に加えて、乱数をも用いることにより、より高いレベルの安全性を保証することができる。

（第３の構成例）
第３の構成例では、第１の構成例又は第２の構成例を用いたシステムについて説明する。

なお、以下では、具体例としては、第１の構成例を用いた場合を例示している。

図５に、本構成例に係るデジタル署名システムの一例を示す。

本デジタル署名システムには、認証局６０１、署名生成端末（第１又は第２の構成例に係るデジタル署名情報生成装置）６０２₁〜６０２_Ｌ、署名検証端末６０３が含まれる。これらは、ネットワーク６００を介して通信可能である。

署名生成端末には、第１又は第２の構成例に係るデジタル署名情報生成装置を用いる。署名検証端末には、第１又は第２の構成例に係る署名検証装置（署名生成端末に対応するもの）を用いる。

なお、認証局は複数存在してもよい。また、署名検証端末は複数存在してもよい。また、署名生成端末の機能と署名検証装置の機能とを兼ね備えた端末が存在してもよい。

各認証局及び端末は、それぞれ、固有の識別情報ＩＤを有するものとする。

（共通パラメータの準備）
まず、認証局６０１は、第１又は第２の構成例の「共通パラメータの設定」に従い、ｌビットの素数ｐ、ｐ−１を割り切るｌ_１ビットの素数ｑ、位数ｑの乗法群Ａとその生成元ｇ、任意のビット長の値をＡの元に写像するハッシュ関数Ｇ、任意のビット長の値をＺ／ｑＺの元に写像するハッシュ関数Ｈ、及び、任意のビット長の値をｌ₂ビットの値に写像するＦ、否認プロトコルで用いられるあまり大きくない値ｍａｘを公開する。

（公開鍵及び秘密鍵の準備と登録）
次に、署名生成端末ｉ（ｉは1からＬまでのいずれかをあらわす）は、共通パラメータをネットワーク６００を通じて入手して自端末内部に保存し、第１又は第２の構成例の「公開鍵及び秘密鍵の準備」に基づいて、自端末内で秘密鍵ｓ_iと公開鍵ｋ_iを生成して、秘密鍵ｓ_iを秘密裏に保持し、公開鍵ｋ_iをネットワーク６００を通じて自らの識別情報ＩＤ_iとともに認証局６０１に送信する。

認証局６０１は、署名生成端末ｉから識別情報ＩＤ_i及び公開鍵ｋ_iを受け取り、必要に応じて署名生成端末ｉが過去に不正な処理を行った端末であるかなどの調査を行った後、識別情報ＩＤ_i及び公開鍵ｋ_iを、例えば図６に示すような表として、保存する。

（署名生成手順）
署名生成端末ｉにユーザから署名対象の文書Ｍが入力される。

このとき、署名生成端末ｉは、必要に応じて認証局６０１に問い合わせを行って、ネットワーク６００経由で他の署名生成端末の公開鍵ｋ_j（ｊは1からＬのうちｉ以外のインデックスのいずれかをあらわす）を複数入手する。他の署名生成端末の公開鍵が署名生成端末ｉに保存されている場合には、上記の問い合わせを行う必要はない。

その後、署名対象の文書Ｍ、他の署名生成端末の公開鍵、署名生成端末ｉが内部に保存する秘密鍵ｓ_i及び共通パラメータ、署名生成端末ｉが内部で生成する乱数成分を用いて第１又は第２の構成例の「署名生成手段」に基づいて署名生成を行い、（Ｍ，Ｓ，ｙ，ｂ，ｃ₁，ｄ₁，…，ｃ_L，ｄ_L，ｋ₁，…，ｋ_L）を、署名付き文書として、ネットワーク６００上に公開する。

なお、署名付き文書に含まれる公開鍵ｋ₁，…，ｋ_Lの代わりに、対応する署名生成端末の識別情報ＩＤ₁，…，ＩＤ_Lを添付することも可能である。あるいは、公開鍵と識別情報の両方を付加してもよい。

（署名検証手順）
署名検証端末６０３は、ネットワーク６００を通して署名付き文書（Ｍ，Ｓ，ｙ，ｂ，ｃ₁，ｄ₁，…，ｃ_L，ｄ_L，ｋ₁，…，ｋ_L）を入手する。

署名検証端末６０３は、認証極６０１に問い合わせを行い、公開鍵ｋ₁，…，ｋ_Lに対応する署名生成端末の識別情報ＩＤ₁，…，ＩＤ_Lを入手する。あるいは、署名付き文書に公開鍵ｋ₁，…，ｋ_Lの代わりに、識別情報ＩＤ₁，…，ＩＤ_Lが付加されている場合には、認証極６０１に問い合わせを行い識別情報ＩＤ₁，…，ＩＤ_Lに対応する署名生成端末の公開鍵ｋ₁，…，ｋ_Lを入手する。

次に、署名検証端末６０３は、第１又は第２の構成例の「署名検証手段」に基づいて署名付き文書の正当性を検証する。検査に合格の場合には、署名付き文書が識別情報ＩＤ₁，…，ＩＤ_Lに対応するＬ個の署名生成端末のうちのいずれかにより生成されたとして署名を受理する。検査に不合格の場合には、署名を棄却する。

以上の署名検証処理は、署名生成端末との通信を必要とせず、また、署名検証処理に合格する場合においても、いずれの署名生成端末が署名を生成したかの特定は困難である。

（確認及び否認プロトコル）
署名検証端末６０３がある署名生成端末（署名生成端末ｉ）が署名付き文書（Ｍ，Ｓ，ｙ，ｂ，ｃ₁，ｄ₁，…，ｃ_L，ｄ_L，ｋ₁，…，ｋ_L）を生成したか否かを確認する方法について説明する。

署名検証端末６０３は、署名生成端末ｉに向けて確認及び否認プロトコルの実行依頼と署名付き文書のうち（Ｍ，Ｓ）を送信する。

署名生成端末ｉは第１又は第２の構成例の「確認及び否認プロトコル」に基づいて、（Ｍ，Ｓ）が自らの秘密鍵に基づいて生成された署名である場合には、確認プロトコルを、そうでない場合には、否認プロトコルを、署名検証装置６０３との間で実行する。

なお、公開鍵は必要に応じて取得できればよく、認証極を用いない構成も可能である。

なお、以上の各機能は、ハードウェアとしても実現可能であるし、ソフトウェアとして記述し適当な機構をもったコンピュータに処理させても実現可能である。
また、本実施形態は、コンピュータに所定の手順を実行させるための、あるいはコンピュータを所定の手段として機能させるための、あるいはコンピュータに所定の機能を実現させるためのプログラムとして実施することもできる。加えて該プログラムを記録したコンピュータ読取り可能な記録媒体として実施することもできる。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

本発明の一実施形態に係るデジタル署名情報生成装置の構成例を示す図 同実施形態に係る署名生成処理手順の一例を示すフローチャート 同実施形態に係る署名検証装置の構成例を示す図 同実施形態に係る署名検証処理手順の一例を示すフローチャート 同実施形態に係るデジタル署名システムの構成例を示す図 同実施形態に係る認証極により保存及び公開される識別情報及び公開鍵のリストの構成例を示す図 否認不可署名の鍵の生成手順を示すフローチャート 否認不可署名の生成手順を示すフローチャート 検証装置（署名検証装置）における否認不可署名の検証手順を示すフローチャート 署名装置（デジタル署名情報生成装置）における否認不可署名の検証手順を示すフローチャート 検証装置（署名検証装置）における否認不可署名の確認手順を示すフローチャート 署名装置（デジタル署名情報生成装置）における否認不可署名の確認手順を示すフローチャート 検証装置（署名検証装置）における否認不可署名の否認手順を示すフローチャート 署名装置（デジタル署名情報生成装置）における否認不可署名の否認手順を示すフローチャート

符号の説明

２０１，４０１…演算器、２０２…乱数生成器、２０３…乱数メモリ、２０４…秘密鍵メモリ、２０５…署名生成部、２０６，４０６…入出力部、２０７〜２０９，４０７〜４０９…ランダム関数演算部、２１１，４１１…制御部、２１２，４１２…メモリ、６００…ネットワーク、６０１…認証局、６０２₁〜６０２_Ｌ…署名生成端末、６０３…署名検証端末

Claims (9)

1. 署名対象のデータを入力する入力手段と、
   前記データに対する署名者となる第１のユーザの秘密鍵を記憶する記憶手段と、
   前記第１のユーザ以外の第２のユーザの公開鍵の全部又は一部を取得する取得手段と、
   前記データ及び前記秘密鍵を用いて、個々の前記第２のユーザが前記データに対する署名者であることを否認することを可能にする第１の情報を生成する第１の生成手段と、
   前記公開鍵の全部又は一部及び前記秘密鍵を用いて、前記第１の情報が前記秘密鍵を用いて生成されたことを保証するための第２の情報を生成する第２の生成手段と、
   前記第１の情報及び前記第２の情報を含むデジタル署名情報を出力する出力手段とを備えたことを特徴とするデジタル署名情報生成装置。
2. 前記出力手段は、前記デジタル署名情報に、前記第２の情報の生成に用いた公開鍵又はこれらを特定可能な情報を含む第３の情報をも含めて出力するものであることを特徴とする請求項１に記載のデジタル署名情報生成装置。
3. 前記第１の生成手段及び前記第２の生成手段は、前記第１の情報及び前記第２の情報の生成に乱数をも用いるものであることを特徴とする請求項１または２に記載のデジタル署名情報生成装置。
4. 前記データは、前記第１の情報及び前記第２の情報を用いて検証されるものであることを特徴とする請求項１ないし３のいずれか１項に記載のデジタル署名情報生成装置。
5. 前記第２の情報は、非対話零知識証明を用いて検証されるものであることを特徴とする請求項１ないし３のいずれか１項に記載のデジタル署名情報生成装置。
6. 前記第２の生成手段は、前記第２の情報を生成するにあたって、前記公開鍵の全部を用いる方法、前記公開鍵のうちから予め定められた数を選択して用いる方法、又は使用すべき公開鍵の数を決定し、前記公開鍵のうちから当該決定された数を選択して用いる方法のいずれかを採るものであることを特徴とする請求項１ないし３のいずれか１項に記載のデジタル署名情報生成装置。
7. 前記デジタル署名情報を用いた検証を行う署名検証装置と通信するための手段を更に備えたことを特徴とする請求項１ないし６のいずれか１項に記載のデジタル署名情報生成装置。
8. 入力手段と第１の生成手段と第２の生成手段と出力手段とを備えたデジタル署名情報生成装置のデジタル署名情報生成方法であって、
   前記入力手段が、署名対象のデータを入力するステップと、
   前記第１の生成手段が、前記データ及び前記データに対する署名者となる第１のユーザの秘密鍵を用いて、前記第１のユーザ以外の個々の第２のユーザが前記データに対する署名者であることを否認することを可能にする第１の情報を生成するステップと、
   前記第２の生成手段が、前記第１のユーザ以外の第２のユーザの公開鍵の全部又は一部及び前記秘密鍵を用いて、前記第１の情報が前記秘密鍵を用いて生成されたことを保証するための第２の情報を生成するステップと、
   前記出力手段が、前記第１の情報及び前記第２の情報を含むデジタル署名情報を出力するステップとを有することを特徴とするデジタル署名情報生成方法。
9. デジタル署名情報生成装置としてコンピュータを機能させるためのプログラムにおいて、
   前記プログラムは、
   署名対象のデータを入力するステップと、
   前記データ及び前記データに対する署名者となる第１のユーザの秘密鍵を用いて、前記第１のユーザ以外の個々の第２のユーザが前記データに対する署名者であることを否認することを可能にする第１の情報を生成するステップと、
   前記第１のユーザ以外の第２のユーザの公開鍵の全部又は一部及び前記秘密鍵を用いて、前記第１の情報が前記秘密鍵を用いて生成されたことを保証するための第２の情報を生成するステップと、
   前記第１の情報及び前記第２の情報を含むデジタル署名情報を出力するステップとをコンピュータに実行させるものであることを特徴とするプログラム。

Images