JP4785851B2 - アイデンティティに基づくアグリゲート署名を含むデジタル署名 - Google Patents

Description

本出願は、この参照により引用に含まれる、２００４年５月２０日出願の米国仮出願第６０５７３６５１号に基づく優先権を主張する。

また、本願は、この参照により引用に含まれる、発明者Ｃｒａｉｇ Ｂ．Ｇｅｎｔｒｙ）及びＺｕｌｆｉｋａｒ Ａｍｉｎ Ｒａｍｚａｎによって出願された「Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ Ｉｎｃｌｕｄｉｎｇ Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ａｇｇｒｅｇａｔｅ Ｓｉｇｎａｔｕｒｅｓ」と題する２００５年５月１９日出願の米国特許出願に基づく優先権を主張する。

本発明は、デジタル署名に関し、特に、アイデンティティに基づくデジタル署名、並びに、他の個別署名及びアグリゲート署名に関する。

デジタル署名は、暗号論的に仮定を「検証」することが可能な文字列（例えば、ビット）である。

例えば、Ｂｏｂが、文書Ｄの内容を承認したとの仮定に対して、Ｂｏｂは、彼の公開署名検証鍵ＶＫに対応する秘密署名鍵ＳＫを使って文書Ｄに対するデジタル署名Ｓを生成することができる。

そして、Ｓ、Ｋ、ＶＫを知っている人（及び、ＶＫが、詐欺師のものではなく、Ｂｏｂのものであることを確認した人）なら誰でも、Ｂｏｂが、実際に文書Ｄを承認したのだということを、暗号論的に検証することができる。

また、追加的に要求される検証情報（Ｄ，ＶＫ）と共に、Ｓが、Ｂｏｂのデジタル署名であるということが、暗号論的に検証することができる。

デジタル署名スキームが、安全であれば、Ｂｏｂ以外の人間は、Ｂｏｂの秘密鍵ＳＫを知らないので、彼のデジタル署名を偽造することは難しいはずである。

デジタル署名の概念は、Ｄｉｆｆｉｅ及びＨｅｌｌｍａｎの論文「Ｎｅｗ Ｄｉｒｅｃｔｉｏｎｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ」により１９７６年に提案された。

それ以来、デジタル署名を「効率的」なものにするために、多くの努力がなされてきた。

例えば、ある系統の研究は、計算速度の遅いプロセッサを有する装置においても、署名の生成又は署名の検証（又は、その両方）を素早く検証することができるという意味において、「計算処理的に効率的」な署名スキームを見出すものである。

他の系統の研究は、デジタル署名スキームが、最小帯域幅のオーバーヘッドを加えるという意味において、「帯域幅的に効率的」な署名スキームを見出すものである。

本特許出願に記載する発明は、主に、後者の系統の研究に属する。

１．従来の解決法
従来技術において、署名スキームを、より帯域幅的に効率的なものにするために、幾つかの手法が取られてきた。

１つは、（Ｓの値を伝達するために必要とされるビット数に関して）Ｓのサイズを可能な限り小さくするというものである。

例えば、この参照により引用に含まれる「Ｓｈｏｒｔ Ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ Ｐａｉｒｉｎｇ」（Ａｓｉａｃｒｙｐｔ２００１予稿集、ＬＮＣS２２４８、ｐｐ．５１４−５３２、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ社）において、Ｂｏｎｅｈ、Ｌｙｎｎ及びＳｈａｃｈａｍは、（「計算処理的なＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ仮定」と呼ばれる仮定の下）、署名が、僅かに約１６０ビットであっても、十分な安全性を実現する署名スキームについて説明している。

しかしながら、Ｓが、僅かに１６０ビットであったとしても、その署名を検証するためには、つまり、署名者の公開署名検証鍵ＶＫ、及び、署名者が署名した文書Ｄの記述を検証するためには、他の情報も必要とされていた。

その結果、署名スキームの全体的な帯域幅は、実際には、１６０ビットではなく、１６０＋｜ＶＫ｜＋｜Ｄ｜である。ここで、｜Ｄ｜は、署名された文書を記述するために必要なビット数を表し、｜ＶＫ｜は、署名者の検証鍵の長さを表す。

帯域幅的に効率的な署名を実現する他の手法は、「メッセージの回復を可能とする署名」である。

これらのスキームにおいて、検証者は、署名Ｓから、Ｄのある数（例えば、ｋ）のビットを回復することができる。よって、署名を検証するために必要な全ビット数は、｜Ｓ｜＋｜ＶＫ｜＋（｜Ｄ｜−ｋ）である。メッセージの回復を可能とする既存の署名スキームの全てにおいて、ｋは、せいぜい｜Ｓ｜−１６０である。

その結果、検証する必要のある全情報は、Ｂｏｎｅｈ−Ｌｙｎｎ−Ｓｈａｃｈａｍスキームのように、依然として、少なくとも、１６０＋｜ＶＫ｜＋｜Ｄ｜である。

また、帯域幅の改善を可能とするとして時々説明される別の手法は、「アイデンティティに基づく署名」である（この参照により引用に含まれる、Ａ．Ｓｈａｍｉｒ著、「Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ ａｎｄ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ」（Ｃｒｙｐｔｏ１９８４予稿集、ＬＮＣＳ１９６、ｐｐ．４７−５３、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ社）を参照のこと。）
アイデンティティに基づく署名スキームにおいて、署名者（「Ｂｏｂ」と呼ぶ）は、通常のデジタル署名スキームにおいて行うような署名者自身の鍵のペア（ＳＫ，ＶＫ）を生成しない。

その代わりに、「秘密鍵ジェネレータ（ＰＫＧ）」と呼ばれる高信頼のオーソリティが、Ｂｏｂの「アイデンティティＩＤ_Ｂｏｂ（例えば、彼の名前や電子メールアドレス）」、及び、ＰＫＧ自体の秘密鍵ＳＫ_ＰＫＧの関数として、Ｂｏｂの秘密鍵ＳＫ_Ｂｏｂを生成する。

また、文書ＤのＢｏｂの署名Ｓを検証するために、検証者は、ＢｏｂのアイデンティティＩＤ_Ｂｏｂ及び彼のＰＫＧの公開鍵ＰＫ_ＰＫＧも必要とする。

Ｂｏｂのアイデンティティは、任意に短く（例えば、１６０ビットより随分少なく）てよいが、ＰＫＧの公開鍵は、典型的に十分長い（例えば、１６０ビット以上）。

よって、上述した帯域幅的に効率的な手法には、帯域幅的に際立った利点はない。

しかしながら、（本発明で説明するように、後述するアイデンティティに基づくアグリゲート署名に対して有用である）アイデンティティに基づく署名スキームの興味深い側面、つまり、Ｂｏｂの署名を検証するために、特にＢｏｂに対して個別化された公開検証鍵ＶＫを必要とせず、その代わりに、検証者は、（他の多くのクライアントに対してもＰＫＧとして機能する）ＢｏｂのＰＫＧに対する公開鍵だけを必要とするという側面に留意されたい。

また、帯域幅的に効率的な署名を実現するための別の手法は、「アグリゲート署名」である。

アグリゲート署名スキームにより、相異なる署名者によって生成された相異なる文書の署名を、単一の短い署名に「アグリゲート（集約）」することができる。

より具体的には、公開署名検証鍵（ＶＫ_１，…，ＶＫ_ｎ）を有するｎ人の署名者がおり、これらのｎ人の署名者は、それぞれの文書（Ｄ_１，…，Ｄ_ｎ）に署名し、それによって、ｎ個の署名（Ｓ_１，…，Ｓ_ｎ）を生成するとする。

アグリゲート署名スキームでは、値（Ｓ_１，…，Ｓ_ｎ）を、単一の「短い」値Ｓに集約することができる。｜Ｓ｜が、｜Ｓ_１｜＋…＋｜Ｓ_ｎ｜より随分少ないときに、それが当てはまる。理想的には、｜Ｓ｜は、ｎ（アグリゲートされた署名の数）によって決まることさえあってはならない。

全てのｉ∈［１，ｎ］に対して、検証鍵ＶＫ_ｉを有する署名者が文書Ｄ_ｉに署名したことを検証するために必要な全ての情報は、｜ＶＫ_１｜＋…＋｜ＶＫ_ｎ｜＋｜Ｄ｜＋｜Ｓ｜である。

ここで、Ｄは、Ｄ_１からＤ_ｎを個別に一覧にするよりもコンパクトである署名した文書（Ｄ_１，…，Ｄ_ｎ）の記述である。

従来技術によるアグリゲート署名スキームにおいては、それぞれの検証鍵の記述を集約することができない。よって、署名した文書Ｄの記述は増えないとしても、全体の検証情報は、ｎに伴って線形的に増える。

近年、２つのアグリゲート署名スキームがある。

第１のアグリゲート署名スキームは、この参照により引用に含まれる、Ｃｒａｉｇ Ｇｅｎｔｒｙにより２００３年４月１５日に出願された「Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ Ｕｓｉｎｇ Ｂｉｌｉｎｅａｒ Ｍａｐｐｉｎｇ」と題する特許出願番号第１０４９９８５３号に記載されるアグリゲート署名スキームである。

このスキームは、双線型の「ペアリング（例えば、楕円曲線、又は、アーベルバラエティ）」を使用し、これにより、誰もが任意の順序の署名のコレクションを集約することができる。

第２のアグリゲート署名スキームは、この参照により引用に含まれる、Ａ．Ｌｙｓｙａｎｓｋａｙａ、Ｓ．Ｍｉｃａｌｉ、Ｌ．Ｒｅｙｚｉｎ及びＨ．Ｓｈａｃｈａｍ著、「Ｓｅｑｕｅｎｔｉａｌ Ａｇｇｒｅｇａｔｅ Ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ Ｔｒａｐｄｏｏｒ Ｐｅｒｍｕｔａｔｉｏｎｓ」（Ｅｕｒｏｃｒｙｐｔ２００４予稿集、ＬＮＣＳ３０２７、ｐｐ．７４−９０、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ社）に記載のスキームである。

このスキームでは、シーケンシャルなアグリゲーションだけが可能である（これは、自由度が低い）が、（近年になってようやく暗号システムを構築するために使用されるようになったペアリングの概念に対して）より広く受け入れられているトラップドア転置処理（Ｔｒａｐｄｏｏｒ Ｐｅｒｍｕｔａｔｉｏｎｓ）の概念を使用している。

第２のスキームは、アグリゲート署名スキームの「理想的な」目的、つまり、Ｓをｎから独立させるということを実現していない。

むしろ、彼らのスキームにおいては、Ｓのサイズは、署名者が一人増えるごとに、１、２ビットだけ増加する。

｜Ｓ｜は、ｎが増加するにつれて非常にゆっくりと増加するので、彼らのスキームは、理想的な目的を達成していないけれども、アグリゲート署名スキームと見なされている。
Ｐ．Ｓ．Ｌ．Ｍ．Ｂａｒｒｅｔｏ、Ｈ．Ｙ．Ｋｉｍ、Ｂ．Ｌｙｎｎ、Ｍ．Ｓｃｏｔｔｏ著、「Ｅｆｆｉｃｉｅｎｔ Ａｌｇｏｒｉｔｈｍｓ ｆｏｒ Ｐａｉｒｉｎｇ−Ｂａｓｅｄ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ」、Ｃｒｙｐｔｏ２００２予稿集、ＬＮＣＳ２４４２、ｐｐ．３５４−３６８、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ社、２００２年 Ｄ．Ｂｏｎｅｈ、Ｍ．Ｆｒａｎｋｌｉｎ、Ｂ．Ｌｙｎｎ、Ｈ．Ｓｈａｃｈａｍ著、「Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ Ｐａｉｒｉｎｇ」、ＳＩＡＭＪ．Ｃｏｍｐｕｔｉｎｇ、３２（３）、５８６−６１５、２００３年、Ｃｒｙｐｔｏ２００１予稿集の拡張アブストラクト Ｄ．Ｂｏｎｅｈ、Ｃ．Ｇｅｎｔｒｙ著、「Ａｇｇｒｅｇａｔｅ ａｎｄ Ｖｅｒｉｆｉａｂｌｙ Ｅｎｃｒｙｐｔｅｄ Ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ Ｂｉｌｉｎｅａｒ Ｍａｐｓ」、Ｅｕｒｏｃｒｙｐ２００３予稿集、ＬＮＣＳ２６５６、ｐｐ．４１６−４３２、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ社。２００３年 Ｄ．Ｂｏｎｅｈ、Ｂ．Ｌｙｎｎ、Ｈ．Ｓｈａｃｈａｍ著、「Ｓｈｏｒｔ Ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ Ｐａｉｒｉｎｇ」、Ａｓｉａｓｃｒｙｐｔ２００１予稿集、ＬＮＣＳ２２４８、ｐｐ．５１４−５３２、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ社、２００１年 Ａ．Ｌｙｓｙａｎｓｋａｙａ、Ｓ．Ｍｉｃａｌｉ、Ｌ．Ｒｅｙｚｉｎ、Ｈ．Ｓｈａｃｈａｍ著、「Ｓｅｑｕｅｎｔｉａｌ Ａｇｇｒｅｇａｔｅ Ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ Ｔｒａｐｄｏｏｒ Ｐｅｒｍｕｔａｔｉｏｎｓ」、Ｅｕｒｏｃｒｙｐ２００４予稿集、ＬＮＳＣ３０２７、ｐｐ．７４−９０、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ社、２００４年 Ｓ．Ｍｉｃａｌｉ、Ｋ．Ｏｈｔａ、Ｌ．Ｒｅｙｚｉｎ著、「説明可能な部分集合多重署名」（拡張アブストラクト）、ＣＣＳ２００１予稿集、ｐｐ．２４５−５４、ＡＣＭプレス、２００１年 Ａ．Ｓｈａｍｉｒ著、「Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｃｒｙｐｔｏｓｙｓｔｅｍ ａｎｄ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ」、Ｃｒｙｐｔｏ１９８４予稿集、ＬＮＣＳ１９６、ｐｐ．４７−５３、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ社、１９８５年

２．以前の解決法の欠点
帯域幅の効率性に注目した系統の研究の究極の目的は、検証に必要な全情報を最小化する署名スキームを見出すことである。

任意の署名スキームに対して、誰が何に署名したかの記述Ｋを持たなければならない（メッセージの回復を有する署名スキームのように、記述のいくらかは、他の変数に折り畳まれているかもしれないが）。Ｋは、Ｋの値を伝達するために必要な最小のビット数である一定の「Ｋｏｌｍｏｇｏｒｏｖ計算量」を有する。

そのため、この系統の研究の究極の目的は、署名を検証するために必要なＫの他に、情報量を最小化することである。或いは、言い換えれば、究極の目的は、「コルモゴロフの最適性（Ｋｏｌｍｏｇｏｒｏｖ−ｏｐｔｉｍａｌ）」に可能な限り近い署名スキームを見出すことである。

せいぜいビットの小さい定数（すなわち、ｎから独立したビットの数）を「コルモゴロフの下界｜Ｋ｜」に加えるスキームに対するニーズがある。

このセクションでは、発明の幾つかの特徴について概要を述べる。他の特徴については、後のセクションで説明する。本発明は、この参照によりこのセクションに含まれる添付した特許請求の範囲により定義される。

本発明の幾つかの実施形態においては、複数の署名者が、複数の文書に署名することを可能にする署名スキームが提供されるが、それは、コルモゴロフの最適性に可能な限り近いものである。

「アイデンティティに基づくアグリゲート署名」と呼ばれる幾つかの実施形態では、所期の目的を実現している。

すなわち、アイデンティティに基づくアグリゲート署名を検証するために必要な情報は、Ｋ＋２の一定の長さの「タグ」である。

タグの１つは、秘密鍵ジェネレータの公開鍵、もう１つのタグは、実際のアイデンティティに基づくアグリゲート署名である。

アグリゲーションは、十分な自由度がある。例えば、誰もが、互換性のあるようにフォーマットされた署名のコレクションを集約することができる。

また、本発明は、さらに高い安全性が立証されているアイデンティティに基づく多重署名スキームを含む（アイデンティティに基づく多重署名スキームは、本質的に、相異なる署名者が同じメッセージに署名する、（縮退型の）アイデンティティに基づくアグリゲート署名スキームである）。

更に、本発明の幾つかの実施形態により、署名者が相異なるＰＫＧを有するアイデンティティに基づくアグリゲート署名が可能となる。

また、本発明には、新規のコンポーネントも含まれる。これらのコンポーネントの幾つかは、アイデンティティに基づくアグリゲート署名を生成するために使用されるアイデンティティに基づく秘密鍵の生成方法、集約することができるアイデンティティに基づく署名の生成方法、アイデンティティに基づく署名（及び、おそらく、アイデンティティに基づくサブアグリゲート署名）をアイデンティティに基づくアグリゲート（又は、より大きいサブアグリゲート）署名に集約する方法、及び、アイデンティティに基づくアグリゲート署名を検証する方法である。

また、本発明は、そのようなコンポーネントを実装するシステムや、そのようなコンポーネントを実装するためのコンピュータ指令及び／又はデータ構造を含むコンピュータにより読み取り可能な媒体や、そのようなコンピュータの指令及び／又はデータ構造を組み合わせるために作られた信号を含む。

本発明は、上述した特徴及び長所に制限されるものではない。他の特徴については、以下に説明する。本発明は、添付した特許請求の範囲により定義される。

本発明の幾つかの実施形態では、様々な拡張及びアプリケーションとともに、安全かつ効率的なアイデンティティに基づくアグリゲート署名（及び多重署名）を実装する方法及びシステムが提供される。

まず、アイデンティティに基づくアグリゲート署名とは何であるかについて一般的な用語により明確にする。

＜１．アイデンティティに基づくアグリゲート署名＞
アイデンティティに基づくアグリゲート署名の幾つかの側面を、スキームの性能的な特徴、及び、スキームの安全性の特徴の両方に関して説明する。

＜１．１ 性能的な特徴＞
アイデンティティに基づくアグリゲート署名の目的は、コルモゴロフの最適性に近い帯域幅の効率性を実現することにあることを思い出して欲しい。

誰が何に署名したかの記述Kは、署名者の数ｎに伴って、ほぼ直線的に増加する（例えば、「全ての署名者に対して、ｉ番目の署名者が、そのインデックスｉに署名する」という記述は、数ｎがＫの一部として生成されている場合の対数依存性をおそらく除いて、ｎから独立である）。

したがって、アイデンティティに基づくアグリゲート署名を検証する為に必要な情報量は、ｎに伴って必ずしも増加しないことが望ましい。

（注釈）
上述したように、Ｌｙｓｙａｎｓｋａｙａ等のアグリゲート署名スキームにおいて、アグリゲート署名Ｓの大きさは、実際には、ｎに伴って直線的には増加する。

しかし、この事実にも係わらず、彼らのスキームは、依然として、アグリゲート署名スキームと見なされている。

なぜならば、Ｓは、署名者が一人増える毎に、１又は２ビットだけ増加するためである（集約しない署名スキームの場合は、署名者が一人増える毎に、１６０ビット（又は、それ以上）増加するのに対して）。

本発明のアイデンティティに基づくアグリゲート署名の我々の定義は、このわずかな直線的増加の可能性を排除するものと解釈されるべきではないが、我々のアイデンティティに基づくアグリゲート署名の好ましい実施形態の帯域幅の消費は、ｎに従属ではない。

以前のアグリゲート署名スキームでは、誰が何に署名したかの記述Ｋに加えて、検証者は、ｎ個の公開署名検証鍵（ＶＫ_１，…，ＶＫ_ｎ）のそれぞれを、ｎ人の署名者のそれぞれに対して必要とする。

これらの以前のアグリゲート署名スキームでは、検証者は、（署名者が誰であるかの記述を含む）Ｋから、（ＶＫ_１，…，ＶＫ_ｎ）の値を得ることができない。

つまり、検証者は、署名者のアイデンティティから、署名者の公開鍵を解読することができない。

むしろ、各個別の署名者は、必ずしも署名者のアイデンティティＩＤ_ｉによって決まらないように、自分自身の鍵のペア（ＳＫ_ｉ，ＶＫ_ｉ）をランダムに独立して生成する。

各ＶＫ_ｉは、検証者となる人の観点から見れば、ランダムなので、検証者は、各ＶＫ_ｉを「推測」することができない。

それを検証する前に、それぞれのＶＫ_ｉを個別に求める必要があり、そのため、検証情報の全体の量が、ｎによって決まる。

幾つかの実施形態において、ｎに依存しない署名スキームを実現するため、我々は、各署名者に、その鍵のペアをランダムに生成させない。これにより、アイデンティティに基づく署名スキームの考え方が導かれる。

アイデンティティに基づく署名スキームにおいて、署名者の公開アイデンティティＩＤ_ｉは、その公開鍵として働く。

署名者のアイデンティティ（ＩＤ_１，…，ＩＤ_ｎ）は、誰が何に署名したかの記述Ｋ（この場合、Ｋは、ｎに依存する）に、既に含まれていることに留意されたい。

署名者の秘密署名鍵ＳＫ_ｉは、秘密鍵ジェネレータ（ＰＫＧ）と呼ばれる高信頼のオーソリティによって、署名者のアイデンティティＩＤ_ｉ及びＰＫＧの秘密鍵ＳＫ_ＰＫＧの関数として生成される。

署名者は、署名Ｓ_ｉを出力する署名アルゴリズムに対して（Ｄ_ｉ，ＳＫ_ｉ）を入力することで、文書Ｄ_ｉに署名する。

検証者は、Ｓ_ｉが、アイデンティティＩＤ_ｉを有する署名者による文書Ｄ_ｉの有効な署名であることを、署名が有効か無効かによって「０」又は「１」を出力する検証アルゴリズム（ここで、ＰＫ_ＰＫＧは、ＰＫＧの公開鍵）に対して、（Ｓ_ｉ，Ｄ_ｉ，ＩＤ_ｉ，ＰＫ_ＰＫＧ）を入力することによって検証する。

全ての署名者が、同じＰＫＧを使用するとすれば、検証者は、ＰＫＧの公開鍵の１つのコピーだけを必要とし、各署名者に対して、個別の公開鍵ＶＫ_ｉを求める必要はない。

その結果、（集約しない）アイデンティティに基づく署名スキームでは、検証するために必要な全情報は、｜Ｋ｜＋｜ＰＫ_ＰＫＧ｜＋｜Ｓ_１｜＋…＋｜Ｓ_ｎ｜である。

この場合、ｎへの依存は、署名者の（従来技術のアグリゲート署名スキームに対する）公開検証鍵ＶＫ_ｉよりもむしろ、署名Ｓ_ｉが起こす。

（注釈）
上記の説明から、「署名者は、単に公開検証鍵ＶＫ_ｉをＩＤ_ｉに等しく設定し、それに対応する秘密鍵を（ＰＫＧの支援なしに）、署名者自身で生成できないのか」という疑問があるかもしれない。

任意の特定の「暗号論的でない」アイデンティティ文字列ＩＤ_ｉを、署名者の公開鍵として機能させる（この場合は、署名者が、その文字列に対する秘密暗号論的知識を持ち合わせていないという意味において「暗号論的でない」（このようなことは、ＩＤ_ｉが、署名者の名前、又は、電子メールアドレスである場合に、おそらく起こり得るであろうが））のであれば、論理的に不可避な結果として、署名者以外の誰かが、署名者の秘密鍵を生成しなければならない。

その理由は、署名者が、自身のアイデンティティ文字列に対して、「特権的な」知識を持たないという想定になっているので、署名者が、自身の秘密鍵を生成できたとすると、同等な計算処理能力を有する他の誰でもが、秘密鍵を生成することができるためである。

その結果、幾つかの実施形態には、署名者の秘密鍵が、署名者の文字列ＩＤ_ｉの関数として、「ＰＫＧ」と呼ばれる第三者（又は、第３者の連合）、及び、ＰＫＧの秘密鍵ＳＫ_ＰＫＧと呼ばれるＰＫＧのみが知っている情報によって生成される。

検証情報のサイズは、アグリゲート署名でもアイデンティティに基づく署名でも、ｎによって決まるが、我々は、２つの概念を組み合わせることにより、ｎへの依存を排除することができる。

これは、言うのは簡単であるが、実際行うのは難しい。既存のアグリゲート署名スキーム、及び、既存のアイデンティティに基づく署名スキームを単に互いに組み合わせることでは、この目的を達成することはできない。

実際、アグリゲート署名が存在し、且つ、アイデンティティに基づく署名スキームが存在するだけでは、アイデンティティに基づくアグリゲート署名スキームが存在するということにはならないのは、確かである。

ここで、アイデンティティに基づくアグリゲート署名の少なくとも幾つかの実施形態において、我々が取得したいと考えるプロパティ及び性能特性について述べる。

アイデンティティに基づく署名等の場合、署名者の公開アイデンティティＩＤ_ｉが、その公開鍵として機能し、署名者の秘密署名鍵ＳＫ_ｉが、秘密鍵ジェネレータ（ＰＫＧ）と呼ばれる高信頼のオーソリティによって、署名者のアイデンティティＩＤ_ｉ及びＰＫＧの秘密鍵ＳＫ_ＰＫＧの関数として生成される。

アイデンティティ（ＩＤ_１，…，ＩＤ_ｎ）を有する署名者が、文書（Ｄ_１，…，Ｄ_ｎ）に署名するというアイデンティティに基づくアグリゲート署名を生成するために、各署名者は、それぞれの秘密鍵ＳＫ_ｉを何らかの方法で、それぞれの文書Ｄ_ｉに適用する。

アイデンティティに基づくアグリゲート署名Ｓを検証するために必要な情報の大きさは、ｎから独立であるべきである（又は、ｎに伴って緩やかに増加するべきである）。

具体的には、検証情報は、（Ｋ，Ｓ，ＰＫ_ＰＫＧ）である。ここで、Ｓ及びＰＫ_ＰＫＧの大きさは、ｎからは独立である。

署名者がＳを生成するまさにその方法は、スキームごとに異なっている。

我々の好ましい実施形態においては、それぞれの署名者は、自分自身のアイデンティティに基づく署名を、他の署名者のアイデンティティに基づく署名とは本質的に独立したものとして生成することができる。

その後、誰もが、自分達のアイデンティティに基づく署名を、１つのアグリゲートに（後で説明するある方法において、様々なアイデンティティに基づく署名が、「互換性のある」限り）、集約することができ、不特定複数のアグリゲートは、他のアグリゲート、又は、個別の署名と組み合わせることによって、更に他のアグリゲートを生成することができる。

或いは（Ｌｙｓｙａｎｓｋａｙａ等の意味で）、「シーケンシャルな」アイデンティティに基づくアグリゲート署名スキームを有してもよい。

ここに言う「シーケンシャルな」アイデンティティに基づくアグリゲート署名スキームでは、ｉ番目の署名者が、その署名を、（ｉ−１）番目の署名者の出力に対して、直接、集約し、自身の出力を生成する、つまり、署名者だけが、アグリゲーションを実行することができる。

アグリゲーションの方法は変わり得るが、結果は同じである必要がある。すなわち、署名が、ほぼコルモゴロフの最適性の検証情報の大きさを有する必要がある。

＜１．２ 安全性の特徴＞
デジタル署名は、偽造することが難しくなくてはならない。暗号論において、この概念は、適応的選択メッセージの下、実在の偽造に対する安全性として様式化することができる。

この概念は、典型的には、「挑戦者」と「競争相手」との間で行われる「ゲーム」、つまり、大雑把に言うと、以下に説明する一定の条件次第では、競争相手が有効な偽造を生成すれば、競争相手が勝つという「ゲーム」に関して定義されている。

我々のアイデンティティに基づくアグリゲート署名スキームでは、競争相手に署名（すなわち、偽造）するメッセージを選択させるだけでなく、攻撃したいと思うアイデンティティの群を選択する能力を与えている。このゲームを、我々は、以下の通り、明確にする。

（設定）
挑戦者Ｃは、競争相手Ａに対して、ＰＫＧの公開鍵ＰＫ_ＰＫＧを与える。

（クエリ）
状況に適応しながら、Ａは、アイデンティティＩＤ_ｉを選択し、対応する秘密鍵ＳＫ_ｉを要求することができる。

また、

におけるアイデンティティに基づくアグリゲート署名σ_ｉ−１が与えられているので、Ａは、

のアイデンティティに基づくアグリゲート署名σ_ｉを要求することができる。

（応答） ある

に対して、競争相手Ａは、アイデンティティに基づくアグリゲート署名σ_ｉを出力する。

アイデンティティに基づくアグリゲート署名σ_ｉが、

の有効な署名であり、その署名が自明でない場合、すなわち、あるｉに対して、１≦ｉ≦ｌである場合、Ａが、ＩＤ_ｉに対する秘密鍵を要求せず、ペア（ＩＤ_ｉ，Ｄ_ｉ）を含む署名を要求しない場合には、競争相手の勝ちである。

非様式的には、上述したゲームは、実生活におけるアイデンティティに基づくアグリゲート署名スキームから、我々が期待する安全性のタイプに倣ったものである。

実生活では、競争相手は、正当に生成されたアイデンティティに基づくアグリゲート署名の多くを見ることができるであろう。そのため、我々は、ゲームの中で、競争相手に正当な署名を要求する能力を与えたのである。

現実の生活では、競争相手は、多くの署名者をだまして署名者の秘密鍵を自分に与えるようにする（又は、署名者は、自分の秘密鍵を競争相手に渡すことによって、競争相手と「共謀」する）ことができる。よって、ゲームの中で我々は、競争相手に秘密鍵を要求する能力を与えた。

このような条件の下、我々が望むことができる最善の安全性のタイプは、競争相手が、既に正当に生成されているものではないアイデンティティに基づくアグリゲート署名を生成できず、署名者の秘密鍵の全てを知らないということである。

これが、上述したゲームが倣ったものである。競争相手がスキームを破る確率は、競争相手がどのくらいの計算処理能力（又は、時間ｔ）を持つか、そして、どのくらいのクエリを生成できるようになっているのかによるので、我々は、これらの変数に関して安全性を定義している。

（定義）
アイデンティティに基づくアグリゲート署名の競争相手Ａ（ｔ，ｑ_Ｈ，ｑ_Ｅ，ｑ_Ｓ，ε）は、Ａが、最大でも時間ｔで作動し、最大でｑ_Ｈのハッシュ関数クエリを生成し、最大でｑ_Ｅの秘密鍵クエリを生成し、最大でｑ_Ｓの署名クエリを生成し、また、「ＡｄｖＩＢＡＳｉｇ_Ａ」が、少なくともεの場合に、上述した見本のアイデンティティに基づくアグリゲート署名を破る。

「ＡｄｖＩＢＡＳｉｇ_Ａ」は、Ａが、ゲームに「勝つ」確率である。

かかる確率は、鍵生成アルゴリズム及びＡの双方のコイントスによるものである。

（定義）
どの競争相手（ｔ，ｑ_Ｈ，ｑ_Ｅ，ｑ_Ｓ，ε）も、アイデンティティに基づくアグリゲート署名スキームを破らないとすると、そのスキームは、適応的選択メッセージ且つ適応的選択対象のアイデンティティ攻撃下で、実在の偽造に対して安全な（ｔ，ｑ_Ｈ，ｑ_Ｅ，ｑ_Ｓ，ε）である。

本発明のアイデンティティに基づく署名スキームの好ましい実施形態は、広く使用されている「ランダムオラクルモデル（Ｒａｎｄｏｍ Ｏｒａｃｌｅ Ｍｏｄｅｌ）」（ＲＯＭ）における困難な安全性要件を満たしている。

ＲＯＭにおいて、暗号論的ハッシュ関数は、安全性を立証するために、完全にランダムな関数のように扱われている。当技術分野に精通している者は、ＲＯＭをよく知っている。

＜２．ペアリングの検討＞
本発明のアイデンティティに基づく署名スキームの好ましい実施形態では、「ペアリング」と呼ばれる双線型写像を使用する。

過去数年間の間、ペアリングは、様々な暗号化スキームにおいて用いられ、現在ではよく知られている。

典型的に使用されているペアリングは、超特異な楕円曲線、又は、アーベルバラエティに関する改良型の「Ｗｅｉｌペアリング」又は「Ｔａｔｅペアリング」である。

しかしながら、ここでは、ペアリング及び関連した数学的処理を、より一般的な形式において説明する。

Ｇ_１及びＧ_２を、ある大きい素数位数ｑの２つの巡回群とする。数ｑ＞３であり、いくつかの実施形態では、ｑ＞２^１６０である。Ｇ_１は、加算的に表現し、Ｇ_２は、乗法的に表現する。

（許容ペアリング）

が、以下のプロパティを有する写像であれば、

を、「許容ペアリング」と呼ぶ。

１．双線型： 全てのＱ，Ｒ∈Ｇ_１及び全てのａ，ｂ∈Ｚに対して、

である（Ｚは、全ての整数の集合である）。

２．非縮退： あるＱ，Ｒ∈Ｇ_１に対して、

である。

３．計算可能： 任意のＱ，Ｒ∈Ｇ_１に対して、

を計算する効率的なアルゴリズムがある。

本発明は、許容ペアリングに限られるものではなく、特に、計算処理可能なペアリングに限られるものではない。

は、双線型であり、Ｇ_１は、巡回群なので、

は、対称的である、すなわち、任意のＱ，Ｒ∈Ｇ_１に対して、

であることに留意されたい。

しかしながら、本発明は、巡回群に限定されるものでも、対称型ペアリングに限定されるものでもない。

＜計算処理によるＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ（ＣＤＨ）パラメータジェネレータ＞
ＰＧが、安全性のパラメータｋ＞０を取り、ｋにおいて１時間多項式で作動し、同じ素数位数ｑのＧ_１及びＧ_２の２つの群の記述及び許容ペアリング

の記述を出力すれば、ランダムにされたアルゴリズムＰＧ_ＣＤＨは、ＣＤＨパラメータジェネレータである。

本明細書のペアリングに基づいたスキームの安全性は、以下の問題の難しさによって決まる。

＜Ｇ_１（ＣＤＨ_Ｇ１）における計算処理によるＤｉｆｆｉｅ−Ｈｅｌｌｍａｎの課題＞
Ｐ，ａＰ，ｂＰ∈Ｇ_１が与えられえていると、（ランダムに選択した未知のａ，ｂ∈Ｚ/ｑＺに対して）ａｂＰを計算する。ここで、ｑＺは、ｑで割り切れる全ての整数の集合であり、Ｚ/ｑＺは、ｑを法とする剰余類の集合である。

ＣＤＨ_Ｇ１仮定を以下のように定義する。

（ＣＤＨ_Ｇ１仮定） ＰＧが、ＣＤＨパラメータジェネレータであるとすると、アルゴリズムＢが有するＣＤＨ_Ｇ１の課題を解く時の利点Ａｄｖ_ＰＧ（Ｂ）は、アルゴリズムへの入力が、

である場合に、アルゴリズムＢが、ａｂＰを出力する確率であると定義される。

ここで、

は、十分に大きい安全性のパラメータｋに対するＰＧの出力であり、Ｐは、Ｇ_１のランダムジェネレータであり、ａ、ｂは、Ｚ/ｑＺのランダムな要素である。

ＣＤＨ_Ｇ１仮定とは、全ての効率的なアルゴリズムＢに対して、Ａｄｖ_ＰＧ（Ｂ）は、無視できるものであるということである。

既に述べたように、（大雑把に言うと）我々のアイデンティティに基づくアグリゲート署名スキームの好ましい実施形態は、ＣＤＨ_Ｇ１仮定が真であるとの仮定に基づいて、ランダムオラクルモデルにおいて、適応的選択メッセージ且つ適応的選択対象のアイデンティティ攻撃下で、実在の偽造に対して安全であることが証明されている。

しかしながら、本発明は、この安全性のプロパティを有する実施形態に限定されるものではない。

＜３．アイデンティティに基づくアグリゲート署名スキームの好ましい実施形態＞
まず、スキームに関して直感的に分かるものを示す。ペアリングに基づく幾つかのスキームを含む様々なアイデンティティに基づく署名スキームが存在している。

新規のアイデンティティに基づく署名スキームを構成することは難しいことではない。しかしながら、我々が知る限り、既存のアイデンティティに基づく署名スキームは、全て、署名生成がランダムに行われ、結果として得られるアイデンティティに基づく署名が一意的ではないという共通点を有している。

アイデンティティに基づく署名は、典型的に、２つのコンポーネントからなる。１つは、ランダム性の「マスクされた」形式であり、もう１は、ランダム性に関連付けた後の認識の証明である。

アグリゲート署名は、最近になってようやく見出され、現在までのところ、本質的に、２つの手法が存在するだけである。

両方のスキームにおいて、署名生成は、決定論的であり、アグリゲート署名は、一意的である（ＬＭＲＳスキームにおいて、すなわち、Ｌｙｓｙａｎｓｋａｙａ等のスキームにおいて、各署名者は、ランダム性のビットを導入することができるが、これらの各ビットのために、アグリゲート署名の大きさが増す）。

既存のアグリゲート署名スキームが決定論的であることは、驚きに値しない。なぜならば、各署名者が、署名にランダム性を導入できるのであれば、「ランダム性を集約する」ための何かしらの方法が必要とされるからである。

実際、ランダム性を集約することは、まさに我々のアイデンティティに基づくアグリゲート署名スキームが行うことである。

各個別のアイデンティティに基づく署名は、形式

を有する。

ここで、

は、署名者のアイデンティティＩＤ_ｉ及び署名者が署名するメッセージＭ_ｉから、決定論的に計算される。

ここで、（Ｐ，Ｐ’）は、全ての署名者に対して同じである点のあるペアであり、ｒ_ｉは、ｉ番目の署名者がランダムに選択するスカラーである。

そして、個別の署名は、アグリゲートされ、

を得ることができる。

なお、署名の大きさが増加しないように、ｒ_ｉのランダム値が、どのように加法を通して単に集約されたのかに留意されたい。

ここで、スキームについてより具体的に説明する。以下の等式において、Ｐ’は、Ｐ_ｗとして表わされている。文字Ｍ（ｍｅｓｓａｇｅ）及びＤ（ｄｏｃｕｍｅｎｔ）は、全体を通して交換可能に使用されている。「メッセージ（Ｍｅｓｓａｇｅ）」及び「文書（ｄｏｃｕｍｅｎｔ）」は、本明細書の中では、同義語として使用されている。

（設定）
秘密鍵ジェネレータ（ＰＫＧ）は、本質的に、以前のペアリングに基づくスキームと同様に、パラメータ及び鍵を生成する。

特に、ＰＫＧは、
１． ある素数位数ｑ、及び、双線型非縮退ペアリング

の群Ｇ_１及びＧ_２を生成する（これは、許容ペアリングでよく、いくつかの実施形態においては、ｑ＞３であり、他の実施形態においては、Ｇ_１が、楕円曲線群、又は、他のタイプの群であり、ｑ＞２^１６０である）。

２． 任意のジェネレータＰ∈Ｇ_１を選択する。

３． ランダムなｓ∈Ｚ/ｑＺを選択し、Ｑ＝ｓＰを設定する。

４． 暗号論的ハッシュ関数Ｈ_１，Ｈ_２：｛０，１｝^＊→Ｇ_１及びＨ_３：｛０，１｝^＊→Ｚ/ｑＺを選択する。

ＰＫＧの公開鍵は、

である。ＰＫＧの秘密ＳＫ_ＰＫＧは、ｓ∈Ｚ/ｑＺである。

（秘密鍵生成）
アイデンティティＩＤ_ｉを有するクライアントは、ＰＫＧから、ｊ∈｛０，１｝に対して、ｓＰ_ｉ，ｊの値を受け取る。ここで、Ｐ_ｉ，ｊ＝Ｈ_１（ＩＤ_ｉ，ｊ）∈Ｇ_１である。

（個別の署名）
第１の署名者は、それまで使ったことのない文字列ｗを選択する。その後に続く各署名者は、第１の署名者によって選択された文字列ｗを自分が使ったことがないということを確認する（又は、予め設定されたスケジュールに従って、異なる署名者が、署名を発行する場合には、例えば、署名が、ある予め設定された時間に生成され、ｗが、その時間によって定義される結果として、例えば、ｗが、署名生成時間の時間及び分によって定義され得る場合には、異なる署名者が、個別に同じｗに到達してもよい）。

文書Ｄ_ｉに署名するために、アイデンティティＩＤ_ｉを有する署名者は、
１． Ｐ_ｗ＝Ｈ_２（ｗ）∈Ｇ_１を計算する。

２． ｃ_ｉ＝Ｈ_３（Ｄ_ｉ，ＩＤ_ｉ，ｗ）∈Ｚ/ｑＺを計算する。

３． ランダムなｒ_ｉ∈Ｚ/ｑＺを生成する。

４． 署名者の署名（ｗ，Ｓ’_ｉ，Ｔ’_ｉ）を計算する。ここで、

である。

（アグリゲーション）
誰もが、同じ文字列ｗを使用する個別の署名のコレクションを集約することができる。

例えば、１≦ｉ≦ｎに対して、個別の署名（ｗ，Ｓ’_ｉ，Ｔ’_ｉ）は、（ｗ，Ｓ_ｎ，Ｔ_ｎ）に集約することができる。ここで、

である。

我々の安全性の証明では、相異なるｗの文字列を使用する個別の（又は、アグリゲート）署名のアグリゲーションを許可していない。

しかしながら、同じｗを使用する署名は、署名者が、相異なる秘密鍵を有する相異なるＰＫＧを有する場合でも、ＰＫＧが、同じパラメータ

を使用する限り、集約することができる。詳細については、後述する。

（検証）
（ｗ，Ｓ_ｎ，Ｔ_ｎ）を、アイデンティティに基づくアグリゲート署名とする（ここで、ｎは、署名者数である）。検証者は、

を確認する。ここで、上述の通り、Ｐ_ｉ，ｊ＝Ｈ_１（ＩＤ_ｉ，ｊ）、Ｐ_ｗ＝Ｈ_２（ｗ）、ｃ_ｉ＝Ｈ_３（Ｄ_ｉ，ＩＤ_ｉ，ｗ）である。

（注釈３Ａ（セクション３、注釈Ａ））
なぜ署名を、単に、ｓＰ_ｉ，０＋ｃ_１ｓＰ_ｉ，１と設定しないのか？
それは、２つの署名の後、競争相手が、線形代数を使ってｓＰ_ｉ，０及びｓＰ_ｉ，１の値を回復することができそうだからである。一度だけ使用するＰ_ｗの目的は、この線形を阻害することであり、一方で、全ての署名者が、「ランダム性をアグリゲートできる」場所を提供することである。

（注釈３Ｂ）
上述のスキームにおいて、各署名者には、単一のｗの値を有する１つのアイデンティティに基づく署名だけが許されている。

しかしながら、スキームは、アイデンティティＩＤ_ｉを有するクライアントが、ＰＫＧから、ｊ∈［０，ｋ］に対して、ｓＰ_ｉ，ｊである値を受け取るように、秘密鍵生成を変更することによって、各署名者が、ｗの値を有するｋ個の個別のアイデンティティに基づく署名を生成できるように簡単に修正することができる。ここで、Ｐ_ｉ，ｊ＝Ｈ_１（ＩＤ_ｉ，ｊ）∈Ｇ_１である。

署名するために、署名者は、１≦ｊ≦ｋに対して、ｃ_ｉｊ＝Ｈ_３（Ｄ_ｉ，ＩＤ_ｉ，ｗ）を計算し、

を設定する。

その署名は、既述した通り（ｗ，Ｓ’_ｉ，Ｔ’_ｉ）である。個別のアイデンティティに基づく署名は、既述したとおり、同じ加法を使用して集約され得る。

幾つかの実施形態において、用語ｓＰ_ｉ，０を、Ｄ_ｉ、ＩＤ_ｉ、ｗによって決まる又は決まらない定数ｃ_０によって乗じる。

例えば、幾つかの実施形態において、ｃ_０∈Ｈ_３（Ｄ_ｉ，ＩＤ_ｉ，ｗ，−ｊ）である。定数ｃ_ｉｊ（ｊ＝０，…，ｋ）のうち少なくとも１つは、文書Ｄ_ｉによって決まる。これらの係数の一部又は全てが、ＩＤ_ｉの関数である。

（注釈）
アイデンティティに基づくアグリゲート署名は、例外的に、帯域幅的に効率的である。

値ｗ、Ｓ_ｎ、Ｔ_ｎは、十分な安全性を実現しつつ、それぞれ非常に短く（例えば、１６０ビット）なるように取得され得る。

誰が何を署名したかの記述ｋの考えられる例外としては、アイデンティティに基づくアグリゲート署名を検証するために必要な全情報の大きさ、特に、（ＰＫＰＫＧ，ｗ，Ｓ_ｎ，Ｔ_ｎ）の大きさは、一定の長さであり（すなわち、ｎから独立しており）、現実に非常に小さい。

（注釈）
計算処理上の効率性という点では、このスキームは、Ｂｏｎｅｈ−Ｇｅｎｔｒｙ−Ｌｙｎｎ−Ｓｃｈａｃｈａｍ（ＢＧＬＳ）スキームよりも実際に効率的である。

かかるＢＧＬＳスキームのように、検証のための全体の計算処理量は、署名者数において直線的である。

しかし、ＢＧＬＳ署名スキームでは、ｎ＋１のペアリング計算処理が要求され、非常に計算処理的に重くなる。

一方、上述したアイデンティティに基づくアグリゲート署名では、３つのペアリング（及び、比較的、計算処理的に軽くなりやすいｎ個のスカラー乗法）の計算処理が要求されるだけである。

＜４．上述した実施形態の相異なるコンポーネント＞
ここで、上述したアイデンティティに基づくアグリゲート署名スキームを、秘密鍵生成コンポーネント、署名コンポーネント、アグリゲーションコンポーネント、検証コンポーネントを含む様々な新規のコンポーネントに分ける。

これらのコンポーネントのそれぞれは、例えば、図１のコンピュータシステム１０４を使って、ソフトウェア、及び／又は、ハードウェア回路で実装することができる。

各システム１０４は、例えば、携帯電話の部品のように、埋め込み式のシステムであってもよい。また、各システム１０４は、分散システムであってもよい。

システム１０４は、１つ又は複数のプロセッサ１１０、及び、半導体メモリや磁気ディスクや磁気テープ或いは永久的な又は取り外し可能な公知の又はこれから発明される他の種類のコンピュータにより読み取り可能な媒体、又は、記憶装置を備えていてもよいメモリシステム１２０を有する。

メモリは、コンピュータシステム１０４に、上述した、鍵生成や署名やアグリゲーションや検証等のコンポーネントの関数を実装させるためのコンピュータ命令を含んでいてもよい。

相異なるコンピュータシステムは、相異なるコンポーネントを実装することができるが、これは必要なものではない。

また、メモリ１２０も、様々なコンポーネントに必要な鍵や署名等のデータ構造を記憶する。

コンピュータシステム１０４は、コンピュータネットワーク１３０を介して相互に情報交換を行っている。

例えば、ＰＫＧのための鍵生成コンポーネントを実装するコンピュータシステム１０４は、秘密鍵を、別のシステム１０４で実装された署名コンポーネント対し、ネットワーク１３０を介して送ることができる。

署名は、検証コンポーネントを実装するコンピュータシステム１０４に対して、ネットワーク１３０を介して送られ得る。

ネットワーク１３０は、ＬＡＮ（ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）、ＷＡＮ（ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）を含むネットワーク、及び、例えば、携帯電話ネットワークや、公知の又はこれから発明される他のタイプのネットワークを含むネットワークの組み合わせを含んでいてもよい。

１つ以上のシステム１０４を使って実装することができる秘密鍵生成コンポーネントは、入力としてアイデンティティ文字列及び秘密鍵を取る、つまり、秘密のアイデンティティに基づく署名鍵を出力する。

上記のアイデンティティに基づくアグリゲート署名スキームにおいて、各アイデンティティに基づく秘密鍵は、１つ以上のポイント（例えば、単一の署名者に、同じ値ｗを有するｋ−１個の署名を生成させるｓＰ_ｉ，０及びとｓＰ_ｉ，１の２ポイント、又は、（より一般的には）ｋ）からなる。

一方、ペアリングを使用する（Ｃｒｙｐｔｏ２００１会議で説明された）Ｂｏｎｅｈ−Ｆｒａｎｋｌｉｎのアイデンティティに基づく暗号スキームのような従来型のアイデンティティに基づくスキームにおいては、アイデンティティに基づく秘密鍵は、１ポイントだけからなる（例えば、ｓＰ_ｉであり、Ｐ_ｉ＝Ｈ_１（ＩＤ_ｉ）である）。

この秘密鍵生成方法は、現状では、アイデンティティに基づくアグリゲート署名の上述した好ましい実施形態に対して一意的であり、安全性の立証において重要である。

この方法は、アイデンティティに基づくアグリゲート署名スキームを可能にするアイデンティティに基づく秘密鍵の生成方法であり、最近になってようやく知られるようになった方法である。

署名コンポーネントは、入力として、アイデンティティに基づく秘密鍵ｓＫ_ｉ、文書Ｄ_ｉ、及び、

に対して、アイデンティティに基づくアグリゲート署名σ_ｉ−１を取る。

つまり、

にアイデンティティに基づくアグリゲート署名σ_ｉを出力する。

署名アルゴリズムが、単に個別のアイデンティティに基づく署名を出力する場合に、

が、空集合であってもよい。

上述した好ましい実施形態においては、第１の署名者に続く署名者達は、それ自体のアイデンティティに基づく署名を構成する前に、どのｗの値を使わなければならないのかを知るだけでよい。

つまり、Ｓ’_ｉ及びＴ’_ｉに対する前の署名者の値を知る必要がなく、また、これらの値のアグリゲーションを知る必要もない。

これは、アイデンティティに基づく署名をまず始めに生成し、必要であれば、後で集約することを可能にするアイデンティティに基づく署名の生成方法であり、最近になってようやく知られるようになった方法である。

例えば、(アグリゲーションコンポーネント及び署名コンポーネントが、相異なるシステム１０４に実装されている場合)、この署名コンポーネントは、出力を、アグリゲーションコンポーネントシステム１０４に対して、ネットワーク１３０を介して直接送信する。

アグリゲーションコンポーネントは、個別のアイデンティティに基づく署名、又は、アイデンティティに基づくアグリゲート署名を含んでもよい（1より大きい基数の）集合を、入力として取る。

この集合の数が、互換性を有していれば、（例えば、上述したスキームにおいて、これらの署名が同じ値ｗを使用するならば）、アグリゲーションコンポーネントは、集合中の署名を単一の署名に集約する。

検証コンポーネントは、誰が何を署名したかの記述ｋを、アイデンティティに基づくアグリゲート署名Ｓ、及び、１つ以上のＰＫＧの公開鍵と共に、入力として取る。

つまり、アイデンティティに基づくアグリゲート署名は、示された署名者の各々が、それぞれの文書に実際に署名したということを、暗号論的に「立証する」のかどうかを示す（例えば、「０」又は、「１」）ビットを出力する。

＜５．上述した好ましい実施形態の安全性＞
スキームの安全性を様式的に立証する前に、アルゴリズムＢが、我々のアイデンティティに基づくアグリゲート署名を破るアルゴリズムＡと相互作用することによって、如何にして計算処理的なＤｉｆｆｉｅ−Ｈｅｌｌｍａｎの問題を解決できるのか、すなわち、如何にしてＰ、ｓＰ、Ｐ’から、ｓＰ’を計算処理することができるのかについて直感的に分かるものを提供する。

相互作用の間、Ｂは、Ａのクエリに正しく応答するか、中断しなければならない。Ａは、幾つかのタイプのクエリを生成することができる。

（１．Ｈ_１と抽出クエリ）
Ａは、アイデンティティＩＤ_ｉに対応するｊ∈｛０，１｝に対して、アイデンティティに基づく秘密鍵Ｐ_ｉ，ｊを要求することができる。

Ｂは、このようなクエリを、Ｈ_１オラクルの制御を通して取り扱うことができる。

特に、Ｂは、通常、ｂ_ｉ，ｊ＝ｌｏｇ_ｐＰ_ｉ，ｊを識別し、そして、ｓＰ_ｉ，ｊ＝ｂ_ｉ，ｊｓＰを計算することができるように、Ｐ_ｉ，ｊを生成する。

しかしながら、Ｂは、時々、Ｐ_ｉ，ｊ＝ｂ_ｉ，ｊＰ＋ｂ’_ｉ，ｊＰ’を設定する。この場合、Ｂは、ＩＤ_ｉの抽出クエリに応答することができない。

しかしながら、Ａが、対象アイデンティティとして、ＩＤ_ｉ後で選択すれば、Ａの偽造は、Ｂが、計算処理的なＤｉｆｆｉｅ−Ｈｅｌｌｍａｎの問題を解決するために役立つ。

（２．Ｈ_２クエリ）
Ｈ_２オラクルの制御を通して、Ｂは、通常、ｄ_ｗ＝ｌｏｇ_Ｐ’Ｐ_ｗを認識するようにＰ_ｗを生成する。しかし、その代わりに、時々、ｃ_ｗ＝ｌｏｇ_ＰＰ_ｗを認識するようにＰ_ｗを生成する。

（３．Ｈ_３と署名クエリ）
ＩＤ_ｉに対応する秘密鍵を抽出することさえできない場合、ＢのＨ_２及びＨ_３オラクルに対する制御は、Ｂが、タプル（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）の署名クエリに対して応答するのに役立っている。

そのような状況で、Ｂは、どのようにして、Ｐ_ｉ，０、Ｐ_ｉ，１、Ｐ_ｗｋ、ｄ_{ｉ，ｊ，ｋ}＝Ｈ_３（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）、Ｓ’＝ｒＰ_ｗｋ＋ｓＰ_ｉ，０＋ｄ_ｉｊｋｓＰ_ｉ，１及びＴ’_ｉ＝ｒＰの有効かつ無矛盾の値を生成することができるのか。

特に、Ｂが、ｓＰ’を知っていることを要求しそうなＳ’_iを、どのようにして生成できるのか。

Ｂが、ｌｏｇ_Ｐ’Ｐ_ｗを知っていれば、ｒ’ｓＰ_ｗが最後の２つの項から来る複数のｓＰ’を「無効にする」ように、ｒ’の値を計算することができる。

そして、Ｂは、Ｔ’_ｉを、ｒ’ｓＰと設定する。Ｂが、ｌｏｇ_Ｐ’Ｐ_ｗを知らなくても、Ｂが使えるトリックがもう１つある。つまり、Ｂは、時々、ｄ_ｉｊｋを、最後の２つの項における複数のｓＰ’を無効にするＺ/ｑＺにおいて一意的な値に設定する。

この場合、Ｂは、有効な署名を生成することができる。与えられたＩＤ_ｉに対して、この一意的な値が、一旦、明らかにされてしまうと、このトリックを再び使用することはできない（そうでなければ、シミュレーションが、Ａにとって説得力のあるものにならない）。

Ｂが、幸運であれば、そのシミュレーションは、中断されず、Ａは、ｌｏｇ_ＰＰ_ｉ，ｊを知らないが、ｌｏｇ_Ｐ’Ｐ_ｗは知っているタプル（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関して、偽造を生成する。

ここで、ｄ_ｉｊｋは、上記のトリックを使っては選択されていない。この場合、Ａの偽造は、極めて高い確率で値ｓＰ’をＢに与える。

以下の定理によって、我々のアイデンティティに基づくアグリゲート署名スキームは安全である。

（定理１）
Ａを、

が、アイデンティティに基づくアグリゲート署名スキームを破るＩＤＡｇｇＳｉｇ−ＣＭＡ競争相手とする。

そして、少なくとも

の確率を以って、時間Ｏ（ｔ）で、ＣＤＨ_Ｇ１を解くアルゴリズムＢが存在する。

（証明）
ゲームは、群Ｇ_１及びＧ_２と許可ペアリング

を取得するために、挑戦者がＰＧを作動させることによって始まる。挑戦者は、

を生成し、

を、Ｂに送信する。Ｂは、以下のように、Ａと相互作用しながら、ＳＰ’∈Ｇ_１（ここで、Ｑ＝ｓＰ）の計算処理を試みる。

（設定）
Ｂは、Ａにシステムパラメータ

を与える。ここで、Ｈ_ｉは、Ｂによって制御されるランダムオラクルである。

（ハッシュクエリ）
Ａは、いつでも、Ｈ_１クエリ、Ｈ_２クエリ、Ｈ_３クエリを作ることができる。Ｂは、整合性のために、以前のハッシュクエリ応答に関する一覧を維持しながら、同一のクエリに同一の応答を与える。

また、Ｂは、Ｈ_３シミュレーションのある特別なケースに対処するＨ_３の一覧２も維持している。Ｂは、（ＩＤ_ｉ，ｊ）に関するＡのＨ_１クエリに、以下の通り応答する。

ｊ∈｛０，１｝に対する（ＩＤ_ｉ，ｊ）についてのＡのＨ_１クエリに対して、
１．ＩＤ_ｉが、前のＨ_１クエリにあった場合、Ｂは、Ｈ_１一覧から、（ｂ_ｉ０，ｂ’_ｉ０，ｂ_ｉ１，ｂ’_ｉ１）を回復する。

２．その他、Ｂは、後で決定されるδ_１に対して、Ｐｒ［Ｈ_１−ｃｏｉｎ_ｉ＝０］＝δ_１となるように、ランダムなＨ_１−ｃｏｉｎ_ｉ∈｛０，１｝を生成する。

Ｈ_１−ｃｏｉｎ_ｉであれば、Ｂは、ランダムなｂ_ｉ０，ｂ_ｉ１，∈Ｚ/ｑＺを生成し、ｂ’_ｉ０＝ｂ’_ｉ１＝０を設定する。

その他、Ｂは、ランダムなｂ_ｉ０，ｂ’_ｉ０，ｂ_ｉ１，ｂ’_ｉ１∈Ｚ/ｑＺを生成する。Ｂは、Ｈ_１の一覧の中の（ＩＤ_ｉ，Ｈ_１−ｃｏｉｎ，ｂ_ｉ０，ｂ’_ｉ０，ｂ_ｉ１，ｂ’_ｉ１）にログインする。

３．Ｂは、Ｈ_１（ＩＤ_ｉ，ｊ）＝Ｐ_ｉｊ＝ｂ_ｉｊＰ＋ｂ’_ｉｊＰ’ Ｈ_１（ＩＤ_ｉ，ｊ）＝Ｐ_ｉｊ＝ｂ_ｉｊＰ＋ｂ’_ｉｊＰ’で応答する。

ｗ_ｋについてのＡのＨ_２クエリに対して、
１．ｗ_ｋが、前のＨ_２クエリにあった場合、Ｂは、Ｈ_２一覧からｃ_ｋを回復する。

２．その他、後で決定するδ_２に対して、Ｐｒ［Ｈ_１−ｃｏｉｎ_ｉ＝０］＝δ_２となるように、Ｂは、ランダムなＨ_２−ｃｏｉｎ_ｉ∈｛０，１｝を生成し、ランダムなｃ_ｋ∈（Ｚ/ｑＺ）^＊を生成する。Ｂは、Ｈ_２一覧の中の（ｗ_ｋ，Ｈ_２−ｃｏｉｎ_ｋ）にログインする。

３．Ｈ_１−ｃｏｉｎ_ｋ＝０であれば、Ｂは、Ｈ_２（ｗ_ｋ）＝Ｐ_ｗｋ＝ｃ_ｋＰ’で応答するか、Ｈ_２（ｗ_ｋ）＝Ｐ_ｗｋ＝ｃ_ｋＰで応答する。

（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）についてのＡのＨ_３クエリに対して、
１．（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）が、前のＨ_３クエリにあった場合、Ｂは、Ｈ_３一覧からｄ_ｉｊｋを回復する。

２．その他、Ｂは、（ＩＤ_ｉ，０）についてのＨ_１クエリを作動させ、Ｈ_３一覧からｂ’_ｉ０及びｂ’_ｉ１を回復する。Ｂは、後で決定するδ_３に対して、Ｐｒ［Ｈ_３−ｃｏｉｎ_ｉｊｋ＝０］＝δ_３であるように、ランダムなＨ_３−ｃｏｉｎ_いｊｋ∈｛０，１｝を生成する。

（ａ） Ｈ_１−ｃｏｉｎ_ｉ＝１、Ｈ_２−ｃｏｉｎ_ｋ＝１、Ｈ_３−ｃｏｉｎ_ｉｊｋ＝０であれば、Ｂは、Ｈ_３一覧２が、

を有するタプル

を含むかどうかを確認する。含む場合、Ｂは中断する。含まない場合、Ｈ_３一覧２に（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）を置き、

を設定する。

（ｂ） Ｈ_１−ｃｏｉｎ_ｉ＝０、Ｈ_２−ｃｏｉｎ_ｋ＝０、Ｈ_３−ｃｏｉｎ_ｉｊｋ＝１である場合、Ｂは、ランダムなｄｉｊｋ∈（Ｚ＝ｑＺ）^＊を生成する。

（ｃ） Ｂは、Ｈ_３一覧の中の（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ，Ｈ_３−ｃｏｉｎ_ｉｊｋ，ｄ_ｉｊｋ）にログインする。

３．Ｂは、Ｈ_３（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）＝ｄ_ｉｊｋで応答する。

（抽出クエリ）
Ａが、ＩＤ_ｉに対応する秘密鍵を要求すると、Ｂは、（Ｈ_１−ｃｏｉｎ_ｉ，ｂ_ｉ０，ｂ’_ｉ０）を回復する。

Ｈ_１−ｃｏｉｎ_ｉ＝０の場合、Ｂは、（ｓＰ_ｉ，０，ｓＰ_ｉ，１）＝（ｂ_ｉ０Ｑ，ｂ_ｉ１Ｑ）で応答する。Ｈ_１−ｃｏｉｎ_ｉ＝１の場合、Ｂは、中断する。

（署名クエリ）
Ａが、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）における（新規の）署名を要求すると、Ｂは、まず、Ａが、前にｗ_ｋにおけるＩＤ_ｉによって署名を要求していなかったことを確認する（要求していた場合、それは、不適当なクエリである）。そして、Ｂは、以下のように続ける。

１． Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝Ｈ_１−ｃｏｉｎ_ｉｊｋ＝１であれば、Ｂは、中断する。

２． Ｈ_１−ｃｏｉｎ_ｉ＝０であれば、Ｂは、ランダムなｒ∈Ｚ/ｑＺを生成し、署名（ｗ_ｋ，Ｓ’_ｉ，Ｔ’_ｉ）を出力する。ここで、

である。

３． Ｈ_１−ｃｏｉｎ_ｉ＝１及びＨ_２−ｃｏｉｎ_ｋ＝０の場合、Ｂは、ランダムなｒ∈Ｚ/ｑＺを生成し、署名（ｗ_ｋ，Ｓ’_ｉ，Ｔ’_ｉ）を出力する。ここで、

である。

４． Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝１及びＨ_３−ｃｏｉｎ_ｉｊｋ＝０の場合、Ｂは、ランダムなｒ∈Ｚ/ｑＺを生成し、署名（ｗ_ｋ，Ｓ’_ｉ，Ｔ’_ｉ）を出力する。ここで、

である。

以下、シミュレーションの様々な側面について分析する。分析では、Ａが、重複クエリを作らず、Ａに関する署名クエリを作る前に、タプル（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関するＨ_３クエリを作らなくてはならないと仮定する。

Ｅは、Ｂが、シミュレーションにおける特定のポイントに対して、これ迄に作成してきた抽出クエリ応答の集合を表すものとする。

同様に、Ｓが、署名クエリ応答の集合であるとし、Ｈ_ｉが、ｉ∈｛１，２，３｝に対するＨ_ｉクエリ応答の集合であるとする。

Ｅ_{１，＊，＊}を、Ｈ_１−ｃｏｉｎ_ｉ＝１の事象であるとする。ここで、「＊」は、Ｈ_２−ｃｏｉｎ_ｋ及びＨ_３−ｃｏｉｎ_ｉｊｋが、それぞれ、０又は１であってもよいことを意味する。Ｅ_{１，１，＊}、Ｅ_{１，１，１}、Ｅ_{１，１，０}は、明らかな方法によって対応する事象を表す。

（完璧なシミュレーション）
我々が主張するものは、Ｂが、中断しなければ、Ａの概念は、「本物の」攻撃におけるものと同じであるということである。

「本物の」攻撃においては、ハッシュ関数Ｈ_ｉのそれぞれが、ランダム関数のように振る舞う。

そして、Ｐ_ｉ，ｊ＝Ｈ_１（ＩＤ_ｉ，ｊ）、Ｐ_ｗｋ＝Ｈ_２（ｗ_ｋ）、ｄ_ｉｊｋ＝Ｈ_３（ＩＤ_ｉ，ｊ，Ｍ_ｊ，ｗ_ｋ）の値が与えられている場合、署名は、集合

から一様に選択される。

同様に、シミュレーションでは、署名は、Ｐ_ｉ，ｊ＝Ｈ_１（ＩＤ_ｉ，ｊ）、Ｐ_ｗｋ＝Ｈ_２（ｗ_ｋ）、ｄ_ｉｊｋ＝Ｈ_３（ＩＤ_ｉ，ｊ，Ｍ_ｊ，ｗ_ｋ）の値が与えられている場合、集合

から一様に選択される。

また、Ｈ_ｉは、ランダム関数のように振る舞う。すなわち、１対１であり、出力は、一様な分布で選択される。

唯一、このことが明らかでないのは、Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝１及びＨ_３−ｃｏｉｎ_ｉｊｋ＝０の場合である。

この場合、Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝１及びＨ_３−ｃｏｉｎ_ｉｊｋ＝０（この場合、Ｂは中断する）に対する

に関して、Ａが、Ｈ_３クエリを未だ作っていなければ、Ｂは、（Ｈ_３の出力を一様にランダムに選択するよりも）、Ｈ_３（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）を

に設定する。

しかしながら、

の値は、それ自体一様にランダムである。

より具体的には、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関するＨ_３クエリ迄の、つまり、Ｅ、Ｓ、｛Ｈ_ｉ｝の集合迄のＡのビューが与えられているとすると、Ｂが、中断しない限りは、全てのｃ∈Ｚ/ｑＺに対して、

を有する。

最も驚くことには、Ｈ_１（ＩＤ_ｉ）＝ｂ_ｉｊＰ＋ｂ’_ｉｊＰ’であっても、値

は、ＩＤ_ｉに関するＨ_１クエリ応答からは独立である。

なぜならば、Ｈ_１（ＩＤ_ｉ，０）＝ｂ_ｉ０Ｐ＋ｂ’_ｉ０Ｐ’が与えられている場合、

を有するペア（ｂ_ｉ０，ｂ’_ｉ０）は、同等にあり得るからである。

なお、Ｈ_３（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）の値も、ＩＤ_ｉの以外のアイデンティティに関するＨ_１クエリ、全ての抽出クエリ応答（これらは、完全に、Ｈ_１クエリ応答に従属であるため）、全てのＨ_２クエリ、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）以外のタプルに関する全てのＨ_３クエリ（ここでも、Ｂは、中断しないと仮定する）、及び、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）以外のタプルに関する全ての署名クエリから独立であることを明らかにしなければならない。

（Ｂが中断しない確率）
Ｂは、３つの状況において中断する。

Ａが、Ｈ_１−ｃｏｉｎ_１＝１に対して、ＩＤ_１に関する抽出クエリを作成する。

Ａが、Ｈ_１−ｃｏｉｎ_１＝Ｈ_２−ｃｏｉｎ_ｋ＝Ｈ_３−ｃｏｉｎ_ｉｊｋ＝１
に対して、タプル（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関する署名クエリを作成する。

Ａが、Ｈ_１−ｃｏｉｎ_１＝１、Ｈ_２−ｃｏｉｎ_ｋ＝Ｈ_２−ｃｏｉｎ_ｋ’＝１、及び、Ｈ_３−ｃｏｉｎ_ｉｊｋ＝Ｈ_３−ｃｏｉｎ_{ｉｊ’ｋ’}＝０に対して、２つのＨ_３クエリタプル（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）及び（ＩＤ_ｉ，Ｍ_ｊ’，ｗ_ｋ’）を作成する。

以下に、これら３つの状況のそれぞれの確率を分析する。

まず、シミュレーションにおいて所与のポイントにおいて、ＩＤ_ｉに関する抽出クエリが、Ｂに中断させる、すなわち、Ｐｒ［Ｅ_{１，＊，＊}｜Ｅ，Ｓ，Ｈ_１，Ｈ_２，Ｈ_３］である確率を考えてみる。ここで、それぞれのコインの確率（δ_１，δ_２，δ_３）は、陰関数的である。ベイズの公式から、

を得る。

我々が主張するものは、Ｐｒ［Ｅ_{１，＊，＊}｜Ｅ，Ｓ，Ｈ_１，Ｈ_２，Ｈ_３］は、せいぜいＰｒ［Ｅ_{１，＊，＊}］＝１−δ_１であるという結論を導く

である。

シミュレーションにおいて、Ｈ_２の計算処理は、全てのＨ_１コインの値からは完全に独立である。

Ｈ_１（ＩＤ_ｉ）の出力は、Ｈ_１コインの値に関係なく、一様にランダムであるため、Ｈ_１出力も、Ｈ_１コインからは独立である。さらには、ＩＤ_ｉに関連する抽出クエリＥが無いので、Ｅも、Ｅ_{１，＊，＊}からは独立である。

最後に、全ての署名クエリ応答、又は、ＩＤ_ｉ以外のアイデンティティに関連する全てのＨ_３クエリ応答は、Ｅ_{１，＊，＊}からは独立である。

よって、上述した我々の主張は、Ｐｒ［Ｓ_ｉ，Ｈ_３，ｉ｜Ｅ_{１，＊，＊}］≦Ｐｒ［Ｓ_ｉ，Ｈ_３，ｉ］であるという主張と同等である。ここで、Ｓ_ｉ及びＨ_３，ｉは、ＩＤ_ｉに関するＳ及びＨ_３の部分集合を表す。

しかしながら、Ｈ_１−ｃｏｉｎ_１＝０である時、署名クエリ、又は、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関するＨ_３クエリの間に、Ｂは、決して中断しない、つまり、Ｂは、Ｈ_１−ｃｏｉｎ_１＝１の時、（時々）中断するだけであるから、この主張は、明らかに真である。

よって、Ａが、せいぜいｑ_Ｅ個の抽出クエリを作成することが許されていれば、抽出クエリ中に、Ｂが中断しない確率は、少なくとも

である。

第３の状況を考えるにあたって、Ａが、Ａに関する署名クエリを実行する前に、タプルに関するＨ_３クエリを実行しなければならないと仮定する。

第１の状況と同様に、我々は、Ｐｒ［Ｅ_{１，１，０}｜Ｅ，Ｓ，Ｈ_１，Ｈ_２，Ｈ_３］が、せいぜいＰｒ［Ｅ_{１，１，０}］＝（１−δ_１）（１−δ_２）δ_３であることを意味する

であることを主張する。

上述した理由と同様に、Ｈ_１応答、及び、Ｈ_２応答は、コイン値からは独立であり、ＩＤ_ｉに関係しない抽出応答は、Ｅ_{１，１，０}からは独立であり、Ｂが、ＩＤ_ｉに関連する抽出クエリに対して首尾よく応答できる確率は、０である。

さらに、（（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関連する先行する署名クエリの確率を除外しているので）、Ｓ及びＨ_３における全てのものが、Ｈ_３−ｃｏｉｎ_ｉｊｋ＝０からは独立であり、任意の署名クエリ、又は、ＩＤ_ｉ及びｗ_ｋも含まないＨ_３クエリは、Ｅ_{１，１，０}からは独立である。

よって、上述した我々の主張は、

であるという主張と同等である。

ここで、Ｓ_ｉＶｋ及びＨ_{３，ｉＶｋ}は、ＩＤ_ｉ又はｗ_ｋを含むＳ及びＨ_３の部分集合である。

しかし、Ｈ_１−ｃｏｉｎ_ｉ＝１又はＨ_２−ｃｏｉｎ_ｋ＝１が、アプリオリ（ａ ｐｒｉｏｒｉ）である時、署名クエリ、又は、（ＩＤ_ｉ’，Ｍ_ｊ’，ｗ_ｋ’）に関するＨ_３クエリの間に、Ｂが中断する確率は高いので、この主張もまた、明らかに真である。

第３の状況の確率を制限するために、任意のＩＤ_ｉに対応するＨ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝１及びＨ_３−ｃｏｉｎ_ｉｊｋ＝０の２つ以上の発生がない確率を計算処理する。

とする。（Ｂが中断しなければ）、Ａは、ＩＤ_ｉを含む

クエリを作るものとする。

Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝１及びＨ_３−ｃｏｉｎ_ｉｊｋ＝０の発生がゼロである確率は、少なくとも

である。また、一つが発生する確率は、少なくとも

である。これら２つの確率の和は、

である。

よって、Ｂが、いかなるＨ_３クエリにおいて中断しない確率は、すくなくとも

である。この確率は、少なくとも

である。ここで、

は、Ｈ_３クエリの総数である。

最後に、我々は、Ｂが、署名クエリ中に中断しない確率の境界を下げる。上述した分析で、全てのクエリ応答が、Ｅ_{１，１，０}の条件付き確率を下げた（Ｅ_{１，１，０}の条件付き確率に影響を与えなかった）だけであることを、我々は見出した。

ここで、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関するＨ_３クエリという１つのクエリのタイプを除いて、状況は同じである。

Ｂが、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関するＨ_３クエリに首尾よく応答すれば、Ｂは、Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝１及びＨ_３−ｃｏｉｎ_ｉｊｋ＝０である確率を減らし、それに対応して他の全てのコインの組み合わせの条件付き確率を高める。

しかしながら、Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝１及びＨ_３−ｃｏｉｎ_ｉｊｋ＝０というケースではないことが確かであっても、このことは、確かに、Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝Ｈ_３−ｃｏｉｎ_ｉｊｋ＝１の条件付き確率を

の割合だけ増加させる。

その結果、任意の単一の署名クエリ中に、Ｂが中断しない確率は、少なくとも、

である。

ｑ_Ｓ個の署名クエリまでの何れかの間に、Ａが中断しない確率は、少なくとも、

である。

全体で、Ｂが中断しない確率は、少なくとも、

である。

（Ｂが中断しない場合のＢの成功率）
Ａが、Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝Ｈ_３−ｃｏｉｎ_ｉｊｋ＝１に対して、タプル（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）に関する有効な署名偽造を生成し、

である場合には、Ｂは、成功、すなわち、（計算処理によるＤｉｆｆｉｅ−Ｈｅｌｌｍａｎの実現値を解く）ｓＰ’を計算処理することができる。

この場合、Ａの偽造は、形式（Ｓ_ｌ，Ｔ_ｌ）を有する。ここで、

であり、ｃ_ｉ’＝Ｈ_３（ＩＤ_ｉ’，Ｍ_ｊ’，ｗ_ｋ）を、アイデンティティＩＤ_ｉを有するエンティティによって「署名された」タプルのハッシュとする。Ｈ_２−ｃｏｉｎ_ｋ＝１であるので、Ｂは、Pに対するＰ_ｗｋの離散対数ｃ_ｋを知っている。よって、Ｂは、

を計算することができる。

署名されたタプルのうち少なくとも１つに対してＨ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝１であれば、

である確率は、１−１/ｑであり、

であれば、Ｂは、上述の式からｓＰ’を容易に引き出すことができる。

Ｐｒ［Ｅ_{１，１，１}｜Ｅ，Ｓ，Ｈ_１，Ｈ_２，Ｈ_３］に関する下限を計算することが残っている。

上述の理由と同様に、この確率は、Ｈ_１及びＨ_２から独立である。この確率は、ＩＤ_ｉ’≠ＩＤ_ｉに関する全ての抽出クエリからも独立であり、Ａは、対象アイデンティティＩＤ_ｉに関する抽出クエリを作ることが許されていない。よって、

である。ベイズの公式から、

を得る。

Ｐｒ［Ｓ，Ｈ_３｜Ｅ_{１，１，１}］/Ｐｒ［Ｓ，Ｈ_３］の値は、Ｂが、Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_２−ｃｏｉｎ_ｋ＝Ｈ_３−ｃｏｉｎ_ｉｊｋ＝１であるというアプリオリ知識無しのクエリ

の集合の間にＢが中断しない確率に対する、アプリオリ知識を与えられた

の間にＢが中断しない確率に等しい。この比率は、少なくとも、前者の確率に等しい。この確率については、後で分析する。

我々は、Ｐｒ［Ｅ_{１，１，１}｜Ｓ，Ｈ_３］に関する下限、つまり、どの署名クエリ及びＨ_３クエリが、Ｂの中断の確率を最大化させるのかについて見出したいと考えている。

Ｈ_３クエリに関しては、Ａが、署名クエリを作るための全てのタプルに関するＨ_３クエリを作成すると仮定する。

これらを除いては、Ｂが中断する確率は、ｊ’≠ｊに対する（ＩＤ_ｉ，Ｍ_ｊ’，ｗ_ｋ）のクエリによって最大化されている。署名クエリに関しては、Ａは、勿論、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）の署名クエリを実行できない。

しかしながら、Ａは、ＩＤ_ｉ及びｗ_ｋ、つまり、（ＩＤ_ｉ，Ｍ_ｊ，ｗ_ｋ）を含む（少なくとも）１つの署名クエリを実行することはできる。

Ｂが中断する確率を最大化するために、署名クエリの残りは、ＩＤ_ｉ又はｗ_ｋのどちらかを含まなければならない。

（ＩＤ_ｉ，Ｍ_ｊ’’，ｗ_ｋ）の署名及びハッシュクエリの間に中断するのを避けるために、Ｈ_３−ｃｏｉｎ_ｉｊｋ＝０でなければならない。

よって、Ａがクエリを作成する他の任意のタプルに対して、Ｈ_３−ｃｏｉｎ_{ｉｊ’’ｋ}＝０であれば、Ｂは中断する。結果として、Ｂがこれらのクエリの間に中断しない確率は、

である。

他のクエリの間の中断の確率は、署名クエリが、ＩＤ_ｉ又はｗ_ｋを含むかどうかによる。

ＩＤ_ｉに関する更なるハッシュ及び署名クエリに関して、Ｈ_２−ｃｏｉｎ_ｋ＝１であれば、Ｂは中断する。その結果、Ｂがそのようなクエリの間に中断しない確率は、δ_２である。

ｗ_ｋは含むがＩＤ_ｉを含まないハッシュ及び署名クエリペアに関しては、Ｂは、Ｈ_１−ｃｏｉｎ_ｉ＝Ｈ_３−ｃｏｉｎ_ｉｊｋ＝１である時だけ中断する。その結果、確率１−（１−δ_１）（１−δ_３）では中断しない。δ_４＝ｍｉｎ（δ_２，１−（１−δ_１）（１−δ_３））とする。

Ｂが中断しない全体の確率は、少なくとも

である。よって、

である。

（計算結果）
全体として、Ｂの成功の確率は、少なくともεの積である。Ｂが中断しない確率における下限は、

であり、Ａが偽造を生成する場合に、Ｂが成功する確率における下限は、

である。

この成功の確率の境界を下げるために、（δ_１，δ_２，δ_３）の値を選択する。特に、

に対して、

のそれぞれが少なくとも２であると仮定すると、この積が、少なくとも、

であることが得られる。

（６．多重署名スキーム）
上述したように、アイデンティティに基づく多重署名スキームは、本質的に、相異なる署名者が同じメッセージに署名する（縮退した）アイデンティティに基づくアグリゲート署名スキームである。

その結果、アイデンティティに基づく多重署名スキームは、アイデンティティに基づくアグリゲート署名スキームよりも自由度が低いことを要求するので、アイデンティティに基づくアグリゲート署名の好ましい実施形態よりも、より良い性能的特徴及びより良い安全性特徴を有するアイデンティティに基づく多重署名スキームを実現することができる。

ここで、アイデンティティに基づく多重署名スキームの好ましい実施形態を説明する。

（設定）
秘密鍵ジェネレータ（ＰＫＧ）は、本質的には、前のペアリングに基づいたスキームと同じように、パラメータ及び鍵を生成する。具体的には、
１． ある素数位数ｑの群Ｇ_１及びＧ_２、及び、双線型非縮退ペアリング

を生成する（これは、許可ペアリングであってもよく、幾つかの実施形態においては、ｑ＞３であり、他の実施形態においては、Ｇ_１は、楕円曲線群、又は、他のタイプの群であり、ｑ＞２_１６０である）。

２． 任意のジェネレータＰ∈Ｇ_１を選択する。

３． ｓ∈Ｚ/ｑＺを取り、Ｑ＝ｓＰを設定する。

４． 暗号論的ハッシュ関数Ｈ_１，Ｈ_２：｛０，１｝^＊→Ｇ_１を選択する。

ＰＫＧの公開鍵は、

である。根ＰＫＧの秘密は、ｓ∈Ｚ/ｑＺである。

（秘密鍵生成）
アイデンティティＩＤ_ｉを有するクライアントは、ＰＫＧからｓＰ_ｉの値を受け取る。ここで、Ｐ_ｉ＝Ｈ_１（ＩＤ_ｉ）∈Ｇ_１である。

（個別の署名）
Ｄを署名するために、アイデンティティＩＤ_ｉを有する署名者は、１． Ｐ_Ｄ＝Ｈ_２（Ｄ）∈Ｇ_１を計算する
２． ランダムなｒ_ｉ∈Ｚ/ｑＺを生成する。

３． 署名（Ｓ’_ｉ，Ｔ’_ｉ）を計算する。ここで、Ｓ’_ｉ＝ｒ_ｉＰ_Ｄ＋ｓＰ_ｉ及びＴ’_ｉ＝ｒ_ｉＰである。

（アグリゲーション）
誰もが、同じ文書Ｄに署名する個別の署名のコレクションを集約することができる。

例えば、１≦ｉ≦ｎに対する個別の署名（Ｓ’_ｉ，Ｔ’_ｉ）を、個別の署名（Ｓ_ｎ，Ｔ_ｎ）に集約することができる。ここで、

である。

アイデンティティに基づくアグリゲート署名スキームに関しては、同じ文書Ｄを使用する署名は、署名者が相異なる秘密鍵を有する相異なるＰＫＧを有する場合でも、ＰＫＧが同じパラメータ

を使用する限り、集約され得る。以下のセクション７を参照。

（検証）
（Ｓ_ｎ，Ｔ_ｎ）をアイデンティティに基づくアグリゲート署名とする（ここで、ｎは、署名者数である）。検証者は、

を確認する。ここで、上述したように、Ｐ_ｉ＝Ｈ_１（ＩＤ_ｉ）及びＰ_Ｄ＝Ｈ_２（Ｄ）である。

（７．複数のＰＫＧの拡張）
（７．１ アグリゲート署名）
上記セクション３で説明した、アイデンティティに基づくアグリゲート署名スキームは、署名者が、１つ以上のＰＫＧから署名者の秘密鍵を得られるように拡張することができる。

以下に、２つのＰＫＧを有するアイデンティティに基づくアグリゲート署名を説明する。２つのＰＫＧから、それ以上のＰＫＧへの拡張は、明らかである。

（設定）
ＰＫＧ１及びＰＫＧ２は共に、次のように、幾つかの同じパラメータを使用する。

１． ある素数位数ｑの群Ｇ_１及びＧ_２、及び、許可ペアリング

２． 任意のジェネレータＰ∈Ｇ_１
３． 暗号論的ハッシュ関数Ｈ_２：｛０，１｝→Ｇ_１
ＰＫＧ１は、ランダムなｓ_１∈ｚ/ｑＺを取り、Ｑ_１＝ｓ_１Ｐを設定する。同様に、ＰＫＧ２は、Ｓ_２及びＱ_２を生成する。

２つのＰＫＧが、Ｈ_１の代わりに使用するハッシュ関数は、同じでも異なってもよい。

以下の好適な実施形態において、ハッシュ関数は同じであると仮定するが、以下に明らかにするように、ＰＫＧ１が、この関数を使用する時は、Ｈ_１への入力としてＱ_１の値を含み、一方、ＰＫＧ２が、この関数を使用する時は、Ｈ_１への入力としてＱ_２の値を含むことによって、その出力が異なっていることを（高い確率で）保証する。

当業者であれば、同様な効果を有する異なった手法を、直ちに認識するであろう。

ＰＫＧ１の公開鍵は、

であり、一方、ＰＫＧ２の公開鍵は、Ｑ_１の代わりにＱ_２を使用する。秘密は、それぞれｓ_１及びｓ_２である。

（秘密鍵生成）
アイデンティティＩＤ_ｉを有する署名者が、ＰＫＧ１のクライアントであるとすると、署名者は、ＰＫＧ１から、ｊ∈｛０，１｝に対するｓ_１Ｐ_{１，ｉ，ｊ}の値を受け取る。ここで、Ｐ_{１，ｉ，ｊ}＝Ｈ_１（Ｑ_１，ＩＤ_ｉ，ｊ）∈Ｇ_１である。

署名者が、ＰＫＧ２のクライアントであるとすると、ｊ∈｛０，１｝に対するｓ_２Ｐ_{２，ｉ，ｊ}を受け取る。ここで、Ｐ_{２，ｉ，ｊ}＝Ｈ_１（Ｑ_２，ＩＤ_ｉ，ｊ）∈Ｇ_１である。

このスキームは、上述した注釈３Ｂのケース（ｋは、ｗのものを使用する）まで拡張することができる。

各秘密鍵は、上述したように生成することができるが、ｋ＋１ポイント、すなわち、ｊ∈｛０，ｋ｝を含んでいる。

（個別の署名）
第１の署名者は、前に自分が決して使用していない文字列ｗを選択する。それに続く各署名者は、第１の署名者によって選択された文字列ｗを自分が使用していないことを確認する（或いは、例えば、予め計画されたスケジュールによって署名を発行する場合、異なる署名者が、個別に同じｗに到達してもよい）。

Ｄ_ｉに署名するために、（ａ∈｛１，２｝に対して）、ＰＫＧ_ａのクライアントであるアイデンティティＩＤ_ｉを有する署名者は、
１． Ｐ_ｗ＝Ｈ_２（ｗ）∈Ｇ_１を計算する。

２． ｃ_ｉ＝Ｈ_２（Ｑ，Ｄ_ｉ，ＩＤ_ｉ，ｗ）∈Ｚ/ｑＺを計算する。

３． ランダムなｒ_ｉ∈Ｚ/ｑＺを生成する。

４． その署名（ｗ，Ｓ’_ｉ，Ｔ’_ｉ）を計算する。ここで、

である。

（アグリゲーション）
誰もが、同じ文字列ｗを使用する個別の署名のコレクションを集約することができる。例えば、１≦ｉ≦ｎに対して、個別の署名（ｗ，Ｓ’_ｉ，Ｔ’_ｉ）を、（ｗ，Ｓ_ｎ，Ｔ_ｎ）に集約することができる。ここで、

である。

（検証）
（ｗ，Ｓ_ｎ，Ｔ_ｎ）を、アイデンティティに基づくアグリゲート署名とする（ここで、ｎは、署名者数である）。

Ｉ_１を、ｉ番目の署名者が、ＰＫＧ２のクライアントである［１，ｎ］における指数ｉの集合とする。Ｉ_２を、ＰＫＧ２に対する指数の対応する（かつ、補足的な）集合とする。検証者は、

を確認する。

検証者は、ここでは、１つではなく、２つのＰＫＧの公開鍵を知る必要があることに留意されたい。

当業者であれば、この複数のＰＫＧのアイデンティティに基づくアグリゲート署名スキームにおけるＰＫＧが、上述したように、非階層的クライアント構造に対する秘密鍵生成を監視する独立したＰＫＧだけではなく、階層的なアイデンティティに基づく暗号システムにおいてレベルの低いＰＫＧであってもよいことに気がつくであろう。

また、複数ＰＫＧスキームは、上記セクション３、注釈３Ｂに説明したケースまで拡張することができる（倍数は、ｗのものを使用する）。

（注釈７．１Ａ）
ある単一ＰＫＧの実施形態及び複数のＰＫＧ実施形態において、Ｇ_２及び

は、検証のためだけに使用されており（上記等式（２）及び（４）を参照）、ＰＫＧによって生成される必要はない。それらは、検証者によって生成され得る。

複数ＰＫＧの場合、群Ｇ_２及びペアリング

が、ＰＫＧによって生成されているならば、相異なるＰＫＧは、相異なるペア

を生成することができる。

検証者は、署名の検証（４）のために、ペア

の何れかを選択するか、又は、等式（４）が相異なる（可能であれば全ての）ペア

に対しても成り立つかどうかを検証することによって署名を検証することができる。

（７．２ 多重署名）
上記セクション６において説明した多重署名スキームは、拡張され、署名者に１つ以上のＰＫＧから署名者の秘密鍵を得ることができるようにすることができる。

以下に、２つのＰＫＧを有する多重署名スキームを説明する。２つのＰＫＧから、それ以上のＰＫＧへの拡張は、明らかである。

（設定）
ＰＫＧ１及びＰＫＧ２は共に、次のように同じパラメータの多くを使用する。例えば、
１． ある素数位数ｑの群Ｇ_１及びＧ_２、及び、許可ペアリング

２． 任意のジェネレータＰ∈Ｇ_１
３． 暗号論的ハッシュ関数Ｈ_２：｛０，１｝→Ｇ_１
ＰＫＧ１は、ランダムなｓ_１∈Ｚ/ｑＺを取り、Ｑ_１＝ｓ_１Ｐを設定する。同様に、ＰＫＧ２は、ｓ_２及びＱ_２を生成する。

２つのＰＫＧが、Ｈ_１の代わりに使用するハッシュ関数は、同じでも異なってもよい。

下に説明する好適な実施形態では、我々は、ハッシュ関数が同じであると仮定するが、ＰＫＧ１が、この関数を使用する時は、Ｈ_１への入力としてＱ_１の値を含み、一方、ＰＫＧ２が、この関数を使用する時は、Ｈ_１への入力としてＱ_２の値を含むことによって、その出力が異なっていることを（高い確率で）保証する。

ＰＫＧ１の公開鍵は、

であり、一方、ＰＫＧ２の公開鍵は、Ｑ_１の代わりにＱ_２を使用する。これらの秘密は、それぞれｓ_１及びｓ_２である。

（秘密鍵生成）
アイデンティティＩＤ_ｉを有する署名者が、ＰＫＧ１のクライアントであるとすると、署名者は、ＰＫＧ１から、ｓ_１Ｐ_１，ｉの値を受け取る。ここで、Ｐ_１，ｉ＝Ｈ_１（Ｑ_１，ＩＤ_ｉ）∈Ｇ_１である。

署名者が、ＰＫＧ２のクライアントであるとすると、ｓ_２Ｐ_２，ｉを受け取る。ここで、Ｐ_２，ｉ＝Ｈ_１（Ｑ_２，ＩＤ_ｉ）∈Ｇ_１である。

（個別の署名）
Ｄに署名するために、（ａ∈｛１，２｝に対して）、ＰＫＧ_ａのクライアントであるアイデンティティＩＤ_ｉを有する署名者は、
１． Ｐ_Ｄ＝Ｈ_２（Ｄ）を計算する。

２． ランダムなｒ_ｉ∈Ｚ/ｑＺを生成する。

３． その署名（Ｓ’_ｉ，Ｔ’_ｉ）を計算する。ここで、Ｓ’_ｉ＝ｒ_ｉＰ_Ｄ＋ｓ_ａＰ_ａ，ｉ及びＴ’_ｉ＝ｒ_ｉＰである。

（アグリゲーション）
誰もが、同じ文書Ｄを使用する個別の署名のコレクションをアグリゲートすることができる。

例えば、１≦ｉ≦ｎに対する個別の署名（ｗ，Ｓ’_ｉ，Ｔ’_ｉ）を、（Ｓ_ｎ，Ｔ_ｎ）に集約することができる。ここで、

である。

（検証）
（Ｓ_ｎ，Ｔ_ｎ）をアイデンティティに基づくアグリゲート署名とする（ここで、ｎは、署名者数である）。

Ｉ_１を、ｉ番目の署名者が、ＰＫＧ２のクライアントである［１，ｎ］における指数ｉの集合とする。Ｉ_２を、ＰＫＧ２に対する指数の対応する（かつ、補足的な）集合とする。検証者は、

を確認する。

この複数ＰＫＧの多重署名スキームにおけるＰＫＧは、上述したように、非階層的クライアント構造に対する秘密鍵生成を監視する独立したＰＫＧだけではなく、階層的なアイデンティティに基づく暗号システムにおいてレベルの低いＰＫＧであってもよい。注釈７．１Ａは、多重署名に適用することができる。

（８．安全性が証明されていない決定論的なアイデンティティに基づくアグリゲート署名スキーム）
ここで、アグリゲート署名が決定論的である（すなわち、所与のＰＫＧ、アイデンティティの集合、文書の集合に対して一意的である）、アイデンティティに基づくアグリゲート署名スキームの他の実施形態について説明する。

本実施形態の欠点は、１つ前のものと比較して、このスキームに対しては、厳密な安全性の立証を見出すことができないことである。

（設定）
秘密鍵ジェネレータ（ＰＫＧ）は、適切なＲＳＡタイプのモジュラスｎを生成する。但し、例えば、ｎが、２つのランダムに選択された適当に大きな素数ｑ_０及びｑ_１の積であり、ｑ_０及びｑ_１のそれぞれは、ある実施形態において、少なくとも５１２ビットの長さを有する。

また、ＰＫＧは、ハッシュ関数Ｈ_１：｛０，１｝^＊→Ｚ/ｑＺ及びＨ_２：｛０，１｝^＊→｛０，１｝^ｋも生成する。但し、ｋは、適当に長い、例えば、１２８である。

また、ＰＫＧは、許可ペアリング

を有する位数ｎの群Ｇ_１及びＧ_２を生成する。ＰＫＧは、ジェネレータＰ∈Ｇ_１を選択する。

例えば、楕円曲線群の位数が、あるＬに対してｐ^Ｌ＋１であるように、素数ｐを法とする整数のフィールドＦ_ｐ上の超特異な楕円曲線を得ることは簡単なことである。

ｎ｜（ｐ^Ｌ＋１）ならば（すなわち、ｎがｐ^Ｌ＋１を割り切るのであれば）、位数ｎの部分集合が存在する。ＰＫＧの秘密は、ｑ_０及びｑ_１である。ＰＫＧの公開鍵は、（ｎ，Ｈ_１，Ｈ_２）である。

（秘密鍵生成）
アイデンティティＩＤ_ｉを有するクライアントは、ＰＫＧから、１≦ｊ≦ｋに対する秘密値ａ_ｉ，ｊ＝Ｈ_１（ＩＤ_ｉ，ｊ）^１/２（ｍｏｄ ｎ）を受け取る。明らかに、Ｚ/ｎＺにおける全ての数が平方剰余であるというわけではない。

しかしながら、これを処理する当技術分野において公知である標準的な技術がある。例えば、ｂ_ｉ，ｊ＝Ｈ_１（ＩＤ_ｉ，ｊ）^１/２（ｍｏｄ ｎ）とする。そうすれば、ｂ_ｉ，ｊ、２ｂ_ｉ，ｊ、−ｂ_ｉ，ｊ、−２ｂ_ｉ，ｊの１つが、ｎを法とする平方剰余である。

ｃ_ｉ，ｊｂ_ｉ，ｊが、平方剰余であるように、ｃ_ｉ，ｊを、数１、−１、２、−２のリストにおける１番目とする。そうすれば、ＰＫＧは、１≦ｊ≦ｋに対して、ａ_ｉ，ｊ＝［ｃ_ｉ，ｊＨ_１（ＩＤ_ｉ，ｊ）^１/２（ｍｏｄ ｎ）を設定する。

なお、誰もが、１≦ｊ≦ｋに対する「公開鍵」ｂ_ｉ，ｊ＝Ｈ_１（ＩＤ_ｉ，ｊ）^１/２（ｍｏｄ ｎ）を計算することができることに留意されたい。

（署名）
Ｓ_ｉ−１∈Ｇ_１を、文書（Ｄ_１，…，Ｄ_ｉ−１）の第１のｉ―１署名者によって生成されたアイデンティティに基づくアグリゲート署名とする（Ｓ_０＝_Ｐと設定する）。

Ｄ_ｉの署名を含むために、ｉ番目の署名者は、ｅ_ｉ＝Ｈ_２（Ｄ_ｉ）を計算する。ｅ_ｉ，ｊ＝（ｉ，ｊ）を、ｅ_ｉのｊ番目のビットとする。署名者は、

を計算する。

（検証）
ｍが、署名者数であるとすれば、

を確認する。ここで、

であり、ｅ_ｉ，ｊは、上述したように計算される。

検証者は、この検証を行うために複数のｃ_ｉ，ｊを必要とする。各ｃ_ｉ，ｊは、２ビットの数値である。

幾つかの実施形態において、署名者１（第１の署名者）は、その係数ｃ_１，ｊ（１≦ｊ≦ｋ）を、次の署名者２に提供する。

署名者２は、その係数ｃ_１，ｊ及びｃ_２，ｊ（１≦ｊ≦ｋ）を、署名者３に提供する。

これを繰り返す。最後の署名者は、係数ｃ_ｉ，ｊの全てを検証者に提供する。これらの係数は、全体の長さでせいぜい２ｍｋビット（２つのビット毎に、ｍｋ個の係数）である。

他の実施形態は、検証者が、積

だけを必要とするという観察に基づいている。

この実施形態において、署名者１は、積

を署名者２に提供する。

署名者２は、積

を次の署名者に提供する。

その後、このプロセスを繰り返す。最後の署名者は、積

を計算し、この積を検証者に提供する。

Ｃの大きさは、（各｜ｃ_ｉ，ｊ｜≦２であるので）、せいぜい２^ｍｋであり、２の累乗である。

その結果、Ｃの署名及び値ｌｏｇ_２｜Ｃ｜だけを検証者に提供する必要がある。この情報の大きさは、ｌｏｇ_２｜Ｃ｜≦ｍｋであるので、せいぜい２＋ｌｏｇ_２ｍｋビットである。

本発明は、上述した実施形態に限定されるものではない。特に、本発明は、特定の群Ｇ_１又はＧ_２の何れにも限定されるものではない。

幾つかの実施形態において、Ｇ_１又はＧ_２は、

（素数の冪ｐを法とする整数のガロア域Ｆ_ｐの単元群）、又は、

（素数の冪ｐの既約多項式を法とする多項式のガロア域

の単元群）であることが可能である。

幾つかの実施形態において、ｐ＝２である。幾つかの実施形態において、群Ｇ_１は、

、又は、Ｆ_ｐ、又は、他の領域の楕円曲線、又は、上述した領域の何れかのアーベルバラエティである。

公知のように、フィールドＦの楕円曲線は、次のものから構成される。

（１） ｘ及びｙがＦの中にあるペア（ｘ，ｙ）の集合
定義済み整数のａとｂに対して、ｆ（ｘ，ｙ）＝ｙ^２−ｘ^３−ａｘ−ｂ＝０である。

（２） 以下のように定義された群演算によって「無限大」でのポイントＯ
１．Ｏ＋Ｏ＝Ｏ
２．（ｘ，ｙ）＋Ｏ＝（ｘ，ｙ）
３．（ｘ，ｙ）＋（ｘ，−ｙ）＝Ｏ
４．ｘ_１≠ｘ_２のような任意の相異なる点（ｘ_１，ｙ_１）及び（ｘ_２，ｙ_２）に対して、その和（ｘ_３，ｙ_３）が、以下のように定義されている。

Ｌ＝（ｙ_２−ｙ_１）/（ｘ_２−ｘ_１）
ｘ_３＝Ｌ^２−ｘ_１−ｘ_２，
ｙ_３＝Ｌ（ｘ_１−ｘ_２）−ｙ_１
５．任意の点（ｘ_１，ｙ_１）に対して、その倍加（ｘ_１，ｙ_１）＋（ｘ_１，ｙ_１）＝（ｘ_２，ｙ_２）は、以下のように定義される。

例えば、共に、この参照により引用に含まれる、１９９９年７月１７日に公開されたＰＣＴ出願番号ＷＯ９９３０４５８、及び、２００４年８月１７日に発行された米国特許第６７７８６６６Ｂ１を参照されたい。

楕円曲線は、ｆ（ｘ，ｙ）の微分が、曲線のあるポイントで同時に零になれば、超特異と呼ばれる。この条件は、４ａ^３＋２７ｂ^２＝０と同等である。

幾つかの実施形態においては、超特異及び非超特異な楕円曲線の両方を、群Ｇ_１及びＧ_２に使用することができる。また、楕円曲線の多次元の一般化であるアーベルバラエティも使用することができる。

幾つかの実施形態において、双線型ペアリング

は、Ｗｅｉｌペアリング、又は、Ｔａｔｅペアリングである。

これらのペアリングは、Ｄａｎ Ｂｏｎｅｈ及びＭａｔｔｈｅｗ Ｆｒａｎｋｌｉｎ著のこの参照により引用に含まれる「Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ Ｐａｉｒｉｎｇ」（ＳＩＡＭＪ of Computing．３２巻、Ｎｏ．３、ｐｐ．５８６−６１５、２００３年）において定義されている。

本発明は、如何なる特定のハッシュ関数にも限定されない。ハッシュ関数に関して、衝突耐性を反転できないことが望ましいが、必須ではない。

適切な非制限的な例には、この参照により引用に含まれる「ＳＥＣＵＲＥ ＨＡＳＨ ＳＩＧＮＡＴＵＲＥ ＳＴＡＮＤＡＲＤ」（Ｆｅｄｅｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒｄ Ｐｕｂｌｉｃａｔｉｏｎ、２００２年8月1日、Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ、米国）に特定されているＳＨＡ−１、ＳＨＡ−２５６、ＳＨＡ−３８４、ＳＨＡ−５１２が含まれる。

本発明は、コルモゴロフ計算量の低い署名スキームにも、またアイデンティティに基づく署名スキームにも限定されない。

アイデンティティに基づくスキームにおいて、署名者のアイデンティティは、人間、法人、他の企業、又は、他のエンティティであってよい。

アイデンティティには、人又は企業の名前、通り、電子メールアドレス、電話番号、ウェブページアドレス、署名者によって提供されなくても検証者によって解明することができるその他の情報の全て又は一部を含むことができる。

上述したアルゴリズムにおいて、Ｚ/ｑＺ（例えば、ＰＫＧの秘密鍵ｓ）等の剰余類の要素は、単に整数として表すことができる。

それは、任意の整数、例えば、［１，ｑ−１］又は［２，ｑ−１］、或いは、［−（ｑ−１）/２，（ｑ−１）/２］であってよい。

また、本発明は、有限群である群Ｇ_１及びＧ_２に制限されない。他の実施形態及び変形例は、添付した特許請求の範囲により定義される本発明の範囲内である。

図１は、本発明の実施形態のいくつかを実装するのに適したネットワーク化されたコンピュータシステムを示す。

符号の説明

１０４…コンピュータシステム
１１０…プロセッサ
１２０…メモリ
１３０…ネットワーク

Claims (22)

1. 第１のアグリゲートデジタル署名を生成するコンピュータシステムによって実行される方法であって、
   前記コンピュータシステムの第１生成部が、文書Ｄ_ｉの署名である複数の個別のデジタル署名ＩＳ_ｉ(ｉ＝１，…ｎ)を生成する工程Ａと、
   前記コンピュータシステムの第２生成部が、前記第１生成部によって生成された前記複数の個別のデジタル署名ＩＳ_ｉに基づいて、前記第１のアグリゲートデジタル署名を生成する工程Ｂとを含み、
   ｎは、１より大きい整数であり、
   前記工程Ａは、
   前記コンピュータシステムの算出部が、前記デジタル署名ＩＳ_ｉに関連付けられた署名者のアイデンティティの関数である要素Ｐ１_ｉ，…，Ｐｋ_ｉに基づいて、前記デジタル署名ＩＳ_ｉに含まれるｋ個の項を以下の式に基づいて算出する工程と、
   前記第１生成部が、前記算出部によって算出された前記ｋ個の項に基づいて、前記複数の個別のデジタル署名ＩＳ_ｉを生成する工程とを含み、
   

   

   ｋ及びｓ_ｉは、前記文書Ｄ_ｉから独立した定義済み整数であり、
   ｋ＞１であり、
   Ｃ１_ｉ，…Ｃｋ_ｉは、整数であり、
   Ｃ１_ｉ，…Ｃｋ_ｉのうちの少なくとも２つは、互いに異なり、
   Ｃ１_ｉ，…Ｃｋ_ｉのうちの少なくとも１つは、前記文書Ｄ_ｉによって決まり、
   Ｐ１_ｉ，…Ｐｋ_ｉは、前記文書Ｄ_ｉから独立した定義済み巡回群Ｇ１のｋ個の相異なる要素であり、
   「＊」は、前記定義済み巡回群Ｇ１の要素の整数による乗法を示し、
   前記デジタル署名ＩＳ_ｉは、前記ｋ個の項の和を表す第１のコンポーネントＳ_ｉを含むことを特徴とする方法。
2. 前記デジタル署名ＩＳ_ｉは、第２のコンポーネントＴ_ｉ＝ｒ_ｉ＊Ｐを更に含み、
   ｒ_ｉは、整数であり、Ｐは、前記群Ｇ１の定義済み要素であり、
   Ｐは、ｉから独立であり、
   前記第１のアグリゲート署名は、前記コンポーネントＴ_ｉの和を表す第２のコンポーネントを更に含み、
   前記工程Ａは、
   前記コンピュータシステムの取得部が、前記コンポーネントＴの項を受け取る工程と、
   前記コンピュータシステムの加算部が、前記コンポーネントＴの前記項を加算する工程とを有することを特徴とする請求項１に記載の方法。
3. 第１のアグリゲートデジタル署名を検証するコンピュータシステムによって実行される方法であって、
   前記コンピュータシステムの判断部が、文書Ｄ_ｉの署名である複数の個別のデジタル署名ＩＳ_ｉ(ｉ＝１，…ｎ)が前記第１のアグリゲートデジタル署名に含まれるか否かを判断する工程Ａを含み、
   ｎは、１より大きい整数であり、
   前記デジタル署名ＩＳ_ｉは、以下の式によって表されるｋ個の項を含み、
   

   

   ｋは、１より大きい定義済み整数であり、
   ｋは、前記文書Ｄ_ｉからから独立であり、
   ｋは、前記デジタル署名ＩＳ_ｉの全てに対して同じであり、
   前記デジタル署名ＩＳ_ｉに対して、
   （i）ｓは、前記文書Ｄ_ｉから独立した定義済み整数であり、
   （ii）Ｃ１_ｉ,…Ｃｋ_ｉは、非負整数であり、
   Ｃ１_ｉ,…Ｃｋ_ｉのうちの少なくとも２つは、互いに異なっており、
   Ｃ１_ｉ,…Ｃｋ_ｉのうちの少なくとも１つは、前記文書Ｄ_ｉによって決まり、
   （iii）Ｐ１_ｉi,…Ｐｋ_ｉは、前記文書Ｄ_ｉから独立した定義済み巡回群Ｇ１のｋ個の相異なる要素であり、
   「＊」は、前記定義済み巡回群Ｇ１の要素の整数による乗法を示し、
   前記個別のデジタル署名のアグリゲートは、前記和Ｓ_ｉの和Ｓであるコンポーネント
   

   

   を含み、
   前記第１のアグリゲートデジタル署名は、対応するコンポーネントＳｎを含み、
   前記工程Ａは、
   前記コンピュータシステムの算出部が、前記デジタル署名ＩＳ_ｉに関連付けられた署名者のアイデンティティに基づいて、前記デジタル署名ＩＳ_ｉに対応する要素Ｐ１_ｉ，…，Ｐｋ_ｉを算出する工程と、
   前記コンピュータシステムの検証部が、前記算出部によって算出された前記要素Ｐ１_ｉ，…，Ｐｋ_ｉに基づいて、以下の等式が満たされているか否かを検証する工程とを含み、
   

   

   ｂｐ１は、Ｇ１×Ｇ１から群Ｇ２への非縮退双線型ペアリングであり、
   Ｐは、前記群Ｇ１のジェネレータであり、
   ｆ１は、前記群Ｇ２の要素であり、
   「＆」は、前記群Ｇ２の群演算であり、
   条件（Ａ）又は条件（Ｂ）のどちらかが真であり、
   前記条件（Ａ）は、前記パラメータが、前記個別のデジタル署名ＩＳ_ｉの全てに対して同じ値を有し、
   

   

   であり、
   Ｑ＝ｓ＊Ｐであり、
   

   

   が、１からｎまでの全てのｉについて取られる前記項
   

   

   の和であるという条件であり、
   前記条件（Ｂ）は、前記パラメータが、Ｌ個の相異なる値ｓ_１,…ｓ_Ｌに分布し、
   Ｌ＞１であり、
   各値ｓ＝ｓ_ｊ（ｊ＝１,…Ｌ）が、１つ以上の前記個別のデジタル署名ＩＳ_ｉに対応し、
   

   

   であり、
   各ｊ＝１,…Ｌに対して、Ｑ_ｊ=ｓ_ｊ＊Ｐであり、
   

   

   は、前記個別のデジタル署名ＩＳ_ｉが、前記値ｓ_ｊに対応するように、全てのｉについて取られる前記項
   

   

   の和であるという条件であり、
   前記判断部は、前記検証部によって前記等式が満たされると検証された場合に、前記複数の個別のデジタル署名ＩＳ_ｉが前記第１のアグリゲートデジタル署名に含まれると判断することを特徴とする方法。
4. Ｇ１及びＧ２は、３より大きい同じ素数位数を有する有限群であり、
   各個別の署名ＩＳ_ｉに対して、ｓ，Ｃ１_ｉ，…，Ｃｋ_ｉのそれぞれは、Ｇ１の前記位数より小さいことを特徴とする請求項３に記載の方法。
5. 文書Ｄに第１のアグリゲートデジタル署名を生成するコンピュータシステムによって実行される方法であって、
   前記コンピュータシステムの第１生成部が、前記文書Ｄの署名である複数の個別のデジタル署名ＩＳ_ｉ(ｉ＝１，…ｎ)を生成する工程Ａと、
   前記コンピュータシステムの第２生成部が、前記第１生成部によって生成された前記複数の個別のデジタル署名ＩＳ_ｉに基づいて、前記第１のアグリゲートデジタル署名を生成する工程Ｂとを含み、
   ｎは、１より大きい整数であり、
   前記工程Ａは、
   前記コンピュータシステムの算出部が、前記デジタル署名ＩＳ_ｉに関連付けられた署名者のアイデンティティの関数である要素Ｐ_ｉに基づいて、前記デジタル署名ＩＳ_ｉに含まれる項ｒ_ｉ＊ＰＤ及び（ｓ_ｉ＊Ｐ_ｉ）を算出する工程と、
   前記第１生成部が、前記算出部によって算出された前記項ｒ_ｉ＊ＰＤ及び（ｓ_ｉ＊Ｐ_ｉ）に基づいて、前記複数の個別のデジタル署名ＩＳ_ｉを生成する工程とを含み、
   ｒ_ｉ及びｓ_ｉは、前記文書Ｄから独立した整数であり、
   ＰＤ及びＰ_ｉは、定義済み巡回群Ｇ１の要素であり、
   ＰＤは、前記文書Ｄによって決まり、全ての前記デジタル署名ＩＳ_ｉに対して同じであり、
   Ｐ_ｉは、前記文書Ｄから独立であり、
   「＊」は、前記定義済み巡回群Ｇ１の要素の整数による乗法を表し、
   前記第１のアグリゲートデジタル署名は、前記和Ｓ_ｉの和Ｓを表すコンポーネントを含むことを特徴とする方法。
6. Ｇ１は、３より大きい素数位数を有し、
   ｓ_ｉ及びｒ_ｉのそれぞれは、Ｇ１の前記位数より小さいことを特徴とする請求項５に記載の方法。
7. 第１のアグリゲートデジタル署名を検証するコンピュータシステムによって実行される方法であって、
   前記コンピュータシステムの判断部が、文書Ｄ_の署名である複数の個別のデジタル署名ＩＳ_ｉ(ｉ＝１，…ｎ)が前記第１のアグリゲートデジタル署名に含まれるか否かを判断する工程Ａを含み、
   ｎは、１より大きい整数であり、
   前記デジタル署名ＩＳ_ｉは、ｒ_ｉ＊ＰＤ及び（ｓ＊Ｐ_ｉ）を含む項を含み、
   ｒ_ｉ及びｓは、前記文書Ｄから独立した整数であり、
   ＰＤ及びＰ_ｉは、定義済み巡回群Ｇ１の要素であり、
   ＰＤは、前記文書Ｄによって決まり、前記デジタル署名ＩＳ_ｉの全てに対して同じであり、
   Ｐ_ｉは、前記文書Ｄから独立であり、
   「＊」は、前記定義済み巡回群Ｇ１の要素の整数による乗法を表し、
   前記第１のアグリゲートデジタル署名は、前記和Ｓ_ｉの和Ｓに対応するコンポーネントＳｎを含み、
   前記個別のデジタル署名の前記アグリゲートは、前記和Ｓ１_ｉの和であるコンポーネント
   

   

   を含み、
   前記第１のアグリゲートデジタル署名は、対応するコンポーネントＳｎを含み、
   前記工程Ａは、
   前記工程Ａは、前記コンピュータシステムの算出部が、前記デジタル署名ＩＳ_ｉに関連付けられた署名者のアイデンティティに基づいて、前記デジタル署名ＩＳ_ｉに対応する要素Ｐ_ｉを算出する工程と、
   前記コンピュータシステムの検証部が、前記算出部によって算出された前記要素Ｐ_ｉに基づいて、以下の等式が満たされているか否かを検証する工程とを含み、
   

   

   ｂｐ１は、Ｇ１×Ｇ１から群Ｇ２への非縮退双線型ペアリングであり、
   Ｐは、前記群Ｇ１のジェネレータであり、
   ｆ１は、前記群Ｇ２の要素であり、
   「＆」は、前記群Ｇ２の群演算であり、
   条件（Ａ）又は（Ｂ）のどちらかが真であり、
   前記条件（Ａ）は、前記ｓパラメータが、前記個別のデジタル署名ＩＳ_ｉの全てに対して同じ値を有し、
   

   

   であり、
   Ｑ＝ｓ＊Ｐであり、
   

   

   であるという条件であり、
   前記条件（Ｂ）は、前記ｓパラメータが、Ｌ個の相異なる値ｓ_１,…ｓ_Ｌに分布し、
   Ｌ＞１であり、
   各値ｓ＝ｓ_ｊ（ｊ＝１,…Ｌ）は、１つ以上の前記個別のデジタル署名ＩＳ_ｊに対応し、
   

   

   であり、
   各ｊ=１,…Ｌに対して、Ｑ_ｊ=ｓ_ｊ＊Ｐであり、
   

   

   は、前記値ｓ_ｊに対応する前記個別のデジタル署名の全てについて取られる前記項Ｐ_ｉの和であるという条件であり、
   前記判断部は、前記検証部によって前記等式が満たされると検証された場合に、前記複数の個別のデジタル署名ＩＳ_ｉが前記第１のアグリゲートデジタル署名に含まれると判断することを特徴とする方法。
8. 前記条件（Ａ）は、真であることを特徴とする請求項７に記載の方法。
9. Ｇ１は、３より大きい素数位数を有し、
   Ｇ２は、Ｇ１と同じ位数の巡回群であり、
   前記整数ｓ及びｒ_ｉのそれぞれは、Ｇ１の前記位数より小さいことを特徴とする請求項７に記載の方法。
10. ｍ人の署名者の署名を表す第１のデジタル署名を生成するコンピュータシステムによって実行される方法であって、
    前記コンピュータシステムの第１生成部が、署名者ｍに関連付けられた文書Ｄ_ｍの関数であるｋビット（ｅ_１,…ｅ_ｋ）を生成する工程Ａと、
    前記コンピュータシステムの第２生成部が、定義済み巡回群Ｇ１の項を生成する工程Ｂとを含み、
    ｍは、正の整数であり、
    各署名者ｊ（ｊ＝１，…ｍ）は、鍵（ａ_ｊ,１,…ａ_ｊ,ｋ）に関連付けられたエンティティであり、
    ｋは、正の整数であり、
    ａ_ｊ,１,…ａ_ｊ,ｋは、整数であり、
    前記工程Ｂは、前記コンピュータシステムの算出部が、前記第１生成部によって生成されたｋビット及び前記署名者ｊのアイデンティティの関数である各鍵（ａ_ｉ，１，…，ａ_ｉ，ｋ）に基づいて、以下の式によって表される前記項を算出する工程を含み、
    

    

    

    は、定義済み正の整数ｎを法とする整数の環Ｚ/ｎＺにおける乗法であり、
    Ｓ_ＰＲＥＶ_ｍは、前記群Ｇ１の要素であり、
    「＊」は、前記群Ｇ１の要素の整数による乗法を表すことを特徴とする方法。
11. ｍ＝１であり、
    Ｓ_ＰＲＥＶ_ｍは、前記群Ｇ１のジェネレータであることを特徴とする請求項１０に記載の方法。
12. ｍ＞１であり、
    Ｓ_ＰＲＥＶ_ｍは、署名者１，…，ｍ−１のそれぞれ及び前記それぞれの文書Ｄ_１，…，Ｄ_（ｍ−１）に対して、前記工程Ａ及び前項工程Ｂを実行することによって求められることを特徴とする請求項１０に記載の方法。
13. Ｇ１は、前記整数ｎと等しい位数の有限であることを特徴とする請求項１０に記載の方法。
14. ｎは、それぞれが１より大きい２つの素数の積であることを特徴とする請求項１０に記載の方法。
15. 第１のアグリゲートデジタル署名Ｓｎを検証するコンピュータシステムによって実行される方法であって、
    前記コンピュータシステムの判断部が、前記第１のアグリゲートデジタル署名が文書Ｄ_１,…Ｄ_ｍに対するｍ人の署名者の署名を表すか否かを判断する工程Ａを含み、
    ｍ＞１であり、
    各署名者ｊ（ｊ＝１,…ｍ）が、鍵（ｂ_ｊ,１,…ｂ_ｊ,ｋ）に関連付けられたエンティティであり、
    ｋ,ｂ_ｊ,１1,…ｂ_ｊ,ｋは、整数であり、
    Ｓｎは、ジェネレータＰを有する定義済み巡回群Ｇ１の要素であり、
    前記工程Ａは、前記コンピュータシステムの検証部が、前記署名者ｊのアイデンティティの関数である各鍵（ｂ_ｊ，１，…，ｂ_ｊ，ｋ）に基づいて、等式ｂｐ１（Ｓｎ,Ｓｎ）＝ｂｐ１（Ｐ,Ｐ）^bが満たされるか否かを検証する工程を含み、
    ｂｐ１は、Ｇ１×Ｇ１から巡回群Ｇ２への双線型写像であり、
    ｂは、定義済みモジュラスｎnを法とする全ての前記整数ｂ_ｊ,ｉの積であり、
    前記判断部は、前記検証部によって前記等式が満たされると検証された場合に、前記第１のアグリゲートデジタル署名が文書Ｄ_１,…Ｄ_ｍに対するｍ人の署名者の署名を表すと判断することを特徴とする方法。
16. 各ｂ_ｊ，ｉは、ｎを法とする平方であることを特徴とする請求項１５に記載の方法。
17. ｎは、それぞれが１より大きい２つの素数の積であることを特徴とする請求項１５に記載の方法。
18. 第１のアグリゲートデジタル署名を生成するコンピュータシステムによって実行される方法であって、
    前記コンピュータシステムの第１生成部が、複数の個別のデジタル署名を生成する工程Ａと、
    前記コンピュータシステムの第２生成部が、前記第１生成部によって生成された前記複数の個別のデジタル署名に基づいて、前記第１のアグリゲートデジタル署名を生成する工程Ｂとを含み、
    各個別のデジタル署名は、少なくとも１つの署名コンポーネントを含み、
    前記工程Ｂは、
    前記コンピュータシステムの算出部が、前記署名者のアイデンティティの関数である複数の相異なる鍵コンポーネントを含む署名者の鍵に基づいて、複数の第１の項を算出する工程と、
    前記第２生成部が、前記複数の第１の項に基づいて、前記第１のアグリゲートデジタル署名のコンポーネントを生成する工程とを含み、
    各第１の項は、前記個別のデジタル署名のうちの１つの署名コンポーネント、又は、前記個別の署名の２つ以上の署名コンポーネントの和のどちらかであり、
    前記第１の項の前記署名コンポーネントのうちの少なくとも１つは、前記署名者の鍵の関数であることを特徴とする方法。
19. 前記第１のアグリゲートデジタル署名の前記コンポーネントは、前記第１の項を含む複数の項の和であることを特徴とする請求項１８に記載の方法。
20. 前記署名者の鍵の前記関数は、前記鍵コンポーネントのうち少なくとも２つが相異なる係数を有して存在する一次結合を含むことを特徴とする請求項１８に記載の方法。
21. 請求項１、３、５、７、１０、１５、１８のいずれか一項に記載された各工程を実行することを特徴とするコンピュータシステム。
22. 請求項１、３、５、７、１０、１５、１８のいずれか一項に記載に記載された各工程をコンピュータに実行させることを特徴とするコンピュータプログラム。

Images