JP5314449B2

JP5314449B2 - 電子署名検証システム、電子署名装置、検証装置、電子署名検証方法、電子署名方法、検証方法、電子署名プログラム、検証プログラム

Info

Publication number: JP5314449B2
Application number: JP2009029429A
Authority: JP
Inventors: 美也子大久保; 正幸阿部
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2009-02-12
Filing date: 2009-02-12
Publication date: 2013-10-16
Anticipated expiration: 2029-02-12
Also published as: JP2010186003A

Description

本発明は、電気通信システムで送信者の身元を確認する電子署名検証システム、電子署名装置、検証装置、その方法及びプログラムに関する。

電子署名はメッセージｍに対して、公開鍵pkに対応する秘密鍵skを知る署名者が、メッセージｍに対して秘密鍵skを正しく使ったときにのみ計算できる値σを算出し、これを電子的な署名として用いるものである。正しく計算された電子署名は誰でも公開鍵pkを用いてその正当性を検証することが可能である。一方、秘密鍵skを知らないいかなる第三者も正当な電子署名σを算出することはできない。電子署名は電子現金やクレデンシャルシステムなど、様々な暗号プロトコルにおいて基本的な構成要素として利用されている。

電子署名は電子現金やクレデンシャルシステムなど、様々な暗号プロトコルにおいて基本的な構成要素として利用されている。特に、利用者のプライバシーを必要とする応用においては、ゼロ知識証明と組み合わせることにより、電子署名σを明かさないまま、あるメッセージに対する電子署名を保持しているという事実を任意の第三者に納得させるなど、高度な利用形態がある。例えば、非特許文献１のようにペアリング技術を用い、群の要素がある関係を満たすという事実を効率的に証明するゼロ知識証明が構成可能となった。これによって、電子署名σが効率的なバイリニアマップを持つ群の要素である、すなわち、σ∈Ｇである場合、前述のように、電子署名σを明かさないまま、正しい電子署名σを保持しているという事実を証明することが可能である。

例えば、非特許文献２記載の技術、いわゆる、CL-Signatureと言われる技術では、メッセージｍ∈Ｚqに対する電子署名σは３つの群要素(ａ，ｂ，ｃ)∈Ｇ^３から構成されている。

しかしながら、CL-Signatureと言われる技術では、ランダムオラクルモデル等の理想化された構成要素を用いず、数論的な仮定のみによって安全性が証明できる既存の電子署名方法では、メッセージｍが群Ｇの要素ではないため、メッセージｍを秘匿した状態で、その秘匿したメッセージに対する正しい電子署名を保持していることを証明する、という応用には適さない。
メッセージｍが群Ｇの要素である場合にも、安全な電子署名方法として、上記のCL-Signatureを改良した方式が非特許文献３に示されている。それについて以下に簡単に説明する。

ｑを大きな素数とし、Ｇ_１，Ｇ_２，Ｇ_Ｔをそれぞれ位数ｑの群とし、ｅを効率的に計算可能なバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔとし、ｖ＝(ｑ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ)を公開パラメータとする。

署名者は、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択し、Ｚqに属する乱数ｒ、ｘ及びｙを生成し、Ｘ＝ｇ_２ ^ｘ、Ｙ＝ｇ_２ ^ｙとする。また、pk＝(ｖ、ｇ_１、ｇ_２、Ｘ、Ｙ）を公開鍵とし、sk＝(ｘ、ｙ)を秘密鍵とする。

メッセージｍ∈Ｇ_１に対して、以下の５つの式
ａ_１＝ｇ_１ ^ｒ (1)
ａ_２＝ｍ^ｒ (2)
ａ_３＝ｇ_１ ^ｒｘｍ^ｒｘｙ (3)
ａ_４＝ｍ^ｒｙ (4)
ａ_５＝ｇ_２ ^ｒ (5)
を計算し、これら５つの値の組をメッセージｍに対する電子署名σ＝(ａ_１，ａ_２，ａ_３，ａ_４，ａ_５)∈Ｇ_１ ^４×Ｇ_２とする。

検証者は、与えられたメッセージ署名対(ｍ、σ)に対し、公開鍵pk及び電子署名σを用いて、以下の４つのペアリング等式が成り立つことを確認し、電子署名の真正性及び完全性を検証する。

e(ｇ_１，ａ_５)＝e(ａ_１，ｇ_２) (6)
e(ｍ，ａ_５)＝e(ａ_２，ｇ_２) (7)
e(ａ_２，Ｙ)＝e(ａ_４，ｇ_２) (8)
e(ａ_３，ｇ_２)＝e(ａ_１ａ_４，Ｘ) (9)

＜検証方法＞
式(6)は式(1)及び(5)を用いて、以下のように表すことができる。
e(ｇ_１，ｇ_２ ^ｒ)＝e (ｇ_１ ^ｒ，ｇ_２) (6)'
これが成立することにより、バイリニアマップの性質から、両辺中の検証装置に知らされていない乱数ｒが同一であることを確認することができる。同様に、式(7)は式(1)及び(2)を用いて、以下のように表すことができる。
e(ｍ，ｇ_２ ^ｒ)＝e(ｍ^ｒ，ｇ_２) (7)'
式(6)'でｒの同一性が確認されたので、式(7)'が成立することにより、受信したｍと署名の対象となったｍが同一であることを確認することができる。式(8)は式(2)、(4)、Ｙ＝ｇ_２ ^ｙを用いて、以下のように表すことができる。
e(ｍ^ｒ，ｇ_２ ^ｙ)＝e(ｍ^ｒｙ，ｇ_２) (8)’
式(6)'と(7)'で乱数ｒの同一性とメッセージｍの同一性が確認されたので、式(8)'が成り立つ場合には、乱数ｙが正しいことが確認できる。式(9)は、式(1)、(3)、(4)、Ｘ＝ｇ_２ ^ｘを用いて、以下のように表すことができる。
e(ｇ_１ ^ｒｘｍ^ｒｘｙ，ｇ_２)＝e(ｇ_１ ^ｒｍ^ｒｙ，ｇ_２ ^ｘ) (9)’
式(6)', (7)', (8)'で乱数ｒ、メッセージｍ、及び乱数ｙが正しいことが確認できたので、式(9)'が成り立つ場合には、乱数ｘが正しいことが確認できる。これらの処理により、電子署名σを作成できるのは、秘密鍵sk＝(ｘ，ｙ)を知っている署名者のみであることが確認できる。

Jens Groth, Amit Sahai, "Efficient Non-interactive Proof Systems for Bilinear Groups", Advances in Cryptology - EUROCRYPT 2008, Springer Berlin / Heidelberg, June 3,2008, Volume 4965/2008, p415-432 Jan Camenisch, Anna Lysyanskaya, " Signature Schemes and Anonymous Credentials from Bilinear Maps", Advances in Cryptology - CRYPTO 2004, Springer Berlin / Heidelberg, 2004, Volume 3152/2004, p.56-72 Matthew Green, Susan Hohenberger, "Universally Composable Adaptive Oblivious Transfer", [online], The Johns Hoｐｋins University Information Security Institute, ［平成20年11月19日］, インターネット<URL:http://eprint.iacr.org/cgi-bin/getfile.pl?entry=2008/163&version=20080806:150034&file=163.pdf>

非特許文献３記載の電子署名検証方法及び装置では、電子署名を構成する要素の数が多く、電子署名長が長くなり、情報量及び通信量が多くなるという問題があった。また、検証時の計算量が多いという問題があった。本発明は、電子署名を構成する要素の数を少なくし、電子署名長が短く、情報量及び通信量が少ない電子署名検証方法及び装置を提供することを目的とし、また、検証時の計算量の少ない電子署名検証方法及び装置を提供することを目的とする。

この発明の第１の観点による電子署名検証システムにおいては、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）とし、
前記電子署名装置は、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属する乱数ｒ、ｘ及びｙを生成する乱数生成部と、
前記ｘ、ｙ、ｇ_１及びｇ_２が入力され、Ｘ'＝ｇ_２ ^ｘ、Ｙ'＝ｇ_２ ^ｙ、Ｙ＝ｇ_１ ^ｙを計算し、公開鍵pkをpk＝(ｖ，ｇ_１，ｇ_２，Ｘ'，Ｙ'，Ｙ)として生成する公開鍵生成部と、
前記ｇ_１、ｇ_２、ｒ、ｘ、ｙ及び平文ｍが入力され、
ｂ_１＝ｍ^ｒｙＹ^ｒ、
ｂ_３＝ｍ^ｒｘｙＹ^ｒｘ、
ｂ_５＝ｇ_２ ^ｒｙ
を計算し、電子署名σ＝(ｂ_１，ｂ_３，ｂ_５)を生成する電子署名生成部とを有す。
前記検証装置は、前記電子署名装置から前記電子署名σ及び平文ｍを受け、前記公開鍵pk、電子署名σ及び平文ｍを使って、
式(1)： e(ｂ_１，ｇ_２)＝e(ｍｇ_１，ｂ_５)
式(2)： e(ｂ_３，ｇ_２)＝e(ｂ_１，Ｘ')
を計算し、式(1)と(2)の等式全てが成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有する。
この発明の第２の観点による電子署名検証システムにおいては、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）とし、
前記電子署名装置は、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属するｎ個の乱数ｒ_i, 但し、i=1,…, n、と乱数ｘ及びｙを生成する乱数生成部と、
前記ｘ、ｙ、ｇ₁及びｇ₂が入力され、Ｘ'＝ｇ₂ ^x、Ｙ'＝ｇ₂ ^y、Ｙ＝ｇ₁ ^yを計算し、公開鍵pk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ'，Ｙ)を生成する公開鍵生成部と、
前記ｇ₁、ｇ₂、ｎ個のｒ_i、ｘ、ｙ及びｎ個の平文ｍ_iが入力され、i=1,…,nについて
ｂ_1i＝ｍ_i ^riｙＹ^ri、
ｂ₃＝(Πⁿ _i=1ｍ_i ^ri)^ｘｙ(Πⁿ _i=1Ｙ^ri)^ｘ、
ｂ_5i＝ｇ_２ ^riｙ
を計算し、電子署名σ＝(ｂ_1i，ｂ_３，ｂ_5i)を生成する電子署名生成部とを有す。
前記検証装置は、前記電子署名装置から前記電子署名σ及びｎ個の平文ｍ_ｉを受け、前記公開鍵pk、電子署名σ及びｎ個の平文ｍ_iを使って、
式(1)： e(ｂ_1i，ｇ_２)＝e(ｍ_iｇ_１，ｂ_5i)
式(2)： e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1)と(2)の等式全てが成立するか否かをi=1,…,nについて判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有する。
この発明の第３の観点による電子署名検証システムにおいては、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝(ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ)とし、
前記電子署名装置は、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属する乱数ｒ、ｘ及びｎ個の乱数ｙ_i、但し、i=1,…,n、を生成する乱数生成部と、
前記ｘ、ｙ_ｉ、ｇ_１及びｇ_２が入力され、Ｘ'＝ｇ_２ ^ｘ、Ｙ'_ｉ＝ｇ_２ ^ｙｉ、Ｙ_i＝ｇ₁ ^yiを計算し、公開鍵pk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ'_i，Ｙ_i)を生成する公開鍵生成部と、
前記ｇ_１、ｇ_２、ｒ、ｘ、ｙ_ｉ及びｎ個の平文ｍ_ｉが入力され、
ｂ_1i＝ｍ_i ^ryiＹ_i ^r、
ｂ₃＝(Πⁿ _i=1ｍ_i ^yi)^rx(Πⁿ _i=1Ｙ_i)^rx、
ｂ_5i＝ｇ₂ ^ryi
を計算し、電子署名σ＝(ｂ_1i，ｂ_３，ｂ_5i)を生成する電子署名生成部とを有する。
前記検証装置は、前記電子署名装置から前記電子署名σ及びｎ個の平文ｍ_ｉを受け、前記公開鍵pk、電子署名σ及びｎ個の平文ｍ_iを使って
式(1)： e(ｂ_1i，ｇ₂)＝e(ｍ_iｇ_１，ｂ_5i)
式(2)： e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1), (2)の等式全てがi=1,…,nについて成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有する。

本発明の電子署名検証方法及び装置によれば、従来技術同様、真正性及び完全性を担保しながら、群の元を用いて電子署名を構成することができ、かつ、電子署名を構成する要素の数を少なくすることにより、電子署名長が短く、通信量が少なくすることができる。また、検証時の計算式の少なくすることにより、計算量を少なくすることができる。

実施例１における電子署名検証システムの構成例を示す図。電子署名検証システム１のシーケンス図の一例を示す図。電子署名装置１００の構成例を示す図。電子署名装置１００の処理フローの一例を示す図。検証装置２００の構成例を示す図。検証装置２００の処理フローの一例を示す図。この発明の実施例２による電子署名検証システムの構成例を示す図。実施例２における電子署名装置の構成例を示す図。実施例２における検証装置の構成例を示す図。実施例３における電子署名検証システムの構成例を示す図。実施例３における電子署名装置の構成例を示す図。実施例３における検証装置の構成例を示す図。実施例１における電子署名装置のハードウェア構成を例示したブロック図。

［発明の原理］
前述の非特許文献３の技術において、この発明では公開鍵として新たにＹ＝ｇ_１ ^ｙを加えpk＝(ｖ、ｇ_１、ｇ_２、Ｘ'，Ｙ'，Ｙ)とする。ＳＸＤＨ(asymmetric XDH)仮定を前提とし、その仮定の下ではＹ'＝ｇ_２ ^ｙとＹ＝ｇ_１ ^ｙとが公開されていたとしても互いに独立であり、互いの情報を一切漏らさない。更に、この発明では３つ要素の組(ｂ_１、ｂ_２、ｂ_３) ∈Ｇ_１ ^２×Ｇ_２、ただし、
ｂ_１＝ｍ^ｒｙＹ^ｒ
ｂ_３＝ｍ^ｒｘｙＹ^ｒｘ
ｂ_５＝ｇ_２ ^ｒｙ
をメッセージｍに対する署名σとする。即ち署名σは
σ＝(ｍ^ｒｙＹ^ｒ，ｍ^ｒｙｘＹ^ｒｘ、ｇ_２ ^ｒｙ)
である。メッセージ署名対(ｍ、σ)に対する検証は、次の２つのペアリング等式、
e(ｂ_１，ｇ_２)＝e(ｍｇ_１，ｂ_５)
e(ｂ_３、ｇ_２)＝e(ｂ_１、Ｘ')
が成立するかの判定による。
なお、ＳＸＤＨ仮定について述べる前にまずＸＤＨについて述べる。ＸＤＨはThe External Diffie-Hellman (XDH) assumptionの略であり、いわゆる楕円のペアリングなどが存在する場合に、以下の３つの性質を持つことを想定した仮定である。
・The discrete logarithm problem (DLP)→離散対数問題
・The computational Diffie-Hellman problem (CDH)→いわゆるＤＨ問題
・The computational co-Diffie-Hellman problem (co-DH)
上記のうち、co-DHとは以下のように双対の片方のグループの情報を与えられて、与えられたのとは別のグループのＤＨを計算する問題であり、これを解くのが難しいことを仮定している。具体的には、以下の通りである。
(G1; G2)上のThe co-Diffie-Hellman (co-DH) problemは：
G1, G2をそれぞれP1, P2により生成した位数Ｌの巡回群とする。(G1,G2)上のco-DH問題は(P1; aP1; P2)が与えられaP2を計算することである。
これを、ペアリングの双方のグループに対して仮定しているのがＳＸＤＨである。

［電子署名検証システム１］
図１は、電子署名検証システム１の構成例を示す図である。図２は、電子署名検証システム１のシーケンス図の一例を示す図である。電子署名検証システム１は、登録装置３００と、電子署名装置１００と、検証装置２００からなる。

ｑを大きな素数とし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数ｑの群とし、ｅを効率的に計算可能なバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔとし、ｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ）を公開パラメータとする。なお、ｇ^ａとは、ｇ∈Ｇに対し、群Ｇで定義される演算をａ回行うことを意味する。バイリニアマップとしては、例えば、WeilペアリングやTateペアリング等が考えられる。

電子署名装置１００は、登録装置３００に対して、公開パラメータｖを要求する（Ｓ１０）。登録装置３００は、ｖを電子署名装置１００へ送る（Ｓ１２）。電子署名装置１００は、公開パラメータｖから公開鍵pkを生成し、登録装置３００へ送る（Ｓ１４）。登録装置３００は、公開鍵pkを登録及び公開する（Ｓ１６）。なお、署名の生成ごとに公開パラメータを要求しなくとも、記憶している公開パラメータを利用して公開鍵を生成してもよい。さらに、メッセージ（以下、平文とも呼ぶ）ｍ、公開鍵pk及び秘密鍵skを用いて、電子署名σを生成する。電子署名装置１００は、電子署名σ及び平文ｍを検証装置へ送る（Ｓ１８）。

検証装置２００は、電子署名σに対応する公開鍵pkを登録装置３００へ要求する（Ｓ２０）。登録装置３００は、公開鍵pkを検証装置２００へ送る（Ｓ２２）。検証装置２００は、電子署名σ、平文ｍ、公開鍵pkを用いて、改竄及び成りすまし等が行われていないか検証する（Ｓ２４）。以下、各装置及び各処理について詳細を説明する。

［登録装置３００］
登録装置３００は、公開パラメータｖ＝(ｑ、Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ)を登録及び公開している。例えば、登録装置３００は、信頼できる第三者等が管理し、図示してない通信部と、記憶部と、制御部を有する。登録装置３００は、通信部を介して、電子署名装置及び検証装置と通信する。通信部は、例えば、ＬＡＮアダプタ等により構成され、ＬＡＮやインターネット等からなる通信回線と接続される。但し、必ずしも通信部を有さずともよく、例えば、キーボード等の入力装置から公開パラメータを入力してもよいし、また、ＵＳＢメモリ等の可搬媒体に公開パラメータを記憶し、それを入力してもよい。以下、同様に各装置（電子署名装置及び検証装置）は送信部を有さずともよく、装置間のデータの入出力は、通信以外の方法であってもよい。記憶部は、公開パラメータ、公開鍵等を記憶する。なお、上記「登録」とは、記憶部に記憶することを意味してもよい。また、「公開」とは、利用者の求めに応じて、情報（例えば、公開パラメータ）を閲覧可能、または、取得可能とすることを意味する。制御部は、各処理を制御する。

［電子署名装置１００］
図３は、電子署名装置１００の構成例を示す図である。図４は、電子署名装置１００の処理フローの一例を示す図である。電子署名装置１００は、通信部１０１と、記憶部１０３と、制御部１０５と、生成元選択部１２０と、乱数生成部１３０と、公開鍵生成部１４０と、電子署名生成部１５０を有する。

＜制御部１０５及び通信部１０１＞
本実施例の電子署名装置１００は、制御部１０５の制御のもと各処理を実行する。電子署名装置１００は、登録装置３００から公開パラメータｖを受け取る。例えば、通信部１０１は、登録装置３００及び検証装置２００と通信を行い、登録装置３００から公開パラメータｖを受信する（Ｓ１０１）。以下、特に記述しなくとも、登録装置３００及び検証装置２００と通信する際には、通信部１０１を介して行われるものとする。

受信した公開パラメータｖを記憶部１０３に記憶する（Ｓ１０３）。また、特に示さない限り、入出力される各データや演算過程の各データは、逐一、記憶部１０３に格納・読み出され、各演算処理が進められる。但し、必ずしも記憶部１０３に記憶しなければならないわけではなく、各部間で直接データを受け渡してもよい。

＜生成元選択部１２０、乱数生成部１３０及び記憶部１０３＞
生成元選択部１２０は、公開パラメータｖ中の群Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する（Ｓ１２０）。生成元選択部１２０は、通信部１０１を介して、または、通信部１０１及び記憶部１０３を介して、公開パラメータｖを入力され、生成元ｇ_１及びｇ_２を公開鍵生成部１４０及び電子署名生成部１５０へ、出力する。乱数生成部１３０は、Ｚqに属する乱数ｒ、ｘ及びｙを生成して出力する（Ｓ１３０）。乱数生成部１３０は、乱数ｘ、ｙを公開鍵生成部１４０へ、乱数ｒ、ｘ、ｙを電子署名生成部１５０へ出力する。記憶部１０３は、乱数ｒ、ｘ及びｙが記憶され、特にｘ、ｙは秘密鍵sk＝(ｘ，ｙ)として秘密に記憶される（Ｓ１３３）。なお、秘密鍵skには、対応する公開鍵pkを含め、sk＝(pk，ｘ，ｙ)としてもよい。他の実施例においても同様である。公開鍵pkについての詳細は後述する。

＜公開鍵生成部１４０＞
公開鍵生成部１４０は、ｘ、ｙ、ｇ_１及びｇ_２が入力され、Ｘ'＝ｇ_２ ^ｘ、Ｙ'＝ｇ_２ ^ｙ、Ｙ＝ｇ_１ ^ｙを計算し、公開鍵pk＝（ｖ，ｇ_１，ｇ_２，Ｘ'，Ｙ'，Ｙ）を生成する（Ｓ１４０）。公開鍵pkは、通信部１０１を介して、登録装置３００へ送られる。なお、公開鍵pkには、利用した公開パラメータｖの代わりに、それを表す鍵情報ｉを含めpk＝(ｉ，ｇ_１，ｇ_２，Ｘ'，Ｙ'，Ｙ)としてもよい。この場合には、以下で説明する検証装置２００は、鍵情報ｉに基づいて、登録装置３００に対応する公開パラメータｖ_ｉを要求する。また、登録装置３００の記憶している公開パラメータの中から対応する公開パラメータｖを特定することができる場合には、公開鍵pkに公開パラメータｖや、公開パラメータを表示する鍵情報ｉ等を含まなくともよく、検証装置２００は、平文ｍ及び電子署名σを受け付けた際に、登録装置３００に公開パラメータｖを要求する。

＜電子署名生成部１５０＞
電子署名生成部１５０は、ｇ_１、ｇ_２、ｒ、ｘ、ｙ及び平文ｍ∈Ｇ_１が入力され、
ｂ_１＝ｍ^ｒｙＹ^ｒ (11)
ｂ_３＝Ｙ^ｒｘｍ^ｒｘｙ (12)
ｂ_５＝ｇ_２ ^ｒｙ (13)
を計算し、平文ｍに対する電子署名σ＝(ｂ_１，ｂ_３，ｂ_５)を生成する（Ｓ１５０）。なお、平文ｍ∈Ｚqであり、補助記憶装置やメモリ上のデータ等、もしくは、入力インターフェース、キーボード、マウス等から入力されるデータである。

電子署名装置１００は、公開鍵pkを登録装置３００へ、電子署名σ及び平文ｍを検証装置２００へ、送る。例えば、通信部１０１を介して、送信する（Ｓ１５３）。

このような構成とすることで、電子署名σを構成する要素の数を５つから３つに少なくすることができる。これにより、例えば、電子署名σの各要素を生成する演算量が同一の場合には、演算量を４０％軽減できる。また、例えば、電子署名σの各要素が同一の情報量を有している場合には、電子署名長を４０％短く作成することができる。これにより電子署名σに要する通信量を軽減することもできる。

［検証装置２００］
図５は、検証装置２００の構成例を示す。図６は、検証装置１００の処理フローの一例を示す図である。検証装置２００は、通信部２０１と、記憶部２０３と、制御部２０５と、判定部２２０を有する。
＜制御部２０５、通信部２０１及び記憶部２０３＞
本実施例の検証装置２００は、制御部２０５の制御のもと各処理を実行する。検証装置は、登録装置から公開鍵pkを、電子署名装置から電子署名σ及び平文ｍを、受け取る。例えば、通信部２０１は、登録装置３００及び検証装置１００と通信を行う。登録装置３００から公開鍵pkを受信する（Ｓ２０１）。電子署名装置１００から電子署名σ及び平文ｍを受信する（Ｓ２０２）。機能、構成等は、通信部１０１と同様である。記憶部２０３は、公開鍵pk、電子署名σ及び平文ｍが記憶される（Ｓ２０３）。

＜判定部２２０＞
判定部２２０は、以下の２つの等式が成立するか否かを判定する（Ｓ２２０）。成立する場合には受理し（Ｓ２２３）、成立しない場合には拒否する（Ｓ２２５）。

e(ｂ_１，ｇ_２)＝e(ｍｇ_１，ｂ_５) (14)
e(ｂ_３，ｇ_２)＝e(ｂ_１，Ｘ') (15)
判定部２２０は、通信部２０１を介して、または、通信部２０１及び記憶部２０３を介して、公開鍵pk、署名σ及び平文ｍが入力される。以下、上記の式(15), (16)による検証について説明する。

＜検証方法の妥当性＞
式(14)は式(11)及び(13)、Ｙ＝ｇ_１ ^ｙを用いて、以下のように表すことができる。
e((ｍｇ_１)^ｒｙ，ｇ_２)＝e(ｍｇ_１，ｇ_２ ^ｒｙ) (14)’
これはバイリニアマップｅの性質を示しているので、式(14)が成立する場合には、署名者が署名生成時に使用した乱数ｒ及びｙと、検証者が受信した署名の生成に使用されたであろう乱数ｒ及びｙが同一であることを確認できる。
式(15)は式(12), (11)、及びＹ＝ｇ_１ ^ｙ，Ｘ'＝ｇ_２ ^ｘを用いて、以下のように表すことができる。
e((ｍ^ｒｙＹ^ｒ)^ｘ，ｇ_２)＝e(ｍ^ｒｙＹ^ｒ，ｇ_２ ^ｘ) (15)’
これもバイリニアマップｅの性質を示している。従って、式(14)の成立により乱数ｒとｙの正当性が確認できていれば、式(15)が成立することにより平文ｍと乱数ｘの正当性が確認できる。即ち、前述の従来技術と同様に、電子署名σを作成できるのは、秘密鍵sk＝(ｘ，ｙ)を知っている署名者のみであることが確認できる。このような構成とすることで、従来技術同様、真正性及び完全性を担保しながら、群の元を用いて電子署名を構成することができる。また、検証時の計算式を４つから２つに少なくすることにより、各計算式の計算量が同一の場合には、計算量を５０％軽減することができる。

図７はこの発明の実施例２による電子署名検証システムの構成例を示し、図８はその電子署名装置の構成例を示し、図９は検証装置の構成例を示す。実施例２は実施例１における署名対象である平文ｍが複数の場合にも対処可能にしたものであり、実施例１と異なる部分についてのみ説明する。平文ｍ_ｉ(ｉ＝1, …, ｎ)の数ｎは１以上の整数である。ｎ＝１のときは実質的に実施例１と同じになるが、実施例２ではｎが１のみならず２以上の値にも対応できるように構成されている。

［電子署名検証システム１０００］
図７に示す量に、電子署名検証システム１０００は、登録装置３００と、電子署名装置１１００と、検証装置１２００からなる。電子署名装置１１００は、ｎ個の平文ｍ_ｉに対し電子署名を生成するために、まず登録装置３００に対して、公開パラメータｖ＝(ｑ、Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｅ)を要求する。登録装置３００は、ｖを電子署名装置１００へ送る。電子署名装置１１００は、公開パラメータｖから公開鍵pk＝(ｖ、ｇ_１，ｇ_２，Ｘ'，Ｙ'，Ｙ)を生成し、登録装置３００へ送る。さらに、ｎ個の平文ｍ_ｉ、公開鍵pk及び秘密鍵skを用いて、電子署名σを生成する。電子署名装置１１００は、電子署名σ及び平文ｍ_ｉを検証装置１２００へ送る。

検証装置１２００は、電子署名σに対応する公開鍵pkを登録装置３００へ要求する。登録装置３００は、ｐｋを検証装置１２００へ送る。検証装置１２００は、電子署名σ、平文ｍ_ｉ、公開鍵pkを用いて、改竄及び成りすまし等が行われていないか検証する。以下、電子署名装置１１００及び検証装置１２００について詳細を説明する。

［電子署名装置１１００］
図８に示すように、電子署名装置１１００は、通信部１０１と、記憶部１０３と、制御部１０５と、生成元選択部１２０と、乱数生成部１１３０と、公開鍵生成部１４０と、電子署名生成部１１５０を有する。

＜乱数生成部１１３０及び記憶部１０３＞
乱数生成部１１３０は、Ｚqに属するｎ個の乱数ｒ_ｉ(ｉ=1, …, ｎ)、ｘ及びｙを生成して出力する。つまり、本実施例においては、ｎ個の平文ｍ_ｉに対応するｎ個の乱数ｒ_ｉを生成する。乱数生成部１１３０は、乱数ｘ、ｙを公開鍵生成部１４０へ、ｎ個の乱数ｒ_ｉとｘ、ｙを電子署名生成部１１５０へ出力する。記憶部１０３は、乱数ｒ_ｉ、ｘ及びｙが記憶される。
＜公開鍵生成部１４０＞
公開鍵生成部１４０はＸ'＝ｇ_２ ^ｘ、Ｙ'＝ｇ_２ ^ｙ、Ｙ＝ｇ_１ ^ｙを計算し、公開鍵pk＝(ｖ、ｇ_１、ｇ_２、Ｘ'、Ｙ'、Ｙ)を生成する。

＜電子署名生成部１１５０＞
電子署名生成部１１５０は、ｇ_１、ｇ_２、ｒ_ｉ、ｘ、ｙ及び平文ｍ_ｉ∈Ｇ_１が入力され、
ｂ_1i＝ｍ_i ^riｙＹ^ri (16)
ｂ₃＝(Πⁿ _i=1ｍ_i ^ri)^ｘｙ(Πⁿ _i=1Ｙ^ri)^ｘ (17)
ｂ_5i＝ｇ₂ ^riｙ (18)
を計算し、電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)(i=1, …, n)を生成する。なお、式(16), (17), (18)において、riとは、上記乱数ｒ_ｉのことを意味する。電子署名生成部１１５０は、生成元選択部１２０から生成元ｇ_１、ｇ_２を、乱数生成部１１３０から乱数ｒ_ｉ、ｘ、ｙを、さらに平文ｍ_ｉを入力され、電子署名σを出力する。

電子署名装置１１００は、公開鍵pkを登録装置３００へ、電子署名σ及び平文ｍ_ｉを検証装置１２００へ、送る。例えば、通信部１０１を介して、送信する。

このような構成とすることで、実施例１同様、電子署名σを構成する要素の数を５つから３つに少なくすることができ、実施例１と同様の効果を得ることができる。さらに、１個又は複数の平文ｍ_ｉ(ｉ＝１，…，ｎ)に対して電子署名σを生成することができるため、実施例１の方法により複数の平文に対し、複数の電子署名を作成するのに比べ、処理を軽減することができる。また、電子署名の情報量、通信量を小さくすることができる。

［検証装置１２００］
図９に示すように、検証装置１２００は、通信部２０１と、記憶部２０３と、制御部２０５と、判定部１２２０を有する。

＜判定部１２２０＞
判定部１２２０は、以下の等式全てがｉ＝１，…，ｎの全てについて成立するか否かを判定する。成立する場合には受理し、成立しない場合には拒否する。
e(ｂ_1i，ｇ_２)＝e(ｍ_iｇ_１，ｂ_5i) (19)
e(ｂ_３，ｇ_２)＝e(Πⁿ _i=1ｂ_1i，Ｘ') (20)
判定部１２２０は、通信部２０１を介して、または、通信部２０１及び記憶部２０３を介して、公開鍵pk、署名σ及び平文ｍ_ｉが入力される。

このような構成とすることによって、検証時の計算式を４つから２つに少なくし、実施例１同様の効果が得られる。さらに、等式の両辺を乗算にてまとめることにより、実施例１の方法により複数の電子署名を検証するのに比べ、処理を軽減することができる。
式(19), (20)による検証の妥当性は実施例１の場合と同様に示すことができる。

図１０はこの発明の第３実施例による電子署名検証システムの構成例を示し、図１１はその電子署名装置の構成例を示し、図１２は検証装置の構成例を示す。上述の実施例２ではｎ個の平文ｍ_i(i=1,…,n、ｎは１以上の整数)に対応してｎ個の乱数ｒ_iを使用したが、以下に説明するこの実施例３では、実施例１と同様に乱数ｒは１つとし、ｎ個の平文に対応してｎ個の乱数ｙ_iを使用する。ｎ＝１の場合は実質的に実施例１と同じになるが、実施例３ではｎ＝１の場合のみならず、ｎが２以上の場合にも対応できるように構成されている。

［電子署名検証システム２０００］
図１０に示すように、実施例３による電子署名検証システム２０００は、登録装置３００と、電子署名装置２１００と、検証装置２２００からなる。電子署名装置２１００は、複数の平文ｍ_ｉを検証装置２２００に送る際に、電子署名σを添付するために、登録装置３００に対して、公開パラメータｖを要求する。登録装置３００は、ｖを電子署名装置１００へ送る。電子署名装置２１００は、公開パラメータｖから公開鍵pkを生成し、登録装置３００へ送る。さらに、平文ｍ_ｉ、公開鍵pk及び秘密鍵skを用いて、電子署名σを生成する。電子署名装置２１００は、電子署名σ及び平文ｍ_ｉを検証装置２２００へ送る。

検証装置２２００は、電子署名σに対応する公開鍵pkを登録装置３００へ要求する。登録装置３００は、pkを検証装置２２００へ送る。検証装置２２００は、電子署名σ、平文ｍ_ｉ、公開鍵pkを用いて、改竄及び成りすまし等が行われていないか検証する。以下、電子署名装置２１００及び検証装置２２００について詳細を説明する。

［電子署名装置２１００］
図１１に示すように、電子署名装置２１００は、通信部１０１と、記憶部２１０３と、制御部１０５と、生成元選択部１２０と、乱数生成部２１３０と、公開鍵生成部２１４０と、電子署名生成部２１５０を有する。

＜乱数生成部２１３０及び記憶部２１０３＞
乱数生成部２１３０は、Ｚqに属する乱数ｒ、ｘ及びｙ_ｉを生成して出力する。つまり、本実施例においては、複数の平文ｍ_ｉに対応する複数の乱数ｙ_ｉを生成する。乱数生成部２１３０は、乱数ｘ、ｙ_ｉを公開鍵生成部２１４０へ、乱数ｒ、ｘ、ｙ_ｉを電子署名生成部２１５０へ出力する。記憶部２１０３は、乱数ｒ、ｘ及びｙ_ｉが記憶され、特にｘ、ｙ_ｉは秘密鍵sk＝(ｘ，ｙ_i)として秘密に記憶される。

＜公開鍵生成部２１４０＞
公開鍵生成部２１４０は、ｘ、ｙ_ｉ、及びｇ_２が入力され、Ｘ'＝ｇ_２ ^ｘ、Ｙ_ｉ'＝ｇ_２ ^ｙi、Ｙ_i＝ｇ₁ ^yi(但し、yiは、ｙ_ｉを表す）を計算し、公開鍵pk＝(ｖ，ｇ_１，ｇ_２，Ｘ'，Ｙ_i'，Ｙ_ｉ)を生成する。

＜電子署名生成部２１５０＞
電子署名生成部２１５０は、ｇ_１、ｇ_２、ｒ、ｘ、ｙ_ｉ及び平文ｍ_ｉ∈Ｇ_１が入力され、
ｂ_1i＝ｍ_i ^ｒyiＹ_i ^ｒ (21)
ｂ_３＝(Πⁿ _i=1ｍ_i ^yi)^ｒｘ(Πⁿ _i=1Ｙ_i)^ｒｘ (22)
ｂ_5i＝ｇ₂ ^ｒyi (23)
を計算し、電子署名σ＝(ｂ_1i，ｂ_３，ｂ_5i)を生成する。なお、式(21)〜(23)において、yiとは、上記乱数ｙ_ｉのことを意味する。電子署名生成部２１５０は、生成元選択部１２０から生成元ｇ_１、ｇ_２を、乱数生成部２１３０から乱数ｒ、ｘ、ｙ_ｉを、さらに平文ｍ_ｉを入力され、電子署名σを出力する。
このような構成とすることで、実施例２と同様の効果が得られる。

［検証装置２２００］
図１２に示すように、検証装置２２００は、通信部２０１と、記憶部２０３と、制御部２０５と、判定部２２２０を有する。

＜判定部２２２０＞
判定部２２２０は、以下の等式全てが成立するか否かを判定する。成立する場合には受理し、成立しない場合には拒否する。

e(ｂ_1i，ｇ_２)＝e(ｍ_iｇ_１，ｂ_5i) (24)
e(ｂ_３，ｇ_２)＝e(Πⁿ _i=1ｂ_1i，Ｘ'） (25)
式(24), (25)による検証の妥当性は実施例１の場合と同様に示すことができる。
このような構成とすることによって、実施例２と同様の効果が得られる。

＜ハードウェア構成＞
図１３は、図１に示した実施例１における電子署名装置１００のハードウェア構成を例示したブロック図である。検証装置２００及び登録装置３００も同様の構成を有する。

図１３に例示するように、この例の電子署名装置１００、検証装置２００、登録装置３００は、それぞれＣＰＵ（Central Processing Unit）１１、入力部１２、出力部１３、補助記憶装置１４、ＲＯＭ（Read Only Memory）１５、ＲＡＭ（Random Access Memory）１６及びバス１７を有している。

この例のＣＰＵ１１は、制御部１１ａ、演算部１１ｂ及びレジスタ１１ｃを有し、レジスタ１１ｃに読み込まれた各種プログラムに従って様々な演算処理を実行する。また、入力部１２は、データが入力される入力インターフェース、キーボード、マウス等であり、出力部１３は、データが出力される出力インターフェース等である。補助記憶装置１４は、例えば、ハードディスク、ＭＯ（Magneto-Optical disc）、半導体メモリ等であり、電子署名装置１００、検証装置２００及び登録装置３００としてコンピュータを機能させるためのプログラムが格納されるプログラム領域１４ａ及び各種データが格納されるデータ領域１４ｂを有している。また、ＲＡＭ１６は、ＳＲＡＭ (Static Random Access Memory)、ＤＲＡＭ (Dynamic Random Access Memory)等であり、上記のプログラムが格納されるプログラム領域１６ａ及び各種データが格納されるデータ領域１６ｂを有している。また、バス１７は、ＣＰＵ１１、入力部１２、出力部１３、補助記憶装置１４、ＲＯＭ１５及びＲＡＭ１６を通信可能に接続する。

なお、このようなハードウェアの具体例としては、例えば、パーソナルコンピュータの他、サーバ装置やワークステーション等を例示できる。

＜プログラム構成＞
上述のように、プログラム領域１４ａ，１６ａには、本実施例の電子署名装置１００、検証装置２００、登録装置３００の各処理を実行するための各プログラムが格納される。電子署名プログラム、検証プログラム及び登録プログラムを構成する各プログラムは、単一のプログラム列として記載されていてもよく、また、少なくとも一部のプログラムが別個のモジュールとしてライブラリに格納されていてもよい。また、各プログラムが単体でそれぞれの機能を実現してもよいし、各プログラムがさらに他のライブラリを読み出して各機能を実現するものでもよい。

＜ハードウェアとプログラムとの協働＞
ＣＰＵ１１（図１３）は、読み込まれたＯＳ（Operating System）プログラムに従い、補助記憶装置１４のプログラム領域１４ａに格納されている上述のプログラムをＲＡＭ１６のプログラム領域１６ａに書き込む。同様にＣＰＵ１１は、補助記憶装置１４のデータ領域１４ｂに格納されている各種データを、ＲＡＭ１６のデータ領域１６ｂに書き込む。そして、このプログラムやデータが書き込まれたＲＡＭ１６上のアドレスがＣＰＵ１１のレジスタ１１ｃに格納される。ＣＰＵ１１の制御部１１ａは、レジスタ１１ｃに格納されたこれらのアドレスを順次読み出し、読み出したアドレスが示すＲＡＭ１６上の領域からプログラムやデータを読み出し、そのプログラムが示す演算を演算部１１ｂに順次実行させ、その演算結果をレジスタ１１ｃに格納していく。

前述の図３、５は、このようにＣＰＵ１１に上述のプログラムが読み込まれて実行されることにより構成される電子署名装置１００、検証装置２００の機能構成を例示したブロック図である。

ここで、記憶部１０３及び２０３は、補助記憶装置１４、ＲＡＭ１６、レジスタ１１ｃ、その他のバッファメモリやキャッシュメモリ等の何れか、あるいはこれらを併用した記憶領域に相当する。また、通信部１０１と、記憶部１０３と、制御部１０５と、生成元選択部１２０と、乱数生成部１３０と、公開鍵生成部１４０と、電子署名生成部１５０は、ＣＰＵ１１に電子署名プログラムを実行させることにより構成されるものである。また、通信部２０１と、記憶部２０３と、制御部２０５と、判定部２２０は、ＣＰＵ１１に検証プログラムを実行させることにより構成されるものである。

また、本形態の電子署名装置１００、検証装置２００及び登録装置３００は、各制御部１０５及び２０５の制御のもと各処理を実行する。
図１３を参照性説明したこの発明をコンピュータで実施する構成は、実施例２及び３にも適用できる。

Claims

電子署名装置と、検証装置とを含む電子署名検証システムにおいて、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）とし、
前記電子署名装置は、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属する乱数ｒ、ｘ及びｙを生成する乱数生成部と、
前記ｘ、ｙ、ｇ_１及びｇ_２が入力され、Ｘ'＝ｇ_２ ^ｘ、Ｙ'＝ｇ_２ ^ｙ、Ｙ＝ｇ_１ ^ｙを計算し、公開鍵pkをpk＝(ｖ，ｇ_１，ｇ_２，Ｘ'，Ｙ'，Ｙ)として生成する公開鍵生成部と、
前記ｇ_１、ｇ_２、ｒ、ｘ、ｙ及び平文ｍが入力され、
ｂ_１＝ｍ^ｒｙＹ^ｒ、
ｂ_３＝ｍ^ｒｘｙＹ^ｒｘ、
ｂ_５＝ｇ_２ ^ｒｙ
を計算し、電子署名σ＝(ｂ_１，ｂ_３，ｂ_５)を生成する電子署名生成部と、を有し、
前記検証装置は、前記電子署名装置から前記電子署名σ及び平文ｍを受け、前記公開鍵pk、電子署名σ及び平文ｍを使って、
式(1)： e(ｂ_１，ｇ_２)＝e(ｍｇ_１，ｂ_５)
式(2)： e(ｂ_３，ｇ_２)＝e(ｂ_１，Ｘ')
を計算し、式(1)と(2)の等式全てが成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有することを特徴とする電子署名検証システム。
電子署名装置と、検証装置とを含む電子署名検証システムにおいて、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）とし、
前記電子署名装置は、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属する１以上のｎ個の乱数ｒ_i, 但し、i=1,…, n、と乱数ｘ及びｙを生成する乱数生成部と、
前記ｘ、ｙ、ｇ₁及びｇ₂が入力され、Ｘ'＝ｇ₂ ^x、Ｙ'＝ｇ₂ ^y、Ｙ＝ｇ₁ ^yを計算し、公開鍵pk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ'，Ｙ)を生成する公開鍵生成部と、
前記ｇ₁、ｇ₂、ｎ個のｒ_i、ｘ、ｙ及びｎ個の平文ｍ_iが入力され、i=1,…,nについて
ｂ_1i＝ｍ_i ^riｙＹ^ri、
ｂ₃＝(Πⁿ _i=1ｍ_i ^ri)^ｘｙ(Πⁿ _i=1Ｙ^ri)^ｘ、
ｂ_5i＝ｇ_２ ^riｙ
を計算し、電子署名σ＝(ｂ_1i，ｂ_３，ｂ_5i)を生成する電子署名生成部と、を有し、
前記検証装置は、前記電子署名装置から前記電子署名σ及びｎ個の平文ｍ_ｉを受け、前記公開鍵pk、電子署名σ及びｎ個の平文ｍ_iを使って、
式(1)： e(ｂ_1i，ｇ_２)＝e(ｍ_iｇ_１，ｂ_5i)
式(2)： e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1)と(2)の等式全てが成立するか否かをi=1,…,nについて判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有することを特徴とする電子署名検証システム。
電子署名装置と、検証装置からなる電子署名検証システムにおいて、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝(ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ)とし、
前記電子署名装置は、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属する乱数ｒ、ｘ及び１以上のｎ個の乱数ｙ_i、但し、i=1,…,n、を生成する乱数生成部と、
前記ｘ、ｙ_ｉ、ｇ_１及びｇ_２が入力され、Ｘ'＝ｇ_２ ^ｘ、Ｙ'_ｉ＝ｇ_２ ^ｙｉ、Ｙ_i＝ｇ₁ ^yiを計算し、公開鍵pk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ'_i，Ｙ_i)を生成する公開鍵生成部と、
前記ｇ_１、ｇ_２、ｒ、ｘ、ｙ_ｉ及びｎ個の平文ｍ_ｉが入力され、
ｂ_1i＝ｍ_i ^ryiＹ_i ^r、
ｂ₃＝(Πⁿ _i=1ｍ_i ^yi)^rx(Πⁿ _i=1Ｙ_i)^rx、
ｂ_5i＝ｇ₂ ^ryi
を計算し、電子署名σ＝(ｂ_1i，ｂ_３，ｂ_5i)を生成する電子署名生成部と、を有し、
前記検証装置は、前記電子署名装置から前記電子署名σ及びｎ個の平文ｍ_ｉを受け、前記公開鍵pk、電子署名σ及びｎ個の平文ｍ_iを使って
式(1)： e(ｂ_1i，ｇ₂)＝e(ｍ_iｇ_１，ｂ_5i)
式(2)： e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1), (2)の等式全てがi=1,…,nについて成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有することを特徴とする電子署名検証システム。
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）とし、
Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属する乱数ｒ、ｘ及びｙを生成する乱数生成部と、
前記ｘ、ｙ、ｇ_１及びｇ_２が入力され、Ｘ'＝ｇ₂ ^ｘ、Ｙ'＝ｇ₂ ^y、Ｙ＝ｇ₁ ^yを計算し、公開鍵pk＝(ｖ，ｇ_１，ｇ_２，Ｘ'，Ｙ'，Ｙ)を生成する公開鍵生成部と、
前記ｇ_１、ｇ_２、ｒ、ｘ、ｙ及び平文ｍが入力され、
ｂ₁＝ｍ^ryＹ^ｒ、
ｂ_３＝ｍ^rxyＹ^rx、
ｂ_５＝ｇ₂ ^ry
を計算し、電子署名σ＝(ｂ₁，ｂ₃，ｂ₅)を生成する電子署名生成部と、
を有し、前記電子署名σ及び平文ｍを検証装置へ送ることを特徴とする電子署名装置。
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）とし、
Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属する１以上のｎ個の乱数ｒ_i、但し、i=1,…,n、及び乱数ｘとｙを生成する乱数生成部と、
前記ｘ、ｙ、ｇ_１及びｇ_２が入力され、Ｘ'＝ｇ_２ ^ｘ、Ｙ'＝ｇ_２ ^ｙ、Ｙ＝ｇ₁ ^yを計算し、公開鍵pk＝(ｖ、ｇ₁、ｇ₂、Ｘ'，Ｙ'，Ｙ)を生成する公開鍵生成部と、
前記ｇ_１、ｇ_２、ｒ_ｉ、ｘ、ｙ及びｎ個の平文ｍ_ｉが入力され、
ｂ_1i＝ｍ_i ^riyＹ^ri、
ｂ_３＝(Πⁿ _i=1ｍ_i ^ri)^xy(Πⁿ _i=1Ｙ^ri)^ｘ、
ｂ_5i＝ｇ₂ ^riｙ
を計算し、電子署名σ＝(ｂ_1i，ｂ_３，ｂ_5i)を生成する電子署名生成部と、
を有し、電子署名σ及びｎ個の平文ｍ_ｉを検証装置へ送ることを特徴とする電子署名装置。
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）とし、
Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択部と、
Ｚqに属する乱数ｒ、ｘと１以上のｎ個の乱数ｙ_i、但しi=1,…,n、を生成する乱数生成部と、
前記ｘ、ｙ、ｇ_１及びｇ_２が入力され、Ｘ'＝ｇ₂ ^x、Ｙ_i'＝ｇ₂ ^yi、Ｙ_i＝ｇ₁ ^yiを計算し、公開鍵pk＝(ｖ、ｇ₁、ｇ₂、Ｘ'，Ｙ_i'，Ｙ_i)を生成する公開鍵生成部と、
前記ｇ_１、ｇ_２、ｒ、ｘ、ｎ個のｙ_i及びｎ個の平文ｍ_ｉが入力され、
ｂ_1i＝ｍ_i ^ryiＹ_i ^r、
ｂ_３＝(Πⁿ _i=1ｍ_i ^yi)^rx(Πⁿ _i=1Ｙ_i)^rx、
ｂ_5i＝ｇ₂ ^ryi
を計算し、電子署名σ＝(ｂ_1i，ｂ_３，ｂ_5i)を生成する電子署名生成部と、
を有し、電子署名σ及びｎ個の平文ｍ_ｉを検証装置へ送ることを特徴とする電子署名装置。
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、ｇ₁及びｇ₂、をそれぞれＧ_１，Ｇ_２の生成元とし、公開パラメータｖをｖ＝(ｑ，Ｇ₁，Ｇ₂，Ｇ_T，ｅ)とし、公開鍵pkをpk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ'，Ｙ)とし、Ｘ'＝ｇ₂ ^x、Ｙ'＝ｇ₂ ^y、Ｙ＝ｇ₁ ^yとし、ｘ、ｙをＺqに属する乱数とし、
電子署名装置から電子署名σ＝(ｂ₁，ｂ₃，ｂ₅)及び平文ｍを受ける通信部と、公開鍵pk、電子署名σ及び平文ｍを使って、
(1) e(ｂ₁，ｇ₂)＝e(ｍｇ₁，ｂ₅)
(2) e(ｂ₃，ｇ₂)＝e(ｂ₁，Ｘ')
を計算し、式(1), (2)の等式全てが成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有することを特徴とする検証装置。
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、ｇ₁及びｇ₂、をそれぞれＧ_１，Ｇ_２の生成元とし、公開パラメータｖをｖ＝(ｑ，Ｇ₁，Ｇ₂，Ｇ_T，ｅ)とし、公開鍵pkをpk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ'，Ｙ)とし、Ｘ'＝ｇ₂ ^x、Ｙ'＝ｇ₂ ^y、Ｙ＝ｇ₁ ^yとし、ｘ、ｙをＺqに属する乱数とし、
電子署名装置から電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)及び１以上のｎ個の平文ｍ_ｉ、但し、i=1,…,n、を受ける通信部と、
公開鍵pk、電子署名σ及びｎ個の平文ｍ_ｉを使って、
(1) e(ｂ_1i，ｇ₂)＝e(ｍ_iｇ_１，ｂ_5i)
(2) e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1), (2)の等式全てがi=1,…,nについて成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有することを特徴とする検証装置。
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、ｇ₁及びｇ₂、をそれぞれＧ_１，Ｇ_２の生成元とし、公開パラメータｖをｖ＝(ｑ，Ｇ₁，Ｇ₂，Ｇ_T，ｅ)とし、公開鍵pkをpk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ_i'，Ｙ_i)とし、Ｘ'＝ｇ₂ ^x、Ｙ_i'＝ｇ₂ ^yi、Ｙ_i＝ｇ₁ ^yiとし、ｘ、ｙ_iをＺqに属する乱数とし、
電子署名装置から電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)及び１以上のｎ個の平文ｍ_ｉを受ける通信部と、
公開鍵pk、電子署名σ及びｎ個の平文ｍ_ｉを使って、
(1) e(ｂ_1i，ｇ₂)＝e(ｍ_iｇ_１，ｂ_5i)
(2) e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1), (2)の等式全てがi=1,…,nについて成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定部を有することを特徴とする検証装置。
電子署名装置と、検証装置を用いる電子署名検証方法であって、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）として、前記電子署名装置が、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択ステップと、
前記電子署名装置が、Ｚqに属する乱数ｒ、ｘ及びｙを生成する乱数生成ステップと、
前記電子署名装置が、前記ｘ、ｙ、ｇ_１及びｇ_２を用いて、Ｘ'＝ｇ_２ ^ｘ、Ｙ'＝ｇ_２ ^ｙ、及びＹ＝ｇ₁ ^yを計算し、公開鍵pk＝(ｖ、ｇ₁、ｇ₂、Ｘ'，Ｙ'，Ｙ)を生成して公開するステップと、
前記電子署名装置が、前記ｇ_１、ｇ_２、ｒ、ｘ、ｙ及び平文ｍを用いて、
ｂ₁＝ｍ^ryＹ^ｒ、
ｂ₃＝ｍ^ryxＹ^rx、
ｂ₅＝ｇ₂ ^ry
を計算し、電子署名σ＝(ｂ₁，ｂ₃，ｂ₅)を生成する電子署名生成ステップと、
前記検証装置が、前記公開鍵pkと、前記電子署名装置から受け取った前記電子署名σ及び平文ｍとを使って
前記検証装置が、
式(1)： e(ｂ₁，ｇ₂)＝e(ｍｇ₁，ｂ₅)
式(2)： e(ｂ₃，ｇ₂)＝e(ｂ₁，Ｘ')
を計算し、式(1), (2)の等式全てが成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定ステップを有する、
ことを特徴とする電子署名検証方法。
電子署名装置と、検証装置を用いる電子署名検証方法であって、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）として、前記電子署名装置が、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択ステップと、
前記電子署名装置が、Ｚqに属する１以上のｎ個の乱数ｒ_i、但し、i=1,…,ｎであり、ｘ及びｙを生成する乱数生成ステップと、
前記電子署名装置が、前記ｘ、ｙ、ｇ_１及びｇ_２を用いて、Ｘ'＝ｇ_２ ^ｘ、Ｙ'＝ｇ_２ ^ｙ、及びＹ＝ｇ₁ ^yを計算し、公開鍵pk＝(ｖ、ｇ₁、ｇ₂、Ｘ'，Ｙ'，Ｙ)を生成して公開するステップと、
前記電子署名装置が、前記ｇ_１、ｇ_２、ｎ個のｒ_ｉ、ｘ、ｙ及びｎ個の平文ｍ_ｉを用いて、
ｂ_1i＝ｍ_i ^riyＹ^ri、
ｂ₃＝(Πⁿ _i=1ｍ_i ^ri)^yx(Πⁿ _i=1Ｙ^ri)^x、
ｂ_5i＝ｇ₂ ^riy
を計算し、電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)を生成する電子署名生成ステップと、
前記検証装置が、前記公開鍵pkと、前記電子署名装置から受け取った前記電子署名σ及びｎ個の平文ｍ_ｉとを使って
前記検証装置が、
式(1)： e(ｂ_1i，ｇ₂)＝e(ｍ_iｇ₁，ｂ_5i)
式(2)： e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1), (2)の等式全てがi=1,…,nについて成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定ステップを有する、
ことを特徴とする電子署名検証方法。
電子署名装置と、検証装置を用いる電子署名検証方法であって、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）として、前記電子署名装置が、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択ステップと、
前記電子署名装置が、Ｚqに属する乱数ｒ、ｘ及び１以上のｎ個の乱数ｙ_i、但し、i=1,…,n、を生成する乱数生成ステップと、
前記電子署名装置が、前記ｘ、ｙ_i、ｇ_１及びｇ_２を用いて、Ｘ'＝ｇ₂ ^x、Ｙ_i'＝ｇ₂ ^yi、及びＹ_i＝ｇ₁ ^yiを計算し、公開鍵pk＝(ｖ、ｇ₁、ｇ₂、Ｘ'，Ｙ_i'，Ｙ_i)を生成して公開するステップと、
前記電子署名装置が、前記ｇ_１、ｇ_２、ｒ、ｘ、ｎ個のｙ_i及びｎ個の平文ｍ_ｉを用いて、
ｂ_1i＝ｍ_i ^ryiＹ^ｒ、
ｂ₃＝(Πⁿ _i=1ｍ_i ^yi)^rx(Πⁿ _i=1Ｙ_i)^rx、
ｂ_5i＝ｇ₂ ^ryi
を計算し、電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)を生成する電子署名生成ステップと、
前記検証装置が、前記公開鍵pkと、前記電子署名装置から受け取った前記電子署名σ及びｎ個の平文ｍ_ｉとを使って
前記検証装置が、
式(1)： e(ｂ_1i，ｇ₂)＝e(ｍ_iｇ₁，ｂ_5i)
式(2)： e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1), (2)の等式全てがi=1,…,nについて成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定ステップを有する、
ことを特徴とする電子署名検証方法。
電子署名装置が平文に対する電子署名を生成する電子署名方法であり、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）として、
生成元選択部で、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択ステップと、
乱数生成部で、Ｚqに属する乱数ｒ、ｘ及びｙを生成する乱数生成ステップと、
公開鍵生成部で、前記ｘ、ｙ、ｇ₁及びｇ₂を用いて、Ｘ'＝ｇ₂ ^x、Ｙ'＝ｇ₂ ^y,、Ｙ＝ｇ₁ ^yを計算し、公開鍵pk＝(ｖ、ｇ₁，ｇ₂，Ｘ'，Ｙ'，Ｙ)を生成する公開鍵生成ステップと、
電子署名生成部で、前記ｇ_１、ｇ_２、ｒ_ｉ、ｘ、ｙ及び平文ｍを用いて、
ｂ₁＝ｍ^ryＹ^ｒ、
ｂ₃＝ｍ^ryxＹ^rx、
ｂ₅＝ｇ₂ ^ry
を計算し、電子署名σ＝(ｂ₁，ｂ₃，ｂ₅)を生成する電子署名生成ステップと、
を有する電子署名方法。
電子署名装置が平文に対する電子署名を生成する電子署名方法であり、
生成元選択部でｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）として、前記電子署名装置が、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択ステップと、
乱数生成部で、Ｚqに属する１以上のｎ個の乱数ｒ_ｉ、但し、i=1,…,n、と乱数ｘ及びｙを生成する乱数生成ステップと、
公開鍵生成部で、前記ｘ、ｙ、ｇ₁及びｇ₂を用いて、Ｘ'＝ｇ₂ ^x、Ｙ'＝ｇ₂ ^y,、Ｙ＝ｇ₁ ^yを計算し、公開鍵pk＝(ｖ、ｇ₁，ｇ₂，Ｘ'，Ｙ'，Ｙ)を生成する公開鍵生成ステップと、
電子署名生成部で、前記ｇ_１、ｇ_２、ｒ_ｉ、ｘ、ｙ及びｎ個の平文ｍ_ｉを用いて、
ｂ_1i＝ｍ_i ^riyＹ^ｒｉ、
ｂ₃＝(Πⁿ _i=1ｍ_i ^ri)^yx(Πⁿ _i=1Ｙ^ri)^x、
ｂ_5i＝ｇ₂ ^riy
を計算し、電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)を生成する電子署名生成ステップと、
を有する電子署名方法。
電子署名装置が平文に対する電子署名を生成する電子署名方法であり、
生成元選択部でｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、公開パラメータをｖ＝（ｑ，Ｇ_１，Ｇ_２，Ｇ_T，ｅ）として、前記電子署名装置が、Ｇ_１及びＧ_２からそれぞれ生成元ｇ_１及びｇ_２を無作為に選択する生成元選択ステップと、
乱数生成部で、Ｚqに属する乱数ｒ、ｘ及び１以上のｎ個の乱数ｙ_i、但し、i=1,…,n、を生成する乱数生成ステップと、
公開鍵生成部で、前記ｘ、ｙ_i、ｇ₁及びｇ₂を用いて、Ｘ'＝ｇ₂ ^x、Ｙ_i'＝ｇ₂ ^yi,、Ｙ_i＝ｇ₁ ^yiを計算し、公開鍵pk＝(ｖ、ｇ₁，ｇ₂，Ｘ'，Ｙ_i'，Ｙ_i)を生成する公開鍵生成ステップと、
電子署名生成部で、前記ｇ_１、ｇ_２、ｒ、ｘ、ｎ個のｙ_i及びｎ個の平文ｍ_ｉを用いて、
ｂ_1i＝ｍ_i ^ryiＹ_i ^r、
ｂ₃＝(Πⁿ _i=1ｍ_i ^yi)^rx(Πⁿ _i=1Ｙ_i)^rx、
ｂ_5i＝ｇ₂ ^ryi
を計算し、電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)を生成する電子署名生成ステップと、
を有する電子署名方法。
検証装置が平文に対する電子署名を検証する検証方法であり、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、ｇ₁及びｇ₂、をそれぞれＧ_１，Ｇ_２の生成元とし、公開パラメータｖをｖ＝(ｑ，Ｇ₁，Ｇ₂，Ｇ_T，ｅ)とし、公開鍵pkをpk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ'，Ｙ)とし、Ｘ'＝ｇ₂ ^x、Ｙ'＝ｇ₂ ^y、Ｙ＝ｇ₁ ^yとし、ｘ、ｙをＺqに属する乱数とし、
通信部で電子署名装置から電子署名σ＝(ｂ₁，ｂ₃，ｂ₅)及び平文ｍを受ける受信ステップと、
判定部で公開鍵pk、電子署名σ及び平文ｍを使って、
(1) e(ｂ₁，ｇ₂)＝e(ｍｇ₁，ｂ₅)
(2) e(ｂ₃，ｇ₂)＝e(ｂ₁，Ｘ')
を計算し、式(1), (2)の等式全てが成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定ステップを有する検証方法。
検証装置が平文に対する電子署名を検証する検証方法であり、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、ｇ₁及びｇ₂、をそれぞれＧ_１，Ｇ_２の生成元とし、公開パラメータｖをｖ＝(ｑ，Ｇ₁，Ｇ₂，Ｇ_T，ｅ)とし、公開鍵pkをpk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ'，Ｙ)とし、Ｘ'＝ｇ₂ ^x、Ｙ'＝ｇ₂ ^y、Ｙ＝ｇ₁ ^yとし、ｘ、ｙをＺqに属する乱数とし、
通信部で電子署名装置から電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)及びｎ個の平文ｍ_ｉを受ける受信ステップと、
判定部で公開鍵pk、電子署名σ及び１以上のｎ個の平文ｍ_ｉ、但し、i=1,…,n、を使って、
(1) e(ｂ_1i，ｇ₂)＝e(ｍ_iｇ_１，ｂ_5i)
(2) e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1), (2)の等式全てがi=1,…,nについて成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定ステップと、
を有する検証方法。
検証装置が平文に対する電子署名を検証する検証方法であり、
ｑを素数とし、Ｇ_１、Ｇ_２、Ｇ_Ｔを位数ｑの群とし、ｅをバイリニアマップｅ：Ｇ_１×Ｇ_２→Ｇ_Tとし、ｇ₁及びｇ₂、をそれぞれＧ_１，Ｇ_２の生成元とし、公開パラメータｖをｖ＝(ｑ，Ｇ₁，Ｇ₂，Ｇ_T，ｅ)とし、公開鍵pkをpk＝(ｖ，ｇ₁，ｇ₂，Ｘ'，Ｙ_i'，Ｙ_i)とし、Ｘ'＝ｇ₂ ^x、Ｙ_i'＝ｇ₂ ^yi、Ｙ_i＝ｇ₁ ^yiとし、ｘ及びｎ個のｙ_iをＺqに属する乱数とし、
通信部で電子署名装置から電子署名σ＝(ｂ_1i，ｂ₃，ｂ_5i)及び１以上のｎ個の平文ｍ_ｉを受ける受信ステップと、
判定部で公開鍵pk、電子署名σ及び１以上のｎ個の平文ｍ_ｉ、但し、i=1,…,n、を使って、
(1) e(ｂ_1i，ｇ₂)＝e(ｍ_iｇ_１，ｂ_5i)
(2) e(ｂ₃，ｇ₂)＝e(Πⁿ _i=1ｂ_1i，Ｘ')
を計算し、式(1), (2)の等式全てがi=1,…,nについて成立するか否かを判定し、成立する場合には受理し、成立しない場合には拒否する判定ステップと、
を有する検証方法。
請求項４，５又は６のいずれか記載の電子署名装置としてコンピュータを機能させるための電子署名プログラム。
請求項７，８又は９のいずれか記載の検証装置としてコンピュータを機能させるための検証プログラム。