JP5457991B2 - ディジタル署名・検証システム、ディジタル署名・検証方法、署名装置、検証装置、及びそれらのプログラム - Google Patents

Description

本発明は、電気通信システムに関し、強偽造不可能性を持つ安全なディジタル署名・検証システム、ディジタル署名・検証方法、署名装置、検証装置、及びそれらのプログラムに関する。

ディジタル署名はメッセージｍに対して、公開鍵pkに対応する秘密鍵skを知る署名者が、メッセージｍに対して秘密鍵skを正しく使ったときにのみ計算できる値ｓを算出し、これを電子的な署名として用いるものである。正しく計算された署名は誰でも公開鍵pkを用いてその正当性を検証することが可能であり、秘密鍵skを知らないいかなる第三者も正当な署名ｓを算出することはできない。

ディジタル署名は電子現金やクレデンシャルシステムなど、様々な暗号プロトコルにおいて基本的な構成要素として利用されている。特に、利用者のプライバシーを必要とする応用においては、ゼロ知識証明と組み合わせることにより、署名ｓを明かさないまま、あるメッセージｍに対する正しい署名ｓを保持しているという事実を任意の第三者に納得させるなど、高度な利用形態がしばしば見受けられる。

近年のペアリング技術の進展により、群の要素がある関係を満たすという事実を効率的に証明するゼロ知識証明が構成可能となった（非特許文献１参照）。これによって、署名ｓが効率的なペアリングを持つ群Ｇの要素である場合、すなわちｓ∈Ｇである場合に、前述のように署名ｓを明かさないまま正しい署名ｓを保持しているという事実を証明することが可能となった。

例えば、非特許文献２で開示されているCL-Signatureと呼ばれる方法では、メッセージｍ∈Ｚ_qに対する署名ｓは３つの群要素（ａ，ｂ，ｃ）∈Ｇ³から構成されている。

しかしながらCL-Signatureのように、ランダムオラクルモデル等の理想化された構成要素を用いず、数論的な仮定のみにより安全性が証明できる既存の署名方法では、メッセージｍが群Ｇの要素ではないため、メッセージｍを秘匿した状態でその秘匿したメッセージに対する正しい電子署名を保持していることを証明するという応用には適さない。

メッセージｍが群Ｇの要素である場合にも安全な署名方法として、CL-Signatureを改良した方法が非特許文献３で開示されている。この方法はランダムメッセージ攻撃に対しても安全である。ただし、より強い攻撃である選択メッセージ攻撃に対する安全性は不明である。

メッセージが群要素である場合に、選択メッセージ攻撃に強いことが保証されている方法（ＡＨＯ方式）が非特許文献４で開示されている。このＡＨＯ方式による従来のディジタル署名・検証システム２００について、以下、説明する。

図１にディジタル署名・検証システム２００の機能構成例を、図２にその処理フロー例（Ｓ１〜６）をそれぞれ示す。

ディジタル署名・検証システム２００は、署名装置１１０と検証装置１２０とからなる。署名装置１１０と検証装置１２０との間は、任意のネットワーク５０で結ばれる。

署名装置１１０は、生成元選択部１１１と公開情報生成部１１２と乱数生成部１１３と鍵生成部１１４と署名生成部１１５とを備える。

生成元選択部１１１は、Ｇ₁、Ｇ₂がそれぞれ位数ｐ（ｐは素数）の群であるとして、生成元g1とＧ₁から、g2をＧ₂から、ｇ_rとｈ_uを単位元を除くＧ₁から、それぞれランダムに選択する（Ｓ１）。

公開情報生成部１１２は、公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する（Ｓ２）。ここで、ｅはバイリニアマップであり、ｅ：Ｇ₁×Ｇ₂→Ｇ_Tである。

乱数生成部１１３は、１以上ｐ−１以下のランダムな整数α、β、γ_z、δ_z、γ_i(ｉ＝１,・・・,ｋ、ｋはセキュリティパラメータで２以上の整数）、δ_i、ζ、ρ、τ、ψ及びωを生成する（Ｓ３）。

鍵生成部１１４は、(ｇ_r,g2^α)をランダマイズしてａ₀₀、ａ₀₁、ａ₁₀、ａ₁₁を計算し、(ｈ_u,g2^β)をランダマイズしてｂ₀₀、ｂ₀₁、ｂ₁₀、ｂ₁₁を計算し、更に、

を計算して、公開鍵vk＝(ｇ_z,ｈ_z,ｇ_r,ｈ_u,ｇ₁,・・・,ｇ_k,ｈ₁,・・・,ｈ_k,ａ₀₀,ａ₀₁,ａ₁₀,ａ₁₁,ｂ₀₀,ｂ₀₁,ｂ₁₀,ｂ₁₁）及び秘密鍵sk＝(vk,α,β,γ_z,δ_z,γ₁,・・・,γ_k,δ₁,・・・,δ_k)を生成し、公開鍵vkを公開する（Ｓ４）。なお、秘密鍵skは署名装置内に安全に格納される。

署名生成部１１５は、Ｇ₂の１以外の元であるメッセージｍ＝(ｍ₁，・・・,ｍ_k)が入力され、

を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ,ｖ,ｗ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k)とともに送信する（Ｓ５）。メッセージｍの長さは、セキュリティパラメータｋに依存して決定され、短いメッセージに対しては明示的に１でパディングされるものとする。

検証装置１２０は、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ,ｖ,ｗ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k)を受信し、公開鍵vk＝(ｇ_z,ｈ_z,ｇ_r,ｈ_u,ｇ₁,・・・,ｇ_k,ｈ₁,・・・,ｈ_k,ａ₀₀,ａ₀₁,ａ₁₀,ａ₁₁,ｂ₀₀,ｂ₀₁,ｂ₁₀,ｂ₁₁）を用いて、２つの検証式

の成否を計算し、共に成立すれば署名は正しく、改ざんされていないとの検証結果（例えばそれを意味する数値である１）を出力し、それ以外の場合は署名は正しくないとの検証結果（例えばそれを意味する数値である０）を出力する（Ｓ６）。

Jens Groth and Amit Sahai, "Efficient Non-interactive Proof Systems for Bilinear Groups", Eurocrypt2008, LNCS 2965, p.415-432 Jan Camenisch and Anna Lysyanskaya,"Signature Schemes and Anonymous Credentials from Bilinear Maps", Crypto 2004, LNCS 3152, p.56-72 Matthew Green and Susan Hohenberger,"Universally Composable Adaptive Oblivious Transfer", IACR e-Print archive, 2008, [2010年10月4日検索]、インターネット<URL: http://eprint.iacr.org/2008/163.pdf> Masayuki Abe, Kristiyan Haralambiev, Miyako Ohkubo,"Signing on Elements in Bilinear Groups for Modular Protocol Design", IACR e-Print archive, 2010, [2010年10月4日検索]、インターネット<URL: http://eprint.iacr.org/2010/133.pdf>

従来技術（ＡＨＯ方式）では、署名が群の要素７つからなり、また、検証においては１０＋２ｋ個のペアリング演算を要するため、署名長、演算量共に多い。また、あるメッセージに対する署名を入手すると、同じメッセージに対して別の署名を作り出すことが容易である。例えば、上記の検証式には署名要素ｓ，ｔのみからなるペアリング演算ｅ(ｓ,ｔ)が含まれており、この演算に対し攻撃者がｓ,ｔの両方を操作できる。そのため、攻撃者が一旦メッセージｍに対する署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ,ｖ,ｗ)を入手すると、例えば偽造署名σ'＝(ｚ,ｒ,ｓ^k,ｔ^1/k,ｕ,ｖ,ｗ)を得ることができてしまう。この場合、ｅ(ｓ,ｔ)＝ｅ(ｓ^k,ｔ^1/k)である結果、σ'も検証に合格してしまうため、ｍに対する正しい署名ということになる。すなわち、安全性のレベルについて、通常の偽造不可能性（existential unforgeability：新たなメッセージに対する署名を偽造できない）までしか満たすことができず、強偽造不可能性（strongly existential unforgeability：同一メッセージに対しても異なる署名を生成できない）はない。

本発明の目的は、群要素メッセージに対するディジタル署名・検証方式において、従来より公開鍵、署名の長さが短く、検証式の計算量が少なく、高い安全性が証明可能であり、かつ、強偽造不可能なディジタル署名・検証システム、ディジタル署名・検証方法、署名装置、検証装置、及びそのプログラムを提供することにある。

本発明のディジタル署名・検証システムは、署名装置と検証装置とからなる。 署名装置は、生成元選択部と公開情報生成部と乱数生成部と鍵生成部と署名生成部とを備える。

生成元選択部は、Ｇ₁、Ｇ₂がそれぞれ位数ｐの群（ｐは素数）であるとして、生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する。

公開情報生成部は、公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する。ここで、ｅはバイリニアマップであり、ｅ：Ｇ₁×Ｇ₂→Ｇ_Tである。

乱数生成部は、１以上ｐ−１以下のランダムな整数δ_u、α、γ_z、δ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,ｋ、ｋは２以上の整数）、δ_i、ζ,ρ,及びτを生成する。

鍵生成部は、

を計算し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）及び秘密鍵sk＝(γ_z,α,γ₁,・・・,γ_k,δ_z,δ_u,δ_s,δ_t,δ₁,・・・,δ_k)を生成し、公開鍵vkを公開する。

署名生成部は、Ｇ₂の１以外の元であるメッセージｍ＝(ｍ₁，・・・,ｍ_k)が入力され、

を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k)とともに送信する。

検証装置は、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k)を受信し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）を用いて、２つの検証式

の成否を計算し、共に成立すれば署名は正しいとの検証結果を出力し、それ以外の場合は署名は正しくないとの検証結果を出力する。

本発明の本発明のディジタル署名・検証システム、ディジタル署名・検証方法、署名装置、検証装置、及びそのプログラムによれば、群要素メッセージに対するディジタル署名・検証方式について、従来より公開鍵、署名の長さが短く、検証式の計算量が少なく、高い安全性が証明可能であり、かつ強偽造不可能なディジタル署名・検証方式を提供することができる。

本発明のディジタル署名・検証システムの機能構成例を示す図。 本発明のディジタル署名・検証システムの処理フロー例を示す図。

以下、本発明の実施の形態について、詳細に説明する。

本発明の特徴は、従来技術（ＡＨＯ方式）における２つの検証式において、両方の式で共通して使用される署名要素の個数が多くなるように、かつ、一方の検証式が署名要素のみからなるペアリングを持つときに他方の式でそれらの要素を別々のペアリング演算に入力するように、検証式を構成する点にある。共通して使用される署名要素の個数が増えることで、攻撃者が署名要素の一部を改ざんしても、両方の検証式を同時に満たすことが一層困難になるため、署名の偽造に対する安全性を損なうことなく、検証式の一方から公開鍵の一部を除去して検証式を簡略化することが可能となる。そして、検証式の簡略化により、公開鍵、署名ともに不必要な要素を除去することができ、従来より公開鍵、署名の長さを短くすることができる。また、一方の検証式が署名要素のみからなるペアリングを持つときに、他方の式でそれらの要素を別々のペアリング演算に入力するように検証式を構成することで、一方の検証式において署名要素のみからなるペアリングに入力されていた署名要素が乱数成分によりランダム化され、他方の検証式が満たされなくなる。これにより、強偽造不可能性が提供される。

以下、具体的な構成例について説明する。

図１に本発明のディジタル署名・検証システム１００の機能構成例を、図２にその処理フロー例（Ｓ１〜６）をそれぞれ示す。

本発明のディジタル署名・検証システム１００は、署名装置１１０と検証装置１２０とからなる。署名装置１１０と検証装置１２０との間は、任意のネットワーク５０で結ばれる。

署名装置１１０は、生成元選択部１１１と公開情報生成部１１２と乱数生成部１１３と鍵生成部１１４と署名生成部１１５とを備える。

生成元選択部１１１は、Ｇ₁、Ｇ₂がそれぞれ位数ｐの群（ｐは素数）であるとして、生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する（Ｓ１）。なお、Ｇ₁とＧ₂は同一の群でも異なる群でも構わない。

公開情報生成部１１２は、公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する（Ｓ２）。ここで、ｅはバイリニアマップであり、ｅ：Ｇ₁×Ｇ₂→Ｇ_Tである。

乱数生成部１１３は、１以上ｐ−１以下のランダムな整数δ_u、α、γ_z、δ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,ｋ、ｋはセキュリティパラメータで２以上の整数）、δ_i、ζ,ρ,及びτを生成する（Ｓ３）。

鍵生成部１１４は、

を計算し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）及び秘密鍵sk＝(γ_z,α,γ₁,・・・,γ_k,δ_z,δ_u,δ_s,δ_t,δ₁,・・・,δ_k)を生成し、公開鍵vkを公開する（Ｓ４）。なお、秘密鍵skは署名装置内に安全に格納される。

署名生成部１１５は、Ｇ₂の１以外の元であるメッセージｍ＝(ｍ₁，・・・,ｍ_k)が入力され、

を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k)とともに送信する（Ｓ５）。メッセージｍの長さは、セキュリティパラメータｋに依存して決定され、短いメッセージに対しては明示的に１でパディングされるものとする。

検証装置１２０は、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k)を受信し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）を用いて、２つの検証式

の成否を計算し、共に成立すれば署名は正しく、改ざんされていないとの検証結果（例えばそれを意味する数値である１）を出力し、それ以外の場合は署名は正しくないとの検証結果（例えばそれを意味する数値である０）を出力する（Ｓ６）。

以上のように、本発明においては、２つの検証式で共通して使用される署名要素を増やし、かつ、一方の検証式が署名要素のみからなるペアリングを持つときに、他方の式でそれらの要素を別々のペアリング演算に入力するように検証式を構成する。

これにより、攻撃者が署名要素の一部を改ざんしても両方の検証式を同時に満たすことが一層困難となり、署名の偽造に対する安全性を損なうことなく、検証式の一方から公開鍵の一部を除去して検証式を簡略化できる。そして、この簡略化により、公開鍵、署名ともに不必要な要素を除去することができ、署名の群要素の数を７個から５個に、検証時のペアリング演算の個数を１０＋２ｋ個から８＋２ｋ個に減らすことができる。これにより、従来より公開鍵、署名の長さが短く、検証式の計算量が少なく、かつ、高い安全性が証明可能な、効率のよい署名方式を提供することができる。具体的には、署名長が短くなることで、通信帯域及びメモリを削減することができ、検証の計算量が少ないことにより、高速な署名検証が可能となる。

また、一方の検証式が署名要素のみからなるペアリング演算ｅ(ｓ,ｔ)を含んでいるが、他方の検証式でそれらの要素を別々のペアリング演算ｅ(ｓ,ｈ_s)、ｅ(ｈ_t,ｔ)に入力するように検証式を構成することで、一方の検証式において署名要素のみからなるペアリング演算ｅ(ｓ,ｔ)に入力されていた署名要素ｓ,ｔが乱数成分によりランダム化され、他方の検証式が満たされなくなる。更に、ｈ_sとｈ_tは既に生成された公開鍵を構成する値であるため、ｅ(ｓ,ｈ_s)やｅ(ｈ_t,ｔ)を偽造することはより困難になる。以上により、強偽造不可能性が提供される。

なお、検証式で用いるペアリング演算ｅ(ａ,g2)について、予め署名装置１１０の鍵生成部１１４でＡ＝ｅ(ａ,g2)と計算しておき、このＡをａの代わりに公開鍵vkに含め、これをそのまま検証式で用いてもよい。このように構成することで、検証時に行うペアリング演算をさらに１個減らすことができる。ただし、この場合、ａよりもＡの方が表現が長いため、公開鍵vkの長さが長くなる。また、この署名をゼロ知識証明と組み合わせる場合、検証式はＧ₁、Ｇ₂の要素のみから成り立っていることが望ましいため、Ａを直接検証式に使うことができず、ｅ(ａ,g2)のようにａとg2とをバラにして提供する必要が生じる。もっとも、ゼロ知識証明よりもやや弱い証明系であるWitness-Indistinguishable証明を組み合わせる場合には、検証式にＧ_Tの要素が入っていても構わないため、その場合にはＡのまま利用が可能である。従って、公開鍵としてａを含めるかＡを含めるかは、ユーザが本発明の署名方式をどのように使いたいかにより任意に選択すればよい。

実施例１は、群要素メッセージｍがＧ₂に属する要素のみから成るものに対して適用可能な構成である。一方、実施例２は、群要素メッセージｍがＧ₁、Ｇ₂の両方にまたがるものであっても適用可能な構成である。

以下、具体的な構成例について説明する。

図１に本発明のディジタル署名・検証システム１００' の機能構成例を、図２にその処理フロー例（Ｓ１〜６）をそれぞれ示す。

本発明のディジタル署名・検証システム１００' は、署名装置１１０と検証装置１２０とからなる。署名装置１１０と検証装置１２０との間は、任意のネットワーク５０で結ばれる。

署名装置１１０は、生成元選択部１１１と公開情報生成部１１２と乱数生成部１１３と鍵生成部１１４と署名生成部１１５とを備える。

生成元選択部１１１は、Ｇ₁、Ｇ₂がそれぞれ位数ｐ（ｐは素数）の異なる群であるとして、生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する（Ｓ１）。

公開情報生成部１１２は、公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する（Ｓ２）。ここで、ｅはバイリニアマップであり、ｅ：Ｇ₁×Ｇ₂→Ｇ_Tである。

乱数生成部１１３は、１以上ｐ−１以下のランダムな整数δ_u、δ_v、α、γ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,k1、k1は２以上の整数）、δ_j(ｊ＝k1＋１,・・・,k2、k2はセキュリティパラメータでk1より大きい整数）、ζ,ρ,τ，及びωを生成する（Ｓ３）。

鍵生成部１１４は、

を計算し、公開鍵vk＝(Λ,ｇ_z,ｇ_r,ｈ_u,ｈ_v,ｈ_s,ｈ_t,ａ,ｇ₁,・・・,ｇ_k1,ｈ_k1+1,・・・,ｈ_k2）及び秘密鍵sk＝(vk,α,γ_z,δ_u,δ_v,δ_s,δ_t,γ₁,・・・,γ_k1,δ_k1+1,・・・,δ_k2)を生成し、公開鍵vkを公開する（Ｓ４）。なお、秘密鍵skは署名装置内に安全に格納される。

署名生成部１１５は、Ｇ₂の１以外の元であるｍ₁，・・・,ｍ_k1とＧ₁の１以外の元であるｍ_k1+1，・・・,ｍ_k2とからなるメッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)が入力され、

を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ,ｖ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)とともに送信する（Ｓ５）。メッセージｍの長さは、セキュリティパラメータk2に依存して決定され、短いメッセージに対しては明示的に１でパディングされるものとする。

検証装置１２０は、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ，ｖ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)を受信し、公開鍵vk＝(Λ,ｇ_z,ｇ_r,ｈ_u,ｈ_v,ｈ_s,ｈ_t,ａ,ｇ₁,・・・,ｇ_k1,ｈ_k1+1,・・・,ｈ_k2）を用いて、２つの検証式

の成否を計算し、共に成立すれば署名は正しく、改ざんされていないとの検証結果（例えばそれを意味する数値である１）を出力し、それ以外の場合は署名は正しくないとの検証結果（例えばそれを意味する数値である０）を出力する（Ｓ６）。

以上より、本発明によれば、群要素メッセージｍがＧ₁、Ｇ₂の両方にまたがるものである場合においても、実施例１と同様に、従来より効率的なディジタル署名方式を提供することができる。なお、実施例２においても実施例１と同様に、検証式で用いるペアリング演算ｅ(ａ,g2)について、予め署名装置１１０の鍵生成部１１４でＡ＝ｅ(ａ,g2)と計算しておき、このＡをａの代わりに公開鍵vkに含め、これをそのまま検証式で用いてもよい。

上記各実施例のディジタル署名・検証システムにおける各処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。また、本発明のディジタル署名・検証システムの各機能は必要に応じ、併合・分割しても構わない。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。

本発明のディジタル署名・検証システムの署名装置及び検証装置をコンピュータによって実現する場合、装置及びその各部が有す機能の処理内容はプログラムによって記述される。そのプログラムは、例えば、ハードディスク装置に格納されており、実行時には必要なプログラムやデータがＲＡＭ(Random Access Memory)に読み込まれる。その読み込まれたプログラムがＣＰＵにより実行されることにより、コンピュータ上で各処理内容が実現される。なお、処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (9)

1. Ｇ₁、Ｇ₂をそれぞれ位数ｐの群（ｐは素数）、バイリニアマップｅをｅ：Ｇ₁×Ｇ₂→Ｇ_Tとし、
   生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する生成元選択部と、
   公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する公開情報生成部と、
   １以上ｐ−１以下のランダムな整数δ_u、α、γ_z、δ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,ｋ、ｋは２以上の整数）、δ_i、ζ,ρ,及びτを生成する乱数生成部と、
   

   

   を計算し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）及び秘密鍵sk＝(γ_z,α,γ₁,・・・,γ_k,δ_z,δ_u,δ_s,δ_t,δ₁,・・・,δ_k)を生成し、公開鍵vkを公開する鍵生成部と、
   Ｇ₂の１以外の元であるメッセージｍ＝(ｍ₁，・・・,ｍ_k)が入力され、
   

   

   を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k)とともに送信する署名生成部と、
   を備える署名装置と、
   署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k)を受信し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）を用いて、２つの検証式
   

   

   の成否を計算し、共に成立すれば署名は正しいとの検証結果を出力し、それ以外の場合は署名は正しくないとの検証結果を出力する検証装置と、
   を備えるディジタル署名・検証システム。
2. Ｇ₁、Ｇ₂をそれぞれ位数ｐの異なる群（ｐは素数）、バイリニアマップｅをｅ：Ｇ₁×Ｇ₂→Ｇ_Tとし、
   生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する生成元選択部と、
   公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する公開情報生成部と、
   １以上ｐ−１以下のランダムな整数δ_u、δ_v、α、γ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,k1、k1は２以上の整数）、δ_j(ｊ＝k1＋１,・・・,k2、k2はk1より大きい整数）、ζ,ρ,τ，及びωを生成する乱数生成部と、
   

   

   を計算し、公開鍵vk＝(Λ,ｇ_z,ｇ_r,ｈ_u,ｈ_v,ｈ_s,ｈ_t,ａ,ｇ₁,・・・,ｇ_k1,ｈ_k1+1,・・・,ｈ_k2）及び秘密鍵sk＝(vk,α,γ_z,δ_u,δ_v,δ_s,δ_t,γ₁,・・・,γ_k1,δ_k1+1,・・・,δ_k2)を生成し、公開鍵vkを公開する鍵生成部と、
   Ｇ₂の１以外の元であるｍ₁，・・・,ｍ_k1とＧ₁の１以外の元であるｍ_k1+1，・・・,ｍ_k2とからなるメッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)が入力され、
   

   

   を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ,ｖ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)とともに送信する署名生成部と、
   を備える署名装置と、
   署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ，ｖ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)を受信し、公開鍵vk＝(Λ,ｇ_z,ｇ_r,ｈ_u,ｈ_v,ｈ_s,ｈ_t,ａ,ｇ₁,・・・,ｇ_k1,ｈ_k1+1,・・・,ｈ_k2）を用いて、２つの検証式
   

   

   の成否を計算し、共に成立すれば署名は正しいとの検証結果を出力し、それ以外の場合は署名は正しくないとの検証結果を出力する検証装置と、
   を備えるディジタル署名・検証システム。
3. Ｇ₁、Ｇ₂をそれぞれ位数ｐの群（ｐは素数）、バイリニアマップｅをｅ：Ｇ₁×Ｇ₂→Ｇ_Tとし、
   署名装置の生成元選択部が、生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する生成元選択ステップと、
   署名装置の公開情報生成部が、公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する公開情報生成ステップと、
   署名装置の乱数生成部が、１以上ｐ−１以下のランダムな整数δ_u、α、γ_z、δ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,ｋ、ｋは２以上の整数）、δ_i、ζ,ρ,及びτを生成する乱数生成ステップと、
   署名装置の鍵生成部が、
   

   

   を計算し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）及び秘密鍵sk＝(γ_z,α,γ₁,・・・,γ_k,δ_z,δ_u,δ_s,δ_t,δ₁,・・・,δ_k)を生成し、公開鍵vkを公開する鍵生成ステップと、
   署名装置の署名生成部が、Ｇ₂の１以外の元であるメッセージｍ＝(ｍ₁，・・・,ｍ_k)が入力され、
   

   

   を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k)とともに送信する署名生成ステップと、
   検証装置が、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k)を受信し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）を用いて、２つの検証式
   

   

   の成否を計算し、共に成立すれば署名は正しいとの検証結果を出力し、それ以外の場合は署名は正しくないとの検証結果を出力する検証ステップと、
   を実行するディジタル署名・検証方法。
4. Ｇ₁、Ｇ₂をそれぞれ位数ｐの異なる群（ｐは素数）、バイリニアマップｅをｅ：Ｇ₁×Ｇ₂→Ｇ_Tとし、
   署名装置の生成元選択部が、生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する生成元選択ステップと、
   署名装置の公開情報生成部が、公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する公開情報生成ステップと、
   署名装置の乱数生成部が、１以上ｐ−１以下のランダムな整数δ_u、δ_v、α、γ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,k1、k1は２以上の整数）、δ_j(ｊ＝k1＋１,・・・,k2、k2はk1より大きい整数）、ζ,ρ,τ，及びωを生成する乱数生成ステップと、
   署名装置の鍵生成部が、
   

   

   を計算し、公開鍵vk＝(Λ,ｇ_z,ｇ_r,ｈ_u,ｈ_v,ｈ_s,ｈ_t,ａ,ｇ₁,・・・,ｇ_k1,ｈ_k1+1,・・・,ｈ_k2）及び秘密鍵sk＝(vk,α,γ_z,δ_u,δ_v,δ_s,δ_t,γ₁,・・・,γ_k1,δ_k1+1,・・・,δ_k2)を生成し、公開鍵vkを公開する鍵生成ステップと、
   署名装置の署名生成部が、Ｇ₂の１以外の元であるｍ₁，・・・,ｍ_k1とＧ₁の１以外の元であるｍ_k1+1，・・・,ｍ_k2とからなるメッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)が入力され、
   

   

   を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ,ｖ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)とともに送信する署名生成ステップと、
   検証装置が、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ，ｖ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)を受信し、公開鍵vk＝(Λ,ｇ_z,ｇ_r,ｈ_u,ｈ_v,ｈ_s,ｈ_t,ａ,ｇ₁,・・・,ｇ_k1,ｈ_k1+1,・・・,ｈ_k2）を用いて、２つの検証式
   

   

   の成否を計算し、共に成立すれば署名は正しいとの検証結果を出力し、それ以外の場合は署名は正しくないとの検証結果を出力する検証ステップと、
   を実行するディジタル署名・検証方法。
5. Ｇ₁、Ｇ₂をそれぞれ位数ｐの群（ｐは素数）、バイリニアマップｅをｅ：Ｇ₁×Ｇ₂→Ｇ_Tとし、
   生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する生成元選択部と、
   公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する公開情報生成部と、
   １以上ｐ−１以下のランダムな整数δ_u、α、γ_z、δ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,ｋ、ｋは２以上の整数）、δ_i、ζ,ρ,及びτを生成する乱数生成部と、
   

   

   を計算し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）及び秘密鍵sk＝(γ_z,α,γ₁,・・・,γ_k,δ_z,δ_u,δ_s,δ_t,δ₁,・・・,δ_k)を生成し、公開鍵vkを公開する鍵生成部と、
   Ｇ₂の１以外の元であるメッセージｍ＝(ｍ₁，・・・,ｍ_k)が入力され、
   

   

   を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k)とともに送信する署名生成部と、
   を備える署名装置。
6. Ｇ₁、Ｇ₂をそれぞれ位数ｐの異なる群（ｐは素数）、バイリニアマップｅをｅ：Ｇ₁×Ｇ₂→Ｇ_Tとし、
   生成元g1をＧ₁から、g2をＧ₂から、それぞれランダムに選択する生成元選択部と、
   公開情報Λ＝（ｐ,Ｇ₁,Ｇ₂,Ｇ_T,ｅ,g1,g2）を生成する公開情報生成部と、
   １以上ｐ−１以下のランダムな整数δ_u、δ_v、α、γ_z、δ_s、δ_t、γ_i(ｉ＝１,・・・,k1、k1は２以上の整数）、δ_j(ｊ＝k1＋１,・・・,k2、k2はk1より大きい整数）、ζ,ρ,τ，及びωを生成する乱数生成部と、
   

   

   を計算し、公開鍵vk＝(Λ,ｇ_z,ｇ_r,ｈ_u,ｈ_v,ｈ_s,ｈ_t,ａ,ｇ₁,・・・,ｇ_k1,ｈ_k1+1,・・・,ｈ_k2）及び秘密鍵sk＝(vk,α,γ_z,δ_u,δ_v,δ_s,δ_t,γ₁,・・・,γ_k1,δ_k1+1,・・・,δ_k2)を生成し、公開鍵vkを公開する鍵生成部と、
   Ｇ₂の１以外の元であるｍ₁，・・・,ｍ_k1とＧ₁の１以外の元であるｍ_k1+1，・・・,ｍ_k2とからなるメッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)が入力され、
   

   

   を計算して、署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ,ｖ)を生成し、メッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)とともに送信する署名生成部と、
   を備える署名装置。
7. Ｇ₁、Ｇ₂をそれぞれ位数ｐの群（ｐは素数）、バイリニアマップｅをｅ：Ｇ₁×Ｇ₂→Ｇ_Tとし、
   署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k)を受信し、公開鍵vk＝(Λ,ａ,ｇ_z,ｇ_r,ｇ₁,・・・,ｇ_k,ｈ_z,ｈ_u,ｈ_t,ｈ_s,ｈ₁,・・・,ｈ_k）を用いて、２つの検証式
   

   

   の成否を計算し、共に成立すれば署名は正しいとの検証結果を出力し、それ以外の場合は署名は正しくないとの検証結果を出力する検証装置。
8. Ｇ₁、Ｇ₂をそれぞれ位数ｐの異なる群（ｐは素数）、バイリニアマップｅをｅ：Ｇ₁×Ｇ₂→Ｇ_Tとし、
   署名σ＝(ｚ,ｒ,ｓ,ｔ,ｕ，ｖ)とメッセージｍ＝(ｍ₁，・・・,ｍ_k1,ｍ_k1+1，・・・,ｍ_k2)を受信し、公開鍵vk＝(Λ,ｇ_z,ｇ_r,ｈ_u,ｈ_v,ｈ_s,ｈ_t,ａ,ｇ₁,・・・,ｇ_k1,ｈ_k1+1,・・・,ｈ_k2）を用いて、２つの検証式
   

   

   の成否を計算し、共に成立すれば署名は正しいとの検証結果を出力し、それ以外の場合は署名は正しくないとの検証結果を出力する検証装置。
9. 請求項５若しくは６に記載の署名装置又は請求項７若しくは８に記載の検証装置としてコンピュータを機能させるためのプログラム。

Images