JP5593850B2 - 認証装置、認証方法、プログラム、及び署名生成装置 - Google Patents

Description

本発明は、認証装置、認証方法、プログラム、及び署名生成装置に関する。

情報処理技術や通信技術の急速な発展に伴い、公文書、私文書を問わず、文書の電子化が急速に進んでいる。これに伴い、多くの個人や企業は、電子文書の安全管理に大きな関心を寄せている。こうした関心の高まりを受け、各方面で電子文書の盗聴や偽造等のタンパリング行為に対する安全性が盛んに議論されるようになってきた。電子文書の盗聴に対する安全性は、例えば、電子文書を暗号化することにより確保される。また、電子文書の偽造に対する安全性は、例えば、電子署名を利用することにより確保される。但し、暗号や電子署名には十分なタンパリング耐性が求められる。

電子署名は、電子文書の作成者を特定するために利用される。そのため、電子署名は、電子文書の作成者しか生成できないようにすべきである。仮に、悪意ある第三者が同じ電子署名を生成できてしまうと、その第三者が電子文書の作成者に成りすますことができてしまう。つまり、悪意ある第三者により電子文書が偽造されてしまう。こうした偽造を防止するため、電子署名の安全性については様々な議論が交わされてきた。現在広く利用されている電子署名方式としては、例えば、ＲＳＡ署名方式やＤＳＡ署名方式を利用する方式が知られている。

ＲＳＡ署名方式は、「大きな合成数に対する素因数分解の困難性（以下、素因数分解問題）」を安全性の根拠とする。また、ＤＳＡ署名方式は、「離散対数問題に対する解答の困難性」を安全性の根拠とする。これらの根拠は、古典的なコンピュータを利用して素因数分解問題や離散対数問題を効率的に解くアルゴリズムが存在しないことに起因する。つまり、上記の困難性は、古典的なコンピュータにおける計算量的な困難性を意味する。しかしながら、量子コンピュータを用いると、素因数分解問題や離散対数問題に対する解答が効率的に算出されてしまうと言われている。

現在利用されている電子署名方式や公開鍵認証方式の多くは、ＲＳＡ署名方式やＤＳＡ署名方式と同様、素因数分解問題や離散対数問題の困難性に安全性の根拠をおいている。そのため、こうした電子署名方式や公開鍵認証方式は、量子コンピュータが実用化された場合に、その安全性が確保されないことになる。そこで、素因数分解問題や離散対数問題など、量子コンピュータにより容易に解かれてしまう問題とは異なる問題に安全性の根拠をおく新たな電子署名方式及び公開鍵認証方式が求められている。量子コンピュータにより容易に解くことが難しい問題としては、例えば、代数曲面上の求セクション問題がある。下記の非特許文献１には、代数曲面上の求セクション問題を安全性の根拠とする電子署名方式（以下、ＡＳＳ−ＣＣ方式）が開示されている。

Ｙｕｉｃｈｉ Ｋｏｍａｎｏ， Ｋｏｉｃｈｉｒｏ Ａｋｉｙａｍａ， Ｙｏｃｈｉｋａｚｕ Ｈａｎａｔａｎｉ， ａｎｄ Ｈｉｄｅｙｕｋｉ Ｍｉｙａｋｅ， ＡＳＳ−ＣＣ： Ｐｒｏｖａｂｌｙ Ｓｅｃｕｒｅ Ａｌｇｅｂｒａｉｃ Ｓｕｒｆａｃｅ Ｓｉｇｎａｔｕｒｅ Ｓｅｈｅｍｅ． Ｔｈｅ ２０１０ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｍｉｙａｚａｋｉ， Ｊａｐａｎ， Ｊａｎ． １９−２２， ２０１０．

しかしながら、ＡＳＳ−ＣＣ方式は、本件発明者らによる検証の結果、安全性に欠陥があることが判明した。そのため、ＡＳＳ−ＣＣ方式に基づく電子署名方式、及びこれを応用した公開鍵認証方式は、安全上の問題から実際には利用できない。そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、代数曲面上の求セクション問題を安全性の根拠とし、安全性が確認された公開鍵署名方式を実現することが可能な、新規かつ改良された認証装置、認証方法、プログラム、及び署名生成装置を提供することにある。また、その応用として電子署名方式を実現することも可能である。

上記課題を解決するために、本発明のある観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定部と、検証者に対してメッセージｃを送信するメッセージ送信部と、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信部と、ｋ通りの回答情報の中から、前記検証パターン受信部により受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信部と、を備え、前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、認証装置が提供される。

また、上記の認証装置は、前記メッセージ送信部により単数又は複数のメッセージｃを送信する第１ステップ、それぞれのメッセージｃに対して前記検証パターン受信部により前記検証者からそれぞれ検証パターンの情報を受信する第２ステップ、それぞれの検証パターンの情報に対して前記回答送信部により回答情報を送信する第３ステップを実行し、前記検証者により全ての回答情報で検証が成功した場合に認証が成功する、ように構成されていてもよい。

また、上記の認証装置は、前記メッセージ送信部により複数のメッセージｃを送信する第１ステップ、それぞれのメッセージｃに対して前記検証パターン受信部により前記検証者からそれぞれ検証パターンの情報を受信する第２ステップ、それぞれの検証パターンの情報に対して前記回答送信部により回答情報を送信する第３ステップを実行する処理を繰り返し、前記第１〜第３ステップを所定回数実行した結果、前記検証者により毎回全ての回答情報で検証が成功した場合に認証が成功する、ように構成されていてもよい。

また、前記メッセージｃがｃ＝（ｃ_１，…，ｃ_ｍ）である場合、前記メッセージ送信部は、一方向性関数Ｈを用いて新たなメッセージｃ’＝Ｈ（ｃ）を算出して、前記検証者に対してメッセージｃ’を送信し、前記回答送信部は、前記回答情報と共に、当該回答情報を利用しても前記検証者が復元することができないメッセージｃの要素を送信する、ように構成されていてもよい。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）が秘密鍵に設定され、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆが公開鍵に設定されており、証明者からメッセージｃを受信するメッセージ受信部と、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から１つの検証パターンを選択する検証パターン選択部と、前記検証パターン選択部により選択された検証パターンの情報を前記証明者に対して送信する検証パターン送信部と、ｋ通りの回答情報の中から、前記検証パターン送信部により送信された検証パターンの情報に対応する回答情報を前記証明者から受信する回答受信部と、前記メッセージ受信部により受信されたメッセージｃ、及び前記回答受信部により受信された回答情報を用いて前記証明者の正当性を検証する検証部と、を備え、前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、認証装置が提供される。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定部と、検証者に対してメッセージｃを送信するメッセージ送信部と、前記検証者から応答αを受信する応答受信部と、前記応答受信部により受信された応答αを用いて、前記メッセージｃに対する検証に利用される多項式ｆ”を生成する多項式生成部と、前記多項式生成部により生成された多項式ｆ”を前記検証者に送信する多項式送信部と、１つの前記メッセージｃに対するｋ通り（ｋ≧２）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信部と、ｋ通りの回答情報の中から、前記検証パターン受信部により受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信部と、を備え、前記回答情報は、２通りの前記応答α、前記多項式ｆ”及び前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対する計２ｋ通りの応答と検証パターンの組合せが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、認証装置が提供される。

また、上記の認証装置は、前記メッセージ送信部により複数のメッセージｃを送信する第１ステップ、それぞれのメッセージｃに対して前記応答受信部から応答αを受信する第２ステップ、当該第２ステップで受信した応答αを用いて前記多項式生成部によりそれぞれ多項式ｆ”を生成し、前記多項式送信部により当該多項式ｆ”を送信する第３ステップ、それぞれのメッセージｃに対して前記検証パターン受信部により前記検証者からそれぞれ検証パターンの情報を受信する第４ステップ、それぞれの検証パターンの情報に対して前記回答送信部により回答情報を送信する第５ステップを実行し、前記検証者により全ての回答情報で検証が成功した場合に認証が成功する、ように構成されていてもよい。

また、上記の認証装置は、前記メッセージ送信部により単数又は複数のメッセージｃを送信する第１ステップ、それぞれのメッセージｃに対して前記応答受信部から応答αを受信する第２ステップ、当該第２ステップで受信した応答αを用いて前記多項式生成部によりそれぞれ多項式ｆ”を生成し、前記多項式送信部により当該多項式ｆ”を送信する第３ステップ、それぞれのメッセージｃに対して前記検証パターン受信部により前記検証者からそれぞれ検証パターンの情報を受信する第４ステップ、それぞれの検証パターンの情報に対して前記回答送信部により回答情報を送信する第５ステップを実行する処理を繰り返し、前記第１〜第５ステップを所定回数実行した結果、前記検証者により毎回全ての回答情報で検証が成功した場合に認証が成功する、ように構成されていてもよい。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）が秘密鍵に設定され、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆが公開鍵に設定されており、証明者からメッセージｃを受信するメッセージ受信部と、前記証明者に対して応答αを送信する応答送信部と、前記応答送信部により送信された応答αを用いて前記証明者により生成された、前記メッセージｃに対する検証に利用される多項式ｆ”を受信する多項式受信部と、１つの前記メッセージｃに対するｋ通り（ｋ≧２）の検証パターンの中から１つの検証パターンを選択する検証パターン選択部と、前記検証パターン選択部により選択された検証パターンの情報を前記証明者に対して送信する検証パターン送信部と、ｋ通りの回答情報の中から、前記検証パターン送信部により送信された検証パターンの情報に対応する回答情報を前記証明者から受信する回答受信部と、前記メッセージ受信部により受信されたメッセージｃ、前記多項式受信部により受信された多項式ｆ”、及び前記回答受信部により受信された回答情報を用いて前記証明者の正当性を検証する検証部と、を備え、前記回答情報は、２通りの前記応答α、前記多項式ｆ”及び前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対する計２ｋ通りの応答と検証パターンの組合せが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、認証装置が提供される。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定ステップと、検証者に対してメッセージｃを送信するメッセージ送信ステップと、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信ステップと、ｋ通りの回答情報の中から、前記検証パターン受信ステップで受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信ステップと、を含み、前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、認証方法が提供される。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）が秘密鍵に設定され、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆが公開鍵に設定されており、証明者からメッセージｃを受信するメッセージ受信ステップと、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から１つの検証パターンを選択する検証パターン選択ステップと、前記検証パターン選択ステップで選択された検証パターンの情報を前記証明者に対して送信する検証パターン送信ステップと、ｋ通りの回答情報の中から、前記検証パターン送信ステップで送信された検証パターンの情報に対応する回答情報を前記証明者から受信する回答受信ステップと、前記メッセージ受信ステップで受信されたメッセージｃ、及び前記回答受信ステップで受信された回答情報を用いて前記証明者の正当性を検証する検証ステップと、を含み、前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、認証方法が提供される。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定ステップと、検証者に対してメッセージｃを送信するメッセージ送信ステップと、前記検証者から応答αを受信する応答受信ステップと、前記応答受信ステップで受信された応答αを用いて、前記メッセージｃに対する検証に利用される多項式ｆ”を生成する多項式生成ステップと、前記多項式生成ステップで生成された多項式ｆ”を前記検証者に送信する多項式送信ステップと、１つの前記メッセージｃに対するｋ通り（ｋ≧２）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信ステップと、ｋ通りの回答情報の中から、前記検証パターン受信ステップで受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信ステップと、を含み、前記回答情報は、２通りの前記応答α、前記多項式ｆ”及び前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対する計２ｋ通りの応答と検証パターンの組合せが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、認証装置が提供される。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）が秘密鍵に設定され、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆが公開鍵に設定されており、証明者からメッセージｃを受信するメッセージ受信ステップと、前記証明者に対して応答αを送信する応答送信ステップと、前記応答送信ステップで送信された応答αを用いて前記証明者により生成された、前記メッセージｃに対する検証に利用される多項式ｆ”を受信する多項式受信ステップと、１つの前記メッセージｃに対するｋ通り（ｋ≧２）の検証パターンの中から１つの検証パターンを選択する検証パターン選択ステップと、前記検証パターン選択ステップで選択された検証パターンの情報を前記証明者に対して送信する検証パターン送信ステップと、ｋ通りの回答情報の中から、前記検証パターン送信ステップで送信された検証パターンの情報に対応する回答情報を前記証明者から受信する回答受信ステップと、前記メッセージ受信ステップで受信されたメッセージｃ、前記多項式受信ステップで受信された多項式ｆ”、及び前記回答受信ステップで受信された回答情報を用いて前記証明者の正当性を検証する検証ステップと、を含み、前記回答情報は、２通りの前記応答α、前記多項式ｆ”及び前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対する計２ｋ通りの応答と検証パターンの組合せが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、認証装置が提供される。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定機能と、検証者に対してメッセージｃを送信するメッセージ送信機能と、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信機能と、ｋ通りの回答情報の中から、前記検証パターン受信機能により受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信機能と、をコンピュータに実現させるためのプログラムであり、前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、プログラムが提供される。さらに、上記課題を解決するために、本発明の別の観点によれば、上記のプログラムが記録された、コンピュータにより読み取り可能な記録媒体が提供される。

また、上記課題を解決するために、本発明の別の観点によれば、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定部と、前記多次多項式ｕ_ｉ（ｔ）に基づいてN個のメッセージｃを生成するメッセージ生成部と、文書Ｍ及び前記メッセージｃを一方向性関数に適用して得られた情報に基づいて、ｋ^N通り（ｋ≧３）の検証パターンの中から検証パターンを選択する検証パターン選択部と、前記検証パターン選択部により選択された検証パターンに応じて、前記メッセージｃ及び前記文書Ｍを用いた検証を通過するような電子署名σを生成する署名生成部と、を備え、前記電子署名σは、前記（ｋ−１）^N＋１通りの検証パターンに対応する電子署名σを用いて実施した検証が全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、署名生成装置が提供される。

以上説明したように本発明によれば、代数曲面上の求セクション問題を安全性の根拠とし、安全性が確認された公開鍵署名方式を実現することが可能になる。また、その応用として、代数曲面上の求セクション問題を安全性の根拠とし、安全性が確認された電子署名方式を実現することも可能である。

公開鍵認証方式のアルゴリズム構成について説明するための説明図である。 電子署名方式のアルゴリズム構成について説明するための説明図である。 ｎパスの公開鍵認証方式について説明するための説明図である。 ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式のアルゴリズムについて説明するための説明図である。 ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式のアルゴリズムに対する偽証アルゴリズムについて説明するための説明図である。 本発明の第１実施形態（３パス）に係る公開鍵認証方式のアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の拡張アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の並列化アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の非対話型アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の具体的なアルゴリズムについて説明するための説明図である。 本発明の第２実施形態（５パス）に係る公開鍵認証方式のアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の拡張アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の並列化アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の拡張アルゴリズムに対する並列化について説明するための説明図である。 同実施形態に係る公開鍵認証方式の非対話型アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の具体的なアルゴリズムについて説明するための説明図である。 本発明の各実施形態に係るアルゴリズムを実行することが可能な情報処理装置のハードウェア構成例について説明するための説明図である。 本発明の第１及び第２実施形態に係る公開鍵認証方式の効率を比較した図表である。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

［説明の流れについて］
ここで、以下に記載する本発明の実施形態に関する説明の流れについて簡単に述べる。まず、図１を参照しながら、公開鍵認証方式のアルゴリズム構成について説明する。次いで、図２を参照しながら、電子署名方式のアルゴリズム構成について説明する。次いで、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。次いで、図４を参照しながら、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式のアルゴリズムについて説明する。また、図５を参照しながら、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式のアルゴリズムに対する偽証アルゴリズムについて説明する。

次いで、図６を参照しながら、本発明の第１実施形態（３パス）に係る公開鍵認証方式のアルゴリズムについて説明する。次いで、図７を参照しながら、同実施形態に係る公開鍵認証方式の拡張アルゴリズムについて説明する。次いで、図８を参照しながら、同実施形態に係る公開鍵認証方式の並列化アルゴリズムについて説明する。次いで、図９を参照しながら、同実施形態に係る公開鍵認証方式の非対話型アルゴリズムについて説明する。次いで、図１０を参照しながら、同実施形態に係る公開鍵認証方式の具体的なアルゴリズムについて説明する。

次いで、図１１を参照しながら、本発明の第２実施形態（５パス）に係る公開鍵認証方式のアルゴリズムについて説明する。次いで、図１２を参照しながら、同実施形態に係る公開鍵認証方式の拡張アルゴリズムについて説明する。次いで、図１３、図１４を参照しながら、同実施形態に係る公開鍵認証方式の並列化アルゴリズムについて説明する。次いで、図１５を参照しながら、同実施形態に係る公開鍵認証方式の非対話型アルゴリズムについて説明する。次いで、図１６を参照しながら、同実施形態に係る公開鍵認証方式の具体的なアルゴリズムについて説明する。

次いで、図１７を参照しながら、本発明の第１及び第２実施形態に係る各アルゴリズムを実現することが可能な情報処理装置のハードウェア構成例について説明する。最後に、本実施形態の技術的思想について纏め、当該技術的思想から得られる作用効果について簡単に説明する。

（説明項目）
１：はじめに
１−１：公開鍵認証方式のアルゴリズム構成
１−２：電子署名方式のアルゴリズム構成
１−３：ｎパスの公開鍵認証方式
１−４：ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式
１−４−１：ＡＳＳ−ＣＣ電子署名方式について
１−４−２：ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式について
２：第１実施形態
２−１：公開鍵認証方式のアルゴリズム
２−２：拡張アルゴリズム
２−３：並列化アルゴリズム
２−４：非対話型アルゴリズム
２−５：電子署名方式への変形
２−６：具体例
３：第２実施形態
３−１：公開鍵認証方式のアルゴリズム
３−２：拡張アルゴリズム
３−３：並列化アルゴリズム
３−４：非対話型アルゴリズム
３−５：電子署名方式への変形
３−６：具体例
４：ハードウェア構成例
５：まとめ

＜１：はじめに＞
はじめに、本発明に係る実施形態について詳細に説明するに先立ち、一般的な公開鍵認証方式のアルゴリズム構成、一般的な電子署名方式のアルゴリズム構成、ｎパスの公開鍵認証方式、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式について簡単に説明する。

［１−１：公開鍵認証方式のアルゴリズム構成］
まず、図１を参照しながら、一般的な公開鍵認証方式のアルゴリズム構成について説明する。図１は、一般的な公開鍵認証方式のアルゴリズム構成について説明するための説明図である。

（概要）
公開鍵認証方式とは、ある人（証明者）が、公開鍵ｐｋ及び秘密鍵ｓｋを利用して、他の人（検証者）に本人であることを納得させるための認証方式である。例えば、証明者Ａの公開鍵ｐｋ_Ａは、検証者に公開される。一方、証明者Ａの秘密鍵ｓｋ_Ａは、証明者により秘密に管理される。公開鍵認証方式では、公開鍵ｐｋ_Ａに対応する秘密鍵ｓｋ_Ａを知る者が証明者Ａ本人であるとみなされる。

証明者Ａが検証者Ｂに対して本人であることを証明しようとする場合、証明者Ａは、検証者Ｂと対話プロトコルを実行して、自身が公開鍵ｐｋ_Ａに対応する秘密鍵ｓｋ_Ａを知っていることを証明すればよい。そして、対話プロトコルにより証明者Ａが秘密鍵ｓｋ_Ａを知っていることが検証者Ｂにより証明された場合、証明者Ａの正当性（本人であること）が証明される。

なお、公開鍵認証方式の安全性を確保するには、次に示す２つの条件が求められる。

１つ目の条件は、対話プロトコルを実行した際に秘密鍵ｓｋを持たない偽証者により偽証が成立してしまう確率を限りなく小さくすることである。この１つ目の条件が成り立つことを「健全性」と呼ぶ。つまり、健全性を有する対話プロトコルにおいては、秘密鍵ｓｋを持たない偽証者により、無視できない確率で偽証が成立することはないと言い換えられる。２つ目の条件は、対話プロトコルを実行したとしても、証明者Ａが有する秘密鍵ｓｋ_Ａの情報が検証者Ｂに一切漏れることがないようにすることである。この２つ目の条件が成り立つことを「零知識性」と呼ぶ。

上記の健全性と零知識性を有する対話プロトコルを利用することにより、公開鍵認証方式の安全性が確保される。

（モデル）
公開鍵認証方式のモデルには、図１に示すように、証明者と検証者という２つのエンティティが存在する。証明者は、鍵生成アルゴリズムＧｅｎを用いて、証明者固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成する。次いで、証明者は、鍵生成アルゴリズムＧｅｎを用いて生成した秘密鍵ｓｋと公開鍵ｐｋの組を利用して検証者と対話プロトコルを実行する。このとき、証明者は、証明者アルゴリズムＰを利用して対話プロトコルを実行する。上記の通り、対話プロトコルにおいて、証明者は、証明者アルゴリズムＰを利用して、秘密鍵ｓｋを保有していることを検証者に証明する。

一方、検証者は、検証者アルゴリズムＶを利用して対話プロトコルを実行し、証明者が公開している公開鍵に対応する秘密鍵を、その証明者が保有しているか否かを検証する。つまり、検証者は、証明者が公開鍵に対応する秘密鍵を保有しているか否かを検証するエンティティである。このように、公開鍵認証方式のモデルは、証明者と検証者という２つのエンティティ、及び、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶという３つのアルゴリズムにより構成される。

なお、以下の説明において、「証明者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰを実行する主体は、「証明者」のエンティティに対応する情報処理装置である。同様に、検証者アルゴリズムＶを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図１７に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２により実行される。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、証明者により利用される。そして、鍵生成アルゴリズムＧｅｎは、証明者に固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは公開される。そして、公開された公開鍵ｐｋは、検証者により利用される。一方、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者が秘密に管理する。そして、秘密に管理される秘密鍵ｓｋは、検証者に対して公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを証明するために利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１^λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（１）のように表現される。

（証明者アルゴリズムＰ）
証明者アルゴリズムＰは、証明者により利用される。そして、証明者アルゴリズムＰは、公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを証明するアルゴリズムである。証明者アルゴリズムＰは、証明者の秘密鍵ｓｋと公開鍵ｐｋを入力とし、検証者との対話プロトコルを実行するアルゴリズムとして定義される。

（検証者アルゴリズムＶ）
検証者アルゴリズムＶは、検証者により利用される。そして、検証者アルゴリズムＶは、対話プロトコルの中で、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有しているか否かを検証するアルゴリズムである。検証者アルゴリズムＶは、証明者の公開鍵ｐｋを入力とし、証明者との間で対話プロトコルを実行した後、０又は１（１ｂｉｔ）を出力するアルゴリズムとして定義される。なお、出力０の場合には証明者が不正なものであり、出力１の場合には証明者が正当なものであるとする。形式的に、検証者アルゴリズムＶは、下記の式（２）のように表現される。

（補足）
上記の通り、公開鍵認証方式は、安全性を確保するため、健全性と零知識性という２つの条件を満たすことが求められる。しかし、証明者が秘密鍵ｓｋを保有していることを証明者に証明させるためには、証明者が秘密鍵ｓｋに依存した手続きを実行し、その結果を検証者に通知して、その通知内容に基づく検証を検証者に実行させる必要がある。秘密鍵ｓｋに依存した手続きを実行するのは、健全性を担保するために必要である。一方で、この手続きの結果を検証者に通知しても、秘密鍵ｓｋの情報が一切検証者に漏れないようにする必要がある。そのため、これらの要件を満たすように、上記の鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶが設計されることが必要になる。

以上、一般的な公開鍵認証方式のアルゴリズム構成について説明した。

［１−２：電子署名方式のアルゴリズム構成］
次に、図２を参照しながら、一般的な電子署名方式のアルゴリズム構成について説明する。図２は、一般的な電子署名方式のアルゴリズム構成について説明するための説明図である。

（概要）
紙文書とは異なり、ある電子化されたデータに対して押印したり署名を記載したりすることはできない。そのため、電子化されたデータの作成者を証明するためには、紙文書に押印したり署名を記載したりするのと同等の効果を奏する電子的な仕組みが必要とされる。このような仕組みが電子署名である。例えば、データの作成者しか知らない署名データをデータに関連付けて受領者に提供し、その署名データを受領者側で検証する仕組みのことを電子署名方式と呼ぶ。

（モデル）
電子署名方式のモデルには、図２に示すように、署名者と検証者という２つのエンティティが存在する。そして、電子署名方式のモデルは、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒという３つのアルゴリズムにより構成される。

署名者は、鍵生成アルゴリズムＧｅｎを利用して署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成する。また、署名者は、署名生成アルゴリズムＳｉｇを利用して文書Ｍに対して付与する電子署名σを生成する。つまり、署名者は、文書Ｍに電子署名を付与するエンティティである。一方、検証者は、署名検証アルゴリズムＶｅｒを利用して文書Ｍに付与された電子署名σを検証する。つまり、検証者は、文書Ｍの作成者が署名者であるか否かを確認するために、電子署名σを検証するエンティティである。

なお、以下の説明において、「署名者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇを実行する主体は、「署名者」のエンティティに対応する情報処理装置である。同様に、署名検証アルゴリズムＶｅｒを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図１７に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２により実行される。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、署名者により利用される。そして、鍵生成アルゴリズムＧｅｎは、署名者固有の署名鍵ｓｋと検証鍵ｐｋの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された検証鍵ｐｋは公開される。一方、鍵生成アルゴリズムＧｅｎにより生成された署名鍵ｓｋは、署名者により秘密に管理される。そして、署名者により秘密に管理されている署名鍵ｓｋは、文書Ｍに付与される電子署名σの生成に利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１＾λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（３）のように表現される。

（署名生成アルゴリズムＳｉｇ）
署名生成アルゴリズムＳｉｇは、署名者により利用される。そして、署名生成アルゴリズムＳｉｇは、文書Ｍに対して付与される電子署名σを生成するアルゴリズムである。形式的に、署名生成アルゴリズムＳｉｇは、署名者の署名鍵ｓｋと文書Ｍを入力とし、下記の式（４）に示すように、電子署名σを出力するアルゴリズムとして表現される。

（署名検証アルゴリズムＶｅｒ）
署名検証アルゴリズムＶｅｒは、検証者により利用される。そして、署名検証アルゴリズムＶｅｒは、電子署名σが文書Ｍに対する正当な電子署名であるか否かを検証するアルゴリズムである。形式的に、署名検証アルゴリズムＶｅｒは、下記の式（５）に示すように、署名者の検証鍵ｐｋ、文書Ｍ、電子署名σを入力とし、０又は１（１ｂｉｔ）を出力するアルゴリズムとして表現される。なお、０を出力する場合（公開鍵ｐｋが文書Ｍと電子署名σを拒否する場合）、文書Ｍに対する電子署名σは不当である。１を出力する場合（公開鍵ｐｋが文書Ｍと電子署名σを受理する場合）、文書Ｍに対する電子署名σは正当である。

以上、一般的な電子署名方式のアルゴリズム構成について説明した。

［１−３：ｎパスの公開鍵認証方式］
次に、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。図３は、ｎパスの公開鍵認証方式について説明するための説明図である。

上記の通り、公開鍵認証方式は、対話プロトコルの中で、証明者が公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを検証者に証明する証方式である。また、公開鍵認証方式の安全性を担保するため、健全性と零知識性という２つの条件を満たす必要がある。そのため、対話プロトコルの中では、図３に示すように、証明者と検証者の双方がそれぞれ処理を実行しながら、証明者と検証者との間でｎ回の情報交換が行われる。

ｎパスの公開鍵認証方式の場合、証明者アルゴリズムＰを用いて証明者により処理（Ｓｔｅｐ．１）が実行され、情報Ｔ_１が検証者に送信される。次いで、検証者アルゴリズムＶを用いて検証者により処理（Ｓｔｅｐ．２）が実行され、情報Ｔ_２が証明者に送信される。同様にして処理（Ｓｔｅｐ．３，…，ｎ）が実行され、情報Ｔ_３，…，Ｔ_ｎが送信され、処理（Ｓｔｅｐ．ｎ＋１）が実行される。このように、情報がｎ回送受信される対話プロトコルに基づく公開鍵認証方式のことを「ｎパス」の公開鍵認証方式と呼ぶ。

以上、ｎパスの公開鍵認証方式について説明した。

［１−４：ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式］
次に、代数曲面上の求セクション問題を安全性の根拠とする公開鍵認証方式の一例について説明する。代数曲面上の求セクション問題とは、環Ｋ上で定義されるｎ変数の多次多項式ｆ（ｘ_１，…，ｘ_ｎ）が与えられたときに、ｆ（ｓ_１（ｔ），…，ｓ_ｎ−１（ｔ），ｔ）＝０となる環Ｋ上の１変数多次多項式ｓ_１（ｔ），…，ｓ_ｎ−１（ｔ）を求める問題である。

（１−４−１：ＡＳＳ−ＣＣ電子署名方式について）
代数曲面上の求セクション問題に安全性の根拠をおく電子署名方式として、ＡＳＳ−ＣＣ電子署名方式（上記の非特許文献１を参照）が知られている。ＡＳＳ−ＣＣ電子署名方式は公開鍵認証方式ではないが、電子署名方式と公開鍵認証方式との関連性を考慮すると、後述するようにＡＳＳ−ＣＣ電子署名方式から、代数曲面上の求セクション問題に安全性をおく公開鍵認証方式を構築することができる。そこで、まず、ＡＳＳ−ＣＣ電子署名方式について説明する。

ＡＳＳ−ＣＣ電子署名方式は、以下に示す鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒにより構成される。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、下記のＳｔｅｐ．１、Ｓｔｅｐ．２を実行し、署名鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）及び検証鍵Ｘ（ｘ，ｙ，ｔ）を生成する。

Ｓｔｅｐ．１：
鍵生成アルゴリズムＧｅｎは、関数ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｃ_ｉ，ｊ（ｔ）（但し、（ｉ，ｊ）∈Λ＼｛０，０｝）を生成する。但し、Λは、正整数の添え字の集合である。

Ｓｔｅｐ．２：
鍵生成アルゴリズムＧｅｎは、ｃ_０，０←Σ_{（ｉ，ｊ）∈Λ＼｛０，０｝}ｃ_ｉ，ｊ（ｔ）ｕ_ｘ（ｔ）^ｉｕ_ｙ（ｔ）^ｊとする。そして、鍵生成アルゴリズムＧｅｎは、署名鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）、及び、検証鍵Ｘ（ｘ，ｙ，ｔ）＝Σ_{（ｉ，ｊ）∈Λ}ｃ_ｉ，ｊ（ｔ）ｘ（ｔ）^ｉｙ（ｔ）^ｊを生成する。但し、Ｘ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）＝Σ_{（ｉ，ｊ）∈Λ＼｛０，０｝}ｃ_ｉ，ｊ（ｔ）ｕ_ｘ（ｔ）^ｉｕ_ｙ（ｔ）^ｊ＝０である。

（署名生成アルゴリズムＳｉｇ）
署名生成アルゴリズムＳｉｇは、まず、署名鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）と文書Ｍを入力とし、ｉ＝１〜ｎについて、以下のＳｔｅｐ．１〜Ｓｔｅｐ．４を実行する。

Ｓｔｅｐ．１：
署名生成アルゴリズムＳｉｇは、Ｓ_ｉ∈_Ｒ｛０，１｝^λを選択し、Ｘ_ｉ’（ｘ，ｙ，ｔ）←Ｈ（Ｓ_ｉ）を計算する。但し、Ｈ（…）はハッシュ関数である。ハッシュ関数Ｈは、あるビット列ｓ∈｛０，１｝^＊から一定範囲の数値を生成する関数である。また、任意のビット列ｓをハッシュ関数Ｈに入力して得られた値をハッシュ値と呼ぶ（以下同様）。

Ｓｔｅｐ．２：
署名生成アルゴリズムＳｉｇは、セクション（ｒ_ｉ，ｘ（ｔ），ｒ_ｉ，ｙ（ｔ））を選択し、Ｘ_ｉ”（ｘ，ｙ，ｔ）←Ｘ_ｉ（ｘ−ｒ_ｉ，ｘ（ｔ），ｙ−ｒ_ｉ，ｙ（ｔ），ｔ）＋Ｘ_ｉ’（ｘ，ｙ，ｔ）を計算する。

Ｓｔｅｐ．３：
署名生成アルゴリズムＳｉｇは、（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））←（ｕ_ｉ，ｘ（ｔ）＋ｒ_ｉ，ｘ（ｔ），ｕ_ｉ，ｙ（ｔ）＋ｒ_ｉ，ｙ（ｔ））を計算する。

Ｓｔｅｐ．４：
署名生成アルゴリズムＳｉｇは、ｖ_ｉ（ｔ）←Ｈ（Ｘ_ｉ’（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ），ｔ），ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））を計算する。

Ｓｔｅｐ．５：
ｉ＝１〜ｎについて、上記のＳｔｅｐ．１〜Ｓｔｅｐ．４の処理を実行した後、署名生成アルゴリズムＳｉｇは、ｄ＝（ｄ_１，…，ｄ_ｎ）←Ｈ（Ｍ，Ｘ_１”（ｘ，ｙ，ｔ），ｖ_１（ｔ），…，Ｘ_ｎ”（ｘ，ｙ，ｔ），ｖ_ｎ（ｔ））を計算する。

次に、署名生成アルゴリズムＳｉｇは、ｉ＝１〜ｎについて、以下のＳｔｅｐ．６を実行する。

Ｓｔｅｐ．６：
もしｄ_ｉ＝０ならば、署名生成アルゴリズムＳｉｇは、σ_ｉ←（Ｓ_ｉ，ｒ_ｉ，ｘ（ｔ），ｒ_ｉ，ｙ（ｔ））を計算する。一方、ｄ_ｉ＝１ならば、署名生成アルゴリズムＳｉｇは、σ_ｉ←（０，ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））を計算する。

Ｓｔｅｐ．７：
そして、署名生成アルゴリズムＳｉｇは、電子署名σ＝（Ｘ_１”（ｘ，ｙ，ｔ），ｖ_１（ｔ），…，Ｘ_ｎ”（ｘ，ｙ，ｔ），ｖ_ｎ（ｔ），σ_１，…，σ_ｎ）を出力する。

（署名検証アルゴリズムＶｅｒ）
署名検証アルゴリズムＶｅｒは、電子署名σと文書Ｍを入力とし、次のＳｔｅｐ．１〜Ｓｔｅｐ．３を実行する。

Ｓｔｅｐ．１：
署名検証アルゴリズムＶｅｒは、ｄ＝（ｄ_１，…，ｄ_ｎ）←Ｈ（Ｍ，Ｘ_１”（ｘ，ｙ，ｔ），…，Ｘ_ｎ”（ｘ，ｙ，ｔ），ｖ_ｎ（ｔ））を計算する。

次に、署名検証アルゴリズムＶｅｒは、ｉ＝１〜ｎについて、以下のＳｔｅｐ．２を実行する。

Ｓｔｅｐ．２：
もしｄ_ｉ＝０ならば、署名検証アルゴリズムＶｅｒは、σ_ｉを（Ｓ_ｉ，ｒ_ｉ，ｘ（ｔ），ｒ_ｉ，ｙ（ｔ））に分割する。次いで、署名検証アルゴリズムＶｅｒは、Ｘ_ｉ’（ｘ，ｙ，ｔ）←Ｈ（Ｓ_ｉ）を計算する。次いで、署名検証アルゴリズムＶｅｒは、Ｘ_ｉ”（ｘ，ｙ，ｔ）＝Ｘ_ｉ（ｘ−ｒ_ｉ，ｘ（ｔ），ｙ−ｒ_ｉ，ｙ（ｔ），ｔ）＋Ｘ_ｉ’（ｘ，ｙ，ｔ）の等式が成立するか否かを検証する。一方、ｄ_ｉ＝１ならば、署名検証アルゴリズムＶｅｒは、σ_ｉを（０，ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））に分割する。次いで、署名検証アルゴリズムＶｅｒは、ｖ_ｉ＝Ｈ（Ｘ_ｉ”（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ），ｔ），ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））の等式が成立するか否かを検証する。

Ｓｔｅｐ．３：
ｉ＝１〜ｎについて、上記のＳｔｅｐ．２の処理を実行した後、署名検証アルゴリズムＶｅｒは、Ｓｔｅｐ．２の検証がｉ＝１〜ｎの全てについて通過したか否かを確認する。そして、署名検証アルゴリズムＶｅｒは、ｉ＝１〜ｎの全てについてＳｔｅｐ．２の検証が通過した場合に電子署名σを受理（１を出力）し、１つでも通過していない場合に電子署名σを拒否（０を出力）する。

（電子署名の偽証可能性について）
以上説明した鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒによりＡＳＳ−ＣＣ電子署名方式は成り立っている。ＡＳＳ−ＣＣ電子署名方式は、代数曲面上の求セクション問題に安全性の根拠をおくという点において、量子コンピュータを用いたタンパリングに対しても耐性の高い電子署名方式である。しかしながら、本件発明者らにより、上記のＡＳＳ−ＣＣ電子署名方式における電子署名の偽造アルゴリズム（以下、署名偽造アルゴリズム）が発見された。

（ＡＳＳ−ＣＣ電子署名方式に対する電子署名の偽造アルゴリズム）
署名偽造アルゴリズムは、文書Ｍのみを入力とし、電子署名σを偽造するアルゴリズムである。まず、署名偽造アルゴリズムは、ｉ＝１〜ｎについて、以下のＳｔｅｐ．１〜Ｓｔｅｐ．３の処理を実行する。

Ｓｔｅｐ．１：
署名偽造アルゴリズムは、Ｓ_ｉ∈Ｒ｛０，１｝^λを選択し、Ｘ_ｉ’（ｘ，ｙ，ｔ）←Ｈ（Ｓ_ｉ）を計算する。

Ｓｔｅｐ．２：
署名偽造アルゴリズムは、セクション（ｒ_ｉ，ｘ（ｔ），ｒ_ｉ，ｙ（ｔ））を選択し、Ｘ_ｉ”（ｘ，ｙ，ｔ）←Ｘ_ｉ（ｘ−ｒ_ｉ，ｘ（ｔ），ｙ−ｒ_ｉ，ｙ（ｔ），ｔ）＋Ｘ_ｉ’（ｘ，ｙ，ｔ）を計算する。

Ｓｔｅｐ．３：
署名偽造アルゴリズムは、セクション（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））を選択し、ｖ_ｉ←Ｈ（Ｘ_ｉ”（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ），ｔ），ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））を計算する。

Ｓｔｅｐ．４：
ｉ＝１〜ｎについて、上記のＳｔｅｐ．１〜３を実行した後、署名偽造アルゴリズムは、ｄ＝（ｄ_１，…，ｄ_ｎ）←Ｈ（Ｍ，Ｘ_１”（ｘ，ｙ，ｔ），ｖ_１（ｔ），…，Ｘ_ｎ”（ｘ，ｙ，ｔ），ｖ_ｎ（ｔ））を計算する。

次に、署名偽造アルゴリズムは、ｉ＝１〜ｎについて、以下のＳｔｅｐ．５を実行する。

Ｓｔｅｐ．５：
もしｄ_ｉ＝０ならば、署名偽造アルゴリズムは、σ_ｉ←（Ｓ_ｉ，ｒ_ｉ，ｘ（ｔ），ｒ_ｉ，ｙ（ｔ））を計算する。一方、ｄ_ｉ＝１ならば、署名偽造アルゴリズムは、σ_ｉ←（０，ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））を計算する。

Ｓｔｅｐ．６：
そして、署名生成アルゴリズムＳｉｇは、電子署名σ＝（Ｘ_１”（ｘ，ｙ，ｔ），ｖ_１（ｔ），…，Ｘ_ｎ”（ｘ，ｙ，ｔ），ｖ_ｎ（ｔ），σ_１，…，σ_ｎ）を出力する。

以上が署名偽造アルゴリズムの内容である。署名偽造アルゴリズムとＡＳＳ−ＣＣ電子署名方式における署名生成アルゴリズムＳｉｇの１つの違いは、（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））の生成方法にある。署名生成アルゴリズムＳｉｇは（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ））を署名鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）から生成しているのに対し、署名偽造アルゴリズムは、署名鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）を利用していない。

また、署名偽造アルゴリズムとＡＳＳ−ＣＣ電子署名方式における署名生成アルゴリズムＳｉｇのもう１つの違いは、ｖ_ｉの計算方法にある。署名生成アルゴリズムＳｉｇはＸ_ｉ’（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ），ｔ）を用いているが、署名偽造アルゴリズムは、Ｘ_ｉ”（ｚ_ｉ，ｘ（ｔ），ｚ_ｉ，ｙ（ｔ），ｔ）を用いている。つまり、上記の署名偽造アルゴリズムのようにｖｉを設定すれば、署名鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）を利用せずに検証を通過する電子署名σが生成できてしまうのである。

以上、ＡＳＳ−ＣＣ電子署名方式に対する署名偽造アルゴリズムについて説明した。このような署名偽造アルゴリズムが存在することにより、ＡＳＳ−ＣＣ電子署名方式は安全に機能しないと言える。このような安全性に関する問題は、ＡＳＳ−ＣＣ電子署名方式を公開鍵認証方式に変形した場合にも引き継がれる。

（１−４−２：ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式について）
ＡＳＳ−ＣＣ電子署名方式のアルゴリズムは、図４に示すような公開鍵認証方式（以下、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式）の対話プロトコルに変形することができる。なお、図４に示したＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式は、上記の非特許文献１には開示されていないものである。ここで、図４に示したＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式の対話プロトコルについて説明する。図４は、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式の対話プロトコルを説明するための説明図である。

図４に示すように、証明者と検証者の間で公開鍵ｐｋ＝Ｘ（ｘ，ｙ，ｚ）が共有されている。また、証明者は、秘密鍵ｓｋ＝（ｕ_ｘ（ｙ），ｕ_ｙ（ｙ），ｔ）を保有している。なお、秘密鍵ｓｋ、公開鍵ｐｋの生成方法は、ＡＳＳ−ＣＣ電子署名方式における署名鍵ｓｋ、検証鍵ｐｋの生成方法と同じである。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、（ｒ_ｘ（ｔ），ｒ_ｙ（ｔ））∈_ＲＳ_Ｔを計算する。但し、Ｓ_Ｔは、代数曲面上のセクションを表現する多項式の組全体の集合である。次いで、証明者アルゴリズムＰは、ｚ_ｘ（ｔ）←ｕ_ｘ（ｔ）＋ｒ_ｘ（ｔ）、ｚ_ｙ（ｔ）←ｕ_ｙ（ｔ）＋ｒ_ｙ（ｔ）を計算する。次いで、証明者アルゴリズムＰは、Ｓ∈_Ｒ｛０，１｝^λを選択し、Ｘ’（ｘ，ｙ，ｔ）←Ｈ_１（Ｓ）を計算する。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、Ｘ”（ｘ，ｙ，ｔ）←Ｘ（ｘ−ｒ_ｘ（ｔ），ｙ−ｒ_ｙ（ｔ），ｔ）＋Ｘ’（ｘ，ｙ，ｔ）を計算する。次いで、証明者アルゴリズムＰは、ｖ←Ｈ_２（Ｘ’（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｔ），ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））を計算する。但し、Ｈ_１、Ｈ_２はハッシュ関数である。そして、証明者アルゴリズムＰは、（Ｘ”（ｘ，ｙ，ｔ），ｖ）を検証者に送る。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、ｄ∈_Ｒ｛０，１｝を選択する。そして、検証者アルゴリズムＶは、ｄを証明者に送る。

Ｓｔｅｐ．３：
もしｄ＝０ならば、証明者アルゴリズムＰは、電子署名σ＝（Ｓ，ｒ_ｘ（ｔ），ｒ_ｙ（ｔ））を計算する。一方、ｄ＝１ならば、証明者アルゴリズムＰは、電子署名σ＝（ε，ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））を計算する。そして、証明者アルゴリズムＰは、電子署名σを検証者に送る。なお、σ＝（ａ，ｂ（ｔ），ｃ（ｔ））と表現することにする。つまり、ｄ＝０の場合、ａ＝Ｓ、ｂ（ｔ）＝ｒ_ｘ（ｔ）、ｃ（ｔ）＝ｒ_ｙ（ｔ）であり、ｄ＝１の場合、ａ＝ε、ｂ（ｔ）＝ｚ_ｘ（ｔ）、ｃ（ｔ）＝ｚ_ｙ（ｔ）である。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、ｄ＝０の場合、ａ’（ｘ，ｙ，ｔ）←Ｈ_１（ａ）を計算する。そして、検証者アルゴリズムＶは、Ｘ”（ｘ，ｙ，ｔ）＝Ｘ（ｘ−ｂ（ｔ），ｙ−ｃ（ｔ），ｔ）＋ａ’（ｘ，ｙ，ｔ）の等式が成り立つか否かを検証する。一方、ｄ＝１の場合、検証者アルゴリズムＶは、ｖ＝Ｈ_２（Ｘ”（ｂ（ｔ），ｃ（ｔ），ｔ），ｂ（ｔ），ｃ（ｔ））の等式が成り立つか否かを検証する。

Ｓｔｅｐ．５：
検証者アルゴリズムＶは、Ｓｔｅｐ．４の検証が成功した場合に認証の成功を示す１を出力し、失敗した場合に認証の失敗を示す０を出力する。

以上説明したように、ＡＳＳ−ＣＣ電子署名方式は、公開鍵認証方式に変形することができる。しかしながら、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式は、ＡＳＳ−ＣＣ電子署名方式と同じ安全上の問題を内包している。つまり、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式では、秘密鍵ｓｋを保有していない偽証者により偽証される可能性がある。そこで、図５を参照しながら、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式の偽証方法について説明する。

（ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式における偽証方法）
ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式における偽証方法は、図５のＳｔｅｐ．１において下線を付した部分（※１、※２）に特徴がある。ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式において、ｚ_ｘ（ｔ）、ｚ_ｙ（ｔ）は、秘密鍵ｓｋを用いて生成されていた。しかし、図５に示す偽証方法においては、ｚ_ｘ（ｔ）、ｚ_ｙ（ｔ）が任意に選択されている（※１）。また、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式において、ｖは、Ｘ’（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｙ）を利用して生成されていた。しかし、図５に示す偽証方法においては、ｖがＸ”（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｙ）を利用して生成されている（※２）。

つまり、図５に示した偽証方法を用いれば、ｕ_ｘ（ｔ）、ｕ_ｙ（ｔ）を知らない偽証者が容易に偽証することができてしまうのである。すなわち、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式は健全性を有しない。先に述べた通り、公開鍵認証方式は、健全性と零知識性という２つの条件を両立させなければ、その安全性を保証することができない。上記のＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式は、零知識性を有するものの、健全性を有しない。そのため、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式における安全性は保証されない。

そこで、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式の健全性を確保するための改良方法について考察する。ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式の健全性を確保する方法として、例えば、検証者に、ｖ＝Ｈ（Ｘ’（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｔ），ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））を追加で検証させる方法が考えられる。しかし、この方法を実現するには、検証者に対し、Ｘ’の情報と（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））の情報を渡す必要がある。

ｄ＝０の場合に（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））の情報を検証者に渡すと、既に（ｒ_ｘ（ｔ），ｒ_ｙ（ｔ））の情報を得ている検証者は、秘密鍵ｓｋを計算できてしまう。一方、ｄ＝１の場合にＸ’の情報を検証者に渡すと、既にＸ”の情報を得ている検証者は、（ｒ_ｘ（ｔ），ｒ_ｙ（ｔ））の情報を計算することができてしまう。その結果、検証者は、計算した（ｒ_ｘ（ｔ），ｒ_ｙ（ｔ））の情報と（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））の情報から秘密鍵ｓｋを計算することができてしまう。

そのため、ｖ＝Ｈ（Ｘ’（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｔ），ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））を検証者に追加で検証させる方法を適用すると、健全性は確保されるが、零知識性が失われてしまう。このように、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式を改良して、健全性と零知識性という２つの条件を共に満たす公開鍵認証方式を構築することは難しい。そこで、本件発明者は、代数曲面上の求セクション問題を安全性の根拠とし、健全性と零知識性という２つの条件を満たす新たな公開鍵認証方式を考案した。以下、詳細に説明する。

＜２：第１実施形態＞
本発明に係る第１実施形態について説明する。本実施形態は、代数曲面上の求セクション問題に安全性の根拠をおく３パスの公開鍵認証方式（以下、本手法）に関する。なお、ここでは３パスの公開鍵認証方式を例に挙げるが、本実施形態の対話プロトコルを拡張してｎパス（ｎ≧４）の公開鍵認証方式に一般化することも可能である。

［２−１：公開鍵認証方式のアルゴリズム］
まず、図６を参照しながら、本手法に係る公開鍵認証方式のアルゴリズムについて説明する。図６は、本手法に係る公開鍵認証方式のアルゴリズムについて説明するための説明図である。なお、本手法は、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。以下、各アルゴリズムの内容について説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を秘密鍵ｓｋに設定する。ここで、ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たすことに注意されたい。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図６を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を満たす（ｕ_１，…，ｕ_ｎ−１）を知っていること」を（ｕ_１，…，ｕ_ｎ−１）の情報を検証者に一切漏らさずに、検証者に証明するのである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ１に数ｗを適用して１変数多項式ｒ_１（ｔ），…，ｒ_ｎ−１（ｔ）と数ｗ’を生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，…，ｒ_ｎ−１，ｗ’）←Ｇ_１（ｗ）を計算する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ’を適用してｎ変数多項式ｆ’（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、ｆ’←Ｇ_２（ｗ’）を計算する。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ））←（ｕ_１（ｔ）−ｒ_１（ｔ），…，ｕ_ｎ−１（ｔ）−ｒ_ｎ−１（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，…，ｕ_ｎ−１）を１変数多項式（ｒ_１，…，ｒ_ｎ−１）によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｆ”（ｘ_１，…，ｘ_ｎ）←ｆ（ｘ_１＋ｒ_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_ｎ−１（ｘ_ｎ），ｘ_ｎ）＋ｆ’（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_ｎ−１（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）とｚ_１，…，ｚ_ｎ−１のハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ），ｚ_１，…，ｚ_ｎ−１）を計算する。また、証明者アルゴリズムＰは、数ｗ’のハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ’）を計算する。さらに、証明者アルゴリズムＰは、多項式ｆ”のハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（ｆ”）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１，ｃ_２，ｃ_３）はメッセージである。

Ｓｔｅｐ．１で生成されたメッセージ（ｃ_１，ｃ_２，ｃ_３）は、検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ∈｛０，１，２｝を証明者に送る。

Ｓｔｅｐ．３：
証明者アルゴリズムＰは、検証者から受けた要求ｄに応じて検証者に送り返す情報σを生成する。もしｄ＝０の場合、証明者アルゴリズムＰは、情報σ＝ｗを生成する。また、ｄ＝１の場合、証明者アルゴリズムＰは、情報σ＝（ｗ’，ｚ_１，…，ｚ_ｎ−１）を生成する。そして、ｄ＝２の場合、証明者アルゴリズムＰは、情報σ＝（ｆ”，ｚ_１，…，ｚ_ｎ−１）を生成する。このようにして生成された情報σは、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、証明者から受け取った情報σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，…，ｒ’_ｎ−１，ｗ”）←Ｇ_１（σ）を計算する。さらに、検証者アルゴリズムＶは、ｆ'''←Ｇ_２（ｗ”）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ”）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｆ（ｘ_１＋ｒ’_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ’_ｎ−１（ｘ_ｎ），ｘ_ｎ）＋ｆ'''（ｘ_１，…，ｘ_ｎ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｗ”，ｚ’_１，…，ｚ’_ｎ−１）←σを計算する。さらに、検証者アルゴリズムＶは、ｆ'''←Ｇ_２（ｗ”）を計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（ｆ'''（ｚ’_１（ｔ），…，ｚ’_ｎ−１（ｔ），ｔ），ｚ’_１，…，ｚ’_ｎ−１））の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ”）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝２の場合、検証者アルゴリズムＶは、（ｆ''''，ｚ’_１，…，ｚ’_ｎ−１）←σを計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（ｆ'''（ｚ’_１（ｔ），…，ｚ’_ｎ−１（ｔ），ｔ），ｚ’_１，…，ｚ’_ｎ−１））の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｆ''''）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

（補足）
さて、上記Ｓｔｅｐ．１において生成されたメッセージ（ｃ_１，ｃ_２，ｃ_３）を検証者に送った際、秘密鍵ｓｋに関する情報、（ｒ_１，…，ｒ_ｎ−１）に関する情報、（ｚ_１，…，ｚ_ｎ−１）に関する情報が検証者に一切漏れていないことに注意されたい。また、上記Ｓｔｅｐ．３において生成された情報σを検証者に送った際、ｄ＝０のときにはｚ_１，…，ｚ_ｎ−１に関する情報が検証者に一切漏れておらず、ｄ＝１，２のときにはｒ_１，…，ｒ_ｎ−１に関する情報が検証者に一切漏れていないことに注意されたい。

（本手法とＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式との主な相違点について）
先に説明したように、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式において、検証者は、２通りの検証パターンしか要求しなかった。一方、本手法の場合、検証者は、３通りの検証パターンを要求する可能性がある。そして、具体的な相違点として、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式の場合には本手法のｄ＝１に対応するｆ’（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）を用いた検証が実行されていなかった点が挙げられる。

本手法の場合、ｄ＝１の検証パターンと、ｄ＝２の検証パターンにおいて、ｃ_１＝Ｈ_１（ｆ’（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ），ｚ_１，…，ｚ_ｎ−１）の検証と、ｃ_１＝Ｈ_１（ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ），ｚ_１，…，ｚ_ｎ−１）の検証が行われており、両方の検証を通過するならばｆ’（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）＝ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）となることが保証されている。こうした点が、本手法とＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式との主な相違点である。

なお、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式に対し、単純に、本手法のｄ＝１に対応する検証パターンを追加しても、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式が抱える安全性の問題は解消されない。例えば、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式において、ｖ＝Ｈ_２（Ｘ’（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｔ），ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））の検証を追加しても安全性の問題は解消されない。図４に示したように、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式の場合、１パス目で既にＸ”の情報を送信してしまっているため、上記追加の検証を行うためにＸ’の情報を検証者に与えると、ｒ_ｘ（ｔ）、ｒ_ｙ（ｔ）に関する情報が漏れ、零知識性を失ってしまう。

一方、本手法の場合、１パス目ではｆ’、ｆ”、ｒ_１，…，ｒ_ｎ−１，ｚ_１，…，ｚ_ｎ−１の情報を検証者に送らず、それらのハッシュ値のみを検証者に送っている。そして、３パス目で検証に必要な最低限の情報のみを検証者に対して送るように証明者アルゴリズムＰが設計されているため、本手法の対話プロトコルでは零知識性が担保されている。また、本手法では、１パス目でハッシュ値を送ることにより、１パス目で証明者アルゴリズムＰが用いた乱数を、３パス目で別の乱数であったかのように偽装できない仕組みを設けている。一方、ＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式では、Ｘ’に関する情報やハッシュ値を１パス目で送っていないため、３パス目では別のＸ’を利用したかのように偽装される可能性がある。本手法とＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式との間には、このような相違点も存在する。

（本手法における健全性について）
本手法の健全性は、検証者の全ての要求ｄ＝０，１，２に対して、証明者がメッセージ（ｃ_１，ｃ_２，ｃ_３）に対する正しい情報σを回答したならば、その回答内容から、下記の式（６）及び式（７）を満たすｆ''''、ｆ'''、ｒ’_１，…，ｒ’_ｎ−１、ｚ’_１，…ｚ’_ｎ−１が計算できるということから保証されている。なお、このことはＡＳＳ−ＣＣ−ＩＰ公開鍵認証方式においては保証されていない。

このようなロジックが保証されることにより、代数曲面上の求セクション問題を解かない限りにおいて２／３より高い確率で偽証することは不可能であることが保証される。つまり、検証者の要求ｄ＝０，１，２の全てに正しく回答するためには、偽証者が上記の式（６）及び式（７）を満たすｆ''''、ｆ'''、ｒ’_１，…，ｒ’_ｎ−１、ｚ’_１，…ｚ’_ｎ−１を計算できる必要がある。言い換えると、偽証者はｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす（ｕ_１，…，ｕ_ｎ−１）を計算できる必要がある。なお、検証者の要求ｄ＝０，１，２の高々２つまでに偽証者が正しく回答する可能性はある。そのため、偽証の成功確率は２／３となる。上記の対話プロトコルは十分な回数実行される。そのため、偽証の成功確率は無視できるほど小さくすることができる。

（変形例）
上記の証明者アルゴリズムＰは、メッセージｃ_３として、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）とｚ_１，…，ｚ_ｎ−１のハッシュ値を用いていた。しかし、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）＝ｆ’（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）であるため、証明者アルゴリズムＰは、メッセージｃ_３として、ｆ’（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）とｚ_１，…，ｚ_ｎ−１のハッシュ値を用いてもよい。また、証明者アルゴリズムＰは、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）のハッシュ値と、ｚ_１，…，ｚ_ｎ−１のハッシュ値とを別々に計算し、それぞれをメッセージとして検証者に送るようにしてもよい。

上記の証明者アルゴリズムＰは、数ｗに擬似乱数生成器Ｇ_１を適用して１変数多項式ｒ_１（ｔ），…，ｒ_ｎ−１（ｔ）と数ｗ’を生成している。また、上記の証明者アルゴリズムＰは、数ｗ’を擬似乱数生成器Ｇ_２に適用してｎ変数多項式ｆ’（ｘ_１，…，ｘ_ｎ）を生成している。しかし、証明者アルゴリズムＰは、最初からｗ＝（ｒ_１（ｔ），…，ｒ_ｎ−１（ｔ），ｗ’）を算出し、Ｇ_１を恒等写像としてもよい。また、この場合には、数ｗをＧ_１に適用する必要はない。なお、Ｇ_２についても同様である。

上記の方式では、ハッシュ関数Ｈ_１，Ｈ_２，Ｈ_３を用いてｃ_１，ｃ_２，ｃ_３を計算しているが、ハッシュ関数の代わりにコミットメント方式ＣＯＭを用いてもよい。コミットメント関数ＣＯＭは、文字列Ｓと乱数ρの２つを引数にとる関数である。コミットメント関数の例としては、Ｓｈａｉ ＨａｌｅｖｉとＳｉｌｖｉｏ Ｍｉｃａｌｉによって国際会議ＣＲＹＰＴＯ１９９６で発表された方式などがある。

このコミットメント関数を用いる場合、ｃ_１，ｃ_２，ｃ_３を計算する前に、乱数ρ_１，ρ_２，ρ_３を用意し、ハッシュ関数Ｈ_１（・），Ｈ_２（・），Ｈ_３（・）を適用する代わりにコミットメント関数ＣＯＭ（・，ρ_１），ＣＯＭ（・，ρ_２），ＣＯＭ（・，ρ_２）を適用することによりｃ_１，ｃ_２，ｃ_３を生成する。また、この変形例では、検証部で計算するＣ_ｉを生成するために必要なρ_ｉを回答情報に含めることになる。なお、この変形手法は、後述の全ての方式について適用可能である。

以上、本手法に係る基本的なアルゴリズム構成について説明した。

［２−２：拡張アルゴリズム］
次に、図７を参照しながら、本手法を拡張した公開鍵認証方式（以下、拡張手法）のアルゴリズムについて説明する。図７は、拡張手法に基づく対話プロトコルの流れを説明するための説明図である。この拡張手法は、１パス目に送信するメッセージ（ｃ_１，ｃ_２，ｃ_３）を１つのハッシュ値ｃに変換して検証者に送る方式である。また、この拡張手法では、１パス目にハッシュ値ｃを送るように対話プロトコルを構成するため、３パス目で送る情報σから復元できないメッセージを情報σと共に検証者に送る。このように拡張することで、対話プロトコルの中で検証者に送るハッシュ値の数を減らすことが可能になり、通信するデータサイズを削減することができる。以下、拡張方式における各アルゴリズムの内容について詳細に説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を秘密鍵ｓｋに設定する。ここで、ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たすことに注意されたい。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図７を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を満たす（ｕ_１，…，ｕ_ｎ−１）を知っていること」を（ｕ_１，…，ｕ_ｎ−１）の情報を検証者に一切漏らさずに、検証者に証明させるものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗを適用して１変数多項式ｒ_１（ｔ），…，ｒ_ｎ−１（ｔ）と数ｗ’を生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，…，ｒ_ｎ−１，ｗ’）←Ｇ_１（ｗ）を計算する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ’を適用してｎ変数多項式ｆ’（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、ｆ’←Ｇ_２（ｗ’）を計算する。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ））←（ｕ_１（ｔ）−ｒ_１（ｔ），…，ｕ_ｎ−１（ｔ）−ｒ_ｎ−１（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，…，ｕ_ｎ−１）を１変数多項式（ｒ_１，…，ｒ_ｎ−１）によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｆ”（ｘ_１，…，ｘ_ｎ）←ｆ（ｘ_１＋ｒ_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_ｎ−１（ｘ_ｎ），ｘ_ｎ）＋ｆ’（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_ｎ−１（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）とｚ_１，…，ｚ_ｎ−１のハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ），ｚ_１，…，ｚ_ｎ−１）を計算する。また、証明者アルゴリズムＰは、数ｗ’のハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ’）を計算する。さらに、証明者アルゴリズムＰは、多項式ｆ”のハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（ｆ”）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１、ｃ_２、ｃ_３）はメッセージである。

Ｓｔｅｐ．１（続き）：
拡張方式の場合、証明者アルゴリズムＰは、メッセージ（ｃ_１，ｃ_２，ｃ_３）をハッシュ関数Ｈに適用してハッシュ値ｃを生成する。そして、証明者アルゴリズムＰは、生成したハッシュ値ｃを検証者に送る。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ∈｛０，１，２｝を証明者に送る。

Ｓｔｅｐ．３：
証明者アルゴリズムＰは、検証者から受けた要求ｄに応じて検証者に送り返す情報σを生成する。もしｄ＝０の場合、証明者アルゴリズムＰは、情報（σ，ｃ^＊）＝（ｗ，ｃ_１）を生成する。また、ｄ＝１の場合、証明者アルゴリズムＰは、情報（σ，ｃ^＊）＝（ｗ’，ｚ_１，…，ｚ_ｎ−１，ｃ_３）を生成する。そして、ｄ＝２の場合、証明者アルゴリズムＰは、情報（σ，ｃ^＊）＝（ｆ”，ｚ_１，…，ｚ_ｎ−１，ｃ_２）を生成する。このようにして生成された情報（σ，ｃ^＊）は、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、証明者から受け取った情報（σ，ｃ^＊）を利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，…，ｒ’_ｎ−１，ｗ”）←Ｇ_１（σ）を計算する。次いで、検証者アルゴリズムＶは、ｆ'''←Ｇ_２（ｗ”）を計算する。次いで、検証者アルゴリズムＶは、ｃ’_２＝Ｈ_２（ｗ”）を計算する。次いで、検証者アルゴリズムＶは、ｃ’_３＝Ｈ_３（ｆ（ｘ_１＋ｒ’_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ’_ｎ−１（ｘ_ｎ），ｘ_ｎ）＋ｆ'''（ｘ_１，…，ｘ_ｎ））を計算する。その後、検証者アルゴリズムＶは、ｃ＝Ｈ（ｃ^＊，ｃ’_２，ｃ’_３）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、検証が成功した場合に認証成功を示す値１を出力し、検証が失敗した場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｗ”，ｚ’_１，…，ｚ’_ｎ−１）←σを計算する。次いで、検証者アルゴリズムＶは、ｆ'''←Ｇ_２（ｗ”）を計算する。次いで、検証者アルゴリズムＶは、ｃ’_１＝Ｈ_１（ｆ'''（ｚ’_１（ｔ），…，ｚ’_ｎ−１（ｔ），ｔ），ｚ’_１，…，ｚ’_ｎ−１））を計算する。次いで、検証者アルゴリズムＶは、ｃ’_２＝Ｈ_２（ｗ”）を計算する。その後、検証者アルゴリズムＶは、ｃ＝Ｈ（ｃ’_１，ｃ’_２，ｃ^＊）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、検証が成功した場合に認証成功を示す値１を出力し、検証が失敗した場合に認証失敗を示す値０を出力する。

ｄ＝２の場合、検証者アルゴリズムＶは、（ｆ''''，ｚ’_１，…，ｚ’_ｎ−１）←σを計算する。次いで、検証者アルゴリズムＶは、ｃ’_１＝Ｈ_１（ｆ'''（ｚ’_１（ｔ），…，ｚ’_ｎ−１（ｔ），ｔ），ｚ’_１，…，ｚ’_ｎ−１））を計算する。次いで、検証者アルゴリズムＶは、ｃ’_３＝Ｈ_３（ｆ''''）を計算する。その後、検証者アルゴリズムＶは、ｃ＝Ｈ（ｃ’_１，ｃ^＊，ｃ’_３）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、検証が成功した場合に認証成功を示す値１を出力し、検証が失敗した場合に認証失敗を示す値０を出力する。

以上、拡張方式の対話プロトコルにおける各アルゴリズムの処理について説明した。このように拡張することで、対話プロトコルの中で検証者に送るハッシュ値の数を減らすことが可能になり、通信するデータサイズを削減することができる。

［２−３：並列化アルゴリズム］
さて、先に述べた通り、本手法又は拡張手法に係る対話プロトコルを適用すれば、偽証が成功する確率を２／３以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（２／３）^２以下に抑制することができる。同様に、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（２／３）^Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝１４０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。例えば、本手法に係る対話プロトコルを並列的にＮ回実行するアルゴリズムは図８のようになる。以下、図８を参照しながら、並列的に対話プロトコルをＮ回実行する各アルゴリズムの内容について説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を秘密鍵ｓｋに設定する。ここで、ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たすことに注意されたい。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図８を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を満たす（ｕ_１，…，ｕ_ｎ−１）を知っていること」を（ｕ_１，…，ｕ_ｎ−１）の情報を検証者に一切漏らさずに、検証者に証明させるものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（８）を実行する。（処理１）証明者アルゴリズムＰは、任意に数ｗ_ｉを選択する。（処理２）証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗ_ｉを適用して１変数多項式ｒ_１，ｉ（ｔ），…，ｒ_{ｎ−１，ｉ}（ｔ）と数ｗ’_ｉを生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}，ｗ’_ｉ）←Ｇ_１（ｗ_ｉ）を計算する。（処理３）証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ’_ｉを適用してｎ変数多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、ｆ’_ｉ←Ｇ_２（ｗ’_ｉ）を計算する。

Ｓｔｅｐ．１（続き）：
（処理４）証明者アルゴリズムＰは、（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ））←（ｕ_１，ｉ（ｔ）−ｒ_１，ｉ（ｔ），…，ｕ_{ｎ−１，ｉ}（ｔ）−ｒ_{ｎ−１，ｉ}（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，ｉ，…，ｕ_{ｎ−１，ｉ}）を１変数多項式（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}）によりマスクする操作に相当する。（処理５）証明者アルゴリズムＰは、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）←ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
（処理６）証明者アルゴリズムＰは、ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ）とｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}のハッシュ値ｃ_１，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ），ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を計算する。（処理７）証明者アルゴリズムＰは、数ｗ’_ｉのハッシュ値ｃ_２，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｗ’_ｉ）を計算する。（処理８）証明者アルゴリズムＰは、多項式ｆ”_ｉのハッシュ値ｃ_３，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_３，ｉ←Ｈ_３（ｆ”_ｉ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ）はメッセージである。

ｉ＝１〜Ｎについて、上記の（処理１）〜（処理８）が実行された後、Ｓｔｅｐ．１で生成されたメッセージ（ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ）（ｉ＝１〜Ｎ）は、検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ_ｉ∈｛０，１，２｝（ｉ＝１〜Ｎ）を証明者に送る。

Ｓｔｅｐ．３：
証明者アルゴリズムＰは、検証者から受けた要求ｄｉに応じて検証者に送り返す情報σｉを生成する。ここで、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の（処理１）〜（処理３）を実行する。（処理１）ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、情報σ_ｉ＝ｗ_ｉを生成する。（処理２）ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、情報σ_ｉ＝（ｗ’_ｉ，ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を生成する。（処理３）ｄ_ｉ＝２の場合、証明者アルゴリズムＰは、情報σ_ｉ＝（ｆ”_ｉ，ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を生成する。上記（処理１）〜（処理３）の判定及び処理が実行された後、情報σ_ｉ（ｉ＝１〜Ｎ）は、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、証明者から受け取った情報σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。なお、以下の処理は、ｉ＝１〜Ｎについて実行される。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，ｉ，…，ｒ’_{ｎ−１，ｉ}，ｗ”_ｉ）←Ｇ_１（σ_ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｆ'''_ｉ←Ｇ_２（ｗ”_ｉ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（ｗ”_ｉ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３，ｉ＝Ｈ_３（ｆ（ｘ_１＋ｒ’_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ’_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ'''_ｉ（ｘ_１，…，ｘ_ｎ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｗ”_ｉ，ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}）←σ_ｉを計算する。さらに、検証者アルゴリズムＶは、ｆ'''_ｉ←Ｇ_２（ｗ”_ｉ）を計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ”_ｉ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝２の場合、検証者アルゴリズムＶは、（ｆ''''_ｉ，ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}）←σ_ｉを計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３，ｉ＝Ｈ_３（ｆ''''_ｉ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法の対話プロトコルを並列的に実行する方法について説明した。上記のように、本手法の対話プロトコルを繰り返し実行することにより、偽証が成功する確率を無視できる程度まで低減させることが可能になる。

［２−４：非対話型アルゴリズム］
これまで３パスの公開鍵認証方式について説明してきた。しかし、本手法においては、２パス目で検証者から証明者に送られる情報が検証パターンを示す要求ｄ（実際には単なる乱数）だけであるため、１パスの公開鍵認証方式（以下、非対話型方式）に変形することができる。なお、非対話型方式に係る各アルゴリズムの内容を図９に示した。以下、図９を参照しながら、非対話型方式に係る各アルゴリズムの内容について説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を秘密鍵ｓｋに設定する。ここで、ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たすことに注意されたい。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図９を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を満たす（ｕ_１，…，ｕ_ｎ−１）を知っていること」を（ｕ_１，…，ｕ_ｎ−１）の情報を検証者に一切漏らさずに、検証者に証明させるものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（８）を実行する。（処理１）証明者アルゴリズムＰは、任意に数ｗ_ｉを選択する。（処理２）証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗ_ｉを適用して１変数多項式ｒ_１，ｉ（ｔ），…，ｒ_{ｎ−１，ｉ}（ｔ）と数ｗ’_ｉを生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}，ｗ’_ｉ）←Ｇ_１（ｗ_ｉ）を計算する。（処理３）証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ’_ｉを適用してｎ変数多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、ｆ’_ｉ←Ｇ_２（ｗ’_ｉ）を計算する。

Ｓｔｅｐ．１（続き）：
（処理４）証明者アルゴリズムＰは、（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ））←（ｕ_１，ｉ（ｔ）−ｒ_１，ｉ（ｔ），…，ｕ_{ｎ−１，ｉ}（ｔ）−ｒ_{ｎ−１，ｉ}（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，ｉ，…，ｕ_{ｎ−１，ｉ}）を１変数多項式（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}）によりマスクする操作に相当する。（処理５）証明者アルゴリズムＰは、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）←ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
（処理６）証明者アルゴリズムＰは、ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ）とｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}のハッシュ値ｃ_１，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ），ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を計算する。（処理７）証明者アルゴリズムＰは、数ｗ’_ｉのハッシュ値ｃ_２，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｗ’_ｉ）を計算する。（処理８）証明者アルゴリズムＰは、多項式ｆ”_ｉのハッシュ値ｃ_３，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_３，ｉ←Ｈ_３（ｆ”_ｉ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ）はメッセージである。

Ｓｔｅｐ．２：
次に、証明者アルゴリズムＰは、乱数Ｒを選択する。次いで、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、乱数ＲとＳｔｅｐ．１で生成したメッセージ（ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ）をハッシュ関数Ｈに適用してｄ＝（ｄ_１，…，ｄ_Ｎ）を生成する。

Ｓｔｅｐ．３：
次に、証明者アルゴリズムＰは、生成したｄ_ｉに応じて検証者に送り返す情報σ_ｉを生成する。ここで、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の（処理１）〜（処理３）を実行する。（処理１）ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、情報σ_ｉ＝ｗ_ｉを生成する。（処理２）ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、情報σ_ｉ＝（ｗ’_ｉ，ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を生成する。（処理３）ｄ_ｉ＝２の場合、証明者アルゴリズムＰは、情報σ_ｉ＝（ｆ”_ｉ，ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を生成する。上記（処理１）〜（処理３）の判定及び処理が実行された後、乱数Ｒ、メッセージ（ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ）及び情報σ_ｉ（ｉ＝１〜Ｎ）は、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、まず、証明者から受け取った乱数Ｒ、メッセージ（ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ）及び情報σ_ｉ（ｉ＝１〜Ｎ）をハッシュ関数Ｈに適用してｄ＝（ｄ_１，…，ｄ_Ｎ）を生成する。次いで、検証者アルゴリズムＶは、情報σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。なお、以下の処理は、ｉ＝１〜Ｎについて実行される。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，ｉ，…，ｒ’_{ｎ−１，ｉ}，ｗ”_ｉ）←Ｇ_１（σ_ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｆ'''_ｉ←Ｇ_２（ｗ”_ｉ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（ｗ”_ｉ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３，ｉ＝Ｈ_３（ｆ（ｘ_１＋ｒ’_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ’_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ'''_ｉ（ｘ_１，…，ｘ_ｎ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｗ”_ｉ，ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}）←σ_ｉを計算する。さらに、検証者アルゴリズムＶは、ｆ'''_ｉ←Ｇ_２（ｗ”_ｉ）を計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ”_ｉ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝２の場合、検証者アルゴリズムＶは、（ｆ''''_ｉ，ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}）←σ_ｉを計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３，ｉ＝Ｈ_３（ｆ''''_ｉ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、非対話型方式に係る各アルゴリズムの内容について説明した。上記の通り、非対話型方式は、検証者が検証パターンを選択するために乱数ｄを証明者に送る代わりに、証明者アルゴリズムＰがメッセージ（ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ）を利用してｄを生成するというものである。理想的なハッシュ関数Ｈを仮定すれば、ハッシュ値ｄがランダムに振る舞うため、証明者に都合の良いハッシュ値ｄが出ることはない。そのため、上記のような変形を行っても、十分な安全性が確保される。なお、このような変形は、拡張方式などに対しても同様に適用することが可能である。

［２−５：電子署名方式への変形］
ここで、本手法を電子署名方式へと変形する方法について説明する。なお、ここでは簡単のために、上記の非対話型方式を電子署名方式に変形する方法について述べる。上記の非対話型方式における証明者と検証者を電子署名方式における署名者と検証者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが分かるであろう。こうした考えをもとに、非対話型方式に基づく電子署名方式のアルゴリズム構成について詳細に説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを検証鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を署名鍵ｓｋに設定する。ここで、ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たすことに注意されたい。

（署名生成アルゴリズムＳｉｇ）
署名生成アルゴリズムＳｉｇは、ｉ＝１〜Ｎについて、以下の（処理１）〜（処理１５）を実行する。なお、署名生成アルゴリズムＳｉｇには、署名鍵ｓｋ＝（ｕ_１，…，ｕ_ｎ−１）と文書Ｍが入力されているものとする。

（処理１）署名生成アルゴリズムＳｉｇは、任意に数ｗ_ｉを選択する。（処理２）署名生成アルゴリズムＳｉｇは、擬似乱数生成器Ｇ_１に数ｗ_ｉを適用して１変数多項式ｒ_１，ｉ（ｔ），…，ｒ_{ｎ−１，ｉ}（ｔ）と数ｗ’_ｉを生成する。つまり、署名生成アルゴリズムＳｉｇは、（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}，ｗ’_ｉ）←Ｇ_１（ｗ_ｉ）を計算する。（処理３）署名生成アルゴリズムＳｉｇは、擬似乱数生成器Ｇ_２に数ｗ’_ｉを適用してｎ変数多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を生成する。つまり、署名生成アルゴリズムＳｉｇは、ｆ’_ｉ←Ｇ_２（ｗ’_ｉ）を計算する。

（処理４）署名生成アルゴリズムＳｉｇは、（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ））←（ｕ_１，ｉ（ｔ）−ｒ_１，ｉ（ｔ），…，ｕ_{ｎ−１，ｉ}（ｔ）−ｒ_{ｎ−１，ｉ}（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，ｉ，…，ｕ_{ｎ−１，ｉ}）を１変数多項式（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}）によりマスクする操作に相当する。（処理５）署名生成アルゴリズムＳｉｇは、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）←ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。

（処理６）署名生成アルゴリズムＳｉｇは、ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ）とｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}のハッシュ値ｃ_１，ｉを生成する。つまり、署名生成アルゴリズムＳｉｇは、ｃ_１，ｉ←Ｈ_１（ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ），ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を計算する。（処理７）署名生成アルゴリズムＳｉｇは、数ｗ’_ｉのハッシュ値ｃ_２，ｉを生成する。つまり、署名生成アルゴリズムＳｉｇは、ｃ_２，ｉ←Ｈ_２（ｗ’_ｉ）を計算する。（処理８）署名生成アルゴリズムＳｉｇは、多項式ｆ”_ｉのハッシュ値ｃ_３，ｉを生成する。つまり、署名生成アルゴリズムＳｉｇは、ｃ_３，ｉ←Ｈ_３（ｆ”_ｉ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。

（処理９）署名生成アルゴリズムＳｉｇは、乱数Ｒを選択する。（処理１０）署名生成アルゴリズムＳｉｇは、ｉ＝１〜Ｎについて、文書Ｍ、乱数Ｒ、及びハッシュ値（ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）をハッシュ関数Ｈに適用してｄ＝（ｄ_１，…，ｄ_Ｎ）を生成する。つまり、署名生成アルゴリズムＳｉｇは、ｄ＝（ｄ_１，…，ｄ_Ｎ）←Ｈ（Ｒ，Ｍ，ｃ_１，１，…，ｃ_３，Ｎ）を計算する。（処理１１）署名生成アルゴリズムＳｉｇは、生成したｄ_ｉに応じて情報σ_ｉを生成する。

ここで、署名生成アルゴリズムＳｉｇは、ｉ＝１〜Ｎについて、以下の（処理１２）〜（処理１４）を実行する。（処理１２）ｄ_ｉ＝０の場合、署名生成アルゴリズムＳｉｇは、情報σ_ｉ＝ｗ_ｉを生成する。（処理１３）ｄ_ｉ＝１の場合、署名生成アルゴリズムＳｉｇは、情報σ_ｉ＝（ｗ’_ｉ，ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を生成する。（処理１４）ｄ_ｉ＝２の場合、署名生成アルゴリズムＳｉｇは、情報σ_ｉ＝（ｆ”_ｉ，ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を生成する。

（処理１５）ｉ＝１〜Ｎについて、上記（処理１２）〜（処理１４）の判定及び処理が実行された後、署名生成アルゴリズムＳｉｇは、乱数Ｒ、メッセージ（ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ）及び情報σ_ｉ（ｉ＝１〜Ｎ）を含む電子署名σ＝（Ｒ，ｃ_１，ｉ、ｃ_２，ｉ、ｃ_３，ｉ，σ_１，…，σ_Ｎ）を出力する。

（署名検証アルゴリズムＶｅｒ）
署名検証アルゴリズムＶｅｒは、ｉ＝１〜Ｎについて、以下の全ての検証を通過すれば、電子署名σを受理し、１つでも検証を通過しなかった場合には電子署名σを拒否する。なお、署名検証アルゴリズムＶｅｒには、電子署名σと文書Ｍが入力されているものとする。まず、署名検証アルゴリズムＶｅｒは、ｄ＝（ｄ_１，…，ｄ_Ｎ）←Ｈ（Ｒ，Ｍ，ｃ_１，１，…，ｃ_３，Ｎ）を計算する。次いで、署名検証アルゴリズムＶｅｒは、ｉ＝１〜Ｎについて、以下の（検証１）〜（検証３）を実行する。

（検証１）ｄ_ｉ＝０の場合、署名検証アルゴリズムＶｅｒは、（ｒ’_１，ｉ，…，ｒ’_{ｎ−１，ｉ}，ｗ”_ｉ）←Ｇ_１（σ_ｉ）を計算する。次いで、署名検証アルゴリズムＶｅｒは、ｆ'''_ｉ←Ｇ_２（ｗ”_ｉ）を計算する。そして、署名検証アルゴリズムＶｅｒは、ｃ_２，ｉ＝Ｈ_２（ｗ”_ｉ）の等号が成り立つか否かを検証する。また、署名検証アルゴリズムＶｅｒは、ｃ_３，ｉ＝Ｈ_３（ｆ（ｘ_１＋ｒ’_１，ｉ（ｘ_ｎ），…，ｘ_{ｎ−１，ｉ}＋ｒ’_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ'''_ｉ（ｘ_１，…，ｘ_ｎ））の等号が成り立つか否かを検証する。署名検証アルゴリズムＶｅｒは、これらの検証が全て成功した場合に電子署名σの受理を示す値１を出力し、検証に失敗があった場合に電子署名σの拒否を示す値０を出力する。

（検証２）ｄ_ｉ＝１の場合、署名検証アルゴリズムＶｅｒは、（ｗ”_ｉ，ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}）←σ_ｉを計算する。次いで、署名検証アルゴリズムＶｅｒは、ｆ'''_ｉ←Ｇ_２（ｗ”_ｉ）を計算する。そして、署名検証アルゴリズムＶｅｒは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。また、署名検証アルゴリズムＶｅｒは、ｃ_２＝Ｈ_２（ｗ”_ｉ）の等号が成り立つか否かを検証する。署名検証アルゴリズムＶｅｒは、これらの検証が全て成功した場合に電子署名σの受理を示す値１を出力し、検証に失敗があった場合に電子署名σの拒否を示す値０を出力する。

（検証３）ｄ_ｉ＝２の場合、署名検証アルゴリズムＶｅｒは、（ｆ''''_ｉ，ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}）←σ_ｉを計算する。次いで、署名検証アルゴリズムＶｅｒは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。さらに、署名検証アルゴリズムＶｅｒは、ｃ_３，ｉ＝Ｈ_３（ｆ''''_ｉ）の等号が成り立つか否かを検証する。署名検証アルゴリズムＶｅｒは、これらの検証が全て成功した場合に電子署名σの受理を示す値１を出力し、検証に失敗があった場合に電子署名σの拒否を示す値０を出力する。

以上、本手法に基づく電子署名方式の各アルゴリズム構成について説明した。上記の電子署名方式は、代数曲面上の求セクション問題に安全性の根拠をおくものであるが、ＡＳＳ−ＣＣ電子署名方式のような安全性の問題を内包しない。なお、同様にして、上記の拡張方式に基づく電子署名方式を構築することも可能である。

［２−６：具体例］
次に、図１０を参照しながら、本手法を実施する際に想定される具体的なアルゴリズム構成について説明する。図１０は、本手法の具体例を説明するための説明図である。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義される３変数のＤ次多項式ｆ_０（ｘ，ｙ，ｔ）と、１変数の多次多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を生成する。但し、Ｄ次多項式ｆ_０（ｘ，ｙ，ｔ）は、下記の式（８）により表現される。また、１変数の多次多項式ｕ_ｘ（ｔ）は、下記の式（９）により表現される。さらに、１変数の多次多項式ｕ_ｙ（ｔ）は、下記の式（１０）により表現される。

次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ，ｙ，ｔ）＝ｆ_０（ｘ，ｙ，ｔ）−ｃ（ｔ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_ｘ，ｕ_ｙ）を秘密鍵ｓｋに設定する。なお、鍵生成アルゴリズムＧｅｎにより生成されるｆは、ｘ^０ｙ^０ｔ^ｋの項以外については最大でＤ次となるが、ｘ^０ｙ^０ｔ^ｋの項については最大で（Ｄ＋Ｄ_ｓ）次になる。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１０を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）を満たす（ｕ_ｘ，ｕ_ｙ）を知っていること」を（ｕ_ｘ，ｕ_ｙ）の情報を検証者に一切漏らさずに、検証者に証明させるものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗを適用して１変数多項式ｒ_ｘ（ｔ），ｒ_ｙ（ｔ）と数ｗ’を生成する。つまり、証明者アルゴリズムＰは、（ｒ_ｘ，ｒ_ｙ，ｗ’）←Ｇ_１（ｗ）を計算する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ’を適用して３変数多項式ｆ’（ｘ，ｙ，ｔ）を生成する。つまり、証明者アルゴリズムＰは、ｆ’←Ｇ_２（ｗ’）を計算する。なお、多項式ｆ’の次数は多項式ｆの次数と同じにする。つまり、ｘ^０ｙ^０ｔ^ｋの項以外については最大でＤ次であるが、ｘ^０ｙ^０ｔ^ｋの項については最大で（Ｄ＋Ｄ_ｓ）次になるようにする。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））←（ｕ_ｘ（ｔ）−ｒ_ｘ（ｔ），ｕ_ｙ（ｔ）−ｒ_ｙ（ｔ））を計算する。この計算は、秘密鍵（ｕ_ｘ，ｕ_ｙ）を１変数多項式（ｒ_ｘ，ｒ_ｙ）によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｆ”（ｘ，ｙ，ｔ）←ｆ（ｘ＋ｒ_ｘ（ｔ），ｙ＋ｒ_ｙ（ｔ），ｔ）＋ｆ’（ｘ，ｙ，ｔ）を計算する。この計算は、ｘ，ｙ，ｔについての多項式ｆ（ｘ＋ｒ_ｘ（ｔ），ｙ＋ｒ_ｙ（ｔ），ｔ）を多項式ｆ’（ｘ，ｙ，ｔ）によりマスクする操作に相当する。ここで、ｆ（ｘ＋ｒ_ｘ（ｔ），ｙ＋ｒ_ｙ（ｔ），ｔ）の中に現れるｒ_ｘ（ｔ），ｒ_ｙ（ｔ）に関する項は全てｆ’（ｘ，ｙ，ｔ）でマスクされていることに注意されたい。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、ｆ”（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｔ）とｚ_ｘ，ｚ_ｙのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（ｆ”（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｔ），ｚ_ｘ，ｚ_ｙ）を計算する。また、証明者アルゴリズムＰは、数ｗ’のハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ’）を計算する。さらに、証明者アルゴリズムＰは、多項式ｆ”のハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（ｆ”）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１、ｃ_２、ｃ_３）はメッセージである。

Ｓｔｅｐ．１で生成されたメッセージ（ｃ_１、ｃ_２、ｃ_３）は、検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ∈｛０，１，２｝を証明者に送る。

Ｓｔｅｐ．３：
証明者アルゴリズムＰは、検証者から受けた要求ｄに応じて検証者に送り返す情報σを生成する。もしｄ＝０の場合、証明者アルゴリズムＰは、情報σ＝ｗを生成する。また、ｄ＝１の場合、証明者アルゴリズムＰは、情報σ＝（ｗ’，ｚ_ｘ，ｚ_ｙ）を生成する。そして、ｄ＝２の場合、証明者アルゴリズムＰは、情報σ＝（ｆ”，ｚ_ｘ，ｚ_ｙ）を生成する。このようにして生成された情報σは、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、証明者から受け取った情報σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ’_ｘ，ｒ’_ｙ，ｗ”）←Ｇ_１（σ）を計算する。さらに、検証者アルゴリズムＶは、ｆ'''←Ｇ_２（ｗ”）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ”）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｆ（ｘ＋ｒ’_ｘ（ｔ），ｙ＋ｒ’_ｙ（ｔ），ｔ）＋ｆ'''（ｘ，ｙ，ｔ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｗ”，ｚ’_ｘ，ｚ’_ｙ）←σを計算する。さらに、検証者アルゴリズムＶは、ｆ'''←Ｇ_２（ｗ”）を計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（ｆ'''（ｚ’_ｘ（ｔ），ｚ’_ｙ（ｔ），ｔ），ｚ’_ｘ，ｚ’_ｙ））の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ”）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝２の場合、検証者アルゴリズムＶは、（ｆ''''，ｚ’_ｘ，ｚ’_ｙ）←σを計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（ｆ'''（ｚ’_ｘ（ｔ），ｚ’_ｙ（ｔ），ｔ），ｚ’_ｘ，ｚ’_ｙ））の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｆ''''）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法を実施する際に想定される具体的なアルゴリズム構成について説明した。

＜３：第２実施形態＞
次に、本発明の第２実施形態について説明する。これまで３パスの公開鍵認証方式について説明してきた。本実施形態では、５パスの公開鍵認証方式（以下、本手法）について説明する。本手法は、検証者の検証パターンを２ｑ通りにすることにより、公開鍵認証方式の健全性を確保する方式である。

なお、上記の第１実施形態に係る３パスの公開鍵認証方式は、対話プロトコル１回当たりの偽証確率が２／３であったが、本手法では、後述するように対話プロトコル１回当たりの偽証確率は１／２＋１／ｑとなる。但し、ｑは、利用する環の位数である。従って、環の位数が十分に大きい場合、図１８に示すように、本手法の方が１回当たりの偽証確率を低減することが可能になり、少ない対話プロトコルの実行回数で、偽証確率を十分に小さくすることができる。

５パスの公開鍵認証方式に係る対話プロトコルは、３パスの公開鍵認証方式に係る対話プロトコルよりも効率が低いように思われるかもしれない。しかし、５パスの公開鍵認証方式においては、環の位数を十分に大きくとった場合、対話プロトコル１回当たりの偽証確率が１／２に近くなるため、同じセキュリティレベルを達成するために必要な対話プロトコルの実行回数が少なくて済む。

例えば、偽証確率を１／２^ｎ以下にしたい場合、３パスの公開鍵認証方式においては、ｎ／（ｌｏｇ３−１）＝１．７０１ｎ回以上、対話プロトコルを実行する必要がある。一方、５パスの公開鍵認証方式においては、ｎ／（１−ｌｏｇ（１＋１／ｑ））回以上、対話プロトコルを実行する必要がある。図１８に示すように、例えば、ｑ＝２^４にすれば、同じセキュリティレベルを実現するのに必要な通信量は、３パスの公開鍵認証方式に比べ、５パスの公開鍵認証方式の方が少なくなる。

［３−１：公開鍵認証方式のアルゴリズム］
以下、図１１を参照しながら、５パスの公開鍵認証方式（本手法）に係るアルゴリズム構成について説明する。図１１は、本手法に係るアルゴリズムの内容について説明するための説明図である。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を秘密鍵ｓｋに設定する。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１２を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を満たす（ｕ_１，…，ｕ_ｎ−１）を知っていること」を（ｕ_１，…，ｕ_ｎ−１）の情報を検証者に一切漏らさずに、検証者に証明するものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗを適用して１変数多項式ｒ_１（ｔ），…，ｒ_ｎ−１（ｔ）と、ｎ変数多項式ｆ’（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，…，ｒ_ｎ−１，ｆ’）←Ｇ（ｗ）を計算する。次いで、証明者アルゴリズムＰは、（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ））←（ｕ_１（ｔ）−ｒ_１（ｔ），…，ｕ_ｎ−１（ｔ）−ｒ_ｎ−１（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，…，ｕ_ｎ−１）を１変数多項式（ｒ_１，…，ｒ_ｎ−１）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）とｚ_１，…，ｚ_ｎ−１のハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ），ｚ_１，…，ｚ_ｎ−１）を計算する。また、証明者アルゴリズムＰは、数ｗのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１、ｃ_２）はメッセージである。

Ｓｔｅｐ．１で生成されたメッセージ（ｃ_１、ｃ_２）は、検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元から１つの乱数αを選択する。そして、検証者アルゴリズムＶは、選択した乱数αを証明者に送る。

Ｓｔｅｐ．３：
証明者アルゴリズムＰは、ｆ”（ｘ_１，…，ｘ_ｎ）←αｆ（ｘ_１＋ｒ_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_ｎ−１（ｘ_ｎ），ｘ_ｎ）＋ｆ’（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_ｎ−１（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。

Ｓｔｅｐ．３で生成されたメッセージｆ”は、検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ∈｛０，１｝を証明者に送る。

Ｓｔｅｐ．５：
証明者アルゴリズムＰは、検証者から受けた要求ｄに応じて検証者に送り返す情報σを生成する。もしｄ＝０の場合、証明者アルゴリズムＰは、情報σ＝ｗを生成する。また、ｄ＝１の場合、証明者アルゴリズムＰは、情報σ＝（ｚ_１，…，ｚ_ｎ−１）を生成する。このようにして生成された情報σは、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．６：
検証者アルゴリズムＶは、証明者から受け取った情報σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，…，ｒ’_ｎ−１，ｆ'''）←Ｇ（σ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（σ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｆ”（ｘ_１，…，ｘ_ｎ）＝αｆ（ｘ_１＋ｒ’_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ’_ｎ−１（ｘ_ｎ），ｘ_ｎ）＋ｆ'''（ｘ_１，…，ｘ_ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｚ’_１，…，ｚ’_ｎ−１）←σを計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（ｆ'''（ｚ’_１（ｔ），…，ｚ’_ｎ−１（ｔ），ｔ），ｚ’_１，…，ｚ’_ｎ−１））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

（補足）
さて、上記Ｓｔｅｐ．１及びＳｔｅｐ．３において生成されたメッセージ（ｃ_１，ｃ_２）及びｆ”を検証者に送った際、秘密鍵ｓｋに関する情報、（ｒ_１，…，ｒ_ｎ−１）に関する情報、（ｚ_１，…，ｚ_ｎ−１）に関する情報が検証者に一切漏れていないことに注意されたい。また、上記Ｓｔｅｐ．５において生成された情報σを検証者に送った際、ｄ＝０のときにはｚ_１，…，ｚ_ｎ−１に関する情報が検証者に一切漏れておらず、ｄ＝１のときにはｒ_１，…，ｒ_ｎ−１に関する情報が検証者に一切漏れていないことに注意されたい。

（本手法における健全性について）
本手法の健全性は、証明者アルゴリズムＰが１組の（ｃ_１，ｃ_２）、及び、検証者アルゴリズムＶが選択する２通りの（α_１，α_２）について、要求ｄ＝０，１に正しく回答した場合に、その回答内容から下記の式（１１）〜式（１３）を満たすｆ''''_１、ｆ''''_２、ｆ'''、ｒ’_１，…，ｒ’_ｎ−１、ｚ’_１，…，ｚ’_ｎ−１を計算できるということから保証されている。

このようなロジックが保証されることにより、代数曲面上の求セクション問題を解かない限りにおいて１／２＋１／ｑより高い確率で偽証することは不可能であることが保証される。つまり、検証者の要求ｄ＝０，１の全てに正しく回答するためには、偽証者が上記の式（１１）〜式（１３）を満たすｆ''''_１、ｆ''''_２、ｆ'''、ｒ’_１，…，ｒ’_ｎ−１、ｚ’_１，…ｚ’_ｎ−１を計算できる必要がある。言い換えると、偽証者はｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす（ｕ_１，…，ｕ_ｎ−１）を計算できる必要がある。従って、代数曲面上の求セクション問題を解かない限り、偽証者は、１／２＋１／ｑより高い確率で偽証を成功させることができないのである。なお、上記の対話プロトコルを十分に多くの回数実行することにより、偽証の成功確率を無視できるほど小さくすることができる。

（変形例）
上記の証明者アルゴリズムＰは、メッセージｃ_１として、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）とｚ_１，…，ｚ_ｎ−１のハッシュ値を用いていた。しかし、証明者アルゴリズムＰは、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）のハッシュ値と、ｚ_１，…，ｚ_ｎ−１のハッシュ値とを別々に計算し、それぞれをメッセージとして検証者に送るようにしてもよい。また、上記の証明者アルゴリズムＰは、数ｗに擬似乱数生成器Ｇを適用して１変数多項式ｒ_１（ｔ），…，ｒ_ｎ−１（ｔ）とｎ変数多項式ｆ’（ｘ_１，…，ｘ_ｎ）を生成している。しかし、証明者アルゴリズムＰは、最初からｗ＝（ｒ_１（ｔ），…，ｒ_ｎ−１（ｔ），ｆ’）を算出し、Ｇを恒等写像としてもよい。また、この場合には、数ｗをＧに適用する必要はない。

以上、本手法に係る基本的なアルゴリズム構成について説明した。

［３−２：拡張アルゴリズム］
次に、図１２を参照しながら、本手法を拡張した公開鍵認証方式（以下、拡張手法）のアルゴリズムについて説明する。図１２は、拡張手法に基づく対話プロトコルの流れを説明するための説明図である。この拡張手法は、３パス目に送信する多項式ｆ”を１つのハッシュ値ｃ_３に変換して検証者に送る方式である。このように拡張することで、対話プロトコルの中で表現サイズの大きい多項式ｆ”を検証者に送る確率を半減することが可能になり、通信する平均的なデータサイズを削減することができる。以下、拡張方式における各アルゴリズムの内容について詳細に説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を秘密鍵ｓｋに設定する。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１２を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を満たす（ｕ_１，…，ｕ_ｎ−１）を知っていること」を（ｕ_１，…，ｕ_ｎ−１）の情報を検証者に一切漏らさずに、検証者に証明させるものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗを適用して１変数多項式ｒ_１（ｔ），…，ｒ_ｎ−１（ｔ）と、ｎ変数多項式ｆ’（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，…，ｒ_ｎ−１，ｆ’）←Ｇ（ｗ）を計算する。次いで、証明者アルゴリズムＰは、（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ））←（ｕ_１（ｔ）−ｒ_１（ｔ），…，ｕ_ｎ−１（ｔ）−ｒ_ｎ−１（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，…，ｕ_ｎ−１）を１変数多項式（ｒ_１，…，ｒ_ｎ−１）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ）とｚ_１，…，ｚ_ｎ−１のハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（ｆ”（ｚ_１（ｔ），…，ｚ_ｎ−１（ｔ），ｔ），ｚ_１，…，ｚ_ｎ−１）を計算する。また、証明者アルゴリズムＰは、数ｗのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１、ｃ_２）はメッセージである。

Ｓｔｅｐ．１で生成されたメッセージ（ｃ_１、ｃ_２）は、検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元から１つの乱数αを選択する。そして、検証者アルゴリズムＶは、選択した乱数αを証明者に送る。

Ｓｔｅｐ．３：
証明者アルゴリズムＰは、ｆ”（ｘ_１，…，ｘ_ｎ）←αｆ（ｘ_１＋ｒ_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_ｎ−１（ｘ_ｎ），ｘ_ｎ）＋ｆ’（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_ｎ−１（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、多項式ｆ”のハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（ｆ”）を計算する。なお、上記のＨ_３（…）は、ハッシュ関数である。また、ハッシュ値ｃ_３はメッセージである。

Ｓｔｅｐ．３で生成されたメッセージｃ_３は、検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ∈｛０，１｝を証明者に送る。

Ｓｔｅｐ．５：
証明者アルゴリズムＰは、検証者から受けた要求ｄに応じて検証者に送り返す情報σを生成する。もしｄ＝０の場合、証明者アルゴリズムＰは、情報σ＝ｗを生成する。また、ｄ＝１の場合、証明者アルゴリズムＰは、情報σ＝（ｚ_１，…，ｚ_ｎ−１，ｆ”）を生成する。このようにして生成された情報σは、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．６：
検証者アルゴリズムＶは、証明者から受け取った情報σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，…，ｒ’_ｎ−１，ｆ'''）←Ｇ（σ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（σ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（αｆ（ｘ_１＋ｒ’_１（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ’_ｎ−１（ｘ_ｎ），ｘ_ｎ）＋ｆ'''（ｘ_１，…，ｘ_ｎ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｚ’_１，…，ｚ’_ｎ−１，ｆ'''）←σを計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（ｆ'''（ｚ’_１（ｔ），…，ｚ’_ｎ−１（ｔ），ｔ），ｚ’_１，…，ｚ’_ｎ−１））の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｆ'''）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、拡張方式の対話プロトコルにおける各アルゴリズムの処理について説明した。このように拡張することで、対話プロトコルの中で表現サイズの大きい多項式ｆ”を検証者に送る確率を半減することが可能になり、通信する平均的なデータサイズを削減することができる。

［３−３：並列化アルゴリズム］
さて、先に述べた通り、本手法又は拡張手法に係る対話プロトコルを適用すれば、偽証が成功する確率を（１／２＋１／ｑ）以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（１／２＋１／ｑ）^２以下に抑制することができる。同様に、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（１／２＋１／ｑ）^Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝８０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。例えば、本手法に係る対話プロトコルを並列的にＮ回実行するアルゴリズムは図１３のようになる。以下、図１３を参照しながら、並列的に対話プロトコルをＮ回実行する各アルゴリズムの内容について説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を秘密鍵ｓｋに設定する。ここで、ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たすことに注意されたい。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１３を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を満たす（ｕ_１，…，ｕ_ｎ−１）を知っていること」を（ｕ_１，…，ｕ_ｎ−１）の情報を検証者に一切漏らさずに、検証者に証明させるものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（５）を実行する。（処理１）証明者アルゴリズムＰは、任意に数ｗ_ｉを選択する。（処理２）証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗ_ｉを適用して１変数多項式ｒ_１，ｉ（ｔ），…，ｒ_{ｎ−１，ｉ}（ｔ）と多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}，ｆ’_ｉ）←Ｇ（ｗ_ｉ）を計算する。（処理３）証明者アルゴリズムＰは、（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ））←（ｕ_１，ｉ（ｔ）−ｒ_１，ｉ（ｔ），…，ｕ_{ｎ−１，ｉ}（ｔ）−ｒ_{ｎ−１，ｉ}（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，ｉ，…，ｕ_{ｎ−１，ｉ}）を１変数多項式（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
（処理４）証明者アルゴリズムＰは、ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ）とｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}のハッシュ値ｃ_１，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ），ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を計算する。（処理５）証明者アルゴリズムＰは、数ｗ’_ｉのハッシュ値ｃ_２，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｗ’_ｉ）を計算する。

ｉ＝１〜Ｎについて、上記の（処理１）〜（処理５）が実行された後、Ｓｔｅｐ．１で生成されたメッセージ（ｃ_１，ｉ、ｃ_２，ｉ）（ｉ＝１〜Ｎ）は、検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からＮ個の乱数α_１，…，α_Ｎを選択する。そして、検証者アルゴリズムＶは、選択した乱数α_１，…，α_Ｎを証明者に送る。

Ｓｔｅｐ．３：
検証者アルゴリズムＶは、ｉ＝１〜Ｎについて、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）←α_ｉｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。そして、検証者アルゴリズムＶは、多項式ｆ”_１，…，ｆ”_Ｎを検証者に送る。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ_ｉ∈｛０，１｝（ｉ＝１〜Ｎ）を証明者に送る。

Ｓｔｅｐ．５：
証明者アルゴリズムＰは、検証者から受けた要求ｄ_ｉに応じて検証者に送り返す情報σ_ｉを生成する。ここで、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の（処理１）又は（処理２）を実行する。（処理１）ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、情報σ_ｉ＝ｗ_ｉを生成する。（処理２）ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、情報σ_ｉ＝（ｗ’_ｉ，ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を生成する。上記（処理１）又は（処理２）の判定及び処理が実行された後、情報σ_ｉ（ｉ＝１〜Ｎ）は、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．６：
検証者アルゴリズムＶは、証明者から受け取った情報σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。なお、以下の処理は、ｉ＝１〜Ｎについて実行される。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，ｉ，…，ｒ’_{ｎ−１，ｉ}，ｆ'''_ｉ）←Ｇ_１（σ_ｉ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（σ_ｉ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）＝ｆ（ｘ_１＋ｒ’_１，ｉ（ｘ_ｎ），…，ｘ_{ｎ−１，ｉ}＋ｒ’_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ'''_ｉ（ｘ_１，…，ｘ_ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}）←σ_ｉを計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法の対話プロトコルを並列的に実行する方法について説明した。上記のように、本手法の対話プロトコルを繰り返し実行することにより、偽証が成功する確率を無視できる程度まで低減させることが可能になる。なお、拡張方式についても同様にして並列化することが可能である。拡張方式について並列化した対話プロトコルのアルゴリズム構成を図１４に示した。

（拡張方式に係る並列化アルゴリズムについて）
以下、図１４を参照しながら、拡張方式に係る並列化アルゴリズムの内容について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については本手法に係る並列化アルゴリズムと同じであるため、詳細な説明を省略する。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（５）を実行する。（処理１）証明者アルゴリズムＰは、任意に数ｗ_ｉを選択する。（処理２）証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗ_ｉを適用して１変数多項式ｒ_１，ｉ（ｔ），…，ｒ_{ｎ−１，ｉ}（ｔ）と多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}，ｆ’_ｉ）←Ｇ（ｗ_ｉ）を計算する。（処理３）証明者アルゴリズムＰは、（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ））←（ｕ_１，ｉ（ｔ）−ｒ_１，ｉ（ｔ），…，ｕ_{ｎ−１，ｉ}（ｔ）−ｒ_{ｎ−１，ｉ}（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，ｉ，…，ｕ_{ｎ−１，ｉ}）を１変数多項式（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
（処理４）証明者アルゴリズムＰは、ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ）とｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}のハッシュ値ｃ_１，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ），ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を計算する。（処理５）証明者アルゴリズムＰは、数ｗ’_ｉのハッシュ値ｃ_２，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｗ’_ｉ）を計算する。

ｉ＝１〜Ｎについて、上記の（処理１）〜（処理５）が実行された後、Ｓｔｅｐ．１で生成されたメッセージ（ｃ_１，ｉ、ｃ_２，ｉ）（ｉ＝１〜Ｎ）は、検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からＮ個の乱数α_１，…，α_Ｎを選択する。そして、検証者アルゴリズムＶは、選択した乱数α_１，…，α_Ｎを証明者に送る。

Ｓｔｅｐ．３：
検証者アルゴリズムＶは、ｉ−１〜Ｎについて、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）←α_ｉｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。次いで、検証者アルゴリズムＶは、多項式ｆ”_１，…，ｆ”_Ｎのハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（ｆ”_１，…，ｆ”_Ｎ）を計算する。なお、上記のＨ_３（…）は、ハッシュ関数である。また、ハッシュ値ｃ_３はメッセージである。

Ｓｔｅｐ．３で生成されたメッセージｃ_３は、検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ_ｉ∈｛０，１｝（ｉ＝１〜Ｎ）を証明者に送る。

Ｓｔｅｐ．５：
証明者アルゴリズムＰは、検証者から受けた要求ｄ_ｉに応じて検証者に送り返す情報σ_ｉを生成する。ここで、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の（処理１）又は（処理２）を実行する。（処理１）ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、情報σ_ｉ＝ｗ_ｉを生成する。（処理２）ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、情報σ_ｉ＝（ｗ’_ｉ，ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}，ｆ”_ｉ）を生成する。上記（処理１）又は（処理２）の判定及び処理が実行された後、情報σ_ｉ（ｉ＝１〜Ｎ）は、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．６：
検証者アルゴリズムＶは、証明者から受け取った情報σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。なお、以下の処理は、ｉ＝１〜Ｎについて実行される。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，ｉ，…，ｒ’_{ｎ−１，ｉ}，ｆ'''_ｉ）←Ｇ_１（σ_ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｆ''''_ｉ←α_ｉｆ（ｘ_１＋ｒ’_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ’_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ'''_ｉ（ｘ_１，…，ｘ_ｎ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（σ_ｉ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｆ''''_１，…，ｆ''''_Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}，ｆ''''_ｉ）←σ_ｉを計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｆ''''_１，…，ｆ''''_Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、拡張方式に係る並列化アルゴリズムの内容について説明した。

［３−４：非対話型アルゴリズム］
これまで５パスの公開鍵認証方式について説明してきた。しかし、本手法においては、検証者から証明者に送られる情報が実際には単なる乱数だけであるため、１パスの公開鍵認証方式（以下、非対話型方式）に変形することができる。なお、非対話型方式に係る各アルゴリズムの内容を図１５に示した。以下、図１５を参照しながら、非対話型方式に係る各アルゴリズムの内容について説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を秘密鍵ｓｋに設定する。ここで、ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たすことに注意されたい。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１５を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を満たす（ｕ_１，…，ｕ_ｎ−１）を知っていること」を（ｕ_１，…，ｕ_ｎ−１）の情報を検証者に一切漏らさずに、検証者に証明させるものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（５）を実行する。（処理１）証明者アルゴリズムＰは、任意に数ｗ_ｉを選択する。（処理２）証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗ_ｉを適用して１変数多項式ｒ_１，ｉ（ｔ），…，ｒ_{ｎ−１，ｉ}（ｔ）と多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}，ｆ’_ｉ）←Ｇ（ｗ_ｉ）を計算する。（処理３）証明者アルゴリズムＰは、（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ））←（ｕ_１，ｉ（ｔ）−ｒ_１，ｉ（ｔ），…，ｕ_{ｎ−１，ｉ}（ｔ）−ｒ_{ｎ−１，ｉ}（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，ｉ，…，ｕ_{ｎ−１，ｉ}）を１変数多項式（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
（処理４）証明者アルゴリズムＰは、ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ）とｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}のハッシュ値ｃ_１，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ），ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を計算する。（処理５）証明者アルゴリズムＰは、数ｗ’_ｉのハッシュ値ｃ_２，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｗ’_ｉ）を計算する。

Ｓｔｅｐ．１（続き）：
次に、検証者アルゴリズムＶは、乱数Ｒ_Ａ，Ｒ_Ｂを選択する。そして、検証者アルゴリズムＶは、乱数Ｒ_Ａと上記の（処理４）及び（処理５）で計算されたハッシュ値ｃ_１，ｉ，ｃ_２，ｉをハッシュ関数Ｈ_Ａに適用してハッシュ値α_１，…，α_Ｎを生成する。つまり、検証者アルゴリズムＶは、（α_１，…，α_Ｎ）←Ｈ_Ａ（Ｒ_Ａ，ｃ_１，１，…，ｃ_２，Ｎ）を計算する。

Ｓｔｅｐ．１（続き）：
次に、検証者アルゴリズムＶは、ｉ＝１〜Ｎについて、以下の（処理１）及び（処理２）を実行する。（処理１）証明者アルゴリズムＰは、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）←α_ｉｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を計算する。この計算は、ｘ_１，…，ｘ_ｎについての多項式ｆ（ｘ_１＋ｒ_１，ｉ（ｘ_ｎ），…，ｘ_ｎ−１＋ｒ_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）を多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）によりマスクする操作に相当する。（処理２）証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、乱数Ｒ_Ａ，Ｒ_Ｂ、ハッシュ値（ｃ_１，ｉ、ｃ_２，ｉ）、α_ｉ，ｆ”_ｉをハッシュ関数Ｈ_Ｂに適用してｄ＝（ｄ_１，…，ｄ_Ｎ）を生成する。つまり、証明者アルゴリズムＰは、（ｄ_１，…，ｄ_Ｎ）←Ｈ_Ｂ（Ｒ_Ａ，Ｒ_Ｂ，ｃ_１，１，…，ｃ_２，Ｎ，α_１，…，α_Ｎ，ｆ”_１，…，ｆ”_Ｎ）を計算する。

Ｓｔｅｐ．１（続き）：
次に、検証者アルゴリズムＶは、
次に、証明者アルゴリズムＰは、生成したｄ_ｉに応じて検証者に送り返す情報σ_ｉを生成する。ここで、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の（処理１）又は（処理２）を実行する。（処理１）ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、情報σ_ｉ＝ｗ_ｉを生成する。（処理２）ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、情報σ_ｉ＝（ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を生成する。上記（処理１）又は（処理２）の判定及び処理が実行された後、Ｒ_Ａ、Ｒ_Ｂ、α_ｉ、ｃ_１，ｉ、ｃ_２，ｉ、σ_ｉ（ｉ＝１〜Ｎ）は、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、まず、証明者から受け取ったＲ_Ａ、ｃ_１，ｉ、ｃ_２，ｉをハッシュ関数Ｈ_Ａに適用してα_ｉを生成する。つまり、検証者アルゴリズムＶは、（α_１，…，α_Ｎ）←Ｈ_Ａ（Ｒ_Ａ，ｃ_１，１，…，ｃ_２，Ｎ）を計算する。次いで、検証者アルゴリズムＶは、ｄ＝（ｄ_１，…，ｄ_Ｎ）←Ｈ_Ｂ（Ｒ_Ａ，Ｒ_Ｂ，ｃ_１，１，…，ｃ_２，Ｎ，α_１，…，α_Ｎ，ｆ”_１，…，ｆ”_Ｎ）を計算する。次いで、検証者アルゴリズムＶは、情報σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。なお、以下の処理は、ｉ＝１〜Ｎについて実行される。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ’_１，ｉ，…，ｒ’_{ｎ−１，ｉ}，ｆ'''_ｉ）←Ｇ_１（σ_ｉ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（σ_ｉ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ＝α_ｉｆ（ｘ_１＋ｒ’_１，ｉ（ｘ_ｎ），…，ｘ_{ｎ−１，ｉ}＋ｒ’_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ'''_ｉ（ｘ_１，…，ｘ_ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}，ｆ'''_ｉ）←σ_ｉを計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、非対話型方式に係る各アルゴリズムの内容について説明した。なお、理想的なハッシュ関数Ｈ_Ａ、Ｈ_Ｂを仮定すれば、ハッシュ値α_ｉ，ｄ_ｉがランダムに振る舞うため、証明者に都合の良いハッシュ値α_ｉ，ｄ_ｉが出ることはない。そのため、上記のような変形を行っても、十分な安全性が確保される。なお、このような変形は、拡張方式などに対しても同様に適用することが可能である。

［３−５：電子署名方式への変形］
ここで、本手法を電子署名方式へと変形する方法について説明する。なお、ここでは簡単のために、上記の非対話型方式を電子署名方式に変形する方法について述べる。上記の非対話型方式における証明者と検証者を電子署名方式における署名者と検証者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが分かるであろう。こうした考えをもとに、非対話型方式に基づく電子署名方式のアルゴリズム構成について詳細に説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｎ変数の多次多項式ｆ_０（ｘ_１，…，ｘ_ｎ）と、１変数の多次多項式ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ）を生成する。次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ_１，…，ｘ_ｎ）＝ｆ_０（ｘ_１，…，ｘ_ｎ）−ｃ（ｘ_ｎ）を計算し、ｆを検証鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_１，…，ｕ_ｎ−１）を署名鍵ｓｋに設定する。ここで、ｆ_０（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たすことに注意されたい。

（署名生成アルゴリズムＳｉｇ）
署名生成アルゴリズムＳｉｇは、ｉ＝１〜Ｎについて、以下の（処理１）〜（処理１１）を実行する。なお、署名生成アルゴリズムＳｉｇには、署名鍵ｓｋ＝（ｕ_１，…，ｕ_ｎ−１）と文書Ｍが入力されているものとする。

（処理１）署名生成アルゴリズムＳｉｇは、任意に数ｗ_ｉを選択する。（処理２）署名生成アルゴリズムＳｉｇは、擬似乱数生成器Ｇに数ｗ_ｉを適用して１変数多項式ｒ_１，ｉ（ｔ），…，ｒ_{ｎ−１，ｉ}（ｔ）とｎ変数多項式ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を生成する。つまり、署名生成アルゴリズムＳｉｇは、（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}，ｆ’_ｉ）←Ｇ（ｗ_ｉ）を計算する。（処理２）署名生成アルゴリズムＳｉｇは、（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ））←（ｕ_１，ｉ（ｔ）−ｒ_１，ｉ（ｔ），…，ｕ_{ｎ−１，ｉ}（ｔ）−ｒ_{ｎ−１，ｉ}（ｔ））を計算する。この計算は、秘密鍵（ｕ_１，ｉ，…，ｕ_{ｎ−１，ｉ}）を１変数多項式（ｒ_１，ｉ，…，ｒ_{ｎ−１，ｉ}）によりマスクする操作に相当する。

（処理３）署名生成アルゴリズムＳｉｇは、ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ）とｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}のハッシュ値ｃ_１，ｉを生成する。つまり、署名生成アルゴリズムＳｉｇは、ｃ_１，ｉ←Ｈ_１（ｆ”_ｉ（ｚ_１，ｉ（ｔ），…，ｚ_{ｎ−１，ｉ}（ｔ），ｔ），ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を計算する。（処理４）署名生成アルゴリズムＳｉｇは、数ｗ’_ｉのハッシュ値ｃ_２，ｉを生成する。つまり、署名生成アルゴリズムＳｉｇは、ｃ_２，ｉ←Ｈ_２（ｗ’_ｉ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）は、ハッシュ関数である。

（処理４）署名生成アルゴリズムＳｉｇは、乱数Ｒ_Ａを任意に選択する。（処理５）署名生成アルゴリズムＳｉｇは、α＝（α_１，…，α_Ｎ）←Ｈ_Ａ（Ｒ_Ａ，Ｍ，ｃ_１，１，…，ｃ_２，Ｎ）を計算する。（処理６）署名生成アルゴリズムＳｉｇは、ｉ＝１〜Ｎについて、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）＝α_ｉｆ（ｘ_１＋ｒ’_１，ｉ（ｘ_ｎ），…，ｘ_{ｎ−１，ｉ}＋ｒ’_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）を計算する。（処理７）署名生成アルゴリズムＳｉｇは、乱数Ｒ_Ｂを任意に選択する。（処理８）署名生成アルゴリズムＳｉｇは、ｄ＝（ｄ_１，…，ｄ_Ｎ）←Ｈ_Ｂ（Ｒ_Ｂ，Ｍ，ｃ_１，１，…，ｃ_２，Ｎ，α，ｆ”_１，…，ｆ”_Ｎ）を計算する。

次に、署名生成アルゴリズムＳｉｇは、ｉ＝１〜Ｎについて、ｄ_ｉに応じた次の（処理９）又は（処理１０）を実行する。（処理９）ｄ_ｉ＝０の場合、署名生成アルゴリズムＳｉｇは、σ_ｉ←ｗ_ｉを計算する。（処理１０）ｄ_ｉ＝１の場合、署名生成アルゴリズムＳｉｇは、σ_ｉ←（ｚ_１，ｉ，…，ｚ_{ｎ−１，ｉ}）を計算する。

（処理１１）ｉ＝１〜Ｎについて、上記（処理９）又は（処理１０）の判定及び処理が実行された後、署名生成アルゴリズムＳｉｇは、電子署名σ＝（Ｒ_Ａ，Ｒ_Ｂ，ｃ_１，１，…，ｃ_２，Ｎ，α_１，…，α_Ｎ，ｆ”_１，…，ｆ”_Ｎ）を出力する。

（署名検証アルゴリズムＶｅｒ）
署名検証アルゴリズムＶｅｒは、ｉ＝１〜Ｎについて、以下の全ての検証を通過すれば、電子署名σを受理し、１つでも検証を通過しなかった場合には電子署名σを拒否する。なお、署名検証アルゴリズムＶｅｒには、電子署名σと文書Ｍが入力されているものとする。まず、署名検証アルゴリズムＶｅｒは、α＝（α_１，…，α_Ｎ）←Ｈ_Ａ（Ｒ_Ａ，Ｍ，ｃ_１，１，…，ｃ_３，Ｎ）を計算する。次いで、署名検証アルゴリズムＶｅｒは、ｄ＝（ｄ_１，…，ｄ_Ｎ）←Ｈ（Ｒ，Ｍ，ｃ_１，１，…，ｃ_３，Ｎ，α，ｆ”_１，…，ｆ”_Ｎ）を計算する。次いで、署名検証アルゴリズムＶｅｒは、ｉ＝１〜Ｎについて、以下の（検証１）〜（検証３）を実行する。

（検証１）ｄｉ＝０の場合、署名検証アルゴリズムＶｅｒは、（ｒ’_１，ｉ，…，ｒ’_{ｎ−１，ｉ}，ｆ”_ｉ）←Ｇ（σ_ｉ）を計算する。そして、署名検証アルゴリズムＶｅｒは、ｃ_２，ｉ＝Ｈ_２（σ_ｉ）の等号が成り立つか否かを検証する。また、署名検証アルゴリズムＶｅｒは、ｆ”_ｉ（ｘ_１，…，ｘ_ｎ）＝α_ｉｆ（ｘ_１＋ｒ’_１，ｉ（ｘ_ｎ），…，ｘ_{ｎ−１，ｉ}＋ｒ’_{ｎ−１，ｉ}（ｘ_ｎ），ｘ_ｎ）＋ｆ’_ｉ（ｘ_１，…，ｘ_ｎ）の等号が成り立つか否かを検証する。署名検証アルゴリズムＶｅｒは、これらの検証が全て成功した場合に電子署名σの受理を示す値１を出力し、検証に失敗があった場合に電子署名σの拒否を示す値０を出力する。

（検証２）ｄ_ｉ＝１の場合、署名検証アルゴリズムＶｅｒは、（ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}，ｆ'''_ｉ）←σ_ｉを計算する。そして、署名検証アルゴリズムＶｅｒは、ｃ_１，ｉ＝Ｈ_１（ｆ'''_ｉ（ｚ’_１，ｉ（ｔ），…，ｚ’_{ｎ−１，ｉ}（ｔ），ｔ），ｚ’_１，ｉ，…，ｚ’_{ｎ−１，ｉ}））の等号が成り立つか否かを検証する。署名検証アルゴリズムＶｅｒは、この検証が成功した場合に電子署名σの受理を示す値１を出力し、検証に失敗があった場合に電子署名σの拒否を示す値０を出力する。

以上、本手法に基づく電子署名方式の各アルゴリズム構成について説明した。上記の電子署名方式は、代数曲面上の求セクション問題に安全性の根拠をおくものであるが、ＡＳＳ−ＣＣ電子署名方式のような安全性の問題を内包しない。なお、同様にして、上記の拡張方式に基づく電子署名方式を構築することも可能である。

［３−６：具体例］
次に、図１６を参照しながら、本手法を実施する際に想定される具体的なアルゴリズム構成について説明する。図１６は、本手法の具体例を説明するための説明図である。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義される３変数のＤ次多項式ｆ０（ｘ，ｙ，ｔ）と、１変数の多次多項式ｕｘ（ｔ），ｕｙ（ｔ）を生成する。但し、Ｄ次多項式ｆ０（ｘ，ｙ，ｔ）は、下記の式（１４）により表現される。また、１変数の多次多項式ｕｘ（ｔ）は、下記の式（１５）により表現される。さらに、１変数の多次多項式ｕｙ（ｔ）は、下記の式（１６）により表現される。

次に、鍵生成アルゴリズムＧｅｎは、ｃ（ｔ）←ｆ_０（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、ｆ（ｘ，ｙ，ｔ）＝ｆ_０（ｘ，ｙ，ｔ）−ｃ（ｔ）を計算し、ｆを公開鍵ｐｋに設定する。また、鍵生成アルゴリズムＧｅｎは、（ｕ_ｘ，ｕ_ｙ）を秘密鍵ｓｋに設定する。なお、鍵生成アルゴリズムＧｅｎにより生成されるｆは、ｘ^０ｙ^０ｔ^ｋの項以外については最大でＤ次となるが、ｘ^０ｙ^０ｔ^ｋの項については最大で（Ｄ＋Ｄ_ｓ）次になる。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１６を参照しながら、対話プロトコルにおける証明者アルゴリズムＰと検証者アルゴリズムＶによる処理について説明する。この対話プロトコルは、「証明者がｆ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ），ｔ）を満たす（ｕ_ｘ，ｕ_ｙ）を知っていること」を（ｕ_ｘ，ｕ_ｙ）の情報を検証者に一切漏らさずに、検証者に証明させるものである。なお、鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは、証明者と検証者の間で共有されているものとする。また、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者により秘密に管理されているものとする。

Ｓｔｅｐ．１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗを適用して１変数多項式ｒ_ｘ（ｔ），ｒ_ｙ（ｔ）と、３変数多項式ｆ’（ｘ，ｙ，ｔ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ_ｘ，ｒ_ｙ，ｆ’）←Ｇ（ｗ）を計算する。次いで、証明者アルゴリズムＰは、（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ））←（ｕ_ｘ（ｔ）−ｒ_ｘ（ｔ），ｕ_ｙ（ｔ）−ｒ_ｙ（ｔ））を計算する。この計算は、秘密鍵（ｕ_ｘ，ｕ_ｙ）を１変数多項式（ｒ_ｘ，ｒ_ｙ）によりマスクする操作に相当する。

Ｓｔｅｐ．１（続き）：
次いで、証明者アルゴリズムＰは、ｆ”（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｔ）とｚ_ｘ，ｚ_ｙのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（ｆ”（ｚ_ｘ（ｔ），ｚ_ｙ（ｔ），ｔ），ｚ_ｘ，ｚ_ｙ）を計算する。また、証明者アルゴリズムＰは、数ｗのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１，ｃ_２）はメッセージである。

Ｓｔｅｐ．１で生成されたメッセージ（ｃ_１，ｃ_２）は、検証者に送られる。

Ｓｔｅｐ．２：
検証者アルゴリズムＶは、環Ｋの元から１つの乱数αを選択する。そして、検証者アルゴリズムＶは、選択した乱数αを証明者に送る。

Ｓｔｅｐ．３：
証明者アルゴリズムＰは、ｆ”（ｘ，ｙ，ｔ）←αｆ（ｘ＋ｒ_ｘ（ｔ），ｙ＋ｒ_ｙ（ｔ），ｔ）＋ｆ’（ｘ，ｙ，ｔ）を計算する。この計算は、ｘ，ｙ，ｔについての多項式ｆ（ｘ＋ｒ_ｘ（ｔ），…，ｙ＋ｒ_ｙ（ｔ），ｔ）を多項式ｆ’（ｘ，ｙ，ｔ）によりマスクする操作に相当する。

Ｓｔｅｐ．３で生成されたメッセージｆ”は、検証者に送られる。

Ｓｔｅｐ．４：
検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。次いで、検証者アルゴリズムＶは、選択した検証パターンを表す要求ｄ∈｛０，１｝を証明者に送る。

Ｓｔｅｐ．５：
証明者アルゴリズムＰは、検証者から受けた要求ｄに応じて検証者に送り返す情報σを生成する。もしｄ＝０の場合、証明者アルゴリズムＰは、情報σ＝ｗを生成する。また、ｄ＝１の場合、証明者アルゴリズムＰは、情報σ＝（ｚ_ｘ，ｚ_ｙ）を生成する。このようにして生成された情報σは、証明者アルゴリズムＰにより検証者に送られる。

Ｓｔｅｐ．６：
検証者アルゴリズムＶは、証明者から受け取った情報σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ’_ｘ，ｒ’_ｙ，ｆ'''）←Ｇ（σ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（σ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｆ”（ｘ，ｙ，ｔ）＝αｆ（ｘ＋ｒ’_ｘ（ｔ），ｙ＋ｒ’_ｙ（ｔ），ｔ）＋ｆ'''（ｘ，ｙ，ｔ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｚ’_ｘ，ｚ’_ｙ）←σを計算する。そして、検証者アルゴリズムＶは、ｃ１＝Ｈ１（ｆ'''（ｚ’_ｘ（ｔ），ｚ’_ｙ（ｔ），ｔ），ｚ’_ｘ，ｚ’_ｙ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法を実施する際に想定される具体的なアルゴリズム構成について説明した。

＜４：ハードウェア構成例＞
上記の各アルゴリズムは、例えば、図１７に示す情報処理装置のハードウェア構成を用いて実行することが可能である。つまり、当該各アルゴリズムの処理は、コンピュータプログラムを用いて図１７に示すハードウェアを制御することにより実現される。なお、このハードウェアの形態は任意であり、例えば、パーソナルコンピュータ、携帯電話、ＰＨＳ、ＰＤＡ等の携帯情報端末、ゲーム機、接触式又は非接触式のＩＣチップ、接触式又は非接触式のＩＣカード、又は種々の情報家電がこれに含まれる。但し、上記のＰＨＳは、Ｐｅｒｓｏｎａｌ Ｈａｎｄｙ−ｐｈｏｎｅ Ｓｙｓｔｅｍの略である。また、上記のＰＤＡは、Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔの略である。

図１７に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０と、を有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６と、を有する。但し、上記のＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。また、上記のＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略である。そして、上記のＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。

ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータ等を格納する手段である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に適宜変化する各種パラメータ等が一時的又は永続的に格納される。

これらの構成要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチ、及びレバー等が用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラ（以下、リモコン）が用いられることもある。

出力部９１８としては、例えば、ＣＲＴ、ＬＣＤ、ＰＤＰ、又はＥＬＤ等のディスプレイ装置、スピーカ、ヘッドホン等のオーディオ出力装置、プリンタ、携帯電話、又はファクシミリ等、取得した情報を利用者に対して視覚的又は聴覚的に通知することが可能な装置である。但し、上記のＣＲＴは、Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅの略である。また、上記のＬＣＤは、Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙの略である。そして、上記のＰＤＰは、Ｐｌａｓｍａ ＤｉｓｐｌａｙＰａｎｅｌの略である。さらに、上記のＥＬＤは、Ｅｌｅｃｔｒｏ−Ｌｕｍｉｎｅｓｃｅｎｃｅ Ｄｉｓｐｌａｙの略である。

記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ハードディスクドライブ（ＨＤＤ）等の磁気記憶デバイス、半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイス等が用いられる。但し、上記のＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略である。

ドライブ９２２は、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８は、例えば、ＤＶＤメディア、Ｂｌｕ−ｒａｙメディア、ＨＤ ＤＶＤメディア、各種の半導体記憶メディア等である。もちろん、リムーバブル記録媒体９２８は、例えば、非接触型ＩＣチップを搭載したＩＣカード、又は電子機器等であってもよい。但し、上記のＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。

接続ポート９２４は、例えば、ＵＳＢポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ、ＲＳ−２３２Ｃポート、又は光オーディオ端子等のような外部接続機器９３０を接続するためのポートである。外部接続機器９３０は、例えば、プリンタ、携帯音楽プレーヤ、デジタルカメラ、デジタルビデオカメラ、又はＩＣレコーダ等である。但し、上記のＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略である。また、上記のＳＣＳＩは、Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅの略である。

通信部９２６は、ネットワーク９３２に接続するための通信デバイスであり、例えば、有線又は無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＷＵＳＢ用の通信カード、光通信用のルータ、ＡＤＳＬ用のルータ、又は接触又は非接触通信用のデバイス等である。また、通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークにより構成され、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、可視光通信、放送、又は衛星通信等である。但し、上記のＬＡＮは、Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋの略である。また、上記のＷＵＳＢは、Ｗｉｒｅｌｅｓｓ ＵＳＢの略である。そして、上記のＡＤＳＬは、Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅの略である。

＜５：まとめ＞
最後に、本発明の実施形態に係る技術内容について簡単に纏める。ここで述べる技術内容は、例えば、ＰＣ、携帯電話、携帯ゲーム機、携帯情報端末、情報家電、カーナビゲーションシステム等、種々の情報処理装置に対して適用することができる。

上記の情報処理装置の機能構成は次のように表現することができる。当該情報処理装置は、次に示すような鍵設定部と、メッセージ送信部と、検証パターン受信部と、回答送信部とを有する。上記の鍵設定部は、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定するものである。ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｕ_ｉ（ｔ）を求める問題は、代数曲面上の求セクション問題に他ならない。つまり、上記の情報処理装置は、代数曲面上の求セクション問題に安全性の根拠をおく認証の仕組みを提供するものである。

また、上記のメッセージ送信部は、検証者に対してメッセージｃを送信するものである。さらに、上記の検証パターン受信部は、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信するものである。そして、上記の回答送信部は、ｋ通りの回答情報の中から、前記検証パターン受信部により受信された検証パターンの情報に対応する回答情報を前記検証者に送信するものである。但し、前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕｉが計算可能となる情報である。

上記のメッセージｃには、例えば、３つのメッセージｃ_１、ｃ_２、ｃ_３が含まれている。そして、各検証パターンでは、ｃ_１、ｃ_２、ｃ_３のいずれか２つに対する検証が行われる。また、上記の回答情報は、各検証パターンに応じて、上記いずれか２つのメッセージに対する検証を行うために必要な情報である。但し、上記のメッセージｃを検証者に渡しても、秘密鍵の情報が一切漏れないことが１つの条件である。もう１つの条件は、メッセージｃと回答情報が揃っても秘密鍵の情報が一切漏れないことである。これらの条件を満たすメッセージｃの構成、及び回答情報の構成については、図６などを参照しながら、既に具体的に説明した通りである。

（備考）
上記の鍵生成アルゴリズムＧｅｎは、鍵設定部の一例である。上記の証明者アルゴリズムＰは、メッセージ送信部、検証パターン受信部、回答送信部、応答受信部、多項式生成部、多項式送信部の一例である。上記の情報σは、回答情報の一例である。上記の検証者アルゴリズムＶは、メッセージ受信部、検証パターン選択部、検証パターン送信部、回答受信部、検証部、応答送信部、多項式受信部の一例である。上記の署名生成アルゴリズムＳｉｇは、メッセージ生成部、検証パターン選択部、署名生成部の一例である。

以上、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

Ｇｅｎ 鍵生成アルゴリズム
Ｐ 証明者アルゴリズム
Ｖ 検証者アルゴリズム
Ｓｉｇ 署名生成アルゴリズム
Ｖｅｒ 署名検証アルゴリズム

Claims (15)

1. 多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定部と、
   検証者に対してメッセージｃを送信するメッセージ送信部と、
   １つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信部と、
   ｋ通りの回答情報の中から、前記検証パターン受信部により受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信部と、
   を備え、
   前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
   認証装置。
2. 前記メッセージ送信部により単数又は複数のメッセージｃを送信する第１ステップ、それぞれのメッセージｃに対して前記検証パターン受信部により前記検証者からそれぞれ検証パターンの情報を受信する第２ステップ、それぞれの検証パターンの情報に対して前記回答送信部により回答情報を送信する第３ステップを実行し、前記検証者により全ての回答情報で検証が成功した場合に認証が成功する、
   請求項１に記載の認証装置。
3. 前記メッセージ送信部により単数又は複数のメッセージｃを送信する第１ステップ、それぞれのメッセージｃに対して前記検証パターン受信部により前記検証者からそれぞれ検証パターンの情報を受信する第２ステップ、それぞれの検証パターンの情報に対して前記回答送信部により回答情報を送信する第３ステップを実行する処理を繰り返し、
   前記第１〜第３ステップを所定回数実行した結果、前記検証者により毎回全ての回答情報で検証が成功した場合に認証が成功する、
   請求項２に記載の認証装置。
4. 前記メッセージｃがｃ＝（ｃ_１，…，ｃ_ｍ）である場合、
   前記メッセージ送信部は、一方向性関数Ｈを用いて新たなメッセージｃ’＝Ｈ（ｃ）を算出して、前記検証者に対してメッセージｃ’を送信し、
   前記回答送信部は、前記回答情報と共に、当該回答情報を利用しても前記検証者が復元することができないメッセージｃの要素を送信する、
   請求項２又は３に記載の認証装置。
5. 多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）が秘密鍵に設定され、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆが公開鍵に設定されており、
   証明者からメッセージｃを受信するメッセージ受信部と、
   １つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から１つの検証パターンを選択する検証パターン選択部と、
   前記検証パターン選択部により選択された検証パターンの情報を前記証明者に対して送信する検証パターン送信部と、
   ｋ通りの回答情報の中から、前記検証パターン送信部により送信された検証パターンの情報に対応する回答情報を前記証明者から受信する回答受信部と、
   前記メッセージ受信部により受信されたメッセージｃ、及び前記回答受信部により受信された回答情報を用いて前記証明者の正当性を検証する検証部と、
   を備え、
   前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
   認証装置。
6. 多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定部と、
   検証者に対してメッセージｃを送信するメッセージ送信部と、
   前記検証者から応答αを受信する応答受信部と、
   前記応答受信部により受信された応答αを用いて、前記メッセージｃに対する検証に利用される多項式ｆ”を生成する多項式生成部と、
   前記多項式生成部により生成された多項式ｆ”を前記検証者に送信する多項式送信部と、
   １つの前記メッセージｃに対するｋ通り（ｋ≧２）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信部と、
   ｋ通りの回答情報の中から、前記検証パターン受信部により受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信部と、
   を備え、
   前記回答情報は、２通りの前記応答α、前記多項式ｆ”及び前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対する計２ｋ通りの応答と検証パターンの組合せが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
   認証装置。
7. 前記メッセージ送信部により単数又は複数のメッセージｃを送信する第１ステップ、それぞれのメッセージｃに対して前記応答受信部から応答αを受信する第２ステップ、当該第２ステップで受信した応答αを用いて前記多項式生成部によりそれぞれ多項式ｆ”を生成し、前記多項式送信部により当該多項式ｆ”を送信する第３ステップ、それぞれのメッセージｃに対して前記検証パターン受信部により前記検証者からそれぞれ検証パターンの情報を受信する第４ステップ、それぞれの検証パターンの情報に対して前記回答送信部により回答情報を送信する第５ステップを実行し、前記検証者により全ての回答情報で検証が成功した場合に認証が成功する、
   請求項６に記載の認証装置。
8. 前記メッセージ送信部により単数又は複数のメッセージｃを送信する第１ステップ、それぞれのメッセージｃに対して前記応答受信部から応答αを受信する第２ステップ、当該第２ステップで受信した応答αを用いて前記多項式生成部によりそれぞれ多項式ｆ”を生成し、前記多項式送信部により当該多項式ｆ”を送信する第３ステップ、それぞれのメッセージｃに対して前記検証パターン受信部により前記検証者からそれぞれ検証パターンの情報を受信する第４ステップ、それぞれの検証パターンの情報に対して前記回答送信部により回答情報を送信する第５ステップを実行する処理を繰り返し、
   前記第１〜第５ステップを所定回数実行した結果、前記検証者により毎回全ての回答情報で検証が成功した場合に認証が成功する、
   請求項７に記載の認証装置。
9. 多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）が秘密鍵に設定され、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆが公開鍵に設定されており、
   証明者からメッセージｃを受信するメッセージ受信部と、
   前記証明者に対して応答αを送信する応答送信部と、
   前記応答送信部により送信された応答αを用いて前記証明者により生成された、前記メッセージｃに対する検証に利用される多項式ｆ”を受信する多項式受信部と、
   １つの前記メッセージｃに対するｋ通り（ｋ≧２）の検証パターンの中から１つの検証パターンを選択する検証パターン選択部と、
   前記検証パターン選択部により選択された検証パターンの情報を前記証明者に対して送信する検証パターン送信部と、
   ｋ通りの回答情報の中から、前記検証パターン送信部により送信された検証パターンの情報に対応する回答情報を前記証明者から受信する回答受信部と、
   前記メッセージ受信部により受信されたメッセージｃ、前記多項式受信部により受信された多項式ｆ”、及び前記回答受信部により受信された回答情報を用いて前記証明者の正当性を検証する検証部と、
   を備え、
   前記回答情報は、２通りの前記応答α、前記多項式ｆ”及び前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対する計２ｋ通りの応答と検証パターンの組合せが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
   認証装置。
10. 認証装置が、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定ステップと、
    前記認証装置が、検証者に対してメッセージｃを送信するメッセージ送信ステップと、
    前記認証装置が、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信ステップと、
    前記認証装置が、ｋ通りの回答情報の中から、前記検証パターン受信ステップで受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信ステップと、
    を含み、
    前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
    認証方法。
11. 多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）が秘密鍵に設定され、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆが公開鍵に設定されており、
    認証装置が、証明者からメッセージｃを受信するメッセージ受信ステップと、
    前記認証装置が、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から１つの検証パターンを選択する検証パターン選択ステップと、
    前記認証装置が、前記検証パターン選択ステップで選択された検証パターンの情報を前記証明者に対して送信する検証パターン送信ステップと、
    前記認証装置が、ｋ通りの回答情報の中から、前記検証パターン送信ステップで送信された検証パターンの情報に対応する回答情報を前記証明者から受信する回答受信ステップと、
    前記認証装置が、前記メッセージ受信ステップで受信されたメッセージｃ、及び前記回答受信ステップで受信された回答情報を用いて前記証明者の正当性を検証する検証ステップと、
    を含み、
    前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
    認証方法。
12. 認証装置が、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定ステップと、
    前記認証装置が、検証者に対してメッセージｃを送信するメッセージ送信ステップと、
    前記認証装置が、前記検証者から応答αを受信する応答受信ステップと、
    前記認証装置が、前記応答受信ステップで受信された応答αを用いて、前記メッセージｃに対する検証に利用される多項式ｆ”を生成する多項式生成ステップと、
    前記認証装置が、前記多項式生成ステップで生成された多項式ｆ”を前記検証者に送信する多項式送信ステップと、
    前記認証装置が、１つの前記メッセージｃに対するｋ通り（ｋ≧２）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信ステップと、
    前記認証装置が、ｋ通りの回答情報の中から、前記検証パターン受信ステップで受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信ステップと、
    を含み、
    前記回答情報は、２通りの前記応答α、前記多項式ｆ”及び前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対する計２ｋ通りの応答と検証パターンの組合せが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
    認証方法。
13. 多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）が秘密鍵に設定され、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆが公開鍵に設定されており、
    認証装置が、証明者からメッセージｃを受信するメッセージ受信ステップと、
    前記認証装置が、前記証明者に対して応答αを送信する応答送信ステップと、
    前記認証装置が、前記応答送信ステップで送信された応答αを用いて前記証明者により生成された、前記メッセージｃに対する検証に利用される多項式ｆ”を受信する多項式受信ステップと、
    前記認証装置が、１つの前記メッセージｃに対するｋ通り（ｋ≧２）の検証パターンの中から１つの検証パターンを選択する検証パターン選択ステップと、
    前記認証装置が、前記検証パターン選択ステップで選択された検証パターンの情報を前記証明者に対して送信する検証パターン送信ステップと、
    前記認証装置が、ｋ通りの回答情報の中から、前記検証パターン送信ステップで送信された検証パターンの情報に対応する回答情報を前記証明者から受信する回答受信ステップと、
    前記認証装置が、前記メッセージ受信ステップで受信されたメッセージｃ、前記多項式受信ステップで受信された多項式ｆ”、及び前記回答受信ステップで受信された回答情報を用いて前記証明者の正当性を検証する検証ステップと、
    を含み、
    前記回答情報は、２通りの前記応答α、前記多項式ｆ”及び前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対する計２ｋ通りの応答と検証パターンの組合せが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
    認証方法。
14. コンピュータが、多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定機能と、
    前記コンピュータが、検証者に対してメッセージｃを送信するメッセージ送信機能と、
    前記コンピュータが、１つの前記メッセージｃに対するｋ通り（ｋ≧３）の検証パターンの中から前記検証者により選択された１つの検証パターンの情報を受信する検証パターン受信機能と、
    前記コンピュータが、ｋ通りの回答情報の中から、前記検証パターン受信機能により受信された検証パターンの情報に対応する回答情報を前記検証者に送信する回答送信機能と、
    を前記コンピュータに実現させるためのプログラムであり、
    前記回答情報は、前記ｋ通りの回答情報を用いて実施した前記メッセージｃに対するｋ通りの検証パターンが全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
    プログラム。
15. 多次多項式ｕ_ｉ（ｔ）（ｉ＝１〜ｎ−１）を秘密鍵に設定し、ｆ（ｕ_１（ｔ），…，ｕ_ｎ−１（ｔ），ｔ）＝０を満たす多次多項式ｆを公開鍵に設定する鍵設定部と、
    前記多次多項式ｕ_ｉ（ｔ）に基づいてN個のメッセージｃを生成するメッセージ生成部と、
    文書Ｍ及び前記メッセージｃを一方向性関数に適用して得られた情報に基づいて、ｋ^N通り（ｋ≧３）の検証パターンの中から検証パターンを選択する検証パターン選択部と、
    前記検証パターン選択部により選択された検証パターンに応じて、前記メッセージｃ及び前記文書Ｍを用いた検証を通過するような電子署名σを生成する署名生成部と、
    を備え、
    前記電子署名σは、前記（ｋ−１）^N＋１通りの検証パターンに対応する電子署名σを用いて実施した検証が全て成功した場合に秘密鍵ｕ_ｉが計算可能となる情報である、
    署名生成装置。
    
    

Images