JP7075382B2 - 署名システム、署名方法及び署名プログラム - Google Patents

Description

本発明は、グループ署名を実現するシステム、装置、方法及びプログラムに関する。

従来、データ（メッセージ）の正当性を保証するために電子署名が運用されている。この電子署名システムにおける署名及び検証のプロセスは、安全性を確保するために処理負荷が増大する傾向にある。
そこで、処理が軽量で、かつ、量子コンピュータに対して安全性を有する署名方式が望まれている。非特許文献１では、ハッシュ関数のみから署名及び署名検証のプロセスを構成した署名方式が提案されている。

Ｃｈａｌｋｉａｓ， Ｋｏｎｓｔａｎｔｉｎｏｓ； Ｂｒｏｗｎ， Ｊａｍｅｓ； Ｈｅａｒｎ， Ｍｉｋｅ； Ｌｉｌｌｅｈａｇｅｎ， Ｔｏｍｍｙ； Ｎｉｔｔｏ， Ｉｇｏｒ； Ｓｃｈｒｏｅｔｅｒ， Ｔｈｏｍａｓ （２０１８）． "Ｂｌｏｃｋｃｈａｉｎｅｄ Ｐｏｓｔ－Ｑｕａｎｔｕｍ Ｓｉｇｎａｔｕｒｅｓ"． Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｂｌｏｃｋｃｈａｉｎ （Ｃｙｂｅｒｍａｔｉｃｓ－２０１８）： １１９６－１２０３．

しかしながら、従来の方式は、グループに属する複数人のいずれかが署名を行えるグループ署名には対応できていなかった。

本発明は、軽量かつ安全性の高いグループ署名を実現できる署名システム、署名方法及び署名プログラムを提供することを目的とする。

本発明に係る署名システムは、複数の秘密鍵、及びシード値をリーフノードとし、前記秘密鍵及び前記シード値のペアを入力としたハッシュ値を上位ノードとする第１ハッシュ木を、グループ署名におけるメンバの数だけ構成し、さらに、複数の前記第１ハッシュ木のルートノードの値をリーフノードとした第２ハッシュ木を構成する鍵生成部と、前記秘密鍵を前記メンバに対して重複なく、対応する前記第１ハッシュ木の中間ノード及びルートノードの値と共に配布する鍵配布部と、前記第２ハッシュ木におけるルートノードの値を、公開鍵として登録順を保証するデータベースに登録する鍵登録部と、電子署名としてメッセージ及び前記秘密鍵を入力としたハッシュ値が算出された後、当該ハッシュ値と共に又は当該ハッシュ値の後に、当該ハッシュ値の算出に用いた秘密鍵、当該秘密鍵と共に配布された前記中間ノードの値、及び当該秘密鍵が属していない前記第１ハッシュ木のルートノードの値を公開情報として前記データベースに登録する署名登録部と、を備える。

前記登録順は、タイムスタンプにより保証されてもよい。

前記署名登録部は、同一の秘密鍵が登録されていない場合に限り、前記秘密鍵を前記データベースに登録してもよい。

前記鍵配布部は、前記メンバのそれぞれに対して、複数の前記第１ハッシュ木のうち、互いに異なるいずれか一つに含まれる前記秘密鍵を配布してもよい。

前記鍵配布部は、前記メンバのそれぞれに対して、複数の前記第１ハッシュ木のいずれかに含まれる前記秘密鍵をランダムに配布してもよい。

前記メンバのいずれかに配布した未公開の前記秘密鍵を公開情報として前記データベースに登録することにより、当該メンバを失効させてもよい。

前記データベースは、ブロックチェーンにより構成されてもよい。

本発明に係る署名検証装置は、前記署名システムにおいて登録された前記電子署名を検証する署名検証装置であって、前記電子署名及び対応する公開情報としての前記秘密鍵の登録順の正当性を確認する順序確認部と、メッセージ及び対応する公開情報としての前記秘密鍵からハッシュ値を計算し、前記データベースに登録されているハッシュ値と照合する署名照合部と、前記秘密鍵、対応する前記中間ノードの値、及びルートノードの値を用いて、前記第２ハッシュ木のルートノードの値を計算し、前記データベースに登録されている前記公開鍵と照合する鍵照合部と、を備える。

本発明に係る署名方法は、コンピュータシステムにおいて、鍵生成部が、複数の秘密鍵、及びシード値をリーフノードとし、前記秘密鍵及び前記シード値のペアを入力としたハッシュ値を上位ノードとする第１ハッシュ木を、グループ署名におけるメンバの数だけ構成し、さらに、複数の前記第１ハッシュ木のルートノードの値をリーフノードとした第２ハッシュ木を構成する鍵生成ステップと、鍵配布部が、前記秘密鍵を前記メンバに対して重複なく、対応する前記第１ハッシュ木の中間ノード及びルートノードの値と共に配布する鍵配布ステップと、鍵登録部が、前記第２ハッシュ木におけるルートノードの値を、公開鍵として登録順を保証するデータベースに登録する鍵登録ステップと、署名登録部が、電子署名としてメッセージ及び前記秘密鍵を入力としたハッシュ値が算出された後、当該ハッシュ値と共に又は当該ハッシュ値の後に、当該ハッシュ値の算出に用いた秘密鍵、当該秘密鍵と共に配布された前記中間ノードの値、及び当該秘密鍵が属していない前記第１ハッシュ木のルートノードの値を公開情報として前記データベースに登録する署名登録ステップと、を実行する。

本発明に係る署名検証方法は、前記署名方法により登録された前記電子署名をコンピュータが検証する署名検証方法であって、順序確認部が、前記電子署名及び対応する公開情報としての前記秘密鍵の登録順の正当性を確認する順序確認ステップと、署名照合部が、メッセージ及び対応する公開情報としての前記秘密鍵からハッシュ値を計算し、前記データベースに登録されているハッシュ値と照合する署名照合ステップと、鍵照合部が、前記秘密鍵、対応する前記中間ノードの値、及びルートノードの値を用いて、前記第２ハッシュ木のルートノードの値を計算し、前記データベースに登録されている前記公開鍵と照合する鍵照合ステップと、を実行する。

本発明に係る署名プログラムは、前記署名システムとしてコンピュータを機能させるためのものである。

本発明に係る署名検証プログラムは、前記署名検証装置としてコンピュータを機能させるためのものである。

本発明によれば、軽量かつ安全性の高いグループ署名が実現される。

実施形態における管理サーバの構成例を示す図である。 実施形態における第１ハッシュ木の構成を例示する図である。 実施形態における第２ハッシュ木の構成を例示する図である。 実施形態における署名処理を示すフローチャートである。 実施形態における署名検証装置の構成例を示す図である。 実施形態における署名検証処理を示すフローチャートである。 実施形態におけるデータベースとして採用可能なブロックチェーンの構成例を示す図である。

以下、本発明の実施形態の一例について説明する。
本実施形態において、署名システムは、電子署名を管理するサーバが提供する機能群により構成されるものとする。
なお、署名システムの構成は、これには限られず、複数のサーバ群により構成されてもよいし、ユーザの端末群に機能分散されてもよい。

図１は、本実施形態における管理サーバ１の構成例を示す図である。
管理サーバ１（署名システム）は、制御部１０及び記憶部１１を備え、さらに、各種の入出力及び通信デバイスを備えた情報処理装置である。
制御部１０は、記憶部１１に格納されたソフトウェア（署名プログラム）を実行することにより、鍵生成部１０１、鍵配布部１０２、鍵登録部１０３、及び署名登録部１０４、失効処理部１０５として機能する。

鍵生成部１０１は、まず、グループ署名におけるグループのメンバＭ人のそれぞれが署名を行える最大回数を設定し、この最大回数以上の数をメンバ全員に配布できるだけの秘密鍵を複数（Ｍ×Ｎ個）生成する。次に、鍵生成部１０１は、Ｎ個の秘密鍵、及びシード値をリーフノードとし、秘密鍵及びシード値のペアを入力としたハッシュ値を上位ノードとする第１ハッシュ木を、メンバの数だけ（Ｍ個）構成する。
なお、シード値は、ランダムな値、又はシーケンス値であってよい。

さらに、鍵生成部１０１は、Ｍ個の第１ハッシュ木のルートノードの値（ハッシュ値）をリーフノードとした第２ハッシュ木を構成し、最上位のルートノードの値（ハッシュ値）を公開鍵とする。

図２は、本実施形態における第１ハッシュ木の構成を例示する図である。
この例では、一人のユーザに配布する秘密鍵の数Ｎを４個とし、第１ハッシュ木には、４個の秘密鍵ｚ_１～ｚ_４から構成されている。

各秘密鍵ｚ_１～ｚ_４は、それぞれがシード値、ここではシーケンス番号「１」～「４」と対応付けられ、２値を入力としたハッシュ関数によりハッシュ値を木構造に積み上げた第１ハッシュ木が生成される。
例えば、リーフノードの「１」及び秘密鍵ｚ_１を入力としたハッシュ値ｘ_１が上位ノードとなり、同階層のハッシュ値ｘ_１及びｘ_２を入力としたハッシュ値ｘ_１，２が更に上位のノードとなる。そして、ハッシュ値ｘ_１，２及びｘ_３，４を入力としたハッシュ値ｐがルートノードとなる。

図３は、本実施形態における第２ハッシュ木の構成を例示する図である。
第２ハッシュ木は、図２のように構成された第１ハッシュ木Ｔ１～Ｔ４それぞれのルートノードの値Ｐ１～Ｐ４をリーフノードとし、同様にハッシュ関数によりハッシュ値を木構造に積み上げて構成される。
第２ハッシュ木のルートノードの値Ｐは、グループ署名における公開鍵となる。

鍵配布部１０２は、鍵生成部１０１により生成された秘密鍵を、グループのメンバに対して重複なく、対応する第１ハッシュ木の中間ノード及びルートノードの値と共に配布する。
例えば、第１ハッシュ木Ｔ１に含まれる秘密鍵Ｔ１Ｚ１～Ｔ１Ｚ４を配布する場合、Ｔ１の中間ノード（図２のｘ_１～ｘ_４、ｘ_１，２、ｘ_３，４）及びＴ１～Ｔ４のルートノードの値Ｐ１～Ｐ４が秘密鍵と共に配布される。

このとき、鍵配布部１０２は、メンバのそれぞれに対して、複数の第１ハッシュ木のうち、互いに異なるいずれか一つをランダムに選択し、選択した第１ハッシュ木に含まれる秘密鍵を配布してよい。
あるいは、鍵配布部１０２は、メンバのそれぞれに対して、複数の第１ハッシュ木のいずれかに固定することなく、秘密鍵全体からランダムに配布してもよい。

鍵登録部１０３は、第２ハッシュ木におけるルートノードの値Ｐを、公開鍵として登録順を保証するデータベースに登録し、タイムスタンプ等の登録順を示す情報を取得する。
データベースは、データの登録時刻を保証するためのタイムスタンプを発行するシステムを伴い、タイムスタンプサーバにより管理されるものであってよい。また、登録先はタイムスタンプサーバには限られず、タイムスタンプを含むブロックチェーンにより構成されてもよい。

署名登録部１０４は、秘密鍵が配布されたグループのメンバの端末において、電子署名の対象であるメッセージ、及び未使用の秘密鍵を入力としたハッシュ値が算出されると、このハッシュ値を電子署名としてデータベースに登録し、鍵登録部１０３と同様にタイムスタンプ等を取得する。

このとき、署名登録部１０４は、電子署名としてのハッシュ値と共に又はハッシュ値の登録の後に、このハッシュ値の算出に用いた秘密鍵、秘密鍵と共に配布された中間ノードの値、及び秘密鍵が属していない第１ハッシュ木のルートノードの値を、署名検証時に必要となる公開情報としてデータベースに登録し、タイムスタンプ等を取得する。
例えば、メッセージＤと秘密鍵Ｔ１Ｚ１のハッシュ値Ｈ＝ｈ（Ｄ，Ｔ１Ｚ１）が登録されると、合わせて、秘密鍵Ｔ１Ｚ１、中間ノードのハッシュ値ｘ、及び第１ハッシュ木Ｔ１以外のルートノードの値Ｐ２～Ｐ４が公開される。
この時点で、秘密鍵Ｔ１Ｚ１は使用済みとなり、これ以降、署名処理に使用することはできない。

また、署名登録部１０４は、秘密鍵をデータベースに登録する際に、同一の秘密鍵が登録されていない場合に限り、新規登録してもよい。
なお、このような二重使用のチェックは、タイムスタンプサーバ又はブロックチェーンの機能として提供されてもよい。

失効処理部１０５は、メンバのいずれかによる署名の権限を失効させる場合、このメンバに配布した未使用の、すなわち未公開の秘密鍵を全て、公開情報としてデータベースに登録し、タイムスタンプ等を取得する。

図４は、本実施形態における署名処理を示すフローチャートである。
ステップＳ１において、鍵生成部１０１は、グループに属するメンバの数、及び各メンバの署名の最大実行回数に基づいて必要数の秘密鍵を生成し、複数の第１ハッシュ木と第２ハッシュ木とを生成する。

ステップＳ２において、鍵配布部１０２は、各メンバに対して秘密鍵、及び署名検証に必要となる情報を配布する。

ステップＳ３において、鍵登録部１０３は、公開鍵である第２ハッシュ木のルートノードの値をデータベースに登録すると共にタイムスタンプを取得する。

ステップＳ４において、署名登録部１０４は、メッセージ及び秘密鍵により生成されたハッシュ値をメッセージの電子署名としてデータベースに登録し、さらに、使用した秘密鍵と、署名検証に必要な情報をデータベースに登録すると共にタイムスタンプを取得する。

このようにして生成された電子署名は、メッセージを利用するメンバ又は外部のユーザの端末、すなわち署名検証装置２によって検証される。

図５は、本実施形態における署名検証装置２の構成例を示す図である。
署名検証装置２は、制御部２０及び記憶部２１を備え、さらに、各種の入出力及び通信デバイスを備えた情報処理装置である。
制御部２０は、記憶部２１に格納されたソフトウェア（署名検証プログラム）を実行することにより、順序確認部２０１、署名照合部２０２、及び鍵照合部２０３として機能する。

順序確認部２０１は、タイムスタンプ等により、電子署名及び対応する公開情報としての秘密鍵の登録順の正当性を確認する。すなわち、秘密鍵を用いた電子署名が秘密鍵の公開よりも前（又は同時）に公開されていることにより、電子署名が不正に生成されたものでないことが検証される。

署名照合部２０２は、メッセージ及び対応する公開情報としての秘密鍵からハッシュ値を計算し、データベースに登録されているハッシュ値と照合する。すなわち、登録されている秘密鍵から電子署名のハッシュ値を再現できることから、メッセージが改竄されていないことが検証される。

鍵照合部２０３は、秘密鍵、対応する中間ノードの値、及びルートノードの値を用いて、第２ハッシュ木のルートノードの値を、階層を辿って順に計算し、データベースに登録されている公開鍵と照合する。すなわち、第１ハッシュ木及び第２ハッシュ木が再現できることから、秘密鍵が正しいことが検証される。

図６は、本実施形態における署名検証処理を示すフローチャートである。
ステップＳ１１において、順序確認部２０１は、電子署名及び秘密鍵のタイムスタンプの正当性を確認する。

ステップＳ１２において、署名照合部２０２は、メッセージと公開された秘密鍵とからハッシュ値を計算し、登録されているハッシュ値と照合し、メッセージの正当性を確認する。

ステップＳ１３において、鍵照合部２０３は、電子署名と共に登録された情報を用いて、第１ハッシュ木及び第２ハッシュ木のノードの値を上位へ向かって順に計算し、公開鍵と照合することで、秘密鍵の正当性を確認する。

前述のように、電子署名を登録するためのデータベースは、ブロックチェーンにより構成されてよい。ブロックチェーンは、登録データを示すブロックが連続したデータベースであり、各ブロックには、タイムスタンプと前のブロックのハッシュ値とが含まれ、登録済みのデータを改竄することが極めて困難なデータベースである。

図７は、本実施形態におけるデータベースとして採用可能なブロックチェーンの構成例を示す図である。
ブロックチェーンへのデータ登録は、例えば、次の手順で実施される。

（１）まず、上位のブロックチェーンを準備する。上位のブロックチェーンは、時間Ｔ１毎にブロックが追加される仕様とする。

（２）上位のブロックチェーンの現在のブロックをＡｘとするとき、このＡｘのハッシュ値Ｈ＿Ａｘをヘッダ情報に含む下位のブロックチェーンをＮ個構成する。下位のブロックチェーンは、時間Ｔ２毎に更新されることとし、Ｔ１＞Ｔ２とする。

（３）時間Ｔ１が経過した時点で、Ｎ個存在する下位のブロックチェーンの最終ブロック（Ｎ個）のハッシュ値Ｈ＿Ｂｙ，…とＨ＿Ａｘとをヘッダ情報として含むブロックを上位のブロックチェーンに追加する。このとき、下位のブロックチェーンのうち、チェーンの長さ（ブロックの数）がある閾値以下であるブロックチェーンについては、追加されない。なお、閾値はセキュリティ要件によって定められる。

ここで、ブロックチェーンのブロックをｐｒｏｏｆ－ｏｆ－ｗｏｒｋによって生成する場合には、上位のブロックチェーンと下位のブロックチェーンとでは、マイニングの計算量を異なるようにする。すなわち、上位のブロックチェーンについてはＴ１程度の時間で正解を見つけられるマイニング問題とし、下位のブロックチェーンについてはＴ２程度の時間で正解を見つけられるマイニング問題とする。これに伴い、上位のブロックチェーンにブロックを追加した際の報酬は、下位よりも高額となる。
なお、下位のブロックチェーンのさらに下位にブロックチェーンを配した複数段のブロックチェーンとしてもよい。

本実施形態によれば、署名システムは、グループのメンバ数に応じた数の第１ハッシュ木を構成し、これらを第２ハッシュ木にまとめて公開鍵を生成する。そして、署名システムは、第１ハッシュ木を構成する秘密鍵を重複なくメンバに配布した後、公開鍵を、登録順を保証するデータベースに登録し、タイムスタンプ等を取得する。
その後、署名システムは、配布した秘密鍵により電子署名が計算されると、秘密鍵及び第１ハッシュ木における上位階層の情報と合わせてデータベースに登録し、タイムスタンプ等を取得する。

これにより、署名システムは、複数のメンバに対して署名のための互いに異なる秘密鍵を配布し、かつ、これらの秘密鍵により計算された電子署名を、単一の公開鍵により検証できる。そして、署名システムは、検証用の公開鍵が登録された後、電子署名、使用された秘密鍵の順に登録されたことをタイムスタンプ等により確認できる。
また、署名システムは、ハッシュ関数により署名及び署名検証のプロセスを構成するため、軽量かつ安全性の高いグループ署名を実現できる。

さらに、メンバに配布される秘密鍵は、全て管理サーバ１において選択されるので、誰にどの鍵が配布されたかを知り得ないため、署名者の匿名性が担保される。
このとき、管理サーバ１は、第１ハッシュ木の単位でメンバに配布する秘密鍵を選択することで、処理手順を容易にできると共に、メンバに配布すべきデータを単一の第１ハッシュ木の情報に限定できる。
また、管理サーバ１は、全ての秘密鍵からランダムに選択することで、匿名性を高めることができる。

署名システムは、使用した秘密鍵をデータベースに登録する際に、同一の秘密鍵が登録されていないことを確認するので、秘密鍵の二重使用を抑制し、安全性を高めることができる。

署名システムは、メンバが保持している未使用の秘密鍵を公開情報としてデータベースに登録するすることで、グループからこのメンバを除外、すなわち署名の権限を失効させることができる。

署名システムは、データベースとして、タイムスタンプを含むブロックチェーンを利用することにより、登録データの改竄をより困難にし、グループ署名の安全性を高めることができる。

署名検証装置２は、タイムスタンプ等により、公開鍵、電子署名及び秘密鍵の登録順序を確認すると共に、ハッシュ値の照合、及び公開鍵の照合を行う。
これにより、署名検証装置２は、電子署名、及び使用された秘密鍵を検証し、さらに、情報の登録順を確認できるので、メッセージの正当性をより確実に検証できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

本実施形態では、メンバの端末と通信接続された管理サーバ１がデータベースへの各種データ登録の機能を提供する構成としたが、これには限られない。署名登録部１０４及び失効処理部１０５をメンバの端末が備え、これにより、各メンバの端末が電子署名を計算すると共に、直接データベースへ登録する構成であってもよい。
また、管理サーバ１の各機能部が複数のサーバに分散配置されてもよい。

管理サーバ１による署名方法、及び署名検証装置２による署名検証方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 管理サーバ（署名システム）
２ 署名検証装置
１０ 制御部
１１ 記憶部
２０ 制御部
２１ 記憶部
１０１ 鍵生成部
１０２ 鍵配布部
１０３ 鍵登録部
１０４ 署名登録部
１０５ 失効処理部
２０１ 順序確認部
２０２ 署名照合部
２０３ 鍵照合部

Claims (12)

1. 複数の秘密鍵、及びシード値をリーフノードとし、前記秘密鍵及び前記シード値のペアを入力としたハッシュ値を上位ノードとする第１ハッシュ木を、グループ署名におけるメンバの数だけ構成し、さらに、複数の前記第１ハッシュ木のルートノードの値をリーフノードとした第２ハッシュ木を構成する鍵生成部と、
   前記秘密鍵を前記メンバに対して重複なく、対応する前記第１ハッシュ木の中間ノード及びルートノードの値と共に配布する鍵配布部と、
   前記第２ハッシュ木におけるルートノードの値を、公開鍵として登録順を保証するデータベースに登録する鍵登録部と、
   電子署名としてメッセージ及び前記秘密鍵を入力としたハッシュ値が算出された後、当該ハッシュ値と共に又は当該ハッシュ値の後に、当該ハッシュ値の算出に用いた秘密鍵、当該秘密鍵と共に配布された前記中間ノードの値、及び当該秘密鍵が属していない前記第１ハッシュ木のルートノードの値を公開情報として前記データベースに登録する署名登録部と、を備える署名システム。
2. 前記登録順は、タイムスタンプにより保証される請求項１に記載の署名システム。
3. 前記署名登録部は、同一の秘密鍵が登録されていない場合に限り、前記秘密鍵を前記データベースに登録する請求項１又は請求項２に記載の署名システム。
4. 前記鍵配布部は、前記メンバのそれぞれに対して、複数の前記第１ハッシュ木のうち、互いに異なるいずれか一つに含まれる前記秘密鍵を配布する請求項１から請求項３のいずれかに記載の署名システム。
5. 前記鍵配布部は、前記メンバのそれぞれに対して、複数の前記第１ハッシュ木のいずれかに含まれる前記秘密鍵をランダムに配布する請求項１から請求項３のいずれかに記載の署名システム。
6. 前記メンバのいずれかに配布した未公開の前記秘密鍵を公開情報として前記データベースに登録することにより、当該メンバを失効させる失効処理部を備える請求項１から請求項５のいずれかに記載の署名システム。
7. 前記データベースは、ブロックチェーンにより構成される請求項１から請求項６のいずれかに記載の署名システム。
8. 請求項１から請求項７のいずれかに記載の署名システムにおいて登録された前記電子署名を検証する署名検証装置であって、
   前記電子署名及び対応する公開情報としての前記秘密鍵の登録順の正当性を確認する順序確認部と、
   メッセージ及び対応する公開情報としての前記秘密鍵からハッシュ値を計算し、前記データベースに登録されているハッシュ値と照合する署名照合部と、
   前記秘密鍵、対応する前記中間ノードの値、及びルートノードの値を用いて、前記第２ハッシュ木のルートノードの値を計算し、前記データベースに登録されている前記公開鍵と照合する鍵照合部と、を備える署名検証装置。
9. コンピュータシステムにおいて、
   鍵生成部が、複数の秘密鍵、及びシード値をリーフノードとし、前記秘密鍵及び前記シード値のペアを入力としたハッシュ値を上位ノードとする第１ハッシュ木を、グループ署名におけるメンバの数だけ構成し、さらに、複数の前記第１ハッシュ木のルートノードの値をリーフノードとした第２ハッシュ木を構成する鍵生成ステップと、
   鍵配布部が、前記秘密鍵を前記メンバに対して重複なく、対応する前記第１ハッシュ木の中間ノード及びルートノードの値と共に配布する鍵配布ステップと、
   鍵登録部が、前記第２ハッシュ木におけるルートノードの値を、公開鍵として登録順を保証するデータベースに登録する鍵登録ステップと、
   署名登録部が、電子署名としてメッセージ及び前記秘密鍵を入力としたハッシュ値が算出された後、当該ハッシュ値と共に又は当該ハッシュ値の後に、当該ハッシュ値の算出に用いた秘密鍵、当該秘密鍵と共に配布された前記中間ノードの値、及び当該秘密鍵が属していない前記第１ハッシュ木のルートノードの値を公開情報として前記データベースに登録する署名登録ステップと、を実行する署名方法。
10. 請求項９に記載の署名方法により登録された前記電子署名をコンピュータが検証する署名検証方法であって、
    順序確認部が、前記電子署名及び対応する公開情報としての前記秘密鍵の登録順の正当性を確認する順序確認ステップと、
    署名照合部が、メッセージ及び対応する公開情報としての前記秘密鍵からハッシュ値を計算し、前記データベースに登録されているハッシュ値と照合する署名照合ステップと、
    鍵照合部が、前記秘密鍵、対応する前記中間ノードの値、及びルートノードの値を用いて、前記第２ハッシュ木のルートノードの値を計算し、前記データベースに登録されている前記公開鍵と照合する鍵照合ステップと、を実行する署名検証方法。
11. 請求項１から請求項７のいずれかに記載の署名システムとしてコンピュータを機能させるための署名プログラム。
12. 請求項８に記載の署名検証装置としてコンピュータを機能させるための署名検証プログラム。

Images