JP7322763B2

JP7322763B2 - 鍵生成装置、鍵生成方法及びプログラム

Info

Publication number: JP7322763B2
Application number: JP2020043846A
Authority: JP
Inventors: 皓羽金城; 弘樹古江
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2020-03-13
Filing date: 2020-03-13
Publication date: 2023-08-08
Anticipated expiration: 2040-03-13
Also published as: JP2021145278A

Description

本発明は、鍵生成装置、鍵生成方法及びプログラムに関する。

ＵＯＶ（Unbalanced Oil and Vinegar）署名は１９９９年に提案されて以降、未だ解読されていないことから、耐量子署名として期待されている。ＵＯＶ署名は多変数多項式を公開鍵とするため、公開鍵長及び署名長が大きくなる傾向がある。このため、通信負荷の削減等の観点から公開鍵長及び署名長の削減が重要な課題となっている。この課題に対して、ＵＯＶ署名の公開鍵長及び署名長を圧縮する技術が非特許文献１に記載されている。

Alan Szepieniec and Bart Preneel, Block-Anti-Circulant Unbalanced Oil and Vinegar, published in IACR Cryptology ePrint Archive 2019.

しかしながら、上記の非特許文献１ではビットに変換したときにメモリに無駄が生じる場合があった。

本発明の一実施形態は、上記の点に鑑みてなされたもので、ＵＯＶ署名の公開鍵長及び署名長の効率的な圧縮を可能にすることを目的とする。

上記目的を達成するため、一実施形態に係る鍵生成装置は、ＵＯＶ署名の署名及び検証にそれぞれ用いられる秘密鍵及び公開鍵を生成する鍵生成装置であって、vinegar変数をｘ_１，・・・，ｘ_ｖ、oil変数をｘ_ｖ＋１，・・・，ｘ_ｎ、ｖ＋ｏ＝ｎとして、対角成分が１の上三角行列、かつ、ブロック巡回行列であるｎ×ｎ行列Ｔを生成する第１の生成手段と、標数が偶数の体の元を係数とするｘ_１，・・・，ｘ_ｖ，ｘ_ｖ＋１，・・・，ｘ_ｎの多項式を表し、かつ、右下のｏ×ｏ行列部分が零行列であるブロック巡回行列Ｆ_ｋを生成する第２の生成手段と、｛Ｆ_ｋ｝_{ｋ＝１，・・・，ｏ}，Ｔを前記秘密鍵、｛Ｐ_ｋ＝Ｆ_ｋ・Ｔ｝_{ｋ＝１，・・・，ｏ}を前記公開鍵とする鍵生成手段と、を有することを特徴とする。

ＵＯＶ署名の公開鍵長及び署名長を効率的に圧縮することができる。

本実施形態に係るデジタル署名システムの全体構成の一例を示す図である。本実施形態に係る署名・検証処理の一例を示すシーケンス図である。本実施形態に係る署名装置及び検証装置のハードウェア構成の一例を示す図である。

以下、本発明の一実施形態について説明する。本実施形態では、ＵＯＶ署名の公開鍵長及び署名長を効率的に圧縮することが可能なデジタル署名システム１について説明する。ＵＯＶ署名とは多変数多項式問題に基づく署名であり、その公開鍵と秘密鍵の中心写像はoil変数とvinegar変数という２種類の変数を持つ二次多項式で表される。特に、ＵＯＶ署名ではoil変数の二次式を持たないため、二次多項式を行列表示した際に零行列が部分的に含まれる。すなわち、ｘ_１，・・・，ｘ_ｖをvinegar変数、ｘ_ｖ＋１，・・・，ｘ_ｎをoil変数、ｖ＋ｏ＝ｎとした場合、二次多項式の表現行列にはｏ×ｏの零行列が部分的に含まれる。なお、一般にｖ≫ｏである。

＜用語の定義＞
まず、本明細書で使用するいくつかの用語を定義する。

・巡回行列：１行目の行ベクトルを基準に、２行目以降の各行ベクトルが１つ前の行ベクトルの要素を右方向に循環させた形となっている行列である。例えば、３×３の巡回行列は、

と表される。

・反巡回行列：１行目の行ベクトルを基準に、２行目以降の各行ベクトルが１つ前の行ベクトルの要素を左方向に循環させた形となっている行列である。例えば、３×３の反巡回行列は、

と表される。

・ブロック巡回行列：各行列ブロックが巡回行列となっているブロック行列である。

・ブロック反巡回行列：各行列ブロックが反巡回行列となっているブロック行列である。

Ａ_{［ｉ：ｊ，ｋ：ｌ］}：（ｉ，ｋ）を始点、（ｊ，ｌ）を終点とした行列Ａの一部である。つまり、行列Ａの（ｉ，ｋ）要素を左上の要素、行列Ａの（ｊ，ｌ）要素を右下の要素とする（ｊ－ｉ＋１）×（ｌ－ｋ＋１）の行列ブロックである。

＜Petzoldtの公開鍵長圧縮法＞
次に、Petzoldtの公開鍵長圧縮法について説明する。

とする。ここで、ｘ＝（ｘ_１，・・・，ｘ_ｖ，ｘ_ｖ＋１，・・・，ｘ_ｎ）である。また、ｐ_ｉｊ ^（ｋ）及びｆ_ｉｊ ^（ｋ）は二次の項の係数、ｐ_ｉ ^（ｋ）及びｆ_ｉ ^（ｋ）は一次の項の係数、ｐ_０ ^（ｋ）及びｆ_０ ^（ｋ）は定数項である。

公開鍵は、秘密鍵用多項式とアフィン写像Ｔ＝（ｔ_ｉｊ）を用いて、Ｐ＝Ｆ・Ｔで導出される。ここで、或る正の整数をｍとして、Ｆはｋに関してＦ_ｋを縦に並べたベクトルであり、Ｐはｋに関してＰ_ｋを縦に並べたベクトルである。

このとき、

と表記されるため、ｐ'を公開鍵用多項式の表現行列、ｆ'を秘密鍵用多項式の表現行列、

とした場合、ｐ'＝Ａ'・ｆ'と表現可能である。

ＵＯＶ署名ではｆ'がoil変数に関しての一次多項式になっているため、右下のｏ×ｏ行列部分が零行列となる構造を持っている。このため、ｐ'に含まれる係数のうち、ランダムに選ぶことが可能な部分は、

個である。したがって、この部分を短いシードから生成することで、公開鍵長（及び署名長）の圧縮が可能となる。

＜非特許文献１に記載されている公開鍵及び署名長の圧縮法の概要＞
ｖ＝Ｖ×ｌ，ｏ＝Ｏ×ｌ，Ｎ＝Ｏ＋Ｖとする。また、各行列ブロックの行及び列の長さをｌ（つまり、各行列ブロックは要素数ｌ^２のｌ×ｌ行列）、Ｔをブロック巡回行列、Ｆ_ｋを右下のｏ×ｏ行列部分が零行列であるブロック反巡回行列とする（すなわち、Ｆ_{ｋ［０：ｏ，０：ｏ］}＝０）。

このとき、公開鍵用多項式Ｐ_ｋ＝Ｆ_ｋ・Ｔはブロック反巡回行列（つまり、Ｎ×Ｎ個の行列ブロックで構成されるｎ×ｎのブロック反巡回行列）となっており、公開鍵が

に圧縮されている形になる。これは、各行列ブロックはｌ×ｌの反巡回行列であるため、これらの各行列ブロックから巡回する行を１つずつ抽出すればよいためである。なお、ｎ＝Ｎｌとなっている。

したがって、この巡回する行を更に短いシードから生成することで、公開鍵長（及び署名長）を圧縮している。なお、この圧縮法の詳細については、非特許文献１を参照されたい。

＜本実施形態に係る公開鍵長及び署名長の圧縮法＞
上述したように、非特許文献１に記載されている公開鍵及び署名長の圧縮法では、対称行列である秘密鍵、公開鍵に反巡回行列を使用している。また、対称行列の要素の空間の標数が偶数の体であると表現行列が相殺して０になってしまうため、非特許文献１に記載されている公開鍵及び署名長の圧縮法では、標数が奇数の体を用いている。

そこで、本実施形態に係る公開鍵長及び署名長の圧縮法では、非特許文献１に記載されている圧縮法を改良して、秘密鍵用多項式Ｆ_ｋ及び公開鍵用多項式Ｐ_ｋをブロック巡回行列とすると共に、これらの多項式の係数の空間として標数が偶数の体を用いることで、公開鍵長（及び署名長）の更なる圧縮を実現する。

具体的には、ｖ＝Ｖ×ｌ，ｏ＝Ｏ×ｌ，ｎ＝ｖ＋ｏ，Ｎ＝Ｏ＋Ｖとする。署名生成者は、対角成分が１の上三角行列かつブロック巡回行列であるｎ×ｎ行列Ｔを生成する。次に、秘密鍵の中心写像となる多項式Ｆ_ｋ（ただし、各係数は、標数が偶数の体の元）を右下のｏ×ｏ行列部分が零行列であるブロック巡回行列とする（すなわち、Ｆ_{ｋ［０：ｏ，０：ｏ］}＝０）。また、Ｐ_ｋ＝Ｆ_ｋ・Ｔとする。なお、Ｐ_ｋはＮ×Ｎ個の行列ブロックで構成されるｎ×ｎのブロック巡回行列となる（したがって、ｎ＝Ｎｌである。）。

このとき、秘密鍵を｛Ｆ_ｋ｝_{ｋ＝１，・・・，ｏ}，Ｔ、公開鍵を｛Ｐ_ｋ｝_{ｋ＝１，・・・，ｏ}とする。

＜デジタル署名システム１の全体構成＞
次に、本実施形態に係るデジタル署名システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係るデジタル署名システム１の全体構成の一例を示す図である。

図１に示すように、本実施形態に係るデジタル署名システム１には、署名装置１０と、検証装置２０とが含まれる。署名装置１０と検証装置２０は、例えば、インターネット等の任意の通信ネットワーク３０を介して通信可能に接続される。

署名装置１０は、ＵＯＶ署名の公開鍵及び秘密鍵を生成した上で、この秘密鍵を用いてメッセージに対する署名を生成する。このとき、署名装置１０は、本実施形態に係る公開鍵長及び署名長の圧縮法によって圧縮された公開鍵を生成する。ここで、署名装置１０は、鍵生成部１０１と、署名生成部１０２と、通信部１０３とを有する。なお、秘密鍵及び公開鍵はそれぞれ署名鍵及び検証鍵と称されてもよい。

鍵生成部１０１は、ＵＯＶ署名の公開鍵及び秘密鍵を生成する。署名生成部１０２は、秘密鍵を用いて、メッセージに対する署名を生成する。通信部１０３は、検証装置２０との間で各種情報の送受信（例えば、署名及びメッセージの送信等）を行う。

検証装置２０は、署名装置１０で生成された公開鍵により署名を検証する。ここで、検証装置２０は、検証部２０１と、通信部２０２とを有する。検証部２０１は、公開鍵を用いて、署名を検証する。通信部２０２は、署名装置１０との間で各種情報の送受信（例えば、署名及びメッセージの受信等）を行う。

なお、図１に示すデジタル署名システム１の構成は一例であって、他の構成であってもよい。例えば、デジタル署名システム１には、複数の署名装置１０が含まれていてもよいし、複数の検証装置２０が含まれていてもよい。

＜署名・検証処理＞
次に、本実施形態に係る署名・検証処理について、図２を参照しながら説明する。図２は、本実施形態に係る署名・検証処理の一例を示すシーケンス図である。

まず、署名装置１０の鍵生成部１０１は、上述したように秘密鍵｛Ｆ_ｋ｝_{ｋ＝１，・・・，ｏ}，Ｔと公開鍵｛Ｐ_ｋ｝_{ｋ＝１，・・・，ｏ}とを生成する（ステップＳ１０１）。すなわち、鍵生成部１０１は、ｖ＝Ｖ×ｌ，ｏ＝Ｏ×ｌ，ｎ＝ｖ＋ｏ，Ｎ＝Ｏ＋Ｖとして、対角成分が１の上三角行列かつブロック巡回行列であるｎ×ｎ行列Ｔを生成すると共に、秘密鍵の中心写像となる多項式Ｆ_ｋ（ただし、各係数は、標数が偶数の体の元）を右下のｏ×ｏ行列部分が零行列であるブロック巡回行列とする。そして、鍵生成部１０１は、Ｐ_ｋ＝Ｆ_ｋ・Ｔとすることで、秘密鍵｛Ｆ_ｋ｝_{ｋ＝１，・・・，ｏ}，Ｔと公開鍵｛Ｐ_ｋ｝_{ｋ＝１，・・・，ｏ}とを生成する。なお、公開鍵｛Ｐ_ｋ｝_{ｋ＝１，・・・，ｏ}は公開される。

次に、署名装置１０の署名生成部１０２は、上記のステップＳ１０１で生成された秘密鍵｛Ｆ_ｋ｝_{ｋ＝１，・・・，ｏ}，Ｔを用いて、メッセージｍに対する署名σを生成する（ステップＳ１０２）。なお、署名σの生成方法は、既知のＵＯＶ署名と同様である。

次に、署名装置１０の通信部１０３は、上記のステップＳ１０２で生成された署名σとメッセージｍとを検証装置２０に送信する（ステップＳ１０３）。

検証装置２０の検証部２０１は、通信部２０２により署名σ及びメッセージｍを受信すると、公開鍵｛Ｐ_ｋ｝_{ｋ＝１，・・・，ｏ}を用いて、署名σを検証する（ステップＳ１０４）。なお、署名σの検証方法は、既知のＵＯＶ署名と同様である。

以上により、本実施形態に係るデジタル署名システム１では、非特許文献１に記載されている圧縮法を改良して、秘密鍵用多項式Ｆ_ｋ及び公開鍵用多項式Ｐ_ｋをブロック巡回行列とすると共に、これらの多項式の係数の空間として標数が偶数の体を用いて、秘密鍵及び公開鍵を生成する。これにより、公開鍵長及び署名長の更なる圧縮を実現することが可能となる。これは、標数２の体を元とした空間で計算が可能になると、ビット変換したときに計算に必要なメモリを節約することができるためである。

例えば、位数１１の体であれば元の表現に４ビット必要（１１＜２^４であるため）であるためメモリに無駄が生じてしまうが、位数８の体であれば３ビットちょうどで元を表現することができるためメモリを効率的に使用することができる。すなわち、必要なセキュリティレベルを満たすパラメータを抑えることが可能になる。このため、本実施形態に係るデジタル署名システム１は、例えば、無線放送等の負荷が大きい多人数通信に適用することが特に効果的である。

＜署名装置１０及び検証装置２０のハードウェア構成＞
最後に、本実施形態に係る署名装置１０及び検証装置２０のハードウェア構成について、図３を参照しながら説明する。図３は、本実施形態に係る署名装置１０及び検証装置２０のハードウェア構成の一例を示す図である。なお、署名装置１０及び検証装置２０は同様のハードウェア構成により実現可能であるため、以降では、主に、署名装置１０のハードウェア構成について説明する。

図３に示すように、本実施形態に係る署名装置１０は一般的なコンピュータ又はコンピュータシステムであり、入力装置３０１と、表示装置３０２と、外部Ｉ／Ｆ３０３と、通信Ｉ／Ｆ３０４と、プロセッサ３０５と、メモリ装置３０６とを有する。これらの各ハードウェアは、それぞれがバス３０７を介して通信可能に接続されている。

入力装置３０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置３０２は、例えば、ディスプレイ等である。なお、署名装置１０は、入力装置３０１及び表示装置３０２のうちの少なくとも一方を有していなくてもよい。同様に、検証装置２０は、入力装置３０１及び表示装置３０２のうちの少なくとも一方を有していなくてもよい。

外部Ｉ／Ｆ３０３は、外部装置とのインタフェースである。外部装置には、記録媒体３０３ａ等がある。署名装置１０は、外部Ｉ／Ｆ３０３を介して、記録媒体３０３ａの読み取りや書き込み等を行うことができる。なお、記録媒体３０３ａには、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等がある。

通信Ｉ／Ｆ３０４は、署名装置１０を通信ネットワーク３０に接続するためのインタフェースである。

プロセッサ３０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の各種演算装置である。署名装置１０が有する各機能部（鍵生成部１０１、署名生成部１０２及び通信部１０３）は、例えば、メモリ装置３０６に格納されている１以上のプログラムがプロセッサ３０５に実行させる処理により実現される。同様に、検証装置２０が有する各機能部（検証部２０１及び通信部２０２）は、例えば、メモリ装置３０６に格納されている１以上のプログラムがプロセッサ３０５に実行させる処理により実現される。

メモリ装置３０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。

本実施形態に係る署名装置１０及び検証装置２０は、図３に示すハードウェア構成を有することにより、上述した署名・検証処理を実現することができる。図３に示すハードウェア構成は一例であって、署名装置１０及び検証装置２０は、他のハードウェア構成を有していてもよい。例えば、署名装置１０又は／及び検証装置２０は、複数のプロセッサ３０５を有していてもよいし、複数のメモリ装置３０６を有していてもよい。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１デジタル署名システム
１０署名装置
２０検証装置
３０通信ネットワーク
１０１鍵生成部
１０２署名生成部
１０３通信部
２０１検証部
２０２通信部
３０１入力装置
３０２表示装置
３０３外部Ｉ／Ｆ
３０３ａ記録媒体
３０４通信Ｉ／Ｆ
３０５プロセッサ
３０６メモリ装置
３０７バス

Claims

ＵＯＶ署名の署名及び検証にそれぞれ用いられる秘密鍵及び公開鍵を生成する鍵生成装置であって、
vinegar変数をｘ_１，・・・，ｘ_ｖ、oil変数をｘ_ｖ＋１，・・・，ｘ_ｎ、ｖ＋ｏ＝ｎとして、対角成分が１の上三角行列、かつ、ブロック巡回行列であるｎ×ｎ行列Ｔを生成する第１の生成手段と、
標数が偶数の体の元を係数とするｘ_１，・・・，ｘ_ｖ，ｘ_ｖ＋１，・・・，ｘ_ｎの多項式を表し、かつ、右下のｏ×ｏ行列部分が零行列であるブロック巡回行列Ｆ_ｋを生成する第２の生成手段と、
｛Ｆ_ｋ｝_{ｋ＝１，・・・，ｏ}，Ｔを前記秘密鍵、｛Ｐ_ｋ＝Ｆ_ｋ・Ｔ｝_{ｋ＝１，・・・，ｏ}を前記公開鍵とする鍵生成手段と、
を有することを特徴とする鍵生成装置。
前記鍵生成手段は、
ブロック巡回行列を構成する各行列ブロックの行及び列の長さをｌ、ｖ＝Ｖ×ｌ，ｏ＝Ｏ×ｌ，ｎ＝ｖ＋ｏ，Ｎ＝Ｏ＋Ｖとして、各ｋ＝１，・・・，ｏに対して、ｌ×ｌの巡回行列がＮ×Ｎ個で構成されるｎ×ｎのブロック巡回行列Ｐ_ｋ＝Ｆ_ｋ・Ｔを前記公開鍵として生成する、ことを特徴とする請求項１に記載の鍵生成装置。
ＵＯＶ署名の署名及び検証にそれぞれ用いられる秘密鍵及び公開鍵を生成する鍵生成装置が実行する鍵生成方法であって、
vinegar変数をｘ_１，・・・，ｘ_ｖ、oil変数をｘ_ｖ＋１，・・・，ｘ_ｎ、ｖ＋ｏ＝ｎとして、対角成分が１の上三角行列、かつ、ブロック巡回行列であるｎ×ｎ行列Ｔを生成する第１の生成手順と、
標数が偶数の体の元を係数とするｘ_１，・・・，ｘ_ｖ，ｘ_ｖ＋１，・・・，ｘ_ｎの多項式を表し、かつ、右下のｏ×ｏ行列部分が零行列であるブロック巡回行列Ｆ_ｋを生成する第２の生成手順と、
｛Ｆ_ｋ｝_{ｋ＝１，・・・，ｏ}，Ｔを前記秘密鍵、｛Ｐ_ｋ＝Ｆ_ｋ・Ｔ｝_{ｋ＝１，・・・，ｏ}を前記公開鍵とする鍵生成手順と、
が含まれることを特徴とする鍵生成方法。
コンピュータを、請求項１又は２に記載の鍵生成装置における各手段として機能させるためのプログラム。