JPH02273779A - ディジタル署名装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は名前や住所などのユーザ固有の情報である認証
子（ＩｄｅｎｔｉｔＹ、　　以下ＩＤと称す）を用いて
、あるテキストに対して付加する署名（又は捺印に値す
るもの）を生成するディジタル署名装置に関する。

従来の技術 ディジタル署名とは、あるテキストに対してなされる捺
印に相当するもので、テキストおよび署名する本人に依
存した値である。第３者に偽造できず、あとでその署名
を認証できることが必要である。

一方、近年、名前や住所などのユーザ固有の情報である
ＩＤを鍵の代わりに用いるというｒＩＤに基づく暗号方
式Ｊ　　（ＩＤ−ｂａｓｅｄ　　ＣｒＹｐｔｏｓｙｓｔ
ｅｍ）が提案され盛んに研究されている。

ＩＤに基づく暗号方式の基本概念は、シャミア（Ｓｈａ
ｍｉ　ｒ）による”アイデンティティ−ペイスト　クリ
プトシステムズ　アンド　シグネチャスキームズ（Ａ、
Ｓｈａ＊ｉｒ、　’Ｉｄｅｎｔｌｔｙ−ｂａｓｅｄ　Ｃ
ｒｙｐｔｏｓｙｓｙｔｅｏ＋ｓ　ａｎｄ　ｓｌｇｎａｔ
ｕｒｅ　ｓｃｈｅｍｅｓ’、　　Ｐｒｏｃ、。

ｆ　Ｃｒｙｐｔｏ　８４．Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ
　ｌｎ　Ｃｏｍｐｕｔｅｒ　５ｃｌｅｎｃｅ　１９Ｇ、
Ｓｐｒｌｎｇｅｒ　Ｖｅｒｌａｒｇ、１９８５　）に詳
しい。

ＩＤに基づく暗号方式の特徴として次のことが上げられ
る。

１、信頼のおけるセンターを備える。

２、センターは各ユーザがシステムへ加入する時に、そ
のＩＤに対応する秘密鍵を生成して個人ベースで使用す
るＩＣカード等に記録して発行する。

各ユーザはこのカードに格納されている秘密情報により
センターとは独立に自分の送信するメツセージを暗号化
したりメツセージに署名したりできる。

３、各ユーザに配られたＩＣカードは新規ユーザが加入
する際にも更新する必要がない。

シャミアは前記の文献において具体的にＩＤに基づく署
名方法も同時に提案している。

以下、この方法について説明する。

まず、センターはユーザｉのＩＤ情報であるよりｉから
秘密情報ｇを生成する。

第３図にセンターによる秘密情報生成方法の構成図を示
す。１００の関数ｈ−１は次のような性質をもつ関数り
の逆関数である。

１、関数りは公開の一方向性関数である。一方向性関数
とは入力から出力を計算することはたやすいが出力から
入力を逆算することは困難である関数のことである。言
い換えればｈよりその逆関数を求めることは困難である
関数のことである。

２、関数りの逆関数ｈ−１はセンターの秘密である。

センターのみがｈの出力から入力を逆算することができ
る。

３、　　ｈは乗算に対して早開型である。従って、ｈ　
（ａＸｂ）＝ｈ　（ａ）Ｘｈ　（ｂ）　　・”　（１）
を滴たす。

センターはこのｈ−１を用いてＩＤｉよりユーザｉの秘
密情報ｇを求める。従って次の式が成り立つ。

ｈす（ＩＤｉ）＝ｇ　　・・・（２） ｈ（ｇ）＝ＩＤｉ　　　・・・（３） 第４図はユーザｉがテキス）ｍに署名する場合の構成図
である。

１０１は乱数発生部、１０２は乱数ｒを入力とする一方
向性関数り、１０３は対象とするテキストＩＴｈ　　１
０４は入力である前記一方向性関数りの出力ｔとテキス
トｍに依存した値Ｘを出力するハツシュ関数ｆである。

１０５は前記乱数ｒのＸ乗を計算するべき乗演算部、１
０６は前記のようにセンターの生成した秘密情報ｇを格
納する秘密情報格納部、１０７はべき乗演算部１０５の
出力と秘密情報ｇを掛け合わせる乗算部である。この乗
算部１０７の出力Ｕと前記関数りの出力ｔがテキストｍ
の署名となる。なお、前記関数りはセンターにおいて定
めた一方向性関数と同じものである。

次に、この第４図を用いて従来の署名作成手順を説明す
る。

１、乱数発生部１０１において乱数ｒを生成する。

２、一方向性関数部１０２において ｔ＝ｈ　（ｒ）　　・・・（４） を計算する。

３、ハツシュ関数部１０４において、１０３に格納され
ているテキストｍと前記ｔを入力としてｘ　＝　ｆ　（
ｍｌ　　ｔ　）　　・・・（５）を求める。出力値Ｘは
入力のｍとｔの双方に依存した値である。入力のｍ、　
　ｔがわずかでも変化したとき、Ｘにその変化の影響が
現れる。

４、べき乗演算部１０５において、前記乱数ｒとＸを用
いて ｙ＝　ｒ”　　・・・（６） を求める。

５、乗算部１０７において１０６に格納されている秘密
情報ｇと前記（６）式におけるｙを用いてｎ＝ｙｘｇ　
　・・・（７） を求める。

以上（４）式と（７）式で求めた（ｕ、ｔ）をテキスト
ｍの署名とする。

なお、この署名の認証法を以下に示°す。

１、認証者はテキストｍと署名ｔより公開のハツシュ関
数ｆを用いて、 Ｘｌ＝ｆ（ｍ、ｔ）　・・・（８） を計算する。

２、署名ｕ、ｔ、ユーザｉのＩＤであるＩＤｉを入力と
して次の式が成り立つことを確認する。

ｈ　（ｕ）＝ｔｘＸＩＤｉ　　＝（９）正しい署名の場
合、　（５）、（８）式よりＸとＸ′は同じ値になる。

さらに次の式により（９）式が成り立つ。

ｈ　（ｕ）＝ｈ　（ｒ”　Ｘｇ）（（Ｅ３）、（７）式
より）＝ｈ　（ｒ）　ｘＸｈ　（ｇ）（（１）式より）
＝ｔ”ＸＩＤ１　　　（（３）、（４）式ヨリ）前記の
シャミアの方法では一方向性関数りを具体的に次のよう
に定めている。

１．２５６ビツト程度の素数ｐ、ｑを定める。ｎ＝ｐｘ
ｑとする。

ｐ、ｑはセンターの秘密とし、ｎを公開する。

２、　　ＬＣＭ（ｐ−１，ｑ−１）と互いに素な正数ｅ
を定める。

３、ｅＸｄ＝１　　　（ｍｏｄ　　ＬＣＭ（ｐ−１，Ｑ
−１））なるｄを求める。

なお、ｍｏｄはその数で除したときの剰余を示す。

この式よりｅからｄへはｐ、ｑをそれぞれ知らなければ
求めることができない。

４、ｈ　（ｘ）＝ｘ＠　ｍｏｄｎと定義する。　（ｅ−
＋ｎ）は公開値である。

センターのみが知っているｈの逆関数はｈ−Ｉ（ｙ）ニ
ア’　　ｍｏｄｎとなる。　（ｄ、　　１）、　　Ｑ）
はセンターの秘密の値である。

以上のことより、前記、ユーザｉの秘密情報ｇは、ｇ＝
ＩＤｉ’　　ｍｏｄｎ　　”（１０）または ｇ”＝　　ＩＤｉ　　ｍｏｄｎ　　・　（１１）を満た
す値となる。

このとき、テキストｍのユーザｉによる署名はそれぞれ
ｍｏｄｎ’の剰余環上で計算し、ｔ＝ｒ・　ｍｏｄｎ　
　・　（１２） ｕ＝ｒ　　Ｃ（―ｌｔＩ　Ｘｇ　　　　ｍｏｄｎ　　　
　ｅ噛骨　（１３）となる。

また、署名の認証は、 Ｕ・＝ｔＣＣ”’ＸＩＤ１　　ｍｏｄｎ　　・”（１４
）が成り立つことを確認することによって行う。

発明が解決しようとする課題 しかしながら以上述べた従来のディジタル署名方法によ
れば、署名する際に（６）式のべき乗演算と（７）式の
乗算演算が必要であり、また署名の確認を行う際にも、
やはりべき乗演算が必要となる。シャミアが述べた具体
的な例では５１２ビット幅程度の長語長のべき乗剰余演
算が必要であり、署名を行う場合にも署名を確認する場
合にも相当の処理時間が掛かることになる。本発明では
この点を鑑み、べき乗演算部を削減することにより、署
名を作成する場合に、あるいは署名を認証する場合に従
来の方法に比べて高速な処理ができるディジタル署名装
置を提供することを目的とする。

課題を解決するための手段 第１の本発明は、それぞれが他と重複しない認証子を持
った端末と各端末固有の秘密情報を生成するセンターか
らなるシステムｌこおいて、センターだけが、２項の加
真結果を入力としたときの出力値がそれぞれを入力とし
たときの出力値を乗算したものと同じになる公開の一方
向性関数の逆関数を秘密に持ち、その逆関数に各端末の
認証子を入力することによって各端末固有の秘密情報を
生成し、この生成した秘密情報を各端末に配送し、署名
を行う端末は、乱数を発生する乱数発生部と、前記乱数
発生部の出力である乱数を入力としてその一方向性関数
値を出力する第１の一方向性関数部と、テキストを格納
するテキスト格納部と、前記第１の一方向性関数部の出
力と前記テキスト格納部に格納されているテキストを入
力としてそれぞれの値に依存した値を生成する第１のハ
ツシュ関数部と、前記秘密情報を格納する秘密情報格納
部と、前記乱数発生部の出力である乱数と前記第１のハ
ツシュ関数部の出力を入力としてこれらを掛け合わせる
第１の乗算部と、前記第１の乗算部の出力と前記秘密情
報を入力としてこれらを加算する加算部を備え、前記第
１の一方向性関数部の出力と前記第１の乗算部の出力を
それぞれ前記テキストの第１、第２の署名とし、この署
名の認証を行う端末は、第１の署名と前記テキストを入
力としてそれぞれの値に依存した値を出力とする第２の
ハツシュ関数部と、前記第２のハツシュ関数部の出力値
をべきとする第１の署名のべき乗値を計算するべき乗演
算部と、前記べき乗演算部の出力と署名者の認証子を掛
け合わせる第２の乗算部と、第２の署名を入力としてそ
の一方向性関数値を出力とする第２の一方向性関数部と
、前記第２の乗算部の出力と前記第２の一方向性関数部
の出力を比較する比較部を備え、比較の結果、両者が一
致したときにその署名を認証することを特徴とするディ
ジタル署名装置である。

第２の本発明はそれぞれが他と重複しない認証子を持っ
た端末と各端末固有の秘密情報を生成するセンターから
なるシステムにおいて、センターだけが、２項の乗算結
果を入力としたときの出力値がそれぞれを入力としたと
きの出力値を加算したものと同じになる公開の一方向性
関数の逆関数を秘密に持ち、その逆関数に各端末の認証
子を入力することによって各端末固有の秘密情報を生成
し、この生成した秘密情報を各端末に配送し、署名を行
う端末は、乱数を発生する乱数発生部と、前記乱数発生
部の出力である乱数を入力としてその一方向性関数値を
出力する第１の一方向性関数部と、テキストを格納する
テキスト格納部と、前記第１の一方向性関数部の出力と
前記テキスト格納部に格納されているテキストを入力と
してそれぞれの値に依存した値を生成する第１のハツシ
ュ関数部と、前記秘密情報を格納する秘密情報格納部と
、前記第１のハツシュ関数部の出力をべきとする前記乱
数のべき乗値を算出するべき乗演算部と、前記べき乗演
算部の出力と前記秘密情報を入力としてこれらを乗算す
る第１の乗算部を備え、前記第１の一方向性関数部の出
力と前記第１の乗算部の出力をそれぞれ前記テキストの
第１、第２の署名とし、この署名の認証を行う端末は、
第１の署名と前記テキストを入力としてそれぞれの値に
依存した値を出力とする第２のハツシュ関数部と、前記
第２のハツシュ関数部の出力値と前記第１の署名を掛け
合わせる第２の乗算部と、前記第２の乗算部の出力と署
名者の認証子を加算する加算部と、第２の署名を入力と
してその一方向性関数値を出力とする第２の一方向性関
数部と、前記加算部の出力と前記第２の一方向性関数部
の出力を比較する比較部を備え、比較の結果、両者が一
致したときにその署名を認証することを特徴とするディ
ジタル署名装置である。

作用 第１の本発明は前記した性質を持つ一方向性関数を用い
ることにより、署名を作成する際に一方向性関数部の演
算とハツシュ関数部の計算の他には乗算部による乗算と
加算部における加算を行うだけで良い。従来のように、
前記２つの演算の他にべき乗演算を行う必要がない。従
って、従来に比べて署名を行うための処理時間が大幅に
短縮される。

また、第２の本発明は前記した性質を持つ一方向性関数
を用いることにより、署名を認証する際に一方向性関数
部の演算とハツシュ関数部の計算の他には乗算部による
乗算と加算部による加算を行うだけで良い。

実施例 本発明のディジタル署名装置に付いての４つの実施例に
おけるディジタル署名方法を、１、センターによるユー
ザの秘密情報生成２、ユーザによる署名生成 ３、ユーザによる署名認証 の各フェーズに分けて説明する。

く第１の実施例〉 １、センターはユーザｉのＩＤ情報であるＩＤｉから秘
密情報ｇ１を生成する。生成には以下の性質を持つ一方
向性関数ｈ１の逆関数ｈ１−１を用いる。

［１］関数ｈ１は公開の一方向性関数である。

［２丁関数ｈ１の逆関数ｈ１−はセンターの秘密である
。センターのみがｈｌの出力から入力を逆算することが
できる。

［：３］　ｈ　１は次の式を満たす。

ｈｌ　（ａ＋ｂ）＝ｈｌ　（ａ）Ｘｈｌ　（ｂ）・・・
（２１） センターはこのｈｌ−１を用いてＩＤｉよりユーザＩの
秘密情報ｇ１を求める。従って　次の式が成り立つ。

ｈｌ−Ｉ（ＩＤｉ）＝ｇｌ　　　・・・（２２）ｈｌ　
　（ｇｌ）＝ＩＤｉ　　　　　・・・（２３）２、第１
図はユーザｉがテキストｍに署名する場合の構成図であ
る。

１は乱数発生部、２は乱数ｒを入力とする一方向性関数
ｈ１．３は対象とするテキストｍ１４は入力である前記
一方向性関数ｈ１の出力ｔとテキストｍに依存した値Ｘ
を出力するハツシュ関数ｆである。５は前記のようにセ
ンターが生成した秘密情報ｇ１を格納する秘密情報格納
部、６は乱数ｒと前記ハツシュ関数の出力Ｘを乗して出
力ｙを得る乗算部、７は乗算部８の出力ｙと前記秘密情
報ｇを加算して出力Ｓを得る加算部である。この加算部
７の出力Ｓと前記関数ｈ１の出力ｔがテキストｍの署名
となる。なお、前記関数ｈ１はセンタにおいて定めた一
方向性関数と同じものである。

次に、この第１図を用いて本実施例の署名作成手順を説
明する。

［１］乱数発生部１において乱数ｒを生成する。

［２コ一方向性関数部２において ｔ＝ｈｌ　（ｒ）　　　　　　　　”（２４）を計算す
る。

［３コハッシュ関数部４において、３に格納されている
テキストｍと前記ｔを入力として ｘ＝ｆ　（ｍ、ｔ）　　　　　　　・・・（２５）を求
める。ハツシュ関数の出力Ｘは入力ｍとを双方に依存し
た値である。入力のｍ、　　ｔがわずかでも変化したと
き、Ｘにその変化の影響が現れる。

［４コ乗算部６において、前記乱数ｒとＸを用いてｙ＝
ｒｘｘ　　　　　　　　　　・・・（２６）を求める。

［５コ加算部７において前記ｙと秘密情報ｇ１を用いて
、 ｓ＝ｙ＋ｇ１　　　　　　　　　　・・・（２７）を求
める。

以上の（２４）式と（２７）式で求めた（ｔ、ｓ）をテ
キストｍの署名とする。

３、この署名（Ｌｓ）の認証法を以下に示す。

なお、認証者はこの署名以外に、一方向性関数ｈ１．ハ
ツシュ関数ｒ、テキストｍ、署名者のよりを知っている
とする。

［１１認証者はテキストｍと署名ｔより公開の）＼ツシ
ュ関数ｆを用いて、 ｘ’　＝ｆ　（ｍ、ｔ）　　　　−（２８）を計算する
。

［２］署名Ｌ　　Ｓ＋　　ユーザｉのＩＤであるＩＤｉ
を入力として次の式が成り立つことを確認する。

ｈｌ　（ｓ）＝ｔ×ＸＩＤ１　　　・・・（２９）正し
い署名の場合、　（２５）（２８）式よりＸとＸ゛は同
じ値になる。さらに次の式により（２９）式が成り立つ
。

ｈｌ　（ｓ）＝ｈｌ　（ｒＸｘ＋ｇｌ）（（２６）（２
７）式より） ＝ｈ１　（ｒ＋・＋ｒ）Ｘｈｌ　（ｇｌ）（（２１）式
より） ＝ｈｌ　（ｒ）”　Ｘｈｌ　（ｇｌ） （（２１）式より） ＝ｔｌＩ　ＸＩＤ１ （（２３）、　（２４）式より） く第２の実施例〉 １、センターはユーザｉのＩＤ情報であるＩＤｉから秘
密情報ｇ１を生成する。生成方法は第１の実施例と同じ
である。従って前記（２２）（２３）の各式が成り立つ
。

２、第２図はユーザｉがテキス）ｍに署名する場合の構
成図である。

１１は乱数発生部、１２は乱数ｒを入力とする一方向性
関数ｈ１．１３は対象とするテキス）　ｒｒｈ１４は入
力である前記一方向性関数ｈ１の出力ｔとテキストｍに
依存した値Ｘを出力するハシュ関数ｆである。１５は前
記のようにセンターが生成した秘密情報ｇ１を格納する
秘密情報格納部、１６は前記秘密情報ｇ１と前記ハツシ
ュ関数の出力Ｘを乗して出力ｙを得る乗算部、１７は乗
算部１６の出力ｙと乱数発生部１１の出力である乱数を
加算して出力Ｓを得る加算部である。この加算部１７の
出力Ｓと前記関数ｈ１の出力ｔがテキストｍの署名とな
る。なお、前記関数ｈ１はセンタにおいて定めた一方向
性関数と同じものである。

次に、この第２図を用いて本実施例の署名作成手順を説
明する。

［１］乱数発生部１１において乱数ｒを生成する。

［２］一方向性関数部１２において ｔ＝ｈ　１　（ｒ）　　　　　　　　・（３１）を計算
する。

［３］ハツシュ関数部１４において、１３に格納されて
いるテキストｍと前記ｔを入力としてｘ＝　ｆ　（ｍ、
　　ｔ）　　　　　　　・・・（３２）を求める。ハツ
シュ関数の出力Ｘは入力ｍとｔ双方に依存した値である
。入力のｍ、　　ｔがわずかでも変化したとき、Ｘにそ
の変化の影響が現れる。

［４コ乗算部１６において、前記秘密情報ｇ１とＸを用
いて ｙ：＝ｇ１ｘｘ　　　　　　　　　・・・（３３）を求
める。

［５コ加算部１７において前記ｙと乱数ｒを用いて、ｓ
＝ｙ十ｒ　　　　　　　　　　・・・（３４）を求める
。

以上の（３１）式と（３４）式で求めた（ｔ、　　ｓ）
をテキストｍの署名とする。

３、この署名（ｔ、ｓ）の認証法を以下に示す。

なお、認証者はこの署名以外に、一方向性関数ｈ１．　
　ハツシュ関数ｆ、テキストｍ、署名者のＩＤを知って
いるとする。

［１］認証者はテキス）ｍと署名ｔより公開のハツシュ
関数ｆを用いて、 ｘ’　＝　ｆ　（ｍ、　　ｔ）　　　　　　・（３５）
を計算する。

［２］署名Ｌ　　Ｓ、　　：Ｌ−ザｉのＩＤであるＩＤ
ｉを入力として次の式が成り立つことを確認する。

ｈｌ　（ｓ）＝ＩＤｉ×Ｘｔ ・・・（３６） 正しい署名の場合、　（３２）（３５）式よりＸとＸ”
は同じ値になる。さらに次の式により（３６）式が成り
立つ。

ｈｌ　（ｓ）＝ｈｌ　（ｇｌＸｘ＋ｒ）（（３３）（３
４）式より） ＝ｈ　１　（ｇ　１＋・＋ｇ　１）　Ｘｈ　１　（ｒ）
（（２１）式より） ＝ｈｌ　（ｇｌ）”　Ｘｈｌ　（ｒ） （（２１）式より） ＝ＩＤｉ翼　×ｔ （（２３）、　（３１）式より） く第３の実施例〉 １、センターはユーザｉのＩＤ情報であるＩＤｉから秘
密情報ｇ１を生成する。生成方法は第１の実施例と同じ
である。従って前記（２２）、　　（２３）の各式が成
り立つ。

２、ユーザｉがテキストｍに署名する場合の構成は第２
の実施例と同じである。ただし、第２図における一方向
性関数部の出力を署名としていたのに代えて、ハツシュ
関数１４の出力Ｘをテキストｍの署名とする。もう１つ
の署名は第２の実施例と同じである。

３、この署名（Ｘ＋Ｓ）の認証法を以下に示す。

なお、認証者はこの署名以外に、一方向性関数ｈ１、ハ
ツシュ関数ｆ、テキストｍ、署名者のＩＤを知っている
とする。

［ｌ］認証者は署名Ｌ　　Ｘと署名者のＩＤより公開の
一方向性関数ｈ１を用いて、 ｔ’　＝ｈｌ　（ｓ）／ＩＤｘ　　　・　（４１）を計
算する。

［２］（４１）で求めたｔ′とテキストｍより公開のハ
ツシュ関数ｆを用いて次の式が成り立つことを確認する
。

ｘ＝　ｆ　（ｍ、　　ｔ　’　）　　　　　　　＝　（
４２）正しい署名の場合、次の式より（３１）式で求め
たｔと（４１）式で求めたｔ’は同じ値になる。

ｈｌ　（ｓ）＝ｈｌ　（ｇｌＸｘ＋ｒ）（（３３）（３
４）式より） ＝ｈｌ　（ｇｌ＋−＋ｇｌ）Ｘｈｌ　（ｒ）（（２１）
式より） ＝ｈｌ　（ｇｌ）”　Ｘｈｌ　（ｒ） （（２１）式より） ＝ＩＤｉ　　翼　×　ｔ （（２３）、　（３１）式より） 従って（３２）式より（４２）式が成り立つ。

く第４の実施例〉 １、センターはユーザｉのＩＤ情報であるＩＤｉから秘
密情報ｇ２を生成する。生成には以下の性質を持つ一方
向性関数ｈ２の逆関数ｈ２りを用いる。

Ｅｌ］関数ｈ２は公開の一方向性関数である。

［２］関数ｈ２の逆関数ｈ２−１はセンターの秘密であ
る。センターのみがｈ２の出力から入力を逆算すること
ができる。

［３］ｈ２は次の式を滴たす。

ｈ２　（ａＸｂ）＝ｈ２　（ａ）＋ｈ２　（ｂ）・・・
（５１） センターはこのｈ２−１を用いてＩＤｉよりユーザｉの
秘密情報ｇ２を求める。従って次の式が成り立つ。

ｈ２−’　（ＩＤｉ）＝ｇ２　　　　　　・・・（５２
）ｈ２　　　（ｇ２）　　　＝ＩＤｉ　　　　　・・・
（５３）２、ユーザｉのテキス）ｍに対する署名は従来
の方法（すなわち（４）〜（７）式）と全く同様にして
次の様に遂行する。

［１］乱数発生部において乱数ｒを生成する。

［２コ一方向性関数部において ｔ＝ｈ２　（ｒ）　　　　　　　　・・・（５４）を計
算する。

［３コハッシュ関数部において、格納されているテキス
トｍと前記ｔを入力として ｘ＝ｆ　　（ｍ、　　ｔ）　　　　　　　　　　”・　
（５５）を求める。ハツシュ関数の出力Ｘは入力ｍとｔ
双方に依存した値である。入力のｍｌ　　ｔがわずかで
も変化したとき、Ｘにその変化の影響が現れる。

［４］乗算部において、前記乱数ｒ＆ｘを用いて７　＝
＝　ｒ　Ｘ　　　　　　　　　　　・・・（５６）を求
める。

［５コ加算部において前記ｙと秘密情報ｇ２を用いて、 ｓ＝ｙＸｇ２　　　　　　　　　　　　・・・（５７）
を求める。

以上の（５４）式と（５７）式で求めた（１゜Ｓ）をテ
キストｍの署名とする。

３、この署名（Ｌｓ）の認証法を以下に示す。

なお、認証者はこの署名以外に、一方向性関数ｈ２．　
　ハツシュ関数ｆ、テキスＦ　ｍｌ　　署名者のＩＤを
知っているとする。

〔！コ認証者はテキストｍと署名ｔより公開のハツシュ
関数ｆを用いて、 ｘ’　　＝　ｆ　　（ｍ、　　ｔ）　　　　　　　・・
・（５８）を計算する。

［２コ署名ｔｏ　　３．　　ユーザｉのＩＤであるＩＤ
ｉを入力として次の式が成り立つことを確認する。

ｈ２　（ｓ）＝ｔＸｘ　　＋ＩＤｉ ・・・　（５９） 正しい署名の場合、（５５）、（５８）式よりＸとＸ゛
は同じ値になる。さらに次の式により（５９）式が成り
立つ。

ｈ２　（ｓ）＝ｈ２　（ｒ”Ｘｇ２） （（５Ｂ）（５７）式より） ＝ｈ２　（ｒＸ・・・Ｘｒ）＋ｈ２　（ｇ２）（（５１
）式より） ＝ｈ２　（ｒ）Ｘｘ＋ｈ２　（ｇ２） （（５１）式より） ＝ｔＸｘ＋ＩＤ１ （（５４Ｌ　　（５３）式より） なお第４の実施例における署名手順［４］、［５］を、
次に示す手順［４’］、［５’］に変更して用いること
ができる。署名手順［ｌ］〜［３］はそのまま用いる。

［４′］乗算部において秘密情報ｇ２とＸを用いてＹ＝
ｇ２”　　　　　　　　　　　・・・（６０）を求める
。

［５″］］加算おいて前記ｙと乱数ｒを用いて、５＝−
７Ｘｒ　　　　　　　　　　　・・・（６１）を求める
。以上の（６１）式と（５７）式で求めた（ｔ、ｓ）を
テキストｍの署名とする。

この署名（ｔ、ｓ）に対する認証法は、第４の実施例の
認証手順［２コを次に示す手順［２′］のように変更す
る。認証手順［１］はそのまま用いる。このとき認証者
は署名以外に一方向性関数ｈ２．　　ハツシュ関数ｆ、
テキストｍ。

署名者のＩＤを知っているとする。

［２′］署名Ｌ　　Ｂ、　　ユーザｉのＩＤであるＩＤ
ｉを入力として次の式が成り立つことを確認する。

ｈ２　（ｓ）＝ＩＤｉＸｘ　　＋ｔ ・・・　（６２） 正しい署名の場合、　（５５）（５８）式よりＸとＸ′
は同じ値になる。さらに次の式により（６２）式が成り
立つ。

ｈ２　　（ｓ）＝ｈ２　　（ｇ２”Ｘｒ）（（８０）（
８１）式より） ＝ｈ２　　（ｇ２Ｘ・　ｘｇ２）＋ｈ２　　（ｒ）（（
５１）式より） ＝ｈ２　　（ｇ２）Ｘｘ＋ｈ２　　（ｒ）（（５１）式
より） ＝ＩＤｉＸｘ＋ｔ （（５４）、　（５３）式より） なお第４の実施例およびその変形において、第３の実施
例と同様に（Ｘｌ　Ｓ）をその署名とすることも考えら
れる。ここでは第４の実施例において、この署名（Ｘｔ
Ｓ）を認証する方法を以下に示す。なお、認証者はこの
署名以外に、一方向性関数ｈ２．　　ハツシュ関数ｆ、
テキストｍ＋　　署名者のＩＤを知っているとする。

［１］認証者は署名Ｌ　　Ｘと署名者のＩＤより公開の
一方向性関数ｈ２を用いて、 ｔ’　＝ｈ２　（ｓ）　−ＩＤ”　　　　　・・・（６
３）を計算する。

［２］（８０）で求めたｔ′とテキストｍより公開のハ
ツシュ関数ｆを用いて次の式が成り立つことを確認する
。

ｘ＝ｆ　（ｍ、ｔ’　）　　　　　　　　・・・（６４
）以上のように本実施例１〜４によれば従来署名部と認
証部の双方において一方向性関数の演算とハツシュ関数
の演算以外にべき乗演算が必要であったが、それが実施
例１、実施例２、および実施例３では、署名部は一方向
性関数の演算とハツシュ関数の演算以外に乗算と加算の
みとなるため処理時間が大幅に短縮できる。また実施例
４では認証部が、一方向性関数の演算とハツシュ関数の
演算以外に乗算と加算のみとなるため処理時間が大幅に
短縮できる。

次にこのディジタル署名装置の安全性について説明する
。なお以下の説明では、具体的に実施例１の場合につい
て述べている。

１、第３者が署名とテキストから署名者の秘密情報を知
ることは困難である。

ＩＤｉより署名者の秘密情報を得るためには一方向性関
数を逆算する必要がある。またハツシュ関数の出力Ｘを
得ることは出来るが、署名Ｓより秘密情報を求めるため
にはさらに乱数ｒを知る必要がある。ところが署名ｔよ
り乱数ｒを知るにはやはり一方向性関数を逆算する必要
がある。

２、第３者が偽の署名を行うことは困難である。

Ｘがｔに依存して決まるハツシュ関数の出力値なので、
それぞれの実施例における認証式を満たすＬ　　ｓを得
ることは困難である。

また、正当な署名者が生成した（ｔ、ｓ）を用いて第３
者が偽の署名を生成することも各実施例におけるＳの生
成に第３者には不定な乱数と秘密情報と加算と乗算を組
み合わせて結合されているため、困難である。

３、同一テキストに複数回署名した場合その署名部から
秘密情報を得ることは、乱数が毎回変化するため、困難
である。

以上の解析は第１の実施例以外にも同様に適用でき、こ
れらのことよりこのディジタル署名装置の安全性は十分
であると言える。

なお、テキストと署名を得た第３者がその作成者になり
すまして、再度その署名をそのまま繰り返して用いるの
を防ぐためには、テキストまたは乱数発生部の出力に日
付も付加しておくと良い。

日付の部分を書き直すと関数ｆの出力Ｘが元と違ってく
るために認証時の等号が成り立たずこれを間違って受は
入れることがない。

また、以上の実施例ではすべて整数上の四則演算を用い
て説明したが、これをある整数を法とした有限体上の演
算に置き換えても良い。有限体上の演算を用いることに
よって乗算やべき乗演算による数値の拡大を抑えること
ができ、実用的である。

発明の詳細 な説明したように第１の本発明は、２項の加算結果を入
力としたときの出力値がそれぞれを入力としたときの出
力を乗算したものと同じになる一方向性関数を用いるこ
とによって、署名する際には一方向性関数の演算とハツ
シュ関数の演算の他には乗算と加算だけが必要となる。

また、第２の本発明は、２項の乗算結果を入力としたと
きの出力値がそれぞれを入力としたときの出力を加算し
たものと同じになる一方向性関数を用いることによって
、署名する際には一方向性関数の演算とハツシュ関数の
演算の他には乗算と加算だけが必要となる。従って、処
理の高速化が実現できる。

本発明のディジタル署名装置の安全性は次のことより保
証できる。

１、第３者が署名とテキストから署名者の秘密情報を知
ることは困難である。

２、第３者が偽の署名を行うことは困難である。

３、同一テキストに複数回署名した場合その署名部から
秘密情報を知ることは困難である４、乱数またはテキス
トに毎回変わる日付や時刻を付加することによってなり
すましを防ぐことかできる。

以上のことより、本発明による実用的効果は大きい。

【図面の簡単な説明】 第１図は本発明の第１の実施例におけるディジタル署名
作成の構成図、第２図は本発明の第２の実施例における
ディジタル署名作成の構成図、第３図はセンターによる
ユーザの秘密情報作成の構成図、第４図は従来のディジ
タル署名作成の構成図である。 １００・・・一方向性関数の逆関数、１，１１，１０１
・・・乱数発生部、２．１２，１０２・・・一方向性関
数、３．　１３．１０３・・・テキスト格納部、４゜１
４．１０４・・・ハツシュ関数、５．　１５．　１０８
・・・秘密情報格納部、１０５・・・べき乗演算部、６
゜１８．１０７・・・乗算部、７．１７・・・加算部。 代理人の氏名　弁理士　粟野重孝　はか１名図 第 図

Claims (7)

【特許請求の範囲】
1. （１）それぞれが他と重複しない認証子を持った端末と
   、各端末固有の秘密情報を生成するセンターからなるシ
   ステムにおいて、前記センターだけが、２項の加算結果
   を入力としたときの出力値がそれぞれを入力としたとき
   の出力値を乗算したものと同じになる公開の一方向性関
   数の逆関数を秘密に持ち、その逆関数に各端末の認証子
   を入力することによって各端末固有の秘密情報を生成し
   、この生成した秘密情報を各端末に配送し、署名を行う
   端末は、乱数を発生する乱数発生部と、前記乱数発生部
   の出力である乱数を入力としてその一方向性関数値を出
   力する第１の一方向性関数部と、テキストを格納するテ
   キスト格納部と、前記第１の一方向性関数部の出力と前
   記テキスト格納部に格納されているテキストを入力とし
   てそれぞれの値に依存した値を生成する第１のハッシュ
   関数部と、前記秘密情報を格納する秘密情報格納部と、
   前記乱数発生部の出力である乱数と前記第１のハッシュ
   関数部の出力を入力としてこれらを掛け合わせる第１の
   乗算部と、前記第１の乗算部の出力と前記秘密情報を入
   力としてこれらを加算する加算部を備え、前記第１の一
   方向性関数部の出力と前記加算部の出力をそれぞれ前記
   テキストの第１、第２の署名とし、この署名の認証を行
   う端末は、第１の署名と前記テキストを入力としてそれ
   ぞれの値に依存した値を出力とする第２のハッシュ関数
   部と、前記第２のハッシュ関数部の出力値をべきとする
   第１の署名のべき乗値を計算するべき乗演算部と、前記
   べき乗演算部の出力と署名者の認証子を掛け合わせる第
   ２の乗算部と、第２の署名を入力としてその一方向性関
   数値を出力とする第２の一方向性関数部と、前記第２の
   乗算部の出力と前記第２の一方向性関数部の出力を比較
   する比較部を備え、比較の結果、両者が一致したときに
   その署名を認証することを特徴とするディジタル署名装
   置。
2. （２）署名を行う端末の、乱数と第１のハッシュ関数部
   の出力を入力としてこれらを掛け合わせる第１の乗算部
   に代えて秘密情報と第１のハッシュ関数部の出力を入力
   としてこれらを掛け合わせる乗算部と、第１の乗算部の
   出力と秘密情報を入力としてこれらを加算する加算部に
   代えて第１の乗算部の出力と乱数発生部の出力である乱
   数を入力としてこれらを加算する加算部と、署名の認証
   を行う端末の、第２のハッシュ関数部の出力値をべきと
   する第１の署名のべき乗値を計算するべき乗演算部に代
   えて第２のハッシュ関数部の出力値をべきとする署名者
   の認証子のべき乗値を計算するべき乗演算部と、べき乗
   演算部の出力と署名者の認証子を掛け合わせる第２の乗
   算部に代えてべき乗演算部の出力と第１の署名を掛け合
   わせる乗算部とを備えた特許請求の範囲第１項記載のデ
   ィジタル署名装置。
3. （３）署名を行う端末の第１の一方向性関数部の出力に
   代えて第１のハッシュ関数の出力を第１の署名とし、署
   名を認証する端末は、第２の署名を入力としてその一方
   向性関数値を出力とする第２の一方向性関数部と、第１
   の署名値をべきとする署名者の認証子のべき乗値を計算
   するべき乗演算部と、前記第２の一方向性関数部の出力
   を前記べき乗演算部の出力値で除する除算部と、前記除
   算部の出力とテキストを入力としてそれぞれの値に依存
   した値を出力とする第２のハッシュ関数部と、前記第２
   のハッシュ関数部の出力と第１の署名を比較する比較部
   を備え、比較の結果、両者が一致した場合にその署名を
   認証することを特徴とする特許請求の範囲第２項記載の
   ディジタル署名装置。
4. （４）それぞれが他と重複しない認証子を持った端末と
   各端末固有の秘密情報を生成するセンターからなるシス
   テムにおいて、前記センターだけが、２項の乗算結果を
   入力としたときの出力値がそれぞれを入力としたときの
   出力値を加算したものと同じになる公開の一方向性関数
   の逆関数を秘密に持ち、その逆関数に各端末の認証子を
   入力することによって各端末固有の秘密情報を生成し、
   この生成した秘密情報を各端末に配送し、署名を行う端
   末は、乱数を発生する乱数発生部と、前記乱数発生部の
   出力である乱数を入力としてその一方向性関数値を出力
   する第１の一方向性関数部と、テキストを格納するテキ
   スト格納部と、前記第１の一方向性関数部の出力と前記
   テキスト格納部に格納されているテキストを入力として
   それぞれの値に依存した値を生成する第１のハッシュ関
   数部と、前記秘密情報を格納する秘密情報格納部と、前
   記第１のハッシュ関数部の出力をべきとする前記乱数の
   べき乗値を算出するべき乗演算部と、前記べき乗演算部
   の出力と前記秘密情報を入力としてこれらを乗算する第
   １の乗算部を備え、前記第１の一方向性関数部の出力と
   前記第１の乗算部の出力をそれぞれ前記テキストの第１
   、第２の署名とし、この署名の認証を行う端末は、第１
   の署名と前記テキストを入力としてそれぞれの値に依存
   した値を出力とする第２のハッシュ関数部と、前記第２
   のハッシュ関数部の出力値と前記第１の署名を掛け合わ
   せる第２の乗算部と、前記第２の乗算部の出力と署名者
   の認証子を加算する加算部と、第２の署名を入力として
   その一方向性関数値を出力とする第２の一方向性関数部
   と、前記加算部の出力と前記第２の一方向性関数部の出
   力を比較する比較部を備え、比較の結果、両者が一致し
   たときにその署名を認証することを特徴とするディジタ
   ル署名装置。
5. （５）署名を行う端末の、第１のハッシュ関数部の出力
   をべきとする前記乱数のべき乗値を算出するべき乗演算
   部に代えて第１のハッシュ関数部の出力をべきとする前
   記秘密情報のべき乗値を算出するべき乗演算部と、べき
   乗演算部の出力と秘密情報を入力としてこれらを掛け合
   わせる第１の乗算部に代えて前記べき乗演算部の出力と
   乱数発生部の出力である乱数を入力としてこれらを掛け
   合わせる乗算部と、署名の認証を行う端末の、第２のハ
   ッシュ関数部の出力値と第１の署名を掛け合わせる第２
   の乗算部に代えて第２のハッシュ関数部の出力値と署名
   者の認証子を掛け合わせる乗算部と、前記乗算部の出力
   と署名者の認証子を加算する加算部に代えて前記乗算部
   の出力と第１の署名を加算する加算部を備えた特許請求
   の範囲第４項記載のディジタル署名装置。
6. （６）署名を行う端末の第１の一方向性関数部の出力に
   代えて第１のハッシュ関数部の出力を第１の署名とし、
   署名を認証する端末は、第２の署名を入力としてその一
   方向性関数値を出力とする第２の一方向性関数部と、前
   記第２の一方向性関数部の出力から署名者の認証子を減
   算する減算部と前記減算部の出力を第１の署名で除する
   除算部と、前記除算部の出力とテキストを入力としてそ
   れぞれの値に依存した値を出力する第２のハッシュ関数
   部と、前記第２のハッシュ関数部の出力と第１の署名を
   比較する比較部を備え、比較の結果、両者が一致した場
   合にその署名を認証することを特徴とする特許請求の範
   囲第４項記載のディジタル署名装置。
7. （７）署名を行う端末の第１の一方向性関数部の出力に
   代えて第１のハッシュ関数部の出力を第１の署名とし、
   署名を認証する端末は、第２の署名を入力としてその一
   方向性関数値を出力する第２の一方向性関数部と、第１
   の署名と署名者の認証子を掛け合わせる第２の乗算部と
   、前記第２の一方向性関数部の出力から前記第２の乗算
   部の出力を減算する減算部と、前記減算部の出力とテキ
   ストを入力としてそれぞれの値に依存した値を出力する
   第２のハッシュ関数部と、前記第２のハッシュ関数部の
   出力と第１の署名を比較する比較部を備え、比較の結果
   、両者が一致した場合にその署名を認証することを特徴
   とする特許請求の範囲第５項記載のディジタル署名装置
   。