JPH05333777A - ディジタル署名方式 - Google Patents

Abstract

(57)【要約】 （修正有） 【目的】 署名の正当性の確認と署名の否認とを同時に
行い、かつ信頼性を向上させる。 【構成】 署名者Ａ２００は署名用鍵ｈをハミルトン閉
路とするグラフｇを生成公開。メッセージｍ，ｇ，ｈか
らハミルトン閉路ｈをもつ署名ｓを作り、ｍとｓを検証
者Ｂ５００へ送信する。検証のためＢ５００はｍ，ｓ、
乱数｛ｃ｝をＡ２００に送りＡ２００は置換πでグラフ
ａ＝π（ｇ），ｂ＝π（ｓ）を計算し更に｛ｃ｝で暗号
化してＸ₁ ，Ｘ₂ ，Ｘ₃ としてＢ５００へ。Ｂは乱数ｑ
をＡ２００に送る。Ａ２００情報提示器内でｑ＝０なら
Ｘ₁ ，Ｘ₂ ，Ｘ₃ の情報をＹとしてＢ５００へ送る。ｑ
＝１の場合ｓが正当ならばａに対する閉路π（ｈ）に用
いた情報とｂに対するものとをＹとしてＢに送る。ｓが
正当な署名でない時ａに対する暗号化情報と、ｂのそれ
のａに対するものと異る部分の暗号化情報をＹとしてＢ
へ送る。ＢはＹ，Ｘ₁ 〜Ｘ₃ とｑとからｍ，ｓを検証
す。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、電子化された文書の
稟議／決済、電子投票システム等で、電子的に署名／捺
印を付与するディジタル署名方式に関する。

【０００２】

【従来の技術】ディジタル署名方式の代表的な例とし
て、Chaum の Undeniable 署名法(DavidChaum, Hans va
n Antwerpen,“ Undeniable Signatures", Crypto89 Ab
stracts,pp.205-212,(1989), David Chaum“ Zero-Know
ledge Undeniable Signatures ",Euro Crypt90 Abstrac
ts, pp.419-426, (1990)）がある。Chaum のディジタル
署名法は、署名の転用不可性と否認拒否性を備えた安全
性の高い方式である。

【０００３】署名の転用不可性とは、メッセージｍと署
名ｓの対応関係（ｍ，ｓ）が署名としての証拠とはなら
ず、署名者がメッセージｍと署名ｓの対応関係の正当性
を検証者との通信によって証明した場合にのみ署名の正
当性を確認できることである。通常のディジタル署名で
は、検証者がメッセージｍと署名ｓの対応関係の正当性
を、署名者と通信せずに確認できるので、（ｍ，ｓ）が
署名の証拠となる。

【０００４】否認拒否性とは、検証者がメッセージｍや
署名ｓとの対応関係（ｍ，ｓ）の正当性の証明を求めて
いる場合に、署名者が署名が誤っていることを証明でき
ることである。当然のことながら、署名者がメッセージ
ｍに対する正しい署名ｓの正当性を否認しようとしても
成功しないことが必要である。Chaum の Undeniable 署
名法は、以下の通りである。 （１）鍵の登録 署名者Ａは、署名用鍵ｘと検査用鍵（ｇ，ｐ，ｙ）を
（１）式 ｙ＝ｇ^x (mod p) （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、剰余計算ａ(mod p) は、ａを
ｐで割ったときの余りを表す。

【０００５】Chaum の署名法は、ｐが大きいとき、ｙと
ｇとｐからｙ＝ｇ^x (mod p) をみたすｘを計算するのが
困難なこと（離散対数問題の困難性）に安全性の根拠を
おく署名法である。利用者の検査用鍵（ｇ，ｐ，ｙ）
は、センタの公開ファイルにて管理され、必要に応じ
て、検証者Ｂはセンタに問い合わせて（ｇ，ｐ，ｙ）を
払い出してもらう。 （２）署名の作成 署名者Ａは、ｐと署名用鍵ｘを用いて、メッセージｍに
対して（２）式 ｓ＝ｍ^x (mod p) （２） を計算して署名ｓを作り、これをメッセージｍと共に検
証者Ｂに送信する（剰余付きの計算は、例えば池野、小
山「現代暗号理論」電子通信学会、pp.16-17,(1986) に
示されている）。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、検査用
鍵を用いて署名ｓがメッセージｍに対する正しい署名で
あることを、（ａ）の確認手順によって検査する。

【０００６】一方、もし、署名ｓがメッセージｍに対す
る正しい署名でない場合（以降では、改ざんされた署名
をｔで表す）には、署名者Ａは（ｂ）の否認手順によっ
て証明する。 （ａ）確認手順 ステップ１ 検証者Ｂは、２つの乱数ａとｂを生成し
て、（３）式を計算して通信文Ｘを Ｘ＝ｍ^a ・ｇ^b (mod p) （３） 作り、これをメッセージｍと署名ｓと共に署名者Ａに送
信する。

【０００７】ステップ２ 署名者Ａは、乱数ｑを生成し
て、（４）、（５）式を計算して通信文（Ｙ，Ｚ）を Ｙ＝Ｘ・ｇ^q (mod p) （４） Ｚ＝Ｙ^x (mod p) （５） 作り、これを検証者Ｂに送信する。

【０００８】ステップ３ 検証者Ｂは、２つの乱数ａと
ｂを署名者Ａに送信する。ステップ４ 署名者Ａは、受
信したａとｂが、先に受信した通信文Ｘに対して（６）
式の関係 Ｘ＝ｍ^a ・ｇ^b (mod p) （６） をみたすことを検査して、合格なら、ｑを検証者Ｂに送
信する。不合格なら処理を停止する。

【０００９】ステップ５ 検証者Ｂは、受信したｑ、先
に受信した通信文（Ｙ，Ｚ）、先に生成したａとｂが、
検査用鍵の一成分ｙ、メッセージｍと署名ｓに対して
（７）、（８）式の関係 Ｙ＝ｍ^a ・ｇ^b+q (mod p) （７） Ｚ＝ｓ^a ・ｙ^b+q (mod p) （８） をみたすことを確認する。合格ならば、ｓがｍに対する
署名者Ａの正しい署名であると判断する。 注）ここで、等号が成立することは、 Ｙ＝Ｘ・ｇ^q ＝（ｍ^a ・ｇ^b ）ｇ^q ＝ｍ^a ・ｇ^b+q (mod
p) Ｚ＝Ｙ^x ＝（ｍ^a ・ｇ^b+q ) ^x ＝（ｍ^x ) ^a ・（ｇ^x )
^b+q ＝ｓ^a ・ｙ^b+q (modp) より明らかである。 （ｂ）否認手順 ステップ１ 検証者Ｂは、２つの乱数ｃ（０≦ｃ≦ｋ）
と乱数ｄを生成して、（９）、（１０）式を計算して通
信文（Ｖ，Ｗ）を Ｖ＝ｍ^c ・ｇ^d (mod p) （９） Ｗ＝ｔ^c ・ｙ^d (mod p) （10） 作り、これをメッセージｍと署名ｔと共に署名者Ａに送
信する（ここでｋは安全性のパラメータでありＡとＢが
予め合意した値である）。

【００１０】ステップ２ 署名者Ａは、ｒを１からｋま
で取り直して （ｔ／ｍ^x ）^r ＝Ｗ／Ｖ^X (mod p) （11） をみたすｒを求めて、ｒのコミットメント関数の値ｅ＝
ＢＣ（ｒ）を検証者Ｂに送信する（ここでコミットメン
ト関数とは、ｒに対してＢＣ（ｒ）＝ＢＣ（ｒ′）をみ
たすｒ′を見つけるのが困難な関数である）。

【００１１】コミットメント関数ＢＣの構成例は、Gill
es Brassard, Claude Crepeau:“Non-transitive trans
fer of confidence: A perfect zero-knowledge intera
ctive protocol for SAT and beyond ”, FOCS'86, pp.
188-195 に示されている。 ステップ３ 検証者Ｂは、乱数ｄを署名者Ａに送信す
る。 ステップ４ 署名者Ａは、受信したｄが、通信文（Ｖ，
Ｗ）に対して （Ｖ，Ｗ）＝（ｍ^r ｇ^d (mod p) ，ｔ^r ｙ^d (mod p) ）
（１１ａ） をみたすことを確認する。成立すれば、ｒを検証者Ｂに
送信する。成立しなければ、検証者Ｂが検証以外のこと
に不正利用していると判断して処理を停止する。

【００１２】ステップ５ 検証者Ｂは、受信したｒがｅ
＝ＢＣ（ｒ）をみたし、さらにｒ＝ｃが成り立つと正し
い署名でないことを確認する。 以上のようにして、確認手順で、正しい署名であれば、
これが確認され、正しくない署名であれば、正しい署名
とは認識されないことが保証される。この確認手順では
正しい署名者が、正しい署名でないと偽わることができ
ないことは保証されない。しかし否認手順で、正しくな
い署名を正しくないと認識し、正しい署名を正しくない
と認識できないから、正しい署名者が偽わって正しい署
名を自己の署名でないと否認することができないという
ことが保証される。

【００１３】

【発明が解決しようとする課題】電子化された文書の稟
議／決済、電子投票システム等では、文書に付与された
電子的な署名／捺印の真偽を確認したいという要求が、
しばしば生じる。前記 Chaumの方法を考察した場合、こ
の目的にかなうものであるが、署名の確認、ないし、否
認の手順とに、それぞれ異なる手続きを用いている。こ
のため、これの実現においては、異なる装置（ないし、
ソフトウェア）を２種類用意し、その目的に応じてどち
らかの装置を選択して運用しなければならないことにな
る。

【００１４】また Chaumの方法は離散対数問題の困難性
に依存しており、この離散対数問題が実時間上計算可能
となった場合は、このディジタル署名法は本来の目的を
なさなくなる。さらに、 Chaumの方法は離散対数問題の
困難性の他に、安全性の証明されていない仮定（ビット
コミットメント関数の存在）を必要としている。

【００１５】この発明の目的は、署名の確認・否認手順
を同じ手続きで行うことができ、かつ、従来よりも信頼
性が高いディジタル署名方式を提供することにある。

【００１６】

【課題を解決するための手段】この発明によれば、署名
者は物理的に分離しているが、乱数列を共有している情
報拘束器と情報提示器とを持ち、検証者は乱数発生器を
用いて乱数列｛ｃ｝を生成して、これを署名者に送信
し、署名者は情報拘束器内で、ランダムな置換πを生成
し、そのπを用いて公開情報ｇと署名ｓの各置換ａとｂ
をそれぞれ計算し、そのａ，ｂとπを、受信した｛ｃ｝
を用いて暗合化して通信文Ｘ₁ ，Ｘ₂ ，Ｘ ₃ をそれぞれ
計算して、検証者に送信し、これを受信した検証者は乱
数ｑを生成して署名者に送信し、署名者は情報提示器内
で、受信したｑに応じてＸ₁ ，Ｘ₂，Ｘ₃ の暗号化に必
要な情報の全部または検証内容に応じた一部を通信文Ｙ
として作成して、検証者に送信し、検証者は受信したＹ
と先に受信した通信文Ｘ₁ ，Ｘ₂ ，Ｘ₃ と先に送信した
ｑとを用いて、公開情報ｇと署名ｓとに対して正当なこ
とを検査して、合格ならばｓがｇと同一の署名用鍵から
作成された正当な署名であると判断して、不合格ならば
ｓがｇとは同一の署名用鍵から作成された署名でないと
判断して、署名の正当性の確認、及び、署名の否認手続
きを行う。

【００１７】ここで、情報拘束器と情報提示器の動作に
ついて説明する。情報拘束器は、ある情報を拘束し、情
報提示器はその拘束された情報を提示するものである。
このとき、情報拘束器と情報提示器は乱数を共有してい
るが、物理的に分離されていて、通信できないものとす
る。以下、署名者が情報ｍを、情報拘束器を用いて拘束
し、検証者からの求めにより、このｍを、情報提示器を
用いて提示する手順を示す。

【００１８】まず、２種類の置換 σ₀ ，σ₁ ：｛０，１，２｝→｛０，１，２｝ を用意する。例えば σ₀ （０）＝０， σ₀ （１）＝１， σ₀ （２）＝２ σ₁ （０）＝０， σ₁ （１）＝２， σ₁ （２）＝１ とする。

【００１９】● 情報ｍの拘束： 〇 検証者は乱数ｃ∈｛０，１｝を選び、これを署名者
に送信する。 〇 署名者は情報拘束器内で、情報ｍを、受信したｃ
と、情報提示器と共有している乱数ｒ∈｛０，１，２｝
とを用いてｅ＝σ_c(ｒ）＋ｍ mod３の計算をし、ｅを検
証者に送信する。

【００２０】● 情報ｍの提示： 〇 検証者は署名者に情報ｅに拘束される情報の提示を
要求する。 〇 署名者は情報提示器にて、ｒを得てこれを検証者に
送信する。 〇 検証者はσ_c （ｒ）を計算し、ｍを（ｅ−σ_c(ｒ))
mod３として得る。 このような手法の詳細については、Michael Ben-Or, Sh
afi Goldwasser, JoeKilian, Avi Wigder-son: "Multi-
Prover interactive proofs: How to removeintractabi
lity assumptions",STOC '88, pp.113-131(1988)を参照
されたい。

【００２１】

【実施例】次に、この発明の実施例について説明する。
図１はこの発明が適用されるシステムの例を示し、セン
タ１００は署名者装置２００及び検証者装置５００とそ
れぞれ安全な通信路３００を介して結合され、署名者装
置２００と検証者装置５００とは安全でない通信路４０
０を介して結合されている。図２に示すように、センタ
１００の公開ファイルには各利用者ごとの公開情報が登
録されている。図３にこの実施例で実行される通信シー
ケンスを示し、図４に署名者装置２００の構成例を、図
５に利用者装置５００の構成例をそれぞれ示す。 （１）鍵の登録 署名者Ａがシステムに加入するとき、ハミルトン閉路を
持つグラフ生成器を用いて公開情報ｇを生成してセンタ
１００の公開ファイルに登録する。ハミルトン閉路を持
つグラフとは複数の点について点と点とを結んだグラフ
中のすべての点を一度だけ通った閉路が作れるグラフで
ある。

【００２２】ステップ１ 署名者Ａは、ランダムな閉路
発生器２１０を用いて署名用鍵ｈを生成し、グラフ生成
器２２０を用いてｈをハミルトン閉路とするようなグラ
フｇを計算して、これを公開情報としてセンタ１００の
公開ファイルに登録する。 （２）署名の作成 以降では、署名者Ａがメッセージｍに署名する場合につ
いて説明する。 ステップ２ 署名者Ａは、署名器２３
０を用いてｍと公開情報ｇと署名用鍵ｈとから、ハミル
トン閉路ｈを持つような署名ｓを得て、ｍとｓの対を検
証者Ｂに送信する。なお、ｓを作るには例えばｍを誤り
訂正符号化器で符号化し、またｇとｈに対応した誤りパ
ターンｅをランダムに作り、そのｅと前記ｍの符号化し
たものｃとの排他的論理和をとってｓとする。ｅはｃで
訂正可能な範囲の誤りとする。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、署名ｓ
が署名者Ａのメッセージｍに対する正しい署名であるこ
とを、または、署名ｓがメッセージｍに対する正しい署
名でないことを検査する。

【００２３】ステップ３ 検証者Ｂはメッセージと署名
の対（ｍ，ｓ）を署名者Ａに送信する。署名ｓの作成が
前記例の場合は、検査したいｍとｓの対についてｓを誤
り訂正復号してｍ′を得、これとｍとが一致しｍは対す
る署名ｓの候補であることを確認して、その（ｍ，ｓ）
を送る。 ステップ４ 検証者Ｂは乱数発生器５１０を用いて乱数
列｛ｃ｝を生成して、署名者Ａに送信する。

【００２４】ステップ５ 署名者Ａは情報拘束器２４０
内で、情報提示器２８０と共有する乱数発生器２４５か
らの乱数にもとづいて置換発生器２５０を用いてランダ
ムな置換πを生成し、グラフ置換器２６０を用いてｇと
ｓをそれぞれπで置換したグラフ（ａ，ｂ）を ａ＝π（ｇ） ｂ＝π（ｓ） で計算し、これら（ａ，ｂ，π）を、それぞれ受信した
｛ｃ｝と乱数発生器２４５からの乱数中の置換発生器２
５０へ供給するものに対し位相がそれたものｒとを用い
て暗号化器２７０により暗号化して、通信文（Ｘ₁ ，Ｘ
₂ ，Ｘ₃ ）をそれぞれ作成して、検証者Ｂに送信する。
つまり「課題を解決するための手段」の項で述べたｅ＝
σ_c （ｒ）＋ｍ mod３と対応して、暗号化器２７０にお
いて、グラフａを暗号化するには、グラフａを示す行列
の各要素ａ_ijについて、｛ｃ｝が０か１かにより、σ₀
（ｒ）＋ａ_ij mod３かσ₁ （ｒ）＋ａ_ij mod３を演算す
る。同様にグラフｂ及び置換πについても暗号化する。

【００２５】ステップ６ 検証者Ｂは、乱数発生器５２
０を用いて乱数ｑを生成して、署名者Ａに送信する。 ステップ７ 署名者Ａは情報提示器２８０内で、受信し
たｑに応じて、通信文作成器２９０でＹを計算して、検
証者Ｂに送信する。つまり、 ステップ７−１ ｑ＝０ならば、署名者Ａは｛ｃ｝を除
き、（Ｘ₁ ，Ｘ₂ ，Ｘ ₃ ）の暗号化に用いたすべての情
報、つまり（ａ，ｂ，π）とこれらを暗号化するための
情報中のｒとを通信文Ｙとして、検証者Ｂに送信する。
つまり情報提示器２８０では、情報拘束器２４０と共有
する乱数発生器２４５からの乱数と、公開情報ｇと、署
名用鍵ｈと、署名ｓとを入力して、その乱数中の置換生
成器２５０での置換πを生成する位相の乱数を用いて、
置換πを生成し、そのπを用いてａ，ｂを作り、この
ａ，ｂ，πとこれらを暗号化するための情報、つまり乱
数ｒとを検証者Ｂへ送信する。

【００２６】ステップ７−２ ｑ＝１ならば、署名者Ａ
は通信文Ｙを以下のように計算して、検証者Ｂに送信す
る。 ステップ７−２−１ ｓが正当な署名ならば、つまり受
信したｓが自己のｓと一致しているならば、署名者Ａ
は、グラフａに対するハミルトン閉路π（ｈ）に関する
部分の暗号化に用いたすべての情報と、グラフｂに対す
るハミルトン閉路π（ｈ）に関する部分の暗号化に用い
たすべての情報とを通信文Ｙとして、検証者Ｂに送信す
る。つまりｇはハミルトン閉路ｈをもっており、従って
ｇを置換したａもハミルトン閉路をもっている。ハミル
トン閉路ｈをπで置換したものπ（ｈ）はａのハミルト
ン閉路となる。

【００２７】ステップ７−２−２ ｓが正当な署名でな
いならば、つまり、受信したｓが自己のｓと一致しない
ならば、署名者Ａは、グラフａに対するハミルトン閉路
π（ｈ）に関する部分の暗号化に用いたすべての情報と
グラフｂにおいてグラフａのハミルトン閉路に関する部
分とは異なる部分の暗号化に用いたすべての情報とを通
信文Ｙとして、検証者Ｂに送信する。つまり、グラフｂ
のハミルトン閉路は、グラフａのハミルトン閉路と異な
っており、グラフａのハミルトン閉路を構成する辺のう
ち、グラフｂにはない辺が必ず存在する。

【００２８】ステップ８ 検証者Ｂは判断器５３０を用
いて、受信したＹ，先に受信した通信文（Ｘ₁ ，Ｘ₂ ，
Ｘ₃ ），先に送信したｑにより、メッセージｍと署名ｓ
に対して検査を行う。つまり ステップ８−１ ｑ＝０ならば、検証者Ｂは、通信文Ｙ
が（Ｘ₁ ，Ｘ₂ ，Ｘ₃）の暗号化に用いたすべての情報
であることを検査する。つまり、受信したＹ中のａ，
ｂ，πと、その暗号化に用いた情報と乱数発生器５１０
からの乱数｛ｃ｝とを用いて、ａ，ｂ，πを暗号化器２
７０と同様の手法でそれぞれ暗号化し、これら暗号文
（Ｘ′₁ ，Ｘ′₂ ，Ｘ′₃ ）と先に受信した（Ｘ₁ ，Ｘ
₂ ，Ｘ₃ ）とが一致するかを検査する。

【００２９】あるいは「課題を解決するための手段」の
項で述べた（ｅ−σ_c （ｒ））mod３と対応して、先に
受信したＸ₁ を示す行列の各要素Ｘ_1ij について受信し
たｒを用い、また｛ｃ｝を用いて、σ_c （ｒ）を演算
し、これを用いてＸ_1ij −σ_c（ｒ)mod３＝ａ_ij′を求
め、そのａ_ij′が、受信したａのａ_ijと一致するかを検
査する。同様にＸ₂ ，Ｘ₃ についても検査してもよい。

【００３０】ステップ８−２ ｑ＝１ならば、検証者Ｂ
は通信文Ｙに対し、以下のような検査を行う。 ステップ８−２−１ ｓの正当性の検証ならば、検証者
Ｂは通信文Ｙがグラフａに対するハミルトン閉路π
（ｈ）に関する部分の暗号化に用いたすべての情報と、
グラフｂに対するハミルトン閉路π（ｈ）に関する部分
の暗号化に用いたすべての情報であることを検査する。

【００３１】ステップ８−２−２ ｓの正当性の否認の
検証ならば、検証者Ｂは通信文Ｙがグラフａに対するハ
ミルトン閉路π（ｈ）に関する部分の暗号化に用いたす
べての情報とグラフｂにおいてグラフａのハミルトン閉
路に関する部分とは異なる部分の暗号化に用いたすべて
の情報であることを検査する。 ステップ９ 検証者Ｂはステップ８−２−１における検
査式に合格ならばｓがｍに対する署名者Ａの正当な署名
であり、ステップ８−２−２における検査式に合格なら
ばｓがｍに対する署名者Ａの正当な署名ではないと判断
する。

【００３２】署名の検査を行う際に、検査の信頼性をよ
り向上させるために、通信内容を複数にして確認するこ
とや、ステップ５からステップ９を複数回、繰り返して
行う方法も可能である。なお、ステップ５からステップ
９に用いた手法の詳細については、Manuel Blum:"How t
o prove a theorem so no one can claim it"，Interna
tional Congress of Mathematicians, pp.1444-1451(19
86)を参照されたい。

【００３３】

【発明の効果】この発明では、署名用鍵の正当性を示す
手順と署名の正当性を示す手順とを同時に行うことによ
り、従来方式では独立な手続きで行われていた署名の確
認手順と否認手順を同一の手続きで行えるようになって
おり、装置を簡略化が可能となっている。また、ハミル
トン閉路問題（ＮＰ完全問題）は実時間上取り扱うこと
のできる問題の中で計算量的にもっとも難しい問題であ
り、このためこの発明はこのハミルトン閉路問題に基づ
く方式としていることにより、従来法よりも信頼性が向
上している。さらに、この発明では、署名者装置内に情
報拘束器と情報提示器を分離させることにより、付加的
な仮定（ビットコミットメント関数の存在等）を必要と
していない点においても信頼性が向上している。つまり
情報提示器２８０は情報拘束器２４０と乱数発生器２４
５を共有するのみであり、従って乱数｛ｃ｝は情報提示
器２８０に入力されないため、σ₀ （ｒ）とするかσ₁
（ｒ）とするの区別をすることができず、情報提示器２
８０は要求されていることを正直に行うことになり、不
正を行うことができない。

【図面の簡単な説明】

【図１】この発明全体構成を示すブロック図。

【図２】図１中のセンタ１００の公開ファイルの内容例
を示す図。

【図３】署名者Ａと検証者との通信シーケンスを示す
図。

【図４】署名者装置２００の構成例を示すブロック図。

【図５】検証者装置５００の構成例を示すブロック図。

Claims (1)

【特許請求の範囲】
1. 【請求項１】 署名者が電子化された文書に署名するデ
   ィジタル署名方式において、 署名者は物理的に分離しているが、乱数列を共有してい
   る情報拘束器と情報提示器とを持ち、 検証者は乱数発生器を用いて乱数列｛ｃ｝を生成して、
   これを署名者に送信し、 署名者は上記情報拘束器内で、ランダムな置換πを生成
   し、そのπで公開情報ｇと署名ｓの各置換ａとｂをそれ
   ぞれ計算し、そのａ，ｂとπを、受信した｛ｃ｝を用い
   て暗合化して通信文Ｘ₁ ，Ｘ₂ ，Ｘ₃ をそれぞれ計算し
   て、検証者に送信し、 検証者は乱数ｑを生成して署名者に送信し、 署名者は上記情報提示器内で、受信したｑに応じて
   Ｘ₁ ，Ｘ₂ ，Ｘ₃ の暗号化に必要な情報の全部または検
   証内容に応じた一部を通信文Ｙとして作成して、検証者
   に送信し、 検証者は受信したＹと先に受信した通信文Ｘ₁ ，Ｘ₂ ，
   Ｘ₃ と先に送信したｑとを用いて、公開情報ｇと署名ｓ
   とに対して正当なことを検査して、合格ならばｓがｇと
   同一の署名用鍵から作成された正当な署名であると判断
   し、不合格ならばｓがｇとは同一の署名用鍵から作成さ
   れた署名ではないと判断して、署名の正当性の確認、及
   び、署名の否認手続きを行うディジタル署名方式。