JPH06118873A

JPH06118873A - ディジタル署名装置

Info

Publication number: JPH06118873A
Application number: JP4271271A
Authority: JP
Inventors: Toshiharu Harada; 俊治原田; Makoto Tatebayashi; 誠館林
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1992-10-09
Filing date: 1992-10-09
Publication date: 1994-04-28
Anticipated expiration: 2016-10-22
Also published as: JP3221090B2

Abstract

(57)【要約】【目的】高速に複数の署名データの正当性を同時に一
括して検査するディジタル署名装置を提供する。【構成】複数のメッセージデータとこの複数のメッセ
ージデータの各メッセージデータに対する各署名データ
と、各署名データの生成に用いられた各秘密鍵データに
１対１に対応する各公開鍵データを入力する入力手段２
１０と、各入力メッセージデータと各入力署名データ
と、各入力公開鍵データを用いて、各入力署名データの
生成に用いられた各署名生成式に１対１に対応する署名
検査式と複数のランダム変数とで決定され、その各ラン
ダム変数に対する恒等式であるように決定された一括署
名検査式にしたがって、各入力署名データの正当性を一
括して検査する署名検査手段２２０と、検査結果を出力
する出力手段２３０を備えた署名検査部２００とで構成
される。なお署名生成部は従来のディジタル署名装置と
同じ手段を備えている。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】数値データ化された種々のビジネ
ス文書をコンピュータや通信ネットワークを介して電子
的にやり取りしたり蓄積するときに、その電子文書の作
成者や承認者を確認したり、電子文書の内容の正当性を
確認したりするためのディジタル署名装置に係わる。

【０００２】

【従来の技術】コンピュータネットワークの発達に伴っ
て、さまざまな契約文書や取引文書がコンピュータネッ
トワークを介して電子的にやり取りされたり、蓄積され
るようになってきている。しかし、このようなネットワ
ークを介してやり取りされる電子文書の内容の正しさ
や、その作成者の確認に、従来の紙をベースとした文書
のやり取りにおいて、その文書の正しさや作成者などの
確認に用いられている捺印やサインをそのまま数値デー
タ化して用いることはできない。なぜなら、捺印やサイ
ンをそのまま数値データ化したデータは容易にコピーで
きるためである。

【０００３】この問題を解決する手段として、公開鍵暗
号技術を利用したディジタル署名法がある。このディジ
タル署名法のしくみは次の通りである。まず、ある数値
データ化された電子文書に対してその文書の正当性を保
証したい人（署名者）が、本人しか知らない秘密鍵と呼
ばれる秘密データを用いて、ディジタル署名と呼ばれる
データを作成する。一方このディジタル署名の正当性を
確認したい人は、その生成に用いられた秘密鍵に１対１
に対応する公開鍵と呼ばれるすべての人に公開されたデ
ータを用いることで、ディジタル署名の正当性の確認を
行うことができる。このようにこのディジタル署名と呼
ばれるデータを捺印やサインの代わりに用いる。

【０００４】具体的な従来のディジタル署名装置の構成
を示すブロック図を図２に示す。同図において１００は
署名生成部であり、１１０は署名生成部１００にメッセ
ージデータを入力する入力手段、１２０は署名データを
生成する署名生成手段、１３０は１２０で生成された署
名データを出力する出力手段である。また２００は署名
検査部であり、２１０は署名検査部２００にメッセージ
データと署名データと公開鍵データを入力する入力手
段、２２０は入力署名データの正当性を検査する署名検
査手段、２３０は２２０で検査した結果を出力する出力
手段である。

【０００５】以上のように構成されたディジタル署名装
置にける動作は次のとおりである。まず、署名生成部１
００においてメッセージデータに対する署名データを生
成する場合の動作について説明する。（１）入力手段１１０はメッセージデータを入力すると
その入力メッセージデータを署名生成手段１２０に渡
す。（２）署名生成手段１２０は、入力メッセージデータと
あらかじめ定められている秘密鍵データを用いて、あら
かじめ定まっている署名生成式にしたがって署名データ
を生成し、その署名データを出力手段１３０に渡す。（３）出力手段１３０は署名データを出力する。次に、
署名検査部２００においてメッセージデータに対する署
名データの正当性を検査する場合の動作について説明す
る。（１）入力手段２１０はメッセージデータと、そのメッ
セージデータに対して生成された署名データと、その署
名データ生成に用いられた秘密鍵データに１対１に対応
する公開鍵データとを入力するとこれらの各入力データ
を署名検査手段２２０に渡す。（２）署名検査手段２２０は、各入力データに対して、
あらかじめ定められている署名検査式にしたがって署名
データが正当であるかどうかを検査し、その検査結果を
出力手段に渡す。ここで、署名検査式は、署名データの
生成に用いられた署名生成式に１対１に対応する。（３）出力手段２３０は検査結果を出力する。

【０００６】そして署名生成式および署名検査式として
は例えばエルガマル(ElGamal) の提案したElGamal 署名
法と呼ばれる方式を用いることができる。この場合署名
生成式はつぎの通りである。

【０００７】ｒj≡ｇ^ｋj modｐ (1) ｓj≡(ｍj-ｘj×ｒj)×ｋj^(-1) modｐ (2) ここでｍjはメッセージデータ、（ｒj，ｓj）はｍjに対
する署名データ、ｐは素数、ｇはこの素数ｐを法とする
剰余体における原始根、ｋjは(1,p-1)の範囲でランダム
に選ばれた乱数値、ｘjは(1,p-1)の範囲でランダムに選
ばれた秘密鍵データとする。そして式(ｒj≡ｇ^ｋj mo
dｐ)は数値ｇを数値ｋjでべき乗した結果を数値ｐで割
ったときの余りをｒjとすることを意味する。また原始
根ｇとは、ｇ^(p-1)≡１ modｐかつ(0<ｉ<p-1)なる任
意のｉに対してｇ^ｉ≠１ modｐを満たす整数値であ
る。一方署名検査式は次のとおり。

【０００８】 ((ｙj^ｒj)×(ｒj^ｓj)×(ｇ^(-ｍj)))≡１ modｐ (3) ここで、秘密鍵データｘjと公開鍵データｙjは次の式で
１対１に対応づけられる。

【０００９】ｙj≡ｇ^ｘj modｐ (4) このとき(1)、(2)式にしたがって生成された正当な署名
データ(ｒj,ｓj)は (3)式の左辺＝(ｙj^ｒj)×(ｒj^ｓj)×(ｇ^(-ｍj)) ≡((ｇ^ｘj)^ｒj)×((ｇ^ｋj)^((ｍj-ｘj×ｒj)×ｋj^(-1)))× (ｇ^(-ｍj)) ((1)(2)(4)式を代入) ≡(ｇ^(ｘj×ｒj))×(ｇ^(ｋj×(ｍj-ｘj×ｒj)×ｋj^(-1)))× (ｇ^(-ｍj)) ≡(ｇ^(ｘj×ｒj))×(ｇ^(ｍj-ｘj×ｒj))×(ｇ^(-ｍj)) ≡１ modｐ＝(3)式の右辺となることから、(3)式を満たすことがわかる。

【００１０】なおエルガマル署名方式は、”アパブリ
ックキークリプトシステムアンドシグニチャス
キームベイストオンディスクリートロガリズ
ム”プロシーディングオブクリプト84(T.E.ElGama
l:"A public key crypto systemand signature scheme
based on discrete logarithm",Proc.Crypto84) に詳し
く述べられている。

【００１１】

【発明が解決しようとする課題】しかしながら前記のよ
うな構成では、複数のディジタル署名データの正当性を
同時に検査する必要がある場合に、個々に逐次的に検査
する必要があり、その検査時間が大きいという問題点を
有していた。また特に従来のElGamal 署名法を利用する
場合には、署名検査式である(3)式の計算(3項のべき乗
積演算)に、上述の原論文にあるように素数ｐを法とす
る剰余体上の乗算演算を、平均1.875×[log2ｐ] 回実行
する必要がある。ここで素数ｐは、第３者による署名の
偽造を防止するために、500ビット程度以上の素数に選
ぶよう推奨されている。いま仮にｐを500ビットの素数
とすると、１組の署名データ(ｒj,ｓj)を検査するため
に、500ビットの素数ｐを法とする剰余体上の乗算演算
を、平均1.875×500＝938 回実行することが必要とな
り、特に、複数組の署名データ(ｒj,ｓj)(j＝1,2,…,N)
を同時に検査する必要のある場合には、各署名データに
対して上記署名検査式を逐次実行することが必要とな
り、署名検査時の処理量がその署名データの数に比例し
て大きくなってしまう。本発明はかかる点に鑑み、高速
に複数の署名データの正当性を同時に一括して検査する
ディジタル署名装置を提供することを目的とする。

【００１２】

【課題を解決するための手段】以上の目的を達成するた
めに請求項１に係わる発明においては、複数のメッセー
ジデータとこの複数のメッセージデータの各メッセージ
データに対する各署名データと、各署名データの生成に
用いられた各秘密鍵データに１対１に対応する各公開鍵
データを入力する入力手段と、各入力メッセージデータ
と各入力署名データと、各入力公開鍵データを用いて、
各入力署名データの生成に用いられた各署名生成式に１
対１に対応する署名検査式と複数のランダム変数とで決
定され、その各ランダム変数に対する恒等式であるよう
に決定された一括署名検査式にしたがって、各入力署名
データの正当性を一括して検査する署名検査手段と、検
査結果を出力する出力手段を備えた署名検査部とで構成
される。なお署名生成部は従来のディジタル署名装置と
同じ手段を備えるものとする。

【００１３】請求項２に係わる発明においては、入力メ
ッセージデータｍjと、あらかじめ設定されている秘密
鍵データｘjを用いて、あらかじめ定められている大き
な素数ｐと、この素数ｐを法とする剰余体における原始
根ｇと、乱数ｋjとで決定される次の署名生成式、ｒj≡ｇ^ｋj modｐｓj≡(ｍj−ｘj×ｒj)×ｋj^(-1) mod(ｐ-1) にしたがって入力メッセージデータｍjに対する署名デ
ータ(ｒj，ｓj)を生成する署名生成手段を備えたディジ
タル署名生成部と、N個の入力メッセージデータｍj(j＝
1,2…,N)とN個の入力署名データ(ｒj，ｓj)(j＝1,2…,
N)と、その各署名データ(ｒj，ｓj)の生成に用いられた
各秘密鍵データｘj(j＝1,2…,N)に１対１に対応する各
入力公開鍵データｙj(j＝1,2…,N)を用いて、各入力署
名データ(ｒj，ｓj)の生成に用いられた各署名生成式に
１対１に対応する次の署名検査式 ((ｙj^ｒj)×(ｒj^ｓj)×(ｇ^(-ｍj)))≡１ modｐ (j＝1,2…,N) とランダム変数Ｔj(j＝1,2…,N)とで決定され、このラ
ンダム変数Ｔjの恒等式であるように決定された次の一
括署名検査式 ((ｙ1^ｒ1)×(ｒ1^ｓ1)×(ｇ^(-ｍ1)))^Ｔ1× ((ｙ2^ｒ2)×(ｒ2^ｓ2)×(ｇ^(-ｍ2)))^Ｔ2×… ((ｙN^ｒN)×(ｒN^ｓN)×(ｇ^(-ｍN)))^ＴN≡１ modｐが成り立つかどうかで、N個のメッセージｍj(j＝1,2…,
N)に対する署名データ(ｒj，ｓj)(j＝1,2…,N)の正当性
を一括検査する署名検査手段を備えた署名検査部とで構
成される。

【００１４】なお署名生成部の構成はElGamalの方式を
用いた従来のディジタル署名装置の構成と同じである。

【００１５】請求項３に係わる発明においては、入力メ
ッセージデータｍjと、あらかじめ定められている秘密
鍵データｘjを用いて、あらかじめ定められているある
楕円曲線上の点ｇと、点ｇに依存して定まる位数と呼ば
れる数値Ｌと、数値Ｌ未満の乱数ｋjと、楕円曲線上の
点ｘを入力すると数値Ｌ未満の整数値D(x)を出力する関
数D(x)とで決定されるを次の署名生成式ｒj＝ｇ×ｋj ｓj≡(ｍj−ｘj×D(rj))×ｋj^(-1) modＬにしたがって入力メッセージデータｍjに対する署名デ
ータ(ｒj，ｓj)を生成する署名生成手段を備えたディジ
タル署名生成部と、N個の入力メッセージデータｍj(j＝
1,2…,N)とN個の入力署名データ(ｒj，ｓj)(j＝1,2…,
N)と、その各署名データ(ｒj，ｓj)の生成に用いられた
秘密鍵データｘj(j＝1,2…,N)に１対１に対応する公開
鍵データｙj(j＝1,2…,N)を用いて、各入力署名データ
(ｒj，ｓj)の生成に用いられた各署名生成式に１対１に
対応する次の署名検査式 ((ｙj×ｒj)+(ｒj×ｓj)+(ｇ×(-ｍj)))×Ｔj＝０ (j＝1,2…,N) とランダム変数Ｔj(j＝1,2…,N)とで決定され、このラ
ンダム変数Ｔjの恒等式であるように決定された次の一
括検査式 ((ｙ1×ｒ1)+(ｒ1×ｓ1)+(ｇ×(-ｍ1)))×Ｔ1+ ((ｙ2×ｒ2)+(ｒ2×ｓ2)+(ｇ×(-ｍ2)))×Ｔ2+… ((ｙN×ｒN)+(ｒN×ｓN)+(ｇ×(-ｍN)))×ＴN＝０が成り立つかどうかで、N個のメッセージｍj(j＝1,2…,
N)に対する署名データ(ｒj，ｓj)(j＝1,2…,N)の正当性
を一括検査する署名検査手段を備えた署名検査部とで構
成される。

【００１６】請求項４に係わる発明においては、ランダ
ム変数のいくつかを固定の数値とする一括署名検査式を
用いる署名検査手段を備えた署名検査部とで構成され
る。

【００１７】

【作用】上記請求項１に示した構成により、複数のメッ
セージデータの各メッセージデータに対する各署名デー
タの検査が、署名検査部においてあらかじめ定められた
一括署名検査式によって同時に一括して検査されるた
め、各署名データの正当性を逐次検査する従来の方法に
よる場合より署名の検査時間を削減できる。また署名検
査部において用いる一括署名検査式は、各署名データの
生成に用いられた署名生成式に１対１に対応する署名検
査式とランダム変数とを用いてこのランダム変数に対す
る恒等式であるように決定される。このため、この一括
署名検査式を満たすように攻撃者が署名を偽造すること
は、攻撃者が個々の署名検査式を満たすように署名を偽
造することとほぼ同等に困難といえる。

【００１８】また上記請求項２に示した構成により、N
組の署名データ(ｒj,ｓj)(j＝1,2…,N)の正当性を(2N+
1)項のべき乗積演算で判定できる。なぜなら一括署名検
査式は次のように変形できるためである。

【００１９】 (ｙ1^(ｒ1×Ｔ1))×(ｙ2^(ｒ2×Ｔ2))×…×(ｙN^(ｒN×ＴN))× (ｒ1^(ｓ1×Ｔ1))×(ｒ2^(ｓ2×Ｔ2))×…×(ｒN^(ｓN×ＴN))× (ｇ^(-ｍ1×Ｔ1-ｍ2×Ｔ2-…-ｍN×ＴN))≡１ modｐところでこのような多項のべき積演算は、例えば原田、
館林提案の「ｎ変数のべき乗剰余演算の効率的な計算法
とその一応用」電子情報通信学会技術報告ISEC91-40、
などに効率的な計算法が発表されている。これらの方法
を用いると、N組の署名データ(ｒj,ｓj)(j＝1,2…,N)の
を一括検査するための処理量は、従来のディジタル署名
装置の構成でN組の署名データ(ｒj,ｓj)(j＝1,2…,N)の
正当性を逐次検査する場合より約1/3〜1/2にできる。

【００２０】また上記請求項３に示した構成により、N
組の署名データ(ｒj,ｓj)(j＝1,2…,N)の正当性を(2N+
1)項の積和演算で判定できる。なぜなら一括署名検査式
は次のように変形できるためである。

【００２１】 (ｙ1×(ｒ1+Ｔ1))×(ｙ2×(ｒ2+Ｔ2))+…+(ｙN×(ｒN+ＴN))+ (ｒ1×(ｓ1+Ｔ1))×(ｒ2×(ｓ2+Ｔ2))+…+(ｒN×(ｓN+ＴN))+ (ｇ×(-ｍ1+Ｔ1-ｍ2+Ｔ2-…-ｍN+ＴN))≡１このような多項の楕円曲線上の積和演算は、前述の多項
のべき積演算を効率的に計算する方法を応用して実行で
きる。これらの方法を用いると、N組の署名データ(ｒj,
ｓj)(j＝1,2…,N)を一括検査するための処理量は、従来
のディジタル署名装置の構成でN組の署名データ(ｒj,ｓ
j)(j＝1,2…,N)の正当性を逐次検査する場合より約1/3
〜1/2にできる。

【００２２】また上記請求項４に示した構成により一括
署名検査式におけるランダム変数のいくつかを固定な数
値とすることで署名検査部の処理量をより削減すること
ができる。

【００２３】

【実施例】図１は本発明の第１の実施例におけるディジ
タル署名装置の構成を示すブロックを示すものである。
図１において、１００は署名生成部であり、１１０は署
名生成部１００にメッセージデータを入力する入力手
段、１２０は署名データを生成する署名生成手段、１３
０は１２０で生成された署名データを出力する出力手段
である。また２００は署名検査部であり、２１０は、そ
れぞれ複数のメッセージデータと署名データと公開鍵デ
ータを入力する入力手段であり、２２０は入力された複
数のディジタル署名の正当性を一括検査する署名検査手
段、２３０は２２０で検査した結果を出力する出力手段
である。

【００２４】以上のように構成されたディジタル署名装
置にける動作は次のとおりである。まず、署名生成部１
００においてあるメッセージデータに対する署名データ
を生成する場合の動作は、従来のディジタル署名装置の
動作と同じである。すなわち、（１）入力手段１１０はメッセージデータを入力すると
その入力メッセージデータを署名生成手段１２０に渡
す。（２）署名生成手段１２０は、入力メッセージデータと
あらかじめ定められている秘密鍵データを用いて、あら
かじめ定まっている署名生成式にしたがってディジタル
署名データを生成し、そのディジタル署名データを出力
手段１３０に渡す。（３）出力手段１３０はディジタル署名データを出力す
る。

【００２５】次に、署名検査部２００において複数のメ
ッセージデータに対する各ディジタル署名データを一括
検査する場合の動作について説明する。（１）入力手段２１０は、複数のメッセージデータと、
各メッセージデータに対して生成された各署名データ
と、各署名データ生成に用いられた各秘密鍵データに１
対１に対応する各公開鍵データを入力すると、各入力デ
ータを署名検査手段２２０に渡す。（２）署名検査手段２２０は、入力手段２１０から渡さ
れた各入力データに対して、あらかじめ定められている
一括署名検査式にしたがって複数の署名データが正当で
あるかどうかを一括して検査判定し、その検査結果を出
力手段２３０に渡す。ここで、一括署名検査式は、各署
名データの生成に用いられた署名生成式に１対１に対応
する署名検査式とランダムに定められたランダム変数を
用いて定められ、このランダム変数に対する恒等式とな
っている。（３）出力手段２３０は検査結果を出力する。

【００２６】以上のようにこの実施例によれば、複数の
署名データを入力する入力手段２１０と、一括署名検査
式にしたがって複数の署名データの正当性を一括して検
査する署名検査手段２２０を設けることにより、複数の
署名を同時に一括して検査できる。

【００２７】なお署名生成式としてElGamalが提案した
署名生成式ｒj≡ｇ^ｋj modｐ (5) ｓj≡(ｍj-ｘj×ｒj)×ｋj^(-1) modｐ (6) を用いることができる。ここでｍjはメッセージデー
タ、(ｒj,ｓj)はｍjに対する署名データ、ｋjは(1,p-1)
の範囲でランダムに選ばれた乱数、ｘjは(1,p-1)の範囲
でランダムに選ばれた秘密鍵データ、ｐは素数、ｇはこ
の素数ｐを法とする剰余体における原始根とする。ここ
で原始根ｇは、ｇ^(p-1)≡１ modｐかつ(0<ｉ<p-1)な
る任意のｉに対してｇ^ｉ≠１ modｐを満たす整数値で
ある。一方、一括署名検査式としては ((ｙ1^ｒ1)×(ｒ1^ｓ1)×(ｇ^(-ｍ1)))^Ｔ1× ((ｙ2^ｒ2)×(ｒ2^ｓ2)×(ｇ^(-ｍ2)))^Ｔ2×… ((ｙN^ｒN)×(ｒN^ｓN)×(ｇ^(-ｍN)))^ＴN≡１ modｐ (7) を用いる。この一括署名検査式は、従来のElGamal法に
おける署名検査式 ((ｙj^ｒj)×(ｒj^ｓj)×(ｇ^(-ｍj)))≡１ modｐ (j＝1,2…,N)(8) と、ランダム変数Ｔj(j＝1,2…,N)とで決定され、ラン
ダム変数Ｔjに対する恒等式となっている。このとき一
括署名検査式で署名の正当性が確認できるのは各署名デ
ータ(ｒj,ｓj)(j＝1,2…,N)が正当な署名であれば、そ
れぞれ(8)式を満たすことより明らかである。そしてこ
の一括署名検査式は(2N+1)項のべき積演算で実行でき
る。なぜなら一括署名検査式は次のように変形できるた
めである。

【００２８】 (ｙ1^(ｒ1×Ｔ1))×(ｙ2^(ｒ2×Ｔ2))×…×(ｙN^(ｒN×ＴN))× (ｒ1^(ｓ1×Ｔ1))×(ｒ2^(ｓ2×Ｔ2))×…×(ｒN^(ｓN×ＴN))× (ｇ^(-ｍ1×Ｔ1-ｍ2×Ｔ2-…-ｍN×ＴN))≡１ modｐそしてこのような多項のべき積演算は前述した参考文献
に示されたような効率的な計算法を用いると、N組の署
名データ(ｒj,ｓj)(j＝1,2…,N)のを一括検査するため
の処理量は、従来のElGamalが提案した署名法における
署名検査式をＮ回くり返す場合に、全体で素数ｐを法と
する剰余体上の乗算演算が平均1.875×[log2 ｐ]×N 回
実行する必要があったのに比較して約1/3〜1/2にでき
る。

【００２９】また、素数ｐは第３者による署名の偽造を
防ぐために500〜1000ビット程度とすることを推奨す
る。

【００３０】また署名生成式として次式ｒj≡ｇ×ｋj (8) ｓj≡(ｍj−ｘj×D(ｒj))×ｋj^(-1) modＬ (9) を用いることができる。ただしここでｍjはメッセージ
データ、(ｒj,ｓj)はmjに対する署名データ、ｋjは(1,
Ｌ-1)の範囲でランダムに選ばれた乱数、ｘjは(1,Ｌ-1)
の範囲でランダムに選ばれた秘密鍵データ、ｇは楕円曲
線上の点、Ｌは点ｇの位数と呼ばれる数値で、ｇ×Ｌ＝
０かつ(0<ｉ<Ｌ)なる任意のｉに対してｇ×ｉ≠０を満
たす整数値である。一方、このとき一括署名検査式とし
ては ((ｙ1×ｒ1)+(ｒ1×ｓ1)+(ｇ×(-ｍ1)))×Ｔ1+ ((ｙ2×ｒ2)+(ｒ2×ｓ2)+(ｇ×(-ｍ2)))×Ｔ2+… ((ｙN×ｒN)+(ｒN×ｓN)+(ｇ×(-ｍN)))×ＴN＝０ (10) を用いる。この一括署名検査式は、各署名データ(ｒj,
ｓj)に対する署名検査式 ((ｙj^ｒj)×(ｒj^ｓj)×(ｇ^(-ｍj)))≡１ modｐ (j＝1,2…,N) (11) と、ランダム変数Ｔj(j＝1,2…,N)とで決定され、Ｔjに
対する恒等式となっている。

【００３１】この一括署名検査式で署名の正当性が確認
できるのは各署名データ(ｒj,ｓj)が正当な署名であれ
ば、それぞれ(8)式を満たすことより明らかである。

【００３２】そしてこの一括署名検査式はN組の署名デ
ータ(ｒj,ｓj)(j＝1,2…,N)の正当性を(2N+1)項の積和
演算で実行できる。なぜなら一括署名検査式は次のよう
に変形できるためである。

【００３３】 (ｙ1×(ｒ1+Ｔ1))×(ｙ2×(ｒ2+Ｔ2))+…+(ｙN×(ｒN+ＴN))+ (ｒ1×(ｓ1+Ｔ1))×(ｒ2×(ｓ2+Ｔ2))+…+(ｒN×(ｓN+ＴN))+ (ｇ×(-ｍ1+Ｔ1-ｍ2+Ｔ2-…-ｍN+ＴN))≡１このような多項の楕円曲線上の積和演算は、前述の多項
のべき積演算を効率的に計算する方法を応用して実行で
きる。これらの方法を用いると、N組の署名データ(ｒj,
ｓj)(j＝1,2…,N)を一括検査するための処理量は、従来
の方法で各署名データを個々に検査するための署名検査
式(11)をＮ回くり返す場合に楕円曲線上の積和演算が平
均1.875×[log2 Ｌ]×N 回実行する必要があったのに比
較して、約1/3〜1/2にできる。

【００３４】また、位数Ｌは、第３者による署名の偽造
を防ぐために100〜200ビット程度とすることを推奨す
る。

【００３５】なお上記それぞれの構成において一括署名
検査式におけるランダム変数Ｔjのうちのいくつかを固
定値にするように構成することができる。この場合署名
検査時の処理量が削減できる。

【００３６】

【発明の効果】以上説明したように本発明によれば以下
に記載されるような効果を奏する。

【００３７】請求項１のディジタル署名装置において
は、従来のディジタル署名装置に、複数のディジタル署
名を入力する入力手段２１０と、一括署名検査式にした
がって複数のディジタル署名の正当性を一括して検査す
る署名検査手段２２０を設けることにより、複数のディ
ジタル署名を一括して検査でき、従来より高速に署名検
査できる。

【００３８】また請求項２のディジタル署名装置におい
ては、一括署名検査式が(2N+1)項のべき乗積演算で実行
できる。このべき積演算には、前述の原田、館林提案の
「効率的なｎ変数べき乗剰余演算法の提案とその一応
用」電子情報通信学会技術報告ISEC91-40、などのべき
乗積演算法が利用でき、従来のディジタル署名装置を用
いる場合より処理量1/3〜1/2に削減できる。

【００３９】また請求項３のディジタル署名装置におい
ては、特に署名検査式が(2N+1)項の積和演算で実行でき
る。この積和演算にも、上述のべき乗積演算法を応用で
き、各署名毎に３項の積和演算をＮ回くり返す場合より
処理量1/3〜1/2に削減できる。

【００４０】また請求項４のディジタル署名装置におい
ては、署名検査式における複数のランダム変数のいくつ
かを固定値とすることで署名検査時の処理量をよりいっ
そう削減できる。

【図面の簡単な説明】

【図１】本発明の一実施例におけるディジタル署名装置
のブロック図

【図２】従来のディジタル署名装置のブロック図

【符号の説明】

１００署名生成部１１０入力手段１２０署名生成手段１３０出力手段２００署名検査部２１０入力手段２２０一括署名検査手段２３０出力手段

Claims

【特許請求の範囲】

【請求項１】メッセージデータを入力するとそのメッセ
ージデータに対する署名データを生成出力する署名生成
部と、複数のメッセージデータとこの複数のメッセージ
データの各メッセージデータに対する各署名データを入
力すると各署名データの正当性を一括して検査しその結
果を出力する署名検査部を備えたディジタル署名装置で
あって、前記署名生成部に、メッセージデータを入力する入力手
段と、前記入力メッセージデータとあらかじめ定められ
ている秘密鍵データとを用いて、あらかじめ定められて
いる署名生成式にしたがって、前記入力メッセージデー
タに対する署名データを生成する署名生成手段と、生成
された前記署名データを出力する出力手段を設け、前記署名検査部に、複数のメッセージデータと、この複
数のメッセージデータの各メッセージデータに対する各
署名データと、各署名データの生成に用いられた各秘密
鍵データに１対１に対応する各公開鍵データとを入力す
る入力手段と、前記各入力メッセージデータと、前記各
入力署名データと、前記各入力公開鍵データを用いて、
前記各入力署名データの生成に用いられた各署名生成式
に１対１に対応する各署名検査式と複数のランダム変数
とで決定され、前記各ランダム変数に対する恒等式であ
るように決定された一括署名検査式にしたがって、前記
各入力署名データの正当性を一括して検査する署名検査
手段と、その検査結果を出力する出力手段を設けること
を特徴とするディジタル署名装置。
【請求項２】前記署名生成部に、メッセージデータｍj
を入力する入力手段と、前記入力メッセージデータｍj
とあらかじめ定められている秘密鍵データｘjとを用い
て、あらかじめ定められている大きな素数ｐと、この素
数ｐを法とする剰余体における原始根ｇと、乱数ｋjと
で決定される次の署名生成式ｒj≡ｇ^ｋj modｐｓj≡(ｍj-ｘj×ｒj)×ｋj^(-1) mod(ｐ-1) にしたがって、前記入力メッセージデータｍjに対する
署名データ(ｒj,ｓj)を生成する署名生成手段と、生成
された前記署名データ(ｒj,ｓj)を出力する出力手段を
設け、前記署名検査部に、N個のメッセージデータｍj(j＝1,2
…,N)と、この各メッセージデータｍj(j＝1,2…,N)に対
するN組の署名データ(ｒj,ｓj)(j＝1,2…,N)と、前記各
署名データ(ｒj,ｓj)(j＝1,2…,N)の生成に用いられたN
個の秘密鍵データｘj(j＝1,2…,N)に１対１に対応するN
個の公開鍵データｙj(j＝1,2…,N)とを入力する入力手
段と、前記各入力メッセージデータｍj(j＝1,2…,N)
と、前記各入力署名データ(ｒj,ｓj)(j＝1,2…,N)と、
前記各入力公開鍵データｙj(j＝1,2…,N)を用いて、前
記各入力署名データの生成に用いられた前記各署名生成
式に１対１に対応する次のN個の署名検査式 ((ｙj^ｒj)×(ｒj^ｓj)×(ｇ^(-ｍj)))≡１ modｐ (j＝1,2…,N) とN個のランダム変数Ｔj(j＝1,2…,N)とで決定され前記
N個のランダム変数Ｔj(j＝1,2…,N)に対する恒等式であ
るように決定された次の一括署名検査式 ((ｙ1^ｒ1)×(ｒ1^ｓ1)×(ｇ^(-ｍ1)))^Ｔ1× ((ｙ2^ｒ2)×(ｒ2^ｓ2)×(ｇ^(-ｍ2)))^Ｔ2×… ((ｙN^ｒN)×(ｒN^ｓN)×(ｇ^(-ｍN)))^ＴN×≡１ mod
ｐが成り立つかどうかにしたがって、N組の前記入力署名
データ(ｒj,ｓj)(j＝1,2…,N)の正当性を一括して検査
する署名検査手段と、この検査結果を出力する出力手段
を設けることを特徴とする請求項１記載のディジタル署
名装置。
【請求項３】前記署名生成部に、メッセージデータｍj
を入力する入力手段と、前記入力メッセージデータｍj
とあらかじめ定められている秘密鍵データｘjとを用い
て、あらかじめ定められているある楕円曲線上の点ｇ
と、点ｇに依存して定まる位数と呼ばれる数値Ｌと、乱
数ｋjと、楕円曲線上の点ｘを入力すると整数値D(ｘ)を
出力する関数D(ｘ)とで決定される次の署名生成式ｒj＝ｇ×ｋj ｓj≡(ｍj-ｘj×D(ｒj))×ｋj＾(-1) modＬにしたがって、前記入力メッセージデータｍjに対する
署名データ(ｒj,ｓj)を生成する署名生成手段と、生成
された前記署名データ(ｒj,ｓj)を出力する出力手段を
設け、前記署名検査部に、N個のメッセージデータｍj(j＝1,2
…,N)と、この各メッセージデータｍj(j＝1,2…,N)に対
するN組の署名データ(ｒj,ｓj)(j＝1,2…,N)と、各署名
データ(ｒj,ｓj)(j＝1,2…,N)の生成に用いられたN個の
秘密鍵データｘj(j＝1,2…,N)に１対１に対応するN個の
公開鍵データｙj(j＝1,2…,N)とを入力する手段と、前
記各入力メッセージデータｍj(j＝1,2…,N)と、前記各
入力署名データ(ｒj,ｓj)(j＝1,2…,N)と、前記各入力
公開鍵データｙj(j＝1,2…,N)を用いて、前記各入力署
名データの生成に用いられた前記各署名生成式に１対１
に対応する次のN個の署名検査式 ((ｙj^×ｒj)+(ｒj×ｓj)+(ｇ×(-ｍj)))＝０ (j＝1,2…,N) とN個のランダム変数Ｔj(j＝1,2…,N)とで決定され前記
N個のランダム変数Ｔj(j＝1,2…,N)に対する恒等式であ
るように決定された次の一括署名検査式 ((ｙ1×ｒ1)+(ｒ1×ｓ1)+(ｇ×(-ｍ1)))×Ｔ1+ ((ｙ2×ｒ2)+(ｒ2×ｓ2)+(ｇ×(-ｍ2)))×Ｔ2+… ((ｙN×ｒN)+(ｒN×ｓN)+(ｇ×(-ｍN)))×ＴN＝０が成り立つかどうかにしたがって、前記N組の入力署名
データ(ｒj,ｓj)(j＝1,2…,N)の正当性を一括して検査
する署名検査手段と、その検査結果を出力する出力手段
を設けることを特徴とする請求項１記載のディジタル署
名装置。
【請求項４】署名検査部において利用する複数のランダ
ム変数のいくつかを固定の数値とすることを特徴とする
請求項１記載のディジタル署名装置。