JPH0695590A - 電子署名システム及び電子署名方法 - Google Patents

Abstract

(57)【要約】 【目的】 離散対数問題の困難性に安全性の根拠をおく
ElGamal 方式と同等の安全性を有し、多重署名を構成で
きる電子署名システム及び電子署名方法を提供すること
を目的とする。 【構成】 ElGamal 署名法の検査式における平文データ
Ｍと署名データｓ，ｒの一を入れ換える。 【効果】 複数の署名者の間でデータを２巡させる構成
と１巡させる構成の多重署名方法がそれぞれ構成でき
る。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、電子的な文書に対する
署名、捺印機能を実現する電子署名システム及び電子署
名方法に関する。

【０００２】

【従来の技術】電子署名（ディジタル署名）の作成法と
して様々な方法が考案されている。この中で代表的なも
のはＲＳＡ（Rivest-Shamir-Adleman ）方式とElGamal
方式である。

【０００３】ＲＳＡ方式は素数ｐ，ｑの積からなる合成
数ｎを法とする代数系で構成される方式であり、署名作
成者の秘密情報はこれらの素数ｐ，ｑと（２）式を満た
す整数ｄであり、署名作成者の公開情報はｎと（２）式
のｅである。

【０００４】ｅ・ｄ＝ｌ mod Ｌ 但し、Ｌ＝lcm(p-
1,q-1)…（２） 文書Ｍに対する電子署名（ディジタル署名）Ｓは次式で
作成される。

【０００５】 Ｓ＝Ｍ^d mod ｎ …（３） 署名検査は、Ｓ，Ｍが次式の関係を満たすことを確認す
ることで行なわれる。 Ｍ＝Ｓ^e mod ｎ …（４） ｎの素因数ｐ，ｑが計算できれば（２）式を満たすｄを
求めることは容易である。逆にｎの素因数分解を求めず
にｄを求める方法は現在発見されていない。このような
状況からＲＳＡ方式の安全性は素因数分解に基づいてい
ると考えられている。素因数分解を困難にするために
は、ｎのサイズは５１２bit 以上が必要であると考えら
れている。ｎのサイズを仮に５１２bit とすると、署名
Ｓのサイズも５１２bit となる。

【０００６】一方、ElGamal 方式は、素数ｐを法とする
代数系で構成され、署名作成者の秘密情報はｐ−１以下
の整数であり、署名作成者の公開情報は素数ｐ，ＧＦ
（ｐ）の原始元ｇ、次式のｙである。

【０００７】 ｙ＝ｇ^x mod ｐ …（５） 文書Ｍに対するディジタル署名は以下の手順により作成
される。まず、１からｐ−１までの間から（ｐ−１）と
互いに素である乱数ｋを決定し、このｋから次式のｒを
求める。

【０００８】 ｒ＝ｇ^k mod ｐ …（６） 次に、次式のｓを求める。

【０００９】 ｓ＝ｋ^-1・（Ｍ−ｘ・ｒ） mod (ｐ−１）…（７） 但し、ｋ^-1は法（ｐ−１）でのｋの逆元であり、ユーク
リッドの互除法により計算できる。署名データは（ｒ，
ｓ）のペアである。署名の検査は、Ｍ，ｒ，ｓが次式を
満たすことを検査することによって行なわれる。

【００１０】 ｇ^M ＝ｙ^r ・ｒ^s mod ｐ …（８） ElGamal 方式においては、（５）式の公開情報ｙからｘ
を求めること（離散対数問題）ができれば署名データの
作成は容易に行えるが、それ以外に（８）式を満たす
（ｒ，ｓ）のペアを求める方法は発見されていない。こ
のような状況からElGamal 方式の安全性は離散対数問題
に基づいていると考えられている。ElGamal 方式におい
て離散対数問題を困難にするために必要なｐのサイズは
５１２bit以上であると考えられている。仮にｐのサイ
ズを５１２bit とすると、署名データ（ｒ，ｓ）のサイ
ズは１０２４bit である。このようにElGamal 方式の署
名サイズはＲＳＡ方式の２倍であるが、ElGamal 方式の
署名サイズを少なく抑える方式に米国ＮＩＳＴの提案し
ているＤＳＡ（Digital Signature Algorithm ）があ
る。ＤＳＡによる署名サイズは３２０bit である。

【００１１】ElGamal 方式は、“T.ElGamal ，“A publ
ic key cryptosystem and a signature scheme based o
n discrete logarithms ”，IEEE Trans . IT，Vol.IT
−３１，NO．４，July １９８５，ｐｐ．４６９−４７
２”に詳しい。

【００１２】以上の電子署名方法により一般の電子文書
に対する捺印機能を実現することができるが、さらに、
電子的な回覧文書に対する複数の署名者による捺印機能
も要望される。このような機能は複数の署名者による同
一の文書に対する署名データを連結することで構成でき
る。しかし、このような構成では署名者数に比例して署
名データが増加する欠点がある。署名データ量が署名者
数に依存しない方法、あるいは、単純に連結する場合に
比べて署名データの増加が少なく抑えられる方法が考案
されており、これらは多重署名法と呼ばれている。

【００１３】従来ＲＳＡ方式に対する多重署名法は幾つ
か考案されているが、ElGamal 方式に対する多重署名方
法は提案されていない。ＲＳＡ方式に対する多重署名法
の一方式としては、例えば“T.Okamoto ，“A Digital
Multisignature scheme using bijective public-key c
ryptosystems”，ACM Trans ．Computer Systems，Vol.
６，NO．８，Nov.１９８８，pp．４３２−４４１”に提
案されている方法が挙げられる。

【００１４】

【発明が解決しようとする課題】以上述べてきたよう
に、従来においては、離散対数問題の困難性に基づくデ
ィジタル署名方法の代表であるElGamal 署名方式に基づ
く多重署名方法は示されていない。

【００１５】この発明はこのような従来の課題を解決す
るためになされたもので、その目的とするところは、El
Gamal 署名方式を変形し多重署名を容易に構成できる電
子署名システム及び電子署名方法を提供することにあ
る。

【００１６】

【課題を解決するための手段】上記目的を達成するた
め、本願第１の発明は、署名作成者により文書Ｍに対し
て作成された乱数ｋ、及び署名作成者が保持する秘密整
数ｘを基に、乱数ｋに依存する整数ｒ、乱数ｋと整数ｘ
とに依存する整数ｓとを生成する手段と、公開された整
数ｇと、公開された素数ｐを法として整数ｇを整数ｘで
べき乗したけっかとしての公開整数ｙと、前記Ｍ，ｒ，
ｓとを基に次の関係式を与える手段と、 ｇ^a ＝ｙ^b ・ｒ^c mod ｐ …（１） （ただし、ａ≠Ｍであり、ａ，ｂ，ｃはＭ，ｒ，ｓの組
からそれぞれ割り当てたもの） 前記（１）式を満足するか否かによって電子署名が正し
いか否かを判定する手段と、を有することが特徴であ
る。

【００１７】また、本願第２の発明では、電子文書Ｍに
対する電子署名データを作成する方法であって、素数ｐ
を法とする有限体の演算により構成され、前記素数ｐお
よび整数ｇが公開され、署名作成者は秘密整数ｘを保持
し、署名作成者の公開整数ｙが前記素数ｐを法として前
記ｇを前記ｘでべき乗した結果として作成されており、
署名作成者は文書Ｍに対する電子署名データとして、整
数ｒおよび整数ｓを生成し、前記整数ｒは本署名作成処
理ごとに署名作成者により生成される乱数ｋに依存し、
前記整数ｓは前記乱数ｋと前記秘密整数ｘに依存し、署
名検査は、前記Ｍ，ｒ，ｓが署名方式に固有の関係式； ｇ^a ＝ｙ^b ・ｒ^c mod ｐ …（１） （但し、ａ≠Ｍであり、ａ，ｂ，ｃはＭ，ｒ，ｓの組か
らそれぞれ一つづつを割り当てられたもの）を満たすか
否かによって実現されることを特徴とする。

【００１８】更に、本願第３の発明では、ｎ者から構成
される複数の署名者が署名を作成する方式であって、第
ｉの署名者（ｉ＝１，２，３，…，ｎ）には、請求項１
に記載の秘密整数ｘ_i と公開整数ｙ_i が割り当てられて
おり、署名作成時にはｎ者から成る署名作成者の間をデ
ータを巡回させて、文書Ｍに対する複数者による電子署
名データとして、整数ｒと整数ｓを作成し、前記整数ｒ
は本署名作成処理ごとに署名作成者のそれぞれが生成す
る個々の乱数ｋ_i に依存し、前記整数ｓは前記複数の乱
数ｋ_i と署名作成者個々の秘密整数ｘ_i に依存し、署名
検査における検査式は、本願第１の発明に記載の検査式
（１）における公開整数ｙがｎ者の公開整数ｙ_i （ｉ＝
１，２，３，…，ｎ）の積に置き換えられたものであっ
て、前記ｒと前記ｓが前記検査式を満たすか否かによっ
て、電子署名の正当性を確認することを特徴とする。

【００１９】

【作用】上述の如く構成された本願第１、第２の発明は
ElGamal 方式を変形した電子署名システム、及び方法で
ある。ElGamal 方式との相違点は、署名検査式における
文書データＭと署名データｒ，ｓの指数部の位置を入れ
替えたことにある。このように変形しても公開情報ｙに
対応する秘密情報ｘを保持する署名者は検査式を満たす
署名データｒ，ｓを作成できる。一方、秘密情報ｘを保
持しない場合に署名データｒ，ｓを求めることは、ElGa
mal 方式と同様に離散対数問題を求める以外の方法は考
案されていない。従って、電子署名方法として有効であ
る。

【００２０】本願第３の発明は、本願第２の発明の電子
署名方法を多重署名方式として適用する。複数の署名者
がそれぞれ乱数ｋを作成し、各々の乱数ｋに依存したｒ
を最初にデータを一巡させることで作成する。その後、
各々の署名者が自身の作成した乱数ｋと秘密情報ｘから
部分署名ｓを作成し、これを巡回する。ｓの巡回におい
ては、それ以前の署名者による部分署名を融合させる。
こうして最後の署名者の処理により多重署名データｒ，
ｓが作成される。なお、ｒ，ｓの作成を一巡の処理によ
り実現することもできる。

【００２１】署名検査における検査式は本願第１の発明
における検査式の公開情報ｙを複数の署名作成者の個々
の公開情報ｙ_i の積に置き換えたものであり、個々の公
開情報ｙ_i に対応する秘密情報ｘ_i を保持する複数の署
名者により作成されたｒ，ｓは検査式を満たす。しか
し、秘密情報ｘ_i が一つでも関与しない場合には、検査
式を満たすｒ，ｓは得られない。従って、複数の署名者
による電子署名方法として有効である。

【００２２】

【実施例】以下、図面を参照しながら本発明の実施例を
説明する。まず、図８のシステム構成図を参照して、シ
ステムの基本構成を説明する。図８に示すように、本シ
ステムはセンタと利用者に対応する複数の局から成る通
信ネットワークにより構成される。センタは５１２bit
以上の大きさの素数ｐを生成し、公開する。また、有限
体ＧＦ（ｐ）の原始元ｇを求め、公開する。ただし一般
には、ｇは原始元でなくとも位数の大きな元であればよ
い。各局Ｕ_i は１からｐ−１までの範囲の乱数ｘ_i を定
め、ｘ_i を局秘密情報とする。さらに、局公開情報ｙ_i
を次式により定める。

【００２３】ｙ_i ＝ｇ^xi mod p 局Ｕ_i はｙ_i をセンタに送り、センタは公開リストの局
Ｕ_i のエリアにｙ_i を登録する。公開リストの書き換え
はセンタのみが実行でき、同リストの読み出しは任意の
局が実行できる。なお、局Ｕ_i のＩＤ情報（識別情報）
をＩ_i とする。まず、図１（ａ）を参照しながら、局Ｕ
_i が電子文書（データ）Ｍに対するディジタル署名を生
成する手順を説明する。

【００２４】＜局Ｕ_i の手順＞ １：以下の条件を満たす乱数ｋを定める。…（ステップ
１０１） ｇｃｄ（ｋ，ｐ−１）＝１かつ１＜ｋ＜ｐ−１ ２：ｒ＝ｇ^k mod p を計算する。…（ステップ１０
２） ３：Ｍ，ｒ，ｋと秘密情報ｘ_i からｓ＝ｘ_i ・ｒ＋ｋ・
Ｍ mod ( ｐ−１）を計算する。…（ステップ１０３） 以上により作成されたｒとｓが局Ｕ_i のＭに対するディ
ジタル署名となる。

【００２５】この署名作成手続きにおいてステップ１０
１と１０２は、平文Ｍに依存しないためディジタル署名
作成の要求が生じる前に計算し、（ｋ，ｒ）のペアとし
て幾つか蓄積しておくことができる。このようにする
と、署名作成要求時の処理はステップ１０３のみとな
り、処理時間面で有効である。

【００２６】次に図１（ｂ）を参照しながら、本ディジ
タル署名の検査手順を説明する。

【００２７】＜署名検査手順＞ １：公開リストから局Ｕ_i の公開情報ｙ_i を取り出す。
…（ステップ１０４） ２：ｒ，ｓ，Ｍ，ｙ_i が以下の２つの関係を満たすこと
を確認する。…（ステップ１０５） ｇ^s ＝ｙ_i ^r ・ｒ^M mod ｐ ｒ≠ｐ−１ この関係が成立する場合には、（ｒ，ｓ）は局Ｕ_i のＭ
に対するディジタル署名であるものと判定する。なお、
第２の関係式ｒ≠ｐ−１の検査が必要な理由は以下の通
りである。

【００２８】ｒ＝ｐ−１とし、Ｍが偶数の場合にはｓ＝
０（mod ｐ−１）とし、Ｍが奇数の場合にはｓ＝（ｐ−
１）／２（mod ｐ−１）とすると、（ｒ，ｓ）はステッ
プ１０５の第１の関係式を満たす。このことは、ｙ_i に
対応する秘密情報ｘ_i を知り得ない第三者が任意の平文
Ｍに対応する署名を作成できることを意味する。従っ
て、ｒ≠ｐ−１の検査が必須となる。

【００２９】ステップ１０１から１０３の手順により生
成された（ｒ，ｓ）がステップ１０５の検査式を満足す
ることは明らかである。逆に平文Ｍが与えられた状態
で、ｙ_i の離散対数ｘ_i を持たない局がステップ１０５
の検査式を満たす（ｒ，ｓ）の組を求めることは離散対
数問題を求めることを同等に困難であると考えられる。
例えば、最初にｒを定めるとｇ^s ＝const mod p なるｓ
を求めることになり、これは離散対数問題に他ならな
い。一方、ｓを先に決定するとｙ_i ^r ・ｒ^M ＝const mo
d p なるｒを求めることになり、この解法もｒ＝ｐ−１
の場合以外は知られていない。なお、平文Ｍが特定され
ない場合には、ｘ_i を持たない場合にも検査式を満たす
（ｒ，ｓ）を生成できることには注意を要する。例え
ば、次のようにする。ｒ＝ｙ_i ^a ・ｇ^b mod p として
検査式に代入すると、 ａＭ＋ｒ＝０ mod （ｐ−１） ｂＭ＝ｓ mod （ｐ−１） なる式が得られる。そこで、まず（ａ，ｂ）を任意に定
めてｒを決定し、次にＭを第１の関係式から定め、最後
にｓを第２の関係式から定めると検査式を満たす（ｒ，
ｓ）を生成できることが分かる。但し、このような性質
はElGamal 方式やＲＳＡ方式にも存在する。そこでＭに
対してそのまま署名する代わりに一方向性の圧縮関数
（ハッシュ関数）による変換結果ｈ（Ｍ）に対して署名
することが考えられる。このようにすると、一方向性関
数を攻撃できない限り、先に示した手順では（ｒ，ｓ）
のペアを生成できなくなる。

【００３０】また、関数ｆ（定義域：Ｚ_p-1 ＝｛０，
１，２，……，ｐ−２｝，値域：１２８bit 程度の整
数）を用いて次のように署名手順を変更してもよい。

【００３１】＜局Ｕ_i の手順＞ １，２：変更なし。

【００３２】３：ｓ＝ｘ_i ・ｆ（ｒ）＋ｋ・Ｍ mod
（ｐ−１）を計算する。

【００３３】＜署名検査手順＞ １：変更なし。

【００３４】２：ｒ，ｓ，Ｍ，ｙ_i が次式の関係を満た
すことを確認する。

【００３５】ｇ^s ＝ｙ_i ^f(r)・ｒ^M mod ｐ 次に、図１に示したディジタル署名を多重署名に適用す
る手順を説明する。図２は多重署名における情報の流れ
を表し、図３は各局の処理手段を表す。

【００３６】ここでは、局Ｕ₁ ，Ｕ₂ ，…，Ｕ_n のｎ局
が平文Ｍに多重署名する場合を想定する。多重署名の作
成は図２に示すように（ａ）のｒ_n の作成ラウンドと
（ｂ）のｓ_n の作成ラウンドの２回の巡回操作から成
る。図３（ａ）はｒ_n の作成ラウンドにおける局Ｕ_i の
処理手段、図３（ｂ）はｓ_n の作成ラウンドにおける局
Ｕ_i の処理手段をそれぞれ示す。

【００３７】ｒ_n の作成ラウンド ＜局Ｕ_i の手順＞ １：次の条件を満たす乱数ｋ_i を作成する。…（ステッ
プ３０１） gcd （ｋ_i ，ｐ−１）＝かつ１＜ｋ_i ＜ｐ−１ ２：局Ｕ_i-1 から受信した情報ｒ_i-1 と乱数ｋ_i から次
式のｒ_i を作成する。 ｒi ＝ｒ_i-1 ・ｇ^ki mod ｐ…（ステップ３０２） ３：情報ｒ_i ，平文Ｍを局Ｕ_i+1 に送信する。…（ステ
ップ３０３） 以上の処理を局Ｕ₁ から順番に局Ｕ_n まで実行し、ｒ_n
を作成する。但し、局Ｕ_n の処理においてｒ_n ＝ｐ−１
が得られた場合、局Ｕ_n は別の乱数ｋ_n を選び、ｒ_n ≠
ｐ−１となるようにする。なお、局Ｕ₁ は、ｒ₀ ＝１と
してステップ３０２の処理を行う。また、局Ｕ_n は作成
した情報ｒ_n を局Ｕ₁ に送信し、ｓ_n の作成ラウンドに
移る。

【００３８】ｓ_n の作成ラウンド ＜局Ｕ_i の手順＞ １：局Ｕ₁ ，Ｕ₂ ，…，Ｕ_i-1 の公開情報ｙ₁ ，ｙ₂ ，
…，ｙ_i-1 を公開リストから取り出す。…（ステップ３
０４） ２：局Ｕ_i-1 からｒ_n の作成ラウンドで受信したｒ_i-1
と、このラウンドで局Ｕ_i-1 から受信したｒ_n ，ｓ_i-1
が次の関係を満たしていることを確認する。…（ステッ
プ３０５）

【数１】 ｇ^si-1＝（ｙ₁ ・ｙ₂ ・…・ｙ_i-1 ）^rn・ｒ_i-1 ^M mod ｐ ｒ_n ≠ｐ−１ ３：ステップ３０５の関係を満足していない場合には、
局Ｕ_i-1 の処理に異状があったものとして処理を打ち切
る。…（ステップ３０６） ４：先のラウンドで作成した乱数ｋ_i と自局の秘密情報
ｘ_i を用いて次式のｓi を計算する。…（ステップ３０
７） ｓ_i ＝ｓ_i-1 ＋ｘ_i ・ｒ_n ＋ｋ_i ・Ｍ mod （ｐ−１） ５：ｓ_i ，ｒ_n を局Ｕ_i+1 に送る。…（ステップ３０
８） 以上の処理を局Ｕ₁ から順番に局Ｕ_n まで実行し、ｓ_n
を作成する。なお、局Ｕ₁ は、ｓ₀ ＝０としてステップ
３０７の処理を行う。

【００３９】以上により作成された（ｒ_n ，ｓ_n ）が局
Ｕ₁ からＵ_n による平文Ｍに対する多重署名である。局
Ｕ_n は作成した情報ｓ_n を必要に応じて全ての局Ｕ₁ ，
Ｕ₂，…，Ｕ_n-1 に送る。

【００４０】なお、上記手順のうちステップ３０４，３
０５，３０６は部分署名ｓ_i-1 の検査を実行する部分で
あり、省略することも可能である。この部分署名の検査
を省略した場合、多重署名（ｒ_n ，ｓ_n ）が作成された
後になってはじめて検査を実行することになる。署名作
成者の不正をできるだけ早期に検出するためにはステッ
プ３０４，３０５，３０６の部分署名の検査が有効であ
る。

【００４１】図４は図３の手順により作成された多重署
名の検査手順を示す。

【００４２】検査時には以下の処理を行う。署名検査に
はｒ_n ，ｓ_n ，Ｍ及び署名作成局のＩＤ情報Ｉ₁ ，
Ｉ₂ ，…、Ｉ_n が必要である。

【００４３】１：局Ｕ₁ ，Ｕ₂ ，…，Ｕ_n の公開情報ｙ
₁ ，ｙ₂ ，…，ｙ_n を公開リストから取り出す。…（ス
テップ４０１） ２：ｒ_n ，ｓ_n ，Ｍが次の関係を満たすことを確認す
る。…（ステップ４０２） ｇ^sn＝（ｙ₁ ・ｙ₂ ・…・ｙ_n ）^rn・ｒ_n ^M mod ｐ ｒ_n ≠ｐ−１ この関係が成立する場合には、（ｒ_n ，ｓ_n ）は正当な
多重署名であるものと判定する。

【００４４】次に、ElGamal 方式を変形したディジタル
署名方法の他の例を説明する。図５（ａ）は、局Ｕ_i が
電子文書（データ）Ｍに対するディジタル署名を作成す
る手順であり、図５（ｂ）はこのディジタル署名の検査
手順である。

【００４５】＜局Ｕ_i の手順＞ １：以下の条件を満たす乱数ｋを定める。…（ステップ
５０１） ｇｃｄ（ｋ，ｐ−１）＝１かつ１＜ｋ＜ｐ−１ ２：ｒ＝ｇ^k mod p を計算する。…（ステップ５０
２） ３：Ｍ，ｒと秘密情報ｘ_i からｓ＝ｘ_i ・Ｍ＋ｋ・ｒ
mod （ｐ−１）を計算する。…（ステップ５０３） 以上により作成されたｒとｓが局Ｕ_i のＭに対するディ
ジタル署名となる。この署名作成手続きでもステップ５
０１と５０２は、平文Ｍに依存しないためディジタル署
名作成の要求が生じる前に計算し、（ｋ，ｒ）のペアを
幾つか蓄積しておくことができる。

【００４６】＜署名検査手順＞ １：公開リストから局Ｕ_i の公開情報ｙ_i を取り出す。
…（ステップ５０４） ２：ｒ，ｓ，Ｍ，ｙ_i が次式の関係を満たすことを確認
する。…（ステップ５０５） ｇ^s ＝ｙ_i ^M ・ｒ^r mod ｐ この関係が成立する場合には、（ｒ，ｓ）は局Ｕ_i のＭ
に対するディジタル署名であるものと判定する。

【００４７】図５の手順に対しても平文Ｍをそのまま利
用する代わりに一方向性の圧縮関数（ハッシュ関数）に
よる変換結果ｈ（Ｍ）に対して署名してもよい。

【００４８】また、関数ｆ（定義域：Ｚ_p-1 ，値域：１
２８bit 程度の整数）を用いて次のように変更してもよ
い。

【００４９】＜局Ｕ_i の手順＞ １，２：変更なし。

【００５０】３：ｓ＝ｘ_i ・Ｍ＋ｋ・ｆ（ｒ） mod
（ｐ−１）を計算する。

【００５１】＜署名検査手順＞ １：変更なし。

【００５２】２：ｒ，ｓ，Ｍ，ｙ_i が次式の関係を満た
すことを確認する。

【００５３】ｇ^s ＝ｙ_i ^M ・ｒ^f(r) mod ｐ 次に、図５に示したディジタル署名を多重署名に適用す
る手順を２つ説明する。第１の手順では、情報の流れは
図２と同じであり、複数の署名作成局間で情報を２巡さ
せることにより多重署名データを生成する。局Ｕ₁ ，Ｕ
₂ ，…，Ｕ_n のｎ局が多重署名データを作成するものと
する。図６は局Ｕ_i の手順を示す。

【００５４】ｒ_n の作成ラウンド ＜局Ｕ_i の手順＞ １：次の条件を満たす乱数ｋ_i を作成する。…（ステッ
プ６０１） gcd （ｋ_i ，ｐ−１）＝１かつ１＜ｋ_i ＜ｐ−１ ２：局Ｕ_i-1 から受信した情報ｒ_i-1 と乱数ｋ_i から次
式のｒ_i を作成する。 ｒ_i ＝ｒ_i-1 ・ｇ^ki mod ｐ…（ステップ６０２） ３：情報ｒ_i ，平文Ｍを局Ｕ_i+1 に送信する。…（ステ
ップ６０３） 以上の処理を局Ｕ₁ から順番に局Ｕ_n まで実行し、ｒ_n
を作成する。なお、局Ｕ₁ は、ｒ₀ ＝１としてステップ
６０２の処理を行う。また、局Ｕ_n は作成した情報ｒ_n
を局Ｕ₁ に送信し、ｓ_n の作成ラウンドに移る。

【００５５】ｓ_n の作成ラウンド ＜局Ｕ_i の手順＞ １：局Ｕ₁ ，Ｕ₂ ，…，Ｕ_i-1 の公開情報ｙ₁ ，ｙ₂ ，
…，ｙ_i-1 を公開リストから取り出す。…（ステップ６
０４） ２：局Ｕ_i-1 からｒ_n の作成ラウンドで受信したｒ_i-1
と、このラウンドで受信したｒ_n ，ｓ_i-1 が次の関係を
満たしていることを確認する。…（ステップ６０５）

【数２】 ｇ^si-1＝（ｙ₁ ・ｙ₂ ・…・ｙ_i-1 ）^M ・ｒ_i-1 ^rn mod ｐ ３：ステップ６０５の関係を満足していない場合には、
局Ｕ_i-1 の処理に異状があったものとして処理を打ち切
る。…（ステップ６０６） ４：先のラウンドで作成した乱数ｋ_i と自局の秘密情報
ｘi を用いて次式のｓ_i を計算する。…（ステップ６０
７）

【数３】 ｓ_i ＝ｓ_i-1 ＋ｘ_i ・Ｍ＋ｋ_i ・ｒ_n mod （ｐ−１） ５：ｓ_i ，ｒ_n を局Ｕ_i+1 に送る。…（ステップ６０
８） 以上の処理を局Ｕ₁ から順番に局Ｕ_n まで実行し、ｓ_n
を作成する。なお、局Ｕ₁ は、ｓ₀ ＝０としてステップ
６０７の処理を行う。

【００５６】以上により作成された（ｒ_n ，ｓ_n ）が局
Ｕ₁ からＵ_n による平文Ｍに対する多重署名である。

【００５７】図６の手順により作成された多重署名の検
査手順を図７を参照しながら説明する。

【００５８】１：局Ｕ₁ ，Ｕ₂ ，…，Ｕ_n の公開情報ｙ
₁ ，ｙ₂ ，…，ｙ_n を公開リストから取り出す。…（ス
テップ７０１） ２：ｒ_n ，ｓ_n ，Ｍが次の関係を満たすことを確認す
る。…（ステップ７０２） ｇ^sn＝（ｙ₁ ・ｙ₂ ・…
・ｙ_n ）^M ・ｒ_n ^rn mod ｐ この関係が成立する場合には、（ｒ_n ，ｓ_n ）は正当な
多重署名であるものと判定する。

【００５９】次に、図５に示したディジタル署名を多重
署名に適用する第２の手順を説明する。第２の手順にお
ける情報の流れを図１１に示す。複数の署名作成局間で
情報を１巡させるだけで多重署名データを生成する。局
Ｕ₁ ，Ｕ₂ ，…，Ｕ_n のｎ局が多重署名データを作成す
るものとする。図１２は局Ｕ_i の手順を示す。

【００６０】＜局Ｕ_i の手順＞ １：局Ｕ₁ ，Ｕ₂ ，…，Ｕ_i-1 の公開情報ｙ₁ ，ｙ₂ ，
…，ｙ_i-1 を公開リストから取り出す。…（ステップ１
２０１） ２：局Ｕ_i-1 から受信したｒ₁ ，ｒ₂ ，…，ｒ_i-1 ，ｓ
_i-1 が次の関係を満たしていることを確認する。…（ス
テップ１２０２）

【数４】 ｇ^si-1＝（ｙ₁ ・ｙ₂ ・…・ｙ_i-1 ）^M ・ｒ₁ ^ｒ1 ，ｒ₂ ^ｒ2 …ｒ_i-1 r^{i- 1} mod ｐ ３：ステップ１２０２の関係を満足していない場合に
は、局Ｕ_i-1 の処理に異状があったものとして処理を打
ち切る。…（ステップ１２０３） ４：次の条件を満たす乱数ｋ_i を作成する。…（ステッ
プ１２０４） gcd （ｋ_i ，ｐ−1 ）＝１かつ１＜ｋ_i ＜ｐ−1 ５：局Ｕ_i-1 から受信した情報ｒ_i-1 と乱数ｋ_i から次
式のｒ_i を計算する。 ｒ_i ＝ｒ_i-1 ・ｇ^ki mod ｐ…（ステップ１２０５） ６：局Ｕ_i-1 から受信した情報ｓ_i-1 と乱数ｋ_i ，
ｒ_i 、自局の秘密情報ｘ_iから次式のｓ_i を計算する。

【００６１】

【数５】 ｓ_i ＝ｓ_i-1 ＋ｘ_i ・Ｍ＋ｋ_i ・ｒ_i mod （ｐ−１) …（ステップ１２０６） ７：情報ｓ_i ，ｒ₁ ，ｒ₂ ，…ｒ_i ，平文Ｍを局Ｕ_i+1
に送信する。…（ステップ１２０７） 以上の処理を局Ｕ₁ から順番に局Ｕ_n まで実行し、作成
されたｓ_n ，ｒ₁ ，ｒ₂ ，…ｒ_n が局Ｕ₁ からＵ_n によ
る平文Ｍに対する多重署名である。なお、局Ｕ₁ は、ｒ
₀ ＝１，ｓ₀ ＝０としてステップ１２０５，１２０６の
処理を行い、ステップ１２０１から１２０３までの部分
署名の検査処理は行わない。

【００６２】図１２の手順により作成された多重署名の
検査手順を図１３を参照しながら説明する。

【００６３】１：局Ｕ₁ , Ｕ₂ , …，Ｕ_n の 公開情報
ｙ₁ , ｙ₂ , …，ｙ_n を 公開リストから取り出す。…
（ステップ１３０１） ２：ｓ_i ，ｒ₁ , ｒ₂ , …ｒ_n , Ｍが次の関係を満たす
ことを確認する。…（ステップ１３０２）

【数６】 ｇ^sn＝（ｙ₁ ・ｙ₂ ・…・ｙ_n ）^M ・ｒ₁ ^r1・ｒ₂ ^r2…ｒ_n ^rn mod p この関係が成立する場合には、（ｓ_n , ｒ₁ , ｒ₂ , …
ｒ_n ) は正当な多重署名であるものと判定する。

【００６４】なお、図１１に示した多重署名法は、図３
もしくは図６の多重署名法に比べて、データサイズと検
査時の処理量からは不利であるが、署名作成が１巡の処
理で行えるという利点を持つ。

【００６５】次に、本発明の署名方法の変形例を２つ示
す。署名者の秘密鍵と公開鍵の形式は、図８と同じであ
る。

【００６６】第１の変形例は、署名検査式を次式とする
ものである。

【００６７】ｇ^r = ｙ^M ・ｒ^s mod ｐ 署名作成は、以下の手順で行う。

【００６８】１：以下の条件を満たす乱数ｋを定める。

【００６９】 gcd （ｋ，ｐ−1 ）＝１かつ１＜ｋ＜ｐ−1 ２：ｒ＝ｇ^k mod ｐ を計算する。

【００７０】３：Ｍ，ｒと秘密情報ｘ_i からｒ＝ｘ_i ・
Ｍ＋ｋ・ｓ mod （ｐ−１) を満たすｓを求める。

【００７１】第２の変形例は、署名検査式を次式とする
ものである。

【００７２】 ｇ^r ＝ｙ^s ・ｒ^M mod ｐ （但し、ｒ≠ｐ−１） 署名作成は、以下の手順で行う。

【００７３】１：以下の条件を満たす乱数ｋを定める。

【００７４】 gcd （ｋ，ｐ−1 ）＝１かつ１＜ｋ＜ｐ−1 ２：ｒ＝ｇ^k mod ｐを計算する。

【００７５】３：Ｍ，ｒと秘密情報ｘ_i からｒ＝ｘ_i ・
ｓ＋ｋ・Ｍ mod （ｐ−１) を満たすｓを求める。

【００７６】ここに示した２つの変形に対しても平文Ｍ
をそのまま利用する代わりに一方向性の圧縮関数（ハッ
シュ関数）による変換結果ｈ（Ｍ）に対して署名しても
よい。また、関数ｆ（定義域：Ｚ_p-1 ，値域：１２８bi
t 程度の整数）を用いて変形したｆ（ｒ）を指数部のｒ
と置き換えてもよい。

【００７７】第９図は、本発明の電子署名方法の作成・
検査を実行する装置の一構成を示す。演算器９０１は多
倍長の演算を実行する部分であり、本電子署名方式の演
算処理の大部分を実行する。乱数発生器９０２は署名作
成時に必要な乱数ｋを生成する部分である。乱数メモリ
９０３は乱数発生器９０２で発生された乱数ｋと、乱数
ｋから計算されるｇ^k mod ｐの値のペアを蓄積する部
分である。乱数発生器９０２、演算器９０１は署名作成
時・検査時以外にも稼働し、乱数（ｋ，ｇ^k mod ｐ）
のペアを生成し、乱数メモリ９０３に蓄積する。秘密情
報メモリ９０４は局の秘密情報を格納するメモリであ
る。その他に制御部９０５、メモリ９０６、入出力部９
０７から構成される。

【００７８】次に、本発明による多重署名法（図３もし
くは図６の方法）の性能をＲＳＡ法の多重署名法と比較
して説明する。

【００７９】（１）多重署名による署名データの増加 本発明による多重署名データ（ｒ_n ，ｓ_n ）のサイズは
一般の署名データ（ｒ，ｓ）のサイズ（図１もしくは図
５の方法）と同じであり、多重署名による署名データの
増加はない。一方、ＲＳＡ法の多重署名法でも同様の性
質を持つ方式が考案されている。

【００８０】（２）多重署名生成の処理量 本発明の場合、各局における署名作成の処理量は、部分
署名の検査処理の部分を除くと５１２bit の剰余乗算が
３回程度となる。但し、乱数ｋ_i ，ｇ^kiの事前計算を行
うことを前提とする。部分署名ｓ_i-1 の検査にはべき乗
剰余計算が高々３回（効率の良い計算法によれば２回）
と剰余乗算が（ｉ−１）回である。

【００８１】一方、ＲＳＡ方式に基づく多重署名方式で
は、部分署名の検査を除いて各々の局の処理がべき乗剰
余計算１回である。部分署名の検査は局Ｕ_i （第ｉ番目
の署名局）では（ｉ−１）回のべき乗剰余計算が必要で
ある。

【００８２】従って、本発明の多重署名法はＲＳＡ法の
多重署名法はＲＳＡ法の多重署名よりも一般に署名作成
の効率が良い。

【００８３】（３）多重署名検査の処理量 本発明の場合、署名作成局の数ｎに対し、５１２bit の
剰余乗算がｎ−１回とべき乗剰余計算が高々３回（効率
の良い計算法によれば約２回）である。一方、ＲＳＡ方
式に基づく多重署名方式では、べき乗剰余計算がｎ回必
要である。但し、ＲＳＡ方式において署名検査用のべき
指数は３や５などの極めて小さい値に設定されることが
多いので、剰余乗算がｃ・ｎ回（但し、ｃ＝２ or ３な
どの値）に相当する。

【００８４】従って、署名検査に関してはＲＳＡ方式の
多重署名の方が効率が良い場合が多い。

【００８５】以上で説明したディジタル署名方式および
多重署名方式は、素数ｐでの剰余類により定義される有
限体ＧＦ（ｐ）で構成したが、素数ｐのべき乗を位数と
する有限体ＧＦ（ｐ^m ）でも同様に構成できる（特に、
「ＧＦ２^m 」）。ＧＦ（ｐ^m）では乗算および剰余算が
シフトレジスタで実現できるため、ハードウェア処理に
よる高速化が期待できる。

【００８６】また、楕円曲線上で定義される元の個数が
有限の群に対しても、本発明の署名方式・多重署名方式
は応用できる。楕円曲線上の群で定義される演算は加算
であり、本発明における乗算を楕円曲線上の群における
加算に置き換え、「べき乗」を「繰り返し加算」に置き
換えればよい。一般の有限体ＧＦ（ｐ）における離散対
数問題よりも楕円曲線上の群における離散対数問題の方
が難しい可能性があり、より安全性の高い方式にできる
可能性や鍵サイズを小さくできる可能性がある。

【００８７】次に、本発明による多重署名方法の応用例
であるＩＤ−based システムにおけるセキュリティ・セ
ンタの複数化について説明する。

【００８８】ＩＤ−based システムでは、単一のセキュ
リティ・センタが存在し、各利用局固有の秘密情報の生
成・配布を行う。具体的には、局Ｕ_i の秘密情報として
ＩＤ情報Ｉ_i に対するセキュリティ・センタのディジタ
ル署名を局Ｕ_i の秘密情報Ｓ_i とするのが典型である。
このようなシステムでは、局Ｕ_i の認承は秘密情報Ｓ_i
の保持を確認することによって行われ、局のＩＤ情報を
知っていれば相手局の正当性の確認やディジタル署名の
確認、暗号鍵の共有などが実現できる。ただし、このよ
うなＩＤ−based システムでは、セキュリティ・センタ
がシステム全体の特権情報を全て握ることになる。なぜ
なら、セキュリティ・センタは全ての局の秘密情報を知
り得るためである。

【００８９】セキュリティ・センタであっても局の秘密
情報を知り得ない構成としてKonhfelderの公開鍵証明書
方式がある。この方式では、各局が固有の秘密情報と公
開情報を生成し、公開情報と局のＩＤ情報に対してセン
タが署名した「公開鍵証明書」を各局が保持する。すな
わち、センタは各局の公開情報に対して“お墨付き”を
発行する役割に限定される。局の秘密情報はそれぞれの
局が生成するためセキュリティ・センタであっても局秘
密情報は求められない。しかし、このようにしてもセキ
ュリティ・センタが任意の局の秘密情報と公開情報をね
つ造し、公開鍵証明書を発行する不正が可能である。Ko
nhfelder方式と同様の効果、問題点を有する方式にGira
ult のSelf-certified public key 方式、Horster とKn
oblochのTestimonial 方式がある。

【００９０】以上に説明したセキュリティ・センタの不
正を防ぐ方法として、セキュリティ・センタを複数化す
ることが考えられている。このことにより全てのセキュ
リティ・センタが結託しない限り局の秘密情報の導出や
局の秘密情報・公開情報のねつ造を困難にすることがで
きる。

【００９１】以降では、分散化されたセンタの処理とし
て本発明による多重署名方式を採用し、Testimonial 方
式との組み合わせにより構成されるＩＤ−based システ
ムを説明する。セキュリティ・センタをＣ₁ , Ｃ₂ ,
…，Ｃ_n のｎ個とする。図１０は、システムの構成を示
す。

【００９２】まずシステム加入時における局Ｕ_i への秘
密情報Ｓ_i の配布手順を説明する。 ＜局Ｕ_i の手続き＞ １：次の条件を満たす乱数ｋ₀ を生成する。

【００９３】 gcd(ｋ₀ ，ｐ−１）＝１かつ１＜ｋ₀ ＜ｐ−１ ２：次式のｒ₀ を求める。

【００９４】ｒ₀ ＝ｇ_ko mod p ３ センタＣ₁ ，Ｃ₂ ，…，Ｃ_n にｒ₀ を送る。

【００９５】＜センタＣ₁ ，Ｃ₂ ，…，Ｃ_n の手続き＞
センタは局ＩＤ情報Ｉ_i に対して図２、図３に示した手
順で多重署名を行う。但し、センタＣ_j による部分署名
ｓ_j-1 の検査（図３ステップ３０５）は以下の検査式で
実行する。

【００９６】

【数７】 ｇ^sj-1＝（ｙ₁ ・ｙ₂ ・…・ｙ_j-1 ）^rn・（ｒ_j-1 ／ｒ₀ ）^ij mod p センタＣ_n は生成された多重署名データ（ｒ_n ，ｓ_n ）
を局Ｕ_i に送る。多重署名の生成過程において各センタ
Ｃ_j の生成した乱数をｋ_j とし、センタＣ_j の秘密情報
をｘ_j とすると、ｒ_n ，ｓ_n は次の形式となる。

【００９７】ｒ_n = ｇ^{（ko+k1+…+kn)} mod p

【数８】ｓ_n = ｒ_n ・ （ｘ₁ + …＋ｘ_n ) ＋Ｉ_i ・ (ｋ
₁ + …＋ｋ_n ）mod （ｐ−１）＜局Ｕ_i の手続き＞ ４：センタからｒ_n ，ｓ_n を受信する。

【００９８】５：ｓ_n とｋ₀ から次式のＳ_i を求める。

【００９９】

【数９】 Ｓ_i ＝ｓ_n ＋Ｉi ・ｋ₀ mod （ｐ−１） ＝ｒ_n ・（ｘ₁ ＋…＋ｘ_n ）＋Ｉ_i ・（ｋ₀ ＋ｋ₁ ＋…＋ｋ_n ）mod （ ｐ−１） ６：ｒ_n ，Ｓ_i が次式の関係を満たすことを確認す
る。

【０１００】 ｇ^Si＝（ｙ₁ ・ｙ₂ ・…・ｙ_n ）^rn・ｒ_n ^Ii mod p この関係が成立する場合には、Ｓ_i を局Ｕ_i の秘密情報
とする。また、ｒ_n は局Ｕ_i の公開情報Ｒ_i として公開
する。

【０１０１】局Ｕ_i の乱数ｋ₀ が作用しているために、
ｓ_n を生成するセンタＣ_n であってもＳ_i の値は求める
ことができない。また、多重署名の生成過程において部
分署名の検査を実施するため、あるセンタが途中で不正
を行った場合には次のセンタと結託していない限り、不
正が発覚する。従って、全てのセンタが結託しない限
り、センタの不正は発覚する。

【０１０２】以降ではこのようにして各局Ｕ_i に秘密情
報Ｓ_i と公開情報Ｒ_i が発行されたシステムにおいて、
具体的なセキュリティ機能を実現する手段を説明する。

【０１０３】まず、局Ｕ_i の確認（identification) 手
続きを説明する。但し、Ｕ_i ：｛処理｝という表現によ
って局Ｕ_i の行う処理を表す。また、検査を行う局をＶ
とする。さらに、以下ではＹ＝ｙ₁ ・ｙ₂ …ｙ_n mod
p とする。

【０１０４】＜局Ｕ_i の認証手続き＞ Ｕ_i ：乱数ｔを生成する。さらに次式のＸを求める。

【０１０５】Ｘ＝ｇ^t mod p 公開情報Ｒ_i ，ＩＤ情報Ｉ_i およびＸを局Ｖに送る。

【０１０６】Ｖ：乱数ｅを生成し、局Ｕ_i に送る。

【０１０７】Ｕ_i ：次式のＺを求め、局Ｖに送る。

【０１０８】Ｚ＝ｔ＋Ｓ_i ・ｅ mod （ｐ−１） Ｖ：Ｚ，Ｘ，Ｒ_i ，Ｉ_i が以下の関係を満たすことを確
認する。

【０１０９】ｇ^Z ＝Ｘ・（Ｙ^Ri・Ｒ_i ^Ii）^e mod p この関係が成立する場合には検査局Ｖは相手局を局Ｕ_i
であるものと認める。

【０１１０】次に局Ｕ_i と局Ｕ_j が共通の秘密鍵を共有
する方法を説明する。

【０１１１】＜局Ｕ_i と局Ｕ_j の鍵共有手続き＞ Ｕ₁ ：公開情報Ｒ_i ，ＩＤ情報Ｉ_i を局Ｕ_j に送る。

【０１１２】Ｕ_j ：公開情報Ｒ_j ，ＩＤ情報Ｉ_j を局Ｕ
_j に送る。

【０１１３】Ｕ_i ：共有鍵Ｋ_ijを次式により求める。

【０１１４】Ｋ_ij＝（Ｙ^Rj・Ｒ_j ^Ij）^Si mod p Ｕ_j ：共有鍵Ｋ_jiを次式により求める。

【０１１５】Ｋ_ji＝（Ｙ^Rj・ｒ_i ^Ii）^Sj mod p 局Ｕ_i ，Ｕ_j の双方が正当な局であれば、次式が成立
する。

【０１１６】Ｋ_ij＝Ｋ_ji＝ｇ^{Si Sj} mod p 以上のように本発明の多重署名方法をＩＤ−based 方式
のセンタ処理部に利用することによりセンタの権限を分
散したシステムを構成することができ、しかもidentifi
cationや鍵共有などの手続きが効率良く実行できる。こ
れは本発明の多重署名法が共通の法ｐの上で構成できる
ことに由来している。例えば、ＲＳＡ方式の多重署名法
では各センタＣ_j が個別の法ｎ_j を使用することにな
り、identificationなどのプロトコルの効率が悪くな
る。

【０１１７】

【発明の効果】以上のべたように本発明によれば、ElGa
mal 方式の変形であって、さらに、多重署名方法が実現
可能な電子署名システムおよび電子署名方法が得られ
る。そして、本多重署名方法では署名のサイズが署名者
数に依存しないこと、および乱数生成を事前に実行する
ことで多重署名の生成における処理量が著しく低減され
るという効果が得られる。

【図面の簡単な説明】

【図１】本発明による第１の電子署名方法の計算手順お
よび検査手順を示すフローチャートである。

【図２】本発明の２巡式の多重署名方法における情報の
流れを示す説明図である。

【図３】第１の電子署名方法に基づく２巡式の多重署名
方法の計算手順を示すフローチャートである。

【図４】第１の電子署名方法に基づく２巡式の多重署名
方法の検査手順を示すフローチャートである。

【図５】本発明による第２の電子署名方法の計算手順お
よび検査手順を示すフローチャートである。

【図６】第２の電子署名方法に基づく２巡式の多重署名
方法の計算手順を示すフローチャートである。

【図７】第２の電子署名方法に基づく２巡式の多重署名
方法の検査手順を示すフローチャートである。

【図８】本発明の電子署名システムの構成の一例を示す
図である。

【図９】本発明の電子署名システムに係る作成・検査装
置を示す説明図である。

【図１０】センタを分散したシステム構成の一例を与え
る図である。

【図１１】本発明の１巡式の多重署名方法における情報
の流れを示す図である。

【図１２】第２の電子署名方法に基づく１巡式の多重署
名方法の計算手順を示すフローチャートである。

【図１３】第２の電子署名方法に基づく１巡式の多重署
名方法の検査手順を示すフローチャートである。

【符号の説明】

９０１ 演算器 ９０２ 乱数発生器 ９０３ 乱数メモリ ９０４ 秘密情報メモリ ９０５ 制御部 ９０６ メモリ ９０７ 入出力部

Claims (3)

【特許請求の範囲】
1. 【請求項１】 署名作成者により文書Ｍに対して作成さ
   れた乱数ｋ、及び署名作成者が保持する秘密整数ｘを基
   に、乱数ｋに依存する整数ｒ、乱数ｋと整数ｘとに依存
   する整数ｓとを生成する手段と、公開された整数ｇと、
   公開された素数ｐを法として整数ｇを整数ｘでべき乗し
   た結果としての公開整数ｙと、前記Ｍ，ｒ，ｓとに基づ
   いて得られる関係式 ｇ^a ＝ｙ^b ・ｒ^c mod ｐ （ただし、ａ≠Ｍであり、ａ，ｂ，ｃはＭ，ｒ，ｓの組
   からそれぞれ割り当てたもの）を満足するか否かによっ
   て電子署名が正しいか否かを判定する手段と、を有する
   ことを特徴とする電子署名システム。
2. 【請求項２】 電子文書Ｍに対する電子署名データを作
   成する方法であって、 前記文書Ｍに対して乱数ｋを作成する第１のステップ
   と、この乱数ｋに依存する整数ｒを生成する第２のステ
   ップと、前記乱数ｋと署名作成者が保持する秘密整数ｘ
   とに依存する整数ｓを生成する第３のステップと、公開
   された素数ｐを法として公開されたｇを前記秘密整数ｘ
   でべき乗した結果としての公開整数ｙを得る第４のステ
   ップと、前記ｇ，ｙ，Ｍ，ｒ，ｓとに基づいて得られる
   関係式 ｇ^a ＝ｙ^b ・ｒ^c mod ｐ （但し、ａ≠Ｍであり、ａ，ｂ，ｃはＭ，ｒ，ｓの組か
   らそれぞれ一つづつを割り当てられたもの）を満たすか
   否かによって電子署名が正しいか否かを判定する第５の
   ステップと、 を有することを特徴とする電子署名方法。
3. 【請求項３】 ｎ者から構成される複数の署名者が署名
   を作成する方法であって、 第ｉの署名者（ｉ＝１，２，…，ｎ）に秘密整数ｘ_i と
   公開された素数ｐを法として公開された整数ｇを前記秘
   密整数ｘ_i でべき乗した結果としての公開整数ｙ_i とを
   割り当てる第１のステップと、 署名作成時にはｎ者から成る署名作成者の間を巡回さ
   せ、その電子署名データとして各署名作成者が生成する
   乱数ｋ_i に依存する整数ｒと、乱数ｋ_i と秘密整数ｘ_i
   とに依存する整数ｓとを作成する第２のステップと、 前記ｇ，ｙ_i ，Ｍ，ｒ，ｓに基づいて得られる関数式 ｇ^a ＝（ｙ_i ・ｙ₂ ・…・ｙ_n ）^b ・ｒ^c mod ｐ （但し、ａ≠Ｍであり、ａ，ｂ，ｃはＭ，ｒ，ｓの組か
   らそれぞれ一つづつを割り当てられたもの）を満足する
   か否かによって電子署名が正しいか否かを判定する第３
   のステップと、 を有することを特徴とする電子署名方法。