JPH07261663A - ディジタル署名方式 - Google Patents
ディジタル署名方式Info
- Publication number
- JPH07261663A JPH07261663A JP6052318A JP5231894A JPH07261663A JP H07261663 A JPH07261663 A JP H07261663A JP 6052318 A JP6052318 A JP 6052318A JP 5231894 A JP5231894 A JP 5231894A JP H07261663 A JPH07261663 A JP H07261663A
- Authority
- JP
- Japan
- Prior art keywords
- verifier
- signature
- message
- signer
- random number
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Abstract
(57)【要約】
【目的】 Chaum の方式に比べ、より高速な署名作成を
実現できるディジタル署名方式を提供する。 【構成】 署名者は乱数による署名用鍵αを生成し、α
から剰余演算によって公開情報ａを生成した後、メッセ
ージｍに対する署名情報として乱数ｒを生成し、ｒから
ｄ＝gr mod p 及びbr mod pを算出すると共に、乱数ｗ
を生成し、ｗから剰余演算により数値ｘを算出し、ｘと
ｍとの圧縮関数値Ｆ(m,x)とbr mod pからこれらの排他
的論理和値ｅを算出すると共に、ｗ、α及びｅから剰余
演算により数値ｙを算出し、(d,e,y)をメッセージｍに
対する署名情報として、メッセージｍと共に検証者に送
信し、検証者は、(m,e,y,a)から剰余演算により数値ｚ
を算出した後、署名者との通信により、ｒの値を検証者
に秘密にしたまま、ｚ＝brmod pであることを検証し、
この検証に成功したとき、(d,e,y)をメッセージｍに対
する正しい署名情報として認証する。
実現できるディジタル署名方式を提供する。 【構成】 署名者は乱数による署名用鍵αを生成し、α
から剰余演算によって公開情報ａを生成した後、メッセ
ージｍに対する署名情報として乱数ｒを生成し、ｒから
ｄ＝gr mod p 及びbr mod pを算出すると共に、乱数ｗ
を生成し、ｗから剰余演算により数値ｘを算出し、ｘと
ｍとの圧縮関数値Ｆ(m,x)とbr mod pからこれらの排他
的論理和値ｅを算出すると共に、ｗ、α及びｅから剰余
演算により数値ｙを算出し、(d,e,y)をメッセージｍに
対する署名情報として、メッセージｍと共に検証者に送
信し、検証者は、(m,e,y,a)から剰余演算により数値ｚ
を算出した後、署名者との通信により、ｒの値を検証者
に秘密にしたまま、ｚ＝brmod pであることを検証し、
この検証に成功したとき、(d,e,y)をメッセージｍに対
する正しい署名情報として認証する。
Description
【０００１】
【産業上の利用分野】本発明は、電子化されたメッセー
ジの稟議／決済、電子投票システム等で、電子的に署名
／捺印を付与するディジタル署名方式に関するものであ
る。
ジの稟議／決済、電子投票システム等で、電子的に署名
／捺印を付与するディジタル署名方式に関するものであ
る。
【０００２】
【従来の技術】従来、ディジタル署名方式の一例とし
て、Chaum の指名確認者署名法（DavidChaum,"Designat
ed Confirmer Signatures",Crypto'93,(1993)) が知ら
れている。
て、Chaum の指名確認者署名法（DavidChaum,"Designat
ed Confirmer Signatures",Crypto'93,(1993)) が知ら
れている。
【０００３】このChaum の指名確認者署名法は、署名の
転用不可性と否認拒否性さらに指名確認者による確認処
理の代行機能を備えた安全性の高い方式である。
転用不可性と否認拒否性さらに指名確認者による確認処
理の代行機能を備えた安全性の高い方式である。
【０００４】ここで、署名の転用不可性とは、メッセー
ジｍと署名ｓの対応関係（ｍ，ｓ）が署名としての証拠
とはならず、署名者がメッセージｍと署名ｓの対応関係
の正当性を検証者との通信によって証明した場合にのみ
署名の正当性を確認できることである。通常のディジタ
ル署名では、検証者が署名者と通信せずに、メッセージ
ｍと署名ｓの対応関係の正当性を確認できるので、前記
対応関係（ｍ，ｓ）が署名の証拠となる。
ジｍと署名ｓの対応関係（ｍ，ｓ）が署名としての証拠
とはならず、署名者がメッセージｍと署名ｓの対応関係
の正当性を検証者との通信によって証明した場合にのみ
署名の正当性を確認できることである。通常のディジタ
ル署名では、検証者が署名者と通信せずに、メッセージ
ｍと署名ｓの対応関係の正当性を確認できるので、前記
対応関係（ｍ，ｓ）が署名の証拠となる。
【０００５】また、否認拒否性とは、検証者がメッセー
ジｍや署名ｓとの対応関係（ｍ，ｓ）の正当性の証明を
求めている場合に、署名者が署名ｓの正当性を証明でき
ることである。
ジｍや署名ｓとの対応関係（ｍ，ｓ）の正当性の証明を
求めている場合に、署名者が署名ｓの正当性を証明でき
ることである。
【０００６】さらに、指名確認者による確認処理の代行
機能とは、署名者が事前に指名した確認者が署名者の代
わりに、メッセージｍと署名ｓの対応関係の正当性を検
証者との通信によって確認できる機能である。この機能
は、例えば署名者が不在、転職、死亡等によりアクセス
不可能となった場合に利用されるものである。
機能とは、署名者が事前に指名した確認者が署名者の代
わりに、メッセージｍと署名ｓの対応関係の正当性を検
証者との通信によって確認できる機能である。この機能
は、例えば署名者が不在、転職、死亡等によりアクセス
不可能となった場合に利用されるものである。
【０００７】次に、Chaum の指名確認者署名法について
説明する。 (1) 鍵の登録 署名者Ａは、ＲＳＡ法の署名用鍵ｄと検査用鍵（ｅ，
ｎ）を次の(1) 式を満たすように生成し、
説明する。 (1) 鍵の登録 署名者Ａは、ＲＳＡ法の署名用鍵ｄと検査用鍵（ｅ，
ｎ）を次の(1) 式を満たすように生成し、
【数１】 検査用鍵（ｅ，ｎ）を公開し、署名用鍵ｄを秘密に管理
する（ＲＳＡ法については、池野・小山著「現代暗号理
論」（電子通信学会）を参考のこと）。ここで、剰余計
算（ａ ｍｏｄ ｐ）は、数値ａを数値ｐで割ったときの
余りを表す。尚、ＲＳＡ法の安全性は、数値ｎの素因数
分解の困難性に依存する。
する（ＲＳＡ法については、池野・小山著「現代暗号理
論」（電子通信学会）を参考のこと）。ここで、剰余計
算（ａ ｍｏｄ ｐ）は、数値ａを数値ｐで割ったときの
余りを表す。尚、ＲＳＡ法の安全性は、数値ｎの素因数
分解の困難性に依存する。
【０００８】一方、指名確認者は、秘密鍵ｚと公開鍵
（ｐ，ｇ，ｈ）を生成する。このときの数値ｈの生成に
当たっては、次の(2) 式が用いられる。
（ｐ，ｇ，ｈ）を生成する。このときの数値ｈの生成に
当たっては、次の(2) 式が用いられる。
【数２】 ここで、指名確認者の安全性は、ｐ（素数）が大きいと
き、数値ｈと数値ｇからｙ＝ｇx ｍｏｄ ｐを満たす数
値ｘを算出することの困難さ（離散対数問題の困難性）
に依存する。
き、数値ｈと数値ｇからｙ＝ｇx ｍｏｄ ｐを満たす数
値ｘを算出することの困難さ（離散対数問題の困難性）
に依存する。
【０００９】前述した各公開鍵（ｅ，ｎ，ｇ，ｐ，ｈ）
は、センタの公開ファイルにおいて管理され、必要に応
じて、センタから払い出してもらうことができる。
は、センタの公開ファイルにおいて管理され、必要に応
じて、センタから払い出してもらうことができる。
【００１０】(2) 署名の作成 署名者Ａは、公開鍵ｐ，ｇ，ｈと自分の署名用鍵ｄを用
いて、乱数ｘを生成した後に、メッセージｍに対して、
次の(3)(4)(5)式によって
いて、乱数ｘを生成した後に、メッセージｍに対して、
次の(3)(4)(5)式によって
【数３】 署名（ａ，ｂ，α）を計算して、メッセージｍと共に検
証者Ｂに送信する（剰余付きの計算は、例えば池野・小
山著「現代暗号理論」電子通信学会，PP. 16-17,(1986)
に示されている）。
証者Ｂに送信する（剰余付きの計算は、例えば池野・小
山著「現代暗号理論」電子通信学会，PP. 16-17,(1986)
に示されている）。
【００１１】ここで、Ｆは任意の一方向圧縮関数、Ｈは
逆演算が容易に計算できる関数（Ｈ（ｘ）からｘが容易
に計算可能な関数）である。
逆演算が容易に計算できる関数（Ｈ（ｘ）からｘが容易
に計算可能な関数）である。
【００１２】(3) 署名の検査 検証者Ｂは、署名者Ａと通信することによって、検査用
鍵（ｅ，ｎ）を用いて署名（ａ，ｂ，α）がメッセージ
ｍに対する正しい署名であることを、以下の確認手順に
よって検査する。
鍵（ｅ，ｎ）を用いて署名（ａ，ｂ，α）がメッセージ
ｍに対する正しい署名であることを、以下の確認手順に
よって検査する。
【００１３】まず、署名者による確認手順を説明する。 ステップ１ 検証者Ｂは、２つの乱数ｓとｔを生成し
て、通信文ｃを次の(6)式を用いて
て、通信文ｃを次の(6)式を用いて
【数４】 計算して、署名者Ａに送信する。
【００１４】ステップ２ 署名者Ａは、乱数ｑを生成し
て、通信文（ｄ，ｅ）を次の(7)(8)式を用いて
て、通信文（ｄ，ｅ）を次の(7)(8)式を用いて
【数５】 計算して、検証者Ｂに送信する。
【００１５】ステップ３ 検証者Ｂは、２つの乱数ｓと
ｔを署名者Ａに送信する。
ｔを署名者Ａに送信する。
【００１６】ステップ４ 署名者Ａは、受信した乱数ｓ
とｔが、通信文ｃに対して次の(9)式を満たすことを検
査して、
とｔが、通信文ｃに対して次の(9)式を満たすことを検
査して、
【数６】 この検査の結果が合格なら、乱数ｑを検証者Ｂに送信す
る。また、不合格なら処理を停止する。
る。また、不合格なら処理を停止する。
【００１７】ステップ５ 検証者Ｂは、受信した乱数ｑ
及び先に受信した通信文（ｄ，ｅ）が、メッセージｍと
署名（ａ，ｂ，α）に対して次の(10)(11)(12)式を満た
すことを確認する。
及び先に受信した通信文（ｄ，ｅ）が、メッセージｍと
署名（ａ，ｂ，α）に対して次の(10)(11)(12)式を満た
すことを確認する。
【数７】 この確認の結果、合格ならば、（ａ，ｂ，α）がメッセ
ージｍに対する署名者Ａの正しい署名であると判断す
る。
ージｍに対する署名者Ａの正しい署名であると判断す
る。
【００１８】次に、指名確認者による確認手順を説明す
る。 ステップ１ 検証者Ｂは、２つの乱数ｓとｔを生成し
て、通信文ｃを次の(13)式を用いて計算して、署名者Ａ
に送信する。
る。 ステップ１ 検証者Ｂは、２つの乱数ｓとｔを生成し
て、通信文ｃを次の(13)式を用いて計算して、署名者Ａ
に送信する。
【００１９】
【数８】 ステップ２ 指名確認者Ｃは、乱数ｑを生成すると共
に、、通信文（ｖ，ｗ）を次の(14)(15)を用いて計算し
て、検証者Ｂに送信する。
に、、通信文（ｖ，ｗ）を次の(14)(15)を用いて計算し
て、検証者Ｂに送信する。
【００２０】
【数９】 ステップ３ 検証者Ｂは、２つの乱数ｓとｔを指名確認
者Ｃに送信する。
者Ｃに送信する。
【００２１】ステップ４ 指名確認者Ｃは、受信した乱
数ｓとｔが、通信文ｕに対して次の(16)式を満たすこと
を検査して、
数ｓとｔが、通信文ｕに対して次の(16)式を満たすこと
を検査して、
【数１０】 この検査の結果が合格なら、乱数ｑを検証者Ｂに送信す
る。また、不合格なら処理を停止する。
る。また、不合格なら処理を停止する。
【００２２】ステップ５ 検証者Ｂは、受信した乱数ｑ
及び先に受信した通信文（ｖ，ｗ）が、メッセージｍと
署名（ａ，ｂ，α）に対して次の(17)(18)(19)式を満た
すことを確認する。
及び先に受信した通信文（ｖ，ｗ）が、メッセージｍと
署名（ａ，ｂ，α）に対して次の(17)(18)(19)式を満た
すことを確認する。
【数１１】 この確認の結果、合格ならば、（ａ，ｂ，α）がメッセ
ージｍに対する署名者Ａの正しい署名であると判断す
る。
ージｍに対する署名者Ａの正しい署名であると判断す
る。
【００２３】
【発明が解決しようとする課題】しかしながら、前述し
たChaum の指名確認者署名法は、署名作成にＲＳＡ法を
用いているため、処理速度が遅いという欠点があった。
たChaum の指名確認者署名法は、署名作成にＲＳＡ法を
用いているため、処理速度が遅いという欠点があった。
【００２４】本発明の目的は上記の問題点に鑑み、Chau
m の方式に比べ、より高速な署名作成を実現できるディ
ジタル署名方式を提供することにある。
m の方式に比べ、より高速な署名作成を実現できるディ
ジタル署名方式を提供することにある。
【００２５】
【課題を解決するための手段】本発明は上記の目的を達
成するために、署名者が電子化されたメッセージに署名
するディジタル署名方式において、センタはシステム共
通情報として数値ｐ及び数値ｇを登録した公開ファイル
を備え、署名者による指名確認者は、乱数発生手段を用
いて署名用鍵ｕを生成し、該署名用鍵ｕから剰余演算手
段を用いて公開情報ｂを生成して前記センタの公開ファ
イルに登録し、署名者は、乱数発生手段を用いて署名用
鍵αを生成し、該署名用鍵αから剰余演算手段を用いて
公開情報ａを生成して前記センタの公開ファイルに登録
した後、メッセージｍに対する署名情報として乱数ｒを
生成し、該乱数ｒから剰余演算手段を用いてｄ＝ｇr ｍ
ｏｄ ｐ 及びｂr ｍｏｄ ｐ を算出すると共に、乱数ｗ
を生成し、該乱数ｗから剰余演算により数値ｘを算出
し、さらに、該数値ｘと前記メッセージｍとの圧縮関数
値Ｆ（ｍ，ｘ）と前記ｂr ｍｏｄ ｐ からこれらの排他
的論理和値ｅを算出すると共に、前記乱数ｗ、署名用鍵
α及び排他的論理和値ｅから剰余演算により数値ｙを算
出し、前記（ｄ，ｅ，ｙ）をメッセージｍに対する署名
情報として、メッセージｍと共に検証者に送信し、検証
者が署名付きメッセージの正当性を署名者を用いて検証
する場合には、検証者は、前記（ｍ，ｅ，ｙ，ａ）から
剰余演算により数値ｚを算出した後、署名者との通信に
より、前記乱数ｒの値を検証者に秘密にしたまま、ｚ＝
ｂr ｍｏｄ ｐ であることを検証し、該検証に成功した
とき、前記（ｄ，ｅ，ｙ）をメッセージｍに対する正し
い署名情報として認証し、検証者が署名付きメッセージ
の正当性を指名確認者を用いて検証する場合には、検証
者は、前記（ｍ，ｅ，ｙ，ａ）から剰余演算により数値
ｚを計算した後、指名確認者との通信により、前記署名
用鍵ｕの値を検証者に秘密にしたまま、ｚ＝ｄu ｍｏｄ
ｐ であることを検証し、該検証に成功したとき、前記
（ｄ，ｅ，ｙ）をメッセージｍに対する正しい署名情報
として認証するディジタル署名方式を提案する。
成するために、署名者が電子化されたメッセージに署名
するディジタル署名方式において、センタはシステム共
通情報として数値ｐ及び数値ｇを登録した公開ファイル
を備え、署名者による指名確認者は、乱数発生手段を用
いて署名用鍵ｕを生成し、該署名用鍵ｕから剰余演算手
段を用いて公開情報ｂを生成して前記センタの公開ファ
イルに登録し、署名者は、乱数発生手段を用いて署名用
鍵αを生成し、該署名用鍵αから剰余演算手段を用いて
公開情報ａを生成して前記センタの公開ファイルに登録
した後、メッセージｍに対する署名情報として乱数ｒを
生成し、該乱数ｒから剰余演算手段を用いてｄ＝ｇr ｍ
ｏｄ ｐ 及びｂr ｍｏｄ ｐ を算出すると共に、乱数ｗ
を生成し、該乱数ｗから剰余演算により数値ｘを算出
し、さらに、該数値ｘと前記メッセージｍとの圧縮関数
値Ｆ（ｍ，ｘ）と前記ｂr ｍｏｄ ｐ からこれらの排他
的論理和値ｅを算出すると共に、前記乱数ｗ、署名用鍵
α及び排他的論理和値ｅから剰余演算により数値ｙを算
出し、前記（ｄ，ｅ，ｙ）をメッセージｍに対する署名
情報として、メッセージｍと共に検証者に送信し、検証
者が署名付きメッセージの正当性を署名者を用いて検証
する場合には、検証者は、前記（ｍ，ｅ，ｙ，ａ）から
剰余演算により数値ｚを算出した後、署名者との通信に
より、前記乱数ｒの値を検証者に秘密にしたまま、ｚ＝
ｂr ｍｏｄ ｐ であることを検証し、該検証に成功した
とき、前記（ｄ，ｅ，ｙ）をメッセージｍに対する正し
い署名情報として認証し、検証者が署名付きメッセージ
の正当性を指名確認者を用いて検証する場合には、検証
者は、前記（ｍ，ｅ，ｙ，ａ）から剰余演算により数値
ｚを計算した後、指名確認者との通信により、前記署名
用鍵ｕの値を検証者に秘密にしたまま、ｚ＝ｄu ｍｏｄ
ｐ であることを検証し、該検証に成功したとき、前記
（ｄ，ｅ，ｙ）をメッセージｍに対する正しい署名情報
として認証するディジタル署名方式を提案する。
【００２６】
【作用】本発明によれば、予め指名確認者によって公開
情報ｂがセンタの公開ファイルに登録される。この際、
指名確認者は、乱数発生手段を用いて署名用鍵ｕを生成
し、該署名用鍵ｕから剰余演算手段を用いて公開情報ｂ
を生成して前記センタの公開ファイルに登録する。ま
た、同様に署名者によって公開情報ａがセンタの公開フ
ァイルに登録される。この際、署名者は、乱数発生手段
を用いて署名用鍵αを生成し、該署名用鍵αから剰余演
算手段を用いて公開情報ａを生成して前記センタの公開
ファイルに登録する。
情報ｂがセンタの公開ファイルに登録される。この際、
指名確認者は、乱数発生手段を用いて署名用鍵ｕを生成
し、該署名用鍵ｕから剰余演算手段を用いて公開情報ｂ
を生成して前記センタの公開ファイルに登録する。ま
た、同様に署名者によって公開情報ａがセンタの公開フ
ァイルに登録される。この際、署名者は、乱数発生手段
を用いて署名用鍵αを生成し、該署名用鍵αから剰余演
算手段を用いて公開情報ａを生成して前記センタの公開
ファイルに登録する。
【００２７】一方、前記署名者がメッセージｍに対する
署名を作成するときは、メッセージｍに対する署名情報
として乱数ｒを生成し、該乱数ｒから剰余演算手段を用
いてｄ＝ｇr ｍｏｄ ｐ 及びｂr ｍｏｄ ｐ を算出する
と共に、乱数ｗを生成し、該乱数ｗから剰余演算により
数値ｘを算出する。ここで、数値ｘは、例えばｘ＝ｇr
ｍｏｄ ｐ の剰余演算によって算出される。
署名を作成するときは、メッセージｍに対する署名情報
として乱数ｒを生成し、該乱数ｒから剰余演算手段を用
いてｄ＝ｇr ｍｏｄ ｐ 及びｂr ｍｏｄ ｐ を算出する
と共に、乱数ｗを生成し、該乱数ｗから剰余演算により
数値ｘを算出する。ここで、数値ｘは、例えばｘ＝ｇr
ｍｏｄ ｐ の剰余演算によって算出される。
【００２８】さらに、署名者は、前記数値ｘと前記メッ
セージｍとの圧縮関数値Ｆ（ｍ，ｘ）と前記ｂr ｍｏｄ
ｐ とからこれらの排他的論理和値ｅを算出すると共
に、前記乱数ｗ、署名用鍵α及び排他的論理和値ｅから
剰余演算により数値ｙを算出し、前記（ｄ，ｅ，ｙ）を
メッセージｍに対する署名情報として、メッセージｍと
共に検証者に送信する。ここで、数値ｙは、例えばｙ＝
ｗ＋ｅα ｍｏｄ ｐによって算出される。
セージｍとの圧縮関数値Ｆ（ｍ，ｘ）と前記ｂr ｍｏｄ
ｐ とからこれらの排他的論理和値ｅを算出すると共
に、前記乱数ｗ、署名用鍵α及び排他的論理和値ｅから
剰余演算により数値ｙを算出し、前記（ｄ，ｅ，ｙ）を
メッセージｍに対する署名情報として、メッセージｍと
共に検証者に送信する。ここで、数値ｙは、例えばｙ＝
ｗ＋ｅα ｍｏｄ ｐによって算出される。
【００２９】また、検証者が署名付きメッセージｍの正
当性を署名者を用いて検証する場合には、検証者は、前
記（ｍ，ｅ，ｙ，ａ）から剰余演算により数値ｚを算出
する。この後、署名者との通信によって、前記乱数ｒの
値が検証者に対して秘密にされたまま、検証者はｚ＝ｂ
r ｍｏｄ ｐ であることを検証し、該検証に成功したと
き、検証者によって前記（ｄ，ｅ，ｙ）がメッセージｍ
に対する正しい署名情報として認証される。
当性を署名者を用いて検証する場合には、検証者は、前
記（ｍ，ｅ，ｙ，ａ）から剰余演算により数値ｚを算出
する。この後、署名者との通信によって、前記乱数ｒの
値が検証者に対して秘密にされたまま、検証者はｚ＝ｂ
r ｍｏｄ ｐ であることを検証し、該検証に成功したと
き、検証者によって前記（ｄ，ｅ，ｙ）がメッセージｍ
に対する正しい署名情報として認証される。
【００３０】さらに、検証者が署名付きメッセージｍの
正当性を前記指名確認者を用いて検証する場合には、検
証者は、前記（ｍ，ｅ，ｙ，ａ）から剰余演算により数
値ｚを計算した後、指名確認者との通信により、前記署
名用鍵ｕの値が検証者に対して秘密にされたまま、検証
者はｚ＝ｄu ｍｏｄ ｐ であることを検証し、該検証に
成功したとき、検証者によって前記（ｄ，ｅ，ｙ）がメ
ッセージｍに対する正しい署名情報として認証される。
正当性を前記指名確認者を用いて検証する場合には、検
証者は、前記（ｍ，ｅ，ｙ，ａ）から剰余演算により数
値ｚを計算した後、指名確認者との通信により、前記署
名用鍵ｕの値が検証者に対して秘密にされたまま、検証
者はｚ＝ｄu ｍｏｄ ｐ であることを検証し、該検証に
成功したとき、検証者によって前記（ｄ，ｅ，ｙ）がメ
ッセージｍに対する正しい署名情報として認証される。
【００３１】従って、ＲＳＡ法を用いることなく剰余演
算によって署名の作成が行われると共に、より高速な署
名法（Schnorr 法）を利用することにより、Chaum の方
式に比べ、より高速な署名作成を実現可能となる。
算によって署名の作成が行われると共に、より高速な署
名法（Schnorr 法）を利用することにより、Chaum の方
式に比べ、より高速な署名作成を実現可能となる。
【００３２】
【実施例】以下、図面に基づいて本発明の一実施例を説
明する。図１は本発明の全体構成を示す図である。図に
おいて、１０はセンタ、２０は署名者、５０は検証者、
６０は指名確認者であり、センタ１０と署名者２０、検
証者５０及び指名確認者６０との間、署名者２０と検証
者５０との間、及び検証者５０と指名確認者６０との間
は、それぞれ通信路３０を介して結合されている。
明する。図１は本発明の全体構成を示す図である。図に
おいて、１０はセンタ、２０は署名者、５０は検証者、
６０は指名確認者であり、センタ１０と署名者２０、検
証者５０及び指名確認者６０との間、署名者２０と検証
者５０との間、及び検証者５０と指名確認者６０との間
は、それぞれ通信路３０を介して結合されている。
【００３３】次に、本実施例におけるディジタル署名法
を、図２乃至図６に基づいて説明する。ここで、図２は
署名者２０と検証者５０との間の通信シーケンスを、ま
た図３は指名確認者６０と検証者５０との間の通信シー
ケンスをそれぞれ示す。また、図４は署名者２０におけ
る処理の流れを示すブロック図、図５は検証者５０にお
ける処理の流れを示すブロック図、図６は指名確認者６
０における処理の流れを示すブロック図である。
を、図２乃至図６に基づいて説明する。ここで、図２は
署名者２０と検証者５０との間の通信シーケンスを、ま
た図３は指名確認者６０と検証者５０との間の通信シー
ケンスをそれぞれ示す。また、図４は署名者２０におけ
る処理の流れを示すブロック図、図５は検証者５０にお
ける処理の流れを示すブロック図、図６は指名確認者６
０における処理の流れを示すブロック図である。
【００３４】(1) 鍵の登録 署名者２０がシステムに加入するときは、剰余付き計算
器２２を用いて公開情報ａを生成してセンタ１０の公開
ファイルに登録する。この際、署名者２０はセンタ１０
によって公開されているシステム内一意の共通情報の公
開鍵ｇと公開鍵ｐを使用する。これらの公開鍵ｇ，ｐは
共に予め定められた数値である。
器２２を用いて公開情報ａを生成してセンタ１０の公開
ファイルに登録する。この際、署名者２０はセンタ１０
によって公開されているシステム内一意の共通情報の公
開鍵ｇと公開鍵ｐを使用する。これらの公開鍵ｇ，ｐは
共に予め定められた数値である。
【００３５】即ち、図４の鍵の生成に示すように、署名
者２０は次の手順によって公開情報ａをセンタ１０に登
録する。 ステップ１ 署名者２０は、乱数発生器２１０を用いて
署名用鍵αを生成して、この署名用鍵αと公開鍵ｐと公
開鍵ｇから剰余付き計算器２２０を用いて公開情報ａを
次の(20)式を用いて計算し、
者２０は次の手順によって公開情報ａをセンタ１０に登
録する。 ステップ１ 署名者２０は、乱数発生器２１０を用いて
署名用鍵αを生成して、この署名用鍵αと公開鍵ｐと公
開鍵ｇから剰余付き計算器２２０を用いて公開情報ａを
次の(20)式を用いて計算し、
【数１２】 センタ１０の公開ファイルに登録する。
【００３６】一方、指名確認者６０は、同様にシステム
に加入するときは、剰余付き計算器２２０を用いて公開
情報ｂを生成してセンタ１０の公開ファイルに登録す
る。
に加入するときは、剰余付き計算器２２０を用いて公開
情報ｂを生成してセンタ１０の公開ファイルに登録す
る。
【００３７】即ち、図６の鍵の生成に示すように、指名
確認者６０は次の手順によって公開情報ｂをセンタ１０
に登録する。 ステップ１ 指名確認者６０は、乱数発生器６１を用い
て署名用鍵ｕを生成して、この署名用鍵ｕと公開鍵ｐと
公開鍵ｇから剰余付き計算器６２を用いて公開情報ｂを
次の(21)式を用いて計算し、
確認者６０は次の手順によって公開情報ｂをセンタ１０
に登録する。 ステップ１ 指名確認者６０は、乱数発生器６１を用い
て署名用鍵ｕを生成して、この署名用鍵ｕと公開鍵ｐと
公開鍵ｇから剰余付き計算器６２を用いて公開情報ｂを
次の(21)式を用いて計算し、
【数１３】 センタ１０の公開ファイルに登録する。
【００３８】(2) 署名の作成 以降では、図２及び図４に基づいて、署名者２０がメッ
セージｍに署名する場合について説明する。
セージｍに署名する場合について説明する。
【００３９】署名者２０は、乱数発生器２１で乱数ｒと
乱数ｗを生成した後に、メッセージｍに対して、公開鍵
ｐ，ｇ，ｂと自分の署名用鍵αから、剰余付き計算器２
２、圧縮関数演算器２３、及び排他的論理和演算器２４
を用いて、次の(22)式乃至(25)式の計算を行う。
乱数ｗを生成した後に、メッセージｍに対して、公開鍵
ｐ，ｇ，ｂと自分の署名用鍵αから、剰余付き計算器２
２、圧縮関数演算器２３、及び排他的論理和演算器２４
を用いて、次の(22)式乃至(25)式の計算を行う。
【数１４】 これにより、署名（ｄ，ｅ，ｙ）が得られる。署名者２
０は、署名（ｄ，ｅ，ｙ）をメッセージｍと共に検証者
５０に送信する。ここで、Ｆは圧縮関数演算器２３によ
る関数を意味する。
０は、署名（ｄ，ｅ，ｙ）をメッセージｍと共に検証者
５０に送信する。ここで、Ｆは圧縮関数演算器２３によ
る関数を意味する。
【００４０】(3) 署名者による署名の確認手順 以降では、図２、図４及び図５に基づいて、検証者５０
が署名者２０と通信することにより署名の確認を行う場
合に付いて説明する。
が署名者２０と通信することにより署名の確認を行う場
合に付いて説明する。
【００４１】検証者５０は、署名者２０と通信すること
によって、検査用鍵を用いて署名（ｄ，ｅ，ｙ）がメッ
セージｍに対する正しい署名であることを、以下の確認
手順によって検査する。
によって、検査用鍵を用いて署名（ｄ，ｅ，ｙ）がメッ
セージｍに対する正しい署名であることを、以下の確認
手順によって検査する。
【００４２】ステップ１ 検証者５０は、剰余付き計算
器５２、圧縮関数演算器５３、及び排他的論理和演算器
５４を用いて、次の(26)式の計算を行う。
器５２、圧縮関数演算器５３、及び排他的論理和演算器
５４を用いて、次の(26)式の計算を行う。
【数１５】 ステップ２ 署名者２０は検証者５０に対して、ｌｏｇ
g ｄ＝ｌｏｇb ｚであることを以下の手順で証明する。
g ｄ＝ｌｏｇb ｚであることを以下の手順で証明する。
【００４３】ステップ３ 検証者５０は、乱数発生器５
１を用いて２つの乱数ｓとｔを生成すると共に、剰余付
き計算器５２を用いて通信文ｆを次の(27)式によって計
算し、
１を用いて２つの乱数ｓとｔを生成すると共に、剰余付
き計算器５２を用いて通信文ｆを次の(27)式によって計
算し、
【数１６】 この通信文ｆを署名者２０に送信する。
【００４４】ステップ４ 署名者２０は、乱数発生器２
１より乱数ｑを発生した後、剰余付き計算器２２を用い
て通信文（ｖ，ｗ）を次の(28)(29)式によって計算し、
１より乱数ｑを発生した後、剰余付き計算器２２を用い
て通信文（ｖ，ｗ）を次の(28)(29)式によって計算し、
【数１７】 検証者５０に送信する。
【００４５】ステップ５ 検証者５０は、２つの乱数ｓ
とｔを署名者２０に送信する。
とｔを署名者２０に送信する。
【００４６】ステップ６ 署名者２０は、受信した乱数
ｓとｔが通信文ｆに対して次の(30)式を満たすことを剰
余付き計算器２２及び比較器２５を用いて検査し、
ｓとｔが通信文ｆに対して次の(30)式を満たすことを剰
余付き計算器２２及び比較器２５を用いて検査し、
【数１８】 この検査結果が合格なら、乱数ｑを検証者５０に送信す
る。また、不合格なら処理を停止する。
る。また、不合格なら処理を停止する。
【００４７】ステップ７ 検証者５０は、剰余付き計算
器５２及び比較器５５を用いて、次の(31)(32)式を満た
すことを確認する。
器５２及び比較器５５を用いて、次の(31)(32)式を満た
すことを確認する。
【数１９】 この確認結果が合格ならば、（ｄ，ｅ，ｙ）がメッセー
ジｍに対する署名者２０の正しい署名であると判断す
る。
ジｍに対する署名者２０の正しい署名であると判断す
る。
【００４８】(4) 指名確認者による署名の確認手順 以降では、図３、図５及び図６に基づいて、検証者５０
が指名確認者６０と通信することにより署名者２０によ
る署名の確認を行う場合に付いて説明する。
が指名確認者６０と通信することにより署名者２０によ
る署名の確認を行う場合に付いて説明する。
【００４９】検証者５０は、指名確認者６０と通信する
ことによって、署名（ｄ，ｅ，ｙ）が署名者２０のメッ
セージｍに対する正しい署名であることを、以下の確認
手順によって検査する。
ことによって、署名（ｄ，ｅ，ｙ）が署名者２０のメッ
セージｍに対する正しい署名であることを、以下の確認
手順によって検査する。
【００５０】ステップ１ 検証者５０は、剰余付き計算
器５２、圧縮関数演算器５３、及び排他的論理和演算器
５４を用いて、前記(26)式の計算を行う。 ステップ２ 指名確認者６０は検証者５０に対して、ｌ
ｏｇg ｂ＝ｌｏｇd ｚであることを以下の手順で証明す
る。
器５２、圧縮関数演算器５３、及び排他的論理和演算器
５４を用いて、前記(26)式の計算を行う。 ステップ２ 指名確認者６０は検証者５０に対して、ｌ
ｏｇg ｂ＝ｌｏｇd ｚであることを以下の手順で証明す
る。
【００５１】ステップ３ 検証者５０は、乱数発生器５
１を用いて２つの乱数ｓとｔを生成して、これより剰余
付き計算器５２を用いて通信文ｆを次の(33)式によって
計算し、
１を用いて２つの乱数ｓとｔを生成して、これより剰余
付き計算器５２を用いて通信文ｆを次の(33)式によって
計算し、
【数２０】 この通信文ｆをｄと共に、指名確認者６０に送信する。
【００５２】ステップ４ 指名確認者６０は、乱数発生
器６１を用いて乱数ｑを生成し、これより、剰余付き計
算器６２を用いて通信文（ｖ，ｗ）を次の(34)(35)式に
より計算し、
器６１を用いて乱数ｑを生成し、これより、剰余付き計
算器６２を用いて通信文（ｖ，ｗ）を次の(34)(35)式に
より計算し、
【数２１】 この通信文（ｖ，ｗ）を検証者５０に送信する。
【００５３】ステップ５ 検証者５０は、２つの乱数ｓ
とｔを指名確認者６０に送信する。
とｔを指名確認者６０に送信する。
【００５４】ステップ６ 指名確認者６０は、受信した
乱数ｓとｔが通信文ｆに対して次の(36)式を満たすこと
を、剰余付き計算器６２、比較器６５を用いて検査し、
乱数ｓとｔが通信文ｆに対して次の(36)式を満たすこと
を、剰余付き計算器６２、比較器６５を用いて検査し、
【数２２】 合格なら、乱数ｑを検証者５０に送信する。また、不合
格なら処理を停止する。
格なら処理を停止する。
【００５５】ステップ７ 検証者５０は、剰余付き計算
器５２、比較器５５を用いて、次の(37)(38)式を満たす
ことを確認する。
器５２、比較器５５を用いて、次の(37)(38)式を満たす
ことを確認する。
【数２３】 この確認結果が合格ならば、（ｄ，ｅ，ｙ）がメッセー
ジｍに対する署名者２０の正しい署名であると判断す
る。
ジｍに対する署名者２０の正しい署名であると判断す
る。
【００５６】前述した本実施例のディジタル署名方式に
よれば、従来に比べて大幅な処理時間の短縮が可能とな
る。即ち、従来のChaum の方法による署名方式と本実施
例との署名作成時間を比較した場合、Chaum の方法で
は、ＲＳＡ法の署名作成処理及びべき剰余演算を２回必
要とする。これら以外の処理時間は比較的小さいため、
ここでは無視して良い。
よれば、従来に比べて大幅な処理時間の短縮が可能とな
る。即ち、従来のChaum の方法による署名方式と本実施
例との署名作成時間を比較した場合、Chaum の方法で
は、ＲＳＡ法の署名作成処理及びべき剰余演算を２回必
要とする。これら以外の処理時間は比較的小さいため、
ここでは無視して良い。
【００５７】一方、本実施例では、２回のべき剰余演算
処理以外は、時間的に無視できるものである。従って、
従来のChaum の方法による署名方式に比べて、本実施例
はＲＳＡ法の処理時間分だけ処理量が少ないことにな
り、処理時間が大幅に短縮される。例えば、ＩＣカード
相当の装置を用いて実現した場合、Chaum の方法では、
署名作成に数１０秒（ＲＳＡ法の署名作成時間）必要と
するのに対し、本実施例では、０．１秒以下で処理が可
能である。
処理以外は、時間的に無視できるものである。従って、
従来のChaum の方法による署名方式に比べて、本実施例
はＲＳＡ法の処理時間分だけ処理量が少ないことにな
り、処理時間が大幅に短縮される。例えば、ＩＣカード
相当の装置を用いて実現した場合、Chaum の方法では、
署名作成に数１０秒（ＲＳＡ法の署名作成時間）必要と
するのに対し、本実施例では、０．１秒以下で処理が可
能である。
【００５８】さらに、このべき剰余演算の処理は、メッ
セージｍに依存しない値であるため、本実施例では事前
処理が可能である。これに対して、従来例のＲＳＡ法を
用いた署名作成処理はメッセージｍの値に依存するた
め、事前処理が不可能となる。これによっても、本実施
例は従来例に比べて、処理効率が向上している。
セージｍに依存しない値であるため、本実施例では事前
処理が可能である。これに対して、従来例のＲＳＡ法を
用いた署名作成処理はメッセージｍの値に依存するた
め、事前処理が不可能となる。これによっても、本実施
例は従来例に比べて、処理効率が向上している。
【００５９】
【発明の効果】以上説明したように本発明によれば、剰
余演算の処理以外は、時間的に無視できるものであり、
従来例のChaum の方式に比べてＲＳＡ法の処理時間分だ
け、本発明では、処理量が少ないことになる。さらに、
ＲＳＡ法の署名作成処理はメッセージｍの値に依存する
ため、事前処理が不可能であるのに対して、剰余演算の
処理はメッセージｍに依存しない値であるため、事前処
理が可能である。
余演算の処理以外は、時間的に無視できるものであり、
従来例のChaum の方式に比べてＲＳＡ法の処理時間分だ
け、本発明では、処理量が少ないことになる。さらに、
ＲＳＡ法の署名作成処理はメッセージｍの値に依存する
ため、事前処理が不可能であるのに対して、剰余演算の
処理はメッセージｍに依存しない値であるため、事前処
理が可能である。
【００６０】従って、極力、事前処理を用いることを前
提とした場合、Chaum の方法では、ＲＳＡ法の署名作成
時間が必要とされるのに対し、本発明では、無視できる
程度の時間で処理が可能であるという非常に優れた効果
を奏するものである。
提とした場合、Chaum の方法では、ＲＳＡ法の署名作成
時間が必要とされるのに対し、本発明では、無視できる
程度の時間で処理が可能であるという非常に優れた効果
を奏するものである。
【図１】本発明の全体構成を示す図
【図２】署名者と検証者間の通信シーケンスを示す図
【図３】指名確認者と検証者間の通信シーケンスを示す
図
図
【図４】署名者における処理の流れを示すブロック図
【図５】検証者における処理の流れを示すブロック図
【図６】指名確認者における処理の流れを示すブロック
図
図
１０…センタ、２０…署名者、２１…乱数発生器、２２
…剰余付き計算器、２３…圧縮関数演算器、２４…排他
的論理和演算器、２５…比較器、３０…通信路、５０…
検証者、５１…乱数発生器、５２…剰余付き計算器、５
３…圧縮関数演算器、５４…排他的論理和演算器、５５
…比較器、６０…指名確認者、６１…乱数発生器、６２
…剰余付き計算器、６５…比較器。
…剰余付き計算器、２３…圧縮関数演算器、２４…排他
的論理和演算器、２５…比較器、３０…通信路、５０…
検証者、５１…乱数発生器、５２…剰余付き計算器、５
３…圧縮関数演算器、５４…排他的論理和演算器、５５
…比較器、６０…指名確認者、６１…乱数発生器、６２
…剰余付き計算器、６５…比較器。
Claims (1)
- 【請求項１】 署名者が電子化されたメッセージに署名
するディジタル署名方式において、 センタはシステム共通情報として数値ｐ及び数値ｇを登
録した公開ファイルを備え、 署名者による指名確認者は、乱数発生手段を用いて署名
用鍵ｕを生成し、該署名用鍵ｕから剰余演算手段を用い
て公開情報ｂを生成して前記センタの公開ファイルに登
録し、 署名者は、乱数発生手段を用いて署名用鍵αを生成し、
該署名用鍵αから剰余演算手段を用いて公開情報ａを生
成して前記センタの公開ファイルに登録した後、 メッセージｍに対する署名情報として乱数ｒを生成し、
該乱数ｒから剰余演算手段を用いてｄ＝ｇr ｍｏｄ ｐ
及びｂr ｍｏｄ ｐ を算出すると共に、 乱数ｗを生成し、該乱数ｗから剰余演算により数値ｘを
算出し、さらに、該数値ｘと前記メッセージｍとの圧縮
関数値Ｆ（ｍ，ｘ）と前記ｂr ｍｏｄ ｐ からこれらの
排他的論理和値ｅを算出すると共に、前記乱数ｗ、署名
用鍵α及び排他的論理和値ｅから剰余演算により数値ｙ
を算出し、 前記（ｄ，ｅ，ｙ）をメッセージｍに対する署名情報と
して、メッセージｍと共に検証者に送信し、 検証者が署名付きメッセージの正当性を署名者を用いて
検証する場合には、検証者は、前記（ｍ，ｅ，ｙ，ａ）
から剰余演算により数値ｚを算出した後、 署名者との通信により、前記乱数ｒの値を検証者に秘密
にしたまま、ｚ＝ｂrｍｏｄ ｐ であることを検証し、
該検証に成功したとき、前記（ｄ，ｅ，ｙ）をメッセー
ジｍに対する正しい署名情報として認証し、 検証者が署名付きメッセージの正当性を指名確認者を用
いて検証する場合には、検証者は、前記（ｍ，ｅ，ｙ，
ａ）から剰余演算により数値ｚを計算した後、指名確認
者との通信により、前記署名用鍵ｕの値を検証者に秘密
にしたまま、ｚ＝ｄu ｍｏｄ ｐ であることを検証し、
該検証に成功したとき、前記（ｄ，ｅ，ｙ）をメッセー
ジｍに対する正しい署名情報として認証することを特徴
とするディジタル署名方式。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP05231894A JP3292342B2 (ja) | 1994-03-23 | 1994-03-23 | ディジタル署名方式 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP05231894A JP3292342B2 (ja) | 1994-03-23 | 1994-03-23 | ディジタル署名方式 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH07261663A true JPH07261663A (ja) | 1995-10-13 |
| JP3292342B2 JP3292342B2 (ja) | 2002-06-17 |
Family
ID=12911447
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP05231894A Expired - Fee Related JP3292342B2 (ja) | 1994-03-23 | 1994-03-23 | ディジタル署名方式 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3292342B2 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5963649A (en) * | 1995-12-19 | 1999-10-05 | Nec Corporation | Message authorization system for authorizing message for electronic document |
| DE19829643C2 (de) * | 1997-07-04 | 2000-05-04 | Nippon Telegraph & Telephone | Verfahren und Vorrichtung zur Block-Verifikation mehrerer digitaler Signaturen und Speichermedium, auf dem das Verfahren gespeichert ist |
-
1994
- 1994-03-23 JP JP05231894A patent/JP3292342B2/ja not_active Expired - Fee Related
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5963649A (en) * | 1995-12-19 | 1999-10-05 | Nec Corporation | Message authorization system for authorizing message for electronic document |
| DE19829643C2 (de) * | 1997-07-04 | 2000-05-04 | Nippon Telegraph & Telephone | Verfahren und Vorrichtung zur Block-Verifikation mehrerer digitaler Signaturen und Speichermedium, auf dem das Verfahren gespeichert ist |
| US6212637B1 (en) | 1997-07-04 | 2001-04-03 | Nippon Telegraph And Telephone Corporation | Method and apparatus for en-bloc verification of plural digital signatures and recording medium with the method recorded thereon |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3292342B2 (ja) | 2002-06-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9990796B2 (en) | Data card verification system | |
| US8713321B2 (en) | Method and apparatus for verifiable generation of public keys | |
| EP0824814B1 (en) | Methods and apparatus for authenticating an originator of a message | |
| US7480795B2 (en) | Method for the application of implicit signature schemes | |
| US20050091492A1 (en) | Portable security transaction protocol | |
| JPH0512321A (ja) | 認証方式 | |
| KR960042410A (ko) | 인증교환 방법과 복원형 전자서명 방법 및 부가형 전자서명 방법 | |
| JP2000155524A (ja) | 電子検印システム | |
| JPH07261663A (ja) | ディジタル署名方式 | |
| Riera et al. | Efficient construction of vote-tags to allow open objection to the tally in electronic elections | |
| JPH11234263A (ja) | 相互認証方法および装置 | |
| JP3123916B2 (ja) | デジタル署名システム | |
| JP3316895B2 (ja) | 正当性の確認システム | |
| KR100194638B1 (ko) | 개인 식별정보를 이용한 부가형 디지털 서명방법 | |
| JP3107313B2 (ja) | ディジタル署名方法 | |
| KR19980048479A (ko) | 안전성 측면의 디지털 서명 방법 | |
| JPH09200198A (ja) | メッセージ認証システム | |
| JP3331329B2 (ja) | 公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体 | |
| JP3178537B2 (ja) | ディジタル署名方法 | |
| JPH07336348A (ja) | 認証装置および認証方法 | |
| JPH09284271A (ja) | 制限付ブラインド署名方法およびシステム | |
| JP2000231330A (ja) | ブラインド署名方法、そのシステム、その装置およびプログラム記録媒体 | |
| JPH07281595A (ja) | 認証方式 | |
| Fan et al. | An efficient election scheme for resolving ties | |
| JPH0777934A (ja) | 離散対数ベース認証方式 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090329 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090329 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100329 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110329 Year of fee payment: 9 |
|
| LAPS | Cancellation because of no payment of annual fees |