JPH1020781A - 電子署名方法、その検証方法および装置 - Google Patents

Abstract

(57)【要約】 【課題】 相手に知られてもよい文書のみを開示すれば
残りの文書は知られないで済む。 【解決手段】 文書作成者Ａは文書Ｍ１，Ｍ２を文書攪
乱器２１で攪乱し、署名対象Ｇ１，Ｇ２として署名者Ｂ
へ送り、ＢはＧ１，Ｇ２に対し署名演算を行い、署名Ｓ
をＡへ返す。ＡはＭ１（又はＭ２）とＧ２（又はＧ１）
とＳを検証者Ｃ１（又はＣ２）へ送り、Ｃ１（又はＣ
２）はＭ１（又はＭ２）を攪乱して、Ｇ１（又はＧ２）
を作り、そのＧ１（又はＧ２）と受信したＧ２（又はＧ
１）とを用いてＳの署名検証を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、例えば電子現金
に適用され、電気通信システムやＩＣカードを利用して
電子的な署名を行う方法、その検証方法及びその装置に
関する。

【０００２】

【従来の技術】文書作成者、署名者、検証者がおり、文
書作成者は作成した文書Ｍを署名者へ送り、署名Ｓを生
成してもらい、後に検証者にその文書Ｍとその署名Ｓを
示して検証させることにより、その文書Ｍに対して署名
者の署名がついていることを検証者に納得してもらうも
のである。

【０００３】ここで、文書作成者は、複数の検証者Ｃ
１，Ｃ２，・・・，Ｃｎに対して、文書作成者が作成し
た複数の文書Ｍ１，Ｍ２，・・・，Ｍｎに関して、署名
検証者Ｃｉ（１≦ｉ≦ｎ）に文書Ｍｉ以外の文書を開示
することなく、署名者の生成した署名を検証してもらう
場合を考える。以下、上記条件を満たす従来の技術につ
いて説明する。

【０００４】まず、文書作成者はＣｊが検証者であるこ
とを知った後、対応する文書Ｍｊを署名者へ送付して署
名Ｓｊをもらい、検証者Ｃｊへ文書Ｍｊと署名Ｓｊを提
示する。検証者Ｃｊは文書Ｍｊを用いて署名Ｓｊを検証
する。検証者が不定の場合、文書作成者は、前もってｎ
個の文書Ｍ１，Ｍ２，・・・，Ｍｎに対するｎ個の署名
Ｓ１，Ｓ２，・・・，Ｓｎをもらっておく必要がある。

【０００５】

【発明が解決しようとする課題】従来の技術では、利用
者が複数の文書を持ち、その文書を開示しても良い相手
が限定される場合、利用者は署名をしてもらう前にあら
かじめ、その署名の検証者を決定しておく必要性がある
という問題があった。つまり、従来の方法では、署名お
よびその正しさを複数の検証者に示すことが出来ない場
合が存在しうるのである。

【０００６】この発明の目的は、検証者が不定の場合で
も、１つの署名で署名検証処理が出来る署名方法および
その装置を提供することにある。

【０００７】

【課題を解決するための手段】請求項１の発明によれ
ば、文書作成者は複数の文書Ｍ１，・・・，Ｍｎを文書
作成者装置で攪乱して、それぞれ署名対象Ｇ１，・・
・，Ｇｎを生成し、これら署名対象を署名者の装置へ送
り、署名者装置では署名対象Ｇ１，・・・，Ｇｎの全体
に対して署名演算を行い、署名Ｓを生成して文書作成者
装置へ返送し、文書作成者装置は、Ｍ１，・・・，Ｍ
ｎ，Ｇ１，・・・，Ｇｎ，Ｓを記憶装置に記憶する。

【０００８】請求項２の発明では検証処理の際に、署名
Ｓと、検証者に開示できる文書と、署名対象中の開示で
きる文書と対応するものを除いたものとを検証者の装置
へ送り、検出者装置は、受信した文書を攪乱して署名対
象を生成し、その署名対象と受信した署名対象とを用い
て署名Ｓを検証する。請求項３，４はそれぞれ請求項
１，２において攪乱の際に各文書ごとに攪乱情報を付加
して、安全度を高めている。

【０００９】請求項５は請求項２又は４で公開鍵暗号方
法を用いたブラインド署名による。請求項６は請求項５
の検証方法を加えている。請求項７は請求項２中の検証
方法のみを要旨とする。請求項８、９はそれぞれ請求項
２の発明で用いる文書作成者装置、検証者装置である。

【００１０】

【発明の実施の形態】以下では、この発明の一実施例の
形態について説明する。ここでは簡単のため、文書は２
つ（Ｍ１，Ｍ２）、検証者は２人（Ｃ１，Ｃ２）で、文
書Ｍ１は検証者Ｃ２に、文書Ｍ２は検証者Ｃ１に開示出
来ないと仮定する。図１に示すように文書作成者の装置
１１と、署名者の装置１２とは通信回線又はＩＣカード
で接続可能であり、また文書作成者装置１１と検証者Ｃ
１，Ｃ２の各装置１３，１４とそれぞれ通信回線又はＩ
Ｃカードで接続可能とされている。

【００１１】まず、文書作成者は装置１１で文書Ｍ１，
Ｍ２を攪乱して署名対象Ｇ１，Ｇ２を生成しそれらを署
名者に送る。署名者は装置１２で署名対象Ｇ１，Ｇ２に
署名Ｓをして文書作成者に返信する。署名Ｓを検証者Ｃ
１に示す場合、文書作成者は署名Ｓ、文書Ｍ１、署名対
象Ｇ２を検証者Ｃ１に送り、検証者Ｃ１は装置１３によ
り署名Ｓの検証を行う。署名Ｓを検証者Ｃ２に示す場合
は、文書作成者は署名Ｓ、文書Ｍ２、署名対象Ｇ１を検
証者Ｃ２に送り、検証者Ｃ２は装置１４により署名Ｓの
検証を行う。

【００１２】以下各処理を具体的に説明する。署名生成処理 まず、署名生成処理を図２を参照して説明する。文書作
成者は装置１１内の文書攪乱器２１に文書Ｍ１，Ｍ２を
アルゴリズム識別子Ｄａのアルゴリズムにより署名対象
Ｇ１，Ｇ２に変換し、それらを署名者の装置１２に送信
する。署名者は署名対象Ｇ１，Ｇ２を装置１２内の署名
生成器２２で自らの秘密鍵ＳｋＵｂにより署名Ｓを生成
し、署名Ｓを、秘密鍵ＳｋＵｂに対応する公開鍵ＰｋＵ
ｂ、署名アルゴリズム識別子Ｄｂと共に文書作成者に返
信する。文書作成者は受信した公開鍵ＰｋＵｂ、署名ア
ルゴリズム識別子Ｄｂと保持していた署名対象Ｇ１，Ｇ
２とを用いて署名Ｓの正しさを装置１１内の署名検証器
２３で検証し、正しければ、受信したＳ，ＰｋＵｂ，Ｄ
ｂと、Ｇ１，Ｇ２の生成に用いたアルゴリズム識別子Ｄ
ａ、攪乱情報Ｒ１，Ｒ２を記憶装置２４に保存する。署名検証処理 まず、文書作成者が、署名Ｓを、検証者Ｃ１に示す場合
を考える。図３に示すように文書作成者はＳ，Ｄａ，Ｍ
１，Ｒ１，Ｇ２，ＰｋＵｂ，Ｄｂを記憶装置２４から検
証者Ｃ１の装置１３へ送信する。検証者Ｃ１の装置１３
はＭ１，Ｄａ，Ｒ１を文書変換器２５に入力し、その出
力としてＧ１を得る。その後、このＧ１と先に受信した
Ｓ，Ｇ２，ＰｋＵｂ，Ｄｂを署名検証器２６に入力し、
署名検証器２６は署名Ｓを検証する。

【００１３】次に、文書作成者が、署名Ｓを、検証者Ｃ
２に示す場合を考える。図４に示すように、文書作成者
は記憶装置２４からＳ，Ｄａ，Ｍ２，Ｒ２，Ｇ１，Ｐｋ
Ｕｂ，Ｄｂを検証者Ｃ２の装置１４へ送信する。検証者
Ｃ２の装置１４はＤａ，Ｍ２，Ｒ２を文書変換器２７に
入力し、その出力としてＧ２を得る。その後、装置１４
はこのＧ２と先に受信したＳ，Ｇ１，ＰｋＵｂ，Ｄｂを
署名検証器２８に入力し、署名検証器２８で署名Ｓを検
証する。

【００１４】図２中の文書攪乱器２１の具体例は図５に
示すように乱数発生器３１により乱数Ｒが生成され、そ
の乱数Ｒと文書Ｍとの連結ＭＩＩＲを変数としてハッシ
ュ演算器３２でハッシュ関数が演算され、その演算結
果、つまり署名対象Ｇと、乱数Ｒが出力され、図２中の
記憶装置２４に記憶される。文書攪乱器２１としてはあ
るいは図６に示すように、複数の一方向性関数演算器３
２−１〜３１−ｎが設けられ、これら演算器３２−１〜
３２−ｎはその攪乱アルゴリズムが互いに異なるもので
あり、文書攪乱器２１には文書Ｍと攪乱アルゴリズムの
識別子Ｄが入力され、その識別子Ｄに応じて演算器選択
器３３が制御され、文書Ｍと乱数Ｒとが演算器３２−１
〜３２−ｎ中の識別子Ｄと対応する演算器に供給され
る。この場合は、検証者装置へ攪乱アルゴリズムＤも送
られる。

【００１５】図３中の文書変換器２５の具体例を、図６
の文書攪乱器２１と対応したものを図７に示す。受信し
た文書Ｍと乱数Ｒと攪乱アルゴリズムの識別子Ｄとが入
力され、その識別子Ｄに応じて演算器選択器３４が制御
され、互いにアルゴリズムが異なる一方向性関数演算器
３５−１〜３５−ｎ中の１つが選択され、その選択され
た演算器に、文書Ｍと乱数Ｒとが供給され、これらを変
数として一方向性関数が演算され、その演算結果が署名
対象Ｇとして出力される。

【００１６】なお上述で文書攪乱器としては乱数生成器
３１を省略してもよい。しかし安全性を高める点からは
乱数などの攪乱情報も併用した方がよい。また攪乱演算
器としてはハッシュ関数に限らず、他の一方向性関数を
演算するものでもよい。更に上述において、検証者装置
へ送る開示できる文書を１つとしたが、これが複数であ
ってもよく、検証者装置へ送る署名対象は、検証者装置
へ送る開示できる文書と対応するものを除く全てとな
る。

【００１７】以下に各装置での基本的な処理手順を、検
証者に開示できる文書が１つの場合について説明する。
署名を得る場合、文書作成者装置１１では、図９に示す
ように文書Ｍ１，・・・，Ｍｎより署名対象Ｇ１，・・
・，Ｇｎを生成し（Ｓ１）、これら署名対象Ｇ１，・・
・，Ｇｎを署名者装置１２へ送り（Ｓ２）、これらに対
する署名者Ａからの署名Ｓを受信し（Ｓ３）、その署名
Ｓが正しいものかを検証し（Ｓ４）、正しくなければ処
理を中断し、正しければ文書Ｍ１，・・・，Ｍｎ、署名
対象Ｇ１，・・・，Ｇｎ、署名Ｓ，署名検証用公開鍵Ｐ
ｋＵｂ、署名アルゴリズムＤｂ，署名対象作成に用いた
攪乱情報Ｒ１，・・・，Ｒｎ、攪乱アルゴリズム識別子
Ｄａを記憶装置に記憶する（Ｓ５）。

【００１８】署名者装置１２では図１０に示すように、
署名対象Ｇ１，・・・，Ｇｎを受信し（Ｓ１）、これら
署名対象に対して秘密鍵ＳｋＵｂで署名演算を行って署
名Ｓを生成し（Ｓ２）、その署名Ｓ、公開鍵ＰｋＵｂ、
アルゴリズム識別子Ｄｂを文書作成者Ａへ送信する（Ｓ
３）。文書作成者Ａが文書Ｍについての署名Ｓの検証を
検証者に求める場合は図１１に示すように、文書Ｍｉ、
この文書Ｍｉと対応する署名対象を除いた署名対象Ｇｊ
（ｊ：ｉを除いたｉ≦ｊ≦ｎをみたす全ての整数）、署
名Ｓ、公開鍵ＰｋＵｂ、署名アルゴリズム識別子Ｄｂを
検証者へ送る。

【００１９】検証者が文書Ｍｉの署名Ｓを検証する場合
は、図１２に示すように、文書Ｍｉとこれと対応する以
外の署名対象Ｇｊ（ｊ：ｉを除いたｉ≦ｊ≦ｎを満す整
数）、署名Ｓ、公開鍵ＰｋＵｂ、署名アルゴリズム識別
子Ｄｂを受信し（Ｓ１）、これらを用いて署名Ｓの検証
を行い、正しくなければ処理を中断し、正しければ文書
Ｍｉ、署名対象Ｇｊ、署名Ｓを記憶手段に格納して終了
する（Ｓ３）。

【００２０】文書作成者装置１１は例えば図１３に、図
２，図３に対応する部分に同一符号を付けて示すよう
に、送信部４１を通じて署名対象Ｇ１，・・・，Ｇｎの
署名者装置１２への送信や、署名Ｓ、文書Ｍｉ、署名対
象Ｇｊ、公開鍵ＰｋＵｂ、アルゴリズム識別子Ｄｂなど
を検証者装置１３や１４へ送信を行い、受信部４２で署
名者装置１２よりの署名Ｓ、公開鍵ＰｋＵｂ、署名アル
ゴリズム識別子Ｄｂを受信する。制御部４３で記憶装置
２４の読出し、書込み制御、文書攪乱器２１、署名検証
器２３、送信部４１、受信部４２の動作制御を行い、文
書の署名を得たい場合は、文書Ｍ１，・・・，Ｍｎを読
出し、文書攪乱器２１を動作させ、更に送信部４１より
署名対象Ｇ１，・・・，Ｇｎの送出を行わせ、署名者装
置よりの受信した署名Ｓの検証を署名検証器２３に行わ
せ、その結果が合格ならＳなどを記憶装置２４に記憶す
る。また検証処理時には、制御部４３文書Ｍｉ、署名対
象Ｇｊの読出し、検証者装置への送信を制御する。

【００２１】検証者装置１３は図１４に図３と対応する
部分に同一符号を付けて示すように、文書作成者装置１
１からの信号は受信部４５で受信され、制御部４６は、
その受信信号中の文書Ｍｉを文書変換器２５へ供給し、
署名対象Ｇｉに変換し、これと、その他の受信された署
名Ｓ、署名対象Ｇｊとを署名検証器２６に供給して検証
処理をさせる。適用例 ここでは、特願平７−２８７４５７「信託機関付き電子
現金方法」にこの発明を適用した具体例を示す。

【００２２】前記電子現金方法では、電子現金の利用者
は、まず最初に、信託機関と呼ぶ機関により、利用許可
証を発行してもらう。銀行（ここでは、電子現金の発行
・決済者を銀行と呼ぶが、実際は、どのような機関でも
良い）は、利用者の要求に従い、利用者にある金額の電
子現金（または、電子コインと呼ぶ）を発行する。利用
者は、その電子コインを額面金額になるまで何回でも支
払いに用いる。この場合、電子コインの受領者は、銀行
に対して実名を明らかにして預金処理を行なうが、電子
コインによる、支払処理においては、実名を秘匿したま
ま、公開鍵情報を支払相手に見せる必要がある。これ
は、銀行に対して、商品購入に関する支払者のプライバ
シーを守る為の条件である。つまり前記電子現金方法で
は、利用者Ａが電子現金を利用者Ｂから受取る場合に、
その電子現金を銀行で決済してもらう場合は、利用者Ａ
はその実名ＩＤａを利用者Ｂに署名してもらう必要があ
り、一方、利用者Ａが受取った電子現金を他の利用者Ｃ
へ譲渡する場合は、実名ＩＤａではなく、仮名（公開鍵
情報）に署名してもらうことにより、プライバシーを守
ることができることになる。このように、受取った後の
電子現金の使い方により、実名か、仮名かを電子現金受
取り時に予め区別する必要があった。しかし上記処理に
対しこの発明を適用すると、以下に述べるように、銀行
へ実名を見せるかまたは公開鍵情報（仮名）を支払相手
に見せるのかを、電子コイン受領時には決める必要がな
い。

【００２３】この適用例では、信託機関装置４００、利
用者装置５００、銀行装置６００、受領者装置７００で
構成され、これらは通信回線又はＩＣカードなどで接続
することができる。これら装置に用いる署名アルゴリズ
ムは全てＲＳＡ方式とし、文書攪乱器は図５に示したも
のを、文書攪乱検証器は図８に示したものを、文書変換
器はハッシュ演算器をそれぞれ使用することとする。な
お、文中のｈ（ ），ｇ（ ）は一方向性関数のことで
ある。

【００２４】信託機関装置４００は秘密鍵（ｄｊ，Ｎ
ｊ）および、公開鍵（ｅｊ，Ｎｊ）を保持し、利用者装
置５００は秘密鍵ｄｕと公開鍵ｅｕと匿名公開情報Ｎｕ
を持つ。銀行Ａは、発行する電子コインの金額ｗｉに対
応する秘密鍵ｄｗｉ及び公開鍵ｅｗｉの対を保持し、金
額に共通の公開鍵Ｎｗ及びｅｗｉとｗｉの対応を公開す
る。利用許可証の発行処理 利用者Ｕは、利用許可証を信託機関Ｊから発行してもら
う。利用許可証は１度発行してもらえばよい。この発行
処理手順を図１５を参照して説明する。

【００２５】ステップ１ 利用者Ｕはその装置５００を
用いて、その記憶装置５０１内の利用者識別子ＩＤｕ、
匿名公開情報Ｎｕを取出し、これらをそれぞれ文書攪乱
器５０２で、発生した乱数ｒ１、ｒ２と共に攪乱して攪
乱出力Ｈ１，Ｈ２を生成し、ｒ１，ｒ２を記憶装置５０
１に記憶する。 ステップ２ 利用者ＵはＨ１，Ｈ２，ｒ１，ｒ２とＩＤ
ｕ，Ｎｕを信託機関装置４００へ送り、利用許可証の発
行を求める。

【００２６】ステップ３ 信託機関Ｊは利用者Ｕの身元
を何らかの方法で確認した後、合格した時は、装置４０
０内の文書攪乱検証器４０１にＨ１，Ｈ２，ｒ１，ｒ
２，ＩＤｕ，Ｎｕを入力してＨ１，Ｈ２を検証する。こ
の検証に合格すると、利用者ＵのＩＤｕと匿名公開情報
Ｎｕを組として記憶装置４０２の対応表４０３に記憶し
て秘密に管理する。なお、文書攪乱検証器４０１の例を
図８に示す。入力された文書Ｍと乱数ｒとを変数として
ハッシュ演算器３６でハッシュ関数が演算され、この演
算結果Ｈ′と入力されたＨとが比較器３７で比較され、
一致すれば合格、不一致で不合格が出力される。

【００２７】ステップ４ 信託機関装置４００は、有効
期限等の情報Ｉを生成し、ハッシュ演算器４０４は、Ｈ
１，Ｈ２，Ｉを入力し、ハッシュ演算器４０４の出力ｇ
（Ｈ１‖Ｈ２‖Ｉ）を、署名生成器４０５により秘密鍵
ｄｊ，Ｎｊを用いて次の署名演算を行う。 Ｂ＝（ｇ（Ｈ１‖Ｈ２‖Ｉ））^djｍｏｄ Ｎｊ （２） この署名ＢとＩを利用者装置５００に送信する。

【００２８】ステップ５ 利用者装置５００は、信託機
関装置４００からの受信データＢ、Ｉと匿名公開情報Ｎ
ｕとを利用許可証（Ｂ，Ｉ，Ｎｕ，ＩＤｕ，ｒ１，ｒ
２）として、記憶装置５０１に記憶する。以下では説明
を簡単にするため、Ｂ＝（ｇ（Ｎｕ‖Ｉ）^djｍｏｄＮ
ｊ，利用許可証を（Ｂ，Ｉ，Ｎｕ）とする。電子現金の発行処理 次に、利用者Ｕが銀行Ａから電子現金を発行してもらう
手順を図１６を参照して説明する。

【００２９】ステップ１ 利用者装置５００で、乱数発
生器５０３を用いて乱数Ｒｃを生成して、記憶装置５０
１に記憶する。一方、その乱数Ｒｃと記憶装置５０１か
ら読みだした署名Ｂを、ハッシュ演算器５０４に入力し
てｇ（Ｂ‖Ｒｃ）を計算する。続いて、乱数生成器５０
３を駆動して乱数ｒを生成し、ｇ（Ｂ‖Ｒｃ）とｒと、
発行して欲しい利用限度額ｗｉ（金額情報：例えば１万
円）と対応する公開鍵ｅｗｉおよび、金額共通の公開鍵
Ｎｗとを、ブラインド署名前処理器５０５へ入力して次
式の処理を行う。

【００３０】 Ｚ＝ｇ（Ｂ‖Ｒｃ）ｒ^ewi ｍｏｄ Ｎｗ （３） この処理結果Ｚを電子コインの金額情報ｗｉと共に銀行
装置６００に送信する。 ステップ２ 銀行装置６００は、電子コインの金額ｗｉ
に対応する秘密鍵ｄｗｉと公開鍵Ｎｗを記憶装置６０１
から取出して署名生成器６０２へ入力し、受信情報Ｚに
対して次の処理（ブラインド署名）を行う。

【００３１】 Ｑ＝Ｚ^dwi ｍｏｄ Ｎｗ （４） この署名Ｑを利用者装置５００に送信する。 ステップ３ 利用者装置５００は、ブラインド署名前処
理のために先に発生した乱数ｒと公開鍵Ｎｗと受信情報
Ｑとをブラインド署名後処理器５０６へ入力し、次式の
処理を行って指定した金額の引換署名、つまり電子コイ
ンＣを得て記憶装置５０１に記憶する。

【００３２】 Ｃ＝Ｑ／ｒ ｍｏｄ Ｎｗ （５） ここで、Ｃ＝（ｇ（Ｂ‖Ｒｃ））^dwi ｍｏｄ Ｎｗ と
なる。なおＲＳＡ暗号方法を用いたブラインド署名では
ewi × dwi ｍｏｄ Ｎｗ＝１である。電子コインによる支払 次に、利用者Ｕが銀行Ａにより発行された電子コインＣ
を用いて、受領者Ｖ１に支払いを行う場合について図１
７を参照して説明する。

【００３３】ステップ１ 利用者Ｕは装置５００によ
り、利用許可証（Ｉ，Ｎｕ，Ｂ）と乱数Ｒｃ、電子コイ
ンＣ、その金額ｗｉを受領者Ｖ１の装置７００に送る。 ステップ２ 受領者装置７００は、受信したＩ，Ｎｕお
よび、記憶装置７０１から読み出した信託機関Ｊの公開
鍵ｅｊ，Ｎｊを署名検証器７０２へ入力し、Ｉ，Ｎｕに
対する署名Ｂの正当性を、次式を検証することにより確
認する。

【００３４】 Ｂ^ej≡ｇ（Ｎｕ‖Ｉ）ｍｏｄ Ｎｊ （６） 続いて、Ｂ，Ｒｃに対する署名Ｃの正当性、つまり電子
コインＣの正当性を検証するため、受信したＢ，Ｒｃお
よび、記憶装置７０１から読み出したｅｗｉ，Ｎｗを署
名検証器７０３へ入力し、次式を満たすことを確認す
る。 Ｃ^ewi ≡ｇ（Ｂ‖Ｒｃ）ｍｏｄ Ｎｗ （７） この検査の何れかが不合格のときは以降の処理を中止す
る。

【００３５】ステップ３ この両検査に合格した場合、
受領者装置７００は乱数生成器７０４を用いて乱数Ｅを
生成し、自らの識別子ＩＤｖ及び、公開鍵Ｎｖを記憶装
置７０１から読み出し、それを文書攪乱器７０７に入力
して、その出力としてＧ１，Ｇ２を得る。Ｅ，Ｇ１，Ｇ
２を出力する時刻印Ｔ（タイマ７０５から）と共に利用
者装置５００に送る。

【００３６】ステップ４ 利用者装置５００は、電子コ
インＣのうち金額Ｘを使用することを決め、署名生成器
５０７へＸと受信情報Ｔ，Ｅ，Ｇ１，Ｇ２を入力し、次
式により署名を行う。 Ｓ＝（ｇ（Ｘ‖ｈ（Ｔ‖Ｅ‖Ｇ１‖Ｇ２）））^duｍｏｄ Ｎｕ （８） この署名Ｓ、公開鍵ｅｕ、およびＸを受領者装置７００
に送る。

【００３７】ステップ５ 受領者装置７００は、署名検
証器７０６へＳ，Ｘ，ｅｕ，Ｎｕ，Ｔ，Ｅ，Ｇ１，Ｇ２
を入力し、次式が成り立つことを検証する。 Ｓ^eu≡ｇ（Ｘ‖ｈ（Ｔ‖Ｅ‖Ｇ１‖Ｇ２））ｍｏｄ Ｎｕ （９） この検証に合格すれば、受領者装置７００は、利用者Ｕ
のＸに該当する金額の支払いを正当なものとみなして受
領する。Ｓ，Ｘ，ｅｕ，Ｔ，Ｅ，Ｇ１，Ｇ２，Ｒ１，Ｒ
２を記憶装置７０１に記憶する。つまり匿名情報Ｎｕは
記憶されるが、その個人識別子ＩＤｕはそのままの形式
では利用されない。電子コインによる再支払 つぎに、受領者Ｖ１が利用者Ｕにより支払われた電子コ
インを再び用いて、受領者Ｖ２に支払いを行う場合につ
いて図１８を参照して説明する。

【００３８】ステップ１ 受領者Ｖ１は装置７００より
Ｉ，Ｎｕ，ｅｕ，Ｂ，Ｒｃ，Ｃ，ｗｉ，Ｓ，Ｘ，Ｔ，
Ｅ，Ｇ１，Ｒ２，Ｎｖを受領者Ｖ２の装置８００に送
る。つまり匿名情報Ｎｖを送るが個人の識別子ＩＤｖは
送らない。 ステップ２ 受領者装置８００は、受信したＩ，Ｎｕお
よび、記憶装置８０１から読み出したｅｊ，Ｎｊを署名
検証器８０２へ入力し、Ｉ，Ｎｕに対する署名Ｂの正当
性を、（６）式を検証することにより確認する。

【００３９】続いて、Ｂ，Ｒｃに対する署名Ｃの正当
性、つまり電子コインＣの正当性を検証するため、受信
したＢ，Ｒｃおよび、記憶装置８０１から読み出したｅ
ｗｉ，Ｎｗを署名検証器８０３へ入力し、（７）式を満
たすことを確認する。続いて、署名Ｓの正当性、つまり
当該電子コインが受領者Ｖ１に支払われた正当性を検証
するため、受信したＲ２，Ｎｖを文書変換器８０９に入
力して、Ｇ２を得て、受信したＳ，Ｘ，Ｔ，Ｇ１，Ｅ，
Ｎｕ，ｅｕと共に署名検証器８０７へ入力して（９）式
を満たすことを確認する。

【００４０】この検査の何れかが不合格のときは以降の
処理を中止する。 ステップ３ これらの全ての検査に合格した場合、受領
者装置８００は乱数生成器８０４を用いて乱数Ｅ′を生
成し、自らの識別子ＩＤｖ′及び、公開鍵Ｎｖ′を記憶
装置８０１から読み出し、それを文書攪乱器８０８に入
力して、その出力としてＧ１′，Ｇ２′を得る。Ｅ′，
Ｇ１′，Ｇ２′を出力する時刻印Ｔ′と共に受領者装置
７００に送る。

【００４１】ステップ４ 受領者装置７００は、電子コ
インＣのうち金額Ｘ′を使用することを決め、署名生成
器７０６へＸ′と受信情報Ｔ′，Ｅ′，Ｇ１′，Ｇ２′
を入力し、次式により署名を行う。 Ｓ′＝（ｇ（Ｘ′‖ｈ（Ｔ′‖Ｅ′‖Ｇ１′‖Ｇ２′）））^dvｍｏｄ Ｎｖ （８′） この署名Ｓ′、公開鍵ｅｖ、およびＸ′を受領者装置８
００に送る。

【００４２】ステップ５ 受領者装置８００は、署名検
証器８０６へＳ′，Ｘ′，ｅｖ，Ｎｖ，Ｔ′，Ｅ′，Ｇ
１′，Ｇ２′を入力し、次式が成り立つことを検証す
る。 Ｓ′^ev≡ｇ（Ｘ′‖ｈ（Ｔ′‖Ｅ′‖Ｇ１′‖Ｇ２′））ｍｏｄ Ｎｖ （９′） この検証に合格すれば、受領者Ｖ２は、受領者Ｖ１の
Ｘ′に該当する金額の支払いを正当なものとみなして受
領する。決済 つぎに、受領者Ｖ１が利用者Ｕにより支払われた電子コ
インを、銀行Ａで決済を行う場合について図１９を参照
して説明する。

【００４３】ステップ１ 受領者Ｖ１はその装置７００
により、Ｉ，Ｎｕ，ｅｕ，Ｂ，Ｒｃ，Ｃ，ｗｉ，Ｓ，
Ｘ，Ｔ，Ｅ，Ｇ２，Ｒ１，ＩＤｖを銀行装置６００に送
る。 ステップ２ 銀行装置６００は、受信したＩ，Ｎｕおよ
び、記憶装置６０１から読み出したｅｊ，Ｎｊを署名検
証器６０３へ入力し、Ｉ，Ｎｕに対する署名Ｂの正当性
を、（６）式を検証することにより確認する。

【００４４】続いて、Ｂ，Ｒｃに対する署名Ｃの正当
性、つまり電子コインＣの正当性を検証するため、受信
したＢ，Ｒｃおよび、記憶装置６０１から読み出したｅ
ｗｉ，Ｎｗを署名検証器６０４へ入力し、（７）式を満
たすことを確認する。続いて、署名Ｓの正当性、つまり
当該電子コインが受領者Ｖ１に支払われた正当性を検証
するため、受信したＲ１，ＩＤｖを文書変換器６０５に
入力し、Ｇ１を得て、受信したＳ，Ｘ，Ｔ，Ｇ２，Ｅ，
Ｎｕ，ｅｕと共に署名検証器６０６へ入力し、（９）式
を満たすことを確認する。

【００４５】この検査の何れかが不合格のときは以降の
処理を中止する。 ステップ３ これらの全ての検査に合格する場合、銀行
Ａは受領者Ｖ１の決済を正当なものとみなして受領す
る。前記この発明を適用した電子現金方法は一般的には
次の通りである。利用者Ｕ₁ は、ディジタル署名（以下
署名と呼ぶ）用の秘密情報Ｐに対応した公開情報Ｎ₁ を
少なくとも１つの部局からなる信託機関Ｊに送信し、信
託機関Ｊは、利用者Ｕ₁ と公開情報Ｎ₁ の対応を秘密に
管理し（以後、Ｎ₁を匿名公開情報と呼ぶ）、匿名公開
情報Ｎ₁ に対するＪの署名Ｂ₁ を生成して利用者Ｕ₁ に
送信し、利用者Ｕ₁ は、匿名公開情報Ｎ₁ と信託機関Ｊ
の署名Ｂ₁ を利用許可証として、Ｎ₁ に対応する秘密情
報Ｐ₁ とともに記憶し（利用許可証の発行）、次に利用
者Ｕ₁ は、銀行Ａに対して利用許可証（Ｂ₁ ，Ｎ₁ ）と
金額Ｘを示して金額Ｘの電子紙幣Ｃの発行を要求し、銀
行Ａは、利用者Ｕに対して利用許可証（Ｂ₁ ，Ｎ₁ ）に
関連しかつ、Ｘに相当する電子紙幣Ｃを署名により発行
し（電子紙幣の発行）、また利用者Ｕ₁ は、利用者Ｕ₂
に対して、Ｕ₁ の利用許可証（Ｂ₁ ，Ｎ₁ ）と電子紙幣
Ｃを示し、利用者Ｕ₂ はその識別情報ＩＤ₂ と、その匿
名公開情報Ｎ₂ とのそれぞれを攪乱して署名対象Ｇ₂₁，
Ｇ₂₂を作り、利用者Ｕ₁ へ送り、Ｕ₁ はその匿名公開情
報Ｎ₁ に対応する秘密情報Ｐ₁ を使って、金額ｘ（ｘ＜
Ｘ），署名対象Ｇ₂₁，Ｇ₂₂を含む署名ＳとｘをＵ₂ に送
ってｘの譲渡乃至支払を行い（電子紙幣の譲渡／支
払）、利用者Ｕ₂ は、利用者Ｕ₃ に対して、譲渡時の譲
渡の履歴Ｈ₁ から署名対象Ｇ ₂₁を除いたものと自己の利
用許可証（Ｂ₂ ，Ｎ₂ ）を示し、利用者Ｕ₃ はその識別
情報ＩＤ_v と、その匿名公開情報Ｎ_v とそれぞれを攪乱
して署名対象Ｇ_v1，Ｇ _v2を作り、利用者Ｕ₂ へ送り、利
用者Ｕ₂ は自己の匿名公開情報Ｎ₂ に対応する秘密情報
Ｐ₂ を使って、金額ｙ（ｙ＜ｘ），署名対象Ｇ_v1，Ｇ_v2
を含む署名Ｓとｙを利用者Ｕ₃ へ送ってｙの譲渡乃至支
払を行う（電子紙幣の再譲渡／支払）。

【００４６】あるいは利用者Ｕ₂ は利用者Ｕ₃ への支払
を行うことなく、前ｘの譲渡時の履歴Ｈ₁ から署名対象
Ｇ₂₂を除いたものと自己の識別情報ＩＤ₂ を銀行Ａへ送
り、銀行ＡはそのＩＤ₂ を攪乱して署名対象Ｇ₂₁を作
り、このＧ₂₁と受信履歴Ｈ₁ よりその署名Ｓ、その他を
検証して、合格の場合は利用者Ｕ₂ はｘに該当する金額
を得（電子紙幣の決済）、銀行Ａは、電子紙幣Ｃのもと
での支払の合計が、限度額Ｘを越えていないことを確認
し（電子紙幣の管理）、合計が、Ｘを超えている場合
は、信託機関Ｊに対して電子紙幣Ｃのもとでの全支払履
歴の少なくとも匿名公開情報Ｎ₁ を提出し、ＲＳＡ暗号
法を用いた署名について更に述べる。

【００４７】利用者Ｕ₁ は、２つの大きな素数Ｐ，Ｑを
生成して、これらを用いて合成数Ｎ ₁ （Ｎ₁ ＝Ｐ×Ｑ）
を計算し、さらに、ｅ（利用者共通）、Ｐ，Ｑから、 ｄ＝ｅ^-1mod ＬＣＭ（Ｐ−１，Ｑ−１） を計算し、ｄ，Ｎ₁ をメモリに記憶し、Ｎ₁ を信託機関
Ｊに送信し（ＬＣＭ（ａ，ｂ）はａとｂの最小公倍
数）、信託機関Ｊは、利用者Ｕ₁ とＮ₁ の対応関係を対
応表を用いて秘密に管理し、有効期限等の情報Ｉ₁ を生
成し、信託機関Ｊの署名用秘密鍵（ｄｊ，Ｎ_j ）， Ｂ₁ ＝（ｇ（Ｎ₁ ‖Ｉ₁ ））^djmod Ｎ_j の署名計算を行い（ｇは一方向性関数）、その署名Ｂ₁
とＩを利用者Ｕ₁ に送信し、利用者Ｕ₁ は、信託機関Ｊ
からの受信データ（Ｂ₁ ，Ｉ₁ ，Ｎ₁ ）を利用許可証と
してメモリに記憶し、つぎに、利用者Ｕ₁ は、乱数Ｒｃ
を生成してメモリに記憶し、その乱数Ｒｃとメモリから
読み出した利用許可証（Ｂ₁ ，Ｉ₁ ，Ｎ₁ ）よりｇ（Ｂ
₁ ‖Ｒ_C ）を計算し、さらに金額情報Ｗ（例えば１万
円）と対応した銀行Ａの公開情報（ｅｗ，Ｎ_W ）を用い
て、 Ｚ＝ｇ（Ｂ₁ ‖Ｒ_C ）ｒ^ewmod Ｎ_W を計算し、この計算結果Ｚを電子紙幣の上記金額情報と
共に銀行Ａに送信し、銀行Ａは、受信情報Ｚと電子紙幣
の金額に対応する秘密鍵（ｄｗ，Ｎ_W ）とを用いて Θ＝Ｚ^dwmod Ｎ_W を計算し、その結果を利用者Ｕ₁ に送信し、利用者Ｕ₁
は、受信情報Θと、公開鍵（ｅｗ，Ｎ_W ）とを用いて Ｃ＝Θ／ｒmod Ｎ_W で計算して指定した金額の電子紙幣Ｃを得、利用者Ｕ₁
は、利用許可証（Ｂ₁ ，Ｉ₁ ，Ｎ₁ ），電子紙幣
（Ｒ_C ，Ｃ，Ｗ）を利用者Ｕ₂ に送り、利用者Ｕ₂ は、
（Ｉ₁ ，Ｎ₁ ）に対する署名Ｂ₁ の正当性を、 Ｂ₁ ^ej≡ｇ（Ｎ₁ ‖Ｉ₁ ）（mod Ｎ_j ） をＢ₁ がみたすことで検査し、（Ｂ₁ ，Ｒ_C ）に対する
電子紙幣Ｃの正当性を、Ｃが Ｃ^ew≡ｇ（Ｂ₁ ‖Ｒ_C ）（mod Ｎ_W ） をみたすことで検査し、このいずれかの検査が不合格の
ときは以降の処理を中止し、この両検査に合格すれば、
利用者Ｕ₂ は、乱数Ｅを生成し、Ｕ₂ の識別情報Ｉ
Ｄ₂ ，公開情報Ｎ₂ をそれぞれ攪乱した署名対象Ｇ_21,
Ｇ₂₂を計算し、Ｅ，Ｇ ₂₁，Ｇ₂₂を時刻印Ｔと共に利用者
Ｕ₁ に送り、利用者Ｕ₁ は、電子紙幣Ｃのうちの譲渡す
る金額ｘについて署名計算 Ｓ₁ ＝（ｇ（ｘ‖ｈ（Ｔ‖Ｅ‖Ｇ₂₁‖Ｇ₂₂）））^d1mod
Ｎ₁ を行い、その署名Ｓ₁ とｘ，公開鍵ｅ₁ を利用者Ｕ₂ に
送り、利用者Ｕ₂ は、ｘが電子紙幣Ｃの利用限度額Ｗを
超えていないことを検査し、この検査が不合格のときは
以後の処理を中止し、合格の場合は署名Ｓ₁ の正当性
を、Ｓ₁ が Ｓ₁ ^e1≡ｇ（ｘ‖ｈ（Ｔ‖Ｅ‖Ｇ₂₁‖Ｇ₂₂））mod Ｎ₁ をみたすことで検証し、この検証に合格すれば、利用者
Ｕ₂ は、利用者Ｕ₁ のｘに該当する金額の譲渡を正当な
ものとしてみなし、それを受けとり、利用者Ｕ₂ は、利
用者Ｕ₁ との電子紙幣譲渡時の交信履歴Ｈ₁ （Ｉ₁ ，Ｎ
₁ ，Ｂ₁ ，Ｒ_C ，Ｃ，Ｗ，ｘ，Ｔ，Ｅ，Ｓ₁ ，ｅ₁ ，Ｇ
₂₁，Ｇ₂₂，Ｎ₂ ）をそのＧ₂₂を除いて利用者Ｕ₃ に送
り、利用者Ｕ₃ は、（Ｉ₁ ，Ｎ₁ ）に対する署名Ｂ₁ の
正当性を、Ｂ₁ が Ｂ₁ ^ej≡ｇ（Ｎ₁ ‖Ｉ₁ ）（mod Ｎ_j ） をみたすことで確認（利用許可証の正当性）し、電子紙
幣Ｃの正当性を、Ｃが Ｃ^CW≡ｇ（Ｂ₁ ‖Ｒ_C ）mod Ｎ_W をみたすことで確認し、さらに、Ｎ₂ を攪乱してＧ₂₂を
生成し、Ｓ₁ が Ｓ₁ ^e1≡ｇ（ｘ‖ｈ（Ｔ‖Ｅ‖Ｇ₂₁‖Ｇ₂₂））mod Ｎ₁ をみたすことで確認し、このいずれかの検査が不合格の
ときは以降の処理を中止し、これらの検査に合格すれ
ば、利用者Ｕ₃ は、乱数Ｅ′を生成し、Ｕ₃ のＩＤ₃，
公開情報Ｎ₃ を攪乱して署名対象Ｇ₃₁, Ｇ₃₂をそれぞれ
生成し、Ｅ′，Ｇ₃₁,Ｇ₃₂を時刻印Ｔ′と共に利用者Ｕ
₂ に送り、利用者Ｕ₂ は、譲渡された金額ｘのうち使用
する金額ｙについての署名計算 Ｓ₂ ＝（ｇ（ｙ‖ｈ（Ｅ′‖Ｔ′‖Ｇ₃₁‖Ｇ₃₂））^d2 m
od Ｎ₂ を行い、この署名Ｓ₂ とｘを利用者Ｕ₃ に送り、利用者
Ｕ₃ は、ｙが、電子紙幣Ｃの譲渡金額ｘを超えていない
ことを確認し、この検査が不合格のときは以後の処理を
中止し、合格の場合、署名Ｓ₂ の正当性を、Ｓ₂ が Ｓ₂ ^e2≡ｇ（ｙ‖ｈ（Ｅ‖Ｔ′‖Ｇ₃₁‖Ｇ₃₂）（ mod
Ｎ₂ ） をみたすことで検証し、この検証に合格すれば、利用者
Ｕ₃ は利用者Ｕ₂ のｙに該当する金額の譲渡乃至支払を
正当なものとしてみなし、それを受けとる。

【００４８】あるいは利用者Ｕ₂ は利用者Ｕ₃ への支払
を行うことなく、利用者Ｕ₁ との交信履歴Ｈ₁ をそのＧ
₂₁を除いたものと識別情報ＩＤ₂ を銀行Ａへ送り、銀行
Ａは先の場合と同様に（Ｉ_1,Ｎ₁ ）に対する署名Ｂ₁ の
正当性、電子紙幣Ｃの正当性をそれぞれ確認し、さらに
ＩＤ₂ を攪乱してＧ₂₁を生成し、Ｓ₁ が Ｓ₁ ^e1≡ｇ（ｘ‖ｈ（Ｔ‖Ｅ‖Ｇ₂₁‖Ｇ₂₂））mod Ｎ₁ をみたすことで確認し、合格なら利用者Ｕ₂ はｘに該当
する金額を得る。

【００４９】以上のように電子現金の支払乃至譲渡時に
その受取り人が受け取った電子現金を直ちに決済（換
金）するか、プライバシイを保護しながら受け取った電
子現金を更に他へ譲渡するかを区別することなく、支払
乃至譲渡を行なうことができる。

【００５０】

【発明の効果】署名生成処理において、署名の検証者
（使用目的）を意識することなく処理を行うことが出来
る。署名検証処理において、相手に知られても良い文書
だけを開示すれば、残りの文書に関しては知られること
なく、署名の正しさを示すことが出来る。

【００５１】特願平７−２８７４５７「信託機関付き電
子現金方法」にこの発明を適用すると、従来の支払い処
理（受け取った者がその電子現金を銀行で決済する場
合）と譲渡処理（受け取った者がその電子現金を他の支
払いに用いる場合）を１つにする事が出来、電子現金を
受け取った後に、受領者は、その電子現金を支払いに用
いるのか決済に用いるのかを自由に決定することが出来
る。

【図面の簡単な説明】

【図１】この発明の原理構成を示すブロック図。

【図２】署名生成処理における機能構成を示すブロック
図。

【図３】署名検証処理１における機能構成を示すブロッ
ク図。

【図４】署名検証処理２における機能構成を示すブロッ
ク図。

【図５】文書攪乱器２１の機能構成を示すブロック図。

【図６】文書攪乱器２１の他の機能構成のブロック図。

【図７】文書変換器２５の機能構成のブロック図。

【図８】図１５中の文書攪乱検証器４０１の機能構成を
示すブロック図。

【図９】本文書作成者の署名生成処理を示す流れ図。

【図１０】署名者の署名生成処理を示す流れ図。

【図１１】文書作成者の署名検証処理を示す流れ図。

【図１２】署名検証者の署名検証処理を示す流れ図。

【図１３】文書作成者装置の機能構成を示すブロック
図。

【図１４】検証者装置の機能構成を示すブロック図。

【図１５】この発明の適用例における利用許可証の発行
処理の機能構成を示すブロック図。

【図１６】前記適用例における電子コインの発行処理の
機能構成を示すブロック図。

【図１７】前記適用例における電子コインによる支払処
理の機能構成を示すブロック図。

【図１８】前記適用例における電子コインによる再支払
処理の機能構成を示すブロック図。

【図１９】前記適用例における決済処理の機能構成を示
すブロック図。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 藤崎 英一郎 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 (72)発明者 森畠 秀実 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内

Claims (9)

【特許請求の範囲】
1. 【請求項１】 文書作成者は複数の文書を文書作成者装
   置でそれぞれ攪乱して複数の署名対象を生成し、 これら複数の署名対象を署名者の装置（以下署名者装置
   と記す）に送付し、 その署名者装置はこれら複数の署名対象に対してこれを
   １つのものとして署名演算を行って署名を生成して上記
   文書作成者装置へ返送し、 上記文書作成者装置は上記複数の文書、複数の署名対
   象、上記署名を記憶装置に記憶しておくことを特徴とす
   る電子署名方法。
2. 【請求項２】 上記文書作成者は署名検証処理時に上記
   文書作成者装置より上記署名と検証者に開示できる文書
   と上記複数の署名対象中の上記開示できる文書と対応す
   るもの以外のものを上記検証者の装置（以下検証者装置
   と記す）に送付し、 上記検証者装置は受信した文書から署名対象を計算し、
   その計算した署名対象と上記受信した署名対象を用いて
   受信した署名を検証することを特徴とする請求項１記載
   の電子署名方法。
3. 【請求項３】 上記文書作成者装置での攪乱は複数の文
   書Ｍ１，・・・，Ｍｎと攪乱情報Ｒ１，・・・，Ｒｎと
   の各ｎ組のそれらを攪乱アルゴリズムＤによって攪乱し
   て署名対象Ｇ１，・・・，Ｇｎを生じさせるものであ
   り、上記攪乱情報Ｒ１，・・・，Ｒｎも上記記憶装置に
   記憶することを特徴とする請求項１記載の電子署名方
   法。
4. 【請求項４】 上記文書作成者装置での攪乱は複数文書
   Ｍ１，・・・，Ｍｎと攪乱情報Ｒ１，・・・，Ｒｎとの
   各ｎ組のそれぞれを攪乱アルゴリズムＤによって攪乱し
   て署名対象Ｇ１，・・・，Ｇｎを生じさせるものであ
   り、上記攪乱情報Ｒ１，・・・，Ｒｎも上記記憶装置に
   記憶し、 上記検証者装置に、上記攪乱情報中の上記開示できる文
   書と対応しないものも上記検証者装置へ送り、上記検証
   者装置は文書と対応する攪乱情報より、上記攪乱アルゴ
   リズムＤによって署名対象を計算して上記署名の検証に
   用いることを特徴とする請求項２記載の電子署名方法。
5. 【請求項５】 上記署名者装置は公開鍵暗号方法の秘密
   鍵Ｓｅｃと公開鍵Ｐｕｂとを備え、 上記署名演算を上記秘密鍵Ｓｅｃを用いて行い、上記署
   名の他に上記公開鍵Ｐｕｂをも上記文書作成者装置へ送
   り、 上記文書作成者装置は受信した公開鍵Ｐｕｂを上記記憶
   装置に記憶し、 署名検証処理時に、上記公開鍵Ｐｕｂも上記検証者装置
   へ送り、 上記検証者装置は上記公開鍵Ｐｕｂを用いて検証演算を
   行うことを特徴とする請求項２又は４記載の電子署名方
   法。
6. 【請求項６】 上記文書作成者装置は上記公開鍵Ｐｕｂ
   を受取ると、その公開鍵Ｐｕｂを用いて、上記受取った
   署名の検証を行い、合格した時にのみ、上記受取った署
   名、公開鍵Ｐｕｂの上記記憶装置への記憶を行うことを
   特徴とする請求項５記載の電子署名方法。
7. 【請求項７】 複数の文書と、これら複数の文書をそれ
   ぞれ攪乱した複数の署名対象と、これら複数の署名対象
   に対する１つの署名とを記憶装置に保持し、 上記文書中の検証者に開示できる文書と、上記複数の署
   名対象中の上記開示できる文書と対応するものを除いた
   ものと、上記署名とを上記検証者の装置へ送り、 上記検証者の装置は受信した文書から署名対象を計算
   し、その計算した署名対象と上記受信した署名対象を用
   いて上記受信した署名を検証することを特徴とする電子
   署名検証方法。
8. 【請求項８】 複数の文書Ｍ１，・・・，Ｍｎ，署名対
   象Ｇ１，・・・，Ｇｎ，署名Ｓ，を記憶する記憶装置
   と、 上記複数の文書Ｍ１，・・・，Ｍｎをそれぞれ攪乱して
   上記署名対象Ｇ１，・・・，Ｇｎを生成する文書攪乱手
   段と、 外部の信号を送信する送信手段と、 外部より信号を受信する手段と、 上記記憶装置に対する読出し、書込み制御、上記文書攪
   乱手段、上記送信手段及び上記受信手段の各動作制御を
   行い、上記署名対象Ｇ１，・・・，Ｇｎを生成させ、署
   名者装置へ送信させ、上記署名者装置より受信した署名
   Ｓを上記記憶装置に記憶し、上記署名Ｓと、検証者に開
   示できる上記文書Ｍｉと、上記署名対象Ｇｊ（ｊ：ｉを
   除いた１≦ｊ≦ｎを満す全ての整数）を上記検証者の装
   置へ送信させる制御手段と、 を具備する電子署名用文書作成者装置。
9. 【請求項９】 入力信号を受信する受信手段と、 受信した文書を攪乱して署名対象を生成する文書変換手
   段と、 署名対象Ｇ１，・・・，Ｇｎに対する署名Ｓを検証する
   署名検証手段と、 上記受信手段に受信した文書Ｍｉを上記文書変換手段へ
   供給して署名対象Ｇｉを生成させ、受信した署名Ｓと受
   信した署名対象Ｇｊ（ｊ：ｉを除いた１≦ｊ≦ｎを満す
   全ての整数）と上記生成した署名対象Ｇｉを上記署名検
   証手段で検証させる制御手段と、 を具備する電子署名検証者装置。