JPH11202766A - ディジタル署名方式、それを用いた情報通信システム及び通信装置 - Google Patents

Abstract

(57)【要約】 【課題】 如何なる場合でも匿名性を確実に保つことが
できるディジタル署名方式を用いた情報通信システムを
提供する。 【解決手段】 手段２０は、共通に使用する公開パラメ
ータＰＶの代わりに、ユーザの公開情報ｖ_j を用い、デ
ィジタル情報ｍに対するディジタル署名ｒ，ｓを生成す
る。手段３０は、ディジタル署名ｒ，ｓを秘密情報ｓ_j
を用いて変換することで別の値を求め、ディジタル情報
ｍ、ディジタル署名ｒ，ｓ、公開パラメータＰＶ、及び
公開鍵ｖ_Q から得られる値を公開情報と見なし、且つ、
ディジタル署名ｒ，ｓを変換して得られた別の値をその
ユーザの秘密情報と見なすことで、離散対数問題に安全
性の根拠を置く公開鍵暗号を利用する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、公開鍵暗号を用い
たディジタル署名方式、それを用いた情報通信システム
及び通信装置に関するものである。

【０００２】

【従来の技術】例えば、コンピュータと通信ネットワー
クの発展と広範な普及に伴い、従来は通信ネットワーク
上で実現できなかった社会的活動等、多様な機能が実現
できるようになった。しかしながらその反面、誰が、い
つ、どこで、何を行ったのかを容易に把握される場合が
あった。そこで、これを防ぐために、匿名で通信処理を
行うことで、プライバシーを保護し、且つ通信ネットワ
ーク上で多様な機能を実現する方法が提案されている。

【０００３】このような方法としては、例えば、公開鍵
暗号を用いた方法があり、これにより、送信者は、通信
内容を意図する受信者のみに送信でき、しかも受信者
は、受信した通信内容の送信者が誰であるかを確実に確
認することが可能となる。そして、この方法を適用した
ものとしては、特願平８−１０８２２５号に開示されて
いるディジタル署名方式及びそれを用いた情報通信シス
テムがある。

【０００４】ここで、「暗号」及び「匿名公開鍵証明
書」について具体的に説明する。

【０００５】（１）「暗号」 まず、「暗号」とは、情報の意味が当事者以外にには認
識できないように情報を変換することをいう。そして、
この暗号においては、元の文（変換されていない文）を
「平文」といい、その平文を第三者に意味の分からない
文（暗号文）に変換することを「暗号化」といい、その
変換の手順を「暗号アルゴリズム」という。平文及び暗
号文は、テキストデータに限られるものではなく、音声
や画像等、あらゆる情報を想定している。暗号化は、
「暗号化鍵」と呼ばれるパラメータに依存する変換であ
る。そして、その暗号化で得られた暗号文を当事者が元
の平文に戻すことを「復号」といい、その復号の際に
は、「復号鍵」と呼ばれる暗号化鍵に対応するパラメー
タが用いられる。一方、当事者以外の第三者が暗号文を
元の平文に戻すこと、或いは、復号鍵を見いだすことを
「解読」という。

【０００６】上述のような暗号では暗号の安全性を、暗
号化に用いる暗号化鍵或いは復号に用いる復号鍵に帰着
させており、それらの鍵を知らなければ、たとえ暗号ア
ルゴリズムを知っていても、平文は得られないようにな
っている。したがって、所定の暗号化を行う装置（暗号
装置）の製造者でも、解読不可能な暗号化を実現するこ
とができる。

【０００７】また、暗号には、多くの暗号アルゴリズム
がある。そこで、例えば、暗号化鍵を公開できるか否か
の観点から、暗号を、非対称暗号（公開鍵暗号）と対称
暗号（共通鍵暗号）の２つに分類して説明する。

【０００８】（１−１）「非対称暗号（公開鍵暗号）」 「非対称暗号」とは、「公開鍵暗号」とも呼ばれ、暗号
化鍵と復号鍵が異なり、暗号化鍵から復号鍵が容易に計
算して得られないようになっており、また、暗号化鍵を
公開し、復号鍵を秘密に保持して使用される暗号のこと
をいう。このような非対称暗号は、以下のような特徴を
持っている。 特徴１：暗号化鍵と復号鍵が異なり、暗号化鍵が公開さ
れるため、暗号化鍵を秘密に配送する必要がなく、その
鍵の配送が容易である。 特徴２：各利用者の暗号化鍵は公開されるため、各利用
者は、各自の復号鍵のみ秘密に保持しておけばよい。 特徴３：送信されてきた通信文の送信者が偽者でないこ
と、及びその通信文が改ざんされていないことを受信者
が確認するための認証（ディジタル署名）機能を実現で
きる。

【０００９】ここで、暗号機能と上述の認証機能を実現
できる非対称暗号としては、ＲＳＡ暗号（R.L.Rivest,
A.Shamir and L.Adleman,"A method of obtaining digi
tal signatures and public key cryptosystems,"Commu
nications of ACM,Vol.21,No.2,pp.120-126,1978 ）
や、ＥｌＧａｍａｌ暗号（T.E.ElGamal,"A public key
cryptosystem and a signature scheme based on discr
ete logarithms,"IEEE Transaction on Information Th
eory,Vol.IT-31,No.4,pp.496-472,1985 ）が知られてい
る。また、認証機能を実現できる非対称暗号としては、
Ｆｉａｔ−Ｓｈａｍｉｒ暗号（A.Fiat,A.Shamir,"How t
o prove yourself:practical solutions of identifica
tion and signature problrms,"Proc.of CRYPTO'86,198
7 ）や、Ｓｃｈｎｏｒｒ暗号（C.P.Schnorr,"Efficient
signature generation by smart cards,"Journal of C
ryptology,vol.4,pp.161-174,1991 ）が知られている。

【００１０】例えば、ＥｌＧａｍａｌ暗号における暗号
化、復号、認証（ディジタル署名）の生成、及びその検
証について具体的に説明する。

【００１１】まず、「Ｚ」を整数全体の集合、「Ｚ_p 」
を０以上ｐ未満の整数の集合、「Ｚ _p ＼｛０｝」をＺ_p
から０を除いた集合、「Ｚ_p ^* 」をＺ_p の要素且つｐと
互いに素である整数の集合として表すものとする。ま
た、整数Ａ，Ｂ，Ｃに対して、 Ａ＝ＢｍｏｄＣ なる関係が成り立つとき、ＢをＣで割ったときの余りが
Ａであること（任意の整数ｋが存在し、「Ｂ＝ｋ・Ｃ＋
Ａ」が成り立つこと）を意味し、 Ａ≡Ｂ（ｍｏｄＣ） なる関係が成り立つとき、ＡをＣで割ったときの余り
と、ＢをＣで割ったときの余りとが等しいことを意味す
るものとする。さらに、通信相手と共通の公開パラメー
タとしては、素数ｐ、Ｚ_p ^* の要素であり且つ位数ｐ−
１のα、及び一方向性ハッシュ関数Ｈ₀ ：Ｚ→Ｚ_p ＼
｛０｝を用いる。また、任意のユーザｉの復号鍵（秘密
鍵）を「ｓ_i ∈Ｚ_p-1 」とし、暗号化鍵（公開鍵）を
「ｖ_i ＝α^Siｍｏｄｐ」とする。尚、「一方向性ハッシ
ュ関数」とは、衝突を起こしにくい圧縮関数のことであ
る。すなわち、「一方向性ハッシュ関数」とは、任意の
長さのビット列を出力する関数であり、同じ出力となる
入力を見つけることが困難である、という特徴を持って
いる。

【００１２】暗号化 そこで、ユーザｊが平文（メッセージ）ｍ（∈Ｚ_p ）を
暗号化してユーザｉに対して送信する場合、ユーザｊ用
端末装置では、以下のステップ１〜ステップ４の手順で
その処理が行われる。尚、メッセージｍがＺ_p の要素で
ない場合、すなわちｐ以上の数値の場合には、そのメッ
セージｍをＺ_p の要素となるようにブロック分割され、
各ブロックに対して、以下の手順の暗号化が行われる。 ステップ１：ユーザｊ用端末装置は、乱数ｋを生成す
る。 ステップ２：ユーザｊ用端末装置は、 Ｃ₁ ＝α^k ｍｏｄｐ なる計算を行う。 ステップ３：ユーザｊ用端末装置は、 Ｃ₂ ＝ｍ・ｖ_i ^k ｍｏｄｐ なる計算を行う。 ステップ４：ユーザｊ用端末装置は、ステップ２及び３
の計算結果Ｃ₁ 及びＣ ₂ を、ユーザｉ用端末装置に対し
て送信する。

【００１３】復号 上記暗号化により、ユーザｊ用端末装置からユーザｉ
用端末装置には、Ｃ₁及びＣ₂ が送信される。そして、
ユーザｉ用端末装置は、ユーザｊ用端末装置から送信さ
れてきたＣ₁ 及びＣ₂ を用いて、メッセージｍを、 ｍ＝Ｃ₂ ／Ｃ₁ ^Siｍｏｄｐ なる計算により求める。

【００１４】ディジタル署名の生成 上記復号により得られたメッセージｍ（∈Ｚ）に対し
て、ユーザｉ用端末装置がディジタル署名を生成する場
合、ユーザｉ用端末装置では、以下のステップ１〜ステ
ップ４の手順でその処理が行われる。尚、上記暗号化
で述べたように、メッセージｍをブロック分割する場合
もあるが、ここでは、一方向性ハッシュ関数を用いる場
合を説明する。 ステップ１：ユーザｉ用端末装置は、乱数ｋ（∈Ｚ_p-1
^* ）を生成する。 ステップ２：ユーザｉ用端末装置は、 ｒ＝α^k ｍｏｄｐ なる計算を行う。 ステップ３：ユーザｉ用端末装置は、 ｓ＝（Ｈ₀ （ｍ）−ｓ_i ・ｒ）・ｋ^-1ｍｏｄ（ｐ−１） なる計算を行う。 ステップ４：ユーザｉ用端末装置は、ステップ２及び３
の計算結果ｒ及びｓを、検証者に対して送信する。

【００１５】ディジタル署名の検証 そして、上記ディジタル署名の生成により得られたデ
ィジタル署名を、ユーザｉ用端末装置が検証する場合、
ユーザｉ用端末装置は、 α^H0(m) ≡ｖ_i ^r ・ｒ^S （ｍｏｄｐ） なる関係が成り立つか否かを確認する。

【００１６】（１−２）「対称暗号（共通鍵暗号）」 一方、「対称暗号」とは、「共通鍵暗号」とも呼ばれ、
暗号化鍵と復号鍵が同一である暗号のことをいう。ま
た、１９７０年後半に上述した非対称暗号（公開鍵暗
号）が現れてから、従来から存在するこの対称暗号は、
「慣用暗号」とも呼ばれるようになった。このような対
称暗号は、適当な長さの文字列（ブロック）毎に同じ暗
号化鍵で暗号化するブロック暗号と、文字列又はビット
毎に暗号化鍵を変えて暗号化するストリーム暗号とに分
類される。ブロック暗号としては、文字の順序を置き換
えて暗号化する転置式暗号や、文字を他の文字に換える
換字式暗号等があり、ＤＥＳ（Data Encryption Standa
rd）や、ＦＥＡＬ（Fast data Encipherment Algorith
m）といった商用暗号として広く用いられている。スト
リーム暗号は、メッセージに乱数をＸＯＲ（排他論理
和）して、その内容を攪乱する暗号であり、このストリ
ーム暗号としては、無限周期の乱数列を１回限りの使い
捨て鍵として用いるバーナム暗号が知られている。

【００１７】尚、上述した（１）暗号の更なる詳細は、
「暗号理論入門」（岡本栄司著：共立出版）や、「Appl
ied cryptography second edition:protocols,algorith
ms,and source code in C 」（Schneier著）、「John W
iley&Sons,Inc 」等に述べられている。

【００１８】（２）「匿名公開鍵証明書」 つぎに、「匿名公開鍵証明書」とは、上述した（１−
１）非対称暗号（公開鍵暗号）等において、任意のユー
ザと、そのユーザの公開鍵（暗号化鍵）との対応を保証
するものである。具体的には、「Certification Author
ity 」と呼ばれる信頼できる特別なユーザ（以下、ＣＡ
と言う）が、他のユーザ（以下、ユーザｊとする）の身
元を、例えば、パスポートで確認し、ユーザｊの識別情
報ＩＤ（氏名、性別、生年月日等の個人識別情報）、そ
の公開鍵及び有効期限等を内容とするメッセージに対す
るディジタル署名を生成する。このディジタル署名が
「匿名公開鍵証明書」である。ＣＡの公開鍵は、誰でも
確実に入手できるようになされており、ＣＡにて生成さ
れたディジタル署名を検証することは容易である。これ
により、例えば、ユーザｋがユーザｊと通信する際に、
ユーザｊに対応する公開鍵を容易に且つ確実に確認する
ことができると共に、他のユーザがユーザｊになりすま
すことを防ぎながら、公開鍵暗号による通信を可能とす
ることができる。

【００１９】また、「匿名公開鍵証明書」とは、上述の
匿名公開鍵証明書のユーザが、どこの誰であるかを分か
らないようにしたものでもある。これにより、プライバ
シー保護を要する用途、例えば、ある特別なサービスを
受けることができる資格を有するが、身元を明かすこと
を防ぎたい場合に用いることができる。これを適用した
ものとしては、例えば、特願平８−１０８２２６号に開
示されているグループ署名と呼ばれる特殊なディジタル
署名方式がある。

【００２０】上述のような匿名公開鍵証明書を適用した
ものとしては、例えば、特願平８−１０８２２５号に開
示されている通信システムがある。この通信システムで
は、図５に示すようなステップＳ５００〜Ｓ５０４の処
理が行われる。以下、ステップＳ５００〜Ｓ５０４につ
いて具体的に説明する。尚、以下の説明における各記号
（「Ｚ」や「Ｚ_p 」等）は、上述したＥｌＧａｍａｌ暗
号の説明での各記号と同様に定義して用いるものとす
る。

【００２１】ステップＳ５００：先ず、システム共通の
公開パラメータＰＶ（Public Vaiues ）としては、素数
ｐ、位数ｑ（但し、ｑ｜ｐ−１）、Ｚ_p ^* の要素であり
且つ位数ｑのα、一方向性ハッシュ関数Ｈ₁ ：Ｚ_q ×Ｚ
→｛０，・・・，２^t −１｝を用いる。すなわち、ｑ
は、ｐ−１を割り切り、ｘ∈Ｚ_q ＼｛０｝に対してα^x
≡１（ｍｏｄｐ）ではなく、且つｘ＝ｑに対してα^x ≡
１（ｍｏｄｐ）であり、Ｈ₁ は、Ｚ_q の要素とＺの要素
を入力とし２^t −１以下の非負整数を出力する。そし
て、これらのパラメータは、この通信システムに参加し
ている全てのユーザがアクセスすることができ、且つ不
当な改ざん等が起こらないように適切に管理されている
公開データベースＰＤ（Public Database ）に登録され
ているものとする。そこで、証明書発行者（authority
）Ｑ用端末装置７０は、復号鍵（秘密鍵）ｓ_Q と、暗
号化鍵（公開鍵）ｖ_Q （ｖ_Q ＝α^-sQ ｍｏｄｐ）とを生
成し、公開鍵ｖ_Q を公開データベースＰＤに登録する。
また、ユーザ（User）ｊ用端末装置８０は、復号鍵（秘
密鍵）ｓ_j と、暗号化鍵（公開鍵）ｖ_j （ｖ_j ＝α^-sj
ｍｏｄｐ）とを生成し、公開鍵ｖ_j を公開データベース
ＰＤに登録する。

【００２２】ステップＳ５０１：匿名公開鍵証明書の生
成 次に、証明書発行者Ｑ用端末装置７０は、ユーザｊの公
開鍵ｖ_j を、乱数（random number ）ｒを用いて変換し
たｚを求め、このｚに対する署名（Ｓｃｈｎｏｒｒ暗号
によるディジタル署名）を生成する。具体的には、証明
書発行者Ｑ用端末装置７０は、乱数（秘密の乱数）ｒ
（ｒ∈Ｚ_q ＼｛０｝）を選択し、 ｘ＝α^r ｍｏｄｐ ｚ＝ｖ_j ^r ｍｏｄｐ ｅ＝Ｈ₁ （ｘ，ｚ_j ） ｙ＝ｒ＋ｅ・ｓ_Q ｍｏｄｑ なる計算を行う。このＳｃｈｎｏｒｒ暗号によるディジ
タル署名（ｙ，ｅ，ｚ）が匿名公開鍵証明書である。

【００２３】ステップＳ５０２：匿名公開鍵証明書の配
送 次に、証明書発行者Ｑ用端末装置７０は、上述のステッ
プＳ５０１にて生成した匿名公開鍵証明書（ｙ，ｅ，
ｚ）を、ユーザｊ用端末装置８０に対して送信する。こ
れを受けたユーザｊ用端末装置８０は、ｅ及びｚを、 ｅ＝Ｈ₁ （α^y ・ｖ_Q ^e ｍｏｄｐ，ｚ） ｚ＝（α^y ・ｖ_Q ^e ｍｏｄｐ）^-Sj ｍｏｄｐ が成り立つことを確認する。尚、ここでは、ｘ＝α^y ・
ｖ_Q ^e ｍｏｄｐが成り立つことにより、表記の簡略化の
ためにｘを用いるものとする。

【００２４】ステップＳ５０３：公開鍵暗号の利用 次に、ユーザｊ用端末装置８０は、αとｖ_j の代わりに
ｘとｚを用いて、離散対数問題に基づく公開鍵暗号を利
用する。例えば、Ｓｃｈｎｏｒｒ暗号によるディジタル
署名を利用する場合、メッセージｍに対して、以下のよ
うにしてディジタル署名を生成する。すなわち、ユーザ
ｊ用端末装置８０は、秘密の乱数ｒ_j （ｒ_j ∈Ｚ_q ^* ）
を選択し、 ｘ_j ＝ｘ^rjｍｏｄｐ ｅ_j ＝ｈ（ｘ_j ，ｍ） ｙ_j ＝ｒ_j ＋ｅ_j ・ｓ_j ｍｏｄｑ なる計算を行う。そして、ユーザｊ用端末装置８０は、
メッセージｍと共に、（（ｙ，ｅ，ｚ），ｙ_j ，ｅ_j ，
ｍ）をディジタル署名として、必要な相手に対して送信
する。

【００２５】ステップＳ５０４：署名確認 そして、上述のステップＳ５０３にて送信されたディジ
タル署名（（ｙ，ｅ，ｚ），ｙ_j ，ｅ_j ，ｍ）の受信者
（通信相手（Verifier））ｉ用端末装置９０は、先ず、
上述のステップＳ５０２における ｅ＝Ｈ₁ （α^y ・ｖ_Q ^e ｍｏｄｐ，ｚ） なる式を確認し、次に、 ｅ_j ＝Ｈ₁ （ｘ^yj・ｚ^ejｍｏｄｐ，ｍ） なる式を確認する。これらの確認ができた場合に、受信
者ｉ用端末装置９０は、メッセージｍに対するディジタ
ル署名は証明書発行者Ｑにより選ばれたユーザによって
生成されたディジタル署名である、と認識する。

【００２６】

【発明が解決しようとする課題】ところで、上記図５の
通信システムで説明したような従来の匿名公開鍵証明書
では、匿名性が満たされている。すなわち、任意の匿名
公開鍵証明書がどのユーザに対応するものであるのかが
分からないようになっている。このような匿名性は、以
下の２つの仮定に基づくものである。

【００２７】仮定１：離散対数問題 「Ｇ」を有限群とし、「α」をその生成元とする。ま
た、「ｖ」をＧの元とし、底Ａに対するｖの離散対数を
「ｌｏｇ［α］ｖ」とする。そこで、Ｇの位数（元の個
数）が充分大きい場合、離散対数ｌｏｇ［α］ｖを求め
ることは困難となる。

【００２８】仮定２：離散対数の比較問題 「ｒ」と「ｓ」をＧのランダムな元とする。そこで、
α、ｖ＝α^s 、ｘ＝α^r 、ｚ＝α^rsが与えられたとき、
Ｇの位数が充分大きく、ｒとｓが未知である場合、ｌｏ
ｇ［α］ｖとｌｏｇ［ｘ］ｚが等しいか否かを判別する
ことはできない。

【００２９】上述のような仮定１及び仮定２が成り立つ
ことにより、匿名公開鍵証明書は匿名性が満たされる。

【００３０】しかしながら、従来では、仮定２のみを解
くアルゴリズムが見いだされ、仮定１は成り立つが仮定
２が成り立たず、匿名公開鍵証明書の匿名性が無くなる
場合があった。

【００３１】具体的にはまず、仮定１の離散対数問題を
解くことは、現在までの研究成果によれば非常に難しい
とされ、安全性の根拠として用いることは妥当であると
考えられている。すなわち、このような離散対数問題が
解ければ、仮定２の離散対数の比較問題も解けることに
なる。これにより、仮定２を解くことは、仮定１を解く
ことと同じくらい易しい、或いは、仮定１を解くことよ
りも易しい、ということがわかる。したがって、この仮
定２を解くことが仮定１を解くことよりどの程度易しい
かは、現在のところ不明であるが、仮定２のみを解くア
ルゴリズムが見いだされた場合、仮定１は成り立つが仮
定２が成り立たなくなるという事態が考えられる。この
ような場合に、上述した匿名公開鍵証明書の匿名性が無
くなる。

【００３２】そこで、本発明は、上記の欠点を除去する
ために成されたもので、如何なる場合でも匿名性を確実
に保つことができるディジタル署名方式、それを用いた
情報通信システム及び通信装置を提供することを目的と
する。

【００３３】

【課題を解決するための手段】本発明は、ＥｌＧａｍａ
ｌ暗号等のディジタル署名を生成する手段と、その手段
で生成されるディジタル署名を各ユーザの秘密情報を用
いて変換する手段と、離散対数問題に安全性の根拠を置
く公開鍵暗号を利用する手段とを少なくとも備えてい
る。この構成において、上記ディジタル署名を生成する
手段は、共通に使用する公開パラメータの代わりに、各
ユーザの公開情報を用い、任意の平文や予め定められた
固定値等のディジタル情報に対するディジタル署名を生
成する。上記ディジタル署名を変換する手段は、上記デ
ィジタル署名を各ユーザの秘密情報を用いて変換するこ
とで、別の値を求める。上記公開鍵暗号を利用する手段
は、上記ディジタル情報、上記ディジタル署名、上記公
開パラメータ、及び署名者の公開鍵から得られる値を公
開情報と見なし、且つ、上記ディジタル署名を変換して
得られた別の値をそのユーザの秘密情報と見なすこと
で、離散対数問題に安全性の根拠を置く公開鍵暗号を利
用する。この公開鍵暗号を利用する手段を用いて、各ユ
ーザは公開鍵暗号を利用する。これにより、各ユーザが
公開鍵として用いる情報（公開情報）から、その情報が
どのユーザと対応するかを特定することが、情報量的に
不可能となるため、匿名性は、上述の仮定２（離散対数
の比較問題）に依存していない。すなわち、上記仮定２
が成り立たなくなる事態が起きたとしても、匿名性は保
たれる。

【００３４】すなわち、第１の発明は、各ユーザに共通
の公開パラメータ及び各ユーザに固有の秘密情報から、
各ユーザに固有の公開情報を生成する公開情報生成ステ
ップと、ディジタル情報に対して上記秘密情報及び上記
公開パラメータを用いた変換を施すことで、上記ディジ
タル情報に対応する署名を生成する署名生成ステップ
と、上記公開パラメータ及び上記公開情報を用いて、上
記ディジタル情報と上記署名の対応関係が正しいか否か
を判別する署名判別ステップとを含むディジタル署名方
式であって、上記公開情報を用いて、ユーザに固有の新
たな秘密情報、新たなパラメータ、及び新たな公開情報
を生成するユーザ情報生成ステップと、上記ユーザ情報
生成ステップで生成された新たな秘密情報、新たなパラ
メータ、及び新たな公開情報が予め定められた関係を満
たすことを確認する確認ステップと、上記確認ステップ
で確認された新たなパラメータ及び新たな公開情報を用
いて、ディジタル情報を暗号化する暗号化ステップとを
含むことを特徴とする。

【００３５】第２の発明は、上記第１の発明において、
上記確認ステップで確認された新たなパラメータ及び新
たな秘密情報を用いて、上記暗号化ステップで暗号化し
て得られた暗号文を復号する復号ステップを含むことを
特徴とする。

【００３６】第３の発明は、各ユーザに共通の公開パラ
メータ及び各ユーザに固有の秘密情報から、各ユーザに
固有の公開情報を生成する公開情報生成ステップと、デ
ィジタル情報に対して上記秘密情報及び上記公開パラメ
ータを用いた変換を施すことで、上記ディジタル情報に
対応する署名を生成する第１の署名生成ステップと、上
記公開パラメータ及び上記公開情報を用いて、上記ディ
ジタル情報と上記署名の対応関係が正しいか否かを判別
する第１の署名判別ステップとを含むディジタル署名方
式であって、上記公開情報を用いて、ユーザに固有の新
たな秘密情報、新たなパラメータ、及び新たな公開情報
を生成するユーザ情報生成ステップと、上記ユーザ情報
生成ステップで生成された新たな秘密情報、新たなパラ
メータ、及び新たな公開情報が予め定められた関係を満
たすことを確認する確認ステップと、上記確認ステップ
で確認された新たなパラメータ及び新たな秘密情報を用
いて、ディジタル情報に対応する署名を生成する第２の
署名生成ステップとを含むことを特徴とする。

【００３７】第４の発明は、上記第３の発明において、
上記確認ステップで確認された新たなパラメータ及び新
たな公開情報を用いて、上記第２の署名生成ステップで
生成された署名とそれに対応したディジタル情報の関係
が正しいか否かを判別する第２の署名判別ステップを含
むことを特徴とする。

【００３８】第５の発明は、複数のユーザ間で共通に用
いられる底の値に対して、各ユーザの秘密情報を指数値
として指数計算した結果を、各ユーザの公開情報とする
公開情報ステップを含むディジタル署名方式であって、
ユーザの公開情報を共通の底の代わりに用いて生成した
平文に対する署名、及び上記ユーザの秘密情報を基に、
そのユーザの新たな秘密情報を生成する秘密情報生成ス
テップと、上記秘密情報生成ステップで生成された新た
な秘密情報に対応する新たなパラメータを生成するパラ
メータ生成ステップと、上記署名、上記ユーザの公開情
報、上記共通の底、及び上記平文から、上記ユーザの新
たな公開情報を生成する公開情報生成ステップと、上記
秘密情報生成ステップで生成された新たな秘密情報、上
記パラメータ生成ステップで生成された新たなパラメー
タ、及び上記公開情報生成ステップで生成された新たな
公開情報を用いて、公開鍵暗号を実行する暗号実行ステ
ップとを更に含むことを特徴とする。

【００３９】第６の発明は、上記第５の発明において、
離散対数を求めることの困難性に安全性の根拠を置くデ
ィジタル署名方式を含むことを特徴とする。

【００４０】第７の発明は、上記第６の発明において、
上記ディジタル署名方式は、ＥｌＧａｍａｌ署名方式を
含むことを特徴とする。

【００４１】第８の発明は、上記第６の発明において、
上記ディジタル署名方式は、ＥｌＧａｍａｌ署名方式の
変形を含むことを特徴とする。

【００４２】第９の発明は、上記第５の発明において、
上記公開鍵暗号は、離散対数を求めることの困難性に安
全性の根拠を置く暗号を含むことを特徴とする。

【００４３】第１０の発明は、請求項１〜９の何れかに
記載のディジタル署名方式を用いた情報通信システムで
あって、第１のユーザが第２のユーザに対して、毎回異
なる新たな秘密情報、新たなパラメータ、及び新たな公
開情報を生成可能なユーザ情報生成手段と、上記第２の
ユーザに対する情報が、上記第１のユーザが上記ユーザ
情報生成手段により生成したものであることを確認する
ユーザ情報確認手段と、上記ユーザ情報確認手段で確認
された情報を用いて、公開鍵暗号を実行する公開鍵暗号
実行手段とを含み、上記ユーザ情報生成手段により生成
された新たなパラメータ、及び新たな公開情報から、そ
れらに対応するユーザが情報量的に判定不可能であるこ
とを特徴とする。

【００４４】第１１の発明は、ユーザに共通の公開パラ
メータ及びユーザに固有の秘密情報からユーザに固有の
公開情報を生成する公開情報生成手段と、上記公開パラ
メータ及び上記公開情報を用いて、送信されてきたディ
ジタル情報と、そのディジタル情報に対応する署名との
対応関係が正しいか否かを判別する署名判別手段と、上
記公開情報を用いて、ユーザに固有の新たな秘密情報、
新たなパラメータ、及び新たな公開情報を生成するユー
ザ情報生成手段と、上記ユーザ情報生成手段で生成され
た新たな秘密情報、新たなパラメータ、及び新たな公開
情報が予め定められた関係を満たすことを確認する確認
手段と、上記確認手段で確認された新たなパラメータ及
び新たな公開情報を用いて、ディジタル情報を暗号化す
る暗号化手段とを備えることを特徴とする。

【００４５】第１２の発明は、上記第１１の発明におい
て、上記確認手段で確認された新たなパラメータ及び新
たな秘密情報を用いて、ディジタル情報に対応する署名
を生成する署名生成手段を備えることを特徴とする。

【００４６】第１３の発明は、複数のユーザ間で共通に
用いられる底の値に対して、ユーザの秘密情報を指数値
として指数計算した結果を、ユーザの公開情報とする公
開情報手段と、上記公開情報を共通の底の代わりに用い
て生成したディジタル情報に対する署名、及び上記秘密
情報を基に、新たな秘密情報を生成する秘密情報生成手
段と、上記秘密情報生成手段で生成された新たな秘密情
報に対応する新たなパラメータを生成するパラメータ生
成手段と、上記署名、上記公開情報、上記共通の底、及
び上記ディジタル情報から、新たな公開情報を生成する
公開情報生成手段と、上記秘密情報生成手段で生成され
た新たな秘密情報、上記パラメータ生成手段で生成され
た新たなパラメータ、及び上記公開情報生成手段で生成
された新たな公開情報を用いて、公開鍵暗号を実行する
暗号実行手段とを備えることを特徴とする。

【００４７】第１４の発明は、上記第１１〜１３の何れ
かの発明において、上記ディジタル署名方式は、請求項
１〜９の何れかに記載のディジタル署名方式であること
を特徴とする。

【００４８】第１５の発明は、請求項１１〜１４の何れ
かに記載の通信装置を含むシステムであることを特徴と
する。

【００４９】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を用いて説明する。

【００５０】まず、第１の実施の形態について説明す
る。

【００５１】本発明に係るディジタル署名方式は、例え
ば、図１に示すような通信システム１００により実施さ
れ、この通信システム１００は、本発明に係る情報通信
システムを適用したものでもある。

【００５２】すなわち、通信システム１００では、証明
書発行者Ｑ用端末装置２０と、ユーザｊ，ｉ，ｋを含む
複数のユーザ用端末装置３０、４０、５０、・・・とが
ネットワーク１０上で接続されており、各端末装置は、
ネットワーク１０を介して互いに通信するようになされ
ている。また、通信システム１００には、各ユーザに共
通の公開パラメータＰＶ（Public Values ）が管理され
ている公開データベースＰＤ（Public Database ）が設
けられている。

【００５３】証明書発行者Ｑ用端末装置２０は、証明書
発行者Ｑ固有の秘密鍵ｓ_Q （秘密情報）及び公開鍵ｖ_Q
（公開情報）を生成する公開鍵生成部２１と、秘密鍵ｓ
_Q 及び公開パラメータＰＶを用いて平文ｍに対する署名
（匿名公開鍵証明書）を生成する署名生成部２２とを備
えている。

【００５４】一方、ユーザ用端末装置３０、４０、５
０、・・・は、各々同様の構成としている。例えば、ユ
ーザｊ用端末装置３０は、ユーザｊ固有の秘密鍵ｓ_j 及
び公開鍵ｖ _j を生成する公開鍵生成部３１と、平文ｍと
上記署名の対応関係が正しいか否かを判別する判別部３
２と、新たな署名を生成する署名生成部３３とを備えて
いる。また、ユーザｊ用端末装置３０は、新たな署名を
確認する確認部３５と、確認部３５で確認された新たな
署名を用いて平文を暗号化する暗号化部３６と、確認部
３５で確認された新たな署名を用いて暗号文を復号する
復号部３４とを備えている。

【００５５】以下、上述のような通信システム１００の
動作を上記図１及び図２を用いて説明する。尚、上記図
２中の記号は、上記図５と同様の表記規則に従うものと
する。

【００５６】ステップＳ２００：先ず、通信システム１
００の共通のデータとして、大きな素数ｐ、Ｚ_p ^* の要
素であり且つ位数ｐ−１のα、一方向性ハッシュ関数Ｈ
₀ ：Ｚ→Ｚ_p ＼｛０｝を用いる。尚、ｐは、例えば、
「ｐ＞２⁵¹² 」とする。これらのパラメータ（公開パラ
メータＰＶ（Public Values ））は、通信システム１０
０に参加している全てのユーザがアクセスすることがで
き、且つ不当な改ざん等が起こらないように適切に管理
されている公開データベースＰＤ（Public Database ）
に登録されているものとする。そこで、証明書発行者
（authority ）Ｑ用端末装置２０は、公開鍵生成部２１
により、秘密鍵（復号鍵）ｓ_Q （∈Ｚ_p-1 ^* ）と、公開
鍵（暗号化鍵）ｖ_Q （＝α^sQｍｏｄｐ）とを生成し、公
開鍵ｖ_Q を公開データベースＰＤに登録する。また、任
意のユーザ用端末装置（ここではユーザ（User）ｊ用端
末装置３０とする）は、公開鍵生成部３１により、秘密
鍵（復号鍵）ｓ_j （∈Ｚ_p-1 ^* ）と、公開鍵（暗号化
鍵）ｖ_j （＝α^sjｍｏｄｐ）とを生成し、公開鍵ｖ_j を
公開データベースＰＤに登録する。

【００５７】ステップＳ２０１：匿名公開鍵証明書の生
成 証明書発行者Ｑ用端末装置２０は、署名生成部２２によ
り、ユーザｊの公開鍵ｖ_j を、乱数（random number ）
ｋを用いて変換したｒを求め、平文ｍに対する署名（例
えば、ＥｌＧａｍａｌ暗号によるディジタル署名）を生
成する。具体的には、署名生成部２２は、乱数（秘密の
乱数）ｋ（ｋ∈Ｚ_p-1 ^* ）を選択し、 ｒ＝ｖ_j ^k ｍｏｄｐ ｓ＝（Ｈ₀ （ｍ）−ｓ_Q ・ｒ）・ｋ^-1ｍｏｄ（ｐ−１） なる計算を行う。この平文ｍに対するＥｌＧａｍａｌ暗
号によるディジタル署名ｒ，ｓが匿名公開鍵証明書であ
る。また、平文ｍは、その匿名公開鍵証明書の種類を示
すパラメータとして使用できる。尚、匿名公開鍵証明書
の種類を示すパラメータとしては、平文ｍ或いはＨ
₀ （ｍ）の代わりに、予め決められた固定値を使用して
もよい。

【００５８】ステップＳ２０２：匿名公開鍵証明書の配
送 次に、証明書発行者Ｑ用端末装置２０は、署名生成部２
２で生成したディジタル署名ｒ，ｓと、その種類を示す
パラメータｍとを匿名公開鍵証明書（ｍ，ｒ，ｓ）とし
て、ユーザｊ用端末装置３０に対して送信する。

【００５９】ステップＳ２０３：これを受けたユーザｊ
用端末装置３０は、判別部３２により、 ｓ_j ’＝ｓ・ｓ_j ^-1ｍｏｄ（ｐ−１） を求め、 α^H0(m) ≡ｖ_Q ^r ・ｒ^sj' （ｍｏｄｐ） が成り立つことを確認する。

【００６０】ステップＳ２０４：公開鍵暗号の利用 そして、ユーザｊ用端末装置３０は、 α^H0(m) ・ｖ_Q ^-r≡ｒ^sj' （ｍｏｄｐ） により、「ｒ」を底、「α^H0(m) ・ｖ_Q ^-rｍｏｄｐ」を
公開鍵、「ｓ_j ’」を秘密鍵として、離散対数問題に基
づく公開鍵暗号を利用する。

【００６１】そこで、例えば、ＥｌＧａｍａｌ暗号によ
るディジタル署名を利用する場合について説明する。

【００６２】ステップＳ２０４（１）：ディジタル署名
の生成 ユーザｊ用端末装置３０は、署名生成部３３により、平
文ｍ’に対する署名を以下のようにして生成する。 署名生成部３３は、乱数ｋ’（∈Ｚ_p-1 ^* ）を生成す
る。 署名生成部３３は、 ｒ’＝α^k'ｍｏｄｐ を計算する。 署名生成部３３は、 ｓ’＝（Ｈ₀ （ｍ’）−ｓ_j ’・ｒ）・（ｋ’）^-1ｍｏ
ｄ（ｐ−１） を計算する。 そして、ユーザｊ用端末装置３０は、ｍ’と、署名生
成部３３で得られたｒ’及びｓ’を、証明書発行者Ｑ用
端末装置２０からの匿名公開鍵証明書（ｍ，ｒ）と共に
通信相手（ここではユーザｉ用端末装置４０とする）に
対して送信する。

【００６３】ステップＳ２０４（２）：署名検証 これを受けたユーザｉ用端末装置４０は、確認部４５に
より、 ｒ^H0(m')≡（α^H0(m) ・ｖ_Q ^-r）^r'・（ｒ’）^s'（ｍｏ
ｄｐ） なる式が成立するかを確認する。そして、ユーザｉ用端
末装置４０は、この確認ができた場合に、ｍ’に対する
署名は証明書発行者Ｑによって選ばれたユーザによって
生成された署名であることを認識する。

【００６４】また、上述のステップＳ２０４：公開鍵暗
号の利用としては、暗号化にも利用することができる。
そこで、例えば、ユーザｋ用端末装置５０において、Ｅ
ｌＧａｍａｌ暗号による暗号化を行う場合について説明
する。

【００６５】暗号化：ユーザｋ用端末装置５０は、暗号
化部５６により、平文ｍ”を以下のようにして暗号化す
る。 暗号化部５６は、乱数ｋ”を生成する。 暗号化部５６は、 Ｃ₁ ＝ｒ^k"ｍｏｄｐ を計算する。 暗号化部５６は、 Ｃ₂ ＝ｍ”・（α^H0(m) ・ｖ_Q ^-rｍｏｄｐ）^k"ｍｏｄｐ を計算する。 そして、ユーザｋ用端末装置５０は、暗号化部５６で
得られたＣ₁ 及びＣ₂を、ユーザｊ用端末装置３０に対
して送信する。

【００６６】復号：これを受けたユーザｊ用端末装置３
０は、復号部３４により、 ｍ”＝Ｃ₂ ／Ｃ₁ ^sj' ｍｏｄｐ なる計算を行って、平文ｍ”を得る。

【００６７】尚、上述のステップＳ２０４：公開鍵暗号
の利用として、ＥｌＧａｍａｌ暗号を用いたものを説明
したが、これに限らず、離散対数問題に基づく公開鍵暗
号等を用いたものにも利用することができる。

【００６８】つぎに、第２の実施の形態について説明す
る。

【００６９】この第２の実施の形態では、上述した第１
の実施の形態における通信システム１００に、ＥｌＧａ
ｍａｌ暗号のディジタル署名方式の変形版を適用する。
このため、第１の実施の形態では、ＥｌＧａｍａｌ暗号
でｐ−１を用いて法演算を行うのに対して、第２の実施
の形態では、素数ｑ（ｑはｐ−１を割り切る）を用いて
法演算を行うという点が異なる。

【００７０】尚、この第２の実施の形態を実施する通信
システム１００の構成については、上述した第１の実施
の形態と同様であるため、その詳細な説明は省略する。
以下、第１の実施の形態と異なる点についてのみ、図３
を用いて具体的に説明する。

【００７１】ステップＳ３００：先ず、通信システム１
００の共通のデータとして、大きな素数ｐ、ｑ（ｑはｐ
−１を割り切る）、Ｚ_p ^* の要素であり且つ位数ｑの
α、一方向性ハッシュ関数Ｈ₀ ：Ｚ→Ｚ_q ＼｛０｝、Ｈ
₁ ：Ｚ_q ×Ｚ→｛０，・・・，２^t −１｝を用いる。
尚、ここでは、例えば、「ｐ＞２⁵¹² 」、「ｑ＞
２¹⁶⁰ 」、「ｔ＞７２」とする。これらのパラメータ
（公開パラメータＰＶ）は、通信システム１００に参加
している全てのユーザがアクセスすることができ、且つ
不当な改ざん等が起こらないように適切に管理されてい
る公開データベースＰＤに登録されているものとする。
そこで、証明書発行者Ｑ用端末装置２０は、公開鍵生成
部２１により、秘密鍵ｓ_Q （∈Ｚ_q ＼｛０｝）と、公開
鍵ｖ_Q （＝α^sQｍｏｄｐ）とを生成し、公開鍵ｖ_Q を公
開データベースＰＤに登録する。また、任意のユーザ用
端末装置（ここではユーザ（User）ｊ用端末装置３０と
する）は、公開鍵生成部３１により、秘密鍵ｓ_j （∈Ｚ
_q ＼｛０｝）と、公開鍵ｖ_j （＝α^sjｍｏｄｐ）とを生
成し、公開鍵ｖ_j を公開データベースＰＤに登録する。

【００７２】ステップＳ３０１：匿名公開鍵証明書の生
成 証明書発行者Ｑ用端末装置２０は、署名生成部２２によ
り、ユーザｊの公開鍵ｖ_j を、乱数（random number ）
ｋを用いて変換したｒを求め、平文ｍに対する署名（例
えば、ＥｌＧａｍａｌ暗号によるディジタル署名）を生
成する。具体的には、署名生成部２２は、乱数（秘密の
乱数）ｋ（ｋ∈Ｚ_q ＼｛０｝）を選択し、 ｒ＝ｖ_j ^k ｍｏｄｐ ｓ＝（Ｈ₀ （ｍ）−ｓ_Q ・ｒ）・ｋ^-1ｍｏｄｑ なる計算を行う。この平文ｍに対するＥｌＧａｍａｌ暗
号によるディジタル署名ｒ，ｓが匿名公開鍵証明書であ
る。また、平文ｍは、その匿名公開鍵証明書の種類を示
すパラメータとして使用できる。尚、匿名公開鍵証明書
の種類を示すパラメータとしては、平文ｍ或いはＨ
₀ （ｍ）の代わりに、予め決められた固定値を使用して
もよい。

【００７３】ステップＳ３０２：匿名公開鍵証明書の配
送 次に、証明書発行者Ｑ用端末装置２０は、署名生成部２
２で生成したディジタル署名ｒ，ｓと、その種類を示す
パラメータｍとを匿名公開鍵証明書（ｍ，ｒ，ｓ）とし
て、ユーザｊ用端末装置３０に対して送信する。

【００７４】ステップＳ３０３：これを受けたユーザｊ
用端末装置３０は、判別部３２により、 ｓ_j ’＝ｓ・ｓ_j ^-1ｍｏｄｑ を求め、 α^H0(m) ≡ｖ_Q ^r ・ｒ^sj' （ｍｏｄｐ） が成り立つことを確認する。

【００７５】ステップＳ３０４：公開鍵暗号の利用 そして、ユーザｊ用端末装置３０は、 α^H0(m) ・ｖ_Q ^-r≡ｒ^sj' （ｍｏｄｐ） により、「ｒ」を底、「α^H0(m) ・ｖ_Q ^-rｍｏｄｐ」を
公開鍵、「ｓ_j ’」を秘密鍵として、離散対数問題に基
づく公開鍵暗号を利用する。

【００７６】そこで、例えば、Ｓｃｈｏｎｏｒｒ暗号に
よるディジタル署名を利用する場合について説明する。

【００７７】ステップＳ３０４（１）：ディジタル署名
の生成 ユーザｊ用端末装置３０は、署名生成部３３により、平
文ｍ’に対する署名を以下のようにして生成する。 署名生成部３３は、乱数ｋ’（∈Ｚ_q ＼｛０｝）を生
成する。 署名生成部３３は、 ｘ＝ｒ^k'ｍｏｄｐ を計算する。 署名生成部３３は、 ｅ＝Ｈ₁ （ｘ，ｍ’） を計算する。 署名生成部３３は、 ｙ＝ｋ’−ｅ・ｓ_j ’ｍｏｄｑ を計算する。 そして、ユーザｊ用端末装置３０は、ｍ’と、署名生
成部３３で得られたｅ及びｙを、証明書発行者Ｑ用端末
装置２０からの匿名公開鍵証明書（ｍ，ｒ）と共に通信
相手（ここではユーザｉ用端末装置４０とする）に対し
て送信する。

【００７８】ステップＳ３０４（２）：署名検証 これを受けたユーザｉ用端末装置４０は、確認部４５に
より、 ｅ＝Ｈ₁ （ｒ^y ・（α^H0(m')・ｖ_Q ^-r）^e ｍｏｄｐ，
ｍ’） なる式が成立するかを確認する。そして、ユーザｉ用端
末装置４０は、この確認ができた場合に、ｍ’に対する
署名は、証明書発行者Ｑによって選ばれたユーザによっ
て生成された署名であることを認識する。

【００７９】また、上述のステップＳ３０４：公開鍵暗
号の利用としては、暗号化にも利用することができる。
そこで、例えば、ユーザｋ用端末装置５０において、Ｅ
ｌＧａｍａｌ暗号による暗号化を行う場合について説明
する。

【００８０】暗号化：ユーザｋ用端末装置５０は、暗号
化部５６により、平文ｍ”を以下のようにして暗号化す
る。 暗号化部５６は、乱数ｋ”を生成する。 暗号化部５６は、 Ｃ₁ ＝ｒ^k"ｍｏｄｐ を計算する。 暗号化部５６は、 Ｃ₂ ＝ｍ”・（α^H0(m) ・ｖ_Q ^-rｍｏｄｐ）^k"ｍｏｄｐ を計算する。 そして、ユーザｋ用端末装置５０は、暗号化部５６で
得られたＣ₁ 及びＣ₂を、ユーザｊ用端末装置３０に対
して送信する。

【００８１】復号：これを受けたユーザｊ用端末装置３
０は、復号部３４により、 ｍ”＝Ｃ₂ ／Ｃ₁ ^sj' ｍｏｄｐ なる計算を行って、平文ｍ”を得る。

【００８２】尚、上述のステップＳ３０４：公開鍵暗号
の利用として、Ｓｃｈｎｏｒｒ暗号やＥｌＧａｍａｌ暗
号を用いたものを説明したが、これに限らず、離散対数
問題に基づく公開鍵暗号等を用いたものにも利用するこ
とができる。

【００８３】つぎに、第３の実施の形態について説明す
る。

【００８４】この第３の実施の形態では、上述した第１
の実施の形態における通信システム１００に、ＥｌＧａ
ｍａｌ暗号のディジタル署名方式の変形版を適用する。
すなわち、第３の実施の形態では、第１の実施の形態と
同様に、匿名公開鍵証明書において平文ｍ（平文ｍを元
に計算して得たＨ₀ （ｍ））を用いる際に、Ｈ ₀ （ｍ）
＝０とする。

【００８５】尚、この第３の実施の形態を実施する通信
システム１００の構成については、上述した第１の実施
の形態と同様であるため、その詳細な説明は省略する。
以下、第１の実施の形態と異なる点についてのみ、図４
を用いて具体的に説明する。

【００８６】ステップＳ４００：先ず、通信システム１
００の共通のデータとして、素数ｐ、Ｚ_p ^* の要素であ
り且つ位数ｐ−１のα、一方向性ハッシュ関数Ｈ₀ ：Ｚ
→Ｚ_p ＼｛０｝を用いる。尚、ｐは、例えば、「ｐ＞２
⁵¹² 」とする。これらのパラメータ（公開パラメータＰ
Ｖ）は、通信システム１００に参加している全てのユー
ザがアクセスすることができ、且つ不当な改ざん等が起
こらないように適切に管理されている公開データベース
ＰＤに登録されているものとする。そこで、証明書発行
者Ｑ用端末装置２０は、公開鍵生成部２１により、秘密
鍵ｓ_Q （∈Ｚ_p-1 ^* ）と、公開鍵ｖ_Q （＝α^sQｍｏｄ
ｐ）とを生成し、公開鍵ｖ_Qを公開データベースＰＤに
登録する。また、任意のユーザ用端末装置（ここではユ
ーザ（User）ｊ用端末装置３０とする）は、公開鍵生成
部３１により、秘密鍵ｓ_j （∈Ｚ_p-1 ^* ）と、公開鍵ｖ
_j（＝α^sjｍｏｄｐ）とを生成し、公開鍵ｖ_j を公開デ
ータベースＰＤに登録する。

【００８７】ステップＳ４０１：匿名公開鍵証明書の生
成 証明書発行者Ｑ用端末装置２０は、署名生成部２２によ
り、ユーザｊの公開鍵ｖ_j を、乱数（random number ）
ｋを用いて変換したｒを求め、Ｅｌｇａｍａｌ暗号のデ
ィジタル署名の変形版、例えば、平文ｍをハッシュ関数
の入力とした結果が「０」となるＥｌＧａｍａｌ暗号の
署名を生成する。具体的には、署名生成部２２は、乱数
（秘密の乱数）ｋ（ｋ∈Ｚ_p-1 ^* ）を選択し、 ｒ＝ｖ_j ^k ｍｏｄｐ ｓ＝ｓ_Q ・ｒ・ｋ^-1ｍｏｄ（ｐ−１） なる計算を行う。このディジタル署名ｒ，ｓが匿名公開
鍵証明書である。

【００８８】ステップＳ４０２：匿名公開鍵証明書の配
送次に、証明書発行者Ｑ用端末装置２０は、署名生成部
２２で生成したディジタル署名ｒ，ｓを匿名公開鍵証明
書（ｒ，ｓ）として、ユーザｊ用端末装置３０に対して
送信する。

【００８９】ステップＳ４０３：これを受けたユーザｊ
用端末装置３０は、判別部３２により、 ｓ_j ’＝ｓ・ｓ_j ^-1ｍｏｄ（ｐ−１） を求め、 ｖ_Q ^r ≡ｒ^sj' （ｍｏｄｐ） が成り立つことを確認する。

【００９０】ステップＳ４０４：公開鍵暗号の利用 そして、ユーザｊ用端末装置３０は、 ｖ_Q ^r ≡ｒ^sj' （ｍｏｄｐ） により、「ｒ」を底、「ｖ_Q ^r ｍｏｄｐ」を公開鍵、
「ｓ_j ’」を秘密鍵として、離散対数問題に基づく公開
鍵暗号を利用する。

【００９１】そこで、例えば、ＥｌＧａｍａｌ暗号によ
るディジタル署名を利用する場合について説明する。

【００９２】ステップＳ４０４（１）：ディジタル署名
の生成 ユーザｊ用端末装置３０は、署名生成部３３により、平
文ｍ’に対する署名を以下のようにして生成する。 署名生成部３３は、乱数ｋ’（∈Ｚ_p-1 ^* ）を生成す
る。 署名生成部３３は、 ｒ’＝α^k'ｍｏｄｐ を計算する。 署名生成部３３は、 ｓ’＝（Ｈ（ｍ’）−ｓ_j ’・ｒ）・（ｋ’）^-1ｍｏｄ
（ｐ−１） を計算する。 そして、ユーザｊ用端末装置３０は、ｍ’と、署名生
成部３３で得られたｒ’及びｓ’を、証明書発行者Ｑ用
端末装置２０からの匿名公開鍵証明書（ｍ，ｒ）と共に
通信相手（ここではユーザｉ用端末装置４０とする）に
対して送信する。

【００９３】ステップＳ４０４（２）：署名検証 これを受けたユーザｉ用端末装置４０は、確認部４５に
より、 ｒ^H0(m')≡（ｖ_Q ^r ）^r'・（ｒ’）^s'（ｍｏｄｐ） なる式が成立するかを確認する。そして、ユーザｉ用端
末装置４０は、この確認ができた場合に、ｍ’に対する
署名は、証明書発行者Ｑによって選ばれたユーザによっ
て生成された署名であることを認識する。

【００９４】また、上述のステップＳ４０４：公開鍵暗
号の利用としては、暗号化にも利用することができる。
そこで、例えば、ユーザｋ用端末装置５０において、Ｅ
ｌＧａｍａｌ暗号による暗号化を行う場合について説明
する。

【００９５】暗号化：ユーザｋ用端末装置５０は、暗号
化部５６により、平文ｍ”を以下のようにして暗号化す
る。 暗号化部５６は、乱数ｋ”を生成する。 暗号化部５６は、 Ｃ₁ ＝ｒ^k"ｍｏｄｐ を計算する。 暗号化部５６は、 Ｃ₂ ＝ｍ”・（ｖ_Q ^r ｍｏｄｐ）^k"ｍｏｄｐ を計算する。 そして、ユーザｋ用端末装置５０は、暗号化部５６で
得られたＣ₁ 及びＣ₂を、ユーザｊ用端末装置３０に対
して送信する。

【００９６】復号：これを受けたユーザｊ用端末装置３
０は、復号部３４により、 ｍ”＝Ｃ₂ ／Ｃ₁ ^sj' ｍｏｄｐ なる計算を行って、平文ｍ”を得る。

【００９７】尚、上述のステップＳ４０４：公開鍵暗号
の利用として、ＥｌＧａｍａｌ暗号を用いたものを説明
したが、これに限らず、離散対数問題に基づく公開鍵暗
号等を用いたものにも利用することができる。

【００９８】上述のように、本発明においては、ｐは素
数、αの位数はｐ−１、ｒ≡ｖ_j ^k≡α^sjk （ｍａｄ
ｐ）であり、ｓ_j ∈Ｚ_p-1 ^* 、ｋ∈Ｚ_p-1 ^* である。或
いは、ｐとｑが素数で、ｑはｐ−１を割り切り、αの位
数がｑ、ｒ≡ｖ_j ^k ≡α^sjk （ｍａｄｐ）であり、ｓ_j
∈Ｚ_q ＼｛０｝、ｋ∈Ｚ_q ＼｛０｝である。したがっ
て、任意のｒが与えられたとき、そのｒは、どのユーザ
の公開鍵からも計算して得ることができる値であり、実
際に使用されたｋの値が分からない限りは、どのユーザ
の公開鍵から計算して得られたのかは全く特定すること
ができない。換言すれば、匿名公開鍵証明書である署名
ｒには、どのユーザの匿名公開鍵証明書であるかを特定
するための情報が一切含まれない。これにより、計算量
的な上述した仮定２によってではなく、情報量的に匿名
性が実現されており、仮定２が成り立たなくなる事態が
起きたとしても、匿名性を確実に保つことができる。こ
のため、プライバシー保護に関する安全性を向上させる
ことができる。

【００９９】また、上述した何れの実施の形態において
も、以下のように運用することで、プライバシー保護に
関する安全性をさらに向上させることができる。 証明書発行者Ｑ用端末装置２０は、任意のユーザ用端
末装置（例えば、ユーザｊ用端末装置３０）に対して毎
回異なる乱数ｋを用いた匿名公開鍵証明書を生成してユ
ーザｊ用端末装置３０に対して送信する。 これを受けたユーザｊ用端末装置３０は、ディジタル
署名を生成せずに、１つの匿名公開証明書を異なる平文
に対して使用する。このような、匿名公開鍵証明書を使
用する方式（One-time Certificates 、使い捨て証明書
方式）により、任意のディジタル署名を生成したユーザ
と、それとは別のディジタル署名を生成したユーザと
が、同一のユーザであるか否かを判別することは、証明
書発行者Ｑと、上記任意のディジタル署名を生成したユ
ーザ以外のユーザとにとって、情報量的に非常に困難、
すなわち不可能である。したがって、ユーザの匿名性は
情報量的に保たれるため、プライバシー保護に関する安
全性をさらに向上させることができる。

【０１００】

【発明の効果】以上説明したように本発明によれば、匿
名公開鍵証明書である署名には、どのユーザの匿名公開
鍵証明書であるかを特定するための情報が一切含まれな
い。これにより、計算量的な上述した仮定２によってで
はなく、情報量的に匿名性が実現されており、仮定２が
成り立たなくなる事態が起きたとしても、匿名性を確実
に保つことができる。したがって、プライバシー保護に
関する安全性を向上させることができる。

【図面の簡単な説明】

【図１】第１の実施の形態において、本発明に係る情報
通信システムを適用した通信システムの構成を示すブロ
ック図である。

【図２】上記通信システムにおけるディジタル署名方式
を説明するための図である。

【図３】第２の実施の形態において、上記通信システム
におけるディジタル署名方式を説明するための図であ
る。

【図４】第３の実施の形態において、上記通信システム
におけるディジタル署名方式を説明するための図であ
る。

【図５】従来のディジタル署名方式を説明するための図
である。

【符号の説明】

１０ ネットワーク ２０ 証明書発行者用端末装置 ２１ 公開鍵生成部 ２２ 署名生成部 ３０〜５０ ユーザ用端末装置 ３１ 公開鍵生成部 ３２ 判別部 ３３ 署名生成部 ３４ 復号部 ３５、４５ 確認部 ３６、５６ 暗号化部

Claims (15)

【特許請求の範囲】
1. 【請求項１】 各ユーザに共通の公開パラメータ及び各
   ユーザに固有の秘密情報から、各ユーザに固有の公開情
   報を生成する公開情報生成ステップと、 ディジタル情報に対して上記秘密情報及び上記公開パラ
   メータを用いた変換を施すことで、上記ディジタル情報
   に対応する署名を生成する署名生成ステップと、 上記公開パラメータ及び上記公開情報を用いて、上記デ
   ィジタル情報と上記署名の対応関係が正しいか否かを判
   別する署名判別ステップとを含むディジタル署名方式で
   あって、 上記公開情報を用いて、ユーザに固有の新たな秘密情
   報、新たなパラメータ、及び新たな公開情報を生成する
   ユーザ情報生成ステップと、 上記ユーザ情報生成ステップで生成された新たな秘密情
   報、新たなパラメータ、及び新たな公開情報が予め定め
   られた関係を満たすことを確認する確認ステップと、 上記確認ステップで確認された新たなパラメータ及び新
   たな公開情報を用いて、ディジタル情報を暗号化する暗
   号化ステップとを含むことを特徴とするディジタル署名
   方式。
2. 【請求項２】 上記確認ステップで確認された新たなパ
   ラメータ及び新たな秘密情報を用いて、上記暗号化ステ
   ップで暗号化して得られた暗号文を復号する復号ステッ
   プを含むことを特徴とする請求項１記載のディジタル署
   名方式。
3. 【請求項３】 各ユーザに共通の公開パラメータ及び各
   ユーザに固有の秘密情報から、各ユーザに固有の公開情
   報を生成する公開情報生成ステップと、 ディジタル情報に対して上記秘密情報及び上記公開パラ
   メータを用いた変換を施すことで、上記ディジタル情報
   に対応する署名を生成する第１の署名生成ステップと、 上記公開パラメータ及び上記公開情報を用いて、上記デ
   ィジタル情報と上記署名の対応関係が正しいか否かを判
   別する第１の署名判別ステップとを含むディジタル署名
   方式であって、 上記公開情報を用いて、ユーザに固有の新たな秘密情
   報、新たなパラメータ、及び新たな公開情報を生成する
   ユーザ情報生成ステップと、 上記ユーザ情報生成ステップで生成された新たな秘密情
   報、新たなパラメータ、及び新たな公開情報が予め定め
   られた関係を満たすことを確認する確認ステップと、 上記確認ステップで確認された新たなパラメータ及び新
   たな秘密情報を用いて、ディジタル情報に対応する署名
   を生成する第２の署名生成ステップとを含むことを特徴
   とするディジタル署名方式。
4. 【請求項４】 上記確認ステップで確認された新たなパ
   ラメータ及び新たな公開情報を用いて、上記第２の署名
   生成ステップで生成された署名とそれに対応したディジ
   タル情報の関係が正しいか否かを判別する第２の署名判
   別ステップを含むことを特徴とする請求項３記載のディ
   ジタル署名方式。
5. 【請求項５】 複数のユーザ間で共通に用いられる底の
   値に対して、各ユーザの秘密情報を指数値として指数計
   算した結果を、各ユーザの公開情報とする公開情報ステ
   ップを含むディジタル署名方式であって、 ユーザの公開情報を共通の底の代わりに用いて生成した
   平文に対する署名、及び上記ユーザの秘密情報を基に、
   そのユーザの新たな秘密情報を生成する秘密情報生成ス
   テップと、 上記秘密情報生成ステップで生成された新たな秘密情報
   に対応する新たなパラメータを生成するパラメータ生成
   ステップと、 上記署名、上記ユーザの公開情報、上記共通の底、及び
   上記平文から、上記ユーザの新たな公開情報を生成する
   公開情報生成ステップと、 上記秘密情報生成ステップで生成された新たな秘密情
   報、上記パラメータ生成ステップで生成された新たなパ
   ラメータ、及び上記公開情報生成ステップで生成された
   新たな公開情報を用いて、公開鍵暗号を実行する暗号実
   行ステップとを更に含むことを特徴とするディジタル署
   名方式。
6. 【請求項６】 離散対数を求めることの困難性に安全性
   の根拠を置くディジタル署名方式を含むことを特徴とす
   る請求項５記載のディジタル署名方式。
7. 【請求項７】 上記ディジタル署名方式は、ＥｌＧａｍ
   ａｌ署名方式を含むことを特徴とする請求項６記載のデ
   ィジタル署名方式。
8. 【請求項８】 上記ディジタル署名方式は、ＥｌＧａｍ
   ａｌ署名方式の変形を含むことを特徴とする請求項６記
   載のディジタル署名方式。
9. 【請求項９】 上記公開鍵暗号は、離散対数を求めるこ
   との困難性に安全性の根拠を置く暗号を含むことを特徴
   とする請求項５記載のディジタル署名方式。
10. 【請求項１０】 請求項１〜９の何れかに記載のディジ
    タル署名方式を用いた情報通信システムであって、 第１のユーザが第２のユーザに対して、毎回異なる新た
    な秘密情報、新たなパラメータ、及び新たな公開情報を
    生成可能なユーザ情報生成手段と、 上記第２のユーザに対する情報が、上記第１のユーザが
    上記ユーザ情報生成手段により生成したものであること
    を確認するユーザ情報確認手段と、 上記ユーザ情報確認手段で確認された情報を用いて、公
    開鍵暗号を実行する公開鍵暗号実行手段とを含み、 上記ユーザ情報生成手段により生成された新たなパラメ
    ータ、及び新たな公開情報から、それらに対応するユー
    ザが情報量的に判定不可能であることを特徴とする情報
    通信システム。
11. 【請求項１１】 ユーザに共通の公開パラメータ及びユ
    ーザに固有の秘密情報からユーザに固有の公開情報を生
    成する公開情報生成手段と、 上記公開パラメータ及び上記公開情報を用いて、送信さ
    れてきたディジタル情報と、そのディジタル情報に対応
    する署名との対応関係が正しいか否かを判別する署名判
    別手段と、 上記公開情報を用いて、ユーザに固有の新たな秘密情
    報、新たなパラメータ、及び新たな公開情報を生成する
    ユーザ情報生成手段と、 上記ユーザ情報生成手段で生成された新たな秘密情報、
    新たなパラメータ、及び新たな公開情報が予め定められ
    た関係を満たすことを確認する確認手段と、 上記確認手段で確認された新たなパラメータ及び新たな
    公開情報を用いて、ディジタル情報を暗号化する暗号化
    手段とを備えることを特徴とするディジタル署名方式の
    通信装置。
12. 【請求項１２】 上記確認手段で確認された新たなパラ
    メータ及び新たな秘密情報を用いて、ディジタル情報に
    対応する署名を生成する署名生成手段を備えることを特
    徴とする請求項１１記載の通信装置。
13. 【請求項１３】 複数のユーザ間で共通に用いられる底
    の値に対して、ユーザの秘密情報を指数値として指数計
    算した結果を、ユーザの公開情報とする公開情報手段
    と、 上記公開情報を共通の底の代わりに用いて生成したディ
    ジタル情報に対する署名、及び上記秘密情報を基に、新
    たな秘密情報を生成する秘密情報生成手段と、 上記秘密情報生成手段で生成された新たな秘密情報に対
    応する新たなパラメータを生成するパラメータ生成手段
    と、 上記署名、上記公開情報、上記共通の底、及び上記ディ
    ジタル情報から、新たな公開情報を生成する公開情報生
    成手段と、 上記秘密情報生成手段で生成された新たな秘密情報、上
    記パラメータ生成手段で生成された新たなパラメータ、
    及び上記公開情報生成手段で生成された新たな公開情報
    を用いて、公開鍵暗号を実行する暗号実行手段とを備え
    ることを特徴とするディジタル署名方式の通信装置。
14. 【請求項１４】 上記ディジタル署名方式は、請求項１
    〜９の何れかに記載のディジタル署名方式であることを
    特徴とする請求項１１〜１３の何れかに記載の通信装
    置。
15. 【請求項１５】 請求項１１〜１４の何れかに記載の通
    信装置を含むことを特徴とする情報通信システム。