JPS6014353B2 - デイジタル署名装置 - Google Patents

Description

【発明の詳細な説明】 この明細書で以下使う言葉を最初に説明して、この発明
の理解を助けることにする。

「メッセージ」は、発信者、即ち送り手、から受信者、
即ち受け手、に送信される。

特定のメッセージをＭｉと記す。ｉは一続きのメッセー
ジ内でのそのメッセージの順番である。この発明の装置
の或る動作は一定数のメッセージに対して行なわれるが
、この数をｎで表わす。希望によって、メッセージを符
号化してもよいが、この他に行なわれる符号化及び暗号
化動作との混同を避ける為に、メッセージが明文で送信
されると考える方がよい。ｒディジタル署名」は、特定
のメッセージの送り手を表わす為にメッセージに付随す
るビット・パターンである。例えば、送り手が銀行の客
であり、受け手が銀行であって、メッセージが送り手か
ら他人に金を振込む様にという銀行への依頼である場合
、この署名によって、そのメッセージが実際に送り手か
ら出たものであること、並びに銀行の客が作成したメッ
セージが実際に銀行が受取ったメッセージであることが
証明される。「敵手」は、変更した又は偽のメッセージ
及び署名を提出しようとする人間である。

この発明の多くの目的並びに利点は、敵手又は受け手が
どの様にこの発明の方式を侵そうとするか、或いは送り
手が有効メッセージを後になってどの様に否認しようと
するかを考えると判る。この署名装置はこういう侵害を
かわす暗号方法やその他の従来からの保安方法を用いる
。「署名機」は暗号装置と他の貯蔵装置及び論理素子と
の組合せであって、これは送り手が署名を形成する為に
使うと共に、受け手が署名を有効と認定する為に使われ
る。

署名機は普通の通信及びデータ処理装置と共に使われる
。「メッセージの圧縮」は任意の長さを持つメッセージ
を、暗号処理が出来る長さの比較的短い一定寸法に短縮
する方法である。

圧縮メッセージは予め選ばれた任意の長さにすることが
出来るが、６４ビットの圧縮メッセージの特定の例を考
えることにする。この６４ビット・ワードをメッセージ
Ｍｉの圧縮符号と呼び、記号ＣＥ（ＭｉＺで表わす。メ
ッセージ内の任意のビット又はビットの組合せが変わる
と、圧縮符号が別のものになる確率が高くなる様な暗号
方法を用いる。即ち、メッセージを傍受した敵手は、傍
受したメッセージと同じ圧縮符号を持つ新しいメッゼー
ジを再び構成することは出来ない。「暗号署名キー」が
署名の一部分を形成する。

メッセージを送信する前に「送り手は１２８個の秘密暗
号キーの配列を作成する。この配列を署名キー表と呼ぶ
。署名キー表は、特定の１つのメッセージに対して１回
しか使わない。署名キー表には、６４ビットの圧縮符号
メッセージの各々のビットに対して２つのキーがある。
この２つのキーをｋ主及びＫ壬と記す。ｉはメッセージ
の順番であり、ｊはそのメッセージの圧縮符号に於ける
対応するビットのビット位置である。各対の一方は他方
のキーが、メッセージの圧縮符号にある対応するビット
が０ビットであるか１ビットであるかに応じて、署名の
中に入る。０ビットを符号化する為にキーｋを使い、１
ビットを符号化する為にキーＫを使う。

従って、署名は夫々５６ビットの６４個の選ばれたキー
を持ち、合計が３５８４ビットになる。云い換えれば、
プロトコルのこの部分では、キーは暗号によるデータ保
護の為に普通の様には使われず、圧縮符号メッセージの
６４ビットを表わす直接的な代りの符号として使われる
。受け手は受信したこれらのキーを使って、圧縮符号メ
ッセージを検証する。「マスター・キー」は、マスター
・キーの下にある一統きの、或いはリストの秘密でない
ワードを暗号化することによって、署名キーを形成する
為に使われる。

マスター・キーは秘密にしておく。送り手と受け手の間
で争いが起った場合、実際にマスター・キーを明らかに
せずに、それを検証する方法を利用することが出来る。
「有効表」は、署名と共に送られて来た署名キーを受け
手が検証することが出来る様にする。

送り手は、各々の署名キーの下にある秘密でないワード
を暗号化することにより、有効表を作成する。この動作
で、署名キーは普通の暗号キーとして使われる。即ち、
有効表は、署名キー表内にある各々の署名キーに対する
有効表項目を持っている。有効表項目をｖ毛及びＶミで
表わす。ｉ及びｊはキーの場合と同じ意味であり、ｖ及
びＶは夫々ｋ及びＫに対応する。有効表項目が暗号化さ
れた量であるから、有効表、及び有効表を形成する為に
署名キーの下で暗号化されたワードを実際のメッセージ
より前に受け手に送っても、この署名装置の安全性を犠
牲にすることはない。署名メッセージを開始する前に、
受け手が有効表自体の有効性を認定しなければならない
。これは、送り手が選定された記録装置に有効表又はそ
の他の適切な情報を記録しておき、この有効表又はその
他の情報によって、受け手が受信した有効表を有効と認
定することが出来る様にして達し得る。秘密でないワー
ドは、送り手と受け手の間で合意したプロトコルの一部
分と定めることが出来る。受け手が署名を持つメッセー
ジを受信した時、メッセージ内の署名キーを使って秘密
でなし、ワ−ドを暗号化し、第２組の有効表項目を発生
する。

普通の方式では、受け手が形成した有効表項目が、送り
手が作成したもとの有効表の対応する項目と等しければ
、暑名及びメッゼージは真正として受理することが出来
る。（有効表の別の使い方を後で説明する。）これ迄説
明して来た普通の署名装置は安全性が高いが、理論的に
は安全性が低くても、それで十分であるという用途が数
多〈ある。

この発明の全体的な目的は、今説明した署名装置に較べ
るとかなり簡単になっているが、大体比肩し得る安全性
を持つ署名方式を提供することである。更に特定の目的
は、各々のメッセージを送信する前に、受け手となる相
手側に有効表全体を送信する必要のない様な署名方式を
提供することである。この発明の署名方式では、全般的
に前に説明した様にして、署名キーが形成される。

これらのキーを検証する方法並びに装置は新規であり、
かなり簡単になっている。最初、送り手が、特定の受け
手に送信しようとする選ばれた数の将来のメッセージに
対する署名キー表及び有効表を形成する。署名キー表は
数定の順番に従って形成され、キーが無差別に形成され
た場合に必要となる様に、キーを貯蔵装置に入れておく
代りに必要な場合、形成過程を繰返すことによって署名
キー表を再生することが出来る様にする。例えば、マス
ター・キーの下にある一続きの計数器の数値を暗号化す
ることにより、署名キーを形成することが出来る。次の
有効表の圧縮符号を対応する署名キーの下で暗号化する
ことにより、有効表が形成される。

この動作では、最初に一続きの署名表を形成し、これら
の署名表に逆の順序で作用することにより、有効表が作
成される。この一続きの最後の署名表は、６４個の０ビ
ットの様な任意に選ばれたワードを暗号化して最後の有
効表を形成する為に使われる。次に最後の有効表を６４
ビットに圧縮し、この６４ビットの圧縮符号を使って、
この最後の署名表の次の有効表を形成する。最初、送り
手は最初の有効表の圧縮符号を受け手に送信すると．共
に、作成された一統きの署名キー表及び有効表と共に送
られることがあり得るメッセージの数を受け手に知らせ
る。

署名方式のプロトコルで普通行なわれる様に、選定され
た記録装置がこれらの値を独立に検証する為の情報を保
持している。１番目のメッセージに対する署名は、既に
述べた形の署名キー、署名の一部分としては送信されな
いキーに対する有効表項目、及び次の有効表の圧縮符号
を含む。

受け手は署名内のキーを使って、既に前述の様に受け手
に送信されている有効表の圧縮符号を暗号化する。この
暗号化動作の結果、署名中には送られて来なかった有効
表項目が形成される。署名中に含まれる６４個の有効表
項目と署名キーから形成された６４個の効効表項目とが
あれば、受け手は完全な有効表が得られる。この有効表
を６４ビットに圧縮し、前に受け手に送信されて来た有
効表の６４ビットの圧縮符号と比較する。２つの圧縮符
号が等しければ、メッセージ及び署名は真正なものとし
て受理することが出来る。

この発明のその他の目的並びに特徴は、以下この発明の
好ましい実施例を説明する所から理解される。

第１図の署名キー表は夫々６４ビットの１２８個の項目
を持ち、この表は第１図に示した２次元の構成を持つも
のと考えることが出来る。

表は、その署名を形成しようとするメッセージの圧縮符
号の６４ビットに対応して、１乃至６４の番号を付けた
６４行を持っている。表は２つの列を持つ。一方は圧縮
メッセージ中の０ビットを符号化する為に使われる署名
キーを含んでおり、他方は圧縮メッセージ中の１ビット
を符号化する為に使われる署名キーを含んでいる。０キ
ーはｋ手乃至ｋき４で表わされ、１キーはＫ主乃至Ｋも
４で表わされている。

圧縮メッセージ中の各ビットに対し、対応する行の２つ
の署名キーの内の一方又は他方ｋ手又はＫｉｊが、Ｍｉ
の圧縮符号のｊ番目のビットを符号化する為に、署名の
一部分として送信される。第２図の有効表は第１図の署
名キー表と構成が同じである。有効表項目は、署名キー
表内の対応するキーを使って、予定のパラメータを符号
化することによって形成される。この明の署名機では、
このパラメータが次の有効パターンの圧縮符号ＶＴ＋１
である。有効表項目はｖｌ乃至ｖき４及びＶＩ乃至Ｖを
４で表わされ、対応する署名キー及び有効表項目は右肩
及び右下の添字が同じであり、小文字ｋ及びｖはメッセ
ージの圧縮符号の０ビットの対応し、大文字Ｋ及びＶは
１ビットに対応する。この発明の或る用途では、第１図
及び第２図に示した形の表を作成して貯蔵するのが望ま
しい。

普通はこれらの項目を必要な特にだマナ作成し、表全体
を貯蔵しないことが望ましい。然し、実際の形に関係な
く、表が第１図及び第２図の形を持つものと考えるのが
便利である。キー表は署名を形成する為に使う時まで、
秘密にしておかなければならない。

標準的な暗号化アルゴリズムが複雑である為、有効表内
の項目から署名キーをみつけるのは不可能であるから、
有効表は秘密にしておく必要はない。然し、敵手が別の
有効表に入れ替えることが出来ない様に、有効表は安全
にしておかなければならない。最初に、送り手から受け
手へのメッセージ並びに署名の流れと、この流れの中で
行なわれる全般的な動作を考え、後でこういう動作並び
に他の或る動作を行なう素子や関連した素子を説明する
のがよいと思われる。

第３図で、垂直の破線が、左側にある送り手Ａの動作と
右側にある受け手Ｂの。動作とを分け隔てている。送り
手は普通の通信装置を使って、ディジタル・メッセージ
Ｍｉを発生すると共に、このメッセージを線１２で示す
様に受け手に送信する。

送り手はブロック１４で表わした動作によって、メッセ
ージを圧縮し、線１ ５に示すＣＥ（Ｍｉ）と記した６
４ビットの圧縮メッセージを形成する。（第１図に示す
様な）１２８個の暗号キーから成る表がｋｌ，Ｋ１，ｋ
き，Ｋ２・・・ｋを，Ｋき４の順序で供給されブロック
１８に於ける動作により、線１５の圧縮メッセージの対
応するビットの２進値に応じて、これらのキーの内の６
４個が選択され、署名の一部分を形成する。これを線２
川こ示す。他のキーは選択されず、線１９に出る。暗号
化しようとする線２１のワードの選択を別にすると「
これ迄説明して釆た装置の動作並びに素子は普通のもの
である。予備動作で、送り手は線１７のキー及び線２１
のワードをブロック２３で使って、有効表を形成する。

これを線２４に代表的な項目ｖ号及びＶ手で示してある
。この表がブｏック２５の動作で６４ビットに圧縮され
る。次に有効表の圧縮符号が、関連したメッセージより
先に、受け手に供給される。ブロックの内の最初の有効
表の圧縮符号が、第３図に線２６で示す様に、任意の安
全な形で受け手に送信される。その後、次の有効表の圧
縮符号ＶＴＭが、線２１で示す様に、現在のメッセ一ジ
Ｍｉに対する署名と共に受け手に送信される。送り手は
、選択されなかったキーに対応する有効表の６４個の項
目をも線２７を介して受け手に送信する。これらの有効
項目はブロック３川こ於ける別個の動作で形成されるこ
とが好ましいが、線２４に出る有効表の同一の項目を使
っても同じことである。普通の通信装置が線１２のメッ
セージ、線２０の選択されたキー、線２７の有効表項目
、及び線２１の次のメッセージに対する有効表の圧縮符
号ＣＥ（ＶＴＭ）を組合せ、逐次的な形で普通の通信回
線を介して受け手に供給する。

署名キー及び有効表項目‘ま任意の系統的な順序で、例
えば６４個の署名キーに続いて６４個の有効表項目を送
信することが出来る。第７図は適当な形式の１例である
。圧縮メッセージの特定のビットに対する署名キー及び
有効表項目が逐次的な１対として送信されることが好ま
しい。例えば、線１５の圧縮メッセージのビット番号５
が０であれば、線１２、２０，２１，２７で表わした通
信回線がｋき，Ｖ亭の順序を伝え、圧縮メッセージ中の
このビットが１であれば、対の順序はｖき，Ｋきである
。受け手はブロック３０で表わした動作により、線１２
のメッセージを圧縮して、線３１に、送信側の線１５の
圧縮メッセージに対応する６４ビットの圧縮メッセージ
を発生する。

ブロック３２で表わした動作により、圧縮メッセージの
ビットの値を使って、線２０，２７によって表わされた
署名キー及び有効表項目の分離に対応して、署名の横０
成要素を署名キー又は有効表項目と確認する。ブロック
３４で表わした動作により、線２０の署名キーを使って
、線２１の選ばれたワードを暗号化し、脱げている有効
表項目を形成し、それが線３５に出る。線２１のワード
は、次の署名を有効とタ認定する為に利用し得る。ブロ
ック３６で表わした動作により、線２７から署名の一部
分として受け手に送信された有効表項目、並びに線２０
の署名キーから受け手が構成した線３５の相補的な有効
表項目が圧縮され、有効表の圧縮符号を線３７０に形成
する。ブロック３９で示す様に、受け手が形成した線３
７の圧縮有効表が、既に線２６又は線２１を介して受け
手に供給されている同じ有効表の圧縮符号と比較される
。線４０の信号は、署名が有効であること、或いは無効
な署名が検出されたことを表わす。署名機の構成要素は
囲み４８内に設けられていて、これはこれらの構成要素
、或いはこれらの構成要素が保持するデータ又はプログ
ラムに、外部の者が接近出来ない様に保安措置がとられ
ている。

この囲みは、電子的なパッケ−ジの便宜上、その他の構
成要素をも持っていてよい。この様な保安措置を講ずる
手段は周知である。例えば、囲みは鍵によって錠をかけ
ることが出来、署名機内の或るデータ貯蔵装置に接近す
る為には、この鍵を必要とする様にすることが出来る。
この署名機は多数の利用者が多数の受け手と通信する為
に使われる様になっている。

各々の利用者はマスター・キーを持つており、利用者が
署名を形成する動作の間、このマスター・キーがレジス
タ４９に保持される。通常、利用者は全ての署名形成動
作に対して１個のマスター・キーを使うが、マスター・
キーは時々変更され、異なる受け手に対するメッセージ
に対して異なるマスター・キーを使うことが出来る。計
数レジスタ５０が持つカウントの値が母線５１に現われ
、署名形成動作の際、それが使われる。１つの署名が形
成されると、カウントの値を保管しておき、次の署名形
成動作を開始する為に使う。

各々の送り手は自分が送信しようとする受け手に対して
別々のカウン夕の値を持っている。レジスタ４９，５０
は持久型貯蔵装置で構成されており、その為、停電して
も、その内容が失われるとはない。送り手又は受け手の
いずれかが署名を問題にした時、マスター・キー及びカ
ウントの値を使うことによって、その署名を試験するこ
とが出来る様に、マスター・キー及び適当なカウントの
値を保管しておく。

（前のマスター・キーが明らかになってしまった時、新
しいマスター・キーを作る。）囲み４８の中に持久型で
構成した適当なデータ貯蔵装置を設けて、種々の送り手
のマスター・キー、並びに送り手及び受け手の種々の組
合せに対するカウントの値を貯蔵する。この種の貯蔵装
置は周知であり、アドレスされたワードを貯蔵装置から
しジスタ４９，５川こ転送する技術、並びにこの転送が
権限を持つ人間だけによって行なわれる様に保証する技
術も周知であり、これらの普通の構成素子は第４図に示
してない。暗号装置６３が、６４ビットのデータ項目及
び６４ビットのキーに対して普通の様に動作し、６４ビ
ットの出力を発生する。

５６ビットのキーは、５６ビットの１単位であってもよ
いし、或いは暗号の意義を持つ５６ビット及びパリティ
又は埋合せの為に使われる８ビットを持つ６４ビットの
ワードであってもよい。

普通、キーを６４ビットの形と考える方が説明が簡単に
なる。この説明は、キーが暗号の意味を持つ６４ビット
を持つ暗号装置の場合にも当てはまる。第４図の他の構
成素子は、利用者が母線５６からしジスタ５２に装入し
た６４ビットの圧縮メッセージの対応するビット（Ｒで
表わす）に応答して、６４ビット（又は５６ビット）の
署名キー又は有効表項目を母線５３に形成する動作の説
明で、出て来た時に説明する。

タイミング回路５７が一統きのタイミング・パルスＴ１
，Ｔ２，Ｔ３，Ｔ４を供給する。この各々の相次ぐ時間
に行なわれる署名形成動作を説明する。適当なタイミン
グ回路は周知である。図面を簡単にする為、タイミング
回路５７からゲートへの接続、並びにレジス夕５２の１
ビット出力はゲートに対する出力線に記した記号で表わ
す。これらの記号の論理作用が、その記号によって表わ
された普通の組合せ論理回路によって行なわれる。タイ
ミング回路は、利用者が線５８に供給する制御信号によ
って始動し、この制御信号によって、他の構成要素が付
能されることが好ましい。時間ＴＩに、第４図の回路が
署名キー表の０キーｋに対する６４ビットの署名キーを
発生する。

６４個のアンド・ゲート及び６４個のオア・ゲート６０
，６１の一組がタイミング信号ＴＩに応答して、マスタ
ー・キーを暗号装置６３のキー入力６２に送る。

ゲート６５，６６がタイミング信号ＴＩに応答して、計
数器５０の値を暗号装置６３のデータ入力６９に送り、
暗号装置はその出力７０に署名キーを発生する。レジス
タ５２にある圧縮メッセージの対応するビットＲが０で
あれば、この署名キーは署名の一部分となり、ゲート６
７が信号ＴＩ＆Ｒ＝０に応答して、署名キーを母線５３
に送る。時間Ｔ＝１にＲ＝１であれば、対応する有効表
項目ｖ壬がキーｋ三の代りに署名に含まれる。レジスタ
６８又はその他の適当な手段を設けて、時間Ｔ２に有効
表項目ｖ主を形成する動作で、キーｋ号を保持する。回
路７１が、計数器５０のカウントと、利用者が６４ビッ
ト母線５５からしジスタ５４に装入した次の有効パター
ンの圧縮符号とに対して、ビット毎に排他的オア動作を
行なう。

（有効表の圧縮符号は囲み４８の内部にある持久型貯蔵
装置に保管しておくことが出来るが、有効表の安全性を
維持する為に必要ではない。）回路７１は、署名装置に
付加的な複雑性並びにそれに対応して高い安全性を持た
せるが、必要ではない。更に一般的な観点からすると、
次の有効パターンの圧縮符号の関数を暗号化することに
より、有効表項目が形成される。この関数が圧縮符号自
体であるこれ迄の説明の場合では、この関数は回路７１
に対する計数器入力の６４個の０ビットを保つことに対
応する。ゲート７２及びゲート６６が制御信号Ｔ２＆Ｒ
＝１に応答して、回路７１の出力に出る次の有効パター
ンの圧縮符号の関数を暗号装置６３のデー夕入力に送る
。ゲート７０及びゲート６１が同じ信号Ｔ２＆Ｒｉｌに
応答して、レジスタ６８にあるキーを暗号装置のキー入
力に送る。ゲート６７が信号Ｔ２＆Ｒ＝１に応答して、
有効表項目ｖ毛を母線５３に送る。この動作の終りに、
時間Ｔ３の動作より前に、タイミング回路が計数器を増
数する信号を発生する。

十１加算器７３が増数した値を供給し、ゲ−ト７４が新
しい値を計数器に再び装入する。この作用の為の種々の
回路は周知である。これと同じ様に、計数器５０並びに
関連した構成素子が、普通の計数順序ではない或る系統
的な一統きの６４ビットの値を供給することが出来る。
時間Ｔ３に、回路は、前に時間ＴＩについて説明した様
に、マスター・キー及び計数器の値に対して作用し、１
キーＫｉｊを形成する。

Ｒ＝１であれば、このキーが母線５３に装入される。こ
れが０であれば、時間Ｔ４に有効表項目Ｖｉが形成され
、母線５３に装入される。この動作の終りに「 タイミ
ング回路５７からの信号が前に述べた様に計数器５０を
増数すると共に、レジスタ５２をシフトさせて、レジス
タの出力に圧縮符号の次のビットＲ＋１を発生する。こ
の回路は、レジスタ５２の６４ビットに対する作用の終
りを知らせる計数器（図に示してない）を設けてもよい
。

同じ計数作用は、利用者のプログラムによって動作する
汎用処理回路が予め選ばれた長さを持つ署名を形成する
場合について前に述べた制御信号を供給してもよい。第
８図はビツＭ頂序０１１・・・０を持つ６４ビットの圧
縮メッセージの１例である。

第８図は、圧縮メッセージの４つの代表的なビットの各
々に対して受け手ひ送信される署名キー及び有効表項目
をも示している。受け手に送信されないキー又は有効表
項目も第８図に示されている。即ち、第８図はメッセー
ジに対する署名キー表の全体及び有効表の全体を示して
いる。受け手は「署名」と記した行の有効表の半分を受
信し、この行のキーを使って、有効表の脱げている半分
を構成する。この脱げている半分を「送信されてなかっ
た有効表項目」と記した行に示してある。この例では、
圧縮メッセージのビット１が０ビットであり、署名はキ
ーｋ，及び有効表項目Ｖ，を含む。受け手は有効表項目
ｖ，を受信しないが、次に説明する動作により、送り手
はキーｋ，及び有効メッセージの他の情報を使って、脱
げている有効表項目ｖ，を構成する。署名の一部分とし
て送信されないキーは、この動作では使われず、第８図
では括弧内に示してある。第５図の受信側の全体的な構
成は第４図と同様であり、第５図に示す構成素子は、署
名を有効と認定する一連の動作で、出て来た時に説明す
る。

署名を持つメッセージを受信した時、このメッセージが
６４ビットに圧縮され、母線５６からしジスタ５２に装
入される。持久型貯蔵装置（図に示してない）をアクセ
スして、送り手Ａの既に貯蔵されているカウントの値を
取出し、このカウントをレジスタ５０‘こ袋入する。署
名から得られる次の有効表の圧縮符号が母線５５からし
ジスタ５４に装入される。利用者は母線８４から、署名
からのキー及び有効表項目を１つずつレジスタ８３に装
入し、次に利用者は線５８に信号を送って、署名を有効
と認定する動作の１工程を開始する。回路７１がレジス
タ５０からのカウント並びにレジスタ６４からの次の有
効パターンの圧縮符号を受取り、排他的オア関数を母線
８８に形成する。第６図の受信側装置のレジス夕５４に
ある圧縮符号が、特定のメッセージＭｉに対する、送信
側の装置のこのレジスタの内容と同一であることに注意
されたい。同様に、受信側にある計数器５０の内容は、
署名有効認定動作の間増数され、送り手側のその前の動
作で計数器５０‘こある値と同じ‘こなる様にする（レ
ジスタ５４の内容及びレジスタ５０にある一続きの内容
は特定のメッセージに対して独特である。）第８図の署
名を有効と認定する動作が始まったばかりであり、署名
キーｋ，がレジスタ８３に装入され、圧縮符号の最初の
ビット位置の０ビットがレジスタ５２の出力に現われて
いると仮定する。

第５図の回路は時間ＴＩにキーｋ，を対応する有効表項
目ｖ，に変換する様に作用すると共に、時間Ｔ２にこの
有効表項目から圧縮有効表ＣＥ（ＶＴＩ）を部分に構成
する様に作用する。時間ＴＩに、ゲート８６がゲート６
１と協働して、レジスタ８３から署名キーを暗号装置６
３のキー入力６２に供給する。ゲート８９が付能され、
回路７１の出力を暗号装置のデータ入力に送り、有効表
項目ｖ，が母線７０１こ現われる。一組のゲート９２，
９３が開かれ、この有効表項目を一時レジスタ６８に転
送するので、時間Ｔ２に部分的な圧縮作業にそれを利用
することが出来る。この例では、時間Ｔ２に、有効表の
圧縮符号を構成する動作が行なわれる。

一時貯蔵レジスタ９０は最初に、利用者が線９１に出す
指令により、全部０又は他の或る選ばれた値に設定され
る。時間Ｔ２に、ゲート９４，６６が協働して、レジス
タ９０の内容を暗号装置６３のデータ入力に転送すると
共に、ゲート９７，６１が協働して前に形成された、一
時貯蔵レジスタ６Ｍこある有効表項目を暗号装置のキー
入力６２に転送する。この動作により、前に形成された
有効表項目ｖ，及びレジスタ９０の最初の内容の圧縮符
号が出力母線７０に発生される。この新しい値が、前の
内容の代りに、レジス夕９０１こ装入される。時間Ｔ２
の終りに、利用者が、署名から次の６４ビットのブロッ
ク、今の例では、有効表項目Ｖ，をレジスタ８３に装入
する。

この時、計数器５０は、第４図について説明した様に、
同じく増数する。制御信号Ｔ３＆Ｒ＝０に応答して、ゲ
ート９５が開き、有効表項目Ｖ，を一時レジスタ６８に
転送するので、時間Ｔ４に於ける圧縮にそれを利用する
ことが出来る。時間Ｔ４に、レジスタ６８にある有効表
項目が、前に述べた様に且つ第５図に記入した様な形で
、一時レジスタ９０の内容と共に圧縮され、新しい部分
圧縮符号が一時レジス夕９０に貯蔵される。有効表全体
が形成され有効表の圧縮符号がレジスタ９０‘こ貯えら
れるまで、署名中の各々の６４ビットのキー及び有効表
項目｛こ対してこの動作が続けられる。

メッセージが有効であって、何の誤りも発生しなかった
場合、レジスタ９０の内容は、レジス夕９８に保持され
ている有効表の圧縮符号ＣＥ（Ｖｒ）に等しい筈である
。比較回路９９がレジスタ９０及び９８の内容を比較し
、線１０２にＶＡＬＩＤと記した「有効」信号を発生す
る。利用者は、この信号に応答して、メッセージを真正
のものとして受埋する。補数の信号ＮＯＴＶＡＬＩＤが
線１０２に現われた場合利用者はメッセージを排除する
。比較力ＷＡＬＩＤになったことに応答して、ゲート１
０３が次のメッセージの圧縮符号ＣＥ（ＶＴＭ）をレジ
スタ５４からしジスタ９８に転送するので、次の署名有
効認定動作にこの値が利用し得る。同じく、レジスタ５
４の内容を動作の終り‘こ囲み４８内の汎用貯蔵区域に
転送し、送に手Ａからの次のメッセージを受信した時、
比較動作の為にレジスタ９８に装入し又はその他の形で
利用出来る様にすることが出釆る。適当なタイミング信
号が利用者から線１０６に供給され、比較動作を付熊す
る。図示の特定の回路では、アンド・ゲート１０７が線
１０６の信号に応答して、線１０２の信号が出る様にす
る。同じく、線１０６の比較成立信号は囲み４８内の計
数器回路によって形成することが出来る。第５図の構成
素子について説明した有効表圧縮方法は、メッセージの
圧縮符号を形成する為にも使うことが出来る。

第６図は、署名機の内、この作用の為に制御される構成
素子を示す。暗号装置がキーの５６ビットだけに作用し
、８つのパリティ・ビット又は埋合せビットをはぎ取る
時、メッセージは最初に利用者によって５６ビット単位
に分けられ、５６ビットのブロック（又ふ６４ビットに
埋合せたブロック）が母線１０９を介して暗号装置６３
のキー入力６２に供給される。レジスタ９０の内容がデ
ータ入力６９に供給される。母線７０の部分圧縮メッセ
ージが圧縮符号用の一時レジスタ９０１こ装入される。
レジスタ９０の出力は母線１１２で利用者が利用するこ
とが出来る。第６図のデータ母線は、第４図及び第５図
に示す様なゲートにより、第４図及び第５図の同一の母
線と適当に組合される。

第４図、第５図及び第６図に示した署名機の種々の作用
は、利用者からゲートに供給される制御線によって定め
ることが出来る。例えば、ゲート６４，７２に対する署
名形成信号、ゲート８９，９４に対する署名有効認定信
号、及びゲート９４に対するデータ圧縮信号は、関連し
たタイミング及び論理信号のアンド論理関数として、利
用者が供給することが出来る。この例は、第４図のゲー
ト６５及び第５図のゲート８９の様なゲートは、適当な
入力、今の例では（箸各形成と（ＴＩ又はＴ３））又は
（署名有効認定と（ＴＩ＆Ｒ＝１）又は（Ｔ３＆Ｒ＝１
）））を持つ同じゲートであってよい。争いが起った場
合、送り手及び受け手が署名並びに関連したメッセージ
を検証することが出来る様にするプロトコルについて前
に述べた。

この発明の方法並びに装置の１つの利点は、有効表並び
に前に使った署名キーがバックチェーンと呼ばれる手順
によって構成されることである。バックチェーン動作に
より、受け手は、メッセージ、メッセージの署名並びに
次の有効表の圧縮符号を全部一度に有効と認定すること
が出来る。

受け手は有効表を貯蔵する必要がない。最初の有効表の
圧縮符号だけから表を検証することが出来る。それは、
この圧縮符号が、プロトコルに使われることごとくの有
効表項目の暗号による関数だからである。この為、受け
手が時間的に前以て有効表を貯蔵する必要はない。プロ
トコルを開始する前に、受け手は最初の有効表の圧縮符
号だけを貯蔵しなえればならない。普通の方式（バック
チーン作用がない場合）では、次の有効表の按縦符号を
送信メッセージに付属させ（又はその一部分とし）、こ
うして署名によって有効と認定することが出来る。

こうすれば、時間的に前以て受け手が有効表（又は有効
表の圧縮符号）を貯蔵する必要はやはりなくなる。然し
、この方式は、１個の有効表だけ、並びにそれが有効と
認定する署名の有効性を証明する為に、受け手が後にな
って一連のメッセージの有効性を証明することを要求さ
れることがあるという欠点がある。送り手は、マスター
・キー並びにブロック中のメッセージの数から、メッセ
ージのブロックに対する署名キー及び有効表を前に述べ
た様に再構成することが出来る。

送り手は実際の表を保管しておく必要はない。署名をメ
ッセージの圧縮符号中の幾つかのビットから成る群に構
成することが出来る。

例えば、メッセージの圧縮符号中に２ビットの群を使っ
た場合、署名キー表は３２行及び４列を持つという風に
なる。

【図面の簡単な説明】

第１図は１つのメッセージの署名を形成する署名キー表
を示す略図、第２図は第１図の署名キー表に関連した有
効表の略図、第３図はこの発明の署名機の動作中の署名
キー並びにその他の情報の流れを示す線図、第４図は好
ましい署名機の回路図であるが、送り手から受け手へメ
ッセージと共に送信すべき署名を形成する様に動作する
構成素子だけが示されている。 第５図はこの発明の署名機の回路図で、受け手が受信し
たメッセージ及び署名を有効と認定する様に作用する構
成素子だけを示している。第６図は署名機の回路図、有
効表又は署名表を形成する様に作用する構成素子だけを
示している。第７図はこの発明の装置で使用される各レ
ジスタのビット長を示す図である。第８図はビッ…項序
０１１・・・０を持つ６４ビットの圧縮メッセージの一
例を示す図である。主な符号の説明 ４９・・・マスタ
ー・キー、５０・・・計数レジス夕、５２…圧縮メッセ
ージ・レジスタ、６４…次の有効表の圧縮符号レジスタ
、６３・・・暗号装置、６２・・・そのキー入力、６９
・・・そのデータ入力、７０・・・暗号化データ、７１
・・・排他的オア・ゲート。 ＦＩＧ．７ ＦＩＧ．Ｉ ＦＩＧ．２ ＦＩＧ．３ ＦＩＧ．６ ＦＩＧ．８ ＦＩＧ．４ ＦＩＧ．５

Claims (1)

【特許請求の範囲】
1. １ キーの入力部と、暗号化すべきデータ・ワードに対
   する入力部と、暗号化されたデータの出力部と、マスタ
   ーキーを選択的に供給するために手段とを有する番号装
   置と、 上記暗号装置と協働して、上記マスターキーの
   もとで、選択したデータを暗号化することにより、署名
   がなされるべきメツセージの予定の長さの圧縮符号の各
   ビツトに対応する「０」署名キーｋと「１」署名キーＫ
   とを有する署名キー表を作成するための手段と、 上記
   暗号装置と協働して、最後の署名キー表の各署名キーの
   もとで、選択したデータを符号化することにより、その
   署名キー表の各署名キーに対する項目をもち、一連の署
   名キー表のうちの最後の署名キー表に対応する有効表を
   作成するための手段と、 上記暗号装置のデータ・ワー
   ドに対する入力部の長さをもつ、最後の有効表の圧縮符
   号を暗号化し、署名キー表のキーのもとで一連の有効表
   中の次の有効表の圧縮符号の関数を暗号化することによ
   り、互いの署名キー表に対応する有効表を作成するため
   の手段とを具備し、 最初の有効表の圧縮符号がそれ以
   下の各署名キー表と各有効表の暗号の関数になるように
   するデイジタル署名装置。