WO2009125537A1 - 署名及び検証方法、署名生成装置並びに署名検証装置 - Google Patents

署名及び検証方法、署名生成装置並びに署名検証装置 Download PDF

Info

Publication number
WO2009125537A1
WO2009125537A1 PCT/JP2009/000923 JP2009000923W WO2009125537A1 WO 2009125537 A1 WO2009125537 A1 WO 2009125537A1 JP 2009000923 W JP2009000923 W JP 2009000923W WO 2009125537 A1 WO2009125537 A1 WO 2009125537A1
Authority
WO
WIPO (PCT)
Prior art keywords
vector
signature
data
secret
size
Prior art date
Application number
PCT/JP2009/000923
Other languages
English (en)
French (fr)
Inventor
布田裕一
静谷啓樹
磯辺秀司
長谷川真吾
Original Assignee
パナソニック株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック株式会社 filed Critical パナソニック株式会社
Priority to JP2010507130A priority Critical patent/JP5341878B2/ja
Priority to EP09730374A priority patent/EP2264941A1/en
Priority to US12/921,507 priority patent/US8452975B2/en
Priority to CN200980108247.2A priority patent/CN101965711B/zh
Publication of WO2009125537A1 publication Critical patent/WO2009125537A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3093—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving Lattices or polynomial equations, e.g. NTRU scheme
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Definitions

  • the present invention relates to a cryptographic technique as an information security technique, and more particularly to a digital signature and its verification.
  • a digital signature method which is a kind of public key cryptography, is used to identify a sender and to detect or prevent falsification of data.
  • the digital signature method means that the transmission device creates signature data for the data to be transmitted using the private key (secret key) of the transmission device, transmits the signature data together with the data to be transmitted to the reception device,
  • the receiving device is a method for verifying signature data using the public key of the transmitting device and determining whether or not the data has been tampered with.
  • refer nonpatent literature 1 since it is difficult to calculate the value of the private key from the public key, it is impossible for an unauthorized person to impersonate a transmission device and create forged signature data.
  • a public key cryptosystem that allows a key that is comparable to the key length of the key cryptosystem to be selected from a large set of vectors almost randomly and with an appropriate security level.
  • NTRU registered trademark of NTR Cryptosystems Incorporated
  • This NTRU cipher is encrypted and decrypted using a polynomial operation capable of high-speed operation, compared to an RSA cipher that performs exponentiation and a elliptic multiplication that performs scalar multiplication of points on an elliptic curve under a certain method. Therefore, processing can be performed at a speed higher than that of conventional public key cryptography, and processing can be performed in a practical time by software processing. Therefore, the cryptographic communication system using the NTRU cipher for the public key cryptography has an advantage that the processing of the transmitting device and the receiving device can be performed at a higher speed than the conventional cryptographic communication system using the public key cryptography.
  • the NTRU cipher is not only capable of high-speed processing, but also has a computationally difficult problem that is the basis of its security, which differs from the RSA cipher and the elliptic curve cipher.
  • the RSA cipher uses the prime factorization problem as a base for security
  • the elliptic curve cipher uses the discrete logarithm problem on the elliptic curve as a base for security.
  • the NTRU encryption is based on the minimum vector problem or the nearest neighbor problem for a set of vectors called a lattice.
  • the NTRUSign signature scheme is a digital signature scheme that performs signature generation and signature verification through polynomial operations. Parameter N determines the degree of the polynomial handled in the NTRUSign signature scheme.
  • the polynomial handled in the NTRUSign signature scheme is an integer coefficient polynomial of order N-1 or less with respect to the parameter N.
  • N 5
  • X ⁇ a means X to the power of a.
  • the public key h and the signature s used in the NTRUSign signature scheme are both expressed as polynomials of the (N ⁇ 1) th order or lower.
  • the secret key is four (N ⁇ 1) th order polynomial pairs (f, g, F, G). That is, f, g, F, and G are all polynomials of order N ⁇ 1 or less.
  • the quadruple (f, g, F, G) is regarded as a further pair of two pairs (f, g), (F, G), and ⁇ (f, g), (F, G ) ⁇ .
  • N 5
  • the product of the polynomial X ⁇ 4 + X ⁇ 2 + 1 and the polynomial X ⁇ 3 + X is “ ⁇ ” for the product of the polynomial and the polynomial, and “ ⁇ ” for the product of the integer and the polynomial (or the product of the integer and the integer).
  • an N ⁇ 1 order polynomial a a — 0 + a — 1 ⁇ X + a — 2 ⁇ X ⁇ 2 +... + A_ (N ⁇ 1) ⁇ X ⁇ (N ⁇ 1) (N-1)).
  • a — 0, a — 1, a — 2,..., A — (N ⁇ 1) are coefficients of the polynomial a and are integers.
  • the polynomial f is selected such that, among the N coefficients, df coefficients each have the value “1” and the other coefficients each have the value “0”. That is, the polynomial f is a polynomial of N ⁇ 1 order or less, and has N coefficients from the 0th order (constant term) to the N ⁇ 1 order. Of these N coefficients, df coefficients are selected to have a value “1”, and (N ⁇ df) coefficients are selected to have a value “0”.
  • the polynomial g is a polynomial of order N-1 or less, and for the polynomial g, among the N coefficients, dg coefficients are each value “1”, and the other coefficients are values respectively. It is chosen to be “0”.
  • a signature is created for the hash value of message data.
  • the hash value of the message data is an N-order polynomial pair and is expressed as a 2 ⁇ N-dimensional vector.
  • a hash function for obtaining a hash value from message data is described in detail in Non-Patent Document 1.
  • the NTRUSign signature scheme uses vector distance for signature verification. The definition is shown below.
  • of the pair (a, b) of the polynomials a and b is defined as follows.
  • ⁇ (f, g), (F, G) ⁇ is a secret key
  • h is a public key.
  • the secret key is a key for generating a signature and is also called a signature generation key.
  • the public key is a key for verifying the signature, and is also called a signature verification key.
  • Signature generation of NTRUSign signature scheme a hash value vector of message data to be transmitted is calculated, and its nearest lattice point is used as a signature vector. By rounding the coefficient in the Lsec coordinate system to an integer, the nearest lattice point can be easily obtained.
  • the signature s of the message data m to be signed is calculated as follows.
  • a 2 ⁇ N-dimensional vector (m1, m2) (m1 and m2 are N-th order polynomials), which is a hash value for the message data m, is calculated.
  • the coefficients of A and a are remainders when divided by the modulus q so as to be within the range of ⁇ q / 2> +1 to ⁇ q / 2>. That is, when the remainder when divided by the modulus q is q ⁇ 1 from ⁇ q / 2>, q is subtracted and adjusted so as to be within the above range.
  • s and t are calculated from the following formula, and s is output as a signature.
  • a 2.N-dimensional vector (m1, m2) that is a hash value for the message data m is calculated.
  • the distance between the 2 ⁇ N-dimensional vector (s, t) and the 2 ⁇ N-dimensional vector (m1, m2) is obtained, and it is checked whether the distance is less than Normbound. If it is less than Normbound, it is determined that the signature s is correct and the signature s is accepted. If it is equal to or higher than Normbound, the signature s is determined to be invalid and the signature s is rejected.
  • the signature vector is sufficiently close to the hash value vector, it is determined as a correct signature.
  • the NTRUSign signature scheme is based on the grid problem for security. This will be described below.
  • FIG. 20A shows an Lsec coordinate system when the entire 2 ⁇ N-dimensional vector is regarded as a lattice (lattice Lsec).
  • a distance between a 2 ⁇ N-dimensional vector (s, t) 822 that is a signature vector and a 2 ⁇ N-dimensional vector (m1, m2) 821 that is a hash value vector obtained from message data is obtained, and Normbound Check whether it is less than.
  • a 2 ⁇ N-dimensional vector (m1, m2) 821 exists in a hypersphere 823 having a radius Normbound centered on a 2 ⁇ N-dimensional vector (s, t) 822. Check whether you are doing. If it exists in the hypersphere 823, it is determined that the signature verification is successful. If it does not exist in the hypersphere 823, it is determined that signature verification has failed.
  • the lattice Lsec and the lattice Lpub indicate the same entire vector.
  • the norm of the basis vector (referred to as a secret key basis vector) for constructing the lattice Lsec is much smaller than the norm of the basis vector (referred to as a public key basis vector) for constructing the lattice Lpub.
  • a basis vector having the smallest norm from a basis vector having a large norm (referred to as a minimum basis vector problem). Therefore, it is also difficult to obtain a secret key basis vector from a public key basis vector, and this is the basis of security for the key. With such a base, it is considered difficult to obtain a public key from a secret key.
  • the vector 800 (s, t) is used.
  • a vector having the closest distance by projecting to the base is calculated, thereby obtaining the vector of the closest lattice point. ing.
  • the signature vector (s, t) is a vector of lattice points closest to the hash value vector (m1, m2) of the message data.
  • the problem of calculating the lattice vector with the closest distance is called a lattice nearest neighbor problem
  • the security for the signature of the NTRUSign signature scheme is based on the nearest neighbor problem of this lattice.
  • the GGH signature scheme is known as a signature scheme based on the minimum basis vector problem of a lattice for a key and the nearest neighbor problem of a lattice for a signature, such as the NTRUSign signature scheme.
  • NTRUSign signature scheme See Non-Patent Document 6).
  • NRUSign Digital Signatures Using the NTRU Lattice
  • CT-RSA'03 LNCS, Vol. 2612, pp. 122-140, Springer-Verlag
  • EESS # 1 Implementation Aspects of NTRU Encryption and NTRU Sign”, Ver2.0, June 20th, 2003 O. Goldreich, S.M. Goldwasher and S.M. Halevi “Public-key cryptography from lattice reduction programs,” In Proc. CRYPTO '97, LNCS, Vol. 1294, pp. 112-131, Springer-Verlag, 1997
  • the transcription attack is an attack for obtaining a secret key from a plurality of signature sentences (a pair of message data and signature).
  • the transcription attack will be briefly described below (for details, see Non-Patent Document 4).
  • the average of the second moments of m1-s is almost equal to k1 ⁇ f ⁇ + k2 ⁇ F ⁇ . Furthermore, even with the average of the fourth-order moments, information related to f and F can be obtained in the same manner, and f can be obtained from both information.
  • Non-Patent Document 4 the number of signature sentences necessary to obtain information on the secret key from the average of the second moment and the fourth moment is 10 ⁇ 4 and 10 ⁇ 8, respectively. Therefore, it is considered that 10 ⁇ 8 or more signature sentences are necessary for a successful NTRUSign signature transcription attack. It should be noted that the transcription attack can occur in the same manner even in other signature schemes (for example, GGH signature scheme) based on the lattice problem.
  • the present invention provides a signature and verification method, a signature generation device, a signature verification device, a signature generation method, and a computer program for signature generation that can counter the above-described transcription attack.
  • a recording medium for recording is provided.
  • the method divides data into a plurality of dimensions and expresses them as multidimensional vectors, and uses the minimum vector problem or the approximate minimum vector problem as the basis of security, and the target data.
  • the signature vector is restored using the vector and the signature data, and the vector based on the target data is restored.
  • an output step of outputting is
  • the signature data is stored in the target data using a secret disturbance vector smaller than the first size. Since it is generated with respect to a conversion vector generated by converting data, a person who performs a transcription attack has an excellent effect that it is difficult to calculate the secret key used for the signature in terms of calculation amount. . Further, in the verification of the signature data, it is verified whether the distance between the vector based on the target data and the signature vector is equal to or smaller than a second size larger than the first size. Can be verified, so the signature data can be verified.
  • This signature and verification method can prevent transcription attacks and has great value.
  • FIG. 1 is a block diagram showing a configuration of a digital signature system 10 as one embodiment according to the present invention. It is a figure which shows an example of uniform distribution. The data structure of the distribution table 410 is shown. It is a figure which shows an example of non-uniform distribution. The data structure of the distribution table 450 is shown. It is a figure which shows the signature production
  • FIG. 3 is a block diagram illustrating a configuration of a signature generation unit 104.
  • FIG. 2 is a block diagram showing a configuration of a signature verification apparatus 200.
  • FIG. The data recorded in the CA public key storage unit 202, the signature data set storage unit 203, and the system parameter storage unit 205 of the signature verification apparatus 200 are shown.
  • 3 is a block diagram illustrating a configuration of a signature verification unit 204.
  • FIG. 3 is a block diagram showing a configuration of a key generation device 300.
  • FIG. The data recorded in the certificate generation key storage unit 304 and the system parameter storage unit 306 included in the key generation device 300 are shown.
  • 4 is a flowchart showing the operation of the digital signature system 10.
  • 4 is a flowchart showing the operation of the signature generation apparatus 100.
  • FIG. 4 is a flowchart showing an operation of signature verification in the signature verification apparatus 200.
  • 12 is a flowchart showing the operation of the key generation device 1300. It is a figure which shows the conventional NTRUSign signature system.
  • A illustrates an Lsec coordinate system when the entire 2 ⁇ N-dimensional vector is regarded as a lattice (lattice Lsec).
  • B illustrates an Lpub coordinate system when the entire 2 ⁇ N-dimensional vector is regarded as a lattice (lattice Lpub).
  • the data structure of the distribution table 610 is shown.
  • the data structure of the distribution table 650 is shown.
  • a signature point for the transformation vector is generated by obtaining a lattice point closest to the transformation vector, a signature step using a part of the signature vector as signature data, a public key vector, and the signature data, Using the restoration of the signature vector, the vector based on the target data and the restored signature vector
  • the signature generation apparatus divides the data into a plurality of data and expresses the data as a multidimensional vector, and uses the minimum vector problem or the approximate minimum vector problem as a basis of security to sign data for the target data.
  • a signature generation device that generates target data using an acquisition unit that acquires target data, a secret storage unit that secretly stores a secret key vector, and a secret disturbance vector that is smaller than the first size.
  • Data conversion means for converting data and generating a conversion vector; and a grid determined based on a secret key vector as a basis, and generating a signature vector for the conversion vector by obtaining a lattice point closest to the conversion vector, and the signature vector Generating means for using a part of the signature data as a signature data, and outputting means for outputting the target data and the generated signature data Characterized in that it comprises and.
  • the signature data is stored using the secret disturbance vector smaller than the first size. Since it is generated with respect to a conversion vector generated by converting data, a person who performs a transcription attack has an excellent effect that it is difficult to calculate the secret key used for the signature in terms of calculation amount. .
  • the signature generation apparatus wherein the secret storage unit further stores a distribution indicating a range to which a plurality of candidate vectors smaller than the first size belong, and the data conversion unit Is characterized in that one candidate vector is selected from the candidate vectors belonging to the range indicated by the distribution as the disturbance vector.
  • each time a signature is generated one candidate vector is selected from a plurality of candidate vectors to be a disturbance vector, so that the range of disturbance vectors that can be used is widened, and a secret is protected against an attacker. Finding the key can be made more difficult.
  • the signature generation apparatus wherein the secret storage means has tamper resistance, and the secret key and the distribution are secretly protected so as not to be known from the outside. It is characterized by being.
  • This configuration makes it difficult to obtain a secret key because the selected disturbance vector is kept secret.
  • a plurality of candidate vectors are selected so that the probability of being selected is not uniform.
  • the data conversion means selects one candidate data as the disturbance vector according to the probability.
  • the range of possible disturbance vectors can be expanded, and it can be made more difficult for an attacker to obtain a secret key.
  • the range indicated by the distribution has a plurality of regions, and the selection probability of the region is predetermined for each region, and the plurality of regions A plurality of candidate vectors are arranged, and the data conversion unit selects one region based on the selection probability, and selects one candidate vector from the selected region as the disturbance vector. It is characterized by.
  • the signature generation apparatus selects one candidate vector from the candidate vectors belonging to the range indicated by the distribution, and sets the vector as the disturbance vector. It includes a generation unit and an addition unit that generates the conversion vector by adding the disturbance vector to a vector based on the target data.
  • the signature generation device wherein the vector generation unit generates the disturbance vector by randomly selecting from a plurality of candidate vectors selected in advance based on the distribution. It is characterized by.
  • the distribution is included in a hypersphere having a radius of the first size.
  • the signature generation apparatus further includes a public storage unit storing a second size larger than the first size, and the data conversion unit further includes the target data.
  • the distance between the vector and the conversion vector is calculated and the calculated distance is not less than or equal to the second size, the obtained target data is converted using another secret disturbance vector smaller than the first size, It is characterized by generating another transformation vector.
  • the secret key vector includes a ring R that is a set of N-dimensional arrays in which a norm indicating an original size is defined as addition, subtraction, and multiplication.
  • a norm indicating an original size is defined as addition, subtraction, and multiplication.
  • the public key vector is obtained from the element h that is congruent with the product of the positive integer q and the element g and the element Fq and mod q. It is characterized by.
  • the signature verification apparatus divides the data into a plurality of data and represents the data as a multidimensional vector, and the signature generation apparatus uses the minimum vector problem or the approximate minimum vector problem as a basis of security, A part of a signature vector which is a lattice point closest to the conversion vector in a lattice in which the conversion vector is generated from the target data by conversion using a secret disturbance vector smaller than the first size and the secret key vector is determined as a base.
  • a signature verification apparatus for verifying the signature data generated as follows: an acquisition means for acquiring the target data and signature data; a storage means for storing a public key vector; a public key vector and the signature data; The signature vector is restored using the vector of the target data and the restored signature vector. Verification means for verifying whether the separation is equal to or smaller than the second size larger than the first size, and output means for outputting success information indicating that the verification is successful when the separation is equal to or smaller than the second size. It is characterized by that.
  • the signature data in the verification of the signature data, it is verified whether the distance between the vector based on the target data and the signature vector is equal to or smaller than the second size larger than the first size, and is equal to or smaller than the second size. Since the verification is considered successful, the signature data can be verified.
  • the data is divided into a plurality of data and expressed as a multidimensional vector
  • the signature data for the target data is based on the minimum vector problem or the approximate minimum vector problem as the basis of security.
  • the signature generation method used in the signature generation apparatus for generating the target data includes: an acquisition step of acquiring the target data; and converting the acquired target data using a secret disturbance vector smaller than the first size, A data conversion step to be generated; and in a lattice determined by using a secret key vector as a basis, a signature vector for the conversion vector is generated by obtaining a lattice point closest to the conversion vector, and a signature having a part of the signature vector as signature data Generating step, and outputting step for outputting the target data and the generated signature data Characterized in that it comprises a.
  • the recording medium divides the data into a plurality of data and expresses the data as a multidimensional vector, and uses the minimum vector problem or the approximate minimum vector problem as a basis of security
  • a computer-readable recording medium recording a computer program for signature generation used in a computer for generation, wherein the computer has an acquisition step of acquiring target data, and a secret disturbance vector smaller than a first size.
  • a data conversion step of converting the acquired target data and generating a conversion vector; and a lattice determined closest to the conversion vector in a lattice determined based on the secret key vector, and obtaining a signature vector for the conversion vector Generate a portion of the signature vector
  • the system divides the data into a plurality of data and expresses the data as a multidimensional vector, and uses the minimum vector problem or the approximate minimum vector problem as the basis of security and the signature generation apparatus and the verification
  • the signature generation apparatus includes: an acquisition unit that acquires target data; a secret storage unit that secretly stores a secret key vector; and a secret smaller than a first size.
  • a data conversion unit that converts the acquired target data using a disturbance vector to generate a conversion vector, and a lattice point determined based on the secret key vector as a basis, finds a lattice point closest to the conversion vector, and Signature generation means for generating a signature vector and using a part of the signature vector as signature data, and generation of the target data Output means for outputting the signature data
  • the signature verification device includes an acquisition means for acquiring the target data and signature data, a storage means for storing a public key vector, a public key vector, and the signature.
  • Verification means for restoring the signature vector using data and verifying whether a distance between the vector of the target data and the restored signature vector is equal to or smaller than a second size larger than the first size
  • output means for outputting success information indicating that the verification is successful when the size is equal to or smaller than the second size.
  • the digital signature system 10 includes a message generation device 30, a signature generation device 100, a signature verification device 200, a key generation device 300, and a message reception device 40, and the signature generation device 100 and the signature verification device 200.
  • a communication path 20 typified by the Internet
  • the signature generation apparatus 100 and the key generation apparatus 300 are connected by a communication path that guarantees safety, or has other safety. Information is communicated to each other by guaranteed means.
  • the message generation device 30 In the digital signature system 10, the message generation device 30 generates message data m to be transmitted (also referred to as signature target data), and outputs the generated message data m to the signature generation device 100.
  • the key generation device 300 uses the improved NTRUSign signature method improved from the NTRUSign signature method, the key generation device 300 generates a key, and the signature generation device 100 generates the signature data SD for the message data m, via the communication path 20.
  • the signature data set SS including the message data m and the signature data SD is transmitted to the signature verification apparatus 200, and the signature verification apparatus 200 receives the signature data set SS, verifies the received signature data set SS,
  • the message data m is output to the message receiving device 40.
  • the message receiving device 40 receives the verification result and the message data m, and determines whether to accept the received message data m based on the received verification result.
  • the improved NTRUSign signature scheme is based on the minimum vector problem or the approximate minimum vector problem for security.
  • the shortest vector problem is a problem of obtaining the “minimum vector” included in the lattice from one basis vector.
  • Approximate Shortest Vector Problem is a problem for obtaining an approximate minimum vector (not a minimum vector but a vector having a size close to that).
  • the improved NTRUSign signature scheme is a digital signature scheme that performs signature generation and signature verification through polynomial operations.
  • the order of the polynomial handled in the improved NTRUSign signature scheme is determined by the parameter N.
  • the polynomial handled in the improved NTRUSign signature scheme is an integer coefficient polynomial of order N ⁇ 1 or less with respect to the parameter N.
  • N 5
  • both the public key h and the signature s are expressed as polynomials of order N-1 or lower.
  • the secret key is four (N ⁇ 1) th order polynomial pairs (f, g, F, G). That is, f, g, F, and G are all polynomials of order N ⁇ 1 or less.
  • the quadruple (f, g, F, G) is regarded as a further pair of two pairs (f, g), (F, G), and ⁇ (f, g), (F, G ) ⁇ .
  • the vector that is the secret key is the element f of the ring R with respect to the ring R and the positive integer q, which is a set of N-dimensional arrays in which the norm indicating the original size is defined.
  • a vector that is a public key is obtained from an element h that is congruent with the product of the positive integer q and the element g and the element Fq and mod q.
  • an N ⁇ 1 order polynomial a a — 0 + a — 1 ⁇ X + a — 2 ⁇ X ⁇ 2 +... + A_ (N ⁇ 1) ⁇ X ⁇ (N ⁇ 1) a_ (N-1)).
  • a_0, a_1, a_2,..., a_ (N ⁇ 1) are coefficients of the respective terms of the polynomial a, and are integers.
  • the improved NTRUSign signature scheme uses a parameter q that is an integer greater than or equal to two. Each coefficient of the polynomial appearing in the improved NTRUSign signature scheme is calculated so as to take a remainder modulo q.
  • the polynomial f is selected so that df coefficients among the N coefficients are “1” and the other coefficients are “0”. That is, the polynomial f is a polynomial of order N ⁇ 1 or less, and there is one coefficient for each of the N terms from the 0th order (constant term) to the N ⁇ 1th order, and a total of N pieces of coefficients. Among these N coefficients, df coefficients are “1” and (N ⁇ df) coefficients are selected to be “0”.
  • the polynomial g is selected such that dg coefficients are “1” and the other coefficients are “0”.
  • Parameter L (distance) Parameter L (also referred to as first size) is the radius of the hypersphere in the 2 ⁇ N-dimensional vector space.
  • a random vector also referred to as a disturbance vector
  • a hash value vector 2 ⁇ N-dimensional vector that is a hash value of message data for conversion.
  • the distribution ⁇ is set so as to be included in a hypersphere of radius L, and a random vector is randomly selected from a plurality of vectors (also referred to as candidate vectors) existing in the distribution ⁇ with equal probability. Therefore, the norm of the selected vector is L or less.
  • FIG. 2 schematically represents a 2 ⁇ N-dimensional vector space on a two-dimensional paper surface, and represents a hypersphere 401 having a center 406 and a radius L (distance 402).
  • a distribution 400 exists inside the hypersphere 401.
  • Distribution 400 is completely contained within hypersphere 401.
  • a vector 403 is randomly selected from a plurality of vectors present in the distribution 400.
  • the vector 404 may be selected, and the vector 405 may be selected.
  • the data structure of the distribution 400 is shown in the distribution table 410 of FIG.
  • the distribution table 410 defines a spatial structure occupied by the distribution 400 in the 2 ⁇ N-dimensional vector space, and includes 2 ⁇ N limit value pairs.
  • the 2 ⁇ N limit value pairs correspond to 2 ⁇ N elements of the 2 ⁇ N-dimensional vector, respectively.
  • 2 ⁇ N limit value pairs are composed of a first group and a second group, the first group includes N limit value pairs, and the second group includes the remaining N limit value pairs. .
  • Each limit value pair includes a lower limit value and an upper limit value.
  • each limit value pair In the 2 ⁇ N-dimensional vector space, the space above and below the lower limit value and below the upper limit value included in each limit value pair is the space occupied by the distribution 400 corresponding to 2 ⁇ N elements of the 2 ⁇ N-dimensional vector. . Each limit value pair is set so that this space is included in the supersphere 401.
  • the lower limit value V1_0_min 411 and the upper limit value V1_0_max 412 in the 0th limit value pair included in the first group of the distribution table 410 are “3” and “8”, respectively, and are included in the first group.
  • the lower limit value V1_ (N-1) _min 413 and the upper limit value V1_ (N-1) _max 414 in the N-1th limit value pair are “2” and “5”, respectively.
  • the lower limit value V2_0_min 415 and the upper limit value V2_0_max 416 in the 0th limit value pair included in the second group of the distribution table 410 are “1” and “6”, respectively, as an example, and are included in the second group.
  • the lower limit value V2_ (N-1) _min 417 and the upper limit value V2_ (N-1) _max 418 in the (N-1) th limit value pair are, for example, “4” and “7”, respectively.
  • a value that is greater than or equal to the lower limit value and less than or equal to the upper limit value included in each limit value pair is selected at random in a random manner, that is, uniformly.
  • 2 ⁇ N random values V1_0, V1_1, V1_2, ..., V1_ (N-1), V2_0, V2_1, V2_2, ..., V2_ (N-1) are selected and selected.
  • a set of 2 ⁇ N random values is defined as the above-mentioned randomly selected vector V (V1, V2).
  • FIG. 2 shows that a vector from the origin to any point in the distribution range is selected.
  • the distribution range is uniform (equal probability) and randomly. Select a vector.
  • Parameter L is released as a system parameter.
  • FIG. 4 is a schematic representation of a 2 ⁇ N-dimensional vector space on a two-dimensional paper surface as in FIG. 2, and has a center 441 and a hypersphere 431 having a radius L (distance 442). Is expressed.
  • a distribution 432 exists inside the hypersphere 431. Distribution 432 is completely contained within hypersphere 431.
  • the range of the distribution 432 is divided into three, and is composed of a partial area A (433), a partial area B (434), and a partial area C (435).
  • the probability of selecting the partial area is determined.
  • the probability of selecting the partial area A (433) is 1/6
  • the probability of selecting the partial area B (434) is 1/2
  • the probability of selecting the partial area C (435) is 1 / 3.
  • the plurality of candidate vectors are arranged so that the probability of being selected is not uniform.
  • the data structure of the distribution 432 is shown in the distribution table 450 of FIG.
  • the distribution table 450 defines a spatial structure occupied by the distribution 432 in the 2 ⁇ N-dimensional vector space, and includes a plurality of sets of partial tables and occurrence probabilities. Specifically, distribution table 450 includes a set of partial table 451 and occurrence probability 454, a set of partial table 452 and occurrence probability 455, and a set of partial table 453 and occurrence probability 456.
  • the three partial tables 451, 452, and 453 correspond to the partial area A (433), the partial area B (434), and the partial area C (435) in FIG. 4, respectively.
  • the occurrence probability corresponding to each partial table is the probability of selecting a partial region of the distribution 432 shown in FIG.
  • Each partial table section has a structure similar to that of the distribution table 410 shown in FIG. 3, and each of the partial table sections includes 2 ⁇ N limit value pairs.
  • one partial table is selected, and a vector is selected at random within the range indicated by the selected partial table.
  • (V) Parameter L ′ (distance) In the improved NTRUSign signature method, as will be described later, the distance between a 2 ⁇ N-dimensional vector (called a signature vector) created from the signature s and a hash value vector is calculated, and whether or not the signature is correct is determined based on this distance. To do.
  • the parameter L ′ (second size) is a threshold value used in this determination. That is, if the calculated distance is equal to or less than L ′, it is accepted as a correct signature, and if it is greater than L ′, it is rejected as an incorrect signature.
  • the same example parameter may be used in the improved NTRUSign signature scheme.
  • the improved NTRUSign signature scheme when a vector in a hypersphere of distance L is selected, the distance between the hash value vector and the correctly generated signature vector is adjusted to be almost L ′.
  • Normbound is 300 to 310, and in this case, the distance between the hash value vector and the correctly generated signature vector is approximately within Normbound.
  • the distance between the converted hash value vector and the signature vector is approximately within Normbound. Since the difference between the converted hash value vector and the hash value vector is a random vector and the distance is within L, L ′ may be set to about Normbound + L. Therefore, if L is 200, L ′ may be set to 500 to 510. Thus, L ′ is made larger than L.
  • L ′ is made larger than L.
  • N 251.
  • of the pair (a, b) of the polynomials a and b is defined as follows.
  • x y (mod q) is the i-th order coefficient (0 ⁇ i ⁇ N ⁇ 1) of the polynomial y, and the remainder falls within the range of 0 to q ⁇ 1.
  • the remainder when divided by the modulo q is the i-th coefficient of the polynomial x. That is, a polynomial obtained by performing a mod q calculation so that each coefficient of y falls within the range of 0 to (q ⁇ 1) is a polynomial x.
  • the distribution ⁇ is arbitrarily set so that the distribution ⁇ is included in the hypersphere of the distance L.
  • Information to be set includes a distribution range and a selection probability in the distribution range. For example, a distribution as shown in FIGS. 2 and 4 is set.
  • the secret key is ⁇ (f, g), (F, G) ⁇ and the distribution ⁇ , and the public key is h.
  • the secret key is a key for generating a signature and is also called a signature generation key.
  • the public key is a key for verifying the signature, and is also called a signature verification key.
  • the distribution ⁇ is included in the secret key, it is natural that it is kept secret. Although all of the distribution ⁇ may be kept secret, for example, the range of the distribution 400 shown in FIG. 2 is kept secret, but based on the distribution 400, it is disclosed that a vector is uniformly selected at random. May be. Further, in the distribution 432 shown in FIG. 4, both the range of the distribution 432 and the probability of selecting each partial region may be kept secret, or the range of the distribution 432 is disclosed and the probability of selecting each partial region is kept secret. It is good also as. (4) Signature Generation with Improved NTRUSign Signature Scheme Signature generation with the improved NTRUSign signature scheme will be described with reference to FIGS. 6 and 17.
  • FIG. 6 is a diagram illustrating a signature generation process, and illustrates an Lsec coordinate system when the entire 2 ⁇ N-dimensional vector is regarded as a lattice (lattice Lsec).
  • FIG. 17 is a flowchart illustrating a procedure of signature generation processing.
  • a 2 ⁇ N-dimensional vector H (m1, m2) (m1 and m2 are Nth order polynomials), which is a hash value for the message data m, is calculated (step SG1).
  • H is referred to as a hash value vector.
  • the hash value vector H is indicated by reference numeral 501.
  • the converted hash value vector H ′ is indicated by reference numeral 502.
  • the vector S (s, t) of the lattice point closest to the transformed hash value vector H ′ is calculated by the same method as the conventional NTRUSign signature method (step SG3).
  • the vector S is indicated by reference numeral 503.
  • the coefficients of A and a are obtained by taking the remainder when dividing by the modulus q so that it falls within the range of ⁇ q / 2> +1 to ⁇ q / 2>. That is, when the remainder when divided by the modulus q is q ⁇ 1 from ⁇ q / 2>, q is subtracted and adjusted so as to be within the above range.
  • step SG4 f ⁇ B + F ⁇ b (mod q)
  • t g ⁇ B + G ⁇ b (mod q)
  • FIG. 7 is a diagram illustrating a signature verification process, and illustrates an Lpub coordinate system when the entire 2 ⁇ N-dimensional vector is regarded as a lattice (lattice Lpub).
  • FIG. 18 is a flowchart illustrating a procedure of signature generation processing.
  • a 2 ⁇ N-dimensional vector H (m1, m2) that is a hash value for the message data m is calculated (step SV1).
  • the vector H is indicated by reference numeral 531.
  • the signature vector S is indicated by reference numeral 532.
  • the signature generation device 100 generates a signature data set SS for message data m to be transmitted to the other party. As shown in FIG. 8, the signature generation apparatus 100 includes a transmission unit 101, a private key storage unit 102, a public key certificate storage unit 103, a signature generation unit 104, a signature data set generation unit 105, and a system parameter storage unit 106. .
  • the secret key storage unit 102 has tamper resistance, and stores a secret key ⁇ (f, g), (F, G) ⁇ and a distribution ⁇ that is a secret key in advance as shown in FIG. .
  • the secret key and distribution are secretly protected so as not to be known from the outside.
  • the system parameter storage unit 106 stores a parameter N, a parameter q, and a parameter L ′ (distance) as system parameters in advance.
  • the public key certificate storage unit 103 stores a certificate CP of the public key h in advance.
  • the certificate CP includes a public key h and signature data SP for the public key h by the key generation device 300.
  • the signature data SP is also generated using the improved NTRUSign signature scheme. Further, it is assumed that the certificate CP is given in advance.
  • the certificate CP may include, for example, data such as a user identifier and a certificate expiration date in addition to the public key h and the signature data SP.
  • the signature generation unit 104 uses the secret key ⁇ (f, g), (F, G) ⁇ and the distribution ⁇ stored in the secret key storage unit 102 based on the improved NTRUSign signature scheme.
  • the signature data SD for the message data m is generated.
  • the signature data set generation unit 105 receives the certificate CP from the public key certificate storage unit 103, receives the signature data SD from the signature generation unit 104, and includes message data m, certificate CP, and signature data SD.
  • a signature data set SS is generated.
  • the transmission unit 101 transmits the generated signature data set SS to the signature verification apparatus 200 via the communication path 20.
  • the signature generation unit 104 includes a hash value calculation unit 111, a vector generation unit 112, a hash value conversion unit 113, a signature generation unit 114, a signature confirmation unit 115, and a vector group selection storage unit 116. Yes.
  • the hash value calculation unit 111 performs the process of step SG1 in the signature generation process of the improved NTRUSign signature method, and calculates the hash value vector H for the message data m.
  • the vector generation unit 112 generates the vector V used in step SG2 in the signature generation process of the improved NTRUSign signature method.
  • the signature verification device 200 includes a reception unit 201, a CA public key storage unit 202, a signature data set storage unit 203, a signature verification unit 204, and a system parameter storage unit 205. Is provided.
  • the system parameter storage unit 205 stores a parameter N, a parameter q, and a parameter L ′ (distance) as system parameters in advance.
  • the CA public key storage unit 202 stores the public key KCP of the key generation apparatus 300 for verifying the certificate CP in advance as shown in FIG.
  • the receiving unit 201 receives the signature data set SS transmitted from the signature generation apparatus 100 via the communication path 20 and writes the received signature data set SS in the signature data set storage unit 203.
  • the signature data set storage unit 203 stores the received signature data set SS as shown in FIG.
  • the signature data set SS includes message data m, signature data SD, and certificate CP.
  • the certificate CP includes a public key H and signature data SP.
  • the signature verification unit 204 verifies the signature data SD included in the signature data set SS and verifies the signature data SP included in the certificate CP. (Configuration of signature verification unit 204) As shown in FIG. 13, the signature verification unit 204 includes a hash value calculation unit 211, a signature vector generation unit 212, and a distance determination unit 213.
  • the signature verification unit 204 verifies the signature data SD and verifies the signature data SP included in the certificate CP.
  • signature verification for the signature data SD will be described. Since the signature data SP can be verified in the same manner by replacing the message data m with the public key h and the signature data SD with the SP, detailed description thereof is omitted.
  • the hash value calculation unit 211 performs the process of step SV1 in the signature verification process of the improved NTRUSign signature method, and calculates a hash value vector H for the message data m.
  • the signature vector generation unit 212 performs the process of step SV2 in the signature verification process of the improved NTRUSign signature method, and generates the signature vector S from the signature data SD.
  • the distance determination unit 213 performs the process of step SV3 in the signature verification process of the improved NTRUSign signature method, and calculates the distance between the hash value vector H and the signature vector S. If the distance is within L ′, it is determined that the signature data is correct. If it is larger than L ′, it is determined that the signature data is invalid.
  • the key generation device 300 includes a distribution generation unit 301, a key generation unit 302, a certificate generation unit 303, a certificate generation key storage unit 304, and a key setting unit 305. And a system parameter storage unit 306.
  • the system parameter storage unit 306 stores a parameter N, a parameter q and a parameter L ′ (distance), a parameter L (distance), and parameters df and dg in advance as system parameters.
  • the certificate generation key storage unit 304 stores a certificate generation key KCS that is a secret key of the key generation device 300 in advance.
  • the distribution generation unit 301 generates, for example, the distribution table 410 illustrated in FIG. 3 or the distribution table 450 illustrated in FIG. 5 to generate the distribution ⁇ in the key generation processing of the improved NTRUSign signature, and generates the generated distribution ⁇ as a key.
  • the unit 302. generates, for example, the distribution table 410 illustrated in FIG. 3 or the distribution table 450 illustrated in FIG. 5 to generate the distribution ⁇ in the key generation processing of the improved NTRUSign signature, and generates the generated distribution ⁇ as a key.
  • the distribution generation unit 301 generates the distribution table 410 as follows.
  • the distribution generation unit 301 reads the parameter N and the parameter L from the system parameter storage unit 306, and generates a distribution table including an area for storing 2 ⁇ N limit value pairs. Next, for each limit value pair, a random number is generated to randomly determine the lower limit value included in the limit value pair. Next, random numbers are generated to randomly determine an upper limit value that is greater than the lower limit value. The lower limit value and the upper limit value are determined for all limit value pairs. The determined lower limit value and upper limit value are stored in the distribution table. In this way, the distribution table 410 is generated. Each lower limit value and each upper limit value are determined so that the norm of the vector in the distribution is L or less.
  • the distribution generation unit 301 generates the distribution table 450 as follows.
  • the distribution generation unit 301 reads the parameter N and the parameter L from the system parameter storage unit 306, generates random numbers, and determines the number of partial tables included in the distribution table 450. As an example, assume that “3” is generated as a random number. In this case, three partial tables are generated so that each partial table has an area for storing 2 ⁇ N limit value pairs. Next, three occurrence probabilities (each occurrence probability is larger than “0” and smaller than “1”) are randomly determined. Here, the total of the three occurrence probabilities is set to “1”.
  • each partial table similarly to the distribution table 410 described above, the lower limit value and the upper limit value included in each limit value pair are determined and stored in each partial table.
  • the key generation unit 302 reads the parameter N, the parameter q, the parameter df, dg, and the parameter L from the system parameter storage unit 306 and, as described above, uses the improved NTRUSign signature method key generation processing method to generate the secret key ⁇ (f , G), (F, G) ⁇ and a public key h. In addition, the key generation unit 302 receives the distribution ⁇ from the distribution generation unit 301. Next, the key generation unit 302 outputs the secret key ⁇ (f, g), (F, G) ⁇ , the public key h, and the distribution ⁇ to the key setting unit 305. Also, the public key h is output to the certificate generation unit 303.
  • the certificate generation unit 303 reads the certificate generation key KCS from the certificate generation key storage unit 304, receives the public key h from the key generation unit 302, and uses the read certificate generation key KCS to certify the public key h
  • a document CP is generated.
  • the certificate CP includes a public key h and signature data SP using the certificate generation key KCS of the public key h.
  • the signature data SP is generated using the same signature generation method as the signature generation method by the signature generation unit 104 of the signature generation apparatus 100.
  • the key setting unit 305 writes the secret key ⁇ (f, g), (F, G) ⁇ and the distribution ⁇ that is the secret key into the secret key storage unit 102 of the signature generation device 100. Also, the certificate CP is written into the public key certificate storage unit 103 of the signature generation apparatus 100. 3. Operation of Digital Signature System 10 (1) Outline Operation of Digital Signature System 10 The outline operation of the digital signature system 10 will be described with reference to the flowchart shown in FIG.
  • the signature generation apparatus 100 generates signature data (step S101), generates a signature data set SS (step S102), and transmits the generated signature data set SS to the signature verification apparatus 200 via the communication path 20 (step S102). Step S103).
  • the receiving unit 201 of the signature verification apparatus 200 receives the signature data set SS transmitted from the signature generation apparatus 100 via the communication path 20, and stores the received signature data set SS in the signature data set storage unit 203 ( Step S201).
  • the signature verification unit 204 determines whether the signature data SP is the correct signature of the public key h with respect to the public key h and the signature data SP included in the certificate CP in the signature data set SS. Verification is performed using the public key KCP of the key generation apparatus 300 stored in 202 (step S202). If the signature data SP is not correct (step S203), NG is output (step S107) and the process ends.
  • the signature verification unit 204 determines whether the signature data SD is the correct signature of the message data m with respect to the message data m and the signature data SD in the signature data set SS. Verification is performed using the public key h (step S204). If the signature data SD is not correct (step S205), NG is output (step S207) and the process ends. If the signature data SD is correct (step S205), OK is output (step S206) and the process ends.
  • the hash value calculation unit 111 calculates a hash value vector H for the message data m (step SG1).
  • (3) Operation of Signature Verification Unit 204 of Signature Verification Device 200 The operation of signature verification by the signature verification unit 204 of the signature verification device 200 will be described with reference to the flowchart shown in FIG.
  • step SV5 If it is larger than L ′ (No in step SV3), it is determined that the signature s is invalid, the signature s is rejected, and NG is output (step SV5).
  • the key generation device 300 sets the secret key ⁇ (f, g), (F, G) ⁇ , the distribution ⁇ , and the certificate CP in the signature generation device 100. The operation will be described below using the flowchart shown in FIG.
  • the key generation unit 302 of the key generation device 300 generates a secret key ⁇ (f, g), (F, G) ⁇ and a public key h (step S401), and the distribution generation unit 301 generates a distribution ⁇ (
  • the certificate generation unit 303 generates a certificate CP for the public key h using the certificate generation key KCS stored in the certificate generation key storage unit 304 (step S403), and the key setting unit 305 stores the private key ⁇ (f, g), (F, G) ⁇ , the distribution ⁇ , and the certificate CP in the private key storage unit 102 and the public key certificate storage unit 103 of the signature generation apparatus 100 ( Step S404). 4).
  • the converted hash value vector H ′ having the signature vector S as the nearest lattice vector is concealed. Not sent to. Therefore, if an attacker intercepts the communication path when sending to the verifier, or if the verifier itself is an attacker, even if the attacker tries to perform a transcription attack, the vector and its nearest neighbor Since it is impossible to know the distribution of the difference from the vector of the lattice, the transcription attack becomes difficult.
  • the transcription attack utilizes the fact that the difference between each signature vector and the hash value is a uniform distribution excluding the relevance of the secret key. After that, collect multiple signature data and use the information on the distribution of the difference (distribution range and occurrence probability) to extract only the part of the secret key by statistically removing the part of the uniform distribution. is doing. Even when this transcription attack is developed and an attack using the distribution of the difference between the signature vector and the hash value vector is performed, the distribution range is secret and the condition that the distribution range is known cannot be satisfied. For this reason, an attack whose distribution is predicted cannot be performed, and such an attack becomes difficult. In the following, this will be described in a little more detail.
  • the signature vector is a vector of lattice points nearest to the converted hash value vector obtained by converting the hash value vector using the distribution ⁇ .
  • the distribution range of the distribution ⁇ is secret, the attacker does not know the distribution range of the difference between the signature vector and the hash value vector. Therefore, the above attack becomes difficult.
  • the present invention provides a digital signature system based on the NTRUSign signature scheme, which can prevent the above-described transcription attack and is based on the security of the lattice problem. Objective.
  • One aspect of the present invention is a signature generation apparatus that generates signature data for message data using a signature scheme, wherein the signature scheme uses a lattice nearest neighbor problem that is a set of vectors as a security base.
  • a secret key including information for constructing a secret key basis vector which is a basis vector of a secret lattice, and a public key basis vector which is a public basis vector expressing the same lattice as the secret key basis vector
  • a key generation step of generating a public key including information for performing, a signature generation step of generating the signature data consisting of one or more elements of the lattice for the message data using the secret key, and the public key Verifying the signature data using a signature verification step, wherein the signature generation device is used before generating the signature data.
  • a secret key storage unit that stores a secret key; and a signature generation unit that generates the signature data that is an element of the lattice for the message data, using the secret key stored in the secret key storage unit,
  • the secret key includes a predetermined vector distribution, and the signature generation unit generates vector data based on the distribution, and generates converted message data by converting the message data based on the vector.
  • a message conversion unit; and a signature generation unit configured to generate the signature data by using the converted message data as the message data.
  • the distribution may not be uniform.
  • the range of the distribution may be secret.
  • the range of the distribution is divided into a plurality of regions, the selection probability of each region is determined in advance, and the vector generation unit selects the region based on the selection probability, and based on the selected region A vector may be generated.
  • the vector generation unit generates a vector selected at random based on the distribution
  • the message conversion unit may generate the converted message data by adding the vector to the message data. Good.
  • the vector generation means may generate a vector by randomly selecting from a plurality of vectors selected in advance based on the distribution.
  • the distribution may be included in a hypersphere having a predetermined distance L.
  • the public key includes a distance L ′ related to the distance L
  • the signature generation unit stores the converted message data when the distance between the message data and the signature data is not within L ′. It may be recalculated.
  • the public key may include the distance L ′.
  • the distance L ′ may be a system parameter of the signature scheme.
  • the secret key basis vector is obtained by adding an element f of the ring R to a ring R and a positive integer q, which are sets of N-dimensional arrays in which norms indicating addition, subtraction, multiplication, and the original magnitude are defined.
  • the public key basis vector may be obtained from an element h that is congruent with the product of the positive integer q and the element g and the element Fq and mod q.
  • the secret key storage unit may take measures against a tamper attack.
  • a signature verification apparatus that verifies signature data for message data by using a signature scheme, and the signature scheme secures a nearest neighbor problem of a lattice that is a set of vectors.
  • a secret key including information for constructing a secret key basis vector, which is a basis vector of a secret lattice, and a public key that is a public basis vector expressing the same lattice as the secret key basis vector
  • a public key storage unit that stores the public key to be used, and a signature verification unit that verifies the signature data that is an element of the lattice for the message data, using the public key stored in the public key storage unit;
  • the secret key includes a distribution of a pre
  • an authentication data generation device that generates authentication data that is response data to challenge data using a signature method, wherein the signature method uses a lattice nearest neighbor problem that is a set of vectors as a security base.
  • a secret key including information for constructing a secret key basis vector which is a basis vector of a secret lattice, and a public key basis vector which is a public basis vector expressing the same lattice as the secret key basis vector
  • a key generation step of generating a public key including information for performing, a signature generation step of generating the signature data consisting of one or more elements of the lattice for the message data using the secret key, and the public key And verifying the signature data using the authentication data generating device, wherein the authentication data generating device generates the authentication data.
  • a secret key storage unit that stores the secret key used for the authentication, and an authentication data generation unit that generates the authentication data for the challenge data using the secret key stored in the secret key storage unit.
  • the secret key includes a distribution of a predetermined vector, and the authentication data generation unit generates vector data based on the distribution, and message data that generates the message data that is a hash value for the challenge data.
  • Generating means message converting means for converting the message data based on the vector to generate conversion challenge data, and generating the signature data as the authentication data when the converted message data is used as the message data Authentication data generation means.
  • Another aspect of the present invention is a signature generation method for generating signature data for message data using a signature scheme based on a security nearest neighbor problem of a lattice that is a set of vectors,
  • a secret key including information for constructing a secret key basis vector that is a basis vector of a secret lattice, and a public key basis vector that is a public basis vector expressing the same lattice as the secret key basis vector
  • a key generation step of generating a public key including the information of the signature a signature generation step of generating the signature data consisting of one or more elements of the lattice for the message data using the secret key, and using the public key
  • the distribution may not be uniform.
  • the range of the distribution may be secret.
  • the distribution range is divided into a plurality of regions, and the selection probability of each region is determined in advance, and the signature generation step selects the region based on the selection probability, and based on the selected region
  • the generated vector may be used.
  • the converted message data may be generated by adding a vector randomly selected based on the distribution to the message data.
  • the distribution may be included in a hypersphere having a predetermined distance L.
  • a program that is executed by a signature generation device that generates signature data for message data, using a signature scheme based on the nearest neighbor problem of a lattice that is a set of vectors.
  • a secret key including information for constructing a secret key basis vector which is a basis vector of a secret lattice, and a public key basis vector which is a public basis vector expressing the same lattice as the secret key basis vector
  • a signature verification step of verifying the signature data using a public key, and executing the signature generation apparatus, and the secret key is a predetermined vector
  • the signature generation step includes converting the message data, which is obtained by converting the message data using a vector based on the distribution, to the signature data that is an element of the lattice using the secret key basis vector.
  • the program may be recorded on a recording medium.
  • Another aspect of the present invention is an integrated circuit of a signature generation apparatus that generates signature data for message data using a signature scheme, and the signature scheme is the nearest neighbor of a lattice that is a set of vectors.
  • the problem is based on security, a secret key including information for constructing a secret key basis vector that is a basis vector of a secret lattice, and a public basis vector expressing the same lattice as the secret key basis vector.
  • a key generation step of generating a public key including information for constructing a certain public key basis vector, and a signature for generating the signature data composed of one or more elements of the lattice for the message data using the secret key A signature verification step of verifying the signature data using the public key, wherein the signature generation device generates the signature data A signature that generates the signature data that is the source of the grid for the message data, using the secret key storage unit that stores the secret key used for the purpose and the secret key stored in the secret key storage unit A generation unit, wherein the secret key includes a distribution of a predetermined vector, the signature generation unit converts the message data based on the vector, vector generation means for generating a vector based on the distribution Message conversion means for generating conversion message data; and signature generation means for generating the signature data using the conversion message data as the message data.
  • a digital signature system including a signature generation apparatus that generates signature data for message data and a signature verification apparatus that verifies the signature data using a signature scheme
  • the method uses the nearest neighbor problem of a lattice that is a set of vectors as a security base, and includes a secret key including information for constructing a secret key basis vector that is a basis vector of a secret lattice, and the secret key basis vector Generating a public key including information for constructing a public key basis vector, which is a public basis vector representing the same lattice as, and one or more of the message data for the message data using the secret key
  • a signature generation step for generating the signature data comprising a lattice element, and a signature verification step for verifying the signature data using the public key.
  • the signature generation apparatus uses the secret key stored in the secret key storage unit to store the secret key used to generate the signature data, and the secret key stored in the secret key storage unit.
  • a signature generation unit that generates the signature data that is an element of the lattice for message data, and the signature verification device includes a public key storage unit that stores the public key used to verify the signature data;
  • the signature generation unit includes vector generation means for generating a vector based on the distribution, and converts the message data based on the vector to convert the converted message data.
  • a message conversion unit configured to generate the signature data using the converted message data as the message data, and the signature verification unit determines a distance between the message data and the signature data. It is characterized by that. 6).
  • the embodiment described above is an example of the implementation of the present invention, and the present invention is not limited to this embodiment, and can be implemented in various modes without departing from the scope of the present invention. Is.
  • the present invention includes the following cases. (1) In the digital signature system 10 according to the first embodiment, a random vector is selected based on a distribution. However, a vector based on a distribution is obtained in advance and stored, and the stored vector is used. Also good.
  • a plurality of vectors based on a plurality of distributions may be obtained and stored in advance, and one vector may be selected from the plurality of stored vectors.
  • the vector V is added to generate the converted hash value vector, but the present invention is not limited to this.
  • the converted hash value vector may be generated by adding the vectors V multiplied by n (n is an integer other than 0).
  • the vector V may be subtracted to generate a converted hash value.
  • L and L ′ are about the same as the normbound of the conventional NTRUSign signature scheme, but it may be smaller than the normbound.
  • L ′ may be any value as long as the distance between most hash value vectors and correctly generated signature vectors falls within that value.
  • the distance L is disclosed as a system parameter, but it may be different for each user who generates a signature. In that case, L ′ may be included in the public key to notify the user who verifies the signature. The distance L may be kept secret.
  • distributions 400 and 432 shown in FIG. 2 and FIG. 4 are used as the distribution ⁇ , but the present invention is not limited to this.
  • an element of a certain dimension may be limited to a predetermined range (for example, 2 to 5).
  • (f, g) and (F, G) in the secret key are obtained from the lattice basis vector (secret key basis vector), h in the public key and q as the system parameter (1, h), (0, q) are lattice basis vectors (public key basis vectors), the lattice points obtained from the respective basis vectors are the same. It is called a signature scheme based on it.
  • the improved NTRUSign signature scheme also has similar secret key basis vectors and public key basis vectors.
  • the improved NTRUSign signature scheme based on the NTRUSign signature scheme is used as the signature scheme, but the present invention is not limited to this.
  • the transcription attack can also be applied to a signature scheme based on other lattice problems, for example, a GGH signature scheme.
  • a signature method a signature method based on a lattice problem to which a transcription attack can be applied, for example, a GGH signature method may be used.
  • the GGH signature method is described in detail in Non-Patent Document 6. It may be based on a signature scheme in which the nearest neighbor problem of another lattice is based on the security of the signature. (7) Another example of the distribution table having the data structure of the distribution ⁇ will be described.
  • distribution information i includes a lower limit value C_i_min, an upper limit value C_i_max, a polynomial Base1_i, and a polynomial Base2_i.
  • C_3 that is equal to or higher than the lower limit C_3_min and equal to or lower than the upper limit C_3_max is uniformly selected.
  • V1_max c_1_max ⁇ Base1_1 + c_2_min ⁇ Base1_2 + c_3_max ⁇ Base1_3
  • V2_max c_1_max ⁇ Base2_1 + c_2_min ⁇ Base2_2 + c_3_max ⁇ Base2_3
  • its norm is 194.9 ⁇ 200.
  • the number may be two or four or more.
  • the number of polynomials is three for each of Base1_i and Base2_i. It may be more than one.
  • Still another example of the distribution table having the data structure of the distribution ⁇ will be described.
  • the distribution information i includes first sub-distribution information and second sub-distribution information.
  • the distribution information includes a lower limit value C_1_i_min, an upper limit value C_1_i_max, and a polynomial Base1_i.
  • the second sub-distribution information includes a lower limit value C_2_i_min, an upper limit value C_2_i_max, and a polynomial Base2_i.
  • C_1_1 that is not less than the lower limit C_1_1_min and not more than the upper limit C_1_1_max is uniformly selected
  • C_2_1 that is not less than the lower limit C_2_1_min and not more than the upper limit C_2_1_max is uniformly selected
  • C_1_2 that is not less than the lower limit C_1_2_min and not more than the upper limit C_1_2_max is randomly selected, and C_2_2 that is not less than the lower limit C_2_2_min and not more than the upper limit C_2_2_max is uniformly selected To do.
  • C_1_3 that is not less than the lower limit C_1_3_min and not more than the upper limit C_1_3_max is uniformly selected
  • C_2_3 that is not less than the lower limit C_2_3_min and is not more than the upper limit C_2_3_max is uniformly selected To do.
  • V1 C_1_1 * Base1_1 + C_1_2 * Base1_2 + C_1_1 * 3 * Base1_3 is calculated
  • V1_max c_1_1_max ⁇ Base1_1 + c_1_2_max ⁇ Base1_2 + c_1_3_max ⁇ Base1_3
  • V2_max c_2_1_max ⁇ Base2_1 + c_2_2_min ⁇ Base2_2 + c_2_3_min ⁇ Base2_3
  • its norm is 199.1 ⁇ 200.
  • c_1_i and c_2_i are selected (generated) uniformly and randomly between min and max, but this is not restrictive. For example, it may be selected randomly according to a Gaussian distribution. In that case, an average value and a variance are determined in advance and are generated according to a Gaussian distribution.
  • Authentication is verification that message data has been sent by a person who is self-proclaimed and that the message data has not been tampered with. Further, the embodiment and the modification are applied in the identification. The proof of identity is, for example, a proof that the user has an access right to data, an access right to a facility (room entry right), or a proof that he is as claimed. Furthermore, the embodiment and the modification are applied in non-repudiation prevention. Non-repudiation refers to, for example, combating a person who claims that he has agreed to something but has not agreed. (11) Each of the above devices is specifically a computer system including a microprocessor, ROM, RAM, a hard disk unit, a display unit, a keyboard, a mouse, and the like.
  • a computer program is stored in the RAM or hard disk unit. Each device achieves its functions by the microprocessor operating according to the computer program.
  • the computer program is configured by combining a plurality of instruction codes indicating instructions for the computer in order to achieve a predetermined function.
  • the system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on a single chip, and specifically, a computer system including a microprocessor, ROM, RAM, and the like. .
  • a computer program is stored in the RAM.
  • the system LSI achieves its functions by the microprocessor operating according to the computer program.
  • each of the above devices may be constituted by an IC card that can be attached to and detached from each device or a single module.
  • the IC card or the module is a computer system including a microprocessor, a ROM, a RAM, and the like.
  • the IC card or the module may include the super multifunctional LSI described above.
  • the IC card or the module achieves its function by the microprocessor operating according to the computer program. This IC card or this module may have tamper resistance.
  • the present invention may be the method described above. Further, the present invention may be a computer program that realizes these methods by a computer, or may be a digital signal composed of the computer program.
  • the present invention also provides a computer-readable recording medium such as a flexible disk, hard disk, CD-ROM, MO, DVD, DVD-ROM, DVD-RAM, BD (Blu-ray Disc). ), Recorded in a semiconductor memory or the like.
  • the digital signal may be recorded on these recording media.
  • the computer program or the digital signal may be transmitted via an electric communication line, a wireless or wired communication line, a network represented by the Internet, a data broadcast, or the like.
  • the present invention may be a computer system including a microprocessor and a memory, the memory storing the computer program, and the microprocessor operating according to the computer program.
  • the program or the digital signal is recorded on the recording medium and transferred, or the program or the digital signal is transferred via the network or the like, and executed by another independent computer system. It is good. (12) The above embodiment and the above modifications may be combined.
  • Each device that constitutes the present invention is used in various industrial fields that require processing such as authentication, identification, and prevention of repudiation when performing processing such as authentication, identification, and prevention of repudiation.
  • it can be used and manufactured continuously and repeatedly.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Algebra (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

　ＮＴＲＵＳｉｇｎ方式において、複数の署名文（メッセージデータと署名の対）を解析することにより秘密鍵を求める転写攻撃（ｔａｎｓｃｒｉｐｔ　ａｔｔａｃｋ）に対抗することができる署名生成装置及び署名検証装置を提供する。署名生成装置は、メッセージデータのハッシュ値ベクトルＨを算出し、メッセージデータのハッシュ値ベクトルＨに、秘密の分布に基づくベクトルを加算して、変換ハッシュ値ベクトルＨ’を算出し、秘密鍵基底ベクトルにより定まる格子において、変換ハッシュ値ベクトルＨ’に最近接する格子点を求めて、署名ベクトルＳとする。署名検証装置は、メッセージデータのハッシュ値ベクトルＨと署名ベクトルＳとの距離がＬ’以内か判断し、Ｌ’以内のとき、メッセージデータを正当と認める。

Description

署名及び検証方法、署名生成装置並びに署名検証装置
　本発明は、情報セキュリティ技術としての暗号技術に関し、特に、デジタル署名及びその検証に関する。
　送信装置から受信装置へデータを送信する際に、送信者を特定し、またデータの改ざんを検出又は防止するため、公開鍵暗号の一種であるデジタル署名方式が用いられる。
　ここで、デジタル署名方式とは、送信装置が、送信したいデータに対し、送信装置の私有鍵（秘密鍵）を用いて署名データを作成し、送信したいデータと共に署名データを受信装置へ送信し、受信装置は、送信装置の公開鍵を用いて署名データを検証し、改ざんされているか否かを判定する方法である。（例えば、非特許文献１参照）。ここで、公開鍵から私有鍵の値を計算することは困難であるので、不正者が送信装置になりすまして、偽造した署名データを作成することはできない。
　このような公開鍵暗号システムとしては、比較的短く容易に作成される鍵を比較的高速の暗号化プロセスおよび復号プロセスと組み合わせることが望ましく、特許文献１は、鍵長が他の一般的な公開鍵暗号システムの鍵長に匹敵する鍵を、ベクトルの大きな集合からほぼ無作為に選択することを可能にし、適切なセキュリティ・レベルを備える公開鍵暗号システムを開示している。
　また、高速処理が可能な公開鍵暗号として、ＮＴＲＵ（エヌティーアールユー・クリプトシステムズ・インコーポレーテッドの登録商標）暗号が提案されている（例えば、非特許文献２参照）。このＮＴＲＵ暗号は、ある法の下でべき乗剰余演算を行うＲＳＡ暗号や楕円曲線上の点のスカラ倍演算を行う楕円曲線暗号に比べ、高速な演算が可能な多項式演算を用いて暗号化と復号化を行うので、従来の公開鍵暗号よりも高速に処理することが可能で、ソフトウェアによる処理によっても、実用的な時間で処理可能である。従って、公開鍵暗号にＮＴＲＵ暗号を用いた暗号通信システムでは、従来の公開鍵暗号を用いた暗号通信システムよりも、送信装置及び受信装置の処理が高速に行えるという利点がある。
　なお、ＮＴＲＵ暗号は高速処理が可能であるだけでなく、その安全性のベースとなる計算量的に困難な問題も、ＲＳＡ暗号や楕円曲線暗号とは異なる。ＲＳＡ暗号は、素因数分解問題を安全性のベースにしており、楕円曲線暗号は、楕円曲線上の離散対数問題を安全性のベースにしている。一方、ＮＴＲＵ暗号は、格子と呼ばれるベクトルの集合に対する最小ベクトル問題または最近傍問題を安全性のベースにしている。
　上記で提案されたＮＴＲＵ暗号は、データを秘密にするために、データを暗号化する守秘暗号方式であるが、その後、ＮＴＲＵ暗号のデジタル署名方式が提案されている（非特許文献３参照）。このデジタル署名方式については解読法の出現などで、方式が幾度か変更された。以下では、ＮＴＲＵＳｉｇｎと呼ばれるデジタル署名方式について簡単に説明する（詳細については、特許文献２及び非特許文献４参照）。
＜ＮＴＲＵＳｉｇｎ署名方式＞
（１）ＮＴＲＵＳｉｇｎ署名方式のシステムパラメタ
　ＮＴＲＵＳｉｇｎ署名方式では、非負整数のパラメタであるＮ，ｑ，ｄｆ，ｄｇ，Ｎｏｒｍｂｏｕｎｄが存在する。以下に、これらのパラメタの意味を説明する。
　（ｉ）パラメタＮ
　ＮＴＲＵＳｉｇｎ署名方式は、多項式の演算により署名生成及び署名検証を行うデジタル署名方式である。パラメタＮは、ＮＴＲＵＳｉｇｎ署名方式で扱う多項式の次数を決める。
　ＮＴＲＵＳｉｇｎ署名方式で扱う多項式は、パラメタＮに対し、Ｎ－１次以下の整数係数多項式である。Ｎ＝５のとき、例えば、多項式Ｘ＾４＋Ｘ＾３＋１である。なお、本明細書において、「Ｘ＾ａ」は、Ｘのａ乗を意味することとする。また、ＮＴＲＵＳｉｇｎ署名方式において用いられる公開鍵ｈ及び署名ｓは、いずれも、Ｎ－１次以下の多項式として表現される。また、秘密鍵は、４つのＮ－１次以下の多項式対（ｆ，ｇ，Ｆ，Ｇ）である。すなわち、ｆ，ｇ，Ｆ，Ｇは、いずれもＮ－１次以下の多項式である。なお、以下では、４つ組（ｆ，ｇ，Ｆ，Ｇ）を２つの対（ｆ，ｇ），（Ｆ，Ｇ）のさらなる対と捉えて、｛（ｆ，ｇ），（Ｆ，Ｇ）｝と表記する場合もある。
　次に、ＮＴＲＵＳｉｇｎ署名方式における多項式演算では、パラメタＮに対し、Ｘ＾Ｎ＝１という関係式を用いて、演算結果が常にＮ－１次以下の多項式になるように演算される。例えば、Ｎ＝５の場合、多項式Ｘ＾４＋Ｘ＾２＋１と多項式Ｘ＾３＋Ｘの積は、多項式と多項式の積を「×」、整数と多項式の積（あるいは整数と整数の積）を「・」を用いて表現すると、Ｘ＾５＝１という関係があるので、
　　（Ｘ＾４＋Ｘ＾２＋１）×（Ｘ＾３＋Ｘ）
　　　＝Ｘ＾７＋２・Ｘ＾５＋２・Ｘ＾３＋Ｘ
　　　＝Ｘ＾２・１＋２・１＋２・Ｘ＾３＋Ｘ
　　　＝２・Ｘ＾３＋Ｘ＾２＋Ｘ＋２
のように、常にＮ－１次以下の多項式になるように演算される。
　なお、ＮＴＲＵＳｉｇｎ署名方式では、Ｎ－１次の多項式ａ＝ａ＿０＋ａ＿１・Ｘ＋ａ＿２・Ｘ＾２＋…＋ａ＿（Ｎ－１）・Ｘ＾（Ｎ－１）を、ベクトル（ａ＿０，ａ＿１，ａ＿２，…，ａ＿（Ｎ－１））と同一視して表現する。ここで、ａ＿０，ａ＿１，ａ＿２，…，ａ＿（Ｎ－１）は、それぞれ、多項式ａの係数であり、整数である。
　（ｉｉ）パラメタｑ
　ＮＴＲＵＳｉｇｎ署名方式では、値「２」以上の整数であるパラメタｑを用いる。ＮＴＲＵＳｉｇｎ署名方式で出現する多項式の係数については、ｑを法とした剰余を取るように演算する。
　（ｉｉｉ）パラメタｄｆ，ｄｇ
　ＮＴＲＵＳｉｇｎ署名方式で扱う秘密鍵の一部である多項式ｆ及び多項式ｇの選び方は、それぞれパラメタｄｆ，ｄｇにより決まる。ここで、多項式ｇは、公開鍵である多項式ｈを生成するときに、多項式ｆと共に用いられる。
　多項式ｆについては、そのＮ個の係数のうち、ｄｆ個の係数がそれぞれ値「１」であり、かつ他の係数がそれぞれ値「０」となるように選ばれる。すなわち、多項式ｆは、Ｎ－１次以下の多項式であり、０次（定数項）からＮ－１次まで、Ｎ個の係数を有する。このＮ個の係数のうち、ｄｆ個の係数が値「１」であり、かつ（Ｎ－ｄｆ）個の係数が値「０」となるように選ばれる。
　同様に、多項式ｇは、Ｎ－１次以下の多項式であり、多項式ｇについては、そのＮ個の係数のうち、ｄｇ個の係数がそれぞれ値「１」であり、かつ他の係数がそれぞれ値「０」となるように選ばれる。
　（ｉｖ）パラメタＮｏｒｍｂｏｕｎｄ
　ＮＴＲＵＳｉｇｎ署名方式では、後述するが、「署名ｓから作られる２・Ｎ次元のベクトル」と「メッセージデータに対するハッシュ値である２・Ｎ次元のベクトル」との距離を計算し、計算された距離により、正しい署名であるかを判定する。Ｎｏｒｍｂｏｕｎｄは、この判定の際に使用されるしきい値である。すなわち、計算された距離がＮｏｒｍｂｏｕｎｄ未満（距離＜Ｎｏｒｍｂｏｕｎｄ）であれば、正しい署名として受理する。一方、計算された距離がＮｏｒｍｂｏｕｎｄ以上（距離≧Ｎｏｒｍｂｏｕｎｄ）であれば、正しくない署名とし拒否する。
　非特許文献４には、ＮＴＲＵＳｉｇｎ署名方式のパラメタの例として、（Ｎ，ｑ，ｄｆ，ｄｇ，Ｎｏｒｍｂｏｕｎｄ）＝（２５１，１２８，７３，７１，３１０）が挙げられている。
（２）メッセージデータのハッシュ値、ノルム及びベクトル間の距離
　ＮＴＲＵＳｉｇｎ署名方式では、メッセージデータのハッシュ値に対する署名を作成する。メッセージデータのハッシュ値は、Ｎ次の多項式の対であり、２・Ｎ次元のベクトルとして表現される。メッセージデータからハッシュ値を求めるハッシュ関数については、非特許文献１に詳しく説明されている。
　ＮＴＲＵＳｉｇｎ署名方式では、署名検証にベクトルの距離を用いる。以下にその定義を示す。
　多項式ａ＝ａ＿０＋ａ＿１・Ｘ＋ａ＿２・Ｘ＾２＋…＋ａ＿（Ｎ－１）・Ｘ＾（Ｎ－１）のノルム｜｜ａ｜｜を以下のように定義する。
　｜｜ａ｜｜＝ｓｑｒｔ（（ａ＿０－μ）＾２＋（ａ＿１－μ）＾２＋…＋（ａ＿（Ｎ－１）－μ）＾２）
　μ＝（１／Ｎ）・（ａ＿０＋ａ＿１＋ａ＿２＋…＋ａ＿（Ｎ－１））
　ここで、ｓｑｒｔ（ｘ）はｘの平方根を示す。
　また、多項式ａ，ｂの対（ａ，ｂ）のノルム｜｜（ａ，ｂ）｜｜を以下のように定義する。
　｜｜（ａ，ｂ）｜｜＝ｓｑｒｔ（｜｜ａ｜｜＾２＋｜｜ｂ｜｜＾２）
　多項式ａ，ｂの対（ａ，ｂ）とｃ，ｄの対（ｃ，ｄ）との距離は、｜｜（ｃ－ａ，ｄ－ｂ）｜｜で定義される。
（３）ＮＴＲＵＳｉｇｎ署名方式の鍵生成
　ＮＴＲＵＳｉｇｎ署名方式では、上述したように、パラメタｄｆ，ｄｇを用いてランダムに多項式ｆ，多項式ｇを生成する。そして非特許文献４に記載の通り、Ｆｑ×ｆ＝１（ｍｏｄ　ｑ）となる多項式Ｆｑを用いて、
　　　ｈ＝Ｆｑ×ｇ（ｍｏｄ　ｑ）
により、多項式ｈを生成する。さらに、以下の式を満たすようなノルムが小さい多項式Ｆ，Ｇを求める。
　ｆ×Ｇ－ｇ×Ｆ＝ｑ
　ここで、｛（ｆ，ｇ），（Ｆ，Ｇ）｝は、秘密鍵であり、ｈは、公開鍵である。秘密鍵は、署名を生成するための鍵であり、署名生成鍵とも呼ばれる。また、公開鍵は、署名を検証するための鍵であり、署名検証鍵とも呼ばれる。
　ここで、ｘ＝ｙ（ｍｏｄ　ｑ）においては、次のような演算を行う。つまり、ｉ（ｉ＝０、１、２、・・・、Ｎ－１）について、多項式ｙの第ｉ次の係数を、剰余が０からｑ－１の範囲に収まるように、法ｑで割り、剰余を求め、求められた剰余を、多項式ｘの第ｉ次の係数とする。すなわち、多項式ｙの各係数を、０から（ｑ－１）の範囲に収まるようにｍｏｄ　ｑ演算し、得られた多項式を、多項式ｘとする。
（４）ＮＴＲＵＳｉｇｎ署名方式の署名生成
　ＮＴＲＵＳｉｇｎ署名方式の署名生成においては、送信すべきメッセージデータのハッシュ値ベクトルを算出し、その最近傍格子点を署名ベクトルとする。Ｌｓｅｃ座標系での係数を整数に丸めることにより、容易に最近傍格子点が得られる。
　以下に、ＮＴＲＵＳｉｇｎ署名方式の署名生成の詳細について説明する。
　ＮＴＲＵＳｉｇｎ署名方式の署名生成では、以下に示すようにして、署名対象であるメッセージデータｍの署名ｓを計算する。
　まず、メッセージデータｍに対するハッシュ値である２・Ｎ次元のベクトル（ｍ１，ｍ２）（ｍ１及びｍ２は、それぞれ、Ｎ次多項式）を計算する。
　次に、この２・Ｎ次元のベクトル（ｍ１，ｍ２）と秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝とを用いて、以下の式を満たす多項式ａ，ｂ，Ａ，Ｂを計算する。
　Ｇ×ｍ１－Ｆ×ｍ２＝Ａ＋ｑ×Ｂ
　－ｇ×ｍ１＋ｆ×ｍ２＝ａ＋ｑ×ｂ
　ここで、Ａ，ａの係数は、〈－ｑ／２〉＋１から〈ｑ／２〉の範囲に収まるように法ｑで割ったときの剰余である。すなわち、法ｑで割ったときの剰余が〈ｑ／２〉からｑ－１である場合は、ｑだけ減算して、上記範囲に収まるよう調整する。ここで、〈ｘ〉は、ｘ以下の数の中で最も大きい数を示す。例えば、〈－１／２〉＝－１である。
　次に、以下の式より、ｓ，ｔを計算し、ｓを署名として出力する。
　ｓ＝ｆ×Ｂ＋Ｆ×ｂ　（ｍｏｄ　ｑ）
　ｔ＝ｇ×Ｂ＋Ｇ×ｂ　（ｍｏｄ　ｑ）
（５）ＮＴＲＵＳｉｇｎ署名方式の署名検証
　ＮＴＲＵＳｉｇｎ署名方式の署名検証では、以下に示すようにして、署名ｓが署名対象であるメッセージデータｍに対して正しいかどうかを検証する。
　まず、メッセージデータｍに対するハッシュ値である２・Ｎ次元のベクトル（ｍ１，ｍ２）を計算する。
　次に、公開鍵ｈを用いて、以下の式より、多項式ｔを計算する。
　ｔ＝ｓ×ｈ　（ｍｏｄ　ｑ）
　さらに、２・Ｎ次元ベクトル（ｓ，ｔ）と２・Ｎ次元ベクトル（ｍ１，ｍ２）との距離を求め、Ｎｏｒｍｂｏｕｎｄ未満であるかをチェックする。Ｎｏｒｍｂｏｕｎｄ未満であれば、署名ｓは正しいと判定して署名ｓを受理する。Ｎｏｒｍｂｏｕｎｄ以上であれば、署名ｓは不正と判定して署名ｓを拒否する。
　このように、ＮＴＲＵＳｉｇｎ署名方式の署名検証では、署名ベクトルがハッシュ値ベクトルに十分近ければ、正しい署名と決定する。
＜安全性のベースとしての格子の問題＞
　ＮＴＲＵＳｉｇｎ署名方式は、格子の問題を安全性のベースとしている。以下では、それについて説明する。
　ＮＴＲＵＳｉｇｎ署名方式では、秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝から得られる
　　　（ｆ×α，ｇ×α）＋（Ｆ×β，Ｇ×β）
の２・Ｎ次元ベクトル全体を格子（格子Ｌｓｅｃ）として捉える。ここで、α，βは任意の多項式である。そのとき、秘密鍵における（ｆ，ｇ），（Ｆ，Ｇ）を格子の基底（ベクトル）と呼ぶ。図２０（ａ）には、この２・Ｎ次元ベクトル全体を格子（格子Ｌｓｅｃ）として捉える場合におけるＬｓｅｃ座標系を図示している。
　一方、公開鍵ｈと「１」とからなる（１，ｈ），「０」とｑとからなる（０，ｑ）を基底としたときの
　　　（１×α’，ｈ×α’）＋（０，ｑ×β’）
の２・Ｎ次元ベクトル全体も格子（格子Ｌｐｕｂ）として捉える。ここで、α’，β’は任意の多項式である。図２０（ｂ）には、この２・Ｎ次元ベクトル全体を格子（格子Ｌｐｕｂ）として捉える場合におけるＬｐｕｂ座標系を図示している。
　署名検証では、署名ベクトルである２・Ｎ次元ベクトル（ｓ，ｔ）８２２と、メッセージデータから得られたハッシュ値ベクトルである２・Ｎ次元ベクトル（ｍ１，ｍ２）８２１との距離を求め、Ｎｏｒｍｂｏｕｎｄ未満であるかをチェックしている。言い換えると、図２０（ｂ）に示すように、２・Ｎ次元ベクトル（ｓ，ｔ）８２２を中心とする半径Ｎｏｒｍｂｏｕｎｄの超球８２３内に、２・Ｎ次元ベクトル（ｍ１，ｍ２）８２１が存在しているかどうかをチェックしている。超球８２３内に存在する場合には、署名検証に成功したと決定する。超球８２３内に存在しない場合には、署名検証に失敗したと決定する。
　ここで、格子Ｌｓｅｃと格子Ｌｐｕｂは、同じベクトル全体を示している。しかし、格子Ｌｓｅｃを構成するための基底ベクトル（秘密鍵基底ベクトルと呼ぶ）のノルムは、格子Ｌｐｕｂを構成するための基底ベクトル（公開鍵基底ベクトルと呼ぶ）のノルムより、非常に小さい。一般に大きいノルムを持つ基底ベクトルから、最も小さいノルムを持つ基底ベクトルを求める問題（最小基底ベクトル問題と呼ぶ）は、困難である。したがって、公開鍵基底ベクトルから秘密鍵基底ベクトルを求めることも困難であり、これが鍵に対する安全性のベースとなる。このようなベースにより、秘密鍵から公開鍵を取得することは、困難であると考えられている。
　図２０（ａ）に示すように、ＮＴＲＵＳｉｇｎ署名方式の署名生成において、メッセージデータのハッシュ値ベクトル８０１　Ｈ（ｍ）＝（ｍ１，ｍ２）に近い格子点のベクトル（最近傍格子点）を、署名ベクトル８００（ｓ，ｔ）としている。このとき、秘密鍵基底８０２（ｆ，ｇ）及び秘密鍵基底８０３（Ｆ，Ｇ）を用いて、その基底に射影して距離が近いものを計算することで、最も近い格子点のベクトルを求めている。
　このように、ＮＴＲＵＳｉｇｎ署名方式では、署名ベクトル（ｓ，ｔ）は、メッセージデータのハッシュ値ベクトル（ｍ１，ｍ２）に最も近い格子点のベクトルとなっている。
　一方、図２０（ｂ）に示すように、Ｌｐｕｂ座標系の公開鍵基底ベクトル８１２（１，ｈ），公開鍵基底ベクトル８１１（０，ｑ）では、基底ベクトルのノルムが大きすぎるため、距離が近いものを計算することが困難になる。
　一般に、距離が最も近い格子ベクトルを計算する問題を、格子の最近傍問題と呼び、ＮＴＲＵＳｉｇｎ署名方式の署名に対する安全性は、この格子の最近傍問題をベースとしている。
　この他に、ＮＴＲＵＳｉｇｎ署名方式のように、鍵に対しては格子の最小基底ベクトル問題、署名に対しては格子の最近傍問題を安全性のベースとする署名方式として、ＧＧＨ署名方式が知られている（非特許文献６参照）。
特表２０００－５１６７３３、“公開鍵暗号システム方法および装置” ＷＯ２００３０５０９９８、“Ｓｉｇｎｉｎｇ　ａｎｄ　ｖｅｒｉｆｙｉｎｇ　ｄｉｇｉｔａｌ　ｄｏｃｕｍｅｎｔ　ｕｓｉｎｇ　ＮＴＲＵ　ｏｒ　ｃｏｎｖｏｌｕｔｉｏｎ　ｍｏｄｕｌａｒ　ｌａｔｔｉｃ　ｖｅｃｔｏｒ　ｃｒｙｐｏｔｇｒａｐｈｉｃ　ｓｙｓｔｅｍ” 岡本龍明、山本博資、「現代暗号」、産業図書（１９９７年） Ｊ．Ｈｏｆｆｓｔｅｉｎ，　Ｊ．Ｐｉｐｈｅｒ，　ａｎｄ　Ｊ．Ｈ．　Ｓｉｌｖｅｒｍａｎ，　"ＮＴＲＵ：　Ａ　ｒｉｎｇ　ｂａｓｅｄ　ｐｕｂｌｉｃ　ｋｅｙ　ｃｒｙｐｔｏｓｙｓｔｅｍ"，　Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，　１４２３，　ｐｐ．２６７－２８８，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，　１９９８． Ｊ．Ｈｏｆｆｓｔｅｉｎ，　Ｊ．Ｐｉｐｈｅｒ　ａｎｄ　Ｊ．Ｓｉｌｖｅｒｍａｎ，　"ＮＳＳ：　Ａｎ　ＮＴＲＵ　Ｌａｔｔｉｃｅ－Ｂａｓｅｄ　Ｓｉｇｎａｔｕｒｅ　Ｓｃｈｅｍｅ，"　Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｐｌｏｇｙ－Ｅｕｒｏｃｒｙｐｔ　’０１，　ＬＮＣＳ，　Ｖｏｌ．２０４５，　ｐｐ．１２３－１３７，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，　２００１ Ｊ．Ｈｏｆｆｓｔｅｉｎ，　Ｎ．Ｇｒａｈａｍ，　Ｊ．Ｐｉｐｈｅｒ，　Ｊ．Ｓｉｌｖｅｒｍａｎ　ａｎｄ　Ｗ．Ｗｈｙｔｅ，　"ＮＴＲＵＳｉｇｎ：　Ｄｉｇｉｔａｌ　Ｓｉｇｎａｔｕｒｅｓ　Ｕｓｉｎｇ　ｔｈｅ　ＮＴＲＵ　Ｌａｔｔｉｃｅ，"　ＣＴ－ＲＳＡ’０３，　ＬＮＣＳ，　Ｖｏｌ．２６１２，　ｐｐ．１２２－１４０，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，　２００３ "Ｅｆｆｉｃｉｅｎｔ　Ｅｍｂｅｄｄｅｄ　Ｓｅｃｕｒｉｔｙ　Ｓｔａｎｄａｒｄｓ　（ＥＥＳＳ）　ＥＥＳＳ　＃１：　Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　Ａｓｐｅｃｔｓ　ｏｆ　ＮＴＲＵＥｎｃｒｙｐｔ　ａｎｄ　ＮＴＲＵＳｉｇｎ"，　Ｖｅｒ２．０，　Ｊｕｎｅ　２０ｔｈ，　２００３ Ｏ．Ｇｏｌｄｒｅｉｃｈ，　Ｓ．Ｇｏｌｄｗａｓｓｅｒ　ａｎｄ　Ｓ．Ｈａｌｅｖｉ　"Ｐｕｂｌｉｃ－ｋｅｙ　ｃｒｙｐｔｏｇｒａｐｈｙ　ｆｒｏｍ　ｌａｔｔｉｃｅ　ｒｅｄｕｃｔｉｏｎ　ｐｒｏｂｌｅｍｓ，"　Ｉｎ　Ｐｒｏｃ．　ＣＲＹＰＴＯ　’９７，　ＬＮＣＳ，　Ｖｏｌ．１２９４，　ｐｐ．１１２－１３１，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，　１９９７
　上述したＮＴＲＵＳｉｇｎ署名方式に対しては、転写攻撃（Ｔｒａｎｓｃｒｉｐｔ　ａｔｔａｃｋ）と呼ばれる攻撃がある。転写攻撃は、複数の署名文（メッセージデータと署名の対）から秘密鍵を求める攻撃である。以下に、転写攻撃について、簡単に説明する（詳細は、非特許文献４を参照）。
　転写攻撃は、複数の署名ｓと、メッセージデータのハッシュ値（ｍ１，ｍ２）の一部ｍ１との差分ｍ１－ｓが
　 ｍ１－ｓ＝ｅ１×ｆ＋ｅ２×Ｆ
（ここで、ｅ１，ｅ２は、それぞれ、その係数が－１／２から１／２の範囲に入る多項式である）
となることを利用しており、差分ｍ１－ｓの２次モーメント及び４次モーメントの平均値を算出することにより、秘密鍵の一部であるｆ，Ｆを求める。
　ここで、多項式ａの２次モーメントａ～２とは、
　ａ＝ａ＿０＋ａ＿１・Ｘ＋ａ＿２・Ｘ＾２＋…＋ａ＿（Ｎ－２）・Ｘ＾（Ｎ－２）＋ａ＿（Ｎ－１）・Ｘ＾（Ｎ－１）と
　ａの相反ａ＊＝ａ＿０＋ａ＿（Ｎ－１）・Ｘ＋ａ＿（Ｎ－２）・Ｘ＾２＋…＋ａ＿２・Ｘ＾（Ｎ－２）＋ａ＿１・Ｘ＾（Ｎ－１）と
　の積ａ～２＝ａ×ａ＊である。
　また、４次モーメントａ～４は、ａ～２の２乗、すなわち、ａ～４＝ａ～２×ａ～２である。
　（ｍ１－ｓの２次モーメント）＝（ｅ１×ｆ＋ｅ２×Ｆ）×（ｅ１＊×ｆ＊＋ｅ２＊×Ｆ＊）＝ｅ１～×ｆ～＋ｅ２～×Ｆ～＋ｅ１×ｆ×ｅ２＊×Ｆ＊＋ｅ２×Ｆ×ｅ１＊×ｆ＊　
　署名文の個数が増大すると、ｍ１－ｓの２次モーメントの平均に含まれるｅ１～，ｅ２～はある一定値ｋ１，ｋ２に収束し、上記の式のｅ１×ｆ×ｅ２＊×Ｆ＊とｅ２×Ｆ×ｅ１＊×ｆ＊は０に近づく。したがって、署名文の個数が大きい場合、ｍ１－ｓの２次モーメントの平均は、ｋ１×ｆ～＋ｋ２×Ｆ～にほぼ等しくなる。さらに４次モーメントの平均でも、同様にｆ及びＦに関連する情報を得られ、両方の情報からｆを求めることが可能になる。
　非特許文献４によると、２次モーメント及び４次モーメントの平均から秘密鍵に関する情報が得られるために必要な署名文の個数はそれぞれ１０＾４、１０＾８である。したがって、ＮＴＲＵＳｉｇｎ署名方式の転写攻撃を成功させるためには、１０＾８個以上の署名文が必要と考えられている。なお、転写攻撃は、格子の問題を安全性のベースとする他の署名方式（例えば、ＧＧＨ署名方式）でも同様に起こりうる。
　上記の問題を解決するために、本発明は、上述した転写攻撃に対抗することができる署名及び検証方法、署名生成装置、署名検証装置、署名生成方法、並びに、署名生成のためのコンピュータプログラムを記録している記録媒体を提供する。
　上記目的を達成するために、本発明の一実施態様である方法は、データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに署名し、検証する方法であって、対象データを取得する取得ステップと、第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成する変換ステップと、秘密鍵ベクトルを基底ベクトルとして定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名ステップと、公開鍵ベクトルと前記署名データとを用いて、前記署名ベクトルを復元し、前記対象データによるベクトルと復元された前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証する検証ステップと、第２サイズ以下であるとき、検証が成功したことを示す成功情報を出力する出力ステップとを含むことを特徴とする。
　この方法によると、転写攻撃をする者が、送信される対象データ及び署名データの対を収集して解析しても、署名データは、第１サイズより小さい秘密の攪乱ベクトルを用いて、前記対象データを変換して生成された変換ベクトルに対して生成されているので、転写攻撃をする者は、署名の際に用いた秘密鍵を求めることが計算量上困難であるという優れた効果を奏する。また、署名データの検証において、前記対象データによるベクトルと前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証し、第２サイズ以下であるとき、検証が成功したとみなすので、署名データの検証を行うことができる。
　この署名及び検証方法によると、転写攻撃を防ぐことができ、その価値は大きい。
本発明に係る１個の実施の形態としてのデジタル署名システム１０の構成を示すブロック図である。 一様な分布の一例を示す図である。 分布テーブル４１０のデータ構造を示す。 一様でない分布の一例を示す図である。 分布テーブル４５０のデータ構造を示す。 改良ＮＴＲＵＳｉｇｎ署名方式の署名生成処理を示す図である。 改良ＮＴＲＵＳｉｇｎ署名方式の署名検証処理を示す図である。 署名生成装置１００の構成を示すブロック図である。 署名生成装置１００が有する公開鍵証明書格納部１０３、秘密鍵格納部１０２及びシステムパラメタ格納部１０６に記録されているデータを示す。 署名生成部１０４の構成を示すブロック図である。 署名検証装置２００の構成を示すブロック図である。 署名検証装置２００が有するＣＡ公開鍵格納部２０２、署名データセット格納部２０３及びシステムパラメタ格納部２０５に記録されているデータを示す。 署名検証部２０４の構成を示すブロック図である。 鍵生成装置３００の構成を示すブロック図である。 鍵生成装置３００が有する証明書生成鍵格納部３０４及びシステムパラメタ格納部３０６に記録されているデータを示す。 デジタル署名システム１０の動作を示すフローチャートである。 署名生成装置１００の動作を示すフローチャートである。 署名検証装置２００における署名検証の動作を示すフローチャートである。 鍵生成装置１３００の動作を示すフローチャートである。 従来のＮＴＲＵＳｉｇｎ署名方式を示す図である。（ａ）は、２・Ｎ次元ベクトル全体を格子（格子Ｌｓｅｃ）として捉える場合におけるＬｓｅｃ座標系を図示している。（ｂ）は、２・Ｎ次元ベクトル全体を格子（格子Ｌｐｕｂ）として捉える場合におけるＬｐｕｂ座標系を図示している。 分布テーブル６１０のデータ構造を示す。 分布テーブル６５０のデータ構造を示す。
符号の説明
　　１０　　　　　デジタル署名システム
　　２０　　　　　通信路
　　１００　　　　署名生成装置
　　２００　　　　署名検証装置
　　３００　　　　鍵生成装置
　　１０１　　　　送信部
　　１０２　　　　秘密鍵格納部
　　１０３　　　　公開鍵証明書格納部
　　１０４　　　　署名生成部
　　１０５　　　　署名データセット生成部
　　１０６　　　　システムパラメタ格納部
　　１１１　　　　ハッシュ値計算部
　　１１２　　　　ベクトル生成部
　　１１３　　　　ハッシュ値変換部
　　１１４　　　　署名生成部
　　１１５　　　　署名確認部
　　１１６　　　　ベクトル群選択格納部
　　２０１　　　　受信部
　　２０２　　　　ＣＡ公開鍵格納部
　　２０３　　　　署名データセット格納部
　　２０４　　　　署名検証部
　　２０５　　　　システムパラメタ格納部
　　２１１　　　　ハッシュ値計算部
　　２１２　　　　署名ベクトル生成部
　　２１３　　　　距離判定部
　　３０１　　　　分布生成部
　　３０２　　　　鍵生成部
　　３０３　　　　証明書生成部
　　３０４　　　　証明書生成鍵格納部
　　３０５　　　　鍵設定部
　　３０６　　　　システムパラメタ格納部
　請求項１に記載の態様である方法は、データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに署名し、検証する方法であって、対象データを取得する取得ステップと、第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成する変換ステップと、秘密鍵ベクトルを基底ベクトルとして定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名ステップと、公開鍵ベクトルと前記署名データとを用いて、前記署名ベクトルを復元し、前記対象データによるベクトルと復元された前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証する検証ステップと、第２サイズ以下であるとき、検証が成功したことを示す成功情報を出力する出力ステップとを含むことを特徴とする。
　また、請求項２に記載の態様である署名生成装置は、データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに対する署名データを生成する署名生成装置であって、対象データを取得する取得手段と、秘密鍵ベクトルを秘密に記憶している秘密記憶手段と、第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成するデータ変換手段と、秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名生成手段と、前記対象データと生成した署名データとを出力する出力手段とを備えることを特徴とする。
　この構成によると、転写攻撃をする者が、送信される対象データ及び署名データの対を収集して解析しても、署名データは、第１サイズより小さい秘密の攪乱ベクトルを用いて、前記対象データを変換して生成された変換ベクトルに対して生成されているので、転写攻撃をする者は、署名の際に用いた秘密鍵を求めることが計算量上困難であるという優れた効果を奏する。
　また、請求項３に記載の態様である署名生成装置において、前記秘密記憶手段は、さらに、前記第１サイズより小さい複数の候補ベクトルが属する範囲を示す分布を記憶しており、前記データ変換手段は、前記分布により示される範囲に属する前記候補ベクトルから、１の候補ベクトルを選択して前記攪乱ベクトルとすることを特徴とする。
　この構成によると、署名生成の都度、複数の候補ベクトルから１の候補ベクトルが選択されて攪乱ベクトルとされるので、用いられる攪乱ベクトルの取り得る範囲が広がり、攻撃をする者に対して、秘密鍵を求めることをさらに困難にすることができる。
　また、請求項４に記載の態様である署名生成装置において、前記秘密記憶手段は、耐タンパ性を有し、前記秘密鍵及び前記分布は、外部から知られないように、秘密に保護されていることを特徴とする。
　この構成によると、選択される攪乱ベクトルが秘密に保持されているので、秘密鍵を求めることを困難にすることができる。
　また、請求項５に記載の態様である署名生成装置において、前記秘密記憶手段に記憶されている前記分布により示される範囲において、複数の候補ベクトルは、選択される確率が一様でないように、配置されており、前記データ変換手段は、前記確率に従って、１の前記候補データを選択して前記攪乱ベクトルとするを特徴とする。
　この構成によると、署名生成の都度、用いられる攪乱ベクトルの取り得る範囲が広がり、攻撃をする者に対して、秘密鍵を求めることをさらに困難にすることができる。
　また、請求項６に記載の態様である署名生成装置において、前記分布により示される範囲は、複数の領域を有し、各領域に対して当該領域の選択確率が予め定められ、前記複数の領域のそれぞれにおいて、複数の候補ベクトルが配置され、前記データ変換手段は、前記選択確率に基づいて１の領域を選択し、選択した前記領域から１の前記候補ベクトルを選択して前記攪乱ベクトルとするを特徴とする。
　また、請求項７に記載の態様である署名生成装置において、前記データ変換手段は、前記分布により示される範囲に属する前記候補ベクトルから、１の候補ベクトルを選択して、前記攪乱ベクトルとするベクトル生成部と、前記対象データに基づくベクトルに、前記攪乱ベクトルを加えることにより、前記変換ベクトルを生成する加算部とを含むことを特徴とする。
　また、請求項８に記載の態様である署名生成装置において、前記ベクトル生成部は、前記分布に基づいて予め選択した複数の候補ベクトルから、ランダムに選択することにより、前記攪乱ベクトルを生成することを特徴とする。
　また、請求項９に記載の態様である署名生成装置において、前記分布は、前記第１サイズを半径とする超球内に含まれることを特徴とする。
　また、請求項１０に記載の態様である署名生成装置は、さらに、前記第１サイズより大きい第２サイズを記憶している公開記憶手段を含み、前記データ変換手段は、さらに、前記対象データによるベクトルと、前記変換ベクトルとの距離を算出し、算出した距離が前記第２サイズ以下でない場合に、第１サイズより小さい秘密の別の攪乱ベクトルを用いて、取得した対象データを変換して、別の変換ベクトルを生成するを特徴とする。
　また、請求項１１に記載の態様である署名生成装置において、前記秘密鍵ベクトルは、加算、減算、乗算と、元のサイズを示すノルムが定義されたＮ次元配列の集合である環Ｒと正整数ｑに対し、前記環Ｒの元ｆ，ｇおよび、ｆ（ｍｏｄ　ｑ）の逆数である元Ｆｑと、ｆ×Ｇ－ｇ×Ｆ＝ｑを満たす（Ｆ，Ｇ）とに基づく、前記元の４つ組（ｆ，ｇ，Ｆ，Ｇ）から得られ、前記公開鍵ベクトルは、前記正整数ｑと前記元ｇおよび前記元Ｆｑの積とｍｏｄ　ｑで合同である元ｈから得られることを特徴とする。
　また、請求項１２に記載の態様である署名検証装置は、データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、署名生成装置により、第１サイズより小さい秘密の攪乱ベクトルを用いて、対象データから変換により前記変換ベクトルが生成され、秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点である署名ベクトルの一部として生成された署名データを検証する署名検証装置であって、前記対象データ及び署名データを取得する取得手段と、公開鍵ベクトルを記憶している記憶手段と、公開鍵ベクトルと前記署名データとを用いて、前記署名ベクトルを復元し、前記対象データによるベクトルと復元された前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証する検証手段と、第２サイズ以下であるとき、検証が成功したことを示す成功情報を出力する出力手段とを備えることを特徴とする。
　この構成によると、署名データの検証において、前記対象データによるベクトルと前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証し、第２サイズ以下であるとき、検証が成功したとみなすので、署名データの検証を行うことができる。
　また、請求項１３に記載の態様である署名生成方法は、データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに対する署名データを生成する署名生成装置において用いられる署名生成方法であって、対象データを取得する取得ステップと、第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成するデータ変換ステップと、秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名生成ステップと、前記対象データと生成した署名データとを出力する出力ステップとを含むことを特徴とする。
　また、請求項１４に記載の態様である記録媒体は、データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに対する署名データを生成するコンピュータにおいて用いられる署名生成用のコンピュータプログラムを記録しているコンピュータ読み取り可能な記録媒体であって、前記コンピュータに、対象データを取得する取得ステップと、第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成するデータ変換ステップと、秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名生成ステップと、前記対象データと生成した署名データとを出力する出力ステップとを実行させる前記コンピュータプログラムを記録している。
　また、請求項１５に記載の態様であるシステムは、データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、署名する署名生成装置及び検証する署名検証装置から構成されるシステムであって、前記署名生成装置は、対象データを取得する取得手段と、秘密鍵ベクトルを秘密に記憶している秘密記憶手段と、第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成するデータ変換手段と、秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名生成手段と、前記対象データと生成した署名データとを出力する出力手段とを備え、前記署名検証装置は、　前記対象データ及び署名データを取得する取得手段と、公開鍵ベクトルを記憶している記憶手段と、公開鍵ベクトルと前記署名データとを用いて、前記署名ベクトルを復元し、前記対象データによるベクトルと復元された前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証する検証手段と、第２サイズ以下であるとき、検証が成功したことを示す成功情報を出力する出力手段とを備えることを特徴とする。
〔実施の形態１〕
　本発明に係る１の実施の形態としてのデジタル署名システム１０について説明する。
　デジタル署名システム１０は、図１に示すように、メッセージ生成装置３０、署名生成装置１００、署名検証装置２００、鍵生成装置３００及びメッセージ受信装置４０から構成され、署名生成装置１００と署名検証装置２００とは、インターネットを代表とする通信路２０を介して接続され、署名生成装置１００と鍵生成装置３００とは、安全性が保証された通信路により接続されることにより、又は他の安全性が保証された手段により、相互に情報が伝達される。
　デジタル署名システム１０においては、メッセージ生成装置３０は、送信すべきメッセージデータｍ（署名の対象データとも呼ぶ。）を生成し、生成したメッセージデータｍを署名生成装置１００へ出力する。次に、ＮＴＲＵＳｉｇｎ署名方式を改良した改良ＮＴＲＵＳｉｇｎ署名方式を用いて、鍵生成装置３００は、鍵生成を行い、署名生成装置１００は、メッセージデータｍに対する署名データＳＤを生成し、通信路２０を介して署名検証装置２００にメッセージデータｍ及び署名データＳＤを含む署名データセットＳＳを送信し、署名検証装置２００は、署名データセットＳＳを受信し、受信した署名データセットＳＳを検証し、検証結果及びメッセージデータｍをメッセージ受信装置４０へ出力する。メッセージ受信装置４０は、検証結果及びメッセージデータｍを受け取り、受信した検証結果により、受信したメッセージデータｍの採否を決定する。
１．改良ＮＴＲＵＳｉｇｎ署名方式
　改良ＮＴＲＵＳｉｇｎ署名方式は、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠としている。最小ベクトル問題(Shortest Vector Problem)は、１の基底ベクトルからその格子に含まれる「最小のベクトル」を求める問題である。近似最小ベクトル問題(Approximate Shortest Vector Problem)は、近似的に最小のベクトル(最小ベクトルではないが、それに近い大きさのベクトル)を求める問題である。
（１）改良ＮＴＲＵＳｉｇｎ署名方式のシステムパラメタ
　改良ＮＴＲＵＳｉｇｎ署名方式においては、従来のＮＴＲＵＳｉｇｎ署名方式と同じ非負整数のパラメタＮ，ｑ，ｄｆ，ｄｇの他に距離Ｌ及びＬ’が存在する。従来のＮＴＲＵＳｉｇｎ署名方式では、検証時にＮｏｒｍｂｏｕｎｄを使用する。これに対して、改良ＮＴＲＵＳｉｇｎ署名方式では、後で説明するように、検証時には、Ｎｏｒｍｂｏｕｎｄの代わりに、距離Ｌ’を使用する。
　以下に、これらのパラメタの意味を説明する。
　（ｉ）パラメタＮ
　改良ＮＴＲＵＳｉｇｎ署名方式は、多項式の演算により署名生成及び署名検証を行うデジタル署名方式である。改良ＮＴＲＵＳｉｇｎ署名方式で扱う多項式の次数は、パラメタＮにより決まる。
　改良ＮＴＲＵＳｉｇｎ署名方式で扱う多項式は、パラメタＮに対し、Ｎ－１次以下の整数係数多項式であり、Ｎ＝５のとき、例えば、多項式Ｘ＾４＋Ｘ＾３＋１である。
　また、公開鍵ｈ、署名ｓは、いずれも、Ｎ－１次以下の多項式として表現される。また、秘密鍵は、４つのＮ－１次以下の多項式対（ｆ，ｇ，Ｆ，Ｇ）である。すなわち、ｆ，ｇ，Ｆ，Ｇは、いずれもＮ－１次以下の多項式である。なお、以下では、４つ組（ｆ，ｇ，Ｆ，Ｇ）を２つの対（ｆ，ｇ），（Ｆ，Ｇ）のさらなる対と捉えて、｛（ｆ，ｇ），（Ｆ，Ｇ）｝と表記する場合もある。
　このように、秘密鍵であるベクトルは、加算、減算、乗算と、元のサイズを示すノルムが定義されたＮ次元配列の集合である環Ｒと正整数ｑに対し、前記環Ｒの元ｆ，ｇおよび、ｆ（ｍｏｄ　ｑ）の逆数である元Ｆｑと、ｆ×Ｇ－ｇ×Ｆ＝ｑを満たす（Ｆ，Ｇ）とに基づく、前記元の４つ組（ｆ，ｇ，Ｆ，Ｇ）から得られる。また、公開鍵であるベクトルは、前記正整数ｑと前記元ｇおよび前記元Ｆｑの積とｍｏｄ　ｑで合同である元ｈから得られる。
　さらに、改良ＮＴＲＵＳｉｇｎ署名方式における多項式演算は、パラメタＮに対し、Ｘ＾Ｎ＝１という関係式を用いて、演算結果が常にＮ－１次以下の多項式になるように演算される。
　なお、改良ＮＴＲＵＳｉｇｎ署名方式では、Ｎ－１次の多項式ａ＝ａ＿０＋ａ＿１・Ｘ＋ａ＿２・Ｘ＾２＋…＋ａ＿（Ｎ－１）・Ｘ＾（Ｎ－１）を、ベクトル（ａ＿０，ａ＿１，ａ＿２，…，ａ＿（Ｎ－１））と同一視して表現する。ａ＿０，ａ＿１，ａ＿２，…，ａ＿（Ｎ－１）は、それぞれ、多項式ａの各項の係数であり、整数である。
　（ｉｉ）パラメタｑ
　改良ＮＴＲＵＳｉｇｎ署名方式では、２以上の整数であるパラメタｑを用いる。改良ＮＴＲＵＳｉｇｎ署名方式で出現する多項式の各係数は、ｑを法とした剰余を取るように演算する。
　（ｉｉｉ）パラメタｄｆ，ｄｇ
　改良ＮＴＲＵＳｉｇｎ署名方式で扱う秘密鍵の一部である多項式ｆ及び多項式ｇの選び方は、それぞれパラメタｄｆ，ｄｇにより決まる。多項式ｇは、公開鍵である多項式ｈを生成するときに、多項式ｆと共に用いられる。
　多項式ｆは、Ｎ個の係数のうち、ｄｆ個の係数が「１」であり、かつ他の係数が「０」となるように選ばれる。すなわち、多項式ｆは、Ｎ－１次以下の多項式であり、０次（定数項）からＮ－１次までのＮ個の項について、それぞれ、１個の係数が存在し、合計でＮ個の係数があるが、これらのＮ個の係数のうち、ｄｆ個の係数が「１」であり、かつ（Ｎ－ｄｆ）個の係数が「０」となるように選ばれる。
　また、同様に、多項式ｇは、ｄｇ個の係数が「１」であり、かつ他の係数が「０」となるように選ばれる。
　（ｉｖ）パラメタＬ（距離）
　パラメタＬ（第１サイズとも呼ぶ。）は、２・Ｎ次元ベクトル空間における超球の半径である。以下において、改良ＮＴＲＵＳｉｇｎ署名方式において加算されるランダムなベクトルの選択と、超球及び分布ηとの関係について説明する。
　改良ＮＴＲＵＳｉｇｎ署名方式では、後述するように、メッセージデータのハッシュ値である２・Ｎ次元のベクトル（ハッシュ値ベクトルと呼ぶ）に対し、ランダムなベクトル（攪乱ベクトルとも呼ぶ。）を加算して、変換ハッシュ値ベクトルを生成する。
　分布ηは、半径Ｌの超球内に含まれるように設定され、ランダムなベクトルは、分布η内に存在する複数のベクトル（候補ベクトルとも呼ぶ。）から等確率でランダムに選択される。したがって、選択されたベクトルのノルムは、Ｌ以下である。
　分布ηの一例を図２に示す。図２は、２・Ｎ次元ベクトル空間を、２次元の紙面上に、模式的に表現したものであり、中心４０６を有し、半径Ｌ（距離４０２）の超球４０１を表現している。超球４０１の内部に、分布４００が存在する。分布４００は、超球４０１内に完全に含まれている。分布４００内に存在する複数のベクトルから、例えば、ベクトル４０３がランダムに選択される。なお、ベクトル４０４が選択されることもあり、ベクトル４０５が選択されることもある。
　分布４００のデータ構造を、図３の分布テーブル４１０に示す。
　分布テーブル４１０は、２・Ｎ次元ベクトル空間において、分布４００が占める空間構造を定めるものであり、２・Ｎ個の限界値ペアを含んで構成されている。２・Ｎ個の限界値ペアは、それぞれ、２・Ｎ次元ベクトルの２・Ｎ個のエレメントに対応している。２・Ｎ個の限界値ペアは、第１グループ及び第２グループから構成され、第１グループは、Ｎ個の限界値ペアを含み、第２グループは、残りのＮ個の限界値ペアを含む。各限界値ペアは、下限値及び上限値を含む。
　２・Ｎ次元ベクトル空間において、２・Ｎ次元ベクトルの２・Ｎ個のエレメントに対応して、各限界値ペアに含まれる下限値以上及び上限値以下の空間が、分布４００が占める空間である。この空間が、超球４０１の内部に含まれるように、各限界値ペアが設定されている。
　分布テーブル４１０の第１グループに含まれる第０番目の限界値ペア内の下限値V1_0_min４１１及び上限値V1_0_max４１２は、それぞれ、一例として、「３」及び「８」であり、第１グループに含まれる第Ｎ－１番目の限界値ペア内の下限値V1_(N-1)_min４１３及び上限値V1_(N-1)_max４１４は、それぞれ、一例として、「２」及び「５」である。また、分布テーブル４１０の第２グループに含まれる第０番目の限界値ペア内の下限値V2_0_min４１５及び上限値V2_0_max４１６は、それぞれ、一例として、「１」及び「６」であり、第２グループに含まれる第Ｎ－１番目の限界値ペア内の下限値V2_(N-1)_min４１７及び上限値V2_(N-1)_max４１８は、それぞれ、一例として、「４」及び「７」である。
　分布テーブル４１０の２・Ｎ個の限界値ペアを用いて、各限界値ペアに含まれる下限値以上かつ上限値以下の値を、確率的に均等に、つまり、一様に、ランダムに選択する。こうして、２・Ｎ個のランダムな値Ｖ１＿０、Ｖ１＿１、Ｖ１＿２、・・・、Ｖ１＿（Ｎ－１）、Ｖ２＿０、Ｖ２＿１、Ｖ２＿２、・・・、Ｖ２＿（Ｎ－１）が選択され、選択された２・Ｎ個のランダムな値の組を上記のランダムに選択されたベクトルＶ（Ｖ１、Ｖ２）とする。
　ここで、Ｖ１＝（Ｖ１＿０、Ｖ１＿１、Ｖ１＿２、・・・、Ｖ１＿（Ｎ－１））
　Ｖ２＝（Ｖ２＿０、Ｖ２＿１、Ｖ２＿２、・・・、Ｖ２＿（Ｎ－１））
　このように、図２は、原点から分布の範囲のいずれかの点に向かうベクトルを選択することを示しており、この分布の例では、分布の範囲で一様で（等確率で）ランダムにベクトルを選択する。
　パラメタＬは、システムパラメタとして公開される。パラメタＬは、一例としてし、Ｌ＝２００である。
　次に、分布ηの別の一例を図４に示す。図４は、図２と同様に、２・Ｎ次元ベクトル空間を、２次元の紙面上に、模式的に表現したものであり、中心４４１を有し、半径Ｌ（距離４４２）の超球４３１を表現している。超球４３１の内部に、分布４３２が存在する。分布４３２は、超球４３１内に完全に含まれている。
　分布４３２は、図４に示すように、その範囲が３分割されており、部分領域Ａ（４３３）、部分領域Ｂ（４３４）及び部分領域Ｃ（４３５）から構成されている。各部分領域に対して、当該部分領域を選択する確率が定められている。部分領域Ａ（４３３）を選択する確率は、１／６であり、部分領域Ｂ（４３４）を選択する確率は、１／２であり、部分領域Ｃ（４３５）を選択する確率は、１／３である。この分布４３２を用いる場合には、まず、部分領域Ａ（４３３）、部分領域Ｂ（４３４）及び部分領域Ｃ（４３５）のいずれかをこれらの確率に依存して選択し、その後、選択した部分領域の範囲でランダムに候補ベクトルからベクトルを選択する。なお、これらの確率の合計は、「１」である。
　１／６＋１／２＋１／３＝１
　このように、分布４３２では、複数の候補ベクトルは、選択される確率が一様でないように、配置されている。
　分布４３２のデータ構造を、図５の分布テーブル４５０に示す。
　分布テーブル４５０は、２・Ｎ次元ベクトル空間において、分布４３２が占める空間構造を定めるものであり、部分テーブルと発生確率との組を複数個含んで構成されている。具体的には、分布テーブル４５０は、部分テーブル４５１と発生確率４５４との組と、部分テーブル４５２と発生確率４５５との組と、部分テーブル４５３と発生確率４５６との組とを含む。３個の部分テーブル４５１、４５２及び４５３は、それぞれ、図４の部分領域Ａ（４３３）、部分領域Ｂ（４３４）及び部分領域Ｃ（４３５）に対応している。各部分テーブルに対応する発生確率は、図４に示す分布４３２の部分領域を選択する確率である。各部分テーブル部は、図３に示す分布テーブル４１０と同様の構造を有しており、それぞれは、２・Ｎ個の限界値ペアを含んで構成されている。
　分布テーブル４５０に含まれる３個の発生確率４５４、４５５及び４５６に依存して、一つの部分テーブルが選択され、選択された部分テーブルが示す範囲内で、ランダムにベクトルを選択する。
　（ｖ）パラメタＬ’（距離）
　改良ＮＴＲＵＳｉｇｎ署名方式では、後述するように、署名ｓから作られる２・Ｎ次元のベクトル（署名ベクトルと呼ぶ）と、ハッシュ値ベクトルとの距離を計算し、この距離により正しい署名であるかを判定する。パラメタＬ’（第２サイズ）は、この判定の際に使用するしきい値である。すなわち、計算された上記距離がＬ’以下であれば、正しい署名として受理し、Ｌ’より大きければ、正しくない署名として拒否する。
　非特許文献４には、従来のＮＴＲＵＳｉｇｎ署名方式のパラメタの例として、（Ｎ，ｑ，ｄｆ，ｄｇ）＝（２５１，１２８，７３，７１）の例が挙げられている。
　改良ＮＴＲＵＳｉｇｎ署名方式においても、同様のパラメタ例を使用してもよい。改良ＮＴＲＵＳｉｇｎ署名方式においては、距離Ｌの超球内のベクトルを選択したときに、ハッシュ値ベクトルと正しく生成した署名ベクトルとの距離がほとんどＬ’となるように調節する。
　例えば、パラメタＬ，Ｌ’は、例えば、（Ｌ，Ｌ’）＝（２００，５００）である。上記の従来のＮＴＲＵＳｉｇｉｎ署名方式のパラメタの例では、Ｎｏｒｍｂｏｕｎｄが３００～３１０であり、この場合にハッシュ値ベクトルと正しく生成した署名ベクトルの距離がほぼＮｏｒｍｂｏｕｎｄ以内になっている。
　これに対して、改良ＮＴＲＵＳｉｇｎ署名方式では、変換ハッシュ値ベクトルと署名ベクトルとの距離がほぼＮｏｒｍｂｏｕｎｄ以内になっている。変換ハッシュ値ベクトルとハッシュ値ベクトルとの差は、ランダムベクトルであり、その距離がＬ以内であるため、Ｌ’をＮｏｒｍｂｏｕｎｄ＋Ｌ程度に設定すればよい。したがって、Ｌを２００とすると、Ｌ’を５００～５１０に設定すればよい。このように、Ｌ’は、Ｌより大きくする。
（２）メッセージデータのハッシュ値、ノルム及びベクトル間の距離
　改良ＮＴＲＵＳｉｇｎ署名方式においても、メッセージデータのハッシュ値に対する署名を作成する。メッセージデータのハッシュ値は、Ｎ次の多項式の対であり、２・Ｎ次元のベクトルと同一視される。ハッシュ関数については、非特許文献１に詳しく説明されている。
　一例として、メッセージデータｍから、３５１４ビット（＝１７５７ビット×２＝７ビット×２５１×２）のハッシュ値が生成されるとする。ここで、Ｎ＝２５１とする。生成された３５１４ビットのハッシュ値を先頭から、７ビットずつに区切ると、合計で、２５１×２＝５０２個のビット列ができ、これらの５０２個ビット列を、Ｎ（＝２５１）次の多項式の対の各係数とする。
　ここで、３５１４ビットのハッシュ値を（Bit1-1,Bit1-2,Bit1-3,・・・Bit1-251),(Bit2-1,Bit2-2,Bit2-3,・・・Bit2-251)とし、メッセージデータｍに対するハッシュ値である２・Ｎ次元のベクトルＨ＝（ｍ１，ｍ２）（ｍ１及びｍ２はＮ次多項式）とすると、Ｎ次多項式ｍ１の係数は、（Bit1-1,Bit1-2,Bit1-3,・・・Bit1-251)であり、Ｎ次多項式ｍ２の係数は、(Bit2-1,Bit2-2,Bit2-3,・・・Bit2-251)である。ここで、Biti-j(i=1,2、j=1,2,3,・・・,251)は、7ビットの長さである。
　改良ＮＴＲＵＳｉｇｎ署名方式においても、従来のＮＴＲＵＳｉｇｎ署名方式と同様のベクトルの距離を用いる。以下にその定義を示す。
　多項式ａ＝ａ＿０＋ａ＿１・Ｘ＋ａ＿２・Ｘ＾２＋…＋ａ＿（Ｎ－１）・Ｘ＾（Ｎ－１）のノルム｜｜ａ｜｜を以下のように定義する。
　｜｜ａ｜｜＝ｓｑｒｔ（（ａ＿０－μ）＾２＋（ａ＿１－μ）＾２＋…＋（ａ＿
（Ｎ－１）－μ）＾２）
　μ＝（１／Ｎ）・（ａ＿０＋ａ＿１＋ａ＿２＋…＋ａ＿（Ｎ－１））
　ここで、ｓｑｒｔ（ｘ）はｘの平方根を示す。
　多項式ａ，ｂの対（ａ，ｂ）のノルム｜｜（ａ，ｂ）｜｜を以下のように定義する。
　｜｜（ａ，ｂ）｜｜＝ｓｑｒｔ（｜｜ａ｜｜＾２＋｜｜ｂ｜｜＾２）
　多項式ａ，ｂの対（ａ，ｂ）とｃ，ｄの対（ｃ，ｄ）との距離は、｜｜（ｃ－ａ，ｄ－ｂ）｜｜で定義される。
（３）改良ＮＴＲＵＳｉｇｎ署名方式の鍵生成
　改良ＮＴＲＵＳｉｇｎ署名方式では、上述したように、パラメタｄｆ，ｄｇを用いてランダムに多項式ｆ，多項式ｇを生成する。そして非特許文献４に記載の通り、Ｆｑ×ｆ＝１（ｍｏｄ　ｑ）となる多項式Ｆｑを用いて、
　　　ｈ＝Ｆｑ×ｇ（ｍｏｄ　ｑ）
により、多項式ｈを生成する。さらに、以下の式を満たすようなノルムが小さい多項式Ｆ，Ｇを求める。
　ｆ×Ｇ－ｇ×Ｆ＝ｑ
　ここで、ｘ＝ｙ（ｍｏｄ　ｑ）は、多項式ｙの第ｉ次（０≦ｉ≦Ｎ－１）の係数について、当該第ｉ次の係数を、剰余が０からｑ－１の範囲に収まるように法ｑで割ったときの剰余を、多項式ｘの第ｉ次の係数とする演算である。すなわち、ｙの各係数を、０から（ｑ－１）の範囲に収まるようにｍｏｄ　ｑ演算して得られる多項式を、多項式ｘとする演算である。
　さらに、分布ηが距離Ｌの超球に含まれるように、当該分布ηを任意に設定する。設定する情報としては、分布の範囲、分布の範囲における選択する確率である。例えば、図２や図４に示すような分布を設定する。
　秘密鍵を｛（ｆ，ｇ），（Ｆ，Ｇ）｝と分布ηとし、公開鍵をｈとする。秘密鍵は、署名を生成するための鍵であり、署名生成鍵とも呼ばれる。また、公開鍵は、署名を検証するための鍵であり、署名検証鍵とも呼ばれる。
　分布ηは、秘密鍵に含めているため、当然であるが、秘密に保持しておく。なお、分布ηのすべてを秘密にしてもよいが、例えば、図２に示す分布４００の範囲を秘密にするが、分布４００に基づいて、ベクトルを一様ランダムに選択することを公開しておいてもよい。また、図４に示す分布４３２では、分布４３２の範囲及び各部分領域を選択する確率の両方を秘密としておいてもよいし、分布４３２の範囲を公開し、各部分領域を選択する確率を秘密とするとしてもよい。
（４）改良ＮＴＲＵＳｉｇｎ署名方式の署名生成
　改良ＮＴＲＵＳｉｇｎ署名方式の署名生成について、図６及び図１７を用いて、説明する。
　改良ＮＴＲＵＳｉｇｎ署名方式の署名生成では、署名対象であるメッセージデータｍの署名ｓを計算する。図６は、署名生成の処理を示した図であり、２・Ｎ次元ベクトル全体を格子（格子Ｌｓｅｃ）として捉える場合におけるＬｓｅｃ座標系を図示している。図１７は、署名生成の処理の手順を示すフローチャートである。
　まず、メッセージデータｍに対するハッシュ値である２・Ｎ次元のベクトルＨ＝（ｍ１，ｍ２）（ｍ１及びｍ２はＮ次多項式）を計算する（ステップＳＧ１）。以下で、Ｈをハッシュ値ベクトルと呼ぶ。また、図６において、ハッシュ値ベクトルＨを参照符号５０１で示す。
　次に、分布の範囲でランダムにベクトルＶを選択し、変換ハッシュ値ベクトルＨ’＝Ｈ＋Ｖを計算する（ステップＳＧ２）。ここで、ｍ１’，ｍ２’をＨ’＝（ｍ１’，ｍ２’）を満たす多項式とする。図６において、変換ハッシュ値ベクトルＨ’を参照符号５０２で示す。
　従来のＮＴＲＵＳｉｇｎ署名方式と同様の方法で、変換ハッシュ値ベクトルＨ’に最も近い格子点のベクトルＳ＝（ｓ，ｔ）を計算する（ステップＳＧ３）。図６において、ベクトルＳを参照符号５０３で示す。
　この２・Ｎ次元のベクトル（ｍ１’，ｍ２’）と秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝とを用いて、以下の式を満たす多項式ａ，ｂ，Ａ，Ｂを計算する。
　Ｇ×ｍ１’－Ｆ×ｍ２’＝Ａ＋ｑ×Ｂ
　－ｇ×ｍ１’＋ｆ×ｍ２’＝ａ＋ｑ×ｂ
　ここで、Ａ，ａの係数は、〈－ｑ／２〉＋１から〈ｑ／２〉の範囲に収まるように法ｑで割ったときの剰余を取ったものとする。すなわち、法ｑで割ったときの剰余が〈ｑ／２〉からｑ－１である場合は、ｑだけ減算して、上記範囲に収まるよう調整する。ここで、〈ｘ〉は、ｘ以下の数の中で最も大きい数を示す。例えば、〈－１／２〉＝－１である。
　次に、以下の式より、ｓ，ｔを計算する。
　ｓ＝ｆ×Ｂ＋Ｆ×ｂ　（ｍｏｄ　ｑ）
　ｔ＝ｇ×Ｂ＋Ｇ×ｂ　（ｍｏｄ　ｑ）
　次に、ハッシュ値ベクトルＨとＳの距離を算出し、ＨとＳの距離がＬ’以内であるかを判定する（ステップＳＧ４）。Ｌ’以内であれば（ステップＳＧ４でＹｅｓ）、ｓを署名とする（ステップＳＧ５）。Ｌ’以内でなければ（ステップＳＧ４でＮｏ）、ステップＳＧ２からやり直す。
　Ｌ及びＬ’を上記例のように、（Ｌ，Ｌ’）＝（２００，５００）に設定した場合、ステップＳＧ４では、ハッシュ値ベクトルＨとＳの距離はほとんどＬ’以内に納まるため、ステップＳＧ２に戻る回数はあまり多くない。
（５）改良ＮＴＲＵＳｉｇｎ署名方式の署名検証
　改良ＮＴＲＵＳｉｇｎ署名方式の署名検証について、図７及び図１８を用いて、説明する。
　改良ＮＴＲＵＳｉｇｎ署名方式の署名生成では、署名ｓが署名対象であるメッセージデータｍの正しい署名であるかを検証する。図７は署名検証の処理を示した図であり、２・Ｎ次元ベクトル全体を格子（格子Ｌｐｕｂ）として捉える場合におけるＬｐｕｂ座標系を図示している。図１８は、署名生成の処理の手順を示すフローチャートである。
　まず、メッセージデータｍに対するハッシュ値である２・Ｎ次元のベクトルＨ＝（ｍ１，ｍ２）を計算する（ステップＳＶ１）。図７において、ベクトルＨを参照符号５３１で示す。
　次に、公開鍵ｈを用いて、以下の式より、多項式ｔを計算し、署名ベクトルＳ＝（ｓ，ｔ）を復元する（ステップＳＶ２）。図７において、署名ベクトルＳを参照符号５３２で示す。
　 ｔ＝ｓ×ｈ　（ｍｏｄ　ｑ）
　ＨとＳの距離を求め、求めた距離がＬ’以下であるかをチェックする（ステップＳＶ３）。Ｌ’以下であれば（ステップＳＶ３でＹｅｓ）、署名ｓが正しいと判定して署名ｓを受理し、ＯＫを出力する（ステップＳＶ４）。Ｌ’より大きければ（ステップＳＶ３でＮｏ）、署名ｓが不正と判定して署名ｓを拒否し、ＮＧを出力する（ステップＳＶ５）。
２．各装置の構成
（１）署名生成装置１００の構成
　署名生成装置１００は、相手に送信すべきメッセージデータｍに対する署名データセットＳＳを生成する。署名生成装置１００は、図８に示すように、送信部１０１、秘密鍵格納部１０２、公開鍵証明書格納部１０３、署名生成部１０４、署名データセット生成部１０５及びシステムパラメタ格納部１０６を備える。
　秘密鍵格納部１０２は、耐タンパ性を有し、図９に示すように、予め、秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝及び秘密鍵である分布ηを格納している。秘密鍵及び分布は、外部から知られないように、秘密に保護されている。
　システムパラメタ格納部１０６は、図９に示すように、予めシステムパラメタとして、パラメタＮ、パラメタｑ及びパラメタＬ’（距離）を格納している。
　公開鍵証明書格納部１０３は、図９に示すように、予め、公開鍵ｈの証明書ＣＰを格納している。証明書ＣＰは、公開鍵ｈと、公開鍵ｈに対する鍵生成装置３００による署名データＳＰとからなる。署名データＳＰも、改良ＮＴＲＵＳｉｇｎ署名方式を使用して生成する。また、証明書ＣＰは予め与えられているものとする。なお、証明書ＣＰは、公開鍵ｈ及び署名データＳＰの他に、例えば、ユーザの識別子や証明書の期限などのデータを含んでいてもよい。
　署名生成部１０４は、上述したように、改良ＮＴＲＵＳｉｇｎ署名方式に基づいて、秘密鍵格納部１０２に格納されている秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝及び分布ηを用いて、メッセージデータｍに対する署名データＳＤを生成する。
　署名データセット生成部１０５は、公開鍵証明書格納部１０３から証明書ＣＰを受り取り、署名生成部１０４から署名データＳＤを受け取り、メッセージデータｍ、証明書ＣＰ及び署名データＳＤから構成される署名データセットＳＳを生成する。
　送信部１０１は、生成された署名データセットＳＳを、通信路２０を介して署名検証装置２００へ送信する。
（署名生成部１０４の構成）
　署名生成部１０４は、図１０に示すように、ハッシュ値計算部１１１、ベクトル生成部１１２、ハッシュ値変換部１１３、署名生成部１１４、署名確認部１１５及びベクトル群選択格納部１１６から構成されている。
　ハッシュ値計算部１１１は、改良ＮＴＲＵＳｉｇｎ署名方式の署名生成処理におけるステップＳＧ１の処理を行い、メッセージデータｍに対するハッシュ値ベクトルＨを計算する。
　ベクトル生成部１１２は、改良ＮＴＲＵＳｉｇｎ署名方式の署名生成処理におけるステップＳＧ２で使用するベクトルＶを生成する。
　ハッシュ値変換部１１３は、ベクトル生成部１１２で生成したベクトルＶを用いて、改良ＮＴＲＵＳｉｇｎ署名方式の署名生成処理におけるステップＳＧ２の処理を行い、変換ハッシュ値ベクトルＨ’＝Ｈ＋Ｖを生成する。
　署名生成部１１４は、改良ＮＴＲＵＳｉｇｎ署名方式の署名生成処理におけるステップＳＧ３の処理を行い、署名ベクトルＳ＝（ｓ，ｔ）を生成する。
　署名確認部１１５は、改良ＮＴＲＵＳｉｇｎ署名方式の署名生成処理におけるステップＳＧ４の処理を行い、署名ベクトルを確認する。確認した結果、ハッシュ値ベクトルと署名ベクトルが距離Ｌ’以内でない場合は、ベクトル生成部１１２の処理からやり直す。距離Ｌ’以内である場合は、署名ベクトルＳ＝（ｓ，ｔ）のｓを署名データＳＤとする。
（２）署名検証装置２００の構成
　署名検証装置２００は、図１１に示すように、受信部２０１、ＣＡ公開鍵格納部２０２、署名データセット格納部２０３、署名検証部２０４及びシステムパラメタ格納部２０５を備える。
　システムパラメタ格納部２０５は、図１２に示すように、予めシステムパラメタとして、パラメタＮ、パラメタｑ及びパラメタＬ’（距離）を格納している。
　ＣＡ公開鍵格納部２０２は、図１２に示すように、予め、証明書ＣＰを検証するための鍵生成装置３００の公開鍵ＫＣＰを格納している。
　受信部２０１は、署名生成装置１００から送信された署名データセットＳＳを、通信路２０を介して受信し、受信した署名データセットＳＳを署名データセット格納部２０３に書き込む。
　署名データセット格納部２０３は、図１２に示すように、受信した署名データセットＳＳを格納する。署名データセットＳＳは、メッセージデータｍ、署名データＳＤ及び証明書ＣＰから構成される。証明書ＣＰは、公開鍵Ｈ及び署名データＳＰを含む。
　署名検証部２０４は、署名データセットＳＳに含まれる署名データＳＤを検証し、また、証明書ＣＰに含まれる署名データＳＰを検証する。
（署名検証部２０４の構成）
　署名検証部２０４は、図１３に示すように、ハッシュ値計算部２１１、署名ベクトル生成部２１２及び距離判定部２１３から構成されている。
　署名検証部２０４は、署名データＳＤを検証し、証明書ＣＰに含まれる署名データＳＰを検証する。以下では、署名データＳＤに対する署名検証について説明する。署名データＳＰについては、メッセージデータｍを公開鍵ｈ、署名データＳＤをＳＰと代えて、同様に検証できるので、詳細の説明を省略する。
　ハッシュ値計算部２１１は、改良ＮＴＲＵＳｉｇｎ署名方式の署名検証処理におけるステップＳＶ１の処理を行い、メッセージデータｍに対するハッシュ値ベクトルＨを計算する。
　署名ベクトル生成部２１２は、改良ＮＴＲＵＳｉｇｎ署名方式の署名検証処理におけるステップＳＶ２の処理を行い、署名データＳＤから署名ベクトルＳを生成する。
　距離判定部２１３は、改良ＮＴＲＵＳｉｇｎ署名方式の署名検証処理におけるステップＳＶ３の処理を行い、ハッシュ値ベクトルＨと署名ベクトルＳの距離を計算する。その距離がＬ’以内である場合は、署名データは正しいと判定する。Ｌ’より大きければ、署名データは不正と判定する。
（３）鍵生成装置３００の構成
　鍵生成装置３００は、図１４に示すように、分布生成部３０１、鍵生成部３０２、証明書生成部３０３、証明書生成鍵格納部３０４、鍵設定部３０５及びシステムパラメタ格納部３０６を備えている。
　システムパラメタ格納部３０６は、図１５に示すように、予めシステムパラメタとして、パラメタＮ、パラメタｑ及びパラメタＬ’（距離）、パラメタＬ（距離）及びパラメタｄｆ，ｄｇを記憶している。
　証明書生成鍵格納部３０４は、図１５に示すように、予め、鍵生成装置３００の秘密鍵である証明書生成鍵ＫＣＳを記憶している。
　分布生成部３０１は、例えば、図３に示す分布テーブル４１０又は図５に示す分布テーブル４５０を生成することにより、改良ＮＴＲＵＳｉｇｎ署名の鍵生成処理における分布ηを生成し、生成した分布ηを鍵生成部３０２へ出力する。
　具体的には、次のようにして、分布生成部３０１は、分布テーブル４１０を生成する。
う。分布生成部３０１は、システムパラメタ格納部３０６からパラメタＮ及びパラメタＬを読み出し、２・Ｎ個の限界値ペアを格納するため領域を備える分布テーブルを生成する。次に、各限界値ペアについて、乱数を発生させて当該限界値ペアに含まれる下限値をランダムに決定する。次に、乱数を発生させて当該下限値より大きい上限値をランダムに決定する。下限値の決定と上限値の決定を全ての限界値ペアについて行う。決定した下限値及び上限値を前記の分布テーブルに格納する。こうして分布テーブル４１０が生成される。なお、各下限値及び各上限値は、分布内のベクトルのノルムがＬ以下となるように決定する。
　また、別の例として、次のようにして、分布生成部３０１は、分布テーブル４５０を生成する。
　分布生成部３０１は、システムパラメタ格納部３０６からパラメタＮ及びパラメタＬを読み出し、乱数を発生させて、分布テーブル４５０に含まれる部分テーブルの数を決定する。一例として、乱数として「３」が生成されたとする。この場合には、各部分テーブルが２・Ｎ個の限界値ペアを格納するため領域を備えるように、３個の部分テーブルを生成する。次に、３個の発生確率（各発生確率は、「０」より大きく、「１」より小さい）をランダムに決定する。ここで、３個の発生確率の合計が「１」となるようにする。
　次に、各部分テーブルについて、上記の分布テーブル４１０と同様にして、各限界値ペアに含まれる下限値及び上限値を決定して各部分テーブルに格納する。
　鍵生成部３０２は、システムパラメタ格納部３０６から、パラメタＮ、パラメタｑ、パラメタｄｆ、ｄｇ及びパラメタＬを読み出し、上述したように、改良ＮＴＲＵＳｉｇｎ署名方式の鍵生成処理方法により、秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝及び公開鍵ｈを生成する。また、鍵生成部３０２は、分布生成部３０１から分布ηを受け取る。次に、鍵生成部３０２は、秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝、公開鍵ｈ及び分布ηを鍵設定部３０５へ出力する。また、公開鍵ｈを証明書生成部３０３へ出力する。
　証明書生成部３０３は、証明書生成鍵格納部３０４から証明書生成鍵ＫＣＳを読み出し、鍵生成部３０２から公開鍵ｈを受け取り、読み出した証明書生成鍵ＫＣＳを用いて、公開鍵ｈに対する証明書ＣＰを生成する。ここで、証明書ＣＰは公開鍵ｈと、公開鍵ｈの証明書生成鍵ＫＣＳを用いた署名データＳＰとからなる。なお、署名データＳＰの生成は、署名生成装置１００の署名生成部１０４による署名生成方法と同じ署名生成方法を用いて行う。
　鍵設定部３０５は、秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝及び秘密鍵である分布ηをを署名生成装置１００の秘密鍵格納部１０２へ書き込む。また、証明書ＣＰを署名生成装置１００の公開鍵証明書格納部１０３へ書き込む。
３．デジタル署名システム１０の動作
（１）デジタル署名システム１０の概要の動作
　デジタル署名システム１０の概要の動作について、図１６に示すフローチャートを用いて説明する。
　署名生成装置１００は、署名データを生成し（ステップＳ１０１）、署名データセットＳＳを生成し（ステップＳ１０２）、生成した署名データセットＳＳを通信路２０を介して、署名検証装置２００へ送信する（ステップＳ１０３）。
　署名検証装置２００の受信部２０１は、署名生成装置１００から送信された署名データセットＳＳを、通信路２０を介して受信し、受信した署名データセットＳＳを署名データセット格納部２０３に格納する（ステップＳ２０１）。
　署名検証部２０４は、署名データセットＳＳの中の証明書ＣＰに含まれる公開鍵ｈとその署名データＳＰに対し、署名データＳＰが公開鍵ｈの正しい署名であるかを、ＣＡ公開鍵格納部２０２に格納されている鍵生成装置３００の公開鍵ＫＣＰを用いて検証する（ステップＳ２０２）。署名データＳＰが正しくない場合（ステップＳ２０３）、ＮＧを出力し（ステップＳ１０７）、終了する。
　署名データＳＰが正しい場合（ステップＳ２０３）、署名検証部２０４は、署名データセットＳＳの中のメッセージデータｍとその署名データＳＤに対し、署名データＳＤがメッセージデータｍの正しい署名であるかを、公開鍵ｈを用いて検証する（ステップＳ２０４）。署名データＳＤが正しくない場合（ステップＳ２０５）、ＮＧを出力し（ステップＳ２０７）、終了する。署名データＳＤが正しい場合（ステップＳ２０５）、ＯＫを出力し（ステップＳ２０６）、終了する。
（２）署名生成装置１００の動作
　署名生成装置１００の動作について、図１７に示すフローチャートを用いて説明する。
　ハッシュ値計算部１１１は、メッセージデータｍに対するハッシュ値ベクトルＨを計算する（ステップＳＧ１）。
　ベクトル生成部１１２は、ベクトルＶを生成し、ハッシュ値変換部１１３は、変換ハッシュ値ベクトルＨ’＝Ｈ＋Ｖを生成する（ステップＳＧ２）。
　署名生成部１１４は、署名ベクトルＳ＝（ｓ，ｔ）を生成する（ステップＳＧ３）。
　署名確認部１１５は、署名ベクトルを確認する（ステップＳＧ４）。確認した結果、ハッシュ値ベクトルと署名ベクトルが距離Ｌ’以内でない場合は（ステップＳＧ４でＮｏ）、ステップＳＧ２に戻って、ベクトル生成部１１２の処理からやり直す。距離Ｌ’以内である場合は（ステップＳＧ４でＹｅｓ）、署名ベクトルＳ＝（ｓ，ｔ）のｓを署名データＳＤとする（ステップＳＧ５）。
（３）署名検証装置２００の署名検証部２０４の動作
　署名検証装置２００の署名検証部２０４による署名検証の動作について、図１８に示すフローチャートを用いて説明する。
　署名検証部２０４は、メッセージデータｍに対するハッシュ値である２・Ｎ次元のベクトルＨ＝（ｍ１，ｍ２）を計算し（ステップＳＶ１）、公開鍵ｈを用いて、ｔ＝ｓ×ｈ　（ｍｏｄ　ｑ）により、多項式ｔを計算し、署名ベクトルＳ＝（ｓ，ｔ）を復元し（ステップＳＶ２）、ＨとＳの距離を求め、求めた距離がＬ’以下であるかをチェックし（ステップＳＶ３）、Ｌ’以下であれば（ステップＳＶ３でＹｅｓ）、署名ｓが正しいと判定して署名ｓを受理し、ＯＫを出力する（ステップＳＶ４）。Ｌ’より大きければ（ステップＳＶ３でＮｏ）、署名ｓが不正と判定して署名ｓを拒否し、ＮＧを出力する（ステップＳＶ５）。
（４）鍵生成装置３００の動作
　鍵生成装置３００は、秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝、分布ηと証明書ＣＰを署名生成装置１００に設定する。以下で、図１９に示すフローチャートを用いて、その動作について説明する。
　　鍵生成装置３００の鍵生成部３０２は、秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝と公開鍵ｈを生成し（ステップＳ４０１）、分布生成部３０１は、分布ηを生成し（ステップＳ４０２）、証明書生成部３０３は、証明書生成鍵格納部３０４に格納されている証明書生成鍵ＫＣＳを用いて、公開鍵ｈに対する証明書ＣＰを生成し（ステップＳ４０３）、鍵設定部３０５は、秘密鍵｛（ｆ，ｇ），（Ｆ，Ｇ）｝、分布ηと証明書ＣＰを、それぞれ署名生成装置１００の秘密鍵格納部１０２と公開鍵証明書格納部１０３に格納する（ステップＳ４０４）。
４．実施の形態１の効果
　実施の形態１におけるデジタル署名システム１０では、図７に示すように、署名ベクトルＳを最近傍の格子のベクトルとする変換ハッシュ値ベクトルＨ’を隠蔽しており、検証者に送信していない。そのため、検証者に送信する際の通信路での攻撃者の傍受が発生した場合や、検証者自身が攻撃者である場合に、攻撃者が転写攻撃を試みようとしても、ベクトルとその最近傍の格子のベクトルとの差分の分布を知ることができないため、転写攻撃が困難になる。
　転写攻撃は、個々の署名ベクトルとハッシュ値との差が秘密鍵の関連性を除いて一様分布であることを利用している。その上で、複数の署名データを収集して、差分の分布に関する情報（分布の範囲や発生確率）を用いて、統計的に一様分布の部分を取り去ることで、秘密鍵の部分のみを抽出している。この転写攻撃を発展させて、署名ベクトルとハッシュ値ベクトルとの差分の分布を用いた攻撃を行う場合においても、分布の範囲が秘密であり、分布の範囲が既知である条件を満たすことができないため、分布を予想した攻撃ができなくなり、このような攻撃が困難になる。以下で、このことについてもう少し詳しく述べる。
　署名ベクトルは、分布ηを用いてハッシュ値ベクトルを変換して得られた変換ハッシュ値ベクトルの最近傍の格子点のベクトルである。ここで、分布ηは、分布の範囲が秘密であるため、攻撃者は署名ベクトルとハッシュ値ベクトルとの差分の分布の範囲がわからない。そのため、上記のような攻撃が困難になる。
　また、攻撃者が分布の範囲が既知であっても、分布が一様でなく、図４のように各部分領域の発生確率が既知でない場合は、同様に、転写攻撃が困難になる。
　なお、攻撃者にとって、分布の範囲が既知であり、発生確率も既知である場合であっても、ランダムなベクトルＶをハッシュ値ベクトルに加算することにより、分布の範囲が広がる。転写攻撃では、一様分布の部分を取り去るためには、その分布の大きさに依存した署名のサンプル数が必要になる。したがって、ランダムなベクトルＶを加算することで、分布の範囲が広がり、転写攻撃に要する署名のサンプル数が多くなるため、攻撃が困難になるという効果がある。
５．以上説明したように、本発明は、上述した転写攻撃を防ぐことができ、格子の問題を安全性のベースとする署名方式、特に、ＮＴＲＵＳｉｇｎ署名方式をベースにしたデジタル署名システムを提供することを目的とする。
　本発明の１の態様は、署名方式を用いて、メッセージデータに対する署名データを生成する署名生成装置であって、前記署名方式は、ベクトルの集合である格子の最近傍問題を安全性のベースとしており、秘密の格子の基底ベクトルである秘密鍵基底ベクトルを構成するための情報を含む秘密鍵と、前記秘密鍵基底ベクトルと同じ前記格子を表現する公開の基底ベクトルである公開鍵基底ベクトルを構成するための情報を含む公開鍵を生成する鍵生成ステップと、前記秘密鍵を用いて前記メッセージデータに対する、１以上の前記格子の元からなる前記署名データを生成する署名生成ステップと、前記公開鍵を用いて前記署名データを検証する署名検証ステップとを含み、前記署名生成装置は、前記署名データを生成するために使用する前記秘密鍵を格納する秘密鍵格納部と、前記秘密鍵格納部に格納された前記秘密鍵を用いて、前記メッセージデータに対する前記格子の元である前記署名データを生成する署名生成部とを備え、前記秘密鍵は、所定のベクトルの分布を含み、前記署名生成部は、前記分布に基づくベクトルを生成するベクトル生成手段と、前記メッセージデータを前記ベクトルに基づいて変換して変換メッセージデータを生成するメッセージ変換手段と、前記変換メッセージデータを前記メッセージデータとして用いて前記署名データを生成する署名生成手段と、を含むことを特徴とする。
　ここで、前記分布は一様でないとしてもよい。
　ここで、前記分布の範囲は秘密であるとしてもよい。
　ここで、前記分布の範囲は、複数の領域に分割され、各領域の選択確率が予め定められ、前記ベクトル生成手段は、前記選択確率に基づいて前記領域を選択し、選択した前記領域に基づいてベクトル生成してもよい。
　ここで、前記ベクトル生成手段は、前記分布に基づいてランダムに選択したベクトルを生成し、前記メッセージ変換手段は、前記メッセージデータに対して前記ベクトルを加算して前記変換メッセージデータを生成してもよい。
　ここで、前記ベクトル生成手段は、前記分布に基づいて予め選択した複数のベクトルから、ランダムに選択することでベクトルを生成してもよい。
　ここで、前記分布は、所定の距離Ｌの超球に含まれるとしてもよい。
　ここで、前記公開鍵は、前記距離Ｌに関連する距離Ｌ’を含み、前記署名生成部は、前記メッセージデータとの前記署名データとの距離がＬ’以内でない場合に、前記変換メッセージデータを計算しなおすとしてもよい。
　ここで、前記公開鍵は前記距離Ｌ’を含むとしてもよい。
　ここで、前記距離Ｌ’は、前記署名方式のシステムパラメタであるとしてもよい。
　ここで、前記秘密鍵基底ベクトルは、加算、減算、乗算と元の大きさを示すノルムが定義されたＮ次元配列の集合である環Ｒと正整数ｑに対し、前記環Ｒの元ｆ，ｇおよび、ｆ（ｍｏｄ　ｑ）の逆数である元Ｆｑと、ｆ×Ｇ－ｇ×Ｆ＝ｑを満たす（Ｆ，Ｇ）とに基づく、前記元の４つ組（ｆ，ｇ，Ｆ，Ｇ）から得られ、前記公開鍵基底ベクトルは、前記正整数ｑと前記元ｇおよび前記元Ｆｑの積とｍｏｄ　ｑで合同である元ｈから得られるとしてもよい。
　ここで、前記秘密鍵格納部は、タンパー攻撃の対策をしているとしてもよい。
　また、本発明の別の１の態様は、署名方式を用いて、メッセージデータに対する署名データを検証する署名検証装置であって、前記署名方式は、ベクトルの集合である格子の最近傍問題を安全性のベースとしており、秘密の格子の基底ベクトルである秘密鍵基底ベクトルを構成するための情報を含む秘密鍵と、前記秘密鍵基底ベクトルと同じ前記格子を表現する公開の基底ベクトルである公開鍵基底ベクトルを構成するための情報を含む公開鍵を生成する鍵生成ステップと、前記秘密鍵を用いて前記メッセージデータに対する、１以上の前記格子の元からなる前記署名データを生成する署名生成ステップと、前記公開鍵を用いて前記署名データを検証する署名検証ステップとを含み、前記署名検証装置は、前記署名データを検証するために使用する前記公開鍵を格納する公開鍵格納部と、前記公開鍵格納部に格納された前記公開鍵を用いて、前記メッセージデータに対する前記格子の元である前記署名データを検証する署名検証部とを備え、前記秘密鍵は、所定の距離Ｌの超球に含まれる所定のベクトルの分布を含み、前記公開鍵は、前記距離Ｌに関連する距離Ｌ’を含み、前記署名検証部は、前記メッセージデータと前記署名データの距離がＬ’以内であるか否かを判定することを特徴とする。
　ここで、署名方式を用いて、チャレンジデータに対するレスポンスデータである認証データを生成する認証データ生成装置であって、前記署名方式は、ベクトルの集合である格子の最近傍問題を安全性のベースとしており、秘密の格子の基底ベクトルである秘密鍵基底ベクトルを構成するための情報を含む秘密鍵と、前記秘密鍵基底ベクトルと同じ前記格子を表現する公開の基底ベクトルである公開鍵基底ベクトルを構成するための情報を含む公開鍵を生成する鍵生成ステップと、前記秘密鍵を用いて前記メッセージデータに対する、１以上の前記格子の元からなる前記署名データを生成する署名生成ステップと、前記公開鍵を用いて前記署名データを検証する署名検証ステップとを含み、前記認証データ生成装置は、前記認証データを生成するために使用する前記秘密鍵を格納する秘密鍵格納部と、前記秘密鍵格納部に格納された前記秘密鍵を用いて、前記チャレンジデータに対する前記認証データを生成する認証データ生成部とを備え、前記秘密鍵は、所定のベクトルの分布を含み、前記認証データ生成部は、前記分布に基づくベクトルを生成するベクトル生成手段と、前記チャレンジデータに対するハッシュ値である前記メッセージデータを生成するメッセージデータ生成手段と、前記メッセージデータを前記ベクトルに基づいて変換して変換チャレンジデータを生成するメッセージ変換手段と、前記変換メッセージデータを前記メッセージデータとして用いたときの前記署名データを前記認証データとして生成する認証データ生成手段と、を含むとしてもよい。
　また、本発明の別の１の態様は、ベクトルの集合である格子の最近傍問題を安全性のベースとする署名方式を用いて、メッセージデータに対する署名データを生成する署名生成方法であって、秘密の格子の基底ベクトルである秘密鍵基底ベクトルを構成するための情報を含む秘密鍵と、前記秘密鍵基底ベクトルと同じ前記格子を表現する公開の基底ベクトルである公開鍵基底ベクトルを構成するための情報を含む公開鍵を生成する鍵生成ステップと、前記秘密鍵を用いて前記メッセージデータに対する、１以上の前記格子の元からなる前記署名データを生成する署名生成ステップと、前記公開鍵を用いて前記署名データを検証する署名検証ステップとを含み、前記秘密鍵は、所定のベクトルの分布を含み、前記署名生成ステップは、前記メッセージデータを、前記分布に基づくベクトルを用いて変換した変換メッセージデータに対して、前記秘密鍵基底ベクトルを用いて前記格子の元である前記署名データを生成することを特徴とする。
　ここで、前記分布は一様でないとしてもよい。
　ここで、前記分布の範囲は秘密であるとしてもよい。
　ここで、前記分布の範囲は、複数の領域に分割され、各領域の選択確率が予め定められ、前記署名生成ステップは、前記選択確率に基づいて前記領域を選択し、選択した前記領域に基づいて生成したベクトルを用いるとしてもよい。
　ここで、前記署名生成ステップは、前記メッセージデータに対して、前記分布に基づいてランダムに選択したベクトルを加算して前記変換メッセージデータを生成してもよい。
　ここで、前記分布は、所定の距離Ｌの超球に含まれるとしてもよい。
　また、本発明の別の１の態様は、ベクトルの集合である格子の最近傍問題を安全性のベースとする署名方式を用いて、メッセージデータに対する署名データを生成する署名生成装置に実行させるプログラムであって、秘密の格子の基底ベクトルである秘密鍵基底ベクトルを構成するための情報を含む秘密鍵と、前記秘密鍵基底ベクトルと同じ前記格子を表現する公開の基底ベクトルである公開鍵基底ベクトルを構成するための情報を含む公開鍵を生成する鍵生成ステップと、前記秘密鍵を用いて前記メッセージデータに対する、１以上の前記格子の元からなる前記署名データを生成する署名生成ステップと、前記公開鍵を用いて前記署名データを検証する署名検証ステップとを前記署名生成装置に実行させ、前記秘密鍵は、所定のベクトルの分布を含み、前記署名生成ステップは、前記メッセージデータを、前記分布に基づくベクトルを用いて変換した変換メッセージデータに対して、前記秘密鍵基底ベクトルを用いて前記格子の元である前記署名データを生成することを特徴とする。
　ここで、前記プログラムは、記録媒体に記録されているとしてもよい。
　また、本発明の別の１の態様は、署名方式を用いて、メッセージデータに対する署名データを生成する署名生成装置の集積回路であって、前記署名方式は、ベクトルの集合である格子の最近傍問題を安全性のベースとしており、秘密の格子の基底ベクトルである秘密鍵基底ベクトルを構成するための情報を含む秘密鍵と、前記秘密鍵基底ベクトルと同じ前記格子を表現する公開の基底ベクトルである公開鍵基底ベクトルを構成するための情報を含む公開鍵を生成する鍵生成ステップと、前記秘密鍵を用いて前記メッセージデータに対する、１以上の前記格子の元からなる前記署名データを生成する署名生成ステップと、前記公開鍵を用いて前記署名データを検証する署名検証ステップとを含み、前記署名生成装置は、前記署名データを生成するために使用する前記秘密鍵を格納する秘密鍵格納部と、前記秘密鍵格納部に格納された前記秘密鍵を用いて、前記メッセージデータに対する前記格子の元である前記署名データを生成する署名生成部とを備え、前記秘密鍵は、所定のベクトルの分布を含み、前記署名生成部は、前記分布に基づくベクトルを生成するベクトル生成手段と、前記メッセージデータを前記ベクトルに基づいて変換して変換メッセージデータを生成するメッセージ変換手段と、前記変換メッセージデータを前記メッセージデータとして用いて前記署名データを生成する署名生成手段と、を含むことを特徴とする。
　また、本発明の別の１の態様は、署名方式を用いて、メッセージデータに対する署名データを生成する署名生成装置と前記署名データを検証する署名検証装置からなるデジタル署名システムであって、前記署名方式は、ベクトルの集合である格子の最近傍問題を安全性のベースとしており、秘密の格子の基底ベクトルである秘密鍵基底ベクトルを構成するための情報を含む秘密鍵と、前記秘密鍵基底ベクトルと同じ前記格子を表現する公開の基底ベクトルである公開鍵基底ベクトルを構成するための情報を含む公開鍵を生成する鍵生成ステップと、前記秘密鍵を用いて前記メッセージデータに対する、１以上の前記格子の元からなる前記署名データを生成する署名生成ステップと、前記公開鍵を用いて前記署名データを検証する署名検証ステップとを含み、前記署名生成装置は、前記署名データを生成するために使用する前記秘密鍵を格納する秘密鍵格納部と、前記秘密鍵格納部に格納された前記秘密鍵を用いて、前記メッセージデータに対する前記格子の元である前記署名データを生成する署名生成部とを備え、前記署名検証装置は、前記署名データを検証するために使用する前記公開鍵を格納する公開鍵格納部と、前記公開鍵格納部に格納された前記公開鍵を用いて、前記メッセージデータに対する前記格子の元である前記署名データを検証する署名検証部とを備え、前記秘密鍵は、所定のベクトルの分布を含み、前記署名生成部は、前記分布に基づくベクトルを生成するベクトル生成手段と、前記メッセージデータを前記ベクトルに基づいて変換して変換メッセージデータを生成するメッセージ変換手段と、前記変換メッセージデータを前記メッセージデータとして用いて前記署名データを生成する署名生成手段と、を含み、前記署名検証部は、前記メッセージデータと前記署名データの距離を判定することを特徴とする。
６．変形例
　上記に説明した実施の形態は、本発明の実施の一例であり、本発明はこの実施の形態に何ら限定されるものではなく、その旨を逸脱しない範囲において種々なる態様で実施し得るものである。例えば、以下のような場合も本発明に含まれる。
（１）実施の形態１におけるデジタル署名システム１０では、ランダムなベクトルを分布に基づいて選択していたが、予め分布に基づくベクトルを求めて記憶しておき、記憶しているそのベクトルを用いるとしてもよい。また、予め複数の分布に基づくベクトルを複数個求めて記憶しておき、記憶している複数のベクトルから１個のベクトルを選択するとしてもよい。
（２）デジタル署名システム１０では、ベクトルＶを加算して変換ハッシュ値ベクトルを生成していたが、これに限らない。例えば、ベクトルＶをｎ倍（ｎは０以外の整数）したものを加算して変換ハッシュ値ベクトルを生成するとしてもよい。また、ベクトルＶを減算して変換ハッシュ値を生成するとしてもよい。
（３）改良ＮＴＲＵＳｉｇｎ署名方式におけるＬとＬ‘は、（Ｌ，Ｌ’）＝（２００，５００）としていたが、他の値でもよい。例えば、（Ｌ，Ｌ’）＝（５０，３５０）であってもよい。また、ＬとＬ’の差は、従来のＮＴＲＵＳｉｇｎ署名方式のＮｏｒｍｂｏｕｎｄと程度としていたが、Ｎｏｒｍｂｏｕｎｄより小さくてもよい。Ｌ’は、ほとんどのハッシュ値ベクトルと正しく生成した署名ベクトルの距離がその値以下に納まる値であれば何でもよい。
（４）改良ＮＴＲＵＳｉｇｎ署名方式において、距離Ｌをシステムパラメタとして公開していたが、署名を生成するユーザごとに異なる値としてもよい。その場合は、Ｌ’を公開鍵に含めて署名を検証するユーザに知らせるとしてもよい。また、距離Ｌを秘密にするとしてもよい。
（５）改良ＮＴＲＵＳｉｇｎ署名方式において、分布ηとして図２や図４に示す分布４００、４３２を使用するとしているが、これに限らない。例えば、ある次元（例えばｉ番目、すなわち、ｉ－１次の項）の要素を所定の範囲（例えば、２以上５以下）に制限するとしてもよい。
（６）ＮＴＲＵＳｉｇｎ署名方式では、秘密鍵における（ｆ，ｇ），（Ｆ，Ｇ）を格子の基底ベクトル（秘密鍵基底ベクトル）、公開鍵におけるｈとシステムパラメタであるｑから得られる（１，ｈ），（０，ｑ）を格子の基底ベクトル（公開鍵基底ベクトル）としたとき、それぞれの基底ベクトルから得られる格子点が同一であることから、格子の問題（格子の最近傍問題）をベースにした署名方式と呼ばれる。改良ＮＴＲＵＳｉｇｎ署名方式も同様の秘密鍵基底ベクトルと公開鍵基底ベクトルを持つ。
　本発明では、署名方式としてＮＴＲＵＳｉｇｎ署名方式をベースとした改良ＮＴＲＵＳｉｇｎ署名方式を使用しているが、これに限らない。転写攻撃は他の格子の問題をベースとした署名方式、例えば、ＧＧＨ署名方式でも適用できる。署名方式として、転写攻撃が適用できる、格子の問題をベースとした署名方式、例えば、ＧＧＨ署名方式をベースとするとしてもよい。ＧＧＨ署名方式は、非特許文献６に詳細に述べられている。他の格子の最近傍問題を署名の安全性のベースとする署名方式をベースとするとしてもよい。
（７）分布ηのデータ構造である分布テーブルの他の一例について説明する。
　図２１に示す分布テーブル６１０は、３個の分布情報ｉ（ｉ＝１、２、３）から構成され、分布情報ｉは、下限値Ｃ＿ｉ＿ｍｉｎ、上限値Ｃ＿ｉ＿ｍａｘ、多項式Ｂａｓｅ１＿ｉ、及び多項式Ｂａｓｅ２＿ｉを含む。
　ｉ＝１とするときに、下限値Ｃ＿１＿ｍｉｎ以上であり、上限値Ｃ＿１＿ｍａｘ以下であるＣ＿１を一様ランダムに選択し、ｉ＝２とするときに、下限値Ｃ＿２＿ｍｉｎ以上であり、上限値Ｃ＿２＿ｍａｘ以下であるＣ＿２を一様ランダムに選択し、ｉ＝３とするときに、下限値Ｃ＿３＿ｍｉｎ以上であり、上限値Ｃ＿３＿ｍａｘ以下であるＣ＿３を一様ランダムに選択する。
　次に、Ｖ１＝Ｃ＿１×Ｂａｓｅ１＿１＋Ｃ＿２×Ｂａｓｅ１＿２＋Ｃ＿３×Ｂａｓｅ１＿３を算出し、Ｖ２＝Ｃ＿１×Ｂａｓｅ２＿１＋Ｃ＿２×Ｂａｓｅ２＿２＋Ｃ＿３×Ｂａｓｅ２＿３を算出し、Ｖ＝（Ｖ１、Ｖ２）とする。
　上記の分布の中で最もノルムが大きくなるベクトルV_max(=(V1_max, V2_max))は、
V1_max=c_1_max×Base1_1+c_2_min×Base1_2+c_3_max×Base1_3
V2_max=c_1_max×Base2_1+c_2_min×Base2_2+c_3_max×Base2_3
であり、そのノルムは 194.9 < 200である。
　分布テーブル６１０において、ベースの多項式Base1_i, Base2_i(i=1, 2, 3)は、係数（重み）を３個有しているが、これに限らない。例えば、２個であってもよいし、４個以上であってもよい
　また、分布テーブル６１０において、Base1_i及びBase2_iのそれぞれについて、多項式の数は３個であるが、２個でもよいし、４個以上でもよい。
（８）分布ηのデータ構造である分布テーブルのさらに他の一例について説明する。
　図２２に示す分布テーブル６５０は、３個の分布情報ｉ（ｉ＝１、２、３）から構成され、分布情報ｉは、第１サブ分布情報及び第２サブ分布情報を含み、第１サブ分布情報は、下限値Ｃ＿１＿ｉ＿ｍｉｎ、上限値Ｃ＿１＿ｉ＿ｍａｘ及び多項式Ｂａｓｅ１＿ｉを含み、
第２サブ分布情報は、下限値Ｃ＿２＿ｉ＿ｍｉｎ、上限値Ｃ＿２＿ｉ＿ｍａｘ及び多項式Ｂａｓｅ２＿ｉを含む。
　ｉ＝１とするときに、下限値Ｃ＿１＿１＿ｍｉｎ以上であり、上限値Ｃ＿１＿１＿ｍａｘ以下であるＣ＿１＿１を一様ランダムに選択し、下限値Ｃ＿２＿１＿ｍｉｎ以上であり、上限値Ｃ＿２＿１＿ｍａｘ以下であるＣ＿２＿１を一様ランダムに選択する。ｉ＝２とするときに、下限値Ｃ＿１＿２＿ｍｉｎ以上であり、上限値Ｃ＿１＿２＿ｍａｘ以下であるＣ＿１＿２を一様ランダムに選択し、下限値Ｃ＿２＿２＿ｍｉｎ以上であり、上限値Ｃ＿２＿２＿ｍａｘ以下であるＣ＿２＿２を一様ランダムに選択する。ｉ＝３とするときに、下限値Ｃ＿１＿３＿ｍｉｎ以上であり、上限値Ｃ＿１＿３＿ｍａｘ以下であるＣ＿１＿３を一様ランダムに選択し、下限値Ｃ＿２＿３＿ｍｉｎ以上であり、上限値Ｃ＿２＿３＿ｍａｘ以下であるＣ＿２＿３を一様ランダムに選択する。
　次に、Ｖ１＝Ｃ＿１＿１×Ｂａｓｅ１＿１＋Ｃ＿１＿２×Ｂａｓｅ１＿２＋Ｃ＿１＿３×Ｂａｓｅ１＿３を算出し、Ｖ２＝Ｃ＿２＿１×Ｂａｓｅ２＿１＋Ｃ＿２＿２×Ｂａｓｅ２＿２＋Ｃ＿２＿３×Ｂａｓｅ２＿３を算出し、Ｖ＝（Ｖ１、Ｖ２）とする。
　上記の分布の中で最もノルムが大きくなるベクトルV_max(=(V1_max, V2_max))は、
V1_max=c_1_1_max×Base1_1+c_1_2_max×Base1_2+c_1_3_max×Base1_3
V2_max=c_2_1_max×Base2_1+c_2_2_min×Base2_2+c_2_3_min×Base2_3
であり、そのノルムは 199.1 < 200である。
　ここで、c_1_iやc_2_iは、minからmaxの間で一様ランダムに選択（生成）するとしているが、これに限らない。例えば、ガウス分布に従ってランダムに選択するとしてもよい。その場合は、平均値と分散を予め決めておき、ガウス分布にしたがって発生させる。
　なお、ガウス分布の発生方法については、以下の文献に詳しく記載されている。
D.E. Knuth, “THE ART OF COMPUTER PROGRAMMING, 2nd ed., 
vol.2:Seminumerical Algorithms”, ADDISON-WESLEY, 1981, pp. 129-130
（９）上記の実施の形態では、署名検証時に、「Ｌ以内」で正しいと判定するとしているが、これには限定されず、「Ｌ未満」で正しいと判定するとしてもよい。その場合は、「Ｌより大きい」ときに不正と判定するのではなく、「Ｌ以上」のときに不正と判定する。
（１０）上記の実施の形態及び変形例は、認証において適用される。認証とは、メッセージデータが自称どおりの人物によって送られたこと、またメッセージデータが改竄されなかったということの検証である。また、実施の形態及び変形例は、身分の証明において適用される。身分の証明とは、例えば、データへのアクセス権、又は施設へのアクセス権（入室権）を持つことの証明、又は自分が主張どおりの人物であることの証明である。さらに、実施の形態及び変形例は、否認防止において適用される。否認防止とは、例えば、実は何かに同意したのに、同意していないと主張する者に対抗することをいう。
（１１）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ　Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
　また、本発明は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
　また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。
　また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（１２）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
　本発明を構成する各装置は、認証、身分の証明、否認の防止などの処理を必要とする様々な産業分野において、認証、身分の証明、否認の防止などの処理を行う際に、経営的に、また継続的及び反復的に使用し、また製造することができる。

Claims (15)

  1. 　データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに署名し、検証する方法であって、
    　対象データを取得する取得ステップと、
    　第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成する変換ステップと、
    　秘密鍵ベクトルを基底ベクトルとして定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名ステップと、
    　公開鍵ベクトルと前記署名データとを用いて、前記署名ベクトルを復元し、前記対象データによるベクトルと復元された前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証する検証ステップと、
    　第２サイズ以下であるとき、検証が成功したことを示す成功情報を出力する出力ステップと
    　を含むことを特徴とする方法。
  2. 　データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに対する署名データを生成する署名生成装置であって、
    　対象データを取得する取得手段と、
    　秘密鍵ベクトルを秘密に記憶している秘密記憶手段と、
    　第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成するデータ変換手段と、
    　秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名生成手段と、
    　前記対象データと生成した署名データとを出力する出力手段と
    　を備えることを特徴とする署名生成装置。
  3. 　前記秘密記憶手段は、さらに、前記第１サイズより小さい複数の候補ベクトルが属する範囲を示す分布を記憶しており、
    　前記データ変換手段は、前記分布により示される範囲に属する前記候補ベクトルから、１の候補ベクトルを選択して前記攪乱ベクトルとする
    　ことを特徴とする請求項２に記載の署名生成装置。
  4. 　前記秘密記憶手段は、耐タンパ性を有し、前記秘密鍵及び前記分布は、外部から知られないように、秘密に保護されている
    　ことを特徴とする請求項３記載の署名生成装置。
  5. 　前記秘密記憶手段に記憶されている前記分布により示される範囲において、複数の候補ベクトルは、選択される確率が一様でないように、配置されており、
    　前記データ変換手段は、前記確率に従って、１の前記候補データを選択して前記攪乱ベクトルとする
    　を特徴とする請求項４記載の署名生成装置。
  6. 　前記分布により示される範囲は、複数の領域を有し、各領域に対して当該領域の選択確率が予め定められ、前記複数の領域のそれぞれにおいて、複数の候補ベクトルが配置され、
    　前記データ変換手段は、前記選択確率に基づいて１の領域を選択し、選択した前記領域から１の前記候補ベクトルを選択して前記攪乱ベクトルとする
    　を特徴とする請求項４記載の署名生成装置。
  7. 　前記データ変換手段は、
    　前記分布により示される範囲に属する前記候補ベクトルから、１の候補ベクトルを選択して、前記攪乱ベクトルとするベクトル生成部と、
    　前記対象データに基づくベクトルに、前記攪乱ベクトルを加えることにより、前記変換ベクトルを生成する加算部と
    　を含むことを特徴とする請求項４に記載の署名生成装置。
  8. 　前記ベクトル生成部は、前記分布に基づいて予め選択した複数の候補ベクトルから、ランダムに選択することにより、前記攪乱ベクトルを生成する
    　ことを特徴とする請求項７に記載の署名生成装置。
  9. 　前記分布は、前記第１サイズを半径とする超球内に含まれる
    　ことを特徴とする請求項４に記載の署名生成装置。
  10. 　前記署名生成装置は、さらに、前記第１サイズより大きい第２サイズを記憶している公開記憶手段を含み、
    　前記データ変換手段は、さらに、前記対象データによるベクトルと、前記変換ベクトルとの距離を算出し、算出した距離が前記第２サイズ以下でない場合に、第１サイズより小さい秘密の別の攪乱ベクトルを用いて、取得した対象データを変換して、別の変換ベクトルを生成する
    　を特徴とする請求項４記載の署名生成装置。
  11. 　前記秘密鍵ベクトルは、加算、減算、乗算と、元のサイズを示すノルムが定義されたＮ次元配列の集合である環Ｒと正整数ｑに対し、前記環Ｒの元ｆ，ｇおよび、ｆ（ｍｏｄ　ｑ）の逆数である元Ｆｑと、ｆ×Ｇ－ｇ×Ｆ＝ｑを満たす（Ｆ，Ｇ）とに基づく、前記元の４つ組（ｆ，ｇ，Ｆ，Ｇ）から得られ、
    　前記公開鍵ベクトルは、前記正整数ｑと前記元ｇおよび前記元Ｆｑの積とｍｏｄ　ｑで合同である元ｈから得られる
    　ことを特徴とする請求項４に記載の署名生成装置。
  12. 　データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、署名生成装置により、第１サイズより小さい秘密の攪乱ベクトルを用いて、対象データから変換により前記変換ベクトルが生成され、秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点である署名ベクトルの一部として生成された署名データを検証する署名検証装置であって、
    　前記対象データ及び署名データを取得する取得手段と、
    　公開鍵ベクトルを記憶している記憶手段と、
    　公開鍵ベクトルと前記署名データとを用いて、前記署名ベクトルを復元し、前記対象データによるベクトルと復元された前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証する検証手段と、
    　第２サイズ以下であるとき、検証が成功したことを示す成功情報を出力する出力手段と
    　を備えることを特徴とする署名検証装置。
  13. 　データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに対する署名データを生成する署名生成装置において用いられる署名生成方法であって、
    　対象データを取得する取得ステップと、
    　第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成するデータ変換ステップと、
    　秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名生成ステップと、
    　前記対象データと生成した署名データとを出力する出力ステップと
    　を含むことを特徴とする署名生成方法。
  14. 　データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、対象データに対する署名データを生成するコンピュータにおいて用いられる署名生成用のコンピュータプログラムを記録しているコンピュータ読み取り可能な記録媒体であって、
    　前記コンピュータに、
    　対象データを取得する取得ステップと、
    　第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成するデータ変換ステップと、
    　秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名生成ステップと、
    　前記対象データと生成した署名データとを出力する出力ステップと
    　を実行させる前記コンピュータプログラムを記録している記録媒体。
  15. 　データを複数に分割して多次元のベクトルとして表わし、最小ベクトル問題又は近似最小ベクトル問題を安全性の根拠として、署名する署名生成装置及び検証する署名検証装置から構成されるシステムであって、
    　前記署名生成装置は、
    　対象データを取得する取得手段と、
    　秘密鍵ベクトルを秘密に記憶している秘密記憶手段と、
    　第１サイズより小さい秘密の攪乱ベクトルを用いて、取得した対象データを変換して、変換ベクトルを生成するデータ変換手段と、
    　秘密鍵ベクトルを基底として定まる格子において、前記変換ベクトルに最近接する格子点を求めて前記変換ベクトルに対する署名ベクトルを生成し、前記署名ベクトルの一部を署名データとする署名生成手段と、
    　前記対象データと生成した署名データとを出力する出力手段とを備え、
    　前記署名検証装置は、
    　前記対象データ及び署名データを取得する取得手段と、
    　公開鍵ベクトルを記憶している記憶手段と、
    　公開鍵ベクトルと前記署名データとを用いて、前記署名ベクトルを復元し、前記対象データによるベクトルと復元された前記署名ベクトルとの距離が、前記第１サイズより大きい第２サイズ以下であるか否かを検証する検証手段と、
    　第２サイズ以下であるとき、検証が成功したことを示す成功情報を出力する出力手段と
    　を備えることを特徴とするシステム。
PCT/JP2009/000923 2008-04-09 2009-03-02 署名及び検証方法、署名生成装置並びに署名検証装置 WO2009125537A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2010507130A JP5341878B2 (ja) 2008-04-09 2009-03-02 署名及び検証方法、署名生成装置並びに署名検証装置
EP09730374A EP2264941A1 (en) 2008-04-09 2009-03-02 Signature and verification method, signature generation device, and signature verification device
US12/921,507 US8452975B2 (en) 2008-04-09 2009-03-02 Signature and verification method, signature generation device, and signature verification device
CN200980108247.2A CN101965711B (zh) 2008-04-09 2009-03-02 签名及验证方法、签名生成装置及签名验证装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008101281 2008-04-09
JP2008-101281 2008-04-09

Publications (1)

Publication Number Publication Date
WO2009125537A1 true WO2009125537A1 (ja) 2009-10-15

Family

ID=41161675

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/000923 WO2009125537A1 (ja) 2008-04-09 2009-03-02 署名及び検証方法、署名生成装置並びに署名検証装置

Country Status (5)

Country Link
US (1) US8452975B2 (ja)
EP (1) EP2264941A1 (ja)
JP (1) JP5341878B2 (ja)
CN (1) CN101965711B (ja)
WO (1) WO2009125537A1 (ja)

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101026021B1 (ko) * 2009-09-16 2011-03-30 포항공과대학교 산학협력단 시공간 블록 부호의 검출 방법 및 장치
IL205803A0 (en) * 2010-05-16 2010-12-30 Yaron Sella Collision-based signature scheme
US20120291096A1 (en) * 2011-05-12 2012-11-15 Nokia Corporation Method and apparatus for secure signing and utilization of distributed computations
JP5790286B2 (ja) * 2011-08-12 2015-10-07 ソニー株式会社 情報処理装置、署名生成装置、情報処理方法、署名生成方法、及びプログラム
JP5790318B2 (ja) * 2011-08-29 2015-10-07 ソニー株式会社 情報処理装置、署名生成装置、情報処理方法、署名生成方法、及びプログラム
CN103780382B (zh) * 2014-01-13 2017-01-18 华南理工大学 一种基于超球面的多变量公钥加密/解密系统及方法
JP2016116134A (ja) * 2014-12-16 2016-06-23 パナソニックＩｐマネジメント株式会社 署名検証装置、署名生成装置、署名処理システム、署名検証方法及び署名生成方法
JP6974461B2 (ja) 2016-08-02 2021-12-01 エックス−ロゴス、エルエルシー 幾何代数を用いた高度データ中心型暗号化システムのための方法およびシステム
US9698986B1 (en) * 2016-09-23 2017-07-04 ISARA Corporation Generating shared secrets for lattice-based cryptographic protocols
WO2018187604A1 (en) * 2017-04-07 2018-10-11 X-Logos, LLC Methods and systems for enhanced data-centric scalar multiplicative homomorphic encryption systems using geometric algebra
US11080365B2 (en) * 2018-10-31 2021-08-03 Fujitsu Limited Solving lattice problems using annealing
CN110351097B (zh) * 2019-07-01 2020-08-14 中国科学院数学与系统科学研究院 一种基于格的数字签名方法
DE102020119569B3 (de) * 2020-07-24 2021-12-09 Infineon Technologies Ag Bereitstellen einer kryptografischen Information
US11764943B2 (en) 2020-08-10 2023-09-19 Algemetric, Inc. Methods and systems for somewhat homomorphic encryption and key updates based on geometric algebra for distributed ledger/blockchain technology
CN112003707A (zh) * 2020-08-25 2020-11-27 湖南宸瀚信息科技有限责任公司 一种抗量子计算攻击的区块链数字签名加密方法及系统
WO2022061184A2 (en) 2020-09-17 2022-03-24 X-Logos, LLC Methods and systems for encrypting rational numbers and adding randomness to rsa cryptosystems using p-adic numbers
KR102474894B1 (ko) * 2022-09-01 2022-12-06 (주)노르마 양자 내성 암호화 알고리즘에 기초한 서명과 인증을 수행함으로써 가상 사설 네트워크를 제공하는 가상 사설 네트워크 형성 방법 및 이를 수행하는 가상 사설 네트워크 운용 시스템

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000516733A (ja) 1996-08-19 2000-12-12 エヌティーアールユー クリプトシステムズ，インコーポレーテッド 公開鍵暗号システム方法および装置
JP2002230202A (ja) * 2001-01-31 2002-08-16 Ricoh Co Ltd 電子データ化方法及び装置
WO2003050998A1 (en) 2001-12-07 2003-06-19 Ntru Cryptosystems, Inc. Digital signature and authentication method and apparatus
JP2005072917A (ja) * 2003-08-22 2005-03-17 National Institute Of Information & Communication Technology 暗号化データ作成装置および方法ならびにそのプログラム
JP2006053715A (ja) * 2004-08-11 2006-02-23 Kddi Corp 擬似乱数生成装置および方法
WO2006114948A1 (ja) * 2005-04-18 2006-11-02 Matsushita Electric Industrial Co., Ltd. 署名生成装置および署名検証装置
JP2007288230A (ja) * 2006-03-24 2007-11-01 Tatsuomi Sakata コンピュータ通信装置、複号情報生成装置、プログラム

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6959085B1 (en) * 1999-05-03 2005-10-25 Ntru Cryptosystems, Inc. Secure user identification based on ring homomorphisms
EP1397884A4 (en) 2001-05-04 2006-02-15 Docomo Comm Lab Usa Inc SIGNATURE SCHEME BASED ON RINGS
US20040151309A1 (en) 2002-05-03 2004-08-05 Gentry Craig B Ring-based signature scheme

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000516733A (ja) 1996-08-19 2000-12-12 エヌティーアールユー クリプトシステムズ，インコーポレーテッド 公開鍵暗号システム方法および装置
JP2002230202A (ja) * 2001-01-31 2002-08-16 Ricoh Co Ltd 電子データ化方法及び装置
WO2003050998A1 (en) 2001-12-07 2003-06-19 Ntru Cryptosystems, Inc. Digital signature and authentication method and apparatus
JP2005072917A (ja) * 2003-08-22 2005-03-17 National Institute Of Information & Communication Technology 暗号化データ作成装置および方法ならびにそのプログラム
JP2006053715A (ja) * 2004-08-11 2006-02-23 Kddi Corp 擬似乱数生成装置および方法
WO2006114948A1 (ja) * 2005-04-18 2006-11-02 Matsushita Electric Industrial Co., Ltd. 署名生成装置および署名検証装置
JP2007288230A (ja) * 2006-03-24 2007-11-01 Tatsuomi Sakata コンピュータ通信装置、複号情報生成装置、プログラム

Non-Patent Citations (9)

* Cited by examiner, † Cited by third party
Title
D.E. KNUTH: "Seminumerical Algorithms", vol. 2, 1981, ADDISON-WESLEY, article "THE ART OF COMPUTER PROGRAMMING", pages: 129 - 130
EFFICIENT EMBEDDED SECURITY STANDARDS (EESS) EESS #1: IMPLEMENTATION ASPECTS OFNTRUENCRYPT AND NTRUSIGN", VER. 2.0, 20 June 2003 (2003-06-20)
J. HOFFSTEIN; J. PIPHER; J. SILVERMAN: "Advances in Cryptology-Eurocrypt '01, LNCS", vol. 2045, 2001, SPRINGER-VERLAG, article "NSS: An NTRU Lattice-Based Signature Scheme", pages: 123 - 137
J. HOFFSTEIN; J. PIPHER; J.H. SILVERMAN: "Lecture Notes in Computer Science", vol. 1423, 1998, SPRINGER-VERLAG, article "NTRU: A ring based public key cryptosystem", pages: 267 - 288
J. HOFFSTEIN; N. GRAHAM; J. PIPHER; J. SILVERMAN; W. WHYTE: "CT-RSA'03, LNCS", vol. 2612, 2003, SPRINGER-VERLAG, article "NTRUSign: Digital Signatures Using the NTRU Lattice", pages: 122 - 140
JEFFREY HOFFSTEIN: "NTRUSign: Digital Signatures Using the NTRU Lattice", ASIACRYPT, vol. 2001, 2001, pages 1 - 31, XP008140131, Retrieved from the Internet <URL:http://www.ntru.com/cryptolab/introntrusign.htm> [retrieved on 20090319] *
JEFFREY HOFFSTEIN: "NTRUSign: Digital Signatures Using the NTRU Lattice", CT-RSA, vol. 2003, 2003, pages 1 - 18, XP008140135, Retrieved from the Internet <URL:http://www. ntru.com/cryptolab/pdf/NTRUSign_RSA.pdf> [retrieved on 20090319] *
O. GOLDREICH; S. GOLDWASSER; S. HALEVI: "Proc. CRYPTO '97, LNCS", vol. 1294, 1997, SPRINGER-VERLAG, article "Public-key cryptography from lattice reduction problems", pages: 112 - 131
TATSUAKI OKAMOTO; HIROSUKE YAMAMOTO: "Gendai Angoka", 1997, SANGYO TOSHO

Also Published As

Publication number Publication date
JPWO2009125537A1 (ja) 2011-07-28
JP5341878B2 (ja) 2013-11-13
US20110016325A1 (en) 2011-01-20
US8452975B2 (en) 2013-05-28
CN101965711B (zh) 2014-12-03
CN101965711A (zh) 2011-02-02
EP2264941A1 (en) 2010-12-22

Similar Documents

Publication Publication Date Title
JP5341878B2 (ja) 署名及び検証方法、署名生成装置並びに署名検証装置
CN104539423B (zh) 一种无双线性对运算的无证书公钥密码体制的实现方法
JP4620669B2 (ja) 署名生成装置、署名検証装置、それらの方法、および集積回路
JP4548737B2 (ja) 署名生成装置及び署名検証装置
JP4899867B2 (ja) グループ署名方式
JP4544538B2 (ja) 署名生成装置、鍵生成装置及び署名生成方法
JP4830860B2 (ja) 署名装置、検証装置、証明装置、暗号化装置、及び復号化装置
JP4546231B2 (ja) Ｉｄベース署名及び暗号化システムおよび方法
JP2009171521A (ja) 電子署名方式、電子署名プログラムおよび電子署名装置
JP4776906B2 (ja) 署名生成方法及び情報処理装置
CN106936584B (zh) 一种无证书公钥密码系统的构造方法
WO2006114948A1 (ja) 署名生成装置および署名検証装置
EP2061178A1 (en) Electronic signature system and electronic signature verifying method
TWI511517B (zh) Information processing apparatus, information processing method, program and recording medium
JP2000502196A (ja) 制御自写像公開鍵システム
JP5058654B2 (ja) 電子署名装置、方法、およびプログラム
Gentry How to compress Rabin ciphertexts and signatures (and more)
Andreevich et al. On Using Mersenne Primes in Designing Cryptoschemes
Prasad et al. Digital signatures
Qi A zero-knowledge proof of digital signature scheme based on the elliptic curve cryptosystem
JP2007151073A (ja) 鍵生成プログラム
JP2007329889A (ja) 公開鍵認証プログラム及び電子署名プログラム
JP6528560B2 (ja) 指標算出システム、指標算出方法、指標算出プログラム、及び、照合システム
Wei et al. Society-oriented designated confirmer signatures
Grünauer Proposal of a new efficient public key system for encryption and digital signatures

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980108247.2

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09730374

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2010507130

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 2009730374

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 12921507

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE