WO2013024629A1 - 情報処理装置、情報処理方法、プログラム、及び記録媒体 - Google Patents

情報処理装置、情報処理方法、プログラム、及び記録媒体 Download PDF

Info

Publication number
WO2013024629A1
WO2013024629A1 PCT/JP2012/066125 JP2012066125W WO2013024629A1 WO 2013024629 A1 WO2013024629 A1 WO 2013024629A1 JP 2012066125 W JP2012066125 W JP 2012066125W WO 2013024629 A1 WO2013024629 A1 WO 2013024629A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
algorithm
verifier
message
prover
Prior art date
Application number
PCT/JP2012/066125
Other languages
English (en)
French (fr)
Inventor
紘一 作本
Original Assignee
ソニー株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ソニー株式会社 filed Critical ソニー株式会社
Priority to CN201280038070.5A priority Critical patent/CN103718502B/zh
Priority to CA 2839690 priority patent/CA2839690A1/en
Priority to MX2014001451A priority patent/MX338025B/es
Priority to BR112014002854A priority patent/BR112014002854A2/pt
Priority to EP12823703.9A priority patent/EP2744146A4/en
Priority to KR1020147002640A priority patent/KR101986392B1/ko
Priority to RU2014104084/08A priority patent/RU2603551C2/ru
Priority to AU2012296044A priority patent/AU2012296044B2/en
Priority to US14/235,240 priority patent/US9178700B2/en
Publication of WO2013024629A1 publication Critical patent/WO2013024629A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3093—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving Lattices or polynomial equations, e.g. NTRU scheme
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response

Definitions

  • the present technology relates to an information processing apparatus, an information processing method, a program, and a recording medium.
  • Electronic signatures are used to identify the creator of an electronic document. Therefore, the electronic signature should be generated only by the creator of the electronic document. If a malicious third party can generate the same electronic signature, that third party can impersonate the creator of the electronic document. That is, a malicious third party may forge the electronic document.
  • a digital signature system widely used at present, for example, an RSA signature system, a DSA signature system, etc. are known.
  • the RSA signature scheme is based on "the difficulty of prime factorization for large composite numbers (hereinafter, prime factorization problem)" as the basis of security.
  • DSA signature scheme is based on "difficulty of deriving solution for discrete logarithm problem” as the basis of security.
  • MI Magnetic-Imai cryptography
  • HFE Hidden Field Equation cryptography
  • OV Olet-Vinegar signature scheme
  • TTM Treatment Method cryptography
  • the multivariate polynomial problem is an example of a problem called the NP hard problem which is difficult to solve even using a quantum computer.
  • a public key authentication method using a multivariate polynomial problem represented by HFE or the like utilizes a multiorder multivariate simultaneous equation in which a special trap door is installed.
  • multiorder multivariate simultaneous equations F and linear transformations A and B become trap doors.
  • a public key authentication method or a digital signature method can be realized, which is based on the difficulty of solution of multi-order multivariable simultaneous equations.
  • the present technology provides an efficient public key authentication method and electronic signature method having high security by using multi-order multivariate simultaneous equations for which means (trap door) to be solved efficiently is not known. It is intended to provide a new and improved information processing apparatus, information processing method, program, and recording medium capable of realizing the present invention.
  • An intermediate information generation unit that generates third information using the first information randomly selected by the verifier and the second information obtained when generating the message; and the third information for the verifier
  • the vector s is a secret key
  • the set F of polynomials and the vector y are public keys
  • the message is a verification pattern
  • the set F of multi-order multivariate polynomials is information obtained by executing an operation prepared in advance for the polynomial f 1 ,... Defined on the ring R of the characteristic q and the order q k .
  • An information processing apparatus is provided, configured to be configured with terms proportional to k).
  • An intermediate information acquiring unit for acquiring the third information, and a pattern information providing unit for providing information of one verification pattern randomly selected from k (k ⁇ 3) verification patterns to the prover; Answer information corresponding to the selected verification pattern
  • the prover performs the vector s based on an answer acquiring unit acquired from the prover, the message, the first information, the third information, a set F of the multi-order multivariate polynomials, and the answer information.
  • the vector s is a secret key
  • the multi-order multivariate polynomial set F and the vector y are public keys
  • the message is Information obtained by executing an operation prepared in advance for a verification pattern corresponding to the answer information using a public key, the first information, the third information, and the answer information
  • the verifier And providing the verifier with response information corresponding to the verification pattern selected by the verifier from k (k ⁇ 2) verification patterns, and the vector s is a secret key,
  • the set F of the multi-order multivariate polynomials and the vector y are public keys
  • the message is obtained by executing an operation prepared in advance for a verification pattern corresponding to the response information using the public key, the first information, the third information, and the response information.
  • An intermediate information generation function of generating third information using the first information randomly selected by the verifier and the second information obtained when generating the message;
  • the vector s is a secret key
  • the set F of the multi-order multivariate polynomials and the vector y are public keys
  • the message is the public key
  • the third Information which is information obtained by executing an operation prepared in advance for a verification pattern corresponding to the answer information using the information and the answer information
  • the set F of multi-order multivariate polynomials has a characteristic number q
  • X 2 ) F (x 1 + x 2 ) -F (x 1 ) -F (x 2 )
  • the prover generates the prover using the information providing function of providing randomly selected first information to the prover, and the second information obtained when generating the first information and the message.
  • the prover obtains the answer information from the prover, the prover based on the message, the first information, the third information, the set F of the multi-order multivariate polynomials, and the answer information.
  • An intermediate information generation function of generating third information using the first information randomly selected by the verifier and the second information obtained when generating the message;
  • the vector s is a secret key
  • the multi-order multivariate polynomial set F and the vector y are public keys
  • the message is the public key Information obtained by executing an operation prepared in advance for a verification pattern corresponding to the answer information using the key, the first information, the third information, and the answer information
  • the prover generates the prover using the information providing function of providing randomly selected first information to the prover, and the second information obtained when generating the first information and the message.
  • the prover obtains the answer information from the prover, the prover based on the message, the first information, the third information, the set F of the multi-order multivariate polynomials, and the answer information.
  • a computer readable recording medium having recorded thereon a program for causing a computer to realize a verification function of verifying whether the vector s is held, the vector s being a secret key
  • the set F of multi-order multivariate polynomials and the vector y are public keys, and the message corresponds to the response information using the public key, the first information, the third information, and the response information.
  • G (x 1, x 2) F (x 1 + x 2) -F (x 1
  • a recording medium is provided, which is configured to consist of terms proportional to ⁇ k).
  • composition of an algorithm concerning a public key attestation system It is an explanatory view for explaining composition of an algorithm concerning a digital signature method. It is explanatory drawing for demonstrating the structure of the algorithm which concerns on the public key authentication system of n path
  • FIG. 5 is an explanatory diagram for describing an example of an algorithm of a public key authentication scheme (scheme # 1) using a 5-pass high-order multivariate polynomial.
  • FIG. 18 is an explanatory diagram for describing an example of an algorithm of a public key authentication scheme (scheme # 2) using a 5-pass high-order multivariate polynomial. It is explanatory drawing for demonstrating an example of the parallelization algorithm of the public key authentication system (scheme # 2) using 5 path
  • 18 is an explanatory diagram for describing an example of a more efficient parallelization algorithm of a public key authentication scheme (scheme # 2) using a 5-pass high-order multivariate polynomial. It is an explanatory view for explaining a method of transforming an efficient algorithm concerning a 3-pass public key authentication method into an algorithm of a digital signature method. It is an explanatory view for explaining a method of transforming an efficient algorithm concerning a 3-pass public key authentication scheme into an algorithm of a more efficient digital signature scheme. It is an explanatory view for explaining a method of transforming an efficient algorithm concerning a 5-pass public key authentication scheme into an algorithm of a digital signature scheme.
  • FIG. 18 is an explanatory diagram for describing a parallel-serial configuration (parallel-serial configuration # 1) of an efficient algorithm related to a 5-pass public key authentication scheme.
  • FIG. 18 is an explanatory diagram for describing a parallel-serial configuration (parallel-serial configuration # 2) of an efficient algorithm related to a 5-pass public key authentication scheme.
  • the present embodiment relates to a public key authentication scheme and a digital signature scheme that base security on the difficulty of solving a multi-order multivariate simultaneous equation.
  • the present embodiment relates to a public key authentication method and an electronic signature method using multi-order multivariate simultaneous equations which do not have means (trap door) to be solved efficiently unlike the conventional methods such as the HFE electronic signature method.
  • FIG. 1 is an explanatory diagram for describing an outline of an algorithm of the public key authentication scheme.
  • Public key authentication is used to convince a person (certifier) to be another person (verifier) that the person is the person using the public key pk and the secret key sk.
  • the public key pk A of the prover A is disclosed to the verifier B.
  • the prover A's secret key sk A is secretly managed by the prover A.
  • the person who knows the secret key sk A corresponding to the public key pk A is considered to be the prover A himself.
  • the secret key sk corresponding to the public key pk A by the certifier A through the dialogue protocol
  • the verifier B should be presented with evidence that he knows A. Then, if evidence that the prover A knows the secret key sk A is presented to the verifier B and the examiner B confirms the evidence, the legitimacy (identity) of the prover A is It will be proved.
  • the first condition is to “make the probability of false proof established by a false witness who does not have the secret key sk when executing the dialogue protocol as small as possible”. It is called “soundness” that this first condition holds. In other words, soundness can be reworded as "a false witness that does not have the secret key sk can not establish false evidence with a probability that can not be ignored during execution of the dialogue protocol.”
  • the second condition is, "even if you perform an interactive protocol, information of the secret key sk A of the prover A has there is no leak at all to the verifier B" that is. It is called “zero knowledge" that this second condition holds.
  • model In the model of the public key authentication scheme, as shown in FIG. 1, there are two entities, a prover and a verifier.
  • the prover uses the key generation algorithm Gen to generate a set of a prover's unique secret key sk and a public key pk.
  • the prover executes the dialogue protocol with the verifier using the set of the secret key sk and the public key pk generated using the key generation algorithm Gen.
  • the prover executes the dialogue protocol using the prover algorithm P.
  • the prover uses the prover algorithm P to present to the verifier the evidence of holding the secret key sk in the dialogue protocol.
  • the verifier executes the dialogue protocol using the verifier algorithm V, and verifies whether or not the prover holds the private key corresponding to the public key published by the prover. That is, the verifier is an entity that verifies whether the prover holds the private key corresponding to the public key.
  • the model of the public key authentication scheme is composed of three entities of a prover and a verifier, and three algorithms of a key generation algorithm Gen, a prover algorithm P, and a verifier algorithm V.
  • the expressions “prover” and “verifier” are used, these expressions mean entity to the last. Therefore, the subject that executes the key generation algorithm Gen and the prover algorithm P is an information processing apparatus corresponding to the entity of the "prover”. Similarly, the subject that executes the verifier algorithm V is an information processing apparatus.
  • the hardware configuration of these information processing apparatuses is, for example, as shown in FIG. That is, the key generation algorithm Gen, the prover algorithm P, and the verifier algorithm V are executed by the CPU 902 or the like based on programs recorded in the ROM 904, the RAM 906, the storage unit 920, the removable recording medium 928 or the like.
  • the key generation algorithm Gen is used by the prover.
  • the key generation algorithm Gen is an algorithm that generates a pair of a secret key sk unique to the prover and a public key pk.
  • the public key pk generated by the key generation algorithm Gen is released. Then, the public key pk released is used by the verifier.
  • the prover manages the secret key sk generated by the key generation algorithm Gen in a secret.
  • the secret key sk secretly managed by the prover is used to prove to the verifier that the prover holds the secret key sk corresponding to the public key pk.
  • the key generation algorithm Gen is expressed as the following equation (1) as an algorithm which receives the security parameter 1 ⁇ ( ⁇ is an integer of 0 or more) and outputs the secret key sk and the public key pk. Ru.
  • the prover algorithm P is used by the prover.
  • the prover algorithm P is an algorithm for proving to the verifier that the prover holds the secret key sk corresponding to the public key pk. That is, the prover algorithm P is an algorithm that receives the secret key sk and the public key pk as input, and executes the dialogue protocol.
  • the verifier algorithm V is used by the verifier.
  • the verifier algorithm V is an algorithm for verifying whether the prover holds the secret key sk corresponding to the public key pk in the dialogue protocol.
  • the verifier algorithm V is an algorithm that receives the public key pk and outputs 0 or 1 (1 bit) according to the result of execution of the interaction protocol.
  • the verifier determines that the prover is invalid when the verifier algorithm V outputs 0, and determines that the prover is valid when 1 is output.
  • the verifier algorithm V is expressed as the following equation (2).
  • the dialogue protocol needs to satisfy the two conditions of soundness and zero knowledge.
  • the prover executes a procedure dependent on the secret key sk, notifies the verifier of the result, and It is necessary to have the verifier perform verification based on Performing procedures dependent on the secret key sk is necessary to ensure soundness.
  • FIG. 2 is an explanatory diagram for explaining an outline of an algorithm of the digital signature scheme.
  • the electronic signature refers to a mechanism for providing the recipient with signature data that is known only to the creator of the data and providing it to the recipient, and verifying the signature data on the recipient side.
  • model In the model of the electronic signature scheme, as shown in FIG. 2, there are two entities, a signer and a verifier.
  • the model of the electronic signature scheme is composed of three algorithms: a key generation algorithm Gen, a signature generation algorithm Sig, and a signature verification algorithm Ver.
  • the signer generates a pair of a signer's unique signature key sk and a verification key pk using the key generation algorithm Gen. Further, the signer generates a digital signature ⁇ to be attached to the document M using the signature generation algorithm Sig. That is, the signer is an entity that gives the document M a digital signature.
  • the verifier verifies the electronic signature ⁇ attached to the document M using the signature verification algorithm Ver. That is, the verifier is an entity that verifies the digital signature ⁇ in order to confirm whether the creator of the document M is a signer.
  • the expressions “signer” and “verifier” mean the entities to the last. Therefore, the subject that executes the key generation algorithm Gen and the signature generation algorithm Sig is an information processing apparatus corresponding to the “signer” entity. Similarly, an entity that executes the signature verification algorithm Ver is an information processing apparatus.
  • the hardware configuration of these information processing apparatuses is, for example, as shown in FIG. That is, the key generation algorithm Gen, the signature generation algorithm Sig, and the signature verification algorithm Ver are executed by the CPU 902 or the like based on programs recorded in the ROM 904, the RAM 906, the storage unit 920, the removable recording medium 928 or the like.
  • the key generation algorithm Gen is used by the signer.
  • the key generation algorithm Gen is an algorithm that generates a pair of a signer-specific signature key sk and a verification key pk.
  • the verification key pk generated by the key generation algorithm Gen is released.
  • the signature key sk generated by the key generation algorithm Gen is secretly managed by the signer.
  • the signature key sk is used to generate the electronic signature ⁇ given to the document M.
  • the key generation algorithm Gen takes a security parameter 1 ⁇ ( ⁇ is an integer of 0 or more) as an input, and outputs a signature key sk and a public key pk.
  • the key generation algorithm Gen can be formally expressed as the following equation (3).
  • the signature generation algorithm Sig is used by the signer.
  • the signature generation algorithm Sig is an algorithm for generating a digital signature ⁇ given to the document M.
  • the signature generation algorithm Sig is an algorithm that receives the signature key sk and the document M and outputs a digital signature ⁇ .
  • This signature generation algorithm Sig can be formally expressed as the following equation (4).
  • the signature verification algorithm Ver is used by the verifier.
  • the signature verification algorithm Ver is an algorithm for verifying whether the digital signature ⁇ is a valid electronic signature for the document M.
  • the signature verification algorithm Ver is an algorithm that receives a signer's verification key pk, a document M, and a digital signature ⁇ as input, and outputs 0 or 1 (1 bit).
  • This signature verification algorithm Ver can be formally expressed as the following equation (5).
  • the verifier determines that the electronic signature ⁇ is invalid when the signature verification algorithm Ver outputs 0 (when the public key pk rejects the document M and the electronic signature ⁇ ), and outputs 1 ( If the public key pk accepts the document M and the electronic signature ⁇ ), it is determined that the electronic signature ⁇ is valid.
  • FIG. 3 is an explanatory diagram for describing an n-pass public key authentication scheme.
  • the public key authentication method is an authentication method that proves to the verifier that the prover holds the secret key sk corresponding to the public key pk in the dialogue protocol.
  • the dialogue protocol needs to satisfy two conditions of soundness and zero knowledge. Therefore, in the dialogue protocol, as shown in FIG. 3, both the prover and the verifier exchange information n times while executing processing.
  • an "n-pass" public key authentication scheme a scheme in which information is transmitted and received n times.
  • the 3-pass public key authentication scheme may be referred to as a “3-pass scheme”.
  • FIG. 4 is an explanatory diagram for describing a specific algorithm configuration related to the 3-pass scheme.
  • the 3-pass algorithm is configured by a key generation algorithm Gen, a prover algorithm P, and a verifier algorithm V. The configuration of each algorithm will be described below.
  • the key generation algorithm Gen sets (f 1 (x 1 ,..., X n ),..., F m (x 1 ,..., X n ), y) as the public key pk and s as the secret key Set
  • the vector (x 1 ,..., X n ) is represented as x
  • the set of multivariate polynomials (f 1 (x),..., F m (x)) is represented as F (x) make it
  • the public key pk is assumed to be public to the verifier. Also, it is assumed that the secret key s is secretly managed by the prover. Hereinafter, the description will be made along the flowchart shown in FIG.
  • Process # 1 (cont.): Next, the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 . Furthermore, the prover algorithm P calculates F 2 (x) ⁇ F (x + r 0 ) + F 1 (x). This calculation corresponds to an operation of masking the multivariate polynomial F (x + r 0 ) with respect to x by the multivariate polynomial F 1 (x).
  • Process # 1 (cont.): Then, the prover algorithm P generates a hash value c 0 of F 1 (r 1 ) and r 1 . That is, the prover algorithm P calculates c 0 H H (F 1 (r 1 ), r 1 ). Also, the prover algorithm P generates a hash value c 1 of the number seed 1 . That is, the prover algorithm P calculates c 1 ⁇ H (seed 1 ). Furthermore, the prover algorithm P generates a hash value c 2 of the multivariable polynomial F 2 . That is, the prover algorithm P calculates c 2 H H (F 2 ).
  • This hash value (c 0 , c 1 , c 2 ) is sent as a message to the verifier algorithm V.
  • the information on s, the information on r 0 and the information on r 1 do not leak to the verifier.
  • Process # 2 The verifier algorithm V that receives the message (c 0 , c 1 , c 2 ) selects which one of the three verification patterns to use. For example, the verifier algorithm V selects one numerical value from three numerical values ⁇ 0, 1, 2 ⁇ representing the type of verification pattern, and sets the selected numerical value in the request Ch. This request Ch is sent to the prover algorithm P.
  • Process # 4 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • the commitment function COM is a function that takes a string S and a random number ⁇ as arguments.
  • An example of the commitment function is the method presented by Shai Halevi and Silvio Micali at the international conference CRYPTO1996.
  • the multivariate polynomial F can be expressed as the following Expression (10) and Expression (11). It can be easily confirmed from the following equation (12) that this expression holds.
  • the sum of the multivariate polynomial F (x + r 0 ) and G (x) is expressed as the following equation (13).
  • Process # 1 As shown in FIG. 5, the prover algorithm P randomly generates vectors r 0 , t 0 ⁇ K n and e 0 ⁇ K m . Next, the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 . Furthermore, the prover algorithm P calculates t 1 rr 0 ⁇ t 0 . Next, the prover algorithm P calculates e 1 ⁇ F (r 0 ) ⁇ e 0 .
  • Process # 1 (cont.): Next, the prover algorithm P calculates c 0 HH (r 1 , G (t 0 , r 1 ) + e 0 ). Next, the prover algorithm P calculates c 1 H H (t 0 , e 0 ). Next, the prover algorithm P calculates c 2 H H (t 1 , e 1 ). The message (c 0 , c 1 , c 2 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that receives the message (c 0 , c 1 , c 2 ) selects which one of the three verification patterns to use. For example, the verifier algorithm V selects one numerical value from three numerical values ⁇ 0, 1, 2 ⁇ representing the type of verification pattern, and sets the selected numerical value in the request Ch. This request Ch is sent to the prover algorithm P.
  • Process # 4 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • a serial method in which the exchange of messages, requests, and replies is sequentially repeated plural times and the exchange of messages, requests, and answers for plural times in one exchange are performed.
  • a parallel method can be considered.
  • an algorithm hereinafter, parallelization algorithm that executes the above-mentioned dialogue protocol according to the 3-pass scheme in parallel will be described.
  • Process (1) The prover algorithm P randomly generates vectors r 0i , t 0i ⁇ K n and e 0i ⁇ K m .
  • Process (3) The prover algorithm P calculates e 1i ⁇ F (r 0i ) ⁇ e 0i .
  • the hash value Cmt generated in step # 1 is sent to the verifier algorithm V.
  • the amount of communication can be reduced by converting the messages (c 01 , c 11 , c 21 ,..., C 0 N , c 1 N , c 2 N ) into hash values and sending them to the verifier algorithm V. It will be possible.
  • Process # 3 Request Ch 1, ..., a prover algorithm P that received Ch N, requested Ch 1 received, ..., reply Rsp 1 to send to the verifier algorithm V in accordance respective Ch N, ..., to produce a Rsp N.
  • Ch i 2i
  • the prover algorithm P, Rsp i (r 1i, t 1i, e 1i, c 1i) to produce a.
  • the responses Rsp 1 ,..., Rsp N generated in step # 3 are sent to the verifier algorithm V.
  • Ch i 1, the verifier algorithm V from Rsp i (r 1i, t 0i , e 0i, c 2i) taken out.
  • the verifier algorithm V holds (c 0i , c 1i , c 2i ).
  • the configuration example of the efficient parallelization algorithm according to the 3-pass scheme has been described above.
  • the parallelization algorithm shown in FIG. 6 incorporates a device for converting a message into a hash value and then transmitting it. Communication efficiency improves by this device.
  • request Ch 1, ..., Ch N and responses Rsp 1, ... it may be modified configuration to transmit after converting the Rsp N to the hash value. By modifying the configuration in this manner, further improvement in communication efficiency can be expected.
  • the following formulas (14) to (16) have a first portion reproducible by (r 0 , t 1 , e 1 ) and a second portion reproducible by (r 1 , t 0 , e 0 ) It can be divided into a part and a third part reproducible by (r 1 , t 1 , e 1 ).
  • “r 0 , t 1 ” included in the following formula (15) and “F (r 0 ), e 1 ” included in the following formula (16) are the first part.
  • “e 0 , G (t 0 , r 1 )” included in the following equation (14), “t 0 ” included in the following equation (15), “e in the following equation (16) 0 is the second part.
  • “e 1 , F (r 1 ), G (t 1 , r 1 )” included in the following formula (14) is a third part.
  • the following formula (14) is composed of the second and third parts
  • the following formula (15) is composed of the first and second parts
  • the following formula (16) is composed of the first and the second parts. It consists of two parts.
  • the following formulas (14) to (16) are each composed of two types of parts. Also, from the definition of the secret key s and the relationships of the following equations (14) to (16), (r 0 , t 1 , e 1 ), (r 1 , t 0 , e 0 ), (r 1 , t It is ensured that the secret key s can not be obtained even if any one of 1 , 1 and e 1 ) is used. Using these properties, for example, an efficient algorithm according to the 3-pass scheme shown in FIG. 5 can be constructed.
  • g xl and g yl are respectively as in the following formula (19) and formula (20) Can be deployed.
  • the second term on the right side of the g xl are the primary For any x and y, it may be included in the g yl.
  • G x (x, y) and G y (x, y) are additively homomorphic to x and y. Therefore, new variables r 0 , r 1 , t 0 , u 0 and e 0 are introduced and released in the same manner as the efficient algorithm construction method using the second-order polynomial f i using these properties. Divide the key F (s).
  • the following equation (21) is composed of the third and fourth parts
  • the following equation (22) and the following equation (23) are composed of the first and fourth parts
  • 24) is composed of first and second parts.
  • the following formulas (21) to (24) are each composed of two types of parts.
  • the basic point about the design of the extended algorithm is to send the message expressed by the following equation (25) to the equation (27) to the verifier, and perform the verification on any of the first to fourth parts. 2 points.
  • this verification alone can not verify whether “r 1 ” included in the third part is equal to “r 1 ” included in the fourth part.
  • "r 0 " included in the first part is equal to "r 0 " included in the second part, or "t 0 , e 0 " included in the first part and the third part
  • It can not be verified that "t 0 , e 0 " included in is equal.
  • it can not be verified whether "u 1 , e 1 " included in the second part is equal to "u 1 , e 1 " included in the fourth part. So, below, the example of composition which enabled these verifications is introduced.
  • Process # 1 As shown in FIG. 7, the prover algorithm P randomly generates vectors r 0 , t 0 , u 0 ⁇ K n and e 0 ⁇ K m . Next, the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 . Next, the prover algorithm P calculates t 1 rr 0 ⁇ t 0 . Then, the prover algorithm P calculates u 1 rr 1 ⁇ u 0 . Next, the prover algorithm P calculates e 1 ⁇ F (r 0 ) ⁇ e 0 .
  • Process # 1 (cont.): Next, the prover algorithm P calculates c 0 H H (r 1 , G x (t 0 , r 1 ) + e 0 ). Next, the prover algorithm P calculates c 1 HH (r 0 ⁇ t 0 , u 0 ). Next, the prover algorithm P calculates c 2 H H (r 0 , e 1 -G y (r 0 , u 1 )). Next, the prover algorithm P calculates c 3 H H (t 0 , e 0 ). Then, the prover algorithm P calculates c 4 H H (u 1 , e 1 ). The messages (c 0 , c 1 , c 2 , c 3 , c 4 ) generated in step # 1 are sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that receives the message (c 0 , c 1 , c 2 , c 3 , c 4 ) selects which of the four verification patterns is to be used. For example, the verifier algorithm V selects one numerical value from four numerical values ⁇ 0, 1, 2, 3 ⁇ representing the type of verification pattern, and sets the selected numerical value in the request Ch. This request Ch is sent to the prover algorithm P.
  • Process # 3 The prover algorithm P that has received the request Ch generates a response Rsp to be sent to the verifier algorithm V according to the received request Ch.
  • the response Rsp generated in step # 3 is sent to the verifier algorithm V.
  • Process # 4 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • the verifier algorithm V outputs the value 1 indicating the authentication success when all the verifications are successful, and outputs the value 0 indicating the authentication failure when the verification fails.
  • the prover algorithm P randomly generates vectors r 0i , t 0i , u 0i ⁇ K n and e 0i ⁇ K m .
  • the prover algorithm P calculates r 1i ⁇ s ⁇ r 0i . This calculation corresponds to an operation of masking the secret key s with the vector r 0i .
  • the prover algorithm P calculates t 1i ⁇ r 0i -t 0i .
  • the prover algorithm P calculates u 1i ⁇ r 1i -u 0i .
  • the prover algorithm P calculates e 1i ⁇ F (r 0i ) ⁇ e 0i .
  • Process # 1 (cont.): Next, the prover algorithm P calculates c 0i ⁇ H (r 1i , G x (t 0i , r 1i ) + e 0i ). Next, the prover algorithm P calculates c 1i ⁇ H (r 0i ⁇ t 0i , u 0i ). Next, the prover algorithm P calculates c 2i ⁇ H (r 0i , e 1i -G y (r 0i , u 1i )). Next, the prover algorithm P calculates c 3i ⁇ H (t 0i , e 0i ).
  • the prover algorithm P calculates c 4i ⁇ H (u 1i , e 1i ). (C 01, c 11, c 21, c 31, c 41, ..., c 0N, c 1N, c 2N, c 3N, c 4N) after generating, prover algorithm P, the hash value Cmt ⁇ H ( Calculate c 01 , c 11 , c 21 , c 31 , c 41 ,..., c 0 N , c 1 N , c 2 N , c 3 N , c 4 N ).
  • the hash value Cmt generated in step # 1 is sent to the verifier algorithm V.
  • Ch i 1
  • Ch i 1
  • the verifier algorithm V holds (c 0i , c 1i , c 2i , c 3i , c 4i ).
  • Ch i 2
  • the verifier algorithm V holds (c 0i , c 1i , c 2i , c 3i , c 4i ).
  • the verifier algorithm V outputs the value 1 indicating the authentication success when the verification is successful, and outputs the value 0 indicating the authentication failure when the verification fails.
  • the false evidence rate per interaction protocol is 2/3, but in the case of the 5-pass scheme, the false evidence probability per interactive protocol is 1/2 + 1 / q. Where q is the order of the ring to be used. Therefore, if the order of the ring is sufficiently large, the 5-pass scheme can reduce the perjudging probability per time, and can reduce the perjudacy probability sufficiently with a small number of executions of the dialogue protocol. it can.
  • FIG. 9 is an explanatory diagram for describing a specific algorithm configuration related to the 5-pass scheme.
  • the 5-pass algorithm is composed of a key generation algorithm Gen, a prover algorithm P, and a verifier algorithm V. The configuration of each algorithm will be described below.
  • the key generation algorithm Gen sets (f 1 ,..., F m , y) as the public key pk and sets s as the secret key.
  • the vector (x 1 ,..., X n ) is represented as x
  • the set of multivariable polynomials (f 1 (x),..., F m (x)) is represented as F (x).
  • Process # 1 As shown in FIG. 9, the prover algorithm P randomly selects the number seed 0 .
  • the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 .
  • Process # 1 (cont.): Then, the prover algorithm P generates a hash value c 0 of F 1 (r 1 ) and r 1 . That is, the prover algorithm P calculates c 0 H H (F 1 (r 1 ), r 1 ). Also, the prover algorithm P generates a hash value c 1 of several seeds 0 . That is, the prover algorithm P calculates c 1 ⁇ H (seed 0 ). The message (c 0 , c 1 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that has received the message (c 0 , c 1 ) randomly selects one number Ch A from the elements of the ring K existing in q ways, and sends the selected number Ch A to the prover algorithm P.
  • Process # 3 The prover algorithm P that has received the number Ch A calculates F 2 (x) ⁇ Ch A ⁇ F (x + r 0 ) + F 1 (x). This calculation corresponds to an operation of masking the multivariate polynomial F (x + r 0 ) with respect to x by the multivariate polynomial F 1 (x).
  • the multivariable polynomial F 2 generated in step # 3 is sent to the verifier algorithm V.
  • Process # 4 The verifier algorithm V that has received the multivariable polynomial F 2 selects which one of the two verification patterns to use. For example, the verifier algorithm V selects one numerical value from among two numbers representing verification patterns ⁇ 0, 1 ⁇ , and set the selected numerical value in the request Ch B. This request Ch B is sent to the prover algorithm P.
  • Process # 6 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • the false witness can not succeed in false proof with a probability higher than 1/2 + 1 / q. Note that by executing the above dialogue protocol a sufficient number of times, it is possible to make the probability of success in perjury small enough to ignore.
  • the commitment function COM is a function that takes a string S and a random number ⁇ as arguments.
  • An example of the commitment function is the method presented by Shai Halevi and Silvio Micali at the international conference CRYPTO1996.
  • F 1 (x) G (x, t 0 ) + e 0 .
  • the above-mentioned modification does not leak any information related to r 0 from F 2 (or F 1 ).
  • F 2 or F 1
  • the information on r 0 can not be known at all unless the e 0 and t 0 (or e 1 and t 1 ) are known. Therefore, zero knowledge is secured.
  • the efficient algorithm according to the 5-pass scheme will be described below with reference to FIGS. 10 and 11.
  • Process # 1 As shown in FIG. 10, the prover algorithm P randomly generates vectors r 0 ⁇ K n , t 0 ⁇ K n and e 0 ⁇ K m . Next, the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 . Next, the prover algorithm P generates a hash value c 0 of the vectors r 0 , t 0 and e 0 . That is, the prover algorithm P calculates c 0 ⁇ H (r 0 , t 0 , e 0 ).
  • the prover algorithm P generates a hash value c 1 of G (t 0 , r 1 ) + e 0 and r 1 . That is, the prover algorithm P calculates c 0 H H (r 1 , G (t 0 , r 1 ) + e 0 ).
  • the message (c 0 , c 1 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that has received the message (c 0 , c 1 ) randomly selects one number Ch A from the elements of the ring K existing in q ways, and sends the selected number Ch A to the prover algorithm P.
  • Process # 3 The prover algorithm P that has received the number Ch A calculates t 1 ⁇ Ch A ⁇ r 0 -t 0 . Furthermore, the prover algorithm P calculates e 1 ChCh A ⁇ F (r 0 ) ⁇ e 0 . Then, the prover algorithm P sends t 1 and e 1 to the verifier algorithm V.
  • Process # 4 The verifier algorithm V that has received t 1 and e 1 selects which one of two verification patterns to use. For example, the verifier algorithm V selects one numerical value from among two numbers representing verification patterns ⁇ 0, 1 ⁇ , and set the selected numerical value in the request Ch B. This request Ch B is sent to the prover algorithm P.
  • Process # 6 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • Ch B 1
  • a serial method in which the exchange of messages, requests, and replies is sequentially repeated plural times and the exchange of messages, requests, and answers for plural times in one exchange are performed.
  • a parallel method can be considered.
  • an algorithm hereinafter, parallelization algorithm that executes the above-mentioned dialogue protocol according to the 5-pass scheme in parallel will be described.
  • Process (1) The prover algorithm P randomly generates vectors r 0i , t 0i ⁇ K n and e 0i ⁇ K m .
  • the configuration example of the efficient parallelization algorithm according to the 5-pass scheme has been described above.
  • the parallelization algorithm shown in FIG. 11 incorporates a device for converting a message into a hash value and then transmitting it. Communication efficiency improves by this device.
  • requests Ch A1, ..., Ch AN, Ch B1, ..., Ch BN and responses Rsp 1, ... may be modified configuration to transmit after converting a hash value and Rsp N. By modifying the configuration in this manner, further improvement in communication efficiency can be expected.
  • Equation (36) Equation 317
  • Equation (37) Equation 317
  • Process # 1 As shown in FIG. 12, the prover algorithm P randomly generates vectors r 0 , t 0 , u 0 ⁇ K n and e 0 ⁇ K m . Next, the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 . Next, the prover algorithm P calculates c 0 HH (r 0 , t 0 , e 0 -G y (r 0 , u 0 )).
  • the prover algorithm P calculates c 1 H H (r 1 , u 0 , G x (t 0 , r 1 ) + e 0 ).
  • the message (c 0 , c 1 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that has received the message (c 0 , c 1 ) randomly selects the number Ch A. This number Ch A is sent to the prover algorithm P.
  • Process # 3 The prover algorithm P that has received the number Ch A calculates t 1 ⁇ Ch A ⁇ r 0 -t 0 . Then, the prover algorithm P calculates u 1 ChCh A ⁇ r 1 -u 0 . Next, the prover algorithm P calculates e 1 ChCh A ⁇ F (r 0 ) + Ch A ⁇ G y (r 0 , r 1 ) ⁇ e 0 . The (t 1 , u 1 , e 1 ) generated in step # 3 is sent to the verifier algorithm V.
  • Process # 4 The verifier algorithm V that has received (t 1 , u 1 , e 1 ) selects which one of the two verification patterns to use. For example, the verifier algorithm V selects one numerical value from among two numbers representing verification patterns ⁇ 0, 1 ⁇ , and set the selected numerical value in the request Ch B. This request Ch B is sent to the prover algorithm P.
  • Process # 6 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • the verifier algorithm V outputs the value 1 indicating the authentication success when the verification is successful, and outputs the value 0 indicating the authentication failure when the verification fails.
  • the verifier algorithm V outputs the value 1 indicating the authentication success when the verification is successful, and outputs the value 0 indicating the authentication failure when the verification fails.
  • the prover algorithm P randomly generates vectors r 0i , t 0i , u 0i ⁇ K n and e 0i ⁇ K m .
  • the prover algorithm P calculates r 1i ⁇ s ⁇ r 0i . This calculation corresponds to an operation of masking the secret key s with the vector r 0i .
  • the prover algorithm P calculates c 0i ⁇ H (r 0i , t 0i , e 0i -G y (r 0i , u 0i )).
  • the prover algorithm P calculates c 1i ⁇ H (r 1i , u 0i , G x (t 0i , r 1i ) + e 0i ).
  • Process # 1 (cont.): After calculating (c 01 , c 11 ,..., C 0N , c 1N ), the prover algorithm P calculates a hash value Cmt H H (c 01 , c 11 ,..., C 0N , c 1N ). The hash value Cmt generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that has received the hash value Cmt randomly selects the numbers Ch A1 ,..., Ch AN .
  • the numbers Ch A1 ,..., Ch AN are sent to the prover algorithm P.
  • step # 3 (T 11 , u 11 , e 11 ,..., T 1N , u 1N , e 1N ) generated in step # 3 are sent to the verifier algorithm V.
  • Ch Bi 0
  • Ch Bi 1
  • the response Rsp i generated in step # 5 is sent to the verifier algorithm V.
  • the verifier algorithm V outputs the value 1 indicating the authentication success when the verification is successful, and outputs the value 0 indicating the authentication failure when the verification fails.
  • the relationship shown in the following equation (40) holds for Ch A ⁇ R. Furthermore, the relationship shown in the following equation (41) also holds. Therefore, using these properties (hereinafter referred to as quasi-linearity), new variables r 0 , r 1 , t 0 z and e 0 are introduced, and a term obtained by multiplying the public key F (s) by Ch A Divide the Since the polynomial G has quasi-linearity, the relationships of the following equations (42) to (44) hold, using the variables r 0 , r 1 , t 0z and e 0 . Further, the following equation (42) to (44) can be divided and a first part that is dependent on Ch A, and a second portion that does not depend on Ch A. However, the first part can be reproduced by (r 1 , t 1z , e 1 ). Also, the second part can be reproduced by (r 0 , t 1z , e 1 ).
  • any one of (r 1 , t 1z , e 1 ) and (r 0 , t 1z , e 1 ) is It is guaranteed that the secret key s can not be obtained even if it is used. Utilizing these properties, for example, can be constructed efficient algorithm related to the 5-pass method using a high-order polynomial f l on the ring R (hereinafter, high-order extended algorithm) a.
  • Process # 1 As shown in FIG. 14, the prover algorithm P randomly generates vectors r 0 , t 01 ,..., T 0k ⁇ K n and e 0 ⁇ K m . Next, the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 . Next, the prover algorithm P calculates c 0 ⁇ H (r 0 , t 01 ,..., T 0k , e 0 ).
  • step # 1 the prover algorithm P, c 1 ⁇ H (r 1 , ⁇ z G z (t 0z, r 1) + e 0) ( where, sigma z represents.
  • the sum of z 1 ⁇ k) calculate Do.
  • the message (c 0 , c 1 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that has received the message (c 0 , c 1 ) randomly selects the number Ch A. This number Ch A is sent to the prover algorithm P.
  • Process # 4 The verifier algorithm V that has received (t 11 ,..., T 1k , e 1 ) selects which one of the two verification patterns to use. For example, the verifier algorithm V selects one numerical value from among two numbers representing verification patterns ⁇ 0, 1 ⁇ , and set the selected numerical value in the request Ch B. This request Ch B is sent to the prover algorithm P.
  • Process # 6 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • the verifier algorithm V outputs the value 1 indicating the authentication success when the verification is successful, and outputs the value 0 indicating the authentication failure when the verification fails.
  • the verifier algorithm V outputs the value 1 indicating the authentication success when the verification is successful, and outputs the value 0 indicating the authentication failure when the verification fails.
  • the prover algorithm P randomly generates vectors r 0i , t 01i ,..., T 0ki ⁇ K n and e 0i ⁇ K m .
  • the prover algorithm P calculates r 1i ⁇ s ⁇ r 0i . This calculation corresponds to an operation of masking the secret key s with the vector r 0i .
  • the prover algorithm P calculates c 0i ⁇ H (r 0i , t 01i ,..., T 0ki , e 0i ).
  • Ch Bi 0
  • the verifier algorithm V outputs a value 1 indicating authentication success when all the verifications are successful, and outputs a value 0 indicating authentication failure when the verification fails.
  • the prover algorithm P calculates the hash value Cmt A H H (c 01 , c 11 ,..., C 0N , c 1N ) at step # 1.
  • the prover algorithm P calculates the hash value Cmt B ⁇ H (t 111 ,..., T 1kN , e 11 ,..., E 1N ) in step # 3.
  • the size of the public key is 80 bits
  • the size of the secret key is 84 bits
  • the size of the communication data is 27,814 bits. That is, by applying the high-order extension algorithm, it is possible to significantly reduce the size of the public key and the size of the secret key while maintaining the communication data size to the same extent.
  • the size of the public key is 81 bits
  • the size of the secret key is 84 bits
  • the size of the communication data is 27145 bits.
  • the size of the public key is 80 bits
  • the size of the secret key is 84 bits
  • the size of the communication data is 28392 bits. Under both conditions, significant efficiency has been achieved.
  • the prover in the model of the public key authentication scheme corresponds to the signer in the digital signature scheme, it is easily understood that it is similar to the model of the digital signature scheme in that only the prover can convince the verifier. It will be done. Based on such an idea, a method of transforming the above-described public key authentication scheme into a digital signature scheme will be described.
  • the Cmt generated by the prover algorithm P in step # 1 is sent to the verifier algorithm V.
  • Step # 2 is configured by a process of selecting Ch 1 ,..., Ch N.
  • Ch 1 ,..., Ch N selected by the verifier algorithm V at step # 2 are sent to the prover algorithm P.
  • Step # 3 Ch 1, ..., Ch N and a 1, ..., Rsp 1 with a N, ..., consisting of the process of generating Rsp N. This process is expressed as Rsp i SelectSelect (Ch i , a i ).
  • the Rsp 1 ,..., Rsp N generated by the prover algorithm P at step # 3 are sent to the verifier algorithm V.
  • the algorithm of the public key authentication scheme expressed in the above steps # 1 to # 4 is transformed into a signature generation algorithm Sig and a signature verification algorithm Ver as shown in FIG.
  • the signature generation algorithm Sig is composed of the following processes (1) to (5).
  • Process (3): The signature generation algorithm Sig calculates (Ch 1 ,..., Ch N ) ⁇ H (M, Cmt). This M is a document to which a signature is given.
  • the signature verification algorithm Ver is composed of the following processing (1) to processing (3).
  • Process (1): The signature verification algorithm Ver calculates (Ch 1 ,..., Ch N ) ⁇ -H (M, Cmt). Processing (2): The signature verification algorithm Ver, Ch 1, ..., Ch N and Rsp 1, ..., c 01, c 11, c 21 using Rsp N, generate ..., c 0N, c 1N, c 2N Do. Process (3): The signature verification algorithm Ver uses the reproduced c 01 , c 11 , c 21 ,..., C 0 N , c 1 N , c 2 N to use Cmt H (c 01 , c 11 , c 21 ,. Verify c 0N , c 1N , c 2N ).
  • the signature generation algorithm Sig is composed of the following processing (1) to processing (4).
  • the signature verification algorithm Ver is configured by the following processing (1) and processing (2).
  • Treatment (1) The signature verification algorithm Ver, Ch 1, ..., Ch N and Rsp 1, ..., c 01, c 11, c 21 using Rsp N, generate ..., c 0N, c 1N, c 2N Do.
  • Process (2): The signature verification algorithm Ver uses the reproduced c 01 , c 11 , c 21 ,..., C 0 N , c 1 N , c 2 N and uses (Ch 1 ,..., Ch N ) H (c 01 , Verify c 11 , c 21 ,..., c 0N , c 1N , c 2N ).
  • FIG. 20 An efficient algorithm according to the 5-pass scheme (see, for example, FIGS. 11, 13 and 16) is represented by five dialogues and six steps # 1 to # 6. .
  • the Cmt generated by the prover algorithm P in step # 1 is sent to the verifier algorithm V.
  • the process # 2 is configured by a process of selecting Ch A1 to Ch AN .
  • Ch A1 ,..., Ch AN selected by the verifier algorithm V at step # 2 are sent to the prover algorithm P.
  • the b 1 ,..., B N generated by the prover algorithm P at step # 3 are sent to the verifier algorithm V.
  • Process # 4 is comprised of a process of selecting Ch B1 ,..., Ch BN .
  • the Ch B1 ,..., Ch BN selected by the verifier algorithm V at step # 4 are sent to the prover algorithm P.
  • Step # 5 Ch B1, ..., Ch BN , a 1, ..., a N, b 1, ..., Rsp 1 with b N, ..., consisting of the process of generating Rsp N. This process is expressed as Rsp i SelectSelect (Ch Bi , a i , b i ).
  • the Rsp 1 ,..., Rsp N generated by the prover algorithm P at step # 5 are sent to the verifier algorithm V.
  • the algorithm of the public key authentication scheme expressed in the above steps # 1 to # 6 is transformed into a signature generation algorithm Sig and a signature verification algorithm Ver as shown in FIG.
  • the signature generation algorithm Sig is composed of the following processing (1) to processing (7).
  • the signature verification algorithm Ver is composed of the following processing (1) to processing (4).
  • Process (1) The signature verification algorithm Ver calculates (Ch A1 ,..., Ch AN ) ⁇ H (M, Cmt).
  • Process (2) The signature verification algorithm Ver calculates (Ch B1 ,..., Ch BN ) H H (M, C mt, Ch A1 ,..., Ch AN , b 1 ,..., B N ).
  • Process (5) executed by the signature verification algorithm Ver, if (Ch B1 ,..., Ch BN ) ⁇ H (Ch A1 ,..., Ch AN , b 1 ,..., B N ), the signature verification is performed.
  • the algorithm Ver calculates (Ch B1 ,..., Ch BN ) (H (Ch A1 ,..., Ch AN , b 1 ,..., B N ).
  • FIG. 21 (4-2-2: Electronic Signature Algorithm (Configuration Example 2: High Efficiency) (FIG. 21)) As shown in FIG. 21, a more efficient algorithm according to the 5-pass scheme (see, eg, FIG. 17) is represented by 5 interactions and 6 steps # 1 to # 6.
  • Cmt A generated by the prover algorithm P at step # 1 is sent to the verifier algorithm V.
  • the process # 2 is configured by a process of selecting Ch A1 to Ch AN .
  • Ch A1 ,..., Ch AN selected by the verifier algorithm V at step # 2 are sent to the prover algorithm P.
  • the Cmt B generated by the prover algorithm P in step # 3 is sent to the verifier algorithm V.
  • Process # 4 is comprised of a process of selecting Ch B1 ,..., Ch BN .
  • the Ch B1 ,..., Ch BN selected by the verifier algorithm V at step # 4 are sent to the prover algorithm P.
  • Step # 5 Ch B1, ..., Ch BN , a 1, ..., a N, b 1, ..., Rsp 1 with b N, ..., consisting of the process of generating Rsp N. This process is expressed as Rsp i SelectSelect (Ch Bi , a i , b i ).
  • the Rsp 1 ,..., Rsp N generated by the prover algorithm P at step # 5 are sent to the verifier algorithm V.
  • the algorithm of the public key authentication scheme expressed in the above steps # 1 to # 6 is transformed into a signature generation algorithm Sig and a signature verification algorithm Ver as shown in FIG.
  • the signature generation algorithm Sig is composed of the following processes (1) to (8).
  • Process (1): The signature generation algorithm Sig generates ai ( r0i , t0i , e0i , r1i , t1i , e1i , c0i , c1i ).
  • the signature verification algorithm Ver is composed of the following processing (1) to processing (5).
  • the signature verification algorithm Ver is changed to (Ch B1 ,..., Ch BN ) ⁇ H (Ch A1 ,..., Ch AN , Cmt B ).
  • Process (3) The signature verification algorithm Ver, Ch A1, ..., Ch AN , Ch B1, ..., Ch BN, Rsp 1, ..., c 01, c 11 using Rsp N, ..., c 0N, c 1N , B 1 ,..., B N are generated.
  • Processing (4): The signature verification algorithm Ver, c 01, c 11 regenerated, ..., c 0N, Cmt A H with c 1N (c 01, c 11 , ..., c 0N, c 1N) verifies Do.
  • Processing (5): The signature verification algorithm Ver, b 1 was regenerated, ..., Cmt B H ( b 1, ..., b N) with b N verifying.
  • Hybrid algorithm> The need to run the dialogue protocol multiple times to reduce the probability of false evidence to a negligible extent has already been described.
  • a serial method and a parallel method were introduced as a method of executing the dialogue protocol multiple times.
  • the parallel method has been described by showing a specific parallelization algorithm.
  • FIG. 22 shows an algorithm of basic configuration and an algorithm of parallel serial configuration.
  • the message Cmt is sent from the prover to the verifier in the first pass.
  • a request Ch is sent from the verifier to the prover.
  • the prover sends a reply Rsp to the verifier.
  • N messages (Cmt 1 ,..., Cmt N ) are sent from the prover to the verifier in the first pass.
  • a single request Ch 1 is sent from the verifier to the prover.
  • the prover sends a single response Rsp 1 to the verifier. Thereafter, exchanges of requests Ch 2 ,..., Ch N and responses R sp 2 ,..., R sp N are sequentially performed between the prover and the verifier.
  • FIG. 23 shows an algorithm of the basic configuration and an algorithm of the serial-parallel configuration.
  • the message Cmt is sent from the prover to the verifier in the first pass.
  • a request Ch is sent from the verifier to the prover.
  • the prover sends a reply Rsp to the verifier.
  • one message Cmt 1 is sent from the prover to the verifier in the first pass.
  • a single request Ch 1 is sent from the verifier to the prover.
  • messages Cmt 2 ,..., Cmt N and requests Ch 2 ,..., Ch N are sequentially exchanged between the prover and the verifier.
  • the prover sends N responses Rsp 2 ,..., Rsp N to the verifier.
  • FIG. 24 shows the algorithm of the basic configuration and the algorithm of parallel serial configuration # 1.
  • the message Cmt A is sent from the prover to the verifier in the first pass.
  • the number Ch A is sent from the verifier to the prover.
  • the vector Cmt B is sent from the prover to the verifier.
  • a request Ch B is sent from the verifier to the prover.
  • the prover sends a reply Rsp to the verifier.
  • N messages (Cmt A1 ,..., Cmt AN ) are sent from the prover to the verifier in the first pass.
  • one pass Ch A1 is sent from the verifier to the prover.
  • one vector Cmt B1 is sent from the prover to the verifier.
  • a single request Ch B1 is sent from the verifier to the prover.
  • one test response Rsp 1 is sent from the prover to the verifier.
  • FIG. 25 shows the algorithm of the basic configuration and the algorithm of parallel serial configuration # 2.
  • N messages (Cmt A1 ,..., Cmt AN ) are sent from the prover to the verifier in the first pass.
  • N numbers (Ch A1 ,..., Ch AN ) are sent from the verifier to the prover.
  • N vectors (Cmt B1 ,..., Cmt BN ) are sent from the prover to the verifier.
  • a single request Ch B1 is sent from the verifier to the prover.
  • one test response Rsp 1 is sent from the prover to the verifier.
  • exchanges of Ch B2 ,..., Ch BN , Rsp 2 ,..., Rsp N are sequentially performed between the prover and the verifier.
  • FIG. 26 shows an algorithm of the basic configuration and an algorithm of serial-parallel configuration # 1.
  • one message Cmt A1 for the first pass is sent from the prover to the verifier.
  • one pass Ch A1 is sent from the verifier to the prover.
  • one vector Cmt B1 is sent from the prover to the verifier.
  • a single request Ch B1 is sent from the verifier to the prover.
  • exchange of Cmt A2 , ..., Cmt AN , Ch A2 , ..., Ch AN , Cmt B2 , ..., Cmt BN , Ch B2 , ..., Ch BN between the prover and the verifier is sequentially performed. It will be.
  • the prover sends N responses (Rsp 1 ..., Rsp N ) to the verifier.
  • FIG. 27 shows an algorithm of the basic configuration and an algorithm of serial-parallel configuration # 2.
  • the coefficients of the multivariate polynomial may be parameters common to the system, or may be parameters different for each user.
  • the inventor of the present invention has devised a mechanism for generating coefficients of a multivariate polynomial by using a character string or the like selected by each user as a seed of a pseudorandom number generator. For example, a method of using a user's e-mail address as a seed or using a character string obtained by combining an e-mail address and an update date and time as a seed may be considered. If such a method is used, even if vulnerability is found in a multivariate polynomial having a coefficient generated from a certain character string, the influence is limited to only users using the multivariate polynomial having that coefficient. Be done. In addition, since the multivariate polynomial is changed only by changing the character string, the vulnerability can be easily eliminated.
  • the setting method of the system parameter was demonstrated.
  • the character string is taken as an example, but a string of numbers or a string of symbols different for each user may be used.
  • the inventor of the present invention examined a method of preventing the verifier from knowing the information that "the prover used s in the dialogue" even when the dialogue accepted in the verification was performed. Then, the inventor of the present invention has devised a method that makes it possible to guarantee the security against active attacks even when repeatedly executing the above dialogue protocol in parallel.
  • the prover may misunderstand that the bit of the request Ch transmitted in the second pass has become another bit due to a communication error.
  • the inventor ends the dialogue when the prover requests a response corresponding to two or more request Ch for one message, or Alternatively, I devised a method to restart the dialogue from the first pass using a new random number. If this method is applied, even if the verifier falsely requests a response corresponding to two or more requests Ch, the secret key will not be leaked.
  • the prover may request the verifier to resend the request Ch because the request Ch is lost.
  • the verifier may think that the previously transmitted request has been lost due to a communication error, and may resend the request Ch at the request of the prover. If the retransmitted request Ch is different from the previously transmitted request Ch, the falsification is successful.
  • the request Ch being randomly selected provides the prover with an opportunity of false evidence. Therefore, in order that the inventor of the present invention does not give an opportunity for persuasion, if the prover requests the transmission of the request Ch again for one message, the verifier ends the dialogue or We devised a method to improve the dialogue protocol to retransmit the same request Ch as the previous one without generating a random number. By applying this method, it is possible to eliminate the opportunity of falsification using the request Ch's retransmission request.
  • ⁇ 7 Hardware configuration example>
  • Each of the above algorithms can be executed using, for example, the hardware configuration of the information processing apparatus shown in FIG. That is, the processing of each algorithm is realized by controlling the hardware shown in FIG. 28 using a computer program.
  • the form of this hardware is arbitrary and, for example, personal computer, portable telephone, portable information terminal such as PHS, PDA, game machine, contact or non-contact IC chip, contact or non-contact IC This includes cards, or various home information appliances.
  • PHS is an abbreviation for Personal Handy-phone System.
  • the above PDA is an abbreviation of Personal Digital Assistant.
  • the hardware mainly includes a CPU 902, a ROM 904, a RAM 906, a host bus 908, and a bridge 910. Further, the hardware includes an external bus 912, an interface 914, an input unit 916, an output unit 918, a storage unit 920, a drive 922, a connection port 924, and a communication unit 926.
  • said CPU is the abbreviation for Central Processing Unit.
  • the above ROM is an abbreviation of Read Only Memory.
  • the above RAM is an abbreviation of Random Access Memory.
  • the CPU 902 functions as, for example, an arithmetic processing unit or a control unit, and controls the entire operation of each component or a part thereof based on various programs recorded in the ROM 904, the RAM 906, the storage unit 920, or the removable recording medium 928.
  • the ROM 904 is a means for storing a program read by the CPU 902, data used for an operation, and the like.
  • the RAM 906 temporarily or permanently stores, for example, a program read by the CPU 902, various parameters that appropriately change when the program is executed, and the like.
  • a host bus 908 capable of high-speed data transmission.
  • the host bus 908 is connected to the external bus 912, which has a relatively low data transmission speed, via the bridge 910, for example.
  • the input unit 916 for example, a mouse, a keyboard, a touch panel, a button, a switch, a lever, or the like is used.
  • a remote controller capable of transmitting a control signal using infrared rays or other radio waves may be used.
  • a display device such as a CRT, LCD, PDP, or ELD
  • an audio output device such as a speaker or a headphone, a printer, a mobile phone, or a facsimile etc.
  • the above-mentioned CRT is an abbreviation of Cathode Ray Tube.
  • the above LCD is an abbreviation of Liquid Crystal Display.
  • the above-mentioned PDP is an abbreviation of Plasma Display Panel.
  • the above ELD is an abbreviation of Electro-Luminescence Display.
  • the storage unit 920 is a device for storing various data.
  • a magnetic storage device such as a hard disk drive (HDD), a semiconductor storage device, an optical storage device, a magneto-optical storage device, or the like is used.
  • HDD hard disk drive
  • the above HDD is an abbreviation of Hard Disk Drive.
  • the drive 922 is a device that reads information recorded in a removable recording medium 928 such as, for example, a magnetic disk, an optical disk, a magneto-optical disk, or a semiconductor memory, or writes information in the removable recording medium 928.
  • the removable recording medium 928 is, for example, a DVD medium, a Blu-ray medium, an HD DVD medium, various semiconductor storage media, and the like.
  • the removable recording medium 928 may be, for example, an IC card equipped with a noncontact IC chip, an electronic device, or the like.
  • the above IC is an abbreviation for Integrated Circuit.
  • the connection port 924 is a port for connecting an external connection device 930 such as a USB port, an IEEE 1394 port, a SCSI, an RS-232C port, or an optical audio terminal.
  • the external connection device 930 is, for example, a printer, a portable music player, a digital camera, a digital video camera, an IC recorder, or the like.
  • USB is an abbreviation of Universal Serial Bus.
  • SCSI is an abbreviation of Small Computer System Interface.
  • the communication unit 926 is a communication device for connecting to the network 932, and for example, a wired or wireless LAN, a communication card for Bluetooth (registered trademark) or WUSB, a router for optical communication, a router for ADSL, or a contact Or a device for contactless communication.
  • a network 932 connected to the communication unit 926 is configured by a wired or wirelessly connected network, and is, for example, the Internet, a home LAN, infrared communication, visible light communication, broadcasting, satellite communication, or the like.
  • the above-mentioned LAN is an abbreviation of Local Area Network.
  • WUSB is an abbreviation of Wireless USB.
  • the above-mentioned ADSL is an abbreviation of Asymmetric Digital Subscriber Line.
  • the functional configuration of the above information processing apparatus is expressed as follows.
  • the information processing apparatus described in the following (1) has a function of executing an algorithm related to an efficient public key authentication scheme that bases security on the difficulty of solving multi-order multivariate simultaneous equations.
  • a message generator for generating a message based on a set of multi-order multivariate polynomials F (f 1 ,..., F m ) and a vector s ⁇ K n ;
  • An intermediate information generation unit that generates third information using the first information randomly selected by the verifier and the second information obtained when generating the message;
  • the set F of multi-order multivariate polynomials and the vector y are public keys,
  • the message can be obtained by executing an operation prepared in advance for a verification
  • the message generator generates N number of messages (N22),
  • the message providing unit provides the verifier with N messages for one time.
  • the intermediate information generation unit performs N times using the first information selected by the verifier for each of the N times of the messages and the N second times of information obtained when generating the message.
  • Generating the third information The intermediate information providing unit provides the verifier with N pieces of the third information in one dialogue;
  • the answer provision unit provides the verifier with N pieces of the answer information corresponding to the verification pattern selected by the verifier for each of the N pieces of the message in one dialogue.
  • the message generator generates N times (NN2) of messages and generates one hash value from the N times of messages.
  • the message providing unit provides the hash value to the verifier.
  • the intermediate information generation unit performs N times using the first information selected by the verifier for each of the N times of the messages and the N second times of information obtained when generating the message.
  • Generating the third information The intermediate information providing unit provides the verifier with N pieces of the third information in one dialogue;
  • the answer provider corresponds to the answer information using N times of the answer information corresponding to the verification pattern selected by the verifier for each of the N times of messages, and the public key and the answer information. Provide the verifier with a part of messages which can not be obtained by executing the operation prepared in advance for the verification pattern.
  • the information processing apparatus according to (2).
  • a message acquisition unit for acquiring a message generated based on the set F of multi-order multivariate polynomials and a vector s ⁇ K n ;
  • An information providing unit for providing randomly selected first information to a prover who provided the message;
  • An intermediate information acquisition unit that acquires third information generated by the prover using the first information and second information obtained when generating the message;
  • a pattern information providing unit that provides information of one verification pattern randomly selected from k (k ⁇ 3) verification patterns to the prover;
  • An answer acquiring unit that acquires answer information corresponding to the selected verification pattern from the prover; Verification to verify whether the prover holds the vector s based on the message, the first information, the third information, the set F of the multi-order multivariate polynom
  • the message acquisition unit acquires N times (N ⁇ 2) of the messages in one dialogue;
  • the information providing unit randomly selects the first information for each of the N times of the messages, and provides the selected N times of the first information to the prover in one dialogue.
  • the intermediate information acquisition unit uses the first information generated for N times and the second information for N times obtained when generating the message for N times.
  • Get 3 information The pattern information providing unit selects a verification pattern for each of the N messages, and provides information of the selected N verification patterns to the prover in a single dialog.
  • the answer acquiring unit acquires N pieces of the answer information corresponding to the selected N verification patterns from the prover in a single dialogue;
  • the verification unit determines that the prover holds the vector s when verification is successful for all the N messages.
  • the information processing apparatus according to (4).
  • the message acquisition unit acquires one hash value generated from the N messages (N ⁇ 2).
  • the information providing unit randomly selects the first information for each of the N times of the messages, and provides the selected N times of the first information to the prover in one dialogue.
  • the intermediate information acquisition unit uses the first information generated for N times and the second information for N times obtained when generating the message for N times. Get 3 information,
  • the pattern information providing unit selects a verification pattern for each of the N messages, and provides information of the selected N verification patterns to the prover in a single dialog.
  • the answer acquiring unit uses the answer information corresponding to the selected verification pattern, the public key, the first information, the third information, and the verification pattern corresponding to the answer information using the answer information.
  • the verification unit verifies whether the prover holds the vector s based on the hash value, the partial message, the public key, and the answer information, and performs N times of the messages If the verification is successful for all, it is determined that the prover holds the vector s, The information processing apparatus according to (5).
  • the information processing apparatus Obtaining a message generated based on the set F of multi-order multivariate polynomials and a vector s ⁇ K n ; Providing randomly selected first information to the prover who provided the message; Obtaining third information generated by the prover using the first information and second information obtained when generating the message; Providing the prover with information of one verification pattern randomly selected from k (k ⁇ 3) verification patterns; Obtaining response information corresponding to the selected verification pattern from the certifier; Whether or not the prover holds the vector s based on the message, the first information, the third information, the set F of the multi-order multivariate polynomials, and the response information When, Including The vector s is a secret key, The set F of multi-
  • the vector s is a secret key
  • the set F of multi-order multivariate polynomials and the vector y are public keys,
  • the message can be obtained by executing an operation
  • An answer acquiring unit that acquires answer information corresponding to the selected verification pattern from the prover; Verification to verify whether the prover holds the vector s based on the message, the first information, the third information, the set F of the multi-order multivariate polynomi
  • a message generation function for generating a message based on a set of multi-order multivariate polynomials F (f 1 ,..., F m ) and a vector s ⁇ K n ,
  • the vector s is a secret key
  • the set F of multi-order multivariate polynomials and the vector y are public
  • An answer acquiring unit that acquires answer information corresponding to the selected verification pattern from the prover; Verification to verify whether the prover holds the vector s based on the message, the first information, the third information, the set F of the multi-order multivariate polynomi
  • the m and n have a relation of m ⁇ n, The device according to any one of the above (1) to (6).
  • the prover algorithm P described above is an example of a message generation unit, a message provision unit, an answer provision unit, an intermediate information generation unit, and an intermediate information provision unit.
  • the above verifier algorithm V is an example of an information storage unit, a message acquisition unit, a pattern information provision unit, an answer acquisition unit, a verification unit, and an intermediate information acquisition unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Mathematical Analysis (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Storage Device Security (AREA)

Abstract

【課題】高い安全性を有する効率的な公開鍵認証方式を実現すること。 【解決手段】　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓに基づいてメッセージを生成し、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供し、ｋ通りの検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する情報処理装置が提供される。但し、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成される。また、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成される。

Description

情報処理装置、情報処理方法、プログラム、及び記録媒体
　本技術は、情報処理装置、情報処理方法、プログラム、及び記録媒体に関する。
　情報処理技術や通信技術の急速な発展に伴い、公文書、私文書を問わず、文書の電子化が急速に進んでいる。これに伴い、多くの個人や企業は、電子文書の安全管理に大きな関心を寄せている。こうした関心の高まりを受け、各方面で電子文書の盗聴や偽造等のタンパリング行為に対する対抗策が盛んに研究されるようになってきた。電子文書の盗聴に対しては、例えば、電子文書を暗号化することにより安全性が確保される。また、電子文書の偽造に対しては、例えば、電子署名を利用することにより安全性が確保される。但し、利用する暗号や電子署名が高いタンパリング耐性を有していなければ、十分な安全性が保証されない。
　電子署名は、電子文書の作成者を特定するために利用される。そのため、電子署名は、電子文書の作成者しか生成できないようにすべきである。仮に、悪意ある第三者が同じ電子署名を生成できてしまうと、その第三者が電子文書の作成者に成りすますことができてしまう。つまり、悪意ある第三者により電子文書が偽造されてしまう。こうした偽造を防止するため、電子署名の安全性については様々な議論が交わされてきた。現在広く利用されている電子署名方式としては、例えば、ＲＳＡ署名方式やＤＳＡ署名方式などが知られている。
　ＲＳＡ署名方式は、「大きな合成数に対する素因数分解の困難性（以下、素因数分解問題）」を安全性の根拠とする。また、ＤＳＡ署名方式は、「離散対数問題に対する解の導出の困難性」を安全性の根拠とする。これらの根拠は、古典的なコンピュータを利用して素因数分解問題や離散対数問題を効率的に解くアルゴリズムが存在しないことに起因する。つまり、上記の困難性は、古典的なコンピュータにおける計算量的な困難性を意味する。しかしながら、量子コンピュータを用いると、素因数分解問題や離散対数問題に対する解答が効率的に算出されてしまうと言われている。
　現在利用されている電子署名方式や公開鍵認証方式の多くは、ＲＳＡ署名方式やＤＳＡ署名方式と同様、素因数分解問題や離散対数問題の困難性に安全性の根拠をおいている。そのため、こうした電子署名方式や公開鍵認証方式は、量子コンピュータが実用化された場合に、その安全性が確保されないことになる。そこで、素因数分解問題や離散対数問題など、量子コンピュータにより容易に解かれてしまう問題とは異なる問題に安全性の根拠をおく新たな電子署名方式及び公開鍵認証方式の実現が求められている。量子コンピュータにより容易に解くことが難しい問題としては、例えば、多変数多項式問題がある。
　多変数多項式問題に安全性の根拠をおく電子署名方式としては、例えば、ＭＩ（Ｍａｔｓｕｍｏｔｏ－Ｉｍａｉ　ｃｒｙｐｔｏｇｒａｐｈｙ）、ＨＦＥ（Ｈｉｄｄｅｎ　Ｆｉｅｌｄ　Ｅｑｕａｔｉｏｎ　ｃｒｙｐｔｏｇｒａｐｈｙ）、ＯＶ（Ｏｉｌ－Ｖｉｎｅｇａｒ　ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ）、ＴＴＭ（Ｔａｍｅｄ　Ｔｒａｎｓｆｏｒｍａｔｉｏｎ　Ｍｅｔｈｏｄ　ｃｒｙｐｔｏｇｒａｐｈｙ）に基づく方式が知られている。例えば、下記の非特許文献１、２には、ＨＦＥに基づく電子署名方式が開示されている。
Ｊａｃｑｕｅｓ　Ｐａｔａｒｉｎ　Ａｓｙｍｍｅｔｒｉｃ　Ｃｒｙｐｔｏｇｒａｐｈｙ　ｗｉｔｈ　ａ　Ｈｉｄｄｅｎ　Ｍｏｎｏｍｉａｌ．　ＣＲＹＰＴＯ　１９９６，　ｐｐ．４５－６０． Ｐａｔａｒｉｎ，　Ｊ．，　Ｃｏｕｒｔｏｉｓ，　Ｎ．，　ａｎｄ　Ｇｏｕｂｉｎ，　Ｌ．　ＱＵＡＲＴＺ，　１２８－Ｂｉｔ　Ｌｏｎｇ　Ｄｉｇｉｔａｌ　Ｓｉｇｎａｔｕｒｅｓ．　Ｉｎ　Ｎａｃｃａｃｈｅ，Ｄ．，　Ｅｄ．　Ｔｏｐｉｃｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ　－　ＣＴ－ＲＳＡ　２００１　（Ｓａｎ　Ｆｒａｎｃｉｓｃｏ，　ＣＡ，　ＵＳＡ，　Ａｐｒｉｌ　２００１），　ｖｏｌ．　２０２０　ｏｆ　Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ．，　ｐｐ．２８２－２９７．
　上記の通り、多変数多項式問題は、量子コンピュータを用いても解くことが困難なＮＰ困難問題と呼ばれる問題の一例である。通常、ＨＦＥなどに代表される多変数多項式問題を利用した公開鍵認証方式は、特殊なトラップドアが仕込まれた多次多変数連立方程式を利用している。例えば、ｘ１，…，ｘｎに関する多次多変数連立方程式Ｆ（ｘ１，…，ｘｎ）＝ｙと線形変換Ａ及びＢが用意され、線形変換Ａ及びＢが秘密に管理される。この場合、多次多変数連立方程式Ｆ、線形変換Ａ及びＢがトラップドアとなる。
　トラップドアＦ，Ａ，Ｂを知っているエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ’を解くことができる。一方、トラップドアＦ，Ａ，Ｂを知らないエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ’を解くことができない。この仕組みを利用することにより、多次多変数連立方程式の解答困難性を安全性の根拠とする公開鍵認証方式や電子署名方式が実現される。
　上記の通り、こうした公開鍵認証方式や電子署名方式を実現するには、Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙを満たすような特殊な多次多変数連立方程式を用意する必要がある。また、署名生成時に多次多変数連立方程式Ｆを解く必要がある。そのため、利用可能な多次多変数連立方程式Ｆは、比較的容易に解けるものに限られていた。すなわち、これまでの方式においては、比較的容易に解ける３つの関数（トラップドア）Ｂ、Ｆ、Ａを合成した形の多次多変数連立方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙしか用いることができず、十分な安全性を確保することが難しかった。
　本技術は、上記の事情に鑑みて、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて高い安全性を有する効率的な公開鍵認証方式及び電子署名方式を実現することが可能な、新規かつ改良された情報処理装置、情報処理方法、プログラム、及び記録媒体の提供を意図して考案されたものである。
　本技術のある観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、前記検証者に前記第３の情報を提供する中間情報提供部と、ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、を備え、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、情報処理装置が提供される。
　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、を備え、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、情報処理装置が提供される。
　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成することと、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供することと、前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成することと、前記検証者に前記第３の情報を提供することと、ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供することと、を含み、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、情報処理方法が提供される。
　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報処理装置が、前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得することと、前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供することと、前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得することと、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供することと、前記選択した検証パターンに対応する回答情報を前記証明者から取得することと、前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証することと、を含み、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、情報処理方法が提供される。
　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成機能と、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供機能と、前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成機能と、前記検証者に前記第３の情報を提供する中間情報提供機能と、ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供機能と、をコンピュータに実現させるためのプログラムであり、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、プログラムが提供される。
　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持機能と、前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得機能と、前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供機能と、前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得機能と、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供機能と、前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証機能と、をコンピュータに実現させるためのプログラムであり、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、プログラムが提供される。
　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成機能と、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供機能と、前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成機能と、前記検証者に前記第３の情報を提供する中間情報提供機能と、ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供機能と、をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、記録媒体が提供される。
　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持機能と、前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得機能と、前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供機能と、前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得機能と、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供機能と、前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証機能と、をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、記録媒体が提供される。
　以上説明したように本技術によれば、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて、高い安全性を有する効率的な公開鍵認証方式又は電子署名方式を実現することが可能になる。
公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。 電子署名方式に係るアルゴリズムの構成について説明するための説明図である。 ｎパスの公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。 ３パスの公開鍵認証方式に係る具体的なアルゴリズムの構成例について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムについて説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。 ３パスの高次多変数多項式を利用した公開鍵認証方式（方式＃１）のアルゴリズムの一例について説明するための説明図である。 ３パスの高次多変数多項式を利用した公開鍵認証方式（方式＃１）の並列化アルゴリズムの一例について説明するための説明図である。 ５パスの公開鍵認証方式に係る具体的なアルゴリズムの構成例について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの構成例について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。 ５パスの高次多変数多項式を利用した公開鍵認証方式（方式＃１）のアルゴリズムの一例について説明するための説明図である。 ５パスの高次多変数多項式を利用した公開鍵認証方式（方式＃１）の並列化アルゴリズムの一例について説明するための説明図である。 ５パスの高次多変数多項式を利用した公開鍵認証方式（方式＃２）のアルゴリズムの一例について説明するための説明図である。 ５パスの高次多変数多項式を利用した公開鍵認証方式（方式＃２）の並列化アルゴリズムの一例について説明するための説明図である。 ５パスの高次多変数多項式を利用した公開鍵認証方式（方式＃２）の効率的な並列化アルゴリズムの一例について説明するための説明図である。 ５パスの高次多変数多項式を利用した公開鍵認証方式（方式＃２）の更に効率的な並列化アルゴリズムの一例について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムを更に効率的な電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 ５パスの公開鍵認証方式に係る更に効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムの並直列構成について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムの直並列構成について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの並直列構成（並直列構成＃１）について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの並直列構成（並直列構成＃２）について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの直並列構成（直並列構成＃１）について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの直並列構成（直並列構成＃２）について説明するための説明図である。 本技術の各実施形態に係るアルゴリズムを実行することが可能な情報処理装置のハードウェア構成例について説明するための説明図である。 本技術の第１及び第２実施形態に係る公開鍵認証方式において用いられるパラメータの好適な設定方法及びその効果について説明するための説明図である。
　以下に添付図面を参照しながら、本技術の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
　［説明の流れについて］
　ここで、以下に記載する本技術の実施形態に関する説明の流れについて簡単に述べる。まず、図１を参照しながら、公開鍵認証方式のアルゴリズム構成について説明する。次いで、図２を参照しながら、電子署名方式のアルゴリズム構成について説明する。次いで、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。
　次いで、図４～図８を参照しながら、３パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図５～図１７を参照しながら、５パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図１８～図２１を参照しながら、３パス及び５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明する。
　次いで、図２２～図２７を参照しながら、３パス及び５パスの公開鍵認証方式に係る効率的なアルゴリズムの並直列構成及び直並列構成について説明する。次いで、図２８を参照しながら、本技術の第１及び第２実施形態に係る各アルゴリズムを実現することが可能な情報処理装置のハードウェア構成例について説明する。最後に、本実施形態の技術的思想について纏め、当該技術的思想から得られる作用効果について簡単に説明する。
　（説明項目）
　１：はじめに
　　　１－１：公開鍵認証方式のアルゴリズム
　　　１－２：電子署名方式のアルゴリズム
　　　１－３：ｎパスの公開鍵認証方式
　２：３パスの公開鍵認証方式に係るアルゴリズムの構成
　　　２－１：具体的なアルゴリズムの構成例
　　　２－２：２次多変数多項式に基づく効率的なアルゴリズム
　　　　　２－２－１：基本構成
　　　　　２－２－２：並列化アルゴリズム
　　　２－３：高次多変数多項式に基づく効率的なアルゴリズム（方式＃１）
　　　　　２－３－１：基本構成
　　　　　２－３－２：並列化アルゴリズム
　３：５パスの公開鍵認証方式に係るアルゴリズムの構成
　　　３－１：具体的なアルゴリズムの構成例
　　　３－２：２次多変数多項式に基づく効率的なアルゴリズム
　　　　　３－２－１：基本構成
　　　　　３－２－２：並列化アルゴリズム
　　　３－３：高次多変数多項式に基づく効率的なアルゴリズム（実施例１）
　　　　　３－３－１：基本構成
　　　　　３－３－２：並列化アルゴリズム
　　　３－４：高次多変数多項式に基づく効率的なアルゴリズム（実施例２）
　　　　　３－４－１：基本構成
　　　　　３－４－２：並列化アルゴリズム（構成例１）
　　　　　３－４－３：並列化アルゴリズム（構成例２：高効率）
　　　　　３－４－４：並列化アルゴリズム（構成例２：更に高効率）
　４：電子署名方式への変形
　　　４－１：３パスの公開鍵認証方式から電子署名方式への変形
　　　　　４－１－１：電子署名アルゴリズム（構成例１）
　　　　　４－１－２：電子署名アルゴリズム（構成例２：高効率）
　　　４－２：５パスの公開鍵認証方式から電子署名方式への変形
　　　　　４－２－１：電子署名アルゴリズム（構成例１）
　　　　　４－２－２：電子署名アルゴリズム（構成例２：高効率）
　５：ハイブリッド型アルゴリズム
　　　５－１：３パスの公開鍵認証方式に係るハイブリッド型アルゴリズム
　　　　　５－１－１：並直列アルゴリズム
　　　　　５－１－２：直並列アルゴリズム
　　　５－２：５パスの公開鍵認証方式に係るハイブリッド型アルゴリズム
　　　　　５－２－１：並直列アルゴリズム（構成例＃１）
　　　　　５－２－２：並直列アルゴリズム（構成例＃２）
　　　　　５－２－３：直並列アルゴリズム（構成例＃１）
　　　　　５－２－４：直並列アルゴリズム（構成例＃２）
　６：補遺
　　　６－１：システムパラメータの設定方法
　　　６－２：イレギュラーな要求に対する応答方法
　　　　　６－２－１：証明者による応答方法について
　　　　　６－２－２：検証者による応答方法について
　７：ハードウェア構成例
　８：まとめ
　＜１：はじめに＞
　本実施形態は、多次多変数連立方程式に対する求解問題の困難性に安全性の根拠をおく公開鍵認証方式及び電子署名方式に関する。但し、本実施形態は、ＨＦＥ電子署名方式などの従来手法とは異なり、効率的に解く手段（トラップドア）を持たない多次多変数連立方程式を利用する公開鍵認証方式及び電子署名方式に関する。まず、公開鍵認証方式のアルゴリズム、電子署名方式のアルゴリズム、及びｎパスの公開鍵認証方式について、その概要を簡単に説明する。
　［１－１：公開鍵認証方式のアルゴリズム］
　まず、図１を参照しながら、公開鍵認証方式のアルゴリズムについて概要を説明する。図１は、公開鍵認証方式のアルゴリズムについて概要を説明するための説明図である。
　公開鍵認証は、ある人（証明者）が、公開鍵ｐｋ及び秘密鍵ｓｋを利用して、他の人（検証者）に本人であることを納得させるために利用される。例えば、証明者Ａの公開鍵ｐｋＡは、検証者Ｂに公開される。一方、証明者Ａの秘密鍵ｓｋＡは、証明者Ａにより秘密に管理される。公開鍵認証の仕組みにおいては、公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知る者が証明者Ａ本人であるとみなされる。
　公開鍵認証の仕組みを利用して証明者Ａが証明者Ａ本人であることを検証者Ｂに証明するには、対話プロトコルを介して、証明者Ａが公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知っているという証拠を検証者Ｂに提示すればよい。そして、証明者Ａが秘密鍵ｓｋＡを知っているという証拠が検証者Ｂに提示され、その証拠を検証者Ｂが確認し終えた場合、証明者Ａの正当性（本人であること）が証明されたことになる。
　但し、公開鍵認証の仕組みには、安全性を担保するために以下の条件が求められる。
　１つ目の条件は、「対話プロトコルを実行した際に秘密鍵ｓｋを持たない偽証者により偽証が成立してしまう確率を限りなく小さくする」ことである。この１つ目の条件が成り立つことを「健全性」と呼ぶ。つまり、健全性とは、「秘密鍵ｓｋを持たない偽証者により、対話プロトコルの実行中に無視できない確率で偽証が成立することはないこと」と言い換えられる。２つ目の条件は、「対話プロトコルを実行したとしても、証明者Ａが有する秘密鍵ｓｋＡの情報が検証者Ｂに一切漏れることがない」ことである。この２つ目の条件が成り立つことを「零知識性」と呼ぶ。
　安全に公開鍵認証を行うには、健全性及び零知識性を有する対話プロトコルを利用する必要がある。仮に、健全性及び零知識性を有しない対話プロトコルを用いて認証処理を行った場合には、偽証された可能性及び秘密鍵の情報が漏れてしまった可能性が否定できないため、処理自体が成功裡に完了しても証明者の正当性を証明したことにはならない。従って、対話プロトコルの健全性及び零知識性を如何に保証するかが重要になる。
　（モデル）
　公開鍵認証方式のモデルには、図１に示すように、証明者と検証者という２つのエンティティが存在する。証明者は、鍵生成アルゴリズムＧｅｎを用いて、証明者固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成する。次いで、証明者は、鍵生成アルゴリズムＧｅｎを用いて生成した秘密鍵ｓｋと公開鍵ｐｋの組を利用して検証者と対話プロトコルを実行する。このとき、証明者は、証明者アルゴリズムＰを利用して対話プロトコルを実行する。上記の通り、証明者は、証明者アルゴリズムＰを利用し、対話プロトコルの中で秘密鍵ｓｋを保有している証拠を検証者に提示する。
　一方、検証者は、検証者アルゴリズムＶを利用して対話プロトコルを実行し、証明者が公開している公開鍵に対応する秘密鍵を、その証明者が保有しているか否かを検証する。つまり、検証者は、証明者が公開鍵に対応する秘密鍵を保有しているか否かを検証するエンティティである。このように、公開鍵認証方式のモデルは、証明者と検証者という２つのエンティティ、及び、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶという３つのアルゴリズムにより構成される。
　なお、以下の説明において、「証明者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰを実行する主体は、「証明者」のエンティティに対応する情報処理装置である。同様に、検証者アルゴリズムＶを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図２８に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、証明者により利用される。鍵生成アルゴリズムＧｅｎは、証明者に固有の秘密鍵ｓｋと公開鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは公開される。そして、公開された公開鍵ｐｋは、検証者により利用される。一方、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者が秘密に管理する。そして、証明者により秘密に管理される秘密鍵ｓｋは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するために利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（１）のように表現される。
Figure JPOXMLDOC01-appb-M000001
　（証明者アルゴリズムＰ）
　証明者アルゴリズムＰは、証明者により利用される。証明者アルゴリズムＰは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するためのアルゴリズムである。つまり、証明者アルゴリズムＰは、秘密鍵ｓｋと公開鍵ｐｋとを入力とし、対話プロトコルを実行するアルゴリズムである。
　（検証者アルゴリズムＶ）
　検証者アルゴリズムＶは、検証者により利用される。検証者アルゴリズムＶは、対話プロトコルの中で、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有しているか否かを検証するアルゴリズムである。検証者アルゴリズムＶは、公開鍵ｐｋを入力とし、対話プロトコルの実行結果に応じて０又は１（１ｂｉｔ）を出力するアルゴリズムである。なお、検証者は、検証者アルゴリズムＶが０を出力した場合には証明者が不正なものであると判断し、１を出力した場合には証明者が正当なものであると判断する。形式的に、検証者アルゴリズムＶは、下記の式（２）のように表現される。
Figure JPOXMLDOC01-appb-M000002
　上記の通り、意味のある公開鍵認証を実現するには、対話プロトコルが健全性及び零知識性という２つの条件を満たしている必要がある。しかし、証明者が秘密鍵ｓｋを保有していることを証明するためには、証明者が秘密鍵ｓｋに依存した手続きを実行し、その結果を検証者に通知した上で、その通知内容に基づく検証を検証者に実行させる必要がある。秘密鍵ｓｋに依存した手続きを実行するのは、健全性を担保するために必要である。一方で、秘密鍵ｓｋの情報が一切検証者に漏れないようにする必要がある。そのため、これらの要件を満たすように、上記の鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶを巧妙に設計する必要がある。
　以上、公開鍵認証方式のアルゴリズムについて、その概要を説明した。
　［１－２：電子署名方式のアルゴリズム］
　次に、図２を参照しながら、電子署名方式のアルゴリズムについて概要を説明する。図２は、電子署名方式のアルゴリズムについて概要を説明するための説明図である。
　紙文書とは異なり、ある電子化されたデータに対して押印したり署名を記載したりすることはできない。そのため、電子化されたデータの作成者を証明するためには、紙文書に押印したり署名を記載したりするのと同等の効果が得られる電子的な仕組みを必要とする。この仕組みが電子署名である。電子署名とは、データの作成者しか知らない署名データをデータに関連付けて受領者に提供し、その署名データを受領者側で検証する仕組みのことを言う。
　（モデル）
　電子署名方式のモデルには、図２に示すように、署名者及び検証者という２つのエンティティが存在する。そして、電子署名方式のモデルは、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒという３つのアルゴリズムにより構成される。
　署名者は、鍵生成アルゴリズムＧｅｎを利用して署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成する。また、署名者は、署名生成アルゴリズムＳｉｇを利用して文書Ｍに付与する電子署名σを生成する。つまり、署名者は、文書Ｍに電子署名を付与するエンティティである。一方、検証者は、署名検証アルゴリズムＶｅｒを利用して文書Ｍに付与された電子署名σを検証する。つまり、検証者は、文書Ｍの作成者が署名者であるか否かを確認するために、電子署名σを検証するエンティティである。
　なお、以下の説明において、「署名者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇを実行する主体は、「署名者」のエンティティに対応する情報処理装置である。同様に、署名検証アルゴリズムＶｅｒを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図２８に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、署名者により利用される。鍵生成アルゴリズムＧｅｎは、署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された検証鍵ｐｋは公開される。一方、鍵生成アルゴリズムＧｅｎにより生成された署名鍵ｓｋは、署名者により秘密に管理される。そして、署名鍵ｓｋは、文書Ｍに付与される電子署名σの生成に利用される。例えば、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、署名鍵ｓｋ及び公開鍵ｐｋを出力する。この場合、鍵生成アルゴリズムＧｅｎは、形式的に、下記の式（３）のように表現することができる。
Figure JPOXMLDOC01-appb-M000003
　（署名生成アルゴリズムＳｉｇ）
　署名生成アルゴリズムＳｉｇは、署名者により利用される。署名生成アルゴリズムＳｉｇは、文書Ｍに付与される電子署名σを生成するアルゴリズムである。署名生成アルゴリズムＳｉｇは、署名鍵ｓｋと文書Ｍとを入力とし、電子署名σを出力するアルゴリズムである。この署名生成アルゴリズムＳｉｇは、形式的に、下記の式（４）のように表現することができる。
Figure JPOXMLDOC01-appb-M000004
　（署名検証アルゴリズムＶｅｒ）
　署名検証アルゴリズムＶｅｒは、検証者により利用される。署名検証アルゴリズムＶｅｒは、電子署名σが文書Ｍに対する正当な電子署名であるか否かを検証するアルゴリズムである。署名検証アルゴリズムＶｅｒは、署名者の検証鍵ｐｋ、文書Ｍ、電子署名σを入力とし、０又は１（１ｂｉｔ）を出力するアルゴリズムである。この署名検証アルゴリズムＶｅｒは、形式的に、下記の式（５）のように表現することができる。なお、検証者は、署名検証アルゴリズムＶｅｒが０を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを拒否する場合）に電子署名σが不当であると判断し、１を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを受理する場合）に電子署名σが正当であると判断する。
Figure JPOXMLDOC01-appb-M000005
　以上、電子署名方式のアルゴリズムについて、その概要を説明した。
　［１－３：ｎパスの公開鍵認証方式］
　次に、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。図３は、ｎパスの公開鍵認証方式について説明するための説明図である。
　上記の通り、公開鍵認証方式は、対話プロトコルの中で、証明者が公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを検証者に証明する認証方式である。また、対話プロトコルは、健全性及び零知識性という２つの条件を満たす必要がある。そのため、対話プロトコルの中では、図３に示すように、証明者及び検証者の双方がそれぞれ処理を実行しながらｎ回の情報交換を行う。
　ｎパスの公開鍵認証方式の場合、証明者アルゴリズムＰを用いて証明者により処理（工程＃１）が実行され、情報Ｔ１が検証者に送信される。次いで、検証者アルゴリズムＶを用いて検証者により処理（工程＃２）が実行され、情報Ｔ２が証明者に送信される。さらに、ｋ＝３～ｎについて処理（工程＃ｋ）の実行及び情報Ｔｋの送信が順次行われ、最後に処理（工程＃ｎ＋１）が実行される。このように、情報がｎ回送受信される方式のことを「ｎパス」の公開鍵認証方式と呼ぶ。
　以上、ｎパスの公開鍵認証方式について説明した。
　＜２：３パスの公開鍵認証方式に係るアルゴリズムの構成＞
　以下、３パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、３パスの公開鍵認証方式のことを「３パス方式」と呼ぶ場合がある。
　［２－１：具体的なアルゴリズムの構成例］
　まず、図４を参照しながら、３パス方式に係る具体的なアルゴリズムの構成例について紹介する。図４は、３パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。なお、３パス方式のアルゴリズムは、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。以下、各アルゴリズムの構成について説明する。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、多変数多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））をＦ（ｘ）と表記することにする。
　（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
　次に、図４を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。
　上記の対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図４に示したフローチャートに沿って説明を進める。
　工程＃１：
　まず、証明者アルゴリズムＰは、任意に数ｓｅｅｄ０を選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器ＰＲＮＧに数ｓｅｅｄ０を適用してベクトルｒ０∈Ｋｎ及び数ｓｅｅｄ１を生成する。つまり、証明者アルゴリズムＰは、（ｒ０，ｓｅｅｄ１）←ＰＲＮＧ（ｓｅｅｄ０）を計算する。次いで、証明者アルゴリズムＰは、擬似乱数生成器ＰＲＮＧに数ｓｅｅｄ１を適用して多変数多項式Ｆ１（ｘ）＝（ｆ１１（ｘ），…，ｆ１ｍ（ｘ））を生成する。つまり、証明者アルゴリズムＰは、Ｆ１←ＰＲＮＧ（ｓｅｅｄ１）を計算する。
　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、Ｆ２（ｘ）←Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）を計算する。この計算は、ｘに関して多変数多項式Ｆ（ｘ＋ｒ０）を多変数多項式Ｆ１（ｘ）によりマスクする操作に相当する。
　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、Ｆ１（ｒ１）及びｒ１のハッシュ値ｃ０を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（Ｆ１（ｒ１），ｒ１）を計算する。また、証明者アルゴリズムＰは、数ｓｅｅｄ１のハッシュ値ｃ１を生成する。つまり、証明者アルゴリズムＰは、ｃ１←Ｈ（ｓｅｅｄ１）を計算する。さらに、証明者アルゴリズムＰは、多変数多項式Ｆ２のハッシュ値ｃ２を生成する。つまり、証明者アルゴリズムＰは、ｃ２←Ｈ（Ｆ２）を計算する。このハッシュ値（ｃ０，ｃ１，ｃ２）は、メッセージとして検証者アルゴリズムＶに送られる。このとき、ｓに関する情報、ｒ０に関する情報、ｒ１に関する情報が検証者に一切漏れない点に注意されたい。
　工程＃２：
　メッセージ（ｃ０，ｃ１，ｃ２）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｓｅｅｄ０を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｓｅｅｄ１，ｒ１）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（Ｆ２，ｒ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。このとき、Ｃｈ＝０の場合にはｒ１に関する情報が検証者に一切漏れておらず、Ｃｈ＝１又は２の場合にはｒ０に関する情報が検証者に一切漏れない点に注意されたい。
　工程＃４：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　Ｃｈ＝０の場合、検証者アルゴリズムＶは、（ｒ０，ｓｅｅｄ１）←ＰＲＮＧ（Ｒｓｐ）を計算する。さらに、検証者アルゴリズムＶは、Ｆ１←ＰＲＮＧ（ｓｅｅｄ１）を計算する。そして、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｓｅｅｄ１）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ２＝Ｈ（Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝１の場合、検証者アルゴリズムＶは、（ｓｅｅｄ１，ｒ１）←Ｒｓｐとする。さらに、検証者アルゴリズムＶは、Ｆ１←ＰＲＮＧ（ｓｅｅｄ１）を計算する。そして、検証者アルゴリズムＶは、ｃ０＝Ｈ（Ｆ１（ｒ１），ｒ１）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｓｅｅｄ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝２の場合、検証者アルゴリズムＶは、（Ｆ２，ｒ１）←Ｒｓｐとする。そして、検証者アルゴリズムＶは、ｃ０＝Ｈ（Ｆ２（ｒ１）－ｙ，ｒ１））の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（Ｆ２）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　（健全性について）
　ここで、３パス方式に係るアルゴリズムの健全性について説明を補足する。３パス方式に係るアルゴリズムの健全性は、「検証者アルゴリズムＶが選択可能な要求Ｃｈ＝０，１，２の全てについて、証明者アルゴリズムＰが正しい返答Ｒｓｐを返したならば、下記の式（６）及び式（７）を満たすＦ２、Ｆ１、ｒ０、ｒ１が計算可能になる」という論理に基づいて保証されている。
Figure JPOXMLDOC01-appb-M000006
　上記の健全性が保証されることにより、多次多変数連立方程式の求解問題を解かない限りにおいて２／３より高い確率で偽証が成功することは不可能であると保証される。つまり、検証者の要求Ｃｈ＝０，１，２の全てに正しく回答するためには、偽証者が上記の式（６）及び式（７）を満たすＦ２、Ｆ１、ｒ０、ｒ１を計算できる必要がある。言い換えると、偽証者はＦ（ｓ）＝ｙを満たすｓを計算できる必要がある。但し、検証者の要求Ｃｈ＝０，１，２の高々２つについて偽証者が正しく回答できてしまう可能性は残る。そのため、偽証の成功確率は２／３となる。なお、上記の対話プロトコルを十分な回数だけ繰り返し実行することで、偽証の成功確率は無視できるほど小さくなる。
　（ハッシュ関数Ｈについて）
　ここで、ハッシュ関数Ｈについて説明を補足する。上記のアルゴリズムでは、ハッシュ関数Ｈを用いてｃ０，ｃ１，ｃ２などを計算しているが、ハッシュ関数Ｈの代わりにコミットメント関数ＣＯＭを用いてもよい。コミットメント関数ＣＯＭは、文字列Ｓ及び乱数ρを引数にとる関数である。コミットメント関数の例としては、Ｓｈａｉ　ＨａｌｅｖｉとＳｉｌｖｉｏ　Ｍｉｃａｌｉによって国際会議ＣＲＹＰＴＯ１９９６で発表された方式などがある。
　例えば、コミットメント関数ＣＯＭを用いてｃ０，ｃ１，ｃ２を計算する場合について考えてみよう。この場合、ｃ０，ｃ１，ｃ２を計算する前に乱数ρ０，ρ１，ρ２を用意し、ハッシュ関数Ｈ（・）を適用する代わりにコミットメント関数ＣＯＭ（・，ρ０），ＣＯＭ（・，ρ１），ＣＯＭ（・，ρ２）を適用してｃ０，ｃ１，ｃ２を生成する。また、検証者がｃｉを生成するために必要なρｉは、返答Ｒｓｐに含めて送られるようにする。
　以上、３パス方式に係る具体的なアルゴリズムの構成例について紹介した。
　［２－２：２次多変数多項式に基づく効率的なアルゴリズム］
　次に、３パス方式に係るアルゴリズムを効率化する方法について述べる。ここでは、多変数多項式Ｆとして２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について説明する。但し、２次多項式ｆｉ（ｘ）は、下記の式（８）のように表現されるものとする。
Figure JPOXMLDOC01-appb-M000007
　なお、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））は、下記の式（９）のように表現することができる。但し、ｘ＝（ｘ１，…，ｘｎ）である。また、Ａ１，…，Ａｍは、ｎ×ｎ行列である。さらに、ｂ１，…，ｂｍはそれぞれｎ×１ベクトルである。
Figure JPOXMLDOC01-appb-M000008
　この表現を用いると、多変数多項式Ｆは、下記の式（１０）及び式（１１）のように表現することができる。この表現が成り立つことは、下記の式（１２）から容易に確認することができる。
Figure JPOXMLDOC01-appb-M000009
　このようにＦ（ｘ＋ｙ）をｘに依存する第１の部分と、ｙに依存する第２の部分と、ｘ及びｙの両方に依存する第３の部分とに分けたとき、第３の部分に対応する項Ｇ（ｘ，ｙ）は、ｘ及びｙについて双線形になる。この性質を利用すると、効率的なアルゴリズムを構築することが可能になる。
　例えば、ベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ）のマスクに利用する多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と表現する。この場合、多変数多項式Ｆ（ｘ＋ｒ０）とＧ（ｘ）との和は、下記の式（１３）のように表現される。
　ここで、ｔ１＝ｒ０＋ｔ０、ｅ１＝Ｆ（ｒ０）＋ｅ０とおけば、多変数多項式Ｆ２（ｘ）＝Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）は、ベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。そのため、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０に設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズを大幅に減らすことが可能になる。具体的には、数千～数万倍程度、通信効率が向上する。
Figure JPOXMLDOC01-appb-M000010
　なお、上記の変形により、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性が担保される。以下、図５及び図６を参照しながら、３パス方式に係る効率的なアルゴリズムについて説明する。
　（２－２－１：基本構成（図５））
　まず、図５を参照しながら、３パス方式に係る効率的なアルゴリズムの基本構成について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　工程＃１：
　図５に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１←ｒ０－ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←Ｆ（ｒ０）－ｅ０を計算する。
　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ２←Ｈ（ｔ１，ｅ１）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１，ｃ２）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１，ｃ２）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｔ１，ｅ１）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ０，ｅ０）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ１，ｅ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃４：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ０－ｔ１，Ｆ（ｒ０）－ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｙ－Ｆ（ｒ１）－Ｇ（ｔ１，ｒ１）－ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、３パス方式に係る効率的なアルゴリズムの構成例について説明した。このアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。
　（２－２－２：並列化アルゴリズム（図６））
　次に、図６を参照しながら、図５に示した効率的なアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　先に述べた通り、上記の対話プロトコルを適用すれば、偽証が成功する確率を２／３以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（２／３）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（２／３）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝１４０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
　対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。ここでは、３パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
　工程＃１：
　証明者アルゴリズムＰは、ｉ＝１～Ｎについて以下の処理（１）～処理（６）を実行する。
　処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
　処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１ｉ←ｒ０ｉ＋ｔ０ｉを計算する。
　処理（３）：証明者アルゴリズムＰは、ｅ１ｉ←Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。
　処理（４）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ１ｉ，Ｇ（ｒ１ｉ，ｔ０ｉ）＋ｅ０ｉ）を計算する。
　処理（５）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。
　処理（６）：証明者アルゴリズムＰは、ｃ２ｉ←Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。
　工程＃１（続き）
　ｉ＝１～Ｎについて上記の処理（１）～処理（６）を実行した後、証明者アルゴリズムＰは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。このように、メッセージ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）をハッシュ値に変換してから検証者アルゴリズムＶに送ることで、通信量を削減することが可能になる。
　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈｉに設定する。要求Ｃｈ１，…，ＣｈＮは、証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈ１，…，ＣｈＮを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈ１，…，ＣｈＮのそれぞれ応じて検証者アルゴリズムＶに送る返答Ｒｓｐ１，…，ＲｓｐＮを生成する。Ｃｈｉ＝０の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。Ｃｈｉ＝１の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を生成する。Ｃｈｉ＝２の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を生成する。
　工程＃３で生成された返答Ｒｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶに送られる。
　工程＃４：
　返答Ｒｓｐ１，…，ＲｓｐＮを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐ１，…，ＲｓｐＮを利用して以下の処理（１）～処理（３）をｉ＝１～Ｎについて実行する。但し、検証者アルゴリズムＶは、Ｃｈｉ＝０の場合に処理（１）を実行し、Ｃｈｉ＝１の場合に処理（２）を実行し、Ｃｈｉ＝２の場合に処理（３）を実行する。
　処理（１）：Ｃｈｉ＝０の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ０ｉ－ｔ１ｉ，Ｆ（ｒ０ｉ）－ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（２）：Ｃｈｉ＝１の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，Ｇ（ｒ１ｉ，ｔ０ｉ）＋ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（３）：Ｃｈｉ＝２の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，ｙ－Ｆ（ｒ１ｉ）－Ｇ（ｔ１ｉ，ｒ１ｉ）－ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（１）～処理（３）をｉ＝１～Ｎについて実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗した場合に認証失敗を示す値０を出力する。
　以上、３パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。なお、図６に示した並列化アルゴリズムには、メッセージをハッシュ値に変換してから送信する工夫を盛り込んだ。この工夫により、通信効率が向上する。同様に、要求Ｃｈ１，…，ＣｈＮや返答Ｒｓｐ１，…，ＲｓｐＮをハッシュ値に変換してから送信するように構成を変形してもよい。このように構成を変形することで、更なる通信効率の向上が期待できる。
　［２－３：高次多変数多項式に基づく効率的なアルゴリズム（方式＃１）］
　上記の効率的なアルゴリズムは、上記の式（８）で定義される２次多項式ｆｉの組で多変数多項式Ｆを表現することにより、上記の式（１０）で定義される多項式Ｇが双線形になるという性質を利用していた。しかし、多項式Ｇが加法準同型であれば、多項式Ｇが双線形でなくとも、同様に効率的なアルゴリズムを構築することが可能である。
　（２次多項式ｆｉを利用した効率的なアルゴリズムの構築について）
　多項式Ｇが加法準同型の場合、変数ｒ０，ｒ１，ｔ０，ｅ０を用いて、下記の式（１４）～式（１６）の関係が成り立つ。なお、下記の式（１４）は、秘密鍵ｓをｓ＝ｒ０＋ｒ１と分割し、公開鍵Ｆ（ｓ）を展開したものである。下記の式（１４）～式（１６）は、（ｒ０，ｔ１，ｅ１）で再現可能な第１の部分と、（ｒ１，ｔ０，ｅ０）で再現可能な第２の部分と、（ｒ１，ｔ１，ｅ１）で再現可能な第３の部分とに分けることができる。
　例えば、下記の式（１５）に含まれる「ｒ０，ｔ１」、下記の式（１６）に含まれる「Ｆ（ｒ０），ｅ１」は、第１の部分である。また、下記の式（１４）に含まれる「ｅ０，Ｇ（ｔ０，ｒ１）」、下記の式（１５）に含まれる「ｔ０」、下記の式（１６）に含まれる「ｅ０」は、第２の部分である。さらに、下記の式（１４）に含まれる「ｅ１，Ｆ（ｒ１），Ｇ（ｔ１，ｒ１）」は、第３の部分である。言い換えると、下記の式（１４）は第２及び第３の部分で構成され、下記の式（１５）は第１及び第２の部分で構成され、下記の式（１６）は第１及び第２の部分で構成されている。
　上記の通り、下記の式（１４）～式（１６）は、それぞれ２種類の部分で構成されている。また、秘密鍵ｓの定義及び下記の式（１４）～式（１６）の関係から、（ｒ０，ｔ１，ｅ１）、（ｒ１，ｔ０，ｅ０）、（ｒ１，ｔ１，ｅ１）のいずれか１つを用いても秘密鍵ｓは得られないことが保証される。これらの性質を利用すると、例えば、図５に示した３パス方式に係る効率的なアルゴリズムを構築することができる。
Figure JPOXMLDOC01-appb-M000011
　（３次多項式ｆｌを利用した効率的なアルゴリズムの構築について）
　２次多項式ｆｉを利用する場合に関する上記の考察を発展させ、下記の式（１７）で表現される環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズムの構築方法について検討してみたい。３次多項式ｆｌの組で表現される多変数多項式Ｆ＝（ｆ１，…，ｆｍ）は、下記の式（１８）の関係を満たす。但し、Ｇｘ（ｘ，ｙ）は、ｘに関して１次となる項を表す。また、Ｇｙ（ｘ，ｙ）は、ｙに関して１次となる項を表す。Ｇｘ＝（ｇｘ１，…，ｇｘｍ）、Ｇｙ＝（ｇｙ１，…，ｇｙｍ）と表現すると、ｇｘｌ及びｇｙｌは、それぞれ下記の式（１９）及び式（２０）のように展開することができる。但し、ｇｘｌの右辺第２項は、ｘ及びｙのいずれに関しても１次であるため、ｇｙｌに含めてもよい。
Figure JPOXMLDOC01-appb-M000012
　上記の式（１９）及び式（２０）から分かるように、Ｇｘ（ｘ，ｙ）及びＧｙ（ｘ，ｙ）は、ｘ及びｙについて加法準同型になっている。そこで、これらの性質を利用し、２次多項式ｆｉを利用した効率的なアルゴリズムの構築方法と同様に、新たな変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を導入して公開鍵Ｆ（ｓ）を分割する。
　多項式Ｇｘ，Ｇｙが加法準同型であるから、変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を用いて、下記の式（２１）～式（２４）の関係が成り立つ。下記の式（２１）～式（２４）は、（ｒ０，ｔ０，ｕ０，ｅ０）で再現可能な第１の部分と、（ｒ０，ｕ１，ｅ１）で再現可能な第２の部分と、（ｒ１，ｔ０，ｅ０）で再現可能な第３の部分と、（ｒ１，ｔ１，ｕ１，ｅ１）で再現可能な第４の部分と、に分けることができる。
　例えば、下記の式（２２）に含まれる「ｒ０，ｔ０」、下記の式（２３）に含まれる「ｕ０」、下記の式（２４）に含まれる「Ｆ（ｒ０），Ｇｙ（ｒ０，ｕ０），ｅ０」、は、第１の部分である。また、下記の式（２４）に含まれる「Ｇｙ（ｒ０，ｕ１），ｅ１」は、第２の部分である。さらに、下記の式（２１）に含まれる「ｅ０，Ｇｘ（ｒ０，ｒ１）」は、第３の部分である。そして、下記の式（２１）に含まれる「ｅ１，Ｆ（ｒ１），Ｇｘ（ｔ１，ｒ１）」、下記の式（２２）に含まれる「ｔ１」、下記の式（２３）に含まれる「ｕ１」は、第４の部分である。
　言い換えると、下記の式（２１）は第３及び第４の部分で構成され、下記の式（２２）及び下記の式（２３）は第１及び第４の部分で構成され、下記の式（２４）は第１及び第２の部分で構成されている。このように、下記の式（２１）～式（２４）は、それぞれ２種類の部分で構成されている。
　また、秘密鍵ｓの定義及び下記の式（２１）～式（２４）の関係から、（ｒ０，ｔ０，ｕ０，ｅ０）、（ｒ０，ｕ１，ｅ１）、（ｒ１，ｔ０，ｅ０）、（ｒ１，ｔ１，ｕ１，ｅ１）のいずれか１つを用いても秘密鍵ｓは得られないことが保証される。これらの性質を利用すると、例えば、環Ｒ上の３次多項式ｆｌを利用した３パス方式に係る効率的なアルゴリズム（以下、拡張アルゴリズム）を構築することができる。
Figure JPOXMLDOC01-appb-M000013
　以下、具体的な拡張アルゴリズムの構成例について説明する。拡張アルゴリズムの設計に関する基本的なポイントは、下記の式（２５）～式（２７）で表現されるメッセージを検証者に送ること、及び第１～第４の部分のいずれかに関する検証を行うことの２点である。但し、この検証だけでは、第３の部分に含まれる「ｒ１」と第４の部分に含まれる「ｒ１」とが等しいかを検証することができない。同様に、第１の部分に含まれる「ｒ０」と第２の部分に含まれる「ｒ０」とが等しいか、第１の部分に含まれる「ｔ０，ｅ０」と第３の部分に含まれる「ｔ０，ｅ０」とが等しいかも検証することができない。さらに、第２の部分に含まれる「ｕ１，ｅ１」と第４の部分に含まれる「ｕ１，ｅ１」とが等しいかも検証することができない。そこで、以下では、これらの検証も可能にした構成例を紹介する。
Figure JPOXMLDOC01-appb-M000014
　（２－３－１：基本構成（図７））
　まず、図７を参照しながら、３パス方式に係る拡張アルゴリズムの基本構成について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　工程＃１：
　図７に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０，ｕ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｔ１←ｒ０－ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｕ１←ｒ１－ｕ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←Ｆ（ｒ０）－ｅ０を計算する。
　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇｘ（ｔ０，ｒ１）＋ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｒ０－ｔ０，ｕ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ２←Ｈ（ｒ０，ｅ１－Ｇｙ（ｒ０，ｕ１））を計算する。次いで、証明者アルゴリズムＰは、ｃ３←Ｈ（ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ４←Ｈ（ｕ１，ｅ１）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１，ｃ２，ｃ３，ｃ４）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１，ｃ２，ｃ３，ｃ４）を受け取った検証者アルゴリズムＶは、４つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す４つの数値｛０，１，２，３｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｔ０，ｕ０，ｅ０）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｕ１，ｅ１）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ０，ｅ０）を生成する。Ｃｈ＝３の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ１，ｕ１，ｅ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃４：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ０－ｔ０，ｕ０）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｒ０，Ｆ（ｒ０）＋Ｇｙ（ｒ０，ｕ０）－ｅ０）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ３＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｒ０，ｅ１－Ｇｙ（ｒ０，ｕ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ４＝Ｈ（ｕ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｅ０＋Ｇｘ（ｔ０，ｒ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ３＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝３の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｙ－Ｆ（ｒ１）－ｅ１－Ｇｘ（ｔ１，ｒ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｔ１，ｒ１－ｕ１）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ４＝Ｈ（ｕ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、３パス方式に係る拡張アルゴリズムの構成例について説明した。このアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、３次多項式を利用していることにより、より高い安全性が実現されている。
　（２－３－２：並列化アルゴリズム（図８））
　次に、図８を参照しながら、３パス方式に係る拡張アルゴリズムの並列化について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　工程＃１：
　図８に示すように、証明者アルゴリズムＰは、ｉ＝１～Ｎについて、以下の処理を実行する。まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ，ｕ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｔ１ｉ←ｒ０ｉ－ｔ０ｉを計算する。次いで、証明者アルゴリズムＰは、ｕ１ｉ←ｒ１ｉ－ｕ０ｉを計算する。次いで、証明者アルゴリズムＰは、ｅ１ｉ←Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。
　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ１ｉ，Ｇｘ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。次いで、証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｒ０ｉ－ｔ０ｉ，ｕ０ｉ）を計算する。次いで、証明者アルゴリズムＰは、ｃ２ｉ←Ｈ（ｒ０ｉ，ｅ１ｉ－Ｇｙ（ｒ０ｉ，ｕ１ｉ））を計算する。次いで、証明者アルゴリズムＰは、ｃ３ｉ←Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。次いで、証明者アルゴリズムＰは、ｃ４ｉ←Ｈ（ｕ１ｉ，ｅ１ｉ）を計算する。（ｃ０１，ｃ１１，ｃ２１，ｃ３１，ｃ４１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ，ｃ３Ｎ，ｃ４Ｎ）を生成した後、証明者アルゴリズムＰは、ハッシュ値Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，ｃ３１，ｃ４１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ，ｃ３Ｎ，ｃ４Ｎ）を計算する。
　工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。
　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、４つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、検証パターンの種類を表す４つの数値｛０，１，２，３｝の中から１つの数値を選択し、選択した数値を要求Ｃｈｉに設定する。要求Ｃｈｉ（ｉ＝１～Ｎ）は証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎについて、受け取った要求Ｃｈｉに応じて検証者アルゴリズムＶに送る返答Ｒｓｐｉを生成する。Ｃｈｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ０ｉ，ｔ０ｉ，ｕ０ｉ，ｅ０ｉ，ｃ０ｉ，ｃ4ｉ）を生成する。Ｃｈｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ０ｉ，ｕ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ３ｉ）を生成する。Ｃｈｉ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ，ｃ２ｉ，ｃ４ｉ）を生成する。Ｃｈｉ＝３の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｕ１ｉ，ｅ１ｉ，ｃ２ｉ，ｃ３ｉ）を生成する。工程＃３で生成された返答Ｒｓｐｉ（ｉ＝１～Ｎ）は、検証者アルゴリズムＶに送られる。
　工程＃４：
　返答Ｒｓｐｉ（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐｉを利用し、ｉ＝１～Ｎについて以下の処理を実行する。
　Ｃｈｉ＝０の場合、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ０ｉ－ｔ０ｉ，ｕ０ｉ）を計算する。次いで、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｒ０ｉ，Ｆ（ｒ０ｉ）＋Ｇｙ（ｒ０ｉ，ｕ０ｉ）－ｅ０ｉ）を計算する。次いで、検証者アルゴリズムＶは、ｃ３ｉ＝Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ，ｃ３ｉ，ｃ４i）を保持する。
　Ｃｈｉ＝１の場合、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｒ０ｉ，ｅ１ｉ－Ｇｙ（ｒ０ｉ，ｕ１ｉ））を計算する。次いで、検証者アルゴリズムＶは、ｃ４ｉ＝Ｈ（ｕ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ，ｃ３ｉ，ｃ４i）を保持する。
　Ｃｈｉ＝２の場合、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，Ｇｘ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。次いで、検証者アルゴリズムＶは、ｃ３ｉ＝Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ，ｃ３ｉ，ｃ４i）を保持する。
　Ｃｈｉ＝３の場合、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，ｙ－Ｆ（ｒ１ｉ）－ｅ１ｉ－Ｇｘ（ｔ１ｉ，ｒ１ｉ））を計算する。次いで、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｔ１ｉ，ｒ１ｉ－ｕ１ｉ）を計算する。次いで、検証者アルゴリズムＶは、ｃ４ｉ＝Ｈ（ｕ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ，ｃ３ｉ，ｃ４i）を保持する。
　ｉ＝１～Ｎについて上記の処理を実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，ｃ３１，ｃ４1，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ，ｃ３Ｎ，ｃ４N）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、３パス方式に係る拡張アルゴリズムの並列化について説明した。このアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、３次多項式を利用していることにより、より高い安全性が実現されている。
　＜３：５パスの公開鍵認証方式に係るアルゴリズムの構成＞
　以下、５パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、５パスの公開鍵認証方式のことを「５パス方式」と呼ぶ場合がある。
　３パス方式の場合には対話プロトコル１回当たりの偽証確率が２／３であったが、５パス方式の場合には対話プロトコル１回当たりの偽証確率が１／２＋１／ｑとなる。但し、ｑは、利用する環の位数である。従って、環の位数が十分に大きい場合、５パス方式の方が１回当たりの偽証確率を低減することが可能になり、少ない対話プロトコルの実行回数で、偽証確率を十分に小さくすることができる。
　例えば、偽証確率を１／２ｎ以下にしたい場合、３パス方式においては、ｎ／（ｌｏｇ３－１）＝１．７０１ｎ回以上、対話プロトコルを実行する必要がある。一方、偽証確率を１／２ｎ以下にしたい場合、５パス方式においては、ｎ／（１－ｌｏｇ（１＋１／ｑ））回以上、対話プロトコルを実行する必要がある。従って、ｑ＝２４にすれば、同じセキュリティレベルを実現するのに必要な通信量は、３パス方式に比べ、５パス方式の方が少なくなるのである。
　［３－１：具体的なアルゴリズムの構成例（図９）］
　まず、図９を参照しながら、５パス方式に係る具体的なアルゴリズムの構成例について紹介する。図９は、５パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。なお、５パス方式のアルゴリズムは、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。以下、各アルゴリズムの構成について説明する。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義される多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１，…，ｆｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、多変数多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））をＦ（ｘ）と表記する。
　（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
　次に、図９を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶにより実行される処理について説明する。
　工程＃１：
　図９に示すように、証明者アルゴリズムＰは、ランダムに数ｓｅｅｄ０を選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器ＰＲＮＧに数ｓｅｅｄ０を適用してベクトルｒ０∈Ｋｎ、及び多変数多項式の組Ｆ１（ｘ）＝（ｆ１１（ｘ），…，ｆ１ｍ（ｘ））を生成する。つまり、証明者アルゴリズムＰは、（ｒ０，Ｆ１）←Ｇ（ｓｅｅｄ０）を計算する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。
　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、Ｆ１（ｒ１）及びｒ１のハッシュ値ｃ０を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（Ｆ１（ｒ１），ｒ１）を計算する。また、証明者アルゴリズムＰは、数ｓｅｅｄ０のハッシュ値ｃ１を生成する。つまり、証明者アルゴリズムＰは、ｃ１←Ｈ（ｓｅｅｄ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡを選択し、選択した数ＣｈＡを証明者アルゴリズムＰに送る。
　工程＃３：
　数ＣｈＡを受け取った証明者アルゴリズムＰは、Ｆ２（ｘ）←ＣｈＡ・Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）を計算する。この計算は、ｘに関して多変数多項式Ｆ（ｘ＋ｒ０）を多変数多項式Ｆ１（ｘ）によりマスクする操作に相当する。工程＃３で生成された多変数多項式Ｆ２は、検証者アルゴリズムＶに送られる。
　工程＃４：
　多変数多項式Ｆ２を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｓｅｅｄ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　ＣｈＢ＝０の場合、検証者アルゴリズムＶは、（ｒ０，Ｆ１）←ＰＲＮＧ（Ｒｓｐ）を計算する。そして、検証者アルゴリズムＶは、ｃ１＝Ｈ（Ｒｓｐ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、Ｆ２（ｘ）＝ＣｈＡ・Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｒ１←Ｒｓｐとする。そして、検証者アルゴリズムＶは、ｃ０＝Ｈ（Ｆ２（ｒ１）－ＣｈＡ・ｙ，ｒ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　（健全性について）
　５パス方式の健全性は、証明者アルゴリズムＰが（ｃ０，ｃ１）、及び、検証者アルゴリズムＶが選択する２通りの（ＣｈＡ，ＣｈＡ’）について、要求ＣｈＢ＝０及び１に正しく回答した場合に、その回答内容から下記の式（２８）～式（３０）を満たすＦ１、Ｆ２、Ｆ２’、ｒ０、ｒ１を計算できるということから保証されている。
Figure JPOXMLDOC01-appb-M000015
　５パス方式の健全性が保証されることにより、多次多変数連立方程式の求解問題を解かない限りにおいて１／２＋１／ｑより高い確率で偽証することは不可能であることが保証される。つまり、検証者の要求ＣｈＡ＝０及び１の全てに正しく回答するためには、偽証者が上記の式（２８）～式（３０）を満たすＦ１、Ｆ２、Ｆ２’、ｒ０、ｒ１を計算できる必要がある。言い換えると、偽証者はＦ（ｓ）＝ｙを満たすｓを計算できる必要がある。従って、多次多変数連立方程式の求解問題を解かない限り、偽証者は、１／２＋１／ｑより高い確率で偽証を成功させることができないのである。なお、上記の対話プロトコルを十分に多くの回数実行することにより、偽証の成功確率を無視できるほど小さくすることができる。
　（ハッシュ関数Ｈについて）
　ここで、ハッシュ関数Ｈについて説明を補足する。上記のアルゴリズムでは、ハッシュ関数Ｈを用いてｃ０，ｃ１などを計算しているが、ハッシュ関数Ｈの代わりにコミットメント関数ＣＯＭを用いてもよい。コミットメント関数ＣＯＭは、文字列Ｓ及び乱数ρを引数にとる関数である。コミットメント関数の例としては、Ｓｈａｉ　ＨａｌｅｖｉとＳｉｌｖｉｏ　Ｍｉｃａｌｉによって国際会議ＣＲＹＰＴＯ１９９６で発表された方式などがある。
　例えば、コミットメント関数ＣＯＭを用いてｃ０，ｃ１を計算する場合について考えてみよう。この場合、ｃ０，ｃ１を計算する前に乱数ρ０，ρ１を用意し、ハッシュ関数Ｈ（・）を適用する代わりにコミットメント関数ＣＯＭ（・，ρ０），ＣＯＭ（・，ρ１）を適用してｃ０，ｃ１を生成する。また、検証者がｃｉを生成するために必要なρｉは、返答Ｒｓｐに含めて送られるようにする。
　以上、５パス方式に係る具体的なアルゴリズムの構成例について説明した。
　［３－２：２次多変数多項式に基づく効率的なアルゴリズム］
　次に、５パス方式に係るアルゴリズムを効率化する方法について述べる。ここでは、多変数多項式Ｆとして２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について説明する。
　３パス方式の効率的なアルゴリズムと同様、２つのベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ０）をマスクするために用いた多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ、ｔ０）＋ｅ０のように表現する。この表現を用いると、多変数多項式Ｆ（ｘ＋ｒ０）について、下記の式（３１）で表現される関係が得られる。
Figure JPOXMLDOC01-appb-M000016
　そのため、ｔ１＝ＣｈＡ・ｒ０＋ｔ０、ｅ１＝ＣｈＡ・Ｆ（ｒ０）＋ｅ０とすれば、マスク後の多変数多項式Ｆ２（ｘ）＝ＣｈＡ・Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）も、２つのベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。これらの理由から、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズを大幅に減らすことが可能になる。具体的には、数千～数万倍程度、通信コストが削減される。
　また、上記の変形により、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性は担保される。以下、図１０及び図１１を参照しながら、５パス方式に係る効率的なアルゴリズムについて説明する。
　（３－２－１：基本構成（図１０））
　まず、図１０を参照しながら、５パス方式に係る効率的なアルゴリズムの基本構成について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　工程＃１：
　図１０に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０∈Ｋｎ、ｔ０∈Ｋｎ、ｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ベクトルｒ０，ｔ０，ｅ０のハッシュ値ｃ０を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、Ｇ（ｔ０，ｒ１）＋ｅ０及びｒ１のハッシュ値ｃ１を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡを選択し、選択した数ＣｈＡを証明者アルゴリズムＰに送る。
　工程＃３：
　数ＣｈＡを受け取った証明者アルゴリズムＰは、ｔ１←ＣｈＡ・ｒ０－ｔ０を計算する。さらに、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）－ｅ０を計算する。そして、証明者アルゴリズムＰは、ｔ１及びｅ１を検証者アルゴリズムＶに送る。
　工程＃４：
　ｔ１及びｅ１を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｒ０←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，ＣｈＡ・ｒ０－ｔ１，ＣｈＡ・Ｆ（ｒ０）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｒ１←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ１＝Ｈ１（ｒ１，ＣｈＡ・（ｙ－Ｆ（ｒ１））－Ｇ（ｔ１，ｒ１）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る効率的なアルゴリズムの構成例について説明した。このアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。
　（３－２－２：並列化アルゴリズム（図１１））
　次に、図１１を参照しながら、図１０に示した効率的なアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　先に述べた通り、５パス方式に係る対話プロトコルを適用すれば、偽証が成功する確率を（１／２＋１／ｑ）以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（１／２＋１／ｑ）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（１／２＋１／ｑ）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝８０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
　対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。ここでは、５パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
　工程＃１：
　証明者アルゴリズムＰは、ｉ＝１～Ｎについて処理（１）～処理（４）を実行する。
　処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
　処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。
　処理（３）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。
　処理（４）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。
　ｉ＝１～Ｎについて処理（１）～処理（４）を実行した後、証明者アルゴリズムＰは、ハッシュ値Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を実行する。そして、工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。
　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡｉを選択し、選択した数ＣｈＡｉ（ｉ＝１～Ｎ）を証明者アルゴリズムＰに送る。
　工程＃３：
　数ＣｈＡｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ－ｔ０ｉを計算する。さらに、証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、ｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。そして、証明者アルゴリズムＰは、ｔ１１，…，ｔ１Ｎ及びｅ１１，…，ｅ１Ｎを検証者アルゴリズムＶに送る。
　工程＃４：
　ｔ１１，…，ｔ１Ｎ及びｅ１１，…，ｅ１Ｎを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢｉに設定する。要求ＣｈＢｉ（ｉ＝１～Ｎ）は証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎについて、受け取った要求ＣｈＢｉに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐｉを生成する。ＣｈＢｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ０ｉ，ｃ１ｉ）を生成する。ＣｈＢｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ１ｉ，ｃ０ｉ）を生成する。工程＃５で生成された返答Ｒｓｐｉ（ｉ＝１～Ｎ）は、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐｉ（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐｉ（ｉ＝１～Ｎ）を利用して以下の処理（１）及び処理（２）を実行する。
　処理（１）：ＣｈＢｉ＝０の場合、検証者アルゴリズムＶは、（ｒ０ｉ，ｃ１ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ０ｉ，ＣｈＡｉ・ｒ０ｉ－ｔ１ｉ，ＣｈＡｉ・Ｆ（ｒ０ｉ）－ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ）を保持する。
　処理（２）：ＣｈＢｉ＝１の場合、検証者アルゴリズムＶは、（ｒ１ｉ，ｃ０ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ１ｉ，ＣｈＡｉ・（ｙ－Ｆ（ｒ１ｉ））－Ｇ（ｔ１ｉ，ｒ１ｉ）－ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ）を保持する。
　ｉ＝１～Ｎについて処理（１）及び処理（２）を実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。なお、図１１に示した並列化アルゴリズムには、メッセージをハッシュ値に変換してから送信する工夫を盛り込んだ。この工夫により、通信効率が向上する。同様に、要求ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮや返答Ｒｓｐ１，…，ＲｓｐＮなどをハッシュ値に変換してから送信するように構成を変形してもよい。このように構成を変形することで、更なる通信効率の向上が期待できる。
　［３－３：高次多変数多項式に基づく効率的なアルゴリズム（方式＃１）］
　上記の効率的なアルゴリズムは、上記の式（８）で定義される２次多項式ｆｉの組で多変数多項式Ｆを表現することにより、上記の式（１０）で定義される多項式Ｇが双線形になるという性質を利用していた。但し、図１０に示した効率的なアルゴリズムは、公開鍵Ｆ（ｓ）をＣｈＡ倍した項がＣｈＡに依存する部分と、それ以外の部分とに分割できることを利用している。しかし、５パス方式の場合も多項式Ｇがｘかｙの少なくとも片方について線形であれば、多項式Ｇが双線形でなくとも、同様に効率的なアルゴリズムを構築することが可能である。
　（３次多項式ｆｉを利用した効率的なアルゴリズムの構築について）
　３パス方式の場合と同様、環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズムの構築方法について検討してみたい。３次多項式ｆｌを上記の式（１７）のように表現した場合に、Ｇｘ（ｘ，ｙ）及びＧｙ（ｘ，ｙ）がｘ及びｙについて線形になることについては式（１９）と式（２０）より分かる。
　そこで、上記の性質を利用し、新たな変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を導入して、公開鍵Ｆ（ｓ）をＣｈＡ倍した項を分割する。多項式Ｇｘ，Ｇｙがそれぞれｘとｙについて線形であるから、変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を用いて、下記の式（３２）～式（３５）の関係が成り立つ。また、下記の式（３２）～式（３５）は、ＣｈＡに依存する第１の部分と、ＣｈＡに依存しない第２の部分とに分けることができる。但し、第１の部分は、（ｒ１，ｔ１，ｕ１，ｅ１）で再現可能である。また、第２の部分は、（ｒ０，ｔ１，ｕ１，ｅ１）で再現可能である。
　例えば、下記の式（３２）に含まれる「ｅ０，Ｇｘ（ｔ０，ｒ１）」、下記の式（３３）に含まれる「ｔ０」、下記の式（３４）に含まれる「ｕ０」、下記の式（３５）に含まれる「ｅ０，Ｇｙ（ｒ０，ｕ０）」は第１の部分である。一方、下記の式（３２）に含まれる「ＣｈＡ・Ｆ（ｒ０＋ｒ１），ｅ１，ＣｈＡ・Ｆ（ｒ１），Ｇｘ（ｔ１，ｒ１）」、下記の式（３３）に含まれる「ＣｈＡ・ｒ０，ｔ１」、下記の式（３４）に含まれる「ＣｈＡ・ｒ１，ｕ１」、下記の式（３５）に含まれる「ＣｈＡ・Ｆ（ｒ０），Ｇｙ（ｒ０，ｕ１），ｅ１」は第２の部分である。
　また、秘密鍵ｓの定義及び下記の式（３２）～式（３５）の関係から、（ｒ１，ｔ１，ｕ１，ｅ１）、（ｒ０，ｔ１，ｕ１，ｅ１）のいずれか１つを用いても秘密鍵ｓは得られないことが保証される。これらの性質を利用すると、例えば、環Ｒ上の３次多項式ｆｌを利用した５パス方式に係る効率的なアルゴリズム（以下、拡張アルゴリズム）を構築することができる。
Figure JPOXMLDOC01-appb-M000017
　以下、具体的な拡張アルゴリズムの構成例について説明する。拡張アルゴリズムの設計に関する基本的なポイントは、下記の式（３６）及び式（３７）で表現されるメッセージを検証者に送ること、及び検証者が選択したＣｈＡについて、ＣｈＡに依存する部分（第１の部分）に関する検証を行うことの２点である。但し、「メッセージを生成する際に利用したｒ０及びｒ１を、検証の際に別のｒ０及びｒ１にすり替えられることを防ぐ」ために、ｒ０及びｒ１に関する検証を追加した構成例を以下で紹介する。
Figure JPOXMLDOC01-appb-M000018
　（３－３－１：基本構成（図１２））
　まず、図１２を参照しながら、５パス方式に係る拡張アルゴリズムの基本構成について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　工程＃１：
　図１２に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０，ｕ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０，ｅ０－Ｇｙ（ｒ０，ｕ０））を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｒ１，ｕ０，Ｇｘ（ｔ０，ｒ１）＋ｅ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ランダムに数ＣｈＡを選択する。この数ＣｈＡは証明者アルゴリズムＰに送られる。
　工程＃３：
　数ＣｈＡを受け取った証明者アルゴリズムＰは、ｔ１←ＣｈＡ・ｒ０－ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｕ１←ＣｈＡ・ｒ１－ｕ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）＋ＣｈＡ・Ｇｙ（ｒ０，ｒ１）－ｅ０を計算する。工程＃３で生成された（ｔ１，ｕ１，ｅ１）は、検証者アルゴリズムＶに送られる。
　工程＃４：
　（ｔ１，ｕ１，ｅ１）を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，ＣｈＡ・ｒ０－ｔ１，ＣｈＡ・Ｆ（ｒ０）＋Ｇｙ（ｒ０，ｕ１）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ１，ＣｈＡ・ｒ１－ｕ１，ＣｈＡ・（ｙ－Ｆ（ｒ１））－Ｇｘ（ｔ１，ｒ１）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る拡張アルゴリズムの構成例について説明した。このアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、３次多項式を利用していることにより、より高い安全性が実現されている。
　（３－３－２：並列化アルゴリズム（図１３））
　次に、図１３を参照しながら、５パス方式に係る拡張アルゴリズムの並列化について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　工程＃１：
　図１３に示すように、証明者アルゴリズムＰは、ｉ＝１～Ｎについて、次の処理を実行する。まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ，ｕ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ－Ｇｙ（ｒ０ｉ，ｕ０ｉ））を計算する。次いで、証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｒ１ｉ，ｕ０ｉ，Ｇｘ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。
　工程＃１（続き）：
　（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算した後、証明者アルゴリズムＰは、ハッシュ値Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する。工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。
　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ランダムに数ＣｈＡ１，…，ＣｈＡＮを選択する。数ＣｈＡ１，…，ＣｈＡＮは証明者アルゴリズムＰに送られる。
　工程＃３：
　数ＣｈＡ１，…，ＣｈＡＮを受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎについて、次の処理を実行する。まず、証明者アルゴリズムＰは、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ－ｔ０ｉを計算する。次いで、証明者アルゴリズムＰは、ｕ１ｉ←ＣｈＡｉ・ｒ１ｉ－ｕ０ｉを計算する。次いで、証明者アルゴリズムＰは、ｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）＋ＣｈＡｉ・Ｇｙ（ｒ０ｉ，ｒ１ｉ）－ｅ０ｉを計算する。
　工程＃３で生成された（ｔ１１，ｕ１１，ｅ１１，…，ｔ１Ｎ，ｕ１Ｎ，ｅ１Ｎ）は、検証者アルゴリズムＶに送られる。
　工程＃４：
　（ｔ１１，ｕ１１，ｅ１１，…，ｔ１Ｎ，ｕ１Ｎ，ｅ１Ｎ）を受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、２つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢｉに設定する。要求ＣｈＢ１，…，ＣｈＢＮは証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢ１，…，ＣｈＢＮを受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、受け取った要求ＣｈＢｉに応じて検証者アルゴリズムＶに送る返答Ｒｓｐｉを生成する。ＣｈＢｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ０ｉ，ｃ１ｉ）を生成する。ＣｈＢｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ１ｉ，ｃ０ｉ）を生成する。工程＃５で生成された返答Ｒｓｐｉは、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐｉ（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐｉを利用し、ｉ＝１～Ｎについて次の処理を実行する。
　ＣｈＢｉ＝０の場合、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ０ｉ，ＣｈＡｉ・ｒ０ｉ－ｔ１ｉ，ＣｈＡｉ・Ｆ（ｒ０ｉ）＋Ｇｙ（ｒ０ｉ，ｕ１ｉ）－ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ）を保持する。
　ＣｈＢｉ＝１の場合、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ１ｉ，ＣｈＡｉ・ｒ１ｉ－ｕ１ｉ，ＣｈＡｉ・（ｙ－Ｆ（ｒ１ｉ））－Ｇｘ（ｔ１ｉ，ｒ１ｉ）－ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ）を保持する。
　ｉ＝１～Ｎについて上記の処理を実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る拡張アルゴリズムの並列化について説明した。このアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、３次多項式を利用していることにより、より高い安全性が実現されている。
　［３－４：高次多変数多項式に基づく効率的なアルゴリズム（方式＃２）］
　これまで、環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズムの構築方法について説明してきた。ここでは標数ｑ及び位数ｑｋの環Ｒ上で定義される高次多項式ｆｌを利用した拡張アルゴリズムの構築方法について考える。この高次多項式ｆｌは、例えば、下記の式（３８）のように表現される。この高次多項式ｆｌを用いる場合、Ｇ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）－Ｆ（ｘ）－Ｆ（ｙ）＝（ｇ１，…，ｇｍ）で定義される多項式Ｇの成分ｇｌは、下記の式（３９）のように表現される。
Figure JPOXMLDOC01-appb-M000019
　従って、ＣｈＡ∈Ｒについて、下記の式（４０）に示す関係が成り立つ。さらに、下記の式（４１）に示す関係も成り立つ。そこで、これらの性質（以下、準線形性と呼ぶ。）を利用し、新たな変数ｒ０，ｒ１，ｔ０ｚ，ｅ０を導入して、公開鍵Ｆ（ｓ）をＣｈＡ倍した項を分割する。多項式Ｇが準線形性を有することから、変数ｒ０，ｒ１，ｔ０ｚ，ｅ０を用いて、下記の式（４２）～式（４４）の関係が成り立つ。また、下記の式（４２）～式（４４）は、ＣｈＡに依存する第１の部分と、ＣｈＡに依存しない第２の部分とに分けることができる。但し、第１の部分は、（ｒ１，ｔ１ｚ，ｅ１）で再現可能である。また、第２の部分は、（ｒ０，ｔ１ｚ，ｅ１）で再現可能である。
　例えば、下記の式（４２）に含まれる「ｅ０，ΣＧｚ（ｔ０ｚ，ｒ１）」、下記の式（４３）に含まれる「ｔ０ｚ」、下記の式（４４）に含まれる「ｅ０」は第１の部分である。一方、下記の式（４２）に含まれる「ＣｈＡ・Ｆ（ｒ０＋ｒ１），ｅ１，ＣｈＡ・Ｆ（ｒ１），ΣＧｚ（ｔ１ｚ，ｒ１）」、下記の式（４３）に含まれる「ＣｈＡ ｑ（－ｚ）・ｒ０，ｔ１ｚ」（但し、ｑ（ｚ）＝ｑｚ；以下同様）、下記の式（４４）に含まれる「ＣｈＡ・Ｆ（ｒ０），ｅ１」は第２の部分である。
　また、秘密鍵ｓの定義及び下記の式（４２）～式（４４）の関係から、（ｒ１，ｔ１ｚ，ｅ１）、（ｒ０，ｔ１ｚ，ｅ１）のいずれか１つを用いても秘密鍵ｓは得られないことが保証される。これらの性質を利用すると、例えば、環Ｒ上の高次多項式ｆｌを利用した５パス方式に係る効率的なアルゴリズム（以下、高次拡張アルゴリズム）を構築することができる。
Figure JPOXMLDOC01-appb-M000020
　以下、具体的な高次拡張アルゴリズムの構成例について説明する。高次拡張アルゴリズムの設計に関する基本的なポイントは、下記の式（４５）及び式（４６）で表現されるメッセージを検証者に送ること、及び検証者が選択したＣｈＡについて、ＣｈＡに依存する部分（第１の部分）に関する検証を行うことの２点である。但し、「メッセージを生成する際に利用したｒ０及びｒ１を、検証の際に別のｒ０及びｒ１にすり替えられることを防ぐ」ために、ｒ０及びｒ１に関する検証を追加した構成例を以下で紹介する。
Figure JPOXMLDOC01-appb-M000021
　（３－４－１：基本構成（図１４））
　まず、図１４を参照しながら、５パス方式に係る高次拡張アルゴリズムの基本構成について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　工程＃１：
　図１４に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０１，…，ｔ０ｋ∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０１，…，ｔ０ｋ，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｒ１，ΣｚＧｚ（ｔ０ｚ，ｒ１）＋ｅ０）（但し、Σｚはｚ＝１～ｋについての和を表す。）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ランダムに数ＣｈＡを選択する。この数ＣｈＡは証明者アルゴリズムＰに送られる。
　工程＃３：
　数ＣｈＡを受け取った証明者アルゴリズムＰは、ｚ＝１～ｋについて、ｔ１ｚ←（ＣｈＡ）ｑ（ｚ－１）・ｒ０－ｔ０ｚを計算する。次いで、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）－ｅ０を計算する。工程＃３で生成された（ｔ１１，…，ｔ１ｋ，ｅ１）は、検証者アルゴリズムＶに送られる。
　工程＃４：
　（ｔ１１，…，ｔ１ｋ，ｅ１）を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，（ＣｈＡ）ｑ（０）・ｒ０－ｔ１１，…，（ＣｈＡ）ｑ（ｋ－１）・ｒ０－ｔ１ｋ，ＣｈＡ・Ｆ（ｒ０）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ１，ＣｈＡ・（ｙ－Ｆ（ｒ１））－ΣｚＧｚ（ｔ１ｚ，ｒ１））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る高次拡張アルゴリズムの構成例について説明した。このアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、高次多項式を利用していることにより、より高い安全性が実現されている。
　（３－４－２：並列化アルゴリズム（構成例１）（図１５））
　次に、図１５を参照しながら、５パス方式に係る高次拡張アルゴリズムの並列化について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　工程＃１：
　図１５に示すように、証明者アルゴリズムＰは、ｉ＝１～Ｎについて、次の処理を実行する。まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０１ｉ，…，ｔ０ｋｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ０ｉ，ｔ０１ｉ，…，ｔ０ｋｉ，ｅ０ｉ）を計算する。次いで、証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｒ１ｉ，ΣｚＧｚ（ｔ０ｚｉ，ｒ１ｉ）＋ｅ０ｉ）（但し、Σｚはｚ＝１～ｋについての和を表す。）を計算する。工程＃１で生成されたメッセージ（ｃ０ｉ，ｃ１ｉ）（ｉ＝１～Ｎ）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０ｉ，ｃ１ｉ）（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、ランダムに数ＣｈＡ１，…，ＣｈＡＮを選択する。この数ＣｈＡ１，…，ＣｈＡＮは証明者アルゴリズムＰに送られる。
　工程＃３：
　数ＣｈＡ１，…，ＣｈＡＮを受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎ及びｚ＝１～ｋについて、ｔ１ｚｉ←（ＣｈＡｉ）ｑ（ｚ－１）・ｒ０ｉ－ｔ０ｚｉを計算する。次いで、証明者アルゴリズムＰは、ｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。工程＃３で生成された（ｔ１１ｉ，…，ｔ１ｋｉ，ｅ１ｉ）（ｉ＝１～Ｎ）は、検証者アルゴリズムＶに送られる。
　工程＃４：
　（ｔ１１ｉ，…，ｔ１ｋｉ，ｅ１ｉ）（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢｉに設定する。要求ＣｈＢｉ（ｉ＝１～Ｎ）は証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、受け取った要求ＣｈＢｉに応じて検証者アルゴリズムＶに送る返答Ｒｓｐｉを生成する。ＣｈＢｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝ｒ０ｉを生成する。ＣｈＢｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝ｒ１ｉを生成する。工程＃５で生成された返答Ｒｓｐｉ（ｉ＝１～Ｎ）は、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐｉ（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐｉを利用し、ｉ＝１～Ｎについて次の認証処理を実行する。
　ＣｈＢｉ＝０の場合、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ０ｉ，（ＣｈＡｉ）ｑ（０）・ｒ０ｉ－ｔ１１ｉ，…，（ＣｈＡｉ）ｑ（ｋ－１）・ｒ０ｉ－ｔ１ｋｉ，ＣｈＡｉ・Ｆ（ｒ０ｉ）－ｅ１ｉ）の等号が成り立つか否かを検証する。ＣｈＢｉ＝１の場合、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ１ｉ，ＣｈＡｉ・（ｙ－Ｆ（ｒ１ｉ））－ΣｚＧｚ（ｔ１ｚｉ，ｒ１ｉ））の等号が成り立つか否かを検証する。
　検証者アルゴリズムＶは、全ての検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る高次拡張アルゴリズムの並列化について説明した。このアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、高次多項式を利用していることにより、より高い安全性が実現されている。
　（３－４－３：並列化アルゴリズム（構成例２：高効率）（図１６））
　さて、図１５に示した高次拡張アルゴリズムの並列化構成において、１パス目にメッセージ（ｃ０ｉ，ｃ１ｉ）（ｉ＝１～Ｎ）をそのまま送っていた。しかし、通信効率を考えると、メッセージ（ｃ０ｉ，ｃ１ｉ）（ｉ＝１～Ｎ）を１つのハッシュ値に纏めて送る方が好ましい。１パス目でメッセージ（ｃ０ｉ，ｃ１ｉ）（ｉ＝１～Ｎ）を１つのハッシュ値に纏めて送るには、図１６に示すようにアルゴリズムの構成を変形すればよい。
　図１６の構成例において、証明者アルゴリズムＰは、工程＃１でハッシュ値Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算している。また、証明者アルゴリズムＰは、工程＃５で返答Ｒｓｐｉを生成する際、ＣｈＢｉ＝０の場合に返答Ｒｓｐｉ＝（ｒ０ｉ，ｃ１ｉ）を生成し、ＣｈＢｉ＝１の場合に返答Ｒｓｐｉ＝（ｒ１ｉ，ｃ０ｉ）を生成している。一方、検証者アルゴリズムＶは、工程＃６において、（ＣｈＡｉ，ＣｈＢｉ，Ｒｓｐｉ）（ｉ＝１～Ｎ）から（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を生成し、Ｃｍｔ＝（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）の等号が成り立つか否かを検証している。これらの変形を行うことにより、通信効率を高めることが可能になる。
　以上、高次拡張アルゴリズムに基づく効率的な並列化アルゴリズムについて説明した。
　（３－４－４：並列化アルゴリズム（構成例２：更に高効率）（図１７））
　さて、図１５に示した高次拡張アルゴリズムの並列化構成において、１パス目にメッセージ（ｃ０ｉ，ｃ１ｉ）（ｉ＝１～Ｎ）をそのまま送っていた。さらに、３パス目に（ｔ１１ｉ，…，ｔ１ｋｉ，ｅ１ｉ）（ｉ＝１～Ｎ）をそのまま送っていた。しかし、通信効率を考えると、メッセージ（ｃ０ｉ，ｃ１ｉ）（ｉ＝１～Ｎ）を１つのハッシュ値に纏めて送る方が好ましい。さらに、（ｔ１１ｉ，…，ｔ１ｋｉ，ｅ１ｉ）（ｉ＝１～Ｎ）を１つのハッシュ値に纏めて送る方が好ましい。１パス目でメッセージ（ｃ０ｉ，ｃ１ｉ）（ｉ＝１～Ｎ）を１つのハッシュ値に纏めて送り、３パス目で（ｔ１１ｉ，…，ｔ１ｋｉ，ｅ１ｉ）（ｉ＝１～Ｎ）を１つのハッシュ値に纏めて送るには、図１７に示すようにアルゴリズムの構成を変形すればよい。
　図１７の構成例において、証明者アルゴリズムＰは、工程＃１でハッシュ値ＣｍｔＡ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算している。証明者アルゴリズムＰは、工程＃３でハッシュ値ＣｍｔＢ←Ｈ（ｔ１１１，…，ｔ１ｋＮ，ｅ１１，…，ｅ１Ｎ）を計算している。また、証明者アルゴリズムＰは、工程＃５で返答Ｒｓｐｉを生成する際、ＣｈＢｉ＝０の場合に返答Ｒｓｐｉ＝（ｒ０ｉ，ｔ０１ｉ，…，ｔ０ｋｉ，ｅ０ｉ，ｃ１ｉ）を生成し、ＣｈＢｉ＝１の場合に返答Ｒｓｐｉ＝（ｒ１ｉ，ｔ１１ｉ，…，ｔ１ｋｉ，ｅ１ｉ，ｃ０ｉ）を生成している。
　一方、検証者アルゴリズムＶは、工程＃６において、（ＣｈＡｉ，ＣｈＢｉ，Ｒｓｐｉ）（ｉ＝１～Ｎ）から（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）及び（ｔ１１１，…，ｔ１ｋＮ，ｅ１１，…，ｅ１Ｎ）を生成し、ＣｍｔＡ＝（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）及びＣｍｔＢ＝（ｔ１１１，…，ｔ１ｋＮ，ｅ１１，…，ｅ１Ｎ）の等号が成り立つか否かを検証している。これらの変形を行うことにより、通信効率を更に高めることが可能になる。
　以上、高次拡張アルゴリズムに基づく更に効率的な並列化アルゴリズムについて説明した。
　以上説明した高次拡張アルゴリズムを適用することにより、より安全性が高く効率的な公開鍵認証方式を実現することが可能になる。例えば、５パス方式の拡張アルゴリズムにおいて、（ｑ，ｎ，ｍ，Ｎ）＝（２４，４５，３０，８８）とする場合、公開鍵のサイズは１２０ビット、秘密鍵のサイズは１８０ビット、通信データのサイズは２７５１２ビットとなる。
　同程度の安全性を担保しようとすると、５パス方式の高次拡張アルゴリズムの場合、例えば、（ｑ，ｎ，ｍ，Ｎ）＝（２２，４２，４０，１１８）の条件で済む。この条件において、公開鍵のサイズは８０ビット、秘密鍵のサイズは８４ビット、通信データのサイズは２７８１４ビットとなる。つまり、高次拡張アルゴリズムを適用することにより、通信データのサイズを同程度に維持しながら、公開鍵のサイズ及び秘密鍵のサイズを大幅に低減することが可能になる。
　なお、条件を（ｑ，ｎ，ｍ，Ｎ）＝（２３，２８，２７，９７）に変更してもよい。この場合、公開鍵のサイズは８１ビット、秘密鍵のサイズは８４ビット、通信データのサイズは２７１４５ビットとなる。さらに、条件を（ｑ，ｎ，ｍ，Ｎ）＝（２４，２１，２０，８８）に変更してもよい。この場合、公開鍵のサイズは８０ビット、秘密鍵のサイズは８４ビット、通信データのサイズは２８３９２ビットとなる。いずれの条件においても、大幅な効率化が達成されている。
　＜４：電子署名方式への変形＞
　ここで、上記の公開鍵認証方式を電子署名方式へと変形する方法を紹介する。
　公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが容易に理解されよう。こうした考えに基づき、上述した公開鍵認証方式を電子署名方式へと変形する方法について説明する。
　［４－１：３パスの公開鍵認証方式から電子署名方式への変形］
　まず、３パスの公開鍵認証方式から電子署名方式への変形について説明する。
　（４－１－１：電子署名アルゴリズム（構成例１）（図１８））
　図１８に示すように、３パス方式に係る効率的なアルゴリズム（例えば、図６及び図８を参照）は、３回の対話及び４つの工程＃１～工程＃４で表現される。
　工程＃１は、ｉ＝１～Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
　工程＃２は、Ｃｈ１，…，ＣｈＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈ１，…，ＣｈＮは、証明者アルゴリズムＰへと送られる。
　工程＃３は、Ｃｈ１，…，ＣｈＮ及びａ１，…，ａＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）と表現する。工程＃３で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
　工程＃４は、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを再生する処理（１）と、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する処理（２）とで構成される。
　上記の工程＃１～工程＃４で表現される公開鍵認証方式のアルゴリズムは、図１８に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（５）で構成される。
　処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）を計算する。
　処理（５）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，Ｒｓｐ１，…，ＲｓｐＮ）を署名に設定する。
　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（３）で構成される。
　処理（１）：署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを生成する。
　処理（３）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する。
　以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
　（４－１－２：電子署名アルゴリズム（構成例２：高効率）（図１９））
　ところで、図１８に示した署名生成アルゴリズムＳｉｇの構成に注目すると、処理（２）及び処理（３）でハッシュ値の計算を行っていることに気づくであろう。また、署名検証アルゴリズムＶｅｒの構成に注目すると、処理（１）において、署名生成アルゴリズムＳｉｇの処理（３）と同じハッシュ値の計算を行っていることに気づくであろう。これらの処理に注目し、図１９に示すように署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒの構成を改良すると、さらに計算効率を向上させることができる。
　（署名生成アルゴリズムＳｉｇ）
　まず、図１９を参照しながら、改良後の署名生成アルゴリズムＳｉｇの構成について説明する。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（４）で構成される。
　処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。このＭは、署名を付与する文書である。
　処理（３）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）を計算する。
　処理（４）：署名生成アルゴリズムＳｉｇは、（Ｃｈ１，…，ＣｈＮ，Ｒｓｐ１，…，ＲｓｐＮ）を署名に設定する。
　（署名検証アルゴリズムＶｅｒ）
　次に、改良後の署名検証アルゴリズムＶｅｒの構成について説明する。署名検証アルゴリズムＶｅｒは、以下の処理（１）及び処理（２）で構成される。
　処理（１）：署名検証アルゴリズムＶｅｒは、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを生成する。
　処理（２）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いて（Ｃｈ１，…，ＣｈＮ）＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する。
　上記のように署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒの構成を改良することにより、各アルゴリズムにおいてハッシュ値の計算が１回ずつ削減され、計算効率が向上する。
　［４－２：５パスの公開鍵認証方式から電子署名方式への変形］
　次に、５パスの公開鍵認証方式から電子署名方式への変形について説明する。
　（４－２－１：電子署名アルゴリズム（構成例１）（図２０））
　図２０に示すように、５パス方式に係る効率的なアルゴリズム（例えば、図１１、図１３及び図１６を参照）は、５回の対話及び６つの工程＃１～工程＃６で表現される。
　工程＃１は、ｉ＝１～Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
　工程＃２は、ＣｈＡ１，…，ＣｈＡＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈＡ１，…，ＣｈＡＮは、証明者アルゴリズムＰへと送られる。
　工程＃３は、ｉ＝１～Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する処理で構成される。工程＃３で証明者アルゴリズムＰにより生成されたｂ１，…，ｂＮは、検証者アルゴリズムＶへと送られる。
　工程＃４は、ＣｈＢ１，…，ＣｈＢＮを選択する処理で構成される。工程＃４で検証者アルゴリズムＶにより選択されたＣｈＢ１，…，ＣｈＢＮは、証明者アルゴリズムＰへと送られる。
　工程＃５は、ＣｈＢ１，…，ＣｈＢＮ，ａ１，…，ａＮ，ｂ１，…，ｂＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）と表現する。工程＃５で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
　工程＃６は、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを再生する処理（１）と、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を検証する処理（２）とで構成される。
　上記の工程＃１～工程＃６で表現される公開鍵認証方式のアルゴリズムは、図２０に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（７）で構成される。
　処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、ｉ＝１～Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する。
　処理（５）：署名生成アルゴリズムＳｉｇは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｂ１，…，ｂＮ）を計算する。なお、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｂ１，…，ｂＮ）と変形してもよい。
　処理（６）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）を計算する。
　処理（７）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，ｂ１，…，ｂＮ，Ｒｓｐ１，…，ＲｓｐＮ）を電子署名に設定する。
　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（４）で構成される。
　処理（１）：署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｂ１，…，ｂＮ）を計算する。なお、署名検証アルゴリズムＶｅｒが実行する処理（５）において、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｂ１，…，ｂＮ）と変形した場合、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｂ１，…，ｂＮ）を計算する。
　処理（３）：署名検証アルゴリズムＶｅｒは、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを生成する。
　処理（４）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を検証する。
　以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
　（４－２－２：電子署名アルゴリズム（構成例２：高効率）（図２１））
　図２１に示すように、５パス方式に係る更に効率的なアルゴリズム（例えば、図１７を参照）は、５回の対話及び６つの工程＃１～工程＃６で表現される。
　工程＃１は、ｉ＝１～Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する処理（１）と、ＣｍｔＡ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔＡは、検証者アルゴリズムＶへと送られる。
　工程＃２は、ＣｈＡ１，…，ＣｈＡＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈＡ１，…，ＣｈＡＮは、証明者アルゴリズムＰへと送られる。
　工程＃３は、ｉ＝１～Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する処理（１）と、ＣｍｔＢ←Ｈ（ｂ１，…，ｂＮ）を計算する処理（２）とで構成される。工程＃３で証明者アルゴリズムＰにより生成されたＣｍｔＢは、検証者アルゴリズムＶへと送られる。
　工程＃４は、ＣｈＢ１，…，ＣｈＢＮを選択する処理で構成される。工程＃４で検証者アルゴリズムＶにより選択されたＣｈＢ１，…，ＣｈＢＮは、証明者アルゴリズムＰへと送られる。
　工程＃５は、ＣｈＢ１，…，ＣｈＢＮ，ａ１，…，ａＮ，ｂ１，…，ｂＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）と表現する。工程＃５で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
　工程＃６は、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｂ１，…，ｂＮを再生する処理（１）と、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔＡ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を検証する処理（２）と、再生したｂ１，…，ｂＮを用いてＣｍｔＢ＝Ｈ（ｂ１，…，ｂＮ）を検証する処理（３）とで構成される。
　上記の工程＃１～工程＃６で表現される公開鍵認証方式のアルゴリズムは、図２１に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（８）で構成される。
　処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、ＣｍｔＡ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，ＣｍｔＡ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、ｉ＝１～Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する。
　処理（５）：署名生成アルゴリズムＳｉｇは、ＣｍｔＢ←Ｈ（ｂ１，…，ｂＮ）を計算する。
　処理（６）：署名生成アルゴリズムＳｉｇは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ＣｍｔＢ）を計算する。なお、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ＣｍｔＢ）と変形してもよい。
　処理（７）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）を計算する。
　処理（８）：署名生成アルゴリズムＳｉｇは、（ＣｍｔＡ，ＣｍｔＢ，Ｒｓｐ１，…，ＲｓｐＮ）を電子署名に設定する。
　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（５）で構成される。
　処理（１）：署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，ＣｍｔＡ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，ＣｍｔＡ，ＣｈＡ１，…，ＣｈＡＮ，ＣｍｔＢ）を計算する。なお、署名検証アルゴリズムＶｅｒが実行する処理（６）において、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ＣｍｔＢ）と変形した場合、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ＣｍｔＢ）を計算する。
　処理（３）：署名検証アルゴリズムＶｅｒは、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｂ１，…，ｂＮを生成する。
　処理（４）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔＡ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を検証する。
　処理（５）：署名検証アルゴリズムＶｅｒは、再生したｂ１，…，ｂＮを用いてＣｍｔＢ＝Ｈ（ｂ１，…，ｂＮ）を検証する。
　以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
　＜５：ハイブリッド型アルゴリズム＞
　偽証が成功する確率を無視できる程度にまで小さくするために、対話プロトコルを複数回実行する必要性については既に説明した通りである。また、対話プロトコルを複数回実行する方法として、直列的な方法と並列的な方法とを紹介した。特に、並列的な方法については、具体的な並列化アルゴリズムを示して説明した。ここでは、直列的な方法と並列的な方法とを組み合わせたハイブリッド型のアルゴリズムを紹介する。
　［５－１：３パスの公開鍵認証方式に係るハイブリッド型アルゴリズム］
　まず、３パスの公開鍵認証方式に係るハイブリッド型アルゴリズムについて説明する。
　（５－１－１：並直列アルゴリズム（図２２））
　図２２を参照しながら、ハイブリッド型の一構成例（以下、並直列構成）について説明する。図２２には、基本構成のアルゴリズム及び並直列構成のアルゴリズムを示した。
　基本構成の場合、１パス目にメッセージＣｍｔが証明者から検証者へと送られる。２パス目では、検証者から証明者へと要求Ｃｈが送られる。３パス目では、証明者から検証者へと返答Ｒｓｐが送られる。
　一方、並直列構成の場合、１パス目にＮ回分のメッセージ（Ｃｍｔ１，…，ＣｍｔＮ）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の要求Ｃｈ１が送られる。３パス目では、証明者から検証者へと１回分の返答Ｒｓｐ１が送られる。その後、証明者と検証者との間で要求Ｃｈ２，…，ＣｈＮ及び返答Ｒｓｐ２，…，ＲｓｐＮのやり取りが逐次的に行われる。
　これまで説明してきた公開鍵認証方式のアルゴリズムに基づく並直列構成の場合、受動的攻撃に対する安全性が保証される。また、対話の回数が２Ｎ＋１回で済む。さらに、１パス目で送信されるＮ回分のメッセージを１つのハッシュ値に纏めると、通信効率を向上させることができる。
　（５－１－２：直並列アルゴリズム（図２３））
　図２３を参照しながら、ハイブリッド型の他の一構成例（以下、直並列構成）について説明する。図２３には、基本構成のアルゴリズム及び直並列構成のアルゴリズムを示した。
　基本構成の場合、１パス目にメッセージＣｍｔが証明者から検証者へと送られる。２パス目では、検証者から証明者へと要求Ｃｈが送られる。３パス目では、証明者から検証者へと返答Ｒｓｐが送られる。
　直並列構成の場合、１パス目に１回分のメッセージＣｍｔ１が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の要求Ｃｈ１が送られる。その後、証明者と検証者との間でメッセージＣｍｔ２，…，ＣｍｔＮ及び要求Ｃｈ２，…，ＣｈＮのやり取りが逐次的に行われる。要求ＣｈＮが検証者から証明者へと送られた後、証明者から検証者へとＮ回分の返答Ｒｓｐ２，…，ＲｓｐＮが送られる。
　これまで説明してきた公開鍵認証方式のアルゴリズムに基づく直並列構成の場合、能動的攻撃に対する安全性が保証される。また、対話の回数が２Ｎ＋１回で済む。
　［５－２：５パスの公開鍵認証方式に係るハイブリッド型アルゴリズム］
　次に、５パスの公開鍵認証方式に係るハイブリッド型アルゴリズムについて説明する。
　（５－２－１：並直列アルゴリズム（構成例＃１）（図２４））
　まず、図２４を参照しながら、ハイブリッド型の一構成例（以下、並直列構成＃１）について説明する。図２４には、基本構成のアルゴリズム及び並直列構成＃１のアルゴリズムを示した。
　基本構成の場合、１パス目にメッセージＣｍｔＡが証明者から検証者へと送られる。２パス目では、検証者から証明者へと数ＣｈＡが送られる。３パス目では、証明者から検証者へとベクトルＣｍｔＢが送られる。４パス目では、検証者から証明者へと要求ＣｈＢが送られる。５パス目では、証明者から検証者へと返答Ｒｓｐが送られる。
　並直列構成＃１の場合、１パス目にＮ回分のメッセージ（ＣｍｔＡ１，…，ＣｍｔＡＮ）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の数ＣｈＡ１が送られる。３パス目では、証明者から検証者へと１回分のベクトルＣｍｔＢ１が送られる。４パス目では、検証者から証明者へと１回分の要求ＣｈＢ１が送られる。５パス目では、証明者から検証者へと１回分の返答Ｒｓｐ１が送られる。その後、証明者と検証者との間で、ＣｈＡ２，…，ＣｈＡＮ，ＣｍｔＢ２，…，ＣｍｔＢＮ，ＣｈＢ２，…，ＣｈＢＮ，Ｒｓｐ２，…，ＲｓｐＮのやり取りが逐次的に行われる。
　並直列構成＃１の場合、受動的攻撃に対する安全性が保証される。また、対話の回数が４Ｎ＋１回で済む。さらに、１パス目で送信されるＮ回分のメッセージを１つのハッシュ値に纏めることにより、通信効率を向上させることができる。
　（５－２－２：並直列アルゴリズム（構成例＃２）（図２５））
　次に、図２５を参照しながら、ハイブリッド型の他の一構成例（以下、並直列構成＃２）について説明する。図２５には、基本構成のアルゴリズム及び並直列構成＃２のアルゴリズムを示した。
　並直列構成＃２の場合、１パス目にＮ回分のメッセージ（ＣｍｔＡ１，…，ＣｍｔＡＮ）が証明者から検証者へと送られる。２パス目では、検証者から証明者へとＮ回分の数（ＣｈＡ１，…，ＣｈＡＮ）が送られる。３パス目では、証明者から検証者へとＮ回分のベクトル（ＣｍｔＢ１，…，ＣｍｔＢＮ）が送られる。４パス目では、検証者から証明者へと１回分の要求ＣｈＢ１が送られる。５パス目では、証明者から検証者へと１回分の返答Ｒｓｐ１が送られる。その後、証明者と検証者との間で、ＣｈＢ２，…，ＣｈＢＮ，Ｒｓｐ２，…，ＲｓｐＮのやり取りが逐次的に行われる。
　並直列構成＃２の場合、受動的攻撃に対する安全性が保証される。また、対話の回数が２Ｎ＋３回で済む。さらに、１パス目で送信されるＮ回分のメッセージや３パス目で送信されるＮ回分のベクトルなどを１つのハッシュ値に纏めることにより、通信効率を向上させることができる。
　（５－２－３：直並列アルゴリズム（構成例＃１）（図２６））
　次に、図２６を参照しながら、ハイブリッド型の他の一構成例（以下、直並列構成＃１）について説明する。図２６には、基本構成のアルゴリズム及び直並列構成＃１のアルゴリズムを示した。
　直並列構成＃１の場合、１パス目に１回分のメッセージＣｍｔＡ１が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の数ＣｈＡ１が送られる。３パス目では、証明者から検証者へと１回分のベクトルＣｍｔＢ１が送られる。４パス目では、検証者から証明者へと１回分の要求ＣｈＢ１が送られる。その後、証明者と検証者との間で、ＣｍｔＡ２，…，ＣｍｔＡＮ，ＣｈＡ２，…，ＣｈＡＮ，ＣｍｔＢ２，…，ＣｍｔＢＮ，ＣｈＢ２，…，ＣｈＢＮのやり取りが逐次的に行われる。最後に、証明者から検証者へとＮ回分の返答（Ｒｓｐ１…，ＲｓｐＮ）が送られる。
　直並列構成＃１の場合、能動的攻撃に対する安全性が保証される。また、対話の回数が４Ｎ＋１回で済む。
　（５－２－４：直並列アルゴリズム（構成例＃２）（図２７））
　次に、図２７を参照しながら、ハイブリッド型の他の一構成例（以下、直並列構成＃２）について説明する。図２７には、基本構成のアルゴリズム及び直並列構成＃２のアルゴリズムを示した。
　直並列構成＃２の場合、１パス目に１回分のメッセージＣｍｔＡ１が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の数ＣｈＡ１が送られる。その後、証明者と検証者との間で、ＣｍｔＡ２，…，ＣｍｔＡＮ，ＣｈＡ２，…，ＣｈＡＮのやり取りが逐次的に行われる。ＣｈＡＮのやり取りを終えた後、証明者から検証者へとＮ回分のベクトル（ＣｍｔＢ１，…，ＣｍｔＢＮ）が送られる。次いで、検証者から証明者へとＮ回分の要求（ＣｈＢ１，…，ＣｈＢ１）が送られる。最後に、証明者から検証者へとＮ回分の返答（Ｒｓｐ１…，ＲｓｐＮ）が送られる。
　直並列構成＃２の場合、能動的攻撃に対する安全性が保証される。また、対話の回数が２Ｎ＋３回で済む。
　以上、５パスの公開鍵認証方式に係るハイブリッド型アルゴリズムについて説明した。
　＜６：補遺＞
　ここで、上記の公開鍵認証方式に関する説明の補足を行う。
　［６－１：パラメータの設定方法］
　ここで、パラメータの設定方法について説明を補足する。
　（多変数多項式の係数について）
　これまで、多変数多項式の係数又はその係数の生成に利用する乱数シード（以下、多変数多項式の係数など）をどのように設定するかについては詳しく言及してこなかった。多変数多項式の係数などは、システムに共通のパラメータとしてもよいし、ユーザ毎に異なるパラメータとしてもよい。
　しかし、多変数多項式の係数などをシステムに共通のパラメータとすると、その多変数多項式に脆弱性が見つかった場合、システム全体について設定を更新する必要が生じてしまう。また、ランダムに選んだ係数を持つ多変数多項式について、平均的な頑強性（解くことの難しさ）は解析されているが、ある特定の係数を持つ多変数多項式について十分な頑強性を有することを保証することは難しい。
　そこで、本件発明者は、各ユーザが選択した文字列などを擬似乱数生成器のシードに利用して多変数多項式の係数を生成する仕組みを考案した。例えば、ユーザのｅ－ｍａｉｌアドレスをシードに利用したり、ｅ－ｍａｉｌアドレスと更新日時などとを結合した文字列をシードに利用したりする方法などが考えられる。このような方法を用いると、万が一、ある文字列から生成された係数を持つ多変数多項式に脆弱性が見つかった場合でも、その係数を持つ多変数多項式を利用しているユーザのみに影響が限定される。また、文字列を変えるだけで多変数多項式が変更されるため、容易に脆弱性を解消することができる。
　以上、システムパラメータの設定方法について説明した。なお、上記の説明では文字列を例に挙げたが、ユーザ毎に異なる数字の列や記号の列を利用してもよい。
　（多項式の数ｍ及び変数の数ｎについて）
　ところで、これまで説明してきた対話プロトコルは、受動的攻撃に対する安全性が保証されている。しかし、この対話プロトコルを並列的に繰り返し実行する場合、能動的攻撃に対する安全性が確実に保証されることを証明できるようにするには、以下で述べる条件が必要になる。
　上記の対話プロトコルは、１組の鍵ペア（公開鍵ｙ、秘密鍵ｓ）を用いて、「証明者がｙについてｙ＝Ｆ（ｓ）となるｓを知っていること」を検証者に検証させるためのアルゴリズムであった。そのため、検証で受理される対話を行った場合、「対話の際に証明者がｓを用いた」という情報を検証者に知られてしまう可能性が否定できない。また、多変数多項式Ｆについて衝突困難性が保証されてない。そのため、上記の対話プロトコルを並列的に繰り返し実行する場合、能動的攻撃に対する安全性が確実に保証されていることを無条件で証明することは難しい。
　そこで、本件発明者は、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにする方法について検討した。そして、本件発明者は、上記の対話プロトコルを並列的に繰り返し実行する場合においても、能動的攻撃に対する安全性を保証することが可能になる方法を考案した。この方法は、公開鍵として用いる多変数多項式ｆ１，…，ｆｍの数ｍをその変数の数ｎよりも十分に小さな値に設定するというものである。例えば、２ｍ－ｎ≪１となるようにｍ及びｎが設定される（例えば、ｎ＝１６０、ｍ＝８０の場合２－８０≪１である。）。
　多次多変数方程式の求解問題に対する解答の困難性に安全性の根拠をおく方式において、秘密鍵ｓ１と、それに対応する公開鍵ｐｋとが与えられても、その公開鍵ｐｋに対応する別の秘密鍵ｓ２を生成することは難しい。そのため、公開鍵ｐｋに対する秘密鍵ｓが２つ以上存在することを保証すれば、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにすることが可能になる。つまり、この保証が成り立てば、対話プロトコルを並列的に繰り返し実行する場合においても、能動的攻撃に対する安全性を保証することが可能になる。
　図２９を参照しながら、ｍ本のｎ変数多次多項式で構成される関数Ｆ：Ｋｎ→Ｋｍについて考えると（但し、ｎ＞ｍ）、２つ目の原像を持たない定義域の要素数は、最大で｜Ｋ｜ｍ－１個しか存在しない。そのため、｜Ｋ｜ｍ－ｎを十分に小さくすると、２つ目の原像を持たない定義域の要素が選択される確率を無視できる程度にまで小さくすることができる。つまり、ｎ変数多次多項式ｆ１，…，ｆｍの数ｍがその変数の数ｎよりも十分に小さな値に設定されていれば、公開鍵ｐｋに対して２つ以上の秘密鍵ｓが存在することを保証できる。その結果、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにすることが可能になり、対話プロトコルを並列的に繰り返し実行する場合においても、能動的攻撃に対する安全性が保証される。
　以上説明したように、ｎ変数多次多項式ｆ１，…，ｆｍの数ｍがその変数の数ｎよりも小さな値（ｎ＞ｍ；好ましくは２ｍ－ｎ≪１）に設定する設定条件を課すことで、対話プロトコルを並列的に繰り返し実行する場合の安全性を保証することが可能になる。
　［６－２：イレギュラーな要求に対する応答方法］
　ここで、イレギュラーな要求に対する応答方法について考察する。
　（６－２－１：証明者による応答方法について）
　対話プロトコルの中で検証者が偽りの要求を投げかけてくる可能性について考えてみよう。例えば、３パス方式の場合、証明者が検証者へとメッセージ（ｃ０，ｃ１，ｃ２）を送り、検証者が証明者へと要求Ｃｈ＝０を送った後、証明者から検証者へと要求Ｃｈ＝０に対応する返答Ｒｓｐが送られる。ここまでは正常な対話である。
　その後で、検証者が、証明者に要求Ｃｈ＝１に対応する返答Ｒｓｐをさらに要求したものとしよう。もし、この要求に応じ、証明者が要求Ｃｈ＝１に対応する返答Ｒｓｐを検証者に送ってしまうと、秘密鍵が検証者に漏洩してしまう。このような秘密鍵の漏洩は現実的に起こりうることである。例えば、検証者は、２パス目で要求Ｃｈ＝１を送信したのではなく、要求Ｃｈ＝０を送信したはずだと偽って、要求Ｃｈ＝１に対応する返答Ｒｓｐをさらに要求するかもしれない。一方、証明者は、２パス目で送信された要求Ｃｈのビットが通信エラーにより別のビットになってしまったと勘違いするかもしれない。
　そこで、本件発明者は、秘密鍵の漏洩が生じるのを避ける方法として、１回分のメッセージについて証明者が２通り以上の要求Ｃｈに対応する返答を求めてきた場合に、対話を終了するか、或いは、新しい乱数を利用して１パス目から対話をやり直す方法を考案した。この方法を適用すれば、検証者が偽って２通り以上の要求Ｃｈに対応する返答を求めてきても、秘密鍵が漏洩することはなくなる。
　（６－２－２：検証者による応答方法について）
　次に、証明者が偽って要求Ｃｈの再送を要求してくる可能性について考えてみよう。例えば、３パス方式において、証明者が検証者へとメッセージ（ｃ０，ｃ１，ｃ２）を送り、検証者が証明者へと要求Ｃｈ＝０を送った後、証明者が要求Ｃｈの再送を要求してきたとしよう。この要求に応じて、検証者が再びランダムに要求Ｃｈを選択すると、先に送った要求Ｃｈ＝０とは異なる要求Ｃｈ＝１が選択される可能性がある。この場合、検証者から証明者へと要求Ｃｈ＝１が送られる。仮に、証明者が要求Ｃｈ＝１に対応する返答Ｒｓｐを検証者に送ることができたとしよう。
　この場合、証明者は、要求Ｃｈ＝１には回答できるが、要求Ｃｈ＝０には回答できなかったのかもしれない。つまり、証明者が偽証している可能性が否定できない。例えば、証明者は、要求Ｃｈを紛失してしまったので要求Ｃｈを再送して欲しいと検証者に求めるかもしれない。一方、検証者は、通信エラーにより先に送信した要求が紛失したと考え、証明者の求めに応じて要求Ｃｈを再送してしまうかもしれない。そして、再送した要求Ｃｈが先に送信した要求Ｃｈと異なるものである場合、偽証が成功してしまう。
　この例から分かるように、要求Ｃｈがランダムに選ばれることで、証明者に偽証の機会を与えてしまう。そこで、本件発明者は、偽証の機会を与えないようにするため、１回分のメッセージについて証明者が要求Ｃｈの送信を再度求めてきた場合に、検証者が対話を終了するか、或いは、新たな乱数を生成せずに前回と同じ要求Ｃｈを再送するように対話プロトコルを改良する方法を考案した。この方法を適用すると、要求Ｃｈの再送要求を利用した偽証の機会をなくすことができる。
　以上、イレギュラーな要求に対する安全な応答方法について説明した。なお、上記の説明においては３パスの基本構成を例に挙げたが、直列的な繰り返し構成、並列的な繰り返し構成、或いは、ハイブリッド型の繰り返し構成についても同様の工夫を加えることにより、安全性を向上させることができる。もちろん、５パスのアルゴリズムについても同様である。
　＜７：ハードウェア構成例＞
　上記の各アルゴリズムは、例えば、図２８に示す情報処理装置のハードウェア構成を用いて実行することが可能である。つまり、当該各アルゴリズムの処理は、コンピュータプログラムを用いて図２８に示すハードウェアを制御することにより実現される。なお、このハードウェアの形態は任意であり、例えば、パーソナルコンピュータ、携帯電話、ＰＨＳ、ＰＤＡ等の携帯情報端末、ゲーム機、接触式又は非接触式のＩＣチップ、接触式又は非接触式のＩＣカード、又は種々の情報家電がこれに含まれる。但し、上記のＰＨＳは、Ｐｅｒｓｏｎａｌ　Ｈａｎｄｙ－ｐｈｏｎｅ　Ｓｙｓｔｅｍの略である。また、上記のＰＤＡは、Ｐｅｒｓｏｎａｌ　Ｄｉｇｉｔａｌ　Ａｓｓｉｓｔａｎｔの略である。
　図２８に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０と、を有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６と、を有する。但し、上記のＣＰＵは、Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略である。また、上記のＲＯＭは、Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙの略である。そして、上記のＲＡＭは、Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙの略である。
　ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータ等を格納する手段である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に適宜変化する各種パラメータ等が一時的又は永続的に格納される。
　これらの構成要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチ、及びレバー等が用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラ（以下、リモコン）が用いられることもある。
　出力部９１８としては、例えば、ＣＲＴ、ＬＣＤ、ＰＤＰ、又はＥＬＤ等のディスプレイ装置、スピーカ、ヘッドホン等のオーディオ出力装置、プリンタ、携帯電話、又はファクシミリ等、取得した情報を利用者に対して視覚的又は聴覚的に通知することが可能な装置である。但し、上記のＣＲＴは、Ｃａｔｈｏｄｅ　Ｒａｙ　Ｔｕｂｅの略である。また、上記のＬＣＤは、Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙの略である。そして、上記のＰＤＰは、Ｐｌａｓｍａ　ＤｉｓｐｌａｙＰａｎｅｌの略である。さらに、上記のＥＬＤは、Ｅｌｅｃｔｒｏ－Ｌｕｍｉｎｅｓｃｅｎｃｅ　Ｄｉｓｐｌａｙの略である。
　記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ハードディスクドライブ（ＨＤＤ）等の磁気記憶デバイス、半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイス等が用いられる。但し、上記のＨＤＤは、Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅの略である。
　ドライブ９２２は、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８は、例えば、ＤＶＤメディア、Ｂｌｕ－ｒａｙメディア、ＨＤ　ＤＶＤメディア、各種の半導体記憶メディア等である。もちろん、リムーバブル記録媒体９２８は、例えば、非接触型ＩＣチップを搭載したＩＣカード、又は電子機器等であってもよい。但し、上記のＩＣは、Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略である。
　接続ポート９２４は、例えば、ＵＳＢポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ、ＲＳ－２３２Ｃポート、又は光オーディオ端子等のような外部接続機器９３０を接続するためのポートである。外部接続機器９３０は、例えば、プリンタ、携帯音楽プレーヤ、デジタルカメラ、デジタルビデオカメラ、又はＩＣレコーダ等である。但し、上記のＵＳＢは、Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓの略である。また、上記のＳＣＳＩは、Ｓｍａｌｌ　Ｃｏｍｐｕｔｅｒ　Ｓｙｓｔｅｍ　Ｉｎｔｅｒｆａｃｅの略である。
　通信部９２６は、ネットワーク９３２に接続するための通信デバイスであり、例えば、有線又は無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＷＵＳＢ用の通信カード、光通信用のルータ、ＡＤＳＬ用のルータ、又は接触又は非接触通信用のデバイス等である。また、通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークにより構成され、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、可視光通信、放送、又は衛星通信等である。但し、上記のＬＡＮは、Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋの略である。また、上記のＷＵＳＢは、Ｗｉｒｅｌｅｓｓ　ＵＳＢの略である。そして、上記のＡＤＳＬは、Ａｓｙｍｍｅｔｒｉｃ　Ｄｉｇｉｔａｌ　Ｓｕｂｓｃｒｉｂｅｒ　Ｌｉｎｅの略である。
　＜８：まとめ＞
　最後に、本技術の実施形態に係る技術内容について簡単に纏める。ここで述べる技術内容は、例えば、ＰＣ、携帯電話、ゲーム機、情報端末、情報家電、カーナビゲーションシステム等、種々の情報処理装置に対して適用することができる。なお、以下で述べる情報処理装置の機能は、１台の情報処理装置を利用して実現することも可能であるし、複数台の情報処理装置を利用して実現することも可能である。また、以下で述べる情報処理装置が処理を実行する際に用いるデータ記憶手段及び演算処理手段は、当該情報処理装置に設けられたものであってもよいし、ネットワークを介して接続された機器に設けられたものであってもよい。
　上記の情報処理装置の機能構成は以下のように表現される。例えば、下記（１）に記載の情報処理装置は、多次多変数連立方程式の求解困難性に安全性の根拠を置く効率的な公開鍵認証方式に係るアルゴリズムを実行する機能を有する。
　（１）
　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
　前記検証者に前記第３の情報を提供する中間情報提供部と、
　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
　情報処理装置。
　（２）
　前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成し、
　前記メッセージ提供部は、Ｎ回分の前記メッセージを１回の対話で前記検証者に提供し、
　前記中間情報生成部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した前記第１の情報及び前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いてＮ回分の前記第３の情報を生成し、
　前記中間情報提供部は、Ｎ回分の前記第３の情報を１回の対話で検証者に提供し、
　前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記検証者に提供する、
　上記（１）に記載の情報処理装置。
　（３）
　前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成すると共に、Ｎ回分の前記メッセージから１つのハッシュ値を生成し、
　前記メッセージ提供部は、前記ハッシュ値を前記検証者に提供し、
　前記中間情報生成部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した前記第１の情報及び前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いてＮ回分の前記第３の情報を生成し、
　前記中間情報提供部は、Ｎ回分の前記第３の情報を１回の対話で検証者に提供し、
　前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報、及び、前記公開鍵及び前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを１回の対話で前記検証者に提供する、
　上記（２）に記載の情報処理装置。
　（４）
　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
　情報処理装置。
　（５）
　前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージを１回の対話で取得し、
　前記情報提供部は、Ｎ回分の前記メッセージのそれぞれについて前記第１の情報をランダムに選択し、選択したＮ回分の前記第１の情報を１回の対話で前記証明者に提供し、
　前記中間情報取得部は、Ｎ回分の前記第１の情報及びＮ回分の前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いて前記証明者が生成したＮ回分の前記第３の情報を取得し、
　前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
　前記回答取得部は、前記選択したＮ回分の検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記証明者から取得し、
　前記検証部は、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
　上記（４）に記載の情報処理装置。
　（６）
　前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージから生成された１つのハッシュ値を取得し、
　前記情報提供部は、Ｎ回分の前記メッセージのそれぞれについて前記第１の情報をランダムに選択し、選択したＮ回分の前記第１の情報を１回の対話で前記証明者に提供し、
　前記中間情報取得部は、Ｎ回分の前記第１の情報及びＮ回分の前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いて前記証明者が生成したＮ回分の前記第３の情報を取得し、
　前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
　前記回答取得部は、前記選択した検証パターンに対応する回答情報、及び、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを前記証明者から取得し、
　前記検証部は、前記ハッシュ値、前記一部のメッセージ、前記公開鍵、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証し、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
　上記（５）に記載の情報処理装置。
　（７）
　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成することと、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供することと、
　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成することと、
　前記検証者に前記第３の情報を提供することと、
　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供することと、
を含み、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
　情報処理方法。
　（８）
　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報処理装置が、
　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得することと、
　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供することと、
　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得することと、
　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供することと、
　前記選択した検証パターンに対応する回答情報を前記証明者から取得することと、
　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証することと、
を含み、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
　情報処理方法。
　（９）
　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成機能と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供機能と、
　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成機能と、
　前記検証者に前記第３の情報を提供する中間情報提供機能と、
　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供機能と、
をコンピュータに実現させるためのプログラムであり、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
　プログラム。
　（１０）
　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持機能と、
　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得機能と、
　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供機能と、
　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得機能と、
　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供機能と、
　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証機能と、
をコンピュータに実現させるためのプログラムであり、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
　プログラム。
　（１１）
　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成機能と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供機能と、
　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成機能と、
　前記検証者に前記第３の情報を提供する中間情報提供機能と、
　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供機能と、
をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
　記録媒体。
　（１２）
　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持機能と、
　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得機能と、
　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供機能と、
　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得機能と、
　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供機能と、
　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証機能と、
をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
　記録媒体。
　（１３）
　前記ｍ及びｎは、ｍ＜ｎの関係を有する、
　上記（１）～（６）のいずれか１項に記載の装置。
　（１４）
　前記ｍ及びｎは、２ｍ－ｎ≪１の関係を有する、
　上記（１３）に記載の装置。
　（備考）
　上記の証明者アルゴリズムＰは、メッセージ生成部、メッセージ提供部、回答提供部、中間情報生成部、中間情報提供部の一例である。また、上記の検証者アルゴリズムＶは、情報保持部、メッセージ取得部、パターン情報提供部、回答取得部、検証部、中間情報取得部の一例である。
　以上、添付図面を参照しながら本技術の好適な実施形態について説明したが、本技術は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本技術の技術的範囲に属するものと了解される。
　Ｇｅｎ　　鍵生成アルゴリズム
　Ｐ　　　　証明者アルゴリズム
　Ｖ　　　　検証者アルゴリズム
　Ｓｉｇ　　署名生成アルゴリズム
　Ｖｅｒ　　署名検証アルゴリズム
 

Claims (12)

  1. 　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
    　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
    　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
    　前記検証者に前記第３の情報を提供する中間情報提供部と、
    　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
    を備え、
    　前記ベクトルｓは秘密鍵であり、
    　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
    　情報処理装置。
  2. 　前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成し、
    　前記メッセージ提供部は、Ｎ回分の前記メッセージを１回の対話で前記検証者に提供し、
    　前記中間情報生成部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した前記第１の情報及び前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いてＮ回分の前記第３の情報を生成し、
    　前記中間情報提供部は、Ｎ回分の前記第３の情報を１回の対話で検証者に提供し、
    　前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記検証者に提供する、
    　請求項１に記載の情報処理装置。
  3. 　前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成すると共に、Ｎ回分の前記メッセージから１つのハッシュ値を生成し、
    　前記メッセージ提供部は、前記ハッシュ値を前記検証者に提供し、
    　前記中間情報生成部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した前記第１の情報及び前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いてＮ回分の前記第３の情報を生成し、
    　前記中間情報提供部は、Ｎ回分の前記第３の情報を１回の対話で検証者に提供し、
    　前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報、及び、前記公開鍵及び前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを１回の対話で前記検証者に提供する、
    　請求項２に記載の情報処理装置。
  4. 　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
    　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
    　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
    　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
    　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
    　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
    　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
    を備え、
    　前記ベクトルｓは秘密鍵であり、
    　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
    　情報処理装置。
  5. 　前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージを１回の対話で取得し、
    　前記情報提供部は、Ｎ回分の前記メッセージのそれぞれについて前記第１の情報をランダムに選択し、選択したＮ回分の前記第１の情報を１回の対話で前記証明者に提供し、
    　前記中間情報取得部は、Ｎ回分の前記第１の情報及びＮ回分の前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いて前記証明者が生成したＮ回分の前記第３の情報を取得し、
    　前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
    　前記回答取得部は、前記選択したＮ回分の検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記証明者から取得し、
    　前記検証部は、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
    　請求項４に記載の情報処理装置。
  6. 　前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージから生成された１つのハッシュ値を取得し、
    　前記情報提供部は、Ｎ回分の前記メッセージのそれぞれについて前記第１の情報をランダムに選択し、選択したＮ回分の前記第１の情報を１回の対話で前記証明者に提供し、
    　前記中間情報取得部は、Ｎ回分の前記第１の情報及びＮ回分の前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いて前記証明者が生成したＮ回分の前記第３の情報を取得し、
    　前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
    　前記回答取得部は、前記選択した検証パターンに対応する回答情報、及び、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを前記証明者から取得し、
    　前記検証部は、前記ハッシュ値、前記一部のメッセージ、前記公開鍵、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証し、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
    　請求項５に記載の情報処理装置。
  7. 　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成することと、
    　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供することと、
    　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成することと、
    　前記検証者に前記第３の情報を提供することと、
    　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供することと、
    を含み、
    　前記ベクトルｓは秘密鍵であり、
    　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
    　情報処理方法。
  8. 　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報処理装置が、
    　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得することと、
    　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供することと、
    　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得することと、
    　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供することと、
    　前記選択した検証パターンに対応する回答情報を前記証明者から取得することと、
    　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証することと、
    を含み、
    　前記ベクトルｓは秘密鍵であり、
    　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
    　情報処理方法。
  9. 　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成機能と、
    　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供機能と、
    　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成機能と、
    　前記検証者に前記第３の情報を提供する中間情報提供機能と、
    　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供機能と、
    をコンピュータに実現させるためのプログラムであり、
    　前記ベクトルｓは秘密鍵であり、
    　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
    　プログラム。
  10. 　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持機能と、
    　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得機能と、
    　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供機能と、
    　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得機能と、
    　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供機能と、
    　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
    　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証機能と、
    をコンピュータに実現させるためのプログラムであり、
    　前記ベクトルｓは秘密鍵であり、
    　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
    　プログラム。
  11. 　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成機能と、
    　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供機能と、
    　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成機能と、
    　前記検証者に前記第３の情報を提供する中間情報提供機能と、
    　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供機能と、
    をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、
    　前記ベクトルｓは秘密鍵であり、
    　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
    　記録媒体。
  12. 　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持機能と、
    　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得機能と、
    　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供機能と、
    　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得機能と、
    　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供機能と、
    　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
    　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証機能と、
    をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、
    　前記ベクトルｓは秘密鍵であり、
    　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    　前記多次多変数多項式の組Ｆは、標数ｑ及び位数ｑｋの環Ｒ上で定義される多項式ｆ１，…，ｆｍで構成され、ベクトルｘｌ＝（ｘｌ１，…，ｘｌｎ）（ｌ＝１，２）についてＧ（ｘ１，ｘ２）＝Ｆ（ｘ１＋ｘ２）－Ｆ（ｘ１）－Ｆ（ｘ２）で定義される多項式Ｇ（ｘ１，ｘ２）が、（ｘ１ｉ）ｑ（ｚ）（但し、１≦ｉ≦ｎ、ｑ（ｚ）＝ｑｚ、１≦ｚ≦ｋ）に比例する項で構成されるように設定されている、
    　記録媒体。
     
PCT/JP2012/066125 2011-08-12 2012-06-25 情報処理装置、情報処理方法、プログラム、及び記録媒体 WO2013024629A1 (ja)

Priority Applications (9)

Application Number Priority Date Filing Date Title
CN201280038070.5A CN103718502B (zh) 2011-08-12 2012-06-25 信息处理设备和信息处理方法
CA 2839690 CA2839690A1 (en) 2011-08-12 2012-06-25 Information processing apparatus, information processing method, program, and recording medium
MX2014001451A MX338025B (es) 2011-08-12 2012-06-25 Dispositivo para el procesamiento de informacion, metodo, programa y medio de registro para el procesamiento de informacion.
BR112014002854A BR112014002854A2 (pt) 2011-08-12 2012-06-25 aparelho e método de processamento de informação, programa, e, mídia de gravação legível por computador
EP12823703.9A EP2744146A4 (en) 2011-08-12 2012-06-25 DATA PROCESSING DEVICE, DATA PROCESSING METHOD, PROGRAM, AND RECORDING MEDIUM
KR1020147002640A KR101986392B1 (ko) 2011-08-12 2012-06-25 정보 처리 장치, 정보 처리 방법, 및 기록 매체
RU2014104084/08A RU2603551C2 (ru) 2011-08-12 2012-06-25 Устройство обработки информации, способ обработки информации, программа и носитель информации
AU2012296044A AU2012296044B2 (en) 2011-08-12 2012-06-25 Information processing device, information processing method, program, and recording medium
US14/235,240 US9178700B2 (en) 2011-08-12 2012-06-25 Information processing apparatus, information processing method, program, and recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011-177071 2011-08-12
JP2011177071A JP5790287B2 (ja) 2011-08-12 2011-08-12 情報処理装置、情報処理方法、プログラム、及び記録媒体

Publications (1)

Publication Number Publication Date
WO2013024629A1 true WO2013024629A1 (ja) 2013-02-21

Family

ID=47714958

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/066125 WO2013024629A1 (ja) 2011-08-12 2012-06-25 情報処理装置、情報処理方法、プログラム、及び記録媒体

Country Status (12)

Country Link
US (1) US9178700B2 (ja)
EP (1) EP2744146A4 (ja)
JP (1) JP5790287B2 (ja)
KR (1) KR101986392B1 (ja)
CN (1) CN103718502B (ja)
AU (1) AU2012296044B2 (ja)
BR (1) BR112014002854A2 (ja)
CA (1) CA2839690A1 (ja)
MX (1) MX338025B (ja)
RU (1) RU2603551C2 (ja)
TW (1) TWI511517B (ja)
WO (1) WO2013024629A1 (ja)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014090372A (ja) * 2012-10-31 2014-05-15 Sony Corp 情報処理装置、情報処理システム、情報処理方法及びコンピュータプログラム
CN103490897B (zh) * 2013-09-17 2017-04-05 华南理工大学 一种多变量公钥签名/验证系统及签名/验证方法
JP2017169147A (ja) * 2016-03-17 2017-09-21 株式会社東芝 検証装置、電子機器、プログラムおよび検証システム
US10484186B2 (en) * 2016-09-30 2019-11-19 Intel Corporation Cascading multivariate quadratic identification schemes for chain of trust
CN110995438B (zh) * 2019-10-24 2022-07-12 南京可信区块链与算法经济研究院有限公司 一种非交互零知识证明方法、系统及存储介质
CN111090842B (zh) * 2019-12-23 2022-04-26 上海源庐加佳信息科技有限公司 一种基于零知识证明的供应链金融客户贷款信息保护方法

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011254155A (ja) * 2010-05-31 2011-12-15 Sony Corp 認証装置、認証方法、プログラム、及び署名生成装置

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19513898B4 (de) * 1995-04-12 2006-11-30 Deutsche Telekom Ag Public-Key-Verfahren zur Verschlüsselung von Daten
DE69737097T2 (de) * 1996-08-19 2007-07-12 Ntru Cryptosystems, Inc. Kryptographisches verfahren und vorrichtung mit öffentlichem schlüssel
US6076163A (en) * 1997-10-20 2000-06-13 Rsa Security Inc. Secure user identification based on constrained polynomials
EP1049289B1 (en) * 1999-04-29 2004-10-06 Bull Cp8 Public-key signature methods and systems
WO2001026279A1 (fr) * 1999-10-01 2001-04-12 France Telecom Procede, systeme, dispositif a prouver l'authenticite d'une entite ou l'integrite d'un message
US7814320B2 (en) * 2005-07-19 2010-10-12 Ntt Docomo, Inc. Cryptographic authentication, and/or establishment of shared cryptographic keys, using a signing key encrypted with a non-one-time-pad encryption, including (but not limited to) techniques with improved security against malleability attacks
JP4575283B2 (ja) * 2005-11-15 2010-11-04 株式会社東芝 暗号装置、復号装置、プログラム及び方法
KR101367101B1 (ko) * 2006-08-30 2014-02-25 삼성전자주식회사 다항식환을 이용한 키 합의 방법 및 이를 위한 장치
US9059838B2 (en) * 2007-03-30 2015-06-16 Verizon Patent And Licensing Inc. Encryption algorithm with randomized buffer
CN101321058B (zh) * 2007-06-07 2010-12-15 管海明 一种用于编码和译码数字消息的方法和系统
US8019079B2 (en) * 2007-07-08 2011-09-13 Georgia Tech Research Corporation Asymmetric cryptosystem employing paraunitary matrices
JP4612027B2 (ja) * 2007-09-03 2011-01-12 村田機械株式会社 署名システム
WO2009128010A1 (en) * 2008-04-14 2009-10-22 Philips Intellectual Property & Standards Gmbh A method for distributing encryption means
JP5594034B2 (ja) 2010-07-30 2014-09-24 ソニー株式会社 認証装置、認証方法、及びプログラム
US8532289B2 (en) * 2010-08-16 2013-09-10 International Business Machines Corporation Fast computation of a single coefficient in an inverse polynomial
WO2012149395A1 (en) * 2011-04-29 2012-11-01 International Business Machines Corporation Fully homomorphic encryption

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011254155A (ja) * 2010-05-31 2011-12-15 Sony Corp 認証装置、認証方法、プログラム、及び署名生成装置

Non-Patent Citations (6)

* Cited by examiner, † Cited by third party
Title
KOICHI SAKUMOTO ET AL.: "Provable Security of HFE and UOV Signature Schemes against Chosen- Message Attack", 2011 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY YOKOSHU CD-ROM, 25 January 2011 (2011-01-25), XP019170355 *
KOICHI SAKUMOTO ET AL.: "Public-Key Identification Schemes based on Multivariate Quadratic Polynomials", 18 August 2011 (2011-08-18), XP019161037, Retrieved from the Internet <URL:http://www.iacr.org/cryptodb/archive/2011/CRYPTO/presentation/13-1-Sakumoto.pdf> [retrieved on 20120705] *
KOICHI SAKUMOTO ET AL.: "Public-Key Identification Schemes Based on Multivariate Quadratic Polynomials", ADVANCES IN CRYPTOLOGY- CRYPTO 2011 31ST ANNUAL CRYPTOLOGY CONFERENCE, vol. 6841, 6 August 2011 (2011-08-06), SANTA BARBARA, CA, USA, pages 706 - 723, XP019161037 *
MASAHIRO YAGISAWA: "Zero-Knowledge Interactive Proof Systems Based on Linear Indeterminate Equation", TRANSACTIONS OF INFORMATION PROCESSING SOCIETY OF JAPAN, vol. 35, no. 3, 15 March 1994 (1994-03-15), pages 359 - 363, XP008172538 *
See also references of EP2744146A4 *
YUICHI KOMANO ET AL.: "ASS-CC: Provably Secure Algebraic Surface Signature Scheme", 2010 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY YOKOSHU CD-ROM, 19 January 2010 (2010-01-19), XP008173860 *

Also Published As

Publication number Publication date
JP5790287B2 (ja) 2015-10-07
MX338025B (es) 2016-03-31
AU2012296044A1 (en) 2014-01-30
MX2014001451A (es) 2014-02-27
CA2839690A1 (en) 2013-02-21
EP2744146A1 (en) 2014-06-18
TWI511517B (zh) 2015-12-01
CN103718502B (zh) 2017-02-22
BR112014002854A2 (pt) 2017-03-01
EP2744146A4 (en) 2015-06-17
JP2013042295A (ja) 2013-02-28
RU2603551C2 (ru) 2016-11-27
US9178700B2 (en) 2015-11-03
RU2014104084A (ru) 2015-08-10
TW201308969A (zh) 2013-02-16
CN103718502A (zh) 2014-04-09
AU2012296044B2 (en) 2016-02-25
KR101986392B1 (ko) 2019-06-05
KR20140046455A (ko) 2014-04-18
US20140153717A1 (en) 2014-06-05

Similar Documents

Publication Publication Date Title
JP5736816B2 (ja) 認証装置、認証方法、プログラム、及び署名生成装置
WO2013031414A1 (ja) 署名検証装置、署名検証方法、プログラム、及び記録媒体
WO2013031533A1 (ja) 情報処理装置、情報処理方法、及びプログラム
JP2013042315A (ja) 情報処理装置、及び情報処理方法
WO2013031555A1 (ja) 情報処理装置、署名生成装置、情報処理方法、署名生成方法、及びプログラム
WO2013024629A1 (ja) 情報処理装置、情報処理方法、プログラム、及び記録媒体
JP5790289B2 (ja) 情報処理装置、情報処理方法、プログラム、及び記録媒体
WO2013024697A1 (ja) 情報処理装置、署名提供方法、署名検証方法、プログラム、及び記録媒体
JPWO2013129084A1 (ja) 情報処理装置、情報処理方法、及びプログラム
WO2013024627A1 (ja) 情報処理装置、署名生成装置、情報処理方法、署名生成方法、及びプログラム
JP5790290B2 (ja) 情報処理装置、情報処理方法、プログラム、及びプログラムを記録したコンピュータ読み取り可能な記録媒体
WO2013031420A1 (ja) 情報処理装置、署名生成装置、署名検証装置、情報処理方法、署名生成方法、及び署名検証方法
JP5790288B2 (ja) 情報処理装置、及び情報処理方法
WO2013024628A1 (ja) 情報処理装置、及び情報処理方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12823703

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2839690

Country of ref document: CA

WWE Wipo information: entry into national phase

Ref document number: 14235240

Country of ref document: US

ENP Entry into the national phase

Ref document number: 20147002640

Country of ref document: KR

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 2012296044

Country of ref document: AU

Date of ref document: 20120625

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 2014104084

Country of ref document: RU

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: MX/A/2014/001451

Country of ref document: MX

NENP Non-entry into the national phase

Ref country code: DE

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112014002854

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 112014002854

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20140205