WO2013031414A1 - 署名検証装置、署名検証方法、プログラム、及び記録媒体 - Google Patents

署名検証装置、署名検証方法、プログラム、及び記録媒体 Download PDF

Info

Publication number
WO2013031414A1
WO2013031414A1 PCT/JP2012/068324 JP2012068324W WO2013031414A1 WO 2013031414 A1 WO2013031414 A1 WO 2013031414A1 JP 2012068324 W JP2012068324 W JP 2012068324W WO 2013031414 A1 WO2013031414 A1 WO 2013031414A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
signature
algorithm
signature verification
document
Prior art date
Application number
PCT/JP2012/068324
Other languages
English (en)
French (fr)
Inventor
紘一 作本
白井　太三
玄良 樋渡
Original Assignee
ソニー株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ソニー株式会社 filed Critical ソニー株式会社
Priority to US14/239,926 priority Critical patent/US9129122B2/en
Priority to CN201280040711.0A priority patent/CN103748832A/zh
Priority to RU2014106488/08A priority patent/RU2014106488A/ru
Priority to BR112014004191A priority patent/BR112014004191A2/pt
Priority to EP12828377.7A priority patent/EP2753018B1/en
Publication of WO2013031414A1 publication Critical patent/WO2013031414A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3093—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving Lattices or polynomial equations, e.g. NTRU scheme
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3252—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using DSA or related signature schemes, e.g. elliptic based signatures, ElGamal or Schnorr schemes

Definitions

  • the present technology relates to a signature verification apparatus, a signature verification method, a program, and a recording medium.
  • Electronic signatures are used to identify the creator of an electronic document. Therefore, the electronic signature should be generated only by the creator of the electronic document. If a malicious third party can generate the same electronic signature, that third party can impersonate the creator of the electronic document. That is, a malicious third party may forge the electronic document.
  • a digital signature system widely used at present, for example, an RSA signature system, a DSA signature system, etc. are known.
  • the RSA signature scheme is based on "the difficulty of prime factorization for large composite numbers (hereinafter, prime factorization problem)" as the basis of security.
  • DSA signature scheme is based on "difficulty of deriving solution for discrete logarithm problem” as the basis of security.
  • MI Magnetic-Imai cryptography
  • HFE Hidden Field Equation cryptography
  • OV Olet-Vinegar signature scheme
  • TTM Treatment Method cryptography
  • the multivariate polynomial problem is an example of a problem called the NP hard problem which is difficult to solve even using a quantum computer.
  • a public key authentication method using a multivariate polynomial problem represented by HFE or the like utilizes a multiorder multivariate simultaneous equation in which a special trap door is installed.
  • multiorder multivariate simultaneous equations F and linear transformations A and B become trap doors.
  • a public key authentication method or a digital signature method can be realized, which is based on the difficulty of solution of multi-order multivariable simultaneous equations.
  • the present technology reduces the signature verification of an efficient electronic signature scheme having high security by using multi-order multivariate simultaneous equations for which a means (trap door) to be solved efficiently is not known. It is intended to provide a new and improved signature verification device, a signature verification method, a program, and a recording medium that can be realized by a memory.
  • a signature acquisition unit for acquiring an electronic signature including a plurality of pieces of second information necessary to verify that it has been generated using the signature key s; and a plurality of pieces of second information included in the electronic signature
  • a signature verification unit that verifies the legitimacy of the document M by confirming whether the first information can be restored or not, and the set of multivariate polynomials F and the vector y are public keys.
  • the signature acquisition unit acquires the second information in a predetermined number, and the signature verification unit acquires the predetermined number.
  • a signature verification apparatus is provided, which sequentially restores the first information using the second information and erases the second information unnecessary for the restoration process when it is no longer necessary.
  • a set of multi-order multivariate polynomials F (f 1 ,..., F m ) defined on a ring K, a signature key s ⁇ K n , and a document M .
  • the document M, the set F of the multi-order multivariate polynomials, and the vector y (f 1 (s),..., F m (s)).
  • Acquiring an electronic signature including a plurality of second information necessary to verify that the information is generated using the signature key s; and a plurality of second information included in the electronic signature Verifying the legitimacy of the document M by confirming whether the first information can be restored using a set of multivariate polynomials F and the vector y are public keys.
  • the acquiring step a predetermined number of pieces of the second information are acquired, and in the verifying step: A signature verification method, wherein the first information is sequentially restored using the second information acquired by a predetermined number, and the second information unnecessary for the restoration process is deleted when it becomes unnecessary Provided.
  • a set of multi-order multivariate polynomials F (f 1 ,..., F m ) defined on a ring K, a signature key s ⁇ K n , and a document M .
  • the document M, the set F of the multi-order multivariate polynomials, and the vector y (f 1 (s),..., F m (s)).
  • the set F of the multivariate polynomials and the vector y are public keys, and the signature acquisition function acquires the second information each by a predetermined number, and the signature verification function acquires the predetermined information by the predetermined number.
  • a program is provided, which sequentially restores the first information using the information of (1) and erases the second information unnecessary for the restoration process when it is no longer necessary.
  • a set of multi-order multivariate polynomials F (f 1 ,..., F m ) defined on a ring K, a signature key s ⁇ K n , and a document M .
  • the document M, the set F of the multi-order multivariate polynomials, and the vector y (f 1 (s),..., F m (s)).
  • a recording medium which restores one information and erases the second information unnecessary for the restoration process when it is no longer necessary.
  • FIGS. 4 and 5 a configuration example of an algorithm related to the 3-pass public key authentication scheme will be described with reference to FIGS. 4 and 5.
  • an exemplary configuration of an algorithm related to the 5-pass public key authentication scheme will be described with reference to FIGS. 6 and 7.
  • FIGS. 8 and 9 a method of transforming an efficient algorithm related to a 3-pass and 5-pass public key authentication scheme into an algorithm of a digital signature scheme will be described.
  • the present embodiment relates to a public key authentication scheme and a digital signature scheme that base security on the difficulty of solving a multi-order multivariate simultaneous equation.
  • the present embodiment relates to a public key authentication method and an electronic signature method using multi-order multivariate simultaneous equations which do not have means (trap door) to be solved efficiently unlike the conventional methods such as the HFE electronic signature method.
  • FIG. 1 is an explanatory diagram for describing an outline of an algorithm of the public key authentication scheme.
  • Public key authentication is used to convince a person (certifier) to be another person (verifier) that the person is the person using the public key pk and the secret key sk.
  • the public key pk A of the prover A is disclosed to the verifier B.
  • the prover A's secret key sk A is secretly managed by the prover A.
  • the person who knows the secret key sk A corresponding to the public key pk A is considered to be the prover A himself.
  • the secret key sk corresponding to the public key pk A by the certifier A through the dialogue protocol
  • the verifier B should be presented with evidence that he knows A. Then, if evidence that the prover A knows the secret key sk A is presented to the verifier B and the examiner B confirms the evidence, the legitimacy (identity) of the prover A is It will be proved.
  • the first condition is to “make the probability of false proof established by a false witness who does not have the secret key sk when executing the dialogue protocol as small as possible”. It is called “soundness” that this first condition holds. In other words, soundness can be reworded as "a false witness that does not have the secret key sk can not establish false evidence with a probability that can not be ignored during execution of the dialogue protocol.”
  • the second condition is, "even if you perform an interactive protocol, information of the secret key sk A of the prover A has there is no leak at all to the verifier B" that is. It is called “zero knowledge" that this second condition holds.
  • model In the model of the public key authentication scheme, as shown in FIG. 1, there are two entities, a prover and a verifier.
  • the prover uses the key generation algorithm Gen to generate a set of a prover's unique secret key sk and a public key pk.
  • the prover executes the dialogue protocol with the verifier using the set of the secret key sk and the public key pk generated using the key generation algorithm Gen.
  • the prover executes the dialogue protocol using the prover algorithm P.
  • the prover uses the prover algorithm P to present to the verifier the evidence of holding the secret key sk in the dialogue protocol.
  • the verifier executes the dialogue protocol using the verifier algorithm V, and verifies whether or not the prover holds the private key corresponding to the public key published by the prover. That is, the verifier is an entity that verifies whether the prover holds the private key corresponding to the public key.
  • the model of the public key authentication scheme is composed of three entities of a prover and a verifier, and three algorithms of a key generation algorithm Gen, a prover algorithm P, and a verifier algorithm V.
  • the expressions “prover” and “verifier” are used, these expressions mean entity to the last. Therefore, the subject that executes the key generation algorithm Gen and the prover algorithm P is an information processing apparatus corresponding to the entity of the "prover”. Similarly, the subject that executes the verifier algorithm V is an information processing apparatus.
  • the hardware configuration of these information processing apparatuses is, for example, as shown in FIG. That is, the key generation algorithm Gen, the prover algorithm P, and the verifier algorithm V are executed by the CPU 902 or the like based on programs recorded in the ROM 904, the RAM 906, the storage unit 920, the removable recording medium 928 or the like.
  • the key generation algorithm Gen is used by the prover.
  • the key generation algorithm Gen is an algorithm that generates a pair of a secret key sk unique to the prover and a public key pk.
  • the public key pk generated by the key generation algorithm Gen is released. Then, the public key pk released is used by the verifier.
  • the prover manages the secret key sk generated by the key generation algorithm Gen in a secret.
  • the secret key sk secretly managed by the prover is used to prove to the verifier that the prover holds the secret key sk corresponding to the public key pk.
  • the key generation algorithm Gen is expressed as the following equation (1) as an algorithm which receives the security parameter 1 ⁇ ( ⁇ is an integer of 0 or more) and outputs the secret key sk and the public key pk. Ru.
  • the prover algorithm P is used by the prover.
  • the prover algorithm P is an algorithm for proving to the verifier that the prover holds the secret key sk corresponding to the public key pk. That is, the prover algorithm P is an algorithm that receives the secret key sk and the public key pk as input, and executes the dialogue protocol.
  • the verifier algorithm V is used by the verifier.
  • the verifier algorithm V is an algorithm for verifying whether the prover holds the secret key sk corresponding to the public key pk in the dialogue protocol.
  • the verifier algorithm V is an algorithm that receives the public key pk and outputs 0 or 1 (1 bit) according to the result of execution of the interaction protocol.
  • the verifier determines that the prover is invalid when the verifier algorithm V outputs 0, and determines that the prover is valid when 1 is output.
  • the verifier algorithm V is expressed as the following equation (2).
  • the dialogue protocol needs to satisfy the two conditions of soundness and zero knowledge.
  • the prover executes a procedure dependent on the secret key sk, notifies the verifier of the result, and It is necessary to have the verifier perform verification based on Performing procedures dependent on the secret key sk is necessary to ensure soundness.
  • FIG. 2 is an explanatory diagram for explaining an outline of an algorithm of the digital signature scheme.
  • the electronic signature refers to a mechanism for providing the recipient with signature data that is known only to the creator of the data and providing it to the recipient, and verifying the signature data on the recipient side.
  • model In the model of the electronic signature scheme, as shown in FIG. 2, there are two entities, a signer and a verifier.
  • the model of the electronic signature scheme is composed of three algorithms: a key generation algorithm Gen, a signature generation algorithm Sig, and a signature verification algorithm Ver.
  • the signer generates a pair of a signer's unique signature key sk and a verification key pk using the key generation algorithm Gen. Further, the signer generates a digital signature ⁇ to be attached to the document M using the signature generation algorithm Sig. That is, the signer is an entity that gives the document M a digital signature.
  • the verifier verifies the electronic signature ⁇ attached to the document M using the signature verification algorithm Ver. That is, the verifier is an entity that verifies the digital signature ⁇ in order to confirm whether the creator of the document M is a signer.
  • the expressions “signer” and “verifier” mean the entities to the last. Therefore, the subject that executes the key generation algorithm Gen and the signature generation algorithm Sig is an information processing apparatus corresponding to the “signer” entity. Similarly, an entity that executes the signature verification algorithm Ver is an information processing apparatus.
  • the hardware configuration of these information processing apparatuses is, for example, as shown in FIG. That is, the key generation algorithm Gen, the signature generation algorithm Sig, and the signature verification algorithm Ver are executed by the CPU 902 or the like based on programs recorded in the ROM 904, the RAM 906, the storage unit 920, the removable recording medium 928 or the like.
  • the key generation algorithm Gen is used by the signer.
  • the key generation algorithm Gen is an algorithm that generates a pair of a signer-specific signature key sk and a verification key pk.
  • the verification key pk generated by the key generation algorithm Gen is released.
  • the signature key sk generated by the key generation algorithm Gen is secretly managed by the signer.
  • the signature key sk is used to generate the electronic signature ⁇ given to the document M.
  • the key generation algorithm Gen takes a security parameter 1 ⁇ ( ⁇ is an integer of 0 or more) as an input, and outputs a signature key sk and a public key pk.
  • the key generation algorithm Gen can be formally expressed as the following equation (3).
  • the signature generation algorithm Sig is used by the signer.
  • the signature generation algorithm Sig is an algorithm for generating a digital signature ⁇ given to the document M.
  • the signature generation algorithm Sig is an algorithm that receives the signature key sk and the document M and outputs a digital signature ⁇ .
  • This signature generation algorithm Sig can be formally expressed as the following equation (4).
  • the signature verification algorithm Ver is used by the verifier.
  • the signature verification algorithm Ver is an algorithm for verifying whether the digital signature ⁇ is a valid electronic signature for the document M.
  • the signature verification algorithm Ver is an algorithm that receives a signer's verification key pk, a document M, and a digital signature ⁇ as input, and outputs 0 or 1 (1 bit).
  • This signature verification algorithm Ver can be formally expressed as the following equation (5).
  • the verifier determines that the electronic signature ⁇ is invalid when the signature verification algorithm Ver outputs 0 (when the public key pk rejects the document M and the electronic signature ⁇ ), and outputs 1 ( If the public key pk accepts the document M and the electronic signature ⁇ ), it is determined that the electronic signature ⁇ is valid.
  • FIG. 3 is an explanatory diagram for describing an n-pass public key authentication scheme.
  • the public key authentication method is an authentication method that proves to the verifier that the prover holds the secret key sk corresponding to the public key pk in the dialogue protocol.
  • the dialogue protocol needs to satisfy two conditions of soundness and zero knowledge. Therefore, in the dialogue protocol, as shown in FIG. 3, both the prover and the verifier exchange information n times while executing processing.
  • an "n-pass" public key authentication scheme a scheme in which information is transmitted and received n times.
  • the 3-pass public key authentication scheme may be referred to as a “3-pass scheme”.
  • FIG. 4 is an explanatory diagram for describing a specific algorithm configuration related to the 3-pass scheme.
  • a case where a pair of quadratic polynomials (f 1 (x),..., F m (x)) is used as part of the public key pk will be considered.
  • the quadratic polynomial f i (x) is expressed as the following equation (6).
  • a set of quadratic polynomials (f 1 (x),..., F m (x)) can be expressed as the following equation (7).
  • a 1 ,..., A m are n ⁇ n matrices.
  • b 1 ,..., B m are n ⁇ 1 vectors respectively.
  • the multivariate polynomial F can be expressed as the following Expression (8) and Expression (9). It can be easily confirmed from the following formula (10) that this expression holds.
  • G (x, y) corresponding to x is bilinear with respect to x and y.
  • G (x, y) may be called a bilinear term.
  • the sum of the multivariate polynomial F (x + r 0 ) and G (x) is expressed as the following equation (11).
  • the key generation algorithm Gen sets (f 1 (x 1 ,..., X n ),..., F m (x 1 ,..., X n ), y) as the public key pk and s as the secret key Set
  • Process # 1 As shown in FIG. 4, first, the prover algorithm P randomly generates vectors r 0 , t 0 ⁇ K n and e 0 ⁇ K m . Next, the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 . Furthermore, the prover algorithm P calculates t 1 rr 0 ⁇ t 0 . Next, the prover algorithm P calculates e 1 ⁇ F (r 0 ) ⁇ e 0 .
  • Process # 1 (cont.): Next, the prover algorithm P calculates c 0 HH (r 1 , G (t 0 , r 1 ) + e 0 ). Next, the prover algorithm P calculates c 1 H H (t 0 , e 0 ). Next, the prover algorithm P calculates c 2 H H (t 1 , e 1 ). The message (c 0 , c 1 , c 2 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that receives the message (c 0 , c 1 , c 2 ) selects which one of the three verification patterns to use. For example, the verifier algorithm V selects one numerical value from three numerical values ⁇ 0, 1, 2 ⁇ representing the type of verification pattern, and sets the selected numerical value in the request Ch. This request Ch is sent to the prover algorithm P.
  • Process # 4 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • a serial method in which the exchange of messages, requests, and replies is sequentially repeated plural times and the exchange of messages, requests, and answers for plural times in one exchange are performed.
  • a parallel method can be considered.
  • a hybrid method combining a serial method and a parallel method is also conceivable.
  • an algorithm hereinafter, parallelization algorithm
  • Process (1) The prover algorithm P randomly generates vectors r 0i , t 0i ⁇ K n and e 0i ⁇ K m .
  • Process (3) The prover algorithm P calculates e 1i ⁇ F (r 0i ) ⁇ e 0i .
  • the hash value Cmt generated in step # 1 is sent to the verifier algorithm V.
  • the amount of communication can be reduced by converting the messages (c 01 , c 11 , c 21 ,..., C 0 N , c 1 N , c 2 N ) into hash values and sending them to the verifier algorithm V. It will be possible.
  • Process # 3 Request Ch 1, ..., a prover algorithm P that received Ch N, requested Ch 1 received, ..., reply Rsp 1 to send to the verifier algorithm V in accordance respective Ch N, ..., to produce a Rsp N.
  • Ch i 2i
  • the prover algorithm P, Rsp i (r 1i, t 1i, e 1i, c 1i) to produce a.
  • the responses Rsp 1 ,..., Rsp N generated in step # 3 are sent to the verifier algorithm V.
  • Ch i 1, the verifier algorithm V from Rsp i (r 1i, t 0i , e 0i, c 2i) taken out.
  • the verifier algorithm V holds (c 0i , c 1i , c 2i ).
  • the false evidence rate per interaction protocol is 2/3, but in the case of the 5-pass scheme, the false evidence probability per interactive protocol is 1/2 + 1 / q. Where q is the order of the ring to be used. Therefore, if the order of the ring is sufficiently large, the 5-pass scheme can reduce the perjudging probability per time, and can reduce the perjudacy probability sufficiently with a small number of executions of the dialogue protocol. it can.
  • FIG. 6 is an explanatory diagram for describing a specific algorithm configuration related to the 5-pass scheme.
  • a case where a pair of quadratic polynomials (f 1 (x),..., F m (x)) is used as part of the public key pk will be considered.
  • the quadratic polynomial f i (x) is assumed to be expressed as the above equation (6).
  • the multivariate polynomial F 1 (x) used to mask the multivariate polynomial F (x + r 0 ) using two vectors t 0 nK n and e 0 ⁇ K m as in the algorithm related to the 3-pass scheme Is expressed as F 1 (x) G (x, t 0 ) + e 0 .
  • F 1 (x) G (x, t 0 ) + e 0 .
  • the key generation algorithm Gen sets (f 1 ,..., F m , y) as the public key pk and sets s as the secret key.
  • the vector (x 1 ,..., X n ) is represented as x
  • the set of multivariable polynomials (f 1 (x),..., F m (x)) is represented as F (x).
  • Process # 1 As shown in FIG. 6, first, the prover algorithm P randomly generates vectors r 0 ⁇ K n , t 0 ⁇ K n , and e 0 ⁇ K m . Next, the prover algorithm P calculates r 1 ss ⁇ r 0 . This calculation corresponds to an operation of masking the secret key s by the vector r 0 . Next, the prover algorithm P generates a hash value c 0 of the vectors r 0 , t 0 and e 0 . That is, the prover algorithm P calculates c 0 ⁇ H (r 0 , t 0 , e 0 ).
  • the prover algorithm P generates a hash value c 1 of G (t 0 , r 1 ) + e 0 and r 1 . That is, the prover algorithm P calculates c 0 H H (r 1 , G (t 0 , r 1 ) + e 0 ).
  • the message (c 0 , c 1 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that has received the message (c 0 , c 1 ) randomly selects one number Ch A from the elements of the ring K existing in q ways, and sends the selected number Ch A to the prover algorithm P.
  • Process # 3 The prover algorithm P that has received the number Ch A calculates t 1 ⁇ Ch A ⁇ r 0 -t 0 . Furthermore, the prover algorithm P calculates e 1 ChCh A ⁇ F (r 0 ) ⁇ e 0 . Then, the prover algorithm P sends t 1 and e 1 to the verifier algorithm V.
  • Process # 4 The verifier algorithm V that has received t 1 and e 1 selects which one of two verification patterns to use. For example, the verifier algorithm V selects one numerical value from among two numbers representing verification patterns ⁇ 0, 1 ⁇ , and set the selected numerical value in the request Ch B. This request Ch B is sent to the prover algorithm P.
  • Process # 6 The verifier algorithm V that has received the response Rsp executes the following verification process using the received response Rsp.
  • Ch B 1
  • a serial method in which the exchange of messages, requests, and replies is sequentially repeated plural times and the exchange of messages, requests, and answers for plural times in one exchange are performed.
  • a parallel method can be considered.
  • a hybrid method combining a serial method and a parallel method is also conceivable.
  • an algorithm hereinafter, parallelization algorithm
  • Process (1) The prover algorithm P randomly generates vectors r 0i , t 0i ⁇ K n and e 0i ⁇ K m .
  • the prover in the model of the public key authentication scheme corresponds to the signer in the digital signature scheme, it is easily understood that it is similar to the model of the digital signature scheme in that only the prover can convince the verifier. It will be done. Based on such an idea, a method of transforming the above-described public key authentication scheme into a digital signature scheme will be described.
  • an efficient algorithm according to the 3-pass scheme (see, eg, FIG. 5) is represented by three interactions and four steps # 1 to # 4.
  • the Cmt generated by the prover algorithm P in step # 1 is sent to the verifier algorithm V.
  • Step # 2 is configured by a process of selecting Ch 1 ,..., Ch N.
  • Ch 1 ,..., Ch N selected by the verifier algorithm V at step # 2 are sent to the prover algorithm P.
  • Step # 3 Ch 1, ..., Ch N and a 1, ..., Rsp 1 with a N, ..., consisting of the process of generating Rsp N. This process is expressed as Rsp i SelectSelect (Ch i , a i ).
  • the Rsp 1 ,..., Rsp N generated by the prover algorithm P at step # 3 are sent to the verifier algorithm V.
  • the algorithm of the public key authentication scheme expressed in the above-mentioned steps # 1 to # 4 is transformed into a signature generation algorithm Sig and a signature verification algorithm Ver as shown in FIG.
  • the signature generation algorithm Sig is composed of the following processes (1) to (5).
  • Process (3): The signature generation algorithm Sig calculates (Ch 1 ,..., Ch N ) ⁇ H (M, Cmt). This M is a document to which a signature is given.
  • the signature verification algorithm Ver is composed of the following processing (1) to processing (3).
  • Process (1): The signature verification algorithm Ver calculates (Ch 1 ,..., Ch N ) ⁇ -H (M, Cmt). Processing (2): The signature verification algorithm Ver, Ch 1, ..., Ch N and Rsp 1, ..., c 01, c 11, c 21 using Rsp N, generate ..., c 0N, c 1N, c 2N Do. Process (3): The signature verification algorithm Ver uses the reproduced c 01 , c 11 , c 21 ,..., C 0 N , c 1 N , c 2 N to use Cmt H (c 01 , c 11 , c 21 ,. Verify c 0N , c 1N , c 2N ).
  • an efficient algorithm according to the 5-pass scheme is represented by 5 interactions and 6 steps # 1 to # 6.
  • the Cmt generated by the prover algorithm P in step # 1 is sent to the verifier algorithm V.
  • the process # 2 is configured by a process of selecting Ch A1 to Ch AN .
  • Ch A1 ,..., Ch AN selected by the verifier algorithm V at step # 2 are sent to the prover algorithm P.
  • Process # 4 is comprised of a process of selecting Ch B1 ,..., Ch BN .
  • the Ch B1 ,..., Ch BN selected by the verifier algorithm V at step # 4 are sent to the prover algorithm P.
  • Step # 5 Ch B1, ..., Ch BN , a 1, ..., a N, b 1, ..., Rsp 1 with b N, ..., consisting of the process of generating Rsp N. This process is expressed as Rsp i SelectSelect (Ch Bi , a i , b i ).
  • the Rsp 1 ,..., Rsp N generated by the prover algorithm P at step # 5 are sent to the verifier algorithm V.
  • the algorithm of the public key authentication scheme expressed in the above steps # 1 to # 6 is transformed into a signature generation algorithm Sig and a signature verification algorithm Ver as shown in FIG.
  • the signature generation algorithm Sig is composed of the following processing (1) to processing (7).
  • the signature verification algorithm Ver is composed of the following processing (1) to processing (4).
  • the signature verification algorithm Ver executes (Ch B1 ,..., Ch BN ) ⁇ H (Ch A1 ,..., Ch AN , d) is modified, the signature verification algorithm Ver is (Ch B1 ,..., Ch BN ) ⁇ H (Ch A1 ,..., Ch AN , d) are calculated.
  • Process (3) The signature verification algorithm Ver, Ch A1, ..., Ch AN , Ch B1, ..., Ch BN, Rsp 1, ..., t 11, e 11 with Rsp N, ..., t 1N, e 1N , C 01 , c 11 ,..., C 0 N and c 1 N are generated.
  • the signature verification algorithm Ver has executed the processing of signature verification after receiving the entire electronic signature.
  • the data size of the electronic signature is relatively large. Therefore, when performing authentication using a device having only a small memory capacity, such as RFID (Radio Frequency IDentification), it was necessary to pay attention to the free space of the memory, the memory usage rate during the authentication process, and the like.
  • RFID Radio Frequency IDentification
  • the hash function has a structure in which input is divided into blocks and processing is sequentially performed block by block.
  • the hash function has a structure as shown in FIG. Figure hash function shown is 10, Z blocks m 1 inputs M already padded, ..., separated into m Z, while incrementing the index j, sequentially, the initial block m j value IV or the intermediate value CV
  • the hash value is generated by acting on a predetermined function CF together with j . Therefore, when the intermediate value CV j is obtained, the previously used block becomes unnecessary. Therefore, we have devised a mechanism (hereinafter, memory reduction method) that effectively reduces the amount of memory required to execute the algorithm using this characteristic.
  • memory reduction method a mechanism for applying this mechanism to the above-described electronic signature method will be described.
  • the signature verification algorithm Ver (Normal mounting method: Fig. 11) Usually, as shown in FIG. 11, the signature verification algorithm Ver according to the above-described electronic signature method constructs an electronic signature (Cmt, Rsp 1 ,..., Rsp N ) at one time (S101). Next, the signature verification algorithm Ver executes (Ch 1 ,..., Ch N ) ⁇ -H (M, Cmt) (S 102). Next, the signature verification algorithm Ver executes (c 01 , c 11 , c 21 ,..., C 0 N , c 1 N , c 2 N ) Re Reproduce (Ch 1 ,..., Ch N ; Rsp 1 ,..., Rsp N ) (S103).
  • step S101 of FIG. 11 when the electronic signature is received at one time , the memory for holding (Rsp 1 ,..., Rsp N ) is complete until the process of step S103 is completed. It will be necessary. However, as can be seen from the algorithm configuration of FIG. 5, information other than (Ch i ; Rsp i ) is not used in the reproduction of (c 0i , c 1i , c 2i ) executed in step S103. Also, in view of the structure of the hash function shown in FIG. 10, it can be understood that the calculation of the hash function executed in step S104 can be divided and executed in block units. Therefore, the configuration of processing relating to signature verification is improved to a configuration as shown in FIG.
  • step S113 the signature verification algorithm Ver receives Rsp i (S113). Then, the signature verification algorithm Ver using Rsp i received, (c 0i, c 1i, c 2i) ⁇ Reproduce; executes (Ch i Rsp i) (S114 ). After executing the process of step S114, Ch i and Rsp i becomes unnecessary. Therefore, the signature verification algorithm Ver erases Ch i and Rsp i from the memory the process of step S114 after the execution.
  • the function H i is a function that outputs an intermediate value generated when c 0i , c 1i , c 2i are calculated inside the hash function H.
  • an appropriate input length correction such as adding a bit is performed as necessary.
  • the hash function H is expressed by an algorithm configured by the following processing (1) to processing (3).
  • tmp N is the final output (hash value) of the hash function H.
  • padding is added in the final process according to the specification of the hash function.
  • the signature verification algorithm Ver erases, from the memory, the information that has become unnecessary in the process of repeatedly executing the processing of steps S113 to S115. Therefore, the amount of memory required for signature verification can be minimized. As a result, the above-described signature verification can be performed even with a device having a small memory capacity.
  • the signature verification algorithm Ver (Normal mounting method: Fig. 13) Usually, as shown in FIG. 13, the signature verification algorithm Ver according to the above-described electronic signature method constructs an electronic signature (Cmt, d, Rsp 1 ,..., Rsp N ) at one time (S121). Next, the signature verification algorithm Ver executes (Ch A1 ,..., Ch AN ) ⁇ H (M, Cmt) (S122). Next, the signature verification algorithm Ver executes (Ch B1 ,..., Ch BN ) H H (M, C mt, Ch A1 ,..., Ch AN , d) (S123).
  • the signature verification algorithm Ver is (c 01 , c 11 ,..., C 0 N , c 1 N , d 11 , e 11 ,..., D 1 N , e 1 N ) ⁇ Reproduce (Ch A1 ,..., Ch AN , Ch B1 , ..., Ch BN ; Rsp 1 , ..., Rsp N ) are executed (S 124).
  • the signature verification algorithm Ver first receives only Cmt included in the electronic signature (S131). Next, the signature verification algorithm Ver executes (Ch A1 ,..., Ch AN ) ⁇ H (M, Cmt) (S132).
  • the signature verification algorithm Ver receives d (S133).
  • the signature verification algorithm Ver executes (Ch B1 ,..., Ch BN ) ⁇ -H (M, C mt, Ch A1 ,..., Ch AN , d) using the received d (S 134).
  • d becomes unnecessary. Therefore, the signature verification algorithm Ver erases d from the memory after executing the process of step S134.
  • step S135 the signature verification algorithm Ver receives Rsp i (S135). Then, the signature verification algorithm Ver using Rsp i received, executes (c 0i, c 1i, t 1i, e 1i) ⁇ Reproduce (Ch Ai, Ch Bi, Rsp i) (S136). After the process of step S136 is performed, Ch Ai , Ch Bi and Rsp i become unnecessary. Therefore, the signature verification algorithm Ver erases Ch Ai , Ch Bi and Rsp i from the memory after executing the process of step S136.
  • the signature verification algorithm Ver executes tmp i H H i (tmp i-1 ; c 0i , c 1i ) and tmp i ′ ⁇ H i (tmp i-1 ′; t 1i , e 1i ) (S 137) ).
  • the signature verification algorithm Ver erases, from the memory, information that has become unnecessary in the process of repeatedly executing the processing of steps S135 to S137. Therefore, the amount of memory required for signature verification can be minimized. As a result, the above-described signature verification can be performed even with a device having a small memory capacity.
  • extraction method # 1 (2-bit division) (FIG. 15)
  • M / 2 two-bit random numbers can be obtained by dividing the random number sequence in binary representation by two bits. For example, if “00” is associated with a ternary “0”, “01” with a ternary “1”, and “10” with a ternary “2”, the random number sequence of binary representation of 2-bit unit 3 You can get a random number sequence of base numbers. However, the 2-bit value "11" is excluded.
  • the extraction method # 1 from the number of 2 two types represented by binary 2 symbols, a method of extracting a number of 3 1 types represented by 3 binary one symbol. Therefore, the probability P 1 for which N or more ternary numbers can not be extracted is expressed by the following equation (13).
  • the above extraction method # 1 is a method of dividing a random number sequence of binary expression in the smallest dividing unit.
  • the above-mentioned extraction method # 2 is a method of dividing a random number sequence of binary expression in the maximum division unit (because it is considered as an M bit division).
  • the probability that N or more ternary numbers can not be extracted differs depending on the division length.
  • the probability P 3 where N or more ternary can not be extracted is as the following equation (15).
  • This method is a method of extracting a symbol string of ternary expression using the bit string not extracted in step S204 of FIG.
  • X 2k> 3 L become bit sequence pairs (e.g., when a set of bit strings representing the y 1 y 2 ... y N ' , each The bit string y i of 3 L is extracted as 3 L ⁇ y i ⁇ 2 k ) (S211).
  • bit string extracted in step S213 is output in ternary representation (S214), and the series of processing ends.
  • L 'ternary numbers with probability 3 L' / (2 k- 3 L ).
  • more ternary numbers can be extracted. That is, a ternary number can be extracted similarly from the bit string in which the bit string X becomes X ⁇ 3 L ′ in step S213.
  • the structuring method # 1 is a method in which, as shown in FIG. 20, the coefficients of the same kind of terms constituting the multivariate polynomial are put together as one data structure.
  • the coefficients a 1IJ to amIJ are collected as a data structure A
  • the coefficients b 1I to b mI are collected as a data structure B.
  • the algorithm for substituting the coefficients is as shown in (Example 2).
  • the L-bit AND operation (&) is performed 2 ⁇ N ⁇ (N ⁇ 1) / 2 times
  • the M-bit XOR operation ( ⁇ ) is performed N ⁇ (N ⁇ 1) / 2 times. It's over.
  • a IJ (1 to M) is generated at the timing of each loop.
  • coefficients may be used repeatedly.
  • [a IJ (1 to M) ] may be generated only once in L times, without generating each time.
  • [a IJ (1 to M) ] may be used while being rotated by one bit in M times of loop.
  • the coefficients may be structured, and intermediate results obtained by applying the coefficients of the multivariate polynomial may be held in a table.
  • the coefficient substitution algorithm is as shown in (Example 3).
  • Example 3 ⁇ (a (k (I-1) + k) (k (J-1) + 1) & x k & z 1 ) ⁇ ... ⁇ (a (k (I-1) + k) (k (k (I (1)) + k) J-1) + k) & x k & z k ) is stored.
  • the required memory amount is 22 k / k 2 times.
  • the structuring method # 2 is a method of expressing a multivariate polynomial in a quadratic form as shown in FIG. 21 and putting together a row or a column of a quadratic form as one data structure. In the example of FIG. 21, the data structure is organized in the row direction.
  • coefficients may be structured, and intermediate results obtained by applying coefficients of multivariate polynomials may be held in a table.
  • the coefficient substitution algorithm is as shown in (Example 5).
  • a I [x 1 ,..., X k ] (A (k (I-1) +1) & x 1 ) ⁇ .
  • ⁇ (A (k (I-1) + k) & x k ) is stored.
  • the required memory size is 2 k / k times.
  • the calculations of the multivariate polynomials F and G are repeatedly executed N times while updating the arguments in step # 1. Therefore, such calculation part is configured to repeatedly perform calculation using the same coefficient.
  • FIG. 22 Hardware Configuration Example
  • Each of the above algorithms can be executed, for example, using the hardware configuration of the information processing apparatus shown in FIG. That is, the processing of each algorithm is realized by controlling the hardware shown in FIG. 22 using a computer program.
  • the form of this hardware is arbitrary and, for example, personal computer, portable telephone, portable information terminal such as PHS, PDA, game machine, contact or non-contact IC chip, contact or non-contact IC This includes cards, or various home information appliances.
  • PHS is an abbreviation for Personal Handy-phone System.
  • the above PDA is an abbreviation of Personal Digital Assistant.
  • this hardware mainly includes a CPU 902, a ROM 904, a RAM 906, a host bus 908, and a bridge 910. Further, the hardware includes an external bus 912, an interface 914, an input unit 916, an output unit 918, a storage unit 920, a drive 922, a connection port 924, and a communication unit 926.
  • said CPU is the abbreviation for Central Processing Unit.
  • ROM is an abbreviation of Read Only Memory.
  • the above RAM is an abbreviation of Random Access Memory.
  • the CPU 902 functions as, for example, an arithmetic processing unit or a control unit, and controls the entire operation of each component or a part thereof based on various programs recorded in the ROM 904, the RAM 906, the storage unit 920, or the removable recording medium 928.
  • the ROM 904 is a means for storing a program read by the CPU 902, data used for an operation, and the like.
  • the RAM 906 temporarily or permanently stores, for example, a program read by the CPU 902, various parameters that appropriately change when the program is executed, and the like.
  • a host bus 908 capable of high-speed data transmission.
  • the host bus 908 is connected to the external bus 912, which has a relatively low data transmission speed, via the bridge 910, for example.
  • the input unit 916 for example, a mouse, a keyboard, a touch panel, a button, a switch, a lever, or the like is used.
  • a remote controller capable of transmitting a control signal using infrared rays or other radio waves may be used.
  • a display device such as a CRT, LCD, PDP, or ELD
  • an audio output device such as a speaker or a headphone, a printer, a mobile phone, or a facsimile etc.
  • the above-mentioned CRT is an abbreviation of Cathode Ray Tube.
  • the above LCD is an abbreviation of Liquid Crystal Display.
  • the above-mentioned PDP is an abbreviation of Plasma Display Panel.
  • the above ELD is an abbreviation of Electro-Luminescence Display.
  • the storage unit 920 is a device for storing various data.
  • a magnetic storage device such as a hard disk drive (HDD), a semiconductor storage device, an optical storage device, a magneto-optical storage device, or the like is used.
  • HDD hard disk drive
  • the above HDD is an abbreviation of Hard Disk Drive.
  • the drive 922 is a device that reads information recorded in a removable recording medium 928 such as, for example, a magnetic disk, an optical disk, a magneto-optical disk, or a semiconductor memory, or writes information in the removable recording medium 928.
  • the removable recording medium 928 is, for example, a DVD medium, a Blu-ray medium, an HD DVD medium, various semiconductor storage media, and the like.
  • the removable recording medium 928 may be, for example, an IC card equipped with a noncontact IC chip, an electronic device, or the like.
  • the above IC is an abbreviation for Integrated Circuit.
  • the connection port 924 is a port for connecting an external connection device 930 such as a USB port, an IEEE 1394 port, a SCSI, an RS-232C port, or an optical audio terminal.
  • the external connection device 930 is, for example, a printer, a portable music player, a digital camera, a digital video camera, an IC recorder, or the like.
  • USB is an abbreviation of Universal Serial Bus.
  • SCSI is an abbreviation of Small Computer System Interface.
  • the communication unit 926 is a communication device for connecting to the network 932, and for example, a wired or wireless LAN, a communication card for Bluetooth (registered trademark) or WUSB, a router for optical communication, a router for ADSL, or a contact Or a device for contactless communication.
  • a network 932 connected to the communication unit 926 is configured by a wired or wirelessly connected network, and is, for example, the Internet, a home LAN, infrared communication, visible light communication, broadcasting, satellite communication, or the like.
  • the above-mentioned LAN is an abbreviation of Local Area Network.
  • WUSB is an abbreviation of Wireless USB.
  • the above-mentioned ADSL is an abbreviation of Asymmetric Digital Subscriber Line.
  • the functional configuration of the above information processing apparatus is expressed as follows.
  • the information processing apparatus described in the following (1) has a function of executing an efficient public key authentication scheme or an electronic signature scheme algorithm based on security on the difficulty of solving multi-order multivariate simultaneous equations .
  • a set of multi-order multivariate polynomials F (f 1 ,..., F m ) defined on a ring K, a signature key s ⁇ K n , and first information generated based on a document M, and the document
  • a plurality of pieces of second information necessary to verify that, and a signature acquisition unit for acquiring an electronic signature A signature verification unit that verifies the legitimacy of the document M by confirming whether the first information can be restored using a plurality of pieces of second information included in the electronic signature; Equipped with The set F of multivariate polynomials and the vector y are public keys,
  • the signature acquisition unit acquires a predetermined number of the second information
  • the signature verification unit sequentially restores the first information using the second information acquired by a predetermined number, and deletes the second
  • the first information is generated using a one-way function that divides and processes input information into blocks and
  • the signature verification unit generates an intermediate value output by the one-way function in the block unit processing using the second information acquired by the predetermined number, the intermediate value and the next acquired Repeatedly generating the next intermediate value using a predetermined number of the second information to restore the first information;
  • the signature verification device according to (1) above.
  • the predetermined number is one,
  • the size of the information included in the second information and used when generating the intermediate value from the one-way function is equal to or larger than the data size of the block unit.
  • a set of multi-order multivariate polynomials F (f 1 ,..., F m ) defined on a ring K, a signature key s ⁇ K n , and first information generated based on a document M, and the document
  • Including The set F of multivariate polynomials and the vector y are public keys,
  • the acquiring step a predetermined number of pieces of the second information are acquired
  • the verifying step the first information is sequentially restored using the second information acquired by a predetermined number, and the second information unnecessary for the restoration process is erased
  • a set of multi-order multivariate polynomials F (f 1 ,..., F m ) defined on a ring K, a signature key s ⁇ K n , and first information generated based on a document M, and the document
  • a plurality of second information items necessary to verify that, and a signature acquisition function of acquiring a digital signature A signature verification function of verifying the legitimacy of the document M by confirming whether or not the first information can be restored using a plurality of pieces of second information included in the electronic signature; Is a program to make computer
  • the set F of multivariate polynomials and the vector y are public keys,
  • the signature acquisition function acquires a predetermined number of the second information,
  • the signature verification function sequentially restores the first information using the second information acquired by
  • a set of multi-order multivariate polynomials F (f 1 ,..., F m ) defined on a ring K, a signature key s ⁇ K n , and first information generated based on a document M, and the document
  • a plurality of second information items necessary to verify that, and a signature acquisition function of acquiring a digital signature A signature verification function of verifying the legitimacy of the document M by confirming whether or not the first information can be restored using a plurality of pieces of second information included in the electronic signature;
  • the set F of multivariate polynomials and the vector y are public keys,
  • the signature acquisition function acquires a predetermined number of the second information,
  • the signature verification function sequential
  • Ver is an example of a signature acquisition unit and a signature verification unit.
  • the commitment function COM may be used instead of the hash function H.
  • the commitment function COM is a function that takes a string S and a random number ⁇ as arguments.
  • An example of the commitment function is the method presented by Shai Halevi and Silvio Micali at the international conference CRYPTO1996.

Abstract

　多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙに基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得部と、前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証部と、を備える署名検証装置が提供される。前記署名検証部は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する。

Description

署名検証装置、署名検証方法、プログラム、及び記録媒体
　本技術は、署名検証装置、署名検証方法、プログラム、及び記録媒体に関する。
　情報処理技術や通信技術の急速な発展に伴い、公文書、私文書を問わず、文書の電子化が急速に進んでいる。これに伴い、多くの個人や企業は、電子文書の安全管理に大きな関心を寄せている。こうした関心の高まりを受け、各方面で電子文書の盗聴や偽造等のタンパリング行為に対する対抗策が盛んに研究されるようになってきた。電子文書の盗聴に対しては、例えば、電子文書を暗号化することにより安全性が確保される。また、電子文書の偽造に対しては、例えば、電子署名を利用することにより安全性が確保される。但し、利用する暗号や電子署名が高いタンパリング耐性を有していなければ、十分な安全性が保証されない。
　電子署名は、電子文書の作成者を特定するために利用される。そのため、電子署名は、電子文書の作成者しか生成できないようにすべきである。仮に、悪意ある第三者が同じ電子署名を生成できてしまうと、その第三者が電子文書の作成者に成りすますことができてしまう。つまり、悪意ある第三者により電子文書が偽造されてしまう。こうした偽造を防止するため、電子署名の安全性については様々な議論が交わされてきた。現在広く利用されている電子署名方式としては、例えば、ＲＳＡ署名方式やＤＳＡ署名方式などが知られている。
　ＲＳＡ署名方式は、「大きな合成数に対する素因数分解の困難性（以下、素因数分解問題）」を安全性の根拠とする。また、ＤＳＡ署名方式は、「離散対数問題に対する解の導出の困難性」を安全性の根拠とする。これらの根拠は、古典的なコンピュータを利用して素因数分解問題や離散対数問題を効率的に解くアルゴリズムが存在しないことに起因する。つまり、上記の困難性は、古典的なコンピュータにおける計算量的な困難性を意味する。しかしながら、量子コンピュータを用いると、素因数分解問題や離散対数問題に対する解答が効率的に算出されてしまうと言われている。
　現在利用されている電子署名方式や公開鍵認証方式の多くは、ＲＳＡ署名方式やＤＳＡ署名方式と同様、素因数分解問題や離散対数問題の困難性に安全性の根拠をおいている。そのため、こうした電子署名方式や公開鍵認証方式は、量子コンピュータが実用化された場合に、その安全性が確保されないことになる。そこで、素因数分解問題や離散対数問題など、量子コンピュータにより容易に解かれてしまう問題とは異なる問題に安全性の根拠をおく新たな電子署名方式及び公開鍵認証方式の実現が求められている。量子コンピュータにより容易に解くことが難しい問題としては、例えば、多変数多項式問題がある。
　多変数多項式問題に安全性の根拠をおく電子署名方式としては、例えば、ＭＩ（Ｍａｔｓｕｍｏｔｏ－Ｉｍａｉ　ｃｒｙｐｔｏｇｒａｐｈｙ）、ＨＦＥ（Ｈｉｄｄｅｎ　Ｆｉｅｌｄ　Ｅｑｕａｔｉｏｎ　ｃｒｙｐｔｏｇｒａｐｈｙ）、ＯＶ（Ｏｉｌ－Ｖｉｎｅｇａｒ　ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ）、ＴＴＭ（Ｔａｍｅｄ　Ｔｒａｎｓｆｏｒｍａｔｉｏｎ　Ｍｅｔｈｏｄ　ｃｒｙｐｔｏｇｒａｐｈｙ）に基づく方式が知られている。例えば、下記の非特許文献１、２には、ＨＦＥに基づく電子署名方式が開示されている。
Ｊａｃｑｕｅｓ　Ｐａｔａｒｉｎ　Ａｓｙｍｍｅｔｒｉｃ　Ｃｒｙｐｔｏｇｒａｐｈｙ　ｗｉｔｈ　ａ　Ｈｉｄｄｅｎ　Ｍｏｎｏｍｉａｌ．　ＣＲＹＰＴＯ　１９９６，　ｐｐ．４５－６０． Ｐａｔａｒｉｎ，　Ｊ．，　Ｃｏｕｒｔｏｉｓ，　Ｎ．，　ａｎｄ　Ｇｏｕｂｉｎ，　Ｌ．　ＱＵＡＲＴＺ，　１２８－Ｂｉｔ　Ｌｏｎｇ　Ｄｉｇｉｔａｌ　Ｓｉｇｎａｔｕｒｅｓ．　Ｉｎ　Ｎａｃｃａｃｈｅ，Ｄ．，　Ｅｄ．　Ｔｏｐｉｃｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ　－　ＣＴ－ＲＳＡ　２００１　（Ｓａｎ　Ｆｒａｎｃｉｓｃｏ，　ＣＡ，　ＵＳＡ，　Ａｐｒｉｌ　２００１），　ｖｏｌ．　２０２０　ｏｆ　Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ．，　ｐｐ．２８２－２９７．
　上記の通り、多変数多項式問題は、量子コンピュータを用いても解くことが困難なＮＰ困難問題と呼ばれる問題の一例である。通常、ＨＦＥなどに代表される多変数多項式問題を利用した公開鍵認証方式は、特殊なトラップドアが仕込まれた多次多変数連立方程式を利用している。例えば、ｘ１，…，ｘｎに関する多次多変数連立方程式Ｆ（ｘ１，…，ｘｎ）＝ｙと線形変換Ａ及びＢが用意され、線形変換Ａ及びＢが秘密に管理される。この場合、多次多変数連立方程式Ｆ、線形変換Ａ及びＢがトラップドアとなる。
　トラップドアＦ，Ａ，Ｂを知っているエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ'を解くことができる。一方、トラップドアＦ，Ａ，Ｂを知らないエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ'を解くことができない。この仕組みを利用することにより、多次多変数連立方程式の解答困難性を安全性の根拠とする公開鍵認証方式や電子署名方式が実現される。
　上記の通り、こうした公開鍵認証方式や電子署名方式を実現するには、Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙを満たすような特殊な多次多変数連立方程式を用意する必要がある。また、署名生成時に多次多変数連立方程式Ｆを解く必要がある。そのため、利用可能な多次多変数連立方程式Ｆは、比較的容易に解けるものに限られていた。すなわち、これまでの方式においては、比較的容易に解ける３つの関数（トラップドア）Ｂ、Ｆ、Ａを合成した形の多次多変数連立方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙしか用いることができず、十分な安全性を確保することが難しかった。
　本技術は、上記の事情に鑑みて、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて高い安全性を有する効率的な電子署名方式の署名検証を少ないメモリで実現することが可能な、新規かつ改良された署名検証装置、署名検証方法、プログラム、及び記録媒体の提供を意図して考案されたものである。
　本技術のある観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得部と、前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証部と、を備え、前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記署名取得部は、前記第２の情報を所定数ずつ取得し、前記署名検証部は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、署名検証装置が提供される。
　また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得するステップと、前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証するステップと、を含み、前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記取得するステップでは、前記第２の情報を所定数ずつ取得し、前記検証するステップでは、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、署名検証方法が提供される。
　また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得機能と、前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証機能と、をコンピュータに実現させるためのプログラムであり、
　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記署名取得機能は、前記第２の情報を所定数ずつ取得し、前記署名検証機能は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、プログラムが提供される。
　また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得機能と、前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証機能と、をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記署名取得機能は、前記第２の情報を所定数ずつ取得し、前記署名検証機能は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、記録媒体が提供される。
　以上説明したように本技術によれば、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて高い安全性を有する効率的な電子署名方式の署名検証を少ないメモリで実現することが可能になる。
公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。 電子署名方式に係るアルゴリズムの構成について説明するための説明図である。 ｎパスの公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムについて説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの構成例について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 ハッシュ関数の構造例について説明するための説明図である。 ３パス方式に基づく電子署名方式に係る署名検証方法（通常の実装方法）について説明するための説明図である。 ３パス方式に基づく電子署名方式に係る署名検証方法（メモリ削減方法）について説明するための説明図である。 ５パス方式に基づく電子署名方式に係る署名検証方法（通常の実装方法）について説明するための説明図である。 ５パス方式に基づく電子署名方式に係る署名検証方法（メモリ削減方法）について説明するための説明図である。 ２進乱数から３進乱数を抽出する方法（抽出方法＃１）について説明するための説明図である。 ２進乱数から３進乱数を抽出する方法（抽出方法＃２）について説明するための説明図である。 ２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。 ２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。 ２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。 多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。 多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃２）について説明するための説明図である。 本技術の各実施形態に係るアルゴリズムを実行することが可能な情報処理装置のハードウェア構成例について説明するための説明図である。
　以下に添付図面を参照しながら、本技術の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
　［説明の流れについて］
　ここで、以下に記載する本技術の実施形態に関する説明の流れについて簡単に述べる。まず、図１を参照しながら、公開鍵認証方式のアルゴリズム構成について説明する。次いで、図２を参照しながら、電子署名方式のアルゴリズム構成について説明する。次いで、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。
　次いで、図４及び図５を参照しながら、３パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図６及び図７を参照しながら、５パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図８及び図９を参照しながら、３パス及び５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明する。
　次いで、図１０～図１４を参照しながら、本実施形態に係る電子署名方式のアルゴリズムを実行する際に署名検証に要するメモリ量を削減する方法について説明する。次いで、図１５～図１９を参照しながら、２進乱数から３進乱数を効率的に抽出する方法について説明する。次いで、図２０及び図２１を参照しながら、多変数多項式の係数を効率的に代入する方法について説明する。次いで、図２２を参照しながら、本技術の実施形態に係る各アルゴリズムを実現することが可能な情報処理装置のハードウェア構成例について説明する。最後に、本実施形態の技術的思想について纏め、当該技術的思想から得られる作用効果について簡単に説明する。
　（説明項目）
　１：はじめに
　　　１－１：公開鍵認証方式のアルゴリズム
　　　１－２：電子署名方式のアルゴリズム
　　　１－３：ｎパスの公開鍵認証方式
　２：３パスの公開鍵認証方式に係るアルゴリズムの構成
　　　２－１：具体的なアルゴリズムの構成例
　　　２－２：並列化アルゴリズムの構成例
　３：５パスの公開鍵認証方式に係るアルゴリズムの構成
　　　３－１：具体的なアルゴリズムの構成例
　　　３－２：並列化アルゴリズムの構成例
　４：電子署名方式への変形
　　　４－１：３パスの公開鍵認証方式から電子署名方式への変形
　　　４－２：５パスの公開鍵認証方式から電子署名方式への変形
　５：署名検証に要するメモリ量の削減方法について
　　　５－１：ハッシュ関数の構造について
　　　５－２：３パス方式に基づく電子署名方式への適用例
　　　５－３：５パス方式に基づく電子署名方式への適用例
　６：２進数の乱数列から３進数の乱数列を抽出する方法について
　　　６－１：抽出方法＃１（２ビット区切り）
　　　６－２：抽出方法＃２（区切りなし）
　　　６－３：抽出方法＃３（ｋビット区切り）
　　　　　６－３－１：基本構成
　　　　　６－３－２：追加抽出方法
　７：多変数多項式の係数を効率的に代入する方法について
　　　７－１：基本的な取り決め
　　　７－２：データの構造化
　　　　　７－２－１：構造化手法＃１
　　　　　７－２－２：構造化手法＃２
　　　　　７－２－３：構造化手法＃３
　８：ハードウェア構成例
　９：まとめ
　＜１：はじめに＞
　本実施形態は、多次多変数連立方程式に対する求解問題の困難性に安全性の根拠をおく公開鍵認証方式及び電子署名方式に関する。但し、本実施形態は、ＨＦＥ電子署名方式などの従来手法とは異なり、効率的に解く手段（トラップドア）を持たない多次多変数連立方程式を利用する公開鍵認証方式及び電子署名方式に関する。まず、公開鍵認証方式のアルゴリズム、電子署名方式のアルゴリズム、及びｎパスの公開鍵認証方式について、その概要を簡単に説明する。
　［１－１：公開鍵認証方式のアルゴリズム］
　まず、図１を参照しながら、公開鍵認証方式のアルゴリズムについて概要を説明する。図１は、公開鍵認証方式のアルゴリズムについて概要を説明するための説明図である。
　公開鍵認証は、ある人（証明者）が、公開鍵ｐｋ及び秘密鍵ｓｋを利用して、他の人（検証者）に本人であることを納得させるために利用される。例えば、証明者Ａの公開鍵ｐｋＡは、検証者Ｂに公開される。一方、証明者Ａの秘密鍵ｓｋＡは、証明者Ａにより秘密に管理される。公開鍵認証の仕組みにおいては、公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知る者が証明者Ａ本人であるとみなされる。
　公開鍵認証の仕組みを利用して証明者Ａが証明者Ａ本人であることを検証者Ｂに証明するには、対話プロトコルを介して、証明者Ａが公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知っているという証拠を検証者Ｂに提示すればよい。そして、証明者Ａが秘密鍵ｓｋＡを知っているという証拠が検証者Ｂに提示され、その証拠を検証者Ｂが確認し終えた場合、証明者Ａの正当性（本人であること）が証明されたことになる。
　但し、公開鍵認証の仕組みには、安全性を担保するために以下の条件が求められる。
　１つ目の条件は、「対話プロトコルを実行した際に秘密鍵ｓｋを持たない偽証者により偽証が成立してしまう確率を限りなく小さくする」ことである。この１つ目の条件が成り立つことを「健全性」と呼ぶ。つまり、健全性とは、「秘密鍵ｓｋを持たない偽証者により、対話プロトコルの実行中に無視できない確率で偽証が成立することはないこと」と言い換えられる。２つ目の条件は、「対話プロトコルを実行したとしても、証明者Ａが有する秘密鍵ｓｋＡの情報が検証者Ｂに一切漏れることがない」ことである。この２つ目の条件が成り立つことを「零知識性」と呼ぶ。
　安全に公開鍵認証を行うには、健全性及び零知識性を有する対話プロトコルを利用する必要がある。仮に、健全性及び零知識性を有しない対話プロトコルを用いて認証処理を行った場合には、偽証された可能性及び秘密鍵の情報が漏れてしまった可能性が否定できないため、処理自体が成功裡に完了しても証明者の正当性を証明したことにはならない。従って、対話プロトコルの健全性及び零知識性を如何に保証するかが重要になる。
　（モデル）
　公開鍵認証方式のモデルには、図１に示すように、証明者と検証者という２つのエンティティが存在する。証明者は、鍵生成アルゴリズムＧｅｎを用いて、証明者固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成する。次いで、証明者は、鍵生成アルゴリズムＧｅｎを用いて生成した秘密鍵ｓｋと公開鍵ｐｋの組を利用して検証者と対話プロトコルを実行する。このとき、証明者は、証明者アルゴリズムＰを利用して対話プロトコルを実行する。上記の通り、証明者は、証明者アルゴリズムＰを利用し、対話プロトコルの中で秘密鍵ｓｋを保有している証拠を検証者に提示する。
　一方、検証者は、検証者アルゴリズムＶを利用して対話プロトコルを実行し、証明者が公開している公開鍵に対応する秘密鍵を、その証明者が保有しているか否かを検証する。つまり、検証者は、証明者が公開鍵に対応する秘密鍵を保有しているか否かを検証するエンティティである。このように、公開鍵認証方式のモデルは、証明者と検証者という２つのエンティティ、及び、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶという３つのアルゴリズムにより構成される。
　なお、以下の説明において、「証明者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰを実行する主体は、「証明者」のエンティティに対応する情報処理装置である。同様に、検証者アルゴリズムＶを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図１０に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、証明者により利用される。鍵生成アルゴリズムＧｅｎは、証明者に固有の秘密鍵ｓｋと公開鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは公開される。そして、公開された公開鍵ｐｋは、検証者により利用される。一方、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者が秘密に管理する。そして、証明者により秘密に管理される秘密鍵ｓｋは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するために利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（１）のように表現される。
Figure JPOXMLDOC01-appb-M000001
 　　　（１）
　（証明者アルゴリズムＰ）
　証明者アルゴリズムＰは、証明者により利用される。証明者アルゴリズムＰは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するためのアルゴリズムである。つまり、証明者アルゴリズムＰは、秘密鍵ｓｋと公開鍵ｐｋとを入力とし、対話プロトコルを実行するアルゴリズムである。
　（検証者アルゴリズムＶ）
　検証者アルゴリズムＶは、検証者により利用される。検証者アルゴリズムＶは、対話プロトコルの中で、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有しているか否かを検証するアルゴリズムである。検証者アルゴリズムＶは、公開鍵ｐｋを入力とし、対話プロトコルの実行結果に応じて０又は１（１ｂｉｔ）を出力するアルゴリズムである。なお、検証者は、検証者アルゴリズムＶが０を出力した場合には証明者が不正なものであると判断し、１を出力した場合には証明者が正当なものであると判断する。形式的に、検証者アルゴリズムＶは、下記の式（２）のように表現される。
Figure JPOXMLDOC01-appb-M000002
 　…（２）
　上記の通り、意味のある公開鍵認証を実現するには、対話プロトコルが健全性及び零知識性という２つの条件を満たしている必要がある。しかし、証明者が秘密鍵ｓｋを保有していることを証明するためには、証明者が秘密鍵ｓｋに依存した手続きを実行し、その結果を検証者に通知した上で、その通知内容に基づく検証を検証者に実行させる必要がある。秘密鍵ｓｋに依存した手続きを実行するのは、健全性を担保するために必要である。一方で、秘密鍵ｓｋの情報が一切検証者に漏れないようにする必要がある。そのため、これらの要件を満たすように、上記の鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶを巧妙に設計する必要がある。
　以上、公開鍵認証方式のアルゴリズムについて、その概要を説明した。
　［１－２：電子署名方式のアルゴリズム］
　次に、図２を参照しながら、電子署名方式のアルゴリズムについて概要を説明する。図２は、電子署名方式のアルゴリズムについて概要を説明するための説明図である。
　紙文書とは異なり、ある電子化されたデータに対して押印したり署名を記載したりすることはできない。そのため、電子化されたデータの作成者を証明するためには、紙文書に押印したり署名を記載したりするのと同等の効果が得られる電子的な仕組みを必要とする。この仕組みが電子署名である。電子署名とは、データの作成者しか知らない署名データをデータに関連付けて受領者に提供し、その署名データを受領者側で検証する仕組みのことを言う。
　（モデル）
　電子署名方式のモデルには、図２に示すように、署名者及び検証者という２つのエンティティが存在する。そして、電子署名方式のモデルは、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒという３つのアルゴリズムにより構成される。
　署名者は、鍵生成アルゴリズムＧｅｎを利用して署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成する。また、署名者は、署名生成アルゴリズムＳｉｇを利用して文書Ｍに付与する電子署名σを生成する。つまり、署名者は、文書Ｍに電子署名を付与するエンティティである。一方、検証者は、署名検証アルゴリズムＶｅｒを利用して文書Ｍに付与された電子署名σを検証する。つまり、検証者は、文書Ｍの作成者が署名者であるか否かを確認するために、電子署名σを検証するエンティティである。
　なお、以下の説明において、「署名者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇを実行する主体は、「署名者」のエンティティに対応する情報処理装置である。同様に、署名検証アルゴリズムＶｅｒを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図１０に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、署名者により利用される。鍵生成アルゴリズムＧｅｎは、署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された検証鍵ｐｋは公開される。一方、鍵生成アルゴリズムＧｅｎにより生成された署名鍵ｓｋは、署名者により秘密に管理される。そして、署名鍵ｓｋは、文書Ｍに付与される電子署名σの生成に利用される。例えば、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、署名鍵ｓｋ及び公開鍵ｐｋを出力する。この場合、鍵生成アルゴリズムＧｅｎは、形式的に、下記の式（３）のように表現することができる。
Figure JPOXMLDOC01-appb-M000003
 　…（３）
 
　（署名生成アルゴリズムＳｉｇ）
　署名生成アルゴリズムＳｉｇは、署名者により利用される。署名生成アルゴリズムＳｉｇは、文書Ｍに付与される電子署名σを生成するアルゴリズムである。署名生成アルゴリズムＳｉｇは、署名鍵ｓｋと文書Ｍとを入力とし、電子署名σを出力するアルゴリズムである。この署名生成アルゴリズムＳｉｇは、形式的に、下記の式（４）のように表現することができる。
Figure JPOXMLDOC01-appb-M000004
 　…（４）
 
　（署名検証アルゴリズムＶｅｒ）
　署名検証アルゴリズムＶｅｒは、検証者により利用される。署名検証アルゴリズムＶｅｒは、電子署名σが文書Ｍに対する正当な電子署名であるか否かを検証するアルゴリズムである。署名検証アルゴリズムＶｅｒは、署名者の検証鍵ｐｋ、文書Ｍ、電子署名σを入力とし、０又は１（１ｂｉｔ）を出力するアルゴリズムである。この署名検証アルゴリズムＶｅｒは、形式的に、下記の式（５）のように表現することができる。なお、検証者は、署名検証アルゴリズムＶｅｒが０を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを拒否する場合）に電子署名σが不当であると判断し、１を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを受理する場合）に電子署名σが正当であると判断する。
Figure JPOXMLDOC01-appb-M000005
 　…（５）
 
　以上、電子署名方式のアルゴリズムについて、その概要を説明した。
　［１－３：ｎパスの公開鍵認証方式］
　次に、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。図３は、ｎパスの公開鍵認証方式について説明するための説明図である。
　上記の通り、公開鍵認証方式は、対話プロトコルの中で、証明者が公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを検証者に証明する認証方式である。また、対話プロトコルは、健全性及び零知識性という２つの条件を満たす必要がある。そのため、対話プロトコルの中では、図３に示すように、証明者及び検証者の双方がそれぞれ処理を実行しながらｎ回の情報交換を行う。
　ｎパスの公開鍵認証方式の場合、証明者アルゴリズムＰを用いて証明者により処理（工程＃１）が実行され、情報Ｔ１が検証者に送信される。次いで、検証者アルゴリズムＶを用いて検証者により処理（工程＃２）が実行され、情報Ｔ２が証明者に送信される。さらに、ｋ＝３～ｎについて処理の実行及び情報Ｔｋの送信が順次行われ、最後に処理（工程＃ｎ＋１）が実行される。このように、情報がｎ回送受信される方式のことを「ｎパス」の公開鍵認証方式と呼ぶ。
　以上、ｎパスの公開鍵認証方式について説明した。
　＜２：３パスの公開鍵認証方式に係るアルゴリズムの構成＞
　以下、３パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、３パスの公開鍵認証方式のことを「３パス方式」と呼ぶ場合がある。
　［２－１：具体的なアルゴリズムの構成例（図４）］
　まず、図４を参照しながら、３パス方式に係る具体的なアルゴリズムの構成例について紹介する。図４は、３パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆｉ（ｘ）は、下記の式（６）のように表現されるものとする。また、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。
Figure JPOXMLDOC01-appb-M000006
 　…（６）
　また、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））は、下記の式（７）のように表現することができる。また、Ａ１，…，Ａｍは、ｎ×ｎ行列である。さらに、ｂ１，…，ｂｍはそれぞれｎ×１ベクトルである。
Figure JPOXMLDOC01-appb-M000007
 　…（７）
 
　この表現を用いると、多変数多項式Ｆは、下記の式（８）及び式（９）のように表現することができる。この表現が成り立つことは、下記の式（１０）から容易に確認することができる。
Figure JPOXMLDOC01-appb-M000008
 　…（８）
 
Figure JPOXMLDOC01-appb-I000009
　…（９）
 
Figure JPOXMLDOC01-appb-I000010
　…（１０）
 
　このようにＦ（ｘ＋ｙ）をｘに依存する第１の部分と、ｙに依存する第２の部分と、ｘ及びｙの両方に依存する第３の部分とに分けたとき、第３の部分に対応する項Ｇ（ｘ，ｙ）は、ｘ及びｙについて双線形になる。以下、項Ｇ（ｘ，ｙ）を双線形項と呼ぶ場合がある。この性質を利用すると、効率的なアルゴリズムを構築することが可能になる。
　例えば、ベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ）のマスクに利用する多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と表現する。この場合、多変数多項式Ｆ（ｘ＋ｒ０）とＧ（ｘ）との和は、下記の式（１１）のように表現される。ここで、ｔ１＝ｒ０＋ｔ０、ｅ１＝Ｆ（ｒ０）＋ｅ０とおけば、多変数多項式Ｆ２（ｘ）＝Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）は、ベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。そのため、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０に設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズの少ない効率的なアルゴリズムを実現することが可能になる。
Figure JPOXMLDOC01-appb-M000011
 　…（１１）
 
　なお、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性が担保される。以下、上記の論理に基づいて構築された３パス方式のアルゴリズムについて説明する。ここで説明する３パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。
　（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
　以下、図４を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図４に示したフローチャートに沿って説明を進める。
　工程＃１：
　図４に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１←ｒ０－ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←Ｆ（ｒ０）－ｅ０を計算する。
　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ２←Ｈ（ｔ１，ｅ１）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１，ｃ２）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１，ｃ２）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｔ１，ｅ１）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ０，ｅ０）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ１，ｅ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃４：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ０－ｔ１，Ｆ（ｒ０）－ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｙ－Ｆ（ｒ１）－Ｇ（ｔ１，ｒ１）－ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、３パス方式に係る効率的なアルゴリズムの構成例について説明した。
　［２－２：並列化アルゴリズムの構成例（図５）］
　次に、図５を参照しながら、図４に示した３パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　さて、上記の対話プロトコルを適用すれば、偽証が成功する確率を２／３以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（２／３）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（２／３）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝１４０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
　対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、図５を参照しながら、３パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
　工程＃１：
　図５に示すように、まず、証明者アルゴリズムＰは、ｉ＝１～Ｎについて以下の処理（１）～処理（６）を実行する。
　処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
　処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１ｉ←ｒ０ｉ＋ｔ０ｉを計算する。
　処理（３）：証明者アルゴリズムＰは、ｅ１ｉ←Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。
　処理（４）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ１ｉ，Ｇ（ｒ１ｉ，ｔ０ｉ）＋ｅ０ｉ）を計算する。
　処理（５）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。
　処理（６）：証明者アルゴリズムＰは、ｃ２ｉ←Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。
　工程＃１（続き）
　ｉ＝１～Ｎについて上記の処理（１）～処理（６）を実行した後、証明者アルゴリズムＰは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。このように、メッセージ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）をハッシュ値に変換してから検証者アルゴリズムＶに送ることで、通信量を削減することが可能になる。
　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈｉに設定する。要求Ｃｈ１，…，ＣｈＮは、証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈ１，…，ＣｈＮを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈ１，…，ＣｈＮのそれぞれ応じて検証者アルゴリズムＶに送る返答Ｒｓｐ１，…，ＲｓｐＮを生成する。Ｃｈｉ＝０の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。Ｃｈｉ＝１の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を生成する。Ｃｈｉ＝２の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を生成する。
　工程＃３で生成された返答Ｒｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶに送られる。
　工程＃４：
　返答Ｒｓｐ１，…，ＲｓｐＮを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐ１，…，ＲｓｐＮを利用して以下の処理（１）～処理（３）をｉ＝１～Ｎについて実行する。但し、検証者アルゴリズムＶは、Ｃｈｉ＝０の場合に処理（１）を実行し、Ｃｈｉ＝１の場合に処理（２）を実行し、Ｃｈｉ＝２の場合に処理（３）を実行する。
　処理（１）：Ｃｈｉ＝０の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ０ｉ－ｔ１ｉ，Ｆ（ｒ０ｉ）－ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（２）：Ｃｈｉ＝１の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（３）：Ｃｈｉ＝２の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，ｙ－Ｆ（ｒ１ｉ）－Ｇ（ｔ１ｉ，ｒ１ｉ）－ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（１）～処理（３）をｉ＝１～Ｎについて実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗した場合に認証失敗を示す値０を出力する。
　以上、３パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。
　＜３：５パスの公開鍵認証方式に係るアルゴリズムの構成＞
　次に、５パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、５パスの公開鍵認証方式のことを「５パス方式」と呼ぶ場合がある。
　３パス方式の場合には対話プロトコル１回当たりの偽証確率が２／３であったが、５パス方式の場合には対話プロトコル１回当たりの偽証確率が１／２＋１／ｑとなる。但し、ｑは、利用する環の位数である。従って、環の位数が十分に大きい場合、５パス方式の方が１回当たりの偽証確率を低減することが可能になり、少ない対話プロトコルの実行回数で、偽証確率を十分に小さくすることができる。
　例えば、偽証確率を１／２ｎ以下にしたい場合、３パス方式においては、ｎ／（ｌｏｇ３－１）＝１．７０１ｎ回以上、対話プロトコルを実行する必要がある。一方、偽証確率を１／２ｎ以下にしたい場合、５パス方式においては、ｎ／（１－ｌｏｇ（１＋１／ｑ））回以上、対話プロトコルを実行する必要がある。従って、ｑ＝２４にすれば、同じセキュリティレベルを実現するのに必要な通信量は、３パス方式に比べ、５パス方式の方が少なくなるのである。
　［３－１：具体的なアルゴリズムの構成例（図６）］
　まず、図６を参照しながら、５パス方式に係る具体的なアルゴリズムの構成例について紹介する。図６は、５パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆｉ（ｘ）は、上記の式（６）のように表現されるものとする。また、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。
　３パス方式に係るアルゴリズムと同様、２つのベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ０）をマスクするために用いた多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ、ｔ０）＋ｅ０のように表現する。この表現を用いると、多変数多項式Ｆ（ｘ＋ｒ０）について、下記の式（１２）で表現される関係が得られる。
Figure JPOXMLDOC01-appb-M000012
 　…（１２）
 
　そのため、ｔ１＝ＣｈＡ・ｒ０＋ｔ０、ｅ１＝ＣｈＡ・Ｆ（ｒ０）＋ｅ０とすれば、マスク後の多変数多項式Ｆ２（ｘ）＝ＣｈＡ・Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）も、２つのベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。これらの理由から、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズが少ない効率的なアルゴリズムを実現することが可能になる。
　なお、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性は担保される。以下、上記の論理に基づいて構築された５パス方式のアルゴリズムについて説明する。ここで説明する５パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義される多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１，…，ｆｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、多変数多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））をＦ（ｘ）と表記する。
　（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
　以下、図６を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶにより実行される処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図６に示したフローチャートに沿って説明を進める。
　工程＃１：
　図６に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０∈Ｋｎ、ｔ０∈Ｋｎ、ｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ベクトルｒ０，ｔ０，ｅ０のハッシュ値ｃ０を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、Ｇ（ｔ０，ｒ１）＋ｅ０及びｒ１のハッシュ値ｃ１を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡを選択し、選択した数ＣｈＡを証明者アルゴリズムＰに送る。
　工程＃３：
　数ＣｈＡを受け取った証明者アルゴリズムＰは、ｔ１←ＣｈＡ・ｒ０－ｔ０を計算する。さらに、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）－ｅ０を計算する。そして、証明者アルゴリズムＰは、ｔ１及びｅ１を検証者アルゴリズムＶに送る。
　工程＃４：
　ｔ１及びｅ１を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｒ０←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，ＣｈＡ・ｒ０－ｔ１，ＣｈＡ・Ｆ（ｒ０）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｒ１←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ１＝Ｈ１（ｒ１，ＣｈＡ・（ｙ－Ｆ（ｒ１））－Ｇ（ｔ１，ｒ１）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る効率的なアルゴリズムの構成例について説明した。
　［３－２：並列化アルゴリズムの構成例（図７）］
　次に、図７を参照しながら、図６に示した５パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　先に述べた通り、５パス方式に係る対話プロトコルを適用すれば、偽証が成功する確率を（１／２＋１／ｑ）以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（１／２＋１／ｑ）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（１／２＋１／ｑ）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝８０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
　対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、５パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
　工程＃１：
　図７に示すように、まず、証明者アルゴリズムＰは、ｉ＝１～Ｎについて処理（１）～処理（４）を実行する。
　処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
　処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。
　処理（３）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。
　処理（４）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。
　ｉ＝１～Ｎについて処理（１）～処理（４）を実行した後、証明者アルゴリズムＰは、ハッシュ値Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を実行する。そして、工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。
　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡｉを選択し、選択した数ＣｈＡｉ（ｉ＝１～Ｎ）を証明者アルゴリズムＰに送る。
　工程＃３：
　数ＣｈＡｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ－ｔ０ｉを計算する。さらに、証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、ｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。次いで、証明者アルゴリズムＰは、ハッシュ値ｄ←Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を計算する。そして、証明者アルゴリズムＰは、ハッシュ値ｄを検証者アルゴリズムＶに送る。
　工程＃４：
　ハッシュ値ｄを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢｉに設定する。要求ＣｈＢｉ（ｉ＝１～Ｎ）は証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎについて、受け取った要求ＣｈＢｉに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐｉを生成する。ＣｈＢｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ）を生成する。ＣｈＢｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。工程＃５で生成された返答Ｒｓｐｉ（ｉ＝１～Ｎ）は、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐｉ（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐｉ（ｉ＝１～Ｎ）を利用して以下の処理（１）及び処理（２）を実行する。
　処理（１）：ＣｈＢｉ＝０の場合、検証者アルゴリズムＶは、（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ＋ｔ０ｉ、及びｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，ｅ１ｉ）を保持する。
　処理（２）：ＣｈＢｉ＝１の場合、検証者アルゴリズムＶは、（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ１ｉ，ＣｈＡｉ・（ｙ－Ｆ（ｒ１ｉ））－Ｇ（ｔ１ｉ，ｒ１ｉ）－ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，ｅ１ｉ）を保持する。
　ｉ＝１～Ｎについて処理（１）及び処理（２）を実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。
　＜４：電子署名方式への変形＞
　次に、上記の公開鍵認証方式を電子署名方式へと変形する方法を紹介する。
　公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが容易に理解されよう。こうした考えに基づき、上述した公開鍵認証方式を電子署名方式へと変形する方法について説明する。
　［４－１：３パスの公開鍵認証方式から電子署名方式への変形（図８）］
　まず、３パスの公開鍵認証方式から電子署名方式への変形について説明する。
　図８に示すように、３パス方式に係る効率的なアルゴリズム（例えば、図５を参照）は、３回の対話及び４つの工程＃１～工程＃４で表現される。
　工程＃１は、ｉ＝１～Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
　工程＃２は、Ｃｈ１，…，ＣｈＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈ１，…，ＣｈＮは、証明者アルゴリズムＰへと送られる。
　工程＃３は、Ｃｈ１，…，ＣｈＮ及びａ１，…，ａＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）と表現する。工程＃３で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
　工程＃４は、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを再生する処理（１）と、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する処理（２）とで構成される。
　上記の工程＃１～工程＃４で表現される公開鍵認証方式のアルゴリズムは、図８に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（５）で構成される。
　処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）を計算する。
　処理（５）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，Ｒｓｐ１，…，ＲｓｐＮ）を署名に設定する。
　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（３）で構成される。
　処理（１）：署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを生成する。
　処理（３）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する。
　以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
　［４－２：５パスの公開鍵認証方式から電子署名方式への変形（図９）］
　次に、５パスの公開鍵認証方式から電子署名方式への変形について説明する。
　図９に示すように、５パス方式に係る効率的なアルゴリズム（例えば、図７を参照）は、５回の対話及び６つの工程＃１～工程＃６で表現される。
　工程＃１は、ｉ＝１～Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
　工程＃２は、ＣｈＡ１，…，ＣｈＡＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈＡ１，…，ＣｈＡＮは、証明者アルゴリズムＰへと送られる。
　工程＃３は、ｉ＝１～Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する処理、及びｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を生成する処理で構成される。工程＃３で証明者アルゴリズムＰにより生成されたｄは、検証者アルゴリズムＶへと送られる。
　工程＃４は、ＣｈＢ１，…，ＣｈＢＮを選択する処理で構成される。工程＃４で検証者アルゴリズムＶにより選択されたＣｈＢ１，…，ＣｈＢＮは、証明者アルゴリズムＰへと送られる。
　工程＃５は、ＣｈＢ１，…，ＣｈＢＮ，ａ１，…，ａＮ，ｂ１，…，ｂＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）と表現する。工程＃５で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
　工程＃６は、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎを再生する処理と、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を検証する処理と、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を検証する処理とで構成される。
　上記の工程＃１～工程＃６で表現される公開鍵認証方式のアルゴリズムは、図９に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（７）で構成される。
　処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、ｉ＝１～Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する。さらに、署名生成アルゴリズムＳｉｇは、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を算出する。
　処理（５）：署名生成アルゴリズムＳｉｇは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。なお、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）と変形してもよい。
　処理（６）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）を計算する。
　処理（７）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，ｄ，Ｒｓｐ１，…，ＲｓｐＮ）を電子署名に設定する。
　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（４）で構成される。
　処理（１）：署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。なお、署名検証アルゴリズムＶｅｒが実行する処理（５）において、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）と変形した場合、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。
　処理（３）：署名検証アルゴリズムＶｅｒは、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ，ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを生成する。
　処理（４）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）及びｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ，）を検証する。
　以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
　＜５：署名検証に要するメモリ量の削減方法について＞
　ところで、上述した電子署名方式のアルゴリズムにおいては、署名検証アルゴリズムＶｅｒが電子署名全体を受信した後で署名検証の処理を実行していた。しかし、上述した電子署名方式の場合、電子署名のデータサイズが比較的大きい。そのため、ＲＦＩＤ（Ｒａｄｉｏ　Ｆｒｅｑｕｅｎｃｙ　ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）など、少ないメモリ容量しか持たないデバイスを用いて認証を行う場合には、メモリの空き容量や認証処理中のメモリ使用率などに気を配る必要があった。また、十分なメモリ容量を持たないデバイスを利用する場合、認証を行うことができない場合も想定される。そこで、本件発明者は、署名検証に要するメモリ量の削減方法を考案した。
　［５－１：ハッシュ関数の構造について（図１０）］
　まず、本件発明者は、ハッシュ関数の構造に注目した。多くの場合、ハッシュ関数は、入力をブロック単位に区切り、ブロック単位で順次処理を進める構造を有している。例えば、ＳＨＡ－１の場合、ハッシュ関数は、図１０に示すような構造を有している。図１０に示すハッシュ関数は、パディング済みの入力ＭをＺ個のブロックｍ１，…，ｍＺに区切り、インデックスｊをインクリメントしながら、逐次的に、ブロックｍｊを初期値ＩＶ又は中間値ＣＶｊと共に所定の関数ＣＦに作用させてハッシュ値を生成する。従って、中間値ＣＶｊが得られた時点で、それ以前に利用したブロックは不要になる。そこで、この特性を利用し、アルゴリズムの実行に必要なメモリ量を効果的に削減する仕組み（以下、メモリ削減方法）を考案した。以下、この仕組みを上述した電子署名方式に適用する方法について説明する。
　［５－２：３パス方式に基づく電子署名方式への適用例（図１２）］
　まず、図８に示した３パス方式に基づく電子署名方式のアルゴリズムに上記のメモリ削減方法を適用する方法について説明する。
　（通常の実装方法：図１１）
　通常、上述した電子署名方式に係る署名検証アルゴリズムＶｅｒは、図１１に示すように、電子署名を構成する（Ｃｍｔ，Ｒｓｐ１，…，ＲｓｐＮ）を１度に受信する（Ｓ１０１）。次いで、署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１０２）。次いで、署名検証アルゴリズムＶｅｒは、（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）←Ｒｅｐｒｏｄｕｃｅ（Ｃｈ１，…，ＣｈＮ；Ｒｓｐ１，…，ＲｓｐＮ）を実行する（Ｓ１０３）。次いで、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証し（Ｓ１０４）、署名検証に係る一連の処理を終了する。
　（メモリ削減方法：図１２）
　通常の実装方法の場合、図１１のステップＳ１０１のように、一度に電子署名を受信すると、ステップＳ１０３の処理が完了するまで（Ｒｓｐ１，…，ＲｓｐＮ）を保持しておくためのメモリが必要になる。しかし、図５のアルゴリズム構成から分かるように、ステップＳ１０３で実行する（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）の再生には（Ｃｈｉ；Ｒｓｐｉ）以外の情報を利用しない。また、図１０に示したハッシュ関数の構造を考慮すると、ステップＳ１０４において実行されるハッシュ関数の計算はブロック単位で分割して実行できることが分かる。そこで、署名検証に係る処理の構成を図１２に示すような構成に改良する。
　図１２に示す構成の場合、署名検証アルゴリズムＶｅｒは、まず、電子署名に含まれるＣｍｔだけを受信する（Ｓ１１１）。次いで、署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１１２）。次いで、署名検証アルゴリズムＶｅｒは、ｉ＝１～Ｎについて、ｉをインクリメントさせながら逐次的にステップＳ１１３～Ｓ１１５の処理を実行する。
　ステップＳ１１３において、署名検証アルゴリズムＶｅｒは、Ｒｓｐｉを受信する（Ｓ１１３）。次いで、署名検証アルゴリズムＶｅｒは、受信したＲｓｐｉを用いて、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）←Ｒｅｐｒｏｄｕｃｅ（Ｃｈｉ；Ｒｓｐｉ）を実行する（Ｓ１１４）。ステップＳ１１４の処理を実行した後、Ｃｈｉ及びＲｓｐｉは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１１４の処理を実行後にＣｈｉ及びＲｓｐｉをメモリから消去する。
　次いで、署名検証アルゴリズムＶｅｒは、ｔｍｐｉ←Ｈｉ（ｔｍｐｉ－１；ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を実行する（Ｓ１１５）。なお、関数Ｈｉは、ハッシュ関数Ｈの内部でｃ０ｉ，ｃ１ｉ，ｃ２ｉまで計算した際に生成される中間値を出力する関数である。実際には選択したハッシュ関数に応じて関数Ｈｉの入力サイズは異なるため必要に応じて、ビットを付加するなどの適切な入力長の補正が行われる。関数Ｈｉを用いると、ハッシュ関数Ｈは、以下に示す処理（１）～処理（３）で構成されたアルゴリズムにより表現される。そして、ｔｍｐＮがハッシュ関数Ｈの最終的な出力（ハッシュ値）となる。実際にはハッシュ関数の仕様に応じて、最終処理においてパディングの追加処理を行う。
　処理（１）：ｔｍｐ０←空文字列
　処理（２）：
　ｆｏｒ　ｉ＝１　ｔｏ　Ｎ
　　　ｔｍｐｉ←Ｈｉ（ｔｍｐｉ－１；ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）
　ｅｎｄ　ｆｏｒ
　処理（３）：ｏｕｔｐｕｔ　ｔｍｐＮ
　ｉ＝１～Ｎについて、ステップＳ１１３～Ｓ１１５の処理を実行した後、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝ｔｍｐＮが成り立つか否かを検証し（Ｓ１１６）、署名検証に係る一連の処理を終了する。上記のように、署名検証アルゴリズムＶｅｒは、ステップＳ１１３～Ｓ１１５の処理を繰り返し実行する過程で不要になった情報をメモリかた消去する。そのため、署名検証に要するメモリ量は最小限に抑えられる。その結果、少ないメモリ容量しか持たないデバイスでも、上記の署名検証が可能になる。
　［５－３：５パス方式に基づく電子署名方式への適用例（図１４）］
　次に、図９に示した５パス方式に基づく電子署名方式のアルゴリズムに上記のメモリ削減方法を適用する方法について説明する。
　（通常の実装方法：図１３）
　通常、上述した電子署名方式に係る署名検証アルゴリズムＶｅｒは、図１３に示すように、電子署名を構成する（Ｃｍｔ，ｄ，Ｒｓｐ１，…，ＲｓｐＮ）を１度に受信する（Ｓ１２１）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１２２）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を実行する（Ｓ１２３）。次いで、署名検証アルゴリズムＶｅｒは、（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｄ１１，e１１，…，ｄ１Ｎ，e１Ｎ）←Ｒｅｐｒｏｄｕｃｅ（ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ；Ｒｓｐ１，…，ＲｓｐＮ）を実行する（Ｓ１２４）。次いで、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）とｄ＝Ｈ(ｄ１１，e１１，…，ｄ１Ｎ，e１Ｎ)を検証し（Ｓ１２５）、署名検証に係る一連の処理を終了する。
　（メモリ削減方法：図１４）
　図１３のステップＳ１２１のように、一度に電子署名を受信すると、ステップＳ１２４の処理が完了するまで（Ｒｓｐ１，…，ＲｓｐＮ）を保持しておくためのメモリが必要になる。しかしながら、図７のアルゴリズム構成から分かるように、ステップＳ１２４で実行する（ｃ０ｉ，ｃ１ｉ，ｄ１ｉ，e１ｉ）の再生には（ＣｈＡｉ，ＣｈＢｉ；Ｒｓｐｉ）以外の情報を利用しない。また、図１０に示したハッシュ関数の構造を考慮すると、ステップＳ１２５において実行されるハッシュ関数の計算はブロック単位で分割して実行できることが分かる。そこで、署名検証に係る処理の構成を図１４に示すような構成に改良する。
　図１４に示す構成の場合、署名検証アルゴリズムＶｅｒは、まず、電子署名に含まれるＣｍｔだけを受信する（Ｓ１３１）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１３２）。
　次いで、署名検証アルゴリズムＶｅｒは、ｄを受信する（Ｓ１３３）。次いで、署名検証アルゴリズムＶｅｒは、受信したｄを用いて、（ＣｈB１，…，ＣｈBＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を実行する（Ｓ１３４）。ステップＳ１３４の処理を実行した後、ｄは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１３４の処理を実行後にｄをメモリから消去する。次いで、署名検証アルゴリズムＶｅｒは、ｉ＝１～Ｎについて、ｉをインクリメントさせながら逐次的にステップＳ１３５～Ｓ１３７の処理を実行する。
　ステップＳ１３５において、署名検証アルゴリズムＶｅｒは、Ｒｓｐｉを受信する（Ｓ１３５）。次いで、署名検証アルゴリズムＶｅｒは、受信したＲｓｐｉを用いて、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，e１ｉ）←Ｒｅｐｒｏｄｕｃｅ（ＣｈＡｉ，ＣｈＢｉ，Ｒｓｐｉ）を実行する（Ｓ１３６）。ステップＳ１３６の処理を実行した後、ＣｈＡｉ、ＣｈＢｉ及びＲｓｐｉは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１３６の処理を実行後にＣｈＡｉ、ＣｈＢｉ及びＲｓｐｉをメモリから消去する。
　次いで、署名検証アルゴリズムＶｅｒは、ｔｍｐｉ←Ｈｉ（ｔｍｐｉ－１；ｃ０ｉ，ｃ１ｉ）とｔｍｐｉ'←Ｈｉ（ｔｍｐｉ－１'；ｔ１ｉ，e１ｉ）を実行する（Ｓ１３７）。ｉ＝１～Ｎについて、ステップＳ１３５～Ｓ１３７の処理を実行した後、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝ｔｍｐＮとｄ＝ｔｍｐＮ'が成り立つか否かを検証し（Ｓ１３８）、署名検証に係る一連の処理を終了する。上記のように、署名検証アルゴリズムＶｅｒは、ステップＳ１３５～Ｓ１３７の処理を繰り返し実行する過程で不要になった情報をメモリから消去する。そのため、署名検証に要するメモリ量は最小限に抑えられる。その結果、少ないメモリ容量しか持たないデバイスでも、上記の署名検証が可能になる。
　以上、署名検証に要するメモリ量の削減方法について説明した。
　＜６：２進数の乱数列から３進数の乱数列を抽出する方法について＞
　ところで、３パス方式に基づく公開鍵認証方式のアルゴリズムにおいて、３進数の一様乱数をＮ個以上生成する場面が存在する。しかし、３進数の一様乱数を生成する優れた乱数生成器は一般的ではない。そのため、２進数の一様乱数を生成する優れた乱数生成器を用いて３進数の一様乱数を生成する方法を考える必要がある。そこで、本件発明者は、２進数の一様乱数から３進数の一様乱数を効率的に生成する方法を考案した。以下、この方法について詳細に説明する。なお、以下の説明において、ｌ進表現（ｌは２又は３）で表された１つの数を１シンボルと数えることにする。
　［６－１：抽出方法＃１（２ビット区切り）（図１５）］
　まず、図１５を参照しながら、Ｍビットの２進数を２ビットずつ区切って３進数を抽出する方法（以下、抽出方法＃１）を紹介する。図１５に示すように、２進表現の乱数列を２ビットずつ区切ると、Ｍ／２個の２ビットの乱数が得られる。例えば、「００」を３進数の「０」、「０１」を３進数の「１」、「１０」を３進数の「２」に対応付けると、２ビット単位の２進表現の乱数列から３進数の乱数列を得ることができる。但し、２ビットの値「１１」は除外する。つまり、抽出方法＃１は、２進数２シンボルで表現される２２通りの数の中から、３進数１シンボルで表現される３１通りの数を抽出する方法である。従って、Ｎ個以上の３進数が抽出できない確率Ｐ１は、下記の式（１３）のようになる。
Figure JPOXMLDOC01-appb-M000013
 　…（１３）
 
　［６－２：抽出方法＃２（区切りなし）（図１６）］
　次に、図１６を参照しながら、２進数Ｍシンボルの乱数を区切らずに利用して３進数Ｌシンボルの乱数を抽出する方法（以下、抽出方法＃２）を紹介する。但し、Ｌは、３Ｌ≦２Ｍとなる最大の整数である。２進数Ｍシンボルで表現可能な数は、２Ｍ通り存在する。一方、３進数Ｌシンボルで表現可能な数は、３Ｌ通りしか存在しない。そのため、２進数Ｍシンボルで表現される２Ｍ通りの数のうち、２Ｍ－３Ｌ通りの数は、３進表現の乱数として利用されない。従って、Ｎ個以上の３進数が抽出できない確率Ｐ２は、下記の式（１４）のようになる。
Figure JPOXMLDOC01-appb-M000014
 　…（１４）
 
　［６－３：抽出方法＃３（ｋビット区切り）（図１７）］
　上記の抽出方法＃１は、最小の区切り単位で２進表現の乱数列を区切る方法である。一方、上記の抽出方法＃２は、（Ｍビット区切りと考えられるため）最大の区切り単位で２進表現の乱数列を区切る方法である。上記の式（１３）及び式（１４）から分かるように、区切る長さに応じて、Ｎ個以上の３進数が抽出できない確率は異なる。因みに、図１７に示すように、ｋビット単位で２進Ｍシンボルの乱数列を区切った場合、Ｎ個以上の３進数が抽出できない確率Ｐ３は、下記の式（１５）のようになる。
Figure JPOXMLDOC01-appb-M000015
 　…（１５）
 
　Ｎ個以上の３進数が抽出できない確率Ｐ３を最小化することができれば、最も効率よく３進表現の乱数列を抽出できることになる。例えば、Ｍ＝５１２、Ｎ＝１４０の場合、ｋ＝８のときに確率Ｐ３が最小となる。
　（６－３－１：基本構成（図１８））
　ここで、図１８を参照しながら、２進Ｍシンボルの乱数列から３進Ｌシンボルの乱数列を抽出する処理の流れについて説明する。図１８に示すように、まず、２進Ｍシンボルの乱数列が生成される（Ｓ２０１）。次いで、２進Ｍシンボルの乱数列が、ｋビット単位に区切られる（Ｓ２０２）。次いで、ｋビット単位で区切られたビット列Ｘ２ｋのうち、Ｘ２ｋ≦３Ｌとなるビット列が抽出される（Ｓ２０３）。次いで、抽出されたビット列が、３進数表現で出力され（Ｓ２０４）、一連の処理が終了する。
　（６－３－２：追加抽出方法（図１９））
　上記の式（１５）で表現される確率Ｐ３が最小となる区切りの長さｋを算出し、図１８に示したアルゴリズムを実行することにより、２進表現の乱数列から３進表現の乱数列を効率的に抽出することが可能になる。しかし、本件発明者は、図１８のステップＳ２０４においてＸ２ｋ＞３Ｌとなるビット列が利用されない点に注目し、３進表現の乱数列をより効率的に抽出する方法を考案した。以下、この方法について、図１９を参照しながら説明する。
　この方法は、図１８のステップＳ２０４で抽出されなかったビット列を利用して、３進表現のシンボル列を抽出する方法である。図１９に示すように、まず、図１８のステップＳ２０４で抽出されなかった、Ｘ２ｋ＞３Ｌとなるビット列の組（例えば、ビット列の組をｙ１ｙ２…ｙＮ'と表現すると、個々のビット列ｙｉは３Ｌ≦ｙｉ＜２ｋ）が抽出される（Ｓ２１１）。次いで、抽出したビット列ｙｉからそれぞれ３Ｌが減算され、新たなビット列の組（例えば、新たなビット列の組をｚ１ｚ２…ｚＮ'と表現すると、個々のビット列ｚｉ＝ｙｉ－３Ｌは０≦ｚｉ＜２ｋ－３Ｌ）が算出される（Ｓ２１２）。
　次いで、新たなビット列の組から、ビット列ＸがＸ＜３Ｌ'となるものが抽出される（Ｓ２１３）。但し、Ｌ'は、３Ｌ'≦２ｋ－３Ｌとなる最大の整数である。次いで、ステップＳ２１３で抽出されたビット列が３進表現で出力され（Ｓ２１４）、一連の処理が終了する。このアルゴリズムを適用することにより、確率３Ｌ'／（２ｋ－３Ｌ）で新たにＬ'個の３進数を抽出することが可能になる。なお、この方法を再帰的に用いることで、さらに多くの３進数を抽出することができる。つまり、ステップＳ２１３でビット列ＸがＸ≧３Ｌ'となったビット列から同様にして３進数を抽出することができる。
　以上、２進数の一様乱数から３進数の一様乱数を効率的に生成する方法について説明した。
　＜７：多変数多項式の係数を効率的に代入する方法について＞
　さて、これまでは多変数多項式を証明者（又は署名者）と検証者との間で共有する方法について具体的に明示してこなかった。多変数多項式を共有する方法としては、多変数多項式の係数（乱数）を生成する際に用いるシードを両者で共有する方法が考えられる。しかしながら、共有しているシードを利用して生成した乱数を係数に当てはめる順序を両者で共有しない限り、多変数多項式を共有したことにはならない。
　［７－１：基本的な取り決め］
　そこで、証明者（又は署名者）と検証者との間で、共有しているシードを用いて生成した乱数列を、どの順序で多変数多項式に当てはめるかについて基本的な取り決めを行う。そして、多変数多項式を利用する際に、この基本的な取り決めに従って乱数列を多変数多項式に当てはめる。このような方法を用いれば、証明者（又は署名者）と検証者との間で多変数多項式を共有したことになる。
　［７－２：データの構造化］
　但し、多変数多項式を構成する係数の数は膨大である。１つの係数が１ビット単位で表現されている場合、多変数多項式を表現するのに最低でも数万ビット以上のデータが必要になる。そのため、数を多変数多項式の係数に代入する処理の負荷は非常に高い。そこで、本件発明者は、多変数多項式の係数を所定の単位で構造化し、係数への代入処理を効率化する手法（構造化手法＃１及び＃２）を考案した。さらに、本件発明者は、同じ多変数多項式の係数に対して複数回の代入処理を実行する場合に、その処理効率を向上させる手法（構造化手法＃３）を考案した。以下、これらの手法について詳細に説明する。
　（７－２－１：構造化手法＃１（図２０））
　まず、構造化手法＃１について説明する。構造化手法＃１は、図２０に示すように、多変数多項式を構成する同じ種類の項の係数を１つのデータ構造として纏める手法である。図２０の例では、係数ａ１ＩＪ～ａｍＩＪがデータ構造Ａとして纏められ、係数ｂ１Ｉ～ｂｍＩがデータ構造Ｂとして纏められている。
　構造化手法＃１を適用しない場合、ｍ本のｎ変数多項式に対する係数の代入は、次のようなアルゴリズム（例１）により行われる。例１の場合、１ビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ－１）×Ｍ／２回実行する必要がある。さらに、１ビットのＸＯＲ演算（＾）をＮ×（Ｎ－１）×Ｍ／２回実行する必要がある。
　（例１）
　ｆｏｒ　Ｌ＝１　ｔｏ　Ｍ
　　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
　　　　［ｆのＬビット目］＾＝［ａＩＪＬ］＆［ｘのＩビット目］＆［ｘのＪビット目］；
　　　ｅｎｄ　ｆｏｒ
　　ｅｎｄ　ｆｏｒ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｆ；
　一方、図２０に示すように係数を構造化し、生成した乱数を多変数多項式の係数として一部ずつ逐次適用していく場合、係数の代入アルゴリズムは（例２）のようになる。例２の場合、ＬビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ－１）／２回、ＭビットのＸＯＲ演算（＾）をＮ×（Ｎ－１）／２回実行するだけで済む。なお、ａＩＪ（１～Ｍ）は、それぞれループのタイミングで生成される。また、係数を使い回してもよい。例えば、Ｎ（Ｎ－１）／２回のループを実行する際、［ａＩＪ（１～Ｍ）］を毎回生成せず、Ｌ回に１回だけ生成するようにしてもよい。また、Ｍ回のループ中、［ａＩＪ（１～Ｍ）］を１ビットずつローテーションしながら利用してもよい。
　（例２）
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
　　　　［ｆの１～Ｍビット目］＾＝［ａＩＪ（１～Ｍ）］＆［ｘのＩビット目］＆［ｘのＪビット目］；
　　　ｅｎｄ　ｆｏｒ
　　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｆ；
　また、図２０に示すように係数を構造化し、多変数多項式の係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、係数の代入アルゴリズムは（例３）のようになる。なお、配列ａＩＪ［０］［０］～ａＩＪ［２ｋ－１］［２ｋ－１］には、それぞれ、ａＩＪ［ｘ１，…，ｘｋ］［ｚ１，…，ｚｋ］＝（ａ（ｋ（Ｉ－１）＋１）（ｋ（Ｊ－１）＋１）＆ｘ１＆ｚ１）＾…＾（ａ（ｋ（Ｉ－１）＋１）（ｋ（Ｊ－１）＋ｋ）＆ｘ１＆ｚｋ）＾…＾（ａ（ｋ（Ｉ－１）＋ｋ）（ｋ（Ｊ－１）＋１）＆ｘｋ＆ｚ１）＾…＾（ａ（ｋ（Ｉ－１）＋ｋ）（ｋ（Ｊ－１）＋ｋ）＆ｘｋ＆ｚｋ）が格納されている。例３の場合、ＬビットのＸＯＲ演算（＾）を（Ｎ／ｋ）（Ｎ／ｋ－１）／２回実行するだけで済む。但し、（例２）のアルゴリズムに比べると、必要なメモリ量は、２２ｋ／ｋ２倍となる。
　例えば、ｋ＝１のとき、ＬビットＸＯＲ演算が１２０＊１１９／２＝７１４０回、必要なメモリ量が（例２）の２２＝４倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＬビットＸＯＲ演算が６０＊５９／２＝１７７０回、必要なメモリ量が２４／４＝４倍、ループ回数が１／４となる。ｋ＝４のとき、ＬビットＸＯＲ演算が３０＊２９／２＝４３５回、必要なメモリ量が２８／４２＝１６倍、ループ回数が１／１６．４となる。ｋ＝６のとき、ＬビットＸＯＲ演算が２０＊１９／２＝１９０回、必要なメモリ量が２１２／６２＝１１４倍、ループ回数が１／３７．６となる。ｋ＝８のとき、ＬビットＸＯＲ演算が１５＊１４／２＝１３５回、必要なメモリが２１６／８２＝１０２４倍、ループ回数が１／５２．９となる。
　（例３）
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ／ｋ
　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ／ｋ
　　　［ｆの１～Ｍビット目］＾＝ａＩＪ（１～Ｍ）［ｘのｋ（Ｉ－１）＋１～ｋビット目］［ｘのｋ（Ｊ－１）＋１～ｋビット目］；
　　　ｅｎｄ　ｆｏｒ
　　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｆ；
　以上、構造化手法＃１に係る具体的な係数の代入アルゴリズムについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
　（７－２－２：構造化手法＃２（図２１））
　次に、構造化手法＃２について説明する。構造化手法＃２は、図２１に示すように、多変数多項式を２次形式で表現し、２次形式の行又は列を１つのデータ構造として纏める手法である。図２１の例では、行方向にデータ構造が纏められている。
　図２１に示すように係数を構造化し、生成した乱数を多変数多項式の係数として一部ずつ逐次適用していく場合、係数の代入アルゴリズムは（例４）のようになる。例４の場合、ＮビットのＡＮＤ演算（＆）を（Ｎ＋１）×Ｍ回、ＮビットのＸＯＲ演算（＾）をＮ×Ｍ回、関数Ｑの演算をＭ回実行するだけで済む。
　（例４）
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　Ｔ＾＝ＡＩ＆［ｘのＩビット目］；
　ｅｎｄ　ｆｏｒ
　Ｔ＆＝ｘ；
　ｏｕｔｐｕｔ　Ｑ（Ｔ）；
　Ｑ（ｚ）｛
　　ｚ＝ｚ＾（ｚ＞＞１）；
　　ｚ＝ｚ＾（ｚ＞＞２）；
　　ｚ＝ｚ＾（ｚ＞＞４）；
　　ｚ＝ｚ＾（ｚ＞＞８）；
　　・・・
　　ｚ＝ｚ＾（ｚ＞＞２Ｌｏｇ（Ｎ））；
　　ｒｅｔｕｒｎ　ｚ＆１；
　｝
　また、図２１に示すように係数を構造化し、多変数多項式の係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、係数の代入アルゴリズムは（例５）のようになる。なお、配列ＡＩ［０］～ＡＩ［２ｋ－１］には、それぞれ、ＡＩ［ｘ１，…，ｘｋ］＝（Ａ（ｋ（Ｉ－１）＋１）＆ｘ１）＾…＾（Ａ（ｋ（Ｉ－１）＋ｋ）＆ｘｋ）が格納されている。例５の場合、ＮビットのＸＯＲ演算（＾）を（Ｎ／ｋ）×Ｍ、Ｎビットの関数Ｑの演算をＭ回実行するだけで済む。但し、（例４）のアルゴリズムに比べると、必要なメモリ量は、２ｋ／ｋ倍となる。
　例えば、ｋ＝１のとき、ＮビットＸＯＲ演算が１２０回、必要なメモリ量が（例４）の２倍、ループ回数は変化なしとなる。また、ｋ＝４のとき、ＮビットＸＯＲ演算が３０回、必要なメモリ量が２４／４＝４倍、ループ回数が１／４となる。ｋ＝８のとき、ＮビットＸＯＲ演算が１５回、必要なメモリが２８／８＝３２倍、ループ回数が１／８となる。ｋ＝１６のとき、ＮビットＸＯＲ演算が８回、必要なメモリが２１６／１６＝４０９６倍、ループ回数が１／１５となる。
　（例５）
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ／ｋ
　　Ｔ＾＝ＡＩ［ｘのｋ（Ｉ－１）＋１～ｋ（Ｉ－１）＋ｋビット目］；
　ｅｎｄ　ｆｏｒ
　Ｔ＆＝ｘ；
　ｏｕｔｐｕｔ　Ｑ（Ｔ）；
　以上、構造化手法＃２に係る具体的な係数の代入アルゴリズムについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
　（７－２－３：構造化手法＃３）
　次に、構造化手法＃３について説明する。構造化手法＃３は、同じ多変数多項式にＮ回（Ｎ≧２）代入処理を行なう場合に、乱数から多項式をＮ回生成して代入処理を行うのではなく、「係数を一部生成し、その部分に関するＮ回分の処理を行なう」部分を単位とする逐次的な処理をＮ回分並列して行なうという手法である。この手法を適用すると、乱数生成のコストが無視できない場合にＮ回分の処理全体でのスループットが改善される。
　例えば、図５に示したアルゴリズムでは、工程＃１において引数を更新しながら多変数多項式Ｆ及びＧの計算をＮ回繰り返し実行している。そこで、このような計算部分について、同じ係数を利用して繰り返し演算を行うように構成する。上記（例２）のアルゴリズムを用いて多変数多項式Ｆ（ｒ０ｉ）（ｉ＝１～Ｎ）を計算する場合、一度生成した［ａＩＪＬ］について、Ｎ個のｒ０ｉを全て適用した後で、次の［ａＩＪＬ］に関する処理を実行するように構成する。このように構成すると、同じ係数［ａＩＪＬ］をＮ回生成せずに済むようになる。
　以上、構造化手法＃３に係る具体的な係数の代入アルゴリズムについて説明した。かかる構成により、Ｎ回分の処理におけるトータルでのスループットが改善される。
　＜８：ハードウェア構成例（図２２）＞
　上記の各アルゴリズムは、例えば、図２２に示す情報処理装置のハードウェア構成を用いて実行することが可能である。つまり、当該各アルゴリズムの処理は、コンピュータプログラムを用いて図２２に示すハードウェアを制御することにより実現される。なお、このハードウェアの形態は任意であり、例えば、パーソナルコンピュータ、携帯電話、ＰＨＳ、ＰＤＡ等の携帯情報端末、ゲーム機、接触式又は非接触式のＩＣチップ、接触式又は非接触式のＩＣカード、又は種々の情報家電がこれに含まれる。但し、上記のＰＨＳは、Ｐｅｒｓｏｎａｌ　Ｈａｎｄｙ－ｐｈｏｎｅ　Ｓｙｓｔｅｍの略である。また、上記のＰＤＡは、Ｐｅｒｓｏｎａｌ　Ｄｉｇｉｔａｌ　Ａｓｓｉｓｔａｎｔの略である。
　図２２に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０と、を有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６と、を有する。但し、上記のＣＰＵは、Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略である。また、上記のＲＯＭは、Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙの略である。そして、上記のＲＡＭは、Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙの略である。
　ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータ等を格納する手段である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に適宜変化する各種パラメータ等が一時的又は永続的に格納される。
　これらの構成要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチ、及びレバー等が用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラ（以下、リモコン）が用いられることもある。
　出力部９１８としては、例えば、ＣＲＴ、ＬＣＤ、ＰＤＰ、又はＥＬＤ等のディスプレイ装置、スピーカ、ヘッドホン等のオーディオ出力装置、プリンタ、携帯電話、又はファクシミリ等、取得した情報を利用者に対して視覚的又は聴覚的に通知することが可能な装置である。但し、上記のＣＲＴは、Ｃａｔｈｏｄｅ　Ｒａｙ　Ｔｕｂｅの略である。また、上記のＬＣＤは、Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙの略である。そして、上記のＰＤＰは、Ｐｌａｓｍａ　ＤｉｓｐｌａｙＰａｎｅｌの略である。さらに、上記のＥＬＤは、Ｅｌｅｃｔｒｏ－Ｌｕｍｉｎｅｓｃｅｎｃｅ　Ｄｉｓｐｌａｙの略である。
　記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ハードディスクドライブ（ＨＤＤ）等の磁気記憶デバイス、半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイス等が用いられる。但し、上記のＨＤＤは、Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅの略である。
　ドライブ９２２は、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８は、例えば、ＤＶＤメディア、Ｂｌｕ－ｒａｙメディア、ＨＤ　ＤＶＤメディア、各種の半導体記憶メディア等である。もちろん、リムーバブル記録媒体９２８は、例えば、非接触型ＩＣチップを搭載したＩＣカード、又は電子機器等であってもよい。但し、上記のＩＣは、Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略である。
　接続ポート９２４は、例えば、ＵＳＢポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ、ＲＳ－２３２Ｃポート、又は光オーディオ端子等のような外部接続機器９３０を接続するためのポートである。外部接続機器９３０は、例えば、プリンタ、携帯音楽プレーヤ、デジタルカメラ、デジタルビデオカメラ、又はＩＣレコーダ等である。但し、上記のＵＳＢは、Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓの略である。また、上記のＳＣＳＩは、Ｓｍａｌｌ　Ｃｏｍｐｕｔｅｒ　Ｓｙｓｔｅｍ　Ｉｎｔｅｒｆａｃｅの略である。
　通信部９２６は、ネットワーク９３２に接続するための通信デバイスであり、例えば、有線又は無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＷＵＳＢ用の通信カード、光通信用のルータ、ＡＤＳＬ用のルータ、又は接触又は非接触通信用のデバイス等である。また、通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークにより構成され、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、可視光通信、放送、又は衛星通信等である。但し、上記のＬＡＮは、Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋの略である。また、上記のＷＵＳＢは、Ｗｉｒｅｌｅｓｓ　ＵＳＢの略である。そして、上記のＡＤＳＬは、Ａｓｙｍｍｅｔｒｉｃ　Ｄｉｇｉｔａｌ　Ｓｕｂｓｃｒｉｂｅｒ　Ｌｉｎｅの略である。
　＜９：まとめ＞
　最後に、本技術の実施形態に係る技術内容について簡単に纏める。ここで述べる技術内容は、例えば、ＰＣ、携帯電話、ゲーム機、情報端末、情報家電、カーナビゲーションシステム等、種々の情報処理装置に対して適用することができる。なお、以下で述べる情報処理装置の機能は、１台の情報処理装置を利用して実現することも可能であるし、複数台の情報処理装置を利用して実現することも可能である。また、以下で述べる情報処理装置が処理を実行する際に用いるデータ記憶手段及び演算処理手段は、当該情報処理装置に設けられたものであってもよいし、ネットワークを介して接続された機器に設けられたものであってもよい。
　上記の情報処理装置の機能構成は以下のように表現される。例えば、下記（１）に記載の情報処理装置は、多次多変数連立方程式の求解困難性に安全性の根拠を置く効率的な公開鍵認証方式又は電子署名方式のアルゴリズムを実行する機能を有する。
　（１）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得部と、
　前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証部と、
を備え、
　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記署名取得部は、前記第２の情報を所定数ずつ取得し、
　前記署名検証部は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、
　署名検証装置。
　（２）
　前記第１の情報は、入力される情報をブロック単位に区切って処理する一方向性関数を用いて生成されており、
　前記署名検証部は、前記所定数ずつ取得される前記第２の情報を用いて前記ブロック単位の処理で前記一方向性関数が出力する中間値を生成する処理、当該中間値及び次に取得される所定数の前記第２の情報を用いて次の中間値を生成する処理を繰り返し実行して前記第１の情報を復元する、
　上記（１）に記載の署名検証装置。
　（３）
　所定数の前記第２の情報は、前記中間値の生成が完了した段階で消去される、
　上記（２）に記載の署名検証装置。
　（４）
　前記所定数は１であり、
　前記第２の情報に含まれ、かつ、前記一方向性関数から前記中間値を生成する際に用いる情報のサイズは、前記ブロック単位のデータサイズ以上である、
　上記（２）又は（３）に記載の署名検証装置。
　（５）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得するステップと、
　前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証するステップと、
を含み、
　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記取得するステップでは、前記第２の情報を所定数ずつ取得し、
　前記検証するステップでは、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、
　署名検証方法。
　（６）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得機能と、
　前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証機能と、
をコンピュータに実現させるためのプログラムであり、
　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記署名取得機能は、前記第２の情報を所定数ずつ取得し、
　前記署名検証機能は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、
　プログラム。
　（７）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得機能と、
　前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証機能と、
をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、
　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記署名取得機能は、前記第２の情報を所定数ずつ取得し、
　前記署名検証機能は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、
　記録媒体。
　（備考）
　上記の署名検証アルゴリズムＶｅｒは、署名取得部、署名検証部の一例である。
　以上、添付図面を参照しながら本技術の好適な実施形態について説明したが、本技術は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本技術の技術的範囲に属するものと了解される。
　上記の説明において、ハッシュ関数Ｈを用いるアルゴリズムを紹介したが、ハッシュ関数Ｈの代わりにコミットメント関数ＣＯＭを用いてもよい。コミットメント関数ＣＯＭは、文字列Ｓ及び乱数ρを引数にとる関数である。コミットメント関数の例としては、Ｓｈａｉ　ＨａｌｅｖｉとＳｉｌｖｉｏ　Ｍｉｃａｌｉによって国際会議ＣＲＹＰＴＯ１９９６で発表された方式などがある。
　Ｇｅｎ　　鍵生成アルゴリズム
　Ｐ　　　　証明者アルゴリズム
　Ｖ　　　　検証者アルゴリズム
　Ｓｉｇ　　署名生成アルゴリズム
　Ｖｅｒ　　署名検証アルゴリズム
 

Claims (7)

  1. 　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得部と、
    　前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証部と、
    を備え、
    　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記署名取得部は、前記第２の情報を所定数ずつ取得し、
    　前記署名検証部は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、
    　署名検証装置。
  2. 　前記第１の情報は、入力される情報をブロック単位に区切って処理する一方向性関数を用いて生成されており、
    　前記署名検証部は、前記所定数ずつ取得される前記第２の情報を用いて前記ブロック単位の処理で前記一方向性関数が出力する中間値を生成する処理、当該中間値及び次に取得される所定数の前記第２の情報を用いて次の中間値を生成する処理を繰り返し実行して前記第１の情報を復元する、
    　請求項１に記載の署名検証装置。
  3. 　所定数の前記第２の情報は、前記中間値の生成が完了した段階で消去される、
    　請求項２に記載の署名検証装置。
  4. 　前記所定数は１であり、
    　前記第２の情報に含まれ、かつ、前記一方向性関数から前記中間値を生成する際に用いる情報のサイズは、前記ブロック単位のデータサイズ以上である、
    　請求項２に記載の署名検証装置。
  5. 　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得するステップと、
    　前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証するステップと、
    を含み、
    　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記取得するステップでは、前記第２の情報を所定数ずつ取得し、
    　前記検証するステップでは、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、
    　署名検証方法。
  6. 　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得機能と、
    　前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証機能と、
    をコンピュータに実現させるためのプログラムであり、
    　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記署名取得機能は、前記第２の情報を所定数ずつ取得し、
    　前記署名検証機能は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、
    　プログラム。
  7. 　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、署名鍵ｓ∈Ｋｎ、及び文書Ｍに基づいて生成された第１の情報と、前記文書Ｍ、前記多次多変数多項式の組Ｆ、及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））に基づいて前記第１の情報が前記署名鍵ｓを用いて生成されたことを検証するために必要な複数の第２の情報と、を含む電子署名を取得する署名取得機能と、
    　前記電子署名に含まれる複数の第２の情報を用いて前記第１の情報を復元可能か否かを確認することで前記文書Ｍの正当性を検証する署名検証機能と、
    をコンピュータに実現させるためのプログラムが記録された、コンピュータにより読み取り可能な記録媒体であり、
    　前記多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
    　前記署名取得機能は、前記第２の情報を所定数ずつ取得し、
    　前記署名検証機能は、所定数ずつ取得される前記第２の情報を用いて逐次的に前記第１の情報を復元し、復元処理に不要な前記第２の情報を不要になった段階で消去する、
    　記録媒体。
     
PCT/JP2012/068324 2011-08-29 2012-07-19 署名検証装置、署名検証方法、プログラム、及び記録媒体 WO2013031414A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
US14/239,926 US9129122B2 (en) 2011-08-29 2012-07-19 Signature verification apparatus, signature verification method, program, and recording medium
CN201280040711.0A CN103748832A (zh) 2011-08-29 2012-07-19 签名验证设备、签名验证方法、程序和记录介质
RU2014106488/08A RU2014106488A (ru) 2011-08-29 2012-07-19 Устройство проверки подписи, способ проверки подписи, программа и носитель записи
BR112014004191A BR112014004191A2 (pt) 2011-08-29 2012-07-19 aparelho e método de verificação de assinatura, programa, e, mídia de gravação legível por computador
EP12828377.7A EP2753018B1 (en) 2011-08-29 2012-07-19 Signature verification device, signature verification method, program, and recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011185946A JP5790319B2 (ja) 2011-08-29 2011-08-29 署名検証装置、署名検証方法、プログラム、及び記録媒体
JP2011-185946 2011-08-29

Publications (1)

Publication Number Publication Date
WO2013031414A1 true WO2013031414A1 (ja) 2013-03-07

Family

ID=47755922

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/068324 WO2013031414A1 (ja) 2011-08-29 2012-07-19 署名検証装置、署名検証方法、プログラム、及び記録媒体

Country Status (8)

Country Link
US (1) US9129122B2 (ja)
EP (1) EP2753018B1 (ja)
JP (1) JP5790319B2 (ja)
CN (1) CN103748832A (ja)
BR (1) BR112014004191A2 (ja)
RU (1) RU2014106488A (ja)
TW (1) TW201320700A (ja)
WO (1) WO2013031414A1 (ja)

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5790291B2 (ja) * 2011-08-12 2015-10-07 ソニー株式会社 情報処理装置、署名提供方法、署名検証方法、プログラム、及び記録媒体
JP5790288B2 (ja) * 2011-08-12 2015-10-07 ソニー株式会社 情報処理装置、及び情報処理方法
JP2013047727A (ja) * 2011-08-29 2013-03-07 Sony Corp 情報処理装置、情報処理方法、プログラム、及び記録媒体
JP2014068140A (ja) * 2012-09-25 2014-04-17 Sony Corp 情報処理装置、情報処理方法及びプログラム
CN103490897B (zh) * 2013-09-17 2017-04-05 华南理工大学 一种多变量公钥签名/验证系统及签名/验证方法
KR101753721B1 (ko) 2017-03-31 2017-07-19 기초과학연구원 고속 다변수 이차 서명 방법과 그 시스템
KR101768641B1 (ko) 2017-04-04 2017-08-30 기초과학연구원 짧은 키 길이를 갖는 다변수 이차 서명 스킴을 수행하는 전자 장치와 그 방법
US10833858B2 (en) 2017-05-11 2020-11-10 Microsoft Technology Licensing, Llc Secure cryptlet tunnel
US10740455B2 (en) 2017-05-11 2020-08-11 Microsoft Technology Licensing, Llc Encave pool management
US10528722B2 (en) 2017-05-11 2020-01-07 Microsoft Technology Licensing, Llc Enclave pool shared key
US10664591B2 (en) 2017-05-11 2020-05-26 Microsoft Technology Licensing, Llc Enclave pools
US11488121B2 (en) 2017-05-11 2022-11-01 Microsoft Technology Licensing, Llc Cryptlet smart contract
US10637645B2 (en) 2017-05-11 2020-04-28 Microsoft Technology Licensing, Llc Cryptlet identity
US10747905B2 (en) * 2017-05-11 2020-08-18 Microsoft Technology Licensing, Llc Enclave ring and pair topologies
US10796070B2 (en) * 2018-07-19 2020-10-06 Mentor Graphics Corporation Layout pattern similarity determination based on binary turning function signatures
US11303456B2 (en) * 2019-02-15 2022-04-12 International Business Machines Corporation Compute digital signature authentication sign instruction
US11483139B2 (en) 2020-08-07 2022-10-25 Bank Of America Corporation System for secure data transmission using fully homomorphic encryption

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2737370B1 (fr) * 1995-07-27 1997-08-22 Bull Cp8 Procede de communication cryptographique
WO2002091664A1 (en) * 2001-05-04 2002-11-14 Docomo Communications Laboratories Usa, Inc. Ring-based signature scheme
US7961876B2 (en) * 2005-01-11 2011-06-14 Jintai Ding Method to produce new multivariate public key cryptosystems
CN1870499B (zh) * 2005-01-11 2012-01-04 丁津泰 产生新的多变量公钥密码系统的方法
JP4827468B2 (ja) * 2005-07-25 2011-11-30 キヤノン株式会社 情報処理装置及び情報処理装置の制御方法、並びにコンピュータプログラム及びコンピュータ可読記憶媒体
FR2918525A1 (fr) * 2007-07-06 2009-01-09 France Telecom Procede asymetrique de chiffrement ou de verification de signature.
US8200616B2 (en) * 2008-12-31 2012-06-12 Nokia Corporation Method, apparatus, and computer program product for polynomial-based data transformation and utilization
US8515058B1 (en) * 2009-11-10 2013-08-20 The Board Of Trustees Of The Leland Stanford Junior University Bootstrappable homomorphic encryption method, computer program and apparatus
IL205803A0 (en) * 2010-05-16 2010-12-30 Yaron Sella Collision-based signature scheme
IL206139A0 (en) * 2010-06-02 2010-12-30 Yaron Sella Efficient multivariate signature generation
IL207918A0 (en) * 2010-09-01 2011-01-31 Aviad Kipnis Attack-resistant multivariate signature scheme
CN102006165B (zh) * 2010-11-11 2012-11-07 西安理工大学 基于多变量公钥密码对消息匿名环签名的方法
JP6069852B2 (ja) * 2011-08-29 2017-02-01 ソニー株式会社 情報処理装置、情報処理方法、及びプログラム
US20150010144A1 (en) * 2012-03-02 2015-01-08 Sony Corporation Information processing apparatus, image processing method, and program

Non-Patent Citations (8)

* Cited by examiner, † Cited by third party
Title
FUMIKO SATO: "Trends of Web Services Security (1) : WS-Security and WS-SX (WS-SecureExchange) Specifications", JOHO SHORI, vol. 48, no. 6, June 2007 (2007-06-01), pages 646 - 652, XP008173105 *
JACQUES PATARIN: "Asymmetric Cryptography with a Hidden Monomial", CRYPTO, 1996, pages 45 - 60, XP019194414
KAORU KUROSAWA ET AL., GENDAI ANGO NO KISO RIRON, 31 March 2004 (2004-03-31), pages 98 - 100, XP008174250 *
KOICHI SAKUMOTO ET AL.: "Public-Key Identification Schemes based on Multivariate Quadratic Polynomials", 18 August 2011 (2011-08-18), XP019161037, Retrieved from the Internet <URL:http://www.iacr.org/cryptodb/ archive/2011/CRYPTO/presentation/13-1-Sakumoto. pdf> [retrieved on 20120808] *
KOICHI SAKUMOTO ET AL.: "Public-Key Identification Schemes Based on Multivariate Quadratic Polynomials, Advances in Cryptology-CRYPTO 2011 31st Annual Cryptology Conference", PROCEEDINGS(LNCS 6841), vol. 6841, 6 August 2011 (2011-08-06), SANTA BARBARA, CA, USA, pages 706 - 723, XP019161037 *
M. ABDALLA ET AL.: "From identification to signatures via the Fiat-Shamir transform: Minimizing assumptions for security and forward-security", 2002, XP001090360, Retrieved from the Internet <URL:http:// citeseer.ist.psu.edu/viewdoc/summary?doi=10.1. 1.128.5015> [retrieved on 20120808] *
PATARIN, J.; COURTOIS, N.; GOUBIN, L.: "Topics in Cryptology - CT-RSA", vol. 2020, April 2001, SPRINGER-VERLAG, article "QUARTZ, 128-Bit Long Digital Signatures", pages: 282 - 297
See also references of EP2753018A4

Also Published As

Publication number Publication date
BR112014004191A2 (pt) 2017-03-07
RU2014106488A (ru) 2015-08-27
CN103748832A (zh) 2014-04-23
JP2013048351A (ja) 2013-03-07
JP5790319B2 (ja) 2015-10-07
EP2753018A1 (en) 2014-07-09
US20140223193A1 (en) 2014-08-07
US9129122B2 (en) 2015-09-08
EP2753018A4 (en) 2015-11-04
TW201320700A (zh) 2013-05-16
EP2753018B1 (en) 2017-01-11

Similar Documents

Publication Publication Date Title
WO2013031414A1 (ja) 署名検証装置、署名検証方法、プログラム、及び記録媒体
JP6069852B2 (ja) 情報処理装置、情報処理方法、及びプログラム
JP5736816B2 (ja) 認証装置、認証方法、プログラム、及び署名生成装置
JP5790318B2 (ja) 情報処理装置、署名生成装置、情報処理方法、署名生成方法、及びプログラム
JP5790287B2 (ja) 情報処理装置、情報処理方法、プログラム、及び記録媒体
WO2013024699A1 (ja) 情報処理装置、情報処理方法、プログラム、及び記録媒体
WO2013129084A1 (ja) 情報処理装置、情報処理方法、及びプログラム
WO2013024697A1 (ja) 情報処理装置、署名提供方法、署名検証方法、プログラム、及び記録媒体
WO2013129119A1 (ja) 情報処理装置、情報処理方法、及びプログラム
JP5790286B2 (ja) 情報処理装置、署名生成装置、情報処理方法、署名生成方法、及びプログラム
WO2013031420A1 (ja) 情報処理装置、署名生成装置、署名検証装置、情報処理方法、署名生成方法、及び署名検証方法
WO2013031413A1 (ja) 情報処理装置、情報処理方法、プログラム、及び記録媒体
WO2013024633A1 (ja) 情報処理装置、及び情報処理方法
WO2013024630A1 (ja) 情報処理装置、及び情報処理方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12828377

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2012828377

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2012828377

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2014106488

Country of ref document: RU

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14239926

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112014004191

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 112014004191

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20140221