JP3131907B2 - Digital signature method - Google Patents

Description

【発明の詳細な説明】DETAILED DESCRIPTION OF THE INVENTION

【０００１】[0001]

【産業上の利用分野】この発明は、電子化された文書の
稟議／決済、電子投票システム等で、電子的に署名／捺
印を付与するディジタル署名方法に関する。BACKGROUND OF THE INVENTION This invention, approval / settlement of electronic documents, in the electronic voting system, etc., relating to digital signature how to impart electronically signed / stamped.

【０００２】[0002]

【従来の技術】ディジタル署名方式の代表的な例とし
て、Chaum のUndeniable 署名法 (David Chaum, Hans v
an Antwerpen, “Undeniable Signatures ”,Crypto89
Abstracts, pp.205-212,(1989), David Chaum “Zero-
Knowledge Undeniable Signatures”, Euro Crypt90 Ab
stracts, pp.419-426, (1990)）がある。Chaum のディ
ジタル署名法は、署名の転用不可性と否認拒否性を備え
た安全性の高い方式である。2. Description of the Related Art As a typical example of a digital signature scheme, Chaum's Undeniable signature scheme (David Chaum, Hans v.
an Antwerpen, “Undeniable Signatures”, Crypto89
Abstracts, pp. 205-212, (1989), David Chaum “Zero-
Knowledge Undeniable Signatures ”, Euro Crypt90 Ab
stracts, pp.419-426, (1990)). Chaum's digital signature method is a highly secure method that has the impossibility of diverting the signature and denial of denial.

【０００３】署名の転用不可性とは、メッセージｍと署
名ｓの対応関係（ｍ，ｓ）が署名としての証拠とはなら
ず、署名者がメッセージｍと署名ｓの対応関係の正当性
を検証者との通信によって証明した場合にのみ署名の正
当性を確認できることである。通常のディジタル署名で
は、検証者がメッセージｍと署名ｓの対応関係の正当性
を、署名者と通信せずに確認できるので、（ｍ，ｓ）が
署名の証拠となる。[0003] The incompatibility of a signature means that the correspondence (m, s) between a message m and a signature s is not proof as a signature, and the signer verifies the validity of the correspondence between the message m and the signature s. Is that the validity of the signature can be confirmed only when the signature is proved by communication with the party. In a normal digital signature, since the verifier can confirm the validity of the correspondence between the message m and the signature s without communicating with the signer, (m, s) is the proof of the signature.

【０００４】否認拒否性とは、検証者がメッセージｍや
署名ｓとの対応関係（ｍ，ｓ）の正当性の証明を求めて
いる場合に、署名者が署名が誤っていることを証明でき
ることである。当然のことながら、署名者がメッセージ
ｍに対する正しい署名ｓの正当性を否認しようとしても
成功しないことが必要である。Chaum の Undeniable 署
名法は、以下の通りである。 （１）鍵の登録 署名者Ａは、署名用鍵ｘと検査用鍵（ｇ，ｐ，ｙ）を
（１）式 ｙ＝ｇ^x (mod p) （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、剰余計算ａ(mod p) は、ａを
ｐで割ったときの余りを表す。[0004] Non-repudiation means that the signer can prove that the signature is incorrect when the verifier wants to prove the validity of the correspondence (m, s) with the message m or the signature s. It is. Of course, it is necessary that the signer not succeed in attempting to deny the validity of the correct signature s for the message m. Chaum's Undeniable signature method is as follows. (1) Registration of Key The signer A generates the signature key x and the inspection key (g, p, y) so as to satisfy the expression (1) y = g ^x (mod p) (1) Make the signing key public and manage the signing key secretly. Here, the remainder calculation a (mod p) represents the remainder when a is divided by p.

【０００５】Chaum の署名法は、ｐが大きいとき、ｙと
ｇとｐからｙ＝ｇ^x (mod p) をみたすｘを計算するのが
困難なこと（離散対数問題の困難性）に安全性の根拠を
おく署名法である。利用者の検査用鍵（ｇ，ｐ，ｙ）
は、センタの公開ファイルにて管理され、必要に応じ
て、検証者Ｂはセンタに問い合わせて（ｇ，ｐ，ｙ）を
払い出してもらう。 （２）署名の作成 署名者Ａは、ｐと署名用鍵ｘを用いて、メッセージｍに
対して（２）式 ｓ＝ｍ^x (mod p) （２） を計算して署名ｓを作り、これをメッセージｍと共に検
証者Ｂに送信する（剰余付きの計算は、例えば池野、小
山「現代暗号理論」電子通信学会、pp.16-17,(1986) に
示されている）。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、検査用
鍵を用いて署名ｓがメッセージｍに対する正しい署名で
あることを、（ａ）の確認手順によって検査する。[0005] Chaum's signature method has security because it is difficult to calculate x that satisfies y = g ^x (mod p) from y, g, and p when p is large (the difficulty of the discrete logarithm problem). This is the signature method that is based on. User's inspection key (g, p, y)
Is managed in a public file of the center, and the verifier B inquires the center to pay out (g, p, y) as necessary. (2) Creation of Signature The signer A creates the signature s by calculating the expression (2) s = ^mx (mod p) (2) for the message m using p and the signature key x, This is transmitted together with the message m to the verifier B (the calculation with the remainder is shown, for example, in Ikeno and Koyama, “Modern Cryptography Theory”, IEICE, pp. 16-17, (1986)). (3) Signature Verification By communicating with the signer A, the verifier B verifies that the signature s is a correct signature for the message m by using the verification key according to the verification procedure of (a).

【０００６】一方、もし、署名ｓがメッセージｍに対す
る正しい署名でない場合（以降では、改ざんされた署名
をｔで表わす）には、署名者Ａは（ｂ）の否認手順によ
って証明する。 （ａ）確認手順 ステップ１ 検証者Ｂは、２つの乱数ａとｂを生成し
て、（３）式を計算して通信文Ｘを Ｘ＝ｍ^a ・ｇ^b (mod p) （３） 作り、これをメッセージｍと署名ｓと共に署名者Ａに送
信する。On the other hand, if the signature s is not a correct signature for the message m (hereinafter, the falsified signature is represented by t), the signer A certifies by the rejection procedure of (b). (A) Check Procedure verifier B generates two random numbers a and b, (3) the communication text X by calculating the equation ^{X = m a · g b (} mod p) (3) Making Is transmitted to the signer A together with the message m and the signature s.

【０００７】ステップ２ 署名者Ａは、乱数ｑを生成し
て、（４）、（５）式を計算して通信文（Ｙ，Ｚ）を Ｙ＝Ｘ・ｇ^q (mod p) （４） Ｚ＝Ｙ^x (mod p) （５） 作り、これを検証者Ｂに送信する。Step 2 The signer A generates a random number q, calculates equations (4) and (5), and converts the message (Y, Z) into Y = X · g ^q (mod p) (4) Z = Y ^x (mod p) (5) is created and transmitted to the verifier B.

【０００８】ステップ３ 検証者Ｂは、２つの乱数ａと
ｂを署名者Ａに送信する。ステップ４ 署名者Ａは、受
信したａとｂが、先に受信した通信文Ｘに対して （６）式の関係 Ｘ＝ｍ^a ・ｇ^b (mod p) （６） をみたすことを検査して、合格なら、ｑを検証者Ｂに送
信する。不合格なら処理を停止する。Step 3 The verifier B sends the two random numbers a and b to the signer A. Step 4 signer A is received a and b are, verifies that satisfying the communication statement X received in the previous equation (6) relationship ^{X = m a · g b (} mod p) (6) If it passes, q is transmitted to the verifier B. If not, stop the process.

【０００９】ステップ５ 検証者Ｂは、受信したｑ、先
に受信した通信文（Ｙ，Ｚ）、先に生成したａとｂが、
検査用鍵の一成分ｙ、メッセージｍと署名ｓに対して
（７）、（８）式の関係 Ｙ＝ｍ^a ・ｇ^b+q (mod p) （７） Ｚ＝ｓ^a ・ｙ^b+q (mod p) （８） をみたすことを確認する。合格ならば、ｓがｍに対する
署名者Ａの正しい署名であると判断する。注）ここで、
等号が成立することは、Ｙ＝Ｘ・ｇ^q ＝（ｍ^a ・ｇ^b ）
ｇ^q ＝ｍ^a ・ｇ^b+q (mod p) Ｚ＝Ｙ^x ＝（ｍ^a ・
ｇ^b+q ）^x ＝（ｍ^x ）^a ・（ｇ^x ）^b+q ＝ｓ^a ・ｙ^b+q
(modp) より明らかである。 （ｂ）否認手順 ステップ１ 検証者Ｂは、２つの乱数ｃ（Ｏ≦ｃ≦ｋ）
と乱数ｄを生成して、（９）、（１０）式を計算して通
信文（Ｖ，Ｗ）を Ｖ＝ｍ^c ・ｇ^d (mod p) （９） Ｗ＝ｔ^c ・ｙ^d (mod p) （１０） 作り、これをメッセージｍと署名ｔと共に署名者Ａに送
信する（ここでｋは安全性のパラメータでありＡとＢが
予め合意した値である）。Step 5 The verifier B determines that the received q, the previously received message (Y, Z), and the previously generated a and b are:
A component y of the test key, to the message m and the signature s (7), (8) type of relationship ^{Y = m a · g b +} q (mod p) (7) Z = s a · y b + Check that ^q (mod p) (8) is satisfied. If it passes, it is determined that s is the correct signature of signer A for m. Note) where
The equality is ^{satisfied, Y = X · g q =} (m a · g b)
g ^q = m ^a · g ^{b + q} (mod p) Z = Y ^x = (m ^a ·
g ^{b + q} ) ^x = ( ^mx ) ^a · (g ^x ) ^{b + q} = s ^a · y ^{b + q}
(modp). (B) Denial procedure Step 1 Verifier B uses two random numbers c (O ≦ c ≦ k)
And a random number d are generated, and equations (9) and (10) are calculated and the message (V, W) is calculated as follows: V = ^mc · g ^d (mod p) (9) W = t ^c · y ^d ( mod p) (10) and sends it to signer A along with message m and signature t (where k is a security parameter and A and B have agreed in advance).

【００１０】ステップ２ 署名者Ａは、ｒを１からｋま
で取り直して （ｔ／ｍ^x ）^r ＝Ｗ／Ｖ^X (mod p) （１１） をみたすｒを求めて、ｒのコミットメント関数の値ｅ＝
ＢＣ（ｒ）を検証者Ｂに送信する（ここでコミットメン
ト関数とは、ｒに対してＢＣ（ｒ）＝ＢＣ（ｒ′）をみ
たすｒ′を見つけるのが困難な関数である）。Step 2 The signer A obtains r that satisfies (t / m ^x ) ^r = W / V ^x (mod p) (11) by taking r again from 1 to k, and obtains the value of the commitment function of r. e =
BC (r) is transmitted to the verifier B (here, the commitment function is a function for which it is difficult to find r 'that satisfies BC (r) = BC (r')).

【００１１】コミットメント関数ＢＣの構成例は、Gill
es Brassard, Claude Crepeau:“Non-transitive trans
fer of confidence: A perfect zero-knowledge intera
ctive protocol for SAT and beyond ”, FOCS'86,pp.1
88-195 に示されている。ステップ３ 検証者Ｂは、乱
数ｄを署名者Ａに送信する。ステップ４ 署名者Ａは、
受信したｄが、通信文（Ｖ，Ｗ）に対して （Ｖ，Ｗ）＝（ｍ^r ｇ^d (mod p) ，ｔ^r ｙ^d (mod p) ）
(11a) をみたすことを確認する。成立すれば、ｒを検証者Ｂに
送信する。成立しなければ、検証者Ｂが検証以外のこと
に不正利用していると判断して処理を停止する。An example of the configuration of the commitment function BC is Gill
es Brassard, Claude Crepeau: “Non-transitive trans
fer of confidence: A perfect zero-knowledge intera
ctive protocol for SAT and beyond ”, FOCS'86, pp.1
88-195. Step 3 The verifier B sends the random number d to the signer A. Step 4 Signer A
Received d is, the communication sentence (V, W) (V, W) = (m r g d (mod p), t r y d (mod p))
Make sure that (11a) is satisfied. If it is established, r is transmitted to the verifier B. If the condition is not satisfied, it is determined that the verifier B has illegally used the purpose other than the verification, and the process is stopped.

【００１２】ステップ５ 検証者Ｂは、受信したｒがｅ
＝ＢＣ（ｒ）をみたし、さらにｒ＝ｃが成り立つことを
確認する。ステップ６ 上記のステップをＺ回繰り返
し、署名の非正当性を確認する（ここでＺは安全性のパ
ラメータであり、署名者Ａと検証者Ｂとが予め合意した
値である）。Step 5 The verifier B confirms that the received r is e
= BC (r), and further confirms that r = c holds. Step 6 The above steps are repeated Z times to confirm the invalidity of the signature (where Z is a security parameter, and the signer A and the verifier B have agreed in advance).

【００１３】以上のようにして、確認手順で、正しい署
名であれば、これが確認され、正しくない署名であれ
ば、正しい署名とは認識されない。この確認手順では正
しい署名者が、正しい署名でないと偽わることができな
いことは保証されない。しかし否認手順で、正しくない
署名を正しくないと認識し、正しい署名を正しくないと
認識できないから、正しい署名者が偽わって正しい署名
を自己の署名でないと否認することができない。As described above, in the confirmation procedure, if the signature is correct, the signature is confirmed. If the signature is incorrect, the signature is not recognized as a valid signature. This verification procedure does not guarantee that the correct signer cannot falsify without a correct signature. However, in the denial procedure, an incorrect signature is recognized as incorrect, and a correct signature cannot be recognized as incorrect. Therefore, a correct signer cannot deny that a correct signature is not his / her own signature.

【００１４】[0014]

【発明が解決しようとする課題】このChaum の方法は発
明の効果の項で後述するように署名者、検証者の各処理
量が多く、また通信回数が多い欠点があった。電子化さ
れた文書の稟議／決済、電子投票システム等では、文書
に付与された電子的な署名／捺印の真偽を確認したいと
いう要求がしばしば生じる。The Chaum's method has the drawbacks that the signer and the verifier require a large amount of processing and that the number of communications is large, as will be described later in the section of the effect of the invention. In a request / payment of an electronic document, an electronic voting system, and the like, a request often arises to confirm the authenticity of an electronic signature / seal attached to the document.

【００１５】Chaum の方法を考察した場合、この目的に
かなうものであるが、署名の確認、ないし否認の手順と
に、それぞれ異なる手続きを用いている。このため、こ
れの実現においては、異なる装置（ないしソフトウエ
ア）を２種類用意し、その目的に応じてどちらかの装置
を選択して運用しなければならないことになる。更にCh
aum の方法は、確認の手順は１回で終了するが、否認の
手順は複数回繰り返す必要があり、ステップ１〜５を並
列的に行って複数の通信文を同時に送信した場合には、
安全性は保証されない。When Chaum's method is considered, it fulfills this purpose, but uses different procedures for signature verification or denial. Therefore, in realizing this, it is necessary to prepare two types of different devices (or software), and to select and operate one of them according to the purpose. Further Ch
In the aum method, the confirmation procedure is completed once, but the denial procedure must be repeated a plurality of times. If steps 1 to 5 are performed in parallel and a plurality of messages are transmitted at the same time,
Security is not guaranteed.

【００１６】この発明の目的は処理量が少なく、かつ通
信回数も少なく、しかも署名の確認、否認手順を同じ手
続きで行うことが可能なディジタル署名方法を提供する
ことにある。An object has less amount of processing, and the number of communications is small and moreover confirmation of the signature is to provide a digital signature how that can perform denial procedure in the same procedure of the present invention.

【００１７】[0017]

【課題を解決するための手段】この発明によれば署名者
は署名用鍵ｘを用いてこれと対応する公開情報ｙを生成
し、そのｙを公開し、署名者はメッセージｍに対し、署
名用鍵ｘを用いて署名ｓを作り、これらｍとｓとを検証
者へ送信し、検証者はｍとｓとの対を署名者へ送信し、
署名者は乱数ｖ₀ とｖ₁ を用いて検証用情報Ａ₀ とＡ₁
とを生成して検証者へ送信し、検証者は乱数ｑ_i ∈
｛０，１｝を発生し、ｑ_i ＝０の時はＡ₀ を、ｑ_i ＝１
の時はＡ₁ 、つまりＡ_qiを用いて、これらと乱数ｕ_i と
から複数の通信文Ｑ_i を生成して、署名者へ送信し（ｉ
＝１，２，…，８）、署名者は乱数ｒ _i と公開情報ｙと
関連した情報とを用いて複数の鍵検証用通信文Ｘ_1iを生
成し、またｒ_i とメッセージｍとを用いて複数の署名検
証用通信文Ｘ_2iとを生成してＸ _1i，Ｘ_2iを検証者へ送信
し、検証者はｑ_i ，ｕ_i を署名者へ送信し、署名者は受
信したｑ_i ，ｕ_i と先に受信したＱ_i とからそのｑ_i の
正当性を確認し、ｒ_i ，ｑ_i ，ｘから複数の通信文Ｙ_i
を生成し、これとｖ₀ ，ｖ₁ とを検証者へ送信し、検証
者は受信したｖ₀ ，ｖ₁ を用いて先に受信した検証用情
報Ａ₀ ，Ａ₁ の正当性を検証し、Ｙ_i とＸ_1iとｙとｑ_i
とを用いて鍵ｘの正当性と、Ｙ_i とＸ_2iとｍとｑ_i とを
用いて署名ｓの正当性とを検証する。According to the present invention, a signer is provided.
Generates the corresponding public information y using the signature key x
And publishes the y, and the signer signs the message m.
Create signature s using name key x and verify these m and s
And the verifier sends the pair of m and s to the signer,
The signer is a random number v₀And v₁Information A for verification using₀And A₁
Is generated and transmitted to the verifier, and the verifier checks the random number q_i∈
{0,1} is generated and q_iA when = 0₀To q_i= 1
A time₁That is, A_qi, And these and the random number u_iWhen
To multiple messages Q_iIs generated and transmitted to the signer (i.
= 1, 2, ..., 8), and the signer is a random number r _iAnd public information y
A plurality of key verification messages X using related information_1iRaw
And r_iMultiple signature verifications using
Certificate message X_2iAnd generate X _1i, X_2iSend to verifier
And the verifier is q_i, U_iTo the signer, and the signer
Q_i, U_iAnd Q received earlier_iAnd from that q_iof
Check for legitimacy, r_i, Q_i, X, multiple messages Y_i
And this and v₀, V₁Is sent to the verifier and verified.
Who received v₀, V₁Verification information received earlier using
Report A₀, A₁Verify the correctness of Y_iAnd X_1iAnd y and q_i
And the validity of key x and Y_iAnd X_2iAnd m and q_iAnd
Is used to verify the validity of the signature s.

【００１８】[0018]

【作用】このようにこの発明では、署名鍵の正当性を示
す手順と署名の正当性を示す手順を同時に行うことによ
り、従来方式では独立な手続きで行われていた署名の確
認手順と否認手順とを同一の手続きで行え、装置を簡略
化することができる。また、Mihir Bellare, Silvio Mi
cali, Rafail Ostrovsky：“Perfect zero-knowledge i
n constant rounds ”，STOC'90, pp.482-493 に示され
ている手法を用いることにより、署名の確認・否認手順
を１回で行えるようにし、通信の繰り返し回数を削減す
ることができる。As described above, according to the present invention, the procedure for verifying the validity of the signature key and the procedure for verifying the validity of the signature are performed at the same time. Can be performed by the same procedure, and the apparatus can be simplified. Mihir Bellare, Silvio Mi
cali, Rafail Ostrovsky: “Perfect zero-knowledge i
By using the method described in “n constant rounds”, STOC'90, pp. 482-493, it is possible to perform the signature confirmation / rejection procedure only once, and to reduce the number of communication repetitions.

【００１９】[0019]

【実施例】以下では、この発明の一実施例について説明
する。図１はこの発明が適用されるシステムの構成例を
示す。公開ファイル１００が署名者装置２００及び検証
者装置５００とそれぞれ各別の安全な通信路３００を介
して結合され、署名者装置２００と検証者装置５００と
は安全でない通信路４００を介して結合されているとす
る。図２に公開ファイル１００の内容を示す。システム
に共通な情報ｐ，ｑが登録され、また各利用者対応に公
開情報が登録されている。図３にこの発明の通信シーケ
ンス例を示し、図４及び図５に署名者装置２００の構成
例を示し、図６及び図７に検証者装置５００の構成例を
示す。 （１）鍵の登録 署名者Ａがシステムに加入するとき、剰余付き計算器２
１０を用いて公開情報ｙを生成して公開ファイル１００
に登録する。公開ファイルには、システム内一意の共通
情報として（ｇ，ｐ）が公開されている（但し、ｐ：素
数、ｇ：原始根）。An embodiment of the present invention will be described below. FIG. 1 shows a configuration example of a system to which the present invention is applied. The public file 100 is coupled to the signer device 200 and the verifier device 500 via respective secure communication channels 300, and the signer device 200 and the verifier device 500 are coupled to each other via the insecure communication channel 400. Suppose FIG. 2 shows the contents of the public file 100. Information p and q common to the system are registered, and public information is registered for each user. FIG. 3 shows an example of a communication sequence according to the present invention, FIGS. 4 and 5 show examples of the configuration of the signer apparatus 200, and FIGS. 6 and 7 show examples of the configuration of the verifier apparatus 500. (1) Registration of key When signer A joins the system, a computer with remainder 2
, Generating public information y using public file
Register with. In the public file, (g, p) is disclosed as common information unique in the system (however, p: prime number, g: primitive root).

【００２０】ステップ１ 署名者Ａは、乱数発生器２０
５を用いて署名用鍵ｘを生成して、ｘとｐとｇから剰余
つき計算器２１０を用いて公開情報ｙを次式、ｙ＝ｇ^x
(mod p) （１２） で計算して、公開ファイル１００に登録する。 （２）署名の作成 以降では、署名者Ａがメッセージｍに署名する場合につ
いて説明する。Step 1 The signer A uses the random number generator 20
5, a public key y is calculated from x, p, and g by using a calculator 210 with a remainder, and y = g ^x
(mod p) Calculated in (12) and registered in the public file 100. (2) Creation of Signature Hereinafter, a case where the signer A signs the message m will be described.

【００２１】ステップ２ 署名者Ａは、剰余つき計算器
２１５を用いて公開情報ｐと署名用鍵ｘとから、メッセ
ージｍに対して次式 ｓ＝ｍ^x (mod p) （１３） で署名ｓを計算して、ｍとｓの対を検証者Ｂに送信す
る。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、署名ｓ
が署名者Ａのメッセージｍに対する正しい署名であるこ
とを、または、署名ｓがメッセージｍに対する正しい署
名でないことを検査する。Step 2 The signer A uses the remainder information calculator 215 to derive a signature s for the message m from the public information p and the signature key x using the following equation s = ^mx (mod p) (13) And sends the pair of m and s to the verifier B. (3) Signature Inspection The verifier B communicates with the signer A to obtain the signature s.
Is the correct signature for signer A's message m, or that signature s is not the correct signature for message m.

【００２２】ステップ３ 検証者Ｂは、検査したいメッ
セージと署名の対（ｍ，ｓ）を署名者Ａに送信する。ス
テップ４ 署名者Ａは、乱数発生器２２０を用いて乱数
ｖ₀ とｖ₁ を生成して、これらと公開情報ｐ，ｑとを用
いて剰余付き計算器２２５，２３０で検証用情報Ａ₀ ，
Ａ₁を次式の Ａ₀ ＝ｇ^vo(mod p) （１４） Ａ₁ ＝ｇ^v1 (mod p) （１５） 計算により作成して、検証者Ｂに送信する。Step 3 The verifier B transmits the pair (m, s) of the message and the signature to be inspected to the signer A. Step 4 The signer A generates random numbers v ₀ and v ₁ using the random number generator 220, and uses these and the public information p and q to generate the verification information A ₀ ,
A ₁ is created by the following equation: A ₀ = g ^vo (mod p) (14) A ₁ = g ^v1 (mod p) (15) The calculation is sent to the verifier B.

【００２３】ステップ５ 検証者Ｂは、乱数発生器５１
０を用いて乱数ｑ_i∈｛０，１｝（ｉ＝１，…，ｚ）と
ｕ_i （ｉ＝１，…，ｚ）を生成して、ｑ_i ＝０の時はＡ
₀ を用い、ｑ_i ＝１の時はＡ₁ を用いて剰余付き計算器
５０５及び５１５により下記（１６）式の通信文Ｑ
_i （ｉ＝１，…，ｚ）を Ｑ_i ＝Ａ_qiｇ^ui (mod p) （１６） で計算して、署名者Ａに送信する（ここでｚは安全性の
パラメータであり署名者Ａと検証者Ｂとが予め合意した
値である）。Step 5 The verifier B uses the random number generator 51
The random numbers q _i {0, 1} (i = 1,..., Z) and u _i (i = 1,..., Z) are generated using 0, and when q _i = 0, A
_0, and when q _i = 1, the remainders of the calculators 505 and 515 use A ₁ to calculate the message Q of the following equation (16).
_i (i = 1,..., z) is calculated by Q _i = A _qig g ^ui (mod p) (16) and transmitted to signer A (where z is a security parameter and signer A And the verifier B agree in advance).

【００２４】ステップ６ 署名者Ａは、乱数発生器２３
５を用いて乱数ｒ_i（ｉ＝１，…，ｚ）を生成し、ｒ_i
と、公開情報ｙ₁ つまり公開情報ｐ，ｇとを用いて次の
（１７）式を剰余付き計算器２４０で計算して鍵検証用
通信文Ｘ_1iを作り、またｒ_i とｍとｐとを用いて次の
（１８）式を剰余付き計算器２４５で計算して署名検証
用通信文Ｘ_2i（ｉ＝１，…，ｚ）を作り、 Ｘ_1i＝ｇ^ri(mod p) （１７） Ｘ_2i＝ｍ^ri(mod p) （１８） これら通信文Ｘ_1i，Ｘ_2iを検証者Ｂに送信する。Step 6 The signer A uses the random number generator 23
5 random number _{r i (i = 1, ...} , z) was used to generate, r _i
If, public information y _1, that public information p, by using the g make calculations to key verifying communication statement X _1i in the remainder with calculator 240 the following equation (17), also a r _i and m and p The following equation (18) is calculated by the calculator 245 with the remainder to generate a signature verification message X _2i (i = 1,..., Z), and X _1i = g ^ri (mod p) (17) X _2i = m ^ri (mod p) (18) These messages X _1i and X _2i are transmitted to the verifier B.

【００２５】ステップ７ 検証者Ｂは、（ｑ_i ，ｕ_i ）
（ｉ＝１，…，ｚ）を署名者Ａに送信する。ステップ８
署名者Ａは、受信したｑ_i ，ｕ_i で（１６）式を計算
し、この計算結果が先に受信したＱ_i と一致するか否か
を検査して、一致して合格ならば、先に用いたｒ_i と署
名用鍵ｘとｑ_i とから、乗算器２６０、剰余付き加算器
２６５を用いて次式の通信文Ｙ_i （ｉ＝１，…，ｌ）を
計算し、 Ｙ_i ＝ｒ_i ＋ｑ_i ｘ(mod p-1) （１９） このＹ_i とｖ₀ ，ｖ₁ とを、検証者Ｂに送信する。不合
格ならば、検証者Ｂの不正を検出したとして処理を停止
する。Step 7 The verifier B calculates (q _i , u _i )
(I = 1,..., Z) is transmitted to the signer A. Step 8
The signer A calculates equation (16) with the received q _i and u _i , checks whether the calculation result matches the previously received Q _i, and if they match and passes, the first and a r _i and the signature key x and q _i using the multipliers 260, communication text _{Y i (i = 1, ...} , l) of using the remainder with the adder 265 the following equation was calculated, Y _{i = r i + q i x (} mod p-1) (19) the Y _i and v _0, v ₁ and sends to the verifier B. If not, the process is stopped assuming that the verifier B has detected the fraud.

【００２６】ステップ９ 検証者Ｂは、受信したｖ₀ ，
ｖ₁ を用いて剰余付き計算器５２０，５３０で（１
４），（１５）式をそれぞれ計算し、これら計算結果を
比較器５２５，５３５を用いて、それぞれ先に受信した
検証用情報Ａ₀ ，Ａ₁ と一致するかを検査して、不一致
で不合格ならば、署名者Ａの不正を検出したとして処理
を停止する。合格ならば、さらに、先に受信したＸ_1iと
ｙと、ｑ_i とｐとを用いて剰余付き計算器５４０でＸ_1i
・ｙ^qi（mod p)を演算し、またＸ_2iとｓとｑ_i とｐとを
用いて剰余付き計算器５５５でＸ_2i・ｓ^qi（mod p)を演
算し、かつ受信したＹ_i とｇと、ｐとを用いて剰余付き
計算器５４５でｇ^Yi（mod p)を演算し、Ｙ_i とｍとｐと
を用いて剰余付き計算器５６０でｍ^Yi（mod p)を演算
し、これらを比較器５５０，５６５によりそれぞれ比較
し、受信したＹ_i ，Ｘ_1i，Ｘ_2i，先に送信したｑ_i が、
メッセージｍと署名ｓとに対し次の検査式（２０），
（２１） Ｘ_1i・ｙ^qi＝ｇ^Yi(mod p) （２０） Ｘ_2i・ｓ^qi＝ｍ^Yi(mod p) （２１） を満たすか否かを検査する。各ｉ（ｉ＝１，…，ｚ）に
対してｑ_i ＝０の時には両検査式を合格することを確認
し、つまりＸ_1i，Ｘ_2iをｒ_i から作ったことを確認し、
署名者Ａが不正していないことを検証し、またｑ_i ＝１
の時には両検査式に合格ならばｓがｍに対する署名者Ａ
の正当な署名であり、前者の検査式（２０）のみに合格
ならばｓがｍに対する署名者Ａの正当な署名でないと判
断する。Step 9 The verifier B receives the received v ₀ ,
v ₁ in the remainder with calculators 520, 530 using (1
Equations 4) and (15) are calculated, and the calculated results are checked using comparators 525 and 535 to see if they match the previously received verification information A ₀ and A ₁ , respectively. If it passes, the processing is stopped assuming that the signer A's fraud has been detected. If it passes, the calculator 540 with the remainder uses X _1i and y and q _i and p received earlier to calculate X _1i.
· Y calculates the ^qi (mod p), also calculates the X _2i · s ^qi in the remainder with calculator 555 (mod p) by using the X _2i and s and q _i and p, and the Y _i received and g, calculates the g ^Yi (mod p) in the remainder with calculator 545 by using the p, calculates the m ^Yi (mod p) in the remainder with calculator 560 by using the Y _i and m and p, These are compared by comparators 550 and 565, respectively, and the received Y _i , X _1i , X _2i and the previously transmitted q _i are
For the message m and the signature s, the following check expression (20),
^{_{(21) X 1i · y qi}} = g Yi (mod p) (20) X 2i · s qi = m Yi (mod p) to check whether satisfy (21). Each i (i = 1, ..., z) at the time of q _i = 0 with respect to confirm that you want to pass both the inspection type, in other words X _1i, the X _2i sure that you have made from the r _i,
Verify that signer A is not fraudulent, and q _i = 1
In the case of s, if both check expressions pass, s is the signer A for m
If only the former check expression (20) is passed, it is determined that s is not a valid signature of signer A for m.

【００２７】このように（２０）式が成立している状態
で（２１）式が成立すれば正しい署名であると認識し、
（２１）式が不成立であれば、正しくない署名であると
認識する。また正しい署名を正しくないと署名者が否認
しようとして、例えば（１９）式を満さないＹ_i を送信
すれば、（２１）式が成立しないが、（２０）式も成立
しないため、つまり鍵の正当性が検証されなくなるか
ら、不正があったと判定される。このようにして正しい
署名を署名者が否認することはできない。このようにし
て署名の確認と否認とを同一手続きで行える。If equation (21) is satisfied while equation (20) is satisfied, the signature is recognized as being correct.
If the expression (21) is not satisfied, it is recognized that the signature is incorrect. The trying denial correct signature and signature incorrect person, for example (19) by transmitting a is full no Y _i the formula, because not satisfied (21), (20) also does not hold, that is the key Is no longer verified, it is determined that there has been fraud. In this way, the correct signature cannot be rejected by the signer. In this way, the signature can be confirmed and rejected by the same procedure.

【００２８】検証者にとっては署名の確認と否認とだけ
が得られればよく、例えばｑ_i を漏らしたくない、同様
に署名者はｘを漏らしたくない。検証者が例えばｘを知
ろうとして不正をしても、ステップ８におけるｑ_i ，ｕ
_i と先に受信したＱ_i とによりｑ_i の正当性を検証する
ことにより、検証者の不正を検出できる。同様に署名者
が例えば不正にｑ_i を知ろうとしても、ステップ９にお
けるｖ₀ ，ｖ₁ と先に受信したＡ₀ ，Ａ₁ との検証によ
り、Ａ₀ ，Ａ₁ の正当性を検証して、署名者の不正を検
出することができる。更にＡ₀ ，Ａ₁ に関する情報を複
数同時に送り、かつ通信文Ｘ_1i，Ｘ_2iも複数同時に送っ
ているが、ｑ_i ，ｕ_i とＱ_i との確認、ｖ₀ ，ｖ₁ とＡ
₀ ，Ａ₁ との確認も行うことにより、全体として安全性
が保証される。The verifier only needs to confirm and reject the signature. For example, he does not want to leak q _i , and similarly, he does not want to leak x. If the verifier cheats, for example, to know x, q _i , u in step 8
By verifying the validity of q _i using _i and the previously received Q _i , it is possible to detect the verifier's fraud. Similarly, signer as will know illegally q _i For example, the verification with A _0, A ₁ to v _0, v received in ₁ and the leading in Step 9, to verify the validity of A _0, A ₁ Thus, the signer's fraud can be detected. Moreover A _0, A ₁ information multiple simultaneous feed about, and the communication statement X _1i, although sending X _2i also several simultaneously, q _i, confirmed the u _i and Q _i, v _0, v ₁ and A
_0, by performing also confirmed with A _1, safety is ensured as a whole.

【００２９】[0029]

【発明の効果】この発明の方法とChaum の方式とを比較
すると下記のようになる。但し、Chaum の方式もこの発
明の方法も鍵の生成、署名の作成の手順においては相違
がないので、以下、署名の検査・否認の手順のみについ
て考察する。 （１）検証者の処理量 まず、Chaum の方式では、確認の手順で、乱数生成２
回、べき乗演算６回、乗算３回、加算１回が必要であ
り、否認の手順で、乱数生成２ｚ回、べき乗演算４ｚ
回、乗算２ｚ回、コミットメント関数の計算ｚ回が必要
であり、計、乱数生成２ｚ＋２回、べき乗演算４ｚ＋６
回、乗算２ｚ＋３回、加算１回、コミットメント関数の
計算ｚ回が必要である。[Effect of the Invention] When comparing the scheme of how the Chaum of the present invention is as follows. However, generation of even the key way also the present invention method of Chaum, since there is no difference in the procedure of creating a signature will now be discussed only procedure for inspection and denial of signature. (1) Verifier's processing volume First, in Chaum's method, the random number generation 2
Times, exponentiation 6 times, multiplication 3 times, and addition 1 time are required, and in the denial procedure, random number generation 2z times, exponentiation operation 4z
Times, multiplication 2z times, it requires calculating z times commitment function, total, random number generation 2z + 2 times, base Ki multiply operation 4z + 6
Times, multiplication 2z + 3 times, addition once, and calculation of commitment function z times are required.

【００３０】一方、この発明方法においては、確認、お
よび、否認のどちらの手順においても、乱数生成２ｚ
回、べき乗演算３ｚ＋２回、乗算３ｚ回だけを行えばよ
い。従ってこの発明方法の方が処理量が少ない。 （２）署名者の処理量 Chaum の方式では、確認の手順で、乱数生成１回、べき
乗演算２回、乗算１回が必要であり、否認の手順で、べ
き乗演算（ｋ＋６）ｚ回、乗算２回、除算２回、コミッ
トメント関数の計算ｚ回が必要であり、計、乱数生成１
回、べき乗演算（ｋ＋６）ｚ＋２回、乗算２ｚ＋１回、
除算２ｚ回、コミットメント関数の計算ｚ回が必要であ
る。[0030] On the other hand, in the present invention how, confirmation, and, in either of the denial procedure, random number generation 2z
, Power operation 3z + 2 times, and multiplication 3z times only. Thus the processing volume towards the invention how small. (2) Signer's Processing Amount Chaum's method requires one random number generation, two exponentiation operations, and one multiplication in the confirmation procedure, and a power operation (k + 6) z times, multiplication in the denial procedure. Two times, two divisions, and z calculations of the commitment function are required.
Times, exponentiation operation (k + 6) z + 2 times, multiplication 2z + 1 times,
It requires 2 z divisions and z calculations of the commitment function.

【００３１】一方、この発明方法においては、確認、お
よび、否認のどちらの手順においても、乱数生成ｚ＋２
回、べき乗演算２ｚ＋２回、乗算ｚ回、剰余付き加算ｚ
回だけを行えばよい。この発明方法の方が処理量が少な
い。 （３）システム内の通信量 以下、ｐ，ｍ，ａ，ｂ，ｑ，ｅ，ｄ，ｖ₀ ，ｖ₁ ，
ｑ_i ，ｕ_i をそれぞれを５００ビットとして比較する。On the other hand, in the present invention how, confirmation, and, in either of avoidance procedure, the random number generation z + 2
Times, exponentiation 2z + 2 times, multiplication z times, addition z with remainder
You only need to do it once. Processing amount lesser of the invention how. (3) Traffic volume in the system Hereafter, p, m, a, b, q, e, d, v ₀ , v ₁ ,
q _i and u _i are compared with each other as 500 bits.

【００３２】Chaum の方式においては、確認の手順で、
８×５００ビットの通信量を必要とし、否認の手順で
は、７×５００×ｚビットの通信量を必要とする。すな
わち、全体として必要な通信量は、 ３５００ｚ＋４０００ビット である。In Chaum's method, the confirmation procedure is as follows:
The communication volume of 8 × 500 bits is required, and the denial procedure requires a communication volume of 7 × 500 × z bits. That is, the communication amount required as a whole is 3500z + 4000 bits.

【００３３】一方、この発明方法は、確認と否認の手順
のどちらにおいても、それに必要な通信量は、２５０１
ｚ＋２０００ビットであり、合計、５００２ｚ＋４００
０ビットの通信量が必要となる。しかし、Chaum の方式
では、手続きの通信回数が、確認の手順で、５回である
のに対し、否認の手順では、５ｚ回必要とする。[0033] On the other hand, the present invention how is, and in both of even denial of the procedure, it required communication amount is confirmed, 2501
z + 2000 bits, for a total of 5002z + 400
A communication amount of 0 bits is required. However, in the Chaum system, the number of communication times of the procedure is 5 in the confirmation procedure, whereas 5z times are required in the denial procedure.

【００３４】一方、この発明方法は、確認と否認の手順
のどちらにおいても、それに必要な通信回数は７回であ
り、この発明方法では通信回数が削減されていることが
分かる。 （４）装置の構成 Chaum の方式においては、署名者が、署名の検査を依頼
されたときに、それの正当性を判断して、それに応じ
て、確認、ないし、否認の手順を選択して通信を実行す
るが、その際、確認／否認それぞれに専用の装置を必要
とする。On the other hand, the present invention how, in both the confirmation and denial procedure also it required communication number is seven times, it can be seen that has been reduced the number of communications in the present invention how. (4) Configuration of Device In Chaum's method, when a signer is requested to check a signature, the signer judges the validity of the request and selects a confirmation or denial procedure accordingly. Communication is performed, and at that time, a dedicated device is required for each of confirmation / denial.

【００３５】しかし、この発明方法においては、確認と
否認の手順を同一にしたため、確認／否認それぞれを同
一装置で実現でき、通信装置の規模を削減することがで
きる。 （５）安全性の証明 この発明の方法ではｚ回にわけて通信するかわりに、ｚ
回分の通信を同時に行っているが、この発明の方法の安
全性については、Mihir Bellare, Silvio Micali, Rafa
il Ostrovsky：“Perfect zero-knowledge in constant
rounds ”，STOC'90, pp.482-493 に示されている方式
と同様にして証明することができる。[0035] However, in the present invention how, because of the review and denial of procedures on the same, can be realized, respectively confirmation / denial by the same apparatus, it is possible to reduce the size of the communication device. (5) instead of communicating divided into safety proof in z times how the present invention, z
It is performed a batch of communication at the same time, about the safety of the way of the present invention, Mihir Bellare, Silvio Micali, Rafa
il Ostrovsky: “Perfect zero-knowledge in constant
rounds ", STOC'90, pp.482-493.

【図面の簡単な説明】[Brief description of the drawings]

【図１】この発明が適用されるシステムの構成例を示す
ブロック図。FIG. 1 is a block diagram showing a configuration example of a system to which the present invention is applied.

【図２】図１中の公開ファイル１００の内容例を示す
図。FIG. 2 is a view showing an example of the contents of a public file 100 in FIG. 1;

【図３】署名者Ａと検証者との間の通信シーケンスを示
す図。FIG. 3 is a diagram showing a communication sequence between a signer A and a verifier.

【図４】署名者装置２００の一部を示すブロック図。FIG. 4 is a block diagram showing a part of the signer apparatus 200.

【図５】署名者装置２００の他の部分を示すブロック
図。FIG. 5 is a block diagram showing another part of the signer apparatus 200.

【図６】検証者装置５００の一部を示すブロック図。FIG. 6 is a block diagram showing a part of the verifier apparatus 500.

【図７】検証者装置５００の他の部分を示すブロック
図。FIG. 7 is a block diagram showing another part of the verifier apparatus 500.

【符号の説明】[Explanation of symbols]

１００ 公開ファイル ２００ 署名者Ａ ３００，４００ 通信路 ５００ 検証者 ２０５，２２０，２３５，５１０ 乱数発生器 ２１０，２１５，２２５，２３０，２４０，２４５，２
５５，２６５，５０５，５１５，５２０，５３０，５４
０，５４５，５５５，５６０，剰余付き計算器 ２５０，５２５，５３５，５５０，５６５ 比較器 ２６０ 乗算器Reference Signs List 100 public file 200 signer A 300, 400 communication channel 500 verifier 205, 220, 235, 510 random number generator 210, 215, 225, 230, 240, 245, 2
55,265,505,515,520,530,54
0, 545, 555, 560, calculator with remainder 250, 525, 535, 550, 565 comparator 260 multiplier

フロントページの続き (56)参考文献 藤岡，岡本，太田，「対話型双証明方 式とＵｎｄｅｎｉａｂｌｅ署名法」, 1991年電子情報通信学会春季全国大会講 演論文集（１）（1991．３．15），Ａ− 289（ｐ291) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)Continuation of the front page (56) References Fujioka, Okamoto, Ota, "Interactive Bi-Proof and Unable Signature Method", Proc. Of the 1991 IEICE Spring Conference (1) (1991.15.1991) ), A-289 (p291) (58) Fields investigated (Int. Cl. ⁷ , DB name) G09C 1/00-5/00 H04K 1/00-3/00 H04L 9/00 INSPEC (DIALOG) JICST file (JOIS)

Claims (1)

(57)【特許請求の範囲】(57) [Claims] 【請求項１】 素数ｐとｐの原始根ｇが公開され、 署名者装置は署名用鍵ｘを生成し、 ｙ＝ｇ^x(mod p) を計算して公開情報ｙを公開し、 署名者装置はメッセージｍに対し、 ｓ＝ｍ^x(mod p) を計算し、ｍとその署名ｓを検証者装置へ送信し、 検証者装置はメッセージｍとその署名ｓを署名者装置へ
送信し、 署名者装置はｍ、ｓを受信すると、乱数ｖ₀とｖ₁を生成
し、ｐ、ｑを用いて、 Ａ₀＝ｇ^v0 (mod p) Ａ₁＝ｇ^v1 (mod p) をそれぞれ計算し、これら検証用情報Ａ₀、Ａ₁を検証者
装置へ送信し、 検証者装置はＡ₀、Ａ₁を受信すると、乱数ｑ_i∈｛０，
１｝（ｉ＝１，…，ｚ）と乱数ｕ_i（ｉ＝１，…，ｚ）
を生成し、ｑ_i＝０でＡ₀について、ｑ_i＝１でＡ₁につい
て、 Ｑ_i＝Ａ_qiｇ^ui(mod p) を計算し、通信文Ｑ_iを署名者装置へ送信し、 署名者装置はＱ_iを受信すると、乱数ｒ_i（ｉ＝１，…，
ｚ）を生成し、 Ｘ_1i＝ｇ^ri(mod p) Ｘ_2i＝ｍ^ri(mod p) を計算し、これら通信文Ｘ_1i、Ｘ_2iを検証者装置へ送信
し、 検証者装置はＸ_1i、Ｘ_2iを受信すると、（ｑ_i，ｕ_i）
（ｉ＝１，…，ｚ）を署名者装置へ送信し、 署名者装置は受信したｑ_i、ｕ_iで Ｑ_i＝Ａ_qiｇ^ui(mod p) を計算し、この計算結果が先に受信したＱ_iと比較し、
一致すると、 Ｙ_i＝ｒ_i＋ｑ_iｘ(mod p-1) を計算し、通信文Ｙ_iとｖ₀、ｖ₁を検証者装置へ送信
し、上記比較が不一致であれば処理を停止し、 検証者装置は受信したｖ₀、ｖ₁により Ａ₀＝ｇ^v0 (mod p) Ａ₁＝ｇ^v1 (mod p) をそれぞれ計算し、これら計算結果と先に受信した検証
用情報Ａ₀、Ａ₁とをそれぞれ比較し、不一致で署名者装
置が不正として処理を停止し、共に一致すると、 Ｘ_1i・ｙ^qi(mod p) を演算し、かつｇ^Yi(mod p)を演算し、これら両演算結
果を比較し、 かつＸ_2i・ｓ^qi(mod p)を演算し、またｍ^Yi(mod p)を演
算し、これら両演算結果を比較し、 ｑ_i＝０である各ｉに対して、両比較が不一致のとき、
署名者装置が不正を行ったことを出力し、両比較が一致
のとき、署名者装置が不正していないことを出力し、 ｑ_i＝０である各ｉに対する両比較が一致した場合は更
に、ｑ_i＝１である各ｉに対して、両比較が一致してい
れば、ｓがｍに対する署名者装置の正当な署名であるこ
とを出力し、Ｘ_1i・ｙ^qi(mod p)とｇ ^Yi(mod p)との比
較のみ一致していれば、ｓがｍに対する正当な署名でな
いことを出力することを特徴とするディジタル署名方
法。1. A prime number p and a primitive root g of p are disclosed, a signer apparatus generates a signature key x, calculates y = g ^x (mod p), publishes public information y, and discloses a signer. The device calculates s = ^mx (mod p) for the message m, sends m and its signature s to the verifier device, and the verifier device sends the message m and its signature s to the signer device, Upon receiving m and s, the signer apparatus generates random numbers v ₀ and v ₁ , and calculates A ₀ = g ^v0 (mod p) and A ₁ = g ^v1 (mod p) using p and q, respectively. The verification information A ₀ and A ₁ are transmitted to the verifier device. When the verification device receives A ₀ and A ₁ , the random number q _i ∈ ｛0,
1｝ (i = 1,..., Z) and random number u _i (i = 1,..., Z)
Generate, for A ₀ at q _i = 0, for A ₁ in q _i = 1, calculate the ^{_{Q i = A qi g ui (}} mod p), and sends the communication text Q _i to the signer apparatus, the signature Upon receiving Q _i , the user apparatus receives a random number r _i (i = 1,...,
It generates a ^{_{z), X 1i = g ri}} (mod p) X 2i = m ri (mod p) is calculated and transmitted these communication text X _1i, the X _2i to verifier device, the verifier device X _1i , X _2i , (q _i , u _i )
(I = 1,..., Z) to the signer device, and the signer device calculates Q _i = A _qig g ^ui (mod p) with the received q _i and u _i , and this calculation result is Compare with the received Q _i ,
If a match, to calculate the _{Y i = r i + q i} x (mod p-1), transmits a communication text Y _i and v _0, v ₁ to the verifier's apparatus, the comparison stops processing if disagreement The verifier device calculates A ₀ = g ^v0 (mod p) A ₁ = g ^v1 (mod p) based on the received v ₀ and v ₁ , respectively, and calculates these calculation results and the previously received verification information A ₀ , a ₁ and were compared with each other, the signer apparatus mismatch stops processing as invalid, when both match, calculates the ^{_{X 1i · y qi (mod p}} ), and calculates the g ^Yi (mod p), these Compare both operation results, calculate X _2i · s ^qi (mod p), calculate m ^Yi (mod p), compare these two operation results, and for each i for which q _i = 0. And when both comparisons do not match,
Outputs that the signer device has been tampered with, and when both comparisons match, outputs that the signer device has not been tampered with, and furthermore when both comparisons for each i for q _i = 0 match, , Q _i = 1, if both comparisons match, then output that s is a valid signature of the signer's device for m, and X _1i · y ^qi (mod p) and A digital signature method, which outputs that s is not a valid signature for m if only a comparison with g ^Yi (mod p) is made.