JP7460515B2

JP7460515B2 - 電子署名生成装置、電子署名生成方法及び電子署名生成プログラム

Info

Publication number: JP7460515B2
Application number: JP2020215118A
Authority: JP
Inventors: 大樹岡田; 晋作清本
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2020-03-13
Filing date: 2020-12-24
Publication date: 2024-04-02
Anticipated expiration: 2040-12-24
Also published as: JP2021150951A

Description

本発明は、電子署名を生成する装置、方法及びプログラムに関する。

従来、量子計算機の計算速度に対しても耐性を持つ次世代電子署名方式が研究されている。例えば、非特許文献１では、Ｍｏｄｕｌｅ－ＬＷＥ問題の計算困難性を安全性の根拠とする電子署名方式が提案されている。

Leo Ducas, Eike Kiltz, Tancrede Lepoint, Vadim Lyubashevsky, Peter Schwabe, Gregor Seiler, and Damien Stehle. CRYSTALS-Dilithium: A lattice-based digital signature scheme. IACR Transactions on Cryptographic Hardware and Embedded Systems, 2018(1): 238-268, Feb. 2018. Martin R. Albrecht, Benjamin R. Curtis, Amit Deo, Alex Davidson, Rachel Player, Eamonn W. Postlethwaite, Fernando Virdia, and Thomas Wunderer. Estimate all the {LWE, NTRU} schemes! In SCN 2018, pages 351-367, 2018. Eike Kiltz, Vadim Lyubashevsky, and Christian Schaffner. A concrete treatment of fiat-shamir signatures in the quantum random-oracle model. In Jesper Buus Nielsen and Vincent Rijmen, editors, Advances in Cryptology - EUROCRYPT 2018, pages 552-586, 2018. Mihir Bellare and Gregory Neven. Multi-signatures in the plain public-key model and a general forking lemma. In Proceedings of the 13th ACM Conference on Computer and Communications Security, CCS ’06, pages 390-399. ACM, 2006.

しかしながら、非特許文献１の方式では、公開鍵長の短縮を行う工夫がなされているが、秘密鍵長の短縮は十分でなく、電子署名の生成及び検証における効率性に課題があった。

本発明は、量子計算機に耐性を持ち、かつ、秘密鍵長を短縮できる電子署名生成装置、電子署名生成方法及び電子署名生成プログラムを提供することを目的とする。

本発明に係る電子署名生成装置は、Ｍｏｄｕｌｅ－ＬＷＥ問題における法ｑに対して、法ｐに縮小したＭｏｄｕｌｅ－ＬＷＲ問題の困難性を安全性の根拠とし、ノイズ情報を含まない秘密鍵及び公開鍵を含む鍵データを生成する鍵生成部と、前記Ｍｏｄｕｌｅ－ＬＷＲ問題におけるＲｏｕｎｄｉｎｇノイズを、前記公開鍵及び前記秘密鍵から算出して電子署名を生成する署名生成部と、を備える。

前記電子署名の安全性として、前記Ｒｏｕｎｄｉｎｇノイズの大きさが所定値となるように、パラメータが設定されてもよい。

前記電子署名の棄却率を所定以下とするため、前記鍵データの演算に伴うビットの繰り上がりの影響度が所定以下となるように、パラメータが設定されてもよい。

前記法ｑ及びｐは、２冪の数値が設定されてもよい。

前記署名生成部は、前記電子署名の検証者に、前記秘密鍵に基づく演算値における所定の長さの上位ビットを再構成させるために、前記演算値の下位ビットを保持し、前記上位ビットに基づく前記電子署名を、前記下位ビットに関する条件のもとに生成してもよい。

前記署名生成部は、前記電子署名の検証者に、前記秘密鍵に基づく演算値における所定の長さの上位ビットを再構成させるために、前記演算値の下位ビットを保持し、前記上位ビットの再構成の際に必要な、下位からの繰り上がりの有無の情報を、実際の演算の試行によらず、前記下位ビットに基づく値が前記所定の長さに応じた範囲にあることを条件に決定してもよい。

本発明に係る電子署名検証装置は、前記電子署名生成装置により生成された電子署名を、前記秘密鍵に基づいて算出される前記Ｒｏｕｎｄｉｎｇノイズを用いて検証する。

本発明に係る電子署名生成方法は、Ｍｏｄｕｌｅ－ＬＷＥ問題における法ｑに対して、法ｐに縮小したＭｏｄｕｌｅ－ＬＷＲ問題の困難性を安全性の根拠とし、ノイズ情報を含まない秘密鍵及び公開鍵を含む鍵データを生成する鍵生成ステップと、前記Ｍｏｄｕｌｅ－ＬＷＲ問題におけるＲｏｕｎｄｉｎｇノイズを、前記公開鍵及び前記秘密鍵から算出して電子署名を生成する署名生成ステップと、をコンピュータが実行する。

本発明に係る電子署名生成プログラムは、前記電子署名生成装置としてコンピュータを機能させるためのものである。

本発明によれば、量子計算機に耐性を持ち、かつ、秘密鍵長を短縮した電子署名を生成できる。

第１実施形態における電子署名生成装置の機能構成を示す図である。第１実施形態における電子署名方式で利用されるサブ関数Ｄｅｃｏｍｐｏｓｅのアルゴリズムを示す図である。第１実施形態における電子署名方式で利用されるサブ関数ＭａｋｅＨｉｎｔのアルゴリズムを示す図である。第１実施形態における電子署名方式で利用されるサブ関数ＵｓｅＨｉｎｔのアルゴリズムを示す図である。第１実施形態における電子署名方式のうち、鍵生成関数ＫｅｙＧｅｎのアルゴリズムを示す図である。第１実施形態における電子署名方式のうち、署名関数Ｓｉｇｎのアルゴリズムを示す図である。第１実施形態における電子署名方式のうち、検証関数Ｖｅｒｉｆのアルゴリズムを示す図である。第１実施形態における電子署名方式の具体的なパラメータ値を示す図である。第１実施形態における電子署名の鍵長を従来と比較して示す図である。第２実施形態における具体的なパラメータ値を示す図である。第２実施形態における署名生成方法で利用されるサブ関数のアルゴリズムを示す図である。第２実施形態における電子署名方式のうち、鍵生成関数ＫｅｙＧｅｎのアルゴリズムを示す図である。第２実施形態における電子署名方式のうち、署名関数Ｓｉｇｎのアルゴリズムを示す図である。第２実施形態における電子署名方式のうち、検証関数Ｖｅｒｉｆｙのアルゴリズムを示す図である。第２実施形態における電子署名方式に対して、高速化の手法を適用した場合の署名関数Ｓｉｇｎのアルゴリズムを示す図である。

［第１実施形態］
以下、本発明の実施形態の一例である第１実施形態について説明する。
本実施形態では、Ｍｏｄｕｌｅ－ＬＷＥ問題に基づく従来の電子署名方式を改良し、安全性の根拠をＭｏｄｕｌｅ－ＬＷＲ問題に基づく構成とすることで、秘密鍵長を短縮した。また、安全性及び署名棄却率を従来と同等にできるパラメータを設計した。

図１は、本実施形態における電子署名生成装置１の機能構成を示す図である。
電子署名生成装置１は、制御部１０及び記憶部２０の他、各種の入出力インタフェースを備えた情報処理装置（コンピュータ）である。制御部１０は、記憶部２０に格納されたソフトウェア（例えば、電子署名生成プログラム）を読み込み実行することにより、次の各部として機能する。

制御部１０は、鍵生成部１１と、署名生成部１２と、署名検証部１３とを備える。
なお、署名検証部１３を備えた電子署名検証装置が電子署名生成装置１とは別に設けられてもよい。

鍵生成部１１は、Ｍｏｄｕｌｅ－ＬＷＥ問題における法ｑに対して、法ｐに縮小したＭｏｄｕｌｅ－ＬＷＲ問題の困難性を安全性の根拠とし、ノイズ情報を含まない秘密鍵及び公開鍵を含む鍵データを生成する。

署名生成部１２は、Ｍｏｄｕｌｅ－ＬＷＲ問題におけるＲｏｕｎｄｉｎｇノイズを、公開鍵及び前記秘密鍵から算出して電子署名を生成する。

電子署名方式のパラメータは、安全性及び署名棄却率が所定のレベル、例えば従来の電子署名方式と同等になるように設定される。
本実施形態では、電子署名の安全性として、Ｒｏｕｎｄｉｎｇノイズの大きさが所定値（従来と同等）となるように、パラメータが設定される。
また、電子署名の棄却率を所定以下（従来と同等）とするため、鍵データの演算に伴うビットの繰り上がりの影響度が所定以下となるように、パラメータが設定される。
さらに、Ｒｏｕｎｄｉｎｇの効率化のため、法ｑ及びｐは、２冪の数値が設定される。

署名検証部１３は、署名生成部１２により生成された電子署名を、秘密鍵に基づいて算出されるＲｏｕｎｄｉｎｇノイズを用いて検証する。

ここで、まず、本実施形態において用いる表記及び定義を次に示す。

続いて、本実施形態における電子署名方式のアルゴリズムを示す。なお、このアルゴリズムは、非特許文献１においてＤｉｌｉｔｈｉｕｍと呼ばれている電子署名方式を改良したものである。

図２は、本実施形態における電子署名方式で利用されるサブ関数Ｄｅｃｏｍｐｏｓｅのアルゴリズムを示す図である。
ここで、ｒ：＝ｒｍｏｄ^＋ｐ（ステップ１）は、ｒ∈（－ｐ／２，ｐ／２］をｒ∈［０，ｐ）に変換する。
また、ｒ_０：＝ｒｍｏｄ^± α（ステップ３）は、ｒをｒ_０∈（－α／２，α／２］へ原点中心に変換する。なお、αは偶数とする。

この結果、ステップ４において、

のように、（α／２）捨（α／２＋１）入を行って、ｒ_１：＝（ｒ－ｒ_０）／αが算出される。

以下、簡単のため、次のように定義する。
ｒ_１：＝ＨｉｇｈＢｉｔｓ_ｐ（ｒ，α）
ｒ_０：＝ＬｏｗＢｉｔｓ_ｐ（ｒ，α）

図３は、本実施形態における電子署名方式で利用されるサブ関数ＭａｋｅＨｉｎｔのアルゴリズムを示す図である。
もし｜ｒ_０｜，｜ｚ_０｜＜α／４なら、｜ｒ_０＋ｚ_０｜＜α／２となり、常にｈ＝０である。｜ｒ_０｜，｜ｚ_０｜＜α／２の場合は、ｒ_０＋ｚ_０＞α／２のとき繰り上がり、ｒ_０＋ｚ_０＜－α／２のとき繰り下がる。

図４は、本実施形態における電子署名方式で利用されるサブ関数ＵｓｅＨｉｎｔのアルゴリズムを示す図である。
ここで、ＭａｋｅＨｉｎｔでｒ_０＋ｚ_０＜－α／２のとき繰り下がり、ＬｏｗＢｉｔｓ_ｐ（ｒ_０＋ｚ_０）＞０となっているため、ｒ_１はｒ_１＋１に修正される（ステップ３）。
また、ＭａｋｅＨｉｎｔでｒ_０＋ｚ_０＞α／２のとき繰り上がり、ＬｏｗＢｉｔｓ_ｐ（ｒ_０＋ｚ_０）＜０となっているため、ｒ_１はｒ_１－１に修正される（ステップ４）。

図５は、本実施形態における電子署名方式のうち、鍵生成関数ＫｅｙＧｅｎのアルゴリズムを示す図である。
具体的には、ＬＷＥサンプルＡｓ_１＋ｓ_２に代えて、ＬＷＲサンプル

が用いられ、その大きさは、Ｒ_ｑ ^ｋからＲ_ｐ ^ｋへと圧縮される（ステップ５）。
これにより、暗黙的に、

が定義され、ＬＷＲの困難性は、一様ノイズ

のＬＷＥとして評価できる。このとき、ｓ_２∈Ｓ_η ^ｋであるために、ｑ／２ｐ≦ηが必要である。
また、ｔ＝ｔ_１・２^ｄ＋ｔ_０とする（ステップ６）。

図６は、本実施形態における電子署名方式のうち、署名関数Ｓｉｇｎのアルゴリズムを示す図である。
ここでは、

を定義し（ステップ７）、

とする。

そして、ＬＷＥのノイズに相当する値を算出するため、主にステップ１１，１２が変更されている。このとき、

である。

図７は、本実施形態における電子署名方式のうち、検証関数Ｖｅｒｉｆのアルゴリズムを示す図である。
なお、検証者は、ｔ_０だけを持っていることとする。

署名関数Ｓｉｇｎと同様に、ステップ３が変更され、

となる。

図８は、本実施形態における電子署名方式の具体的なパラメータ値を示す図である。
なお、（Ｄｉｌ）は、非特許文献１における従来手法（Ｄｉｌｉｔｈｉｕｍ）での値である。
次に、本実施形態における各パラメータの設計方法を示す。

［ｑの設定］
従来のＤｉｌｉｔｈｉｕｍの場合、ｑ＝２^２３－２^１３＋１であった。すると、ｑ－１＝２^２３－２^１３＝（２^９－１）２^１４＋２^１３であり、２^ｄ＝２^１４なので、ｔ_１∈｛０，…，２^９－１｝となる。したがって、ｔ_１の各係数は９ビットである。
本実施形態のＬＷＲ－Ｄｉｌｉｔｈｉｕｍの場合、ＬＷＲにおけるＲｏｕｎｄｉｎｇの処理を簡易化するために、法ｑを２冪とする。具体的には、ｑ＝２^２３と設定する。

［ｐ，η，（ｋ，ｌ）の設定］
従来のＤｉｌｉｔｈｉｕｍの場合、ＬＷＥにおけるノイズの標準偏差をσ＝２η／√１２、すなわち一様分布Ｕ（－η，η）の標準偏差とする。そして、非特許文献２のｌｗｅ－ｅｓｔｉｍａｔｏｒを用いて、実現したいセキュリティビットを満たすようにη，σ，（ｋ，ｌ）が設定される。

本実施形態のＬＷＲ－Ｄｉｌｉｔｈｉｕｍの場合、ｐはｑと同様に２冪の数、ただしｐ＜ｑとする。
また、従来のＤｉｌｉｔｈｉｕｍと同様に、ＬＷＥにおけるノイズの標準偏差をσ＝２η／√１２とするが、

と定義される。そして、非特許文献２のｌｗｅ－ｅｓｔｉｍａｔｏｒを用いて、実現したいセキュリティビットを満たすようにη，σ，（ｋ，ｌ）が設定される。

［βの設定］
従来のＤｉｌｉｔｈｉｕｍの場合、βは、Ｐｒ［∥ｃｓ_ｉ∥_∞＞β］＜２^－１２８≒０となるように設定されている。
ここで、ｓ_１，ｓ_２∈Ｓ_ηである。ｃ∈Ｂ_６０ｓ_ｉ∈Ｓ_ηなので、上界β≦６０ηの中で決められる。なお、∥ｃｓ_ｉ∥_∞の分布は後述する。

本実施形態におけるＬＷＲ－Ｄｉｌｉｔｈｉｕｍでは、ｓ_１∈Ｓ_η＝Ｒ^ｋ _{Ｕ（－η，η）}，ｓ_２∈Ｒ^ｋ _{Ｕ（－１／２，１／２）}となり、ｓ_２は小さくなるが、ｓ_１は従来のＤｉｌｉｔｈｉｕｍと同じである。
そこで、∥ｃｓ_１∥_∞＜β_１、∥ｃｓ_２∥_∞＜β_２（＜β_１）としてβ_１，β_２の二つに分け、それぞれＰｒ［∥ｃｓ_ｉ∥_∞＞β_ｉ］≒０を満たすように設定する。

∥ｃｓ_２∥の分布は、次のように求まる。
・Ｙ_ｎ：＝Σ_ｉ＝１ ^６０Ｘ_ｉ，ｗｈｅｒｅＸ_ｉ～Ｕ（－１／２，１／２）
・Ｕ（－１／２，１／２）の分散σ^２＝１／１２
・中心極限定理より、Ｙ_ｎ～Ｎ（０，σ_Ｂ ^２：＝６０σ^２）

［γ_１，γ_２の設定］
従来のＤｉｌｉｔｈｉｕｍと同様に、γ_１：＝ｑ／１６，γ_２：＝γ_１／２と定義する。さらに、ｐ／ｑ倍された変数に対してγ_１，γ_２に当たるパラメータ

を定義する。なお、γ_１，γ_２は、後述する安全性に関わるパラメータである。

［ｄの設定］

を満たすようにｄを定義する。
一方、従来のＤｉｌｉｔｈｉｕｍでは、ｄは、∥ｃｔ_０∥_∞≦∥ｃ∥_１・∥ｔ_０∥_∞≦６０・２^ｄ－１≦２γ_２＝γ_１＝２^１９となるように設定されている。すなわち、２^ｄ＝２^１４＜２^１９＝２γ_２＝γ_１である。

ここで、ｌｏｇ_２６０≒５．９なので、

とする。よって、従来のＤｉｌｉｔｈｉｕｍでは、

となり、本実施形態のＬＷＲ－Ｄｉｌｉｔｈｉｕｍでは、

となるので、常に従来のＤｉｌｉｔｈｉｕｍと同様の公開鍵長となる。

また、Ｈｉｇｈｂｉｔのビット長は、γ，ｄの設定から自ずと決まる。
現状、従来のＤｉｌｉｔｈｉｕｍでは、γ_１：＝（ｑ－１）／１６と設定されており、４ビット固定である。ＬＷＲでは、２η＝１６＝２^４程度となり、γ_１＝ｐ程度となってＨｉｇｈｂｉｔが存在しなくなるので、γ_２￣を設定する必要があった。
なお、これは、非特許文献１に示され、非特許文献３で証明されている。

［Ｂ_６０の設定］
Ｂ_ｈ⊂Ｒは、ｈ個の係数が－１又は１で、その他の係数が０の多項式の集合であり、

である。

図９は、本実施形態における電子署名の鍵長を従来と比較して示す図である。
ここでは、電子署名方式のアルゴリズムにおけるｔ＝ｔ_１・２^ｄ＋ｔ_０のビット長を示している。ｔ_１が公開鍵部分であり、ｔ_０が秘密鍵部分に当たる。

従来のＤｉｌｉｔｈｉｕｍにおいて、公開鍵部分のｔ_１が９ビット、秘密鍵部分のｔ_０が１４ビットのとき、本実施形態のＬＷＲ－Ｄｉｌｉｔｈｉｕｍでは、鍵データ全体の２３ビットがｑ／ｐのビット数だけ短くなる。例えば、図８のパラメータのうち、（Ｉ）及び（ＩＩ）では２^２３／２^１９＝２^４に相当する４ビットが、（ＩＩＩ）及び（ＩＶ）では２^２３／２^２０＝２^３に相当する３ビットが削減される。

また、これに伴い、Ｈｉｇｈｂｉｔｓの位置が下位ビット側へ移動し、秘密鍵部分ｔ_０の長さｄは、図８のパラメータのうち、（Ｉ）及び（ＩＩ）では１４ビットから１０ビットに、（ＩＩＩ）及び（ＩＶ）では１１ビットに短縮される。
ここで、公開鍵部分ｔ_１の長さは９ビットから変化していない。これは、電子署名の安全性及び署名棄却率を従来と同等に維持するためのパラメータ設定がされたことによる。

［安全性設計］
ここで、本実施形態における電子署名の安全性を示す。
まず、次のＳｅｌｆＴａｒｇｅｔＭＳＩＳ問題を定義する。
Ｈを暗号学的ハッシュ関数、Ａ←＄Ｒ^ｍ×ｋ、Ｉは単位行列であるとすると、ＳｅｌｆＴａｒｇｅｔＭＳＩＳ_{ｍ，ｋ，γ}とは、

を満たすベクトル

を求める問題である。
Ａの最後尾の１列をｔ、つまりＡ＝［Ａ’ ｔ］とおくと、

となり、Ｄｉｌｉｔｈｉｕｍで使われる形になる。

非特許文献１によれば、従来のＤｉｌｉｔｈｉｕｍの場合、ＵＦ－ＮＭＡｓｅｃｕｒｉｔｙを示すには、ＭＬＷＥ_{ｋ，ｌ，Ｄ}の困難性の仮定の下に、攻撃者が（Ａ，ｔ＝Ａｓ_１＋ｓ_２）ではないランダムな（Ａ，ｔ）を受け取り、
・∥ｚ∥_∞＜γ_１－β
・Ｈ（μ∥ＵｓｅＨｉｎｔ_ｑ（ｈ，Ａｚ－ｃｔ_１・２^ｄ・２γ_２））＝ｃ
・Ｈｗ（ｈ）≦ω
を満たす有効なメッセージと署名との組Ｍ，（ｚ，ｈ，ｃ）を生成する困難性を示せばよい。

２γ_２・ＵｓｅＨｉｎｔ_ｑ（ｈ，Ａｚ－ｃｔ_１・２^ｄ，２γ_２）
＝２γ_２・ＨｉｇｈＢｉｔｓ_ｑ（Ａｚ－ｃｔ，２γ_２）
＝Ａｚ－ｃｔ_１・２^ｄ＋ｕ
において、∥ｕ∥_∞≦２γ_２＋１である。また、ｔ＝ｔ_１・２^ｄ＋ｔ_０より、
Ａｚ－ｃｔ_１・２^ｄ＋ｕ＝Ａｚ－ｃ（ｔ－ｔ_０）＋ｕ＝Ａｚ－ｃｔ＋（ｃｔ_０＋ｕ）
＝Ａｚ－ｃｔ＋ｕ’
∥ｕ’∥_∞≦∥ｃ∥_１・∥ｔ_０∥_∞＋∥ｕ∥_∞≦６０・２^ｄ－１＋２γ_２＋１≦４γ_２
である。

よって、新しいメッセージに対する署名を偽造することが可能な攻撃者は、

を満たす∥ｚ∥_∞＜γ_１－β，∥ｃ∥_１，∥ｕ’∥_∞＜４γ_２を求めることができる。表記を簡単にするために、Ｈ’を、Ｈ（μ∥ｘ）＝Ｈ’（μ∥２γ_２ｘ）を満たすハッシュ関数と定義する。すると、

であり、Ａ，ｔは一様にランダムなので、これは非特許文献３において提案された前述のＳｅｌｆＴａｒｇｅｔＭＳＩＳ問題そのものである。また、ＳｅｌｆＴａｒｇｅｔＭＳＩＳは、非特許文献４において、ｆｏｒｋｉｎｇｌｅｍｍａを用いたＳＩＳからの帰着が示されている。

非特許文献１においては、このＳｅｌｆＴａｒｇｅｔＭＳＩＳのＣｏｎｃｒｅｔｅな困難性評価を行うために、Ｈ’（μ∥ｗ）＝ｃを満たすｗを総当たり等で求められたことは仮定し、ｗ＝Ａｚ＋ｕ’＋ｃｔを満たすようなｚ＋ｕ’の組を見つける計算量を求めている。すなわち、ｗを求める計算量は無視し、大きく攻撃者優位な評価がされている。
具体的には、従来のＤｉｌｉｔｈｉｕｍにおいては、ｔ’：＝ｗ＋ｃｔとおき、
Ａｚ＋ｕ’＝ｔ’
∥ｚ∥_∞＜４γ_２
∥ｕ’∥_∞＜４γ_２
を満たすｚ，ｕ’を求める計算量で評価されている。
より詳しくは、∥ｚ∥_∞＜γ_１－β≒２γ_２、かつ、ｕ’はそのｗ個の係数以外のノルムが２γ_２以下なので、ここでもｃｏｎｓｅｒｖａｔｉｖｅな評価である。

次に、本実施形態におけるＬＷＲ－Ｄｉｌｉｔｈｉｕｍの場合、

において、

である。また、ｔ＝ｔ_１・２^ｄ＋ｔ_０より、

である。ここで、ｄは、

を満たすように定義している。よって、

となる。ここで、定義より、

であることを用いた。以上により、本実施形態におけるＬＷＲ－Ｄｉｌｉｔｈｉｕｍが従来のＤｉｌｉｔｈｉｕｍと同等のセキュリティ強度を持つことが示された。

［署名棄却率］
本実施形態における署名棄却率を示す。
従来のＤｉｌｉｔｈｉｕｍの場合、以下の条件（１）～（５）のそれぞれについて確率を求める。

（１）∥ｚ∥_∞＜γ_１－β．
（ｚ：＝ｙ＋ｃｓ_１，ｙ←Ｓ^ｌ _γ１－１），Ｓ_η：＝｛ｗ∈Ｒ｜∥ｗ∥_∞≦η｝．
セキュリティのために、ＳＶＰの解の部分に当たるｚは小さくある必要がある。
ｃｓ_１のそれぞれの係数をσとする。ｙ_ｉの各係数は、［－（γ_１－β－１）－σ，（γ_１－β－１）－σ］にあればよいので、確率は、

となる。

（２）∥ｒ_０∥_∞＜γ_２－β
ｒ_０：＝ＬｏｗＢｉｔｓ_ｑ（ｗ－ｃｓ_２，２γ_２）において、ｗは一様分布なので、ｗ－ｃｓ_２も一様分布である。したがって、確率は、

となる。

（３）ｒ_１＝ｗ_１
上述の条件∥ｒ_０∥_∞＜γ_２－βを満たすとき、∥ｃｓ_２∥_∞≦βならば、∥ｒ_０＋ｃｓ_２∥_∞＜γ_２が成り立つので、ｒ_１：＝ＨｉｇｈＢｉｔｓ_ｑ（ｗ－ｃｓ_２，２γ_２）＝ＨｉｇｈＢｉｔｓ_ｑ（ｗ，２γ_２）：＝ｗ_１である。
確率Ｐｒ［∥ｃｓ_２∥_∞≦β］について、ｃｓ_２の分布は、次のように求まる。
・ｓ_２∈Ｓ_η ^ｋ
・Ｘ_ｉ：＝（ｓ_２の各係数）とすると、ｉ．ｉ．ｄでＸ_ｉ～Ｕ（－η，η）．
・σ_η ^２：＝Ｖａｒ（Ｘ_ｉ）＝（２η）^２／１２，
・（ｃｓ_２の一つの係数）：＝Ｙ＝Σ_ｉ－１ ^６０Ｘ_ｉ
～Ｎ（０，６０・σ_η ^２）（∵中心極限定理）
・Ｐｒ［∥Ｙ∥＜β］＝１－２Ｆ_Ｙ（－β）
したがって、確率は、
Ｐｒ［∥ｃｓ_２∥_∞＜β］＝（１－２Ｆ_Ｙ（－β））^ｎｋ
＝１－２ｎｋＦ_Ｙ（－β）＋Ｏ（Ｆ_Ｙ（－β）^２）（∵二項展開）
となる。

（４）∥ｃｔ_０∥_∞≦γ_２
ｔ＝ｔ_１・２^ｄ＋ｔ_０，ｗｈｅｒｅ ∥ｔ_０∥_∞≦２^ｄ－１
と書ける。なお、Ｐｏｗｅｒ２Ｒｏｕｎｄも、Ｄｅｃｏｍｐｏｓｅ_ｑと同様に下位ビットは０中心にｍｏｄされるため、ノルム（絶対値）は２^ｄ未満ではなく、２^ｄ－１以下となる。また、
∥ｃｔ_０∥_∞≦∥ｃ∥_１∥ｔ_０∥_∞≦６０・２^ｄ－１＜γ_１＝２γ_２
が成り立つ。
ここで、ｃｔ_０の分布は、次のように求まる。
・Ｘ_ｉ：＝（ｔ_０の各係数）とし、ｉ．ｉ．ｄでＸ_ｉ～Ｕ（－２^ｄ－１，２^ｄ－１）と仮定する。
・σ_Ｘ ^２＝Ｖａｒ（Ｘ_ｉ）＝（２・２^ｄ－１）^２／１２＝２^２ｄ／１２，
・Ｙ：＝Σ_ｉ－１ ^６０Ｘ_ｉ～Ｎ（０，６０・σ_Ｘ ^２）（∵中心極限定理）
このとき、

である。γ_２≒６．７σ_Ｙなので、確率Ｐｒ［∥ｃｔ_０∥_∞＜γ_２］は、少なくとも６σ区間（９９．９９９７％）以下であり、前述のＰｒ［∥ｃｓ_２∥_∞＜β］と同様に求められる。

（５）Ｈｗ（ｈ）＜ω
ｈ＝［［ＨｉｇｈＢｉｔｓ_ｑ（ｗ－ｃｓ_２＋ｃｔ_０，２γ_２）≠ＨｉｇｈＢｉｔｓ_ｑ（ｗ－ｃｓ_２，２γ_２）］］
であり、次の条件が成り立つ。
・∥ｒ_０∥_∞＜γ_２－β（ｒ_０：＝ＬｏｗＢｉｔｓ_ｑ（ｗ－ｃｓ_２，２γ_２））
・∥ｃｔ_０∥_∞≦γ_２
ここで、ｒ_０＋ｃｔ_０の分布は、次のように求まる。
・Ｘ_ｉ：＝（ｒ_０の各係数）とし、Ｘ～Ｕ（－γ_２，γ_２）と仮定する。
・Ｙ：＝（ｃｔ_０の各係数）とすると、Ｙ～Ｎ（０，σ_Ｙ ^２：＝６０・２^２ｄ／１２）である。
・Ｚ：＝Ｘ＋Ｙとすると、

Ｘ，Ｙ共にｘ軸対象なので、Ｚもｘ軸対象であることから、確率は、

であり、Ｈｗ（ｈ）～Ｂ（ｎｋ，ｐ）と分布が求められる。

以上をまとめると、電子署名生成の成功確率ｐ（平均試行回数１／ｐ）は、

である。

本実施形態におけるＬＷＲ－Ｄｉｌｉｔｈｉｕｍの場合、以下の条件（１）～（５）のそれぞれについて確率を求める。

（１）∥ｚ∥_∞＜γ_１－β_１
従来のＤｉｌｉｔｈｉｕｍと同様であり、確率は、

である。

（２）

この場合、

であり、ｗは一様分布なので、ｗ－ｃｓ_２＋ξ＋ξ’は一様分布である。したがって、確率は、従来のＤｉｌｉｔｈｉｕｍと同様に、

である。

（３）ｒ_１＝ｗ_１
∥ｒ_０∥_∞＜γ_２－β（ｒ_０：＝ＬｏｗＢｉｔｓ_ｑ（ｗ－ｃｓ_２，２γ_２））
の条件を満たすとき、∥ｃｓ_２＋ξ＋ξ’∥_∞≦β_２ならば、

である。ここで、ｓ_２，ξ，ξ’は同分布で、ｓ_２，ξ，ξ’∈Ｒ^ｋ _{Ｕ（－１／２，１／２）}なので、

と近似できる。結局、∥ｃｓ_２＋ξ＋ξ’∥_∞≦∥ｃｓ_２∥_∞＋１／２＋１／２≦β_２、つまり、∥ｃｓ_２∥_∞≦β_２－１を考えればよい。

（４）

この場合、

のようにｄを設定する。
ｃｔ_０の分布は、従来のＤｉｌｉｔｈｉｕｍと同様、中心極限定理により、Ｙ～Ｎ（０，６０・σ_Ｘ ^２）となる。Ｙ：＝（ｃｔ_０の各係数）なので、確率は、

である。

（５）Ｈｗ（ｈ）＜ω
ｒ_０＋ｃｔ_０の分布は、次のように求まる。
・Ｘ：＝（ｒ_０の各係数）とし、

と仮定する。
・Ｙ：＝（ｃｔ_０の各係数）とすると、Ｙ～Ｎ（０，σ_Ｙ ^２：＝６０・２^２ｄ／１２）である。

である。

本実施形態によれば、電子署名生成装置１において、電子署名方式における安全性の根拠を、従来のＭｏｄｕｌｅ－ＬＷＥからＭｏｄｕｌｅ－ＬＷＲに変更した。これにより、署名方式において扱う値の空間がＲ_ｑ ^ｋからＲ_ｐ ^ｋへ圧縮された。また、秘密鍵として、ＬＷＥにおけるノイズに相当する値を保持することなく、計算により求めることが可能となった。
この結果、図８に示したように、秘密鍵のバイト長は、従来法では、

であったところ、本実施形態では、

となった。すなわち、従来法と同等のセキュリティ及び公開鍵長において、秘密鍵長が約３０％程度短縮される。
さらに、扱う値が小さくなるため、実行速度の向上が期待できる。

このとき、安全性として、Ｒｏｕｎｄｉｎｇノイズの大きさが所定値となるように、例えば従来のＤｉｌｉｔｈｉｕｍと同等になるようにパラメータが設定される。
また、署名棄却率を所定以下に、例えば従来のＤｉｌｉｔｈｉｕｍと同等になるようにパラメータが設定される。
これにより、電子署名生成装置１は、安全性及び処理速度を従来と同等以上としつつも、秘密鍵長を短縮できる。

また、電子署名生成装置１は、前述のパラメータｑ及びｐを２冪の数値とすることにより、Ｒｏｕｎｄｉｎｇの処理を効率化でき、処理速度を向上できる。

［第２実施形態］
以下、本発明の実施形態の一例である第２実施形態について説明する。
本実施形態では、第１実施形態の電子署名生成装置１の機能構成（図１）から変更はなく、署名生成部１２が用いる署名生成アルゴリズムを変更することにより、署名生成処理を高速化した。
まず、第１実施形態と同様に、また、さらに追加して次の定義及び表記を用いる。

多項式環

を定義する。ｑ，ｎは整数であり、本実施形態では、ｎ＝２５６とする。

ｒ’＝ｒｍｏｄ^± αは、偶数の整数αに対しては、－α／２＜ｒ’≦α／２上のｒ’≡ｒｍｏｄ αを満たし、奇数の整数αに対しては、－（α－１）／２＜ｒ’≦（α－１）／２上のｒ’≡ｒｍｏｄ αを満たすユニークな値と定義する。

に対して、∥ｕ∥_∞：＝｜ｕｍｏｄ^± ｑ｜と定義し、多項式

に対して、ｌ_∞－ノルム及びｌ_２－ノルムを次のように定義する。

同様に、ベクトルｖ＝（ｖ_０，…，ｖ_ｋ－１）∈Ｒ^ｋに対して、次のノルムを定義する。

Ｓ_η：＝｛ｗ∈Ｒ｜∥ｗ∥_∞≦η｝である。
Ｂ_ｈは、その係数のうちｈ個の係数が－１又は１である多項式の集合である。
Ｈｗ（ｗ）は、多項式ｗ∈Ｒ^ｋの非ゼロの係数の数である。

「・」は、最近整数への丸め演算であり、この演算を多項式及びその行列へと拡張し、その係数への丸め演算とする。
ブール演算子

は、ｓｔａｔｅｍｅｎｔが真のとき１、偽のとき０を返す。
集合Ａから要素ａを一様ランダムに抽出する操作を、

と表記する。
本実施形態において、特に断りがない場合、全てのアルゴリズムを確率的とする。入力ｘに対するアルゴリズムＡの確率的計算の出力がｙであるとき、ｙ←Ａ（ｘ）と表記する。

本実施形態で用いる各種アルゴリズムのパラメータは、第１実施形態と共通である。
図１０は、本実施形態における具体的なパラメータ値を示す図である。
ここでは、安全性の強度に応じて、６種類のパラメータ群を例示する。

図１１は、本実施形態における署名生成方法で利用されるサブ関数のアルゴリズムを示す図である。

サブ関数Ｄｅｃｏｍｐｏｓｅ_ｐ（ｒ，α）によって、ｒは、α未満の下位ビットｒ_０と、上位ビットｒ_１とに分解され、ＨｉｇｈＢｉｔｓ_ｐ（ｒ，α）が上位ビットを、ＬｏｗＢｉｔｓ_ｐ（ｒ，α）が下位ビットをそれぞれ返す。

サブ関数ＭａｋｅＨｉｎｔ_ｐ（ｚ，ｒ，α）は、ｒにｚを加算することで、上位ビットに繰り上がりがあるか否かを返す。すなわち、ｒ_１＝ＨｉｇｈＢｉｔｓ_ｐ（ｒ，α）とｖ_１＝ＨｉｇｈＢｉｔｓ_ｐ（ｒ＋ｚ，α）とが等しくないとき、ｈ＝１となり、等しいとき、ｈ＝０となる。
サブ関数ＵｓｅＨｉｎｔ_ｐ（ｈ，ｒ，α）は、繰り上がりがある（ｈ＝１）とき、上位ビットｒ_１に対して、下位ビットの符号に合わせて１を加算又は減算して返す。

図１２は、本実施形態における電子署名方式のうち、鍵生成関数ＫｅｙＧｅｎのアルゴリズムを示す図である。
図１３は、本実施形態における電子署名方式のうち、署名関数Ｓｉｇｎのアルゴリズムを示す図である。
図１４は、本実施形態における電子署名方式のうち、検証関数Ｖｅｒｉｆｙのアルゴリズムを示す図である。
これらは、本実施形態による高速化の手法を適用する前のアルゴリズムであり、第１実施形態と同等のものである。

図１５は、本実施形態における電子署名方式に対して、高速化の手法を適用した場合の署名関数Ｓｉｇｎのアルゴリズムを示す図である。
本アルゴリズムでは、高速化の手法を適用する前（図１３）から、ステップ９，１５，１６が変更され、ステップ１４が削除されている。

本実施形態（及び第１実施形態）では、鍵長が短縮されたことに伴って、電子署名の検証の際には、アルゴリズム中の演算値ｗのうち、セキュリティパラメータγ_２に応じた上位ビットｗ_１が秘密鍵を用いることなく再構成されることが確認されればよい。
このとき、下位ビットが上位ビットに及ぼす影響（繰り上がり）の有無を示す値ｈが電子署名の一部として算出される。

本実施形態の署名生成部１２は、電子署名の検証者に、秘密鍵に基づく演算値ｗにおける所定の長さの上位ビットを再構成させるために、この演算値の下位ビットｗ_０を保持し、上位ビットｗ_１に基づく電子署名を、下位ビットｗ_０に関する条件のもとに生成する。
さらに、署名生成部１２は、検証者による上位ビットｗ_１の再構成の際に必要な、下位からの繰り上がりの有無の情報ｈを、実際の演算の試行（ＭａｋｅＨｉｎｔ）によらず、下位ビットｗ_０に基づく値が所定の長さに応じた範囲にあることを条件に決定する。

具体的には、署名生成部１２は、ステップ９において、ｗの上位ビットであるｗ_１に加えて、下位ビットのｗ_０を求める。この処理は、ｗ_１のみを保持する第１実施形態の処理負荷と同等である。
そして、第１実施形態では、ステップ１４及び１５において、ｗに基づく中間生成値の上位ビット及び下位ビットそれぞれによる複数の条件を用いて、ｗ_１が秘密鍵を用いずに再構成可能な電子署名を求められていたが、第２実施形態では、ｗ_０に基づく一つの条件のみで実現される。
また、署名生成部１２は、ステップ１６において、関数ＭａｋｅＨｉｎｔによる演算（加算）を行うことなく、ｃｔ_０の加算に伴う下位ビットから上位ビットへの繰り上がりの有無を判定する。

ここで、あるベクトルｓに対して、

のとき、

が成り立つ。なお、

である。

よって、ステップ１４及び１５のチェックは、

のチェックのみで代替できる。このチェックが真のとき、

が成り立つ。よって、ヒントベクトルｈは、多項式

の係数が

にあるか否かの真偽値で計算できるため、ＭａｋｅＨｉｎｔの代替とできる。

本実施形態によれば、電子署名生成装置１は、署名生成のアルゴリズムにおいて、ｗの下位ビットを活用することにより、第１実施形態と等価な演算を効率化でき、実装結果として約１０％の高速化を実現できた。
なお、署名生成アルゴリズムＳｉｇｎ（図１５）において、（１）「ステップ１４及び１５の変更」と、（２）「ステップ１６の変更」とは、いずれか一方のみによる高速化も可能であるが、（１）及び（２）両方の変更がより効果的である。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

電子署名生成装置１による電子署名生成方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１電子署名生成装置
１０制御部
１１鍵生成部
１２署名生成部
１３署名検証部
２０記憶部

Claims

Ｍｏｄｕｌｅ－ＬＷＥ問題における法ｑに対して、法ｐに縮小したＭｏｄｕｌｅ－ＬＷＲ問題の困難性を安全性の根拠とし、ノイズ情報を含まない秘密鍵及び公開鍵を含む鍵データを生成する鍵生成部と、
前記Ｍｏｄｕｌｅ－ＬＷＲ問題におけるＲｏｕｎｄｉｎｇノイズを、前記公開鍵及び前記秘密鍵から算出して電子署名を生成する署名生成部と、を備え、
前記署名生成部は、前記電子署名の検証者に、前記秘密鍵に基づく演算値における所定の長さの上位ビットを再構成させるために、前記演算値の下位ビットを保持し、前記上位ビットに基づく前記電子署名を、前記下位ビットに関する条件のもとに生成する電子署名生成装置。
前記電子署名の安全性として、前記Ｒｏｕｎｄｉｎｇノイズの大きさが所定値となるように、パラメータが設定される請求項１に記載の電子署名生成装置。
前記電子署名の棄却率を所定以下とするため、前記鍵データの演算に伴うビットの繰り上がりの影響度が所定以下となるように、パラメータが設定される請求項１又は請求項２に記載の電子署名生成装置。
前記法ｑ及びｐは、２冪の数値が設定される請求項１から請求項３のいずれかに記載の電子署名生成装置。
前記署名生成部は、前記電子署名の検証者に、前記秘密鍵に基づく演算値における所定の長さの上位ビットを再構成させるために、前記演算値の下位ビットを保持し、前記上位ビットの再構成の際に必要な、下位からの繰り上がりの有無の情報を、実際の演算の試行によらず、前記下位ビットに基づく値が前記所定の長さに応じた範囲にあることを条件に決定する請求項１から請求項４のいずれかに記載の電子署名生成装置。
請求項１から請求項５のいずれかに記載の電子署名生成装置により生成された電子署名を、前記秘密鍵に基づいて算出される前記Ｒｏｕｎｄｉｎｇノイズを用いて検証する電子署名検証装置。
Ｍｏｄｕｌｅ－ＬＷＥ問題における法ｑに対して、法ｐに縮小したＭｏｄｕｌｅ－ＬＷＲ問題の困難性を安全性の根拠とし、ノイズ情報を含まない秘密鍵及び公開鍵を含む鍵データを生成する鍵生成ステップと、
前記Ｍｏｄｕｌｅ－ＬＷＲ問題におけるＲｏｕｎｄｉｎｇノイズを、前記公開鍵及び前記秘密鍵から算出して電子署名を生成する署名生成ステップと、をコンピュータが実行し、
前記署名生成ステップにおいて、前記電子署名の検証者に、前記秘密鍵に基づく演算値における所定の長さの上位ビットを再構成させるために、前記演算値の下位ビットを保持し、前記上位ビットに基づく前記電子署名を、前記下位ビットに関する条件のもとに生成する電子署名生成方法。
請求項１から請求項６のいずれかに記載の電子署名生成装置としてコンピュータを機能させるための電子署名生成プログラム。