JPH10153956A - 電子署名方法、電子署名システム及び、記録媒体 - Google Patents

電子署名方法、電子署名システム及び、記録媒体

Info

Publication number
JPH10153956A
JPH10153956A JP9261762A JP26176297A JPH10153956A JP H10153956 A JPH10153956 A JP H10153956A JP 9261762 A JP9261762 A JP 9261762A JP 26176297 A JP26176297 A JP 26176297A JP H10153956 A JPH10153956 A JP H10153956A
Authority
JP
Japan
Prior art keywords
data
signature
integer
point
elliptic curve
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP9261762A
Other languages
English (en)
Inventor
Atsushi Shinpo
淳 新保
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toshiba Corp
Original Assignee
Toshiba Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toshiba Corp filed Critical Toshiba Corp
Priority to JP9261762A priority Critical patent/JPH10153956A/ja
Publication of JPH10153956A publication Critical patent/JPH10153956A/ja
Pending legal-status Critical Current

Links

Abstract

(57)【要約】 【課題】様々な運用形態を考慮した多重署名システムを
容易に構成できる電子署名方法を提供する。 【解決手段】有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、その
上の基点Ｇとを含むシステム情報と、楕円曲線Ｅ／Ｆｑ
上の点で定義される署名者の公開鍵Ｙと、公開鍵Ｙ＝ｘ
・Ｇを満たすように作成された署名者の秘密鍵ｘとを用
いて、任意に生成された乱数ｋと楕円曲線Ｅ／Ｆｑ上の
基点Ｇとに依存する点Ｒの少なくとも一部のデータと、
文書データＭと秘密鍵ｘと乱数ｋとに依存する整数ｓと
を含む署名データを生成し、文書データＭのみに依存す
る整数ｍと、点Ｒに依存する整数ｒと、署名データであ
る点Ｒの少なくとも一部のデータ及び整数ｓと、システ
ム情報と、署名者の公開鍵Ｙが与えられたときに、±ｓ
・Ｇ＝±ｍ・Ｙ±ｒ・Ｒ over Ｅ／Ｆｑで定義される関
係式を用いて署名検査を行なう工程を具備する。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、電子的な文書に対
する署名、捺印機能を実現する電子署名方法及び、この
電子署名方法を用いて構成した電子署名システム、さら
に、前記電子署名方法に関するプログラムが格納された
記録媒体に関する。
【０００２】
【従来の技術】電子署名（ディジタル署名）の作成法と
して様々な方式が考案されている。この中で代表的なも
のは素因数分解問題の困難性に基づく方式と離散対数問
題の困難性に基づく方式である。このうち離散対数問題
に基づく方式は、一般的な有限体上の乗法群を利用する
方式と楕円曲線上の加法群を利用する方式が存在する。
楕円曲線上の加法群における離散対数問題は有限体上の
乗法群における離散対数問題や素因数分解問題に比べ、
効率的な解法が発見されておらず、より安全性が高いと
いわれている。
【０００３】従って、同じ安全性を確保してディジタル
署名や公開鍵暗号方式を構成する場合、楕円曲線上の離
散対数問題をベースに構築したシステムは他の問題をベ
ースにした場合と比べてパラメータのサイズを小さく設
定することが可能であり、このことが処理量の削減にも
つながるという効果があることが知られている。
【０００４】有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑは、有限
体Ｆｑの標数が２もしくは３以外の場合、次式（１）中
のパラメータａ，ｂと有限体Ｆｑで定義される。楕円曲
線Ｅ／Ｆｑは標数が２もしくは３の場合にも定義可能で
あるがここでは省略する。
【０００５】 ｙ＾２＝ｘ＾３＋ａｘ＋ｂ（但しａ，ｂ，ｘ，ｙは有限体Ｆｑの元） （１） ここで、ｙ＾２はｙの２乗を表し、ｘ＾３はｘの３乗を
表すものとする。以下、ｘ＾ａでｘのａ乗を表す。
【０００６】楕円曲線Ｅ／Ｆｑの元は式（１）を満たす
（ｘ，ｙ）のペア（これを楕円曲線上の点と呼ぶ）と、
無限遠点Ｏとから成る。無限遠点Ｏは有限体Ｆｑの元の
ペア（ｘ，ｙ）という形式では表現できないが、実装上
は無限遠点を表す１ビットのフラグを用意すれば良い。
この楕円曲線上の点の集合は加算に関して群を構成する
ことが知られている。この加算に関して無限遠点Ｏは単
位元になる。
【０００７】楕円曲線Ｅ／Ｆｑのより詳細な説明や加算
の定義などは例えばKoblitz,“A Course in Number The
ory and Cryptography”，Springer-Verlag にある。以
下では特に断らない限り大文字で楕円曲線上の点（すな
わち、有限体Ｆｑの元のペアもしくは無限遠点）を表
し、小文字では有限体Ｆｑの元もしくは自然数を表すこ
ととする。なお、有限体Ｆｑはｑ＝ｐ＾ｔ（但しｐは素
数、ｔは正整数）個の元から成り、例えば、素体Ｚｐ
（０からｐ−１までの整数で構成される）や２の拡大体
ＧＦ（２＾ｔ）が典型的である。
【０００８】楕円曲線上のディジタル署名方式の代表的
な方式に楕円曲線上のElGamal 署名がある。この方式で
は、公開鍵として楕円曲線を定義する有限体Ｆｑ，ａ，
ｂ、基点Ｇ、基点Ｇの位数ｚを用いる。但し、基点Ｇの
位数ｚとは、ｚ・Ｇ＝Ｏ over Ｅ／Ｆｑを満たす最小の
正整数を表す。
【０００９】署名作成者の秘密鍵は位数ｚと互いに素で
ｚ未満の整数ｘであり、署名作成者の公開鍵は以下の点
Ｙである。 Ｙ＝ｘ・Ｇ over Ｅ／Ｆｑ 文書データＭのみに依存する整数ｍ（これは一般にディ
ジタルビット列で表現した文書データＭを暗号的なハッ
シュ関数により計算したダイジェスト情報である）に対
するディジタル署名は以下の手順により作成される。ま
ず、位数ｚと互いに素でｚ未満の自然数である乱数ｋを
決定し、このｋから次式のＲを求める。
【００１０】Ｒ＝ｋ・Ｇ over Ｅ／Ｆｑ 次に、楕円曲線上の点データをＺｚ（ｚ−１以下の自然
数）の中へ変換する関数ｆを用いて、以下のｒを求め
る。例えば、ハッシュ関数を用いれば良い。
【００１１】ｒ＝ｆ（Ｒ） さらに、以下のｓを求める。 ｓ＝（ｍ−ｘ・ｒ）／ｋ（mod ｚ） 署名データは（Ｒ，ｓ）のペアである。署名の検査は、
ｍ，Ｒ，ｓが次式を満たすことを検査することによって
行われる。
【００１２】ｒ＝ｆ（Ｒ） ｍ・Ｇ＝ｒ・Ｙ＋ｓ・Ｒ over Ｅ／Ｆｑ ElGamal 署名方式(ElGamal signature scheme) は、
“T.ElGamal,“A public key cryptosystem and a sign
ature scheme based on discrete logarithms”,IEEE T
rans. IT, Vol.IT-31, No.4, July 1985, pp.469-472
”に詳細に記載されている。
【００１３】以上の電子署名方式により一般の電子文書
に対する捺印機能を実現することができるが、さらに、
電子的な回覧文書に対する複数の署名者(signer)による
捺印機能も要望される。このような機能は複数の署名者
による同一の文書に対する署名データを連結することで
構成できる。しかし、このような構成では署名者数に比
例して署名データ量と署名検査の処理量が増加する欠点
がある。単純に個別の署名を連結する場合に比べて、署
名データサイズの増加が少なく抑えられる方式、あるい
は、署名検査の処理量が抑えられる方式が考案されてお
り、これらは多重署名法と呼ばれている。
【００１４】
【発明が解決しようとする課題】しかしながら、上記し
た多重署名法は、楕円曲線上の離散対数問題の困難性に
基づくElGamal 署名方式を用いたものではなかった。本
発明はこのような課題に着目してなされたものであり、
その目的とするところは、様々な運用形態を考慮した多
重署名システムを容易に構成できる楕円曲線を利用した
電子署名方法、及びこの電子署名方法を用いて構成した
電子署名システム、さらには前記電子署名方法に関する
プログラムが格納された記録媒体を提供することにあ
る。
【００１５】
【課題を解決するための手段】上記の目的を達成するた
めに、本発明の電子署名方法は、文書データＭに対する
電子署名データを作成し、この電子署名データに基づい
て署名検査を行なう電子署名方法であって、有限体Ｆｑ
上の楕円曲線Ｅ／Ｆｑと、この楕円曲線Ｅ／Ｆｑ上の基
点Ｇとを含むシステム情報と、前記楕円曲線Ｅ／Ｆｑ上
の点で定義される署名者の公開鍵Ｙと、この公開鍵Ｙ＝
ｘ・Ｇを満たすように作成された署名者の秘密鍵ｘとを
用いて、任意に生成された乱数ｋと前記楕円曲線Ｅ／Ｆ
ｑ上の基点Ｇとに依存する楕円曲線Ｅ／Ｆｑ上の点Ｒの
少なくとも一部のデータと、前記文書データＭと秘密鍵
ｘと乱数ｋとに依存する整数ｓとを含む署名データを生
成する署名データ生成工程と、前記文書データＭのみに
依存する整数ｍと、前記楕円曲線Ｅ／Ｆｑ上の点Ｒ及び
前記文書データＭのうち少なくとも点Ｒに依存する整数
ｒと、前記署名データである点Ｒの少なくとも一部のデ
ータ及び整数ｓと、前記システム情報と、前記署名者の
公開鍵Ｙが与えられたときに、±ｓ・Ｇ＝±ｍ・Ｙ±ｒ
・Ｒ over Ｅ／Ｆｑ（＋、−の符号は所定の条件により
決定）で定義される関係式またはこの関係式と等価な関
係式を署名検査式として用いて署名検査を行なう署名検
査工程とを具備する。
【００１６】また、本発明の電子署名システムは、文書
データＭに対する電子署名データを作成する署名データ
作成装置と、前記電子署名データに基づいて署名検査を
行なう署名検査装置とから構成される電子署名システム
であって、前記署名データ作成装置は、有限体Ｆｑ上の
楕円曲線Ｅ／Ｆｑと、この楕円曲線Ｅ／Ｆｑ上の基点Ｇ
とを含むシステム情報と、前記楕円曲線Ｅ／Ｆｑ上の点
で定義される署名者の公開鍵Ｙと、この公開鍵Ｙ＝ｘ・
Ｇを満たすように作成された署名者の秘密鍵ｘとを用い
て、任意に生成された乱数ｋと前記楕円曲線Ｅ／Ｆｑ上
の基点Ｇとに依存する楕円曲線Ｅ／Ｆｑ上の点Ｒの少な
くとも一部のデータと、前記文書データＭと秘密鍵ｘと
乱数ｋとに依存する整数ｓとを含む署名データを生成す
る手段を含み、前記署名検査装置は、前記文書データＭ
のみに依存する整数ｍと、前記楕円曲線Ｅ／Ｆｑ上の点
Ｒ及び前記文書データＭのうち少なくとも点Ｒに依存す
る整数ｒと、前記署名データである点Ｒの少なくとも一
部のデータ及び整数ｓと、前記システム情報と、前記署
名者の公開鍵Ｙが与えられたときに、前記整数ｓと前記
楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積からなる第１の項ｓ
・Ｇと、前記整数ｍと前記公開鍵Ｙとの積からなる第２
の項ｍ・Ｙと、前記整数ｒと前記楕円曲線Ｅ／Ｆｑ上の
点Ｒとの積からなる第３の項ｒ・Ｒとの間の特定の演算
により定義される関係式またはこの関係式と等価な関係
式を署名検査式として用いて署名検査を行なう手段を含
む。
【００１７】また、本発明の記録媒体は、文書データＭ
に対する電子署名データを作成する処理と、作成された
電子署名データに基づいて署名検査を行なう処理とをコ
ンピュータに実行させる命令を含むプログラムを格納し
た、コンピュータが読み取り可能な記録媒体であって、
前記電子署名データを作成する処理は、有限体Ｆｑ上の
楕円曲線Ｅ／Ｆｑと、この楕円曲線Ｅ／Ｆｑ上の基点Ｇ
とを含むシステム情報と、前記楕円曲線Ｅ／Ｆｑ上の点
で定義される署名者の公開鍵Ｙと、この公開鍵Ｙ＝ｘ・
Ｇを満たすように作成された署名者の秘密鍵ｘとを用い
て、任意に生成された乱数ｋと前記楕円曲線Ｅ／Ｆｑ上
の基点Ｇとに依存する楕円曲線Ｅ／Ｆｑ上の点Ｒの少な
くとも一部のデータと、前記文書データＭと秘密鍵ｘと
乱数ｋとに依存する整数ｓとを含む署名データを生成
し、前記署名検査を行なう処理は、前記文書データＭの
みに依存する整数ｍと、前記楕円曲線Ｅ／Ｆｑ上の点Ｒ
及び前記文書データＭのうち少なくとも点Ｒに依存する
整数ｒと、前記署名データである点Ｒの少なくとも一部
のデータ及び整数ｓと、前記システム情報と、前記署名
者の公開鍵Ｙが与えられたときに、前記整数ｓと前記楕
円曲線Ｅ／Ｆｑ上の基点Ｇとの積からなる第１の項ｓ・
Ｇと、前記整数ｍと前記公開鍵Ｙとの積からなる第２の
項ｍ・Ｙと、前記整数ｒと前記楕円曲線Ｅ／Ｆｑ上の点
Ｒとの積からなる第３の項ｒ・Ｒとの間の特定の演算に
より定義される関係式またはこの関係式と等価な関係式
を署名検査式として用いて署名検査を行なう。
【００１８】
【発明の実施の形態】まず、本実施形態の概略を説明す
る。第１の概略に係る電子署名方式は、楕円曲線上のEl
Gamal 署名方式を変形した電子署名方式であり、従来の
楕円曲線上のElGamal 署名方式との相違点は、署名検査
式における文書データＭと、署名データｓと、乱数から
生成された署名データＲ及び文書データＭのうち少なく
とも署名データＲに依存する整数ｒの各々を互いに所定
の規則に基づいて置き換えたことにある。各署名者の秘
密鍵が作用したｓがｓ＝ｍ・ｘ＋ｒ・ｋ（mod ｚ）とい
う形式で作成されるので、秘密鍵ｘが複数になっても、
多重署名の場合は文書データＭが共通なので、複数の秘
密鍵ｘが加算によりまとめられる。このことにより、同
方式の多重署名方式への拡張が容易になるという利点が
得られる。
【００１９】なお、ｒ・ｋは秘密鍵ｘが複数になっても
影響を受けない項であるから、整数ｒは乱数から生成さ
れた点Ｒのみに依存させる構成以外に、点Ｒと文書デー
タＭの両方に依存させる構成でもよく、その方が安全性
の向上が期待できる。
【００２０】このように楕円曲線上のElGamal 署名方式
を変形しても公開鍵Ｙに対応する秘密鍵ｘを保持する署
名者は検査式を満たす署名データＲ，ｓを作成できる。
一方、秘密鍵ｘを保持しない場合に署名データＲ，ｓを
求めるには、楕円曲線上の離散対数問題を求める以外の
方法は考案されていない。従って、電子署名方式として
有効である。
【００２１】次に第２の概略を説明する。第２の概略で
は、第１の概略における電子署名方式を多重署名方式と
して適用する。複数の署名者がそれぞれ乱数ｋを作成
し、各々の乱数ｋに依存した楕円曲線上の点Ｒを最初に
データを一巡させることで作成する。その後、各々の署
名者が自身の作成した乱数ｋと秘密鍵ｘから部分署名ｓ
を作成し、これを巡回する。
【００２２】部分署名ｓの巡回においては、それ以前の
署名者による部分署名に各自の部分署名を融合させる。
こうして最後の署名者の処理により多重署名データＲ，
ｓが作成される。
【００２３】署名検査における検査式は第１の概略にお
ける検査式の公開鍵Ｙを複数の署名作成者の個々の公開
鍵Ｙi の和に置き換えたものである。秘密鍵ｘi が一つ
でも関与しない場合には、検査式を満たすＲ，ｓは得ら
れない。従って、複数の署名者による電子署名方式とし
て有効である。
【００２４】次に第３の概略を説明する。第３の概略で
は、第１の概略における電子署名方式を逐次型（一巡
型）の多重署名方式に適用する。複数の署名者がそれぞ
れ乱数ｋを作成し、この乱数ｋに依存した楕円曲線上の
点Ｒを作成する。各署名者は、前の署名者から得た部分
署名ｓに自分の秘密鍵ｘと点Ｒの生成に利用した乱数ｋ
を融合させて、新たな部分署名ｓを作成し、これを次の
署名者に送る。この部分署名ｓと同時に、独立に生成し
た点を署名データの一部として追加していく。こうして
最後の署名者の処理により多重署名データｓ，Ｒ1 ，Ｒ
2 ，…，Ｒn が作成される。
【００２５】署名検査における検査式は第１の概略にお
ける検査式の公開鍵Ｙを複数の署名作成者の個々の公開
鍵Ｙi の和に置き換え、さらに点Ｒの項を個々の署名者
によるｒi ・Ｒi の和に置き換えたものを用いる。
【００２６】以下に、図面を参照して上記した概略を詳
細に説明する。図１は本発明の第１実施形態に係る電子
署名システムの基本構成を示す図である。図１に示すよ
うに、本システムはセンタ１０と利用者に対応する複数
の局(entities)１１、１２、１３（Ｕ1 、Ｕ2 、…、Ｕ
i ）から成る通信ネットワーク１４により構成される。
センタ１０は公開情報として、楕円曲線Ｅ／Ｆｑのパラ
メータを生成して公開する。また、楕円曲線Ｅ／Ｆｑ上
の基点Ｇとその位数ｚを求めて公開する。
【００２７】さらに、関数ｆと関数ｈを公開する。これ
らは暗号的なハッシュ関数であり、任意のサイズの入力
に対し、そのダイジェスト情報として１６０bit 程度の
固定長の整数を出力する。具体例は、ＳＨＡやＭＤ５、
ＲＩＰＥ−ＭＤなどである。また、関数ｆとｈは共通で
も良い。
【００２８】各局Ｕi はｚ−１以下の自然数である乱数
ｘi を定め、このｘi を局秘密鍵とする。さらに、局公
開鍵Ｙi を次式により定める。 Ｙi ＝ｘi ・Ｇ over Ｅ／Ｆｑ 局Ｕi は局公開鍵Ｙi をセンタ１０に送り、センタ１０
は公開鍵リストの局Ｕi のエリアにＹi を登録する。公
開鍵リストの書き換えはセンタ１０のみが実行でき、同
リストの読み出しは任意の局が実行できる。なお、局Ｕ
i のＩＤ情報（識別情報）をＩi とする。
【００２９】図２Ａは、局Ｕi が文書データＭに対する
ディジタル署名を作成する手順である。 ＜局Ｕi の手順＞ １：乱数ｋ（１＜ｋ＜ｚ−１）を定める。…（ステップ
１０１） ２：Ｒ＝ｋ・Ｇ over Ｅ／Ｆｑを計算する。…（ステッ
プ１０２） ３：ｒ＝ｆ（Ｒ）を計算する。…（ステップ１０３） ４：ｍ＝ｈ（Ｍ）を計算する。…（ステップ１０４） ５：ｍ，ｒと秘密鍵ｘi からｓ＝ｘi ・ｍ＋ｋ・ｒ mod
ｚを計算する。
【００３０】…（ステップ１０５） 以上により作成されたＲとｓが局Ｕi の文書データＭに
対するディジタル署名となる。
【００３１】この署名作成手続きにおけるステップ１０
１から１０３は、文書データＭに依存しないため、ディ
ジタル署名作成の要求が生じる前に計算し、（ｋ，Ｒ，
ｒ）を幾つか蓄積しておくことができる。このようにす
ると、署名作成要求時の処理はステップ１０４，１０５
のみとなり、処理時間面で有効である。
【００３２】次に図２Ｂを参照しながら、本ディジタル
署名の検査手順を説明する。 ＜署名検査手順＞ １：公開リストから局Ｕi の公開鍵Ｙi を取り出す。
【００３３】…（ステップ１０６） ２：ｒ＝ｆ（Ｒ）を計算する。…（ステップ１０７） ３：ｍ＝ｈ（Ｍ）を計算する。…（ステップ１０８） ４：ｒ．ｓ，ｍ，Ｙi が次式の関係を満たすことを確認
する。
【００３４】…（ステップ１０９） ｓ・Ｇ＝ｍ・Ｙi ＋ｒ・Ｒ over Ｅ／Ｆｑ この関係が成立する場合には、（Ｒ，ｓ）は局Ｕi の文
書データＭに対するディジタル署名であるものと判定す
る。
【００３５】ステップ１０１から１０５の手順により生
成された（Ｒ，ｓ）がステップ１０９の検査式を満足す
ることは明らかである。逆に文書データＭが与えられた
状態で、Ｙi の離散対数ｘi を持たない局がステップ１
０９の検査式を満たす（Ｒ，ｓ）の組を求めることは楕
円曲線上の離散対数問題を求めることと同程度に困難で
あると考えられる。例えば、最初にＲを定めるとｓ・Ｇ
＝ const over Ｅ／Ｆｑなるｓを求めることになり、こ
れは離散対数問題に他ならない。一方、ｓを先に定める
とｒ・Ｒ＝ const over Ｅ／ＦｑなるＲを求めることに
なり、この解法も一般に知られていない。
【００３６】なお、本実施形態のディジタル署名方法で
用いられる署名検査式の変形には様々なものが考えられ
るが、以下に代表的なものを示す。これらは本質的に同
じ検査を実行していることに注意されたい。
【００３７】まず、ステップ１０９の検査式は、 ｓ・Ｇ−ｍ・Ｙi −ｒ・Ｒ＝Ｏ over Ｅ／Ｆｑ， −ｓ・Ｇ＋ｍ・Ｙi ＋ｒ・Ｒ＝Ｏ over Ｅ／Ｆｑ などを検査することと等価であることは検査式における
左辺もしくは右辺の項を移項することから明らかであ
る。さらに、 （ｓ／ｒ）・Ｇ−（ｍ／ｒ）・Ｙi ＝Ｒ over Ｅ／Ｆｑ， …（２） （ｓ／ｍ）・Ｇ−（ｒ／ｍ）・Ｒ＝Ｙi over Ｅ／Ｆｑ， （ｍ／ｓ）・Ｙi ＋（ｒ／ｓ）・Ｒ＝Ｇ over Ｅ／Ｆｑ などを検査することと等価であることは、検査式におけ
る左辺もしくは右辺の項の移項とｓ，ｍ，ｒのＦｑにお
ける逆数を両辺に掛けることから明らかである。
【００３８】また、検査式におけるｓ・Ｇ，ｍ・Ｙi ，
ｒ・Ｒの３項の符号を変えること（すなわち、＋を−に
したり、その逆、具体的には±ｓ・Ｇ＝±ｍ・Ｙi ±ｒ
・Ｒ＝Ｏ over Ｅ／Ｆｑでもよく、＋、−の符号は以下
の説明の通り、署名生成過程におけるステップにより決
定される）も署名生成課程におけるステップ１０５の
ｓ，ｘi ・ｍ，ｋ・ｒの符号を変えることに相当するた
め、検査式における３項の符号を変えた署名方式は本質
的に本実施形態の方式と同値であることにも注意された
い。
【００３９】なお、本発明の署名方式において、ｆ
（Ｒ）の代わりにｆ（Ｒ，Ｍ）を用いてもよい。ｆ
（Ｒ，Ｍ）は署名者がランダムに決定した、楕円曲線上
の点Ｒのデータと文書データＭの両方に依存したハッシ
ュ値を表している。具体的にはＲとＭとを連結してハッ
シュする、Ｒのデータを鍵として鍵付きハッシュ（Keye
d hash) 法を利用するなどである。
【００４０】変形手順ではステップ１０３とステップ１
０７がｒ＝ｆ（Ｒ，Ｍ）に変更される。一般にはこのよ
うに変形した手順の方が、ＲとＭからｒが作成されたこ
とが保証されるために安全性が向上する。
【００４１】本実施形態の特徴は、署名者が署名作成毎
に生成する乱数と基点Ｇに依存した項ｒ・Ｒと署名者の
公開鍵Ｙi と署名対象である文書データＭのみに依存し
た項ｍ・Ｙi と署名者の秘密鍵ｘi が作用したｓにより
基点Ｇを加算する回数を変化させた項ｓ・Ｇの３つの項
の加算が無限遠点に一致するかどうかを判定することに
ある。
【００４２】このうち式（２）を検査式とする場合に
は、署名データサイズの削減が可能である。以下にその
具体的な手順を示す。局Ｕi が文書データＭに対するデ
ィジタル署名を作成する手順は基本的に先の手順と同じ
であるが、ステップ１０７におけるｒが位数ｚと互いに
素であるかどうかを確認する。もし、互いに素でない場
合には、ステップ１０１に戻り別の乱数ｋを生成する。
最終的に出力されるディジタル署名のデータはｒとｓで
あり点Ｒの代わりにｒを用いる。このことにより署名デ
ータサイズが約２／３にできる。
【００４３】次に上記した検査手順を変形したディジタ
ル署名の検査手順を図３を参照して説明する。 ＜署名検査手順＞ １：公開リストから局Ｕi の公開鍵Ｙi を取り出す。
【００４４】…（ステップ１１０１） ２：ｍ＝ｈ（Ｍ）を計算する。…（ステップ１１０２） ３：１／ｒ（ｍｏｄＺ）を計算する。…（ステップ１１
０３） ４：次式の点Ｒを計算する。…（ステップ１１０４） Ｒ＝（ｓ／ｒ）・Ｇ−（ｍ／ｒ）・Ｙi over Ｅ／Ｆｑ ５：点Ｒと署名データのｒが次式の関係を満たすことを
確認する。
【００４５】…（ステップ１１０５） ｒ＝ｆ（Ｒ） この関係が成立する場合には、（ｒ，ｓ）は局Ｕi の文
書データＭに対するディジタル署名であるものと判定す
る。
【００４６】次に、図１に示したディジタル署名を多重
署名に適用した第２実施形態の電子署名方法を説明す
る。図４Ａ、４Ｂは多重署名における情報の流れを表
し、図５Ａ、５Ｂは各局の処理手順を表す。
【００４７】ここでは、局Ｕ1 ，Ｕ2 ，…Ｕn のｎ局が
文書データＭに多重署名する場合を想定する。多重署名
の作成は図４ＡのＲn の作成ラウンドと、図４Ｂのｓn
の作成ラウンドの２回の巡回操作から成る。図５ＡはＲ
n の作成ラウンドにおける局Ｕi の処理手順、図５Ｂは
ｓn の作成ラウンドにおける局Ｕi の処理手順をそれぞ
れ示す。 （１）Ｒn の作成ラウンド ＜局Ｕi の手順＞（ｉ＝１，２，…，ｎ） １：乱数ｋi （１＜ｋi ＜ｚ−１）を作成する。…（ス
テップ３０１） ２：局Ｕ(i-1) から受信した情報Ｒ(i-1) と乱数ｋi
から次式のＲi を作成する。
【００４８】Ｒi ＝Ｒ(i-1) ＋ｋi ・Ｇ over Ｅ／Ｆｑ
…（ステップ３０２） ３：情報Ｒi ，文書データＭを局Ｕ(i+1) に送信す
る。…（ステップ３０３） 以上の処理を局Ｕ1 から順番に局Ｕn まで実行し、Ｒn
を作成する。なお、局Ｕ1 は、Ｒ0 ＝Ｏ（無限遠点）と
してステップ３０２の処理を行う。
【００４９】また、局Ｕn は作成した情報Ｒn からｒ＝
ｆ（Ｒn ）によりｒを求め、これを局Ｕ1 に送信し、ｓ
n の作成ラウンドに移る。 （２）ｓn の作成ラウンド ＜局Ｕi の手順＞（ｉ＝１，２，…，ｎ） １：局Ｕ1 ，Ｕ2 ，…，Ｕ(i-1) の公開鍵Ｙ1 ，Ｙ2 ，
…，Ｙ(i-1) を公開鍵リストから取り出す。…（ステッ
プ３０４） ２：局Ｕ(i-1) からＲn の作成ラウンドで受信したＲ
(i-1) と、このラウンドで局Ｕ(i-1) から受信したｒ，
ｓ(i-1) が次の関係を満たしていることを確認する。…
（ステップ３０５） ｍ＝ｈ（Ｍ）を計算、 ｓi-1 ・Ｇ＝ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙi-1 ）＋ｒ・Ｒ
i-1 over Ｅ／Ｆｑ ３：ステップ３０５の関係を満足していない場合には、
局Ｕi-1 の処理に異常があったものとして処理を打ち切
る。…（ステップ３０６） ４：先のラウンドで作成した乱数ｋi と自局の秘密鍵ｘ
i を用いて次式のｓiを計算する。…（ステップ３０
７） ｓi ＝ｓi-1 ＋ｘi ・ｍ＋ｋi ・ｒ mod ｚ ５：ｓi ，ｒを局Ｕi+1 に送る。…（ステップ３０８） 以上の処理を局Ｕ1 から順番に局Ｕn まで実行し、ｓn
を作成する。なお、局Ｕ1 は、ｓ0 ＝０としてステップ
３０７の処理を行う。
【００５０】以上により作成された（Ｒn ，ｓn ）が局
Ｕ1 からＵn による文書データＭに対する多重署名であ
る。局Ｕn は作成した署名情報（Ｒn ，ｓn ）を必要に
応じて全ての局Ｕ1 ，Ｕ2 ，…，Ｕn-1 に送る。
【００５１】なお、上記手順のうちステップ３０４，３
０５，３０６は部分署名ｓi-1 の検査を実行する部分で
あり、省略することも可能である。この部分署名の検査
を省略した場合、多重署名（Ｒn ，ｓn ）が作成された
後になってはじめて検査を実行することになる。署名作
成者の不正をできるだけ早期に検出するためにはステッ
プ３０４，３０５，３０６の部分署名の検査が有効であ
る。
【００５２】図６は図５Ａ，５Ｂの手順により作成され
た多重署名の検査手順を示す。検査時には以下の処理を
行う。署名検査にはＲn ，ｓn ，Ｍおよび局のＩＤ情報
Ｉ1，Ｉ2 ，…，Ｉn が必要である。
【００５３】１：局Ｕ1 ，Ｕ2 ，…，Ｕn の公開鍵Ｙ
1 ，Ｙ2 ，…，Ｙn を公開鍵リストから取り出す。…
（ステップ４０１） ２：Ｒn ，ｓn ，Ｍが次の関係を満たすことを確認す
る。…（ステップ４０２） ｍ＝ｈ（Ｍ）を計算、 ｒ＝ｆ（Ｒn ）を計算、 ｓn ・Ｇ＝ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙn ）＋ｒ・Ｒn ov
er Ｅ／Ｆｑ この関係が成立する場合には、（Ｒn ，ｓn ）は正当な
多重署名であるものと判定する。
【００５４】なお、以上に示した多重署名作成手順及び
多重署名検査手順でもｒ＝ｆ（Ｒn）の代わりにｒ＝ｆ
（Ｒn 、Ｍ）に変更し、さらに多重署名検査手順におけ
るステップ４０２においてｒ＝ｆ（Ｒn 、Ｍ）に変更す
ることもできる。
【００５５】次に、図３に示した署名検査手順をこの多
重署名に適用する手順を説明する。局Ｕi が文書データ
Ｍに対するディジタル署名を作成する手順は基本的に図
５Ａ，５Ｂの手順と同じであるが、ここでは、局Ｕn に
おけるステップ３０２における計算の結果として生じる
Ｒn に対しｒ＝ｆ（Ｒn ）を計算し、ｒが位数ｚと互い
に素かどうかを確認する。もし、互いに素でない場合に
は、ステップ３０１に戻り別の乱数ｋn を生成する。Ｒ
n の生成ラウンドで局Ｕn が出力するｒはｚと互いに素
である。また、２巡目が終了して最終的に出力される多
重署名のデータはｒとｓn である。
【００５６】次にこのディジタル署名の検査手順を説明
する。図７はこの手順により作成された多重署名の検査
手順を示す。 １：局Ｕ1 ，Ｕ2 ，Ｕn の公開鍵Ｙ1 ，Ｙ2 ，…，Ｙn
を公開鍵リストから取り出す。…（ステップ１２０１） ２：ｍ＝ｈ（Ｍ）を計算…（ステップ１２０２） ３：１／ｒ（ｍｏｄ Ｚ）を計算する。…（ステップ１
２０３） ４：次式の点Ｒn を計算する。…（ステップ１２０４） Ｒn ＝（ｓn ／ｒ）・Ｇ−（ｍ／ｒ）・（Ｙ1 ＋Ｙ2 ＋
…＋Ｙn ）over Ｅ／Ｆｑ ５：点Ｒn と署名データのｒが次式の関係を満たすこと
を確認する。…（ステップ１２０５） ｒ＝ｆ（Ｒn ） この関係が成立する場合には、（ｒ，ｓn ）は正当な多
重署名であるものと判定する。
【００５７】次に、図２Ａ、２Ｂに示したディジタル署
名を多重署名に適用した第３実施形態の電子署名方法を
説明する。第３実施形態における情報の流れを図８に示
す。ここでは複数の署名作成局間で情報を１巡させるだ
けで多重署名データを生成する。局Ｕ1 ，Ｕ2 ，…，Ｕ
n のｎ局が多重署名を作成するものとする。図９は局Ｕ
i の手順を示す。 ＜局Ｕi の手順＞（ｉ＝１，２，…，ｎ） １：局Ｕ1 ，Ｕ2 ，…，Ｕi-1 の公開鍵Ｙ1 ，Ｙ2 ，
…，Ｙi-1 を公開鍵リストから取り出す。…（ステップ
６０１） ２：局Ｕi-1 から受信したＲ1 ，Ｒ2 ，…，Ｒi-1 ，ｓ
i-1 ，Ｍが次の関係を満たしていることを確認する。…
（ステップ６０２） ｍ＝ｈ（Ｍ）を計算、 ｒj ＝ｆ（Ｒj ）（ｊ＝１，２，…，ｉ−１）を計算、 ｓi-1 ・Ｇ＝ｍ・（Ｙ1 ＋…＋Ｙi-1 ）＋ｒ1 ・Ｒ1 ＋
ｒ2 ・Ｒ2 ＋…ｒi-1 ・Ｒi-1 over Ｅ／Ｆｑ ３：ステップ６０２の関係を満足していない場合には、
局Ｕi-1 の処理に異常があったものとして処理を打ち切
る。…（ステップ６０３） ４：乱数ｋi （１＜ｋi ＜ｚ−１）を作成する。…（ス
テップ６０４） ５：乱数ｋi から次式のＲi を作成する。…（ステップ
６０５） Ｒi ＝ｋi ・Ｇ over Ｅ／Ｆｑ ６：局Ｕi-1 から受信した情報ｓi-1 と乱数ｋi ，自局
の秘密鍵ｘi から次式のｓi を計算する。…（ステップ
６０６） ｒi ＝ｆ（Ｒi ）を計算、 ｓi ＝ｓi-1 ＋ｘi ・ｍ＋ｋi ・ｒi mod ｚ ７：データｓi ，Ｒ1 ，Ｒ2 ，…，Ｒi ，文書データＭ
を局Ｕi+1 に送信する。
【００５８】…（ステップ６０７） 以上の処理を局Ｕ1 から順番に局Ｕn まで実行し、作成
されたｓn ，Ｒ1 ，Ｒ2 ，…，Ｒn が局Ｕ1 からＵn に
よる文書データＭに対する多重署名である。なお、局Ｕ
1 は、Ｒo ＝Ｏ（無限遠点），ｓo ＝０としてステップ
６０５，６０６の処理を行い、ステップ６０１から６０
３までの部分署名の検査処理は行わない。
【００５９】図９の手順により作成された多重署名の検
査手順を図１０を参照しながら説明する。 １：局Ｕ1 ，Ｕ2 ，Ｕn の公開鍵Ｙ1 ，Ｙ2 ，…，Ｙn
を公開鍵リストから取り出す。…（ステップ７０１） ２：ｓn ，Ｒ1 ，Ｒ2 ，…，Ｒn ，Ｍが次の関係を満た
すことを確認する。
【００６０】…（ステップ７０２） ｍ＝ｈ（Ｍ）を計算、 ｒj ＝ｆ（Ｒj ）（ｊ＝１，２，…，ｉ−１）を計算、 ｓn ・Ｇ＝ｍ・（Ｙ1 ＋…＋Ｙn ）＋ｒ1 ・Ｒ1 ＋ｒ2
・Ｒ2 ＋…ｒn ・Ｒn over Ｅ／Ｆｑ この関係が成立する場合には、（ｓn ，Ｒ1 ，Ｒ2 ，
…，Ｒn ）は正当な多重署名であるものと判定する。
【００６１】なお、図９，図１０に示した多重署名法
は、図５Ａ、５Ｂ，図６の多重署名法に比べて、データ
・サイズと検査時の処理量からは不利であるが、署名作
成が１巡の処理で行えるという利点を持つ。
【００６２】また、他の実施形態と同様に本多重署名手
順でもｒ＝ｆ（Ｒi ）の代わりにｒ＝ｆ（Ｒi ，Ｍ）を
利用してもよい。具体的には、局Ｕi の多重署名作成手
順におけるステップ６０２にてｒj ＝ｆ（Ｒj ，Ｍ）
（ｊ＝１，２，…，ｉ−１）を計算し、ステップ６０６
にて、ｒi ＝ｆ（Ｒi ，Ｍ）を計算するようにそれぞれ
変更する。
【００６３】多重署名の検査手順では、ステップ７０２
にてｒj ＝ｆ（Ｒj ，Ｍ）（ｊ＝１，２，…，ｉ−１）
を計算するように変更する。図１１は、本実施形態の電
子署名方式の作成・検査を実行する装置の一構成を示
す。
【００６４】演算器９０１は多倍長の演算を実行する部
分であり、本電子署名方式の演算処理の大部分を実行す
る。乱数発生器９０２は署名作成時に必要な乱数ｋを生
成する部分である。乱数メモリ９０３は乱数発生器９０
２で発生された乱数ｋと、乱数ｋから計算されるＲ＝ｋ
・Ｇ over Ｅ／Ｆｑの値と、ｒ＝ｆ（Ｒ）の値のペアを
蓄積する部分である。乱数発生器９０２，演算器９０１
は署名作成時・検査時以外にも稼働し、乱数（ｋ，Ｒ，
ｒ）のペアを生成し、乱数メモリ９０３に蓄積する。秘
密鍵メモリ９０４は局の秘密鍵を格納するメモリであ
る。その他に制御部９０５，メモリ９０６，入出力部９
０７から構成される。
【００６５】最後に、本実施形態の署名方式の変形例を
一つ示す。局Ｕi が文書データＭに対するディジタル署
名を作成する手順は以下の通りである。 ＜局Ｕi の手順＞ １：乱数ｋ（１＜ｋ＜ｚ−１）を定める。…（ステップ
１００１） ２：Ｒ＝ｋ・Ｇ over Ｅ／Ｆｑを計算する。…（ステッ
プ１００２） ３：ｒ＝ｆ（Ｒ）を計算する。…（ステップ１００３） ４：ｍ＝ｈ（Ｍ，Ｒ）を計算する。…（ステップ１００
４） ５：ｍ，ｒと秘密鍵ｘi からｓ＝ｘi ・ｍ＋ｋ・ｒ mod
ｚを計算する。
【００６６】…（ステップ１００５） 以上により作成されたＲとｓが局Ｕi の文書データＭに
対するディジタル署名となる。
【００６７】本ディジタル署名の検査手順は以下の通り
である。 ＜署名検査手順＞ １：公開鍵リストから局Ｕi の公開鍵Ｙi を取り出す。
【００６８】 …（ステップ１００６） ２：ｒ＝ｆ（Ｒ）を計算する。…（ステップ１００７） ３：ｍ＝ｈ（Ｍ，Ｒ）を計算する。…（ステップ１００
８） ４：ｒ，ｓ，ｍ，Ｙi が次式の関係を満たすことを確認
する。…（ステップ１００９） ｓ・Ｇ＝ｍ・Ｙi ＋ｒ・Ｒ over Ｅ／Ｆｑ この関係が成立する場合には、（Ｒ，ｓ）は局Ｕi の文
書データＭに対するディジタル署名であるものと判定す
る。
【００６９】この方式ではｍの計算において、文書デー
タＭのみでなくランダムに生成された点Ｒのデータを作
用させてハッシングしている。一般にはこのようにした
方が安全性が向上するものと考えられる。なお、ｍ＝ｈ
（Ｍ，ｒ）としても良い。
【００７０】この変形方式における２巡型多重署名（図
５Ａ、５Ｂおよび図６）の手順は単純にｍ＝ｈ（Ｍ，
Ｒ）に置き換えれば良い。１巡型多重署名（図９および
図１０）の手順では、署名者によりｍ1 ＝ｈ（Ｍ，Ｒ
1 ），ｍ2 ＝ｈ（Ｍ，Ｒ2 ），…，ｍn ＝ｈ（Ｍ，Ｒ
n ）と異なるｍが生成されるので、検査式もｓi ・Ｇ＝
ｍ1・Ｙ1 ＋…＋ｍn ・Ｙn ＋ｒ1 ・Ｒ1 ＋…＋ｒn ・
Ｒn と変更される。
【００７１】また、図１２Ａ、１２Ｂに示すような手順
の多重署名方法を用いた場合でも、図３，図７に示した
検査手順を適用することができる。以上のように、本実
施形態によれば、楕円曲線上のElGamal 署名を変形し、
２巡型や１巡型の多重署名を容易に構成可能な電子署名
方法が提供できる。
【００７２】なお、上記した各実施形態における、電子
署名データを作成する処理及び作成された電子署名デー
タに基づいて署名検査を行なう処理は、プログラムとし
てコンピュータが読み取り可能な記録媒体に格納し、コ
ンピュータに実行させることが可能である。
【００７３】
【発明の効果】以上述べたように本発明によれば、様々
な運用形態を考慮した多重署名システムを容易に構成で
きる電子署名方法、電子署名システム、及び記録媒体を
提供することができる。
【図面の簡単な説明】
【図１】本発明の第１実施形態に係る電子署名システム
の基本構成を示す図である。
【図２】（ａ）は、本発明の第１実施形態に係る電子署
名方法において、署名作成手順を示す図であり、（ｂ）
は検査手順を示す図である。
【図３】本発明の第１実施形態に係る電子署名方法を変
形した署名検査手順を示す図である。
【図４】本発明の第２実施形態に係る２巡式の多重署名
方法における情報の流れを示す図である。
【図５】２巡式の多重署名方式の署名作成手順を示す図
である。
【図６】２巡式の多重署名方式の検査手順を示す図であ
る。
【図７】２巡式の多重署名方式を変形した署名検査手順
を示す図である。
【図８】本発明の第３実施形態に係る１巡式の多重署名
方法における情報の流れを示す図である。
【図９】１巡式の多重署名方法における署名作成手順を
示す図である。
【図１０】１巡式の多重署名方法の検査手順を示す図で
ある。
【図１１】電子署名データの作成及び検査を行なう装置
の構成例を示す図である。
【図１２】署名手順の変形例を示す図である。
【符号の説明】
１０…センタ、 １１、１２、１３…局、 １４…通信ネットワーク。

Claims (11)

    【特許請求の範囲】
  1. 【請求項１】 文書データＭに対する電子署名データを
    作成し、この電子署名データに基づいて署名検査を行な
    う電子署名方法であって、 有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線Ｅ／
    Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円曲線
    Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙと、この
    公開鍵Ｙ＝ｘ・Ｇを満たすように作成された署名者の秘
    密鍵ｘとを用いて、 任意に生成された乱数ｋと前記楕円曲線Ｅ／Ｆｑ上の基
    点Ｇとに依存する楕円曲線Ｅ／Ｆｑ上の点Ｒの少なくと
    も一部のデータと、前記文書データＭと秘密鍵ｘと乱数
    ｋとに依存する整数ｓとを含む署名データを生成する署
    名データ生成工程と、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の点Ｒ及び前記文書データＭのうち少なく
    とも点Ｒに依存する整数ｒと、前記署名データである点
    Ｒの少なくとも一部のデータ及び整数ｓと、前記システ
    ム情報と、前記署名者の公開鍵Ｙが与えられたときに、 ±ｓ・Ｇ＝±ｍ・Ｙ±ｒ・Ｒ over Ｅ／Ｆｑ （＋、−の符号は所定の条件により決定）で定義される
    関係式またはこの関係式と等価な関係式を署名検査式と
    して用いて署名検査を行なう署名検査工程と、を具備す
    ることを特徴とする電子署名方法。
  2. 【請求項２】 文書データＭに対する電子署名データを
    作成し、この電子署名データに基づいて署名検査を行な
    う電子署名方法であって、 有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線Ｅ／
    Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円曲線
    Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙと、この
    公開鍵Ｙ＝ｘ・Ｇを満たすように作成された署名者の秘
    密鍵ｘとを用いて、 任意に生成された乱数ｋと前記楕円曲線Ｅ／Ｆｑ上の基
    点Ｇとに依存する楕円曲線Ｅ／Ｆｑ上の点Ｒの少なくと
    も一部のデータと、前記文書データＭと秘密鍵ｘと乱数
    ｋとに依存する整数ｓとを含む署名データを生成する署
    名データ生成工程と、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の点Ｒ及び前記文書データＭのうち少なく
    とも点Ｒに依存する整数ｒと、前記署名データである点
    Ｒの少なくとも一部のデータ及び整数ｓと、前記システ
    ム情報と、前記署名者の公開鍵Ｙが与えられたときに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと前記公開鍵Ｙと
    の積からなる第２の項ｍ・Ｙと、前記整数ｒと前記楕円
    曲線Ｅ／Ｆｑ上の点Ｒとの積からなる第３の項ｒ・Ｒと
    の間の特定の演算により定義される関係式またはこの関
    係式と等価な関係式を署名検査式として用いて署名検査
    を行なう署名検査工程と、を具備することを特徴とする
    電子署名方法。
  3. 【請求項３】 ｎ者から構成される複数の署名者の間で
    文書データＭに対する電子署名データを作成し、この電
    子署名データに基づいて署名検査を行なう電子署名方法
    であって、 第ｉ番目（ｉ＝１，２，３，…，ｎ）の署名者につい
    て、有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線
    Ｅ／Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円
    曲線Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙi
    と、この公開鍵Ｙi＝ｘi ・Ｇを満たすように作成され
    た署名者の秘密鍵ｘi とを用いて、 複数の署名者の各々に対して生成された各乱数ｋi と前
    記楕円曲線Ｅ／Ｆｑ上の基点Ｇとに依存する楕円曲線Ｅ
    ／Ｆｑ上の点Ｒの少なくとも一部のデータと、前記文書
    データＭと複数の署名者の各々に対する秘密鍵ｘi と各
    乱数ｋi とに依存する整数ｓとを含む署名データを生成
    する署名データ生成工程と、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の点Ｒ及び前記文書データＭのうち少なく
    とも点Ｒに依存する整数ｒと、前記署名データである点
    Ｒの少なくとも一部のデータ及び整数ｓと、前記システ
    ム情報と、各公開鍵Ｙi が与えられたときに、 ±ｓ・Ｇ＝±ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙn ）±ｒ・Ｒ o
    ver Ｅ／Ｆｑ （＋、−の符号は所定の条件により決定）で定義される
    関係式またはこの関係式と等価な関係式を署名検査式と
    して用いて署名検査を行なう署名検査工程と、を具備す
    ることを特徴とする電子署名方法。
  4. 【請求項４】 ｎ者から構成される複数の署名者の間で
    文書データＭに対する電子署名データを作成し、この電
    子署名データに基づいて複数の署名者の署名検査を行な
    う電子署名方法であって、 第ｉ番目（ｉ＝１，２，３，…，ｎ）の署名者につい
    て、有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線
    Ｅ／Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円
    曲線Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙi
    と、この公開鍵Ｙi＝ｘi ・Ｇを満たすように作成され
    た署名者の秘密鍵ｘi とを用いて、 複数の署名者の各々に対して生成された各乱数ｋi と前
    記楕円曲線Ｅ／Ｆｑ上の基点Ｇとに依存する楕円曲線Ｅ
    ／Ｆｑ上の点Ｒの少なくとも一部のデータと、前記文書
    データＭと複数の署名者の各々に対する秘密鍵ｘi と各
    乱数ｋi とに依存する整数ｓとを含む署名データを生成
    する署名データ生成工程と、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の点Ｒ及び前記文書データＭのうち少なく
    とも点Ｒに依存する整数ｒと、前記署名データである点
    Ｒの少なくとも一部のデータ及び整数ｓと、前記システ
    ム情報と、各公開鍵Ｙi が与えられたときに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと各公開鍵Ｙi
    （ｉ＝１，２，３，…，ｎ）の和との積からなる第２の
    項ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙn ）と、前記整数ｒと前記
    楕円曲線Ｅ／Ｆｑ上の点Ｒとの積からなる第３の項ｒ・
    Ｒとの間の特定の演算により定義される関係式またはこ
    の関係式と等価な関係式を署名検査式として用いて署名
    検査を行なう署名検査工程と、を具備することを特徴と
    する電子署名方法。
  5. 【請求項５】 ｎ者から構成される複数の署名者の間で
    文書データＭに対する電子署名データを作成し、この電
    子署名データに基づいて複数の署名者の署名検査を行な
    う電子署名方法であって、 第ｉ番目（ｉ＝１，２，３，…，ｎ）の署名者につい
    て、有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線
    Ｅ／Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円
    曲線Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙi
    と、この公開鍵Ｙi＝ｘi ・Ｇを満たすように作成され
    た署名者の秘密鍵ｘi とを用いて、 複数の署名者の各々に対して生成された各乱数ｋi と前
    記楕円曲線Ｅ／Ｆｑ上の基点Ｇとに依存する楕円曲線Ｅ
    ／Ｆｑ上の各点Ｒi の少なくとも一部のデータと、前記
    文書データＭと複数の署名者の各々に対する秘密鍵ｘi
    と各乱数ｋi とに依存する整数ｓとを含む署名データを
    生成する署名データ生成工程と、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の各点Ｒi 及び前記文書データＭのうち少
    なくとも点Ｒi に依存する各整数ｒi と、前記署名デー
    タである各点Ｒi の少なくとも一部のデータ及び整数ｓ
    と、前記システム情報と、各公開鍵Ｙi が与えられたと
    きに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと各公開鍵Ｙi
    （ｉ＝１，２，３，…，ｎ）の和との積からなる第２の
    項ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙn ）と、前記整数ｒi と前
    記楕円曲線Ｅ／Ｆｑ上の各点Ｒi との積の和からなる第
    ３の項（ｒ1 Ｒ1 ＋ｒ2 Ｒ2 ＋…＋ｒn Ｒn ）との間の
    特定の演算により定義される関係式またはこの関係式と
    等価な関係式を署名検査式として用いて署名検査を行な
    う署名検査工程と、を具備することを特徴とする電子署
    名方法。
  6. 【請求項６】 文書データＭに対する電子署名データを
    作成する署名データ作成装置と、前記電子署名データに
    基づいて署名検査を行なう署名検査装置とから構成され
    る電子署名システムであって、 前記署名データ作成装置は、 有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線Ｅ／
    Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円曲線
    Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙと、この
    公開鍵Ｙ＝ｘ・Ｇを満たすように作成された署名者の秘
    密鍵ｘとを用いて、 任意に生成された乱数ｋと前記楕円曲線Ｅ／Ｆｑ上の基
    点Ｇとに依存する楕円曲線Ｅ／Ｆｑ上の点Ｒの少なくと
    も一部のデータと、前記文書データＭと秘密鍵ｘと乱数
    ｋとに依存する整数ｓとを含む署名データを生成する手
    段を含み、 前記署名検査装置は、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の点Ｒ及び前記文書データＭのうち少なく
    とも点Ｒに依存する整数ｒと、前記署名データである点
    Ｒの少なくとも一部のデータ及び整数ｓと、前記システ
    ム情報と、前記署名者の公開鍵Ｙが与えられたときに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと前記公開鍵Ｙと
    の積からなる第２の項ｍ・Ｙと、前記整数ｒと前記楕円
    曲線Ｅ／Ｆｑ上の点Ｒとの積からなる第３の項ｒ・Ｒと
    の間の特定の演算により定義される関係式またはこの関
    係式と等価な関係式を署名検査式として用いて署名検査
    を行なう手段を含むことを特徴とする電子署名システ
    ム。
  7. 【請求項７】 ｎ者から構成される複数の署名者の間で
    文書データＭに対する電子署名データを作成する署名デ
    ータ作成装置と、前記電子署名データに基づいて複数の
    署名者の署名検査を行なう署名検査装置とから構成され
    る電子署名システムであって、 前記署名データ作成装置は、 第ｉ番目（ｉ＝１，２，３，…，ｎ）の署名者につい
    て、有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線
    Ｅ／Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円
    曲線Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙi
    と、この公開鍵Ｙi＝ｘi ・Ｇを満たすように作成され
    た署名者の秘密鍵ｘi とを用いて、 複数の署名者の各々に対して生成された各乱数ｋi と前
    記楕円曲線Ｅ／Ｆｑ上の基点Ｇとに依存する楕円曲線Ｅ
    ／Ｆｑ上の点Ｒの少なくとも一部のデータと、前記文書
    データＭと複数の署名者の各々に対する秘密鍵ｘi と各
    乱数ｋi とに依存する整数ｓとを含む署名データを生成
    する手段を含み、 前記署名検査装置は、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の点Ｒ及び前記文書データＭのうち少なく
    とも点Ｒに依存する整数ｒと、前記署名データである点
    Ｒの少なくとも一部のデータ及び整数ｓと、前記システ
    ム情報と、各公開鍵Ｙi が与えられたときに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと各公開鍵Ｙi
    （ｉ＝１，２，３，…，ｎ）の和との積からなる第２の
    項ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙn ）と、前記整数ｒと前記
    楕円曲線Ｅ／Ｆｑ上の点Ｒとの積からなる第３の項ｒ・
    Ｒとの間の特定の演算により定義される関係式またはこ
    の関係式と等価な関係式を署名検査式として用いて署名
    検査を行なう手段を含むことを特徴とする電子署名シス
    テム。
  8. 【請求項８】 ｎ者から構成される複数の署名者の間で
    文書データＭに対する電子署名データを作成する署名デ
    ータ作成装置と、前記電子署名データに基づいて複数の
    署名者の署名検査を行なう署名検査装置とから構成され
    る電子署名システムであって、 前記署名データ作成装置は、 第ｉ番目（ｉ＝１，２，３，…，ｎ）の署名者につい
    て、有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線
    Ｅ／Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円
    曲線Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙi
    と、この公開鍵Ｙi＝ｘi ・Ｇを満たすように作成され
    た署名者の秘密鍵ｘi とを用いて、 複数の署名者の各々に対して生成された各乱数ｋi と前
    記楕円曲線Ｅ／Ｆｑ上の基点Ｇとに依存する楕円曲線Ｅ
    ／Ｆｑ上の各点Ｒi の少なくとも一部のデータと、前記
    文書データＭと複数の署名者の各々に対する秘密鍵ｘi
    と各乱数ｋi とに依存する整数ｓとを含む署名データを
    生成する手段を含み、 前記署名検査装置は、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の各点Ｒi 及び前記文書データＭのうち少
    なくとも点Ｒi に依存する各整数ｒi と、前記署名デー
    タである各点Ｒi の少なくとも一部のデータ及び整数ｓ
    と、前記システム情報と、各公開鍵Ｙi が与えられたと
    きに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと各公開鍵Ｙi
    （ｉ＝１，２，３，…，ｎ）の和との積からなる第２の
    項ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙn ）と、前記整数ｒi と前
    記楕円曲線Ｅ／Ｆｑ上の各点Ｒi との積の和からなる第
    ３の項（ｒ1 Ｒ1 ＋ｒ2 Ｒ2 ＋…＋ｒn Ｒn ）との間の
    特定の演算により定義される関係式またはこの関係式と
    等価な関係式を署名検査式として用いて署名検査を行な
    う手段を含むことを特徴とする電子署名システム。
  9. 【請求項９】 文書データＭに対する電子署名データを
    作成する処理と、作成された電子署名データに基づいて
    署名検査を行なう処理とをコンピュータに実行させる命
    令を含むプログラムを格納した、コンピュータが読み取
    り可能な記録媒体であって、 前記電子署名データを作成する処理は、 有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線Ｅ／
    Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円曲線
    Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙと、この
    公開鍵Ｙ＝ｘ・Ｇを満たすように作成された署名者の秘
    密鍵ｘとを用いて、 任意に生成された乱数ｋと前記楕円曲線Ｅ／Ｆｑ上の基
    点Ｇとに依存する楕円曲線Ｅ／Ｆｑ上の点Ｒの少なくと
    も一部のデータと、前記文書データＭと秘密鍵ｘと乱数
    ｋとに依存する整数ｓとを含む署名データを生成し、 前記署名検査を行なう処理は、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の点Ｒ及び前記文書データＭのうち少なく
    とも点Ｒに依存する整数ｒと、前記署名データである点
    Ｒの少なくとも一部のデータ及び整数ｓと、前記システ
    ム情報と、前記署名者の公開鍵Ｙが与えられたときに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと前記公開鍵Ｙと
    の積からなる第２の項ｍ・Ｙと、前記整数ｒと前記楕円
    曲線Ｅ／Ｆｑ上の点Ｒとの積からなる第３の項ｒ・Ｒと
    の間の特定の演算により定義される関係式またはこの関
    係式と等価な関係式を署名検査式として用いて署名検査
    を行なう、ことを特徴とする記録媒体。
  10. 【請求項１０】 ｎ者から構成される複数の署名者の間
    で文書データＭに対する電子署名データを作成する処理
    と、作成された電子署名データに基づいて複数の署名者
    の署名検査を行なう処理とをコンピュータに実行させる
    命令を含むプログラムを格納した、コンピュータが読み
    取り可能な記録媒体であって、 前記電子署名データを作成する処理は、 第ｉ番目（ｉ＝１，２，３，…，ｎ）の署名者につい
    て、有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線
    Ｅ／Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円
    曲線Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙi
    と、この公開鍵Ｙi＝ｘi ・Ｇを満たすように作成され
    た署名者の秘密鍵ｘi とを用いて、 複数の署名者の各々に対して生成された各乱数ｋi と前
    記楕円曲線Ｅ／Ｆｑ上の基点Ｇとに依存する楕円曲線Ｅ
    ／Ｆｑ上の点Ｒの少なくとも一部のデータと、前記文書
    データＭと複数の署名者の各々に対する秘密鍵ｘi と各
    乱数ｋi とに依存する整数ｓとを含む署名データを生成
    し、 前記署名検査を行なう処理は、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の点Ｒ及び前記文書データＭのうち少なく
    とも点Ｒに依存する整数ｒと、前記署名データである点
    Ｒの少なくとも一部のデータ及び整数ｓと、前記システ
    ム情報と、各公開鍵Ｙi が与えられたときに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと各公開鍵Ｙi
    （ｉ＝１，２，３，…，ｎ）の和との積からなる第２の
    項ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙn ）と、前記整数ｒと前記
    楕円曲線Ｅ／Ｆｑ上の点Ｒとの積からなる第３の項ｒ・
    Ｒとの間の特定の演算により定義される関係式またはこ
    の関係式と等価な関係式を署名検査式として用いて署名
    検査を行なう、ことを特徴とする記録媒体。
  11. 【請求項１１】 ｎ者から構成される複数の署名者の間
    で文書データＭに対する電子署名データを作成する処理
    と、作成された電子署名データに基づいて複数の署名者
    の署名検査を行なう処理とをコンピュータに実行させる
    命令を含むプログラムを格納した、コンピュータが読み
    取り可能な記録媒体であって、 前記電子署名データを作成する処理は、 第ｉ番目（ｉ＝１，２，３，…，ｎ）の署名者につい
    て、有限体Ｆｑ上の楕円曲線Ｅ／Ｆｑと、この楕円曲線
    Ｅ／Ｆｑ上の基点Ｇとを含むシステム情報と、前記楕円
    曲線Ｅ／Ｆｑ上の点で定義される署名者の公開鍵Ｙi
    と、この公開鍵Ｙi=xi ・Ｇを満たすように作成された
    署名者の秘密鍵ｘi とを用いて、 複数の署名者の各々に対して生成された各乱数ｋi と前
    記楕円曲線Ｅ／Ｆｑ上の基点Ｇとに依存する楕円曲線Ｅ
    ／Ｆｑ上の各点Ｒi の少なくとも一部のデータと、前記
    文書データＭと複数の署名者の各々に対する秘密鍵ｘi
    と各乱数ｋi とに依存する整数ｓとを含む署名データを
    生成し、 前記署名検査を行なう処理は、 前記文書データＭのみに依存する整数ｍと、前記楕円曲
    線Ｅ／Ｆｑ上の各点Ｒi 及び前記文書データＭのうち少
    なくとも点Ｒi に依存する各整数ｒi と、前記署名デー
    タである各点Ｒi の少なくとも一部のデータ及び整数ｓ
    と、前記システム情報と、各公開鍵Ｙi が与えられたと
    きに、 前記整数ｓと前記楕円曲線Ｅ／Ｆｑ上の基点Ｇとの積か
    らなる第１の項ｓ・Ｇと、前記整数ｍと各公開鍵Ｙi
    （ｉ＝１，２，３，…，ｎ）の和との積からなる第２の
    項ｍ・（Ｙ1 ＋Ｙ2 ＋…＋Ｙn ）と、前記整数ｒi と前
    記楕円曲線Ｅ／Ｆｑ上の各点Ｒi との積の和からなる第
    ３の項（ｒ1 Ｒ1 ＋ｒ2 Ｒ2 ＋…＋ｒn Ｒn ）との間の
    特定の演算により定義される関係式またはこの関係式と
    等価な関係式を署名検査式として用いて署名検査を行な
    う、ことを特徴とする記録媒体。
JP9261762A 1996-09-27 1997-09-26 電子署名方法、電子署名システム及び、記録媒体 Pending JPH10153956A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP9261762A JPH10153956A (ja) 1996-09-27 1997-09-26 電子署名方法、電子署名システム及び、記録媒体

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP25694596 1996-09-27
JP8-256945 1996-09-27
JP9261762A JPH10153956A (ja) 1996-09-27 1997-09-26 電子署名方法、電子署名システム及び、記録媒体

Publications (1)

Publication Number Publication Date
JPH10153956A true JPH10153956A (ja) 1998-06-09

Family

ID=26542974

Family Applications (1)

Application Number Title Priority Date Filing Date
JP9261762A Pending JPH10153956A (ja) 1996-09-27 1997-09-26 電子署名方法、電子署名システム及び、記録媒体

Country Status (1)

Country Link
JP (1) JPH10153956A (ja)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006203825A (ja) * 2005-01-24 2006-08-03 Toshiba Corp 電子署名システム、電子署名方法及びプログラム
US7277540B1 (en) 1999-01-20 2007-10-02 Kabushiki Kaisha Toshiba Arithmetic method and apparatus and crypto processing apparatus for performing multiple types of cryptography
JP2010503295A (ja) * 2006-09-08 2010-01-28 サーティコム コーポレーション 無線周波識別（ｒｆｉｄ）認証およびそのための鍵配信システム
CN110912680A (zh) * 2019-11-26 2020-03-24 福建汉特云智能科技有限公司 一种提高车况数据安全性的数据传输方法及存储介质
CN112199692A (zh) * 2020-09-29 2021-01-08 深圳壹账通智能科技有限公司 加密数据验证方法、装置、设备以及存储介质
JP2022553995A (ja) * 2020-06-22 2022-12-27 杭州趣鏈科技有限公司 フローラインフレンドリーな署名と署名検証方法、設備および記憶媒体

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7277540B1 (en) 1999-01-20 2007-10-02 Kabushiki Kaisha Toshiba Arithmetic method and apparatus and crypto processing apparatus for performing multiple types of cryptography
JP2006203825A (ja) * 2005-01-24 2006-08-03 Toshiba Corp 電子署名システム、電子署名方法及びプログラム
JP4625703B2 (ja) * 2005-01-24 2011-02-02 株式会社東芝 電子署名システム、電子署名方法及びプログラム
JP2010503295A (ja) * 2006-09-08 2010-01-28 サーティコム コーポレーション 無線周波識別（ｒｆｉｄ）認証およびそのための鍵配信システム
JP2013118707A (ja) * 2006-09-08 2013-06-13 Certicom Corp 無線周波識別（ｒｆｉｄ）認証およびそのための鍵配信システム
US8938615B2 (en) 2006-09-08 2015-01-20 Ceritcom Corp. System and method for authenticating radio frequency identification (RFID) tags
US9013266B2 (en) 2006-09-08 2015-04-21 Certicom Corp. Authenticated radio frequency identification and key distribution system therefor
CN110912680A (zh) * 2019-11-26 2020-03-24 福建汉特云智能科技有限公司 一种提高车况数据安全性的数据传输方法及存储介质
CN110912680B (zh) * 2019-11-26 2023-06-27 福建汉特云智能科技有限公司 一种提高车况数据安全性的数据传输方法及存储介质
JP2022553995A (ja) * 2020-06-22 2022-12-27 杭州趣鏈科技有限公司 フローラインフレンドリーな署名と署名検証方法、設備および記憶媒体
CN112199692A (zh) * 2020-09-29 2021-01-08 深圳壹账通智能科技有限公司 加密数据验证方法、装置、设备以及存储介质

Similar Documents

Publication Publication Date Title
US7315866B2 (en) Method for incremental authentication of documents
JP4809766B2 (ja) 損失を適応制御したデータストリームの認証方法及び装置
US6088798A (en) Digital signature method using an elliptic curve, a digital signature system, and a program storage medium having the digital signature method stored therein
EP2351287B1 (en) Method of generating a cryptographic key, network and computer program therefor
US8165287B2 (en) Cryptographic hash functions using elliptic polynomial cryptography
JP2004129303A (ja) 復元型電子署名方法、付加型電子署名方法、鍵交換方法、復元型公衆電子署名方法およびブラインド電子署名方法
Phan et al. Security considerations for incremental hash functions based on pair block chaining
US20100166176A1 (en) Elliptical polynomial-based message authentication code
Alkeilani Alkadri et al. BLAZE: practical lattice-based blind signatures for privacy-preserving applications
Hanser et al. Blank digital signatures
Koo et al. An online data-oriented authentication based on Merkle tree with improved reliability
Alkeilani Alkadri et al. On lattice-based interactive protocols: an approach with less or no aborts
Sarier A new biometric identity based encryption scheme secure against DoS attacks
CN111092725B (zh) 适于物联网的无证书签名方法
Garg et al. hints: Threshold signatures with silent setup
Soni et al. Quantum-resistant public-key encryption and signature schemes with smaller key sizes
Andreeva et al. COBRA: A parallelizable authenticated online cipher without block cipher inverse
Akleylek et al. A novel 3-pass identification scheme and signature scheme based on multivariate quadratic polynomials
JPH10153956A (ja) 電子署名方法、電子署名システム及び、記録媒体
Tso A new way to generate a ring: Universal ring signature
Wang et al. An improved signature model of multivariate polynomial public key cryptosystem against key recovery attack
Buldas et al. Do broken hash functions affect the security of time-stamping schemes?
CN112671712B (zh) 一种支持高效动态更新的云数据完整性验证方法及***
Brunetta et al. Code-based zero knowledge PRF arguments
Tahat et al. A new digital signature scheme with message recovery using hybrid problems