JP3131907B2 - ディジタル署名方法 - Google Patents
ディジタル署名方法Info
- Publication number
- JP3131907B2 JP3131907B2 JP03018958A JP1895891A JP3131907B2 JP 3131907 B2 JP3131907 B2 JP 3131907B2 JP 03018958 A JP03018958 A JP 03018958A JP 1895891 A JP1895891 A JP 1895891A JP 3131907 B2 JP3131907 B2 JP 3131907B2
- Authority
- JP
- Japan
- Prior art keywords
- mod
- signer
- signature
- verifier
- calculates
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Description
【０００１】
【産業上の利用分野】この発明は、電子化された文書の
稟議／決済、電子投票システム等で、電子的に署名／捺
印を付与するディジタル署名方法に関する。
稟議／決済、電子投票システム等で、電子的に署名／捺
印を付与するディジタル署名方法に関する。
【０００２】
【従来の技術】ディジタル署名方式の代表的な例とし
て、Chaum のUndeniable 署名法 (David Chaum, Hans v
an Antwerpen, “Undeniable Signatures ”,Crypto89
Abstracts, pp.205-212,(1989), David Chaum “Zero-
Knowledge Undeniable Signatures”, Euro Crypt90 Ab
stracts, pp.419-426, (1990)）がある。Chaum のディ
ジタル署名法は、署名の転用不可性と否認拒否性を備え
た安全性の高い方式である。
て、Chaum のUndeniable 署名法 (David Chaum, Hans v
an Antwerpen, “Undeniable Signatures ”,Crypto89
Abstracts, pp.205-212,(1989), David Chaum “Zero-
Knowledge Undeniable Signatures”, Euro Crypt90 Ab
stracts, pp.419-426, (1990)）がある。Chaum のディ
ジタル署名法は、署名の転用不可性と否認拒否性を備え
た安全性の高い方式である。
【０００３】署名の転用不可性とは、メッセージｍと署
名ｓの対応関係（ｍ，ｓ）が署名としての証拠とはなら
ず、署名者がメッセージｍと署名ｓの対応関係の正当性
を検証者との通信によって証明した場合にのみ署名の正
当性を確認できることである。通常のディジタル署名で
は、検証者がメッセージｍと署名ｓの対応関係の正当性
を、署名者と通信せずに確認できるので、（ｍ，ｓ）が
署名の証拠となる。
名ｓの対応関係（ｍ，ｓ）が署名としての証拠とはなら
ず、署名者がメッセージｍと署名ｓの対応関係の正当性
を検証者との通信によって証明した場合にのみ署名の正
当性を確認できることである。通常のディジタル署名で
は、検証者がメッセージｍと署名ｓの対応関係の正当性
を、署名者と通信せずに確認できるので、（ｍ，ｓ）が
署名の証拠となる。
【０００４】否認拒否性とは、検証者がメッセージｍや
署名ｓとの対応関係（ｍ，ｓ）の正当性の証明を求めて
いる場合に、署名者が署名が誤っていることを証明でき
ることである。当然のことながら、署名者がメッセージ
ｍに対する正しい署名ｓの正当性を否認しようとしても
成功しないことが必要である。Chaum の Undeniable 署
名法は、以下の通りである。 （１）鍵の登録 署名者Ａは、署名用鍵ｘと検査用鍵（ｇ，ｐ，ｙ）を
（１）式 ｙ＝ｇx (mod p) （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、剰余計算ａ(mod p) は、ａを
ｐで割ったときの余りを表す。
署名ｓとの対応関係（ｍ，ｓ）の正当性の証明を求めて
いる場合に、署名者が署名が誤っていることを証明でき
ることである。当然のことながら、署名者がメッセージ
ｍに対する正しい署名ｓの正当性を否認しようとしても
成功しないことが必要である。Chaum の Undeniable 署
名法は、以下の通りである。 （１）鍵の登録 署名者Ａは、署名用鍵ｘと検査用鍵（ｇ，ｐ，ｙ）を
（１）式 ｙ＝ｇx (mod p) （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、剰余計算ａ(mod p) は、ａを
ｐで割ったときの余りを表す。
【０００５】Chaum の署名法は、ｐが大きいとき、ｙと
ｇとｐからｙ＝ｇx (mod p) をみたすｘを計算するのが
困難なこと（離散対数問題の困難性）に安全性の根拠を
おく署名法である。利用者の検査用鍵（ｇ，ｐ，ｙ）
は、センタの公開ファイルにて管理され、必要に応じ
て、検証者Ｂはセンタに問い合わせて（ｇ，ｐ，ｙ）を
払い出してもらう。 （２）署名の作成 署名者Ａは、ｐと署名用鍵ｘを用いて、メッセージｍに
対して（２）式 ｓ＝ｍx (mod p) （２） を計算して署名ｓを作り、これをメッセージｍと共に検
証者Ｂに送信する（剰余付きの計算は、例えば池野、小
山「現代暗号理論」電子通信学会、pp.16-17,(1986) に
示されている）。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、検査用
鍵を用いて署名ｓがメッセージｍに対する正しい署名で
あることを、（ａ）の確認手順によって検査する。
ｇとｐからｙ＝ｇx (mod p) をみたすｘを計算するのが
困難なこと（離散対数問題の困難性）に安全性の根拠を
おく署名法である。利用者の検査用鍵（ｇ，ｐ，ｙ）
は、センタの公開ファイルにて管理され、必要に応じ
て、検証者Ｂはセンタに問い合わせて（ｇ，ｐ，ｙ）を
払い出してもらう。 （２）署名の作成 署名者Ａは、ｐと署名用鍵ｘを用いて、メッセージｍに
対して（２）式 ｓ＝ｍx (mod p) （２） を計算して署名ｓを作り、これをメッセージｍと共に検
証者Ｂに送信する（剰余付きの計算は、例えば池野、小
山「現代暗号理論」電子通信学会、pp.16-17,(1986) に
示されている）。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、検査用
鍵を用いて署名ｓがメッセージｍに対する正しい署名で
あることを、（ａ）の確認手順によって検査する。
【０００６】一方、もし、署名ｓがメッセージｍに対す
る正しい署名でない場合（以降では、改ざんされた署名
をｔで表わす）には、署名者Ａは（ｂ）の否認手順によ
って証明する。 （ａ）確認手順 ステップ１ 検証者Ｂは、２つの乱数ａとｂを生成し
て、（３）式を計算して通信文Ｘを Ｘ＝ｍa ・ｇb (mod p) （３） 作り、これをメッセージｍと署名ｓと共に署名者Ａに送
信する。
る正しい署名でない場合（以降では、改ざんされた署名
をｔで表わす）には、署名者Ａは（ｂ）の否認手順によ
って証明する。 （ａ）確認手順 ステップ１ 検証者Ｂは、２つの乱数ａとｂを生成し
て、（３）式を計算して通信文Ｘを Ｘ＝ｍa ・ｇb (mod p) （３） 作り、これをメッセージｍと署名ｓと共に署名者Ａに送
信する。
【０００７】ステップ２ 署名者Ａは、乱数ｑを生成し
て、（４）、（５）式を計算して通信文（Ｙ，Ｚ）を Ｙ＝Ｘ・ｇq (mod p) （４） Ｚ＝Ｙx (mod p) （５） 作り、これを検証者Ｂに送信する。
て、（４）、（５）式を計算して通信文（Ｙ，Ｚ）を Ｙ＝Ｘ・ｇq (mod p) （４） Ｚ＝Ｙx (mod p) （５） 作り、これを検証者Ｂに送信する。
【０００８】ステップ３ 検証者Ｂは、２つの乱数ａと
ｂを署名者Ａに送信する。ステップ４ 署名者Ａは、受
信したａとｂが、先に受信した通信文Ｘに対して （６）式の関係 Ｘ＝ｍa ・ｇb (mod p) （６） をみたすことを検査して、合格なら、ｑを検証者Ｂに送
信する。不合格なら処理を停止する。
ｂを署名者Ａに送信する。ステップ４ 署名者Ａは、受
信したａとｂが、先に受信した通信文Ｘに対して （６）式の関係 Ｘ＝ｍa ・ｇb (mod p) （６） をみたすことを検査して、合格なら、ｑを検証者Ｂに送
信する。不合格なら処理を停止する。
【０００９】ステップ５ 検証者Ｂは、受信したｑ、先
に受信した通信文（Ｙ，Ｚ）、先に生成したａとｂが、
検査用鍵の一成分ｙ、メッセージｍと署名ｓに対して
（７）、（８）式の関係 Ｙ＝ｍa ・ｇb+q (mod p) （７） Ｚ＝ｓa ・ｙb+q (mod p) （８） をみたすことを確認する。合格ならば、ｓがｍに対する
署名者Ａの正しい署名であると判断する。注）ここで、
等号が成立することは、Ｙ＝Ｘ・ｇq ＝（ｍa ・ｇb ）
ｇq ＝ｍa ・ｇb+q (mod p) Ｚ＝Ｙx ＝（ｍa ・
ｇb+q ）x ＝（ｍx ）a ・（ｇx ）b+q ＝ｓa ・ｙb+q
(modp) より明らかである。 （ｂ）否認手順 ステップ１ 検証者Ｂは、２つの乱数ｃ（Ｏ≦ｃ≦ｋ）
と乱数ｄを生成して、（９）、（１０）式を計算して通
信文（Ｖ，Ｗ）を Ｖ＝ｍc ・ｇd (mod p) （９） Ｗ＝ｔc ・ｙd (mod p) （１０） 作り、これをメッセージｍと署名ｔと共に署名者Ａに送
信する（ここでｋは安全性のパラメータでありＡとＢが
予め合意した値である）。
に受信した通信文（Ｙ，Ｚ）、先に生成したａとｂが、
検査用鍵の一成分ｙ、メッセージｍと署名ｓに対して
（７）、（８）式の関係 Ｙ＝ｍa ・ｇb+q (mod p) （７） Ｚ＝ｓa ・ｙb+q (mod p) （８） をみたすことを確認する。合格ならば、ｓがｍに対する
署名者Ａの正しい署名であると判断する。注）ここで、
等号が成立することは、Ｙ＝Ｘ・ｇq ＝（ｍa ・ｇb ）
ｇq ＝ｍa ・ｇb+q (mod p) Ｚ＝Ｙx ＝（ｍa ・
ｇb+q ）x ＝（ｍx ）a ・（ｇx ）b+q ＝ｓa ・ｙb+q
(modp) より明らかである。 （ｂ）否認手順 ステップ１ 検証者Ｂは、２つの乱数ｃ（Ｏ≦ｃ≦ｋ）
と乱数ｄを生成して、（９）、（１０）式を計算して通
信文（Ｖ，Ｗ）を Ｖ＝ｍc ・ｇd (mod p) （９） Ｗ＝ｔc ・ｙd (mod p) （１０） 作り、これをメッセージｍと署名ｔと共に署名者Ａに送
信する（ここでｋは安全性のパラメータでありＡとＢが
予め合意した値である）。
【００１０】ステップ２ 署名者Ａは、ｒを１からｋま
で取り直して （ｔ／ｍx ）r ＝Ｗ／ＶX (mod p) （１１） をみたすｒを求めて、ｒのコミットメント関数の値ｅ＝
ＢＣ（ｒ）を検証者Ｂに送信する（ここでコミットメン
ト関数とは、ｒに対してＢＣ（ｒ）＝ＢＣ（ｒ′）をみ
たすｒ′を見つけるのが困難な関数である）。
で取り直して （ｔ／ｍx ）r ＝Ｗ／ＶX (mod p) （１１） をみたすｒを求めて、ｒのコミットメント関数の値ｅ＝
ＢＣ（ｒ）を検証者Ｂに送信する（ここでコミットメン
ト関数とは、ｒに対してＢＣ（ｒ）＝ＢＣ（ｒ′）をみ
たすｒ′を見つけるのが困難な関数である）。
【００１１】コミットメント関数ＢＣの構成例は、Gill
es Brassard, Claude Crepeau:“Non-transitive trans
fer of confidence: A perfect zero-knowledge intera
ctive protocol for SAT and beyond ”, FOCS'86,pp.1
88-195 に示されている。ステップ３ 検証者Ｂは、乱
数ｄを署名者Ａに送信する。ステップ４ 署名者Ａは、
受信したｄが、通信文（Ｖ，Ｗ）に対して （Ｖ，Ｗ）＝（ｍr ｇd (mod p) ，ｔr ｙd (mod p) ）
(11a) をみたすことを確認する。成立すれば、ｒを検証者Ｂに
送信する。成立しなければ、検証者Ｂが検証以外のこと
に不正利用していると判断して処理を停止する。
es Brassard, Claude Crepeau:“Non-transitive trans
fer of confidence: A perfect zero-knowledge intera
ctive protocol for SAT and beyond ”, FOCS'86,pp.1
88-195 に示されている。ステップ３ 検証者Ｂは、乱
数ｄを署名者Ａに送信する。ステップ４ 署名者Ａは、
受信したｄが、通信文（Ｖ，Ｗ）に対して （Ｖ，Ｗ）＝（ｍr ｇd (mod p) ，ｔr ｙd (mod p) ）
(11a) をみたすことを確認する。成立すれば、ｒを検証者Ｂに
送信する。成立しなければ、検証者Ｂが検証以外のこと
に不正利用していると判断して処理を停止する。
【００１２】ステップ５ 検証者Ｂは、受信したｒがｅ
＝ＢＣ（ｒ）をみたし、さらにｒ＝ｃが成り立つことを
確認する。ステップ６ 上記のステップをＺ回繰り返
し、署名の非正当性を確認する（ここでＺは安全性のパ
ラメータであり、署名者Ａと検証者Ｂとが予め合意した
値である）。
＝ＢＣ（ｒ）をみたし、さらにｒ＝ｃが成り立つことを
確認する。ステップ６ 上記のステップをＺ回繰り返
し、署名の非正当性を確認する（ここでＺは安全性のパ
ラメータであり、署名者Ａと検証者Ｂとが予め合意した
値である）。
【００１３】以上のようにして、確認手順で、正しい署
名であれば、これが確認され、正しくない署名であれ
ば、正しい署名とは認識されない。この確認手順では正
しい署名者が、正しい署名でないと偽わることができな
いことは保証されない。しかし否認手順で、正しくない
署名を正しくないと認識し、正しい署名を正しくないと
認識できないから、正しい署名者が偽わって正しい署名
を自己の署名でないと否認することができない。
名であれば、これが確認され、正しくない署名であれ
ば、正しい署名とは認識されない。この確認手順では正
しい署名者が、正しい署名でないと偽わることができな
いことは保証されない。しかし否認手順で、正しくない
署名を正しくないと認識し、正しい署名を正しくないと
認識できないから、正しい署名者が偽わって正しい署名
を自己の署名でないと否認することができない。
【００１４】
【発明が解決しようとする課題】このChaum の方法は発
明の効果の項で後述するように署名者、検証者の各処理
量が多く、また通信回数が多い欠点があった。電子化さ
れた文書の稟議／決済、電子投票システム等では、文書
に付与された電子的な署名／捺印の真偽を確認したいと
いう要求がしばしば生じる。
明の効果の項で後述するように署名者、検証者の各処理
量が多く、また通信回数が多い欠点があった。電子化さ
れた文書の稟議／決済、電子投票システム等では、文書
に付与された電子的な署名／捺印の真偽を確認したいと
いう要求がしばしば生じる。
【００１５】Chaum の方法を考察した場合、この目的に
かなうものであるが、署名の確認、ないし否認の手順と
に、それぞれ異なる手続きを用いている。このため、こ
れの実現においては、異なる装置（ないしソフトウエ
ア）を２種類用意し、その目的に応じてどちらかの装置
を選択して運用しなければならないことになる。更にCh
aum の方法は、確認の手順は１回で終了するが、否認の
手順は複数回繰り返す必要があり、ステップ１〜５を並
列的に行って複数の通信文を同時に送信した場合には、
安全性は保証されない。
かなうものであるが、署名の確認、ないし否認の手順と
に、それぞれ異なる手続きを用いている。このため、こ
れの実現においては、異なる装置（ないしソフトウエ
ア）を２種類用意し、その目的に応じてどちらかの装置
を選択して運用しなければならないことになる。更にCh
aum の方法は、確認の手順は１回で終了するが、否認の
手順は複数回繰り返す必要があり、ステップ１〜５を並
列的に行って複数の通信文を同時に送信した場合には、
安全性は保証されない。
【００１６】この発明の目的は処理量が少なく、かつ通
信回数も少なく、しかも署名の確認、否認手順を同じ手
続きで行うことが可能なディジタル署名方法を提供する
ことにある。
信回数も少なく、しかも署名の確認、否認手順を同じ手
続きで行うことが可能なディジタル署名方法を提供する
ことにある。
【００１７】
【課題を解決するための手段】この発明によれば署名者
は署名用鍵ｘを用いてこれと対応する公開情報ｙを生成
し、そのｙを公開し、署名者はメッセージｍに対し、署
名用鍵ｘを用いて署名ｓを作り、これらｍとｓとを検証
者へ送信し、検証者はｍとｓとの対を署名者へ送信し、
署名者は乱数ｖ0 とｖ1 を用いて検証用情報Ａ0 とＡ1
とを生成して検証者へ送信し、検証者は乱数ｑi ∈
｛０，１｝を発生し、ｑi ＝０の時はＡ0 を、ｑi ＝１
の時はＡ1 、つまりＡqiを用いて、これらと乱数ｕi と
から複数の通信文Ｑi を生成して、署名者へ送信し（ｉ
＝１，２，…，８）、署名者は乱数ｒ i と公開情報ｙと
関連した情報とを用いて複数の鍵検証用通信文Ｘ1iを生
成し、またｒi とメッセージｍとを用いて複数の署名検
証用通信文Ｘ2iとを生成してＸ 1i，Ｘ2iを検証者へ送信
し、検証者はｑi ，ｕi を署名者へ送信し、署名者は受
信したｑi ，ｕi と先に受信したＱi とからそのｑi の
正当性を確認し、ｒi ，ｑi ，ｘから複数の通信文Ｙi
を生成し、これとｖ0 ，ｖ1 とを検証者へ送信し、検証
者は受信したｖ0 ，ｖ1 を用いて先に受信した検証用情
報Ａ0 ，Ａ1 の正当性を検証し、Ｙi とＸ1iとｙとｑi
とを用いて鍵ｘの正当性と、Ｙi とＸ2iとｍとｑi とを
用いて署名ｓの正当性とを検証する。
は署名用鍵ｘを用いてこれと対応する公開情報ｙを生成
し、そのｙを公開し、署名者はメッセージｍに対し、署
名用鍵ｘを用いて署名ｓを作り、これらｍとｓとを検証
者へ送信し、検証者はｍとｓとの対を署名者へ送信し、
署名者は乱数ｖ0 とｖ1 を用いて検証用情報Ａ0 とＡ1
とを生成して検証者へ送信し、検証者は乱数ｑi ∈
｛０，１｝を発生し、ｑi ＝０の時はＡ0 を、ｑi ＝１
の時はＡ1 、つまりＡqiを用いて、これらと乱数ｕi と
から複数の通信文Ｑi を生成して、署名者へ送信し（ｉ
＝１，２，…，８）、署名者は乱数ｒ i と公開情報ｙと
関連した情報とを用いて複数の鍵検証用通信文Ｘ1iを生
成し、またｒi とメッセージｍとを用いて複数の署名検
証用通信文Ｘ2iとを生成してＸ 1i，Ｘ2iを検証者へ送信
し、検証者はｑi ，ｕi を署名者へ送信し、署名者は受
信したｑi ，ｕi と先に受信したＱi とからそのｑi の
正当性を確認し、ｒi ，ｑi ，ｘから複数の通信文Ｙi
を生成し、これとｖ0 ，ｖ1 とを検証者へ送信し、検証
者は受信したｖ0 ，ｖ1 を用いて先に受信した検証用情
報Ａ0 ，Ａ1 の正当性を検証し、Ｙi とＸ1iとｙとｑi
とを用いて鍵ｘの正当性と、Ｙi とＸ2iとｍとｑi とを
用いて署名ｓの正当性とを検証する。
【００１８】
【作用】このようにこの発明では、署名鍵の正当性を示
す手順と署名の正当性を示す手順を同時に行うことによ
り、従来方式では独立な手続きで行われていた署名の確
認手順と否認手順とを同一の手続きで行え、装置を簡略
化することができる。また、Mihir Bellare, Silvio Mi
cali, Rafail Ostrovsky：“Perfect zero-knowledge i
n constant rounds ”，STOC'90, pp.482-493 に示され
ている手法を用いることにより、署名の確認・否認手順
を１回で行えるようにし、通信の繰り返し回数を削減す
ることができる。
す手順と署名の正当性を示す手順を同時に行うことによ
り、従来方式では独立な手続きで行われていた署名の確
認手順と否認手順とを同一の手続きで行え、装置を簡略
化することができる。また、Mihir Bellare, Silvio Mi
cali, Rafail Ostrovsky：“Perfect zero-knowledge i
n constant rounds ”，STOC'90, pp.482-493 に示され
ている手法を用いることにより、署名の確認・否認手順
を１回で行えるようにし、通信の繰り返し回数を削減す
ることができる。
【００１９】
【実施例】以下では、この発明の一実施例について説明
する。図１はこの発明が適用されるシステムの構成例を
示す。公開ファイル１００が署名者装置２００及び検証
者装置５００とそれぞれ各別の安全な通信路３００を介
して結合され、署名者装置２００と検証者装置５００と
は安全でない通信路４００を介して結合されているとす
る。図２に公開ファイル１００の内容を示す。システム
に共通な情報ｐ，ｑが登録され、また各利用者対応に公
開情報が登録されている。図３にこの発明の通信シーケ
ンス例を示し、図４及び図５に署名者装置２００の構成
例を示し、図６及び図７に検証者装置５００の構成例を
示す。 （１）鍵の登録 署名者Ａがシステムに加入するとき、剰余付き計算器２
１０を用いて公開情報ｙを生成して公開ファイル１００
に登録する。公開ファイルには、システム内一意の共通
情報として（ｇ，ｐ）が公開されている（但し、ｐ：素
数、ｇ：原始根）。
する。図１はこの発明が適用されるシステムの構成例を
示す。公開ファイル１００が署名者装置２００及び検証
者装置５００とそれぞれ各別の安全な通信路３００を介
して結合され、署名者装置２００と検証者装置５００と
は安全でない通信路４００を介して結合されているとす
る。図２に公開ファイル１００の内容を示す。システム
に共通な情報ｐ，ｑが登録され、また各利用者対応に公
開情報が登録されている。図３にこの発明の通信シーケ
ンス例を示し、図４及び図５に署名者装置２００の構成
例を示し、図６及び図７に検証者装置５００の構成例を
示す。 （１）鍵の登録 署名者Ａがシステムに加入するとき、剰余付き計算器２
１０を用いて公開情報ｙを生成して公開ファイル１００
に登録する。公開ファイルには、システム内一意の共通
情報として（ｇ，ｐ）が公開されている（但し、ｐ：素
数、ｇ：原始根）。
【００２０】ステップ１ 署名者Ａは、乱数発生器２０
５を用いて署名用鍵ｘを生成して、ｘとｐとｇから剰余
つき計算器２１０を用いて公開情報ｙを次式、ｙ＝ｇx
(mod p) （１２） で計算して、公開ファイル１００に登録する。 （２）署名の作成 以降では、署名者Ａがメッセージｍに署名する場合につ
いて説明する。
５を用いて署名用鍵ｘを生成して、ｘとｐとｇから剰余
つき計算器２１０を用いて公開情報ｙを次式、ｙ＝ｇx
(mod p) （１２） で計算して、公開ファイル１００に登録する。 （２）署名の作成 以降では、署名者Ａがメッセージｍに署名する場合につ
いて説明する。
【００２１】ステップ２ 署名者Ａは、剰余つき計算器
２１５を用いて公開情報ｐと署名用鍵ｘとから、メッセ
ージｍに対して次式 ｓ＝ｍx (mod p) （１３） で署名ｓを計算して、ｍとｓの対を検証者Ｂに送信す
る。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、署名ｓ
が署名者Ａのメッセージｍに対する正しい署名であるこ
とを、または、署名ｓがメッセージｍに対する正しい署
名でないことを検査する。
２１５を用いて公開情報ｐと署名用鍵ｘとから、メッセ
ージｍに対して次式 ｓ＝ｍx (mod p) （１３） で署名ｓを計算して、ｍとｓの対を検証者Ｂに送信す
る。 （３）署名の検査 検証者Ｂは、署名者Ａと通信することによって、署名ｓ
が署名者Ａのメッセージｍに対する正しい署名であるこ
とを、または、署名ｓがメッセージｍに対する正しい署
名でないことを検査する。
【００２２】ステップ３ 検証者Ｂは、検査したいメッ
セージと署名の対（ｍ，ｓ）を署名者Ａに送信する。ス
テップ４ 署名者Ａは、乱数発生器２２０を用いて乱数
ｖ0 とｖ1 を生成して、これらと公開情報ｐ，ｑとを用
いて剰余付き計算器２２５，２３０で検証用情報Ａ0 ，
Ａ1を次式の Ａ0 ＝ｇvo(mod p) （１４） Ａ1 ＝ｇv1 (mod p) （１５） 計算により作成して、検証者Ｂに送信する。
セージと署名の対（ｍ，ｓ）を署名者Ａに送信する。ス
テップ４ 署名者Ａは、乱数発生器２２０を用いて乱数
ｖ0 とｖ1 を生成して、これらと公開情報ｐ，ｑとを用
いて剰余付き計算器２２５，２３０で検証用情報Ａ0 ，
Ａ1を次式の Ａ0 ＝ｇvo(mod p) （１４） Ａ1 ＝ｇv1 (mod p) （１５） 計算により作成して、検証者Ｂに送信する。
【００２３】ステップ５ 検証者Ｂは、乱数発生器５１
０を用いて乱数ｑi∈｛０，１｝（ｉ＝１，…，ｚ）と
ｕi （ｉ＝１，…，ｚ）を生成して、ｑi ＝０の時はＡ
0 を用い、ｑi ＝１の時はＡ1 を用いて剰余付き計算器
５０５及び５１５により下記（１６）式の通信文Ｑ
i （ｉ＝１，…，ｚ）を Ｑi ＝Ａqiｇui (mod p) （１６） で計算して、署名者Ａに送信する（ここでｚは安全性の
パラメータであり署名者Ａと検証者Ｂとが予め合意した
値である）。
０を用いて乱数ｑi∈｛０，１｝（ｉ＝１，…，ｚ）と
ｕi （ｉ＝１，…，ｚ）を生成して、ｑi ＝０の時はＡ
0 を用い、ｑi ＝１の時はＡ1 を用いて剰余付き計算器
５０５及び５１５により下記（１６）式の通信文Ｑ
i （ｉ＝１，…，ｚ）を Ｑi ＝Ａqiｇui (mod p) （１６） で計算して、署名者Ａに送信する（ここでｚは安全性の
パラメータであり署名者Ａと検証者Ｂとが予め合意した
値である）。
【００２４】ステップ６ 署名者Ａは、乱数発生器２３
５を用いて乱数ｒi（ｉ＝１，…，ｚ）を生成し、ｒi
と、公開情報ｙ1 つまり公開情報ｐ，ｇとを用いて次の
（１７）式を剰余付き計算器２４０で計算して鍵検証用
通信文Ｘ1iを作り、またｒi とｍとｐとを用いて次の
（１８）式を剰余付き計算器２４５で計算して署名検証
用通信文Ｘ2i（ｉ＝１，…，ｚ）を作り、 Ｘ1i＝ｇri(mod p) （１７） Ｘ2i＝ｍri(mod p) （１８） これら通信文Ｘ1i，Ｘ2iを検証者Ｂに送信する。
５を用いて乱数ｒi（ｉ＝１，…，ｚ）を生成し、ｒi
と、公開情報ｙ1 つまり公開情報ｐ，ｇとを用いて次の
（１７）式を剰余付き計算器２４０で計算して鍵検証用
通信文Ｘ1iを作り、またｒi とｍとｐとを用いて次の
（１８）式を剰余付き計算器２４５で計算して署名検証
用通信文Ｘ2i（ｉ＝１，…，ｚ）を作り、 Ｘ1i＝ｇri(mod p) （１７） Ｘ2i＝ｍri(mod p) （１８） これら通信文Ｘ1i，Ｘ2iを検証者Ｂに送信する。
【００２５】ステップ７ 検証者Ｂは、（ｑi ，ｕi ）
（ｉ＝１，…，ｚ）を署名者Ａに送信する。ステップ８
署名者Ａは、受信したｑi ，ｕi で（１６）式を計算
し、この計算結果が先に受信したＱi と一致するか否か
を検査して、一致して合格ならば、先に用いたｒi と署
名用鍵ｘとｑi とから、乗算器２６０、剰余付き加算器
２６５を用いて次式の通信文Ｙi （ｉ＝１，…，ｌ）を
計算し、 Ｙi ＝ｒi ＋ｑi ｘ(mod p-1) （１９） このＹi とｖ0 ，ｖ1 とを、検証者Ｂに送信する。不合
格ならば、検証者Ｂの不正を検出したとして処理を停止
する。
（ｉ＝１，…，ｚ）を署名者Ａに送信する。ステップ８
署名者Ａは、受信したｑi ，ｕi で（１６）式を計算
し、この計算結果が先に受信したＱi と一致するか否か
を検査して、一致して合格ならば、先に用いたｒi と署
名用鍵ｘとｑi とから、乗算器２６０、剰余付き加算器
２６５を用いて次式の通信文Ｙi （ｉ＝１，…，ｌ）を
計算し、 Ｙi ＝ｒi ＋ｑi ｘ(mod p-1) （１９） このＹi とｖ0 ，ｖ1 とを、検証者Ｂに送信する。不合
格ならば、検証者Ｂの不正を検出したとして処理を停止
する。
【００２６】ステップ９ 検証者Ｂは、受信したｖ0 ，
ｖ1 を用いて剰余付き計算器５２０，５３０で（１
４），（１５）式をそれぞれ計算し、これら計算結果を
比較器５２５，５３５を用いて、それぞれ先に受信した
検証用情報Ａ0 ，Ａ1 と一致するかを検査して、不一致
で不合格ならば、署名者Ａの不正を検出したとして処理
を停止する。合格ならば、さらに、先に受信したＸ1iと
ｙと、ｑi とｐとを用いて剰余付き計算器５４０でＸ1i
・ｙqi（mod p)を演算し、またＸ2iとｓとｑi とｐとを
用いて剰余付き計算器５５５でＸ2i・ｓqi（mod p)を演
算し、かつ受信したＹi とｇと、ｐとを用いて剰余付き
計算器５４５でｇYi（mod p)を演算し、Ｙi とｍとｐと
を用いて剰余付き計算器５６０でｍYi（mod p)を演算
し、これらを比較器５５０，５６５によりそれぞれ比較
し、受信したＹi ，Ｘ1i，Ｘ2i，先に送信したｑi が、
メッセージｍと署名ｓとに対し次の検査式（２０），
（２１） Ｘ1i・ｙqi＝ｇYi(mod p) （２０） Ｘ2i・ｓqi＝ｍYi(mod p) （２１） を満たすか否かを検査する。各ｉ（ｉ＝１，…，ｚ）に
対してｑi ＝０の時には両検査式を合格することを確認
し、つまりＸ1i，Ｘ2iをｒi から作ったことを確認し、
署名者Ａが不正していないことを検証し、またｑi ＝１
の時には両検査式に合格ならばｓがｍに対する署名者Ａ
の正当な署名であり、前者の検査式（２０）のみに合格
ならばｓがｍに対する署名者Ａの正当な署名でないと判
断する。
ｖ1 を用いて剰余付き計算器５２０，５３０で（１
４），（１５）式をそれぞれ計算し、これら計算結果を
比較器５２５，５３５を用いて、それぞれ先に受信した
検証用情報Ａ0 ，Ａ1 と一致するかを検査して、不一致
で不合格ならば、署名者Ａの不正を検出したとして処理
を停止する。合格ならば、さらに、先に受信したＸ1iと
ｙと、ｑi とｐとを用いて剰余付き計算器５４０でＸ1i
・ｙqi（mod p)を演算し、またＸ2iとｓとｑi とｐとを
用いて剰余付き計算器５５５でＸ2i・ｓqi（mod p)を演
算し、かつ受信したＹi とｇと、ｐとを用いて剰余付き
計算器５４５でｇYi（mod p)を演算し、Ｙi とｍとｐと
を用いて剰余付き計算器５６０でｍYi（mod p)を演算
し、これらを比較器５５０，５６５によりそれぞれ比較
し、受信したＹi ，Ｘ1i，Ｘ2i，先に送信したｑi が、
メッセージｍと署名ｓとに対し次の検査式（２０），
（２１） Ｘ1i・ｙqi＝ｇYi(mod p) （２０） Ｘ2i・ｓqi＝ｍYi(mod p) （２１） を満たすか否かを検査する。各ｉ（ｉ＝１，…，ｚ）に
対してｑi ＝０の時には両検査式を合格することを確認
し、つまりＸ1i，Ｘ2iをｒi から作ったことを確認し、
署名者Ａが不正していないことを検証し、またｑi ＝１
の時には両検査式に合格ならばｓがｍに対する署名者Ａ
の正当な署名であり、前者の検査式（２０）のみに合格
ならばｓがｍに対する署名者Ａの正当な署名でないと判
断する。
【００２７】このように（２０）式が成立している状態
で（２１）式が成立すれば正しい署名であると認識し、
（２１）式が不成立であれば、正しくない署名であると
認識する。また正しい署名を正しくないと署名者が否認
しようとして、例えば（１９）式を満さないＹi を送信
すれば、（２１）式が成立しないが、（２０）式も成立
しないため、つまり鍵の正当性が検証されなくなるか
ら、不正があったと判定される。このようにして正しい
署名を署名者が否認することはできない。このようにし
て署名の確認と否認とを同一手続きで行える。
で（２１）式が成立すれば正しい署名であると認識し、
（２１）式が不成立であれば、正しくない署名であると
認識する。また正しい署名を正しくないと署名者が否認
しようとして、例えば（１９）式を満さないＹi を送信
すれば、（２１）式が成立しないが、（２０）式も成立
しないため、つまり鍵の正当性が検証されなくなるか
ら、不正があったと判定される。このようにして正しい
署名を署名者が否認することはできない。このようにし
て署名の確認と否認とを同一手続きで行える。
【００２８】検証者にとっては署名の確認と否認とだけ
が得られればよく、例えばｑi を漏らしたくない、同様
に署名者はｘを漏らしたくない。検証者が例えばｘを知
ろうとして不正をしても、ステップ８におけるｑi ，ｕ
i と先に受信したＱi とによりｑi の正当性を検証する
ことにより、検証者の不正を検出できる。同様に署名者
が例えば不正にｑi を知ろうとしても、ステップ９にお
けるｖ0 ，ｖ1 と先に受信したＡ0 ，Ａ1 との検証によ
り、Ａ0 ，Ａ1 の正当性を検証して、署名者の不正を検
出することができる。更にＡ0 ，Ａ1 に関する情報を複
数同時に送り、かつ通信文Ｘ1i，Ｘ2iも複数同時に送っ
ているが、ｑi ，ｕi とＱi との確認、ｖ0 ，ｖ1 とＡ
0 ，Ａ1 との確認も行うことにより、全体として安全性
が保証される。
が得られればよく、例えばｑi を漏らしたくない、同様
に署名者はｘを漏らしたくない。検証者が例えばｘを知
ろうとして不正をしても、ステップ８におけるｑi ，ｕ
i と先に受信したＱi とによりｑi の正当性を検証する
ことにより、検証者の不正を検出できる。同様に署名者
が例えば不正にｑi を知ろうとしても、ステップ９にお
けるｖ0 ，ｖ1 と先に受信したＡ0 ，Ａ1 との検証によ
り、Ａ0 ，Ａ1 の正当性を検証して、署名者の不正を検
出することができる。更にＡ0 ，Ａ1 に関する情報を複
数同時に送り、かつ通信文Ｘ1i，Ｘ2iも複数同時に送っ
ているが、ｑi ，ｕi とＱi との確認、ｖ0 ，ｖ1 とＡ
0 ，Ａ1 との確認も行うことにより、全体として安全性
が保証される。
【００２９】
【発明の効果】この発明の方法とChaum の方式とを比較
すると下記のようになる。但し、Chaum の方式もこの発
明の方法も鍵の生成、署名の作成の手順においては相違
がないので、以下、署名の検査・否認の手順のみについ
て考察する。 （１）検証者の処理量 まず、Chaum の方式では、確認の手順で、乱数生成２
回、べき乗演算６回、乗算３回、加算１回が必要であ
り、否認の手順で、乱数生成２ｚ回、べき乗演算４ｚ
回、乗算２ｚ回、コミットメント関数の計算ｚ回が必要
であり、計、乱数生成２ｚ＋２回、べき乗演算４ｚ＋６
回、乗算２ｚ＋３回、加算１回、コミットメント関数の
計算ｚ回が必要である。
すると下記のようになる。但し、Chaum の方式もこの発
明の方法も鍵の生成、署名の作成の手順においては相違
がないので、以下、署名の検査・否認の手順のみについ
て考察する。 （１）検証者の処理量 まず、Chaum の方式では、確認の手順で、乱数生成２
回、べき乗演算６回、乗算３回、加算１回が必要であ
り、否認の手順で、乱数生成２ｚ回、べき乗演算４ｚ
回、乗算２ｚ回、コミットメント関数の計算ｚ回が必要
であり、計、乱数生成２ｚ＋２回、べき乗演算４ｚ＋６
回、乗算２ｚ＋３回、加算１回、コミットメント関数の
計算ｚ回が必要である。
【００３０】一方、この発明方法においては、確認、お
よび、否認のどちらの手順においても、乱数生成２ｚ
回、べき乗演算３ｚ＋２回、乗算３ｚ回だけを行えばよ
い。従ってこの発明方法の方が処理量が少ない。 （２）署名者の処理量 Chaum の方式では、確認の手順で、乱数生成１回、べき
乗演算２回、乗算１回が必要であり、否認の手順で、べ
き乗演算（ｋ＋６）ｚ回、乗算２回、除算２回、コミッ
トメント関数の計算ｚ回が必要であり、計、乱数生成１
回、べき乗演算（ｋ＋６）ｚ＋２回、乗算２ｚ＋１回、
除算２ｚ回、コミットメント関数の計算ｚ回が必要であ
る。
よび、否認のどちらの手順においても、乱数生成２ｚ
回、べき乗演算３ｚ＋２回、乗算３ｚ回だけを行えばよ
い。従ってこの発明方法の方が処理量が少ない。 （２）署名者の処理量 Chaum の方式では、確認の手順で、乱数生成１回、べき
乗演算２回、乗算１回が必要であり、否認の手順で、べ
き乗演算（ｋ＋６）ｚ回、乗算２回、除算２回、コミッ
トメント関数の計算ｚ回が必要であり、計、乱数生成１
回、べき乗演算（ｋ＋６）ｚ＋２回、乗算２ｚ＋１回、
除算２ｚ回、コミットメント関数の計算ｚ回が必要であ
る。
【００３１】一方、この発明方法においては、確認、お
よび、否認のどちらの手順においても、乱数生成ｚ＋２
回、べき乗演算２ｚ＋２回、乗算ｚ回、剰余付き加算ｚ
回だけを行えばよい。この発明方法の方が処理量が少な
い。 （３）システム内の通信量 以下、ｐ，ｍ，ａ，ｂ，ｑ，ｅ，ｄ，ｖ0 ，ｖ1 ，
ｑi ，ｕi をそれぞれを５００ビットとして比較する。
よび、否認のどちらの手順においても、乱数生成ｚ＋２
回、べき乗演算２ｚ＋２回、乗算ｚ回、剰余付き加算ｚ
回だけを行えばよい。この発明方法の方が処理量が少な
い。 （３）システム内の通信量 以下、ｐ，ｍ，ａ，ｂ，ｑ，ｅ，ｄ，ｖ0 ，ｖ1 ，
ｑi ，ｕi をそれぞれを５００ビットとして比較する。
【００３２】Chaum の方式においては、確認の手順で、
８×５００ビットの通信量を必要とし、否認の手順で
は、７×５００×ｚビットの通信量を必要とする。すな
わち、全体として必要な通信量は、 ３５００ｚ＋４０００ビット である。
８×５００ビットの通信量を必要とし、否認の手順で
は、７×５００×ｚビットの通信量を必要とする。すな
わち、全体として必要な通信量は、 ３５００ｚ＋４０００ビット である。
【００３３】一方、この発明方法は、確認と否認の手順
のどちらにおいても、それに必要な通信量は、２５０１
ｚ＋２０００ビットであり、合計、５００２ｚ＋４００
０ビットの通信量が必要となる。しかし、Chaum の方式
では、手続きの通信回数が、確認の手順で、５回である
のに対し、否認の手順では、５ｚ回必要とする。
のどちらにおいても、それに必要な通信量は、２５０１
ｚ＋２０００ビットであり、合計、５００２ｚ＋４００
０ビットの通信量が必要となる。しかし、Chaum の方式
では、手続きの通信回数が、確認の手順で、５回である
のに対し、否認の手順では、５ｚ回必要とする。
【００３４】一方、この発明方法は、確認と否認の手順
のどちらにおいても、それに必要な通信回数は７回であ
り、この発明方法では通信回数が削減されていることが
分かる。 （４）装置の構成 Chaum の方式においては、署名者が、署名の検査を依頼
されたときに、それの正当性を判断して、それに応じ
て、確認、ないし、否認の手順を選択して通信を実行す
るが、その際、確認／否認それぞれに専用の装置を必要
とする。
のどちらにおいても、それに必要な通信回数は７回であ
り、この発明方法では通信回数が削減されていることが
分かる。 （４）装置の構成 Chaum の方式においては、署名者が、署名の検査を依頼
されたときに、それの正当性を判断して、それに応じ
て、確認、ないし、否認の手順を選択して通信を実行す
るが、その際、確認／否認それぞれに専用の装置を必要
とする。
【００３５】しかし、この発明方法においては、確認と
否認の手順を同一にしたため、確認／否認それぞれを同
一装置で実現でき、通信装置の規模を削減することがで
きる。 （５）安全性の証明 この発明の方法ではｚ回にわけて通信するかわりに、ｚ
回分の通信を同時に行っているが、この発明の方法の安
全性については、Mihir Bellare, Silvio Micali, Rafa
il Ostrovsky：“Perfect zero-knowledge in constant
rounds ”，STOC'90, pp.482-493 に示されている方式
と同様にして証明することができる。
否認の手順を同一にしたため、確認／否認それぞれを同
一装置で実現でき、通信装置の規模を削減することがで
きる。 （５）安全性の証明 この発明の方法ではｚ回にわけて通信するかわりに、ｚ
回分の通信を同時に行っているが、この発明の方法の安
全性については、Mihir Bellare, Silvio Micali, Rafa
il Ostrovsky：“Perfect zero-knowledge in constant
rounds ”，STOC'90, pp.482-493 に示されている方式
と同様にして証明することができる。
【図１】この発明が適用されるシステムの構成例を示す
ブロック図。
ブロック図。
【図２】図１中の公開ファイル１００の内容例を示す
図。
図。
【図３】署名者Ａと検証者との間の通信シーケンスを示
す図。
す図。
【図４】署名者装置２００の一部を示すブロック図。
【図５】署名者装置２００の他の部分を示すブロック
図。
図。
【図６】検証者装置５００の一部を示すブロック図。
【図７】検証者装置５００の他の部分を示すブロック
図。
図。
１００ 公開ファイル ２００ 署名者Ａ ３００，４００ 通信路 ５００ 検証者 ２０５，２２０，２３５，５１０ 乱数発生器 ２１０，２１５，２２５，２３０，２４０，２４５，２
５５，２６５，５０５，５１５，５２０，５３０，５４
０，５４５，５５５，５６０，剰余付き計算器 ２５０，５２５，５３５，５５０，５６５ 比較器 ２６０ 乗算器
５５，２６５，５０５，５１５，５２０，５３０，５４
０，５４５，５５５，５６０，剰余付き計算器 ２５０，５２５，５３５，５５０，５６５ 比較器 ２６０ 乗算器
フロントページの続き (56)参考文献 藤岡，岡本，太田，「対話型双証明方 式とＵｎｄｅｎｉａｂｌｅ署名法」, 1991年電子情報通信学会春季全国大会講 演論文集（１）（1991．３．15），Ａ− 289（ｐ291) (58)調査した分野(Int.Cl.7，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (1)
- 【請求項１】 素数ｐとｐの原始根ｇが公開され、 署名者装置は署名用鍵ｘを生成し、 ｙ＝ｇx(mod p) を計算して公開情報ｙを公開し、 署名者装置はメッセージｍに対し、 ｓ＝ｍx(mod p) を計算し、ｍとその署名ｓを検証者装置へ送信し、 検証者装置はメッセージｍとその署名ｓを署名者装置へ
送信し、 署名者装置はｍ、ｓを受信すると、乱数ｖ0とｖ1を生成
し、ｐ、ｑを用いて、 Ａ0＝ｇv0 (mod p) Ａ1＝ｇv1 (mod p) をそれぞれ計算し、これら検証用情報Ａ0、Ａ1を検証者
装置へ送信し、 検証者装置はＡ0、Ａ1を受信すると、乱数ｑi∈｛０，
１｝（ｉ＝１，…，ｚ）と乱数ｕi（ｉ＝１，…，ｚ）
を生成し、ｑi＝０でＡ0について、ｑi＝１でＡ1につい
て、 Ｑi＝Ａqiｇui(mod p) を計算し、通信文Ｑiを署名者装置へ送信し、 署名者装置はＱiを受信すると、乱数ｒi（ｉ＝１，…，
ｚ）を生成し、 Ｘ1i＝ｇri(mod p) Ｘ2i＝ｍri(mod p) を計算し、これら通信文Ｘ1i、Ｘ2iを検証者装置へ送信
し、 検証者装置はＸ1i、Ｘ2iを受信すると、（ｑi，ｕi）
（ｉ＝１，…，ｚ）を署名者装置へ送信し、 署名者装置は受信したｑi、ｕiで Ｑi＝Ａqiｇui(mod p) を計算し、この計算結果が先に受信したＱiと比較し、
一致すると、 Ｙi＝ｒi＋ｑiｘ(mod p-1) を計算し、通信文Ｙiとｖ0、ｖ1を検証者装置へ送信
し、上記比較が不一致であれば処理を停止し、 検証者装置は受信したｖ0、ｖ1により Ａ0＝ｇv0 (mod p) Ａ1＝ｇv1 (mod p) をそれぞれ計算し、これら計算結果と先に受信した検証
用情報Ａ0、Ａ1とをそれぞれ比較し、不一致で署名者装
置が不正として処理を停止し、共に一致すると、 Ｘ1i・ｙqi(mod p) を演算し、かつｇYi(mod p)を演算し、これら両演算結
果を比較し、 かつＸ2i・ｓqi(mod p)を演算し、またｍYi(mod p)を演
算し、これら両演算結果を比較し、 ｑi＝０である各ｉに対して、両比較が不一致のとき、
署名者装置が不正を行ったことを出力し、両比較が一致
のとき、署名者装置が不正していないことを出力し、 ｑi＝０である各ｉに対する両比較が一致した場合は更
に、ｑi＝１である各ｉに対して、両比較が一致してい
れば、ｓがｍに対する署名者装置の正当な署名であるこ
とを出力し、Ｘ1i・ｙqi(mod p)とｇ Yi(mod p)との比
較のみ一致していれば、ｓがｍに対する正当な署名でな
いことを出力することを特徴とするディジタル署名方
法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP03018958A JP3131907B2 (ja) | 1991-02-12 | 1991-02-12 | ディジタル署名方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP03018958A JP3131907B2 (ja) | 1991-02-12 | 1991-02-12 | ディジタル署名方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH04256994A JPH04256994A (ja) | 1992-09-11 |
| JP3131907B2 true JP3131907B2 (ja) | 2001-02-05 |
Family
ID=11986156
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP03018958A Expired - Fee Related JP3131907B2 (ja) | 1991-02-12 | 1991-02-12 | ディジタル署名方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3131907B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR2792142B1 (fr) * | 1999-04-08 | 2001-06-01 | France Telecom | Procede d'authentification et de signature de message utilisant des engagements de taille reduite |
| JP5069157B2 (ja) * | 2008-03-14 | 2012-11-07 | 日本電信電話株式会社 | 署名システム、署名方法、証明装置、検証装置、証明方法、検証方法、プログラム |
-
1991
- 1991-02-12 JP JP03018958A patent/JP3131907B2/ja not_active Expired - Fee Related
Non-Patent Citations (1)
| Title |
|---|
| 藤岡，岡本，太田，「対話型双証明方式とＵｎｄｅｎｉａｂｌｅ署名法」，１９９１年電子情報通信学会春季全国大会講演論文集（１）（１９９１．３．１５），Ａ−２８９（ｐ２９１） |
Also Published As
| Publication number | Publication date |
|---|---|
| JPH04256994A (ja) | 1992-09-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP1136927B1 (en) | Anonymous participation authority management system | |
| CN108551392B (zh) | 一种基于sm9数字签名的盲签名生成方法及系统 | |
| Susilo et al. | Perfect concurrent signature schemes | |
| US8122245B2 (en) | Anonymity revocation | |
| CN110555933A (zh) | 电子投票方法、装置、设备及计算机存储介质 | |
| EP0746923A1 (en) | Efficient electronic money | |
| CN108805551B (zh) | 一种安全的细粒度预支付方法及装置 | |
| KR0146438B1 (ko) | 인증교환 방법과 복원형 전자서명 방법 및 부가형 전자서명 방법 | |
| US5719940A (en) | Method for providing information security by exchanging authentication and signing an electronic signature and apparatus therefor | |
| CN112989436A (zh) | 一种基于区块链平台的多重签名方法 | |
| US7584363B2 (en) | Fair blind signature process | |
| JP3131907B2 (ja) | ディジタル署名方法 | |
| US6978372B1 (en) | Verification of correct exponentiation or other operations in cryptographic applications | |
| US20020044648A1 (en) | Methods and systems for efficient chained certification | |
| CN115795557A (zh) | 基于去中心化门限多方签名的电子公证文书签署方法及系统 | |
| JP3107313B2 (ja) | ディジタル署名方法 | |
| JP3285039B2 (ja) | ディジタル署名方法 | |
| JP3178537B2 (ja) | ディジタル署名方法 | |
| CN115941205A (zh) | 一种基于sm2的多重签名方法 | |
| JP3292342B2 (ja) | ディジタル署名方式 | |
| JP3147373B2 (ja) | 署名の多重検証方法 | |
| JP2002328602A (ja) | ブラインド署名方法、その装置、そのプログラム及びその記録媒体 | |
| Nguyen et al. | Undeniable confirmer signature | |
| JP3331328B2 (ja) | 多重デジタル署名方法、そのシステム、その装置及びそのプログラム記録媒体 | |
| JP3292312B2 (ja) | ディジタル署名方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20071124 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081124 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091124 Year of fee payment: 9 |
|
| LAPS | Cancellation because of no payment of annual fees |