特許 7323807 検証方法、プログラム、および情報処理装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-08-01

(45)【発行日】2023-08-09

(54)【発明の名称】検証方法、プログラム、および情報処理装置

(51)【国際特許分類】

   G06F 21/64 20130101AFI20230802BHJP

   H04L 9/32 20060101ALI20230802BHJP

   G09C 1/00 20060101ALI20230802BHJP

【ＦＩ】

G06F21/64

H04L9/32 200B

G09C1/00 640D

【請求項の数】 10

(21)【出願番号】P 2020007076

(22)【出願日】2020-01-20

(65)【公開番号】P2021114201

(43)【公開日】2021-08-05

【審査請求日】2022-09-08

(73)【特許権者】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】110002918

【氏名又は名称】弁理士法人扶桑国際特許事務所

(72)【発明者】

【氏名】小嶋 陸大

(72)【発明者】

【氏名】山本 大

(72)【発明者】

【氏名】伊豆 哲也

【審査官】宮司 卓佳

(56)【参考文献】

【文献】特表２００６－５１１９９６（ＪＰ，Ａ）

【文献】特開２００１－３３７６００（ＪＰ，Ａ）

【文献】国際公開第２００８／０８４５４７（ＷＯ，Ａ１）

【文献】特開平１０－０２０７８１（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６４

Ｈ０４Ｌ ９／３２

Ｇ０９Ｃ １／００

(57)【特許請求の範囲】

【請求項1】

第１のコンピュータシステムが、
原文の文書に対するハッシュ値である原文第１ハッシュ値と、前記原文第１ハッシュ値のハッシュ値である原文第２ハッシュ値とを計算し、
前記原文の文書を修正した第１修正版の文書が作成されると、前記第１修正版の文書に対するハッシュ値である第１修正版第１ハッシュ値と、前記第１修正版第１ハッシュ値および前記原文第２ハッシュ値を組み合わせた値のハッシュ値である第１修正版第２ハッシュ値とを計算し、
前記第１修正版の文書を修正した第２修正版の文書が作成されると、前記第２修正版の文書に対するハッシュ値である第２修正版第１ハッシュ値と、前記第２修正版第１ハッシュ値および前記第１修正版第２ハッシュ値を組み合わせた値のハッシュ値である第２修正版第２ハッシュ値とを計算し、
第２のコンピュータシステムが、
前記第１のコンピュータシステムから取得した前記第２修正版の文書を用いて検証用の第２修正版第１ハッシュ値を計算し、
計算した前記検証用の第２修正版第１ハッシュ値、および前記第１のコンピュータシステムから取得した前記原文第１ハッシュ値と前記第１修正版第１ハッシュ値を用いて、前記第２修正版第２ハッシュ値の正当性を検証する、
検証方法。

【請求項2】

前記第１のコンピュータシステムは、さらに、
前記原文の文書の作成者の秘密鍵と前記原文第２ハッシュ値とを用いて、前記原文の文書に対する第１の署名を作成し、
前記第１修正版の文書の作成者の秘密鍵と前記第１修正版第２ハッシュ値とを用いて、前記第１修正版の文書に対する第２の署名を作成し、
前記第２修正版の文書の作成者の秘密鍵と前記第２修正版第２ハッシュ値とを用いて、前記第２修正版の文書に対する第３の署名を作成し、
前記第２のコンピュータシステムは、前記原文の文書の作成者の公開鍵、前記第１修正版の文書の作成者の公開鍵、前記第２修正版の文書の作成者の公開鍵、前記原文第１ハッシュ値、前記第１修正版第１ハッシュ値、および前記第２修正版第１ハッシュ値を用いて、前記第１の署名、前記第２の署名、および前記第３の署名の正当性を検証する、
請求項１記載の検証方法。

【請求項3】

前記第１のコンピュータシステムは、さらに、
前記第１の署名、前記第２の署名、および前記第３の署名を集約した集約署名を作成し、
前記第２のコンピュータシステムは、前記集約署名を用いて、前記第１の署名、前記第２の署名、および前記第３の署名の正当性を検証する、
請求項２記載の検証方法。

【請求項4】

前記第１のコンピュータシステムは、
前記原文第１ハッシュ値と乱数とに基づいて、前記原文第２ハッシュ値を計算し、
前記第２のコンピュータシステムは、前記乱数、前記原文第１ハッシュ値、前記第１修正版第１ハッシュ値、前記第２修正版の文書を用いて、前記第２修正版第２ハッシュ値の正当性を検証する、
請求項１ないし３のいずれかに記載の検証方法。

【請求項5】

前記第１のコンピュータシステムは、
前記原文の文書と第１の乱数とに基づいて前記原文第１ハッシュ値を計算し、
前記第１修正版の文書と第２の乱数とに基づいて前記第１修正版第１ハッシュ値を計算し、
前記第２修正版の文書と第３の乱数とに基づいて前記第２修正版第１ハッシュ値を計算し、
前記第２のコンピュータシステムは、前記第１のコンピュータシステムから取得した前記第２修正版の文書と前記第３の乱数とを用いて前記第２修正版第１ハッシュ値を計算する、
請求項１記載の検証方法。

【請求項6】

前記第２のコンピュータシステムは、さらに、
前記第１のコンピュータシステムから取得した前記第１修正版の文書と前記第２の乱数とを用いて、前記第１のコンピュータシステムから取得した前記第１修正版第１ハッシュ値の正当性を検証する、
請求項５記載の検証方法。

【請求項7】

コンピュータに、
原文の文書に対するハッシュ値である原文第１ハッシュ値と、前記原文第１ハッシュ値のハッシュ値である原文第２ハッシュ値とを計算し、
前記原文の文書を修正した第１修正版の文書が作成されると、前記第１修正版の文書に対するハッシュ値である第１修正版第１ハッシュ値と、前記第１修正版第１ハッシュ値および前記原文第２ハッシュ値を組み合わせた値のハッシュ値である第１修正版第２ハッシュ値とを計算し、
前記第１修正版の文書を修正した第２修正版の文書が作成されると、前記第２修正版の文書に対するハッシュ値である第２修正版第１ハッシュ値と、前記第２修正版第１ハッシュ値および前記第１修正版第２ハッシュ値を組み合わせた値のハッシュ値である第２修正版第２ハッシュ値とを計算し、
前記原文第１ハッシュ値と前記第１修正版第１ハッシュ値と前記第２修正版の文書と前記第２修正版第２ハッシュ値とを、前記第２修正版第２ハッシュ値の正当性を検証する装置に送信する、
処理を実行させるプログラム。

【請求項8】

前記コンピュータに、さらに、
前記原文の文書の作成者の秘密鍵と前記原文第２ハッシュ値とを用いて、前記原文の文書に対する第１の署名を作成し、
前記第１修正版の文書の作成者の秘密鍵と前記第１修正版第２ハッシュ値とを用いて、前記第１修正版の文書に対する第２の署名を作成し、
前記第２修正版の文書の作成者の秘密鍵と前記第２修正版第２ハッシュ値とを用いて、前記第２修正版の文書に対する第３の署名を作成する、
処理を実行させる請求項７記載のプログラム。

【請求項9】

原文の文書に対するハッシュ値である原文第１ハッシュ値と、前記原文第１ハッシュ値のハッシュ値である原文第２ハッシュ値とを計算し、前記原文の文書を修正した第１修正版の文書が作成されると、前記第１修正版の文書に対するハッシュ値である第１修正版第１ハッシュ値と、前記第１修正版第１ハッシュ値および前記原文第２ハッシュ値を組み合わせた値のハッシュ値である第１修正版第２ハッシュ値とを計算し、前記第１修正版の文書を修正した第２修正版の文書が作成されると、前記第２修正版の文書に対するハッシュ値である第２修正版第１ハッシュ値と、前記第２修正版第１ハッシュ値および前記第１修正版第２ハッシュ値を組み合わせた値のハッシュ値である第２修正版第２ハッシュ値とを計算し、前記原文第１ハッシュ値と前記第１修正版第１ハッシュ値と前記第２修正版の文書と前記第２修正版第２ハッシュ値とを、前記第２修正版第２ハッシュ値の正当性を検証する装置に送信する処理部、
を有する情報処理装置。

【請求項10】

前記処理部は、さらに、
前記原文の文書の作成者の秘密鍵と前記原文第２ハッシュ値とを用いて、前記原文の文書に対する第１の署名を作成し、
前記第１修正版の文書の作成者の秘密鍵と前記第１修正版第２ハッシュ値とを用いて、前記第１修正版の文書に対する第２の署名を作成し、
前記第２修正版の文書の作成者の秘密鍵と前記第２修正版第２ハッシュ値とを用いて、前記第２修正版の文書に対する第３の署名を作成する、
請求項９記載の情報処理装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、検証方法、プログラム、および情報処理装置に関する。

【背景技術】

【0002】

電子文書の署名技術の１つに、複数の秘密鍵を用いるマルチシグネチャ（Multi-Signature）がある。マルチシグネチャでは、同一の文書に対して付与された複数の署名を、単一の署名に集約することが可能である。検証者が集約された署名の検証に成功したならば、そのことは、検証者が複数の署名をすべて検証したのと数学的には同じ意味を持つ。複数の署名を集約可能な代表的な方式として、Schnorrのマルチシグネチャがある。

【0003】

電子文書の信頼性を保証する技術としては、例えば電子文書においてなされた部分的な訂正が正しく行われたことを担保し、これらの正当性を第三者証明可能とすることができる電子文書管理システムが提案されている。また、保管される少ないメタデータ量にて、文書情報の第三者証明を可能とする電子文書管理システムも提案されている。さらに業種業界を超えてやり取りされるデータの信頼性を向上させる技術（Chain Data Linearge）も提案されている。

【先行技術文献】

【特許文献】

【0004】

【文献】国際公開２００６／００８８４７号

【文献】特開２００７－２１３５４９号公報

【非特許文献】

【0005】

【文献】松原正純、宮前剛、伊藤章、鎌倉健、「業種業界を超えたデータ流通の信頼性を向上させるChain Data Linearge」、FUJITSU, Vol.70, No.4, p.55-62, 2019年９月

【発明の概要】

【発明が解決しようとする課題】

【0006】

マルチシグネチャによる複数の署名の集約技術の利用場面として、例えば文書に対して推敲をする人物（以下、推敲者と呼ぶ）が複数存在し、複数の推敲者によって推敲が実施される場合がある。この場合、検証者はマルチシグネチャの署名検証を実施するため、コンピュータを用いて、修正版すべての文書を閲覧し、それに対するハッシュ値を計算する。

【0007】

このとき文書作成者および文書推敲者が所属する組織と、検証者が所属する組織が別の場合があり得る。さらに、修正段階前の原文や修正段階の文書は、文書作成者および文書推敲者が所属する組織内でのみ共有される情報であり、これが外部の検証者の目に触れることは好ましくない場合もあり得る。

【0008】

しかしながら、従来の技術では、文書に対して推敲者が修正を加えるごとに付与された署名を集約した場合において、修正過程の文書を検証者に公開せずに、署名のすり替えのような不正が行われていないことを検証者に検証させることができない。

【0009】

１つの側面では、本件は、修正過程の文書を用いずに複数の署名の確実な検証を可能とすることを目的とする。

【課題を解決するための手段】

【0010】

１つの案では、第１のコンピュータシステムと第２のコンピュータシステムとによる検証方法が提供される。
当該検証方法では、第１のコンピュータシステムが、原文の文書に対するハッシュ値である原文第１ハッシュ値と、原文第１ハッシュ値のハッシュ値である原文第２ハッシュ値とを計算する。次に第１のコンピュータシステムが、原文の文書を修正した第１修正版の文書が作成されると、第１修正版の文書に対するハッシュ値である第１修正版第１ハッシュ値と、第１修正版第１ハッシュ値および原文第２ハッシュ値を組み合わせた値のハッシュ値である第１修正版第２ハッシュ値とを計算する。さらに第１のコンピュータシステムが、第１修正版の文書を修正した第２修正版の文書が作成されると、第２修正版の文書に対するハッシュ値である第２修正版第１ハッシュ値と、第２修正版第１ハッシュ値および第１修正版第２ハッシュ値を組み合わせた値のハッシュ値である第２修正版第２ハッシュ値とを計算する。そして第２のコンピュータシステムが、原文第１ハッシュ値、第１修正版第１ハッシュ値、第２修正版第１ハッシュ値を用いて、第２修正版第２ハッシュ値の正当性を検証する。

【発明の効果】

【0011】

１態様によれば、修正過程の文書を用いずに複数の署名の確実な検証が可能となる。

【図面の簡単な説明】

【0012】

【図1】第１の実施の形態に係る検証方法の一例を示す図である。

【図2】第２の実施の形態に係るシステムの一例を示す図である。

【図3】コンピュータのハードウェアの一構成例を示す図である。

【図4】複数の推敲者が存在する場合の修正内容の検証負担を説明する図である。

【図5】Schnorr署名方式による検証回数の削減例を示す図である。

【図6】マルチシグネチャを基に構成したＰＩＡＴ署名方式の手順の一例を示す図である。

【図7】署名検証処理の手順の一例を示す図である。

【図8】第２の実施の形態で提案する技術を適用しない場合に生じる課題の一例を示す図である。

【図9】マルチシグネチャとハッシュチェーンとを組み合わせた署名手順の一例を示す図である。

【図10】２段階のハッシュ変換を伴うハッシュチェーンを適用した署名手順の一例を示す図である。

【図11】修正版の文書の検証手順の一例を示す図である。

【図12】作成者端末の機能の一例を示すブロック図である。

【図13】１人目の推敲者が使用する推敲者端末の機能の一例を示すブロック図である。

【図14】最終版の文書を作成する推敲者端末の機能の一例を示すブロック図である。

【図15】代理人端末の機能の一例を示すブロック図である。

【図16】ＣＡサーバの機能の一例を示すブロック図である。

【図17】検証者端末の機能の一例を示すブロック図である。

【図18】作成者端末による署名手順の一例を示す図である。

【図19】１人目の推敲者が使用する推敲者端末による署名手順の一例を示す図である。

【図20】最終版の文書を作成する推敲者端末による署名手順の一例を示す図である。

【図21】代理人端末による署名集約処理の手順の一例を示す図である。

【図22】検証者端末による検証処理の手順の一例を示す図である。

【図23】検証者端末による特定の修正版の文書の検証処理の一例を示す図である。

【図24】文書に対するブロックごとの修正例を示す図である。

【図25】作成者端末と推敲者端末とで生成される情報の一例を示す図である。

【図26】署名集約の一例を示す図である。

【図27】ハッシュチェーンを用いた署名検証の一例を示す図である。

【図28】署名検証処理の手順の一例を示す図（１／２）である。

【図29】署名検証処理の手順の一例を示す図（２／２）である。

【発明を実施するための形態】

【0013】

以下、本実施の形態について図面を参照して説明する。なお各実施の形態は、矛盾のない範囲で複数の実施の形態を組み合わせて実施することができる。
〔第１の実施の形態〕
図１は、第１の実施の形態に係る検証方法の一例を示す図である。第１の実施の形態に係る検証方法は、例えば第１のコンピュータシステム１と第２のコンピュータシステム２との連係動作によって実現される。

【0014】

第１のコンピュータシステム１は、例えば１または複数の情報処理装置（例えばコンピュータ）を含む。第１のコンピュータシステム１は、記憶部１ａと処理部１ｂとを有する。記憶部１ａは、例えば第１のコンピュータシステム１に含まれる情報処理装置のメモリまたはストレージ装置である。処理部１ｂは、例えば第１のコンピュータシステム１に含まれる情報処理装置のプロセッサまたは演算回路である。

【0015】

第２のコンピュータシステム２は、例えば１または複数の情報処理装置（例えばコンピュータ）を含む。第２のコンピュータシステム２は、記憶部２ａと処理部２ｂとを有する。記憶部２ａは、例えば第２のコンピュータシステム２に含まれる情報処理装置のメモリまたはストレージ装置である。処理部２ｂは、例えば第２のコンピュータシステム２に含まれる情報処理装置のプロセッサまたは演算回路である。

【0016】

第１のコンピュータシステム１の処理部１ｂは、次の手順で文書に電子的な署名を付与する。まず処理部１ｂは、原文となる文書３ａが作成されると、その文書３ａに対するハッシュ値である原文第１ハッシュ値４ａを計算する。さらに処理部１ｂは、原文第１ハッシュ値４ａのハッシュ値である原文第２ハッシュ値５ａを計算する。

【0017】

なお処理部１ｂは、原文第２ハッシュ値５ａの計算では、例えば第２のコンピュータシステム２と共有する乱数７を用いることができる。その場合、例えば第２のコンピュータシステム２の処理部２ｂが乱数７を生成し、その乱数７を第１のコンピュータシステム１に送信する。処理部２ｂは、生成した乱数７を記憶部２ａに格納する。第１のコンピュータシステム１の処理部１ｂは、乱数７を受信し、原文第１ハッシュ値４ａと乱数７とを組み合わせた値のハッシュ値を計算し、計算結果を原文第２ハッシュ値５ａとする。

【0018】

原文第２ハッシュ値５ａの計算後、処理部１ｂは、原文の文書３ａの作成者の秘密鍵と原文第２ハッシュ値５ａとを用いて、原文の文書に対する第１の署名を作成する。
その後、原文の文書３ａを修正した第１修正版の文書３ｂが作成されると、処理部１ｂは、第１修正版の文書３ｂに対するハッシュ値である第１修正版第１ハッシュ値４ｂを計算する。次に処理部１ｂは、第１修正版第１ハッシュ値４ｂおよび原文第２ハッシュ値５ａを組み合わせた値のハッシュ値である第１修正版第２ハッシュ値５ｂを計算する。

【0019】

第１修正版第２ハッシュ値５ｂの計算後、処理部１ｂは、第１修正版の文書３ｂの作成者の秘密鍵と第１修正版第２ハッシュ値５ｂとを用いて、第１修正版の文書に対する第２の署名を作成する。

【0020】

さらにその後、第１修正版の文書を修正した第２修正版の文書３ｃが作成されると、処理部１ｂは、第２修正版の文書３ｃに対するハッシュ値である第２修正版第１ハッシュ値４ｃを計算する。次に処理部１ｂは、第２修正版第１ハッシュ値４ｃおよび第１修正版第２ハッシュ値５ｂを組み合わせた値のハッシュ値である第２修正版第２ハッシュ値５ｃを計算する。

【0021】

処理部１ｂは、第２修正版の文書３ｃがさらに修正された場合にも、同様に、２段階のハッシュ値の計算と署名の作成とを行うことができる。２段目のハッシュ値の計算では、修正前の文書作成時に生成された２段目のハッシュ値を用いて、今回の修正後の文書のハッシュ値を計算する。このようにして、２段目のハッシュ値（原文ハッシュ値５ａ，第１修正版第２ハッシュ値５ｂ、第２修正版第２ハッシュ値５ｃ）のハッシュチェーンが生成される。

【0022】

なお処理部１ｂは、複数の署名を１つに集約することもできる。例えば処理部１ｂは、第１の署名、第２の署名、および第３の署名を集約した集約署名６を作成する。
第２のコンピュータシステム２の処理部２ｂは、原文第１ハッシュ値４ａ、第１修正版第１ハッシュ値４ｂ、第２修正版第１ハッシュ値４ｃを用いて、第２修正版第２ハッシュ値５ｃの正当性を検証する。例えば第１のコンピュータシステム１による原文第１ハッシュ値４ａの生成に乱数７が使用されている場合、処理部２ｂは、記憶部２ａから乱数７を読み出す。そして処理部２ｂは、乱数７と原文第１ハッシュ値４ａとに基づいて、原文第２ハッシュ値５ａを計算する。次に処理部２ｂは、原文第２ハッシュ値５ａと第１修正版第１ハッシュ値４ｂとに基づいて、第１修正版第２ハッシュ値５ｂを計算する。さらに処理部２ｂは、第１修正版第２ハッシュ値５ｂと第２修正版第１ハッシュ値４ｃを用いて、第２修正版第２ハッシュ値５ｃを計算する。そして処理部２ｂは、自身が算出した第２修正版第２ハッシュ値５ｃと、第１のコンピュータシステム１の処理部１ｂが算出した第２修正版第２ハッシュ値５ｃの値が一致することを確認することで、第２修正版第２ハッシュ値５ｃの正当性を検証する。

【0023】

なお処理部２ｂは、第２修正版第２ハッシュ値５ｃについては、第２修正版の文書３ｃを用いて算出することができる。その場合、処理部２ｂは、検証処理のために、第１のコンピュータシステム１から、原文第１ハッシュ値４ａ、第１修正版第１ハッシュ値４ｂ、第２修正版の文書３ｃ、および第２修正版第２ハッシュ値５ｃを取得すればよい。

【0024】

また第２のコンピュータシステム２の処理部２ｂは、第２修正版の文書３ｃが最終版の文書である場合、第２修正版の文書３ｃの作成過程で付与された複数の署名の検証を行う。例えば処理部２ｂは、原文の文書３ａの作成者の公開鍵、第１修正版の文書３ｂの作成者の公開鍵、および第２修正版の文書３ｃの作成者の公開鍵を、認証局から取得する。そして処理部２ｂは、取得した公開鍵を用いて、第１の署名、第２の署名、および第３の署名の正当性を検証する。

【0025】

例えば処理部２ｂは、第２修正版第２ハッシュ値５ｃの正当性の検証過程で生成された原文第２ハッシュ値５ａ、第１修正版第２ハッシュ値５ｂ、および第２修正版第２ハッシュ値５ｃを取得する。処理部２ｂは、原文第２ハッシュ値５ａと原文の文書３ａの作成者の公開鍵とを用いて、原文の文書３ａに付与された第１の署名を検証できる。処理部２ｂは、第１修正版第２ハッシュ値５ｂと第１修正版の文書３ｂの作成者の公開鍵とを用いて、第１修正版の文書３ｂに付与された第２の署名を検証できる。処理部２ｂは、第２修正版第２ハッシュ値５ｃと第２修正版の文書３ｃの作成者の公開鍵とを用いて、第２修正版の文書３ｃに付与された第３の署名を検証できる。

【0026】

なお第１のコンピュータシステム１において複数の署名が集約されている場合、第２のコンピュータシステム２の処理部２ｂは、第１のコンピュータシステム１から集約署名６を取得する。そして処理部２ｂは、集約署名６に対する１回の検証処理で署名の正当性を検証する。

【0027】

このようなシステムによれば、例えば第２のコンピュータシステム２の使用者（検証者）が、第２修正版の文書３ｃが正当な推敲者の推敲を経たものであることを確認したい場合において、原文の文書３ａまたは第１修正版の文書３ｂを検証者に開示せずに済む。すなわち第２のコンピュータシステム２において、修正過程の文書を用いずに複数の署名の確実な検証が可能となっている。

【0028】

具体的には、第２のコンピュータシステム２において、原文の文書３ａまたは第１修正版の文書３ｂの内容を第２のコンピュータシステム２に開示せずに、ハッシュチェーンにより生成される第２修正版第２ハッシュ値５ｃの正当性を検証する。第１のコンピュータシステム１から取得した第２修正版第２ハッシュ値５ｃは、原文第２ハッシュ値５ａと第１修正版第２ハッシュ値５ｂが正しい場合にのみ、第２のコンピュータシステム２において正当であると検証できる。

【0029】

第２修正版第２ハッシュ値５ｃの正当性が検証できた場合、処理部２ｂでは、原文第２ハッシュ値５ａと第１修正版第２ハッシュ値５ｂとの生成元の原文の文書３ａと第１修正版の文書３ｂとの作成者を確認することで、誰によって推敲されたのかを確認できる。原文の文書３ａと第１修正版の文書３ｂとの作成者は、署名を検証することで確認可能である。このようなハッシュチェーンを利用した第２修正版第２ハッシュ値５ｃの正当性の検証により、署名のすり替えのような推敲者の偽装が抑止され、正当な推敲者の推敲を経ていることが確認可能となる。

【0030】

また、図１の例では、第１のコンピュータシステム１と第２のコンピュータシステム２で乱数７を共有し、乱数７を用いて、ハッシュチェーンの計算を行っている。これにより、最終版となる第２修正版の文書３ｃが、第２のコンピュータシステム２を使用する検証者の求めに応じて生成されたものであることを確認できる。

【0031】

なお第１のコンピュータシステム１の処理部１ｂは、原文第１ハッシュ値４ａ、第１修正版第１ハッシュ値４ｂ、第２修正版第１ハッシュ値４ｃの計算に乱数を用いることもできる。例えば処理部１ｂは、原文の文書３ａと第１の乱数とに基づいて原文第１ハッシュ値４ａを計算する。また処理部１ｂは、第１修正版の文書３ｂと第２の乱数とに基づいて第１修正版第１ハッシュ値４ｂを計算する。さらに処理部１ｂは、第２修正版の文書３ｃと第３の乱数とに基づいて第２修正版第１ハッシュ値４ｃを計算する。この場合、第２のコンピュータシステム２の処理部２ｂは、第２修正版第１ハッシュ値４ｃを算出する際には、第１のコンピュータシステム１から取得した第２修正版の文書３ｃと第３の乱数とを用いて第２修正版第１ハッシュ値４ｃを計算する。

【0032】

原文第１ハッシュ値４ａ、第１修正版第１ハッシュ値４ｂ、第２修正版第１ハッシュ値４ｃの計算に乱数を用いることで、原文第１ハッシュ値４ａ、第１修正版第１ハッシュ値４ｂ、第２修正版第１ハッシュ値４ｃの安全性を向上させることができる。

【0033】

なお検証者が、第１修正版の文書３ｂの内容についての検証を希望する場合もある。この場合において、第１のコンピュータシステム１の使用者が、第１修正版の文書３ｂの内容を検証者に開示してもよいと判断すれば、第２のコンピュータシステム２が、第１修正版第１ハッシュ値４ｂの正当性を検証することもできる。例えば第２のコンピュータシステム２の処理部２ｂは、第１のコンピュータシステム１から取得した第１修正版の文書３ｂと第２の乱数とを用いて、第１のコンピュータシステム１から取得した第１修正版第１ハッシュ値４ｂの正当性を検証する。

【0034】

このように第１のコンピュータシステム１の使用者が許可すれば、第２のコンピュータシステム２において、修正版の文書についての検証も容易に行うことができ、高い利便性を確保することができる。

【0035】

〔第２の実施の形態〕
第２の実施の形態は、複数の組織間を流通するような電子署名付き文書の利便性を向上させることを可能とするシステムである。なお以下の説明において、文書作成者とは、最初に文書を作成し、最終的に文書が検証者に検証されることを目的とするエンティティである。また、推敲者（係長、課長、部長らで構成）とは、作成された文書を推敲し、推敲部分のハッシュとその署名を代理人へ送信するエンティティである。代理人とは、文書作成者と推敲者によって付与された署名を集約するエンティティである。検証者とは、代理人から得られた情報を利用して、ハッシュチェーンとマルチシグネチャの検証を行うエンティティである。

【0036】

［システムのハードウェア構成］
まず、第２の実施の形態に係るシステムのハードウェア構成について説明する。
図２は、第２の実施の形態に係るシステムの一例を示す図である。図２の例では、Ａ社で作成した文書の正当性をＢ社の検証者４１が検証する場合を想定している。

【0037】

Ａ社には、作成者端末１００、推敲者端末２００ａ，２００ｂ，・・・，２００ｎ、代理人端末３００、文書保存用サーバ４００が設けられている。作成者端末１００は、文書作成者３０が使用するコンピュータである。推敲者端末２００ａ，２００ｂ，・・・，２００ｎは、推敲者３１，３２，・・・，３ｎが使用するコンピュータである。代理人端末３００は、代理人４２が使用するコンピュータである。文書保存用サーバ４００は、作成された文書、修正された文書、各文書の署名に使用された情報などを記憶するコンピュータである。

【0038】

作成者端末１００、推敲者端末２００ａ，２００ｂ，・・・，２００ｎ、代理人端末３００、文書保存用サーバ４００は、ネットワーク２０に接続されている。ネットワーク２０には、ＣＡ（Certificate Authority）に設置されたＣＡサーバ５００、Ｂ社に設置された検証者端末６００も接続されている。ＣＡは、署名の検証に用いる公開鍵の証明書を発行する機関である。ＣＡサーバ５００は、公開鍵の証明書を、ネットワーク２０を介して発行するコンピュータである。検証者端末６００は、検証者４１が署名の検証に用いるコンピュータである。

【0039】

Ａ社では、文書作成者３０が作成者端末１００を用いて文書を作成する。作成者端末１００は、作成した文書に、文書作成者３０の電子的な署名を施す。Ａ社には複数の推敲者３１，３２，・・・，３ｎが存在し、それぞれ推敲者端末２００ａ，２００ｂ，・・・，２００ｎを用いて、文書を推敲し、文書を修正する。推敲者端末２００ａ，２００ｂ，・・・，２００ｎは、修正された文書に、推敲者３１，３２，・・・，３ｎの電子的な署名を施す。代理人４２は、代理人端末３００を用いて、文書に施された複数の署名を１つに纏める。代理人端末３００は、最終版の文書に複数の署名を一纏めにした署名を付与し、署名付きの文書を検証者端末６００に送信する。検証者端末６００は、ＣＡサーバ５００から文書作成者３０および推敲者３１，３２，・・・，３ｎの公開鍵を取得し、その公開鍵を用いて、取得した文書の署名を検証する。

【0040】

図３は、コンピュータのハードウェアの一構成例を示す図である。図３では、代表的に作成者端末１００のハードウェア構成を示している。
作成者端末１００は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、バス１０９を介してメモリ１０２と複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１０１がプログラムを実行することで実現する機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。

【0041】

メモリ１０２は、作成者端末１００の主記憶装置として使用される。メモリ１０２には、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０２には、プロセッサ１０１による処理に必要な各種データが格納される。メモリ１０２としては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。

【0042】

バス１０９に接続されている周辺機器としては、ストレージ装置１０３、グラフィック処理装置１０４、入力インタフェース１０５、光学ドライブ装置１０６、機器接続インタフェース１０７およびネットワークインタフェース１０８がある。

【0043】

ストレージ装置１０３は、内蔵した記録媒体に対して、電気的または磁気的にデータの書き込みおよび読み出しを行う。ストレージ装置１０３は、コンピュータの補助記憶装置として使用される。ストレージ装置１０３には、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお、ストレージ装置１０３としては、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）を使用することができる。

【0044】

グラフィック処理装置１０４には、モニタ２１が接続されている。グラフィック処理装置１０４は、プロセッサ１０１からの命令に従って、画像をモニタ２１の画面に表示させる。モニタ２１としては、ＣＲＴ（Cathode Ray Tube）を用いた表示装置や液晶表示装置などがある。

【0045】

入力インタフェース１０５には、キーボード２２とマウス２３とが接続されている。入力インタフェース１０５は、キーボード２２やマウス２３から送られてくる信号をプロセッサ１０１に送信する。なお、マウス２３は、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

【0046】

光学ドライブ装置１０６は、レーザ光などを利用して、光ディスク２４に記録されたデータの読み取りを行う。光ディスク２４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク２４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）などがある。

【0047】

機器接続インタフェース１０７は、作成者端末１００に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース１０７には、メモリ装置２５やメモリリーダライタ２６を接続することができる。メモリ装置２５は、機器接続インタフェース１０７との通信機能を搭載した記録媒体である。メモリリーダライタ２６は、メモリカード２７へのデータの書き込み、またはメモリカード２７からのデータの読み出しを行う装置である。メモリカード２７は、カード型の記録媒体である。

【0048】

ネットワークインタフェース１０８は、ネットワーク２０に接続されている。ネットワークインタフェース１０８は、ネットワーク２０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。

【0049】

以上のようなハードウェア構成によって、第２の実施の形態における作成者端末１００の処理機能を実現することができる。推敲者端末２００ａ，２００ｂ，・・・，２００ｎ、代理人端末３００、文書保存用サーバ４００、ＣＡサーバ５００、および検証者端末６００も、作成者端末１００と同様のハードウェアで実現できる。また、第１の実施の形態に示した第１のコンピュータシステム１または第２のコンピュータシステム２に含まれる情報処理装置も、図３に示した作成者端末１００と同様のハードウェアにより実現できる。

【0050】

作成者端末１００は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、第２の実施の形態における作成者端末１００の処理機能を実現する。作成者端末１００に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。例えば、作成者端末１００に実行させるプログラムをストレージ装置１０３に格納しておくことができる。プロセッサ１０１は、ストレージ装置１０３内のプログラムの少なくとも一部をメモリ１０２にロードし、プログラムを実行する。また作成者端末１００に実行させるプログラムを、光ディスク２４、メモリ装置２５、メモリカード２７などの可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１０１からの制御により、ストレージ装置１０３にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

【0051】

推敲者端末２００ａ，２００ｂ，・・・，２００ｎ、代理人端末３００、文書保存用サーバ４００、ＣＡサーバ５００、および検証者端末６００も、プログラムを実行することにより第２の実施の形態における各装置の処理機能を実現する。

【0052】

以上のようなシステムによって、修正過程の文書を公開せずに複数の署名の検証を行うことができる。修正過程の文書を公開せずに複数の署名の検証を行う場合、代理人端末３００によって複数の署名を１つに纏めることができる。しかし、修正過程の文書を公開せずに済ませるためには、単に複数の署名を１つに纏めただけでは不十分な場合がある。そこで、修正過程の文書を公開せずに済ませることの困難性について、以下に説明する。

【0053】

［修正過程の文書を公開せずに済ませることの困難性］
近年Society5.0の実現が、国内外に向けて政府から提唱されている。Society5.0とは、サイバー空間（仮想空間）とフィジカル空間（現実空間）を高度に融合させたシステムにより、経済発展と社会的課題の解決を両立する、人間中心の社会（Society）である。

【0054】

Society5.0の根幹となる法人認証・トラストサービス基盤の実現のため、人、組織、モノの認証及びデータの完全性を確保する技術が求められている。
その根幹技術の１つである電子署名技術は、証明書導入に伴う金銭面でのコストと安全性確保のメリットのバランスが現状釣り合っていないなどの問題から、未だに実社会での普及が思うように進んでいない。一方で、暗号・署名の理論的な研究分野においては、組織におけるグループを跨いだ承認や、複数の署名検証作業の一括化など、印鑑的な用途に縛られない署名アプリケーションが数多く提案されている。安全性確保や完全性保障の観点からこれまでは実現困難だったサービスが実現すれば、ユーザに対する新たな価値提供を生み出し、電子署名の普及促進に繋げることができる。

【0055】

例えばビジネスの場面で利用される電子署名は、文書作成者と検証者が異なる組織に属している場合が基本となる。そのため、検証者が、作成された文書の正当性を信頼することができるようなシステムの構築が課題となる。第２の実施の形態では、複数の組織間を流通するような電子署名付き文書に対し、効率の向上と安全性の向上との両立を実現するようなシステムを提案する。

【0056】

第２の実施の形態に係るシステムは、電子署名を利用することで文書に対し、改ざんされていないかを検証する分野全般での適用を想定したものである。特に更新・削除・追記など、文面に対し複数の組織間で複数回変更が実施されるような文書に対する電子署名を想定している。

【0057】

一般にＰＫＩ（Public Key Infrastructure）基盤を利用した文書に対する電子署名の検証は、Ａ社に所属する文書作成者、Ｂ社に所属する検証者、第三者機関であるＣＡの三者間による以下の簡略な手順で実施される。

【0058】

［ステップ１］文書作成者３０は、作成者端末１００により、ユーザ秘密鍵とユーザ公開鍵を作成し、ＣＡサーバ５００により証明書を発行してもらう。
［ステップ２］文書作成者３０は、作成者端末１００により、自身が作成した文書に対し、ユーザ秘密鍵を用いて電子署名を付与する。文書作成者３０は、作成者端末１００により、署名した文書と証明書を検証者に送付する。

【0059】

［ステップ３］検証者４１は、検証者端末６００により、証明書の検証後、そこに記述された公開鍵を取り出し、文書に対する電子署名の正当性について検証する。
一般的に一度電子署名が付与された文書は、以降内容を変更することができない。しかし実社会では、署名が付与された文書に対し、文書作成者以外のユーザによって文書自体に推敲（加筆・削除・修正など文書に対する変更）が実施されるユースケースが想定される。そのため、推敲にも対応する電子署名方式が複数提案されている。

【0060】

関連技術として、部分修正が頻繁に発生するような文書に対して、転送・保存コストの観点から検証データ量を削減し、効率的に電子署名を生成・検証する方式が提案されている（上記の特許文献１参照）。この方式では、作成者端末１００は、元々の文書を複数のブロックに分割し、修正する箇所のブロックに対してのみ部分識別情報（修正した文書部分ブロックに対するハッシュ値）を作成する。検証者４１が使用する検証者端末６００は、この部分識別情報に対し検証用の公開鍵を用いて検証する。これにより、検証する第三者は修正箇所の特定と修正箇所以外の不変性を確認することが可能となる。

【0061】

また他分野における関連技術として、データの利活用を促進するためにデータの加工履歴来歴情報を付与する技術であるChain Data Linearge（上記の非特許文献１参照）などが提案されている。

【0062】

しかしこれらの方式では、文書に対して推敲をする人物（推敲者）によって推敲が実施されるたび、検証者は検証者端末６００により原本性を検証することとなる。そのため検証者端末６００は、推敲回数分に相当する回数の検証を実施する。

【0063】

図４は、複数の推敲者が存在する場合の修正内容の検証負担を説明する図である。文書作成者３０は、作成者端末１００を用いて原文となる文書５０を作成する。作成者端末１００は、原文の文書５０に電子的な署名６０を行う。複数の推敲者３１，３２，・・・，３ｎは、順番に文書５０に対して推敲を行い、推敲者端末２００ａ，２００ｂ，・・・，２００ｎを用いて文書５０の内容を修正する。すると複数の修正版の複数の文書５１，５２，５３，・・・，５４が生成されることとなる。

【0064】

推敲者３１，３２，・・・，３ｎそれぞれは、推敲を行い文書の内容を修正するごとに、推敲者端末２００ａ，２００ｂ，・・・，２００ｎを用いて、修正版の文書に電子的な署名を行う。推敲者３１，３２，・・・，３ｎがＮ人（Ｎは１以上の整数）いる場合、Ｎ回の署名が行われる。すると最終修正版の文書５４には、文書作成者３０の署名６０に加えて、推敲者３１，３２，・・・，３ｎそれぞれの署名６１，６２，６３，・・・が付与される。

【0065】

このように複数の推敲者３１，３２，・・・，３ｎによって修正された後の文書５４について、検証者４１が修正内容の正当性を検証する場合がある。この場合、検証者４１は、検証者端末６００を用いて認証局（ＣＡ）４０から、文書作成者３０と複数の推敲者３１，３２，・・・，３ｎとの公開鍵７０，７１，７２，７３，・・・を取得する。そして検証者４１は、検証者端末６００により、複数の推敲者３１，３２，・・・，３ｎそれぞれが修正を加えた修正版の文書について、その文書の署名と、修正した推敲者の公開鍵とを用いて正当性を検証する。

【0066】

このように、推敲者が複数存在し、その修正内容についての検証を行う場合、検証者端末６００の処理負荷が増大する。しかも、文書を複数のブロックに分割し、ブロックごとに修正を行った場合、検証者端末６００はブロックごとの検証を行うこととなり、処理負荷がさらに増大する。

【0067】

例えば推敲者がＮ人存在し、文書がＭ個（Ｍは１以上の整数）のブロックに分割されている場合、最大Ｎ×Ｍ回の修正版に対する署名検証が行われる。これは本来文書に対する１回の署名検証（文書作成者の原本性保証）のみで文書に対する正当性検証が完了していた検証者端末６００にとっては、処理負担が増加することを意味する。そのため検証者４１側には、検証の負担を軽減したいというニーズが存在する。

【0068】

複数の署名が付与された文書についての検証回数を削減する技術として、マルチシグネチャがある。マルチシグネチャは同一の文書に対して付与された複数の署名を、単一の署名に集約することが可能な署名方式である。なお一般にマルチシグネチャは、「同じ文書」に対し「複数の秘密鍵」で署名された異なる署名を集約する手段として利用される。それに対し、第２の実施の形態では、「異なる」文書に対し「複数の秘密鍵」で署名した異なる署名を集約する手段として、マルチシグネチャを利用する。

【0069】

マルチシグネチャでは、検証者４１が集約された署名の検証に成功したならば、そのことは検証者４１が複数の署名をすべて検証したのと数学的には同じ意味を持つ。マルチシグネチャの代表的な方式としてSchnorrのマルチシグネチャがある。なお、第２の実施の形態は、マルチシグネチャに対応する署名方式全般で適用可能であるが、以下の説明では、Schnorr署名方式を利用した場合を想定して説明するものとする。

【0070】

図５は、Schnorr署名方式による検証回数の削減例を示す図である。ここで、群Ｇの生成元をｇ、位数をｑ、暗号学的ハッシュ関数をＨ（・）とおく。ｇ，ｑは、暗号強度が高くなるように適切な値に決定された署名パラメータである。秘密鍵ｘに対して公開鍵はＸ＝ｇ^x（ｍｏｄ ｑ）で生成され、署名ごとに異なる乱数ｒを利用し、メッセージｍ（署名対象の文書に相当）に対するSchnorr署名（ｓ，Ｒ）が以下のように生成される。
ｃ：＝Ｈ（ｍ｜｜ｒ）
ｓ：＝ｒ＋ｃｘ
Ｒ：＝ｇ^r
「｜｜」は、文字列の連結を意味する。このときSchnorr署名は以下の式（１）を満たす。
ｇ^s＝ＲＸ^c （１）
このとき、検証者端末６００は、メッセージｍのハッシュ値ｃとSchnorr署名（ｓ，Ｒ）と公開鍵Ｘを取得し、式（１）が満たされることを確認することで、メッセージの正当性が検証できる。

【0071】

ここで、同じメッセージｍに対する、異なる３つの秘密鍵ｘ₁，ｘ₂，ｘ₃（それぞれ公開鍵はＸ₁，Ｘ₂，Ｘ₃）を用いたSchnorr署名（ｓ₁，Ｒ₁），（ｓ₂，Ｒ₂）、（ｓ₃，Ｒ₃）を考える。これらのSchnorr署名それぞれを式（１）の形式で表し、各式の左辺同士および右辺同士を乗算すると、これらSchnorr署名は以下の式（２）を満たす。

【0072】

【数1】

【0073】

式（２）によって、（ｓ₁＋ｓ₂＋ｓ₃，Ｒ₁Ｒ₂Ｒ₃）が集約された署名として利用可能となる。図５に示すように、署名が集約できれば、検証者端末６００での検証回数が１回で済む。

【0074】

また、異なるメッセージｍ₄，ｍ₅，ｍ₆（それぞれのハッシュ値はｃ₄，ｃ₅，ｃ₆）に対する、異なる秘密鍵ｘ₄，ｘ₅，ｘ₆（それぞれの公開鍵はＸ₄，Ｘ₅，Ｘ₆）を用いたSchnorr署名（ｓ₄，Ｒ₄），（ｓ₅，Ｒ₅），（ｓ₆，Ｒ₆）を考える。これらのSchnorr署名それぞれを式（１）の形式で表し、各式の左辺同士および右辺同士を乗算すると、これらのSchnorr署名は下の式（３）を満たす。

【0075】

【数2】

【0076】

式（３）によって、（ｓ₄＋ｓ₅＋ｓ₆，Ｒ₄Ｒ₅Ｒ₆）が集約された署名として検証可能となる。すなわち検証者端末６００は、ハッシュ値ｃ₄，ｃ₅，ｃ₆と公開鍵Ｘ₄，Ｘ₅，Ｘ₆と集約署名（ｓ₄＋ｓ₅＋ｓ₆，Ｒ₄Ｒ₅Ｒ₆）とを用いて、式（３）が満たされることを確認することで、集約署名を検証することができる。

【0077】

このようにマルチシグネチャを利用することで、署名を集約することが可能である。１つの文書が複数のブロックに分割され、ブロックごとに修正が行われる場合には、マルチシグネチャと、例えばＰＩＡＴ署名（Partial Information Assuring Technology for Signature）とを組み合わせることができる。なおＰＩＡＴ署名は、複数回文面が修正された文書に対して検証可能な署名方式の一例である。

【0078】

ＰＩＡＴ署名は任意の署名方式を基に、部分完全性（文書に対する部分的な修正の正しさを第三者に証明可能とする性質）を保証するように機能を追加する署名方式である。ＰＩＡＴ署名には部分完全性保証によって文書の修正を可能にする方式と、墨塗りによって文書を匿名化する方式の２種類が存在するが、第２の実施の形態では主に前者の文書修正を行うＰＩＡＴ署名を利用する。なおＰＩＡＴ署名に関する技術は、例えば上記の特許文献２で提案されている。

【0079】

なお、特許文献２では、アグリゲート署名とＰＩＡＴ署名とを組み合わせて利用している。アグリゲート署名は、複数の署名を１つに重畳することが可能で、重畳した署名を一括して検証することができる署名技術である。他方、第２の実施の形態では、署名サイズが修正回数に依存しない署名方式であるマルチシグネチャ署名方式を利用する。アグリゲート署名方式はマルチシグネチャ署名方式を一般化したものであり、第２の実施の形態にアグリゲート署名方式を用いることも可能である。

【0080】

図６は、マルチシグネチャを基に構成したＰＩＡＴ署名方式の手順の一例を示す図である。文書作成者３０の入力に基づいて、作成者端末１００が、文書「ｍ₁」を作成し、文書「ｍ₁」のハッシュ値「ｃ₁」を計算する（ステップＳ１１）。そして作成者端末１００は、自身の秘密鍵を用いてハッシュ値に対する署名「署名１」を作成し、そのハッシュ値と署名との組「ｃ₁，署名１」を代理人端末３００へ送信する（ステップＳ１２）。

【0081】

推敲者端末２００ａ，２００ｂ，・・・，２００ｎは、推敲者３１，３２，・・・，３ｎからの入力に基づいて、文書「ｍ₁」に対して順番に修正を加える。このとき、推敲者端末２００ａ，２００ｂ，・・・，２００ｎは、修正文書「ｍ₂，ｍ₃，・・・，ｍ_N」を作成すると、文書「ｍ₂，ｍ₃，・・・，ｍ_N」のハッシュ値「ｃ₂，ｃ₃，・・・，ｃ_N」を計算する（ステップＳ１３）。次に推敲者端末２００ａ，２００ｂ，・・・，２００ｎは、各秘密鍵を用いてハッシュ値に対する署名「署名２，署名３，・・・，署名Ｎ」を作成する（ステップＳ１４）。推敲者端末２００ａ，２００ｂ，・・・，２００ｎは、ハッシュ値と署名の組「（ｃ₂，署名２），（ｃ₃，署名３），・・・，（ｃ_N，署名Ｎ）」を、代理人４２が使用する代理人端末３００へ送信する。最終版の修正文書「ｍ_N」を作成した推敲者端末２００ｎは、作成した修正文書「ｍ_N」も代理人端末３００へ送信する。

【0082】

代理人端末３００は、「署名１，署名２，署名３，・・・，署名Ｎ」を集約する（ステップＳ１５）。署名の集約により、集約署名が作成される。代理人端末３００は、修正文書「ｍ_N」、ハッシュ値「ｃ₁，ｃ₂，ｃ₃，・・・，ｃ_N」、および集約署名を、検証者４１が使用する検証者端末６００へ送信する。検証者端末６００は、代理人端末３００から取得した情報に基づいて署名検証処理を行う。

【0083】

図７は、署名検証処理の手順の一例を示す図である。検証者端末６００は、文書作成者３０、推敲者３１，３２，・・・，３ｎに対応する公開鍵の証明書をＣＡサーバ５００から取得し、公開鍵の正当性を検証する（ステップＳ２１）。次に検証者端末６００は、文書「ｍ_N」のハッシュ値を計算し、算出したハッシュ値が代理人端末３００から取得したハッシュ値「ｃ_N」に一致することを検証する（ステップＳ２２）。さらに検証者端末６００は、ハッシュ値「ｃ₁，ｃ₂，・・・，ｃ_N」に対応する集約署名を、ＣＡサーバ５００から取得した公開鍵を用いて検証する（ステップＳ２３）。ここで、ステップＳ２１の検証を第１の検証、ステップＳ２２の検証を第２の検証、ステップＳ２３の検証を第３の検証とする。

【0084】

以上の一連の処理が、第２の実施の形態で提案する電子署名付き文書の利便性向上技術を適用しない場合の署名検証処理である。このような署名検証処理では、以下のような課題が存在する。

【0085】

第１の課題は、検証者端末６００が取得した修正版のハッシュ値が置き換えられていないかを検証するために、すべて、もしくは一部の修正版の文書が検証者４１によって閲覧可能となる点である。

【0086】

すなわち、検証者端末６００は、各修正版の文書のハッシュ値とそれに対応する集約署名の正当性を検証することができる。しかし修正版の文書のそれぞれのハッシュ値はそれぞれが関連性のない独立した値である。よって実際に修正版のハッシュ値であるか、もしくはまったく関連のない別のメッセージのハッシュ値であるかを検証者は判断することができない。

【0087】

問題が生じる場合の一例として、任意の修正版のハッシュ値と署名のペアが、別のハッシュ値と署名のペアに置き換えられた場合が考えられる。ハッシュ値と署名のペアが置き換えられると、検証者端末６００では置き換えられたことを検知することができず、検証を通過してしまう。そのため、任意の修正版に対しハッシュ値が置き換えられていないかという正当性を検証するためには、検証者端末６００において、修正版すべて（もしくは一部）の文書を閲覧し、それに対するハッシュ値を計算し、結果が一致するかを確認することが要求される。

【0088】

図８は、第２の実施の形態で提案する技術を適用しない場合に生じる課題の一例を示す図である。図８の例では、文書「ｍ₂」のハッシュ値「ｃ₂」が、別のハッシュ値「ｃ’₂」に置き換えられている。そして文書「ｍ₂」に対する「署名２」も「署名２’」に置き換えられている。

【0089】

このとき第２の検証（図７のステップＳ２２）では、置き換えられたハッシュ値と署名とを用いないため、正しく検証できる。また第３の検証（図７のステップＳ２３）においても、ハッシュ値「ｃ’₂」と「署名２’」との整合性に問題がなければ、正しく検証できてしまう。

【0090】

このような置き換えは、例えば代理人４２に悪意がある場合、あるいは悪意のある第三者が代理人端末３００を不正使用した場合などに発生し得る。署名が置き換えられるということは、実際の推敲者が誰であったのかを隠ぺいし、他の人物が推敲を行ったように装うことが可能であることを意味する。

【0091】

例えばソフトウェアの納品時に、品質管理部門の責任者による承認が求められるにもかかわらず、その責任者の承認を経ていないソフトウェアを納品する場合が考えられる。この場合、品質管理部門の責任者以外の推敲者が修正した文書のハッシュ値とその推敲者の署名とを、品質管理部門の責任者が過去に署名した文書のハッシュ値とその責任者の署名とに置き換えることで、品質管理部門の責任者の承認を経ているように偽装できる。

【0092】

ハッシュ値と署名との置き換えを抑止するには、文書「ｍ₁，ｍ₂，ｍ₃，・・・」を用いて、検証者端末６００でハッシュ値「ｃ₁，ｃ₂，・・・」を算出すればよい。しかし本来は、検証者４１に知られてもよいのは検証対象の文書「ｍ_N」のみであり、最終版以外の文書「ｍ₁，ｍ₂，ｍ₃，・・・」は検証者４１に知られたくない文書である。

【0093】

修正前の原文の文書や修正段階の文書が社内でのみ共有可能な情報を含む場合、これらの文書が社外の検証者の目に触れることはＡ社にとって損失となる可能性がある。Ａ社が被る損失の例としては、文書作成者が誤って文書に記入しその後推敲者によって削除されたＡ社の機密情報の漏洩や、重大な脆弱性を含むため削除されたソースコードの改変部分の情報の漏洩などが挙げられる。

【0094】

一方で検証者４１の立場では、文書の推敲が正しい推敲者により行われ、その推敲者の署名が付与されている、という事実を確認はしたいが、最終版以外の修正版の文書に記述された文面自体は不要な情報でしかない。しかし検証者４１は、検証者端末６００により修正版の文書そのものが閲覧できなければ、正しい推敲者が修正した文書に対する署名が正しく付与されていることを検証することができない。

【0095】

このように、単にマルチシグネチャを利用し、複数の署名を一纏めにした集合署名を生成するだけでは、文書の修正過程を公開せずに済ませることが困難である。すなわち、文書作成側（Ａ社）は検証者側（Ｂ社）に対し、どのようにして修正版の文書を公開せずに検証させるかという点が、技術的課題として残っている。

【0096】

［修正版の文書を公開せずに検証させるための提案技術の概要］
第２の実施の形態では、作成者端末１００および推敲者端末２００ａ，２００ｂ，・・・，２００ｎが、署名する文書に修正履歴を反映した変数を混ぜ込み、署名する。混ぜ込む変数は、ハッシュチェーンから生成される。ハッシュチェーンはハッシュ関数（出力から入力を計算することが計算量的に困難であるような関数）を利用して構成される鎖状のデータ構造である。

【0097】

図９は、マルチシグネチャとハッシュチェーンとを組み合わせた署名手順の一例を示す図である。図９に示すハッシュチェーンでは、文書ごとに管理された「ｓｅｅｄ」（使い捨ての乱数）を先頭とし、各文書をハッシュチェーンの各鎖に組み込み、末尾の鎖で最終版の文書が組み込まれるような構造を想定する。「ｓｅｅｄ」は検証者端末６００で生成され、作成者端末１００に送信される。使用されるハッシュ関数として、変数ｘ、ｙからハッシュ値ｃを求める関数であり、かつハッシュ値ｃから変数ｘ、ｙを求めることが困難な関数が使用される。

【0098】

例えば文書作成者３０が使用する作成者端末１００は、原文の文書「ｍ₁」と「ｓｅｅｄ」とを変数として用いて、ハッシュ値「ｃ₁」を計算する。次に推敲者３１が使用する推敲者端末２００ａによって修正版の文書「ｍ₂」が作成された場合、推敲者端末２００ａは、修正版の文書「ｍ₂」とハッシュ値「ｃ₁」とを変数として用いて、ハッシュ値「ｃ₂」を計算する。このように、修正前の文書のハッシュ値を使用して、修正後の文書のハッシュ値を連鎖的に計算していく処理がハッシュチェーンである。最終版の文書「ｍ_N」のハッシュ値「ｃ_N」の生成には、原文とすべての修正版の文書が利用されている。

【0099】

本来、検証者４１は、修正版のハッシュ値が与えられたとしても、それと修正版の文書との関係を検証することができない。しかし図９の例のように、文書作成前に検証者端末６００と作成者端末１００とで「ｓｅｅｄ」を共有することで、ハッシュチェーンが「ｓｅｅｄ」から始まる。検証者端末６００は、「ｓｅｅｄ」から始まったハッシュチェーンのハッシュ値に修正版のハッシュ値が組み込まれ、最後に計算された最終版の文書「ｍ_N」のハッシュ値「ｃ_N」に到達しているという事実を確かめる。これにより、検証者端末６００は、ハッシュチェーンの性質から鎖を構成する各修正版のハッシュ値の正当性を確認することができる。最後に検証者端末６００は、マルチシグネチャの性質を利用して生成された集約署名を検証することで、すべての修正版に付与された署名の正当性を確認することができる。

【0100】

これにより、一見すると、検証者端末６００は、修正履歴を反映した変数（ハッシュ値「ｃ₁，ｃ₂，ｃ₃，・・・，ｃ_N」）と、最終版の文書「ｍ_N」とそれに対する集約署名を用いて、最終版の文書「ｍ_N」と署名との検証ができるように思われる。すなわち、Ａ社にとって知られたくない文書「ｍ₁，ｍ₂，ｍ₃，・・・」をＢ社に公開せずに済むように思われる。

【0101】

しかし、署名ではなくハッシュチェーンの正当性を検証するためには、検証者端末６００においてハッシュ値を計算することとなる。すなわち、新たにハッシュチェーンを導入したことで、ハッシュチェーンの正当性の検証が要求される。ハッシュチェーンの計算には文書「ｍ₁，ｍ₂，ｍ₃，・・・」が利用されるため、Ａ社は検証者端末６００に対して文書「ｍ₁，ｍ₂，ｍ₃，・・・」を公開しなければならなくなる。

【0102】

このように、単純にマルチシグネチャとハッシュチェーンとを組み合わせただけでは、検証者が修正版の文書をすべて公開しなければ検証できないという課題が解決できない。そこで第２の実施の形態では、２段階のハッシュ変換を伴うハッシュチェーンを適用する。

【0103】

図１０は、２段階のハッシュ変換を伴うハッシュチェーンを適用した署名手順の一例を示す図である。図９に示すように、作成者端末１００と推敲者端末２００ａ，２００ｂ，・・・，２００ｎとは、ハッシュチェーンに組み込む前の段階で、さらにハッシュ関数を適用する。すなわち２段階のハッシュ関数を利用するようなハッシュチェーンを利用する。この場合、１段目のハッシュ値「ｈ₁，ｈ₂，ｈ₃，・・・，ｈ_N」が、図８の例における文書「ｍ₁，ｍ₂，ｍ₃，・・・，ｍ_N」に替えて、連鎖するハッシュ値「ｃ₁，ｃ₂，ｃ₃，・・・，ｃ_N」の計算に用いられる。１段目のハッシュ値「ｈ₁，ｈ₂，ｈ₃，・・・，ｈ_N」の計算には、文書「ｍ₁，ｍ₂，ｍ₃，・・・，ｍ_N」と乱数「ｒ₁，ｒ₂，ｒ₃，・・・，ｒ_N」とが用いられる。例えば作成者端末１００は、文書「ｍ₁」と乱数「ｒ₁」とを変数としてハッシュ値「ｈ₁」を計算する。推敲者端末２００ａは、文書「ｍ₂」と乱数「ｒ₂」とを変数としてハッシュ値「ｈ₂」を計算する。

【0104】

これにより、連鎖するハッシュ値「ｃ₁，ｃ₂，ｃ₃，・・・，ｃ_N」の計算に、文書「ｍ₁，ｍ₂，ｍ₃，・・・，ｍ_N」を直接は利用せずに済むようになる。すなわち、検証者端末６００は、ハッシュチェーンの正当性の検証のために、原文の文書「ｍ₁」または、最終版以外の文書「ｍ₂，ｍ₃，・・・」そのものを入手せずに済む。

【0105】

検証者端末６００がハッシュチェーンの正当性の検証をするためには、「ｓｅｅｄ」とハッシュ値「ｈ₁，ｈ₂，ｈ₃，・・・，ｈ_N」があればよい。このうち、「ｓｅｅｄ」は検証者端末６００が生成した値であるため、外部から取得せずに済む。従って、検証者端末６００は、Ａ者側の装置（例えば代理人端末３００）からハッシュ値「ｈ₁，ｈ₂，ｈ₃，・・・，ｈ_N」を取得できればよい。なおハッシュ値「ｈ_N」は、最終版の文書「ｍ_N」と乱数「ｒ_N」を用いて計算できる。最終版の文書「ｍ_N」は、本来の検証対象であり、当然に検証者端末６００は取得する。すると検証者端末６００は、ハッシュ値「ｈ_N」に替えて乱数「ｒ_N」を取得して、ハッシュ値「ｈ_N」を算出することが可能である。

【0106】

そこで検証者端末６００は、すべての文書「ｍ₁，ｍ₂，ｍ₃，・・・，ｍ_N」のハッシュ値「ｈ₁，ｈ₂，ｈ₃，・・・，ｈ_N」、最終版の文書「ｍ_N」とその文書に対応する乱数「ｒ_N」を取得する。そして検証者端末６００は、取得した情報を用いて、原文と修正版との各文書のハッシュ値「ｈ₁，ｈ₂，ｈ₃，・・・，ｈ_N」がハッシュチェーンに含まれていることを確認する。これにより、提示された最終版の文書「ｍ_N」が確かに検証したいドキュメントであり、正しい推敲者により推敲されていることを確認できる。

【0107】

なお、図１０に示した処理は、検証者４１が最終版の文書「ｍ_N」を検証する場合を想定しているが、原文または修正版の文書のいずれかを検証者４１が指定し、指定した文書を検証対象とする場合も考えられる。

【0108】

図１１は、修正版の文書の検証手順の一例を示す図である。検証者端末６００は、例えば複数の推敲者３１，３２，・・・，３ｎのうちの、特定の推敲者が推敲することで作成された修正版の開示請求を、その推敲者が使用する推敲者端末に送信する。開示請求を受信した推敲者端末は、修正版の文書とその文書の署名とを検証者端末６００に送信する。検証者端末６００は、受信した修正版の文書の内容の正当性を、署名を用いて検証する。

【0109】

なお、図１１には、検証者端末６００が修正版の文書の開示請求を行う例を示したが、検証者端末６００が原文の文書の開示請求を行うことも可能である。その場合、検証者端末６００は、作成者端末１００に対して原文の開示請求を行うこととなる。

【0110】

以上が、第２の実施の形態における署名検証処理の概要である。以下、署名検証処理について詳細に説明する。
［署名検証のための各装置の機能］
次に、システム内の各端末が有する機能について図１２～図１７を参照して説明する。

【0111】

図１２は、作成者端末の機能の一例を示すブロック図である。作成者端末１００は、原文生成部１１０、鍵生成部１２０、秘密鍵記憶部１３０、公開鍵登録部１４０、署名検証要求部１５０、ハッシュ値計算部１６０、署名生成部１７０、原文情報送信部１８０、および原文開示部１９０を有する。

【0112】

原文生成部１１０は、文書作成者３０からの入力に基づいて、原文となる文書を作成する。原文生成部１１０は、生成した文書を、鍵生成部１２０とハッシュ値計算部１６０とに送信する。

【0113】

鍵生成部１２０は、原文の文書の署名に用いる秘密鍵と、署名の検証に用いる公開鍵とのペアを生成する。鍵生成部１２０は、生成した秘密鍵を秘密鍵記憶部１３０に格納する。また鍵生成部１２０は、生成した公開鍵を公開鍵登録部１４０に送信する。

【0114】

秘密鍵記憶部１３０は、鍵生成部１２０が生成した秘密鍵を記憶する。秘密鍵記憶部１３０としては、例えばメモリ１０２またはストレージ装置１０３の記憶領域の一部が用いられる。

【0115】

公開鍵登録部１４０は、ＣＡサーバ５００への公開鍵の登録処理を行う。例えば公開鍵登録部１４０は、公開鍵を含む登録要求をＣＡサーバ５００に送信する。
署名検証要求部１５０は、検証者端末６００に対して、Ａ社で作成した文書（最終版の文書）の署名検証リクエストを送信する。また署名検証要求部１５０は、例えば検証者端末６００が生成した乱数である「ｓｅｅｄ」を、検証者端末６００から受信する。例えば検証者端末６００からは、検証者４１の署名が付与された「ｓｅｅｄ」が送られる。その場合、署名検証要求部１５０は、ＣＡサーバ５００から検証者４１の署名の証明書を取得し、「ｓｅｅｄ」に付与された署名の正当性を検証する。署名検証要求部１５０は、取得した「ｓｅｅｄ」を署名生成部１７０に送信する。

【0116】

ハッシュ値計算部１６０は、原文の文書に基づいて、２段階のハッシュ値を計算する。例えばハッシュ値計算部１６０は、乱数を生成し、原文の文書と生成した乱数とに基づいて、１段目のハッシュ値を計算する。次にハッシュ値計算部１６０は、１段目のハッシュ値と「ｓｅｅｄ」とに基づいて、ハッシュチェーンに用いる２段目のハッシュ値を計算する。そしてハッシュ値計算部１６０は、２段目のハッシュ値を署名生成部１７０に送信する。またハッシュ値計算部１６０は、原文の文書と１段目のハッシュ値と２段目のハッシュ値とを原文情報送信部１８０に送信する。

【0117】

署名生成部１７０は、原文の文書の署名を生成する。例えば署名生成部１７０は、秘密鍵記憶部１３０から秘密鍵を取得する。そして署名生成部１７０は、２段目のハッシュ値を秘密鍵で暗号化することで得られた暗号文を、原文の文書の署名とする。署名生成部１７０は、作成した署名を原文情報送信部１８０に送信する。

【0118】

原文情報送信部１８０は、原文の文書と２段目のハッシュ値とを推敲者端末２００ａに送信する。また原文情報送信部１８０は、原文の文書とその文書の署名とを文書保存用サーバ４００に送信する。これにより、原文の文書と署名との組が文書保存用サーバ４００で記憶される。さらに原文情報送信部１８０は、原文の文書の署名と１段目のハッシュ値とを代理人端末３００に送信する。

【0119】

原文開示部１９０は、原文の文書の開示処理を行う。例えば原文開示部１９０は、検証者端末６００からの原文の開示請求を受け取ると、文書作成者３０の開示の許否の判断入力を受け付ける。原文開示部１９０は、開示を許可する旨の入力が行われると、原文の文書と対応する署名とを文書保存用サーバ４００から取得する。そして原文開示部１９０は、原文の文書と署名とを検証者端末６００に送信する。

【0120】

図１３は、１人目の推敲者が使用する推敲者端末の機能の一例を示すブロック図である。推敲者端末２００ａは、文書情報受信部２１０ａ、修正版生成部２２０ａ、鍵生成部２３０ａ、秘密鍵記憶部２４０ａ、公開鍵登録部２５０ａ、ハッシュ値計算部２６０ａ、署名生成部２７０ａ、修正版情報送信部２８０ａ、および修正版開示部２９０ａを有する。

【0121】

文書情報受信部２１０ａは、作成者端末１００から原文の文書と、その文書の２段目のハッシュ値とを取得する。文書情報受信部２１０ａは、取得した文書を修正版生成部２２０ａに送信する。また文書情報受信部２１０ａは、取得したハッシュ値をハッシュ値計算部２６０ａに送信する。

【0122】

修正版生成部２２０ａは、推敲者３１からの入力に基づいて文書を修正し、修正版の文書を作成する。修正版生成部２２０ａは、作成した修正版の文書を、ハッシュ値計算部２６０ａに送信する。

【0123】

鍵生成部２３０ａは、修正版の文書の署名に用いる秘密鍵と、署名の検証に用いる公開鍵とのペアを生成する。鍵生成部２３０ａは、生成した秘密鍵を秘密鍵記憶部２４０ａに格納する。また鍵生成部２３０ａは、生成した公開鍵を公開鍵登録部２５０ａに送信する。

【0124】

秘密鍵記憶部２４０ａは、鍵生成部２３０ａが生成した秘密鍵を記憶する。秘密鍵記憶部２４０ａとしては、例えば推敲者端末２００ａが有するメモリまたはストレージ装置の記憶領域の一部が用いられる。

【0125】

公開鍵登録部２５０ａは、ＣＡサーバ５００への公開鍵の登録処理を行う。例えば公開鍵登録部２５０ａは、公開鍵を含む登録要求をＣＡサーバ５００に送信する。
ハッシュ値計算部２６０ａは、修正版の文書に基づいて、２段階のハッシュ値を計算する。例えばハッシュ値計算部２６０ａは、乱数を生成し、修正版の文書と生成した乱数とに基づいて、１段目のハッシュ値を計算する。次にハッシュ値計算部２６０ａは、１段目のハッシュ値と、原文の２段目のハッシュ値とに基づいて、ハッシュチェーンに用いる２段目のハッシュ値を計算する。そしてハッシュ値計算部２６０ａは、２段目のハッシュ値を署名生成部２７０ａに送信する。またハッシュ値計算部２６０ａは、修正版の文書と１段目のハッシュ値と２段目のハッシュ値とを修正版情報送信部２８０ａに送信する。

【0126】

署名生成部２７０ａは、修正版の文書の署名を生成する。例えば署名生成部２７０ａは、秘密鍵記憶部２４０ａから秘密鍵を取得する。そして署名生成部２７０ａは、２段目のハッシュ値を秘密鍵で暗号化することで得られた暗号文を、修正版の文書の署名とする。署名生成部２７０ａは、作成した署名を修正版情報送信部２８０ａに送信する。

【0127】

修正版情報送信部２８０ａは、修正版の文書と２段目のハッシュ値とを推敲者端末２００ｂに送信する。また修正版情報送信部２８０ａは、修正版の文書とその文書の署名とを文書保存用サーバ４００に送信する。これにより、修正版の文書と署名との組が文書保存用サーバ４００で記憶される。さらに修正版情報送信部２８０ａは、修正版の文書の署名と１段目のハッシュ値とを代理人端末３００に送信する。

【0128】

修正版開示部２９０ａは、修正版の文書の開示処理を行う。例えば修正版開示部２９０ａは、検証者端末６００からの修正版の開示請求を受け取ると、推敲者３１の開示の許否の判断入力を受け付ける。修正版開示部２９０ａは、開示を許可する旨の入力が行われると、修正版の文書と対応する署名とを文書保存用サーバ４００から取得する。そして修正版開示部２９０ａは、修正版の文書と署名とを検証者端末６００に送信する。

【0129】

２人目以降の推敲者端末２００ｂ，・・・，２００ｎも、推敲者端末２００ａと同様の機能を有している。ただし、最終版の文書を作成する推敲者端末２００ｎについては、他の推敲者端末への情報送信は行わない。

【0130】

図１４は、最終版の文書を作成する推敲者端末の機能の一例を示すブロック図である。推敲者端末２００ｎは、推敲者端末２００ｍから受信した文書および２段目のハッシュ値に基づいて、最終版の文書の生成やその文書への署名などの処理を行う。

【0131】

推敲者端末２００ｎは、文書情報受信部２１０ｎ、修正版生成部２２０ｎ、鍵生成部２３０ｎ、秘密鍵記憶部２４０ｎ、公開鍵登録部２５０ｎ、ハッシュ値計算部２６０ｎ、署名生成部２７０ｎ、修正版情報送信部２８０ｎ、および修正版開示部２９０ｎを有する。文書情報受信部２１０ｎ、修正版生成部２２０ｎ、鍵生成部２３０ｎ、秘密鍵記憶部２４０ｎ、公開鍵登録部２５０ｎ、ハッシュ値計算部２６０ｎ、署名生成部２７０ｎ、および修正版開示部２９０ｎそれぞれの機能は、図１３に示した同名の要素と同じである。

【0132】

修正版情報送信部２８０ｎは、最終版の文書、その文書の署名、１段目のハッシュ値、および２段目のハッシュ値を、代理人端末３００に送信する。また修正版情報送信部２８０ｎは、最終版の文書とその文書の署名とを文書保存用サーバ４００に送信する。これにより、最終版の文書と署名との組が文書保存用サーバ４００で記憶される。

【0133】

図１５は、代理人端末の機能の一例を示すブロック図である。代理人端末３００は、文書情報受信部３１０、署名集約部３２０、および文書情報送信部３３０を有する。
文書情報受信部３１０は、作成者端末１００、推敲者端末２００ａ，２００ｂ，・・・，２００ｎから送信された情報を受信する。例えば文書情報受信部３１０は、作成者端末１００から原文の文書の署名と１段目のハッシュ値とを受信する。また文書情報受信部３１０は、各推敲者端末２００ａ，２００ｂ，・・・，２００ｎから修正版の文書の署名と１段目のハッシュ値とを受信する。文書情報受信部３１０は、最終版の文書を作成する推敲者端末２００ｎからは、さらに最終版の文書と２段目のハッシュ値とを受信する。文書情報受信部３１０は、受信した複数の署名を、署名集約部３２０に送信する。また文書情報受信部３１０は、受信した情報のうちの署名以外の情報を、文書情報送信部３３０に送信する。

【0134】

署名集約部３２０は、受信した複数の署名をマルチシグネチャによって１つの署名に集約する。例えば署名集約部３２０は、複数の署名がSchnorr署名（ｓ，Ｒ）の場合、各署名の「ｓ」の値の和を求め、各署名の「Ｒ」の値の積を求める。そして、署名集約部３２０は、「ｓ」の和と「Ｒ」の積の組からなる集約署名を生成する。例えば取得した署名が（ｓ₁，Ｒ₁）、（ｓ₂，Ｒ₂）、（ｓ₃，Ｒ₃）の３つであれば、集約署名は（s₁＋ｓ₂＋ｓ₃，Ｒ₁Ｒ₂Ｒ₃）となる。署名集約部３２０は、集約した署名を文書情報送信部３３０に送信する。

【0135】

文書情報送信部３３０は、集約署名、原文と修正版の文書それぞれの１段目のハッシュ値、最終版の文書の２段目のハッシュ値、最終版の文書、および１段目のハッシュ値の生成に使用した乱数を、検証者端末６００に送信する。

【0136】

図１６は、ＣＡサーバの機能の一例を示すブロック図である。ＣＡサーバ５００は、公開鍵受信部５１０、証明書発行部５２０、証明書記憶部５３０、および公開鍵送信部５４０を有する。

【0137】

公開鍵受信部５１０は、作成者端末１００、または複数の推敲者端末２００ａ，２００ｂ，・・・，２００ｎから、公開鍵を含む登録要求を受信する。公開鍵受信部５１０は、受信した登録要求に含まれる公開鍵を証明書発行部５２０に送信する。

【0138】

証明書発行部５２０は、文書作成者または推敲者の公開鍵に対する証明書を生成する。例えば証明書発行部５２０は、文書作成者または推敲者を示す所有者情報と公開鍵を、ＣＡの秘密鍵で暗号化し、暗号化で生成された暗号文をＣＡの署名とする。そして証明書発行部５２０は、所有者情報と公開鍵とＣＡの署名とを含む証明書を生成する。証明書発行部５２０は、生成した証明書を、証明書記憶部５３０に格納する。

【0139】

証明書記憶部５３０は、文書作成者および推敲者の公開鍵に対する証明書を記憶する。例えばＣＡサーバ５００のメモリまたはストレージ装置の記憶領域の一部が、証明書記憶部５３０として使用される。

【0140】

公開鍵送信部５４０は、検証者端末６００からの要求に応じて、文書作成者および推敲者の公開鍵に対する証明書を証明書記憶部５３０から取得する。そして公開鍵送信部５４０は、取得した証明書を検証者端末６００に送信する。

【0141】

図１７は、検証者端末の機能の一例を示すブロック図である。検証者端末６００は、検証要求応答部６１０、ｓｅｅｄ記憶部６２０、文書情報受信部６３０、証明書検証部６４０、ハッシュ値検証部６５０、および署名検証部６６０を有する。

【0142】

検証要求応答部６１０は、作成者端末１００からの署名検証リクエストに対する応答を行う。例えば検証要求応答部６１０は、署名検証リクエストを受信すると、乱数を生成し、その乱数の値を「ｓｅｅｄ」とする。そして検証要求応答部６１０は、「ｓｅｅｄ」を含む署名検証レスポンスを作成者端末１００に送信する。また検証要求応答部６１０は、生成した「ｓｅｅｄ」をｓｅｅｄ記憶部６２０に格納する。

【0143】

ｓｅｅｄ記憶部６２０は、「ｓｅｅｄ」（乱数の値）を記憶する。例えば検証者端末６００のメモリまたはストレージ装置の記憶領域の一部が、ｓｅｅｄ記憶部６２０として使用される。

【0144】

文書情報受信部６３０は、代理人端末３００から文書の検証に用いる情報を受信する。例えば文書情報受信部６３０は、集約署名、原文と修正版の文書それぞれの１段目のハッシュ値、最終版の文書の２段目のハッシュ値、最終版の文書、および最終版の文書の１段目のハッシュ値の生成に使用した乱数を、代理人端末３００から受信する。

【0145】

証明書検証部６４０は、ＣＡサーバ５００から、文書作成者および推敲者の公開鍵を含む証明書を取得し、その証明書の正当性を検証する。例えば証明書検証部６４０は、ＣＡサーバ５００から、ＣＡの公開鍵を取得する。次に証明書検証部６４０は、証明書に含まれるＣＡの署名を、ＣＡの公開鍵で復号する。そして証明書検証部６４０は、復号して得られた情報と、証明書に含まれる所有者情報と公開鍵とが一致するか否かを検証する。証明書検証部６４０は、検証の結果、一致した場合、取得した証明書に含まれる公開鍵が、その証明書に示される所有者のものであると認定する。

【0146】

ハッシュ値検証部６５０は、文書情報受信部６３０が受信した最終版の文書の２段目のハッシュ値（ハッシュチェーンで求められた値）を検証する。例えばハッシュ値検証部６５０は、ｓｅｅｄ記憶部６２０から「ｓｅｅｄ」を取得する。次にハッシュ値検証部６５０は、「ｓｅｅｄ」を元に、原文と修正版の文書それぞれの１段目のハッシュ値、最終版の文書、および最終版の文書の１段目のハッシュ値の生成に使用した乱数を用いて、図１０に示す手順でハッシュチェーンの値を算出する。ハッシュ値検証部６５０は、算出したハッシュチェーンの値と、文書情報受信部６３０が受信した最終版の文書の２段目のハッシュ値とが一致するか否かを判断する。ハッシュ値検証部６５０は、ハッシュチェーンの値と、受信した最終版の文書の２段目のハッシュ値とが一致した場合、そのハッシュ値が正当であると認定する。

【0147】

ハッシュ値検証部６５０は、ハッシュ値が正当であると認定した場合、ハッシュチェーンの計算過程で算出された、各文書の２段目のハッシュ値を署名検証部６６０に送信する。

【0148】

署名検証部６６０は、文書作成者と推敲者それぞれの署名を検証する。例えば署名検証部６６０は、各文書の２段目のハッシュ値と集約署名と、文書作成者と推敲者それぞれの公開鍵とを用いて、上記の式（３）が満たされることを検証する。署名検証部６６０は、正しく検証できた場合、作成者端末１００に対して署名検証が成功した旨を通知する。

【0149】

各装置が図１２～図１７に示したような機能を有することにより、修正過程の文書を公開せずに複数の署名の検証が可能となる。なお、図１２～図１７に示した各機能を示す要素間を接続する線は通信経路の一部を示すものであり、図示した通信経路以外の通信経路も設定可能である。また、図１２～図１７に示した各要素の機能は、例えば、その要素に対応するプログラムモジュールをコンピュータに実行させることで実現することができる。

【0150】

［署名・検証手順］
以下に、図１８～図２２を参照し、文書への署名と署名の検証の手順を説明する。なお図１８～図２２では、作成者端末１００と推敲者端末２００ａ，２００ｂ，・・・，２００ｎによる秘密鍵と公開鍵の生成、秘密鍵の記憶、公開鍵のＣＡサーバ５００への登録処理は省略されている。作成者端末１００と推敲者端末２００ａ，２００ｂ，・・・，２００ｎの各装置は図１８～図２２の処理で署名を作成する前に秘密鍵と公開鍵とを生成し、公開鍵をＣＡサーバ５００に登録する。これによりＣＡサーバ５００には、公開鍵束「Ｌ＝Ｘ₁，Ｘ₂，・・・，Ｘ_N」が登録される。

【0151】

図１８は、作成者端末による署名手順の一例を示す図である。作成者端末１００の原文生成部１１０は、文書作成者３０からの入力に基づいて原文の文書「ｍ₁」を作成する。次にハッシュ値計算部１６０が乱数「ｒ₁」を生成する。そしてハッシュ値計算部１６０は、生成した乱数「ｒ₁」と原文の文書「ｍ₁」を用いて、１段目のハッシュ値「ｈ₁＝Ｈ（ｍ₁，ｒ₁）」を計算する。さらにハッシュ値計算部１６０は、１段目のハッシュ値「ｈ₁」と、検証者端末６００から取得した「ｓｅｅｄ」とを用いて、ハッシュチェーンに用いる２段目のハッシュ値「ｃ₁＝Ｈ（ｈ₁，ｓｅｅｄ）」を計算する。次に署名生成部１７０が文書作成者３０の秘密鍵でハッシュ値「ｃ₁」を暗号化し、暗号化された暗号文を文書作成者３０の署名「署名１」とする。

【0152】

原文情報送信部１８０は、原文の文書「ｍ₁」と２段目のハッシュ値「ｃ₁」とを、推敲者端末２００ａに送信する。また原文情報送信部１８０は、文書作成者３０の署名「署名１」と１段目のハッシュ値「ｈ₁」とを代理人端末３００に送信する。

【0153】

図１９は、１人目の推敲者が使用する推敲者端末による署名手順の一例を示す図である。推敲者端末２００ａは、作成者端末１００から原文の文書「ｍ₁」と２段目のハッシュ値「ｃ₁」とを受信すると、推敲者３１の推敲による入力に基づいて、修正版生成部２２０ａが修正版の文書「ｍ₂」を作成する。次にハッシュ値計算部２６０ａが乱数「ｒ₂」を生成する。そしてハッシュ値計算部２６０ａは、生成した乱数「ｒ₂」と修正版の文書「ｍ₂」を用いて、１段目のハッシュ値「ｈ₂＝Ｈ（ｍ₂，ｒ₂）」を計算する。さらにハッシュ値計算部２６０ａは、１段目のハッシュ値「ｈ₂」と、作成者端末１００から取得したハッシュ値「ｃ₁」とを用いて、ハッシュチェーンに用いる２段目のハッシュ値「ｃ₂＝Ｈ（ｈ₂，ｃ₁）」を計算する。次に署名生成部２７０ａが推敲者３１の秘密鍵でハッシュ値「ｃ₂」を暗号化し、暗号化された暗号文を推敲者３１の署名「署名２」とする。

【0154】

修正版情報送信部２８０ａは、修正版の文書「ｍ₂」と２段目のハッシュ値「ｃ₂」とを、次の推敲者３２が使用する推敲者端末２００ｂに送信する。また修正版情報送信部２８０ａは、推敲者３１の署名「署名２」と１段目のハッシュ値「ｈ₂」とを代理人端末３００に送信する。

【0155】

その後、推敲者３２，・・・,それぞれの推敲者端末２００ｂ，・・・により、図１９の処理と同様の署名処理が行われる。最後の推敲者３ｎが使用する推敲者端末２００ｎは、生成した情報の送信先が他の推敲者端末２００ａ，２００ｂ，・・・と異なる。

【0156】

図２０は、最終版の文書を作成する推敲者端末による署名手順の一例を示す図である。推敲者端末２００ｎは、推敲者端末２００ｍから原文の文書「ｍ_N-1」と２段目のハッシュ値「ｃ_N-1」とを受信すると、推敲者３ｎの推敲による入力に基づいて、修正版生成部２２０ｎが修正版の文書「ｍ_N」を作成する。次にハッシュ値計算部２６０ｎが乱数「ｒ_N」を生成する。そしてハッシュ値計算部２６０ｎは、生成した乱数「ｒ_N」と修正版の文書「ｍ_N」を用いて、１段目のハッシュ値「ｈ_N＝Ｈ（ｍ_N，ｒ_N）」を計算する。さらにハッシュ値計算部２６０ｎは、１段目のハッシュ値「ｈ_N」と、推敲者端末２００ｍから取得したハッシュ値「ｃ_N-1」とを用いて、ハッシュチェーンに用いる２段目のハッシュ値「ｃ_N＝Ｈ（ｈ_N，ｃ_N-1）」を計算する。次に署名生成部２７０ａが推敲者３ｎの秘密鍵でハッシュ値「ｃ_N」を暗号化し、暗号化された暗号文を推敲者３ｎの署名「署名Ｎ」とする。

【0157】

修正版情報送信部２８０ｎは、推敲者３１の署名「署名Ｎ」、２段目のハッシュ値「ｃ_N」、１段目のハッシュ値「ｈ_N」、１段目のハッシュ値「ｈ_N」の生成に用いた乱数「ｒ_N」、および最終版の文書「ｍ_N」を代理人端末３００に送信する。

【0158】

図２１は、代理人端末による署名集約処理の手順の一例を示す図である。代理人端末３００の文書情報受信部３１０が作成者端末１００、および推敲者端末２００ａ，・・・，２００ｎから情報を取得すると、署名集約部３２０が、各署名「署名１，署名２，・・・，署名Ｎ」を１つの署名に集約し、集約署名を作成する。そして文書情報送信部３３０が、検証者端末６００に、１段目のハッシュ値「ｈ₁，ｈ₂，・・・，ｈ_N」、ハッシュ値「ｈ_N」の生成に使用した乱数「ｒ_N」、最終版の文書「ｍ_N」、最終版の文書の２段目のハッシュ値「ｃ_N」、および集約署名を送信する。

【0159】

図２２は、検証者端末による検証処理の手順の一例を示す図である。検証者端末６００の文書情報受信部６３０が代理人端末３００から情報を受信する。するとハッシュ値検証部６５０が、「ｓｅｅｄ」、１段目のハッシュ値「ｈ₁，ｈ₂，・・・」、乱数「ｒ_N」、および最終版の文書「ｍ_N」を用いて、ハッシュチェーンのハッシュ値「Ｃ_N」を計算する。そしてハッシュ値検証部６５０は、計算して得られたハッシュ値「Ｃ_N」が、代理人端末３００から取得したハッシュ値「Ｃ_N」と等しいかどうかを検証する。

【0160】

証明書検証部６４０がＣＡサーバ５００から公開鍵リストＬを取得し、ＣＡの公開鍵を用いて、公開鍵リストＬに含まれる文書作成者３０、および推敲者３１，３２，・・・，３ｎそれぞれの公開鍵の証明書を検証する。文書作成者３０、および推敲者３１，３２，・・・，３ｎそれぞれの公開鍵が真正なものであると確認できた場合、署名検証部６６０が集約署名を検証する。集約署名の検証には、文書作成者３０および推敲者３１，３２，・・・，３ｎそれぞれの公開鍵と、ハッシュ値「Ｃ_N」の計算過程で生成された各ハッシュ値「ｃ₁，ｃ₂，・・・，ｃ_N」とが用いられる。

【0161】

このようにして、検証者４１へ、最終版の文書以外の文書を公開せずに、最終版の文書が、正しい原文作成者によって作成され、正しい推敲者によって推敲されていることを、検証者端末６００において検証することが可能となる。

【0162】

［特定の修正版の文書の検証］
検証者端末６００は、検証者４１によって指定された所定の修正版の文書について、検証することもできる。

【0163】

図２３は、検証者端末による特定の修正版の文書の検証処理の一例を示す図である。検証者端末６００の文書情報受信部６３０は、検証者４１からの入力に応じて、所定の修正版の文書を作成した推敲者端末２００ｉに対して、修正版の文書の開示要求を送信する。推敲者端末２００ｉは、推敲者による開示承認の入力があると、修正版の文書「ｍ_i」と、１段目のハッシュ値の計算に用いた乱数「ｒ_i」とを文書保存用サーバ４００から取得する。そして推敲者端末２００ｉは、ＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）通信などの安全な経路を利用して、修正版の文書「ｍ_i」と乱数「ｒ_i」とを検証者端末６００に送信する。

【0164】

検証者端末６００の文書情報受信部６３０は、修正版の文書「ｍ_i」と乱数「ｒ_i」とを受信し、それらの情報をハッシュ値検証部６５０に送信する。ハッシュ値検証部６５０は、修正版の文書「ｍ_i」と乱数「ｒ_i」とに基づいて計算したハッシュ値「ｈ_i」と、代理人端末３００から取得したハッシュ値「ｈ_i」とが一致するか否かを検証する。検証者端末６００がｈ_i＝Ｈ（ｍ_i，ｒ_i）であることを確認できれば、該当する修正版の任意の文書「ｍ_i」の正当性が確認できたこととなる。なお、集約署名により署名の検証が実施済みであるため、個別の署名の検証は行わずに済む。

【0165】

［署名検証の具体例］
次に図２４～図２７を参照して、文書が複数のブロックに分割されており、ブロックごとに推敲者による修正が行われる場合を例にとり、署名検証処理を具体的に説明する。

【0166】

図２４は、文書に対するブロックごとの修正例を示す図である。このケースでは、文書作成者３０である「Alice」によって、作成者端末１００を用いて作成された文書８１が、ｍ₁₁からｍ₁₄の４個の文書ブロックに分割されている。分割された文書ブロックには、それぞれ「以下の通り業務委託契約を結ぶ。」、「年間５％の利息を支払うものとする。」、「契約の期間は１年とする。」、「文責：Alice」と記載されている。

【0167】

このような文書に対して、課長である「Carol」と部長である「Charlie」が順に推敲し、文書ブロックごとに内容を修正している。例えば最初の推敲者３１である「Carol」は、推敲者端末２００ａを用いて文書８１を修正している。例えば文書ブロック「ｍ₁₂」が「年間１０％の利息を支払うものとする。」と修正され、文書ブロック「ｍ₁₄」が「文責：Alice 推敲：Carol」と修正されている。修正後の文書８２の文書ブロックを「ｍ₂₁，ｍ₂₂，ｍ₂₃，ｍ₂₄」とする。

【0168】

最後の推敲者３ｎである「Charlie」は、推敲者端末２００ｎを用いて文書８２を修正している。例えば文書ブロック「ｍ₂₂」が「年間３％の利息を支払うものとする。」と修正され、文書ブロック「ｍ₂₃」が「契約の期間は半年とする。」と修正され、文書ブロック「ｍ₂₄」が「文責：Alice 推敲：Carol，Charlie」と修正されている。修正後の文書８３の文書ブロックを「ｍ₃₁，ｍ₃₂，ｍ₃₃，ｍ₃₄」とする。

【0169】

「Charlie」が推敲した後の文書８３が、最終版の文書である。その結果、最終版の文書８３の内容は「以下の通り業務委託契約を結ぶ。」「年間３％の利息を支払うものとする。」「契約の期間は半年とする。」「文責：Alice 推敲：Carol，Charlie」となる。

【0170】

このとき、検証者４１は、文書の内容についての検証のモチベーションがある情報は、最終版の文書のみである。しかし検証者４１が、推敲の手続きにおいて不正が行われていないかの確認を希望する場合もある。このような場合において、原文や修正版のすべての文書ブロックの検証を個別に検証者端末６００で実施することにすると、原文と修正版とのすべてが検証者４１に開示されてしまう。この場合、文書作成者３０や推敲者３１，３２，・・・，３ｎが所属するＡ社にとって不利益となる情報が検証者側に流出してしまう。

【0171】

そこで第２の実施の形態では、作成者端末１００と推敲者端末２００ａ，２００ｂ，・・・，２００ｎは、文書ブロックごとに２段階のハッシュ値計算を行い、２段目のハッシュ値によるハッシュチェーンを構成する。そして、作成者端末１００と推敲者端末２００ａ，２００ｂ，・・・，２００ｎは２段目のハッシュ値に対して署名を行う。

【0172】

図２５は、作成者端末と推敲者端末とで生成される情報の一例を示す図である。作成者端末１００が生成する原文情報８４には、原文の文書ブロックと、文書ブロックそれぞれのハッシュ値および署名が含まれる。

【0173】

例えば作成者端末１００は、文書ブロック「ｍ₁₁」の文の後に乱数「ｒ₁₁」をつなげ、「以下の通り・・・，ｒ₁₁」の１段目のハッシュ値ｈ₁₁を計算する。さらに作成者端末１００は、１段目のハッシュ値ｈ₁₁の後に「ｓｅｅｄ」をつなげ、２段目のハッシュ値ｃ₁₁を計算する。同様に、作成者端末１００は、文書ブロック「ｍ₁₂，ｍ₁₃，ｍ₁₄」それぞれに対して、乱数「ｒ₁₂，ｒ₁₃，ｒ₁₄」を用いて２段階のハッシュ計算を行い、１段目のハッシュ値「ｈ₁₂，ｈ₁₃，ｈ₁₄」と２段目のハッシュ値「ｃ₁₂，ｃ₁₃，ｃ₁₄」を生成する。

【0174】

さらに作成者端末１００は、生成した２段目のハッシュ値「ｃ₁₁，ｃ₁₂，ｃ₁₃，ｃ₁₄」それぞれの署名「Ｓｉｇｎ（ｃ₁₁，Alice），Ｓｉｇｎ（ｃ₁₂，Alice），Ｓｉｇｎ（ｃ₁₃，Alice），Ｓｉｇｎ（ｃ₁₄，Alice）」を生成する。なお、Ｓｉｇｎ（Ｍｅｓｓａｇｅ，Ｎａｍｅ）は、「Ｍｅｓｓａｇｅ」に対して「Ｎａｍｅ」の秘密鍵で署名したことを意味する。

【0175】

推敲者端末２００ａが生成する修正版情報８５には、最初の修正版の文書ブロックと、文書ブロックそれぞれのハッシュ値および署名が含まれる。
例えば推敲者端末２００ａは、修正後の文書ブロック「ｍ₂₂」の文の後に乱数「ｒ₂₂」をつなげ、「年間１０％・・・，ｒ₂₂」の１段目のハッシュ値ｈ₂₂を計算する。さらに推敲者端末２００ａは、１段目のハッシュ値「ｈ₂₂」の後に「ｃ₁₂」をつなげ、２段目のハッシュ値「ｃ₂₂」を計算する。同様に、推敲者端末２００ａは、修正後の文書ブロック「ｍ₂₄」に対して、乱数「ｒ₂₄」を用いて２段階のハッシュ計算を行い、１段目のハッシュ値「ｈ₂₄」と２段目のハッシュ値「ｃ₂₄」を生成する。

【0176】

推敲者端末２００ａは、修正していない文書ブロック「ｍ₂₁、ｍ₂₃」についても同様に、乱数「ｒ₂₁，ｒ₂₃」とハッシュ値「ｃ₁₁，ｃ₁₃」とを用いて、１段目のハッシュ値「ｈ₂₁，ｈ₂₃」と２段目のハッシュ値「ｃ₂₁，ｃ₂₃」とを計算する。さらに推敲者端末２００ａは、生成した２段目のハッシュ値「ｃ₂₁，ｃ₂₂，ｃ₂₃，ｃ₂₄」それぞれの署名「Ｓｉｇｎ（ｃ₂₁，Carol），Ｓｉｇｎ（ｃ₂₂，Carol），Ｓｉｇｎ（ｃ₂₃，Carol），Ｓｉｇｎ（ｃ₂₄，Carol）」を生成する。なお、推敲者端末２００ａは、修正していない文書ブロック「ｍ₂₁，ｍ₂₃」については、ハッシュ値「ｃ₁₁，ｃ₁₃」それぞれを、文書ブロック「ｍ₂₁，ｍ₂₃」の２段目のハッシュ値「ｃ₂₁，ｃ₂₃」としてもよい。

【0177】

推敲者端末２００ｎが生成する修正版情報８６には、最終版となる修正版の文書ブロックと、文書ブロックそれぞれのハッシュ値および署名が含まれる。
例えば推敲者端末２００ｎは、修正後の文書ブロック「ｍ₃₂」の文の後に乱数「ｒ₃₂」をつなげ、「年間３％・・・，ｒ₃₂」の１段目のハッシュ値「ｈ₃₂」を計算する。そして推敲者端末２００ｎは、計算したハッシュ値ｈ₃₂の後に「ｃ₂₂」をつなげ、２段目のハッシュ値「ｃ₃₂」を計算する。同様に、推敲者端末２００ｎは、修正後の文書ブロック「ｍ₃₃，ｍ₃₄」に対して、乱数「ｒ₃₃，ｒ₃₄」を用いて２段階のハッシュ計算を行い、１段目のハッシュ値「ｈ₃₃，ｈ₃₄」と２段目のハッシュ値「ｃ₃₃，ｃ₃₄」を生成する。

【0178】

推敲者端末２００ｎは、修正していない文書ブロック「ｍ₃₁」についても同様に、乱数「ｒ₃₁」とハッシュ値「ｃ₂₁」とを用いて、１段目のハッシュ値「ｈ₃₁」と２段目のハッシュ値「ｃ₃₁」とを計算する。さらに推敲者端末２００ｎは、生成した２段目のハッシュ値「ｃ₃₁，ｃ₃₂，ｃ₃₃，ｃ₃₄」それぞれの署名「Ｓｉｇｎ（ｃ₃₁，Charlie），Ｓｉｇｎ（ｃ₃₂，Charlie），「Ｓｉｇｎ（ｃ₃₃，Charlie），Ｓｉｇｎ（ｃ₃₄，Charlie）」を生成する。なお、推敲者端末２００ｎは、修正していない文書ブロック「ｍ₃₁」については、ハッシュ値「ｃ₂₁」を、文書ブロック「ｍ₃₁」の２段目のハッシュ値「ｃ₃₁」とする。

【0179】

このようにして生成された情報が代理人端末３００に送信され、署名が集約される。
図２６は、署名集約の一例を示す図である。代理人端末３００は、作成者端末１００、推敲者端末２００ａ、および推敲者端末２００ｎから取得した署名の束（署名群８７）を、例えば文書ブロックごとに署名を集約する。さらに代理人端末３００は、複数の文書ブロックそれぞれの集約署名をさらに集約する。これにより、複数の文書ブロックそれぞれについての文書作成者と推敲者との署名が１つの集約署名８８に集約される。

【0180】

図２７は、ハッシュチェーンを用いた署名検証の一例を示す図である。検証者端末６００は、文書ブロックごとのハッシュチェーンを計算し、２段目のハッシュ値「ｃ₁₁，ｃ₁₂，・・・，ｃ₃₄」を取得する。そして検証者端末６００は、２段目のハッシュ値「ｃ₁₁，ｃ₁₂，・・・，ｃ₃₄」を用いて集約署名の検証を行う。

【0181】

また検証者が任意の修正版の文書の検証を希望する場合、検証者端末６００は、該当する修正版の文書と、その文書の１段目のハッシュ値の生成に使用した乱数とを取得し、１段目のハッシュ値が正しいことを検証する。例えば文書８２（図２４参照）を検証する場合、検証者端末６００は、文書ブロック「ｍ₂₁，ｍ₂₂，ｍ₂₃，ｍ₂₄」と乱数「ｒ₂₁，ｒ₂₂，ｒ₂₃，ｒ₂₄」とを取得し、ハッシュ値「ｈ₂₁，ｈ₂₂，ｈ₂₃，ｈ₂₄」を計算する。

【0182】

［署名検証の全体フロー］
次に、署名検証の全体の処理の流れを、図２８、図２９を参照して説明する。
図２８は、署名検証処理の手順の一例を示す図（１／２）である。作成者端末１００は、検証者端末６００へ署名検証リクエストを送信する（ステップＳ１０１）。検証者端末６００は、作成者端末１００へ署名検証レスポンスを応答する（ステップＳ１０２）。

【0183】

作成者端末１００は、推敲者端末２００ａ，２００ｎ、検証者端末６００それぞれとの間で、署名パラメータの共有を行う（ステップＳ１０３～Ｓ１０５）。署名パラメータは、例えば公開鍵の計算「Ｘ＝ｇ^x（ｍｏｄ ｑ）」に用いられる「ｑ」の値である。

【0184】

次に作成者端末１００は、秘密鍵と公開鍵との鍵ペア（ｓｋ１，ｐｋ１）を生成する（ステップＳ１０６）。そして作成者端末１００は、文書作成者の名前「Ｓｉｇｎｅｒ」と公開鍵「ｐｋ１」とをＣＡサーバ５００に登録する（ステップＳ１０７）。

【0185】

推敲者端末２００ａは、秘密鍵と公開鍵との鍵ペア（ｓｋ２，ｐｋ２）を生成する（ステップＳ１０８）。そして推敲者端末２００ａは、推敲者の名前「ＣｏＳｉｇｎｅｒ１」と公開鍵「ｐｋ２」とをＣＡサーバ５００に登録する（ステップＳ１０９）。

【0186】

推敲者端末２００ｎは、秘密鍵と公開鍵との鍵ペア（ｓｋ３，ｐｋ３）を生成する（ステップＳ１１０）。そして推敲者端末２００ｎは、推敲者の名前「ＣｏＳｉｇｎｅｒ２」と公開鍵「ｐｋ３」とをＣＡサーバ５００に登録する（ステップＳ１１１）。

【0187】

検証者端末６００は、秘密鍵と公開鍵との鍵ペア（ｓｋＶ，ｐｋＶ）を生成する（ステップＳ１１２）。そして検証者端末６００は、検証者の名前「Ｖｅｒｉｆｉｅｒ」と公開鍵「ｐｋＶ」とをＣＡサーバ５００に登録する（ステップＳ１１３）。さらに検証者端末６００は、乱数「ｓｅｅｄ」を生成し、検証者の署名を付与した乱数「ｓｅｅｄ」を作成者端末１００に送信する（ステップＳ１１４）。

【0188】

作成者端末１００は、ＣＡサーバ５００に対して、検証者の公開鍵「ｐｋＶ」の証明書を要求する（ステップＳ１１５）。ＣＡサーバ５００は、作成者端末１００に検証者の公開鍵「ｐｋＶ」の証明書を送信する（ステップＳ１１６）。作成者端末１００は、検証者の公開鍵「ｐｋＶ」の証明書を用いて「ｓｅｅｄ」の署名を検証する（ステップＳ１１７）。

【0189】

図２９は、署名検証処理の手順の一例を示す図（２／２）である。作成者端末１００は、２段階のハッシュ値ｈ₁，ｃ₁を計算すると共に、「ｓｅｅｄ」と原文の文書「ｍ₁」との署名「ｓｉｇ₁←Ｓｉｇｎ（ｓｅｅｄ，ｍ₁）」を生成する（ステップＳ１２１）。作成者端末１００は、原文の文書「ｍ₁」と２段目のハッシュ値「ｃ₁」とを推敲者端末２００ａに送信する（ステップＳ１２２）。さらに作成者端末１００は、署名「ｓｉｇ₁」と１段目のハッシュ値「ｈ₁」とを代理人端末３００に送信する（ステップＳ１２３）。

【0190】

推敲者端末２００ａは、２段階のハッシュ値ｈ₂，ｃ₂を計算すると共に、「ｈ₁」と修正版の文書「ｍ₂」との署名「ｓｉｇ₂←Ｓｉｇｎ（ｃ₁，ｍ₂）」を生成する（ステップＳ１２４）。推敲者端末２００ａは、修正版の文書「ｍ₂」と２段目のハッシュ値「ｃ₂」とを推敲者端末２００ｎに送信する（ステップＳ１２５）。さらに推敲者端末２００ａは、署名「ｓｉｇ₂」と１段目のハッシュ値「ｈ₂」とを代理人端末３００に送信する（ステップＳ１２６）。

【0191】

推敲者端末２００ｎは、２段階のハッシュ値ｈ₃，ｃ₃を計算すると共に、「ｈ₂」と修正版の文書「ｍ₃」との署名「ｓｉｇ₃←Ｓｉｇｎ（ｃ₂，ｍ₃）」を生成する（ステップＳ１２７）。推敲者端末２００ｎは、修正版の文書「ｍ₃」、２段目のハッシュ値「ｃ₃」、署名「ｓｉｇ₃」、および１段目のハッシュ値「ｈ₃」を代理人端末３００に送信する（ステップＳ１２８）。

【0192】

代理人端末３００は、作成者端末１００、推敲者端末２００ａ，および推敲者端末２００ｎから取得した署名「ｓｉｇ₁，ｓｉｇ₂，ｓｉｇ₃」を集約した集約署名「ｓｉｇ←ＡｇｇＳｉｇ（ｓｉｇ₁，ｓｉｇ₂，ｓｉｇ₃）」を生成する（ステップＳ１２９）。そして代理人端末３００は、１段目のハッシュ値の集合Ｈ＝｛ｈ１，ｈ２，ｈ３｝、乱数「ｒ₃」が繋げられた最終版の文書「ｍ₃｜｜ｒ₃」、２段目のハッシュ値「ｃ₃」、および集約署名「ｓｉｇ」を、検証者端末６００に送信する（Ｓ１３０）。

【0193】

検証者端末６００は、ＣＡサーバ５００に対して、公開鍵リストＬ（ｐｋ１，ｐｋ２，ｐｋ３）の証明書を要求する（ステップＳ１３１）。ＣＡサーバ５００は、検証者端末６００に、公開鍵リストＬの証明書を送信する（ステップＳ１３２）。検証者端末６００は、「ｓｅｅｄ」、１段目のハッシュ値の集合Ｈ、および文書「ｍ₃｜｜ｒ₃」を用いて、２段目のハッシュ値「ｃ₃」を検証する（ステップＳ１３３）。検証者端末６００は、ハッシュ値の検証に失敗した場合｛ＨａｓｈｃｈａｉｎＶｅｒｉｆｙ（ｓｅｅｄ，Ｈ，ｍ₃，ｃ₃）＝０｝、ハッシュ値検証に失敗した旨を作成者端末１００に通知する。

【0194】

検証者端末６００は、ハッシュ値の検証に成功した場合｛ＨａｓｈｃｈａｉｎＶｅｒｉｆｙ（ｓｅｅｄ，Ｈ，ｍ₃，ｃ₃）＝１｝、集約署名ｓｉｇを検証する（ステップＳ１３５）。検証者端末６００は、集約署名ｓｉｇの検証に、２段目のハッシュ値の和「ｃ₁＋ｃ₂＋ｃ₃」と証明書に基づいて証明された公開鍵リストＬとを用いる。なお、２段目のハッシュ値「ｃ₁，ｃ₂」については、ハッシュ値の検証過程で算出されている。検証者端末６００は、署名の検証に失敗した場合｛ＭｕｌｔｉＳｉｇＶｅｒｉｆｙ（ｃ₁＋ｃ₂＋ｃ₃，ｓｉｇ，Ｌ）＝０｝、署名検証に失敗した旨を作成者端末１００に送信する（ステップＳ１３６）。

【0195】

検証者端末６００は、ハッシュ値と署名との検証に成功した場合（｛ＨａｓｈｃｈａｉｎＶｅｒｉｆｙ（ｓｅｅｄ，Ｈ，ｍ₃，ｃ₃）＝１｝＆｛ＭｕｌｔｉＳｉｇＶｅｒｉｆｙ（ｃ₁＋ｃ₂＋ｃ₃，ｓｉｇ，Ｌ）＝１｝）、その旨を作成者端末１００に送信する。

【0196】

このようにして、検証者端末６００に、原文、または最終版以外の修正版の文書を開示せずに、正当な推敲者の署名を含む集約署名の検証を、検証者端末６００で実施することが可能となる。

【0197】

すなわち検証者４１の修正版の文面を閲覧させることなく、検証者端末６００により、最終版に至るまで修正版が正当なフローに従って作成された正当性をハッシュチェーンの検証で確認できる。しかも検証者端末６００は、すべてのフローにおける修正版に付与された署名の正当性を修正回数に依存せず１回の署名検証で確認することが可能である。これにより、安全かつ効率的に文書への電子署名及び修正が可能となる。

【0198】

さらに、検証者４１は任意の推敲者から同意が得られた場合、他の修正版に関する情報を漏洩せずに、該当する修正版を取得することが可能である。この場合、検証者端末６００はハッシュ値の検証によってその正当性を検証できる。これにより、基本的には修正版を秘匿しつつ、証拠としての修正版が必要な状況に限り、推敲者によるごまかし（改ざん）ができない形で修正版を開示することが可能となる。

【0199】

〔その他の実施の形態〕
第２の実施の形態では、署名の集約にSchnorr署名を用いた例を示しているが、他の署名方式で集約してもよい。

【0200】

また第２の実施の形態では、文書作成者３０と推敲者３１，３２，・・・，３ｎと代理人４２が、それぞれ異なる端末装置（コンピュータ）を使用しているが、１台のコンピュータを二人で共用することも可能である。例えば１台のサーバを文書作成者３０と推敲者３１，３２，・・・，３ｎが共有し、そのサーバ上で文書の作成および修正、ハッシュチェーンの計算、および署名作成を行うことも可能である。

【0201】

以上、実施の形態を例示したが、実施の形態で示した各部の構成は同様の機能を有する他のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。さらに、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。

【符号の説明】

【0202】

１ 第１のコンピュータシステム
１ａ 記憶部
１ｂ 処理部
２ 第２のコンピュータシステム
２ａ 記憶部
２ｂ 処理部
３ａ，３ｂ，３ｃ 文書
４ａ 原文第１ハッシュ値
４ｂ 第１修正版第１ハッシュ値
４ｃ 第２修正版第１ハッシュ値
５ａ 原文第２ハッシュ値
５ｂ 第１修正版第２ハッシュ値
５ｃ 第２修正版第２ハッシュ値
６ 集約署名
７ 乱数

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】

【図28】

【図29】