特許 7489634 デジタル署名システム及びデジタル署名方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-05-16

(45)【発行日】2024-05-24

(54)【発明の名称】デジタル署名システム及びデジタル署名方法

(51)【国際特許分類】

   H04L 9/32 20060101AFI20240517BHJP

【ＦＩ】

H04L9/32 200B

H04L9/32 200E

【請求項の数】 11

(21)【出願番号】P 2019202025

(22)【出願日】2019-11-07

(65)【公開番号】P2021077961

(43)【公開日】2021-05-20

【審査請求日】2022-10-14

【国等の委託研究の成果に係る記載事項】（出願人による申告）令和元年度、国立研究開発法人新エネルギー・産業技術総合開発機構「ＩｏＴ推進のための横断技術開発プロジェクト」委託研究、産業技術力強化法第１７条の適用を受ける特許出願

(73)【特許権者】

【識別番号】518082091

【氏名又は名称】株式会社ＳＣＵ

(74)【代理人】

【識別番号】100114306

【弁理士】

【氏名又は名称】中辻 史郎

(74)【代理人】

【識別番号】100148655

【弁理士】

【氏名又は名称】諏訪 淳一

(72)【発明者】

【氏名】松本 勉

(72)【発明者】

【氏名】四方順司

【審査官】行田 悦資

(56)【参考文献】

【文献】国際公開第２００８／０７５４２０（ＷＯ，Ａ１）

【文献】特開２０１１－１５５７０９（ＪＰ，Ａ）

【文献】特開２００７－０８９１５６（ＪＰ，Ａ）

【文献】特開２０１１－０５５４２５（ＪＰ，Ａ）

【文献】特開２０１７－１１８４４７（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１１／０１８４５８５（ＵＳ，Ａ１）

【文献】WANG, H. et al.，Group Authentication Based on Error Correction Coding Theory，Acta Electronica Sinica，vol. 47, no. 7，中国，2019年07月25日，pp.1393-1400，<DOI:10.3969/j.issn.0372-2112.2019.07.001>

【文献】黒澤 馨，現代暗号への招待，第1版，株式会社サイエンス社，2010年09月10日，pp.129-130

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／３２

Ｇ０９Ｃ １／００

(57)【特許請求の範囲】

【請求項1】

複数の送信装置からそれぞれメッセージ及び各メッセージの個別署名を受け付け、受け付けた複数の個別署名に基づいて集約署名を生成し、生成した集約署名と複数の送信装置からそれぞれ受け付けた各メッセージとを受信装置に対して送信する集約処理装置を備えたデジタル署名システムであって、
前記受信装置は、前記集約署名が不正であるか否かを判定し、前記集約署名が不正であると判定された場合、前記集約署名に対して適応型のグループテストを行い不正な個別署名を特定し、特定した不正の個別署名を送った送信装置からの個別署名が所定不正回数以上、不正であると判定された場合、次回以降、不正があった個別署名を集約署名から分離して集約署名を行う指示を前記集約処理装置に送信し、
前記集約処理装置は、不正があった個別署名と該個別署名に対応するメッセージとの対と、不正があった個別署名を除いた集約署名と該集約署名に対応するメッセージ群とを前記受信装置に送信し、
前記受信装置は、前記個別署名と前記集約署名とに対する検証処理を行う
ことを特徴とするデジタル署名システム。

【請求項2】

前記個別署名は、安全性を確保するために十分な計算量を要する巡回群を用いて生成され、前記集約署名は、個別署名と同じ巡回群上で複数の個別署名の加算演算により生成されることを特徴とする請求項１に記載のデジタル署名システム。

【請求項3】

前記巡回群は、有限体上の楕円曲線であることを特徴とする請求項２に記載のデジタル署名システム。

【請求項4】

各送信装置は、秘密鍵をｘ_i（iは各送信装置を示す正整数）とし、位数ｒで安全性を確保するために十分な計算量を要する巡回群をＧ₁とし、巡回群Ｇ₁の生成元をｇとし、送信すべきメッセージをｍ_iとした場合に、公開情報としてＧ₁上の値ｘ_i・ｇを生成して公開するとともに、メッセージｍ_iにハッシュ関数を適用して位数ｒで安全性を確保するために十分な計算量を要する巡回群Ｇ₂のハッシュ値ｈ_iを算出し、算出したハッシュ値ｈ_iを秘密鍵ｘ_iによりＧ₂上で変換した個別署名σ_i（＝ｘ_i・ｈ_i）を生成することを特徴とする請求項１に記載のデジタル署名システム。

【請求項5】

前記集約処理装置は、受信した各個別署名σ_iを巡回群Ｇ₂上で加算した集約署名Ｔを生成することを特徴とする請求項４に記載のデジタル署名システム。

【請求項6】

前記受信装置は、受信した各メッセージｍ_iにハッシュ関数を適用して巡回群Ｇ₂に属するハッシュ値ｈ_iを算出し、さらにＧ₁、Ｇ₂上のペアリングｅ（ｘ_i・ｇ，ｈ_i）を各受信装置ｉに関して全て乗算した乗算値及びペアリングｅ（ｇ，Ｔ）の値を算出し、該乗算値とペアリングｅ（ｇ，Ｔ）の値とが一致した場合に、前記集約署名が正当であると判定することを特徴とする請求項５に記載のデジタル署名システム。

【請求項7】

前記受信装置は、不正があった個別署名の検証処理と不正があった個別署名を除いた集約署名の検証処理を行った後、不正があった個別署名が正当であると判定された場合、次回以降、不正があった個別署名を含めた集約署名に復帰させる指示を前記集約処理装置に送信することを特徴とする請求項１に記載のデジタル署名システム。

【請求項8】

前記受信装置は、前記集約署名が不正であると判定された場合、不正があった個別署名に関する情報をログ情報として記録することを特徴とする請求項１～７のいずれか一つに記載のデジタル署名システム。

【請求項9】

前記受信装置は、前記集約署名が不正であると判定された場合、不正があった個別署名に関する情報を報知することを特徴とする請求項１～８のいずれか一つに記載のデジタル署名システム。

【請求項10】

前記集約処理装置は、前記受信装置内に設けられることを特徴とする請求項１～９のいずれか一つに記載のデジタル署名システム。

【請求項11】

複数の送信装置からそれぞれメッセージ及び各メッセージの個別署名を受け付け、受け付けた複数の個別署名に基づいて集約署名を生成し、生成した集約署名と複数の送信装置からそれぞれ受け付けた各メッセージとを受信装置に対して送信するデジタル署名方法であって、
前記受信装置は、前記集約署名が不正であるか否かを判定し、前記集約署名が不正であると判定された場合、前記集約署名に対して所定のグループテストを行い不正な個別署名を特定し、特定した不正の個別署名を送った送信装置からの個別署名が所定不正回数以上、不正であると判定された場合、次回以降、不正があった個別署名を集約署名から分離して集約署名を行う指示を集約処理装置に送信し、
前記集約処理装置は、不正があった個別署名と該個別署名に対応するメッセージとの対と、不正があった個別署名を除いた集約署名と該集約署名に対応するメッセージ群とを前記受信装置に送信し、
前記受信装置は、前記個別署名と前記集約署名とに対する検証処理を行う
ことを特徴とするデジタル署名方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、集約署名が不正であった場合に、不正な個別署名を迅速に特定することができるデジタル署名システム及びデジタル署名方法に関する。

【背景技術】

【0002】

従来、複数の個別のデジタル署名を一つの署名に集約した集約署名を送信し、個別のデジタル署名の一つに不正なものが含まれていたならば、集約署名が不正であると検出する集約署名技術が知られている（非特許文献１参照）。

【先行技術文献】

【非特許文献】

【0003】

【文献】Boneh D,Gentry G,Lynn B and Shachan H,“Aggregate and Verifiably Encrypted Signatures from Bilinear Maps,”EUROCRYPT 2003,LNCS 2656,pp.416-432,2003

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、上記の集約署名技術では、集約署名が不正であることを検出できるものの、集約署名に含まれた、どの個別署名が不正であるのかを特定することができない。このため、集約署名が不正であると検出された場合に、再度、各メッセージと各個別署名との対を受信側に送信し、受信側で各個別署名のすべての正当性を再検証する必要があり、集約署名を行ったのにもかかわらず、署名に対する検証処理の遅延が発生するという問題があった。

【0005】

本発明は、上記従来技術の課題を解決するためになされたものであって、集約署名が不正であった場合に、不正な個別署名を迅速に特定することができるデジタル署名システム及びデジタル署名方法を提供することを目的とする。

【課題を解決するための手段】

【0006】

上述した課題を解決し、目的を達成するため、本発明は、複数の送信装置からそれぞれメッセージ及び各メッセージの個別署名を受け付け、受け付けた複数の個別署名に基づいて集約署名を生成し、生成した集約署名と複数の送信装置からそれぞれ受け付けた各メッセージとを受信装置に対して送信する集約処理装置を備えたデジタル署名システムであって、前記受信装置は、前記集約署名が不正であるか否かを判定し、前記集約署名が不正であると判定された場合、前記集約署名に対して適応型のグループテストを行い不正な個別署名を特定し、特定した不正の個別署名を送った送信装置からの個別署名が所定不正回数以上、不正であると判定された場合、次回以降、不正があった個別署名を集約署名から分離して集約署名を行う指示を前記集約処理装置に送信し、前記集約処理装置は、不正があった個別署名と該個別署名に対応するメッセージとの対と、不正があった個別署名を除いた集約署名と該集約署名に対応するメッセージ群とを前記受信装置に送信し、前記受信装置は、前記個別署名と前記集約署名とに対する検証処理を行うことを特徴とする。

【0007】

また、本発明は、上記発明において、前記個別署名は、安全性を確保するために十分な計算量を要する巡回群を用いて生成され、前記集約署名は、個別署名と同じ巡回群上で複数の個別署名の加算演算により生成されることを特徴とする。

【0008】

また、本発明は、上記発明において、前記巡回群は、有限体上の楕円曲線であることを特徴とする。

【0011】

また、本発明は、上記発明において、各送信装置は、秘密鍵をｘ_i（iは各送信装置を示す正整数）とし、位数rで安全性を確保するために十分な計算量を要する巡回群をＧ₁とし、巡回群Ｇ₁の生成元をｇとし、送信すべきメッセージをｍ_iとした場合に、公開情報としてＧ₁上の値ｘ_i・ｇを生成して公開するとともに、メッセージｍ_iにハッシュ関数を適用して位数ｒで安全性を確保するために十分な計算量を要する巡回群Ｇ₂のハッシュ値ｈ_iを算出し、算出したハッシュ値ｈ_iを秘密鍵ｘ_iによりＧ₂上で変換した個別署名σ_i（＝ｘ_i・ｈ_i）を生成することを特徴とする。

【0012】

また、本発明は、上記発明において、前記集約処理装置は、受信した各個別署名σ _i を巡回群Ｇ₂上で加算した集約署名Ｔを生成することを特徴とする。

【0013】

また、本発明は、上記発明において、前記受信装置は、受信した各メッセージｍ_iにハッシュ関数を適用して巡回群Ｇ₂に属するハッシュ値ｈ_iを算出し、さらにＧ₁、Ｇ₂上のペアリングｅ（ｘ_i・ｇ，ｈ_i）を各受信装置ｉに関して全て乗算した乗算値及びペアリングｅ（ｇ，Ｔ）の値を算出し、該乗算値とペアリングｅ（ｇ，Ｔ）の値とが一致した場合に、前記集約署名が正当であると判定することを特徴とする。

【0015】

また、本発明は、上記発明において、前記受信装置は、不正があった個別署名の検証処理と不正があった個別署名を除いた集約署名の検証処理を行った後、不正があった個別署名が正当であると判定された場合、次回以降、不正があった個別署名を含めた集約署名に復帰させる指示を前記集約処理装置に送信することを特徴とする。

【0016】

また、本発明は、上記発明において、前記受信装置は、前記集約署名が不正であると判定された場合、不正があった個別署名に関する情報をログ情報として記録することを特徴とする。

【0017】

また、本発明は、上記発明において、前記受信装置は、前記集約署名が不正であると判定された場合、不正があった個別署名に関する情報を報知することを特徴とする。

【0018】

また、本発明は、上記発明において、前記集約処理装置は、前記受信装置内に設けられることを特徴とする。

【0020】

また、本発明は、複数の送信装置からそれぞれメッセージ及び各メッセージの個別署名を受け付け、受け付けた複数の個別署名に基づいて集約署名を生成し、生成した集約署名と複数の送信装置からそれぞれ受け付けた各メッセージとを受信装置に対して送信するデジタル署名方法であって、前記受信装置は、前記集約署名が不正であるか否かを判定し、前記集約署名が不正であると判定された場合、前記集約署名に対して適応型のグループテストを行い不正な個別署名を特定し、特定した不正の個別署名を送った送信装置からの個別署名が所定不正回数以上、不正であると判定された場合、次回以降、不正があった個別署名を集約署名から分離して集約署名を行う指示を集約処理装置に送信し、前記集約処理装置は、不正があった個別署名と該個別署名に対応するメッセージとの対と、不正があった個別署名を除いた集約署名と該集約署名に対応するメッセージ群とを前記受信装置に送信し、前記受信装置は、前記個別署名と前記集約署名とに対する検証処理を行うことを特徴とする。

【発明の効果】

【0021】

本発明によれば、集約署名が不正であった場合でも、不正のあった個別署名を迅速に特定することができる。

【図面の簡単な説明】

【0022】

【図1】図１は、実施例に係るデジタル署名システムのシステム構成を示す図である。

【図2】図２は、２分木によるグループテスト処理を行った場合における不正の個別署名を特定する処理の一例を示す説明図である。

【図3】図３は、楕円曲線をｙ²＝ｘ³＋ａｘ＋ｂとする連続体上で表現した図である。

【図4】図４は、図１に示した送信装置の構成を示す機能ブロック図である

【図5】図５は、図４に示した送信装置の個別署名生成処理手順の一例を示すフローチャートである。

【図6】図６は、図１に示した集約処理装置の構成を示す機能ブロック図である。

【図7】図７は、図６に示した集約処理装置の集約署名生成処理手順の一例を示すフローチャートである。

【図8】図８は、図１に示した受信装置の構成を示す機能ブロック図である。

【図9】図９は、図８に示した受信装置の検証処理手順の一例を示すフローチャートである。

【図10】図１０は、変形例１の受信装置による検証処理手順の一例を示すフローチャートである。

【図11】図１１は、非適応型のグループテスト処理に用いる集約署名グループと個別署名との関係を検証マトリクスで示した図である。

【図12】図１２は、図１１で示した検証マトリクスによる非適応型のグループテスト処理の一例を示す説明図である。

【発明を実施するための形態】

【0023】

以下に、添付図面を参照して、本発明に係るデジタル署名システム及びデジタル署名方法の実施例を詳細に説明する。

【実施例】

【0024】

＜デジタル署名システムのシステム構成＞
まず、本実施例に係るデジタル署名システム１の構成について説明する。図１は、本実施例に係るデジタル署名システム１のシステム構成を示す図である。図１に示すように、デジタル署名システム１は、複数の送信装置１１～１８からなる送信装置群１０が集約処理装置２０を介して受信装置３０に接続される。複数の送信装置１１～１８と集約処理装置２０との間は、ネットワークＮを介して接続される。また、集約処理装置２０と受信装置３０との間は、ネットワークＮを介して接続される。なお、受信装置３０は、クラウドＣＤ上の装置とすることもできる。

【0025】

各送信装置１１～１８は、各送信装置１１～１８がそれぞれ生成する、あるいは取得した個別のメッセージｍ₁～ｍ₈に対する個別署名σ₁～σ₈を生成する個別署名生成処理を行う。そして、各送信装置１１～１８は、メッセージｍ₁～ｍ₈と個別署名σ₁～σ₈との対をそれぞれ集約処理装置２０に送信する。メッセージｍ₁～ｍ₈の内容は任意であるが、本実施例では、例えば、各種のセンサー出力情報であり、具体的には、監視カメラが撮像した監視画像などである。メッセージｍ₁～ｍ₈には、センサー出力に、機種、場所、時間等の属性情報が含まれる。

【0026】

集約処理装置２０は、複数の送信装置１１～１８から送られた個別署名σ₁～σ₈を加算した集約署名Ｔ（＝σ₁＋σ₂＋…＋σ₈）を算出する集約署名処理を行う。そして、集約処理装置２０は、メッセージｍ₁～ｍ₈と生成した集約署名Ｔとを受信装置３０に送信する。

【0027】

受信装置３０は、集約署名Ｔが不正であるか否かを判定する検証処理を行う。受信装置３０は、集約署名Ｔが不正であると判定された場合、不正な個別署名を特定するため、集約署名に対する所定のグループテスト処理を行う。所定のグループテスト処理は、適応型のグループテスト処理である。

【0028】

適応型のグループテスト処理は、最初の集約署名に含まれる個別署名群を、複数の個別署名群に分割した集約署名群を生成し、この集約署名群のうち、不正である判定された集約署名に含まれる個別署名群をさらに分割する処理を段階的に繰り返し行うことによって不正であると判定された個別署名を絞り込んで特定するものである。この不正のあった集約署名に対する分割指示は、集約処理装置２０と受信装置３０との間のフィードバックチャネルＦＣを介して、受信装置３０から集約処理装置２０に通知される。フィードバックチャネルＦＣは、集約処理装置２０と受信装置３０との間の認証チャネルであることが好ましいが、認証チャネルでない場合、この分割指示のメッセージは、別途のデジタル署名処理を行えばよい。

【0029】

この分割指示の内容は、最初の集約署名及びグループテスト処理中の集約署名に不正があったと判定される度に集約処理装置２０に指示してもよいが、予め分割内容を、集約処理装置２０と受信装置３０との間で取り決めておいてもよい。例えば、図２に示すように、２分木処理を行うように取り決めておいてもよい。

【0030】

図２は、２分木によるグループテスト処理を行った場合における不正の個別署名を特定する処理の一例を示す説明図である。図２に示すように、全ての個別署名σ₁～σ₈を含んだ最初に受け取る集約署名Ｔをグループ「１」とし、このグループ「１」には不正な個別署名σ₂が含んでいる場合、受信装置３０は、グループ「１」に対する集約署名を不正と判定する。

【0031】

その後、集約処理装置２０は、受信装置３０からの指示を受けて、グループ「１」を、個別署名σ₁～σ₄を含むグループ「２－１」と個別署名σ₅～σ₈を含むグループ「２－２」とに２分割し、それぞれ集約署名を生成して受信装置３０に送信する。受信装置３０は、不正な個別署名σ₂を含むグループ「２－１」の集約署名を不正として判定し、グループ「２－２」の集約署名を正当として判定する。

【0032】

さらに次の段階では、集約処理装置２０は、受信装置３０からの指示を受けて、不正と判定されたグループ「２－１」を、個別署名σ₁，σ₂を含むグループ「３－１」と個別署名σ₃，σ₄を含むグループ「３－２」とに２分割し、それぞれ集約署名を生成して受信装置３０に送信する。受信装置３０は、不正な個別署名σ₂を含むグループ「３－１」の集約署名を不正として判定し、グループ「３－２」の集約署名を正当として判定する。

【0033】

さらに次の段階では、集約処理装置２０は、受信装置３０からの指示を受けて、不正と判定されたグループ「３－１」を、個別署名σ₁を含むグループ「４－１」と個別署名σ₂を含むグループ「４－２」とに２分割し、それぞれ集約署名を生成して受信装置３０に送信する。受信装置３０は、不正な個別署名σ₂を含むグループ「４－２」の集約署名を不正として判定し、グループ「４－１」の集約署名を正当として判定する。これにより、不正な個別署名は個別署名σ₂であると特定される。その結果、不正なメッセージは、送信装置１２から送られたメッセージｍ₂であると特定され、メッセージｍ₂は破棄されるとともにログ情報に記憶され、その旨の報知処理がなされる。

【0034】

＜有限体上の楕円曲線＞
ところで、本実施例の個別署名や集約署名には、有限体上の楕円曲線が用いられる。有限体上の楕円曲線は、ｙ²＝ｘ³＋ａｘ＋ｂを満たす有限体Ｆqの元の組（ｘ，ｙ）として表される点の集合に無限遠点∞を追加した集合Ｅ（Ｆq）であり、次のように定義される。
Ｅ（Ｆq）＝｛（ｘ，ｙ）∈Ｆq²：ｙ²＝ｘ³＋ａｘ＋ｂ｝∪｛∞｝
ただし、この楕円曲線は、非特異であり、どの点でも必ず接線が１本だけ引ける。この楕円曲線上では加法演算が可能になる。

【0035】

図３は、楕円曲線をｙ²＝ｘ³＋ａｘ＋ｂとする連続体上で表現した図である。図３に示すように、点Ｐと点Ｑとの加算点Ｐ＋Ｑは、点Ｐと点Ｑとを通る直線Ｌ１がｙ²＝ｘ³＋ａｘ＋ｂと交わる第３の点のｘ軸に関する線対称点となる。Ｐ＝Ｑのとき、点Ｐにおける接線Ｌ２が交わる第３の点のｘ軸に関する線対称点が加算点２Ｐとなる。さらに、点Ｐと点２Ｐとの加算点３Ｐも容易に求められる。すなわち、ある点Ｐから、Ｐ，２Ｐ，３Ｐ，…とする点を生成することができ、この点Ｐを生成元という。これらの点の集合は、再び元の点Ｐに戻り、巡回群となる。

【0036】

加法演算は、代数的に示せば、楕円曲線上の２点Ｐ＝（ｘ₁，ｙ₁），Ｑ＝（ｘ₂，ｙ₂）に対して、その和Ｐ＋Ｑ＝（ｘ₃，ｙ₃）を、
ｘ₃＝λ²－ｘ₁－ｘ₂
ｙ₃＝λ（ｘ₁－ｘ₂）－ｙ₁
として与えられる。ここで、λは、直線の傾きである
傾きλは、
Ｐ≠Ｑのとき、λ＝（ｙ₂－ｙ₁）／（ｘ₂－ｘ₁）
Ｐ＝Ｑのとき、λ＝（３ｘ₁ ²＋ａ）／（２ｙ₁）
で与えられる。

【0037】

＜ペアリング演算＞
ペアリングｅは、２入力に対し１出力の関数であって、各入力に対して線形性が成り立つ双線形関数である。具体的には、入力が楕円曲線上の２点で、出力が有限体の元である。ペアリング演算に用いる関数は、まず、上記の集合Ｅ（Ｆq）に対して、有限体Ｆq上の楕円曲線の中で位数ｒ（素数）をもつ加法の巡回群をＧ₁として定義する。
Ｇ₁：Ｅ（Ｆq）［ｒ］
さらに、Ｆqの２次拡大体（Ｆｑ²）の中で位数ｒ（素数）をもつ位数ｒの巡回群（剰余群)Ｇ₂を次のように定義する。なお、ｋ次拡大体（Ｆｑ^k）であってもよい。
Ｇ₂：Ｅ（Ｆq²）／ｒＥ（Ｆq²）
さらに、Ｆq²の中の乗法部分群Ｇ_T（位数ｒ）を次のように定義する。
Ｇ_T：｛ｘ∈Ｆq²｜ｘ^r＝１｝
ペアリングはこの乗法部分群Ｇ_T上で次のような値となる。

【0038】

すなわち、次のように、Ｇ₁の値Ｐ，Ｇ₂の値Ｑが入力されると、Ｇ_T上の有理関数ｆｐの値として出力される。
ｅ（Ｐ，Ｑ）＝ｆｐ（Ｑ）＾（（ｑ²－１）／ｒ）
ここで、ペアリングは、非縮退性、双線形性、計算可能性を有する。
（１）非縮退性
任意のＰ（またはＱ）に対してｅ（Ｐ，Ｑ）＝１ならばＱ＝∞（またはＰ＝∞）
（２）双線形性
ｅ（Ｐ₁＋Ｐ₂，Ｑ）＝ｅ（Ｐ₁，Ｑ）ｅ（Ｐ₂，Ｑ）
ｅ（Ｐ，Ｑ₁＋Ｑ₂）＝ｅ（Ｐ，Ｑ₁）ｅ（Ｐ，Ｑ₂）
したがって、
ｅ（ａＰ，ｂＱ）＝ｅ（Ｐ，Ｑ）^ab＝ｅ（ｂＰ，ａＱ）
となる。
（３）計算可能性
多項式時間で計算可能である。

【0039】

ペアリングには、各種のペアリング、例えばＴａｔｅペアリングやＷｅｉｌペアリングやＡｔｅペアリングなどがあるが、本実施例では、Ｔａｔｅペアリングを用いるため、巡回群Ｇ₁とＧ₂の値から乗法部分群Ｇ_T上の値を生成している。なお、Ｔａｔｅペアリングは、例えばＭｉｌｌｅｒアルゴリズムを用いてペアリング演算を高速に行うことができる。

【0040】

＜送信装置の構成＞
図４は、図１に示した送信装置１１の構成を示す機能ブロック図である。なお、他の送信装置１２～１８は、送信装置１１と同一の構成である。図４に示すように、送信装置１１は、センサー部４１、表示操作部４２、通信部４３、記憶部４４、及び制御部４５を有する。

【0041】

センサー部４１は、画像情報などのメッセージｍ₁を取得するデバイスであり、例えば監視カメラである。センサー部４１は、メッセージｍ₁を取得できればよく、例えば、温度センサーなどのデバイスであってもよい。なお、センサー部４１は、送信装置１１の外部に配置されていてもよい。

【0042】

表示操作部４２は、タッチパネルディスプレイ等であり、操作入力を受け付けるとともに、各種情報を表示する。通信部４３は、集約処理装置２０と通信するためのインタフェース部である。なお、具体的な通信の手段については、周知の有線通信又は無線通信を用いることができる。

【0043】

記憶部４４は、ハードディスク装置や不揮発性メモリ等からなる記憶デバイスであり、巡回群Ｇ₁、巡回群Ｇ₂、公開情報ｇ，ｘ₁・ｇ、メッセージｍ₁、秘密鍵ｘ₁、ハッシュ値ｈ₁、個別署名σ₁等を記憶する。

【0044】

制御部４５は、送信装置１１の全体を制御する制御部であり、メッセージ生成部４５ａ、秘密鍵生成部４５ｂ、公開情報生成部４５ｃ、ハッシュ値生成部４５ｄ、個別署名生成部４５ｅ、及び送信処理部４５ｆを有する。実際には、これらの機能部に対応するプログラムを図示しないＲＯＭや不揮発性メモリに記憶しておき、これらのプログラムをＣＰＵ（Central Processing Unit）にロードして実行することにより、メッセージ生成部４５ａ、秘密鍵生成部４５ｂ、公開情報生成部４５ｃ、ハッシュ値生成部４５ｄ、個別署名生成部４５ｅ、及び送信処理部４５ｆにそれぞれ対応するプロセスを実行させることになる。

【0045】

メッセージ生成部４５ａは、センサー部４１が取得した情報に、センサー部４１を含む装置名、場所、時間などの属性情報を付加したメッセージｍ₁を生成する。

【0046】

秘密鍵生成部４５ｂは、乱数発生部が生成した乱数の１つを取得し、秘密鍵ｘ₁として生成する。公開情報生成部４５ｃは、秘密鍵ｘ₁と巡回群Ｇ₁の生成元ｇとの演算値ｘ₁・ｇを公開情報ｘ₁・ｇとして生成する。公開情報ｘ₁・ｇは、巡回群Ｇ₁に属する。生成元ｇと公開情報ｘ₁・ｇは、公開情報として公開される。なお、公開情報ｘ₁・ｇは、送信装置１１に固有の情報である。したがって、例えば送信装置１２では、公開情報ｘ₂・ｇが公開される。公開情報ｘ₁・ｇは、図示しない認証サーバ上に公開してもよいし、公開情報ｘ₂・ｇを利用する装置に直接、送信してもよい。

【0047】

ハッシュ値生成部４５ｄは、所定のハッシュ関数Ｈを用いて、メッセージｍ₁のハッシュ値ｈ₁を生成する。ここにＨは、メッセージを一方向的に短いビット列に変換する通常の暗号学的ハッシュ関数と、ビット列を巡回群Ｇ₂の元に変換する関数の合成関数として実現される。よって、ハッシュ値ｈ₁は、巡回群Ｇ₂に属する。

【0048】

個別署名生成部４５ｅは、秘密鍵ｘ₁によりハッシュ値ｈ₁を変換した演算値ｘ₁・ｈ₁を個別署名σ₁として生成する。個別署名σ₁は、巡回群Ｇ₂に属する。

【0049】

送信処理部４５ｆは、生成された個別署名σ₁とメッセージｍ₁とを対として集約処理装置２０に送信する処理を行う。

【0050】

＜送信装置の処理＞
次に、図４に示した送信装置１１の個別署名生成処理手順の一例について説明する。図５は、図４に示した送信装置１１の個別署名生成処理手順の一例を示すフローチャートである。まず、秘密鍵生成部４５ｂは、乱数を用いて秘密鍵ｘ₁を生成する（ステップＳ１０１）。その後、公開情報生成部４５ｃは、秘密鍵ｘ₁を用いて、送信装置１１の公開情報ｘ₁・ｇを生成するともに公開情報ｘ₁・ｇを公開する（ステップＳ１０２）。

【0051】

その後、ハッシュ値生成部４５ｄは、メッセージｍ₁のハッシュ値ｈ₁を算出する（ステップＳ１０３）。その後、個別署名生成部４５ｅは、秘密鍵ｘ₁によりハッシュ値ｈ₁を変換した値ｘ₁・ｈ₁を算出し、これを個別署名σ₁として生成する（ステップＳ１０４）。

【0052】

その後、送信処理部４５ｆは、生成されたメッセージｍ₁と個別署名σ₁とを対として集約処理装置２０に送信し（ステップＳ１０５）、本処理を終了する。

【0053】

＜集約処理装置の構成＞
図６は、図１に示した集約処理装置２０の構成を示す機能ブロック図である。図６に示すように、集約処理装置２０は、表示操作部５１、通信部５２、記憶部５３、及び制御部５４を有する。

【0054】

表示操作部５１は、タッチパネルディスプレイ等であり、操作入力を受け付けるとともに、各種情報を表示する。通信部５２は、送信装置１１～１８及び受信装置３０と通信するためのインタフェース部である。なお、具体的な通信の手段については、周知の有線通信又は無線通信を用いることができる。

【0055】

記憶部５３は、ハードディスク装置や不揮発性メモリ等からなる記憶デバイスであり、巡回群Ｇ₂、メッセージｍ₁～ｍ₈、個別署名σ₁～σ₈、集約署名Ｔ等を記憶する。

【0056】

制御部５４は、集約処理装置２０の全体を制御する制御部であり、集約署名生成部５４ａ、送信処理部５４ｂ、及びグループテスト処理対応部５４ｃを有する。実際には、これらの機能部に対応するプログラムを図示しないＲＯＭや不揮発性メモリに記憶しておき、これらのプログラムをＣＰＵ（Central Processing Unit）にロードして実行することにより、集約署名生成部５４ａ、送信処理部５４ｂ、及びグループテスト処理対応部５４ｃにそれぞれ対応するプロセスを実行させることになる。

【0057】

集約署名生成部５４ａは、受信した個別署名σ₁～σ₈を加算した１つの集約署名Ｔを生成する。集約署名Ｔは、巡回群Ｇ₂に属する。

【0058】

送信処理部５４ｂは、生成された集約署名Ｔと、受信したメッセージｍ₁～ｍ₈とを受信装置３０に送信する処理を行う。

【0059】

グループテスト処理対応部５４ｃは、受信装置３０からグループテスト処理の指示を受けて、前回生成した集約署名内の個別署名群を分割した複数のグループの個別署名に対する集約署名の生成を集約署名生成部５４ａに指示し、生成された複数の集約署名の送信処理を送信処理部５４ｂに指示する。

【0060】

＜集約処理装置の処理＞
次に、図６に示した集約処理装置２０の集約署名生成処理手順の一例について説明する。図７は、図６に示した集約処理装置２０の集約署名生成処理手順の一例を示すフローチャートである。まず、集約処理装置２０は、各送信装置１１～１８から個別署名σ₁～σ₈及びメッセージｍ₁～ｍ₈を受信する（ステップＳ２０１）。

【0061】

その後、集約署名生成部５４ａは、受信した個別署名σ₁～σ₈を加算した１つの集約署名Ｔを生成する（ステップＳ２０２）。この集約署名Ｔは、巡回群Ｇ₂に属する。その後、送信処理部５４ｂは、生成した集約署名Ｔ、及び受信したメッセージｍ₁～ｍ₈を受信装置３０に送信する（ステップＳ２０３）。

【0062】

その後、グループテスト処理対応部５４ｃは、受信装置３０からグループテスト処理の指示があったか否か判定する（ステップＳ２０４）。グループテスト処理の指示があった場合（ステップＳ２０４；Ｙｅｓ）には、前回生成した集約署名内の個別署名群を分割した複数のグループの個別署名に対する集約署名の生成を集約署名生成部５４ａに指示して複数の集約署名を生成し、生成された複数の集約署名の送信処理を送信処理部５４ｂに行わせる処理を繰り返し（ステップＳ２０５）、その後、本処理を終了する。一方、グループテスト処理の指示がない場合（ステップＳ２０４；Ｎｏ）には、そのまま本処理を終了する。

【0063】

＜受信装置の構成＞
図８は、図１に示した受信装置３０の構成を示す機能ブロック図である。図８に示すように、受信装置３０は、表示操作部６１、通信部６２、記憶部６３、及び制御部６４を有する。

【0064】

表示操作部６１は、タッチパネルディスプレイ等であり、操作入力を受け付けるとともに、各種情報を表示する。通信部６２は、集約処理装置２０と通信するためのインタフェース部である。なお、具体的な通信の手段については、周知の有線通信又は無線通信を用いることができる。

【0065】

記憶部６３は、ハードディスク装置や不揮発性メモリ等からなる記憶デバイスであり、巡回群Ｇ₁、巡回群Ｇ₂、乗法部分群Ｇ_T、公開情報ｇ，ｘ₁・ｇ～ｘ₈・ｇ、メッセージｍ₁～ｍ₈、ハッシュ値ｈ₁～ｈ₈、集約署名Ｔ、ログ情報ＬＤ等を記憶する。

【0066】

制御部６４は、受信装置３０の全体を制御する制御部であり、ハッシュ値生成部６４ａ、集約署名検証部６４ｂ、グループテスト処理部６４ｃ、ログ情報生成部６４ｄ、及び報知処理部６４ｅを有する。実際には、これらの機能部に対応するプログラムを図示しないＲＯＭや不揮発性メモリに記憶しておき、これらのプログラムをＣＰＵ（Central Processing Unit）にロードして実行することにより、ハッシュ値生成部６４ａ、集約署名検証部６４ｂ、グループテスト処理部６４ｃ、ログ情報生成部６４ｄ、及び報知処理部６４ｅにそれぞれ対応するプロセスを実行させることになる。

【0067】

ハッシュ値生成部６４ａは、所定のハッシュ関数Ｈを用いて、メッセージｍ₁～ｍ₈に対するハッシュ値ｈ₁～ｈ₈をそれぞれ生成する。ハッシュ値ｈ₁～ｈ₈は、巡回群Ｇ₂に属する。

【0068】

集約署名検証部６４ｂは、公開されている生成元ｇと集約署名Ｔとのペアリングｅ（ｇ，Ｔ）を演算し、この演算値を演算値Ｖ₁として算出する。また、集約署名検証部６４ｂは、公開情報ｘ₁・ｇ,…，ｘ₈・ｇとハッシュ値生成部６４ａが算出したハッシュ値ｈ₁,…,ｈ₈との各ペアリングｅ（ｘ₁・ｇ，ｈ₁），ｅ（ｘ₂・ｇ，ｈ₂）,…，ｅ（ｘ₈・ｇ，ｈ₈）を演算し、演算した値を乗算した演算値ｅ（ｘ₁・ｇ，ｈ₁）・ｅ（ｘ₂・ｇ，ｈ₂）・…・ｅ（ｘ₈・ｇ，ｈ₈）を演算値Ｖ₂として算出する。そして、集約署名検証部６４ｂは、演算値Ｖ₁と演算値Ｖ₂とが一致する場合には、集約署名Ｔには不正な個別署名がなく、集約署名が正当であると判定し、演算値Ｖ₁と演算値Ｖ₂とが一致しない場合には、集約署名Ｔには不正な個別署名があり、集約署名Ｔが不正であると判定する。

【0069】

グループテスト処理部６４ｃは、集約署名検証部６４ｂが、集約署名Ｔが不正であると判定した場合、適用型のグループテスト処理を行う。グループテスト処理部６４ｃは、フィードバックチャネルＦＣを介して、不正であった前回の集約署名内の個別署名群を分割した複数のグループの個別署名に対する集約署名の生成を集約処理装置２０に指示し、集約署名検証部６４ｂに対して、集約処理装置２０が生成された複数の集約署名に対する検証処理を繰り返し行わせて、不正な個別署名を特定する処理を行う。

【0070】

ログ情報生成部６４ｄは、集約署名検証部６４ｂが、集約署名Ｔが不正であると判定した場合、不正があった個別署名に関する情報をログ情報ＬＤとして記憶部６３に記録する

【0071】

報知処理部６４ｅは、集約署名検証部６４ｂが、集約署名Ｔが不正であると判定した場合、不正があった個別署名に関する情報を報知する。この報知は、表示操作部６１に表示出力してもよいし、図示しないスピーカから警報を発してもよいし、図示しない他の装置にその旨を出力してもよい。

【0072】

＜受信装置の処理＞
次に、図８に示した受信装置３０の検証処理手順の一例について説明する。図９は、図８に示した受信装置３０の検証処理手順の一例を示すフローチャートである。まず、受信装置３０は、集約処理装置２０から集約署名Ｔ及びメッセージｍ₁～ｍ₈を受信する（ステップＳ３０１）。

【0073】

その後、ハッシュ値生成部６４ａは、所定のハッシュ関数Ｈを用いて、メッセージｍ₁～ｍ₈に対するハッシュ値ｈ₁～ｈ₈をそれぞれ算出する（ステップＳ３０２）。

【0074】

その後、集約署名検証部６４ｂは、公開されている生成元ｇと集約署名Ｔとのペアリングｅ（ｇ，Ｔ）を演算し、この演算値を演算値Ｖ₁として算出する（ステップＳ３０３）。さらに、集約署名検証部６４ｂは、公開情報ｘ₁・ｇ，…，ｘ₈・ｇとハッシュ値生成部６４ａが算出したハッシュ値ｈ₁～ｈ₈との各ペアリングｅ（ｘ₁・ｇ，ｈ₁），ｅ（ｘ₂・ｇ，ｈ₂），…，ｅ（ｘ₈・ｇ，ｈ₈）を演算し、演算した値を乗算した演算値ｅ（ｘ₁・ｇ，ｈ₁）・ｅ（ｘ₂・ｇ，ｈ₂）・…・ｅ（ｘ₈・ｇ，ｈ₈）を演算値Ｖ₂として算出する（ステップＳ３０４）。

【0075】

その後、集約署名検証部６４ｂは、演算値Ｖ₁と演算値Ｖ₂とが一致するか否かを判定する（ステップＳ３０５）。

【0076】

ここで、演算値Ｖ₁は、ペアリングの双線形性により、次のようになる。
Ｖ₁＝ｅ（ｇ，Ｔ）
＝ｅ（ｇ，ｘ₁・ｈ₁＋ｘ₂・ｈ₂＋…＋ｘ₈・ｈ₈）
＝ｅ（ｇ，ｈ₁）^x1・ｅ（ｇ，ｈ₂）^x2・…・ｅ（ｇ，ｈ₈）^x8
＝ｅ（ｘ₁・ｇ，ｈ₁）・ｅ（ｘ₂・ｇ，ｈ₂）・…・ｅ（ｘ₈．ｇ，ｈ₈）
＝Ｖ₂
であり、個別署名に不正がない場合、演算値Ｖ₁と演算値Ｖ₂とは一致する。

【0077】

集約署名検証部６４ｂは、演算値Ｖ₁と演算値Ｖ₂とが一致する場合（ステップＳ３０５；Ｙｅｓ）には、集約署名Ｔが正当であるとして本処理を終了する。一方、集約署名検証部６４ｂは、演算値Ｖ₁と演算値Ｖ₂とが一致しない場合（ステップＳ３０５；Ｎｏ）には、集約署名Ｔに不正な個別署名が含まれており、グループテスト処理部６４ｃに対してグループテスト処理を行わせ、不正な個別署名の特定を行う（ステップＳ３０６）。

【0078】

その後、ログ情報生成部６４ｄは、不正があった個別署名に関する情報をログ情報ＬＤとして記憶部６３に記録する（ステップＳ３０７）。さらに、報知処理部６４ｅは、不正があった個別署名に関する情報を報知し（ステップＳ３０８）、本処理を終了する。

【0079】

上記の実施例では、８つの個別署名σ₁～σ₈を集約署名する一例について説明したが、集約署名する個別署名は、複数であればよい。

【0080】

本実施例では、集約署名Ｔが不正であると判定された場合、グループテスト処理を用いて不正であった個別署名を特定するようにしているので、個々の個別署名すべてについて検証するよりも、不正であった個別署名を迅速に特定することができる。この不正であった個別署名の迅速な特定は、不正なメッセージあるいは不正な送信装置を迅速に特定することできることになる。

【0081】

例えば、個別署名数をｎとし、従来方式による不正な個別署名（個数ｄ）の特定処理では、すべての個別署名に対してｎ回の検証処理を行う必要があった。これに対し、本実施例では、２分木による適応型のグループテスト処理を行った場合、検証処理の回数は、
２ｄ・ｌｏｇ（ｎ／ｄ）＋２ｄ－１
となる。ｄ≦（ｎ／８）の場合、
２ｄ・ｌｏｇ（ｎ／ｄ）＋２ｄ－１＜ｎ
となって検証回数が減少し、従来方式に比して不正な個別署名を迅速に特定できることになる。

【0082】

また、本実施例では、集約処理装置２０が各送信装置１１～１８の秘密鍵ｘ₁～ｘ₈を持たなくても不正な個別署名を特定することができるため、セキュリティの向上を図ることができる。

【0083】

さらに、本実施例では、集約処理装置２０から受信装置３０に送信されるデータは、各個別署名に替えて、各個別署名を加算した１つの集約署名としているので、集約処理装置２０と受信装置３０との間の送信データ量を大幅に低減することができる。

【0084】

また、集約処理装置２０の機能は、受信装置３０内に設けてもよい。

【0085】

＜変形例１＞
本変形例では、同一の送信装置１１～１８から不正な個別署名が多く発生する場合には、この不正な個別署名から除外した集約署名を行うようにしている。

【0086】

図１０は、変形例１の受信装置３０による検証処理手順の一例を示すフローチャートである。図１０に示すように、まず、受信装置３０は、集約署名Ｔとともに個別署名を受信したか否かを判定する（ステップＳ４０１）。個別署名を受信していない場合（ステップＳ４０１；Ｎｏ）には、上記の実施例と同様に、集約署名検証部６４ｂが集約署名Ｔの検証処理を行う（ステップＳ４０２）。この検証処理は、ステップＳ３０２～Ｓ３０４の処理に対応する。

【0087】

そして、グループテスト処理部６４ｃは、集約署名Ｔが不正であるか否かを判定する（ステップＳ４０３）。グループテスト処理部６４ｃは、集約署名Ｔが不正でない場合（ステップＳ４０３；Ｎｏ）には、本処理を終了する。一方、グループテスト処理部６４ｃは、集約署名Ｔが不正である場合（ステップＳ４０３；Ｙｅｓ）には、実施例と同様に、グループテスト処理を行って（ステップＳ４０４）、不正の個別署名を特定する。

【0088】

その後、ログ情報生成部６４ｄは、不正があった個別署名に関する情報をログ情報ＬＤとして記憶部６３に記録する（ステップＳ４０５）。さらに、報知処理部６４ｅは、不正があった個別署名に関する情報を報知し、不正があったメッセージを廃棄する（ステップＳ４０６）。

【0089】

さらに、ログ情報ＬＤを参照して、同一の不正な個別署名が所定不正回数以上であるか否かを判定する（ステップＳ４０７）。同一の不正な個別署名が所定不正回数以上でない場合（ステップＳ４０７；Ｎｏ）には、本処理を終了する。一方、同一の不正な個別署名が所定不正回数以上である場合（ステップＳ４０７；Ｙｅｓ）には、次回以降、不正な個別署名を分離した集約署名を行い、不正な個別署名はそのまま受信装置に送信するように指示し（ステップＳ４０８）、本処理を終了する。なお、ステップＳ４０７では、同一の不正な個別署名が所定不正回数以上であるか否かを判定しているが、この所定不正回数以上が所定期間、あるいは所定回数、連続して発生していることを条件として加えてもよい。

【0090】

一方、個別署名を受信している場合（ステップＳ４０１；Ｙｅｓ）、集約署名検証部６４ｂは、分離された個別署名が除かれた集約署名及び個別署名に対する検証処理を行う（ステップＳ４１１）。個別署名を受信している場合とは、ステップＳ４０８で指示された個別署名がある場合である。集約署名検証部６４ｂは、集約署名に対する検証処理と同様に、個別署名の検証処理を行う。

【0091】

その後、ステップＳ４１１が行った検証処理結果を参照して、集約署名に不正があるか否かを判定する（ステップＳ４１２）。集約署名に不正がある場合（ステップＳ４１２；Ｙｅｓ）には、ステップＳ４０４に移行し、集約署名に対するグループテスト処理を行う。一方、集約署名に不正がない場合（ステップＳ４１２；Ｎｏ）には、さらに個別署名に不正があるか否かを判定する（ステップＳ４１３）。個別署名に不正がある場合（ステップＳ４１３；Ｙｅｓ）には、ステップＳ４０５に移行し、不正があった個別署名に関する情報とログ情報ＬＤとして記録する（ステップＳ４０５）。

【0092】

一方、個別署名に不正がない場合（ステップＳ４１３；Ｎｏ）には、次回以降、この個別署名を生成する送信装置からの個別署名を集約署名に含めて復帰させる指示を、集約処理装置２０に送り（ステップＳ４１４）、本処理を終了する。なお、ステップＳ４１４による、個別署名の集約署名への復帰処理は、ステップＳ４０７の判定処理と同様に、不正であった個別署名が正当になった回数が所定正当回数以上となった場合に行うようにしてもよい。

【0093】

変形例１では、不正の個別署名を送った送信装置からの個別署名が所定不正回数以上、不正であると判定された場合、次回以降、不正があった個別署名を集約署名から分離して集約署名を行うようにしているので、不正の個別署名が特定された後における集約署名の不正発生を抑えることができる。

【0094】

＜変形例２＞
実施例では、所定のグループテスト処理として適応型のグループテスト処理を行って、不正の個別署名を追跡するようにしていたが、本変形例２では、所定のグループテスト処理として非適応型のグループテスト処理を行うようにしている。この非適応型のグループテスト処理を行っても、不正のあった個別署名を特定することができる。なお、変形例２であっても、集約処理装置２０が送信する最初の集約署名は、すべての個別署名を含むものであり、この集約署名が不正であった場合に、非適応型のグループテスト処理を行う。

【0095】

非適応型のグループテスト処理は、重複を許した個別署名の集合（これをプールとよぶ）を複数個予め設定しておき、集約処理装置２０は、設定したプールに対応する集約署名をプールの数分生成して受信装置３０に送信し、受信装置３０は、送られた複数の集約署名の結果をもとに、不正のあった個別署名を特定するようにしている。適応型のグループテスト処理が多段階で不正の個別署名を特定するのに対し、非適応型のグループテスト処理は、一度の検証処理で不正があった個別署名を特定する。

【0096】

例えば、図１１に示すように、１２個の個別署名σ₁～σ₁₂を検証する場合、個別署名の重複を許した９つの集約署名プールＡ₁～Ａ₉を生成する。図１１では、集約署名プールＡ₁～Ａ₉は、それぞれ、（σ₁，σ₄，σ₇，σ₁₀）、（σ₁，σ₅，σ₈，σ₁₁）、（σ₁，σ₆，σ₉，σ₁₂）、（σ₂，σ₄，σ₉，σ₁₁）、（σ₂，σ₅，σ₇，σ₁₂）、（σ₂，σ₆，σ₈，σ₁₀）、（σ₃，σ₄，σ₈，σ₁₂）、（σ₃，σ₅，σ₉，σ₁₀）、（σ₃，σ₆，σ₇，σ₁₁）とする個別署名を有するプールである。集約署名プールＡ₁～Ａ₉に対する個別署名σ₁～σ₁₂の対応関係は、検証マトリクスＭＴによって表すことができる。このマトリックスはdisjunct matrixあるいはcover-free family とよばれている。検証マトリクスＭＴで、「１」は集約署名プールに含まれる個別署名であることを表し、「０」は、集約署名プールに含まれない個別署名であることを表す。

【0097】

ここで、集約処理装置２０は、集約署名プールＡ₁～Ａ₉のそれぞれにおいて集約署名を生成し、受信装置３０に送信する。受信装置３０は、これら集約署名プールＡ₁～Ａ₉の集約署名に対する検証処理を行う。

【0098】

図１２に示すように、個別署名σ₃，σ₅が不正である場合、各集約署名プールＡ₁～Ａ₉に対する検証結果は、集約署名が不正である場合に「１」とし、集約署名が正当である場合に「０」とすると、「０，１，０，０，１，０，１，１，１、」となる。なお、個別署名σ₁～σ₁₂に不正がない場合、検証結果は、すべて「０」になる。受信装置３０は、正当と判定された集約署名プールＡ₁，Ａ₃，Ａ₄，Ａ₆をピックアップし、各集約署名プールＡ₁，Ａ₃，Ａ₄，Ａ₆の行を初期値「１」とし、各集約署名プールＡ₁，Ａ₃，Ａ₄，Ａ₆に含まれる個別署名σ₁～σ₁₂を「０」に設定する。そして、受信装置３０は、個別署名σ₁～σ₁₂の列の値が全て「１」となる個別署名を、不正があった個別署名として特定する。図１２では、個別署名σ₃，σ₅の列の値が全て「１」であり、個別署名σ₃，σ₅が不正なものであることを特定できる。

【0099】

なお、変形例２は、非適応型のグループテスト処理を行っている。非適応型のグループテスト処理は、適応型のグループテスト処理に比して、一般に集約署名の演算量が多いが、予め集約署名を行う複数の集約署名プールに分けており、各集約署名の検証によって不正のあった複数の個別署名を同時に特定することができる。また、検証マトリックスは、disjunct matrix の代わりに検証の演算量は増えるがプールの数を減らせる separable matrix と呼ばれる配列を使うことも可能である。

【0100】

また、上記の実施例では、有限体上の楕円曲線を用いた場合を示したが、本発明はこれに限定されるものではなく、安全性を確保するために十分な計算量を要する他の巡回群を用いた場合に適用することもできる。

【0101】

また、上記の実施例で図示した各構成は機能概略的なものであり、必ずしも物理的に図示の構成をされていることを要しない。すなわち、各装置の分散・統合の形態は図示のものに限られず、その全部又は一部を各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。

【産業上の利用可能性】

【0102】

本発明のデジタル署名システム及びデジタル署名方法は、集約署名が不正であった場合でも、不正のあった個別署名を迅速に特定する場合に有用である。

【符号の説明】

【0103】

１ デジタル署名システム
１０ 送信装置群
１１～１８ 送信装置
２０ 集約処理装置
３０ 受信装置
４１ センサー部
４２，５１，６１ 表示操作部
４３，５２，６２ 通信部
４４，５３，６３ 記憶部
４５，５４，６４ 制御部
４５ａ メッセージ生成部
４５ｂ 秘密鍵生成部
４５ｃ 公開情報生成部
４５ｄ，６４ａ ハッシュ値生成部
４５ｅ 個別署名生成部
４５ｆ，５４ｂ 送信処理部
５４ａ 集約署名生成部
５４ｃ グループテスト処理対応部
６４ｂ 集約署名検証部
６４ｃ グループテスト処理部
６４ｄ ログ情報生成部
６４ｅ 報知処理部
Ａ₁～Ａ₉ 集約署名グループ
ＣＤ クラウド
ＦＣ フィードバックチャネル
ｇ 生成元
ｘ₁・ｇ 公開情報
Ｇ₁ 巡回群
Ｇ₂ 巡回群
Ｇ_T 乗法部分群
Ｈ ハッシュ関数
ｈ₁～ｈ₈ ハッシュ値
ＬＤ ログ情報
ｍ₁～ｍ₈ メッセージ
ＭＴ 検証マトリクス
Ｎ ネットワーク
Ｔ 集約署名
Ｖ₁，Ｖ₂ 演算値
ｘ₁ 秘密鍵
σ₁～σ₁₂ 個別署名

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】