特表 2022-540857 ハッシュベースのデジタル署名スキームにおける暗号ハッシュ木のノードの管理

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2022-09-20

(54)【発明の名称】ハッシュベースのデジタル署名スキームにおける暗号ハッシュ木のノードの管理

(51)【国際特許分類】

   H04L 9/32 20060101AFI20220912BHJP

   G06F 21/64 20130101ALI20220912BHJP

【ＦＩ】

H04L9/32 200B

H04L9/32 200E

G06F21/64

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2022501266

(86)(22)【出願日】2019-12-04

(85)【翻訳文提出日】2022-03-01

(86)【国際出願番号】 CA2019051744

(87)【国際公開番号】W WO2021003550

(87)【国際公開日】2021-01-14

(31)【優先権主張番号】16/508,809

(32)【優先日】2019-07-11

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＢＬＵＥＴＯＯＴＨ

２．ＷＣＤＭＡ

３．ＺＩＧＢＥＥ

(71)【出願人】

【識別番号】518220637

【氏名又は名称】イサラ コーポレイション

(74)【代理人】

【識別番号】100094569

【弁理士】

【氏名又は名称】田中 伸一郎

(74)【代理人】

【識別番号】100103610

【弁理士】

【氏名又は名称】▲吉▼田 和彦

(74)【代理人】

【識別番号】100109070

【弁理士】

【氏名又は名称】須田 洋之

(74)【代理人】

【識別番号】100067013

【弁理士】

【氏名又は名称】大塚 文昭

(74)【代理人】

【識別番号】100086771

【弁理士】

【氏名又は名称】西島 孝喜

(74)【代理人】

【識別番号】100109335

【弁理士】

【氏名又は名称】上杉 浩

(74)【代理人】

【識別番号】100120525

【弁理士】

【氏名又は名称】近藤 直樹

(74)【代理人】

【識別番号】100139712

【弁理士】

【氏名又は名称】那須 威夫

(74)【代理人】

【識別番号】100176418

【弁理士】

【氏名又は名称】工藤 嘉晃

(72)【発明者】

【氏名】パルゼル マレク

(57)【要約】

一部の態様では、暗号ハッシュ木のノードがバッファメモリに記憶される。アクティブ部分木のノードがバッファメモリ内のインデックス付き場所の第１のセットに記憶され、将来の部分木のノードがバッファメモリのインデックス付き場所の第２のセットに記憶される。署名インデックスの現在の値に関連付けられた署名鍵に基づいてワンタイム署名（ＯＴＳ）が生成される。バッファメモリからノードのサブセットを取り出すことによってＯＴＳの認証パスが生成される。将来の部分木の新規ノードが署名インデックスの現在の値に基づいて計算され、バッファメモリに記憶される。次に、署名インデックスが現在の値から署名インデックスの次の値に前進させられる。
【選択図】図６

【特許請求の範囲】

【請求項1】

方法であって、
アクティブ部分木のノードの第１のサブセットをバッファメモリ内のインデックス付き場所の第１のセットに記憶することと、
将来の部分木のノードの第２のサブセットを前記バッファメモリ内のインデックス付き場所の第２のセットに記憶することとを含み、前記アクティブ部分木と前記将来の部分木とが同じサイズの重なり合わない部分木である、
暗号ハッシュ木のノードを前記バッファメモリに記憶することと、
署名インデックスの現在の値に関連付けられた署名鍵に基づいてワンタイム署名（ＯＴＳ）を生成することであって、前記署名インデックスの前記現在の値は前記アクティブ部分木の現在の葉ノードに関連付けられる、ＯＴＳを生成することと、
前記署名インデックスの前記現在の値に基づいて前記ＯＴＳの認証パスを生成することであって、前記バッファメモリからノードの前記第１のサブセットのうちの１つまたは複数のノードを取り出すことを含む、認証パスを生成することと、
メッセージ受信側に送信するために、前記ＯＴＳと前記認証パスとを含むデジタル署名を提供することと、
前記署名インデックスの前記現在の値に基づいて前記将来の部分木の新規ノードを計算することと、
前記将来の部分木の前記新規ノードを前記バッファメモリに記憶することと、
前記署名インデックスを前記現在の値から前記署名インデックスの次の値に前進させることとを含む、方法。

【請求項2】

インデックス付き場所の前記第１のセットのうちの第１の記憶場所に記憶されている右ノードを特定することと、
前記第１の記憶場所において前記右ノードをその左の兄弟ノードに置き換えることとを含む、請求項１に記載の方法。

【請求項3】

前記アクティブ部分木と前記将来の部分木とは高さＫの部分木であって、ノードの前記第１のサブセットと前記第２のサブセットの中のノードの合計数が２^K＋（Ｋ－２）に等しい、請求項１に記載の方法。

【請求項4】

前記バッファメモリは下位ノードキャッシュを含み、
前記アクティブ部分木と前記将来の部分木とはそれぞれ、前記暗号ハッシュ木のカットオフレベルより下のノードを含み、
前記認証パスを生成することは、上位ノードキャッシュから前記暗号ハッシュ木の前記カットオフレベルより上の１つまたは複数のノードを取り出すことを含む、請求項１に記載の方法。

【請求項5】

前記アクティブ部分木に関連付けられたＯＴＳ状態をＯＴＳキャッシュに記憶することを含み、前記ＯＴＳ署名を生成することは、前記署名インデックスの前記現在の値に関連付けられた前記ＯＴＳ状態のうちの１つまたは複数のＯＴＳ状態を使用することを含む、請求項４に記載の方法。

【請求項6】

前記上位ノードキャッシュの第１の記憶場所に記憶されている右ノードを特定することと、
前記第１の記憶場所において前記右ノードをその左の兄弟ノードに置き換えることとを含む、請求項４に記載の方法。

【請求項7】

前記バッファメモリは循環バッファメモリを含み、インデックス付き場所の前記第１のセットは連続しており、インデックス付き場所の前記第２のセットは連続している、請求項１～６のいずれか１項に記載の方法。

【請求項8】

前記将来の部分木の前記新規ノードを前記バッファメモリに記憶することは、前記バッファメモリから前記アクティブ部分木の前記ノードを枯渇させ、前記署名インデックスの前記次の値が前記将来の部分木内の葉ノードに関連付けられる、請求項７に記載の方法。

【請求項9】

前記将来の部分木の前記新規ノードを前記バッファメモリに記憶することは、前記新規ノードを第１のインデックス値に関連付けられた第１の記憶場所に記憶することを含み、前記方法は、前記署名インデックスの前記現在の値に基づいて前記第１のインデックス値を特定することを含む、請求項１～６のいずれか１項に記載の方法。

【請求項10】

前記署名インデックスの前記現在の値に基づいて前記将来の部分木の新規ノードを計算することは、
前記署名インデックスの前記現在の値に基づいて前記将来の部分木の葉ノードのインデックスを特定することと、
前記葉ノードの前記インデックスに基づいて前記将来の部分木の前記新規ノードを計算することとを含む、請求項１～６のいずれか１項に記載の方法。

【請求項11】

前記方法は、前記署名インデックスの値が一連の値をたどって前進するにつれて、前記将来の部分木の新規葉ノードを逆順に計算するハッシュベースの署名スキームに従って実行される、請求項１～６のいずれか１項に記載の方法。

【請求項12】

前記ハッシュベースの署名スキームに従って、前記将来の部分木の各新規ノードが前記署名インデックスのそれぞれの現在の値に基づいて計算され、前記将来の部分木の各新規ノードを計算することは、前記暗号ハッシュ木の１つの葉ノードのみを計算するだけで済む、請求項１１に記載の方法。

【請求項13】

コンピュータシステムであって、
バッファメモリと、
１つまたは複数のプロセッサと、
命令を記憶するメモリとを含み、前記命令は、前記１つまたは複数のプロセッサによって実行されると、
アクティブ部分木のノードの第１のサブセットをバッファメモリ内のインデックス付き場所の第１のセットに記憶することと、
将来の部分木のノードの第２のサブセットを前記バッファメモリ内のインデックス付き場所の第２のセットに記憶することとを含み、前記アクティブ部分木と前記将来の部分木とが同じサイズの重なり合わない部分木である、
暗号ハッシュ木のノードを前記バッファメモリに記憶することと、
署名インデックスの現在の値に関連付けられた署名鍵に基づいてワンタイム署名（ＯＴＳ）を生成することであって、前記署名インデックスの前記現在の値は前記アクティブ部分木の現在の葉ノードに関連付けられる、ＯＴＳを生成することと、
前記署名インデックスの前記現在の値に基づいて前記ＯＴＳの認証パスを生成することであって、前記バッファメモリからノードの前記第１のサブセットのうちの１つまたは複数のノードを取り出すことを含む、認証パスを生成することと、
メッセージ受信側に送信するために、前記ＯＴＳと前記認証パスとを含むデジタル署名を提供することと、
前記署名インデックスの前記現在の値に基づいて前記将来の部分木の新規ノードを計算することと、
前記将来の部分木の前記新規ノードを前記バッファメモリに記憶することと、
前記署名インデックスを前記現在の値から前記署名インデックスの次の値に前進させることとを含む、動作を行うように動作可能な、コンピュータシステム。

【請求項14】

前記動作は、
インデックス付き場所の前記第１のセットのうちの第１の記憶場所において前記バッファメモリに記憶されている右ノードを特定することと、
前記第１の記憶場所において前記右ノードをその左の兄弟ノードに置き換えることとを含む、請求項１３に記載のコンピュータシステム。

【請求項15】

前記アクティブ部分木と前記将来の部分木とは高さＫの部分木であって、ノードの前記第１のサブセットと前記第２のサブセットの中のノードの合計数が２^K＋（Ｋ－２）に等しい、請求項１３に記載のコンピュータシステム。

【請求項16】

前記バッファメモリは下位ノードキャッシュを含む第１のバッファメモリであり、
前記システムは、上位ノードキャッシュを含む第２のバッファメモリをさらに含み、
前記アクティブ部分木と前記将来の部分木とはそれぞれ、前記暗号ハッシュ木のカットオフレベルより下のノードを含み、
前記認証パスを生成することは、前記上位ノードキャッシュから前記暗号ハッシュ木の前記カットオフレベルより上の１つまたは複数のノードを取り出すことを含む、請求項１３に記載のコンピュータシステム。

【請求項17】

前記動作は、前記アクティブ部分木に関連付けられたＯＴＳ状態をＯＴＳキャッシュに記憶することを含み、前記ＯＴＳ署名を生成することは、前記署名インデックスの前記現在の値に関連付けられた前記ＯＴＳ状態のうちの１つまたは複数のＯＴＳ状態を使用することを含む、請求項１６に記載のコンピュータシステム。

【請求項18】

前記動作は、
前記上位ノードキャッシュの第１の記憶場所に記憶されている右ノードを特定することと、
前記第１の記憶場所において前記右ノードをその左の兄弟ノードに置き換えることとを含む、請求項１６に記載のコンピュータシステム。

【請求項19】

前記バッファメモリは循環バッファメモリを含み、インデックス付き場所の前記第１のセットは連続しており、インデックス付き場所の前記第２のセットは連続しており、前記将来の部分木の前記新規ノードを前記循環バッファメモリに記憶することは、前記循環バッファメモリ内のインデックス付き場所の前記第１のセットと前記第２のセットとの境界をシフトさせる、請求項１３～１８のいずれか１項に記載のコンピュータシステム。

【請求項20】

前記署名インデックスの前記現在の値に基づいて前記将来の部分木の新規ノードを計算することは、
前記署名インデックスの前記現在の値に基づいて前記将来の部分木の葉ノードのインデックスを特定することと、
前記葉ノードの前記インデックスに基づいて前記将来の部分木の前記新規ノードを計算することとを含み、
前記将来の部分木の前記新規ノードを前記バッファメモリに記憶することは、前記新規ノードを第１のインデックス値に関連付けられた第１の記憶場所に記憶することを含み、前記動作は、前記署名インデックスの前記現在の値に基づいて前記第１のインデックス値を特定することを含む、請求項１３～１８のいずれか１項に記載のコンピュータシステム。

【請求項21】

前記動作は、前記署名インデックスの値が一連の値をたどって前進するにつれて前記将来の部分木の新規葉ノードを逆順に計算するハッシュベースの署名スキームに従って実行され、
前記ハッシュベースの署名スキームに従って、
前記将来の部分木の各新規ノードが前記署名インデックスのそれぞれの現在の値に基づいて計算され、
前記将来の部分木の各新規ノードを計算することは、前記暗号ハッシュ木の１つの葉ノードのみを計算するだけで済む、請求項１３～１８のいずれか１項に記載のコンピュータシステム。

【請求項22】

命令を記憶する非一過性のコンピュータ可読媒体であって、前記命令は、データ処理装置によって実行されると、
アクティブ部分木のノードの第１のサブセットをバッファメモリ内のインデックス付き場所の第１のセットに記憶することと、
将来の部分木のノードの第２のサブセットを前記バッファメモリ内のインデックス付き場所の第２のセットに記憶することとを含み、前記アクティブ部分木と前記将来の部分木とが同じサイズの重なり合わない部分木である、
暗号ハッシュ木のノードを前記バッファメモリに記憶することと、
署名インデックスの現在の値に関連付けられた署名鍵に基づいてワンタイム署名（ＯＴＳ）を生成することであって、前記署名インデックスの前記現在の値は前記アクティブ部分木の現在の葉ノードに関連付けられる、ＯＴＳを生成することと、
前記署名インデックスの前記現在の値に基づいて前記ＯＴＳの認証パスを生成することであって、前記バッファメモリからノードの前記第１のサブセットのうちの１つまたは複数のノードを取り出すことを含む、認証パスを生成することと、
メッセージ受信側に送信するために、前記ＯＴＳと前記認証パスとを含むデジタル署名を提供することと、
前記署名インデックスの前記現在の値に基づいて前記将来の部分木の新規ノードを計算することと、
前記将来の部分木の前記新規ノードを前記バッファメモリに記憶することと、
前記署名インデックスを前記現在の値から前記署名インデックスの次の値に前進させることとを含む、動作を行うように動作可能な、非一過性のコンピュータ可読媒体。

【請求項23】

インデックス付き場所の前記第１のセットのうちの第１の記憶場所に記憶されている右ノードを特定することと、
前記第１の記憶場所において前記右ノードをその左の兄弟ノードに置き換えることとをさらに含む、請求項２２に記載のコンピュータ可読媒体。

【請求項24】

前記アクティブ部分木と前記将来の部分木とは高さＫの部分木であって、ノードの前記第１のサブセットと前記第２のサブセットの中のノードの合計数が２^K＋（Ｋ－２）に等しい、請求項２２に記載のコンピュータ可読媒体。

【請求項25】

前記バッファメモリは下位ノードキャッシュを含み、
前記アクティブ部分木と前記将来の部分木とはそれぞれカットオフレベルＫより下のノードを含み、
前記認証パスを生成することは、前記暗号ハッシュ木の前記カットオフレベルより上の１つまたは複数のノードを上位ノードキャッシュから取り出す動作を含む、請求項２２に記載のコンピュータ可読媒体。

【請求項26】

前記動作は、前記アクティブ部分木に関連付けられたＯＴＳ状態をＯＴＳキャッシュに記憶することを含み、前記ＯＴＳ署名を生成することは、前記署名インデックスの前記現在の値に関連付けられた前記ＯＴＳ状態のうちの１つまたは複数のＯＴＳ状態を使用することを含む、請求項２５に記載のコンピュータ可読媒体。

【請求項27】

前記動作は、
前記上位ノードキャッシュの第１の記憶場所に記憶されている右ノードを特定することと、
前記第１の記憶場所において前記右ノードをその左の兄弟ノードに置き換えることとを含む、請求項２５に記載のコンピュータ可読媒体。

【請求項28】

前記バッファメモリは循環バッファメモリを含み、インデックス付き場所の前記第１のセットは連続しており、インデックス付き場所の前記第２のセットは連続しており、前記将来の部分木の前記新規ノードを前記循環バッファメモリに記憶することは、前記循環バッファメモリにおけるインデックス付き場所の前記第１のセットと前記第２のセットとの境界をシフトさせる、請求項２２～２５のいずれか１項に記載のコンピュータ可読媒体。

【請求項29】

前記署名インデックスの前記現在の値に基づいて前記将来の部分木の新規ノードを計算することは、
前記署名インデックスの前記現在の値に基づいて前記将来の部分木の葉ノードのインデックスを特定することと、
前記葉ノードの前記インデックスに基づいて前記将来の部分木の前記新規ノードを計算することとを含み、
前記将来の部分木の前記新規ノードを前記バッファメモリに記憶することは、前記新規ノードを第１のインデックス値に関連付けられた第１の記憶場所に記憶することを含み、前記動作は、前記署名インデックスの前記現在の値に基づいて前記第１のインデックス値を特定することを含む、請求項２２～２５のいずれか１項に記載のコンピュータ可読媒体。

【請求項30】

前記動作は、前記署名インデックスの値が一連の値をたどって前進するにつれて前記将来の部分木の新規葉ノードを逆順に計算するハッシュベースの署名スキームに従って実行され、
前記ハッシュベースの署名スキームに従って、
前記署名インデックスのそれぞれの現在の値に基づいて前記将来の部分木の各新規ノードが計算され、
前記将来の部分木の各新規ノードを計算することは、前記暗号ハッシュ木の１つの葉ノードのみを計算するだけで済む、請求項２２～２５のいずれか１項に記載のコンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
本出願は、２０１９年７月１１日に出願された米国特許出願第１６／５０８，８０９号の優先権を主張し、その開示が参照により本明細書に組み込まれる。

【背景技術】

【0002】

以下の説明は、ハッシュベースのデジタル署名スキームのための暗号ハッシュ木のノードを記憶するバッファメモリの管理に関する。

【発明の概要】

【発明が解決しようとする課題】

【0003】

パブリックチャネルを介して安全に通信するために暗号システムが使用される。暗号システムの中には、デジタル署名の使用により真正性を与えるものがある。マークル署名スキーム（Ｍｅｒｋｌｅ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ：ＭＳＳ）は暗号ハッシュ木（たとえばマークル木）とワンタイム署名（ｏｎｅ－ｔｉｍｅ ｓｉｇｎａｔｕｒｅ：ＯＴＳ）とを使用して、１つの公開鍵についていくつかのデジタル署名を生成し、検証する。

【課題を解決するための手段】

【0004】

本明細書に記載の一部の態様では、マークル署名スキーム（ＭＳＳ）または他の種類のハッシュベースの署名スキームが、通信システムにおけるデジタル署名の生成と検証のために暗号ハッシュ木（たとえばマークル木）を使用する。暗号ハッシュ木は、ＯＴＳスキームの検証鍵に基づいて生成可能である。暗号ハッシュ木の葉ノードは、それぞれの検証鍵から生成可能であり、暗号ハッシュ木におけるより上位の各ノードは、暗号ハッシュ木におけるそのノードの直下の２つのノードの組み合わせに適用されるハッシュ関数の出力に基づいて生成可能である。ハッシュ関数は、任意の適切なハッシュ関数であってよく、公に知られていてもよい。ハッシュ関数は、任意の適切な方式で２つのより下位のノードの組み合わせに適用可能である。一例として、ハッシュ関数はより下位のノードの連結に適応可能である。態様によっては、ハッシュベースの署名スキームが、ランポート－ディフィーＯＴＳスキーム、ウィンターニッツＯＴＳスキーム、または他の種類のＯＴＳスキームの検証鍵に基づく暗号ハッシュ木を使用することができる。

【0005】

従来のＭＳＳスキームは、量子コンピュータによる攻撃に対して安全であると考えられている。しかし、ＭＳＳスキームのステートフル性と、ハッシュ関数への大きな依存度とは、広範囲に及ぶ採用の大きな妨げとなっていることがわかっている。すべてのＯＴＳ署名鍵および検証鍵とマークル木のすべてのノードが、一緒に計算され、アクセス可能なメモリに記憶されているシナリオでは、必要な唯一の署名計算は、マークル木のノードからのＯＴＳの生成と認証パスの構築である。このシナリオでは、必要なすべてのデータが入手可能であり、再計算の必要がないため、署名生成のパフォーマンスへの影響は最小限である。しかし、資源に制約があるデバイスでは、そのような大量のデータを記憶することができないことが多い。さらに、署名鍵と検証鍵をシードから再生成し、認証パスを生成するのに必要な計算は計算集約的である。

【0006】

したがって、通信システム（たとえばデータネットワークなど）、コンピュータシステム（たとえばネットワーク接続コンピュータなど）、スマートデバイス（たとえばいわゆる「物のインターネット」（ＩｏＴ）デバイスなど）、およびその他の技術クラスの動作を向上させるために、本明細書に記載のシステムおよび技術の態様を使用することができる。たとえば、多様な最新技術が、セキュリティ保護された動作のためにコンピュータ実装暗号システムに依存しており、本明細書に記載の技術はそのようなコンピュータ実装暗号システムを改良することができ、たとえばコンピュータ実装暗号システムをより安全にし、より計算効率を高くし、または場合によってはその他の利点を提供する。実装形態によっては、本明細書に記載のシステムおよび技術は、デジタル署名を生成するために特定のデータ要素が必要なときにそれらのデータ要素を計算し、記憶する（たとえば、小さいシードからＯＴＳ署名鍵および検証鍵を導出し、認証パスのために必要なときに暗号ハッシュ木のノードを生成するなど）ことによって、メモリ資源をより効率的に使用することができる。場合によっては、本明細書に記載のシステムおよび技術は、組み込みデバイス上でのハッシュベースの署名スキームの実現可能性をより高くすることができ、たとえば秘密鍵を縮小し、認証パスを生成することを可能にする一方、低いメモリおよびプロセッサ使用率で高速な署名生成を実現する。

【0007】

一部の実装形態では、暗号ハッシュ木の各ノードを記憶するのではなく、メモリ消費を低減するために（たとえばスマートカードなどの組み込みデバイスにおいて）ノードのサブセットのみがメモリに記憶される。ノードのサブセットのみが記憶されるため、署名スキームが追加のＯＴＳ署名鍵および認証鍵の使用に進むにつれて、追加のノードを計算し、記憶してもよい。追加のノードの計算と記憶は、木の走査スキームに従って実行されてもよい。場合によっては、最適化された木走査スキームにより、署名時のプロセッサ使用を最小限にするとともに、メモリ消費低減も達成することができる。

【0008】

実装形態によっては、暗号ハッシュ木のコンポーネントを記憶するためにキャッシュが使用されてもよい。キャッシュは、カットオフレベルより上の暗号ハッシュ木のノードのサブセットを記憶するＴｏｐＮｏｄｅｓＣａｃｈｅ（上位ノードキャッシュ）と、カットオフレベルより下のノードのサブセットを記憶するＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ（下位ノードキャッシュ）とを含むことができる。ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅは、（たとえば図４に関して説明するように）アクティブ部分木からのノードのセットと、将来の部分木からのノードのセットとを含んでもよい。場合によっては、キャッシュは、ＯＴＳ状態を記憶するＯＴＳＣａｃｈｅを含んでもよい。実装形態によっては、ハッシュベースの署名スキームに従って新規ＯＴＳ署名が作成されるたびに、たとえばＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅに将来の部分木の新規ノードを追加し、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅにアクティブ部分木の新規葉ノードを追加することによって、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｃｈｅが更新される。実装形態によっては、ＴｏｐＮｏｄｅｓＣａｃｈｅとＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅとの組み合わせが、将来の部分木の新規ノードを生成するためと、認証パスを作成するために必要なすべての適正なノードを提供する。

【0009】

態様によっては、ＴｏｐＮｏｄｅｓＣａｃｈｅとＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅの使用により、将来のハッシュ計算と認証パス計算のコストが低減される。たとえば、場合によっては、１回の署名生成について暗号ハッシュ木の１つの葉ノードを計算するだけで済み、したがってメモリ消費が低減される。たとえば、右側ノードのサブセットがメモリに記憶されてもよく、それによって全暗号ハッシュ木の実装に伴うメモリコストが低減される。また、記憶するノードをより少なくし、将来の部分木のＯＴＳ署名を生成する際に使用されるその部分木の新規ノードを１つ生成することによって、将来のハッシュ計算の計算コストを大幅に削減することができる。その結果、場合によっては、デジタル署名を生成し、木の状態を更新するために必要な木走査ハッシュ演算が少なくなるとともに、小さいメモリおよびストレージ占有領域が維持される。場合によっては、ＯＴＳ生成時の計算負荷の大幅な削減を実現することができる。また、場合によっては、本明細書に記載の木走査スキームは、たとえばスマートカードなど、メモリまたは計算的に制限されたデバイス上で実装することもできる。

【図面の簡単な説明】

【0010】

【図1】例示の通信システムの態様を示すブロック図である。

【図2A】ハッシュベースの署名スキームとともに使用するための例示の暗号ハッシュ木を示す図である。

【図2B】Ｈレベルの暗号ハッシュ木を２層に分離する一例を示す図である。

【図3A】暗号ハッシュ木のノードの例示の配列表現を示す図である。

【図3B】暗号ハッシュ木のノードの例示の配列表現を示す図である。

【図4】暗号ハッシュ木のノードを管理するスキームの一例を示す図である。

【図5】暗号ハッシュ木の部分木のノードの例示の作成順序を示す図である。

【図6】アクティブ部分木の例示の更新動作を示す図である。

【図7】例示のＯＴＳ状態を示す図である。

【図8】暗号ハッシュ木に関連付けられたＯＴＳ状態の例示の記憶スキームを示す図である。

【図9】ハッシュベースのデジタル署名スキームの例示のプロセスを示す流れ図である。

【発明を実施するための形態】

【0011】

図１に示す例示の通信システム１００は、２つのデバイス１０２、１０４を含む。デバイスは、ネットワークを介して、たとえばネットワークチャネル１０６を介して互いに通信するために暗号スキームを使用する。図の実施例では、量子対応敵対者１０８がチャネル１０６、チャネル１０６上で交換される情報、またはその両方にアクセスすることができる。場合によっては、量子対応敵対者１０８は、チャネル１０６上の情報を送信または変更することができる。通信システム１００は、追加の特徴または異なる特徴を含んでもよく、通信システムにおけるコンポーネントは、図１に示すように、または別の方式で動作するように構成されてもよい。

【0012】

実施形態によっては、通信システム１００におけるデバイスは、サーバ－クライアント関係を有してもよい。たとえば、デバイス１０２はサーバとすることができ、デバイス１０４はそのクライアントとすることができ、またはその逆も可能である。実装形態によっては、通信システム１００におけるデバイスは、ピアツーピア関係を有してもよい。たとえば、デバイス１０２、１０４は、提供ネットワーク、ピアツーピアネットワークまたは他の種類のネットワークにおけるピアとすることができる。デバイスは、通信システム１００において別の種類の関係を有してもよい。

【0013】

図１に示す実施例では、例示のデバイス１０２、１０４はそれぞれ、他のデバイスと通信するために使用される計算資源（たとえばハードウェア、ソフトウェア、ファームウェア）を有する。実施形態によっては、通信システム１００におけるデバイスは、たとえば、ラップトップ、デスクトップ、ワークステーション、スマートフォン、タブレット、パーソナルデジタルアシスタント、サーバ、サーバクラスタ、メインフレーム、および他の種類のコンピュータシステムなど、様々なシステムにおいて実装可能である。図１に示すように、例示のデバイス１０２は、不揮発性メモリ１１０、揮発性メモリ１１２を含み得るメモリ１２０と、プロセッサ１１４と、インターフェース１１６とを含む。デバイス１０２、１０４のそれぞれは、同一または追加の、または異なるコンポーネントを含んでもよい。デバイス１０２、１０４は、図１に図示され、図１に関して説明するように、または別の方式で動作するように構成可能である。

【0014】

図１に示す実施例では、デバイス１０２、１０４によって表される実体は、コンピューティングデバイス、コンピュータシステム、ＩＰアドレスまたはその他のネットワークアドレス、または他の種類のコンピュータ可読識別子またはコンピュータ資源のインスタンスに対応し得る。したがって、各実体の計算およびその他の動作は、それぞれのデバイス１０２、１０４の１つまたは複数のプロセッサまたはその他の要素によって行われてもよい。同様に、実体に送信されるかまたは実体によって受信される情報は、それぞれのデバイス１０２、１０４の要素（たとえば、１つまたは複数のプロセッサ、メモリまたはインターフェース）に送信されるかまたは要素によって受信可能である。

【0015】

例示の不揮発性メモリ１１０は、データの長期持続記憶のために使用可能である。不揮発性メモリ１１０は、たとえば、ストレージデバイス（たとえば読み取り専用メモリ（ＲＯＭ）、フラッシュメモリ、光ディスク）、ハードディスクドライブ（ＨＤＤ）、または他の同様の種類の不揮発性記憶媒体を含み得る。揮発性メモリ１１２は、たとえばプロセッサ１１４によってアクセスされ、実行される命令およびデータを記憶するために、プロセッサ１１４の動作時に使用可能である。揮発性メモリ１１２は、たとえば、ダイナミックＲＡＭ（たとえばダイナミックダブルデータレートシンクロナスダイナミックＲＡＭ（ＤＤＲ ＳＤＲＡＭ））などの特定の種類のランダムアクセスメモリ（ＲＡＭ）を含み得る。

【0016】

オペレーティングシステム、コンピュータアプリケーション、またはその他の資源に関連する命令（たとえばコンピュータコード、コンピュータプログラムなど）を、不揮発性メモリ１１０、揮発性メモリ１１２、またはこれらの組み合わせに記憶することができる。さらに、不揮発性メモリ１１０、揮発性メモリ１１２、またはこれらの組み合わせは、デバイス１０２上で稼働する１つまたは複数のアプリケーションまたは仮想マシンによって解釈可能なアプリケーションデータおよびデータオブジェクトも記憶することができる。デバイス１０２は、事前プログラム可能であるか、または、別の供給源から（たとえば、取り外し可能メモリデバイスから、リモートサーバから、データネットワークから、または他の方式で）プログラムをロードすることによってプログラム（および再プログラム）可能である。場合によっては、不揮発性メモリ１１０、揮発性メモリ１１２、またはこれらの組み合わせは、プロセッサ１１４によって解釈されるかまたは実行される、ソフトウェアアプリケーション、スクリプト、プログラム、関数、実行可能ファイルまたはその他のモジュールのコンピュータ可読命令を記憶する。たとえば、コンピュータ可読命令は、図９に示し、以下で詳述する動作のうちの１つまたは複数の動作を行うように構成可能である。

【0017】

図１に示す例示のデバイス１０２において、プロセッサ１１４は、たとえばデータ入力に基づいて出力データを生成する命令を実行することができる。たとえば、プロセッサ１１４は、不揮発性メモリ１１０、揮発性メモリ１１２またはこれらの組み合わせに記憶されている、ソフトウェア、スクリプト、プログラム、関数、実行可能ファイル、またはその他のモジュールを実行または解釈することによって、コンピュータプログラムを実行することができる。場合によっては、プロセッサ１１４は、図９に示し、以下で詳述する動作のうちの１つまたは複数の動作を行ってもよい。

【0018】

図１に示す例示のプロセッサ１１４はアナログ回路、デジタル回路またはこれらの組み合わせを含む、１つまたは複数のチップまたはチップセットを含むことができる。場合によっては、プロセッサ１１４は、たとえば１つまたは複数のメインプロセッサと１つまたは複数のコプロセッサなどの複数のプロセッサデバイスを含む。たとえば、プロセッサ１１４は、特定の計算タスクを暗号コプロセッサに委譲することができるメインプロセッサを含むことができ、暗号コプロセッサは、それらの計算タスクをメインプロセッサよりも効率的に、または他のプロセッサデバイスによって行われる他の計算タスクと並列して行うように構成可能である。場合によっては、プロセッサ１１４は、たとえばユーザインターフェース、通信インターフェース、周辺装置および場合によってはその他のコンポーネントなど、デバイス１０２の他のコンポーネントの動作を連係させ、または制御する。

【0019】

図１に示す例示のデバイス１０２では、インターフェース１１６が（たとえばチャネル１０６を介して）他のデバイスとの通信を提供する。場合によっては、インターフェース１１６は、様々な無線プロトコルまたは標準規格を使用して無線通信を提供する無線通信インターフェースを含む。たとえば、インターフェース１１６は、Ｂｌｕｅｔｏｏｔｈ、Ｗｉ-Ｆｉ、ニアフィールド通信（ＮＦＣ）、ＣＤＭＡ、ＴＤＭＡ、ＰＤＣ、ＷＣＤＭＡ、ＣＤＭＡ２０００、ＧＰＲＳ、ＧＳＭまたはその他の形態の無線通信によって無線通信を提供してもよい。そのような通信は、たとえば、無線周波数送受信器または他の種類のコンポーネントを介して行われてもよい。場合によっては、インターフェース１１６は、たとえばネットワークアダプタを介して、たとえばキーボード、ポインティングデバイス、スキャナ、または交換機またはルータなどのネットワークデバイスなど、１つまたは複数の入力／出力デバイスに接続可能な有線通信インターフェース（たとえばＵＳＢ、Ｅｔｈｅｒｎｅｔ）を含む。

【0020】

例示のチャネル１０６は、コネクタ、データ通信ネットワーク、または他の種類の通信リンクのすべてまたは一部を含むことができる。たとえば、チャネル１０６は、１つまたは複数の有線または無線接続、１つまたは複数の有線または無線ネットワークまたはその他の通信チャネルを含むことができる。チャネル１０６は、任意の空間分布を有し得る。チャネル１０６は、パブリック、プライベートであってもよく、またはパブリックおよびプライベートである態様を含んでもよい。たとえば、実施例によっては、チャネル１０６は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、仮想プライベートネットワーク（ＶＰＮ）、インターネット、ピアツーピアネットワーク、セルラネットワーク、Ｗｉ-Ｆｉネットワーク、パーソナルエリアネットワーク（ＰＡＮ）（たとえばＢｌｕｅｔｏｏｔｈ低エネルギー（ＢＴＬＥ）ネットワーク、ＺｉｇＢｅｅネットワークなど）、またはマシンツーマシン（Ｍ２Ｍ）通信を含むその他の短距離ネットワーク、または他の種類のデータ通信ネットワークのうちの１つまたは複数を含む。

【0021】

図の実施例では、量子対応敵対者１０８は、量子計算資源にアクセスすることができる。たとえば、量子対応敵対者１０８は、量子コンピュータ、量子情報プロセッサ、量子メモリ、量子通信インターフェース、またはこれらの組み合わせ、および場合によってはその他の量子技術であり得るか、含むことができるか、またはアクセス可能である。実施形態によっては、量子対応敵対者１０８は、たとえば古典的フロントエンドプロセッサによって駆動される量子プロセッサを含むハイブリッドコンピューティングシステム、または他の種類のハイブリッドコンピューティングシステムを含み得る。

【0022】

一部の例では、量子対応敵対者１０８は、量子システムにおいて情報を記憶し、処理することができる。たとえば、量子対応敵対者１０８は、情報を量子ビット（「キュービット」）として符号化し、キュービットを操作することによってその情報を処理する。情報は、物理キュービット、論理キュービットまたはこれらの組み合わせおよび他の種類のキュービット符号化で符号化可能である。実装形態によっては、量子対応敵対者１０８は、フォールトトレラント機構において動作することができるか、または量子対応敵対者１０８はフォールトトレラント機構の下で動作可能である。

【0023】

多くの公開鍵暗号システムが、スケーラブル量子コンピュータを装備している攻撃者に対して安全でないことが知られている。公開鍵暗号法に対する量子コンピュータの脅威は、量子攻撃に対して脆弱でないと考えられている他の公開鍵システムに切り換えることによって軽減することができる。たとえば、量子脆弱であると考えられている特定のＲＳＡベースまたはＥＣＣベースの暗号システムに代わる耐量子として特定のハッシュベースの署名スキームが提案されている。

【0024】

実装形態によっては、例示の量子対応敵対者１０８は、量子コンピューティングアルゴリズムを実行し、量子コンピューティング回路または量子通信プロトコルを実行し、または他の種類の量子情報処理タスクを行うことができる。図の実施例では、量子対応敵対者１０８は、古典的コンピュータ上で実施するのが困難であると考えられている問題を量子対応敵対者が効率的に解くことを可能にする、ショアのアルゴリズムを実行することができる。たとえば、量子対応敵対者１０８は、ショアのアルゴリズムを使用して大きな整数を因数分解し、離散対数を求め、または場合によってはその他の問題を計算効率のよい方式で解くことができる。したがって、例示の量子対応敵対者１０８は、（たとえば、公開情報に基づく証明機関またはその他の機関の公開鍵を計算することによって）特定の量子脆弱暗号システムのセキュリティを脅かすことができる。

【0025】

図１に示す例示の量子対応敵対者１０８は、チャネル１０６上でやり取りされる情報にアクセスすることができる。たとえば、量子対応敵対者１０８は、デバイス１０２、１０４間でやり取りされる情報の一部または全部にアクセスすることができる。場合によっては、量子対応敵対者１０８は、チャネル１０６上の通信内容を直接観察することができ、場合によっては、量子対応敵対者１０８は、たとえば別の実体またはシステムによってチャネル１０６上で観察された情報を受信することによってそのような通信内容を間接的に入手することができる。

【0026】

実装形態によっては、量子対応敵対者１０８は、整数を因数分解し、離散対数を計算し、またはその他の古典的には困難な計算タスクを、特定の暗号システムのセキュリティを脅かすのに十分な高速で行うことができる。たとえば、量子対応敵対者１０８は、特定のＲＳＡベースの暗号システムを脅かすのに十分な高速で素因数を計算することができ、または特定のＥＣＣベースの暗号システムを脅かすのに十分な高速で離散対数を計算することができる可能性がある。

【0027】

図１に示す実施例では、デバイス１０２、１０４は、例示の量子対応敵対者１０８によって脅かされることが不可能な耐量子暗号システムを使用することができる。たとえば、デバイス１０２、１０４は、ショアのアルゴリズム、または特定の従来の暗号標準規格のセキュリティを脅かすことが知られている他の種類のアルゴリズムを効率的に実行することができる量子コンピュータに対して安全な暗号システムを使用して通信可能である。

【0028】

実装形態によっては、デバイス１０２、１０４は、各ノードが、受信したメッセージの送信者を検証することができるようにするデジタル署名スキームを使用する。デバイス１０２、１０４は、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４、図５、図６、図７、図８、図９のいずれか１つまたは複数の図に示すかまたは関連して説明する例示の技術を使用することができ、または、デバイス１０２、１０４は、チャネル１０６で通信するためにこれらの技術の変形およびその他の技術を使用してもよい。

【0029】

実装形態によっては、デバイス１０２、１０４は、チャネル１０６を介した通信でハッシュベースの署名スキームを使用する。このハッシュベースの署名スキームは、デジタル署名を生成し、検証するためにＯＴＳスキームと暗号ハッシュ木とを使用してもよい。ハッシュベースの署名スキームとともに使用可能なＯＴＳスキームの例には、ランポート－ディフィーＯＴＳスキームおよびウィンターニッツＯＴＳスキームが含まれる。実装形態によっては、署名デバイス（１０２または１０４）は一度に暗号ハッシュ木のノードのサブセットのみを記憶し、図２Ａ～図９に関して以下で説明するように木走査を管理する。

【0030】

図２Ａは、ハッシュベースの署名スキームとともに使用するための例示の暗号ハッシュ木２００Ａを示す図である。場合によっては、暗号ハッシュ木２００は多数のレベルを有することがあり（たとえば約１０レベル、２０レベルまたはそれより多くのレベルの高さを有する）、木におけるノードを全部（たとえばスマートカードなどメモリが制約されているデバイス上で）記憶するのは最適ではないかまたは不可能な場合がある。一方、暗号ハッシュ木における葉ノードの生成のコストは、検証鍵を生成するのに必要なハッシュ演算の数によって測定される。後者の場合、必要メモリ量は小型デバイスに収まるのに十分に低減可能であるが、署名生成時間がかかりすぎて実用的ではない可能性がある。場合によっては、本明細書に記載の木走査スキームは、図２Ａ～図９に示す技術を採用してメモリオーバーヘッドが妥当に少ない高速署名生成を実現するように、署名時のプロセッサ使用を最小限にするかまたはその他により低減することできる。

【0031】

概要として、図２Ａに簡略化されたハッシュ木を示す。場合によっては、鍵ペア生成時に完全なハッシュ木が計算される。この実施例では、ハッシュ木は、ノードがその２つの子ノードの連結のハッシュである２分木である。高さＨのハッシュ木はＨ＋１のレベルを有し、最下部ノードがレベル０であり、ルートノードがレベルＨにある。レベルｉにおけるノードｌ_iの数は以下により与えられる。
ｌ_i＝２^H-i， ｉ＝０，１，．．．，Ｈ
各レベルｉにおいて、ノード位置は左から右の順に０～２^H-i－１でインデックス付けされる。この実施例では、偶数インデックスを有するノードを左ノード（または左側ノード）と呼び、奇数インデックスを有するノードを右ノード（または右側ノード）と呼ぶ。場合によっては、ノード位置は異なる開始インデックスに基づいてインデックス付けされてもよい。たとえば、開始インデックスが奇数、たとえば開始インデックス＝１の場合、奇数インデックスは左ノードであり、偶数インデックスは右ノードである。場合によっては、ノードが左ノードであるか右ノードであるかは、走査順序によって決まることがある。

【0032】

ハッシュ木のレベルｉ，ｉ＝１，２，．．．，Ｈおよび位置ｊ，ｊ＝０，１，．．．，２^H-i－１における中間ノード（たとえばレベル０より上位のレベルにあるノード）の値

【数1】

は、その子ノードから、ハッシュ関数

【数2】

によって計算され、ここで｜｜は連結を示し、Ｈａｓｈ（・）は暗号ハッシュ関数である。葉ノード（たとえばレベル０におけるノード）

【数3】

、ｊ＝０，１，．．．２^H－１、の値は、基礎にあるＯＴＳアルゴリズムの対応する検証鍵のハッシュ

【数4】

であり、ここでＯＴＳ＿Ｖｅｒ_jは、ＯＴＳインデックスｊにおけるＯＴＳ検証鍵である。

【0033】

中間ノード

【数5】

は、ハッシュ木の部分木を一意に識別することに留意されたい。したがって、中間ノードが選択された後は、そのような部分木の左端の葉ノードを以下のように容易に識別することができる。

【0034】

【数6】

【0035】

一部のＯＴＳアルゴリズムはハッシュベースである。一部のＯＴＳアルゴリズムの例（たとえばウィンターニッツＯＴＳ）は構成要素として、署名鍵と検証鍵と署名とを含む。場合によっては、ＯＴＳ署名鍵ＳｉｇＫｅｙを使用して、ＯＴＳ検証鍵が以下のように計算される。
ＯＴＳ＿Ｖｅｒ＝ＯＴＳＰＵＢ（Ｓｉｇ＿Ｋｅｙ）

【0036】

ＯＴＳ署名アルゴリズムは、署名鍵ＳｉｇＫｅｙと入力メッセージｍとから以下のようにＯＴＳ署名ＯＴＳ＿Ｓｉｇを生成することができる。
ＯＴＳ＿Ｓｉｇ＝ＯＴＳＳＩＧ（ｍ，ＳｉｇＫｅｙ）

【0037】

ＯＴＳ検証アルゴリズムを使用して、以下のように候補ＯＴＳ検証鍵を計算することができる。
ＯＴＳ＿ＶｅｒＲｅｓｕｌｔ＝ＯＴＳＶＥＲ（ｍ，ＯＴＳ＿Ｓｉｇ）

【0038】

ＯＴＳ署名は、ＯＴＳ＿ＶｅｒＲｅｓｕｌｔがＯＴＳ＿Ｖｅｒと等しい場合に正当である。

【0039】

この実施例では、ハッシュベースの署名スキームにおけるデジタル署名は
（ｑ，ＯＴＳ＿Ｓｉｇ_q，ＡｕｔｈＰａｔｈ_q）
として与えられ、ここで、
ｑは、ハッシュ木におけるレベル０の葉、たとえば

【0040】

【数7】

の位置に対応する署名－検証鍵ペアの位置を示すＯＴＳインデックス（署名インデックスの一例）であり、
ＯＴＳ＿Ｓｉｇ_qは、インデックスｑによって表される位置のＯＴＳであり、
ＡｕｔｈＰａｔｈ_qは、ハッシュ木における複数の認証ノードからなる

【0041】

【数8】

の認証パスである。

【0042】

図２Ａに示す実施例では、認証パスはハッシュ木の各レベルからのノードのセットとして表される。ハッシュ木の各ノード（ルート以外）は、兄弟ノードと呼ばれる別のノードと共通の親を共有する。認証パスは、葉ノードからルートまでの経路上のノードの兄弟であるノードを含む。場合によっては、認証パスは、Ｈ個のノード値を含むことができ、そのそれぞれが０～Ｈ－１のハッシュ木の異なるレベルに対応する。レベルＨノードは、公開鍵であるルートノードであるため除外される。したがって、受信側／検証側はすでにこの値を持っている。

【0043】

図２Ａの実施例では、特定のＯＴＳの認証パスのノードが陰影付きノードによって示されている。認証パスに必要なノードが記憶されていない場合、それらのノードは再計算の必要があることになる。場合によっては、高さＨの木の各木ノードの計算は２^HのＯＴＳ検証キー計算と２^H－１のハッシュ演算とを要し得る。したがって、たとえば高さ１４のハッシュ木は、１６，３８３の木ノードハッシュ演算と１６，３８４のＯＴＳ検証鍵計算とを必要とし得る。ＯＴＳ検証鍵計算は、さらに２^W×ｐのハッシュ演算を必要とすることがあり、ここでｗとｐはウィンターニッツＯＴＳスキームのパラメータである。

【0044】

場合によっては、署名演算時の葉ノード計算の数は、キャッシュメモリを使用してハッシュ木の各レベルのノードのサブセットを記憶することによって削減することができる。たとえば、右ノードをキャッシュメモリに記憶し、認証パス構築のために再使用してもよい。一方、左ノードは、必要な子ノード値が過去の署名生成においてすでに計算されているため、容易に計算可能である。

【0045】

図２Ｂに、２つの層に分けられている高さＨの暗号ハッシュ木２００Ｂの一例を示す。図のように、木の上部は、固定された高さＨ－Ｋであり、ここで、０＜Ｋ＜Ｈである。ＴｏｐＮｏｄｅｓＣａｃｈｅは、図２Ｂに示す「上位ノード」からの選択ノードを記憶するメモリコンポーネントである。場合によっては、木の上部におけるすべての右ノードの値がＴｏｐＮｏｄｅｓＣａｃｈｅに記憶されてもよい。

【0046】

やはり図２Ｂの実施例に示すように、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅは、木の下部Ｋ個のレベルの特定のノードが記憶されるメモリコンポーネントである。これらのノードは、図２Ｂで「部分木」として示されている。「部分木」のノードを決定するための例示のプロセスについては以下で説明する。場合によっては、Ｋ個のレベルの特定のノードのみがＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅに記憶され、Ｋ個のレベルにおける完全ハッシュ木のノードの残りの部分は記憶されず、「非格納」ノードとして図示されている。場合によっては、ノードの生成は、左から右に移動するスライド窓の動きをする。場合によっては、ＯＴＳインデックスに沿って左から右にＯＴＳ署名が生成されるにつれて、ハッシュ木の後続の右ノード値が準備され、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅに記憶される。場合によっては、たとえば以下で述べるように葉計算の生成物としてＯＴＳ状態が準備されるＯＴＳＣａｃｈｅが採用される。

【0047】

図３Ａおよび図３Ｂは、暗号ハッシュ木のノードの配列表現を示す実施例である。図３Ａで、配列３１０Ａは、例示のハッシュ木の上部のノードを記憶するメモリを表す。この実施例では、ハッシュ木の上部は高さがＨ－Ｋであり、たとえば図２Ｂに示す「上位ノード」である。場合によっては、ハッシュ木３００Ａの「上位ノード」におけるすべての右ノードの値が記憶され、木レベルｋと位置ｉとによってインデックス付けされる。場合によっては、配列３１０Ａは、初期設定時に２^H-K-1個のノードを含み、ハッシュベースの署名スキーム鍵ペアの存続期間にわたって変化する。実装形態によっては、配列３１０Ａは、アイツィンガーの方法によって２分木レイアウトで最上部木のノードを記憶する。図の実施例では、２分木の右ノードが、レベルと位置とに基づく配列における順序で、たとえばＡからＧの順に記録される。

【0048】

図３Ｂで、配列３３０Ｂは、ハッシュ木の下位Ｋレベルの部分木、たとえば図３Ｂに示す部分木３２０Ｂの選択ノードを記憶するメモリを表す。場合によっては、配列３３０Ｂは、特定の数のノード値によって初期設定され、その後、署名生成のたびに更新される。場合によっては、配列３３０Ｂは、２^K＋（Ｋ－２）個のノードのためのスペースを有する特別な循環バッファとして実装される。場合によっては、部分木のノードは２分木レイアウトの配列３３０Ｂには記憶されない。その代わりに、場合によっては、それらのノードは、配列３１０Ｂからのノードの除去がハッシュベースの署名スキームにおけるノードの存続期間と一致するように順序付けされる。これを実現するために、実装形態によっては、配列３１０Ｂは、右ノードを、木の順次走査を実行するときに出現する順序で記憶する、循環バッファである。その結果は、ノードの存続期間によって順序付けられた配列である。言い換えると、認証パス計算において木の左側のノードが最初に使用され、一方、木の右側のノードは最後に使用されることになる。同様に、配列３３０Ｂの左側のノード（最下位インデックス）が右側のノード（最上位インデックス）よりも先に除去され得る。たとえば、図３Ｂに示す配列３３０Ｂにおけるノードは、ノードＤ、Ｂ、Ｅが最も存続期間が短く、先に（左から右の順に）除去され、一方ノードＡ、Ｃ、Ｇが最も存続期間が長く、最後に（左から右の順に）除去されるような順序で除去可能である。

【0049】

実装形態によっては、将来の部分木のノードはノードの順次走査を可能にする方式では作成されない。たとえば、配列内のノードは循環バッファにおいて逆辞書式順序で配列されてもよい。場合によっては、たとえば図５に関して後述するように、将来の部分木がノードごとに構築されるときに、配列に逆辞書式順序でノードを挿入するために逆関数が使用されてもよい。

【0050】

図４に、暗号ハッシュ木４００のノードを管理するスキームの一例を示す。実装形態によっては、ハッシュベースの署名スキームは、たとえば図４に示すＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０などのバッファメモリ配列を使用してハッシュ木のノードを管理する。場合によっては、例示のＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０は、アクティブ部分木ノードと将来の部分木ノードの両方を同じバッファメモリ配列で維持する。アクティブ部分木と将来の部分木とは、それぞれ、暗号ハッシュ木のより下位のレベルからのノードを有する高さＫの部分木である。実装形態によっては、アクティブ部分木は、たとえば現在の署名インデックスｑに関連付けられた署名鍵に基づいて署名および認証パスを生成するために使用される部分木であり、一方、将来の部分木は、アクティブ部分木が使い果たされた（たとえばそのＯＴＳ署名鍵のすべてが使用された）後で（たとえば署名インデックスが最終的に将来の部分木に関連付けられた値まで進められたときに）署名を生成するために将来の部分木を使用することができるように、ノードごとに漸進的に構築される。たとえば、アクティブ部分木が使い果たされる時点までに、将来の部分木が完全に構築され、アクティブ部分木になる準備が整っていることが可能である。

【0051】

図４に示す実施例では、アクティブ部分木のノードのサブセットがＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０内のインデックス付き場所の第１のセット（インデックス３、４、５、６を有する場所）に記憶され、一方、将来の部分木のノードのサブセットは、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０内のインデックス付き場所の第２のセット（インデックス８、０、１を有する場所）に記憶される。図４の例示のＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０は、循環バッファメモリで実装され、インデックス付き場所の第１のセット（インデックス３、４、５、６を有する場所）は連続しており、インデックス付き場所の第２のセット（インデックス８、０、１を有する場所）も連続している。

【0052】

実装形態によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０は、縮小するアクティブ部分木と増大する将来の部分木とが単一の共有記憶配列に記憶されるように、循環バッファ配列として実装される。場合によっては、各部分木内のノードは、たとえばＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０が以下の特性を備えて実装される場合に、循環バッファ内の記憶場所を有するように保証される。すなわち、（１）デジタル署名が計算されるにつれてアクティブ部分木の記憶ノードの数が減少し、したがって循環バッファ内の記憶スペースが開放され、（２）将来の部分木の記憶ノードの数が１署名当たり１個の新規ノードの割合で増加し、循環バッファ内の開放された記憶スペースを占有する。実装形態によっては、減少するアクティブ部分木ノードは、ノードが除去されてもバッファ内で断片化しない。逆に、記憶アクティブ部分木は、減少しても連続的なままである。これにより、将来の部分木ノードは増大してキャッシュ内の連続空きスペースに入りこんでいくことができる。循環バッファの使用は、アクティブ部分木と将来の部分木の使用スペースと未使用スペースが連続的なままであるように保証することができる。したがって、場合によっては、将来の部分木の新規ノードを循環バッファメモリに記憶することにより、循環バッファメモリ内のインデックス付き場所の第１のセットと第２のセットとの間の１つまたは複数の境界がシフトし得る。

【0053】

場合によっては、署名が生成された後、アクティブ部分木内の特定のノードが、いかなる将来の署名または認証パス計算でも使用されなくなる。場合によっては、これらのノードは除去されるかまたはその兄弟ノードに置き換えられる。場合によっては、署名が計算され、使用されるにつれて、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０のアクティブ部分木ノードが記憶されている部分が縮小する。一方、将来の部分木も、漸進的に構築されるように署名生成後に更新する。実施例によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０の将来の部分木ノードが記憶される部分は、各新規ノードの追加により増大する。実装形態によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０は、将来の部分木からのノードがアクティブ部分木のノードを上書きしないように、循環バッファを管理するためのインデックス付け関数によって管理される。

【0054】

図４の実施例では、アクティブ部分木は、署名インデックスの現在の値が０～７の範囲内である場合に、署名を生成するために使用される。インデックス７について署名が生成されると、アクティブ部分木はＯＴＳ署名鍵の範囲外となり、アクティブ部分木のノードはそれ以上必要ではなくなる。この場合、将来の部分木がアクティブ部分木になり、８～１５などの範囲の署名インデックスの値について署名が生成されることになる。図４にさらに示すように、アクティブ部分木ノード、たとえばＡ、Ｆ、ＣおよびＧ（インデックス３、４、５および６に記憶されている）と将来の部分木ノードＸ、Ｚ、Ｙ（インデックス８、０および１にそれぞれ記憶されている）が同じメモリ（ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０）を共有する。

【0055】

図４に示すように、アクティブ部分木における現在の署名場所はインデックス４にあり（署名インデックスｑ＝４）、認証パスはアクティブ部分木におけるノードＡ、ＦおよびＣを含む。場合によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０はハッシュ木の下位Ｋ個のレベルにおける認証パスノードのみを記憶する。実装形態によっては、図のように、アクティブ部分木ノードは連続した場所にまとめてグループ化され、将来の部分木ノードも連続した場所にまとめてグループ化される。場合によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅが循環バッファであるためノードのグループはラップアラウンドし得る。実装形態によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅは固定サイズである。図４の実施例では、将来の部分木ノードＸはＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０のインデックス８における最後のスロットにあり、将来の部分木ノード（たとえばＺおよびＹ）がそれぞれインデックス０および１における循環バッファの先頭にラップアラウンドする。場合によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅのアクティブ部分木の部分は線形に縮小しない。たとえば、アクティブ部分木ノード部分は、署名生成ごとに０個、１個またはそれ以上のノードだけ減少し得る。一方、将来の部分木ノード部分は、署名生成ごとに１つのノードの一定した割合で増大し得る。

【0056】

実装形態によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅのノードを作成するためにアルゴリズムが使用されてもよい。場合によっては、ノードを作成するためのアルゴリズムは、Ｍ． Ｓｚｙｄｌｏによる“Merkle Tree Traversal in Log Space and Time” (Advances in Cryptology, EUROCRYPTO 2004, pp. 541-554)という名称の公開文献に記載されている従来のＴｒｅｅＨａｓｈアルゴリズムの変形に基づいてもよい。実施例によっては、ノードを作成するアルゴリズムは、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ（たとえば図４に示すＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０）の状態を管理するために、スタック構造体ではなく循環バッファを使用する。本明細書に記載のシステムおよび技術では、部分木の葉ノードを降順に反復する（部分木を従来のＴｒｅｅＨａｓｈアルゴリズムと比較して逆順に有効に構築する）アルゴリズムを「ＴｒｅｅＨａｓｈ_v」と呼ぶ。

【0057】

したがって、本明細書に記載のＴｒｅｅＨａｓｈ_v（）関数は、ＴｒｅｅＨａｓｈ変形アルゴリズムの１回の反復回を計算する。この関数は、作成された葉ノードの場所を示すインデックスｓにおける葉ノード

【数9】

と、計算する導出右側ノードの高さであるｈとを入力とする。この関数は、木内の新たに作成されたノードのノード値を返す。実施例によっては、ＴｒｅｅＨａｓｈ_v（）アルゴリズムは、以下のように動作し得る。
１．

【0058】

【数10】

とする。
２．ｉ＝０→ｈについて：
ａ．ｒ＝ＧｅｔＡｕｔｈＰａｔｈＩｎｄｅｘ（ｑ，ｉ）とする。
ｂ．ＳｉｂｌｉｎｇＮｏｄｅ＝ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ_rとする。
ｃ．ＴｅｍｐＮｏｄｅ＝ＮｏｄｅＣａｌｃ（ＴｅｍｐＮｏｄｅ，ＳｉｂｌｉｎｇＮｏｄｅ）。
３．ＴｅｍｐＮｏｄｅを返す。

【0059】

図５に、暗号ハッシュ木の部分木５００のノードの例示の作成順序を示す。実装形態によっては、部分木５００のノードのそれぞれがＴｒｅｅＨａｓｈ_vアルゴリズムを使用して生成可能である。場合によっては、図５に示す例示の作成順序に従って作成されたノードが、図３Ｂに示す配列３３０Ｂを生じさせるようにメモリに格納される。図５に示す実施例では、ノードＡ（インデックス７）が最初に作成され、次にＡの兄弟ノード（インデックス６）が作成される。ノードＢを生成するためにノードＡとその兄弟ノードがＮｏｄｅＣａｌｃ（）に入力される。場合によっては、ＴｒｅｅＨａｓｈ_v関数の特性は、それぞれの親ノードを作成するためにすべての必要な兄弟ノードが利用可能であることである。したがって、ノードＤを作成するために、ノードＣの兄弟（インデックス４）がノードＣ（インデックス３）と結合されてＢの兄弟ノードが生成され、これが次にノードＢと結合されてノードＤが生成される。この実施例では、ノードＧの兄弟である部分木の左端の葉ノードは、その計算から右ノードが得られないため、決して計算されない。したがって、このノードは無視されてもよい。さらに、以下の例示のＴｒｅｅＨａｓｈ_vアルゴリズムは、すべての使用ノードを廃棄しない。その代わりに、図５で強調して示されているように、右ノードが保存され、左ノードが廃棄される。したがって、ＴｒｅＨａｓｈ_vアルゴリズムは、ＴｏｐＮｏｄｅｓＣａｃｈｅとＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅと、（実装される場合）ＯＴＳＣａｃｈｅとのより良好な統合を可能にし得る。

【0060】

実装形態によっては、暗号ハッシュ木を管理するために特定の状態変数が維持される。実施例によっては、以下の状態変数が維持される。すなわち、（１）ＯＴＳ署名インデックスｑ、（２）ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅの状態、および（３）ＴｏｐＮｏｄｅｓＣａｃｈｅの状態である。場合によってはその他の変数が維持されてもよい。

【0061】

実装形態によっては、署名インデックスｑはハッシュベースの署名スキームの状態を表す。署名インデックスｑは、再使用を防止するために、署名を生成するために使用されたＯＴＳ署名鍵を追跡する。署名インデックスｑは、署名計算ごとに１ずつインクリメントされ、たとえばｑ＝ｑ＋１となる。ＯＴＳ署名インデックスｑの値は、次の署名生成に使用されるインデックスを示す。

【0062】

実施形態によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅおよびＴｏｐＮｏｄｅｓＣａｃｈｅの状態および内容も、連続した署名生成ごとに変化する。たとえば、場合によっては、署名インデックスｑは、キャッシュの状態を判定するため、たとえばキャッシュが更新を必要としているか否かを判定するために使用され、場合によっては特定のノードがバッファに入っているか否かを判定するためにｑが使用される。

【0063】

実装形態によっては、キャッシュ、たとえばＴｏｐＮｏｄｅｓＣａｃｈｅおよびＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅの状態は、現在の署名インデックスｑの認証パスを生じさせる。場合によっては、署名後、キャッシュは署名インデックスの次の値ｑ＋１の認証パスを生じさせることができる状態に更新される。場合によっては、更新によってＴｏｐＮｏｄｅｓＣａｃｈｅおよびＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ内の特定のノードが無効化され、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅに別のノードが導入される。

【0064】

図６に、アクティブ部分木６１０、６２０の例示の更新動作を示す。この実施例では、署名インデックスｑは、左の部分木６１０に示すインデックス０に初期設定される。署名インデックスの現在の値ｑ＝０についてデジタル署名を生成し、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅを（左の状態６３０から右の状態６４０に）更新した後、右の部分木６２０に示す署名インデックスの次の値ｑ＝１についてデジタル署名を生成するために、署名インデックスが１だけインクリメントされる（たとえばｑ＝ｑ＋１）。図のように、状態６３０、６４０の両方において、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ内のノードから認証パスを見つけることができる。状態６３０、６４０の相違は、右ノードＤ_Rがいずれの将来の認証パスにおいてもノードとして必要ではなくなり、したがってキャッシュから除去されていることである。ノードＤ_Rによって前に使用されていた記憶スペースがキャッシュにおいてその左の兄弟ノードであるＤ_Lによって上書きされる。更新手順の一部の実装形態では、除去され、その対応する左ノードに置き換えられる少なくとも１つの右ノードが常に存在することになる。この実施例では、キャッシュが状態６３０から状態６４０に更新されてもキャッシュ内の他のノードは変化しないままである。

【0065】

実装形態によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ内にノードを記憶する循環バッファを管理するために、インデックス付け関数が使用される。たとえば、Ｓｉｇｍａ関数は、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅに対する動作を行うための汎用関数の一例である。これらの関数は、（たとえばＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅを記憶する）循環バッファの位置インデックスｒを判定する必要がある任意の時点で使用されてもよい。以下において、表記「＆」はビット単位のＡＮＤ演算を示し、「～ａ」は２の補数でのビット単位のＮＯＴ演算（単項）を示し、「ａ｜ｂ」はビット単位のＯＲ演算を示し、「｜ａ｜」はａの絶対値を示す。

【0066】

場合によっては、２分木を線形配列にマッピングするためにアイツィンガーの方法を使用する代わりに、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅの逆辞書式順序付けを使用して２分木を循環バッファにマッピングするために、逆関数が使用されてもよい。場合によっては、（たとえば図３Ｂに示すように）整数ｘを逆辞書式順序にマッピングするために、関数ｒ＝Ｓｉｇｍａ（ｘ）が以下のように動作し、ここでｒは循環バッファ内のインデックス位置である。
１．ｒ＝０とする。
２．ｘ＞０の場合：
ａ．ｔ＝Ｈａｍ（ｘ／２）とし、ここでＨａｍはｘ／２のハミング重みを計算する。
ｂ．ｃ＝２^CTZ(x)とし、ここでＣＴＺはｘの２進形の末尾のゼロの数を返す。
ｃ．

【0067】

【数11】

とする。
ｄ．ｒ＝ｘ－ｔ＋ｂと設定する。
３．ｒを返す。
たとえば、上述の関数を使用すると、整数ｘ＝｛０，１，２，３，４，５，６，７，．．．｝のマッピングの結果、図３Ｂおよび図５に示すように整数ｒ＝｛０，１，３，２，７，４，６，５，．．．｝が得られる。

【0068】

実装形態によっては、ノードの挿入および削除のために循環バッファ内のインデックスを見つけるために関数が使用される。たとえば、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ内のインデックスを判定するために関数Ｄｅｌｔａ（ｑ，ｈ）が使用されてもよく、ここでｑはアクティブ部分木または将来の部分木内の署名インデックス位置であり、ｈは葉レベルから始まって上方に進む対応する部分木内のレベルである。関数Ｄｅｌｔａ（ｑ，ｈ）は、以下のように動作し得る。
１．ｓ＝２^K＋（Ｋ－２）の循環バッファのサイズとする。
２．ａ＝～（２ⁿ－１）とする。
３．ｂ＝（ｑ＆ａ）｜（２ⁿ）とする。
４．ｃ＝ｂ＆（２^K－１）とする。
５．ｄ＝Ｓｉｇｍａ（ｃ）－１とする。
６．

【0069】

【数12】

が奇数の場合、
ａ．ｅ＝－（ｄ＋１）とする。
ｂ．ｆ＝ｅ＋２^k+1－２とする。
ｃ．ｇ＝ｆ ｍｏｄ ｓとする。
ｄ．ｇを返す。
７．それ以外の場合、
ａ．ｄを返す。

【0070】

実装形態によっては、循環バッファから認証パスノードを取得するために関数が使用される。たとえば、関数ＧｅｔＡｕｔｈＰａｔｈＩｎｄｅｘ（ｑ，ｎ）は、循環バッファ内の認証パスノードのインデックスｒを返す。署名インデックスの現行値であるｑを使用して、この関数は認証パスにおけるｎ番目のノードに対応する循環バッファ内のインデックスｒを返す。場合によっては、ｎは認証ノードパス内のノードの数であり、この関数は、各認証パスノードを読み出すために署名インデックスｑの同じ値を使用してｎ回実行されることになる。実装形態によっては、関数ＧｅｔＡｕｔｈＰａｔｈＩｎｄｅｘ（ｑ，ｎ）は以下のように動作する。
１．ｒ＝Ｄｅｌｔａ（ｑ，ｎ）とする。
２．ｒを返す。

【0071】

実装形態によっては、ノード挿入、たとえばＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅの将来の部分木へのノード挿入のために、循環バッファ内のインデックスｒに将来の部分木の葉ノードインデックスｑ’をマッピングするために関数ｒ＝ＧｅｔＩｎｓｅｒｔＩｎｄｅｘ（ｑ’）が使用される。一実施例では、ＧｅｔＩｎｓｅｒｔＩｎｄｅｘ（ｑ）関数は、以下のように、ノード挿入のためのインデックスｒを判定するために（上述の）ＧｅｔＡｕｔｈＰａｔｈＩｎｄｅｘ関数を使用する。
１．ｎ＝ＣＴＺ（ｑ’）とする。
２．ａ＝ｑ’－１とする。
３．ｒ＝Ｄｅｌｔａ（ａ，ｎ）とする。
４．ｒを返す。

【0072】

実装形態によっては、作成される次の新規葉インデックスを判定するために関数が使用される。たとえば、関数ｒ＝ＧｅｔＮｅｘｔＬｅａｆＣａｌｃＩｎｄｅｘ（ｑ）が、部分木において次の葉、たとえば将来の部分木の新規ノードが作成されることになる循環バッファ内のインデックスｒを返す。この関数は、署名インデックスｑの現在の値を入力として使用する。実装形態によっては、ｒ＝ＧｅｔＮｅｘｔＬｅａｆＣａｌｃＩｎｄｅｘ（ｑ）関数は以下のように動作し得る。
１．

【0073】

【数13】

とする。
２．ｂ＝ｑ＆（２^K－１）とする。
３．ｂ＝０の場合、ｃ＝１とし、それ以外の場合はｃ＝０とする。
４．ｄ＝（ａ＋ｃ）×２^Kとする。
５．ｅ＝（２^K－ｂ）＆（２^K－１）とする。
６．ｒ＝ｄ｜ｅとする。
７．ｒを返す。

【0074】

この関数の一部の実施例では、下位レベルの数がＫ＝３の場合、入力ｑ＝｛０，１，２，３，４，５，６，７，．．．｝について結果ｒ＝｛０，１５，１４，１３，１２，１１，１０，９，．．．｝が生成される。この実施例は、署名インデックスｑの値が線形に進行する一方で、結果のｒ個の葉ノードが逆順に作成されることを示している。この場合、署名インデックスｑは、０→２^K－１ノードの範囲をカバーするアクティブ部分木における葉ノードに関連付けられ、一方ｒは２^K→２^K+1－１の範囲をカバーする将来の部分木における葉ノードに関連付けられたインデックスである。この実施例に示すように、将来の部分木は、ＴｒｅｅＨａｓｈ_v関数を使用して降順（逆方向）に構築される。

【0075】

実装形態によっては、ＯＴＳ署名の後の更新時に、特定の右ノードをその左ノード兄弟に置き換えるための関数が使用される。たとえば、この手続きは、図６に関して説明しているように、アクティブ部分木における最下位レベルのノードを更新することができる。場合によっては、この手続きはＴｏｐＮｏｄｅｓＣａｃｈｅにおける最上位ノードを更新する。実施例によっては、関数ｒ＝ＵｐｄａｔａＣａｃｈｅ（ｑ）が現在の署名インデックスであるｑを入力として使用し、以下のように動作する。
１．τ＝ＣＴＺ（ｑ＋１）とする。
２．

【0076】

【数14】

、ｑにおける葉ノードとする。
３．ａ＝ｑとする。
４．ｓ＝ｍｉｎ（τ－１，Ｈ－２）とする。
５．ｈ＝０→ｓについて：
ａ．

【0077】

【数15】

とする。
ｂ．

【数16】

、レベルｈのｎの兄弟ノードとする。
ｃ．ａが奇数の場合、親ノードｎ＝Ｈａｓｈ（ｍ｜｜ｎ）を計算し、それ以外の場合は、ｎ＝Ｈａｓｈ（ｎ｜｜ｍ）を計算する。
ｄ．

【0078】

【数17】

とする。
６．ｓ＜Ｋの場合：
ａ．ｉ＝ＧｅｔＡｕｔｈＰａｔｈＩｎｄｅｘ（ｑ，ｓ）とする。
ｂ．インデックスｉにおいて循環バッファからノードを削除する。
ｃ．インデックスｉにおいて循環バッファにｎを挿入する。
７．それ以外のｓ≧Ｋの場合：
ａ．ｉ＝２^H-s-1－１＋［ｑ／２^s］とする。
ｂ．インデックスｉにおいてＴｏｐＮｏｄｅｓＣａｃｈｅからノードを削除する。
ｃ．インデックスｉにおいてＴｏｐＮｏｄｅｓＣａｃｈｅにｎを挿入する。

【0079】

実装形態によっては、上記のｒ＝ＵｐｄａｔｅＣａｃｈｅｓ（ｑ）関数のステップ７（ａ）は、ＴｏｐＮｏｄｅｓＣａｃｈｅを更新するときにアイツィンガーの方法を使用してノードを記憶するための位置インデックスを判定する。

【0080】

実装形態によっては、ハッシュベースの署名スキームが以下のように初期設定される。ハッシュベースの署名スキーム鍵ペア（たとえば、完全ハッシュ木とすべてのＯＴＳ鍵）が生成され、ＴｏｐＮｏｄｅｓＣａｃｈｅとＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅとが初期設定される。場合によっては、初期設定時に、（カットオフレベルより上の）木の上部の右ノードのすべてが、レベルＨからレベルＨ－Ｋまで順次にＴｏｐＮｏｄｅｓＣａｃｈｅに記憶される。場合によっては、たとえば図３Ａに関して説明したようにアイツィンガーの方法を使用して、ノードがＴｏｐＮｏｄｅｓＣａｃｈｅ内の位置に挿入される。場合によっては、最初のアクティブ部分木のために選択されたノード値によってＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅが初期設定される。場合によっては、たとえばＧｅｔIｎｓｅｒｔＩｎｄｅｘ（ｑ）関数を使用して、図３Ｂに示すように、アクティブ部分木の右ノードがＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅに挿入される。実装形態によっては、ハッシュ木のルートはハッシュベースの署名スキームの公開鍵である。したがって、ルートノード値が公開鍵として返されてもよい。場合によっては、使用されないすべての中間ノード、たとえばＴｏｐＮｏｄｅｓＣａｃｈｅまたはＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅに記憶されていないノードは、メモリから削除される。場合によっては、署名インデックスｑが０に初期化される。実装形態によっては、ＯＴＳ署名鍵が復元可能でない場合、ＯＴＳ署名鍵が記憶されてもよい。署名鍵が復元可能な場合は、シードが記憶されてもよい。

【0081】

実装形態によっては、初期設定の後、ハッシュベースの署名スキームがデジタル署名を生成する。場合によっては、署名インデックスｑについてワンタイム署名を生成するためにＯＴＳアルゴリズムＯＴＳ＿Ｓｉｇ_q＝ＯＴＳＳＩＧ（ｍ，ＳｉｇＫｅｙ_q）が使用される。場合によっては、上述のようにＴｏｐＮｏｄｅｓＣａｃｈｅおよびＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅについて関数を使用して、認証パスＡｕｔｈＰａｔｈ_qが計算される。たとえば、署名インデックスｑの認証パスは、以下の関数によって計算されてもよい。
１．ｈ＝０→（Ｋ－１）について：
ａ．ｒ＝ＧｅｔＡｕｔｈＰａｔｈＩｎｄｅｘ（ｑ，ｈ）とする。
ｂ．

【0082】

【数18】

。
２．ｈ＝Ｋ→（Ｈ－２）について：
ａ．ｉ＝［ｑ／２^h+1］とする。
ｂ．ｂ＝ｉ＋２^h－１とする。
ｃ．

【0083】

【数19】

。
３．ＡｕｔｈＰａｔｈ_qを返す。
場合によっては、上記のステップ２におけるＴｏｐＮｏｄｅｓＣａｃｈｅからの読み出しは、アイツィンガーの方法に従う。

【0084】

実装形態によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅの将来の部分木内の葉ノードが、（たとえば署名後の更新時に）たとえば上述のようにインデックス付け関数を使用して生成される。実施例によっては、葉ノードを生成し、葉ノードをＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅの適切なインデックス場所ｒに記憶するために、以下の関数が使用される。
１．ｒ＝ＧｅｔＩｎｓｅｒｔＩｎｄｅｘ（ｑ＋２^K－１）とする。
２．ｓ＝ＧｅｔＮｅｘｔＬｅａｆＣａｌｃＩｎｄｅｘ（ｑ ｍｏｄ２^K）とする。
３．ｑ ｍｏｄ２^K≠０およびｒ＜２^Hの場合：
ａ．ｈ＝ＣＴＺ（ｓ＋１）とする。
ｂ．

【0085】

【数20】

。／^*インデックスｓにおける葉ノードを生成する。
ｃ．

【数21】

。／^*中間ノードを生成する。
ｄ．

【数22】

。

【0086】

場合によっては、ＯＴＳ＿Ｓｉｇ_q、ＡｕｔｈＰａｔｈ_q、およびｑを使用してワンタイム署名が作成される（たとえばＳｉｇ＝（ｑ，ＯＴＳ＿Ｓｉｇ_q，ＡｕｔｈＰａｔｈ_q））。場合によっては、ＯＴＳ署名生成時に計算された

【0087】

【数23】

を使用し、インデックス関数ＵｐｄａｔｅＣａｃｈｅｓ（ｑ）を使用してＴｏｐＮｏｄｅｓＣａｃｈｅおよびＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅが更新され、署名インデックスｑが次の値（たとえばｑ＝ｑ＋１）に進められる。

【0088】

場合によっては、ハッシュベースの署名スキームが、追加の記憶場所ＯＴＳＣａｃｈｅを使用することができ、それによって記憶域使用を犠牲にしてＣＰＵ使用率を低減するように連係して作用するキャッシュのシステムを提供することができる。図７に示すように、ハッシュ木７００における葉ノードのためにウィンターニッツチェーンから中間ノードが選択され、ＯＴＳ状態で結合される。次に複数のＯＴＳ状態が単一の連続した記憶場所であるＯＴＳＣａｃｈｅで結合されてもよい。ＯＴＳ状態は、１チェーン当たりのハッシュ関数呼び出し数を削減することによって署名の作成の助けとなる。署名時、ＯＴＳスキームの実装形態は、チェーンの最下部から計算を開始するか、またはＯＴＳＣａｃｈｅ内にキャッシュされているノードから開始するかを決定する。

【0089】

実装形態によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅのアクティブ部分木と将来の部分木と連係してＯＴＳＣａｃｈｅが使用され、更新される。たとえば、署名時、アクティブ部分木の部分がインデックスｑにおける所与の葉ノードのための認証パスの部分を提供する。場合によっては、ＯＴＳの計算を容易にするために、ＯＴＳＣａｃｈｅでｑにおけるＯＴＳ状態が照会される。ワンタイム署名を生成するためにその結果のＯＴＳと認証パスとが結合される。

【0090】

場合によっては、署名時、将来の部分木の１つの新規葉ノードが生成される。新規葉ノードの生成の一部として、ＯＴＳ検証鍵が計算される。場合によっては、その計算の一部としてＯＴＳ状態が生成され、ＯＴＳＣａｃｈｅに挿入される。言い換えると、ＯＴＳ状態は葉の計算の副産物である。場合によっては、これはＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅを実装するシステムが、特に、署名時のＯＴＳ状態の除去と、木の更新時の新規ＯＴＳ状態の挿入のために、ＯＴＳＣａｃｈｅをシームレスに使用することができるようにする。場合によっては、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅはＯＴＳＣａｃｈｅへの新規ＯＴＳ状態の挿入を扱い、一方、ＯＴＳ生成プロセスはそれらの除去を扱う。

【0091】

実装形態によっては、選ばれたＯＴＳ状態がＯＴＳＣａｃｈｅに記憶されてもよい。場合によっては、ＯＴＳ状態がＫ個のレベルにおける右ノードの計算の結果として生成されてもよい。場合によっては、署名計算と検証鍵生成の高速化のためにＯＴＳＣａｃｈｅが使用されてもよい。たとえば、図７に示すウィンターニッツＯＴＳ状態を実装する場合に、たとえばウィンターニッツ窓のサイズについて署名鍵に対してハッシュ演算を繰り返し適用する代わりに、ＯＴＳ状態により少ないハッシュ演算を適用することによって対応する検証鍵を計算することができる。

【0092】

実装形態によっては、ＯＴＳＣａｃｈｅはシステム初期設定時に初期設定されてもよく、記憶効率を最大限にするためにＯＴＳ署名後に更新されてもよい。場合によっては、ＯＴＳＣａｃｈｅはＴｏｐＮｏｄｅｓＣａｃｈｅおよびＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅの初期設定後、ＯＴＳインデックスｑの初期設定の前に初期設定される。場合によっては、ＯＴＳＣａｃｈｅには、最初のＫサイズの部分木、たとえばアクティブ部分木の分類に入る２^K－１個のＯＴＳ状態が格納される。場合によっては、ＯＴＳＣａｃｈｅのサイズは一定している。たとえば、実装形態によっては、ＯＴＳＣａｃｈｅは、最初は、場所ＩｎｉｔＬｅａｖｅｓ＝｛１，２，．．．，２^K－１｝における葉ノードに対応するＯＴＳ状態からなる。場合によっては、場所０におけるＯＴＳ状態は除外される。場合によっては、ＯＴＳＣａｃｈｅは、初期ＯＴＳＣａｃｈｅ構成であっても２^K－１個のＯＴＳ状態を超えることはない。図７は、図では強調して示されているＯＴＳＣａｃｈｅに記憶可能な初期ＯＴＳ状態の一例を示している。

【0093】

図８に、暗号ハッシュ木８００に関連するＯＴＳ状態のための例示の記憶方式８１０を示す。この実施例では、ハッシュ木８００は高さＨ＝４で、カットオフレベルがＫ＝２である。図のように、記憶スキーム８１０は、ＯＴＳＣａｃｈｅに連結された、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅに連結されたＴｏｐＮｏｄｅｓＣａｃｈｅを使用する。この実施例では、ＴｏｐＮｏｄｅｓＣａｃｈｅは２^H-K-1－１個のノードのための記憶スペースを有し、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅは、２^K＋（Ｋ－２）個のノードのための記憶スペースを有し、ＯＴＳキャッシュは２^K－１個のＯＴＳ状態のためのスペースを必要とする。これらのキャッシュのサイズはこの実施例では固定的であるため、図８に示すように互いに連結可能である。

【0094】

場合によっては、ＯＴＳＣａｃｈｅは、ＯＴＳ状態の線形配列である。場合によっては、デジタル署名の生成時、署名計算の助けとなるようにＯＴＳＣａｃｈｅでＯＴＳ状態が照会される。ＯＴＳ状態が使用された後は、そのＯＴＳ状態は必要ではなくなり、キャッシュ内で使用していたスペースが解放可能になる。場合によっては、ＯＴＳＣａｃｈｅ内のＯＴＳ状態の場所のインデックスｒを判定するためにｒ＝ＧｅｔＯＴＳＣａｃｈｅＩｎｄｅｘ（ｑ）関数が使用される。この関数は、以下のように動作し得る。
１．ａ＝ｑ＆（２^K－１）とする。
２．［ｑ／２^K］が奇数の場合、ｂ＝２^Kとし、それ以外の場合はｂ＝０とする。
３．ｒ＝｜ａ－ｂ｜－１とする。
４．ｒを返す。

【0095】

ｑ ｍｏｄ２^K≠０の場合、署名インデックスｑのＯＴＳ状態を記憶するＯＴＳキャッシュのインデックスを取得するために、ｒ＝ＧｅｔＯＴＳＣａｃｈｅＩｎｄｅｘ（ｑ）関数が使用されてもよい。その場合、ＯＴＳ状態が署名計算において以下のように使用される。
ＯＴＳＳｔａｔｅ_q＝ＯＴＳＣａｃｈｅ_r
ＯＴＳ＿Ｓｉｇ_q＝ＯＴＳＳＩＧ（ｍ，ＳｉｇＫｅｙ_q，ＯＴＳＳｔａｔｅ_q）

【0096】

場合によっては、ＯＴＳ状態はｑにおける葉ノードを計算するためにも使用することができる。たとえば、ＯＴＳ状態が入手可能な場合、葉ノードは以下のように計算可能である。

【数24】

【0097】

ｑ ｍｏｄ２^K＝０の場合、ＯＴＳキャッシュには使用するＯＴＳ状態がない可能性がある。そのような場合、ＯＴＳキャッシュが鍵ペアに使用されていないかのように、デジタル署名がシード値から計算されてもよい。

【0098】

場合によっては、ＯＴＳＣａｃｈｅは位置インデックスｒにおける新規ＯＴＳ状態で更新される。ＯＴＳＣ状態を使用し、追跡するハッシュベースの署名スキームでは、その新規ＯＴＳ状態を生成するために関数が使用されてもよい。たとえば、ＯＴＳＣａｃｈｅを更新するために使用される関数には、前述の将来の部分木における新規ノードの生成と記憶のために使用される例示の関数の変形が含まれ得る。たとえば、更新は以下のように進行可能である。
１．ｒ＝ＧｅｔＮｅｘｔＩｎｓｅｒｔＩｎｄｅｘ（ｑ＋２^K－１）とする。
２．ｓ＝ＧｅｔＮｅｘｔＬｅａｆＣａｌｃＩｎｄｅｘ（ｑ）ｍｏｄ２^Kとする。
３．ｔ＝ＧｅｔＯＴＳＣａｃｈｅＩｎｄｅｘ（ｑ）とする。
４．ｑ ｍｏｄ２^K≠０およびｒ＜２^Hの場合：
ａ．ｈ＝ＣＴＺ（ｓ＋１）とする。
ｂ．ＯＴＳＳｔａｔｅ_s＝ＧｅｎＯＴＳＳｔａｔｅ（ｓ）。／^*新規ＯＴＳ状態を生成する。
ｃ．

【0099】

【数25】

。／^*新規葉ノードを生成する。
ｄ．

【数26】

。／^*新規将来の部分木ノードを生成する。
ｅ．

【数27】

。
ｆ．ＯＴＳＣａｃｈｅ_t＝ＯＴＳＳｔａｔｅ_s。

【0100】

図９は、ハッシュベースのデジタル署名スキームの例示のプロセス９００を示す流れ図である。例示のプロセス９００は、たとえば、通信チャネルを介して情報をやり取りすることができるコンピュータシステムによって行うことができる。たとえば、プロセス９００の動作は、図１に示す例示の通信システム１００または他の種類のシステムにおけるデバイス１０２、１０４によって行われてもよい。一例として、署名デバイスが図１のデバイス１０２であってもよく、検証デバイスが図１のデバイス１０４であってもよい。例示のプロセス９００は、追加の動作または異なる動作を含んでもよく、動作は図の順序で、または別の順序で行われてもよい。場合によっては、図９に示す動作のうちの１つまたは複数の動作が、複数の動作、サブプロセスまたは他の種類のルーチンを含むプロセスとして実装される。場合によっては、動作は組み合わされ、並列して行われ、反復され、またはその他の方法で繰り返され、または別の方式で行われることが可能である。

【0101】

実施形態によっては、１つまたは複数のキャッシュが暗号ハッシュ木のノード（たとえばマークル木のノードのサブセット）で初期設定される。アクティブ部分木のノードの第１のサブセットが、キャッシュメモリ内のインデクス付き場所の第１のセットに記憶されてもよく、将来の部分木のノードの第２のサブセットがキャッシュメモリ内のインデックス付き場所の第２のセットに記憶されてもよい。アクティブ部分木と将来の部分木とは暗号ハッシュ木の重なり合わないノードであり、各部分木はハッシュ木のカットオフレベルより下位のノードを含む。実装形態によっては、キャッシュメモリは循環バッファメモリである。実施例によっては、アクティブ部分木のノードの第１のサブセットは、アクティブ部分木の右ノード、たとえば図３Ｂに示す部分木３００Ｂの右ノードである。場合によっては、インデックス付き場所の第１のセットは、循環バッファメモリ内の連続した場所（たとえば図４のＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０のインデックス付き場所３、４および５）である。実装形態によっては、ノードは各ノードのそれぞれの存続期間に従ってインデックス付き場所において順序付けられる。たとえば、図３Ｂに、ノードＤが最初に使用され、ノードＢが２番目に使用されることになり、一方、ノードＧが最後に使用され、これらのノードがＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ３３０Ｂに記憶されるときにそれに応じて順序付けられる様子を示す。場合によっては、インデックス付き場所の第２のセットは、循環バッファメモリ内の連続した場所（たとえば、図４のＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０のインデックス付き場所８、０および１）である。場合によっては、第２のキャッシュメモリ（たとえば図２Ｂに示すＴｏｐＮｏｄｅｓＣａｃｈｅ）に、暗号ハッシュ木のカットオフレベルより上位のレベルの右ノードが格納され、第３のキャッシュ配列にアクティブ部分木のＯＴＳ状態が格納される。

【0102】

場合によっては、アクティブ部分木においてノードが使用されるにつれて、インデックス付き場所の第１のセットとインデックス付き場所の第２のセットは右がシフトされる。たとえば、図４で、メモリの最後に達するように将来の部分木のノードを記憶するインデックスが右にシフトされ、将来の部分木のインデックスがメモリＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０のインデックスにラップアラウンドする。またＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０において、アクティブ部分木と将来の部分木のノードがメモリ内の連続した場所に記憶される。場合によっては、アクティブ部分木に関連付けられたキャッシュメモリのインデックス付き場所の第１のセットにおいてノードが枯渇すると、将来の部分木に関連付けられたキャッシュメモリの第２の部分におけるノードがアクティブ部分木ノードになる。

【0103】

９０４で、現在の署名インデックスについてワンタイム署名（ＯＴＳ）が生成される。場合によっては、たとえば図４に示すように、アクティブ部分木に現在の署名インデックスが関連付けられる。

【0104】

９０６で、ＯＴＳの認証パスが生成される。場合によっては、認証パスは、キャッシュメモリのインデックス付き場所の第１のセットのうちの１つまたは複数の場所から取り出された１つまたは複数のノードを含む。図４に示す実施例では、認証パスはアクティブ部分木のノードＡ、ＦおよびＣを含み、これらのノードはインデックス３、４および５におけるＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ４１０から取り出される。場合によっては、認証パスは、暗号ハッシュ木のカットオフレベルより上位の１つまたは複数のノードを含む。図４に示す実施例では、認証パスは、署名インデックス４のカットオフレベルＫより上のノード４２０を含む。

【0105】

９０８で、将来の部分木の新規ノードが生成される。場合によっては、ハッシュベースの署名スキームが署名インデックスの一連の値をたどって進行するにつれて、将来の部分木の新規ノードが暗号ハッシュ木ノード順序の逆の順序で生成される。図５に、ノードの作成の逆順の一例を示し、図４に、将来の部分木の最後のノードＺ、ＸおよびＹがたとえば上述のＳｉｇｍａ関数を使用して先に生成される一実施例を示す。場合によっては、新規ノードの計算は、暗号ハッシュ木の１つの新規葉ノードのみが生成されるだけでよい。場合によっては、新規ノードはキャッシュメモリに記憶され、将来の部分木のノードの第２のサブセットのうちの１つのノードになる。たとえば、新規ノードは将来の部分木がアクティブ部分木になると、たとえばハッシュ木４００のアクティブ部分木の部分に示すように、ノードが順に走査されることができるように循環バッファメモリ内の場所に記憶されてもよい。

【0106】

９１０で、ＯＴＳと認証パスとを含むデジタル署名が生成される。実施例によっては、デジタル署名は、署名側実体から検証側実体に伝達されるメッセージ上の署名である。たとえば、図１に示す実施例でデバイス１０２は他方のデバイス１０４のためのメッセージに基づいてデジタル署名を生成してもよい。デジタル署名は（認証パスおよび公開鍵とともに）、検証側実体が、たとえば、メッセージが改変または破壊されていないことを検証するために、署名側実体からのメッセージの真正性を検証することができるようにする。

【0107】

デジタル署名と認証パスは、次に、通信システムにおける送信のために提供されてもよい。たとえば、図１に示す実施例では、デバイス１０２がチャネル１０６を介した他方のデバイス１０４への送信のための情報を提供してもよい。デジタル署名と認証パスは、たとえば、署名側実体から検証側実体に送信されてもよい。場合によっては、デジタル署名と認証パスは、デジタル署名と認証パスを使用して検証可能なメッセージに関連付けられて送信される。

【0108】

９１２で、キャッシュメモリが更新される。たとえば、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ、ＴｏｐＮｏｄｅｓＣａｃｈｅおよびＯＴＳＣａｃｈｅのうちの１つまたは複数のキャッシュが更新されてもよい。たとえば、ＢｏｔｔｏｍＮｏｄｅｓＣａｃｈｅ、ＴｏｐＮｏｄｅｓＣａｃｈｅを更新するために上述のＵｐｄａｔｅＣａｃｈｅｓ関数が使用されてもよい。

【0109】

９１４で、現在の署名インデックスが次の署名インデックスに前進させられる。署名インデックスの前進により、署名インデックスがＯＴＳ生成のための次の署名鍵に関連付けられた値に変化する。場合によっては、署名インデックスｑは、ｑを１だけインクリメントすることによって、次の値、たとえばｑ＝ｑ＋１に前進させられる。たとえば、図６に署名インデックス値０に関連付けられた状態６３０から署名インデックス１に関連付けられた状態６４０への変化を示す。場合によっては、アクティブ部分木のインデックス付き場所の第１のセットにおける右ノードに関連付けられたインデックスが判定され、その右ノードが左の兄弟ノードに置き換えられる。図６の実施例に示すように、右ノードは認証パス内で使用されなくなるため、キャッシュメモリのインデックス０における右ノードＤ_Rが、キャッシュメモリのインデックス０におけるその兄弟の左ノードＤ_Lに置き換えられる。

【0110】

本明細書に記載の主題および動作の一部は、本明細書で開示されている構造体およびその構造的同等物またはそれらのうちの１つまたは複数の組み合わせを含む、デジタル電子回路で、またはコンピュータソフトウェア、ファームウェアまたはハードウェアで実装可能である。本明細書に記載の主題の一部は、１つまたは複数のコンピュータプログラム、たとえば、データ処理装置によって実行されるか、またはデータ処理装置の動作を制御するための、コンピュータ記憶媒体上で符号化されたコンピュータプログラム命令の１つまたは複数のモジュールとして実装可能である。コンピュータ記憶媒体は、コンピュータ可読ストレージデバイス、コンピュータ可読ストレージ基板、ランダムまたは順次アクセスメモリアレイまたはデバイス、またはこれらのうちの１つまたは複数の組み合わせとすることができるか、またはこれらに含まれることができる。また、コンピュータ記憶媒体は伝播信号ではないが、コンピュータ記憶媒体は人工的に生成された伝播信号で符号化されたコンピュータプログラム命令の供給源または供給先とすることができる。コンピュータ記憶媒体は、１つまたは複数の別個の物理コンポーネントまたは媒体（たとえば複数のＣＤ、ディスクまたはその他のストレージデバイス）であるか、またはこれらに含まれ得る。

【0111】

本明細書に記載の動作の一部は、データ処理装置によって、メモリに（たとえば１つまたは複数のコンピュータ可読ストレージデバイスに）記憶されているかまたは他の供給源から受け取ったデータに対して行われる動作として実装可能である。「データ処理装置」という用語は、たとえばプログラマブルプロセッサ、コンピュータ、１つのチップまたは複数のチップ上のシステム、またはこれらの組み合わせを含む、データを処理するためのあらゆる種類の装置、デバイスおよび機械を包含する。装置は、特殊目的ロジック回路、たとえばＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）を含むことができる。装置は、ハードウェアに加えて、プロセッサファームウェア、プロトコルスタック、データベース管理システム、オペレーティングシステム、クロスプラットフォーム実行時環境、仮想マシンまたはこれらのうちの１つまたは複数の組み合わせを構成する、対象コンピュータプログラムたとえばコードのための実行環境を生じさせるコードも含むことができる。場合によっては、データ処理装置は、１組のプロセッサを含む。１組のプロセッサは同一場所にあってもよく（たとえば同じコンピュータデバイス内の複数プロセッサ）、または互いに異なる場所にあってもよい（たとえば分散コンピューティングデバイスにおける複数プロセッサ）。データ処理装置によって実行されるデータを記憶するメモリは、データ処理装置と同一場所にあってもよく（たとえば同じコンピューティングデバイスのメモリに記憶された命令を実行するコンピューティングデバイス）、またはデータ処理装置とは異なる場所にあってもよい（たとえばサーバデバイス上に記憶された命令を実行するクライアントデバイス）。

【0112】

コンピュータプログラム（プログラム、ソフトウェア、ソフトウェアアプリケーション、スクリプトまたはコードとも呼ばれる）は、コンパイラ言語またはインタプリタ型言語、宣言型言語、または手続き型言語を含む、任意の形態のプログラミング言語で書くことができ、スタンドアロンプログラムとして、またはモジュール、コンポーネント、サブルーチン、オブジェクトまたは、コンピューティング環境での使用に適するその他の単位を含む、任意の形態で配備可能である。コンピュータプログラムは、ファイルシステムにおけるファイルに対応し得るが、必ずしもその必要はない。プログラムは、他のプログラムまたはデータを保持するファイルの一部に（たとえば、マークアップ言語ドキュメントに記憶された１つまたは複数のスクリプト）、そのプログラム専用の単一ファイルに、または複数の連係ファイルに（たとえば１つまたは複数のモジュール、サブプログラムまたはコードの一部を記憶するファイル）記憶可能である。コンピュータプログラムは、１つのコンピュータ上、または１つの場所にあってまたは複数の場所に分散され、通信ネットワークによって相互接続された複数のコンピュータ上で実行されるように配備可能である。

【0113】

コンピュータプログラムの実行に適するプロセッサには、たとえば、汎用と専用の両方のマイクロプロセッサ、および任意の種類のデジタルコンピュータのプロセッサが含まれる。一般に、プロセッサは、読み取り専用メモリまたはランダムアクセスメモリあるいはその両方から命令およびデータを受け取ることになる。コンピュータの要素は、命令に従ってアクションを行うプロセッサと、命令およびデータを記憶する１つまたは複数のメモリデバイスとを含み得る。コンピュータは、データを記憶するための１つまたは複数の大容量ストレージデバイス、たとえば非磁性ドライブ（たとえばソリッドステートドライブ）、磁気ディスク、光磁気ディスク、または光ディスクも含んでもよく、またはそれらからデータを受信し、またはそれらにデータを転送し、あるいはその両方を行うようにそれらに動作可能に結合されてもよい。しかし、コンピュータはそのようなデバイスを有しなくてもよい。また、コンピュータは、別のデバイス、たとえば、電話、タブレットコンピュータ、電子機器、モバイルオーディオまたはビデオプレーヤ、ゲームコンソール、グローバルポジショニングシステム（ＧＰＳ）受信機、物のインターフェース（ＩｏＴ）デバイス、マシンツーマシン（Ｍ２Ｍ）センサまたはアクチュエータ、または可搬型ストレージデバイス（たとえばユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ）に内蔵可能である。コンピュータプログラム命令およびデータを記憶するのに適するデバイスは、たとえば、半導体メモリデバイス（たとえばＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリデバイスなど）、磁気ディスク（たとえば内部ハードディスク、取り外し可能ディスクなど）、光磁気ディスク、およびＣＤ ＲＯＭおよびＤＶＤ－ＲＯＭディスクを含む、あらゆる形態の不揮発性メモリ、媒体、およびメモリデバイスを含む。場合によっては、プロセッサおよびメモリは、専用ロジック回路によって補完されてもよく、または専用ロジック回路に組み込まれてもよい。

【0114】

ユーザとの対話を可能にするために、ユーザに対して情報を表示するためのディスプレイデバイス（たとえば、モニタまたは他の種類のディスプレイデバイス）と、ユーザがコンピュータに入力を提供することができるキーボードおよびポインティングデバイス（たとえばマウス、トラックボール、スタイラス、タッチスクリーンまたは他の種類のポインティングデバイス）とを有するコンピュータ上で動作を実装することとができる。ユーザとの対話を可能にするために他の種類のデバイスも使用することができる。たとえば、ユーザに提供されるフィードバックは、任意の形態の感覚フィードバック、たとえば視覚フィードバック、聴覚フィードバック、または触覚フィードバックとすることができ、ユーザからの入力は、音響入力、音声入力または触覚入力を含む、任意の形態で受け取ることができる。さらに、コンピュータは、ユーザによって使用されるデバイスにドキュメントを送信し、ユーザによって使用されるデバイスからドキュメントを受信することによって、たとえば、ウェブブラウザから受信した要求に応答してユーザのクライアントデバイス上のウェブブラウザにウェブページを送信することによって、ユーザと対話することができる。

【0115】

コンピュータシステムは、単一のコンピューティングデバイス、または、近傍でまたは一般には互いに遠隔で動作し、典型的には通信ネットワークを介して対話する複数のコンピュータデバイスを含み得る。通信ネットワークは、ローカルエリアネットワーク（「ＬＡＮ」）、ワイドエリアネットワーク（「ＷＡＮ」）、インターネットワーク（たとえばインターネット）、衛星リンクを含むネットワーク、およびピアツーピアネットワーク（たとえばアドホックピアツーピアネットワーク）のうちの１つまたは複数のネットワークを含み得る。クライアントとサーバの関係は、それぞれのコンピュータ上で実行され、互いにクライアント－サーバ関係を有するコンピュータプログラムによって生じ得る。

【0116】

本明細書に記載の実施例の一般的な態様では、デジタル署名スキームは、暗号ハッシュ木のノードをバッファメモリに記憶する。

【0117】

第１の実施例では、暗号ハッシュ木のノードはバッファメモリに記憶される。ノードをバッファメモリに記憶することは、アクティブ部分木のノードの第１のサブセットをバッファメモリ内のインデックス付き場所の第１のセットに記憶することと、将来の部分木のノードの第２のサブセットをバッファメモリのインデックス付き場所の第２のセットに記憶することとを含む。アクティブ部分木と将来の部分木とは、同じサイズの重なり合わない部分木である。署名インデックスの現在の値に関連付けられた署名鍵に基づいてワンタイム署名（ＯＴＳ）が生成される。署名インデックスの現在の値は、アクティブ部分木の現在の葉ノードにも関連付けられる。署名インデックスの現在の値に基づいてＯＴＳの認証パスが生成される。認証パスの生成は、バッファメモリからノードの第１のサブセットのうちの１つまたは複数のノードを取り出すことを含む。ＯＴＳと認証パスとを含むデジタル署名が、メッセージ受信側への送信のために提供される。署名インデックスの現在の値に基づいて将来の部分木の新規ノードが計算される。将来の部分木の新規ノードはバッファメモリに記憶される。署名インデックスは次に、現在の値から署名インデックスの次の値に前進させられる。

【0118】

第１の実施例の実装形態は、以下の特徴のうちの１つまたは複数の特徴を含み得る。インデックス付き場所の第１のセットの第１の記憶場所に記憶された右ノードが特定される。右ノードは第１の記憶場所においてその左の兄弟ノードに置き換えられる。アクティブ部分木と将来の部分木は、高さＫの部分木であり、ノードの第１のサブセットと第２のサブセット内のノードの合計数は２^K＋（Ｋ－２）に等しい。

【0119】

第１の実施例の実装形態は、以下の特徴のうちの１つまたは複数の特徴を含み得る。バッファメモリは、下位ノードキャッシュであり、アクティブ部分木と将来の部分木はそれぞれ、暗号ハッシュ木のカットオフレベルより下のノードを含み、認証パスの生成は、上位ノードキャッシュから、暗号ハッシュ木のカットオフレベルより上の１つまたは複数のノードを取り出すことを含む。アクティブ部分木に関連付けられたＯＴＳ状態をＯＴＳキャッシュに記憶することができ、ＯＴＳ署名の生成は、署名インデックスの現在の値に関連付けられたＯＴＳ状態のうちの１つまたは複数のＯＴＳ状態を使用することを含み得る。上位ノードキャッシュの第１の記憶場所に記憶されている右ノードを特定することができ、第１の記憶場所において右ノードを、その左兄弟ノードを第１の記憶場所に記憶することによって置き換えることができる。

【0120】

第１の実施例の実装形態は、以下の特徴のうちの１つまたは複数の特徴を含み得る。バッファメモリは循環バッファメモリとすることができる。インデックス付き場所の第１のセットは、循環バッファメモリ内で連続していることができ、インデックス付き場所の第２のセットは循環バッファメモリ内で連続していることができる。循環バッファメモリに将来の部分木の新規ノードを記憶することにより、循環バッファメモリ内のインデックス付き場所の第１のセットと第２のセットとの境界をシフトさせることができる。バッファメモリに将来の部分木の新規ノードを記憶すると、バッファメモリからアクティブ部分木のノードが枯渇し、署名インデックスの次の値が将来の部分木における葉ノードに関連付けられ得る。将来の部分木は、次に、（たとえば署名インデクスの次の値に基づいて次のＯＴＳを生成するために）アクティブ部分木になる。

【0121】

第１の実施例の実装形態は、以下の特徴のうちの１つまたは複数の特徴を含み得る。バッファメモリに将来の部分木の新規ノードを記憶することは、新規ノードを第１のインデックス値に関連付けられた第１の記憶場所に記憶することを含む。第１のインデックス値は、（たとえば、上述のようにｒ＝ＧｅｔＩｎｓｅｒｔＩｎｄｅｘ（ｑ＋２^K－１）を使用して、または別の関数を使用して）署名インデックスの現在の値に基づいて特定されてもよい。署名インデックスの現在の値に基づいて将来の部分木の新規ノードを計算することは、（たとえば、上述のようにｓ＝ＧｅｔＮｅｘｔＬｅａｆＣａｌｃＩｎｄｅｘ（ｑ）ｍｏｄ２^Kを使用して、または別の関数を使用して）署名インデックスの現在の値に基づいて将来の部分木の葉ノードのインデックスを特定することと、（たとえば上述のように

【0122】

【数28】

を使用して、または別の関数を使用して）葉ノードのインデックスに基づいて将来の部分木の新規ノードを計算することとを含み得る。

【0123】

第１の実施例の実装形態は、以下の特徴のうちの１つまたは複数の特徴を含み得る。第１の実施例の動作は、ハッシュベースの署名スキームに従って実行可能である。このハッシュベースの署名スキームは、署名インデックスの値が一連の値をたどって前進する（たとえば増加する）につれて、将来の部分木の新規葉ノードを逆順（たとえば降順）で計算してもよい。ハッシュベースの署名スキームは、署名インデックスのそれぞれの現在の値に基づいて将来の部分木の各新規ノードを計算してもよい。ハッシュベースの署名スキームは、将来の部分木の各新規ノードの計算が暗号ハッシュ木の１つの葉ノードのみの計算だけで済むように、アクティブ部分木と将来の部分木のノードをバッファメモリに記憶し、アクセスしてもよい。

【0124】

実装形態によっては、コンピューティングシステムが、１つまたは複数のプロセッサと、１つまたは複数のプロセッサによって実行されると第１の実施例の１つまたは複数の動作を行うように動作可能な命令を記憶するメモリとを含む。実装形態によっては、コンピュータ可読媒体が、データ処理装置によって実行されると第１の実施例の１つまたは複数の動作を行うように動作可能な命令を記憶する。

【0125】

本明細書には多くの詳細が記載されているが、これらの詳細は特許請求可能な対象の範囲の限定と理解されるべきではなく、特定の実施例に固有の特徴の説明と理解すべきである。別々の実装形態の文脈で本明細書に記載されているかまたは図面に示されている特定の特徴を組み合わせることができる。逆に、単一の実装形態の文脈で記載されているかまたは図示されている様々な特徴を、複数の実施形態で別々に、または任意の適切な部分的な組み合わせで実装することもできる。

【0126】

同様に、図面では動作が特定の順序で記載されているが、このことは、望ましい結果を得るために、そのような動作が図示されている特定の順序で、または順次的な順序で行われること、または示されているすべての動作が行われることを必要としているものと理解されるべきではない。特定の状況では、マルチタスク処理および並列処理が有利な場合がある。また、上述の実装形態における様々なシステムコンポーネントの分離は、そのような分離がすべての実装形態において必要であるものと理解されるべきではなく、記載されているプログラムコンポーネントおよびシステムは全体が単一の製品として統合され、または複数の製品にパッケージ化されることが可能であるものと理解すべきである。

【0127】

いくつかの実施形態について説明した。しかし、様々な変更を加えることができることは理解されるであろう。したがって、その他の実施形態も以下の特許請求の範囲に含まれる。

【図1】

【図2A】

【図2B】

【図3A】

【図3B】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【国際調査報告】