JP2003333035A

JP2003333035A - 認証付暗号方法及び装置及び認証付暗号プログラム及び認証付暗号プログラムを格納した記憶媒体及び認証付復号方法及び装置及び認証付復号プログラム及び認証付復号プログラムを格納した記憶媒体及び否認性取り消し方法及び検証方法及び検証装置及び検証プログラム及び検証プログラムを格納した記憶媒体

Info

Publication number: JP2003333035A
Application number: JP2002134298A
Authority: JP
Inventors: Masayuki Abe; 正幸阿部; Hideki Imai; 秀樹今井
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2002-05-09
Filing date: 2002-05-09
Publication date: 2003-11-21
Anticipated expiration: 2022-05-09
Also published as: JP4000900B2

Abstract

(57)【要約】【課題】送受信者が第三者に対して通信内容の否認が
可能であるが、正当な受信者はメッセージ認証が可能で
あると共に、必要に応じて送信者の否認可能性を取消す
ことを可能とする。【解決手段】本発明は、平文ｍを冗長化した冗長平文
ｍ’を作成し、乱数ｒを短い乱数種ｓから生成し、攪乱
子ｈを作成し、ｈに対して署名σを付与し、ｍ，ｒ，σ
の組を暗号化して受信者に送信する。否認性が取り消さ
れた暗号文について、平文ｍ、署名σを検証する際に
は、公開された乱数種ｓから乱数ｒを復元し、冗長平文
ｍ’を作成し、（ｒ，ＩＤb ，ｍ’）から攪乱子ｈを作
成して、署名σが攪乱子ｈに対する正しい署名かを送信
者の公開鍵ｐｋｓを用いて検証する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、認証付暗号方法及
び装置及び認証付暗号プログラム及び認証付暗号プログ
ラムを格納した記憶媒体及び認証付復号方法及び装置及
び認証付復号プログラム及び認証付復号プログラムを格
納した記憶媒体及び否認性取り消し方法及び検証方法及
び検証装置及び検証プログラム及び検証プログラムを格
納した記憶媒体に係り、特に、電気通信システムにおけ
る暗号及びディジタル署名技術の、暗号文の受信者が該
暗号文または、対応する平文の作成者を認証するシステ
ムでの、暗号化／復号及び認証を行うための認証付暗号
方法及び装置及び認証付暗号プログラム及び認証付暗号
プログラムを格納した記憶媒体及び認証付復号方法及び
装置及び認証付復号プログラム及び認証付復号プログラ
ムを格納した記憶媒体及び否認性取り消し方法及び検証
方法及び検証装置及び検証プログラム及び検証プログラ
ムを格納した記憶媒体に関する。

【０００２】

【従来の技術】二者間の暗号通信で、受信者が受信文書
の完全性を検証する方法が従来より知られている。受信
者と送信者が他者に秘密の鍵を共有している、いわゆる
共通鍵設定方法においては、送信する暗号文にデータ認
証子(Message AuthenticationCode:MAC) を添付するこ
とでデータ認証が可能である。事前の鍵共有が困難な状
況においては、公開鍵暗号に基づいてディジタル署名を
送信文に付与することによってデータ認証を行うことが
一般的である。しかしながら、公開鍵暗号に基づくディ
ジタル署名を添付することは、通信の当事者以外の第三
者にとっても、送信者がある平文を送信したことについ
て証拠性を持ってしまう。指定検証者署名は、署名が指
定した検証者から第三者に流通したとしても、第三者に
とっては、それが元々の発信者の署名であるのか、その
検証者が偽造した署名であるのか区別がつかないという
特性を持つ。その特性ゆえ、第三者にとっては、発信者
の署名としての証拠性を持たない署名方法である。従来
の技術として、Cramer等による「Disignated Verifier
署名方法("Proofsof Partial Knowledge and Simplifie
d Design of Witncess Hiding Proofs" Crypto'94, LNC
S 839, pp.174-187, Springer Verlag, 1994)について
説明する。ｐi ，ｑi をそれぞれ大きな素数とし、ｑi
はｐi を割り切るものとする。ｇi をｐi の位数ｑi の
部分群の生成源とする。

【０００３】ｘi ∈Ｚqi を秘密鍵、ｙi ＝ｇi ^xi mod ｐi をと共に公開鍵とする。

【０００４】２個の公開鍵（ｙj ，ｇj ，ｑj ，ｐj ）
ｊ＝０，１のうち、いずれかのｙiに関して、対応する
秘密鍵ｘi を知る署名者は、以下の手順で文書ｍに対す
る署名を生成する。以下の例では、一般性を失うことな
く、ｉ＝０であるする。Ｈをｑ0 ，ｑ1 うち大きい方の
ビット数の出力域を持つハッシュ関数とする。集合αか
ら一つの元のβをランダムに選ぶ行為をβ←αと書くこ
とにする。

【０００５】以下を実行する。

【０００６】（ａ）ｓ1 ←Ｚqi （ｂ）ｃ1 ←｛０，１｝^L （ｃ）ｚ1 ：＝ｇ1 ^s1ｙ1 ^c1 mod ｐ1 ｒ0 ←Ｚq0 ｚ0 ：＝ｇi ^ri mod ｐ0 ｃ：＝Ｈ（ｚ0 ‖ｚ1 ‖ｍ）ｃ0 ＝ｃ×ｃ1 （但し、×は論理積）ｓ0 ：＝ｒ0 −ｃ0 ・ｘ0 mod ｑ0 （ｃ0 ，ｓ0 ，ｃ1 ，ｓ1 ）を出力する。

【０００７】文書ｍに対する署名（ｃ0 ，ｓ0 ，ｃ1 ，
ｓ1 ）は、以下が成り立つとき、正しい署名と認める。

【０００８】ｃ0 ×ｃ1 ＝Ｈ（ｇ00^s0，ｙ0 ^co mod p0
‖ｇ1 ^s1ｙi ^ci mod ｐ1 ‖ｍ）（但し、×は論理積）上記の従来の方法によれば、署名の受信者は、署名者が
どの公開鍵に対応する秘密鍵を保持しているのかを見分
けることはできない。従って、第三者にとっては、発信
者の署名としての証拠性を持たない署名方法である。上
記の私的検証者署名を用いて、暗号文に署名を付けるこ
とによって、受信者は受信した文書が発信者の意図した
ものであることを確認できる。

【０００９】

【発明が解決しようとする課題】しかしながら、上記従
来のDesignated Verifier 署名に基づく方法では、第三
者にとって、送信者あるいは指定検証者のいずれかが生
成した署名としての証拠性を有している。よって、指定
検証者の意図的な署名漏洩に対しては、送信者はその署
名を否認できるが、第三者が何等かの手段で入手した署
名に対しては、送信者及び指定検証者の両者が共にその
送受信内容を否認することはできない。本発明は、上記
の点に鑑みなされたもので、送受信者が第三者に対して
通信内容の否認が可能であるが、正当な受信者はメッセ
ージ認証が可能であると共に、必要に応じて送信者の否
認可能性を取消しできる、認証付暗号方法及び装置及び
認証付暗号プログラム及び認証付暗号プログラムを格納
した記憶媒体及び認証付復号方法及び装置及び認証付復
号プログラム及び認証付復号プログラムを格納した記憶
媒体及び否認性取り消し方法及び検証方法及び検証装置
及び検証プログラム及び検証プログラムを格納した記憶
媒体を提供することを目的とする。

【００１０】

【課題を解決するための手段】図１は、本発明の原理を
説明するための図である。

【００１１】本発明（請求項１）は、暗号文の受信者が
該暗号文または、対応する平文の作成者を認証する認証
付暗号システムにおける、認証付暗号方法において、送
信者の署名鍵ｓｋｓ、暗号鍵ｐｋｒとし、該暗号化鍵ｐ
ｋｒが公開鍵として公開されている場合に、公開鍵暗号
方式を用いて二者間の暗号通信を行う際に、受信者を特
定する固有値をＩＤb として暗号文ｃを生成する場合
に、平文ｍを冗長化し、冗長平文ｍ’を得るステップ
（ステップ１）と、乱数種ｓから乱数ｒを生成するステ
ップ（ステップ２）と、受信者を特定する固定値ＩＤb
と乱数ｒ及び冗長平文ｍ’から攪乱子ｈを作成するステ
ップ（ステップ３）と、攪乱子ｈに対する署名σを署名
鍵ｓｋｓを用いて生成するステップ（ステップ３）と、
（ｍ，ｒ，σ）を暗号鍵ｐｋｒを用いて暗号化し、暗号
文ｃを得るステップ（ステップ４）とからなる。

【００１２】図２は、本発明の原理構成図である。

【００１３】本発明（請求項２）は、暗号文の受信者が
該暗号文または、対応する平文の作成者を認証する認証
付暗号システムにおける、認証付暗号装置１０であっ
て、送信者の署名鍵ｓｋｓ、暗号鍵ｐｋｒとし、該暗号
化鍵ｐｋｒが公開鍵として公開されている場合に、公開
暗号方式を用いて二者間の暗号通信を行う際に、受信者
を特定する固有値をＩＤb として暗号文ｃを生成する場
合に、平文ｍを冗長化し、冗長平文ｍ’を得る冗長化手
段１１と、乱数種ｓから乱数ｒを生成する乱数生成手段
１２と、受信者を特定する固定値ＩＤb と乱数ｒ及び冗
長平文ｍ’から攪乱子ｈを作成する攪乱子生成手段１３
と、攪乱子ｈに対する署名σを署名鍵ｓｋｓを用いて生
成する署名生成手段と、（ｍ，ｒ，σ）を暗号鍵ｐｋｒ
を用いて暗号化し、暗号文ｃを得る暗号化手段１４と、
を有する。

【００１４】本発明（請求項３）は、暗号文の受信者が
該暗号文または、対応する平文の作成者を認証する認証
付暗号システムにおける、認証付暗号プログラムであっ
て、送信者の署名鍵ｓｋｓ、暗号鍵ｐｋｒとし、該暗号
化鍵ｐｋｒが公開鍵として公開されている場合に、公開
暗号方式を用いて二者間の暗号通信を行う際に、受信者
を特定する固有値をＩＤb として暗号文ｃを生成する場
合に、平文ｍを冗長化し、冗長平文ｍ’を得る冗長化プ
ロセスと、乱数種ｓから乱数ｒを生成する乱数生成プロ
セスと、受信者を特定する固定値ＩＤb と乱数ｒ及び冗
長平文ｍ’から攪乱子ｈを作成する攪乱子生成プロセス
と、攪乱子ｈに対する署名σを署名鍵ｓｋｓを用いて生
成する署名生成プロセスと、（ｍ，ｒ，σ）を暗号鍵ｐ
ｋｒを用いて暗号化し、暗号文ｃを得る暗号化プロセス
と、を有する。

【００１５】本発明（請求項４）は、暗号文の受信者が
該暗号文または、対応する平文の作成者を認証する認証
付暗号システムにおける、認証付暗号プログラムを格納
した記憶媒体であって、送信者の署名鍵ｓｋｓ、暗号鍵
ｐｋｒとし、該暗号化鍵ｐｋｒが公開鍵として公開され
ている場合に、公開暗号方式を用いて二者間の暗号通信
を行う際に、受信者を特定する固有値をＩＤb として暗
号文ｃを生成する場合に、平文ｍを冗長化し、冗長平文
ｍ’を得る冗長化プロセスと、乱数種ｓから乱数ｒを生
成する乱数生成プロセスと、受信者を特定する固定値Ｉ
Ｄb と乱数ｒ及び冗長平文ｍ’から攪乱子ｈを作成する
攪乱子生成プロセスと、攪乱子ｈに対する署名σを署名
鍵ｓｋｓを用いて生成する署名生成プロセスと、（ｍ，
ｒ，σ）を暗号鍵ｐｋｒを用いて暗号化し、暗号文ｃを
得る暗号化プロセスと、を有する。

【００１６】本発明（請求項５）は、暗号文の受信者が
該暗号文または、対応する平文の作成者を認証する認証
付暗号システムにおける、認証付復号方法において、受
信者の復号鍵ｓｋｒ、署名検証鍵ｐｋｓとし、該署名検
証鍵ｐｋｓが公開鍵として公開されている場合に、公開
暗号方式を用いて二者間の暗号通信を行う際に、受信者
を特定する固有値をＩＤb として暗号文ｃを復号する場
合に、暗号文ｃを復号鍵ｓｋｒを用いて復号し、復号の
過程で不正な暗号文と判断された場合には処理を中止
し、正当な暗号文である場合には復号結果（ｍ，ｒ，
σ）を得るステップ（ステップ６）と、復号結果のｍを
冗長化した冗長平文ｍ’を得るステップ（ステップ７）
と、受信者と特定する固定値ＩＤb を乱数ｒと冗長平文
ｍ’から攪乱子ｈを作成するステップ（ステップ８）
と、署名σが攪乱子ｈに対する正しい署名であることを
署名検証鍵ｐｋｓを用いて検証し、検証に合格すれば、
ｍを正当なメッセージとし、不合格であればｍは不正な
メッセージであると判断するステップ（ステップ９）と
からなる。

【００１７】本発明（請求項６）は、暗号文の受信者が
該暗号文または、対応する平文の作成者を認証する認証
付暗号システムにおける、認証付復号装置２０であっ
て、受信者の復号鍵ｓｋｒ、署名検証鍵ｐｋｓとし、該
署名検証鍵ｐｋｓが公開鍵として公開されている場合
に、公開暗号方式を用いて二者間の暗号通信を行う際
に、受信者を特定する固有値をＩＤb として暗号文ｃを
復号する場合に、暗号文ｃを復号鍵ｓｋｒを用いて復号
し、復号の過程で不正な暗号文と判断された場合には処
理を中止し、正当な暗号文である場合には復号結果
（ｍ，ｒ，σ）を得る復号手段２１と、復号結果のｍを
冗長化した冗長平文ｍ’を得る冗長化手段２２と、受信
者と特定する固定値ＩＤb を乱数ｒと冗長平文ｍ’から
攪乱子ｈを作成する攪乱子生成手段２３と、署名σが攪
乱子ｈに対する正しい署名であることを署名検証鍵ｐｋ
ｓを用いて検証し、検証に合格すれば、ｍを正当なメッ
セージとし、不合格であればｍは不正なメッセージであ
ると判断する署名検証手段２４と、を有する。

【００１８】本発明（請求項７）は、暗号文の受信者が
該暗号文または、対応する平文の作成者を認証する認証
付暗号システムにおける、認証付復号プログラムであっ
て、受信者の復号鍵ｓｋｒ、署名検証鍵ｐｋｓとし、該
署名検証鍵ｐｋｓが公開鍵として公開されている場合
に、公開暗号方式を用いて二者間の暗号通信を行う際
に、受信者を特定する固有値をＩＤb として暗号文ｃを
復号する場合に、暗号文ｃを復号鍵ｓｋｒを用いて復号
し、復号の過程で不正な暗号文と判断された場合には処
理を中止し、正当な暗号文である場合には復号結果
（ｍ，ｒ，σ）を得る復号プロセスと、復号結果のｍを
冗長化した冗長平文ｍ’を得る冗長化プロセスと、受信
者と特定する固定値ＩＤb を乱数ｒと冗長平文ｍ’から
攪乱子ｈを作成する攪乱子生成プロセスと、署名σが攪
乱子ｈに対する正しい署名であることを署名検証鍵ｐｋ
ｓを用いて検証し、検証に合格すれば、ｍを正当なメッ
セージとし、不合格であればｍは不正なメッセージであ
ると判断する署名検証プロセスと、を有する。

【００１９】本発明（請求項８）は、暗号文の受信者が
該暗号文または、対応する平文の作成者を認証する認証
付暗号システムにおける、認証付復号プログラムを格納
した記憶媒体であって、受信者の復号鍵ｓｋｒ、署名検
証鍵ｐｋｓとし、該署名検証鍵ｐｋｓが公開鍵として公
開されている場合に、公開暗号方式を用いて二者間の暗
号通信を行う際に、受信者を特定する固有値をＩＤb と
して暗号文ｃを復号する場合に、暗号文ｃを復号鍵ｓｋ
ｒを用いて復号し、復号の過程で不正な暗号文と判断さ
れた場合には処理を中止し、正当な暗号文である場合に
は復号結果（ｍ，ｒ，σ）を得る復号プロセスと、復号
結果のｍを冗長化した冗長平文ｍ’を得る冗長化プロセ
スと、受信者と特定する固定値ＩＤb を乱数ｒと冗長平
文ｍ’から攪乱子ｈを作成する攪乱子生成プロセスと、
署名σが攪乱子ｈに対する正しい署名であることを署名
検証鍵ｐｋｓを用いて検証し、検証に合格すれば、ｍを
正当なメッセージとし、不合格であればｍは不正なメッ
セージであると判断する署名検証プロセスと、を有す
る。

【００２０】本発明（請求項９）は、送信者からの送信
された暗号文の否認性を取り消し、任意の第三者が平文
に対する送信者の署名を検証するための否認性取り消し
方法において、乱数種ｓを公開することにより、暗号文
の否認性を取り消す。

【００２１】本発明（請求項１０）は、暗号文の否認性
が取り消された平文と署名の対に対する検証方法におい
て、公開されている乱数種ｓから乱数ｒを生成するステ
ップと、復号により得られた平文ｍを冗長化し、冗長平
文ｍ’を得るステップと、送信者を特定する固定値ＩＤ
b と、乱数ｒ及び冗長平文ｍ’から攪乱子ｈを作成する
ステップと、復号により得られた署名σが攪乱子ｈに対
する署名であるか否かを検証鍵ｐｋｓを用いて検証する
ステップとからなる。

【００２２】本発明（請求項１１）は、暗号文の否認性
が取り消された平文と署名の対に対する検証装置であっ
て、公開されている乱数種ｓから乱数ｒを生成する乱数
生成手段と、復号手段により得られた平文ｍを冗長化
し、冗長平文ｍ’を得る冗長化手段と、送信者を特定す
る固定値ＩＤb と、乱数ｒ及び冗長平文ｍ’から攪乱子
ｈを作成する攪乱子生成手段と、復号手段により得られ
た署名σが攪乱子ｈに対する署名であるか否かを検証鍵
ｐｋｓを用いて検証する署名検証手段と、を有する。

【００２３】本発明（請求項１２）は、暗号文の否認性
が取り消された平文と署名の対に対する検証プログラム
であって、公開されている乱数種ｓから乱数ｒを生成す
る乱数生成プロセスと、復号プロセスにより得られた平
文ｍを冗長化し、冗長平文ｍ’を得る冗長化プロセス
と、送信者を特定する固定値ＩＤb と、乱数ｒ及び冗長
平文ｍ’から攪乱子ｈを作成する攪乱子生成プロセス
と、復号プロセスにより得られた署名σが攪乱子ｈに対
する署名であるか否かを検証鍵ｐｋｓを用いて検証する
署名検証プロセスと、を有する。

【００２４】本発明（請求項１３）は、暗号文の否認性
が取り消された平文と署名の対に対する検証プログラム
を格納した記憶媒体であって、公開されている乱数種ｓ
から乱数ｒを生成する乱数生成プロセスと、復号プロセ
スにより得られた平文ｍを冗長化し、冗長平文ｍ’を得
る冗長化プロセスと、送信者を特定する固定値ＩＤb
と、乱数ｒ及び冗長平文ｍ’から攪乱子ｈを作成する攪
乱子生成プロセスと、復号プロセスにより得られた署名
σが攪乱子ｈに対する署名であるか否かを検証鍵ｐｋｓ
を用いて検証する署名検証プロセスと、を有する。

【００２５】上記のように、本発明では、受信者が公開
鍵などの受信者を特定する識別子をＩＤb とする。平文
ｍを冗長化した冗長平文ｍ’を作成する。十分長い乱数
ｒを短い乱数種ｓから生成し、乱数ｒによって、ＩＤb
及び冗長平文ｍ’を攪乱して攪乱子ｈを作成し、ｈに対
して署名σを付与し（ここで用いる署名方法は、適応的
選択文攻撃に対して潜在的偽造不可能（ＥＵＦ−ＣＭ
Ａ）な方法とする）、ｍ，ｒ，σの組を暗号化して（こ
こで用いる暗号化方法は、適応的選択暗号文攻撃に対し
て識別不可能（ＩＮＤ−ＣＣＡ）な方法）受信者に送信
する。

【００２６】また、攪乱子生成時に、（ｒ，ＩＤb ，
ｍ’）から作成したｈに対して、同一のｈとなる異なる
（ｒ’，ＩＤb ’，ｍ”）（但し、ｍ”も同じ冗長性を
持つものとする）を作成することが容易である手段とす
る。

【００２７】暗号文の否認可能性を取り消す場合には、
乱数種ｓを公開する。

【００２８】さらに、否認性が取り消された暗号文につ
いて、復号化を行った後、得られた平文−署名対に対し
て、平文ｍ、署名σを検証する際には、送信者と同じ乱
数生成方法によって、公開された乱数種ｓから乱数ｒを
復元し、冗長平文ｍ’を平文ｍから作成し、（ｒ，ＩＤ
b ，ｍ’）から攪乱子ｈを作成して、署名σが攪乱子ｈ
に対する正しい署名であるか否かを送信者の公開鍵ｐｋ
ｓを用いて検証する。これにより、送信者の署名は攪乱
子に対して付与されており、攪乱子は、（ｒ，ＩＤb ，
ｍ’）から作成した攪乱子ｈに対して、同一の攪乱子ｈ
となる、異なる（ｒ’，ＩＤb ’，ｍ”）を作成するこ
とが容易であるので、結局、署名は、メッセージｍに対
する証拠性を持たない。

【００２９】一方、ＩＮＤ−ＣＣＡな暗号方式は、平文
を知るものしかその暗号文を作成することができなとい
う特徴を有する。よって、受信した暗号文を復号した結
果、送信者Ａによる、受信者Ｂ宛の、第三者には偽造不
可能な署名が得られたことにより、受信暗号文を復号で
きる正当な受信者だけは、得られた平文が送信者Ａによ
って作成されたものであることを納得することができ
る。

【００３０】さらに、乱数種ｓが公開された場合、
（ｒ，ＩＤb ，ｍ’）から作成した攪乱子ｈに対して、
同一のｈとなる異なる（ｒ’，ＩＤb ’，ｍ”）を作成
することは容易であるとしたが、乱数ｒ，ｒ’が十分長
い場合には、任意のｍに対して冗長平文ｍ”が正しい冗
長性を持つように、ｒ’を決めなくてはならないため、
そのような特定のｒ’に対する乱数種ｓ’を求めること
は困難であり、署名は（ｓ，ＩＤb ，ｍ）に対する証拠
性を持つとみなすことができる。

【００３１】

【発明の実施の形態】以下、図面と共に、本発明の実施
の形態について説明する。

【００３２】［第１の実施の形態］以下の説明におい
て、送信者の署名鍵ｓｋｓ、暗号化鍵ｐｋｒ、受信者の
復号鍵ｓｋｒ、署名検証鍵ｐｋｓとし、署名検証鍵ｐｋ
ｓと暗号化鍵ｐｋｒが公開鍵として公開されているもの
とする。また、受信者を特定する固有値をＩＤb とす
る。図３は、本発明の第１の実施の形態における認証暗
号化装置の構成を示す。

【００３３】同図に示す暗号化装置１０は、平文ｍを冗
長化し、冗長平文ｍ’を得る冗長化部１１、乱数種ｓか
ら乱数ｒを生成する乱数生成部１２、ＩＤb 、乱数ｒ、
冗長平文ｍ’から攪乱子ｈを生成する攪乱子生成部１
３、攪乱子ｈに対する署名σを署名鍵ｓｋｓを用いて生
成する署名生成部１４、ｍ‖ｒ‖σを暗号化鍵ｐｋｒを
用いて暗号化し、暗号文ｃを得る暗号化部１５から構成
される。

【００３４】図４は、本発明の第１の実施の形態におけ
る認証復号装置の構成を示す。

【００３５】同図に示す復号装置２０は、暗号文ｃが入
力され、当該暗号文ｃを復号鍵ｓｋｒを用いて復号する
復号部２１、平文ｍを冗長化し、冗長平文ｍ’を得る冗
長化部２２、ＩＤb ，ｒ，ｍ’から攪乱子ｈを作成する
攪乱子生成部２３、署名σが攪乱子ｈに対する送信者Ａ
の正しい署名であることを署名検証鍵ｐｋｓを用いて検
証する署名検証部２４から構成される。

【００３６】次に、上記の構成における動作を説明す
る。

【００３７】以下に述べる動作の前提を説明する。

【００３８】送信者Ａは、署名鍵ｓｋｓと暗号化鍵ｐｋ
ｒを持ち、ｐｋｒは公開されているものとする。送信者
Ｂは、復号鍵ｓｋｒと署名検証鍵ｐｋｓを持ち、ｐｋｓ
は公開されているものとする。

【００３９】以下で、二項演算子ａ＋ｂは、ａ，ｂのビ
ット毎の排他的論理和であり、ａ‖ｂは、結合したビッ
ト列を表す。｜ａ｜は、ａのビット数を表す。受信者を
特定できる文字列（氏名、あるいは、公開鍵でもよ
い）。

【００４０】送信者Ａから受信者Ｂに送信する文書ｍに
対する暗号文は、認証暗号化装置１０で作成する。動作
は以下の通りである。

【００４１】図５は、本発明の第１の実施の形態におけ
る暗号化手順のフローチャートである。

【００４２】ステップ１０１）冗長化部１１によっ
て、平文ｍを冗長化し、冗長平文ｍ’を得る。

【００４３】ステップ１０２）乱数生成部１２によっ
て、乱数種ｓから乱数ｒを生成する。

【００４４】ステップ１０３）攪乱子生成部１３によ
って、ＩＤb ，ｒ，ｍ’から攪乱子ｈを作成する。

【００４５】ステップ１０４）署名生成部１４によっ
て、攪乱子ｈに対する署名σを署名鍵ｓｋｓを用いて生
成する。

【００４６】ステップ１０５）暗号化部１５によっ
て、ｍ‖ｒ‖σを暗号化鍵ｐｋｒを用いて暗号化し、暗
号文ｃを得る。

【００４７】次に、送信者Ａから受信した暗号文が認証
復号装置２０により復号される。復号の動作は以下の通
りである。

【００４８】図６は、本発明の第１の実施の形態におけ
る復号化手順のフローチャートである。

【００４９】ステップ２０１）復号部２１によって、
入力された暗号文ｃを復号鍵ｓｋｒを用いて復号する。

【００５０】ステップ２０２）復号の過程で、不正な
暗号文である場合には、処理を中止する。

【００５１】ステップ２０３）正当な暗号文である場
合には、復号結果ｍ‖ｒ‖σを得る。

【００５２】ステップ２０４）冗長化部２２によっ
て、平文ｍを冗長化し、冗長平文ｍ’を得る。

【００５３】ステップ２０５）攪乱子生成部２３によ
って、ＩＤb ，ｒ，ｍ’から攪乱子ｈを生成する。

【００５４】ステップ２０６）署名検証部２４によっ
て、署名σが攪乱子ｈに対する送信者Ａの正しい署名で
あることを署名検証鍵ｐｋｓを用いて検証する。

【００５５】ステップ２０７）検証に合格か不合格か
を判定し、合格の場合にはステップ２０８に移行し、不
合格の場合にはステップ２０９に移行する。

【００５６】ステップ２０８）ｍを正当なメッセージ
を判断する。

【００５７】ステップ２０９）ｍは不正なメッセージ
であると判断する。

【００５８】［第２の実施の形態］本実施の形態では、
乱数種ｓが公開され、暗号文の否認性が取り消された平
文ｍと署名σに対して署名検証を行う場合について説明
する。

【００５９】図７は、本発明の第２の一実施の形態にお
ける否認性が取り消された場合の署名検証装置の構成を
示す。

【００６０】同図に示す署名検証装置３０は、復号部２
１によって得られた平文ｍが入力されると、平文ｍを冗
長化し、冗長平文ｍ’を得る冗長化部３１、公開されて
いる乱数ｓから乱数ｒを生成する乱数生成部３２、ＩＤ
b ，ｒ，ｍ’から攪乱子ｈを生成する攪乱子生成部３
３、署名σが攪乱子ｈに対する送信者Ａの正しい署名で
あることを署名検証鍵ｐｋｓを用いて検証する検証部３
４から構成される。

【００６１】上記の構成における否認性が取り消された
平文ｍと署名σに対する署名検証の動作を説明する。

【００６２】図８は、本発明の第２の実施の形態におけ
る否認性が取り消された平文ｍと署名σに対する署名検
証手順のフローチャートである。

【００６３】ステップ３０１）冗長化部３１によっ
て、平文ｍを冗長化し、冗長平文ｍ’を得る。

【００６４】ステップ３０２）乱数生成部３２によっ
て、公開されている乱数種ｓから乱数ｒを生成する。

【００６５】ステップ３０３）攪乱子生成部３３によ
って、ＩＤb ，ｒ，ｍ’から攪乱子ｈを生成する。

【００６６】ステップ３０４）署名検証部３４によっ
て、署名σが攪乱子ｈに対する送信者Ａの正しい署名で
あることを署名検証鍵ｐｋｓを用いて検証する。

【００６７】ステップ３０５）検証の結果が合格であ
る場合には、ステップ３０６に移行し、不合格である場
合にはステップ３０７に移行する。

【００６８】ステップ３０６）ｍを正当なメッセージ
であると判断する。

【００６９】ステップ３０７）ｍは不正なメッセージ
であると判断する。

【００７０】

【実施例】以下、図面と共に、本発明の実施例を説明す
る。

【００７１】［第１の実施例］本実施例の装置構成は、
前述の図３、図４、図７と同様である。但し、以下の実
施例では、冗長化部１１、２２、３１をビット結合手段
を用いるものとし、攪乱子生成部１３、２３、３３をビ
ット結合手段と排他的論理和手段を用いて構成する。

【００７２】図９は、本発明の第１の実施例の冗長化部
の構成を示し、図１０は、本発明の第１の実施例の攪乱
子生成部の構成を示す。

【００７３】上記の構成を用いた場合の動作を説明す
る。なお、送信者Ａは、署名鍵ｓｋｓと、暗号化鍵ｐｋ
ｒを持ち、ｐｋｒは公開されているものとする。また、
受信者Ｂは、復号鍵ｓｋｒと署名検証鍵ｐｋｓを持ち、
ｐｋｓは公開されているものとする。

【００７４】送信者Ａから受信者Ｂに送信する文書ｍに
対する暗号文は、以下の示す認証暗号化装置で作成す
る。

【００７５】以下に、認証暗号装置１０での動作を説明
する。

【００７６】冗長化部１１であるビット結合部４１
において、入力平文ｍに８０ビットの０…０を結合し、
その結果を冗長平文ｍ’とする。

【００７７】乱数生成部１２によって、乱数種ｓか
ら｜ｍ’｜＋｜ＩＤb ｜ビットの乱数ｒを生成する。

【００７８】攪乱子生成部１３である、ビット結合
手段５１と排他的論理和手段５２により、ｈ＝（ｍ’｜
ＩＤb ）×ｒ（但し、＋は、排他的論理和を示す）を計
算する。

【００７９】署名生成部１４によって、攪乱子ｈに
対する署名σを署名鍵ｓｋｓを用いて生成する。

【００８０】暗号化部１５によって、ｍ‖ｒ‖σを
暗号鍵ｐｋｒを用いて暗号化し、暗号文ｃを得る。

【００８１】次に、送信者Ａから受信した暗号文の復号
処理について説明する。

【００８２】復号部２１によって、暗号文ｃを復号
鍵ｓｋｒで復号する。復号の過程で、不正な暗号文と判
定された場合には処理を中止し、正当な暗号文である場
合には、復号結果ｍ‖ｒ‖σを得る。

【００８３】冗長化部２２であるビット結合手段４
１により、入力平文ｍに８０ビットの０…０を結合し、
その結果を冗長平文ｍ’とする。

【００８４】攪乱子生成部２３であるビット結合部
５１と排他的論理和手段５２により、ｈ＝（ｍ’‖ＩＤ
b ）×ｒ（但し、×は排他的論理和）を計算する。

【００８５】署名検証部２４によって、署名σが攪
乱子ｈに対する送信者Ａの正しい署名であることを署名
検証鍵ｐｋｓを用いて検証する。検証に合格すれば、ｍ
を正当なメッセージとして受理し、不合格であればｍは
不正なメッセージであると判断する。

【００８６】次に、乱数種ｓが公開され、否認性が取り
消された平文ｍと署名σに対して図８に示す手順によ
り、検証する。

【００８７】冗長化部３１であるビット結合手段４
１により、入力平文ｍに８０ビットの０…０を結合
し、、その結果を冗長平文ｍ’とする。

【００８８】乱数生成部３２によって、乱数種ｓか
ら｜ｍ’｜＋｜ＩＤb ｜ビットの乱数ｒを生成する。

【００８９】攪乱子生成部３３であるビット結合手
段５１と排他的論理和手段５２によって、ｈ（ｍ’‖Ｉ
Ｄb ）×ｒ（但し、×は排他的論理和）を計算する。

【００９０】署名検証部３４によって、署名σが攪
乱子ｈに対する送信者Ａの正しい署名であることを署名
検証鍵ｐｋｓを用いて検証する。検証に合格すればｍを
正当なメッセージとして受理し、不合格であれば、ｍは
不正なメッセージであると判断する。

【００９１】［第２の実施例］次に、本実施例では、メ
ッセージ長が長い場合に攪乱子生成部を用いて必要な乱
数のビット長を短くする例を説明する。

【００９２】図１１は、本発明の第２の実施例の攪乱子
生成部の構成を示す。

【００９３】同図に示す攪乱子生成部１３、３３は、ビ
ット結合手段６１、ハッシュ手段６２、排他的論理和手
段６３から構成され、ハッシュ手段６２を図１０の構成
に付加したものである。

【００９４】即ち、出力ビット数が１６０ビットのハッ
シュ手段６２を設け、乱数生成部１２、３２の出力を同
様に１６０ビットとし、冗長平文ｍ’にＩＤb を結合し
た結果をハッシュ手段６２に入力して短縮し、そのハッ
シュ値と乱数ｒとの排他的論理和を攪乱子とする方法で
ある。

【００９５】この方法は、｜ｍ’｜＋｜ＩＤb ｜が１６
０ビット以上になる場合に有効である。

【００９６】なお、上記の実施の形態及び実施例におけ
る認証暗号化装置及び認証復号装置の構成をプログラム
として構築し、認証暗号化装置及び認証復号装置として
利用されるコンピュータにインストールすることも可能
である。

【００９７】また、構築されたプログラムを認証暗号化
装置及び認証復号装置として利用されるコンピュータに
接続されるハードディスクや、フレキシブルディスク、
ＣＤ−ＲＯＭ等の可搬記憶媒体に格納しておき、本発明
を実施する際にインストールすることにより、本発明を
実現できる。

【００９８】なお、本発明は、上記の実施例に限定され
ることなく、特許請求の範囲内において、種々変更・応
用が可能である。

【００９９】

【発明の効果】上述のように、本発明によれば、送受信
者が共に第三者に対して、通信内容の否認が可能である
が、正当な受信者は受信したデータの完全性を確認する
ことができる。正当な送信者は、必要に応じて、任意に
第三者にその送信文に対応する平文の認証を行えるよう
にすることが可能となる。

【図面の簡単な説明】

【図１】本発明の原理を説明するための図である。

【図２】本発明の原理構成図である。

【図３】本発明の第１の実施の形態における認証暗号化
装置の構成図である。

【図４】本発明の第１の実施の形態における認証復号装
置の構成図である。

【図５】本発明の第１の実施の形態における暗号化手段
のフローチャートである。

【図６】本発明の第１の実施の形態における復号手順の
フローチャートである。

【図７】本発明の第２の実施の形態における否認性が取
り消された場合の署名検証装置の構成図である。

【図８】本発明の第２の実施の形態における否認性が取
り消された平文と署名に対する署名検証手順のフローチ
ャートである。

【図９】本発明の第１の実施例の冗長化部の構成図であ
る。

【図１０】本発明の第１の実施例の攪乱子生成部の構成
図である。

【図１１】本発明の第２の実施例の攪乱子生成部の構成
図である。

【符号の説明】

１０認証暗号化装置１１冗長化手段、冗長化部１２乱数生成手段、乱数生成部１３攪乱子生成手段、攪乱子生成部１４署名生成手段、署名生成部１５暗号化手段、暗号化部２１復号手段、復号部２２冗長化手段、冗長化部２３攪乱子生成手段、攪乱子生成部２４署名検証手段、署名検証部３０署名検証装置３１冗長化部３２乱数生成部３３攪乱子生成部３４署名検証部４１ビット結合手段５１ビット結合手段５２排他的論理和手段６１ビット結合手段６２ハッシュ手段６３排他的論理和手段

───────────────────────────────────────────────────── フロントページの続き (54)【発明の名称】認証付暗号方法及び装置及び認証付暗号プログラム及び認証付暗号プログラムを格納した記憶媒体及び認証付復号方法及び装置及び認証付復号プログラム及び認証付復号プログラムを格納した記憶媒体及び否認性取り消し方法及び検証方法及び検証装置及び検証プログラム及び検証プログラムを格納した記憶媒体

Claims

【特許請求の範囲】

【請求項１】暗号文の受信者が該暗号文または、対応
する平文の作成者を認証する認証付暗号方法において、送信者の署名鍵ｓｋｓ、暗号鍵ｐｋｒとし、該暗号化鍵
ｐｋｒが公開鍵として公開されている場合に、公開鍵暗
号方式を用いて二者間の暗号通信を行う際に、受信者を
特定する固有値をＩＤb として暗号文ｃを生成する場合
に、平文ｍを冗長化し、冗長平文ｍ’を得るステップと、乱数種ｓから乱数ｒを生成するステップと、前記受信者を特定する固定値ＩＤb と前記乱数ｒ及び冗
長平文ｍ’から攪乱子ｈを作成するステップと、前記攪乱子ｈに対する署名σを前記署名鍵ｓｋｓを用い
て生成するステップと、（ｍ，ｒ，σ）を前記暗号鍵ｐｋｒを用いて暗号化し、
暗号文ｃを得るステップとからなることを特徴とする認
証付暗号方法。
【請求項２】暗号文の受信者が該暗号文または、対応
する平文の作成者を認証する認証付暗号装置であって、送信者の署名鍵ｓｋｓ、暗号鍵ｐｋｒとし、該暗号化鍵
ｐｋｒが公開鍵として公開されている場合に、公開暗号
方式を用いて二者間の暗号通信を行う際に、受信者を特
定する固有値をＩＤb として暗号文ｃを生成する場合
に、平文ｍを冗長化し、冗長平文ｍ’を得る冗長化手段と、乱数種ｓから乱数ｒを生成する乱数生成手段と、前記受信者を特定する固定値ＩＤb と前記乱数ｒ及び冗
長平文ｍ’から攪乱子ｈを作成する攪乱子生成手段と、前記攪乱子ｈに対する署名σを前記署名鍵ｓｋｓを用い
て生成する署名生成手段と、（ｍ，ｒ，σ）を前記暗号鍵ｐｋｒを用いて暗号化し、
暗号文ｃを得る暗号化手段と、を有することを特徴とす
る認証付暗号装置。
【請求項３】暗号文の受信者が該暗号文または、対応
する平文の作成者を認証する認証付暗号システム上で実
行される、認証付暗号プログラムであって、送信者の署名鍵ｓｋｓ、暗号鍵ｐｋｒとし、該暗号化鍵
ｐｋｒが公開鍵として公開されている場合に、公開暗号
方式を用いて二者間の暗号通信を行う際に、受信者を特
定する固有値をＩＤb として暗号文ｃを生成する場合
に、平文ｍを冗長化し、冗長平文ｍ’を得る冗長化プロセス
と、乱数種ｓから乱数ｒを生成する乱数生成プロセスと、前記受信者を特定する固定値ＩＤb と前記乱数ｒ及び冗
長平文ｍ’から攪乱子ｈを作成する攪乱子生成プロセス
と、前記攪乱子ｈに対する署名σを前記署名鍵ｓｋｓを用い
て生成する署名生成プロセスと、（ｍ，ｒ，σ）を前記暗号鍵ｐｋｒを用いて暗号化し、
暗号文ｃを得る暗号化プロセスと、を有することを特徴
とする認証付暗号プログラム。
【請求項４】暗号文の受信者が該暗号文または、対応
する平文の作成者を認証する認証付暗号システム上で実
行される認証付暗号プログラムを格納した記憶媒体であ
って、送信者の署名鍵ｓｋｓ、暗号鍵ｐｋｒとし、該暗号化鍵
ｐｋｒが公開鍵として公開されている場合に、公開暗号
方式を用いて二者間の暗号通信を行う際に、受信者を特
定する固有値をＩＤb として暗号文ｃを生成する場合
に、平文ｍを冗長化し、冗長平文ｍ’を得る冗長化プロセス
と、乱数種ｓから乱数ｒを生成する乱数生成プロセスと、前記受信者を特定する固定値ＩＤb と前記乱数ｒ及び冗
長平文ｍ’から攪乱子ｈを作成する攪乱子生成プロセス
と、前記攪乱子ｈに対する署名σを前記署名鍵ｓｋｓを用い
て生成する署名生成プロセスと、（ｍ，ｒ，σ）を前記暗号鍵ｐｋｒを用いて暗号化し、
暗号文ｃを得る暗号化プロセスと、を有することを特徴
とする認証付暗号プログラムを格納した記憶媒体。
【請求項５】暗号文の受信者が該暗号文または、対応
する平文の作成者を認証する認証付暗号システム上で実
行される認証付復号方法において、受信者の復号鍵ｓｋｒ、署名検証鍵ｐｋｓとし、該署名
検証鍵ｐｋｓが公開鍵として公開されている場合に、公
開暗号方式を用いて二者間の暗号通信を行う際に、受信
者を特定する固有値をＩＤb として暗号文ｃを復号する
場合に、前記暗号文ｃを前記復号鍵ｓｋｒを用いて復号し、復号
の過程で不正な暗号文と判断された場合には処理を中止
し、正当な暗号文である場合には復号結果（ｍ，ｒ，
σ）を得るステップと、復号結果のｍを冗長化した冗長平文ｍ’を得るステップ
と、前記受信者と特定する固定値ＩＤb を前記乱数ｒと前記
冗長平文ｍ’から攪乱子ｈを作成するステップと、前記署名σが前記攪乱子ｈに対する正しい署名であるこ
とを前記署名検証鍵ｐｋｓを用いて検証し、検証に合格
すれば、前記ｍを正当なメッセージとし、不合格であれ
ばｍは不正なメッセージであると判断するステップとか
らなることを特徴とする認証付復号方法。
【請求項６】暗号文の受信者が該暗号文または、対応
する平文の作成者を認証する認証付暗号システムにおけ
る、認証付復号装置であって、受信者の復号鍵ｓｋｒ、署名検証鍵ｐｋｓとし、該署名
検証鍵ｐｋｓが公開鍵として公開されている場合に、公
開暗号方式を用いて二者間の暗号通信を行う際に、受信
者を特定する固有値をＩＤb として暗号文ｃを復号する
場合に、前記暗号文ｃを前記復号鍵ｓｋｒを用いて復号し、復号
の過程で不正な暗号文と判断された場合には処理を中止
し、正当な暗号文である場合には復号結果（ｍ，ｒ，
σ）を得る復号手段と、復号結果のｍを冗長化した冗長平文ｍ’を得る冗長化手
段と、前記受信者と特定する固定値ＩＤb を前記乱数ｒと前記
冗長平文ｍ’から攪乱子ｈを作成する攪乱子生成手段
と、前記署名σが前記攪乱子ｈに対する正しい署名であるこ
とを前記署名検証鍵ｐｋｓを用いて検証し、検証に合格
すれば、前記ｍを正当なメッセージとし、不合格であれ
ばｍは不正なメッセージであると判断する署名検証手段
と、を有することを特徴とする認証付復号装置。
【請求項７】暗号文の受信者が該暗号文または、対応
する平文の作成者を認証する認証付暗号システムで実行
される、認証付復号プログラムであって、受信者の復号鍵ｓｋｒ、署名検証鍵ｐｋｓとし、該署名
検証鍵ｐｋｓが公開鍵として公開されている場合に、公
開暗号方式を用いて二者間の暗号通信を行う際に、受信
者を特定する固有値をＩＤb として暗号文ｃを復号する
場合に、前記暗号文ｃを前記復号鍵ｓｋｒを用いて復号し、復号
の過程で不正な暗号文と判断された場合には処理を中止
し、正当な暗号文である場合には復号結果（ｍ，ｒ，
σ）を得る復号プロセスと、復号結果のｍを冗長化した冗長平文ｍ’を得る冗長化プ
ロセスと、前記受信者と特定する固定値ＩＤb を前記乱数ｒと前記
冗長平文ｍ’から攪乱子ｈを作成する攪乱子生成プロセ
スと、前記署名σが前記攪乱子ｈに対する正しい署名であるこ
とを前記署名検証鍵ｐｋｓを用いて検証し、検証に合格
すれば、前記ｍを正当なメッセージとし、不合格であれ
ばｍは不正なメッセージであると判断する署名検証プロ
セスと、を有することを特徴とする認証付復号プログラ
ム。
【請求項８】暗号文の受信者が該暗号文または、対応
する平文の作成者を認証する認証付暗号システムにおけ
る、認証付復号プログラムを格納した記憶媒体であっ
て、受信者の復号鍵ｓｋｒ、署名検証鍵ｐｋｓとし、該署名
検証鍵ｐｋｓが公開鍵として公開されている場合に、公
開暗号方式を用いて二者間の暗号通信を行う際に、受信
者を特定する固有値をＩＤb として暗号文ｃを復号する
場合に、前記暗号文ｃを前記復号鍵ｓｋｒを用いて復号し、復号
の過程で不正な暗号文と判断された場合には処理を中止
し、正当な暗号文である場合には復号結果（ｍ，ｒ，
σ）を得る復号プロセスと、復号結果のｍを冗長化した冗長平文ｍ’を得る冗長化プ
ロセスと、前記受信者と特定する固定値ＩＤb を前記乱数ｒと前記
冗長平文ｍ’から攪乱子ｈを作成する攪乱子生成プロセ
スと、前記署名σが前記攪乱子ｈに対する正しい署名であるこ
とを前記署名検証鍵ｐｋｓを用いて検証し、検証に合格
すれば、前記ｍを正当なメッセージとし、不合格であれ
ばｍは不正なメッセージであると判断する署名検証プロ
セスと、を有することを特徴とする認証付復号プログラ
ムを格納した記憶媒体。
【請求項９】送信者からの送信された暗号文の否認性
を取り消し、任意の第三者が平文に対する送信者の署名
を検証するための否認性取り消し方法において、乱数種ｓを公開することにより、前記暗号文の否認性を
取り消すことを特徴とする否認性取り消し方法。
【請求項１０】暗号文の否認性が取り消された平文と
署名の対に対する検証方法において、公開されている乱数種ｓから乱数ｒを生成するステップ
と、復号により得られた平文ｍを冗長化し、冗長平文ｍ’を
得るステップと、送信者を特定する固定値ＩＤb と、前記乱数ｒ及び前記
冗長平文ｍ’から攪乱子ｈを作成するステップと、復号により得られた署名σが前記攪乱子ｈに対する署名
であるか否かを検証鍵ｐｋｓを用いて検証するステップ
とからなることを特徴とする検証方法。
【請求項１１】暗号文の否認性が取り消された平文と
署名の対に対する検証装置であって、公開されている乱数種ｓから乱数ｒを生成する乱数生成
手段と、復号手段により得られた平文ｍを冗長化し、冗長平文
ｍ’を得る冗長化手段と、送信者を特定する固定値ＩＤb と、前記乱数ｒ及び前記
冗長平文ｍ’から攪乱子ｈを作成する攪乱子生成手段
と、前記復号手段により得られた署名σが前記攪乱子ｈに対
する署名であるか否かを検証鍵ｐｋｓを用いて検証する
署名検証手段と、を有することを特徴とする検証装置。
【請求項１２】暗号文の否認性が取り消された平文と
署名の対に対する検証プログラムであって、公開されている乱数種ｓから乱数ｒを生成する乱数生成
プロセスと、復号プロセスにより得られた平文ｍを冗長化し、冗長平
文ｍ’を得る冗長化プロセスと、送信者を特定する固定値ＩＤb と、前記乱数ｒ及び前記
冗長平文ｍ’から攪乱子ｈを作成する攪乱子生成プロセ
スと、前記復号プロセスにより得られた署名σが前記攪乱子ｈ
に対する署名であるか否かを検証鍵ｐｋｓを用いて検証
する署名検証プロセスと、を有することを特徴とする検
証プログラム。
【請求項１３】暗号文の否認性が取り消された平文と
署名の対に対する検証プログラムを格納した記憶媒体で
あって、公開されている乱数種ｓから乱数ｒを生成する乱数生成
プロセスと、復号プロセスにより得られた平文ｍを冗長化し、冗長平
文ｍ’を得る冗長化プロセスと、送信者を特定する固定値ＩＤb と、前記乱数ｒ及び前記
冗長平文ｍ’から攪乱子ｈを作成する攪乱子生成プロセ
スと、前記復号プロセスにより得られた署名σが前記攪乱子ｈ
に対する署名であるか否かを検証鍵ｐｋｓを用いて検証
する署名検証プロセスと、を有することを特徴とする検
証プログラムを格納した記憶媒体。