メッセージ写像を用いてメッセージサイズを縮小する暗号化方式及び署名方式
【課題】本発明のいくつかの実施形態によれば、暗号化方式が短い暗号文を生成するように、暗号化前にメッセージを処理する。
【解決手段】メッセージ処理は、メッセージを、短い暗号文を生成する別のメッセージに写像する写像（６１０）と見なすことができる。写像は、少なくとも、（場合によってはエンコードされた）メッセージ（Ｈ（Ｍ））が、例えば短いメッセージの集合［０，ｈ＆ｑｕｅｓｔ；］などの制限集合内にあれば、可逆である。本発明のいくつかの実施形態において、署名を短い署名に写像することによって、短い署名を提供する。写像（８１０）は、少なくとも、署名を生成するのに用いる元のメッセージ（Ｈ（Ｍ））が短ければ、可逆である。サインクリプション、集合署名、及びリング署名の出力も縮小される。
【解決手段】メッセージ処理は、メッセージを、短い暗号文を生成する別のメッセージに写像する写像（６１０）と見なすことができる。写像は、少なくとも、（場合によってはエンコードされた）メッセージ（Ｈ（Ｍ））が、例えば短いメッセージの集合［０，ｈ＆ｑｕｅｓｔ；］などの制限集合内にあれば、可逆である。本発明のいくつかの実施形態において、署名を短い署名に写像することによって、短い署名を提供する。写像（８１０）は、少なくとも、署名を生成するのに用いる元のメッセージ（Ｈ（Ｍ））が短ければ、可逆である。サインクリプション、集合署名、及びリング署名の出力も縮小される。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、２００３年１０月３１日に出願された合衆国仮出願第６０／５１５，９８２号の優先権を主張し、参照により本明細書に含む。
【０００２】
本発明は、コンピュータネットワーク上の安全な通信を含む暗号化及び安全な通信に関する。本発明は、暗号化されたメッセージ、署名、その他の暗号情報のサイズを縮小するのに用いることができる。
【背景技術】
【０００３】
暗号化されたメッセージ（「暗号文」）や署名等の暗号情報は、ネットワーク上で又は電子記憶媒体によりメールで受信者に送られる。暗号化を安全なものにするために、暗号文は、それに対応する暗号化されていない「プレーンテキスト」よりもかなり長くなることがある。同様に、署名は、該署名が生成されるメッセージよりもかなり長くなることがある。従って、望ましくはセキュリティを損なうことなく、暗号文や署名のサイズ（「帯域幅」）を縮小することが望ましい。
【０００４】
図１乃至図５に、ネットワーク１２０によって相互接続されたコンピュータシステム１１０（図１）間における暗号文及び署名の生成及び転送を示している。図２は、暗号文ｃを得るために「プレーンテキスト」メッセージＭに対してシステム１１０が実行する暗号化処理のフローチャートである。適切な暗号化の前に、メッセージＭは、値Ｈ（Ｍ）にエンコードされる（ステップ２１０）。エンコードは、異なる暗号化演算における同じメッセージＭに対して、異なるエンコードされたメッセージＨ（Ｍ）、よって異なる暗号文ｃを得ることができるように、いくつかのパディング及び／又はランダムビットをメッセージＭに加えてもよい。これにより、攻撃者が同じ暗号化方式により得られる異なる暗号文を傍受した場合に、攻撃者が復号化方式を推測（「戻換」）するのは難しくなる。
【０００５】
ステップ２２０で、エンコードされたメッセージＨ（Ｍ）を暗号化して、暗号文ｃを得る。ステップ２３０で、暗号文をネットワーク１２０を通じて他のシステム１１０に送信する。
【０００６】
復号化処理（図３）は、暗号化の逆である。暗号文ｃは、受信者システム１１０によって受信され（ステップ３０４）、復号化されてエンコードされたメッセージＨ（Ｍ）が復元される（ステップ３１０）。エンコードされたメッセージは、デコードされ（ステップ３２０）、元のメッセージＭが復元される。
【０００７】
図２において、エンコードステップ２１０と暗号化２２０とは、別個のステップとして示している。なぜなら、エンコード方式２１０及びデコード３２０（図３）は、公開されることがあるが、復号化３１０や場合により暗号化２２０は、秘密情報（例えば秘密鍵）に依拠しているからである。また、ステップ２１０と２２０との組み合わせを示すのに「暗号化」という表現を用いるのは適切であり、ステップ３１０と３２０との組み合わせに「復号化」という表現を用いるのは適切であり、また／或いは、エンコードステップ２１０とデコード３２０を省略すると言っても適切である。
【０００８】
図４に、システム１１０が実行する署名生成を示す。ステップ４１０で、メッセージＭをＨ（Ｍ）にエンコードし、ステップ４２０で、エンコードされたメッセージを処理して（署名して）、署名ｓ（Ｍ）を得る。署名ｓ（Ｍ）をネットワーク１２０を通じて受信者システム１１０に送信する（ステップ４３０）。受信者システム１１０は、図５に示すように署名を検証する。ステップ５０４で署名を受信し、ステップ５１０で処理して、エンコードされたメッセージＨ（Ｍ）を復元する。エンコードされたメッセージをデコードして（ステップ５２０）、元のメッセージＭを取得し、あるテストを行って該メッセージＭが確かに署名されたメッセージであるかどうか検証する。例えば、元のメッセージを別の送信で受信者システム１１０に提供して、ステップ５２０で復元したメッセージと比較することができる。いくつかの実施形態においては、メッセージはデコードせず、メッセージを復元することなく検証を実行することができる。
【０００９】
図４及び図５において、エンコードステップ４１０とステップ５２０とのデコードは、別個の動作として示しているが、ステップ４１０と４２０との組み合わせに「署名」という表現を用いるのも適切であり、ステップ５１０と５２０との組み合わせに「検証」という表現を用いるのも適切であり、また／或いは、エンコードステップ４１０とステップ５２０のデコード部分を省略すると言っても適切である。
【００１０】
公開鍵暗号化方式において、鍵所有者（システム１１０の１つのユーザ）は、２つの鍵、公開鍵（他者にも広く配信してもよい）と秘密鍵とを所有する。暗号化されたメッセージを鍵所有者に送信するために、送信者（別のシステム１１０のユーザ）は、図２のステップ２２０で、鍵所有者の公開鍵を用いてメッセージを暗号化し、暗号文を鍵所有者に送信する。エンコード方式及びデコード方式（図２及び図３のステップ２１０、３２０）は、公開されていてもよい。鍵所有者は、ステップ３２０でその秘密鍵を用いて、暗号文を復号化する。暗号化方式が安全であるために、秘密鍵を所有しない者が送信された暗号文を復号化することは不可能でなければならない。
【００１１】
公開鍵署名方式において、鍵所有者は、同様に公開鍵及び秘密鍵を使用する。ステップ４２０（図４）で、鍵所有者は、特定の方法でメッセージに秘密鍵を適用することによって、該メッセージに署名する。検証者は、（図５のステップ５１０で）鍵所有者の公開鍵を署名に適用し、（ステップ５２０で）ある特定の条件が満たされているかをチェックすることによって、鍵所有者がメッセージに署名したことを確認してもよい。署名方式が安全であるために、鍵所有者の秘密鍵を所有しない者が、鍵所有者が実際に署名したことがないメッセージについて、鍵所有者の署名を偽造することは不可能でなければならない。
【００１２】
公開鍵サインクリプション（ｐｕｂｌｉｃ−ｋｅｙ ｓｉｇｎｃｒｙｐｔｉｏｎ）方式において、望ましくは、送信者が署名と暗号文を別々に送信した場合よりも、サインクリプション送信（ｓｉｇｎｃｒｙｐｔｉｏｎ ｔｒａｎｓｍｉｓｓｉｏｎ）が少ない帯域幅を消費するように、送信者（システム１１０のユーザ）は、送信者の秘密鍵でメッセージＭをエンコードし署名し（図４のステップ４２０参照）、次に受信者の公開鍵で、署名されたメッセージｓ（Ｍ）を暗号化する（図２のステップ２２０参照）。（別のシステム１１０の）受信者は、その秘密鍵でサインクリプションを復号化し、送信者の公開鍵で送信者の署名を検証する。
【００１３】
公開鍵集合署名（ｐｕｂｌｉｃ−ｋｅｙ ａｇｇｒｅｇａｔｅ ｓｉｇｎａｔｕｒｅ）方式において、それぞれ公開鍵｛ＰＫ１，…，ＰＫｚ｝を有する署名者の集合｛Ｓ１，…，Ｓｚ｝は、彼らの集合署名−すなわち、各署名者ＳｉがメッセージＭｉに署名したことを検証するのに必要なビットストリング−が「短」かく、望ましくは、各署名者がそれぞれのメッセージに別々に署名した場合よりも少ない帯域幅を消費するように、それぞれのメッセージ｛Ｍ１，…，Ｍｚ｝に署名する。集合署名は、公開鍵｛ＰＫ１，…，ＰＫｚ｝を用いて検証される。
【００１４】
公開鍵リング署名（ｐｕｂｌｉｃ−ｋｅｙ ｒｉｎｇ ｓｉｇｎａｔｕｒｅ）方式において、署名者Ｓｉは、Ｓｉが一員である署名者の集合｛Ｓ１，…，Ｓｚ｝（すなわちＳｉ∈｛Ｓ１，…，Ｓｚ｝）を任意に選ぶことができ、検証者は誰であるかを確定できないが、｛Ｓ１，…，Ｓｚ｝の少なくとも１人の署名者がメッセージに署名したことを検証者に確信させる、メッセージに対する「リング署名」を生成する。従って、署名者Ｓｉは、可能性のある署名者の「リング」内で限定的な匿名性を有する。検証者は、公開鍵｛ＰＫ１，…，ＰＫｚ｝を用いてリング署名を検証する。通常、可能性のある署名者がｚ人のリング署名は、ｚ個の別々の署名と同じ長さであり、従って、基礎となる署名方式の帯域幅効率が良いことは不可欠である。
【００１５】
１９７６年に、Ｄｉｆｆｉｅ及びＨｅｌｌｍａｎは、公開鍵暗号化及び署名方式という概念を発表したが、具体的な実例を見つけることはできなかった。Ｒｉｖｅｓｔ、Ｓｈａｍｉｒ及びＡｄｌｅｍａｎは、Ａ Ｍｅｔｈｏｄ ｆｏｒ Ｏｂｔａｉｎｉｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ ａｎｄ Ｐｕｂｌｉｃ−Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ（Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，ｖ．２１ ｎ．２，ｐ．１２０−１２６，１９７８）という論文で、最初の公開鍵暗号化及び署名方式（今では「ＲＳＡ」方式として知られている）を提案したが、参照により本明細書に含まれる。
【００１６】
概略を言えば、ＲＳＡ暗号化方式は、以下のとおりである。鍵所有者は、合成（すなわち非素数の）整数法Ｎ＝ｐｑを生成する。ここで、ｐ及びｑは、大きい素数である（例えば５１２ビット）。鍵所有者は、また、φ（Ｎ）＝（ｐ−１）＊（ｑ−１）を計算する。最後に、鍵所有者は、ｅｄ≡１（ｍｏｄ φ（Ｎ））となるように、共に１よりも大きい整数ｅ及びｄを計算する。鍵所有者は、その公開鍵として（Ｎ，ｅ）を公開し、ｐとｑとｄを秘密にしておく。
【００１７】
メッセージＭを暗号化するために、送信者は、以下の「リスト１」に列挙した演算を実行する。
【００１８】
リスト１：ＲＳＡ暗号化
Ｍを［０，Ｎ−１］の整数ｍとして表現し、次に、暗号文ｃ≡ｍｅ（ｍｏｄ Ｎ）を設定する。
【００１９】
リスト１の終了。
【００２０】
暗号文を復号化するために、鍵所有者は、以下の演算を実行する。
【００２１】
リスト２：ＲＳＡ復号化
ｃｄ≡ｍｅｄ≡ｍ（ｍｏｄ Ｎ）を計算する。
【００２２】
リスト２の終了
暗号文は［１，Ｎ］の数であり、およそｌｏｇ２Ｎビットの長さであることに注意されたい。この復号化は、メッセージエンコードを仮定していないが、メッセージエンコードを使用することもできる。
【００２３】
ＲＳＡ署名方式について、鍵所有者は、その鍵をＲＳＡ暗号化におけるように生成する。適切にエンコードされたメッセージｍ∈［１，Ｎ］に署名するために、鍵所有者は、以下の演算を実行する。
【００２４】
リスト３：ＲＳＡ署名
ｓ＝ｍｄ（ｍｏｄ Ｎ）を計算する。
【００２５】
リスト３の終了
検証者は、鍵所有者の公開鍵を用いて、以下の演算を実行することにより署名ｓを確認することができる。
【００２６】
リスト４：ＲＳＡ署名
ｓｅ≡ｍ（ｍｏｄ Ｎ）かどうかチェックする。
【００２７】
リスト４の終了
この場合も、署名は、およそｌｏｇ２Ｎビットの長さである。
【００２８】
Ｒａｂｉｎは、Ｄｉｇｉｔａｌｉｚｅｄ Ｓｉｇｎａｔｕｒｅｓ ａｎｄ Ｐｕｂｌｉｃ−Ｋｅｙ Ｆｕｎｃｔｉｏｎｓ ａｓ Ｉｎｔｒａｃｔａｂｌｅ ａｓ Ｆａｃｔｏｒｉｚａｔｉｏｎ （ＭＩＴ／ＬＣＳ／ＴＲ−２１２，ＭＩＴ Ｌａｂｏｒａｔｏｒｙ ｆｏｒ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｍａｓｓａｃｈｕｓｅｔｔｓ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，ＵＳＡ １９７９）という論文で、少し違った暗号化方式及び署名方式を提案したが、参照により本明細書に含まれる。この方式において、鍵所有者は、ＲＳＡにおけるように法Ｎを生成し、その公開鍵を（Ｎ，ｅ）に設定する。適切にエンコードされたメッセージｍに対し、暗号文はｃ＝ｍｅ（ｍｏｄ Ｎ）である点で、暗号化もまたＲＳＡと同じである。暗号文は、およそｌｏｇ２Ｎビットである。しかしながら、Ｒａｂｉｎの方式では、特定の値ｅ＝２を使用する。これには２つの理由がある。第１に、ｅ＝２に設定すると、非常に高速な暗号化及び署名検証が可能になる。第２に、法Ｎを因数分解するのは難しいと仮定して、ｅ＝２に設定すると、その結果生じる方式は解読するのが難しいことを証明することができる。（適切なエンコードを用いて）因数分解をＲａｂｉｎの方式に変形することは当技術において公知である。
【００２９】
以下、ＯＡＥＰ＋メッセージエンコードを含むＲａｂｉｎ暗号化方式について説明する。基礎となる暗号化方式が解読しにくいものと仮定して、ＯＡＥＰ＋エンコードは、ランダムオラクルモデルにおいて、適応的選択暗号文攻撃に対して証明可能なセキュリティをもたらす。
【００３０】
ＯＡＥＰ＋エンコード方式では、（図２のステップ２１０で）以下の式（１）によって定義される３つのハッシュ関数を用いる。
【数１】
【００３１】
ここで、ｍ，ｋ０，ｋ１は、所定の正の整数のセキュリティパラメータである。ｉごとに、式｛０，１｝ｉは、長さｉの全ての０と１のストリング（「ビットストリング」）の集合を示す。同式は、また、ｉ以下の長さの全てのビットストリングの集合を示す。ストリング長がｉよりも短い場合、該ストリングは左側に０を付け加えて長さｉにすることができる。式（１）のこのＨ関数は、中間値に使用して、メッセージエンコードを計算するためのものであり、図２のステップ２１０に示すエンコードされたメッセージＨ（Ｍ）と混同すべきではない。高いセキュリティを得るために、数量
【数２】
【００３２】
と、
【数３】
【００３３】
は、ごくわずかであるべきだが、正の整数であればうまくいく。ｎ＝ｍ＋ｋ０＋ｋ１であれば、望ましくは２ｎ＜Ｎ＜２ｎ＋２ｎ−１となるようにＮを選択する。メッセージＭ∈｛０，１｝ｍを暗号化するために、送信者は、以下の演算を実行する。
【００３４】
リスト５：Ｒａｂｉｎ‐ＯＡＥＰ暗号化手順
（ステップ２１０（図２）は、以下のステップ１乃至３に対応する。）
１．任意の
【数４】
【００３５】
を選択する。
【００３６】
２．
【数５】
【００３７】
及び
【数６】
【００３８】
を設定する。ここで、二重縦棒の記号“‖”は、ストリング連結を示す。
【００３９】
３．ｎビットストリングである、ｘ←ｓ‖ｔを設定する（ｘは、図２のステップ２１０の最終的にエンコードされた値Ｈ（Ｍ）に対応する）。
【００４０】
４．ステップ２２０：暗号文ｃ←ｘ２（ｍｏｄ Ｎ）を計算する。ここで、ビットストリングｘは、１つの数として解釈する。ｘ＝ｘ０ｘ１…ｘｎ−１に関し、該数は、ｘ０＋ｘ１*２＋…＋Ｘｎ−１*２ｎ−１である。
【００４１】
リスト５の終了。
【００４２】
復号化のために、受信者は、以下の演算を実行する。
【００４３】
リスト６：Ｒａｂｉｎ−ＯＡＥＰ復号化手順
１．ステップ３１０（図３）：Ｎを法とするｃのモジュラ平方根を計算する（図３のステップ３１０）。お分かりのように、Ｎは、２つの素数の積であるので、ｃは、４つのモジュラ平方根ｘ１，ｘ２，ｘ３，ｘ４まで持つことができ、ここでｘ１＝−ｘ２であり、ｘ３＝−ｘ４である。ｘ１及びｘ２の少なくとも１つと、ｘ３及びｘ４の少なくとも１つは、ｎ以下のビットを有する。一般性を失うことなく、ｘ１及びｘ３のそれぞれは、ｎ以下のビットを有するものとする。
【００４４】
２．ステップ３２０：受信者は、
【数７】
【００４５】
と、
【数８】
【００４６】
について、各候補ｘｉ（ｉ＝１，３）を、ｓｉ‖ｔｉに構文解析し、次に、
【数９】
【００４７】
について、ｓｉを、
【数１０】
【００４８】
に構文解析する。ｉ＝１，３ごとに、受信者は、
【数１１】
【００４９】
及び
【数１２】
【００５０】
を計算し、
【数１３】
【００５１】
かどうかテストする。条件が満たされる唯一のｉが存在する場合、受信者は、正確なプレーンテキストとしてＭｉを出力し、そうでなければ（かかるｉがない場合や、ｉ＝１とｉ＝３の両方に対し条件が満たされる場合）、受信者は、復号化の失敗を示す。
【００５２】
リスト６の終了。
【００５３】
以下、全領域ハッシュを用いたメッセージ復元によるＲａｂｉｎ署名方式について説明する。「全領域ハッシュ」という表現は、ハッシュ関数（１がそれぞれ最大値ｍ，ｋ１，ｋ０と同じ長さの値を持つことができることを意味する。エンコードや、さらにはモジュラ平方根の計算に対し様々なアプローチが可能である。以下の説明は、可能なアプローチの１つにすぎない。上記のＲａｂｉｎ暗号化に関する関連パラメータを、ｐ≡３（ｍｏｄ ８）及びｑ≡７（ｍｏｄ ８）という付加的な制約で定義すると、署名者は、以下の演算を実行する。
【００５４】
リスト７：Ｒａｂｉｎ−ＯＡＥＰ署名手順
エンコードステップ４１０（図４）は、以下のステップ１乃至２に対応する。
【００５５】
１．任意の
【数１４】
【００５６】
を選択する。
【００５７】
２．
【数１５】
【００５８】
及び
【数１６】
【００５９】
を設定する。
【００６０】
３．ｎビットの整数である、ｙ←ｓ′‖ｓ″‖ｔを設定する。値ｙは、図４のＨ（Ｍ）に対応する。署名ステップ４２０（図４）は、以下のステップ４乃至１１に対応する。
【００６１】
４．ｕｑ←ｙ（ｑ＋１）／４（ｍｏｄ ｑ）を計算する。
【００６２】
５．
【数１７】
【００６３】
であれば、ｅｙ←１に設定し、そうでなければ、ｅｙ←−１に設定する。
【００６４】
６．ｕｐ←（ｅｙｙ）（ｐ＋１）／４（ｍｏｄ ｐ）を計算する。
【００６５】
７．
【数１８】
【００６６】
であれば、ｆｙ←１に設定し、そうでなければ、ｆｙ←２に設定する。
【００６７】
８．ｖｑ←ｆｙ（３ｑ−５）／４ｕｑ（ｍｏｄ ｑ）とｖｐ←ｆｙ（３ｐ−５）／４ｕｐ（ｍｏｄ ｐ）を計算する。
【００６８】
９．ｗ←ｖｑ＋ｑ（ｑｐ−２（ｖｐ−ｖｑ）ｍｏｄ ｐ）を計算する。
【００６９】
１０．２ｗ＜Ｎであれば、ｘ←ｗに設定し、そうでなければ、ｘ←Ｎ−ｗに設定する。数ｘは、ｅｙｙ／ｆｙ（ｍｏｄ Ｎ）の平方根である。
【００７０】
１１．署名（ｅｙ，ｆｙ，ｒ，ｘ）を出力する。
【００７１】
リスト７の終了。
【００７２】
２（３ｑ−５）／４（ｍｏｄ ｑ）、２（３ｐ−５）／４（ｍｏｄ ｐ）、及びｑｐ−２（ｍｏｄ ｐ）の値は、事前に計算できる。従って、リスト７のステップ８及び９は、署名時間にほとんど何も付加しない。署名は、以下のように検証される。
【００７３】
リスト８：Ｒａｂｉｎ−ＯＡＥＰ検証手順
１．ステップ５１０（図５）：ｙｔｍｐ←ｅｙｆｙｘ２（ｍｏｄ Ｎ）を計算する。
【００７４】
２．ステップ５２０：ｙｔｍｐがｎビットであることを確認し、ｙｔｍｐを、
【数１９】
【００７５】
に構文解析し、
【数２０】
【００７６】
及び、
【数２１】
【００７７】
を計算し、
【数２２】
【００７８】
であることを確認する。
【００７９】
リスト８の終了。
【００８０】
メッセージＭ＝Ｍｔｍｐは、検証処理中に復元されることに注意されたい。
【００８１】
リスト５乃至８の暗号化方式及び署名方式は、因数分解と同じくらい証明可能に安全である（本説明ではプルーフは省略されているが）。これらの方式は、計算上非常に効率的ではあるが、暗号文と署名のビット長は、およそｌｏｇ２Ｎであることにさらに注目されたい。最新の因数分解方式に対して安全であるために、Ｎは、少なくとも１０２４ビットであるべきである。
【００８２】
Ｒａｂｉｎ署名を用いるリング署名方式が、Ｒ．Ｌ．Ｒｉｖｅｓｔ、Ａ．Ｓｈａｍｉｒ及びＴ．Ｔａｕｍａｎ著、Ｈｏｗ ｔｏ Ｌｅａｋ ａ Ｓｅｃｒｅｔ（Ｐｒｏｃ．ｏｆ Ａｓｉａｃｒｙｐｔ ２００１，５５２−５６５頁）という論文で提案されており、参照により本明細書に含まれる。概略を言えば、公開法｛Ｎ１，…，Ｎｚ｝を有する署名者｛Ｓ１，…，Ｓｚ｝に対し、この論文は、以下のようなリング署名を提案する。
【００８３】
リスト９：リング署名
リング署名は、（ｘ′１，…，ｘ′ｚ）であり、式
【数２３】
【００８４】
を満たす。ここで、
【数２４】
【００８５】
であり、ｖ及びｗは、所定のビットストリングであり、Ｃは、「結合関数」である。
【００８６】
リスト９の終了。
【００８７】
この論文は、以下の結合関数を推奨している。
【数２５】
【００８８】
ここで、Ｅｋは、鍵ｋを用いた対称暗号化方式である。（対称暗号化方式は、暗号化と復号化の両方に同じ鍵を用いる。メッセージＭは、暗号文Ｅｋ（Ｍ）に暗号化される）。
【００８９】
彼らの方式は、また、法Ｎｉが異なるビット長を有することを避けるうまいやり方を用いる。ｇｉが、関数
【数２６】
【００９０】
を示すものとする。
【数２７】
【００９１】
に設定する代わりに、定義域｛０，１｝ｂに関して、ｙｉを定義し、ここで、２ｂは、どの法よりもはるかに大きい。具体的に、
リスト１０：リング署名のための２乗
ｘ′ｉ＝ｑｉＮｉ＋ｒｉ∈［０，２ｂ−１］に関し、（ｑｉ＋１）Ｎｉ≦２ｂであれば、ｙｉ＝ｑｉＮｉ＋ｇｉ（ｒｉ）であり、
そうでなければ、ｙｉ＝ｘ′ｉである。
【００９２】
リスト１０の終了。
【００９３】
ここで、ｑｉは、Ｎｉでｘ′ｉを整数除法した商であり、ｒｉは余りである。ｂが十分に大きい限り、（ｑｉ＋１）Ｎｉ＞２ｂである全てのｙｉの割合は無視できるので、写像ｘｉ→ｙｉは、Ｎｉを法とする２乗とほとんど区別が付かない作用をする。
【００９４】
これらの考慮すべき事柄を念頭において、リング署名は、以下のように生成される（Ｓｉは、「真の」署名者であるとする）。
【００９５】
リスト１１：リング署名
１．ｋ＝Ｈ（Ｍ）を計算する。ここで、Ｍは、署名するメッセージであり、Ｈは、ハッシュ関数である。
【００９６】
２．任意のｖ∈｛０，１｝ｂを選択する。
【００９７】
３．ｊ≠ｉごとに、
３Ａ．ｊ≠ｉに対し任意のｘ′ｊ∈｛０，１｝ｂを選択する。
【００９８】
３Ｂ．リスト１０におけるようにｙｊを計算する。
【００９９】
４．
【数２８】
【０１００】
となるように、ｙｉを計算する。
【０１０１】
５．Ｎｉについての秘密の知識を用いて、リスト１０の写像によってｘ′ｉがｙｉに写像されるようにｘ′ｉを計算する。
【０１０２】
６．リング署名（ｘ′１，…，ｘ′ｚ，ｖ）を出力する。
【０１０３】
リスト１１の終了。
【０１０４】
ステップ４に関して、
【数２９】
【０１０５】
であることに注目されたい。
【０１０６】
次に、
【数３０】
【０１０７】
であることに注目されたい。
【０１０８】
一般的に、
【数３１】
【０１０９】
であり、リング署名者は、この式を用いて、ｙｊの値からｙｉを計算する（ｊ≠ｉである）。ｘ′ｉを計算するために、リング署名者は、
【数３２】
【０１１０】
を計算する。これは、基本的には、単にモジュラ平方根の計算である。ｙｉのいくつかの値は、実際にはそれらの約４分の３は、モジュラ平方根を持たない。この場合、ｙｉがＮｉを法とする平方剰余となるまで、ステップ３を再び実行しなければならない。
【０１１１】
リスト１２：リング署名検証。
【０１１２】
１．ｋ＝Ｈ（Ｍ）を計算する。全てのｊについて、リスト１０の写像を逆にすることによって、ｘ′ｊからｙｊのそれぞれの値を計算する。
【０１１３】
２．
【数３３】
【０１１４】
であることを確認する。
【０１１５】
リスト１２の終了。
【０１１６】
上述の暗号化方式及び署名方式において、暗号文と署名は、ｌｏｇ２Ｎ≧１０２４ビット長である。復号化や署名検証は、完全な暗号文や署名を必要とするので、これらのように長い暗号文や署名は、特に、損失をこうむりやすいチャネル上で問題を生じることがある。また、長い暗号文や署名は、暗号文や署名が複数のパケットにわたって分割されるパケットフラグメンテーションに関する問題に遭遇する可能性が高い。また、短い署名や暗号文は、送信するのに電力効率がよい。Ｋ．Ｂａｒｒ及びＫ．Ａｓａｎｏｖｉｃ著、Ｅｎｅｒｇｙ Ａｗａｒｅ Ｌｏｓｓｌｅｓｓ Ｄａｔａ Ｃｏｍｐｒｅｓｓｉｏｎ（Ｐｒｏｃ．ｏｆ ＭｏｂｉＳｙｓ ２００３）によれば、単一ビットの無線送信は、３２ビットの計算の１０００倍以上のエネルギーがかかることがある。バッテリー電源式コンピュータシステムにおいては、無線送信に必要なエネルギー消費は深刻なネックになることがある。また、信号干渉は、所定の領域においてバッテリー電源式システムによって無線送信できるデータ量に物理的制限を設ける。
【０１１７】
セキュリティの観点から、Ｒａｂｉｎの方式は、因数分解と同じくらい解読するのが難しいことが証明できるという非常に望ましい性質を有し、これは可能であれば保持すべき性質である。従って、ｌｏｇ２Ｎビット法を因数分解するのは難解であることを仮定した、しかし、暗号文は、ｌｏｇ２Ｎビットよりもかなり短い、証明可能に安全である暗号化方式が必要である。また、署名がｌｏｇ２Ｎビットよりもかなり短い証明可能に安全な署名方式も必要である。さらに、署名方式は、望ましくは、Ｒａｂｉｎ署名のメッセージ復元特性を保持すべきである。
【０１１８】
また、因数分解に基づくが、Ｒａｂｉｎの暗号化及び署名方式の拡張を用いる方式よりも帯域幅効率が良い、例えば、サインクリプション、集合署名、リング署名などの先進の暗号化方式も必要である。
【発明の開示】
【発明が解決しようとする課題】
【０１１９】
この項では、本発明のいくつかの特徴を要約する。他の特徴は、後の項で説明する。本発明は、添付の請求項により定義され、該請求項は、参照によりこの項に含まれる。
【課題を解決するための手段】
【０１２０】
本発明のいくつかの実施形態によれば、暗号化の前にメッセージを処理して、暗号文を短くする。典型的な処理を、図６のステップ６１０に示す。ステップ２１０（エンコード）、２２０（暗号化）及び２３０（送信）は、図２のようであることがある。特に、暗号化方式２２０は、ある所定長に等しい長さ（例えば、Ｎ−１以下の数の長さ、ここで、Ｎは、Ｒａｂｉｎ暗号化の場合の法である）の暗号文や、より短い暗号文や、場合によっては、より長い暗号文を提供することができる。ステップ２１０（エンコード）の後、写像ステップ６１０を実行して、エンコードされたメッセージＨ（Ｍ）を所定の集合Ｂの中間数ｂに写像する。写像はπと示す。集合Ｂは、暗号化方式２２０がそれについて短い暗号文を生成するあるメッセージの集合である。
【０１２１】
いくつかの実施形態では、ステップ２２０でＲａｂｉｎ暗号化方式を使用する、すなわちｃ＝ｂ２（ｍｏｄ Ｎ）。いくつかの実施形態において、Ｂ＝ＢＮ，Ｑ＝｛ｘ∈［１，Ｎ］：ｘ２（ｍｏｄ Ｎ）∈Ｑ｝であり、ここで、Ｑは、Ｎを法とする全ての整数の真部分集合である。いくつかの実施形態では、Ｑは、ｈ′−ｈ＜Ｎとなるような、ある整数ｈ，ｈ′に関する部分値域［ｈ，ｈ′］である。これらのＱに関し、集合ＢＮ，Ｑは、ＢＮ，ｈ，ｈ′と示す。従って、ＢＮ，ｈ，ｈ′＝｛ｘ∈［１，Ｎ］：ｈ≦ｘ２（ｍｏｄ Ｎ）≦ｈ′｝。
【０１２２】
Ｎを法とする全ての整数の集合ＺＮの数は、公知の方法で円の上の点として示すことができる。部分値域［ｈ，ｈ′］は、集合｛ｈ，ｈ＋１，…ｈ′｝か、集合｛ｈ′，ｈ′＋１，…ｈ｝かである。曖昧さを避けるために、本明細書中、異なる意味が明白に記載されているか、文脈から明らかである場合を除いて、［ｈ，ｈ′］は、２つの部分値域の内、一番小さいものであるとする。特に、ｈ′は、ｈよりも小さい数によって示すことがある。例えば、ｈ＝Ｎ−１＝−１（ｍｏｄ Ｎ）で、ｈ′＝１であるならば、［ｈ，ｈ′］＝｛Ｎ−１，Ｎ，１｝＝｛Ｎ−１，０，１｝である。
【０１２３】
ｈ′−ｈが与えられると、数ｈ，ｈ′にとってよい選択は、ｈ＝０又は−ｈ＝ｈ′である。なぜなら、幅ｈ′−ｈの部分値域の内、０に近い部分値域は、最も短いビット長の数を有するからである。
【０１２４】
いくつかの実施形態において、ＢＮ，ＱがＢ２Ｎ，Ｑ＝｛ｘ∈［０，Ｎ／２］：ｘ２（ｍｏｄ Ｎ）∈Ｑ｝か、ＢＺＮ，Ｑ＝｛ｘ∈ＺＮ*：ｘ２（ｍｏｄ Ｎ）∈Ｑ｝によって置き換えられる場合、同様の結果が得られる。ここで、ＺＮ*は、Ｎを法として可逆である（すなわち、Ｎに対し公約数を持たない）全ての整数の集合ｘ∈［０，Ｎ／２］である。Ｑ＝［ｈ，ｈ′］であれば、Ｂ２Ｎ，Ｑは、Ｂ２Ｎ，ｈ，ｈ′と示され、ＢＺＮ，Ｑは、ＢＺＮ，ｈ，ｈ′と示される。
【０１２５】
いくつかの実施形態において、ｈ″＜Ｎのある区間［０，ｈ″］において、エンコードされたメッセージＨ（Ｍ）は、短いメッセージである。また、写像πをステップ６１０でプレーンテキストＭに適用してＭをｂに写像することで、エンコードステップ２１０（図６）は省略することができる。プレーンテキストＭは、［０，ｈ″］に含まれることがある。用語に関して、写像ステップ２１０が存在しても、プレーンテキストＭをある数ｂ∈Ｂに変換するステップ２１０、６１０の組み合わせを述べるのに「エンコード」という表現を用いることができる。
【０１２６】
復号化（図７）は、暗号化処理の逆となることがある。（図３のように）短い暗号文ｃは、ステップ３０４で受信者が受信し、ステップ３１０で復号化して中間メッセージｂ∈Ｂを復元する。復号化方式３１０では、ある所定長に等しい長さ（例えば、Ｎ−１以下の数の長さ、ここでＮはＲａｂｉｎ復号化の場合の法である）の暗号文や、より短い暗号文や、場合によってはより長い暗号文を復号化することができる。ステップ７１０で逆写像π−１を適用して、ｂをＨ（Ｍ）に写像する。次に、Ｈ（Ｍ）をデコードして（ステップ３２０）プレーンテキストＭを復元する。
【０１２７】
本発明のいくつかの実施形態において、短い署名が提供される。図８に、１つの署名方式の実施形態を示す。図４のように、ステップ４１０で、メッセージＭをＨ（Ｍ）にエンコードする。いくつかの実施形態において、メッセージＨ（Ｍ）は、上述の部分値域［ｈ，ｈ′］にある。ステップ４２０で、署名方式を適用してメッセージに署名し、中間署名ｂを得る。この署名方式（例えばモジュラ平方根計算）は、所定の長さ以下の長さや、場合によっては、より長い全てのメッセージＨ（Ｍ）に適応する。ステップ４１０、４２０は、先行技術におけるようなものであっても良いし、そうでなくてもよい。いくつかの実施形態は、ＯＡＥＰ＋エンコードのＲａｂｉｎ署名を用いる。しかしながら、中間署名ｂは、上述のタイプの集合Ｂにある。いくつかの実施形態において、これは、メッセージＭを、エンコードＨ（Ｍ）がＢに署名を有するメッセージの集合に限定することによって得られる。いくつかの実施形態において、エンコードされたメッセージＨ（Ｍ）は、短く（ある所定の長さよりも短い）、例えば、あるｈ″＜Ｎに関してＨ（Ｍ）∈［０，ｈ″］であり、署名方式４２０では、短いメッセージを集合Ｂに写像する。中間署名ｂは、長いビットストリングであってもよいことに注目されたい。
【０１２８】
ステップ８１０で、写像θを適用して中間署名ｂを、短い署名ｓに写像する。ステップ４３０で、署名ｓを受信者に送信する。
【０１２９】
署名検証を、図９に示す。ステップ５０４で、短い署名ｓは、受信者コンピュータシステム１１０で受信される。ステップ９１０で、逆写像θ−１を適用して、中間署名ｂを復元する。ステップ５１０、５２０で、検証を実行する。例えば、ステップ５１０で、中間署名を処理してＨ（Ｍ）を復元することができる。ステップ５２０で、図５のステップ５２０におけるように検証を実行することができる。ステップ５１０、５２０の方法は、ある所定長に等しい長さ（例えば数Ｎ−１の長さ、ここで、Ｎは、法である）のメッセージＨ（Ｍ）の署名や、より短いメッセージＨ（Ｍ）の署名や、場合によっては、より長いメッセージＨ（Ｍ）の署名を検証するのに適している。
【０１３０】
いくつかの実施形態において、集合Ｂは、全てのメッセージの集合よりも濃度が低いが、Ｂの個々のメッセージは、エンコードされたメッセージＨ（Ｍ）よりも長いことがある。このため、写像π−１とθは、一般的に圧縮と呼び、写像πとθ−１は、復元と呼ぶ。本発明は、実際の圧縮又は復元が起こる場合、すなわち、写像π−１又はθが各数をそれより短い数に写像するか、写像π又はθ−１が各数をそれより長い数に写像する実施形態に限定されない。
【０１３１】
いくつかの公開鍵暗号化及び署名の実施形態において、暗号文と署名のサイズは、通常のｌｏｇ２Ｎビットではなく、最大でも約２／３ｌｏｇ２Ｎビットである。同時に、圧縮及び署名方式のセキュリティは、かなり大きい（ｌｏｇ２Ｎ）ビットの数Ｎを因数分解することに基づく。
【０１３２】
いくつかの実施形態において、ｈ′−ｈが、約８＊Ｎ２／３以上である時、小さい定数ｃ１に関して、写像θは、Ｂ２Ｎ，ｈ，ｈ′内の数を長さｃ１＋ｌｏｇ２（ｈ′−ｈ）のビットストリングに写像する。いくつかの実施形態では、ｃ１≦３である。いくつかの実施形態において、写像πは長さ−ｃ２＋ｌｏｇ２（ｈ′−ｈ）のビットストリングを、Ｂ２Ｎ，ｈ，ｈ′内の数に写像する。ここで、ｃ２は、小さい定数である。いくつかの実施形態において、ｃ２＝ｌｏｇ２５≦３である。いくつかの公開鍵暗号化及び署名の実施形態において、両写像は、公開されている。すなわち、写像と、それらの逆は、秘密情報を必要とすることなく効率的に計算することができる。
【０１３３】
いくつかの実施形態において、帯域幅縮小サインクリプション方式を提供する。送信者は、送信者の公開鍵ＮＡと受信者の公開鍵ＮＢに関連して用いられる、例えば、θＡやθＢなどの、２つのバージョンのθ写像を使用する。ＮＡとＮＢは、ほぼ同じビット長でもよいが、必然ではない。いくつかの実施形態において、サインクリプションは、構造（ｃ１＋ｌｏｇ２（ｈ′−ｈ））ビット長である。このサインクリプションは、同時に、受信者が解読できるようにメッセージを暗号化し、メッセージに対する送信者の署名を含める。受信者は、送信者の公開鍵を用いて検証することができる。
【０１３４】
いくつかの実施形態において、帯域幅縮小集合署名方式を提供する。署名者｛Ｓ１，…，ＳＺ｝は、公開鍵｛Ｎ１，…，ＮＺ｝を有し、メッセージ｛Ｍ１，…，ＭＺ｝に順に署名する。これは、署名者Ｓｉが、Ｓｉ−１からｓｉ−１を受信した後にＭｉの署名ｓｉを生成することを意味する。鍵Ｎｉは、ほぼ同じビット長でもよいが、必然ではない。いくつかの実施形態において、各ｓｉ−１は、Ｂの要素の（θｉ−１によって）圧縮された表現であり、ここで、Ｂは、ｉに依存することもあればそうでないこともある。例えば、Ｂは、Ｂ２Ｎ，ｈ，ｈ′であることもある。ここで、Ｎ、ｈ及びｈ′は、ｉに依存することもあればそうでないこともあり、ｓｉは、基本的に［ｈ，ｈ′］の数のＮｉを法とする圧縮平方根として計算される。その数は、ｓｉ−１とＭｉに依存する。
【０１３５】
いくつかの実施形態において、帯域幅縮小リング署名方式を提供する。いくつかの実施形態において、Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ｔａｕｍａｎリング署名方式が、本発明の圧縮方式を、本発明の他の手法と組み合わせて用いて、上記リスト９の
【数３４】
【０１３６】
の値を短くできるようにすることによって改良されている。
【０１３７】
本発明の他の特徴や利点について、以下に述べる。本発明は、添付の請求項によって定義される。
【発明を実施するための最良の形態】
【０１３８】
１．前置き
後の説明では、いくつかの数学的表記を用いるが、その多くを便宜上ここに集める。｛０，１｝*を全てのビットストリングの集合を示すものとし、｛０，１｝ｎを長さｎの全てのビットストリングの集合を示すものとする。後者の表現は、また、ｎ以下の長さの全てのビットストリングの集合を示す。ストリング長が、ｎよりも小さい場合、該ストリングは、左側に０を付け加えることで長さｎにすることができる。通常、Ｈは、暗号ハッシュ関数及び／又はエンコードされたメッセージを示す。例えば、ＳＨＡ‐１やＭＤ５など、様々な暗号ハッシュ関数が、当技術で公知である（例えば、ＲＦＣ‐２１０４，Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ，Ｎｅｔｗｏｒｋｉｎｇ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ，Ｈ．Ｋｒａｗｃｚｙｋ ｅｔ ａｌ．，ＨＭＡＣ：Ｋｅｙｅｄ‐Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，１９９７年２月、参照により本明細書に含む、を参照）。ハッシュ関数が耐衝突性であること、すなわち、Ｈ（ｍ１）＝Ｈ（ｍ２）となるようなｍ１≠ｍ２を見つけるのが計算上難しいことが望ましい。
【０１３９】
実数ｒに関して、
【数３５】
【０１４０】
は、ｒの天井、すなわち、ｒ以上の最小の整数値を示す。同様に、
【数３６】
【０１４１】
は、ｒの床、すなわち、ｒ以下の最大の整数値を示す。最後に
【数３７】
【０１４２】
は、ｒに最も近い整数を示す。記号‖は、連結を示す。
【０１４３】
本明細書中、Ｎは、整数法を示す。有効なセキュリティのために、Ｎは、因数分解が計算上難しいものであるべきである。実際には、Ｎを２つの大きい素数ｐ及びｑ、例えば、各々５１２ビット、の積として生成することが多い。しかしながら、暗号文献に見られるように、ｄ＞１として、Ｎ＝ｐｄｑに設定すると、効率的利点があることが多い。本発明の方式では、Ｎは、任意の形式をとれる。しかしながら、後の説明では、便宜上、Ｎ＝ｐｑとする。
【０１４４】
「格子」は、基底ベクトルの集合の整数線形結合として生成することができる全てのベクトルの集合からなる。例えば、（ａ，ｂ）及び（ｃ，ｄ）が二次元空間において２つの基底ベクトルである場合、それらによって生成される格子は、ベクトル｛（ｋ１ａ＋ｋ２ｃ，ｋ１ｂ＋ｋ２ｄ）：ｋ１，ｋ２∈Ｚ｝の集合である。Ｚは、全ての整数の集合である。
【０１４５】
２．追加の前置き：Ｂ２Ｎ，ｈ，ｈ′内の数の分布
Ｎを法とする平方剰余が一様に分布していたならば、Ｂ２Ｎ，ｈ，ｈ′は、およそｈ′−ｈ個の数を含むと予想される。差し当たりＢ２Ｎ，ｈ，ｈ′が、ｈ′−ｈ個の数を含むとすれば、情報理論の観点から、
【数３８】
【０１４６】
ビットを用いて、Ｂ２Ｎ，ｈ，ｈ′内の各数を一意に示すことは可能である。しかしながら、Ｂ２Ｎ，ｈ，ｈ′内の数は、ランダムに見えるように、区間［１，Ｎ／２］にわたって分散しており、従って、効率的に、つまり、計算の複雑性が小さい定数ｃに対し最大でＯ（（ｌｏｇＮ）ｃ）である方法を用いて、ある数の一意の表示を計算することができるかは少しも明らかではない。（文字ｃは、定数と暗号文の両方に用いるが、これら２つの使用は混同すべきでない）。
【０１４７】
Ｂ２Ｎ，ｈ，ｈ′の局所分布の解析
効率的に計算でき可逆であるＢ２Ｎ，ｈ，ｈ′内の数の簡潔な表示を作成するために、Ｂ２Ｎ，ｈ，ｈ′内の数がどのように［１，Ｎ／２］に分布しているかを理解するのが望ましい。この分布は、参照により本明細書に含まれる、Ｂ．Ｖａｌｌｅｅ著、Ｐｒｏｖａｂｌｙ Ｆａｓｔ Ｉｎｔｅｇｅｒ Ｆａｃｔｏｒｉｎｇ ｗｉｔｈ Ｑｕａｓｉ‐Ｕｎｉｆｏｒｍ Ｓｍａｌｌ Ｑｕａｄｒａｔｉｃ Ｒｅｓｉｄｕｅｓ（Ｐｒｏｃ．ｏｆ ＳＴＯＣ １９８９，９８‐１０６ページ）によって、因数分解問題（数Ｎの素因数を見つける問題）に関連して、−ｈ＝ｈ′＝４Ｎ２／３について研究されている。Ｖａｌｌｅｅは、−ｈ＝ｈ′＝４Ｎ２／３について、Ｂ２Ｎ，ｈ，ｈ′内の数の分布を解析した。彼女の観測を用いて、証明可能に低い計算の複雑性を有する（複雑性は、やはりまだ高くて、非常に大きい数（例えば、１０２４ビット）を因数分解することはできないが）因数分解方式が、Ｂ＝Ｂ２Ｎ，ｈ，ｈ′から「擬一様に」数を抜き出すサブルーチンを用いて、すなわち、ある定数ｃについて、所定の数が引き出される確率が、他の数が選択される確率のｃ倍以内であるようにして、開発された。
【０１４８】
Ｖａｌｌｅｅは（本発明によって利用されるような）圧縮方式を開発しておらず、確かに、Ｖａｌｌｅｅの因数分解方式の論考では、かかる圧縮方式は無意味であるようだが、ＶａｌｌｅｅのＢ２Ｎ，ｈ，ｈ′の分布についての観測は有用である。Ｖａｌｌｅｅの観測のいくつかを以下に列挙する。
【０１４９】
Ｆａｒｅｙ数列：
オーダーｋのＦａｒｅｙ数列Ｆｋは、ａ１＝０を除いて、１≦ａｉ≦ｂｉ≦ｋ及びｇｃｄ（ａｉ，ｂｉ）＝１である、分数
【数３９】
【０１５０】
の昇列
【数４０】
【０１５１】
である。“ｇｃｄ”の表現は、最大公約数を表す。
【０１５２】
Ｆａｒｅｙ数列の性質は、以下の定理で表される。
【０１５３】
定理１．
Ｆｋにおいて、
【数４１】
【０１５４】
と
【数４２】
【０１５５】
が連続していれば、ｂｉａｉ＋１−ａｉｂｉ＋１＝１である。
【０１５６】
Ｆａｒｅｙ数列に関する他の有用な定理は、以下のとおりである。
【０１５７】
定理２．
Ｆｋにおいて、
【数４３】
【０１５８】
と
【数４４】
【０１５９】
が連続していれば、ｂｉ＋ｂｉ＋１＞Ｋである。
【０１６０】
Ｆａｒｅｙ数列は、自然に、Ｆａｒｅｙ被覆の概念につながる。
【０１６１】
Ｆａｒｅｙ被覆：
区間［０，Ｎ／２］のオーダーｋのＦａｒｅｙ被覆は、開Ｆａｒｅｙ区間Ｉ（ａｉ，ｂｉ）の集合であり、ここでｉ＝０，１，２，…であり、各区間Ｉ（ａｉ，ｂｉ）は、中心
【数４５】
【０１６２】
と、半径
【数４６】
【０１６３】
とを有し、ここで、ａ１＝０を除いて、１≦ａｉ≦ｂｉ≦ｋ及びｇｃｄ（ａｉ，ｂｉ）＝１である。
【０１６４】
図１０Ａは、Ｆａｒｅｙ被覆を示している。
【０１６５】
上記定理１及び２を用いて、［０，Ｎ／２］内の全ての実数が少なくとも１つの、多くて２つのＦａｒｅｙ区間によって被覆されていることを容易に証明できる。
【０１６６】
後の論述は、また、（図１０Ｂに示す）Ｆａｒｅｙ分割を用いるが、Ｆａｒｅｙ被覆と密接な関係がある。
【０１６７】
Ｆａｒｅｙ分割：
区間［０，Ｎ／２］のオーダーｋのＦａｒｅｙ分割は、区間
【数４７】
【０１６８】
の集合であり、ここで、ｉ＝０，１，２，…であり、ａ０＝ａ−１＝ｂ−１＝０を除いて、１≦ａｉ≦ｂｉ≦ｋ、ｇｃｄ（ａｉ，ｂｉ）＝１である。
【０１６９】
Ｆａｒｅｙ分割区間は、左側で閉じているが（端点を含む）、右側で閉じており左側で開いていると定義することもできる。（ここで、区間は交わらず、０を被覆しないように定義されるが、これは必然ではない。）
区間Ｊ（ａｉ，ｂｉ）は、Ｎ／２に隣接する小さい区間を除く［０，Ｎ／２］の全てを被覆する分割を形成し、図１０ＢではＪ（ａｆ，ｂｆ）として示し、ここで、ｆは、ａｉ，ｂｉに対する最大のｉ添数である。従って、ａｆ＝ｂｆ＝１である。ａｆ＋１＝ｂｆ＋１＝０と定義するならば、Ｊ（ａｆ，ｂｆ）は、一般式（８）により定義できる。
【０１７０】
再び定理１及び２を用いることによって、Ｉ（ａｉ，ｂｉ）がＪ（ａｉ，ｂｉ）を含むことを証明することができる。また、区間Ｉ（ａｉ，ｂｉ）は、区間Ｊ（ａｉ，ｂｉ）の２倍以内の幅である。
【０１７１】
Ｆａｒｅｙ数列は、Ｂ２Ｎ，ｈ，ｈ′内の整数の［０，Ｎ／２］内の分布に密接な関係がある。特に、Ｂの連続する要素間の空隙は、小さい分母ｂｉの有理数ａｉＮ／２ｂｉに近い大きな変分がある。しかしながら、ａｉＮ／２ｂｉを中心とするもっと広い値域を考えると、Ｂ要素の分布は「一様になる」、すなわち、該区間のＢ要素の数と、Ｂが一様に分布していた場合に予測される数との比率は、１に近づく。概略を言うと、固まりが無視できるようになるのに必要な区間幅は、ｂｉに反比例し、従って、上記で定義したＦａｒｅｙ区間とＢの要素の分布との関係である。
【０１７２】
Ｖａｌｌｅｅは、以下の定理を証明した。
【０１７３】
定理３．
−ｈ＝ｈ′＝４Ｎ２／３と、
【数４８】
【０１７４】
に関し、部分集合Ｂ２Ｎ，ｈ，ｈ′とオーダーｋのＦａｒｅｙ被覆は、準独立である。
【０１７５】
準独立という用語は、以下のように定義される。部分集合ＸとＺＮ（ＺＮは、Ｎを法とする全ての整数の集合を示す）の被覆Ｙ＝｛Ｙｊ｝は、全てのｊについて、集合ＸとＹｊが、ある正の定数ｌ１とｌ２に対し（ｌ１，ｌ２）独立である、すなわち
【数４９】
【０１７６】
であれば、準独立である。Ｐは、集合ＺＮについての一様確率測度である。ｈ′＝４Ｎ２／３であり、Ｆａｒｅｙオーダーｋ＝１／４Ｎ１／３であるＢ２Ｎ，ｈ，ｈ′に関し、Ｖａｌｌｅｅは、
【数５０】
【０１７７】
と、ｌ２＝４が満たされることを証明する。
【０１７８】
この定理を証明するためのＶａｌｌｅｅの方法は、ある意味、建設的である。Ｂの要素がＦａｒｅｙ区間内で、すなわち「局所的に」どのように構成されているかを詳しく見ることによって、Ｖａｌｌｅｅは、区間のＢ要素の数について上限及び下限を与える、これらの要素の概略計数を提供することができる。この概略計数を用いて、Ｖａｌｌｅｅは、「擬一様に」Ｆａｒｅｙ区間に存在するＢから要素を選択する方法を提供する。形式上、一様確率Ｐと、ＺＮの部分集合Ｘ内の値を有する有限集合Ｕに対し定義される抜き出し方式Ｃは、全てのｘ∈Ｘに関し、
【数５１】
【０１７９】
であれば、（ｌ１，ｌ２）一様（又は擬一様）であるといわれる。Ｂの要素が、擬一様にＦａｒｅｙ区間中に分布しているとすれば、これは直接「擬一様に」［１，Ｎ］内のＢから要素を選択する「大域的な」方式につながる。
【０１８０】
擬一様な分布で、Ｆａｒｅｙ区間Ｉ（ａｉ，ｂｉ）にあるＢ２Ｎ，ｈ，ｈ′内の数を選択したいものとする。
【数５２】
【０１８１】
Ｖａｌｌｅｅは、ｈ′＝４Ｎ２／３としてＢ２Ｎ，ｈ，ｈ′∩Ｉ（ａｉ，ｂｉ）に存在する整数
【数５３】
【０１８２】
を、これらの整数を２つの特定の放物線の間にある二次元の格子における点に関連付けることによって簡潔に特徴付けている。図１１において、区間｛ｕ：ｘ＝ｘ０＋ｕ∈Ｉ（ａｉ，ｂｉ）｝は、１１０４で示し、２つの放物線は、１１１０、１１２０で示す。
【０１８３】
ｘが、Ｂ２Ｎ，ｈ，ｈ′内にあるならば、
【数５４】
【０１８４】
である。さて、Ｌ（ｘ０）をベクトル（１，２ｘ０）及び（０，Ｎ）によって生成する格子とする。すると、（ｕ，ｗ）∈Ｌ（ｘ０）及び、
【数５５】
【０１８５】
となるようなｗが存在するとき、ｘ＝ｘ０＋ｕは、まさにＢ２Ｎ，ｈ，ｈ′に存在する。
【０１８６】
条件（１１）は、（ｕ，ｗ）が、式
【数５６】
【０１８７】
（これは、図１１の放物線１１１０である）と、
【数５７】
【０１８８】
（放物線１１２０）によって定義される放物線１１１０、１１２０の間にあることを意味している。
【０１８９】
ｘが、Ｉ（ａｉ，ｂｉ）にあるならば、
【数５８】
【０１９０】
であり、ここで
【数５９】
【０１９１】
であり、記号‖は、絶対値を示す。従って、Ｂ２Ｎ，ｈ，ｈ′とＩ（ａｉ，ｂｉ）の両方にある各整数ｘ＝ｘ０＋ｕは、
【数６０】
【０１９２】
内の格子点に対応する。
【０１９３】
図１１において、Ｐ（ａｉ，ｂｉ）の点を十字形により１１２１で示し、残りの格子Ｌ（ｘ０）点を円により１１２２で示す。
【０１９４】
Ｌ（ｘ０）のどの格子点が放物線１１１０、１１２０の間にあるかを計算するのは、かなり複雑なタスクのように思えるかもしれない。幸い、Ｖａｌｌｅｅが述べるように、基底ベクトルがそれぞれ短く、一方の基底ベクトルは「準水平」で、他方は「準垂直」であるＬ（ｘ０）の格子基底を見つけることができる。基底は、（ｒ，ｓ）であり、
【数６１】
【数６２】
【０１９５】
である。
【０１９６】
ｂｉ≦ｋであり、ここで
【数６３】
【０１９７】
であることを思い出されたい。
【０１９８】
Ｖａｌｌｅｅは、以下を証明している
定理４．
Ｐ（ａｉ，ｂｉ）の全ての点は、ある有理指数ｖ∈［０，ｈ′２／４ｂｉＮ＋２ｈ′ｂｉ／Ｎ］に関する縦座標ｗ０−ｖＮ／ｂｉで縦軸ｗと交差するｒに平行な線上にあり、ここで
【数６４】
【０１９９】
である。連続する指数ｖは、１だけ異なる。
【０２００】
これらの線は、図１１において１１２４で示す。
【０２０１】
次に、Ｖａｌｌｅｅは、ｒに平行な準水平線１１２４をそれらの指数ｖによって数え、次に各線１１２４上のＰ（ａｉ，ｂｉ）の点の数を数えるか概算することによって、Ｐ（ａｉ，ｂｉ）の点を大まかに数える。
【０２０２】
特に、Ｖａｌｌｅｅは、２つの放物線の間の空間を「胸部」１１３０、「脚部」１１４０、「足部」１１５０に分割する４つの「特別」指数を定義している。２つの放物線の間の空間が、上端が連結された２つの「脚部」１１４０のように見える形をどのように形成することができ、上部１１３０が「胸部」であり、「足部」１１５０は、「脚部」がＦａｒｅｙ区間Ｉ（ａｉ，ｂｉ）の端に接触するところに形成されることが容易にわかる。胸部、脚部、足部の領域の境界は、ｒベクトルに平行な線１１６０によって定められる。特別指数は、以下のように定義される。
【０２０３】
定義１：
ｖ０は、定義域の第１（最小）指数である。
【０２０４】
脚部の第１指数であるｖ１は、４ｈｂｉ／Ｎ以上の最小指数である。
【０２０５】
脚部の最終指数であるｖ２は、ｈ′２／４ｂｉＮよりも小さい最大指数である。
【０２０６】
（足部１１５０の）ｖ３は、ｈ′２／（４ｂｉＮ）＋２ｈ′ｂｉ／Ｎよりも小さい最大指数である。
【０２０７】
ｂｉ≦ｋ＝Ｎ／ｈ′なので、胸部１１３０は、最大４つの線を含み、足部１１５０は、最大２つの線を含む。従って、Ｐ（ａｉ，ｂｉ）の点を数える際、いくつの点が胸部と足部にあるかの正確な計算をすぐに得ることができる。しかしながら、脚部は、非常に長いことがあり、（Ｎが無限になるにつれてオーダーＮ１／３で）Ｏ（Ｎ１／３）の線まで含むことがある。幸い、Ｖａｌｌｅｅは、以下の定理を証明できた。
【０２０８】
定理５（「脚部定理」）：
脚部の指数ｖの線１１２４上のＰ（ａｉ，ｂｉ）の点の数ｎ（ｖ）は、
【数６５】
【０２０９】
を満たす。
【０２１０】
以下、値
【数６６】
【０２１１】
は、Ｖａｌｌｅｅの下限と呼び、
【数６７】
【０２１２】
は、Ｖａｌｌｅｅの上限と呼ぶ。
【０２１３】
ＶＬＢ及びＶＵＢ境界は、脚部のＰ（ａｉ，ｂｉ）の格子点の総数の上限下限を得るのに用いることができ、ａ≦ｂである全ての正の整数ａ及びｂに対し有効な以下の不等式を用いる。
【数６８】
【数６９】
【０２１４】
脚部定理を用いて、たとえ脚部１１４０が多数の線１１２４を有することがあっても、各線１１２４上で左から右へ点を数えることによって、Ｐ（ａｉ，ｂｉ）の格子点について概算できる。点は、最初に胸部、次に足部、その次に脚部で数えられる。胸部、足部、脚部の領域のそれぞれにおいて、点は、その領域の一番上の線１１２４で最初に数えられ、次にその下の線、というふうに数えられる。この概算を用いて、所定のＦａｒｅｙ区間に擬一様に存在するＢ２Ｎ，ｈ，ｈ′から数を抜き出すことができる。
【０２１５】
Ｖａｌｌｅｅの擬一様抜き出し方式
Ｖａｌｌｅｅは、以下の「大域的」抜き出し方式で上記結果を使用したが、−ｈ＝ｈ′＝４Ｎ２／３について、Ｂ２Ｎ，ｈ，ｈ′の数を擬一様に選択する。以下、ｎｃは、胸部１１３０の点の数を示し、ｎｆは、足部１１５０の点の数を示し、ｎｃ＋ｆ＝ｎｃ＋ｎｆ（胸部と足部の点の総数）であり、ｎｌは、脚部１１４０の点の数を示す。
【０２１６】
リスト１３：Ｖａｌｌｅｅの擬一様抜き出し方式
１．場所をランダムに選択する。任意の整数ｘ∈選択した一様分布の［１，Ｎ］を選ぶ。
【０２１７】
２．Ｆａｒｅｙ区間を決定する。連分数を用いて、ｘがＪ（ａｉ，ｂｉ）にある（ａｉ，ｂｉ）を計算し、ここでＪ（ａｉ，ｂｉ）は、オーダーｋ＝１／４Ｎ１／３の区間［０，Ｎ／２）のＦａｒｅｙ分割区間である。
【０２１８】
３．Ｐ（ａｉ，ｂｉ）の点の数を概算する。
【数７０】
【０２１９】
を計算し、胸部と足部の点の数ｎｃ＋ｆを正確に数え、Ｖａｌｌｅｅの下限（１５）及び式（１７）を用いて脚部における点の数について概算ｎｌを得る。
【０２２０】
４．Ｐ（ａｉ，ｂｉ）から点を選ぶ。整数ｔ∈擬一様の［１，ｎｃ＋ｆ＋ｎｌ］をランダムに選択する。ｔ≦ｎｃ＋ｆであれば、胸部又は足部から適切な点を出力する。そうでなければ、各線がＶａｌｌｅｅの下限に接触していれば、式（１７）を用いて、どの準水平線１１２４が脚部の点数（ｔ−ｎｃ＋ｆ）を含んでいるかを決定し、一様分布のその線上のＰ（ａｉ，ｂｉ）の点をランダムに選択する。
【０２２１】
５．Ｐ（ａｉ，ｂｉ）から選択した点からｘ′を計算する。（ｕ，ｗ）を前ステップによって出力した格子点とする。ｘ′＝ｘ０＋ｕに設定する。ｘ′を出力する。
【０２２２】
リスト１３の終了。
【０２２３】
ｘ′∈Ｂ２Ｎ，ｈ，ｈ′であり、ｘ′は、ｘと同じＦａｒｅｙ区間にあることに注目されたい。Ｆａｒｅｙ区間は、幅が様々である。Ｉ（ａｉ，ｂｉ）が直径
【数７１】
【０２２４】
を有し、１≦ｂｉ≦ｋであることを思い起こされたい。最初の２つのステップにおいて、広いＦａｒｅｙ区間が選択される可能性が高いが、広いＦａｒｅｙ区間は、より多くのＢ要素を含むので、選択したＦａｒｅｙ区間の特定のＢ要素は、そのＦａｒｅｙ区間が広ければ、選ばれる確率が低い。結局、これらの要因は「平衡」し、大域的な擬一様抜き出し方式を可能にする。
【０２２５】
参照により本明細書に含まれる「Ｊ．‐Ｓ．Ｃｏｒｏｎの論文、Ｓｅｃｕｒｉｔｙ Ｐｒｏｏｆ ｆｏｒ Ｐａｒｔｉａｌ‐Ｄｏｍａｉｎ Ｈａｓｈ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ （ｐｒｏｃ．ｏｆ Ｃｒｙｐｔｏ ２００２，ＬＮＣＳ ２４４２，６１３‐６２６頁、Ｓｐｒｉｎｇｅｒ‐Ｖｅｒｌａｇ，２００２）」において、Ｃｏｒｏｎは、Ｖａｌｌｅｅの方式を拡張して、εを正の定数として、
【数７２】
【０２２６】
について、Ｂ２Ｎ，ｈ，ｈ′の抜き出し方式を作り出した。該方式では、一様と統計的に区別が付かない分布、つまり、一様分布からの統計的距離が最大で
【数７３】
【０２２７】
である分布の要素を抜き出す。このような改良により、Ｃｏｒｏｎは、「部分領域ハッシュ」署名方式のセキュリティを証明することができる。この方式では、署名は、基本的にＢ２Ｎ，ｈ，ｈ′内の数のモジュラ平方根である。しかしながら、Ｃｏｒｏｎの部分領域ハッシュ署名方式において、署名は短くない。署名は、（ｌｏｇ２Ｎ）ビットの数で表される。対照的に、本発明のいくつかの実施形態においては、可逆圧縮θ（図８、ステップ８１０）をＣｏｒｏｎ部分領域ハッシュ署名に適用して、帯域幅を縮小した部分領域ハッシュ署名を得る。
【０２２８】
Ｖａｌｌｅｅのように、Ｃｏｒｏｎは、２つの放物線１１１０、１１２０（図１１）の間にある格子点を考慮する。しかしながら、Ｃｏｒｏｎは、Ｉ（ａｉ，ｂｉ）ではなく局所領域Ｊ（ａｉ，ｂｉ）を考慮し、異なる準水平線を用いて２つの放物線の間の値域を分割する。Ｃｏｒｏｎは、Ｖａｌｌｅｅのように、ｖ０とｖ３を定義するが、ｖ１とｖ２は、Ｉ（ａｉ，ｂｉ）の端に接触する前にいずれの放物線とも交わらない（従って、Ｊ（ａｉ，ｂｉ）の端を通り過ぎる）最初と最後の線の指数である。ｖ１とｖ２の値は、
【数７４】
【０２２９】
と、（ｈ′−ｈ）ｂｉ／Ｎに近い。ｖ３の値は、少し異なって定義され、
【数７５】
【０２３０】
に近くなるのは、Ｃｏｒｏｎは、ｈ′がＮ／ｋに必ずしも等しくない場合を考慮しているからである。Ｃｏｒｏｎは、単にｖ１からｖ２までの指数を有する線上の格子点を抜き出すので、ｖ０からｖ１又はｖ２からｖ３までの指数を有する線上の点が選ばれる可能性はない。しかしながら、Ｃｏｒｏｎが考慮するパラメータ、すなわち、
【数７６】
【０２３１】
と、
【数７７】
【０２３２】
と、
【数７８】
【０２３３】
について、除外された格子点の部分は、無視できるものであり、この抜き出し方式は、一様に非常に近い。εの値は、望ましくは、
【数７９】
【０２３４】
が非常に小さくなるように選択する。
【０２３５】
３．本発明のいくつかの実施形態‐圧縮
さて、本発明に転じると、本発明のいくつかの実施形態では、Ｂ２Ｎ，ｈ，ｈ′内の数と、定数ｃがゼロに近いｎ＝ｃ１＋ｌｏｇ２（ｈ′−ｈ）として、｛０，１｝ｎのビットストリングとの間の写像を提供する、圧縮及び復元方式π，θ，π−１，θ−１を用いる。これらの写像は順列ではない。しかしながら、各写像又は、その逆の下の要素の像は小さい一定の基数を有するので、写像はここでは「準順列」と呼ぶ。
【０２３６】
形式上、集合Ｘ及びＹと定数（ｌ１，ｌ２，ｌ３，ｌ４）に関し、
全てのｘ∈Ｘについて、｛π（ｘ，ｒ）：ｒ∈Ｒ｝の基数が［ｌ１，ｌ２］にあり、
全てのｙ∈Ｙについて、｛ｘ：∃ｒ ｗｉｔｈ π（ｘ，ｒ）＝ｙ｝の基数が［ｌ３，ｌ４］にある場合、π：ＸｘＲ→Ｙを（ｌ１，ｌ２，ｌ３，ｌ４）の準順列と定義する（１９）。
【０２３７】
上記で、Ｒは、補助集合である。例えば、πをランダム化したい場合、ランダムビットのソースとして用いてもよい。Ｒの目的は、単に、πを、（たとえ単一のｘ∈Ｘに対し複数の出力が存在することがあっても）所定の入力に対し単一の出力である、実際の「写像」にすることである。Ｒは、空であることもある。実際の順列は、（ｌ，ｌ，ｌ，ｌ）の準順列であることに注意されたい。
【０２３８】
図６乃至９において、集合Ｒは、陰的である。Ｒは、ランダムビットのソースになることがある。
【０２３９】
以下、２つの準順列について説明する。１つは、発明者がおそらく暗号化により適していると考えたものであり、もう１つは、発明者がおそらく署名により適していると考えたものである。しかしながら、本発明は、暗号化又は署名に関連して一方の又は他方の準順列に限定されない。
【０２４０】
小さい非負定数ｃ１及びｃ２に対し、
【数８０】
【０２４１】
を、暗号化により適していることがある準順列とし、
【数８１】
【０２４２】
を、署名により適していることがある準順列とする。π及びθの両方は、以下に、より詳細に説明するように、効率的に計算可能であり、効率的に可逆である、すなわち、トラップドア情報なしでも、π（ｘ，ｒ）又はθ（ｘ，ｒ）からｘの可能性のある値を復元することは容易である。
【０２４３】
３．１ 短いストリングをＢ要素に写像する（π準順列）
本発明のいくつかの実施形態による図６及び７の方式に関し、π及びπ−１を計算するための方法を次に説明する。基本的に、πは、短いビットストリングを、該ビットストリングがＦａｒｅｙ区間とそのＦａｒｅｙ区間内の「アドレス」を特定するものと解釈し、該ビットストリングをそのＦａｒｅｙ区間内のアドレスを有するＢ要素に写像することによって、Ｂ要素に写像する。短いビットストリングは、あるｈ″＜Ｎについて、ある区間［０，ｈ″］の数である。その逆であるπ−１は、基本的に、Ｂ要素のＦａｒｅｙ区間と、そのＦａｒｅｙ区間内のアドレスとを決定することによって計算され、Ｂ要素は、次に、その区間／アドレスの組み合わせを示すビットストリングに写像する。
【０２４４】
この方法は、以下の観測を用いる。Ｖａｌｌｅｅの定理３及び５と、不等式（１５）及び（１６）は、Ｆａｒｅｙオーダー
【数８２】
【０２４５】
という条件で、また、定理５と式（１５）〜（１６）において、変数ｈ′が（ｈ′−ｈ）／２に置き換えられるという条件で、−ｈ＝ｈ′＝４Ｎ２／３だけでなく、全てのｈ，ｈ′に有効である。また、定理５は、置換なしでも依然有効である。
【０２４６】
図１２に、ビットストリングｘを、特定の狭いＮを法とする区間におけるモジュラ平方数を有する数ｘ′に写像するπ写像を示す。ステップ１２７０は、ビットストリングｘに対応するＦａｒｅｙ区間（以下にかなり詳細に論じる）を計算することを含む。ステップ１２８０は、該Ｆａｒｅｙ区間の各端のビットストリングを計算することを含む。ステップ１２９０は、Ｆａｒｅｙ区間について、ｘをＢ要素に対するｘ′に写像することを含み、該区間の計数は、最初と最後のビットストリングの間のｘの計数に対応する。
【０２４７】
復元及び圧縮関数は、以下の事実を利用する。「広い」Ｆａｒｅｙ区間のＢ要素に関し、該区間を特定するには少数のビットが必要であるが、該要素の該区間内の位置を特定するには多くのビットが必要である。全体としては、ビットの数は「平衡する」。π準順列の典型的な実施形態の詳細を、以下に述べる。πの定義（１９）に関して、その値を後に測定するあるパラメータｈ″について、Ｘ＝［０，ｈ″］である。｛０，１｝ｎのビットストリングは、上述の［０，２ｎ−１−１］の整数と解釈できることに注意されたい。
【０２４８】
以下のように仮定する。
【０２４９】
仮定１：ｈ，ｈ′を整数とする。いくつかの実施形態において、
【数８３】
【０２５０】
である。Ｊ（ａｉ，ｂｉ）を、区間［０，Ｎ／２］に関するオーダー
【数８４】
【０２５１】
のＦａｒｅｙ分割の区間とする。Ｉ（ａｉ，ｂｉ）を、区間［０，Ｎ／２］に関する同じオーダーｋのＦａｒｅｙ区間とする。Ｊ（ａｉ，ｂｉ）を、区間［０，Ｎ／２］の同じオーダーｋの、Ｆａｒｅｙ「拡張」分割区間、すなわち区間Ｊ（ａｆ，ｂｆ）を含むものとする。
【０２５２】
リスト１４‐π（ｘ，ｒ）の計算（図１２参照）：
１．ステップ１２７０（図１２）：
【数８５】
【０２５３】
を計算して区間［０，ｈ″］を［０，Ｎ／２］に写像し、結果がＪ（ａｉ，ｂｉ）に含まれる（ａｉ，ｂｉ）を決定する。このステップもまた図１１に示される。
【０２５４】
２．ステップ１２８０：
【数８６】
【０２５５】
が、Ｉ（ａｉ，ｂｉ）にある［０，ｈ″］の最小整数であるｘｌｅｆｔと、
【数８７】
【０２５６】
がＩ（ａｉ，ｂｉ）にある［０，ｈ″］の最大整数であるｘｒｉｇｈｔを計算する。ステップ１２９０は、以下のステップ３乃至５に対応する。
【０２５７】
３．胸部と足部の格子点Ｐ（ａｉ，ｂｉ）の数である、ｎｃ＋ｆ＝ｎｃ＋ｎｆを計算する。脚部の点の数のＶＬＢ下限（１５）であるｎｌを計算する。（以下に説明するように、数ｈ″は、ｎｃ＋ｆ＋ｎｌ≧ｘｒｉｇｈｔ−ｘｌｅｆｔとなるように選択すべきである。）
４．Ｖａｌｌｅｅの計数や他の計数を用いて（以下の計算注記１を参照）、ｘ−ｘｌｅｆｔに対応する１つの格子点（ｕ，ｗ）（いくつかあることがある）を選択する。具体的には、
４Ａ．
【数８８】
【０２５８】
内の整数を選ぶ。
【０２５９】
４Ｂ．ｃ≦ｎｃ＋ｎｆであれば、胸部又は足部に計数ｃを有する格子点（ｕ，ｗ）を選ぶ（すなわち、胸部と足部の点が一緒に数えられているとき）。
【０２６０】
４Ｃ．そうでなければ、ｖごとに、ｓｖを、指数が最大ｖである準水平線１１２４（図１１）上の脚部格子点の数の下限とする。値ｓｖはＶＬＢ値（１５）を用いて計算することができる。ＶＬＢ値を付加してｓｖ推定値を得ることができ、又は、不等式（１７）を用いて、右側の積分としてｓｖを計算することができる。ｓｖ−１＜ｃ−ｎｃ＋ｆ≦ｓｖとなるようにｖを計算する。ｎｖを、指数ｖの線１１２４上の格子点の数とし、ｎ′ｖをＶａｌｌｅｅの下限推定値（１５）とする。整数
【数８９】
【０２６１】
を選択し、（ｕ，ｗ）を線上のＰ（ａｉ，ｂｉ）のｃ′番目の点に設定する。
【０２６２】
５．ｘ′＝ｘ０＋ｕに設定し、ここで
【数９０】
【０２６３】
である。ｘ′を出力する。
【０２６４】
リスト１４の終了。
【０２６５】
計算注記１。
【０２６６】
リスト１４で用いられる値ｎｃ，ｎｆや、他の値を計算するのに多くの方法がある。１つの例は、以下のとおりである。各線１１２４は、形式βｒ＋αｓ
の点の集合であり、ここで、αは、固定整数であり、βは、全ての実数をとる。α＝０に関し、対応する線１１２４（図１１で１１２４．０と示す）は、原点（ｘ＝ｗ＝０）を通過し、縦線ｕ＝０との切片１２９４を見つけることができる。線ｕ＝０は、放物線１１１０、１１２０の対称軸である。定理４を用いて、対応する指数ｖ＝ｖ［０］が求められる。次に、他の全ての指数ｖは、１整数だけｖ［０］と異なるため見つけることができ、線ｕ＝０に対する線１１２４の切片１２９４は、それらのｗ値がＮ／ｂｉだけ線１１２４．０切片のｗ値と異なるため見つけることができる。特に、定義１の特別指数とそれに対応する切片１２９４を求めることができ、胸部と足部の全ての線１１２４についてｖ値とｗ切片値を見つけることができる。
【０２６７】
胸部及び足部における線１１２４ごとに、等式（２０）のための対応するα値を、その線の切片１２９４から求めることができ、次に、その切片１２９４のβ値を見つけることができる。このβ値をβｉｎと示す。格子Ｌ（ｘ０）点は、βの整数値に対応する。格子点は、例えば
【数９１】
【０２６８】
、すなわちβｉｎに最も近い整数から始めて、その線上で横に移動することできる。各点の座標は、定義（１２）にはめ込んで、点がＰ（ａｉ，ｂｉ）に属するかどうかを決定することができ、このように、Ｐ（ａｉ，ｂｉ）の点は、ｎｃ又はｎｆの一部として数えることができる。線を右に移動し（β＞βｉｎ）、ある点と放物線１１２０の外側で遭遇した場合（すなわちｘ０２＋ｗ＋ｕ２＞ｈ′）、右方向の移動を止めることができる。同様に、線を左に移動し、点と放物線１１２０の外側で遭遇した場合、左方向の移動を止めることができる。Ｐ（ａｉ，ｂｉ）点は、また、他の順序で数えることもでき、例えば、各線１１２４の一番左の点から始めて、右に進んでもよい。一番左の点は、対応する等式（２０）と放物線１１１０、１１２０の等式から解析的に見つけることができる。これらの実施形態は限定的なものではない。
【０２６９】
リスト１４のステップ４Ｂで、ｃ≦ｎｃ＋ｎｆであれば、ｃ番目の点は、胸部と足部の線１１２４を数え、各線上の点を数えることによって見つけることができる。胸部と足部の線１１２４は、ある順序で横に移動することができ、例えば、胸部からｖ指数が増加する順で始めたり、その他の順序でもよい。各線１１２４上の点は、その線の対応する点
【数９２】
【０２７０】
から始めて、又は他の順序で数えることができる。本発明は、特定の点の順序付けに限定されない。
【０２７１】
同様に、ステップ４Ｃで、脚部のある線１１２４に関してパラメータｎｖ，ｎ′ｖ，ｃ′を決定する時、その線上のＰ（ａｉ，ｂｉ）のｃ′番目の点は、その線の対応する点
【数９３】
【０２７２】
から始めて、又は他の順序で、格子点を横に移動することによって見つけることができる。いくつかの実施形態において、ステップ４Ｂ、４Ｃの計数順序は、π写像の特徴であり、π−１を計算するとき（以下リスト１５で説明するように）と同じ順序である。他の実施形態において、所定のπ写像に関して、点の計数は、式（１９）のｒパラメータに対応するようにランダムである。さらに他の実施形態において、計数は、ランダムではないが、ｘに依存する（例えば、ｎｃ，ｎｆや、ｘに依存する他の値）。
【０２７３】
リスト１４において、計数がランダムであろうとなかろうと、出力ｘ′は、乱数ｃ，ｃ′の関数である。他の実施形態において、数ｃ，ｃ′は、確定的に選択される。例えば、ステップ４Ａ、４Ｃに示すそれぞれ対応する区間の第１の整数に選ぶことができる。或いは、ｃを単にｘ−ｘｌｅｆｔに選ぶことができ、ｘｒｉｇｈｔの計算を省略することができる。或いは、ｃをｘｒｉｇｈｔ‐ｘｌｅｆｔに選ぶことができる。同様に、ｃ′は、ｃ−ｎｃ＋ｆ−ｓｖ−１に選ぶことができる。その他のランダムな又はランダムでない選択も可能である。リスト１４の特定の方式は、以下に説明するように、ｃ，ｃ′が一様にランダムに選択されるならば、ランダムオラクルによる適応的選択メッセージ攻撃の下での対応する暗号化方式の証明できるセキュリティにより、有利である。
【０２７４】
計算注記１の終了。
【０２７５】
π（ｘ，ｒ）を計算する際、ｒを、確定的に又はランダムビットのソースとして用いることで、ｃ及びｃ′の値を選択する。Ｓｘ＝｛ｘ′∈Ｉ（ａｉ，ｂｉ）｜∃ｒ ｗｉｔｈ π（ｘ，ｒ）＝ｘ′｝とするならば、集合Ｓｘは、Ｉ（ａｉ，ｂｉ）の分割を形成し、これは、Ｉ（ａｉ，ｂｉ）の各Ｂ要素に選択される可能性があることを意味することに注目されたい。また、ｘとｒを一様に選択して、π（ｘ，ｒ）を出力する場合、擬一様にＢの整数を選択することに注目されたい。
【０２７６】
点の計数において、次に、胸部と足部のｎｃ＋ｎｆ＝ｎｃ＋ｆの点を、１からｎｃ＋ｎｆまである順序で数える。脚部の点は、多数の点が同じ数を共有することがあるという意味で「大まかに」数えられる。脚部の点は、Ｖａｌｌｅｅの下限を満たすかのように数え、特にＳｖを計算する。このＳｖの値は、個々の線についてのＶａｌｌｅｅの推定値である式（１７）において積分を計算することによって容易に計算することができる。脚部の準水平線１１２４は、Ｖａｌｌｅｅの下限推定値よりも多くの点を含むことが多い。その場合、計数において、かかる線上の隣接する点は、１つの数を共有することがある。
【０２７７】
図１３は、Ｂ要素ｘ′を［０，ｈ″］の数ｘに写像する逆写像π−１を示す。ステップ１３２０で、Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間を求め、これは、Ｂ要素ｘ′に対応する。ステップ１３３０で、［０，ｈ″］のビットストリングを計算し、図１１の写像１２７０の逆である写像により、区間の各端に対応する。ステップ１３４０で、ｘ′を［０，ｈ″］のビットストリングｘに写像し、ステップ１３３０で得たビットストリング間の計数は、区間のｘ′の計数に対応する。
【０２７８】
以下のリスト１５では、（Ｆａｒｅｙ分割区間ではなく）Ｆａｒｅｙ区間を用いる時の詳細を説明する。ｘ′＝π（ｘ，ｒ）とすると、本発明の典型的な実施形態では、ｘの１つ又は２つの可能な値を復元する。（上記）仮定１が当てはまるものとする。
【０２７９】
リスト１５‐π−１（ｘ′，ｒ）の計算：
１．ステップ１３２０：ｘ′：Ｉ（ａｉ，ｂｉ）とおそらくＩ（ａｉ＋１，ｂｉ＋１）を含むＦａｒｅｙ区間を決定する。
【０２８０】
２．ステップ１３３０：
【数９４】
【０２８１】
が、Ｉ（ａｉ，ｂｉ）にある［０，ｈ″］の最小の整数であるｘｌｅｆｔと、
【数９５】
【０２８２】
が、Ｉ（ａｉ，ｂｉ）にある［０，ｈ″］の最大の整数であるｘｒｉｇｈｔとを計算する。ステップ１３４０は、以下のステップ３乃至７に対応する。
【０２８３】
３．Ｐ（ａｉ，ｂｉ）の胸部及び足部の格子点の数であるｎｃ＋ｆと、脚部の点の数の下限ＶＬＢ（１５）であるｎｌとを計算する。
【０２８４】
４．
【数９６】
【０２８５】
とｕ＝ｘ′−ｘ０から、格子点（ｕ，ｗ）を復元する。具体的に、格子Ｌ（ｘ０）は、ベクトル（１，２ｘ０）及び（０，Ｎ）によって生成されるので、ある整数αに対して、各格子点（ｕ，ｗ）が等式ｗ＝２ｘ０ｕ＋αＮを満たさなければならないことは容易にわかる。‖ｈ′−ｈ‖＜Ｎ（仮定１に鑑み、大きいＮに対して当てはまらなければならない）と仮定すれば、所定のｕが放物線１１１０、１１２０の間にある格子点は１つだけある。この格子点は、放物線の間の領域を定める不等式（１１）を用いて計算することができる。例えば、α＝０（ｗ＝２ｘ０ｕ）から始めて、不等式（１１）が満たされるまでαを増加及び／又は減少することができる。
【０２８６】
５．Ｖａｌｌｅｅの下限計数又は他の計数（計算注記１を参照）を用いて、ｘ−ｘｌｅｆｔ、従ってｘの値を復元する。具体的に、
５Ａ．（ｕ，ｗ）が、胸部又は足部のｔ番目の点であれば、ｃ＝ｔに設定する。（胸部及び足部の点は、リスト１４におけるように一緒に数えられる。計算注記１を参照）。
【０２８７】
５Ｂ．そうでなければ、（ｕ，ｗ）を含む線１１２４の指数ｖを計算する。ｃ′の値を計算し、ここで、（ｕ，ｗ）は、線上のｃ′番目の点である。ｎｖを指数ｖの線上の格子点の数とし、ｎ′ｖをＶａｌｌｅｅの下限推定値ＶＬＢ（１５）とし、ｓｖ−１をｖよりも小さい指数の準水平線１１２４（図１１）上の脚部格子点の数の下限とする。値ｓｖ−１は、線１１２４ごとにＶＬＢ値（１５）を用いて計算することができる。これらの値を足してｓｖ−１推定値を得ることができ、又は、不等式（１７）を用いて、右側の積分としてｓｖ−１を計算することができる。
【数９７】
【０２８８】
となるように、ｃの値を計算する。
【０２８９】
６．
【数９８】
【０２９０】
となるように、ｘ−ｘｌｅｆｔの値を計算する。ｘ＝ｘｌｅｆｔ＋（ｘ−ｘｌｅｆｔ）を計算する。
【０２９１】
７．ｘを出力する。
【０２９２】
リスト１５の終了。
【０２９３】
上記の計算注記１を参照されたい。
【０２９４】
ｘ′がＩ（ａｉ，ｂｉ）とＩ（ａｉ＋１，ｂｉ＋１）の両方にある場合、ステップ２乃至６を繰り返して、Ｉ（ａｉ＋１，ｂｉ＋１）に対応するｘの値を得ることができる。このように、上記の方式では、ｘ′を含む１Ｆａｒｅｙ区間につき、ちょうど１つ、ｘの値を、２つまで出力する。従って、ｌ３＝１でありｌ４＝２である。エンコードされた値ｘ＝Ｈ（Ｍ）（図６、ステップ２１０）が、両出力ｘ＝π−１に当てはまらないある性質を確実に満たすようにすることによって、正確な値を選択することができる。例えば、エンコードｘ＝Ｈ（Ｍ）は、Ｈ（Ｍ）のいくつかのビットのいくつかをチェックすることを含むことがある。或いは、ステップ１３２０でどのＦａｒｅｙ区間を選ぶべきかの曖昧さを解決する何らかの方法があってもよい。
【０２９５】
少し変更した方法を用いて、π（ｘ，ｒ）が一意逆を確実に有するようにすることは難しくない。特に、ｘ′が確実にＪ（ａｉ，ｂｉ）内にあるようにすることで一意逆を実現することができ、それは、Ｐ（ａｉ，ｂｉ）についてのＶａｌｌｅｅの擬一様計数方法を、
【数９９】
【０２９６】
の１つに適用することで確実にすることができる。この場合、ＰＪ（ａｉ，ｂｉ）は「一様でない」足部と脚部とを有するが、それでも、擬一様計数は、基本的に同じ方法を用いることで可能である。
【０２９７】
パラメータの設定：前述のように、暗号化方式には、π準順列がより適していることがある。準順列のパラメータ、特に、ｈ′−ｈの値とｈ″の値とを設定するために、暗号化方式とできるだけ両立するために準順列が持つべき性質について考慮することがある。望ましくは、πは、一意可逆であるかほぼそうであるべきである。上述のように、ｌ４＝２だが、Ｉ（ａｉ，ｂｉ）ではなく区間Ｊ（ａｉ，ｂｉ）を考慮することによって、ｌ４＝１を実現することができる。また、各Ｂ要素（おそらくそれらの無視できる一部は除く）が少なくとも１つの逆を有するようにしたい。その理由は、一様確率でｘを選択し、次にπ（ｘ，ｒ）を計算することからなるＢ要素抜き出し方式が「優れた」抜き出し方式であれば、暗号化方式のセキュリティが因数分解に関連する、セキュリティプルーフが通るということである。擬一様抜き出し方式を得るために、ｌ３は、少なくとも１であるべきである。
【０２９８】
ｌ１とｌ２の値は、π準順列の下で、ｘの像のサイズを制約する。各エンコードされたプレーンテキストは、Ｂ要素に写像可能であるべきなので、ｌ１は、望ましくは少なくとも１であるべきである。（しかしながら、これが当てはまらないようにパラメータを選択することは可能である）。ｌ２の値は、他のパラメータの値を考えると、できるだけ小さくするべきである。これらの考慮事項を念頭において、以下の計算を提示するが、具体的なパラメータを示している。
【０２９９】
ｎｃ＋ｆ＋ｎｌ≧ｘｒｉｇｈｔ−ｘｌｅｆｔ、すなわち、Ｐ（ａｉ，ｂｉ）の点の数の下限が、Ｉ（ａｉ，ｂｉ）に対応付けられるビットストリングの数よりも大きくなるようにパラメータを選択することは、ｌ３が、望みどおり、少なくとも１になることを確実にする。
【数１００】
【０３００】
であることに注意されたい。ここで、後者の項は、ｈ′−ｈ＝Ｎ／２ｋであるので、Ｉ（ａｉ，ｂｉ）の直径である。これは、
【数１０１】
【０３０１】
であることを意味する。さて、Ｖａｌｌｅｅが使用したパラメータについて考えてみよう。Ｖａｌｌｅｅは、−ｈ＝ｈ′＝４Ｎ２／３の場合を考慮したので、ｈ′−ｈ＝８Ｎ２／３である。このｈ′−ｈの値について、Ｖａｌｌｅｅは、
【数１０２】
【０３０２】
の下限を証明した。従って、
【数１０３】
【０３０３】
ならば、ｘｒｉｇｈｔ−ｘｌｅｆｔ−１＜ｎｃ＋ｆ＋ｎｌである。ｎｌ推定値が整数である限り、これは、望むとおり、ｘｒｉｇｈｔ−ｘｌｅｆｔ−１≦ｎｃ＋ｆ＋ｎｌであることを意味する。
【数１０４】
【０３０４】
に設定することで、ｌ３とｌ１が少なくとも１であることを検証できる。
【０３０５】
他方、胸部と足部における点の数についてのＶａｌｌｅｅの上限は、ｌ２の値が上限を定められるのを可能にする。（ｎｌがまだ、脚部の点の数についての下限推定値ＶＬＢであることを思い起こされたい）。Ｖａｌｌｅｅの計算は、ｎｃ＋ｆ＋ｎｌが、
【数１０５】
【０３０６】
によって上限が定められるのを可能にする。これにより、ｈ″の選択された値について、ｃの可能な値の数を８によって上限を定めることができ、ここで、ｃは、リスト１４のステップ４で選択した数である。また、リスト１４のステップ４で選択した数であるｃ′の、最大で
【数１０６】
【０３０７】
（Ｖａｌｌｅｅの脚部定理を参照）の可能な値がある。従って、ｌ２は、最大８ｘ４＝３２である。このように、ｈ′−ｈ＝８Ｎ２／３と
【数１０７】
【０３０８】
について、（１，３２，１，２）準順列を得る。
【０３０９】
暗号文は、［ｈ、ｈ′］にあり、プレーンテキストは、［１，ｈ″］（又は［０，ｈ″−１］）にあるので、ここで、
【数１０８】
【０３１０】
であり、およそ
【数１０９】
【０３１１】
ビット、すなわち、丸めを考慮すると最大で３ビットの暗号文拡張だけが見込める。性能に関して、π（ｘ，ｒ）又はπ−１（ｘ，ｒ）の計算には、Ｏ（ｌｏｇ２Ｎ）ビットの演算が必要なだけであり、暗号化及び復号化の複雑性に、ほとんど何も付加しない。
【０３１２】
ｈ′−ｈとｈ″の間の５の因数は、ｈ′−ｈ＝８Ｎ２／３に対するＶａｌｌｅｅの下限の「ゆるさ」の結果である。ｈ′−ｈのより大きい値、例えば、Ｃｏｒｏｎが考慮したもの等について、下限は、より厳密な概算となる。従って、ｈ′−ｈのより大きい値について、π準順列は、さらに小さい暗号文拡張を暗号化方式に与える。
【０３１３】
３．２ Ｂ要素を短いストリングに写像する（θ準順列）
θ準順列は、π準順列の逆に類似している。この場合も、圧縮及び復元方式は、ＶａｌｌｅｅのＦａｒｅｙ区間の分析によって与えられるＢ要素の分布について公知の情報を用いる。
【０３１４】
帯域幅縮小署名方式を用いる本発明の典型的な実施形態に関して、より詳細に説明するように、θ準順列は、例えば、Ｃｏｒｏｎによって安全性が証明されたものなど、通常のＲａｂｉｎ部分領域ハッシュ署名を損失なしに、すなわち、通常の署名を圧縮された署名から完全に復元できるように、圧縮できるようにする。この圧縮方式は、セキュリティの減少を必要としない。典型的な実施形態の詳細な説明を続ける。
【０３１５】
上記仮定１が当てはまるものとする。
【０３１６】
リスト１６‐Ｂのあるｘ′について［０，ｈ″］のｘ＝θ（ｘ′，ｒ）を計算する（図１３参照）：
１．ステップ１３２０：ｘ′がＪ（ａｉ，ｂｉ）にある（ａｉ，ｂｉ）を決定する。
【０３１７】
２．ステップ１３３０：
【数１１０】
【０３１８】
が、Ｊ（ａｉ，ｂｉ）にある［０，ｈ″］の最小の整数であるｘｌｅｆｔと、
【数１１１】
【０３１９】
が、Ｊ（ａｉ，ｂｉ）にある［０，ｈ″］の最大の整数であるｘｒｉｇｈｔを計算する。ステップ１３４０は、以下のステップ３乃至５に対応する。
【０３２０】
３．Ｐ（ａｉ，ｂｉ）の胸部及び足部の格子点の数、ｎｃ＋ｆと、脚部の点の数についての上限ＶＵＢ（１６）、ｎｌとを計算する。（ｎｃ＋ｆ＋ｎｌ≦ｘｒｉｇｈｔ−ｘｌｅｆｔを望む。）
４．Ｖａｌｌｅｅの計数か他の計数（計算注記１参照）を用いて、ｘ′に対応付けられた格子点（ｕ，ｗ）に対応するｘｒｉｇｈｔ−ｘｌｅｆｔ（いくつかあることがある）の１つの整数を選択する。具体的には、
４Ａ．（ｕ，ｗ）が胸部又は足部のｔ番目の点であれば、ｃ＝ｔに設定する。
【０３２１】
４Ｂ．そうでなければ、ｓｖを、指数が最大でｖの準水平線１１２４（図１１）上の脚部格子点の数についての上限とする。値ｓｖは、線１１２４ごとにＶＵＢ値（１６）を用いて計算することができる。これらの値を足してｓｖ推定値を得ることができ、又は、不等式（１８）を用いて、右側の式としてｓｖを計算することができる。（ｕ，ｗ）を含む線の指数ｖを計算する。ｎｖを、指数ｖの線上の格子点の数とし、ｎ′ｖ＝ｓｖ−ｓｖ−１を、Ｖａｌｌｅｅの上限推定値ＶＵＢ（１６）とする。ｘ′が、線上のｔ番目の格子点であるとする。整数
【数１１２】
【０３２２】
を選択する。
【０３２３】
５．整数
【数１１３】
【０３２４】
を選択する。ｘ＝ｘｌｅｆｔ＋ｃ′に設定する。
【０３２５】
リスト１６の終了。
【０３２６】
計数についての考察を含む計算注記１は、π及びπ−１に当てはまるように、θ及びθ−１写像に当てはまる。
【０３２７】
θ（ｘ′，ｒ）を計算するのに、ｒを確定的に、又は、ランダムビットのソースとして用いて、ｃとｃ′の値を選択する。［０，ｈ″］においてｘ＝θ（ｘ′，ｒ）とすると、Ｂのｘ′の値を以下のように復元することができる。
【０３２８】
リスト１７‐θ−１（ｘ）を計算する（図１２）：
１．ステップ１２７０：
【数１１４】
【０３２９】
が、Ｊ（ａｉ，ｂｉ）にある（ａｉ，ｂｉ）を決定する。
【０３３０】
２．ステップ１２８０：
【数１１５】
【０３３１】
が、Ｊ（ａｉ，ｂｉ）にある［０，ｈ″］の最小の整数であるｘｌｅｆｔと、
【数１１６】
【０３３２】
が、Ｊ（ａｉ，ｂｉ）にある［０，ｈ″］の最大の整数であるｘｒｉｇｈｔを計算する。
【０３３３】
ステップ１２９０（以下のステップ３乃至５）。
【０３３４】
３．Ｐ（ａｉ，ｂｉ）の胸部及び足部の格子点の数、ｎｃ＋ｆと、脚部の点の数についての上限ＶＵＢ（１６）、ｎｌとを計算する。
【０３３５】
４．ｃ′＝ｘ−ｘｌｅｆｔを計算する。ｃ′とｎｃ＋ｆ＋ｎｌから、
【数１１７】
【０３３６】
となるように値ｃを計算する。ｃ≦ｎｃ＋ｆであれば、（ｕ，ｗ）を胸部又は足部のｃ番目の点とする。そうでなければ、ｃ∈（ｎｃ＋ｆ＋ｓｖ−１，ｎｃ＋ｆ＋ｓｖ）となるように、指数ｖを計算し、ここで、ｓｖは、リスト１６、ステップ４Ｂにおけるように定義される。また、（リスト１６におけるように定義される）ｔの値を計算し、（ｕ，ｗ）を指数ｖの準水平線１１２４上のｔ番目の点とする。
【０３３７】
５．
【数１１８】
【０３３８】
に設定する。
【０３３９】
リスト１７の終了。
【０３４０】
計数についての考察を含む計算注記１は、リスト１６に当てはまる。
【０３４１】
パラメータの設定。θ準順列は、おそらく署名方式により適しているので、ｈ′−ｈの値とｈ″の値を選択するのに、署名方式にできるだけ有用となるのに準順列が含むべき性質について考慮しなければならない。例えば、θは、一意可逆であるかほとんどそうであるべきである。しかしながら、図９のステップ５１０で、多数の候補から正確なＨ（Ｍ）値を認識したり、そうでなければ、ステップ５２０で、検証を認識するのが可能であれば、一意可逆は、必要ではない。一実施形態において、ｌ３とｌ４は、両方とも１に等しい。すなわち、各ビットストリングｘは、その逆としてちょうど１つのＢ要素ｘ′を有する。ｌ１が少なくとも１つであることは適切である。すなわち、各Ｂ要素は、その圧縮として少なくとも１つの短いビットストリングを有するべきである。前述のように、他のパラメータの値を考慮すると、ｌ２はできるだけ小さくするべきである。これらの考慮事項を念頭において、以下の計算は、具体的なパラメータを示している。
【０３４２】
ｎｃ＋ｆ＋ｎｌ≦ｘｒｉｇｈｔ−ｘｌｅｆｔとなるように、すなわち、Ｐ（ａｉ，ｂｉ）の点の数の上限が、Ｊ（ａｉ，ｂｉ）に対応付けられたビットストリングの数よりも小さくなるように、パラメータを選択することで、各Ｂ要素に一意に対応付けられる少なくとも１つのビットストリングが確実に存在することになる。
【数１１９】
【０３４３】
であることに注目されたい。ここで、後者の項は、Ｉ（ａｉ，ｂｉ）の直径であり、少なくともＪ（ａｉ，ｂｉ）の直径である。このことは、
【数１２０】
【０３４４】
であることを意味する。
【０３４５】
さて、Ｃｏｒｏｎが用いたパラメータについて考えてみる。Ｃｏｒｏｎは、
【数１２１】
【０３４６】
の場合を考慮した。これらの値について、Ｃｏｒｏｎは、
【数１２２】
【０３４７】
の上限を証明した。ここで、ｊｉは、Ｊ（ａｉ，ｂｉ）の整数の数である。従って、
【数１２３】
【０３４８】
であれば、ｘｒｉｇｈｔ−ｘｌｅｆｔ＋１＞ｎｃ＋ｆ＋ｎｌである。ｎｌ推定値が整数である限り、望みどおり、ｘｒｉｇｈｔ−ｘｌｅｆｔ≧ｎｃ＋ｆ＋ｎｌとなる。従って、
【数１２４】
【０３４９】
に設定してもよく、ここで、最大値は、全てのｉに取って代わる。
【０３５０】
他方、Ｃｏｒｏｎは、また、下限
【数１２５】
【０３５１】
を証明する。これにより、ｃ′について可能な値の数の上限をおよそ
【数１２６】
【０３５２】
に定めることができ、Ｎとεの標準値に対して最大で２である。また、ｃについて可能な値の数は、およそ
【数１２７】
【０３５３】
によって上限を定められ、Ｃｏｒｏｎのパラメータに対し同じく最大で２である。従って、ｌ２は、最大で２・２＝４であり、（１，４，１，１）準順列を得る。しかしながら、Ｂ要素の無視できる部分だけは複数の像を有する。
【０３５４】
４．暗号化／復号化方式
本発明のπ変換を図６の方式において用いることで、暗号文のサイズの縮小を可能にすることによって、（上述の）Ｒａｂｉｎ‐ＯＡＥＰ＋等のＲａｂｉｎに基づく暗号化方式を改良することができる。
【０３５５】
以下、πＮ，ｈ，ｈ′という表現は、集合Ｂ２Ｎ，ｈ，ｈ′への写像πを示し、θＮ，ｈ，ｈ′は、集合Ｂ２Ｎ，ｈ，ｈ′からの写像θを示す。
【０３５６】
リスト１８‐暗号化（図６）：
１．ステップ２１０：メッセージＭのエンコードである、ｘ＝Ｈ（Ｍ）を計算する。
【０３５７】
２．ステップ６１０：ｘ′＝πＮ，ｈ，ｈ′（ｘ，ｒ）∈［０，Ｎ／２］を計算する。
【０３５８】
３．ステップ２２０：ｙ＝ｘ′２（ｍｏｄ Ｎ）を計算する。ここで、文字ｙをｃの代わりに暗号文に用いて、本明細書におけるｃの他の使用との混同を避ける。
【０３５９】
４．ステップ２３０：ｙを暗号文として出力する。
【０３６０】
リスト１８の終了。
【０３６１】
リスト１９‐復号化（図７）：
１．ステップ３１０：ｘ′２≡ｙ（ｍｏｄ Ｎ）となるように、各ｘ′∈［０，Ｎ／２］を計算する。図７において数ｘ′はｂと示す。［０，Ｎ／２］にはかかるｘ′が少なくとも１つ存在するのは、ｘ′２＝ｙ（ｍｏｄ Ｎ）でありｘ′が［０，Ｎ／２］になければ、ｘ′はＮ−ｘ′に設定することができるからであり、この新しいｘ′値は［０，Ｎ／２］にあり、ｘ′２＝ｙ（ｍｏｄ Ｎ）を満たす。
【０３６２】
２．ステップ３２０：
【数１２８】
【０３６３】
を計算する。かかるｘ値は、いくつかあることがある。これらの値は、図７のＨ（Ｍ）に対応する。
【０３６４】
３．ステップ３３０：メッセージエンコードを取り消して、メッセージＭが正確にエンコードされているか確認する。
【０３６５】
４．Ｍが正確にエンコードされていない場合、ｘ′の別の値を試してみる。ｘ′の全ての値が試されているならば、復号化が失敗したことを示す。
【０３６６】
リスト１９の終了。
【０３６７】
リスト１４、１５、１８、１９による、π写像を含むＲａｂｉｎ暗号化方式は、ランダムオラクルによる適応的選択メッセージ攻撃に関する存在偽造不可能モデルの下でπ写像がないのと同じくらい安全であることを示すことができる。参照により本明細書に含まれる「Ｃｒａｉｇ Ｇｅｎｔｒｙ著、Ｈｏｗ ｔｏ ｃｏｍｐｒｅｓｓ Ｒａｂｉｎ Ｃｉｐｈｅｒｔｅｘｔｓ ａｎｄ Ｓｉｇｎａｔｕｒｅｓ （ａｎｄ Ｍｏｒｅ），Ｐｒｏｃ．ｏｆ Ｃｒｙｐｔｏ ２００４，Ｍ．Ｆｒａｎｋｌｉｎ（Ｅｄ．），Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ３１５２，ｐｐ．１７９−２００，Ｓｐｒｉｎｇｅｒ，２００４」を参照されたい。
【０３６８】
π準順列は、Ｎ，ｈ及びｈ′の特定の値に依存することに注意されたい。従って、ある意味、ｈ及びｈ′は、公開鍵の一部であり、送信者は、暗号化を実行するのにそれが必要である。ＲＳＡやＲａｂｉｎ暗号化と共に用いることができる当技術において公知の様々なエンコード方式は、本発明の帯域幅縮小暗号化方式においても用いることができる。以下、帯域幅縮小暗号化方式の詳細を示すが、上記リスト５及び６のＲａｂｉｎ‐ＯＡＥＰ＋の説明に類似している。上述のように、メッセージエンコードは、式（１）により上記定義したハッシュ関数を利用する。非帯域幅縮小Ｒａｂｉｎ‐ＯＡＥＰ＋（リスト５及び６）において、
【数１２９】
【０３６９】
であったが、本発明の帯域幅縮小暗号化方式においては、式（２１）に示したＶａｌｌｅｅのパラメータに関するｈ″の値に従って、
【数１３０】
【０３７０】
に設定するのが適切である。いくつかの実施形態において、Ｖａｌｌｅｅのパラメータにおけるように、ｈ′−ｈは、およそ８Ｎ２／３である。もちろん、ｎを大きくする、例えば、ｌｏｇ２Ｎにまですることができるが、エンコードしたプレーンテキストが、
【数１３１】
【０３７１】
よりも大きくなければならない場合を除いて、それは必須ではない。
【０３７２】
メッセージＭ∈｛０，１｝ｍを暗号化するために、送信者は、以下の演算を実行する（図６参照）。
【０３７３】
リスト２０‐暗号化。
【０３７４】
図６のステップ２１０は、以下のステップ１乃至３に対応する。
【０３７５】
１．任意の
【数１３２】
【０３７６】
を選択する。
【０３７７】
２．
【数１３３】
【０３７８】
を設定する。
【０３７９】
３．ｎビットストリング、ｘ←ｓ‖ｔを設定する。
【０３８０】
４．ステップ６１０：ｘ′＝π（ｘ，ｒ）∈［０，Ｎ／２］を計算する。
【０３８１】
５．ステップ２２０：暗号文ｃ←ｘ′２（ｍｏｄ Ｎ）を計算する。
【０３８２】
リスト２０の終了。
【０３８３】
ｘ′は、モジュラ平方数が非常に狭い値域（すなわち、［ｈ，ｈ′］）にある整数であるので、ｃの
【数１３４】
【０３８４】
最下位ビットだけを実際に送信するだけでよく、暗号文を「短く」することに注目されたい。ｈ′−ｈ＝８Ｎ２／３に対し、暗号文は、およそ
【数１３５】
【０３８５】
ビットである。
【０３８６】
復号化するために、受信者は、以下のステップを実行する（図７参照）。
【０３８７】
リスト２１−復号化
１．ステップ３１０：ｃのモジュラ平方根
【数１３６】
【０３８８】
と
【数１３７】
【０３８９】
とを計算する。
【数１３８】
【０３９０】
の少なくとも１つと、
【数１３９】
【０３９１】
の少なくとも１つは、［０，Ｎ／２］にある。一般性を失うことなく、
【数１４０】
【０３９２】
は、［０，Ｎ／２］にあるものと仮定することができる。
【０３９３】
２．候補
【数１４１】
【０３９４】
ごとに、
２Ａ．ステップ７１０：
【数１４２】
【０３９５】
を計算する。
【０３９６】
２Ｂ．ステップ３２０：
【数１４３】
【０３９７】
と、
【数１４４】
【０３９８】
について、ｘｉをｓｉ‖ｔｉに構文解析し、次に、
【数１４５】
【０３９９】
と、
【数１４６】
【０４００】
について、ｓｉを
【数１４７】
【０４０１】
に構文解析する。ｉごとに、
【数１４８】
【０４０２】
と、
【数１４９】
【０４０３】
とを計算し、
【数１５０】
【０４０４】
かどうかテストする。条件が満たされる一意のｉが存在する場合、Ｍｉを正確なプレーンテキストとして出力し、そうでなければ、復号化の失敗を示す。
【０４０５】
リスト２１の終了。
【０４０６】
セキュリティのプルーフの概略を述べるのに、上記の帯域幅縮小暗号化方式を解読することは、法Ｎを因数分解するのと同じくらい難しいことを（例えば、「ランダムオラクルモデル」を用いて）証明できる。例えば、時間ｔＡでアドバンテージεＡで暗号化方式を解読するアルゴリズムＡが存在するものとし、ここで、アドバンテージは、Ａが選択した２つのプレーンテキスト、Ｍ０とＭ１、のどちらが特定の暗号文によって暗号化されているかを正確に推測できる確率（マイナス１／２）と定義する。次に、Ａとのインタラクションを通じて得た知識を用いることによって、Ｎを因数分解できる第２のアルゴリズムＢを構成することができる。例えば、以下の「ゲーム」を考えてみる。
【０４０７】
挑戦者は、因数分解する法ＮをＢに与える。Ｂは、Ｎをその公開鍵であると述べ、フェーズ１で、Ａが、Ａの選択した暗号文メッセージｃの復号化を要求することができるようにする。さて、Ｂは、秘密鍵を知らないので、Ｂは、実際に復号化できない。しかしながら、Ｂは、暗号ハッシュ関数Ｇ，Ｈ及びＨ′（１）の出力を制御する。これは、ランダムオラクルモデルである。ハッシュ関数は、「ゲーム」のエンティティが制御してもよいオラクルとみなされる。Ａは、Ａの選択したメッセージＭのハッシュ関数値をＢに問い合わせる。Ｂが同じメッセージＭについて、以前に、この問合せを受信していれば、Ｂは、以前と同じハッシュ関数値を返す。そうでなければ、Ｂは、ランダムにハッシュ関数値を生成する。Ａは、このハッシュ関数値を用いてＭを暗号文ｃに暗号化し、Ｂにｃを復号化するように要求する。
【０４０８】
Ｂがハッシュ関数を制御するので、また、Ａは（無視できる確率を除いて）ハッシュを問合せることなく有効にエンコードされた暗号文を作成することができないので、Ｂは、（例えば）ＡがＨ′に入力するＭの値など、Ａのハッシュ関数への入力Ｍを「見る」ことになる。この知識を用いて、Ｂは、圧倒的に高い確率でＡの復号化の問合せに正確に返答するこができる。フェーズ１の終わりに、Ａは、それについてテストされたいメッセージＭ０とＭ１を選択し、Ｂは、ランダムにあるビットｂ∈｛０，１｝を選択し、Ｍｂを暗号化する暗号文ｃ（「挑戦暗号文」）を返信する。Ｂは、ハッシュ関数の制御を用いて、この暗号文を巧妙に「間に合わせに作る」ので、ｃのモジュラ平方根
【数１５１】
【０４０９】
がわかる。「フェーズ２」で、Ａは、挑戦暗号文以外の復号化すべき暗号文をさらに要求することができる。最終的に、推測ｂ′∈｛０，１｝を出力し、ｂ＝ｂ′であればゲームに勝利する。ハッシュの問合せをさらに行って、再びＢがこれらのハッシュ関数への入力を「見る」ことができるようしない限り、Ａは、せいぜいわずかなアドバンテージしか有さない。
【０４１０】
Ａが確かにｃのモジュラ平方根
【数１５２】
【０４１１】
を計算すれば、
【数１５３】
【０４１２】
である可能性があるので、
【数１５４】
【０４１３】
は、Ｎの自明ではない因数を与える。確かに、ｘとｒを一様に計算し（ハッシュ関数はｘに対し一様出力を与えるものとする）、次に、ｘ′＝π（ｘ，ｒ）を計算することからなる抜き出し方式が擬一様抜き出し方式であれば、Ｂが、どのモジュラ平方根を知っているかをＡが推測する可能性は低いことを意味する。従って、Ａは、間違って推測することが多く、そのハッシュの問合せにより、Ｎの自明ではない因数を計算するのに必要な情報をＢに与える可能性が高い（擬一様抜き出し方式について、Ｖａｌｌｅｅの値を
【数１５５】
【０４１４】
とすると、少なくとも
【数１５６】
【０４１５】
の可能性）。
【０４１６】
５．署名方式
本発明のθ変換を用いて、署名を損失なしに圧縮できるようにすることによって、Ｃｏｒｏｎが安全であると証明した部分領域ハッシュ署名などの、Ｒａｂｉｎに基づく署名方式を改良することができる。基本的なアプローチは、以下のとおりである。
【０４１７】
リスト２２‐署名（図８も参照）：
１．図８のステップ４１０：メッセージＭのエンコード、ｙ∈［ｈ，ｈ′］を計算する。
【０４１８】
図８のステップ４２０は、以下のステップ２及び３に対応する。
【０４１９】
２．ｅｙがＮを法とする平方数となるように、ｅ∈｛−２、−１，１，２｝を計算し、ｅｙ（ｍｏｄ Ｎ）を計算する。ｙは、Ｎを法とする平方根を持たないことがあるが、（Ｎが２つの素数の積とすると）−２*ｙ，−ｙ，ｙ，２*ｙのいずれかは、常にＮを法とする平方根を有するので、ｅで乗算がなされる。
【０４２０】
３．ｘ′２≡ｅｙ（ｍｏｄ Ｎ）となるように、ｘ′∈［０，Ｎ／２］を計算する。「通常の」署名は、（ｘ′，ｅ）である。
【０４２１】
４．図８のステップ８１０：ｅが正であれば、ｘ＝θＮ，ｅｈ，ｅｈ′（ｘ′，ｒ）を計算し、ｅが負であれば、ｘ＝θＮ，ｅｈ′，ｅｈ（ｘ′，ｒ）を計算する。圧縮された署名は（ｘ，ｅ）である。
【０４２２】
リスト２２の終了。
【０４２３】
リスト２３-検証（図９参照）：
１．ステップ９１０（図９）：ｅが正であれば、
【数１５７】
【０４２４】
を計算し、ｅが負であれば、
【数１５８】
【０４２５】
を計算する。
【０４２６】
２．ステップ５１０：ｙ＝Ｈ（Ｍ）／ｅ（ｍｏｄ Ｎ）を計算する。
【０４２７】
３．ステップ５２０：ｙ∈［ｈ，ｈ′］であり、メッセージＭのエンコードであるか確認する。
【０４２８】
リスト２３の終了。
【０４２９】
θ準順列は、Ｎ，ｈ，ｈ′及びｅの特定の値に依存することに注意されたい。従って、ある意味では、ｈとｈ′は、公開鍵の一部であり、検証者は、署名を検証するのにそれが必要である。ＲＳＡやＲａｂｉｎ署名と共に用いることができる当技術で公知の様々なエンコード方式は、本発明の帯域幅縮小署名方式においても用いることができ、その逆もまた同様である。ｅの値は、２ビットで表現することができる。ｅに様々な値を用いることができるが、ｅを小さくしておくことは適切である。
【０４３０】
リスト１６、１７、２２、２３による、θ写像を含むＲａｂｉｎ署名方式は、ランダムオラクルによる適応的選択メッセージ攻撃に関する存在偽造不可能モデルの下でπ写像がないのと同じくらい安全であることを示すことができる。上述のＣｒａｉｇ Ｇｅｎｔｒｙ著の論文、Ｈｏｗ ｔｏ ｃｏｍｐｒｅｓｓ Ｒａｂｉｎ Ｃｉｐｈｅｒｔｅｘｔｓ ａｎｄ Ｓｉｇｎａｔｕｒｅｓ （ａｎｄ Ｍｏｒｅ）を参照されたい。
【０４３１】
以下、より詳細な帯域幅縮小署名方式を示すが、前述の全領域ハッシュ署名方式の説明と類似している（リスト７及び８参照）。メッセージ復元が可能な特定のエンコード方式を使用する。前述のように、上記式（１）により与えられる暗号ハッシュ関数を使用する。非帯域幅縮小署名方式（リスト７及び８）においては、
【数１５９】
【０４３２】
であったが、帯域幅縮小署名方式には、Ｃｏｒｏｎのパラメータに従って、
【数１６０】
【０４３３】
とするのが望ましい。この場合も、ｎを
【数１６１】
【０４３４】
ビットよりも大きく設定することができるが、ある理由で、エンコードされたメッセージが
【数１６２】
【０４３５】
ビットよりも長くなければならない場合を除いて、これは望ましくない。素数Ｐ≡３（ｍｏｄ ８）及びｑ≡７（ｍｏｄ ８）についてＮ＝ｐｑとなるようにＮを生成する際、署名者は、以下の演算を実行する。
【０４３６】
リスト２４‐署名(図８)：
図８のエンコードステップ４１０：
１．任意の
【数１６３】
【０４３７】
を選択する。
【０４３８】
２．
【数１６４】
【０４３９】
を設定する。
【０４４０】
３．ｎビット整数、ｙ←ｓ′‖ｓ″‖ｔを設定する。
【０４４１】
図８の署名ステップ４２０：
４．ｕｑ←ｙ（ｑ＋１）／４（ｍｏｄ ｑ）を計算する。
【０４４２】
５．
【数１６５】
【０４４３】
であれば、ｅｙ←１に、そうでなければ、ｅｙ←−１に設定する。
【０４４４】
６．ｕｐ←（ｅｙｙ）（ｐ＋１）／４（ｍｏｄ ｐ）を計算する。
【０４４５】
７．
【数１６６】
【０４４６】
であれば、ｆｙ←１に、そうでなければ、ｆｙ←２に設定する。
【０４４７】
８．ｖｑ←ｆｙ（３ｑ−５）／４ｕｑ（ｍｏｄ ｑ）、及びｖｐ←ｆｙ（３ｑ−５）／４ｕｐ（ｍｏｄ ｐ）を計算する。
【０４４８】
９．ｗ←ｖｑ＋ｑ（ｑｐ−２（ｖｐ−ｖｑ）ｍｏｄ ｐ）を計算する。
【０４４９】
１０．２ｗ＜Ｎであれば、ｘ′←ｗに、そうでなければ、ｘ′←Ｎ−ｗに設定する。
【０４５０】
短い署名の生成（図８のステップ８１０）：
１１．ｅが正であれば、ｘ＝θＮ，ｅｈ，ｅｈ′（ｘ′，ｒ′）を計算し、ｅが負であれば、ｘ＝θＮ，ｅｈ′，ｅｈ（ｘ′，ｒ′）を計算する。
【０４５１】
１２．署名（ｅｙ，ｆｙ，ｒ，ｘ）を出力する。
【０４５２】
リスト２４の終了。
【０４５３】
この場合も、２（３ｑ−５）／４（ｍｏｄ ｑ）、２（３ｐ−５）／４（ｍｏｄ Ｐ）及びｑｐ−２（ｍｏｄ ｐ）の値は事前に計算できるので、ステップ８及び９は、署名時間にほとんど何も付加しない。
【０４５４】
リスト２５‐検証（図９）：
１．ステップ９１０：ｅが正であれば、
【数１６７】
【０４５５】
を計算し、ｅが負であれば
【数１６８】
【０４５６】
を計算する。
【０４５７】
２．ステップ５１０、５２０：
【数１６９】
【０４５８】
を計算し、ｙｔｍｐがｎビットであることを確認し、ｙｔｍｐを
【数１７０】
【０４５９】
に構文解析し、
【数１７１】
【０４６０】
を計算し、
【数１７２】
【０４６１】
であることを確認する。
【０４６２】
リスト２５の終了。
【０４６３】
検証処理中にメッセージＭが復元されることに注意されたい。また、圧縮θ（リスト２４のステップ１１）は、「通常の」Ｒａｂｉｎ署名（ｅｙ，ｆｙ，ｘ′）が生成された後に、署名処理の終わりにやっと出てくることに注目されたい。
【０４６４】
セキュリティのプルーフは、Ｃｏｒｏｎが提供したような「通常の」部分領域ハッシュ署名方式に対するセキュリティのプルーフから容易に得られる。ある攻撃者Ａが、帯域幅縮小方式において偽造ができるならば、非帯域幅縮小方式に対する別の攻撃者Ｂは、単にθ−１をＡの偽造に適用することで、非帯域幅縮小方式において偽造することができることは明らかである。Ｂは、Ａの署名の問合せを挑戦者に中継し、次に挑戦者の応答に対し、それらをＡに中継する前にθを適用することによって、該署名の問合せに容易に応答するふりをすることができる。
【０４６５】
６．サインクリプション方式
本発明のいくつかの実施形態によるサインクリプション方式において、望ましくは、サインクリプションの送信が、送信者が署名と暗号文を別々に送信した場合よりも少ない帯域幅を消費するように、送信者は、同時に、自身の秘密鍵を用いてメッセージに署名し、受信者の公開鍵を用いてそれを暗号化する。受信者は、その秘密鍵でサインクリプションを復号化し、送信者の公開鍵を用いて送信者の署名を検証する。送信者の公開法をＮＡ又はＮ（Ａ）で示し、送信者のｈ，ｈ′パラメータをそれぞれｈＡ及びｈ′Ａで、又はｈ（Ａ）及びｈ′（Ａ）で示す。受信者の公開法をＮＢ又はＮ（Ｂ）で示し、受信者のｈ，ｈ′パラメータをそれぞれｈＢ及びｈ′Ｂで、又はｈ（Ｂ）及びｈ′（Ｂ）で示す。一実施形態は以下のとおりである（図６、８及び１４参照）。
【０４６６】
リスト２６‐サインクリプション（図１４）：
１．図１４のステップ４１０（エンコード）：メッセージＭのエンコード、ｙ∈［ｈＡ，ｈ′Ａ］を計算する。ステップ４２０（以下のステップ２、３）。
【０４６７】
２．ｅｙがＮＡを法とする平方数となるように、ｅ∈｛−２，−１，１，２｝を計算する。
【０４６８】
３．ｘ′２≡ｅｙ（ｍｏｄ ＮＡ）となるように、ｘ′∈［０，ＮＡ／２］を計算する。
【０４６９】
４．ステップ８１０：ｅが正であれば、短い署名
【数１７３】
【０４７０】
を計算し、ｅが負であれば、
【数１７４】
【０４７１】
を計算する。
【０４７２】
５．ステップ１４１０：ｘ″∈［０，Ｎ／２］として、ｅが正であれば、
【数１７５】
【０４７３】
を計算し、ｅが負であれば、
【数１７６】
【０４７４】
を計算する。
【０４７５】
６．ステップ１４２０：ｃ＝ｘ″２（ｍｏｄ ＮＢ）を計算する。サインクリプションは、ｅとｃ、又はｅとｃの省略形とからなる（ｃの省略形とは、ｃよりも少ないビットで表現することができ、それからｃを求めることができる数であり、例としてｃ−ｈや、ｃのある数の最下位ビットを含む）。
【０４７６】
リスト２６の終了。
【０４７７】
θ準順列は、Ｎ，ｅの特定の値と、ｈ及びｈ′の値に依存し、ユーザＡ及びＢによって異なることがあることに注意されたい。従って、いくつかの実施形態では、ｈとｈ′は、公開鍵の一部であり、受信者は、署名を検証し、メッセージを復号化するのにそれが必要である。異なる署名者は、ｈとｈ′に異なる値を用いることができるが、簡潔にするために同じであるのが望ましい。様々なエンコード方式が当技術において公知であり、１つの方式を以下に詳細に説明する。ｅの値は、２ビットで表現することができる。ｅに様々な値を用いることができるが、ｅを小さくしておくことが望ましい。「ｃの省略形」（例えば、
【数１７７】
【０４７８】
ビットで表現することができる、ｃ−ｈ）を、ｈ及びｈ′と一緒に用いて、ｃの完全な値を復元することができるので、サインクリプションは「短い」。
【０４７９】
リスト２７‐アンサインクリプション（Ｕｎｓｉｇｎｃｒｙｐｔｉｏｎ）（図１５参照）：
１．ステップ１５１０（復号化）：ｘ″２≡ｃ（ｍｏｄ ＮＢ）となるように、ｘ″∈［０，ＮＢ／２］の２つの値を計算する。
【０４８０】
２．ステップ１５２０：ｅが正であれば、
【数１７８】
【０４８１】
を計算し、ｅが負であれば、
【数１７９】
【０４８２】
を計算する。
【０４８３】
３．ステップ１５３０：ｅが正であれば、
【数１８０】
【０４８４】
を計算し、ｅが負であれば、
【数１８１】
【０４８５】
を計算する。
【０４８６】
４．ステップ１５４０：ｙ＝ｘ′２／ｅ（ｍｏｄ ＮＡ）を計算する。
【０４８７】
５．ステップ１５５０：メッセージエンコードを取り消してＭを復元し、メッセージＭが正確にエンコードされているか確認する。Ｍが正確にエンコードされていなければ、ｘ″の他の値を試してみる。ｘ″の両方の値を試しているならば、復号化が失敗したことを示す。
【０４８８】
リスト２７の終了。
【０４８９】
アンサインクリプションにおいて、図１４のステップ８１０におけるθの計算でサインクリプター（ｓｉｇｎｃｒｙｐｔｅｒ）が用いるｒの特定の値を、アンサインクリプター（ｕｎｓｉｇｎｃｒｙｐｔｅｒ）は知らない。しかしながら、θ準順列にパラメータを望ましく選択するために、Ｂ要素の無視できる部分だけが複数の像を有するので、出力は一意になる可能性が高い（ｒから独立している）。しかし、必要ならば、サインクリプターは、どのｒの値を用いたかを示す少数の追加ビットを送信することができる。
【０４９０】
図１４のステップ４１０の典型的なエンコードは、以下のとおりである。ｍ，ｋ０，ｋ１をセキュリティパラメータとする。
【数１８２】
【０４９１】
と
【数１８３】
【０４９２】
の数量は、ごくわずかであるべきだが、必然ではない。ｎ＝ｍ＋ｋ０＋ｋ１とする。望ましくは、法ＮＡとＮＢは、ほぼ同じ数のビットを有し、帯域幅縮小署名方式におけるように、
【数１８４】
【０４９３】
である。ＮＡとＮＢのサイズが異なるならば、
【数１８５】
【０４９４】
となるように、ｎを設定することができる。この場合も、ｎをさらに大きく設定することはできるが、そうすることは最適ではない。以下の暗号ハッシュ関数を定義する。
【数１８６】
【数１８７】
【０４９５】
このＨ関数（メッセージエンコードの計算用の中間値）は、図１４のステップ４１０に示す、最終的なエンコードされたメッセージを表すＨ（Ｍ）関数と混同するべきではない。
【０４９６】
図１４のステップ４１０で、ｙを計算するために、ここで、ｙは、メッセージＭ∈｛０，１｝ｍのエンコードであるが、サインクリプターは、
１．任意の
【数１８８】
【０４９７】
を選択する。
【０４９８】
２．ｔ＝Ｈ（ｒ‖Ｍ）及び
【数１８９】
【０４９９】
に設定する。
【０５００】
３．ｙ＝ｓ‖ｔに設定する。
【０５０１】
ステップ１５５０で（図１５）、アンサインクリプターは、ｙをｓ及びｔに構文解析し、
【数１９０】
【０５０２】
からｒとＭを復元し、ｔ＝Ｈ（ｒ‖Ｍ）であることを確認する。セキュリティプルーフは、基本的に、前述の、暗号化方式と署名方式のセキュリティプルーフを組み合わせたものである。さらに、帯域幅縮小署名方式に関連して上記に述べたモジュラ平方根の計算への数論的アプローチは、サインクリプション／アンサインクリプションと共に用いることができる。
【０５０３】
いくつかのサインクリプション実施形態において、署名と暗号化の順序を逆にする。すなわち、送信者は、まず、受信者の公開鍵を用いてメッセージを暗号化し、次に送信者の秘密鍵を用いてメッセージに署名する。受信者は、署名を検証し、暗号化されたメッセージを復元し、次にメッセージを復号化する。リスト２６、２７に類似した方法を、演算の順序を適切に変更して用いることができる。
【０５０４】
７．集合署名方式
本発明のいくつかの実施形態による集合署名方式において、それぞれ公開鍵法｛Ｎ１，…，ＮＺ｝を有する署名者の集合｛Ｓ１，…，ＳＺ｝は、それらの集合署名、すなわち、各ＳｉがＭｉに署名したことを検証するのに必要なビットストリングが「短く」、各署名者がそれぞれのメッセージに別々に署名した場合よりも少ない帯域幅を最適に消費するように、それぞれのメッセージ｛Ｍ１，…，ＭＺ｝に署名する。本発明のいくつかの実施形態において、メッセージは、順に署名され、これは、署名者Ｓｉが、Ｓｉ−１からｓｉ−１を受信した後に、Ｍｉについて署名ｓｉを生成することを意味する。いくつかの実施形態において、Ｎｉは、全てほぼ同じビット長を有する。Ｎｉのビット長に関する考慮事項は、本発明のサインクリプションの実施形態に関して前述したのと基本的に同じである。
【０５０５】
各ｓｉ−１は、
【数１９１】
【０５０６】
の要素の、（
【数１９２】
【０５０７】
により）圧縮した表示であり（図８のステップ８１０に注目）、ｓｉは、基本的に、［ｈ，ｈ′］の数のＮｉを法とする圧縮平方根として計算される（ステップ４２０、８１０）。その数は、ｓｉ−１とＭｉとに依存する。（以後、署名者は、それぞれ異なる値のｈ及びｈ′を用いることができるが、便宜上、このことは表記において示さない）。集合署名は、公開鍵｛Ｎ１，…，ＮＺ｝を用いて検証される。具体的に、このアプローチは、以下のとおりである。ｆを後述する関数とする。Ｎｉは、Ｎ（ｉ）とも示す。ｉ番目の署名者は、以下の演算を実行する。
【０５０８】
リスト２８‐集合署名（図８参照）：
０．ｓ０＝ｄに設定する。ここで、ｄは、所定の固定値である（任意の値）。
【０５０９】
１．ｉ＝１からｉ＝ｚについて、以下を行う。
【０５１０】
１Ａ．ステップ４１０：ｙｉ＝ｆ（ｓｉ−１，Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）∈［ｈ，ｈ′］を計算する。
【０５１１】
ステップ４２０（以下のステップ１Ｂ及び１Ｃ）：
１Ｂ．ｅｉｙｉがＮｉを法とする平方数となるように、ｅｉ＝ｅｉ（ｉ）∈｛−２，−１，１，２｝を計算する。Ｈ（Ｍ）＝ｅｉｙｉ(ｍｏｄ Ｎｉ)を計算する。
【０５１２】
１Ｃ．ステップ４２０：
【数１９３】
【０５１３】
となるように、
【数１９４】
【０５１４】
を計算する。
【０５１５】
１Ｄ．ステップ８１０：ｅｉが正であれば、ｓｉ＝θＮ（ｉ），ｅ（ｉ）ｈ，，ｅ（ｉ）ｈ′（ｓｉ，ｒ）を計算し、ｅｉが負であれば、ｓｉ＝θＮ（ｉ），ｅ（ｉ）ｈ′，ｅ（ｉ）ｈ（ｓｉ，ｒ）を計算する。
【０５１６】
２．集合署名（ｓ１，ｅ１，・・・ｓｚ，ｅｚ）を出力する。
【０５１７】
リスト２８の終了。
【０５１８】
ｉ番目の署名者は、ｓｉを生成する前に、（ｉ−１）番目の署名者がそれ自身の署名を集合した後の結果である、ｓｉ−１の値を受信することに注目されたい。サインクリプション方式におけるように、署名者は、それぞれ、ｈとｈ′に異なる値を用いることができるが、簡潔にするためには同じであることが望ましい。関数ｆについては、本発明が利用する検証の概要を述べた後に説明する。
【０５１９】
リスト２９‐検証（図９参照）：
１．ｉ＝ｚからｉ＝１について、以下を行う。
【０５２０】
１Ａ．ステップ９１０：ｅｉが正であれば、ｓｉ′＝θ−１Ｎ（ｉ），ｅ（ｉ）ｈ，ｅ（ｉ）ｈ′（ｓｉ）を計算し、ｅｉが負であれば、ｓｉ′＝θ−１Ｎ（ｉ），ｅ（ｉ）ｈ′，ｅ（ｉ）ｈ（ｓｉ）を計算する。
【０５２１】
１Ｂ．ステップ５１０：
【数１９５】
【０５２２】
を計算する。
【０５２３】
１Ｃ．ステップ５２０：ｙｉ＝ｆ（ｓｉ−１，Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）からｓｉ−１を計算する。
【０５２４】
２．ステップ５２０：ステップ１Ｂ‐２で計算したｓ０がｄに等しいことを確認する。
【０５２５】
リスト２９の終了。
【０５２６】
関数ｆは、集合署名処理において効率的に計算可能なだけでなく、検証処理においても効率的に可逆であるべきである。可逆であるとは、ｓｉ−１が、ｆ（ｓｉ−１，Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）と、Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１の値から導き出せるべきであるという意味においてである。かかる関数の候補の１つは、ｆ（ｓｉ−１，Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）＝ｓｉ−１・Ｈｉ（Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）である。ここで、“・”は、加算やＸＯＲなどの何らかの容易に可逆である２項演算である。
【０５２７】
この方式のセキュリティを証明するのに問題があることがある。１つの理由として、鍵とメッセージの固定集合（Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）に対する集合署名要素ｓｉ−１には、可能性のある値が多くあり、シミュレータ（すなわち、暗号化の項４の言語のアルゴリズムＢ）が、ｓｉに関するｓｉ−１の全ての可能性のある値についての攻撃者の署名の問合せに返答することができるように、シミュレータが、Ｈｉ（Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）の単一の値を「間に合わせに作る」ことはおそらく不可能であることがある。ここで、Ｈｉは、Ｎｉを法とする整数集合の値を有するあるハッシュ関数である。
【０５２８】
この問題に対処するために、ｆを計算する別のアプローチを用いることがあり、
【数１９６】
【０５２９】
を計算し、ここで、Ｅは、対称暗号化方式であり、対称暗号鍵ｋｉは、あるハッシュ関数Ｈｉについて、ｋｉ＝Ｈｉ（Ｎｉ，Ｍｉ）（又は、必要なら、ｋｉ＝Ｈｉ（Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）として計算する。ｆが可逆であることは容易にわかる。
【数１９７】
【０５３０】
とＮｉ及びＭｉを与えられると、ｋｉ＝Ｈｉ（Ｎｉ，Ｍｉ）、次に、
【数１９８】
【０５３１】
を計算することができる。ここで、
【数１９９】
【０５３２】
は、鍵ｋｉの下の対称復号である。このセキュリティプルーフは、ランダム応答を返すオラクルのように、暗号ハッシュ関数がふるまうことを装うランダムオラクルモデルを用いるのではなく、ある対の鍵／メッセージについてランダム暗号文を返すオラクルのように暗号（対称暗号化方式）がふるまうことを装う理想暗号モデルを用いている。参照により本明細書に含まれる「Ｍ．Ｂｅｌｌａｒｅ、Ｄ．Ｐｏｉｎｔｃｈｅｖａｌ及びＰ．Ｒｏｇａｗａｙ著、“Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｓｅｃｕｒｅ Ａｇａｉｎｓｔ Ｄｉｃｔｉｏｎａｒｙ Ａｔｔａｃｋｓ”，ｉｎ Ｐｒｏｃ．ｏｆ Ｅｕｒｏｃｒｙｐｔ ２０００，Ｂ．Ｐｒｅｎｅｅｌ（Ｅｄ．），Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ １８０７，ｐｐ．１３９−１５５」を参照されたい。
【０５３３】
理想暗号モデルにより、シミュレータは、鍵やメッセージだけでなくｓｉ−１にも依存する問合せ応答を行うことができ、シミュレータは、その応答をより自由に「間に合わせに作る」ことができる。最適には、対称暗号化方式Ｅは、暗号文を拡張することなく、ｓｉ−１の長さ、すなわち、およそ（２／３＋ε）ｌｏｇ２Ｎｉビットのストリングを暗号化できるので、集合署名のサイズは、より多くの署名が集合されるにつれて著しく大きくなることはない。
【０５３４】
ｆを計算する上記方法はもちろん、θ圧縮関数を使用しない（すなわち、図８のステップ８１０を省略した）モジュラ２乗に基づく逐次集合署名方式を作成するのに用いることができる。
【０５３５】
８．リング署名方式
本発明のいくつかの実施形態の帯域幅縮小リング署名方式において、署名者Ｓｉは、Ｓｉがメンバーである署名者の集合｛Ｓ１，…，ＳＺ｝を選択して、検証者が、誰であるかは定められないけれども、｛Ｓ１，…，ＳＺ｝の少なくとも１人の署名者がメッセージに署名したことを検証者に確信させる、メッセージの「リング署名」を生成することができる。署名者Ｓｉは、従って、可能性のある署名者の「リング」内で限定された匿名性を有する。
【０５３６】
いくつかの実施形態において、署名者は、検証者がリング署名を検証するのに用いる公開法｛Ｎ１，…，ＮＺ｝を有する。リング署名は、集合的にＣｋ，ｖ｛ｙ１，…，ｙＺ｝を満たすｚのストリング｛ｘ１，…，ｘＺ｝を含み、ここで、
【数２００】
【数２０１】
【０５３７】
であり、ｖ及びｗは、所定のビットストリングであり、Ｃは、「結合関数」である。本発明のいくつかの実施形態の帯域幅縮小リング署名方式は、前述のθ準順列を用いることによって、また、法Ｎｉが異なるサイズを有することに対処するより帯域幅効率のよい方法を用いることによって、Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ｔａｕｍａｎ方式におけるよりも短いリング署名を実現している。
【０５３８】
Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ｔａｕｍａｎ方式（リスト１０、１１）において、
【数２０２】
【０５３９】
について、（ｑｉ＋１）Ｎｉ≦２ｂであれば、ｙｉ＝ｑｉＮｉ＋ｇｉ（ｒｉ）を計算し、そうでなければ、
【数２０３】
【０５４０】
を計算する。ここで、ｇｉは、関数
【数２０４】
【０５４１】
を示し、ｂは、所定の定数である。ｂが十分に大きい限り、（ｑｉ＋１）Ｎｉ＞２ｂであるｙｉの割合は、無視できるものであるので、ｘ′ｉのｙｉへの写像は、Ｎｉを法とする２乗とほとんど区別できない振る舞いをする。残念ながら、ｂをこれほど大きいものに選ぶことは（全ての法の対数よりもはるかに大きい）、また、帯域幅効率が悪い。
【数２０５】
【０５４２】
について、
【数２０６】
【０５４３】
を計算するほうが帯域幅効率がよい。ここで、
【数２０７】
【０５４４】
本発明のいくつかの実施形態において、θ準順列に関し、ｂが
【数２０８】
【０５４５】
の約３分の２になるように、
【数２０９】
【０５４６】
を用いて、さらによく行うことができる。従って、あるｘｉに対し、
【数２１０】
【０５４７】
と
【数２１１】
【０５４８】
とを計算することがある。結合関数は、やはり、
【数２１２】
【０５４９】
となることができ、ここで、Ｅｋは、鍵ｋを用いる対称暗号化方式である。
【０５５０】
Ｓｉが「真の」署名者であるとすれば、本発明のいくつかの実施形態におけるリング署名は、以下のように生成される。
【０５５１】
リスト３０‐リング署名：
１．ｋ＝Ｈ（Ｍ）を計算する。ここで、Ｍは、署名するメッセージであり、Ｈは、ハッシュ関数である。
【０５５２】
２．任意のｖ∈｛０，１｝ｂを選択する。
【０５５３】
３．ｊ≠ｉごとに、
３Ａ．任意の
【数２１３】
【０５５４】
を選択する。これは、Ｃ．Ｇｅｎｔｒｙの前述の論文において述べられているように、ランダムに一様に行うことができる。
【０５５５】
３Ｂ．ｙｊ＝ｇｊ（ｘ′ｊ）を計算する。
【０５５６】
４．
【数２１４】
【０５５７】
となるように、ｙｉを計算する。
【０５５８】
５．Ｎｉについての秘密知識を用いて、
【数２１５】
【０５５９】
となるように、
【数２１６】
【０５６０】
を計算する。
【０５６１】
６．全てのｊについて、
【数２１７】
【０５６２】
を計算する。リスト１６を参照（ｒ値はランダムなことがあり、異なるｊに対し異なることがある）。
【０５６３】
７．リング署名（ｘ１，…，ｘｚ，ｖ）を出力する。
【０５６４】
リスト３０の終了。
【０５６５】
前述のように（リスト１１）、リング署名者は、等式
【数２１８】
【０５６６】
を用いて、ｙｊの値からｙｉを計算することができる（ｊ≠ｉである）。ｙｊのいくつかの値、実際に約４分の３は、モジュラ平方根を持たない。この場合、ｙｊがＮｊを法とする平方剰余となるまでステップ５を再び実行しなければならない。
【０５６７】
リスト３１‐リング署名の検証：
１．ｋ＝Ｈ（Ｍ）を計算する。
【０５６８】
２．全てのｊについて、
【数２１９】
【０５６９】
を計算する。
【０５７０】
３．
【数２２０】
【０５７１】
であることを確認する。
【０５７２】
リスト３１の終了。
【０５７３】
上述の他の方式におけるように、リスト３０のステップ６Ｂにおけるｒは余剰ビットのソースであり、準順列の呼出しごとにランダムに、又は、準順列の他の入力（例えば、ｘ′ｊ）に、確定的にしかし予測不可能に依存するように選ばれる。また、各署名者は、ｈとｈ′に異なる値を用いることができるが、各署名者のｈとｈ′の値は、リング署名の検証に必要である（従って、ある意味では、公開鍵の一部である）ので、いくつかの実施形態において、全ての署名者は、同じ値を用いる。
【０５７４】
９．他の方式と拡張
本発明のいくつかの実施形態の圧縮及び復元方式は、暗号化、署名、集合署名、及びリング署名以外の暗号のコンテキストで有益である。例えば、本発明の圧縮及び復元方式を利用する閾値暗号化及び復号化は、暗号文のサイズが小さければより効率的になることがある。また、他の署名方式（例えば、Ｆｉａｔ‐Ｓｈａｍｉｒのバージョン、特に、アイデンティティに基づくバージョン）や、他のアイデンティティに基づく暗号化方式（例えばＣｏｃｋの暗号化方式を利用するものなど）において、署名者は短い（アイデンティティに基づく）公開鍵や秘密鍵（後者はＢ要素）を持つことができる。さらに、モジュラ平方数を送信することに基づく識別方式は、本発明を適用することで同様に改良される。Ａ．Ｆｉａｔ及びＡ．Ｓｈａｍｉｒ著、“Ｈｏｗ ｔｏ Ｐｒｏｖｅ Ｙｏｕｒｓｅｌｆ：Ｐｒａｃｔｉｃａｌ Ｓｏｌｕｔｉｏｎｓ ｔｏ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ｓｉｇｎａｔｕｒｅ Ｐｒｏｂｌｅｍｓ”ｉｎ Ｐｒｏｃ．ｏｆ Ｃｒｙｐｔ １９８６，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ２６３，ｐｐ．１８６−１９４．Ｓｐｒｉｎｇｅｒ，１９８６と、Ｕ．Ｆｅｉｇｅ、Ａ．Ｆｉａｔ及びＡ．Ｓｈａｍｉｒ著、“Ｚｅｒｏ‐Ｋｎｏｗｌｅｄｇｅ Ｐｒｏｏｆｓ ｏｆ Ｉｄｅｎｔｉｔｙ”ｉｎ Ｊｏｕｒ．ｏｆ Ｃｒｙｐｔｏｌｏｇｙ（１），ｐｐ．７７‐９４（１９８８）と、Ｃ．Ｃｏｃｋｓ著、Ａｎ Ｉｄｅｎｔｉｔｙ Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｃｈｅｍｅ Ｂａｓｅｄ ｏｎ Ｑｕａｄｒａｔｉｃ Ｒｅｓｉｄｕｅｓ”ｉｎ Ｐｒｏｃ．ｏｆ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｃｏｄｉｎｇ ２００１，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ２２６０，Ｓｐｒｉｎｇｅｒ（２００１）と、Ａ．Ｍｅｎｅｚｅｓ、Ｐ．ｖａｎ Ｏｏｒｓｃｈｏｔ及びＳｃｏｔｔ Ｖａｎｓｔｏｎｅ著、Ｈａｎｄｂｏｏｋ ｏｆ Ａｐｐｌｉｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ，Ｃｈａｐｔｅｒ １０，ｈｔｔｐ：／／ｗｗｗ．ｃａｃｒ．ｍａｔｈ．ｕｗａｔｅｒｌｏｏ．ｃａ／ｈａｃ／で入手可能、を参照されたい。さらに、本発明の圧縮及び復元方式は、セキュリティがモジュラ平方根を計算することに基づく方式に対し、大域的な帯域幅効率を向上する。
【０５７５】
Ｆａｒｅｙの区間に基づく圧縮及び復元方式を用いずに帯域幅縮小方式を実現することもできる。以下、本発明のかかる２つの実施形態、暗号化方式及び署名方式、を説明する。両方とも、ある状況下では、圧縮及び復元に基づく本発明の実施形態よりもさらに大きい帯域幅縮小を享受するものである（しかし、証明可能なセキュリティを失う可能性など、他の望ましい性質を犠牲にするかもしれない）。
【０５７６】
Ｃｏｐｐｅｒｓｍｉｔｈの方式を通常のＲａｂｉｎ署名（リスト７、８）又は通常の低指数ＲＳＡ署名（リスト３及び４）に適用することによって、（おそらく）帯域幅を縮小した署名方式を得ることができる。Ｄ．Ｊ．Ｂｅｒｎｓｔｅｉｎ著、“Ｐｒｏｖｉｎｇ Ｔｉｇｈｔ Ｓｅｃｕｒｉｔｙ ｆｏｒ Ｓｔａｎｄａｒｄ Ｒａｂｉｎ‐Ｗｉｌｌｉａｍｓ Ｓｉｇｎａｔｕｒｅｓ”，ｈｔｔｐ：／／ｃｒ．ｙｐ．ｔｏ／ｄｊｂ．ｈｔｍｌで入手可能、と、Ｄ．Ｂｌｅｉｃｈｅｎｂａｃｈｅｒ著、“Ｃｏｍｐｒｅｓｓｅｄ Ｒａｂｉｎ Ｓｉｇｎａｔｕｒｅｓ”ｉｎ Ｐｒｏｃ．ｏｆ ＣＴ−ＲＳＡ ２００４，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ２９６４，ｐｐ．１２６−１２８．Ｓｐｒｉｎｇｅｒ，２００４と、Ｄ．Ｃｏｐｐｅｒｓｍｉｔｈ著、“Ｆｉｎｄｉｎｇ ａ Ｓｍａｌｌ Ｒｏｏｔ ｏｆ ａ Ｕｎｉｖａｒｉａｔｅ Ｍｏｄｕｌａｒ Ｅｑｕａｔｉｏｎ”ｉｎ Ｐｒｏｃ．ｏｆ Ｅｕｒｏｃｒｙｐｔ １９９６， Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，ｐｐ．１５５‐１６５．Ｓｐｒｉｎｇｅｒ‐Ｖｅｒｌａｇ，１９９６、とを参照されたい。例えば、ｅを、Ｎを法とするＲａｂｉｎ又はＲＳＡ署名方式の公開指数とし、ｘを、リスト３又は７におけるように得られる通常の署名とする。Ｃｏｐｐｅｒｓｍｉｔｈの方式では、誰でも（Ｎについてのトラップドア情報を必要とすることなく）、（例えば）、ｘ２(ｍｏｄ Ｎ)とｘの
【数２２１】
【０５７７】
最上位ビットとから、ｘ∈［１，Ｎ］を復元することができる。従って、Ｒａｂｉｎ署名（ｅ＝２）について、図４の方法は以下のように変更することができる。
【０５７８】
リスト３２：
１．ステップ４１０：Ｈ（Ｍ）を計算する。Ｈは、全領域関数、すなわちその値域が［１，Ｎ］である関数（例えばリスト７を参照）であることもあれば、部分領域ハッシュ関数、すなわちその値域が［１，Ｎ］の真部分集合である関数であることもある。
【０５７９】
２．ステップ４２０：ｘ２＝Ｈ（Ｍ）（ｍｏｄ Ｎ）となるように署名ｘ＝ｓ（Ｍ）を計算する。
【０５８０】
３．ステップ４３０：ｘの
【数２２２】
【０５８１】
最上位ビットを送信する。また、Ｈ（Ｍ）かＨ（Ｍ）を復元するのに十分な何らかの情報を送信する。
【０５８２】
リスト３２の終了。
【０５８３】
しかしながら、Ｈ（Ｍ）を復元するのに十分な情報も送信しなければならないので、ｘの最上位ビットだけを送信することによって実現できる圧縮は、少し非現実的である。ステップ４３０で、Ｈ（Ｍ）自体を送信しなければならないならば、この署名方式は、明らかに望ましいメッセージ復元特性を有していない。
【０５８４】
Ｂ２Ｎ，ｈ，ｈ′内の数を見つけるための発見的方法を用いることによって、帯域幅縮小暗号化方式を得ることができる。ここで、ｈ′は
【数２２３】
【０５８５】
と同じくらい小さいことがある。しかしながら、発見的抜き出し方式を用いた結果生じる暗号化方式は、証明可能なセキュリティを享受するものではない。発見的に、集合Ｓ＝Ｂ２Ｎ，ｈ，ｈ′により図１０のセキュリティプルーフモデルを用いるために、
【数２２４】
【０５８６】
について、Ｂ２Ｎ，ｈ，ｈ′内の数を以下のように生成することができる。
【０５８７】
リスト３３：
１．任意の
【数２２５】
【０５８８】
と
【数２２６】
【０５８９】
を選択する。
【０５９０】
２．
【数２２７】
【０５９１】
を計算する。
【０５９２】
３．ｘ＝ｘ′＋ｂを計算する。
【０５９３】
リスト３３の終了。
【数２２８】
【０５９４】
について、
【数２２９】
【０５９５】
であることを容易に示すことができる。これらの観測は、以下の暗号化方式につながる。
【０５９６】
リスト３４：
１．メッセージを（ａ，ｂ）にエンコードする。ここで、ａは、メッセージの最初の２εａｌｏｇ２Ｎビットであり、ｂは、残りのビットであり、２εａｌｏｇ２Ｎ，２εｂｌｏｇ２Ｎは、最も近い整数に切り下げている。
【０５９７】
２．リスト３３におけるようにｘを計算する。
【０５９８】
３．暗号文をｃ＝ｘ２（ｍｏｄ Ｎ）に設定する。
【０５９９】
リスト３４の終了。
【数２３０】
【０６００】
の適切なεａ，εｂについて、（ａ，ｂ）を、従ってメッセージを、以下のように復元することができる。
【０６０１】
リスト３５．
１．ｘをｃのモジュラ平方根として計算する。
【０６０２】
２．
【数２３１】
【０６０３】
を計算する。
【０６０４】
リスト３５の終了。
【０６０５】
この方式の考えられる１つの不利点は、因数分解から証明可能な縮小を提供するのがおそらく難しいということである。
【０６０６】
多くの暗号化方式及び署名方式におけるように、プロトコルの計算複雑性を増すことによって、帯域幅のさらなる縮小‐小さい定数ｃについて約ｃ ｌｏｇ ｌｏｇ Ｎビット（本明細書中、特に断りのない限り、対数は底２である）‐を実現することができる。例えば、単に最終ｃ ｌｏｇ ｌｏｇ Ｎビットを送信しないことによって、暗号文のサイズをさらに減少することができる。デクリプター（ｄｅｃｒｙｐｔｅｒ）は単に、復号化方式を、必要ならば、
【数２３２】
【０６０７】
回まで繰り返すことによって、それらの最終ビットを推測すればよい。同様に、エンクリプター（ｅｎｃｒｙｐｔｅｒ）は、一時的な暗号文が最終的に全て０である最終ｃ ｌｏｇ ｌｏｇ Ｎビットを有するように、一時的暗号ごとに異なる乱数度を用いて、暗号化方式を期待される（ｌｏｇＮ）ｃ回行うことができ、その場合、それらのビットを送信する必要はない。署名及び検証に同様のシナリオが当てはまる。
【０６０８】
１０．システムと構成要素
帯域幅を縮小した暗号化、署名、サインクリプション、集合署名、及びリング署名方式と、圧縮及び復元方式とは、図１のコンピュータシステム１１０及びネットワーク１２０を使用して実現することができる。各システム１１０は、ネットワーク（図示せず）によって相互接続された多数のコンピュータシステムを含む分散システムであってもよいしそうでなくてもよい。各システム１１０は、本発明の方式を実行するための、例えば半導体、磁気、光、又は他の種類の記憶装置などの公知の又は考案したコンピュータ可読媒体（図示せず）に記憶したコンピュータ命令を実行するようにプログラム化した、１つ又は複数の処理装置（図示せず）を含むことがある。さらに、又はその代わりに、各システム１１０は、本発明の方式を実行するためのハードワイヤード回路を含むことがある。ネットワーク１２０はインターネット及び／又は無線通信ネットワークや、任意の種類の通信が送信される他の種類のネットワークであることがある。本発明の方式を実現するコンピュータ命令は、ケーブル、電波、又は他の手段で、物理的信号（例えば電磁信号）に組み込まれて、システム１１０へ又はシステム１１０から送信することができる。信号は、搬送波で変調してもしなくてもよい。
【０６０９】
コンピュータシステム１１０は、本発明の暗号化、署名、サインクリプション、集合署名、又はリング署名の実施形態において用いられる公開鍵に関連する、真正性や所有権や属性を証明するための公開鍵証明書を提供することができる、サーバ証明要素（「証明者」）として使用することがある。証明者は公開鍵を別のシステム１１０に送信することができる。また、証明者１１０は、権限保持者が使用するための公開鍵及び秘密鍵を生成し、それらを圧縮暗号化形式で別のシステム１１０に送信することによって権限保持者に提供することができる。非証明者システム１１０は、証明者システム１１０を通じて、又は直接に、暗号文や署名を互いに送信することができる。暗号文や署名はまた、電子媒体（例えばディスク）で非電子的に（例えば通常のメールによって）転送することができる。
【０６１０】
いくつかの実施形態において得られる付加的な特徴が、Ｃ．Ｇｅｎｔｒｙによる前述の論文、Ｈｏｗ ｔｏ Ｃｏｍｐｒｅｓｓ Ｒａｂｉｎ Ｃｉｐｈｅｒｔｅｘｔｓ ａｎｄ Ｓｉｇｎａｔｕｒｅｓ （ａｎｄ Ｍｏｒｅ）に述べられている。
【０６１１】
本発明は、上述の実施形態に限定されるものではない。例えば、上述の方法や、セキュリティプルーフは、集合ＢＮ，ｈ，ｈ′やＢＺＮ，ｈ，ｈ′に拡張することができる。ＢＮ，ｈ，ｈ′はＢ２Ｎ，ｈ，ｈ′からなり、Ｂ２Ｎ，ｈ，ｈ′，ＢＺＮ，ｈ，ｈ′内の数のＮを法とする負数は、１以外のＮに関する公約数を有する数を除くが、Ｎが２つの素数の積であれば、かかる数の集合は非常に小さいことに注意されたい。いくつかの実施形態は集合ＢＮ，Ｑ，Ｂ２Ｎ，Ｑ，ＢＺＮ，Ｑを用い、ここでＱは［ｈ，ｈ′］以外である。特に、Ｑは［ｈ，ｈ′］，（ｈ，ｈ′）又は（ｈ，ｈ′）であることがある。また、Ｂ２Ｎ，Ｑはｘ＝０を含まないように、すなわち｛ｘ∈［１，Ｎ］：ｘ２（ｍｏｄ Ｎ）∈Ｑ｝と定義することができる。本発明はセキュリティプルーフが有効である方式に限定されない。上記で、ビットストリングｘ＝ｘ０ｘ１…ｘｎ−１について、それに対応する数がｘ０＋ｘ１＊２＋…＋ｘｎ−１＊２ｎ−１となるように、ビットストリングは数に対応付けられていたが、他の数値表現を用いることもできる。他の実施形態や変更例は、添付の請求項によって定義する本発明の範囲内にある。
【図面の簡単な説明】
【０６１２】
【図１】両先行技術の暗号化方式と本発明のいくつかの実施形態と共に使用するのに適したシステムのブロック図を示す。
【図２】先行技術の暗号化方式のフローチャートを示す。
【図３】先行技術の復号化方式のフローチャートを示す。
【図４】先行技術の署名方式のフローチャートを示す。
【図５】先行技術の署名検証方式のフローチャートを示す。
【図６】本発明のいくつかの実施形態による暗号化方式のフローチャートを示す。
【図７】本発明のいくつかの実施形態による復号化方式のフローチャートを示す。
【図８】本発明のいくつかの実施形態による署名方式のフローチャートを示す。
【図９】本発明のいくつかの実施形態による署名検証方式のフローチャートを示す。
【図１０】Ｆａｒｅｙ被覆及びＦａｒｅｙ分割を示す。
【図１１】本発明のいくつかの実施形態で用いる圧縮及び復元方式のいくつかの特徴を説明するグラフを示す。
【図１２】本発明のいくつかの実施形態による復元方式のフローチャートを示す。
【図１３】本発明のいくつかの実施形態による圧縮方式のフローチャートを示す。
【図１４】本発明のいくつかの実施形態によるサインクリプション方式のフローチャートを示す。
【図１５】本発明のいくつかの実施形態によるサインクリプション検証方式のフローチャートを示す。
【技術分野】
【０００１】
本出願は、２００３年１０月３１日に出願された合衆国仮出願第６０／５１５，９８２号の優先権を主張し、参照により本明細書に含む。
【０００２】
本発明は、コンピュータネットワーク上の安全な通信を含む暗号化及び安全な通信に関する。本発明は、暗号化されたメッセージ、署名、その他の暗号情報のサイズを縮小するのに用いることができる。
【背景技術】
【０００３】
暗号化されたメッセージ（「暗号文」）や署名等の暗号情報は、ネットワーク上で又は電子記憶媒体によりメールで受信者に送られる。暗号化を安全なものにするために、暗号文は、それに対応する暗号化されていない「プレーンテキスト」よりもかなり長くなることがある。同様に、署名は、該署名が生成されるメッセージよりもかなり長くなることがある。従って、望ましくはセキュリティを損なうことなく、暗号文や署名のサイズ（「帯域幅」）を縮小することが望ましい。
【０００４】
図１乃至図５に、ネットワーク１２０によって相互接続されたコンピュータシステム１１０（図１）間における暗号文及び署名の生成及び転送を示している。図２は、暗号文ｃを得るために「プレーンテキスト」メッセージＭに対してシステム１１０が実行する暗号化処理のフローチャートである。適切な暗号化の前に、メッセージＭは、値Ｈ（Ｍ）にエンコードされる（ステップ２１０）。エンコードは、異なる暗号化演算における同じメッセージＭに対して、異なるエンコードされたメッセージＨ（Ｍ）、よって異なる暗号文ｃを得ることができるように、いくつかのパディング及び／又はランダムビットをメッセージＭに加えてもよい。これにより、攻撃者が同じ暗号化方式により得られる異なる暗号文を傍受した場合に、攻撃者が復号化方式を推測（「戻換」）するのは難しくなる。
【０００５】
ステップ２２０で、エンコードされたメッセージＨ（Ｍ）を暗号化して、暗号文ｃを得る。ステップ２３０で、暗号文をネットワーク１２０を通じて他のシステム１１０に送信する。
【０００６】
復号化処理（図３）は、暗号化の逆である。暗号文ｃは、受信者システム１１０によって受信され（ステップ３０４）、復号化されてエンコードされたメッセージＨ（Ｍ）が復元される（ステップ３１０）。エンコードされたメッセージは、デコードされ（ステップ３２０）、元のメッセージＭが復元される。
【０００７】
図２において、エンコードステップ２１０と暗号化２２０とは、別個のステップとして示している。なぜなら、エンコード方式２１０及びデコード３２０（図３）は、公開されることがあるが、復号化３１０や場合により暗号化２２０は、秘密情報（例えば秘密鍵）に依拠しているからである。また、ステップ２１０と２２０との組み合わせを示すのに「暗号化」という表現を用いるのは適切であり、ステップ３１０と３２０との組み合わせに「復号化」という表現を用いるのは適切であり、また／或いは、エンコードステップ２１０とデコード３２０を省略すると言っても適切である。
【０００８】
図４に、システム１１０が実行する署名生成を示す。ステップ４１０で、メッセージＭをＨ（Ｍ）にエンコードし、ステップ４２０で、エンコードされたメッセージを処理して（署名して）、署名ｓ（Ｍ）を得る。署名ｓ（Ｍ）をネットワーク１２０を通じて受信者システム１１０に送信する（ステップ４３０）。受信者システム１１０は、図５に示すように署名を検証する。ステップ５０４で署名を受信し、ステップ５１０で処理して、エンコードされたメッセージＨ（Ｍ）を復元する。エンコードされたメッセージをデコードして（ステップ５２０）、元のメッセージＭを取得し、あるテストを行って該メッセージＭが確かに署名されたメッセージであるかどうか検証する。例えば、元のメッセージを別の送信で受信者システム１１０に提供して、ステップ５２０で復元したメッセージと比較することができる。いくつかの実施形態においては、メッセージはデコードせず、メッセージを復元することなく検証を実行することができる。
【０００９】
図４及び図５において、エンコードステップ４１０とステップ５２０とのデコードは、別個の動作として示しているが、ステップ４１０と４２０との組み合わせに「署名」という表現を用いるのも適切であり、ステップ５１０と５２０との組み合わせに「検証」という表現を用いるのも適切であり、また／或いは、エンコードステップ４１０とステップ５２０のデコード部分を省略すると言っても適切である。
【００１０】
公開鍵暗号化方式において、鍵所有者（システム１１０の１つのユーザ）は、２つの鍵、公開鍵（他者にも広く配信してもよい）と秘密鍵とを所有する。暗号化されたメッセージを鍵所有者に送信するために、送信者（別のシステム１１０のユーザ）は、図２のステップ２２０で、鍵所有者の公開鍵を用いてメッセージを暗号化し、暗号文を鍵所有者に送信する。エンコード方式及びデコード方式（図２及び図３のステップ２１０、３２０）は、公開されていてもよい。鍵所有者は、ステップ３２０でその秘密鍵を用いて、暗号文を復号化する。暗号化方式が安全であるために、秘密鍵を所有しない者が送信された暗号文を復号化することは不可能でなければならない。
【００１１】
公開鍵署名方式において、鍵所有者は、同様に公開鍵及び秘密鍵を使用する。ステップ４２０（図４）で、鍵所有者は、特定の方法でメッセージに秘密鍵を適用することによって、該メッセージに署名する。検証者は、（図５のステップ５１０で）鍵所有者の公開鍵を署名に適用し、（ステップ５２０で）ある特定の条件が満たされているかをチェックすることによって、鍵所有者がメッセージに署名したことを確認してもよい。署名方式が安全であるために、鍵所有者の秘密鍵を所有しない者が、鍵所有者が実際に署名したことがないメッセージについて、鍵所有者の署名を偽造することは不可能でなければならない。
【００１２】
公開鍵サインクリプション（ｐｕｂｌｉｃ−ｋｅｙ ｓｉｇｎｃｒｙｐｔｉｏｎ）方式において、望ましくは、送信者が署名と暗号文を別々に送信した場合よりも、サインクリプション送信（ｓｉｇｎｃｒｙｐｔｉｏｎ ｔｒａｎｓｍｉｓｓｉｏｎ）が少ない帯域幅を消費するように、送信者（システム１１０のユーザ）は、送信者の秘密鍵でメッセージＭをエンコードし署名し（図４のステップ４２０参照）、次に受信者の公開鍵で、署名されたメッセージｓ（Ｍ）を暗号化する（図２のステップ２２０参照）。（別のシステム１１０の）受信者は、その秘密鍵でサインクリプションを復号化し、送信者の公開鍵で送信者の署名を検証する。
【００１３】
公開鍵集合署名（ｐｕｂｌｉｃ−ｋｅｙ ａｇｇｒｅｇａｔｅ ｓｉｇｎａｔｕｒｅ）方式において、それぞれ公開鍵｛ＰＫ１，…，ＰＫｚ｝を有する署名者の集合｛Ｓ１，…，Ｓｚ｝は、彼らの集合署名−すなわち、各署名者ＳｉがメッセージＭｉに署名したことを検証するのに必要なビットストリング−が「短」かく、望ましくは、各署名者がそれぞれのメッセージに別々に署名した場合よりも少ない帯域幅を消費するように、それぞれのメッセージ｛Ｍ１，…，Ｍｚ｝に署名する。集合署名は、公開鍵｛ＰＫ１，…，ＰＫｚ｝を用いて検証される。
【００１４】
公開鍵リング署名（ｐｕｂｌｉｃ−ｋｅｙ ｒｉｎｇ ｓｉｇｎａｔｕｒｅ）方式において、署名者Ｓｉは、Ｓｉが一員である署名者の集合｛Ｓ１，…，Ｓｚ｝（すなわちＳｉ∈｛Ｓ１，…，Ｓｚ｝）を任意に選ぶことができ、検証者は誰であるかを確定できないが、｛Ｓ１，…，Ｓｚ｝の少なくとも１人の署名者がメッセージに署名したことを検証者に確信させる、メッセージに対する「リング署名」を生成する。従って、署名者Ｓｉは、可能性のある署名者の「リング」内で限定的な匿名性を有する。検証者は、公開鍵｛ＰＫ１，…，ＰＫｚ｝を用いてリング署名を検証する。通常、可能性のある署名者がｚ人のリング署名は、ｚ個の別々の署名と同じ長さであり、従って、基礎となる署名方式の帯域幅効率が良いことは不可欠である。
【００１５】
１９７６年に、Ｄｉｆｆｉｅ及びＨｅｌｌｍａｎは、公開鍵暗号化及び署名方式という概念を発表したが、具体的な実例を見つけることはできなかった。Ｒｉｖｅｓｔ、Ｓｈａｍｉｒ及びＡｄｌｅｍａｎは、Ａ Ｍｅｔｈｏｄ ｆｏｒ Ｏｂｔａｉｎｉｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ ａｎｄ Ｐｕｂｌｉｃ−Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ（Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，ｖ．２１ ｎ．２，ｐ．１２０−１２６，１９７８）という論文で、最初の公開鍵暗号化及び署名方式（今では「ＲＳＡ」方式として知られている）を提案したが、参照により本明細書に含まれる。
【００１６】
概略を言えば、ＲＳＡ暗号化方式は、以下のとおりである。鍵所有者は、合成（すなわち非素数の）整数法Ｎ＝ｐｑを生成する。ここで、ｐ及びｑは、大きい素数である（例えば５１２ビット）。鍵所有者は、また、φ（Ｎ）＝（ｐ−１）＊（ｑ−１）を計算する。最後に、鍵所有者は、ｅｄ≡１（ｍｏｄ φ（Ｎ））となるように、共に１よりも大きい整数ｅ及びｄを計算する。鍵所有者は、その公開鍵として（Ｎ，ｅ）を公開し、ｐとｑとｄを秘密にしておく。
【００１７】
メッセージＭを暗号化するために、送信者は、以下の「リスト１」に列挙した演算を実行する。
【００１８】
リスト１：ＲＳＡ暗号化
Ｍを［０，Ｎ−１］の整数ｍとして表現し、次に、暗号文ｃ≡ｍｅ（ｍｏｄ Ｎ）を設定する。
【００１９】
リスト１の終了。
【００２０】
暗号文を復号化するために、鍵所有者は、以下の演算を実行する。
【００２１】
リスト２：ＲＳＡ復号化
ｃｄ≡ｍｅｄ≡ｍ（ｍｏｄ Ｎ）を計算する。
【００２２】
リスト２の終了
暗号文は［１，Ｎ］の数であり、およそｌｏｇ２Ｎビットの長さであることに注意されたい。この復号化は、メッセージエンコードを仮定していないが、メッセージエンコードを使用することもできる。
【００２３】
ＲＳＡ署名方式について、鍵所有者は、その鍵をＲＳＡ暗号化におけるように生成する。適切にエンコードされたメッセージｍ∈［１，Ｎ］に署名するために、鍵所有者は、以下の演算を実行する。
【００２４】
リスト３：ＲＳＡ署名
ｓ＝ｍｄ（ｍｏｄ Ｎ）を計算する。
【００２５】
リスト３の終了
検証者は、鍵所有者の公開鍵を用いて、以下の演算を実行することにより署名ｓを確認することができる。
【００２６】
リスト４：ＲＳＡ署名
ｓｅ≡ｍ（ｍｏｄ Ｎ）かどうかチェックする。
【００２７】
リスト４の終了
この場合も、署名は、およそｌｏｇ２Ｎビットの長さである。
【００２８】
Ｒａｂｉｎは、Ｄｉｇｉｔａｌｉｚｅｄ Ｓｉｇｎａｔｕｒｅｓ ａｎｄ Ｐｕｂｌｉｃ−Ｋｅｙ Ｆｕｎｃｔｉｏｎｓ ａｓ Ｉｎｔｒａｃｔａｂｌｅ ａｓ Ｆａｃｔｏｒｉｚａｔｉｏｎ （ＭＩＴ／ＬＣＳ／ＴＲ−２１２，ＭＩＴ Ｌａｂｏｒａｔｏｒｙ ｆｏｒ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｍａｓｓａｃｈｕｓｅｔｔｓ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，ＵＳＡ １９７９）という論文で、少し違った暗号化方式及び署名方式を提案したが、参照により本明細書に含まれる。この方式において、鍵所有者は、ＲＳＡにおけるように法Ｎを生成し、その公開鍵を（Ｎ，ｅ）に設定する。適切にエンコードされたメッセージｍに対し、暗号文はｃ＝ｍｅ（ｍｏｄ Ｎ）である点で、暗号化もまたＲＳＡと同じである。暗号文は、およそｌｏｇ２Ｎビットである。しかしながら、Ｒａｂｉｎの方式では、特定の値ｅ＝２を使用する。これには２つの理由がある。第１に、ｅ＝２に設定すると、非常に高速な暗号化及び署名検証が可能になる。第２に、法Ｎを因数分解するのは難しいと仮定して、ｅ＝２に設定すると、その結果生じる方式は解読するのが難しいことを証明することができる。（適切なエンコードを用いて）因数分解をＲａｂｉｎの方式に変形することは当技術において公知である。
【００２９】
以下、ＯＡＥＰ＋メッセージエンコードを含むＲａｂｉｎ暗号化方式について説明する。基礎となる暗号化方式が解読しにくいものと仮定して、ＯＡＥＰ＋エンコードは、ランダムオラクルモデルにおいて、適応的選択暗号文攻撃に対して証明可能なセキュリティをもたらす。
【００３０】
ＯＡＥＰ＋エンコード方式では、（図２のステップ２１０で）以下の式（１）によって定義される３つのハッシュ関数を用いる。
【数１】
【００３１】
ここで、ｍ，ｋ０，ｋ１は、所定の正の整数のセキュリティパラメータである。ｉごとに、式｛０，１｝ｉは、長さｉの全ての０と１のストリング（「ビットストリング」）の集合を示す。同式は、また、ｉ以下の長さの全てのビットストリングの集合を示す。ストリング長がｉよりも短い場合、該ストリングは左側に０を付け加えて長さｉにすることができる。式（１）のこのＨ関数は、中間値に使用して、メッセージエンコードを計算するためのものであり、図２のステップ２１０に示すエンコードされたメッセージＨ（Ｍ）と混同すべきではない。高いセキュリティを得るために、数量
【数２】
【００３２】
と、
【数３】
【００３３】
は、ごくわずかであるべきだが、正の整数であればうまくいく。ｎ＝ｍ＋ｋ０＋ｋ１であれば、望ましくは２ｎ＜Ｎ＜２ｎ＋２ｎ−１となるようにＮを選択する。メッセージＭ∈｛０，１｝ｍを暗号化するために、送信者は、以下の演算を実行する。
【００３４】
リスト５：Ｒａｂｉｎ‐ＯＡＥＰ暗号化手順
（ステップ２１０（図２）は、以下のステップ１乃至３に対応する。）
１．任意の
【数４】
【００３５】
を選択する。
【００３６】
２．
【数５】
【００３７】
及び
【数６】
【００３８】
を設定する。ここで、二重縦棒の記号“‖”は、ストリング連結を示す。
【００３９】
３．ｎビットストリングである、ｘ←ｓ‖ｔを設定する（ｘは、図２のステップ２１０の最終的にエンコードされた値Ｈ（Ｍ）に対応する）。
【００４０】
４．ステップ２２０：暗号文ｃ←ｘ２（ｍｏｄ Ｎ）を計算する。ここで、ビットストリングｘは、１つの数として解釈する。ｘ＝ｘ０ｘ１…ｘｎ−１に関し、該数は、ｘ０＋ｘ１*２＋…＋Ｘｎ−１*２ｎ−１である。
【００４１】
リスト５の終了。
【００４２】
復号化のために、受信者は、以下の演算を実行する。
【００４３】
リスト６：Ｒａｂｉｎ−ＯＡＥＰ復号化手順
１．ステップ３１０（図３）：Ｎを法とするｃのモジュラ平方根を計算する（図３のステップ３１０）。お分かりのように、Ｎは、２つの素数の積であるので、ｃは、４つのモジュラ平方根ｘ１，ｘ２，ｘ３，ｘ４まで持つことができ、ここでｘ１＝−ｘ２であり、ｘ３＝−ｘ４である。ｘ１及びｘ２の少なくとも１つと、ｘ３及びｘ４の少なくとも１つは、ｎ以下のビットを有する。一般性を失うことなく、ｘ１及びｘ３のそれぞれは、ｎ以下のビットを有するものとする。
【００４４】
２．ステップ３２０：受信者は、
【数７】
【００４５】
と、
【数８】
【００４６】
について、各候補ｘｉ（ｉ＝１，３）を、ｓｉ‖ｔｉに構文解析し、次に、
【数９】
【００４７】
について、ｓｉを、
【数１０】
【００４８】
に構文解析する。ｉ＝１，３ごとに、受信者は、
【数１１】
【００４９】
及び
【数１２】
【００５０】
を計算し、
【数１３】
【００５１】
かどうかテストする。条件が満たされる唯一のｉが存在する場合、受信者は、正確なプレーンテキストとしてＭｉを出力し、そうでなければ（かかるｉがない場合や、ｉ＝１とｉ＝３の両方に対し条件が満たされる場合）、受信者は、復号化の失敗を示す。
【００５２】
リスト６の終了。
【００５３】
以下、全領域ハッシュを用いたメッセージ復元によるＲａｂｉｎ署名方式について説明する。「全領域ハッシュ」という表現は、ハッシュ関数（１がそれぞれ最大値ｍ，ｋ１，ｋ０と同じ長さの値を持つことができることを意味する。エンコードや、さらにはモジュラ平方根の計算に対し様々なアプローチが可能である。以下の説明は、可能なアプローチの１つにすぎない。上記のＲａｂｉｎ暗号化に関する関連パラメータを、ｐ≡３（ｍｏｄ ８）及びｑ≡７（ｍｏｄ ８）という付加的な制約で定義すると、署名者は、以下の演算を実行する。
【００５４】
リスト７：Ｒａｂｉｎ−ＯＡＥＰ署名手順
エンコードステップ４１０（図４）は、以下のステップ１乃至２に対応する。
【００５５】
１．任意の
【数１４】
【００５６】
を選択する。
【００５７】
２．
【数１５】
【００５８】
及び
【数１６】
【００５９】
を設定する。
【００６０】
３．ｎビットの整数である、ｙ←ｓ′‖ｓ″‖ｔを設定する。値ｙは、図４のＨ（Ｍ）に対応する。署名ステップ４２０（図４）は、以下のステップ４乃至１１に対応する。
【００６１】
４．ｕｑ←ｙ（ｑ＋１）／４（ｍｏｄ ｑ）を計算する。
【００６２】
５．
【数１７】
【００６３】
であれば、ｅｙ←１に設定し、そうでなければ、ｅｙ←−１に設定する。
【００６４】
６．ｕｐ←（ｅｙｙ）（ｐ＋１）／４（ｍｏｄ ｐ）を計算する。
【００６５】
７．
【数１８】
【００６６】
であれば、ｆｙ←１に設定し、そうでなければ、ｆｙ←２に設定する。
【００６７】
８．ｖｑ←ｆｙ（３ｑ−５）／４ｕｑ（ｍｏｄ ｑ）とｖｐ←ｆｙ（３ｐ−５）／４ｕｐ（ｍｏｄ ｐ）を計算する。
【００６８】
９．ｗ←ｖｑ＋ｑ（ｑｐ−２（ｖｐ−ｖｑ）ｍｏｄ ｐ）を計算する。
【００６９】
１０．２ｗ＜Ｎであれば、ｘ←ｗに設定し、そうでなければ、ｘ←Ｎ−ｗに設定する。数ｘは、ｅｙｙ／ｆｙ（ｍｏｄ Ｎ）の平方根である。
【００７０】
１１．署名（ｅｙ，ｆｙ，ｒ，ｘ）を出力する。
【００７１】
リスト７の終了。
【００７２】
２（３ｑ−５）／４（ｍｏｄ ｑ）、２（３ｐ−５）／４（ｍｏｄ ｐ）、及びｑｐ−２（ｍｏｄ ｐ）の値は、事前に計算できる。従って、リスト７のステップ８及び９は、署名時間にほとんど何も付加しない。署名は、以下のように検証される。
【００７３】
リスト８：Ｒａｂｉｎ−ＯＡＥＰ検証手順
１．ステップ５１０（図５）：ｙｔｍｐ←ｅｙｆｙｘ２（ｍｏｄ Ｎ）を計算する。
【００７４】
２．ステップ５２０：ｙｔｍｐがｎビットであることを確認し、ｙｔｍｐを、
【数１９】
【００７５】
に構文解析し、
【数２０】
【００７６】
及び、
【数２１】
【００７７】
を計算し、
【数２２】
【００７８】
であることを確認する。
【００７９】
リスト８の終了。
【００８０】
メッセージＭ＝Ｍｔｍｐは、検証処理中に復元されることに注意されたい。
【００８１】
リスト５乃至８の暗号化方式及び署名方式は、因数分解と同じくらい証明可能に安全である（本説明ではプルーフは省略されているが）。これらの方式は、計算上非常に効率的ではあるが、暗号文と署名のビット長は、およそｌｏｇ２Ｎであることにさらに注目されたい。最新の因数分解方式に対して安全であるために、Ｎは、少なくとも１０２４ビットであるべきである。
【００８２】
Ｒａｂｉｎ署名を用いるリング署名方式が、Ｒ．Ｌ．Ｒｉｖｅｓｔ、Ａ．Ｓｈａｍｉｒ及びＴ．Ｔａｕｍａｎ著、Ｈｏｗ ｔｏ Ｌｅａｋ ａ Ｓｅｃｒｅｔ（Ｐｒｏｃ．ｏｆ Ａｓｉａｃｒｙｐｔ ２００１，５５２−５６５頁）という論文で提案されており、参照により本明細書に含まれる。概略を言えば、公開法｛Ｎ１，…，Ｎｚ｝を有する署名者｛Ｓ１，…，Ｓｚ｝に対し、この論文は、以下のようなリング署名を提案する。
【００８３】
リスト９：リング署名
リング署名は、（ｘ′１，…，ｘ′ｚ）であり、式
【数２３】
【００８４】
を満たす。ここで、
【数２４】
【００８５】
であり、ｖ及びｗは、所定のビットストリングであり、Ｃは、「結合関数」である。
【００８６】
リスト９の終了。
【００８７】
この論文は、以下の結合関数を推奨している。
【数２５】
【００８８】
ここで、Ｅｋは、鍵ｋを用いた対称暗号化方式である。（対称暗号化方式は、暗号化と復号化の両方に同じ鍵を用いる。メッセージＭは、暗号文Ｅｋ（Ｍ）に暗号化される）。
【００８９】
彼らの方式は、また、法Ｎｉが異なるビット長を有することを避けるうまいやり方を用いる。ｇｉが、関数
【数２６】
【００９０】
を示すものとする。
【数２７】
【００９１】
に設定する代わりに、定義域｛０，１｝ｂに関して、ｙｉを定義し、ここで、２ｂは、どの法よりもはるかに大きい。具体的に、
リスト１０：リング署名のための２乗
ｘ′ｉ＝ｑｉＮｉ＋ｒｉ∈［０，２ｂ−１］に関し、（ｑｉ＋１）Ｎｉ≦２ｂであれば、ｙｉ＝ｑｉＮｉ＋ｇｉ（ｒｉ）であり、
そうでなければ、ｙｉ＝ｘ′ｉである。
【００９２】
リスト１０の終了。
【００９３】
ここで、ｑｉは、Ｎｉでｘ′ｉを整数除法した商であり、ｒｉは余りである。ｂが十分に大きい限り、（ｑｉ＋１）Ｎｉ＞２ｂである全てのｙｉの割合は無視できるので、写像ｘｉ→ｙｉは、Ｎｉを法とする２乗とほとんど区別が付かない作用をする。
【００９４】
これらの考慮すべき事柄を念頭において、リング署名は、以下のように生成される（Ｓｉは、「真の」署名者であるとする）。
【００９５】
リスト１１：リング署名
１．ｋ＝Ｈ（Ｍ）を計算する。ここで、Ｍは、署名するメッセージであり、Ｈは、ハッシュ関数である。
【００９６】
２．任意のｖ∈｛０，１｝ｂを選択する。
【００９７】
３．ｊ≠ｉごとに、
３Ａ．ｊ≠ｉに対し任意のｘ′ｊ∈｛０，１｝ｂを選択する。
【００９８】
３Ｂ．リスト１０におけるようにｙｊを計算する。
【００９９】
４．
【数２８】
【０１００】
となるように、ｙｉを計算する。
【０１０１】
５．Ｎｉについての秘密の知識を用いて、リスト１０の写像によってｘ′ｉがｙｉに写像されるようにｘ′ｉを計算する。
【０１０２】
６．リング署名（ｘ′１，…，ｘ′ｚ，ｖ）を出力する。
【０１０３】
リスト１１の終了。
【０１０４】
ステップ４に関して、
【数２９】
【０１０５】
であることに注目されたい。
【０１０６】
次に、
【数３０】
【０１０７】
であることに注目されたい。
【０１０８】
一般的に、
【数３１】
【０１０９】
であり、リング署名者は、この式を用いて、ｙｊの値からｙｉを計算する（ｊ≠ｉである）。ｘ′ｉを計算するために、リング署名者は、
【数３２】
【０１１０】
を計算する。これは、基本的には、単にモジュラ平方根の計算である。ｙｉのいくつかの値は、実際にはそれらの約４分の３は、モジュラ平方根を持たない。この場合、ｙｉがＮｉを法とする平方剰余となるまで、ステップ３を再び実行しなければならない。
【０１１１】
リスト１２：リング署名検証。
【０１１２】
１．ｋ＝Ｈ（Ｍ）を計算する。全てのｊについて、リスト１０の写像を逆にすることによって、ｘ′ｊからｙｊのそれぞれの値を計算する。
【０１１３】
２．
【数３３】
【０１１４】
であることを確認する。
【０１１５】
リスト１２の終了。
【０１１６】
上述の暗号化方式及び署名方式において、暗号文と署名は、ｌｏｇ２Ｎ≧１０２４ビット長である。復号化や署名検証は、完全な暗号文や署名を必要とするので、これらのように長い暗号文や署名は、特に、損失をこうむりやすいチャネル上で問題を生じることがある。また、長い暗号文や署名は、暗号文や署名が複数のパケットにわたって分割されるパケットフラグメンテーションに関する問題に遭遇する可能性が高い。また、短い署名や暗号文は、送信するのに電力効率がよい。Ｋ．Ｂａｒｒ及びＫ．Ａｓａｎｏｖｉｃ著、Ｅｎｅｒｇｙ Ａｗａｒｅ Ｌｏｓｓｌｅｓｓ Ｄａｔａ Ｃｏｍｐｒｅｓｓｉｏｎ（Ｐｒｏｃ．ｏｆ ＭｏｂｉＳｙｓ ２００３）によれば、単一ビットの無線送信は、３２ビットの計算の１０００倍以上のエネルギーがかかることがある。バッテリー電源式コンピュータシステムにおいては、無線送信に必要なエネルギー消費は深刻なネックになることがある。また、信号干渉は、所定の領域においてバッテリー電源式システムによって無線送信できるデータ量に物理的制限を設ける。
【０１１７】
セキュリティの観点から、Ｒａｂｉｎの方式は、因数分解と同じくらい解読するのが難しいことが証明できるという非常に望ましい性質を有し、これは可能であれば保持すべき性質である。従って、ｌｏｇ２Ｎビット法を因数分解するのは難解であることを仮定した、しかし、暗号文は、ｌｏｇ２Ｎビットよりもかなり短い、証明可能に安全である暗号化方式が必要である。また、署名がｌｏｇ２Ｎビットよりもかなり短い証明可能に安全な署名方式も必要である。さらに、署名方式は、望ましくは、Ｒａｂｉｎ署名のメッセージ復元特性を保持すべきである。
【０１１８】
また、因数分解に基づくが、Ｒａｂｉｎの暗号化及び署名方式の拡張を用いる方式よりも帯域幅効率が良い、例えば、サインクリプション、集合署名、リング署名などの先進の暗号化方式も必要である。
【発明の開示】
【発明が解決しようとする課題】
【０１１９】
この項では、本発明のいくつかの特徴を要約する。他の特徴は、後の項で説明する。本発明は、添付の請求項により定義され、該請求項は、参照によりこの項に含まれる。
【課題を解決するための手段】
【０１２０】
本発明のいくつかの実施形態によれば、暗号化の前にメッセージを処理して、暗号文を短くする。典型的な処理を、図６のステップ６１０に示す。ステップ２１０（エンコード）、２２０（暗号化）及び２３０（送信）は、図２のようであることがある。特に、暗号化方式２２０は、ある所定長に等しい長さ（例えば、Ｎ−１以下の数の長さ、ここで、Ｎは、Ｒａｂｉｎ暗号化の場合の法である）の暗号文や、より短い暗号文や、場合によっては、より長い暗号文を提供することができる。ステップ２１０（エンコード）の後、写像ステップ６１０を実行して、エンコードされたメッセージＨ（Ｍ）を所定の集合Ｂの中間数ｂに写像する。写像はπと示す。集合Ｂは、暗号化方式２２０がそれについて短い暗号文を生成するあるメッセージの集合である。
【０１２１】
いくつかの実施形態では、ステップ２２０でＲａｂｉｎ暗号化方式を使用する、すなわちｃ＝ｂ２（ｍｏｄ Ｎ）。いくつかの実施形態において、Ｂ＝ＢＮ，Ｑ＝｛ｘ∈［１，Ｎ］：ｘ２（ｍｏｄ Ｎ）∈Ｑ｝であり、ここで、Ｑは、Ｎを法とする全ての整数の真部分集合である。いくつかの実施形態では、Ｑは、ｈ′−ｈ＜Ｎとなるような、ある整数ｈ，ｈ′に関する部分値域［ｈ，ｈ′］である。これらのＱに関し、集合ＢＮ，Ｑは、ＢＮ，ｈ，ｈ′と示す。従って、ＢＮ，ｈ，ｈ′＝｛ｘ∈［１，Ｎ］：ｈ≦ｘ２（ｍｏｄ Ｎ）≦ｈ′｝。
【０１２２】
Ｎを法とする全ての整数の集合ＺＮの数は、公知の方法で円の上の点として示すことができる。部分値域［ｈ，ｈ′］は、集合｛ｈ，ｈ＋１，…ｈ′｝か、集合｛ｈ′，ｈ′＋１，…ｈ｝かである。曖昧さを避けるために、本明細書中、異なる意味が明白に記載されているか、文脈から明らかである場合を除いて、［ｈ，ｈ′］は、２つの部分値域の内、一番小さいものであるとする。特に、ｈ′は、ｈよりも小さい数によって示すことがある。例えば、ｈ＝Ｎ−１＝−１（ｍｏｄ Ｎ）で、ｈ′＝１であるならば、［ｈ，ｈ′］＝｛Ｎ−１，Ｎ，１｝＝｛Ｎ−１，０，１｝である。
【０１２３】
ｈ′−ｈが与えられると、数ｈ，ｈ′にとってよい選択は、ｈ＝０又は−ｈ＝ｈ′である。なぜなら、幅ｈ′−ｈの部分値域の内、０に近い部分値域は、最も短いビット長の数を有するからである。
【０１２４】
いくつかの実施形態において、ＢＮ，ＱがＢ２Ｎ，Ｑ＝｛ｘ∈［０，Ｎ／２］：ｘ２（ｍｏｄ Ｎ）∈Ｑ｝か、ＢＺＮ，Ｑ＝｛ｘ∈ＺＮ*：ｘ２（ｍｏｄ Ｎ）∈Ｑ｝によって置き換えられる場合、同様の結果が得られる。ここで、ＺＮ*は、Ｎを法として可逆である（すなわち、Ｎに対し公約数を持たない）全ての整数の集合ｘ∈［０，Ｎ／２］である。Ｑ＝［ｈ，ｈ′］であれば、Ｂ２Ｎ，Ｑは、Ｂ２Ｎ，ｈ，ｈ′と示され、ＢＺＮ，Ｑは、ＢＺＮ，ｈ，ｈ′と示される。
【０１２５】
いくつかの実施形態において、ｈ″＜Ｎのある区間［０，ｈ″］において、エンコードされたメッセージＨ（Ｍ）は、短いメッセージである。また、写像πをステップ６１０でプレーンテキストＭに適用してＭをｂに写像することで、エンコードステップ２１０（図６）は省略することができる。プレーンテキストＭは、［０，ｈ″］に含まれることがある。用語に関して、写像ステップ２１０が存在しても、プレーンテキストＭをある数ｂ∈Ｂに変換するステップ２１０、６１０の組み合わせを述べるのに「エンコード」という表現を用いることができる。
【０１２６】
復号化（図７）は、暗号化処理の逆となることがある。（図３のように）短い暗号文ｃは、ステップ３０４で受信者が受信し、ステップ３１０で復号化して中間メッセージｂ∈Ｂを復元する。復号化方式３１０では、ある所定長に等しい長さ（例えば、Ｎ−１以下の数の長さ、ここでＮはＲａｂｉｎ復号化の場合の法である）の暗号文や、より短い暗号文や、場合によってはより長い暗号文を復号化することができる。ステップ７１０で逆写像π−１を適用して、ｂをＨ（Ｍ）に写像する。次に、Ｈ（Ｍ）をデコードして（ステップ３２０）プレーンテキストＭを復元する。
【０１２７】
本発明のいくつかの実施形態において、短い署名が提供される。図８に、１つの署名方式の実施形態を示す。図４のように、ステップ４１０で、メッセージＭをＨ（Ｍ）にエンコードする。いくつかの実施形態において、メッセージＨ（Ｍ）は、上述の部分値域［ｈ，ｈ′］にある。ステップ４２０で、署名方式を適用してメッセージに署名し、中間署名ｂを得る。この署名方式（例えばモジュラ平方根計算）は、所定の長さ以下の長さや、場合によっては、より長い全てのメッセージＨ（Ｍ）に適応する。ステップ４１０、４２０は、先行技術におけるようなものであっても良いし、そうでなくてもよい。いくつかの実施形態は、ＯＡＥＰ＋エンコードのＲａｂｉｎ署名を用いる。しかしながら、中間署名ｂは、上述のタイプの集合Ｂにある。いくつかの実施形態において、これは、メッセージＭを、エンコードＨ（Ｍ）がＢに署名を有するメッセージの集合に限定することによって得られる。いくつかの実施形態において、エンコードされたメッセージＨ（Ｍ）は、短く（ある所定の長さよりも短い）、例えば、あるｈ″＜Ｎに関してＨ（Ｍ）∈［０，ｈ″］であり、署名方式４２０では、短いメッセージを集合Ｂに写像する。中間署名ｂは、長いビットストリングであってもよいことに注目されたい。
【０１２８】
ステップ８１０で、写像θを適用して中間署名ｂを、短い署名ｓに写像する。ステップ４３０で、署名ｓを受信者に送信する。
【０１２９】
署名検証を、図９に示す。ステップ５０４で、短い署名ｓは、受信者コンピュータシステム１１０で受信される。ステップ９１０で、逆写像θ−１を適用して、中間署名ｂを復元する。ステップ５１０、５２０で、検証を実行する。例えば、ステップ５１０で、中間署名を処理してＨ（Ｍ）を復元することができる。ステップ５２０で、図５のステップ５２０におけるように検証を実行することができる。ステップ５１０、５２０の方法は、ある所定長に等しい長さ（例えば数Ｎ−１の長さ、ここで、Ｎは、法である）のメッセージＨ（Ｍ）の署名や、より短いメッセージＨ（Ｍ）の署名や、場合によっては、より長いメッセージＨ（Ｍ）の署名を検証するのに適している。
【０１３０】
いくつかの実施形態において、集合Ｂは、全てのメッセージの集合よりも濃度が低いが、Ｂの個々のメッセージは、エンコードされたメッセージＨ（Ｍ）よりも長いことがある。このため、写像π−１とθは、一般的に圧縮と呼び、写像πとθ−１は、復元と呼ぶ。本発明は、実際の圧縮又は復元が起こる場合、すなわち、写像π−１又はθが各数をそれより短い数に写像するか、写像π又はθ−１が各数をそれより長い数に写像する実施形態に限定されない。
【０１３１】
いくつかの公開鍵暗号化及び署名の実施形態において、暗号文と署名のサイズは、通常のｌｏｇ２Ｎビットではなく、最大でも約２／３ｌｏｇ２Ｎビットである。同時に、圧縮及び署名方式のセキュリティは、かなり大きい（ｌｏｇ２Ｎ）ビットの数Ｎを因数分解することに基づく。
【０１３２】
いくつかの実施形態において、ｈ′−ｈが、約８＊Ｎ２／３以上である時、小さい定数ｃ１に関して、写像θは、Ｂ２Ｎ，ｈ，ｈ′内の数を長さｃ１＋ｌｏｇ２（ｈ′−ｈ）のビットストリングに写像する。いくつかの実施形態では、ｃ１≦３である。いくつかの実施形態において、写像πは長さ−ｃ２＋ｌｏｇ２（ｈ′−ｈ）のビットストリングを、Ｂ２Ｎ，ｈ，ｈ′内の数に写像する。ここで、ｃ２は、小さい定数である。いくつかの実施形態において、ｃ２＝ｌｏｇ２５≦３である。いくつかの公開鍵暗号化及び署名の実施形態において、両写像は、公開されている。すなわち、写像と、それらの逆は、秘密情報を必要とすることなく効率的に計算することができる。
【０１３３】
いくつかの実施形態において、帯域幅縮小サインクリプション方式を提供する。送信者は、送信者の公開鍵ＮＡと受信者の公開鍵ＮＢに関連して用いられる、例えば、θＡやθＢなどの、２つのバージョンのθ写像を使用する。ＮＡとＮＢは、ほぼ同じビット長でもよいが、必然ではない。いくつかの実施形態において、サインクリプションは、構造（ｃ１＋ｌｏｇ２（ｈ′−ｈ））ビット長である。このサインクリプションは、同時に、受信者が解読できるようにメッセージを暗号化し、メッセージに対する送信者の署名を含める。受信者は、送信者の公開鍵を用いて検証することができる。
【０１３４】
いくつかの実施形態において、帯域幅縮小集合署名方式を提供する。署名者｛Ｓ１，…，ＳＺ｝は、公開鍵｛Ｎ１，…，ＮＺ｝を有し、メッセージ｛Ｍ１，…，ＭＺ｝に順に署名する。これは、署名者Ｓｉが、Ｓｉ−１からｓｉ−１を受信した後にＭｉの署名ｓｉを生成することを意味する。鍵Ｎｉは、ほぼ同じビット長でもよいが、必然ではない。いくつかの実施形態において、各ｓｉ−１は、Ｂの要素の（θｉ−１によって）圧縮された表現であり、ここで、Ｂは、ｉに依存することもあればそうでないこともある。例えば、Ｂは、Ｂ２Ｎ，ｈ，ｈ′であることもある。ここで、Ｎ、ｈ及びｈ′は、ｉに依存することもあればそうでないこともあり、ｓｉは、基本的に［ｈ，ｈ′］の数のＮｉを法とする圧縮平方根として計算される。その数は、ｓｉ−１とＭｉに依存する。
【０１３５】
いくつかの実施形態において、帯域幅縮小リング署名方式を提供する。いくつかの実施形態において、Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ｔａｕｍａｎリング署名方式が、本発明の圧縮方式を、本発明の他の手法と組み合わせて用いて、上記リスト９の
【数３４】
【０１３６】
の値を短くできるようにすることによって改良されている。
【０１３７】
本発明の他の特徴や利点について、以下に述べる。本発明は、添付の請求項によって定義される。
【発明を実施するための最良の形態】
【０１３８】
１．前置き
後の説明では、いくつかの数学的表記を用いるが、その多くを便宜上ここに集める。｛０，１｝*を全てのビットストリングの集合を示すものとし、｛０，１｝ｎを長さｎの全てのビットストリングの集合を示すものとする。後者の表現は、また、ｎ以下の長さの全てのビットストリングの集合を示す。ストリング長が、ｎよりも小さい場合、該ストリングは、左側に０を付け加えることで長さｎにすることができる。通常、Ｈは、暗号ハッシュ関数及び／又はエンコードされたメッセージを示す。例えば、ＳＨＡ‐１やＭＤ５など、様々な暗号ハッシュ関数が、当技術で公知である（例えば、ＲＦＣ‐２１０４，Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ，Ｎｅｔｗｏｒｋｉｎｇ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ，Ｈ．Ｋｒａｗｃｚｙｋ ｅｔ ａｌ．，ＨＭＡＣ：Ｋｅｙｅｄ‐Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，１９９７年２月、参照により本明細書に含む、を参照）。ハッシュ関数が耐衝突性であること、すなわち、Ｈ（ｍ１）＝Ｈ（ｍ２）となるようなｍ１≠ｍ２を見つけるのが計算上難しいことが望ましい。
【０１３９】
実数ｒに関して、
【数３５】
【０１４０】
は、ｒの天井、すなわち、ｒ以上の最小の整数値を示す。同様に、
【数３６】
【０１４１】
は、ｒの床、すなわち、ｒ以下の最大の整数値を示す。最後に
【数３７】
【０１４２】
は、ｒに最も近い整数を示す。記号‖は、連結を示す。
【０１４３】
本明細書中、Ｎは、整数法を示す。有効なセキュリティのために、Ｎは、因数分解が計算上難しいものであるべきである。実際には、Ｎを２つの大きい素数ｐ及びｑ、例えば、各々５１２ビット、の積として生成することが多い。しかしながら、暗号文献に見られるように、ｄ＞１として、Ｎ＝ｐｄｑに設定すると、効率的利点があることが多い。本発明の方式では、Ｎは、任意の形式をとれる。しかしながら、後の説明では、便宜上、Ｎ＝ｐｑとする。
【０１４４】
「格子」は、基底ベクトルの集合の整数線形結合として生成することができる全てのベクトルの集合からなる。例えば、（ａ，ｂ）及び（ｃ，ｄ）が二次元空間において２つの基底ベクトルである場合、それらによって生成される格子は、ベクトル｛（ｋ１ａ＋ｋ２ｃ，ｋ１ｂ＋ｋ２ｄ）：ｋ１，ｋ２∈Ｚ｝の集合である。Ｚは、全ての整数の集合である。
【０１４５】
２．追加の前置き：Ｂ２Ｎ，ｈ，ｈ′内の数の分布
Ｎを法とする平方剰余が一様に分布していたならば、Ｂ２Ｎ，ｈ，ｈ′は、およそｈ′−ｈ個の数を含むと予想される。差し当たりＢ２Ｎ，ｈ，ｈ′が、ｈ′−ｈ個の数を含むとすれば、情報理論の観点から、
【数３８】
【０１４６】
ビットを用いて、Ｂ２Ｎ，ｈ，ｈ′内の各数を一意に示すことは可能である。しかしながら、Ｂ２Ｎ，ｈ，ｈ′内の数は、ランダムに見えるように、区間［１，Ｎ／２］にわたって分散しており、従って、効率的に、つまり、計算の複雑性が小さい定数ｃに対し最大でＯ（（ｌｏｇＮ）ｃ）である方法を用いて、ある数の一意の表示を計算することができるかは少しも明らかではない。（文字ｃは、定数と暗号文の両方に用いるが、これら２つの使用は混同すべきでない）。
【０１４７】
Ｂ２Ｎ，ｈ，ｈ′の局所分布の解析
効率的に計算でき可逆であるＢ２Ｎ，ｈ，ｈ′内の数の簡潔な表示を作成するために、Ｂ２Ｎ，ｈ，ｈ′内の数がどのように［１，Ｎ／２］に分布しているかを理解するのが望ましい。この分布は、参照により本明細書に含まれる、Ｂ．Ｖａｌｌｅｅ著、Ｐｒｏｖａｂｌｙ Ｆａｓｔ Ｉｎｔｅｇｅｒ Ｆａｃｔｏｒｉｎｇ ｗｉｔｈ Ｑｕａｓｉ‐Ｕｎｉｆｏｒｍ Ｓｍａｌｌ Ｑｕａｄｒａｔｉｃ Ｒｅｓｉｄｕｅｓ（Ｐｒｏｃ．ｏｆ ＳＴＯＣ １９８９，９８‐１０６ページ）によって、因数分解問題（数Ｎの素因数を見つける問題）に関連して、−ｈ＝ｈ′＝４Ｎ２／３について研究されている。Ｖａｌｌｅｅは、−ｈ＝ｈ′＝４Ｎ２／３について、Ｂ２Ｎ，ｈ，ｈ′内の数の分布を解析した。彼女の観測を用いて、証明可能に低い計算の複雑性を有する（複雑性は、やはりまだ高くて、非常に大きい数（例えば、１０２４ビット）を因数分解することはできないが）因数分解方式が、Ｂ＝Ｂ２Ｎ，ｈ，ｈ′から「擬一様に」数を抜き出すサブルーチンを用いて、すなわち、ある定数ｃについて、所定の数が引き出される確率が、他の数が選択される確率のｃ倍以内であるようにして、開発された。
【０１４８】
Ｖａｌｌｅｅは（本発明によって利用されるような）圧縮方式を開発しておらず、確かに、Ｖａｌｌｅｅの因数分解方式の論考では、かかる圧縮方式は無意味であるようだが、ＶａｌｌｅｅのＢ２Ｎ，ｈ，ｈ′の分布についての観測は有用である。Ｖａｌｌｅｅの観測のいくつかを以下に列挙する。
【０１４９】
Ｆａｒｅｙ数列：
オーダーｋのＦａｒｅｙ数列Ｆｋは、ａ１＝０を除いて、１≦ａｉ≦ｂｉ≦ｋ及びｇｃｄ（ａｉ，ｂｉ）＝１である、分数
【数３９】
【０１５０】
の昇列
【数４０】
【０１５１】
である。“ｇｃｄ”の表現は、最大公約数を表す。
【０１５２】
Ｆａｒｅｙ数列の性質は、以下の定理で表される。
【０１５３】
定理１．
Ｆｋにおいて、
【数４１】
【０１５４】
と
【数４２】
【０１５５】
が連続していれば、ｂｉａｉ＋１−ａｉｂｉ＋１＝１である。
【０１５６】
Ｆａｒｅｙ数列に関する他の有用な定理は、以下のとおりである。
【０１５７】
定理２．
Ｆｋにおいて、
【数４３】
【０１５８】
と
【数４４】
【０１５９】
が連続していれば、ｂｉ＋ｂｉ＋１＞Ｋである。
【０１６０】
Ｆａｒｅｙ数列は、自然に、Ｆａｒｅｙ被覆の概念につながる。
【０１６１】
Ｆａｒｅｙ被覆：
区間［０，Ｎ／２］のオーダーｋのＦａｒｅｙ被覆は、開Ｆａｒｅｙ区間Ｉ（ａｉ，ｂｉ）の集合であり、ここでｉ＝０，１，２，…であり、各区間Ｉ（ａｉ，ｂｉ）は、中心
【数４５】
【０１６２】
と、半径
【数４６】
【０１６３】
とを有し、ここで、ａ１＝０を除いて、１≦ａｉ≦ｂｉ≦ｋ及びｇｃｄ（ａｉ，ｂｉ）＝１である。
【０１６４】
図１０Ａは、Ｆａｒｅｙ被覆を示している。
【０１６５】
上記定理１及び２を用いて、［０，Ｎ／２］内の全ての実数が少なくとも１つの、多くて２つのＦａｒｅｙ区間によって被覆されていることを容易に証明できる。
【０１６６】
後の論述は、また、（図１０Ｂに示す）Ｆａｒｅｙ分割を用いるが、Ｆａｒｅｙ被覆と密接な関係がある。
【０１６７】
Ｆａｒｅｙ分割：
区間［０，Ｎ／２］のオーダーｋのＦａｒｅｙ分割は、区間
【数４７】
【０１６８】
の集合であり、ここで、ｉ＝０，１，２，…であり、ａ０＝ａ−１＝ｂ−１＝０を除いて、１≦ａｉ≦ｂｉ≦ｋ、ｇｃｄ（ａｉ，ｂｉ）＝１である。
【０１６９】
Ｆａｒｅｙ分割区間は、左側で閉じているが（端点を含む）、右側で閉じており左側で開いていると定義することもできる。（ここで、区間は交わらず、０を被覆しないように定義されるが、これは必然ではない。）
区間Ｊ（ａｉ，ｂｉ）は、Ｎ／２に隣接する小さい区間を除く［０，Ｎ／２］の全てを被覆する分割を形成し、図１０ＢではＪ（ａｆ，ｂｆ）として示し、ここで、ｆは、ａｉ，ｂｉに対する最大のｉ添数である。従って、ａｆ＝ｂｆ＝１である。ａｆ＋１＝ｂｆ＋１＝０と定義するならば、Ｊ（ａｆ，ｂｆ）は、一般式（８）により定義できる。
【０１７０】
再び定理１及び２を用いることによって、Ｉ（ａｉ，ｂｉ）がＪ（ａｉ，ｂｉ）を含むことを証明することができる。また、区間Ｉ（ａｉ，ｂｉ）は、区間Ｊ（ａｉ，ｂｉ）の２倍以内の幅である。
【０１７１】
Ｆａｒｅｙ数列は、Ｂ２Ｎ，ｈ，ｈ′内の整数の［０，Ｎ／２］内の分布に密接な関係がある。特に、Ｂの連続する要素間の空隙は、小さい分母ｂｉの有理数ａｉＮ／２ｂｉに近い大きな変分がある。しかしながら、ａｉＮ／２ｂｉを中心とするもっと広い値域を考えると、Ｂ要素の分布は「一様になる」、すなわち、該区間のＢ要素の数と、Ｂが一様に分布していた場合に予測される数との比率は、１に近づく。概略を言うと、固まりが無視できるようになるのに必要な区間幅は、ｂｉに反比例し、従って、上記で定義したＦａｒｅｙ区間とＢの要素の分布との関係である。
【０１７２】
Ｖａｌｌｅｅは、以下の定理を証明した。
【０１７３】
定理３．
−ｈ＝ｈ′＝４Ｎ２／３と、
【数４８】
【０１７４】
に関し、部分集合Ｂ２Ｎ，ｈ，ｈ′とオーダーｋのＦａｒｅｙ被覆は、準独立である。
【０１７５】
準独立という用語は、以下のように定義される。部分集合ＸとＺＮ（ＺＮは、Ｎを法とする全ての整数の集合を示す）の被覆Ｙ＝｛Ｙｊ｝は、全てのｊについて、集合ＸとＹｊが、ある正の定数ｌ１とｌ２に対し（ｌ１，ｌ２）独立である、すなわち
【数４９】
【０１７６】
であれば、準独立である。Ｐは、集合ＺＮについての一様確率測度である。ｈ′＝４Ｎ２／３であり、Ｆａｒｅｙオーダーｋ＝１／４Ｎ１／３であるＢ２Ｎ，ｈ，ｈ′に関し、Ｖａｌｌｅｅは、
【数５０】
【０１７７】
と、ｌ２＝４が満たされることを証明する。
【０１７８】
この定理を証明するためのＶａｌｌｅｅの方法は、ある意味、建設的である。Ｂの要素がＦａｒｅｙ区間内で、すなわち「局所的に」どのように構成されているかを詳しく見ることによって、Ｖａｌｌｅｅは、区間のＢ要素の数について上限及び下限を与える、これらの要素の概略計数を提供することができる。この概略計数を用いて、Ｖａｌｌｅｅは、「擬一様に」Ｆａｒｅｙ区間に存在するＢから要素を選択する方法を提供する。形式上、一様確率Ｐと、ＺＮの部分集合Ｘ内の値を有する有限集合Ｕに対し定義される抜き出し方式Ｃは、全てのｘ∈Ｘに関し、
【数５１】
【０１７９】
であれば、（ｌ１，ｌ２）一様（又は擬一様）であるといわれる。Ｂの要素が、擬一様にＦａｒｅｙ区間中に分布しているとすれば、これは直接「擬一様に」［１，Ｎ］内のＢから要素を選択する「大域的な」方式につながる。
【０１８０】
擬一様な分布で、Ｆａｒｅｙ区間Ｉ（ａｉ，ｂｉ）にあるＢ２Ｎ，ｈ，ｈ′内の数を選択したいものとする。
【数５２】
【０１８１】
Ｖａｌｌｅｅは、ｈ′＝４Ｎ２／３としてＢ２Ｎ，ｈ，ｈ′∩Ｉ（ａｉ，ｂｉ）に存在する整数
【数５３】
【０１８２】
を、これらの整数を２つの特定の放物線の間にある二次元の格子における点に関連付けることによって簡潔に特徴付けている。図１１において、区間｛ｕ：ｘ＝ｘ０＋ｕ∈Ｉ（ａｉ，ｂｉ）｝は、１１０４で示し、２つの放物線は、１１１０、１１２０で示す。
【０１８３】
ｘが、Ｂ２Ｎ，ｈ，ｈ′内にあるならば、
【数５４】
【０１８４】
である。さて、Ｌ（ｘ０）をベクトル（１，２ｘ０）及び（０，Ｎ）によって生成する格子とする。すると、（ｕ，ｗ）∈Ｌ（ｘ０）及び、
【数５５】
【０１８５】
となるようなｗが存在するとき、ｘ＝ｘ０＋ｕは、まさにＢ２Ｎ，ｈ，ｈ′に存在する。
【０１８６】
条件（１１）は、（ｕ，ｗ）が、式
【数５６】
【０１８７】
（これは、図１１の放物線１１１０である）と、
【数５７】
【０１８８】
（放物線１１２０）によって定義される放物線１１１０、１１２０の間にあることを意味している。
【０１８９】
ｘが、Ｉ（ａｉ，ｂｉ）にあるならば、
【数５８】
【０１９０】
であり、ここで
【数５９】
【０１９１】
であり、記号‖は、絶対値を示す。従って、Ｂ２Ｎ，ｈ，ｈ′とＩ（ａｉ，ｂｉ）の両方にある各整数ｘ＝ｘ０＋ｕは、
【数６０】
【０１９２】
内の格子点に対応する。
【０１９３】
図１１において、Ｐ（ａｉ，ｂｉ）の点を十字形により１１２１で示し、残りの格子Ｌ（ｘ０）点を円により１１２２で示す。
【０１９４】
Ｌ（ｘ０）のどの格子点が放物線１１１０、１１２０の間にあるかを計算するのは、かなり複雑なタスクのように思えるかもしれない。幸い、Ｖａｌｌｅｅが述べるように、基底ベクトルがそれぞれ短く、一方の基底ベクトルは「準水平」で、他方は「準垂直」であるＬ（ｘ０）の格子基底を見つけることができる。基底は、（ｒ，ｓ）であり、
【数６１】
【数６２】
【０１９５】
である。
【０１９６】
ｂｉ≦ｋであり、ここで
【数６３】
【０１９７】
であることを思い出されたい。
【０１９８】
Ｖａｌｌｅｅは、以下を証明している
定理４．
Ｐ（ａｉ，ｂｉ）の全ての点は、ある有理指数ｖ∈［０，ｈ′２／４ｂｉＮ＋２ｈ′ｂｉ／Ｎ］に関する縦座標ｗ０−ｖＮ／ｂｉで縦軸ｗと交差するｒに平行な線上にあり、ここで
【数６４】
【０１９９】
である。連続する指数ｖは、１だけ異なる。
【０２００】
これらの線は、図１１において１１２４で示す。
【０２０１】
次に、Ｖａｌｌｅｅは、ｒに平行な準水平線１１２４をそれらの指数ｖによって数え、次に各線１１２４上のＰ（ａｉ，ｂｉ）の点の数を数えるか概算することによって、Ｐ（ａｉ，ｂｉ）の点を大まかに数える。
【０２０２】
特に、Ｖａｌｌｅｅは、２つの放物線の間の空間を「胸部」１１３０、「脚部」１１４０、「足部」１１５０に分割する４つの「特別」指数を定義している。２つの放物線の間の空間が、上端が連結された２つの「脚部」１１４０のように見える形をどのように形成することができ、上部１１３０が「胸部」であり、「足部」１１５０は、「脚部」がＦａｒｅｙ区間Ｉ（ａｉ，ｂｉ）の端に接触するところに形成されることが容易にわかる。胸部、脚部、足部の領域の境界は、ｒベクトルに平行な線１１６０によって定められる。特別指数は、以下のように定義される。
【０２０３】
定義１：
ｖ０は、定義域の第１（最小）指数である。
【０２０４】
脚部の第１指数であるｖ１は、４ｈｂｉ／Ｎ以上の最小指数である。
【０２０５】
脚部の最終指数であるｖ２は、ｈ′２／４ｂｉＮよりも小さい最大指数である。
【０２０６】
（足部１１５０の）ｖ３は、ｈ′２／（４ｂｉＮ）＋２ｈ′ｂｉ／Ｎよりも小さい最大指数である。
【０２０７】
ｂｉ≦ｋ＝Ｎ／ｈ′なので、胸部１１３０は、最大４つの線を含み、足部１１５０は、最大２つの線を含む。従って、Ｐ（ａｉ，ｂｉ）の点を数える際、いくつの点が胸部と足部にあるかの正確な計算をすぐに得ることができる。しかしながら、脚部は、非常に長いことがあり、（Ｎが無限になるにつれてオーダーＮ１／３で）Ｏ（Ｎ１／３）の線まで含むことがある。幸い、Ｖａｌｌｅｅは、以下の定理を証明できた。
【０２０８】
定理５（「脚部定理」）：
脚部の指数ｖの線１１２４上のＰ（ａｉ，ｂｉ）の点の数ｎ（ｖ）は、
【数６５】
【０２０９】
を満たす。
【０２１０】
以下、値
【数６６】
【０２１１】
は、Ｖａｌｌｅｅの下限と呼び、
【数６７】
【０２１２】
は、Ｖａｌｌｅｅの上限と呼ぶ。
【０２１３】
ＶＬＢ及びＶＵＢ境界は、脚部のＰ（ａｉ，ｂｉ）の格子点の総数の上限下限を得るのに用いることができ、ａ≦ｂである全ての正の整数ａ及びｂに対し有効な以下の不等式を用いる。
【数６８】
【数６９】
【０２１４】
脚部定理を用いて、たとえ脚部１１４０が多数の線１１２４を有することがあっても、各線１１２４上で左から右へ点を数えることによって、Ｐ（ａｉ，ｂｉ）の格子点について概算できる。点は、最初に胸部、次に足部、その次に脚部で数えられる。胸部、足部、脚部の領域のそれぞれにおいて、点は、その領域の一番上の線１１２４で最初に数えられ、次にその下の線、というふうに数えられる。この概算を用いて、所定のＦａｒｅｙ区間に擬一様に存在するＢ２Ｎ，ｈ，ｈ′から数を抜き出すことができる。
【０２１５】
Ｖａｌｌｅｅの擬一様抜き出し方式
Ｖａｌｌｅｅは、以下の「大域的」抜き出し方式で上記結果を使用したが、−ｈ＝ｈ′＝４Ｎ２／３について、Ｂ２Ｎ，ｈ，ｈ′の数を擬一様に選択する。以下、ｎｃは、胸部１１３０の点の数を示し、ｎｆは、足部１１５０の点の数を示し、ｎｃ＋ｆ＝ｎｃ＋ｎｆ（胸部と足部の点の総数）であり、ｎｌは、脚部１１４０の点の数を示す。
【０２１６】
リスト１３：Ｖａｌｌｅｅの擬一様抜き出し方式
１．場所をランダムに選択する。任意の整数ｘ∈選択した一様分布の［１，Ｎ］を選ぶ。
【０２１７】
２．Ｆａｒｅｙ区間を決定する。連分数を用いて、ｘがＪ（ａｉ，ｂｉ）にある（ａｉ，ｂｉ）を計算し、ここでＪ（ａｉ，ｂｉ）は、オーダーｋ＝１／４Ｎ１／３の区間［０，Ｎ／２）のＦａｒｅｙ分割区間である。
【０２１８】
３．Ｐ（ａｉ，ｂｉ）の点の数を概算する。
【数７０】
【０２１９】
を計算し、胸部と足部の点の数ｎｃ＋ｆを正確に数え、Ｖａｌｌｅｅの下限（１５）及び式（１７）を用いて脚部における点の数について概算ｎｌを得る。
【０２２０】
４．Ｐ（ａｉ，ｂｉ）から点を選ぶ。整数ｔ∈擬一様の［１，ｎｃ＋ｆ＋ｎｌ］をランダムに選択する。ｔ≦ｎｃ＋ｆであれば、胸部又は足部から適切な点を出力する。そうでなければ、各線がＶａｌｌｅｅの下限に接触していれば、式（１７）を用いて、どの準水平線１１２４が脚部の点数（ｔ−ｎｃ＋ｆ）を含んでいるかを決定し、一様分布のその線上のＰ（ａｉ，ｂｉ）の点をランダムに選択する。
【０２２１】
５．Ｐ（ａｉ，ｂｉ）から選択した点からｘ′を計算する。（ｕ，ｗ）を前ステップによって出力した格子点とする。ｘ′＝ｘ０＋ｕに設定する。ｘ′を出力する。
【０２２２】
リスト１３の終了。
【０２２３】
ｘ′∈Ｂ２Ｎ，ｈ，ｈ′であり、ｘ′は、ｘと同じＦａｒｅｙ区間にあることに注目されたい。Ｆａｒｅｙ区間は、幅が様々である。Ｉ（ａｉ，ｂｉ）が直径
【数７１】
【０２２４】
を有し、１≦ｂｉ≦ｋであることを思い起こされたい。最初の２つのステップにおいて、広いＦａｒｅｙ区間が選択される可能性が高いが、広いＦａｒｅｙ区間は、より多くのＢ要素を含むので、選択したＦａｒｅｙ区間の特定のＢ要素は、そのＦａｒｅｙ区間が広ければ、選ばれる確率が低い。結局、これらの要因は「平衡」し、大域的な擬一様抜き出し方式を可能にする。
【０２２５】
参照により本明細書に含まれる「Ｊ．‐Ｓ．Ｃｏｒｏｎの論文、Ｓｅｃｕｒｉｔｙ Ｐｒｏｏｆ ｆｏｒ Ｐａｒｔｉａｌ‐Ｄｏｍａｉｎ Ｈａｓｈ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ （ｐｒｏｃ．ｏｆ Ｃｒｙｐｔｏ ２００２，ＬＮＣＳ ２４４２，６１３‐６２６頁、Ｓｐｒｉｎｇｅｒ‐Ｖｅｒｌａｇ，２００２）」において、Ｃｏｒｏｎは、Ｖａｌｌｅｅの方式を拡張して、εを正の定数として、
【数７２】
【０２２６】
について、Ｂ２Ｎ，ｈ，ｈ′の抜き出し方式を作り出した。該方式では、一様と統計的に区別が付かない分布、つまり、一様分布からの統計的距離が最大で
【数７３】
【０２２７】
である分布の要素を抜き出す。このような改良により、Ｃｏｒｏｎは、「部分領域ハッシュ」署名方式のセキュリティを証明することができる。この方式では、署名は、基本的にＢ２Ｎ，ｈ，ｈ′内の数のモジュラ平方根である。しかしながら、Ｃｏｒｏｎの部分領域ハッシュ署名方式において、署名は短くない。署名は、（ｌｏｇ２Ｎ）ビットの数で表される。対照的に、本発明のいくつかの実施形態においては、可逆圧縮θ（図８、ステップ８１０）をＣｏｒｏｎ部分領域ハッシュ署名に適用して、帯域幅を縮小した部分領域ハッシュ署名を得る。
【０２２８】
Ｖａｌｌｅｅのように、Ｃｏｒｏｎは、２つの放物線１１１０、１１２０（図１１）の間にある格子点を考慮する。しかしながら、Ｃｏｒｏｎは、Ｉ（ａｉ，ｂｉ）ではなく局所領域Ｊ（ａｉ，ｂｉ）を考慮し、異なる準水平線を用いて２つの放物線の間の値域を分割する。Ｃｏｒｏｎは、Ｖａｌｌｅｅのように、ｖ０とｖ３を定義するが、ｖ１とｖ２は、Ｉ（ａｉ，ｂｉ）の端に接触する前にいずれの放物線とも交わらない（従って、Ｊ（ａｉ，ｂｉ）の端を通り過ぎる）最初と最後の線の指数である。ｖ１とｖ２の値は、
【数７４】
【０２２９】
と、（ｈ′−ｈ）ｂｉ／Ｎに近い。ｖ３の値は、少し異なって定義され、
【数７５】
【０２３０】
に近くなるのは、Ｃｏｒｏｎは、ｈ′がＮ／ｋに必ずしも等しくない場合を考慮しているからである。Ｃｏｒｏｎは、単にｖ１からｖ２までの指数を有する線上の格子点を抜き出すので、ｖ０からｖ１又はｖ２からｖ３までの指数を有する線上の点が選ばれる可能性はない。しかしながら、Ｃｏｒｏｎが考慮するパラメータ、すなわち、
【数７６】
【０２３１】
と、
【数７７】
【０２３２】
と、
【数７８】
【０２３３】
について、除外された格子点の部分は、無視できるものであり、この抜き出し方式は、一様に非常に近い。εの値は、望ましくは、
【数７９】
【０２３４】
が非常に小さくなるように選択する。
【０２３５】
３．本発明のいくつかの実施形態‐圧縮
さて、本発明に転じると、本発明のいくつかの実施形態では、Ｂ２Ｎ，ｈ，ｈ′内の数と、定数ｃがゼロに近いｎ＝ｃ１＋ｌｏｇ２（ｈ′−ｈ）として、｛０，１｝ｎのビットストリングとの間の写像を提供する、圧縮及び復元方式π，θ，π−１，θ−１を用いる。これらの写像は順列ではない。しかしながら、各写像又は、その逆の下の要素の像は小さい一定の基数を有するので、写像はここでは「準順列」と呼ぶ。
【０２３６】
形式上、集合Ｘ及びＹと定数（ｌ１，ｌ２，ｌ３，ｌ４）に関し、
全てのｘ∈Ｘについて、｛π（ｘ，ｒ）：ｒ∈Ｒ｝の基数が［ｌ１，ｌ２］にあり、
全てのｙ∈Ｙについて、｛ｘ：∃ｒ ｗｉｔｈ π（ｘ，ｒ）＝ｙ｝の基数が［ｌ３，ｌ４］にある場合、π：ＸｘＲ→Ｙを（ｌ１，ｌ２，ｌ３，ｌ４）の準順列と定義する（１９）。
【０２３７】
上記で、Ｒは、補助集合である。例えば、πをランダム化したい場合、ランダムビットのソースとして用いてもよい。Ｒの目的は、単に、πを、（たとえ単一のｘ∈Ｘに対し複数の出力が存在することがあっても）所定の入力に対し単一の出力である、実際の「写像」にすることである。Ｒは、空であることもある。実際の順列は、（ｌ，ｌ，ｌ，ｌ）の準順列であることに注意されたい。
【０２３８】
図６乃至９において、集合Ｒは、陰的である。Ｒは、ランダムビットのソースになることがある。
【０２３９】
以下、２つの準順列について説明する。１つは、発明者がおそらく暗号化により適していると考えたものであり、もう１つは、発明者がおそらく署名により適していると考えたものである。しかしながら、本発明は、暗号化又は署名に関連して一方の又は他方の準順列に限定されない。
【０２４０】
小さい非負定数ｃ１及びｃ２に対し、
【数８０】
【０２４１】
を、暗号化により適していることがある準順列とし、
【数８１】
【０２４２】
を、署名により適していることがある準順列とする。π及びθの両方は、以下に、より詳細に説明するように、効率的に計算可能であり、効率的に可逆である、すなわち、トラップドア情報なしでも、π（ｘ，ｒ）又はθ（ｘ，ｒ）からｘの可能性のある値を復元することは容易である。
【０２４３】
３．１ 短いストリングをＢ要素に写像する（π準順列）
本発明のいくつかの実施形態による図６及び７の方式に関し、π及びπ−１を計算するための方法を次に説明する。基本的に、πは、短いビットストリングを、該ビットストリングがＦａｒｅｙ区間とそのＦａｒｅｙ区間内の「アドレス」を特定するものと解釈し、該ビットストリングをそのＦａｒｅｙ区間内のアドレスを有するＢ要素に写像することによって、Ｂ要素に写像する。短いビットストリングは、あるｈ″＜Ｎについて、ある区間［０，ｈ″］の数である。その逆であるπ−１は、基本的に、Ｂ要素のＦａｒｅｙ区間と、そのＦａｒｅｙ区間内のアドレスとを決定することによって計算され、Ｂ要素は、次に、その区間／アドレスの組み合わせを示すビットストリングに写像する。
【０２４４】
この方法は、以下の観測を用いる。Ｖａｌｌｅｅの定理３及び５と、不等式（１５）及び（１６）は、Ｆａｒｅｙオーダー
【数８２】
【０２４５】
という条件で、また、定理５と式（１５）〜（１６）において、変数ｈ′が（ｈ′−ｈ）／２に置き換えられるという条件で、−ｈ＝ｈ′＝４Ｎ２／３だけでなく、全てのｈ，ｈ′に有効である。また、定理５は、置換なしでも依然有効である。
【０２４６】
図１２に、ビットストリングｘを、特定の狭いＮを法とする区間におけるモジュラ平方数を有する数ｘ′に写像するπ写像を示す。ステップ１２７０は、ビットストリングｘに対応するＦａｒｅｙ区間（以下にかなり詳細に論じる）を計算することを含む。ステップ１２８０は、該Ｆａｒｅｙ区間の各端のビットストリングを計算することを含む。ステップ１２９０は、Ｆａｒｅｙ区間について、ｘをＢ要素に対するｘ′に写像することを含み、該区間の計数は、最初と最後のビットストリングの間のｘの計数に対応する。
【０２４７】
復元及び圧縮関数は、以下の事実を利用する。「広い」Ｆａｒｅｙ区間のＢ要素に関し、該区間を特定するには少数のビットが必要であるが、該要素の該区間内の位置を特定するには多くのビットが必要である。全体としては、ビットの数は「平衡する」。π準順列の典型的な実施形態の詳細を、以下に述べる。πの定義（１９）に関して、その値を後に測定するあるパラメータｈ″について、Ｘ＝［０，ｈ″］である。｛０，１｝ｎのビットストリングは、上述の［０，２ｎ−１−１］の整数と解釈できることに注意されたい。
【０２４８】
以下のように仮定する。
【０２４９】
仮定１：ｈ，ｈ′を整数とする。いくつかの実施形態において、
【数８３】
【０２５０】
である。Ｊ（ａｉ，ｂｉ）を、区間［０，Ｎ／２］に関するオーダー
【数８４】
【０２５１】
のＦａｒｅｙ分割の区間とする。Ｉ（ａｉ，ｂｉ）を、区間［０，Ｎ／２］に関する同じオーダーｋのＦａｒｅｙ区間とする。Ｊ（ａｉ，ｂｉ）を、区間［０，Ｎ／２］の同じオーダーｋの、Ｆａｒｅｙ「拡張」分割区間、すなわち区間Ｊ（ａｆ，ｂｆ）を含むものとする。
【０２５２】
リスト１４‐π（ｘ，ｒ）の計算（図１２参照）：
１．ステップ１２７０（図１２）：
【数８５】
【０２５３】
を計算して区間［０，ｈ″］を［０，Ｎ／２］に写像し、結果がＪ（ａｉ，ｂｉ）に含まれる（ａｉ，ｂｉ）を決定する。このステップもまた図１１に示される。
【０２５４】
２．ステップ１２８０：
【数８６】
【０２５５】
が、Ｉ（ａｉ，ｂｉ）にある［０，ｈ″］の最小整数であるｘｌｅｆｔと、
【数８７】
【０２５６】
がＩ（ａｉ，ｂｉ）にある［０，ｈ″］の最大整数であるｘｒｉｇｈｔを計算する。ステップ１２９０は、以下のステップ３乃至５に対応する。
【０２５７】
３．胸部と足部の格子点Ｐ（ａｉ，ｂｉ）の数である、ｎｃ＋ｆ＝ｎｃ＋ｎｆを計算する。脚部の点の数のＶＬＢ下限（１５）であるｎｌを計算する。（以下に説明するように、数ｈ″は、ｎｃ＋ｆ＋ｎｌ≧ｘｒｉｇｈｔ−ｘｌｅｆｔとなるように選択すべきである。）
４．Ｖａｌｌｅｅの計数や他の計数を用いて（以下の計算注記１を参照）、ｘ−ｘｌｅｆｔに対応する１つの格子点（ｕ，ｗ）（いくつかあることがある）を選択する。具体的には、
４Ａ．
【数８８】
【０２５８】
内の整数を選ぶ。
【０２５９】
４Ｂ．ｃ≦ｎｃ＋ｎｆであれば、胸部又は足部に計数ｃを有する格子点（ｕ，ｗ）を選ぶ（すなわち、胸部と足部の点が一緒に数えられているとき）。
【０２６０】
４Ｃ．そうでなければ、ｖごとに、ｓｖを、指数が最大ｖである準水平線１１２４（図１１）上の脚部格子点の数の下限とする。値ｓｖはＶＬＢ値（１５）を用いて計算することができる。ＶＬＢ値を付加してｓｖ推定値を得ることができ、又は、不等式（１７）を用いて、右側の積分としてｓｖを計算することができる。ｓｖ−１＜ｃ−ｎｃ＋ｆ≦ｓｖとなるようにｖを計算する。ｎｖを、指数ｖの線１１２４上の格子点の数とし、ｎ′ｖをＶａｌｌｅｅの下限推定値（１５）とする。整数
【数８９】
【０２６１】
を選択し、（ｕ，ｗ）を線上のＰ（ａｉ，ｂｉ）のｃ′番目の点に設定する。
【０２６２】
５．ｘ′＝ｘ０＋ｕに設定し、ここで
【数９０】
【０２６３】
である。ｘ′を出力する。
【０２６４】
リスト１４の終了。
【０２６５】
計算注記１。
【０２６６】
リスト１４で用いられる値ｎｃ，ｎｆや、他の値を計算するのに多くの方法がある。１つの例は、以下のとおりである。各線１１２４は、形式βｒ＋αｓ
の点の集合であり、ここで、αは、固定整数であり、βは、全ての実数をとる。α＝０に関し、対応する線１１２４（図１１で１１２４．０と示す）は、原点（ｘ＝ｗ＝０）を通過し、縦線ｕ＝０との切片１２９４を見つけることができる。線ｕ＝０は、放物線１１１０、１１２０の対称軸である。定理４を用いて、対応する指数ｖ＝ｖ［０］が求められる。次に、他の全ての指数ｖは、１整数だけｖ［０］と異なるため見つけることができ、線ｕ＝０に対する線１１２４の切片１２９４は、それらのｗ値がＮ／ｂｉだけ線１１２４．０切片のｗ値と異なるため見つけることができる。特に、定義１の特別指数とそれに対応する切片１２９４を求めることができ、胸部と足部の全ての線１１２４についてｖ値とｗ切片値を見つけることができる。
【０２６７】
胸部及び足部における線１１２４ごとに、等式（２０）のための対応するα値を、その線の切片１２９４から求めることができ、次に、その切片１２９４のβ値を見つけることができる。このβ値をβｉｎと示す。格子Ｌ（ｘ０）点は、βの整数値に対応する。格子点は、例えば
【数９１】
【０２６８】
、すなわちβｉｎに最も近い整数から始めて、その線上で横に移動することできる。各点の座標は、定義（１２）にはめ込んで、点がＰ（ａｉ，ｂｉ）に属するかどうかを決定することができ、このように、Ｐ（ａｉ，ｂｉ）の点は、ｎｃ又はｎｆの一部として数えることができる。線を右に移動し（β＞βｉｎ）、ある点と放物線１１２０の外側で遭遇した場合（すなわちｘ０２＋ｗ＋ｕ２＞ｈ′）、右方向の移動を止めることができる。同様に、線を左に移動し、点と放物線１１２０の外側で遭遇した場合、左方向の移動を止めることができる。Ｐ（ａｉ，ｂｉ）点は、また、他の順序で数えることもでき、例えば、各線１１２４の一番左の点から始めて、右に進んでもよい。一番左の点は、対応する等式（２０）と放物線１１１０、１１２０の等式から解析的に見つけることができる。これらの実施形態は限定的なものではない。
【０２６９】
リスト１４のステップ４Ｂで、ｃ≦ｎｃ＋ｎｆであれば、ｃ番目の点は、胸部と足部の線１１２４を数え、各線上の点を数えることによって見つけることができる。胸部と足部の線１１２４は、ある順序で横に移動することができ、例えば、胸部からｖ指数が増加する順で始めたり、その他の順序でもよい。各線１１２４上の点は、その線の対応する点
【数９２】
【０２７０】
から始めて、又は他の順序で数えることができる。本発明は、特定の点の順序付けに限定されない。
【０２７１】
同様に、ステップ４Ｃで、脚部のある線１１２４に関してパラメータｎｖ，ｎ′ｖ，ｃ′を決定する時、その線上のＰ（ａｉ，ｂｉ）のｃ′番目の点は、その線の対応する点
【数９３】
【０２７２】
から始めて、又は他の順序で、格子点を横に移動することによって見つけることができる。いくつかの実施形態において、ステップ４Ｂ、４Ｃの計数順序は、π写像の特徴であり、π−１を計算するとき（以下リスト１５で説明するように）と同じ順序である。他の実施形態において、所定のπ写像に関して、点の計数は、式（１９）のｒパラメータに対応するようにランダムである。さらに他の実施形態において、計数は、ランダムではないが、ｘに依存する（例えば、ｎｃ，ｎｆや、ｘに依存する他の値）。
【０２７３】
リスト１４において、計数がランダムであろうとなかろうと、出力ｘ′は、乱数ｃ，ｃ′の関数である。他の実施形態において、数ｃ，ｃ′は、確定的に選択される。例えば、ステップ４Ａ、４Ｃに示すそれぞれ対応する区間の第１の整数に選ぶことができる。或いは、ｃを単にｘ−ｘｌｅｆｔに選ぶことができ、ｘｒｉｇｈｔの計算を省略することができる。或いは、ｃをｘｒｉｇｈｔ‐ｘｌｅｆｔに選ぶことができる。同様に、ｃ′は、ｃ−ｎｃ＋ｆ−ｓｖ−１に選ぶことができる。その他のランダムな又はランダムでない選択も可能である。リスト１４の特定の方式は、以下に説明するように、ｃ，ｃ′が一様にランダムに選択されるならば、ランダムオラクルによる適応的選択メッセージ攻撃の下での対応する暗号化方式の証明できるセキュリティにより、有利である。
【０２７４】
計算注記１の終了。
【０２７５】
π（ｘ，ｒ）を計算する際、ｒを、確定的に又はランダムビットのソースとして用いることで、ｃ及びｃ′の値を選択する。Ｓｘ＝｛ｘ′∈Ｉ（ａｉ，ｂｉ）｜∃ｒ ｗｉｔｈ π（ｘ，ｒ）＝ｘ′｝とするならば、集合Ｓｘは、Ｉ（ａｉ，ｂｉ）の分割を形成し、これは、Ｉ（ａｉ，ｂｉ）の各Ｂ要素に選択される可能性があることを意味することに注目されたい。また、ｘとｒを一様に選択して、π（ｘ，ｒ）を出力する場合、擬一様にＢの整数を選択することに注目されたい。
【０２７６】
点の計数において、次に、胸部と足部のｎｃ＋ｎｆ＝ｎｃ＋ｆの点を、１からｎｃ＋ｎｆまである順序で数える。脚部の点は、多数の点が同じ数を共有することがあるという意味で「大まかに」数えられる。脚部の点は、Ｖａｌｌｅｅの下限を満たすかのように数え、特にＳｖを計算する。このＳｖの値は、個々の線についてのＶａｌｌｅｅの推定値である式（１７）において積分を計算することによって容易に計算することができる。脚部の準水平線１１２４は、Ｖａｌｌｅｅの下限推定値よりも多くの点を含むことが多い。その場合、計数において、かかる線上の隣接する点は、１つの数を共有することがある。
【０２７７】
図１３は、Ｂ要素ｘ′を［０，ｈ″］の数ｘに写像する逆写像π−１を示す。ステップ１３２０で、Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間を求め、これは、Ｂ要素ｘ′に対応する。ステップ１３３０で、［０，ｈ″］のビットストリングを計算し、図１１の写像１２７０の逆である写像により、区間の各端に対応する。ステップ１３４０で、ｘ′を［０，ｈ″］のビットストリングｘに写像し、ステップ１３３０で得たビットストリング間の計数は、区間のｘ′の計数に対応する。
【０２７８】
以下のリスト１５では、（Ｆａｒｅｙ分割区間ではなく）Ｆａｒｅｙ区間を用いる時の詳細を説明する。ｘ′＝π（ｘ，ｒ）とすると、本発明の典型的な実施形態では、ｘの１つ又は２つの可能な値を復元する。（上記）仮定１が当てはまるものとする。
【０２７９】
リスト１５‐π−１（ｘ′，ｒ）の計算：
１．ステップ１３２０：ｘ′：Ｉ（ａｉ，ｂｉ）とおそらくＩ（ａｉ＋１，ｂｉ＋１）を含むＦａｒｅｙ区間を決定する。
【０２８０】
２．ステップ１３３０：
【数９４】
【０２８１】
が、Ｉ（ａｉ，ｂｉ）にある［０，ｈ″］の最小の整数であるｘｌｅｆｔと、
【数９５】
【０２８２】
が、Ｉ（ａｉ，ｂｉ）にある［０，ｈ″］の最大の整数であるｘｒｉｇｈｔとを計算する。ステップ１３４０は、以下のステップ３乃至７に対応する。
【０２８３】
３．Ｐ（ａｉ，ｂｉ）の胸部及び足部の格子点の数であるｎｃ＋ｆと、脚部の点の数の下限ＶＬＢ（１５）であるｎｌとを計算する。
【０２８４】
４．
【数９６】
【０２８５】
とｕ＝ｘ′−ｘ０から、格子点（ｕ，ｗ）を復元する。具体的に、格子Ｌ（ｘ０）は、ベクトル（１，２ｘ０）及び（０，Ｎ）によって生成されるので、ある整数αに対して、各格子点（ｕ，ｗ）が等式ｗ＝２ｘ０ｕ＋αＮを満たさなければならないことは容易にわかる。‖ｈ′−ｈ‖＜Ｎ（仮定１に鑑み、大きいＮに対して当てはまらなければならない）と仮定すれば、所定のｕが放物線１１１０、１１２０の間にある格子点は１つだけある。この格子点は、放物線の間の領域を定める不等式（１１）を用いて計算することができる。例えば、α＝０（ｗ＝２ｘ０ｕ）から始めて、不等式（１１）が満たされるまでαを増加及び／又は減少することができる。
【０２８６】
５．Ｖａｌｌｅｅの下限計数又は他の計数（計算注記１を参照）を用いて、ｘ−ｘｌｅｆｔ、従ってｘの値を復元する。具体的に、
５Ａ．（ｕ，ｗ）が、胸部又は足部のｔ番目の点であれば、ｃ＝ｔに設定する。（胸部及び足部の点は、リスト１４におけるように一緒に数えられる。計算注記１を参照）。
【０２８７】
５Ｂ．そうでなければ、（ｕ，ｗ）を含む線１１２４の指数ｖを計算する。ｃ′の値を計算し、ここで、（ｕ，ｗ）は、線上のｃ′番目の点である。ｎｖを指数ｖの線上の格子点の数とし、ｎ′ｖをＶａｌｌｅｅの下限推定値ＶＬＢ（１５）とし、ｓｖ−１をｖよりも小さい指数の準水平線１１２４（図１１）上の脚部格子点の数の下限とする。値ｓｖ−１は、線１１２４ごとにＶＬＢ値（１５）を用いて計算することができる。これらの値を足してｓｖ−１推定値を得ることができ、又は、不等式（１７）を用いて、右側の積分としてｓｖ−１を計算することができる。
【数９７】
【０２８８】
となるように、ｃの値を計算する。
【０２８９】
６．
【数９８】
【０２９０】
となるように、ｘ−ｘｌｅｆｔの値を計算する。ｘ＝ｘｌｅｆｔ＋（ｘ−ｘｌｅｆｔ）を計算する。
【０２９１】
７．ｘを出力する。
【０２９２】
リスト１５の終了。
【０２９３】
上記の計算注記１を参照されたい。
【０２９４】
ｘ′がＩ（ａｉ，ｂｉ）とＩ（ａｉ＋１，ｂｉ＋１）の両方にある場合、ステップ２乃至６を繰り返して、Ｉ（ａｉ＋１，ｂｉ＋１）に対応するｘの値を得ることができる。このように、上記の方式では、ｘ′を含む１Ｆａｒｅｙ区間につき、ちょうど１つ、ｘの値を、２つまで出力する。従って、ｌ３＝１でありｌ４＝２である。エンコードされた値ｘ＝Ｈ（Ｍ）（図６、ステップ２１０）が、両出力ｘ＝π−１に当てはまらないある性質を確実に満たすようにすることによって、正確な値を選択することができる。例えば、エンコードｘ＝Ｈ（Ｍ）は、Ｈ（Ｍ）のいくつかのビットのいくつかをチェックすることを含むことがある。或いは、ステップ１３２０でどのＦａｒｅｙ区間を選ぶべきかの曖昧さを解決する何らかの方法があってもよい。
【０２９５】
少し変更した方法を用いて、π（ｘ，ｒ）が一意逆を確実に有するようにすることは難しくない。特に、ｘ′が確実にＪ（ａｉ，ｂｉ）内にあるようにすることで一意逆を実現することができ、それは、Ｐ（ａｉ，ｂｉ）についてのＶａｌｌｅｅの擬一様計数方法を、
【数９９】
【０２９６】
の１つに適用することで確実にすることができる。この場合、ＰＪ（ａｉ，ｂｉ）は「一様でない」足部と脚部とを有するが、それでも、擬一様計数は、基本的に同じ方法を用いることで可能である。
【０２９７】
パラメータの設定：前述のように、暗号化方式には、π準順列がより適していることがある。準順列のパラメータ、特に、ｈ′−ｈの値とｈ″の値とを設定するために、暗号化方式とできるだけ両立するために準順列が持つべき性質について考慮することがある。望ましくは、πは、一意可逆であるかほぼそうであるべきである。上述のように、ｌ４＝２だが、Ｉ（ａｉ，ｂｉ）ではなく区間Ｊ（ａｉ，ｂｉ）を考慮することによって、ｌ４＝１を実現することができる。また、各Ｂ要素（おそらくそれらの無視できる一部は除く）が少なくとも１つの逆を有するようにしたい。その理由は、一様確率でｘを選択し、次にπ（ｘ，ｒ）を計算することからなるＢ要素抜き出し方式が「優れた」抜き出し方式であれば、暗号化方式のセキュリティが因数分解に関連する、セキュリティプルーフが通るということである。擬一様抜き出し方式を得るために、ｌ３は、少なくとも１であるべきである。
【０２９８】
ｌ１とｌ２の値は、π準順列の下で、ｘの像のサイズを制約する。各エンコードされたプレーンテキストは、Ｂ要素に写像可能であるべきなので、ｌ１は、望ましくは少なくとも１であるべきである。（しかしながら、これが当てはまらないようにパラメータを選択することは可能である）。ｌ２の値は、他のパラメータの値を考えると、できるだけ小さくするべきである。これらの考慮事項を念頭において、以下の計算を提示するが、具体的なパラメータを示している。
【０２９９】
ｎｃ＋ｆ＋ｎｌ≧ｘｒｉｇｈｔ−ｘｌｅｆｔ、すなわち、Ｐ（ａｉ，ｂｉ）の点の数の下限が、Ｉ（ａｉ，ｂｉ）に対応付けられるビットストリングの数よりも大きくなるようにパラメータを選択することは、ｌ３が、望みどおり、少なくとも１になることを確実にする。
【数１００】
【０３００】
であることに注意されたい。ここで、後者の項は、ｈ′−ｈ＝Ｎ／２ｋであるので、Ｉ（ａｉ，ｂｉ）の直径である。これは、
【数１０１】
【０３０１】
であることを意味する。さて、Ｖａｌｌｅｅが使用したパラメータについて考えてみよう。Ｖａｌｌｅｅは、−ｈ＝ｈ′＝４Ｎ２／３の場合を考慮したので、ｈ′−ｈ＝８Ｎ２／３である。このｈ′−ｈの値について、Ｖａｌｌｅｅは、
【数１０２】
【０３０２】
の下限を証明した。従って、
【数１０３】
【０３０３】
ならば、ｘｒｉｇｈｔ−ｘｌｅｆｔ−１＜ｎｃ＋ｆ＋ｎｌである。ｎｌ推定値が整数である限り、これは、望むとおり、ｘｒｉｇｈｔ−ｘｌｅｆｔ−１≦ｎｃ＋ｆ＋ｎｌであることを意味する。
【数１０４】
【０３０４】
に設定することで、ｌ３とｌ１が少なくとも１であることを検証できる。
【０３０５】
他方、胸部と足部における点の数についてのＶａｌｌｅｅの上限は、ｌ２の値が上限を定められるのを可能にする。（ｎｌがまだ、脚部の点の数についての下限推定値ＶＬＢであることを思い起こされたい）。Ｖａｌｌｅｅの計算は、ｎｃ＋ｆ＋ｎｌが、
【数１０５】
【０３０６】
によって上限が定められるのを可能にする。これにより、ｈ″の選択された値について、ｃの可能な値の数を８によって上限を定めることができ、ここで、ｃは、リスト１４のステップ４で選択した数である。また、リスト１４のステップ４で選択した数であるｃ′の、最大で
【数１０６】
【０３０７】
（Ｖａｌｌｅｅの脚部定理を参照）の可能な値がある。従って、ｌ２は、最大８ｘ４＝３２である。このように、ｈ′−ｈ＝８Ｎ２／３と
【数１０７】
【０３０８】
について、（１，３２，１，２）準順列を得る。
【０３０９】
暗号文は、［ｈ、ｈ′］にあり、プレーンテキストは、［１，ｈ″］（又は［０，ｈ″−１］）にあるので、ここで、
【数１０８】
【０３１０】
であり、およそ
【数１０９】
【０３１１】
ビット、すなわち、丸めを考慮すると最大で３ビットの暗号文拡張だけが見込める。性能に関して、π（ｘ，ｒ）又はπ−１（ｘ，ｒ）の計算には、Ｏ（ｌｏｇ２Ｎ）ビットの演算が必要なだけであり、暗号化及び復号化の複雑性に、ほとんど何も付加しない。
【０３１２】
ｈ′−ｈとｈ″の間の５の因数は、ｈ′−ｈ＝８Ｎ２／３に対するＶａｌｌｅｅの下限の「ゆるさ」の結果である。ｈ′−ｈのより大きい値、例えば、Ｃｏｒｏｎが考慮したもの等について、下限は、より厳密な概算となる。従って、ｈ′−ｈのより大きい値について、π準順列は、さらに小さい暗号文拡張を暗号化方式に与える。
【０３１３】
３．２ Ｂ要素を短いストリングに写像する（θ準順列）
θ準順列は、π準順列の逆に類似している。この場合も、圧縮及び復元方式は、ＶａｌｌｅｅのＦａｒｅｙ区間の分析によって与えられるＢ要素の分布について公知の情報を用いる。
【０３１４】
帯域幅縮小署名方式を用いる本発明の典型的な実施形態に関して、より詳細に説明するように、θ準順列は、例えば、Ｃｏｒｏｎによって安全性が証明されたものなど、通常のＲａｂｉｎ部分領域ハッシュ署名を損失なしに、すなわち、通常の署名を圧縮された署名から完全に復元できるように、圧縮できるようにする。この圧縮方式は、セキュリティの減少を必要としない。典型的な実施形態の詳細な説明を続ける。
【０３１５】
上記仮定１が当てはまるものとする。
【０３１６】
リスト１６‐Ｂのあるｘ′について［０，ｈ″］のｘ＝θ（ｘ′，ｒ）を計算する（図１３参照）：
１．ステップ１３２０：ｘ′がＪ（ａｉ，ｂｉ）にある（ａｉ，ｂｉ）を決定する。
【０３１７】
２．ステップ１３３０：
【数１１０】
【０３１８】
が、Ｊ（ａｉ，ｂｉ）にある［０，ｈ″］の最小の整数であるｘｌｅｆｔと、
【数１１１】
【０３１９】
が、Ｊ（ａｉ，ｂｉ）にある［０，ｈ″］の最大の整数であるｘｒｉｇｈｔを計算する。ステップ１３４０は、以下のステップ３乃至５に対応する。
【０３２０】
３．Ｐ（ａｉ，ｂｉ）の胸部及び足部の格子点の数、ｎｃ＋ｆと、脚部の点の数についての上限ＶＵＢ（１６）、ｎｌとを計算する。（ｎｃ＋ｆ＋ｎｌ≦ｘｒｉｇｈｔ−ｘｌｅｆｔを望む。）
４．Ｖａｌｌｅｅの計数か他の計数（計算注記１参照）を用いて、ｘ′に対応付けられた格子点（ｕ，ｗ）に対応するｘｒｉｇｈｔ−ｘｌｅｆｔ（いくつかあることがある）の１つの整数を選択する。具体的には、
４Ａ．（ｕ，ｗ）が胸部又は足部のｔ番目の点であれば、ｃ＝ｔに設定する。
【０３２１】
４Ｂ．そうでなければ、ｓｖを、指数が最大でｖの準水平線１１２４（図１１）上の脚部格子点の数についての上限とする。値ｓｖは、線１１２４ごとにＶＵＢ値（１６）を用いて計算することができる。これらの値を足してｓｖ推定値を得ることができ、又は、不等式（１８）を用いて、右側の式としてｓｖを計算することができる。（ｕ，ｗ）を含む線の指数ｖを計算する。ｎｖを、指数ｖの線上の格子点の数とし、ｎ′ｖ＝ｓｖ−ｓｖ−１を、Ｖａｌｌｅｅの上限推定値ＶＵＢ（１６）とする。ｘ′が、線上のｔ番目の格子点であるとする。整数
【数１１２】
【０３２２】
を選択する。
【０３２３】
５．整数
【数１１３】
【０３２４】
を選択する。ｘ＝ｘｌｅｆｔ＋ｃ′に設定する。
【０３２５】
リスト１６の終了。
【０３２６】
計数についての考察を含む計算注記１は、π及びπ−１に当てはまるように、θ及びθ−１写像に当てはまる。
【０３２７】
θ（ｘ′，ｒ）を計算するのに、ｒを確定的に、又は、ランダムビットのソースとして用いて、ｃとｃ′の値を選択する。［０，ｈ″］においてｘ＝θ（ｘ′，ｒ）とすると、Ｂのｘ′の値を以下のように復元することができる。
【０３２８】
リスト１７‐θ−１（ｘ）を計算する（図１２）：
１．ステップ１２７０：
【数１１４】
【０３２９】
が、Ｊ（ａｉ，ｂｉ）にある（ａｉ，ｂｉ）を決定する。
【０３３０】
２．ステップ１２８０：
【数１１５】
【０３３１】
が、Ｊ（ａｉ，ｂｉ）にある［０，ｈ″］の最小の整数であるｘｌｅｆｔと、
【数１１６】
【０３３２】
が、Ｊ（ａｉ，ｂｉ）にある［０，ｈ″］の最大の整数であるｘｒｉｇｈｔを計算する。
【０３３３】
ステップ１２９０（以下のステップ３乃至５）。
【０３３４】
３．Ｐ（ａｉ，ｂｉ）の胸部及び足部の格子点の数、ｎｃ＋ｆと、脚部の点の数についての上限ＶＵＢ（１６）、ｎｌとを計算する。
【０３３５】
４．ｃ′＝ｘ−ｘｌｅｆｔを計算する。ｃ′とｎｃ＋ｆ＋ｎｌから、
【数１１７】
【０３３６】
となるように値ｃを計算する。ｃ≦ｎｃ＋ｆであれば、（ｕ，ｗ）を胸部又は足部のｃ番目の点とする。そうでなければ、ｃ∈（ｎｃ＋ｆ＋ｓｖ−１，ｎｃ＋ｆ＋ｓｖ）となるように、指数ｖを計算し、ここで、ｓｖは、リスト１６、ステップ４Ｂにおけるように定義される。また、（リスト１６におけるように定義される）ｔの値を計算し、（ｕ，ｗ）を指数ｖの準水平線１１２４上のｔ番目の点とする。
【０３３７】
５．
【数１１８】
【０３３８】
に設定する。
【０３３９】
リスト１７の終了。
【０３４０】
計数についての考察を含む計算注記１は、リスト１６に当てはまる。
【０３４１】
パラメータの設定。θ準順列は、おそらく署名方式により適しているので、ｈ′−ｈの値とｈ″の値を選択するのに、署名方式にできるだけ有用となるのに準順列が含むべき性質について考慮しなければならない。例えば、θは、一意可逆であるかほとんどそうであるべきである。しかしながら、図９のステップ５１０で、多数の候補から正確なＨ（Ｍ）値を認識したり、そうでなければ、ステップ５２０で、検証を認識するのが可能であれば、一意可逆は、必要ではない。一実施形態において、ｌ３とｌ４は、両方とも１に等しい。すなわち、各ビットストリングｘは、その逆としてちょうど１つのＢ要素ｘ′を有する。ｌ１が少なくとも１つであることは適切である。すなわち、各Ｂ要素は、その圧縮として少なくとも１つの短いビットストリングを有するべきである。前述のように、他のパラメータの値を考慮すると、ｌ２はできるだけ小さくするべきである。これらの考慮事項を念頭において、以下の計算は、具体的なパラメータを示している。
【０３４２】
ｎｃ＋ｆ＋ｎｌ≦ｘｒｉｇｈｔ−ｘｌｅｆｔとなるように、すなわち、Ｐ（ａｉ，ｂｉ）の点の数の上限が、Ｊ（ａｉ，ｂｉ）に対応付けられたビットストリングの数よりも小さくなるように、パラメータを選択することで、各Ｂ要素に一意に対応付けられる少なくとも１つのビットストリングが確実に存在することになる。
【数１１９】
【０３４３】
であることに注目されたい。ここで、後者の項は、Ｉ（ａｉ，ｂｉ）の直径であり、少なくともＪ（ａｉ，ｂｉ）の直径である。このことは、
【数１２０】
【０３４４】
であることを意味する。
【０３４５】
さて、Ｃｏｒｏｎが用いたパラメータについて考えてみる。Ｃｏｒｏｎは、
【数１２１】
【０３４６】
の場合を考慮した。これらの値について、Ｃｏｒｏｎは、
【数１２２】
【０３４７】
の上限を証明した。ここで、ｊｉは、Ｊ（ａｉ，ｂｉ）の整数の数である。従って、
【数１２３】
【０３４８】
であれば、ｘｒｉｇｈｔ−ｘｌｅｆｔ＋１＞ｎｃ＋ｆ＋ｎｌである。ｎｌ推定値が整数である限り、望みどおり、ｘｒｉｇｈｔ−ｘｌｅｆｔ≧ｎｃ＋ｆ＋ｎｌとなる。従って、
【数１２４】
【０３４９】
に設定してもよく、ここで、最大値は、全てのｉに取って代わる。
【０３５０】
他方、Ｃｏｒｏｎは、また、下限
【数１２５】
【０３５１】
を証明する。これにより、ｃ′について可能な値の数の上限をおよそ
【数１２６】
【０３５２】
に定めることができ、Ｎとεの標準値に対して最大で２である。また、ｃについて可能な値の数は、およそ
【数１２７】
【０３５３】
によって上限を定められ、Ｃｏｒｏｎのパラメータに対し同じく最大で２である。従って、ｌ２は、最大で２・２＝４であり、（１，４，１，１）準順列を得る。しかしながら、Ｂ要素の無視できる部分だけは複数の像を有する。
【０３５４】
４．暗号化／復号化方式
本発明のπ変換を図６の方式において用いることで、暗号文のサイズの縮小を可能にすることによって、（上述の）Ｒａｂｉｎ‐ＯＡＥＰ＋等のＲａｂｉｎに基づく暗号化方式を改良することができる。
【０３５５】
以下、πＮ，ｈ，ｈ′という表現は、集合Ｂ２Ｎ，ｈ，ｈ′への写像πを示し、θＮ，ｈ，ｈ′は、集合Ｂ２Ｎ，ｈ，ｈ′からの写像θを示す。
【０３５６】
リスト１８‐暗号化（図６）：
１．ステップ２１０：メッセージＭのエンコードである、ｘ＝Ｈ（Ｍ）を計算する。
【０３５７】
２．ステップ６１０：ｘ′＝πＮ，ｈ，ｈ′（ｘ，ｒ）∈［０，Ｎ／２］を計算する。
【０３５８】
３．ステップ２２０：ｙ＝ｘ′２（ｍｏｄ Ｎ）を計算する。ここで、文字ｙをｃの代わりに暗号文に用いて、本明細書におけるｃの他の使用との混同を避ける。
【０３５９】
４．ステップ２３０：ｙを暗号文として出力する。
【０３６０】
リスト１８の終了。
【０３６１】
リスト１９‐復号化（図７）：
１．ステップ３１０：ｘ′２≡ｙ（ｍｏｄ Ｎ）となるように、各ｘ′∈［０，Ｎ／２］を計算する。図７において数ｘ′はｂと示す。［０，Ｎ／２］にはかかるｘ′が少なくとも１つ存在するのは、ｘ′２＝ｙ（ｍｏｄ Ｎ）でありｘ′が［０，Ｎ／２］になければ、ｘ′はＮ−ｘ′に設定することができるからであり、この新しいｘ′値は［０，Ｎ／２］にあり、ｘ′２＝ｙ（ｍｏｄ Ｎ）を満たす。
【０３６２】
２．ステップ３２０：
【数１２８】
【０３６３】
を計算する。かかるｘ値は、いくつかあることがある。これらの値は、図７のＨ（Ｍ）に対応する。
【０３６４】
３．ステップ３３０：メッセージエンコードを取り消して、メッセージＭが正確にエンコードされているか確認する。
【０３６５】
４．Ｍが正確にエンコードされていない場合、ｘ′の別の値を試してみる。ｘ′の全ての値が試されているならば、復号化が失敗したことを示す。
【０３６６】
リスト１９の終了。
【０３６７】
リスト１４、１５、１８、１９による、π写像を含むＲａｂｉｎ暗号化方式は、ランダムオラクルによる適応的選択メッセージ攻撃に関する存在偽造不可能モデルの下でπ写像がないのと同じくらい安全であることを示すことができる。参照により本明細書に含まれる「Ｃｒａｉｇ Ｇｅｎｔｒｙ著、Ｈｏｗ ｔｏ ｃｏｍｐｒｅｓｓ Ｒａｂｉｎ Ｃｉｐｈｅｒｔｅｘｔｓ ａｎｄ Ｓｉｇｎａｔｕｒｅｓ （ａｎｄ Ｍｏｒｅ），Ｐｒｏｃ．ｏｆ Ｃｒｙｐｔｏ ２００４，Ｍ．Ｆｒａｎｋｌｉｎ（Ｅｄ．），Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ３１５２，ｐｐ．１７９−２００，Ｓｐｒｉｎｇｅｒ，２００４」を参照されたい。
【０３６８】
π準順列は、Ｎ，ｈ及びｈ′の特定の値に依存することに注意されたい。従って、ある意味、ｈ及びｈ′は、公開鍵の一部であり、送信者は、暗号化を実行するのにそれが必要である。ＲＳＡやＲａｂｉｎ暗号化と共に用いることができる当技術において公知の様々なエンコード方式は、本発明の帯域幅縮小暗号化方式においても用いることができる。以下、帯域幅縮小暗号化方式の詳細を示すが、上記リスト５及び６のＲａｂｉｎ‐ＯＡＥＰ＋の説明に類似している。上述のように、メッセージエンコードは、式（１）により上記定義したハッシュ関数を利用する。非帯域幅縮小Ｒａｂｉｎ‐ＯＡＥＰ＋（リスト５及び６）において、
【数１２９】
【０３６９】
であったが、本発明の帯域幅縮小暗号化方式においては、式（２１）に示したＶａｌｌｅｅのパラメータに関するｈ″の値に従って、
【数１３０】
【０３７０】
に設定するのが適切である。いくつかの実施形態において、Ｖａｌｌｅｅのパラメータにおけるように、ｈ′−ｈは、およそ８Ｎ２／３である。もちろん、ｎを大きくする、例えば、ｌｏｇ２Ｎにまですることができるが、エンコードしたプレーンテキストが、
【数１３１】
【０３７１】
よりも大きくなければならない場合を除いて、それは必須ではない。
【０３７２】
メッセージＭ∈｛０，１｝ｍを暗号化するために、送信者は、以下の演算を実行する（図６参照）。
【０３７３】
リスト２０‐暗号化。
【０３７４】
図６のステップ２１０は、以下のステップ１乃至３に対応する。
【０３７５】
１．任意の
【数１３２】
【０３７６】
を選択する。
【０３７７】
２．
【数１３３】
【０３７８】
を設定する。
【０３７９】
３．ｎビットストリング、ｘ←ｓ‖ｔを設定する。
【０３８０】
４．ステップ６１０：ｘ′＝π（ｘ，ｒ）∈［０，Ｎ／２］を計算する。
【０３８１】
５．ステップ２２０：暗号文ｃ←ｘ′２（ｍｏｄ Ｎ）を計算する。
【０３８２】
リスト２０の終了。
【０３８３】
ｘ′は、モジュラ平方数が非常に狭い値域（すなわち、［ｈ，ｈ′］）にある整数であるので、ｃの
【数１３４】
【０３８４】
最下位ビットだけを実際に送信するだけでよく、暗号文を「短く」することに注目されたい。ｈ′−ｈ＝８Ｎ２／３に対し、暗号文は、およそ
【数１３５】
【０３８５】
ビットである。
【０３８６】
復号化するために、受信者は、以下のステップを実行する（図７参照）。
【０３８７】
リスト２１−復号化
１．ステップ３１０：ｃのモジュラ平方根
【数１３６】
【０３８８】
と
【数１３７】
【０３８９】
とを計算する。
【数１３８】
【０３９０】
の少なくとも１つと、
【数１３９】
【０３９１】
の少なくとも１つは、［０，Ｎ／２］にある。一般性を失うことなく、
【数１４０】
【０３９２】
は、［０，Ｎ／２］にあるものと仮定することができる。
【０３９３】
２．候補
【数１４１】
【０３９４】
ごとに、
２Ａ．ステップ７１０：
【数１４２】
【０３９５】
を計算する。
【０３９６】
２Ｂ．ステップ３２０：
【数１４３】
【０３９７】
と、
【数１４４】
【０３９８】
について、ｘｉをｓｉ‖ｔｉに構文解析し、次に、
【数１４５】
【０３９９】
と、
【数１４６】
【０４００】
について、ｓｉを
【数１４７】
【０４０１】
に構文解析する。ｉごとに、
【数１４８】
【０４０２】
と、
【数１４９】
【０４０３】
とを計算し、
【数１５０】
【０４０４】
かどうかテストする。条件が満たされる一意のｉが存在する場合、Ｍｉを正確なプレーンテキストとして出力し、そうでなければ、復号化の失敗を示す。
【０４０５】
リスト２１の終了。
【０４０６】
セキュリティのプルーフの概略を述べるのに、上記の帯域幅縮小暗号化方式を解読することは、法Ｎを因数分解するのと同じくらい難しいことを（例えば、「ランダムオラクルモデル」を用いて）証明できる。例えば、時間ｔＡでアドバンテージεＡで暗号化方式を解読するアルゴリズムＡが存在するものとし、ここで、アドバンテージは、Ａが選択した２つのプレーンテキスト、Ｍ０とＭ１、のどちらが特定の暗号文によって暗号化されているかを正確に推測できる確率（マイナス１／２）と定義する。次に、Ａとのインタラクションを通じて得た知識を用いることによって、Ｎを因数分解できる第２のアルゴリズムＢを構成することができる。例えば、以下の「ゲーム」を考えてみる。
【０４０７】
挑戦者は、因数分解する法ＮをＢに与える。Ｂは、Ｎをその公開鍵であると述べ、フェーズ１で、Ａが、Ａの選択した暗号文メッセージｃの復号化を要求することができるようにする。さて、Ｂは、秘密鍵を知らないので、Ｂは、実際に復号化できない。しかしながら、Ｂは、暗号ハッシュ関数Ｇ，Ｈ及びＨ′（１）の出力を制御する。これは、ランダムオラクルモデルである。ハッシュ関数は、「ゲーム」のエンティティが制御してもよいオラクルとみなされる。Ａは、Ａの選択したメッセージＭのハッシュ関数値をＢに問い合わせる。Ｂが同じメッセージＭについて、以前に、この問合せを受信していれば、Ｂは、以前と同じハッシュ関数値を返す。そうでなければ、Ｂは、ランダムにハッシュ関数値を生成する。Ａは、このハッシュ関数値を用いてＭを暗号文ｃに暗号化し、Ｂにｃを復号化するように要求する。
【０４０８】
Ｂがハッシュ関数を制御するので、また、Ａは（無視できる確率を除いて）ハッシュを問合せることなく有効にエンコードされた暗号文を作成することができないので、Ｂは、（例えば）ＡがＨ′に入力するＭの値など、Ａのハッシュ関数への入力Ｍを「見る」ことになる。この知識を用いて、Ｂは、圧倒的に高い確率でＡの復号化の問合せに正確に返答するこができる。フェーズ１の終わりに、Ａは、それについてテストされたいメッセージＭ０とＭ１を選択し、Ｂは、ランダムにあるビットｂ∈｛０，１｝を選択し、Ｍｂを暗号化する暗号文ｃ（「挑戦暗号文」）を返信する。Ｂは、ハッシュ関数の制御を用いて、この暗号文を巧妙に「間に合わせに作る」ので、ｃのモジュラ平方根
【数１５１】
【０４０９】
がわかる。「フェーズ２」で、Ａは、挑戦暗号文以外の復号化すべき暗号文をさらに要求することができる。最終的に、推測ｂ′∈｛０，１｝を出力し、ｂ＝ｂ′であればゲームに勝利する。ハッシュの問合せをさらに行って、再びＢがこれらのハッシュ関数への入力を「見る」ことができるようしない限り、Ａは、せいぜいわずかなアドバンテージしか有さない。
【０４１０】
Ａが確かにｃのモジュラ平方根
【数１５２】
【０４１１】
を計算すれば、
【数１５３】
【０４１２】
である可能性があるので、
【数１５４】
【０４１３】
は、Ｎの自明ではない因数を与える。確かに、ｘとｒを一様に計算し（ハッシュ関数はｘに対し一様出力を与えるものとする）、次に、ｘ′＝π（ｘ，ｒ）を計算することからなる抜き出し方式が擬一様抜き出し方式であれば、Ｂが、どのモジュラ平方根を知っているかをＡが推測する可能性は低いことを意味する。従って、Ａは、間違って推測することが多く、そのハッシュの問合せにより、Ｎの自明ではない因数を計算するのに必要な情報をＢに与える可能性が高い（擬一様抜き出し方式について、Ｖａｌｌｅｅの値を
【数１５５】
【０４１４】
とすると、少なくとも
【数１５６】
【０４１５】
の可能性）。
【０４１６】
５．署名方式
本発明のθ変換を用いて、署名を損失なしに圧縮できるようにすることによって、Ｃｏｒｏｎが安全であると証明した部分領域ハッシュ署名などの、Ｒａｂｉｎに基づく署名方式を改良することができる。基本的なアプローチは、以下のとおりである。
【０４１７】
リスト２２‐署名（図８も参照）：
１．図８のステップ４１０：メッセージＭのエンコード、ｙ∈［ｈ，ｈ′］を計算する。
【０４１８】
図８のステップ４２０は、以下のステップ２及び３に対応する。
【０４１９】
２．ｅｙがＮを法とする平方数となるように、ｅ∈｛−２、−１，１，２｝を計算し、ｅｙ（ｍｏｄ Ｎ）を計算する。ｙは、Ｎを法とする平方根を持たないことがあるが、（Ｎが２つの素数の積とすると）−２*ｙ，−ｙ，ｙ，２*ｙのいずれかは、常にＮを法とする平方根を有するので、ｅで乗算がなされる。
【０４２０】
３．ｘ′２≡ｅｙ（ｍｏｄ Ｎ）となるように、ｘ′∈［０，Ｎ／２］を計算する。「通常の」署名は、（ｘ′，ｅ）である。
【０４２１】
４．図８のステップ８１０：ｅが正であれば、ｘ＝θＮ，ｅｈ，ｅｈ′（ｘ′，ｒ）を計算し、ｅが負であれば、ｘ＝θＮ，ｅｈ′，ｅｈ（ｘ′，ｒ）を計算する。圧縮された署名は（ｘ，ｅ）である。
【０４２２】
リスト２２の終了。
【０４２３】
リスト２３-検証（図９参照）：
１．ステップ９１０（図９）：ｅが正であれば、
【数１５７】
【０４２４】
を計算し、ｅが負であれば、
【数１５８】
【０４２５】
を計算する。
【０４２６】
２．ステップ５１０：ｙ＝Ｈ（Ｍ）／ｅ（ｍｏｄ Ｎ）を計算する。
【０４２７】
３．ステップ５２０：ｙ∈［ｈ，ｈ′］であり、メッセージＭのエンコードであるか確認する。
【０４２８】
リスト２３の終了。
【０４２９】
θ準順列は、Ｎ，ｈ，ｈ′及びｅの特定の値に依存することに注意されたい。従って、ある意味では、ｈとｈ′は、公開鍵の一部であり、検証者は、署名を検証するのにそれが必要である。ＲＳＡやＲａｂｉｎ署名と共に用いることができる当技術で公知の様々なエンコード方式は、本発明の帯域幅縮小署名方式においても用いることができ、その逆もまた同様である。ｅの値は、２ビットで表現することができる。ｅに様々な値を用いることができるが、ｅを小さくしておくことは適切である。
【０４３０】
リスト１６、１７、２２、２３による、θ写像を含むＲａｂｉｎ署名方式は、ランダムオラクルによる適応的選択メッセージ攻撃に関する存在偽造不可能モデルの下でπ写像がないのと同じくらい安全であることを示すことができる。上述のＣｒａｉｇ Ｇｅｎｔｒｙ著の論文、Ｈｏｗ ｔｏ ｃｏｍｐｒｅｓｓ Ｒａｂｉｎ Ｃｉｐｈｅｒｔｅｘｔｓ ａｎｄ Ｓｉｇｎａｔｕｒｅｓ （ａｎｄ Ｍｏｒｅ）を参照されたい。
【０４３１】
以下、より詳細な帯域幅縮小署名方式を示すが、前述の全領域ハッシュ署名方式の説明と類似している（リスト７及び８参照）。メッセージ復元が可能な特定のエンコード方式を使用する。前述のように、上記式（１）により与えられる暗号ハッシュ関数を使用する。非帯域幅縮小署名方式（リスト７及び８）においては、
【数１５９】
【０４３２】
であったが、帯域幅縮小署名方式には、Ｃｏｒｏｎのパラメータに従って、
【数１６０】
【０４３３】
とするのが望ましい。この場合も、ｎを
【数１６１】
【０４３４】
ビットよりも大きく設定することができるが、ある理由で、エンコードされたメッセージが
【数１６２】
【０４３５】
ビットよりも長くなければならない場合を除いて、これは望ましくない。素数Ｐ≡３（ｍｏｄ ８）及びｑ≡７（ｍｏｄ ８）についてＮ＝ｐｑとなるようにＮを生成する際、署名者は、以下の演算を実行する。
【０４３６】
リスト２４‐署名(図８)：
図８のエンコードステップ４１０：
１．任意の
【数１６３】
【０４３７】
を選択する。
【０４３８】
２．
【数１６４】
【０４３９】
を設定する。
【０４４０】
３．ｎビット整数、ｙ←ｓ′‖ｓ″‖ｔを設定する。
【０４４１】
図８の署名ステップ４２０：
４．ｕｑ←ｙ（ｑ＋１）／４（ｍｏｄ ｑ）を計算する。
【０４４２】
５．
【数１６５】
【０４４３】
であれば、ｅｙ←１に、そうでなければ、ｅｙ←−１に設定する。
【０４４４】
６．ｕｐ←（ｅｙｙ）（ｐ＋１）／４（ｍｏｄ ｐ）を計算する。
【０４４５】
７．
【数１６６】
【０４４６】
であれば、ｆｙ←１に、そうでなければ、ｆｙ←２に設定する。
【０４４７】
８．ｖｑ←ｆｙ（３ｑ−５）／４ｕｑ（ｍｏｄ ｑ）、及びｖｐ←ｆｙ（３ｑ−５）／４ｕｐ（ｍｏｄ ｐ）を計算する。
【０４４８】
９．ｗ←ｖｑ＋ｑ（ｑｐ−２（ｖｐ−ｖｑ）ｍｏｄ ｐ）を計算する。
【０４４９】
１０．２ｗ＜Ｎであれば、ｘ′←ｗに、そうでなければ、ｘ′←Ｎ−ｗに設定する。
【０４５０】
短い署名の生成（図８のステップ８１０）：
１１．ｅが正であれば、ｘ＝θＮ，ｅｈ，ｅｈ′（ｘ′，ｒ′）を計算し、ｅが負であれば、ｘ＝θＮ，ｅｈ′，ｅｈ（ｘ′，ｒ′）を計算する。
【０４５１】
１２．署名（ｅｙ，ｆｙ，ｒ，ｘ）を出力する。
【０４５２】
リスト２４の終了。
【０４５３】
この場合も、２（３ｑ−５）／４（ｍｏｄ ｑ）、２（３ｐ−５）／４（ｍｏｄ Ｐ）及びｑｐ−２（ｍｏｄ ｐ）の値は事前に計算できるので、ステップ８及び９は、署名時間にほとんど何も付加しない。
【０４５４】
リスト２５‐検証（図９）：
１．ステップ９１０：ｅが正であれば、
【数１６７】
【０４５５】
を計算し、ｅが負であれば
【数１６８】
【０４５６】
を計算する。
【０４５７】
２．ステップ５１０、５２０：
【数１６９】
【０４５８】
を計算し、ｙｔｍｐがｎビットであることを確認し、ｙｔｍｐを
【数１７０】
【０４５９】
に構文解析し、
【数１７１】
【０４６０】
を計算し、
【数１７２】
【０４６１】
であることを確認する。
【０４６２】
リスト２５の終了。
【０４６３】
検証処理中にメッセージＭが復元されることに注意されたい。また、圧縮θ（リスト２４のステップ１１）は、「通常の」Ｒａｂｉｎ署名（ｅｙ，ｆｙ，ｘ′）が生成された後に、署名処理の終わりにやっと出てくることに注目されたい。
【０４６４】
セキュリティのプルーフは、Ｃｏｒｏｎが提供したような「通常の」部分領域ハッシュ署名方式に対するセキュリティのプルーフから容易に得られる。ある攻撃者Ａが、帯域幅縮小方式において偽造ができるならば、非帯域幅縮小方式に対する別の攻撃者Ｂは、単にθ−１をＡの偽造に適用することで、非帯域幅縮小方式において偽造することができることは明らかである。Ｂは、Ａの署名の問合せを挑戦者に中継し、次に挑戦者の応答に対し、それらをＡに中継する前にθを適用することによって、該署名の問合せに容易に応答するふりをすることができる。
【０４６５】
６．サインクリプション方式
本発明のいくつかの実施形態によるサインクリプション方式において、望ましくは、サインクリプションの送信が、送信者が署名と暗号文を別々に送信した場合よりも少ない帯域幅を消費するように、送信者は、同時に、自身の秘密鍵を用いてメッセージに署名し、受信者の公開鍵を用いてそれを暗号化する。受信者は、その秘密鍵でサインクリプションを復号化し、送信者の公開鍵を用いて送信者の署名を検証する。送信者の公開法をＮＡ又はＮ（Ａ）で示し、送信者のｈ，ｈ′パラメータをそれぞれｈＡ及びｈ′Ａで、又はｈ（Ａ）及びｈ′（Ａ）で示す。受信者の公開法をＮＢ又はＮ（Ｂ）で示し、受信者のｈ，ｈ′パラメータをそれぞれｈＢ及びｈ′Ｂで、又はｈ（Ｂ）及びｈ′（Ｂ）で示す。一実施形態は以下のとおりである（図６、８及び１４参照）。
【０４６６】
リスト２６‐サインクリプション（図１４）：
１．図１４のステップ４１０（エンコード）：メッセージＭのエンコード、ｙ∈［ｈＡ，ｈ′Ａ］を計算する。ステップ４２０（以下のステップ２、３）。
【０４６７】
２．ｅｙがＮＡを法とする平方数となるように、ｅ∈｛−２，−１，１，２｝を計算する。
【０４６８】
３．ｘ′２≡ｅｙ（ｍｏｄ ＮＡ）となるように、ｘ′∈［０，ＮＡ／２］を計算する。
【０４６９】
４．ステップ８１０：ｅが正であれば、短い署名
【数１７３】
【０４７０】
を計算し、ｅが負であれば、
【数１７４】
【０４７１】
を計算する。
【０４７２】
５．ステップ１４１０：ｘ″∈［０，Ｎ／２］として、ｅが正であれば、
【数１７５】
【０４７３】
を計算し、ｅが負であれば、
【数１７６】
【０４７４】
を計算する。
【０４７５】
６．ステップ１４２０：ｃ＝ｘ″２（ｍｏｄ ＮＢ）を計算する。サインクリプションは、ｅとｃ、又はｅとｃの省略形とからなる（ｃの省略形とは、ｃよりも少ないビットで表現することができ、それからｃを求めることができる数であり、例としてｃ−ｈや、ｃのある数の最下位ビットを含む）。
【０４７６】
リスト２６の終了。
【０４７７】
θ準順列は、Ｎ，ｅの特定の値と、ｈ及びｈ′の値に依存し、ユーザＡ及びＢによって異なることがあることに注意されたい。従って、いくつかの実施形態では、ｈとｈ′は、公開鍵の一部であり、受信者は、署名を検証し、メッセージを復号化するのにそれが必要である。異なる署名者は、ｈとｈ′に異なる値を用いることができるが、簡潔にするために同じであるのが望ましい。様々なエンコード方式が当技術において公知であり、１つの方式を以下に詳細に説明する。ｅの値は、２ビットで表現することができる。ｅに様々な値を用いることができるが、ｅを小さくしておくことが望ましい。「ｃの省略形」（例えば、
【数１７７】
【０４７８】
ビットで表現することができる、ｃ−ｈ）を、ｈ及びｈ′と一緒に用いて、ｃの完全な値を復元することができるので、サインクリプションは「短い」。
【０４７９】
リスト２７‐アンサインクリプション（Ｕｎｓｉｇｎｃｒｙｐｔｉｏｎ）（図１５参照）：
１．ステップ１５１０（復号化）：ｘ″２≡ｃ（ｍｏｄ ＮＢ）となるように、ｘ″∈［０，ＮＢ／２］の２つの値を計算する。
【０４８０】
２．ステップ１５２０：ｅが正であれば、
【数１７８】
【０４８１】
を計算し、ｅが負であれば、
【数１７９】
【０４８２】
を計算する。
【０４８３】
３．ステップ１５３０：ｅが正であれば、
【数１８０】
【０４８４】
を計算し、ｅが負であれば、
【数１８１】
【０４８５】
を計算する。
【０４８６】
４．ステップ１５４０：ｙ＝ｘ′２／ｅ（ｍｏｄ ＮＡ）を計算する。
【０４８７】
５．ステップ１５５０：メッセージエンコードを取り消してＭを復元し、メッセージＭが正確にエンコードされているか確認する。Ｍが正確にエンコードされていなければ、ｘ″の他の値を試してみる。ｘ″の両方の値を試しているならば、復号化が失敗したことを示す。
【０４８８】
リスト２７の終了。
【０４８９】
アンサインクリプションにおいて、図１４のステップ８１０におけるθの計算でサインクリプター（ｓｉｇｎｃｒｙｐｔｅｒ）が用いるｒの特定の値を、アンサインクリプター（ｕｎｓｉｇｎｃｒｙｐｔｅｒ）は知らない。しかしながら、θ準順列にパラメータを望ましく選択するために、Ｂ要素の無視できる部分だけが複数の像を有するので、出力は一意になる可能性が高い（ｒから独立している）。しかし、必要ならば、サインクリプターは、どのｒの値を用いたかを示す少数の追加ビットを送信することができる。
【０４９０】
図１４のステップ４１０の典型的なエンコードは、以下のとおりである。ｍ，ｋ０，ｋ１をセキュリティパラメータとする。
【数１８２】
【０４９１】
と
【数１８３】
【０４９２】
の数量は、ごくわずかであるべきだが、必然ではない。ｎ＝ｍ＋ｋ０＋ｋ１とする。望ましくは、法ＮＡとＮＢは、ほぼ同じ数のビットを有し、帯域幅縮小署名方式におけるように、
【数１８４】
【０４９３】
である。ＮＡとＮＢのサイズが異なるならば、
【数１８５】
【０４９４】
となるように、ｎを設定することができる。この場合も、ｎをさらに大きく設定することはできるが、そうすることは最適ではない。以下の暗号ハッシュ関数を定義する。
【数１８６】
【数１８７】
【０４９５】
このＨ関数（メッセージエンコードの計算用の中間値）は、図１４のステップ４１０に示す、最終的なエンコードされたメッセージを表すＨ（Ｍ）関数と混同するべきではない。
【０４９６】
図１４のステップ４１０で、ｙを計算するために、ここで、ｙは、メッセージＭ∈｛０，１｝ｍのエンコードであるが、サインクリプターは、
１．任意の
【数１８８】
【０４９７】
を選択する。
【０４９８】
２．ｔ＝Ｈ（ｒ‖Ｍ）及び
【数１８９】
【０４９９】
に設定する。
【０５００】
３．ｙ＝ｓ‖ｔに設定する。
【０５０１】
ステップ１５５０で（図１５）、アンサインクリプターは、ｙをｓ及びｔに構文解析し、
【数１９０】
【０５０２】
からｒとＭを復元し、ｔ＝Ｈ（ｒ‖Ｍ）であることを確認する。セキュリティプルーフは、基本的に、前述の、暗号化方式と署名方式のセキュリティプルーフを組み合わせたものである。さらに、帯域幅縮小署名方式に関連して上記に述べたモジュラ平方根の計算への数論的アプローチは、サインクリプション／アンサインクリプションと共に用いることができる。
【０５０３】
いくつかのサインクリプション実施形態において、署名と暗号化の順序を逆にする。すなわち、送信者は、まず、受信者の公開鍵を用いてメッセージを暗号化し、次に送信者の秘密鍵を用いてメッセージに署名する。受信者は、署名を検証し、暗号化されたメッセージを復元し、次にメッセージを復号化する。リスト２６、２７に類似した方法を、演算の順序を適切に変更して用いることができる。
【０５０４】
７．集合署名方式
本発明のいくつかの実施形態による集合署名方式において、それぞれ公開鍵法｛Ｎ１，…，ＮＺ｝を有する署名者の集合｛Ｓ１，…，ＳＺ｝は、それらの集合署名、すなわち、各ＳｉがＭｉに署名したことを検証するのに必要なビットストリングが「短く」、各署名者がそれぞれのメッセージに別々に署名した場合よりも少ない帯域幅を最適に消費するように、それぞれのメッセージ｛Ｍ１，…，ＭＺ｝に署名する。本発明のいくつかの実施形態において、メッセージは、順に署名され、これは、署名者Ｓｉが、Ｓｉ−１からｓｉ−１を受信した後に、Ｍｉについて署名ｓｉを生成することを意味する。いくつかの実施形態において、Ｎｉは、全てほぼ同じビット長を有する。Ｎｉのビット長に関する考慮事項は、本発明のサインクリプションの実施形態に関して前述したのと基本的に同じである。
【０５０５】
各ｓｉ−１は、
【数１９１】
【０５０６】
の要素の、（
【数１９２】
【０５０７】
により）圧縮した表示であり（図８のステップ８１０に注目）、ｓｉは、基本的に、［ｈ，ｈ′］の数のＮｉを法とする圧縮平方根として計算される（ステップ４２０、８１０）。その数は、ｓｉ−１とＭｉとに依存する。（以後、署名者は、それぞれ異なる値のｈ及びｈ′を用いることができるが、便宜上、このことは表記において示さない）。集合署名は、公開鍵｛Ｎ１，…，ＮＺ｝を用いて検証される。具体的に、このアプローチは、以下のとおりである。ｆを後述する関数とする。Ｎｉは、Ｎ（ｉ）とも示す。ｉ番目の署名者は、以下の演算を実行する。
【０５０８】
リスト２８‐集合署名（図８参照）：
０．ｓ０＝ｄに設定する。ここで、ｄは、所定の固定値である（任意の値）。
【０５０９】
１．ｉ＝１からｉ＝ｚについて、以下を行う。
【０５１０】
１Ａ．ステップ４１０：ｙｉ＝ｆ（ｓｉ−１，Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）∈［ｈ，ｈ′］を計算する。
【０５１１】
ステップ４２０（以下のステップ１Ｂ及び１Ｃ）：
１Ｂ．ｅｉｙｉがＮｉを法とする平方数となるように、ｅｉ＝ｅｉ（ｉ）∈｛−２，−１，１，２｝を計算する。Ｈ（Ｍ）＝ｅｉｙｉ(ｍｏｄ Ｎｉ)を計算する。
【０５１２】
１Ｃ．ステップ４２０：
【数１９３】
【０５１３】
となるように、
【数１９４】
【０５１４】
を計算する。
【０５１５】
１Ｄ．ステップ８１０：ｅｉが正であれば、ｓｉ＝θＮ（ｉ），ｅ（ｉ）ｈ，，ｅ（ｉ）ｈ′（ｓｉ，ｒ）を計算し、ｅｉが負であれば、ｓｉ＝θＮ（ｉ），ｅ（ｉ）ｈ′，ｅ（ｉ）ｈ（ｓｉ，ｒ）を計算する。
【０５１６】
２．集合署名（ｓ１，ｅ１，・・・ｓｚ，ｅｚ）を出力する。
【０５１７】
リスト２８の終了。
【０５１８】
ｉ番目の署名者は、ｓｉを生成する前に、（ｉ−１）番目の署名者がそれ自身の署名を集合した後の結果である、ｓｉ−１の値を受信することに注目されたい。サインクリプション方式におけるように、署名者は、それぞれ、ｈとｈ′に異なる値を用いることができるが、簡潔にするためには同じであることが望ましい。関数ｆについては、本発明が利用する検証の概要を述べた後に説明する。
【０５１９】
リスト２９‐検証（図９参照）：
１．ｉ＝ｚからｉ＝１について、以下を行う。
【０５２０】
１Ａ．ステップ９１０：ｅｉが正であれば、ｓｉ′＝θ−１Ｎ（ｉ），ｅ（ｉ）ｈ，ｅ（ｉ）ｈ′（ｓｉ）を計算し、ｅｉが負であれば、ｓｉ′＝θ−１Ｎ（ｉ），ｅ（ｉ）ｈ′，ｅ（ｉ）ｈ（ｓｉ）を計算する。
【０５２１】
１Ｂ．ステップ５１０：
【数１９５】
【０５２２】
を計算する。
【０５２３】
１Ｃ．ステップ５２０：ｙｉ＝ｆ（ｓｉ−１，Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）からｓｉ−１を計算する。
【０５２４】
２．ステップ５２０：ステップ１Ｂ‐２で計算したｓ０がｄに等しいことを確認する。
【０５２５】
リスト２９の終了。
【０５２６】
関数ｆは、集合署名処理において効率的に計算可能なだけでなく、検証処理においても効率的に可逆であるべきである。可逆であるとは、ｓｉ−１が、ｆ（ｓｉ−１，Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）と、Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１の値から導き出せるべきであるという意味においてである。かかる関数の候補の１つは、ｆ（ｓｉ−１，Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）＝ｓｉ−１・Ｈｉ（Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）である。ここで、“・”は、加算やＸＯＲなどの何らかの容易に可逆である２項演算である。
【０５２７】
この方式のセキュリティを証明するのに問題があることがある。１つの理由として、鍵とメッセージの固定集合（Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）に対する集合署名要素ｓｉ−１には、可能性のある値が多くあり、シミュレータ（すなわち、暗号化の項４の言語のアルゴリズムＢ）が、ｓｉに関するｓｉ−１の全ての可能性のある値についての攻撃者の署名の問合せに返答することができるように、シミュレータが、Ｈｉ（Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）の単一の値を「間に合わせに作る」ことはおそらく不可能であることがある。ここで、Ｈｉは、Ｎｉを法とする整数集合の値を有するあるハッシュ関数である。
【０５２８】
この問題に対処するために、ｆを計算する別のアプローチを用いることがあり、
【数１９６】
【０５２９】
を計算し、ここで、Ｅは、対称暗号化方式であり、対称暗号鍵ｋｉは、あるハッシュ関数Ｈｉについて、ｋｉ＝Ｈｉ（Ｎｉ，Ｍｉ）（又は、必要なら、ｋｉ＝Ｈｉ（Ｎｉ，Ｍｉ，…，Ｎ１，Ｍ１）として計算する。ｆが可逆であることは容易にわかる。
【数１９７】
【０５３０】
とＮｉ及びＭｉを与えられると、ｋｉ＝Ｈｉ（Ｎｉ，Ｍｉ）、次に、
【数１９８】
【０５３１】
を計算することができる。ここで、
【数１９９】
【０５３２】
は、鍵ｋｉの下の対称復号である。このセキュリティプルーフは、ランダム応答を返すオラクルのように、暗号ハッシュ関数がふるまうことを装うランダムオラクルモデルを用いるのではなく、ある対の鍵／メッセージについてランダム暗号文を返すオラクルのように暗号（対称暗号化方式）がふるまうことを装う理想暗号モデルを用いている。参照により本明細書に含まれる「Ｍ．Ｂｅｌｌａｒｅ、Ｄ．Ｐｏｉｎｔｃｈｅｖａｌ及びＰ．Ｒｏｇａｗａｙ著、“Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｓｅｃｕｒｅ Ａｇａｉｎｓｔ Ｄｉｃｔｉｏｎａｒｙ Ａｔｔａｃｋｓ”，ｉｎ Ｐｒｏｃ．ｏｆ Ｅｕｒｏｃｒｙｐｔ ２０００，Ｂ．Ｐｒｅｎｅｅｌ（Ｅｄ．），Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ １８０７，ｐｐ．１３９−１５５」を参照されたい。
【０５３３】
理想暗号モデルにより、シミュレータは、鍵やメッセージだけでなくｓｉ−１にも依存する問合せ応答を行うことができ、シミュレータは、その応答をより自由に「間に合わせに作る」ことができる。最適には、対称暗号化方式Ｅは、暗号文を拡張することなく、ｓｉ−１の長さ、すなわち、およそ（２／３＋ε）ｌｏｇ２Ｎｉビットのストリングを暗号化できるので、集合署名のサイズは、より多くの署名が集合されるにつれて著しく大きくなることはない。
【０５３４】
ｆを計算する上記方法はもちろん、θ圧縮関数を使用しない（すなわち、図８のステップ８１０を省略した）モジュラ２乗に基づく逐次集合署名方式を作成するのに用いることができる。
【０５３５】
８．リング署名方式
本発明のいくつかの実施形態の帯域幅縮小リング署名方式において、署名者Ｓｉは、Ｓｉがメンバーである署名者の集合｛Ｓ１，…，ＳＺ｝を選択して、検証者が、誰であるかは定められないけれども、｛Ｓ１，…，ＳＺ｝の少なくとも１人の署名者がメッセージに署名したことを検証者に確信させる、メッセージの「リング署名」を生成することができる。署名者Ｓｉは、従って、可能性のある署名者の「リング」内で限定された匿名性を有する。
【０５３６】
いくつかの実施形態において、署名者は、検証者がリング署名を検証するのに用いる公開法｛Ｎ１，…，ＮＺ｝を有する。リング署名は、集合的にＣｋ，ｖ｛ｙ１，…，ｙＺ｝を満たすｚのストリング｛ｘ１，…，ｘＺ｝を含み、ここで、
【数２００】
【数２０１】
【０５３７】
であり、ｖ及びｗは、所定のビットストリングであり、Ｃは、「結合関数」である。本発明のいくつかの実施形態の帯域幅縮小リング署名方式は、前述のθ準順列を用いることによって、また、法Ｎｉが異なるサイズを有することに対処するより帯域幅効率のよい方法を用いることによって、Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ｔａｕｍａｎ方式におけるよりも短いリング署名を実現している。
【０５３８】
Ｒｉｖｅｓｔ‐Ｓｈａｍｉｒ‐Ｔａｕｍａｎ方式（リスト１０、１１）において、
【数２０２】
【０５３９】
について、（ｑｉ＋１）Ｎｉ≦２ｂであれば、ｙｉ＝ｑｉＮｉ＋ｇｉ（ｒｉ）を計算し、そうでなければ、
【数２０３】
【０５４０】
を計算する。ここで、ｇｉは、関数
【数２０４】
【０５４１】
を示し、ｂは、所定の定数である。ｂが十分に大きい限り、（ｑｉ＋１）Ｎｉ＞２ｂであるｙｉの割合は、無視できるものであるので、ｘ′ｉのｙｉへの写像は、Ｎｉを法とする２乗とほとんど区別できない振る舞いをする。残念ながら、ｂをこれほど大きいものに選ぶことは（全ての法の対数よりもはるかに大きい）、また、帯域幅効率が悪い。
【数２０５】
【０５４２】
について、
【数２０６】
【０５４３】
を計算するほうが帯域幅効率がよい。ここで、
【数２０７】
【０５４４】
本発明のいくつかの実施形態において、θ準順列に関し、ｂが
【数２０８】
【０５４５】
の約３分の２になるように、
【数２０９】
【０５４６】
を用いて、さらによく行うことができる。従って、あるｘｉに対し、
【数２１０】
【０５４７】
と
【数２１１】
【０５４８】
とを計算することがある。結合関数は、やはり、
【数２１２】
【０５４９】
となることができ、ここで、Ｅｋは、鍵ｋを用いる対称暗号化方式である。
【０５５０】
Ｓｉが「真の」署名者であるとすれば、本発明のいくつかの実施形態におけるリング署名は、以下のように生成される。
【０５５１】
リスト３０‐リング署名：
１．ｋ＝Ｈ（Ｍ）を計算する。ここで、Ｍは、署名するメッセージであり、Ｈは、ハッシュ関数である。
【０５５２】
２．任意のｖ∈｛０，１｝ｂを選択する。
【０５５３】
３．ｊ≠ｉごとに、
３Ａ．任意の
【数２１３】
【０５５４】
を選択する。これは、Ｃ．Ｇｅｎｔｒｙの前述の論文において述べられているように、ランダムに一様に行うことができる。
【０５５５】
３Ｂ．ｙｊ＝ｇｊ（ｘ′ｊ）を計算する。
【０５５６】
４．
【数２１４】
【０５５７】
となるように、ｙｉを計算する。
【０５５８】
５．Ｎｉについての秘密知識を用いて、
【数２１５】
【０５５９】
となるように、
【数２１６】
【０５６０】
を計算する。
【０５６１】
６．全てのｊについて、
【数２１７】
【０５６２】
を計算する。リスト１６を参照（ｒ値はランダムなことがあり、異なるｊに対し異なることがある）。
【０５６３】
７．リング署名（ｘ１，…，ｘｚ，ｖ）を出力する。
【０５６４】
リスト３０の終了。
【０５６５】
前述のように（リスト１１）、リング署名者は、等式
【数２１８】
【０５６６】
を用いて、ｙｊの値からｙｉを計算することができる（ｊ≠ｉである）。ｙｊのいくつかの値、実際に約４分の３は、モジュラ平方根を持たない。この場合、ｙｊがＮｊを法とする平方剰余となるまでステップ５を再び実行しなければならない。
【０５６７】
リスト３１‐リング署名の検証：
１．ｋ＝Ｈ（Ｍ）を計算する。
【０５６８】
２．全てのｊについて、
【数２１９】
【０５６９】
を計算する。
【０５７０】
３．
【数２２０】
【０５７１】
であることを確認する。
【０５７２】
リスト３１の終了。
【０５７３】
上述の他の方式におけるように、リスト３０のステップ６Ｂにおけるｒは余剰ビットのソースであり、準順列の呼出しごとにランダムに、又は、準順列の他の入力（例えば、ｘ′ｊ）に、確定的にしかし予測不可能に依存するように選ばれる。また、各署名者は、ｈとｈ′に異なる値を用いることができるが、各署名者のｈとｈ′の値は、リング署名の検証に必要である（従って、ある意味では、公開鍵の一部である）ので、いくつかの実施形態において、全ての署名者は、同じ値を用いる。
【０５７４】
９．他の方式と拡張
本発明のいくつかの実施形態の圧縮及び復元方式は、暗号化、署名、集合署名、及びリング署名以外の暗号のコンテキストで有益である。例えば、本発明の圧縮及び復元方式を利用する閾値暗号化及び復号化は、暗号文のサイズが小さければより効率的になることがある。また、他の署名方式（例えば、Ｆｉａｔ‐Ｓｈａｍｉｒのバージョン、特に、アイデンティティに基づくバージョン）や、他のアイデンティティに基づく暗号化方式（例えばＣｏｃｋの暗号化方式を利用するものなど）において、署名者は短い（アイデンティティに基づく）公開鍵や秘密鍵（後者はＢ要素）を持つことができる。さらに、モジュラ平方数を送信することに基づく識別方式は、本発明を適用することで同様に改良される。Ａ．Ｆｉａｔ及びＡ．Ｓｈａｍｉｒ著、“Ｈｏｗ ｔｏ Ｐｒｏｖｅ Ｙｏｕｒｓｅｌｆ：Ｐｒａｃｔｉｃａｌ Ｓｏｌｕｔｉｏｎｓ ｔｏ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ｓｉｇｎａｔｕｒｅ Ｐｒｏｂｌｅｍｓ”ｉｎ Ｐｒｏｃ．ｏｆ Ｃｒｙｐｔ １９８６，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ２６３，ｐｐ．１８６−１９４．Ｓｐｒｉｎｇｅｒ，１９８６と、Ｕ．Ｆｅｉｇｅ、Ａ．Ｆｉａｔ及びＡ．Ｓｈａｍｉｒ著、“Ｚｅｒｏ‐Ｋｎｏｗｌｅｄｇｅ Ｐｒｏｏｆｓ ｏｆ Ｉｄｅｎｔｉｔｙ”ｉｎ Ｊｏｕｒ．ｏｆ Ｃｒｙｐｔｏｌｏｇｙ（１），ｐｐ．７７‐９４（１９８８）と、Ｃ．Ｃｏｃｋｓ著、Ａｎ Ｉｄｅｎｔｉｔｙ Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｃｈｅｍｅ Ｂａｓｅｄ ｏｎ Ｑｕａｄｒａｔｉｃ Ｒｅｓｉｄｕｅｓ”ｉｎ Ｐｒｏｃ．ｏｆ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｃｏｄｉｎｇ ２００１，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ２２６０，Ｓｐｒｉｎｇｅｒ（２００１）と、Ａ．Ｍｅｎｅｚｅｓ、Ｐ．ｖａｎ Ｏｏｒｓｃｈｏｔ及びＳｃｏｔｔ Ｖａｎｓｔｏｎｅ著、Ｈａｎｄｂｏｏｋ ｏｆ Ａｐｐｌｉｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ，Ｃｈａｐｔｅｒ １０，ｈｔｔｐ：／／ｗｗｗ．ｃａｃｒ．ｍａｔｈ．ｕｗａｔｅｒｌｏｏ．ｃａ／ｈａｃ／で入手可能、を参照されたい。さらに、本発明の圧縮及び復元方式は、セキュリティがモジュラ平方根を計算することに基づく方式に対し、大域的な帯域幅効率を向上する。
【０５７５】
Ｆａｒｅｙの区間に基づく圧縮及び復元方式を用いずに帯域幅縮小方式を実現することもできる。以下、本発明のかかる２つの実施形態、暗号化方式及び署名方式、を説明する。両方とも、ある状況下では、圧縮及び復元に基づく本発明の実施形態よりもさらに大きい帯域幅縮小を享受するものである（しかし、証明可能なセキュリティを失う可能性など、他の望ましい性質を犠牲にするかもしれない）。
【０５７６】
Ｃｏｐｐｅｒｓｍｉｔｈの方式を通常のＲａｂｉｎ署名（リスト７、８）又は通常の低指数ＲＳＡ署名（リスト３及び４）に適用することによって、（おそらく）帯域幅を縮小した署名方式を得ることができる。Ｄ．Ｊ．Ｂｅｒｎｓｔｅｉｎ著、“Ｐｒｏｖｉｎｇ Ｔｉｇｈｔ Ｓｅｃｕｒｉｔｙ ｆｏｒ Ｓｔａｎｄａｒｄ Ｒａｂｉｎ‐Ｗｉｌｌｉａｍｓ Ｓｉｇｎａｔｕｒｅｓ”，ｈｔｔｐ：／／ｃｒ．ｙｐ．ｔｏ／ｄｊｂ．ｈｔｍｌで入手可能、と、Ｄ．Ｂｌｅｉｃｈｅｎｂａｃｈｅｒ著、“Ｃｏｍｐｒｅｓｓｅｄ Ｒａｂｉｎ Ｓｉｇｎａｔｕｒｅｓ”ｉｎ Ｐｒｏｃ．ｏｆ ＣＴ−ＲＳＡ ２００４，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ２９６４，ｐｐ．１２６−１２８．Ｓｐｒｉｎｇｅｒ，２００４と、Ｄ．Ｃｏｐｐｅｒｓｍｉｔｈ著、“Ｆｉｎｄｉｎｇ ａ Ｓｍａｌｌ Ｒｏｏｔ ｏｆ ａ Ｕｎｉｖａｒｉａｔｅ Ｍｏｄｕｌａｒ Ｅｑｕａｔｉｏｎ”ｉｎ Ｐｒｏｃ．ｏｆ Ｅｕｒｏｃｒｙｐｔ １９９６， Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，ｐｐ．１５５‐１６５．Ｓｐｒｉｎｇｅｒ‐Ｖｅｒｌａｇ，１９９６、とを参照されたい。例えば、ｅを、Ｎを法とするＲａｂｉｎ又はＲＳＡ署名方式の公開指数とし、ｘを、リスト３又は７におけるように得られる通常の署名とする。Ｃｏｐｐｅｒｓｍｉｔｈの方式では、誰でも（Ｎについてのトラップドア情報を必要とすることなく）、（例えば）、ｘ２(ｍｏｄ Ｎ)とｘの
【数２２１】
【０５７７】
最上位ビットとから、ｘ∈［１，Ｎ］を復元することができる。従って、Ｒａｂｉｎ署名（ｅ＝２）について、図４の方法は以下のように変更することができる。
【０５７８】
リスト３２：
１．ステップ４１０：Ｈ（Ｍ）を計算する。Ｈは、全領域関数、すなわちその値域が［１，Ｎ］である関数（例えばリスト７を参照）であることもあれば、部分領域ハッシュ関数、すなわちその値域が［１，Ｎ］の真部分集合である関数であることもある。
【０５７９】
２．ステップ４２０：ｘ２＝Ｈ（Ｍ）（ｍｏｄ Ｎ）となるように署名ｘ＝ｓ（Ｍ）を計算する。
【０５８０】
３．ステップ４３０：ｘの
【数２２２】
【０５８１】
最上位ビットを送信する。また、Ｈ（Ｍ）かＨ（Ｍ）を復元するのに十分な何らかの情報を送信する。
【０５８２】
リスト３２の終了。
【０５８３】
しかしながら、Ｈ（Ｍ）を復元するのに十分な情報も送信しなければならないので、ｘの最上位ビットだけを送信することによって実現できる圧縮は、少し非現実的である。ステップ４３０で、Ｈ（Ｍ）自体を送信しなければならないならば、この署名方式は、明らかに望ましいメッセージ復元特性を有していない。
【０５８４】
Ｂ２Ｎ，ｈ，ｈ′内の数を見つけるための発見的方法を用いることによって、帯域幅縮小暗号化方式を得ることができる。ここで、ｈ′は
【数２２３】
【０５８５】
と同じくらい小さいことがある。しかしながら、発見的抜き出し方式を用いた結果生じる暗号化方式は、証明可能なセキュリティを享受するものではない。発見的に、集合Ｓ＝Ｂ２Ｎ，ｈ，ｈ′により図１０のセキュリティプルーフモデルを用いるために、
【数２２４】
【０５８６】
について、Ｂ２Ｎ，ｈ，ｈ′内の数を以下のように生成することができる。
【０５８７】
リスト３３：
１．任意の
【数２２５】
【０５８８】
と
【数２２６】
【０５８９】
を選択する。
【０５９０】
２．
【数２２７】
【０５９１】
を計算する。
【０５９２】
３．ｘ＝ｘ′＋ｂを計算する。
【０５９３】
リスト３３の終了。
【数２２８】
【０５９４】
について、
【数２２９】
【０５９５】
であることを容易に示すことができる。これらの観測は、以下の暗号化方式につながる。
【０５９６】
リスト３４：
１．メッセージを（ａ，ｂ）にエンコードする。ここで、ａは、メッセージの最初の２εａｌｏｇ２Ｎビットであり、ｂは、残りのビットであり、２εａｌｏｇ２Ｎ，２εｂｌｏｇ２Ｎは、最も近い整数に切り下げている。
【０５９７】
２．リスト３３におけるようにｘを計算する。
【０５９８】
３．暗号文をｃ＝ｘ２（ｍｏｄ Ｎ）に設定する。
【０５９９】
リスト３４の終了。
【数２３０】
【０６００】
の適切なεａ，εｂについて、（ａ，ｂ）を、従ってメッセージを、以下のように復元することができる。
【０６０１】
リスト３５．
１．ｘをｃのモジュラ平方根として計算する。
【０６０２】
２．
【数２３１】
【０６０３】
を計算する。
【０６０４】
リスト３５の終了。
【０６０５】
この方式の考えられる１つの不利点は、因数分解から証明可能な縮小を提供するのがおそらく難しいということである。
【０６０６】
多くの暗号化方式及び署名方式におけるように、プロトコルの計算複雑性を増すことによって、帯域幅のさらなる縮小‐小さい定数ｃについて約ｃ ｌｏｇ ｌｏｇ Ｎビット（本明細書中、特に断りのない限り、対数は底２である）‐を実現することができる。例えば、単に最終ｃ ｌｏｇ ｌｏｇ Ｎビットを送信しないことによって、暗号文のサイズをさらに減少することができる。デクリプター（ｄｅｃｒｙｐｔｅｒ）は単に、復号化方式を、必要ならば、
【数２３２】
【０６０７】
回まで繰り返すことによって、それらの最終ビットを推測すればよい。同様に、エンクリプター（ｅｎｃｒｙｐｔｅｒ）は、一時的な暗号文が最終的に全て０である最終ｃ ｌｏｇ ｌｏｇ Ｎビットを有するように、一時的暗号ごとに異なる乱数度を用いて、暗号化方式を期待される（ｌｏｇＮ）ｃ回行うことができ、その場合、それらのビットを送信する必要はない。署名及び検証に同様のシナリオが当てはまる。
【０６０８】
１０．システムと構成要素
帯域幅を縮小した暗号化、署名、サインクリプション、集合署名、及びリング署名方式と、圧縮及び復元方式とは、図１のコンピュータシステム１１０及びネットワーク１２０を使用して実現することができる。各システム１１０は、ネットワーク（図示せず）によって相互接続された多数のコンピュータシステムを含む分散システムであってもよいしそうでなくてもよい。各システム１１０は、本発明の方式を実行するための、例えば半導体、磁気、光、又は他の種類の記憶装置などの公知の又は考案したコンピュータ可読媒体（図示せず）に記憶したコンピュータ命令を実行するようにプログラム化した、１つ又は複数の処理装置（図示せず）を含むことがある。さらに、又はその代わりに、各システム１１０は、本発明の方式を実行するためのハードワイヤード回路を含むことがある。ネットワーク１２０はインターネット及び／又は無線通信ネットワークや、任意の種類の通信が送信される他の種類のネットワークであることがある。本発明の方式を実現するコンピュータ命令は、ケーブル、電波、又は他の手段で、物理的信号（例えば電磁信号）に組み込まれて、システム１１０へ又はシステム１１０から送信することができる。信号は、搬送波で変調してもしなくてもよい。
【０６０９】
コンピュータシステム１１０は、本発明の暗号化、署名、サインクリプション、集合署名、又はリング署名の実施形態において用いられる公開鍵に関連する、真正性や所有権や属性を証明するための公開鍵証明書を提供することができる、サーバ証明要素（「証明者」）として使用することがある。証明者は公開鍵を別のシステム１１０に送信することができる。また、証明者１１０は、権限保持者が使用するための公開鍵及び秘密鍵を生成し、それらを圧縮暗号化形式で別のシステム１１０に送信することによって権限保持者に提供することができる。非証明者システム１１０は、証明者システム１１０を通じて、又は直接に、暗号文や署名を互いに送信することができる。暗号文や署名はまた、電子媒体（例えばディスク）で非電子的に（例えば通常のメールによって）転送することができる。
【０６１０】
いくつかの実施形態において得られる付加的な特徴が、Ｃ．Ｇｅｎｔｒｙによる前述の論文、Ｈｏｗ ｔｏ Ｃｏｍｐｒｅｓｓ Ｒａｂｉｎ Ｃｉｐｈｅｒｔｅｘｔｓ ａｎｄ Ｓｉｇｎａｔｕｒｅｓ （ａｎｄ Ｍｏｒｅ）に述べられている。
【０６１１】
本発明は、上述の実施形態に限定されるものではない。例えば、上述の方法や、セキュリティプルーフは、集合ＢＮ，ｈ，ｈ′やＢＺＮ，ｈ，ｈ′に拡張することができる。ＢＮ，ｈ，ｈ′はＢ２Ｎ，ｈ，ｈ′からなり、Ｂ２Ｎ，ｈ，ｈ′，ＢＺＮ，ｈ，ｈ′内の数のＮを法とする負数は、１以外のＮに関する公約数を有する数を除くが、Ｎが２つの素数の積であれば、かかる数の集合は非常に小さいことに注意されたい。いくつかの実施形態は集合ＢＮ，Ｑ，Ｂ２Ｎ，Ｑ，ＢＺＮ，Ｑを用い、ここでＱは［ｈ，ｈ′］以外である。特に、Ｑは［ｈ，ｈ′］，（ｈ，ｈ′）又は（ｈ，ｈ′）であることがある。また、Ｂ２Ｎ，Ｑはｘ＝０を含まないように、すなわち｛ｘ∈［１，Ｎ］：ｘ２（ｍｏｄ Ｎ）∈Ｑ｝と定義することができる。本発明はセキュリティプルーフが有効である方式に限定されない。上記で、ビットストリングｘ＝ｘ０ｘ１…ｘｎ−１について、それに対応する数がｘ０＋ｘ１＊２＋…＋ｘｎ−１＊２ｎ−１となるように、ビットストリングは数に対応付けられていたが、他の数値表現を用いることもできる。他の実施形態や変更例は、添付の請求項によって定義する本発明の範囲内にある。
【図面の簡単な説明】
【０６１２】
【図１】両先行技術の暗号化方式と本発明のいくつかの実施形態と共に使用するのに適したシステムのブロック図を示す。
【図２】先行技術の暗号化方式のフローチャートを示す。
【図３】先行技術の復号化方式のフローチャートを示す。
【図４】先行技術の署名方式のフローチャートを示す。
【図５】先行技術の署名検証方式のフローチャートを示す。
【図６】本発明のいくつかの実施形態による暗号化方式のフローチャートを示す。
【図７】本発明のいくつかの実施形態による復号化方式のフローチャートを示す。
【図８】本発明のいくつかの実施形態による署名方式のフローチャートを示す。
【図９】本発明のいくつかの実施形態による署名検証方式のフローチャートを示す。
【図１０】Ｆａｒｅｙ被覆及びＦａｒｅｙ分割を示す。
【図１１】本発明のいくつかの実施形態で用いる圧縮及び復元方式のいくつかの特徴を説明するグラフを示す。
【図１２】本発明のいくつかの実施形態による復元方式のフローチャートを示す。
【図１３】本発明のいくつかの実施形態による圧縮方式のフローチャートを示す。
【図１４】本発明のいくつかの実施形態によるサインクリプション方式のフローチャートを示す。
【図１５】本発明のいくつかの実施形態によるサインクリプション検証方式のフローチャートを示す。
【特許請求の範囲】
【請求項１】
（ｉ）少なくとも、第１の所定長に等しい長さの暗号文やより短い暗号文を少なくとも提供する暗号化方式か、（ｉｉ）少なくとも、前記第１の所定長に等しい長さのメッセージの署名やより短いメッセージの署名を検証する署名検証方式かのどちらかである第１の方式を用いて、暗号化又は署名検証を実行するためのコンピュータ方式であって、
該方式は、コンピュータシステムにより第１のメッセージについて前記暗号化又は前記検証を実行することを含み、
前記第１のメッセージについての前記暗号化又は検証は、
（１）前記第１のメッセージについて、（ｉ）前記第１の方式により、前記第１の所定長よりも短い暗号文に暗号化可能であるか、（ｉｉ）前記第１の所定長よりも短いメッセージのみの署名を含むかのどちらかである、所定のメッセージ集合内の第１の中間メッセージを決定し、
（２）前記第１の方式を適用して、前記第１の方式により、前記第１の中間メッセージについて暗号化又は署名検証を実行することを含み、
前記メッセージの全ては、所定の合成法Ｎを法とする整数として表すことができ、
前記演算（２）は、Ｎを法とする前記第１の中間メッセージから得られる数の平方数を計算することを含むことを特徴とするコンピュータ方式。
【請求項２】
前記法Ｎは、２つの素数の積であることを特徴とする請求項１に記載の方式。
【請求項３】
前記第１のメッセージは、前記第１の所定長よりも短いことを特徴とする請求項１に記載の方式。
【請求項４】
前記第１のメッセージは、全てが数ｈ″の長さ以下の長さのメッセージである複数の第１のメッセージの１つであり、前記ｈ″の長さは、前記第１の所定長よりも短く、前記演算（１）及び（２）は、異なる第１のメッセージを異なるメッセージに変換する変換を形成することを特徴とする請求項３に記載の方式。
【請求項５】
前記メッセージの全ては、整数として表すことができ、
前記演算（１）は、
（１Ａ）前記第１のメッセージを、所定の区間有限集合内の区間（「第１の中間メッセージ区間」）に対応付け、
（１Ｂ）前記第１の中間メッセージを、前記第１の中間メッセージ区間内の整数となるように選択することを特徴とする請求項１に記載の方式。
【請求項６】
前記演算（１Ａ）は、前記所定の区間有限集合内の区間にメッセージを対応付ける対応付け方式を用いて、前記第１のメッセージを対応付け、
前記対応付け方式は、少なくともいくつかの異なるメッセージを同一区間に対応付けることができることを特徴とする請求項５に記載の方式。
【請求項７】
前記区間は、Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間であることを特徴とする請求項５に記載の方式。
【請求項８】
前記演算（２）は、所定の法Ｎを法とする前記第１の中間メッセージから得られる数の平方数を計算することを含み、
前記平方数は、（ｈ，ｈ′），［ｈ，ｈ′］，（ｈ，ｈ′），［ｈ，ｈ′］の１つである所定の区間Ｑ内にあり、
ｈ及びｈ′は、所定の数であり、
前記Ｆａｒｅｙ区間又は前記Ｆａｒｅｙ分割区間は、整数に丸められるオーダー
【数１】
の区間［０，Ｎ／２）に関するものであることを特徴とする請求項７に記載の方式。
【請求項９】
ｈ′−ｈ＜８Ｎ２／３＋１であることを特徴とする請求項８に記載の方式。
【請求項１０】
前記第１のメッセージは、
【数２】
以下の数であることを特徴とする請求項９に記載の方式。
【請求項１１】
前記演算(２)は、前記第１のメッセージ又は前記第１のメッセージにエンコードされたメッセージの前記暗号化を実行し、
前記演算(２)は、暗号文を提供し、
前記方式は、少なくとも、第２の所定長に等しい長さのメッセージやより短いメッセージに署名する署名方式を用いて、前記暗号文に署名することをさらに含み、
前記署名演算は、
（３）前記署名方式を、前記暗号文又は前記暗号文から得られるメッセージに適用して、第２の中間メッセージを取得し、
（４）前記第２の中間メッセージについて、前記第２の所定長よりも短い署名メッセージを決定することを含むことを特徴とする請求項１に記載の方式。
【請求項１２】
前記演算（２）は、前記署名検証を実行し、
前記演算（２）は、その署名が前記第１のメッセージであるメッセージＭ１を提供し、
前記方式は、少なくとも、第２の所定長に等しい長さの暗号文やより短い暗号文を復号化する復号化方式を用いて、前記メッセージＭ１を復号化することをさらに含み、
前記メッセージＭ１は、前記第２の所定長以下の長さのメッセージの所定の真部分値域内にあり、
前記復号化演算は、
（３）前記復号化方式を前記メッセージＭ１又は前記メッセージＭ１から得られるメッセージに適用して、第２の中間メッセージを取得し、
（４）前記第２の中間メッセージについて、前記第２の所定長よりも短い第２のメッセージを決定することを含むことを特徴とする請求項１に記載の方式。
【請求項１３】
前記演算(２)は、署名検証を実行し、
前記第１のメッセージは、第２のメッセージの署名であるか、前記第２のメッセージの前記署名から得られるものであり、
前記方式は、前記演算(１)の前に、少なくとも、第２の所定長に等しい長さのメッセージやより短いメッセージについて、メッセージをそれらの署名から取得する第２の方式を用いて、前記第２のメッセージから前記第１のメッセージを取得することをさらに含み、
前記第１のメッセージを取得することは、
（３）前記第２のメッセージから得られるメッセージについて、前記第２の所定長以下であるメッセージのみの署名を含む所定のメッセージ集合内の第２の中間メッセージを決定し、
（４）前記第２の方式を前記第２の中間メッセージに適用することを含むことを特徴とする請求項１に記載の方式。
【請求項１４】
前記演算(２)はリング署名検証を実行し、前記第１のメッセージは複数の構成要素を含むリング署名を形成し、
前記演算（１）は、前記構成要素ごとに、所定長よりも短いメッセージのみの署名を含む所定の各メッセージ集合内の各第１の中間メッセージを決定することを含むことを特徴とする請求項１に記載の方式。
【請求項１５】
（ｉ）少なくとも、第１の所定長に等しい長さの暗号文やより短い暗号文を復号化する復号化方式か、（ｉｉ）少なくとも、前記第１の所定長に等しい長さのメッセージやより短いメッセージに署名する署名方式かのどちらかである第１の方式を用いて、復号化又は署名生成を実行するためのコンピュータ方式であって、 該方式は、コンピュータシステムによりメッセージＭ１について前記復号化又は前記署名生成を実行することを含み、
前記メッセージＭ１は、前記第１の所定長以下の長さのメッセージの所定の真部分値域内にあり、
前記復号化又は前記署名生成は、
（１）前記第１の方式を前記メッセージＭ１に適用して、第１の中間メッセージを取得し、
（２）前記第１の中間メッセージについて、前記第１の所定長よりも短い第１のメッセージを決定することを含み、
前記メッセージの全ては、所定の合成法Ｎを法とする整数として表すことができ、前記演算（１）は、Ｎを法とする前記メッセージＭ１から得られる数の平方根を計算することを含むことを特徴とするコンピュータ方式。
【請求項１６】
前記法は、２つの素数の積であることを特徴とする請求項１５に記載の方式。
【請求項１７】
前記メッセージの全ては、整数として表すことができ、
前記演算(２)は、
（２Ａ）前記第１の中間メッセージを、所定の区間有限集合内の区間（「第１のメッセージ区間」）に対応付け、
（２Ｂ）前記第１のメッセージを前記第１のメッセージ区間内の整数となるように選択することを含むことを特徴とする請求項１５に記載の方式。
【請求項１８】
前記演算(２Ａ)は、前記所定の区間有限集合内の区間にメッセージを対応付ける対応付け方式を用いて、前記第１の中間メッセージを対応付け、
前記対応付け方式は、異なるメッセージを同一区間に対応付けることができることを特徴とする請求項１７に記載の方式。
【請求項１９】
前記区間は、所定の写像下のＦａｒｅｙ区間又はＦａｒｅｙ分割区間の像であることを特徴とする請求項１７に記載の方式。
【請求項２０】
前記所定の写像は、線形であることを特徴とする請求項１９に記載の方式。
【請求項２１】
前記演算(１)は、所定の法Ｎを法とする前記メッセージＭ１から得られる数の平方根を計算することを含み、
前記メッセージＭ１は、（ｈ，ｈ′），［ｈ，ｈ′］，（ｈ，ｈ′），［ｈ，ｈ′］の１つである所定の区間Ｑ内にあり、
ｈ及びｈ′は、所定の数であり、
前記Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間は、整数に丸められるオーダー
【数３】
の区間［０，Ｎ／２）に関するものであることを特徴とする請求項２０に記載の方式。
【請求項２２】
ｈ′−ｈ＜８Ｎ２／３＋１であることを特徴とする請求項２１に記載の方式。
【請求項２３】
前記第１のメッセージは、
【数４】
以下の数であることを特徴とする請求項２２に記載の方式。
【請求項２４】
前記演算（１）は、署名生成を実行し、
前記第１の中間メッセージは、署名であり、
前記方式は、少なくとも、第２の所定長に等しい長さの暗号文やより短い暗号文を提供する暗号化方式である第２の方式を用いて暗号化を実行することをさらに含み、
前記暗号化は、
（３）前記第１のメッセージから得られるメッセージについて、前記第２の方式により、前記第２の所定長よりも短い暗号文に暗号化可能である所定のメッセージ集合内の第２の中間メッセージを決定し、
（４）前記第２の方式を適用して、前記第２の方式により前記第２の中間メッセージについて暗号化を実行することを含むことを特徴とする請求項１５に記載の方式。
【請求項２５】
前記演算(１)は、復号化を実行し、
前記方式は、少なくとも、第２の所定長に等しい長さのメッセージの署名やより短いメッセージの署名を検証する署名検証方式である第２の方式を用いて署名検証を実行することをさらに含み、
前記方式は、コンピュータシステムにより前記第１のメッセージについて前記検証を実行することを含み、
前記第１のメッセージについての前記検証は、
（３）前記第１のメッセージから得られるメッセージについて、前記第２の所定長よりも短いメッセージのみの署名を含む所定のメッセージ集合内の第２の中間メッセージを決定し、
（４）前記第２の方式を適用して、前記第２の方式により前記第２の中間メッセージについて署名検証を実行することを含むことを特徴とする請求項１５に記載の方式。
【請求項２６】
前記演算（１）は、署名生成を実行し、
前記第１の中間メッセージは、第１の署名であり、
前記方式は、少なくとも、第２の所定長に等しい長さのメッセージやより短いメッセージに署名する第２の方式を用いて前記第１のメッセージに署名することをさらに含み、
前記第１のメッセージに署名することは、
（３）前記第１のメッセージ又は前記第１のメッセージから得られるメッセージに前記第２の方式を適用して、第２の中間メッセージを取得し、
（４）前記第２の中間メッセージについて、前記第２の所定長よりも短い署名メッセージを決定することを含むことを特徴とする請求項１５に記載の方式。
【請求項２７】
前記演算(１)は、リング署名生成を実行し、
前記第１の中間メッセージは、複数の構成要素を含む署名を形成し、
前記演算(２)は、前記構成要素ごとに、前記構成要素に対応する所定長よりも短いメッセージを決定することを含むことを特徴とする請求項１５に記載の方式。
【請求項２８】
所定の合成法Ｎを法とする整数として表すことができる第１のメッセージについて、Ｎを法とする前記整数の全ての集合ＺＮの所定の真部分値域内に、Ｎを法とする平方数が存在するメッセージ集合内の第２のメッセージを決定するためのコンピュータ方式であって、
前記第１のメッセージを前記第２のメッセージに写像することは、
（１）前記第１のメッセージを、所定の区間有限集合内の区間（「第２のメッセージ区間」）に対応付け、
（２）前記第２のメッセージを前記第２のメッセージ区間内の整数となるように選択することを含むことを特徴とするコンピュータ方式。
【請求項２９】
前記法は、２つの素数の積であることを特徴とする請求項２８に記載の方式。
【請求項３０】
前記第１のメッセージは、全てが数ｈ″以下の長さの複数のメッセージの１つであり、
前記数ｈ″は、Ｎよりも小さいことを特徴とする請求項２８に記載の方式。
【請求項３１】
前記区間は、Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間であることを特徴とする請求項２８に記載の方式。
【請求項３２】
前記所定の真部分値域は、（ｈ，ｈ′），［ｈ，ｈ′］，（ｈ，ｈ′），［ｈ，ｈ′］の１つであり、
ｈ及びｈ′は、所定の数であり、
前記Ｆａｒｅｙ区間又は前記Ｆａｒｅｙ分割区間は、整数に丸められるオーダー
【数５】
の区間［０，Ｎ／２）に関するものであることを特徴とする請求項２８に記載の方式。
【請求項３３】
ｈ′−ｈ＜８Ｎ２／３＋１であることを特徴とする請求項３２に記載の方式。
【請求項３４】
前記第１のメッセージは、
【数６】
以下の数であることを特徴とする請求項３３に記載の方式。
【請求項３５】
Ｎを法とする前記第２のメッセージを２乗して、前記第１のメッセージ又は前記第１のメッセージにエンコードされたメッセージを暗号化することをさらに含むことを特徴とする請求項２８に記載の方式。
【請求項３６】
前記第１のメッセージは、署名又は署名のエンコードを表し、
前記方式は、Ｎを法とする前記第２のメッセージを２乗して前記署名を検証することをさらに含むことを特徴とする請求項２８に記載の方式。
【請求項３７】
所定の合成法Ｎを法とする整数として表すことができる第１のメッセージを、Ｎを法とする前記整数の全ての集合ＺＮの所定の真部分値域内に、Ｎを法とする平方数が存在するメッセージ集合内の第２のメッセージから取得するためのコンピュータ方式であって、
前記方式は、
（１）前記第２のメッセージを、所定の区間有限集合内の区間（「第１のメッセージ区間」）に対応付け、
（２）前記第１のメッセージを前記第１のメッセージ区間内の整数となるように選択することを含むことを特徴とするコンピュータ方式。
【請求項３８】
前記法は、２つの素数の積であることを特徴とする請求項３７に記載の方式。
【請求項３９】
前記第１のメッセージは、全てが数ｈ″の長さ以下の長さの複数のメッセージの１つであり、
前記数ｈ″は、Ｎよりも小さいことを特徴とする請求項３７に記載の方式。
【請求項４０】
前記区間は、Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間であることを特徴とする請求項３７に記載の方式。
【請求項４１】
前記所定の真部分値域は、（ｈ，ｈ′），［ｈ，ｈ′］，（ｈ，ｈ′），［ｈ，ｈ′］の１つであり、
ｈ及びｈ′は、所定の数であり、
前記Ｆａｒｅｙ区間又は前記Ｆａｒｅｙ分割区間は、整数に丸められるオーダー
【数７】
の区間［０，Ｎ／２）に関するものであることを特徴とする請求項４０に記載の方式。
【請求項４２】
ｈ′−ｈ＜８Ｎ２／３＋１であることを特徴とする請求項４１に記載の方式。
【請求項４３】
前記第１のメッセージは、
【数８】
以下の数であることを特徴とする請求項４２に記載の方式。
【請求項４４】
第３のメッセージのＮを法とする平方根を計算して、前記第２のメッセージを計算することをさらに含み、
前記第３のメッセージは、前記第１のメッセージ又は前記第１のメッセージにエンコードされたメッセージに対応する暗号文であることを特徴とする請求項３７に記載の方式。
【請求項４５】
第３のメッセージ又は前記第３のメッセージから得られるメッセージのＮを法とする平方根を計算して、前記第２のメッセージを取得することをさらに含み、
前記第１のメッセージは、前記第３のメッセージ又は前記第３のメッセージにエンコードされたメッセージに対応する署名であることを特徴とする請求項３７に記載の方式。
【請求項４６】
請求項１に記載の方式を実行するためのコンピュータシステム。
【請求項４７】
請求項１に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とするコンピュータ可読媒体。
【請求項４８】
請求項１に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とする物理的信号。
【請求項４９】
請求項１５に記載の方式を実行するためのコンピュータシステム。
【請求項５０】
請求項１５に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とするコンピュータ可読媒体。
【請求項５１】
請求項１５に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とする物理的信号。
【請求項５２】
請求項２８に記載の方式を実行するためのコンピュータシステム。
【請求項５３】
請求項２８に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とするコンピュータ可読媒体。
【請求項５４】
請求項２８に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とする物理的信号。
【請求項５５】
請求項３７に記載の方式を実行するためのコンピュータシステム。
【請求項５６】
請求項３７に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とするコンピュータ可読媒体。
【請求項５７】
請求項３７に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とする物理的信号。
【請求項１】
（ｉ）少なくとも、第１の所定長に等しい長さの暗号文やより短い暗号文を少なくとも提供する暗号化方式か、（ｉｉ）少なくとも、前記第１の所定長に等しい長さのメッセージの署名やより短いメッセージの署名を検証する署名検証方式かのどちらかである第１の方式を用いて、暗号化又は署名検証を実行するためのコンピュータ方式であって、
該方式は、コンピュータシステムにより第１のメッセージについて前記暗号化又は前記検証を実行することを含み、
前記第１のメッセージについての前記暗号化又は検証は、
（１）前記第１のメッセージについて、（ｉ）前記第１の方式により、前記第１の所定長よりも短い暗号文に暗号化可能であるか、（ｉｉ）前記第１の所定長よりも短いメッセージのみの署名を含むかのどちらかである、所定のメッセージ集合内の第１の中間メッセージを決定し、
（２）前記第１の方式を適用して、前記第１の方式により、前記第１の中間メッセージについて暗号化又は署名検証を実行することを含み、
前記メッセージの全ては、所定の合成法Ｎを法とする整数として表すことができ、
前記演算（２）は、Ｎを法とする前記第１の中間メッセージから得られる数の平方数を計算することを含むことを特徴とするコンピュータ方式。
【請求項２】
前記法Ｎは、２つの素数の積であることを特徴とする請求項１に記載の方式。
【請求項３】
前記第１のメッセージは、前記第１の所定長よりも短いことを特徴とする請求項１に記載の方式。
【請求項４】
前記第１のメッセージは、全てが数ｈ″の長さ以下の長さのメッセージである複数の第１のメッセージの１つであり、前記ｈ″の長さは、前記第１の所定長よりも短く、前記演算（１）及び（２）は、異なる第１のメッセージを異なるメッセージに変換する変換を形成することを特徴とする請求項３に記載の方式。
【請求項５】
前記メッセージの全ては、整数として表すことができ、
前記演算（１）は、
（１Ａ）前記第１のメッセージを、所定の区間有限集合内の区間（「第１の中間メッセージ区間」）に対応付け、
（１Ｂ）前記第１の中間メッセージを、前記第１の中間メッセージ区間内の整数となるように選択することを特徴とする請求項１に記載の方式。
【請求項６】
前記演算（１Ａ）は、前記所定の区間有限集合内の区間にメッセージを対応付ける対応付け方式を用いて、前記第１のメッセージを対応付け、
前記対応付け方式は、少なくともいくつかの異なるメッセージを同一区間に対応付けることができることを特徴とする請求項５に記載の方式。
【請求項７】
前記区間は、Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間であることを特徴とする請求項５に記載の方式。
【請求項８】
前記演算（２）は、所定の法Ｎを法とする前記第１の中間メッセージから得られる数の平方数を計算することを含み、
前記平方数は、（ｈ，ｈ′），［ｈ，ｈ′］，（ｈ，ｈ′），［ｈ，ｈ′］の１つである所定の区間Ｑ内にあり、
ｈ及びｈ′は、所定の数であり、
前記Ｆａｒｅｙ区間又は前記Ｆａｒｅｙ分割区間は、整数に丸められるオーダー
【数１】
の区間［０，Ｎ／２）に関するものであることを特徴とする請求項７に記載の方式。
【請求項９】
ｈ′−ｈ＜８Ｎ２／３＋１であることを特徴とする請求項８に記載の方式。
【請求項１０】
前記第１のメッセージは、
【数２】
以下の数であることを特徴とする請求項９に記載の方式。
【請求項１１】
前記演算(２)は、前記第１のメッセージ又は前記第１のメッセージにエンコードされたメッセージの前記暗号化を実行し、
前記演算(２)は、暗号文を提供し、
前記方式は、少なくとも、第２の所定長に等しい長さのメッセージやより短いメッセージに署名する署名方式を用いて、前記暗号文に署名することをさらに含み、
前記署名演算は、
（３）前記署名方式を、前記暗号文又は前記暗号文から得られるメッセージに適用して、第２の中間メッセージを取得し、
（４）前記第２の中間メッセージについて、前記第２の所定長よりも短い署名メッセージを決定することを含むことを特徴とする請求項１に記載の方式。
【請求項１２】
前記演算（２）は、前記署名検証を実行し、
前記演算（２）は、その署名が前記第１のメッセージであるメッセージＭ１を提供し、
前記方式は、少なくとも、第２の所定長に等しい長さの暗号文やより短い暗号文を復号化する復号化方式を用いて、前記メッセージＭ１を復号化することをさらに含み、
前記メッセージＭ１は、前記第２の所定長以下の長さのメッセージの所定の真部分値域内にあり、
前記復号化演算は、
（３）前記復号化方式を前記メッセージＭ１又は前記メッセージＭ１から得られるメッセージに適用して、第２の中間メッセージを取得し、
（４）前記第２の中間メッセージについて、前記第２の所定長よりも短い第２のメッセージを決定することを含むことを特徴とする請求項１に記載の方式。
【請求項１３】
前記演算(２)は、署名検証を実行し、
前記第１のメッセージは、第２のメッセージの署名であるか、前記第２のメッセージの前記署名から得られるものであり、
前記方式は、前記演算(１)の前に、少なくとも、第２の所定長に等しい長さのメッセージやより短いメッセージについて、メッセージをそれらの署名から取得する第２の方式を用いて、前記第２のメッセージから前記第１のメッセージを取得することをさらに含み、
前記第１のメッセージを取得することは、
（３）前記第２のメッセージから得られるメッセージについて、前記第２の所定長以下であるメッセージのみの署名を含む所定のメッセージ集合内の第２の中間メッセージを決定し、
（４）前記第２の方式を前記第２の中間メッセージに適用することを含むことを特徴とする請求項１に記載の方式。
【請求項１４】
前記演算(２)はリング署名検証を実行し、前記第１のメッセージは複数の構成要素を含むリング署名を形成し、
前記演算（１）は、前記構成要素ごとに、所定長よりも短いメッセージのみの署名を含む所定の各メッセージ集合内の各第１の中間メッセージを決定することを含むことを特徴とする請求項１に記載の方式。
【請求項１５】
（ｉ）少なくとも、第１の所定長に等しい長さの暗号文やより短い暗号文を復号化する復号化方式か、（ｉｉ）少なくとも、前記第１の所定長に等しい長さのメッセージやより短いメッセージに署名する署名方式かのどちらかである第１の方式を用いて、復号化又は署名生成を実行するためのコンピュータ方式であって、 該方式は、コンピュータシステムによりメッセージＭ１について前記復号化又は前記署名生成を実行することを含み、
前記メッセージＭ１は、前記第１の所定長以下の長さのメッセージの所定の真部分値域内にあり、
前記復号化又は前記署名生成は、
（１）前記第１の方式を前記メッセージＭ１に適用して、第１の中間メッセージを取得し、
（２）前記第１の中間メッセージについて、前記第１の所定長よりも短い第１のメッセージを決定することを含み、
前記メッセージの全ては、所定の合成法Ｎを法とする整数として表すことができ、前記演算（１）は、Ｎを法とする前記メッセージＭ１から得られる数の平方根を計算することを含むことを特徴とするコンピュータ方式。
【請求項１６】
前記法は、２つの素数の積であることを特徴とする請求項１５に記載の方式。
【請求項１７】
前記メッセージの全ては、整数として表すことができ、
前記演算(２)は、
（２Ａ）前記第１の中間メッセージを、所定の区間有限集合内の区間（「第１のメッセージ区間」）に対応付け、
（２Ｂ）前記第１のメッセージを前記第１のメッセージ区間内の整数となるように選択することを含むことを特徴とする請求項１５に記載の方式。
【請求項１８】
前記演算(２Ａ)は、前記所定の区間有限集合内の区間にメッセージを対応付ける対応付け方式を用いて、前記第１の中間メッセージを対応付け、
前記対応付け方式は、異なるメッセージを同一区間に対応付けることができることを特徴とする請求項１７に記載の方式。
【請求項１９】
前記区間は、所定の写像下のＦａｒｅｙ区間又はＦａｒｅｙ分割区間の像であることを特徴とする請求項１７に記載の方式。
【請求項２０】
前記所定の写像は、線形であることを特徴とする請求項１９に記載の方式。
【請求項２１】
前記演算(１)は、所定の法Ｎを法とする前記メッセージＭ１から得られる数の平方根を計算することを含み、
前記メッセージＭ１は、（ｈ，ｈ′），［ｈ，ｈ′］，（ｈ，ｈ′），［ｈ，ｈ′］の１つである所定の区間Ｑ内にあり、
ｈ及びｈ′は、所定の数であり、
前記Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間は、整数に丸められるオーダー
【数３】
の区間［０，Ｎ／２）に関するものであることを特徴とする請求項２０に記載の方式。
【請求項２２】
ｈ′−ｈ＜８Ｎ２／３＋１であることを特徴とする請求項２１に記載の方式。
【請求項２３】
前記第１のメッセージは、
【数４】
以下の数であることを特徴とする請求項２２に記載の方式。
【請求項２４】
前記演算（１）は、署名生成を実行し、
前記第１の中間メッセージは、署名であり、
前記方式は、少なくとも、第２の所定長に等しい長さの暗号文やより短い暗号文を提供する暗号化方式である第２の方式を用いて暗号化を実行することをさらに含み、
前記暗号化は、
（３）前記第１のメッセージから得られるメッセージについて、前記第２の方式により、前記第２の所定長よりも短い暗号文に暗号化可能である所定のメッセージ集合内の第２の中間メッセージを決定し、
（４）前記第２の方式を適用して、前記第２の方式により前記第２の中間メッセージについて暗号化を実行することを含むことを特徴とする請求項１５に記載の方式。
【請求項２５】
前記演算(１)は、復号化を実行し、
前記方式は、少なくとも、第２の所定長に等しい長さのメッセージの署名やより短いメッセージの署名を検証する署名検証方式である第２の方式を用いて署名検証を実行することをさらに含み、
前記方式は、コンピュータシステムにより前記第１のメッセージについて前記検証を実行することを含み、
前記第１のメッセージについての前記検証は、
（３）前記第１のメッセージから得られるメッセージについて、前記第２の所定長よりも短いメッセージのみの署名を含む所定のメッセージ集合内の第２の中間メッセージを決定し、
（４）前記第２の方式を適用して、前記第２の方式により前記第２の中間メッセージについて署名検証を実行することを含むことを特徴とする請求項１５に記載の方式。
【請求項２６】
前記演算（１）は、署名生成を実行し、
前記第１の中間メッセージは、第１の署名であり、
前記方式は、少なくとも、第２の所定長に等しい長さのメッセージやより短いメッセージに署名する第２の方式を用いて前記第１のメッセージに署名することをさらに含み、
前記第１のメッセージに署名することは、
（３）前記第１のメッセージ又は前記第１のメッセージから得られるメッセージに前記第２の方式を適用して、第２の中間メッセージを取得し、
（４）前記第２の中間メッセージについて、前記第２の所定長よりも短い署名メッセージを決定することを含むことを特徴とする請求項１５に記載の方式。
【請求項２７】
前記演算(１)は、リング署名生成を実行し、
前記第１の中間メッセージは、複数の構成要素を含む署名を形成し、
前記演算(２)は、前記構成要素ごとに、前記構成要素に対応する所定長よりも短いメッセージを決定することを含むことを特徴とする請求項１５に記載の方式。
【請求項２８】
所定の合成法Ｎを法とする整数として表すことができる第１のメッセージについて、Ｎを法とする前記整数の全ての集合ＺＮの所定の真部分値域内に、Ｎを法とする平方数が存在するメッセージ集合内の第２のメッセージを決定するためのコンピュータ方式であって、
前記第１のメッセージを前記第２のメッセージに写像することは、
（１）前記第１のメッセージを、所定の区間有限集合内の区間（「第２のメッセージ区間」）に対応付け、
（２）前記第２のメッセージを前記第２のメッセージ区間内の整数となるように選択することを含むことを特徴とするコンピュータ方式。
【請求項２９】
前記法は、２つの素数の積であることを特徴とする請求項２８に記載の方式。
【請求項３０】
前記第１のメッセージは、全てが数ｈ″以下の長さの複数のメッセージの１つであり、
前記数ｈ″は、Ｎよりも小さいことを特徴とする請求項２８に記載の方式。
【請求項３１】
前記区間は、Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間であることを特徴とする請求項２８に記載の方式。
【請求項３２】
前記所定の真部分値域は、（ｈ，ｈ′），［ｈ，ｈ′］，（ｈ，ｈ′），［ｈ，ｈ′］の１つであり、
ｈ及びｈ′は、所定の数であり、
前記Ｆａｒｅｙ区間又は前記Ｆａｒｅｙ分割区間は、整数に丸められるオーダー
【数５】
の区間［０，Ｎ／２）に関するものであることを特徴とする請求項２８に記載の方式。
【請求項３３】
ｈ′−ｈ＜８Ｎ２／３＋１であることを特徴とする請求項３２に記載の方式。
【請求項３４】
前記第１のメッセージは、
【数６】
以下の数であることを特徴とする請求項３３に記載の方式。
【請求項３５】
Ｎを法とする前記第２のメッセージを２乗して、前記第１のメッセージ又は前記第１のメッセージにエンコードされたメッセージを暗号化することをさらに含むことを特徴とする請求項２８に記載の方式。
【請求項３６】
前記第１のメッセージは、署名又は署名のエンコードを表し、
前記方式は、Ｎを法とする前記第２のメッセージを２乗して前記署名を検証することをさらに含むことを特徴とする請求項２８に記載の方式。
【請求項３７】
所定の合成法Ｎを法とする整数として表すことができる第１のメッセージを、Ｎを法とする前記整数の全ての集合ＺＮの所定の真部分値域内に、Ｎを法とする平方数が存在するメッセージ集合内の第２のメッセージから取得するためのコンピュータ方式であって、
前記方式は、
（１）前記第２のメッセージを、所定の区間有限集合内の区間（「第１のメッセージ区間」）に対応付け、
（２）前記第１のメッセージを前記第１のメッセージ区間内の整数となるように選択することを含むことを特徴とするコンピュータ方式。
【請求項３８】
前記法は、２つの素数の積であることを特徴とする請求項３７に記載の方式。
【請求項３９】
前記第１のメッセージは、全てが数ｈ″の長さ以下の長さの複数のメッセージの１つであり、
前記数ｈ″は、Ｎよりも小さいことを特徴とする請求項３７に記載の方式。
【請求項４０】
前記区間は、Ｆａｒｅｙ区間又はＦａｒｅｙ分割区間であることを特徴とする請求項３７に記載の方式。
【請求項４１】
前記所定の真部分値域は、（ｈ，ｈ′），［ｈ，ｈ′］，（ｈ，ｈ′），［ｈ，ｈ′］の１つであり、
ｈ及びｈ′は、所定の数であり、
前記Ｆａｒｅｙ区間又は前記Ｆａｒｅｙ分割区間は、整数に丸められるオーダー
【数７】
の区間［０，Ｎ／２）に関するものであることを特徴とする請求項４０に記載の方式。
【請求項４２】
ｈ′−ｈ＜８Ｎ２／３＋１であることを特徴とする請求項４１に記載の方式。
【請求項４３】
前記第１のメッセージは、
【数８】
以下の数であることを特徴とする請求項４２に記載の方式。
【請求項４４】
第３のメッセージのＮを法とする平方根を計算して、前記第２のメッセージを計算することをさらに含み、
前記第３のメッセージは、前記第１のメッセージ又は前記第１のメッセージにエンコードされたメッセージに対応する暗号文であることを特徴とする請求項３７に記載の方式。
【請求項４５】
第３のメッセージ又は前記第３のメッセージから得られるメッセージのＮを法とする平方根を計算して、前記第２のメッセージを取得することをさらに含み、
前記第１のメッセージは、前記第３のメッセージ又は前記第３のメッセージにエンコードされたメッセージに対応する署名であることを特徴とする請求項３７に記載の方式。
【請求項４６】
請求項１に記載の方式を実行するためのコンピュータシステム。
【請求項４７】
請求項１に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とするコンピュータ可読媒体。
【請求項４８】
請求項１に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とする物理的信号。
【請求項４９】
請求項１５に記載の方式を実行するためのコンピュータシステム。
【請求項５０】
請求項１５に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とするコンピュータ可読媒体。
【請求項５１】
請求項１５に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とする物理的信号。
【請求項５２】
請求項２８に記載の方式を実行するためのコンピュータシステム。
【請求項５３】
請求項２８に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とするコンピュータ可読媒体。
【請求項５４】
請求項２８に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とする物理的信号。
【請求項５５】
請求項３７に記載の方式を実行するためのコンピュータシステム。
【請求項５６】
請求項３７に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とするコンピュータ可読媒体。
【請求項５７】
請求項３７に記載の方式を実行することができる１つ又は複数のコンピュータ命令を含むことを特徴とする物理的信号。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０Ａ】
【図１０Ｂ】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０Ａ】
【図１０Ｂ】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公表番号】特表２００７−５１０３８０（Ｐ２００７−５１０３８０Ａ）
【公表日】平成１９年４月１９日（２００７．４．１９）
【国際特許分類】
【出願番号】特願２００６−５３８３３０（Ｐ２００６−５３８３３０）
【出願日】平成１６年１０月２９日（２００４．１０．２９）
【国際出願番号】ＰＣＴ／ＵＳ２００４／０３６０５３
【国際公開番号】ＷＯ２００５／０４３３２６
【国際公開日】平成１７年５月１２日（２００５．５．１２）
【出願人】（３９２０２６６９３）株式会社エヌ・ティ・ティ・ドコモ (5,876)
【Ｆターム（参考）】
【公表日】平成１９年４月１９日（２００７．４．１９）
【国際特許分類】
【出願日】平成１６年１０月２９日（２００４．１０．２９）
【国際出願番号】ＰＣＴ／ＵＳ２００４／０３６０５３
【国際公開番号】ＷＯ２００５／０４３３２６
【国際公開日】平成１７年５月１２日（２００５．５．１２）
【出願人】（３９２０２６６９３）株式会社エヌ・ティ・ティ・ドコモ (5,876)
【Ｆターム（参考）】
[ Back to top ]