情報処理装置、情報処理方法、及びプログラム
【課題】多次多変数多項式の係数を効率的に代入できるようにすること。
【解決手段】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、を備え、前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、情報処理装置が提供される。
【解決手段】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、を備え、前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、情報処理装置が提供される。
【発明の詳細な説明】
【技術分野】
【０００１】
本技術は、情報処理装置、情報処理方法、及びプログラムに関する。
【背景技術】
【０００２】
情報処理技術や通信技術の急速な発展に伴い、公文書、私文書を問わず、文書の電子化が急速に進んでいる。これに伴い、多くの個人や企業は、電子文書の安全管理に大きな関心を寄せている。こうした関心の高まりを受け、各方面で電子文書の盗聴や偽造等のタンパリング行為に対する対抗策が盛んに研究されるようになってきた。電子文書の盗聴に対しては、例えば、電子文書を暗号化することにより安全性が確保される。また、電子文書の偽造に対しては、例えば、電子署名を利用することにより安全性が確保される。但し、利用する暗号や電子署名が高いタンパリング耐性を有していなければ、十分な安全性が保証されない。
【０００３】
電子署名は、電子文書の作成者を特定するために利用される。そのため、電子署名は、電子文書の作成者しか生成できないようにすべきである。仮に、悪意ある第三者が同じ電子署名を生成できてしまうと、その第三者が電子文書の作成者に成りすますことができてしまう。つまり、悪意ある第三者により電子文書が偽造されてしまう。こうした偽造を防止するため、電子署名の安全性については様々な議論が交わされてきた。現在広く利用されている電子署名方式としては、例えば、ＲＳＡ署名方式やＤＳＡ署名方式などが知られている。
【０００４】
ＲＳＡ署名方式は、「大きな合成数に対する素因数分解の困難性（以下、素因数分解問題）」を安全性の根拠とする。また、ＤＳＡ署名方式は、「離散対数問題に対する解の導出の困難性」を安全性の根拠とする。これらの根拠は、古典的なコンピュータを利用して素因数分解問題や離散対数問題を効率的に解くアルゴリズムが存在しないことに起因する。つまり、上記の困難性は、古典的なコンピュータにおける計算量的な困難性を意味する。しかしながら、量子コンピュータを用いると、素因数分解問題や離散対数問題に対する解答が効率的に算出されてしまうと言われている。
【０００５】
現在利用されている電子署名方式や公開鍵認証方式の多くは、ＲＳＡ署名方式やＤＳＡ署名方式と同様、素因数分解問題や離散対数問題の困難性に安全性の根拠をおいている。そのため、こうした電子署名方式や公開鍵認証方式は、量子コンピュータが実用化された場合に、その安全性が確保されないことになる。そこで、素因数分解問題や離散対数問題など、量子コンピュータにより容易に解かれてしまう問題とは異なる問題に安全性の根拠をおく新たな電子署名方式及び公開鍵認証方式の実現が求められている。量子コンピュータにより容易に解くことが難しい問題としては、例えば、多変数多項式問題がある。
【０００６】
多変数多項式問題に安全性の根拠をおく電子署名方式としては、例えば、ＭＩ（Ｍａｔｓｕｍｏｔｏ−Ｉｍａｉ ｃｒｙｐｔｏｇｒａｐｈｙ）、ＨＦＥ（Ｈｉｄｄｅｎ Ｆｉｅｌｄ Ｅｑｕａｔｉｏｎ ｃｒｙｐｔｏｇｒａｐｈｙ）、ＯＶ（Ｏｉｌ−Ｖｉｎｅｇａｒ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ）、ＴＴＭ（Ｔａｍｅｄ Ｔｒａｎｓｆｏｒｍａｔｉｏｎ Ｍｅｔｈｏｄ ｃｒｙｐｔｏｇｒａｐｈｙ）に基づく方式が知られている。例えば、下記の非特許文献１、２には、ＨＦＥに基づく電子署名方式が開示されている。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】Ｊａｃｑｕｅｓ Ｐａｔａｒｉｎ Ａｓｙｍｍｅｔｒｉｃ Ｃｒｙｐｔｏｇｒａｐｈｙ ｗｉｔｈ ａ Ｈｉｄｄｅｎ Ｍｏｎｏｍｉａｌ． ＣＲＹＰＴＯ １９９６， ｐｐ．４５−６０．
【非特許文献２】Ｐａｔａｒｉｎ， Ｊ．， Ｃｏｕｒｔｏｉｓ， Ｎ．， ａｎｄ Ｇｏｕｂｉｎ， Ｌ． ＱＵＡＲＴＺ， １２８−Ｂｉｔ Ｌｏｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ． Ｉｎ Ｎａｃｃａｃｈｅ，Ｄ．， Ｅｄ． Ｔｏｐｉｃｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ − ＣＴ−ＲＳＡ ２００１ （Ｓａｎ Ｆｒａｎｃｉｓｃｏ， ＣＡ， ＵＳＡ， Ａｐｒｉｌ ２００１）， ｖｏｌ． ２０２０ ｏｆ Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ．， ｐｐ．２８２−２９７．
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上記の通り、多変数多項式問題は、量子コンピュータを用いても解くことが困難なＮＰ困難問題と呼ばれる問題の一例である。通常、ＨＦＥなどに代表される多変数多項式問題を利用した公開鍵認証方式は、特殊なトラップドアが仕込まれた多次多変数連立方程式を利用している。例えば、ｘ１，…，ｘｎに関する多次多変数連立方程式Ｆ（ｘ１，…，ｘｎ）＝ｙと線形変換Ａ及びＢが用意され、線形変換Ａ及びＢが秘密に管理される。この場合、多次多変数連立方程式Ｆ、線形変換Ａ及びＢがトラップドアとなる。
【０００９】
トラップドアＦ，Ａ，Ｂを知っているエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ’を解くことができる。一方、トラップドアＦ，Ａ，Ｂを知らないエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ’を解くことができない。この仕組みを利用することにより、多次多変数連立方程式の解答困難性を安全性の根拠とする公開鍵認証方式や電子署名方式が実現される。
【００１０】
上記の通り、こうした公開鍵認証方式や電子署名方式を実現するには、Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙを満たすような特殊な多次多変数連立方程式を用意する必要がある。また、署名生成時に多次多変数連立方程式Ｆを解く必要がある。そのため、利用可能な多次多変数連立方程式Ｆは、比較的容易に解けるものに限られていた。すなわち、これまでの方式においては、比較的容易に解ける３つの関数（トラップドア）Ｂ、Ｆ、Ａを合成した形の多次多変数連立方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙしか用いることができず、十分な安全性を確保することが難しかった。
【００１１】
そこで、本件発明者は、上記の事情に鑑みて、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて高い安全性を有する効率的な公開鍵認証方式及び電子署名方式を考案した（Ｋｏｉｃｈｉ Ｓａｋｕｍｏｔｏ，Ｔａｉｚｏ Ｓｈｉｒａｉ ａｎｄ Ｈａｒｕｎａｇａ Ｈｉｗａｔａｒｉ，“Ｐｕｂｌｉｃ−Ｋｅｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｓｃｈｅｍｅｓ Ｂａｓｅｄ ｏｎ Ｍｕｌｔｉｖａｒｉａｔｅ Ｑｕａｄｒａｔｉｃ Ｐｏｌｙｎｏｍｉａｌｓ”，ＣＲＹＰＴＯ ２０１１，ＬＮＣＳ ６８４１，ｐｐ．７０６−７２３，２０１１．）。
【００１２】
しかし、この公開鍵認証方式及び電子署名方式で利用する多変数多項式は係数の数が多く、公開鍵として利用するには、証明者と検証者との間で効率的に係数を割り当てる方法を決めておく必要があった。本技術は、効率的に多変数多項式の係数を代入することが可能な、新規かつ改良された情報処理装置、情報処理方法、及びプログラムの提供を意図して考案されたものである。
【課題を解決するための手段】
【００１３】
本技術のある観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、を備え、前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、情報処理装置が提供される。
【００１４】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、を備え、前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、情報処理装置が提供される。
【００１５】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成部と、前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、を備える、情報処理装置が提供される。
【００１６】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、を含み、前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、情報処理方法が提供される。
【００１７】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、を含み、前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、情報処理方法が提供される。
【００１８】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成するステップと、前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、を含む、情報処理方法が提供される。
【００１９】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、をコンピュータに実現させるためのプログラムであり、前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、プログラムが提供される。
【００２０】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、をコンピュータに実現させるためのプログラムであり、前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、プログラムが提供される。
【００２１】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成機能と、前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、をコンピュータに実現させるためのプログラムが提供される。
【００２２】
また、本技術の別の観点によれば、上記のプログラムが記録された、コンピュータにより読み取り可能な記録媒体が提供される。
【発明の効果】
【００２３】
以上説明したように本技術によれば、効率的に多変数多項式の係数を代入することが可能になる。
【図面の簡単な説明】
【００２４】
【図１】公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。
【図２】電子署名方式に係るアルゴリズムの構成について説明するための説明図である。
【図３】ｎパスの公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。
【図４】３パスの公開鍵認証方式に係る効率的なアルゴリズムについて説明するための説明図である。
【図５】３パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。
【図６】３パスの公開鍵認証方式に係る効率的なアルゴリズムについて説明するための説明図である。
【図７】５パスの公開鍵認証方式に係る効率的なアルゴリズムの構成例について説明するための説明図である。
【図８】５パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。
【図９】５パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。
【図１０】３パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。
【図１１】５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。
【図１２】ハッシュ関数の構造例について説明するための説明図である。
【図１３】３パス方式に基づく電子署名方式に係る署名検証方法（通常の実装方法）について説明するための説明図である。
【図１４】３パス方式に基づく電子署名方式に係る署名検証方法（メモリ削減方法）について説明するための説明図である。
【図１５】５パス方式に基づく電子署名方式に係る署名検証方法（通常の実装方法）について説明するための説明図である。
【図１６】５パス方式に基づく電子署名方式に係る署名検証方法（メモリ削減方法）について説明するための説明図である。
【図１７】２進乱数から３進乱数を抽出する方法（抽出方法＃１）について説明するための説明図である。
【図１８】２進乱数から３進乱数を抽出する方法（抽出方法＃２）について説明するための説明図である。
【図１９】２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。
【図２０】２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。
【図２１】２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。
【図２２】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２３】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２４】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２５】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２６】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２７】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃２）について説明するための説明図である。
【図２８】本技術の各実施形態に係るアルゴリズムを実行することが可能な情報処理装置のハードウェア構成例について説明するための説明図である。
【発明を実施するための形態】
【００２５】
以下に添付図面を参照しながら、本技術の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００２６】
［説明の流れについて］
ここで、以下に記載する本技術の実施形態に関する説明の流れについて簡単に述べる。まず、図１を参照しながら、公開鍵認証方式のアルゴリズム構成について説明する。次いで、図２を参照しながら、電子署名方式のアルゴリズム構成について説明する。次いで、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。
【００２７】
次いで、図４〜図６を参照しながら、３パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図７〜図９を参照しながら、５パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図１０及び図１１を参照しながら、３パス及び５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明する。
【００２８】
次いで、図１２〜図１６を参照しながら、本実施形態に係る電子署名方式のアルゴリズムを実行する際に署名検証に要するメモリ量を削減する方法について説明する。次いで、図１７〜図２１を参照しながら、２進乱数から３進乱数を効率的に抽出する方法について説明する。次いで、図２２〜図２７を参照しながら、多変数多項式の係数を効率的に代入する方法について説明する。次いで、図２８を参照しながら、本技術の実施形態に係る各アルゴリズムを実現することが可能な情報処理装置のハードウェア構成例について説明する。最後に、本実施形態の技術的思想について纏め、当該技術的思想から得られる作用効果について簡単に説明する。
【００２９】
（説明項目）
１：はじめに
１−１：公開鍵認証方式のアルゴリズム
１−２：電子署名方式のアルゴリズム
１−３：ｎパスの公開鍵認証方式
２：３パスの公開鍵認証方式に係るアルゴリズムの構成
２−１：具体的なアルゴリズムの構成例
２−２：並列化アルゴリズムの構成例
２−３：３次多変数多項式に基づくアルゴリズムの構成例
３：５パスの公開鍵認証方式に係るアルゴリズムの構成
３−１：具体的なアルゴリズムの構成例
３−２：並列化アルゴリズムの構成例
３−３：３次多変数多項式に基づくアルゴリズムの構成例
４：電子署名方式への変形
４−１：３パスの公開鍵認証方式から電子署名方式への変形
４−２：５パスの公開鍵認証方式から電子署名方式への変形
５：署名検証に要するメモリ量の削減方法について
５−１：ハッシュ関数の構造について
５−２：３パス方式に基づく電子署名方式への適用例
５−３：５パス方式に基づく電子署名方式への適用例
６：２進数の乱数列から３進数の乱数列を抽出する方法について
６−１：抽出方法＃１（２ビット区切り）
６−２：抽出方法＃２（区切りなし）
６−３：抽出方法＃３（ｋビット区切り）
６−３−１：基本構成
６−３−２：追加抽出方法
７：多変数多項式の係数を効率的に代入する方法について
７−１：基本的な取り決め
７−２：データの構造化
７−２−１：構造化手法＃１
７−２−２：構造化手法＃２
７−２−３：構造化手法＃３
８：ハードウェア構成例
９：まとめ
【００３０】
＜１：はじめに＞
本実施形態は、多次多変数連立方程式に対する求解問題の困難性に安全性の根拠をおく公開鍵認証方式及び電子署名方式に関する。但し、本実施形態は、ＨＦＥ電子署名方式などの従来手法とは異なり、効率的に解く手段（トラップドア）を持たない多次多変数連立方程式を利用する公開鍵認証方式及び電子署名方式に関する。まず、公開鍵認証方式のアルゴリズム、電子署名方式のアルゴリズム、及びｎパスの公開鍵認証方式について、その概要を簡単に説明する。
【００３１】
［１−１：公開鍵認証方式のアルゴリズム］
まず、図１を参照しながら、公開鍵認証方式のアルゴリズムについて概要を説明する。図１は、公開鍵認証方式のアルゴリズムについて概要を説明するための説明図である。
【００３２】
公開鍵認証は、ある人（証明者）が、公開鍵ｐｋ及び秘密鍵ｓｋを利用して、他の人（検証者）に本人であることを納得させるために利用される。例えば、証明者Ａの公開鍵ｐｋＡは、検証者Ｂに公開される。一方、証明者Ａの秘密鍵ｓｋＡは、証明者Ａにより秘密に管理される。公開鍵認証の仕組みにおいては、公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知る者が証明者Ａ本人であるとみなされる。
【００３３】
公開鍵認証の仕組みを利用して証明者Ａが証明者Ａ本人であることを検証者Ｂに証明するには、対話プロトコルを介して、証明者Ａが公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知っているという証拠を検証者Ｂに提示すればよい。そして、証明者Ａが秘密鍵ｓｋＡを知っているという証拠が検証者Ｂに提示され、その証拠を検証者Ｂが確認し終えた場合、証明者Ａの正当性（本人であること）が証明されたことになる。
【００３４】
但し、公開鍵認証の仕組みには、安全性を担保するために以下の条件が求められる。
【００３５】
１つ目の条件は、「対話プロトコルを実行した際に秘密鍵ｓｋを持たない偽証者により偽証が成立してしまう確率を限りなく小さくする」ことである。この１つ目の条件が成り立つことを「健全性」と呼ぶ。つまり、健全性とは、「秘密鍵ｓｋを持たない偽証者により、対話プロトコルの実行中に無視できない確率で偽証が成立することはないこと」と言い換えられる。２つ目の条件は、「対話プロトコルを実行したとしても、証明者Ａが有する秘密鍵ｓｋＡの情報が検証者Ｂに一切漏れることがない」ことである。この２つ目の条件が成り立つことを「零知識性」と呼ぶ。
【００３６】
安全に公開鍵認証を行うには、健全性及び零知識性を有する対話プロトコルを利用する必要がある。仮に、健全性及び零知識性を有しない対話プロトコルを用いて認証処理を行った場合には、偽証された可能性及び秘密鍵の情報が漏れてしまった可能性が否定できないため、処理自体が成功裡に完了しても証明者の正当性を証明したことにはならない。従って、対話プロトコルの健全性及び零知識性を如何に保証するかが重要になる。
【００３７】
（モデル）
公開鍵認証方式のモデルには、図１に示すように、証明者と検証者という２つのエンティティが存在する。証明者は、鍵生成アルゴリズムＧｅｎを用いて、証明者固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成する。次いで、証明者は、鍵生成アルゴリズムＧｅｎを用いて生成した秘密鍵ｓｋと公開鍵ｐｋの組を利用して検証者と対話プロトコルを実行する。このとき、証明者は、証明者アルゴリズムＰを利用して対話プロトコルを実行する。上記の通り、証明者は、証明者アルゴリズムＰを利用し、対話プロトコルの中で秘密鍵ｓｋを保有している証拠を検証者に提示する。
【００３８】
一方、検証者は、検証者アルゴリズムＶを利用して対話プロトコルを実行し、証明者が公開している公開鍵に対応する秘密鍵を、その証明者が保有しているか否かを検証する。つまり、検証者は、証明者が公開鍵に対応する秘密鍵を保有しているか否かを検証するエンティティである。このように、公開鍵認証方式のモデルは、証明者と検証者という２つのエンティティ、及び、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶという３つのアルゴリズムにより構成される。
【００３９】
なお、以下の説明において、「証明者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰを実行する主体は、「証明者」のエンティティに対応する情報処理装置である。同様に、検証者アルゴリズムＶを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図２８に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
【００４０】
（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、証明者により利用される。鍵生成アルゴリズムＧｅｎは、証明者に固有の秘密鍵ｓｋと公開鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは公開される。そして、公開された公開鍵ｐｋは、検証者により利用される。一方、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者が秘密に管理する。そして、証明者により秘密に管理される秘密鍵ｓｋは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するために利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（１）のように表現される。
【００４１】
【数１】
【００４２】
（証明者アルゴリズムＰ）
証明者アルゴリズムＰは、証明者により利用される。証明者アルゴリズムＰは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するためのアルゴリズムである。つまり、証明者アルゴリズムＰは、秘密鍵ｓｋと公開鍵ｐｋとを入力とし、対話プロトコルを実行するアルゴリズムである。
【００４３】
（検証者アルゴリズムＶ）
検証者アルゴリズムＶは、検証者により利用される。検証者アルゴリズムＶは、対話プロトコルの中で、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有しているか否かを検証するアルゴリズムである。検証者アルゴリズムＶは、公開鍵ｐｋを入力とし、対話プロトコルの実行結果に応じて０又は１（１ｂｉｔ）を出力するアルゴリズムである。なお、検証者は、検証者アルゴリズムＶが０を出力した場合には証明者が不正なものであると判断し、１を出力した場合には証明者が正当なものであると判断する。形式的に、検証者アルゴリズムＶは、下記の式（２）のように表現される。
【００４４】
【数２】
【００４５】
上記の通り、意味のある公開鍵認証を実現するには、対話プロトコルが健全性及び零知識性という２つの条件を満たしている必要がある。しかし、証明者が秘密鍵ｓｋを保有していることを証明するためには、証明者が秘密鍵ｓｋに依存した手続きを実行し、その結果を検証者に通知した上で、その通知内容に基づく検証を検証者に実行させる必要がある。秘密鍵ｓｋに依存した手続きを実行するのは、健全性を担保するために必要である。一方で、秘密鍵ｓｋの情報が一切検証者に漏れないようにする必要がある。そのため、これらの要件を満たすように、上記の鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶを巧妙に設計する必要がある。
【００４６】
以上、公開鍵認証方式のアルゴリズムについて、その概要を説明した。
【００４７】
［１−２：電子署名方式のアルゴリズム］
次に、図２を参照しながら、電子署名方式のアルゴリズムについて概要を説明する。図２は、電子署名方式のアルゴリズムについて概要を説明するための説明図である。
【００４８】
紙文書とは異なり、ある電子化されたデータに対して押印したり署名を記載したりすることはできない。そのため、電子化されたデータの作成者を証明するためには、紙文書に押印したり署名を記載したりするのと同等の効果が得られる電子的な仕組みを必要とする。この仕組みが電子署名である。電子署名とは、データの作成者しか知らない署名データをデータに関連付けて受領者に提供し、その署名データを受領者側で検証する仕組みのことを言う。
【００４９】
（モデル）
電子署名方式のモデルには、図２に示すように、署名者及び検証者という２つのエンティティが存在する。そして、電子署名方式のモデルは、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒという３つのアルゴリズムにより構成される。
【００５０】
署名者は、鍵生成アルゴリズムＧｅｎを利用して署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成する。また、署名者は、署名生成アルゴリズムＳｉｇを利用して文書Ｍに付与する電子署名σを生成する。つまり、署名者は、文書Ｍに電子署名を付与するエンティティである。一方、検証者は、署名検証アルゴリズムＶｅｒを利用して文書Ｍに付与された電子署名σを検証する。つまり、検証者は、文書Ｍの作成者が署名者であるか否かを確認するために、電子署名σを検証するエンティティである。
【００５１】
なお、以下の説明において、「署名者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇを実行する主体は、「署名者」のエンティティに対応する情報処理装置である。同様に、署名検証アルゴリズムＶｅｒを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図２８に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
【００５２】
（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、署名者により利用される。鍵生成アルゴリズムＧｅｎは、署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された検証鍵ｐｋは公開される。一方、鍵生成アルゴリズムＧｅｎにより生成された署名鍵ｓｋは、署名者により秘密に管理される。そして、署名鍵ｓｋは、文書Ｍに付与される電子署名σの生成に利用される。例えば、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、署名鍵ｓｋ及び公開鍵ｐｋを出力する。この場合、鍵生成アルゴリズムＧｅｎは、形式的に、下記の式（３）のように表現することができる。
【００５３】
【数３】
【００５４】
（署名生成アルゴリズムＳｉｇ）
署名生成アルゴリズムＳｉｇは、署名者により利用される。署名生成アルゴリズムＳｉｇは、文書Ｍに付与される電子署名σを生成するアルゴリズムである。署名生成アルゴリズムＳｉｇは、署名鍵ｓｋと文書Ｍとを入力とし、電子署名σを出力するアルゴリズムである。この署名生成アルゴリズムＳｉｇは、形式的に、下記の式（４）のように表現することができる。
【００５５】
【数４】
【００５６】
（署名検証アルゴリズムＶｅｒ）
署名検証アルゴリズムＶｅｒは、検証者により利用される。署名検証アルゴリズムＶｅｒは、電子署名σが文書Ｍに対する正当な電子署名であるか否かを検証するアルゴリズムである。署名検証アルゴリズムＶｅｒは、署名者の検証鍵ｐｋ、文書Ｍ、電子署名σを入力とし、０又は１（１ｂｉｔ）を出力するアルゴリズムである。この署名検証アルゴリズムＶｅｒは、形式的に、下記の式（５）のように表現することができる。なお、検証者は、署名検証アルゴリズムＶｅｒが０を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを拒否する場合）に電子署名σが不当であると判断し、１を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを受理する場合）に電子署名σが正当であると判断する。
【００５７】
【数５】
【００５８】
以上、電子署名方式のアルゴリズムについて、その概要を説明した。
【００５９】
［１−３：ｎパスの公開鍵認証方式］
次に、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。図３は、ｎパスの公開鍵認証方式について説明するための説明図である。
【００６０】
上記の通り、公開鍵認証方式は、対話プロトコルの中で、証明者が公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを検証者に証明する認証方式である。また、対話プロトコルは、健全性及び零知識性という２つの条件を満たす必要がある。そのため、対話プロトコルの中では、図３に示すように、証明者及び検証者の双方がそれぞれ処理を実行しながらｎ回の情報交換を行う。
【００６１】
ｎパスの公開鍵認証方式の場合、証明者アルゴリズムＰを用いて証明者により処理（工程＃１）が実行され、情報Ｔ１が検証者に送信される。次いで、検証者アルゴリズムＶを用いて検証者により処理（工程＃２）が実行され、情報Ｔ２が証明者に送信される。さらに、ｋ＝３〜ｎについて処理の実行及び情報Ｔｋの送信が順次行われ、最後に処理（工程＃ｎ＋１）が実行される。このように、情報がｎ回送受信される方式のことを「ｎパス」の公開鍵認証方式と呼ぶ。
【００６２】
以上、ｎパスの公開鍵認証方式について説明した。
【００６３】
＜２：３パスの公開鍵認証方式に係るアルゴリズムの構成＞
以下、３パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、３パスの公開鍵認証方式のことを「３パス方式」と呼ぶ場合がある。
【００６４】
［２−１：具体的なアルゴリズムの構成例（図４）］
まず、図４を参照しながら、３パス方式に係る具体的なアルゴリズムの構成例について紹介する。図４は、３パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆｉ（ｘ）は、下記の式（６）のように表現されるものとする。また、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。
【００６５】
【数６】
【００６６】
また、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））は、下記の式（７）のように表現することができる。また、Ａ１，…，Ａｍは、ｎ×ｎ行列である。さらに、ｂ１，…，ｂｍはそれぞれｎ×１ベクトルである。
【００６７】
【数７】
【００６８】
この表現を用いると、多変数多項式Ｆは、下記の式（８）及び式（９）のように表現することができる。この表現が成り立つことは、下記の式（１０）から容易に確認することができる。
【００６９】
【数８】
【００７０】
このようにＦ（ｘ＋ｙ）をｘに依存する第１の部分と、ｙに依存する第２の部分と、ｘ及びｙの両方に依存する第３の部分とに分けたとき、第３の部分に対応する項Ｇ（ｘ，ｙ）は、ｘ及びｙについて双線形になる。以下、項Ｇ（ｘ，ｙ）を双線形項と呼ぶ場合がある。この性質を利用すると、効率的なアルゴリズムを構築することが可能になる。
【００７１】
例えば、ベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ）のマスクに利用する多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と表現する。この場合、多変数多項式Ｆ（ｘ＋ｒ０）とＧ（ｘ）との和は、下記の式（１１）のように表現される。ここで、ｔ１＝ｒ０＋ｔ０、ｅ１＝Ｆ（ｒ０）＋ｅ０とおけば、多変数多項式Ｆ２（ｘ）＝Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）は、ベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。そのため、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０に設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズの少ない効率的なアルゴリズムを実現することが可能になる。
【００７２】
【数９】
【００７３】
なお、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性が担保される。以下、上記の論理に基づいて構築された３パス方式のアルゴリズムについて説明する。ここで説明する３パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。
【００７４】
（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。
【００７５】
（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
以下、図４を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図４に示したフローチャートに沿って説明を進める。
【００７６】
工程＃１：
図４に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ−ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１←ｒ０−ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←Ｆ（ｒ０）−ｅ０を計算する。
【００７７】
工程＃１（続き）：
次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ２←Ｈ（ｔ１，ｅ１）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１，ｃ２）は、検証者アルゴリズムＶに送られる。
【００７８】
工程＃２：
メッセージ（ｃ０，ｃ１，ｃ２）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
【００７９】
工程＃３：
要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｔ１，ｅ１）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ０，ｅ０）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ１，ｅ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
【００８０】
工程＃４：
返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
【００８１】
Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ０−ｔ１，Ｆ（ｒ０）−ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【００８２】
Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【００８３】
Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｙ−Ｆ（ｒ１）−Ｇ（ｔ１，ｒ１）−ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【００８４】
以上、３パス方式に係る効率的なアルゴリズムの構成例について説明した。
【００８５】
［２−２：並列化アルゴリズムの構成例（図５）］
次に、図５を参照しながら、図４に示した３パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
【００８６】
さて、上記の対話プロトコルを適用すれば、偽証が成功する確率を２／３以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（２／３）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（２／３）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝１４０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
【００８７】
対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、図５を参照しながら、３パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
【００８８】
工程＃１：
図５に示すように、まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて以下の処理（１）〜処理（６）を実行する。
処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ−ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１ｉ←ｒ０ｉ＋ｔ０ｉを計算する。
処理（３）：証明者アルゴリズムＰは、ｅ１ｉ←Ｆ（ｒ０ｉ）−ｅ０ｉを計算する。
処理（４）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ１ｉ，Ｇ（ｒ１ｉ，ｔ０ｉ）＋ｅ０ｉ）を計算する。
処理（５）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。
処理（６）：証明者アルゴリズムＰは、ｃ２ｉ←Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。
【００８９】
工程＃１（続き）
ｉ＝１〜Ｎについて上記の処理（１）〜処理（６）を実行した後、証明者アルゴリズムＰは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。このように、メッセージ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）をハッシュ値に変換してから検証者アルゴリズムＶに送ることで、通信量を削減することが可能になる。
【００９０】
工程＃２：
ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈｉに設定する。要求Ｃｈ１，…，ＣｈＮは、証明者アルゴリズムＰに送られる。
【００９１】
工程＃３：
要求Ｃｈ１，…，ＣｈＮを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈ１，…，ＣｈＮのそれぞれ応じて検証者アルゴリズムＶに送る返答Ｒｓｐ１，…，ＲｓｐＮを生成する。Ｃｈｉ＝０の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。Ｃｈｉ＝１の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を生成する。Ｃｈｉ＝２の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を生成する。
【００９２】
工程＃３で生成された返答Ｒｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶに送られる。
【００９３】
工程＃４：
返答Ｒｓｐ１，…，ＲｓｐＮを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐ１，…，ＲｓｐＮを利用して以下の処理（１）〜処理（３）をｉ＝１〜Ｎについて実行する。但し、検証者アルゴリズムＶは、Ｃｈｉ＝０の場合に処理（１）を実行し、Ｃｈｉ＝１の場合に処理（２）を実行し、Ｃｈｉ＝２の場合に処理（３）を実行する。
【００９４】
処理（１）：Ｃｈｉ＝０の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ０ｉ−ｔ１ｉ，Ｆ（ｒ０ｉ）−ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
【００９５】
処理（２）：Ｃｈｉ＝１の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
【００９６】
処理（３）：Ｃｈｉ＝２の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，ｙ−Ｆ（ｒ１ｉ）−Ｇ（ｔ１ｉ，ｒ１ｉ）−ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
【００９７】
処理（１）〜処理（３）をｉ＝１〜Ｎについて実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗した場合に認証失敗を示す値０を出力する。
【００９８】
以上、３パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。
【００９９】
［２−３：３次多変数多項式に基づくアルゴリズムの構成例］
次に、下記の式（１２）で表現される環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズムの構築方法について検討してみたい。３次多項式ｆｌの組で表現される多変数多項式Ｆ＝（ｆ１，…，ｆｍ）は、下記の式（１３）の関係を満たす。但し、Ｇｘ（ｘ，ｙ）は、ｘに関して１次となる項を表す。また、Ｇｙ（ｘ，ｙ）は、ｙに関して１次となる項を表す。Ｇｘ＝（ｇｘ１，…，ｇｘｍ）、Ｇｙ＝（ｇｙ１，…，ｇｙｍ）と表現すると、ｇｘｌ及びｇｙｌは、それぞれ下記の式（１４）及び式（１５）のように展開することができる。但し、ｇｘｌの右辺第２項は、ｘ及びｙのいずれに関しても１次であるため、ｇｙｌに含めてもよい。
【０１００】
【数１０】
【０１０１】
上記の式（１４）及び式（１５）から分かるように、Ｇｘ（ｘ，ｙ）及びＧｙ（ｘ，ｙ）は、ｘ及びｙについて加法準同型になっている。そこで、これらの性質を利用し、２次多項式ｆｉを利用した効率的なアルゴリズムの構築方法と同様に、新たな変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を導入して公開鍵Ｆ（ｓ）を分割する。
【０１０２】
多項式Ｇｘ，Ｇｙが加法準同型であるから、変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を用いて、下記の式（１６）〜式（１９）の関係が成り立つ。下記の式（１６）〜式（１９）は、（ｒ０，ｔ０，ｕ０，ｅ０）で再現可能な第１の部分と、（ｒ０，ｕ１，ｅ１）で再現可能な第２の部分と、（ｒ１，ｔ０，ｅ０）で再現可能な第３の部分と、（ｒ１，ｔ１，ｕ１，ｅ１）で再現可能な第４の部分と、に分けることができる。
【０１０３】
例えば、下記の式（１７）に含まれる「ｒ０，ｔ０」、下記の式（１８）に含まれる「ｕ０」、下記の式（１９）に含まれる「Ｆ（ｒ０），Ｇｙ（ｒ０，ｕ０），ｅ０」、は、第１の部分である。また、下記の式（１９）に含まれる「Ｇｙ（ｒ０，ｕ１），ｅ１」は、第２の部分である。さらに、下記の式（１６）に含まれる「ｅ０，Ｇｘ（ｒ０，ｒ１）」は、第３の部分である。そして、下記の式（１６）に含まれる「ｅ１，Ｆ（ｒ１），Ｇｘ（ｔ１，ｒ１）」、下記の式（１７）に含まれる「ｔ１」、下記の式（１８）に含まれる「ｕ１」は、第４の部分である。
【０１０４】
言い換えると、下記の式（１６）は第３及び第４の部分で構成され、下記の式（１７）及び下記の式（１８）は第１及び第４の部分で構成され、下記の式（１９）は第１及び第２の部分で構成されている。このように、下記の式（１６）〜式（１９）は、それぞれ２種類の部分で構成されている。
【０１０５】
また、秘密鍵ｓの定義及び下記の式（１６）〜式（１９）の関係から、（ｒ０，ｔ０，ｕ０，ｅ０）、（ｒ０，ｕ１，ｅ１）、（ｒ１，ｔ０，ｅ０）、（ｒ１，ｔ１，ｕ１，ｅ１）のいずれか１つを用いても秘密鍵ｓは得られないことが保証される。これらの性質を利用すると、例えば、環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズム（以下、拡張アルゴリズム）を構築することができる。
【０１０６】
【数１１】
【０１０７】
以下、具体的な拡張アルゴリズムの構成例について説明する。拡張アルゴリズムの設計に関する基本的なポイントは、下記の式（２０）〜式（２２）で表現されるメッセージを検証者に送ること、及び第１〜第４の部分のいずれかに関する検証を行うことの２点である。但し、この検証だけでは、第３の部分に含まれる「ｒ１」と第４の部分に含まれる「ｒ１」とが等しいかを検証することができない。同様に、第１の部分に含まれる「ｒ０」と第２の部分に含まれる「ｒ０」とが等しいか、第１の部分に含まれる「ｔ０，ｅ０」と第３の部分に含まれる「ｔ０，ｅ０」とが等しいかも検証することができない。さらに、第２の部分に含まれる「ｕ１，ｅ１」と第４の部分に含まれる「ｕ１，ｅ１」とが等しいかも検証することができない。そこで、以下では、これらの検証も可能にした構成例を紹介する。
【０１０８】
【数１２】
【０１０９】
以下、図６を参照しながら、３パス方式に係る拡張アルゴリズムの構成例について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
【０１１０】
工程＃１：
図６に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０，ｕ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ−ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｔ１←ｒ０−ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｕ１←ｒ１−ｕ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←Ｆ（ｒ０）−ｅ０を計算する。
【０１１１】
工程＃１（続き）：
次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇｘ（ｔ０，ｒ１）＋ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｒ０−ｔ０，ｕ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ２←Ｈ（ｒ０，ｅ１−Ｇｙ（ｒ０，ｕ１））を計算する。次いで、証明者アルゴリズムＰは、ｃ３←Ｈ（ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ４←Ｈ（ｕ１，ｅ１）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１，ｃ２，ｃ３，ｃ４）は、検証者アルゴリズムＶに送られる。
【０１１２】
工程＃２：
メッセージ（ｃ０，ｃ１，ｃ２，ｃ３，ｃ４）を受け取った検証者アルゴリズムＶは、４つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す４つの数値｛０，１，２，３｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
【０１１３】
工程＃３：
要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｔ０，ｕ０，ｅ０）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｕ１，ｅ１）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ０，ｅ０）を生成する。Ｃｈ＝３の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ１，ｕ１，ｅ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
【０１１４】
工程＃４：
返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
【０１１５】
Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ０−ｔ０，ｕ０）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｒ０，Ｆ（ｒ０）＋Ｇｙ（ｒ０，ｕ０）−ｅ０）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ３＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１１６】
Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｒ０，ｅ１−Ｇｙ（ｒ０，ｕ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ４＝Ｈ（ｕ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１１７】
Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｅ０＋Ｇｘ（ｔ０，ｒ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ３＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１１８】
Ｃｈ＝３の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｙ−Ｆ（ｒ１）−ｅ１−Ｇｘ（ｔ１，ｒ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｔ１，ｒ１−ｕ１）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ４＝Ｈ（ｕ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１１９】
以上、３パス方式に係る拡張アルゴリズムの構成例について説明した。３次多項式を利用していることにより、より高い安全性が実現されている。
【０１２０】
＜３：５パスの公開鍵認証方式に係るアルゴリズムの構成＞
次に、５パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、５パスの公開鍵認証方式のことを「５パス方式」と呼ぶ場合がある。
【０１２１】
３パス方式の場合には対話プロトコル１回当たりの偽証確率が２／３であったが、５パス方式の場合には対話プロトコル１回当たりの偽証確率が１／２＋１／ｑとなる。但し、ｑは、利用する環の位数である。従って、環の位数が十分に大きい場合、５パス方式の方が１回当たりの偽証確率を低減することが可能になり、少ない対話プロトコルの実行回数で、偽証確率を十分に小さくすることができる。
【０１２２】
例えば、偽証確率を１／２ｎ以下にしたい場合、３パス方式においては、ｎ／（ｌｏｇ３−１）＝１．７０１ｎ回以上、対話プロトコルを実行する必要がある。一方、偽証確率を１／２ｎ以下にしたい場合、５パス方式においては、ｎ／（１−ｌｏｇ（１＋１／ｑ））回以上、対話プロトコルを実行する必要がある。従って、ｑ＝２４にすれば、同じセキュリティレベルを実現するのに必要な通信量は、３パス方式に比べ、５パス方式の方が少なくなるのである。
【０１２３】
［３−１：具体的なアルゴリズムの構成例（図７）］
まず、図７を参照しながら、５パス方式に係る具体的なアルゴリズムの構成例について紹介する。図７は、５パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆｉ（ｘ）は、上記の式（６）のように表現されるものとする。また、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。
【０１２４】
３パス方式に係るアルゴリズムと同様、２つのベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ０）をマスクするために用いた多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ、ｔ０）＋ｅ０のように表現する。この表現を用いると、多変数多項式Ｆ（ｘ＋ｒ０）について、下記の式（２３）で表現される関係が得られる。
【０１２５】
【数１３】
【０１２６】
そのため、ｔ１＝ＣｈＡ・ｒ０＋ｔ０、ｅ１＝ＣｈＡ・Ｆ（ｒ０）＋ｅ０とすれば、マスク後の多変数多項式Ｆ２（ｘ）＝ＣｈＡ・Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）も、２つのベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。これらの理由から、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズが少ない効率的なアルゴリズムを実現することが可能になる。
【０１２７】
なお、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性は担保される。以下、上記の論理に基づいて構築された５パス方式のアルゴリズムについて説明する。ここで説明する５パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。
【０１２８】
（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義される多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１，…，ｆｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、多変数多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））をＦ（ｘ）と表記する。
【０１２９】
（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
以下、図７を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶにより実行される処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図７に示したフローチャートに沿って説明を進める。
【０１３０】
工程＃１：
図７に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０∈Ｋｎ、ｔ０∈Ｋｎ、ｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ−ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ベクトルｒ０，ｔ０，ｅ０のハッシュ値ｃ０を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、Ｇ（ｔ０，ｒ１）＋ｅ０及びｒ１のハッシュ値ｃ１を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
【０１３１】
工程＃２：
メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡを選択し、選択した数ＣｈＡを証明者アルゴリズムＰに送る。
【０１３２】
工程＃３：
数ＣｈＡを受け取った証明者アルゴリズムＰは、ｔ１←ＣｈＡ・ｒ０−ｔ０を計算する。さらに、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）−ｅ０を計算する。そして、証明者アルゴリズムＰは、ｔ１及びｅ１を検証者アルゴリズムＶに送る。
【０１３３】
工程＃４：
ｔ１及びｅ１を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
【０１３４】
工程＃５：
要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
【０１３５】
工程＃６：
返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
【０１３６】
ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｒ０←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，ＣｈＡ・ｒ０−ｔ１，ＣｈＡ・Ｆ（ｒ０）−ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１３７】
ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｒ１←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ１＝Ｈ１（ｒ１，ＣｈＡ・（ｙ−Ｆ（ｒ１））−Ｇ（ｔ１，ｒ１）−ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１３８】
以上、５パス方式に係る効率的なアルゴリズムの構成例について説明した。
【０１３９】
［３−２：並列化アルゴリズムの構成例（図８）］
次に、図８を参照しながら、図７に示した５パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
【０１４０】
先に述べた通り、５パス方式に係る対話プロトコルを適用すれば、偽証が成功する確率を（１／２＋１／ｑ）以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（１／２＋１／ｑ）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（１／２＋１／ｑ）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝８０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
【０１４１】
対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、５パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
【０１４２】
工程＃１：
図８に示すように、まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて処理（１）〜処理（４）を実行する。
処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ−ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。
処理（３）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。
処理（４）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。
ｉ＝１〜Ｎについて処理（１）〜処理（４）を実行した後、証明者アルゴリズムＰは、ハッシュ値Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を実行する。そして、工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。
【０１４３】
工程＃２：
ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡｉを選択し、選択した数ＣｈＡｉ（ｉ＝１〜Ｎ）を証明者アルゴリズムＰに送る。
【０１４４】
工程＃３：
数ＣｈＡｉ（ｉ＝１〜Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１〜Ｎのそれぞれについて、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ−ｔ０ｉを計算する。さらに、証明者アルゴリズムＰは、ｉ＝１〜Ｎのそれぞれについて、ｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）−ｅ０ｉを計算する。次いで、証明者アルゴリズムＰは、ハッシュ値ｄ←Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を計算する。そして、証明者アルゴリズムＰは、ハッシュ値ｄを検証者アルゴリズムＶに送る。
【０１４５】
工程＃４：
ハッシュ値ｄを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢｉに設定する。要求ＣｈＢｉ（ｉ＝１〜Ｎ）は証明者アルゴリズムＰに送られる。
【０１４６】
工程＃５：
要求ＣｈＢｉ（ｉ＝１〜Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、受け取った要求ＣｈＢｉに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐｉを生成する。ＣｈＢｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ）を生成する。ＣｈＢｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。工程＃５で生成された返答Ｒｓｐｉ（ｉ＝１〜Ｎ）は、検証者アルゴリズムＶに送られる。
【０１４７】
工程＃６：
返答Ｒｓｐｉ（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐｉ（ｉ＝１〜Ｎ）を利用して以下の処理（１）及び処理（２）を実行する。
【０１４８】
処理（１）：ＣｈＢｉ＝０の場合、検証者アルゴリズムＶは、（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ＋ｔ０ｉ、及びｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）−ｅ０ｉを計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，ｅ１ｉ）を保持する。
【０１４９】
処理（２）：ＣｈＢｉ＝１の場合、検証者アルゴリズムＶは、（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ１ｉ，ＣｈＡｉ・（ｙ−Ｆ（ｒ１ｉ））−Ｇ（ｔ１ｉ，ｒ１ｉ）−ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，ｅ１ｉ）を保持する。
【０１５０】
ｉ＝１〜Ｎについて処理（１）及び処理（２）を実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１５１】
以上、５パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。
【０１５２】
［３−３：３次多変数多項式に基づくアルゴリズムの構成例］
さて、３パス方式の場合と同様、環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズムの構築方法について検討してみたい。３次多項式ｆｌを上記の式（１２）のように表現した場合に、Ｇｘ（ｘ，ｙ）及びＧｙ（ｘ，ｙ）がｘ及びｙについて線形になることについては式（１４）と式（１５）より分かる。
【０１５３】
そこで、上記の性質を利用し、新たな変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を導入して、公開鍵Ｆ（ｓ）をＣｈＡ倍した項を分割する。多項式Ｇｘ，Ｇｙがそれぞれｘとｙについて線形であるから、変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を用いて、下記の式（２４）〜式（２７）の関係が成り立つ。また、下記の式（２４）〜式（２７）は、ＣｈＡに依存する第１の部分と、ＣｈＡに依存しない第２の部分とに分けることができる。但し、第１の部分は、（ｒ１，ｔ１，ｕ１，ｅ１）で再現可能である。また、第２の部分は、（ｒ０，ｔ１，ｕ１，ｅ１）で再現可能である。
【０１５４】
例えば、下記の式（３２）に含まれる「ｅ０，Ｇｘ（ｔ０，ｒ１）」、下記の式（３３）に含まれる「ｔ０」、下記の式（２６）に含まれる「ｕ０」、下記の式（２７）に含まれる「ｅ０，Ｇｙ（ｒ０，ｕ０）」は第１の部分である。一方、下記の式（２４）に含まれる「ＣｈＡ・Ｆ（ｒ０＋ｒ１），ｅ１，ＣｈＡ・Ｆ（ｒ１），Ｇｘ（ｔ１，ｒ１）」、下記の式（２５）に含まれる「ＣｈＡ・ｒ０，ｔ１」、下記の式（３４）に含まれる「ＣｈＡ・ｒ１，ｕ１」、下記の式（２７）に含まれる「ＣｈＡ・Ｆ（ｒ０），Ｇｙ（ｒ０，ｕ１），ｅ１」は第２の部分である。
【０１５５】
また、秘密鍵ｓの定義及び下記の式（２４）〜式（２７）の関係から、（ｒ１，ｔ１，ｕ１，ｅ１）、（ｒ０，ｔ１，ｕ１，ｅ１）のいずれか１つを用いても秘密鍵ｓは得られないことが保証される。これらの性質を利用すると、例えば、環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズム（以下、拡張アルゴリズム）を構築することができる。
【０１５６】
【数１４】
【０１５７】
以下、具体的な拡張アルゴリズムの構成例について説明する。拡張アルゴリズムの設計に関する基本的なポイントは、下記の式（２８）及び式（２９）で表現されるメッセージを検証者に送ること、及び検証者が選択したＣｈＡについて、ＣｈＡに依存する部分（第１の部分）に関する検証を行うことの２点である。但し、「メッセージを生成する際に利用したｒ０及びｒ１を、検証の際に別のｒ０及びｒ１にすり替えられることを防ぐ」ために、ｒ０及びｒ１に関する検証を追加した構成例を以下で紹介する。
【０１５８】
【数１５】
【０１５９】
以下、図９を参照しながら、５パス方式に係る拡張アルゴリズムの基本構成について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
【０１６０】
工程＃１：
図９に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０，ｕ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ−ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０，ｅ０−Ｇｙ（ｒ０，ｕ０））を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｒ１，ｕ０，Ｇｘ（ｔ０，ｒ１）＋ｅ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
【０１６１】
工程＃２：
メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ランダムに数ＣｈＡを選択する。この数ＣｈＡは証明者アルゴリズムＰに送られる。
【０１６２】
工程＃３：
数ＣｈＡを受け取った証明者アルゴリズムＰは、ｔ１←ＣｈＡ・ｒ０−ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｕ１←ＣｈＡ・ｒ１−ｕ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）＋ＣｈＡ・Ｇｙ（ｒ０，ｒ１）−ｅ０を計算する。工程＃３で生成された（ｔ１，ｕ１，ｅ１）は、検証者アルゴリズムＶに送られる。
【０１６３】
工程＃４：
（ｔ１，ｕ１，ｅ１）を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
【０１６４】
工程＃５：
要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
【０１６５】
工程＃６：
返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
【０１６６】
ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，ＣｈＡ・ｒ０−ｔ１，ＣｈＡ・Ｆ（ｒ０）＋Ｇｙ（ｒ０，ｕ１）−ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１６７】
ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ１，ＣｈＡ・ｒ１−ｕ１，ＣｈＡ・（ｙ−Ｆ（ｒ１））−Ｇｘ（ｔ１，ｒ１）−ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１６８】
以上、５パス方式に係る拡張アルゴリズムの構成例について説明した。３次多項式を利用していることにより、より高い安全性が実現される。
【０１６９】
＜４：電子署名方式への変形＞
次に、上記の公開鍵認証方式を電子署名方式へと変形する方法を紹介する。
【０１７０】
公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが容易に理解されよう。こうした考えに基づき、上述した公開鍵認証方式を電子署名方式へと変形する方法について説明する。
【０１７１】
［４−１：３パスの公開鍵認証方式から電子署名方式への変形（図１０）］
まず、３パスの公開鍵認証方式から電子署名方式への変形について説明する。
【０１７２】
図１０に示すように、３パス方式に係る効率的なアルゴリズム（例えば、図５を参照）は、３回の対話及び４つの工程＃１〜工程＃４で表現される。
【０１７３】
工程＃１は、ｉ＝１〜Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
【０１７４】
工程＃２は、Ｃｈ１，…，ＣｈＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈ１，…，ＣｈＮは、証明者アルゴリズムＰへと送られる。
【０１７５】
工程＃３は、Ｃｈ１，…，ＣｈＮ及びａ１，…，ａＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）と表現する。工程＃３で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
【０１７６】
工程＃４は、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを再生する処理（１）と、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する処理（２）とで構成される。
【０１７７】
上記の工程＃１〜工程＃４で表現される公開鍵認証方式のアルゴリズムは、図１０に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
【０１７８】
（署名生成アルゴリズムＳｉｇ）
まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）〜処理（５）で構成される。
【０１７９】
処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する。
処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。
処理（３）：署名生成アルゴリズムＳｉｇは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
処理（４）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）を計算する。
処理（５）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，Ｒｓｐ１，…，ＲｓｐＮ）を署名に設定する。
【０１８０】
（署名検証アルゴリズムＶｅｒ）
次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）〜処理（３）で構成される。
【０１８１】
処理（１）：署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
処理（２）：署名検証アルゴリズムＶｅｒは、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを生成する。
処理（３）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する。
【０１８２】
以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
【０１８３】
［４−２：５パスの公開鍵認証方式から電子署名方式への変形（図１１）］
次に、５パスの公開鍵認証方式から電子署名方式への変形について説明する。
【０１８４】
図１１に示すように、５パス方式に係る効率的なアルゴリズム（例えば、図８を参照）は、５回の対話及び６つの工程＃１〜工程＃６で表現される。
【０１８５】
工程＃１は、ｉ＝１〜Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
【０１８６】
工程＃２は、ＣｈＡ１，…，ＣｈＡＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈＡ１，…，ＣｈＡＮは、証明者アルゴリズムＰへと送られる。
【０１８７】
工程＃３は、ｉ＝１〜Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する処理、及びｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を生成する処理で構成される。工程＃３で証明者アルゴリズムＰにより生成されたｄは、検証者アルゴリズムＶへと送られる。
【０１８８】
工程＃４は、ＣｈＢ１，…，ＣｈＢＮを選択する処理で構成される。工程＃４で検証者アルゴリズムＶにより選択されたＣｈＢ１，…，ＣｈＢＮは、証明者アルゴリズムＰへと送られる。
【０１８９】
工程＃５は、ＣｈＢ１，…，ＣｈＢＮ，ａ１，…，ａＮ，ｂ１，…，ｂＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）と表現する。工程＃５で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
【０１９０】
工程＃６は、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎを再生する処理と、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を検証する処理と、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を検証する処理とで構成される。
【０１９１】
上記の工程＃１〜工程＃６で表現される公開鍵認証方式のアルゴリズムは、図１１に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
【０１９２】
（署名生成アルゴリズムＳｉｇ）
まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）〜処理（７）で構成される。
【０１９３】
処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する。
処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する。
処理（３）：署名生成アルゴリズムＳｉｇは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
処理（４）：署名生成アルゴリズムＳｉｇは、ｉ＝１〜Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する。さらに、署名生成アルゴリズムＳｉｇは、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を算出する。
処理（５）：署名生成アルゴリズムＳｉｇは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。なお、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）と変形してもよい。
処理（６）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）を計算する。
処理（７）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，ｄ，Ｒｓｐ１，…，ＲｓｐＮ）を電子署名に設定する。
【０１９４】
（署名検証アルゴリズムＶｅｒ）
次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）〜処理（４）で構成される。
【０１９５】
処理（１）：署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
処理（２）：署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。なお、署名検証アルゴリズムＶｅｒが実行する処理（５）において、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）と変形した場合、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。
処理（３）：署名検証アルゴリズムＶｅｒは、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ，ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを生成する。
処理（４）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）及びｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ，）を検証する。
【０１９６】
以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
【０１９７】
＜５：署名検証に要するメモリ量の削減方法について＞
ところで、上述した電子署名方式のアルゴリズムにおいては、署名検証アルゴリズムＶｅｒが電子署名全体を受信した後で署名検証の処理を実行していた。しかし、上述した電子署名方式の場合、電子署名のデータサイズが比較的大きい。そのため、ＲＦＩＤ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）など、少ないメモリ容量しか持たないデバイスを用いて認証を行う場合には、メモリの空き容量や認証処理中のメモリ使用率などに気を配る必要があった。また、十分なメモリ容量を持たないデバイスを利用する場合、認証を行うことができない場合も想定される。そこで、本件発明者は、署名検証に要するメモリ量の削減方法を考案した。
【０１９８】
［５−１：ハッシュ関数の構造について（図１２）］
まず、本件発明者は、ハッシュ関数の構造に注目した。多くの場合、ハッシュ関数は、入力をブロック単位に区切り、ブロック単位で順次処理を進める構造を有している。例えば、ＳＨＡ−１の場合、ハッシュ関数は、図１２に示すような構造を有している。図１２に示すハッシュ関数は、パディング済みの入力ＭをＺ個のブロックｍ１，…，ｍＺに区切り、インデックスｊをインクリメントしながら、逐次的に、ブロックｍｊを初期値ＩＶ又は中間値ＣＶｊと共に所定の関数ＣＦに作用させてハッシュ値を生成する。従って、中間値ＣＶｊが得られた時点で、それ以前に利用したブロックは不要になる。そこで、この特性を利用し、アルゴリズムの実行に必要なメモリ量を効果的に削減する仕組み（以下、メモリ削減方法）を考案した。以下、この仕組みを上述した電子署名方式に適用する方法について説明する。
【０１９９】
［５−２：３パス方式に基づく電子署名方式への適用例（図１４）］
まず、図１０に示した３パス方式に基づく電子署名方式のアルゴリズムに上記のメモリ削減方法を適用する方法について説明する。
【０２００】
（通常の実装方法：図１３）
通常、上述した電子署名方式に係る署名検証アルゴリズムＶｅｒは、図１３に示すように、電子署名を構成する（Ｃｍｔ，Ｒｓｐ１，…，ＲｓｐＮ）を１度に受信する（Ｓ１０１）。次いで、署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１０２）。次いで、署名検証アルゴリズムＶｅｒは、（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）←Ｒｅｐｒｏｄｕｃｅ（Ｃｈ１，…，ＣｈＮ；Ｒｓｐ１，…，ＲｓｐＮ）を実行する（Ｓ１０３）。次いで、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証し（Ｓ１０４）、署名検証に係る一連の処理を終了する。
【０２０１】
（メモリ削減方法：図１４）
通常の実装方法の場合、図１３のステップＳ１０１のように、一度に電子署名を受信すると、ステップＳ１０３の処理が完了するまで（Ｒｓｐ１，…，ＲｓｐＮ）を保持しておくためのメモリが必要になる。しかし、図５のアルゴリズム構成から分かるように、ステップＳ１０３で実行する（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）の再生には（Ｃｈｉ；Ｒｓｐｉ）以外の情報を利用しない。また、図１２に示したハッシュ関数の構造を考慮すると、ステップＳ１０４において実行されるハッシュ関数の計算はブロック単位で分割して実行できることが分かる。そこで、署名検証に係る処理の構成を図１４に示すような構成に改良する。
【０２０２】
図１４に示す構成の場合、署名検証アルゴリズムＶｅｒは、まず、電子署名に含まれるＣｍｔだけを受信する（Ｓ１１１）。次いで、署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１１２）。次いで、署名検証アルゴリズムＶｅｒは、ｉ＝１〜Ｎについて、ｉをインクリメントさせながら逐次的にステップＳ１１３〜Ｓ１１５の処理を実行する。
【０２０３】
ステップＳ１１３において、署名検証アルゴリズムＶｅｒは、Ｒｓｐｉを受信する（Ｓ１１３）。次いで、署名検証アルゴリズムＶｅｒは、受信したＲｓｐｉを用いて、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）←Ｒｅｐｒｏｄｕｃｅ（Ｃｈｉ；Ｒｓｐｉ）を実行する（Ｓ１１４）。ステップＳ１１４の処理を実行した後、Ｃｈｉ及びＲｓｐｉは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１１４の処理を実行後にＣｈｉ及びＲｓｐｉをメモリから消去する。
【０２０４】
次いで、署名検証アルゴリズムＶｅｒは、ｔｍｐｉ←Ｈｉ（ｔｍｐｉ−１；ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を実行する（Ｓ１１５）。なお、関数Ｈｉは、ハッシュ関数Ｈの内部でｃ０ｉ，ｃ１ｉ，ｃ２ｉまで計算した際に生成される中間値を出力する関数である。実際には選択したハッシュ関数に応じて関数Ｈｉの入力サイズは異なるため必要に応じて、ビットを付加するなどの適切な入力長の補正が行われる。関数Ｈｉを用いると、ハッシュ関数Ｈは、以下に示す処理（１）〜処理（３）で構成されたアルゴリズムにより表現される。そして、ｔｍｐＮがハッシュ関数Ｈの最終的な出力（ハッシュ値）となる。実際にはハッシュ関数の仕様に応じて、最終処理においてパディングの追加処理を行う。
【０２０５】
処理（１）：ｔｍｐ０←空文字列
処理（２）：
ｆｏｒ ｉ＝１ ｔｏ Ｎ
ｔｍｐｉ←Ｈｉ（ｔｍｐｉ−１；ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）
ｅｎｄ ｆｏｒ
処理（３）：ｏｕｔｐｕｔ ｔｍｐＮ
【０２０６】
ｉ＝１〜Ｎについて、ステップＳ１１３〜Ｓ１１５の処理を実行した後、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝ｔｍｐＮが成り立つか否かを検証し（Ｓ１１６）、署名検証に係る一連の処理を終了する。上記のように、署名検証アルゴリズムＶｅｒは、ステップＳ１１３〜Ｓ１１５の処理を繰り返し実行する過程で不要になった情報をメモリかた消去する。そのため、署名検証に要するメモリ量は最小限に抑えられる。その結果、少ないメモリ容量しか持たないデバイスでも、上記の署名検証が可能になる。
【０２０７】
［５−３：５パス方式に基づく電子署名方式への適用例（図１６）］
次に、図１１に示した５パス方式に基づく電子署名方式のアルゴリズムに上記のメモリ削減方法を適用する方法について説明する。
【０２０８】
（通常の実装方法：図１５）
通常、上述した電子署名方式に係る署名検証アルゴリズムＶｅｒは、図１５に示すように、電子署名を構成する（Ｃｍｔ，ｄ，Ｒｓｐ１，…，ＲｓｐＮ）を１度に受信する（Ｓ１２１）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１２２）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を実行する（Ｓ１２３）。次いで、署名検証アルゴリズムＶｅｒは、（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｄ１１，e１１，…，ｄ１Ｎ，e１Ｎ）←Ｒｅｐｒｏｄｕｃｅ（ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ；Ｒｓｐ１，…，ＲｓｐＮ）を実行する（Ｓ１２４）。次いで、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）とｄ＝Ｈ(ｄ１１，e１１，…，ｄ１Ｎ，e１Ｎ)を検証し（Ｓ１２５）、署名検証に係る一連の処理を終了する。
【０２０９】
（メモリ削減方法：図１６）
図１５のステップＳ１２１のように、一度に電子署名を受信すると、ステップＳ１２４の処理が完了するまで（Ｒｓｐ１，…，ＲｓｐＮ）を保持しておくためのメモリが必要になる。しかしながら、図８のアルゴリズム構成から分かるように、ステップＳ１２４で実行する（ｃ０ｉ，ｃ１ｉ，ｄ１ｉ，e１ｉ）の再生には（ＣｈＡｉ，ＣｈＢｉ；Ｒｓｐｉ）以外の情報を利用しない。また、図１２に示したハッシュ関数の構造を考慮すると、ステップＳ１２５において実行されるハッシュ関数の計算はブロック単位で分割して実行できることが分かる。そこで、署名検証に係る処理の構成を図１６に示すような構成に改良する。
【０２１０】
図１６に示す構成の場合、署名検証アルゴリズムＶｅｒは、まず、電子署名に含まれるＣｍｔだけを受信する（Ｓ１３１）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１３２）。
【０２１１】
次いで、署名検証アルゴリズムＶｅｒは、ｄを受信する（Ｓ１３３）。次いで、署名検証アルゴリズムＶｅｒは、受信したｄを用いて、（ＣｈB１，…，ＣｈBＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を実行する（Ｓ１３４）。ステップＳ１３４の処理を実行した後、ｄは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１３４の処理を実行後にｄをメモリから消去する。次いで、署名検証アルゴリズムＶｅｒは、ｉ＝１〜Ｎについて、ｉをインクリメントさせながら逐次的にステップＳ１３５〜Ｓ１３７の処理を実行する。
【０２１２】
ステップＳ１３５において、署名検証アルゴリズムＶｅｒは、Ｒｓｐｉを受信する（Ｓ１３５）。次いで、署名検証アルゴリズムＶｅｒは、受信したＲｓｐｉを用いて、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，e１ｉ）←Ｒｅｐｒｏｄｕｃｅ（ＣｈＡｉ，ＣｈＢｉ，Ｒｓｐｉ）を実行する（Ｓ１３６）。ステップＳ１３６の処理を実行した後、ＣｈＡｉ、ＣｈＢｉ及びＲｓｐｉは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１３６の処理を実行後にＣｈＡｉ、ＣｈＢｉ及びＲｓｐｉをメモリから消去する。
【０２１３】
次いで、署名検証アルゴリズムＶｅｒは、ｔｍｐｉ←Ｈｉ（ｔｍｐｉ−１；ｃ０ｉ，ｃ１ｉ）とｔｍｐｉ’←Ｈｉ（ｔｍｐｉ−１’；ｔ１ｉ，e１ｉ）を実行する（Ｓ１３７）。ｉ＝１〜Ｎについて、ステップＳ１３５〜Ｓ１３７の処理を実行した後、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝ｔｍｐＮとｄ＝ｔｍｐＮ’が成り立つか否かを検証し（Ｓ１３８）、署名検証に係る一連の処理を終了する。上記のように、署名検証アルゴリズムＶｅｒは、ステップＳ１３５〜Ｓ１３７の処理を繰り返し実行する過程で不要になった情報をメモリから消去する。そのため、署名検証に要するメモリ量は最小限に抑えられる。その結果、少ないメモリ容量しか持たないデバイスでも、上記の署名検証が可能になる。
【０２１４】
以上、署名検証に要するメモリ量の削減方法について説明した。
【０２１５】
＜６：２進数の乱数列から３進数の乱数列を抽出する方法について＞
ところで、３パス方式に基づく公開鍵認証方式のアルゴリズムにおいて、３進数の一様乱数をＮ個以上生成する場面が存在する。しかし、３進数の一様乱数を生成する優れた乱数生成器は一般的ではない。そのため、２進数の一様乱数を生成する優れた乱数生成器を用いて３進数の一様乱数を生成する方法を考える必要がある。そこで、本件発明者は、２進数の一様乱数から３進数の一様乱数を効率的に生成する方法を考案した。以下、この方法について詳細に説明する。なお、以下の説明において、ｌ進表現（ｌは２又は３）で表された１つの数を１シンボルと数えることにする。
【０２１６】
［６−１：抽出方法＃１（２ビット区切り）（図１７）］
まず、図１７を参照しながら、Ｍビットの２進数を２ビットずつ区切って３進数を抽出する方法（以下、抽出方法＃１）を紹介する。図１７に示すように、２進表現の乱数列を２ビットずつ区切ると、Ｍ／２個の２ビットの乱数が得られる。例えば、「００」を３進数の「０」、「０１」を３進数の「１」、「１０」を３進数の「２」に対応付けると、２ビット単位の２進表現の乱数列から３進数の乱数列を得ることができる。但し、２ビットの値「１１」は除外する。つまり、抽出方法＃１は、２進数２シンボルで表現される２２通りの数の中から、３進数１シンボルで表現される３１通りの数を抽出する方法である。従って、Ｎ個以上の３進数が抽出できない確率Ｐ１は、下記の式（３０）のようになる。
【０２１７】
【数１６】
【０２１８】
［６−２：抽出方法＃２（区切りなし）（図１８）］
次に、図１８を参照しながら、２進数Ｍシンボルの乱数を区切らずに利用して３進数Ｌシンボルの乱数を抽出する方法（以下、抽出方法＃２）を紹介する。但し、Ｌは、３Ｌ≦２Ｍとなる最大の整数である。２進数Ｍシンボルで表現可能な数は、２Ｍ通り存在する。一方、３進数Ｌシンボルで表現可能な数は、３Ｌ通りしか存在しない。そのため、２進数Ｍシンボルで表現される２Ｍ通りの数のうち、２Ｍ−３Ｌ通りの数は、３進表現の乱数として利用されない。従って、Ｎ個以上の３進数が抽出できない確率Ｐ２は、下記の式（３１）のようになる。
【０２１９】
【数１７】
【０２２０】
［６−３：抽出方法＃３（ｋビット区切り）（図１９）］
上記の抽出方法＃１は、最小の区切り単位で２進表現の乱数列を区切る方法である。一方、上記の抽出方法＃２は、（Ｍビット区切りと考えられるため）最大の区切り単位で２進表現の乱数列を区切る方法である。上記の式（３０）及び式（３１）から分かるように、区切る長さに応じて、Ｎ個以上の３進数が抽出できない確率は異なる。因みに、図１９に示すように、ｋビット単位で２進Ｍシンボルの乱数列を区切った場合、Ｎ個以上の３進数が抽出できない確率Ｐ３は、下記の式（３２）のようになる。
【０２２１】
【数１８】
【０２２２】
Ｎ個以上の３進数が抽出できない確率Ｐ３を最小化することができれば、最も効率よく３進表現の乱数列を抽出できることになる。例えば、Ｍ＝５１２、Ｎ＝１４０の場合、ｋ＝８のときに確率Ｐ３が最小となる。
【０２２３】
（６−３−１：基本構成（図２０））
ここで、図２０を参照しながら、２進Ｍシンボルの乱数列から３進Ｌシンボルの乱数列を抽出する処理の流れについて説明する。図２０に示すように、まず、２進Ｍシンボルの乱数列が生成される（Ｓ２０１）。次いで、２進Ｍシンボルの乱数列が、ｋビット単位に区切られる（Ｓ２０２）。次いで、ｋビット単位で区切られたビット列Ｘ２ｋのうち、Ｘ２ｋ≦３Ｌとなるビット列が抽出される（Ｓ２０３）。次いで、抽出されたビット列が、３進数表現で出力され（Ｓ２０４）、一連の処理が終了する。
【０２２４】
（６−３−２：追加抽出方法（図２１））
上記の式（１５）で表現される確率Ｐ３が最小となる区切りの長さｋを算出し、図２０に示したアルゴリズムを実行することにより、２進表現の乱数列から３進表現の乱数列を効率的に抽出することが可能になる。しかし、本件発明者は、図２０のステップＳ２０４においてＸ２ｋ＞３Ｌとなるビット列が利用されない点に注目し、３進表現の乱数列をより効率的に抽出する方法を考案した。以下、この方法について、図２１を参照しながら説明する。
【０２２５】
この方法は、図２０のステップＳ２０４で抽出されなかったビット列を利用して、３進表現のシンボル列を抽出する方法である。図２１に示すように、まず、図２０のステップＳ２０４で抽出されなかった、Ｘ２ｋ＞３Ｌとなるビット列の組（例えば、ビット列の組をｙ１ｙ２…ｙＮ’と表現すると、個々のビット列ｙｉは３Ｌ≦ｙｉ＜２ｋ）が抽出される（Ｓ２１１）。次いで、抽出したビット列ｙｉからそれぞれ３Ｌが減算され、新たなビット列の組（例えば、新たなビット列の組をｚ１ｚ２…ｚＮ’と表現すると、個々のビット列ｚｉ＝ｙｉ−３Ｌは０≦ｚｉ＜２ｋ−３Ｌ）が算出される（Ｓ２１２）。
【０２２６】
次いで、新たなビット列の組から、ビット列ＸがＸ＜３Ｌ’となるものが抽出される（Ｓ２１３）。但し、Ｌ’は、３Ｌ’≦２ｋ−３Ｌとなる最大の整数である。次いで、ステップＳ２１３で抽出されたビット列が３進表現で出力され（Ｓ２１４）、一連の処理が終了する。このアルゴリズムを適用することにより、確率３Ｌ’／（２ｋ−３Ｌ）で新たにＬ’個の３進数を抽出することが可能になる。なお、この方法を再帰的に用いることで、さらに多くの３進数を抽出することができる。つまり、ステップＳ２１３でビット列ＸがＸ≧３Ｌ’となったビット列から同様にして３進数を抽出することができる。
【０２２７】
以上、２進数の一様乱数から３進数の一様乱数を効率的に生成する方法について説明した。
【０２２８】
＜７：多変数多項式の係数を効率的に代入する方法について＞
さて、これまでは多変数多項式を証明者（又は署名者）と検証者との間で共有する方法について具体的に明示してこなかった。多変数多項式を共有する方法としては、多変数多項式の係数（乱数）を生成する際に用いるシードを両者で共有する方法が考えられる。しかしながら、共有しているシードを利用して生成した乱数を係数に当てはめる順序を両者で共有しない限り、多変数多項式を共有したことにはならない。
【０２２９】
［７−１：基本的な取り決め］
そこで、証明者（又は署名者）と検証者との間で、共有しているシードを用いて生成した乱数列を、どの順序で多変数多項式に当てはめるかについて基本的な取り決めを行う。そして、多変数多項式を利用する際に、この基本的な取り決めに従って乱数列を多変数多項式に当てはめる。このような方法を用いれば、証明者（又は署名者）と検証者との間で多変数多項式を共有したことになる。
【０２３０】
［７−２：データの構造化］
但し、多変数多項式を構成する係数の数は膨大である。１つの係数が１ビット単位で表現されている場合、多変数多項式を表現するのに最低でも数万ビット以上のデータが必要になる。そのため、数を多変数多項式の係数に代入する処理の負荷は非常に高い。そこで、本件発明者は、多変数多項式の係数を所定の単位で構造化し、係数への代入処理を効率化する手法（構造化手法＃１及び＃２）を考案した。さらに、本件発明者は、同じ多変数多項式の係数に対して複数回の代入処理を実行する場合に、その処理効率を向上させる手法（構造化手法＃３）を考案した。以下、これらの手法について詳細に説明する。
【０２３１】
（７−２−１：構造化手法＃１（図２２〜図２６））
まず、構造化手法＃１について説明する。構造化手法＃１は、図２２及び図２３に示すように、多変数多項式を構成する同じ種類の項の係数を１つのデータ構造として纏める手法である。図２２の例では、多変数多項式Ｆの係数ａ１ＩＪ〜ａＭＩＪがデータ構造Ａとして纏められ、係数ｂ１Ｉ〜ｂＭＩがデータ構造Ｂとして纏められている。また、図２３に示すように、多変数多項式Ｇについても同様の手法が適用可能である。この場合、係数（ａ１ＩＪ＋ａ１ＪＩ）〜（ａＭＩＪ＋ａＭＪＩ）がデータ構造として纏められる。
【０２３２】
構造化手法＃１を適用しない場合、Ｍ本のＮ変数多項式で構成される多変数多項式Ｆの計算は、（例１）に示すようなアルゴリズムにより行われる。（例１）の場合、１ビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ＋１）×Ｍ／２回実行する必要がある。さらに、１ビットのＸＯＲ演算（＾）を１×Ｎ×（Ｎ＋１）×Ｍ／２回実行する必要がある。なお、入力ｘはＮビットであるとする。
【０２３３】
（例１）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｌ＝１ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ
［ｙのＬビット目］＾＝［ａＬＩＪ］＆［ｘのＩビット目］＆［ｘのＪビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２３４】
一方、図２２に示すように係数を構造化し、生成した乱数を多変数多項式Ｆの係数として一部ずつ逐次適用していく場合、係数の代入アルゴリズムは（例２）のようになる。（例２）の場合、ＭビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ＋１）／２回、ＭビットのＸＯＲ演算（＾）をＮ×（Ｎ＋１）／２回実行するだけで済む。なお、ａ（１〜Ｍ）ＩＪは、それぞれループのタイミングで生成される。また、係数を使い回してもよい。例えば、Ｎ（Ｎ−１）／２回のループを実行する際、［ａ（１〜Ｍ）ＩＪ］を毎回生成せず、Ｍ回に１回だけ生成するようにしてもよい。また、Ｍ回のループ中、［ａ（１〜Ｍ）ＩＪ］を１ビットずつローテーションしながら利用してもよい。
【０２３５】
（例２）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ
［ｙの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪ］＆［ｘのＩビット目］＆［ｘのＪビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２３６】
また、図２２に示すように係数を構造化する場合、多変数多項式Ｆの係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、上記のアルゴリズムは（例３）のようになる。なお、配列ａＩＪ［０］［０］〜ａＩＪ［２ｋ−１］［２ｋ−１］には、それぞれ、ａＩＪ［ｘ１，…，ｘｋ］［ｚ１，…，ｚｋ］＝（ａ（ｋ（Ｉ−１）＋１）（ｋ（Ｊ−１）＋１）＆ｘ１＆ｚ１）＾…＾（ａ（ｋ（Ｉ−１）＋１）（ｋ（Ｊ−１）＋ｋ）＆ｘ１＆ｚｋ）＾…＾（ａ（ｋ（Ｉ−１）＋ｋ）（ｋ（Ｊ−１）＋１）＆ｘｋ＆ｚ１）＾…＾（ａ（ｋ（Ｉ−１）＋ｋ）（ｋ（Ｊ−１）＋ｋ）＆ｘｋ＆ｚｋ）が格納されている。（例３）の場合、ＭビットのＸＯＲ演算（＾）を（Ｎ／ｋ）（Ｎ／ｋ＋１）／２回実行するだけで済む。但し、（例２）のアルゴリズムに比べると、必要なメモリ量は、２２ｋ／ｋ２倍となる。
【０２３７】
例えば、ｋ＝１のとき、ＭビットＸＯＲ演算が１２０＊１１９／２＝７１４０回、必要なメモリ量が（例２）の２２＝４倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＭビットＸＯＲ演算が６０＊５９／２＝１７７０回、必要なメモリ量が２４／４＝４倍、ループ回数が１／４となる。ｋ＝４のとき、ＭビットＸＯＲ演算が３０＊２９／２＝４３５回、必要なメモリ量が２８／４２＝１６倍、ループ回数が１／１６．４となる。ｋ＝６のとき、ＭビットＸＯＲ演算が２０＊１９／２＝１９０回、必要なメモリ量が２１２／６２＝１１４倍、ループ回数が１／３７．６となる。ｋ＝８のとき、ＭビットＸＯＲ演算が１５＊１４／２＝１３５回、必要なメモリが２１６／８２＝１０２４倍、ループ回数が１／５２．９となる。
【０２３８】
（例３）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ／ｋ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ／ｋ
［ｙの１〜Ｍビット目］＾＝ａ（１〜Ｍ）ＩＪ［ｘのｋ（Ｉ−１）＋１〜ｋビット目］［ｘのｋ（Ｊ−１）＋１〜ｋビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２３９】
なお、（例３）に示した手法は、ちょうど、下記の式（３３）で定義されるＦＩＪ（…）の値を予め計算し、配列として保持しておく手法と言える。
【０２４０】
【数１９】
【０２４１】
以上、構造化手法＃１を多変数多項式Ｆへ適用するケースを例に挙げて具体的なアルゴリズムについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２４２】
（Ｇへの適用）
ここまで、図２２を参照しながら、構造化手法＃１を適用して多変数多項式Ｆを計算するアルゴリズムについて説明してきた。一方で、多変数多項式Ｇの各要素も二次形式で表現されることから、図２３に示すように、同様にして上記の構造化手法＃１を多変数多項式Ｇの計算にそのまま適用することも可能である。
【０２４３】
例えば、上記の構造化手法＃１を適用しない場合、多変数多項式Ｇを計算するアルゴリズムは、下記の（例１’）のように表現される。なお、入力ｘ及びｙはそれぞれＮビットであるとする。
【０２４４】
（例１’）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｌ＝１ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
［ｚのＬビット目］＾＝［ａＬＩＪ＋ａＬＪＩ］＆［ｘのＩビット目］＆［ｙのＪビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２４５】
上記の（例１’）に対し、上述した構造化手法＃１を適用すると、多変数多項式Ｇを計算するアルゴリズムは、下記の（例２’）のようになる。
【０２４６】
（例２’）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
［ｚの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪ＋ａ（１〜Ｍ）ＪＩ］＆［ｘのＩビット目］＆［ｙのＪビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２４７】
また、多変数多項式Ｇの係数を適用した中間の結果をテーブルに保持する手法の場合、多変数多項式Ｇを計算するアルゴリズムは、上記の（例３）に対応して下記の（例３’）のようになる。なお、配列ａＩＪ［０］［０］〜ａＩＪ［２ｋ−１］［２ｋ−１］には、それぞれ、ａＩＪ［ｘ１，…，ｘｋ］［ｙ１，…，ｙｋ］＝（ａ（ｋ（Ｉ−１）＋１）（ｋ（Ｊ−１）＋１）＆ｘ１＆ｙ１）＾…＾（ａ（ｋ（Ｉ−１）＋１）（ｋ（Ｊ−１）＋ｋ）＆ｘ１＆ｙｋ）＾…＾（ａ（ｋ（Ｉ−１）＋ｋ）（ｋ（Ｊ−１）＋１）＆ｘｋ＆ｙ１）＾…＾（ａ（ｋ（Ｉ−１）＋ｋ）（ｋ（Ｊ−１）＋ｋ）＆ｘｋ＆ｙｋ）が格納されている。
【０２４８】
（例３’）の場合、ＭビットのＸＯＲ演算（＾）を（Ｎ／ｋ）２回実行するだけで済む。但し、（例２’）のアルゴリズムに比べると、必要なメモリ量は、２２ｋ／ｋ２倍となる。
【０２４９】
例えば、ｋ＝１のとき、ＭビットＸＯＲ演算が１２０２＝１４４００回、必要なメモリ量が（例２’）の２２＝４倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＭビットＸＯＲ演算が６０２＝３６００回、必要なメモリ量が２４／４＝４倍、ループ回数が１／４となる。ｋ＝４のとき、ＭビットＸＯＲ演算が３０２＝９００回、必要なメモリ量が２８／４２＝１６倍、ループ回数が１／１６となる。ｋ＝６のとき、ＭビットＸＯＲ演算が２０２＝４００回、必要なメモリ量が２１２／６２＝１１４倍、ループ回数が１／３６となる。ｋ＝８のとき、ＭビットＸＯＲ演算が１５２＝２２５回、必要なメモリが２１６／８２＝１０２４倍、ループ回数が１／６４となる。
【０２５０】
（例３’）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ／ｋ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ／ｋ
［ｚの１〜Ｍビット目］＾＝ａ（１〜Ｍ）ＩＪ［ｘのｋ（Ｉ−１）＋１〜ｋビット目］［ｙのｋ（Ｊ−１）＋１〜ｋビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２５１】
なお、（例３’）に示した手法は、ちょうど、下記の式（３４）で定義されるＧＩＪ（…）の値を予め計算し、配列として保持しておく手法と言える。
【０２５２】
【数２０】
【０２５３】
以上、多変数多項式Ｇを計算するケースを例に挙げ、構造化手法＃１に係る具体的なアルゴリズムの構成について説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２５４】
（３次多変数多項式Ｆへの適用）
ここまで、構造化手法＃１の具体例として、２次の多変数多項式の係数を構造化する手法を紹介してきたが、同様にして３次の多変数多項式の係数を構造化することも可能である。図２４の例では、係数ａ１ＩＪＬ〜ａＭＩＪＬがデータ構造Ａとして纏められ、係数ｂ１ＩＪ〜ｂＭＩＪがデータ構造Ｂとして纏められ、係数ｃ１Ｉ〜ｃＭＩがデータ構造Ｃとして纏められる。このように係数を構造化することで多変数多項式の計算が効率化される。
【０２５５】
例えば、データ構造Ａに係る計算について具体的に考えてみたい。係数を構造化しない場合、当該データ構造Ａに係る計算のアルゴリズムは、例えば、下記（例４）のようになる。
【０２５６】
（例４）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｑ＝Ｉ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ
ｆｏｒ Ｌ＝Ｊ ｔｏ Ｎ
［ｙのＱビット目］＾＝［ａＱＩＪＬ］＆［ｘのＩビット目］＆［ｘのＪビット目］＆［ｘのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２５７】
一方、係数を構造化すると、下記（例５）のようなアルゴリズムとなる。（例５）の場合、ＭビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ＋１）×（Ｎ＋２）／６回、ＭビットのＸＯＲ演算（＾）を１×Ｎ×（Ｎ＋１）×（Ｎ＋２）／６回実行するだけで済む。なお、ａ（１〜Ｍ）ＩＪＬは、それぞれループのタイミングで生成される。また、係数を使い回してもよい。例えば、ループを実行する際、［ａ（１〜Ｍ）ＩＪＬ］を毎回生成せず、Ｍ回に１回だけ生成するようにしてもよい。また、Ｍ回のループ中、［ａ（１〜Ｍ）ＩＪ］を１ビットずつローテーションしながら利用してもよい。
【０２５８】
（例５）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ
ｆｏｒ Ｌ＝Ｊ ｔｏ Ｎ
［ｙの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪＬ］＆［ｘのＩビット目］＆［ｘのＪビット目］＆［ｘのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２５９】
また、係数を構造化する場合、多変数多項式Ｆの係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、上記のアルゴリズムは（例６）のようになる。なお、配列ａＩＪＬ［０］［０］［０］〜ａＩＪＬ［２ｋ−１］［２ｋ−１］［２ｋ−１］には、それぞれ、ａＩＪＬ［ｘ１，…，ｘｋ］［ｚ１，…，ｚｋ］［ｗ１，…，ｗｋ］＝Σ１≦α，β，γ≦ｋ（ａ（ｋ（Ｉ−１）＋α）（ｋ（Ｊ−１）＋β）（ｋ（Ｌ−１）＋γ）＆ｘα＆ｚβ＆ｗγ）が格納されている。（例６）の場合、ＭビットのＸＯＲ演算（＾）を（Ｎ／ｋ）（Ｎ／ｋ＋１）（Ｎ／ｋ＋２）／６回実行するだけで済む。但し、（例４）のアルゴリズムに比べると、必要なメモリ量は、２３ｋ／ｋ３倍となる。
【０２６０】
例えば、ｋ＝１のとき、ＭビットＸＯＲ演算が１２０＊１２１＊１２２／６＝２９５２４０回、必要なメモリ量が（例４）の２３＝８倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＭビットＸＯＲ演算が６０＊６１＊６２／６＝３７８２０回、必要なメモリ量が２６／８＝８倍、ループ回数が１／７．８となる。ｋ＝４のとき、ＭビットＸＯＲ演算が３０＊３１＊３２／６＝４９６０回、必要なメモリ量が２１２／４３＝６４倍、ループ回数が１／５９．５となる。ｋ＝６のとき、ＭビットＸＯＲ演算が２０＊２１＊２２／６＝１５４０回、必要なメモリ量が２１８／６３＝１２１４倍、ループ回数が１／１９２となる。
【０２６１】
（例６）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ／ｋ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ／ｋ
ｆｏｒ Ｌ＝Ｊ ｔｏ Ｎ／ｋ
［ｙの１〜Ｍビット目］＾＝ａ（１〜Ｍ）ＩＪＬ［ｘのｋ（Ｉ−１）＋１〜ｋビット目］［ｘのｋ（Ｊ−１）＋１〜ｋビット目］［ｘのｋ（Ｌ−１）＋１〜ｋビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２６２】
なお、（例６）に示した手法は、ちょうど、下記の式（３５）で定義されるＦＩＪ（…）の値を予め計算し、配列として保持しておく手法と言える。
【０２６３】
【数２１】
【０２６４】
以上、構造化手法＃１を３次の多変数多項式Ｆへ適用するケースについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２６５】
（３次多変数多項式Ｇｘ，Ｇｙへの適用）
上記の（例５）や（例６）と同様、図２５及び図２６に示すように、３次の多変数多項式Ｇｘ，Ｇｙに対しても構造化手法＃１を適用することが可能である。構造化手法＃１を適用しない場合、３次の多変数多項式Ｇｘのデータ構造Ａに係る計算は、例えば、下記の（例４’Ｘ）のアルゴリズムにより実行される。
【０２６６】
（例４’Ｘ）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｑ＝１ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
ｆｏｒ Ｌ＝１ ｔｏ Ｎ
［ｚのＱビット目］＾＝［ａＱＩＪＬ＋ａＱＩＬＪ＋ａＱＬＪＩ］＆［ｙのＩビット目］＆［ｙのＪビット目］＆［ｘのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２６７】
上記の（例４’Ｘ）に対し、上述した構造化手法＃１を適用すると、多変数多項式Ｇｘを計算するアルゴリズムは、下記の（例５’Ｘ）のようになる。また、上記の（例６）と同様にして多変数多項式Ｇｘの係数を適用した中間の結果をテーブルに保持するようにしてもよい。
【０２６８】
（例５’Ｘ）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
ｆｏｒ Ｌ＝１ ｔｏ Ｎ
［ｚの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪＬ＋ａ（１〜Ｍ）ＩＬＪ＋ａ（１〜Ｍ）ＬＪＩ］＆［ｙのＩビット目］＆［ｙのＪビット目］＆［ｘのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２６９】
また、構造化手法＃１を適用しない場合、３次の多変数多項式Ｇｙの計算は、例えば、下記の（例４’Ｙ）のアルゴリズムにより実行される。
【０２７０】
（例４’Ｙ）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｑ＝１ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
ｆｏｒ Ｌ＝１ ｔｏ Ｎ
［ｚのＱビット目］＾＝［ａＱＩＪＬ＋ａＱＩＬＪ＋ａＱＬＪＩ］＆［ｘのＩビット目］＆［ｘのＪビット目］＆［ｙのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２７１】
上記の（例４’Ｙ）に対し、上述した構造化手法＃１を適用すると、多変数多項式Ｇｙを計算するアルゴリズムは、下記の（例５’Ｙ）のようになる。また、上記の（例６）と同様にして多変数多項式Ｇｙの係数を適用した中間の結果をテーブルに保持するようにしてもよい。
【０２７２】
（例５’Ｙ）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
ｆｏｒ Ｌ＝１ ｔｏ Ｎ
［ｚの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪＬ＋ａ（１〜Ｍ）ＩＬＪ＋ａ（１〜Ｍ）ＬＪＩ］＆［ｘのＩビット目］＆［ｘのＪビット目］＆［ｙのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２７３】
以上、構造化手法＃１を３次の多変数多項式Ｇｘ、Ｇｙへ適用するケースについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２７４】
（７−２−２：構造化手法＃２（図２７））
次に、構造化手法＃２について説明する。構造化手法＃２は、図２７に示すように、多変数多項式を２次形式で表現し、２次形式の行又は列を１つのデータ構造として纏める手法である。図２７の例では、行方向にデータ構造が纏められている。
【０２７５】
図２７に示すように係数を構造化し、生成した乱数を多変数多項式の係数として一部ずつ逐次適用していく場合、係数の代入アルゴリズムは（例４）のようになる。例４の場合、ＮビットのＡＮＤ演算（＆）を（Ｎ＋１）×Ｍ回、ＮビットのＸＯＲ演算（＾）をＮ×Ｍ回、関数Ｑの演算をＭ回実行するだけで済む。
【０２７６】
（例４）
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
Ｔ＾＝ＡＩ＆［ｘのＩビット目］；
ｅｎｄ ｆｏｒ
Ｔ＆＝ｘ；
ｏｕｔｐｕｔ Ｑ（Ｔ）；
【０２７７】
Ｑ（ｚ）｛
ｚ＝ｚ＾（ｚ＞＞１）；
ｚ＝ｚ＾（ｚ＞＞２）；
ｚ＝ｚ＾（ｚ＞＞４）；
ｚ＝ｚ＾（ｚ＞＞８）；
・・・
ｚ＝ｚ＾（ｚ＞＞２Ｌｏｇ（Ｎ））；
ｒｅｔｕｒｎ ｚ＆１；
｝
【０２７８】
また、図２７に示すように係数を構造化し、多変数多項式の係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、係数の代入アルゴリズムは（例５）のようになる。なお、配列ＡＩ［０］〜ＡＩ［２ｋ−１］には、それぞれ、ＡＩ［ｘ１，…，ｘｋ］＝（Ａ（ｋ（Ｉ−１）＋１）＆ｘ１）＾…＾（Ａ（ｋ（Ｉ−１）＋ｋ）＆ｘｋ）が格納されている。例５の場合、ＮビットのＸＯＲ演算（＾）を（Ｎ／ｋ）×Ｍ、Ｎビットの関数Ｑの演算をＭ回実行するだけで済む。但し、（例４）のアルゴリズムに比べると、必要なメモリ量は、２ｋ／ｋ倍となる。
【０２７９】
例えば、ｋ＝１のとき、ＮビットＸＯＲ演算が１２０回、必要なメモリ量が（例４）の２倍、ループ回数は変化なしとなる。また、ｋ＝４のとき、ＮビットＸＯＲ演算が３０回、必要なメモリ量が２４／４＝４倍、ループ回数が１／４となる。ｋ＝８のとき、ＮビットＸＯＲ演算が１５回、必要なメモリが２８／８＝３２倍、ループ回数が１／８となる。ｋ＝１６のとき、ＮビットＸＯＲ演算が８回、必要なメモリが２１６／１６＝４０９６倍、ループ回数が１／１５となる。
【０２８０】
（例５）
ｆｏｒ Ｉ＝１ ｔｏ Ｎ／ｋ
Ｔ＾＝ＡＩ［ｘのｋ（Ｉ−１）＋１〜ｋ（Ｉ−１）＋ｋビット目］；
ｅｎｄ ｆｏｒ
Ｔ＆＝ｘ；
ｏｕｔｐｕｔ Ｑ（Ｔ）；
【０２８１】
以上、構造化手法＃２に係る具体的な係数の代入アルゴリズムについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２８２】
（７−２−３：構造化手法＃３）
次に、構造化手法＃３について説明する。構造化手法＃３は、同じ多変数多項式にＮ回（Ｎ≧２）代入処理を行なう場合に、乱数から多項式をＮ回生成して代入処理を行うのではなく、「係数を一部生成し、その部分に関するＮ回分の処理を行なう」部分を単位とする逐次的な処理をＮ回分並列して行なうという手法である。この手法を適用すると、乱数生成のコストが無視できない場合にＮ回分の処理全体でのスループットが改善される。
【０２８３】
例えば、図５に示したアルゴリズムでは、工程＃１において引数を更新しながら多変数多項式Ｆ及びＧの計算をＮ回繰り返し実行している。そこで、このような計算部分について、同じ係数を利用して繰り返し演算を行うように構成する。上記（例２）のアルゴリズムを用いて多変数多項式Ｆ（ｒ０ｉ）（ｉ＝１〜Ｎ）を計算する場合、一度生成した［ａＩＪＬ］について、Ｎ個のｒ０ｉを全て適用した後で、次の［ａＩＪＬ］に関する処理を実行するように構成する。このように構成すると、同じ係数［ａＩＪＬ］をＮ回生成せずに済むようになる。
【０２８４】
以上、構造化手法＃３に係る具体的な係数の代入アルゴリズムについて説明した。かかる構成により、Ｎ回分の処理におけるトータルでのスループットが改善される。
【０２８５】
＜８：ハードウェア構成例（図２８）＞
上記の各アルゴリズムは、例えば、図２８に示す情報処理装置のハードウェア構成を用いて実行することが可能である。つまり、当該各アルゴリズムの処理は、コンピュータプログラムを用いて図２８に示すハードウェアを制御することにより実現される。なお、このハードウェアの形態は任意であり、例えば、パーソナルコンピュータ、携帯電話、ＰＨＳ、ＰＤＡ等の携帯情報端末、ゲーム機、接触式又は非接触式のＩＣチップ、接触式又は非接触式のＩＣカード、又は種々の情報家電がこれに含まれる。但し、上記のＰＨＳは、Ｐｅｒｓｏｎａｌ Ｈａｎｄｙ−ｐｈｏｎｅ Ｓｙｓｔｅｍの略である。また、上記のＰＤＡは、Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔの略である。
【０２８６】
図２８に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０と、を有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６と、を有する。但し、上記のＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。また、上記のＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略である。そして、上記のＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。
【０２８７】
ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータ等を格納する手段である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に適宜変化する各種パラメータ等が一時的又は永続的に格納される。
【０２８８】
これらの構成要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチ、及びレバー等が用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラ（以下、リモコン）が用いられることもある。
【０２８９】
出力部９１８としては、例えば、ＣＲＴ、ＬＣＤ、ＰＤＰ、又はＥＬＤ等のディスプレイ装置、スピーカ、ヘッドホン等のオーディオ出力装置、プリンタ、携帯電話、又はファクシミリ等、取得した情報を利用者に対して視覚的又は聴覚的に通知することが可能な装置である。但し、上記のＣＲＴは、Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅの略である。また、上記のＬＣＤは、Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙの略である。そして、上記のＰＤＰは、Ｐｌａｓｍａ ＤｉｓｐｌａｙＰａｎｅｌの略である。さらに、上記のＥＬＤは、Ｅｌｅｃｔｒｏ−Ｌｕｍｉｎｅｓｃｅｎｃｅ Ｄｉｓｐｌａｙの略である。
【０２９０】
記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ハードディスクドライブ（ＨＤＤ）等の磁気記憶デバイス、半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイス等が用いられる。但し、上記のＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略である。
【０２９１】
ドライブ９２２は、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８は、例えば、ＤＶＤメディア、Ｂｌｕ−ｒａｙメディア、ＨＤ ＤＶＤメディア、各種の半導体記憶メディア等である。もちろん、リムーバブル記録媒体９２８は、例えば、非接触型ＩＣチップを搭載したＩＣカード、又は電子機器等であってもよい。但し、上記のＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。
【０２９２】
接続ポート９２４は、例えば、ＵＳＢポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ、ＲＳ−２３２Ｃポート、又は光オーディオ端子等のような外部接続機器９３０を接続するためのポートである。外部接続機器９３０は、例えば、プリンタ、携帯音楽プレーヤ、デジタルカメラ、デジタルビデオカメラ、又はＩＣレコーダ等である。但し、上記のＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略である。また、上記のＳＣＳＩは、Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅの略である。
【０２９３】
通信部９２６は、ネットワーク９３２に接続するための通信デバイスであり、例えば、有線又は無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＷＵＳＢ用の通信カード、光通信用のルータ、ＡＤＳＬ用のルータ、又は接触又は非接触通信用のデバイス等である。また、通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークにより構成され、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、可視光通信、放送、又は衛星通信等である。但し、上記のＬＡＮは、Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋの略である。また、上記のＷＵＳＢは、Ｗｉｒｅｌｅｓｓ ＵＳＢの略である。そして、上記のＡＤＳＬは、Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅの略である。
【０２９４】
＜９：まとめ＞
最後に、本技術の実施形態に係る技術内容について簡単に纏める。ここで述べる技術内容は、例えば、ＰＣ、携帯電話、ゲーム機、情報端末、情報家電、カーナビゲーションシステム等、種々の情報処理装置に対して適用することができる。なお、以下で述べる情報処理装置の機能は、１台の情報処理装置を利用して実現することも可能であるし、複数台の情報処理装置を利用して実現することも可能である。また、以下で述べる情報処理装置が処理を実行する際に用いるデータ記憶手段及び演算処理手段は、当該情報処理装置に設けられたものであってもよいし、ネットワークを介して接続された機器に設けられたものであってもよい。
【０２９５】
上記の情報処理装置の機能構成は以下のように表現される。例えば、下記（１）に記載の情報処理装置は、多次多変数連立方程式の求解困難性に安全性の根拠を置く効率的な公開鍵認証方式又は電子署名方式のアルゴリズムを実行する機能を有する。
【０２９６】
（１）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、
前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備え、
前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理装置。
【０２９７】
（２）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、
前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備え、
前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理装置。
【０２９８】
（３）
前記数生成部は、前記割当部が１つのグループに対する割り当て処理を実行する際に、当該１つのグループに属する係数の分だけ前記数を生成する、
上記（１）又は（２）に記載の情報処理装置。
【０２９９】
（４）
前記数生成部は、前記１つのグループに属する係数の分だけ前記数を生成する際、１つの数を生成し、生成した数を１ビットずつローテーションして所要数の数を生成する、
上記（３）に記載の情報処理装置。
【０３００】
（５）
前記各グループに対応する種類の項に前記係数を割り当て、当該項の変数に任意の数を代入した値をテーブルとして保持するテーブル保持部をさらに備える、
上記（１）又は（２）に記載の情報処理装置。
【０３０１】
（６）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成部と、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備える、
情報処理装置。
【０３０２】
（７）
前記情報は、乱数のシードであり、
前記所定の関数は、前記シードを利用して乱数を生成する乱数生成器である、
上記（１）〜（６）のいずれか１項に記載の情報処理装置。
【０３０３】
（８）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記回答情報は、前記乱数の組及び前記メッセージの中から前記検証パターンに応じて選択される情報であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０４】
（９）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０５】
（１０）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
前記検証者に前記第３の情報を提供する中間情報提供部と、
ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記回答情報は、前記メッセージの中から前記検証パターンに応じて選択される情報であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０６】
（１１）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０７】
（１２）
前記アルゴリズムが複数回繰り返し実行される場合において、前記数生成部は１回だけ前記数を生成し、前記割当部は１回だけ前記割り当て処理を実行し、
前記アルゴリズムは、前記割当部が割り当てた係数を繰り返し利用する、
上記（１）又は（２）に記載の情報処理装置。
【０３０８】
（１３）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及び署名鍵ｓ∈Ｋｎを用いて文書Ｍに対する電子署名を生成する署名生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者へと前記電子署名を提供する署名提供部と、
を備える、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０９】
（１４）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、
生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含み、
前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理方法。
【０３１０】
（１５）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、
生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含み、
前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理方法。
【０３１１】
（１６）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成するステップと、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含む、
情報処理方法。
【０３１２】
（１７）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、
前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラムであり、
前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
プログラム。
【０３１３】
（１８）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、
前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラムであり、
前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
プログラム。
【０３１４】
（１９）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成機能と、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラム。
【０３１５】
（２０）
上記の（１９）に記載のプログラムが記録された、コンピュータにより読み取り可能な記録媒体。
【０３１６】
（備考）
上記の証明者アルゴリズムＰ、検証者アルゴリズムＶ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、数生成部、割当部、テーブル保持部の一例である。上記の証明者アルゴリズムＰは、メッセージ生成部、メッセージ提供部、回答提供部、中間情報生成部、中間情報提供部の一例である。また、上記の検証者アルゴリズムＶは、情報保持部、メッセージ取得部、パターン情報提供部、回答取得部、検証部、中間情報取得部の一例である。
【０３１７】
以上、添付図面を参照しながら本技術の好適な実施形態について説明したが、本技術は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本技術の技術的範囲に属するものと了解される。
【０３１８】
上記の説明において、ハッシュ関数Ｈを用いるアルゴリズムを紹介したが、ハッシュ関数Ｈの代わりにコミットメント関数ＣＯＭを用いてもよい。コミットメント関数ＣＯＭは、文字列Ｓ及び乱数ρを引数にとる関数である。コミットメント関数の例としては、Ｓｈａｉ ＨａｌｅｖｉとＳｉｌｖｉｏ Ｍｉｃａｌｉによって国際会議ＣＲＹＰＴＯ１９９６で発表された方式などがある。
【符号の説明】
【０３１９】
Ｇｅｎ 鍵生成アルゴリズム
Ｐ 証明者アルゴリズム
Ｖ 検証者アルゴリズム
Ｓｉｇ 署名生成アルゴリズム
Ｖｅｒ 署名検証アルゴリズム
【技術分野】
【０００１】
本技術は、情報処理装置、情報処理方法、及びプログラムに関する。
【背景技術】
【０００２】
情報処理技術や通信技術の急速な発展に伴い、公文書、私文書を問わず、文書の電子化が急速に進んでいる。これに伴い、多くの個人や企業は、電子文書の安全管理に大きな関心を寄せている。こうした関心の高まりを受け、各方面で電子文書の盗聴や偽造等のタンパリング行為に対する対抗策が盛んに研究されるようになってきた。電子文書の盗聴に対しては、例えば、電子文書を暗号化することにより安全性が確保される。また、電子文書の偽造に対しては、例えば、電子署名を利用することにより安全性が確保される。但し、利用する暗号や電子署名が高いタンパリング耐性を有していなければ、十分な安全性が保証されない。
【０００３】
電子署名は、電子文書の作成者を特定するために利用される。そのため、電子署名は、電子文書の作成者しか生成できないようにすべきである。仮に、悪意ある第三者が同じ電子署名を生成できてしまうと、その第三者が電子文書の作成者に成りすますことができてしまう。つまり、悪意ある第三者により電子文書が偽造されてしまう。こうした偽造を防止するため、電子署名の安全性については様々な議論が交わされてきた。現在広く利用されている電子署名方式としては、例えば、ＲＳＡ署名方式やＤＳＡ署名方式などが知られている。
【０００４】
ＲＳＡ署名方式は、「大きな合成数に対する素因数分解の困難性（以下、素因数分解問題）」を安全性の根拠とする。また、ＤＳＡ署名方式は、「離散対数問題に対する解の導出の困難性」を安全性の根拠とする。これらの根拠は、古典的なコンピュータを利用して素因数分解問題や離散対数問題を効率的に解くアルゴリズムが存在しないことに起因する。つまり、上記の困難性は、古典的なコンピュータにおける計算量的な困難性を意味する。しかしながら、量子コンピュータを用いると、素因数分解問題や離散対数問題に対する解答が効率的に算出されてしまうと言われている。
【０００５】
現在利用されている電子署名方式や公開鍵認証方式の多くは、ＲＳＡ署名方式やＤＳＡ署名方式と同様、素因数分解問題や離散対数問題の困難性に安全性の根拠をおいている。そのため、こうした電子署名方式や公開鍵認証方式は、量子コンピュータが実用化された場合に、その安全性が確保されないことになる。そこで、素因数分解問題や離散対数問題など、量子コンピュータにより容易に解かれてしまう問題とは異なる問題に安全性の根拠をおく新たな電子署名方式及び公開鍵認証方式の実現が求められている。量子コンピュータにより容易に解くことが難しい問題としては、例えば、多変数多項式問題がある。
【０００６】
多変数多項式問題に安全性の根拠をおく電子署名方式としては、例えば、ＭＩ（Ｍａｔｓｕｍｏｔｏ−Ｉｍａｉ ｃｒｙｐｔｏｇｒａｐｈｙ）、ＨＦＥ（Ｈｉｄｄｅｎ Ｆｉｅｌｄ Ｅｑｕａｔｉｏｎ ｃｒｙｐｔｏｇｒａｐｈｙ）、ＯＶ（Ｏｉｌ−Ｖｉｎｅｇａｒ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ）、ＴＴＭ（Ｔａｍｅｄ Ｔｒａｎｓｆｏｒｍａｔｉｏｎ Ｍｅｔｈｏｄ ｃｒｙｐｔｏｇｒａｐｈｙ）に基づく方式が知られている。例えば、下記の非特許文献１、２には、ＨＦＥに基づく電子署名方式が開示されている。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】Ｊａｃｑｕｅｓ Ｐａｔａｒｉｎ Ａｓｙｍｍｅｔｒｉｃ Ｃｒｙｐｔｏｇｒａｐｈｙ ｗｉｔｈ ａ Ｈｉｄｄｅｎ Ｍｏｎｏｍｉａｌ． ＣＲＹＰＴＯ １９９６， ｐｐ．４５−６０．
【非特許文献２】Ｐａｔａｒｉｎ， Ｊ．， Ｃｏｕｒｔｏｉｓ， Ｎ．， ａｎｄ Ｇｏｕｂｉｎ， Ｌ． ＱＵＡＲＴＺ， １２８−Ｂｉｔ Ｌｏｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ． Ｉｎ Ｎａｃｃａｃｈｅ，Ｄ．， Ｅｄ． Ｔｏｐｉｃｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ − ＣＴ−ＲＳＡ ２００１ （Ｓａｎ Ｆｒａｎｃｉｓｃｏ， ＣＡ， ＵＳＡ， Ａｐｒｉｌ ２００１）， ｖｏｌ． ２０２０ ｏｆ Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ．， ｐｐ．２８２−２９７．
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上記の通り、多変数多項式問題は、量子コンピュータを用いても解くことが困難なＮＰ困難問題と呼ばれる問題の一例である。通常、ＨＦＥなどに代表される多変数多項式問題を利用した公開鍵認証方式は、特殊なトラップドアが仕込まれた多次多変数連立方程式を利用している。例えば、ｘ１，…，ｘｎに関する多次多変数連立方程式Ｆ（ｘ１，…，ｘｎ）＝ｙと線形変換Ａ及びＢが用意され、線形変換Ａ及びＢが秘密に管理される。この場合、多次多変数連立方程式Ｆ、線形変換Ａ及びＢがトラップドアとなる。
【０００９】
トラップドアＦ，Ａ，Ｂを知っているエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ’を解くことができる。一方、トラップドアＦ，Ａ，Ｂを知らないエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ’を解くことができない。この仕組みを利用することにより、多次多変数連立方程式の解答困難性を安全性の根拠とする公開鍵認証方式や電子署名方式が実現される。
【００１０】
上記の通り、こうした公開鍵認証方式や電子署名方式を実現するには、Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙを満たすような特殊な多次多変数連立方程式を用意する必要がある。また、署名生成時に多次多変数連立方程式Ｆを解く必要がある。そのため、利用可能な多次多変数連立方程式Ｆは、比較的容易に解けるものに限られていた。すなわち、これまでの方式においては、比較的容易に解ける３つの関数（トラップドア）Ｂ、Ｆ、Ａを合成した形の多次多変数連立方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙしか用いることができず、十分な安全性を確保することが難しかった。
【００１１】
そこで、本件発明者は、上記の事情に鑑みて、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて高い安全性を有する効率的な公開鍵認証方式及び電子署名方式を考案した（Ｋｏｉｃｈｉ Ｓａｋｕｍｏｔｏ，Ｔａｉｚｏ Ｓｈｉｒａｉ ａｎｄ Ｈａｒｕｎａｇａ Ｈｉｗａｔａｒｉ，“Ｐｕｂｌｉｃ−Ｋｅｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｓｃｈｅｍｅｓ Ｂａｓｅｄ ｏｎ Ｍｕｌｔｉｖａｒｉａｔｅ Ｑｕａｄｒａｔｉｃ Ｐｏｌｙｎｏｍｉａｌｓ”，ＣＲＹＰＴＯ ２０１１，ＬＮＣＳ ６８４１，ｐｐ．７０６−７２３，２０１１．）。
【００１２】
しかし、この公開鍵認証方式及び電子署名方式で利用する多変数多項式は係数の数が多く、公開鍵として利用するには、証明者と検証者との間で効率的に係数を割り当てる方法を決めておく必要があった。本技術は、効率的に多変数多項式の係数を代入することが可能な、新規かつ改良された情報処理装置、情報処理方法、及びプログラムの提供を意図して考案されたものである。
【課題を解決するための手段】
【００１３】
本技術のある観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、を備え、前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、情報処理装置が提供される。
【００１４】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、を備え、前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、情報処理装置が提供される。
【００１５】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成部と、前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、を備える、情報処理装置が提供される。
【００１６】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、を含み、前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、情報処理方法が提供される。
【００１７】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、を含み、前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、情報処理方法が提供される。
【００１８】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成するステップと、前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、を含む、情報処理方法が提供される。
【００１９】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、をコンピュータに実現させるためのプログラムであり、前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、プログラムが提供される。
【００２０】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、をコンピュータに実現させるためのプログラムであり、前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、プログラムが提供される。
【００２１】
また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成機能と、前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、をコンピュータに実現させるためのプログラムが提供される。
【００２２】
また、本技術の別の観点によれば、上記のプログラムが記録された、コンピュータにより読み取り可能な記録媒体が提供される。
【発明の効果】
【００２３】
以上説明したように本技術によれば、効率的に多変数多項式の係数を代入することが可能になる。
【図面の簡単な説明】
【００２４】
【図１】公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。
【図２】電子署名方式に係るアルゴリズムの構成について説明するための説明図である。
【図３】ｎパスの公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。
【図４】３パスの公開鍵認証方式に係る効率的なアルゴリズムについて説明するための説明図である。
【図５】３パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。
【図６】３パスの公開鍵認証方式に係る効率的なアルゴリズムについて説明するための説明図である。
【図７】５パスの公開鍵認証方式に係る効率的なアルゴリズムの構成例について説明するための説明図である。
【図８】５パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。
【図９】５パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。
【図１０】３パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。
【図１１】５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。
【図１２】ハッシュ関数の構造例について説明するための説明図である。
【図１３】３パス方式に基づく電子署名方式に係る署名検証方法（通常の実装方法）について説明するための説明図である。
【図１４】３パス方式に基づく電子署名方式に係る署名検証方法（メモリ削減方法）について説明するための説明図である。
【図１５】５パス方式に基づく電子署名方式に係る署名検証方法（通常の実装方法）について説明するための説明図である。
【図１６】５パス方式に基づく電子署名方式に係る署名検証方法（メモリ削減方法）について説明するための説明図である。
【図１７】２進乱数から３進乱数を抽出する方法（抽出方法＃１）について説明するための説明図である。
【図１８】２進乱数から３進乱数を抽出する方法（抽出方法＃２）について説明するための説明図である。
【図１９】２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。
【図２０】２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。
【図２１】２進乱数から３進乱数を抽出する方法（抽出方法＃３）について説明するための説明図である。
【図２２】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２３】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２４】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２５】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２６】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。
【図２７】多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃２）について説明するための説明図である。
【図２８】本技術の各実施形態に係るアルゴリズムを実行することが可能な情報処理装置のハードウェア構成例について説明するための説明図である。
【発明を実施するための形態】
【００２５】
以下に添付図面を参照しながら、本技術の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００２６】
［説明の流れについて］
ここで、以下に記載する本技術の実施形態に関する説明の流れについて簡単に述べる。まず、図１を参照しながら、公開鍵認証方式のアルゴリズム構成について説明する。次いで、図２を参照しながら、電子署名方式のアルゴリズム構成について説明する。次いで、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。
【００２７】
次いで、図４〜図６を参照しながら、３パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図７〜図９を参照しながら、５パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図１０及び図１１を参照しながら、３パス及び５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明する。
【００２８】
次いで、図１２〜図１６を参照しながら、本実施形態に係る電子署名方式のアルゴリズムを実行する際に署名検証に要するメモリ量を削減する方法について説明する。次いで、図１７〜図２１を参照しながら、２進乱数から３進乱数を効率的に抽出する方法について説明する。次いで、図２２〜図２７を参照しながら、多変数多項式の係数を効率的に代入する方法について説明する。次いで、図２８を参照しながら、本技術の実施形態に係る各アルゴリズムを実現することが可能な情報処理装置のハードウェア構成例について説明する。最後に、本実施形態の技術的思想について纏め、当該技術的思想から得られる作用効果について簡単に説明する。
【００２９】
（説明項目）
１：はじめに
１−１：公開鍵認証方式のアルゴリズム
１−２：電子署名方式のアルゴリズム
１−３：ｎパスの公開鍵認証方式
２：３パスの公開鍵認証方式に係るアルゴリズムの構成
２−１：具体的なアルゴリズムの構成例
２−２：並列化アルゴリズムの構成例
２−３：３次多変数多項式に基づくアルゴリズムの構成例
３：５パスの公開鍵認証方式に係るアルゴリズムの構成
３−１：具体的なアルゴリズムの構成例
３−２：並列化アルゴリズムの構成例
３−３：３次多変数多項式に基づくアルゴリズムの構成例
４：電子署名方式への変形
４−１：３パスの公開鍵認証方式から電子署名方式への変形
４−２：５パスの公開鍵認証方式から電子署名方式への変形
５：署名検証に要するメモリ量の削減方法について
５−１：ハッシュ関数の構造について
５−２：３パス方式に基づく電子署名方式への適用例
５−３：５パス方式に基づく電子署名方式への適用例
６：２進数の乱数列から３進数の乱数列を抽出する方法について
６−１：抽出方法＃１（２ビット区切り）
６−２：抽出方法＃２（区切りなし）
６−３：抽出方法＃３（ｋビット区切り）
６−３−１：基本構成
６−３−２：追加抽出方法
７：多変数多項式の係数を効率的に代入する方法について
７−１：基本的な取り決め
７−２：データの構造化
７−２−１：構造化手法＃１
７−２−２：構造化手法＃２
７−２−３：構造化手法＃３
８：ハードウェア構成例
９：まとめ
【００３０】
＜１：はじめに＞
本実施形態は、多次多変数連立方程式に対する求解問題の困難性に安全性の根拠をおく公開鍵認証方式及び電子署名方式に関する。但し、本実施形態は、ＨＦＥ電子署名方式などの従来手法とは異なり、効率的に解く手段（トラップドア）を持たない多次多変数連立方程式を利用する公開鍵認証方式及び電子署名方式に関する。まず、公開鍵認証方式のアルゴリズム、電子署名方式のアルゴリズム、及びｎパスの公開鍵認証方式について、その概要を簡単に説明する。
【００３１】
［１−１：公開鍵認証方式のアルゴリズム］
まず、図１を参照しながら、公開鍵認証方式のアルゴリズムについて概要を説明する。図１は、公開鍵認証方式のアルゴリズムについて概要を説明するための説明図である。
【００３２】
公開鍵認証は、ある人（証明者）が、公開鍵ｐｋ及び秘密鍵ｓｋを利用して、他の人（検証者）に本人であることを納得させるために利用される。例えば、証明者Ａの公開鍵ｐｋＡは、検証者Ｂに公開される。一方、証明者Ａの秘密鍵ｓｋＡは、証明者Ａにより秘密に管理される。公開鍵認証の仕組みにおいては、公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知る者が証明者Ａ本人であるとみなされる。
【００３３】
公開鍵認証の仕組みを利用して証明者Ａが証明者Ａ本人であることを検証者Ｂに証明するには、対話プロトコルを介して、証明者Ａが公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知っているという証拠を検証者Ｂに提示すればよい。そして、証明者Ａが秘密鍵ｓｋＡを知っているという証拠が検証者Ｂに提示され、その証拠を検証者Ｂが確認し終えた場合、証明者Ａの正当性（本人であること）が証明されたことになる。
【００３４】
但し、公開鍵認証の仕組みには、安全性を担保するために以下の条件が求められる。
【００３５】
１つ目の条件は、「対話プロトコルを実行した際に秘密鍵ｓｋを持たない偽証者により偽証が成立してしまう確率を限りなく小さくする」ことである。この１つ目の条件が成り立つことを「健全性」と呼ぶ。つまり、健全性とは、「秘密鍵ｓｋを持たない偽証者により、対話プロトコルの実行中に無視できない確率で偽証が成立することはないこと」と言い換えられる。２つ目の条件は、「対話プロトコルを実行したとしても、証明者Ａが有する秘密鍵ｓｋＡの情報が検証者Ｂに一切漏れることがない」ことである。この２つ目の条件が成り立つことを「零知識性」と呼ぶ。
【００３６】
安全に公開鍵認証を行うには、健全性及び零知識性を有する対話プロトコルを利用する必要がある。仮に、健全性及び零知識性を有しない対話プロトコルを用いて認証処理を行った場合には、偽証された可能性及び秘密鍵の情報が漏れてしまった可能性が否定できないため、処理自体が成功裡に完了しても証明者の正当性を証明したことにはならない。従って、対話プロトコルの健全性及び零知識性を如何に保証するかが重要になる。
【００３７】
（モデル）
公開鍵認証方式のモデルには、図１に示すように、証明者と検証者という２つのエンティティが存在する。証明者は、鍵生成アルゴリズムＧｅｎを用いて、証明者固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成する。次いで、証明者は、鍵生成アルゴリズムＧｅｎを用いて生成した秘密鍵ｓｋと公開鍵ｐｋの組を利用して検証者と対話プロトコルを実行する。このとき、証明者は、証明者アルゴリズムＰを利用して対話プロトコルを実行する。上記の通り、証明者は、証明者アルゴリズムＰを利用し、対話プロトコルの中で秘密鍵ｓｋを保有している証拠を検証者に提示する。
【００３８】
一方、検証者は、検証者アルゴリズムＶを利用して対話プロトコルを実行し、証明者が公開している公開鍵に対応する秘密鍵を、その証明者が保有しているか否かを検証する。つまり、検証者は、証明者が公開鍵に対応する秘密鍵を保有しているか否かを検証するエンティティである。このように、公開鍵認証方式のモデルは、証明者と検証者という２つのエンティティ、及び、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶという３つのアルゴリズムにより構成される。
【００３９】
なお、以下の説明において、「証明者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰを実行する主体は、「証明者」のエンティティに対応する情報処理装置である。同様に、検証者アルゴリズムＶを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図２８に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
【００４０】
（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、証明者により利用される。鍵生成アルゴリズムＧｅｎは、証明者に固有の秘密鍵ｓｋと公開鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは公開される。そして、公開された公開鍵ｐｋは、検証者により利用される。一方、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者が秘密に管理する。そして、証明者により秘密に管理される秘密鍵ｓｋは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するために利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（１）のように表現される。
【００４１】
【数１】
【００４２】
（証明者アルゴリズムＰ）
証明者アルゴリズムＰは、証明者により利用される。証明者アルゴリズムＰは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するためのアルゴリズムである。つまり、証明者アルゴリズムＰは、秘密鍵ｓｋと公開鍵ｐｋとを入力とし、対話プロトコルを実行するアルゴリズムである。
【００４３】
（検証者アルゴリズムＶ）
検証者アルゴリズムＶは、検証者により利用される。検証者アルゴリズムＶは、対話プロトコルの中で、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有しているか否かを検証するアルゴリズムである。検証者アルゴリズムＶは、公開鍵ｐｋを入力とし、対話プロトコルの実行結果に応じて０又は１（１ｂｉｔ）を出力するアルゴリズムである。なお、検証者は、検証者アルゴリズムＶが０を出力した場合には証明者が不正なものであると判断し、１を出力した場合には証明者が正当なものであると判断する。形式的に、検証者アルゴリズムＶは、下記の式（２）のように表現される。
【００４４】
【数２】
【００４５】
上記の通り、意味のある公開鍵認証を実現するには、対話プロトコルが健全性及び零知識性という２つの条件を満たしている必要がある。しかし、証明者が秘密鍵ｓｋを保有していることを証明するためには、証明者が秘密鍵ｓｋに依存した手続きを実行し、その結果を検証者に通知した上で、その通知内容に基づく検証を検証者に実行させる必要がある。秘密鍵ｓｋに依存した手続きを実行するのは、健全性を担保するために必要である。一方で、秘密鍵ｓｋの情報が一切検証者に漏れないようにする必要がある。そのため、これらの要件を満たすように、上記の鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶを巧妙に設計する必要がある。
【００４６】
以上、公開鍵認証方式のアルゴリズムについて、その概要を説明した。
【００４７】
［１−２：電子署名方式のアルゴリズム］
次に、図２を参照しながら、電子署名方式のアルゴリズムについて概要を説明する。図２は、電子署名方式のアルゴリズムについて概要を説明するための説明図である。
【００４８】
紙文書とは異なり、ある電子化されたデータに対して押印したり署名を記載したりすることはできない。そのため、電子化されたデータの作成者を証明するためには、紙文書に押印したり署名を記載したりするのと同等の効果が得られる電子的な仕組みを必要とする。この仕組みが電子署名である。電子署名とは、データの作成者しか知らない署名データをデータに関連付けて受領者に提供し、その署名データを受領者側で検証する仕組みのことを言う。
【００４９】
（モデル）
電子署名方式のモデルには、図２に示すように、署名者及び検証者という２つのエンティティが存在する。そして、電子署名方式のモデルは、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒという３つのアルゴリズムにより構成される。
【００５０】
署名者は、鍵生成アルゴリズムＧｅｎを利用して署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成する。また、署名者は、署名生成アルゴリズムＳｉｇを利用して文書Ｍに付与する電子署名σを生成する。つまり、署名者は、文書Ｍに電子署名を付与するエンティティである。一方、検証者は、署名検証アルゴリズムＶｅｒを利用して文書Ｍに付与された電子署名σを検証する。つまり、検証者は、文書Ｍの作成者が署名者であるか否かを確認するために、電子署名σを検証するエンティティである。
【００５１】
なお、以下の説明において、「署名者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇを実行する主体は、「署名者」のエンティティに対応する情報処理装置である。同様に、署名検証アルゴリズムＶｅｒを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図２８に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
【００５２】
（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、署名者により利用される。鍵生成アルゴリズムＧｅｎは、署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された検証鍵ｐｋは公開される。一方、鍵生成アルゴリズムＧｅｎにより生成された署名鍵ｓｋは、署名者により秘密に管理される。そして、署名鍵ｓｋは、文書Ｍに付与される電子署名σの生成に利用される。例えば、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、署名鍵ｓｋ及び公開鍵ｐｋを出力する。この場合、鍵生成アルゴリズムＧｅｎは、形式的に、下記の式（３）のように表現することができる。
【００５３】
【数３】
【００５４】
（署名生成アルゴリズムＳｉｇ）
署名生成アルゴリズムＳｉｇは、署名者により利用される。署名生成アルゴリズムＳｉｇは、文書Ｍに付与される電子署名σを生成するアルゴリズムである。署名生成アルゴリズムＳｉｇは、署名鍵ｓｋと文書Ｍとを入力とし、電子署名σを出力するアルゴリズムである。この署名生成アルゴリズムＳｉｇは、形式的に、下記の式（４）のように表現することができる。
【００５５】
【数４】
【００５６】
（署名検証アルゴリズムＶｅｒ）
署名検証アルゴリズムＶｅｒは、検証者により利用される。署名検証アルゴリズムＶｅｒは、電子署名σが文書Ｍに対する正当な電子署名であるか否かを検証するアルゴリズムである。署名検証アルゴリズムＶｅｒは、署名者の検証鍵ｐｋ、文書Ｍ、電子署名σを入力とし、０又は１（１ｂｉｔ）を出力するアルゴリズムである。この署名検証アルゴリズムＶｅｒは、形式的に、下記の式（５）のように表現することができる。なお、検証者は、署名検証アルゴリズムＶｅｒが０を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを拒否する場合）に電子署名σが不当であると判断し、１を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを受理する場合）に電子署名σが正当であると判断する。
【００５７】
【数５】
【００５８】
以上、電子署名方式のアルゴリズムについて、その概要を説明した。
【００５９】
［１−３：ｎパスの公開鍵認証方式］
次に、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。図３は、ｎパスの公開鍵認証方式について説明するための説明図である。
【００６０】
上記の通り、公開鍵認証方式は、対話プロトコルの中で、証明者が公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを検証者に証明する認証方式である。また、対話プロトコルは、健全性及び零知識性という２つの条件を満たす必要がある。そのため、対話プロトコルの中では、図３に示すように、証明者及び検証者の双方がそれぞれ処理を実行しながらｎ回の情報交換を行う。
【００６１】
ｎパスの公開鍵認証方式の場合、証明者アルゴリズムＰを用いて証明者により処理（工程＃１）が実行され、情報Ｔ１が検証者に送信される。次いで、検証者アルゴリズムＶを用いて検証者により処理（工程＃２）が実行され、情報Ｔ２が証明者に送信される。さらに、ｋ＝３〜ｎについて処理の実行及び情報Ｔｋの送信が順次行われ、最後に処理（工程＃ｎ＋１）が実行される。このように、情報がｎ回送受信される方式のことを「ｎパス」の公開鍵認証方式と呼ぶ。
【００６２】
以上、ｎパスの公開鍵認証方式について説明した。
【００６３】
＜２：３パスの公開鍵認証方式に係るアルゴリズムの構成＞
以下、３パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、３パスの公開鍵認証方式のことを「３パス方式」と呼ぶ場合がある。
【００６４】
［２−１：具体的なアルゴリズムの構成例（図４）］
まず、図４を参照しながら、３パス方式に係る具体的なアルゴリズムの構成例について紹介する。図４は、３パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆｉ（ｘ）は、下記の式（６）のように表現されるものとする。また、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。
【００６５】
【数６】
【００６６】
また、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））は、下記の式（７）のように表現することができる。また、Ａ１，…，Ａｍは、ｎ×ｎ行列である。さらに、ｂ１，…，ｂｍはそれぞれｎ×１ベクトルである。
【００６７】
【数７】
【００６８】
この表現を用いると、多変数多項式Ｆは、下記の式（８）及び式（９）のように表現することができる。この表現が成り立つことは、下記の式（１０）から容易に確認することができる。
【００６９】
【数８】
【００７０】
このようにＦ（ｘ＋ｙ）をｘに依存する第１の部分と、ｙに依存する第２の部分と、ｘ及びｙの両方に依存する第３の部分とに分けたとき、第３の部分に対応する項Ｇ（ｘ，ｙ）は、ｘ及びｙについて双線形になる。以下、項Ｇ（ｘ，ｙ）を双線形項と呼ぶ場合がある。この性質を利用すると、効率的なアルゴリズムを構築することが可能になる。
【００７１】
例えば、ベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ）のマスクに利用する多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と表現する。この場合、多変数多項式Ｆ（ｘ＋ｒ０）とＧ（ｘ）との和は、下記の式（１１）のように表現される。ここで、ｔ１＝ｒ０＋ｔ０、ｅ１＝Ｆ（ｒ０）＋ｅ０とおけば、多変数多項式Ｆ２（ｘ）＝Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）は、ベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。そのため、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０に設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズの少ない効率的なアルゴリズムを実現することが可能になる。
【００７２】
【数９】
【００７３】
なお、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性が担保される。以下、上記の論理に基づいて構築された３パス方式のアルゴリズムについて説明する。ここで説明する３パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。
【００７４】
（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。
【００７５】
（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
以下、図４を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図４に示したフローチャートに沿って説明を進める。
【００７６】
工程＃１：
図４に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ−ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１←ｒ０−ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←Ｆ（ｒ０）−ｅ０を計算する。
【００７７】
工程＃１（続き）：
次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ２←Ｈ（ｔ１，ｅ１）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１，ｃ２）は、検証者アルゴリズムＶに送られる。
【００７８】
工程＃２：
メッセージ（ｃ０，ｃ１，ｃ２）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
【００７９】
工程＃３：
要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｔ１，ｅ１）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ０，ｅ０）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ１，ｅ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
【００８０】
工程＃４：
返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
【００８１】
Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ０−ｔ１，Ｆ（ｒ０）−ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【００８２】
Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【００８３】
Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｙ−Ｆ（ｒ１）−Ｇ（ｔ１，ｒ１）−ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【００８４】
以上、３パス方式に係る効率的なアルゴリズムの構成例について説明した。
【００８５】
［２−２：並列化アルゴリズムの構成例（図５）］
次に、図５を参照しながら、図４に示した３パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
【００８６】
さて、上記の対話プロトコルを適用すれば、偽証が成功する確率を２／３以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（２／３）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（２／３）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝１４０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
【００８７】
対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、図５を参照しながら、３パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
【００８８】
工程＃１：
図５に示すように、まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて以下の処理（１）〜処理（６）を実行する。
処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ−ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１ｉ←ｒ０ｉ＋ｔ０ｉを計算する。
処理（３）：証明者アルゴリズムＰは、ｅ１ｉ←Ｆ（ｒ０ｉ）−ｅ０ｉを計算する。
処理（４）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ１ｉ，Ｇ（ｒ１ｉ，ｔ０ｉ）＋ｅ０ｉ）を計算する。
処理（５）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。
処理（６）：証明者アルゴリズムＰは、ｃ２ｉ←Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。
【００８９】
工程＃１（続き）
ｉ＝１〜Ｎについて上記の処理（１）〜処理（６）を実行した後、証明者アルゴリズムＰは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。このように、メッセージ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）をハッシュ値に変換してから検証者アルゴリズムＶに送ることで、通信量を削減することが可能になる。
【００９０】
工程＃２：
ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈｉに設定する。要求Ｃｈ１，…，ＣｈＮは、証明者アルゴリズムＰに送られる。
【００９１】
工程＃３：
要求Ｃｈ１，…，ＣｈＮを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈ１，…，ＣｈＮのそれぞれ応じて検証者アルゴリズムＶに送る返答Ｒｓｐ１，…，ＲｓｐＮを生成する。Ｃｈｉ＝０の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。Ｃｈｉ＝１の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を生成する。Ｃｈｉ＝２の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を生成する。
【００９２】
工程＃３で生成された返答Ｒｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶに送られる。
【００９３】
工程＃４：
返答Ｒｓｐ１，…，ＲｓｐＮを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐ１，…，ＲｓｐＮを利用して以下の処理（１）〜処理（３）をｉ＝１〜Ｎについて実行する。但し、検証者アルゴリズムＶは、Ｃｈｉ＝０の場合に処理（１）を実行し、Ｃｈｉ＝１の場合に処理（２）を実行し、Ｃｈｉ＝２の場合に処理（３）を実行する。
【００９４】
処理（１）：Ｃｈｉ＝０の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ０ｉ−ｔ１ｉ，Ｆ（ｒ０ｉ）−ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
【００９５】
処理（２）：Ｃｈｉ＝１の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
【００９６】
処理（３）：Ｃｈｉ＝２の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，ｙ−Ｆ（ｒ１ｉ）−Ｇ（ｔ１ｉ，ｒ１ｉ）−ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
【００９７】
処理（１）〜処理（３）をｉ＝１〜Ｎについて実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗した場合に認証失敗を示す値０を出力する。
【００９８】
以上、３パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。
【００９９】
［２−３：３次多変数多項式に基づくアルゴリズムの構成例］
次に、下記の式（１２）で表現される環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズムの構築方法について検討してみたい。３次多項式ｆｌの組で表現される多変数多項式Ｆ＝（ｆ１，…，ｆｍ）は、下記の式（１３）の関係を満たす。但し、Ｇｘ（ｘ，ｙ）は、ｘに関して１次となる項を表す。また、Ｇｙ（ｘ，ｙ）は、ｙに関して１次となる項を表す。Ｇｘ＝（ｇｘ１，…，ｇｘｍ）、Ｇｙ＝（ｇｙ１，…，ｇｙｍ）と表現すると、ｇｘｌ及びｇｙｌは、それぞれ下記の式（１４）及び式（１５）のように展開することができる。但し、ｇｘｌの右辺第２項は、ｘ及びｙのいずれに関しても１次であるため、ｇｙｌに含めてもよい。
【０１００】
【数１０】
【０１０１】
上記の式（１４）及び式（１５）から分かるように、Ｇｘ（ｘ，ｙ）及びＧｙ（ｘ，ｙ）は、ｘ及びｙについて加法準同型になっている。そこで、これらの性質を利用し、２次多項式ｆｉを利用した効率的なアルゴリズムの構築方法と同様に、新たな変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を導入して公開鍵Ｆ（ｓ）を分割する。
【０１０２】
多項式Ｇｘ，Ｇｙが加法準同型であるから、変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を用いて、下記の式（１６）〜式（１９）の関係が成り立つ。下記の式（１６）〜式（１９）は、（ｒ０，ｔ０，ｕ０，ｅ０）で再現可能な第１の部分と、（ｒ０，ｕ１，ｅ１）で再現可能な第２の部分と、（ｒ１，ｔ０，ｅ０）で再現可能な第３の部分と、（ｒ１，ｔ１，ｕ１，ｅ１）で再現可能な第４の部分と、に分けることができる。
【０１０３】
例えば、下記の式（１７）に含まれる「ｒ０，ｔ０」、下記の式（１８）に含まれる「ｕ０」、下記の式（１９）に含まれる「Ｆ（ｒ０），Ｇｙ（ｒ０，ｕ０），ｅ０」、は、第１の部分である。また、下記の式（１９）に含まれる「Ｇｙ（ｒ０，ｕ１），ｅ１」は、第２の部分である。さらに、下記の式（１６）に含まれる「ｅ０，Ｇｘ（ｒ０，ｒ１）」は、第３の部分である。そして、下記の式（１６）に含まれる「ｅ１，Ｆ（ｒ１），Ｇｘ（ｔ１，ｒ１）」、下記の式（１７）に含まれる「ｔ１」、下記の式（１８）に含まれる「ｕ１」は、第４の部分である。
【０１０４】
言い換えると、下記の式（１６）は第３及び第４の部分で構成され、下記の式（１７）及び下記の式（１８）は第１及び第４の部分で構成され、下記の式（１９）は第１及び第２の部分で構成されている。このように、下記の式（１６）〜式（１９）は、それぞれ２種類の部分で構成されている。
【０１０５】
また、秘密鍵ｓの定義及び下記の式（１６）〜式（１９）の関係から、（ｒ０，ｔ０，ｕ０，ｅ０）、（ｒ０，ｕ１，ｅ１）、（ｒ１，ｔ０，ｅ０）、（ｒ１，ｔ１，ｕ１，ｅ１）のいずれか１つを用いても秘密鍵ｓは得られないことが保証される。これらの性質を利用すると、例えば、環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズム（以下、拡張アルゴリズム）を構築することができる。
【０１０６】
【数１１】
【０１０７】
以下、具体的な拡張アルゴリズムの構成例について説明する。拡張アルゴリズムの設計に関する基本的なポイントは、下記の式（２０）〜式（２２）で表現されるメッセージを検証者に送ること、及び第１〜第４の部分のいずれかに関する検証を行うことの２点である。但し、この検証だけでは、第３の部分に含まれる「ｒ１」と第４の部分に含まれる「ｒ１」とが等しいかを検証することができない。同様に、第１の部分に含まれる「ｒ０」と第２の部分に含まれる「ｒ０」とが等しいか、第１の部分に含まれる「ｔ０，ｅ０」と第３の部分に含まれる「ｔ０，ｅ０」とが等しいかも検証することができない。さらに、第２の部分に含まれる「ｕ１，ｅ１」と第４の部分に含まれる「ｕ１，ｅ１」とが等しいかも検証することができない。そこで、以下では、これらの検証も可能にした構成例を紹介する。
【０１０８】
【数１２】
【０１０９】
以下、図６を参照しながら、３パス方式に係る拡張アルゴリズムの構成例について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
【０１１０】
工程＃１：
図６に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０，ｕ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ−ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｔ１←ｒ０−ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｕ１←ｒ１−ｕ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←Ｆ（ｒ０）−ｅ０を計算する。
【０１１１】
工程＃１（続き）：
次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇｘ（ｔ０，ｒ１）＋ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｒ０−ｔ０，ｕ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ２←Ｈ（ｒ０，ｅ１−Ｇｙ（ｒ０，ｕ１））を計算する。次いで、証明者アルゴリズムＰは、ｃ３←Ｈ（ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ４←Ｈ（ｕ１，ｅ１）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１，ｃ２，ｃ３，ｃ４）は、検証者アルゴリズムＶに送られる。
【０１１２】
工程＃２：
メッセージ（ｃ０，ｃ１，ｃ２，ｃ３，ｃ４）を受け取った検証者アルゴリズムＶは、４つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す４つの数値｛０，１，２，３｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
【０１１３】
工程＃３：
要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｔ０，ｕ０，ｅ０）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｕ１，ｅ１）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ０，ｅ０）を生成する。Ｃｈ＝３の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ１，ｕ１，ｅ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
【０１１４】
工程＃４：
返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
【０１１５】
Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ０−ｔ０，ｕ０）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｒ０，Ｆ（ｒ０）＋Ｇｙ（ｒ０，ｕ０）−ｅ０）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ３＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１１６】
Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｒ０，ｅ１−Ｇｙ（ｒ０，ｕ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ４＝Ｈ（ｕ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１１７】
Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｅ０＋Ｇｘ（ｔ０，ｒ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ３＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１１８】
Ｃｈ＝３の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｙ−Ｆ（ｒ１）−ｅ１−Ｇｘ（ｔ１，ｒ１））の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｔ１，ｒ１−ｕ１）の等号が成り立つか否かを検証する。次いで、検証者アルゴリズムＶは、ｃ４＝Ｈ（ｕ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１１９】
以上、３パス方式に係る拡張アルゴリズムの構成例について説明した。３次多項式を利用していることにより、より高い安全性が実現されている。
【０１２０】
＜３：５パスの公開鍵認証方式に係るアルゴリズムの構成＞
次に、５パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、５パスの公開鍵認証方式のことを「５パス方式」と呼ぶ場合がある。
【０１２１】
３パス方式の場合には対話プロトコル１回当たりの偽証確率が２／３であったが、５パス方式の場合には対話プロトコル１回当たりの偽証確率が１／２＋１／ｑとなる。但し、ｑは、利用する環の位数である。従って、環の位数が十分に大きい場合、５パス方式の方が１回当たりの偽証確率を低減することが可能になり、少ない対話プロトコルの実行回数で、偽証確率を十分に小さくすることができる。
【０１２２】
例えば、偽証確率を１／２ｎ以下にしたい場合、３パス方式においては、ｎ／（ｌｏｇ３−１）＝１．７０１ｎ回以上、対話プロトコルを実行する必要がある。一方、偽証確率を１／２ｎ以下にしたい場合、５パス方式においては、ｎ／（１−ｌｏｇ（１＋１／ｑ））回以上、対話プロトコルを実行する必要がある。従って、ｑ＝２４にすれば、同じセキュリティレベルを実現するのに必要な通信量は、３パス方式に比べ、５パス方式の方が少なくなるのである。
【０１２３】
［３−１：具体的なアルゴリズムの構成例（図７）］
まず、図７を参照しながら、５パス方式に係る具体的なアルゴリズムの構成例について紹介する。図７は、５パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆｉ（ｘ）は、上記の式（６）のように表現されるものとする。また、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。
【０１２４】
３パス方式に係るアルゴリズムと同様、２つのベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ０）をマスクするために用いた多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ、ｔ０）＋ｅ０のように表現する。この表現を用いると、多変数多項式Ｆ（ｘ＋ｒ０）について、下記の式（２３）で表現される関係が得られる。
【０１２５】
【数１３】
【０１２６】
そのため、ｔ１＝ＣｈＡ・ｒ０＋ｔ０、ｅ１＝ＣｈＡ・Ｆ（ｒ０）＋ｅ０とすれば、マスク後の多変数多項式Ｆ２（ｘ）＝ＣｈＡ・Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）も、２つのベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。これらの理由から、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズが少ない効率的なアルゴリズムを実現することが可能になる。
【０１２７】
なお、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性は担保される。以下、上記の論理に基づいて構築された５パス方式のアルゴリズムについて説明する。ここで説明する５パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。
【０１２８】
（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義される多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１，…，ｆｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、多変数多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））をＦ（ｘ）と表記する。
【０１２９】
（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
以下、図７を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶにより実行される処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図７に示したフローチャートに沿って説明を進める。
【０１３０】
工程＃１：
図７に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０∈Ｋｎ、ｔ０∈Ｋｎ、ｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ−ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ベクトルｒ０，ｔ０，ｅ０のハッシュ値ｃ０を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、Ｇ（ｔ０，ｒ１）＋ｅ０及びｒ１のハッシュ値ｃ１を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
【０１３１】
工程＃２：
メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡを選択し、選択した数ＣｈＡを証明者アルゴリズムＰに送る。
【０１３２】
工程＃３：
数ＣｈＡを受け取った証明者アルゴリズムＰは、ｔ１←ＣｈＡ・ｒ０−ｔ０を計算する。さらに、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）−ｅ０を計算する。そして、証明者アルゴリズムＰは、ｔ１及びｅ１を検証者アルゴリズムＶに送る。
【０１３３】
工程＃４：
ｔ１及びｅ１を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
【０１３４】
工程＃５：
要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
【０１３５】
工程＃６：
返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
【０１３６】
ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｒ０←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，ＣｈＡ・ｒ０−ｔ１，ＣｈＡ・Ｆ（ｒ０）−ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１３７】
ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｒ１←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ１＝Ｈ１（ｒ１，ＣｈＡ・（ｙ−Ｆ（ｒ１））−Ｇ（ｔ１，ｒ１）−ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１３８】
以上、５パス方式に係る効率的なアルゴリズムの構成例について説明した。
【０１３９】
［３−２：並列化アルゴリズムの構成例（図８）］
次に、図８を参照しながら、図７に示した５パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
【０１４０】
先に述べた通り、５パス方式に係る対話プロトコルを適用すれば、偽証が成功する確率を（１／２＋１／ｑ）以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（１／２＋１／ｑ）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（１／２＋１／ｑ）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝８０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
【０１４１】
対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、５パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
【０１４２】
工程＃１：
図８に示すように、まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて処理（１）〜処理（４）を実行する。
処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ−ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。
処理（３）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。
処理（４）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。
ｉ＝１〜Ｎについて処理（１）〜処理（４）を実行した後、証明者アルゴリズムＰは、ハッシュ値Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を実行する。そして、工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。
【０１４３】
工程＃２：
ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡｉを選択し、選択した数ＣｈＡｉ（ｉ＝１〜Ｎ）を証明者アルゴリズムＰに送る。
【０１４４】
工程＃３：
数ＣｈＡｉ（ｉ＝１〜Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１〜Ｎのそれぞれについて、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ−ｔ０ｉを計算する。さらに、証明者アルゴリズムＰは、ｉ＝１〜Ｎのそれぞれについて、ｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）−ｅ０ｉを計算する。次いで、証明者アルゴリズムＰは、ハッシュ値ｄ←Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を計算する。そして、証明者アルゴリズムＰは、ハッシュ値ｄを検証者アルゴリズムＶに送る。
【０１４５】
工程＃４：
ハッシュ値ｄを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢｉに設定する。要求ＣｈＢｉ（ｉ＝１〜Ｎ）は証明者アルゴリズムＰに送られる。
【０１４６】
工程＃５：
要求ＣｈＢｉ（ｉ＝１〜Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、受け取った要求ＣｈＢｉに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐｉを生成する。ＣｈＢｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ）を生成する。ＣｈＢｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。工程＃５で生成された返答Ｒｓｐｉ（ｉ＝１〜Ｎ）は、検証者アルゴリズムＶに送られる。
【０１４７】
工程＃６：
返答Ｒｓｐｉ（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐｉ（ｉ＝１〜Ｎ）を利用して以下の処理（１）及び処理（２）を実行する。
【０１４８】
処理（１）：ＣｈＢｉ＝０の場合、検証者アルゴリズムＶは、（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ＋ｔ０ｉ、及びｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）−ｅ０ｉを計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，ｅ１ｉ）を保持する。
【０１４９】
処理（２）：ＣｈＢｉ＝１の場合、検証者アルゴリズムＶは、（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ１ｉ，ＣｈＡｉ・（ｙ−Ｆ（ｒ１ｉ））−Ｇ（ｔ１ｉ，ｒ１ｉ）−ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，ｅ１ｉ）を保持する。
【０１５０】
ｉ＝１〜Ｎについて処理（１）及び処理（２）を実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１５１】
以上、５パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。
【０１５２】
［３−３：３次多変数多項式に基づくアルゴリズムの構成例］
さて、３パス方式の場合と同様、環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズムの構築方法について検討してみたい。３次多項式ｆｌを上記の式（１２）のように表現した場合に、Ｇｘ（ｘ，ｙ）及びＧｙ（ｘ，ｙ）がｘ及びｙについて線形になることについては式（１４）と式（１５）より分かる。
【０１５３】
そこで、上記の性質を利用し、新たな変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を導入して、公開鍵Ｆ（ｓ）をＣｈＡ倍した項を分割する。多項式Ｇｘ，Ｇｙがそれぞれｘとｙについて線形であるから、変数ｒ０，ｒ１，ｔ０，ｕ０，ｅ０を用いて、下記の式（２４）〜式（２７）の関係が成り立つ。また、下記の式（２４）〜式（２７）は、ＣｈＡに依存する第１の部分と、ＣｈＡに依存しない第２の部分とに分けることができる。但し、第１の部分は、（ｒ１，ｔ１，ｕ１，ｅ１）で再現可能である。また、第２の部分は、（ｒ０，ｔ１，ｕ１，ｅ１）で再現可能である。
【０１５４】
例えば、下記の式（３２）に含まれる「ｅ０，Ｇｘ（ｔ０，ｒ１）」、下記の式（３３）に含まれる「ｔ０」、下記の式（２６）に含まれる「ｕ０」、下記の式（２７）に含まれる「ｅ０，Ｇｙ（ｒ０，ｕ０）」は第１の部分である。一方、下記の式（２４）に含まれる「ＣｈＡ・Ｆ（ｒ０＋ｒ１），ｅ１，ＣｈＡ・Ｆ（ｒ１），Ｇｘ（ｔ１，ｒ１）」、下記の式（２５）に含まれる「ＣｈＡ・ｒ０，ｔ１」、下記の式（３４）に含まれる「ＣｈＡ・ｒ１，ｕ１」、下記の式（２７）に含まれる「ＣｈＡ・Ｆ（ｒ０），Ｇｙ（ｒ０，ｕ１），ｅ１」は第２の部分である。
【０１５５】
また、秘密鍵ｓの定義及び下記の式（２４）〜式（２７）の関係から、（ｒ１，ｔ１，ｕ１，ｅ１）、（ｒ０，ｔ１，ｕ１，ｅ１）のいずれか１つを用いても秘密鍵ｓは得られないことが保証される。これらの性質を利用すると、例えば、環Ｒ上の３次多項式ｆｌを利用した効率的なアルゴリズム（以下、拡張アルゴリズム）を構築することができる。
【０１５６】
【数１４】
【０１５７】
以下、具体的な拡張アルゴリズムの構成例について説明する。拡張アルゴリズムの設計に関する基本的なポイントは、下記の式（２８）及び式（２９）で表現されるメッセージを検証者に送ること、及び検証者が選択したＣｈＡについて、ＣｈＡに依存する部分（第１の部分）に関する検証を行うことの２点である。但し、「メッセージを生成する際に利用したｒ０及びｒ１を、検証の際に別のｒ０及びｒ１にすり替えられることを防ぐ」ために、ｒ０及びｒ１に関する検証を追加した構成例を以下で紹介する。
【０１５８】
【数１５】
【０１５９】
以下、図９を参照しながら、５パス方式に係る拡張アルゴリズムの基本構成について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
【０１６０】
工程＃１：
図９に示すように、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０，ｕ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ−ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０，ｅ０−Ｇｙ（ｒ０，ｕ０））を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｒ１，ｕ０，Ｇｘ（ｔ０，ｒ１）＋ｅ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
【０１６１】
工程＃２：
メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ランダムに数ＣｈＡを選択する。この数ＣｈＡは証明者アルゴリズムＰに送られる。
【０１６２】
工程＃３：
数ＣｈＡを受け取った証明者アルゴリズムＰは、ｔ１←ＣｈＡ・ｒ０−ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｕ１←ＣｈＡ・ｒ１−ｕ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）＋ＣｈＡ・Ｇｙ（ｒ０，ｒ１）−ｅ０を計算する。工程＃３で生成された（ｔ１，ｕ１，ｅ１）は、検証者アルゴリズムＶに送られる。
【０１６３】
工程＃４：
（ｔ１，ｕ１，ｅ１）を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
【０１６４】
工程＃５：
要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
【０１６５】
工程＃６：
返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
【０１６６】
ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，ＣｈＡ・ｒ０−ｔ１，ＣｈＡ・Ｆ（ｒ０）＋Ｇｙ（ｒ０，ｕ１）−ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１６７】
ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ１，ＣｈＡ・ｒ１−ｕ１，ＣｈＡ・（ｙ−Ｆ（ｒ１））−Ｇｘ（ｔ１，ｒ１）−ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
【０１６８】
以上、５パス方式に係る拡張アルゴリズムの構成例について説明した。３次多項式を利用していることにより、より高い安全性が実現される。
【０１６９】
＜４：電子署名方式への変形＞
次に、上記の公開鍵認証方式を電子署名方式へと変形する方法を紹介する。
【０１７０】
公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが容易に理解されよう。こうした考えに基づき、上述した公開鍵認証方式を電子署名方式へと変形する方法について説明する。
【０１７１】
［４−１：３パスの公開鍵認証方式から電子署名方式への変形（図１０）］
まず、３パスの公開鍵認証方式から電子署名方式への変形について説明する。
【０１７２】
図１０に示すように、３パス方式に係る効率的なアルゴリズム（例えば、図５を参照）は、３回の対話及び４つの工程＃１〜工程＃４で表現される。
【０１７３】
工程＃１は、ｉ＝１〜Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
【０１７４】
工程＃２は、Ｃｈ１，…，ＣｈＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈ１，…，ＣｈＮは、証明者アルゴリズムＰへと送られる。
【０１７５】
工程＃３は、Ｃｈ１，…，ＣｈＮ及びａ１，…，ａＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）と表現する。工程＃３で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
【０１７６】
工程＃４は、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを再生する処理（１）と、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する処理（２）とで構成される。
【０１７７】
上記の工程＃１〜工程＃４で表現される公開鍵認証方式のアルゴリズムは、図１０に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
【０１７８】
（署名生成アルゴリズムＳｉｇ）
まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）〜処理（５）で構成される。
【０１７９】
処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する。
処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。
処理（３）：署名生成アルゴリズムＳｉｇは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
処理（４）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）を計算する。
処理（５）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，Ｒｓｐ１，…，ＲｓｐＮ）を署名に設定する。
【０１８０】
（署名検証アルゴリズムＶｅｒ）
次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）〜処理（３）で構成される。
【０１８１】
処理（１）：署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
処理（２）：署名検証アルゴリズムＶｅｒは、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを生成する。
処理（３）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する。
【０１８２】
以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
【０１８３】
［４−２：５パスの公開鍵認証方式から電子署名方式への変形（図１１）］
次に、５パスの公開鍵認証方式から電子署名方式への変形について説明する。
【０１８４】
図１１に示すように、５パス方式に係る効率的なアルゴリズム（例えば、図８を参照）は、５回の対話及び６つの工程＃１〜工程＃６で表現される。
【０１８５】
工程＃１は、ｉ＝１〜Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
【０１８６】
工程＃２は、ＣｈＡ１，…，ＣｈＡＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈＡ１，…，ＣｈＡＮは、証明者アルゴリズムＰへと送られる。
【０１８７】
工程＃３は、ｉ＝１〜Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する処理、及びｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を生成する処理で構成される。工程＃３で証明者アルゴリズムＰにより生成されたｄは、検証者アルゴリズムＶへと送られる。
【０１８８】
工程＃４は、ＣｈＢ１，…，ＣｈＢＮを選択する処理で構成される。工程＃４で検証者アルゴリズムＶにより選択されたＣｈＢ１，…，ＣｈＢＮは、証明者アルゴリズムＰへと送られる。
【０１８９】
工程＃５は、ＣｈＢ１，…，ＣｈＢＮ，ａ１，…，ａＮ，ｂ１，…，ｂＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）と表現する。工程＃５で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
【０１９０】
工程＃６は、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎを再生する処理と、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を検証する処理と、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を検証する処理とで構成される。
【０１９１】
上記の工程＃１〜工程＃６で表現される公開鍵認証方式のアルゴリズムは、図１１に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
【０１９２】
（署名生成アルゴリズムＳｉｇ）
まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）〜処理（７）で構成される。
【０１９３】
処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する。
処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する。
処理（３）：署名生成アルゴリズムＳｉｇは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
処理（４）：署名生成アルゴリズムＳｉｇは、ｉ＝１〜Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する。さらに、署名生成アルゴリズムＳｉｇは、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を算出する。
処理（５）：署名生成アルゴリズムＳｉｇは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。なお、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）と変形してもよい。
処理（６）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）を計算する。
処理（７）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，ｄ，Ｒｓｐ１，…，ＲｓｐＮ）を電子署名に設定する。
【０１９４】
（署名検証アルゴリズムＶｅｒ）
次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）〜処理（４）で構成される。
【０１９５】
処理（１）：署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
処理（２）：署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。なお、署名検証アルゴリズムＶｅｒが実行する処理（５）において、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）と変形した場合、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。
処理（３）：署名検証アルゴリズムＶｅｒは、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ，ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを生成する。
処理（４）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）及びｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ，）を検証する。
【０１９６】
以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
【０１９７】
＜５：署名検証に要するメモリ量の削減方法について＞
ところで、上述した電子署名方式のアルゴリズムにおいては、署名検証アルゴリズムＶｅｒが電子署名全体を受信した後で署名検証の処理を実行していた。しかし、上述した電子署名方式の場合、電子署名のデータサイズが比較的大きい。そのため、ＲＦＩＤ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）など、少ないメモリ容量しか持たないデバイスを用いて認証を行う場合には、メモリの空き容量や認証処理中のメモリ使用率などに気を配る必要があった。また、十分なメモリ容量を持たないデバイスを利用する場合、認証を行うことができない場合も想定される。そこで、本件発明者は、署名検証に要するメモリ量の削減方法を考案した。
【０１９８】
［５−１：ハッシュ関数の構造について（図１２）］
まず、本件発明者は、ハッシュ関数の構造に注目した。多くの場合、ハッシュ関数は、入力をブロック単位に区切り、ブロック単位で順次処理を進める構造を有している。例えば、ＳＨＡ−１の場合、ハッシュ関数は、図１２に示すような構造を有している。図１２に示すハッシュ関数は、パディング済みの入力ＭをＺ個のブロックｍ１，…，ｍＺに区切り、インデックスｊをインクリメントしながら、逐次的に、ブロックｍｊを初期値ＩＶ又は中間値ＣＶｊと共に所定の関数ＣＦに作用させてハッシュ値を生成する。従って、中間値ＣＶｊが得られた時点で、それ以前に利用したブロックは不要になる。そこで、この特性を利用し、アルゴリズムの実行に必要なメモリ量を効果的に削減する仕組み（以下、メモリ削減方法）を考案した。以下、この仕組みを上述した電子署名方式に適用する方法について説明する。
【０１９９】
［５−２：３パス方式に基づく電子署名方式への適用例（図１４）］
まず、図１０に示した３パス方式に基づく電子署名方式のアルゴリズムに上記のメモリ削減方法を適用する方法について説明する。
【０２００】
（通常の実装方法：図１３）
通常、上述した電子署名方式に係る署名検証アルゴリズムＶｅｒは、図１３に示すように、電子署名を構成する（Ｃｍｔ，Ｒｓｐ１，…，ＲｓｐＮ）を１度に受信する（Ｓ１０１）。次いで、署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１０２）。次いで、署名検証アルゴリズムＶｅｒは、（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）←Ｒｅｐｒｏｄｕｃｅ（Ｃｈ１，…，ＣｈＮ；Ｒｓｐ１，…，ＲｓｐＮ）を実行する（Ｓ１０３）。次いで、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証し（Ｓ１０４）、署名検証に係る一連の処理を終了する。
【０２０１】
（メモリ削減方法：図１４）
通常の実装方法の場合、図１３のステップＳ１０１のように、一度に電子署名を受信すると、ステップＳ１０３の処理が完了するまで（Ｒｓｐ１，…，ＲｓｐＮ）を保持しておくためのメモリが必要になる。しかし、図５のアルゴリズム構成から分かるように、ステップＳ１０３で実行する（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）の再生には（Ｃｈｉ；Ｒｓｐｉ）以外の情報を利用しない。また、図１２に示したハッシュ関数の構造を考慮すると、ステップＳ１０４において実行されるハッシュ関数の計算はブロック単位で分割して実行できることが分かる。そこで、署名検証に係る処理の構成を図１４に示すような構成に改良する。
【０２０２】
図１４に示す構成の場合、署名検証アルゴリズムＶｅｒは、まず、電子署名に含まれるＣｍｔだけを受信する（Ｓ１１１）。次いで、署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１１２）。次いで、署名検証アルゴリズムＶｅｒは、ｉ＝１〜Ｎについて、ｉをインクリメントさせながら逐次的にステップＳ１１３〜Ｓ１１５の処理を実行する。
【０２０３】
ステップＳ１１３において、署名検証アルゴリズムＶｅｒは、Ｒｓｐｉを受信する（Ｓ１１３）。次いで、署名検証アルゴリズムＶｅｒは、受信したＲｓｐｉを用いて、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）←Ｒｅｐｒｏｄｕｃｅ（Ｃｈｉ；Ｒｓｐｉ）を実行する（Ｓ１１４）。ステップＳ１１４の処理を実行した後、Ｃｈｉ及びＲｓｐｉは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１１４の処理を実行後にＣｈｉ及びＲｓｐｉをメモリから消去する。
【０２０４】
次いで、署名検証アルゴリズムＶｅｒは、ｔｍｐｉ←Ｈｉ（ｔｍｐｉ−１；ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を実行する（Ｓ１１５）。なお、関数Ｈｉは、ハッシュ関数Ｈの内部でｃ０ｉ，ｃ１ｉ，ｃ２ｉまで計算した際に生成される中間値を出力する関数である。実際には選択したハッシュ関数に応じて関数Ｈｉの入力サイズは異なるため必要に応じて、ビットを付加するなどの適切な入力長の補正が行われる。関数Ｈｉを用いると、ハッシュ関数Ｈは、以下に示す処理（１）〜処理（３）で構成されたアルゴリズムにより表現される。そして、ｔｍｐＮがハッシュ関数Ｈの最終的な出力（ハッシュ値）となる。実際にはハッシュ関数の仕様に応じて、最終処理においてパディングの追加処理を行う。
【０２０５】
処理（１）：ｔｍｐ０←空文字列
処理（２）：
ｆｏｒ ｉ＝１ ｔｏ Ｎ
ｔｍｐｉ←Ｈｉ（ｔｍｐｉ−１；ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）
ｅｎｄ ｆｏｒ
処理（３）：ｏｕｔｐｕｔ ｔｍｐＮ
【０２０６】
ｉ＝１〜Ｎについて、ステップＳ１１３〜Ｓ１１５の処理を実行した後、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝ｔｍｐＮが成り立つか否かを検証し（Ｓ１１６）、署名検証に係る一連の処理を終了する。上記のように、署名検証アルゴリズムＶｅｒは、ステップＳ１１３〜Ｓ１１５の処理を繰り返し実行する過程で不要になった情報をメモリかた消去する。そのため、署名検証に要するメモリ量は最小限に抑えられる。その結果、少ないメモリ容量しか持たないデバイスでも、上記の署名検証が可能になる。
【０２０７】
［５−３：５パス方式に基づく電子署名方式への適用例（図１６）］
次に、図１１に示した５パス方式に基づく電子署名方式のアルゴリズムに上記のメモリ削減方法を適用する方法について説明する。
【０２０８】
（通常の実装方法：図１５）
通常、上述した電子署名方式に係る署名検証アルゴリズムＶｅｒは、図１５に示すように、電子署名を構成する（Ｃｍｔ，ｄ，Ｒｓｐ１，…，ＲｓｐＮ）を１度に受信する（Ｓ１２１）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１２２）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を実行する（Ｓ１２３）。次いで、署名検証アルゴリズムＶｅｒは、（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｄ１１，e１１，…，ｄ１Ｎ，e１Ｎ）←Ｒｅｐｒｏｄｕｃｅ（ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ；Ｒｓｐ１，…，ＲｓｐＮ）を実行する（Ｓ１２４）。次いで、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）とｄ＝Ｈ(ｄ１１，e１１，…，ｄ１Ｎ，e１Ｎ)を検証し（Ｓ１２５）、署名検証に係る一連の処理を終了する。
【０２０９】
（メモリ削減方法：図１６）
図１５のステップＳ１２１のように、一度に電子署名を受信すると、ステップＳ１２４の処理が完了するまで（Ｒｓｐ１，…，ＲｓｐＮ）を保持しておくためのメモリが必要になる。しかしながら、図８のアルゴリズム構成から分かるように、ステップＳ１２４で実行する（ｃ０ｉ，ｃ１ｉ，ｄ１ｉ，e１ｉ）の再生には（ＣｈＡｉ，ＣｈＢｉ；Ｒｓｐｉ）以外の情報を利用しない。また、図１２に示したハッシュ関数の構造を考慮すると、ステップＳ１２５において実行されるハッシュ関数の計算はブロック単位で分割して実行できることが分かる。そこで、署名検証に係る処理の構成を図１６に示すような構成に改良する。
【０２１０】
図１６に示す構成の場合、署名検証アルゴリズムＶｅｒは、まず、電子署名に含まれるＣｍｔだけを受信する（Ｓ１３１）。次いで、署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を実行する（Ｓ１３２）。
【０２１１】
次いで、署名検証アルゴリズムＶｅｒは、ｄを受信する（Ｓ１３３）。次いで、署名検証アルゴリズムＶｅｒは、受信したｄを用いて、（ＣｈB１，…，ＣｈBＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を実行する（Ｓ１３４）。ステップＳ１３４の処理を実行した後、ｄは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１３４の処理を実行後にｄをメモリから消去する。次いで、署名検証アルゴリズムＶｅｒは、ｉ＝１〜Ｎについて、ｉをインクリメントさせながら逐次的にステップＳ１３５〜Ｓ１３７の処理を実行する。
【０２１２】
ステップＳ１３５において、署名検証アルゴリズムＶｅｒは、Ｒｓｐｉを受信する（Ｓ１３５）。次いで、署名検証アルゴリズムＶｅｒは、受信したＲｓｐｉを用いて、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，e１ｉ）←Ｒｅｐｒｏｄｕｃｅ（ＣｈＡｉ，ＣｈＢｉ，Ｒｓｐｉ）を実行する（Ｓ１３６）。ステップＳ１３６の処理を実行した後、ＣｈＡｉ、ＣｈＢｉ及びＲｓｐｉは不要になる。そこで、署名検証アルゴリズムＶｅｒは、ステップＳ１３６の処理を実行後にＣｈＡｉ、ＣｈＢｉ及びＲｓｐｉをメモリから消去する。
【０２１３】
次いで、署名検証アルゴリズムＶｅｒは、ｔｍｐｉ←Ｈｉ（ｔｍｐｉ−１；ｃ０ｉ，ｃ１ｉ）とｔｍｐｉ’←Ｈｉ（ｔｍｐｉ−１’；ｔ１ｉ，e１ｉ）を実行する（Ｓ１３７）。ｉ＝１〜Ｎについて、ステップＳ１３５〜Ｓ１３７の処理を実行した後、署名検証アルゴリズムＶｅｒは、Ｃｍｔ＝ｔｍｐＮとｄ＝ｔｍｐＮ’が成り立つか否かを検証し（Ｓ１３８）、署名検証に係る一連の処理を終了する。上記のように、署名検証アルゴリズムＶｅｒは、ステップＳ１３５〜Ｓ１３７の処理を繰り返し実行する過程で不要になった情報をメモリから消去する。そのため、署名検証に要するメモリ量は最小限に抑えられる。その結果、少ないメモリ容量しか持たないデバイスでも、上記の署名検証が可能になる。
【０２１４】
以上、署名検証に要するメモリ量の削減方法について説明した。
【０２１５】
＜６：２進数の乱数列から３進数の乱数列を抽出する方法について＞
ところで、３パス方式に基づく公開鍵認証方式のアルゴリズムにおいて、３進数の一様乱数をＮ個以上生成する場面が存在する。しかし、３進数の一様乱数を生成する優れた乱数生成器は一般的ではない。そのため、２進数の一様乱数を生成する優れた乱数生成器を用いて３進数の一様乱数を生成する方法を考える必要がある。そこで、本件発明者は、２進数の一様乱数から３進数の一様乱数を効率的に生成する方法を考案した。以下、この方法について詳細に説明する。なお、以下の説明において、ｌ進表現（ｌは２又は３）で表された１つの数を１シンボルと数えることにする。
【０２１６】
［６−１：抽出方法＃１（２ビット区切り）（図１７）］
まず、図１７を参照しながら、Ｍビットの２進数を２ビットずつ区切って３進数を抽出する方法（以下、抽出方法＃１）を紹介する。図１７に示すように、２進表現の乱数列を２ビットずつ区切ると、Ｍ／２個の２ビットの乱数が得られる。例えば、「００」を３進数の「０」、「０１」を３進数の「１」、「１０」を３進数の「２」に対応付けると、２ビット単位の２進表現の乱数列から３進数の乱数列を得ることができる。但し、２ビットの値「１１」は除外する。つまり、抽出方法＃１は、２進数２シンボルで表現される２２通りの数の中から、３進数１シンボルで表現される３１通りの数を抽出する方法である。従って、Ｎ個以上の３進数が抽出できない確率Ｐ１は、下記の式（３０）のようになる。
【０２１７】
【数１６】
【０２１８】
［６−２：抽出方法＃２（区切りなし）（図１８）］
次に、図１８を参照しながら、２進数Ｍシンボルの乱数を区切らずに利用して３進数Ｌシンボルの乱数を抽出する方法（以下、抽出方法＃２）を紹介する。但し、Ｌは、３Ｌ≦２Ｍとなる最大の整数である。２進数Ｍシンボルで表現可能な数は、２Ｍ通り存在する。一方、３進数Ｌシンボルで表現可能な数は、３Ｌ通りしか存在しない。そのため、２進数Ｍシンボルで表現される２Ｍ通りの数のうち、２Ｍ−３Ｌ通りの数は、３進表現の乱数として利用されない。従って、Ｎ個以上の３進数が抽出できない確率Ｐ２は、下記の式（３１）のようになる。
【０２１９】
【数１７】
【０２２０】
［６−３：抽出方法＃３（ｋビット区切り）（図１９）］
上記の抽出方法＃１は、最小の区切り単位で２進表現の乱数列を区切る方法である。一方、上記の抽出方法＃２は、（Ｍビット区切りと考えられるため）最大の区切り単位で２進表現の乱数列を区切る方法である。上記の式（３０）及び式（３１）から分かるように、区切る長さに応じて、Ｎ個以上の３進数が抽出できない確率は異なる。因みに、図１９に示すように、ｋビット単位で２進Ｍシンボルの乱数列を区切った場合、Ｎ個以上の３進数が抽出できない確率Ｐ３は、下記の式（３２）のようになる。
【０２２１】
【数１８】
【０２２２】
Ｎ個以上の３進数が抽出できない確率Ｐ３を最小化することができれば、最も効率よく３進表現の乱数列を抽出できることになる。例えば、Ｍ＝５１２、Ｎ＝１４０の場合、ｋ＝８のときに確率Ｐ３が最小となる。
【０２２３】
（６−３−１：基本構成（図２０））
ここで、図２０を参照しながら、２進Ｍシンボルの乱数列から３進Ｌシンボルの乱数列を抽出する処理の流れについて説明する。図２０に示すように、まず、２進Ｍシンボルの乱数列が生成される（Ｓ２０１）。次いで、２進Ｍシンボルの乱数列が、ｋビット単位に区切られる（Ｓ２０２）。次いで、ｋビット単位で区切られたビット列Ｘ２ｋのうち、Ｘ２ｋ≦３Ｌとなるビット列が抽出される（Ｓ２０３）。次いで、抽出されたビット列が、３進数表現で出力され（Ｓ２０４）、一連の処理が終了する。
【０２２４】
（６−３−２：追加抽出方法（図２１））
上記の式（１５）で表現される確率Ｐ３が最小となる区切りの長さｋを算出し、図２０に示したアルゴリズムを実行することにより、２進表現の乱数列から３進表現の乱数列を効率的に抽出することが可能になる。しかし、本件発明者は、図２０のステップＳ２０４においてＸ２ｋ＞３Ｌとなるビット列が利用されない点に注目し、３進表現の乱数列をより効率的に抽出する方法を考案した。以下、この方法について、図２１を参照しながら説明する。
【０２２５】
この方法は、図２０のステップＳ２０４で抽出されなかったビット列を利用して、３進表現のシンボル列を抽出する方法である。図２１に示すように、まず、図２０のステップＳ２０４で抽出されなかった、Ｘ２ｋ＞３Ｌとなるビット列の組（例えば、ビット列の組をｙ１ｙ２…ｙＮ’と表現すると、個々のビット列ｙｉは３Ｌ≦ｙｉ＜２ｋ）が抽出される（Ｓ２１１）。次いで、抽出したビット列ｙｉからそれぞれ３Ｌが減算され、新たなビット列の組（例えば、新たなビット列の組をｚ１ｚ２…ｚＮ’と表現すると、個々のビット列ｚｉ＝ｙｉ−３Ｌは０≦ｚｉ＜２ｋ−３Ｌ）が算出される（Ｓ２１２）。
【０２２６】
次いで、新たなビット列の組から、ビット列ＸがＸ＜３Ｌ’となるものが抽出される（Ｓ２１３）。但し、Ｌ’は、３Ｌ’≦２ｋ−３Ｌとなる最大の整数である。次いで、ステップＳ２１３で抽出されたビット列が３進表現で出力され（Ｓ２１４）、一連の処理が終了する。このアルゴリズムを適用することにより、確率３Ｌ’／（２ｋ−３Ｌ）で新たにＬ’個の３進数を抽出することが可能になる。なお、この方法を再帰的に用いることで、さらに多くの３進数を抽出することができる。つまり、ステップＳ２１３でビット列ＸがＸ≧３Ｌ’となったビット列から同様にして３進数を抽出することができる。
【０２２７】
以上、２進数の一様乱数から３進数の一様乱数を効率的に生成する方法について説明した。
【０２２８】
＜７：多変数多項式の係数を効率的に代入する方法について＞
さて、これまでは多変数多項式を証明者（又は署名者）と検証者との間で共有する方法について具体的に明示してこなかった。多変数多項式を共有する方法としては、多変数多項式の係数（乱数）を生成する際に用いるシードを両者で共有する方法が考えられる。しかしながら、共有しているシードを利用して生成した乱数を係数に当てはめる順序を両者で共有しない限り、多変数多項式を共有したことにはならない。
【０２２９】
［７−１：基本的な取り決め］
そこで、証明者（又は署名者）と検証者との間で、共有しているシードを用いて生成した乱数列を、どの順序で多変数多項式に当てはめるかについて基本的な取り決めを行う。そして、多変数多項式を利用する際に、この基本的な取り決めに従って乱数列を多変数多項式に当てはめる。このような方法を用いれば、証明者（又は署名者）と検証者との間で多変数多項式を共有したことになる。
【０２３０】
［７−２：データの構造化］
但し、多変数多項式を構成する係数の数は膨大である。１つの係数が１ビット単位で表現されている場合、多変数多項式を表現するのに最低でも数万ビット以上のデータが必要になる。そのため、数を多変数多項式の係数に代入する処理の負荷は非常に高い。そこで、本件発明者は、多変数多項式の係数を所定の単位で構造化し、係数への代入処理を効率化する手法（構造化手法＃１及び＃２）を考案した。さらに、本件発明者は、同じ多変数多項式の係数に対して複数回の代入処理を実行する場合に、その処理効率を向上させる手法（構造化手法＃３）を考案した。以下、これらの手法について詳細に説明する。
【０２３１】
（７−２−１：構造化手法＃１（図２２〜図２６））
まず、構造化手法＃１について説明する。構造化手法＃１は、図２２及び図２３に示すように、多変数多項式を構成する同じ種類の項の係数を１つのデータ構造として纏める手法である。図２２の例では、多変数多項式Ｆの係数ａ１ＩＪ〜ａＭＩＪがデータ構造Ａとして纏められ、係数ｂ１Ｉ〜ｂＭＩがデータ構造Ｂとして纏められている。また、図２３に示すように、多変数多項式Ｇについても同様の手法が適用可能である。この場合、係数（ａ１ＩＪ＋ａ１ＪＩ）〜（ａＭＩＪ＋ａＭＪＩ）がデータ構造として纏められる。
【０２３２】
構造化手法＃１を適用しない場合、Ｍ本のＮ変数多項式で構成される多変数多項式Ｆの計算は、（例１）に示すようなアルゴリズムにより行われる。（例１）の場合、１ビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ＋１）×Ｍ／２回実行する必要がある。さらに、１ビットのＸＯＲ演算（＾）を１×Ｎ×（Ｎ＋１）×Ｍ／２回実行する必要がある。なお、入力ｘはＮビットであるとする。
【０２３３】
（例１）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｌ＝１ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ
［ｙのＬビット目］＾＝［ａＬＩＪ］＆［ｘのＩビット目］＆［ｘのＪビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２３４】
一方、図２２に示すように係数を構造化し、生成した乱数を多変数多項式Ｆの係数として一部ずつ逐次適用していく場合、係数の代入アルゴリズムは（例２）のようになる。（例２）の場合、ＭビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ＋１）／２回、ＭビットのＸＯＲ演算（＾）をＮ×（Ｎ＋１）／２回実行するだけで済む。なお、ａ（１〜Ｍ）ＩＪは、それぞれループのタイミングで生成される。また、係数を使い回してもよい。例えば、Ｎ（Ｎ−１）／２回のループを実行する際、［ａ（１〜Ｍ）ＩＪ］を毎回生成せず、Ｍ回に１回だけ生成するようにしてもよい。また、Ｍ回のループ中、［ａ（１〜Ｍ）ＩＪ］を１ビットずつローテーションしながら利用してもよい。
【０２３５】
（例２）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ
［ｙの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪ］＆［ｘのＩビット目］＆［ｘのＪビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２３６】
また、図２２に示すように係数を構造化する場合、多変数多項式Ｆの係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、上記のアルゴリズムは（例３）のようになる。なお、配列ａＩＪ［０］［０］〜ａＩＪ［２ｋ−１］［２ｋ−１］には、それぞれ、ａＩＪ［ｘ１，…，ｘｋ］［ｚ１，…，ｚｋ］＝（ａ（ｋ（Ｉ−１）＋１）（ｋ（Ｊ−１）＋１）＆ｘ１＆ｚ１）＾…＾（ａ（ｋ（Ｉ−１）＋１）（ｋ（Ｊ−１）＋ｋ）＆ｘ１＆ｚｋ）＾…＾（ａ（ｋ（Ｉ−１）＋ｋ）（ｋ（Ｊ−１）＋１）＆ｘｋ＆ｚ１）＾…＾（ａ（ｋ（Ｉ−１）＋ｋ）（ｋ（Ｊ−１）＋ｋ）＆ｘｋ＆ｚｋ）が格納されている。（例３）の場合、ＭビットのＸＯＲ演算（＾）を（Ｎ／ｋ）（Ｎ／ｋ＋１）／２回実行するだけで済む。但し、（例２）のアルゴリズムに比べると、必要なメモリ量は、２２ｋ／ｋ２倍となる。
【０２３７】
例えば、ｋ＝１のとき、ＭビットＸＯＲ演算が１２０＊１１９／２＝７１４０回、必要なメモリ量が（例２）の２２＝４倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＭビットＸＯＲ演算が６０＊５９／２＝１７７０回、必要なメモリ量が２４／４＝４倍、ループ回数が１／４となる。ｋ＝４のとき、ＭビットＸＯＲ演算が３０＊２９／２＝４３５回、必要なメモリ量が２８／４２＝１６倍、ループ回数が１／１６．４となる。ｋ＝６のとき、ＭビットＸＯＲ演算が２０＊１９／２＝１９０回、必要なメモリ量が２１２／６２＝１１４倍、ループ回数が１／３７．６となる。ｋ＝８のとき、ＭビットＸＯＲ演算が１５＊１４／２＝１３５回、必要なメモリが２１６／８２＝１０２４倍、ループ回数が１／５２．９となる。
【０２３８】
（例３）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ／ｋ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ／ｋ
［ｙの１〜Ｍビット目］＾＝ａ（１〜Ｍ）ＩＪ［ｘのｋ（Ｉ−１）＋１〜ｋビット目］［ｘのｋ（Ｊ−１）＋１〜ｋビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２３９】
なお、（例３）に示した手法は、ちょうど、下記の式（３３）で定義されるＦＩＪ（…）の値を予め計算し、配列として保持しておく手法と言える。
【０２４０】
【数１９】
【０２４１】
以上、構造化手法＃１を多変数多項式Ｆへ適用するケースを例に挙げて具体的なアルゴリズムについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２４２】
（Ｇへの適用）
ここまで、図２２を参照しながら、構造化手法＃１を適用して多変数多項式Ｆを計算するアルゴリズムについて説明してきた。一方で、多変数多項式Ｇの各要素も二次形式で表現されることから、図２３に示すように、同様にして上記の構造化手法＃１を多変数多項式Ｇの計算にそのまま適用することも可能である。
【０２４３】
例えば、上記の構造化手法＃１を適用しない場合、多変数多項式Ｇを計算するアルゴリズムは、下記の（例１’）のように表現される。なお、入力ｘ及びｙはそれぞれＮビットであるとする。
【０２４４】
（例１’）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｌ＝１ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
［ｚのＬビット目］＾＝［ａＬＩＪ＋ａＬＪＩ］＆［ｘのＩビット目］＆［ｙのＪビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２４５】
上記の（例１’）に対し、上述した構造化手法＃１を適用すると、多変数多項式Ｇを計算するアルゴリズムは、下記の（例２’）のようになる。
【０２４６】
（例２’）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
［ｚの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪ＋ａ（１〜Ｍ）ＪＩ］＆［ｘのＩビット目］＆［ｙのＪビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２４７】
また、多変数多項式Ｇの係数を適用した中間の結果をテーブルに保持する手法の場合、多変数多項式Ｇを計算するアルゴリズムは、上記の（例３）に対応して下記の（例３’）のようになる。なお、配列ａＩＪ［０］［０］〜ａＩＪ［２ｋ−１］［２ｋ−１］には、それぞれ、ａＩＪ［ｘ１，…，ｘｋ］［ｙ１，…，ｙｋ］＝（ａ（ｋ（Ｉ−１）＋１）（ｋ（Ｊ−１）＋１）＆ｘ１＆ｙ１）＾…＾（ａ（ｋ（Ｉ−１）＋１）（ｋ（Ｊ−１）＋ｋ）＆ｘ１＆ｙｋ）＾…＾（ａ（ｋ（Ｉ−１）＋ｋ）（ｋ（Ｊ−１）＋１）＆ｘｋ＆ｙ１）＾…＾（ａ（ｋ（Ｉ−１）＋ｋ）（ｋ（Ｊ−１）＋ｋ）＆ｘｋ＆ｙｋ）が格納されている。
【０２４８】
（例３’）の場合、ＭビットのＸＯＲ演算（＾）を（Ｎ／ｋ）２回実行するだけで済む。但し、（例２’）のアルゴリズムに比べると、必要なメモリ量は、２２ｋ／ｋ２倍となる。
【０２４９】
例えば、ｋ＝１のとき、ＭビットＸＯＲ演算が１２０２＝１４４００回、必要なメモリ量が（例２’）の２２＝４倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＭビットＸＯＲ演算が６０２＝３６００回、必要なメモリ量が２４／４＝４倍、ループ回数が１／４となる。ｋ＝４のとき、ＭビットＸＯＲ演算が３０２＝９００回、必要なメモリ量が２８／４２＝１６倍、ループ回数が１／１６となる。ｋ＝６のとき、ＭビットＸＯＲ演算が２０２＝４００回、必要なメモリ量が２１２／６２＝１１４倍、ループ回数が１／３６となる。ｋ＝８のとき、ＭビットＸＯＲ演算が１５２＝２２５回、必要なメモリが２１６／８２＝１０２４倍、ループ回数が１／６４となる。
【０２５０】
（例３’）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ／ｋ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ／ｋ
［ｚの１〜Ｍビット目］＾＝ａ（１〜Ｍ）ＩＪ［ｘのｋ（Ｉ−１）＋１〜ｋビット目］［ｙのｋ（Ｊ−１）＋１〜ｋビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２５１】
なお、（例３’）に示した手法は、ちょうど、下記の式（３４）で定義されるＧＩＪ（…）の値を予め計算し、配列として保持しておく手法と言える。
【０２５２】
【数２０】
【０２５３】
以上、多変数多項式Ｇを計算するケースを例に挙げ、構造化手法＃１に係る具体的なアルゴリズムの構成について説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２５４】
（３次多変数多項式Ｆへの適用）
ここまで、構造化手法＃１の具体例として、２次の多変数多項式の係数を構造化する手法を紹介してきたが、同様にして３次の多変数多項式の係数を構造化することも可能である。図２４の例では、係数ａ１ＩＪＬ〜ａＭＩＪＬがデータ構造Ａとして纏められ、係数ｂ１ＩＪ〜ｂＭＩＪがデータ構造Ｂとして纏められ、係数ｃ１Ｉ〜ｃＭＩがデータ構造Ｃとして纏められる。このように係数を構造化することで多変数多項式の計算が効率化される。
【０２５５】
例えば、データ構造Ａに係る計算について具体的に考えてみたい。係数を構造化しない場合、当該データ構造Ａに係る計算のアルゴリズムは、例えば、下記（例４）のようになる。
【０２５６】
（例４）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｑ＝Ｉ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ
ｆｏｒ Ｌ＝Ｊ ｔｏ Ｎ
［ｙのＱビット目］＾＝［ａＱＩＪＬ］＆［ｘのＩビット目］＆［ｘのＪビット目］＆［ｘのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２５７】
一方、係数を構造化すると、下記（例５）のようなアルゴリズムとなる。（例５）の場合、ＭビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ＋１）×（Ｎ＋２）／６回、ＭビットのＸＯＲ演算（＾）を１×Ｎ×（Ｎ＋１）×（Ｎ＋２）／６回実行するだけで済む。なお、ａ（１〜Ｍ）ＩＪＬは、それぞれループのタイミングで生成される。また、係数を使い回してもよい。例えば、ループを実行する際、［ａ（１〜Ｍ）ＩＪＬ］を毎回生成せず、Ｍ回に１回だけ生成するようにしてもよい。また、Ｍ回のループ中、［ａ（１〜Ｍ）ＩＪ］を１ビットずつローテーションしながら利用してもよい。
【０２５８】
（例５）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ
ｆｏｒ Ｌ＝Ｊ ｔｏ Ｎ
［ｙの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪＬ］＆［ｘのＩビット目］＆［ｘのＪビット目］＆［ｘのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２５９】
また、係数を構造化する場合、多変数多項式Ｆの係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、上記のアルゴリズムは（例６）のようになる。なお、配列ａＩＪＬ［０］［０］［０］〜ａＩＪＬ［２ｋ−１］［２ｋ−１］［２ｋ−１］には、それぞれ、ａＩＪＬ［ｘ１，…，ｘｋ］［ｚ１，…，ｚｋ］［ｗ１，…，ｗｋ］＝Σ１≦α，β，γ≦ｋ（ａ（ｋ（Ｉ−１）＋α）（ｋ（Ｊ−１）＋β）（ｋ（Ｌ−１）＋γ）＆ｘα＆ｚβ＆ｗγ）が格納されている。（例６）の場合、ＭビットのＸＯＲ演算（＾）を（Ｎ／ｋ）（Ｎ／ｋ＋１）（Ｎ／ｋ＋２）／６回実行するだけで済む。但し、（例４）のアルゴリズムに比べると、必要なメモリ量は、２３ｋ／ｋ３倍となる。
【０２６０】
例えば、ｋ＝１のとき、ＭビットＸＯＲ演算が１２０＊１２１＊１２２／６＝２９５２４０回、必要なメモリ量が（例４）の２３＝８倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＭビットＸＯＲ演算が６０＊６１＊６２／６＝３７８２０回、必要なメモリ量が２６／８＝８倍、ループ回数が１／７．８となる。ｋ＝４のとき、ＭビットＸＯＲ演算が３０＊３１＊３２／６＝４９６０回、必要なメモリ量が２１２／４３＝６４倍、ループ回数が１／５９．５となる。ｋ＝６のとき、ＭビットＸＯＲ演算が２０＊２１＊２２／６＝１５４０回、必要なメモリ量が２１８／６３＝１２１４倍、ループ回数が１／１９２となる。
【０２６１】
（例６）
ｉｎｐｕｔ ｘ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ／ｋ
ｆｏｒ Ｊ＝Ｉ ｔｏ Ｎ／ｋ
ｆｏｒ Ｌ＝Ｊ ｔｏ Ｎ／ｋ
［ｙの１〜Ｍビット目］＾＝ａ（１〜Ｍ）ＩＪＬ［ｘのｋ（Ｉ−１）＋１〜ｋビット目］［ｘのｋ（Ｊ−１）＋１〜ｋビット目］［ｘのｋ（Ｌ−１）＋１〜ｋビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｙ；
【０２６２】
なお、（例６）に示した手法は、ちょうど、下記の式（３５）で定義されるＦＩＪ（…）の値を予め計算し、配列として保持しておく手法と言える。
【０２６３】
【数２１】
【０２６４】
以上、構造化手法＃１を３次の多変数多項式Ｆへ適用するケースについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２６５】
（３次多変数多項式Ｇｘ，Ｇｙへの適用）
上記の（例５）や（例６）と同様、図２５及び図２６に示すように、３次の多変数多項式Ｇｘ，Ｇｙに対しても構造化手法＃１を適用することが可能である。構造化手法＃１を適用しない場合、３次の多変数多項式Ｇｘのデータ構造Ａに係る計算は、例えば、下記の（例４’Ｘ）のアルゴリズムにより実行される。
【０２６６】
（例４’Ｘ）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｑ＝１ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
ｆｏｒ Ｌ＝１ ｔｏ Ｎ
［ｚのＱビット目］＾＝［ａＱＩＪＬ＋ａＱＩＬＪ＋ａＱＬＪＩ］＆［ｙのＩビット目］＆［ｙのＪビット目］＆［ｘのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２６７】
上記の（例４’Ｘ）に対し、上述した構造化手法＃１を適用すると、多変数多項式Ｇｘを計算するアルゴリズムは、下記の（例５’Ｘ）のようになる。また、上記の（例６）と同様にして多変数多項式Ｇｘの係数を適用した中間の結果をテーブルに保持するようにしてもよい。
【０２６８】
（例５’Ｘ）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
ｆｏｒ Ｌ＝１ ｔｏ Ｎ
［ｚの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪＬ＋ａ（１〜Ｍ）ＩＬＪ＋ａ（１〜Ｍ）ＬＪＩ］＆［ｙのＩビット目］＆［ｙのＪビット目］＆［ｘのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２６９】
また、構造化手法＃１を適用しない場合、３次の多変数多項式Ｇｙの計算は、例えば、下記の（例４’Ｙ）のアルゴリズムにより実行される。
【０２７０】
（例４’Ｙ）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｑ＝１ ｔｏ Ｍ
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
ｆｏｒ Ｌ＝１ ｔｏ Ｎ
［ｚのＱビット目］＾＝［ａＱＩＪＬ＋ａＱＩＬＪ＋ａＱＬＪＩ］＆［ｘのＩビット目］＆［ｘのＪビット目］＆［ｙのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２７１】
上記の（例４’Ｙ）に対し、上述した構造化手法＃１を適用すると、多変数多項式Ｇｙを計算するアルゴリズムは、下記の（例５’Ｙ）のようになる。また、上記の（例６）と同様にして多変数多項式Ｇｙの係数を適用した中間の結果をテーブルに保持するようにしてもよい。
【０２７２】
（例５’Ｙ）
ｉｎｐｕｔ ｘ，ｙ；
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
ｆｏｒ Ｊ＝１ ｔｏ Ｎ
ｆｏｒ Ｌ＝１ ｔｏ Ｎ
［ｚの１〜Ｍビット目］＾＝［ａ（１〜Ｍ）ＩＪＬ＋ａ（１〜Ｍ）ＩＬＪ＋ａ（１〜Ｍ）ＬＪＩ］＆［ｘのＩビット目］＆［ｘのＪビット目］＆［ｙのＬビット目］；
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
ｏｕｔｐｕｔ ｚ；
【０２７３】
以上、構造化手法＃１を３次の多変数多項式Ｇｘ、Ｇｙへ適用するケースについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２７４】
（７−２−２：構造化手法＃２（図２７））
次に、構造化手法＃２について説明する。構造化手法＃２は、図２７に示すように、多変数多項式を２次形式で表現し、２次形式の行又は列を１つのデータ構造として纏める手法である。図２７の例では、行方向にデータ構造が纏められている。
【０２７５】
図２７に示すように係数を構造化し、生成した乱数を多変数多項式の係数として一部ずつ逐次適用していく場合、係数の代入アルゴリズムは（例４）のようになる。例４の場合、ＮビットのＡＮＤ演算（＆）を（Ｎ＋１）×Ｍ回、ＮビットのＸＯＲ演算（＾）をＮ×Ｍ回、関数Ｑの演算をＭ回実行するだけで済む。
【０２７６】
（例４）
ｆｏｒ Ｉ＝１ ｔｏ Ｎ
Ｔ＾＝ＡＩ＆［ｘのＩビット目］；
ｅｎｄ ｆｏｒ
Ｔ＆＝ｘ；
ｏｕｔｐｕｔ Ｑ（Ｔ）；
【０２７７】
Ｑ（ｚ）｛
ｚ＝ｚ＾（ｚ＞＞１）；
ｚ＝ｚ＾（ｚ＞＞２）；
ｚ＝ｚ＾（ｚ＞＞４）；
ｚ＝ｚ＾（ｚ＞＞８）；
・・・
ｚ＝ｚ＾（ｚ＞＞２Ｌｏｇ（Ｎ））；
ｒｅｔｕｒｎ ｚ＆１；
｝
【０２７８】
また、図２７に示すように係数を構造化し、多変数多項式の係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、係数の代入アルゴリズムは（例５）のようになる。なお、配列ＡＩ［０］〜ＡＩ［２ｋ−１］には、それぞれ、ＡＩ［ｘ１，…，ｘｋ］＝（Ａ（ｋ（Ｉ−１）＋１）＆ｘ１）＾…＾（Ａ（ｋ（Ｉ−１）＋ｋ）＆ｘｋ）が格納されている。例５の場合、ＮビットのＸＯＲ演算（＾）を（Ｎ／ｋ）×Ｍ、Ｎビットの関数Ｑの演算をＭ回実行するだけで済む。但し、（例４）のアルゴリズムに比べると、必要なメモリ量は、２ｋ／ｋ倍となる。
【０２７９】
例えば、ｋ＝１のとき、ＮビットＸＯＲ演算が１２０回、必要なメモリ量が（例４）の２倍、ループ回数は変化なしとなる。また、ｋ＝４のとき、ＮビットＸＯＲ演算が３０回、必要なメモリ量が２４／４＝４倍、ループ回数が１／４となる。ｋ＝８のとき、ＮビットＸＯＲ演算が１５回、必要なメモリが２８／８＝３２倍、ループ回数が１／８となる。ｋ＝１６のとき、ＮビットＸＯＲ演算が８回、必要なメモリが２１６／１６＝４０９６倍、ループ回数が１／１５となる。
【０２８０】
（例５）
ｆｏｒ Ｉ＝１ ｔｏ Ｎ／ｋ
Ｔ＾＝ＡＩ［ｘのｋ（Ｉ−１）＋１〜ｋ（Ｉ−１）＋ｋビット目］；
ｅｎｄ ｆｏｒ
Ｔ＆＝ｘ；
ｏｕｔｐｕｔ Ｑ（Ｔ）；
【０２８１】
以上、構造化手法＃２に係る具体的な係数の代入アルゴリズムについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。
【０２８２】
（７−２−３：構造化手法＃３）
次に、構造化手法＃３について説明する。構造化手法＃３は、同じ多変数多項式にＮ回（Ｎ≧２）代入処理を行なう場合に、乱数から多項式をＮ回生成して代入処理を行うのではなく、「係数を一部生成し、その部分に関するＮ回分の処理を行なう」部分を単位とする逐次的な処理をＮ回分並列して行なうという手法である。この手法を適用すると、乱数生成のコストが無視できない場合にＮ回分の処理全体でのスループットが改善される。
【０２８３】
例えば、図５に示したアルゴリズムでは、工程＃１において引数を更新しながら多変数多項式Ｆ及びＧの計算をＮ回繰り返し実行している。そこで、このような計算部分について、同じ係数を利用して繰り返し演算を行うように構成する。上記（例２）のアルゴリズムを用いて多変数多項式Ｆ（ｒ０ｉ）（ｉ＝１〜Ｎ）を計算する場合、一度生成した［ａＩＪＬ］について、Ｎ個のｒ０ｉを全て適用した後で、次の［ａＩＪＬ］に関する処理を実行するように構成する。このように構成すると、同じ係数［ａＩＪＬ］をＮ回生成せずに済むようになる。
【０２８４】
以上、構造化手法＃３に係る具体的な係数の代入アルゴリズムについて説明した。かかる構成により、Ｎ回分の処理におけるトータルでのスループットが改善される。
【０２８５】
＜８：ハードウェア構成例（図２８）＞
上記の各アルゴリズムは、例えば、図２８に示す情報処理装置のハードウェア構成を用いて実行することが可能である。つまり、当該各アルゴリズムの処理は、コンピュータプログラムを用いて図２８に示すハードウェアを制御することにより実現される。なお、このハードウェアの形態は任意であり、例えば、パーソナルコンピュータ、携帯電話、ＰＨＳ、ＰＤＡ等の携帯情報端末、ゲーム機、接触式又は非接触式のＩＣチップ、接触式又は非接触式のＩＣカード、又は種々の情報家電がこれに含まれる。但し、上記のＰＨＳは、Ｐｅｒｓｏｎａｌ Ｈａｎｄｙ−ｐｈｏｎｅ Ｓｙｓｔｅｍの略である。また、上記のＰＤＡは、Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔの略である。
【０２８６】
図２８に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０と、を有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６と、を有する。但し、上記のＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。また、上記のＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略である。そして、上記のＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。
【０２８７】
ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータ等を格納する手段である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に適宜変化する各種パラメータ等が一時的又は永続的に格納される。
【０２８８】
これらの構成要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチ、及びレバー等が用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラ（以下、リモコン）が用いられることもある。
【０２８９】
出力部９１８としては、例えば、ＣＲＴ、ＬＣＤ、ＰＤＰ、又はＥＬＤ等のディスプレイ装置、スピーカ、ヘッドホン等のオーディオ出力装置、プリンタ、携帯電話、又はファクシミリ等、取得した情報を利用者に対して視覚的又は聴覚的に通知することが可能な装置である。但し、上記のＣＲＴは、Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅの略である。また、上記のＬＣＤは、Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙの略である。そして、上記のＰＤＰは、Ｐｌａｓｍａ ＤｉｓｐｌａｙＰａｎｅｌの略である。さらに、上記のＥＬＤは、Ｅｌｅｃｔｒｏ−Ｌｕｍｉｎｅｓｃｅｎｃｅ Ｄｉｓｐｌａｙの略である。
【０２９０】
記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ハードディスクドライブ（ＨＤＤ）等の磁気記憶デバイス、半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイス等が用いられる。但し、上記のＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略である。
【０２９１】
ドライブ９２２は、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８は、例えば、ＤＶＤメディア、Ｂｌｕ−ｒａｙメディア、ＨＤ ＤＶＤメディア、各種の半導体記憶メディア等である。もちろん、リムーバブル記録媒体９２８は、例えば、非接触型ＩＣチップを搭載したＩＣカード、又は電子機器等であってもよい。但し、上記のＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。
【０２９２】
接続ポート９２４は、例えば、ＵＳＢポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ、ＲＳ−２３２Ｃポート、又は光オーディオ端子等のような外部接続機器９３０を接続するためのポートである。外部接続機器９３０は、例えば、プリンタ、携帯音楽プレーヤ、デジタルカメラ、デジタルビデオカメラ、又はＩＣレコーダ等である。但し、上記のＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略である。また、上記のＳＣＳＩは、Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅの略である。
【０２９３】
通信部９２６は、ネットワーク９３２に接続するための通信デバイスであり、例えば、有線又は無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＷＵＳＢ用の通信カード、光通信用のルータ、ＡＤＳＬ用のルータ、又は接触又は非接触通信用のデバイス等である。また、通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークにより構成され、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、可視光通信、放送、又は衛星通信等である。但し、上記のＬＡＮは、Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋの略である。また、上記のＷＵＳＢは、Ｗｉｒｅｌｅｓｓ ＵＳＢの略である。そして、上記のＡＤＳＬは、Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅの略である。
【０２９４】
＜９：まとめ＞
最後に、本技術の実施形態に係る技術内容について簡単に纏める。ここで述べる技術内容は、例えば、ＰＣ、携帯電話、ゲーム機、情報端末、情報家電、カーナビゲーションシステム等、種々の情報処理装置に対して適用することができる。なお、以下で述べる情報処理装置の機能は、１台の情報処理装置を利用して実現することも可能であるし、複数台の情報処理装置を利用して実現することも可能である。また、以下で述べる情報処理装置が処理を実行する際に用いるデータ記憶手段及び演算処理手段は、当該情報処理装置に設けられたものであってもよいし、ネットワークを介して接続された機器に設けられたものであってもよい。
【０２９５】
上記の情報処理装置の機能構成は以下のように表現される。例えば、下記（１）に記載の情報処理装置は、多次多変数連立方程式の求解困難性に安全性の根拠を置く効率的な公開鍵認証方式又は電子署名方式のアルゴリズムを実行する機能を有する。
【０２９６】
（１）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、
前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備え、
前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理装置。
【０２９７】
（２）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、
前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備え、
前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理装置。
【０２９８】
（３）
前記数生成部は、前記割当部が１つのグループに対する割り当て処理を実行する際に、当該１つのグループに属する係数の分だけ前記数を生成する、
上記（１）又は（２）に記載の情報処理装置。
【０２９９】
（４）
前記数生成部は、前記１つのグループに属する係数の分だけ前記数を生成する際、１つの数を生成し、生成した数を１ビットずつローテーションして所要数の数を生成する、
上記（３）に記載の情報処理装置。
【０３００】
（５）
前記各グループに対応する種類の項に前記係数を割り当て、当該項の変数に任意の数を代入した値をテーブルとして保持するテーブル保持部をさらに備える、
上記（１）又は（２）に記載の情報処理装置。
【０３０１】
（６）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成部と、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備える、
情報処理装置。
【０３０２】
（７）
前記情報は、乱数のシードであり、
前記所定の関数は、前記シードを利用して乱数を生成する乱数生成器である、
上記（１）〜（６）のいずれか１項に記載の情報処理装置。
【０３０３】
（８）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記回答情報は、前記乱数の組及び前記メッセージの中から前記検証パターンに応じて選択される情報であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０４】
（９）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０５】
（１０）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
前記検証者に前記第３の情報を提供する中間情報提供部と、
ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記回答情報は、前記メッセージの中から前記検証パターンに応じて選択される情報であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０６】
（１１）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０７】
（１２）
前記アルゴリズムが複数回繰り返し実行される場合において、前記数生成部は１回だけ前記数を生成し、前記割当部は１回だけ前記割り当て処理を実行し、
前記アルゴリズムは、前記割当部が割り当てた係数を繰り返し利用する、
上記（１）又は（２）に記載の情報処理装置。
【０３０８】
（１３）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及び署名鍵ｓ∈Ｋｎを用いて文書Ｍに対する電子署名を生成する署名生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者へと前記電子署名を提供する署名提供部と、
を備える、
上記（１）〜（７）のいずれか１項に記載の情報処理装置。
【０３０９】
（１４）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、
生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含み、
前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理方法。
【０３１０】
（１５）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、
生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含み、
前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理方法。
【０３１１】
（１６）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成するステップと、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含む、
情報処理方法。
【０３１２】
（１７）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、
前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラムであり、
前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
プログラム。
【０３１３】
（１８）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、
前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラムであり、
前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
プログラム。
【０３１４】
（１９）
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成機能と、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラム。
【０３１５】
（２０）
上記の（１９）に記載のプログラムが記録された、コンピュータにより読み取り可能な記録媒体。
【０３１６】
（備考）
上記の証明者アルゴリズムＰ、検証者アルゴリズムＶ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、数生成部、割当部、テーブル保持部の一例である。上記の証明者アルゴリズムＰは、メッセージ生成部、メッセージ提供部、回答提供部、中間情報生成部、中間情報提供部の一例である。また、上記の検証者アルゴリズムＶは、情報保持部、メッセージ取得部、パターン情報提供部、回答取得部、検証部、中間情報取得部の一例である。
【０３１７】
以上、添付図面を参照しながら本技術の好適な実施形態について説明したが、本技術は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本技術の技術的範囲に属するものと了解される。
【０３１８】
上記の説明において、ハッシュ関数Ｈを用いるアルゴリズムを紹介したが、ハッシュ関数Ｈの代わりにコミットメント関数ＣＯＭを用いてもよい。コミットメント関数ＣＯＭは、文字列Ｓ及び乱数ρを引数にとる関数である。コミットメント関数の例としては、Ｓｈａｉ ＨａｌｅｖｉとＳｉｌｖｉｏ Ｍｉｃａｌｉによって国際会議ＣＲＹＰＴＯ１９９６で発表された方式などがある。
【符号の説明】
【０３１９】
Ｇｅｎ 鍵生成アルゴリズム
Ｐ 証明者アルゴリズム
Ｖ 検証者アルゴリズム
Ｓｉｇ 署名生成アルゴリズム
Ｖｅｒ 署名検証アルゴリズム
【特許請求の範囲】
【請求項１】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、
前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備え、
前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理装置。
【請求項２】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、
前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備え、
前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理装置。
【請求項３】
前記数生成部は、前記割当部が１つのグループに対する割り当て処理を実行する際に、当該１つのグループに属する係数の分だけ前記数を生成する、
請求項１に記載の情報処理装置。
【請求項４】
前記数生成部は、前記１つのグループに属する係数の分だけ前記数を生成する際、１つの数を生成し、生成した数を１ビットずつローテーションして所要数の数を生成する、
請求項３に記載の情報処理装置。
【請求項５】
前記各グループに対応する種類の項に前記係数を割り当て、当該項の変数に任意の数を代入した値をテーブルとして保持するテーブル保持部をさらに備える、
請求項１に記載の情報処理装置。
【請求項６】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成部と、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備える、
情報処理装置。
【請求項７】
前記情報は、乱数のシードであり、
前記所定の関数は、前記シードを利用して乱数を生成する乱数生成器である、
請求項１に記載の情報処理装置。
【請求項８】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記回答情報は、前記乱数の組及び前記メッセージの中から前記検証パターンに応じて選択される情報であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
請求項１に記載の情報処理装置。
【請求項９】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
請求項１に記載の情報処理装置。
【請求項１０】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
前記検証者に前記第３の情報を提供する中間情報提供部と、
ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記回答情報は、前記メッセージの中から前記検証パターンに応じて選択される情報であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
請求項１に記載の情報処理装置。
【請求項１１】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
請求項１に記載の情報処理装置。
【請求項１２】
前記アルゴリズムが複数回繰り返し実行される場合において、前記数生成部は１回だけ前記数を生成し、前記割当部は１回だけ前記割り当て処理を実行し、
前記アルゴリズムは、前記割当部が割り当てた係数を繰り返し利用する、
請求項１に記載の情報処理装置。
【請求項１３】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及び署名鍵ｓ∈Ｋｎを用いて文書Ｍに対する電子署名を生成する署名生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者へと前記電子署名を提供する署名提供部と、
を備える、
請求項１に記載の情報処理装置。
【請求項１４】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、
生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含み、
前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理方法。
【請求項１５】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、
生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含み、
前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理方法。
【請求項１６】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成するステップと、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含む、
情報処理方法。
【請求項１７】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、
前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラムであり、
前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
プログラム。
【請求項１８】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、
前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラムであり、
前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
プログラム。
【請求項１９】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成機能と、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラム。
【請求項１】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、
前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備え、
前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理装置。
【請求項２】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成部と、
前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備え、
前記割当部は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理装置。
【請求項３】
前記数生成部は、前記割当部が１つのグループに対する割り当て処理を実行する際に、当該１つのグループに属する係数の分だけ前記数を生成する、
請求項１に記載の情報処理装置。
【請求項４】
前記数生成部は、前記１つのグループに属する係数の分だけ前記数を生成する際、１つの数を生成し、生成した数を１ビットずつローテーションして所要数の数を生成する、
請求項３に記載の情報処理装置。
【請求項５】
前記各グループに対応する種類の項に前記係数を割り当て、当該項の変数に任意の数を代入した値をテーブルとして保持するテーブル保持部をさらに備える、
請求項１に記載の情報処理装置。
【請求項６】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成部と、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当部と、
を備える、
情報処理装置。
【請求項７】
前記情報は、乱数のシードであり、
前記所定の関数は、前記シードを利用して乱数を生成する乱数生成器である、
請求項１に記載の情報処理装置。
【請求項８】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記回答情報は、前記乱数の組及び前記メッセージの中から前記検証パターンに応じて選択される情報であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
請求項１に記載の情報処理装置。
【請求項９】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
請求項１に記載の情報処理装置。
【請求項１０】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及びベクトルｓ∈Ｋｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
前記検証者に前記第３の情報を提供する中間情報提供部と、
ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記回答情報は、前記メッセージの中から前記検証パターンに応じて選択される情報であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
請求項１に記載の情報処理装置。
【請求項１１】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）及びベクトルｙ＝（ｙ１，…，ｙｍ）＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
請求項１に記載の情報処理装置。
【請求項１２】
前記アルゴリズムが複数回繰り返し実行される場合において、前記数生成部は１回だけ前記数を生成し、前記割当部は１回だけ前記割り当て処理を実行し、
前記アルゴリズムは、前記割当部が割り当てた係数を繰り返し利用する、
請求項１に記載の情報処理装置。
【請求項１３】
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）、及び署名鍵ｓ∈Ｋｎを用いて文書Ｍに対する電子署名を生成する署名生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｆ１（ｓ），…，ｆｍ（ｓ））を保持する検証者へと前記電子署名を提供する署名提供部と、
を備える、
請求項１に記載の情報処理装置。
【請求項１４】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、
生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含み、
前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理方法。
【請求項１５】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成するステップと、
生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含み、
前記割り当てるステップでは、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
情報処理方法。
【請求項１６】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成するステップと、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てるステップと、
を含む、
情報処理方法。
【請求項１７】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、
前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラムであり、
前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、割り当て処理をグループ単位で実行する、
プログラム。
【請求項１８】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を生成する数生成機能と、
前記数生成機能が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラムであり、
前記割当機能は、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式を２次形式で表現した場合の係数行列を行又は列毎にグループ化しておき、割り当て処理をグループ単位で実行する、
プログラム。
【請求項１９】
多次多変数多項式の組Ｆ＝（ｆ１，…，ｆｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて前記多次多変数多項式の組Ｆを構成する各項の係数と同じ数だけ数を生成する数生成機能と、
前記証明者と前記認証者との間で予め決められた順序で前記数生成部が生成した数を、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数に割り当てる割当機能と、
をコンピュータに実現させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【公開番号】特開２０１３−６６１５１（Ｐ２０１３−６６１５１Ａ）
【公開日】平成２５年４月１１日（２０１３．４．１１）
【国際特許分類】
【出願番号】特願２０１２−４６６８７（Ｐ２０１２−４６６８７）
【出願日】平成２４年３月２日（２０１２．３．２）
【出願人】（０００００２１８５）ソニー株式会社 (34,172)
【Ｆターム（参考）】
【公開日】平成２５年４月１１日（２０１３．４．１１）
【国際特許分類】
【出願日】平成２４年３月２日（２０１２．３．２）
【出願人】（０００００２１８５）ソニー株式会社 (34,172)
【Ｆターム（参考）】
[ Back to top ]