[发明专利]署名生成装置及署名验证装置

说明书

技术领域

本发明涉及作为信息安全技术的加密技术，特别涉及数字署名的技术。

背景技术

作为用来进行从接收装置向发送装置发送数据时的发送者的确定及防止数据的窜改的技术，有作为公开密钥加密的一种的数字署名方式。如果简单地说明，则是如下方法：发送装置使用发送装置的秘密密钥对想要发送的数据制作署名数据，与想要发送的数据一起将署名数据发送给发送装置，接收装置使用与发送装置的秘密密钥对应的公开密钥来验证署名数据，判断是否被窜改(例如参照非专利文献1)。这里，由公开密钥很难计算秘密密钥的值。

最近，作为能够进行高速处理的公开密钥加密，提出了NTRU加密(例如参照非专利文献2)。该NTRU加密同在某个模下进行幂乘余数运算的RSA加密或进行椭圆曲线上的点的数乘(scalar倍)运算的椭圆曲线加密相比，由于利用可高速运算的多项式运算进行加密与解密，所以比以往的公开密钥加密更能高速地处理，在软件的处理中也能够以实用的时间进行处理。

因而，在公开密钥加密中使用了NTRU加密的加密通信系统中，与以往的使用了公开密钥加密的加密通信系统相比，具有能够高速地进行发送装置及接收装置的处理的优点。

在上述记载中提出的方式是将数据加密的保密加密方式，但此后提出了NTRU加密的数字署名方式(参照非专利文献3)。关于数字署名方式，因解读法的出现等而其方式被变更了数次。以下，对称作NTRUSign的数字署名方式简单地进行说明(对于详细情况，参照专利文献2及非专利文献4)。

在NTRUSign署名方式的密钥生成中，以多项式X^N-1为模，通过使用属于具有整数系数的多项式的环R的多个元、和环R的理想子环，生成秘密密钥及公开密钥。这里，“X^a”是指X的a次幂。在NTRUSign署名方式中的对于消息的署名中，使用生成的秘密密钥、和作为消息的哈希(Hash)值的2·N维的矢量。在NTRUSign署名方式的署名验证中，使用公开密钥、对于消息的署名、和作为消息的哈希值的2·N维的矢量。另外，在非专利文献4及非专利文献5中，记载了NTRUSign署名方式中使用的环及环的理想子环，所以省略这里的说明。

<NTRUSign署名方式>

(1)NTRUSign署名方式的参数

NTRUSign署名方式使用作为非负整数的参数N、q、df、dg、Normbound。以下说明这些参数的意义。

(1-1)参数N

NTRUSign署名方式是通过多项式的运算进行署名生成及署名验证的数字署名方式。在NTRUSign署名方式中处理的多项式的次数由上述参数N决定。

NTRUSign署名方式中处理的多项式是相对于上述参数N的N-1次以下的整数系数多项式，例如在N＝5时，是X^4+X^3+1等的多项式。另外，对于多项式实施(mod X^N-1)运算，计算出始终由N-1次以下构成的整数系数多项式。这是因为，通过实施(modX^N-1)运算，K^N＝1的关系式成立，所以对于N次以上的变量，能够始终变换为N-1次以下的变量。这里可知，通过对多项式实施(mod K^N-1)运算而得到的整数系数多项式为多项式环R的元。

此外，公开密钥h、署名s都表现为N-1次以下的多项式。此外，秘密密钥是4个N-1次以下的多项式对(f，g，F，G)。即，f、g、F、G都是N-1次以下的多项式，是多项式环R的元。另外，以下有时也将4个组(f，g，F，G)分为两个对(f，g)，(F、G)的进一步的对，而标记为{(f，g)，(F、G)}。

并且，多项式运算是，利用X^N＝1的关系式对上述参数N进行运算，以使运算结果总为N-1次以下的多项式。例如，在N＝5的情况下，多项式X^4+X^2+1与多项式X^3+X的积，如果设多项式与多项式的积为×、整数与多项式的积(或者整数与整数的积)为·，则根据X^5＝1的关系，如

(X^4+X^2+1)×(X^3+X)

＝X^7+2·X^5+2·X^3+X

＝X^2·1+2·1+2·X^3+X

＝2·X^3+X^2+X+2

所示地进行运算，以使其始终成为N-1次以下的多项式。

另外，在NTRUSign署名方式中，N-1次的多项式a＝a_0+a_1·X+a_2·X^2+……+a_(N-1)·X^(N-1)看作与矢量(a_0，a_1，a_2，……，a_(N-1))相同。a_0，a_1，a_2，……，a_(N-1)是多项式a的系数，是整数。