【手続補正書】
【提出日】平成18年3月22日(2006.3.22)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】特許請求の範囲
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
公開鍵データ通信システム内で、長期秘密鍵ｄ、および、該長期公開鍵ｄから得られる長期公開鍵の対応によって、メッセージｍに署名し、該メッセージｍを認証する方法であって、
安全なコンピュータシステムにおいて、
（ａ）第一の短期秘密鍵ｋを生成するステップと、
（ｂ）前記第一の短期秘密鍵ｋから得られる第一の短期公開鍵を計算するステップと、
（ｃ）前記第一の短期公開鍵を用いて第一の署名要素ｒを計算するステップと、
（ｄ）第二の短期秘密鍵ｔを生成するステップと、
（ｅ）メッセージｍ上の前記第二の短期秘密鍵ｔと、前記長期秘密鍵ｄと、前記第一の署名要素ｒとを用いて、第二の署名要素ｓを計算するステップと、
（ｆ）前記第一の短期秘密鍵ｋと第二の短期秘密鍵ｔとを用いて第三の署名要素ｃを計算し、前記署名要素（ｒ，ｓ，ｃ）をメッセージｍのマスクディジタル署名として前記安全なコンピュータシステムに関係を有している受信者側のコンピュータシステムへ送信するステップと、
（ｇ）正規署名要素ｓ―（ｓ―は、上線付きのｓを示す）を計算するために、前記第二および第三の署名要素（ｓ，ｃ）を用い、該署名要素（ｓ―，ｒ）を正規ディジタル署名として受信者側の検証者側のコンピュータシステムへ送信するステップと、
前記の検証者側のシステムにおいて、
（ｈ）前記正規署名を検証するステップとを含む方法。
【請求項２】
前記第一の短期秘密鍵ｋは整数であり、
Ｆｑに対して定義される楕円曲線をＥとし、ＰをＥ（Ｆｑ）における素数の次数ｎの点とした場合、前記第一の短期公開鍵が、値ｋＰ＝（ｘ1，ｙ1）の計算により得られる請求項１に記載の方法。
【請求項３】
ｘ―（ｘ―は、上線付きのｘを示す）が前記座標ｘ１を整数ｘ―へ変換して得られるとすると、前記第一の署名要素ｒが、ｒ＝ｘ―（ｍｏｄ  ｎ）により定義される請求項２に記載の方法。
【請求項４】
前記第二の短期秘密鍵が、２≦ｔ≦（ｎ−２）となるよう選択された整数であり、
メッセージｍのハッシュをｅとした場合、前記第二の署名要素が、ｓ＝ｔ（ｅ＋ｄｒ）（ｍｏｄ  ｎ）として定義される請求項３に記載の方法。
【請求項５】
前記第三の署名要素が、ｃ＝ｔｋ（ｍｏｄ  ｎ）として定義される請求項４に記載の方法。
【請求項６】
前記正規署名要素ｓ―が、ｓ―＝ｃ-1ｓ  ｍｏｄ  ｎとして定義される請求項５に記載の方法。
【請求項７】
メッセージの署名者が秘密鍵ｄと、生成器（generator）ｇと前記秘密鍵ｄから得られる公開鍵ｙとを有するデータ通信システムにおいて、メッセージのディジタル署名を生成する方法であって、
（ａ）短期秘密鍵ｋを生成するステップと、
（ｂ）前記短期秘密鍵ｋから得られる第一の短期公開鍵を計算するステップと、
（ｃ）前記第一の短期公開鍵を用いて第一の署名要素ｒを計算するステップと、
（ｄ）第二の短期秘密鍵ｔを生成するステップと、
（ｅ）メッセージｍ上の前記第二の短期秘密鍵ｔと、前記長期秘密鍵と、前記第一の署名要素ｒとを用いて第二の署名要素ｓを計算するステップと、
（ｆ）前記第一の短期秘密鍵ｋと前記第二の短期秘密鍵ｔとを用いて第三の署名要素ｃを計算するステップと、
（ｇ）前記署名要素（ｒ，ｓ，ｃ）をメッセージｍのマスクディジタル署名として受信者側のコンピュータシステムへ送信するステップとを含む方法。
【請求項８】
前記受信者側のコンピュータシステムにおいて、前記第二および第三の署名要素（ｓ，ｒ）を用いて正規署名要素ｓ―を計算し、前記署名要素（ｓ―，ｒ）を正規ディジタル署名として検証者側のコンピュータシステムへ送信し、前記正規署名（ｓ，ｒ）を上記の検証者側のシステムで検証するステップを含む請求項７に記載の方法。
【請求項９】
前記受信者側のコンピュータシステムにおいて、前記第二および第三の署名要素（ｓ，ｃ）を用いて正規署名要素ｓ―を計算し、正規ディジタル署名要素（ｓ―，ｒ）を得て、前記正規署名要素を検証するステップを含む請求項８に記載の方法。
【請求項１０】
安全な境界内に含まれる長期秘密鍵と、該秘密鍵から得られる長期公開鍵と、体における所定の次数の生成元とを含まず、かつ、逆変換演算を行うことなくメッセージｍを署名する処理手段であり、
第一の短期秘密鍵を生成する生成器と、
第二の短期秘密鍵を生成する生成器と、
少なくとも前記第二の短期セッション鍵を用いて第一の署名要素を生成する生成器とを有し、
前記メッセージｍの複数のマスク署名要素を生成するために、前記第一および第二の短期秘密鍵を用いて１つのマスク署名要素を生成する処理をする処理手段。
【請求項１１】
前記署名要素を正規署名要素へ変換する変換器（converter）と、
前記正規署名要素を受信者へ送信する通信経路（communication channel）とをさらに含む請求項１０に記載の処理手段。
【請求項１２】
送信者と受信者との間で認められたデータ通信システム内におけるメッセージｍの署名の認証方法であって、前記送信者が生成したマスクされた署名要素（ｒ，ｓ，ｃ）において、ｒは第一の短期公開鍵ｋＰと等価なものから得た整数であり、第二の短期秘密鍵、メッセージｍ、および、長期および短期秘密鍵を結びつけることによって得られる署名要素であり、ｃは組み合わせられた前記第一および第二の短期秘密鍵によって取得された第二の署名要素であり、
（ａ）署名要素のペア（ｓ―，ｒ）（前記要素ｓ−は署名者（signor）によって生成された前記第一および第二の署名要素から得たものである）を取得するステップと、
（ｂ）前記ペア（ｓ―，ｒ）および前記メッセージｍを用いて、前記第一短期公開鍵ｋＰに相当する同格ペア（ｘ１，ｙ１）を再生するステップと、
（ｃ）署名要素ｒ’を前記同格ペアの１つから計算するステップと、
（ｄ）ｒ’＝ｒの場合、前記署名を認証するステップとが検証者（verifier）によって行われる認証方法。
【請求項１３】
前記検証者が（ｒ，ｓ，ｃ）を前記署名者から受信し、前記ペア（ｓ―，ｒ）を得るために（ｓ，ｒ，ｃ）を変換するステップをさらに備える請求項１２に記載の方法。
【請求項１４】
前記署名者が（ｓ，ｒ，ｃ）を前記ペア（ｓ―，ｒ）に変換し、前記署名者が前記ペア（ｓ―，ｒ）を前記検証者に送信するステップをさらに備える請求項１２に記載の方法。
【請求項１５】
前記同格ペア（ｘ１，ｙ１）がｕおよびｖの値のペアから計算され、前記ｕおよびｖの値は前記ペア（ｓ―，ｒ）および前記メッセージｍから得ることを含む請求項１２に記載の方法。
【請求項１６】
前記同格ペア（ｘ１，ｙ１）は（ｘ１，ｙ１）＝ｕＰ＋ｖＱによって計算され、Ｐは楕円曲線Ｅ上に示され、Ｑは前記署名者がＱ＝ｄＰであるＰから得る公開認証鍵である請求項１５に記載の方法。
【請求項１７】
前記ｕの値はｕ＝ｓ―−１ｅ  ｍｏｄ  ｎによって計算され、前記ｖの値はｖ＝ｓ―−１ｒ  ｍｏｄ  ｎによって計算され、ｅは前記メッセージｍを表わしている請求項１５に記載の方法。
【請求項１８】
ｅはｅ＝Ｈ（ｍ）によって計算され、Ｈ（）は前記署名者のハッシュ関数であり、かつ、前記検証者によって既知である請求項１７に記載の方法。
【請求項１９】
前記同格ｘ１は、前記要素ｒ’の計算よりも優先されて、最初に整数（ｘ１）―（（ｘ１）―は、上線付きのｘ１を示す）に変換される請求項１２に記載の方法。
【請求項２０】
前記要素ｒ’はｒ’＝（ｘ１）―  ｍｏｄ  ｎによって計算される請求項１９に記載の方法。
【請求項２１】
前記要素ｒ’の計算を優先するために、前記同格ペア（ｘ１，ｙ１）が最初に認証され、前記同格ペア（ｘ１，ｙ１）が無限大を示す場合、前記署名を拒絶する請求項１２に記載の方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００１６
【補正方法】変更
【補正の内容】
【００１６】
本発明によれば、公開鍵データ通信システム内で、長期秘密鍵ｄ、および、該長期公開鍵ｄから得られる長期公開鍵の対応によって、メッセージｍに署名し、該メッセージｍを認証する方法であって、
安全なコンピュータシステムにおいて、
（ａ）第一の短期秘密鍵ｋを生成するステップと、
（ｂ）前記第一の短期秘密鍵ｋから得られる第一の短期公開鍵を計算するステップと、
（ｃ）前記第一の短期公開鍵を用いて第一の署名要素ｒを計算するステップと、
（ｄ）第二の短期秘密鍵ｔを生成するステップと、
（ｅ）メッセージｍ上の前記第二の短期秘密鍵ｔと、長期秘密鍵と、第一の署名要素ｒとを用いて、第二の署名要素ｓを計算するステップと、
（ｆ）前記第一の短期秘密鍵ｋと第二の短期秘密鍵ｔとを用いて第三の署名要素ｃを計算し、前記署名要素（ｒ，ｓ，ｃ）をメッセージｍのマスクディジタル署名（masked digital signature）として前記安全なコンピュータシステムに関係を有している受信者側のコンピュータシステムへ送信するステップと、
（ｇ）正規署名要素ｓ―（ｓ―は、上線付きのｓを示す）を計算するために、前記第二および第三の署名要素（ｓ，ｃ）を用い、該署名要素（ｓ―，ｒ）を正規ディジタル署名として検証者側のコンピュータシステムへ送信するステップと、
（ｈ）前記正規署名を検証するステップとを含む方法が提供される。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１７
【補正方法】変更
【補正の内容】
【００１７】
また、本発明によれば、安全な境界内に含まれる長期秘密鍵と、該秘密鍵から得られる長期公開鍵と、体（field）における所定の次数の生成元とを含まず、かつ、逆変換演算（inverse operations）を行うことなくメッセージｍを署名する処理手段であり、
第一の短期秘密鍵を生成する生成器と、
第二の短期秘密鍵を生成する生成器と、
少なくとも前記第二の短期セッション鍵を用いて第一の署名要素を生成する生成器とを有し、
前記処理手段は、前記メッセージｍの複数のマスク署名要素を生成するために、前記第一および第二の短期秘密鍵を用いて１つのマスク署名要素を生成する処理をする処理手段が提供される。