"署名をオリジナルメッセージ[M]104に適用し、署名者100、1000によって署名される署名されたメッセージ106、1036を生成する方法であって、前記オリジナルメッセージ[M]104は、第1の部分[N]1020および第2の部分[V]1022から成り、前記方法は、第1の整数値[k]1016を選択し、前記第1の整数値[k]1016および楕円曲線の基点[G]から、第2の値[Q]1018を算出するステップであって、前記第2の値[Q]1018は、前記楕円曲線上の点集合内に含まれる、ステップと、鍵導出関数[KDF]を前記第2の値[Q]1018を含む入力に適用することによって、導出された鍵[k1]1024を構築するステップと、前記導出された鍵[k1]1024によって鍵暗号化された認証付暗号化関数を前記メッセージ[M]104の前記第1の部分[N]1020に適用し、暗号化された値[c1]1026を取得し、メッセージ認証コード[mac]1028を取得するステップと、前記暗号化された値[c1]1026および前記メッセージ認証コード[mac]1028を可逆的に組み合わせ、第1の署名構成要素[c]1030を形成するステップと、第2の署名構成要素[s]1032を算出するステップであって、前記算出は、i前記第1の整数値[k]1016と、ii前記署名者100、1000の秘密鍵[dA]1012と、iii前記第1の署名構成要素[c]1030および前記メッセージ[M]104の前記第2の部分[V]1022に依存する、第2の整数値とを使用して行われる、ステップと、前記第1の署名構成要素[c]1030、前記第2の署名構成要素[s]1032、および前記メッセージ[M]104の前記第2の部分[V]1022を可逆的に組み合わせ、前記署名されたメッセージ106、1036を形成するステップとを含み、前記署名されたメッセージ106、1036の検証および前記署名されたメッセージ106、1036からの前記メッセージ[M]104の前記第1の部分[N]1020の復元は、前記署名者100、1000の公開鍵[GA]110、1014を伴う、方法。前記署名者の前記公開鍵[GA]は、前記楕円曲線上の前記点集合内に含まれ、前記秘密鍵[dA]1012および前記基点[G]から算出可能である、請求項1に記載の方法。前記署名されたメッセージ106、1036を検証者102、1040に伝送するステップをさらに含む、請求項1に記載の方法。前記方法は、ハッシュ関数を前記第1の署名構成要素[c]1030および前記メッセージ[M]104の前記第2の部分[V]1022の可逆的組み合わせに適用し、ハッシュ結果を取得するステップと、前記ハッシュ結果に相当する前記第2の整数値を計算するステップとをさらに含む、請求項1に記載の方法。前記可逆的組み合わせはさらに、前記署名者100、1000の識別を含む、請求項4に記載の方法。署名されたメッセージ106、1036を検証する方法であって、前記署名されたメッセージ106、1036は、署名を第1の部分[N]1020および第2の部分[V]1022から成るオリジナルメッセージ[M]104に適用することによって生成され、前記方法は、署名者100、1000によって署名されたとされる前記署名されたメッセージ106、1036を受信するステップであって、前記署名されたメッセージ106、1036は、第1の署名構成要素[c]1030、第2の署名構成要素[s]1032、および前記オリジナルメッセージ[M]104の前記第2の部分[V]1022から、可逆的様式において、準備される、ステップと、前記署名されたメッセージ106、1036から、前記第1の署名構成要素[c]1030、前記第2の署名構成要素[s]1032、および前記第2の部分[V]1022を抽出するステップと、前記第1の署名構成要素[c]1030から、メッセージ認証コード[mac’]1056および暗号化された値[c1’]1054を抽出するステップと、前記署名者100、1000の公開鍵[GA]110、1014を受信するステップと、前記第2の署名構成要素[s]1032、楕円曲線の基点[G]、前記公開鍵[GA]110、1014、ならびに前記第1の署名構成要素[c]1030および前記メッセージ[M]104の前記第2の部分[V]1022に依存する中間値を使用して、第1の値[Q’]1050を算出するステップと、鍵導出関数[KDF]を前記第1の値[Q’]1050を含む入力に適用することによって、導出された鍵[k1’]1052を構築するステップと、前記導出された鍵[k1’]1052によって鍵暗号化された認証付暗号解読関数を前記暗号化された値[c1’]1054および前記メッセージ認証コード[mac’]1056に適用し、前記署名されたメッセージ106、1036が、有効であるかどうかを判定し、前記署名されたメッセージ106、1036が、有効である場合、前記オリジナルメッセージ[M]104の前記第1の部分[N]1020を復元するステップとを含む、方法。前記署名者の前記公開鍵[GA]は、前記楕円曲線上の点集合内に含まれ、前記署名者100、1000の秘密鍵[dA]1012および前記基点[G]から算出可能である、請求項6に記載の方法。署名者デバイス100、1000であって、プロセッサ1002と、前記プロセッサ1002に結合された通信インターフェース1006と、前記プロセッサ1002に結合されたメモリ1004であって、前記メモリ1004は、前記プロセッサ1002によって実行されると、請求項1から5に記載の方法のうちのいずれかを行うように構成される、コード1008を含む、メモリ1004とを含む、デバイス。検証者デバイス102、1040であって、プロセッサ1042と、前記プロセッサ1042に結合された通信インターフェース1046と、前記プロセッサ1042に結合されたメモリ1044であって、前記メモリ1044は、前記プロセッサ1002によって実行されると、請求項6または請求項7に記載の方法を行うように構成される、コード1048を含む、メモリ1044とを含む、デバイス。メッセージ復元を伴う、デジタル署名において、認証付暗号化を使用するためのフレームワークが、本明細書において提案され、それによって、ECPVS方式は、署名されるメッセージの非表示部分に関する冗長性基準を除去するように修正される。本明細書で提案されるフレームワークは、ECPVSにおいて従来使用される暗号化を認証付暗号化と置換することによって、信頼性とともに、通常の対称鍵暗号化のセキュリティを増大させる。提案されるフレームワークは、署名生成および署名検証にも適用することができる。一実施例では、AuthenticatedEncryptionPintsovVanstoneAEPV方式は、認証付暗号化AE関数を使用して、署名されるメッセージの非表示部分を暗号化する一方、検証者によって、署名されたメッセージを検証するために使用される、非表示部分に関するメッセージ認証コードMACを作成する。別の実施例では、MACthenEncryptPintsovVanstoneMEPV方式は、MAC関数を使用して、署名されるメッセージの非表示部分に関するMACを取得した後、暗号化関数が続き、MACが、検証者によって使用され、署名されたメッセージを検証し得るように、非表示部分およびMACの組み合わせを暗号化する。ある変形例では、EncryptthenMACPintsovVanstoneEMPV方式は、暗号化関数を使用して、最初に、署名されたメッセージの非表示部分を暗号化した後、MAC関数が続き、暗号化結果に関するMACを取得する。さらに別の実施例では、AuthenticatedEncryptionwithAssociatedDataPintsovVanstoneAEADPV方式は、認証付暗号化を関連付けられたデータAEAD関数と併用し、メッセージの非表示部分を暗号化し、メッセージ内の非表示部分および暗号化されていない関連付けられたデータの両方に関するMACを作成し、それによって、非表示部分および関連付けられたデータの両方の認証を可能にする。本明細書に説明される署名方式は、楕円曲線上の点群を使用して例示化されるが、代替として、任意の有限巡回群、例えば、Zpの部分群、すなわち、素数pを法とする整数群を使用して、例示化され得る。この場合、群の位数は、p1であってもよく、生成元Gは、位数nの部分群を生成し、nは、p1を除算する。従来、Zpの部分群における算術は、乗法的に記述され、2つの要素PおよびQの積は、PQであって、整数kによる楕円曲線群におけるスカラー乗算の類似物は、べき乗、すなわち、Pkである。楕円曲線暗号ECCに基づくプロトコルは、楕円曲線離散対数問題の計算複雑性に依拠する。楕円曲線E上の公知の点GおよびQを仮定し、点Qが、スカラー乗率dおよび点Gの積に等しく、すなわち、Q=dGである場合、推測上、スカラー乗率dを判定することは、非常に困難である。周知のアルゴリズムでは、本問題を解決する算術上の困難性は、Gによって生成される部分群のサイズに伴って、指数関数的に増加する。ECCベースのプロトコルを実装するために、全参加者は、楕円曲線のドメインパラメータに合意する。素数有限体Fpにわたって定義される楕円曲線E、すなわち、EFpは、楕円曲線ドメインパラメータD=p、a、b、G、n、hによって定義され、pは、体内の要素の数を表す、奇数の素数であって、整数aおよびbは、例えば、4a327b2≠0modpを満たす、素数有限体Fpの要素であってしかしながら、別の式によって規定される曲線が、好適であってもよい、Gは、位数nを有する、楕円曲線EFp上の基点または生成元であって、余因数hは、nにわたって、楕円曲線EFp上の点EFpの数の比として定義される、比較的に小さい整数である。EFpの部分群における算術は、相加的に記述されてもよく、2つの点PおよびQの和は、PQであって、整数kによるスカラー乗算は、kPである。既存のECCベースのプロトコルのさらなる詳細は、StandardsforEfficientCryptographySEC1:EllipticCurveCryptography,CerticomResearch,CerticomCorp.,2000、およびStandardsforEfficientCryptographySEC2:RecommendedEllipticCurveDomainParametersversion2.0,CerticomResearch,CerticomCorp.,2000に説明されている。楕円曲線はまた、素数有限体Fpにわたってではなく、2m個の要素を伴う、2進法表示である、有限体F2mにわたって定義されることができ、本書に説明される技法は、有限体F2mにわたって定義される楕円曲線に適合するように修正されることができる。EllipticCurvePintsovVanstoneSignatureECPVS方式は、部分的メッセージ復元を伴う、デジタル署名方式を提供する。ECPVS方式は、署名されるメッセージの一部を得られた署名構成要素のうちの1つ内に埋め込まれる、すなわち、非表示にすることによって、一定レベルの機密性を提供するために使用されている。ECPVSは、署名者によって、データ上にデジタル署名を生成し、検証者によって、署名の信頼性を検証し、署名内の非表示メッセージの部分を復元するために使用することができる。署名者の秘密鍵は、署名生成プロセスにおいて使用され、対応する公開鍵は、署名検証プロセスにおいて使用される。メッセージの非表示部分が、機密のままであるために、署名者の公開鍵は、秘密のまま維持される必要がある。用語署名者は、本明細書で使用されるように、デジタル署名をデータ上に生成可能である、任意のコンピュータ化デバイスを指す。用語検証者は、本明細書で使用されるように、デジタル署名の信頼性を検証可能である、任意のコンピュータ化デバイスを指す。ECPVS方式の一側面は、署名者による、署名されるメッセージの非表示部分に対するメッセージ冗長性基準の選択であって、その場合、冗長性基準は、署名されたメッセージを検証するために、検証者によって既知である。冗長性基準の実施例として、メッセージが、ASCIIファイルである、メッセージが、具体的フォーマットにある、メッセージが、あるキーワードを含有する、または各段落が、ピリオドで終了することが挙げられる。総冗長性量は、拡張可能なセキュリティパラメータであって、セキュリティ目的を達成するように選択される。十分な冗長性を前提として、偽造者が、冗長性基準を満たす、有効署名をメッセージ上に創出することは、実行不可能なはずである。署名されるメッセージの非表示部分内に冗長性が多いほど、セキュリティのレベルがより高くなり、伝送される署名されたメッセージがより長くなる。その結果、適切な暗号署名の選択は、セキュリティ要件と記憶/伝送要件との間の二律背反を伴うことになり得る。メッセージ復元を伴う、デジタル署名内において、認証付暗号化を使用するためのフレームワークが、本明細書に提案され、それによって、ECPVS方式は、署名されるメッセージの非表示部分に関する冗長性基準を除去するように修正される。提案されるフレームワークは、署名生成および署名検証にも適用することができる。一実施例では、AuthenticatedEncryptionPintsovVanstoneAEPV方式は、認証付暗号化AE関数を使用して、署名されるメッセージの非表示部分を暗号化する一方、検証者によって、署名されたメッセージを検証するために使用される、非表示部分に関するメッセージ認証コードMACを作成する。別の実施例では、MACthenEncryptPintsovVanstoneMEPV方式は、MAC関数を使用して、署名されるメッセージの非表示部分に関するMACを取得した後、暗号化関数が続き、MACが、検証者によって使用され、署名されたメッセージを検証し得るように、非表示部分およびMACの組み合わせを暗号化する。ある変形例、EncryptthenMACPintsovVanstoneEMPV方式は、暗号化関数を使用して、最初に、署名されたメッセージの非表示部分を暗号化した後、MAC関数が続き、暗号化結果に関するMACを取得する。さらに別の実施例では、AuthenticatedEncryptionwithAssociatedDataPintsovVanstoneAEADPV方式は、認証付暗号化を関連付けられたデータAEAD関数と併用し、メッセージの非表示部分を暗号化し、メッセージ内の非表示部分および暗号化されていない関連付けられたデータの両方に関するMACを作成し、それによって、非表示部分および関連付けられたデータの両方の認証を可能にする。本明細書で提案されるフレームワークはまた、鍵暗号化されたECPVSおよび他の署名暗号化技法に適用されてもよい。以下の実施例では、別様に記載されない限り、署名方式における署名者および検証者は、好適なドメインパラメータに合意したものと仮定され得る。例えば、楕円曲線上の点群を使用して例示される署名方式の場合、署名者および検証者は、基点Gを含む、対応する楕円曲線ドメインパラメータに合意する。前述のように、本明細書に説明されるPintsovVanstonePV署名方式は、楕円曲線上の点群を使用して例示化されるが、方式は、任意の有限巡回群を使用して、例示化されてもよい。この場合、署名者および検証者は、生成元Gを含む、その群と関連付けられたドメインパラメータに合意する必要があるであろう。特定の署名方式を使用する、署名者および検証者は、その方式と関連付けられた関数およびパラメータに合意する。例えば、AuthenticatedEncryptionPintsovVanstoneAEPV方式では、署名者および検証者は、メッセージMを入力としてとり、暗号化された値c1と、AEk1M=c1,macである、メッセージ認証コードMACmacを出力することが可能である、整数k1によって鍵暗号化された認証付暗号化AE関数に合意する。署名者および検証者はまた、整数k1によって鍵暗号化され、暗号化された値c1’およびMACmac’を入力としてとり、ADk1c1’,mac’=M,VALIDまたはADk1c1’,mac’=NULL,INVALIDである、メッセージMおよび有効性の表示あるいは空値および無効性の表示のいずれかを出力する、AEの逆変換である、認証付暗号解読AD関数に合意する。署名者および検証者はまた、鍵k1のビット長およびMACmacのビット長に合意する。署名者および検証者は、好適な鍵導出関数KDFに合意する。例えば、AEPV方式では、KDFは、認証付暗号化関数AEk1および認証付暗号解読関数ADk1と併用するための好適な鍵を構築するために使用することが可能である。任意のANSIX9承認鍵導出関数が、使用されてもよく、例えば、NISTSP800108RecommendationforKeyDerivationUsingPseudorandomFunctions,NationalInstituteofStandardsandTechnology,2009に説明されるKDFが挙げられる。ハッシュ関数が、署名方式の一部として使用される実施例では、署名者および検証者は、任意の長さの入力を固定長の出力にマップする、暗号ハッシュ関数に合意する。例示的ハッシュ関数として、FIPSPUB1803FederalInformationProcessingStandardsPublication:SecureHashStandardSHS,NationalInstituteofStandardsandTechnology,2008に説明されるようなSHA2ファミリーが挙げられる。署名者および検証者は、整数および群要素を含む、値を通信するためのエンコーディング方法に合意する。例示的エンコーディング方法は、Dubuissonによって、ASN.1CommunicationBetweenHeterogeneousSystems,MorganKaufmann,2000に説明される、ASN.1である。署名者および検証者はまた、それらのハッシュに先立った、ビット列としての値のリストの共通エンコーディングに合意する。例えば、彼らは、1全値をオクテット列に変換し、次いで、2オクテット列の連結をハッシュするよう合意してもよい。ハッシュと同様に、エンコーディングは、鍵を導出する前に、行われてもよい。KDFおよびハッシュ関数の両方では、エンコーディングは、付加的情報、例えば、署名されるメッセージに関連する、日付、時間、署名者名、検証者名、または連絡先情報を組み込んでもよい。署名方式のセキュリティのために、ドメインパラメータは、慎重に選択されるべきである。PintsovVanstone署名方式のためのパラメータ選択肢のさらなる詳細は、IEEEP1363a/D2,StandardSpecificationsforPublicKeyCryptography:PinstovVanstoneSignatureswithMessageRecovery,InstituteofElectricalandElectronicsEngineers,2000に見出され得る。また、セキュリティのために、署名者は、鍵および署名されたメッセージを生成するために、秘匿乱数または疑似乱数発生器を備えてもよいことに留意されたい。前述のように、署名生成プロセスにおいて使用された秘密鍵に対応する、署名者の公開鍵は、署名されたメッセージの検証のために、検証者に既知となる。さらに、メッセージの非表示部分が、機密のままであるべき実装の場合、署名者の公開鍵は、他の実在者に開示されるべきではない。図1は、署名者100および検証者102のために、メッセージ復元を伴う、デジタル署名用の認証付暗号化のための例示的方式の簡略化されたブロック図である。署名者100は、非表示部分Nおよび可視部分Vを備える、メッセージM104に署名する。非表示部分Nは、署名の一部に埋め込まれる、すなわち、非表示である、メッセージM104の部分である。署名者100は、署名をメッセージM104に適用し、検証者102に伝送される、署名されたメッセージ106を取得する。署名されたメッセージ106は、少なくとも、第1の署名構成要素c、第2の署名構成要素s、およびメッセージM104の可視部分Vを備える。検証者102が、署名されたメッセージ106を検証するために、検証者102は、署名者100の公開鍵GA110を入手している。公開鍵GA110は、図1中の点線によって示されるように、直接、署名者100から受信されてもよく、または認証局等の信頼される実在者図示せずから受信されてもよい。メッセージM104の非表示部分Nが、機密のままであるべき実装の場合、これは、公開鍵GA110の機密性を確実にすることによって、達成されてもよい。検証者102によって行われる、署名されたメッセージ106の認証付暗号解読の結果は、108に示される。署名されたメッセージ106が、検証される場合、メッセージM104の非表示部分Nが、復元され、有効性の表示によって達成される。署名されたメッセージ106が、検証されない場合、非表示部分Nは、復元されず、無効性の表示が存在する。図2は、署名をメッセージM104に適用して、署名されたメッセージ106を生成することによって、署名者、例えば、署名者100によって行われる、例示的認証付暗号化方法の簡略化された流れ図である。202では、署名者は、他の実在者に開示されるべきではない、署名者の秘密値である、第1の値kを生成する。本第1の値kおよび楕円曲線上の基点Gから、署名者は、式1に従って、第1の値kおよび基点Gのスカラー積に等しい、第2の値Qを計算する。Q=kG1いくつかの実装では、対k,Qは、一過性である。すなわち、新しい対k,Qが、署名が適用される、各メッセージMに対して生成される。204では、署名者は、第2の値Qから導出された鍵k1を構築する。例えば、導出された鍵k1は、式2に従って、鍵導出関数KDFを第2の値Qに適用することによって、構築されてもよい。k1=KDFQ2206では、署名者は、AEk1である、導出された鍵k1によって鍵暗号化されたAE関数をメッセージM104の非表示部分Nに適用し、暗号化された値c1および必須長LのMessageAuthenticationCodeMACmacを取得し、ここで、長さLは、認証付暗号化関数AEのパラメータである。これは、式3に示される。c1,mac=AEk1N3AE関数は、メッセージM104の非表示部分Nを暗号化し、署名されたメッセージ106の後続検証のために、検証者によって使用することができる、MACmacを作成するために使用される。導出された鍵k1を既知ではないが、認証付暗号化関数AEk1によって出力されたいくつかの[暗号化された値、MAC]対を観察する、敵対者は、検証者によって使用され、署名されたメッセージ106を正常に検証し、メッセージM104の非表示部分Nを復元し得る、新しい[暗号化された値、MAC]対を出力可能であるべきではない。認証付暗号解読は、図3に関してより詳細に説明される。使用され得る、可能性として考えられるAE関数の1つは、NISTSP80038CRecommendationforBlockCipherModesofOperation:TheCCMModeforAuthenticationandConfidentiality,NationalInstituteofStandardsandTechnology,2007に説明される、AESCCMとしても知られる、AdvancedEncryptionStandardAESwithCounterModeEncryptionCMEandCipherBlockChainingCBCである。使用され得る、別の可能性として考えられるAE関数は、NISTSP80038DRecommendationforBlockCipherModesofOperation:TheGalois/CounterModeGCMandGMAC,NationalInstituteofStandardsandTechnology,2007に説明される、AESwithGaloisCounterModeAESGCMである。AESの詳細は、FIPSPUB197AdvancedEncryptionStandardAES,FederalInformationProcessingStandards,2001,andSection7.2.2ofHandbookofAppliedCryptography,CRCPress,ISBN0849385237に説明されている。使用され得る、さらに別の可能性として考えられるAE関数は、AESKeyWrapSpecification,NationalInstituteofStandardsandTechnology,November2001に説明される、AESKeyWrapおよびそのバリアントである。AccreditedStandardsCommittee、X9,Inc.ASCX9は、2004年11月に発表されたその規格案において、4つのアルゴリズムを定義している。それらの4つのアルゴリズムのいずれも、使用され得る、好適なAE関数であって、すなわち、AESKWAESKeyWrap仕様のバリアント、TDKWAESKWに類似するが、AESの代わりに、下層ブロック暗号として、TripleDESを使用する、AKW1本質的に、InternetEngineeringTaskForceRequestForComment3217において提案されたアルゴリズム、およびAKW2金融サービス産業において、制約された旧来のシステム内で使用するために開発された鍵ブロック仕様に暗示的に定義される、アルゴリズムである。また、暗号化に応じて、MAC値を明示的に出力しないが、依然として、認証を提供する、AE関数を使用することができることも想起される。例えば、そのようなAE関数は、入力Iに適用されると、暗号化された値AEk1Iを出力するが、任意のMACを出力せず、その関連付けられた認証付暗号解読関数ADは、入力I’に適用されると、I’が有効ではないこと、またはIおよびIが有効であることの表示のいずれかを出力する。図2に戻ると、208では、署名者は、暗号化された値c1およびMACmacから、第1の署名構成要素cを形成する。第1の署名構成要素cは、例えば、式4に示されるように、暗号化された値c1およびMACmacの連結であってもよい。c=c1||mac4代替として、第1の署名構成要素cは、MACmacおよび暗号化された値c1の連結、すなわち、c=mac||c1であってもよい。より一般的には、第1の署名構成要素cは、任意の可逆的関数fを暗号化された値c1およびMACmacに適用する結果、すなわち、c=fc1,macであってもよく、ここでは、fは、署名者および検証者によって合意される。また、当業者によって、ある非可逆的関数が、使用されてもよいことが、理解されるであろう。例えば、3つの要素x、y、およびzを入力としてとり、xおよびyの連結を出力する、関数f、すなわち、fx,y,z=x||yは、出力が、要素zに関する情報を含有しないため、可逆的ではない。しかしながら、本関数は、依然として、使用され得る。210では、署名者は、式5に従って、第2の署名構成要素sを算出する。s=Hashc||VdAkmodn5式中、Hashは、前述のように、暗号ハッシュ関数であって、dAは、署名者の秘密鍵であって、対応する公開鍵GAは、GA=dAGである、秘密鍵dAおよび基点Gの積として、算出される。図中に明示的に示されないが、第2の署名構成要素sを計算する他の方法も、想起される。例えば、第2の署名構成要素sは、式5における秘密鍵dAおよび第1の値kの位置を交換することによって、計算され得、すなわち、s=Hashc||VkdAmodnとなる。代替として、これらの式のうちのいずれか1つにおける項のいずれかが、否定され得る。第2の署名構成要素sが、そのような式5の修正を使用して計算される場合、検証手順は、適宜、変更される。明示的に示されないが、Hashc||Vは、式5または式5の代替のいずれかにおいて使用するための整数に変換される。式c||Vは、第1の署名構成要素cおよびメッセージM104の可視部分Vの連結を表す。代替として、可視部分Vは、第1の署名構成要素cと連結されてもよく、すなわち、V||cであってもよい。より一般的には、第1の署名構成要素cは、任意の可逆的関数g、すなわち、gc、Vを使用して、可視部分Vと組み合わせられてもよく、ここでは、gは、署名者および検証者によって合意される。式4に関して前述のように、ある非可逆的関数もまた、使用されてもよい。212では、署名者は、署名されたメッセージ106を準備し、署名されたメッセージ106は、第1の署名構成要素c、第2の署名構成要素s、およびメッセージM104の可視部分Vを備える。第1の署名構成要素cおよび可視部分Vは、署名されたメッセージ106の別個の要素として示されるが、また、210において、第2の署名構成要素sの算出の間に行われたように、可逆的関数gを使用して、組み合わせられてもよいことが想起される。例えば、第1の署名構成要素cおよび可視部分Vが、式5に示されるように、連結された場合、署名されたメッセージ106は、c||Vである、同一連結を備えてもよい。図3は、署名者、例えば、署名者100によって署名されたとされる、署名されたメッセージ、例えば、署名されたメッセージ106を検証するために、検証者、例えば、検証者102によって行われる、例示的認証付暗号解読方法の簡略化された流れ図である。301では、検証者は、署名されたメッセージ106から、第1の署名構成要素c’、第2の署名構成要素s’、およびメッセージM104の可視部分V’を抽出する。アポストロフィは、未だ検証されていない、値を示すために使用される。前述のように、第1の署名構成要素cおよび可視部分Vが、可逆的関数gを使用して組み合わせられた場合、関数gの逆数、すなわち、g1が、署名されたメッセージ106から、第1の署名構成要素c’および可視部分V’を抽出するために必要となるであろう。302では、検証者は、署名者および検証者によって合意された、認証付暗号化関数AEと関連付けられた必須長Lを使用して、第1の署名構成要素c’から、暗号化された値c1’およびMACmac’を抽出する。例えば、第1の署名構成要素cが、式4に示されるように、暗号化された値c1およびMACmacの連結として定義された場合、検証者は、第1の署名構成要素c’の開始における残りのビットが、暗号化された値c1’に対応するように、第1の署名構成要素c’の最後のLビットをMACmac’として定義することによって、暗号化された値c1’を判定することができる。暗号化された値c1およびMACmacが、前述のように、いくつかの他の可逆的関数fを使用して、組み合わせられた場合、関数fの逆数、すなわち、f1が、第1の署名構成要素c’から、暗号化された値c1’およびMACmac’を抽出するために必要となるであろう。302に説明される抽出は、以下により詳細に説明されるように、308における認証付暗号解読関数の適用に先立って、任意の時に、行われ得ることに留意されたい。304では、検証者は、式6に従って、値Q’を算出する。Q’=s’GHashc’||V’GA6式中、Hashは、式5に示されるように、210において、第2の署名構成要素sを算出するために、署名者によって使用される、同一暗号ハッシュ関数である。前述のように、第2の署名構成要素sが、式5の修正を使用して計算された場合、式6は、適宜、修正される必要があるであろう。式5におけるように、Hashc||Vは、式6において使用するための整数に変換される。公開鍵GA110は、直接、署名者から受信されてもよく、または認証局等の信頼される実在者から受信されてもよい。前述のように、第1の署名構成要素c’および可視部分V’の他の組み合わせも、式6に示される連結c’||V’の代わりに、想起されるが、但し、式6において使用される組み合わせは、式5における第2の署名構成要素sを算出する際に使用されるものに対応することを条件とする。306では、検証者は、204において導出された鍵k1を構築するために、署名者によって使用される同一方法を使用して、値Q’から導出された鍵k1’を構築する。例えば、署名者が、式2に示されるように、鍵導出関数KDFを使用して、導出された鍵k1を構築した場合、検証者は、式7に従って、導出された鍵k1’を構築する。k1’=KDFQ’7308では、検証者は、206において、署名者によって使用されたAE関数の逆変換である、AD関数を適用する。導出された鍵k1’によって鍵暗号化され、ADk1’として表される、AD関数は、署名されたメッセージ106を検証し、メッセージ104の非表示部分Nを復元するために使用されてもよい。AD関数の結果108は、検証者が、署名されたメッセージ106を検証可能であるかどうかに依存する。検証者が、署名されたメッセージ106が有効であると判定する場合、結果108は、メッセージM104の復元された非表示部分Nおよび有効性の表示を備える。検証者が、署名されたメッセージ106が無効であると判定する場合、結果108は、非表示部分Nを伴わずに、無効性の表示のみを備える。式3に説明され、206に示されるようなAE関数を使用して、暗号化された値c1およびMACmacを共同作成する代わりに、MACの暗号化および作成は、2つの別個のステップとして行うことができる。これには、1MACthenEncryptME、および2EncryptthenMACEMと称される、少なくとも2つのバリアントが存在する。また、EncryptandMACバリアントも存在する。しかしながら、EncryptandMACバリアントは、暗号化関数およびMAC関数の具体的選択肢に対してのみ秘匿であることを考えて、EncryptandMACバリアントは、明示的に説明されない。暗号化関数およびMAC関数は両方とも、秘匿関数であってもよい。秘匿暗号化関数の実施例としては、NISTSP80038ARecommendationforBlockCipherModesofOperation,NationalInstituteofStandardsandTechnology,2001に説明される、AESwithCipherBlockChainingAESCBCandAESCounterModeAESCTRが挙げられる。秘匿MAC関数の実施例としては、ISO/IEC9797DataCryptographicTechniquesDataintegritymechanismusingacryptographiccheckfunctionemployingablockcipheralgorithm,InternationalOrganizationforStandardization,1989に説明される、AESCipherBlockChainingMessageAuthenticationCodeAESCBCMAC、およびNISTSP80038BRecommendationforBlockCipherModesofOperation:TheCMACModeforAuthentication,NationalInstituteofStandardsandTechnology,2005に説明される、AESCipherbasedMACAESCMACが挙げられる。暗号化関数およびMAC関数は、署名者および検証者によって合意される。図4は、メッセージM104のための図2に例証される、AE方法の例示的MACthenEncryptバリアントの簡略化された流れ図である。図2に関連して説明されるように、図4に例証される例示的方法は、202における、第1の値kの生成および第2の値Qの算出を含む。図2に関連して説明されるように、いくつかの実装では、対k、Qは、一過性である。すなわち、新しい対k,Qが、署名が適用される、各メッセージMに対して、生成される。しかしながら、本方法では、署名者は、404において、値Qから、第1の導出された鍵k11および第2の導出されたk12を構築する。例えば、導出された鍵k1およびk2は、式8に従って、鍵導出関数KDFを第2の値Qに適用することによって、構築されてもよい。k1、k2=KDFQ8式中、KDFの出力は、出力が、第1の導出された鍵k11および第2の導出されたk12に分割され得るように、式2において使用される、KDFの出力より長い。代替として、第1の導出された鍵k11および第2の導出されたk12は、各適用に対して、異なる補助情報を使用して、KDFを第2の値Qに2回適用することによって、構築され得る。各適用に対して、異なる補助情報を使用せずに、KDFを第2の値Qに2回適用可能であるが、これは、セキュリティ上の理由から、賢明ではあり得ない。405では、署名者は、Tk12である、第2の導出された鍵k12によって鍵暗号化されたMAC関数TをメッセージM104の非表示部分Nに適用し、式9に従って、MACmacを取得する。mac=Tk12N9式中、MACmacは、MAC関数Tのパラメータである、必須長Lを有する。406では、署名者は、Ek11である、第1の導出された鍵k11によって鍵暗号化された暗号化関数Eを非表示部分NおよびMACmacの組み合わせに適用し、式10に従って、第1の署名構成要素cを取得する。c=Ek11N||mac10式N||macは、非表示部分NおよびMACmacの連結を表す。代替として、MACmacは、、非表示部分Nと連結されてもよく、すなわち、mac||Nであってもよい。より一般的には、非表示部分Nは、任意の可逆的関数jを使用して、MACmacと組み合わせられてもよく、すなわち、jN,macであってもよく、ここでは、jは、署名者および検証者によって合意される。式4に関連して前述のように、ある非可逆的関数もまた、使用されてもよい。406における第1の署名構成要素cの取得に応じて、方法は、図2に関連して説明されるように進み、署名者は、コンピューティング210において、第2の署名構成要素sを算出し、212において、署名されたメッセージ106を準備する。図5は、図3に例証されるAD方法の例示的DecryptthenVerifyバリアントの簡略化された流れ図である。図3に関連して説明されるように、図5に例証される例示的方法は、301において、署名されたメッセージ106からの第1の署名構成要素c’、第2の署名構成要素s’、および可視部分V’の抽出を含む。アポストロフィは、未だ検証されていない値を示すために使用される。304では、検証者は、公開鍵GA110を使用して、値Q’を算出する。506では、検証者は、404において、第1の導出された鍵k11および第2の導出された鍵k12を構築するために、署名者によって使用される同一方法を使用して、値Q’から、第1の導出された鍵k11’および第2の導出された鍵k12’を構築する。第1の署名構成要素c’を暗号解読するために、検証者は、508において、暗号解読関数Dを第1の署名構成要素c’に適用し、ここでは、暗号解読関数Dは、406において、署名者によって使用された暗号化関数Eの逆変換である。暗号解読関数は、第1の導出された鍵k11’によって鍵暗号化され、Dk11’として表される。これは、式11に示される。N’||mac’=Dk11’c11式中、N’||mac’は、署名されたメッセージ106の非表示部分N’およびMACmac’の連結を表す。検証者は、署名者および検証者によって合意されたMAC関数Tと関連付けられた必須長Lを使用して、連結N’||mac’から、非表示部分N’およびMACmac’を抽出可能である。非表示部分NおよびMACmacが、前述のように、いくつかの他の可逆的関数jを使用して、406において組み合わせられた場合、j1である、関数jの逆数が、非表示部分N’およびMACmac’を取得するために必要となるであろう。510では、検証者は、第2の導出された鍵k12’を使用して、MACmac’が、署名されたメッセージ106の非表示部分N’の有効MACであることを検証し、適宜、署名されたメッセージ106が、有効であるかどうか判定する。図3に関連して前述のように、検証者が、署名されたメッセージ106が有効であると判定する場合、結果108は、メッセージM104の復元された非表示部分Nおよび有効性の表示を備える。検証者が、署名されたメッセージ106が無効であると判定する場合、結果108は、非表示部分Nを伴わずに、無効性の表示のみ備える。また、EncryptthenMAC/VerifythenDecryptバリアントは、MACthenEncrypt/DecryptthenVerifyバリアントの代替として使用され得ることが想起される。図6は、メッセージM104のための図2に例証される、AE方法の例示的EncryptthenMACバリアントの簡略化された流れ図である。図2に関連して説明されるように、図6に例証される例示的方法は、Q=kGであるように、202における、第1の値kの生成および第2の値Qの算出を含む。図2に関連して説明されるように、いくつかの実装では、対k、Qは、一過性である。すなわち、新しい対k,Qが、署名が適用される各メッセージMに対して生成される。次いで、図4に関連して説明されるように、署名者は、404において、値Qから、第1の導出された鍵k11および第2の導出されたk12を構築する。606では、署名者は、Ek11である、第1の導出された鍵k11によって鍵暗号化された暗号化関数Eを非表示部分Nに適用し、式12に従って、暗号化された値c1を取得する。c1=Ek11N12607では、署名者は、Tk12である、第2の導出された鍵k12によって鍵暗号化されたMAC関数Tを暗号化された値c1に適用して、式13に従って、MACmacを取得する。mac=Tk12c113式中、MACmacは、MAC関数Tのパラメータである、必須長Lを有する。607におけるMACmacの取得に応じて、方法は、図2に関連して説明されるように進み、署名者は、208において、暗号化された値c1およびMACmacから、第1の署名構成要素cを形成し、210において、第2の署名構成要素sを算出し、212において、署名されたメッセージ106を準備する。図7は、図3に例証されるAD方法の例示的VerifythenDecryptバリアントの簡略化された流れ図である。図3に関連して説明されるように、図7に例証される例示的方法は、301における、署名されたメッセージ106からの第1の署名構成要素c’、第2の署名構成要素s’、および可視部分V’の抽出、302における、第1の署名構成要素c’からの暗号化された値c1’およびMACmac’の抽出、ならびに公開鍵GA110を使用した、304における、値Q’の算出を含む。アポストロフィは、未だ検証されていない値を示すために使用される。図5に関連して説明されるように、506では、検証者は、404において、第1の導出された鍵k11および第2の導出された鍵k12を構築するために、署名者によって使用される同一方法を使用して、値Q’から、第1の導出された鍵k11’および第2の導出された鍵k12’を構築する。708では、検証者は、第2の導出された鍵k12’を使用して、MACmac’が、暗号化された値c1’の有効MACであることを検証し、適宜、署名されたメッセージ106が有効であるかどうかを判定する。検証者が、MACmac’が、暗号化された値c1’の有効MACであると判定する場合、検証者は、710に進み、暗号解読関数Dを暗号化された値c1’に適用し、ここでは、暗号解読関数は、606において、署名者によって使用された暗号化関数Eの逆変換である。暗号解読関数は、第1の導出された鍵k11’によって鍵暗号化され、Dk11’として表される。これは、式14に示される。N=Dk11’c1’14検証者は、708において、MACmac’が、暗号化された値c1’の有効MACであって、その結果、署名されたメッセージ106が有効であると既に判定しているため、結果108は、メッセージM104の復元された非表示部分Nおよび有効性の表示を備える。検証者が、708において、MACmac’が、暗号化された値c1’の有効MACではないと判定する場合、検証者は、710において、暗号解読関数Dを適用せず、結果108は、非表示部分Nを伴わずに、無効性の表示のみを備える。別の実施例では、AuthenticatedEncryptionwithAssociatedDataAEADは、メッセージ復元を伴う、PintsovVanstone署名方式の一部として、使用することができる。例えば、AE関数は、AEAD関数によって置換され得る。AEADは、Rogawayによる、Authenticatedencryptionwithassociateddata,ProceedingsofACMCCS’02:98107,ACM,NewYork,2002により詳細に説明されている。AEPV、MEPV、およびEMPV方式と同様に、AEADPintsovVanstoneAEADPV方式は、署名内に埋め込まれた、すなわち、非表示である、メッセージMの非表示部分Nを暗号化し、信頼性および機密性をメッセージのその部分に提供するために使用することができる。AEADPV方式は、AEAD関数を使用して、メッセージの可視部分Vの信頼性を保証するしたがって、ハッシュ関数の使用を回避してもよい。多くの設定では、暗号化鍵を所有していない中間当事者によって、メッセージの処理またはルーティングを可能にするために公開される、暗号化された値と関連付けられたデータが存在する。前述の署名方式におけるAE関数の代わりに、AEAD関数を使用することは、ハッシュ関数が、関与されないという利点を有する。AEADPV方式は、署名者および検証者が、非表示部分Nおよび可視部分Vを入力としてとり、暗号化された値c1およびAEADkN、V=c1,macであるMACmacを出力可能である、整数k1によって鍵暗号化されたAEAD関数に合意することを含む。署名者および検証者はまた、整数k1’によって鍵暗号化され、暗号化された値c1’およびMACmac’を入力としてとり、ADADk1’c1’,mac’,V=N,VALIDまたはADADk1’c1’,mac’,V=NULL,INVALIDである、非表示部分Nおよび有効性の表示あるいは空値および無効性の表示のいずれかを出力する、AEADの逆変換である、AuthenticatedDecryptionwithAssociatedDataADAD関数に合意する。署名者および検証者はまた、鍵k1のビット長およびMACmacのビット長に合意する。提案されるフレームワークにおいて使用するために好適な例示的AEADは、Kohnoらによる、CWC:AHighPerformanceConventionalAuthenticatedEncryptionMode,ProceedingsofFastSoftwareEncryption2004FSE’04,LNCS3017:408426,2004に説明されている。図8は、署名をメッセージ104に適用し、署名されたメッセージ106を生成するために、署名者、例えば、署名者100によって行われる、例示的AuthenticatedEncryptionwithAssociatedDataAEAD方法の簡略化された流れ図である。図2に関連して説明されるように、202では、署名者は、Q=kGであるように、第1の値kを生成し、第2の値Qを計算する。図2に関連して説明されるように、いくつかの実装では、対k、Qは、一過性である。すなわち、新しい対k,Qが、署名が適用される各メッセージMに対して生成される。204では、署名者は、第2の値Qから、導出された鍵k1を構築する。806では、署名者は、AEADk1である、導出された鍵k1によって鍵暗号化されたAEAD関数をメッセージM104の非表示部分NおよびメッセージM104の可視部分Vに適用し、必須長Lの暗号化された値c1およびMACmacを取得し、ここでは、長さLは、署名者および検証者によって合意された、AEADと関連付けられたパラメータである。これは、式15に示される。c1,mac=AEADk1N,V15AEAD関数は、メッセージM104の非表示部分Nを暗号化し、署名されたメッセージ106の後続検証のために、検証者によって使用することができる、MACを作成するために使用される。特に、AEAD関数の適用は、以下により詳細に説明されるように、ハッシュ関数を伴うことなく、可視部分Vの信頼性を保証するために使用されてもよい。806において、暗号化された値c1およびMACmacを取得後、署名者は、図2に関連して説明されるように、208に進み、暗号化された値c1およびMACmacから、第1の署名構成要素cを形成する。810では、署名者は、式16に従って、第2の署名構成要素sを算出する。s=macdAkmodn16式中、MACmacは、式16において使用するための整数に変換された。式16と式5の比較は、AEPV、MEPV、およびEMPV認証付暗号化方法のハッシュ関数が、AEADPV暗号化に関与しないことを明らかにする。図8に明示的に示されないが、第2の署名構成要素sを計算する他の方法も、想起される。例えば、第2の署名構成要素sは、式16における秘密鍵dAおよび第1の値kの位置を交換することによって計算され得る、すなわち、s=macdAkmodnとなる。代替として、これらの式のうちのいずれか1つにおける項のいずれかは、否定され得る。第2の署名構成要素sが、そのような式16の修正を使用して計算される場合、検証手順は、適宜、変更される。208における、第2の署名構成要素sの算出に続いて、署名者は、図2に関連して説明されるように、212に進み、署名されたメッセージ106を準備する。図9は、署名者、例えば、署名者100によって署名されたとされる、署名されたメッセージ、例えば、署名されたメッセージ106を検証するために、検証者、例えば、検証者102によって行われる、例示的AuthenticatedDecryptionwithAssociatedDataADAD方法の簡略化された流れ図である。図3に関連して説明されるように、図9に例証される例示的方法は、301における、署名されたメッセージ106からの第1の署名構成要素c’、第2の署名構成要素s’、および可視部分V’の抽出、302における、第1の署名構成要素c’からの暗号化された値c1’およびMACmac’の抽出を含む。アポストロフィは、未だ検証されていない値を示すために使用される。この場合、MACmac’は、署名者および検証者によって合意されたAEAD関数のパラメータである、必須長Lを有する。904では、検証者は、式17に従って、公開鍵GA110を使用して、値Q’を算出する。Q’=s’Gmac’GA17式中、MACmac’は、式17における使用に先立って、整数に変換された。式17と式6の比較は、AEPV、MEPV、およびEMPV認証付暗号解読方法のハッシュ関数が、AEADPV暗号解読に関与しないことを明らかにする。前述のように、第2の署名構成要素sが、式16の修正を使用して計算された場合、式17は、適宜、修正される必要があるであろう。306では、検証者は、204において、導出された鍵k1を構築するために、署名者によって使用される同一方法を使用して、値Q’から、導出された鍵k1’を構築する。908では、検証者は、ADAD関数を暗号化された値c1’、MACmac’および可視部分V’に適用し、ここでは、ADAD関数は、806において、署名者によって使用されたAEAD関数の逆変換である。導出された鍵k1’によって鍵暗号化され、ADADk1’として表される、ADAD関数は、署名されたメッセージ106を検証して、メッセージM104の非表示部分Nを復元するために使用されてもよい。ADAD関数の結果108は、検証者が、署名されたメッセージ106を検証可能であるかどうかに依存する。検証者が、署名されたメッセージ106が有効であると判定する場合、結果108は、メッセージM104の復元された非表示部分Nおよび有効性の表示を備える。検証者が、署名されたメッセージ106が無効であると判定する場合、結果108は、非表示部分Nを伴わずに、無効性の表示のみを備える。前述のように、提案されるフレームワークはまた、鍵暗号化されたECPVSおよび他の署名暗号化技法に適用されてもよい。署名暗号化は、公開鍵署名および暗号化の両方の機能性を提供する。署名者は、署名暗号化メッセージを作成時、検証者の公開鍵を使用する。検証者のみ、メッセージを暗号解読し、検証者の秘密鍵および署名者の公開鍵を使用して、署名者によって署名されたことを検証することができる。これは、機密性が、検証者の秘密鍵の秘密性によって提供され、署名者の公開鍵が、公開されてもよいため、ECPVSにおけるように、署名者の公開鍵を秘密に維持することとは異なる。非常に短いメッセージM=N||Vの場合、可視部分Vは、空値であってもよいことを理解されるであろう。AEPV方式は、可視部分Vが、空値である時、修正を伴わずに、対処することができる。非表示部分Nが、空値である場合、非表示部分Nは、AEPV方式では、ゼロバイトまたは任意の他の公開定数によって、置換されるはずである。AEADPV方式は、空値メッセージに対処可能であってもよい。そうではない場合、空値メッセージまたはメッセージの空値部分は、公開定数によって、置換されることができる。図10は、署名者デバイス1000および検証者デバイス1040の簡略化されたブロック図である。署名者デバイス1000は、図2、4、6、および8に例証される例示的方法のうちの1つ以上を行うことが可能である。署名者デバイス1000は、メモリ1004および通信インターフェース1006に結合される、プロセッサ1002を備える。署名者デバイス1000は、乱数または擬乱数発生器RNG1005を備えてもよい。署名者デバイス1000は、明確にするために、図10に示されない、他の要素を含有してもよい。検証者デバイス1040は、図3、5、7、および9に例証される例示的方法のうちの1つ以上を行うことが可能である。検証者デバイス1040は、メモリ1044および通信インターフェース1046に結合される、プロセッサ1042を備える。検証者デバイス1040は、明確にするために、図10に示されない、他の要素を含有してもよい。プロセッサ1002および1042は、処理ユニット、デジタル信号プロセッサ、ハードウェアアクセラレータ、および同等物の任意の組み合わせを備えてもよい。メモリ1004の全部または一部は、プロセッサ1002内に埋め込まれてもよい。メモリ1044の全部または一部は、プロセッサ1042内に埋め込まれてもよい。通信インターフェース1006および1046は、有線通信インターフェースまたは無線通信インターフェース、あるいは光学通信インターフェースであってもよい。例えば、通信インターフェース1006および1046は、UniversalSerialBusUSBインターフェース、Ethernet登録商標インターフェース、IntegratedServicesDigitalNetworkISDNインターフェース、DigitalSubscriberLineDSLインターフェース、LocalAreaNetworkLANインターフェース、HighDefinitionMultimediaHDMI登録商標インターフェース、DigitalVisualInterfacesDVI、またはInstituteofElectricalandElectronicsEngineersIEEE1394インターフェース、例えば、i.LINKTM、LynxSM、またはFirewireRであってもよい。別の実施例では、通信インターフェース1006および1046は、WirelessLocalAreaNetworkWLANインターフェース、短距離無線通信インターフェース、例えば、WirelessPersonalAreaNetworkWPANインターフェース、近距離通信インターフェース、無線都市規模ネットワークWMANインターフェース、またはWirelessWideAreaNetworkWWANインターフェースであってもよい。図2、4、6、および8に例証される例示的方法のうちの1つ以上の機能性は、プロセッサ1002および署名者デバイス1000のメモリ1004内に記憶されるコード1008の任意の組み合わせによって実装されてもよい。メモリ1004はまた、プロセッサ1002によって実行される、署名者デバイス1000内にインストールされる、アプリケーション図示せずを記憶してもよい。メモリ1004および1044はそれぞれ、署名者デバイス1000および検証者デバイス1040によって合意された、パラメータ1010を記憶可能である。合意されたパラメータ1010の実施例は、楕円曲線ドメインパラメータD、1つ以上の鍵導出関数、1つ以上のハッシュ関数、実装される署名方式と関連付けられた1つ以上の関数例えば、AE関数、MAC関数、暗号化関数、およびAEAD関数のうちの1つ以上、ならびにメッセージ認証コードの必須長L等、署名方式と関連付けられたパラメータである。メモリ1004は、署名者デバイス1000の公開鍵GA1014に対応する、署名者デバイス1000の秘密鍵dA1012を記憶可能である。メモリ1004はまた、202において算出されるような第1の値k1016および第2の値Q1018を記憶可能であるが、対k、Qが、一過性であって、したがって、メモリ内に記憶されない実装を除く。メモリ1004は、署名されるメッセージの非表示部分N1020および可視部分V1022を記憶可能である。加えて、メモリ1004は、204または404において構築されるような1つ以上の導出された鍵1024、206、606、または806において構築されるような暗号化された値c11026、および206、405、607、または806において判定されるようなメッセージ認証コードmac1028を記憶可能である。メモリ1004は、208または406において判定されるような第1の署名構成要素c1030、および210または810において判定されるような第2の署名構成要素s1032を記憶可能である。メモリ1004は、図10に明示的に示されない、付加的要素を記憶してもよい。矢印1034によって表されるように、可視部分V1022、第1の署名構成要素c1030、および第2の署名構成要素s1032を備える、署名されたメッセージ1036は、直接または1つ以上の中間体を介して、署名者デバイス1000から、検証者デバイス1040に送信可能であって、検証者デバイス1040のメモリ1044内に記憶されてもよい。明示的に示されないが、署名されたメッセージ1036は、署名者デバイス1000から、通信インターフェース1006を介して、送信されてもよく、検証者デバイス1040によって、通信インターフェース1046を介して、受信されてもよい。図3、5、7、および9に例証される例示的方法のうちの1つ以上の機能性は、プロセッサ1042および検証者デバイス1040のメモリ1044内に記憶されるコード1048の任意の組み合わせによって実装されてもよい。メモリ1044はまた、プロセッサ1042によって実行される、検証者デバイス1040内にインストールされる、アプリケーション図示せずを記憶してもよい。メモリ1044は、直接、署名者デバイス1000または信頼されるデバイス図示せずから、可能性として、通信インターフェース1046を介して、および可能性として、他の手段によって、受信され得る、署名者デバイス1000の公開鍵GA1014を記憶可能である。例えば、署名者デバイス1000の公開鍵GA1014は、検証者デバイス1040上にインストールされる、ソフトウェア内に含まれてもよい。メモリ1044はまた、304または904において判定されるような値Q’1050、306または506において構築されるような1つ以上の導出された鍵1052、302において抽出されるような暗号化された値c1’1054、および302または508において判定されるようなメッセージ認証コードmac’1056、ならびに復元された非表示部分N1020を記憶可能である。メモリ1044は、図10に明示的に示されない、付加的要素を記憶してもよい。本主題は、構造的特徴および/または方法論的作用に特有の用語において説明されたが、添付の請求項に定義される主題は、必ずしも、前述の具体的特徴または作用に限定されないことを理解されたい。むしろ、前述の具体的特徴および作用は、請求項を実装する例示的形態として開示される。"