JP5790288B2 - 情報処理装置、及び情報処理方法 - Google Patents

Description

本技術は、情報処理装置、及び情報処理方法に関する。

情報処理技術や通信技術の急速な発展に伴い、公文書、私文書を問わず、文書の電子化が急速に進んでいる。これに伴い、多くの個人や企業は、電子文書の安全管理に大きな関心を寄せている。こうした関心の高まりを受け、各方面で電子文書の盗聴や偽造等のタンパリング行為に対する対抗策が盛んに研究されるようになってきた。電子文書の盗聴に対しては、例えば、電子文書を暗号化することにより安全性が確保される。また、電子文書の偽造に対しては、例えば、電子署名を利用することにより安全性が確保される。但し、利用する暗号や電子署名が高いタンパリング耐性を有していなければ、十分な安全性が保証されない。

電子署名は、電子文書の作成者を特定するために利用される。そのため、電子署名は、電子文書の作成者しか生成できないようにすべきである。仮に、悪意ある第三者が同じ電子署名を生成できてしまうと、その第三者が電子文書の作成者に成りすますことができてしまう。つまり、悪意ある第三者により電子文書が偽造されてしまう。こうした偽造を防止するため、電子署名の安全性については様々な議論が交わされてきた。現在広く利用されている電子署名方式としては、例えば、ＲＳＡ署名方式やＤＳＡ署名方式などが知られている。

ＲＳＡ署名方式は、「大きな合成数に対する素因数分解の困難性（以下、素因数分解問題）」を安全性の根拠とする。また、ＤＳＡ署名方式は、「離散対数問題に対する解の導出の困難性」を安全性の根拠とする。これらの根拠は、古典的なコンピュータを利用して素因数分解問題や離散対数問題を効率的に解くアルゴリズムが存在しないことに起因する。つまり、上記の困難性は、古典的なコンピュータにおける計算量的な困難性を意味する。しかしながら、量子コンピュータを用いると、素因数分解問題や離散対数問題に対する解答が効率的に算出されてしまうと言われている。

現在利用されている電子署名方式や公開鍵認証方式の多くは、ＲＳＡ署名方式やＤＳＡ署名方式と同様、素因数分解問題や離散対数問題の困難性に安全性の根拠をおいている。そのため、こうした電子署名方式や公開鍵認証方式は、量子コンピュータが実用化された場合に、その安全性が確保されないことになる。そこで、素因数分解問題や離散対数問題など、量子コンピュータにより容易に解かれてしまう問題とは異なる問題に安全性の根拠をおく新たな電子署名方式及び公開鍵認証方式の実現が求められている。量子コンピュータにより容易に解くことが難しい問題としては、例えば、多変数多項式問題がある。

多変数多項式問題に安全性の根拠をおく電子署名方式としては、例えば、ＭＩ（Ｍａｔｓｕｍｏｔｏ−Ｉｍａｉ ｃｒｙｐｔｏｇｒａｐｈｙ）、ＨＦＥ（Ｈｉｄｄｅｎ Ｆｉｅｌｄ Ｅｑｕａｔｉｏｎ ｃｒｙｐｔｏｇｒａｐｈｙ）、ＯＶ（Ｏｉｌ−Ｖｉｎｅｇａｒ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ）、ＴＴＭ（Ｔａｍｅｄ Ｔｒａｎｓｆｏｒｍａｔｉｏｎ Ｍｅｔｈｏｄ ｃｒｙｐｔｏｇｒａｐｈｙ）に基づく方式が知られている。例えば、下記の非特許文献１、２には、ＨＦＥに基づく電子署名方式が開示されている。

Ｊａｃｑｕｅｓ Ｐａｔａｒｉｎ Ａｓｙｍｍｅｔｒｉｃ Ｃｒｙｐｔｏｇｒａｐｈｙ ｗｉｔｈ ａ Ｈｉｄｄｅｎ Ｍｏｎｏｍｉａｌ． ＣＲＹＰＴＯ １９９６， ｐｐ．４５−６０． Ｐａｔａｒｉｎ， Ｊ．， Ｃｏｕｒｔｏｉｓ， Ｎ．， ａｎｄ Ｇｏｕｂｉｎ， Ｌ． ＱＵＡＲＴＺ， １２８−Ｂｉｔ Ｌｏｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ． Ｉｎ Ｎａｃｃａｃｈｅ，Ｄ．， Ｅｄ． Ｔｏｐｉｃｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ − ＣＴ−ＲＳＡ ２００１ （Ｓａｎ Ｆｒａｎｃｉｓｃｏ， ＣＡ， ＵＳＡ， Ａｐｒｉｌ ２００１）， ｖｏｌ． ２０２０ ｏｆ Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ．， ｐｐ．２８２−２９７．

上記の通り、多変数多項式問題は、量子コンピュータを用いても解くことが困難なＮＰ困難問題と呼ばれる問題の一例である。通常、ＨＦＥなどに代表される多変数多項式問題を利用した公開鍵認証方式は、特殊なトラップドアが仕込まれた多次多変数連立方程式を利用している。例えば、ｘ_１，…，ｘ_ｎに関する多次多変数連立方程式Ｆ（ｘ_１，…，ｘ_ｎ）＝ｙと線形変換Ａ及びＢが用意され、線形変換Ａ及びＢが秘密に管理される。この場合、多次多変数連立方程式Ｆ、線形変換Ａ及びＢがトラップドアとなる。

トラップドアＦ，Ａ，Ｂを知っているエンティティは、ｘ_１，…，ｘ_ｎに関する方程式Ｂ（Ｆ（Ａ（ｘ_１，…，ｘ_ｎ）））＝ｙ’を解くことができる。一方、トラップドアＦ，Ａ，Ｂを知らないエンティティは、ｘ_１，…，ｘ_ｎに関する方程式Ｂ（Ｆ（Ａ（ｘ_１，…，ｘ_ｎ）））＝ｙ’を解くことができない。この仕組みを利用することにより、多次多変数連立方程式の解答困難性を安全性の根拠とする公開鍵認証方式や電子署名方式が実現される。

上記の通り、こうした公開鍵認証方式や電子署名方式を実現するには、Ｂ（Ｆ（Ａ（ｘ_１，…，ｘ_ｎ）））＝ｙを満たすような特殊な多次多変数連立方程式を用意する必要がある。また、署名生成時に多次多変数連立方程式Ｆを解く必要がある。そのため、利用可能な多次多変数連立方程式Ｆは、比較的容易に解けるものに限られていた。すなわち、これまでの方式においては、比較的容易に解ける３つの関数（トラップドア）Ｂ、Ｆ、Ａを合成した形の多次多変数連立方程式Ｂ（Ｆ（Ａ（ｘ_１，…，ｘ_ｎ）））＝ｙしか用いることができず、十分な安全性を確保することが難しかった。

本技術は、上記の事情に鑑みて、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて高い安全性を有する公開鍵認証方式又は電子署名方式を実現することが可能な、新規かつ改良された情報処理装置、及び情報処理方法の提供を意図して考案されたものである。

本技術のある観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、を備え、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、ユーザ毎に異なる情報を用いて生成される、情報処理装置が提供される。

また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、を備え、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、ユーザ毎に異なる情報を用いて生成される、情報処理装置が提供される。

また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、前記検証者に前記第３の情報を提供する中間情報提供部と、ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、を備え、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、ユーザ毎に異なる情報を用いて生成される、情報処理装置が提供される。

また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、を備え、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、ユーザ毎に異なる情報を用いて生成される、情報処理装置が提供される。

また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するステップと、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するステップと、
ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供するステップと、を含み、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、ユーザ毎に異なる情報を用いて生成される、情報処理方法が提供される。

また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報処理装置が、前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するステップと、前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するステップと、前記選択した検証パターンに対応する回答情報を前記証明者から取得するステップと、前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証するステップと、を含み、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、ユーザ毎に異なる情報を用いて生成される、情報処理方法が提供される。

また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するステップと、前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するステップと、前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成するステップと、前記検証者に前記第３の情報を提供するステップと、ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供するステップと、を含み、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、ユーザ毎に異なる情報を用いて生成される、情報処理方法が提供される。

また、本技術の別の観点によれば、環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報処理装置が、前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するステップと、前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供するステップと、前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得するステップと、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するステップと、前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証するステップと、を含み、前記ベクトルｓは秘密鍵であり、前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、前記多次多変数多項式の組Ｆは、ユーザ毎に異なる情報を用いて生成される、情報処理方法が提供される。

また、本技術の別の観点によれば、上記の情報処理装置が備える各部の機能をコンピュータに実現させるためのプログラムが提供される。さらに、本技術の別の観点によれば、当該プログラムが記録された、コンピュータにより読み取り可能な記録媒体が提供される。

以上説明したように本技術によれば、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて、高い安全性を有する公開鍵認証方式又は電子署名方式を実現することが可能になる。

公開鍵認証方式のアルゴリズム構成について説明するための説明図である。 電子署名方式のアルゴリズム構成について説明するための説明図である。 ｎパスの公開鍵認証方式について説明するための説明図である。 本技術の第１実施形態（３パス）に係る公開鍵認証方式のアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の拡張アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の並列化アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の具体的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの並列化について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムを効率的な電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの並直列構成について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの直並列構成について説明するための説明図である。 本技術の第２実施形態（５パス）に係る公開鍵認証方式のアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の拡張アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の並列化アルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の拡張アルゴリズムに対する並列化について説明するための説明図である。 同実施形態に係る公開鍵認証方式の具体的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムについて説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの並列化について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの並列化について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの更なる効率化について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの更なる効率化について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの並直列構成について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの並直列構成について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの直並列構成について説明するための説明図である。 同実施形態に係る公開鍵認証方式の効率的なアルゴリズムの直並列構成について説明するための説明図である。 第１及び第２実施形態に係る対話プロトコルの頑強性を向上させるための工夫について説明するための説明図である。 第１及び第２実施形態に係る対話プロトコルの頑強性を向上させるための工夫について説明するための説明図である。 本技術の各実施形態に係るアルゴリズムを実行することが可能な情報処理装置のハードウェア構成例について説明するための説明図である。 本技術の第１及び第２実施形態に係る公開鍵認証方式の効率を比較した図表である。 本技術の第１及び第２実施形態に係る公開鍵認証方式において用いられるパラメータの好適な設定方法及びその効果について説明するための説明図である。

以下に添付図面を参照しながら、本技術の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

［説明の流れについて］
ここで、以下に記載する本技術の実施形態に関する説明の流れについて簡単に述べる。まず、図１を参照しながら、公開鍵認証方式のアルゴリズム構成について説明する。次いで、図２を参照しながら、電子署名方式のアルゴリズム構成について説明する。次いで、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。

次いで、図４を参照しながら、本技術の第１実施形態（３パス）に係る公開鍵認証方式のアルゴリズムについて説明する。次いで、図５を参照しながら、同実施形態に係る公開鍵認証方式の拡張アルゴリズムについて説明する。次いで、図６を参照しながら、同実施形態に係る公開鍵認証方式の並列化アルゴリズムについて説明する。次いで、図７を参照しながら、同実施形態に係る公開鍵認証方式の具体的なアルゴリズムについて説明する。次いで、図８〜図１５を参照しながら、同実施形態に係る公開鍵認証方式の効率的なアルゴリズム及びその変形例などについて説明する。

次いで、図１６を参照しながら、本技術の第２実施形態（５パス）に係る公開鍵認証方式のアルゴリズムについて説明する。次いで、図１７を参照しながら、同実施形態に係る公開鍵認証方式の拡張アルゴリズムについて説明する。次いで、図１８及び図１９を参照しながら、同実施形態に係る公開鍵認証方式の並列化アルゴリズムについて説明する。次いで、図２０を参照しながら、同実施形態に係る公開鍵認証方式の具体的なアルゴリズムについて説明する。次いで、図２１〜図３５を参照しながら、同実施形態に係る公開鍵認証方式の効率的なアルゴリズム及びその変形例などについて説明する。

次いで、本技術の第１及び第２実施形態に係る効率的なアルゴリズムを２次以上の多変数多項式に適用するための拡張手法について説明する。次いで、本技術の第１及び第２実施形態に係る対話プロトコルの頑強性を高める仕組みについて説明する。また、図３６及び図３７を参照しながら、イレギュラーな要求に起因する秘密鍵の漏洩を回避する仕組み及び偽証の機会をなくす仕組みについて述べる。次いで、図３８を参照しながら、本技術の第１及び第２実施形態に係る各アルゴリズムを実現することが可能な情報処理装置のハードウェア構成例について説明する。

最後に、本実施形態の技術的思想について纏め、当該技術的思想から得られる作用効果について簡単に説明する。

（説明項目）
１：はじめに
１−１：公開鍵認証方式のアルゴリズム
１−２：電子署名方式のアルゴリズム
１−３：ｎパスの公開鍵認証方式
２：第１実施形態
２−１：公開鍵認証方式のアルゴリズム
２−２：拡張アルゴリズム
２−３：並列化アルゴリズム
２−４：具体例（２次多項式を利用する場合）
２−５：効率的なアルゴリズム
２−６：電子署名方式への変形
２−６−１：変形方法
２−６−２：電子署名アルゴリズムの効率化
２−７：多次多変数連立方程式の形式
２−７−１：共通鍵ブロック暗号に関する形式
２−７−２：ハッシュ関数に関する形式
２−７−３：ストリーム暗号に関する形式
２−８：直列・並列ハイブリッドアルゴリズム
３：第２実施形態
３−１：公開鍵認証方式のアルゴリズム
３−２：拡張アルゴリズム
３−３：並列化アルゴリズム
３−４：具体例（２次多項式を利用する場合）
３−５：効率的なアルゴリズム
３−６：直列・並列ハイブリッドアルゴリズム
４：効率的なアルゴリズムの拡張
４−１：多変数多項式の高次化について
４−２：拡張方式（高次項の追加）
５：頑強性を高める仕組み
５−１：システムパラメータの設定方法
５−２：イレギュラーな要求に対する応答方法
５−２−１：証明者による応答方法について
５−２−２：検証者による応答方法について
６：ハードウェア構成例
７：まとめ

＜１：はじめに＞
はじめに、本技術に係る実施形態について詳細に説明するに先立ち、公開鍵認証方式のアルゴリズム、電子署名方式のアルゴリズム、及びｎパスの公開鍵認証方式について、その概要を簡単に説明する。

［１−１：公開鍵認証方式のアルゴリズム］
まず、図１を参照しながら、公開鍵認証方式のアルゴリズムについて概要を説明する。図１は、公開鍵認証方式のアルゴリズムについて概要を説明するための説明図である。

公開鍵認証は、ある人（証明者）が、公開鍵ｐｋ及び秘密鍵ｓｋを利用して、他の人（検証者）に本人であることを納得させるために利用される。例えば、証明者Ａの公開鍵ｐｋ_Ａは、検証者Ｂに公開される。一方、証明者Ａの秘密鍵ｓｋ_Ａは、証明者Ａにより秘密に管理される。公開鍵認証の仕組みにおいては、公開鍵ｐｋ_Ａに対応する秘密鍵ｓｋ_Ａを知る者が証明者Ａ本人であるとみなされる。

公開鍵認証の仕組みを利用して証明者Ａが証明者Ａ本人であることを検証者Ｂに証明するには、対話プロトコルを介して、証明者Ａが公開鍵ｐｋ_Ａに対応する秘密鍵ｓｋ_Ａを知っているという証拠を検証者Ｂに提示すればよい。そして、証明者Ａが秘密鍵ｓｋ_Ａを知っているという証拠が検証者Ｂに提示され、その証拠を検証者Ｂが確認し終えた場合、証明者Ａの正当性（本人であること）が証明されたことになる。

但し、公開鍵認証の仕組みには、安全性を担保するために以下の条件が求められる。

１つ目の条件は、「対話プロトコルを実行した際に秘密鍵ｓｋを持たない偽証者により偽証が成立してしまう確率を限りなく小さくする」ことである。この１つ目の条件が成り立つことを「健全性」と呼ぶ。つまり、健全性とは、「秘密鍵ｓｋを持たない偽証者により、対話プロトコルの実行中に無視できない確率で偽証が成立することはないこと」と言い換えられる。２つ目の条件は、「対話プロトコルを実行したとしても、証明者Ａが有する秘密鍵ｓｋ_Ａの情報が検証者Ｂに一切漏れることがない」ことである。この２つ目の条件が成り立つことを「零知識性」と呼ぶ。

安全に公開鍵認証を行うには、健全性及び零知識性を有する対話プロトコルを利用する必要がある。仮に、健全性及び零知識性を有しない対話プロトコルを用いて認証処理を行った場合には、偽証された可能性及び秘密鍵の情報が漏れてしまった可能性が否定できないため、処理自体が成功裡に完了しても証明者の正当性を証明したことにはならない。従って、対話プロトコルの健全性及び零知識性を如何に保証するかが重要になる。

（モデル）
公開鍵認証方式のモデルには、図１に示すように、証明者と検証者という２つのエンティティが存在する。証明者は、鍵生成アルゴリズムＧｅｎを用いて、証明者固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成する。次いで、証明者は、鍵生成アルゴリズムＧｅｎを用いて生成した秘密鍵ｓｋと公開鍵ｐｋの組を利用して検証者と対話プロトコルを実行する。このとき、証明者は、証明者アルゴリズムＰを利用して対話プロトコルを実行する。上記の通り、証明者は、証明者アルゴリズムＰを利用し、対話プロトコルの中で秘密鍵ｓｋを保有している証拠を検証者に提示する。

一方、検証者は、検証者アルゴリズムＶを利用して対話プロトコルを実行し、証明者が公開している公開鍵に対応する秘密鍵を、その証明者が保有しているか否かを検証する。つまり、検証者は、証明者が公開鍵に対応する秘密鍵を保有しているか否かを検証するエンティティである。このように、公開鍵認証方式のモデルは、証明者と検証者という２つのエンティティ、及び、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶという３つのアルゴリズムにより構成される。

なお、以下の説明において、「証明者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰを実行する主体は、「証明者」のエンティティに対応する情報処理装置である。同様に、検証者アルゴリズムＶを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図３８に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、証明者により利用される。鍵生成アルゴリズムＧｅｎは、証明者に固有の秘密鍵ｓｋと公開鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは公開される。そして、公開された公開鍵ｐｋは、検証者により利用される。一方、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者が秘密に管理する。そして、証明者により秘密に管理される秘密鍵ｓｋは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するために利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１^λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（１）のように表現される。

（証明者アルゴリズムＰ）
証明者アルゴリズムＰは、証明者により利用される。証明者アルゴリズムＰは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するためのアルゴリズムである。つまり、証明者アルゴリズムＰは、秘密鍵ｓｋと公開鍵ｐｋとを入力とし、対話プロトコルを実行するアルゴリズムである。

（検証者アルゴリズムＶ）
検証者アルゴリズムＶは、検証者により利用される。検証者アルゴリズムＶは、対話プロトコルの中で、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有しているか否かを検証するアルゴリズムである。検証者アルゴリズムＶは、公開鍵ｐｋを入力とし、対話プロトコルの実行結果に応じて０又は１（１ｂｉｔ）を出力するアルゴリズムである。なお、検証者は、検証者アルゴリズムＶが０を出力した場合には証明者が不正なものであると判断し、１を出力した場合には証明者が正当なものであると判断する。形式的に、検証者アルゴリズムＶは、下記の式（２）のように表現される。

上記の通り、意味のある公開鍵認証を実現するには、対話プロトコルが健全性及び零知識性という２つの条件を満たしている必要がある。しかし、証明者が秘密鍵ｓｋを保有していることを証明するためには、証明者が秘密鍵ｓｋに依存した手続きを実行し、その結果を検証者に通知した上で、その通知内容に基づく検証を検証者に実行させる必要がある。秘密鍵ｓｋに依存した手続きを実行するのは、健全性を担保するために必要である。一方で、秘密鍵ｓｋの情報が一切検証者に漏れないようにする必要がある。そのため、これらの要件を満たすように、上記の鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶを巧妙に設計する必要がある。

以上、公開鍵認証方式のアルゴリズムについて、その概要を説明した。

［１−２：電子署名方式のアルゴリズム］
次に、図２を参照しながら、電子署名方式のアルゴリズムについて概要を説明する。図２は、電子署名方式のアルゴリズムについて概要を説明するための説明図である。

紙文書とは異なり、ある電子化されたデータに対して押印したり署名を記載したりすることはできない。そのため、電子化されたデータの作成者を証明するためには、紙文書に押印したり署名を記載したりするのと同等の効果が得られる電子的な仕組みを必要とする。この仕組みが電子署名である。電子署名とは、データの作成者しか知らない署名データをデータに関連付けて受領者に提供し、その署名データを受領者側で検証する仕組みのことを言う。

（モデル）
電子署名方式のモデルには、図２に示すように、署名者及び検証者という２つのエンティティが存在する。そして、電子署名方式のモデルは、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒという３つのアルゴリズムにより構成される。

署名者は、鍵生成アルゴリズムＧｅｎを利用して署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成する。また、署名者は、署名生成アルゴリズムＳｉｇを利用して文書Ｍに付与する電子署名σを生成する。つまり、署名者は、文書Ｍに電子署名を付与するエンティティである。一方、検証者は、署名検証アルゴリズムＶｅｒを利用して文書Ｍに付与された電子署名σを検証する。つまり、検証者は、文書Ｍの作成者が署名者であるか否かを確認するために、電子署名σを検証するエンティティである。

なお、以下の説明において、「署名者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇを実行する主体は、「署名者」のエンティティに対応する情報処理装置である。同様に、署名検証アルゴリズムＶｅｒを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図３８に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、署名者により利用される。鍵生成アルゴリズムＧｅｎは、署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された検証鍵ｐｋは公開される。一方、鍵生成アルゴリズムＧｅｎにより生成された署名鍵ｓｋは、署名者により秘密に管理される。そして、署名鍵ｓｋは、文書Ｍに付与される電子署名σの生成に利用される。例えば、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１^λ（λは０以上の整数）を入力とし、署名鍵ｓｋ及び公開鍵ｐｋを出力する。この場合、鍵生成アルゴリズムＧｅｎは、形式的に、下記の式（３）のように表現することができる。

（署名生成アルゴリズムＳｉｇ）
署名生成アルゴリズムＳｉｇは、署名者により利用される。署名生成アルゴリズムＳｉｇは、文書Ｍに付与される電子署名σを生成するアルゴリズムである。署名生成アルゴリズムＳｉｇは、署名鍵ｓｋと文書Ｍとを入力とし、電子署名σを出力するアルゴリズムである。この署名生成アルゴリズムＳｉｇは、形式的に、下記の式（４）のように表現することができる。

（署名検証アルゴリズムＶｅｒ）
署名検証アルゴリズムＶｅｒは、検証者により利用される。署名検証アルゴリズムＶｅｒは、電子署名σが文書Ｍに対する正当な電子署名であるか否かを検証するアルゴリズムである。署名検証アルゴリズムＶｅｒは、署名者の検証鍵ｐｋ、文書Ｍ、電子署名σを入力とし、０又は１（１ｂｉｔ）を出力するアルゴリズムである。この署名検証アルゴリズムＶｅｒは、形式的に、下記の式（５）のように表現することができる。なお、検証者は、署名検証アルゴリズムＶｅｒが０を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを拒否する場合）に電子署名σが不当であると判断し、１を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを受理する場合）に電子署名σが正当であると判断する。

以上、電子署名方式のアルゴリズムについて、その概要を説明した。

［１−３：ｎパスの公開鍵認証方式］
次に、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。図３は、ｎパスの公開鍵認証方式について説明するための説明図である。

上記の通り、公開鍵認証方式は、対話プロトコルの中で、証明者が公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを検証者に証明する認証方式である。また、対話プロトコルは、健全性及び零知識性という２つの条件を満たす必要がある。そのため、対話プロトコルの中では、図３に示すように、証明者及び検証者の双方がそれぞれ処理を実行しながらｎ回の情報交換を行う。

ｎパスの公開鍵認証方式の場合、証明者アルゴリズムＰを用いて証明者により処理（工程＃１）が実行され、情報Ｔ_１が検証者に送信される。次いで、検証者アルゴリズムＶを用いて検証者により処理（工程＃２）が実行され、情報Ｔ_２が証明者に送信される。さらに、ｋ＝３〜ｎについて処理の実行及び情報Ｔ_ｋの送信が順次行われ、最後に処理（工程＃ｎ＋１）が実行される。このように、情報がｎ回送受信される方式のことを「ｎパス」の公開鍵認証方式と呼ぶ。

以上、ｎパスの公開鍵認証方式について説明した。

＜２：第１実施形態＞
以下、本技術の第１実施形態について説明する。本実施形態は、多次多変数連立方程式に対する求解問題の困難性に安全性の根拠をおく公開鍵認証方式及び電子署名方式に関する。但し、本実施形態は、ＨＦＥ電子署名方式などの従来手法とは異なり、効率的に解く手段（トラップドア）を持たない多次多変数連立方程式を利用する公開鍵認証方式及び電子署名方式に関する。

［２−１：公開鍵認証方式のアルゴリズム］
まず、図４を参照しながら、本実施形態に係る公開鍵認証方式（以下、本手法）のアルゴリズムについて説明する。図４は、本手法のアルゴリズムについて説明するための説明図である。なお、本手法は、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。以下、各アルゴリズムの構成について説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、多変数多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記することにする。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図４を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。

上記の対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図４に示したフローチャートに沿って説明を進める。

工程＃１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗを適用してベクトルｒ∈Ｋ^ｎ及び数ｗ^Ａを生成する。つまり、証明者アルゴリズムＰは、（ｒ，ｗ^Ａ）←Ｇ_１（ｗ）を計算する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ^Ａを適用して多変数多項式Ｆ^Ａ（ｘ）＝（ｆ^Ａ _１（ｘ），…，ｆ^Ａ _ｍ（ｘ））を生成する。つまり、証明者アルゴリズムＰは、Ｆ^Ａ←Ｇ_２（ｗ^Ａ）を計算する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、ｚ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、Ｆ^Ｂ（ｘ）←Ｆ（ｘ＋ｒ）＋Ｆ^Ａ（ｘ）を計算する。この計算は、ｘに関して多変数多項式Ｆ（ｘ＋ｒ）を多変数多項式Ｆ^Ａ（ｘ）によりマスクする操作に相当する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、Ｆ^Ａ（ｚ）及びｚのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ^Ａ（ｚ），ｚ）を計算する。また、証明者アルゴリズムＰは、数ｗ^Ａのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ^Ａ）を計算する。さらに、証明者アルゴリズムＰは、多変数多項式Ｆ^Ｂのハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（Ｆ^Ｂ（ｘ））を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。このハッシュ値（ｃ_１，ｃ_２，ｃ_３）は、メッセージとして検証者アルゴリズムＶに送られる。このとき、ｓに関する情報、ｒに関する情報、ｚに関する情報が検証者に一切漏れない点に注意されたい。

工程＃２：
メッセージ（ｃ_１，ｃ_２，ｃ_３）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃３：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送る返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答σ＝ｗを生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答σ＝（ｗ^Ａ，ｚ）を生成する。ｄ＝２の場合、証明者アルゴリズムＰは、返答σ＝（Ｆ^Ｂ（ｚ），ｚ）を生成する。工程＃３で生成された返答σは、検証者アルゴリズムＶに送られる。このとき、ｄ＝０の場合にはｚに関する情報が検証者に一切漏れておらず、ｄ＝１又は２の場合にはｒに関する情報が検証者に一切漏れない点に注意されたい。

工程＃４：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ^Ａ，ｗ^Ｂ）←Ｇ_１（σ）を計算する。さらに、検証者アルゴリズムＶは、Ｆ^Ｃ←Ｇ_２（ｗ^Ｂ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ^Ｂ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（Ｆ（ｘ＋ｒ^Ａ）＋Ｆ^Ｃ（ｘ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｗ^Ｂ，ｚ^Ａ）←σとする。さらに、検証者アルゴリズムＶは、Ｆ^Ｃ←Ｇ_２（ｗ^Ｂ）を計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ^Ｃ（ｚ^Ａ），ｚ^Ａ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ^Ｂ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝２の場合、検証者アルゴリズムＶは、（Ｆ^Ｄ，ｚ^Ａ）←σとする。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ^Ｄ（ｚ^Ａ）−ｙ，ｚ^Ａ））の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（Ｆ^Ｄ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法に係る各アルゴリズムの構成について説明した。

（本手法の健全性について）
ここで、本手法の健全性について説明を補足する。本手法の健全性は、「検証者アルゴリズムＶが選択可能な要求ｄ＝０，１，２の全てについて、証明者アルゴリズムＰが正しい返答σを返したならば、下記の式（６）及び式（７）を満たすＦ^Ｄ、Ｆ^Ｃ、ｒ^Ａ、ｚ^Ａが計算可能になる」という論理に基づいて保証されている。

上記の健全性が保証されることにより、多次多変数連立方程式の求解問題を解かない限りにおいて２／３より高い確率で偽証が成功することは不可能であると保証される。つまり、検証者の要求ｄ＝０，１，２の全てに正しく回答するためには、偽証者が上記の式（６）及び式（７）を満たすＦ^Ｄ、Ｆ^Ｃ、ｒ^Ａ、ｚ^Ａを計算できる必要がある。言い換えると、偽証者はＦ（ｓ）＝ｙを満たすｓを計算できる必要がある。但し、検証者の要求ｄ＝０，１，２の高々２つについて偽証者が正しく回答できてしまう可能性は残る。そのため、偽証の成功確率は２／３となる。なお、上記の対話プロトコルを十分な回数実行することで、偽証の成功確率は無視できるほど小さくなる。

以上、本手法の健全性について説明した。

（変形例）
ここで、上記アルゴリズムの一変形例を紹介する。上記の鍵生成アルゴリズムＧｅｎは、ｙ←Ｆ（ｓ）を計算し、公開鍵を（Ｆ，ｙ）に設定していた。一方、本変形例において、鍵生成アルゴリズムＧｅｎは、（ｙ_１，…，ｙ_ｍ）←Ｆ（ｓ）及び（ｆ_１ ^＊（ｘ），…，ｆ_ｍ ^＊（ｘ））←（ｆ_１（ｘ）−ｙ_１，…，ｆ_ｍ（ｘ）−ｙ_ｍ）を計算し、公開鍵を（ｆ_１ ^＊，…，ｆ_ｍ ^＊）に設定する。このように変形すると、ｙ＝０として対話プロトコルを実行することが可能になる。

また、上記の証明者アルゴリズムＰは、Ｆ^Ｂ（ｚ）及びｚからメッセージｃ_１を生成していた。しかし、Ｆ^Ｂ（ｚ）＝Ｆ^Ａ（ｚ）の関係があることにより、Ｆ^Ａ（ｚ）及びｚからメッセージｃ_１を生成するように変形しても、同様の対話プロトコルが実現される。また、Ｆ^Ｂ（ｚ）のハッシュ値とｚのハッシュ値とを別々に計算し、それぞれをメッセージとして検証者アルゴリズムＶに送るように証明者アルゴリズムＰの構成を変形してもよい。

また、上記の証明者アルゴリズムＰは、数ｗに擬似乱数生成器Ｇ_１を適用してベクトルｒ及び数ｗ^Ａを生成していた。また、上記の証明者アルゴリズムＰは、数ｗ^Ａを擬似乱数生成器Ｇ_２に適用して多変数多項式Ｆ^Ａ（ｘ）を生成していた。しかし、Ｇ_１を恒等写像とし、最初からｗ＝（ｒ，Ｆ^Ａ）を算出するように証明者アルゴリズムＰの構成を変形してもよい。この場合には、数ｗをＧ_１に適用する必要はない。なお、Ｇ_２についても同様である。

また、上記の対話プロトコルにおいては公開鍵を（Ｆ，ｙ）としている。公開鍵に含まれる多変数多項式Ｆは秘密鍵ｓｋに依らないパラメータである。そのため、証明者毎に多変数多項式Ｆを設定せず、システム全体で共通の多変数多項式Ｆを利用するように構成されていてもよい。この場合、証明者毎に設定される公開鍵はｙだけで済むことになり、公開鍵のサイズを小さくすることが可能になる。但し、安全性の観点から、証明者毎に多変数多項式Ｆを設定する方が好ましいケースも考えられる。このようなケースにおける多変数多項式Ｆの設定方法については後段において詳述する。

また、上記の対話プロトコルにおいては公開鍵を（ｆ_１，…，ｆ_ｍ，ｙ）としているが、Ｆ＝（ｆ_１，…，ｆ_ｍ）は適当に選択してもよいパラメータである。そのため、証明者及び検証者は、例えば、乱数のシードｗ_ｐｋを用意し、擬似乱数生成器Ｇ^＊を利用してＦ←Ｇ^＊（ｗ_ｐｋ）を計算してもよい。この場合、公開鍵は（ｗ_ｐｋ，ｙ）となり、（Ｆ，ｙ）を公開鍵として公開する場合よりも、公開鍵のサイズを小さくすることが可能になる。

上記のアルゴリズムでは、ハッシュ関数Ｈ_１，Ｈ_２，Ｈ_３を用いてｃ_１，ｃ_２，ｃ_３を計算しているが、ハッシュ関数の代わりにコミットメント関数ＣＯＭを用いてもよい。コミットメント関数ＣＯＭは、文字列Ｓと乱数ρの２つを引数にとる関数である。コミットメント関数の例としては、Ｓｈａｉ ＨａｌｅｖｉとＳｉｌｖｉｏ Ｍｉｃａｌｉによって国際会議ＣＲＹＰＴＯ１９９６で発表された方式などがある。

このコミットメント関数を用いる場合、ｃ_１，ｃ_２，ｃ_３を計算する前に、乱数ρ_１，ρ_２，ρ_３を用意し、ハッシュ関数Ｈ_１（・），Ｈ_２（・），Ｈ_３（・）を適用する代わりにコミットメント関数ＣＯＭ（・，ρ_１），ＣＯＭ（・，ρ_２），ＣＯＭ（・，ρ_２）を適用してｃ_１，ｃ_２，ｃ_３を生成する。但し、検証者がｃ_ｉを生成するために必要なρ_ｉは、返答σに含めて送られる。なお、これらの変形は、後述する全てのアルゴリズムに適用可能である。

以上、本手法の変形例について説明した。

［２−２：拡張アルゴリズム］
次に、図５を参照しながら、本手法を拡張した公開鍵認証方式（以下、拡張手法）のアルゴリズムについて説明する。図５は、拡張手法に基づく対話プロトコルの流れについて説明するための説明図である。

ここで説明する拡張手法は、１パス目に送信するメッセージ（ｃ_１，ｃ_２，ｃ_３）を１つのハッシュ値ｃに変換して検証者に送るというものである。但し、３パス目で送る返答σを用いても復元できないメッセージについては、返答σと共に検証者に送られる。この拡張手法を適用すると、対話プロトコルの中で検証者に送る情報量を減らすことが可能になる。以下、拡張手法に係る各アルゴリズムの構成について詳細に説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、多変数多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記することにする。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図５を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。

上記の対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図５に示したフローチャートに沿って説明を進める。

工程＃１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗを適用してベクトルｒ∈Ｋ^ｎと数ｗ^Ａを生成する。つまり、証明者アルゴリズムＰは、（ｒ，ｗ^Ａ）←Ｇ_１（ｗ）を計算する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ^Ａを適用して多変数多項式Ｆ^Ａ（ｘ）＝（ｆ^Ａ _１（ｘ），…，ｆ^Ａ _ｍ（ｘ））を生成する。つまり、証明者アルゴリズムＰは、Ｆ^Ａ←Ｇ_２（ｗ^Ａ）を計算する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、ｚ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、Ｆ^Ｂ（ｘ）←Ｆ（ｘ＋ｒ）＋Ｆ^Ａ（ｘ）を計算する。この計算は、ｘについての多項式の組Ｆ（ｘ＋ｒ）を多項式の組Ｆ^Ａ（ｘ）によりマスクする操作に相当する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、Ｆ^Ｂ（ｚ）とｚのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ^Ｂ（ｚ），ｚ）を計算する。また、証明者アルゴリズムＰは、数ｗ^Ａのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ^Ａ）を計算する。さらに、証明者アルゴリズムＰは、多項式の組Ｆ^Ｂのハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（Ｆ^Ｂ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。拡張方式の場合、証明者アルゴリズムＰは、ハッシュ値の組（ｃ_１，ｃ_２，ｃ_３）をハッシュ関数Ｈに適用してハッシュ値ｃを生成し、生成したハッシュ値ｃを検証者アルゴリズムＶに送る。

工程＃２：
ハッシュ値ｃを受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃３：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送る返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答（σ，ｃ^＊）＝（ｗ，ｃ_１）を生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答（σ，ｃ^＊）＝（（ｗ^Ａ，ｚ），ｃ_３）を生成する。ｄ＝２の場合、証明者アルゴリズムＰは、返答（σ，ｃ^＊）＝（（Ｆ^Ｂ，ｚ），ｃ_２）を生成する。工程＃３で生成された返答（σ，ｃ^＊）は、検証者アルゴリズムＶに送られる。

工程＃４：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答（σ，ｃ^＊）を利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ^Ａ，ｗ^Ｂ）←Ｇ_１（σ）を計算する。次いで、検証者アルゴリズムＶは、Ｆ^Ｃ←Ｇ_２（ｗ^Ｂ）を計算する。次いで、検証者アルゴリズムＶは、ｃ_２ ^Ａ＝Ｈ_２（ｗ^Ｂ）を計算する。次いで、検証者アルゴリズムＶは、ｃ_３ ^Ａ＝Ｈ_３（Ｆ（ｘ＋ｒ^Ａ）＋Ｆ^Ｃ（ｘ））を計算する。その後、検証者アルゴリズムＶは、ｃ＝Ｈ（ｃ^＊，ｃ_２ ^Ａ，ｃ_３ ^Ａ）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、検証が成功した場合に認証成功を示す値１を出力し、検証が失敗した場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｗ^Ｂ，ｚ^Ａ）←σとする。次いで、検証者アルゴリズムＶは、Ｆ^Ｃ←Ｇ_２（ｗ^Ｂ）を計算する。次いで、検証者アルゴリズムＶは、ｃ_１ ^Ａ＝Ｈ_１（Ｆ^Ｃ（ｚ^Ａ），ｚ^Ａ）を計算する。次いで、検証者アルゴリズムＶは、ｃ_２ ^Ａ＝Ｈ_２（ｗ^Ｂ）を計算する。その後、検証者アルゴリズムＶは、ｃ＝Ｈ（ｃ_１ ^Ａ，ｃ_２ ^Ａ，ｃ^＊）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、検証が成功した場合に認証成功を示す値１を出力し、検証が失敗した場合に認証失敗を示す値０を出力する。

ｄ＝２の場合、検証者アルゴリズムＶは、（Ｆ^Ｄ，ｚ^Ａ）←σとする。次いで、検証者アルゴリズムＶは、ｃ_１ ^Ａ＝Ｈ_１（Ｆ^Ｄ（ｚ^Ａ）−ｙ，ｚ^Ａ）を計算する。次いで、検証者アルゴリズムＶは、ｃ_３ ^Ａ＝Ｈ_３（Ｆ^Ｄ）を計算する。その後、検証者アルゴリズムＶは、ｃ＝Ｈ（ｃ_１ ^Ａ，ｃ^＊，ｃ_３ ^Ａ）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、検証が成功した場合に認証成功を示す値１を出力し、検証が失敗した場合に認証失敗を示す値０を出力する。

以上、拡張手法に係る各アルゴリズムの構成について説明した。拡張手法を適用することにより、対話プロトコルの中で送受信される情報量を削減することが可能になる。

［２−３：並列化アルゴリズム］
先に述べた通り、本手法又は拡張手法に係る対話プロトコルを適用すれば、偽証が成功する確率を２／３以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（２／３）^２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（２／３）^Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝１４０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。

対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。ここでは、本手法に係る対話プロトコルを並列的な方法に係る対話プロトコル（以下、並列化アルゴリズム）に拡張する方法について説明する。例えば、並列化アルゴリズムは図６のようになる。以下、図６を参照しながら、並列化アルゴリズムの内容について説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、多変数多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記することにする。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図６を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。

上記の対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図６に示したフローチャートに沿って説明を進める。

工程＃１：
まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（８）を実行する。
処理（１）：証明者アルゴリズムＰは、任意に数ｗ_ｉを選択する。
処理（２）：証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗ_ｉを適用してベクトルｒ_ｉ∈Ｋ^ｎと数ｗ_ｉ ^Ａを生成する。つまり、証明者アルゴリズムＰは、（ｒ_ｉ，ｗ_ｉ ^Ａ）←Ｇ_１（ｗ_ｉ）を計算する。
処理（３）：証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ_ｉ ^Ａを適用して多変数多項式の組Ｆ_ｉ ^Ａ（ｘ）を生成する。つまり、証明者アルゴリズムＰは、Ｆ_ｉ ^Ａ←Ｇ_２（ｗ_ｉ ^Ａ）を計算する。
処理（４）：証明者アルゴリズムＰは、ｚ_ｉ←ｓ_ｉ−ｒ_ｉを計算する。この計算は、秘密鍵ｓ_ｉをベクトルｒ_ｉによりマスクする操作に相当する。
処理（５）：証明者アルゴリズムＰは、Ｆ_ｉ ^Ｂ（ｘ）←Ｆ（ｘ＋ｒ_ｉ）＋Ｆ_ｉ ^Ａ（ｘ）を計算する。この計算は、ｘについての多項式の組Ｆ（ｘ＋ｒ_ｉ）を多項式の組Ｆ_ｉ ^Ａ（ｘ）によりマスクする操作に相当する。
処理（６）：証明者アルゴリズムＰは、Ｆ_ｉ ^Ｂ（ｚ_ｉ）及びｚ_ｉのハッシュ値ｃ_１，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（Ｆ_ｉ ^Ｂ（ｚ_ｉ），ｚ_ｉ）を計算する。
処理（７）：証明者アルゴリズムＰは、数ｗ_ｉ ^Ａのハッシュ値ｃ_２，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｗ_ｉ ^Ａ）を計算する。
処理（８）：証明者アルゴリズムＰは、多項式の組Ｆ_ｉ ^Ｂのハッシュ値ｃ_３，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_３，ｉ←Ｈ_３（Ｆ_ｉ ^Ｂ）を計算する。
なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。また、ハッシュ値（ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）はメッセージである。

ｉ＝１〜Ｎについて、上記の処理（１）〜処理（８）が実行された後、工程＃１で生成されたメッセージ（ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）（ｉ＝１〜Ｎ）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求ｄ_ｉに設定する。この要求ｄ_ｉは証明者アルゴリズムＰに送られる。

工程＃３：
要求ｄ_ｉ（ｉ＝１〜Ｎ）を受け取った証明者アルゴリズムＰは、受け取った要求ｄ_ｉに応じて検証者アルゴリズムＶに送る返答σ_ｉを生成する。このとき、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（３）を実行する。
処理（１）：ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、返答σ_ｉ＝ｗ_ｉを生成する。
処理（２）：ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、返答σ_ｉ＝（ｗ_ｉ ^Ａ，ｚ_ｉ）を生成する。
処理（３）：ｄ_ｉ＝２の場合、証明者アルゴリズムＰは、返答σ_ｉ＝（Ｆ_ｉ ^Ｂ，ｚ_ｉ）を生成する。
上記の処理（１）〜処理（３）の処理が実行された後、返答σ_ｉ（ｉ＝１〜Ｎ）は、検証者アルゴリズムＶに送られる。

工程＃４：
返答σ_ｉ（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。なお、以下の処理は、ｉ＝１〜Ｎについて実行される。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ_ｉ ^Ａ，ｗ_ｉ ^Ｂ）←Ｇ_１（σ_ｉ）を計算する。さらに、検証者アルゴリズムＶは、Ｆ_ｉ ^Ｃ←Ｇ_２（ｗ_ｉ ^Ｂ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（ｗ_ｉ ^Ｂ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３，ｉ＝Ｈ_３（Ｆ（ｘ＋ｒ_ｉ ^Ａ）＋Ｆ_ｉ ^Ｃ（ｘ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｗ_ｉ ^Ｂ，ｚ_ｉ ^Ａ）←σ_ｉとする。さらに、検証者アルゴリズムＶは、Ｆ_ｉ ^Ｃ←Ｇ_２（ｗ_ｉ ^Ｂ）を計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（Ｆ_ｉ ^Ｃ（ｚ_ｉ ^Ａ），ｚ_ｉ ^Ａ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ_ｉ ^Ｂ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝２の場合、検証者アルゴリズムＶは、（Ｆ_ｉ ^Ｄ，ｚ_ｉ ^Ａ）←σ_ｉとする。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（Ｆ_ｉ ^Ｄ（ｚ_ｉ ^Ａ）−ｙ，ｚ_ｉ ^Ａ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３，ｉ＝Ｈ_３（Ｆ_ｉ ^Ｄ（ｘ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法の対話プロトコルを並列的に実行する方法について説明した。上記のように、本手法の対話プロトコルを繰り返し実行することにより、偽証が成功する確率を無視できる程度まで低減させることが可能になる。

なお、工程＃１の後で（ｃ_１，１，ｃ_１，２，ｃ_１，３，…，ｃ_Ｎ，１，ｃ_Ｎ，２，ｃ_Ｎ，３）を検証者に送信する代わりに、ハッシュ値ｃ＝Ｈ（ｃ_１，１，ｃ_１，２，ｃ_１，３，…，ｃ_Ｎ，１，ｃ_Ｎ，２，ｃ_Ｎ，３）を送信するように変形してもよい。但し、返答から復元できないメッセージの存在を考慮し、このようなメッセージが返答と共に証明者から検証者へと送られるように対話プロトコルを変形する必要がある。この変形を適用すると、１パス目で送るメッセージが１つのハッシュ値ｃだけとなり、大幅に通信量が削減される。例えば、Ｎ回の並列的繰り返し構成の場合、送るべき情報の数を２Ｎ−１個削減することが可能になる。

（好適なパラメータの設定方法について）
さて、本実施形態に係る対話プロトコルは、受動的攻撃に対する安全性が保証されている。しかし、この対話プロトコルを並列的に繰り返し実行する上記の方法を適用した場合、能動的攻撃に対する安全性が確実に保証されていることを証明できるようにするには、以下に示すような条件が必要になる。

上記の対話プロトコルは、１組の鍵ペア（公開鍵ｙ、秘密鍵ｓ）を用いて、「証明者がｙについてｙ＝Ｆ（ｓ）となるｓを知っていること」を検証者に検証させるためのアルゴリズムであった。そのため、検証で受理される対話を行った場合、「対話の際に証明者がｓを用いた」という情報を検証者に知られてしまう可能性が否定できない。また、多変数多項式Ｆについて衝突困難性が保証されてない。そのため、上記の対話プロトコルを並列的に繰り返し実行する場合、能動的攻撃に対する安全性が確実に保証されていることを無条件で証明することは難しい。

そこで、本件発明者は、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにする方法について検討した。そして、本件発明者は、上記の対話プロトコルを並列的に繰り返し実行する場合においても、能動的攻撃に対する安全性を保証することが可能になる方法を考案した。この方法は、公開鍵として用いる多変数多項式ｆ_１，…，ｆ_ｍの数ｍをその変数の数ｎよりも十分に小さな値に設定するというものである。例えば、２^ｍ−ｎ≪１となるようにｍ及びｎが設定される（例えば、ｎ＝１６０、ｍ＝８０の場合２^−８０≪１である。）。

多次多変数方程式の求解問題に対する解答の困難性に安全性の根拠をおく方式において、秘密鍵ｓ_１と、それに対応する公開鍵ｐｋとが与えられても、その公開鍵ｐｋに対応する別の秘密鍵ｓ_２を生成することは難しい。そのため、公開鍵ｐｋに対する秘密鍵ｓが２つ以上存在することを保証すれば、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにすることが可能になる。つまり、この保証が成り立てば、対話プロトコルを並列的に繰り返し実行する場合においても、能動的攻撃に対する安全性を保証することが可能になる。

図４０を参照しながら、ｍ本のｎ変数多次多項式で構成される関数Ｆ：Ｋ^ｎ→Ｋ^ｍについて考えると（但し、ｎ＞ｍ）、２つ目の原像を持たない定義域の要素数は、最大で｜Ｋ｜^ｍ−１個しか存在しない。そのため、｜Ｋ｜^ｍ−ｎを十分に小さくすると、２つ目の原像を持たない定義域の要素が選択される確率を無視できる程度にまで小さくすることができる。つまり、ｎ変数多次多項式ｆ_１，…，ｆ_ｍの数ｍがその変数の数ｎよりも十分に小さな値に設定されていれば、公開鍵ｐｋに対して２つ以上の秘密鍵ｓが存在することを保証できる。その結果、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにすることが可能になり、対話プロトコルを並列的に繰り返し実行する場合においても、能動的攻撃に対する安全性が保証される。

以上説明したように、ｎ変数多次多項式ｆ_１，…，ｆ_ｍの数ｍがその変数の数ｎよりも小さな値（ｎ＞ｍ；好ましくは２^ｍ−ｎ≪１）に設定する設定条件を課すことで、対話プロトコルを並列的に繰り返し実行する場合の安全性を保証することが可能になる。

［２−４：具体例（２次多項式を利用する場合）］
次に、図７を参照しながら、多変数多項式Ｆとしてｎ変数２次多項式を利用する場合について説明する。図７は、本手法の一具体例について説明するための説明図である。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の２次多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１，…，ｆ_ｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、２次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記する。但し、２次多項式ｆ_ｉ（ｘ）は、下記の式（８）のように表現されるものとする。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図７を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶにより実行される処理について説明する。

工程＃１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗを適用してベクトルｒ∈Ｋ^ｎと数ｗ^Ａを生成する。つまり、証明者アルゴリズムＰは、（ｒ，ｗ^Ａ）←Ｇ_１（ｗ）を計算する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ^Ａを適用して１次多項式の組ｆ_１ ^Ａ（ｘ），…，ｆ_ｍ ^Ａ（ｘ）を生成する。つまり、証明者アルゴリズムＰは、（ｆ_１ ^Ａ，…，ｆ_ｍ ^Ａ）←Ｇ_２（ｗ^Ａ）を計算する。但し、１次多項式ｆ_ｉ ^Ａ（ｘ）は、下記の式（９）のように表現される。また、１次多項式の組（ｆ_１ ^Ａ（ｘ），…，ｆ_ｍ ^Ａ（ｘ））をＦ^Ａ（ｘ）と表記する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、ｚ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、Ｆ^Ｂ（ｘ）←Ｆ（ｘ＋ｒ）＋Ｆ^Ａ（ｘ）を計算する。この計算は、ｘに関して２次多項式Ｆ（ｘ＋ｒ）を１次多項式Ｆ^Ａ（ｘ）によりマスクする操作に相当する。Ｆ（ｘ＋ｒ）の中においてｒに関する情報はｘの１次の項にしか現れない。そのため、ｒに関する情報は全てＦ^Ａ（ｘ）によりマスクされる。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、Ｆ^Ａ（ｚ）及びｚのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ^Ａ（ｚ），ｚ）を計算する。また、証明者アルゴリズムＰは、数ｗ^Ａのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ^Ａ）を計算する。さらに、証明者アルゴリズムＰは、多変数多項式Ｆ^Ｂのハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（Ｆ^Ｂ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。工程＃１で生成されたメッセージ（ｃ_１，ｃ_２，ｃ_３）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｃ_２，ｃ_３）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃３：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送る返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答σ＝ｗを生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答σ＝（ｗ^Ａ，ｚ）を生成する。ｄ＝２の場合、証明者アルゴリズムＰは、返答σ＝（Ｆ^Ｂ（ｚ），ｚ）を生成する。工程＃３で生成された返答σは、検証者アルゴリズムＶに送られる。

工程＃４：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ^Ａ，ｗ^Ｂ）←Ｇ_１（σ）を計算する。さらに、検証者アルゴリズムＶは、Ｆ^Ｃ←Ｇ_２（ｗ^Ｂ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ^Ｂ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（Ｆ（ｘ＋ｒ^Ａ）＋Ｆ^Ｃ（ｘ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｗ^Ｂ，ｚ^Ａ）←σとする。さらに、検証者アルゴリズムＶは、Ｆ^Ｃ←Ｇ_２（ｗ^Ｂ）を計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ^Ｃ（ｚ^Ａ），ｚ^Ａ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ^Ｂ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝２の場合、検証者アルゴリズムＶは、（Ｆ^Ｄ，ｚ^Ａ）←σとする。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ^Ｄ（ｚ^Ａ）−ｙ，ｚ^Ａ））の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（Ｆ^Ｄ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法の一具体例について説明した。

［２−５：効率的なアルゴリズム］
次に、本手法に係るアルゴリズムを効率化する方法について述べる。２次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））は、下記の式（１０）のように表現することができる。但し、ｘ＝（ｘ_１，…，ｘ_ｎ）である。また、Ａ_１，…，Ａ_ｍは、ｎ×ｎ行列である。さらに、ｂ_１，…，ｂ_ｍはそれぞれｎ×１ベクトルである。

この表現を用いると、多変数多項式Ｆは、下記の式（１１）及び式（１２）のように表現することができる。この表現が成り立つことは、下記の式（１３）から容易に確認することができる。

このようにＦ（ｘ＋ｙ）をｘに依存する第１の部分と、ｙに依存する第２の部分と、ｘ及びｙの両方に依存する第３の部分とに分けたとき、第３の部分に対応する項Ｆ_ｂ（ｘ，ｙ）は、ｘ及びｙについて双線形になる。この性質を利用すると、効率的なアルゴリズムを構築することが可能になる。

例えば、ベクトルｔ∈Ｋ^ｎ、ｅ∈Ｋ^ｍを用いて、多変数多項式Ｆ（ｘ＋ｒ）のマスクに利用する多変数多項式Ｆ^Ａ（ｘ）をＦ^Ａ（ｘ）＝Ｆ_ｂ（ｘ，ｔ）＋ｅと表現する。この場合、多変数多項式Ｆ（ｘ＋ｒ）とＦ^Ａ（ｘ）との和は、下記の式（１４）のように表現される。

ここで、ｔ^Ａ＝ｒ＋ｔ、ｅ^Ａ＝Ｆ（ｒ）＋ｅとおけば、多変数多項式Ｆ^Ｂ（ｘ）＝Ｆ（ｘ＋ｒ）＋Ｆ^Ａ（ｘ）は、ベクトルｔ^Ａ∈Ｋ^ｎ、ｅ^Ａ∈Ｋ^ｍにより表現することができる。そのため、Ｆ^Ａ（ｘ）＝Ｆ_ｂ（ｘ，ｔ）＋ｅに設定すれば、Ｋ^ｎ上のベクトル及びＫ^ｍ上のベクトルを用いてＦ^Ａ及びＦ^Ｂを表現できるようになり、通信に必要なデータサイズを大幅に減らすことが可能になる。具体的には、数千〜数万倍程度、通信効率が向上する。

なお、上記の変形により、Ｆ^Ｂ（或いはＦ^Ａ）からｒに関する情報が一切漏れることはない。例えば、ｅ^Ａ及びｔ^Ａ（或いはｅ及びｔ）を与えられても、ｅ及びｔ（或いはｅ^Ａ及びｔ^Ａ）を知らない限り、ｒの情報を一切知ることはできない。従って、上記の変形を本手法に施したとしても、零知識性は担保される。以下、図８〜図１０を参照しながら、本手法に係る効率的なアルゴリズムについて説明する。なお、鍵生成アルゴリズムＧｅｎの構成は変わらないため、ここでは詳細な説明を省略する。

（効率的なアルゴリズムの構成例１：図８）
まず、図８に示した効率的なアルゴリズムの構成について説明する。

工程＃１：
証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_１に数ｗを適用してベクトルｒ∈Ｋ^ｎと数ｗ^Ａを生成する。つまり、証明者アルゴリズムＰは、（ｒ，ｗ^Ａ）←Ｇ_１（ｗ）を計算する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇ_２に数ｗ^Ａを適用して２つのベクトルｔ∈Ｋ^ｎ、ｅ∈Ｋ^ｍを生成する。つまり、証明者アルゴリズムＰは、（ｔ，ｅ）←Ｇ_２（ｗ^Ａ）を計算する。次いで、証明者アルゴリズムＰは、ｚ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ^Ａ←ｒ＋ｔを計算する。次いで、証明者アルゴリズムＰは、ｅ^Ａ←Ｆ（ｒ）＋ｅを計算する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、上記の式（１４）に基づいてＦ_ｂ（ｚ，ｔ）を算出し、Ｆ_ｂ（ｚ，ｔ）＋ｅ及びｚのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ_ｂ（ｚ，ｔ）＋ｅ，ｚ）を計算する。また、証明者アルゴリズムＰは、数ｗ^Ａのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ^Ａ）を計算する。さらに、証明者アルゴリズムＰは、２つのベクトルｔ^Ａ及びｅ^Ａのハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（ｔ^Ａ，ｅ^Ａ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。工程＃１で生成されたメッセージ（ｃ_１，ｃ_２，ｃ_３）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｃ_２，ｃ_３）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃３：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送る返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答σ＝ｗを生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答σ＝（ｗ^Ａ，ｚ）を生成する。ｄ＝２の場合、証明者アルゴリズムＰは、返答σ＝（ｔ^Ａ，ｅ^Ａ，ｚ）を生成する。工程＃３で生成された返答σは、検証者アルゴリズムＶに送られる。

工程＃４：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ^Ａ，ｗ^Ｂ）←Ｇ_１（σ）を計算する。さらに、検証者アルゴリズムＶは、（ｔ^Ｂ，ｅ^Ｂ）←Ｇ_２（ｗ^Ｂ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ^Ｂ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｒ^Ａ＋ｔ^Ｂ，Ｆ（ｒ^Ａ）＋ｅ^Ｂ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｗ^Ｂ，ｚ^Ａ）←σとする。さらに、検証者アルゴリズムＶは、（ｔ^Ｂ，ｅ^Ｂ）←Ｇ_２（ｗ^Ｂ）を計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ_ｂ（ｚ^Ａ，ｔ^Ｂ）＋ｅ^Ｂ，ｚ^Ａ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｗ^Ｂ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝２の場合、検証者アルゴリズムＶは、（ｔ^Ｃ，ｅ^Ｃ，ｚ^Ａ）←σとする。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ（ｚ^Ａ）＋Ｆ_ｂ（ｚ^Ａ，ｔ^Ｃ）＋ｅ^Ｃ−ｙ，ｚ^Ａ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｔ^Ｃ，ｅ^Ｃ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、効率的なアルゴリズムの構成例１について説明した。この効率的なアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、Ｆ（ｘ＋ｒ）の計算が必要なくなるため、計算効率も向上する。

（効率的なアルゴリズムの構成例２：図９）
次に、図９に示した効率的なアルゴリズムの構成について説明する。図９に示した構成を適用した場合も、図８に示した構成を適用した場合と同様に、通信効率及び計算効率の向上効果が得られる。但し、ここでは図８に示した構成との差分について述べる。

図８に示したアルゴリズムの工程＃３において、ｄ＝０の場合にσをｗに設定しているが、ｄ＝０の場合に設定されるσは、（ｒ，ｔ，ｅ）が復元できる情報であればどのような情報でもよい。例えば、図９に示すように、工程＃３においてｄ＝０の場合に設定されるσの内容を（ｗ^Ａ，ｔ^Ａ）にしてもよい。但し、この変形を行う場合には、工程＃４において検証者アルゴリズムＶが行う検証内容の一部を変形する必要がある。具体的には、工程＃４においてｄ＝０の場合に検証者アルゴリズムＶが行う検証内容のうち、ｃ_３＝Ｈ_３（ｒ^Ａ＋ｔ^Ｂ，Ｆ（ｒ^Ａ）＋ｅ^Ｂ）の検証がｃ_３＝Ｈ_３（ｔ^Ａ，Ｆ（ｔ^Ａ−ｔ^Ｂ）＋ｅ^Ｂ）の検証に置き換えられる。

以上、効率的なアルゴリズムの構成例２について説明した。

（効率的なアルゴリズムの構成例３：図１０）
次に、図１０に示した効率的なアルゴリズムの構成について説明する。

工程＃１：
証明者アルゴリズムＰは、任意にベクトルｒ，ｔ∈Ｋ^ｎ及びｅ∈Ｋ^ｍを生成する。次いで、証明者アルゴリズムＰは、ｒ^Ａ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ^Ａ←ｒ-ｔを計算する。次いで、証明者アルゴリズムＰは、ｅ^Ａ←Ｆ（ｒ）−ｅを計算する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ_ｂ（ｒ^Ａ，ｔ）＋ｅ，ｒ^Ａ）を計算する。次いで、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｔ，ｅ）を計算する。次いで、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（ｔ^Ａ，ｅ^Ａ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。工程＃１で生成されたメッセージ（ｃ_１，ｃ_２，ｃ_３）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｃ_２，ｃ_３）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃３：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送る返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答σ＝（ｒ，ｔ^Ａ，ｅ^Ａ）を生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答σ＝（ｒ^Ａ，ｔ，ｅ）を生成する。ｄ＝２の場合、証明者アルゴリズムＰは、返答σ＝（ｒ^Ａ，ｔ^Ａ，ｅ^Ａ）を生成する。工程＃３で生成された返答σは、検証者アルゴリズムＶに送られる。

工程＃４：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｒ−ｔ^Ａ，Ｆ（ｒ）−ｅ^Ａ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｔ^Ａ，ｅ^Ａ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ_ｂ（ｒ^Ａ，ｔ）＋ｅ，ｒ^Ａ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（ｔ，ｅ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝２の場合、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（ｙ−Ｆ（ｒ^Ａ）−Ｆ_ｂ（ｔ^Ａ，ｒ^Ａ）−ｅ^Ａ，ｒ^Ａ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（ｔ^Ａ，ｅ^Ａ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、効率的なアルゴリズムの構成例３について説明した。この効率的なアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、Ｆ（ｘ＋ｒ）の計算が必要なくなるため、計算効率も向上する。

（効率的なアルゴリズムの並列化：図１１）
次に、図１１を参照しながら、効率的なアルゴリズムを並列化する方法について説明する。図１１に示した構成（以下、並列化アルゴリズム）は、上記の構成例３に係る効率的なアルゴリズムを並列化したものである。

工程＃１：
証明者アルゴリズムＰは、ｉ＝１〜Ｎについて処理（１）〜処理（６）を実行する。
処理（１）：証明者アルゴリズムＰは、任意にベクトルｒ_ｉ，ｔ_ｉ∈Ｋ^ｎ及びｅ_ｉ∈Ｋ^ｍを生成する。
処理（２）：証明者アルゴリズムＰは、ｒ_ｉ ^Ａ←ｓ−ｒ_ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ_ｉによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ_ｉ ^Ａ←ｒ_ｉ-ｔ_ｉを計算する。
処理（３）：証明者アルゴリズムＰは、ｅ_ｉ ^Ａ←Ｆ（ｒ_ｉ）−ｅ_ｉを計算する。
処理（４）：証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（Ｆ_ｂ（ｒ_ｉ ^Ａ，ｔ_ｉ）＋ｅ_ｉ，ｒ_ｉ ^Ａ）を計算する。
処理（５）：証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｔ_ｉ，ｅ_ｉ）を計算する。
処理（６）：証明者アルゴリズムＰは、ｃ_３，ｉ←Ｈ_３（ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ）を計算する。

工程＃１（続き）
ｉ＝１〜Ｎについて上記の処理（１）〜処理（６）を実行した後、証明者アルゴリズムＰは、Ｃｍｔ←Ｈ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）を計算する。なお、上記のＨ（…）、Ｈ_１（…）、Ｈ_２（…）、Ｈ_３（…）は、ハッシュ関数である。工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。このように、メッセージ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）をハッシュ値に変換してから検証者アルゴリズムＶに送ることで、通信量を削減することが可能になる。

工程＃２：
ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求ｄ_ｉに設定する。これらの要求ｄ_１，…，ｄ_Ｎは、証明者アルゴリズムＰに送られる。

工程＃３：
要求ｄ_１，…，ｄ_Ｎを受け取った証明者アルゴリズムＰは、受け取った要求ｄ_１，…，ｄ_Ｎのそれぞれ応じて検証者アルゴリズムＶに送る返答Ｒｓｐ_１，…，Ｒｓｐ_Ｎを生成する。ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、σ_ｉ＝（ｒ_ｉ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ）を生成する。さらに、証明者アルゴリズムＰは、Ｒｓｐ_ｉ＝（σ_ｉ，ｃ_１，ｉ）を生成する。ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、σ_ｉ＝（ｒ_ｉ ^Ａ，ｔ_ｉ，ｅ_ｉ）を生成する。さらに、証明者アルゴリズムＰは、Ｒｓｐ_ｉ＝（σ_ｉ，ｃ_３，ｉ）を生成する。ｄ_ｉ＝２の場合、証明者アルゴリズムＰは、σ_ｉ＝（ｒ_ｉ ^Ａ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ）を生成する。さらに、証明者アルゴリズムＰは、Ｒｓｐ_ｉ＝（σ_ｉ，ｃ_２，ｉ）を生成する。

工程＃３で生成された返答Ｒｓｐ_１，…，Ｒｓｐ_Ｎは、検証者アルゴリズムＶに送られる。

工程＃４：
返答Ｒｓｐ_１，…，Ｒｓｐ_Ｎを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐ_１，…，Ｒｓｐ_Ｎを利用して以下の処理（１）〜処理（３）をｉ＝１〜Ｎについて実行する。但し、検証者アルゴリズムＶは、ｄ_ｉ＝０の場合に処理（１）を実行し、ｄ_ｉ＝１の場合に処理（２）を実行し、ｄ_ｉ＝２の場合に処理（３）を実行する。

処理（１）：ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、Ｒｓｐ_ｉから（ｒ_ｉ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ，ｃ_１，ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（ｒ_ｉ−ｔ_ｉ ^Ａ，Ｆ（ｒ_ｉ）−ｅ_ｉ ^Ａ）を計算する。さらに、検証者アルゴリズムＶは、ｃ_３，ｉ＝Ｈ_３（ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）を保持する。

処理（２）：ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、Ｒｓｐ_ｉから（ｒ_ｉ ^Ａ，ｔ_ｉ，ｅ_ｉ，ｃ_３，ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（Ｆ_ｂ（ｒ_ｉ ^Ａ，ｔ_ｉ）＋ｅ_ｉ，ｒ_ｉ ^Ａ）を計算する。さらに、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（ｔ_ｉ，ｅ_ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）を保持する。

処理（３）：ｄ_ｉ＝２の場合、検証者アルゴリズムＶは、Ｒｓｐ_ｉから（ｒ_ｉ ^Ａ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ，ｃ_２，ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｙ−Ｆ（ｒ_ｉ ^Ａ）−Ｆ_ｂ（ｔ_ｉ ^Ａ，ｒ_ｉ ^Ａ）−ｅ_ｉ ^Ａ，ｒ_ｉ ^Ａ）を計算する。さらに、検証者アルゴリズムＶは、ｃ_３，ｉ＝Ｈ_３（ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）を保持する。

処理（１）〜処理（３）をｉ＝１〜Ｎについて実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗した場合に認証失敗を示す値０を出力する。

以上、効率的なアルゴリズムの並列化について説明した。なお、図１１に示した並列化アルゴリズムには、メッセージをハッシュ値に変換してから送信する工夫を盛り込んだ。この工夫により、通信効率が向上する。

［２−６：電子署名方式への変形］
ここで、本手法に係る公開鍵認証方式を電子署名方式へと変形する方法を紹介する。なお、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが容易に理解されよう。こうした考えに基づき、本手法に係る公開鍵認証方式を電子署名方式へと変形する方法について説明する。

（２−６−１：変形方法）
ここでは、上記の効率的なアルゴリズムの構成例３を電子署名方式のアルゴリズムに変形する方法を例に挙げて説明する。構成例３に係るアルゴリズムは、図１２に示すように、おおまかに以下の４つの工程＃１〜工程＃４で表現される。

工程＃１は、ａ_ｉ＝（ｒ_ｉ，ｔ_ｉ，ｅ_ｉ，ｒ_ｉ ^Ａ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ，ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。

工程＃２は、ｄ_１，…，ｄ_Ｎを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたｄ_１，…，ｄ_Ｎは、証明者アルゴリズムＰへと送られる。

工程＃３は、ｄ_１，…，ｄ_Ｎ及びａ_１，…，ａ_Ｎを用いてＲｓｐ_１，…，Ｒｓｐ_Ｎを生成する処理で構成される。この処理をＲｓｐ_ｉ←Ｓｅｌｅｃｔ（ｄ_ｉ，ａ_ｉ）と表現する。工程＃３で証明者アルゴリズムＰにより生成されたＲｓｐ_１，…，Ｒｓｐ_Ｎは、検証者アルゴリズムＶへと送られる。

工程＃４は、ｄ_１，…，ｄ_Ｎ及びＲｓｐ_１，…，Ｒｓｐ_Ｎを用いてｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎを再生する処理（１）と、再生したｃ_１，１，ｃ_２，２，ｃ_３，３，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎを用いてＣｍｔ＝Ｈ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）を検証する処理（２）とで構成される。

上記の工程＃１〜工程＃４で表現される公開鍵認証方式のアルゴリズムは、図１２に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。

（署名生成アルゴリズムＳｉｇ）
まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）〜処理（５）で構成される。

処理（１）：署名生成アルゴリズムＳｉｇは、ａ_ｉ＝（ｒ_ｉ，ｔ_ｉ，ｅ_ｉ，ｒ_ｉ ^Ａ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ，ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）を生成する。
処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）を計算する。
処理（３）：署名生成アルゴリズムＳｉｇは、（ｄ_１，…，ｄ_Ｎ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
処理（４）：署名生成アルゴリズムＳｉｇは、Ｒｓｐ_ｉ←Ｓｅｌｅｃｔ（ｄ_ｉ，ａ_ｉ）を計算する。
処理（５）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，Ｒｓｐ_１，…，Ｒｓｐ_Ｎ）を署名に設定する。

（署名検証アルゴリズムＶｅｒ）
次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）〜処理（３）で構成される。

処理（１）：署名検証アルゴリズムＶｅｒは、（ｄ_１，…，ｄ_Ｎ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
処理（２）：署名検証アルゴリズムＶｅｒは、ｄ_１，…，ｄ_Ｎ及びＲｓｐ_１，…，Ｒｓｐ_Ｎを用いてｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎを生成する。
処理（３）：署名検証アルゴリズムＶｅｒは、再生したｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎを用いてＣｍｔ＝Ｈ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）を検証する。

以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムに変形することができる。

（２−６−２：電子署名アルゴリズムの効率化）
さて、図１３に示した署名生成アルゴリズムＳｉｇの構成に注目すると、処理（２）及び処理（３）でハッシュ値の計算を行っていることに気づくであろう。また、署名検証アルゴリズムＶｅｒの構成に注目すると、処理（１）において、署名生成アルゴリズムＳｉｇの処理（３）と同じハッシュ値の計算を行っていることに気づくであろう。これらの処理に注目し、図１３に示すように署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒの構成を改良することで、さらに計算効率を向上させることができる。

（署名生成アルゴリズムＳｉｇ）
まず、改良後の署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）〜処理（４）で構成される。

処理（１）：署名生成アルゴリズムＳｉｇは、ａ_ｉ＝（ｒ_ｉ，ｔ_ｉ，ｅ_ｉ，ｒ_ｉ ^Ａ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ，ｃ_１，ｉ，ｃ_２，ｉ，ｃ_３，ｉ）を生成する。
処理（２）：署名生成アルゴリズムＳｉｇは、（ｄ_１，…，ｄ_Ｎ）←Ｈ（Ｍ，ｃ_１，１，ｃ_２，２，ｃ_３，３，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）を計算する。このＭは、署名を付与する文書である。
処理（３）：署名生成アルゴリズムＳｉｇは、Ｒｓｐ_ｉ←Ｓｅｌｅｃｔ（ｄ_ｉ，ａ_ｉ）を計算する。
処理（４）：署名生成アルゴリズムＳｉｇは、（ｄ_１，…，ｄ_Ｎ，Ｒｓｐ_１，…，Ｒｓｐ_Ｎ）を署名に設定する。

（署名検証アルゴリズムＶｅｒ）
次に、改良後の署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）及び処理（２）で構成される。

処理（１）：署名検証アルゴリズムＶｅｒは、ｄ_１，…，ｄ_Ｎ及びＲｓｐ_１，…，Ｒｓｐ_Ｎを用いてｃ_１，１，ｃ_２，２，ｃ_３，３，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎを生成する。
処理（２）：署名検証アルゴリズムＶｅｒは、再生したｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎを用いて（ｄ_１，…，ｄ_Ｎ）＝Ｈ（Ｍ，ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）を検証する。

上記のように署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒの構成を改良することにより、各アルゴリズムにおいてハッシュ値の計算が１回ずつ削減される。その結果、さらに計算効率を向上させることができる。

［２−７：多次多変数連立方程式の形式］
これまで説明してきたように、本手法は、多次多変数連立方程式の求解問題に対する解答の困難性に安全性の根拠をおく方式である。また、本手法は、複雑な多次多変数連立方程式を利用可能な点に特徴がある。ここまでの説明においては多次多変数連立方程式の形式に特別な限定を行ってこなかったが、例えば、十分に困難性が補償されている暗号要素技術を表現に含む多次多変数連立方程式を利用することが好ましい。以下、本手法に適用可能な多次多変数連立方程式の具体例を紹介する。

（２−７−１：共通鍵ブロック暗号に関する形式）
ＡＥＳ、ＤＥＳ、ＫＡＴＡＮなどの共通鍵ブロック暗号技術は、よく解析され、安全性及び信頼性が高い要素技術である。これらの共通鍵ブロック暗号は、共通鍵ブロック暗号の鍵、平文、暗号文を変数とする多次多変数連立方程式により表現することができる。この多次多変数連立方程式において平文と暗号文を表現する変数に値を与えると、この多次多変数連立方程式は、鍵を表現する変数だけを変数に持つ方程式になる。

このような共通鍵ブロック暗号を表現した多次多変数連立方程式の解を求めることは、平文と暗号文から共通鍵ブロック暗号の鍵を復元することに相当する。つまり、その共通鍵ブロック暗号の安全性が維持されている限りにおいて、その共通鍵ブロック暗号を表現した多次多変数連立方程式の求解困難性は担保される。そのため、ある共通鍵ブロック暗号方式を表現する多次多変数連立方程式を本手法に適用するならば、共通鍵ブロック暗号方式の安全性と同等の安全性を具備した公開鍵認証方式が実現される。

但し、共通鍵ブロック暗号を、鍵、平文、暗号文を変数とする多次多変数連立方程式で表現した場合、多項式の次数が大きくなるため、連立方程式を表現するためのデータサイズが増大してしまう。そこで、鍵、平文、暗号文に加え、それぞれのラウンドにおける内部状態を表現するための変数を導入する。この変数を導入すれば、共通鍵ブロック暗号を表現する多次多変数連立方程式の次数を小さくすることができる。例えば、平文と暗号文を表現する変数に適当な値を代入し、鍵と内部状態を表現するための変数に関する連立方程式を導入する。このような方法を採用することにより、変数の数は増加するが、次数が下がるため、連立方程式の表現はコンパクトになる。

（２−７−２：ハッシュ関数に関する形式）
同様に、ＳＨＡ−１、ＳＨＡ−２５６などのハッシュ関数に関する多次多変数連立方程式を本手法に適用することも可能である。これらのハッシュ関数は、ハッシュ関数の入力となるメッセージと出力となるハッシュ値を変数とする多次多変数連立方程式で表現することができる。この多次多変数連立方程式において、ハッシュ値を表現する変数に適当な値を与えると、対応する入力を表現した変数に関する多次多変数連立方程式が得られる。

このような多次多変数連立方程式の解を求めることは、ハッシュ値から、元になるメッセージの値を復元することに相当する。つまり、そのハッシュ関数の安全性（一方向性）が維持されている限りにおいて、そのハッシュ関数を表現した多次多変数連立方程式の求解問題に対する解答の困難性は担保される。そのため、あるハッシュ関数を表現した多次多変数連立方程式を本手法に適用すれば、ハッシュ関数の安全性に基づく公開鍵認証方式が実現される。

但し、入力メッセージ及びハッシュ値を変数とする多次多変数連立方程式でハッシュ関数を表現した場合には多項式の次数が大きくなるため、連立方程式を表現するためのデータサイズが増大してしまう。そこで、入力メッセージとハッシュ値に加え、内部状態を表現するための変数を導入する。この変数を導入すれば、ハッシュ関数を表現する多次多変数連立方程式の次数を小さくすることができる。例えば、ハッシュ値を表現する変数に適用な値を代入し、入力メッセージ及び内部状態を表現するための変数に関する連立方程式を導入する。このような方法を採用することにより、変数の数は増加するが、次数が下がるため、連立方程式の表現はコンパクトになる。

（２−７−３：ストリーム暗号に関する形式）
同様に、Ｔｒｉｖｉｕｍなどのストリーム暗号に関する多次多変数連立方程式を本手法に適用することも可能である。これらのストリーム暗号は、ストリーム暗号の初期の内部状態を表現する変数及び出力されるストリームを表現する変数に関する多次多変数連立方程式で表現することが可能である。この場合、出力ストリームを表現する変数に適当な値を与えると、対応する初期の内部状態を表現するための変数に関する多次多変数連立方程式が得られる。

このような多次多変数連立方程式の解を求めることは、出力されたストリームの値から、元になった初期の内部状態を表現する変数を復元することに相当する。つまり、そのストリーム暗号の安全性が確保されている限りにおいて、そのストリーム暗号を表現した多次多変数連立方程式の求解問題に対する解答の困難性は担保されている。そのため、あるストリーム暗号を表現した多次多変数連立方程式を本手法に適用すれば、ストリーム暗号の安全性に基づく公開鍵認証方式が実現される。

但し、初期の内部状態と出力ストリームを変数とする多次多変数連立方程式でストリーム暗号を表現した場合、多項式の次数が大きくなり、連立方程式を表現するサイズが増大してしまう。そこで、初期の内部状態と出力ストリームに加え、それぞれのラウンドにおける内部状態を表現するための変数を導入する。この変数を導入すれば、ストリーム暗号を表現するための多次多変数連立方程式の次数を小さくすることが可能になる。例えば、出力ストリームを表現する変数に適当な値を代入し、初期の内部状態とラウンドにおける内部状態を表現するための変数に関する連立方程式を導入する。このような方法を採用することにより、変数の数は増加するが、次数が下がるため、連立方程式の表現はコンパクトになる。

以上、本手法に適用可能な多次多変数連立方程式の具体例について説明した。

［２−８：直列・並列ハイブリッドアルゴリズム］
偽証が成功する確率を無視できる程度にまで小さくするために、対話プロトコルを複数回実行する必要性については既に説明した通りである。また、対話プロトコルを複数回実行する方法として、直列的な方法と並列的な方法とを紹介した。特に、並列的な方法については、具体的な並列化アルゴリズムを示して説明した。ここでは、直列的な方法と並列的な方法とを組み合わせたハイブリッドタイプのアルゴリズムを紹介する。

（ハイブリッド構成１）
図１４を参照しながら、ハイブリッドタイプのアルゴリズム（以下、並直列アルゴリズム）について説明する。図１４には、本手法に係る基本構成、この基本構成を直列化した直列化アルゴリズム、並列化した並列化アルゴリズム、及び並直列アルゴリズムを示した。

基本構成では、１パス目にメッセージ（ｃ_１，ｃ_２，ｃ_３）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと要求ｄが送られる。３パス目では、証明者から検証者へと返答σが送られる。

上記の基本構成を並列化した場合、１パス目では、Ｎ回分のメッセージ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）が証明者から検証者へと送られる。２パス目では、検証者から証明者へとＮ回分の要求（ｄ_１，…，ｄ_Ｎ）が送られる。３パス目では、証明者から検証者へとＮ回分の返答（σ_１，…，σ_Ｎ）が送られる。本手法に係る並列化アルゴリズムは、受動的攻撃に対する安全性が保証される。また、対話の回数が３回で済む。さらに、１パス目で送信されるＮ回分のメッセージを１つのハッシュ値に纏めることにより、通信効率を向上させることができる。

一方、上記の基本構成を直列化した場合、１パス目では、１回分のメッセージ（ｃ_１，１，ｃ_２，１，ｃ_３，１）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の要求ｄ_１が送られる。３パス目では、証明者から検証者へと１回分の返答σ_１が送られる。４パス目では、１回分のメッセージ（ｃ_１，２，ｃ_２，２，ｃ_３，２）が証明者から検証者へと送られる。５パス目では、検証者から証明者へと１回分の要求ｄ_２が送られる。６パス目では、証明者から検証者へと１回分の返答σ_２が送られる。同様にして、証明者から検証者へと返答σ_Ｎが送られるまで対話が繰り返し実行される。直列化アルゴリズムは、能動的攻撃に対する安全性が保証される。また、偽証確率が確実に削減されることを証明することが可能である。

さて、並直列アルゴリズムは、並列化アルゴリズムの性質と直列化アルゴリズムの性質とを併せ持つアルゴリズムである。図１４に示した並直列アルゴリズムでは、１パス目で、Ｎ回分のメッセージ（ｃ_１，１，ｃ_２，１，ｃ_３，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の要求ｄ_１が送られる。３パス目では、証明者から検証者へと１回分の返答σ_１が送られる。その後、証明者と検証者との間で要求ｄ_２，…，ｄ_Ｎ及び返答σ_２，…，σ_Ｎのやり取りが行われる。

本手法に基づく並直列アルゴリズムの場合、受動的攻撃に対する安全性が保証される。また、対話の回数が２Ｎ＋１回で済む。さらに、１パス目で送信されるＮ回分のメッセージを１つのハッシュ値に纏めることにより、通信効率を向上させることができる。

（ハイブリッド構成２）
図１５を参照しながら、他のハイブリッドタイプのアルゴリズム（以下、直並列アルゴリズム）について説明する。図１５には、本手法に係る基本構成、この基本構成を直列化した直列化アルゴリズム、並列化した並列化アルゴリズム、及び直並列アルゴリズムを示した。なお、基本構成、直列化アルゴリズム、並列化アルゴリズムの構成及び性質については、上記の通りである。

図１５に示した直並列アルゴリズムは、並列化アルゴリズムの性質と直列化アルゴリズムの性質とを併せ持つアルゴリズムである。図１５に示した直並列アルゴリズムでは、１パス目で、１回分のメッセージ（ｃ_１，１，ｃ_２，１，ｃ_３，１）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の要求ｄ_１が送られる。その後、証明者と検証者との間でメッセージ（ｃ_１，２，ｃ_２，２，ｃ_３，２），…，（ｃ_１，Ｎ，ｃ_２，Ｎ，ｃ_３，Ｎ）及び要求ｄ_２，…，ｄ_Ｎのやり取りが行われる。要求ｄ_Ｎが検証者から証明者へと送られた後、証明者から検証者へとＮ回分の返答σ_１，…，σ_Ｎが送られる。

本手法に基づく直並列アルゴリズムの場合、能動的攻撃に対する安全性が保証される。また、対話の回数が２Ｎ＋１回で済む。

以上、本手法に基づくハイブリッドタイプのアルゴリズムについて説明した。

以上、本技術の第１実施形態について説明した。

＜３：第２実施形態＞
次に、本技術の第２実施形態について説明する。これまで３パスの公開鍵認証方式について説明してきた。本実施形態では、５パスの公開鍵認証方式（以下、本手法）について説明する。本手法は、検証者の検証パターンを２ｑ通りにすることにより、公開鍵認証方式の健全性を確保する方式である。

なお、上記の第１実施形態に係る３パスの公開鍵認証方式は、対話プロトコル１回当たりの偽証確率が２／３であったが、本手法では、後述するように対話プロトコル１回当たりの偽証確率は１／２＋１／ｑとなる。但し、ｑは、利用する環の位数である。従って、環の位数が十分に大きい場合、図３９に示すように、本手法の方が１回当たりの偽証確率を低減することが可能になり、少ない対話プロトコルの実行回数で、偽証確率を十分に小さくすることができる。

５パスの公開鍵認証方式に係る対話プロトコルは、３パスの公開鍵認証方式に係る対話プロトコルよりも効率が低いように思われるかもしれない。しかし、５パスの公開鍵認証方式においては、環の位数を十分に大きくとった場合、対話プロトコル１回当たりの偽証確率が１／２に近くなるため、同じセキュリティレベルを達成するために必要な対話プロトコルの実行回数が少なくて済む。

例えば、偽証確率を１／２^ｎ以下にしたい場合、３パスの公開鍵認証方式においては、ｎ／（ｌｏｇ３−１）＝１．７０１ｎ回以上、対話プロトコルを実行する必要がある。一方、５パスの公開鍵認証方式においては、ｎ／（１−ｌｏｇ（１＋１／ｑ））回以上、対話プロトコルを実行する必要がある。図３９に示すように、例えば、ｑ＝２４にすれば、同じセキュリティレベルを実現するのに必要な通信量は、３パスの公開鍵認証方式に比べ、５パスの公開鍵認証方式の方が少なくなる。

［３−１：公開鍵認証方式のアルゴリズム］
以下、図１６を参照しながら、５パスの公開鍵認証方式（本手法）に係るアルゴリズム構成について説明する。図１６は、本手法に係るアルゴリズムの構成について説明するための説明図である。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多次多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）と、ベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←ｆ_１（ｓ），…，ｆ_ｍ（ｓ）を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１，…，ｆ_ｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、多変数多次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記する。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１６を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶが実行する処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図１６に示したフローチャートに沿って説明を進める。

工程＃１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗを適用してベクトルｒ∈Ｋ^ｎと、ｎ変数多項式の組Ｆ^Ａ（ｘ）＝（ｆ_１ ^Ａ（ｘ），…，ｆ_ｍ ^Ａ（ｘ））を生成する。つまり、証明者アルゴリズムＰは、（ｒ，Ｆ^Ａ）←Ｇ（ｗ）を計算する。次いで、証明者アルゴリズムＰは、ｚ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、Ｆ^Ａ（ｚ）及びｚのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ^Ａ（ｚ），ｚ）を計算する。また、証明者アルゴリズムＰは、数ｗのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）は、ハッシュ関数である。工程＃１で生成されたメッセージ（ｃ_１，ｃ_２）は、検証者に送られる。このとき、ｓに関する情報、ｒに関する情報、ｚに関する情報が検証者に一切漏れない点に注意されたい。

工程＃２：
検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数αを選択し、選択した数αを証明者アルゴリズムＰに送る。

工程＃３：
数αを受け取った証明者アルゴリズムＰは、Ｆ^Ｂ（ｘ）←αＦ（ｘ＋ｒ）＋Ｆ^Ａ（ｘ）を計算する。この計算は、ｘに関して多変数多項式Ｆ（ｘ＋ｒ）を多変数多項式Ｆ^Ａ（ｘ）によりマスクする操作に相当する。工程＃３で生成された多変数多項式Ｆ^Ｂは、検証者アルゴリズムＶに送られる。このとき、ｄ＝０の場合にはｚに関する情報が検証者に一切漏れておらず、ｄ＝１の場合にはｒに関する情報が検証者に一切漏れない点に注意されたい。

工程＃４：
多変数多項式Ｆ^Ｂを受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃５：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送り返す返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答σ＝ｗを生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答σ＝ｚを生成する。工程＃５で生成された返答σは、検証者アルゴリズムＶに送られる。

工程＃６：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ^Ａ，Ｆ^Ｃ）←Ｇ（σ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（σ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、Ｆ^Ｂ（ｘ）＝αＦ（ｘ＋ｒ^Ａ）＋Ｆ^Ｃ（ｘ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、ｚ^Ａ←σを計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ^Ｃ（ｚ^Ａ）−αｙ，ｚ^Ａ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法に係る各アルゴリズムの構成について説明した。

（本手法における健全性について）
本手法の健全性は、証明者アルゴリズムＰが（ｃ_１，ｃ_２）、及び、検証者アルゴリズムＶが選択する２通りの（α_１，α_２）について、要求ｄ＝０及び１に正しく回答した場合に、その回答内容から下記の式（１５）〜式（１７）を満たすＦ_１ ^Ｄ、Ｆ_２ ^Ｄ、Ｆ^Ｃ、ｒ^Ａ、ｚ^Ａを計算できるということから保証されている。

本手法の健全性が保証されることにより、多次多変数連立方程式の求解問題を解かない限りにおいて１／２＋１／ｑより高い確率で偽証することは不可能であることが保証される。つまり、検証者の要求ｄ＝０及び１の全てに正しく回答するためには、偽証者が上記の式（１５）〜式（１７）を満たすＦ_１ ^Ｄ、Ｆ_２ ^Ｄ、Ｆ^Ｃ、ｒ^Ａ、ｚ^Ａを計算できる必要がある。言い換えると、偽証者はＦ（ｓ）＝ｙを満たすｓを計算できる必要がある。従って、多次多変数連立方程式の求解問題を解かない限り、偽証者は、１／２＋１／ｑより高い確率で偽証を成功させることができないのである。なお、上記の対話プロトコルを十分に多くの回数実行することにより、偽証の成功確率を無視できるほど小さくすることができる。

（変形例）
上記の鍵生成アルゴリズムＧｅｎは、ｙ←Ｆ（ｓ）を計算し、公開鍵を（Ｆ，ｙ）に設定している。しかし、鍵生成アルゴリズムＧｅｎは、（ｙ_１，…，ｙ_ｍ）←Ｆ（ｓ）として、（ｆ_１ ^＊（ｘ），…，ｆ_ｍ ^＊（ｘ））←（ｆ_１（ｘ）−ｙ_１，…，ｆ_ｍ（ｘ）−ｙ_ｍ）を計算し、公開鍵を（ｆ_１ ^＊，…，ｆ_ｍ ^＊）に設定するように構成されていてもよい。このように変形すると、証明者アルゴリズムＰと検証者アルゴリズムＶとの間でｙ＝０として対話プロトコルを実行することが可能になる。

また、証明者アルゴリズムＰは、Ｆ^Ｂ（ｚ）のハッシュ値と、ｚのハッシュ値とを別々に計算し、それぞれをメッセージとして検証者に送るようにしてもよい。

また、上記の証明者アルゴリズムＰは、数ｗに擬似乱数生成器Ｇ_１を適用してベクトルｒ及び数ｗ^Ａを生成していた。さらに、上記の証明者アルゴリズムＰは、数ｗ^Ａを擬似乱数生成器Ｇ_２に適用して多変数多項式Ｆ^Ａ（ｘ）を生成していた。しかし、証明者アルゴリズムＰは、Ｇ_１を恒等写像とし、最初からｗ＝（ｒ，Ｆ^Ａ）を算出するように構成されていてもよい。この場合、数ｗをＧ_１に適用する必要はない。Ｇ_２についても同様である。

以上、本手法の変形例について説明した。

［３−２：拡張アルゴリズム］
次に、図１７を参照しながら、本手法を拡張した公開鍵認証方式（以下、拡張手法）のアルゴリズムについて説明する。図１７は、拡張手法に基づく対話プロトコルの流れについて説明するための説明図である。

ここで説明する拡張手法は、３パス目に送信する多変数多項式Ｆ^Ｂを１つのハッシュ値ｃ_３に変換して検証者に送る方式である。このように拡張することで、対話プロトコルの中で表現サイズの大きい多変数多項式Ｆ^Ｂを検証者アルゴリズムＶに送る際の通信量を半減することが可能になり、やり取りすべき平均的なデータサイズを削減することができる。以下、拡張方式における各アルゴリズムの構成について詳細に説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多次多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１，…，ｆ_ｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、多変数多次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記する。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１７を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶが実行する処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図１７に示したフローチャートに沿って説明を進める。

工程＃１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗを適用してベクトルｒ∈Ｋ^ｎ及び多変数多項式Ｆ^Ａ（ｘ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ，Ｆ^Ａ）←Ｇ（ｗ）を計算する。次いで、証明者アルゴリズムＰは、ｚ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、Ｆ^Ａ（ｚ）及びｚのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ^Ａ（ｚ），ｚ）を計算する。また、証明者アルゴリズムＰは、数ｗのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）は、ハッシュ関数である。工程＃１で生成されたメッセージ（ｃ_１，ｃ_２）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｃ_２）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数αを選択し、選択した数αを証明者アルゴリズムＰに送る。

工程＃３：
数αを受け取った証明者アルゴリズムＰは、Ｆ^Ｂ（ｘ）←αＦ（ｘ＋ｒ）＋Ｆ^Ａ（ｘ）を計算する。この計算は、ｘについて多変数多項式Ｆ（ｘ＋ｒ）を多変数多項式Ｆ^Ａ（ｘ）によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、多変数多項式の組Ｆ^Ｂのハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（Ｆ^Ｂ（ｘ））を計算する。なお、上記のＨ_３（…）は、ハッシュ関数である。工程＃３で生成されたメッセージｃ_３は、検証者に送られる。

工程＃４：
メッセージｃ_３を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃５：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送り返す返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答σ＝ｗを生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答σ＝（ｚ，Ｆ^Ｂ）を生成する。工程＃５で生成された返答σは、検証者アルゴリズムＶに送られる。

工程＃６：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ^Ａ，Ｆ^Ｃ）←Ｇ（σ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（σ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（αＦ（ｘ＋ｒ^Ａ）＋Ｆ^Ｃ（ｘ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、（ｚ^Ａ，Ｆ^Ｃ）←σを計算する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ^Ｃ（ｚ^Ａ）−αｙ，ｚ^Ａ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（Ｆ^Ｃ（ｘ））の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、拡張方式の対話プロトコルの中で各アルゴリズムが実行する処理について説明した。このように拡張することで、対話プロトコルの中で表現サイズの大きい多変数多項式Ｆ^Ｂを検証者アルゴリズムＶに送る際の通信量を半減することが可能になり、やり取りすべき平均的なデータサイズを削減することができる。

［３−３：並列化アルゴリズム］
さて、先に述べた通り、本手法又は拡張手法に係る対話プロトコルを適用すれば、偽証が成功する確率を（１／２＋１／ｑ）以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（１／２＋１／ｑ）^２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（１／２＋１／ｑ）^Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝８０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。

対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。ここでは、本手法に係る対話プロトコルを並列的な方法に係る対話プロトコル（以下、並列化アルゴリズム）に拡張する方法について説明する。例えば、並列化アルゴリズムは図１８のようになる。以下、図１８を参照しながら、並列化アルゴリズムの内容について説明する。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多次多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１，…，ｆ_ｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、多変数多次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記する。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図１８を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。

上記の対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図１８に示したフローチャートに沿って説明を進める。

工程＃１：
まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（５）を実行する。
処理（１）：証明者アルゴリズムＰは、任意に数ｗ_ｉを選択する。
処理（２）：証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗ_ｉを適用してベクトルｒ_ｉ∈Ｋ^ｎ及び多項式の組Ｆ_ｉ ^Ａ（ｘ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ_ｉ，Ｆ_ｉ ^Ａ）←Ｇ（ｗ_ｉ）を計算する。
処理（３）：証明者アルゴリズムＰは、ｚ_ｉ←ｓ−ｒ_ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ_ｉによりマスクする操作に相当する。
処理（４）：証明者アルゴリズムＰは、Ｆ_ｉ ^Ａ（ｚ_ｉ）及びｚ_ｉのハッシュ値ｃ_１，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（Ｆ_ｉ ^Ａ（ｚ_ｉ），ｚ_ｉ）を計算する。
処理（５）：証明者アルゴリズムＰは、数ｗ_ｉ ^Ａのハッシュ値ｃ_２，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｗ_ｉ ^Ａ）を計算する。

ｉ＝１〜Ｎについて、上記の処理（１）〜処理（５）が実行された後、工程＃１で生成されたメッセージ（ｃ_１，ｉ，ｃ_２，ｉ）（ｉ＝１〜Ｎ）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｉ，ｃ_２，ｉ）（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムにＮ個の数α_１，…，α_Ｎを選択する。そして、検証者アルゴリズムＶは、選択した数α_１，…，α_Ｎを証明者アルゴリズムＰに送る。

工程＃３：
数α_１，…，α_Ｎを受け取った証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、Ｆ_ｉ ^Ｂ（ｘ）←α_ｉＦ（ｘ＋ｒ_ｉ）＋Ｆ_ｉ ^Ａ（ｘ）を計算する。この計算は、ｘに関して多変数多項式Ｆ（ｘ＋ｒ_ｉ）を多変数多項式Ｆ_ｉ ^Ａ（ｘ）によりマスクする操作に相当する。そして、証明者アルゴリズムＰは、多変数多項式Ｆ_１ ^Ｂ，…，Ｆ_Ｎ ^Ｂを検証者アルゴリズムＶに送る。

工程＃４：
多変数多項式Ｆ_１ ^Ｂ，…，Ｆ_Ｎ ^Ｂを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ｄ_ｉに設定する。この要求ｄ_ｉは証明者アルゴリズムＰに送られる。

工程＃５：
要求ｄ_ｉ（ｉ＝１〜Ｎ）を受け取った証明者アルゴリズムＰは、受け取った要求ｄ_ｉに応じて検証者アルゴリズムＶに送り返す返答σ_ｉを生成する。ここで、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）及び処理（２）を実行する。
処理（１）：ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、返答σ_ｉ＝ｗ_ｉを生成する。
処理（２）：ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、返答σ_ｉ＝ｚ_ｉを生成する。
上記の処理（１）及び処理（２）の処理が実行された後、返答σ_ｉ（ｉ＝１〜Ｎ）は、検証者アルゴリズムＶに送られる。

工程＃６：
返答σ_ｉ（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。なお、以下の処理は、ｉ＝１〜Ｎについて実行される。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ_ｉ ^Ａ，Ｆ_ｉ ^Ｃ）←Ｇ（σ_ｉ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（σ_ｉ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、Ｆ_ｉ ^Ｂ（ｘ）＝α_ｉＦ（ｘ＋ｒ_ｉ ^Ａ）＋Ｆ_ｉ ^Ｃ（ｘ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、ｚ_ｉ ^Ａ←σ_ｉを計算する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（Ｆ_ｉ ^Ｃ（ｚ_ｉ ^Ａ）−α_ｉｙ，ｚ_ｉ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法の対話プロトコルを並列的に実行する方法について説明した。上記のように、本手法の対話プロトコルを繰り返し実行することにより、偽証が成功する確率を無視できる程度まで低減させることが可能になる。なお、拡張方式についても同様にして並列化することが可能である。

（変形例）
上記の工程＃１の後、メッセージ（ｃ_１，１，ｃ_１，２，…，ｃ_Ｎ，１，ｃ_Ｎ，２）を検証者アルゴリズムＶに送信する代わりに、メッセージをハッシュ値Ｈ（ｃ_１，１，ｃ_１，２，…，ｃ_Ｎ，１，ｃ_Ｎ，２）にまとめて送信するように対話プロトコルの構成を変形してもよい。この変形を適用すると、１パス目で送るメッセージが１つのハッシュ値だけとなり、大幅に通信量を削減することが可能になる。但し、証明者アルゴリズムＰから送られる情報を用いても検証者アルゴリズムＶにより復元できないメッセージが存在するため、返答が送られる際に、そのメッセージも送られるようにする必要がある。なお、この構成によると、Ｎ回の並列的繰り返し構成の場合、送るべき情報の数をＮ−１個削減することが可能になる。

（拡張方式に係る並列化アルゴリズムについて）
ここで、図１９を参照しながら、拡張方式に係る並列化アルゴリズムの構成について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については本手法に係る並列化アルゴリズムと同じであるため、詳細な説明を省略する。

工程＃１：
まず、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）〜処理（５）を実行する。
処理（１）：証明者アルゴリズムＰは、任意に数ｗ_ｉを選択する。
処理（２）：証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗ_ｉを適用してベクトルｒ_ｉ∈Ｋ^ｎ及び多変数多項式の組Ｆ_ｉ ^Ａ（ｘ）を生成する。つまり、証明者アルゴリズムＰは、（ｒ_ｉ，Ｆ_ｉ ^Ａ）←Ｇ（ｗ_ｉ）を計算する。
処理（３）：証明者アルゴリズムＰは、ｚ_ｉ←ｓ−ｒ_ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ_ｉによりマスクする操作に相当する。
処理（４）：証明者アルゴリズムＰは、Ｆ_ｉ ^Ａ（ｚ_ｉ）及びｚ_ｉのハッシュ値ｃ_１，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（Ｆ_ｉ ^Ａ（ｚ_ｉ），ｚ_ｉ）を計算する。
処理（５）：証明者アルゴリズムＰは、数ｗ_ｉのハッシュ値ｃ_２，ｉを生成する。つまり、証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｗ_ｉ）を計算する。

ｉ＝１〜Ｎについて、上記の処理（１）〜処理（５）が実行された後、工程＃１で生成されたメッセージ（ｃ_１，ｉ，ｃ_２，ｉ）（ｉ＝１〜Ｎ）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｉ，ｃ_２，ｉ）（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムにＮ個の数α_１，…，α_Ｎを選択する。そして、検証者アルゴリズムＶは、選択した数α_１，…，α_Ｎを証明者に送る。

工程＃３：
数α_１，…，α_Ｎを受け取った証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、Ｆ_ｉ ^Ｂ（ｘ）←α_ｉＦ（ｘ＋ｒ_ｉ）＋Ｆ_ｉ ^Ａ（ｘ）を計算する。この計算は、ｘに関して多変数多項式Ｆ（ｘ＋ｒ_ｉ）を多変数多項式Ｆ_ｉ ^Ａ（ｘ）によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、多変数多項式Ｆ_１ ^Ｂ，…，Ｆ_Ｎ ^Ｂのハッシュ値ｃ_３を生成する。つまり、証明者アルゴリズムＰは、ｃ_３←Ｈ_３（Ｆ_１ ^Ｂ，…，Ｆ_Ｎ ^Ｂ）を計算する。なお、上記のＨ_３（…）は、ハッシュ関数である。工程＃３で生成されたメッセージｃ_３は、検証者アルゴリズムＶに送られる。

工程＃４：
メッセージｃ_３を受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ｄ_ｉに設定する。この要求ｄ_ｉは証明者アルゴリズムＰに送られる。

工程＃５：
要求ｄ_ｉ（ｉ＝１〜Ｎ）を受け取った証明者アルゴリズムＰは、受け取った要求ｄ_ｉに応じて検証者アルゴリズムＶに送り返す返答σ_ｉを生成する。ここで、証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、以下の処理（１）及び処理（２）を実行する。
処理１：ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、返答σ_ｉ＝ｗ_ｉを生成する。
処理２：ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、返答σ_ｉ＝（ｚ_ｉ，Ｆ_ｉ ^Ｂ）を生成する。
上記の処理（１）及び処理（２）の処理が実行された後、返答σ_ｉ（ｉ＝１〜Ｎ）は、検証者アルゴリズムＶに送られる。

工程＃６：
返答σ_ｉ（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。なお、以下の処理は、ｉ＝１〜Ｎについて実行される。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ_ｉ ^Ａ，Ｆ_ｉ ^Ｃ）←Ｇ（σ_ｉ）を計算する。さらに、検証者アルゴリズムＶは、Ｆ_ｉ ^Ｄ←α_ｉＦ（ｘ＋ｒ_ｉ ^Ａ）＋Ｆ_ｉ ^Ｃ（ｘ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（σ_ｉ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（Ｆ_１ ^Ｄ，…，Ｆ_Ｎ ^Ｄ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｚ_ｉ ^Ａ，Ｆ_ｉ ^Ｄ）←σ_ｉとする。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（Ｆ_ｉ ^Ｄ（ｚ_ｉ ^Ａ）−α_ｉｙ，ｚ_ｉ ^Ａ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_３＝Ｈ_３（Ｆ_１ ^Ｄ，…，Ｆ_Ｎ ^Ｄ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、拡張方式に係る並列化アルゴリズムの構成について説明した。

（好適なパラメータの設定方法について）
さて、上記の第１実施形態に係る対話プロトコルと同様、本実施形態に係る対話プロトコルは、受動的攻撃に対する安全性レベルを保証している。しかし、この対話プロトコルを並列的に繰り返し実行する上記の方法を適用した場合、能動的攻撃に対する安全性レベルが確実に保証されているということを証明するには、以下で説明するような条件が必要になる。

上記の対話プロトコルは、１組の鍵ペア（公開鍵ｙ、秘密鍵ｓ）を用い、秘密鍵ｓの情報を検証者に一切漏らさず、「証明者がｙ＝Ｆ（ｓ）となるｓを知っていること」を対話を通じて証明者が検証者に証明するというものである。そのため、検証で受理される対話を行った場合、「対話の際に証明者がｓを用いた」という情報を検証者に知られてしまう可能性が否定できない。また、多変数多項式Ｆには衝突困難性が保証されてない。そのため、上記の対話プロトコルを並列的に繰り返し実行する場合、能動的攻撃に対する安全性が確実に保証されているということを無条件で証明することは難しい。

そこで、本件発明者は、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにする方法について検討した。そして、本件発明者は、上記の対話プロトコルを並列的に繰り返し実行する場合でも、能動的攻撃に対する安全性が確実に保証されていることを証明できるようにする方法を考案した。この方法は、公開鍵として用いるｎ変数多次多項式ｆ_１，…，ｆ_ｍの本数ｍを変数の数ｎよりも十分に小さな値に設定するという設定条件を課す方法である。例えば、２^ｍ−ｎ≪１となるようにｍ及びｎが設定される（例えば、ｎ＝１６０、ｍ＝８０の場合２^−８０≪１である。）。

上記のような多次多変数方程式の求解問題に対する解答の困難性に安全性の根拠をおく方式において、秘密鍵ｓ_１と、それに対応する公開鍵ｐｋとが与えられても、その公開鍵ｐｋに対応する別の秘密鍵ｓ_２を生成することは難しい。そのため、公開鍵ｐｋに対する秘密鍵ｓが２つ以上存在することを保証すれば、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにすることが可能になる。つまり、この保証が可能になれば、対話プロトコルを並列的に繰り返し実行する場合においても、能動的攻撃に対する安全性を保証することが可能になる。

図４０を参照しながら、ｍ本のｎ変数多次多項式で構成される関数Ｆ：Ｋ^ｎ→Ｋ^ｍについて考えると（但し、ｎ＞ｍ）、２つ目の原像を持たない定義域の要素数は、最大で｜Ｋ｜^ｍ−１個しか存在しない。そのため、｜Ｋ｜^ｍ−ｎを十分に小さくすると、２つ目の原像を持たない定義域の要素が選択される確率を無視できる程度まで小さくすることができる。つまり、ｎ変数多次多項式ｆ_１，…，ｆ_ｍの数ｍがその変数の数ｎよりも十分に小さな値に設定されていれば、公開鍵ｐｋに対して２つ以上の秘密鍵ｓが存在することを保証できる。その結果、検証で受理される対話を行った場合においても、「対話の際に証明者がｓを用いた」という情報を検証者に知られないようにすることが可能になり、対話プロトコルを並列的に繰り返し実行する場合においても、能動的攻撃に対する安全性が保証される。

以上説明したように、ｎ変数多次多項式ｆ_１，…，ｆ_ｍの数ｍがその変数の数ｎよりも小さな値（ｎ＞ｍ；好ましくは２^ｍ−ｎ≪１）に設定する設定条件を課すことで、対話プロトコルを並列的に繰り返し実行する場合の安全性を保証することが可能になる。

［３−４：具体例（２次多項式を利用する場合）］
次に、図２０を参照しながら、多変数多項式Ｆとしてｎ変数２次多項式を利用する場合について説明する。図２０は、本手法の一具体例について説明するための説明図である。

（鍵生成アルゴリズムＧｅｎ）
鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の２次多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１，…，ｆ_ｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、２次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記する。

（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
次に、図２０を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶにより実行される処理について説明する。

工程＃１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗを適用してベクトルｒ∈Ｋ^ｎ、及び多変数多項式の組Ｆ^Ａ（ｘ）＝（ｆ_１ ^Ａ（ｘ），…，ｆ_ｍ ^Ａ（ｘ））を生成する。つまり、証明者アルゴリズムＰは、（ｒ，Ｆ^Ａ）←Ｇ（ｗ）を計算する。次いで、証明者アルゴリズムＰは、ｚ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。但し、２次多項式ｆ_ｉ ^Ａ（ｘ）は、下記の式（１８）のように表現される。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、Ｆ^Ａ（ｚ）及びｚのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ^Ａ（ｚ），ｚ）を計算する。また、証明者アルゴリズムＰは、数ｗのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）は、ハッシュ関数である。工程＃１で生成されたメッセージ（ｃ_１，ｃ_２）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｃ_２）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数αを選択し、選択した数αを証明者アルゴリズムＰに送る。

工程＃３：
数αを受け取った証明者アルゴリズムＰは、Ｆ^Ｂ（ｘ）←αＦ（ｘ＋ｒ）＋Ｆ^Ａ（ｘ）を計算する。この計算は、ｘに関して多変数多項式Ｆ（ｘ＋ｒ）を多変数多項式Ｆ^Ａ（ｘ）によりマスクする操作に相当する。工程＃３で生成された多変数多項式Ｆ^Ｂは、検証者アルゴリズムＶに送られる。

工程＃４：
多変数多項式Ｆ^Ｂを受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃５：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送り返す返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答σ＝ｗを生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答σ＝ｚを生成する。工程＃５で生成された返答σは、検証者アルゴリズムＶに送られる。

工程＃６：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ^Ａ，Ｆ^Ｃ）←Ｇ（σ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（σ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、Ｆ^Ｂ（ｘ）＝αＦ（ｘ＋ｒ^Ａ）＋Ｆ^Ｃ（ｘ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、ｚ^Ａ←σとする。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（Ｆ^Ｂ（ｚ^Ａ）−αｙ，ｚ^Ａ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、本手法の一具体例について説明した。

［３−５：効率的なアルゴリズム］
次に、本手法に係るアルゴリズムを効率化する方法について述べる。上記の第１実施形態において考察した効率化方法と同様、２つのベクトルｔ∈Ｋ^ｎ、ｅ∈Ｋ^ｍを用いて、多変数多項式Ｆ（ｘ＋ｒ）をマスクするために用いた多変数多項式Ｆ^Ａ（ｘ）をＦ^Ａ（ｘ）＝Ｆ_ｂ（ｘ、ｔ）＋ｅのように表現する。この表現を用いると、多変数多項式Ｆ（ｘ＋ｒ）について、下記の式（１９）で表現される関係が得られる。

そのため、ｔ^Ａ＝αｒ＋ｔ，ｅ^Ａ＝αＦ（ｒ）＋ｅとすれば、マスク後の多変数多項式Ｆ^Ｂ（ｘ）＝αＦ（ｘ＋ｒ）＋Ｆ^Ａ（ｘ）も、２つのベクトルｔ^Ａ∈Ｋ^ｎ、ｅ^Ａ∈Ｋ^ｍにより表現することができる。これらの理由から、Ｆ^Ａ（ｘ）＝Ｆ_ｂ（ｘ，ｔ）＋ｅと設定すれば、Ｋ^ｎ上のベクトル及びＫ^ｍ上のベクトルを用いてＦ^Ａ及びＦ^Ｂを表現できるようになり、通信に必要なデータサイズを大幅に減らすことが可能になる。具体的には、数千〜数万倍程度、通信コストが削減される。

また、上記の変形により、Ｆ^Ｂ（或いはＦ^Ａ）からｒに関する情報が一切漏れることはない。例えば、ｅ^Ａ及びｔ^Ａ（或いはｅ及びｔ）を与えられても、ｅ及びｔ（或いはｅ^Ａ及びｔ^Ａ）を知らない限り、ｒの情報を一切知ることはできない。従って、上記の変形を施したとしても、零知識性は担保される。以下、図２１〜図２７を参照しながら、本手法に係る効率的なアルゴリズムについて説明する。なお、鍵生成アルゴリズムＧｅｎの構成は変わらないため、ここでは詳細な説明を省略する。

（効率的なアルゴリズムの構成例１：図２１）
まず、図２１に示した効率的なアルゴリズムの構成について説明する。

工程＃１：
まず、証明者アルゴリズムＰは、任意に数ｗを選択する。次いで、証明者アルゴリズムＰは、擬似乱数生成器Ｇに数ｗを適用してベクトルｒ∈Ｋ^ｎ、ｔ∈Ｋ^ｎ、ｅ∈Ｋ^ｍを生成する。つまり、証明者アルゴリズムＰは、（ｒ，ｔ，ｅ）←Ｇ（ｗ）を計算する。次いで、証明者アルゴリズムＰは、ｚ←ｓ−ｒを計算する。この計算は、秘密鍵ｓをベクトルｒによりマスクする操作に相当する。

工程＃１（続き）：
次いで、証明者アルゴリズムＰは、Ｆ_ｂ（ｚ，ｔ）＋ｅ及びｚのハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_１←Ｈ_１（Ｆ_ｂ（ｚ，ｔ）＋ｅ，ｚ）を計算する。また、証明者アルゴリズムＰは、数ｗのハッシュ値ｃ_２を生成する。つまり、証明者アルゴリズムＰは、ｃ_２←Ｈ_２（ｗ）を計算する。なお、上記のＨ_１（…）、Ｈ_２（…）は、ハッシュ関数である。工程＃１で生成されたメッセージ（ｃ_１，ｃ_２）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，ｃ_２）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数αを選択し、選択した数αを証明者アルゴリズムＰに送る。

工程＃３：
数αを受け取った証明者アルゴリズムＰは、ｔ^Ａ←αｒ＋ｔを計算する。さらに、証明者アルゴリズムＰは、ｅ^Ａ←αＦ（ｒ）＋ｅを計算する。そして、証明者アルゴリズムＰは、ｔ^Ａ及びｅ^Ａを検証者アルゴリズムＶに送る。

工程＃４：
ｔ^Ａ及びｅ^Ａを受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ｄに設定する。この要求ｄは証明者アルゴリズムＰに送られる。

工程＃５：
要求ｄを受け取った証明者アルゴリズムＰは、受け取った要求ｄに応じて検証者アルゴリズムＶに送り返す返答σを生成する。ｄ＝０の場合、証明者アルゴリズムＰは、返答σ＝ｗを生成する。ｄ＝１の場合、証明者アルゴリズムＰは、返答σ＝ｚを生成する。工程＃５で生成された返答σは、検証者アルゴリズムＶに送られる。

工程＃６：
返答σを受け取った検証者アルゴリズムＶは、受け取った返答σを利用して以下の検証処理を実行する。

ｄ＝０の場合、検証者アルゴリズムＶは、（ｒ^Ａ，ｔ^Ｂ，ｅ^Ｂ）←Ｇ（σ）を計算する。そして、検証者アルゴリズムＶは、ｃ_２＝Ｈ_２（σ）の等号が成り立つか否かを検証する。また、検証者アルゴリズムＶは、ｔ^Ａ＝αｒ^Ａ＋ｔ^Ｂの等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｅ^Ａ＝αＦ（ｒ^Ａ）＋ｅ^Ｂの等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ＝１の場合、検証者アルゴリズムＶは、ｚ^Ａ←σを実行する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（α（Ｆ（ｚ^Ａ）−ｙ）＋Ｆ_ｂ（ｚ^Ａ，ｔ^Ａ）＋ｅ^Ａ，ｚ^Ａ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、効率的なアルゴリズムの構成例１について説明した。この効率的なアルゴリズムを利用することにより、通信に必要なデータサイズが大幅に削減される。また、Ｆ（ｘ＋ｒ）の計算が必要なくなるため、計算効率も向上する。

（効率的なアルゴリズムの構成例２：図２２）
次に、図２２に示した効率的なアルゴリズムの構成について説明する。図２２に示した構成を適用した場合も、図２０に示した構成を適用した場合と同様に、通信効率及び計算効率の向上効果が得られる。但し、ここでは図２０に示した構成との差分について述べる。

図２０に示したアルゴリズムの工程＃５において、ｄ＝０の場合にσをｗに設定しているが、ｄ＝０の場合に設定されるσは、（ｔ^Ａ，ｅ^Ｂ）に併せて用いることで（ｒ，ｔ，ｅ）が復元できるような情報であればどのような情報でもよい。例えば、図２２に示すように、工程＃５においてｄ＝０の場合に設定されるσの内容をｒにしてもよい。但し、この変形を行う場合には、工程＃１における計算ｃ_２←Ｈ_２（ｗ）をｃ_２←Ｈ_２（ｒ，ｔ，ｅ）に変形する必要がある。また、工程＃６においてｄ＝０の場合に検証者アルゴリズムＶにより実行される検証内容がｃ_２＝Ｈ_２（ｒ，ｔ^Ａ−αｒ，ｅ^Ａ−αＦ（ｒ））の検証に置き換えられる。

以上、効率的なアルゴリズムの構成例２について説明した。

（効率的なアルゴリズムの構成例３：図２３）
次に、図２３に示した効率的なアルゴリズムの構成について説明する。図２３に示した構成を適用した場合も、図２０に示した構成を適用した場合と同様に、通信効率及び計算効率の向上効果が得られる。但し、ここでは図２２に示した構成との差分について述べる。

図２２に示したアルゴリズムの工程＃３において、ｔ^Ａ←αｒ＋ｔという計算を行っているが、この計算を図２３に示すようにｔ^Ａ←α（ｒ＋ｔ）という計算に変形してもよい。但し、この変形を行う場合には、工程＃６においてｄ＝０の場合に検証者アルゴリズムＶにより実行される検証内容がｃ_２＝Ｈ_２（ｒ，α^−１ｔ^Ａ−ｒ，ｅ^Ａ−αＦ（ｒ））の検証に置き換えられる。

以上、効率的なアルゴリズムの構成例３について説明した。

（効率的なアルゴリズムの構成例４：図２４）
次に、図２４に示した効率的なアルゴリズムの構成について説明する。図２４に示した構成を適用した場合も、図２０に示した構成を適用した場合と同様に、通信効率及び計算効率の向上効果が得られる。但し、ここでは図２２に示した構成との差分について述べる。

図２２に示したアルゴリズムの工程＃３において、ｅ^Ａ←αＦ（ｒ）＋ｅという計算を行っているが、この計算を図２４に示すようにｅ^Ａ←α（Ｆ（ｒ）＋ｅ）という計算に変形してもよい。但し、この変形を行う場合には、工程＃６においてｄ＝０の場合に検証者アルゴリズムＶにより実行される検証内容がｃ_２＝Ｈ_２（ｒ，ｔ^Ａ−αｒ，ｅ^Ａ−α^−１ｅ^Ａ−Ｆ（ｒ））の検証に置き換えられる。

以上、効率的なアルゴリズムの構成例４について説明した。

（効率的なアルゴリズムの構成例５：図２５）
次に、図２５に示した効率的なアルゴリズムの構成について説明する。図２５に示した構成を適用した場合も、図２０に示した構成を適用した場合と同様に、通信効率及び計算効率の向上効果が得られる。但し、ここでは図２２に示した構成との差分について述べる。

図２２に示したアルゴリズムの工程＃５において、ｄ＝０の場合にσをｒに設定しているが、ｄ＝０の場合に設定されるσは、（ｔ^Ａ，ｅ^Ｂ）に併せて用いることで（ｒ，ｔ，ｅ）が復元できるような情報であればどのような情報でもよい。例えば、図２５に示すように、工程＃５においてｄ＝０の場合に設定されるσの内容をｔにしてもよい。但し、この変形を行う場合には、工程＃２においてαがα∈_ＲＫ＼｛０｝から選ばれるようにする。また、工程＃６においてｄ＝０の場合に検証者アルゴリズムＶにより実行される検証内容がｃ_２＝Ｈ_２（α^−１（ｔ^Ａ−ｔ），ｔ，ｅ^Ａ−αＦ（α^−１（ｔ^Ａ−ｔ）））の検証に置き換えられる。

以上、効率的なアルゴリズムの構成例５について説明した。

（効率的なアルゴリズムの構成例６：図２６）
次に、図２６に示した効率的なアルゴリズムの構成について説明する。図２６に示した構成を適用した場合も、図２０に示した構成を適用した場合と同様に、通信効率及び計算効率の向上効果が得られる。但し、ここでは図２５に示した構成との差分について述べる。

図２５に示したアルゴリズムの工程＃３において、ｔ^Ａ←αｒ＋ｔという計算を行っているが、この計算を図２６に示すようにｔ^Ａ←α（ｒ＋ｔ）という計算に変形してもよい。但し、この変形を行う場合には、工程＃６においてｄ＝０の場合に検証者アルゴリズムＶにより実行される検証内容がｃ_２＝Ｈ_２（α^−１ｔ^Ａ−ｔ，ｔ，ｅ^Ａ−αＦ（α^−１ｔ^Ａ−ｔ））の検証に置き換えられる。

以上、効率的なアルゴリズムの構成例６について説明した。

（効率的なアルゴリズムの構成例７：図２７）
次に、図２７に示した効率的なアルゴリズムの構成について説明する。図２７に示した構成を適用した場合も、図２０に示した構成を適用した場合と同様に、通信効率及び計算効率の向上効果が得られる。但し、ここでは図２５に示した構成との差分について述べる。

図２５に示したアルゴリズムの工程＃３において、ｅ^Ａ←αＦ（ｒ）＋ｅという計算を行っているが、この計算を図２７に示すようにｅ^Ａ←α（Ｆ（ｒ）＋ｅ）という計算に変形してもよい。但し、この変形を行う場合には、工程＃６においてｄ＝０の場合に検証者アルゴリズムＶにより実行される検証内容がｃ_２＝Ｈ_２（α^−１（ｔ^Ａ−ｔ），ｔ，α^−１ｅ^Ａ−αＦ（α^−１（ｔ^Ａ−ｔ）））の検証に置き換えられる。

以上、効率的なアルゴリズムの構成例７について説明した。

（効率的なアルゴリズムの並列化：図２９）
次に、図２９を参照しながら、効率的なアルゴリズムを並列化する方法について説明する。図２９に示した構成（以下、並列化アルゴリズム）は、図２８に示した効率的なアルゴリズムを並列化したものである。なお、図２８に示した効率的なアルゴリズムは、図２２に示した効率的なアルゴリズムと実質的に同じ構成を有するアルゴリズムである。以下、図２９に示したフローチャートに沿って説明を進める。

工程＃１：
証明者アルゴリズムＰは、ｉ＝１〜Ｎについて処理（１）〜処理（４）を実行する。
処理（１）：証明者アルゴリズムＰは、任意にベクトルｒ_ｉ，ｔ_ｉ∈Ｋ^ｎ及びｅ_ｉ∈Ｋ^ｍを生成する。
処理（２）：証明者アルゴリズムＰは、ｒ_ｉ ^Ａ←ｓ−ｒ_ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ_ｉによりマスクする操作に相当する。
処理（３）：証明者アルゴリズムＰは、ｃ_１，ｉ←Ｈ_１（ｒ_ｉ，ｔ_ｉ，ｅ_ｉ）を計算する。
処理（４）：証明者アルゴリズムＰは、ｃ_２，ｉ←Ｈ_２（ｒ_ｉ ^Ａ，Ｆ_ｂ（ｒ_ｉ ^Ａ，ｔ_ｉ）＋ｅ_ｉ）を計算する。
工程＃１で生成されたメッセージ（ｃ_１，１，ｃ_２，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ）は、検証者アルゴリズムＶに送られる。

工程＃２：
メッセージ（ｃ_１，１，ｃ_２，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ）を受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、ｑ通り存在する環Ｋの元からランダムに１つの数α_ｉを選択し、選択した数α_ｉを証明者アルゴリズムＰに送る。

工程＃３：
数α_ｉを受け取った証明者アルゴリズムＰは、ｉ＝１〜Ｎのそれぞれについて、ｔ_ｉ ^Ａ←α_ｉｒ_ｉ−ｔ_ｉを計算する。さらに、証明者アルゴリズムＰは、ｉ＝１〜Ｎのそれぞれについて、ｅ_ｉ ^Ａ←α_ｉＦ（ｒ_ｉ）−ｅ_ｉを計算する。そして、証明者アルゴリズムＰは、ｔ_１ ^Ａ，…，ｔ_Ｎ ^Ａ及びｅ_１ ^Ａ，…，ｅ_Ｎ ^Ａを検証者アルゴリズムＶに送る。

工程＃４：
ｔ_１ ^Ａ，…，ｔ_Ｎ ^Ａ及びｅ_１ ^Ａ，…，ｅ_Ｎ ^Ａを受け取った検証者アルゴリズムＶは、ｉ＝１〜Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ｄ_ｉに設定する。この要求ｄ_ｉ（ｉ＝１〜Ｎ）は証明者アルゴリズムＰに送られる。

工程＃５：
要求ｄ_ｉ（ｉ＝１〜Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１〜Ｎについて、受け取った要求ｄ_ｉに応じて検証者アルゴリズムＶに送り返す返答σ_ｉを生成する。ｄ_ｉ＝０の場合、証明者アルゴリズムＰは、返答σ_ｉ＝ｒ_ｉを生成する。ｄ_ｉ＝１の場合、証明者アルゴリズムＰは、返答σ_ｉ＝ｒ_ｉ ^Ａを生成する。工程＃５で生成された返答σ_ｉは、検証者アルゴリズムＶに送られる。

工程＃６：
返答σ_ｉ（ｉ＝１〜Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答σ_ｉ（ｉ＝１〜Ｎ）を利用して以下の検証処理を実行する。

ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、ｒ_ｉ←σ_ｉを実行する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｒ_ｉ，α_ｉｒ_ｉ−ｔ_ｉ ^Ａ，α_ｉＦ（ｒ_ｉ）−ｅ_ｉ ^Ａ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、ｒ_ｉ ^Ａ←σ_ｉを実行する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（ｒ_ｉ ^Ａ，α_ｉ（ｙ−Ｆ（ｒ_ｉ ^Ａ））−Ｆ_ｂ（ｔ_ｉ ^Ａ，ｒ_ｉ ^Ａ）−ｅ_ｉ ^Ａ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、効率的なアルゴリズムの並列化について説明した。

（並列化アルゴリズムの効率化：図３０）
図２９に示した並列化アルゴリズムは、図３０に示すように効率化することができる。図３０に示すように、この並列化アルゴリズムは、工程＃１において、メッセージ（ｃ_１，１，ｃ_２，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ）をハッシュ値ｃに変換し、そのハッシュ値ｃを１パス目で証明者アルゴリズムＰから検証者アルゴリズムＶへと送るように構成されている。また、この並列化アルゴリズムは、工程＃５において、ｄ_ｉ＝０の場合に返答σ_ｉ＝（ｒ_ｉ，ｃ_２，ｉ）を生成し、ｄ_ｉ＝１の場合に返答σ_ｉ＝（ｒ_ｉ ^Ａ，ｃ_１，ｉ）を生成するように構成されている。さらに、この並列化アルゴリズムは、工程＃６において、次のような処理を実行するように構成されている。

工程＃６：
まず、検証者アルゴリズムＶは、ｉ＝１〜Ｎについて、処理（１）及び処理（２）を実行する。但し、実際には、ｄ_ｉ＝０の場合に処理（１）が実行され、ｄ_ｉ＝１の場合に処理（２）が実行される。
処理（１）：ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ_ｉ，ｃ_２，ｉ）←σ_ｉを実行する。さらに、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｒ_ｉ，α_ｉｒ_ｉ−ｔ_ｉ ^Ａ，α_ｉＦ（ｒ_ｉ）−ｅ_ｉ ^Ａ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_１，ｉ，ｃ_２，ｉ）を保持する。
処理（２）：ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｒ_ｉ ^Ａ，ｃ_１，ｉ）←σ_ｉを実行する。さらに、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（ｒ_ｉ ^Ａ，α_ｉ（ｙ−Ｆ（ｒ_ｉ ^Ａ））−Ｆ_ｂ（ｔ_ｉ ^Ａ，ｒ_ｉ ^Ａ）−ｅ_ｉ ^Ａ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_１，ｉ，ｃ_２，ｉ）を保持する。
ｉ＝１〜Ｎについて、上記の処理（１）及び処理（２）を実行した後、検証者アルゴリズムＶは、ｃ＝Ｈ（ｃ_１，１，ｃ_２，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、並列化アルゴリズムの効率化について説明した。

（並列化アルゴリズムの更なる効率化：図３１）
図３０に示した並列化アルゴリズムは、図３１に示すように更に効率化することができる。図３１に示すように、この並列化アルゴリズムは、工程＃３において、（ｔ_１ ^Ａ，ｅ_１ ^Ａ，…，ｔ_Ｎ ^Ａ，ｅ_Ｎ ^Ａ）をハッシュ値ｖに変換し、そのハッシュ値ｖを３パス目で証明者アルゴリズムＰから検証者アルゴリズムＶへと送るように構成されている。また、この並列化アルゴリズムは、工程＃５において、ｄ_ｉ＝０の場合に返答σ_ｉ＝（ｒ_ｉ，ｔ_ｉ，ｅ_ｉ，ｃ_２，ｉ）を生成し、ｄ_ｉ＝１の場合に返答σ_ｉ＝（ｒ_ｉ ^Ａ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ，ｃ_１，i）を生成するように構成されている。さらに、この並列化アルゴリズムは、工程＃６において、次のような処理を実行するように構成されている。

工程＃６：
まず、検証者アルゴリズムＶは、ｉ＝１〜Ｎについて、処理（１）及び処理（２）を実行する。但し、実際には、ｄ_ｉ＝０の場合に処理（１）が実行され、ｄ_ｉ＝１の場合に処理（２）が実行される。
処理（１）：ｄ_ｉ＝０の場合、検証者アルゴリズムＶは、（ｒ_ｉ，ｔ_ｉ，ｅ_ｉ，ｃ_２，ｉ）←σ_ｉを実行する。そして、検証者アルゴリズムＶは、ｃ_１，ｉ＝Ｈ_１（ｒ_ｉ，ｔ_ｉ，ｅ_ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｔ_ｉ ^Ａ←α_ｉｒ_ｉ−ｔ_ｉ、ｅ_ｉ ^Ａ←α_ｉＦ（ｒ_ｉ）−ｅ_ｉを計算する。そして、検証者アルゴリズムＶは、（ｃ_１，ｉ，ｃ_２，ｉ）及び（ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ）を保持する。
処理（２）：ｄ_ｉ＝１の場合、検証者アルゴリズムＶは、（ｒ_ｉ ^Ａ，ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ，ｃ_１，ｉ）←σ_ｉを実行する。そして、検証者アルゴリズムＶは、ｃ_２，ｉ＝Ｈ_２（ｒ_ｉ ^Ａ，α_ｉ（ｙ−Ｆ（ｒ_ｉ ^Ａ））−Ｆ_ｂ（ｒ_ｉ ^Ａ，ｔ_ｉ ^Ａ）−ｅ_ｉ ^Ａ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_１，ｉ，ｃ_２，ｉ）及び（ｔ_ｉ ^Ａ，ｅ_ｉ ^Ａ）を保持する。
ｉ＝１〜Ｎについて、上記の処理（１）及び処理（２）を実行した後、検証者アルゴリズムＶは、ｃ＝Ｈ（ｃ_１，１，ｃ_２，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｖ＝Ｈ（ｔ_１ ^Ａ，ｅ_１ ^Ａ，…，ｔ_Ｎ ^Ａ，ｅ_Ｎ ^Ａ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

以上、並列化アルゴリズムの更なる効率化を図れる構造について説明した。上記のように、証明者アルゴリズムＰと検証者アルゴリズムＶとの間でやり取りされる複数の情報をハッシュ値にまとめることで、３パス目の通信データのサイズを低減することが可能になる。さらに、上記のアルゴリズムの中で、ｒ_i，ｔ_ｉ，ｅ_ｉを１つの乱数シードから生成するようにアルゴリズムの構成を変形することで、通信データサイズの期待値が削減される。また、要求ｄ_ｉとして、０が選択された数と１が選択された数とが等しくなるように制限を加えると、確実に通信データサイズが削減される。

例えば、（ｑ，ｎ，ｍ，Ｎ）＝（２^４，４５，３０，８８）に設定すると、図３０に示したアルゴリズムの場合、公開鍵が１２０ビット、秘密鍵が１８０ビット、通信データサイズが４２８４０ビットとなる。一方、図３１に示したアルゴリズムの場合、（ｑ，ｎ，ｍ，Ｎ）＝（２^４，４５，３０，８８）に設定すると、公開鍵が１２０ビット、秘密鍵が１８０ビット、通信データサイズが２７５１２ビットとなる。このように、上述した並列化アルゴリズムの更なる効率化を行うことにより、通信データサイズを顕著に削減することが可能になる。

［３−６：直列・並列ハイブリッドアルゴリズム］
偽証が成功する確率を無視できる程度にまで小さくするために、対話プロトコルを複数回実行する必要性については既に説明した通りである。また、対話プロトコルを複数回実行する方法として、直列的な方法と並列的な方法とを紹介した。特に、並列的な方法については、具体的な並列化アルゴリズムを示して説明した。ここでは、直列的な方法と並列的な方法とを組み合わせたハイブリッドタイプのアルゴリズムを紹介する。

（ハイブリッド構成１）
図３２を参照しながら、ハイブリッドタイプのアルゴリズム（以下、並直列アルゴリズム）について説明する。図３２には、本手法に係る基本構成、この基本構成を直列化した直列化アルゴリズム、並列化した並列化アルゴリズム、及び並直列アルゴリズムを示した。

基本構成では、１パス目にメッセージ（ｃ_１，ｃ_２）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと数αが送られる。３パス目では、証明者から検証者へとベクトルｔ^Ａ及びｅ^Ａが送られる。４パス目では、検証者から証明者へと要求ｄが送られる。５パス目では、証明者から検証者へと返答σが送られる。

上記の基本構成を並列化した場合、１パス目では、Ｎ回分のメッセージ（ｃ_１，１，ｃ_２，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ）が証明者から検証者へと送られる。２パス目では、検証者から証明者へとＮ回分の数（α_１，…，α_Ｎ）が送られる。３パス目では、証明者から検証者へとＮ回分のベクトル（ｔ_１ ^Ａ，…，ｔ_Ｎ ^Ａ，ｅ_１ ^Ａ，…，ｅ_Ｎ ^Ａ）が送られる。４パス目では、検証者から証明者へとＮ回分の要求（ｄ_１，…，ｄ_Ｎ）が送られる。５パス目では、証明者から検証者へとＮ回分の返答（σ_１，…，σ_Ｎ）が送られる。

本手法に係る並列化アルゴリズムは、受動的攻撃に対する安全性が保証される。また、対話の回数が５回で済む。さらに、１パス目で送信されるＮ回分のメッセージや３パス目で送信されるＮ回分のベクトルなどをそれぞれ１つのハッシュ値に纏めることにより、通信効率を向上させることができる。

一方、上記の基本構成を直列化した場合、１パス目では、１回分のメッセージ（ｃ_１，１，ｃ_２，１）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の数α_１が送られる。３パス目では、証明者から検証者へと１回分のベクトル（ｔ_１ ^Ａ，ｅ_１ ^Ａ）が送られる。４パス目では、検証者から証明者へと１回分の要求ｄ_１が送られる。５パス目では、証明者から検証者へと１回分の返答σ_１が送られる。同様にして、証明者から検証者へと返答σ_Ｎが送られるまで対話が繰り返し実行される。直列化アルゴリズムは、能動的攻撃に対する安全性が保証される。また、偽証確率が確実に削減されることを証明することが可能である。

さて、並直列アルゴリズムは、並列化アルゴリズムの性質と直列化アルゴリズムの性質とを併せ持つアルゴリズムである。図３２に示した並直列アルゴリズムでは、１パス目で、Ｎ回分のメッセージ（ｃ_１，１，ｃ_２，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の数α_１が送られる。３パス目では、証明者から検証者へと１回分のベクトル（ｔ_１ ^Ａ，ｅ_１ ^Ａ）が送られる。４パス目では、検証者から証明者へと１回分の要求ｄ_１が送られる。５パス目では、証明者から検証者へと１回分の返答σ_１が送られる。その後、証明者と検証者との間で、α_２，…，α_Ｎ，ｔ_２ ^Ａ，ｅ_２ ^Ａ，…，ｔ_Ｎ ^Ａ，ｅ_Ｎ ^Ａ，ｄ_２，…，ｄ_Ｎ，σ_２，…，σ_Ｎのやり取りが行われる。

本手法に基づく並直列アルゴリズムの場合、受動的攻撃に対する安全性が保証される。また、対話の回数が４Ｎ＋１回で済む。さらに、１パス目で送信されるＮ回分のメッセージを１つのハッシュ値に纏めることにより、通信効率を向上させることができる。

（ハイブリッド構成２）
図３３を参照しながら、他の並直列アルゴリズムについて説明する。図３３には、本手法に係る基本構成、この基本構成を直列化した直列化アルゴリズム、並列化した並列化アルゴリズム、及び並直列アルゴリズムを示した。なお、基本構成、直列化アルゴリズム、並列化アルゴリズムの構成及び性質については、上記の通りである。

図３３に示した並直列アルゴリズムは、並列化アルゴリズムの性質と直列化アルゴリズムの性質とを併せ持つアルゴリズムである。この並直列アルゴリズムでは、１パス目で、Ｎ回分のメッセージ（ｃ_１，１，ｃ_２，１，…，ｃ_１，Ｎ，ｃ_２，Ｎ）が証明者から検証者へと送られる。２パス目では、検証者から証明者へとＮ回分の数（α_１，…，α_Ｎ）が送られる。３パス目では、証明者から検証者へとＮ回分のベクトル（ｔ_１ ^Ａ，ｅ_１ ^Ａ，…，ｔ_Ｎ ^Ａ，ｅ_Ｎ ^Ａ）が送られる。４パス目では、検証者から証明者へと１回分の要求ｄ_１が送られる。５パス目では、証明者から検証者へと１回分の返答σ_１が送られる。その後、証明者と検証者との間で、ｄ_２，…，ｄ_Ｎ，σ_２，…，σ_Ｎのやり取りが行われる。

本手法に基づく並直列アルゴリズムの場合、受動的攻撃に対する安全性が保証される。また、対話の回数が２Ｎ＋３回で済む。さらに、１パス目で送信されるＮ回分のメッセージや３パス目で送信されるＮ回分のベクトルなどを１つのハッシュ値に纏めることにより、通信効率を向上させることができる。

（ハイブリッド構成３）
図３４を参照しながら、他のハイブリッドタイプのアルゴリズム（以下、直並列アルゴリズム）について説明する。図３４には、本手法に係る基本構成、この基本構成を直列化した直列化アルゴリズム、並列化した並列化アルゴリズム、及び直並列アルゴリズムを示した。なお、基本構成、直列化アルゴリズム、並列化アルゴリズムの構成及び性質については、上記の通りである。

図３４に示した直並列アルゴリズムは、並列化アルゴリズムの性質と直列化アルゴリズムの性質とを併せ持つアルゴリズムである。この直並列アルゴリズムでは、１パス目で、１回分のメッセージ（ｃ_１，１，ｃ_２，１）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の数α_１が送られる。３パス目では、証明者から検証者へと１回分のベクトル（ｔ_１ ^Ａ，ｅ_１ ^Ａ）が送られる。４パス目では、検証者から証明者へと１回分の要求ｄ_１が送られる。その後、証明者と検証者との間で、ｃ_１，２，ｃ_２，２，…，ｃ_１，Ｎ，ｃ_２，Ｎ，α_２，…，α_Ｎ，ｔ_２ ^Ａ，ｅ_２ ^Ａ，…，ｔ_Ｎ ^Ａ，ｅ_Ｎ ^Ａ，ｄ_２，…，ｄ_Ｎのやり取りが行われる。最後に、証明者から検証者へとＮ回分の返答（σ_１…，σ_Ｎ）が送られる。

本手法に基づく直並列アルゴリズムの場合、能動的攻撃に対する安全性が保証される。また、対話の回数が４Ｎ＋１回で済む。

（ハイブリッド構成４）
図３５を参照しながら、他の直並列アルゴリズムについて説明する。図３５には、本手法に係る基本構成、この基本構成を直列化した直列化アルゴリズム、並列化した並列化アルゴリズム、及び直並列アルゴリズムを示した。なお、基本構成、直列化アルゴリズム、並列化アルゴリズムの構成及び性質については、上記の通りである。

図３５に示した直並列アルゴリズムは、並列化アルゴリズムの性質と直列化アルゴリズムの性質とを併せ持つアルゴリズムである。この直並列アルゴリズムでは、１パス目で、１回分のメッセージ（ｃ_１，１，ｃ_２，１）が証明者から検証者へと送られる。２パス目では、検証者から証明者へと１回分の数α_１が送られる。その後、証明者と検証者との間で、ｃ_１，２，ｃ_２，２，…，ｃ_１，Ｎ，ｃ_２，Ｎ，α_２，…，α_Ｎのやり取りが行われる。α_Ｎのやり取りを終えた後、証明者から検証者へとＮ回分のベクトル（ｔ_１ ^Ａ，ｅ_１ ^Ａ，…，ｔ_Ｎ ^Ａ，ｅ_Ｎ ^Ａ）が送られる。次いで、検証者から証明者へとＮ回分の要求（ｄ_１，…，ｄ_１）が送られる。最後に、証明者から検証者へとＮ回分の返答（σ_１…，σ_Ｎ）が送られる。

本手法に基づく直並列アルゴリズムの場合、受動的攻撃に対する安全性が保証される。また、対話の回数が２Ｎ＋３回で済む。

以上、本手法に基づくハイブリッドタイプのアルゴリズムについて説明した。

以上、本技術の第２実施形態について説明した。なお、多変数連立方程式の形式については、上記の第１実施形態と同様である。

＜４：効率的なアルゴリズムの拡張＞
ところで、上記の第１及び第２実施形態に係る効率的なアルゴリズムは、下記の式（２０）で表現される２次の多変数多項式を公開鍵（又はシステムパラメータ）として利用する構成であった。しかし、上記の効率的なアルゴリズムは、３次以上の次数を有する多変数多項式を公開鍵（又はシステムパラメータ）として利用する構成に拡張することができる。

［４−１：多変数多項式の高次化について］
例えば、位数ｑ＝ｐ^ｋの体上で定義される３次以上の多変数多項式（下記の式（２１）を参照）を公開鍵（又はシステムパラメータ）として利用する構成について考えてみよう。

上記の第１及び第２実施形態に係る効率的なアルゴリズムにおける公開鍵として多変数多項式ｆ_ｌが利用可能となる条件は、下記の式（２２）が（ｘ_１，…，ｘ_ｎ）及び（ｙ_１，…，ｙ_ｎ）に対して双線形になることである。上記の式（２０）で表現される多変数多項式の場合、下記の式（２３）に示すように容易に双線形性を確認することができる（下線部がｘ_ｉ、ｙ_ｉのそれぞれについて線形となっている）。また、上記の式（２１）で表現される多変数多項式の場合についても同様にして、下記の式（２４）に示すように双線形性を確認することができる。但し、下記の式（２４）の下線部は、位数ｐの体ＧＦ（ｐ）上における双線形性を示している。そのため、上記の第２実施形態に係る効率的なアルゴリズムの公開鍵として上記の式（２１）で表現される多変数多項式を利用する場合、当該アルゴリズムの工程＃２の後に検証者が送信する数αは、ＧＦ（ｐ）の要素に限定する必要がある。

このような理由から、上記の第１及び第２実施形態に係る効率的なアルゴリズムを拡張し、上記の式（２１）で表現されるような３次以上の多変数多項式を公開鍵として利用するアルゴリズムを構築することが可能であると言える。

ここで、上記の式（２０）で表現される多変数多項式（以下、２次多項式）と、上記の式（２１）で表現される多変数多項式（以下、多次多項式）との関係について考察しておきたい。いま、位数ｑ＝ｐの体上で定義されるｎｋ変数の２次多項式、及び位数ｑ＝ｐ^ｋの体上で定義されるｎ変数の多次多項式について考える。この場合、ｍｋ本の２次多項式で構成される連立方程式の解答困難性は、ｍ本の多次多項式で構成される連立方程式の解答困難性と等価である。例えば、位数２の体上で定義される８０本の８０変数２次多項式により構成される連立方程式と、位数２^８の体上で定義される１０本の１０変数多次多項式とは、その解答困難性が等価である。

つまり、ＧＦ（ｐ^ｋ）の要素と、ＧＦ（ｐ）^ｋの要素とを同型写像により同一視した場合、位数ｑ＝ｐの体上で定義されるｍｋ本のｎｋ変数２次多項式の組で表現される関数と等価な、位数ｑ＝ｐ^ｋの体上で定義されるｍ本のｎ変数多次多項式の組で表現される関数が存在する。例えば、ＧＦ（２^８）の要素と、ＧＦ（２）^８の要素とを同型写像により同一視した場合、位数２の体上で定義される８０本の８０変数２次多項式の組で表現される関数と等価な、位数２^８の体上で定義される１０本の１０変数多次多項式の組で表現される関数が存在する。このような理由から、上記の２次多項式を利用するか、上記の多次多項式を利用するかは、任意に選択することが可能である。

ここで、上記の２次多項式を利用する場合の計算効率と上記の多次多項式を利用する場合の計算効率とについて考察しておきたい。

位数２の体上で定義されるｎｋ変数の２次多項式を利用する場合、アルゴリズムに含まれる演算は、ｎｋ個の１ビット変数を対象に実行されることになる。つまり、演算の単位が１ビットとなる。一方、位数２^ｋの体上で定義されるｎ変数の多次多項式を利用する場合、アルゴリズムに含まれる演算は、ｎ個のｋビット変数を対象に実行されることになる。つまり、演算の単位がｋビットとなる。このｋ（ｋ＝２，３，４，…）は任意に設定することができる。そのため、実装上、都合の良い値にｋを設定することにより、計算効率を向上させることが可能になる。例えば、３２ビットのアーキティクチャ上にアルゴリズムを実装する場合、１ビット単位で演算を実行する構成にするよりも、３２ビット単位で演算を実行する構成にする方が高い計算効率を得られる。

このように、上記の第１及び第２実施形態に係る効率的なアルゴリズムを、多次多項式を公開鍵として利用できるように拡張することで、演算の単位を実装するアーキティクチャに合わせることが可能になる。その結果、計算効率を向上させることが可能になる。

［４−２：拡張方式（高次項の追加）］
ところで、３次以上の多次多項式を利用する方法として、２次多項式に３次以上の項を追加する方法も考えられる。例えば、下記の式（２５）に示すように、上記の式（２０）で表現される２次多項式に４次の項を追加する方法が考えられる。多次多項式ｆ_ｌを下記の式（２５）のように定義すると、下記の式（２６）で定義される項ｇ_ｌ（ｘ，ｙ）は、下記の式（２７）のように表現される。なお、以下では、項ｇ_ｌ（ｘ，ｙ）のことをｐｏｌａｒ ｆｏｒｍと呼ぶことがある。

上記の式（２７）に示すように、項ｇ_ｌ（ｘ，ｙ）は双線形にならない。そこで、４つの変数ｘ_１，ｘ_２，ｘ_３，ｘ_４から２つ選んだ６通りの項ｘ_ｉｘ_ｊ、及び４つの変数ｘ_１，ｘ_２，ｘ_３，ｘ_４から３つ選んだ４通りの項ｘ_ｉｘ_ｊｘ_ｋを下記の式（２８）及び式（２９）のように４つの変数ｔ_ｉｊ、ｔ_ｉｊ ^Ａ、ｔ_ｉｊｋ、ｔ_ｉｊｋ ^Ａで表現する。この表現を用いると、３次以上の多変数多項式を用いて、上記の効率的なアルゴリズムを実現することができる。なお、上記の式（２５）に示した例では、２次多項式に４次の項を追加しているが、４次の項に代えて３次の項（例えば、ｘ_１ｘ_２ｘ_３）又は５次以上の項（例えば、ｘ_１ｘ_２ｘ_３ｘ_４ｘ_５）を追加してもよい。このように、３次以上の項を追加することにより、方程式の頑強性を向上させることが可能になる。

＜５：頑強性を高める仕組み＞
ここで、上記の第１及び第２実施形態に係るアルゴリズムの頑強性を更に高めるための仕組みについて紹介する。

［５−１：システムパラメータの設定方法］
これまで、多変数多項式の係数又はその係数の生成に利用する乱数シード（以下、多変数多項式の係数等）をどのように設定するかについては詳しく言及してこなかった。多変数多項式の係数等は、システムに共通のパラメータとしてもよいし、ユーザ毎に異なるパラメータとしてもよい。

しかし、多変数多項式の係数等をシステムに共通のパラメータとすると、その多変数多項式に脆弱性が見つかった場合、システム全体について設定を更新する必要が生じてしまう。また、ランダムに選んだ係数を持つ多変数多項式について、平均的な頑強性（解くことの難しさ）は解析されているが、ある特定の係数を持つ多変数多項式について十分な頑強性を有することを保証することは難しい。

そこで、本件発明者は、各ユーザが選択した文字列などを擬似乱数生成器のシードに利用して多変数多項式の係数を生成する仕組みを考案した。例えば、ユーザのｅ−ｍａｉｌアドレスをシードに利用したり、ｅ−ｍａｉｌアドレスと更新日時などとを結合した文字列をシードに利用したりする方法などが考えられる。このような方法を用いると、万が一、ある文字列から生成された係数を持つ多変数多項式に脆弱性が見つかった場合でも、その係数を持つ多変数多項式を利用しているユーザのみに影響が限定される。また、文字列を変えるだけで多変数多項式が変更されるため、容易に脆弱性を解消することができる。

以上、システムパラメータの設定方法について説明した。なお、上記の説明では文字列を例に挙げたが、ユーザ毎に異なる数字の列や記号の列を利用してもよい。

［５−２：イレギュラーな要求に対する応答方法］
次に、イレギュラーな要求に対する応答方法について説明する。

（５−２−１：証明者による応答方法について）
図３６に示すように、対話プロトコルの中で、検証者が偽りの要求を投げかけてくる可能性が考えられる。図３６の例では、証明者が検証者へとメッセージ（ｃ_１，ｃ_２，ｃ_３）を送り、検証者が証明者へと要求ｄ＝０を送った後、証明者から検証者へと要求ｄ＝０に対応する返答σが送られている。ここまでは正常な対話である。

しかし、図３６の例において、検証者は、証明者に要求ｄ＝１に対応する返答σをさらに要求している。もし、この要求に応じ、証明者が要求ｄ＝１に対応する返答σを検証者に送ってしまうと、秘密鍵が検証者に漏洩してしまう。このような秘密鍵の漏洩は現実的に起こりうることである。例えば、検証者は、２パス目で要求ｄ＝１を送信したのではなく、要求ｄ＝０を送信したはずだと偽って、要求ｄ＝１に対応する返答σをさらに要求するかもしれない。一方、証明者は、２パス目で送信された要求ｄのビットが通信エラーにより別のビットになってしまったと勘違いするかもしれない。

そこで、本件発明者は、上記のようにして秘密鍵の漏洩が生じるのを避ける方法を考案した。具体的には、１回分のメッセージについて証明者が２通り以上の要求ｄに対応する返答を求めてきた場合に、対話を終了するか、或いは、新しい乱数を利用して１パス目から対話をやり直す方法が考案された。この方法を適用すれば、検証者が偽って２通り以上の要求ｄに対応する返答を求めてきても、秘密鍵が漏洩することはなくなる。

以上、イレギュラーな要求により秘密鍵が漏洩しないようにする工夫について述べた。なお、ここでは３パスの基本構成を例に挙げたが、直列的な方法、並列的な方法、或いは、ハイブリッドタイプのアルゴリズムについても同様の工夫を加えることにより、安全性を向上させることができる。もちろん、５パスのアルゴリズムについても同様である。

（５−２−２：検証者による応答方法について）
また、図３７に示すように、証明者が偽って要求ｄの再送を要求してくる可能性もある。図３７の例では、証明者が検証者へとメッセージ（ｃ_１，ｃ_２，ｃ_３）を送り、検証者が証明者へと要求ｄ＝０を送った後、証明者が要求ｄの再送を要求している。この要求に応じて、検証者が再びランダムに要求ｄを選択すると、先に送った要求ｄ＝０とは異なる要求ｄ＝１が選択される可能性がある。この場合、検証者から証明者へと要求ｄ＝１が送られる。図３７の例において、証明者は、要求ｄ＝１に対応する返答σを検証者に送っている。

しかし、証明者は、要求ｄ＝１には回答できるが、要求ｄ＝０には回答できなかったのかもしれない。つまり、証明者が偽証している可能性が否定できない。例えば、証明者は、要求ｄを紛失してしまったので要求ｄを再送して欲しいと検証者に求めるかもしれない。一方、検証者は、通信エラーにより先に送信した要求が紛失したと考え、証明者の求めに応じて要求ｄを再送してしまうかもしれない。そして、再送した要求ｄが先に送信した要求ｄと異なるものである場合、偽証が成功してしまう。

図３７の例から分かるように、要求ｄがランダムに選ばれることで、証明者に偽証の機会を与えてしまう。そこで、本件発明者は、偽証の機会を与えないようにする方法を考案した。この方法は、１回分のメッセージについて証明者が要求ｄの送信を再度求めてきた場合に、検証者が対話を終了するか、或いは、新たな乱数を生成せずに前回と同じ要求ｄを再送するように対話プロトコルを改良するというものである。この方法を適用すると、要求ｄの再送要求を利用した偽証の機会をなくすことができる。

以上、イレギュラーな要求により偽証が成功する機会をなくす工夫について述べた。なお、ここでは３パスの基本構成を例に挙げたが、直列的な方法、並列的な方法、或いは、ハイブリッドタイプのアルゴリズムについても同様の工夫を加えることにより、安全性を向上させることができる。もちろん、５パスのアルゴリズムについても同様である。

＜６：ハードウェア構成例＞
上記の各アルゴリズムは、例えば、図３８に示す情報処理装置のハードウェア構成を用いて実行することが可能である。つまり、当該各アルゴリズムの処理は、コンピュータプログラムを用いて図３８に示すハードウェアを制御することにより実現される。なお、このハードウェアの形態は任意であり、例えば、パーソナルコンピュータ、携帯電話、ＰＨＳ、ＰＤＡ等の携帯情報端末、ゲーム機、接触式又は非接触式のＩＣチップ、接触式又は非接触式のＩＣカード、又は種々の情報家電がこれに含まれる。但し、上記のＰＨＳは、Ｐｅｒｓｏｎａｌ Ｈａｎｄｙ−ｐｈｏｎｅ Ｓｙｓｔｅｍの略である。また、上記のＰＤＡは、Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔの略である。

図３８に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０と、を有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６と、を有する。但し、上記のＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。また、上記のＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略である。そして、上記のＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。

ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータ等を格納する手段である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に適宜変化する各種パラメータ等が一時的又は永続的に格納される。

これらの構成要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチ、及びレバー等が用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラ（以下、リモコン）が用いられることもある。

出力部９１８としては、例えば、ＣＲＴ、ＬＣＤ、ＰＤＰ、又はＥＬＤ等のディスプレイ装置、スピーカ、ヘッドホン等のオーディオ出力装置、プリンタ、携帯電話、又はファクシミリ等、取得した情報を利用者に対して視覚的又は聴覚的に通知することが可能な装置である。但し、上記のＣＲＴは、Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅの略である。また、上記のＬＣＤは、Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙの略である。そして、上記のＰＤＰは、Ｐｌａｓｍａ ＤｉｓｐｌａｙＰａｎｅｌの略である。さらに、上記のＥＬＤは、Ｅｌｅｃｔｒｏ−Ｌｕｍｉｎｅｓｃｅｎｃｅ Ｄｉｓｐｌａｙの略である。

記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ハードディスクドライブ（ＨＤＤ）等の磁気記憶デバイス、半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイス等が用いられる。但し、上記のＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略である。

ドライブ９２２は、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８は、例えば、ＤＶＤメディア、Ｂｌｕ−ｒａｙメディア、ＨＤ ＤＶＤメディア、各種の半導体記憶メディア等である。もちろん、リムーバブル記録媒体９２８は、例えば、非接触型ＩＣチップを搭載したＩＣカード、又は電子機器等であってもよい。但し、上記のＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。

接続ポート９２４は、例えば、ＵＳＢポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ、ＲＳ−２３２Ｃポート、又は光オーディオ端子等のような外部接続機器９３０を接続するためのポートである。外部接続機器９３０は、例えば、プリンタ、携帯音楽プレーヤ、デジタルカメラ、デジタルビデオカメラ、又はＩＣレコーダ等である。但し、上記のＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略である。また、上記のＳＣＳＩは、Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅの略である。

通信部９２６は、ネットワーク９３２に接続するための通信デバイスであり、例えば、有線又は無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＷＵＳＢ用の通信カード、光通信用のルータ、ＡＤＳＬ用のルータ、又は接触又は非接触通信用のデバイス等である。また、通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークにより構成され、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、可視光通信、放送、又は衛星通信等である。但し、上記のＬＡＮは、Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋの略である。また、上記のＷＵＳＢは、Ｗｉｒｅｌｅｓｓ ＵＳＢの略である。そして、上記のＡＤＳＬは、Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅの略である。

＜７：まとめ＞
最後に、本技術の実施形態に係る技術内容について簡単に纏める。ここで述べる技術内容は、例えば、ＰＣ、携帯電話、ゲーム機、情報端末、情報家電、カーナビゲーションシステム等、種々の情報処理装置に対して適用することができる。なお、以下で述べる情報処理装置の機能は、１台の情報処理装置を利用して実現することも可能であるし、複数台の情報処理装置を利用して実現することも可能である。また、以下で述べる情報処理装置が処理を実行する際に用いるデータ記憶手段及び演算処理手段は、当該情報処理装置に設けられたものであってもよいし、ネットワークを介して接続された機器に設けられたものであってもよい。

上記の情報処理装置の機能構成は以下のように表現される。例えば、下記（１）に記載の情報処理装置は、多次多変数多項式の組Ｆを公開鍵として用い、検証者との間で対話プロトコルを実行することにより、検証者に秘密鍵ｓの情報を一切漏らすことなく、自身が秘密鍵ｓを知っていることを検証者に示すことができる。つまり、下記（１）に記載の情報処理装置は、多次多変数連立方程式の求解困難性に安全性の根拠を置く公開鍵認証方式の認証機能を有する。

さらに、下記（１）に記載の情報処理装置は、多次多変数多項式の組Ｆを生成する際に、システム全体で共通の情報を利用するのではなく、ユーザ毎に異なる情報を利用している。そのため、多次多変数多項式の組Ｆが利用不可能になる事態が生じても、被害の拡大を最小限に留めることが可能になる。つまり、安全性が向上する。また、下記（２）〜（２９）に記載の技術を適用した場合も、下記（１）に記載の情報処理装置を利用した場合と同等か、或いは、それ以上に高い安全性を実現することができる。

（１）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理装置。

（２）
前記多次多変数多項式の組Ｆは、Ｆ_ｂ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）−Ｆ（ｘ）−Ｆ（ｙ）で定義されるＦ_ｂ（ｘ，ｙ）がｘ及びｙに関して双線形となるように設定される、
上記（１）に記載の情報処理装置。

（３）
前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成し、
前記メッセージ提供部は、Ｎ回分の前記メッセージを１回の対話で前記検証者に提供し、
前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記検証者に提供する、
上記（１）又は（２）に記載の情報処理装置。

（４）
前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成すると共に、Ｎ回分の前記メッセージから１つのハッシュ値を生成し、
前記メッセージ提供部は、前記ハッシュ値を前記検証者に提供し、
前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報、及び、前記公開鍵及び前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを１回の対話で前記検証者に提供する、
上記（１）又は（２）に記載の情報処理装置。

（５）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理装置。

（６）
前記多次多変数多項式の組Ｆは、Ｆ_ｂ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）−Ｆ（ｘ）−Ｆ（ｙ）で定義されるＦ_ｂ（ｘ，ｙ）がｘ及びｙに関して双線形となるように設定される、
上記（５）に記載の情報処理装置。

（７）
前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージを１回の対話で取得し、
前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
前記回答取得部は、前記選択したＮ回分の検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記証明者から取得し、
前記検証部は、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
上記（５）又は（６）に記載の情報処理装置。

（８）
前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージから生成された１つのハッシュ値を取得し、
前記回答取得部は、前記選択した検証パターンに対応する回答情報、及び、前記公開鍵及び前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを前記証明者から取得し、
前記検証部は、前記ハッシュ値、前記一部のメッセージ、前記公開鍵、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する、
上記（５）又は（６）に記載の情報処理装置。

（９）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
前記検証者に前記第３の情報を提供する中間情報提供部と、
ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理装置。

（１０）
前記多次多変数多項式の組Ｆは、Ｆ_ｂ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）−Ｆ（ｘ）−Ｆ（ｙ）で定義されるＦ_ｂ（ｘ，ｙ）がｘ及びｙに関して双線形となるように設定される、
上記（９）に記載の情報処理装置。

（１１）
前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成し、
前記メッセージ提供部は、Ｎ回分の前記メッセージを１回の対話で前記検証者に提供し、
前記中間情報生成部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した前記第１の情報及び前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いてＮ回分の前記第３の情報を生成し、
前記中間情報提供部は、Ｎ回分の前記第３の情報を１回の対話で検証者に提供し、
前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記検証者に提供する、
上記（９）又は（１０）に記載の情報処理装置。

（１２）
前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成すると共に、Ｎ回分の前記メッセージから１つのハッシュ値を生成し、
前記メッセージ提供部は、前記ハッシュ値を前記検証者に提供し、
前記中間情報生成部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した前記第１の情報及び前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いてＮ回分の前記第３の情報を生成し、
前記中間情報提供部は、Ｎ回分の前記第３の情報を１回の対話で検証者に提供し、
前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報、及び、前記公開鍵及び前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを１回の対話で前記検証者に提供する、
上記（９）又は（１０）に記載の情報処理装置。

（１３）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理装置。

（１４）
前記多次多変数多項式の組Ｆは、Ｆ_ｂ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）−Ｆ（ｘ）−Ｆ（ｙ）で定義されるＦ_ｂ（ｘ，ｙ）がｘ及びｙに関して双線形となるように設定される、
上記（１３）に記載の情報処理装置。

（１５）
前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージを１回の対話で取得し、
前記情報提供部は、Ｎ回分の前記メッセージのそれぞれについて前記第１の情報をランダムに選択し、選択したＮ回分の前記第１の情報を１回の対話で前記証明者に提供し、
前記中間情報取得部は、Ｎ回分の前記第１の情報及びＮ回分の前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いて前記証明者が生成したＮ回分の前記第３の情報を取得し、
前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
前記回答取得部は、前記選択したＮ回分の検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記証明者から取得し、
前記検証部は、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
上記（１３）又は（１４）に記載の情報処理装置。

（１６）
前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージから生成された１つのハッシュ値を取得し、
前記情報提供部は、Ｎ回分の前記メッセージのそれぞれについて前記第１の情報をランダムに選択し、選択したＮ回分の前記第１の情報を１回の対話で前記証明者に提供し、
前記中間情報取得部は、Ｎ回分の前記第１の情報及びＮ回分の前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いて前記証明者が生成したＮ回分の前記第３の情報を取得し、
前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
前記回答取得部は、前記選択した検証パターンに対応する回答情報、及び、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを前記証明者から取得し、
前記検証部は、前記ハッシュ値、前記一部のメッセージ、前記公開鍵、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証し、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
上記（１３）又は（１４）に記載の情報処理装置。

（１７）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するステップと、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するステップと、
ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供するステップと、
を含み、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理方法。

（１８）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報処理装置が、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するステップと、
前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するステップと、
前記選択した検証パターンに対応する回答情報を前記証明者から取得するステップと、
前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証するステップと、
を含み、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理方法。

（１９）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するステップと、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するステップと、
前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成するステップと、
前記検証者に前記第３の情報を提供するステップと、
ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供するステップと、
を含み、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理方法。

（２０）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報処理装置が、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するステップと、
前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供するステップと、
前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得するステップと、
ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するステップと、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証するステップと、
を含み、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理方法。

（２１）
前記ｍ及びｎは、ｍ＜ｎの関係を有する、
上記（１）〜（１６）のいずれか１項に記載の情報処理装置。

（２２）
前記ｍ及びｎは、２^ｍ−ｎ≪１の関係を有する、
上記（２１）に記載の情報処理装置。

（２３）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
文書Ｍ及び前記メッセージを一方向性関数に入力して得られる数値に基づき、ｋ通り（ｋ≧３）の検証パターンの中から１つの検証パターンを選択するパターン選択部と、
選択した前記検証パターンに対応する回答情報を生成する回答生成部と、
署名として、前記メッセージ及び前記回答情報を前記検証者に提供する署名提供部と、
を備え、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
情報処理装置（署名生成装置）。

（２４）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成機能と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供機能と、
ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供機能と、
をコンピュータに実現させるためのプログラムであり、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
プログラム。

（２５）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持機能と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得機能と、
前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供機能と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得機能と、
前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証機能と、
をコンピュータに実現させるためのプログラムであり、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
プログラム。

（２７）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成機能と、
前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供機能と、
前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成機能と、
前記検証者に前記第３の情報を提供する中間情報提供機能と、
ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供機能と、
をコンピュータに実現させるためのプログラムであり、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
プログラム。

（２８）
環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持機能と、
前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得機能と、
前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供機能と、
前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得機能と、
ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供機能と、
前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得機能と、
前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証機能と、
をコンピュータに実現させるためのプログラムであり、
前記ベクトルｓは秘密鍵であり、
前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
前記多次多変数多項式の組Ｆは、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
プログラム。

（２９）
上記（２４）〜（２８）のいずれか１項に記載されたプログラムが記録された、コンピュータにより読み取り可能な記録媒体が提供される。

（備考）
上記の証明者アルゴリズムＰは、メッセージ生成部、メッセージ提供部、回答提供部、中間情報生成部、中間情報提供部の一例である。また、上記の検証者アルゴリズムＶは、情報保持部、メッセージ取得部、パターン情報提供部、回答取得部、検証部、中間情報取得部の一例である。

以上、添付図面を参照しながら本技術の好適な実施形態について説明したが、本技術は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本技術の技術的範囲に属するものと了解される。

Ｇｅｎ 鍵生成アルゴリズム
Ｐ 証明者アルゴリズム
Ｖ 検証者アルゴリズム
Ｓｉｇ 署名生成アルゴリズム
Ｖｅｒ 署名検証アルゴリズム

Claims (20)

1. 環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
   前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
   ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
   を備え、
   前記ベクトルｓは秘密鍵であり、
   前記多次多変数多項式の組Ｆは公開鍵またはシステムパラメータであり、前記ベクトルｙは公開鍵であり、
   前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
   前記多次多変数多項式の組Ｆは、秘密情報によらずに生成される情報であって、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
   情報処理装置。
2. 前記多次多変数多項式の組Ｆは、Ｆ_ｂ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）−Ｆ（ｘ）−Ｆ（ｙ）で定義されるＦ_ｂ（ｘ，ｙ）がｘ及びｙに関して双線形となるように設定される、
   請求項１に記載の情報処理装置。
3. 前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成し、
   前記メッセージ提供部は、Ｎ回分の前記メッセージを１回の対話で前記検証者に提供し、
   前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記検証者に提供する、
   請求項１に記載の情報処理装置。
4. 前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成すると共に、Ｎ回分の前記メッセージから１つのハッシュ値を生成し、
   前記メッセージ提供部は、前記ハッシュ値を前記検証者に提供し、
   前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報、及び、前記公開鍵及び前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを１回の対話で前記検証者に提供する、
   請求項１に記載の情報処理装置。
5. 環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、
   前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
   前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、
   前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
   前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
   を備え、
   前記ベクトルｓは秘密鍵であり、
   前記多次多変数多項式の組Ｆは公開鍵またはシステムパラメータであり、前記ベクトルｙは公開鍵であり、
   前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
   前記多次多変数多項式の組Ｆは、秘密情報によらずに生成される情報であって、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
   情報処理装置。
6. 前記多次多変数多項式の組Ｆは、Ｆ_ｂ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）−Ｆ（ｘ）−Ｆ（ｙ）で定義されるＦ_ｂ（ｘ，ｙ）がｘ及びｙに関して双線形となるように設定される、
   請求項５に記載の情報処理装置。
7. 前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージを１回の対話で取得し、
   前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
   前記回答取得部は、前記選択したＮ回分の検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記証明者から取得し、
   前記検証部は、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
   請求項５に記載の情報処理装置。
8. 前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージから生成された１つのハッシュ値を取得し、
   前記回答取得部は、前記選択した検証パターンに対応する回答情報、及び、前記公開鍵及び前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを前記証明者から取得し、
   前記検証部は、前記ハッシュ値、前記一部のメッセージ、前記公開鍵、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する、
   請求項５に記載の情報処理装置。
9. 環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
   前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
   前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
   前記検証者に前記第３の情報を提供する中間情報提供部と、
   ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
   を備え、
   前記ベクトルｓは秘密鍵であり、
   前記多次多変数多項式の組Ｆは公開鍵またはシステムパラメータであり、前記ベクトルｙは公開鍵であり、
   前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
   前記多次多変数多項式の組Ｆは、秘密情報によらずに生成される情報であって、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
   情報処理装置。
10. 前記多次多変数多項式の組Ｆは、Ｆ_ｂ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）−Ｆ（ｘ）−Ｆ（ｙ）で定義されるＦ_ｂ（ｘ，ｙ）がｘ及びｙに関して双線形となるように設定される、
    請求項９に記載の情報処理装置。
11. 前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成し、
    前記メッセージ提供部は、Ｎ回分の前記メッセージを１回の対話で前記検証者に提供し、
    前記中間情報生成部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した前記第１の情報及び前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いてＮ回分の前記第３の情報を生成し、
    前記中間情報提供部は、Ｎ回分の前記第３の情報を１回の対話で検証者に提供し、
    前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記検証者に提供する、
    請求項９に記載の情報処理装置。
12. 前記メッセージ生成部は、Ｎ回分（Ｎ≧２）のメッセージを生成すると共に、Ｎ回分の前記メッセージから１つのハッシュ値を生成し、
    前記メッセージ提供部は、前記ハッシュ値を前記検証者に提供し、
    前記中間情報生成部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した前記第１の情報及び前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いてＮ回分の前記第３の情報を生成し、
    前記中間情報提供部は、Ｎ回分の前記第３の情報を１回の対話で検証者に提供し、
    前記回答提供部は、Ｎ回分の前記メッセージのそれぞれについて前記検証者が選択した検証パターンに対応するＮ回分の前記回答情報、及び、前記公開鍵及び前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを１回の対話で前記検証者に提供する、
    請求項９に記載の情報処理装置。
13. 環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、
    前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
    前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
    前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
    ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
    前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
    前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
    を備え、
    前記ベクトルｓは秘密鍵であり、
    前記多次多変数多項式の組Ｆは公開鍵またはシステムパラメータであり、前記ベクトルｙは公開鍵であり、
    前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    前記多次多変数多項式の組Ｆは、秘密情報によらずに生成される情報であって、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
    情報処理装置。
14. 前記多次多変数多項式の組Ｆは、Ｆ_ｂ（ｘ，ｙ）＝Ｆ（ｘ＋ｙ）−Ｆ（ｘ）−Ｆ（ｙ）で定義されるＦ_ｂ（ｘ，ｙ）がｘ及びｙに関して双線形となるように設定される、
    請求項１３に記載の情報処理装置。
15. 前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージを１回の対話で取得し、
    前記情報提供部は、Ｎ回分の前記メッセージのそれぞれについて前記第１の情報をランダムに選択し、選択したＮ回分の前記第１の情報を１回の対話で前記証明者に提供し、
    前記中間情報取得部は、Ｎ回分の前記第１の情報及びＮ回分の前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いて前記証明者が生成したＮ回分の前記第３の情報を取得し、
    前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
    前記回答取得部は、前記選択したＮ回分の検証パターンに対応するＮ回分の前記回答情報を１回の対話で前記証明者から取得し、
    前記検証部は、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
    請求項１３に記載の情報処理装置。
16. 前記メッセージ取得部は、Ｎ回分（Ｎ≧２）の前記メッセージから生成された１つのハッシュ値を取得し、
    前記情報提供部は、Ｎ回分の前記メッセージのそれぞれについて前記第１の情報をランダムに選択し、選択したＮ回分の前記第１の情報を１回の対話で前記証明者に提供し、
    前記中間情報取得部は、Ｎ回分の前記第１の情報及びＮ回分の前記メッセージを生成する際に得られるＮ回分の前記第２の情報を用いて前記証明者が生成したＮ回分の前記第３の情報を取得し、
    前記パターン情報提供部は、Ｎ回分の前記メッセージのそれぞれについて検証パターンを選択し、選択したＮ回分の検証パターンの情報を１回の対話で前記証明者に提供し、
    前記回答取得部は、前記選択した検証パターンに対応する回答情報、及び、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行しても得られない一部のメッセージを前記証明者から取得し、
    前記検証部は、前記ハッシュ値、前記一部のメッセージ、前記公開鍵、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証し、Ｎ回分の前記メッセージの全てについて検証が成功した場合に、前記証明者が前記ベクトルｓを保持していると判定する、
    請求項１３に記載の情報処理装置。
17. 環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージをコンピュータが生成するステップと、
    前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを前記コンピュータが提供するステップと、
    ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に前記コンピュータが提供するステップと、
    を含み、
    前記ベクトルｓは秘密鍵であり、
    前記多次多変数多項式の組Ｆは公開鍵またはシステムパラメータであり、前記ベクトルｙは公開鍵であり、
    前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    前記多次多変数多項式の組Ｆは、秘密情報によらずに生成される情報であって、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
    情報処理方法。
18. 環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報処理装置が、
    前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するステップと、
    前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記情報処理装置が提供するステップと、
    前記選択した検証パターンに対応する回答情報を前記証明者から前記情報処理装置が取得するステップと、
    前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを前記情報処理装置が検証するステップと、
    を含み、
    前記ベクトルｓは秘密鍵であり、
    前記多次多変数多項式の組Ｆは公開鍵またはシステムパラメータであり、前記ベクトルｙは公開鍵であり、
    前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    前記多次多変数多項式の組Ｆは、秘密情報によらずに生成される情報であって、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
    情報処理方法。
19. 環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｓ∈Ｋ^ｎに基づいてメッセージをコンピュータが生成するステップと、
    前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを前記コンピュータが提供するステップと、
    前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を前記コンピュータが生成するステップと、
    前記検証者に前記第３の情報を前記コンピュータが提供するステップと、
    ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に前記コンピュータが提供するステップと、
    を含み、
    前記ベクトルｓは秘密鍵であり、
    前記多次多変数多項式の組Ｆは公開鍵またはシステムパラメータであり、前記ベクトルｙは公開鍵であり、
    前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    前記多次多変数多項式の組Ｆは、秘密情報によらずに生成される情報であって、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
    情報処理方法。
20. 環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報処理装置が、
    前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するステップと、
    前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を前記情報処理装置が提供するステップと、
    前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を前記情報処理装置が取得するステップと、
    ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に前記情報処理装置が提供するステップと、
    前記選択した検証パターンに対応する回答情報を前記証明者から前記情報処理装置が取得するステップと、
    前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを前記情報処理装置が検証するステップと、
    を含み、
    前記ベクトルｓは秘密鍵であり、
    前記多次多変数多項式の組Ｆは公開鍵またはシステムパラメータであり、前記ベクトルｙは公開鍵であり、
    前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報であり、
    前記多次多変数多項式の組Ｆは、秘密情報によらずに生成される情報であって、前記公開鍵を生成するユーザ毎に異なる情報を用いて生成される、
    情報処理方法。