JP2002540653A - エンティティの真正性および／または特殊素因子を使用するメッセ−ジの完全性および／または真正性を証明するための方法、システム、及び装置 - Google Patents

エンティティの真正性および／または特殊素因子を使用するメッセ−ジの完全性および／または真正性を証明するための方法、システム、及び装置

Info

Publication number
JP2002540653A
JP2002540653A JP2000597915A JP2000597915A JP2002540653A JP 2002540653 A JP2002540653 A JP 2002540653A JP 2000597915 A JP2000597915 A JP 2000597915A JP 2000597915 A JP2000597915 A JP 2000597915A JP 2002540653 A JP2002540653 A JP 2002540653A
Authority
JP
Japan
Prior art keywords
mod
prime
profile
equation
value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2000597915A
Other languages
English (en)
Other versions
JP2002540653A5 (ja
JP4772189B2 (ja
Inventor
ギユ，ルイ
キスクワテル，ジャン‐ジャック
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
France Telecom SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from FR9901065A external-priority patent/FR2788910A1/fr
Priority claimed from FR9903770A external-priority patent/FR2788911A1/fr
Application filed by France Telecom SA filed Critical France Telecom SA
Publication of JP2002540653A publication Critical patent/JP2002540653A/ja
Publication of JP2002540653A5 publication Critical patent/JP2002540653A5/ja
Application granted granted Critical
Publication of JP4772189B2 publication Critical patent/JP4772189B2/ja
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs

Abstract

(57)【要約】 証明は、以下のパラメータによって提供される。つまり、ｆ＞２であるｆ個の素因子ｐiの積によって形成される公開指数ｎ、共用の上付き文字ｖ、ｍ個の基数ｇi、ｍ＞１である。基数ｇiは、２つの等式、ｘ2≡ｇiｍｏｄ ｎ、およびｘ2≡−ｇi ｍｏｄ ｎが、モジュロｎのの整数環においてｘについて解くことができず、等式ｘv≡ｇi 2ｍｏｄ ｎが、共用の上付き文字ｖ＝２kという形を取り、ここで、ｋが機密保護パラメータである場合には、モジュロｎの整数環においてｘについて解くことができる。

Description

【発明の詳細な説明】
【０００１】 本発明は、エンティティの真正性（authenticity）および／またはメッセージ
の完全性（integrity）および／または真正性を証明するように設計されている
方法、システムおよびデバイスの技術分野に関する。
【０００２】 発明者がLouis−GuillouおよびJean−Jacques Quisquaterである特許ＥＰ第０
３１１４７０Ｂ１号公報がこのような方法を説明する。これ以降、彼らの研究を
、用語「ＧＱ特許」または「ＧＱ方法」によって引用するものとする。これ以降
、表現「ＧＱ２」または「ＱＧ２発明」あるいは「ＧＱ２技術」を、フランステ
レコム（France Telecom）とＴＤＦと企業Mathrizkとによって、本出願と同日に
登録され、発明者がLouis GuillouおよびJean−Jacques Quisquaterである係属
出願の対象であるＧＱ技術の新しい開発を記述するために使用するものとする。
これらの係属中の出願の特徴的な特色は、以下の説明の中で必要なときに想起す
る。
【０００３】 ＧＱ方法に従って、「信頼される当局（trusted authority）」として知られ
ているエンティティは、「証人(witness)」と呼ばれているエンティティ（entit
y）に対しアイデンティティ(identity)を割り当て、それのＲＳＡ符号を計算す
る。顧客イズ化したプロセスでは、信頼される当局は、証人にアイデンティティ
および符号を与える。その後に証人は以下を宣言する。つまり、「ここに私のア
イデンティティがある。私は、そのＲＳＡ符号を知っている。」証人は、事実を
明らかにすることなく、自分が自らのアイデンティティのＲＳＡを知っているこ
とを証明する。ＲＳＡ公開識別鍵（RSA public identification key）は、信頼
される当局により配布されるが、「監査官（controller）」として知られるエン
ティティが、その知識を得ずに、ＲＳＡ符号が宣言されたアイデンティティに一
致することを確かめる。ＧＱ方法を使用する機構は、「知識の移管（without tr
ansfer of knowledge）」を行わずに起こる。ＧＱ方法に従って、証人は、信頼
される当局がそれを使って大多数のアイデンティティに署名するＲＳＡ秘密鍵（
RSA private key）を知らない。
【０００４】 前記ＧＱ技術はＲＳＡ技術を利用している。しかしながら、ＲＳＡ技術は真に
係数ｎの因数分解に依存しているが、ＲＳＡ技術を実現しているデジタル符号の
多様な規格に対するいわゆる倍数的に増加する攻撃（multiplicative attacks）
においてみられるように、この依存は等価でなく実際にはそれとはかなり異なっ
ている。
【０００５】 ＧＱ２技術の目標は２つの部分を有する。つまり、第１に、ＲＳＡ技術の性能
特徴を改善すること、第２にＲＳＡ技術に固有の問題を回避することである。Ｇ
Ｑ２秘密鍵を知っていることは、係数ｎの因数分解を知っていることに等価であ
る。三つ組のＧＱ２に対する攻撃は、係数ｎの因数分解につながる。このときに
は等価性がある。ＧＱ２技術を用いると、署名をするあるいは自己認証するエン
ティティにとっての、および、監査するエンティティにとっての作業量は削減さ
れる。機密保護と性能の両方の点での因数分解の問題をさらにうまく使用するこ
とにより、ＧＱ２技術はＲＳＡ技術の欠点を回避する。
【０００６】 ＧＱ方法は、５１２ビット以上を備える数のモジュロ計算を実現する。これら
の計算は、約２16＋１乗まで累乗されたのと実質的に同じ大きさを有する数に関
する。現在では、特に、銀行カードの分野における既存のマイクロエレクトロニ
クス・インフラストラクチャは、演算コプロセッサを使用しないで一体式の自己
プログラム可能なマイクロプロセッサを利用する。ＧＱ方法などの方法に関係す
る複数の演算アプリケーションに関する作業量は、一定の場合には、顧客が購入
物を支払うために銀行カードを使用するには不利であることを判明する計算時間
に通じている。ここでは、支払カードの安全性を高めるため、銀行当局が、特に
解決が困難な問題を引き起こしたことを想起することができる。実際、２つの明
らかに矛盾する問題を解決しなければならない。つまり、一方では、各カードの
ますます長いかつ識別可能な鍵を使用することにより安全性を高めつつ、他方で
は、作業量がユーザに対して過剰な計算時間に通じることを妨げるのである。こ
の問題は、既存のインフラストラクチャおよび既存のマイクロプロセッサ構成要
素を考慮に入れることも必要となるため、特に急を要する。
【０００７】 ＧＱ２技術は、安全性を高めつつ、この問題に対する解決策を提供する。
【０００８】 ＧＱ２技術は、特殊な特性を有する素因数を実現する。これらの素因数を作り
出すには多様な既存の技法がある。本発明の目的とは、このような素因数の組織
的な生産のための方法である。それは、特にＧＱ２技術の実施によりこれらの因
数から作り出すことができるアプリケーションにも関する。これらの特殊な素因
数およびそれらを得るための方法が、Ｑ２技術の分野を超えて適用可能であるこ
とをいま強調しなければならない。
【０００９】 本発明は、コントローラエンティティに以下を証明するように作られた方法（
ＧＱ２方法）に適用できる。 エンティティの真正性、および／または、 このエンティティに関連付けられたメッセージＭの完全性
【００１０】 この証明は、以下のパラメータまたはその派生物のすべてまたは一部によって
確立される。 ｆ個の素因数ｐ1，ｐ2，…ｐf（ｆは２に等しいまたは大きい）の積により構
成されている公開モジュラス(public modulus)ｎと、 公開指数(public exponent)ｖと、 ｍ個の別個の整数基数(integer base number)ｇ1，ｇ2，…ｇm（ｍは、１以上
）。
【００１１】 基数ｇiは、２つの等式（１）と（２）である ｘ2≡ｇiｍｏｄ ｎおよびｘ2≡−ｇiｍｏｄ ｎ が、モジュロｎの整数環(the ring of integers modulo n)においてｘについて
解くことができないほどであり、等式（３） ｘv≡ｇi 2ｍｏｄ ｎ は、モジュロｎの整数環においてｘについて解くことができるほどである。
【００１２】 本発明に従った方法は、等式（１）、（２）および（３）が満たされるような
方法でｆ個の素因数ｐ1,，ｐ2,，…ｐf．を作り出すために使用される。本発明
に従った方法は、最初に、 ｍ個の基数ｇ１，，ｇ２，，…ｇｍ，と、 係数ｎのサイズと、 ｆ個の素因数ｐ１，，ｐ２，，…ｐｆのサイズと を選ぶステップを含んでなる。
【００１３】 該方法は、公開指数ｖが、ｖ＝２kの形を持つ場合に関し、ここで、ｋは１よ
り大きい機密保護パラメータ(security parameter)である。機密保護パラメータ
ｋは、素数としても選択される。指数ｖのこの特殊な値は、ＧＱ２技術の必須な
特色の１つである。
【００１４】 好ましくはｍ個の基数 ｇ1,，ｇ2,，…ｇmは、第１の整数の間で少なくとも
部分的に選択される。また好ましくは、機密保護パラメータｋは、小さい整数、
特に１００以下である。有利には、係数ｎのサイズは、数百ビットより大きい。
また有利には、ｆ個の素因数ｐ１，，ｐ２，，…ｐｆは、因数の数ｆで除算され
た係数ｎのサイズに近いサイズである。
【００１５】 本発明の特徴に従った主要な特徴に従い、ｆ個の素因数ｐ１，，ｐ２，，…ｐ
ｆは、明記されていない方法では選択されない。ｆ個の素因数ｐ１，，ｐ２，，
…ｐｆの内、それらの一定数ｅが、モジュロ４の１に一致するように選択される
。素因数のこのｅは、ゼロであってよい。ｅがゼロである場合には、係数ｎは、
これ以降、基本係数と呼ばれる。ｅ＞０である場合には、係数ｎは、これ以降、
結合係数と呼ばれる。ｆ−ｅ個のそれ以外の素因数は、モジュロ４の３に一致す
るように選択される。素因数のこのｆ−ｅは、少なくとも２に等しい。
【００１６】 （モジュロ４の３に一致するｆ−ｅ個の素因数の選択） モジュロ４の３に一致するｆ−ｅ個の素因数ｐ１，，ｐ２，，…ｐｆ-eを繰り
出すためには、以下のステップを実施する。 モジュロ４の３に一致する第１素因数ｐ1を選択してから、 第２の素因数ｐ2を、ｐ2が基数ｇ1に関してｐ1に相補的（conplementary）と
なるように選択する。
【００１７】 因数ｐi+1を選択するためには、２つの場合を区別する上で以下の手順を使用
する。 （１）ｉ＞ｍの場合には、 ｉ＞ｍ４であるならば、モジュロ４の３に一致する因数ｐi+1を選択する。 （２）ｉ＜ｍの場合には、 ｉ＜ｍであるならば、ｉ個の第１素因数ｐiに関してｇiのプロファイル（Ｐ
ｒｏｆｉｌｅi（ｇi））を計算する。 Ｐｒｏｆｉｌｅi（ｇi）が平坦(flat)である場合には、因数ｐi+1を、ｐi+1がｇ i に関してｐ1に相補的となるように選択する。 それ以外の場合には、ｉ−１個の基数ｇ1，ｇ2，…ｇi-1 およびそのすべての
乗法の組み合わせの中で、これ以降ｇと呼ばれる数を、Ｐｒｏｆｉｌｅi（ｇ）
＝Ｐｒｏｆｉｌｅi（ｇi）となるように選択し、したがってｐｉ＋１を、Ｐｒｏ
ｆｉｌｅi+1（ｇi） ( Ｐｒｏｆｉｌｅi+1（ｇ）となるように選択する。
【００１８】 用語「相補的（conplementary）」、「プロファイル(profile)」、「平坦なプ
ロファイル(flat profile)」は、本明細書の記述において定義される意味を有す
る。
【００１９】 最後の素因数ｐf-eを選択するためには、３つの場合区別する上で、以下の手
順を使用する。 （１）ｆ−ｅ−１ ＞ ｍである場合 ｆ−ｅ−１＞ｍである場合、ｐf-eを、モジュロ４の３に一致して選択する
。 （２）ｆ−ｅ−１＝ｍである場合 ｆ−ｅ−１＝ｍである場合、Ｐｒｏｆｉｌｅf-e-1（ｇm）を、ｐ1からｐf-e -1, というｆ−ｅ−１個の第１素因子に関して計算する。 もし、Ｐｒｏｆｉｌｅf-e-1（ｇm）が平坦である場合には、ｐf-e-1を、
それがｇmに関してｐ1に相補的となるように選択する。 それ以外の場合には、以下に規定されている手順に従う。 ｇ1からｇm-1 というｍ−１個の基数およびすべてのその乗法の組み合わ
せの中で、これ以降ｇと呼ばれる数をＰｒｏｆｉｌｅi（ｇ）＝Ｐｒｏｆｉｌｅi （ｇi）となるように選択し、そして、ｐf-eをＰｒｏｆｉｌｅf-e（ｇ） ( Ｐ
ｒｏｆｉｌｅf-e（ｇm）となるように選択する。 （３）ｆ−ｅ−１＜ｍである場合 ｆ−ｅ−１＜ｍである場合には、ｐf-eが、以下の２つの条件を満たすと選
択される。 （３．１） 第１条件 Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1）が、ｐ1からｐf-e-1のｆ−ｅ−１個の第１素
因数に関して計算される。その場合に２つの場合が考えられる。これらの２つの
場合のどちらかに応じて、第１条件が異なる。 もし、Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1）が平坦である場合には、ｐf-eを、そ
れがｇf-e-1に関してｐ1に相補的であるという第１条件を満たすように選択する
。それ以外の場合には、ｇ1からｇm-1 というｆ−ｅ−１個の基数およびそのす
べての乗法組み合わせの中では、これ以降ｇと呼ばれる数を、Ｐｒｏｆｉｌｅi
（ｇ）＝Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1） となるように選択してから、それが
Ｐｒｏｆｉｌｅf-e(ｇ） ( Ｐｒｏｆｉｌｅf-e(ｇm）（第２場合に従った第１
条件）となるという条件を満たすように、ｐf-eを選択する。 （３．２）第２条件 ｇf-eからｇmというすべての最後の基数の間で、プロファイルＰｒｏｆｉｌｅ f-e-1 （ｇi）が平坦であるそれらの数を選択してから、ｐf-eを、それがこのよ
うにして選択された基数のそれぞれに関してｐ1に相補的であるという条件（第
２条件）を満たすように選択する。
【００２０】 （モジュロ４の１に一致するｅ個の素因数の選択） モジュロ４の１に一致するｅ個の素因数を作り出すためには、以下の２つの連
続試験にさらされる上で、ｐf-eからｐfのそれぞれの素因数候補ｐを評価する。 （１）第１試験 ルジャンドル記号を、候補素因数ｐに関してｇ1からｇmまでそれぞれの基数ｇ iニ 関して計算する。 ルジャンドル記号が−１に等しい場合には、候補ｐを拒絶し、 ルジャンドル記号が＋１に等しい場合には、候補ｐの評価を続く基数に移る際
に続行し、そして、最後の基数が考慮に入れられると、第２試験へと通過する。 （２）第２試験 整数ｔを、ｐ−１が２t+1によってではなく２tによって除算可能であるように
計算し、そして、整数ｓを、ｓ＝（ｐ−１＋２t）／２t+1となるように計算する
。 鍵<ｓ，ｐ>は、結果ｒを得るためにそれぞれの公開値Ｇiニ適用される。 ｒ≡Ｇi sｍｏｄ ｐ もし、ｒがｇi または−ｇiに等しい場合には、第２試験を以下の公開値Ｇi+1 に移る際に続行する。 もし、ｒがｇi または−ｇiとは異なる場合には、因数ｕを、１からｔ−２
の範囲までＣＧ（ｐ）の添数ｉｉに指定される以下のアルゴリズムを適用する上
で計算する。該アルゴリズムは２つの変数を実行する。つまり、ｒによって初期
化されるｗと、ＣＧ（ｐ）の非平方剰余に鍵(（ｐ−１）／２t，ｐ(を適用する
ことによって得られる数ｂだけではなく、２から２t-2の範囲の値を想定したｊ
ｊ＝２iiとである。該アルゴリズムは、必要な限り何回でも以下のシーケンスを
繰り返す。 ステップ１では、ｗ2／Ｇi(mod ｐ）を計算する。 ステップ２では、結果を２t-ii-1乗まで累乗する。２つの場合を考慮すべきで
ある。 第１場合 ＋１が得られる場合には、以下の公開値Ｇi+1への通過があり、第２試験をこ
の公開値に関して実行する。 第２場合 −１が得られる場合には、ｊｊ＝２iiを計算されてから、ｗをｗ．ｂjj(mod
ｐ）によって置換する。そして、アルゴリズムを添数ｉｉを有する以下の値に関
して続行する。 該アルゴリズムの最後では、変数ｊｊ内の値を、関係ｊｊ＝２t-u によって整
数ｕを計算するために使用し、そして、表記ｔ−ｕを計算する。２つの場合が生
じる。 ｔ−ｕ＜ｋの場合には、候補ｐを拒絶する。 ｔ−ｕ＞ｋの場合、以下の公開値Ｇi+1に移り、第２試験で続行される際に候
補ｐの評価を続行する。 候補ｐは、第２試験の最後にｍ個の公開値Ｇiに関して、それが拒絶されなか
った場合に、モジュロ４の１に一致する素因数として受け入れられる。
【００２１】 （ＧＱ２の公開値および秘密値に対する適用） 本発明は、上記に説明された方法を適用し、それを可能にする方法（ＧＱ２）
にも関し、特別な特性を有するｆ個の素因数ｐ１，，ｐ２，，…ｐｆを作り出す
ことを想起することができる。上記に説明された方法の適用のための方法は、コ
ントローラエンティティに対して、以下を証明するように設計される。 エンティティの真正性、および／または、 このエンティティに関連付けられたメッセージＭの完全性であり、 この証明を、以下のパラメータまたはこれらのパラメータの派生物のすべてま
たは一部によって確立する。 ｍ組の秘密値Ｑ1，Ｑ2，…Ｑmおよび公開値Ｇ1，Ｇ2，…Ｇm（ｍは、１以上）
と、 前記素因数ｆｐ1，ｐ2，…ｐf（ｆは２以上）の積によって構成される公開モ
ジュラスｎと、 公開指数ｖと、 前記係数と前記指数と前記値とは、以下の型の関係によってリンクされる。 Ｇi．Ｑi v≡１．ｍｏｄ ｎ、または、Ｇi≡Ｑi v ｍｏｄ ｎ ． 前記指数ｖは、ｖ＝２kであり、ここで、ｋは、１より大きい機密保護パラメ
ータである。 前記公開値Ｇiは、ｆ個の素因数ｐ1，ｐ2，…ｐfより小さい基数ｇiの平方根
ｇi 2である。基数ｇiは、以下の２つの等式 ｘ2 ≡ ｇi ｍｏｄ ｎ、および、ｘ2 ≡ −ｇi ｍｏｄ ｎ が、モジュロｎの整数環においてｘについて解くことができず、以下の等式 ｘv ≡ ｇi 2 ｍｏｄ ｎ が、モジュロｎの整数環においてｘについて解くことができる。 前記方法は、以下のステップで証人と呼ばれるエンティティを実行する。前記
証人エンティティは、ｆ個の素因数ｐiおよび／または該素因数のチャイニーズ
の剰余（Chinese remainder）のおよび／または公開モジュラスｎのパラメータ
および／またはｍ個の秘密値Ｑiおよび／または該秘密値Ｑiおよび公開指数ｖの
ｆ．ｍ個の構成要素Ｑi,j（Ｑi,j ≡ Ｑi ｍｏｄ ｐj）を有する。 証人は、整数モジュロｎの環内のコミットメントＲを計算する。各コミットメ
ントは、 Ｒ≡ｒv ｍｏｄ ｎの型の演算を実行することによって、ここで、ｒは、０＜
ｒ＜ｎとなるようにランダムな因数である。 あるいは、 Ｒi≡ｒi vｍｏｄ ｐiの型の演算を実行することによって、ここで、ｒiは、０
＜ｒi＜ｐiとなるように素数ｐiに関連付けられたランダムな値であり、各ｒiは
ランダムな因数｛ｒ1，ｒ2，…ｒf｝の集合体に属し、そして、チャイニーズの
剰余の方法を適用することのどちらかによって計算される。 証人は、１以上のチャレンジｄを受け取る。それぞれのチャレンジｄは、これ
以降初歩チャレンジと呼ばれるｍ個の整数ｄiを備える。証人は、各チャレンジ
ｄに基づき、応答 Ｄを、 Ｄ≡ｒ．Ｑ1 d1．Ｑ2 d2．…Ｑm dmｍｏｄ ｎの型の演算を実行することによって
、 あるいは、 Ｄi≡ｒi．Ｑi,1 d1．Ｑi,2 d2．…Ｑi,m dmｍｏｄ ｐiの型の演算を実行し、そし
て、チャイニーズの剰余方法（Chinese remainders method、孫氏剰余としても
知られている）を適用することによって計算する。
【００２２】 方法は、コミットメントＲがあるため、チャレンジｄがあるほど多くの応答Ｄ
があるほどであり、Ｒ，ｄ，Ｄ のそれぞれのグループは三つ組の参照された
｛Ｒ，ｄ，Ｄ｝を形成する。
【００２３】 好ましくは、上述したように秘密値Ｑ1，Ｑ2，…Ｑmおよび公開値Ｇ1，Ｇ2，
…Ｇmの組を実現するために、方法は、チャイニーズの剰余の素因数ｐ1，ｐ2，
…ｐfおよび／またはパラメータ、基数ｇ1，ｇ2，…ｇmおよび／または公開値Ｇ 1 ，Ｇ2，…Ｇmを使用して、以下のどちらかを計算する。 Ｇiのモジュロｎのｋ番目の平方根を抽出することによって、またはＧiのモジ
ュロｎのｋ番目の平方根の逆数を取ることによって秘密値Ｑ1，Ｑ2，…Ｑmか、 あるいは、Ｑi,j ≡Ｑi（ｍｏｄ ｐj）となるように、秘密値Ｑ1，Ｑ2，…Ｑ m のｆ．ｍ個の秘密構成要素Ｑi,jか のどちらかを計算する。
【００２４】 さらに特定すると、秘密値Ｑ1，Ｑ2，…Ｑm のｆ．ｍ個の秘密構成要素Ｑi,j を計算するために、 鍵<ｓ，ｐj >を、ｚ ≡ Ｇi s（ｍｏｄ ｐj）となるようにｚを計算するため
に適用し、 値ｔとｕを使用する。
【００２５】 値ｔおよびｕは、ｐjを、モジュロ４の１に一致するときにここに示されるよ
うに計算する。値ｔおよびｕは、それぞれ１（ｔ＝１）および０（ｕ＝０）であ
ると解釈され、ここではｐjは、モジュロ４の３に一致する。 もし、値ｕがゼロである場合には、以下となるようにすべての数ｚｚを考える
。 ｚｚがｚに等しい、または、 ｚｚが単位の２ii-t２ii番目の原始根のそれぞれによってｚの積（ｍｏｄ
ｐj）に等しく、ｉｉが１からｍｉｎ（ｋ，ｔ）の範囲である。
【００２６】 ｕが正である場合には、ｚｚが単位の２k ２k−番目の累乗根のそれぞれによ
ってｚａの積（ｍｏｄ ｐj）に等しくなり、ｚａが前述されたアルゴリズムの
最後で変数ｗの値を指定するように、すべての数ｚｚを考えることができる。
【００２７】 構成要素Ｑi,jの少なくとも１つの値をそれから推論する。それは、等式Ｇi
≡ Ｑi vｍｏｄ ｎを使用するときにｚｚに等しいか、またはさもなければ、そ
れは等式Ｇi．Ｑi v≡１．ｍｏｄ ｎを使用するときにｚｚのモジュロｐｊのｚｚ
逆数に等しい。
【００２８】 （説明） ＧＱ技術の目標を想起することができる。つまり、それは、エンティティのデ
ジタル符号だけではなく、エンティティおよび関連付けられたメッセージの動的
な認証でもある。
【００２９】 ＧＱ技術の標準的なバージョンは、ＲＳＡ技術を利用する。しかしながら、Ｒ
ＳＡ技術は真に因数分解に依存しているが、この依存は等価ではなく、ＲＳＡ技
術を実現する多様なデジタル符号規格に対する倍数的に増加する攻撃として知ら
れる攻撃から見られるように、それとはかなり異なっている。
【００３０】 ＧＱ２技術という状況では、本発明のこの部分は、さらに特に、動的な認証お
よびデジタル符号に備えるように作られるＧＱ２鍵の集合の生産に関する。ＧＱ
２技術は、ＲＳＡ技術を使用しない。目標は２つの部分を持つ目標である。つま
り、第１に、ＲＳＡ技術に関して性能を改善すること、および第２にＲＳＡ技術
に固有な問題を防止することである。ＧＱ２秘密鍵は、係数ｎの因数分解である
。ＧＱ２の三つ組に対する任意の攻撃は係数ｎの因数分解に相当する。つまり、
この時点では等価性がある。ＧＱ２技術を使用すると、署名をする、あるいは認
証されるエンティティにとって、および監査（コントロール）するエンティティ
の両方にとって作業量は削減される。機密保護および性能という両方の点での因
数分解の問題の改善された使用を通して、ＧＱ２技術はＲＳＡ技術に匹敵する。
【００３１】 ＧＱ２技術は、例えば、基数と呼ばれ、ｇｉと参照される、ｍ個の小さい整数
（ｍ(１）１より大きい１以上の小さい整数を使用する。そして、公開認証鍵(ｖ
，ｎ(を以下のように選択する。公開認証指数（public velification exponent
）ｖは ２kであり、この場合ｋは、（ｋ≧２）より大きい、小さい整数である
。公開モジュラスｎは、例えば、ｐ1 …ｐfのｐjによって参照されるｆ個の素
因数（ｆ≧２）である、基数より大きい少なくとも２つの素因数の積である。ｆ
個の素因数は、公開モジュラスｎが、ｇ1からｇmへのｍ個の基数のそれぞれに関
して以下の特性を有する。 第１に、（数１）および（数２）は、整数モジュロｎの環においてｘについて
解くことができない。つまり、ｇiおよび−ｇiは２つの非平方剰余(non-quadrat
ic residues)（ｍｏｄ ｎ）である。
【数１】
【数２】 第２に、（数３）は、モジュロｎの整数モジュロｎの環においてｘについて解
くことができる。
【数３】 これ以降、これらの特性もＧＱ２原則と呼ばれる。
【００３２】 公開認証鍵 (ｖ，ｎ(は、ｍ(１である場合のｇ1からｇmという基数に従って
固定されるため、それぞれの基数ｇiが、公開値Ｇiおよび秘密値ＱIを備える値
ＧＱ２の組を決定する。つまり、ｍ組の参照されたＧ1Ｑ1からＧmＱmを与える。
公開値Ｇiは基数ｇIの平方でありＧi＝ｇi 2を与える。秘密値Ｑiは、等式（３）
に対する解の１つであるか、それ以外の場合にはこのような解の逆数（ｍｏｄ
ｎ）である。
【００３３】 係数ｎがｆ個の素因数に分解されるように、整数モジュロｎの環は、ＣＧ（ｐ 1 ）からＣＧ（ｐf）までのｆ個のガロア体（Galois field）に分解される。ここ
では、ＣＧ（ｐj）内に（数１）、（数２）および（数３）の投射がある。
【数４】
【数５】
【数６】
【００３４】 各秘密値Ｑiは、１つの素因数あたり１個の、ｆ個の秘密構成要素によって一
意に表される。つまり、Ｑi,j≡Ｑi（ｍｏｄ ｐj）である。各秘密構成要素Ｑi ,j は、等式（数６）に対する解であるか、それ以外の場合には、このような解の
逆数（ｍｏｄ ｐj）である。各等式（数６）に対するすべての考えられる解が
計算された後に、チャイニーズの剰余の技法が、等式（数３）に対するすべての
考えられる解を得るために、このような解のＱi,1からＱi,f：Ｑi＝チャイニー
ズの剰余（Ｑi,1，Ｑi,2，…Ｑi,f） のｆ個の構成要素に基づいて、秘密値Ｑi ごとにすべての考えられる値をセットアップする。
【００３５】 以下はチャイニーズの剰余の技法（Chinese remainders technique）である。
つまり、０＜ａ＜ｂとなるように、相互に素数ａおよびｂである２つの正の整数
、および０からａ−１、および０からｂ−１までの２つの構成要素ＸaおよびＸb を存在させる。Ｘ＝チャイニーズの剰余（Ｘa，Ｘb）、つまりＸa≡Ｘ（ｍｏｄ
ａ）およびＸb≡Ｘ（ｍｏｄ ｂ）となるように、０からａ．ｂ−１という単一数
Ｘを求めることが必要とされる。以下がチャイニーズの剰余パラメータである。
つまり、( ≡｛ｂ（ｍｏｄ ａ）｝−1（ｍｏｄ ａ）である。以下はチャイニー
ズの剰余演算である。つまり、( ≡ Ｘb（ｍｏｄ ａ）、( ＝ Ｘa−(、(が負で
ある場合には、( を(＋ａと、( ≡ ( ．(（ｍｏｄ ａ）と、Ｘ＝(．ｂ＋Ｘ b とに置換する。
【００３６】 素因子が最小のｐ1から最大のｐfへと昇順で並べられるとき、チャイニーズの
剰余パラメータは以下（ｆ−１、つまり素因数の内の少なくとも１つがある）で
ある場合がある。第１のチャイニーズの剰余パラメータは、( ≡｛ｐ2（ｍｏｄ
ｐ1）｝−1（ｍｏｄ ｐ1）である。第２のチャイニーズの剰余パラメータは、(
≡｛ｐ1．ｐ2（ｍｏｄ ｐ3）｝−1（ｍｏｄ ｐ3）である。ｉ番目のチャイニ
ーズの剰余パラメータは、( ( ｛ｐ1．ｐ2．…ｐi(1（ｍｏｄ ｐi）｝−1（ｍ
ｏｄ ｐi）のようになる。最後に、ｆ−１個のチャイニーズの剰余演算では、
第１結果（ｍｏｄ ｐ2 × ｐ1）が第１パラメータで得られ、そして、第２結果
（ｍｏｄｐ1．ｐ2 × ｐ3）が第２パラメータで得られ、結果（ｍｏｄ ｐ1．…
ｐf(1 × ｐf）、つまり（ｍｏｄ ｎ）まで等々である。
【００３７】 本発明の目的とは、考えられるすべての集合の中での任意のＧＱ２鍵の集合の
ランダムな生成のための方法である。すなわち、 すべての考えられるＧＱ２係数の中での任意の係数、つまりｍ個の基数ｇIご
とに、等式（数１）および（数２）がモジュロｎの整数環のｘの中で解決できな
いが、等式（数３）がそれらの内の１つを有することを保証する係数のランダム
な生成と、 等式（数６）のそれぞれにすべての考えられる解決策を計算することである。
チャイニーズの剰余技法によりすべての考えられるｈｔ等式の中で等式（数３）
に対するｘ内の任意の解を得るために、Ｑi,1からＱi,fのｆ個の構成要素の各集
合から秘密値Ｑiを得ることを可能にする。 Ｑi＝チャイニーズの剰余（Ｑi,1，Ｑi,2，…Ｑi,f）
【００３８】 問題を把握し、それから問題に与えられるべき解、つまり本発明を理解するた
めに、最初にＧＱ２技術の原理の適用可能性を分析するものとする。「ＣＧ（ｐ
）の平方まで累乗される」関数を研究し、「ＣＧ（ｐ）の平方剰余の平方根を取
る」ために、ガロア体ＣＧ（ｐ）内での階数の概念を思い出すことによって始め
よう。それから、私達は、等式（数４）と（数５）と（数６）とに対するＣＧ（
ｐ）内のｘでの解の存在および数を分析するものとする。
【００３９】 （ＣＧ（ｐ）内の元（element）の階数（Rank）） 奇数の素数ｐおよびｐより小さい正の素数ａを取ってみよう。その後に ｛Ｘ
｝を定義してみよう。
【数７】 添数ｉ＋ｐの項を計算し、フェルマの定理（Fermat's theorem）を使用してみる
。ここで、
【数８】 である。
【００４０】 その結果、シーケンス｛Ｘ｝ の期間は ｐ(１ または ｐ(１の割り算器で
ある。この期間はａの値に依存する。定義によって、この期間は「ａ（ｍｏｄ
ｐ）の階数」と呼ばれる。それは、シーケンス｛Ｘ｝内の単位の出現の添数であ
る。ここで、
【数９】 である。
【００４１】 例えば、（ｐ(１）／２が奇数の素数ｐ'であるとき、ガロア体ＣＧ（ｐ）は、
階数１が指定される単一元を備える。つまり、それは１であり、階数２が指定さ
れた単一元である。それは−１、階数ｐ'のｐ'(１元、階数２．ｐ'、つまり階数
ｐ(１のｐ'(１元である。
【００４２】 その階数がｐ(１であるＣＧ（ｐ）の元は、原始元、あるいはまた、ＣＧ（ｐ
）の生成器と呼ばれる。名前は、ＣＧ（ｐ）内のその連続する累乗、つまり１か
らｐ−１まで進む添数の｛Ｘ｝シーケンスの項が、ＣＧ（ｐ）のすべての非零元
の順列を形成するという事実による。
【００４３】 ＣＧ（ｐ）の原始元ｙに従って、ｉおよびｐ(１の関数として元ｙi（ｍｏｄ
ｐ）の階数を評価してみる。ｉがｐ(１が指定される素数であるとき、それはｐ(
１である。ｉがｐ(１を割ると、それは（ｐ(１）／iである。すべての場合で、
それは（ｐ(１）／ｐｇｃｄ（ｐ(１，ｉ）である。
【００４４】 オイラー関数（Euler function）は(で参照される。定義により、ｎが正の整
数であるため、(（ｎ）はｎが指定される素数であるｎより小さい正の整数の数
である。したがって、体ＣＧ（ｐ）には、(（ｐ(１）個の原始元がある。
【００４５】 例証によって、ここにＲＳＡ技術の基礎がある。公開モジュラスｎは、ｆ(２
がであるｐ1からｐfのｆ個の素数の積であり、その結果、素因数ｐjごとに、公
開指数ｖは、ｐj−１である素数である。鍵(ｖ，ｐj(は、ＣＧ（ｐj）の元の階
数と準拠する。それが、それらを並べ替える逆置換は、ｐj−１がｖ．ｓj−１を
割るように、鍵 (ｓj，ｐj(を用いて得られる。
【００４６】 （ＣＧ（ｐ）内の累乗および平方根） 元ｘおよびｐ−ｘは、ＣＧ（ｐ）内に同じ平方を有する。鍵 (２，ｐ(は、ｐ
−１が偶数値であるため、ＣＧ（ｐ）を並べ替えない。素数ｐごとに、以下のよ
うに整数ｔを定義しよう。ｐ−１は、２t+1によってではなく２tによって除算可
能であり、つまりｐは、２t＋１（ｍｏｄ ２t+1）に一致している。例えば、
ｐが３（ｍｏｄ ４）に一致するときｔ＝１である。ｐが５（ｍｏｄ ８）に一
致するときｔ＝２である。ｐが９（ｍｏｄ １６）に一致するときｔ＝３である
。ｐが１７（ｍｏｄ ３２）に一致するときｔ＝４である、等々。それぞれの奇
数の素数は、１つのおよび唯一のカテゴリに見られる。つまり、ｐはｔ番目のカ
テゴリ内で見られる。実際に、かなり多数の連続する素数を考える場合には、あ
らゆる２の内のほぼ１が第１カテゴリで見つかり、４の内の１が第２カテゴリで
見つかり、８の内の１が第３カテゴリで見つかり、１６の内の１が第４カテゴリ
で見つかる、等々。要約すると、平均して２tの内の１つがｔ番目のカテゴリに
見つけられる。
【００４７】 引数の階数のパリティに従って関数の動作、「ＣＧ（ｐ）の平方まで累乗する
」を考えてみよう。 唯一の固定された元がある。それが１である。奇数パリティ階数の他の任意の
元の平方は、同じ回数を有する別の元である。その結果、鍵(２，ｐ(がすべての
その（ｐ−１）／２t奇数パリティ階数元を並べ替える。順列サイクルの数は、
（ｐ−１）／２tの因数分解に依存する。例えば、（ｐ−１）／２tが素数ｐ'で
あるときには、ｐ'−１個の元を備える大きな順列サイクルがある。 任意の奇数パリティ階数元の平方は、その階数が２によって除算される別の元
である。その結果、奇数パリティ奇数元は、（ｐ−１）／２t個の分岐上で分散
される。奇数パリティ階数が指定される各非零元は２t−１個の元、つまり４に
よってではなく、２によって除算可能な階数の元、それからｔ(２の場合には８
によってではなく４によって除算可能な階数の２個の元、およびｔ(３の場合に
は１６によってではなく８によて除算可能な階数の４個の元、およびｔ(４の場
合には３２によってではなく１６によって除算可能な階数の８個の元等々、を備
える長さｔの分岐を生み出す。各分岐の２t−1個の末尾は非平方剰余である。つ
まり、その階数は２tによって除算可能である。
【００４８】 図１Ａから図２Ｂは、体のｐ−１個の非零元のそれぞれがその場所を見つける
指向型グラフによって関数「ＣＧ（ｐ）の平方まで累乗する」を図解する。非平
方剰余は白であり、平方剰余は黒である。平方剰余の中、奇数パリティ階数元は
円の中にある。
【００４９】 これらの図は、それぞれ以下を示す。 図１Ａは、ｐが３（ｍｏｄ ４）に一致する場合を示す。 図１Ｂは、ｐが５（ｍｏｄ ８）に一致する場合を示す。 図２Ａは、ｐが９（ｍｏｄ １６）に一致する場合を示す。 図２Ｂは、ｐが１７（ｍｏｄ ３２）に一致する場合を示す。
【００５０】 今回は、ａがＣＧ（ｐ）の平方剰余であることが既知であるので、等式ｘ2
≡ ａ（ｍｏｄ ｐ）に従って、ｘについての解を計算する方法、つまり「ＣＧ
（ｐ）内で平方根を取る」方法を見てみよう。言うまでもなく、同じ結果を得る
複数の方法がある。つまり、読者は、有利なことに「Graduate Texts in Mathem
atics」, vol.138 (ＧＴＭ１３８)だけではなく、１９９３年にBerlin，Springe
r出版のHenri Cohenの「A Coursein Computational Algebraic Number Theory
」の３１〜３６頁も参照することができる。
【００５１】 鍵<ｓ，ｐ>を確立するために整数ｓ＝（ｐ−１＋２t）／２t+1を計算してみよ
う。つまりｐが３（ｍｏｄ ４）に一致するときには、(（ｐ＋１）／４，ｐ(で
ある。ｐが５（ｍｏｄ ８）に一致するときには、(（ｐ＋３）／８，ｐ(である
。ｐが９（ｍｏｄ １６）であるときには (（ｐ＋７）／１６，ｐ(である。ｐ
が１７（ｍｏｄ ３２）であるときには(（ｐ＋１５）／３２，ｐ(である、等々
。 鍵<ｓ，ｐ>は、任意の奇数パリティ階数元の奇数階数平方根を与える。実際に
、ＣＧ（ｐ）では、ｒ2／ａは累乗（２．（ｐ−１＋２t）／２ t+1）−１ ＝（
ｐ−１）／２t乗まで累乗されるａに等しい。その結果、ａがサイクル（cycle）
にあるとき、鍵<ｓ，ｐ>が、ａを、ｗと呼ばれる解へと変換する。他の解はｐ−
ｗである。 一般的には、鍵<ｓ，ｐ>は、任意の平方剰余ａをｒと呼ばれる解の第１近似へ
と変換する。以下は、平方根ａまでの近似のステップごとの改善の方法の大まか
な略図が続く２個の鍵ポイントである。 第１に、ａは平方剰余であるため、鍵 (２t−1，ｐ(は、確かにｒ2／ａを
１へと変換する。 第２に、私達が、ｙと命名されるＣＧ（ｐ）の非平方剰余を知っていると仮
定することができる。鍵(（ｐ−１）／２t，ｐ(は、ｙをｂと呼ばれる元へと変
換する。これが、−１の根２t−1番目である。実際に、ｙ(p−1)/2 ≡ −１（
ｍｏｄ ｐ）である。その結果、ＣＧ（ｐ）では、単位の２tの２t番目の根の乗
法群は、１から２tまの指数のｂ乗の乗法群に同形である。 ａの平方根に近づくためには、ｒ2／ａを２t−2（ｍｏｄ ｐ）乗まで累乗
しよう。その結果は＋１または−１である。新しい近似は、結果が＋１である場
合にはｒのままであるか、さもなければ結果−１である場合には、それはｂ．ｒ
（ｍｏｄ ｐ）になる。その結果、鍵(２t−2，ｐ(は、確かに新規近似を１に変
換する。必要とされる値に近づき続けることが可能である。次の段階では、必要
な場合に、ｂ2（ｍｏｄ ｐ）等で乗算することにより、調整が行われるだろう
。
【００５２】 以下のアルゴリズムは、前記に定義された整数ｒおよびｂからａの平方根に達
するために連続近似を行う。それは、以下の２つの変数を使用する。つまり、連
続近似を表すためにｒによって初期化されるｗ、および２から２t(2の２乗の間
の値を想定するｊｊである。
【００５３】 １からｔ−２までの範囲のｉの場合には、以下のシーケンスを反復する。 ｗ2／ａ（ｍｏｄ ｐ）を計算してから、結果を２t−i−1（ｍｏｄ ｐ）乗ま
で累乗する。つまり、＋１または−１が得られるべきである。−１が得られると
、 ｊｊ＝２iを計算し、そして、ｗをｗ．ｂjj（ｍｏｄ ｐ）で置換する。＋
１が得られるときには何もしない。
【００５４】 計算の最後では、ｗおよびｐ−ｗはＣＧ（ｐ）内のａの２つの平方根である。
さらに、私達は、ＣＧ（ｐ）内の階数ａが２t+1／ｊｊによってではなく、２t／
ｊｊによって除算可能であることを学ぶ。この観察の関連性は、以下に理解され
るだろう。
【００５５】 （ＣＧ（ｐ）内でのＧＱ２技術の原理の分析） １より大きい２つの整数ｇとｋおよびｇより大きい素数ｐを取ってみよう。等
式（数４），（数５）および（数６）内でのＣＧ（ｐ）のｘの中の解の存在およ
び数を分析してみよう。
【００５６】 ガロア体ＣＧ（ｐ）においては、ｔの値に応じて、つまりｐ−１を除算する２
の累乗に従って、さまざまな場合を区別してみよう。ｐ−１が２t+1によってで
はなく、２tによって除算可能である、つまりｐが２t＋１（ｍｏｄ ２t+1）に
一致していることを想起することができる。過去の分析は、私達に、大まかな解
だけではなく問題に関するかなり正確な考えも与えてくれる。
【００５７】 ｔ＝１のとき、ｐは３（ｍｏｄ ４）に一致している。ｐに関するｇおよび−
ｇというルジャンドル記号は異なる。つまり、ＣＧ（ｐ）の任意の平方剰余はＣ
Ｇ（ｐ）内に２つの平方根を有する。つまり、一方は平方剰余であり、他方は非
平方剰余である。第１に、２つの等式（数４）または（数５）の一方はＣＧ（ｐ
）内のｘの中に２つの解を有し、他方は何も有さない。第２に、等式（数６）に
は、ｋの値が何であれ、ＣＧ（ｐ）のｘの中に２つの解を有する。
【００５８】 ｔ＝２のとき、ｐは５（ｍｏｄ ８）に一致している。２つの場合は、ｐに関
するｇ のルジャンドル記号に応じて発生する。記号が−１に等しいとき、 ｇ
および−ｇは、ともにＣＧ（ｐ）の非平方剰余である。３つの等式（数４）と
（数５）と（数６）とは、ＣＧ（ｐ）のｘの中に解を有していない。記号が＋１
に等しいとき、ｇおよび−ｇはＣＧ（ｐ）の２つの平方剰余であり、各等式（数
４）および（数５）はＣＧ（ｐ）内のｘの中に２つの解を有する。さらに、ＣＧ
（ｐ）内のｇ2の階数は、ｋの値が何であれ、等式（数６）にはＣＧ（ｐ）内の
ｘの中に４つの解があり、その内の１つだけが奇数パリティ階数を有することを
暗示する奇数パリティ値である。
【００５９】 図３は、ｋ＝６およびｐが５（ｍｏｄ ８）に一致し、ｔ＝２を示す等式（数
６）に対する解を図解する。５（ｍｏｄ ８）に等しいｐに関する２のルジャン
ドル記号は、−１．２(p−1)/4（ｍｏｄ ｐ）に等しく、そして、−１という平
方根に等しい。したがって、私達は、以下を有する。
【数１０】
【数１１】
【００６０】 ｔ＝３のとき、ｐは９（ｍｏｄ １６）に等しい。Ｐに関するｇのルジャンド
ル記号を考慮してみよう、記号が−１に等しいとき、ｇおよび−ｇはＣＧ（ｐ）
の２つの非平方剰余である。つまり、３つの等式（数４）、（数５）、（数６）
は、ＣＧ（ｐ）のｘの中に解がない。記号が＋１に等しいとき、ｇおよび−ｇは
ＣＧ（ｐ）の２つの平常剰余である。つまり、各等式（数４）および（数５）に
はＣＧ（ｐ）内ｘの中に２つの解がある。ｘについての等式（数６）に対する解
の存在はＣＧ（ｐ）内のｇ2の階数に依存する。この階数は、奇数パリティ値で
あるか、または４によってではなく２によって除算可能である。ＣＧ（ｐ）のｇ 2 の階数が４によってではなく２によって除算可能であるとき、等式（数６）に
は、ｋ＝２の場合、ＣＧ（ｐ）内のｘについて４つの解がある。つまり、それは
ｋ(３を超えることはできない。ＣＧ（ｐ）内のｇ2の階数が奇数パリティ値であ
るとき、等式（数６）はｋ＝２の場合ＣＧ（ｐ）内のｘの中に４つの解を有し、
ｋ(３の場合には８つの解を有する。両方の場合とも、唯一の値は奇数パリティ
値である。
【００６１】 ｔ＝４のとき、ｐは１７（ｍｏｄ ３２）に一致している。Ｐに関してｇのル
ジャンドル記号を考えてみよう。記号が−１に等しいとき、ｇおよび −ｇはＣ
Ｇ（ｐ）の２つの非平方剰余である。つまり、３つの等式（数４）、（数５）、
（数６）は、ＣＧ（ｐ）内のｘについて解がない。記号が＋１に等しいとき、ｇ
および−ｇはＣＧ（ｐ）の２つの平方剰である。各等式（数４）および（数５）
はＣＧ（ｐ）内のｘの中に２つの解を有する。等式（数６）に対するｘについて
解の存在は、ＣＧ（ｐ）内のｇ2の階数に依存する。この階数は、奇数パリティ
値であるか、または８によってではなく、２または４によって除算可能である。
ＣＧ（ｐ）内のｇ2の階数が８によってではなく２によって除算可能である場合
には、等式（数６）は、ｋ＝２の場合、ＣＧ（ｐ）内のｘについて４つの解を有
する。つまり、それはｋ≧３を超えることはできない。ＣＧ（ｐ）内のｇ2の階
数が４によってではなく２によって除算可能であるとき、等式（数６）は、ｋ＝
２の場合ＣＧ（ｐ）内のｘについて４つの解、またはｋ＝３の場合８つの解を有
する。それは、ｋ≧４の場合にはまったく解を有さない。ＣＧ（ｐ）内のｇ2の
階数が奇数パリティ値であるとき、等式（数６）は、ｋ＝２の場合ＣＧ（ｐ）内
のｘの中で４つの解を、ｋ≧３の場合８つの解を、およびｋ≧４のときには１６
個の解を有する。３つすべての場合において、唯一の値は奇数パリティ値である
。
【００６２】 ｐが１（ｍｏｄ ４）に一致している場合を、以下のように要約できるように
等々である。
【００６３】 ｐが１（ｍｏｄ ４）に等しいとき、ｐに関するｇのルジャンドル記号を考え
てみよう。記号が−１に等しいとき、ｇおよび−ｇはＣＧ（ｐ）の２つの非平方
剰余である。つまり、３つの等式（数４）、（数５）、（数６）は、ＣＧ（ｐ）
のｘについて解がない。記号が＋１に等しいとき、ｇおよび−ｇは、ＣＧ（ｐ）
の２つの平方剰余である。各等式（数４）および（数５）は、ＣＧ（ｐ）のｘに
ついて２つの解を有する。整数ｕを定義してみよう。ＣＧ（ｐ）内のｇ2の階数
は、２u+1によってではなく、２uによって除算可能である。ｕ の値は０からｔ
−２の考えられるｔ−１値の中にある。等式（数６）に対するＣＧ（ｐ）のｘの
中の解の存在および数は、ｋ、ｔおよびｕの値に依存する。ｕが正であり、ｋが
ｔ−ｕより大きい場合には、等式（数６）は、ＣＧ（ｐ）の ｘについて解を有
していない。ｕがゼロであり、ｋがｔより大きいとき、等式（数６）はＣＧ（ｐ
）のｘについて２t個の解を有する。ｋがｔ−ｕより小さいとき、等式（数６）
は、ＣＧ（ｐ）内のｘの中に２k個の解を有する。
【００６４】 （整数係数の環内でのＧＱ２原理の適用可能性） 等式（数１）および（数２）がそれぞれモジュロｎの整数環のｘの中で解を有
さないためには、ｐ1からｐf，という素因数ｐの少なくとも１つにとって、等式
（数４）および（数５）がそれぞれＣＧ（ｐ）内のｘに解を有さないことが必要
であり十分である。
【００６５】 等式（数３）がモジュロｎの整数環のｘの中で解を有するためには、ｐ1から
ｐf，という素因数ｐのそれぞれにとって、等式（数６）がＣＧ（ｐ）内のｘに
解を有さなければならないことが必要であり、十分である。
【００６６】 等式（数３）は、１（ｍｏｄ ４）に一致する素因数ｐが、可能な限りはやく
基数ｇの１つに関してｇ1からｇmになるのを禁止する。つまり、ｐに関するｇと
いうルジャンドル記号が−１に等しいか、あるいはさもなければｐに関するｇと
いうルジャンドル記号は以下の条件付きで＋１に等しい。つまり、ｕが正であり
、ｔ−ｋより大きい。１（ｍｏｄ ４）に等しい素因数ｐが考えられる可能性が
あるためには、ここに前述された２つの整数ｔおよびｕに従って、ｇ1からｇmの
基数ｇのそれぞれに対する次の２つの条件の内の１つを満たすことが必要である
。Ｇ＝ｇ2の階数は、ｋの値が何であれ、ＣＧ（ｐ）内の奇数パリティ階数であ
る、つまりｕ＝０である。または、さもなければＧ＝ｇ2の階数はＣＧ（ｐ）内
の奇数パリティ階数値、つまりｕ＞０であり、それがｕ＋ｋ≦ｔという条件を満
たす。
【００６７】 １（ｍｏｄ ４）に一致する素因数の積は、ＧＱ２技術のすべての原理を満た
すことはできない。各ＧＱ２係数は、基数ｇごとに、これらの因数の一方に関す
るｇのルジャンドル記号が、他方に関するｇのルジャンドル記号と異なるように
、３（ｍｏｄ ４）に一致している少なくとも２個の素因数を有さなければなら
ない。すべての素因数が３（ｍｏｄ ４）に一致しているとき、ＧＱ２係数は基
本(basic)であるといわれる。３（ｍｏｄ ４）に一致している少なくとも２つ
の素因数に加えて、係数は、１（ｍｏｄ ４）に一致している１以上の素因数を
含み、係数ＧＱ２は 結合されていると言われる。
【００６８】 （係数ＧＱ２の体系的な構築） 最初に、係数ｎに関して規定されなければならない全体的な制約を固定する必
要がある。つまり、１のときの最上位ビットの数（少なくとも１つ、言うまでも
なく、典型的には１６ビットまたは３２ビット）、素因数の数ｆと１（ｍｏｄ
４）に一致しなければならない素因数の数ｅ（おそらくゼロ）だけではなく、ビ
ット単位で表されるサイズ（例えば、５１２ビットまたは１０２４ビット）、そ
の他の素因数、すなわちｆ−ｅ因数、少なくとも２つが３（ｍｏｄ ４）に一致
していなければならない。係数ｎは、類似したサイズのｆ個の素因数の積となる
。ｅ＝０のとき、基本係数ＧＱ２が得られる。ｅ＞０のとき、結合係数ＧＱ２が
得られる。基本係数は、すべて３（ｍｏｄ ４）に等しい素因数の積である。し
たがって、結合係数ＧＱ２は、１（ｍｏｄ ４）に一致している１以上のその他
の素因数によって乗算される基本係数ＧＱ２の積として出現する。最初に、３（
ｍｏｄ ４）に一致している素因数が作成される。そして、ｅ＞０であると、１
（ｍｏｄ４）に一致している素因数が作成される。
【００６９】 係数の構築の効力のため、それが素数値であるかどうかを突き止めようとする
前に各候補を選択するのが確かによいであろう。
【００７０】 ｇ1 ｇ2 …によって参照されるとき、基数は、典型的には第１素数、つまり
２、３、５、７．．．の中で見つけられる。逆の表示がない場合には、ｍ個の基
数はｍ個の第１素数である。つまり、ｇ1＝２、ｇ2＝３、ｇ3＝５、ｇ4＝７、…
。しかしながら、以下の点を注記しなければならない。５（ｍｏｄ ８）に一致
する係数が予想される場合には２は回避しなければならない。公開鍵 (３，ｎ(
をＲＳＡ公開認証鍵として使用しなければならない場合には、３は回避しなけれ
ばならない。
【００７１】 （３（ｍｏｄ ４）に一致するｆ−ｅ個の素因数の選択） 第２因数に基づき、プログラムは、因数ごとに１つの基数を要求、使用する。
３（ｍｏｄ ４）に一致する最後の因数を選択するためには、プログラムは、他
の基数があるかどうか、すなわちｍがｆ−ｅに等しい、またはそれより大きいか
どうかを突き止め、それからこれが当てはまる場合には、ｇf(eからｇmという最
後の基数を要求し、考慮に入れる。３（ｍｏｄ ４）と一致する最後の基数の選
択を形式化するために、私達はプロファイルという概念を導入した。プロファイ
ルは、ｇより大きく、３（ｍｏｄ ４）に一致する素因数の集合に関して整数ｇ
を特徴付ける。 整数ｇに２つの素因数に関して同じルジャンドル記号が付く場合には、素因数
は、ｇに関して等価であるといわれる。さもないと、それらはｇに関して相補的
である。 プロファイル（ｇ）によって参照され、ｆ個の素因数ｐ1 ｐ2 …ｐfに関す
る整数ｇのプロファイルは、素因数あたり１ビットのｆ個のビットのシーケンス
である。第１ビットは１に等しい。それぞれの続くビットは、次に因数がｇに関
してｐ1に等価であるのか、または相補的であるのかに応じて１または０に等し
い。 プロファイルのすべてのビットが１に等しいとき、プロファイルは平坦である
と言われる。このような場合には、ｇに関するすべてのルジャンドル記号は＋１
に等しいか、さもなければ−１に等しい。ｇのプロファイルが平坦ではないとき
、等式（数１）および（数２）は、モジュロｎの整数環のｘ の中で解くことは
できない。 定義によって、３（ｍｏｄ４）に一致する単一素数に関するｇのプロファイル
はつねに平坦である。この拡張は、３（ｍｏｄ ４）に一致する素因数の選択の
アルゴリズムを汎用化するために使用される。
【００７２】 ２つの基数ｇ1とｇ2のプロファイルが異なるとき、それは３（ｍｏｄ ４）に
一致する少なくとも３つの素因数を暗示し、２つの秘密値Ｑ1とＱ2の情報が、係
数ｎの２つの異なる分解の情報を引き出す。基数が小さい素数であるとき、プロ
グラムは、ｆ−ｅ−１個の基本素数の２f−e−1−１個の乗法の組み合わせのプ
ロファイルがすべて異なることを保証する。それらは、すべての考えられる値を
取る。プロファイルという概念は、１（ｍｏｄ ４）に一致する素因数まで拡張
しない。
【００７３】 ３（ｍｏｄ ４）に一致する第１素因数ｐ1は、各候補が他の特定の制約なし
に３（ｍｏｄ ４）に一致しなければならない。
【００７４】 第１基数ｇ1が考慮に入れられている３（ｍｏｄ ４）に一致する第２素因数
ｐ2は、各候補がｇ1に関してｐ1に相補的でなければならない。
【００７５】 第２基数ｇ2が考慮に入れられている３（ｍｏｄ ４）に一致する第３素因数
ｐ3は、２つの第１素因数ｐ1およびｐ2に関するｇ2のプロファイルに従って、２
つの場合が発生する。Ｐｒｏｆｉｌｅ2（ｇ2）が平坦であるとき、各候補はｇ2
に関してｐ1に相補的でなければならない。さもなければ、Ｐｒｏｆｉｌｅ2（ｇ 1 ）＝Ｐｒｏｆｉｌｅ2（ｇ2）を有する。そして、各候補は、Ｐｒｏｆｉｌｅ3（
ｇ1）(Ｐｒｏｆｉｌｅ3（ｇ2）を保証しなければならない。
【００７６】 基数ｇiが考慮に入れられている３（ｍｏｄ ４）に一致するｉ番目の素因数
ｐi+1の選択は、ｉ個の第１素因数ｐ1，ｐ2，…ｐiに関するｇiのプロファイル
に従って、２つの場合が発生する。Ｐｒｏｆｉｌｅi（ｇi）が平坦であるとき、
各候補はｇiに関してｐ1に対し相補的でなければならない。さもなければ、ｉ−
１番目の基数ｇ1，ｇ2，…ｇi−1およびその乗法の組み合わせｇ1．ｇ2，…，ｇ 1 ．ｇ2．…ｇi−1、つまり、すべての中で２i−1−１個の整数の中では、Ｐｒｏ
ｆｉｌｅi（ｇi）＝Ｐｒｏｆｉｌｅi（ｇ）であるように、１つおよび唯一の整
数ｇがある。そして、各候補は、Ｐｒｏｆｉｌｅi+1（ｇi）(Ｐｒｏｆｉｌｅi+1 （ｇ）を保証しなければならない。
【００７７】 基数ｇf−e−1およびｇf−eからｇmというそれ以外の基数が考慮に入れられて
いる３（ｍｏｄ ４）に一致する最後の素因数ｐf−eは、基数ｇf−e−1のため
の制約が前述されたように考慮に入れられる。さらに、ｍがｆ−ｅに等しい、ま
たはそれより大きいとき、各候補はｆ−ｅ個の素因数に関してｇf−eからｇmと
いう最後の基数の非平坦プロファイルに備えなければならない。各候補は、Ｐｒ
ｏｆｉｌｅf−e−1（ｇi）が平坦であるｇ iのすべての値に関してｐ1に相補的
でなければならない。
【００７８】 要約すると、３（ｍｏｄ ４）に一致する素因数は、互いの関数として選択さ
れる。
【００７９】 ０からｆ−ｅ−１の範囲のｉの場合には、３（ｍｏｄ ４）に一致するｉ＋１
番目の素因数を選択するには、候補ｐi+1は、無事に以下の試験に合格しなけれ
ばならない。 ｉ＞ｍまたはｉ＝０の場合には、候補ｐｉ＋１にはそれ以外の制約はない。し
たがって、それは受け入れられている。 ０＜ｉ(ｍの場合には、候補ｐi+1はｉ番目の基数ｇiを考慮に入れなければな
らない。ｐ1からｐiのｉ個の素因数に関する基数ｇIのプロファイルＰｒｏｆｉ
ｌｅi（ｇi）を計算する。結果に応じて、以下の２つの場合の内の１つおよび１
つだけが発生することができる。 プロファイルが平坦である場合には、候補ｐi+1は、ｇiに関してｐ1に相補
的でなければならない。さもなければ、それは拒絶されなければならない。 さもなければ、ｉ−１個の基数およびすべてのその乗法組み合わせの中で、
Ｐｒｏｆｉｌｅi（ｇ）＝Ｐｒｏｆｉｌｅi（ｇi）となるようにｇと呼ばれる１
つのおよび唯一の数がある。そして、候補ｐi+1は、Ｐｒｏｆｉｌｅi+1（ｇ）
( Ｐｒｏｆｉｌｅi+1（ｇi）となるようでなければならない。さもなければ、
それは拒絶されなければならない。 ｉ＋１＝ｆ−ｅであり、ｉ＜ｍの場合、つまりまだ考慮に入れられていない、
基数ｇf(eからｇmが残るときには、３（ｍｏｄ ４）に一致する最後の素因数を
選択するために、候補ｐf−eはそれらを考慮に入れなければならない。これらの
基数の中で、そのプロファイルＰｒｏｆｉｌｅf(e−1（ｇi）が平坦であるそれ
らの数が選択される。候補ｐf−eは、このようにして選択された基数のそれぞれ
に関してｐ1に相補的でなければならない。さもなければ、それらは拒絶されな
ければならない。
【００８０】 候補は、それが無事に適切な試験を受けたため受け入れられる。
【００８１】 （１（ｍｏｄ ４）に一致するｅ個の素因数の選択） 許容できるためには、１（ｍｏｄ ４）に一致する各候補ｐは、ｇ1からｇmと
いう各基数に関して以下の条件を満たさなければならない。 ｐに関する各基数ｇiのルジャンドル記号を評価してみよう。もし、記号が−
１に等しい場合には、候補ｐを拒絶し、別の候補に移動しよう。記号が＋１に等
しい場合には、候補の評価を続行しよう。整数２が基数として使用される場合に
は、５（ｍｏｄ ８）に一致するすべての候補が削除されなければならない。基
数２は５（ｍｏｄ８）に一致する係数とは相容れない。 鍵<ｓ，ｐ>を確立するために、整数ｓ＝（ｐ−１＋２t）／２t+1を計算しよう
。結果ｒを得るために、各公開値Ｇiに鍵<ｓ，ｐ>を適用しよう。 もし、ｒがｇiまたは−ｇiに等しい場合には、ｕ＝０である。この場合およ
びこの場合だけ、Ｇiはサイクル内にある。自明な場合を注記することができる
。つまり、Ｇiは、ｐが５（ｍｏｄ ８）に一致し、ｐに関するｇiというルジャ
ンドル記号が＋１に等しいならばサイクル内にある。Ｇi＝４が、この場合では
不可能であることを想起することができる。 もし、ｒがｇiにも−ｇiにも等しくない場合には、ｕ＞０である。鍵 (（
ｐ−１）／２t，ｐ(が、あらゆる非平方剰余ｙを、単位の２t番目の根であるｂ
に変換することを注記しなければならない。以下のアルゴリズムは、２つの整数
変数を使用することにより、ｒおよびｂからｕを計算する。つまり、ｒによって
初期化されたｗおよび２から２t(2の値を取るｊｊである。 １からｔ−２の範囲のｉの場合には、以下のシーケンスを繰り返す。 ｗ2／Ｇi（ｍｏｄ ｐj）を計算してから、累乗２t−i−1（ｍｏｄｐj）まで
結果を累乗する。つまり、私達は、＋１または−１を得なければならない。−１
が得られたら、ｊｊ＝２iを計算し、それからｗ．ｂjj（ｍｏｄ ｐj）で ｗ
を置換する。＋１が得られたら何も行わない。
【００８２】 計算の最後に、変数ｗは、値ｇiまたは−ｇiを有する。さらに、ＣＧ（ｐj）
内のＧi の階数が、２t+1／ｊｊによってではなく、 ２t／ｊｊによって除
算可能である、つまり、ｊｊがｊｊ＝２t −uによるｕの値を決定することを知
っている。ｖがｊｊより大きいとき、つまりｋ＞ｔ−ｕであるときには、候補を
拒絶し、別の候補に移動する。ｖがｊｊより小さい、または等しいとき、つまり
ｋ≦ｔ−ｕには、候補の評価を続行する。
【００８３】 ｆ個の素因数が作成されると、公開モジュラスｎは、ｆ個の素因数ｐ1，ｐ2，
…ｐfの積である。符号なし整数ｎは、バイナリシーケンスによって表すことが
できる。つまり、このシーケンスは、ビットのサイズに関して、および１での連
続最上位ビットの数に関してプログラムの始めに課された制約に準拠している。
素因数の選択は、ｍ個の基数ｇ1，ｇ2，…ｇm のそれぞれに関しての係数ｎの
以下の特性に備える。さらに、等式（数１）および（数２）は、モジュロｎの整
数環のｘの中に解を有さない。第２に、等式（数３）は、モジュロｎの整数環の
ｘの中に解を有する。
【００８４】 要約すると、１（ｍｏｄ ４）に一致する素因数は、互いとは無関係に選ばれ
る。３（ｍｏｄ ４）に一致する因数は徐々に基数を考慮に入れるが、１（ｍｏ
ｄ ４）に一致する各素因数は基数のそれぞれによって規定されているすべての
制約を考慮に入れなければならない。ｐf(eからｐfまでの１（ｍｏｄ ４）に一
致する各素因数、つまりｐは、２つのステップで以下の試験を無事に受けるべき
であった。 １）ステップ（１）は、ｇ1からｇmへｍ個の基数のそれぞれに連続して実行さ
れる。 候補ｐに関する現在の基数ｇのルジャンドル記号が計算される。以下の２つの
場合の内の１つおよび１つだけが発生する。つまり、記号が−１に等しい場合に
は、候補は拒絶される。さもなければ（記号が＋１に等しい）、試験は、ステッ
プ（１）の後の基本数ｇに移る際に続行される。 候補がすべてのｍ個の基数に関して許容できるときには、演算はステップ（２
）に移る。 ２）ステップ（２）は、Ｇ1からＧmまでｍ個の公開値のそれぞれに連続して実
行される。 整数ｔは、ｐ−１が２t+1によってではなく、２tによって除算可能であるよう
に計算され、それから鍵<ｓ，ｐ>をセットアップするために、整数ｓ＝（ｐ−１
＋２t）／２t+1である。鍵(ｓ，ｐ(は、結果ｒ、つまり、
【数１２】 を得るために、現在の公開値Ｇ＝ｇ2に適用される。結果に応じて、以下の状態
の１つおよび１つだけが発生する。 ａ）ｒがｇまたは−ｇに等しい場合には、ｕ＝０である。候補の試験はステッ
プ（２）で以下の公開値Ｇに移る際に続行される。 ｂ）さもなければ、正の数ｕが、２つの変数を実現する以下のアルゴリズムを
適用する際に、１からｔ−２の値の１つを取って計算される。つまり、２から２ t−2 という範囲の値を取るｊｊおよびＣＧ（ｐ）の非平方剰余に鍵(（ｐ−１）
／２t，ｐ(を適用することによって得られる整数ｂだけではなく、ｒによって初
期化されるｗである。 １からｔ−２の添数ｉｉの場合、以下の演算が繰り返される。 ｗ2／Ｇ（ｍｏｄ ｐ）を計算してから、鍵(２t−ii−1，ｐ(が、＋１ま
たは−１を得るために結果に適用される（さもなければ、候補が素因数ではない
という証拠がある）。−１が得られる場合には、ｊｊ＝２iiが計算されてから、
ｃ ( ｂjj（ｍｏｄ ｐ）を計算し、ｗをｗ．ｃ（ｍｏｄ ｐ）によって置換
し、そして、次の添数ｉｉへの通過がある。＋１が得られると、次の添数ｉｉへ
の通過がある。 アルゴリズムの最後では、変数ｊｊの値が、関係性ｊｊ＝２t−uによってｕを
定義する。変数ｗ の値はＧの平方根、つまりｇまたは−ｇである（さもなけれ
ば、候補が素因数ではないという証拠がある）。２つの場合が発生する。 ｔ−ｕ＜ｋの場合には、候補ｐは、Ｇが発生する分岐が十分に長くないため
に拒絶される。 （ｔ−ｕ≧ｋ）の場合には、候補の評価は、ステップ（２）の後に次の公開値
Ｇに移動する上で続行される。 候補がすべてのｍ個の公開値にとって許容できるときには、それは１（ｍｏｄ
４）と一致する素因数として受け入れられる。
【００８５】 （関連付けられる値の計算） 秘密構成要素を得るために、一般的な場合を取り上げる前に、まず２つの最も
簡略かつ最新の場合での等式（数６）に対するすべての解を計算しよう。
【００８６】 ３（ｍｏｄ ４）に一致する各素因数ｐjに対しては、鍵 (（ｐj＋１）／４
，ｐj(は任意の平方剰余の平方剰余根を与える。このことから、等式（数６）に
対する解を計算するための方法を推論する。つまり、 ｓj ≡（（ｐj＋１）／４）k（ｍｏｄ（ｐj−１）／２）であれば、Ｑi,j (
Ｇi sj（ｍｏｄ ｐj）であり、 または、さもなければ、むしろこのような解の逆数（ｍｏｄ ｐj）である。 ｓj ≡（ｐj−１）／２−（（ｐj＋１）／４）k（ｍｏｄ（ｐj−１）／２）
であれば、Ｑi,j ≡ Ｇi sj（ｍｏｄ ｐj）である。
【００８７】 ＣＧ（ｐj）においては、その場合、単位の２つのおよび２つだけの平方根が
ある。つまり、＋１と−１である。したがって、等式（数６）に対するｘ内の２
つの解がある。つまり、２つの数Ｑi,jおよびｐj−Ｑi,jは、同じ平方 Ｇi（ｍ
ｏｄ ｐj）である。
【００８８】 ５（ｍｏｄ ８）に一致する各素因数ｐjに対しては、鍵 (（ｐj＋１）／４
，ｐj(は、任意の奇数パリティ階数元の奇数パリティ階数平方根を与える。この
ことから、等式（数６）に対する解を推論する。つまり、 ｓj ≡（（ｐj＋３）／８）k（ｍｏｄ（ｐj−１）／４）であれば、Ｑi,j
≡ Ｇi sj（ｍｏｄ ｐj）であり、 または、さもなければ、むしろこのような解の逆数（ｍｏｄ ｐj）である。 ｓj ≡（ｐj−１）／４−（（ｐj＋３）／８）k（ｍｏｄ（ｐj−１）／４）
であれば、Ｑi,j ≡ Ｇi sj（ｍｏｄ ｐj）である。 ＣＧ（ｐj）においては、単位の４つおよび４つだけの第４根がある。したがっ
て、等式（数６）に対するｘの中に４つの解がある。２(pj−1)/4(mod ｐj）が
、５（ｍｏｄ ８）に一致するｐに関する２のルジャンドル記号が−１に等しい
ため、−１という平方根であることを注記しよう。Ｑi,jが解である場合には、
−１という平方根によるＱi,jの積（ｍｏｄ ｐj）だけではなく、ｐj−Ｑi,jも
別の解である。
【００８９】 ２t＋１（ｍｏｄ２t+1）に一致する素因数ｐjに対しては、鍵(（ｐj−１＋２t ）／２t+1，ｐj(は、任意の奇数パリティ次数元の奇数パリティ平方根を与える
。したがって、等式（数６）に対する解を計算することが可能である。 最初に、整数ｓj(（（ｐj−１＋２t）／２t+1）k（ｍｏｄ（ｐj−１）／２t）
を計算して、鍵(ｓj，ｐj(をセットアップしよう。 鍵(（ｐj−１＋２t）／２t+1，ｐj(が、Ｇiをｇiまたは−ｇiに変換するとき
、Ｇiの階数はＣＧ（ｐj）（ｕ＝０）内の奇数パリティ値である。それから、鍵
(ｓj，ｐj(は、Ｇiを数ｚへと変換する。これは、等式（数６）に対する奇数パ
リティ階数解である。ｔおよびｋの値に従って、依然として１以上の分岐上にｍ
ｉｎ（２k−１，２t−１）のその他の解がある。ｚ2の分岐は別の解を運ぶ。こ
れがｐj−ｚである。ｔ(２のとき、ｚ4の分岐には２つのそれ以外の解がある。
それは、−１の２つの平方根のそれぞれ、つまり単位の２つの原始第４元のそれ
ぞれによるｚの積である。いま、ｙがＣＧ（ｐj）の非平方剰余である場合には
、 ｙ(pj−1)/4（ｍｏｄ ｐj）は、−１の平方根である。一般的には、１から
ｍｉｎ（ｋ，ｔ）の各値を取るｉの場合には、ｚの２i番目の累乗の分岐が２i− 1 個の解を生じさせる。これらは、単位の２i−1個の原始２i番目の元のそれぞれ
によるｚの（ｍｏｄ ｐj）である。いまｙがＣＧ（ｐj）の非平方剰余である場
合には、累乗（ｐj−１）／２iに対するｙは、私達がｃと呼ぶ単位の２i番目の
原始根である。単位の２i−1番目から２i番目の原始根は、ｃの奇数パリティ累
乗である。つまり累乗２i−１（ｍｏｄ ｐj）までのｃ，ｃ3（ｍｏｄ ｐj），
ｃ5（ｍｏｄ ｐj），…ｃである。 鍵(（ｐj−１＋２t）／２t+1，ｐj(が、ｇiでもなく−ｇiでもないＧiを整数
ｒに変換するとき、Ｇiの階数はＣＧ（ｐj）（ｕ＞０）内の奇数パリティ値で
ある。その場合には、Ｇiが適切にかなり冗長な分岐、つまりｔ≧ｋ＋ｕに置か
れる場合、Ｇiが位置している分岐上に２k個の解がある。２k番目の根を計算す
るために解ｚまでの連続結果の平方根を計算するには、前述された平方根計算ア
ルゴリズムｋを階数分反復することで十分である。この計算は、言うまでもなく
、２k番目の根に直接的に近づいてから、解ｚを達成するために単一演算で２k番
目の根の近似を調整するために最適化することができる。すべてのそれ以外の解
を得るために、まず第１に、ｙがＣＧ（ｐj）の非平方剰余である場合には、（
ｐj−１）／２k乗までのｙが、ｄと呼ばれる単位の原始２k番目の根であること
を注記することができる。単位２kの２k番目の根は、ｄの連続累乗である。つま
り、２k−１（ｍｏｄ ｐj）乗までのｄ，ｄ2（ｍｏｄ ｐj），ｄ3（ｍｏｄ
ｐj），…ｄ、２k（ｍｏｄ ｐj）乗までのｄは１に等しい。Ｇiが位置している
分岐上の２k個の解は、これらの根のそれぞれのｚの積（ｍｏｄ ｐj）である。
【００９０】 要約すると、ｋ，ｔおよびｕが既知の状態で素因数ｐの構成要素および基数ｇ
を計算するには、以下の手順を使用する。 １）鍵<ｓ，ｐ>をセットアップするために、整数を計算する。ｓ≡（（ｐ−１＋
２t）／２t+1）k（ｍｏｄ（ｐ−１）／２t）。そして、鍵<ｓ，ｐ>を、ｚ≡Ｇs( mod ｐ）を得るために、Ｇに適用する。Ｕの値に従って、ステップ（２）また
は（３）への通過がある。 ２）ｕ＝０である場合には、ｚは等式（数６）に対する奇数パリティ解である。
依然として、１以上の分岐上に、非常に正確にはｍｉｎ（ｋ，ｔ）の他の分岐上
に、ｍｉｎ（２k−１，２t−１）のその他の奇数パリティ階数解がある。１から
ｍｉｎ（ｋ，ｔ）の範囲のｉの場合には、ｚの２i番目の累乗の分岐が２i−1
の解を有する。これらは、単位２i−1 の２i番目の原始元のそれぞれによるｚ
の（ｍｏｄ ｐ）である。等式（数６）に対する総称的な解は、ｚｚによって
示される。演算はステップ（４）に移動する。 ３）ｕ＞０の場合には、等式（数６）に対するすべての解は、奇数パリティ解で
ある。それらの内の２kがあり、それらはすべてＧが位置している分岐内にある
。実際には、ｔ−ｕ≧ｋである。解を計算するには、以下のアルゴリズムが２つ
の変数を実行する。つまり、鍵(（ｐ−１）／２t，ｐ( をＣＧ（ｐ）の非平方
剰余に適用することによって得られる整数ｂだけではなく、２から２t−2の範囲
の値を想定するｊｊおよびｚによって初期化されるｗである。 以下のシーケンスはｋ階数回繰り返される。 １からｔ−２の範囲の添数ｉｉの場合には、以下の演算が繰り返される。つ
まり、ｗ2／Ｇ（ｍｏｄ ｐ）を計算し、そして、鍵(２t−ii−1，ｐ(を、＋１
または−１を得るために結果に適用する（さもなければ、ｐが素数であるという
証拠がある）。−１が得られると、ｊｊ＝２ii を計算し、そして、ｃ ≡ ｂj j （ｍｏｄ ｐ）を計算してから、ｗをｗ．ｃ（ｍｏｄ ｐ）によって置換し、
次の添数ｉｉへの通過がある。＋１が得られると、次の添数ｉｉへの通過がある
。 アルゴリズムの最後では、変数ｗ 値ｚａを有する。Ｇが位置する分岐上の
２k の解は、単位の２k−番目の根のそれぞれによるｚａの（ｍｏｄ ｐ）であ
る。等式（数６）に対する総称的な解は、ｚｚによって表される。演算はステッ
プ（４）に移る。 ４）ｚｚが既知である状態で、構成要素値は、そこから推論される。つまり、そ
れは、等式Ｇ≡Ｑv（ｍｏｄ ｎ）が使用されるときにモジュロｐのｚｚの逆数
であり、等式Ｇ．Ｑv≡１（ｍｏｄ ｎ）が使用されるとき、ｚｚである。 （注記） 秘密構成要素および秘密値を得るには多様な方法がある。ｆ個の構成
要素、つまり指定された基数に対してｆ個の構成要素が既知である場合には、対
応する秘密値を計算するために、チャイニーズの剰余技法が使用される。指定さ
れた公開値Ｇ および係数ｎの場合に、複数の考えられる秘密値Ｑを有すること
が可能である。ｎが３（ｍｏｄ４）に一致する２つの素因数の積であるときには
、それらの内の４つがある。３（ｍｏｄ ４）に一致する３つの素因数ではそれ
らの内の８つがある。３（ｍｏｄ ４）に一致する２つの素因数および５（ｍｏ
ｄ ８）に一致する１つの素因数ではそれらの内の１６がある。これらの複数の
値の賢明な使用は、ＧＱ２を使用するチップカードの電気的な消費の分析による
攻撃を複雑にする可能性がある。
【００９１】 このようにして、ｔが増加するので、および増加するとき、プログラムは、ま
すます珍しい場合に関して複雑になる。実際に、素数は以下のように平均して分
散される。つまり、２つの内の１つの場合、ｔ＝１、４つの内の１つ、ｔ＝２、
および８つの内の１つの場合、ｔ＝３等々である。さらに、ｍ個の基数のための
制約が立候補をますます許容できないものとする。どのような場合であっても、
結合された係数は、決定的にＧＱ２技術の部分を形成する。つまり、ＧＱ２係数
の型は、決して動的認証およびデジタル符号プロトコルに影響を及ぼさない。
【００９２】 図４は、素因数ｐが９（ｍｏｄ １６）に一致する、つまりｋ≧３だけではな
く、ｔ＝３、ｕ＝０でもあるサイクル内のＧi＝ｇi 2 を図解する。
【数１３】
【数１４】
【数１５】 に注意する。
【００９３】 図５は、素因数ｐが６５（ｍｏｄ １２８）に一致する、つまりｋ＝４および
ｕ＝２だけではなく、ｔ＝６でもある分岐上のＧi＝ｇi 2を図解する。
【００９４】 ここでは、ｖ＝６４，ｍ＝３を示し、３つの基数ｇ1＝３，ｇ2＝５、ｇ3＝７
を示すｋ＝６、および、２つが３（ｍｏｄ ４）に一致し、１つが５（ｍｏｄ
８）に一致する３つの素因数が指定される係数であるｆ＝３である鍵ＧＱ２の第
１の集合がある。ｇ＝２が５（ｍｏｄ ８）に一致する素因数とは相容れないこ
とを注意しなければならない。
【表１】
【００９５】 以下は、５（ｍｏｄ ８）に一致するｐ3に関係する構成要素のそれ以外に考
えられる値である。
【００９６】 以下は、ＣＧ（ｐ3）内の−１の平方根である。つまり、：ｃ＝２(p3(1)/4（
ｍｏｄ ｐ3）＝
【表２】
【００９７】 以下は、ｋ＝９、つまりｖ＝ ５１２、ｍ＝２、つまり２つの基数 ｇ1＝２
およびｇ2＝３、および３（ｍｏｄ ４）に一致する３つの素因数のある係数
を示すｆ＝３のある鍵ＧＱ２の第２集合である。
【表３】
【００９８】 本発明は、ＧＱ鍵の集合、つまり係数ｎおよび指数ｖが２kに等しい、それぞ
れ公開値Ｇと秘密値Ｑの組の生産のための方法を説明してきた。鍵のこれらの集
合は、エンティティの真正性、および／または説明されたようにメッセージの完
全性および／または真正性を証明するように作られる方法を実現するために使用
される。フランステレコム、TDFおよびMath RiZK社によって同日に提出され、そ
の発明者がLouis GuillouおよびJean−Jacques Quisquaterである係属出願に
おいて、エンティティの真正性、および／またはメッセージの完全性および／ま
たは真正性を証明するように設計された方法、システムおよびデバイスの特徴的
な特色が主張された。これらの２つの出願は、引用することにより本明細書の一
部をなすものとする。
【手続補正書】
【提出日】平成１３年１１月９日（２００１．１１．９）
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の名称】 エンティティの真正性および／または特殊素因子を使用するメ
ッセ−ジの完全性および／または真正性を証明するための方法、システム、及び
装置
【特許請求の範囲】
【発明の詳細な説明】
【０００１】 本発明は、エンティティの真正性（authenticity）および／またはメッセ−ジ
の完全性（integrity）および／または真正性を証明するように設計されている
方法、システムおよびデバイスの技術分野に関する。
【０００２】 発明者がLouis−GuillouおよびJean−Jacques Quisquaterである特許ＥＰ第０
３１１４７０Ｂ１号公報がこのような方法を説明する。これ以降、彼らの研究を
、用語「ＧＱ特許」または「ＧＱ方法」によって引用するものとする。これ以降
、表現「ＧＱ２」または「ＱＧ２発明」あるいは「ＧＱ２技術」を、フランステ
レコム（France Telecom）とＴＤＦと企業Mathrizkとによって、本出願と同日に
登録され、発明者がLouis GuillouおよびJean−Jacques Quisquaterである係属
出願の対象であるＧＱ技術の新しい開発を記述するために使用するものとする。
これらの係属中の出願の特徴的な特色は、以下の説明の中で必要なときに想起す
る。
【０００３】 ＧＱ方法に従って、「信頼される当局（trusted authority）」として知られ
ているエンティティは、「証人(witness)」と呼ばれているエンティティ（entit
y）に対しアイデンティティ(identity)を割り当て、それのＲＳＡ符号を計算す
る。顧客イズ化したプロセスでは、信頼される当局は、証人にアイデンティティ
および符号を与える。その後に証人は以下を宣言する。つまり、「ここに私のア
イデンティティがある。私は、そのＲＳＡ符号を知っている。」証人は、事実を
明らかにすることなく、自分が自らのアイデンティティのＲＳＡを知っているこ
とを証明する。ＲＳＡ公開識別鍵（RSA public identification key）は、信頼
される当局により配布されるが、「監査官（controller）」として知られるエン
ティティが、その知識を得ずに、ＲＳＡ符号が宣言されたアイデンティティに一
致することを確かめる。ＧＱ方法を使用する機構は、「知識の移管（without tr
ansfer of knowledge）」を行わずに起こる。ＧＱ方法に従って、証人は、信頼
される当局がそれを使って大多数のアイデンティティに署名するＲＳＡ秘密鍵（
RSA private key）を知らない。
【０００４】 前記ＧＱ技術はＲＳＡ技術を利用している。しかしながら、ＲＳＡ技術は真に
係数ｎの因数分解に依存しているが、ＲＳＡ技術を実現しているデジタル符号の
多様な規格に対するいわゆる倍数的に増加する攻撃（multiplicative attacks）
においてみられるように、この依存は等価でなく実際にはそれとはかなり異なっ
ている。
【０００５】 ＧＱ２技術の目標は２つの部分を有する。つまり、第１に、ＲＳＡ技術の性能
特徴を改善すること、第２にＲＳＡ技術に固有の問題を回避することである。Ｇ
Ｑ２秘密鍵を知っていることは、係数ｎの因数分解を知っていることに等価であ
る。三つ組のＧＱ２に対する攻撃は、係数ｎの因数分解につながる。このときに
は等価性がある。ＧＱ２技術を用いると、署名をするあるいは自己認証するエン
ティティにとっての、および、監査するエンティティにとっての作業量は削減さ
れる。機密保護と性能の両方の点での因数分解の問題をさらにうまく使用するこ
とにより、ＧＱ２技術はＲＳＡ技術の欠点を回避する。
【０００６】 ＧＱ方法は、５１２ビット以上を備える数のモジュロ計算を実現する。これら
の計算は、約２16＋１乗まで累乗されたのと実質的に同じ大きさを有する数に関
する。現在では、特に、銀行カ−ドの分野における既存のマイクロエレクトロニ
クス・インフラストラクチャは、演算コプロセッサを使用しないで一体式の自己
プログラム可能なマイクロプロセッサを利用する。ＧＱ方法などの方法に関係す
る複数の演算アプリケ−ションに関する作業量は、一定の場合には、顧客が購入
物を支払うために銀行カ−ドを使用するには不利であることを判明する計算時間
に通じている。ここでは、支払カ−ドの安全性を高めるため、銀行当局が、特に
解決が困難な問題を引き起こしたことを想起することができる。実際、２つの明
らかに矛盾する問題を解決しなければならない。つまり、一方では、各カ−ドの
ますます長いかつ識別可能な鍵を使用することにより安全性を高めつつ、他方で
は、作業量がユ−ザに対して過剰な計算時間に通じることを妨げるのである。こ
の問題は、既存のインフラストラクチャおよび既存のマイクロプロセッサ構成要
素を考慮に入れることも必要となるため、特に急を要する。
【０００７】 ＧＱ２技術は、安全性を高めつつ、この問題に対する解決策を提供する。
【０００８】 ＧＱ２技術は、特殊な特性を有する素因数を実現する。これらの素因数を作り
出すには多様な既存の技法がある。本発明の目的とは、このような素因数の組織
的な生産のための方法である。それは、特にＧＱ２技術の実施によりこれらの因
数から作り出すことができるアプリケ−ションにも関する。これらの特殊な素因
数およびそれらを得るための方法が、Ｑ２技術の分野を超えて適用可能であるこ
とをいま強調しなければならない。
【０００９】 本発明は、コントロ−ラエンティティに以下を証明するように作られた方法（
ＧＱ２方法）に適用できる。 エンティティの真正性、および／または、 このエンティティに関連付けられたメッセ−ジＭの完全性
【００１０】 この証明は、以下のパラメ−タまたはその派生物のすべてまたは一部によって
確立される。 ｆ個の素因数ｐ1，ｐ2，…ｐf（ｆは２に等しいまたは大きい）の積により構
成されている公開モジュラス(public modulus)ｎと、 公開指数(public exponent)ｖと、 ｍ個の別個の整数基数(integer base number)ｇ1，ｇ2，…ｇm（ｍは、１以上
）。
【００１１】 基数ｇiは、２つの等式（１）と（２）である ｘ2≡ｇiｍｏｄ ｎおよびｘ2≡−ｇiｍｏｄ ｎ が、モジュロｎの整数環(the ring of integers modulo n)においてｘについて
解くことができないほどであり、等式（３） ｘv≡ｇi 2ｍｏｄ ｎ は、モジュロｎの整数環においてｘについて解くことができるほどである。
【００１２】 本発明に従った方法は、等式（１）、（２）および（３）が満たされるような
方法でｆ個の素因数ｐ1,，ｐ2,，…ｐf．を作り出すために使用される。本発明
に従った方法は、最初に、 ｍ個の基数ｇ1，，ｇ2，，…ｇm，と、 係数ｎのサイズと、 ｆ個の素因数ｐ1，，ｐ2，，…ｐfのサイズと を選ぶステップを含んでなる。
【００１３】 該方法は、公開指数ｖが、ｖ＝２kの形を持つ場合に関し、ここで、ｋは１よ
り大きい機密保護パラメ−タ(security parameter)である。機密保護パラメ−タ
ｋは、素数としても選択される。指数ｖのこの特殊な値は、ＧＱ２技術の必須な
特色の１つである。
【００１４】 好ましくはｍ個の基数 ｇ1,，ｇ2,，…ｇmは、第１の整数の間で少なくとも
部分的に選択される。また好ましくは、機密保護パラメ−タｋは、小さい整数、
特に１００以下である。有利には、係数ｎのサイズは、数百ビットより大きい。
また有利には、ｆ個の素因数ｐ1，，ｐ2，，…ｐfは、因数の数ｆで除算された
係数ｎのサイズに近いサイズである。
【００１５】 本発明の特徴に従った主要な特徴に従い、ｆ個の素因数ｐ1，，ｐ2，，…ｐf
は、明記されていない方法では選択されない。ｆ個の素因数ｐ1，，ｐ2，，…ｐ f の内、それらの一定数ｅが、モジュロ４の１に一致するように選択される。素
因数のこのｅは、ゼロであってよい。ｅがゼロである場合には、係数ｎは、これ
以降、基本係数と呼ばれる。ｅ＞０である場合には、係数ｎは、これ以降、結合
係数と呼ばれる。ｆ−ｅ個のそれ以外の素因数は、モジュロ４の３に一致するよ
うに選択される。素因数のこのｆ−ｅは、少なくとも２に等しい。
【００１６】 （モジュロ４の３に一致するｆ−ｅ個の素因数の選択） モジュロ４の３に一致するｆ−ｅ個の素因数ｐ1，，ｐ2，，…ｐf-eを繰り出
すためには、以下のステップを実施する。 モジュロ４の３に一致する第１素因数ｐ1を選択してから、 第２の素因数ｐ2を、ｐ2が基数ｇ1に関してｐ1に相補的（conplementary）と
なるように選択する。
【００１７】 因数ｐi+1を選択するためには、２つの場合を区別する上で以下の手順を使用
する。 （１）ｉ＞ｍの場合には、 ｉ＞ｍであるならば、モジュロ４の３に一致する因数ｐi+1を選択する。 （２）ｉ≦ｍの場合には、 ｉ≦ｍであるならば、ｉ個の第１素因数ｐiに関してｇiのプロファイル（Ｐ
ｒｏｆｉｌｅi（ｇi））を計算する。 Ｐｒｏｆｉｌｅi（ｇi）が平坦(flat)である場合には、因数ｐi+1を、ｐi+1がｇ i に関してｐ1に相補的となるように選択する。 それ以外の場合には、ｉ−１個の基数ｇ1，ｇ2，…ｇi-1 およびそのすべての
乗法の組み合わせの中で、これ以降ｇと呼ばれる数を、Ｐｒｏｆｉｌｅi（ｇ）
＝Ｐｒｏｆｉｌｅi（ｇi）となるように選択し、したがってｐi+1を、Ｐｒｏｆ
ｉｌｅi+1（ｇi） ≠ Ｐｒｏｆｉｌｅi+1（ｇ）となるように選択する。
【００１８】 用語「相補的（conplementary）」、「プロファイル(profile)」、「平坦なプ
ロファイル(flat profile)」は、本明細書の記述において定義される意味を有す
る。
【００１９】 最後の素因数ｐf-eを選択するためには、３つの場合区別する上で、以下の手
順を使用する。 （１）ｆ−ｅ−１ ＞ ｍである場合 ｆ−ｅ−１＞ｍである場合、ｐf-eを、モジュロ４の３に一致して選択する
。 （２）ｆ−ｅ−１＝ｍである場合 ｆ−ｅ−１＝ｍである場合、Ｐｒｏｆｉｌｅf-e-1（ｇm）を、ｐ1からｐf-e -1, というｆ−ｅ−１個の第１素因子に関して計算する。 もし、Ｐｒｏｆｉｌｅf-e-1（ｇm）が平坦である場合には、ｐf-e-1を、
それがｇmに関してｐ1に相補的となるように選択する。 それ以外の場合には、以下に規定されている手順に従う。 ｇ1からｇm-1というｍ−１個の基数およびすべてのその乗法の組み合わせ
の中で、これ以降ｇと呼ばれる数をＰｒｏｆｉｌｅi（ｇ）＝Ｐｒｏｆｉｌｅi（
ｇi）となるように選択し、そして、ｐf-eをＰｒｏｆｉｌｅf-e（ｇ） ≠ Ｐ
ｒｏｆｉｌｅf-e（ｇm）となるように選択する。 （３）ｆ−ｅ−１＜ｍである場合 ｆ−ｅ−１＜ｍである場合には、ｐf-eが、以下の２つの条件を満たすと選
択される。 （３．１） 第１条件 Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1）が、ｐ1からｐf-e-1のｆ−ｅ−１個の第１素
因数に関して計算される。その場合に２つの場合が考えられる。これらの２つの
場合のどちらかに応じて、第１条件が異なる。 もし、Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1）が平坦である場合には、ｐf-eを、そ
れがｇf-e-1に関してｐ1に相補的であるという第１条件を満たすように選択する
。それ以外の場合には、ｇ1からｇm-1というｆ−ｅ−１個の基数およびそのすべ
ての乗法組み合わせの中では、これ以降ｇと呼ばれる数を、Ｐｒｏｆｉｌｅi（
ｇ）＝Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1） となるように選択してから、それがＰ
ｒｏｆｉｌｅf-e（ｇ） ≠ Ｐｒｏｆｉｌｅf-e（ｇm）（第２場合に従った第
１条件）となるという条件を満たすように、ｐf-eを選択する。 （３．２）第２条件 ｇf-eからｇmというすべての最後の基数の間で、プロファイルＰｒｏｆｉｌｅ f-e-1 （ｇi）が平坦であるそれらの数を選択してから、ｐf-eを、それがこのよ
うにして選択された基数のそれぞれに関してｐ1に相補的であるという条件（第
２条件）を満たすように選択する。
【００２０】 （モジュロ４の１に一致するｅ個の素因数の選択） モジュロ４の１に一致するｅ個の素因数を作り出すためには、以下の２つの連
続試験にさらされる上で、ｐf-eからｐfのそれぞれの素因数候補ｐを評価する。 （１）第１試験 ルジャンドル記号を、候補素因数ｐに関してｇ1からｇmまでそれぞれの基数ｇ i に関してして計算する。 ルジャンドル記号が−１に等しい場合には、候補ｐを拒絶し、 ルジャンドル記号が＋１に等しい場合には、候補ｐの評価を続く基数に移る際
に続行し、そして、最後の基数が考慮に入れられると、第２試験へと通過する。 （２）第２試験 整数ｔを、ｐ−１が２t+1によってではなく２tによって除算可能であるように
計算し、そして、整数ｓを、ｓ＝（ｐ−１＋２t）／２t+1となるように計算する
。 鍵<ｓ，ｐ>は、結果ｒを得るためにそれぞれの公開値Ｇi+1適用される。 ｒ≡Ｇi sｍｏｄ ｐ もし、ｒがｇi または−ｇiに等しい場合には、第２試験を以下の公開値Ｇi+1 に移る際に続行する。 もし、ｒがｇi または−ｇiとは異なる場合には、因数ｕを、１からｔ−２
の範囲までＣＧ（ｐ）の添数ｉｉに指定される以下のアルゴリズムを適用する上
で計算する。該アルゴリズムは２つの変数を実行する。つまり、ｒによって初期
化されるｗと、ＣＧ（ｐ）の非平方剰余に鍵<（ｐ−１）／２t，ｐ>を適用する
ことによって得られる数ｂだけではなく、２から２t-2の範囲の値を想定したｊ
ｊ＝２iiとである。該アルゴリズムは、必要な限り何回でも以下のシ−ケンスを
繰り返す。 ステップ１では、ｗ2／Ｇi（ｍｏｄ ｐ）を計算する。 ステップ２では、結果を２t-ii-1乗まで累乗する。２つの場合を考慮すべきで
ある。 第１場合 ＋１が得られる場合には、以下の公開値Ｇi+1への通過があり、第２試験をこ
の公開値に関して実行する。 第２場合 −１が得られる場合には、ｊｊ＝２iiを計算されてから、ｗをｗ．ｂjj（ｍｏ
ｄ ｐ）によって置換する。そして、アルゴリズムを添数ｉｉを有する以下の値
に関して続行する。 該アルゴリズムの最後では、変数ｊｊ内の値を、関係ｊｊ＝２t-u によって整
数ｕを計算するために使用し、そして、表記ｔ−ｕを計算する。２つの場合が生
じる。 ｔ−ｕ＜ｋの場合には、候補ｐを拒絶する。 ｔ−ｕ＞ｋの場合、以下の公開値Ｇi+1に移り、第２試験で続行される際に候
補ｐの評価を続行する。 候補ｐは、第２試験の最後にｍ個の公開値Ｇiに関して、それが拒絶されなか
った場合に、モジュロ４の１に一致する素因数として受け入れられる。
【００２１】 （ＧＱ２の公開値および秘密値に対する適用） 本発明は、上記に説明された方法を適用し、それを可能にする方法（ＧＱ２）
にも関し、特別な特性を有するｆ個の素因数ｐ1，，ｐ2，，…ｐfを作り出すこ
とを想起することができる。上記に説明された方法の適用のための方法は、コン
トロ−ラエンティティに対して、以下を証明するように設計される。 エンティティの真正性、および／または、 このエンティティに関連付けられたメッセ−ジＭの完全性であり、 この証明を、以下のパラメ−タまたはこれらのパラメ−タの派生物のすべてま
たは一部によって確立する。 ｍ組の秘密値Ｑ1，Ｑ2，…Ｑmおよび公開値Ｇ1，Ｇ2，…Ｇm（ｍは、１以上）
と、 前記素因数ｆｐ1，ｐ2，…ｐf（ｆは２以上）の積によって構成される公開モ
ジュラスｎと、 公開指数ｖと、 前記係数と前記指数と前記値とは、以下の型の関係によってリンクされる。 Ｇi．Ｑi v≡１．ｍｏｄ ｎ、または、Ｇi≡Ｑi v ｍｏｄ ｎ ． 前記指数ｖは、ｖ＝２kであり、ここで、ｋは、１より大きい機密保護パラメ
−タである。 前記公開値Ｇiは、ｆ個の素因数ｐ1，ｐ2，…ｐfより小さい基数ｇiの平方根
ｇi 2である。基数ｇiは、以下の２つの等式 ｘ2 ≡ ｇi ｍｏｄ ｎ、および、ｘ2 ≡ −ｇi ｍｏｄ ｎ が、モジュロｎの整数環においてｘについて解くことができず、以下の等式 ｘv ≡ ｇi 2 ｍｏｄ ｎ が、モジュロｎの整数環においてｘについて解くことができる。 前記方法は、以下のステップで証人と呼ばれるエンティティを実行する。前記
証人エンティティは、ｆ個の素因数ｐiおよび／または該素因数のチャイニ−ズ
の剰余（Chinese remainder）のおよび／または公開モジュラスｎのパラメ−タ
および／またはｍ個の秘密値Ｑiおよび／または該秘密値Ｑiおよび公開指数ｖの
ｆ．ｍ個の構成要素Ｑi,j（Ｑi,j ≡ Ｑi ｍｏｄ ｐj）を有する。 証人は、整数モジュロｎの環内のコミットメントＲを計算する。各コミットメ
ントは、 Ｒ≡ｒv ｍｏｄ ｎの型の演算を実行することによって、ここで、ｒは、０＜
ｒ＜ｎとなるようにランダムな因数である。 あるいは、 Ｒi≡ｒi vｍｏｄ ｐiの型の演算を実行することによって、ここで、ｒiは、０
＜ｒi＜ｐiとなるように素数ｐiに関連付けられたランダムな値であり、各ｒiは
ランダムな因数｛ｒ1，ｒ2，…ｒf｝の集合体に属し、そして、チャイニ−ズの
剰余の方法を適用することのどちらかによって計算される。 証人は、１以上のチャレンジｄを受け取る。それぞれのチャレンジｄは、これ
以降初歩チャレンジと呼ばれるｍ個の整数ｄiを備える。証人は、各チャレンジ
ｄに基づき、応答 Ｄを、 Ｄ≡ｒ．Ｑ1 d1．Ｑ2 d2．…Ｑm dmｍｏｄ ｎの型の演算を実行することによって
、 あるいは、 Ｄi≡ｒi．Ｑi,1 d1．Ｑi,2 d2．…Ｑi,m dmｍｏｄ ｐiの型の演算を実行し、そし
て、チャイニ−ズの剰余方法（Chinese remainders method、孫氏剰余としても
知られている）を適用することによって計算する。
【００２２】 方法は、コミットメントＲがあるため、チャレンジｄがあるほど多くの応答Ｄ
があるほどであり、Ｒ，ｄ，Ｄ のそれぞれのグル−プは三つ組の参照された
｛Ｒ，ｄ，Ｄ｝を形成する。
【００２３】 好ましくは、上述したように秘密値Ｑ1，Ｑ2，…Ｑmおよび公開値Ｇ1，Ｇ2，
…Ｇmの組を実現するために、方法は、チャイニ−ズの剰余の素因数ｐ1，ｐ2，
…ｐfおよび／またはパラメ−タ、基数ｇ1，ｇ2，…ｇmおよび／または公開値Ｇ 1 ，Ｇ2，…Ｇmを使用して、以下のどちらかを計算する。 Ｇiのモジュロｎのｋ番目の平方根を抽出することによって、またはＧiのモジ
ュロｎのｋ番目の平方根の逆数を取ることによって秘密値Ｑ1，Ｑ2，…Ｑmか、 あるいは、Ｑi,j ≡Ｑi（ｍｏｄ ｐj）となるように、秘密値Ｑ1，Ｑ2，…Ｑ m のｆ．ｍ個の秘密構成要素Ｑi,jか のどちらかを計算する。
【００２４】 さらに特定すると、秘密値Ｑ1，Ｑ2，…Ｑm のｆ．ｍ個の秘密構成要素Ｑi,j を計算するために、 鍵<ｓ，ｐj>を、ｚ ≡ Ｇi s（ｍｏｄ ｐj）となるようにｚを計算するため
に適用し、 値ｔとｕを使用する。
【００２５】 値ｔおよびｕは、ｐjを、モジュロ４の１に一致するときにここに示されるよ
うに計算する。値ｔおよびｕは、それぞれ１（ｔ＝１）および０（ｕ＝０）であ
ると解釈され、ここではｐjは、モジュロ４の３に一致する。 もし、値ｕがゼロである場合には、以下となるようにすべての数ｚｚを考える
。 ｚｚがｚに等しい、または、 ｚｚが単位の２ii-t２ii番目の原始根のそれぞれによってｚの積（ｍｏｄ
ｐj）に等しく、ｉｉが１からｍｉｎ（ｋ，ｔ）の範囲である。
【００２６】 ｕが正である場合には、ｚｚが単位の２k ２k番目の累乗根のそれぞれによっ
てｚａの積（ｍｏｄ ｐj）に等しくなり、ｚａが前述されたアルゴリズムの最
後で変数ｗの値を指定するように、すべての数ｚｚを考えることができる。
【００２７】 構成要素Ｑi,jの少なくとも１つの値をそれから推論する。それは、等式Ｇi
≡ Ｑi vｍｏｄ ｎを使用するときにｚｚに等しいか、またはさもなければ、そ
れは等式Ｇi．Ｑi v≡１．ｍｏｄ ｎを使用するときにｚｚのモジュロｐｊのｚｚ
逆数に等しい。
【００２８】 （説明） ＧＱ技術の目標を想起することができる。つまり、それは、エンティティのデ
ジタル符号だけではなく、エンティティおよび関連付けられたメッセ−ジの動的
な認証でもある。
【００２９】 ＧＱ技術の標準的なバ−ジョンは、ＲＳＡ技術を利用する。しかしながら、Ｒ
ＳＡ技術は真に因数分解に依存しているが、この依存は等価ではなく、ＲＳＡ技
術を実現する多様なデジタル符号規格に対する倍数的に増加する攻撃として知ら
れる攻撃から見られるように、それとはかなり異なっている。
【００３０】 ＧＱ２技術という状況では、本発明のこの部分は、さらに特に、動的な認証お
よびデジタル符号に備えるように作られるＧＱ２鍵の集合の生産に関する。ＧＱ
２技術は、ＲＳＡ技術を使用しない。目標は２つの部分を持つ目標である。つま
り、第１に、ＲＳＡ技術に関して性能を改善すること、および第２にＲＳＡ技術
に固有な問題を防止することである。ＧＱ２秘密鍵は、係数ｎの因数分解である
。ＧＱ２の三つ組に対する任意の攻撃は係数ｎの因数分解に相当する。つまり、
この時点では等価性がある。ＧＱ２技術を使用すると、署名をする、あるいは認
証されるエンティティにとって、および監査（コントロ−ル）するエンティティ
の両方にとって作業量は削減される。機密保護および性能という両方の点での因
数分解の問題の改善された使用を通して、ＧＱ２技術はＲＳＡ技術に匹敵する。
【００３１】 ＧＱ２技術は、例えば、基数と呼ばれ、ｇｉと参照される、ｍ個の小さい整数
（ｍ≧１）１より大きい１以上の小さい整数を使用する。そして、公開認証鍵<
ｖ，ｎ>を以下のように選択する。公開認証指数（public velification exponen
t）ｖは ２kであり、この場合ｋは、（ｋ≧２）より大きい、小さい整数である
。公開モジュラスｎは、例えば、ｐ1 …ｐfのｐjによって参照されるｆ個の素
因数（ｆ≧２）である、基数より大きい少なくとも２つの素因数の積である。ｆ
個の素因数は、公開モジュラスｎが、ｇ1からｇmへのｍ個の基数のそれぞれに関
して以下の特性を有する。 第１に、（数１）および（数２）は、整数モジュロｎの環においてｘについて
解くことができない。つまり、ｇiおよび−ｇiは２つの非平方剰余(non−quadra
tic residues)（ｍｏｄ ｎ）である。
【数１】
【数２】 第２に、（数３）は、モジュロｎの整数モジュロｎの環においてｘについて解
くことができる。
【数３】 これ以降、これらの特性もＧＱ２原則と呼ばれる。
【００３２】 公開認証鍵<ｖ，ｎ>は、ｍ≧１である場合のｇ1からｇmという基数に従って固
定されるため、それぞれの基数ｇiが、公開値Ｇiおよび秘密値ＱIを備える値Ｇ
Ｑ２の組を決定する。つまり、ｍ組の参照されたＧ1Ｑ1からＧmＱmを与える。公
開値Ｇiは基数ｇIの平方でありＧi＝ｇi 2を与える。秘密値Ｑiは、等式（３）に
対する解の１つであるか、それ以外の場合にはこのような解の逆数（ｍｏｄ ｎ
）である。
【００３３】 係数ｎがｆ個の素因数に分解されるように、整数モジュロｎの環は、ＣＧ（ｐ 1 ）からＣＧ（ｐf）までのｆ個のガロア体（Galois field）に分解される。ここ
では、ＣＧ（ｐj）内に（数１）、（数２）および（数３）の投射がある。
【数４】
【数５】
【数６】
【００３４】 各秘密値Ｑiは、１つの素因数あたり１個の、ｆ個の秘密構成要素によって一
意に表される。つまり、Ｑi,j≡Ｑi（ｍｏｄ ｐj）である。各秘密構成要素Ｑi ,j は、等式（数６）に対する解であるか、それ以外の場合には、このような解の
逆数（ｍｏｄ ｐj）である。各等式（数６）に対するすべての考えられる解が
計算された後に、チャイニ−ズの剰余の技法が、等式（数３）に対するすべての
考えられる解を得るために、このような解のＱi,1からＱi,f：Ｑi＝チャイニ−
ズの剰余（Ｑi,1，Ｑi,2，…Ｑi,f） のｆ個の構成要素に基づいて、秘密値Ｑi ごとにすべての考えられる値をセットアップする。
【００３５】 以下はチャイニ−ズの剰余の技法（Chinese remainders technique）である。
つまり、０＜ａ＜ｂとなるように、相互に素数ａおよびｂである２つの正の整数
、および０からａ−１、および０からｂ−１までの２つの構成要素ＸaおよびＸb を存在させる。Ｘ＝チャイニ−ズの剰余（Ｘa，Ｘb）、つまりＸa≡Ｘ（ｍｏｄ
ａ）およびＸb≡Ｘ（ｍｏｄ ｂ）となるように、０からａ．ｂ−１という単一数
Ｘを求めることが必要とされる。以下がチャイニ−ズの剰余パラメ−タである。
つまり、α≡｛ｂ（ｍｏｄ ａ）｝-1（ｍｏｄ ａ）である。以下はチャイニ−ズ
の剰余演算である。つまり、ε≡ Ｘb（ｍｏｄ ａ）、δ＝ Ｘa-ε、δが負であ
る場合には、δをδ＋ａと、γ≡α ．δ（ｍｏｄ ａ）と、Ｘ＝γ．ｂ＋Ｘb
とに置換する。
【００３６】 素因子が最小のｐ1から最大のｐfへと昇順で並べられるとき、チャイニ−ズの
剰余パラメ−タは以下（ｆ−１、つまり素因数の内の少なくとも１つがある）で
ある場合がある。第１のチャイニ−ズの剰余パラメ−タは、α≡｛ｐ2（ｍｏｄ
ｐ1）｝-1（ｍｏｄ ｐ1）である。第２のチャイニ−ズの剰余パラメ−タは、β
≡｛ｐ1．ｐ2（ｍｏｄ ｐ3）｝-1（ｍｏｄ ｐ3）である。ｉ番目のチャイニ−
ズの剰余パラメ−タは、λ≡｛ｐ1．ｐ2．…ｐi-1（ｍｏｄ ｐi）｝-1（ｍｏｄ
ｐi）のようになる。最後に、ｆ−１個のチャイニ−ズの剰余演算では、第１
結果（ｍｏｄ ｐ2 × ｐ1）が第１パラメ−タで得られ、そして、第２結果（ｍ
ｏｄｐ1．ｐ2 × ｐ3）が第２パラメ−タで得られ、結果（ｍｏｄ ｐ1．…ｐf(1 × ｐf）、つまり（ｍｏｄ ｎ）まで等々である。
【００３７】 本発明の目的とは、考えられるすべての集合の中での任意のＧＱ２鍵の集合の
ランダムな生成のための方法である。すなわち、 すべての考えられるＧＱ２係数の中での任意の係数、つまりｍ個の基数ｇIご
とに、等式（数１）および（数２）がモジュロｎの整数環のｘの中で解決できな
いが、等式（数３）がそれらの内の１つを有することを保証する係数のランダム
な生成と、 等式（数６）のそれぞれにすべての考えられる解決策を計算することである。
チャイニ−ズの剰余技法によりすべての考えられるｈｔ等式の中で等式（数３）
に対するｘ内の任意の解を得るために、Ｑi,1からＱi,fのｆ個の構成要素の各集
合から秘密値Ｑiを得ることを可能にする。 Ｑi＝チャイニ−ズの剰余（Ｑi,1，Ｑi,2，…Ｑi,f）
【００３８】 問題を把握し、それから問題に与えられるべき解、つまり本発明を理解するた
めに、最初にＧＱ２技術の原理の適用可能性を分析するものとする。「ＣＧ（ｐ
）の平方まで累乗される」関数を研究し、「ＣＧ（ｐ）の平方剰余の平方根を取
る」ために、ガロア体ＣＧ（ｐ）内での階数の概念を思い出すことによって始め
よう。それから、私達は、等式（数４）と（数５）と（数６）とに対するＣＧ（
ｐ）内のｘでの解の存在および数を分析するものとする。
【００３９】 （ＣＧ（ｐ）内の元（element）の階数（Rank）） 奇数の素数ｐおよびｐより小さい正の素数ａを取ってみよう。その後に ｛Ｘ
｝を定義してみよう。
【数７】 添数ｉ＋ｐの項を計算し、フェルマの定理（Fermat's theorem）を使用してみる
。ここで、
【数８】 である。
【００４０】 その結果、シ−ケンス｛Ｘ｝の期間は、ｐ−１またはｐ−１の割り算器である
。この期間はａの値に依存する。定義によって、この期間は「ａ（ｍｏｄ ｐ）
の階数」と呼ばれる。それは、シ−ケンス｛Ｘ｝内の単位の出現の添数である。
ここで、
【数９】 である。
【００４１】 例えば、（ｐ−１）／２が奇数の素数ｐ'であるとき、ガロア体ＣＧ（ｐ）は
、階数１が指定される単一元を備える。つまり、それは１であり、階数２が指定
された単一元である。それは−１、階数ｐ'のｐ'−１元、階数２．ｐ'、つまり
階数 ｐ−１のｐ'−１元である。
【００４２】 その階数がｐ−１であるＣＧ（ｐ）の元は、原始元、あるいはまた、ＣＧ（ｐ
）の生成器と呼ばれる。名前は、ＣＧ（ｐ）内のその連続する累乗、つまり１か
らｐ−１まで進む添数の｛Ｘ｝シ−ケンスの項が、ＣＧ（ｐ）のすべての非零元
の順列を形成するという事実による。
【００４３】 ＣＧ（ｐ）の原始元ｙに従って、ｉおよびｐ−１の関数として元ｙi（ｍｏｄ
ｐ）の階数を評価してみる。ｉがｐ−１が指定される素数であるとき、それはｐ
−１である。ｉがｐ−１を割ると、それは（ｐ−１）／iである。すべての場合
で、それは（ｐ−１）／ｐｇｃｄ（ｐ−１，ｉ）である。
【００４４】 オイラ−関数（Euler function）はψで参照される。定義により、ｎが正の整
数であるため、ψ（ｎ）はｎが指定される素数であるｎより小さい正の整数の数
である。したがって、体ＣＧ（ｐ）には、ψ（ｐ(１）個の原始元がある。
【００４５】 例証によって、ここにＲＳＡ技術の基礎がある。公開モジュラスｎは、ｆ≧２
がであるｐ1からｐfのｆ個の素数の積であり、その結果、素因数ｐjごとに、公
開指数ｖは、ｐj−１である素数である。鍵<ｖ，ｐj>は、ＣＧ（ｐj）の元の階
数と準拠する。それが、それらを並べ替える逆置換は、ｐj−１がｖ．ｓj−１を
割るように、鍵<ｓj，ｐj>を用いて得られる。
【００４６】 （ＣＧ（ｐ）内の累乗および平方根） 元ｘおよびｐ−ｘは、ＣＧ（ｐ）内に同じ平方を有する。鍵<２，ｐ>は、ｐ−
１が偶数値であるため、ＣＧ（ｐ）を並べ替えない。素数ｐごとに、以下のよう
に整数ｔを定義しよう。ｐ−１は、２t+1によってではなく２tによって除算可能
であり、つまりｐは、２t＋１（ｍｏｄ ２t+1）に一致している。例えば、 ｐ
が３（ｍｏｄ ４）に一致するときｔ＝１である。ｐが５（ｍｏｄ ８）に一致
するときｔ＝２である。ｐが９（ｍｏｄ １６）に一致するときｔ＝３である。
ｐが１７（ｍｏｄ ３２）に一致するときｔ＝４である、等々。それぞれの奇数
の素数は、１つのおよび唯一のカテゴリに見られる。つまり、ｐはｔ番目のカテ
ゴリ内で見られる。実際に、かなり多数の連続する素数を考える場合には、あら
ゆる２の内のほぼ１が第１カテゴリで見つかり、４の内の１が第２カテゴリで見
つかり、８の内の１が第３カテゴリで見つかり、１６の内の１が第４カテゴリで
見つかる、等々。要約すると、平均して２tの内の１つがｔ番目のカテゴリに見
つけられる。
【００４７】 引数の階数のパリティに従って関数の動作、「ＣＧ（ｐ）の平方まで累乗する
」を考えてみよう。 唯一の固定された元がある。それが１である。奇数パリティ階数の他の任意の
元の平方は、同じ回数を有する別の元である。その結果、鍵<２，ｐ>がすべての
その（ｐ−１）／２t奇数パリティ階数元を並べ替える。順列サイクルの数は、
（ｐ−１）／２tの因数分解に依存する。例えば、（ｐ−１）／２tが素数ｐ'で
あるときには、ｐ'−１個の元を備える大きな順列サイクルがある。 任意の奇数パリティ階数元の平方は、その階数が２によって除算される別の元
である。その結果、奇数パリティ奇数元は、（ｐ−１）／２t個の分岐上で分散
される。奇数パリティ階数が指定される各非零元は２t−１個の元、つまり４に
よってではなく、２によって除算可能な階数の元、それからｔ≧２の場合には８
によってではなく４によって除算可能な階数の２個の元、およびｔ≧３の場合に
は１６によってではなく８によて除算可能な階数の４個の元、およびｔ≧４の場
合には３２によってではなく１６によって除算可能な階数の８個の元等々、を備
える長さｔの分岐を生み出す。各分岐の２t-1個の末尾は非平方剰余である。つ
まり、その階数は２tによって除算可能である。
【００４８】 図１Ａから図２Ｂは、体のｐ−１個の非零元のそれぞれがその場所を見つける
指向型グラフによって関数「ＣＧ（ｐ）の平方まで累乗する」を図解する。非平
方剰余は白であり、平方剰余は黒である。平方剰余の中、奇数パリティ階数元は
円の中にある。
【００４９】 これらの図は、それぞれ以下を示す。 図１Ａは、ｐが３（ｍｏｄ ４）に一致する場合を示す。 図１Ｂは、ｐが５（ｍｏｄ ８）に一致する場合を示す。 図２Ａは、ｐが９（ｍｏｄ １６）に一致する場合を示す。 図２Ｂは、ｐが１７（ｍｏｄ ３２）に一致する場合を示す。
【００５０】 今回は、ａがＣＧ（ｐ）の平方剰余であることが既知であるので、等式ｘ2
≡ ａ（ｍｏｄ ｐ）に従って、ｘについての解を計算する方法、つまり「ＣＧ
（ｐ）内で平方根を取る」方法を見てみよう。言うまでもなく、同じ結果を得る
複数の方法がある。つまり、読者は、有利なことに「Graduate Texts in Mathem
atics」, vol.138 (ＧＴＭ１３８)だけではなく、１９９３年にBerlin，Springe
r出版のHenri Cohenの「A Coursein Computational Algebraic Number Theory
」の３１〜３６頁も参照することができる。
【００５１】 鍵<ｓ，ｐ>を確立するために整数ｓ＝（ｐ−１＋２t）／２t+1を計算してみよ
う。つまりｐが３（ｍｏｄ ４）に一致するときには、<（ｐ＋１）／４，ｐ>で
ある。ｐが５（ｍｏｄ ８）に一致するときには、<（ｐ＋３）／８，ｐ>である
。ｐが９（ｍｏｄ １６）であるときには<（ｐ＋７）／１６，ｐ>である。ｐが
１７（ｍｏｄ ３２）であるときには<（ｐ＋１５）／３２，ｐ>である、等々。 鍵<ｓ，ｐ>は、任意の奇数パリティ階数元の奇数階数平方根を与える。実際に
、ＣＧ（ｐ）では、ｒ2／ａは累乗（２．（ｐ−１＋２t）／２ t+1）−１ ＝（
ｐ−１）／２t乗まで累乗されるａに等しい。その結果、ａがサイクル（cycle）
にあるとき、鍵<ｓ，ｐ>が、ａを、ｗと呼ばれる解へと変換する。他の解はｐ−
ｗである。 一般的には、鍵<ｓ，ｐ>は、任意の平方剰余ａをｒと呼ばれる解の第１近似へ
と変換する。以下は、平方根ａまでの近似のステップごとの改善の方法の大まか
な略図が続く２個の鍵ポイントである。 第１に、ａは平方剰余であるため、鍵<２t-1，ｐ>は、確かにｒ2／ａを１へ
と変換する。 第２に、私達が、ｙと命名されるＣＧ（ｐ）の非平方剰余を知っていると仮
定することができる。鍵<（ｐ−１）／２t，ｐ>は、ｙをｂと呼ばれる元へと変
換する。これが、−１の根２t-1番目である。実際に、ｙ(p-1)/2 ≡ −１（ｍ
ｏｄ ｐ）である。その結果、ＣＧ（ｐ）では、単位の２tの２t番目の根の乗法
群は、１から２tまの指数のｂ乗の乗法群に同形である。 ａの平方根に近づくためには、ｒ2／ａを２t-2（ｍｏｄ ｐ）乗まで累乗し
よう。その結果は＋１または−１である。新しい近似は、結果が＋１である場合
にはｒのままであるか、さもなければ結果−１である場合には、それはｂ．ｒ（
ｍｏｄ ｐ）になる。その結果、鍵<２t-2，ｐ>は、確かに新規近似を１に変換
する。必要とされる値に近づき続けることが可能である。次の段階では、必要な
場合に、ｂ2（ｍｏｄ ｐ）等で乗算することにより、調整が行われるだろう。
【００５２】 以下のアルゴリズムは、前記に定義された整数ｒおよびｂからａの平方根に達
するために連続近似を行う。それは、以下の２つの変数を使用する。つまり、連
続近似を表すためにｒによって初期化されるｗ、および２から２t-2の２乗の間
の値を想定するｊｊである。
【００５３】 １からｔ−２までの範囲のｉの場合には、以下のシ−ケンスを反復する。 ｗ2／ａ（ｍｏｄ ｐ）を計算してから、結果を２t-i-1（ｍｏｄ ｐ）乗まで
累乗する。つまり、＋１または−１が得られるべきである。−１が得られると、 ｊｊ＝２iを計算し、そして、ｗをｗ．ｂjj（ｍｏｄ ｐ）で置換する。＋１
が得られるときには何もしない。
【００５４】 計算の最後では、ｗおよびｐ−ｗはＣＧ（ｐ）内のａの２つの平方根である。
さらに、私達は、ＣＧ（ｐ）内の階数ａが２t+1／ｊｊによってではなく、２t／
ｊｊによって除算可能であることを学ぶ。この観察の関連性は、以下に理解され
るだろう。
【００５５】 （ＣＧ（ｐ）内でのＧＱ２技術の原理の分析） １より大きい２つの整数ｇとｋおよびｇより大きい素数ｐを取ってみよう。等
式（数４），（数５）および（数６）内でのＣＧ（ｐ）のｘの中の解の存在およ
び数を分析してみよう。
【００５６】 ガロア体ＣＧ（ｐ）においては、ｔの値に応じて、つまりｐ−１を除算する２
の累乗に従って、さまざまな場合を区別してみよう。ｐ−１が２t+1によってで
はなく、２tによって除算可能である、つまりｐが２t＋１（ｍｏｄ ２t+1）に
一致していることを想起することができる。過去の分析は、私達に、大まかな解
だけではなく問題に関するかなり正確な考えも与えてくれる。
【００５７】 ｔ＝１のとき、ｐは３（ｍｏｄ ４）に一致している。ｐに関するｇおよび−
ｇというルジャンドル記号は異なる。つまり、ＣＧ（ｐ）の任意の平方剰余はＣ
Ｇ（ｐ）内に２つの平方根を有する。つまり、一方は平方剰余であり、他方は非
平方剰余である。第１に、２つの等式（数４）または（数５）の一方はＣＧ（ｐ
）内のｘの中に２つの解を有し、他方は何も有さない。第２に、等式（数６）に
は、ｋの値が何であれ、ＣＧ（ｐ）のｘの中に２つの解を有する。
【００５８】 ｔ＝２のとき、ｐは５（ｍｏｄ ８）に一致している。２つの場合は、ｐに関
するｇのルジャンドル記号に応じて発生する。記号が−１に等しいとき、ｇおよ
び−ｇは、ともにＣＧ（ｐ）の非平方剰余である。３つの等式（数４）と（数５
）と（数６）とは、ＣＧ（ｐ）のｘの中に解を有していない。記号が＋１に等し
いとき、ｇおよび−ｇはＣＧ（ｐ）の２つの平方剰余であり、各等式（数４）お
よび（数５）はＣＧ（ｐ）内のｘの中に２つの解を有する。さらに、ＣＧ（ｐ）
内のｇ2の階数は、ｋの値が何であれ、等式（数６）にはＣＧ（ｐ）内のｘの中
に４つの解があり、その内の１つだけが奇数パリティ階数を有することを暗示す
る奇数パリティ値である。
【００５９】 図３は、ｋ＝６およびｐが５（ｍｏｄ ８）に一致し、ｔ＝２を示す等式（数
６）に対する解を図解する。５（ｍｏｄ ８）に等しいｐに関する２のルジャン
ドル記号は、−１．２(p-1)/4（ｍｏｄ ｐ）に等しく、そして、−１という平
方根に等しい。したがって、私達は、以下を有する。
【数１０】
【数１１】
【００６０】 ｔ＝３のとき、ｐは９（ｍｏｄ １６）に等しい。Ｐに関するｇのルジャンド
ル記号を考慮してみよう、記号が−１に等しいとき、ｇおよび−ｇはＣＧ（ｐ）
の２つの非平方剰余である。つまり、３つの等式（数４）、（数５）、（数６）
は、ＣＧ（ｐ）のｘの中に解がない。記号が＋１に等しいとき、ｇおよび−ｇは
ＣＧ（ｐ）の２つの平常剰余である。つまり、各等式（数４）および（数５）に
はＣＧ（ｐ）内ｘの中に２つの解がある。ｘについての等式（数６）に対する解
の存在はＣＧ（ｐ）内のｇ2の階数に依存する。この階数は、奇数パリティ値で
あるか、または４によってではなく２によって除算可能である。ＣＧ（ｐ）のｇ 2 の階数が４によってではなく２によって除算可能であるとき、等式（数６）に
は、ｋ＝２の場合、ＣＧ（ｐ）内のｘについて４つの解がある。つまり、それは
ｋ≧３を超えることはできない。ＣＧ（ｐ）内のｇ2の階数が奇数パリティ値で
あるとき、等式（数６）はｋ＝２の場合ＣＧ（ｐ）内のｘの中に４つの解を有し
、ｋ≧３の場合には８つの解を有する。両方の場合とも、唯一の値は奇数パリテ
ィ値である。
【００６１】 ｔ＝４のとき、ｐは１７（ｍｏｄ ３２）に一致している。Ｐに関してｇのル
ジャンドル記号を考えてみよう。記号が−１に等しいとき、ｇおよび−ｇはＣＧ
（ｐ）の２つの非平方剰余である。つまり、３つの等式（数４）、（数５）、（
数６）は、ＣＧ（ｐ）内のｘについて解がない。記号が＋１に等しいとき、ｇお
よび−ｇはＣＧ（ｐ）の２つの平方剰である。各等式（数４）および（数５）は
ＣＧ（ｐ）内のｘの中に２つの解を有する。等式（数６）に対するｘについて解
の存在は、ＣＧ（ｐ）内のｇ2の階数に依存する。この階数は、奇数パリティ値
であるか、または８によってではなく、２または４によって除算可能である。Ｃ
Ｇ（ｐ）内のｇ2の階数が８によってではなく２によって除算可能である場合に
は、等式（数６）は、ｋ＝２の場合、ＣＧ（ｐ）内のｘについて４つの解を有す
る。つまり、それはｋ≧３を超えることはできない。ＣＧ（ｐ）内のｇ2の階数
が４によってではなく２によって除算可能であるとき、等式（数６）は、ｋ＝２
の場合ＣＧ（ｐ）内のｘについて４つの解、またはｋ＝３の場合８つの解を有す
る。それは、ｋ≧４の場合にはまったく解を有さない。ＣＧ（ｐ）内のｇ2の階
数が奇数パリティ値であるとき、等式（数６）は、ｋ＝２の場合ＣＧ（ｐ）内の
ｘの中で４つの解を、ｋ≧３の場合８つの解を、およびｋ≧４のときには１６個
の解を有する。３つすべての場合において、唯一の値は奇数パリティ値である。
【００６２】 ｐが１（ｍｏｄ ４）に一致している場合を、以下のように要約できるように
等々である。
【００６３】 ｐが１（ｍｏｄ ４）に等しいとき、ｐに関するｇのルジャンドル記号を考え
てみよう。記号が−１に等しいとき、ｇおよび−ｇはＣＧ（ｐ）の２つの非平方
剰余である。つまり、３つの等式（数４）、（数５）、（数６）は、ＣＧ（ｐ）
のｘについて解がない。記号が＋１に等しいとき、ｇおよび−ｇは、ＣＧ（ｐ）
の２つの平方剰余である。各等式（数４）および（数５）は、ＣＧ（ｐ）のｘに
ついて２つの解を有する。整数ｕを定義してみよう。ＣＧ（ｐ）内のｇ2の階数
は、２u+1によってではなく、２uによって除算可能である。ｕ の値は０からｔ
−２の考えられるｔ−１値の中にある。等式（数６）に対するＣＧ（ｐ）のｘの
中の解の存在および数は、ｋ、ｔおよびｕの値に依存する。ｕが正であり、ｋが
ｔ−ｕより大きい場合には、等式（数６）は、ＣＧ（ｐ）のｘについて解を有し
ていない。ｕがゼロであり、ｋがｔより大きいとき、等式（数６）はＣＧ（ｐ）
のｘについて２t個の解を有する。ｋがｔ−ｕより小さいとき、等式（数６）は
、ＣＧ（ｐ）内のｘの中に２k個の解を有する。
【００６４】 （整数係数の環内でのＧＱ２原理の適用可能性） 等式（数１）および（数２）がそれぞれモジュロｎの整数環のｘの中で解を有
さないためには、ｐ1からｐf，という素因数ｐの少なくとも１つにとって、等式
（数４）および（数５）がそれぞれＣＧ（ｐ）内のｘに解を有さないことが必要
であり十分である。
【００６５】 等式（数３）がモジュロｎの整数環のｘの中で解を有するためには、ｐ1から
ｐf，という素因数ｐのそれぞれにとって、等式（数６）がＣＧ（ｐ）内のｘに
解を有さなければならないことが必要であり、十分である。
【００６６】 等式（数３）は、１（ｍｏｄ ４）に一致する素因数ｐが、可能な限りはやく
基数ｇの１つに関してｇ1からｇmになるのを禁止する。つまり、ｐに関するｇと
いうルジャンドル記号が−１に等しいか、あるいはさもなければｐに関するｇと
いうルジャンドル記号は以下の条件付きで＋１に等しい。つまり、ｕが正であり
、ｔ−ｋより大きい。１（ｍｏｄ ４）に等しい素因数ｐが考えられる可能性が
あるためには、ここに前述された２つの整数ｔおよびｕに従って、ｇ1からｇmの
基数ｇのそれぞれに対する次の２つの条件の内の１つを満たすことが必要である
。Ｇ＝ｇ2の階数は、ｋの値が何であれ、ＣＧ（ｐ）内の奇数パリティ階数であ
る、つまりｕ＝０である。または、さもなければＧ＝ｇ2の階数はＣＧ（ｐ）内
の奇数パリティ階数値、つまりｕ＞０であり、それがｕ＋ｋ≦ｔという条件を満
たす。
【００６７】 １（ｍｏｄ ４）に一致する素因数の積は、ＧＱ２技術のすべての原理を満た
すことはできない。各ＧＱ２係数は、基数ｇごとに、これらの因数の一方に関す
るｇのルジャンドル記号が、他方に関するｇのルジャンドル記号と異なるように
、３（ｍｏｄ ４）に一致している少なくとも２個の素因数を有さなければなら
ない。すべての素因数が３（ｍｏｄ ４）に一致しているとき、ＧＱ２係数は基
本(basic)であるといわれる。３（ｍｏｄ ４）に一致している少なくとも２つ
の素因数に加えて、係数は、１（ｍｏｄ ４）に一致している１以上の素因数を
含み、係数ＧＱ２は 結合されていると言われる。
【００６８】 （係数ＧＱ２の体系的な構築） 最初に、係数ｎに関して規定されなければならない全体的な制約を固定する必
要がある。つまり、１のときの最上位ビットの数（少なくとも１つ、言うまでも
なく、典型的には１６ビットまたは３２ビット）、素因数の数ｆと１（ｍｏｄ
４）に一致しなければならない素因数の数ｅ（おそらくゼロ）だけではなく、ビ
ット単位で表されるサイズ（例えば、５１２ビットまたは１０２４ビット）、そ
の他の素因数、すなわちｆ−ｅ因数、少なくとも２つが３（ｍｏｄ ４）に一致
していなければならない。係数ｎは、類似したサイズのｆ個の素因数の積となる
。ｅ＝０のとき、基本係数ＧＱ２が得られる。ｅ＞０のとき、結合係数ＧＱ２が
得られる。基本係数は、すべて３（ｍｏｄ ４）に等しい素因数の積である。し
たがって、結合係数ＧＱ２は、１（ｍｏｄ ４）に一致している１以上のその他
の素因数によって乗算される基本係数ＧＱ２の積として出現する。最初に、３（
ｍｏｄ ４）に一致している素因数が作成される。そして、ｅ＞０であると、１
（ｍｏｄ ４）に一致している素因数が作成される。
【００６９】 係数の構築の効力のため、それが素数値であるかどうかを突き止めようとする
前に各候補を選択するのが確かによいであろう。
【００７０】 ｇ1 ｇ2 …によって参照されるとき、基数は、典型的には第１素数、つまり
２、３、５、７．．．の中で見つけられる。逆の表示がない場合には、ｍ個の基
数はｍ個の第１素数である。つまり、ｇ1＝２、ｇ2＝３、ｇ3＝５、ｇ4＝７、…
。しかしながら、以下の点を注記しなければならない。５（ｍｏｄ ８）に一致
する係数が予想される場合には２は回避しなければならない。公開鍵<３，ｎ>を
ＲＳＡ公開認証鍵として使用しなければならない場合には、３は回避しなければ
ならない。
【００７１】 （３（ｍｏｄ ４）に一致するｆ−ｅ個の素因数の選択） 第２因数に基づき、プログラムは、因数ごとに１つの基数を要求、使用する。
３（ｍｏｄ ４）に一致する最後の因数を選択するためには、プログラムは、他
の基数があるかどうか、すなわちｍがｆ−ｅに等しい、またはそれより大きいか
どうかを突き止め、それからこれが当てはまる場合には、ｇf-eからｇmという最
後の基数を要求し、考慮に入れる。３（ｍｏｄ ４）と一致する最後の基数の選
択を形式化するために、私達はプロファイルという概念を導入した。プロファイ
ルは、ｇより大きく、３（ｍｏｄ ４）に一致する素因数の集合に関して整数ｇ
を特徴付ける。 整数ｇに２つの素因数に関して同じルジャンドル記号が付く場合には、素因数
は、ｇに関して等価であるといわれる。さもないと、それらはｇに関して相補的
である。 プロファイル（ｇ）によって参照され、ｆ個の素因数ｐ1 ｐ2 …ｐfに関す
る整数ｇのプロファイルは、素因数あたり１ビットのｆ個のビットのシ−ケンス
である。第１ビットは１に等しい。それぞれの続くビットは、次に因数がｇに関
してｐ1に等価であるのか、または相補的であるのかに応じて１または０に等し
い。 プロファイルのすべてのビットが１に等しいとき、プロファイルは平坦である
と言われる。このような場合には、ｇに関するすべてのルジャンドル記号は＋１
に等しいか、さもなければ−１に等しい。ｇのプロファイルが平坦ではないとき
、等式（数１）および（数２）は、モジュロｎの整数環のｘの中で解くことはで
きない。 定義によって、３（ｍｏｄ ４）に一致する単一素数に関するｇのプロファイ
ルはつねに平坦である。この拡張は、３（ｍｏｄ ４）に一致する素因数の選択
のアルゴリズムを汎用化するために使用される。
【００７２】 ２つの基数ｇ1とｇ2のプロファイルが異なるとき、それは３（ｍｏｄ ４）に
一致する少なくとも３つの素因数を暗示し、２つの秘密値Ｑ1とＱ2の情報が、係
数ｎの２つの異なる分解の情報を引き出す。基数が小さい素数であるとき、プロ
グラムは、ｆ−ｅ−１個の基本素数の２f-e-1−１個の乗法の組み合わせのプロ
ファイルがすべて異なることを保証する。それらは、すべての考えられる値を取
る。プロファイルという概念は、１（ｍｏｄ ４）に一致する素因数まで拡張し
ない。
【００７３】 ３（ｍｏｄ ４）に一致する第１素因数ｐ1は、各候補が他の特定の制約なし
に３（ｍｏｄ ４）に一致しなければならない。
【００７４】 第１基数ｇ1が考慮に入れられている３（ｍｏｄ ４）に一致する第２素因数
ｐ2は、各候補がｇ1に関してｐ1に相補的でなければならない。
【００７５】 第２基数ｇ2が考慮に入れられている３（ｍｏｄ ４）に一致する第３素因数
ｐ3は、２つの第１素因数ｐ1およびｐ2に関するｇ2のプロファイルに従って、２
つの場合が発生する。Ｐｒｏｆｉｌｅ2（ｇ2）が平坦であるとき、各候補はｇ2
に関してｐ1に相補的でなければならない。さもなければ、Ｐｒｏｆｉｌｅ2（ｇ 1 ）＝Ｐｒｏｆｉｌｅ2（ｇ2）を有する。そして、各候補は、Ｐｒｏｆｉｌｅ3（
ｇ1）≠Ｐｒｏｆｉｌｅ3（ｇ2）を保証しなければならない。
【００７６】 基数ｇiが考慮に入れられている３（ｍｏｄ ４）に一致するｉ番目の素因数
ｐi+1の選択は、ｉ個の第１素因数ｐ1，ｐ2，…ｐiに関するｇiのプロファイル
に従って、２つの場合が発生する。Ｐｒｏｆｉｌｅi（ｇi）が平坦であるとき、
各候補はｇiに関してｐ1に対し相補的でなければならない。さもなければ、ｉ−
１番目の基数ｇ1，ｇ2，…ｇi-1およびその乗法の組み合わせｇ1．ｇ2，…，ｇ1 ．ｇ2．…ｇi-1、つまり、すべての中で２i-1−１個の整数の中では、Ｐｒｏｆ
ｉｌｅi（ｇi）＝Ｐｒｏｆｉｌｅi（ｇ）であるように、１つおよび唯一の整数
ｇがある。そして、各候補は、Ｐｒｏｆｉｌｅi+1（ｇi）≠Ｐｒｏｆｉｌｅi+1
（ｇ）を保証しなければならない。
【００７７】 基数ｇf-e-1およびｇf-eからｇmというそれ以外の基数が考慮に入れられてい
る３（ｍｏｄ ４）に一致する最後の素因数ｐf-eは、基数ｇf-e-1のための制約
が前述されたように考慮に入れられる。さらに、ｍがｆ−ｅに等しい、またはそ
れより大きいとき、各候補はｆ−ｅ個の素因数に関してｇf-eからｇmという最後
の基数の非平坦プロファイルに備えなければならない。各候補は、Ｐｒｏｆｉｌ
ｅf-e-1（ｇi）が平坦であるｇ iのすべての値に関してｐ1に相補的でなければ
ならない。
【００７８】 要約すると、３（ｍｏｄ ４）に一致する素因数は、互いの関数として選択さ
れる。
【００７９】 ０からｆ−ｅ−１の範囲のｉの場合には、３（ｍｏｄ ４）に一致するｉ＋１
番目の素因数を選択するには、候補ｐi+1は、無事に以下の試験に合格しなけれ
ばならない。 ｉ＞ｍまたはｉ＝０の場合には、候補ｐi+1にはそれ以外の制約はない。した
がって、それは受け入れられている。 ０＜ｉ≦ｍの場合には、候補ｐi+1はｉ番目の基数ｇiを考慮に入れなければな
らない。ｐ1からｐiのｉ個の素因数に関する基数ｇIのプロファイルＰｒｏｆｉ
ｌｅi（ｇi）を計算する。結果に応じて、以下の２つの場合の内の１つおよび１
つだけが発生することができる。 プロファイルが平坦である場合には、候補ｐi+1は、ｇiに関してｐ1に相補
的でなければならない。さもなければ、それは拒絶されなければならない。 さもなければ、ｉ−１個の基数およびすべてのその乗法組み合わせの中で、
Ｐｒｏｆｉｌｅi（ｇ）＝Ｐｒｏｆｉｌｅi（ｇi）となるようにｇと呼ばれる１
つのおよび唯一の数がある。そして、候補ｐi+1は、Ｐｒｏｆｉｌｅi+1（ｇ）
≠ Ｐｒｏｆｉｌｅi+1（ｇi）となるようでなければならない。さもなければ、
それは拒絶されなければならない。 ｉ＋１＝ｆ−ｅであり、ｉ＜ｍの場合、つまりまだ考慮に入れられていない、
基数ｇf-eからｇmが残るときには、３（ｍｏｄ ４）に一致する最後の素因数を
選択するために、候補ｐf-eはそれらを考慮に入れなければならない。これらの
基数の中で、そのプロファイルＰｒｏｆｉｌｅf-e-1（ｇi）が平坦であるそれら
の数が選択される。候補ｐf-eは、このようにして選択された基数のそれぞれに
関してｐ1に相補的でなければならない。さもなければ、それらは拒絶されなけ
ればならない。
【００８０】 候補は、それが無事に適切な試験を受けたため受け入れられる。
【００８１】 （１（ｍｏｄ ４）に一致するｅ個の素因数の選択） 許容できるためには、１（ｍｏｄ ４）に一致する各候補ｐは、ｇ1からｇmと
いう各基数に関して以下の条件を満たさなければならない。 ｐに関する各基数ｇiのルジャンドル記号を評価してみよう。もし、記号が−
１に等しい場合には、候補ｐを拒絶し、別の候補に移動しよう。記号が＋１に等
しい場合には、候補の評価を続行しよう。整数２が基数として使用される場合に
は、５（ｍｏｄ ８）に一致するすべての候補が削除されなければならない。基
数２は５（ｍｏｄ ８）に一致する係数とは相容れない。 鍵<ｓ，ｐ>を確立するために、整数ｓ＝（ｐ−１＋２t）／２t+1を計算しよう
。結果ｒを得るために、各公開値Ｇiに鍵<ｓ，ｐ>を適用しよう。 もし、ｒがｇiまたは−ｇiに等しい場合には、ｕ＝０である。この場合およ
びこの場合だけ、Ｇiはサイクル内にある。自明な場合を注記することができる
。つまり、Ｇiは、ｐが５（ｍｏｄ ８）に一致し、ｐに関するｇiというルジャ
ンドル記号が＋１に等しいならばサイクル内にある。Ｇi＝４が、この場合では
不可能であることを想起することができる。 もし、ｒがｇiにも−ｇiにも等しくない場合には、ｕ＞０である。鍵<（ｐ
−１）／２t，ｐ>が、あらゆる非平方剰余ｙを、単位の２t番目の根であるｂに
変換することを注記しなければならない。以下のアルゴリズムは、２つの整数変
数を使用することにより、ｒおよびｂからｕを計算する。つまり、ｒによって初
期化されたｗおよび２から２t-2の値を取るｊｊである。 １からｔ−２の範囲のｉの場合には、以下のシ−ケンスを繰り返す。 ｗ2／Ｇi（ｍｏｄ ｐj）を計算してから、累乗２t-i-1（ｍｏｄ ｐj）まで
結果を累乗する。つまり、私達は、＋１または−１を得なければならない。−１
が得られたら、ｊｊ＝２iを計算し、それからｗ．ｂjj（ｍｏｄ ｐj）で ｗ
を置換する。＋１が得られたら何も行わない。
【００８２】 計算の最後に、変数ｗは、値ｇiまたは−ｇiを有する。さらに、ＣＧ（ｐj）
内のＧi の階数が、２t+1／ｊｊによってではなく、 ２t／ｊｊによって除
算可能である、つまり、ｊｊがｊｊ＝２t-uによるｕの値を決定することを知っ
ている。ｖがｊｊより大きいとき、つまりｋ＞ｔ−ｕであるときには、候補を拒
絶し、別の候補に移動する。ｖがｊｊより小さい、または等しいとき、つまりｋ
≦ｔ−ｕには、候補の評価を続行する。
【００８３】 ｆ個の素因数が作成されると、公開モジュラスｎは、ｆ個の素因数ｐ1，ｐ2，
…ｐfの積である。符号なし整数ｎは、バイナリシ−ケンスによって表すことが
できる。つまり、このシ−ケンスは、ビットのサイズに関して、および１での連
続最上位ビットの数に関してプログラムの始めに課された制約に準拠している。
素因数の選択は、ｍ個の基数ｇ1，ｇ2，…ｇm のそれぞれに関しての係数ｎの
以下の特性に備える。さらに、等式（数１）および（数２）は、モジュロｎの整
数環のｘの中に解を有さない。第２に、等式（数３）は、モジュロｎの整数環の
ｘの中に解を有する。
【００８４】 要約すると、１（ｍｏｄ ４）に一致する素因数は、互いとは無関係に選ばれ
る。３（ｍｏｄ ４）に一致する因数は徐々に基数を考慮に入れるが、１（ｍｏ
ｄ ４）に一致する各素因数は基数のそれぞれによって規定されているすべての
制約を考慮に入れなければならない。ｐf-eからｐfまでの１（ｍｏｄ ４）に一
致する各素因数、つまりｐは、２つのステップで以下の試験を無事に受けるべき
であった。 １）ステップ（１）は、ｇ1からｇmへｍ個の基数のそれぞれに連続して実行さ
れる。 候補ｐに関する現在の基数ｇのルジャンドル記号が計算される。以下の２つの
場合の内の１つおよび１つだけが発生する。つまり、記号が−１に等しい場合に
は、候補は拒絶される。さもなければ（記号が＋１に等しい）、試験は、ステッ
プ（１）の後の基本数ｇに移る際に続行される。 候補がすべてのｍ個の基数に関して許容できるときには、演算はステップ（２
）に移る。 ２）ステップ（２）は、Ｇ1からＧmまでｍ個の公開値のそれぞれに連続して実
行される。 整数ｔは、ｐ−１が２t+1によってではなく、２tによって除算可能であるよう
に計算され、それから鍵<ｓ，ｐ>をセットアップするために、整数ｓ＝（ｐ−１
＋２t）／２t+1である。鍵<ｓ，ｐ>は、結果ｒ、つまり、
【数１２】 を得るために、現在の公開値Ｇ＝ｇ2に適用される。結果に応じて、以下の状態
の１つおよび１つだけが発生する。 ａ）ｒがｇまたは−ｇに等しい場合には、ｕ＝０である。候補の試験はステッ
プ（２）で以下の公開値Ｇに移る際に続行される。 ｂ）さもなければ、正の数ｕが、２つの変数を実現する以下のアルゴリズムを
適用する際に、１からｔ−２の値の１つを取って計算される。つまり、２から２ t-2 という範囲の値を取るｊｊおよびＣＧ（ｐ）の非平方剰余に鍵<（ｐ−１）／
２t，ｐ>を適用することによって得られる整数ｂだけではなく、ｒによって初期
化されるｗである。 １からｔ−２の添数ｉｉの場合、以下の演算が繰り返される。 ｗ2／Ｇ（ｍｏｄ ｐ）を計算してから、鍵<２t-ii-1，ｐ>が、＋１また
は−１を得るために結果に適用される（さもなければ、候補が素因数ではないと
いう証拠がある）。−１が得られる場合には、ｊｊ＝２iiが計算されてから、ｃ
≡ｂjj（ｍｏｄ ｐ）を計算し、ｗをｗ．ｃ（ｍｏｄ ｐ）によって置換し、そ
して、次の添数ｉｉへの通過がある。＋１が得られると、次の添数ｉｉへの通過
がある。 アルゴリズムの最後では、変数ｊｊの値が、関係性ｊｊ＝２t-uによってｕを
定義する。変数ｗ の値はＧの平方根、つまりｇまたは−ｇである（さもなけれ
ば、候補が素因数ではないという証拠がある）。２つの場合が発生する。 ｔ−ｕ＜ｋの場合には、候補ｐは、Ｇが発生する分岐が十分に長くないため
に拒絶される。 （ｔ−ｕ≧ｋ）の場合には、候補の評価は、ステップ（２）の後に次の公開値
Ｇに移動する上で続行される。 候補がすべてのｍ個の公開値にとって許容できるときには、それは１（ｍｏｄ
４）と一致する素因数として受け入れられる。
【００８５】 （関連付けられる値の計算） 秘密構成要素を得るために、一般的な場合を取り上げる前に、まず２つの最も
簡略かつ最新の場合での等式（数６）に対するすべての解を計算しよう。
【００８６】 ３（ｍｏｄ ４）に一致する各素因数ｐjに対しては、鍵<（ｐj＋１）／４，
ｐj>は任意の平方剰余の平方剰余根を与える。このことから、等式（数６）に対
する解を計算するための方法を推論する。つまり、 ｓj ≡（（ｐj＋１）／４）k（ｍｏｄ（ｐj−１）／２）であれば、Ｑi,j
≡ Ｇi sj（ｍｏｄ ｐj）であり、 または、さもなければ、むしろこのような解の逆数（ｍｏｄ ｐj）である。 ｓj ≡（ｐj−１）／２−（（ｐj＋１）／４）k（ｍｏｄ（ｐj−１）／２）
であれば、Ｑi,j ≡ Ｇi sj（ｍｏｄ ｐj）である。
【００８７】 ＣＧ（ｐj）においては、その場合、単位の２つのおよび２つだけの平方根が
ある。つまり、＋１と−１である。したがって、等式（数６）に対するｘ内の２
つの解がある。つまり、２つの数Ｑi,jおよびｐj−Ｑi,jは、同じ平方Ｇi（ｍｏ
ｄ ｐj）である。
【００８８】 ５（ｍｏｄ ８）に一致する各素因数ｐjに対しては、鍵<（ｐj＋１）／４，
ｐj>は、任意の奇数パリティ階数元の奇数パリティ階数平方根を与える。このこ
とから、等式（数６）に対する解を推論する。つまり、 ｓj ≡（（ｐj＋３）／８）k（ｍｏｄ（ｐj−１）／４）であれば、Ｑi,j
≡ Ｇi sj（ｍｏｄ ｐj）であり、 または、さもなければ、むしろこのような解の逆数（ｍｏｄ ｐj）である。 ｓj ≡（ｐj−１）／４−（（ｐj＋３）／８）k（ｍｏｄ（ｐj−１）／４）
であれば、Ｑi,j ≡ Ｇi sj（ｍｏｄ ｐj）である。 ＣＧ（ｐj）においては、単位の４つおよび４つだけの第４根がある。したがっ
て、等式（数６）に対するｘの中に４つの解がある。２(pj-1)/4（ｍｏｄ ｐj
）が、５（ｍｏｄ ８）に一致するｐに関する２のルジャンドル記号が−１に等
しいため、−１という平方根であることを注記しよう。Ｑi,jが解である場合に
は、−１という平方根によるＱi,jの積（ｍｏｄ ｐj）だけではなく、ｐj−Ｑi ,j も別の解である。
【００８９】 ２t＋１（ｍｏｄ２t+1）に一致する素因数ｐjに対しては、鍵<（ｐj−１＋２t ）／２t+1，ｐj>は、任意の奇数パリティ次数元の奇数パリティ平方根を与える
。したがって、等式（数６）に対する解を計算することが可能である。 最初に、整数ｓj≡（（ｐj−１＋２t）／２t+1）k（ｍｏｄ（ｐj−１）／２t
）を計算して、鍵<ｓj，ｐj>をセットアップしよう。 鍵<（ｐj−１＋２t）／２t+1，ｐj>が、Ｇiをｇiまたは−ｇiに変換するとき
、Ｇiの階数はＣＧ（ｐj）（ｕ＝０）内の奇数パリティ値である。それから、鍵
<ｓj，ｐj>は、Ｇiを数ｚへと変換する。これは、等式（数６）に対する奇数パ
リティ階数解である。ｔおよびｋの値に従って、依然として１以上の分岐上にｍ
ｉｎ（２k−１，２t−１）のその他の解がある。ｚ2の分岐は別の解を運ぶ。こ
れがｐj−ｚである。ｔ≧２のとき、ｚ4の分岐には２つのそれ以外の解がある。
それは、−１の２つの平方根のそれぞれ、つまり単位の２つの原始第４元のそれ
ぞれによるｚの積である。いま、ｙがＣＧ（ｐj）の非平方剰余である場合には
、 ｙ(pj-1)/4（ｍｏｄ ｐj）は、−１の平方根である。一般的には、１から
ｍｉｎ（ｋ，ｔ）の各値を取るｉの場合には、ｚの２i番目の累乗の分岐が２i-1 個の解を生じさせる。これらは、単位の２i-1個の原始２i番目の元のそれぞれに
よるｚの（ｍｏｄ ｐj）である。いまｙがＣＧ（ｐj）の非平方剰余である場合
には、累乗（ｐj−１）／２iに対するｙは、私達がｃと呼ぶ単位の２i番目の原
始根である。単位の２i-1番目から２i番目の原始根は、ｃの奇数パリティ累乗で
ある。つまり累乗２i−１（ｍｏｄ ｐj）までのｃ，ｃ3（ｍｏｄ ｐj），ｃ5
（ｍｏｄ ｐj），…ｃである。 鍵<（ｐj−１＋２t）／２t+1，ｐj>が、ｇiでもなく−ｇiでもないＧiを整数
ｒに変換するとき、Ｇiの階数はＣＧ（ｐj）（ｕ＞０）内の奇数パリティ値で
ある。その場合には、Ｇiが適切にかなり冗長な分岐、つまりｔ≧ｋ＋ｕに置か
れる場合、Ｇiが位置している分岐上に２k個の解がある。２k番目の根を計算す
るために解ｚまでの連続結果の平方根を計算するには、前述された平方根計算ア
ルゴリズムｋを階数分反復することで十分である。この計算は、言うまでもなく
、２k番目の根に直接的に近づいてから、解ｚを達成するために単一演算で２k番
目の根の近似を調整するために最適化することができる。すべてのそれ以外の解
を得るために、まず第１に、ｙがＣＧ（ｐj）の非平方剰余である場合には、（
ｐj−１）／２k乗までのｙが、ｄと呼ばれる単位の原始２k番目の根であること
を注記することができる。単位２kの２k番目の根は、ｄの連続累乗である。つま
り、２k−１（ｍｏｄ ｐj）乗までのｄ，ｄ2（ｍｏｄ ｐj），ｄ3（ｍｏｄ
ｐj），…ｄ、２k（ｍｏｄ ｐj）乗までのｄは１に等しい。Ｇiが位置している
分岐上の２k個の解は、これらの根のそれぞれのｚの積（ｍｏｄ ｐj）である。
【００９０】 要約すると、ｋ，ｔおよびｕが既知の状態で素因数ｐの構成要素および基数ｇ
を計算するには、以下の手順を使用する。 １）鍵<ｓ，ｐ>をセットアップするために、整数を計算する。ｓ≡（（ｐ−１＋
２t）／２t+1）k（ｍｏｄ（ｐ−１）／２t）。そして、鍵<ｓ，ｐ>を、ｚ≡Ｇs( mod ｐ）を得るために、Ｇに適用する。Ｕの値に従って、ステップ（２）また
は（３）への通過がある。 ２）ｕ＝０である場合には、ｚは等式（数６）に対する奇数パリティ解である。
依然として、１以上の分岐上に、非常に正確にはｍｉｎ（ｋ，ｔ）の他の分岐上
に、ｍｉｎ（２k−１，２t−１）のその他の奇数パリティ階数解がある。１から
ｍｉｎ（ｋ，ｔ）の範囲のｉの場合には、ｚの２i番目の累乗の分岐が２i-1 の
解を有する。これらは、単位２i-1 の２i番目の原始元のそれぞれによるｚの（
ｍｏｄ ｐ）である。等式（数６）に対する総称的な解は、ｚｚによって示され
る。演算はステップ（４）に移動する。 ３）ｕ＞０の場合には、等式（数６）に対するすべての解は、奇数パリティ解で
ある。それらの内の２kがあり、それらはすべてＧが位置している分岐内にある
。実際には、ｔ−ｕ≧ｋである。解を計算するには、以下のアルゴリズムが２つ
の変数を実行する。つまり、鍵<（ｐ−１）／２t，ｐ>をＣＧ（ｐ）の非平方剰
余に適用することによって得られる整数ｂだけではなく、２から２t-2の範囲の
値を想定するｊｊおよびｚによって初期化されるｗである。 以下のシ−ケンスはｋ階数回繰り返される。 １からｔ−２の範囲の添数ｉｉの場合には、以下の演算が繰り返される。つ
まり、ｗ2／Ｇ（ｍｏｄ ｐ）を計算し、そして、鍵<２t-ii-1，ｐ>を、＋１ま
たは−１を得るために結果に適用する（さもなければ、ｐが素数であるという証
拠がある）。−１が得られると、ｊｊ＝２ii を計算し、そして、ｃ≡ｂjj（ｍ
ｏｄ ｐ）を計算してから、ｗをｗ．ｃ（ｍｏｄ ｐ）によって置換し、次の添
数ｉｉへの通過がある。＋１が得られると、次の添数ｉｉへの通過がある。 アルゴリズムの最後では、変数ｗが値ｚａを有する。Ｇが位置する分岐上の
２k の解は、単位の２k番目の根のそれぞれによるｚａの（ｍｏｄ ｐ）である
。等式（数６）に対する総称的な解は、ｚｚによって表される。演算はステップ
（４）に移る。 ４）ｚｚが既知である状態で、構成要素値は、そこから推論される。つまり、そ
れは、等式Ｇ≡Ｑv（ｍｏｄ ｎ）が使用されるときにモジュロｐのｚｚの逆数
であり、等式Ｇ．Ｑv≡１（ｍｏｄ ｎ）が使用されるとき、ｚｚである。 （注記） 秘密構成要素および秘密値を得るには多様な方法がある。ｆ個の構成
要素、つまり指定された基数に対してｆ個の構成要素が既知である場合には、対
応する秘密値を計算するために、チャイニ−ズの剰余技法が使用される。指定さ
れた公開値Ｇ および係数ｎの場合に、複数の考えられる秘密値Ｑを有すること
が可能である。ｎが３（ｍｏｄ４）に一致する２つの素因数の積であるときには
、それらの内の４つがある。３（ｍｏｄ ４）に一致する３つの素因数ではそれ
らの内の８つがある。３（ｍｏｄ ４）に一致する２つの素因数および５（ｍｏ
ｄ ８）に一致する１つの素因数ではそれらの内の１６がある。これらの複数の
値の賢明な使用は、ＧＱ２を使用するチップカ−ドの電気的な消費の分析による
攻撃を複雑にする可能性がある。
【００９１】 このようにして、ｔが増加するので、および増加するとき、プログラムは、ま
すます珍しい場合に関して複雑になる。実際に、素数は以下のように平均して分
散される。つまり、２つの内の１つの場合、ｔ＝１、４つの内の１つ、ｔ＝２、
および８つの内の１つの場合、ｔ＝３等々である。さらに、ｍ個の基数のための
制約が立候補をますます許容できないものとする。どのような場合であっても、
結合された係数は、決定的にＧＱ２技術の部分を形成する。つまり、ＧＱ２係数
の型は、決して動的認証およびデジタル符号プロトコルに影響を及ぼさない。
【００９２】 図４は、素因数ｐが９（ｍｏｄ １６）に一致する、つまりｋ≧３だけではな
く、ｔ＝３、ｕ＝０でもあるサイクル内のＧi＝ｇi 2 を図解する。
【数１３】
【数１４】
【数１５】 に注意する。
【００９３】 図５は、素因数ｐが６５（ｍｏｄ １２８）に一致する、つまりｋ＝４および
ｕ＝２だけではなく、ｔ＝６でもある分岐上のＧi＝ｇi 2を図解する。
【００９４】 ここでは、ｖ＝６４，ｍ＝３を示し、３つの基数ｇ1＝３，ｇ2＝５、ｇ3＝７
を示すｋ＝６、および、２つが３（ｍｏｄ ４）に一致し、１つが５（ｍｏｄ
８）に一致する３つの素因数が指定される係数であるｆ＝３である鍵ＧＱ２の第
１の集合がある。ｇ＝２が５（ｍｏｄ ８）に一致する素因数とは相容れないこ
とを注意しなければならない。
【表１】
【００９５】 以下は、５（ｍｏｄ ８）に一致するｐ3に関係する構成要素のそれ以外に考
えられる値である。
【００９６】 以下は、ＣＧ（ｐ3）内の−１の平方根である。つまり、ｃ＝２(p3-1)/4（ｍ
ｏｄ ｐ3）＝
【表２】
【００９７】 以下は、ｋ＝９、つまりｖ＝ ５１２、ｍ＝２、つまり２つの基数 ｇ1＝２
およびｇ2＝３、および３（ｍｏｄ ４）に一致する３つの素因数のある係数
を示すｆ＝３のある鍵ＧＱ２の第２集合である。
【表３】
【００９８】 本発明は、ＧＱ鍵の集合、つまり係数ｎおよび指数ｖが２kに等しい、それぞ
れ公開値Ｇと秘密値Ｑの組の生産のための方法を説明してきた。鍵のこれらの集
合は、エンティティの真正性、および／または説明されたようにメッセ−ジの完
全性および／または真正性を証明するように作られる方法を実現するために使用
される。フランステレコム、TDFおよびMath RiZK社によって同日に提出され、そ
の発明者がLouis GuillouおよびJean−Jacques Quisquaterである係属出願に
おいて、エンティティの真正性、および／またはメッセ−ジの完全性および／ま
たは真正性を証明するように設計された方法、システムおよびデバイスの特徴的
な特色が主張された。これらの２つの出願は、引用することにより本明細書の一
部をなすものとする。
───────────────────────────────────────────────────── フロントページの続き (31)優先権主張番号 ９９／１２４６５ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (31)優先権主張番号 ９９／１２４６７ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (31)優先権主張番号 ９９／１２４６８ (32)優先日 平成11年10月１日(1999．10．1) (33)優先権主張国 フランス（ＦＲ） (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ， ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ， ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，Ｃ Ｒ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＥＥ，ＥＳ，ＦＩ ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ， ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，Ｋ Ｚ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ， ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，Ｓ Ｋ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 ギユ，ルイ フランス国、35230 ブルバル、リュ・ド ゥ・リズ 16 (72)発明者 キスクワテル，ジャン‐ジャック ベルギー国、1640 ロード・サン・ジェネ ス、アヴニュ・デ・カナール ３ Ｆターム(参考） 5J104 AA07 AA08 AA21 EA32 JA23 JA27 KA05 KA08 LA03 NA02 NA17

Claims (13)

    【特許請求の範囲】
  1. 【請求項１】 エンティティの真正性、および／または、 前記エンティティに関連付けられたメッセージＭの完全性を、以下のパラメー
    タあるいはこれらのパラメータの派生物のすべてまたは一部である ｆ個の素因数ｐ1，ｐ2，…ｐf（ｆは２以上）の積によって構成されている公
    開モジュラスｎと、 公開指数ｖと、 基数ｇiが、等式（１）ｘ2≡ｇiｍｏｄ ｎおよび等式（２）ｘ2≡−ｇiｍｏｄ
    ｎを、モジュロｎの整数環においてｘについて解くことができず、等式（３）
    ｘv≡ｇi 2ｍｏｄ ｎを、モジュロｎの整数環においてｘについて解くことができ
    るｍ個の別個の整数基数ｇ1，ｇ2，…ｇm（ｍは１以上）と によって、コントローラエンティティに対して証明するように設計された方法で
    あって、 第１に、 ｍ個の基数ｇ1,，ｇ2,，…ｇmと、 モジュラスｎのサイズと、 ｆ個の素因数ｐ1,，ｐ2,，…ｐfのサイズと を選択するステップを含んでなる、等式（１）と等式（２）と等式（３）とを満
    足するようにｆ個の素因数ｐ1,，ｐ2,，…ｐf．を作成することを可能にする方
    法。
  2. 【請求項２】 前記公開指数ｖが次の形式 ｖ＝２k を有するときに、ｋは１より大きい機密保護パラメータであり、前記機密保護パ
    ラメータｋも素数として選択される請求項１に記載の方法。
  3. 【請求項３】前記ｍ個の基数ｇ1,，ｇ2,，…ｇmが、前記第１の整数の中か
    ら少なくとも部分的に選択される請求項１または２に記載の方法。
  4. 【請求項４】 前記機密保護パラメータｋが小さい整数であり、特に１００
    よりも小さい整数である請求項２または３のいずれかに記載の方法。
  5. 【請求項５】 前記モジュラスｎのサイズが数百のビットより大きい請求項
    １から４のいずれかに記載される方法。
  6. 【請求項６】 ｆ個の素因数ｐ1,，ｐ2,，…ｐfが、因数の数ｆによって除
    算されるモジュラスｎのサイズに近いサイズを有している請求項１から５のいず
    れかに記載の方法。
  7. 【請求項７】 ｆ個の素因数ｐ1,，ｐ2,，…ｐfの中から、 モジュロ４の１に一致する素因数の数ｅを選択し、ｅをほぼゼロにする（ｅが
    ゼロである場合にはモジュラスｎはこれ以降基本係数と呼ばれ、ｅ＞０である場
    合にはモジュラスｎはこれ以降結合モジュラスと呼ばれる）ステップと、 ｆ−ｅ個のその他の素因数をモジュロ４の３に一致するように選択し、ｆ−ｅ
    を少なくとも２に等しくするステップと を含んでなる請求項１から５のいずれかに記載の方法。
  8. 【請求項８】 モジュロ４の３に一致するｆ−ｅ個の素因数ｐ1,，ｐ2,，…
    ｐf-eを作成するために、 モジュロ４の３に一致する前記第１の素因数ｐ1を選択するステップと、 ｐ2が基数ｇ1に関してｐ1に相補的となるように第２の素因数ｐ2を選択するス
    テップと、 ２つの場合において （１）ｉ＞ｍである場合、モジュロ４の３に一致する因数ｐi+1の選択と、 （２）ｉ＜ｍである場合、ｉ個の第１の素因数ｐiに関するｇiのプロファイル（
    Ｐｒｏｆｉｌｅi（ｇi））の計算と を区別するために、以下の手順を実行する際に因数ｐi+1を選択するステップで
    あって、 もし、前記Ｐｒｏｆｉｌｅi（ｇi）が平坦である場合には、ｐi+1がｇiに関し
    てｐ1に相補的となるように因数ｐi+1を選択し、 さもなければ、ｉ−１個の基数ｇ1，ｇ2，…ｇi-1およびそのすべての乗法の
    組み合わせの中で、Ｐｒｏｆｉｌｅi（ｇ）＝Ｐｒｏｆｉｌｅi（ｇi）となるよ
    うにこれ以降ｇと呼ばれる数を選択し、Ｐｒｏｆｉｌｅi+1（ｇi）(Ｐｒｏｆｉ
    ｌｅi+1（ｇ）となるようにｐi+1を選択すること を実施する請求項７に記載の方法。
  9. 【請求項９】 ３つの場合に区別された以下の手順 （１）ｆ−ｅ−１＞ｍである場合、ｐf-eが４を法にして３に一致して選択す
    るステップと、 （２）ｆ−ｅ−１＝ｍである場合、Ｐｒｏｆｉｌｅf-e-1（ｇm）を、ｐ1から
    ｐf-e-1というｆ−ｅ−１個の素因数に関して計算するステップであって、 Ｐｒｏｆｉｌｅf-e-1（ｇm）が平坦である場合、ｐf-e-1を、それがｇmに
    関してｐ1に相補的となるように選択し、 さもなければ、 ｇ1からｇm-1のｍ−１個の基数、およびすべてのその乗法組み合わせの
    中で、Ｐｒｏｆｉｌｅi（ｇ）＝Ｐｒｏｆｉｌｅi（ｇi）となるようにこれ以降
    ｇと呼ばれる数を選択し、 そして、Ｐｒｏｆｉｌｅf-e（ｇ）(Ｐｒｏｆｉｌｅf-e（ｇm）となるよ
    うにｐf-eを選択し、 （３）ｆ−ｅ−１＜ｍである場合、ｐf-eを、以下の２つの条件が満たされる
    ように選択するステップであって、 （３．１） 第１条件 Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1）を、ｐ1からｐf-e-1のｆ−ｅ−１個の第１
    素因数に関して計算し、 もし、Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1）が平坦である場合、ｐf-eを、そ
    れがｇf-e-1に関してｐ1に対して相補的であるという第１の条件を満たすように
    選択し、 さもなければ、 ｇ1からｇm-1というｆ−ｅ−１個の基数およびそのすべての乗法組み合
    わせの中で、Ｐｒｏｆｉｌｅi（ｇ）＝Ｐｒｏｆｉｌｅf-e-1（ｇf-e-1）となる
    ようにこれ以降ｇと呼ばれる数を選択し、 そして、ｐf-eを、それがＰｒｏｆｉｌｅf-e（ｇ）(Ｐｒｏｆｉｌｅf-e （ｇm）であるという第１条件を満たすように選択し、 （３．２） 第２条件 ｇf-eからｇmというすべての最後の基数の間で、そのプロファイルＰｒｏ
    ｆｉｌｅf-e-1（ｇi）が平坦であるそれらの数を選択し、 ｐf-eを、それがこのようにして選択された基数のそれぞれに関してｐ1に
    対して相補的であるという第２条件を満たすように選択する を、最後の素因数ｐf-eを選択するために使用する請求項８に記載の方法。
  10. 【請求項１０】 以下の２つの連続試験である （１）第１試験 候補素因数ｐに関してｇ1からｇmの基数ｇiごとにルジャンドル記号を計算
    するステップであって、 ルジャンドル記号が−１に等しい場合には、候補ｐを拒絶し、 ルジャンドル記号が＋１に等しい場合には、候補ｐの評価を以下の基数に
    移る際に続行し、そして、最後の基数が考慮に入れられたときに、第２試験への
    通過が存在し、 （２）第２試験 ｐ−１が２t+1によってではなく、２tによって除算可能であるように整数ｔ
    を計算するステップと、 ｓ＝（ｐ−１＋２t）／２t+1となるように整数ｓを計算するステップと、 ｒ≡Ｇi sｍｏｄ ｐとなる結果ｒを得るために、各公開値Ｇiに鍵<ｓ，ｐ>を
    適用するステップであって、 もし、ｒがｇiまたは−ｇiに等しい場合には、以下の公開値Ｇi+1に移る
    際に第２試験を続行し、 もし、ｒがｇiまたは−ｇiとは異なる場合には、以下のアルゴリズムを適
    用する際に因数ｕを計算し、 アルゴリズムが、１からｔ−２の範囲の添数ｉｉに指定される以下のシ
    ーケンスの反復からなり、 アルゴリズムが、ｒによって初期化されるｗと、ＣＧ（ｐ）の非平方剰
    余に鍵ｋｅｙ(（ｐ−１）／２t，ｐ(を適用することにより得られた数ｂだけで
    はなく、２から２t-2の範囲の値に想定されるｊｊ＝２iiとの２つの変数を実行
    し、そして、以下のステップ１および２を反復し、 ステップ１では、ｗ2／Ｇi（ｍｏｄ ｐ）を計算し、 ステップ２では、結果を累乗２t-ii-1に累乗し、 もし、＋１が得られると、以下の公開値Ｇi+1に移る際に第２試験
    を続行し、 もし、−が得られると、ｊｊ＝２iiを計算してから、ｗをｗ．ｂjj （ｍｏｄ ｐ）によって置換し、そして、添数ｉｉを有する以下の値に関してア
    ルゴリズムを続行し、 アルゴリズムの最後で、関係ｊｊ＝２t-uによって整数ｕを計算するため
    に変数ｊｊ内の値を使用し、そして、式ｔ−ｕを計算する。２つの場合が生じる
    。 もし、ｔ−ｕ＜ｋの場合には、候補ｐを拒絶し、 もし、ｔ−ｕ＞ｋの場合には、第２試験を続行し、以下の公開値Ｇi+1
    に移る際に候補ｐの評価を続行し、もし、第２試験の最後にすべてのｍ個の公開
    値Ｇiに関してそれが拒絶されなかった場合には、モジュロ４の１に一致する素
    因数として候補ｐを受け入れる に従う際に、モジュロ４の１に一致するｅ個の素因数を作成するために、ｐf-e
    からｐfの各素因数候補ｐを評価する請求項８または９に記載の方法。
  11. 【請求項１１】 エンティティの真正性、および／または、 個のエンティティに関連付けられるメッセージＭの完全性を、以下のパラメー
    タまたはこれらのパラメータの派生物のすべてまたは一部である 秘密値Ｑ1，Ｑ2，…Ｑmと公開値Ｇ1，Ｇ2，…Ｇm（ｍは１以上）のｍ個の組と
    、 前記素因数ｆｐ1，ｐ2，…ｐf（ｆは２以上）の積によって構成されている前
    記公開モジュラスｎと、 前記公開指数ｖと によって、コントローラエンティティに対して証明するように設計された方法で
    あって、前記係数と前記指数と前記値とは、 Ｇi．Ｑi v≡１．ｍｏｄ ｎまたはＧi≡Ｑi vｍｏｄ ｎ． という型の関係によってリンクされ、前記指数ｖはｖ＝２kであり、ここで、ｋ
    は１より大きい機密保護パラメータであり、 前記公開値Ｇiは、ｆ個の素因数ｐ1，ｐ2，…ｐfより小さい基数ｇiの平方ｇi 2 であり、基数ｇiは、２つの等式であるｘ2≡ｇiｍｏｄ ｎおよびｘ2≡−ｇiｍ
    ｏｄ ｎが、モジュロｎの整数環においてｘについて解くことができず、等式
    ｘv≡ｇi 2ｍｏｄ ｎを、モジュロｎの整数環においてｘについて解くことができ
    、 以下のステップの中でｆ個の素因数ｐiおよび／または素因数のチャイニーズの
    剰余のおよび／または公開係数ｎおよび／またはｍ個の秘密値Ｑiのパラメータ
    および／または秘密値Ｑiおよび公開指数ｖのｆ．ｍ個の構成要素Ｑi,j（Ｑi,j
    ≡Ｑiｍｏｄ ｐj）を有する証人と呼ばれるエンティティを実行し、 証人は、モジュロｎの整数環においてコミットメントＲを計算し、各コミット
    メントは、 Ｒ≡ｒvｍｏｄ ｎの型の演算を実行することによって、ここで、ｒは、０＜ｒ
    ＜ｎとなるようにランダムな因数であり、 あるいは、 Ｒi≡ｒi vｍｏｄｐiの型の演算を実行することによって、ここで、ｒiは、０
    ＜ｒi＜ｐiとなるように素数ｐIと関連付けられたランダムな値であり、各ｒiは
    ランダムな因数｛ｒ1，ｒ2，…ｒf｝の集合体に属し、そして、チャイニーズの
    剰余の方法を適用することのどちらかによって、 証人は１以上のチャレンジｄを受け取り、各チャレンジｄがこれ以降初歩チャ
    レンジと呼ばれるｍ個の整数ｄiを備え、各チャレンジｄに基づき、証人が応答
    Ｄを、 Ｄ≡ｒ．Ｑ1 d1．Ｑ2 d2．…Ｑm dmｍｏｄ ｎの型の演算を実行することによって
    、 あるいは、 Ｄi≡ｒi．Ｑi,1 d1．Ｑi,2 d2．…Ｑi,m dmｍｏｄｐiの型の演算を実行し、そし
    て、チャイニーズの剰余方法を適用することのどちらかによって計算し、 前記方法が、コミットメントＲがあるため、チャレンジｄと同じほど多くの応答
    Ｄがあるようであり、Ｒ，ｄ，Ｄのグループが｛Ｒ，ｄ，Ｄ｝と参照される三つ
    組を形成すること によって、ｆ個の素因数ｐ1,，ｐ2,，…ｐfを作成することを可能にする請求項
    １から１０のいずれかに記載の方法を適用する方法
  12. 【請求項１２】 秘密値Ｑ1，Ｑ2，…Ｑmおよび公開値Ｇ1，Ｇ2，…Ｇmの組
    を前記に説明したように実現するために、素因数ｐ1，ｐ2，…ｐfおよび／また
    はチャイニーズの剰余のパラメータと、基数ｇ1，ｇ2，…ｇmおよび／または公
    開値Ｇ1，Ｇ2，…Ｇmとを使用し、 Ｇiのモジュロｎのｋ番目の平方根を抽出することによって、またはＧiのモジ
    ュロｎのｋ番目の平方根の逆数を取ることによって秘密値Ｑ1，Ｑ2，…Ｑmか、 あるいは、Ｑi,j≡Ｑi（ｍｏｄ ｐj）となるように、秘密値Ｑ1，Ｑ2，…Ｑm
    のｆ．ｍ個の秘密構成要素Ｑi,jか のどちらかを計算する請求項１１に記載の方法。
  13. 【請求項１３】 前記鍵<ｓ，ｐj>を、ｚ≡Ｇi s（ｍｏｄ ｐj）となるよう
    にｚを計算するために適用し、 値ｔおよびｕを使用して、 ｐjがモジュロ４の１に一致するときに、前記に示すように計算し、 ｐjを、モジュロ４の３に一致するそれぞれ１（ｔ＝０）および０（ｕ−
    ０）に等しくなるように取り、 もし、ｕがゼロである場合には、 ｚｚがｚに等しい、または、 ｚｚが単位の２ii-t２ii番目の原始根のそれぞれによってｚの積（ｍ
    ｏｄ ｐj）に等しくなり、ｉｉが１からｍｉｎ（ｋ，ｔ）の範囲となるようにす
    べての数ｚｚを考え、 もし、ｕが正である場合には、ｚｚが、単位の２k２k番目の根のそれぞ
    れによってｚａの（ｍｏｄ ｐj）に等しくなり、ｚａが請求項１０において実行
    されたアルゴリズムの最後に変数ｗの値を指定するように、すべての数ｚｚを考
    え、 構成要素Ｑi,jの少なくとも１つの値をそこから推論し、それが、等式Ｇi≡Ｑ i v ｍｏｄ ｎを使用するときにｚｚに等しいか、またはさもなければ、それは等
    式Ｇi．Ｑi v≡１．ｍｏｄ ｎを使用すれるときに、ｚｚのモジュロｐｊのｚｚの
    逆数に等しいこと を含んでなる秘密値Ｑ1，Ｑ2，…Ｑmのｆ．ｍ個の秘密構成要素Ｑi,jを計算する
    請求項１２に記載される方法。
JP2000597915A 1999-01-27 2000-01-27 エンティティの真正性および／または特殊素因子を使用するメッセ−ジの完全性および／または真正性を証明するための方法、システム、及び装置 Expired - Lifetime JP4772189B2 (ja)

Applications Claiming Priority (11)

Application Number Priority Date Filing Date Title
FR99/01065 1999-01-27
FR9901065A FR2788910A1 (fr) 1999-01-27 1999-01-27 Procede, systeme, dispositif pour diminuer la charge de travail pendant une session destinee a prouver l'authenticite d'une entite et/ou l'origine et l'integrite d'un message
FR99/03770 1999-03-23
FR9903770A FR2788911A1 (fr) 1999-01-27 1999-03-23 Procede, systeme, dispositif pour diminuer la charge de travail pendant une session destinee a prouver l'authenticite d'une entite et/ou l'origine et l'integrite d'un message
FR9912467A FR2788912B1 (fr) 1999-01-27 1999-10-01 Procede, systeme, dispositif destines a prouver l'authenticite d'une entite et/ou l'integrite et/ou l'authenticite d'un message aux moyens de facteurs premiers particuliers
FR9912468A FR2824974B1 (fr) 1999-01-27 1999-10-01 Procede destine a prouver l'authenticite d'une entite ou l'integrite d'un message au moyen d'un exposant public egal a une puissance de deux.
FR9912465A FR2788908B1 (fr) 1999-01-27 1999-10-01 Procede, systeme, dispositif destines a prouver l'authenticite d'une entite et/ou l'integrite et/ou l'authenticite d'un message
FR99/12468 1999-10-01
FR99/12467 1999-10-01
FR99/12465 1999-10-01
PCT/FR2000/000189 WO2000046947A2 (fr) 1999-01-27 2000-01-27 Procede, systeme, dispositif destines a prouver l'authenticite d'une entite et/ou l'integrite et/ou l'authenticite d'un message aux moyens de facteurs premiers particuliers

Publications (3)

Publication Number Publication Date
JP2002540653A true JP2002540653A (ja) 2002-11-26
JP2002540653A5 JP2002540653A5 (ja) 2007-04-05
JP4772189B2 JP4772189B2 (ja) 2011-09-14

Family

ID=27515634

Family Applications (3)

Application Number Title Priority Date Filing Date
JP2000597914A Withdrawn JP2003519447A (ja) 1999-01-27 2000-01-27 エンティティの真正性および／またはメッセージの完全性および／または真正性を証明するための方法、システム、および装置
JP2000596696A Expired - Lifetime JP4772965B2 (ja) 1999-01-27 2000-01-27 エンティティの真正性および／またはメッセージの完全性を証明するための方法
JP2000597915A Expired - Lifetime JP4772189B2 (ja) 1999-01-27 2000-01-27 エンティティの真正性および／または特殊素因子を使用するメッセ−ジの完全性および／または真正性を証明するための方法、システム、及び装置

Family Applications Before (2)

Application Number Title Priority Date Filing Date
JP2000597914A Withdrawn JP2003519447A (ja) 1999-01-27 2000-01-27 エンティティの真正性および／またはメッセージの完全性および／または真正性を証明するための方法、システム、および装置
JP2000596696A Expired - Lifetime JP4772965B2 (ja) 1999-01-27 2000-01-27 エンティティの真正性および／またはメッセージの完全性を証明するための方法

Country Status (7)

Country Link
US (2) US7266197B1 (ja)
EP (3) EP1145482B1 (ja)
JP (3) JP2003519447A (ja)
CN (3) CN1408154A (ja)
AU (3) AU769464B2 (ja)
CA (3) CA2360887C (ja)
WO (3) WO2000046946A2 (ja)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2822002B1 (fr) * 2001-03-12 2003-06-06 France Telecom Authentification cryptographique par modules ephemeres
FR2841411B1 (fr) * 2002-06-19 2004-10-29 Gemplus Card Int Procede de generation de cles electroniques pour procede de crytographie a cle publique et objet portatif securise mettant en oeuvre le procede
FR2865590A1 (fr) * 2004-01-23 2005-07-29 France Telecom Procede pour etablir, a partir d'un jeu de grands nombres premiers, un jeu de cles destine a prouver l'authenticite d'une entite ou l'integrite d'un message
US8887309B2 (en) * 2005-08-23 2014-11-11 Intrinsic Id B.V. Method and apparatus for information carrier authentication
JP4968622B2 (ja) * 2006-11-02 2012-07-04 日本電気株式会社 グループメンバー確認システム、及びグループメンバー確認方法、及びプログラム
US8159965B2 (en) * 2007-05-18 2012-04-17 Innovative Sonic Limited Method of comparing state variable or packet sequence number for a wireless communications system and related apparatus
US8832110B2 (en) 2012-05-22 2014-09-09 Bank Of America Corporation Management of class of service
US9961059B2 (en) * 2014-07-10 2018-05-01 Red Hat Israel, Ltd. Authenticator plugin interface
EP2966803A1 (en) * 2014-07-11 2016-01-13 Thomson Licensing Method and device for cryptographic key generation

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0518365A2 (en) * 1991-06-14 1992-12-16 Nippon Telegraph And Telephone Corporation method of implementing use of electronic cash
JPH0520344A (ja) * 1991-07-10 1993-01-29 Nippon Telegr & Teleph Corp <Ntt> 電子現金方式

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5218637A (en) * 1987-09-07 1993-06-08 L'etat Francais Represente Par Le Ministre Des Postes, Des Telecommunications Et De L'espace Method of transferring a secret, by the exchange of two certificates between two microcomputers which establish reciprocal authorization
US5140634A (en) * 1987-09-07 1992-08-18 U.S Philips Corporation Method and apparatus for authenticating accreditations and for authenticating and signing messages
FR2620248B1 (fr) * 1987-09-07 1989-11-24 France Etat Procedes d'authentification d'accreditations ou de messages a apport nul de connaissance et de signature de messages
WO1989011706A1 (en) 1988-05-19 1989-11-30 Ncr Corporation Method and device for authentication
US5046094A (en) * 1989-02-02 1991-09-03 Kabushiki Kaisha Toshiba Server-aided computation method and distributed information processing unit
EP0381523A3 (en) * 1989-02-02 1993-03-03 Kabushiki Kaisha Toshiba Server-aided computation method and distributed information processing unit
US5299262A (en) * 1992-08-13 1994-03-29 The United States Of America As Represented By The United States Department Of Energy Method for exponentiating in cryptographic systems
US5442707A (en) * 1992-09-28 1995-08-15 Matsushita Electric Industrial Co., Ltd. Method for generating and verifying electronic signatures and privacy communication using elliptic curves
US5414772A (en) * 1993-06-23 1995-05-09 Gemplus Development System for improving the digital signature algorithm
US5604805A (en) * 1994-02-28 1997-02-18 Brands; Stefanus A. Privacy-protected transfer of electronic information
FR2733379B1 (fr) * 1995-04-20 1997-06-20 Gemplus Card Int Procede de generation de signatures electroniques, notamment pour cartes a puces
DE69704684T2 (de) * 1996-02-23 2004-07-15 Fuji Xerox Co., Ltd. Vorrichtung und Verfahren zur Authentifizierung von Zugangsrechten eines Benutzers zu Betriebsmitteln nach dem Challenge-Response-Prinzip
IL120303A0 (en) * 1996-03-27 1997-06-10 Pfizer Use of alpha1-adrenoreceptor antagonists in the prevention and treatment of cancer
WO1998033159A1 (fr) * 1997-01-28 1998-07-30 Matsushita Electric Industrial Co., Ltd. Dispositif d'identification du type a reproduction de message
US6389136B1 (en) * 1997-05-28 2002-05-14 Adam Lucas Young Auto-Recoverable and Auto-certifiable cryptosystems with RSA or factoring based keys
IL133024A (en) * 1997-05-29 2003-11-23 Sun Microsystems Inc Method and apparatus for signing and sealing objects
US7246098B1 (en) * 1997-07-15 2007-07-17 Silverbrook Research Pty Ltd Consumable authentication protocol and system
JP3671611B2 (ja) * 1997-08-05 2005-07-13 富士ゼロックス株式会社 アクセス資格認証装置および方法
JP3562262B2 (ja) * 1997-10-17 2004-09-08 富士ゼロックス株式会社 認証方法および装置
CA2253009C (en) * 1997-11-04 2002-06-25 Nippon Telegraph And Telephone Corporation Method and apparatus for modular inversion for information security and recording medium with a program for implementing the method
US7280663B1 (en) * 2000-05-22 2007-10-09 University Of Southern California Encryption system based on crossed inverse quasigroups

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0518365A2 (en) * 1991-06-14 1992-12-16 Nippon Telegraph And Telephone Corporation method of implementing use of electronic cash
JPH0520344A (ja) * 1991-07-10 1993-01-29 Nippon Telegr & Teleph Corp <Ntt> 電子現金方式

Also Published As

Publication number Publication date
WO2000046947A3 (fr) 2002-04-04
US7386122B1 (en) 2008-06-10
CA2360954A1 (en) 2000-08-03
AU769464B2 (en) 2004-01-29
EP1145482A3 (fr) 2002-06-26
WO2000046947A2 (fr) 2000-08-10
WO2000046946A3 (fr) 2002-10-10
JP2003513480A (ja) 2003-04-08
WO2000045550A3 (fr) 2002-04-25
EP1145473A2 (fr) 2001-10-17
JP2003519447A (ja) 2003-06-17
CA2361627A1 (en) 2000-08-10
EP1145472A2 (fr) 2001-10-17
JP4772189B2 (ja) 2011-09-14
EP1145472A3 (fr) 2002-11-27
JP4772965B2 (ja) 2011-09-14
CA2360887A1 (fr) 2000-08-10
EP1145482A2 (fr) 2001-10-17
AU2298500A (en) 2000-08-25
EP1145473B1 (fr) 2019-04-17
EP1145473A3 (fr) 2002-05-29
CN1408154A (zh) 2003-04-02
AU769446B2 (en) 2004-01-29
CN100377520C (zh) 2008-03-26
WO2000045550A2 (fr) 2000-08-03
EP1145482B1 (fr) 2019-01-02
CA2360887C (fr) 2009-03-24
US7266197B1 (en) 2007-09-04
CN1468479A (zh) 2004-01-14
AU769444B2 (en) 2004-01-29
AU2298400A (en) 2000-08-25
CN1322700C (zh) 2007-06-20
AU2298600A (en) 2000-08-18
AU769446C (en) 2007-09-20
CN1372739A (zh) 2002-10-02
WO2000046946A2 (fr) 2000-08-10

Similar Documents

Publication Publication Date Title
Gennaro et al. Secure hash-and-sign signatures without the random oracle
Shamir et al. Improved online/offline signature schemes
KR100938030B1 (ko) 암호화 프로그램을 위한 가능성 있는 솟수들을 테스트하기 위한 방법
Bos et al. Provably unforgeable signatures
EP0218305A1 (en) Blind Unanticipated signature systems
US20030120931A1 (en) Group signature generation system using multiple primes
KR101089121B1 (ko) 빠른 집합 검증 방법 및 그 장치
KR100723996B1 (ko) 계산 방법, 계산 장치 및 프로그램을 기록한 컴퓨터 판독 가능한 기록 매체
US6088798A (en) Digital signature method using an elliptic curve, a digital signature system, and a program storage medium having the digital signature method stored therein
JP2008048451A (ja) エンティティの真正性又はメッセージの完全性を証明するための方法、システム、デバイス
JP2002540653A (ja) エンティティの真正性および／または特殊素因子を使用するメッセ−ジの完全性および／または真正性を証明するための方法、システム、及び装置
US7346637B2 (en) Polynomial time deterministic method for testing primality of numbers
Taleb et al. Speeding-up verification of digital signatures
Kunihiro et al. New methods for generating short addition chains
CN102064940A (zh) 一种在线/离线高效的数字签名方法
EP0996092A2 (en) Efficient hashing method
Bagherpour et al. Sigma protocol for faster proof of simultaneous homomorphism relations
US7401226B2 (en) Public key cryptographic method based on braid groups
KR100676461B1 (ko) 특정 소인수를 이용한 엔티티 인증성, 및 메시지의 무결성및(또는) 인증성 검증방법, 시스템 및 장치
RU2325767C1 (ru) Способ формирования и проверки подлинности электронной цифровой подписи, заверяющей электронный документ
RU2325768C1 (ru) Способ генерации и проверки подлинности электронной цифровой подписи, заверяющей электронный документ
Maximov On Roots Factorization for PQC Algorithms
Gorbenko et al. Post-quantum algorithm of asymmetric encryption and its basic properties
RU2356172C1 (ru) Способ формирования и проверки подлинности электронной цифровой подписи, заверяющей электронный документ
RU2457535C2 (ru) Способ формирования и проверки электронной цифровой подписи на основе эллиптической или гиперэллиптической кривой

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20070129

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20070129

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100528

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20100825

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20100901

A711 Notification of change in applicant

Free format text: JAPANESE INTERMEDIATE CODE: A711

Effective date: 20101014

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20101015

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110302

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110525

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110614

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110622

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140701

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Ref document number: 4772189

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

EXPY Cancellation because of completion of term