CN1809807A - 改进的求逆计算 - Google Patents

Abstract

一种椭圆曲线密码学求逆技术，利用对满足指定不变式的四个辅助变量U、V、R和S的MSW所进行的操作。

Description

改进的求逆计算

本发明涉及一种用于执行求逆运算的方法和用于执行求逆运算的设备。

椭圆曲线密码学(Elliptic Curve Cryptography ECC)包括在GF(P)或GF(2ⁿ)上椭圆曲线关系的计算的应用，并且要求在例如密码处理器中执行公开密钥算法期间重复地执行长整数乘法。

典型情况下，必须执行乘法运算数百次以便完成加密或解密运算，因此重要的是：用于执行这些运算的密码装置使用高速乘法器来迅速地执行长整型乘法。

ECC计算还要求求逆计算，即计算Z^-1，以致积Z.Z^-1＝1 mod N。每个点相加和点复算要求这种计算。本算法在计算上是密集的。

另一种方式是在所谓的射影空间(Projective Space)中工作。这把求逆计算推迟到最后并且必须一次完成，但是作为权衡的是：大量地增加了乘法的次数。

这种密码算法日益用于例如智能卡之类的电子装置中，并且在这些应用中严重地限制了处理能力和功率消耗。

一种常规的计算方法是利用辅助变量对来工作的二进制GCD系统。一个辅助变量对的大小通过当是偶数时除以2或者当是奇数时作减法来加以缩小。

然而，在GCD系统中常常有必要通过加上模的半数来校正另一对辅助变量上的运算。

另一常规的计算方法是Kaliski系统，所述系统同样使用两个辅助变量对，一对辅助变量通过当是偶数时除以2或者当是奇数时作减法来缩小。

然而在此系统中，所要求的所有校正都被延迟到了第二阶段。

本发明的目的是提供更高效的求逆运算。

本发明的目的还在于提供具有较少运算的求逆过程。

本发明的目的还在于提供一种比在常规系统中更快完成的求逆运算。

依照一个方面，本发明提供了一种用于在具有至少两个辅助变量的密码计算中执行求逆运算的方法，所述方法包括移位变量，然后通过把该变量从较大变量中减去来实现缩小。

本发明的一个优点在于：大多数运算仅仅对辅助变量的最高有效字(Most Significant Words)进行。在多次这种计算之后，对完全的辅助变量进行多次乘法，这更为简单。

这些优点使得与常规方法相比减少了必要运算的次数，由此确保可以更迅速地实现计算。

因而由本发明所提供的显著益处在于：降低了用于完成整个计算操作所花费的时间。

此外，与常规的加密方法相比，保持了由本发明方法所提供的安全度。

优选地是，所述方法包括四个辅助变量U、V、R和S，它们满足不变式：

|S.V-R.U|＝N

S.Y＝U mod N

R.Y＝V mod N.

优选地是，所述方法利用变量的最高有效字来进行运算。

因而本发明的优点在于更快地实现计算操作。

依照另一方面，本发明提供了可直接装入数字计算机内部存储器的计算机程序产品，包括用于当所述产品在计算机上运行时执行本发明方法的软件代码部分。

依照另一方面，本发明提供了可直接装入数字计算机内部存储器的计算机程序，包括用于当所述程序在计算机上运行时执行本发明方法的软件代码部分。

依照另一方面，本发明提供了具体化本发明的计算机程序的载波，所述载波可以包括电子信号。

依照另一方面，本发明提供了计算机程序产品或计算机程序或本发明的载波的电子分发。

依照另一方面，本发明提供了一种用于在具有至少两个辅助变量的密码计算中执行求逆运算的设备，所述设备包括用于移位变量的装置，和用于通过把该变量从较大变量中减去或加上来实现缩小的装置。

本发明的方法和设备适用于在GF(P)、GF(2ⁿ)上的计算，也适用于长整数除法。

为了可以更容易地理解本发明，现在仅以举例形式参考附图给出了描述，其中：

图1是本发明应用在智能卡中的框图；

图2是使本发明具体化的求逆运算的示意图；

图3是本发明的硬件实现方式；

图4是本发明的进一步详细的硬件实现方式；

图5是本发明另一求逆运算的示意图；

图6是本发明再一求逆运算的示意图；

图7是本发明进一步操作的示意图。

图1示出了本发明硬件实现方式的框图，包括具有以下组件的智能卡50：

●微控制器51，用于总控制经由接口与外界的通信。它设置RAM/ROM中数据的指针并且启动协处理器。

●到外界的接口，用于例如依照ISO-7816-3来与智能卡联系。

○只读存储器(Read Only Memory ROM)52，用于存储微控制器的程序。

○可编程只读存储器(闪存或EEPROM)53，用于非易失性存储数据或程序。

○RAM 54，用于存储易失性数据，例如用于存储在计算期间的中间结果。

○协处理器55，专用于执行ECC或RSA计算的特殊高速任务。当任务就绪时，把控制返回给微控制器。

在一个变式中，采用软件来实现本发明，其中微处理器、ALU提供加、减、移位运算，对控制器编程以提供控制逻辑，以及由移位寄存器来检测度。

在图e中示出了本发明如下所述的求逆运算。

因而这种在GF(p)上进行的计算方法包括如下运算：

R＝Y^-1 mod N

具有四个辅助变量U、V、S和R，其中

U＝Y

V＝N

S＝1

R＝0，

U和V总是正值。

辅助变量的度是用于表示它的相关位的数目。因而例如，如果U＝111100，那么U的度＝dU是6；

并且如果V＝001110，那么V的度＝dV是4。

所述运算包括对B取：

B＝dU-dV(步骤S1)；

并且，如果b＜0，那么执行如下运算(步骤S2，S3)：

(swap U，V)

(swap R，S)

(swap dU，dV)

b＝-b

那么U＝U-2^b.V

    S＝S-S^b.R

并且如果(U＜0)

那么(步骤S4)U＝-U

S＝-S，

如果(R＜0)，那么R＝R+N

如果(R＞N)，那么R＝R-N。

因而，在每个循环迭代之后，以下不变式有效：

gcd(U，V)＝gcd(Y，N)

SY＝U mod N

RY＝V mod N

|SV-RU|＝N。

在每个步骤中，减小U的度，或者减小V的度。因此U和V变得越来越小，直到在最后步骤中U变为0(U＝2^bV)。

由于U＝0，不变式gcd(U，V)＝gcd(Y，N)意味着V＝gcd(Y，N)＝1，这是因为Y和N是互质的。

于是，RY＝1 mod N，或者R＝Y^-1 mod N。

当U＝0时，-N＜R＜2N

给出至多一个校正步骤即：加上或减去N。

在实践中，R表现得总是小于N，因而使得减去N从不出现。

此外，|SV|＜2N和|RU|＜2N是暂时的。

由于它们都是整数，所以

|S|＜2N；

|V|＜2N；

|R|2N；

|U|2N。

对于这些变量，只有大于N的一位要求表示它们。对于S和R，也需要符号位。

图2示出了依照本发明方法的硬件实现方式。

寄存器10、11、12和13保持变量U、V、S、R。加法器14、15执行加法、减法、求反和mod 2加法。V和R可以被在b位上移动。控制逻辑16控制所述过程。存在两个度检测器17、18，一个用于U而一个用于V。d减法器(dSubtractor)19给出差(b)。

最初，把Y载入U，把N载入V，把S设置为1并且把R设置为0。

然后过程开始。

当b＜0时，U和V交换它们的内容，S和R亦如此，而b被求反。

两个加法器都被设置为用于减法，并且移位器被设置为在b位上移动。然后执行减法。当U是负的时，加法器被设置为对U和S求反。

只要U≠0就进行所述过程。

当U＝0并且R＜0或R＞N时，把N装入S。然后计算R+N或R-N。

通常，操作数由多个字组成。然而，在一个变式中，可以通过只使用两个变量和4个辅助变量的、大小只有1个字的最高有效字来加速计算，同时保持不变式有效。这还节省了芯片面积和功率。结果被用作为用来对整个操作数进行随后计算的估计量。

图3示出了更详细的硬件实现方式。寄存器30到35，每个都具有1个字长的容量，保持U_H、V_H、uu、uv、vu和vv。

U_H和V_H最初被装入U和V的最高有效字。

U＝uu.U₀-uv.V₀

V＝vu.U₀-vv.V₀

S＝uu.S₀-uv.R₀

P＝vu.S₀-vv.R₀

uu、uv、vu和vv是适当大小的字。

操作从uu＝1、vv＝-1以及uv＝vu＝0开始，

U₀＝Y；

V₀＝N；

S₀＝1；

R₀＝0。

假定在多个步骤之后，这些等式仍然是正确的。在下一计算之后，这些等式仍然是正确的。由于它们在开始时是正确的，所以它们保持正确。

当计算U’＝U-2^bV和S’＝S-2^bR时，那么选择：

uu′＝uu-2^bvu

uv′＝uv-2^bvv

vu′＝vu

vv′＝vv。

当有必要计算U’＝U+2^bV并和S’＝S+2^bR时，那么选择：

uu′＝uu+2^bvu

uv′＝uv+2^bvv

vu′＝vu

vv′-vv。

当要求时，交换uu和vu，uv和vv。

这交换了U和V以及R和S。

为了更新操作数，以把U的MSW加载到U_H并且把V的MSW加载到V_H开始。然后，

uu＝1，vv＝-1并且uv＝uv＝0。

然后进行多次计算，计算量取决于字的大小以及剩下多少有用的位。

由于V_H被移位，所以用零来代替(未知的)右边的位，这样U_H和V_H变得越来越小。当几乎不剩下位时停止运算。符号的确定也变得不正确。

然后借助于uu...vv和U₀...S₀来计算U、V、S和R。

这给出了新的缩小值U和V，其仍然遵守不变式。

然后把U₀设置为U，V₀设置为V并且对S₀和R₀也这样做。再次设置uu＝1，vv＝-1并且uv＝vu＝0。

然后重复所述过程。每次U和V都变得越来越小，直到它们适于装入U_H和V_H寄存器。

然后计算不再是估算，而是确切的计算并且以正确结果结束。最后，只须重新计算R以便找到Y^-1。

在图1到4的方法的变式中，计算方法允许U和V为负值，并且当U是负的时除去校正步骤(参见图5)。

正数的度是在除去所有前导零之后位的数目，而负数的度是在除去所有前导一之后位的数目。

同样，辅助变量是：

U＝Y；

V＝N；

S＝1；

R＝0；

当U≠0时，并且

如果(b＜0)那么实现：

{swap(U，V)；swap(R，S)swap(dU，dV)；b＝-b}；

如果(Sign(U)＝Sign(V))

那么实现

{U＝U-2^b.V；S＝S-2^b.R；}

否则

{U＝U+2^b.V；S＝S+2^b.R；}

dU＝degree(U)；

如果(R＜0)，那么R＝R+N；

如果(R＞N)，那么R＝R-N.

图6示出了第二实施例，该实施例是在GF(2ⁿ)上的计算方法，主要区别在于：

α是多项式U、V、S和R的变量；

N是不可约多项式；

由于没有负值并且只存在mod 2的加法，所以此算法更为简单。

因而，在

U＝Y；

V＝N；

S＝1；

R＝0；

的情况下，

当(U＞0)时，

b＝dU-dV

如果(b＜0){swap(U，V)；swap(R，S)；swap(dU，dV)；b＝-b；}

U＝Uα^b.V；

S＝Sα^b.R；

d＝degree(U)；

如果(R＞N)，R＝RN。

因而，最初把Y载入U，把N载入V，把S设置为1并且把R设置为0。

然后过程开始(步骤S10-S12)。

当b＜0时，U和V交换它们的内容，S和R亦如此，而b被求反。

两个加法器总是被设置为加上mod 2。移位器被设置为在b位上移动。然后执行加法。

只要U≠0就进行此过程。

当U＝0并且R＝R＞N时，把N装入S，然后计算RN。

图7示出了第三实施例，其是用于长整数除法的计算方法，主要区别在于：

最初，把X载入U，把Y载入V，把S设置为0并且把R设置为1。

当U＞0时，UV加法器被设置为用于减法，而RS加法器被设置为用于加法，或者相反，视情况而定。移位器被设置为在b位上移动。然后执行加法/减法操作。

只要U≠0并且b≥0就进行此过程。

当过程就绪并且U＜0时，那么b被设置为0。然后执行一个加法/减法(U＝U+V；S＝S-R)。

然后U是余数R’，而S是商Q，X＝Q.Y+R’，其中0≤R’＜Y。

Claims (23)

1.一种用于在具有至少两个辅助变量的密码计算中执行求逆运算的方法，所述方法包括移位(S2)变量，然后通过把该变量从较大变量中减去来实现缩小(S3)。

2.如权利要求1所述的方法，其中所述变量具有相同的度。

3.如权利要求1或2所述的方法，包括更新多个附加变量以致不变式保持有效。

4.如前面权利要求中任何一个所述的方法，包括四个辅助变量U、V、R和S，它们满足不变式：

|S.V-R.U|＝N

S.Y＝U mod N

R.Y＝V mod N。

5.如权利要求4所述的方法，包括逐步地减小U和V直到U＝1。

6.如权利要求5所述的方法，包括实现操作R.Y＝1 mod N或R＝Y^-1 mod N，视情况而定。

7.如前面权利要求中任何一个所述的方法，包括用所述变量的最高有效字来进行计算。

8.如前面权利要求中任何一个所述的方法，包括在GF(P)上提供求逆(S1-S4)。

9.如前面权利要求中任何一个所述的方法，包括在GF(2ⁿ)上提供求逆(S10-S12)。

10.如前面权利要求中任何一个所述的方法，包括提供用于长整数除法操作的方法。

11.一种可直接装入数字计算机内部存储器的计算机程序产品，包括用于当所述产品在计算机上运行时执行如权利要求1到10中任何一个或多个所述的方法的软件代码部分。

12.一种可直接装入数字计算机内部存储器的计算机程序，包括用于当所述程序在计算机上运行时执行如权利要求1到10中任何一个所述的方法的软件代码部分。

13.一种用于权利要求12的计算机程序的载波，所述载波可以包括电子信号。

14.权利要求11的计算机程序产品或权利要求12的计算机程序或权利要求13的载波的电子分发。

15.一种用于在具有至少两个辅助变量的密码计算中执行求逆运算的设备，所述设备包括用于移位变量(V，R)的装置，和用于通过把该变量从较大变量中减去或加上来实现缩小的装置(10-17)。

16.如权利要求15所述的设备，其中变量(V，R)在不移位的情况下具有相同的度。

17.如权利要求15或16所述的设备，包括用于更新多个附加变量以致不变式保持有效的装置。

18.如权利要求15到17中任何一个所述的设备，包括用于运算四个辅助变量U、V、R和S的装置(10-13)，所述辅助变量满足不变式：

|S.V-R.U|＝N

S.Y＝U mod N

R.Y＝V mod N。

19.如权利要求18所述的设备，包括用于逐步地减小U和V的大小直到U＝1的装置(10，11)。

20.如权利要求19所述的设备，包括用于根据情况而实现操作R.Y＝1 mod N或R＝Y^-1 mod N的装置。

21.如权利要求15到20中任何一个所述的设备，包括用于利用所述变量的最高有效字进行运算的装置。

22.一种用于基本上参考附图中的任何一个或多个附图所述、和/或如在其中所图示的密码计算来执行求逆运算的设备。

23.一种用于基本上参考附图中的任何一个或多个附图所述、和/或如在其中所图示的密码计算来执行求逆运算的方法。

Images