JP2000047581A

JP2000047581A - 暗号化方法，暗号化・復号装置及び暗号通信システム

Info

Publication number: JP2000047581A
Application number: JP10211353A
Authority: JP
Inventors: Masao Kasahara; 正雄笠原; Yasumichi Murakami; 恭通村上; Shinya Kiuchi; 真也木内
Original assignee: Murata Machinery Ltd; Kasahara Masao
Current assignee: Murata Machinery Ltd; Kasahara Masao
Priority date: 1998-07-27
Filing date: 1998-07-27
Publication date: 2000-02-18
Anticipated expiration: 2018-07-27
Also published as: JP3517663B2; US6683953B1

Abstract

(57)【要約】【課題】レート（暗号化効率）を改善した暗号化方法
を提供する。【解決手段】２進系列の平文を直ちに暗号化するので
はなく、平文の重みをｗに制限するため、ｎビットの平
文をｍビットの２進系列の拡大平文に変換し（Ｓ１，Ｓ
２）、その拡大平文を暗号化する（Ｓ３，Ｓ４）。平文
を重みを制限した拡大平文に一旦変換するので、使用で
きる法が小さくなり、レートが高くなる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、平文を暗号文に変
換するための暗号化方法、及び、それを利用した暗号通
信システムに関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化方式は、大別すると共通鍵暗号系と
公開鍵暗号系との二つに分類できる。共通鍵暗号系で
は、暗号化鍵と復号鍵とが等しく、送信者と受信者とが
同じ鍵を持つことによって暗号通信を行う。送信者が平
文を秘密の共通鍵に基づいて暗号化して受信者に送り、
受信者はこの共通鍵を用いて暗号文を元に平文に復号す
る。

【０００５】これに対して公開鍵暗号系では、暗号化鍵
と復号鍵とが異なっており、公開されている受信者の公
開鍵で送信者が平文を暗号化し、受信者が自身の秘密鍵
でその暗号文を復号することによって暗号通信を行う。
公開鍵は暗号化のための鍵、秘密鍵は公開鍵によって変
換された暗号文を復号するための鍵であり、公開鍵によ
って変換された暗号文は秘密鍵でのみ復号することがで
きる。

【０００６】このような公開鍵暗号系の１つとして、ナ
ップザック問題を安全性の根拠とするナップザック暗号
方式が従来から知られている。しかし、現在提案されて
いるほとんどのナップザック暗号方式は、線形性または
超増加性を有するため、Shamirの攻撃法及びＬＬＬ（Le
nstra-Lenstra-Lovasz）アルゴリズムにより解読可能で
あることが解明された。この欠点を解消するために改善
されたナップザック暗号方式として、べき乗剰余計算を
利用した乗算型ナップザック暗号方式があり、その１つ
に森井−笠原暗号方式が公知である（森井昌克，笠原正
雄：“電子情報通信学会”，Ｖｏｌ．ｊ７１−ＤＮ
ｏ．２（１９８８））。この森井−笠原暗号方式（以
下、ＭＫ暗号方式という）について、説明する。

【０００７】まず、次の３つのことを定義する。（整除判別記号）ａがｂを割り切るか否かを判定する整
除判別記号〈〉を以下に定義する。

【０００８】

【数３】

【０００９】（スカラー乗）Ｃ＝Ａ^e Ａ，Ｃをベクトルとし、ｅをスカラーとした場合に、以
下のようにスカラー乗を定義する。

【００１０】

【数４】

【００１１】（右べき乗）Ｃ＝Ａ^B Ａ，Ｂ，Ｃをベクトルとした場合に、以下のように右べ
き乗を定義する。

【００１２】

【数５】

【００１３】〔鍵生成〕ＭＫ暗号方式では、秘密鍵と公
開鍵とを以下のように生成する。・秘密鍵秘密ベクトルａベクトルａ＝^t（ａ₁，ａ₂，・・・，ａ_n）ｇｃｄ（ａ_i，ａ_j）＝１（ｉ≠ｊ）暗号化鍵ｅｇｃｄ（ｅ，ｐ_MK−１）＝１復号鍵ｄｅｄ＝１（ｍｏｄｐ_MK−１）・公開鍵法（素数）ｐ_MK 下記（１）の条件を満たす。公開ベクトルｃベクトルｃ＝ベクトルａ^e（ｍｏｄ
ｐ_MK）

【００１４】

【数６】

【００１５】〔暗号化〕平文をベクトルｘ＝^t（ｘ₁，
ｘ₂，・・・，ｘ_n）とし、送信者は以下の式によって
暗号文Ｃを作成して、受信者へ送る。

【００１６】

【数７】

【００１７】〔復号〕受信者は、以下の式のように、受
信した暗号文Ｃをｄ乗してＡに変換する。

【００１８】

【数８】

【００１９】そして、以下の式のように、秘密ベクトル
ａの各成分を用いてＡに対して整除判別を行うことによ
り、元の平文ベクトルに復号できる。

【００２０】

【数９】

【００２１】次に、このＭＫ暗号方式における具体例に
ついて説明する。〔鍵生成〕・秘密鍵ベクトルａ＝^t（13，９，25，16，７，17）ｅ＝1501，ｄ＝11131 ・公開鍵ｐ_MK＝5569211 下記（２）の条件を満たす。ベクトルｃ＝ベクトルａ^e ＝^t（13¹⁵⁰¹，９¹⁵⁰¹，25¹⁵⁰¹，16¹⁵⁰¹，７¹⁵⁰¹，17¹⁵⁰¹）＝^t（5097951,4832634,2171018,2905496,1517072,319194）（ｍｏｄ 5569211）

【００２２】

【数１０】

【００２３】〔暗号化〕平文をベクトルｘ＝^t（１，
０，１，１，１，０）として暗号化を行う。Ｃ＝ 5097951・2171018 ・2905496 ・1517072 ＝5328558 （ｍｏｄ 5569211）

【００２４】〔復号〕受信した暗号文Ｃをｄ乗してＡに
変換した後、以下の式（３）のように、秘密ベクトルａ
の各成分を用いてＡに対して整除判別を行うことによ
り、元の平文ベクトルｘを得る。Ａ＝Ｃ^d＝ 5328558¹¹¹³¹＝36400 （ｍｏｄ 5569211）

【００２５】

【数１１】

【００２６】

【発明が解決しようとする課題】上述したようなＭＫ暗
号方式は、安全性が高いと考えられているが、平文に対
する暗号文のレートが低く、暗号化効率が悪いという問
題がある。ここで、平文，暗号文の大きさを夫々ｎビッ
ト，ｋビットとした場合に、暗号化効率としてのレート
ηは下記式（４）のように定義する。 η＝ｎ÷ｋ …（４）

【００２７】ＭＫ暗号では、平文をｎビットのブロック
単位に区切るため、平文の大きさは一定（ｎビット）と
なる。一方、暗号文の大きさは、法ｐ_MKの大きさのみに
より決定される。従って、ＭＫ暗号におけるレートη_MK
に関して下記式（５）が成立する。

【００２８】

【数１２】

【００２９】このように、ＭＫ暗号方式では、ａ_iのす
べての積よりも大きな素数を法とする必要があるので
（前記（１）式参照）、レートη_MKの値が必ずしも高い
とは言えない。例えば、上記式（５）において、ａ_iの
大きさを平均10ビットとしても、レートη_MKの上限は0.
1 程度に過ぎない。ベクトルａ＝^t（２，３，５，７，
…）のように素数を小さい順に用いた場合にあっても、
ｎ＝60のとき、レートη _MKの値は0.156 程度である。ま
た、法の値が大きくなりすぎて実用性に乏しいという問
題もある。

【００３０】本発明は斯かる事情に鑑みてなされたもの
であり、従来のＭＫ暗号方式に比べてレートを大幅に向
上することができる暗号化方法及びそれをい用いる暗号
通信システムを提供することを目的とする。

【００３１】本発明の他の目的は、法の値を小さくでき
て実用化につながる暗号化方法を提供することにある。

【００３２】

【課題を解決するための手段】請求項１に係る暗号化方
法は、２進系列の平文を暗号文に変換するための暗号化
方法において、前記平文を前記平文よりビット数が多い
２進系列の拡大平文に変換し、該拡大平文を暗号文に暗
号化することを特徴とする。

【００３３】請求項２に係る暗号化方法は、請求項１に
おいて、前記平文の前記拡大平文への変換は、前記平文
の重みを制限すべく行うことを特徴とする。

【００３４】請求項３に係る暗号化方法は、請求項２に
おいて、前記平文，前記拡大平文のビット数をｎ，ｍ
（ｎ＜ｍ）とし、前記平文の重みをｗに制限する場合、
_mＣ_w≧２ⁿを満たすようにｍを決定することを特徴と
する。

【００３５】請求項４に係る暗号化方法は、請求項２に
おいて、前記平文を前記拡大平文へ変換する際に、Scha
lkwijk復号アルゴリズムを用いることを特徴とする。

【００３６】請求項５に係る暗号化方法は、２進系列ｎ
ビットの平文を暗号文に変換するための暗号化方法にお
いて、前記ｎビットの平文の重みをｗに制限するため、
_mＣ _w≧２ⁿの条件を満たすｍ（ｎ＜ｍ）を求めるステ
ップと、前記ｎビットの平文を整数として扱い、該整数
を指標と考えて、Schalkwijk復号アルゴリズムを用い
て、前記ｎビットの平文を２進系列ｍビットの拡大平文
に変換するステップと、前記拡大平文と公開鍵とを用い
て暗号文を作成するステップとを有することを特徴とす
る。

【００３７】請求項６に係る暗号化方法は、請求項２に
おいて、前記平文，前記拡大平文のビット数をｎ，ｍ
（ｎ＜ｍ）とし、前記平文の重みをｗ以下に制限する場
合に、下記（Ａ）の条件を満たすようにｍを決定するこ
とを特徴とする。

【００３８】

【数１３】

【００３９】請求項７に係る暗号化方法は、請求項２に
おいて、前記平文を前記拡大平文へ変換する際に、拡張
Schalkwijk復号アルゴリズムを用いることを特徴とす
る。

【００４０】請求項８に係る暗号化方法は、２進系列ｎ
ビットの平文を暗号文に変換するための暗号化方法にお
いて、前記ｎビットの平文の重みをｗに制限するため、
下記（Ａ）の条件を満たすｍ（ｎ＜ｍ）を求めるステッ
プと、前記ｎビットの平文を整数として扱い、該整数を
指標と考えて、拡張Schalkwijk復号アルゴリズムを用い
て、前記ｎビットの平文を２進系列ｍビットの拡大平文
に変換するステップと、前記拡大平文と公開鍵とを用い
て暗号文を作成するステップとを有することを特徴とす
る。

【００４１】

【数１４】

【００４２】請求項９に係る暗号化・復号装置は、請求
項１〜８の何れかに記載の暗号化方法を用いて平文から
暗号文を作成する暗号化器と、作成された暗号文を元の
平文に復号する復号器とを備えることを特徴とする。

【００４３】請求項10に係る暗号通信システムは、複数
のエンティティ間で暗号文による情報通信を行う暗号通
信システムにおいて、請求項１〜８の何れかに記載の暗
号化方法を用いて平文から暗号文を作成する暗号化器
と、作成した暗号文を一方のエンティティから他方のエ
ンティティへ送信する通信路と、送信された暗号文を元
の平文に復号する暗号化器とを備えることを特徴とす
る。

【００４４】本発明の暗号化方法の概念について、以下
に説明する。図１は、従来のＭＫ暗号方式（図１
（ａ））と本発明の暗号化方法（図１（ｂ））とにおけ
る概念を示す図である。

【００４５】従来のＭＫ暗号方式では、重み（１の数）
のビット数を制限できないので、平文のすべての成分が
１である場合でも一意復号できるように、秘密ベクトル
のすべての成分の積を考慮して、法となる素数ｐ_MKを決
めなければならない。よって、その素数ｐ_MKがどうして
も大きな数になってしまい、その結果、図１（ａ）に示
すように、暗号文のビット数の増大を招き、低いレート
しか得られないことになっていた。

【００４６】暗号化変換に先立って重みを制限した２進
系列に平文を変換することを行っておき、この２進系列
を改めて平文と考えてＭＫ暗号化を適用すれば、元の大
きい法を使用しなくても一意復号を保証できる。よっ
て、本発明では、このような原理に基づいて、２進系列
の平文を重みを制限した２進系列の平文（拡大平文）に
一旦変換し、その拡大平文を暗号化する。その結果、図
１（ｂ）に示すように、最初に拡大平文に変換するので
その時点ではビット数は増加するが、重みを制限してい
るので次の暗号化の際に従来のＭＫ暗号方式より小さい
法を使用でき、結果として暗号文のビット数を従来より
小さくできる。よって、レートを大幅に改善することが
できる。

【００４７】この重みを制限した拡大平文に平文を変換
する手法としては、Schalkwijkアルゴリズム、または、
このSchalkwijkアルゴリズムを拡張して後述するように
定義した拡張Schalkwijkアルゴリズムを利用できる。以
下、Schalkwijkアルゴリズムを利用する本発明の暗号化
方法を第１発明、拡張Schalkwijkアルゴリズムを利用す
る本発明の暗号化方法を第２発明として、以下にもう少
し具体的に説明する。

【００４８】（第１発明）まず、Schalkwijkアルゴリズ
ムについて簡単に説明する。大きさｍビット、重み一定
値ｗビットの２値ベクトルの集合をＳ（ｍ，ｗ）とした
場合、Ｓ（ｍ，ｗ）に属する任意のベクトルｓと０〜_m
Ｃ_w−１までの指標ｉとを一意に対応付ける操作とし
て、Schalkwijkアルゴリズムが知られている。Schalkwi
jk符号化アルゴリズムを用いると、任意のベクトルｓ∈
Ｓ（ｍ，ｗ）に対応する指標ｉを求めることができ、逆
に、Schalkwijk復号アルゴリズムを用いると、与えられ
た指標ｉに対応するベクトルｓ∈Ｓ（ｍ，ｗ）を求める
ことができる。

【００４９】〔Schalkwijk符号化アルゴリズム〕大きさ
ｍビット、重みｗビットの系列ベクトルｓ＝（ｓ₁，・
・・，ｓ_m）∈Ｓ（ｍ，ｗ）から指標ｉを求める。 SchalkwijkEncode（ｓ）｛ｊ←０；ｈ←０；ｆｏｒ（ｋ＝１〜ｍ）ｉｆ（ｓ_k＝１）｛ｈ←ｈ＋１；ｊ←ｊ＋_k-1Ｃ_h；｝ｉ←ｊ；ｒｅｔｕｒｎ（ｉ）；｝

【００５０】〔Schalkwijk復号アルゴリズム〕指標ｉか
ら、大きさｍビット、重みｗビットの系列ベクトルｓ＝
（ｓ₁，・・・，ｓ_m）∈Ｓ（ｍ，ｗ）を求める。 SchalkwijkDecode（ｉ，ｍ，ｗ）｛ｊ←ｉ；ｈ←ｗ；ｆｏｒ（ｋ＝１〜ｍ）ｉｆ（ｊ≧_m-kＣ_h）｛ｊ←ｊ−_m-kＣ_l；ｈ←ｈ−１；ｓ_m-k-1←ｈ；｝ｅｌｓｅｓ_m-k-1←０；ｒｅｔｕｒｎ（ｓ）；｝

【００５１】次に、第１発明の暗号化，復号の手順につ
いて説明する。第１発明では、上述のSchalkwijkアルゴ
リズムを用いて、重みの値をｗに制限した拡大平文に元
の平文を変換し、その拡大平文を従来のＭＫ暗号方式と
同様に暗号化する。図２は、その暗号化の処理手順を示
すフローチャート、図３は、その復号の処理手順を示す
フローチャートである。なお、拡大平文，元の平文の大
きさをそれぞれｍビット，ｎビットとした場合に、この
差（ｍ−ｎ）ビットを拡大ビット数と定義する。

【００５２】《暗号化》〔拡大平文変換〕平文の重みをｗに制限するため、下記
（６）の条件を満たす拡大平文の大きさｍを求める（ス
テップＳ１）。ｎビットの平文ベクトルｘを整数として
扱い、それを指標ｉと考えて、Schalkwijk復号アルゴリ
ズムを用いて平文ベクトルｘを拡大平文ベクトルｓ∈Ｓ
（ｍ，ｗ）に変換する（ステップＳ２）。_m Ｃ_w≧２ⁿ …（６）

【００５３】〔暗号化変換〕以下の（７）の条件を満た
す素数ｐ_Aを求める（ステップＳ３）。

【００５４】

【数１５】

【００５５】但し、記号Ｍａｘ（）は（）内の最大
値を示すものとし、ベクトルａはｍ個の成分からなる秘
密ベクトルである。

【００５６】受信者はｅを決め、ｐ_A−１を法としてｄ
を求める。従来のＭＫ暗号方式と同様に公開ベクトルｃ
を生成する。送信者は、受信者の公開ベクトルｃと拡大
平文ベクトルｓとを用いて以下のように暗号文Ｃを作成
する（ステップＳ４）。

【００５７】

【数１６】

【００５８】《復号》〔復号変換〕従来のＭＫ暗号方式と同様に暗号文Ｃを復
号し、Ｓ（ｍ，ｗ）に属する拡大平文ベクトルｓを求め
る（ステップＳ１１）。

【００５９】〔平文変換〕拡大平文ベクトルｓをSchalk
wijk符号化アルゴリズムを用いて復号することによって
指標ｉに変換し（ステップＳ１２）、それをｎビットの
２進数として扱い、元の平文ベクトルｘを得る（ステッ
プＳ１３）。

【００６０】（第２発明）まず、Schalkwijkを参考にし
て本発明者等が定義した拡張Schalkwijkアルゴリズムに
ついて簡単に説明する。大きさｍビット、重みｗビット
以下の２値ベクトルの集合をＴ（ｍ，ｗ）とする。即
ち、以下の条件を満たす。

【００６１】

【数１７】

【００６２】このとき、Ｔ（ｍ，ｗ）に属する任意のベ
クトルｓと下記式（８）までの指標ｉとを一意に対応付
ける操作として拡張Schalkwijkアルゴリズムを定義す
る。

【００６３】

【数１８】

【００６４】拡張Schalkwijk符号化アルゴリズムを用い
ると、任意のベクトルｓ∈Ｔ（ｍ，ｗ）に対応する指標
ｉを求めることができ、逆に、拡張Schalkwijk復号アル
ゴリズムを用いると、与えられた指標ｉに対応するベク
トルｓ∈Ｔ（ｍ，ｗ）を求めることができる。

【００６５】〔拡張Schalkwijk符号化アルゴリズム〕大
きさｍビット、重みｗビット以下の系列ベクトルｓ＝
（ｓ₁，・・・，ｓ_m）∈Ｔ（ｍ，ｗ）から指標ｉを求
める。但し、ｗ（ｓ）をベクトルｓの重みとする。 ExtendedSchalkwijkEncode（ｓ）

【００６６】

【数１９】

【００６７】〔拡張Schalkwijk復号アルゴリズム〕指標
ｉから、大きさｍビット、重みｗビット以下の系列ベク
トルｓ＝（ｓ₁，・・・，ｓ_m）∈Ｔ（ｍ，ｗ）を求め
る。 ExtendedSchalkwijkDecode（ｉ，ｍ）

【００６８】

【数２０】

【００６９】次に、第２発明の暗号化，復号の手順につ
いて説明する。第１発明では、Schalkwijkアルゴリズム
を用いることにより、暗号化変換に先立って平文を重み
が一定値ｗに制限された拡大平文に変換することによ
り、レートを改善している。第２発明では、上述の拡張
Schalkwijkアルゴリズムを用いて、拡大平文の重みにｗ
以下の値も許すようにし、第１発明より更にレートを改
善するようにしている。図４は、その暗号化の処理手順
を示すフローチャート、図５は、その復号の処理手順を
示すフローチャートである。

【００７０】《暗号化》〔拡大平文変換〕平文の重みをｗ以下に制限するため、
下記の（９）の条件を満たす拡大平文の大きさｍを求め
る（ステップＳ２１）。

【００７１】

【数２１】

【００７２】ｎビットの平文ベクトルｘを整数として扱
い、それを指標ｉと考えて、拡張Schalkwijk復号アルゴ
リズムを用いて平文ベクトルｘを拡大平文ベクトルｓ∈
Ｔ（ｍ，ｗ）に変換する（ステップＳ２２）。

【００７３】〔暗号化変換〕以下の（10）の条件を満た
す素数ｐ_Bを求める（ステップＳ２３）。

【００７４】

【数２２】

【００７５】受信者はｅを決め、ｐ_B−１を法としてｄ
を求める。従来のＭＫ暗号方式と同様に公開ベクトルｃ
を生成する。送信者は、受信者の公開ベクトルｃと拡大
平文ベクトルｓとを用いて以下のように暗号文Ｃを作成
する（ステップＳ２４）。

【００７６】

【数２３】

【００７７】《復号》〔復号変換〕従来のＭＫ暗号方式と同様に暗号文Ｃを復
号し、Ｔ（ｍ，ｗ）に属する拡大平文ベクトルｓを求め
る（ステップＳ３１）。

【００７８】〔平文変換〕拡大平文ベクトルｓを拡張Sc
halkwijk符号化アルゴリズムを用いて復号することによ
って指標ｉに変換し（ステップＳ３２）、それをｎビッ
トの２進数として扱い、元の平文ベクトルｘを得る（ス
テップＳ３３）。

【００７９】

【発明の実施の形態】以下、本発明の実施の形態につい
て具体的に説明する。

【００８０】図６は、本発明による暗号化方法をエンテ
ィティａ，ｂ間の情報通信に利用した状態を示す模式図
である。図６の例では、一方のエンティティａが、暗号
化器１にて平文ｘを暗号文Ｃに暗号化し、通信路３を介
してその暗号文Ｃを他方のエンティティｂへ送信し、エ
ンティティｂが、復号器２にてその暗号文Ｃを元の平文
ｘに復号する場合を示している。

【００８１】（第１実施の形態）第１実施の形態は前述
した第１発明に基づくものである。以下に説明する第１
実施の形態（第１発明）の例では、平文ベクトルｘのビ
ット数を６（ｎ＝６）、平文の制限する重みを３（ｗ＝
３）と設定する。よって、拡大平文ベクトルｓのビット
数は、前記（６）の条件（具体的には_mＣ₃≧２⁶）を
満たすべく９（ｍ＝９）と決める。

【００８２】秘密鍵と公開鍵とを以下のように生成す
る。・秘密鍵秘密ベクトルａベクトルａ＝^t（ａ₁，ａ₂，・・・，ａ₉）ｇｃｄ（ａ_i，ａ_j）＝１（ｉ≠ｊ）暗号化鍵ｅｇｃｄ（ｅ，ｐ_A−１）＝１復号鍵ｄｅｄ＝１（ｍｏｄｐ_A−１）・公開鍵法（素数）ｐ_A ｐ_A＞ａ_i・ａ_j・ａ_k（ａ_i，ａ
_j，ａ_kはベクトルａの３つの最大成分）公開ベクトルｃベクトルｃ＝ベクトルａ^e（ｍｏｄ
ｐ_A）

【００８３】具体的な秘密鍵と公開鍵として以下のよう
に生成する。ベクトルａ＝^t（13，９，25，16，７，17，11，19，2
3）ｅ＝69，ｄ＝317 ・公開鍵ｐ_A＝109371＞25・23・19＝10925 ベクトルｃ＝ベクトルａ^e ＝^t（13⁶⁹，９⁶⁹，25⁶⁹，16⁶⁹，７⁶⁹，17⁶⁹，11⁶⁹，19⁶⁹，23⁶⁹）＝^t（35,5987,2161,4402,711,5002,2522,1259,7774) （ｍｏｄ 10937）

【００８４】エンティティａ側で、平文をベクトルｘ＝
^t（１，０，１，１，１，０）＝46とし、Schalkwijk復
号により、ベクトルｓ＝（０，１，０，０，０，１，
０，１，０）に拡大変換し、その拡大平文ベクトルｓを
暗号化して暗号文Ｃを得る。作成された暗号文Ｃは通信
路３を介してエンティティａからエンティティｂへ送信
される。Ｃ＝5987・5002・1259 ＝10796 （ｍｏｄ 10937）

【００８５】エンティティｂ側では、受信した暗号文Ｃ
をｄ乗してＡに変換し、そのＡに対して秘密ベクトルａ
の各成分を用いて整除判別を行うことにより、拡大平文
ベクトルｓを得る。Ａ＝Ｃ^d＝ 10796³¹⁷＝2907（ｍｏｄ 10937）

【００８６】

【数２４】

【００８７】そして、Schalkwijk符号化により、拡大平
文ベクトルｓから平文ベクトルｘ＝46＝（１，０，１，
１，１，０）を得る。

【００８８】前述した従来のＭＫ暗号方式では、法ｐ_MK
＝556921、レートη_MK≒0.26であったのに対して、上記
第１実施の形態では、法ｐ_A＝109371、レートη_A≒0.
43となり、わずか３ビットの平文拡大にもかかわらず、
従来の２倍近くのレートを実現できている。

【００８９】このような第１発明の評価について考察す
る。第１発明のレートに関しては、前記式（７）より以
下の式（11）が成立する。

【００９０】

【数２５】

【００９１】従来のＭＫ暗号方式の場合には、レートが
ベクトルａのみに依存していたが、第１発明の場合に
は、レートがベクトルａのみならず重みｗにも依存する
ことがわかる。

【００９２】平文の大きさをｎ＝60，80，100 ビットと
した場合、前記（６）の条件を用いて計算した拡大ビッ
ト数ｍ−ｎと重みｗとの関係を、前者を横軸、後者を縦
軸にとって図７のグラフに示す。図７より、拡大ビット
数が大きくなるに従って重みを一定値以下に制限するこ
とが難しくなるが、拡大ビット数が小さい場合には、重
みを急激に制限できることがわかる。

【００９３】上記式（11）より、レートは重みｗだけで
なく秘密ベクトルａにも依存する。以下の２つのモード
を定義し、それぞれのモードにおけるレートを考察す
る。モード１：秘密ベクトルａの成分の大きさはすべてｋビ
ットとする。モード２：秘密ベクトルａの成分にはｍ番目までの素数
を使用する。

【００９４】モード１について、ｎ＝60，80，100 ビッ
トでｋ＝10，20，30ビットとした場合、拡大ビット数ｍ
−ｎとレートηとの関係を、前者を横軸、後者を縦軸に
とって図８のグラフに示す。図８では、ｋビットの素数
が無限に存在すると仮定しているが、実際には有限個し
か存在しないため、図８には一部表現できない範囲を含
んでいる。

【００９５】また、モード２について、ｎ＝60，80，10
0 ビットとした場合、拡大ビット数ｍ−ｎとレートηと
の関係を、前者を横軸、後者を縦軸にとって図９のグラ
フに示す。モード２では、拡大ビット数及び重みが等し
い場合に、前記式（７）より法が最も小さくなり、モー
ド１に比べてレートが向上する。

【００９６】エルガマル（ElGamal)暗号のレート即ち0.
5 以上のレートを得るためには、第１発明のモード２に
おいては平文ｎ＝60に対し、拡大ビット数は僅かｍ−ｎ
＝115 が必要となる程度である。このことは、鍵数を60
ビットから175 ビットに増やせば、エルガマル暗号のレ
ートを実現できることを意味する。この鍵数は実用的な
大きさの鍵数である。更に拡大ビット数を増やすと、エ
ルガマル暗号以上のレートも達成できる。

【００９７】（第２実施の形態）第２実施の形態は前述
した第２発明に基づくものである。以下に説明する第２
実施の形態（第２発明）の例では、平文ベクトルｘのビ
ット数を６（ｎ＝６）、平文の制限する重みを３（ｗ＝
３）と設定する。よって、拡大平文ベクトルｘのビット
数は、前記（９）の条件を満たすべく７（ｍ＝７）と決
める。

【００９８】秘密鍵と公開鍵とを以下のように生成す
る。・秘密鍵秘密ベクトルａベクトルａ＝^t（ａ₁，ａ₂，・・・，ａ₇）ｇｃｄ（ａ_i，ａ_j）＝１（ｉ≠ｊ）暗号化鍵ｅｇｃｄ（ｅ，ｐ_B−１）＝１復号鍵ｄｅｄ＝１（ｍｏｄｐ_B−１）・公開鍵法（素数）ｐ_B ｐ_B＞ａ_i・ａ_j・ａ_k（ａ_i，ａ
_j，ａ_kはベクトルａの３つの最大成分）公開ベクトルｃベクトルｃ＝ベクトルａ^e（ｍｏｄ
ｐ_B）

【００９９】具体的な秘密鍵と公開鍵として以下のよう
に生成する。ベクトルａ＝^t（13，９，25，16，７，17，11）ｅ＝15，ｄ＝907 ・公開鍵ｐ_B＝6803＞25・17・16＝6800 ベクトルｃ＝ベクトルａ^e ＝^t（13¹⁵，９¹⁵，25¹⁵，16¹⁵，７¹⁵，17¹⁵，11¹⁵）＝^t（131,6363,3747,3633,3956,1672,3868) （ｍｏｄ 6803)

【０１００】エンティティａ側で、平文をベクトルｘ＝
^t（１，０，１，１，１，０）＝46とし、拡張Schalkwi
jk復号により、ベクトルｓ＝（０，１，０，０，１，
１，０）に拡大変換し、その拡大平文ベクトルｓを暗号
化して暗号文Ｃを得る。作成された暗号文Ｃは通信路３
を介してエンティティａからエンティティｂへ送信され
る。Ｃ＝6363・3956・1672 ＝532 （ｍｏｄ 6803)

【０１０１】エンティティｂ側では、受信した暗号文Ｃ
をｄ乗してＡに変換し、そのＡに対して秘密ベクトルａ
の各成分を用いて整除判別を行うことにより、拡大平文
ベクトルｓを得る。Ａ＝Ｃ^d＝ 532⁹⁰⁷＝1071（ｍｏｄ 6803)

【０１０２】

【数２６】

【０１０３】そして、拡張Schalkwijk符号化により、拡
大平文ベクトルｓから平文ベクトルｘ＝46＝（１，０，
１，１，１，０）を得る。

【０１０４】前述した従来のＭＫ暗号方式では、法ｐ_MK
＝556921、レートη_MK≒0.26であったのに対して、上記
第２実施の形態では、法ｐ_B＝6803、レートη_B≒0.46
となり、わずか１ビットの平文拡大にもかかわらず、従
来の２倍近くのレートを実現できている。同じ大きさの
平文に対して同程度のレートを実現するために、第１実
施の形態では３ビットの平文拡大が必要であったが、第
２実施の形態では僅か１ビットの平文拡大で良い。即
ち、第２実施の形態（第２発明）は、より少ない拡大ビ
ット数で第１実施の形態（第１発明）と同程度のレート
を実現できている。

【０１０５】このような第２発明の評価について考察す
る。第２発明のレートη_Bに関しては、前記式（10）よ
り以下の式（12）が成立する。

【０１０６】

【数２７】

【０１０７】従来のＭＫ暗号方式の場合には、レートが
ベクトルａのみに依存していたが、第２発明の場合に
は、第１発明と同様に、レートがベクトルａのみならず
重みｗにも依存することがわかる。

【０１０８】平文の大きさをｎ＝60，80，100 ビットと
した場合、前記（９）の条件を用いて計算した拡大ビッ
ト数ｍ−ｎと重みｗとの関係を、前者を横軸、後者を縦
軸にとって図10のグラフに示す。下記式（13）に示す二
項定理において、ｘ＝ｙ＝１を代入することによって下
記式（14）が成り立ち、このことから下記式（15）が成
立する。式（15）から、平文を１ビット拡大するだけで
重みが下記（16）となることが分かる。

【０１０９】

【数２８】

【０１１０】

【数２９】

【０１１１】第２発明の特徴は、特に平文の大きさが偶
数ビットである場合に、たった１ビットの拡大によって
拡大平文の重みが元の平文のちょうど半分になることで
ある。つまり、１ビット平文拡大した第２発明のレート
は従来のレートの略２倍に改善されることを意味する。

【０１１２】第２発明でも、上記第１発明と同様のモー
ド１，モード２を設定し、それぞれのモードにおけるレ
ートを考察する。

【０１１３】モード１について、ｎ＝60，80，100 ビッ
トでｋ＝10，20，30ビットとした場合、拡大ビット数ｍ
−ｎとレートηとの関係を、前者を横軸、後者を縦軸に
とって図11のグラフに示す。また、モード２について、
ｎ＝60，80，100 ビットとした場合、拡大ビット数ｍ−
ｎとレートηとの関係を、前者を横軸、後者を縦軸にと
って図12のグラフに示す。

【０１１４】次に、第１発明と第２発明との比較につい
て説明する。第１発明，第２発明について、重み及びレ
ートの計算結果を図13及び図14に示す。なお、図13, 図
14にあって実線が第１発明、点線が第２発明をそれぞれ
示す。

【０１１５】平文及び拡大ビット数が等しい場合、第２
発明では第１発明より小さい法を使用するので、より高
いレートを実現できる。拡大ビット数が１ビットから数
ビットと小さい場合、第１発明ではほとんどまたは全く
レートを改善できないが、第２発明では従来のＭＫ暗号
の略２倍の高レートを実現できる。なお、拡大ビット数
が大きくなると、第１発明，第２発明のレートの差は小
さくなる。高速処理を望む場合には第１発明を利用し、
鍵数を少なくしたい場合には第２発明を利用することが
実用的である。

【０１１６】次に、本発明におけるレートの極限値につ
いて考察する。レートの極限を求めるに際して、より効
率が高いモード２を利用し、重みをｗ＝１まで制限した
場合、上記式（12）によってレートη（ｎ）は、下記式
（17）のようになる。

【０１１７】

【数３０】

【０１１８】このとき、最も大きな成分ａ_iはｍ（＝２
ⁿ）番目の素数になる。ここで、素数定理により、２ⁿ
番目の素数≒２ⁿｌｎ２ⁿであるので、以下の式（18）
に示すように、レートη（ｎ）は略１と見積もることが
できる。 η（ｎ）≒ｎ／｛ｌｏｇ₂（２ⁿｌｎ２ⁿ）｝＝ｎ／｛ｎ＋ｌｏｇ₂（ｌｎ２ⁿ）｝ …（18）

【０１１９】例えば、平文の大きさがｎ＝100 である場
合、η（ｎ）≒0.94となる。また、上記式（18）に基づ
いてレートの極限値を求めると、式（19）となり、暗号
化効率は１に収束することがわかる。

【０１２０】

【数３１】

【０１２１】なお、上記例では、平文の重みを制限する
手法として、Schalkwijkアルゴリズムまたは拡張Schalk
wijkアルゴリズムを使用する場合について説明したが、
他の手法を用いても良いことは勿論である。

【０１２２】また、上記例では、乗算型ＭＫ暗号化方式
に本発明を適応する場合について説明したが、これは例
示であり、重みを制限することによりレートの改善効果
が見られるすべての暗号化方式に本発明を適用すること
が可能である。

【０１２３】

【発明の効果】以上のように、本発明では、重みを制限
した拡大平文に平文を一旦変換し、その拡大平文を暗号
化するようにしたので、小さい法を使用することがで
き、結果として従来例と比べてレートを大幅に向上する
ことができる。この結果、現在実用化が困難とされてい
る種々の暗号化方式に対して実用化の道を開くことに、
本発明は大いに寄与できる。

【図面の簡単な説明】

【図１】本発明と従来例との概念を示す図である。

【図２】第１発明における暗号化の処理手順を示すフロ
ーチャートである。

【図３】第１発明における復号の処理手順を示すフロー
チャートである。

【図４】第２発明における暗号化の処理手順を示すフロ
ーチャートである。

【図５】第２発明における復号の処理手順を示すフロー
チャートである。

【図６】２人のエンティティ間における情報の通信状態
を示す模式図である。

【図７】第１発明における拡大ビット数と重みとの関係
を示すグラフである。

【図８】第１発明のモード１における拡大ビット数とレ
ートとの関係を示すグラフである。

【図９】第１発明のモード２における拡大ビット数とレ
ートとの関係を示すグラフである。

【図１０】第２発明における拡大ビット数と重みとの関
係を示すグラフである。

【図１１】第２発明のモード１における拡大ビット数と
レートとの関係を示すグラフである。

【図１２】第２発明のモード２における拡大ビット数と
レートとの関係を示すグラフである。

【図１３】第１発明，第２発明における拡大ビット数と
重みとの関係を示すグラフである。

【図１４】第１発明，第２発明における拡大ビット数と
レートとの関係を示すグラフである。

【符号の説明】

１符号化器２復号器３通信路ａ，ｂエンティティ

フロントページの続き (72)発明者木内真也京都府京都市山科区勧修寺堂田13−27 Ｆターム(参考） 5K013 CA00 CA17

Claims

【特許請求の範囲】

【請求項１】２進系列の平文を暗号文に変換するため
の暗号化方法において、前記平文を前記平文よりビット
数が多い２進系列の拡大平文に変換し、該拡大平文を暗
号文に暗号化することを特徴とする暗号化方法。
【請求項２】前記平文の前記拡大平文への変換は、前
記平文の重みを制限すべく行う請求項１記載の暗号化方
法。
【請求項３】前記平文，前記拡大平文のビット数を
ｎ，ｍ（ｎ＜ｍ）とし、前記平文の重みをｗに制限する
場合、_mＣ_w≧２ⁿを満たすようにｍを決定する請求項
２記載の暗号化方法。
【請求項４】前記平文を前記拡大平文へ変換する際
に、Schalkwijk復号アルゴリズムを用いる請求項２記載
の暗号化方法。
【請求項５】２進系列ｎビットの平文を暗号文に変換
するための暗号化方法において、前記ｎビットの平文の重みをｗに制限するため、_mＣ_w
≧２ⁿの条件を満たすｍ（ｎ＜ｍ）を求めるステップ
と、前記ｎビットの平文を整数として扱い、該整数を指標と
考えて、Schalkwijk復号アルゴリズムを用いて、前記ｎ
ビットの平文を２進系列ｍビットの拡大平文に変換する
ステップと、前記拡大平文と公開鍵とを用いて暗号文を作成するステ
ップとを有することを特徴とする暗号化方法。
【請求項６】前記平文，前記拡大平文のビット数を
ｎ，ｍ（ｎ＜ｍ）とし、前記平文の重みをｗ以下に制限
する場合に、下記（Ａ）の条件を満たすようにｍを決定
する請求項２記載の暗号化方法。【数１】
【請求項７】前記平文を前記拡大平文へ変換する際
に、拡張Schalkwijk復号アルゴリズムを用いる請求項２
記載の暗号化方法。
【請求項８】２進系列ｎビットの平文を暗号文に変換
するための暗号化方法において、前記ｎビットの平文の重みをｗに制限するため、下記
（Ａ）の条件を満たすｍ（ｎ＜ｍ）を求めるステップ
と、前記ｎビットの平文を整数として扱い、該整数を指標と
考えて、拡張Schalkwijk復号アルゴリズムを用いて、前
記ｎビットの平文を２進系列ｍビットの拡大平文に変換
するステップと、前記拡大平文と公開鍵とを用いて暗号文を作成するステ
ップとを有することを特徴とする暗号化方法。【数２】
【請求項９】請求項１〜８の何れかに記載の暗号化方
法を用いて平文から暗号文を作成する暗号化器と、作成
された暗号文を元の平文に復号する復号器とを備えるこ
とを特徴とする暗号化・復号装置。
【請求項１０】複数のエンティティ間で暗号文による
情報通信を行う暗号通信システムにおいて、請求項１〜
８の何れかに記載の暗号化方法を用いて平文から暗号文
を作成する暗号化器と、作成した暗号文を一方のエンテ
ィティから他方のエンティティへ送信する通信路と、送
信された暗号文を元の平文に復号する暗号化器とを備え
ることを特徴とする暗号通信システム。