JP2000081841A - 暗号管理装置及び暗号化方法 - Google Patents
暗号管理装置及び暗号化方法Info
- Publication number
- JP2000081841A JP2000081841A JP10249722A JP24972298A JP2000081841A JP 2000081841 A JP2000081841 A JP 2000081841A JP 10249722 A JP10249722 A JP 10249722A JP 24972298 A JP24972298 A JP 24972298A JP 2000081841 A JP2000081841 A JP 2000081841A
- Authority
- JP
- Japan
- Prior art keywords
- hyperelliptic curve
- genus
- finite field
- integer
- elements
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Abstract
(57)【要約】
【課題】 高速な超楕円曲線公開鍵暗号化方法を得る。
【解決手段】 超楕円曲線Ｃに付随する、有限体Ｆq 上
のヤコビ多様体をＪ（Ｃ，Ｆq ）とする時、上記ヤコビ
多様体Ｊ（Ｃ，Ｆq ）の要素の数＃Ｊ（Ｃ，Ｆq）が大
きな素数で割り切れるように、ＣＰＵビット幅Ｎに基づ
いて、超楕円曲線Ｃ生成部３０が上記超楕円曲線Ｃを生
成する。上記ヤコビ多様体Ｊ（Ｃ，Ｆq ）における演算
が、多倍長精度演算を必要としない通常の整数演算で行
うことができる。また、上記ヤコビ多様体Ｊ（Ｃ，
Ｆq ）上定義される離散対数問題の困難さを安全性の根
拠に持つ。
のヤコビ多様体をＪ（Ｃ，Ｆq ）とする時、上記ヤコビ
多様体Ｊ（Ｃ，Ｆq ）の要素の数＃Ｊ（Ｃ，Ｆq）が大
きな素数で割り切れるように、ＣＰＵビット幅Ｎに基づ
いて、超楕円曲線Ｃ生成部３０が上記超楕円曲線Ｃを生
成する。上記ヤコビ多様体Ｊ（Ｃ，Ｆq ）における演算
が、多倍長精度演算を必要としない通常の整数演算で行
うことができる。また、上記ヤコビ多様体Ｊ（Ｃ，
Ｆq ）上定義される離散対数問題の困難さを安全性の根
拠に持つ。
Description
【０００１】
【発明の属する技術分野】本発明は、ディジタル情報を
暗号化して安全に暗号通信する技術に関する。
暗号化して安全に暗号通信する技術に関する。
【０００２】
【従来の技術】従来の超楕円曲線を用いた暗号化方法に
ついて説明する。従来の超楕円曲線を用いた暗号化方法
には、Ｎｅａｌ Ｋｏｂｌｉｔｚ著，“Ｈｙｐｅｒｅｌ
ｌｉｐｔｉｃ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ”，Ｊ．Ｃ
ｒｙｐｔｏｌｏｇｙ Ｖｏｌ．１，（１９８９），ｐｐ
１３９−１５０がある。また、公開鍵暗号及び離散対数
問題については、岡本龍明、太田和夫著、“暗号ゼロ知
識証明数論”、共立出版（１９９５）に記載されてい
る。
ついて説明する。従来の超楕円曲線を用いた暗号化方法
には、Ｎｅａｌ Ｋｏｂｌｉｔｚ著，“Ｈｙｐｅｒｅｌ
ｌｉｐｔｉｃ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ”，Ｊ．Ｃ
ｒｙｐｔｏｌｏｇｙ Ｖｏｌ．１，（１９８９），ｐｐ
１３９−１５０がある。また、公開鍵暗号及び離散対数
問題については、岡本龍明、太田和夫著、“暗号ゼロ知
識証明数論”、共立出版（１９９５）に記載されてい
る。
【０００３】まず、本発明の技術的背景である公開鍵暗
号、離散対数問題、超楕円曲線及びヤコビ多様体につい
て簡単に説明する。公開鍵暗号通信においては、利用者
毎に秘密鍵ｘと公開鍵Ｙの組が用意され、秘密鍵ｘは、
各利用者が秘密に保持しておく。公開鍵Ｙは、利用者自
身以外の一般に公開する。利用者Ｂが利用者Ａに秘密に
データを送りたい時は、利用者Ｂは、利用者Ａに対応す
る公開鍵Ｙを用いてデータを暗号化する。この暗号文
は、秘密鍵ｘを知る利用者Ａにしか復号できない。離散
対数問題とは群Ｇの２つの要素ｇ1 ，ｇ2 に対して、ｇ
1 ＝ｍｇ2 （ｍは整数）を満たすようなｍを求める問題
である。群Ｇの要素の数が大きい場合、離散対数問題を
解くことは、計算量的に非常に困難になることが知られ
ている。この事実を利用して公開鍵暗号を設計すること
ができ、本発明においても離散対数問題を解く困難さを
暗号の安全性の根拠にして暗号化を行う。超楕円曲線Ｃ
とは、ｖ2 ＋ｈ（ｕ）ｖ＝ｆ（ｕ）と表される方程式
で、曲線の種数をｇとすると、ｆ（ｕ）は次数２ｇ＋１
のモニック多項式、ｈ（ｕ）は次数が高々ｇの多項式で
ある。種数ｇとは、曲線の特徴を表すパラメータであ
る。例えば、種数ｇ＝３の場合の超楕円曲線は、次数が
２ｇ＋１＝２・３＋１＝７となり、例えば、ｖ2 ＋ｖ＝
ｕ7 となる。超楕円曲線Ｃと有限体Ｆq を決めると、超
楕円曲線Ｃに付随する有限体Ｆq 上のヤコビ多様体Ｊ
（Ｃ，Ｆq ）（以下、単にＪともいう）が構成される。
ヤコビ多様体Ｊ（Ｃ，Ｆq ）の要素数＃Ｊ（Ｃ，Ｆq ）
（以下、単に＃Ｊともいう）は、およそ＃Ｊ＝ｑg にな
ることが知られている。即ち、ヤコビ多様体の要素数＃
Ｊが同じならば、種数ｇが大きくなるほど有限体Ｆq の
要素数ｑは小さくなる。
号、離散対数問題、超楕円曲線及びヤコビ多様体につい
て簡単に説明する。公開鍵暗号通信においては、利用者
毎に秘密鍵ｘと公開鍵Ｙの組が用意され、秘密鍵ｘは、
各利用者が秘密に保持しておく。公開鍵Ｙは、利用者自
身以外の一般に公開する。利用者Ｂが利用者Ａに秘密に
データを送りたい時は、利用者Ｂは、利用者Ａに対応す
る公開鍵Ｙを用いてデータを暗号化する。この暗号文
は、秘密鍵ｘを知る利用者Ａにしか復号できない。離散
対数問題とは群Ｇの２つの要素ｇ1 ，ｇ2 に対して、ｇ
1 ＝ｍｇ2 （ｍは整数）を満たすようなｍを求める問題
である。群Ｇの要素の数が大きい場合、離散対数問題を
解くことは、計算量的に非常に困難になることが知られ
ている。この事実を利用して公開鍵暗号を設計すること
ができ、本発明においても離散対数問題を解く困難さを
暗号の安全性の根拠にして暗号化を行う。超楕円曲線Ｃ
とは、ｖ2 ＋ｈ（ｕ）ｖ＝ｆ（ｕ）と表される方程式
で、曲線の種数をｇとすると、ｆ（ｕ）は次数２ｇ＋１
のモニック多項式、ｈ（ｕ）は次数が高々ｇの多項式で
ある。種数ｇとは、曲線の特徴を表すパラメータであ
る。例えば、種数ｇ＝３の場合の超楕円曲線は、次数が
２ｇ＋１＝２・３＋１＝７となり、例えば、ｖ2 ＋ｖ＝
ｕ7 となる。超楕円曲線Ｃと有限体Ｆq を決めると、超
楕円曲線Ｃに付随する有限体Ｆq 上のヤコビ多様体Ｊ
（Ｃ，Ｆq ）（以下、単にＪともいう）が構成される。
ヤコビ多様体Ｊ（Ｃ，Ｆq ）の要素数＃Ｊ（Ｃ，Ｆq ）
（以下、単に＃Ｊともいう）は、およそ＃Ｊ＝ｑg にな
ることが知られている。即ち、ヤコビ多様体の要素数＃
Ｊが同じならば、種数ｇが大きくなるほど有限体Ｆq の
要素数ｑは小さくなる。
【０００４】ここで、現在の暗号処理に用いられている
楕円曲線について説明する。楕円曲線とは、例えば、ｙ
2 ＋ｘｙ＝ｘ3 ＋ａ1 ｘ2 ＋ａ2 と表される３次式の方
程式で、種数ｇは１であり、次数は３（２ｇ＋１＝２＋
１＝３）である。超楕円曲線は、種数が１以上の値をと
るのに対し、楕円曲線は、種数ｇは必ず１である。そし
て、超楕円曲線の種数ｇ＝１の場合は、楕円曲線とな
る。また、実際の計算は有限体（Ｆq ）上で行われる
が、楕円曲線の群の要素は点（ｘ，ｙ）で表されるのに
対し、超楕円曲線に付随する有限体Ｆq 上のヤコビ多様
体Ｊ（Ｃ，Ｆq ）の要素は、有限体Ｆq 係数の２つ多項
式ａ（ｕ），ｂ（ｕ）により表現される。ここで、ａ
（ｕ）の次数はｇ以下、ｂ（ｕ）の次数はａ（ｕ）の次
数未満である。また、有限体Ｆq の要素は、ｑ＝２n の
ときｎビットの整数で表される。従って、超楕円曲線の
計算は、楕円曲線に比べて複雑となる。
楕円曲線について説明する。楕円曲線とは、例えば、ｙ
2 ＋ｘｙ＝ｘ3 ＋ａ1 ｘ2 ＋ａ2 と表される３次式の方
程式で、種数ｇは１であり、次数は３（２ｇ＋１＝２＋
１＝３）である。超楕円曲線は、種数が１以上の値をと
るのに対し、楕円曲線は、種数ｇは必ず１である。そし
て、超楕円曲線の種数ｇ＝１の場合は、楕円曲線とな
る。また、実際の計算は有限体（Ｆq ）上で行われる
が、楕円曲線の群の要素は点（ｘ，ｙ）で表されるのに
対し、超楕円曲線に付随する有限体Ｆq 上のヤコビ多様
体Ｊ（Ｃ，Ｆq ）の要素は、有限体Ｆq 係数の２つ多項
式ａ（ｕ），ｂ（ｕ）により表現される。ここで、ａ
（ｕ）の次数はｇ以下、ｂ（ｕ）の次数はａ（ｕ）の次
数未満である。また、有限体Ｆq の要素は、ｑ＝２n の
ときｎビットの整数で表される。従って、超楕円曲線の
計算は、楕円曲線に比べて複雑となる。
【０００５】図８，図９，図１０は、従来の超楕円曲線
を用いた暗号化方法を示すフローチャートである。図８
は、暗号鍵生成方法を示すフローチャートである。図９
は、暗号化方法を示すフローチャートである。図１０
は、復号化方法を示すフローチャートである。図におい
て、Ｓ４０１は超楕円曲線Ｃ：ｖ2 ＋ｈ（ｕ）ｖ＝ｆ
（ｕ）と、ｑ個の要素を持つ有限体Ｆq と、ヤコビ多様
体Ｊの要素Ｄを選択するステップである。超楕円曲線Ｃ
の種数ｇは、この従来例ではｇ＝２が選ばれている。Ｓ
４０２は整数ｘを選択し、整数ｘを秘密鍵とするステッ
プ、Ｓ４０３はヤコビ多様体Ｊ上でＹ＝ｘＤを計算し、
Ｙを公開鍵とするステップ、Ｓ５０１は平文ｍと整数ｒ
を選択するステップ、Ｓ５０２はヤコビ多様体Ｊ上でＣ
1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍを計算するステップ、Ｓ５０
３は（Ｃ1 ，Ｃ2 ）を平文ｍを暗号化した暗号文とする
ステップ、Ｓ６０１は暗号文（Ｃ1 ，Ｃ2 ）と秘密鍵ｘ
とからヤコビ多様体Ｊ上でｍ＝Ｃ2 −ｘＣ1 を計算する
ステップ、Ｓ６０２はｍを平文とするステップである。
を用いた暗号化方法を示すフローチャートである。図８
は、暗号鍵生成方法を示すフローチャートである。図９
は、暗号化方法を示すフローチャートである。図１０
は、復号化方法を示すフローチャートである。図におい
て、Ｓ４０１は超楕円曲線Ｃ：ｖ2 ＋ｈ（ｕ）ｖ＝ｆ
（ｕ）と、ｑ個の要素を持つ有限体Ｆq と、ヤコビ多様
体Ｊの要素Ｄを選択するステップである。超楕円曲線Ｃ
の種数ｇは、この従来例ではｇ＝２が選ばれている。Ｓ
４０２は整数ｘを選択し、整数ｘを秘密鍵とするステッ
プ、Ｓ４０３はヤコビ多様体Ｊ上でＹ＝ｘＤを計算し、
Ｙを公開鍵とするステップ、Ｓ５０１は平文ｍと整数ｒ
を選択するステップ、Ｓ５０２はヤコビ多様体Ｊ上でＣ
1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍを計算するステップ、Ｓ５０
３は（Ｃ1 ，Ｃ2 ）を平文ｍを暗号化した暗号文とする
ステップ、Ｓ６０１は暗号文（Ｃ1 ，Ｃ2 ）と秘密鍵ｘ
とからヤコビ多様体Ｊ上でｍ＝Ｃ2 −ｘＣ1 を計算する
ステップ、Ｓ６０２はｍを平文とするステップである。
【０００６】次に、動作を説明する。まず、暗号鍵生成
方法を図８に基づいて説明する。暗号通信の利用者は、
まず、Ｓ４０１において、ｑ個の要素を持つ有限体Ｆq
と、超楕円曲線Ｃ：ｖ2 ＋ｈ（ｕ）ｖ＝ｆ（ｕ）を選択
する。この際、ヤコビ多様体の要素数＃Ｊが大きな素数
で割り切れるように、超楕円曲線Ｃ及び有限体Ｆq を選
択しなければならない。これは、超楕円曲線を用いた公
開鍵暗号の解読を困難にするための条件である。次に、
ヤコビ多様体Ｊの要素Ｄを選択する。次に、Ｓ４０２に
おいて、整数ｘを選択する。整数ｘを秘密鍵として秘密
に保存しておく。Ｓ４０３において、公開鍵Ｙを計算す
る。公開鍵Ｙは、Ｙ＝ｘＤとして計算される。次に、暗
号化方法を図９に基づいて説明する。まず、Ｓ５０１に
おいて、暗号化したいデータｍ（これを平文と呼ぶ）と
整数ｒを選択する。次に、Ｓ５０２において、ヤコビ多
様体Ｊ（Ｃ，Ｆq ）上で、Ｃ1 ＝ｒＤと、Ｃ2 ＝ｒＹ＋
ｍを計算する。次に、Ｓ５０３において、Ｃ1 とＣ2の
組（Ｃ1 ，Ｃ2 ）を暗号文とする。
方法を図８に基づいて説明する。暗号通信の利用者は、
まず、Ｓ４０１において、ｑ個の要素を持つ有限体Ｆq
と、超楕円曲線Ｃ：ｖ2 ＋ｈ（ｕ）ｖ＝ｆ（ｕ）を選択
する。この際、ヤコビ多様体の要素数＃Ｊが大きな素数
で割り切れるように、超楕円曲線Ｃ及び有限体Ｆq を選
択しなければならない。これは、超楕円曲線を用いた公
開鍵暗号の解読を困難にするための条件である。次に、
ヤコビ多様体Ｊの要素Ｄを選択する。次に、Ｓ４０２に
おいて、整数ｘを選択する。整数ｘを秘密鍵として秘密
に保存しておく。Ｓ４０３において、公開鍵Ｙを計算す
る。公開鍵Ｙは、Ｙ＝ｘＤとして計算される。次に、暗
号化方法を図９に基づいて説明する。まず、Ｓ５０１に
おいて、暗号化したいデータｍ（これを平文と呼ぶ）と
整数ｒを選択する。次に、Ｓ５０２において、ヤコビ多
様体Ｊ（Ｃ，Ｆq ）上で、Ｃ1 ＝ｒＤと、Ｃ2 ＝ｒＹ＋
ｍを計算する。次に、Ｓ５０３において、Ｃ1 とＣ2の
組（Ｃ1 ，Ｃ2 ）を暗号文とする。
【０００７】次に、復号化方法を図１０に基づいて説明
する。まず、Ｓ６０１において、暗号文（Ｃ1 ，Ｃ2 ）
と秘密鍵ｘとから、有限体Ｆq 上でｍ＝Ｃ2 −ｘＣ1
（ｍ＝Ｃ2 −ｒＹ＝Ｃ2 −ｒｘＤ＝Ｃ2 −ｘＣ1 ）を計
算する。Ｓ６０２において、ｍを平文とする。
する。まず、Ｓ６０１において、暗号文（Ｃ1 ，Ｃ2 ）
と秘密鍵ｘとから、有限体Ｆq 上でｍ＝Ｃ2 −ｘＣ1
（ｍ＝Ｃ2 −ｒＹ＝Ｃ2 −ｒｘＤ＝Ｃ2 −ｘＣ1 ）を計
算する。Ｓ６０２において、ｍを平文とする。
【０００８】超楕円曲線を用いた暗号化方法では、一般
に、演算は全て有限体Ｆq 上で行われる。有限体Ｆq の
要素は、ｑ＝２n とすると、計算機上ではｎビットの整
数として表現される。また、暗号が安全であるために
は、ヤコビ多様体Ｊ（Ｃ，Ｆq）の要素数＃Ｊの大きさ
は、２160 程度なければならない。＃Ｊは、曲線の種数
をｇとすると、ｑg 程度であることから、従来のように
ｇ＝２の場合、十分安全な暗号化方法を得るためには、
有限体Ｆq の要素数ｑは、ｑg ＝２160 ＝（２80）2 と
なり、ｑ＝２80程度の大きさが必要であった。つまり、
従来の有限体Ｆqの要素は、計算機上では８０ビット程
度の大きさの整数として表現されていた。従って、パー
ソナルコンピュータ等の３２ビットＣＰＵ（セントラル
・プロセッシング・ユニット）を持つ計算機や、ＩＣ
（インテグレーテッド・サーキット）カード等の１６ビ
ットＣＰＵを持つ計算機では、有限体Ｆq の演算を行う
ためには、“多倍長演算”と呼ばれる技術が必要であっ
た。多倍長演算は、通常の整数演算よりも、演算速度が
遅くなるという問題がある。
に、演算は全て有限体Ｆq 上で行われる。有限体Ｆq の
要素は、ｑ＝２n とすると、計算機上ではｎビットの整
数として表現される。また、暗号が安全であるために
は、ヤコビ多様体Ｊ（Ｃ，Ｆq）の要素数＃Ｊの大きさ
は、２160 程度なければならない。＃Ｊは、曲線の種数
をｇとすると、ｑg 程度であることから、従来のように
ｇ＝２の場合、十分安全な暗号化方法を得るためには、
有限体Ｆq の要素数ｑは、ｑg ＝２160 ＝（２80）2 と
なり、ｑ＝２80程度の大きさが必要であった。つまり、
従来の有限体Ｆqの要素は、計算機上では８０ビット程
度の大きさの整数として表現されていた。従って、パー
ソナルコンピュータ等の３２ビットＣＰＵ（セントラル
・プロセッシング・ユニット）を持つ計算機や、ＩＣ
（インテグレーテッド・サーキット）カード等の１６ビ
ットＣＰＵを持つ計算機では、有限体Ｆq の演算を行う
ためには、“多倍長演算”と呼ばれる技術が必要であっ
た。多倍長演算は、通常の整数演算よりも、演算速度が
遅くなるという問題がある。
【０００９】
【発明が解決しようとする課題】従来の超楕円曲線を用
いた暗号化方法は、以上のように構成されているため、
安全な暗号化方法を得るためには、有限体上の演算を多
倍長演算を用いて行わなければならず、暗号化及び復号
化の速度が遅くなるという課題があった。この暗号化及
び復号化の速度が遅くなるという課題があるため、超楕
円曲線を用いた暗号化方法は、研究レベルの段階であ
り、現在のところ実用化されていないという課題があっ
た。
いた暗号化方法は、以上のように構成されているため、
安全な暗号化方法を得るためには、有限体上の演算を多
倍長演算を用いて行わなければならず、暗号化及び復号
化の速度が遅くなるという課題があった。この暗号化及
び復号化の速度が遅くなるという課題があるため、超楕
円曲線を用いた暗号化方法は、研究レベルの段階であ
り、現在のところ実用化されていないという課題があっ
た。
【００１０】本発明の目的は、係る課題を解決するため
になされたもので、ヤコビ多様体Ｊ（Ｃ，Ｆq ）の有限
体Ｆq の要素数ｑを小さくし、多倍長演算を必要としな
い通常の整数演算で高速に暗号化及び復号化を行うこと
ができ、かつ、安全な暗号を得ることにある。即ち、本
発明の目的は、超楕円曲線を用いた暗号処理の実用的速
度の達成を目的とする。
になされたもので、ヤコビ多様体Ｊ（Ｃ，Ｆq ）の有限
体Ｆq の要素数ｑを小さくし、多倍長演算を必要としな
い通常の整数演算で高速に暗号化及び復号化を行うこと
ができ、かつ、安全な暗号を得ることにある。即ち、本
発明の目的は、超楕円曲線を用いた暗号処理の実用的速
度の達成を目的とする。
【００１１】
【課題を解決するための手段】この発明に係る暗号管理
装置は、超楕円曲線Ｃに付随する有限体Ｆq 上のヤコビ
多様体をＪ（Ｃ，Ｆq ）とするとき、ＣＰＵビット幅Ｎ
に基づいて超楕円曲線Ｃを生成する超楕円曲線Ｃ生成部
を備えたことを特徴とする。
装置は、超楕円曲線Ｃに付随する有限体Ｆq 上のヤコビ
多様体をＪ（Ｃ，Ｆq ）とするとき、ＣＰＵビット幅Ｎ
に基づいて超楕円曲線Ｃを生成する超楕円曲線Ｃ生成部
を備えたことを特徴とする。
【００１２】上記超楕円曲線Ｃ生成部は、ＣＰＵビット
幅Ｎに基づいて種数ｇを計算する種数ｇ計算部と、ＣＰ
Ｕビット幅Ｎ以下の素数を拡大次数ｎとして選択する拡
大次数ｎ選択部と、種数ｇから次数を決定して超楕円曲
線Ｃを順次生成するとともに、選択された拡大次数ｎに
基づく有限体Ｆq と上記超楕円曲線Ｃとからヤコビ多様
体Ｊ（Ｃ，Ｆq ）の要素数＃Ｊ（Ｃ，Ｆq ）を計算し、
最大の素因数を求め、最大の素因数が暗号の安全性の目
安となる目安整数Ｋ以上となるような超楕円曲線Ｃを選
択する超楕円曲線Ｃ決定部とを備えたことを特徴とす
る。
幅Ｎに基づいて種数ｇを計算する種数ｇ計算部と、ＣＰ
Ｕビット幅Ｎ以下の素数を拡大次数ｎとして選択する拡
大次数ｎ選択部と、種数ｇから次数を決定して超楕円曲
線Ｃを順次生成するとともに、選択された拡大次数ｎに
基づく有限体Ｆq と上記超楕円曲線Ｃとからヤコビ多様
体Ｊ（Ｃ，Ｆq ）の要素数＃Ｊ（Ｃ，Ｆq ）を計算し、
最大の素因数を求め、最大の素因数が暗号の安全性の目
安となる目安整数Ｋ以上となるような超楕円曲線Ｃを選
択する超楕円曲線Ｃ決定部とを備えたことを特徴とす
る。
【００１３】上記種数ｇ計算部は、更に、暗号の安全性
の目安となる目安整数Ｋを入力し、ＣＰＵビット幅Ｎと
目安整数Ｋから種数ｇを計算することを特徴とする。
の目安となる目安整数Ｋを入力し、ＣＰＵビット幅Ｎと
目安整数Ｋから種数ｇを計算することを特徴とする。
【００１４】上記種数ｇ計算部は、超楕円曲線Ｃ決定部
が目安整数Ｋより大きな値を持つ最大の素因数を求めら
れないとき、種数ｇの値を大きくすることを特徴とす
る。
が目安整数Ｋより大きな値を持つ最大の素因数を求めら
れないとき、種数ｇの値を大きくすることを特徴とす
る。
【００１５】上記ヤコビ多様体Ｊ（Ｃ，Ｆq ）の要素数
＃Ｊ（Ｃ，Ｆq ）が大きな素数で割り切れるように上記
超楕円曲線Ｃと上記有限体Ｆq をとり、上記ヤコビ多様
体Ｊ（Ｃ，Ｆq ）における演算が、多倍長精度演算を必
要としない通常の整数演算で行うことができることを特
徴とするとともに、上記ヤコビ多様体Ｊ（Ｃ，Ｆq ）上
定義される離散対数問題の困難さを安全性の根拠に持つ
ことを特徴とする。
＃Ｊ（Ｃ，Ｆq ）が大きな素数で割り切れるように上記
超楕円曲線Ｃと上記有限体Ｆq をとり、上記ヤコビ多様
体Ｊ（Ｃ，Ｆq ）における演算が、多倍長精度演算を必
要としない通常の整数演算で行うことができることを特
徴とするとともに、上記ヤコビ多様体Ｊ（Ｃ，Ｆq ）上
定義される離散対数問題の困難さを安全性の根拠に持つ
ことを特徴とする。
【００１６】上記種数ｇは、６以上であることを特徴と
する。
する。
【００１７】上記有限体Ｆq の要素の数ｑは、２32以下
であることを特徴とする。
であることを特徴とする。
【００１８】上記有限体Ｆq の要素の数ｑは、２16以下
であることを特徴とする。
であることを特徴とする。
【００１９】上記超楕円曲線Ｃは、ｖ2 ＋ｖ＝ｕ13＋ｕ
11＋ｕ7 ＋ｕ3 ＋１であり、上記有限体Ｆq は、Ｆ2 29
であることを特徴とする。
11＋ｕ7 ＋ｕ3 ＋１であり、上記有限体Ｆq は、Ｆ2 29
であることを特徴とする。
【００２０】上記超楕円曲線Ｃは、ｖ2 ＋ｖ＝ｕ13＋ｕ
11＋ｕ9 ＋ｕ5 ＋１であり、上記有限体Ｆq は、Ｆ2 29
であることを特徴とする。
11＋ｕ9 ＋ｕ5 ＋１であり、上記有限体Ｆq は、Ｆ2 29
であることを特徴とする。
【００２１】上記超楕円曲線Ｃは、ｖ2 ＋ｖ＝ｕ31であ
り、上記有限体Ｆq は、Ｆ2 13 であることを特徴とす
る。
り、上記有限体Ｆq は、Ｆ2 13 であることを特徴とす
る。
【００２２】この発明に係る暗号化方法は、ＣＰＵビッ
ト幅Ｎをメモリから取得する工程と、ヤコビ多様体Ｊの
目安整数Ｋをメモリから取得する工程と、ＣＰＵビット
幅Ｎと目安整数Ｋから種数ｇを計算する工程と、ＣＰＵ
ビット幅Ｎから素数を拡大次数として選択する工程と、
種数ｇから次数を計算し、計算した次数に基づく超楕円
曲線Ｃを生成し、選択した拡大次数に基づく有限体Ｆq
と生成した超楕円曲線Ｃとから要素数＃Ｊを計算し、最
大の素因数を検出し、メモリに記憶する工程と、メモリ
に記憶された最大の素因数が目安整数Ｋより大きい場合
に、メモリに記憶された最大の素因数を生成した超楕円
曲線Ｃを暗号に用い入る超楕円曲線Ｃとして決定する工
程とを備えたことを特徴とする。
ト幅Ｎをメモリから取得する工程と、ヤコビ多様体Ｊの
目安整数Ｋをメモリから取得する工程と、ＣＰＵビット
幅Ｎと目安整数Ｋから種数ｇを計算する工程と、ＣＰＵ
ビット幅Ｎから素数を拡大次数として選択する工程と、
種数ｇから次数を計算し、計算した次数に基づく超楕円
曲線Ｃを生成し、選択した拡大次数に基づく有限体Ｆq
と生成した超楕円曲線Ｃとから要素数＃Ｊを計算し、最
大の素因数を検出し、メモリに記憶する工程と、メモリ
に記憶された最大の素因数が目安整数Ｋより大きい場合
に、メモリに記憶された最大の素因数を生成した超楕円
曲線Ｃを暗号に用い入る超楕円曲線Ｃとして決定する工
程とを備えたことを特徴とする。
【００２３】
【発明の実施の形態】実施の形態１．本発明による暗号
化方法の一実施の形態を図１，図２，図３，図４に基づ
いて説明する。図１は、本実施の形態による暗号化方法
における鍵生成の方法を説明したフローチャートであ
る。図において、Ｓ１０１は本発明の特徴となる超楕円
曲線Ｃと有限体Ｆq とヤコビ多様体Ｊの要素Ｄを選択す
るステップ、Ｓ１０２は整数ｘを選択し、整数ｘを秘密
鍵とするステップ、Ｓ１０３はヤコビ多様体Ｊ上でＹ＝
ｘＤを計算し、Ｙを公開鍵とするステップである。
化方法の一実施の形態を図１，図２，図３，図４に基づ
いて説明する。図１は、本実施の形態による暗号化方法
における鍵生成の方法を説明したフローチャートであ
る。図において、Ｓ１０１は本発明の特徴となる超楕円
曲線Ｃと有限体Ｆq とヤコビ多様体Ｊの要素Ｄを選択す
るステップ、Ｓ１０２は整数ｘを選択し、整数ｘを秘密
鍵とするステップ、Ｓ１０３はヤコビ多様体Ｊ上でＹ＝
ｘＤを計算し、Ｙを公開鍵とするステップである。
【００２４】図２は、本実施の形態による暗号化方法を
説明したフローチャートである。図において、Ｓ２０１
はデータｍと整数ｒを選択するステップで、データｍは
平文ｍとも呼ばれる。Ｓ２０２はヤコビ多様体Ｊ上で、
Ｃ1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍを計算するステップ、Ｓ２
０３はＣ1 とＣ2 の組（Ｃ1 ，Ｃ2 ）を平文ｍを暗号化
した結果である暗号文とするステップである。
説明したフローチャートである。図において、Ｓ２０１
はデータｍと整数ｒを選択するステップで、データｍは
平文ｍとも呼ばれる。Ｓ２０２はヤコビ多様体Ｊ上で、
Ｃ1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍを計算するステップ、Ｓ２
０３はＣ1 とＣ2 の組（Ｃ1 ，Ｃ2 ）を平文ｍを暗号化
した結果である暗号文とするステップである。
【００２５】図３は、本実施の形態による復号化方法を
説明したフローチャートである。図において、Ｓ３０１
は暗号文（Ｃ1 ，Ｃ2 ）と秘密鍵ｘとから、ヤコビ多様
体Ｊ上でｍ＝Ｃ2 −ｘＣ1 を計算するステップで、Ｓ３
０２は計算されたｍを平文とするステップである。
説明したフローチャートである。図において、Ｓ３０１
は暗号文（Ｃ1 ，Ｃ2 ）と秘密鍵ｘとから、ヤコビ多様
体Ｊ上でｍ＝Ｃ2 −ｘＣ1 を計算するステップで、Ｓ３
０２は計算されたｍを平文とするステップである。
【００２６】図４は、本実施の形態による暗号化方法を
用いた公開鍵暗号通信を説明した図である。図におい
て、７０１はデータ受信装置、７０２は整数ｘ生成手
段、７０３はＹ＝ｘＤ計算手段、７０４は公開鍵Ｙ出力
手段、７０５は秘密鍵ｘ記憶手段、７０６は暗号文入力
手段、７０７はデータｍ＝Ｃ2 −ｘＣ1 計算手段、７０
８はデータ送信装置、７０９はデータ入力手段、７１０
は公開鍵入力手段、７１１は整数ｒ生成手段、７１２は
Ｃ1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍを計算する計算手段、７１
３は暗号文（Ｃ1 ，Ｃ2 ）生成手段、７１４は暗号文出
力手段、７１５は暗号処理を管理する暗号管理装置、７
１６は超楕円曲線及び有限体及びヤコビ多様体の要素Ｄ
を生成する生成手段、７１７は公開鍵記憶手段である。
用いた公開鍵暗号通信を説明した図である。図におい
て、７０１はデータ受信装置、７０２は整数ｘ生成手
段、７０３はＹ＝ｘＤ計算手段、７０４は公開鍵Ｙ出力
手段、７０５は秘密鍵ｘ記憶手段、７０６は暗号文入力
手段、７０７はデータｍ＝Ｃ2 −ｘＣ1 計算手段、７０
８はデータ送信装置、７０９はデータ入力手段、７１０
は公開鍵入力手段、７１１は整数ｒ生成手段、７１２は
Ｃ1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍを計算する計算手段、７１
３は暗号文（Ｃ1 ，Ｃ2 ）生成手段、７１４は暗号文出
力手段、７１５は暗号処理を管理する暗号管理装置、７
１６は超楕円曲線及び有限体及びヤコビ多様体の要素Ｄ
を生成する生成手段、７１７は公開鍵記憶手段である。
【００２７】次に、動作を説明する。まず、暗号鍵生成
方法を説明する。まず、Ｓ１０１において、超楕円曲線
Ｃと有限体Ｆq とヤコビ多様体Ｊ（Ｃ，Ｆq ）の要素Ｄ
を選択する。超楕円曲線Ｃは、ｖ2 ＋ｈ（ｕ）ｖ＝ｆ
（ｕ）と表される方程式で、曲線の種数をｇとすると、
ｆ（ｕ）は次数２ｇ＋１のモニック多項式、ｈ（ｕ）は
次数が高々ｇの多項式である。ｇは、超楕円曲線Ｃの性
質を特徴付けるパラメータで種数と呼ばれる。超楕円曲
線Ｃと有限体Ｆq を決めると、それに付随するヤコビ多
様体Ｊ（Ｃ，Ｆq ）が構成される。ヤコビ多様体Ｊの要
素において、加法を定義することができ、この加法に関
してヤコビ多様体は群をなす。ヤコビ多様体及び加法の
演算方法に関しては、前述の文献、Ｋｏｂｌｉｔｚ著、
“Ｈｙｐｅｒｅｌｌｉｐｔｉｃ Ｃｒｙｐｔｏｓｙｓｔ
ｅｍｓ”，Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇ
ｙ，（１９８８）に詳しく記載されている。有限体Ｆq
の要素は、ｑ＝２n の場合、ｎビットの整数として計算
機上で表現される。ｎが計算機のＣＰＵのレジスタの大
きさを超える場合、有限体上の演算のために、多倍長演
算と呼ばれる技術が必要になり、演算が遅くなる。従っ
て、多倍長演算を必要とせず、通常の整数演算だけです
むように、有限体Ｆq を選択する。また、暗号通信の安
全性のために、ヤコビ多様体Ｊの要素の数＃Ｊが大きな
素数で割り切れるように、ヤコビ多様体Ｊを構成する必
要がある。つまり、この条件を満たすように、超楕円曲
線Ｃと有限体Ｆq を選択しなければならない。超楕円曲
線Ｃと有限体Ｆq の選択については、後述する。次に、
Ｓ１０２において、整数ｘを選択する。この整数ｘは、
公開鍵暗号通信における秘密鍵として使用され、公開鍵
暗号通信の利用者各自に秘密に保持される。次に、Ｓ１
０３において、ヤコビ多様体Ｊ上で、Ｙ＝ｘＤを計算す
る。計算されたＹは、公開鍵暗号通信において公開鍵と
して使用され、公開鍵Ｙは秘密に保持する必要はなく、
一般に公開される。
方法を説明する。まず、Ｓ１０１において、超楕円曲線
Ｃと有限体Ｆq とヤコビ多様体Ｊ（Ｃ，Ｆq ）の要素Ｄ
を選択する。超楕円曲線Ｃは、ｖ2 ＋ｈ（ｕ）ｖ＝ｆ
（ｕ）と表される方程式で、曲線の種数をｇとすると、
ｆ（ｕ）は次数２ｇ＋１のモニック多項式、ｈ（ｕ）は
次数が高々ｇの多項式である。ｇは、超楕円曲線Ｃの性
質を特徴付けるパラメータで種数と呼ばれる。超楕円曲
線Ｃと有限体Ｆq を決めると、それに付随するヤコビ多
様体Ｊ（Ｃ，Ｆq ）が構成される。ヤコビ多様体Ｊの要
素において、加法を定義することができ、この加法に関
してヤコビ多様体は群をなす。ヤコビ多様体及び加法の
演算方法に関しては、前述の文献、Ｋｏｂｌｉｔｚ著、
“Ｈｙｐｅｒｅｌｌｉｐｔｉｃ Ｃｒｙｐｔｏｓｙｓｔ
ｅｍｓ”，Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇ
ｙ，（１９８８）に詳しく記載されている。有限体Ｆq
の要素は、ｑ＝２n の場合、ｎビットの整数として計算
機上で表現される。ｎが計算機のＣＰＵのレジスタの大
きさを超える場合、有限体上の演算のために、多倍長演
算と呼ばれる技術が必要になり、演算が遅くなる。従っ
て、多倍長演算を必要とせず、通常の整数演算だけです
むように、有限体Ｆq を選択する。また、暗号通信の安
全性のために、ヤコビ多様体Ｊの要素の数＃Ｊが大きな
素数で割り切れるように、ヤコビ多様体Ｊを構成する必
要がある。つまり、この条件を満たすように、超楕円曲
線Ｃと有限体Ｆq を選択しなければならない。超楕円曲
線Ｃと有限体Ｆq の選択については、後述する。次に、
Ｓ１０２において、整数ｘを選択する。この整数ｘは、
公開鍵暗号通信における秘密鍵として使用され、公開鍵
暗号通信の利用者各自に秘密に保持される。次に、Ｓ１
０３において、ヤコビ多様体Ｊ上で、Ｙ＝ｘＤを計算す
る。計算されたＹは、公開鍵暗号通信において公開鍵と
して使用され、公開鍵Ｙは秘密に保持する必要はなく、
一般に公開される。
【００２８】次に、データの暗号化方法を説明する。ま
ず、Ｓ２０１において、暗号化したいデータｍと整数ｒ
を選択する。次に、Ｓ２０２において、Ｓ１０１におい
て選択されたヤコビ多様体Ｊ上で、Ｊの要素Ｄと公開鍵
Ｙを用いて、Ｃ1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍを計算する。
Ｓ２０３において、Ｃ1 とＣ2 の組（Ｃ1 ，Ｃ2 ）を暗
号文とした生成する。このように、暗号文は公開鍵Ｙを
用いて生成される。
ず、Ｓ２０１において、暗号化したいデータｍと整数ｒ
を選択する。次に、Ｓ２０２において、Ｓ１０１におい
て選択されたヤコビ多様体Ｊ上で、Ｊの要素Ｄと公開鍵
Ｙを用いて、Ｃ1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍを計算する。
Ｓ２０３において、Ｃ1 とＣ2 の組（Ｃ1 ，Ｃ2 ）を暗
号文とした生成する。このように、暗号文は公開鍵Ｙを
用いて生成される。
【００２９】次に、データの復号化方法を説明する。ま
ず、Ｓ３０１において、暗号文（Ｃ1 ，Ｃ2 ）と、秘密
に保持された秘密鍵ｘとから、Ｓ１０１において、生成
されたヤコビ多様体Ｊ上でｍ＝Ｃ2 −ｘＣ1を計算す
る。Ｓ３０２において、これを平文ｍとする。
ず、Ｓ３０１において、暗号文（Ｃ1 ，Ｃ2 ）と、秘密
に保持された秘密鍵ｘとから、Ｓ１０１において、生成
されたヤコビ多様体Ｊ上でｍ＝Ｃ2 −ｘＣ1を計算す
る。Ｓ３０２において、これを平文ｍとする。
【００３０】次に、以上で説明した、鍵生成方法、暗号
化方法、復号化方法を用いて実際に公開鍵暗号通信を行
う方法を図４に基づいて説明する。データ送信装置７０
８からデータ受信装置７０１へデータが送信される。ま
た、暗号管理装置７１５では暗号通信に使用されるシス
テム全体の共通パラメータである超楕円曲線Ｃ及び有限
体Ｆq 及びヤコビ多様体Ｊの要素Ｄが生成され、更に、
データ暗号化に使用される公開鍵Ｙの管理が行われる。
公開鍵Ｙは、システムの利用者全員が利用できるように
公開される。但し、秘密鍵ｘは、利用者各自が秘密に保
持しておかなくてはならない。
化方法、復号化方法を用いて実際に公開鍵暗号通信を行
う方法を図４に基づいて説明する。データ送信装置７０
８からデータ受信装置７０１へデータが送信される。ま
た、暗号管理装置７１５では暗号通信に使用されるシス
テム全体の共通パラメータである超楕円曲線Ｃ及び有限
体Ｆq 及びヤコビ多様体Ｊの要素Ｄが生成され、更に、
データ暗号化に使用される公開鍵Ｙの管理が行われる。
公開鍵Ｙは、システムの利用者全員が利用できるように
公開される。但し、秘密鍵ｘは、利用者各自が秘密に保
持しておかなくてはならない。
【００３１】まず、暗号管理装置７１５でシステム全体
のパラメータを生成する。生成手段７１６において、超
楕円曲線Ｃと有限体Ｆq とヤコビ多様体ＪとＪの要素Ｄ
を生成する。これらのパラメータは、前述のように、ヤ
コビ多様体Ｊの要素の数が大きな素数で割り切れるよう
に設定する。
のパラメータを生成する。生成手段７１６において、超
楕円曲線Ｃと有限体Ｆq とヤコビ多様体ＪとＪの要素Ｄ
を生成する。これらのパラメータは、前述のように、ヤ
コビ多様体Ｊの要素の数が大きな素数で割り切れるよう
に設定する。
【００３２】図５は、生成手段７１６の構成図である。
生成手段７１６は、メモリ１０と回路部２０から構成さ
れている。メモリ１０は、ＣＰＵビット幅Ｎレジスタ１
１と目安整数Ｋレジスタ１２と最大素因数レジスタ１３
から構成されている。回路部２０は、超楕円曲線Ｃ生成
部３０とヤコビ多様体Ｊの要素Ｄ生成部２５から構成さ
れている。超楕円曲線Ｃ生成部３０は、種数ｇ計算部２
１と拡大次数ｎ選択部２２と超楕円曲線Ｃ決定部２３と
から構成されている。
生成手段７１６は、メモリ１０と回路部２０から構成さ
れている。メモリ１０は、ＣＰＵビット幅Ｎレジスタ１
１と目安整数Ｋレジスタ１２と最大素因数レジスタ１３
から構成されている。回路部２０は、超楕円曲線Ｃ生成
部３０とヤコビ多様体Ｊの要素Ｄ生成部２５から構成さ
れている。超楕円曲線Ｃ生成部３０は、種数ｇ計算部２
１と拡大次数ｎ選択部２２と超楕円曲線Ｃ決定部２３と
から構成されている。
【００３３】ＣＰＵビット幅Ｎレジスタ１１は、実際に
暗号演算処理を行うデータ送信装置７０８とデータ受信
装置７０１のＣＰＵビット幅Ｎを記憶するレジスタであ
る。目安整数Ｋレジスタ１２は、安全性の目安となるヤ
コビ多様体Ｊの要素数＃Ｊの最大素因数の大きさを記憶
するレジスタである。最大素因数レジスタ１３は、最大
素因数を記憶するレジスタである。ＣＰＵビット幅Ｎレ
ジスタ１１に記憶されるＣＰＵビット幅Ｎは、予めＮ＝
３２という値が設定されているものとする。目安整数Ｋ
レジスタ１２に記憶される整数も予めＫ＝２160 という
値が設定されているものとする。
暗号演算処理を行うデータ送信装置７０８とデータ受信
装置７０１のＣＰＵビット幅Ｎを記憶するレジスタであ
る。目安整数Ｋレジスタ１２は、安全性の目安となるヤ
コビ多様体Ｊの要素数＃Ｊの最大素因数の大きさを記憶
するレジスタである。最大素因数レジスタ１３は、最大
素因数を記憶するレジスタである。ＣＰＵビット幅Ｎレ
ジスタ１１に記憶されるＣＰＵビット幅Ｎは、予めＮ＝
３２という値が設定されているものとする。目安整数Ｋ
レジスタ１２に記憶される整数も予めＫ＝２160 という
値が設定されているものとする。
【００３４】まず、回路部２０の動作の概略を説明す
る。安全な暗号通信を行うためのヤコビ多様体Ｊ（Ｃ，
Ｆq ）は、ヤコビ多様体の要素数＃Ｊを素因数分解した
際の最大素因数の大きさが、大きくなければならない。
本実施の形態では、２160 以上であればよいとしてい
る。ヤコビ多様体は、超楕円曲線Ｃの方程式と、有限体
Ｆq を決めれば一意に決まり、要素数＃Ｊも一意に決ま
る。つまり、超楕円曲線Ｃと有限体Ｆq を適切に（ヤコ
ビ多様体の要素数＃Ｊの最大素因数が大きくなるよう
に）決めることが必要である。本実施の形態では、ｑは
２のべき乗２n に設定し、かつ、ｎをＣＰＵビット幅以
下にとることがＦq を決める上での制約条件である（な
お、Ｆ2 nのｎのことを数学では“拡大次数”と呼ぶ）。
ヤコビ多様体の要素数＃Ｊは、だいたいｑg （＝２ng）
の大きさとなる。つまり、有限体Ｆ2 nの拡大次数ｎと、
超楕円曲線Ｃの種数ｇ（超楕円曲線の次数は２ｇ＋１と
なる）を決めれば、ヤコビ多様体の要素数＃Ｊの大きさ
はだいたい決まる。ここで重要なのは、ヤコビ多様体の
要素数＃Ｊの大きさがだいたい決まる（だいたい２ngに
なる）ということで、正確なヤコビ多様体の要素数＃Ｊ
の値は、２ng前後の値をとるということである。結果と
して、拡大次数ｎと種数ｇが同じでも超楕円曲線Ｃの方
程式を変えると、ヤコビ多様体の要素数＃Ｊの大きさは
だいたい同じであっても、ヤコビ多様体の要素数＃Ｊの
最大素因数の大きさは全く異なる。例えば、仮に、２ng
＝１００になったとすると、超楕円曲線Ｃのとり方によ
ってヤコビ多様体の要素数＃Ｊは、１０２になったり、
９９になったりする。１０２＝２×５１，９９＝３×３
×１１であるから、ヤコビ多様体の要素数＃Ｊの最大素
因数は、それぞれ５１，１１となり、暗号として好まし
いのはヤコビ多様体の要素数＃Ｊ＝１０２になる超楕円
曲線Ｃの方ということになる。従って、ヤコビ多様体Ｊ
の生成手順は、まず、種数ｇと拡大次数ｎを決めておい
て、超楕円曲線Ｃの方程式をいろいろ変えてヤコビ多様
体の要素数＃Ｊとその最大素因数を計算し、最大素因数
が安全性を決めるパラメータ（目安整数Ｋ、Ｋ＝
２160 ）よりも大きくなる超楕円曲線Ｃが得られたら終
了とする。種数ｇと拡大次数ｎは、ヤコビ多様体の要素
数＃Ｊの大きさはだいたい２ng前後なので、２ng＞Ｋ
（＝２160 ）になるようにしておけばよい。なぜなら、
ヤコビ多様体の要素数＃Ｊの最大素因数の大きさは、必
ずヤコビ多様体の要素数＃Ｊより小さくなり、ヤコビ多
様体の要素数＃Ｊがヤコビ多様体の要素数＃Ｊに近い大
きさの最大素因数を持つようなヤコビ多様体Ｊを得るこ
とを期待するからである。拡大次数ｎは、ＣＰＵのレジ
スタ幅以下にする。種数ｇは、小さい方が暗号化速度が
速いので、２ng＞Ｋ（＝２160 ）を満たす最小の整数ｇ
を選ぶ。
る。安全な暗号通信を行うためのヤコビ多様体Ｊ（Ｃ，
Ｆq ）は、ヤコビ多様体の要素数＃Ｊを素因数分解した
際の最大素因数の大きさが、大きくなければならない。
本実施の形態では、２160 以上であればよいとしてい
る。ヤコビ多様体は、超楕円曲線Ｃの方程式と、有限体
Ｆq を決めれば一意に決まり、要素数＃Ｊも一意に決ま
る。つまり、超楕円曲線Ｃと有限体Ｆq を適切に（ヤコ
ビ多様体の要素数＃Ｊの最大素因数が大きくなるよう
に）決めることが必要である。本実施の形態では、ｑは
２のべき乗２n に設定し、かつ、ｎをＣＰＵビット幅以
下にとることがＦq を決める上での制約条件である（な
お、Ｆ2 nのｎのことを数学では“拡大次数”と呼ぶ）。
ヤコビ多様体の要素数＃Ｊは、だいたいｑg （＝２ng）
の大きさとなる。つまり、有限体Ｆ2 nの拡大次数ｎと、
超楕円曲線Ｃの種数ｇ（超楕円曲線の次数は２ｇ＋１と
なる）を決めれば、ヤコビ多様体の要素数＃Ｊの大きさ
はだいたい決まる。ここで重要なのは、ヤコビ多様体の
要素数＃Ｊの大きさがだいたい決まる（だいたい２ngに
なる）ということで、正確なヤコビ多様体の要素数＃Ｊ
の値は、２ng前後の値をとるということである。結果と
して、拡大次数ｎと種数ｇが同じでも超楕円曲線Ｃの方
程式を変えると、ヤコビ多様体の要素数＃Ｊの大きさは
だいたい同じであっても、ヤコビ多様体の要素数＃Ｊの
最大素因数の大きさは全く異なる。例えば、仮に、２ng
＝１００になったとすると、超楕円曲線Ｃのとり方によ
ってヤコビ多様体の要素数＃Ｊは、１０２になったり、
９９になったりする。１０２＝２×５１，９９＝３×３
×１１であるから、ヤコビ多様体の要素数＃Ｊの最大素
因数は、それぞれ５１，１１となり、暗号として好まし
いのはヤコビ多様体の要素数＃Ｊ＝１０２になる超楕円
曲線Ｃの方ということになる。従って、ヤコビ多様体Ｊ
の生成手順は、まず、種数ｇと拡大次数ｎを決めておい
て、超楕円曲線Ｃの方程式をいろいろ変えてヤコビ多様
体の要素数＃Ｊとその最大素因数を計算し、最大素因数
が安全性を決めるパラメータ（目安整数Ｋ、Ｋ＝
２160 ）よりも大きくなる超楕円曲線Ｃが得られたら終
了とする。種数ｇと拡大次数ｎは、ヤコビ多様体の要素
数＃Ｊの大きさはだいたい２ng前後なので、２ng＞Ｋ
（＝２160 ）になるようにしておけばよい。なぜなら、
ヤコビ多様体の要素数＃Ｊの最大素因数の大きさは、必
ずヤコビ多様体の要素数＃Ｊより小さくなり、ヤコビ多
様体の要素数＃Ｊがヤコビ多様体の要素数＃Ｊに近い大
きさの最大素因数を持つようなヤコビ多様体Ｊを得るこ
とを期待するからである。拡大次数ｎは、ＣＰＵのレジ
スタ幅以下にする。種数ｇは、小さい方が暗号化速度が
速いので、２ng＞Ｋ（＝２160 ）を満たす最小の整数ｇ
を選ぶ。
【００３５】次に、回路部２０の動作を図５，図６を用
いて詳細に説明する。図６は、図１に示したＳ１０１の
詳細なフローチャート図である。種数ｇ計算部２１は、
Ｓ１１において、ＣＰＵビット幅Ｎレジスタ１１からＣ
ＰＵビット幅Ｎを取得する。例えば、ここでは、ＣＰＵ
ビット幅Ｎ＝３２が取得されたものとする。次に、種数
ｇ計算部２１は、目安整数Ｋレジスタ１２から目安整数
Ｋを取得する。ここでは、目安整数Ｋ＝２160 とする。
次に、種数ｇ計算部２１は、Ｓ１３において、種数ｇを
計算する。種数ｇは、Ｋ＜２N(g)を満足する最小の整数
である種数ｇを選択する。この例においては、２160 ＜
（２32）g ＝２32g であるから、ｇ＞１６０／３２＝５
となり、ｇ＝６となる。即ち、種数ｇ＝６が求められ
る。種数ｇ計算部２１は、種数ｇ＝６を超楕円曲線Ｃ決
定部２３に出力する。次に、拡大次数ｎ選択部２２は、
Ｓ１４において、ＣＰＵビット幅Ｎ以下の最大素数を選
択する。この例においては、Ｎが３２であるから、３
１，２９，２３，１９，１７，・・・という素数の中で
最大素数３１が選択される。この素数３１が拡大次数ｎ
となる。また、こうして有限体Ｆq ＝Ｆ2 nが決定する。
超楕円曲線Ｃ決定部２３は、Ｓ１５において、種数ｇか
ら次数を計算する。次数は、２ｇ＋１である。超楕円曲
線Ｃ決定部２３は、この次数を持つ超楕円曲線Ｃを１つ
生成する。超楕円曲線Ｃ決定部２３は、超楕円曲線の方
程式を満足し、かつ、種数ｇから計算された次数を満足
する超楕円曲線Ｃを生成する。この際、いろいろな超楕
円曲線Ｃが考えられるが、とりあえず、ある１つの超楕
円曲線Ｃを生成するものとする。次に、超楕円曲線Ｃ決
定部２３は、超楕円曲線Ｃと有限体Ｆ2 nとから要素数＃
Ｊを計算する。この要素数＃Ｊの計算は、既に知られて
いる計算方法を用いることにより、ある１つの要素数＃
Ｊが計算される。次に、超楕円曲線Ｃ決定部２３は、要
素数＃Ｊを素因数分解し、素因数分解された素因数の
内、最大の素因数を最大素因数レジスタ１３に記憶す
る。この時点で、素数３１を用いた場合の要素数＃Ｊの
最大の素因数が最大素因数レジスタ１３に記憶される。
もし、この最大素因数の値が目安整数Ｋよりも大きな値
なら、生成した超楕円曲線Ｃを求めたかった超楕円曲線
Ｃとして決定する。もし、この最大素因数の値が目安整
数Ｋよりも小さな値なら、Ｓ１５に戻り別な超楕円曲線
Ｃを生成して、Ｓ１６，Ｓ１７を繰り返す。最大素因数
レジスタ１３は、これらの繰り返し処理の中で生じる最
大素因数の最大の値を保持するものとする。もし、超楕
円曲線Ｃを変えても、最大素因数の値が目安整数Ｋより
も大きな値をとらない場合は、Ｓ１３に戻り種数ｇを大
きくして（例えば、ｇ＝ｇ＋１として）Ｓ１４からＳ１
７を実行する。もし、それでも、この最大素因数の値が
目安整数Ｋよりも大きな値をとらない場合は、Ｓ１３に
おいて、更に大きな値の種数ｇを生成してＳ１４からＳ
１７を繰り返す。最大素因数レジスタ１３は、これらの
繰り返し処理の中で生じる最大素因数の最大の値を保持
するものとする。もし、これらの繰り返し処理により最
大素因数の値が目安整数Ｋよりも大きな値をとらない場
合は、超楕円曲線Ｃの生成の失敗を報告する。又は、安
全性は満たさないという警告を発しながら、最大素因数
レジスタ１３に記憶された最大素因数の中の最大の値を
生成した超楕円曲線Ｃを取り敢えず選択する。超楕円曲
線Ｃが決定したら、次に、ヤコビ多様体Ｊの要素Ｄ生成
部２５は、Ｓ１８において、最大素因数レジスタ１３に
記憶された最大素因数を位数として持つ、ヤコビ多様体
Ｊの要素Ｄを選択して出力する。また、有限体Ｆq と超
楕円曲線Ｃを出力する。以上が、生成手段７１６の動作
である。
いて詳細に説明する。図６は、図１に示したＳ１０１の
詳細なフローチャート図である。種数ｇ計算部２１は、
Ｓ１１において、ＣＰＵビット幅Ｎレジスタ１１からＣ
ＰＵビット幅Ｎを取得する。例えば、ここでは、ＣＰＵ
ビット幅Ｎ＝３２が取得されたものとする。次に、種数
ｇ計算部２１は、目安整数Ｋレジスタ１２から目安整数
Ｋを取得する。ここでは、目安整数Ｋ＝２160 とする。
次に、種数ｇ計算部２１は、Ｓ１３において、種数ｇを
計算する。種数ｇは、Ｋ＜２N(g)を満足する最小の整数
である種数ｇを選択する。この例においては、２160 ＜
（２32）g ＝２32g であるから、ｇ＞１６０／３２＝５
となり、ｇ＝６となる。即ち、種数ｇ＝６が求められ
る。種数ｇ計算部２１は、種数ｇ＝６を超楕円曲線Ｃ決
定部２３に出力する。次に、拡大次数ｎ選択部２２は、
Ｓ１４において、ＣＰＵビット幅Ｎ以下の最大素数を選
択する。この例においては、Ｎが３２であるから、３
１，２９，２３，１９，１７，・・・という素数の中で
最大素数３１が選択される。この素数３１が拡大次数ｎ
となる。また、こうして有限体Ｆq ＝Ｆ2 nが決定する。
超楕円曲線Ｃ決定部２３は、Ｓ１５において、種数ｇか
ら次数を計算する。次数は、２ｇ＋１である。超楕円曲
線Ｃ決定部２３は、この次数を持つ超楕円曲線Ｃを１つ
生成する。超楕円曲線Ｃ決定部２３は、超楕円曲線の方
程式を満足し、かつ、種数ｇから計算された次数を満足
する超楕円曲線Ｃを生成する。この際、いろいろな超楕
円曲線Ｃが考えられるが、とりあえず、ある１つの超楕
円曲線Ｃを生成するものとする。次に、超楕円曲線Ｃ決
定部２３は、超楕円曲線Ｃと有限体Ｆ2 nとから要素数＃
Ｊを計算する。この要素数＃Ｊの計算は、既に知られて
いる計算方法を用いることにより、ある１つの要素数＃
Ｊが計算される。次に、超楕円曲線Ｃ決定部２３は、要
素数＃Ｊを素因数分解し、素因数分解された素因数の
内、最大の素因数を最大素因数レジスタ１３に記憶す
る。この時点で、素数３１を用いた場合の要素数＃Ｊの
最大の素因数が最大素因数レジスタ１３に記憶される。
もし、この最大素因数の値が目安整数Ｋよりも大きな値
なら、生成した超楕円曲線Ｃを求めたかった超楕円曲線
Ｃとして決定する。もし、この最大素因数の値が目安整
数Ｋよりも小さな値なら、Ｓ１５に戻り別な超楕円曲線
Ｃを生成して、Ｓ１６，Ｓ１７を繰り返す。最大素因数
レジスタ１３は、これらの繰り返し処理の中で生じる最
大素因数の最大の値を保持するものとする。もし、超楕
円曲線Ｃを変えても、最大素因数の値が目安整数Ｋより
も大きな値をとらない場合は、Ｓ１３に戻り種数ｇを大
きくして（例えば、ｇ＝ｇ＋１として）Ｓ１４からＳ１
７を実行する。もし、それでも、この最大素因数の値が
目安整数Ｋよりも大きな値をとらない場合は、Ｓ１３に
おいて、更に大きな値の種数ｇを生成してＳ１４からＳ
１７を繰り返す。最大素因数レジスタ１３は、これらの
繰り返し処理の中で生じる最大素因数の最大の値を保持
するものとする。もし、これらの繰り返し処理により最
大素因数の値が目安整数Ｋよりも大きな値をとらない場
合は、超楕円曲線Ｃの生成の失敗を報告する。又は、安
全性は満たさないという警告を発しながら、最大素因数
レジスタ１３に記憶された最大素因数の中の最大の値を
生成した超楕円曲線Ｃを取り敢えず選択する。超楕円曲
線Ｃが決定したら、次に、ヤコビ多様体Ｊの要素Ｄ生成
部２５は、Ｓ１８において、最大素因数レジスタ１３に
記憶された最大素因数を位数として持つ、ヤコビ多様体
Ｊの要素Ｄを選択して出力する。また、有限体Ｆq と超
楕円曲線Ｃを出力する。以上が、生成手段７１６の動作
である。
【００３６】次に、データ受信装置７０１における整数
ｘ生成手段７０２で整数ｘが生成される。このｘが、デ
ータ復号の際に使用される秘密鍵ｘとなる。秘密鍵ｘ
は、秘密鍵ｘ記憶手段７０５において秘密に保持し、他
の暗号通信利用者に知られないようにしておく。次に、
７０３において、秘密鍵ｘに対応する公開鍵Ｙ＝ｘＤを
計算する。ヤコビ多様体の要素Ｄは、暗号管理装置７１
５から受け取ったものを使用する。計算された公開鍵Ｙ
は、公開鍵Ｙ出力手段７０４から暗号管理装置７１５へ
送信され、公開鍵Ｙを暗号管理装置７１５が管理してお
く。以上で、データ送信装置７０８がデータ受信装置７
０１へデータを送信するための前準備が終了する。
ｘ生成手段７０２で整数ｘが生成される。このｘが、デ
ータ復号の際に使用される秘密鍵ｘとなる。秘密鍵ｘ
は、秘密鍵ｘ記憶手段７０５において秘密に保持し、他
の暗号通信利用者に知られないようにしておく。次に、
７０３において、秘密鍵ｘに対応する公開鍵Ｙ＝ｘＤを
計算する。ヤコビ多様体の要素Ｄは、暗号管理装置７１
５から受け取ったものを使用する。計算された公開鍵Ｙ
は、公開鍵Ｙ出力手段７０４から暗号管理装置７１５へ
送信され、公開鍵Ｙを暗号管理装置７１５が管理してお
く。以上で、データ送信装置７０８がデータ受信装置７
０１へデータを送信するための前準備が終了する。
【００３７】次に、データ送信装置７０８でデータを暗
号化する処理を行う。まず、データ入力手段７０９に暗
号化したいデータｍが入力される。次に、公開鍵入力手
段７１０に、暗号管理装置７１５の公開鍵記憶手段７１
７から公開鍵Ｙを入力する。次に、整数ｒ生成手段７１
１において、整数ｒを生成する。次に、計算手段７１２
において、データｍの暗号化処理を行う。計算手段７１
２では、Ｃ1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍが計算される。計
算されたＣ1 とＣ2 の組を、暗号文（Ｃ1 ，Ｃ2 ）生成
手段７１３において（Ｃ1 ，Ｃ2 ）として暗号文とす
る。生成された暗号文を暗号文出力手段７１４からデー
タ受信装置７０１へ出力する。
号化する処理を行う。まず、データ入力手段７０９に暗
号化したいデータｍが入力される。次に、公開鍵入力手
段７１０に、暗号管理装置７１５の公開鍵記憶手段７１
７から公開鍵Ｙを入力する。次に、整数ｒ生成手段７１
１において、整数ｒを生成する。次に、計算手段７１２
において、データｍの暗号化処理を行う。計算手段７１
２では、Ｃ1 ＝ｒＤとＣ2 ＝ｒＹ＋ｍが計算される。計
算されたＣ1 とＣ2 の組を、暗号文（Ｃ1 ，Ｃ2 ）生成
手段７１３において（Ｃ1 ，Ｃ2 ）として暗号文とす
る。生成された暗号文を暗号文出力手段７１４からデー
タ受信装置７０１へ出力する。
【００３８】次に、データ送信装置７０８から送信され
た暗号文をデータ受信装置７０１で復号する処理を説明
する。まず、暗号文（Ｃ1 ，Ｃ2 ）が暗号文入力手段７
０６へ入力される。入力された暗号文（Ｃ1 ，Ｃ2 ）
は、予め保持されていた秘密鍵ｘを用いて、７０７にお
いて、ｍ＝Ｃ2 −ｘＣ1 を計算することにより、もとの
平文ｍに復号される。
た暗号文をデータ受信装置７０１で復号する処理を説明
する。まず、暗号文（Ｃ1 ，Ｃ2 ）が暗号文入力手段７
０６へ入力される。入力された暗号文（Ｃ1 ，Ｃ2 ）
は、予め保持されていた秘密鍵ｘを用いて、７０７にお
いて、ｍ＝Ｃ2 −ｘＣ1 を計算することにより、もとの
平文ｍに復号される。
【００３９】以上のように、データを公開鍵暗号通信に
よって送信すれば、秘密鍵ｘを知っているデータ受信者
のみが暗号文を平文ｍに復号できるため、安全な秘密通
信を行うことができる。また、超楕円曲線Ｃに付随する
ヤコビ多様体Ｊの群で構成される離散対数問題を解く難
しさに安全性の根拠をおいているので、安全な秘密通信
を行うことができ、かつ、有限体Ｆq 上の演算を多倍長
演算によらない通常の整数演算で行うことができるの
で、高速な暗号化復号化処理を行うことができる。
よって送信すれば、秘密鍵ｘを知っているデータ受信者
のみが暗号文を平文ｍに復号できるため、安全な秘密通
信を行うことができる。また、超楕円曲線Ｃに付随する
ヤコビ多様体Ｊの群で構成される離散対数問題を解く難
しさに安全性の根拠をおいているので、安全な秘密通信
を行うことができ、かつ、有限体Ｆq 上の演算を多倍長
演算によらない通常の整数演算で行うことができるの
で、高速な暗号化復号化処理を行うことができる。
【００４０】本実施の形態１では、公開鍵Ｙは管理装置
を介してデータ送信装置に送られたが、データ受信装置
から直接データ送信装置へ送ってもよい。
を介してデータ送信装置に送られたが、データ受信装置
から直接データ送信装置へ送ってもよい。
【００４１】暗号の安全性は、＃Ｊの最大素因数によっ
て決まる。また、有限体Ｆq の要素は、ｑ＝２n のとき
ｎビットの整数で表現することができる。もし、暗号の
安全性を一定値とするならば、即ち、ｑg を一定の値
（例えば、２160 ）とするならば、図７に示すように、
種数ｇが大きくなれば要素数ｑは小さな値となる。即
ち、ｎの値は小さくなり、結果として、ＣＰＵビット幅
を小さくすることができる。例えば、図７に示すよう
に、種数ｇ＝５とすれば、要素数ｑ＝２32となる。この
ように、有限体Ｆq の要素数ｑ＝２n をｎ≦３２とすれ
ば、有限体の要素を３２ビット以下の整数として計算機
上で表現でき、パーソナルコンピュータ等の３２ビット
ＣＰＵを持つ計算機では通常の整数演算だけで、暗号化
演算行うことができる。
て決まる。また、有限体Ｆq の要素は、ｑ＝２n のとき
ｎビットの整数で表現することができる。もし、暗号の
安全性を一定値とするならば、即ち、ｑg を一定の値
（例えば、２160 ）とするならば、図７に示すように、
種数ｇが大きくなれば要素数ｑは小さな値となる。即
ち、ｎの値は小さくなり、結果として、ＣＰＵビット幅
を小さくすることができる。例えば、図７に示すよう
に、種数ｇ＝５とすれば、要素数ｑ＝２32となる。この
ように、有限体Ｆq の要素数ｑ＝２n をｎ≦３２とすれ
ば、有限体の要素を３２ビット以下の整数として計算機
上で表現でき、パーソナルコンピュータ等の３２ビット
ＣＰＵを持つ計算機では通常の整数演算だけで、暗号化
演算行うことができる。
【００４２】また、図７に示すように、種数ｇ＝１０と
すれば、要素数ｑ＝２16となる。このように、有限体Ｆ
q の要素数ｑ＝２n をｎ≦１６とすれば、有限体の要素
を１６ビット以下の整数として計算機上で表現でき、Ｉ
Ｃカード等の１６ビットＣＰＵを持つ計算機では通常の
整数演算だけで、暗号化演算行うことができる。
すれば、要素数ｑ＝２16となる。このように、有限体Ｆ
q の要素数ｑ＝２n をｎ≦１６とすれば、有限体の要素
を１６ビット以下の整数として計算機上で表現でき、Ｉ
Ｃカード等の１６ビットＣＰＵを持つ計算機では通常の
整数演算だけで、暗号化演算行うことができる。
【００４３】この実施の形態の大きな特徴は、ある一定
の暗号の安全性を確保する場合に、即ち、ｑg を一定と
する場合に、種数ｇを大きくすれば、要素数ｑが小さく
て済むという超楕円曲線Ｃの特性に着目したものであ
る。種数ｇが大きくなればなるほど、要素数ｑは小さく
て済み、ビット幅が少ない演算で暗号化を行うことがで
きる。現在のＣＰＵビット幅Ｎは、１６ビット、３２ビ
ット、６４ビットのように１６の倍数、或いは、３２の
倍数で増加している。要素数ｑ＝２n のｎがこのＣＰＵ
ビット幅Ｎ（１６の倍数、或いは、３２の倍数）に限り
なく近い大きな値をとることにより、多倍長演算を全く
用いない通常の整数演算だけで暗号化演算を行うことが
できる。図７に示すように、種数ｇ＝５又は種数ｇ＝１
０を選択する場合に、３２ビット、或いは、１６ビット
のＣＰＵで多倍長演算を用いない通常の整数演算だけで
暗号化演算を行うことが可能となる。
の暗号の安全性を確保する場合に、即ち、ｑg を一定と
する場合に、種数ｇを大きくすれば、要素数ｑが小さく
て済むという超楕円曲線Ｃの特性に着目したものであ
る。種数ｇが大きくなればなるほど、要素数ｑは小さく
て済み、ビット幅が少ない演算で暗号化を行うことがで
きる。現在のＣＰＵビット幅Ｎは、１６ビット、３２ビ
ット、６４ビットのように１６の倍数、或いは、３２の
倍数で増加している。要素数ｑ＝２n のｎがこのＣＰＵ
ビット幅Ｎ（１６の倍数、或いは、３２の倍数）に限り
なく近い大きな値をとることにより、多倍長演算を全く
用いない通常の整数演算だけで暗号化演算を行うことが
できる。図７に示すように、種数ｇ＝５又は種数ｇ＝１
０を選択する場合に、３２ビット、或いは、１６ビット
のＣＰＵで多倍長演算を用いない通常の整数演算だけで
暗号化演算を行うことが可能となる。
【００４４】また、上記図６のＳ１５においては、超楕
円曲線Ｃを１つだけ選択したが、複数の超楕円曲線Ｃを
選択して、選択した複数の超楕円曲線Ｃに対して並列的
にＳ１５からＳ１７までの演算を行っても構わない。ま
た、上記図６のＳ１４において、最大の素数をしたが、
上位３つの素数を選択しても構わない。或いは、全ての
素数を用いても構わない。
円曲線Ｃを１つだけ選択したが、複数の超楕円曲線Ｃを
選択して、選択した複数の超楕円曲線Ｃに対して並列的
にＳ１５からＳ１７までの演算を行っても構わない。ま
た、上記図６のＳ１４において、最大の素数をしたが、
上位３つの素数を選択しても構わない。或いは、全ての
素数を用いても構わない。
【００４５】また、図５に示したＣＰＵビット幅Ｎレジ
スタ１１には、１つのＣＰＵビット幅を記憶するように
していたが、複数種類のデータ送信装置及びデータ受信
装置に対応して複数のＣＰＵビット幅を記憶できるよう
にしても構わない。同様に、目安整数Ｋレジスタ１２に
も暗号通信に要求される安全性に対応して、複数の目安
整数Ｋを記憶できるようにしても構わない。このよう
に、複数のＣＰＵビット幅と複数の要素数を記憶してお
くことにより、データ送信装置及びデータ受信装置が使
用しているＣＰＵビット幅にマッチした暗号演算を行う
ことができる。なお、データ送信装置及びデータ受信装
置のＣＰＵビット幅が異なる場合は、ＣＰＵビット幅の
最大値、最小値又は最大公約数のいずれかをＣＰＵビッ
ト幅Ｎレジスタ１１に設定すればよい。
スタ１１には、１つのＣＰＵビット幅を記憶するように
していたが、複数種類のデータ送信装置及びデータ受信
装置に対応して複数のＣＰＵビット幅を記憶できるよう
にしても構わない。同様に、目安整数Ｋレジスタ１２に
も暗号通信に要求される安全性に対応して、複数の目安
整数Ｋを記憶できるようにしても構わない。このよう
に、複数のＣＰＵビット幅と複数の要素数を記憶してお
くことにより、データ送信装置及びデータ受信装置が使
用しているＣＰＵビット幅にマッチした暗号演算を行う
ことができる。なお、データ送信装置及びデータ受信装
置のＣＰＵビット幅が異なる場合は、ＣＰＵビット幅の
最大値、最小値又は最大公約数のいずれかをＣＰＵビッ
ト幅Ｎレジスタ１１に設定すればよい。
【００４６】また、多倍長演算を用いない通常の整数演
算だけで暗号化演算を行う場合に限らず、多倍長演算の
回数を減少させるためにも本思想を利用することができ
る。例えば、１６ビットＣＰＵにおいて、ｑ＝２40の場
合の計算を行うと、３回の多倍長演算が必要となるが、
ｑ＝32以下ならば２回の多倍長演算で済む。従って、図
７に示す１６ビットＣＰＵに対して、最大素因数が小さ
くなってしまう等の理由によりｑ＝２16を選択できない
場合、２17≦ｑ≦２32の範囲で種数を選択すれば、２40
以上を選択するより多倍長演算が少なくて済む。
算だけで暗号化演算を行う場合に限らず、多倍長演算の
回数を減少させるためにも本思想を利用することができ
る。例えば、１６ビットＣＰＵにおいて、ｑ＝２40の場
合の計算を行うと、３回の多倍長演算が必要となるが、
ｑ＝32以下ならば２回の多倍長演算で済む。従って、図
７に示す１６ビットＣＰＵに対して、最大素因数が小さ
くなってしまう等の理由によりｑ＝２16を選択できない
場合、２17≦ｑ≦２32の範囲で種数を選択すれば、２40
以上を選択するより多倍長演算が少なくて済む。
【００４７】実施例１．ＣＰＵビット幅Ｎレジスタ１１
に記憶するＣＰＵビット幅Ｎを３２とし、目安整数Ｋレ
ジスタ１２に記憶する整数の大きさを２160 とし、超楕
円曲線Ｃが、種数６のｖ2 ＋ｖ＝ｕ13＋ｕ11＋ｕ7 ＋ｕ
3 ＋１という曲線で、有限体Ｆq がＦ2 2 9 である場合を
説明する。この場合、ヤコビ多様体Ｊ（Ｃ，Ｆ2 29 ）の
要素の数＃Ｊは、次の値となる。 ＃Ｊ＝２３９４２７３０９０２０６８２８３４０２７７
０９５５９２８５０４７７８９０１７４４４２６００１
８３５００９ また、＃Ｊを素因数分解すると、 ＃Ｊ＝２３×１０４０９８８３０００８９９２５３６５
３３７８６７６４９０６５４２５１６９６４１０６２０
０００７９７８３ となる。＃Ｊ（Ｃ，Ｆ2 29 ）の最大素因数は、１７０ビ
ットであり十分大きい。従って、このヤコビ多様体Ｊ
（Ｃ，Ｆ2 29 ）上の離散対数問題を解くことは困難で、
このヤコビ多様体を用いれば、安全な暗号通信を行うこ
とができる。また、有限体Ｆ2 29 の要素は、２９ビット
の整数として計算機上で表現でき、パーソナルコンピュ
ータ等の３２ビットＣＰＵを持つ計算機上では、多倍長
演算を用いない通常の整数演算だけで暗号化演算を行う
ことができるので、高速に暗号化復号化が行える。
に記憶するＣＰＵビット幅Ｎを３２とし、目安整数Ｋレ
ジスタ１２に記憶する整数の大きさを２160 とし、超楕
円曲線Ｃが、種数６のｖ2 ＋ｖ＝ｕ13＋ｕ11＋ｕ7 ＋ｕ
3 ＋１という曲線で、有限体Ｆq がＦ2 2 9 である場合を
説明する。この場合、ヤコビ多様体Ｊ（Ｃ，Ｆ2 29 ）の
要素の数＃Ｊは、次の値となる。 ＃Ｊ＝２３９４２７３０９０２０６８２８３４０２７７
０９５５９２８５０４７７８９０１７４４４２６００１
８３５００９ また、＃Ｊを素因数分解すると、 ＃Ｊ＝２３×１０４０９８８３０００８９９２５３６５
３３７８６７６４９０６５４２５１６９６４１０６２０
０００７９７８３ となる。＃Ｊ（Ｃ，Ｆ2 29 ）の最大素因数は、１７０ビ
ットであり十分大きい。従って、このヤコビ多様体Ｊ
（Ｃ，Ｆ2 29 ）上の離散対数問題を解くことは困難で、
このヤコビ多様体を用いれば、安全な暗号通信を行うこ
とができる。また、有限体Ｆ2 29 の要素は、２９ビット
の整数として計算機上で表現でき、パーソナルコンピュ
ータ等の３２ビットＣＰＵを持つ計算機上では、多倍長
演算を用いない通常の整数演算だけで暗号化演算を行う
ことができるので、高速に暗号化復号化が行える。
【００４８】実施例２．ＣＰＵビット幅Ｎレジスタ１１
に記憶するＣＰＵビット幅Ｎを３２とし、目安整数Ｋレ
ジスタ１２に記憶する整数の大きさを２160 とし、超楕
円曲線Ｃが、種数６のｖ2 ＋ｖ＝ｕ13＋ｕ11＋ｕ9 ＋ｕ
5 ＋１という曲線で、有限体Ｆq がＦ2 2 9 である場合を
説明する。この場合、ヤコビ多様体Ｊ（Ｃ，Ｆ2 29 ）の
要素の数＃Ｊは、次の値となる。 ＃Ｊ＝２３９４１４０６６７１３３７４６８２７４７０
２６６５０２５６５４８４９４７６０１８２４３６２０
４８３０７３ また、＃Ｊを素因数分解すると、 ＃Ｊ＝１３×１８４１６４６６６７０２５９５９０９８
０５４０５１１５５８１９６０３８０５８４７５５７２
０１５７５６２１ となる。＃Ｊ（Ｃ，Ｆ2 29 ）の最大素因数は、１７１ビ
ットであり十分大きい。従って、このヤコビ多様体Ｊ
（Ｃ，Ｆ2 29 ）上の離散対数問題を解くことは困難で、
このヤコビ多様体を用いれば、安全な暗号通信を行うこ
とができる。また、有限体Ｆ2 29 の要素は、２９ビット
の整数として計算機上で表現でき、パーソナルコンピュ
ータ等の３２ビットＣＰＵを持つ計算機上では、多倍長
演算を用いない通常の整数演算だけで暗号化演算を行う
ことができるので、高速に暗号化復号化が行える。
に記憶するＣＰＵビット幅Ｎを３２とし、目安整数Ｋレ
ジスタ１２に記憶する整数の大きさを２160 とし、超楕
円曲線Ｃが、種数６のｖ2 ＋ｖ＝ｕ13＋ｕ11＋ｕ9 ＋ｕ
5 ＋１という曲線で、有限体Ｆq がＦ2 2 9 である場合を
説明する。この場合、ヤコビ多様体Ｊ（Ｃ，Ｆ2 29 ）の
要素の数＃Ｊは、次の値となる。 ＃Ｊ＝２３９４１４０６６７１３３７４６８２７４７０
２６６５０２５６５４８４９４７６０１８２４３６２０
４８３０７３ また、＃Ｊを素因数分解すると、 ＃Ｊ＝１３×１８４１６４６６６７０２５９５９０９８
０５４０５１１５５８１９６０３８０５８４７５５７２
０１５７５６２１ となる。＃Ｊ（Ｃ，Ｆ2 29 ）の最大素因数は、１７１ビ
ットであり十分大きい。従って、このヤコビ多様体Ｊ
（Ｃ，Ｆ2 29 ）上の離散対数問題を解くことは困難で、
このヤコビ多様体を用いれば、安全な暗号通信を行うこ
とができる。また、有限体Ｆ2 29 の要素は、２９ビット
の整数として計算機上で表現でき、パーソナルコンピュ
ータ等の３２ビットＣＰＵを持つ計算機上では、多倍長
演算を用いない通常の整数演算だけで暗号化演算を行う
ことができるので、高速に暗号化復号化が行える。
【００４９】実施例３．ＣＰＵビット幅Ｎレジスタ１１
に記憶するＣＰＵビット幅Ｎを３２とし、目安整数Ｋレ
ジスタ１２に記憶する整数の大きさを２160 とし、超楕
円曲線Ｃが、種数１５のｖ2 ＋ｖ＝ｕ31いう曲線で、有
限体Ｆq がＦ2 13 である場合を説明する。この場合は、
種数ｇの値を大きくしていった場合である。この場合、
ヤコビ多様体Ｊ（Ｃ，Ｆ2 13 ）の要素の数＃Ｊは、次の
値となる。 ＃Ｊ＝５０２１６８１３８４９２１１０８７６６４２６
０６１２２２０６１７３５７８６００４４１９３７５０
１５７４９３６４１２１７ また、＃Ｊを素因数分解すると、 ＃Ｊ＝３１×８５３×１８９９０５８８７５６６５０５
６４４８３７０４８０３６２３１２０４３１８１９４０
１８０５２９８２４８１１６１９ となる。＃Ｊ（Ｃ，Ｆ2 13 ）の最大素因数は、１８１ビ
ットであり十分大きい。従って、このヤコビ多様体Ｊ
（Ｃ，Ｆ2 13 ）上の離散対数問題を解くことは困難で、
このヤコビ多様体を用いれば、安全な暗号通信を行うこ
とができる。また、有限体Ｆ（２13）の要素は、１３ビ
ットの整数として計算機上で表現でき、ＩＣカード等の
１６ビットＣＰＵを持つ計算機上では、多倍長演算を用
いない通常の整数演算だけで暗号化演算を行うことがで
きるので、高速に暗号化復号化が行える。
に記憶するＣＰＵビット幅Ｎを３２とし、目安整数Ｋレ
ジスタ１２に記憶する整数の大きさを２160 とし、超楕
円曲線Ｃが、種数１５のｖ2 ＋ｖ＝ｕ31いう曲線で、有
限体Ｆq がＦ2 13 である場合を説明する。この場合は、
種数ｇの値を大きくしていった場合である。この場合、
ヤコビ多様体Ｊ（Ｃ，Ｆ2 13 ）の要素の数＃Ｊは、次の
値となる。 ＃Ｊ＝５０２１６８１３８４９２１１０８７６６４２６
０６１２２２０６１７３５７８６００４４１９３７５０
１５７４９３６４１２１７ また、＃Ｊを素因数分解すると、 ＃Ｊ＝３１×８５３×１８９９０５８８７５６６５０５
６４４８３７０４８０３６２３１２０４３１８１９４０
１８０５２９８２４８１１６１９ となる。＃Ｊ（Ｃ，Ｆ2 13 ）の最大素因数は、１８１ビ
ットであり十分大きい。従って、このヤコビ多様体Ｊ
（Ｃ，Ｆ2 13 ）上の離散対数問題を解くことは困難で、
このヤコビ多様体を用いれば、安全な暗号通信を行うこ
とができる。また、有限体Ｆ（２13）の要素は、１３ビ
ットの整数として計算機上で表現でき、ＩＣカード等の
１６ビットＣＰＵを持つ計算機上では、多倍長演算を用
いない通常の整数演算だけで暗号化演算を行うことがで
きるので、高速に暗号化復号化が行える。
【００５０】
【発明の効果】以上のように、本発明によれば、離散対
数問題を構成するヤコビ多様体Ｊの要素数＃Ｊの最大素
因数が大きいので、安全な暗号通信を行うことができ
る。また、本発明によれば、ヤコビ多様体Ｊにおける有
限体Ｆq 上の演算を、多倍長演算を必要としない通常の
整数演算で行えるため、高速に暗号化復号化できる。
数問題を構成するヤコビ多様体Ｊの要素数＃Ｊの最大素
因数が大きいので、安全な暗号通信を行うことができ
る。また、本発明によれば、ヤコビ多様体Ｊにおける有
限体Ｆq 上の演算を、多倍長演算を必要としない通常の
整数演算で行えるため、高速に暗号化復号化できる。
【図１】 本発明の暗号化方法を説明するフローチャー
ト図である。
ト図である。
【図２】 本発明の暗号化方法を説明するフローチャー
ト図である。
ト図である。
【図３】 本発明の暗号化方法を説明するフローチャー
ト図である。
ト図である。
【図４】 本発明の暗号化方式を説明する図である。
【図５】 本発明の生成手段７１６の構成図である。
【図６】 本発明の生成手段７１６の動作フローチャー
ト図である。
ト図である。
【図７】 本発明の種数ｇと要素数ｑの関係を示す図で
ある。
ある。
【図８】 従来の暗号化方法を説明するフローチャート
図である。
図である。
【図９】 従来の暗号化方法を説明するフローチャート
図である。
図である。
【図１０】 従来の暗号化方法を説明するフローチャー
ト図である。
ト図である。
１０ メモリ、１１ ＣＰＵビット幅Ｎレジスタ、１２
目安整数Ｋレジスタ、１３ 最大素因数レジスタ、２
０ 回路部、２１ 種数ｇ計算部、２２ 拡大次数ｎ選
択部、２３ 超楕円曲線Ｃ決定部、２５ ヤコビ多様体
Ｊの要素Ｄ生成部、３０ 超楕円曲線Ｃ生成部。
目安整数Ｋレジスタ、１３ 最大素因数レジスタ、２
０ 回路部、２１ 種数ｇ計算部、２２ 拡大次数ｎ選
択部、２３ 超楕円曲線Ｃ決定部、２５ ヤコビ多様体
Ｊの要素Ｄ生成部、３０ 超楕円曲線Ｃ生成部。
Claims (12)
- 【請求項１】 超楕円曲線Ｃに付随する有限体Ｆq 上の
ヤコビ多様体をＪ（Ｃ，Ｆq ）とするとき、 ＣＰＵビット幅Ｎに基づいて超楕円曲線Ｃを生成する超
楕円曲線Ｃ生成部を備えたことを特徴とする暗号管理装
置。 - 【請求項２】 上記超楕円曲線Ｃ生成部は、ＣＰＵビッ
ト幅Ｎに基づいて種数ｇを計算する種数ｇ計算部と、 ＣＰＵビット幅Ｎ以下の素数を拡大次数ｎとして選択す
る拡大次数ｎ選択部と、 種数ｇから次数を決定して超楕円曲線Ｃを順次生成する
とともに、選択された拡大次数ｎに基づく有限体Ｆq と
上記超楕円曲線Ｃとからヤコビ多様体Ｊ（Ｃ，Ｆq ）の
要素数＃Ｊ（Ｃ，Ｆq ）を計算し、最大の素因数を求
め、最大の素因数が暗号の安全性の目安となる目安整数
Ｋ以上となるような超楕円曲線Ｃを選択する超楕円曲線
Ｃ決定部とを備えたことを特徴とする請求項１記載の暗
号管理装置。 - 【請求項３】 上記種数ｇ計算部は、更に、暗号の安全
性の目安となる目安整数Ｋを入力し、ＣＰＵビット幅Ｎ
と目安整数Ｋから種数ｇを計算することを特徴とする請
求項２記載の暗号管理装置。 - 【請求項４】 上記種数ｇ計算部は、超楕円曲線Ｃ決定
部が目安整数Ｋより大きな値を持つ最大の素因数を求め
られないとき、種数ｇの値を大きくすることを特徴とす
る請求項３記載の暗号管理装置。 - 【請求項５】 上記ヤコビ多様体Ｊ（Ｃ，Ｆq ）の要素
数＃Ｊ（Ｃ，Ｆq ）が大きな素数で割り切れるように上
記超楕円曲線Ｃと上記有限体Ｆq をとり、 上記ヤコビ多様体Ｊ（Ｃ，Ｆq ）における演算が、多倍
長精度演算を必要としない通常の整数演算で行うことが
できることを特徴とするとともに、上記ヤコビ多様体Ｊ
（Ｃ，Ｆq ）上定義される離散対数問題の困難さを安全
性の根拠に持つことを特徴とする超楕円曲線を用いた請
求項１記載の暗号管理装置。 - 【請求項６】 上記種数ｇは、６以上であることを特徴
とする請求項１記載の暗号管理装置。 - 【請求項７】 上記有限体Ｆq の要素の数ｑは、２32以
下であることを特徴とする請求項１記載の暗号管理装
置。 - 【請求項８】 上記有限体Ｆq の要素の数ｑは、２16以
下であることを特徴とする請求項１記載の暗号管理装
置。 - 【請求項９】 上記超楕円曲線Ｃは、ｖ2 ＋ｖ＝ｕ13＋
ｕ11＋ｕ7 ＋ｕ3 ＋１であり、上記有限体Ｆq は、Ｆ2
29 であることを特徴とする請求項７記載の暗号管理装
置。 - 【請求項１０】 上記超楕円曲線Ｃは、ｖ2 ＋ｖ＝ｕ13
＋ｕ11＋ｕ9 ＋ｕ5＋１であり、上記有限体Ｆq は、Ｆ2
29 であることを特徴とする請求項７記載の暗号管理装
置。 - 【請求項１１】 上記超楕円曲線Ｃは、ｖ2 ＋ｖ＝ｕ31
であり、上記有限体Ｆq は、Ｆ2 13 であることを特徴と
する請求項８記載の暗号管理装置。 - 【請求項１２】 ＣＰＵビット幅Ｎをメモリから取得す
る工程と、 ヤコビ多様体Ｊの目安整数Ｋをメモリから取得する工程
と、 ＣＰＵビット幅Ｎと目安整数Ｋから種数ｇを計算する工
程と、 ＣＰＵビット幅Ｎから素数を拡大次数として選択する工
程と、 種数ｇから次数を計算し、計算した次数に基づく超楕円
曲線Ｃを生成し、選択した拡大次数に基づく有限体Ｆq
と生成した超楕円曲線Ｃとから要素数＃Ｊを計算し、最
大の素因数を検出し、メモリに記憶する工程と、 メモリに記憶された最大の素因数が目安整数Ｋより大き
い場合に、メモリに記憶された最大の素因数を生成した
超楕円曲線Ｃを暗号に用いる超楕円曲線Ｃとして決定す
る工程とを備えたことを特徴とする暗号化方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP24972298A JP4243874B2 (ja) | 1998-09-03 | 1998-09-03 | 暗号管理装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP24972298A JP4243874B2 (ja) | 1998-09-03 | 1998-09-03 | 暗号管理装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000081841A true JP2000081841A (ja) | 2000-03-21 |
| JP4243874B2 JP4243874B2 (ja) | 2009-03-25 |
Family
ID=17197234
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP24972298A Expired - Lifetime JP4243874B2 (ja) | 1998-09-03 | 1998-09-03 | 暗号管理装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4243874B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2008053980A1 (en) * | 2006-10-27 | 2008-05-08 | Panasonic Corporation | Cryptographic method and apparatus for enhancing computation performance of a central processing unit |
-
1998
- 1998-09-03 JP JP24972298A patent/JP4243874B2/ja not_active Expired - Lifetime
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2008053980A1 (en) * | 2006-10-27 | 2008-05-08 | Panasonic Corporation | Cryptographic method and apparatus for enhancing computation performance of a central processing unit |
| US8204219B2 (en) | 2006-10-27 | 2012-06-19 | Panasonic Corporation | Cryptographic method and apparatus for enhancing computation performance of a central processing unit |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4243874B2 (ja) | 2009-03-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP0997016B1 (en) | Method and apparatus for fast elliptical encryption with direct embedding | |
| US6751318B2 (en) | Method and apparatus for digital signature authentication | |
| US7961874B2 (en) | XZ-elliptic curve cryptography with secret key embedding | |
| US20100020964A1 (en) | Key generation method using quadratic-hyperbolic curve group | |
| US8184808B2 (en) | Chaotic asymmetric encryption process for data security | |
| EP2460310B1 (en) | Symmetric-key encryption method and cryptographic system employing the method | |
| WO1993006672A1 (en) | Method and apparatus for public key exchange in a cryptographic system | |
| EP1330702B1 (en) | Method and system of using an insecure crypto-accelerator | |
| US6480606B1 (en) | Elliptic curve encryption method and system | |
| US6175850B1 (en) | Scheme for carrying out modular calculations based on redundant binary calculation | |
| US20040228484A1 (en) | Public key generation apparatus, shared key generation apparatus, key exchange apparatus, and key exchanging method | |
| JP4690819B2 (ja) | 楕円曲線暗号におけるスカラー倍計算方法およびスカラー倍計算装置 | |
| CA2298995C (en) | Apparatus and method for generating expression data for finite field operation | |
| JP2001051832A (ja) | 乗算剰余演算方法および乗算剰余回路 | |
| CN116488806A (zh) | 一种密钥封装方法、装置、设备及存储介质 | |
| JP4243874B2 (ja) | 暗号管理装置 | |
| JP3615405B2 (ja) | 素体上楕円曲線上の点の演算方法およびその装置 | |
| JP2000132096A (ja) | スカラー倍算方法およびその装置 | |
| Zhang et al. | High-Speed and High-Security Hybrid AES-ECC Cryptosystem Based on FPGA | |
| Shams et al. | Cryptosystem an Implementation of RSA using Verilog | |
| JP4237306B2 (ja) | 超楕円曲線ｃ生成装置、暗号管理装置、データ送信装置及びデータ受信装置 | |
| JP3278790B2 (ja) | 公開鍵暗号方法及び公開鍵暗号システム | |
| US7480380B2 (en) | Method for efficient generation of modulo inverse for public key cryptosystems | |
| JP4676071B2 (ja) | べき乗剰余演算方法、逆数演算方法およびそれらの装置 | |
| JP2011254385A (ja) | 共通鍵生成システム及び共通鍵生成方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20050818 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050822 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080722 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080825 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20080924 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20081120 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20081128 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20081224 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20081224 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120116 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130116 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130116 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |