JP2000187438A - 楕円曲線暗号実行方法及び装置並びに記録媒体 - Google Patents

楕円曲線暗号実行方法及び装置並びに記録媒体

Info

Publication number
JP2000187438A
JP2000187438A JP10364277A JP36427798A JP2000187438A JP 2000187438 A JP2000187438 A JP 2000187438A JP 10364277 A JP10364277 A JP 10364277A JP 36427798 A JP36427798 A JP 36427798A JP 2000187438 A JP2000187438 A JP 2000187438A
Authority
JP
Japan
Prior art keywords
elliptic curve
coordinate
point
coordinates
storing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP10364277A
Other languages
English (en)
Other versions
JP3796993B2 (ja
Inventor
Hiroyuki Kurumaya
博之 車谷
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP36427798A priority Critical patent/JP3796993B2/ja
Priority to CA002292817A priority patent/CA2292817C/en
Priority to EP99310340A priority patent/EP1014617A3/en
Priority to US09/468,948 priority patent/US6876745B1/en
Publication of JP2000187438A publication Critical patent/JP2000187438A/ja
Application granted granted Critical
Publication of JP3796993B2 publication Critical patent/JP3796993B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/724—Finite field arithmetic
    • G06F7/725—Finite field arithmetic over elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/002—Countermeasures against attacks on cryptographic mechanisms
    • H04L9/003—Countermeasures against attacks on cryptographic mechanisms for power analysis, e.g. differential power analysis [DPA] or simple power analysis [SPA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/002—Countermeasures against attacks on cryptographic mechanisms
    • H04L9/005—Countermeasures against attacks on cryptographic mechanisms for timing attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/72—Indexing scheme relating to groups G06F7/72 - G06F7/729
    • G06F2207/7219—Countermeasures against side channel or fault attacks
    • G06F2207/7223—Randomisation as countermeasure against side channel attacks
    • G06F2207/7228—Random curve mapping, e.g. mapping to an isomorphous or projective curve
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/08—Randomization, e.g. dummy operations or using noise

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Physics (AREA)
  • Computing Systems (AREA)
  • Computational Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Algebra (AREA)
  • Complex Calculations (AREA)
  • Storage Device Security (AREA)

Abstract

(57)【要約】 【課題】楕円曲線暗号処理を実行する方法は知られてい
たが、楕円曲線暗号のデータ復号化処理では、与えられ
た楕円曲線上の点（ｘ，ｙ）の秘密鍵ｄから、（ｘ，
ｙ）のスカラー倍演算ｄ（ｘ，ｙ）を行う。 ｄの偏差
情報をもれないスカラー倍演算方法で高速な方法を与え
る。 【解決手段】次の手段を用いる。 （１）ｄのビットあたり一定の乗算回数でスカラー倍演
算ｄ（ｘ，ｙ）を求める方法を与える。 （２）スカラー倍ｄ（ｘ，ｙ）を計算する場合、このア
フィン座標（ｘ，ｙ）を射影座標する際に、乱数ｋを生
成し、（ｘ，ｙ）→［ｋｘ， ｋｙ， ｋ］または
（ｘ，ｙ）→［ｋ２ｘ， ｋ３ｙ， ｋ］に変換する。
このことにより、素体の演算対象が乱数によって変更す
る方法を与える。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、コンピュータネッ
トワークにおいてセキュリティを確保する技術に係り、
特に楕円曲線暗号を実行する方法及び装置並びに記録媒
体に関する。
【０００２】
【従来の技術】楕円曲線暗号は、V.Miller, N.Koblitz
両氏によって、独立に発明された公開鍵暗号である。公
開鍵暗号技術において安全上からの要請として、他人に
公開される公開鍵から、それに対応する秘密鍵を発見す
ることが事実上不可能であることが求められる。その一
方で、秘密鍵暗号方式に比べて基本的に暗号化や復号化
に時間のかかる公開鍵暗号方式において、暗号化や復号
化におけるより高速のものが求められている状況にあ
る。このように、安全性と高速性という、ある意味で背
反的な要請を実現する公開鍵暗号技術として、従来から
のＲＳＡ暗号やエルガマル暗号に比べてより上述の性質
を有する楕円曲線暗号が注目されてきている。
【０００３】楕円曲線暗号は、有限素体上の楕円曲線の
標準形ｙ２＝ｘ３＋ａｘ＋ｂ（４ａ３＋２７ｂ２≠０）
や２の拡大体上の楕円曲線の標準形ｙ２＋ｘｙ＝ｘ３＋
ａｘ ２＋ｂ（ｂ≠０）で表される。この曲線上の点に、
無限遠点を加えると、アーベル群が成立する。このアー
ベル群演算を＋記号で表現する。相異なるＸ，Ｙ間の演
算をＸ＋Ｙを加算演算と呼ぶ。また、Ｘ＋Ｘを２倍演算
と呼び、２Ｘと表現する。
【０００４】かかる楕円曲線は、その計算を容易にする
ためにアフィン座標における楕円曲線上の点（Ｘ，Ｙ）
を射影座標で表現することもある。任意のλ≠０につい
て，［Ｘ，Ｙ，Ｚ］＝ ［λ２Ｘ，λ３Ｙ，λＺ］とな
る射影座標を考えると、アフィン座標とこの射影座標の
対応は以下で与えられる。すなわち、アフィン座標
（ｘ，ｙ）は、射影座標［ｘ，ｙ，１］で表現され、射
影座標［Ｘ，Ｙ，Ｚ］は、アフィン座標（Ｘ／
（Ｚ）２，Ｙ／（Ｚ）３ ）となる。また、射影座標に
おいて−［Ｘ，Ｙ，Ｚ］＝［Ｘ，−Ｙ，Ｚ］である。
【０００５】楕円曲線暗号は、有限体上の楕円曲線を用
いて、その有限体となる点の集合を用いる。また、楕円
曲線の位数は、楕円曲線の点の数である。以下、Ｐをｓ
回加算（Ｐ＋Ｐ＋…＋Ｐ）した結果をＰのｓ倍点とい
い、これを求める演算をｓＰと書くと、楕円曲線上の点
Ｐの位数は、ｎＰ＝０，１＜＝ｍ＜ｎ，ｍＰ ≠０とな
るｎである１１２となる。
【０００６】楕円曲線暗号の鍵は、楕円曲線、ベースポ
イント、公開鍵、秘密鍵から構成され、具体的には、楕
円曲線の係数ａ，ｂ、位数が素数である点Ｐ（ベースポ
イント）、有限体要素ｄ（秘密鍵）、ベースポイントの
秘密鍵倍の点Ｑ（公開鍵：Ｑ＝ｄＰ）である。ここで、
楕円曲線、ベースポイント、公開鍵は公開情報である。
また、公開鍵／秘密鍵は、ユーザ毎に異なる値であり、
楕円曲線、ベースポイントは、ユーザ間共通の値であ
る。
【０００７】楕円曲線暗号における、データ暗号化、デ
ータ復号化、ディジタル署名作成、ディジタル署名検証
は、任意の点Ｒのスカラ倍ｓＲ演算を用いる。これは、
上記の加算演算と２倍演算の組合せで、求めることがで
きる。ところが、上記の加算演算と２倍演算計算法にお
いては、それぞれ１回の除算が必要であり、一般に有限
体の除算は非常に時間がかかるため、これを避ける方法
が求められる。
【０００８】文献D.V.Chudnovsky, G.V.Chudnovsky "Se
quences of Numbers Generated byAddition in Formal
Groups and New Primality and Factorization Tests",
Advances in Applied Mathematics, 7, 385-434,1986
によれば、この有限体の除算を避けるため、射影空間
で、加算演算、２倍演算の式を導出している。この場
合、素体乗算と、素体加減算では素体乗算が通常、遥か
に時間がかかるため、素体乗算演算数で、計算時間を評
価できる。この場合、加算演算で、素体乗算（２乗算を
含む）が１６回必要である。２倍演算において、１０回
必要である、と述べている。また、楕円曲線の係数ａに
おいても、ａ＝−３の場合、８回の乗算剰余演算となる
としている。
【０００９】また、P.Montgomery,"Speeding the Polla
rd and Elliptic Curve Methods ofFactorization", Ma
thematics of computation Vol.48,No.177,pp.243-264
(1987)によれば、有限素体上の楕円曲線の標準形Ｂｙ２
＝ｘ３＋Ａｘ２＋Ｂｘを用いて、点Ｐ０（ｘ０，ｙ
０），Ｐ１（ｘ１，ｙ１）の加算をＰ３（ｘ３，ｙ
３）、減算をＰ４（ｘ４，ｙ４）、すなわちＰ１＋Ｐ０
＝Ｐ３、Ｐ１−Ｐ０＝Ｐ４とするとき、ｘ０，ｘ１，ｘ
４から、ｘ３が高速に求まる。具体的には、素体の乗算
６回で求まるとされている。また、Ｐ１の２倍点をＰ５
（ｘ５，ｙ５）とするとき、ｘ５は、ｘ１のみから求ま
り、乗算５回である。これを利用して、点Ｒのスカラ倍
（スカラー値ｄ）のｘ座標を以下のようにＲｘから求め
ることができる。
【００１０】初期値を［Ｒ，２Ｒ］、ｍＲをＲのｍ倍の
ｘ座標とするとき、ｄを２進数展開し、ｄの上位ビット
から、０の場合は、［ｍＲ，（ｍ＋１）Ｒ］→ ［２ｍ
Ｒ，（２ｍ＋１）Ｒ］となり、１の場合は、［ｍＲ，
（ｍ＋１）Ｒ］→［（２ｍ＋１）Ｒ，２（ｍ＋１）Ｒ］
となる。尚、（ｍ＋１）Ｒ−ｍＲ＝Ｒ、（ｍ＋１）Ｒ＋
ｍＲ＝（２ｍ＋１）Ｒである。
【００１１】従って、１ビットあたり、６＋５＝１０回
の素体乗算（２乗算を含む）でスカラー倍ｓＰを求める
ことができる。これを以下、モンゴメリ法と呼ぶ。
【００１２】一方、２の拡大体上の楕円曲線の標準形ｙ
２＋ｘｙ＝ｘ３＋ａｘ２＋ｂ（ｂ≠０）で表される。こ
のスカラー倍演算も、加算演算、２倍演算の組合せで実
現できる。IEEE P1363 / D2 Standard Specification f
or Public Key Cryptography(1998)では、加算演算と２
倍演算規則を与えている。２の拡大体演算では、２乗
算、加減算は相異なる乗算に比べて非常に速く演算でき
るので、（相異なる）乗算回数で評価できる。加算演算
で１５回の乗算、２倍演算で５回の乗算が必要となる。
しかし、２の拡大体楕円曲線暗号ではモンゴメリ法を用
いる演算は知られていない。
【００１３】安全な楕円曲線とするためには、楕円曲線
の位数＃Ｅ（Ｆｑ）が大きな素因数ｒを持つパラメタ
ａ，ｂを設定する必要がある。＃Ｅ（Ｆｑ）＝ｋｒで、
ｋは小さな整数、ｒは大きな素数となる。そのが位数大
きな素因数を持つ楕円曲線のパラメタの設定方法は、例
えば文献Henri Cohen, "A Course in Computational Al
gebraic Number Theory", GTM138, Springer(1993) p.4
64 Atkin's Testで記述されている方法がある。
【００１４】次に暗号のアタックと防御について述べ
る。近年、暗号のアタックは、理論的な暗号解読に加
え、消費電流波形を統計的に処理して解読を試みるＤＰ
Ａ(Differential Power Analysis)や暗号処理時間の違
いから統計的に分析し解読を試みるタイミングアタック
等、リーク情報を分析する攻撃とその防御が研究されは
じめている。これらの防御研究の多くは、主にＩＣカー
ドを分析する等のハードウェア回路そのものに防御機能
を組み込むことが中心になっている。
【００１５】
【発明が解決しようとする課題】上述したように２の拡
大体の楕円曲線暗号ではモンゴメリ法を用いる演算は知
られていない。また、楕円曲線暗号の研究においては、
主に高速な実行方法、暗号解読の観点からの安全な楕円
曲線生成の研究開発が中心であり、リーク情報分析型の
アタックに対する防御開発は行われていない。楕円曲線
暗号のデータ復号化処理では、与えられた楕円曲線上の
点（ｘ，ｙ）の秘密鍵ｄから、（ｘ，ｙ）のｄ倍演算ｄ
（ｘ，ｙ）を行う。ｄの偏差情報を消費電流波形や暗号
処理時間に洩れる場合ＤＰＡやタイミングアタックへの
手がかりを与えてしまう。本発明の第１の目的は、楕円
曲線がｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂ（ｂ≠０）であ
る、２の拡大体上の楕円曲線暗号を高速に演算する方法
及び装置を提供することにある。また、本発明の第２の
目的は、楕円曲線暗号においてタイミングアタックやＤ
ＰＡによる攻撃を防御するための、処理時間の偏差情報
から秘密鍵情報がもれない方法を提供することにある。
【００１６】
【課題を解決するための手段】本発明の第１の目的は、
楕円曲線がｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂ（ｂ≠０）で
ある、２の拡大体上の楕円曲線暗号の実行方法であっ
て、各座標成分が前記楕円曲線上の点である点Ｐ１（ｘ
１，ｙ１），Ｐ２（ｘ２，ｙ２）の加算をＰ３（ｘ３，
ｙ３）とし、点Ｐ１（ｘ１，ｙ１），Ｐ２（ｘ２，ｙ
２）の減算をＰ４（ｘ４，ｙ４）とした場合、前記ｘ１
を入力するステップと、前記入力されたｘ１を射影空間
のＸ座標、Ｚ座標［Ｘ１，Ｚ１］に変換するステップ
と、前記射影空間の座標［Ｘ１，Ｚ１］を記憶するステ
ップと、前記ｘ２を［Ｘ２，Ｚ２］に変換するステップ
と、前記［Ｘ２，Ｚ２］を記憶するステップと、前記ｘ
４を［Ｘ４，Ｚ４］に変換するステップと、前記
［Ｘ４，Ｚ４］を記憶するステップと、前記記憶された
［Ｘ１，Ｚ１］，［Ｘ２ ，Ｚ２］，［Ｘ４，Ｚ４］か
ら［Ｘ３，Ｚ３］を求めるステップと、前記［Ｘ３，Ｚ
３］からｘ３に変換するステップと、前記ｘ３を出力す
るステップとからなり、点Ｐ１（ｘ１，ｙ１）のスカラ
ー倍を計算することにより達成される。また、記憶され
た［Ｘ１，Ｚ１］，［Ｘ２，Ｚ２］，［Ｘ４，Ｚ４］か
らｘ３に変換できる［Ｘ３，Ｚ３］を求めるステップに
は、Ｂ＝Ｘ１Ｚ２ ２＋Ｘ２Ｚ１ ２を計算するステップ
と、前記計算されたＢを記憶するステップと、前記記憶
されたＢをＢ＝０であるか否かをを判別するステップ
と、Ｂ＝０の場合は無限遠点を出力し、Ｂ＝０でない場
合はＺ３＝Ｚ４Ｂを計算するステップと、前記計算され
たＺ３を記憶するステップと、前記記憶されたＺ３から
Ｘ３＝Ｘ４Ｚ３ ２＋Ｘ１Ｘ２Ｚ１ ２Ｚ２ ２Ｚ４ ２を計算
するステップとを有することにより達成される。
【００１７】本発明の第２の目的は、２の拡大体上の楕
円曲線暗号の復号化処理時間において、処理時間の偏差
情報から秘密鍵情報がもれない方法、すなわち楕円曲線
がｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂである、２の拡大体上
の楕円曲線暗号の実行方法であって、各座標成分が前記
楕円曲線上の点である点Ｐ１（ｘ１，ｙ１），Ｐ２（ｘ
２，ｙ２）の加算をＰ３（ｘ３，ｙ３）とし、点Ｐ１
（ｘ１，ｙ１），Ｐ２（ｘ２，ｙ２）の減算をＰ４（ｘ
４，ｙ４）とした場合、前記ｘ１を入力するステップ
と、前記入力されたｘ１を射影空間のＸ座標、Ｚ座標
［Ｘ１，Ｚ１］に変換するステップと、前記射影空間の
座標［Ｘ１，Ｚ１］を記憶するステップと、前記ｘ２を
［Ｘ２，Ｚ２］に変換するステップと、前記［Ｘ２，Ｚ
２］を記憶するステップと、前記ｘ４を［Ｘ４，Ｚ４］
に変換するステップと、前記［Ｘ４，Ｚ４］を記憶する
ステップと、前記記憶された［Ｘ１，Ｚ１］，［Ｘ
２ ，Ｚ２］，［Ｘ４，Ｚ４］から［Ｘ３，Ｚ３］を求
めるステップと、前記［Ｘ３，Ｚ３］からｘ３に変換す
るステップと、前記ｘ３を出力するステップの他、さら
に乱数ｋを生成するステップと、前記生成された乱数ｋ
を記憶するステップと、ｘ座標を射影座標に変換した
後、射影空間の各座標成分と前記記憶された乱数ｋと演
算させて、射影座標［ｋ２ｘ，ｋ］に変換するステップ
とを有することにより達成される。すなわち、２の拡大
体の演算対象が乱数によって常に変更する方法を用い
る。
【００１８】また、乱数ｋを生成するステップと、前記
生成された乱数ｋを記憶するステップと、ｘ座標を射影
座標に変換した後、射影空間の各座標成分と前記記憶さ
れた乱数ｋと演算させて、射影座標［ｋｘ，ｋ］に変換
するステップとを有することにより達成される。また、
楕円曲線がｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂである、２の
拡大体上の楕円曲線暗号の演算装置であって、乱数ｋを
生成する乱数生成部と、２の拡大体上の座標ｘ０と前記
乱数ｋとを入力し、射影座標［ｋｘ０，ｋ］＝［Ｘ１，
Ｚ１］に変換する射影座標変換部と、前記［Ｘ１，
Ｚ１］から２倍点を演算し出力する２倍演算部と、前記
［Ｘ１，Ｚ１］から加算点を求め出力する加算演算部
と、前記射影座標変換部と前記２倍演算部と前記加算演
算部からの情報を得て、座標ｘ０をスカラー倍するスカ
ラー倍部とを有することにより達成される。
【００１９】また、楕円曲線がｙ２＋ｘｙ＝ｘ３＋ａｘ
２＋ｂである、２の拡大体上の楕円曲線暗号の実行方法
を格納した記録媒体であって、前記楕円曲線暗号の実行
方法は以下を含むことにより達成される。すなわち、各
座標成分が前記楕円曲線上の点である点Ｐ１（ｘ１，ｙ
１），Ｐ２（ｘ２，ｙ２）の加算をＰ３（ｘ３，ｙ３）
とし、点Ｐ１（ｘ１，ｙ１），Ｐ２（ｘ２，ｙ２）の減
算をＰ４（ｘ４，ｙ４）とした場合、前記ｘ１を入力す
るステップと、前記入力されたｘ１を射影空間のＸ座
標、Ｚ座標［Ｘ１，Ｚ１］に変換するステップと、前記
射影空間の座標［Ｘ１，Ｚ１］を記憶するステップと、
前記ｘ２を［Ｘ２，Ｚ２］に変換するステップと、前記
［Ｘ２，Ｚ２］を記憶するステップと、前記ｘ４を［Ｘ
４，Ｚ４］に変換するステップと、前記［Ｘ４，Ｚ４］
を記憶するステップと、前記記憶された［Ｘ１，
Ｚ１］，［Ｘ２ ，Ｚ２］，［Ｘ４，Ｚ４］から
［Ｘ３，Ｚ３］を求めるステップと、前記［Ｘ３，
Ｚ３］からｘ３に変換するステップと、前記ｘ３を出力
するステップとからなり、点Ｐ１（ｘ１，ｙ１）のスカ
ラー倍を計算する。
【００２０】また、上述した２の拡大体上の楕円曲線暗
号の実行方法は、素体上の楕円曲線暗号の復号化処理時
間において、処理時間の偏差情報から秘密鍵情報がもれ
ない方法としても適用可能である。素体上の楕円曲線暗
号において、上記課題（２）を解決するため、次の
（ａ），（ｂ）を組合わせる。次の（ａ），（ｂ）を組
合わせる。（ａ）楕円曲線のスカラー倍ｄ（ｘ，ｙ）に
おいて、素体上の楕円曲線の標準形Ｂｙ２＝ｘ３＋Ａｘ
２＋Ｂｘの場合、モンゴメリのスカラー倍を用いる。
（ｂ）スカラー倍ｄ（ｘ，ｙ）を計算する場合、このア
フィン座標（ｘ，ｙ）を射影座標する際に、乱数ｋを生
成し、（ｘ，ｙ）→［ｋｘ，ｋｙ，ｋ］または（ｘ，
ｙ）→［ｋ２ｘ，ｋ３ｙ，ｋ］に変換する。このことに
より、素体の演算対象が乱数によって常に変更する方法
を用いる。
【００２１】
【発明の実施の形態】２の拡大体上の楕円曲線の標準形
ｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂ（ｂ≠０）のアフィン座
標における演算規則を以下に示す。
【００２２】１）０＋０＝０ ２）（ｘ，ｙ）＋０＝（ｘ，ｙ） ３）（ｘ，ｙ）＋（ｘ，ｘ＋ｙ）＝０ ４）可換性（ｘ０，ｙ０）＋（ｘ１，ｙ１）＝（ｘ１，
ｙ１）＋（ｘ０，ｙ０） ５）加算演算（ｘ２，ｙ２）＝（ｘ１，ｙ１）＋（ｘ
０，ｙ０）ｘ２＝ａ＋λ２＋λ＋ｘ０＋ｘ１； ｙ２＝
λ（ｘ１＋ｘ２）＋ｘ２＋ｙ１；λ＝（ｙ０＋ｙ１）／
（ｘ０＋ｘ１） ６）２倍演算（ｘ２，ｙ２）＝（ｘ１，ｙ１）＋（ｘ
１，ｙ１）＝２（ｘ１，ｙ１）ｘ２＝ａ＋λ２＋λ；ｙ
２＝λ（ｘ１＋ｘ２）＋ｘ２＋ｙ１；λ＝ｘ１＋（ｙ１
／ｘ１） または、ｘ２＝（ｘ１）２＋ｂ／（ｘ１）２ かかる楕円曲線は、その計算を容易にするためにアフィ
ン座標における楕円曲線上の点（Ｘ，Ｙ）を射影座標で
表現することもある。任意のλ≠０について，［Ｘ，
Ｙ，Ｚ］＝［λ２Ｘ，λ３Ｙ，λＺ］となる射影座標を
考えると、アフィン座標とこの射影座標の対応は以下で
与えられる。すなわち、アフィン座標（ｘ，ｙ）は、射
影座標［ｘ，ｙ，１］で表現され、射影座標［Ｘ，Ｙ，
Ｚ］は、アフィン座標（Ｘ／（Ｚ）２，Ｙ／（Ｚ）３）
となる。また、射影座標において−［Ｘ，Ｙ，Ｚ］＝
［Ｘ，ＸＺ＋Ｙ，Ｚ］である。
【００２３】以下、本発明の実施例を図面を用いて具体
的に説明する。図１０は、楕円曲線暗号システムの構成
図である。入出力インターフェース１００１は暗号化す
る平文を入力するキーボード等の入力装置、復号化した
平文を出力するディスプレー、プリンタ等の出力装置、
平文を記憶するメモリ等の記憶装置などである。暗号化
部１００２は、楕円曲線生成部１００３で生成された楕
円曲線と、公開鍵、暗号鍵生成部１００４からの鍵とを
入力し、平文を暗号化する。ここで、公開鍵、暗号鍵は
対になっており、どちらの鍵を暗号化部１００２、復号
化部１００６に与えるかは暗号システムの用途、即ち、
秘密通信に用いるか、署名・認証と呼ばれる通信に用い
るか等で使い分ける。暗号化された暗号文は接続インタ
ーフェース１００５から送信される。復号化部１００６
は、暗号文を復号化し平文にする。
【００２４】図１は、楕円曲線暗号システムにおける処
理の流れを示す図である。楕円曲線生成部１０１では楕
円曲線暗号に使用する楕円曲線を生成する。公開鍵／秘
密鍵生成部１０２では、楕円曲線生成部１０１で生成し
た楕円曲線を入力し、これに基づいて公開鍵１１５と秘
密鍵１１６を生成する。暗号化部１０３では、平文１１
３、公開鍵１１５、楕円曲線を入力して暗号文１１２を
出力する。復号化部１０４では、暗号文１１２、秘密鍵
１１６、楕円曲線を入力し、平文１１４を出力するが、
ここで出力する平文１１４は平文１１３と内容が同じも
のである。
【００２５】楕円曲線生成部１０１では以下の手順で楕
円曲線を生成する。原始多項式(primitive polynomial
s)設定１０５では、素体Ｆ２上の原始多項式ｆ（ｘ）を
設定する。例えば、素体Ｆ２上の原始多項式は、A.Mene
zes, P.Oorschot, S.Vanstone, "Handbook of Applied
Cryptography", CRC Press(1996)の第4.5.3 Primitive
polynomialsに記述されている。
【００２６】楕円曲線パラメタ設定１０６は、２の拡大
体Ｆｑを定義体とする楕円曲線ｙ２＋ｘｙ＝ｘ３＋ａｘ
２＋ｂのパラメタａ，ｂを設定する。安全な楕円曲線と
するためには、楕円曲線の位数＃Ｅ（Ｆｑ）が大きな素
因数ｒを持つ必要がある。＃Ｅ（Ｆｑ）＝ｋｒの場合、
ｋを小さな整数とすることによって、ｒは大きな素数と
なる。大きな素因数ｒを位数に持つ楕円曲線を生成する
方法として、文献Henri Cohen, "A Course in Computat
ional Algebraic Number Theory",GTM138, Springer(19
93) p.464 Atkin's Testで記述されている方法がある。
なお、他の楕円曲線の位数が大きな素因数ｒを持つ楕円
曲線パラメタ設定法を用いても本発明の実施は可能であ
る。
【００２７】ベースポイント生成部１０７は、楕円曲線
上のアーベル群において、上記ｒを位数とする部分巡回
群の生成元を求める。例えば、＃Ｅ（Ｆｑ）＝ｋｒの場
合は、第１のステップでＥ（Ｆｑ）上の任意の点（ｘ
１，ｙ１）を求める。次に第２のステップでｒ（ｘ１，
ｙ１）＝０かつｋ（ｘ１，ｙ１）≠０の場合、Ｇ＝（ｘ
１，ｙ１）をベースポイントとする。他の場合は、第１
のステップへ戻る。
【００２８】ここで、ｒ（ｘ１，ｙ１）は、（ｘ１，ｙ
１）のスカラー倍（ｒ倍）演算を実行するという意味で
ある。スカラー倍（ｒ倍）演算については楕円曲線演算
部１０９で説明する。
【００２９】以上、楕円曲線生成部１０１により、原始
多項式ｆ（ｘ）、楕円曲線ｙ２＋ｘｙ＝ｘ３＋ａｘ２＋
ｂのパラメタａ，ｂ、ベースポイントＧ、ベースポイン
トの位数ｒを生成した。これらは公開する情報である。
【００３０】次に公開鍵／秘密鍵生成部１０２は、以下
の手順で公開鍵と秘密鍵を生成する。入力を原始多項式
ｆ（ｘ）、楕円曲線ｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂのパ
ラメタａ，ｂ、ベースポイントＧとし、出力を公開鍵
Ｑ、秘密鍵ｄとすると、第１のステップで乱数２＜ｄ＜
ｒ−１を生成し、第２のステップでＱ＝ ｄＧすなわち
Ｇのスカラ倍（ｄ倍）点を求める。
【００３１】公開鍵は、公開する情報であり、秘密鍵は
秘密にする情報である。Ｑ，Ｇからｄを求める問題は、
離散対数問題といわれるものであり、楕円曲線におい
て、ベースポイントの位数ｒのビット長の指数オーダの
計算量を必要とする。このため、ｒが大きな素数であれ
ば例えば、ｒ＞２の１５９乗をとれば、事実上、Ｑ，Ｇ
からｄを求めることはできなくなる。これが楕円曲線暗
号の原理である。なお、Ｑを計算する方法は、従来技術
文献 D.V.Chudnovsky, G.V.Chudnovsky "Sequences of
Numbers Generated by Addition in Formal Groups an
d New Primalityand Factorization Tests", Advances
in Applied Mathematics, 7, 385-434,1986で記載され
ている方法で求めることができる。
【００３２】次に、暗号化部１０３では、以下の手順で
平文１１３を暗号文１１４に変換する。入力を平文Ｍ、
公開鍵Ｑ、原始多項式ｆ（ｘ）、楕円曲線ｙ２＋ｘｙ＝
ｘ３＋ａｘ２＋ｂのパラメタｂ、ベースポイントＧと
し、出力を暗号文Ｃとすると、第１のステップで乱数ｋ
を生成し（乱数生成部１０８）、第２のステップでベー
スポイントＧと第１のステップで生成した乱数ｋとを演
算し、ｋＧすなわち（ｋｘ１，ｋｙ１）とする（楕円曲
線演算部１０９）。第３のステップで公開鍵Ｑと第１の
ステップで生成した乱数ｋとを演算し、ｋＱすなわち
（ｋｘ２，ｋｙ２）とする（楕円曲線演算部１０９）。
第４のステップでＭ ｘｏｒ ｘ２を演算し、Ｍ'とする
（データ暗号化１１０）。第５のステップでｘ１||ｙ１
||Ｍ'を演算し暗号文Ｃとする（データ暗号化１１
０）。
【００３３】楕円曲線演算部１０９は、任意の点Ｒのス
カラ倍ｋＲ演算を行いそのｘ座標を得る。これにより２
の拡大体上の楕円曲線暗号の復号化処理時間において、
処理時間の偏差情報から秘密鍵情報が漏れなくなる。以
下にこのスカラー倍方法を説明する。図２、図３は、こ
のスカラー倍方法の第１の実施例の説明図である。
【００３４】＜第１実施例スカラー倍方法＞Ｒのｘ座標
の射影座標成分Ｘ０、スカラー値ｍを入力とし、Ｒのｍ
倍の点のｘ座標の射影座標成分Ｘｍを出力とする。ｍ，
Ｘ０を入力を入力し（ステップ２０２）、ステップ２０
３から２０５では乱数を射影座標の各座標に乗算するこ
とにより、データを撹拌する。すなわち、乱数ｋを生成
し（ステップ２０３）、乱数ｋとＸ０を演算してｋ２Ｘ
０をＸ１に代入し、乱数ｋをＺ１に代入する（ステップ
２０５）。ステップ２０６から２０８及び３０１ではス
カラー倍の準備を行う。すなわち、［Ｘ１，Ｚ１］を
［Ｘ４，Ｚ４］に代入し（ステップ２０６）、また［Ｘ
１，Ｚ１］を２倍方法（図５）に入力し、出力を
［Ｘ２，Ｚ２］へ代入する（ステップ２０７）。 ｍの
２進数表現をｈｉｈｉ−１．．．ｈ０とする（ステップ
２０８）。ただし、最上位ビットｈｌは１である。ｉを
ｌとする（ステップ３０１）。ステップ３０２から３０
９ではｍの１ビットが０か１かによって加算方法や２倍
方法を制御しスカラー倍を求める。すなわち、 ｉ−１
をｉに代入し（ステップ３０２）、［Ｘ１，Ｚ１］、
［Ｘ２，Ｚ２］、［Ｘ４，Ｚ４］を加算方法（図４）に
入力し、出力を［Ｘ３，Ｚ３］へ代入する（ステップ３
０３）。ここで、ｈｉ＝＝０ならば、ステップ３０４
へ、１ならばステップ３０６へ進む（ステップ３０
４）。［Ｘ１，Ｚ１］を２倍方法（図５）に入力し、出
力を［Ｘ１，Ｚ１］に代入する（ステップ３０５）。
［Ｘ３，Ｚ３］を［Ｘ２，Ｚ２］に代入し、ステップ３
０８へいく（ステップ３０６）。［Ｘ２， Ｚ２］を２
倍方法（図５）に入力し、出力を［Ｘ２，Ｚ２］に代入
する（ステップ３０７）。［Ｘ３，Ｚ３］を［Ｘ１，Ｚ
１］に代入し、ステップ３０８へいく（ステップ３０
８）。ｉ＞０ならばステップ３０２へ進む（ステップ３
０９）。次は、射影座標から（ｘ，ｙ）座標のｘ座標へ
変換する。Ｘ１／（Ｚ１）２をＸｍに代入し（ステップ
３１０）、Ｘｍを出力する（ステップ３１１）。
【００３５】次に、加算方法について説明する。楕円曲
線上の点の射影空間座標として、任意のλ≠０につい
て，［Ｘ，Ｙ，Ｚ］＝［λ２Ｘ，λ３Ｙ，λＺ］とす
る。ここで、楕円曲線上の点Ｐ０＝（ｘ０，ｙ０）＝
［Ｘ０，Ｙ０，Ｚ０］；Ｐ１＝（ｘ１，ｙ１）＝
［Ｘ１，Ｙ１，Ｚ１］とする。この和と差をＰ３＝（ｘ
３，ｙ３）＝［Ｘ３，Ｙ３，Ｚ３］，Ｐ４＝（ｘ４，ｙ
４）＝［Ｘ４，Ｙ４，Ｚ４］とする。
【００３６】 Ｐ１＋Ｐ０＝Ｐ３； Ｐ１−Ｐ０＝Ｐ４； ｘ３＝ａ＋（λ３）２＋λ３＋ｘ０＋ｘ１；λ３＝（ｙ０＋ｙ１）／（ｘ０＋ ｘ１）； ｘ４＝ａ＋（λ４）２＋λ４＋ｘ０＋ｘ１；λ４＝（ｘ０＋ｙ０＋ｙ１）／（ ｘ０＋ｘ１）； λ３＋λ４＝（ｘ０）／（ｘ０＋ｘ１）； （λ３）２＋（λ４）２＝（ｘ０）２／（ｘ０＋ｘ１）２； ｘ３＋ｘ４＝((x0)2+(x0)(x0+x1))／(x0+x1)2＝(x0x1)／(x0+x1)2； 以上により、ｘ３＋ｘ４＝（ｘ０ｘ１）／（ｘ０＋ｘ１）２ −−−−（１） という関係式が得られた。
【００３７】次に、射影座標での関係式を導出する。
【００３８】ｘ１＝Ｘ１／（Ｚ１）２、ｘ０＝Ｘ０／
（Ｚ０）２を（１）式に代入する。 Ｘ３／（Ｚ３）２＝X4/(Z4)2＋((X0/(Z0)2)( X1/(Z1)2))／( X0/(Z0)2+ X1/(Z 1 )2)2； ＝X4/(Z4)2＋((X0(Z0)2)( X1(Z1)2))／( X0(Z1)2+X1(Z0)2)2； ＝（（Ｘ４β２）＋Ｚ４ ２（Ｘ０Ｚ０ ２）（ Ｘ１Ｚ１ ２）） ／（Ｚ４ ２β２） ただし、β＝ Ｘ０Ｚ１ ２＋ Ｘ１Ｚ０ ２ これより、 Ｘ３＝Ｘ４β２＋Ｚ４ ２（Ｘ０Ｚ１ ２）（ Ｘ１Ｚ０ ２）；−−−−−（２ ） Ｚ３＝Ｚ４β；−−−−−−−−−−−−−−−−−−−−−−（３） を 得た。
【００３９】ここで、ｍＲ＝［Ｘ１，Ｙ１，Ｚ１］、
（ｍ＋１）Ｒ＝［Ｘ２，Ｙ２，Ｚ２］、Ｒ＝［Ｘ４，Ｙ
４，Ｚ４］、（２ｍ＋１）Ｒ＝［Ｘ３，Ｙ３，Ｚ３］と
する。この導出式を利用した加算方法を以下に説明す
る。図４はこの方法の説明図である。
【００４０】＜第１実施例加算方法＞射影座標［Ｘ１，
Ｚ１］，［Ｘ２，Ｚ２］，［Ｘ４，Ｚ４］を入力とし、
［Ｘ３，Ｚ３］または無限遠点を出力とする。［Ｘ１Ｚ
１］，［Ｘ２，Ｚ２］，［Ｘ４，Ｚ４］を入力し（ステ
ップ４０２）、ステップ４０３から４０７では加算結果
が無限遠点か判定するためにＸ１（Ｚ２）２＋ Ｘ２
（Ｚ１）２を求める。さらに各中間結果Ｓ１、Ｓ２、Ｂ
は、上記式（２），（３）を求めるための準備である。
すなわち、Ｘ１（Ｚ２）２をＳ１に代入し（ステップ４
０３）、Ｘ２（Ｚ１）２をＳ２に代入し（ステップ４０
４）、Ｓ１＋Ｓ２をＢに代入し（ステップ４０５）、Ｂ
＝０の場合、ステップ４０７へ進み、成立しない場合ス
テップ４０８へ進む（ステップ４０６）。ステップ４０
７では、無限遠点を出力し、ステップ４１３へいく。以
下の４０８−４１１は上記式（２），（３）に従って
［Ｘ３，Ｚ３］を求める。Ｚ４ＢをＺ３に代入し（ステ
ップ４０８）、（Ｚ４）２Ｓ１Ｓ２をＳに代入し（ステ
ップ４０９）、Ｘ４Ｚ３ ２をＭに代入し（ステップ４１
０）、 Ｍ＋ＳをＸ３に代入し（ステップ４１１）、
［Ｘ３，Ｚ３］を出力を出力する（ステップ４１２）。
かかる方法により相異なる変数の乗算６回で加算演算を
実行できる。すなわち、Ｘ１、Ｘ２、Ｘ４からＸ３を高
速に演算できる。
【００４１】次に、２倍計算方法について説明する。Ｐ
１の２倍点をＰ２とし、Ｐ１＝（ｘ１，ｙ１）＝
［Ｘ１，Ｙ１，Ｚ１］、Ｐ２＝（ｘ２，ｙ２）＝
［Ｘ２，Ｙ２，Ｚ２］とする。２倍演算の演算式 ｘ２
＝（ｘ１）２＋ｂ／（ｘ１）２より、ｘ１＝ Ｘ１／
（Ｚ１）２、ｘ２＝Ｘ２／（Ｚ２）２をこの式に代入す
る。
【００４２】X2/(Z2)2=(X1/(Z1)2)2+b/(X1/(Z1)2)2=X1 2
/(Z1)4+(b(Z1)4)/(X1)2=(X1 4+b(Z1)8)/(X1 2Z1 4) 従って、 Ｘ２＝Ｘ１ ４＋ｂＺ１ ８−−−−−（４） Ｚ２＝Ｘ１Ｚ１ ２−−−−−−−−（５） この導出式を利用した２倍方法を以下に説明する。図５
は、この説明図である。
【００４３】＜第１実施例２倍計算方法＞Ｑ＝［Ｘ１，
Ｚ１］、ｂを入力とし、２Ｑ＝［Ｘ２，Ｚ２］または無
限遠点を出力とする。Ｘ１，Ｚ１を入力し（ステップ５
０２）、以下のステップ５０３から５０４は２倍結果が
無限遠点を判定するためにＸ１＝＝０またはＺ１＝＝０
の判定を行う。すなわち、Ｘ１＝＝０またはＺ１＝＝０
の場合は、ステップ５０４へ。成立しない場合は、ステ
ップ５０５へいく（ステップ５０３）。ステップ５０４
では、無限遠点を出力する。以下のステップ５０５から
５０７では上記式（４），（５）に従って［Ｘ２，
Ｚ２］を求める。Ｚ１ ２をＳに代入し（ステップ５０
５）、 Ｘ１ＳをＺ２に代入し（ステップ５０６）、Ｘ
１ ４＋ｂ（Ｓ）４をＸ２に代入し（ステップ５０７）、
［Ｘ２，Ｚ２］を出力する（ステップ５０８）。かかる
方法により相異なる変数の乗算２回で加算演算を実行で
きる。従って、＜スカラー倍方法＞においてはスカラー
値ｄのビットあたり、相異なる変数の乗算６＋２＝８回
で実行できる。すなわち、Ｘ１、Ｘ２、Ｘ４からＸ３を
高速に演算できる。
【００４４】つぎに、復号化部１０４では、以下の手順
で暗号文１１２を元の平文１１４に変換する。１１２と
１１４は内容が同じ平文である。入力を暗号文Ｃ←ｘ１
||ｙ１||Ｍ'、秘密鍵ｄ、原始多項式ｆ（ｘ）、楕円曲
線ｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂのパラメタ，ｂ、ベー
スポイントＧとし、出力を平文Ｍとする。
【００４５】ステップ１：（ｘ２，ｙ２）←ｄ（ｘ１，
ｙ１）（楕円曲線演算部１１１） ステップ２：平文Ｍ←Ｍ' ｘｏｒ ｘ２ ステップ１は図２、図３を用いて実行する。
【００４６】以上により、与えられた座標（ｘ，ｙ）の
ｄスカラー倍のｘ座標を求める処理において、 ｄのビ
ットパターンに依存せず、ｄの各ビットあたり８回の相
異なる乗算処理で実現することができる。また、ｄの与
えられたｘ座標に対して、乱数ｋにより［ｋｘ２，ｋ］
をスカラー倍初期値とすることによって、常に演算対象
を変動させることができる。さらに、これらの組合わせ
により、ｄのビットパターンが、ｄ（ｘ，ｙ）処理時間
の偏差に現れないため、ｄ（ｘ，ｙ）処理時間の偏差情
報から秘密鍵情報がもれない方法を示した。また、この
性質は暗号処理の電流、電圧、電力の偏差を用いて、暗
号解読を行うＤＰＡ(Differential Power Analysis)に
対して、ｄ（ｘ，ｙ）の処理電流（電圧、電力）の偏差
情報から秘密鍵情報がもれない方法をも示している。
【００４７】次に第１実施例を更に高速化を図ることが
可能な第２実施例を説明する。アフィン座標から、射影
座標への変換を（ｘ，ｙ）→［ｘ，ｙ，１］とする場
合、Ｚ４＝１とできる。（２）、（３）式にＺ４＝１を
代入すると、 X3=(X4β2)+(X0(Z1)2)( X0(Z1)2) ------------（６） Z3=β -----------------------------------（７） この式を利用してスカラー倍方法、加算方法を以下のよ
うに求めることができる。
【００４８】＜第２実施例スカラー倍方法＞これを図
６、図７に示す。Ｒのｘ座標の射影座標成分Ｘ０、スカ
ラー値ｍを入力とし、 Ｒのｍ倍の点のｘ座標の射影座
標成分Ｘｍを出力とする。ｍ，Ｘ０を入力し（ステップ
６０２）、以下のステップ６０３から６０４ではＸ０を
射影座標に変換する。Ｘ０をＸ１に代入し（ステップ６
０３）、１をＺ１に代入する（ステップ６０４）。ステ
ップ６０５から６０７ではスカラー倍の準備を行う。す
なわち、［Ｘ１，Ｚ１］を［Ｘ４，Ｚ４］に代入し（ス
テップ６０５）、［Ｘ１，Ｚ１］を２倍方法（図５）に
入力し、出力を［Ｘ２，Ｚ２］へ代入する（ステップ６
０６）。ｍの２進数表現をｈｉｈｉ−１．．．ｈ０とす
る（ステップ６０７）。ただし、最上位ビットｈｉは１
である。１をｉに代入する（ステップ７０１）。以下の
ステップ７０２から７０９ではｍの１ビットが０か１か
によって加算方法や２倍方法を制御しスカラー倍を求め
る。すなわち、ｉ−１をｉに代入し（ステップ７０
２）、［Ｘ１，Ｚ１］、［Ｘ２，Ｚ２］、Ｘ０を加算方
法（図８）に入力し、出力を［Ｘ３，Ｚ３］へ代入する
（ステップ７０３）。ｈｉ＝＝０ならば、ステップ７０
６へ、１ならばステップ７０８へ進む（ステップ７０
４）。［Ｘ１，Ｚ１］ を２倍方法（図５）に入力し、
出力を［Ｘ１，Ｚ１］に代入する（ステップ７０５）。
［Ｘ３， Ｚ３］を［Ｘ２，Ｚ２］に代入し、ステップ
７１０へいく（ステップ７０６）。［Ｘ２，Ｚ２］を２
倍方法（図５）に入力し、出力を［Ｘ２，Ｚ２］に代入
する（ステップ７０７）。［Ｘ３， Ｚ３］を［Ｘ１，
Ｚ１］へ代入し、ステップ７１０へいく（ステップ７０
８）。ｉ＞０ならばステップ７０３へ進む（ステップ７
０９）。Ｘ１／（Ｚ１）２をＸｍに代入し（ステップ７
１０）、Ｘｍを出力する（ステップ７１１）。
【００４９】＜第２実施例加算方法＞これを図８に示
す。［Ｘ１，Ｚ１］，［Ｘ２，Ｚ２］，Ｘ４を入力と
し、［Ｘ３，Ｚ３］または無限遠点を出力とする。［Ｘ
１，Ｚ１］，［Ｘ２，Ｚ２］，Ｘ４を入力し（ステップ
８０２）、以下のステップ８０３から８０７は加算結果
が無限遠点か判定するためにＸ１（Ｚ２）２＋ Ｘ２
（Ｚ１）２を求める。さらに各中間結果Ｓ１、Ｓ２、Ｂ
は、上記式（６），（７）を求めるための準備である。
すなわち、Ｘ１Ｚ２ ２をＳ１に代入し（ステップ８０
３）、Ｘ２Ｚ１ ２をＳ２に代入し（ステップ８０４）、
Ｓ１＋Ｓ２をＢに代入する（ステップ８０５）。Ｂ＝＝
０の場合は、ステップ８０７へ進み、成立しない場合ス
テップ８０８へ進む（ステップ８０６）。無限遠点を出
力し、ステップ８１３へいく（ステップ８０７）。以下
のステップ８０８から８１１は上記式（６），（７）に
従って［Ｘ３，Ｚ３］を求める。すなわち、ＢをＺ３に
代入し（ステップ８０８）、Ｓ１Ｓ２をＳに代入し（ス
テップ８０９）、Ｘ４Ｚ３ ２をＭに代入し（ステップ８
１０）、Ｍ＋ＳをＸ３に代入し（ステップ８１１）、
［Ｘ３，Ｚ３］を出力する（ステップ８１２）。
【００５０】以上により、相異なる変数の乗算４回で加
算演算を実行できる。このため、第１実施例の加算演算
より、乗算回数を減らすことができる。なお、２倍演算
は第１実施例の２倍演算を利用する。
【００５１】上述した処理時間の偏差情報から秘密鍵情
報が漏れない方法は、２の拡大体上の楕円曲線の場合の
他、素体上の楕円曲線でも適用可能である。
【００５２】次に第３実施例を説明する。素体上の楕円
曲線Ｂｙ２＝ｘ３＋Ａｘ２＋Ｂｘの場合、モンゴメリ法
を用いて、処理時間の偏差情報から秘密鍵情報がもれな
い方法を示す。
【００５３】P.Montgomery,"Speeding the Pollard and
Elliptic Curve Methods of Factorization", Mathema
tics of computation Vol.48,No.177,pp.243-264(1987)
では、有限素体上の楕円曲線の標準形 Ｂｙ２＝ｘ３＋
Ａｘ２＋Ｂｘを用いて、点Ｐ０（ｘ０，ｙ０），Ｐ１
（ｘ１，ｙ１）の加算と、減算を Ｐ３（ｘ３，ｙ３）； Ｐ４（ｘ４，ｙ４）； Ｐ１＋Ｐ０＝Ｐ３ ； Ｐ１−Ｐ０＝Ｐ４ ； とするとき、 ｘ０，ｘ１，ｘ４から、ｘ３が高速に求まる。具体的に
は、次のように素体の乗算６回で求まる。
【００５４】（ｘ３，ｙ３）→［Ｘ３，Ｚ３］；（ｘ
４，ｙ４）→［Ｘ４，Ｚ４］；とするとき、 Ｘ３←Ｚ４［（Ｘ１−Ｚ１）（Ｘ０＋Ｚ０）＋（Ｘ１＋
Ｚ１）（Ｘ０−Ｚ０）］２ ； Ｚ３←Ｘ４［（Ｘ１−Ｚ１）（Ｘ０＋Ｚ０）−（Ｘ１＋
Ｚ１）（Ｘ０−Ｚ０）］２ ； また、２倍演算は、 Ｐ５＝２Ｐ１；（ｘ１，ｙ１）→［Ｘ１，Ｚ１］； ４Ｘ１Ｚ１←（Ｘ１＋Ｚ１）２−（Ｘ１−Ｚ１）２ ； X5←(X1+Z1)2(X1-Z1)2；Z5←(4X1Z1)[(X1-Z1)2+((A+2)/
4)(4X1Z1)] ； また、Ｐ１の２倍点Ｐ５（ｘ５，ｙ５）とするとき、ｘ
５は、ｘ１のみから求まり、乗算５回である。これを利
用して、点Ｒのスカラ倍（スカラー値ｄ）のｘ座標を以
下のようにＲｘから求める。
【００５５】初期値を［Ｒ，２Ｒ］、ｍＲをＲのｍ倍の
ｘ座標とするとき、ｄを２進数展開し、ｄの上位ビット
から、 ０の場合、［ｍＲ，（ｍ＋１）Ｒ］→［２ｍＲ，（２ｍ
＋１）Ｒ］ １の場合、［ｍＲ，（ｍ＋１）Ｒ］→［（２ｍ＋１）
Ｒ，２（ｍ＋１）Ｒ］ （ｍ＋１）Ｒ−ｍＲ＝Ｒ （ｍ＋１）Ｒ＋ｍＲ＝（２ｍ＋１）Ｒである。
【００５６】＜第３実施例スカラー倍方法＞Ｒのｘ座標
の射影座標成分Ｘ０、スカラー値ｍを入力とし、Ｒのｍ
倍の点のｘ座標の射影座標成分Ｘｍを出力とする。
ｍ，Ｘ０を入力を入力し（ステップ９０２）、ステップ
９０３から９０５では乱数を射影座標の各座標に乗算す
ることにより、データを撹拌する。すなわち、乱数ｋを
生成し（ステップ９０３）、乱数ｋとＸ０を演算してｋ
Ｘ０をＸ１に代入し（ステップ９０４）、乱数ｋをＺ１
に代入する（ステップ９０５）。次に、［Ｘ１，Ｚ１］
を［Ｘ４，Ｚ４］に代入し（ステップ９０６）、
［Ｘ１，Ｚ１］を２倍方法（モンゴメリの２倍演算）に
入力し、出力を［Ｘ２，Ｚ２］へ代入する（ステップ９
０７）。ｍの２進数表現をｈｉｈｉ−１．．．ｈ０とす
る（ステップ９０８）。ただし、最上位ビットｈｌは１
である。ｉをｌとする（ステップ９０９）。ｉ−１をｉ
に代入し（ステップ９１０）、［Ｘ１，Ｚ１］、
［Ｘ２，Ｚ２］、［Ｘ４， Ｚ４］を加算方法（モンゴ
メリの加算演算）に入力し、出力を［Ｘ３，Ｚ３］へ代
入する（ステップ９１１）。ここで、ｈｉ＝＝０なら
ば、ステップ９１２へ、１ならばステップ９１４へ進む
（ステップ９１２）。［Ｘ１，Ｚ１］を２倍方法（モン
ゴメリの２倍演算）に入力し、出力を［Ｘ１，Ｚ１］に
代入する（ステップ９１３）。［Ｘ３，Ｚ３］を
［Ｘ２，Ｚ２］に代入し、ステップ９１６へいく（ステ
ップ９１４）。［Ｘ２，Ｚ２］を２倍方法（モンゴメリ
の２倍演算）に入力し、出力を［Ｘ２，Ｚ２］に代入す
る（ステップ９１５）。［Ｘ３， Ｚ３］を［Ｘ１，Ｚ
１］に代入し、ステップ９１６へいく（ステップ９１
６）。ｉ＞０ならばステップ９１０へ進む（ステップ９
１７）。Ｘ１／Ｚ１をＸｍに代入し（ステップ９１
８）、Ｘｍを出力する（ステップ９１９）。
【００５７】以上により、与えられた座標（ｘ，ｙ）の
ｄスカラー倍のｘ座標を求める処理において、ｄの各ビ
ットあたり１１回の相異なる乗算処理で実現し、与えら
れたｘ座標に対して、乱数ｋにより［ｋｘ，ｋ］をスカ
ラー倍初期値とすることによって、ｄ（ｘ，ｙ）処理時
間の偏差情報から秘密鍵情報がもれない方法を示した。
また、この性質は暗号処理の電流、電圧、電力の偏差を
用いて、暗号解読を行うＤＰＡに対して、ｄ（ｘ，ｙ）
の処理電流（電圧、電力）の偏差情報から秘密鍵情報が
もれない方法を示している。
【００５８】さらに、素体上の楕円曲線ｙ２＝ｘ３＋ａ
ｘ＋ｂの場合、Ｂｙ２＝ｘ３＋Ａｘ２＋Ｂｘとｙ２＝ｘ
３＋ａｘ＋ｂの間に有理点がなすアーベル群が同型とな
る楕円曲線を構成し、素体上の楕円曲線ｙ２＝ｘ３＋ａ
ｘ＋ｂで与えられた（ｘ，ｙ）をＢｙ２＝ｘ３＋Ａｘ２
＋Ｂｘに変換し、上記発明の方法でスカラー倍を求め、
結果をｙ２＝ｘ３＋ａｘ＋ｂに変換することにより本発
明を利用することができる。
【００５９】次に第４実施例を説明する。第１実施例で
は、射影座標を任意のλ≠０について，［Ｘ，Ｙ，Ｚ］
＝［λ２Ｘ，λ３Ｙ，λＺ］とするものを説明したが、
［Ｘ，Ｙ，Ｚ］＝［λＸ，λＹ，λＺ］とする射影座標
で実施することもできる。
【００６０】＜第４実施例スカラー倍方法＞Ｒのｘ座標
の射影座標成分Ｘ０、スカラー値ｍを入力とし、Ｒのｍ
倍の点のｘ座標の射影座標成分Ｘｍを出力とする。ｍ，
Ｘ０を入力し（ステップ１００２）、以下のステップ１
００３から１００５では乱数を射影座標の各座標に乗算
することにより、データを撹拌する。すなわち、乱数ｋ
を生成し（ステップ１００３）、ｋＸ０をＸ１に代入し
（ステップ１００４）、乱数ｋをＺ１に代入する（ステ
ップ１００５）。［Ｘ１，Ｚ１］を［Ｘ４，Ｚ４］に代
入し（ステップ１００６）、［Ｘ１，Ｚ１］を２倍方法
に入力し、出力を［Ｘ２，Ｚ２］へ代入する（ステップ
１００７）。ｍの２進数表現をｈｉｈｉ−１．．．ｈ０
とする（ステップ１００８）。ただし、最上位ビットｈ
ｌは１である。ｉをｌとする（ステップ１００９）。ｉ
−１をｉに代入し（ステップ１０１０）、［Ｘ１，
Ｚ１］、［Ｘ２，Ｚ２］、［Ｘ４，Ｚ４］を加算方法に
入力し、出力を［Ｘ３，Ｚ３］へ代入する（ステップ１
０１１）。ここで、ｈｉ＝＝０ならば、ステップ１０１
２へ、１ならばステップ１０１４へ進む（ステップ１０
１２）。［Ｘ１，Ｚ１］を２倍方法に入力し、出力を
［Ｘ１，Ｚ１］に代入する（ステップ１０１３）。［Ｘ
３，Ｚ３］を［Ｘ２，Ｚ２］に代入し、ステップ１０１
６へいく（ステップ１０１４）。［Ｘ２，Ｚ２］を２倍
方法に入力し、出力を［Ｘ２，Ｚ２］に代入する（ステ
ップ１０１５）。［Ｘ３，Ｚ３］を［Ｘ１， Ｚ１］に
代入し、ステップ１０１６へいく（ステップ１０１
６）。ｉ＞０ならばステップ１０１０へ進む（ステップ
１０１７）。Ｘ１／Ｚ１をＸｍに代入し（ステップ１０
１８）、Ｘｍを出力する（ステップ１０１９）。
【００６１】楕円曲線上の点の射影空間座標として、任
意のλ≠０について，［Ｘ，Ｙ，Ｚ］＝［λＸ， λ
Ｙ，λＺ］とする。ここで、楕円曲線上の点Ｐ０＝（ｘ
０，ｙ０）＝［Ｘ０，Ｙ０，Ｚ０］； Ｐ１＝（ｘ１，
ｙ１）＝［Ｘ１，Ｙ１，Ｚ１］とする。この和と差をＰ
３＝（ｘ３，ｙ３）＝［Ｘ３，Ｙ３，Ｚ３］，Ｐ４＝
（ｘ４，ｙ４）＝［Ｘ４，Ｙ４，Ｚ４］とする。
【００６２】Ｐ１＋Ｐ０＝Ｐ３； Ｐ１−Ｐ０＝Ｐ４； 第１実施例の（１）式ｘ３＋ｘ４＝（ｘ０ｘ１）／（ｘ
０＋ｘ１）２より射影座標での関係式を導出する。
【００６３】ｘ１＝Ｘ１／Ｚ１、ｘ０＝Ｘ０／Ｚ０を
（１）式に代入する。 Ｘ３／Ｚ３＝Ｘ４／Ｚ４＋（（Ｘ０／Ｚ０）（Ｘ１／Ｚ１））／（Ｘ０／Ｚ ０ ＋Ｘ１／Ｚ１）２； ＝Ｘ４／（Ｚ４）２＋（（Ｘ０Ｚ０）（ Ｘ１Ｚ１））／（ Ｘ ０ Ｚ１＋ Ｘ１Ｚ０）２； ＝（（Ｘ４β２）＋Ｚ４ ２（Ｘ０Ｚ０）（ Ｘ１Ｚ１））／（Ｚ ４ ２ β２） ただし、β＝ Ｘ０Ｚ１＋ Ｘ１Ｚ０ これより、Ｘ３＝（Ｘ４β２）＋Ｚ４ ２（Ｘ０Ｚ１）（ Ｘ１Ｚ０）； − −（２）' Ｚ３＝Ｚ４ ２β２； −−−−−−−−−−−−−−−−−−−−−（３） ' を得た。
【００６４】ここで、ｍＲ＝［Ｘ１，Ｙ１，Ｚ１］、
（ｍ＋１）Ｒ＝［Ｘ２，Ｙ２，Ｚ２］、Ｒ＝［Ｘ４，Ｙ
４，Ｚ４］、（２ｍ＋１）Ｒ＝［Ｘ３，Ｙ３，Ｚ３］と
する。この導出式を利用した加算方法を以下に説明す
る。
【００６５】＜第４実施例加算方法＞射影座標［Ｘ１，
Ｚ１］，［Ｘ２ ，Ｚ２］，［Ｘ４ ， Ｚ４］を入力
とし、［Ｘ３，Ｚ３］ または無限遠点を出力とする。
［Ｘ１，Ｚ１］，［Ｘ２，Ｚ２］，［Ｘ４，Ｚ４］を入
力し（ステップ１１０２）、Ｘ１Ｚ２をＳ１に代入し
（ステップ１１０３）、Ｘ２Ｚ１をＳ２に代入し（ステ
ップ１１０４）、Ｓ１＋Ｓ２をＢに代入する（ステップ
１１０５）。Ｂ＝＝０の場合は、ステップ１１０７へ進
み、成立しない場合ステップ１１０８へ進む（ステップ
１１０６）。無限遠点を出力し、ステップ１１１３へい
く（ステップ１１０７）。（Ｚ４）２Ｂ２をＺ３に代入
し（ステップ１１０８）、（Ｚ４）２Ｓ１Ｓ２をＳに代
入し（ステップ１１０９）、（Ｘ４Ｂ２）をＭに代入し
（ステップ１１１０）、Ｍ＋ＳをＸ３に代入し（ステッ
プ１１１１）、［Ｘ３，Ｚ３］を出力する（ステップ１
１１２）。
【００６６】以上により、相異なる変数の乗算６回で加
算演算を実行できる。
【００６７】次に、２倍計算方法について説明する。Ｐ
１の２倍点をＰ２とし、Ｐ１＝（ｘ１，ｙ１）＝
［Ｘ１，Ｙ１，Ｚ１］、Ｐ２＝（ｘ２，ｙ２）＝
［Ｘ２，Ｙ２，Ｚ２］とする。２倍演算の演算式 ｘ２
＝（ｘ１）２＋ｂ／（ｘ１）２より、ｘ１＝Ｘ１／
Ｚ１、ｘ２＝Ｘ２／Ｚ２をこの式に代入する。
【００６８】X2/Z2=(X1/Z1)2+b/(X1/Z1)2=X1 2/(Z1)2+(b
Z1 2)/(X1)2=(X1 4+bZ1 4)/(X1 2Z1 2) 従って、 Ｘ２＝Ｘ１ ４＋ｂＺ１ ４−−−−−（４）' Ｚ２＝Ｘ１ ２Ｚ１ ２−−−−−−−−−−（５）' この導出式を利用した２倍方法を以下に説明する。
【００６９】＜第４実施例２倍計算方法＞Ｑ＝［Ｘ
１ ，Ｚ１］，ｂを入力とし、２Ｑ＝［Ｘ２，Ｚ２］ま
たは無限遠点を出力する。Ｘ１，Ｚ１を入力し（ステッ
プ１２０２）、Ｘ２＝＝０またはＺ２＝＝０の場合、ス
テップ１２０４へ。成立しない場合、ステップ１２０５
へいく（ステップ１２０３）。ステップ１２０４では、
無限遠点を出力する。Ｚ２＝Ｘ１ ２Ｚ１ ２とし（ステッ
プ１２０５）、Ｓ＝ｂＺ１ ４とし（ステップ１２０
６）、Ｘ１ ４＋ＳをＸ２に代入し（ステップ１２０
７）、［Ｘ２，Ｚ２］を出力する（ステップ１２０
８）。かかる方法により、相異なる変数の乗算２回で加
算演算を実行できる。
【００７０】以上により、与えられた座標（ｘ，ｙ）の
ｄスカラー倍のｘ座標を求める処理において、ｄの各ビ
ットあたり８回の相異なる乗算処理で実現し、与えられ
たｘ座標に対して、乱数ｋにより［ｋｘ，ｋ］をスカラ
ー倍初期値とすることによって、ｄ（ｘ，ｙ）処理時間
の偏差情報から秘密鍵情報がもれない方法を示した。暗
号解読ＤＰＡに対して、ｄ（ｘ，ｙ）の処理電流（電
圧、電力）の偏差情報から秘密鍵情報がもれない方法を
示している。
【００７１】次に第５実施例を説明する。第２実施例で
は、射影座標を任意のλ≠０について，［Ｘ，Ｙ，Ｚ］
＝［λ２Ｘ，λ３Ｙ，λＺ］とするものを説明したが、
［Ｘ，Ｙ，Ｚ］＝［λＸ，λＹ，λＺ］とする射影座標
で実施することもできる。
【００７２】アフィン座標から、射影座標への変換を
（ｘ，ｙ）→［ｘ，ｙ，１］とする場合、Ｚ４＝１ と
できる。
【００７３】＜第５実施例スカラー倍方法＞Ｒのｘ座標
の射影座標成分Ｘ０、スカラー値ｍを入力とし、Ｒのｍ
倍の点のｘ座標の射影座標成分Ｘｍを出力とする。ｍ，
Ｘ０を入力し（ステップ１３０２）、乱数ｋを生成し
（ステップ１３０３）、ｋＸ０をＸ１に代入する（ステ
ップ１３０４）。１をＺ１に代入する（ステップ１３０
５）。［Ｘ１，Ｚ１］を［Ｘ４，Ｚ４］に代入し（ステ
ップ１３０６）、［Ｘ１，Ｚ１］を２倍方法に入力し、
出力を［Ｘ２，Ｚ２］へ代入する（ステップ１３０
７）。ｍの２進数表現をｈｉｈｉ−１．．．ｈ０とす
る。ただし、最上位ビットｈｉは１である（ステップ１
３０８）。１をｉに代入する（ステップ１３０９）。ｉ
−１をｉに代入し（ステップ１３１０）、［Ｘ１， Ｚ
１］、［Ｘ２，Ｚ２］、Ｘ４を加算方法に入力し、出力
を［Ｘ３，Ｚ３］へ代入する（ステップ１３１１）。ｈ
ｉ＝＝０ならば、ステップ１３１２へ、１ならばステッ
プ１３１４へ進む（ステップ１３１２）。［Ｘ１，
Ｚ１］を２倍方法に入力し、出力を［Ｘ１，Ｚ１］に代
入する（ステップ１３１３）。［Ｘ３，Ｚ３］を
［Ｘ２，Ｚ２］へ代入し、ステップ１３１６へいく（ス
テップ１３１４）。［Ｘ２，Ｚ２］を２倍方法に入力
し、出力を［Ｘ２，Ｚ２］に代入する（ステップ１３１
５）。［Ｘ３，Ｚ３］を［Ｘ１，Ｚ１］へ代入し、ステ
ップ１３１６へいく（ステップ１３１６）。ｉ＞０なら
ばステップ１３００へ進む（ステップ１３１７）。Ｘ１
／Ｚ１をＸｍに代入し（ステップ１３１８）、Ｘｍを出
力する（ステップ１３１９）。
【００７４】＜第５実施例加算方法＞［Ｘ１，Ｚ１］，
［Ｘ２，Ｚ２］，Ｘ４を入力とし、［Ｘ３，Ｚ３］また
は無限遠点を出力とする。［Ｘ１，Ｚ１］，［Ｘ２，Ｚ
２］，Ｘ４を入力する（ステップ１４０２）。Ｘ１Ｚ２
をＳ１に代入し（ステップ１４０３）、Ｘ２Ｚ１をＳ２
に代入し（ステップ１４０４）、Ｓ１＋Ｓ２をＢに代入
する（ステップ１４０５）。Ｂ＝＝０の場合、ステップ
１４０７へ、成立しない場合ステップ１４０８へ進む
（ステップ１４０６）。無限遠点を出力し、ステップ１
４１３へいく（ステップ１４０７）。次に、Ｂ２をＺ３
に代入し（ステップ１４０８）、Ｓ１Ｓ２をＳに代入し
（ステップ１４０９）、（Ｘ４Ｂ２）をＭに代入し（ス
テップ１４１０）、Ｍ＋ＳをＸ３に代入し（ステップ１
４１１）し、［Ｘ３，Ｚ３］を出力する（ステップ１４
１２）。以上により、相異なる変数の乗算４回で加算演
算を実行できる。なお、２倍演算は、前述した実施例の
２倍演算を利用する。尚、本実施例は２の拡大体上、素
体上の楕円曲線どちらにも適用可能である。
【００７５】次に第６実施例を説明する。図１の楕円曲
線演算部を、図９における９０１の楕円曲線演算装置で
実施する。９０１は点のｘ座標Ｘ０、スカラー値ｍ、２
の拡大体上の楕円曲線の標準形ｙ２＋ｘｙ＝ｘ３＋ａｘ
２＋ｂにおいけるｂを入力し（９０２）、ｍ倍の点のｘ
座標をＸｍ出力する（９０３）。尚、本実施例は２の拡
大体上の楕円曲線で説明するが、素体上の楕円曲線を用
いた場合も同様の方法で実現可能である。
【００７６】乱数生成部９０４は、乱数ｋを生成し、ｋ
を出力する（９０５）。射影座標変換部９０６には乱数
生成部９０４からの乱数ｋの他、ｘ座標Ｘ０とスカラー
値ｍ、ｂを入力し（９０５）、射影座標［ｋＸ０，ｋ］
に変換する。これを［Ｘ１，Ｚ１］とする。スカラー倍
部９０８は射影座標［Ｘ１，Ｚ１］とスカラー値ｍを入
力し、［Ｘ１，Ｚ１］のｍ倍点を求め、そのｘ座標Ｘｍ
を出力する。ここで、スカラー倍部９０８は、先ず、
［Ｘ１，Ｚ１］を［Ｘ４，Ｚ４］へ代入する。かかる
［Ｘ４，Ｚ４］は、例えばスカラー倍部のメモリに予め
記憶させておく。また［Ｘ１，Ｚ１］を９１３へ出力し
て、２倍点［Ｘ２，Ｚ２］を得る。次に、ｍを２進数展
開して、上位ビットからビットが０の場合［Ｘ１，
Ｚ１］を９１３に出力して９１３の出力である２倍点を
［Ｘ１，Ｚ１］に代入する。その後［Ｘ１，Ｚ１］、
［Ｘ２，Ｚ２］、［Ｘ４，Ｚ４］を９１０へ入力して出
力である加算点を［Ｘ２，Ｚ２］に代入する。ビットが
１の場合［Ｘ２，Ｚ２］を９１３に出力して９１３の出
力である２倍点を［Ｘ２，Ｚ２］に代入する。その後
［Ｘ１，Ｚ１］、［Ｘ２，Ｚ２］、［Ｘ４，Ｚ４］を９
１０へ入力して出力である加算点を［Ｘ１，Ｚ１］に代
入することによりｍ倍の点のＸｍ座標を得る。
【００７７】加算演算部９１０では、［Ｘ１，Ｚ１］
［Ｘ２，Ｚ２］［Ｘ４，Ｚ４］を入力し、［Ｘ３，
Ｚ３］＝［Ｘ２，Ｚ２］＋［Ｘ１，Ｚ１］、［Ｘ４，Ｚ
４］＝［Ｘ２，Ｚ２］−［Ｘ１，Ｚ１］となる［Ｘ３，
Ｚ３］を以下のように求め出力する。
【００７８】先ず、Ｓ１←Ｘ１Ｚ２ ２、Ｓ２←Ｘ２Ｚ１
２、Ｂ←Ｓ１＋Ｓ２を計算する。ここでＢ＝＝０の場
合、無限遠点を出力し終了となる。Ｂ＝０が成立しない
場合、Ｚ３←Ｚ４Ｂ、Ｓ←Ｚ４ ２Ｓ１Ｓ２、Ｍ ←Ｘ４
Ｚ３ ２、Ｘ３←Ｍ＋Ｓを計算する。
【００７９】２倍演算部９１３では、［Ｘ１，Ｚ１］、
ｂを入力し、［Ｘ２，Ｚ２］＝［Ｘ１，Ｚ１］＋
［Ｘ１，Ｚ１］となる［Ｘ２，Ｚ２］を以下のように求
め出力する。すなわち、Ｘ１＝＝０またはＺ１ ＝＝０
の場合、無限遠点を出力する。他の場合、Ｓ←Ｚ１ ２、
Ｚ２←Ｘ１Ｓ、Ｘ２←Ｘ１ ４＋ｂ（Ｓ）４を計算する。
【００８０】上記実施例では、ｘ座標Ｘ０を射影座標
［ｋＸ０，ｋ］に変換した例を説明したが、射影座標
［ｋ２Ｘ０，ｋ］に変換する場合にも適用可能である。
【００８１】尚、上述した実施例にかかるプログラムは
記録媒体に格納しておくことも可能である。
【００８２】
【発明の効果】本発明により前記従来のより、高速に楕
円曲線暗号処理を実行できる。また、楕円曲線暗号の実
行方法において、ｄ（ｘ，ｙ）の処理時間がｄのビット
パターンに依存しない処理方法を与えることによって、
偏差情報から秘密鍵情報がもれずに処理できる。
【図面の簡単な説明】
【図１】本発明の楕円曲線暗号システムにおける処理の
流れを示す図である。
【図２】本発明の第１の実施例を示す楕円曲線暗号実行
方法及び装置においてスカラー倍方法を示すフローチャ
ートである。
【図３】本発明の第１の実施例を示す楕円曲線暗号実行
方法及び装置においてスカラー倍方法を示すフローチャ
ートである。
【図４】本発明の第１の実施例を示す楕円曲線暗号実行
方法及び装置を実行するための加算演算のフローチャー
トである。
【図５】本発明の第１の実施例を示す楕円曲線暗号実行
方法及び装置を実行するための２倍演算のフローチャー
トである。
【図６】本発明の第２の実施例を示す楕円曲線暗号実行
方法及び装置においてスカラー倍方法を示すフローチャ
ートである。
【図７】本発明の第２の実施例を示す楕円曲線暗号実行
方法及び装置においてスカラー倍方法を示すフローチャ
ートである。
【図８】本発明の第２の実施例を示す楕円曲線暗号実行
方法及び装置を実行するための加算演算のフローチャー
トである。
【図９】本発明の楕円曲線演算装置を構成図である。
【図１０】本発明の楕円曲線暗号システムの構成図であ
る。
【符号の説明】
１０１ 楕円曲線生成部、 １０２ 公開鍵、秘密鍵生成部、 １０３ 暗号化部、 １０４ 復号化部、 １０５ 素数生成部、 １０６ 楕円曲線パラメタ設定、 １０７ ベースポイント生成部、 １０８ 乱数生成部、 １０９ 楕円曲線演算部、 １１０ データ暗号化処理部、 １１１ データ復号化処理部、 １１２ 暗号文、 １１３ 平文。

Claims (7)

    【特許請求の範囲】
  1. 【請求項１】楕円曲線がｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂ
    である、２の拡大体上の楕円曲線暗号の実行方法であっ
    て、各座標成分が前記楕円曲線上の点である点Ｐ１（ｘ
    １，ｙ１），Ｐ２（ｘ２，ｙ２）の加算をＰ３（ｘ３，
    ｙ３）とし、点Ｐ１（ｘ１，ｙ１），Ｐ２（ｘ２，ｙ
    ２）の減算をＰ４（ｘ４，ｙ４）とした場合、前記ｘ１
    を入力するステップと、前記入力されたｘ１を射影空間
    のＸ座標、Ｚ座標［Ｘ１，Ｚ１］に変換するステップ
    と、前記射影空間の座標［Ｘ１，Ｚ１］を記憶するステ
    ップと、前記ｘ２を［Ｘ２，Ｚ２］に変換するステップ
    と、前記［Ｘ２，Ｚ２］を記憶するステップと、前記ｘ
    ４を［Ｘ４，Ｚ４］に変換するステップと、前記
    ［Ｘ４，Ｚ４］を記憶するステップと、前記記憶された
    ［Ｘ１，Ｚ１］，［Ｘ２ ，Ｚ２］，［Ｘ４，Ｚ４］か
    ら［Ｘ３，Ｚ３］を求めるステップと、前記［Ｘ３，Ｚ
    ３］からｘ３に変換するステップと、前記ｘ３を出力す
    るステップとからなり、点Ｐ１（ｘ１，ｙ１）のスカラ
    ー倍を計算することを特徴とする楕円曲線暗号実行方
    法。
  2. 【請求項２】請求項１記載の楕円曲線暗号実行方法であ
    って、乱数ｋを生成するステップと、前記生成された乱
    数ｋを記憶するステップと、ｘ座標を射影座標に変換し
    た後、射影空間の各座標成分と前記記憶された乱数ｋと
    演算させて、射影座標［ｋ２ｘ，ｋ］に変換するステッ
    プとを有することを特徴とする請求項１記載の楕円曲線
    暗号実行方法。
  3. 【請求項３】請求項１記載の楕円曲線暗号実行方法であ
    って、乱数ｋを生成するステップと、前記生成された乱
    数ｋを記憶するステップと、ｘ座標を射影座標に変換し
    た後、射影空間の各座標成分と前記記憶された乱数ｋと
    演算させて、射影座標［ｋｘ，ｋ］に変換するステップ
    とを有することを特徴とする請求項１記載の楕円曲線暗
    号実行方法。
  4. 【請求項４】請求項１記載の楕円曲線暗号実行方法であ
    って、記憶された［Ｘ１，Ｚ１］，［Ｘ２，Ｚ２］，
    ［Ｘ４，Ｚ４］からｘ３に変換できる［Ｘ３，Ｚ３］を
    求めるステップには、Ｂ＝Ｘ１Ｚ２ ２＋Ｘ２Ｚ１ ２を計
    算するステップと、前記計算されたＢを記憶するステッ
    プと、前記記憶されたＢをＢ＝０であるか否かをを判別
    するステップと、Ｂ＝０の場合は無限遠点を出力し、Ｂ
    ＝０でない場合はＺ３＝Ｚ４Ｂを計算するステップと、
    前記計算されたＺ３を記憶するステップと、前記記憶さ
    れたＺ３からＸ３＝Ｘ４Ｚ３ ２＋Ｘ１Ｘ２Ｚ１ ２Ｚ２ ２
    Ｚ４ ２を計算するステップとを有することを特徴とする
    請求項１記載の楕円曲線暗号実行方法。
  5. 【請求項５】請求項１記載の楕円曲線暗号実行方法であ
    って、記憶された［Ｘ１，Ｚ１］，［Ｘ２，Ｚ２］，
    ［Ｘ４，Ｚ４］からｘ３に変換できる［Ｘ３，Ｚ３］を
    求めるステップには、 Ｂ＝Ｘ１Ｚ２＋Ｘ２Ｚ１を計算
    するステップと、前記計算されたＢを記憶するステップ
    と、前記記憶されたＢをＢ＝０であるか否かをを判別す
    るステップと、Ｂ＝０の場合は無限遠点を出力し、Ｂ＝
    ０でない場合はＺ３＝Ｚ４ ２Ｂ２及びＸ３＝Ｘ４Ｂ２＋
    Ｘ１Ｘ２Ｚ１Ｚ２Ｚ４ ２を計算するステップとを有する
    ことを特徴とする請求項１記載の楕円曲線暗号実行方
    法。
  6. 【請求項６】楕円曲線がｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂ
    である、２の拡大体上の楕円曲線暗号の演算装置であっ
    て、乱数ｋを生成する乱数生成部と、２の拡大体上の座
    標ｘ０と前記乱数ｋとを入力し、射影座標［ｋｘ０，
    ｋ］＝［Ｘ１，Ｚ１］に変換する射影座標変換部と、前
    記［Ｘ１，Ｚ１］から２倍点を演算し出力する２倍演算
    部と、前記［Ｘ１，Ｚ１］から加算点を求め出力する加
    算演算部と、前記射影座標変換部と前記２倍演算部と前
    記加算演算部からの情報を得て、座標ｘ０をスカラー倍
    するスカラー倍部とを有することを特徴とする楕円曲線
    演算装置。
  7. 【請求項７】楕円曲線がｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂ
    である、２の拡大体上の楕円曲線暗号の実行方法を格納
    した記録媒体であって、前記楕円曲線暗号の実行方法は
    以下を含む：各座標成分が前記楕円曲線上の点である点
    Ｐ１（ｘ１，ｙ１），Ｐ２（ｘ２，ｙ２）の加算をＰ３
    （ｘ３，ｙ３）とし、点Ｐ１（ｘ１，ｙ１），Ｐ２（ｘ
    ２，ｙ２）の減算をＰ４（ｘ４，ｙ４）とした場合、前
    記ｘ１を入力するステップと、前記入力されたｘ１を射
    影空間のＸ座標、Ｚ座標［Ｘ１，Ｚ１］に変換するステ
    ップと、前記射影空間の座標［Ｘ１，Ｚ１］を記憶する
    ステップと、前記ｘ２を［Ｘ２，Ｚ２］に変換するステ
    ップと、前記［Ｘ２，Ｚ２］を記憶するステップと、前
    記ｘ４を［Ｘ４，Ｚ４］に変換するステップと、前記
    ［Ｘ４，Ｚ４］を記憶するステップと、前記記憶された
    ［Ｘ１，Ｚ１］，［Ｘ２ ，Ｚ２］，［Ｘ４，Ｚ４］か
    ら［Ｘ３，Ｚ３］を求めるステップと、前記［Ｘ３，Ｚ
    ３］からｘ３に変換するステップと、前記ｘ３を出力す
    るステップとからなり、点Ｐ１（ｘ１，ｙ１）のスカラ
    ー倍を計算する。
JP36427798A 1998-12-22 1998-12-22 楕円曲線暗号実行方法及び装置並びに記録媒体 Expired - Fee Related JP3796993B2 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP36427798A JP3796993B2 (ja) 1998-12-22 1998-12-22 楕円曲線暗号実行方法及び装置並びに記録媒体
CA002292817A CA2292817C (en) 1998-12-22 1999-12-20 Method and apparatus for elliptic curve cryptography and recording medium therefor
EP99310340A EP1014617A3 (en) 1998-12-22 1999-12-21 Method and apparatus for elliptic curve cryptography and recording medium therefor
US09/468,948 US6876745B1 (en) 1998-12-22 1999-12-22 Method and apparatus for elliptic curve cryptography and recording medium therefore

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP36427798A JP3796993B2 (ja) 1998-12-22 1998-12-22 楕円曲線暗号実行方法及び装置並びに記録媒体

Publications (2)

Publication Number Publication Date
JP2000187438A true JP2000187438A (ja) 2000-07-04
JP3796993B2 JP3796993B2 (ja) 2006-07-12

Family

ID=18481429

Family Applications (1)

Application Number Title Priority Date Filing Date
JP36427798A Expired - Fee Related JP3796993B2 (ja) 1998-12-22 1998-12-22 楕円曲線暗号実行方法及び装置並びに記録媒体

Country Status (4)

Country Link
US (1) US6876745B1 (ja)
EP (1) EP1014617A3 (ja)
JP (1) JP3796993B2 (ja)
CA (1) CA2292817C (ja)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030078350A (ko) * 2002-03-29 2003-10-08 박근수 타원 곡선 암호에서 단위원의 ｎ-제곱근 함수를 이용한프로베니우스 전개 방법
WO2005008955A1 (ja) * 2003-07-22 2005-01-27 Fujitsu Limited 個人鍵を用いた耐タンパ暗号処理
KR100731575B1 (ko) 2005-06-29 2007-06-22 경북대학교 산학협력단 전력분석공격에 대응하는 암호화 방법
KR100817048B1 (ko) 2005-03-05 2008-03-26 삼성전자주식회사 여러 가지 포인트 표현을 기반으로 한 ｅｃｃ에서 ｄｆａ대책을 위한 암호화 방법 및 장치
KR100850202B1 (ko) 2006-03-04 2008-08-04 삼성전자주식회사 Ｅｃｃ 패스트 몽고매리 전력 래더 알고리즘을 이용하여ｄｆａ 에 대응하는 암호화 방법
JP2009500892A (ja) * 2005-06-29 2009-01-08 コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ 攻撃又は解析に対してデータ処理装置を保護するための装置及び方法
US7555122B2 (en) 2002-12-04 2009-06-30 Wired Communications LLC Method for elliptic curve point multiplication
JP2010539519A (ja) * 2006-09-29 2010-12-16 シーメンス アクチエンゲゼルシヤフト 暗号化されたデータ交換を行う方法、および通信システム
WO2011033672A1 (ja) * 2009-09-18 2011-03-24 株式会社東芝 演算装置、方法およびプログラム
US7940936B2 (en) 2006-12-15 2011-05-10 Samsung Electronics Co., Ltd. Public key generation method in elliptic curve cryptography and public key generation system executing the method
US7940927B2 (en) 2005-04-27 2011-05-10 Panasonic Corporation Information security device and elliptic curve operating device
KR101763443B1 (ko) * 2010-01-13 2017-07-31 마이크로소프트 테크놀로지 라이센싱, 엘엘씨 집적된 역수 연산들을 이용한 곡선 상의 페어링 결정

Families Citing this family (61)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002023795A1 (en) * 2000-09-11 2002-03-21 Zhang Jinglong F A method and apparatus employing one-way transforms
JP3794266B2 (ja) * 2000-11-08 2006-07-05 株式会社日立製作所 楕円曲線スカラー倍計算方法及び装置並びに記憶媒体
DE10057203C1 (de) * 2000-11-17 2002-06-06 Cv Cryptovision Gmbh Verfahren zur Berechnung eines digitalen Signalwertes für ein cryptographisches Verfahren
WO2002082717A1 (en) * 2001-04-05 2002-10-17 Kent Ridge Digital Labs Method and apparatus for constructing efficient elliptic curve cryptosystems
US7308469B2 (en) * 2001-06-15 2007-12-11 Robert Joseph Harley Method for generating secure elliptic curves using an arithmetic-geometric mean iteration
FR2828779B1 (fr) * 2001-08-17 2004-01-16 Gemplus Card Int Procede de calcul universel applique a des points d'une courbe elliptique
US20040001590A1 (en) * 2002-06-27 2004-01-01 Eisentraeger Anne Kirsten Efficient elliptic curve double-and-add calculator
US7961873B2 (en) * 2004-03-03 2011-06-14 King Fahd University Of Petroleum And Minerals Password protocols using XZ-elliptic curve cryptography
US7379546B2 (en) * 2004-03-03 2008-05-27 King Fahd University Of Petroleum And Minerals Method for XZ-elliptic curve cryptography
US7961874B2 (en) * 2004-03-03 2011-06-14 King Fahd University Of Petroleum & Minerals XZ-elliptic curve cryptography with secret key embedding
US7764785B2 (en) * 2004-11-08 2010-07-27 King Fahd University Of Petroleum And Minerals Method for communicating securely over an insecure communication channel
EP1675299B1 (en) * 2004-12-23 2018-08-01 Hewlett-Packard Development Company, L.P. Authentication method using bilinear mappings
CA2935823C (en) * 2005-01-18 2019-01-15 Certicom Corp. Accelerated verification of digital signatures and public keys
EP1775880A1 (en) * 2005-10-11 2007-04-18 STMicroelectronics S.r.l. Method of processing information to be confidentially transmitted
ATE464599T1 (de) 2005-10-18 2010-04-15 Telecom Italia Spa Verfahren zur skalarmultiplikation in gruppen elliptischer kurven über primkörpern für nebenkanal-attacken-beständige kryptosysteme
ATE466329T1 (de) 2005-10-28 2010-05-15 Telecom Italia Spa Verfahren zur skalarmultiplikation in gruppen elliptischer kurven über binäre polynomische körper für nebenkanalattacken-beständige kryptosysteme
US7864951B2 (en) * 2006-07-10 2011-01-04 King Fahd University Of Petroleum And Minerals Scalar multiplication method with inherent countermeasures
US8997255B2 (en) 2006-07-31 2015-03-31 Inside Secure Verifying data integrity in a data storage device
KR20080012633A (ko) * 2006-08-04 2008-02-12 삼성전자주식회사 고속 몽고메리 전력 래더 알고리즘에서 사용되는 폴트 검출동작을 구현하기 위한 소수 유한 영역에서의 포인트 덧셈방법 및 덧셈 연산 장치
US8352752B2 (en) 2006-09-01 2013-01-08 Inside Secure Detecting radiation-based attacks
US7856101B2 (en) * 2007-02-07 2010-12-21 King Fahd University Of Petroleum And Minerals Method for elliptic curve scalar multiplication
US8050403B2 (en) * 2007-03-06 2011-11-01 Research In Motion Limited Method and apparatus for generating a public key in a manner that counters power analysis attacks
US8160245B2 (en) * 2007-03-07 2012-04-17 Research In Motion Limited Methods and apparatus for performing an elliptic curve scalar multiplication operation using splitting
US8102998B2 (en) * 2007-05-02 2012-01-24 King Fahd University Of Petroleum And Minerals Method for elliptic curve scalar multiplication using parameterized projective coordinates
US20080273695A1 (en) * 2007-05-02 2008-11-06 Al-Gahtani Theeb A Method for elliptic curve scalar multiplication using parameterized projective coordinates
US7986779B2 (en) * 2007-06-30 2011-07-26 Intel Corporation Efficient elliptic-curve cryptography based on primality of the order of the ECC-group
US8559625B2 (en) * 2007-08-07 2013-10-15 Inside Secure Elliptic curve point transformations
US7991162B2 (en) * 2007-09-14 2011-08-02 University Of Ottawa Accelerating scalar multiplication on elliptic curve cryptosystems over prime fields
US8233615B2 (en) 2008-01-15 2012-07-31 Inside Secure Modular reduction using a special form of the modulus
US8619977B2 (en) * 2008-01-15 2013-12-31 Inside Secure Representation change of a point on an elliptic curve
US8422685B2 (en) 2008-02-26 2013-04-16 King Fahd University Of Petroleum And Minerals Method for elliptic curve scalar multiplication
EP2124382A1 (de) * 2008-05-20 2009-11-25 Siemens Aktiengesellschaft Verfahren zum verschlüsselten Datenaustausch und Kommunikationssystem
JP5233449B2 (ja) * 2008-07-02 2013-07-10 日本電気株式会社 署名生成装置、ならびに、署名検証装置
US20140314229A1 (en) * 2011-12-09 2014-10-23 Morpho Cryptography on a simplified elliptical curve
US20170207918A1 (en) 2009-06-16 2017-07-20 Morpho Cryptography on an elliptical curve
FR2946819B1 (fr) * 2009-06-16 2011-07-01 Sagem Securite Cryptographie sur une courbe elliptique.
US8385541B2 (en) * 2010-02-18 2013-02-26 King Fahd University Of Petroleum And Minerals Method of performing elliptic polynomial cryptography with elliptic polynomial hopping
US8331558B2 (en) * 2010-02-18 2012-12-11 King Fahd University Of Petroleum And Minerals Method of cipher block chaining using elliptic curve cryptography
US8189775B2 (en) * 2010-02-18 2012-05-29 King Fahd University Of Petroleum & Minerals Method of performing cipher block chaining using elliptic polynomial cryptography
US8699701B2 (en) 2010-12-01 2014-04-15 King Fahd University Method of performing XZ-elliptic curve cryptography for use with network security protocols
US8509426B1 (en) 2010-12-01 2013-08-13 King Fahd University Of Petroleum And Minerals XZ-elliptic curve cryptography system and method
WO2012090289A1 (ja) * 2010-12-27 2012-07-05 富士通株式会社 暗号処理装置および方法
US8635467B2 (en) 2011-10-27 2014-01-21 Certicom Corp. Integrated circuit with logic circuitry and multiple concealing circuits
US8334705B1 (en) 2011-10-27 2012-12-18 Certicom Corp. Analog circuitry to conceal activity of logic circuitry
CN102664889A (zh) * 2012-04-23 2012-09-12 网经科技（苏州）有限公司 基于椭圆曲线的ims媒体双向加密方法
US10148285B1 (en) 2012-07-25 2018-12-04 Erich Schmitt Abstraction and de-abstraction of a digital data stream
US10795858B1 (en) 2014-02-18 2020-10-06 Erich Schmitt Universal abstraction and de-abstraction of a digital data stream
CN104717072A (zh) * 2015-03-10 2015-06-17 南京师范大学 基于感知哈希与椭圆曲线的遥感影像认证方法
US10372886B2 (en) * 2015-05-05 2019-08-06 Nxp B.V. Protecting the input/output of modular encoded white-box RSA/ECC
US10181944B2 (en) 2015-06-16 2019-01-15 The Athena Group, Inc. Minimizing information leakage during modular exponentiation and elliptic curve point multiplication
BR112018016782A2 (pt) 2016-02-23 2018-12-26 Nchain Holdings Ltd sistema e método implementado por computador configurado para controlar uma transferência feita através de um blockchain
WO2017145010A1 (en) 2016-02-23 2017-08-31 nChain Holdings Limited Secure multiparty loss resistant storage and transfer of cryptographic keys for blockchain based systems in conjunction with a wallet management system
BR112018016822A2 (pt) 2016-02-23 2018-12-26 Nchain Holdings Ltd método implementado por computador para realizar uma troca de entidades entre um primeiro usuário e um segundo usuário, processador e meio legível por computador
JP6942136B2 (ja) 2016-02-23 2021-09-29 エヌチェーン ホールディングス リミテッドＮｃｈａｉｎ Ｈｏｌｄｉｎｇｓ Ｌｉｍｉｔｅｄ デジタルコンテンツの制御及び配信のためのブロックチェーンにより実施される方法
BR112018016819A2 (pt) 2016-02-23 2018-12-26 Nchain Holdings Ltd método e sistemas para proteger um recurso digital controlado utilizando uma tabela de dispersão e livro-razão distribuídos e um blockchain
WO2017145019A1 (en) 2016-02-23 2017-08-31 nChain Holdings Limited Registry and automated management method for blockchain-enforced smart contracts
LT3268914T (lt) 2016-02-23 2018-11-12 nChain Holdings Limited Bendros paslapties, skirtos saugiems informacijos mainams, nustatymas ir hierarchiniai determinuoti kriptografiniai raktai
EP3420669B1 (en) 2016-02-23 2021-03-24 Nchain Holdings Limited Cryptographic method and system for secure extraction of data from a blockchain
JP6528008B2 (ja) * 2016-02-23 2019-06-12 エヌチェーン ホールディングス リミテッドＮｃｈａｉｎ Ｈｏｌｄｉｎｇｓ Ｌｉｍｉｔｅｄ 秘密共有のための楕円曲線暗号化を利用したパーソナルデバイスセキュリティ
EP3420675B1 (en) 2016-02-23 2020-03-11 Nchain Holdings Limited Blockchain implemented counting system and method for use in secure voting and distribution
US11146397B2 (en) * 2017-10-31 2021-10-12 Micro Focus Llc Encoding abelian variety-based ciphertext with metadata

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6307935B1 (en) * 1991-09-17 2001-10-23 Apple Computer, Inc. Method and apparatus for fast elliptic encryption with direct embedding
US5442707A (en) * 1992-09-28 1995-08-15 Matsushita Electric Industrial Co., Ltd. Method for generating and verifying electronic signatures and privacy communication using elliptic curves
US5497423A (en) * 1993-06-18 1996-03-05 Matsushita Electric Industrial Co., Ltd. Method of implementing elliptic curve cryptosystems in digital signatures or verification and privacy communication
EP0874307B2 (en) * 1997-03-25 2016-12-28 Certicom Corp. Accelerated finite field operations on an elliptic curve
FR2791497B1 (fr) * 1999-03-26 2001-05-18 Gemplus Card Int Procedes de contre-mesure dans un composant electronique mettant en oeuvre un algorithme de crytographie a cle publique de type courbe elliptique

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030078350A (ko) * 2002-03-29 2003-10-08 박근수 타원 곡선 암호에서 단위원의 ｎ-제곱근 함수를 이용한프로베니우스 전개 방법
US7555122B2 (en) 2002-12-04 2009-06-30 Wired Communications LLC Method for elliptic curve point multiplication
US8027467B2 (en) 2002-12-04 2011-09-27 Wired Connections Llc Method for elliptic curve point multiplication
WO2005008955A1 (ja) * 2003-07-22 2005-01-27 Fujitsu Limited 個人鍵を用いた耐タンパ暗号処理
JPWO2005008955A1 (ja) * 2003-07-22 2006-09-07 富士通株式会社 個人鍵を用いた耐タンパ暗号処理
JP4632950B2 (ja) * 2003-07-22 2011-02-16 富士通株式会社 個人鍵を用いた耐タンパ暗号処理
KR100817048B1 (ko) 2005-03-05 2008-03-26 삼성전자주식회사 여러 가지 포인트 표현을 기반으로 한 ｅｃｃ에서 ｄｆａ대책을 위한 암호화 방법 및 장치
US7940927B2 (en) 2005-04-27 2011-05-10 Panasonic Corporation Information security device and elliptic curve operating device
JP2009500892A (ja) * 2005-06-29 2009-01-08 コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ 攻撃又は解析に対してデータ処理装置を保護するための装置及び方法
KR100731575B1 (ko) 2005-06-29 2007-06-22 경북대학교 산학협력단 전력분석공격에 대응하는 암호화 방법
US8738927B2 (en) 2005-06-29 2014-05-27 Irdeto B.V. Arrangement for and method of protecting a data processing device against an attack or analysis
KR100850202B1 (ko) 2006-03-04 2008-08-04 삼성전자주식회사 Ｅｃｃ 패스트 몽고매리 전력 래더 알고리즘을 이용하여ｄｆａ 에 대응하는 암호화 방법
JP2010539519A (ja) * 2006-09-29 2010-12-16 シーメンス アクチエンゲゼルシヤフト 暗号化されたデータ交換を行う方法、および通信システム
US8707038B2 (en) 2006-09-29 2014-04-22 Siemens Aktiengesellschaft Method for the encrypted data exchange and communication system
US7940936B2 (en) 2006-12-15 2011-05-10 Samsung Electronics Co., Ltd. Public key generation method in elliptic curve cryptography and public key generation system executing the method
WO2011033672A1 (ja) * 2009-09-18 2011-03-24 株式会社東芝 演算装置、方法およびプログラム
JP5323196B2 (ja) * 2009-09-18 2013-10-23 株式会社東芝 演算装置、方法およびプログラム
US8924448B2 (en) 2009-09-18 2014-12-30 Kabushiki Kaisha Toshiba Arithmetic device, method, and program product
KR101763443B1 (ko) * 2010-01-13 2017-07-31 마이크로소프트 테크놀로지 라이센싱, 엘엘씨 집적된 역수 연산들을 이용한 곡선 상의 페어링 결정

Also Published As

Publication number Publication date
CA2292817C (en) 2004-02-17
US6876745B1 (en) 2005-04-05
JP3796993B2 (ja) 2006-07-12
CA2292817A1 (en) 2000-06-22
EP1014617A2 (en) 2000-06-28
EP1014617A3 (en) 2002-08-21

Similar Documents

Publication Publication Date Title
JP3796993B2 (ja) 楕円曲線暗号実行方法及び装置並びに記録媒体
JP3862500B2 (ja) 直接埋め込み方式による高速楕円曲線暗号化の方法と装置
US7536011B2 (en) Tamper-proof elliptic encryption with private key
JP4668931B2 (ja) 電力解析攻撃に対する耐タンパ性を持った暗号化処理装置
US20040250081A1 (en) Method and apparatus for digital signature authentication
US20080260143A1 (en) Xz-elliptic curve cryptography with secret key embedding
US6266688B1 (en) Scheme for arithmetic operations in finite field and group operations over elliptic curves realizing improved computational speed
US20110161390A1 (en) Modular multiplication processing apparatus
JP2008252299A (ja) 暗号処理システム及び暗号処理方法
EP0704124A1 (en) A cryptographic method
US6480606B1 (en) Elliptic curve encryption method and system
JP2004501385A (ja) 楕円曲線暗号化方法
JP2003098962A (ja) 楕円曲線スカラー倍計算方法及び装置並びに記録媒体
Paar et al. The RSA cryptosystem
JP4690819B2 (ja) 楕円曲線暗号におけるスカラー倍計算方法およびスカラー倍計算装置
JP2005195829A (ja) 復号または署名作成におけるべき乗剰余算の計算方法
JP4502817B2 (ja) 楕円曲線スカラー倍計算方法および装置
JP4598269B2 (ja) 楕円曲線上の高速有限体演算
Li et al. A novel algorithm for scalar multiplication in ECDSA
Siddavaatam et al. An adaptive security framework with extensible computational complexity for cipher systems
JP4692022B2 (ja) 楕円曲線暗号におけるスカラー倍計算装置、及び、そのプログラム
JP3966714B2 (ja) 暗号処理方法、そのプログラム及びその記録媒体
JP2004205870A (ja) 超楕円曲線スカラー倍演算方法及び装置
US7480380B2 (en) Method for efficient generation of modulo inverse for public key cryptosystems
JPH02273779A (ja) ディジタル署名装置

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20041019

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20041216

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20060328

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20060410

LAPS Cancellation because of no payment of annual fees