JP2000214772A - 暗号化方法及び暗号通信方法並びに暗号文作成装置 - Google Patents

Abstract

(57)【要約】 【課題】 ＬＬＬ法に対して強い積和型の暗号化方法，
暗号通信方法を提供する。 【解決手段】 送信側のエンティティａで、伝送すべき
平文ｘをその成分のビット数を不均一にして平文ベクト
ルｍに分割し、分割した平文ベクトルｍと公開鍵ベクト
ルｃとを用いて積和型の暗号文Ｃを作成し、通信路１０
を介して受信側のエンティティｂへ伝送する。平文ベク
トルｍにおける各成分のビット数は送信側のエンティテ
ィａが任意に設定する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、平文を積和型の暗
号文に変換するための暗号化方法、この暗号化方法を利
用した暗号通信方法、及び、その暗号文を作成する暗号
文を作成装置に関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化方式は、大別すると共通鍵暗号系と
公開鍵暗号系との二つに分類できる。共通鍵暗号系で
は、暗号化鍵と復号鍵とが等しく、送信者と受信者とが
同じ鍵を持つことによって暗号通信を行う。送信者が平
文を秘密の共通鍵に基づいて暗号化して受信者に送り、
受信者はこの共通鍵を用いて暗号文を元に平文に復号す
る。

【０００５】これに対して公開鍵暗号系では、暗号化鍵
と復号鍵とが異なっており、公開されている受信者の公
開鍵で送信者が平文を暗号化し、受信者が自身の秘密鍵
でその暗号文を復号することによって暗号通信を行う。
公開鍵は暗号化のための鍵、秘密鍵は公開鍵によって変
換された暗号文を復号するための鍵であり、公開鍵によ
って変換された暗号文は秘密鍵でのみ復号することがで
きる。

【０００６】このような公開鍵暗号系の１つの方式とし
て、積和型暗号方式が知られている。これは、送信者側
で平文をＫ分割した平文ベクトルｍ＝（ｍ₀ ，ｍ₁ ，
…，ｍ _K-1 ）と公開鍵である基数ベクトルｃ＝（ｃ₀ ，
ｃ₁ ，…，ｃ_K-1 ）とを用いて暗号文Ｃ＝ｍ₀ ｃ₀ ＋ｍ
₁ ｃ₁ ＋・・・＋ｍ_K-1 ｃ_K-1 を作成し、その暗号文Ｃ
を受信者側で秘密鍵を用いて平文ベクトルｍに復号して
元の平文を得る暗号化形式である。この積和型暗号方式
では、通信効率を高めるために、平文ベクトルｍの各成
分におけるビット数の分布は一定としている。

【０００７】

【発明が解決しようとする課題】従来の積和型暗号方式
では、平文ベクトルｍの各成分のビット数分布が一定で
あるので、A.K.Lenstra, H.W.Lenstra, L.Lovaszが提案
した数学的なＬＬＬ法によって、公開されている基数ベ
クトルｃ＝（ｃ₀ ，ｃ₁ ，…，ｃ_K-1 ）から平文ベクト
ルｍ＝（ｍ₀ ，ｍ₁ ，…，ｍ_K-1 ）が解読されてしまう
という問題がある。

【０００８】本発明は斯かる事情に鑑みてなされたもの
であり、平文ベクトルの各成分のビット数分布を不均一
とすることにより、ＬＬＬ法に対して強い積和型の暗号
化方法及び暗号通信方法と、ＬＬＬ法に強い積和型の暗
号文を作成する暗号文作成装置とを提供することを目的
とする。

【０００９】

【課題を解決するための手段】請求項１に係る暗号化方
法は、平文を分割した平文ベクトルと公開鍵ベクトルと
を用いて暗号文を作成する積和型の暗号化方法におい
て、前記平文ベクトルにおける各成分の大きさが不均一
であることを特徴とする。

【００１０】請求項２に係る暗号通信方法は、一方のエ
ンティティが平文を分割した平文ベクトルｍと公開鍵ベ
クトルとを用いて積和型の暗号文を作成して他方のエン
ティティへ伝送し、該他方のエンティティが伝送された
暗号文を、元の平文に復号することにより、エンティテ
ィ間で情報の通信を行う暗号通信方法において、前記平
文ベクトルにおける各成分の大きさが不均一であること
を特徴とする。

【００１１】請求項３に係る暗号文作成装置は、平文か
ら積和型の暗号文を作成する装置において、その各成分
の大きさが不均一である平文ベクトルに前記平文を分割
する手段と、分割した平文ベクトルと公開鍵ベクトルと
を用いて前記暗号文を作成する手段とを備えることを特
徴とする。

【００１２】ＬＬＬ法は、Ｃ＝ｍ₀ ｃ₀ ＋ｍ₁ ｃ₁ ＋・
・・＋ｍ_K-1 ｃ_K-1 の式において、Ｃ，ｃ₀ ，ｃ₁ ，・
・・，ｃ_K-1 を既知数として、未知数ｍ₀ ，ｍ₁ ，・・
・，ｍ_K-1 を求める数学的な手法であるが、この場合に
未知数ｍ₀ ，ｍ₁ ，・・・，ｍ_K-1 のすべての大きさ
（ビット数）が一定であることを前提としてこれらの未
知数を求めている。よって、本発明のように未知数
ｍ₀ ，ｍ₁ ，・・・，ｍ_K-1の大きさ（ビット数）を不
均一にしておけば、このＬＬＬ法は適応できず、平文ベ
クトルｍの成分ｍ₀ ，ｍ₁ ，…，ｍ_K-1 は解読できない
ことになり、ＬＬＬ法に対する強化を図れる。

【００１３】このような平文ベクトルｍの各成分の大き
さを不均一にする、言い換えると、平文ベクトルｍの各
成分のビット数分布を不均一にする方式として、次のよ
うな２つの方式を本発明では開示する。

【００１４】本発明の第１の方式（第１発明）では、こ
の各成分の不均一なビット数分布を暗号通信システムの
受信側で設定する。即ち、ビット数分布を公開情報とし
て各エンティティに知らせておき、送信側のエンティテ
ィは、このビット数分布情報に従って平文を分割した平
文ベクトルｍと暗号化鍵である公開鍵ベクトルｃとを用
いて暗号文を作成し、受信側のエンティティは、このビ
ット数分布情報に従い秘密の復号鍵を用いて暗号文を復
号して元の平文ベクトルｍを求める。ここで、平文ベク
トルｍの成分（ｍ₀ ，ｍ₁ ，…，ｍ_K-1 ）の大きさ（ビ
ット数）が一定でないので、ＬＬＬ法ではそれらの各成
分を求めることができす、ＬＬＬ法に対して強化を図れ
る。また、公開されているビット数分布に応じた復号を
行えるので、データ伝送効率に無駄がない。

【００１５】本発明の第２の方式（第２発明）では、こ
の各成分の不均一なビット数分布を暗号通信システムの
送信側で設定する。即ち、送信側のエンティティは、自
身で設定した所望のビット数分布に従って平文を分割し
た平文ベクトルｍと暗号化鍵である公開鍵ベクトルｃと
を用いて暗号文を作成し、受信側のエンティティは、こ
のビット数分布情報に従い秘密の復号鍵を用いて暗号文
を復号して元の平文ベクトルｍを求める。なお、送信側
で設定するビット数分布は公開されないので、送信側か
ら受信側へその情報を伝送する必要があるが、例えば、
その情報は暗号文に組み込ませた形で伝送することが可
能である。このように、平文ベクトルｍの成分（ｍ₀ ，
ｍ₁ ，…，ｍ_K-1 ）の大きさ（ビット数）が一定でな
く、しかも、そのビット数分布が公開されていないの
で、ＬＬＬ法に対して強いことは勿論であって、極めて
安全性が高い。

【００１６】

【発明の実施の形態】以下、本発明の実施の形態につい
て具体的に説明する。図１は、積和型暗号に基づく暗号
通信システムの基本構成を示す模式図であり、図１の例
では、一方のエンティティａが、平文ｘを暗号文Ｃに暗
号化し、通信路を介してその暗号文Ｃを他方のエンティ
ティｂへ送信し、エンティティｂが、その暗号文Ｃを元
の平文ｘに復号する場合を示している。

【００１７】このような積和型暗号による暗号通信シス
テムでは、送信側のエンティティａが、伝えるべき情報
である平文ｘを以下のように複数（Ｋ個）の成分
（ｍ₀ ，ｍ ₁ ，…，ｍ_K-1 ）からなる平文ベクトルｍに
（１）のように分解する。なお、この各成分ｍ₀ ，
ｍ₁ ，…，ｍ_K-1 のビット数をそれぞれｔ₀ ，ｔ₁ ，
…，ｔ_K-1とする。 平文ｘ→平文ベクトルｍ（ｍ₀ ，ｍ₁ ，…，ｍ_K-1 ） …（１）

【００１８】そして、この平文ベクトルｍと公開されて
いるＫ個の成分（ｃ₀ ，ｃ₁ ，…，ｃ_K-1 ）を有する公
開鍵ベクトルｃとを用いて、暗号文Ｃを得る。この暗号
文Ｃは、通信路を介して、送信側のエンティティａから
受信側のエンティティｂへ伝送される。エンティティｂ
は、送られてきた暗号文Ｃを秘密の復号鍵を用いて復号
して平文ベクトルｍを求めて、元の平文ｘを得る。

【００１９】このような暗号通信システムにおいて、本
発明では、平文ベクトルｍの各成分ｍ₀ ，ｍ₁ ，…，ｍ
_K-1 の大きさを一定としていない。つまり、各成分
ｍ₀ ，ｍ ₁ ，…，ｍ_K-1 のビット数ｔ₀ ，ｔ₁ ，…，ｔ
_K-1 が一定の数になっていない点に特徴がある。以下、
その不均一のビット数分布を公開する方式（第１発明）
とその不均一のビット数分布を公開しない方式（第２発
明）とについて、具体的に説明する。

【００２０】まず、平文ベクトルの各成分のビット数分
布が予め設定されていて各エンティティに公開されてい
る第１発明（第１実施の形態）について説明する。

【００２１】〔第１実施の形態〕図２は、第１発明によ
る第１実施の形態での暗号通信システムの基本構成を示
す模式図であり、図２の例では、図１と同様に、エンテ
ィティａを送信側、エンティティｂを受信側と設定して
いる。また、エンティティａ，ｂ間には暗号文Ｃを伝送
する通信路１０が設けられている。

【００２２】送信側であるエンティティａには、予め設
定されているビット数分布に基づいて、平文ｘを上記
（１）のように平文ベクトルｍに分割する平文分割器１
１と、この平文ベクトルｍと公開鍵ベクトルｃとを用い
て後述するように暗号文Ｃを得る暗号化器１２とが備え
られている。

【００２３】一方、受信側であるエンティティｂには、
予め設定されているビット数分布に基づいて、送られて
きた暗号文Ｃを平文ベクトルｍに復号する復号器１３が
備えられている。

【００２４】このような第１実施の形態の暗号通信シス
テムにおけるエンティティａ，ｂ間の情報の通信動作に
ついて説明する。この第１実施の形態では、平文ｘをＫ
個の成分の平文ベクトルｍに分割する際の各成分ｍ₀ ，
ｍ₁ ，…，ｍ_K-1 のビット数の分布（各成分ｍ₀ ，
ｍ₁ ，…，ｍ_K-1 のそれぞれのビット数ｔ₀ ，ｔ₁ ，
…，ｔ_K-1 がいくつであるか）の情報が、公開されてい
て各エンティティａ，ｂが知っている。

【００２５】但し、この公開されている所定のビット数
分布は一定ではない。つまり、平文ベクトルｍの各成分
ｍ₀ ，ｍ₁ ，…，ｍ_K-1 のビット数ｔ₀ ，ｔ₁ ，…，ｔ
_K-1が一定ではない。この不均一のビット数分布のパタ
ーンとしては、例えば、最初の成分ｍ₀ のみを64ビット
（ｔ₀ ＝64）として残りの（Ｋ−１）個の各成分ｍ₁，
…，ｍ_K-1 は32ビット（ｔ₁ ，…，ｔ_K-1 ＝32）とす
る、最初と最後との成分ｍ₀ ，ｍ_K-1 のみを32ビット
（ｔ₀ ，ｔ_K-1 ＝32）として残りの（Ｋ−２）個の各成
分ｍ₁ ，…，ｍ_K-2 は64ビット（ｔ₁ ，…，ｔ_K-2 ＝6
4）とするなど、種々のパターンが可能である。

【００２６】まず、送信側のエンティティａ側で、各成
分のビット数を一定としない、公開されている所定のビ
ット数分布に基づいて、平文分割器１１にて平文ｘがＫ
個の成分の平文ベクトルｍに分割される。この結果、平
文ベクトルｍの各成分ｍ₀ ，ｍ₁ ，…，ｍ_K-1 の各ビッ
ト数ｔ₀ ，ｔ₁ ，…，ｔ_K-1 が一定にならない。

【００２７】そして、暗号化器１２にて、このようにし
て分割した平文ベクトルｍと公開されているＫ個の成分
（ｃ₀ ，ｃ₁ ，…，ｃ_K-1 ）を有する公開鍵ベクトルｃ
とを用い、両ベクトルの内積を式（２）のように求めて
暗号文Ｃが作成される。作成された暗号文Ｃは、通信路
１０を介して受信側のエンティティｂへ伝送される。 Ｃ＝ｍ₀ ｃ₀ ＋ｍ₁ ｃ₁ ＋・・・＋ｍ_K-1 ｃ_K-1 …（２）

【００２８】通信路１０を伝送された暗号文Ｃは、受信
側のエンティティｂの復号器１３へ入力される。そし
て、復号器１３にて、公開されている所定のビット数分
布に基づき秘密の復号鍵を用いて、送られてきた暗号文
Ｃが平文ベクトルｍに復号され、元の平文ｘが求められ
る。

【００２９】第１実施の形態では、平文ベクトルｍの各
成分の大きさ（ビット数）が一定ではないので、上記式
（２）において公開鍵ベクトルｃの各成分ｃ₀ ，ｃ₁ ，
…，ｃ_K-1 及び暗号文Ｃが既知であっても、ＬＬＬ法に
従って平文ベクトルｍの各成分ｍ₀ ，ｍ₁ ，…，ｍ_K-1
を求めることは無理である。確かに、ＬＬＬ法により上
記式（２）でのＫ個の成分からなる解を求めることは数
学的に可能であるが、各成分の大きさ（ビット数）が一
定であるということを前提として解を求めているので、
得られるベクトルは元の平文ベクトルｍに一致しない。
よって、第１実施の形態では、ＬＬＬ法に対して強化さ
れており、従来に比して安全性が向上する。

【００３０】また、この第１実施の形態では、予め所定
のビット数分布が設定されているので、復号側のエンテ
ィティｂでは、そのビット数分布パターンにのみ対応で
きるようにしておけば良く、ビット数分布を不均一にし
ても、特別に複雑な復号処理が必要ではなく、従来と同
様な復号処理で良い。また、従来と同様に、伝送される
すべてのビットを暗号文Ｃ用に用いることができるの
で、伝送効率が低下することはなく、従来と同様な高い
伝送効率を維持できる。

【００３１】次に、平文ベクトルの各成分のビット数分
布を送信側で任意に設定して、そのビット数分布の情報
を非公開とする第２発明（第２，第３実施の形態）につ
いて説明する。

【００３２】図３は、第２発明による第２，第３実施の
形態での暗号通信システムの基本構成を示す模式図であ
り、図３の例でも、図１と同様に、エンティティａを送
信側、エンティティｂを受信側と設定している。また、
エンティティａ，ｂ間には暗号文Ｃを伝送する通信路１
０が設けられている。

【００３３】第２，第３実施の形態では、送信側である
エンティティａには、平文ｘを平文ベクトルｍに分割す
る際の平文ベクトルｍの各成分のビット数を設定するビ
ット数設定器２１と、設定したビット数に基づいて、平
文ｘを平文ベクトルｍに分割する平文分割器２２と、こ
の平文ベクトルｍと公開鍵ベクトルｃとを用いて後述す
るように暗号文Ｃを得る暗号化器２３とが備えられてい
る。

【００３４】一方、受信側であるエンティティｂには、
暗号文Ｃと共に送られてきたビット数の情報を解析し、
そのビット数に基づいて、送られてきた暗号文Ｃを平文
ベクトルｍに復号する復号器２４が備えられている。

【００３５】〔第２実施の形態〕第２実施の形態の暗号
通信システムにおけるエンティティａ，ｂ間の情報の通
信動作について説明する。この第２実施の形態では、受
信側のエンティティｂは、必要な復号鍵を生成すると共
に、受信可能な平文のビット数ｅ₀ ，ｅ₁ ，…，ｅ_K-1
を公開する。送信側のエンティティａは、一送信毎に、
平文ｘをＫ個の成分の平文ベクトルｍに分割する際の各
成分ｍ₀ ，ｍ₁ ，…，ｍ_K-1 のビット数ｔ ₀ ，ｔ₁ ，
…，ｔ_K-1 を任意に設定する。但し、ｔ_i ＋１≦ｅ
_i （ｉ＝０，１，…，Ｋ−１）とする。このビット数の
情報は公開されず、後述するように暗号文Ｃに組み込ん
だ形で秘密裏にエンティティｂへ送られる。

【００３６】このエンティティａが設定するビット数分
布は一定ではない。つまり、平文ベクトルｍの各成分ｍ
₀ ，ｍ₁ ，…，ｍ_K-1 のビット数ｔ₀ ，ｔ₁ ，…，ｔ
_K-1 が一定ではない。この不均一のビット数分布のパタ
ーンとしては、例えば、任意のｉ番目（ｉ＝０，１，
…，Ｋ−１）の成分ｍ_i のみを64ビット（ｔ_i ＝64）と
して残りの（Ｋ−１）個の各成分は32ビットとする、任
意の複数個の成分を64ビットとして残りの成分はすべい
て32ビットとするなど、種々のパターンが可能である。

【００３７】このように、平文ベクトルの各成分のビッ
ト数分布を送信側で任意に設定する場合、その設定パタ
ーンに応じて受信側の復号処理を変更する必要がある。
そこで、このような複雑な復号処理に変更することを防
ぐために、後述するように、ビット数を示すデータ及び
ダミーのデータを平文ベクトルｍの各成分に付け加えて
各ブロックを構成し、ブロック毎のビット数を受信可能
なビット数に調整して暗号文Ｃを作成するようにする。

【００３８】まず、送信側のエンティティａ側で、各成
分のビット数が一定でない１種のビット数分布をビット
数設定器２１にて設定する。そして、設定した不均一の
ビット数分布に基づいて、平文分割器２２にて平文ｘが
Ｋ個の成分の平文ベクトルｍに分割される。

【００３９】次いで、暗号化器２３にて、以下のように
して暗号文Ｃが作成される。送りたい情報から、（ｔ₀
＋ｔ₁ ＋…＋ｔ_K-1 ）ビット分を平文ｘとして取り出
し、ｔ _i ビット毎（ｉ＝０，１，…，Ｋ−１）に分割し
たものをｍ_i とする。このようにＫ分割された平文ベク
トルｍの１つの成分ｍ_i （ｉ＝０，１，…，Ｋ−１）に
対応する第ｉブロックにおいて、成分ｍ_i の上位ビット
にその成分ｍ_i のビット数が分かるように“１”を付け
加え、全体のビット長がｅ_i ビットになるように、更に
その上位ビットにダミーデータである“０”を必要なビ
ット数だけ付け加えて、成分ｍ_i ′を構成する。この成
分ｍ_i ′の構成例を図４に示す。そして、このようなＫ
個の成分ｍ_i ′を有する変形平文ベクトルｍ′と公開鍵
ベクトルｃとの内積を式（３）のように求めて暗号文Ｃ
を作成する。 Ｃ＝ベクトルｍ′・ベクトルｃ ＝ｍ₀ ′ｃ₀ ＋ｍ₁ ′ｃ₁ ＋・・・＋ｍ_K-1 ′ｃ_K-1 …（３） 但し、 変形平文ベクトルｍ′＝（ｍ₀ ′，ｍ₁ ′，…，
ｍ_K-1 ′） 成分ｍ_i ′のビット数をｔ_i ′とした場合、ｔ_i ′＝ｔ
_i ＋１＋（付加するダミーデータのビット数）であり、
ｔ_i ′＝ｅ_i を満たす。

【００４０】このように作成された暗号文Ｃは、通信路
１０を介して受信側のエンティティｂへ伝送される。

【００４１】通信路１０を伝送された暗号文Ｃは、受信
側のエンティティｂの復号器２４へ入力される。そし
て、復号器２４にて、復号鍵を用いて、送られてきた暗
号文Ｃを変形平文ベクトルｍ′に復号し、更に逆変換を
施して平文ベクトルｍを求めて、元の平文ｘを得る。

【００４２】第２実施の形態でも、平文ベクトルｍの各
成分の大きさ（ビット数）が一定ではないので、上記式
（３）において公開鍵ベクトルｃの各成分ｃ₀ ，ｃ₁ ，
…，ｃ_K-1 及び暗号文Ｃが既知であっても、ＬＬＬ法に
従って平文ベクトルｍの各成分ｍ₀ ，ｍ₁ ，…，ｍ_K-1
を求めることは無理である。また、第１実施の形態で
は、各ブロックのビット数を一定と考えて演算を行う改
良ＬＬＬ法による攻撃が考えられるが、第２実施の形態
では、このような改良ＬＬＬ法の攻撃を受けるような可
能性はなく、ＬＬＬ法に対して極めて強い方式であり、
従来に比して大幅に安全性が向上する。

【００４３】第２実施の形態では、分割する平文の大き
さを、受信可能な範囲において、送信側のエンティティ
が任意に設置することができる。しかしながら、ＬＬＬ
法に対する安全性を高めるためには、設定ビット数は大
きく偏っている必要がある。例えば、ｔ₀ ，ｔ₁ ，…，
ｔ_K-1 の中の半数を64ビット、残りの半数を32ビットの
ように設定のガイドラインを定めておく場合には、弱い
暗号文を送信してしまう危険性をなくすことができる。
なお、第２実施の形態において攻撃者が平文のサイズを
正確に推定できる確率は、１／ _KＣ_K/2 であって極めて
低い。更に、いくつかの成分ｍ_i のデータをすべて
“０”にして、全く情報を送らないブロックを設定した
場合には、ＬＬＬ法に対してより強力な暗号文Ｃを作成
できる。

【００４４】また、第２実施の形態では、暗号文Ｃを作
成するための変形平文ベクトルｍ′の各成分のビット数
を復号側のエンティティｂでの受信可能な平文のビット
数と同じに調整するので、復号側のエンティティｂでは
そのビット数にのみ対応できるようにしておけば良く、
平文ベクトルの各成分のビット数分布を不均一にして
も、特別に複雑な復号処理が必要ではなく、従来と同様
な復号処理で良い。

【００４５】第２実施の形態の具体的な数値例について
説明する。送信すべき平文ｘは、ｘ＝［00111010011101
1010111010］の24ビットとする。この場合の各パラメー
タの設定例を以下に示す。 ｅ＝（９，９，９，９） ｔ＝（８，４，８，４） ベクトルｍ＝（00111010, 0111, 01101011, 1010） ベクトルｍ′＝（100111010, 000010111, 101101011, 000011010） ＝（314, 23, 363, 26） （10進表記）

【００４６】〔第３実施の形態〕第３実施の形態の暗号
通信システムにおけるエンティティａ，ｂ間の情報の通
信動作について説明する。この第３実施の形態では、受
信側のエンティティｂは、必要な復号鍵を生成すると共
に、受信可能な平文のビット数ｅ₀ ，ｅ₁ ，…，ｅ_K-1
を公開する。送信側のエンティティａは、一送信毎に、
平文ｘを（Ｋ−１）個の成分の平文ベクトルｍに分割す
る際の各成分ｍ₁ ，…，ｍ_K-1 のビット数ｔ₁ ，…，ｔ
_K-1 を任意に設定する。但し、ｔ_i ≦ｅ_i （ｉ＝１，
…，Ｋ−１）とする。このビット数の情報は公開され
ず、後述するように暗号文Ｃに組み込んだ形で秘密裏に
エンティティｂへ送られる。このエンティティａが設定
するビット数分布は一定ではない。つまり、平文ベクト
ルｍの各成分ｍ₁ ，…，ｍ_K-1 のビット数ｔ₁ ，…，ｔ
_K-1 が一定ではない。

【００４７】まず、送信側のエンティティａ側で、各成
分のビット数が一定でない１種のビット数分布をビット
数設定器２１にて設定する。そして、設定した不均一の
ビット数分布に基づいて、平文分割器２２にて平文ｘが
（Ｋ−１）個の成分の平文ベクトルｍに分割される。

【００４８】次いで、暗号化器２３にて、以下のように
して暗号文Ｃが作成される。送りたい情報から、（ｔ₁
＋…＋ｔ_K-1 ）ビット分を平文ｘとして取り出し、ｔ_i
ビット毎（ｉ＝１，…，Ｋ−１）に分割したものをｍ_i
とする。また、これらのｍ_iの大きさ情報（ｔ₁ ，…，
ｔ_K-1 ）をｍ₀ に格納する。但し、ｅ₀ はこれらの情報
を送れるために十分大きな値に設定されているとする。
そして、（Ｋ−１）個の成分ｍ_i に成分ｍ₀ を加えた変
形平文ベクトルｍ″と公開鍵ベクトルｃとの内積を式
（４）のように求めて暗号文Ｃを作成する。 Ｃ＝ベクトルｍ″・ベクトルｃ ＝ｍ₀ ″ｃ₀ ＋ｍ₁ ″ｃ₁ ＋・・・＋ｍ_K-1 ″ｃ_K-1 …（４） 但し、 変形平文ベクトルｍ″＝（ｍ₀ ，ｍ₁ ，…，ｍ_K-1 ）

【００４９】このように作成された暗号文Ｃは、通信路
１０を介して受信側のエンティティｂへ伝送される。

【００５０】通信路１０を伝送された暗号文Ｃは、受信
側のエンティティｂの復号器２４へ入力される。そし
て、復号器２４にて、復号鍵を用いて、送られてきた暗
号文Ｃを変形平文ベクトルｍ″に復号し、復号したｍ₀
から各成分ｍ_i の大きさ情報が得られるので、平文ベク
トルｍを求めて、元の平文ｘを得ることができる。

【００５１】第３実施の形態でも、第２実施の形態と同
様に、ＬＬＬ法に対して極めて強い方式であり、従来に
比して大幅に安全性が向上する。

【００５２】第３実施の形態においても、例えば、
ｔ₀ ，ｔ₁ ，…，ｔ_K-1 の中の半数を64ビット、残りの
半数を32ビットのように設定するようにした場合、ｍ₀
をＫビットの２進数で表現したとき、第（ｉ−１）ビッ
トが“１”，“０”であると、それぞれｍ_i ブロックの
大きさが64ビット、32ビットというように決めておくこ
ともでき、ｅ₀ を大きな値に設定する必要はない。

【００５３】また、第３実施の形態では、暗号文Ｃを作
成するための変形平文ベクトルｍ″の各成分のビット数
を復号側のエンティティｂでの受信可能な平文のビット
数と同じに調整するので、復号側のエンティティｂでは
そのビット数にのみ対応できるようにしておけば良く、
平文ベクトルの各成分のビット数分布を不均一にして
も、特別に複雑な復号処理が必要ではなく、従来と同様
な復号処理で良い。

【００５４】第３実施の形態の具体的な数値例について
説明する。送信すべき平文ｘは、ｘ＝［00111010011101
1010111010］の24ビットとする。この場合の各パラメー
タの設定例を以下に示す。 ｅ＝（４，８，８，８，８） ｔ＝（４，８，４，８，４） ベクトルｍ＝（00111010, 0111, 01101011, 1010） ベクトルｍ″＝（0101, 00111010, 0111, 01101011, 1010） ＝（５，58, ７, 107, 10 ） （10進表記）

【００５５】なお、平文ベクトルｍの各成分のビット数
分布の情報を暗号文Ｃに組み込ませる２つの例（第２，
第３実施の形態）について説明したが、他の例でも良い
ことは勿論である。

【００５６】図５は、本発明の記録媒体の実施例の構成
を示す図である。ここに例示するプログラムは、第１実
施の形態に対応する場合、平文ｘを平文ベクトルｍに分
割する処理及び平文ベクトルｍと公開鍵ベクトルｃとの
内積計算により暗号文Ｃを作成する処理を含み、第２実
施の形態に対応する場合、ビット数分布を設定する処
理，平文ｘを平文ベクトルｍに分割する処理，変形平文
ベクトルｍ′を構成する処理及び変形平文ベクトルｍ′
と公開鍵ベクトルｃとの内積計算により暗号文Ｃを作成
する処理を含み、第３実施の形態に対応する場合、ビッ
ト数分布を設定する処理，平文ｘを平文ベクトルｍに分
割する処理，変形平文ベクトルｍ″を構成する処理及び
変形平文ベクトルｍ″と公開鍵ベクトルｃとの内積計算
により暗号文Ｃを作成する処理を含んでおり、以下に説
明する記録媒体に記録されている。なお、コンピュータ
４０は、送信側のエンティティに設けられている。

【００５７】図５において、コンピュータ４０とオンラ
イン接続する記録媒体４１は、コンピュータ４０の設置
場所から隔たって設置される例えばＷＷＷ(World Wide
Web)のサーバコンピュータを用いてなり、記録媒体４１
には前述の如きプログラム４１ａが記録されている。記
録媒体４１から読み出されたプログラム４１ａがコンピ
ュータ４０を制御することにより、コンピュータ４０が
暗号文Ｃを作成する。

【００５８】コンピュータ４０の内部に設けられた記録
媒体４２は、内蔵設置される例えばハードディスクドラ
イブまたはＲＯＭなどを用いてなり、記録媒体４２には
前述の如きプログラム４２ａが記録されている。記録媒
体４２から読み出されたプログラム４２ａがコンピュー
タ４０を制御することにより、コンピュータ４０が暗号
文Ｃを作成する。

【００５９】コンピュータ４０に設けられたディスクド
ライブ４０ａに装填して使用される記録媒体４３は、運
搬可能な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフ
レキシブルディスクなどを用いてなり、記録媒体４３に
は前述の如きプログラム４３ａが記録されている。記録
媒体４３から読み出されたプログラム４３ａがコンピュ
ータ４０を制御することにより、コンピュータ４０が暗
号文Ｃを作成する。

【００６０】次に、本発明を適用した積和型暗号方式の
具体例について説明する。以下の実施例では、本発明の
第１，第２及び第３実施の形態の何れもが適用可能であ
る。

【００６１】〔第１実施例〕平文ベクトルｍ＝（ｍ₀ ，
ｍ₁ ，…，ｍ_K-1 ）を基数Ｂ＝（Ｂ₀ ，Ｂ₁ ，…，Ｂ
_K-1 ）を用いて、下記式（５）に示すように、整数とし
て表記することができる。なお、ここでは、ｍ_i Ｂ_i ＜
Ｂ_i+1 が成立するものとする。 Ｍ＝ｍ₀ Ｂ₀ ＋ｍ₁ Ｂ₁ ＋・・・＋ｍ_K-1 Ｂ_K-1 …（５）

【００６２】式（５）において、Ｂ_i ＝２ⁱ である場合
には平文が通常の２進数で表されていることになり、Ｂ
_i ＝10ⁱ である場合には平文が通常の10進数で表されて
いることになる。

【００６３】ここで、上記Ｂ_i を下記式（６）のように
設定する場合を考える。 Ｂ_i ＝ｂ₀ ｂ₁ …ｂ_i …（６） 式（６）において、ｂ₀ ＝１，ｂ_i ＝２（１≦ｉ≦Ｋ−
１）と設定すると２進数の場合に一致し、ｂ₀ ＝１，ｂ
_i ＝10（１≦ｉ≦Ｋ−１）と設定すると10進数の場合に
一致する。

【００６４】第１実施例では、このような多進法を用
い、つまり、式（５）及び式（６）を利用して、暗号文
Ｃを作成する。

【００６５】秘密鍵と公開鍵とを以下のように準備す
る。 ・秘密鍵：｛ｂ_i ｝，Ｐ，ｗ ・公開鍵：｛ｃ_i ｝前記式（６）のように基数を与え、
ｗ＜Ｐ（Ｐは大きな素数）を満たす整数ｗ をランダムに選び、式（７）を導く。 ｃ_i ≡ｗＢ_i （mod Ｐ） …（７） 公開鍵ベクトルｃは、式（８）のように与えられる。 ｃ＝（ｃ₀ ，ｃ₁ ，…，ｃ_K-1 ） …（８）

【００６６】そして、送信側のエンティティで、平文を
平文ベクトルｍに分割し、分割した平文ベクトルｍと公
開鍵ベクトルｃとを利用して、暗号文Ｃを作成する。こ
の際、平文の第ｉ成分ｍ_i がｔ_i ビットとなるように平
文を区切って送信する。但し、このｔ_i は式（９）の条
件を満たす整数である。

【００６７】

【数１】

【００６８】ここで、第１実施の形態（第１発明）で
は、この平文の第ｉ成分ｍ_i のビット数ｔ_i も公開して
おく。一方、第２，第３実施の形態（第２発明）では、
この平文の第ｉ成分ｍ_i のビット数ｔ_i は送信側で任意
に設定し、そのビット数ｔ_i の情報は暗号文Ｃに組み込
んで受信側に秘密裏に送る。

【００６９】受信側のエンティティでは、以下のように
して復号処理が行われる。暗号文Ｃに対して、中間復号
文Ｍを式（10）のようにして求める。 Ｍ≡ｗ^-1Ｃ （mod Ｐ） …（10） この中間復号文Ｍは、具体的には式（11）として与えら
れるので、以下の逐次復号アルゴリズムによって、整数
Ｍから平文ベクトルｍ＝（ｍ₀ ，ｍ₁ ，…，ｍ _K-1 ）を
復号することができる。 Ｍ＝ｍ₀ ｂ₀ ＋ｍ₁ ｂ₀ ｂ₁ ＋・・・＋ｍ_K-1 ｂ₀ ｂ₁ …ｂ_K-1 …（11）

【００７０】（逐次復号アルゴリズム） ステップ０ Ｍ₀ ＝Ｍ／ｂ₀ ｍ₀ ≡Ｍ₀ （mod ｂ₁ ） ステップｉ（ｉ＝１〜Ｋ−２） Ｍ_i ＝（Ｍ_i-1 −ｍ_i-1 ）／ｂ_i ｍ_i ≡Ｍ_i （mod ｂ_i+1 ） ステップＫ−１ ｍ_K-1 ＝（Ｍ_K-2 −ｍ_K-2 ）／ｂ_K-1 なお、このアルゴリズムにあっては、ｍ_j ＜ｂ_j+1 でな
いと、ｍ_j が一意に復号されない。

【００７１】〔第２実施例〕Ｋ個の整数を要素とする集
合｛ｄ_i ｝を考える。なお、この集合の任意の２つの要
素は互いに素である。そして、式（12）に示すように、
これらのＫ個の要素の積をｄとし、基数Ｄ_i を式（13）
のように定義する。 ｄ＝ｄ₀ ｄ₁ …ｄ_K-1 …（12） Ｄ_i ＝ｄ／ｄ_i …（13）

【００７２】そして、平文ベクトルｍ＝（ｍ₀ ，ｍ₁ ，
…，ｍ_K-1 ）を、基数Ｄ＝（Ｄ₀ ，Ｄ₁ ，…，Ｄ_K-1 ）
を用いて、下記式（14）に示すように表記する。 Ｍ＝ｍ₀ Ｄ₀ ＋ｍ₁ Ｄ₁ ＋・・・＋ｍ_K-1 Ｄ_K-1 …（14） 但し、平文ベクトルｍの各成分ｍ_i はｍ_i ＜ｄ_i を満た
すように設定する。

【００７３】第２実施例では、このようにして、つま
り、式（12）〜式（14）を利用して、暗号文Ｃを作成す
る。

【００７４】秘密鍵と公開鍵とを以下のように準備す
る。 ・秘密鍵：｛ｄ_i ｝，Ｐ，ｗ ・公開鍵：｛ｃ_i ｝ 前記式（13）のように基数を与える。この場合、基数ベ
クトル｛Ｄ_i ｝は超増加数列ではなく、ＬＬＬ法攻撃に
強い。また、ｗ＜Ｐ（Ｐは大きな素数）を満たす整数ｗ
をランダムに選ぶ。また、平文ベクトルｍの各成分ｍ_i
はｍ_i ＜ｄ_i を満たすように設定する。整数ｗを用いて
Ｄの成分より、公開鍵ベクトルｃを式（15），（16）の
ように導く。 ｃ_i ≡ｗＤ_i （mod Ｐ） …（15） ｃ＝（ｃ₀ ，ｃ₁ ，…，ｃ_K-1 ） …（16）

【００７５】そして、送信側のエンティティで、平文を
平文ベクトルｍに分割し、分割した平文ベクトルｍと公
開鍵ベクトルｃとを利用して、暗号文Ｃを作成する。こ
の際、平文の第ｉ成分ｍ_i がｔ_i ビットとなるように平
文を区切って送信する。但し、このｔ_i は式（17）の条
件を満たす整数である。

【００７６】

【数２】

【００７７】ここで、第１実施の形態（第１発明）で
は、この平文の第ｉ成分ｍ_i のビット数ｔ_i も公開して
おく。一方、第２，第３実施の形態（第２発明）では、
この平文の第ｉ成分ｍ_i のビット数ｔ_i は送信側で任意
に設定し、そのビット数ｔ_i の情報は暗号文Ｃに組み込
んで受信側に秘密裏に送る。

【００７８】受信側のエンティティでは、以下のように
して復号処理が行われる。最初に、暗号文Ｃに対して、
中間復号文Ｍを式（18）のようにして導く。 Ｍ≡ｗ^-1Ｃ （mod Ｐ） …（18）

【００７９】この中間復号文Ｍは、具体的には前記式
（14）として与えられるので、以下の並列復号アルゴリ
ズムによって、整数Ｍからメッセージｍ＝（ｍ₀ ，
ｍ₁ ，…，ｍ_K-1 ）を復号することができる。

【００８０】（並列復号アルゴリズム） unit ｉ（ｍ_i の復号） ｍ_i ≡ＭＤ_i ^-1 （mod ｄ_i ）

【００８１】なお、上述した実施例は、本発明を適用で
きる積和型暗号方式の一例を示しただけであり、すべて
の積和型暗号方式に本発明を適用できることは言うまで
もない。

【００８２】

【発明の効果】以上のように本発明では、積和型の暗号
形式にあって、平文を分割した平文ベクトルの各成分の
大きさ（ビット数）を不均一とするようにしたので、Ｌ
ＬＬ法による攻撃に対する安全性を向上することができ
る。

【００８３】（付記）なお、以上の説明に対して更に以
下の項を開示する。 （１） 平文を分割した平文ベクトルと公開鍵ベクトル
とを用いて暗号文を作成する積和型の暗号化方法におい
て、前記平文ベクトルにおける各成分の大きさが不均一
であって、その平文ベクトルにおける不均一な各成分の
大きさが公開されている暗号化方法。 （２） 平文を分割した平文ベクトルと公開鍵ベクトル
とを用いて暗号文を作成する積和型の暗号化方法におい
て、前記平文ベクトルにおける各成分の大きさが不均一
であって、その平文ベクトルにおける不均一な各成分の
大きさを任意に設定し、設定された各成分の大きさが非
公開である暗号化方法。 （３） 一方のエンティティが平文を分割した平文ベク
トルｍと公開鍵ベクトルとを用いて積和型の暗号文を作
成して他方のエンティティへ伝送し、該他方のエンティ
ティが伝送された暗号文を、元の平文に復号することに
より、エンティティ間で情報の通信を行う暗号通信方法
において、前記平文ベクトルにおける各成分の大きさが
不均一であり、その平文ベクトルにおける不均一な各成
分の大きさを、前記一方のエンティティ側で設定する暗
号通信方法。 （４） 第（３）項記載の暗号通信方法であって、前記
平文ベクトルにおける各成分の大きさを表す情報を組み
込んで前記暗号文を作成する暗号通信方法。 （５） 平文を分割した平文ベクトルを利用して前記平
文を積和型の暗号文に暗号化する暗号化処理、及び、前
記暗号文を元の平文に復号する復号処理を、複数のエン
ティティ間で相互に行う暗号通信システムにおいて、前
記平文ベクトルにおける各成分の大きさを任意に設定す
る手段と、設定された各成分の大きさに従って前記平文
を平文ベクトルに分割する手段と、分割した平文ベクト
ルと公開鍵ベクトルとを用いて前記暗号文を作成する手
段とを、送信側のエンティティに備えた暗号通信システ
ム。 （６） 平文から積和型の暗号文を作成するためのプロ
グラムを記録してあるコンピュータでの読み取り可能な
記録媒体において、その各成分の大きさが不均一である
平文ベクトルに前記平文を分割することを前記コンピュ
ータにさせるプログラムコード手段と、分割した平文ベ
クトルと公開鍵ベクトルとを用いて前記暗号文を作成す
ることを前記コンピュータにさせるプログラムコード手
段とを有する記録媒体。 （７） 平文を分割した平文ベクトルを利用して積和型
の暗号文を作成するためのプログラムを記録してあるコ
ンピュータでの読み取り可能な記録媒体において、前記
平文ベクトルの各成分の大きさを任意に設定することを
前記コンピュータにさせるプログラムコード手段と、設
定された各成分の大きさに従って前記平文を平文ベクト
ルに分割することを前記コンピュータにさせるプログラ
ムコード手段と、分割した平文ベクトルと公開鍵ベクト
ルとを用いて前記暗号文を作成することを前記コンピュ
ータにさせるプログラムコード手段とを有する記録媒
体。

【図面の簡単な説明】

【図１】積和型暗号に基づく暗号通信システムの基本構
成図である。

【図２】第１実施の形態（第１発明）での暗号通信シス
テムの基本構成図である。

【図３】第２，３実施の形態（第２発明）での暗号通信
システムの基本構成図である。

【図４】変形平文ベクトルｍ′の成分ｍ_i ′のデータ構
成を示す図である。

【図５】記録媒体の実施例の構成を示す図である。

【符号の説明】

１０ 通信路 １１，２２ 平文分割器 １２，２３ 暗号化器 １３，２４ 復号器 ２１ ビット数設定器

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5J104 AA41 EA02 JA26 NA00 NA17 NA32 PA07

Claims (3)

【特許請求の範囲】
1. 【請求項１】 平文を分割した平文ベクトルと公開鍵ベ
   クトルとを用いて暗号文を作成する積和型の暗号化方法
   において、前記平文ベクトルにおける各成分の大きさが
   不均一であることを特徴とする暗号化方法。
2. 【請求項２】 一方のエンティティが平文を分割した平
   文ベクトルｍと公開鍵ベクトルとを用いて積和型の暗号
   文を作成して他方のエンティティへ伝送し、該他方のエ
   ンティティが伝送された暗号文を、元の平文に復号する
   ことにより、エンティティ間で情報の通信を行う暗号通
   信方法において、前記平文ベクトルにおける各成分の大
   きさが不均一であることを特徴とする暗号通信方法。
3. 【請求項３】 平文から積和型の暗号文を作成する装置
   において、その各成分の大きさが不均一である平文ベク
   トルに前記平文を分割する手段と、分割した平文ベクト
   ルと公開鍵ベクトルとを用いて前記暗号文を作成する手
   段とを備えることを特徴とする暗号文作成装置。