JP2000500886A - ランダムに生成されたペアをプリコンピューティングすることによるアクセラレイティング公開鍵暗号技術 - Google Patents

Abstract

(57)【要約】 公開鍵セキュリティ・アルゴリズムで使用するために秘密鍵／公開鍵のペアを生成する装置。この装置はセキュリティ・パラメータ・データベース(１２)、コントロール・モジュール(１０１)、オペレーティング・システム(１１)、プリコンピューテーション装置(１０２)、テーブルＴ装置(１０３)、オンライン・コンピューテーション装置(１０４)、および公開鍵セキュリティ・アルゴリズム装置（１３）を有する。オフラインのプリコンピューテーションの使用により、この装置はオンラインで実行する大きな整数の離散的な指数演算の量を削減する。

Description

【発明の詳細な説明】 ランダムに生成されたペアをプリコンピューティングすることによる アクセラレイティング公開鍵暗号技術関連出願 本出願は、“プリコンピューテーションを用いてランダムに配送されたペアを 生成するための方法およびシステム(Ｍｅｔｈｏｄ ａｎｄ Ｓｙｓｔｅｍ ｆ ｏｒ Ｇｅｎｅｒａｔｉｎｇ Ｒａｎｄｏｍｌｙ Ｄｉｓｔｒｉｂｕｔｅｄ Ｐ ａｉｒｓ Ｕｓｉｎｇ Ｐｒｅｃｏｍｐｕｔａｔｉｏｎ)”という名称で１９９ ６年８月１６日にＶｉｃｔｏｒ ＢｏｙｋｏおよびＲａｍａｒａｎｔｈｈｎａｍ Ｖｅｎｋａｔｅｓａｎによって出願された米国仮出願番号６０／０２３，９５４ 号の恩恵を主張する。この仮出願の内容は、その出願番号を参照することにより 本明細書の一部とする。発明の分野 本発明は、離散対数（ｄｉｓｃｒｅｔｅ ｌｏｇａｒｉｔｈｍｓ）計算の困難 性に依存してそのセキュリティを行うある種の公開鍵（ｐｕｂｌｉｃ−ｋｅｙ） 暗号技術システムで使用するための秘密鍵（ｐｒｉｖａｔｅ ｋｅｙ）および公 開鍵のランダムに配送されたペアを生成するための高速な方法およびシステムに 関する。本発明の方法は、他の方法よりはるかに速く第２および次の鍵のペアを 計算する、速いオンライン・ステップをプリコンピューテーションと組み合わせ る。発明の背景 デジタル商取引（Ｄｉｇｉｔａｌ ｃｏｍｍｅｒｃｅ）は、ドキュメントが詐 欺師から来ていないこと、および、ドキュメントが配信中に変更されていないこ とを保証するためのデジタル方法を必要とする。Ｂｒｕｃｅ Ｓｃｈｎｅｉｅｒ は、デジタル・メッセージの安全を保持するための技術および科学を、ニューヨ ークのＪｏｈｎ Ｗｉｌｅｙ＆Ｓｏｎｓ、Ｉｎｃ．（会社名）により１９９６年 に発行された彼の著作“応用暗号技術、第２版(Ａｐｐｌｉｅｄ Ｃｒｙｐｔｏ ｇｒａｐｈｙ，Ｓｅｃｏｎｄ Ａｄｄｉｔｉｏｎ)”で、総合的に紹介している 。 暗号技術学会（ｃｒｙｐｔｏｇｒａｐｈｙ ｃｏｍｍｕｎｉｔｙ）が、デジタ ル署名および認証のために工夫してきたいくつかの方式は、長い整数の数百桁長 もある公開整数によるモジュロの指数演算（ｔｈｅ ｅｘｐｏｎｅｎｔｉａｔｉ ｏｎ ｏｆ ｌｏｎｇ ｉｎｔｅｇｅｒｓ ｍｏｄｕｌｏ ａ ｐｕｂｌｉｃｉ ｎｔｅｇｅｒ）を取り扱う。これらの方式のセキュリティ性は、離散対数を計算 して秘密の幕指数（ｅｘｐｏｎｅｎｔｓ）を知ることの実行不可能性に依存する 。 離散対数に基づいたシステムは、ここ数十年において広範に研究され、かつ使 用されている。例えば、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵交換、ＥＩＧａｍａｌ 暗号、ＥＩＧａｍａｌおよびＤＳＳ署名、および認証および署名のためのＳｃｈ ｎｏｒｒ方式がある。これらの方式は、（ｋ，ｇ^kモジュロ ｐ）の形式のペア を生成することを必要とする。ここで、ｋはｇのオーダー（ｏｒｄｅｒ）に対す るランダムに配送されたモジュロであり、ｐは好ましくは数百桁長である正素数 であり、および、ｇ＜ｐは１桁の数のみであり得る別の正整数である。モジュロ 演算において、任意の非負整数Ｑのモジュロ ｐの値は、除算Ｑ／ｐの余りであ り、およびその取り得る値は、［０，ｐ−１］の範囲内の整数である。 通常、ｇはｐの生成元（ｇｅｎｅｒａｔｏｒ）であり、そのことは集合［１， ｐ−１］における各整数ｙに対して、ｙ＝ｇ^kモジュロ ｐとなるような、ある 整数ｋが存在することを意味する。ｐは好ましくは素数であるので、ｇは一様に それを割り切れず、それで０およびｐは集合内にない。この集合は、Ｚ^* _pと呼ば れ、および、その要素（ｍｅｍｂｅｒｓ）は、乗算 モジュロ ｐに関する群（ ｇｒｏｕｐ）を形成する。ｇが生成元 モジュロ ｐでないときは、ｇ^k モジュロ ｐの取り得る値は、乗算 モジュロ ｐに関する群を依然として形成 する。すなわち、いずれかの２つの値ｇ^kおよびｇ^k´モジュロ ｐの積は、ｇ^{k+ k} ´モジュロ ｐと等しく、これもまた群の要素である。この群を形成する異な る（ｄｉｓｔｉｎｃｔ）整数の集合は、１，ｇ，ｇ²,.....，ｇ^ord(g)-1であり 、ここで、ｏｒｄ（ｇ）は、ｐにおけるｇのオーダー（ｏｒｄｅｒ）の省略形で ある。従って、ｋは集合［０，ｏｒｄ（ｇ）−１］内にあり、および、ｇ^kは、 Ｚ_ord(g)の要素である。集合［０、ｏｒｄ（ｇ）−１］は、Ｚ_ord(g)とも称され 、およびその要素は、加算 モジュロ ｏｒｄ（ｇ）に関する群を形成する。 Ａ． Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有（ｋｅｙ ａｇｒｅｅｍｅｎｔ） プロトコル 二人の当事者（ｐａｒｔｉｅｓ）が、このアルゴリズムを使用して、セキュリ ティの保証されていない接続（ｉｎｓｅｃｕｒｅ ｃｏｎｎｅｃｔｉｏｎ）にお いて公開鍵を交換することにより、秘密鍵を安全に確立することができる。各当 事者は秘密鍵も持ち、およびそれらの両当事者は、自分自身の秘密鍵および他の 当事者の公開鍵から、同一の秘密鍵を計算することができる。各当事者はついで 秘密鍵暗号技術を使用して、さらにメッセージの交換を安全に行うことができる 。 ２つのＤｉｆｆｉｅ−Ｈｅｌｌｍａｎパラメータｐおよびｇは公開されている 。秘密鍵を確立することを望むいずれかの２人の当事者であるアリスおよびボブ は、 ジュロ ｐを計算して、彼女にそれを送信する。２つの公開鍵をコピーした第三 の当事者であるイブは、ｐ−１が小さな素因数しか持たない場合を除き、既知の 方法により秘密鍵のいずれも計算することはできない。それゆえ、ｐ−１が少な くとも１つの大きな素因数を持つｐの値が暗号技術ではしばしば使用される。ア のトチエント関数（Ｅｕｌｅｒ ｔｏｔｉｅｎｔ ｆｕｎｃｔｉｏｎ）である。 幕指数におけるモジュロ演算は、ｋ_aおよびｋ_bのオーダー（ｏｒｄｅｒ）には依 存せず、従ってアリスおよびボブは、同じ結果を計算する。 Ｂ． ＥＩＧａｍａｌ暗号 ＥＩＧａｍａｌ暗号も、離散対数計算の困難性にそのセキュリティの根拠をお く。アリスはこのアルゴリズムを使用して、メッセージＭを暗号化することによ り、ボブだけがそれを読むことができるようにすることができる。メッセージＭ はｐよりも小さく制限され、および以降のすべての計算は、モジュロ ｐで実行 されるべきものである。もちろん、より長いメッセージは充分に多くの短い分割 部分に分けて送信することができる。まず最初に、アリスは上述のように、乱数 のペアｋおよびｇ^k モジュロ ｐを選択するが、それらは実際には鍵のペアで はない。ボブは、自分の秘密鍵ｘを選択し、そして自分の公開鍵ｙ＝ｇ^x モジ ュロ ｐを計算する。アリスはボブの公開鍵ｙを用いて、Ｍｙ^k モジュロｐを 計算することによりＭを暗号化し、そしてｅ（Ｍ，ｋ）＝（ｇ^k、Ｍｙ^k）をボブ に送る。ボブは、第１のパートおよび自分の秘密鍵ｘを使用して、（ｇ^k）^x＝（ ｇ^x）^k＝ｙ^kを計算する。ついで、彼はこの結果を彼がアリスから受信した署名 の第２のパートで除算して、メッセージＭを復元する。 Ｃ． ＥＩＧａｍａｌ署名 メッセージＭに署名するために、アリスは自分の公開鍵ｙ＝ｇ^x モジュロ ｐのみを示しながら、彼女が自分の秘密鍵ｘを使用していることをボブに伝える 。アリスは、ｋがｐ−１に対し互いに素である必要がある、第２のペアｋおよび ｇ^k モジュロ ｐをも選択する。このことは、２つの数ｋおよびｐ−１は１以 外 に公約数を共有しないことを意味する。アリスがボブに提示した署名Ｓ（Ｍ，ｋ ）は、２つの量（ｑｕａｎｔｉｔｉｅｓ）ｒおよびｓを持つ。ここで、ｒ＝ｇ^k モジュロ ｐおよびＭ＝（ｘｒ＋ｋｓ）モジュロ（ｐ−１）である。アリスは ｓを解くことができるが、その理由は、ｋおよびｐ−１が互いに素であるとき、 ｋ^-1モジュロ（ｐ−１）が存在するからである。この時点で、アリスおよびボブ はｐ、ｇ、ｙ、ｒ、およびｓがわかる。もちろん、ボブはアリスが署名をしたメ ッセージＭもわかる。署名を検証するために、ボブはｒ^sｙ^r＝ｇ^Mであるかチェ ックする。これにより検証がとれたことがわかる。その理由は、ｐが素数である ときはｆ（ｐ）はｐ−１と等しいので、ｒ^sｙ^r モジュロ ｐがｇ^{(xr+ks)モシ゛ュロ (p-1)} モジュロ ｐと等しいからである Ｄ． ＤＳＳ署名 ＤＳＳ署名において、ｑはｐ−１の大きな素数の約数（ｄｉｖｉｓｏｒ）であ り、およびｇ^q＝１ モジュロ ｐである。アリスは秘密鍵ｘを選択し、そして ｙ＝ｇ^x モジュロ ｐを公開する。メッセージＭの署名Ｓ（Ｍ，ｋ）＝（ｒ、 ｓ）を生成するために、アリスはｋを選択し、そしてｒ＝（ｇ^k モジュロ ｐ ）モジュロ ｑおよびｓ＝（Ｍ＋ｘｒ）ｋ^-1 モジュロ ｑを計算する。ボブは （(ｇ^Mｙ^r)^s-1 モジュロ ｐ）モジュロ ｑを計算する。アリスの公開鍵ｙの 定義を用いることにより、項（ｔｅｒｍ）ｙ^r モジュロ ｐが、（ｇ^x）^r モ ジュロ ｐ＝ｇ^{xr モシ゛ュロ f(p)}＝ｇ^{xr モシ゛ュロ q}に簡単化される。その理由は、ｐ が素数であり、ｆ（ｐ）＝ｐ−１、ｘｒ ｍｏｄ ｐ−１が、ｘｒ ｍｏｄ ｑ プラス ｑの整数倍、およびｇ^q＝１であるからである。また、（ｇ^M）^S-1 モジュロ ｐ ＝ ｇ^{Ms-1 モシ゛ュロ p}モジュロ ｐでもあるが、その理由は、Ｍｓ^-1 モジュロ ｐ−１は、Ｍｓ^-1 モジュロ ｑ プラス ｑの整数倍、および ｇ^q＝１であるからである。従って、もしもアリスがｓの評価にあたって自分の 秘密鍵ｘおよび自分の秘密のｋを使用したならば、ボブは、（(ｇ^Mｙ^r)^s-1 モ ジュロ ｐ） モジュロ ｑ＝ （ｇ^{(M+xr)s-1 モシ゛ュロ q} モジュロ ｐ）モジュロ ｑ＝ （ｇ^{k モシ゛ュロ q} モジュロ ｐ）モジュロ ｑ＝ （ｇ^k モジュロ ｐ）モジュロ ｑ ＝ｒ であるとわかるはずである。 Ｅ． Ｓｃｈｎｏｒr認証 認証方式により、アリスは、彼女が秘密を知っていることを、ボブがその秘密 を知ることなしに、ボブに証明することができる。例えば、ボブがサーバであり 、および秘密がアリスのパスワードであると仮定する。サーバはアリスのパスワ ードを知る必要はなく；アリスがそれを知っていることを検証することだけが必 要である。もし、パスワードが、暗号化されたフォームであっても、サーバに保 持されていないならば、サーバのセキュリティ設計はさらにより強固なものとな る。 Ｓｃｈｎｏｒｒの認証方式において、ｑはｐ−１の大きな素数の約数であり、 そしてｇ^q＝１ モジュロ ｐである。アリスはｑよりも小さな秘密鍵ｓを生成 し、そして彼女の公開鍵ｖ＝ａ^-s モジュロ ｐを計算する。アリスが、彼女の 秘密鍵ｓをボブに知らせたことを証明したい時は、彼女はランダムなｋ∈Ｚ^* _qを 生成し、そしてｘ＝ｇ^kを計算する。アリスはｘをボブに送信し、ついで、彼は ０と２^t−１の間の乱数ｒを選び、そしてそれをアリスに戻す。この時点で、ア リスとボブの双方共にｐ、ｇ、ｑ、ｖ、ｘおよびｒを知っているが、アリスのみ がｋを知っており、更に本物のアリスのみがｓを知っている。アリスは、ｙ＝（ ｋ＋ｓｒ）モジュロ ｑをボブに送信する。ボブは、ｇ^yｖ^r＝ｇ^{(k+sr)モシ゛ュロ q} （ｇ^-s モジュロ ｐ）^rを計算する。幕指数の積は、モジュロ ｆ（ｐ）＝ｐ −１で計算されるので、ボブは、ｇ^{(k+sr)モシ゛ュロ q}ｇ^{-srモシ゛ュロ p-1}を得る。ｑは ｐ−１の約数であるので、−ｓｒ モジュロ ｐ−１は、−ｓｒ ｍｏｄ ｑ プラス ｑの整数倍となるが、ｇ^q＝１であるので、ボブはｇ^kに至り、彼はｘを 検証することができる。あるｓ´を推測することによって、ボブをだまそうとす る詐欺師は、（ｓ´−ｓ）ｒ モジュロ ｑ＝０のときに成功するであろう。 Ｆ． Ｓｃｈｎｏｒｒ署名 Ｓｃｈｎｏｒｒ署名方式において、ｑはｐ−１の大きな素数の約数であり、お よびｇ^q＝１ モジュロ ｐである。アリスは、ｑより小さい秘密鍵ｓを生成し 、そして自分の公開鍵ｖ＝ａ^-s モジュロ ｐを計算する。従って、ｐ、ｑ、ｇ 、ｓおよびｖは、Ｓｃｈｎｏｒｒ認証と同様の方法で定義される。アリスは署名 Ｓ（Ｍ，ｋ）＝（ｒ，ｙ）を形成する。ここでｒ＝ｈ（ｇ^k、Ｍ）は、０および ２^t−１の範囲の値を与えるハッシュ関数であり、およびｙ＝（ｋ＋ｓｒ）モジ ュロ ｑである。この時点で、アリスとボブの双方共にメッセージＭ、ならびに ｐ、ｇ、ｑ、ｖ、ｙおよびｒを知っているが、アリスのみがｋを知っており、更 に本物のアリスのみがｓを知っている。ボブはｇ^kを知らない。しかしながら、 ボブはｇ^yｖ^r＝ｇ^{(k+sr)モシ゛ュロ q}（ｇ^-s モジュロ ｐ）^rを計算する。冪指数の 積はモジュロ ｆ（ｐ）＝ｐ−１で計算されるので、ボブは、ｇ^{(k+sr)モシ゛ュロ q} ｇ^{-sr モシ゛ュロ p-1}を得る。ｑはｐ−１の約数であるので、−ｓｒ モジュロ ｐ −１は−ｓｒ ｍｏｄ ｑ プラス ｑの整数倍であるが、ｇ^q＝１であり、従 って、もしも署名が本物であるならば、ボブはｇ^kに至る。彼はついでｈ（ｇ^k、 Ｍ）＝ｒを検証するために自分でハッシュを実行する。Ｓｃｈｎｏｒｒ認証と同 じように、アリスのみがｋを知り、および本物のアリスのみがｓを知る。彼女の 秘密鍵がｓ´であると推測することによって、アリスの署名を捏造しようとする 詐欺師は、（ｓ´−ｓ）ｒ モジュロ ｑ＝０のときに成功する。 Ｇ． 第２^mの根（２^mｔｈ ｒｏｏｔ）認証方式（Ｓｈｏｕｐ認証） Ｖｉｃｔｏｒ Ｓｈｏｕｐは、この認証プロトコルを、「コンピュータ・サイ エンスにおけるレクチャ・ノート(Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍ ｐｕｔｅｒ Ｓｃｉｅｎｃｅ)」（Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，Ｂｅｒｌｉ ｎ(１９９６)）の１０７０巻の３４４〜３５３頁で、暗号学の進歩(Ａｄｖａｎ ｃｅ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ)：ＥＵＲＯＣＲＹＰＴ’９６（編集者Ｕｅ ｌｉ Ｍａｕｒｅｒ）において発表した“実用的認証方式のセキュリティに関 して(Ｏｎ ｔｈｅ Ｓｅｃｕｒｉｔｙ ｏｆ ａ Ｐｒａｃｔｉｃａｌ Ｉｄ ｅｎｔｉｆｉｃａｔｉｏｎ Ｓｃｈｅｍｅ)”という論文において最初に述べた 。モジュラス（法）は、２つのランダムに選択された同じ長さの素数ｐおよびｑ の積であり、かつそれらの素数の双方が３ モジュロ ４と等しい。公開の冪指 数はｅ＝２^mである。アリスは彼女の秘密鍵として正整数ａ∈Ｚ^* _pqを選択し、そ して彼女の公開鍵としてｂ＝ａ^e モジュロ ｐｑを計算する。アリスが、彼女 が自分の秘密鍵ａをボブに知らせたことを証明したい時は、彼女は正整数ｋ∈Ｚ^* _pq をランダムに選択し、ｘ＝ｋ^e モジュロ ｐｑを計算し、そしてｘをボブに 送信する。ボブは［０，ｅ−１］においてｒをランダムに選択し、ｒをアリスに 送信する。アリスはｙ＝ｋａ^r モジュロ ｐｑを計算し、そしてｙをボブに送 信する。この時点で、アリスおよびボブはｐｑならびにｂ，ｘ，ｒおよびｙを知 る。アリスはｐｑを知り、そしてもしも彼女が本当のアリスであるならば、彼女 はａをも知る。ボブは、オイラーのトチエント（ｐ−１）（ｑ−１）を使用して 、ｙ^e＝（ｋａ^r モジュロ ｐｑ）^e モジュロ ｐｑ＝ｋ^eａ^{re モシ゛ュロ (p-1)(q -1)} モジュロ ｐｑを計算して、素数ｐおよびｑの積を求める。指数演算の順 序は反転することができるので、ボブはｙ^e＝ｋ^e（ａ^e モジュロ ｐｑ）^rモジ ュロ ｐｑ＝ｘｂ^r モジュロ ｐｑを検証する必要がある。ボブをだまそうと している詐欺師は、ｂ モジュロ ｐｑのｅ^th根をとることによりアリスの秘密 鍵を決定する問題に直面することになるであろう。これは、もしも因数分解ｐｑ が困難であるなら、困難になる。Ｓｈｏｕｐは、もしも因数分解ｐｑが困難であ るならば、本方式は積極的な攻撃に対しても安全であることを示した。積極的な 攻撃において、詐欺師はボブと対話することが繰り返しでき、そしてそのプロト コルから逸脱することができる。 現在の技術によるパーソナル・コンピュータは、典型的には、（ｋ，ｇ^k モ ジュロ ｐ）または（ｋ，ｋ^e モジュロ ｐ）の形式の公開鍵のペアを１秒よ り短い時間で計算することができる。このことは、頻繁に行われないトランザク ションに対しては許容でき、それは“パーソナル”コンピュータのアプリケーシ ョンにおける場合にまさに該当する傾向にある。しかしながら、パーソナル・コ ンピュータは日用品になってきており、そしてハイエンドＰＣは、小規模イン ターネット・サービス・プロバイダによりサーバとしてうまく使用もされてきて いる。このようなアプリケーションにおいて、計算負荷は平均数のユーザにより 複雑化し、そしてセキュリティを必要とする電子商取引が拡大するにつれて隘路 となるであろう。従って、本発明の目的は、離散対数計算または２つの大きな素 数を掛け算することにより構成される数の因数分解の実行不可能性に依存する公 開鍵アルゴリズムで使用するためのランダムな鍵のペアを計算するより効率的な な方法を提供することにある。発明の要約 Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵生成において使用される指数演算ｇ^k モジ ュロ ｐは、プリコンピューテーション・ステップによりアクセラレートされる ことができる。代表的には、ｋが［１，ｐ−１］の範囲でランダムに選ばれたと きに、プリコンピューテーションでｇ^k モジュロ ｐを計算するのに、（ｌｏ ｇ ｐ）／（ｌｏｇ ｌｏｇ ｐ）程度の乗算ステップをとる。しかしながら、ｐ が数百桁長であるとき、（ｌｏｇ ｐ）／（ｌｏｇ ｌｏｇ ｐ）は依然として大 きな数である。 本発明の方法は、［１、ｏｒｄ（ｇ）−１］において一様に分散されたｋの値 を生成し、およびプリコンピューテーション後に、事前に計算されたｎ個の指数 る。本発明による好適な方法は、以下のようにして実行される： 充分に大きくなるようにする。 ２．事前処理ステップを実行する： ｎ個のランダムな整数α_i∈Ｚ_ord(g)を生成する。各ｉに対しβi ＝ｇ^αiを計算し、α_iおよびβ_iの得られた値をテーブルにストアする。 ３．ペア（ｘ、ｇ^x）が要求される時は、オンライン・ステップを実 行する： ｜Ｓ｜＝κとなるようなＳ⊂［１，ｎ］をランダムに生成する。 ｋ＝Σ_{i ∈S}α_i ｍｏｄ ｏｒｄ（ｇ）とする。 もしｋ＝０ならば中止し、およびＳを再び生成する。 Ｋ＝Π_{i ∈S}β_iとし、そして結果として（ｋ、Ｋ）をリターンす る。 プリコンピューテーションはｎ個の法指数演算を実行する。鍵のペアを生成する この方法は、アクセラレートされた鍵のペアが使用されたときに、アルゴリズム がまさにランダムな鍵のペアで見破られる場合を除き、それらを見破ることはで きないという点で、公開鍵アルゴリズムのセキュリティを確保する。即ち、敵は ｇ^k モジュロ ｐからｋを計算しようと努めるが、本発明の方法により鍵のペ アが作られることを知ることからは、なんら重要な利点を得ることができない。 プリコンピューテーションは、プリコンピューテーションされた量のランダムな 部分集合の高速なオンラインの乗算でも使用され、Ｓｈｏｕｐ認証のための鍵の ペアを生成することができる。この方法は、第２^m根認証方式としても知られ、 （ｋ、ｋ^e モジュロ ｐｑ）の形式の鍵のペアを使用するが、ここでｋは［１ 、ｐｑ−１］においてランダムに分散し、ｐおよびｑはランダムに選択された同 じ桁長の素数であり、ｅは固定値である。 プリコンピューテーション・ステップは、ｇ^k モジュロ ｐを［ｂ，ｂ²，ｂ⁴ ,...，ｂ² _(n-1)］の形式の集合からのκ要素の積として明示された値に限定す ることによりさらにアクセラレートされることができる。即ち、ｇ^kはプリコン ピューテーション・ステップにおいて一度だけ乗算により直接的に計算される。 その後は、各々の次の要素が前の要素を２乗することにより生成され得る。従っ て、プリコンピューテーションは１個の指数演算およびｎ−１個の乗算のみから なる。 本発明のオンライン部分は、グラフ理論の結果を使用してさらにアクセラレー トすることもできる。正整数ｒ＜ｏｒｄ（ｇ）はｋに加算され、そして鍵のペア の他の半分はｇ^r モジュロ ｐにより乗算される。順次の鍵のペアが評価され る時、ｒは、それがｋを許可する値の集合においてランダムに歩行（ｗａｌｋ） するようにして更新される。この変化は、鍵のペアを計算するための１個の乗算 を加えるが、それが導入する長期（ｌｏｎｇ−ｔｅｒｍ）のランダム性は、κの より小さな値を用いて、鍵ペア毎のいくつかの乗算の全体の節約をもたらすよう に使用できる。 本発明の構成および作用は、添付図面と関連して行われる以下の実施例の詳細 な説明の検討から理解されよう。図面の簡単な説明 図１Ａは、本発明によって、プリコンピューテーションおよびオンライン・コ ンピューテーション・ステップを使用する秘密および公開鍵のペアを生成するた めのシステムの概略図を示す； 図１Ｂは、システムが使用するセキュリティ・パラメータ・データベースの中 のレコードの構成を示す； 図２は、図１Ａのシステムが、公開鍵セキュリティ・アルゴリズムが作動する 外部オペレーション・システムからのコマンドに応じて実行する方法のフロー図 を示す； 図３Ａは、プリコンピューテーション・モジュールが実行する方法のフロー図 を示す； 図３Ｂは、図１Ａのシステムの第１実施例が（ｋ、ｇ^k モジュロ ｐ）の形 式の鍵のペアを計算する時にオンライン・コンピューテーション・モジュールが 実行する方法のフロー図を示す； 図４Ａは、プリコンピューテーション・モジュールが実行する方法のフロー図 を示す； 図４Ｂは、図１Ａのシステムの第２実施例が（ｋ、ｋ^e ｍｏｄ ｐｑ）の形 式の鍵のペアを計算する時にオンライン・コンピューテーション・モジュールが 実行する方法のフロー図を示す； 図５は、図１Ａのシステムの第３実施例が（ｋ、ｇ^k モジュロ ｐ）の形式 の鍵のペアを計算する時にプリコンピューテーション・モジュールが実行するア クセラレートされた方法のフロー図を示す； 図６Ａは、プリコンピューテーション・モジュールの拡張された初期化ステッ プのフロー図を示す； 図６Ｂは、図１Ａのシステムの第４および第５実施例における、オンライン・ コンピューテーション・モジュールの拡張された初期化ステップのフロー図を示 す；発明の詳細な説明 発明の概観 図１Ａは、（ｋ，ｇ^k モジュロ ｐ）または（ｋ，ｋ^e モジュロ ｐｑ）の 形式の秘密鍵および公開鍵のペアを高速に生成するための装置１００を概略的に 示す。システムはデータおよびソフトウェアで実行されることができ、または専 用ハードウェアに埋め込まれることができる。システムは、少なくともコントロ ール・モジュール１０１、プリコンピューテーション・モジュール１０２、中間 の（ｉｎｔｅｒｍｅｄｉａｔｅ）鍵のペアのテーブル１０３、オンライン・コン ピューテーション・モジュール１０４、および最終の（ｆｉｎａｌ）鍵のペア（ ｋ、Ｋ）のための一時的記憶装置１０５を備える。システムは、拡張グラフ理論 に基づくオプションのセキュリティ拡張機能においては、第２テーブルＴ_exp１ ０６およびランダムな鍵のペア（ｒ，Ｒ）１０７も使用してもよい。 コントロール・モジュールは、オペレーション・システム１１および公開鍵セ キュリティ・アルゴリズム１３からのコマンドを受け付け、そしてセキュリティ ・パラメータ・データベース１２からのセキュリティ・パラメータを読み込 む。プリコンピューテーション・モジュールは、コントロール・モジュールから セキュリティ・パラメータを受け取り、そのパラメータを使用して中間の鍵のペ アを計算し、そして中間の鍵のペアをテーブルＴおよびＴ_expにストアする。プ リコンピューテーション・モジュールはランダムな鍵のペア（ｒ，Ｒ）を初期化 もする。コントロール・モジュールからの命令で、オンライン・コンピューテー ション・モジュールは、テーブルＴおよびＴ_expから中間の鍵のペアを受け付け 、ランダムな鍵のペア（ｒ，Ｒ）を更新し、そして最終の鍵のペア（ｋ，Ｋ）を 計算する。 公開鍵セキュリティ・アルゴリズムからの入力において、コントロール・モジ ュールは、オンライン・コンピューテーション・モジュールに公開鍵セキュリテ ィ・アルゴリズムへ最終の鍵のペアを出力するように命令する。 セキュリティ・パラメータ・データベースは、各公開鍵セキュリティ・アルゴ リズムのためのレコードを含み、および各レコードは図１Ｂで図示したようなフ ィールドにおける情報を持つ。ＰＫＳＡ１２１は、システム１００からの鍵のペ アを要求する公開鍵セキュリティ・アルゴリズム１３を特定する。プリコンピュ ーテーション・モジュール１０２およびオンライン・コンピューテーション・モ ジュール１０４のオペレーションは、以下に説明する種々の実施例において公開 鍵セキュリティ・アルゴリズムに依存する。ＡＰ１２２は、プリコンピューテー ション・モジュールがアクセラレートされたプリコンピューテーション方法を実 行する必要があるかどうかを示し、およびＥＧ１２３は、拡張グラフがシステム により生成された最終の鍵のペアのセキュリティを高めるために使用される必要 があるかどうか示す。ＡＰおよびＥＧは、真（ｔｒｕｅ）／偽（ｆａｌｓｅ）の ２値フラグであることが好ましい。法（モジュラス）１２４は、それが素数であ るときにはｐにより示され、および表記ｐｑは、モジュラスが２つの素数ｐおよ びｑの積、好ましくは同じ桁長である時に使用される。１つの素数のモジュロｐ を使用するアルゴリズムは、Ｚ^* _pの要素であるパラメータｇ１２５も使用する。 次のパラメータｏｒｄ（ｇ）１２６は、集合１，ｇ，ｇ²,...，ｇ^ord(g)-1の要 素の数を参照する。ここでｏｒｄ（ｇ）はｇ^ord(g)＝１を満たす最小の正整数で ある。中間の鍵のペアのテーブルＴ１０３の長さがｎ１２７ であり、そしてｋ１２８は、オンライン・コンピューテーション・モジュール１ ０４により使用されるＴの部分集合の大きさである。最後のパラメータは、拡張 グラフに基づくオプションのセキュリティ拡張機能において使用される中間の鍵 のペアのテーブルＴ_exp１０６の長さｎ_eである。 図２は、外部オペレーティング・システム１１が、それが公開鍵セキュリティ ・アルゴリズム１３を利用しているという信号を送る時に、本発明のシステム１ ００が実行する方法２０を示す。ステップ２１において、コントロール・モジュ ール１０１は、セキュリティ・パラメータ・データベース１２からセキュリティ ・パラメータを得る。ステップ２２において、コントロール・モジュールは、こ れらのパラメータをプリコンピューテーションを実行するための信号と一緒にプ リコンピューテーション・モジュール１０２へ通す。ステップ２３において、コ ントロール・モジュールは、公開鍵セキュリティ・アルゴリズムが鍵のペアを要 求しているか否かテストする。もしも公開鍵セキュリティ・アルゴリズムが要求 しているならば、コントロール・モジュールにより、オンライン・コンピューテ ーション・モジュール１０４は鍵のペアを計算し、そして公開鍵セキュリティ・ アルゴリズムへ鍵のペアを出力する。コントロール・モジュールが公開鍵セキュ リティ・アルゴリズムへ鍵のペアを送った後，ステップ２５において、それはテ ーブルＴ１０３にある中間の鍵のペアが終了しているか否かテストする。もしも 中間の鍵のペアが終了しているならば、コントロール・モジュールはステップ２ ２に分岐し、そこでプリコンピューティングが再び実行される。もしも中間の鍵 のペアが終了していないならば、コントロール・モジュールはステップ２３に戻 り、公開鍵セキュリティ・アルゴリズムが別の鍵のペアを必要とするか否かテス トする。もしも公開鍵セキュリティ・アルゴリズムが鍵のペアを必要といないな らば、コントロール・モジュールはステップ２６に分岐し、外部オペレーティン グ・システムがまだ公開鍵セキュリティ・アルゴリズムを必要とするか否かテス トする。もしも公開鍵セキュリティ・アルゴリズムが必要とされるならば、コン トロール・モジュールはステップ２３に戻る。もしも公開鍵セキュリティ・アル ゴリズムがもはや必要とされないならば、コントロール・モジュールは、外部オ ペレーティング・システムが公開鍵セキュリティ・アルゴリズムを再 び使用する必要性を合図するまで、ウェイトする。 集合Ｚ^* _pにおける桁長ｍの所与の素数ｐおよびｇに対して、ｋがランダムにモ ジュロｐを選択した時に未経験なｇ^k モジュロ ｐを計算するのに、ｍ個の法 乗算（ｍｏｄｕｌａｒ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ）程度の値を要する。「 コンピュータ・サイエンスにおけるレクチャ・ノート(Ｌｅｃｔｕｒｅ Ｎｏｔ ｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ)」（Ｓｐｒｉｎｇｅｒ−Ｖｅ ｒｌａｇ，Ｂｅｒｌｉｎ(１９９２年)）の６５８巻の２００〜２０７頁で、暗号 学の進歩（Ａｄｖａｎｃｅ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ）：ＥＵＲＯＣＲＹＰ Ｔ’９２（編集者Ｕｅｌｉ Ｍａｕｒｅｒ）においてＥ．Ｇ．Ｂｒｉｃｋｅｌｌ が発表した“プリコンピューテーションによる速い指数演算(Ｆａｓｔ Ｅｘｐ ｏｎｅｎｔｉａｔｉｏｎ ｗｉｔｈ Ｐｒｅｃｏｍｐｕｔａｔｉｏｎ)”という 論文において、プリコンピューテーションを用いたおおよそｍ／ｌｏｇ ｍステ ップで整数ｋに対してｇ^k モジュロ ｐを計算できることが示された。しかし ながら、ｍが数百またはそれ以上程度であるとき、ｍ／ｌｏｇ ｍは依然として 大きい。（ｋ，ｋｅ モジュロ ｐｑ）の形式のペアが、ランダムなモジュロｐ ｑを選択したｋの独立の値と計算されるときは、プリコンピューテーションは利 用できなく、そして各ペアはｅ個の法乗算の長さ程度を必要とする。 ｋがランダムに選択された時、敵は以前生成された鍵のペアを使用できなく、 将来のそれを予言する。しかしながら、順次の値ｋは互いに完全に独立すること は必要ではない。さらに実用的な要求としては、鍵のペアの列は２⁶⁴のオーダー の反復のある大きな数において繰り返す必要はないことがある。その後、本発明 のシステム１００はもし必要であれば再スタートすることができる。プリコンピ ュートされた値であるｎのテーブルからエントリしたκをランダムに選択するこ とによりペアを生成する。ひとつの選択を行う方法の数は、ｎ！／κ！（ｎ−κ ）！である。その理由は、κ個のエントリのオーダーは不適切なものになるから である。システムがある大きな数Ｌ回使用されたとき、繰り返しが発生する確率 は、実行時の異なるペアの数と等しく、それは、一定の確率、すなわち、κ！（ ｎ−κ）！／ｎ！をＬ（Ｌ−１）／２倍したものである。従って、Ｌ²はｎ！／ κ！（ｎ−κ）！の程度とする必要がある。従って、例えば、ｎ＝２⁸お よびκ＝３２であれば充分であろう。暗号技術者はこの種の計算をバースディ攻 撃と称するが、その理由は、バースディ攻撃がある２人が同じ誕生日を共有する 人々の驚くべき小さい群を満たすからである。 （ｋ，Ｋ＝ｇ^k モジュロ ｐ）の形式の鍵のペアを生成する システム１００および方法２０により実行される生成元Ｇの第１の実施例を、 図３Ａおよび図３Ｂに関連して述べる。ここで、図３Ａはプリコンピューテーシ ョン・ステップを示し、および図３Ｂはオンライン・ステップを示す。Ｇはプリ コンピューテーション・ステップおよびランダムではないｋの値の双方を使用し 、(ｋ，ｇ^k モジュロ ｐ)の形式の鍵のペアの生成をスピードアップする。Ｇ のこの実施例は、アクセラレートされたプリコンピューテーション・ステップま たは拡張グラフに基づく拡張機能（双方共に以下に説明する）を使用しないので 、ＡＰ１２２＝ＥＧ１２３＝偽（Ｆａｌｓｅ）となる。 図３Ａは、Ｇのプリコンピューテーション・モジュール１０２によりステップ ２２において実行されるプリコンピューテーション方法３１を示す。ステップ３ １１において、方法は正整数ｇ，ｐ，ｏｒｄ（ｇ）およびｎを受け付ける。ここ で、ｐは大きな素数であり、そしてｏｒｄ（ｇ）は、ｋがいずれかの正整数の場 合にｇ^k モジュロ ｐを計算することにより生成され得る異なる結果の数であ る。ステップ３１２において、添え字（ｉｎｄｅｘ）ｉは１に初期化され、そし て中間の鍵のペアのテーブルＴ１０３は消去される。ステップ３１３において、 正整数ｋ_i∈Ｚ_ord(g)がランダムに選択される。ステップ３１４において、方法 はテーブルＴを検査し、以前にペアの最初の要素にストアされているか調べる。 もしｋ_iが以前にストアされたならば、方法はステップ３１３に戻り、そしてラ ンダムにｋ_i＜ｏｒｄ（ｇ）の別の値を選択する。もしもｋ_iがテーブルＴにお モジュロ ｐと等しく設定される。ステップ３１６において、要素（ｋ_i，Ｋ_i） のペアはテーブルＴにストアされる。ステップ３１７において、方法はｉをテス トして、ｎ個の中間の鍵のペアが生成され、かつテーブルＴにストアされた か否か判定し、そしてもしもそれらがされていれば、方法３１は完了する。もし もｎ個より少ないペアが生成され、かつストアされているならば、方法はステッ プ３１８に分岐し、そこで添え字ｉは１によりインクリメントされる。ｉをイン クリメントした後、方法はステップ３１３に戻る。従って、ステップ３１３から ３１８まではループを形成し、ｎ個のペア（ｋｉ，Ｋｉ）が生成されかつテーブ ルＴにストアされるまで実行される。ｎ個のペアがストアされた時、方法３１は 完了する。 図３Ｂは、鍵のペア（ｋ，Ｋ＝ｇ^k モジュロ ｐ）が公開鍵アルゴリズム１ ３により要求されたときに、Ｇのオンライン・コンピューテーション・モジュール １０４によりステップ２４において実行されるオンライン・コンピューテーショ ン方法３２を示す。ステップ３２１において、方法はｐ、ｏｒｄ(ｇ)、κおよび ｎを受け付け、ついでそれは（ｋ，Ｋ）を（０，１）に初期化する。ステップ３ ２２において、方法は添え字ｉ＝１に設定して、そして一時的リストＬを消去す る。ステップ３２３において、正整数ｊが、１およびｎの間からランダムに選択 される。ステップ３２４において、方法は一時的リストＬを検査し、ｊが以前そ こにストアされているかを調べる。もしもｊが以前ストアされているならば、方 法はステップ３２３に戻り、そしてランダムに別のｊの値を選択する。従って、 ステップ３２３および３２４は、それが新しいｊの値を見つけるまで方法が実行 するループを形成する。ステップ３２５において、ｊは受け付けられ、そして方 法は中間の鍵のペアのテーブルＴ１０３からペア（ｋ_j，Ｋ_j）を検索する。ステ ップ３２５においてはまた、ｋ_jはｋ モジュロ ｏｒｄ（ｇ）と加算され、Ｋ はＫ_j モジュロ ｐにより乗算され、およびｊは一時的テーブルにストアされ るので、それは再び選択されなくなる。ステップ３２６において、ｉはκと比較 される。もしもｉがκよりも小さければ、方法はステップ３２７に分岐し、ここ でｉはインクリメントされる。ｉをインクリメントした後、方法はステップ３２ ３に戻り、そして別の中間の鍵のペア（ｋ_j，Ｋ_j）を選び始める。従って、ステ ップ３２３からステップ３２７は、それが異なる中間の鍵のペアであるκを使用 するまで方法が実行するループを形成する。中間の鍵のペアであるκが鍵のペア （ｋ，Ｋ）の計算において用いられているとき、ステップ３２６はステップ ３２８に分岐し、そこで方法はｋが０であるかテストする。もしもｋが０である ならば、方法はステップ３２２に分岐する。従って、ステップ３２２からステッ プ３２８は、それが非ゼロのｋを生成するまで方法が実行するループを形成する 。ついで方法はステップ３２９に進み、そこでペアは公開鍵セキュリティ・アル ゴリズム１３に送られ、ついで方法３２は終了する。 Ｋ＝ｇ^kであることに注意する必要がある。事前処理はＯ（ｍｎ）個の倍数を 必要とする。オンライン・ステップに対しては、各出力（ｘ，ｇ^x）はｋの加算 およびｋの乗算のみで計算される。Ｋ＝Ｏとなるのは１／ｏｒｄ（ｇ）の確率の みであることに注意する必要がある。（ｋ，Ｋ＝ｋ^e モジュロ ｐｑ）の形式の鍵のペアの生成 システム１００および方法２０の第２実施例Ｇ´を、図４Ａおよび図４Ｂに関 連して述べる。ここで図４Ａはプリコンピューテーション・ステップを示し、図 ４Ｂはオンライン・ステップを示す。Ｇ´はプリコンピューテーション・ステッ プおよびランダムでないｋの値の双方を使用し、Ｓｈｏｕｐ認証において使用す るための（ｋ，ｋｅ モジュロ ｐｑ）の形式の鍵のペアの生成をスピード・ア ップする。拡張グラフに基づくセキュリティ拡張機能はＧ´において使用されな いので、ＥＧ１２３は偽でありかつＡＰ１２２も偽である。その理由は、そこで はいずれの高速プリコンピューテーション・ステップもＳｈｏｕｐ認証のために 使用できないからである。 図４Ａは、プリコンピューテーションが要求されたときにステップ２２におい て生成元Ｇ´のプリコンピューテーション・モジュール１０２により実行される プリコンピューテーション方法４１を示す。ステップ４１１において、方法は正 整数ｐｑ、ｅおよびｎを受け付ける。ここでｐおよびｑは同じ桁長の素数であり 、十分に大きなｍに対しｅ＝２^mとなり、およびｎはプリコンピュートされる値 の数である。ステップ４１２において、添え字ｉは１に初期化され、そして中間 の鍵のペアのテーブルＴ１０３は消去される。ステップ４１３において、ｋ_i∈ Ｚ^* _pqはランダムに選択される。ステップ４１４において、方法はテーブルＴを 検 査し、ｋ_iが以前にペアの第１の要素にストアされたか調べる。もしｋ_iが以前に ストアされたならば、方法はステップ４１３に戻り、そしてｋ_iの別の値を選択 する。もしもｋ_iがテーブルＴにおいて新しい値であれば、方法はステップ４１ ５に進み、そこでＫ_iはｋ_i ^e モジュロ ｐｑと等しく設定される。ステップ４ １６において、要素（ｋ_i，Ｋ_i）のペアは中間の鍵のペアのテーブルにストアさ れる。ステップ４１７において、方法はｉをテストして、ｎ個のペアが生成され 、かつテーブルＴにストアされたか否か判定する。もしもｎ個より少ないペアが 生成され、かつストアされているならば、方法はステップ４１８に分岐し、そこ で添え字ｉは１によりインクリメントされる。ｉをインクリメントした後、方法 はステップ４１３に戻る。従って、ステップ４１３から４１８までは、ｎ個の異 なるペア（ｋ_i，Ｋ_i）が生成されかつテーブルＴにストアされるまで実行される ループを形成する。ｎ個のペアがストアされた時、方法４１は完了する。 図４Ｂは、（ｋ，ｋ^e モジュロ ｐｑ）の形式の鍵のペアが公開鍵アルゴリ ズム１３により要求されたときに、生成元Ｇ´のオンライン・コンピューテーシ ョン・モジュール１０４がステップ２４において実行するオンライン・コンピュー テーション方法４２を示す。ステップ４２１において、方法はｐｑ、κおよびｎ を受け付け、そして（ｋ，Ｋ）を（１，１）に初期化する。ステップ４２２にお いて、方法はｉ＝１に設定して、そして一時的リストＬを消去する。ステップ４ ２３において、正整数ｊが、１およびｎの間からランダムに選択される。ステッ プ４２４において、方法は一時的リストＬを検査し、ｊが以前そこにストアされ ているかを調べる。もしもｊが以前ストアされているならば、方法はステップ４ ２３に戻り、そしてランダムに１およびｎの範囲の別のｊの値を選択する。従っ て、ステップ４２３および４２４は、それが新しいｊの値を見つけるまで方法が 実行するループを形成する。ステップ４２５において、添え字ｊは受け付けられ 、そして方法は中間の鍵のペアのテーブルＴ１０３からペア（ｋ_j，Ｋ_j）を検索 する。ステップ４２５においてはまた、ｋはｋ_j モジュロ ｐｑにより乗算さ れ、そしてＫはＫ_j モジュロ ｐｑにより乗算される。ステップ４２６におい て、ｊは一時的テーブルにストアされるので、それは再び選択されなくなる。ス テップ４２７において、ｉはκと比較される。もしもまだｉがκより も小さければ、方法はステップ４２８に分岐し、ここでｉはインクリメントされ る。ｉをインクリメントした後、方法はステップ４２３に戻り、そして別の中間 の鍵のペア（ｋ_j，Ｋ_j）を選び始める。従って、ステップ４２３からステップ４ ２８は、それが異なる中間の鍵のペアであるκを使用するまで方法が実行するル ープを形成する。中間の鍵のペアであるκが鍵のペア（ｋ，Ｋ）の計算において 用いられているとき、ステップ４２７はステップ４２９に分岐し、ステップ４２ ９において、方法は、完成した鍵のペアを公開鍵セキュリティ・アルゴリズム１ ３に送り、そして方法４２は終了する。プリコンピューテーション・ステップをさらにアクセラレートする システム１００および方法２０の第３の実施例Ｇ₂を、図５に関連して述べる 。Ｇ₂は、フィールドＡＰ１２２がセキュリティ・パラメータ・データベースの カレント・レコードにおいて「真」（ｔｒｕｅ）に設定されたときに使用される 。Ｇ₂は生成元Ｇとして同じオンライン・ステップを使用するが、プリコンピュ ーテーションは異なる。Ｇ₂はｏｒｄ（ｇ）が素数となるようなｇおよびｐを選 択するのが好ましい。 図５は、Ｇ２のプリコンピューテーション・モジュール１０２によりステップ ２２において実行される方法５１を示す。ステップ５１１において、方法は正整 数ｇ，ｐ，ｏｒｄ（ｇ）およびｎを受け付ける。ここで、ｐは大きな素数であり 、そしてｏｒｄ（ｇ）は、ｋがいずれかの正整数の場合にｇ^k モジュロ ｐを 計算することにより生成され得る異なる結果の数である。ステップ５１２におい て、添え字（ｉｎｄｅｘ）ｉは１に初期化され、そして中間の鍵のペアのテーブ ルＴ１０３は消去される。ステップ５１３において、正整数ｋ₁∈Ｚ_ord(g)がラ ン ステップ５１４において、要素（ｋ_i，Ｋ_i）のペアはテーブルＴにストアされる 。ステップ５１５において、ｋ₁ モジュロ ｏｒｄ（ｇ）を倍にすることによ りｋ_i+1を評価し、そしてＫ_i モジュロ ｐの２乗によりＫ_i+1を評価する。ス テップ５１６において、中間の鍵のペアｋ_i+1，Ｋ_i+1はテーブルＴにストア される。ステップ５１７において、方法はｉ＋１をテストして、ｎ個の中間の鍵 のペアが生成され、かつテーブルＴにストアされたか否か判定し、そしてもしも それらがされていれば、方法５１は完了する。もしもｎ個より少ないペアが生成 され、かつストアされているならば、方法はステップ５１８に分岐し、そこで添 え字ｉは１によりインクリメントされる。ｉをインクリメントした後、方法はス テップ５１５に戻る。従って、ステップ５１５から５１８まではループを形成し 、ｎ個のペア（ｋ_i，Ｋ_i）が生成され、かつテーブルＴにストアされるまで実行 される。ｎ個のペアがストアされた時、方法５１は完了する。 方法５１は、方法３１がＫ_iを評価するために使用するｎ回の法指数演算を、 １回の法指数演算およびｎ−１回の法乗算で置き換える。さらにまた、Ｚ^* _{ord(g )} における整数の唯１回のランダムな選択が、ｋ₁の評価において要求される。残 ったｋ_iは、バイナリ・コンピュータにおいて効率良く計算される。その理由は 、２を乗算することはビット列を１つ左にシフトすることによりなされるからで ある。 拡張グラフに基づく高められたセキュリティ 拡張グラフに基づくセキュリティ拡張機能を、プリコンピューテーション・ス テップのための図６Ａおよびオンライン・コンピューテーション・ステップのた めの図６Ｂに関連して述べる。これらの構成はケーリーグラフ（Ｃａｙｌｅｙ ｇｒａｐｈｓ）におけるランダムな歩行（ｗａｌｋｓ）を用いるのが好ましい。 同一群の要素の部分集合Ｓ_eについての群ＺのケーリーグラフＸ（Ｚ，Ｓ_e）は、 その頂点がＺの要素と一対一に対応し、かつその稜（ｅｄｇｅｓ）がペア（ｚ， ｚｓ）（ここで、ｚ∈Ｚおよびｓ∈Ｓ_e）であるグラフである。圧倒的確率を以 って、Ｘ（Ｚ，Ｓ_e）は拡張グラフであり、そのことは、接続された稜に沿って のランダムな歩行がＺにわたって一様に分布された目的点に達することを意味す る。 システム１００および方法２０の第４（および第５）実施例において、Ｓに対 応するｉ＝１，２,...，ｎ_eのためのｎ_e個１２９の鍵のペア（ｒ_i，Ｒ_i）の部 分集合、およびランダムな鍵のペア（ｒ，Ｒ）１０７は、ランダムに選択された Ｓの要素と組み合わせられることにより、各オンライン・ステップにおいて更新 される。ついで最終の鍵のペア（ｋ、Ｋ）１０５はランダムなウォーキング（ｒ 、Ｒ）と組み合わせられる。ランダムな鍵のペア（ｒ，Ｒ）を更新し、そしてそ れを（ｋ，Ｋ）と組み合わせることは、Ｇ_exp（またはＧ´_exp）における２回（ または４回）の法乗算を加える。しかしながら、オンライン・コンピューテーシ ョンにおける法乗算の全体の回数は削減することができる。その理由は、κ１２ ８は２より多く削減することができるからである。従って、ランダムな歩行はκ ！（ｎ−κ）！／ｎ！のオンライン・コンピューテーションにおけるバースディ 攻撃を退ける。ここでｎ１２７は、中間の鍵のペアの数であり、そのペアから、 (ｒ，Ｒ)と組み合わせる前に最終のペア（ｋ，Ｋ）が形成される。 Ｇ_exp（またはＧ´_exp）のプリコンピューテーション方法は、初期化ステップ ３１２（または４１２）を方法６１２（または６１２´）と、それぞれ、置き換 える。拡張された初期化ステップを除いて、Ｇ_exp（またはＧ´_exp）のプリコン ピューテーション・ステップは、Ｇ３１（またはＧ´４１）におけるプリコンピ ューテーション方法のステップと同じである。変更された初期化方法６１２（ま たは６１２´）は図６Ａに示される。Ｇ_exp（またはＧ´_exp）のプリコンピュー テーション方法の初期化が要求されたとき、方法はステップ６１２１において、 ランダムに選ばれかつテーブルＴ_exp１０６においてストアされたランダムな鍵 のペア（ｒ_i，Ｒ_i）の数であるパラメータｎ_e１２９を受け付けることにより始 まる。ステップ６１２２において、方法は添え字（ｉｎｄｅｘ）ｉ＝１を設定し 、そしてＴ_expを消去する。ステップ６１２２において、方法は正整数Ｚ_ord(g) （またはＺ^* _pq）からランダムに要素ｒ_iを選択する。ステップ６１２３において 、方法はテーブルＴ_expを検査し、ｒ_iが既にそこにストアされているか調べる。 もしもｒ_iが既に選択されているならば、方法はステップ６１２２に戻る。従っ て、ステップ６１２２および６１２３はループを形成し、未使用のｒ_iが選択さ れるまで方法は実行される。ｒ_iの新しい値が見つかったとき、方法 _i ^e モジュロ ｐｑ）を計算し、そして中間の鍵のペア（ｒ_i，Ｒ_i）をテーブ ルＴ_expにストアする。ステップ６１２５において、方法はｎ_e個のペアが選択さ れているかテストする。もしもｉがｎ_e個より少ないならば、方法はステップ６ １２６に分岐し、そこで添え宇ｉはインクリメントされる。ｉをインクリメント した後、方法はステップ６１２２に戻る。従って、ステップ６１２２から６１２ ６まではループを形成し、ｎ_e個の異なったペア（ｒ_i、Ｒ_i）がテーブルＴ_expに ストアされるまで方法は実行される。ｎ_e個のペアが選択された時、方法はステ ップ６１２７に分岐する。ステップ６１２７において、方法はＺ_ord(g)（または Ｚ^* _pq）からランダムに要素ｒを選択し、そしてＲ＝ｇ^r モジュロ ｐ（または ｒ^e モジュロ ｐｑ）を計算する。ペア（ｒ，Ｒ）１０７は、テーブルＴ_expの 要素を用いて生成されたランダムな歩行の開始点である。最後に、ｉは１にリセ ットされ、そしてテーブルＴはステップ３１２（または４１２）においてされた ように消去され、ついで方法６１２（または６１２´）は終了する。 Ｇ_exp（またはＧ´_exp）のオンライン・コンピューテーション方法は、初期化 ステップ３２２（または４２２）を方法６２２（または６２２´）と、それぞれ 、置き換える。拡張された初期化ステップを除いて、Ｇ_exp（またはＧ´_exp）の オンライン・コンピューテーション・ステップは、Ｇ３２（またはＧ´４２）に おけるオンライン・コンピューテーション方法のステップと同じである。変更さ れた初期化方法６２２（または６２２´）は図６Ｂに示される。Ｇ_exp（または Ｇ´_exp）のオンライン・コンピューテーション方法の初期化が要求されたとき 、方法はステップ６２２１において、パラメータｎ_eを受け付けることにより始 まる。ステップ６２２２において、ｊの値は［１，ｎ_e］からランダムに選択さ れ、そしてペア（ｒ_j，Ｒ_j）がテーブルＴ_expから読み出される。ステップ６２ ２３において、ランダムなペア（ｒ，Ｒ）はｒ＋ｒ_j モジュロ ｏｒｄ（ｇ） （またはｒｒ_j モジュロ ｐｑ）およびＲＲ_j モジュロ ｐ（またはＲＲ_j モジュロ ｐｑ）に更新される。これは、ランダムな歩行のステップである。ス テップ６２２４において、方法は最終の鍵のペア（ｋ，Ｋ）を（ｒ，Ｒ）に初期 化する。ステップにおいて、方法はｉ＝１を設定し、そしてリストＬを消去する が、それは置き替えられた初期化ステップ３２２（または４２２）において要求 されたオペレーションである。ついで、方法６２２（または６２２ ´）は終了する。 結論 要するに、プリコンピューテーションおよび高速のオンライン・ステップを用 いて公開鍵のペアを生成するための方法が開示される。その結果により、アクセ ラレートされた鍵の生成がなされて、それにより、例えばパーソナル・コンピュ ータをインターネット・サービスで用いることができ、セキュリティの確保され た商取引に対する隘路とならずにインターネット・サービスを提供する。 最後に、上記した本発明の実施例は、単なる一例として意図されたものである 。多くの代替実施例が以下の特許請求の範囲の範囲を逸脱することなしに当業者 によって工夫することができる。

Claims (1)

1. 【特許請求の範囲】 １．秘密鍵ｋを高速に選択し、そして公開鍵Ｋ＝ｇ^kモジュロ ｐ（ここで ｇおよびｐが正整数であり、ならびにｇおよびｋがｐより小さい）を決定するた めの方法において： （ａ） ｉ． ｎ個の数の集合からκ個の要素を選択する方法の数は充分に 大きいような、整数κおよびｎを選択し、 ii． ｉ＝１,...，ｎに対する正整数α_i＜ｏｒｄ（ｇ）をランダ ムに選択し、 iii． 各前記整数α_iのために、値β_i＝ｇ^αi モジュロ ｐを計 算し、 iv． 前記整数α_iおよび前記整数β_iをペア（α_i，β_i）にしてテ ーブルにストアする プリコンピューテーション・ステップを実行し、および、 （ｂ） 秘密鍵ｋおよび公開鍵Ｋが所望された時に、 ｉ． 前記テーブルからκ個のペアをランダムに選択し、 ii． 前記公開鍵ｋを前記選択されたペアの前記整数α_iの合計と して評価し、ここでその合計は評価されたモジュロ ｏｒｄ（ｇ）であり、 iii． もしも合計がゼロであるならばオンライン・ステップを再開 し、および iv． 前記公開鍵Ｋを前記選択されたペアの前記値βｉの積として 評価し、その積は評価されたモジュロ ｐである オンライン・ステップを実行することを特徴とする方法。 ２．請求項１に記載の方法において、前記プリコンピューテーション・ステ ップは更に： （ａ） 素数となるようにｐを選択し、 （ｂ） ｉ＝１，２,...，ｎに対するαｉをランダムに選択する前記ステッ プは更に、最初の整数α₁をランダムに選択し、そしてｉ＝１，２,...，ｎに対 する次のα_iを２^i-1α₁ モジュロ ｏｒｄ（ｇ）と等しくなるように選択し； および （ｃ） ｉ＝１，２,...，ｎに対するβｉの順次の値の各々を計算する前記 ステップは、前の値のモジュロ ｐを２乗する ことを特徴とする方法。 ３．請求項１に記載の方法において、 （ａ） 前記プリコンピューテーション・ステップは更に： ｉ． ｉ＝１,...，ｎｅに対する正整数ｒｉ＜ｏｒｄ（ｇ）をラン ダムに選択し、および ii． Ｒｉ＝ｇｒｉ モジュロ ｐ（ここでｒは整数）をプリコン ピューティングし、 iii． 第２のテーブルにペア（ｒｉ，Ｒｉ）をストアし、前記第２ のテーブルから値ｒおよびその指数演算Ｒ＝ｇｒ モジュロ ｐをランダムに選 択し、および （ｂ） 前記オンライン・ステップは更に： ｉ． 前記第２のテーブルからペア（ｒｊ，Ｒｊ）をランダムに選 択し、 ii． ｒをｒ＋ｒｊ モジュロ ｏｒｄ（ｇ）で置き換え、および ＲをＲＲｊ モジュロ ｐで置き換え、および iii． ｋをｋ＋ｒｊ モジュロ ｏｒｄ（ｇ）で置き換え、および ＫをＲｉＫ モジュロ ｐで置き換える ことを特徴とする方法。 ４． ２つの大きな素数の整数ｐおよびｑの積より小さい整数ｋを高速に選 択し、そしてｋ モジュロ ｐｑのｅ乗（ここでｅは固定された整数）を評価す るための方法において、 （ａ） ｉ． ｎ個の数の集合からκ個の要素を選択する方法の数が充分大 きいように整数κおよびｎを選択し、 ii． ｎ個のランダムな整数α_i＜ｐｑの集合Ｚを選択し、および iii． 値β_i＝α_i ^eモジュロ ｐｑを計算し、および前記α_iおよび β_iをペアにしてテーブルにストアする プリコンピューテーション・ステップを実行し、 （ｂ） 数値ｋおよびｋ^eモジュロ ｐｑの新しいペアが所望された時に、 ｉ． 前記集合Ｚにおけるκ個の要素α_iの部分集合ｚをランダム に選択し、 ii． 前記集合ｚ モジュロ ｐｑにおける前記選択されたα_iを 乗算することにより前記整数κを評価し、 iii． 前記集合ｚ モジュロ ｐｑにおける前記プリコンピュート されたβ_iを一緒に乗算することにより前記数ｋ^eを評価する オンライン・ステップを実行することを特徴とする方法。 ５．請求項４に記載の方法において、プリコンピューテーション・ステップ は更に： （ａ） 素数となるようにｐを選択し、 （ｂ） ｉ＝１，２に対するα_iをランダムに選択する前記ステップにおい て（ここでｇは整数）、更に最初の整数α₁をランダムに選択し、そしてｉ＝２ に対して次のα_iを２^i-1α₁モジュロ ｏｒｄ（ｇ）（ここでｇは整数）と等し くなるように選択し、および （ｃ） ｉ＝２に対するβ_iの順次の値の各々を計算する前記ステップは（ ここでｇは整数）、前の数値のモジュロｐを２乗する ことを特徴とする方法。 ６．請求項４に記載の方法において、 （ａ）プリコンピューテーション・ステップは更に： ｉ． ｉ＝１に対する正整数ｒｉ＜ｏｒｄ（ｇ）（ここでｇは整数） をランダムに選択し、 ii． Ｒｉ＝ｇｒｉ モジュロ ｐ（ここでｒは整数）をプリコンピ ューティングし、 iii． 第２のテーブルにペア（ｒｉ，Ｒｉ）をストアし、前記第２の テーブルから数値ｒおよびその指数演算Ｒ＝ｇｒ モジュロ ｐをランダムに選 択し、および （ｂ）オンライン・ステップは更に： ｉ． 前記第２のテーブルからペア（ｒｊ，Ｒｊ）をランダムに選択 し、 ii． ｒをｒ＋ｒｊ モジュロ ｏｒｄ（ｇ）で置き換え、およびＲ をＲＲｊ モジュロ ｐで置き換え、および iii． ｋをｋ＋ｒｊ モジュロ ｏｒｄ（ｇ）で置き換え、およびＫ をＲｉＫ モジュロ ｐで置き換える ことを特徴とする方法。