JP2001094551A - 暗号化方法，暗号通信方法及び暗号文作成装置 - Google Patents

Abstract

(57)【要約】 【課題】 圧倒的多数の公開鍵の組合せから１つの公開
鍵の組を任意に選択すことに安全性の根拠を置いた新し
いタイプの公開鍵暗号系の暗号化方法を提供する。 【解決手段】 各分割平文毎に乱数項を組み込んだ複数
の公開鍵を予めデータベース10内に準備しておき、準備
されているそれらの複数の公開鍵から任意の公開鍵を各
分割平文について選択し、選択した公開鍵を使用して暗
号文Ｃを作成する。安全性の根拠を、多数の公開鍵から
所望の公開鍵の組を自由に選択できること、言い換えれ
ば、その公開鍵選択の組合せの数の多さに置いている。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、公開鍵を用いて平
文を暗号文に変換する公開鍵暗号系の暗号化方法、この
暗号化方法を利用した暗号通信方法、及び、その暗号文
を作成する暗号文作成装置に関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化方式は、大別すると共通鍵暗号系と
公開鍵暗号系との二つに分類できる。共通鍵暗号系で
は、暗号化鍵と復号鍵とが等しく、送信者と受信者とが
同じ共通鍵を持つことによって暗号通信を行う。送信者
が平文を秘密の共通鍵に基づいて暗号化して受信者に送
り、受信者はこの共通鍵を用いて暗号文を元に平文に復
号する。

【０００５】これに対して公開鍵暗号系では、暗号化鍵
と復号鍵とが異なっており、公開されている受信者の公
開鍵で送信者が平文を暗号化し、受信者が自身の秘密鍵
でその暗号文を復号することによって暗号通信を行う。
公開鍵は暗号化のための鍵、秘密鍵は公開鍵によって変
換された暗号文を復号するための鍵であり、公開鍵によ
って変換された暗号文は秘密鍵でのみ復号することがで
きる。

【０００６】

【発明が解決しようとする課題】公開鍵暗号系の１つの
方式として、積和型暗号方式が知られている。これは、
送信者である一方のエンティティ側で平文をＫ分割した
平文ベクトルｍ＝（ｍ₁，ｍ₂ ，・・・，ｍ_K ）と公開
鍵である基数ベクトルｃ＝（ｃ₁ ，ｃ₂ ，・・・，
ｃ_K ）とを用いて、暗号文Ｃ＝ｍ₁ ｃ₁ ＋ｍ₂ ｃ₂ ＋・
・・＋ｍ_K ｃ_K を作成し、受信者である他方のエンティ
ティ側でその暗号文Ｃを秘密鍵を用いて平文ベクトルｍ
に復号して元の平文を得る暗号化形式である。

【０００７】このような整数環上の演算を利用した積和
型暗号に関して、新規な方式及び攻撃法が次々に提案さ
れているが、特に、多くの情報を短時間で処理できるよ
うに高速復号可能な暗号化・復号の手法の開発が望まれ
ている。そこで、本発明者等は、平文を多進法を用いて
表現するようにして、高速な復号処理を可能とした積和
型暗号における暗号化方法及び復号方法を提案している
（特願平10−262036号，特願平10−262037号）。

【０００８】以下、特願平10−262036号に提案した暗号
化方法及び復号方法について説明する。秘密鍵と公開鍵
とを以下のように準備する。 ・秘密鍵：｛ｂ_i ｝，｛ｖ_i ｝，Ｐ，ｗ ・公開鍵：｛ｃ_i ｝ 基数積ｂ₁ ｂ₂ …ｂ_i に乱数項ｖ_i を乗じて、基数Ｂ_i
を下記（１）のように与える。 Ｂ_i ＝ｖ_i ｂ₁ ｂ₂ …ｂ_i …（１） ここで、式（１）で示される各Ｂ_i がほぼ同じ大きさに
なるようにｖ_i を設定する。但し、ｇｃｄ（ｖ_i ，ｂ
_i+1 ）＝１を満たすものとする。

【０００９】乱数ｗを用いて、公開鍵｛ｃ_i ｝を下記
（２）のように求める。 ｃ_i ≡ｗＢ_i （mod Ｐ） …（２） 平文をＫ分割したメッセージ｛ｍ_i ｝と公開鍵｛ｃ_i ｝
との積和演算により、下記（３）のように、暗号文Ｃを
得る。 Ｃ＝ｍ₁ ｃ₁ ＋ｍ₂ ｃ₂ ＋・・・＋ｍ_K ｃ_K …（３）

【００１０】復号処理は、以下のようにして行われる。
暗号文Ｃに対して、中間復号文Ｍを下記（４）のように
して求める。 Ｍ≡ｗ^-1Ｃ （mod Ｐ） …（４） この中間復号文Ｍは、具体的には式（５）として与えら
れるので、以下に示す逐次復号アルゴリズムによって復
号できる。 Ｍ＝ｍ₁ ｂ₁ ｖ₁ ＋ｍ₂ ｂ₁ ｂ₂ ｖ₂ ＋・・・＋ｍ_K ｂ₁ ｂ₂ …ｂ_K ｖ_K …（５）

【００１１】〔逐次復号アルゴリズム〕 ステップ１ Ｍ₁ ＝Ｍ／ｂ₁ ｍ₁ ≡Ｍ₁ ｖ₁ ^-1 （mod ｂ₂ ） ステップｉ（ｉ＝２〜Ｋ−１） Ｍ_i ＝（Ｍ_i-1 −ｍ_i-1 ｖ_i-1 ）／ｂ_i ｍ_i ≡Ｍ_i ｖ_i ^-1 （mod ｂ_i+1 ） ステップＫ Ｍ_K ＝（Ｍ_K-1 −ｍ_K-1 ｖ_K-1 ）／ｂ_K ｍ_K ＝Ｍ_K ／ｖ_K

【００１２】元来、このような公開鍵暗号方式は、その
安全性の根拠を、因数分解の困難さ，離散対数問題を解
くことの困難さに置いており、それに対する攻撃も種々
のものが提案されている。

【００１３】本発明は斯かる事情に鑑みてなされたもの
であり、圧倒的多数の公開鍵の組合せの中から公開鍵の
組を自由に選ぶことができる点に安全性の根拠を置いた
新しいタイプの公開鍵暗号系の暗号化方法、この暗号化
方法を利用した暗号通信方法、及び、その暗号文を作成
する暗号文作成装置を提供することを目的とする。

【００１４】

【課題を解決するための手段】請求項１に係る暗号化方
法は、暗号化すべき平文を分割した分割平文と、該分割
平文毎に準備してある複数の公開鍵から任意に選択した
公開鍵とを使用して暗号文を作成する暗号化方法におい
て、前記複数の公開鍵として、前記分割平文毎に設定し
た乱数項が組み込まれた複数の公開鍵を前記分割平文毎
に準備しておくことを特徴とする。

【００１５】請求項２に係る暗号通信方法は、一方のエ
ンティティ側で平文を分割した分割平文と公開鍵とを用
いて暗号文を作成して他方のエンティティ側へ伝送し、
伝送された暗号文を該他方のエンティティ側で元の平文
に復号することにより、エンティティ間で情報の通信を
行う暗号通信方法において、前記分割平文毎に設定した
乱数項が組み込まれている複数の公開鍵から各分割平文
について任意の公開鍵を選択し、選択した公開鍵を使用
して暗号文を作成し、作成した暗号文を前記他方のエン
ティティへ伝送することを特徴とする。

【００１６】請求項３に係る暗号文作成装置は、暗号化
すべき平文を分割した分割平文と公開鍵とを用いて暗号
文を作成する装置において、前記分割平文毎に設定した
乱数項が組み込まれている複数の公開鍵を予め格納して
おく手段と、各分割平文について前記複数の公開鍵から
任意の公開鍵を選択する手段と、選択した公開鍵を使用
して暗号文を作成する手段とを備えることを特徴とす
る。

【００１７】本発明では、平文を分割した分割平文毎に
整数と乱数項との積からなる複数の公開鍵が予め準備さ
れており、準備されているそれらの複数の公開鍵から任
意の公開鍵を各分割平文毎に選択し、選択した公開鍵を
使用して暗号文を作成する。このように本発明では、公
開鍵を任意に選択するので、つまり、送信者であるエン
ティティ側で自由に公開鍵を選択して暗号文を作成する
ので、その公開鍵の選択パターンが攻撃者には不明であ
るため、攻撃は困難となる。このように本発明では、従
来例とは異なり、その安全性の根拠を、圧倒的多数の公
開鍵の組合せの中から公開鍵の組を自由に選択すること
に置いている。また，選択するこれらの公開鍵に乱数項
を組み込ませるようにしたので、安全性をより高めるこ
とができる。

【００１８】

【発明の実施の形態】以下、本発明の実施の形態につい
て具体的に説明する。図１は、本発明による暗号化方式
をエンティティＡ，Ｂ間の情報通信に利用した状態を示
す模式図である。図１の例では、一方のエンティティＡ
側で、平文ｘを暗号文Ｃに暗号化し、通信路１を介して
その暗号文Ｃを他方のエンティティＢへ送信し、エンテ
ィティＢ側で、その暗号文Ｃを元の平文ｘに復号する場
合を示している。

【００１９】送信側であるエンティティＡには、平文ｘ
を複数の分割平文に分割する平文分割器２と、公開鍵リ
ストを格納するデータベース10から各分割平文に対する
公開鍵を選択する公開鍵選択器３と、選択した公開鍵と
各分割平文とを用いて暗号文Ｃを作成する暗号化器４と
が備えられている。また、受信側であるエンティティＢ
には、送られてきた暗号文Ｃを元の平文ｘに復号する復
号器５が備えられている。この例では、公開鍵リストの
発行者は受信側のエンティティＢであり、その公開鍵リ
ストの利用者は送信側のエンティティＡである。

【００２０】次に、具体的な手法について説明する。本
発明の基本の暗号化方式は、前述した特願平10−262036
号提案の方式（以下、従来方式という）の改良方式であ
る。

【００２１】従来方式に基づく本発明の暗号化方式の初
回伝送時における中間復号文Ｍは、下記（６）で与えら
れる。 Ｍ＝ｍ₁ ′ｂ₁ ｖ₁ ＋ｍ₂ ′ｂ₁ ｂ₂ ｖ₂ ＋・・・ ＋ｍ_K ′ｂ₁ ｂ₂ …ｂ_K ｖ_K …（６）

【００２２】但し、ｍ_i ′はメッセージ（分割平文）ｍ
_i に対し、 log₂ Ｊビットの冗長を付加することによ
り、与えられたｊについてＪを法として、下記（７）が
成立するように符号化されている。Ｊ＝２^g の場合、こ
の符号化を非常に単純に実現したい場合には、ｍ_i を上
位にｇ桁だけシフトし、下位ｇ桁にｊを連接すれば良
い。即ち、符号化ｍ_i ′は単にｍ_i ′＝ｍ_i ＊ｊで与え
られる。 ｍ_i ′≡ｊ （mod Ｊ） …（７）

【００２３】なお、エンティティＡが選択した公開鍵を
用いた一連の暗号文を送り終えるまでの一定期間内で、
最初の暗号文以外ではメッセージｍ_i が復号されないこ
とが考えられる。この場合、レートが若干高くなるとと
もに、復号過程が単純化される。

【００２４】図２は、各分割平文毎に複数の公開鍵を予
め格納しているデータベース10内の公開鍵リストを示す
図である。図２において、Ｋは平文ｘの分割数（クラス
数）を表す。基数積に乱数項を乗じた集合｛ｂ₁ ｂ₂ …
ｂ_i ｖ_i ^(j) ｝が、図２に示すように、各分割平文毎
（各クラス毎）にＪ個ずつの公開鍵として準備されてい
る。

【００２５】エンティティＢは、基数積と乱数項とのこ
れらの積を乱数ｗにより変換して公開する。即ち、図２
に示す基数積と乱数項との積を下記（８）のように変換
し、その集合｛ｃ_ij｝を公開する。 ｂ₁ ｂ₂ …ｂ_i ｖ_i ^(j) ｗ≡ｃ_ij （mod Ｐ） …（８）

【００２６】エンティティＡがランダムに選択した公開
鍵の組を下記（９）と表記する。この場合、エンティテ
ィＡを含む任意のエンティティにとって、Ｊ^K （≫１）
通りの公開鍵選択の可能性がある。

【００２７】

【数１】

【００２８】エンティティＡは、上記（９）に示す選択
した公開鍵の組に基づいて、ｍ_i ′≡ｊ_i （mod Ｊ）と
した上で、エンティティＢへの暗号文Ｃを下記（10）の
ように生成する。

【００２９】

【数２】

【００３０】エンティティＢは、このようにして生成さ
れる暗号文Ｃを復号するために、図２における乱数項ｖ
_i ^(j) を下記（11）のように予め定めておく。但し、ｗ
_b,i，ｒ_i ^(j) は何れも乱数である。 ｖ_i ^(j) ＝ｗ_b,i ＋ｒ_i ^(j) ｂ_i+1 …（11）

【００３１】更にエンティティＢは、下記（12）を満た
すｗ_b,i ^-1を秘密鍵として保持する。 ｗ_b,i ・ｗ_b,i ^-1≡１ （mod ｂ_i+1 ） …（12）

【００３２】エンティティＢにおける復号器５での復号
処理は、以下のように行われる。中間復号文Ｍ₀ は、下
記（13）のように与えられる。

【００３３】

【数３】

【００３４】よって、下記（14）に示す逐次復号アルゴ
リズムによって復号できる。なお、以下においてｂ_K+1
はｍ_K ′＜ｂ_K+1 を満たす乱数であるが、基数としては
用いられていない。一般にステップｉにおけるｊ_i に対
する乱数項は下記（15）のように表記している。

【００３５】

【数４】

【００３６】図３は、本発明の記録媒体の実施の形態の
構成を示す図である。ここに例示するプログラムは、デ
ータベース10に予め格納されている複数の公開鍵から各
分割平文について任意の公開鍵を選択する処理と、選択
した公開鍵と分割平文とを用いて暗号文を作成する処理
とを含むか、または、このように作成された暗号文を上
述した逐次復号アルゴリズムに従って復号する処理を含
んでおり、以下に説明する記録媒体に記録されている。
なお、コンピュータ20は、各エンティティ側に設けられ
ている。

【００３７】図３において、コンピュータ20とオンライ
ン接続する記録媒体21は、コンピュータ20の設置場所か
ら隔たって設置される例えばＷＷＷ(World Wide Web)の
サーバコンピュータを用いてなり、記録媒体21には前述
の如きプログラム21a が記録されている。記録媒体21か
ら読み出されたプログラム21a がコンピュータ20を制御
することにより、コンピュータ20が暗号文Ｃを作成する
か、または、暗号文Ｃを元の平文ｘに復号する。

【００３８】コンピュータ20の内部に設けられた記録媒
体22は、内蔵設置される例えばハードディスクドライブ
またはＲＯＭ等を用いてなり、記録媒体22には前述の如
きプログラム22a が記録されている。記録媒体22から読
み出されたプログラム22a がコンピュータ20を制御する
ことにより、コンピュータ20が暗号文Ｃを作成するか、
または、暗号文Ｃを元の平文ｘに復号する。

【００３９】コンピュータ20に設けられたディスクドラ
イブ20a に装填して使用される記録媒体23は、運搬可能
な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフレキシ
ブルディスク等を用いてなり、記録媒体23には前述の如
きプログラム23a が記録されている。記録媒体23から読
み出されたプログラム23a がコンピュータ20を制御する
ことにより、コンピュータ20が暗号文Ｃを作成するか、
または、暗号文Ｃを元の平文ｘに復号する。

【００４０】以下、本発明による暗号化の数値例につい
て説明する。各種のパラメータをＪ＝２，Ｋ＝８，｜ｍ
_i ｜＝８，Ｉ＝２とした場合の数値例を以下に示す。な
お、平文ｍ_i の偶奇により夫々ｃ_i ⁽⁰⁾ 及びｃ_i ⁽¹⁾ か
ら選択した公開鍵をｃ_i と表記した。なお、以下に示す
数値例は、上述した逐次復号アルゴリズムによって容易
に復号できる。

【００４１】

【数５】

【００４２】

【数６】

【００４３】

【数７】

【００４４】次に、公開鍵の可能な組合せ数Ｎ_B ，公開
鍵リストのサイズＳ_C ，初回伝送暗号文のレートＲ及び
定常時の暗号文のレートｒ（情報記号数／暗号文長）の
数値例について述べる。但し、Ｊ＝２，Ｋ＝128 ，｜ｍ
_i ｜＝64（ビット）とし、ｂ _i ＝２⁶⁴＋δ_i （２≦ｉ≦
Ｋ），ｂ₁ ＝１，１≪δ_i ≪２⁶⁴とする。なお、最初の
暗号文のみ符号化メッセージを用いる。

【００４５】Ｎ_B ＝Ｊ^K ＝２¹²⁸ ≒3.40×10³⁸となる。
公開鍵のサイズ｜ｃ_i ｜＝64×128＝8192（ビット）で
あるので、Ｓ_C ＝8192×２×128 ≒2.097 （Ｍビット）
（262 ｋバイト）となる。また、最初の暗号文の符号化
メッセージｍ_i ′のサイズは64（ビット）であり、 log
₂ Ｊ＝ log₂ ２＝１である。最初の暗号文のメッセージ
のサイズ｜ｍ_i ｜は｜ｍ_i ′｜＝64（ビット）である。
従って、最初の暗号文のレートＲは、Ｒ＝（63×128)／
（8192＋64＋ log₂ 128)＝8064／8263＝0.976となる。
第２回目以降の定常時の暗号文のレートｒは、0.991 で
与えられる。

【００４６】ところで、Ｊ＝４，Ｋ＝64と設定した場
合、他が同一の条件であるときには、夫々の値が以下の
ようになる。 Ｎ_B ＝４⁶⁴≒3.40×10³⁸ Ｓ_C ＝4096×２×128 ≒1.048 （Ｍビット）（131 ｋバ
イト） Ｒ＝0.968 ｒ＝0.983

【００４７】以下、本発明の安全性について考察する。
法Ｐを秘密にしても、連続する３個の公開鍵ｃ_i-1 ，ｃ
_i ，ｃ_i+1 が正しく与えられた場合には、特定攻撃（境
隆一，村上恭通，笠原正雄：”積和型公開鍵暗号に関す
る二，三の考察”信学技報ISEC99,1999 に開示の攻撃方
法）によって、ｂ_i ，ｂ_i+1 ，Ｐが露呈し、更に、Ｐが
露呈すると連分数攻撃（H.Kuwakado, H.Tanaka：”The
security of the improved knapsack cryptosystem”,I
EICE Trans.,Fundamental,vol.E81-A,no.10,pp.2184-21
85,1998 に開示の攻撃方法）によって、ｖ_ij＜Ｐ^1/2 と
なる乱数項が露呈する可能性がある。

【００４８】ここで公開鍵｛ｃ_i ｝の位置が正当な受信
者（エンティティＢ）のみが知る順序でランダムにシャ
ッフルされているとすると、攻撃者は総当たり的に連続
する３個の公開鍵を調べることになる。総当たりの回数
は _KＣ₂ ・３！であり、この中に（Ｋ−２）組の正しい
連続鍵｛（ｃ_i-1 ，ｃ_i ，ｃ_i+1 ）｝が含まれている。
従って正しい連続鍵の１組（ｃ_i-1 ，ｃ_i ，ｃ_i+1 ）当
たりに必要な総当たり攻撃の回数Ｎ_A は、下記（16）で
与えられる。Ｎ_A 回の総当たり攻撃を試みた場合に１組
の正解が期待されるので、このときに仮定される鍵系列
の集合を正解集合と呼ぶ。

【００４９】

【数８】

【００５０】本発明の暗号化方式について、「数論と組
み合わせたＬＬＬ攻撃（上述の特定攻撃）によって秘密
の一部が不完全な形ながら露呈すること」によって、安
全性に関する下界を定量化することができる。本発明の
安全性が非常に高いことは、次のような４点の根拠に基
づいている。 暗号化鍵の位置がランダムにシャッフルされているた
めに、Ｎ_A 通りに得られた解の中から正解を決定するこ
とが困難であること。 上位の｛ｖ_ij｝，｛ｂ_i ｝等が露呈しても、下位の
｛ｖ_ij｝，｛ｂ_i ｝及び乱数ｗは露呈しないこと。 上位の｛ｖ_ij｝，｛ｂ_i ｝が露呈しても、正しく順序
付けることが困難であること。 上記パラメータが露呈しても、乱数ｗが露呈しないの
でメッセージは露呈しないこと。

【００５１】以上のように_, 本発明の基本の暗号化方式
は十分に安全であると考えられるが、多段暗号化を行う
ことにより、より安全性を高くした方式を構築できる。
以下、この多段暗号化について説明する。

【００５２】多段暗号化を行う場合には、基数積ｂ₁ ｂ
₂ …ｂ_i に対し、乱数ｗと素数Ｐとの組（ｗ，Ｐ）をＩ
組選択し、下記（17-1），（17-2），・・・，（17-I）
のようにＩ段にわたって乱数を乗じていくことにより、
最終的に得られるＢ_i ^(I) を公開鍵ｃ_i とする。 ｂ₁ ｂ₂ …ｂ_i ｗ⁽¹⁾ ≡Ｂ_i ⁽¹⁾ （mod Ｐ₁ ） …（17-1） Ｂ_i ⁽¹⁾ ｗ⁽²⁾ ≡Ｂ_i ⁽²⁾ （mod Ｐ₂ ） …（17-2） ・ ・ ・ ・ Ｂ_i ^(I-1) ｗ^(I) ≡Ｂ_i ^(I) （mod Ｐ_I ） …（17-I）

【００５３】但し、Ｉ個の素数Ｐ₁ ，Ｐ₂ ，…，Ｐ_I に
ついては、下記（18）の条件を満たすものとする。下記
（18）は、復号を補償した上でＰ_i がＰ_i+1 より小さい
ことを意味する。また、これらの素数Ｐ₁ ，Ｐ₂ ，…，
Ｐ_I は全て秘密にする。 Ｐ₁ ＜Ｐ₂ ＜・・・＜Ｐ_I …（18）

【００５４】なお、多段数Ｉを十分に大きくすること
（Ｉ＞２^1/2 Ｋ）により、｛ｂ₁ ，ｂ ₂ ，…，ｂ_i ｝は
露呈せず、数論的に安全な公開鍵の集合を構成すること
が可能である。この理由については後述する。

【００５５】Ｉ段の多段暗号化を実施した場合、（Ｉ＋
２）個の公開鍵の順序が正しく与えられると、上述の特
定攻撃により、｛ｂ_i ｝の一部と｛Ｐ_i ｝とが露呈す
る。この場合、正解集合のサイズ、即ち、正しい連続鍵
の１組（ｃ_i-I ，…，ｃ_i ，ｃ _i+1 ）当たりに必要とさ
れる総当たり攻撃の回数Ｎ_A は、下記（19）で与えられ
る。

【００５６】

【数９】

【００５７】次に、このような多段暗号化における数値
例について説明する。各種のパラメータをＪ＝２，Ｋ＝
64，｜ｍ_i ｜＝64，Ｉ＝８とした場合における公開鍵の
可能な組合せ数Ｎ_B ，Ｉ段の多段暗号化を行った場合の
正解集合のサイズＮ_A ，第２回以降の定常時の暗号文の
レートｒ及び公開鍵リストのサイズＳ_C は以下のように
なる。

【００５８】

【数１０】

【００５９】次に、情報理論的安全性に関する平文分割
数Ｋと多段暗号化の段数Ｉとの関係について考察する。
本発明では、以下に述べるような理由により、Ｉ＞２
^1/2 Ｋを満たすようにする。

【００６０】基数｛ｂ_i ｝の唯一つの要素でも露呈した
場合には、本発明の暗号化方式の安全性が損なわれると
仮定する。この仮定は、非常に安全側に立った仮定であ
る。Ｉ個の法Ｐ₁ ，Ｐ₂ ，…，Ｐ_I は上記（18）の条件
を満たし、Ｊ＝２とする。また、符号化メッセージ長を
｜ｍ′｜とし、各Ｐ_i のサイズを｜Ｐ_i ｜とする。この
場合に下記（20）が成り立つ。

【００６１】

【数１１】

【００６２】各公開鍵のサイズを等しく｜ｃ_i ｜とした
場合、これらは全部でＪＫ＝２Ｋ個公開されているの
で、それらを全て合わせたサイズは、 log₂ Ｋを無視す
ると、下記（21）のようになる。

【００６３】

【数１２】

【００６４】一方、未知の量としてのＰ₁ 〜Ｐ_I 及びｗ
⁽¹⁾ 〜ｗ^(I) までのサイズの和は、下記（22）のように
なる。

【００６５】

【数１３】

【００６６】従って、下記（23）即ち下記（24）の条件
を満たすようにＩを設定した場合には、公開情報量より
も未知情報量が大きくなり、解読が不可能であることは
明らかである。この下記（24）の条件は、近似的にＩ＞
２^1/2 Ｋである。

【００６７】

【数１４】

【００６８】よって、平文分割数Ｋと多段暗号化の段数
Ｉとの間にＩ＞２^1/2 Ｋの関係がある場合に、
｛Ｐ_i ｝，｛ｗ⁽ⁱ⁾ ｝は露呈されず、｛ｂ₁ ｂ₂ …ｂ_i
ｖ_i ｝が完全に秘匿されるので、極めて安全性が高い。

【００６９】また、Ｉ＞Ｋである場合、｛Ｐ_i ｝，｛ｗ
⁽ⁱ⁾ ｝，｛ｖ⁽ⁱ⁾ ｝の全てが露呈することはないことを
全く同様に示すことができる。

【００７０】以下、中国人の剰余定理を応用した本発明
の変形方式について説明する。ここでは記号の煩雑さを
避けるために、Ｐに関連する基数をｂ_i ′と表記する。
クラスｉに属する基数積と乱数項との積の１組をＢ_i
^(j) ＝ｂ₁ ｂ₂ …ｂ_i ^(j) ｖ_i ^(j) ，Ｂ_i ^(j) ′＝
ｂ₁ ′ｂ₂ ′…ｂ_i ^(j) ′ｖ_i ^(j) ′とする。素数Ｐに
よる余りがＢ_i ^(j) ，素数Ｑによる余りがＢ_i ^(j) ′と
なるような最小の整数をＤ_i ^(j) とする。更に、Ｄ_i
^(j) を乱数ｗによって下記（25）のように変換し、｛ｃ
_i ^(j) ｝をクラスｉの公開鍵として公開する。 Ｄ_i ^(j) ｗ≡ｃ_i ^(j) （mod ＰＱ） …（25）

【００７１】中間復号文Ｍ_P ，Ｍ_Q は、下記（26），
（27）のようになる。但し、メッセージｍ_i はクラスｉ
の何れの公開鍵を用いて暗号化したかを示すために、上
式に見られるようにｍ_i ′に符号化しているものとす
る。このような中間復号文Ｍ_P におけるメッセージ｛ｍ
_i ｝，中間復号文Ｍ_Q におけるメッセージ｛ｍ_i ′｝の
復号法は、前述した基本方式の逐次復号アルゴリズムと
同様である。

【００７２】

【数１５】

【００７３】

【発明の効果】以上詳述したように、本発明では、各分
割平文毎に設定した乱数項を組み込んだ複数の公開鍵を
予め準備しておき、準備されているそれらの複数の公開
鍵から任意の公開鍵を各分割平文について選択し、選択
した公開鍵を使用して暗号文を作成するようにしたの
で、その公開鍵の選択のパターンが攻撃者には不明であ
って、攻撃を受けにくく、安全性を向上することができ
る。従来の公開鍵暗号方式とは異なり、本発明ではその
安全性の根拠を、多数の公開鍵から所望の公開鍵の組を
自由に選択できること、言い換えれば、その公開鍵選択
の組合せの数の多さに置いており、公開鍵暗号方式の発
展及び実用化を図る上で、本発明は大いに寄与できる。

【００７４】（付記）なお、以上の説明に対して更に以
下の項を開示する。 （１） 請求項１記載の暗号化方法であって、前記分割
平文と選択した公開鍵とによる複数の積を加算した形式
で暗号文を作成する暗号化方法。 （２） 暗号化すべき平文を分割した分割平文と公開鍵
とを用い、前記公開鍵に複数の乱数を多段化演算した演
算結果を利用して積和型の暗号文を作成する暗号化方法
において、前記平文の分割数Ｋと前記多段化演算の段数
Ｉとに関してＩ＞２^1/2 Ｋの関係を満たす暗号化方法。 （３） 複数のエンティティ間で暗号文による情報通信
を行う暗号通信システムにおいて、請求項１または第
（１），（２）項の何れかに記載の暗号化方法を用いて
平文から暗号文を作成する暗号化器と、作成した暗号文
を一方のエンティティから他方のエンティティへ送信す
る通信路と、送信された暗号文から元の平文を復号する
復号器とを備える暗号通信システム。 （４） コンピュータに、暗号化すべき平文を分割した
分割平文と公開鍵とを用いて暗号文を作成させるための
プログラムが記録されているコンピュータでの読み取り
が可能な記録媒体において、前記分割平文毎に設定され
た乱数項が組み込まれた複数の公開鍵から各分割平文に
ついて任意の公開鍵を選択することをコンピュータに実
行させるプログラムコード手段と、選択した公開鍵を使
用して暗号文を作成することをコンピュータに実行させ
るプログラムコード手段とを含むプログラムが記録され
ている記録媒体。 （５） コンピュータに、平文を分割した分割平文と前
記分割平文毎に設定された乱数項が組み込まれた複数の
公開鍵から各分割平文について選択した公開鍵とを用い
て作成された暗号文を復号させるためのプログラムが記
録されているコンピュータでの読み取りが可能な記録媒
体であって、選択された前記公開鍵を同定しながら前記
分割平文を順次復号することをコンピュータに実行させ
るプログラムコード手段を含むプログラムが記録されて
いる記録媒体。

【図面の簡単な説明】

【図１】２人のエンティティ間における情報の暗号通信
状態を示す模式図である。

【図２】データベース内の公開鍵リストを示す図であ
る。

【図３】記録媒体の実施の形態の構成を示す図である。

【符号の説明】

１ 通信路 ２ 平文分割器 ３ 公開鍵選択器 ４ 暗号化器 ５ 復号器 10 データベース 20 コンピュータ 21，22，23 記録媒体 Ａ，Ｂ エンティティ

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5J104 AA01 AA35 JA21 NA02 NA37 PA07

Claims (3)

【特許請求の範囲】
1. 【請求項１】 暗号化すべき平文を分割した分割平文
   と、該分割平文毎に準備してある複数の公開鍵から任意
   に選択した公開鍵とを使用して暗号文を作成する暗号化
   方法において、前記複数の公開鍵として、前記分割平文
   毎に設定した乱数項が組み込まれた複数の公開鍵を前記
   分割平文毎に準備しておくことを特徴とする暗号化方
   法。
2. 【請求項２】 一方のエンティティ側で平文を分割した
   分割平文と公開鍵とを用いて暗号文を作成して他方のエ
   ンティティ側へ伝送し、伝送された暗号文を該他方のエ
   ンティティ側で元の平文に復号することにより、エンテ
   ィティ間で情報の通信を行う暗号通信方法において、前
   記分割平文毎に設定した乱数項が組み込まれている複数
   の公開鍵から各分割平文について任意の公開鍵を選択
   し、選択した公開鍵を使用して暗号文を作成し、作成し
   た暗号文を前記他方のエンティティへ伝送することを特
   徴とする暗号通信方法。
3. 【請求項３】 暗号化すべき平文を分割した分割平文と
   公開鍵とを用いて暗号文を作成する装置において、前記
   分割平文毎に設定した乱数項が組み込まれている複数の
   公開鍵を予め格納しておく手段と、各分割平文について
   前記複数の公開鍵から任意の公開鍵を選択する手段と、
   選択した公開鍵を使用して暗号文を作成する手段とを備
   えることを特徴とする暗号文作成装置。