JP2001507479A - ランダム抽出を必要とする暗号システムのためのハッシュ関数に基づく疑似ランダム生成器 - Google Patents

Abstract

(57)【要約】 本発明は、整数である乱数ｋの抽出を通常必要とする、暗号システムに関するものであり、ｈはハッシュ関数、ｍは当該システムに介在するメッセージであり、「秘密」は暗号システムの外界にとって未知の秘密である量ｈ（ｍ／秘密）で前記乱数ｋを置き換えることで実施されることを特徴とする。本発明は特に、チップカード、ＰＣＭＣＩＡカード、バッヂ、非接触カードまたはその他全ての携帯機器である通信機器への適用に向けられたものである。

Description

【発明の詳細な説明】 ランダム抽出を必要とする暗号システムのためのハッシュ関数に基づく疑似ラン ダム生成器 本発明は、（署名についてはＤＳＡ、Ｅｌ−Ｇａｍａｌ、Ｆｉａｔ−Ｓｈａｍ ｉｒ、Ｇｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ、暗号化についてはＥｌ−Ｇａｍ ａｌ、ＭｃＥｌｉｅｃｅに代表される）ランダム抽出を必要とする電子署名また は暗号を、ランダム抽出を可能にするハードウェアまたはソフトウェア資源を備 えていない（マイクロプロセッサーに代表されるような）署名または暗号化装置 を用いて、生成できるシステムに関するものである。 本発明は、更に、処理すべき情報の補完を可能にするランダム・シーケンスを 少ない費用、即ち安価に生成することによって（短いメッセージの暗号化や、Ｃ ｏｐｐｅｒｓｍｉｔｈ他により、９６年のＥｕｒｏｃｒｙｐｔ誌の記事"Ｌｏｗ Ｅｘｐｏｎｅｎｔ ｗｉｔｈ Ｒｅｌａｔｅｄ Ｍｅｓｓａｇｅ"および"Ｆｉ ｎｄｉｎｇ ａ ｓｍａｌｌ ｒｏｏｔ ｏｆ ａ ｕｎｉｖａｒｉａｔｅ ｍ ｏｄｕｌａｒ ｅｑｕａｔｉｏｎ"で発表された最近の攻撃行為等に代表される ）幾つかの脅威に対処する為に、防御や防御手段を提供する。 また本発明により、空白署名またはランダム偽装のメカニズムの範囲内で使用 される遮蔽因数の生成も可能となる。 最後に、本発明はＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ型の鍵交換プロトコルで使用 可能である。 チップ・カードの概念は一般に普及し快く受け入れられているにもかかわらず 、 カードの計算能力が限られたものであるというのが主な理由で、実際的な応用の 大半が見られるようになったのは高々ここ数年のことでしかない。情報の不揮発 性保存容量、回路（例えばＥＥＰＲＯＭ）のセキュリティおよびテクノロジーの 面での進歩に促され、米国電子署名新標準（ＤＳＡ）に見られるような、ますま す野心的な新世代のカードやアプリケーションが急速に誕生して来ている。 公開鍵式アルゴリズムのインプリメンテーション媒体としてのチップ・カード に見られる大きな制約とは、（しばしば体験されることだが）乱数生成装置をカ ードに搭載する必要があることである。実際、そのような、生成器とも呼ばれる 装置は、開発が複雑で、（環境温度やカードへの印可電圧などの、カードの外界 の現象に感応して）不安定になることがよくある。そのような暗号システムをコ ンピュータで実行すると、ソフトウェアのランダム生成器それ自体の性質によっ て他の現象が発生し、乱数の質を攪乱することになる。典型的には、よく知られ た乱数生成方法は、ユーザーがキーボードを２回押す間に経過した時間を計測す ることから成り立つ。最近の不正の場合によれば、この類の生成器は、攻撃者が 色々な叩き方での経過時間を知っている不正装置を用いてキーボードを装えば、 どうにか侵入できてしまうということが分かる。 本発明は、以下のようなソフトウェアもしくはハードウェアのプラット・フォ ームでの良質の乱数抽出を必要とする暗号システムの実施を可能とする代替解決 策を提案するものである。 １．乱数生成手段がなく、 ２．または品質の悪い乱数を生成する、 ３．またはシステムの設計者が、動作の外部的および内部的条件の変更により、 乱数の品質に外部要素からの危険がおよびかねないという疑いを抱く時。 本発明は様々の種類の暗号アルゴリズムに応用される。本発明をより良く理解 する為、また請求の範囲の内容を詳細な説明において取り上げる前に、本発明が 応用される、６種類ある前記暗号アルゴリズムの種類の主な特徴を想い起こすこ とが有益である。 応用される種類の第一のものは、Ｅｌ−Ｇａｍａｌ型の署名方式に関するもの である。 雑誌ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｈｅｏｒｙ，ｖｏｌ．ＩＴ−３１，ｎｏ．４，１９８５，ｐｐ．４６９−４７ ２に発表された”Ａｐｕｂｌｉｃ−ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍ ａｎｄ ａ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｂａｓｅｄ on ｄｉｓｃｒｅｔｅ ｌｏｇａｒｉｔｈｍｓ”という記事に記載されたＥｌ−Ｇａｍａｌ署名アルゴ リズムは、幾つもの周知の署名アルゴリズムを生み出した；例えば、米国特許第 ４，９９５，０８２号のＳｃｈｎｏｒｒ、ロシア連邦電子署名標準規格ＧＯＳＴ ３４−１０、米国電子署名標準ＤＳＡ等である。 ＤＳＡの枠内で説明された以上は、同じ種類の他のアルゴリズムを用いた本発 明の応用は、当業者によって、容易に実施され得るであろう。 その後は、ＤＳＡアルゴリズムと呼ばれている。 電子署名標準（ＤＳＡ，米国特許第５，２３１，６６８号、発明の名称「デジ タル署名アルゴリズム」"Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉ ｔｈｍ"）は、従来の署名に代わる電子署名を必要とする応用に適切な基礎を与 える目的で、米国国立標準・技術研究所"ＵＳ Ｎａｔｉｏｎａｌ Ｉｎｓｔｉ ｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ”によっ て提案されたものである。ＤＳＡ署名は二進数列によってコンピュータ内部に表 現された一対の大きな数である。電子署名は、一連の計算規則（ＤＳＡ）とパラ メータ・セットとによって計算され、署名の証明とデータの完全性とが同時に認 証できるようになっている。ＤＳＡは署名を生成し検証することができる。 署名生成方法は（電子署名を作りだす為に）プライベート鍵を使用する。検証 方法は、秘密鍵に対応し、しかもそれとは同じにならないような公開鍵を使用す る。各ユーザーは（公開と秘密の）一対の鍵を持つ。公開鍵は万人に知られてい るが、秘密鍵は決して漏洩しないことになっている。あるユーザーの署名をその 人の公開鍵を使って検証することは誰にでもできるが、そのユーザーの秘密鍵を 使わない限り、署名の生成はできない。 ＤＳＡのパラメータは以下の通り。 ５１２≦Ｌ≦１０２４の時に２^L-1＜ｐ＜２^L、そして任意のαに対してＬ＝６ ４αとなるような、素数係数ｐ ２¹⁵⁹＜ｑ＜２¹⁶⁰でｐ−１がｑの乗数であるような、素数係数ｑ ｈが１＜ｈ＜ｐ−１を検証する任意の整数である場合にｇ＝ｈ^(p-1)/q ｍｏ ｄ ｐ であるような、ｐを法とするｑ次の数ｇ ランダムに、または疑似ランダムに生成される数ｘ ｙ＝ｇ^x ｍｏｄ ｐ という関係式で定義される数ｙ ０＜ｋ＜ｑとなるようにランダムに、または疑似ランダムに生成される数ｋ 整数ｐ，ｑおよびｇは、システムのパラメータであり、一つのユーザーグルー プで公開され、および／または共有されうるものである。一人の署名者の秘密鍵 と公開鍵は、それぞれｘとｙである。パラメータｘおよびｋは署名の生成に使用 され、秘密が保たれていなければならない。パラメータｋは各署名毎に再生成さ れなければならない。 メッセージｍ（初期ファイルＭのハッシュ値）に署名する為に、署名者は、以 下の数式により署名（ｒ，ｓ）を計算する。 ｒ＝ｇ^k ｍｏｄ ｐ ｍｏｄ ｑ およびｓ＝（ｍ＋ｘｒ）／ｋ ｍｏｄ ｑ ここで、ｋで割ることはｑを法とするものと理解する（即ち、１／ｋはｋｋ’≡ １ ｍｏｄ ｑとなるような数ｋ’である）。 例えば、もしｑ＝５かつｋ＝３ならば、３×２＝６≡１ ｍｏｄ ５だから、 １／ｋ＝２。 ＤＳＡの記述で説明されているように、ｒおよびｓ≠０をテストした後は、署 名｛ｒ，ｓ｝は検証者に送られて、以下のように計算される。 ｗ＝１／ｓ ｍｏｄ ｑ ｕ₁＝ｍ ｗ ｍｏｄ ｑ ｕ₂＝ｒ ｗ ｍｏｄ ｑ ｖ＝ｇ^u1ｙ^u2 ｍｏｄ ｐ ｍｏｄ ｑ そして署名を受け入れるか拒絶する為にｖとｒが等しいかどうかを比較する。 第二の種類のアルゴリズムもまた署名の方式に関するものである。漏洩無しの プロトコルから派生した方式を意味する。 本発明の応用される第二の種類の署名アルゴリズムは（典型的にはそれぞれ米 国特許第４，７４８，６６８号および第５，１４０，６３４号のＦｉａｔ−Ｓｈ ａｍｉｒもしくはＧｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ）無漏洩プロトコルか ら派生したものである。従って、これらのプロトコル内の一つだけが記述される ことになる。一度、ＧｕｉｌｌｏｕとＱｕｉｓｑｕａｔｅｒのアルゴリズムに応 用されれば、本発明を、この種類の他のアルゴリズムにまで延長することは、当 業者にとっては自明のこと である。 Ｇｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒのアルゴリズムのパラメータは以下の 通り。 二つの秘密素数ｐおよびｑで、そのサイズは少なくとも２５６ビットに等しい ；これらの素数は特殊な方法で生成されるが、その詳細は本発明の理解には不可 欠ではないものの、Ｂｒｕｃｅ Ｓｃｈｎｅｉｅｒ著（Ｍａｒｃ Ｖａｕｃｌａ ｉｒ訳）Ｔｈｏｍｓｏｎ出版社発行の「応用暗号法、アルゴリズム、プロトコル およびソース・コード」という著作に見いだしうる。 公開係数ｎ＝ｐｑおよび署名識別を示すＩＤ列 Ｂ^V ＩＤ＝１ ｍｏｄ ｎとなるような公開羃数ｖと秘密鍵Ｂ；パラメータ Ｂは秘密にしておかなければならない。 メッセージｍに署名する為に、送信器が乱数ｋの抽出を行い、最初の証拠Ｔ＝ ｋ^V ｍｏｄ ｎを計算し、下記の署名を生成する。 ｄ＝ｈ（Ｔ，ｍ）およびＤ＝ｋ Ｂ^h(T,m) ｍｏｄ ｎ 検証者が署名の真正性を確認するには、以下の式を検証する。 Ｔ’＝Ｄ^V Ｉｄ^d の時にｄ＝ｈ（Ｔ’，ｍ） 第三の種類の応用は乱数を必要とする公開鍵式暗号化方式に関するものである 。 これ以後に記載された乱数を必要とする暗号化の第一のアルゴリズムはＥｌ− Ｇａｍａｌのものである。 このアルゴリズムのパラメータは以下の通りである： （少なくとも５１２ビットの）素数係数ｐ； ｐを法とするｐ−１次の（即ち全ての整数ｕについて、０＜ｕ＜ｐ−１，ｇ^u ≠１ ｍｏｄ ｐ）数ｇ； １≦ｘ≦ｐ−２となるようにランダムに、または疑似ランダムに生成される数 ｘ； ｙ＝ｇ^x ｍｏｄ ｐという関係式で定義される数ｙ； ０＜ｋ＜ｑとなるようにランダムに、または疑似ランダムに生成される数ｋ。 整数ｐおよびｇは、一つのグループのユーザーで公開され、および／または共 有されるシステムパラメータである。暗号化公開鍵は数ｙであり、復号化秘密鍵 は、数ｘである。 パラメータｋは暗号の生成に使用され、しかも漏洩されてはならない。更に、 暗号化の度に再生成されなければならない。 ０≦ｍ≦ｐ−１のメッセージｍの暗号は一対の整数（ｒ，ｓ）であり、下記の 式が成り立つ。 ｒ：ｇ^k ｍｏｄ ｐ およびｓ＝ｍ ｙ^k ｍｏｄ ｑ メッセージｍを再び見いだすには、（ｘを有する）暗号の受信器は下記の計算 を行う。 ｓ／ｒ^x ｍｏｄ ｐ これはまさにｍである。 ランダムの生成を必要とする暗号化の第二のアルゴリズムは、符号の理論の問 題に基づくＭｃＥｌｉｅｃｅの方式であり、更に詳しく言うと、Ｇｏｐｐａの符 号という名称で知られている特殊な符号の類を使用している。一般的な考え方と しては、Ｇｏｐｐａの符号を任意の線形符号で偽装することである；実際、Ｇｏ ｐｐａの符号を効率的にデコードするアルゴリズムは存在するが、その一方で、 一般的な線形符号をデコードすることは難しい問題である。従って、符号を偽装 できた情 報を知っている受信器は、得られたＧｏｐｐａの符号をデコードすることによっ て、メッセージを復号化することができるだろう。 ＭｃＥｌｉｅｃｅのアルゴリズムのパラメータ（以下の全ての式はＧＦ（２） で理解されている）は下記の通りである： 数ｎ，ｋおよびｔ、つまりシステムのパラメータ；ＭｃＥｌｉｅｃｅは自分の 暗号化方式を記載する独創的な記事の中で、ｎ＝１０２４，ｔ＝５０およびｋ＝ ５２４を提案している。 下記の構成要素からなる秘密鍵： ・サイズｎでｋ次，ｔエラーを訂正し、対応するデコードのアルゴリズムを有す る二進法Ｇｏｐｐａ符号の生成行列Ｇ； ・ｋ×ｋ次のランダム正則行列Ｓ； ・サイズｎの乱数置換行列Ｐ； 下記の構成要素からなる、対応する公開鍵； ・Ｇと等価の符号の生成行列Ｔ＝ＳＧＰ； ・補正値ｔ； ｋビットのメッセージｍのＭｃＥｌｉｅｃｅのアルゴリズムによる暗号化は以 下の計算式で行われる。 ｃ＝ｍＴ＋ｅ 但し、ｅは、ｔに等しいハミング荷重でランダムに選択されたエラーのベクト ルである。 ｃの復号化は以下の計算式で行われる。 ｃＰ^-1＝ｍＴＰ^-1＋ｅＰ^-1＝ｍＳＧ＋ｅＰ^-1 ｅのウェイトがｔである以上、ｅＰ^-1のウェイトもｔである。従って、ベクト ルｃＰ^-1は符号Ｇによって補正可能である。デコードによって復号化器はｍＳを 得て、復号化器はＳを知っておりＳは正則なので次にｍを得る。 第四の種類の応用はランダムの「パディング」を必要とする暗号化方式に関す るものである。 暗号化すべきデータをまず「パディング」しなければならないというのは珍し いことではなく、即ち、固定サイズのデータを得る為に補完されるということで ある。この観点からの説明は例えば、Ｒ．Ｒｉｖｅｓｔ、Ａ．Ｓｈａｍｉｒ並び にＬ．Ａｄｌｅｍａｎによって１９７８年に発表され、ついで米国特許第４，４ ０５，８２９号「暗号通信システムとその方法」として特許になったＲＳＡ暗号 化でなされうる。 ＲＳＡ暗号は二進法または十六進法暗号のストリングによってコンピュータ内 部で表される大きな数である。暗号の計算に使用されるのはソフトウェア（プロ グラム）および／またはハードウェア（電子回路）資源であり、それらは一連の 計算規則（暗号化アルゴリズム）を実施しており、それはまた、処理されるデー タの内容を隠蔽する為に誰にでもアクセスできるパラメータセットの処理の際に 適用されなければならない。同様に、暗号の復号化に使用されるのはソフトウェ アまたはハードウェアの計算資源であり、それらは一連の計算規則（復号化アル ゴリズム）を実施しており、それはまた（暗号受信器によって）、秘密パラメー タセットと暗号に応用される。 暗号化の方法は、暗号を作りだす為に、公開鍵を用いる。復号化方法は、秘密 鍵に対応するが、しかも、それとは同一にならないプライベート鍵を使用する。 各ユーザーは（公開と秘密の）一対の鍵を持ち、公開鍵は万人に知られているが 、秘密鍵は決して漏洩しないことになっている。あるユーザーへのメッセージを 、その人の公開鍵を使って暗号化することは誰にでもできるが、そのユーザーの 秘密鍵を使わない限り、暗号の復号化はできない。 ＲＳＡのパラメータは以下の通りである： 二つの秘密素数ｐおよびｑで、そのサイズは少なくとも２５６ビットに等しい 。これらの素数は特殊な方法で生成されるが、その詳細は本発明の理解には不可 欠ではないものの、Ｂｒｕｃｅ Ｓｃｈｎｅｉｅｒ著（Ｍａｒｃ Ｖａｕｃｌａ ｉｒ訳）Ｔｈｏｍｓｏｎ出版社発行の「応用暗号法、アルゴリズム、プロトコル およびソース・コード」という著作に見いだしうる。 公開係数ｎ＝ｐｑ； 以下のように記された指数の対（ｅ，ｄ）： ｅｄ＝１ ｍｏｄ（ｐ−１）（ｑ−１） 「暗号化指数」と呼ばれる指数ｅは全てにアクセス可能であり、一方「復号化 指数」ｄは秘密のままでなければいけない。 メッセージｍを暗号化するために、送信器は暗号ｃ＝ｍ^e ｍｏｄ ｎを計算し 、受信器は、ｍ＝ｃ^d ｍｏｄ ｎを計算することでｃを復号化する。 因数分解の問題に基づくアルゴリズムのセキュリティは、技術の規則で実施さ れるパラメータの選択のために、係数のサイズで、および互いに特別な関係を持 たないメッセージの暗号化の一般的な場合、発信器と受信器の間の機密性を保証 することを可能にする。 その反面、Ｃｏｐｐｅｒｓｍｉｔｈ等によるＥｕｒｏｃｒｙｐｔ ’９６にお いて（なかでも、参照番号ＬＮＣＳ １０７０のもとＳｐｒｉｎｇｅｒ−Ｖｅｒ ｌａｇにおける会議の議事録に出版された≪Ｌｏｗ Ｅｘｐｏｎｅｎｔ ｗｉｔ ｈ Ｒｅｌａｔｅｄ Ｍｅｓｓａｇｅ≫および≪Ｆｉｎｄｉｎｇ ａ ｓｍａｌ ｌ ｒｏｏｔ ｏｆ ａ ｕｎｉｖａｒｉａｔｅ ｍｏｄｕｌａｒ ｅｑｕａｔ ｉｏｎ≫において）紹介された最新の攻撃では、小さいサイズの同じ指数で暗号 化されたメッセージの間での多項式の関係の存在を示しており、暗号化する装置 が一般的には、パフォーマンスの理由で暗号化するために、公開指数ｅ＝３を使 用するアプリケーションの範囲内で、十分に生じることが可能であり、明快な文 章を示す効果的な攻撃を可能にする。 可能な防御はランダムシーケンスでメッセージを「パディングする」（ただし ある程度注意を払いつつ）またはメッセージ間のあらゆる関係を破壊すること、 それは、アプリケーションによると常に可能とは限らない。 したがって、暗号化の段階で以下の変更を導入する： メッセージｍを暗号化するために、発信器が、ある一定のランダム角度を有す るシーケンスＳrを生成し、暗号ｃ＝（ｍ｜ｓ_r）^e ｍｏｄ ｎ、｜は連結を示す 、を計算する；受信器は、ｃ^d ｍｏｄ ｎを計算しながら、ｃを復号化し、パデ ィングを削除しながらｍを検索する。 メッセージのパディングの正確な方法は、適用する規格要求またはセキュリテ ィの領域で要求されるレベルにより、多様になることが可能である。 アプリケーションの第五の種類は、遮蔽因数および空白署名に関する。 同業者にプリミティブと呼ばれ、数多くの方式および暗号プロトコルに使用さ れる基本的機能性は、与えられたメッセージの空白署名のメカニスムである。 Ｃｈａｕｍ（米国特許第４，７５９，０６３号および欧州特許第０１３９３１３ 号）により発見され特許となった、この機能性により、署名送信者がメッセージ を知ることなく、メッセージを署名させることが可能になる。それは遮蔽因数の 生成を必要とし、署名の要求者のみが知るメッセージを隠すことを可能にする。 使用されるメカニスムは、Ｅｌ Ｇａｍａｌ型の署名の方式にもＲＳＡにも同様 に上手く適用される。 一度、ＲＳＡの範囲内で示されると、本発明の、署名のその他のアルゴリズム へのアプリケーションは、同業者にとって明らかになる。ここでは、ＲＳＡに基 づいた空白署名のメカニスムだけが説明される。 本発明の応用の第四の種類の説明の範囲内で使用される表記法を再び挙げると 、署名ＲＳＡは次のようになる：： ｓ＝ｍ^d ｍｏｄ ｎ 検証は自然となされる： ｓ^e ｍｏｄ ｎ＝（ｍ^d）^e ｍｏｄ ｎ＝ｍ メッセージｍの送信器Ｅによる空白署名の獲得過程は： Ｅは乱数ｋを生成し、遮蔽因数ｋ ｍｏｄ ｎを計算し、ｍ’＝ｍｋ^e ｍｏｄ ｎを受信器または（署名送信者）へ送信する； 受信器は、ｍ’の署名であるｓ’＝ｍ’^d ｍｏｄ ｎを計算し、ｓ’からＥへ 送信する； Ｅはｓ’／ｋ＝（ｍｋ^e）^d／ｋ＝ｍ^dｋ^ed／ｋ＝ｍ^d ｍｏｄ ｎを計算し、よ ってｍの署名ｓを得る。 遮蔽因数による乗算のこの技術も、乱数偽装の範囲内で繰り返される（欧州特 許出願ＥＰ９１４０２９５８．２）。 乱数偽装の方法は、例えば、装置Ａが、装置Ｂには完全にオペランドを明かさ ないまま、装置Ｂに計算の下請けをしようとする場合に用いられる。簡約化計算 を例にとってみる；Ａは、ｎを法として減少させる数値を偽装することができ、 同時に係数の乱数倍数によってこの数値を倍加させる。こうして、仮にＡがｃ＝ ａｂ ｍｏｄ ｎを得たいとすると、Ａは乱数ｋを生成し、ｃ’＝ａｂ＋ｋｎ（ ｋｎは積ａｂを遮蔽する）を計算し、ｃ’を装置Ｂへ簡約のために送信すること ができる。 装置Ｂは ｃ’ ｍｏｄ ｎ＝ａｂ＋ｋｎ ｍｏｄ ｎ＝ｃを計算する。 この技術はついにＣｒｙｐｔｏ ’９６（”Ｔｉｍｉｎｇ ａｔｔａｃｋｓ ｏｎ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ， ＲＳＡ，ＤＳＳａｎｄ Ｏｔｈｅｒ Ｓｙｓｔｅｍｓ”Ｓｐｒｉｎｇｅｒ−Ｖｅ ｒｌａｇで発表された会議報告書（参照番号ＬＮＣＳ １１０９））で、Ｋｏｃ ｈｅｒの攻撃に対する防御を提案することを可能とし、これは秘密の大きさの価 値を推測するためにこれを増加させる計算を行う時間を計るものに基づく。 実際、効果的な防御は、遮蔽因数によって、計算時間と大きさの相関関係を除 去するために操作された秘密の大きさを倍加させることである。例えばＲＳＡ署 名の場合（同業者はこの結果を攻撃によって関わりのあるアルゴリズムの全体、 特に、秘密の指数と共にモジュラー指数計算を引き起こすあらゆるものにまで拡 張することができる）、発明の応用の第四の種類の記述の範囲の中で使われてい る表記法を用いると、以下のようになる。 署名送信者は乱数ｋを生成し、以下の計算を行う。 ｄ’＝ｄ＋ｋ（ｐ−１）（ｑ−１） 署名送信者は次に、ｍの署名を生成し、以下の計算を行う。 ｍ^d'＝ｍ^{d+k(P-1)(q-1)}＝ｍ^d（ｍ^(P-1)(q-1)）^k＝ｍ^d ｍｏｄ ｎ 発明の応用の第六の種類は、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎの方法に基づく鍵 交換の方式に関するものである。 Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵交換アルゴリズムは、ＩＥＥＥ Ｔｒａｎｓ ａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｈｅｏｒｙ，ｖｏｌ．ＩＴ −２２ Ｎｏ．６に発表された「Ｎｅｗ Ｄｉｒｅｃｔｉｏｎｓ ｉｎ Ｃｒｙ ｐｔｏｇｒａｐｈｙ」において記載され、米国において第４．２００．７７０号 で特許取得されている公開鍵の第一アルゴリズムである。この方法は、２つの部 分または装置を動作させ、未定義のチャネルを通じて秘密情報を承認するもので ある。 Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎプロトコルのパラメータは以下の通りである。 機器（Ａ）と機器（Ｂ）が互いに承認する２つの公開パラメータ：少なくと も５１２ビットの素数ｐとｐを法とする原始根である整数ｇ。この２つのパラメ ータは場合によって、利用者に共通であることが可能である。 プロトコルは以下のように展開する： 秘密情報の共有のため、２つの機器は次のような演算を実行する： ・機器Ａは乱数ｘを生成し、大きさＸ＝ｇ^x ｍｏｄ ｐを計算する。 ・機器Ｂが乱数Ｙを生成し、大きさＹ＝ｇ^y ｍｏｄ ｐを計算する； ・２つの機器が量ＸおよびＹを交換する； ・機器Ａが鍵＝Ｙ^x ｍｏｄ ｐを計算する； ・機器Ｂが鍵’＝Ｘ^y ｍｏｄ ｐを計算する． ２つの機器がこのようにプロトコルの最後において量 鍵’＝鍵＝ｇ^xy ｍｏ ｄ ｐの識別を共有する。 次に、２つの機器は、パラメータとして量《鍵》および暗号化するメッセージ を取ることにより、対称暗号化のアルゴリズムを用いて、チャネルによりメッセ ージを交換するために、秘密量《鍵》を使用することができる。 本発明の異なった適用種類の記述に従えば、本発明の主な利点を明確にするこ とが望ましい。 チップカード市場に関する経済的拘束により、原価を改善するための恒常的な 研究が行われる。この努力から、しばしば可能な限り最も簡素な製品を使用する ことになる。この事実が、あまり高価でない８ビットタイプの、例えば、中心に おいて８０Ｃ５１あるいは６８ＨＣ０５のマイクロコントローラ上に公開鍵式ア ルゴリズムをインプリメントすることを可能とするような解決にとって絶えず拡 大する利益を誘発する。 電子署名あるいは暗号化に関する前述の提案と比較した場合におけるこの発明 方法の主たる利点は、署名するあるいは暗号化する回路上の乱数生成器を必要と せずに、署名が計算できる、または暗号化の操作を行うことができることにある 。 記述を明らかにするためには、提示した様々なシステムの鍵とパラメータの生 成が同様のままであることを明確にする必要がある。したがって、技術の規則の 中で、本発明において提示した署名のアルゴリズム、認証および暗号化に必要な 様々な要素を発生させるために、特許や、通常用いられる書物を参照することに なるだろう。実用的な参考書はＢｒｕｃｅ Ｓｃｈｎｅｉｅｒ著（Ｍａｒｃ Ｖ ａｕｃｌａｉｒ 訳）Ｔｈｏｍｓｏｎ出版社発行の「応用暗号、アルゴリズム、 プロトコルおよびソース・コード」であろう。 本発明は暗号システムに関するものであり、それは、変数が整数である、変数 ｋの抽出を通常必要としない；そのシステムは、前記変数ｋを量ｈ（ｍ｜秘密） に代えることにより実施することを特徴としており、このとき、ｈはハッシング の機能を果たし、ｍは前記システムに介在するメッセージであり、《秘密》は暗 号システムの外部の未知の秘密である。 より正確には、発明の暗号システムは少なくとも以下のものを含む； ・公開鍵式署名システム、 ・公開鍵式暗号システム、 ・ランダムな《パディング》システム、 ・遮蔽因数の生成システム、 ・鍵の交換プロトコル。 ＤＳＡ、Ｓｃｈｎｏｒｒ，Ｅｌ−Ｇａｍａｌ、ＧＯＳＴ ３４．１０または楕 円曲線ＥＣＤＳＡの規格ＩＥＥＥ型の公開鍵式署名システムを含む暗号システム の場合、それぞれの署名の度に署名送信者によって更新される乱数（ｋ）は、ｘ が署名送信者の秘密鍵である、量ｈ（ｍ｜ｘ）によって置きかえられる。 Ｆｉａｔ−ＳｈａｍｉｒまたはＧｕｉｌｌｏｕ−Ｑｕｉｓｑｕａｔｅｒ型の公 開鍵式署名システムを含む暗号システムの場合、それぞれの署名の度に署名者に よって更新される乱数は、Ｂが署名者の秘密鍵であり、ｍが署名するメッセージ である、量ｈ（ｍ｜Ｂ）によって置きかえられる。 Ｅｌ Ｇａｍａｌ型の公開鍵式暗号化システムを含む暗号システムの場合、そ れぞれの暗号化されたメッセージの送信の度に、暗号化器によって更新された乱 数（ｋ）は量ｈ（ｍ）に置き換えられる。 ＭｃＥｌｉｅｃｅ型の公開鍵式暗号化システムを含む暗号システムの場合、暗 号化の度に暗号化器によって更新されるランダム誤差ベクトルｅは、ｍが暗号化 するメッセージである、量ｈ（ｍ）から派生する。 公開鍵式暗号化システムに介在するランダム≪パディング≫システムを含む暗 号システムの場合、暗号化器は復号化器にとって未知の鍵σを所有し、暗号化器 によるメッセージの≪パディング≫は次の過程によって実現される： ａ．連結されたｋ_iの長さが少なくとも係数ｎ（例えばＲＳＡ暗号化の場合）の サイズの１／６に等しくなるように、必要なだけｋ_i＝ｈ（ｍ｜σ｜ｉ）を生成 する、またはｋ＝ｈ（ｍ｜σ）を生成し、拡大する； ｂ．ｍ_r＝サイズ（ｍ）｜ｍ｜ ｛ｋ_i｝となるようにｍ_rを構成する； ｃ．ｍのかわりにｍ_rを暗号化する。 空白署名生成またはランダム偽装作業の枠内での遮蔽因数の生成システムを含 む暗号システムの場合、それぞれの遮蔽または偽装作業の度に送信器によって更 新される乱数（ｋ）は量ｈ（ｍ｜σ）によって置きかえられる。 Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ型の鍵交換プロトコルを含む暗号システムの場 合、メッセージｍを送信することを望む機器は、ランダム秘密のかわりに、σが 秘密データである、量ｈ（ｍ｜σ）を使用する。 この暗号システムでの同じ場合、前記プロトコルは少なくとも次の過程を有す る： ａ．メッセージｍを送信することを望む第１の機器がｂ₁＝ｇ^{h(m| σ)}ｍｏｄ ｐ を計算する ｂ．第２の機器、受信器が乱数ａを生成し、ｂ₂＝ｇ^a ｍｏｄ ｐを計算する ｃ．２つの機器がｂ₁とｂ₂を交換し、鍵＝ｇ^{2h(m| σ)}ｍｏｄ ｐを計算する ｄ．第１の機器が、ｆが対称暗号化メカニズムである、ｃ＝ｆ（ｍ，鍵）を計算 する 第１の機器がｃを第２の機器に送信し、後者はそれを復号化し、ｍを見出す。 好ましくは、通信機器はチップカード、ＰＣＭＣＩＡカード、バッヂ、非接触 カードまたはその他いっさいの携帯機器である。 好ましくは、本発明を実施する前記機器間の通信は、電子信号、無線波または 赤外線信号の交換によって実現される。 続いて、本発明は、応用の種類の説明に使用された表記法を用いて、より詳細 に示される。 前述のように、ハッシュ作業ｈによって乱数を生成するという構想である。本 発明の最初の２つの応用の種類については、ｈはパラメータとして秘密データ、 つまり、署名送信者の秘密鍵、公開データ、署名するメッセージをとるであろう 。 第三の種類については、ｈは署名するメッセージのみをパラメータとしてとる であろう。 最後に、他の種類については、ｈは公開データおよび秘密データ（以下σと記 される）をパラメータとしてとるであろう。 より厳密には： Ｅｌ−Ｇａｍａｌ型の署名の前記方式に関する第一の種類については、乱数ｋ は次のように生成される：ｍが署名されるべきメッセージＭのハッシングされた ものであり、ｘが署名者の秘密鍵である、ｋ＝ｈ（ｍ｜ｘ）。署名（ｒ，ｓ）の 生成の残りは、もとの方法と同一に行われる。同様に、生成された署名の検証は 不変のままである。 漏洩のないプロトコルから派生した署名の前記方式に関する第二の種類につい ては、ｋは次のように生成される：ｍが署名されるべきメッセージＭのハッシン グされたものであり、Ｂが署名送信者の秘密鍵である、ｋ＝ｈ（ｍ｜Ｂ）。署名 （ｄ，Ｄ）の生成の残りは、もとの方法と同一に行われる。同様に、生成された 署名の検証は不変のままである。 乱数を必要とする暗号化の前記方式に関する第三の種類については、２つの場 合が考えられる： Ｅｌ Ｇａｍａｌ暗号化の場合 乱数ｋは次のように生成される：ｍが暗号化されるべきメッセージである、ｋ ＝ｈ（ｍ）。次に、前述のように、Ｅｌ Ｇａｍａｌアルゴリズムを行う。復号 化もまた不変のままである。 Ｍｃ Ｅｌｉｅｃｅ暗号化の場合： 乱数から誤差ベクトルｅを派生させるかわりに、ｍが暗号化するメッセージで ある、ｈ（ｍ）から派生される。ｅはハミング荷重で正確にｔでなければならな い。サイズｎ（考慮される符号のサイズ）およびウェイトｔをｈ（ｍ）から派生 させる方法は次の通りである： サイズｎおよびウェイトｔのベクトルの順序を定義したとしよう。ベクトルｅ のような、ｈ（ｍ）位置（またはｈ（ｍ）の派生位置、なぜなら、この数は、ｔ ，ｎ、および使用されるハッシュ関数によって、２項式（ｔ，ｎ）を超えること があるため）にある、このリストのベクトルを選択することができる。 次に、前述のように、ＭｃＥｌｉｅｃｅアルゴリズムを行う。復号化もまた不 変のままである。 さらに、このｅの生成方法によって、同じメッセージの２回にわたる暗号化の 問題を解決することが可能である。というのは、包括的にＭｃＥｌｉｅｃｅの場 合、同じメッセージを２回（したがって、異なる誤差ベクトルで）暗号化するの は不用意である、なぜなら、誤差ベクトルの媒体の一部を推測することができ、 続いて、より容易にメッセージを鮮明に見出すことができるからである。 我々のｅの生成では、同じメッセージは常に同じ暗号をもつ。 本発明は、次のように、ランダム≪パディング≫を必要とする暗号の方式に関 する第四の種類に適用される。 明示したように奨励されるセキュリティの措置はランダムシーケンスを≪パデ ィング≫することである。しかし、ここでもまた、シーケンスが同じメッセージ の複数の暗号化に変化するとき、メッセージを鮮明に明かす攻撃は依然として可 能である。 乱数の決定的な生成方法の使用によって、この型の現象を効果的に阻止するこ とが可能である。実際、メッセージｍに必要な回数だけ（ＲＳＡ暗号化の場合、 パディングは少なくともｎのサイズの１／６の長さであり、つまり、５１２から １０２４ビットである従来の係数のサイズについては８６と１７１ビットの間で なくてはならない）、σが少なくとも１２８ビットの秘密である、値ｋ_i＝ｈ（ ｍ，σ，ｉ）を加えることによって、攻撃の全体は不可能になる。なぜなら、メ ッセージ間にはいかなる関係も存在せず、さらに、複数回暗号化された同じメッ セージは常に同じパディングによってそうなるからである。そこで、メッセージ ｍの暗号化は送信器によって次の方法で行われる： 連結されたｋ_iの長さが少なくともｎのサイズの１／６に等しくなるように 必要なだけｋ_i＝ｈ（ｍ｜σ｜ｉ）を生成する；また、１つだけのｋ＝ｈ（ｍ｜ σ）を使用し、ｋを拡大してからメッセージに連結することを選ぶこともできる ； ｍ_r＝サイズ（ｍ）｜ｍ｜ ｛ｋ_i｝となるようにｍ_rを構成する； 受信器がｍ_r＝ｃ^d ｍｏｄ ｎを計算してｃを復合化するために、暗号文ｃ ＝ｍ_r ^e ｍｏｄ ｎを計算する。受信器は、次に、そのサイズと、したがってｍ_r の有効ビットを知っているので、単にｍを抽出する。 遮蔽因数および空白署名に関する第五の種類については、３つの場合が考えら れる： ｋは次のように生成される：ｍが署名されるべきメッセージであり、σが秘密 データである、ｋ＝ｈ（ｍ｜σ）。空白署名の生成の残りは、もとの方法と同一 に行われる。同様に、ｍの署名の抽出は不変のままである； 次のようにｋを生成する：ａおよびｂが乗法するオペランドであり、σが秘密 データである、ｋ＝ｈ（ａ｜ｂ｜σ）。ランダム偽装作業の残りは、もとの方法 と同一に行われる。同様に、受信器によるｃ’の係数の約分は不変のままであ る； 例えば、ＲＳＡ署名の場合、（ｐ−１）（ｑ−１）の乱数ｋの倍数を次のよう に生成する：ｍが署名するメッセージであり、σが秘密データである、ｋ＝ｈ（ ｍ｜σ）。指数の偽装作業の残り（ｄ’＝ｄ＋ｋ（ｐ−１）（ｑ−１））はもと の方法と同一に行われる。 本発明は、次のように、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ法に基づく鍵交換の前 記方式に関わる第六の種類に適用される。 Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ型の鍵交換システムにおいて、メッセージｍを 送信することを望む、装置とも呼ばれる機器は、乱数のかわりに、σが秘密固定 データである、量ｈ（ｍ｜σ）を使用する。当然ながら、明らかに、この方法を プロトコルの関与者の全体にまで広げることができる。後者は、少なくとも次の 過程を有する： ・メッセージｍを送信することを望む第１の装置が、Ｘ＝ｇ^{h(m| σ)}ｍｏｄ ｐを計算する； ・第２の装置、受信器が、乱数ｙを生成し、Ｙ＝ｇ^y ｍｏｄ ｐを計算する； ・２つの装置がＸとＹを交換し、鍵＝ｇｙ^{h(m| σ)} ｍｏｄ ｐを計算する； ・第１の装置が、ｆが対称暗号化メカニズムである、ｃ＝ｆ（ｍ，鍵）を暗号化 する； ・第１の装置が第２の装置にｃを送信し、後者はそれを復号化し、ｍを見出す。 本発明は図１から４によって、より容易に理解されるであろう。 図１は本発明によって提案されるシステムを実施する署名または復号化機器の フローチャートを示す。 図２は本発明によって提案されるシステムを実施する検証または暗号化機器の フローチャートを示す。 図３は署名装置と検証装置によって交換されるデータを表す。 図４は暗号化装置と復号化装置によって交換されるデータを表す。 提案された本発明によると、それぞれの署名／復号化機器（典型的にはチップ カード）は、処理装置（ＣＰＵ）、通信インターフェース、ラム（ＲＡＭ）およ び／または書き込み不可のメモリ（ＲＯＭ）および／または書き込み可能な（一 般的には再書き込み可能な）メモリ（ＥＰＲＯＭまたはＥＥＰＲＯＭ）で構成さ れる。 署名／復号化機器のＣＰＵおよび／またはＲＯＭは、署名／復号化のアルゴリ ズムの過程に対応する計算のプログラムまたは資源（計算およびハッシュ関数、 乗法、２乗、加法、係数の逆数、係数の約分の使用規則）を含む。これらの演算 のいくつかはまとめられる：例えば、係数の約分は直接、乗法に含まれることが できる。 ＲＡＭは、ハッシュ関数または、署名生成のための計算規則または暗号生成の ための計算規則が適用されるメッセージＭを含む。Ｅ（Ｅ）ＰＲＯＭは、少なく とも、以下の説明に明確にされるように生成されて、使用される、パラメータｍ ，ｘおよびｋを含む。 ＣＰＵは、アドレスおよびデータのバスを介して、通信インターフェース、メ モリの読取りおよび書き込み作業を作動させる。 それぞれの署名機器は、物理的保護によって外界から保護されている。これら の保護は許可されていないあらゆる存在が秘密鍵を得ることを防ぐのに十分なは ずである。今日、この分野において最もよく使われている技術は、セキュリティ モジュールにチップを内蔵すること、および、温度、光、ならびにクロックの異 常な圧力および周波数の変動を検出することが可能な装置にチップを備えること である。メモリアクセスのスクランブルなどの特殊な設計技術もまた、使用され ている。 提案された本発明によると、検証機器は少なくとも、処理装置（ＣＰＵ）およ びメモリ資源から構成される。 ＣＰＵは、アドレスおよびデータのバスを介して、通信インターフェース、メ モリの読取りおよび書き込み作業を作動させる。 当局のＣＰＵおよび／またはＲＯＭは、署名または暗号化のプロトコルをイン プリメンテーションすることを可能にする計算のプログラムまたは資源（計算規 則およびハッシュ関数、乗法、累乗および係数の約分）を含む。これらの演算の いくつかはまとめられる（例えば、係数の約分は直接、乗法の中に含まれること ができる）。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 レヴィ−ディ−ヴェエル，フランソワーズ フランス共和国，エフ―75015 パリ，リ ュ ルールメル，92

Claims (1)

1. 【特許請求の範囲】 １．整数である乱数ｋの抽出を通常必要とし、前記乱数ｋをｈがハッシュ関数で 、ｍが前記システムに介在するメッセージで、≪秘密≫が暗号システムであって 、外界の未知の秘密である量ｈ（ｍ｜秘密）に代えて実施することを特徴とする 暗号システム。 ２．少なくとも以下のものを含むことを特徴とする、請求項１に記載の暗号シス テム。 −公開鍵式署名システム −公開鍵式暗号化システム −乱数「パディング」システム −遮蔽因数生成システム −鍵交換プロトコル ３．各々の署名が、ｘが署名送信者の秘密鍵である量ｈ（ｍ｜ｘ）に代えられる 際、署名送信者によって乱数（ｋ）が更新されることを特徴とする、請求項２に 記載の、ＤＳＡ型、Ｓｃｈｎｏｒｒ，ＥＬ−Ｇａｍａｌ、ＧＯＳＴ ３４．１０ 公開鍵式署名システムまたはＥＣＤＳＡ楕円曲線ＩＥＥＥ規格を含む暗号システ ム。 ４．各署名の際、署名送信者によって更新される乱数が、Ｂが署名送信者の秘密 鍵であり、ｍが署名すべきメッセージである量ｈ（ｍ｜Ｂ）に代えられることを 特徴とする、請求項２に記載の、Ｆｉａｔ−ＳｈａｍｉｒまたはＧｕｉｌｌｏｕ −Ｑｕｉｓｑｕａｒｔｅｒ型公開鍵式署名システムを含む暗号システム。 ５．暗合化されたメッセージの各送信の際、暗号化器によって更新される乱数 （ｋ）が量ｈ（ｍ）に代えられることを特徴とする、請求項２に記載の、ＥＬ Ｇａｍａｌ型公開鍵式暗号化システムを含む暗号システム。 ６．暗号化の都度暗号化器によって更新される乱数エラーｅのベクトルが、ｍが 暗号化すべきメッセージである量ｈ（ｍ）から派生されることを特徴とする、請 求項２に記載の、ＭｃＥｌｉｅｃｅ型公開鍵式暗号化システムを含む暗号システ ム。 ７．暗号化器が復号化器の未知の鍵σを所有し、メッセージのパディングが以下 の過程から実現される、請求項２に記載の、公開鍵式暗号化システムに介在する ランダム「パディング」システムを含む暗号システム。 ａ．連結されたｋ_iの長さが係数ｎのサイズの少なくとも１／６に等しくなる （例えばＲＳＡ暗号化の場合）のに必要なだけｋ_i＝ｈ（ｍ｜σ｜ｉ）を生成さ せるか、またはｋ＝ｈ（ｍ｜σ）を生成させ、それを膨張させる、 ｂ．ｍ_r＝サイズ（ｍ）｜ｍ｜｛Ｋ_i｝であるｍ_rを組み入れる、 ｃ．ｍの代わりにｍ_rを暗号化する。 ８．遮蔽または偽装の各オペレーション乱数（ｋ）が、送信器によって更新され る量ｈ（ｍ｜σ）に代えられることを特徴とする、請求項２に記載の、空白署名 生成のあるいは乱数偽装オペレーションの枠内での遮蔽因数生成システムを含む 暗号システム。 ９．メッセージｍの送信を望む機器が秘密乱数の代わりに、σが秘密データであ る量ｈ（ｍ｜σ）を使用することを特徴とする、請求項２に記載の、Ｄｉｆｆｉ ｅ−Ｈｅｌｌｍａｎ型鍵交換プロトコルを含む暗号システム。 １０．前記プロトコルが少なくとも以下の過程を含むことを特徴とする、請求項 ９に記載の暗号システム。 ａ．メッセージｍの送信を望む第１の機器がｂ₁＝ｇ^{h(m| σ)} ｍｏｄ ｐを計 算する。 ｂ．第二の機器、受信器が乱数ａを生成させ、ｂ₂=ｇ² ｍｏｄ ｐを計算す る。 ｃ．２つの機器はｂ₁とｂ₂を交換し、鍵＝ｇ^{3h(m| σ)} ｍｏｄ ｐを暗号化す る。 ｄ．第１の機器は、ｆが対称暗号化メカニズムであるｃ＝ｆ（ｍ、鍵）を暗号 化する。 第１の機器はｃを第二の機器へ送信し、そこでそれは復号化され、ｍが見出され る。 １１．通信するシステムはチップカード、ＰＣＭＣＩＡカード、バッヂ、非接触 カードまたはその他あらゆる携帯機器であることを特徴とする、請求項１〜１０ のいずれか１つに記載の暗号システム。 １２．実施する前記機器Ｉｅ間の通信は電子信号、無線電波または赤外線信号交 換を媒介として実現されることを特徴とする、請求項１〜１１のいずれか１つに 記載の暗号システム