JP2001510912A - 直接埋め込み方式による高速楕円曲線暗号化の方法と装置 - Google Patents

Abstract

(57)【要約】 本発明は、平文を直接楕円曲線で暗号化する手段として楕円曲線代数におけるｘ座標の２次のみの曖昧性を利用する。ここで「直接埋め込み」と呼んだ場合に、平文を直接楕円曲線上に暗号化する方法。直接埋め込みを実行すると、実際の平文は「＋」または「−」ｘ座標として埋め込まれる。送信側は、付加ビットを使用して＋を使用するのかそれとも−を使用するのかを指定し、受信側が適宜復号化できるようにする。動作時に、２つの点Ｐ₁ ⁺とＰ₁ ^-がそれぞれ曲線Ｅ⁺およびＥ^-上にあるような２つの公開初期ｘ座標がある。長さがｑビット以下のテキストｘ_textのパーセルを選択する。ｘ_textを含む曲線（Ｅ⁺またはＥ^-）を決定する。乱数ｒを選択し、受信側の公開鍵を使用して座標ｘ_qを生成する。楕円加算を座標ｘ_qとテキストのパーセルとともに使用し、メッセージ座標ｘ_mを生成する。乱数としかるべき曲線Ｅ＋／−からの点Ｐを使用して手がかりｘ_cを生成する。ｘ_textについて成立する符号を決定し、これをｇとする。メッセージ座標ｘ_m、手がかりｘ_c、および符号ｇを３つ組として受信側に送信する。受信側は手がかりｘ_cと秘密鍵を使用して、座標ｘ_qを生成する。符号ｇと座標ｘ_qを使用して、テキストを復元することができる。

Description

【発明の詳細な説明】

【０００１】 これは、１９９１年９月１７日出願の米国特許出願第７６１２７６号（現在は
米国特許第５１５９６３２号として発行されている）の継続出願である１９９２
年１０月２日出願の米国特許出願第９５５４７９号（現在は米国特許第５２７１
０６１号として発行されている）の継続出願である１９９３年１２月１４日出願
の米国特許出願第１６７４０８号の一部継続出願である米国特許出願第４８４２
６４号（現在は米国特許第５５８１６１６号として発行されている）の継続出願
である米国特許出願第７５８６８８号の一部継続出願である。

【０００２】 発明の背景 １．発明の分野 本発明は暗号化システムの分野に関するものである。

【０００３】 ２．背景技術 暗号化システムは、媒体上で送信側から受信側へメッセージを送信するための
システムであって、メッセージが「安全」である、つまり対象となる受信側のみ
がメッセージを復元できるような媒体を使用する。暗号化システムは、「平文」
と呼ばれるメッセージを「暗号文」と呼ばれる暗号化形式に変換する。暗号化は
、「暗号鍵」つまり鍵を使用してメッセージを操作または変換することにより実
行される。受信側は、暗号鍵または鍵を使用して操作または変換プロセスを反転
することにより、メッセージを「復号化」する、つまり暗号文から平文に変換す
る。送信側と受信側のみが暗号鍵を知っている限り、このような暗号化された送
信は安全である。

【０００４】 「古典的」暗号システムは、暗号化情報を使用して復号化情報を決定すること
ができる暗号システムである。セキュリティのために、古典的暗号システムでは
暗号化鍵を秘匿し、安全なチャネル上でシステムのユーザに送る必要がある。秘
密宅配便、盗聴防止機能付き電話伝送回線などの安全チャネルは多くの場合、非
実用的で、高価である。

【０００５】 安全暗号化鍵を交換する難しさをなくしたシステムのことを「公開鍵暗号化」
と呼んでいる。定義により、公開鍵暗号システムは、メッセージを暗号化する方
法を知っているだけでは計算に法外に長い時間をかけないと暗号化鍵を使用して
復号化鍵を見つけられないという特性を持つ。暗号化機能としては、暗号化鍵が
判明したら、暗号化機能を比較的容易に計算できるようなものを選択する。ただ
し、暗号化変換機能の逆の計算は困難であるか、または計算上実行不可能である
。このような機能を「一方向機能」または「トラップドア機能」と呼ぶ。公開鍵
暗号システムでは、鍵に関するある種の情報は公開される。この情報は、安全で
ない方法で公開または送信されることがあり、またそうされることが多い。さら
に、鍵に関するある種の情報は秘密にされる。この情報は、プライバシー保護の
ため安全なチャネル上で配布することができる（あるいは、プライバシー確保の
ためローカル・ユーザが作成することもできる）。

【０００６】 代表的公開鍵暗号化システムのブロック図を図１に示す。破線１００内のブロ
ックで表される送信側が、平文メッセージＰｔｘｔを、破線１１５内のブロック
図で表される受信側に送信する。平文メッセージは、暗号文メッセージＣに暗号
化され、何らかの送信媒体上で送信され、受信側１１５によって復号化され、平
文メッセージＰｔｘｔが再現される。

【０００７】 送信側１００は、暗号化デバイス１０１、安全鍵ジェネレータ１０２、および
鍵ソース１０３を備える。鍵ソース１０３は、回線１０４を介して安全鍵ジェネ
レータ１０２に接続されている。安全鍵ジェネレータ１０２は、回線１０５を介
して暗号化デバイス１０１に結合されている。暗号化デバイスは、回線１０６上
に暗号文出力Ｃを送る。安全鍵ジェネレータ１０２は、回線１０７上に鍵出力を
出す。この出力は、暗号文メッセージ１０６とともに、送受信機１０９に送られ
る。送受信機１０９は、たとえば、モデムなどのコンピュータ送信デバイスや、
無線周波送信信号を送信するためのデバイスであってもよい。送受信機１０９は
安全でないチャネル１１０上で安全鍵と暗号文メッセージを受信側の送受信機１
１１に出力する。

【０００８】 受信側１１５も、暗号化デバイス１１６、安全鍵ジェネレータ１１７、および
鍵ソース１１８を備える。鍵ソース１１８は、回線１１９上で安全鍵ジェネレー
タ１１７に結合されている。安全鍵ジェネレータ１１７は、回線１２０上で暗号
化デバイス１１６に結合されている。暗号化デバイス１１６は、回線１２１を介
して送受信機１１１に結合されている。安全鍵ジェネレータ１１７は、回線１２
２および１２３上で送受信機１１１に結合されている。

【０００９】 動作中に、送信側１００には、受信側１１５に送信する平文メッセージＰｔｘ
ｔがある。送信側１００と受信側１１５は両方とも、それぞれ、同じ暗号化方式
を使用する暗号化デバイス１０１と１１６を備える。暗号化デバイスに実装でき
る適当な暗号システムがいくつかある。たとえば、データ暗号化標準（ＤＥＳ）
や他の適当な暗号化方式を実装することができる。

【００１０】 送信側と受信側はさらに、それぞれ、安全鍵ジェネレータ１０２および１１７
を備える。これらの安全鍵ジェネレータは、複数のよく知られている公開鍵交換
方式のうちの１つを実装している。後述するこれらの方式は、Ｄｉｆｆｉｅ−Ｈ
ｅｌｌｍａｎ方式、ＲＡＳ方式、Ｍａｓｓｅｙ−Ｏｍｕｒａ方式、およびＥｌｇ
ａｍａｌ方式を含む。

【００１１】 送信側１００は、鍵ソース１０３を使用して秘密鍵を生成するが、この鍵ソー
スは乱数ジェネレータであってよい。秘密鍵が安全鍵ジェネレータ１０２に提供
され、これを使用して暗号化鍵ｅ_Kを生成する。暗号化鍵ｅ_Kは回線１０５上で暗
号化デバイスに送信され、これを使用して、平文メッセージＰｔｘｔを暗号化し
、回線１０６上に用意される暗号文メッセージＣを生成して送受信機１０９に送
る。安全鍵ジェネレータ１０２はさらに、安全鍵を鍵ソース１０３から暗号化鍵
ｅ_K に変換するために使用される情報も送信する。この情報は、秘密鍵を知らず
にこの情報から暗号化鍵を再現するのは実際上不可能なので、安全でないチャネ
ル上で送信することができる。

【００１２】 受信側１１５は、鍵ソース１１８を使用して、秘密鍵および安全鍵１１９を生
成する。この秘密鍵１１９は、復号化鍵Ｄ_K を生成するために送信側１００によ
って用意される鍵生成情報とともに安全鍵ジェネレータ１１７で使用される。こ
の復号化鍵Ｄ_K は、回線１２０上で暗号化デバイス１１６に送られ、そこで、こ
れを使用して暗号文メッセージを復号化し、元の平文メッセージを再現する。

【００１３】 Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ方式 ＤｉｆｆｉｅとＨｅｌｌｍａｎの論文「Ｎｅｗ Ｄｉｒｅｃｔｉｏｎｓ ｉｎ
Ｃｒｙｐｔｏｇｒａｐｈｙ」、ＩＥＥＥ Ｔｒａｎｓ．Ｉｎｆｏｒｍ．Ｔｈｅ
ｏｒｙ、ｖｏｌ．ＩＴ−２２、ｐｐ．６４４−６５４、１９７６年１１月（「Ｄ
Ｈ」方式）で公開鍵交換の方式が述べられている。ＤＨ方式では、離散指数およ
び対数関数に基づく公開鍵システムを記述している。「ｑ」を素数、「ａ」を原
始元とすると、１≦Ｘ、Ｙ≦（ｑ−１）の範囲のＸとＹについて１対１の関係が
あり、有限体上でＹ＝ａ^X ｍｏｄ ｑ、かつＸ＝ｌｏｇ_a Ｙを満たす。第１の 離散指数関数は与えられたａおよびＸについて容易に評価できるため、公開鍵Ｙ
の計算に使用される。Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎシステムのセキュリティは
、与えられたＸおよびＹについて離散対数関数Ｘ＝ｌｏｇ_aＹを解く汎用の高速 アルゴリズムが知られていないという事実に依っている。

【００１４】 Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎシステムでは、公開鍵のディレクトリが公開さ
れるか、もしくは何らかの手段で一般に利用できるようにされる。与えられた公
開鍵はユーザにしか知られていない関連付けられた秘密鍵に依存している。しか
し、公開鍵から秘密鍵を決定することは実質的に不可能である。たとえば、送信
側が「ｍｙＰｕｂ」という公開鍵を持つとする。受信側は「ｔｈｅｉｒＰｕｂ」
という公開鍵を持つとする。送信側はさらに、「ｍｙＰｒｉ」という秘密鍵を持
つ。同様に、受信側も、「ｔｈｅｉｒＰｒｉ」という秘密鍵を持つ。

【００１５】 公開鍵システムでは多数の要素が公に知られている。Ｄｉｆｆｉｅ−Ｈｅｌｌ
ｍａｎシステムの場合には、これらの要素は、素数ｐと原始元ｇを含む。ｐとｇ
は両方とも、公に知られている。公開鍵を生成するには、（ｍｏｄ p）に関し てｇに秘密鍵指数を累乗する。たとえば、送信側の公開鍵ｍｙＰｕｂは次の式で
生成される。 ｍｙＰｕｂ＝ｇ^myPri（ｍｏｄ ｐ） 式（１）

【００１６】 同様に、受信側の公開鍵は次の式で生成される。 ｔｈｅｉｒＰｕｂ＝ｇ^theirPri（ｍｏｄ ｐ） 式（２）

【００１７】 公開鍵は、指数演算と剰余演算(modulo arithmetic) を使って容易に作成でき
る。前記のように、公開鍵は一般の人々が容易に入手することができる。つまり
、公開され、配布されている。さらに、安全でないチャネル上で送信することも
できる。公開鍵が知られていても、離散対数問題を解くのは困難であるため、逆
関数によって秘密鍵を計算することは非常に難しい。

【００１８】 図２は、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ型システムを使用した鍵交換の例の流
れ図である。ステップ２０１で、素数ｐを選択している。この素数ｐは、公開さ
れている。次に、ステップ２０２で、原始根ｇを選択している。この数ｇも公に
知られている。ステップ２０３で、暗号化鍵ｅ_Kを生成し、受信側の公開鍵（ｔ ｈｅｉｒＰｕｂ）を底、送信側の秘密鍵（ｍｙＰｒｉ）を指数とするべき乗を計
算する。つまり、次のようになる。 （ｔｈｅｉｒＰｕｂ）^myPri（ｍｏｄ ｐ） 式（３）

【００１９】 すでにｔｈｅｉｒＰｕｂは、ｇ^theirPri（ｍｏｄ ｐ）に等しいと定義してい
る。したがって、式（３）は次の式で求められる。 （ｇ^theirPri）^myPri（ｍｏｄ ｐ） 式（４）

【００２０】 この値が、平文メッセージを暗号化し、暗号文メッセージを作成するために使
用される暗号化鍵ｅ_Kである。メッセージを暗号文にする、あるいは暗号化する 特定の方法は、よく知られているいくつかの方法のうちの１つであってよい。ど
の暗号化メッセージを使用するにせよ、暗号鍵は式４で計算した値である。その
後ステップ２０４で、暗号文メッセージが受信側に送信される。

【００２１】 ステップ２０５で、受信側は、送信側の公開鍵（ｍｙＰｕｂ）を底、受信側の
秘密鍵（ｔｈｅｉｒＰｒｉ）を指数とするべき乗を計算して次のように復号化鍵
Ｄ_Kを生成する。 Ｄ_K＝（ｍｙＰｕｂ）^theirPri（ｍｏｄ ｐ） 式（５）

【００２２】 式１から、ｍｙＰｕｂはｇ^myPri（ｍｏｄ ｐ）に等しい。したがって、 Ｄ_K＝（ｇ^myPri）^theirPri（ｍｏｄ ｐ） 式（６）

【００２３】 （ｇ^A）^Bは（ｇ^B）^Aに等しいので、暗号化鍵ｅ_Kと復号化鍵Ｄ_Kは同じ鍵である
。これらの鍵を「一回の暗号パット」と呼ぶ。一回の暗号パットは、メッセージ
の暗号化および復号化に使用される鍵である。

【００２４】 受信側は単に、ステップ２０６で平文メッセージを復元するために復号化鍵を
使用して変換アルゴリズムまたは暗号化方式の逆を実行するだけである。送信側
と受信側の両方が暗号化鍵の生成にその秘密鍵を使用しなければならないため、
他のユーザは暗号文メッセージを読んだり、復号化したりできない。ステップ２
０５はステップ２０１〜２０４よりも前またはそれと同時に実行できることに注
意されたい。

【００２５】 ＲＳＡ Ｒｉｖｅｓｔ、Ｓｈａｍｉｒ、およびＡｄｅｌｍａｎらの論文「Ｏｎ Ｄｉｇ
ｉｔａｌ Ｓｉｇｎａｔｕｒｅｓ ａｎｄ Ｐｕｂｌｉｃ Ｋｅｙ Ｃｒｙｐｔ
ｏｓｙｓｔｅｍｓ」，Ｃｏｍｍｕｍ．Ａｓｓ．Ｃｏｍｐｕｔ．Ｍａｃｈ．，ｖｏ
ｌ．２１，ｐｐ．１２０−１２６，Ｆｅｂ．１９７８（「ＲＳＡ」方式）では他
の公開鍵暗号システムを提案している。ＲＳＡ方式は、非常に大きな２つの素数
を生成し、それらを掛け合わせることが簡単にできるという事実に基づいている
が、その結果を因数分解する、つまりその積から非常に大きな素数を求めること
はきわめて困難である。したがって積は、復号化鍵を効果的に構成する素数を損
なうことなく暗号化鍵の一部として公開することができる。

【００２６】 ＲＳＡ方式では、鍵生成アルゴリズムを使用して２つの大きな素数ｐおよびｑ
を選択し、それらを掛け合わせてｎ＝ｐｑを求める。数ｐおよびｑは、数百桁の
長さになりうる。次に、Ｅｕｌｅｒの関数をφ（ｎ）＝（ｐ−１）（ｑ−１）と
して計算する（φ（ｎ）は、１からｎまでの範囲の整数値で、ｎと公約数を持た
ない）。φ（ｎ）は０からｎ−１までの範囲の任意の整数ａと、整数ｋについて
、ａ^kφ⁽ⁿ⁾⁺¹＝ａ（ｍｏｄ ｎ）となる特性を持つ。

【００２７】 １からφ（ｎ）−１の範囲で、φ（ｎ）との公約数を持たない乱数Ｅを選択す
る。乱数Ｅは、暗号化鍵であり、公開されている。そこで、２つの数の最大公約
数を計算するＥｕｃｌｉｄのアルゴリズムの拡張バージョンを使用してＤ＝Ｅ^-1 （ｍｏｄ φ（ｎ））を簡単に計算できる。Ｄは復号化鍵であり、秘密にしてお
く。

【００２８】 情報（Ｅ，ｎ）を暗号化鍵として公開し、これを使って暗号化されていない平
文メッセージを暗号文メッセージに次のように変換する。まずメッセージをそれ
ぞれ０からｎ−１までの範囲の整数列として表す。Ｐをそのような整数とする。
次に、関係式Ｃ＝Ｐ^E（ｍｏｄ ｎ）により対応する暗号文整数を与える。情報 （Ｄ，ｎ）を復号化鍵として使用し、Ｐ＝Ｃ^D（ｍｏｄ ｎ）を介して暗号文か ら平文を復元する。これらは、Ｃ^D＝Ｐ^ED＝ｐ^kφ⁽ⁿ⁾⁺¹＝Ｐなので、逆変換であ る。

【００２９】 ＭＡＳＳＥＹ−ＯＭＵＲＡ Ｍａｓｓｅｙ−Ｏｍｕｒａ暗号システムは、米国特許第４５６７６００号に記
述されている。Ｍａｓｓｅｙ暗号システムでは、有限体Ｆ_qを選択する。体Ｆ_qは
固定であり、公に知られている体である。送信側と受信側はそれぞれ最大公約数
Ｇ．Ｃ．Ｄ．（ｅ，ｑ−１）＝１となるような０からｑ−１の範囲の乱数整数ｅ
を選択する。次に、ユーザはＥｕｃｌｉｄアルゴリズムを使用してその逆Ｄ＝ｅ ^-1 （ｍｏｄ ｑ−１）を計算する。したがって、Ｄｅ＝１（ｍｏｄ ｑ−１）と
なる。

【００３０】 Ｍａｓｓｅｙ−Ｏｍｕｒａ暗号システムでは、安全な送信を実現するために３
つのメッセージを送信する必要がある。送信者Ａは受信者ＢにメッセージＰを送
信する。送信者Ａは乱数ｅ_Aを計算し、受信者Ｂは乱数ｅ_Bを計算する。送信者は
まず、受信者に要素Ｐ^e _Aを送信する。受信側はｅ_A を知らないのでＰを復元でき
ない。その代わりに、受信側はその要素を底、自分の秘密鍵ｅ_B を指数とするべ
き乗を計算し、第２のメッセージＰ^e _A ^e _Bを送信側に返信する。次に、送信側はそ
の要素を底、Ｄ_A-thを指数とするべき乗を計算してｅ_Aの効果を除去し、Ｐ^e _B を
受信者Ｂに返信する。受信者Ｂは、その要素を底、Ｄ_B-thを指数とするべき乗を
計算してこのメッセージを読むことができる。

【００３１】 ＥＬＧＡＭＡＬ暗号システム ＥｌＧａｍａｌ公開鍵暗号システムでは公に知られている有限体Ｆ_qとＦ^* _q の
要素ｇを使用する。それぞれのユーザは０＞ａ＞ｑ−１の範囲の整数ａを無作為
に選択する。整数ａは秘密復号化鍵である。公開暗号化鍵はＦ^* _qの要素ｇ^a であ
る。Ｐで表されているメッセージをユーザＡに送信するために、整数Ｋを無作為
に選択している。Ｆ^qの要素のペア、つまり（ｇ^K，Ｐｇ^aK）がＡに送信される。
平文メッセージＰｔｘｔが鍵ｇ^aKによって暗号化される。値ｇ^K は平文メッセー
ジＰｔｘｔを決定するための受信側の「手がかり」である。しかし、この手がか
りは安全な復号化鍵「ａ」を知っている人しか使用できない。受信者Ａは、「ａ
」を知っており、第１の要素ｇ^Kを底、ａを指数とするべき乗を計算して、（ｇ^K ）^aを求め、その結果を第２の要素に除算することにより、このペアからメッセ ージＰを復元する。

【００３２】 楕円曲線 他に「楕円曲線」暗号システムと呼ばれる公開鍵暗号システムもある。楕円曲
線暗号システムは、有限体Ｆ上で定義された楕円曲線Ｅの点に基づいている。楕
円曲線暗号システムは、セキュリティに関して、離散対数問題を解くのが困難で
あるという事実に依存している。楕円曲線暗号システムの利点は、有限体を選択
するよりも楕円曲線を選択するほうが自由度が高いという点である。しかしなが
ら、楕円曲線暗号システムは、多量の計算を必要とすることからコンピュータ・
ベースの公開鍵交換システムでは広く使用されるにいたっていない。コンピュー
タ・ベースの楕円曲線暗号システムは、他のコンピュータ公開鍵交換システムに
比べて低速である。楕円曲線暗号システムは、「Ａ Ｃｏｕｒｓｅ ｉｎ Ｎｕ
ｍｂｅｒ Ｔｈｅｏｒｙ ａｎｄ Ｃｒｙｐｔｏｇｒａｐｈｙ」（Ｋｏｂｌｉｔ
ｚ著、１９８７年、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、Ｎｅｗ Ｙｏｒｋ）に記
述がある。

【００３３】 現在まで、楕円曲線方式は鍵交換と認証に使用されてきた。しかしながら、楕
円曲線代数を暗号化方式自体として使用するにあたって適当な方式が提案されて
いない。

【００３４】 発明の要旨 本発明は、平文を直接、楕円曲線上の点として暗号化する手段を提示するもの
である。このような楕円曲線代数を使用する直接埋め込み法では、いわゆるＤＥ
Ｓ段などの中間暗号生成器段を回避している。本発明で埋め込みが容易になるの
は、ｐをｐ＝２^q−Ｃ＝３（ｍｏｄ ４）となる素数としたときに、有限体Ｆ_p上
の楕円曲線パラメータ化を選択した結果である。整数ｑとＣの選択では、ｐを素
数とし、高速な算術演算を実行できるようにＣ（負の場合もある）を十分小さく
とっている。

【００３５】 平文を２つの関係する曲線のうちの１本の上の点として直接取り扱えるのは、
ｐ＝３（ｍｏｄ ４）となるように素数ｐを選択したからである。平文点を含む
曲線を選択するプロセスのことをここでは、「直接埋め込み」と呼ぶ。直接埋め
込みを使用すると、通常であれば込み入ったプロセスとなるＫｏｂｌｉｔｚ他の
非決定論的アルゴリズムを回避できる。

【００３６】 ２つの動作モードがあり、第１のモードは予備ステップとして第２のモードで
使用される。Ｅ⁺および捻れＥ^-と表記された２つの楕円曲線、これらの曲線Ｐ₁ ⁺ とＰ₁ ^-上の初期点、それぞれ初期点と秘密鍵ｔｈｅｉｒＰｒｉおよびｏｕｒＰｒ
ｉから楕円乗算で導かれるｔｈｅｉｒＰｕｂ⁺、ｔｈｅｉｒＰｕｂ^-とｏｕｒＰｕ
ｂ⁺、ｏｕｒＰｕｂ^-の両方に対する公開鍵点があると仮定する。０からｐ−１ま
での範囲の１パーセルの平文ｘ_textを選択する。Ｅ⁺またはＥ^-にｘ座標ｘ_textの
点が含まれているかどうかを調べる。乱数ｒを選択し、これを使用して、適切な
公開点ｔｈｅｉｒＰｕｂ^-の楕円曲線乗算によりその曲線上に新しい座標ｘ_qを生
成する。楕円曲線上の２点の加算と減算の両方のｘ座標を計算できるが、どの結
果がどの演算に対応しているかを区別しないｅｌｌｉｐｔｉｃ＿ａｄｄ演算を仮
定する。点ｘ_textとｘ_qのｅｌｌｉｐｔｉｃ＿ａｄｄ演算を実行し、２つの結果 のうちの１つを選択して、暗号化メッセージ点ｘ_m（たとえば、ｘ_mはｘ_text＋ｘ _q またはｘ_text−ｘ_qのいずれか）を生成する。ｘ_textとｘ_qに対してｅｌｌｉｐ ｔｉｃ＿ａｄｄの逆演算を実行し、結果のどれにより演算が逆になるか（ｘ_m＋ ｘ_qまたはｘ_m−ｘ_qからｘ_textが明らかになる）を判別し、選択をｇと表す。手 がかりｘ_cを乱数ｒの楕円乗算と適切な初期公開点Ｐ^±により構成する。３つ組 （ｘ_m ，ｇ，ｘ_c）を受信側に送信する。受信側はｘ_cとｔｈｅｉｒＰｒｉの楕円
乗算によりｘ_q を計算し、さらにｘ_mとｘ_qに対してｅｌｌｉｐｔｉｃ＿ａｄｄを
計算し、ｇを使用して結果ｘ_mを選択する。ｘ_mのｘ座標は平文の元のパーセルで
ある。

【００３７】 第２の動作モードを使用すると、たとえば第１のモードで２つの乱数ｒとｓを
送信することにより送信者と受信者との間に同期乱数ジェネレータを設定してそ
れぞれの暗号化されたパーセルのサイズを縮小することができる。第１の同期し
ている手がかりは、送信側ではｔｈｅｉｒＰｕｂ^± とｏｕｒＰｒｉおよびｒと の連続楕円乗算、受信側ではｏｕｒＰｕｂとｔｈｅｉｒＰｒｉ^± およびｒとの 連続楕円乗算によって構成される。連続する手がかりｘ_cluenは、手がかりｘ_{clu en-1} に対するｅｌｌｉｐｔｉｃ＿ａｄｄ演算の第１の結果と初期点Ｐ₁ ^±とｓの 楕円乗算で構成される点を選択することで構成される。次に、第１にどの曲線に
点ｘ_textが含まれているかを判別し、ｘ_textとｘ_cluen のｅｌｌｉｐｔｉｃ＿ａ
ｄｄの第１の結果でｘ_mを構成し、さらにｘ_mおよびｘ_cluen に対するｅｌｌｉｐ
ｔｉｃ＿ａｄｄの結果におけるｘ_m の位置をｇと記することで平文のそれぞれの
パーセルを暗号化する。ペア（ｘ_m ，ｇ）が受信側に送信される。受信側はどの
曲線がｘ_mに属し、ｘ_mおよびｘ_cluen に対してｅｌｌｉｐｔｉｃ＿ａｄｄを実行
するかを判別し、ｇを使用して２つの結果から元のメッセージ・パーセルｘ_m を
選択する。

【００３８】 発明の詳細な説明 楕円曲線暗号化方式について説明する。以下の説明では、本発明を完全に理解
できるように、ビット数、実行時間など多くの具体的内容を詳細に取りあげてい
る。しかし、本発明は、こうした具体的内容を示さなくても実施可能であること
は当業者には明白なことであろう。他に、本発明をわかりにくくするのを避ける
ため、よく知られている機能については詳細に説明しなかった。

【００３９】 従来技術によるコンピュータ実装楕円曲線暗号化方式の欠点は、他の従来技術
によるコンピュータ実装暗号化方式に比べて満足な速度を達成できないという点
である。従来技術による楕円曲線暗号システムで必要なモジュロ演算と楕円曲線
代数演算は、除算の実行を必要とする。除算があると、コンピュータのＣＰＵ（
中央処理装置）の計算オーバーヘッドが増大する。ＣＰＵは、除算よりも、加算
と乗算を高速に、しかも少ない処理ステップで実行できる。したがって、従来技
術による楕円曲線暗号システムは、これまで、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎお
よびＲＳＡ方式などの他の従来技術による暗号システムに比べて実用的あるいは
望ましいものとなっていなかった。

【００４０】 本発明は、明示的な除算を必要としない公開鍵交換の楕円曲線暗号システムを
実装する方法と装置を提供する。本発明の好ましい実施形態の利点は、数の高速
クラス、逆変換のないパラメータ化、ＦＦＴ乗算剰余演算(multiply mod operat
ion)を実装することにより実現できる。

【００４１】 楕円曲線代数 本発明で使用する楕円曲線は、 ｙ²＝ｘ³＋ｃｘ²＋ａｘ＋ｂ 式（７ａ） または −ｙ²＝ｘ³＋ｃｘ²＋ａｘ＋ｂ 式（７ｂ） を満たす点（ｘ，ｙ）εＦ_pｋＸＦ_pｋと「無限遠点」Ａから成り立っている。

【００４２】 上の式でｂ＝０かつａ＝１と置いた、 ±ｙ²＝ｘ³＋ｃｘ²＋ｘ 式（７ｃ） は、「Ｍｏｎｔｇｏｍｅｒｙパラメータ化」と呼ばれるもので、後で説明のため
使用し、 上の式でｃ＝０とした、 ±ｙ²＝ｘ³＋ａｘ＋ｂ 式（７ｄ） は、Ｗｅｉｅｒｓｔｒａｓｓパラメータ化と呼ばれるもので、これもまた後で説
明のため使用する。

【００４３】 送信側（「ｏｕｒ」）と受信側（「ｔｈｅｉｒ」）の秘密鍵は整数であると仮
定し、 ｏｕｒＰｒｉ、ｔｈｅｉｒＰｒｉεＺ と表記する。

【００４４】 次に、送信側と受信側の両方にパラメータを設定する。パラメータは、次のと
おりである。 ｐ＝２^q−Ｃが高速クラス数（ｑは「ビット深さ」）となるようなｑ。値ｑは 、公に知られている値である。 Ｆ_pｋが体となるｐとｋ。素数ｐと整数ｋは公に知られている数である。 公に知られている、初期ｘ座標である（ｘ₁，ｙ₁）εＦ_pｋ。 すべて公に知られている、整数曲線定義パラメータである（ａ，ｂ，ｃ）εＦ _p ｋ。

【００４５】 本発明では、「楕円乗算」と呼ばれ、記号「°」で表される演算を使用する。
楕円乗算の演算は文献でもよく知られており、本特許で、次のように式７ｄのＷ
ｅｉｅｒｓｔｒａｓｓパラメータ化を使用して説明する。Ｍｏｎｔｇｏｍｅｒｙ
パラメータ化などの他のパラメータ化についても類似の規則が得られる。

【００４６】 式７ｄの曲線上に初期点（Ｘ₁，Ｙ₁）を定義する。整数ｎの集合について、式
ｎ°（Ｘ₁，Ｙ₁）は、加算および２倍の規則と呼ばれる、次の関係式により求め
られる点（Ｘ_n，Ｙ_n）を表す。 Ｘ_n+1＝（（Ｙ_n−Ｙ₁）／（Ｘ_n−Ｘ₁））²−Ｘ₁−Ｘ_n 式（８） Ｙ_n+1＝−Ｙ₁＋（（Ｙ_n−Ｙ₁）／（Ｘ_n−Ｘ₁））（Ｘ₁−Ｘ_n+1） 式（９）

【００４７】 （Ｘ₁，Ｙ₁）＝（Ｘ_n，Ｙ_n）のとき、使用する２倍関係は、 Ｘ_n+1＝（（３Ｘ₁ ²＋ａ）／２Ｙ₁）²−２Ｘ₁； 式（１０） Ｙ_n+1＝−Ｙ₁＋（（３Ｘ₁ ²＋ａ）／２Ｙ₁）（Ｘ₁−Ｘ_n+1） 式（１１）

【００４８】 算術演算は体Ｆ_pｋ上で実行されるので、すべての（ｍｏｄ ｐ）が実行され る。特に、式８から１１の除算は逆（ｍｏｄ ｐ）を伴う。

【００４９】 Ｗｅｉｅｒｓｔｒａｓｓ以外のパラメータ化は簡単に公式化できる。

【００５０】 楕円曲線公開鍵交換 送信側と受信側は両方とも前記の同じパラメータのセットを使用する必要があ
る。送信側と受信側は共に、楕円曲線上の特定のｘ座標として共有暗号パッドを
生成する。

【００５１】 以下の説明では、「自分」および「自分側」という用語で送信側を示す。「相
手」および「相手側」という用語で受信側を示す。この規約を使用するのは、本
発明の鍵交換は１人または複数の送信者と１人または複数の受信者との間で実行
可能だからである。そのため、「自分」および「自分側」と「相手」および「相
手側」はそれぞれ１人または複数の送信者と受信者を指している。

【００５２】 本発明の楕円曲線暗号システムの公開鍵交換を図３の流れ図に説明してある。

【００５３】 ステップ３０１−自分側で、公開鍵を計算する。ｏｕｒＰｕｂεＦ_pｋＸＦ_pｋ ｏｕｒＰｕｂ＝（ｏｕｒＰｒｉ）°（ｘ₁，ｙ₁） 式（１２）

【００５４】 ステップ３０２−相手側で、公開鍵を計算する。ｔｈｅｉｒＰｕｂεＦ_pｋＸ Ｆ_pｋ ｔｈｅｉｒＰｕｂ＝（ｔｈｅｉｒＰｒｉ）°（ｘ₁，ｙ₁） 式（１３）

【００５５】 ステップ３０３−２つの公開鍵ｏｕｒＰｕｂとｔｈｅｉｒＰｕｂが公開され、
したがってすべてのユーザに知られる。

【００５６】 ステップ３０４−暗号パッドを自分側で計算する。ｏｕｒＰａｄεＦ_pｋＸＦ_p ｋ ｏｕｒＰａｄ＝（ｏｕｒＰｒｉ）°（ｔｈｅｉｒＰｕｂ）＝（ｏｕｒＰｒｉ）
°（ｔｈｅｉｒＰｒｉ）°（ｘ₁，ｙ₁） 式（１４）

【００５７】 ステップ３０５−相手側で、暗号パッドを計算する。ｔｈｅｉｒＰａｄεＦ_p ｋＸＦ_pｋ ｔｈｅｉｒＰａｄ＝（ｔｈｅｉｒＰｒｉ）°（ｏｕｒＰｕｂ）＝（ｔｈｅｉｒ
Ｐｒｉ）°（ｏｕｒＰｒｉ）°（ｘ₁，ｙ₁） 式（１５）

【００５８】 楕円曲線上の点は、上記の加算および２倍演算のもとでアーベル群をなす。し
たがって、式１４と１５の演算の順序は、式の結果に影響を与えることなく入れ
替えることができる。したがって、 ｏｕｒＰａｄ＝（ｏｕｒＰｒｉ）°（ｔｈｅｉｒＰｒｉ）°（ｘ₁，ｙ₁）＝（
ｔｈｅｉｒＰｒｉ）°（ｏｕｒＰｒｉ）°（ｘ₁，ｙ₁）＝ｔｈｅｉｒＰａｄ
式（１６）

【００５９】 送信側と受信側は両方とも、同じ暗号パッドを使用しているので、送信側が暗
号化したメッセージを受信側で復号化することができる。（ステップ３０５はス
テップ３０１−３０４のどれかよりも前または同時に実行できることに注意され
たい）。

【００６０】 ステップ３０６では、送信側はｏｕｒＰａｄを使用して平文メッセージＰｔｘ
ｔを暗号化し、暗号文メッセージＣを受信側に送信する。ステップ３０７で、受
信側はｔｈｅｉｒＰａｄを使用して、暗号文メッセージＣを復号化し、平文メッ
セージＰｔｘｔを復元する。

【００６１】 高速クラス数 楕円曲線暗号システムでは、モジュロ演算を使用して公開鍵、１回限りの暗号
パッドなどのある種のパラメータを決定する。モジュロ演算は、式の結果の中の
ビット数を一定の数に制限し、セキュリティを実現するという２つの目的に使用
される。離散対数問題は、モジュロ演算を使用しているため一部非対称である。
モジュロ演算の欠点は、除算を実行する必要があるという点である。モジュロ演
算の解は、数値を一定の数で除算したときの余りである。たとえば、１２ ｍｏ
ｄ ５は２に等しい。（１２を５で２回割ると余りは２になり、余り２が解とな
る）。したがって、モジュロ演算では除算が必要である。

【００６２】 本発明では特別な高速クラスの数を使用し、除算をなくすことで、暗号化と復
号化で必要なモジュロ演算を最適化している。本発明で使用するクラスの数は一
般に、Ｃを奇数で、比較的小さな値とし（たとえば、コンピュータのワード長以
下）、Ｃ＝１（ｍｏｄ ４）とした場合の２^q−Ｃという形式で記述される。

【００６３】 数値がこの形式であれば、モジュロ演算は、シフト、簡単な乗算、および加算
のみを使い、除算を使わずに、実行することができる。この高速クラスの一群に
、Ｍｅｒｓｅｎｎｅ数と呼ばれる数があり、２^q −１という形式である。本発明
で使用できる他のクラスは、Ｆｅｒｍａｔ数と呼ばれるもので、２^q ＋１という
形式であり、ｑは２^m に等しい。Ｆｅｒｍａｔ数は、本発明では素数でも素数で
なくてもよい。

【００６４】 本発明では、有限体Ｆ_pｋ上の楕円曲線代数を使用するが、ただしｐ＝２^q−Ｃ
で、かつｐは高速クラス数である。式ｐ＝２^q −ＣによってｑとＣのすべての値
について素数が得られるわけではないことに注意されたい。たとえば、ｑが４に
等しく、Ｃが１に等しい場合、２^q−Ｃは１５に等しいが、これは素数ではない 。しかし、ｑの値が２、３、または５で、Ｃ＝１であれば、式２^q −Ｃは素数３
、７、および３１を生成する。

【００６５】 本発明では、有限体Ｆ_pｋ上に楕円曲線代数を実装する。ただしｐは２^q−Ｃで
、高速クラスの数の要素である。データの２進表現を使用してコンピュータ上で
実行する場合、高速クラスの数を使用することでシフト演算と加算のみにより（
ｍｏｄ ｐ）演算を実現できる。それとは対照的に、「低速な」数を使用した場
合には、時間のかかる除算を実行して（ｍｏｄ ｐ）演算を実行する必要がある
。以下の例では、高速クラスの（ｍｏｄ ｐ）演算の利点を示している。

【００６６】 例１：基数１０（ｍｏｄ ｐ）除算 ３２ビットの２進数ｎとして、１１１０１１０１１１１０１０１１１１０００
１１１００１１０１０１（基数１０では、この数値は３，９９１，６５２，１４
９である）を考える。

【００６７】 そこで、ｎ（ｍｏｄ ｐ）を考え、ｐを１２７に等しいとする。式ｎ ｍｏｄ
１２７は除算では次のように計算できる。

【数１】

【００６８】 余り１１２がｎ ｍｏｄ １２７の解である。

【００６９】 例２：Ｍｅｒｓｅｎｎｅ数（ｍｏｄ ｐ）演算 本発明では、ｐがＭｅｒｓｅｎｎｅ数で、ｐ＝２^q−１の場合、（ｍｏｄ ｐ ）演算は、除算を使用せずに、シフト演算と加算だけで実行できる。再びｎ（ｍ
ｏｄ ｐ）を考え、ｎは３，９９１，６５２，１４９で、ｐは１２７であるとす
る。ｐが１２７であれば、ｐ＝２^q−１からｑは７に等しい。１２７＝２⁷−１＝
１２８−１＝１２７である。

【００７０】 （ｍｏｄ ｐ）演算は、ｎの２進数形式、つまり１１１０１１０１１１１０１
０１１１１０００１１１００１１０１０１を使用して実行できる。図５では、ま
ずｎのｑ個の下位ビット（ＬＳＢ）５０１、つまり０１１０１０１をラッチして
シフト演算と加算を実行する。残りの桁のｑ個のＬＳＢ ５０２つまり、０００
１１１０をｑ個の桁５０１に加算し、和５０３（１００００１１）を得る。ｎの
次のｑ個のＬＳＢ ５０４（０１０１１１１）を和５０３に加算して、和５０５
（１１１００１０）を生成する。ｎのビット５０６（１１０１１１１）を和５０
５に加算し、和５０７（１１１００００１）を得る。

【００７１】 残りのビット５０８（１１１０）は、９ビットよりも数が少ないが、和５０７
に加算して、和５０９（１１１０１１１１）を生成する。この和のビット数はｑ
よりも多い。したがって、第１のｑビット５１０（１１０１１１１）と次のｑビ
ット５１１との和をとり（この場合単一ビット１）、和５１２（１１１００００
）を生成する。この和は、ビット数がｑ以下であり、ｎ（ｍｏｄ ｐ）の解であ
る。１１１００００＝２⁶＋２⁵＋２⁴＝６４＋３２＋１６＝１１２。

【００７２】 したがって、ｎ ｍｏｄ １２７の解１１２は、Ｍｅｒｓｅｎｎｅ数の体上の
楕円曲線を使用する場合にシフト演算と加算のみで決定される。Ｍｅｒｓｅｎｎ
ｅ数を楕円曲線暗号システムで使用すると、明示的な除算が不要になる。

【００７３】 例３：Ｆｅｒｍａｔ数（ｍｏｄ ｐ）演算 本発明では、ｐがＦｅｒｍａｔ数で、ｐ＝２^q ＋１であれば、（ｍｏｄ ｐ）
演算は、除算を使用せずに、シフト演算、加算、および減算（負の加算）のみで
実行できる。再びｎ（ｍｏｄ ｐ）を考え、ｎを３，９９１，６５２，１４９、
ｐを今度は２５７とする。ｐが２５７だと、ｑはｐ＝２^q＋１から８に等しく、 ２５７＝２⁸＋１＝２５６＋１＝２５７となる。

【００７４】 （ｍｏｄ ｐ）演算は、ｎの２進数形式、つまり１１１０１１０１１１１０１
０１１１１０００１１１００１１０１０１を使用して実行できる。図６では、シ
フト演算と加算はまずｑ（８）個の下位ビット（ＬＳＢ）６０１（００１１０１
０１）をラッチすることで実行される。残りの桁の次のｑ個のＬＳＢ６０２、つ
まり１１０００１１１をｑ桁６０１から減算する。これを実行するために、ビッ
ト６０２の１の補数を生成し、１をＭＳＢ側に加算して、負数とし、ビット６０
２’（１００１１１０００）を得る。この負数６０２’をビット６０１に加算し
て、結果６０３（１０１１０１１０１）を生成する。ｎの次のｑ個のＬＳＢ６０
４（１１１０１０１１）を和６０３に加算して、結果６０５（１００１０１１０
００）を生成する。ｎのビット６０６（１１１０１１０１）を結果６０５から減
算する。したがって、ビット６０６の１の補数が生成され、１の負の符号ビット
がＭＳＢ側に加算され、ビット６０６’（１０００１００１０）が生成される。
ビット６０６’が結果６０５に加算されて、和６０７（１１０１１０１０１０）
を生成する。

【００７５】 和６０７のビット数はｑよりも多いので、ｑ個のＬＳＢはビット６０８（０１
１０１０１０）としてラッチされる。次のｑビット（この場合、２ビットのみ、
１１）をビット６０８に加算し、和６１０（０１１０１１０１）を生成する。こ
の和は、ビット数が９以下であり、ｎ（ｍｏｄ ｐ）の解である。０１１０１１
０１＝２⁶＋２⁵＋２³＋２²＋２⁰＝６４＋３２＋８＋４＋１＝１０９。

【００７６】 例４：高速クラスｍｏｄ演算 本発明では、ｐがクラスｐ＝２^q −Ｃの数で、Ｃが奇数であり、比較的小さい
値（たとえば、２進ワードの長さ以下）の場合、（ｍｏｄ ｐ）演算は、除算な
しでシフト演算と加算のみを使用して実行できる。再びｎ（ｍｏｄ ｐ）を考え
、ｎが６８５、ｐが１３であるとする。ｐが１３のとき、ｐ＝２^q −Ｃから、ｑ
は４に等しく、Ｃは３に等しい。１３＝２⁴−３＝１６−３＝１３である。

【００７７】 （ｍｏｄ ｐ）演算は、ｎの２進数形式、つまり１０１０１０１１０１を使用
して実行できる。図７において、まずｎのｑ（４）個の下位ビット（ＬＳＢ）７
０１、つまり１１０１をラッチしてシフト演算と加算を実行する。残りのビット
７０２（１０１０１０）にＣ（３）を掛けると、積７０３（１１１１１１０）が
生成される。積７０３をビット７０１に加算して、和７０４（１０００１０１１
）を生成する。和７０４のｑ個の下位ビット７０５（１０１１）をラッチする。
残りのビット７０６（１０００）にＣを掛けて、積７０７（１１０００）を生成
する。積７０７をビット７０５に加算して、和７０８（１０００１１）を生成す
る。和７０８のｑ個の下位ビット７０９（００１１）をラッチする。残りのビッ
ト７１０（１０）にＣを掛けて、積７１１（１１０）を生成する。積７１１をビ
ット７０９に加算して、和７１２（１００１）を生成する。和７１２は、ビット
数がｑ以下であり、ｎ（ｍｏｄ ｐ）の解である。１００１＝２³＋２⁰＝８＋１
＝９である。６８５を１３で割ると、余りは９となる。この高速クラス算術演算
では、シフト演算、加算、および乗算のみを使用して解を求めることができる。

【００７８】 シフト演算と加算の実施 高速Ｍｅｒｓｅｎｎｅ ｍｏｄ演算は、よく知られているシフト手順により実
現できる。ｐ＝２^q−１の場合、 ｘ＝（ｘ＆ｐ）＋（ｘ＞＞ｑ） 式（１７） を数回使用して、０からｐ−１までの区間で正のｘを適切な剰余値にすることが
できる。この手順では、シフト演算と加算のみが必要である。それとは別に、数
値ｘ（ｍｏｄ ｐ）を、 ｘ＝ａ＋ｂ２^(q+1)/2＝（ａ，ｂ） 式（１８） で表すことができる。

【００７９】 他の整数ｙを（ｃ，ｄ）と表すと、 ｘｙ（ｍｏｄ ｐ）＝（ａｃ＋２ｂｄ，ａｄ＋ｂｃ） 式（１９） が得られ、その後、ｘｙの正しい簡約された剰余値を得るためにいくつかの自明
なシフト−加算の演算が必要になる場合がある。

【００８０】 逆（ｍｏｄ ｐ）を計算するために、少なくとも、２通りの手順がある。１つ
は、古典的な拡張ＧＣＤ手順の２進数形式を使用するものである。もう１つは、
関係簡約方式を使用するものである。関係簡約方式は次のように動作する。

【００８１】 ｐ＝２^q−１、ｘ≠０（ｍｏｄ ｐ）とし、 ｘ^-1（ｍｏｄ ｐ）を返す。 １）Ｓｅｔ（ａ，ｂ）＝（１，０）ａｎｄ（ｙ，ｚ）＝（ｘ，ｐ）； ２）Ｉｆ（ｙ＝＝０）ｒｅｔｕｒｎ（ｚ）； ３）Ｆｉｎｄ ｅ ｓｕｃｈ ｔｈａｔ ２^e／／ｙ； ４）Ｓｅｔ ａ＝２^q-eａ（ｍｏｄ ｐ）； ５）Ｉｆ（ｙ＝＝１）ｒｅｔｕｒｎ（ａ）； ６）Ｓｅｔ（ａ，ｂ）＝（ａ＋ｂ，ａ−ｂ）ａｎｄ（ｙ，ｚ）＝（ｙ＋ｚ，ｙ
−ｚ）； ７）Ｇｏ ｔｏ（２）．

【００８２】 ２進数拡張ＧＣＤ手順は、ａ／ｂを超えない２の最大べき乗と定義される演算
［ａ／ｂ］₂により、明示的な除算を使用せずに実行できる。

【００８３】 ｐを与え、ｘ≠０（ｍｏｄ ｐ）とし、 ｘ^-1（ｍｏｄ ｐ）を返す。 １）Ｉｆ（ｙ＝＝１）ｒｅｔｕｒｎ（１）； ２）Ｓｅｔ （ｘ，ｖ₀）＝（０，１）ａｎｄ（ｕ₁，ｖ₁）＝（ｐ，ｘ）； ３）Ｓｅｔ ｕ₀＝［ｕ₁／ｖ₁］₂； ４）Ｓｅｔ （ｘ，ｖ₀）＝（ｖ₀，ｘ＿ｕ₀ｖ₀）ａｎｄ（ｕ₁，ｖ₁）＝（ｖ₁ ，ｕ₁＿ｕ₀ｖ₁） ５）Ｉｆ（ｖ₁＝＝０）ｒｅｔｕｒｎ（ｘ）；ｅｌｓｅ ｇｏ ｔｏ（３）．

【００８４】 本発明は、従来のまたは汎用コンピュータ・システムで実施することができる
。本発明を実施するためのコンピュータ・システムの一実施形態を図４に示す。
キーボード４１０およびマウス４１１が双方向システム・バス４１９に結合され
ている。キーボードとマウスは、ユーザ入力をコンピュータ・システムに送り、
そのユーザ入力をＣＰＵ４１３に伝達するためのものである。図４のコンピュー
タ・システムは、さらに、ビデオ・メモリ４１４、メイン・メモリ４１５、およ
び大容量記憶装置４１２を備えており、すべてキーボード４１０、マウス４１１
、およびＣＰＵ４１３とともに双方向システム・バス４１９に結合されている。
大容量記憶装置４１２は、磁気、光、または光磁気記憶装置システムや他の利用
可能な大容量記憶装置技術などの固定媒体と取り外し可能媒体の両方を備えるこ
ともできる。大容量記憶装置は、ネットワークで共有したり、専用大容量記憶装
置とすることもできる。バス４１９には、たとえば、ビデオ・メモリ４１４やメ
イン・メモリ４１５をアドレス指定するために３２本のアドレス線を備えること
ができる。システム・バス４１９も、たとえば、ＣＰＵ４１３、メイン・メモリ
４１５、ビデオ・メモリ４１４、および大容量記憶装置４１２などの構成要素間
でデータをやり取りするための３２ビット・データ・バスを備える。それとは別
に、データ線とアドレス線を別々にする代わりに、データ線とアドレス線を多重
化することもできる。

【００８５】 本発明の好ましい実施形態では、ＣＰＵ４１３は、６８０３０や６８０４０な
どの、Ｍｏｔｏｒｏｌａ社製の３２ビット・マイクロプロセッサである。ただし
、他の適当なマイクロプロセッサやマイクロコンピュータでもかまわない。Ｍｏ
ｔｏｒｏｌａ社製マイクロプロセッサとその命令セット、バス構造および制御線
については、アリゾナ州フェニックスのＭｏｔｏｒｏｌａ Ｉｎｃ．で出版して
いる『ＭＣ６８０３０ Ｕｓｅｒ’ｓ Ｍａｎｕａｌ』および『ＭＣ６８０４０
Ｕｓｅｒ’ｓ Ｍａｎｕａｌ』で説明されている。

【００８６】 メイン・メモリ４１５は、ダイナミック・ランダム・アクセス・メモリ（ＤＲ
ＡＭ）で構成されており、本発明の好ましい実施形態では、８メガバイトのメモ
リ構成である。本発明の範囲を逸脱することなく、メモリ容量を増減することが
できる。ビデオ・メモリ４１４はデュアル・ポート・ビデオ・ランダム・アクセ
ス・メモリであり、本発明では、たとえば、２５６Ｋバイトのメモリ構成である
。ただし、これもまたビデオ・メモリの増減が可能である。

【００８７】 ビデオ・メモリ４１４の１つのポートがビデオ・マルチプレクサとシフタ４１
６に結合されており、さらにビデオ増幅器４１７に結合されている。ビデオ増幅
器４１７を使用して、陰極線管（ＣＲＴ）ラスタ・モニタ４１８を駆動する。ビ
デオ多重化シフタ回路４１６およびビデオ増幅器４１７はよく知られている技術
であり、適当な手段で実装が可能である。この回路は、ビデオ・メモリ４１４に
格納されているピクセル・データをモニタ４１８で使用するのに適したラスタ信
号に変換する。モニタ４１８は、グラフィック画像を表示するのに適した種類の
モニタであり、本発明の好ましい実施形態では、解像度が約１０２０×８３２と
なっている。他の解像度のモニタも本発明では使用可能である。

【００８８】 上述のコンピュータ・システムは例としてのみ取りあげたものである。本発明
は、どのような種類のコンピュータ・システムあるいはプログラミングまたは処
理環境であっても実装できる。

【００８９】 ブロック図 図８は、本発明のブロック図である。破線８０１に囲まれている構成要素で表
されている送信側が、平文メッセージＰｔｘｔを暗号文メッセージＣに暗号化す
る。このメッセージＣは、破線８０２で囲まれた構成要素で表される受信側に送
信される。受信側８０２は、暗号文メッセージＣを復号化して、平文メッセージ
Ｐｔｘｔを復元する。

【００９０】 送信側８０１は、暗号化／復号化手段８０３、楕円乗算器８０５、秘密鍵ソー
ス８０７がある。暗号化／復号化手段８０３は、回線８０９を介して楕円乗算器
８０５に結合されている。楕円乗算器８０５は、回線８１１を介して秘密鍵ソー
ス８０７に結合されている。

【００９１】 受信側８０２の暗号化／復号化手段８０４は、回線８１０を介して楕円乗算器
８０６に結合されている。楕円乗算器８０６は、回線８１２を介して秘密鍵ソー
ス８０８に結合されている。

【００９２】 送信側８０１の秘密鍵ソース８０７には、送信側の安全な秘密パスワード「ｏ
ｕｒＰｒｉ」が含まれる。秘密鍵ソース８０７は、コンピュータ・システム内の
記憶レジスタ、メッセージが送信されると送信側から暗号システムに送られるパ
スワード、あるいはメッセージが送信されたり、取り出されたりしたときに図８
の暗号システムによって読み取られる符号化された物理的な鍵であってよい。同
様に、受信側８０２の秘密鍵ソース８０８は、受信側の安全な秘密パスワード、
つまり「ｔｈｅｉｒＰｒｉ」を含む。

【００９３】 別のソース８１３には、送信側８０１と受信側の８０２の公開鍵「ｏｕｒＰｕ
ｂ」および「ｔｈｅｉｒＰｕｂ」、初期点（Ｘ₁、Ｙ₁）、体Ｆ_pｋ、および曲線 パラメータａ、ｂ、ｃなどの公知の情報が格納される。この情報源は、コンピュ
ータ・システムによって使用されるオンライン・ソースである、公開されている
ディレクトリであってもよく、また安全でない送信媒体上で送信側と受信側との
間で送信することもできる。公開ソース８１３は図では、回線８１５を介して送
信側８０１に、また回線８１４を介して受信側８０２に記号的に結ばれている。

【００９４】 動作時に、送信側と受信側は安全な送信で暗号化および復号化鍵として使用す
るため共有の暗号パッドを生成する。送信側の秘密鍵ｏｕｒＰｒｉが、送信側の
公開鍵ｔｈｅｉｒＰｕｂとともに楕円乗算器８０５へ送られる。楕円乗算器８０
５は、暗号化鍵ｅ_Kを（ｏｕｒＰｒｉ）°（ｔｈｅｉｒＰｕｂ）（ｍｏｄ ｐ） から計算する。暗号化鍵は、平文メッセージＰｔｘｔとともに暗号化／復号化手
段８０３に送られる。暗号化鍵は、暗号文メッセージＣを生成するために、ＤＥ
Ｓ方式や本発明の楕円曲線方式などの暗号化方式で使用される。暗号文メッセー
ジを安全でないチャネル８１６上で受信側８０２に送信する。

【００９５】 受信側８０２は受信側の秘密鍵ｔｈｅｉｒＰｒｉを使用して復号化鍵Ｄ_K を生
成する。ｔｈｅｉｒＰｒｉは、送信側の（公開ソース８１３からの）公開鍵ｏｕ
ｒＰｕｂとともに秘密鍵ソース８０８から楕円乗算器８０４に送られる。復号化
鍵Ｄ_K は、（ｔｈｅｉｒＰｒｉ）°（ｏｕｒＰｕｂ）（ｍｏｄ ｐ）から生成さ
れる。復号化鍵Ｄ_Kは、楕円乗算機能の可換であるという性質から暗号化鍵ｅ_Kに
等しい。したがって、受信側８０２は、復号化鍵Ｄ_K を使用して、暗号化方式を
逆にし、暗号文メッセージＣから平文メッセージＰｔｘｔを復元する。

【００９６】 送信側８０１と受信側８０２の暗号化／復号化手段と楕円乗算器は、プログラ
ム・ステップとして実装し、マイクロプロセッサで実行させることができる。

【００９７】 逆変換なしのパラメータ化 高速クラス数を使用すると、（ｍｏｄ ｐ）算術演算で除算が不要になる。し
かし、上の式１３−１６に示されているように、楕円乗算「°」は、除算を何回
か実行する必要がある。本発明を使用すると、逆変換なしにする初期パラメータ
化を選択することで、楕円乗算に必要な除算の回数を減らすことができる。これ
は、「Ｙ」項が不要になるように初期点を選択することで実現される。

【００９８】 本発明では、送信側と受信側の両方が、楕円曲線上の特定のｘ座標として、共
有の暗号パッドを生成する。初期点（Ｘ₁，Ｙ₁）を適切に選択することにより、
乗算ｎ°（Ｘ₁，Ｙ₁）を設定するプロセスから除算をなくすことができる。次の
ステップでは、整数ｎについて、 ｎ°（Ｘ_m／Ｚ_m） 式（２０） は、座標（Ｘ_n+m／Ｚ_n+m）を表している。ｘ＝Ｘ／Ｚについて、Ｘ_n／Ｚ_nとして
の乗算ｎ（ｘ，ｙ）のｘ座標は、乗算剰余演算を必要とする加算−２倍規則にし
たがって「２進はしご」法を使用して計算する。Ｍｏｎｔｇｏｍｅｒｙパラメー
タ化（式７ｃ）では、これらの規則は、 Ｉｆ ｉ≠ｊ： Ｘ_i+j＝Ｚ_i-j（Ｘ_iＸ_j−Ｚ_iＺ_j）² 式（２１） Ｚ_i+j＝Ｘ_i-j（Ｘ_iＺ_j−Ｚ_iＸ_j）² 式（２２） である。

【００９９】 そうでない場合、ｉ＝ｊであれば、 Ｘ_2i＝（Ｘ_i ²−Ｚ_i ²）² 式（２３） Ｚ_2i＝４Ｘ_iＺ_i（Ｘ_i ²＋ｃＸ_iＺ_i＋Ｚ_i ²） 式（２４） である。

【０１００】 これらの式は、除算を必要としないため、本発明を好ましい実施形態に実装し
たときに計算が簡略化される。これは、「逆変換なしのパラメータ化」と呼ばれ
（除算がないので）、Ｍｏｎｔｇｏｍｅｒｙ，Ｐ．著『Ｓｐｅｅｄｉｎｇ ｔｈ
ｅ Ｐｏｌｌａｒｄ ａｎｄ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｍｅｔｈｏｄｓ ｏｆ Ｆａｃｔｏｒｉｚａｔｉｏｎ』（Ｍａｔｈ．Ｃｏｍｐ．、４８（２４３
−２６４）、１９８７年）に記載されている。体が単なるＦ_p であった場合、こ
の方式により、乗算、加算、（高速）Ｍｅｒｓｅｎｎｅ ｍｏｄ演算を使用して
複数のｎｘを計算することができる。これはさらに、体がＦ_p ²の場合にも、成立
する。任意のＭｅｒｓｅｎｎｅ数ｐについてｐ＝３（ｍｏｄ ４）なので、Ｘ_i またはＺ_i を複素整数として表し、複素数算術演算を実行して、乗算後の実部と
虚部の両方を（ｍｏｄ ｐ）で素早く簡約することができる。さらに、Ｚ₁ ＝１
も選択し、曲線上の初期点が、ｙが不要になる場合に（Ｘ₁ ／１，ｙ）となるよ
うにする。

【０１０１】 高速クラスの数と逆変換なしのパラメータ化の両方を使用することで、本発明
の方法を使用する公開鍵交換を次のように実行できる。次の例では、素数はＭｅ
ｒｓｅｎｎｅ数である。ただし、ここで説明するどの高速クラス数を代替するこ
ともできる。

【０１０２】 １）「自分」側で、曲線パラメータ（ａ，ｂ，ｃ）を使用して、公開鍵を計算
する。ｏｕｒＰｕｂεＦ_pｋＸＦ_pｋ （Ｘ／Ｚ）＝ｏｕｒＰｒｉ°（Ｘ₁／１） ｏｕｒＰｕｂ＝ＸＺ^-1 ２）「相手」側で、曲線パラメータ（ａ，ｂ，ｃ）を使用して、公開鍵を計算
する。ｔｈｅｉｒＰｕｂεＦ_pｋＸＦ_pｋ （Ｘ／Ｚ）＝ｔｈｅｉｒＰｒｉ°（Ｘ₁／１） ｔｈｅｉｒＰｕｂ＝ＸＺ^-1 ３）２つの公開鍵ｏｕｒＰｕｂとｔｈｅｉｒＰｕｂは公開されており、従って
知られている。 ４）共有の暗号パッドを計算する。ｏｕｒＰａｄεＦ_pｋＸＦ_pｋ （Ｘ／Ｚ）＝ｏｕｒＰｒｉ°（ｔｈｅｉｒＰｕｂ／１） ｏｕｒＰａｄ＝ＸＺ^-1 ５）共有の暗号パッドを計算する。ｔｈｅｉｒＰａｄεＦ_pｋＸＦ_pｋ （Ｘ／Ｚ）＝ｔｈｅｉｒＰｒｉ°（ｏｕｒＰｕｂ／１） ｔｈｅｉｒＰａｄ＝ＸＺ^-1

【０１０３】 通常の鍵交換が完了し、次のようになる。 ｏｕｒＰａｄ＝ｔｈｅｉｒＰａｄ

【０１０４】 「自分」側と「相手」側との間のメッセージ暗号化／復号化は、この相互暗号
パッドに従って進む。

【０１０５】 ＦＦＴ乗算 ｑ＞５０００など、指数が非常に大きな場合には、数列のＦｏｕｒｉｅｒ変換
を使って乗算を実行すると都合がよい。ＦＦＴ乗算は、ｐ＝２^q −１がｑ＝２²⁰ （約１００万）ビット以下の場合に汎用演算ｘｙ（ｍｏｄ ｐ）について、たと
えば、６８０４０ベースのＮｅＸＴｓｔａｔｉｏｎ上で正確に動作する。さらに
、Ｍｅｒｓｅｎｎｅ数ｐについても、２進ビットの位数ｑの巡回たたみ込みが乗
算（ｍｏｄ ２^q −１）に等価であることが観察されたときにさらに無駄を省け
る。ＦＦＴ乗算手法を使用すると、ｑ² ではなく、ｑｌｏｇｑにおおよそ比例す
る時間で乗算−ｍｏｄを実行することができる。

【０１０６】 ＦＦＴ手法を使用すると本質的に楕円曲線代数を高速化することができる。Ｘ を一般にＸの数列のＦｏｕｒｉｅｒ変換とすると、この変換はＦＦＴ乗算で使用
するものと同じである。次に、式２１−２４から座標を計算することができる。
たとえば、Ｘ_i+j を計算するには、５つの適切な変換（Ｘ _i 、Ｘ _j 、Ｚ _i 、Ｚ _j 、お
よびＺ _i-j ）（一部は、すでに格納されている）を使用して、次の変換を作成で
きる。 Ｘ _i+j＝Ｚ_i-j（Ｘ _i Ｘ _j−Ｚ _i Ｚ _j）²

【０１０７】 この方法で、７つのＦＦＴを使って答えＸ_i+jを求めることができる。（平方 に２つのＦＦＴ、乗算に３つのＦＦＴを使用する通常のやり方だと「標準」のＦ
ＦＴ方式に対してＦＦＴは１１個になることに注意されたい）。比７／１１では
、固有の方法の無駄がかなり省かれる。ｐがＭｅｒｓｅｎｎｅ数で、誤りのない
数論的変換も利用できるような場合には、過去からのスペクトルを確保し、長時
間の計算でスペクトル空間にとどまることができ、この方法により、時間がいっ
そう短縮する。

【０１０８】 高速クラス数、逆変換なしのパラメータ化、およびＦＦＴ乗算を使用したとき
の本発明の動作を示す流れ図を図９に掲載した。ステップ９０１で、高速クラス
数ｐは、ｐ＝２^q −Ｃとなるように選択する。項ｑは、暗号化方式のビット深さ
である。ビット数が多ければ多いほど、セキュリティは高くなる。大きな値のｑ
について、ＦＦＴ乗算を使用してｐを計算する。項ｐを公開して使用できるよう
にする。

【０１０９】 ステップ９０２で、体Ｆ_pｋ の要素ｋを選択し、公開する。ステップ９０３で
、楕円曲線上の初期点（Ｘ１／Ｚ）を選択する。初期点を逆変換なしになるよう
に選択することにより、コストのかかる除算を避ける。初期点を公開する。ステ
ップ９０４で曲線パラメータａを選択し、公開する。

【０１１０】 ステップ９０５で、送信側は逆変換なしのパラメータ化を使用してＸ₁ ／Ｚ＝
ｏｕｒＰｒｉ°（Ｘ₁ ／１）を計算する。送信側の公開鍵が、ｏｕｒＰｕｂ＝（
ＸＺ^-1）（ｍｏｄ ｐ）で生成される。受信側の公開鍵ｔｈｅｉｒＰｕｂ＝（Ｘ
Ｚ^-1）（ｍｏｄ ｐ）はステップ９０６で生成される。

【０１１１】 送信側の１回限りの暗号パッドｏｕｒＰａｄがステップ９０７で生成される。
Ｘ／Ｚ＝（ｏｕｒＰｒｉ）°（ｔｈｅｉｒＰｕｂ／１）。ｏｕｒＰｕｄ＝（ＸＺ ^-1 ）（ｍｏｄ ｐ）。ステップ９０８で、受信側の１回限りの暗号パッドｔｈｅ
ｉｒＰａｄを生成する。Ｘ／Ｚ＝（ｔｈｅｉｒＰｒｉ）°（ｏｕｒＰｕｂ／１）
。ｔｈｅｉｒＰｕｄ＝（ＸＺ^-1）（ｍｏｄ ｐ）。ｏｕｒＰａｄとｔｈｅｉｒＰ
ａｄの計算で、ＦＦＴ乗算を使用して、逆変換Ｚ^-1を不要にする。ステップ９０
９で、送信側はｏｕｒＰａｄを使用して平文メッセージＰｔｘｔを暗号文メッセ
ージＣに変換する。暗号文メッセージＣは受信側に送信される。ステップ９１０
で、受信側は、ｔｈｅｉｒＰａｄを使用して暗号文メッセージＣを復号化して平
文メッセージＰｔｘｔを復元する。

【０１１２】 ＦＥＥセキュリティ 楕円曲線法（ＥＣＭ）を採用したときに「自然な」統計によりＭｅｒｓｅｎｎ
ｅ数である代数的因数Ｍ₈₉＝２⁸⁹−１が発生する。これは、Ｍ₄₄₅＝２⁴⁴⁵−１の
因数分解を実行しようとして示された。つまり、乱数パラメータｃ（ａ＝０，ｂ
＝１としてＭｏｎｔｇｏｍｅｒｙパラメータ化を使用する）について、ｐ＝Ｍ₈₉ としたＦ_p 上の楕円曲線の出現ｋ（Ｘ₁／１＝０は統計的に、Ｍ₄₄₅のＭ₈₉を見つ
ける時間がＯ（ｅｘｐ（√（２ｌｏｇ ｐ ｌｏｇ ｌｏｇ ｐ））であるという漸
近的推定と統計的に一致していた。そこで、これらの観察から、Ｍｅｒｓｅｎｎ
ｅ数については乱数ｃパラメータを仮定した場合にＦ_p 上の群の位数を見つける
のが「偶然にも」あまり容易でないということが示唆された。

【０１１３】 第２に、ＦＥＥに付随する離散対数問題が偶然に自明でないということをチェ
ックするために、特定のｃパラメータについて、束縛されている整数の集合では
、 （ｐ^N−１）（Ｘ₁／１）≠０ が成立することを検証できる。

【０１１４】 不等号は、離散対数評価の対応する有限体上の等価な評価への自明な簡約を避
けるためである。不等号が成立しないというのは非常にまれであり、実際、この
時点ではｑ＞８９なる数について自明でない実例が知られている。

【０１１５】 本発明では、従来技術に勝る多くの利点を提示しており、特に、ＲＳＡ方式な
どの因数分解方式を特徴とする。本発明は、少ないビットと高速な演算でありな
がら、同じセキュリティを実現できる。それとは別に、本発明のシステムでは同
じビット数にして、セキュリティを高めることもできる。

【０１１６】 従来技術に勝る本発明の暗号システムの他の利点として秘密鍵の配布がある。
ＲＳＡなどの従来技術の方式では、秘密鍵を作成するために大きな素数を生成す
る必要がある。本発明では、秘密鍵を素数にする必要はない。したがって、ユー
ザは、正しい公知のパラメータを使用して公開鍵が生成され公開される場合に限
り、自分の秘密鍵を生成することができる。ユーザは、ＲＳＡシステムで自分の
秘密鍵を生成することはできない。

【０１１７】 電子署名 本発明は、上記の楕円代数とハッシュまたはダイジェスト関数を使用する電子
署名を作成し認証する改良された方法を提示する。送信側は暗号化メッセージ「
暗号文」を作成済みである。このメッセージを前記のように暗号化するか、また
は他の暗号化方式を使用して暗号化することができる。送信側は、次に、電子署
名を作成して、メッセージの「署名」の手段としてメッセージに添付する。好ま
しい実施形態の署名方式について以下の段で説明し、その後、計算を減らす方法
を説明する。

【０１１８】 署名の作成 開始点（Ｘ₁ ／１）を持つａ、ｂ、ｃでパラメータ化された曲線を仮定する。
さらに、開始点は楕円曲線上で位数Ｎであると仮定する。送信側の公開鍵ｏｕｒ
Ｐｕｂを複数のｏｕｒＰｒｉ°（Ｘ₁ ／１）として生成するが、ここでｏｕｒＰ
ｒｉは自分の秘密鍵（整数）、°は楕円曲線上の乗算である。電子署名は次のよ
うに作成される。 １）約ｑビットの乱数整数ｍを選択する。 ２）点を Ｐ＝ｍ°（Ｘ₁／１） を計算する。 ３）メッセージ・ダイジェスト関数Ｍを使用して、整数 ｕ＝（ｍ＋ｏｕｒＰｒｉ^*Ｍ（暗号文，Ｐ））（ｍｏｄ Ｎ） を計算する。ただし、暗号文は送信する暗号化されたメッセージである。 ４）暗号文とともに、電子署名をペア（ｕ，Ｐ）として送信する。ｕは約２^q ビットの整数であるが、Ｐは曲線上の点であることに注意されたい。

【０１１９】 本発明の好ましい実施形態では、ＭＤ２やＭＤ５などのメッセージ・ダイジェ
スト関数Ｍを電子署名の生成の一部として使用する。ただし、本発明は他のダイ
ジェスト関数を使用したり、適当なハッシュ関数を使用しても、実装できる。

【０１２０】 電子署名の認証 受信側は、暗号文メッセージと、意図されている送信側の公開鍵を使用して、
点のペアを生成して電子署名の一致を調べることにより署名を認証しようとする
。受信側は、次のステップで署名を検証する。 １）署名のｕ部分を使用して、点 Ｑ＝ｕ°（Ｘ₁／１） を計算する。 ２）点Ｑと点 Ｒ＝Ｐ＋Ｍ（暗号文，Ｐ）°ｏｕｒＰｕｂ を計算する。

【０１２１】 署名は、楕円点ＱおよびＲが正確に比較されていない場合には無効である。つ
まり、署名が信頼のあるものであれば、次の式が成立しなければならない。 ｕ°（Ｘ₁／１）＝Ｐ＋Ｍ（暗号文，Ｐ）°ｏｕｒＰｕｂ

【０１２２】 上の式の左辺のｕを置き換えると、 （ｍ＋ｏｕｒＰｒｉ^*Ｍ（暗号文，Ｐ））°（Ｘ₁／１）＝Ｐ＋Ｍ（暗号文，ｐ
）°ｏｕｒＰｕｂ または ｍ°（Ｘ₁／１）＋（ｏｕｒＰｒｉ^*Ｍ（暗号文，Ｐ））°（Ｘ₁／１）＝Ｐ＋ Ｍ（暗号文，Ｐ）°ｏｕｒＰｕｂ となる。

【０１２３】 式の右辺のｏｕｒＰｕｂを置き換えると、 ｍ°（Ｘ₁／１）＋（ｏｕｒＰｒｉ^*Ｍ（暗号文，Ｐ））°（Ｘ₁／１）＝Ｐ＋ Ｍ（暗号文，Ｐ）°ｏｕｒＰｒｉ°（Ｘ₁／１） となる。 上記よりＰ＝ｍ°（Ｘ₁／１）なので、左辺は Ｐ＋（ｏｕｒＰｒｉ^*Ｍ（ｃｉｐｈｅｒｔｅｘｔ，Ｐ））°（Ｘ₁／１）＝Ｐ＋Ｍ
（ｃｉｐｈｅｒｔｅｘｔ，Ｐ）°ｏｕｒＰｒｉ°（Ｘ₁／１） となる。

【０１２４】 式の右辺でｏｕｒＰｒｉを移行すると、 Ｐ＋ｏｕｒＰｒｉ^*Ｍ（暗号文，Ｐ））°（Ｘ₁／１）＝Ｐ＋ｏｕｒＰｒｉ^*Ｍ （暗号文，Ｐ）°（Ｘ₁／１） となる。

【０１２５】 したがって、曲線上の点は、送信されたペア（ｕ，Ｐ）を使用して２つの異な
る式を使用して計算される。送信された点ｕからのＱを計算し、さらに送信され
たＰ、暗号文メッセージ、および意図されている送信側の公開鍵からＲを計算す
ることにより、ＱとＲが一致すれば電子署名が認証されたと仮定する。

【０１２６】 セキュリティ この方式の電子署名方式は、次の観察結果をもとに安全なものである。署名を
忘れると、ペア（ｕ，Ｐ）と式 ｕ°（Ｘ₁／１）＝Ｐ＋Ｍ（暗号文，Ｐ）°ｏｕｒＰｕｂ を満たす暗号文を見つけなければならなくなる。

【０１２７】 これは、楕円対数演算（本発明の暗号化セキュリティの基盤）を実行するか、
またはハッシュ関数Ｍを破る必要がある。

【０１２８】 認証の最適化 本発明の電子署名方式における受信側の最終ステップでは、２つの点、つまり
ＰとＭ（暗号文，Ｐ）°ｏｕｒＰｕｂを加えてＲを求め、その和を点Ｑと比較す
る必要がある。各ステップで指定されたｙ座標を使用して楕円加算を実行するこ
ともできる。本発明の方式では、注目している要素の２つの点のそれぞれのｘ座
標のみを使用して、２つの点の和のｘ座標の可能な値を小さくする方法を実現す
る。点ＱとＰ＋Ｍ（暗号文，Ｐ）°ｏｕｒＰｕｂが同一のｘ座標を持つかどうか
をチェックする必要があるが、この方法を使用して、そのチェックを高速に実行
することができる。

【０１２９】 ｘ座標のみを使用して和の高速検証を行う原理は次のように動作する。たとえ
ば、Ｍｏｎｔｇｏｍｅｒｙパラメータ化を使用し、曲線を ｙ²＝ｘ³＋ｃｘ²＋ｘ とする。

【０１３０】 定理：Ｐ₁＝（ｘ₁，ｙ₁）、Ｐ₂＝（ｘ₂，ｙ₂）、Ｑ＝（ｘ，ｙ）を与えられた曲
線上の３つの点とし、ｘ₁≠ｘ₂とする。このとき、 ｘ（Ｃ−ｘ）＝Ｂ² の場合、かつその場合に限り、 Ｐ₁＋Ｐ₂＝Ｑ が成立する。 ただし、 Ｂ＝（ｘ₁ｘ₂−１）／（ｘ₁−ｘ₂） Ｃ＝２（（ｘ₁ｘ₂＋１）（ｘ₁＋ｘ₂＋２ｃ）−２ｃ）／（ｘ₁−ｘ₂）² とする。

【０１３１】 証明は次の通りである。Ｐ₁とＰ₂のｙ座標はわかっていないので、和Ｐ₁＋Ｐ₂ のｘ座標について唯一可能性があるのは、任意に固定されたペア（ｙ₁，ｙ₂）に
ついて、２つの形式（ｘ₁，ｙ₁）±（ｘ₂，ｙ₂）のそれぞれのｘ座標（ｅ、ｆと
呼ぶ）であることに注意されたい。前記のように、 ｅｆ＝Ｂ² ｅ＋ｆ＝Ｃ をＭｏｎｔｇｏｍｅｒｙの場合のように計算できる。ｘはｅ、ｆのうちの一方ま
たは他方なので、定理の２次方程式が成り立つには、（ｘ−ｅ）（ｘ−ｆ）＝０
である必要がある。

【０１３２】 したがって、本発明のｘ座標方式を使用した場合、（ｘ−ｅ）（ｘ−ｆ）＝０
を満たす２つの解を持つ可能性がある。したがって、偽物の署名から一方の可能
な解が生成される。ただし、（ｘ−ｅ）（ｘ−ｆ）＝０を満たすときに、文字通
り何１００万もの解があるので、署名は信頼できると仮定しても安全である。

【０１３３】 実用的な応用例では、Ｐ₁ は、送信側が署名の一部として送信した計算で求め
た点Ｐを表す。Ｐ₂ は、式Ｍ（暗号文，Ｐ）°ｏｕｒＰｕｂを表す。もちろん、
Ｑはｕ°（Ｘ₁／１）を表す。Ｐ₁＋Ｐ₂はＲを表し、Ｑと比較される。

【０１３４】 流れ図 図１０は、本発明を使用する電子署名の生成を説明する流れ図である。ステッ
プ１００１で、送信側は乱数整数ｍを選択する。この乱数整数は、マイクロプロ
セッサで使用する適当な乱数生成器を使用して生成できる。ステップ１００２で
は、ｍを使用して点Ｐを計算する。前記のように、本発明の好ましい実施形態で
は、この点は関係式Ｐ＝ｍ°（Ｘ₁ ／１）を使用して生成される。ただし、本発
明の範囲を逸脱することなく点Ｐを生成するために他の方式を使用することもで
きる。

【０１３５】 ステップ１００３で、第２の数ｕは、ｍ、Ｐ、ｏｕｒＰｒｉ、および暗号文メ
ッセージを使用して計算する。本発明の好ましい実施形態では、これは、関係式
ｕ＝ｍ＋ｏｕｒＰｒｉ^*Ｍ（暗号文，Ｐ） を使用して生成する。前記のように、
ダイジェスト関数ＭＤ２およびＭＤ５以外のハッシュ関数を使用することもでき
る。さらに、ｕを計算するために、他の関係式を使用することもできる。他の関
係式を使用する場合には、そのｍ、Ｐ、ｏｕｒＰｒｉ、および暗号文メッセージ
を使用するようお勧めする。ステップ１００４で、計算で求めたペア（ｕ，Ｐ）
を電子署名として送信する。

【０１３６】 図１１は、本発明の電子署名の認証を説明する流れ図である。ステップ１１０
１で、メッセージの受信者は電子署名（ｕ，Ｐ）と暗号文メッセージを受信する
。ステップ１１０２で、点ｕを使用して、点Ｑを生成する。好ましい実施形態で
は、関係式Ｑ＝ｕ°（Ｘ₁／１）を使用してＱを生成する。送信側がｕ、Ｐを計 算するのにどのような関係式を使用したかに応じて他の関係式を使用することも
できる。

【０１３７】 ステップ１１０３で、ｏｕｒＰｕｂと暗号文メッセージを使用して点Ｐ₂を生 成する。好ましい実施形態では、関係式Ｍ（暗号文，Ｐ）°ｏｕｒＰｕｂを使用
してＰ₂を生成する。送信側がｕ、Ｐを計算するのにどのような関係式を使用し たかに応じて他の関係式を使用することもできる。

【０１３８】 ステップ１１０４で、Ｐ₁とＰ₂のｘ値を使用して、値ＢとＣを決定し、最終的
にｅとｆを決定する。これにより、Ｐ₁とＰ₂の和の可能な２つのｘ値が得られる
。決定ブロック１１０５で、引数「ｅ，ｆ＝ｘ？」を付けて、Ｐ₁＋Ｐ₂＝Ｑの等
式を可能なｘ値のいずれかが満たすかどうかを判断する。計算で求めたｘ値のい
ずれも方程式を満たさない場合、つまり、決定ブロック１１０５での引数が偽で
あれば、署名は信頼できるものではなく、ブロック１１０６で指示される。ｘ値
のうちの１つが方程式を満たす場合、つまり決定ブロック１１０５での引数が真
であれば、有効な署名であると仮定され、ブロック１１０７で指示される。

【０１３９】 ブロック図 図１２は、本発明の電子署名方式を実装するブロック図である。図１２の要素
が図８の要素と共通である場合には、同じ要素番号を使用する。楕円乗算を使用
する暗号化方式で使用する署名方式を取りあげているが、これは例として取りあ
げただけである。本発明は、どのような種類の暗号化方式とも使用することがで
きる。

【０１４０】 破線１２０１で囲まれている構成要素で表されている送信側が、平文メッセー
ジＰｔｘｔを暗号文メッセージＣに暗号化し、署名（ｕ，Ｐ）を生成する。この
メッセージＣと署名（ｕ，Ｐ）は、破線１２０２で囲まれている構成要素で表さ
れている受信側に送信される。受信側１２０２は、暗号文メッセージＣを復号化
して、平文メッセージを復元し、署名（ｕ，Ｐ）を認証する。

【０１４１】 送信側１２０１は、暗号化／復号化手段１２０３、楕円乗算器８０５、乱数生
成器１２０５、ハッシュ生成器１２０７、および秘密鍵ソース８０７を備えてい
る。暗号化／復号化手段１２０３は、回線８０９を介して楕円乗算器８０５に結
合されている。楕円乗算器８０５は、回線８１１を介して秘密鍵ソース８０７に
結合されている。乱数生成器１２０５は、回線１２０９上で乱数ｍを楕円乗算器
８０５とハッシュ生成器１２０７に送る。楕円乗算器８０５は、回線１２１１を
介して安全でないチャネル８１６に数値ｕを送る。暗号化されている暗号文Ｃが
回線１２１３を介してハッシュ生成器１２０７に送られる。ハッシュ生成器１２
０７は、回線１２１５を介して点Ｐを安全でないチャネル８１６に送る。

【０１４２】 受信側１２０２の暗号化／復号化手段１２０４は、回線８１０を介して楕円乗
算器８０６に結合されている。楕円乗算器８０６は、回線８１２を介して秘密鍵
ソース８０８に結合されている。数値ｕは、回線１２１２を介して安全でないチ
ャネル８１６から楕円乗算器８０６に送られる。楕円乗算器８０６は、点Ｑを生
成し、回線１２１６を介して比較器１２０８に送られる。ハッシュ生成器１２０
６は、回線１２１０を介して安全でないチャネル８１６から暗号文メッセージＣ
および点Ｐを受信し、さらに回線１２１８を介してソース８１３からｏｕｒＰｕ
ｂを受信する。ハッシュ生成器１２０６は、回線１２１４を介して点Ｒを比較器
１２０８に出力する。

【０１４３】 送信側８０１の秘密鍵ソース８０７は、送信側の安全な秘密パスワード「ｏｕ
ｒＰｒｉ」を含む。秘密鍵ソース８０７は、コンピュータ・システム内の記憶レ
ジスタ、メッセージが送信されたときに送信側が暗号システムに送るパスワード
、さらにはメッセージを送信または受信したときに図１２の暗号システムによっ
て読み取られる符号化された物理的鍵であってもよい。同様に、受信側８０２の
秘密鍵ソース８０８は受信側の安全な秘密パスワード「ｔｈｅｉｒＰｒｉ」を含
む。

【０１４４】 別のソース８１３は、送信側１２０１と受信側１２０２の公開鍵「ｏｕｒＰｕ
ｂ」および「ｔｈｅｉｒＰｕｂ」、初期点（ｘ₁，ｙ₁）、体Ｆ_pｋ、曲線パラメ ータａ、ｂ、ｃなどの公知の情報を格納する。この情報源は、コンピュータ・シ
ステムによって使用されるオンライン・ソースである、公開されているディレク
トリであってもよく、また安全でない送信媒体上で送信側と受信側との間で送信
することもできる。公開ソース８１３は図では、回線８１５を介して送信側１２
０１に、また回線８１４と１２１８を介してそれぞれ受信側１２０２とハッシュ
生成器１２０６に記号的に結ばれている。

【０１４５】 動作時に、前記のように送信側と受信側は安全な送信で暗号化および復号化鍵
として使用するため１回限りの共通の暗号パッドを生成する。暗号化鍵を、平文
メッセージとともに暗号化／復号化手段１２０３に送る。ＤＥＳ方式や本発明の
楕円曲線方式などの暗号化方式とともに暗号化鍵を使用して、暗号文メッセージ
Ｃを生成する。乱数生成器１２０５は、乱数ｍを生成し、楕円乗算器８０５に送
る。楕円乗算器８０５は、数値ｕを生成し、安全でないチャネル８１６を介して
受信側に送る。暗号文メッセージＣは、乱数ｍとｏｕｒＰｒｉとともにハッシュ
生成器１２０７に送られる。ハッシュ生成器１２０７は、点Ｐを生成し、安全で
ないチャネル８１６に送る。暗号文メッセージは、署名（ｕ，Ｐ）とともに、安
全でないチャネル８１６上で受信側１２０２に送信される。

【０１４６】 受信側１２０２は、受信側の秘密鍵ｔｈｅｉｒＰｒｉを使用して復号化鍵Ｄ_K を生成する、ｔｈｅｉｒＰｒｉが、送信側の公開鍵ｏｕｒＰｕｂ（公開ソース８
１３からの）とともに、秘密鍵ソース８０８から楕円乗算器８０６に送られる。
復号化鍵Ｄ_K は、（ｔｈｅｉｒＰｒｉ）°（ｏｕｒＰｕｂ）（ｍｏｄ ｐ）から
生成される。復号化鍵Ｄ_Kは、楕円乗算機能の可換性のため、暗号化鍵ｅ_Kに等し
い。したがって、受信側１２０２は、復号化鍵Ｄ_K を使用して暗号化方式を逆に
し、暗号文メッセージＣから平文メッセージを復元する。

【０１４７】 受信側１２０２の楕円乗算器８０６は、安全でないチャネル８１６から数値ｕ
を受信する。楕円乗算器８０６は、点Ｑを生成し、比較器１２０８に送る。ハッ
シュ生成器は、安全でないチャネル８１６から暗号文メッセージＣと点Ｐ、ソー
ス８１３から意図されている送信側の公開鍵ｏｕｒＰｕｂを受信して、点Ｒを生
成し、点Ｒを比較器１２０８に送る。比較器１２０８は、点ＱとＲを比較し、一
致している場合には、署名は有効であると仮定する。本発明では、前記のｘ値を
使用して最適化されている方式により点ＱとＲの比較を実行する。

【０１４８】 送信側１２０１と受信側の１２０２の暗号化／復号化手段および楕円乗算器は
、プログラム・ステップとして実装し、マイクロプロセッサ上で実行させること
ができる。

【０１４９】 直接埋め込み 本発明では、２つの曲線Ｅ±のうちの一方にテキスト・パーセルをマッピング
できるという事実を利用している。受信側の公開鍵を使用し、送信側はメッセー
ジ座標、手がかりの値および符号を生成し、３つ組として受信者側に送信する。
手がかりと受信側の秘密鍵を使用して、メッセージ座標からテキスト・パーセル
を復号化することができる。展開できない形では、送信側と受信側は自分の共有
の暗号パッドを使用して、共有の手がかりを計算し、それぞれのメッセージ座標
が１ビットの符号とともに送信されるようにする。

【０１５０】 前記の高速楕円代数を使用して生成した楕円曲線は、充分に特別なもの（つま
り、密に定義されている）であり、平文の任意のパーセルが直接埋め込まれ、当
然、可能な２つの曲線のうちの１つに埋め込まれる。この曲線を「＋」曲線およ
び「−」曲線と呼んでいる。

【０１５１】 展開のない直接埋め込み 本発明をさらに精密化した場合、各３つ組の手がかり構成要素をなくすことに
より暗号化されているパーセルのサイズを縮小することができる。これは、送信
側と受信側との間で同期をとる際に手がかりを生成する手段を設定することによ
り実現される。たとえば、前記の直接埋め込みの方法を使用して、送信側から受
信側に２つの乱数ｒ、ｓを安全に送信することができる。送信側は、第１の手が
かりを ｃｌｕｅ₁＝ｒ°ｏｕｒＰｒｉ°ｔｈｅｉｒＰｕｂ として計算し、同様に、受信側は同じ手がかりを ｃｌｕｅ₁＝ｒ°ｔｈｅｉｒＰｒｉ°ｏｕｒＰｕｂ として計算する。

【０１５２】 後の手がかりは、次のように楕円加算を実行して両側に形成することができる
。 ｃｌｕｅ_n+1＝ｃｌｕｅ_n＋ｓ°Ｐ ただし、Ｐは曲線上の初期点である。

【０１５３】 直接埋め込みの場合のように、埋め込まれたメッセージ・パーセルの点Ｐ_text はｃｌｕｅに楕円加算されて、メッセージ点を構成し、復元の手がかりｇを計算
し、ただ１つのペア（ｍｅｓｓａｇｅ，ｇ）として送信される。

【０１５４】 楕円曲線演算 後述のように、直接埋め込まれた平文の送信側は１ビットを送信して、受信側
で復号化できるようにどの曲線を使用するかを識別する。

【０１５５】 直接埋め込みという考えは、楕円曲線自体に平文のパーセルを埋め込むという
ものである。点Ｐ_textを暗号化する平文のパーセルを含む曲線の点とする。前記
の高速楕円曲線代数を使用することで、点のペアと単一ビットｇからなる３つ組
を送信することができる。 （Ｐ_text＋ｒ°ｔｈｅｉｒＰｕｂ，ｒ°Ｐ₁，ｇ） （実際、本来の曲線点のペアと１ビットではなく、送信するｘ座標のペアと１ビ
ットだけが送信される）。ただし、ｒは乱数整数である。この送信を （メッセージ、手がかり、パリティ） として定性的に考える。

【０１５６】 「相手」側では、受信側は「手がかり」と「パリティ」およびその秘密鍵「ｔ
ｈｅｉｒＰｒｉ」を使用して、「メッセージ」から平文を推論する。パリティ・
ビットは、曲線の曖昧さと２次式の符号曖昧さに応じて全体的な符号の結果とな
る。

【０１５７】 テキストの直接埋め込みは、次の楕円曲線の関係を検討することにより理解さ
れる。

【０１５８】 ここでは、体Ｆ_pの場合に集中するが、ただし ｐ＝２^q−１ は、Ｍｅｒｓｅｎｎｅ数である。注目している楕円曲線をＥとすると、これは ｓｙ²＝ｘ³＋ｃｘ²＋ｂｘ＋ａ を満たす点Ｐ＝（ｘ，ｙ）εＦ_pＸＦ_pで構成されるように組み立てられるが、「
無限遠点」Ｏとともに曲線の符号ｓは＋１または−１、およびｃ≠２のいずれか
に制限される。実際の曲線点には太字を使用していることに注意されたい。つま
り、ここまでの記法は、 ｘ、ｙは両方とも整数（ｍｏｄ ｐ）である 曲線上の点Ｐはペア（ｘ，ｙ）である または抽象的な「無限遠点」Ｏの場合もある Ｅは、すべてのＰの集合である。

【０１５９】 強力な古典的結果がＨａｓｓｅの定理であり、曲線の位数｜Ｅ｜である、つま
り点Ｐの総数は

【数２】 が成立するという意味でｐ自体に近いということである。

【０１６０】 点の間にある種の演算が用意されている場合、楕円曲線Ｅは加法群になる。点
Ｏは加法的な単位要素であるが、加法の群の公理は次のように働く。２つのＯで
ない点 Ｐ₁＝（ｘ₁，ｙ₁） Ｐ₂＝（ｘ₂，ｙ₂） について、曲線の加法を Ｐ₃＝Ｐ₁＋Ｐ₂＝（ｘ₃，ｙ₃） で定義し、減法を Ｐ₄＝Ｐ₁−Ｐ₂＝（ｘ₄，ｙ₄） で定義し、その際にＭｏｎｔｇｏｍｅｒｙパラメータ化ａ＝１、ｂ＝０の関係式

【数３】 とともに、否定の規則 −Ｐ₁＝（ｘ₁，−ｙ₁） を使用している。

【０１６１】 そこで、ｘ₁≠ｘ₂について、和と差のｘ座標は、

【数４】 を使用して、関係付けられることが導かれる。

【０１６２】 これらの定義済み関数Ｆ、Ｇは、直接埋め込みの理論で計算される。特にＧ関
数は別に

【数５】 と書くことができ、Ｑ関数は楕円曲線の定義２次形式、つまり Ｑ（ｚ）＝ｚ²＋ｃｚ＋１ であることに注意されたい。

【０１６３】 楕円乗算はしご 実際の実装では、ｙ座標を無視する［Ｍｏｎｔｇｏｍｅｒｙ １９８７］の逆
変換のないパラメータ化を使用して、高速楕円曲線乗算を実行する。いくつかの
点Ｐ＝（Ｘ₁，ｙ）について、Ｐのｎ回乗算をＰのｎ個のコピーの楕円和として 定義し、ｎ°Ｐと表す。（整数ｎ＝０の時、０°Ｐを抽象点０と解釈する。）そ
こで、Ｚ₁ ＝１がわかっているとして、複数のｎ°Ｐのｘ座標をＸ_n／Ｚ_nと表す
。整数Ｘ_n、Ｚ_nは、いくつかの加算−２倍規則に従って２進はしご法により評価
することができる。これらの規則は前記の基本的な加法／減法の法則から導くこ
とができ、上の式２１、２２、２３、および２４の形式をとる。

【０１６４】 Ｍｅｒｓｅｎｎｅ ｍｏｄ演算 楕円乗算はしご法では、加算−２倍規則を通じて乗算−ｍｏｄ演算が関わる。
これらの演算は、効率化することができる。さらに、鍵または暗号パッドを解決
するために必要な単一の逆変換Ｚ^-1も高速に実行できる。いずれにせよ、すべて
の算術演算は乗算、シフト演算、加算で実行することができ、そのため除算を使
用しないシステムができあがる。

【０１６５】 高速Ｍｅｒｓｅｎｎｅ ｍｏｄ演算は、上の式１７、１８、および１９に関し
て説明したように実行できる。逆（ｍｏｄ ｐ）は、上述のように式１９に従っ
て計算することができる。

【０１６６】 さらに、多項式ＧＣＤ法に基づく再帰的逆変換アルゴリズムもあり、これは実
際に、ある小さな整数ｍについてＯ（ｑｌｏｇ^mｑ） の時間がかかる。逆変換の
時間は、上述のような累積ＦＦＴ乗算手法と競合する。

【０１６７】 定理 次の定理は、本発明の直接埋め込み方式を補助するものである。

【０１６８】 定理１ 楕円曲線Ｅ上の点Ｐと整数ｍ、ｎについて、 ｍｎ°Ｐ＝ｎｍ°Ｐ＝ｍ（ｎ°Ｐ）＝ｎ（ｍ°Ｐ） が成り立つ。

【０１６９】 これは、可換性と結合性の規則を示している。 定理２ 与えられたパラメータａ＝０、ｂ＝１、ｃ≠２について、任意の正数ｘは、２
つの高速楕円曲線 Ｅ^±：±ｙ²＝ｘＱ（ｘ） の１つに存在するある点の有効なｘ座標である。 ｐはＭｅｒｓｅｎｎｅ数で、したがって＝３（ｍｏｄ ４）なので、整数ｓ＝
ｘＱ（ｘ）は平方またはその負の値であることに注意されたい。

【０１７０】 定理３ Ｐ₁＝（ｘ₁，ｙ₁）、Ｐ₂＝（ｘ₂，ｙ₂）とし、Ｐ₃＝Ｐ₁＋Ｐ₂＝（ｘ₃，ｙ₃）
と仮定する。このとき、ｘ₃は、次の式を満たさなければならない。 ｘ₁≠ｘ₂の場合：２次関係式ｘ₃（Ｇ（ｘ₁，ｘ₂）−ｘ₃）＝Ｆ（ｘ₁，ｘ₂）² ａ ｘ₁＝ｘ₂の場合：関係式ｘ₃＝（ｘ₁ ²−１）²／４ｘ₁Ｑ（ｘ１））

【０１７１】 定理４ Ｐ₁＝（ｘ₁，ｙ₁）、Ｐ₂＝（ｘ₂，ｙ₂）、ｘ₁≠ｘ₂とする。次のように表記
する。 Ｐ₃＝Ｐ₁＋Ｐ₂＝（ｘ₃，ｙ₃） Ｐ₄＝Ｐ₁−Ｐ₂＝（ｘ₄，ｙ₄） このとき、ｘ³は次の２つの値のうちの１つである。 （ｘ₁Ｑ（ｘ₂）＋ｘ₂Ｑ（ｘ₁）±２（ｘ₁Ｑ（ｘ₁）ｘ₂Ｑ（ｘ₂））^(p+1)/4）／ （（ｘ₁−ｘ₂）²） ただし、ｘ₄は他の値である。

【０１７２】 上の定理３の２次関係式を解くと、

【数６】 が得られる。

【０１７３】 ｐ＝３（ｍｏｄ ４）について、ａの平方（ｍｏｄ ｐ）の平方根は常にプラ
スまたはマイナスａ^(P+1)/4（ｍｏｄ ｐ）である。

【０１７４】 定理５ 曲線Ｅ±の１つの上の任意の整数ｘ（ｍｏｄ ｐ）について、正しい符号＋ま
たは−が次の式で成立するいずれかの符号により与えられる。 （ｘＱ（ｘ））^(P+1)/2＝±ｘＱ（ｘ）（ｍｏｄ ｐ） ｘＱ（ｘ）が０であれば、＋曲線が使用される。

【０１７５】 直接埋め込みアルゴリズム 次のように仮定する。 パラメータｑ、ａ＝０、ｂ：＝±１、ｃ≠２で、２つの可能な楕円曲線Ｅ±
が得られる。 ２つの点 Ｐ₁ ⁺＝（Ｘ₁ ⁺，？） Ｐ₁ ^-＝（Ｘ₁ ^-、？） が曲線Ｅ±上にそれぞれ存在するような２つの公開されている初期ｘ座標Ｘ１±
。ｙ座標（「？」で表されている）は、高速楕円代数を使用する場合には無視で
きる。 公開鍵のペアが存在している。ｔｈｅｒｉＰｕｂ±は （ｔｈｅｉｒＰｕｂ±、？）＝ｔｈｅｉｒＰｒｉ°Ｐ₁ ^± に従って、単一の秘密鍵ｔｈｅｉｒＰｒｉから生成される。 平文を、それぞれｑビット以下のパーセルに分ける。つまり、パーセルは値
（ｍｏｄ ｐ）である。 符号ｓを使用して上の定理４からまたはまれなケースであるｘ₁＝ｘ₂の場合
は定理３から、ｘ³またはｘ₄のうちの１つを計算する関数ｅｌｌｉｐｔｉｃ＿ａ
ｄｄ（ｘ₁，ｘ₂，ｓ）が存在すること。

【０１７６】 平文パーセルｘ_textを暗号化するには、次のようにする。 １．定理５からパーセルｘ_textが有効なｘ座標である２つの曲線Ｅ±のうちの
いずれかを決定する。前記曲線を符号ｓ＝±１で表す。 ２．乱数ｒを選択し、前記のはしご算術演算を使用して（ｘ_q，？）：＝ｒ° （ｔｈｅｉｒＰｕｂ±，？）を計算する。 ３．メッセージ座標ｘ_m：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_text，ｘ_q，＋１）
を計算する。 ４．乱数ｒを使用して手がかりｘ_cを計算し、公開点を（ｘ_c，？）：＝ｒ°Ｐ ₁ ^± として計算する。 ５．ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_m，ｘ_q，±１）＝ｘ_text内で有効な符号を
決定し、これを符号ｇとする。 ６．メッセージ座標の３つ組、手がかり、および符号を送信側に（ｘ_m，ｘ_c，
ｇ）として送信する。

【０１７７】 １パーセルの平文を復号化するには、次のようにする。 １．（ｘ_m，ｘ_c，ｇ）を受信すると仮定して、手がかりｘ_cを使用し、 （ｘ_q，？）＝ｔｈｅｉｒＰｒｉ°（ｘ_c，？） からｘ座標ｘ_qを計算する。 ２．次の式を使用して平文を復元する。 ｘ_text＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_m，ｘ_c，ｇ）

【０１７８】 アルゴリズム３をソフトウェアで実現したものを本書巻末に付録コードとして
添付した。実際の実施では、乱数整数楕円乗算（ｒによる）は定期的にしか実行
しないので、実行時間が短縮する。事実、ｒの乗算は、たとえば定理４で具現化
されているべき乗以上に実際にコストがかかることがわかっている。

【０１７９】 直接埋め込みの流れ図 図１３は、直接埋め込みを使用して平文メッセージを暗号化する流れ図である
。ステップ１３０１で、平文をそれぞれｑビット以下のパーセルに分割する。各
パーセルｘ_textについて、ステップ１３０２で、２つの曲線Ｅ±のうちのどれに
対してパーセルが有効なｘ座標であるかを決定する。これは、前記の定理５を使
用して実行できる。ステップ１３０３で、しかるべき曲線を符号＝±１で表す。

【０１８０】 ステップ１３０４で、乱数ｒを選択する。ステップ１３０５で、（ｘ_q，？） ＝ｒ°（ｔｈｅｉｒＰｕｂ±，？）を計算する。これは、はしご算術演算を使用
して実行できる。ステップ１３０６で、メッセージ座標ｘ_mを計算する。これは 、ｘ_m：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_text，ｘ_q，＋１）または他の適当な方
法により実行できる。ステップ１３０７で、手がかりを計算する。これは、（ｘ _c ，？）：＝ｒ°Ｐ₁ ^±で実行できる。

【０１８１】 ステップ１３０８で、ｘ_textについて成立する符号をｇと定義する。この符号
は、ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_m，ｘ_q，＋１）がｘ_textに等しいかどうかを
テストして決定することができる。ステップ１３０９で、メッセージ座標、手が
かり、および符号を３つ組として（ｘ_m，ｘ_c，ｇ）という形式で受信側に送信す
る。

【０１８２】 図１４は、図１３の暗号化されたメッセージを復号化する流れ図である。ステ
ップ１４０１で、送信側から３つ組（ｘ_m，ｘ_c，ｇ）を受信する。ステップ１４
０２で、（ｘ_q，？）：＝ｔｈｅｉｒＰｒｉ°（ｘ_c，？）からｘ座標ｘ_qを計算 する。次にステップ１４０３で、ｘ_text：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_m， ｘ_c，ｇ）により平文を復元することができる。

【０１８３】 拡張のない直接埋め込みアルゴリズム 一連の平文パーセルｘ_textnを暗号化するには、次のようにする。 １．２つの乱数ｒ、ｓ∈Ｆ_pｋを選択して、たとえば、直接埋め込みアルゴリ ズムを使用して受信側に送信する。 ２．式 ｃｌｕｅ＝ｒ°ｏｕｒＰｒｉ°ｔｈｅｉｒＰｕｂ± ｓ＝ｓ°Ｐ^± を計算して、両方の曲線の初期手がかりを計算する。 ３．平文パーセルｘ_textiについて、２つの曲線のうちどれに関してｘ_textiが有
効な点か（またはｘ_textiが有効な座標であるものはどれか）を決定する。 ４．正しい曲線点を使用して、メッセージ座標 ｍ_i：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_texti，ｃｌｕｅ_i，＋１） を計算する。 ５．ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｍ_i，ｃｌｕｅ_i，±１）のどの符号でｘ_texti を復元するかを決定し、この符号をｇとする。 ６．ペア（ｍ_i，ｇ）を送信する。 ７．後のパーセルについて、 ｃｌｕｅ_i+1＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｒ°ｃｌｕｅ_i，ｓ，＋１） を計算し、ステップ３−６を繰り返す。

【０１８４】 一連のペア（ｍ，ｇ）を復号化するには、次のようにする。 １．乱数ｒ、ｓを復元し、初期手がかりを次のように計算する。 ｃｌｕｅ＝ｒ°ｔｈｅｉｒＰｒｉ°ｏｕｒＰｕｂ± ｓ＝ｓ°Ｐ^± ２．各ペア（ｍ，ｇ）について、どの曲線に点ｍがあるかを決定する。 ３．決定された曲線から次の点に対する演算を使用して平文を復元する。 ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｃｌｕｅ，ｍ，ｇ） ４．後続のペアの手がかりを再計算する。 ｃｌｕｅ_i+1＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｒ°ｃｌｕｅ_i，ｓ，＋１）

【０１８５】 拡張なしの直接埋め込みの流れ図 図１５は、拡張なしの直接埋め込みを使用して平文メッセージを暗号化する流
れ図である。ステップ１５００で、平文をそれぞれｑビット以下のパーセルに分
割する。ステップ１５０１で２つの乱数ｒとｓを選択し、ステップ１５０２で受
信側に送信する。ステップ１５０３で、乱数ｒとｓを使用して両方の曲線につい
て初期手がかりｃｌｕｅとｓを決定する。

【０１８６】 ステップ１５０４で、それぞれのパーセルｘ_textについて、送信側はパーセル
が有効なｘ座標になるのは２つの曲線Ｅ±のうちどちらであるかを決定する。ス
テップ１５０５で、ｍ_i：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_texti，ｃｌｕｅ_i， ＋１）を使用してメッセージ座標を計算する。ステップ１５０６で、送信側は、
ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｍ_i，ｃｌｕｅ_i，±１）内のどの符号でｘ_textiを 復元するかを決定し、この符号をｇとする。

【０１８７】 ステップ１５０７で、現在のペア（ｍ，ｇ）を受信側に送信し、前の手がかり
と乱数ｒとｓを使用してステップ１５０８で次の手がかりを計算する。ステップ
１５０８の後で、プロセスはステップ１５０４に戻り、次のパーセルを暗号化す
る。

【０１８８】 図１６は、図１５の暗号化されているメッセージを復号化する流れ図である。
ステップ１６００で、受信側は、受信側によって送信された乱数ｒとｓを復元し
、ステップ１６０１で、乱数ｒとｓを使用して、初期手がかりを決定する。ステ
ップ１６０２で、受信側は送信側が送信したペア（ｍ，ｇ）を復元する。現在の
ペア（ｍ、ｇ）について、ステップ１６０３で、受信側はどの楕円曲線に点ｍが
あるかを決定する。決定された曲線の点を使用して、ステップ１６０４でｅｌｌ
ｉｐｔｉｃ＿ａｄｄ（ｃｌｕｅ、ｍ，ｇ）を使って平文パーセルを復元する。ス
テップ１６０５で、前の手がかりおよび乱数ｒとｓに基づいて次の手がかりを計
算する。ステップ１６０５の後で、プロセスはステップ１６０２に戻り、次のパ
ーセルに取りかかる。

【０１８９】 コード 直接埋め込みを使用して暗号化と復号化を実装するコードで、Ｍａｔｈｅｍａ
ｔｉｃａを使って書いたコード例を以下に示す。

【表１】

【表２】

【表３】

【０１９０】 最適化された方式を使用して署名を比較する関数を以下に示す。

【表４】

【０１９１】 Ｑを計算し、（Ｐ＋Ｍ（暗号文，Ｐ）°ｏｕｒＰｕｂ）と比較する関数を以下に
示す。

【表５】

【０１９２】 暗号化／復号化 本発明の暗号化／復号化方式は、プログラミング言語Ｃを用いて実装すること
ができる。以下は、本発明の暗号化／復号化の実装に適したプログラム・インタ
フェース（．ｈファイル）とテスト・プログラム（．ｃファイル）の例である。

【表６】

【表７】

【表８】

【表９】

【０１９３】

【表１０】

【表１１】

【０１９４】

【表１２】

【０１９５】

【表１３】

【図面の簡単な説明】

【図１】 従来技術による公開鍵交換システムのブロック図である。

【図２】 従来技術による公開鍵交換トランザクションの流れ図である。

【図３】 本発明の鍵交換を説明する流れ図である。

【図４】 本発明を実装することが可能なコンピュータ・システムのブロック図である。

【図５】 Ｍｅｒｓｅｎｎｅ数を使用しｐを法とする算法を実行するシフトおよび加算演
算を説明する図である。

【図６】 Ｆｅｒｍａｔ数を使用しｐを法とする算法を実行する動作を説明する図である
。

【図７】 高速クラス数を使用しｐを法とする算法を実行する動作を説明する図である。

【図８】 本発明のブロック図である。

【図９】 本発明の一実施形態の動作を説明する流れ図である。

【図１０】 本発明を使用して電子署名を生成する方法を説明する流れ図である。

【図１１】 本発明における電子署名の認証を説明する流れ図である。

【図１２】 本発明の電子署名方式を実装するためのブロック図である。

【図１３】 直接埋め込みを使用して平文メッセージを暗号化する流れ図である。

【図１４】 図１３の暗号化されたメッセージを復号化する流れ図である。

【図１５】 展開なしの直接埋め込みを使用して平文メッセージを暗号化する流れ図である
。

【図１６】 図１５の暗号化されたメッセージを復号化する流れ図である。

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5J104 AA25 JA25 NA16 9A001 BB01 BB02 BB03 BB04 CC05 CC07 CZ06 DD02 EE03 GG01 GG02 GG22 HH03 KK11 KK56 LL03

Claims (34)

【特許請求の範囲】
1. 【請求項１】 送信側コンピュータ・システム内で平文メッセージを暗号化
   する方法であって、 平文ｘ_textのパーセルを選択するステップと、 ２つの楕円曲線Ｅ⁺とＥ^-のどちらについて平文ｘ_textが有効な座標であるかを
   決定するステップと、 乱数ｒ、公開鍵／秘密鍵ペアからの公開鍵、および平文ｘ_textを使用してメッ
   セージ座標ｘ_mを生成するステップと、 手がかり値ｘ_cを生成するステップと、 符号値ｇを生成するステップと、 前記の暗号化されたメッセージを、前記メッセージ座標、前記手がかり、およ
   び前記符号で表すステップ を含む方法。
2. 【請求項２】 前記メッセージ座標、前記手がかり、および前記符号が受信
   者に送信されることを特徴とする請求項１に記載の方法。
3. 【請求項３】 前記公開鍵が前記受信側の公開鍵であることを特徴とする請
   求項２に記載の方法。
4. 【請求項４】 ２つの曲線のうちどれについてｘ_textが有効な座標であるか
   を決定する前記のステップを ｑ、ａ＝０、ｂ＝±１、ｃ≠２を仮定して、２つの可能な楕円曲線Ｅ±を得る
   ステップと、 ２つの点Ｐ₁ ⁺およびＰ₁ ^-がそれぞれ曲線Ｅ⁺とＥ^-上にあるような２つの公開座
   標ｘ₁±を仮定するステップと、 ｘ_textが有効な座標となる曲線の符号を、 （ｘ_textＱ（ｘ_text））^(p+1)/2＝±ｘ_textＱ（ｘ_text）（ｍｏｄ ｐ） ｐ＝３（ｍｏｄ ４） によって決定するステップにより実行することを特徴とする請求項１に記載の方
   法。
5. 【請求項５】 メッセージ座標を生成するステップを、 乱数ｒを選択し、（ｘ_q，？）：＝ｒ°（ｔｈｅｉｒＰｕｂ^±，？）を計算す るステップと、 メッセージ座標ｘ_m：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_text，ｘ_q，＋１）を計
   算するステップにより実行することを特徴とする請求項４に記載の方法。
6. 【請求項６】 手がかりｘ_cを生成する前記ステップを（ｘ_c，？）：＝ｒ°
   Ｐ₁ ^±で実行することを特徴とする請求項５に記載の方法。
7. 【請求項７】 前記符号ｇを決定する前記ステップを、どの符号がｅｌｌｉ
   ｐｔｉｃ＿ａｄｄ（ｘ_m，ｘ_q，＋１）＝ｘ_text内で成立するかを決定することで
   実行することを特徴とする請求項６に記載の方法。
8. 【請求項８】 さらに、 前記受信側で、前記手がかりｘ_cからｘ_qを生成するステップと、 ｘ_text：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_m，ｘ_c，ｇ）で平文を復元するステ
   ップを含むことを特徴とする請求項７に記載の方法。
9. 【請求項９】 楕円曲線代数を使用して平文メッセージを暗号化するために
   コンピュータ読み取り可能なプログラム・コードが埋め込まれているコンピュー
   タ使用可能媒体を含む製品であって、前記製造品内のコンピュータ可読プログラ
   ム・コードが、 コンピュータに１パーセルの平文ｘ_textを選択させるように構成されたコンピ
   ュータ読み取り可能なプログラム・コードと、 コンピュータに２つの楕円曲線Ｅ⁺とＥ^-のうちどちらについてｘ_textが有効な
   座標であるかを決定させるように構成されたコンピュータ読み取り可能なプログ
   ラム・コードと、 コンピュータに乱数ｒ、公開鍵／秘密鍵ペアからの公開鍵、およびｘ_textを使
   用してメッセージ座標ｘ_m を生成させるように構成されたコンピュータ読み取り
   可能なプログラム・コードと、 コンピュータに手がかり値ｘ_cを生成させるように構成されたコンピュータ読 み取り可能なプログラム・コードと、 コンピュータに符号値ｇを生成させるように構成されたコンピュータ読み取り
   可能なプログラム・コードと、 コンピュータに前記メッセージ座標、前記手がかり、および前記符号によって
   前記の暗号化されたメッセージを表現させるように構成されたコンピュータ・プ
   ログラム読み取り可能なプログラム・コードと を含むことを特徴とする製品。
10. 【請求項１０】 前記メッセージ座標、前記手がかり、および前記符号を受
    信側に送信することを特徴とする請求項９に記載の製造品。
11. 【請求項１１】 前記公開鍵が前記受信側の公開鍵であることを特徴とする
    請求項１０に記載の製造品。
12. 【請求項１２】 コンピュータに２つの曲線のうちどちらについてｘ_textが
    有効な座標であるかを決定させるように構成された前記のコンピュータ読み取り
    可能なプログラム・コードが、コンピュータに ｑ、ａ＝０、ｂ＝±１、ｃ≠２と仮定して、２つの可能な楕円曲線Ｅ^± を得 るステップと、 ２つの点Ｐ₁ ⁺とＰ₁ ^-がそれぞれ曲線Ｅ⁺とＥ^-上にあるような２つの公開座標ｘ ₁ ^± を仮定するステップと、 ｘ_textが有効な座標である曲線の符号を、 （ｘ_textＱ（ｘ_text））^(p+1)/2＝±ｘ_textＱ（ｘ_text）（ｍｏｄ ｐ） ｐ＝３（ｍｏｄ ４） により決定するステップを実行させるように構成されたコンピュータ読み取り可
    能なプログラム・コードを含むことを特徴とする請求項９に記載の製造品。
13. 【請求項１３】 コンピュータにメッセージ座標を生成させるように構成さ
    れたコンピュータ読み取り可能なプログラム・コードが コンピュータに乱数ｒを選択し、（ｘ_q，？）：＝ｒ°（ｔｈｅｉｒＰｕｂ^± ，？）を計算させるように構成されたコンピュータ読み取り可能なプログラム・
    コードと、 コンピュータにメッセージ座標ｘ_m：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_text， ｘ_q，＋１）を計算させるように構成されたコンピュータ読み取り可能なプログ ラム・コードを含むことを特徴とする請求項１２に記載の製造品。
14. 【請求項１４】 コンピュータに手がかりｘ_c を生成させるように構成され
    た前記のコンピュータ読み取り可能なプログラム・コードが、コンピュータに（
    ｘ_c，？）：＝ｒ°Ｐ₁ ^± を計算させるように構成されたコンピュータ読み取り 可能なプログラム・コードを含むことを特徴とする請求項１３に記載の製造品。
15. 【請求項１５】 コンピュータに前記符号ｇを決定させるように構成された
    前記のコンピュータ読み取り可能なプログラム・コードが、コンピュータにｅｌ
    ｌｉｐｔｉｃ＿ａｄｄ（ｘ_m，ｘ_q，＋１）＝ｘ_textでどの符号が成立するかを決
    定させるように構成されたコンピュータ読み取り可能なプログラム・コードを含
    むことを特徴とする請求項１４に記載の製造品。
16. 【請求項１６】 コンピュータに前記受信側で、前記手がかりｘ_cからｘ_qを
    生成させるように構成されたコンピュータ読み取り可能なプログラム・コードと
    、 コンピュータに前記受信側で、ｘ_text：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_m， ｘ_c，ｇ）によって平文を復元させるように構成されたコンピュータ読み取り可 能なプログラム・コードを含むことを特徴とする請求項１５に記載の製造品。
17. 【請求項１７】 平文メッセージを暗号化する方法であって、 ２つの乱数ｒとｓを選択するステップと、 前記乱数ｒ、第１の公開鍵／秘密鍵ペアからの公開鍵、第２の公開鍵／秘密鍵
    ペアからの秘密鍵を使用して初期手がかりｃｌｕｅ₀を生成するステップと、 １パーセルの平文ｘ_textiを選択するステップと、 ２つの楕円曲線Ｅ⁺とＥ^-のうちどちらについてｘ_textiが有効な座標であるか を決定するステップと、 ｘ_textiと現在の手がかりｃｌｕｅ_iを使用してメッセージ座標ｍ_iを生成する ステップと、 符号値ｇを生成するステップと、 ペア（ｍ_i，ｇ）で前記の暗号化されたメッセージを表すステップと、 後続のパーセルについて、前記の現在の手がかりｃｌｕｅ_i および前記の乱数
    ｒとｓを使用して後続の手がかりｃｌｕｅ_i+1を生成するステップ を含む方法。
18. 【請求項１８】 さらに、送信側から受信側に前記乱数ｒとｓを送信するス
    テップと、 前記送信側から前記受信側に前記の暗号化されたメッセージを送信するステッ
    プを含む請求項１７に記載の方法。
19. 【請求項１９】 前記公開鍵が前記受信側の公開鍵であり、前記秘密鍵が前
    記送信側の秘密鍵であることを特徴とする請求項１８に記載の方法。
20. 【請求項２０】 前記の初期手がかりｃｌｕｅ₀を生成する前記ステップが ｃｌｕｅ₀＝ｒ°ｏｕｒＰｒｉ°ｔｈｅｉｒＰｕｂ^± を計算するステップを含み、ｏｕｒＰｒｉが前記秘密鍵を含み、ｔｈｅｉｒＰｕ
    ｂ^±が前記公開鍵を含むことを特徴とする請求項１７に記載の方法。
21. 【請求項２１】 ２つの楕円曲線Ｅ⁺とＥ^-のうちどちらについてｘ_textiが 有効な座標であるかを決定する前記ステップが ｑ、ａ＝０、ｂ＝±１、ｃ≠２を仮定して、２つの可能な楕円曲線Ｅ±を得る
    ステップと、 ２つの点Ｐ₁ ⁺とＰ₁ ^-がそれぞれ曲線Ｅ⁺およびＥ^-上にあるような２つの公開座
    標ｘ₁ ^±を仮定するステップと、 ｘ_textiが有効な点である曲線の符号を （ｘ_textiＱ（ｘ_texti））^(p+1)/2＝±ｘ_textiＱ（ｘ_texti）（ｍｏｄ ｐ） ｐ＝３（ｍｏｄ ４） により決定するステップを含むことを特徴とする請求項１７に記載の方法。
22. 【請求項２２】 前記メッセージ座標を生成するステップが ｍ_i：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_texti，ｃｌｕｅ_i，＋１） を計算するステップを含むことを特徴とする請求項１７に記載の方法。
23. 【請求項２３】 前記符号ｇを生成する前記ステップが、ｅｌｌｉｐｔｉｃ
    ＿ａｄｄ（ｍ_i，ｃｌｕｅ_i，±１）の計算時にどの符号でｘ_textiを復元するか を決定するステップを含むことを特徴とする請求項１７に記載の方法。
24. 【請求項２４】 前記の後続の手がかりｃｌｕｅ_i+1を生成する前記ステッ プが、 ｓ＝ｓ°Ｐ^±を計算するステップと、 ｃｌｕｅ_i+1＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｒ°ｃｌｕｅ_i，ｓ，＋１）を計算
    するステップを含むことを特徴とする請求項１７に記載の方法。
25. 【請求項２５】 前記受信側で実行される、 前記乱数ｒ、前記の第１の公開鍵／秘密鍵ペアの秘密鍵、前記の第２の公開鍵
    ／秘密鍵の公開鍵から初期手がかりｃｌｕｅ₀を決定するステップと、 どの楕円曲線に点ｍ_iが含まれるかを決定するステップと、 ｘ_textiを決定するためにｅｌｌｉｐｔｉｃ＿ａｄｄ（ｃｌｕｅ_i，ｍ_i，ｇ） を計算するステップと、 現在の手がかりｃｌｕｅ_iと前記乱数ｒおよびｓを使用して後続の手がかりｃ ｌｕｅ_i+1を計算するステップを含むことを特徴とする請求項１８に記載の方法 。
26. 【請求項２６】 コンピュータに楕円曲線代数を使用して平文メッセージを
    暗号化させるためのコンピュータ読み取り可能なプログラム・コードが埋め込ま
    れているコンピュータ使用可能媒体を含む製造品であって、前記コンピュータ可
    読プログラム・コードが、 コンピュータに２つの乱数ｒとｓを選択させるように構成されたコンピュータ
    読み取り可能なプログラム・コードと コンピュータに前記乱数ｒ、第１の公開鍵／秘密鍵ペアからの公開鍵、および
    第２の公開鍵／秘密鍵ペアからの秘密鍵を使用して初期手がかりｃｌｕｅ₀ を生
    成させるように構成されたコンピュータ読み取り可能なプログラム・コードと、 コンピュータに１パーセルの平文ｘ_texti を選択させるように構成されたコン
    ピュータ読み取り可能なプログラム・コードと、 コンピュータに２つの楕円曲線Ｅ⁺とＥ^-のうちどちらについてｘ_texti が有効
    な座標であるかを決定させるように構成されたコンピュータ読み取り可能なプロ
    グラム・コードと、 コンピュータにｘ_textiと現在の手がかりｃｌｕｅ_iを使用してメッセージ座標
    ｍ_i を生成させるように構成されたコンピュータ読み取り可能なプログラム・コ
    ードと、 コンピュータに符号値ｇを生成させるように構成されたコンピュータ読み取り
    可能なプログラム・コードと、 コンピュータにペア（ｍ_i ，ｇ）で前記の暗号化されているメッセージを表現
    させるように構成されたコンピュータ・プログラム読み取り可能なプログラム・
    コードと、 コンピュータに後続のパーセルについて、前記の現在の手がかりｃｌｕｅ_i お
    よび前記乱数ｒとｓを使用して後続の手がかりｃｌｕｅ_i+1 を生成させるように
    構成されたコンピュータ読み取り可能なプログラム・コードを含むコンピュータ
    読み取り可能なプログラム・コードを特徴とする製造品。
27. 【請求項２７】 さらに、コンピュータに送信側から受信側に前記乱数ｒと
    ｓを送信させるように構成されたコンピュータ読み取り可能なプログラム・コー
    ドと、 コンピュータに前記送信側から前記受信側に前記の暗号化されたメッセージを
    送信させるように構成されたコンピュータ読み取り可能なプログラム・コードを
    特徴とする請求項２６に記載の製造品。
28. 【請求項２８】 前記公開鍵が、前記受信側の公開鍵であり、前記秘密鍵が
    前記送信側の秘密鍵であることを特徴とする請求項２７に記載の製造品。
29. 【請求項２９】 コンピュータに前記初期手がかりｃｌｕｅ₀ を生成させる
    ように構成されたコンピュータ読み取り可能なプログラム・コードが、 ｃｌｕｅ₀＝ｒ°ｏｕｒＰｒｉ°ｔｈｅｉｒＰｕｂ^± をコンピュータに計算させるように構成されたコンピュータ読み取り可能なプロ
    グラム・コードを含み、ｏｕｒＰｒｉに前記秘密鍵が含まれ、ｔｈｅｉｒＰｕｂ
    ±には公開鍵が含まれることを特徴とする請求項２６に記載の製造品。
30. 【請求項３０】 コンピュータに２つの楕円曲線Ｅ⁺とＥ^-のうちどちらにつ
    いてｘ_texti が有効な座標であるかを決定させるように構成された前記のコンピ
    ュータ読み取り可能なプログラム・コードが、コンピュータに ｑ、ａ＝０、ｂ＝±１、ｃ≠２と仮定して、２つの可能な楕円曲線Ｅ±を得、 ２つの点Ｐ₁ ⁺とＰ₁ ^-がそれぞれ曲線Ｅ⁺およびＥ^-上にあるような２つの公開座
    標ｘ₁ ^±を仮定し、 ｘ_textiが有効な座標である曲線の符号を （ｘ_textiＱ（ｘ_texti））^(p+1)/2＝±ｘ_textiＱ（ｘ_texti）（ｍｏｄ ｐ） ｐ＝３（ｍｏｄ ４） により決定させるように構成されたコンピュータ読み取り可能なプログラム・コ
    ードを含むことを特徴とする請求項２６に記載の製造品。
31. 【請求項３１】 コンピュータに前記メッセージ座標を生成させるように構
    成された前記のコンピュータ読み取り可能なプログラム・コードが、コンピュー
    タにｍ_i：＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｘ_texti，ｃｌｕｅ_i ，＋１）を計算さ
    せるように構成されたコンピュータ読み取り可能なプログラム・コードを含むこ
    とを特徴とする請求項２６に記載の製造品。
32. 【請求項３２】 コンピュータに前記符号ｇを生成させるように構成された
    前記のコンピュータ読み取り可能なプログラム・コードが、ｅｌｌｉｐｔｉｃ＿
    ａｄｄ（ｍ_i，ｃｌｕｅ_i ，±１）の計算時にコンピュータにどの符号でｘ_texti を復元するかどうかを決定させるように構成されたコンピュータ読み取り可能な
    プログラム・コードを含むことを特徴とする請求項２６に記載の製造品。
33. 【請求項３３】 コンピュータに前記の後続の手がかりｃｌｕｅ_i+1 を生成
    させるように構成された前記のコンピュータ読み取り可能なプログラム・コード
    が コンピュータにｓ＝ｓ°Ｐ^± を計算させるように構成されたコンピュータ読 み取り可能なプログラム・コードと、 コンピュータにｃｌｕｅ_i+1 ＝ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｒ°ｃｌｕｅ_i ，
    ｓ，＋１）を計算させるように構成されたコンピュータ読み取り可能なプログラ
    ム・コードを含むことを特徴とする請求項２６に記載の製造品。
34. 【請求項３４】 さらに、前記受信側のコンピュータに 前記乱数ｒ、前記の第１の公開鍵／秘密鍵ペアの秘密鍵、および前記の第２の
    公開鍵／秘密鍵ペアの公開鍵から前記の初期手がかりｃｌｕｅ₀を決定するステ ップと、 どの楕円曲線に点ｍ_iが含まれるかを決定するステップと、 ｅｌｌｉｐｔｉｃ＿ａｄｄ（ｃｌｕｅ_i，ｍ_i，ｇ）を計算して、ｘ_textiを決 定するステップと、 現在の手がかりｃｌｕｅ_i と前記の乱数ｒおよびｓを使用して後続の手がかり
    ｃｌｕｅ_i+1 を計算するステップを実行させるように構成されたコンピュータ読
    み取り可能なプログラム・コードを含む請求項２７に記載の製造品。