JP2001511912A

JP2001511912A - 有限体上の離散対数暗号系の円分多項式構造

Info

Publication number: JP2001511912A
Application number: JP53570498A
Authority: JP
Inventors: アージェン・ケイ・レンストラ
Original assignee: シティバンク・エヌ・エイ
Priority date: 1997-02-14
Filing date: 1997-09-26
Publication date: 2001-08-14
Also published as: US6665405B1; ATE246418T1; CN1251715A; AU719462B2; CA2280775C; AU4653097A; KR20000071078A; EP0963635B1; CN1326351C; CA2280775A1; WO1998036526A1; CN101087195A; EP0963635A1; DE69723872D1

Abstract

(57)【要約】公開鍵暗号化方式及びディジタル署名方式を含む離散対数型公開鍵暗号系の非常に効率的な実行を可能にする有限体の乗法群の部分群を構成するのに円分多項式が使用される。体は最適正規基準で表現され、体の乗法群の部分群の生成元が公開鍵を形成するのに使用される。

Description

【発明の詳細な説明】有限体上の離散対数暗号系の円分多項式構造発明の背景本発明は、データセキュリティ、暗号化、及び、通信者の身元を確認するための電子署名の生成及び使用に関する。殆どの公開鍵暗号系は素因数分解問題又は離散対数(DL)問題を含んでいる。素因数分解問題は、非素数が与えられた場合、その素数への完全な因数分解を見つけるものである。DL問題は、gによって生成された群Ｇ及びＧの元hが与えられた場合、g^m=hとなる整数mを見つける、即ち、log_ghを数値計算するものである。公開鍵暗号系に対する幾つかの提案された方式は有限体の乗法群でDLを発見する計算上の困難匪に依存している。公開鍵暗号系は公開鍵暗号化方式及びディジタル署名方式を包含している。各ユーザが、全ての方式に必然的に当てはまらない公開鍵と秘密鍵を有し、当事者Ａが当事者Ｂに安全なメッセージを送信したいと仮定する。公開鍵暗号化方式においては、当事者Ａは当事者Ｂの公開鍵を暗号化に使用し、当事者Ｂはそれ自身の公開及び秘密鍵を暗号解読に使用する。ディジタル署名方式においては、当事者Ａは、それ自身の公開鍵及び秘密鍵をメッセージを準備するのに使用し、当事者Ｂは当事者Ａの公開鍵をメッセージを受信するのに使用する。即ち、メッセージを準備するために、公開鍵暗号化方式においては送信者は受信者の鍵情報を利用し、ディジタル署名方式においては送信者はそれ自身の鍵情報を利用する。メッセージを受信するために、公開鍵暗号化方式においては受信者はそれ自身の鍵情報を利用し、ディジタル署名方式においては受信者は送信者の鍵清報を利用する。典型的なディジタル署名方式は、系セットアップ、送信者による署名生成、及び、受信者による署名確認という３つのステップを有している。系セットアップは、メッセージの署名又は暗号化の十分前に発生すると想定されている。一般に、DL型公開鍵暗号系の系セットアップ中に、素数が選択されて群の生成元を入手するのに使用され、乱数が選択され、有限体の結果値を生成するのに生成元の指数として使用される。生成元と結果値のみが知られている場合に乱数を決定することはDL問題である。系セットアップの成果は公開鍵と秘密鍵である。公開鍵は公開知識であると想定され、素数、生成元、結果値及びその他の可能なパラメータを有する。秘密鍵は送信者にのみ知られていると想定され、乱数を有する。 DL型公開鍵暗号系の署名生成中に、第２の乱数が選択されて有限体の第２の結果値を生成するのに生成元の指数として使用される。生成元及び第２の結果値のみが知られている場合に第２の乱数を決定することはDL問題である。その後、署名されるメッセージ上の秘密鍵に基づく第３の値及び第２の結果値が得られる。署名生成の成果は第３の値及び少なくとも一の他のパラメータを有するディジタル署名である。 DL型公開鍵暗号系のディジタル確認中に、署名の公開鍵及び第３の値部分が指数的に第４の結果を生成するために組み合わされる。第４の結果は署名の少なくとも一の他のパラメータであれば、署名は有効であるとみなされる。系セットアップの累乗部分、署名生成及び署名確認は計算に費用と時間がかかる。権限を有しないユーザに対する計算上の困難性を維持しながら、権限を有するユーザに対する計算上の負担を、特に、署名生成中に、低減する技術が求められている。発明の要約本発明の側面によれば、公開鍵暗号系用の公開鍵及び秘密鍵を決定する方法及び装置は第１の素数を選択すること、第１の素数で数値計算された円分多項式を入手すること、第１の素数で数値計算された円分多項式の因数である第２の素数を入手すること、有限体の乗法群の部分群の生成元を発見し、部分群の位数が第２の素数であること、生成元及び選択整数に基づく公開値を入手すること、第１及び第２の素数、生成元及び公開値を含むように公開鍵を形成すること、選択整数を含むように秘密鍵を形成することを含む。本発明の更なる側面によれば、有限体は最適正規基準で表現可能である。本発明の異なる側面によれば、第２の素数ｑは、Ｂが所定数のビットである場合に本発明の別の側面によれば、制御整数t'が選択され、円分多項式はt'番目の円分多項式で、公開鍵は制御整数t'を含んでいる。本発明の更に別の側面によれば、メッセージのディジタル署名生成方法は更に、第２の整数を選択し、第２の整数及び生成元に基づく第１の署名値を入手し、第１の署名値及びメッセージに基づく第２の署名値を入手し、第１及び第２の署名値を含むようにディジタル署名を形成する。このように形成されたメッセージのディジタル署名確認方法は、第２の署名値の逆元である逆元整数を発見し、逆元整数及びメッセージに基づいて第１の中間値を発見し、逆元整数及び第１の署名値に基づいて第２の中間値を発見し、生成元、公開値及び第１及び第２の中間値に基づいて第３の中間値を発見し、第３の中間値が第１の署名値に等しい場合に署名が有効であることを決定する。公開鍵暗号系用の共有鍵決定方法は、第１の素数を選択し、第１の素数で数値計算された円分多項式を入手し、第１の素数で数値計算された円分多項式の因数である第２の素数を入手し、有限体の乗法群の部分群の生成元を発見し、部分群の位数は第２の素数であり、整数を選択し、生成元に基づく中間値を受信し、共有鍵を中間値及び整数の関数として形成する。メッセージの安全な通信方法は、第１の素数を選択し、第１の素数で数値計算された円分多項式を入手し、第１の素数で数値計算された円分多項式の因数である第２の素数を入手し、有限体の乗法群の部分群の生成元を発見し、部分群の位数は第２の素数であり、整数を選択し、生成元に基づく中間値を受信し、共有鍵を中間値と整数の関数として形成し、共有鍵を利用してメッセージを暗号化する。メッセージの安全な通信方法は、中間値及び選択整数の関数として共有鍵を利用して暗号化された暗号メッセージを受信し、中間値は有限体の乗法群の部分群の生成元に基づき、部分元の位数は第１の素数で数値計算された円分多項式の因数である第２の素数であり、共有鍵を利用して暗号メッセージを暗号解読する。メッセージの安全な通信方法は、第１の素数を選択し、第１の素数で数値計算された円分多項式を入手し、第１の素数で数値計算された円分多項式の因数である第２の素数を入手し、有限体の乗法群の部分群の生成元を発見し、部分群の位数は第２の素数であり、生成元及び第１の整数に基づく公開値を入手し、第２の整数を選択し、生成元及び第２の整数に基づく第１の暗号値を発見し、メッセージ、公開値及び第２の整数に基づく第２の暗号値を発見し、第１及び第２の暗号値から暗号メッセージを形成する。メッセージの安全な通信方法は、第１の暗号値及び第２の暗号値から形成された暗号メッセージを受信し、第１の暗号値は有限体の乗法群の部分群の生成元及び第１の整数に基づいており、部分群の位数は第１の素数で数値計算された円分多項式の因数である第２の素数であり、第２の暗号値は生成元及び第２の整数に基づく公開値、第１の整数及びメッセージに基づいており、第１の暗号値及び秘密鍵に基づく第１の中間値を発見し、秘密鍵は生成元に基づき、第２の暗号値及び第１の中間値に基づいて暗号メッセージを解読する。本発明をここでその全体を要約するつもりはない。むしろ、本発明の更なる特徴、側面及び長所は以下の説明及び図面において述べられて明らかにされる。図面の簡単な説明図1Aは、エルガマル(ElGamal)方式による系セットアップを示すフローチャートである。図1Bは、エルガマル方式による署名生成を示すフローチャートである。図1Cは、エルガマル方式による署名確認を示すフローチャートである。図2Aは、シュノール(Schnorr)及びDSA方式による系セットアップを示すフローチャートである。図2Bは、シュノール方式による署名生成を示すフローチャートである。図2Cは、シュノール方式による署名確認を示すフローチャートである。図2Dは、DSA方式による署名生成を示すフローチャートである。図2Eは、DSA方式による署名生成を示すフローチャートである。図3Aは、ECDSA方式による系セットアップを示すフローチャートである。図3Bは、ECDSA方式による署名生成を示すフローチャートである。図3Cは、ECDSA方式による署名確認を示すフローチャートである。図4Aは、本発明の系セットアップを示すフローチャートである。図4Bは、本発明の署名生成を示すフローチャートである。図4Cは、本発明の署名確認を示すフローチャートである。図4Dは、円分多項式係数表である。図4Eは、本発明のDES系セットアップを示すフローチャートである。図4Fは、本発明のDES系セットアップの暗号化を示すフローチャートである。図4Gは、本発明のDES系セットアップの暗号解読を示すフローチャートである。図4Hは、本発明のエルガマル系セットアップの暗号化を示すフローチャートである。図4Jは、本発明のエルガマル系セットアップの暗号解読を示すフローチャートである。図5Aは、公開鍵暗号系の方式の署名生成性能を比較する結果表である。図5Bは、公開鍵暗号系の方式の署名確認性能を比較する結果表である。図６は、図5A及び図5Bの性能結果を得るために暗号化及び暗号解読されたメッセージを示す表である。図7A-11Dは、図5A及び図5Bの性能結果を得るために、公開鍵暗号系の各々に対する公開鍵、秘密鍵、署名及び署名生成パラメータkを示す表である。図12は、本発明が実行可能な環境のブロック図である。好ましい実施例の詳細な説明公開鍵暗号化方式及びディジタル署名方式を含む離散対数型公開鍵暗号系の大変効率的な実行を可能にする有限体の乗法群の部分群を形成するのに円分多項式を使用する。有限体は最適正規基準で表現され、有限体の乗法群の部分群の生成元は公開鍵を形成するのに使用される。用途と実行の種類に依存して、円分方式による公開鍵暗号化は有限体の部分群の多くの従来の選択を使用する方式よりも最大３倍早い。提案されたディジタル署名方式は、ティ・エルガマル(T．ElGamal)、「離散対数に基づく公開鍵暗号系及び署名方式(A public key cryptosystem and a signa ture scheme based on discrete logarithms)」、IEEEトランスミッション・アンド・インフォメーション・テクノロジー(Trans.Info.Tech.)、31号469-472頁、198 5年において述べられているエルガマル方式と、C.Pシュノール、「スマートカードによる効率的署名生成(Efficient signature generation by smartcards)」、ジャーナル・オブ・クリプトロジー(J.Cryptology)、４号161-174頁、1991年において述べられているシュノール方式と、米国特許第5,231,668(クラビッツ(Kra vitz))、「ディジタル署名アルゴリズム(Digital signature algorithm)」、1993 年７月27日において述べられているディジタル署名アルゴリズム(DSA)方式と、アグニュー等(Agnew et al.)、「高速公開鍵暗号系の実行(An implementation fo r a fast public key cryptosystem)」、ジャーナル・オブ・クリプトロジー、３号63-79頁、1991年において述べられている楕円曲線ディジタル署名アルゴリズム(ECDSA)方式を含む。DSAは米国政府のディジタル署名基準に結合されている。これらの提案された方式は、ディジタル署名方式で使用されるように、議論されて本円分方式と比較される。用語 m ２値列からなる署名されるべきメッセージ p 素数 q p-1の素因数Ｌ pビットの長さ、事実上ＬはDLセキュリティレベルを決定する。Ｂ qビットの長さ、事実上Ｂは部分群DLセキュリティレベルを決定する。 F(p) 最小剰余モジュロpの集合{0,1,…,p-1}によって表現されるp元の体。 F(p)^* F(p)=F(p)-0の乗数群 H(・) 多くても所定数のビットの負ではない整数に２値列を写像する衝突抵抗暗号ハッシュ関数エルガマル系セットアップ図1Aは、エルガマル方式による電子署名系のセットアップ中に各ユーザ毎に実行されるステップを示している。このプロセスは汎用ディジタルコンピュータのプロセッサによって実行される。代替的に、このプロセスは汎用コンピュータと関連して使用される特別目的の配線基板や「スマートカード」、即ち、マイクロプロセッサを含むクレジットカード大の携帯可能なデバイスによって実行可能である。ステップ102で、L-1ビットを有する素数qが選択される。ステップ104で、値p=2q+1が計算される。ステップ106で、pが素数であるかどうかを決定するテストが行われる。qがL-1 ビットなのでpはＬビットを有する。 pが素数でなければプロセスはステップ102に復帰して別の素数を選択する。 pが素数であればプロセスはステップ108に進行して、p元の体F(p)の乗法群F(p )^*の元gをランダムに選択する。ステップ110で、g²≠1かどうか及びF(p)のg^q≠1かどうかを決定するテストが行われる。これらのテストのいずれかが失敗すればプロセスはステップ108に復帰してF(p)^*の別の元を元gとして選択する。 g²≠1でF(p)のｇ^q≠1であれば、元gは体F(p)の乗法群F(p)^*の生成元である。ステップ102-110で示された手順の代わりに、体F(p)及び生成元gを突き止めるのに別の手順が使用可能である。の範囲で選択する。ステップ114で、プロセスはF(p)のy=g^aを発見する。系セットアップの結果は公開鍵(p,g,y)及び秘密鍵(a)である。公開鍵は長さ3L ビットを有する。秘密鍵は長さＬビットを有する。公開鍵(p,g,y)から秘密鍵(a)を発見することは体F(p)の離散対数(DL)問題で、 pが十分に大きければ困難であると考えられている。現在、pの長さがＬビット、 L=1024である場合及びp-1の素因数が少なくとも160ビットを有する場合に適当な困難性が提供される。計算力がより増加するにつれてこれらのパラメータは権限のないユーザに対する計算上の困難性を維持するために増加する。エルガマル署名生成図1Bはエルガマル方式による特定文書の電子署名を生成する者によって実行されるステップを示している。文書はビット列mであるとみなされている。実際、生成者は汎用ディジタルコンピュータのプロセッサである。幾つかの実施例においては、プロセッサは、スマートカードなどの特別目的のディジタルコンピュータであってもよい。約数(GCD)を１に、即ち、p-1と互いに素なようにkは選択される。ステップ124で、k¹mod p-1、即ち、(k)(k^-1)=1mod p-1を満足する値が発見される。 H(・)は、系の全ユーザが同意した暗号ハッシュ関数である。例えば、適当な標準暗号ハッシュ関数は、バージニア州スプリング体国立技術情報サービスから入手可能な1995年４月17日FIPS180-1に定義された安全ハッシュアルゴリズム(Secure Hash Algorithm)SHA-1である。署名生成の結果はディジタル署名(r,s)である。署名は2Lビットの長さを有している。秘密鍵(a)のプロセッサのみが正しくメッセージに署名することができる。秘密鍵(a)の秘密性はDL問題により再び保護される。kがrからF(p)の離散対数log_er を計算することによって計算可能であればk^-1は計算可能で、s、m及びk^-1から秘密鍵(a)を引き出すことを可能にするだろう。その結果、kの特定値は秘密にされて再使用されないことが重要である。エルガマル署名確認図1Cは、署名が有効であるかどうかを決定するために、エルガマル方式により電子署名された文書を受信する者によって実行されるステップを示している。受信者は、メッセージ(m)と、図1Bにあるように入手された対応するディジタル署名(r.s)と、図1Aにあるように入手されて署名(r,s)を得るのに使用された公開鍵(p,q,y)を有すると想定されている。実際、受信者は汎用ディジタルコンピュータのプロセッサである。幾つかの実施例においては、プロセッサはスマートカードなどの特別目的のディジタルコンピュータであってもよい。うでなければステップ142で署名は無効と決定される。 rが適当な範囲であればステップ136でF(p)の値v₁=y^rr^sが計算される。次に、ステップ 138で、F(p)の値v₂=g^H(m)が計算される。ステップ140で、v₁=v₂であるかどうかを決定するテストが行われる。もしそうでなければ、ステップ142で署名が無効であると決定される。もしそうであれば、ステップ144で署名が有効であると決定される。シュノール/DSA系セットアップ図2Aはシュノール方式により電子署名系のセットアップ中に各ユーザ毎に実行されなければならないステップを示している。短い指数が使用されるので、署名の短縮と累乗の高速化のために、シュノール方式は大きな標数の素体の乗法群の小さい部分群の利用に関する。部分群位数が素数で十分に大きければ、部分群の使用は方式のセキュリティに影響を与えない。 DSA方式の系セットアップは、後述するように、DSA方式があるパラメータ（Ｂ及びＬ）の長さの値を特定しない点を除けばシュノール方式の系セットアップと同一である。ステップ202で、長さＢビットの素数qが選択される。DSA方式においては、Ｂは160に特定される。ステップ204で、整数kはランダムに選択される。好ましくは、権限のないユーザに対して十分なセキュリティを与えるためにkは750-864ビットの長さを有するが、これは処理能力が増加すると増加する。整数iに対して512+i^*64に特定されている。ステップ208で、pが素数であるかどうかを決定するテストが行われる。 pが素数でなければ、プロセスはステップ204に帰還し、別の整数kを選択する。 pが素数であれば、プロセスはステップ210に進行し、ランダムにF(p)^*の元hを選択する。ステップ212で、F(p)の値g=h^(p-1)/qが入手される。ステップ214で、F(p)のg≠1であるかどうかを決定するテストが行われる。テストが失敗すれば、即ち、g=1であれば、プロセスはステップ210に帰還し、F(p)^* の別の元を値hとして選択する。 F(p)のg≠1であれば、大きな標数の素体F(p)の乗法群の小さい部分群Ｇの生成元gが突き止められた。F(p)のg≠1でg^q=1であるので、生成元gは位数qを有する。ステップ202-214に示す手順の代わりに、別の手順が生成元gを配置するのに使用可能である。生成元ｇを配置した後、プロセスはステップ216に進行して２血勾-lの範囲の値ａをランダムに選択する。この範囲は、エルガマル方式に対する図1Aのステップ112の対応する範囲よりも小さいことが理解されるであろう。ステップ218で、プロセスはF(p)のy=g^aを発見する。yとgが与えられれば、値a を発見することは上述したように離散対数(DL)問題である。系セットアップの結果は公開鍵(p,g,y,q)と秘密鍵(a)である。公開鍵は3L+Bビットを有する。秘密鍵はＢビットを有する。秘密鍵(a)を公開鍵(p,g,y,q)から発見するために、体F(p)のDL問題又はgによって生成されたF(p)^*の部分群ＧのDL問題のどちらかを解く必要がある。 pは長さＬビットを有する素数でqは少なくともＢビットの長さを有するp-1の素因数である場合に、濃度pを有する体F(p)のDL問題は現在実行できないと信じられている。少なくともＢビットの長さを有するqを位数として有する部分群ＧのF(p)^*の部分群ＧのDL問題は、現在実行できないと信じられている。シュノール著名生成図2Bはシュノール方式による特定文書の電子署名を生成する者によって実行されるステップを示している。実際、生成者は汎用ディジタルコンピュータである。幾つかの実施例においては、プロセッサはスマートカードなどの特別の目的のディジタルコンピュータであってもよい。対応ステップである図1Bのステップ122はkの範囲にp-2の上限を使用している。p >>qであるので、シュノールによる公開鍵暗号系は、エルガマルによる公開鍵暗号系よりも小さい元を有するだろう。例えば、qが160ビットの長さを有すれば、 pは約1024の長さを有する。ので、ステップ226の計算は図1Bのステップ126の対応する計算、即ち、エルガマルによる公開鍵暗号系よりもずっと高速である。ステップ228で、値e=H(m‖r)、即ち、メッセージm及び署名元rの結合に適用されるハッシュ関数が入手される。暗号ハッシュ関数H(・)は長さ最大Ｂビットの値を生成すると想定されている。署名生成の結果はディジタル署名(s,e)である。署名は2Bビットの長さを有する。シュノール署名確認図2Cは、署名が有効であるかどうかを決定するためにシュノール方式による電子署名された文書を受信する者によって実行されるステップを示している。受信者は、メッセージ(m)と図2Bにあるように入手された対応するディジタル署名(s,e)、及び、図2Aにあるように入手されて署名(s.c)を入手するのに使用された公開鍵(p,g,y,q)を有すると想定されている。実際、受信者は汎用ディジタルコンピュータのプロセッサである。ある実施例においては、プロセッサは、スマートカードなどの特別目的のディジタルコンピュータであってもよい。ステップ236で、F(p)の値v=g^sy^-eが計算される。次に、ステップ238で値e'=H( m‖v)が計算される。ステップ240で、e=e'かどうかを決定するテストが行われる。そうでなければ、ステップ242で、署名が無効と決定される。そうならば、ステップ244で署名は有効と決定される。 DSA署名生成図2DはDSA方式による特定の文書の電子署名を生成するものによって実行されるステップを示している。実際、生成者は汎用ディジタルコンピュータのプロセッサである。ある実施例においては、プロセッサは、スマートカードなどの特別目的のディジタルコンピュータであってもよい。ステップ326で、k^-1mod qが発見され、即ち、(k)(k^-1)=1mod qを満足する値である。る値u=g^kが入手される。ステップ330で、値r=u mod qが計算される。ステップ333で、s=0かどうかを決定するテストが行われる。そうであれば、整数kに対する新しい値を選択するために処理はステップ324に帰還する。s≠0であれば、手順はステップ334に進行して終了する。署名生成の結果はディジタル署名(r,s)である。署名は長さ2Bビットを有する。 DSA署名確認図2Eは、署名が有効であるかどうかを決定するために、DSA方式により電子署名された文書を受信する者によって実行されるステップを示している。受信者は、メッセージ(m)と、図2Dにあるように入手された対応するディジタル署名(s,e)と、図2Aにあるように入手されて署名(r.s)を生成するのに使用された公開鍵(p,g,y,q)を有すると想定されている。実際、受信者は汎用ディジタルコンピュータのプロセッサである。ある実施例においては、プロセッサは、スマートカードなどの特別目的のディジタルコンピュータであってもよい。もしそうでなければ、ステップ352で署名は無効であると決定される。るかどうかを決定する。そうでなければ、ステップ352で署名は無効であると決定される。 sが適当な範囲内であれば、ステップ342で、sの逆元である整数w、即ち、ws=1 mod qが入手される。ステップ344で、値u1=wH(m)mod qが計算され、値u2=wr mod qが計算される。ステより入手される。ステップ348で、値v=c mod qが計算される。ステップ350で、v=rかどうかを決定するテストが行われる。そうでなければステップ352で署名は無効であると決定される。そうであれば、ステップ354で署名は有効であると決定される。 ECDSA系セットアップ図3Aは、ECDSA方式による電子署名系のセットアップ中に実行されなければならないステップを示している。ステップ402-416はグローバルに、即ち、全ユーザにとって、実行されなければならず、従って一回のみ実行されることを必要とする。ステップ420-424 は各ユーザによって実行される。 ECDSA系は２つの元の体の大きな拡張を利用することに関する。拡張体最適正規基準表現（アール・シー・ミュリン等(R.C.Mullin et al.)、「GF(p)の最適正規基準(Optimal normal bases in GF(p))」、ディスクリート・アブリケーション・マスマティックス(Discmte Appl.Math.)、22巻149-11頁、1988/89年を参照。）により、乗法は大変高速で２乗は循環シフトによって実行され、累乗も効率的にそう実行される。しかし、ハードウェア実行が必要である。更に、標数の体２は比較可能な大きさの他の体よりも攻撃を受けやすいと考えられている。 ECDSA方式は、t=Bであると想定されている場合に、全系列に及ぶ2^t元の有限体F( 2^t)を使用する。ステップ404で、曲線E=Y²+XY=X³+αX²+βの係数α，β∈F(2^t)が選択される。 ECDSA方式はF(2^t)の部分体上のF(2^t)の元を表現するのに最適正規基準の使用を想定している。曲線Ｅを使用することはこの最適正規基準を使用することを意味する。ステップ406で、μが計算される。値μは、x、y∈F(2^t)であるＥを満足する異なる対(x,y)の数に１を足したものである。即ち、Ｅの群は位数μを有する。換言すれば、これはμが曲線群の濃度であるということである。ステップ408で、μの因数が入手される。ステップ410で、少なくとも140ビットを有するμの素因数が存在するかどうかを決定するテストが行われる。そうでなければ処理はステップ404に帰還して新しい楕円曲線Ｅを選択する。少なくとも140ビットを有するμの素因数が存在すれば、ステップ412でqがこの素因数に等しく設定される。qが楕円曲線Ｅの群の位数の素数約数であることが理解されるであろう。好ましくは、qは少なくとも140ビットの長さを有する。Ｅの群は位数μを有して、qはμを除する。は位数qを有する。曲線Ｅの点gは曲線群の部分群である群Ｇを生成する。ステップ402-416の結果はグローバルな公開鍵(α,β,t,q,g)である。グローバルな公開鍵の長さは全員に知られているのであまり重要ではなく、個々の暗号又は暗号解読する者によって変わらない。れる。ステップ420-422の結果は長さB+1ビットのユーザ特定公開鍵(P)と、最大長さＢビットの秘密鍵(a)である。鍵はECDSA方式では小さいがこの方式は計算に費用がかかる。ユーザ特定公開鍵(P)から秘密鍵(a)を発見するために、曲線Ｅに関連付けられた群のDL問題又は曲線Ｅに関連付けられた群の部分群Ｇを解く必要がある。行できないと現在信じられている。 qが少なくとも140ビットを有する曲線群の位数qの部分群ＧのDL問題は楕円曲線暗号系の支持者によって実行できないと現在信じられている。 ECDSA署名生成図3BはECDSA方式により特定文書に対する電子署名を生成する者によって実行されるステップを示している。実際、生成者は汎用ディジタルコンピュータのプロセッサである。幾つかの実施例においては、プロセッサは、スマートカードなどの特別目的のディジタルコンピュータである。ステップ430で、k^-1mod q、即ち、(k)(k^-1)=1mod qを満足する値が発見される。される。は、有限体F(2^t)と整数の集合{0,1,…,2^t-1}との間で固定されて効率的に計算可能な全単射である。この全単射は系の全ユーザに知られている。ステップ435で、r=0であるかどうかを決定するテストが行われる。もしそうであれば、処理は整数kに対する新しい値を選択するためにステップ428に帰還する。もしr≠0であれば、処理はステップ436に進行する。ステップ437で、s=0かどうかを決定するテストが行われる。もしそうであれば、処理は整数kに対する新しい値を選択するためにステップ428に帰還する。もし s≠0であれば、処理はステップ438に進行して終了する。署名生成の結果は、ディジタル署名(r,s)である。署名は最大2Bビットの長さを有する。 ECDSA署名確認図3Cは、署名が有効であるかどうかを決定するために、ECDSA方式により電子署名された文書を受信する者によって実行されるステップを示している。受信者は、メッセージ(m)と、図3Bにあるように入手された対応するディジタル署名(r,s)と、図3Aにあるように入手されて署名(r,s)を得るのに使用された( α,β,t,q,g)及び(P)を含む公開鍵を有すると想定されている。実際、受信者は汎用ディジタルコンピュータのプロセッサである。幾つかの実施例では、プロセッサはスマートカードなどの特別目的のディジタルコンピュータであってもよい。もしそうでなければ、ステップ456で署名は無効と決定される。うかを決定する。もしそうでなければ、ステップ456で署名は無効と決定される。 sが適当な範囲にあれば、ステップ446で、sの逆元である整数w、即ち、ws=1mo d qが入手される。ステップ448で、値u1=wH(m)mod qが計算され、値v2=wr mod qが計算される。ステステップ454で、v=rであるかどうかを決定するテストが行われる。そうでなければ、ステップ456で署名が無効であると決定される。そうであれば、ステップ4 58で署名が有効であると決定される。円分系セットアップ図4Aは、本発明の円分方式による電子署名系のセットアップ中に各ユーザ毎に実行されなければならないステップを示している。図4Aに示された処理の目的は、gが、Ｌの選択を決定する所望の離散対数セキュリティレベル(Discrete Logar ithm Security Level)とＢの選択を決定する部分群離散対数セキュリティレベル (Subgroup Discrete Logarithm Security Level)の両方を満足するように、かつ、F(p)上のF(p^t')に対する最適正規基準が存在するように、有限体F(p^t')の乗法群F(p^t')^*の部分群の生成元gを発見することである。円分方式は、シュノール方式のように部分群を利用し、ECDSA方式のように最適正規基準も利用する。部分群の使用は短い署名と短い指数をもたらす。最適正規基準は効率的累乗をもたらす。その結果、円分方式のソフトウェア実行はシュノール方式のソフトウェア実行よりも実質的に高速になる。Ｒが基の大きさであるとする。Ｒの値は機械依存性で、計算mod pが高速に進行するために十分小さいように選択されるが、累乗は高速で進行することができるように十分大きい。pのより大きな値はt'のより小さい値をもたらし、体F(p^t' )の乗法毎の(t')²演算が要求されるのでt'の小さい値が望ましい。また、pのより大きな値は構成可能な暗号系の選択を拡張する。現在入手可能な32ビットアーキテクチャ汎用コンピュータに対してはR=32が適当な値である。より新しい64ビットアーキテクチャに対してはR=64が適当な値である。他の実施例においては、Ｒの別の値が適当であり、本発明の技術を実施するコンピュータの（ビットの）語長に必ずしも等しくない。ステップ502で、制御整数t'及び整数t、sは以下のように選択される。はより高い効率性をもたらす。整数sは素数pの大きさを制限するのに使用され (ii) t'>1、好ましくは、t+1が素数でt'/tが、例えば、t'/t<5と小さくなるようなt'が因数t>1を有するようにされる。制御整数t'は、Ｌに反映されている所望の離散対数セキュリティレベルに関係する素数pのビット数の広範囲の選択を可能にする。より特定的には、素数pの値は、上述したように機械依存性であるＲの値に依存する。制御整数t'は素数pのビット数によって除されるＬに略等しい。留意されるように、t+1は素数でなければならない。理想的には、t'=tである。しかし、t+1が素数でt'/tが小さい場合にt'が因数t>1 を有している限り、t'+1が素数でないようにt'の値が使用されなければならない。即ち、tに加えてt'の使用はより多くの柔軟住を与える。 (iii) t'^*sはＬに近い。ように、φ(t')^*sは少なくともＢであるがＢよりも大きすぎない。関数 φ(t)はオる。ステップ506で、pがF(t+1)^*の原始根mod t+1、即ち、p mod t+1がF(t+1)^*を生成するかる数が入手されたことをチェックすることによって実行可能である。そうでなければ、処理は別の素数pを選択するためにステップ504に帰還する。 pが原始根mod t+1であれば、ステップ508で、ｐ、Φ_1'(p)で数値計算されたt' 番目の円分多項式が入手される。 Z[x]のX^t-1の約されない素因数分解は、 X^t-1=II_d|tΦ_d(X) で与えられ、ここでΦ_d(X)は、ここで参照して結合されるエイチ・ライセル(H.R iesel)、素数及び素因数分解のコンピュータ方法(Prime Number and Computer M ethods for Factorization)、バークホーザー(Birkhauser)、1985年に説明されているように、d番目の円分多項式である。因数Φ_t(X)は、s<tであるtの約数sに対するX^-s-1の素因数分解に現れないX^-t-1の約せない因数である。 Φ_t(X)の一方向入手は、上述したように素因数分解一致を使用することによるものである。Φ_t(X)を入手する別の方法は、図4Dに示す表のような円分多項式計数表のΦ の表を使用すると、例えば、Φ₁₈(X)=X⁶-X³+1及びΦ₅₄(X)=X¹⁸-X⁹+1であることが分かるであろう。ステップ510で、Φ_t'(p)の大きな素因数qが入手される。円分方式で使用されて後述するように構成される部分群が位数qを有してqはΦ_t(p)の約数であるので、対応する DL計算は権限のない者にとって困難になる。 F(p^t')の真の部分体に埋め込まれることができないF(p^t')の乗法群F(p^t')^*の十分大きな部分群を構成可能であることを確実にする。換言すれば、DL問題を解くために、即ち、y及びgが与えられれば値aを発見するために、体F(p^t')全体又はg によって生成された部分群においてDL問題を解くことが必要であるが、DL問題は F(p^t')の真の部分体のDL問題に低減されないので、計算上の困難陣は権限のない者に対して低減されない。であれば、別の素数pを選択するために、処理はステップ504に帰還する。れ、ここで各αⁱはf_t(X)=(X^t+1)/(X-1)=X^t+X^t-1＋…X+1のゼロである。ケース１ tが存在してt'=tであれば、F(p^t'/t)は整数mod pによって表現され、F(p^t')のp番目のべきが基本元αⁱの単なる順列で、従って計算が安価となる。このためF(p^t')の乗法及び２乗は大変効率的に実行可能である。ケース２ tが存在してt'≠tであれば、F(p^t'/t)の元はF(p)上の便利な基準を利用して表現される。この場合、p番目のべきはF(p^t')の極少数の演算のみを必要とし、F(p^t')の乗法及び２乗は効率的に実行可能である。t'/tが小さい場合には、暗号系実行のF(p^t')の算術効率差はケース１及びケース２で無視できる。ケース３ tが存在しなければ、F(p^t')はいかなる便宜な方法によっても、好ましくは、F(p^t')の乗法と２乗を高速で実行するのに散在最小多項式を使用して、表現される。ステップ516で、F(p^t')の元bがランダムに選択される。ステップ518で、F(P^t')の以下の値が入手される。最適正規基準がF(p^t')を表現するのに使用されるのでgの計算は大変効率的である。ステップ520で、F(p^t')でg≠1かどうかを決定するテストが行われる。そうでなければ、即ち、g=1であれば、処理は別の元bを選択するためにステップ516に帰還する。 g≠1であればgはF(p^t')の有限体F(p^t')の乗法群F(p^t')^*の部分群Ｇの生成元である。部分群ステップ524で、F(p^t')の値y=g^aが計算される。y及びgが与えられた場合の値a の発見はDL問題である。系セットアップの結果は公開鍵(p,g,y,q,t')及び秘密鍵(a)である。パラメータg及びyは最適正規基準を利用して表現される。公開鍵は長さ2L+B+64ビットを有する。秘密鍵は長さＢビットを有する。セキュリティはシュノール方式にあるように、そして、Ｇが効果的に真の部分群に埋め込まれることができないようにqがpで数値計算されたt番目の円分多項式の少なくともＢビットの長さを有する素因数である場合に部分群Ｇは位数qを有するという事実によって確信される。上述したように、最適正規基準の元の再配列のみを含むため円分方式において p番目のべきは計算が容易である。これは円分方式の重要な計算上の長所である。円分方式の計算はソフトウェア実行に適している短い行の長さ(log₂p)ビットを有し、ECDSA方式はハードウェア実行により適している長さ１ビットの長い行を有している。即ち、円分基底体F(p)は長さ(log₂p)ビットの元を有しており、E CDSA基底体F(2)は長さ１ビットの元を有している。円分署名生成図4Bは、円分方式による特定文書に対する電子署名を生成する者によって実行されるステップを示している。実際、生成者は汎用ディジタルコンピュータである。幾つかの実施例においては、プロセッサは、スマートカードなどの特別目的ディジタルコンピュータであってもよい。ステップ532で、k^-1 mod q、即ち、(k)(k^-1)=1mod qを満足する値が発見される。ステップ534で、F(p^t')の値u=g^kが発見される。は、有限体F(p^t')と整数の集合{0,1,…,p^t'-1}との間で固定されて効率的に計算可能な全単射である。この全単射は系のユーザに既知である。これは、ECDSA方式用の図3Bのステップ434で使用されるものと異なる全単射である。ステップ537で、r=0かどうかを決定するテストが行われる。そうであれば、整数kに対する新しい値を選択するために、処理はステップ530に帰還する。もしr ≠0であれば、手順はステップ538に進行する。ステップ539で、s=0かどうかを決定するテストが行われる。もしそうであれば、整数kに対する新しい値を選択するために、処理はステップ530に帰還する。もしs≠0であれば、手順はステップ540に進行して終了する。署名生成の結果はディジタル署名(r,s)である。署名は2Bビットの長さを有する。円分署名確認図4Cは、署名が有効であるかどうかを決定するために、円分方式によって電子署名された受信する者によって実行されるステップを示している。受信者は、メッセージ(m)と、図4Bにあるように入手された対応するディジタル署名(r,s)と、図4Aにあるように入手されて署名(r，s)を生成するのに使用された公開鍵(p,q,y,q,t')を有すると想定されている。実際、受信者は、汎用ディジタルコンピュータのプロセッサである。幾つかの実施例においては、プロセッサは、スマートカードなどの特別目的用ディジタルコンピュータである。うでなければ、ステップ558は、署名が無効であると決定される。るかどうかを決定する。そうでなければ、ステップ558で、署名が無効であると決定される。 sが適当な範囲にあれば、ステップ548で、sの逆元である整数w、即ち、ws=1mo d qが入手される。ステップ550で、値u1=wH(m)mod qが計算され、値u2=wr mod qが計算される。ステップ552で、F(p^t')の値v'=g^u1y^u2が計算される。ステップ554で、値v=χ(v' )mod qが発見される。ステップ556で、v=rであるかどうかを決定するテストが行われる。もしそうでなければ、ステップ558で、署名は無効であると決定される。もしそうであれば、ステップ560で署名は有効であると決定される。円分代替案上述したように、円分方式の適用可能性は電子署名系に限定されるものではない。円分方式は、そのセキュリティがDL問題、例えば、ディフィ−ヘルマン(Dif fie-Hellman)鍵交換方式、エルガマル公開鍵暗号方式又はエルガマル、シュノール及びDSA方式にあるようにディジタル署名生成及び確認方式の困難性に依存するいかなる公開鍵暗号系においても使用可能である。提案された公開鍵暗号方式は、バージニア州スプリングフィールドの国立技術情報サービスから入手可能でFIPS46-2、1993年に述べられているデータ暗号化基準(DES)と、ティ・エルガマル(T.ElGamal)、「離散対数に基づく公開鍵暗号系及び署名方式」、IEEEトランスミッション・アンド・インフォメーション・テクノロジー（Trans.info.Tech.)、31号469-472頁、1985年に述べられているエルガマル旅を含む。これらの提案された方式に対する円分計画の適用を以下に説明する。以下に述べられた技術を実施するユーザは、これらの技術を実行するようにプログラムされている汎用ディジタルコンピュータを有していると想定されている。代替的にこれらの技術は、汎用コンピュータと関連して又はスマートカード、即ちマイクロプロセッサを含むクレジットカード大の携帯可能デバイス、によって使用されたりする特別目的の配線基板によって実行可能である。図4Eは、本発明によるDES系セットアップを示すフローチャートである。特に、図4Eは、円分方式の適用によって修正されたディフィ−へルマン鍵交換方式を示している。ステップ600で、全ユーザは、図4Aのステップ500-520により入手されたグローバル共有公開鍵(p,g,q,t')を有するように想定されている。反対に、上述したエルガマル、シュノール、DSA及び円分ディジタル署名方式においては、各ユーザは公開鍵及び秘密鍵に関連付けられており、即ち、グローバル共有公開鍵は存在しない。当事者Δ及びΘが通信を希望すれば、彼等は共有鍵を設定するために最初に情報交換しの範囲の値a_Δを選択し、ステップ604でF(p^t')の y_Δ=g^αΔ を発見する。ステップ606で当事者Δはy_Δを当事者Θに送信する。ステップ608で当事者Δ はy_Θを当事者Θから受信する。ステップ610で、当事者ΔはF(p^t')の y₀=χ(y_Θ ^αΔ) を計算する。関数χ(・)は、有限体F(p^t')と、図4Bのステップ536に使用された整数の集合{0,1,…,p^t'-1}との間の固定されて効率的に計算可能な全単射である。関数χ(・)を適用することは絶対的に必要ではないが、有限体の最適正規基準で表現された元を通常の整数に変換するために好ましい。テップ605はF(p^t')の y_Θ=g^αΘ を発見する。ステップ607で、当事者Θはy_Θを当事者Δに送信する。ステップ60 9で当事者Θは当事者Δからy_Δを受信する。ステップ611で、当事者ΘはF(p^t') の y₀=χ(y_Δ ^αΘ) を計算する。ステップ612で当事者Δ及びΘは共有鍵(y₀)を設定した。gによって生成された部分群で計算がなされた。権限のない者は当事者Δ及びΘ間の通信を暗号解読するためにDL問題を解くことが必要であることが理解されるであろう。図4Fは、本発明によるDES系セットアップの暗号化を示すフローチャートである。本質的に、ステップ622で当事者Δ及びΘの一人がメッセージを暗号化するのに有鍵(y₀)を使用する。図4Gは、本発明によるDES系セットアップの暗号解読を示すフローチャートである。本質的に、ステップ632で当事者Δ及びΘの他方がステップ622で暗号メッセージを解読するのに共有鍵(y₀)を使用する。上述したエルガマルディジタル署名方式とは異なるエルガマル公開鍵暗号化方式に対して、公開鍵(p,g,y,q,t')及び秘密鍵(a)を互いに得るために、図4Aに示されたステップ500-526 が実行されたと想定する。権限を有しない者はDL問題を解くことを要求する暗号メッセージを解読するための秘密鍵(a)を決定する必要があることが理解されるであろう。図4Hは、円分方式によるエルガマル系セットアップ用の暗号化を示すフローチャートに整数kを選択する。ステップ704で、F(p^t')の値γ=g^kが入手される。ステップ7 06で、F(p^t')の値λ=χ^-1(m)^*y^kが入手される。関数χ^-1(・)は、図4Bのステップ 536で使用された関数χ(・)の逆元である。ステップ708での成果は暗号メッセージ(γ,λ)である。図4Jは、円分方式によるエルガマル系セットアップの暗号解読を示すフローチャートである。ステップ722で、暗号メッセージ(γ,λ)の暗号解読を希望する者は、F(p^t')の値ζ=γ^qaを発見して、ステップ724でF(p^t')の値η=λζを発見する。ステップ726で、暗号解読されたメッセージm'が{0,1,…,p^t'-1}のm'=χ(η) として入手される。全ての累乗はgによって生成された部分群に発生する。性能比較図5Aは、公開鍵暗号系に対する方式の署名生成性能比較結果表である。比較された方式は、ソフトウェア実行を使用したエルガマル、シュノール、DSA及び円分であった。ECDSA方式は、効率化にハードウェア実行が必要であるため評価されなかった。パラメータＢはエルガマル方式に関係しないので、ケース「C」及び「D」はエルガマル方式で同一である。実際問題として、DSA方式は、ケース「A」及び「C 」にのみ対応実施例においては、整数メッセージのみが使用され、エルガマルに対してmod p-1が採用され、その他に対してmod qが採用された。ハッシュは使用されなかった。ハッシュの計算時間は無視できるので、ハッシュの省略は性能結果を歪めない。特に、図5Aは、各方式毎にソフトウェア実行を使用するペンティアム166MHzプロセッサの秒のランタイムを示している。エルガマル方式からシュノール方式に移行すると部分群の使用による性能改善が見られる。DSA方式の性能はシュノール方式の性能と殆ど同一である。シュノール方式から円分方式に移行すると、最適正規基準の使用による更なる性能改善が見られる。特に、図5Aの実施例に対して、円分方式は、シュノール方式の性能よりも約３倍高速である性能をもたらす。図5Bは、図5Aの表に報告されている実施例に対する公開鍵暗号系に対する方式の署名確認性能比較結果表である。署名生成に関する限り、円分方式は、シュノール方式の性能よりも約３倍高速である性能をもたらす。図６は図5A及び図5Bの性能結果を得るための、署名されたメッセージと確認された署名を示す表である。図7A-11Dは、図5A及び図5Bの性能結果を得るのに使用される実施例において、公開鍵暗号系毎に公開鍵、秘密鍵、署名及び署名生成パラメータkを示す表である。タイミングは10の異なる代表メッセージに対する成果を平均化することによって生成された。実際、署名生成パラメータは当事者間で交換されない。ここで、結果が便宜に再生されるようにそれは含まれる。方式に対して値は小数表現である。実施例を比較することによって、エルガマル方式（図7A、8A、9A、10A、11A）は最長値を使用するが、円分方式（図7D、8D、9D、10D、11D）は最短値を使用することが分かるだろう。更に、データセキュリティが増加して図5A及び図5Bにあるケース「A」からケース「E」に移行すると、全ての方式における値の長さは増加する。図12は円分方式が実行可能な環境のブロック図である。汎用コンピュータ10は暗号プロセッサ11と、通信インターフェース12と、メインプロセッサ13と、メモリ14と、通信バス15と、通信線16とを有している。メモリ14はRAM、ROM、磁気ディスク、光ディスクその他のメモリ媒体を含むことができる。通信ライン16はワイヤ線、RF ワイヤセン、光学線、又は、その他いかなる通信媒体であってもよい。スマートカード20は、プロセッサ21と、メモリ22と、通信インターフェース23と、通信バス24と、通信線25とを有する。汎用コンピュータ10及びスマートカード20は、通信チャネル30に結合されている。中央機能40も通信線41を介して通信チャネル30 に結合されている。中央機能40は、汎用コンピュータ10及びスマートカード20に関して理解されるように、円分方式を実施するために適当な処理ハードウェア及びソフトウェアを含んでいる。汎用コンピュータ10は、暗号方式に従って動作するのに十分なメモリを含む暗号プロセッサ11へメインプロセッサ13によって案内された呼を含むメモリ14に格納されたソフトウェアを実行する。スマートカード20は、円分方式に従ってメモリ22に格納されたソフトウェアを実行する。中央機能40は、円分方式を利用してグローバル情報を生成して全ての当事者にそれを分配するように機能する。グローバル情報の例は図4Eのステップ600に示されたグローバル公開鍵である。本発明の例示的実施例とその様々な変形例を添付図面を参照してここで詳細に説明したが、本発明は実施例に正確には限定されず、本発明の範囲又は本旨を逸脱せずに添付の特許請求の範囲に画定されているように、様々な変形及び更なる変更が当業者によって可能であることが理解されるであろう。

【手続補正書】特許法第１８４条の８第１項【提出日】平成１１年８月２日（１９９９．８．２）【補正内容】明細書１．外国語特許出願２０頁に相当する明細書翻訳文２０頁２行目乃至２１頁４行目ように、φ(t')^*sは少なくともＢであるがＢよりも大きすぎない。関数 φ(t)はオる。ステップ506で、pがF(t+1)^*の原始根mod t+1、即ち、p mod t+1がF(t+1)^*を生成するかる数が入手されたことをチェックすることによって実行可能である。そうでなければ、処理は別の素数pを選択するためにステップ504に帰還する。 pが原始根mod t+1であれば、ステップ508で、p、Φ_t'(p)で数値計算されたt' 番目の円分多項式が入手される。 Z[x]のX^t-1の約されない素因数分解は、 X^t-1=II_d|tΦ_d(X) で与えられ、ここでΦ_d(X)は、エイチ・ライセル(H.Riesel)、素数及び素因数分解のコンピュータ方法(Prime Number and Computer Methods for Factorization )、バークホーザー(Birkhauser)、1985年に説明されているように、d番目の円分多項式である。因数Φ_t(X)は、s<tであるtの約数sに対するX^s-1の素因数分解に現れないX^t-1の約せない因数である。 Φ_t(X)の一方向入手は、上述したように素因数分解一致を使用することによるものである。Φ_t(X)を入手する別の方法は、図4Dに示す表のような円分多項式計数表のΦ の表を使用すると、例えば、Φ₁₈(X)=X⁶-X³+1及びΦ₅₄(X)=X¹⁸-X⁹+1であることが分かるであろう。ステップ510で、Φ_t'(p)の大きな素因数ｑが入手される。円分方式で使用されて後述するように構成される部分群が位数qを有してqはΦ_t'(p)の約数であるので、対応するDL計算は権限のない者にとって困難になる。２．外国語特許出願２４頁に相当する明細書翻訳文２４頁３行目乃至２５頁５行目と、図4Aにあるように入手されて署名(r,s)を生成するのに使用された公開鍵(p,q,y,q,t')を有すると想定されている。実際、受信者は、汎用ディジタルコンピュータのプロセッサである。幾つかの実施例においては、プロセッサは、スマートカードなどの特別目的用ディジタルコンピュータである。うでなければ、ステップ558は、署名が無効であると決定される。るかどうかを決定する。そうでなければ、ステップ558で、署名が無効であると決定される。ステップ550で、値u1=wH(m)mod qが計算され、値u2=wr mod qが計算される。ステップ552で、F(p^t')の値、v'=g^u1y^u2が計算される。ステップ554で、値v=χ( v')mod qが発見される。ステップ556で、v=rであるかどうかを決定するテストが行われる。もしそうでなければ、ステップ558で、署名は無効であると決定される。もしそうであれば、ステップ560で署名は有効であると決定される。円分代替案上述したように、円分方式の適用可能性は電子署名系に限定されるものではない。円分方式は、そのセキュリティがDL問題、例えば、ディフィ−ヘルマン(Dif fie-Hellman)鍵交換方式、エルガマル公開鍵暗号方式又はエルガマル、シュノール及びDSA方式にあるようにディジタル署名生成及び確認方式の困難性に依存するいかなる暗号系においても使用可能である。提案された暗号方式は、バージニア州スプリングフィールドの国立技術情報サービスから入手可能でFIPS46-2、1993年に述べられているデータ暗号化基準(DES )と、ティ・エルガマル(T.ElGamal)、「離散対数に基づく公開鍵暗号系及び署名方式」、IEEEトランスミッション・アンド・インフォメーション・テクノロジー(Tra ns.Info.Tech.)、31号469-472頁、1985年に述べられているエルガマル方式を含む。これらの提案された方式に対する円３．外国語特許出願２９頁に相当する明細書翻訳文２９頁５行目乃至１９行目る。中央機能40も通信線41を介して通信チャネル30に結合されている。中央機能 40は、汎用コンピュータ10及びスマートカード20に関して理解されるように、円分方式を実施するために適当な処理ハードウェア及びソフトウェアを含んでいる。汎用コンピュータ10は、暗号方式に従って動作するのに十分なメモリを含む暗号プロセッサ11へメインプロセッサ13によって案内された呼を含むメモリ14に格納されたソフトウェアを実行する。スマートカード20は、円分方式に従ってメモリ22に格納されたソフトウェアを実行する。中央機能40は、円分方式を利用してグローバル情報を生成して全ての当事者にそれを分配するように機能する。グローバル情報の例は図4Eのステップ600に示されたグローバル公開鍵である。本発明の例示的実施例とその様々な変形例を添付図面を参照してここで詳細に説明したが、本発明は実施例に正確には限定されず、本発明の範囲を逸脱せずに添付の特許請求の範囲に画定されているように、様々な変形及び更なる変更が当業者によって可能であることが理解されるであろう。請求の範囲外国語特許出願３０頁乃至３６頁に相当する特許請求の範囲翻訳文全文１．第１の素数を選択するステップ(504)と、前記第１の素数で数値計算された円文多項式を入手するステップ(508) と、前記第１の素数で数値計算された前記円文多項式の因数である第２の素数を入手するステップ(510)と、有限体の乗法群の部分群の生成元を発見するステップであって、前記部分群の位数は前記第２の素数であるステップ(518)と、前記第１及び第２の素数及び生成元を含むように前記公開鍵を形成するステップ(526)とを有する離散対数暗号系用公開鍵決定方法。２．最適正規基準で前記有限体を表現するステップを更に有する請求項１記載の方法。求項１記載の方法。４．制御整数t'を選択するステップを更に有し、前記円文多項式は t'番目の円文多項式であり、前記公開鍵は前記制御整数t'を含む請求項１記載の方法。５．請求項１の方法により形成された公開鍵を利用してメッセージ用のディジタル署名生成方法であって、前記生成元及び第１の整数に基づいて公開値を入手するステップ(524) と、第２の整数を選択するステップ(530)と、前記第２の整数及び前記生成元に基づいて第１の署名値を入手するステップ(536)と、前記第１の署名値及び前記メッセージ(538)に基づいて第２の署名値を入手するステップ(538)と、第１及び第２の署名値を含むディジタル署名を形成するステップ(540) とを有する方法。６．最適正規基準で前記有限体を表現するステップを更に有する請求項５記載の方法。求項５記載の方法。８．制御整数t'を選択するステップを更に有し、前記円文多項式は t'番目の円文多項式である請求項５記載の方法。９．前記第１の署名値は前記第２の整数のべきに上げられた前記生成元の全単射に基づく請求項５記載の方法。 10．前記第２の署名値は前記第１の署名値を前記メッセージの暗号ハッシュに結合することに基づく請求項５記載の方法。 11．請求項５により形成されたメッセージのディジタル署名確認方法であって、前記第２の署名値の逆元である逆整数を発見するステップ(548)と、前記逆整数及び前記メッセージに基づいて第１の中間値を発見するステップ(550u1)と、前記逆整数及び前記第１の署名値に基づいて第２の中間値を発見するステップ(550u2)と、前記生成元、前記公開値及び前記第１及び第２の中間値に基づいて第３の中間値を発見するステップ(554)と、前記第３の中間値が前記第１の署名値に等しい場合に前記署名が有効であると決定するステップ(556)とを有する方法。 12．前記第３の中間値は、第２の中間値のべきに上げられた公開値が掛けられた前記第１の中間値のべきに上げられた生成元の全単射である請求項 11記載の方法。 13．請求項１の方法によって形成された公開鍵を利用して供給鍵を決定する方法であって、第１の整数を選択するステップ(602)と、前記生成元に基づいて中間値を受け取るステップ(608)と、前記中間値及び前記整数の関数として前記共有鍵を形成するステップ(6 10)とを有する公開鍵暗号系の共有鍵決定方法。 14．最適正規基準で前記有限体を表現するステップを更に有する請求項13記載の方法。 15．前記生成元及び前記整数に基づく第２の中間値を発見するステップ(604)と、前記共有鍵を共有する者に前記第２の中間値を送信するステップ( 606)とを更に有する請求項13記載の方法。 16．請求項13の方法によって形成される前記共有鍵を利用したメッセージの安全な通信方法であって、前記共有鍵により前記メッセージを暗号化するステップを有する方法。 17．最適正規基準で前記有限体を表現するステップを更に有する請求項16記載の方法。 18．メッセージの安全な通信方法であって、請求項13の方法によって形成される前記共有鍵を利用して暗号化された暗号メッセージを受け取るステップと、前記共有鍵を使用して前記暗号メッセージを解読するステップとを有する方法。 19．請求項１により形成された公開鍵を利用したメッセージの安全な通信方法であって、前記生成元及び第１の整数に基づいて公開値を入手するステップ(524) と、第２の整数を選択するステップ(702)と、前記生成元と第２の整数に基づいて第１の暗号値を発見するステップ(7 04)と、前記メッセージ、前記公開値及び前記第２の整数に基づいて第２の暗号値を発見するステップ(706)と、前記第１及び第２の暗号値から暗号メッセージを形成するステップ(708 )を有する方法。 20．最適正規基準で前記有限体を表現するステップを更に有する請求項19記載の方法。 21．メッセージの安全な通信方法であって、請求項１により公開鍵を利用して暗号化された暗号メッセージを受け取るステップと、前記第１の暗号値と、前記生成元に基づく秘密鍵に基づいて第１の中間値を発見するステップ(724)と、前記第２の暗号値及び前記第１の中間値に基づいて前記暗号メッセージを解読するステップ(726)とを有する方法。 22．第１の素数を選択する手段と、前記第１の素数で数値計算された円文多項式を入手する手段と、前記第１の素数で数値計算された前記円文多項式の因数である第２の素数を入手する手段と、有限体の乗法群の部分群の生成元を発見する手段であって、前記部分群の位数は前記第２の素数である手段と、前記第１及び第２の素数及び前記生成元を含むように前記公開鍵を形成する手段とを有する離散対数暗号系用の公開鍵決定装置。 23．最適正規基準で前記有限体を表現する手段を更に有する請求項 22記載の装置。求項22記載の装置。 25．制御整数t'を選択する手段を更に有し、前記円文多項式はt'番目の円文多項式であり、前記公開鍵は前記制御整数t'を含む請求項22記載の装置。 26．前記生成元及び選択整数に基づく公開値を入手するステップを更に有し、前記公開鍵は公開値も有する請求項１記載の方法。 27．前記選択整数を含む秘密鍵を形成するステップを更に有する請求項１記載の方法。 28．前記生成元及び選択整数に基づく公開値を入手する手段を更に有し、前記公開鍵は公開値も有する請求項22記載の装置。 29．前記選択整数を含む秘密鍵を形成する手段を更に有する請求項 22記載の装置。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＨＵ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＷ

Claims

【特許請求の範囲】１．第１の素数を選択するステップと、前記第１の素数で数値計算された円文多項式を入手するステップと、前記第１の素数で数値計算された前記円文多項式の因数である第２の素数を入手するステップと、有限体の乗法群の部分群の生成元を発見するステップであって、前記部分群の位数は前記第２の素数であるステップと、前記生成元と選択整数に基づいて公開値を入手するステップと、前記第１及び第２の素数、生成元及び公開値を含むように前記公開鍵を形成するステップと、選択整数を含むように秘密鍵を形成するステップとを有する公開鍵暗号系の公開及び秘密鍵決定方法。２．最適正規基準で前記有限体を表現するステップを更に有する請求項１記載の方法。求項１記載の方法。４．制御整数t'を選択するステップを更に有し、前記円文多項式は t'番目の円文多項式であり、前記公開鍵は前記制御整数t'を含む請求項１記載の方法。５．メッセージのディジタル署名生成方法であって、第１の素数を選択するステップと、前記第１の素数で数値計算された円文多項式を入手するステップと、前記第１の素数で数値計算された前記円文多項式の因数である第２の素数を入手するステップと、有限体の乗法群の部分群の生成元を発見するステップであって、前記部分群の位数は前記第２の素数であるステップと、前記生成元と第１の整数に基づいて公開値を入手するステップと、第２の整数を選択するステップと、前記第２の整数及び前記生成元に基づいて第１の署名値を入手するステップと、前記第１の署名値及び前記メッセージに基づいて第２の署名値を入手するステップと、第１及び第２の署名値を含むディジタル署名を形成するステップとを有する方法。６．最適正規基準で前記有限体を表現するステップを更に有する請求項５記載の方法。求項５記載の方法。８．制御整数t'を選択するステップを更に有し、前記円文多項式は t'番目の円文多項式である請求項５記載の方法。９．前記第１の署名値は前記第２の整数のべきに上げられた前記生成元の全単射に基づく請求項５記載の方法。 10．前記第２の署名値は前記第１の署名値を前記メッセージの暗号ハッシュに結合することに基づく請求項５記載の方法。 11．請求項５により形成されたメッセージのディジタル署名確認方法であって、前記第２の署名値の逆元である逆整数を発見するステップと、前記逆整数及び前記メッセージに基づいて第１の中間値を発見するステップと、前記逆整数及び前記第１の署名値に基づいて第２の中間値を発見するステップと、前記生成元、前記公開値及び前記第１及び第２の中間値に基づいて第３の中間値を発見するステップと、前記第３の中間値が前記第１の署名値に等しい場合に前記署名が有効であると決定するステップとを有する方法。 12．前記第３の中間値は、第２の中間値のべきに上げられた公開値が掛けられた前記第１の中間値のべきに上げられた生成元の全単射である請求項 11記載の方法。 13．第１の素数を選択するステップと、前記第１の素数で数値計算された円文多項式を入手するステップと、前記第１の素数で数値計算された前記円文多項式の因数である第２の素数を入手するステップと、有限体の乗法群の部分群の生成元を発見するステップであって、前記部分群の位数は前記第２の素数であるステップと、整数を選択するステップと、前記生成元に基づいて中間値を受け取るステップと、前記中間値及び前記整数の関数として前記共有鍵を形成するステップとを有する公開鍵暗号系の共有鍵決定方法。 14．最滴正規基準で前記有限体を表現するステップを更に有する請求項13記載の方法。 15．前記生成元及び前記整数に基づく第２の中間値を発見するステップと、前記共有鍵を共有する者に前記第２の中間値を送信するステップとを更に有する請求項13記載の方法。 16．メッセージの安全な通信方法であって、第１の素数を選択するステップと、前記第１の素数で数値計算された円文多項式を入手するステップと、前記第１の素数で数値計算された前記円文多項式の因数である第２の素数を入手するステップと、有限体の乗法群の部分群の生成元を発見するステップであって、前記部分群の位数は前記第２の素数であるステップと、整数を選択するステップと、前記生成元に基づいて中間値を受け取るステップと、前記中間値及び前記整数の関数として前記共有鍵を形成するステップと前記共有鍵により前記メッセージを暗号化するステップとを有する方法。 17．最適正規基準で前記有限体を表現するステップを更に有する請求項16記載の方法。 18．中間値と選択整数の関数として形成された共有鍵により暗号化された暗号メッセージを受け取るステップであって、前記中間値は、有限体の乗法群の部分群の生成元に基づいており、前記部分群の位数は第１の素数で数値計算された円文多項式の因数である第２の素数であるステップと、前記共有鍵を使用して前記暗号メッセージを解読するステップとを有するメッセージの安全な通信方法。 19．メッセージの安全な通信方法であって、第１の素数を選択するステップと、前記第１の素数で数値計算された円文多項式を入手するステップと、前記第１の素数で数値計算された前記円文多項式の因数である第２の素数を入手するステップと、有限体の乗法群の部分群の生成元を発見するステップであって、前記部分群の位数は前記第２の素数であるステップと、前記生成元と第１の整数に基づいて公開値を入手するステップと、第２の整数を選択するステップと、前記生成元及び前記第２の整数に基づいて第１の暗号値を発見するステップと、前記メッセージ、前記公開値及び前記第２の整数に基づいて第２の暗号値を発見するステップと、前記第１及び第２の暗号値から暗号メッセージを形成するステップを有する方法。 20．最適正規基準で前記有限体を表現するステップを更に有する請求項19記載の方法。 21．メッセージの安全な通信方法であって、第１の暗号値及び第２の暗号値から形成された暗号メッセージを受け取るステップであって、前記第１の暗号値は有限体の乗法群の部分群の第１の整数と生成元に基づいており、前記部分群の位数は第１の素数で数値計算された円文多項式の因数である第２の素数で、前記第２の暗号値は、前記生成元及び第２の整数に基づく公開値と、前記第１の整数と、前記メッセージに基づいているステップと、前記第１の暗号値及び前記生成元に基づいている秘密鍵に基づいて第１の中間値を発見するステップと、前記第２の暗号値及び前記第１の中間値に基づいて前記暗号メッセージを解読するステップとを有する方法。 22．第１の素数を選択する手段と、前記第１の素数で数値計算された円文多項式を入手する手段と、前記第１の素数で数値計算された前記円文多項式の因数である第２の素数を入手する手段と、有限体の乗法群の部分群の生成元を発見する手段であって、前記部分群の位数は前記第２の素数である手段と、前記生成元と選択整数に基づく公開値を入手する手段と、前記第１及び第２の素数、前記生成元及び前記公開値を含む前記公開鍵を形成する手段と、選択整数を含むように前記秘密鍵を形成する手段とを有する公開鍵暗号系用の公開及び秘密鍵決定装置。 23．最適正規基準で前記有限体を表現する手段を更に有する請求項 22記載の装置。求項22記載の装置。 25．制御整数t'を選択する手段を更に有し、前記円文多項式はt'番目の円文多項式であり、前記公開鍵は前記制御整数t'を含む請求項22記載の装置。