JP2002182559A - 暗号化方法，復号方法，暗号通信方法，暗号通信システム，コンピュータプログラム及び記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 ＬＬＬアルゴリズムに基づく低密度攻撃に強
く、安全性を向上できる暗号化方式を提供する。 【解決手段】 暗号化すべき平文を分割した平文ベクト
ルに任意の乱数成分からなる乱数ベクトルを加えた合成
ベクトルの各成分と、１または複数組の整数ｄ _i （１≦
ｉ≦Ｋ）及び乱数ｖ_i を用いてＶ_i ＝（ｄ／ｄ_i ）・ｖ
_i （但し、ｄ＝ｄ₁ ｄ₂ …ｄ_K （任意の２つの整数
ｄ_i ，ｄ_j は互いに素））に設定された１または複数の
基数ベクトルを基にモジュラ変換した公開鍵ベクトルの
各成分との積和演算により暗号文Ｃを得る。合成ベクト
ルにおける平文ベクトルまたは乱数ベクトルの各成分の
位置は、送信側（エンティティａ）または受信側（エン
ティティｂ）で任意に設定する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、公開鍵を用いて平
文を暗号文に変換する公開鍵暗号系に関し、特に、積和
型の暗号文を作成する暗号化方法、その暗号化方法にて
得られた暗号文を復号する復号方法、その暗号化方法を
利用する暗号通信方法及び暗号通信システム、並びに、
その暗号化方法を実施するためのコンピュータプログラ
ム及び記録媒体に関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化方式は、大別すると共通鍵暗号系と
公開鍵暗号系との二つに分類できる。共通鍵暗号系で
は、暗号化鍵と復号鍵とが等しく、送信者と受信者とが
同じ共通鍵を持つことによって暗号通信を行う。送信者
が平文を秘密の共通鍵に基づいて暗号化して受信者に送
り、受信者はこの共通鍵を用いて暗号文を平文に復号す
る。

【０００５】これに対して公開鍵暗号系では、暗号化鍵
と復号鍵とが異なっており、公開されている受信者の公
開鍵で送信者が平文を暗号化し、受信者が自身の秘密鍵
でその暗号文を復号することによって暗号通信を行う。
公開鍵は暗号化のための鍵、秘密鍵は公開鍵によって変
換された暗号文を復号するための鍵であり、公開鍵によ
って変換された暗号文は秘密鍵でのみ復号することがで
きる。

【０００６】公開鍵暗号系の１つの方式として、積和型
暗号方式が知られている。これは、送信者である一方の
エンティティ側で平文をＫ分割した平文ベクトルｍ＝
（ｍ₁，ｍ₂ ，・・・，ｍ_K ）と公開鍵である基数ベク
トルｃ＝（ｃ₁ ，ｃ₂ ，・・・，ｃ_K ）とを用いて、暗
号文Ｃ＝ｍ₁ ｃ₁ ＋ｍ₂ ｃ₂ ＋・・・＋ｍ_K ｃ_K を作成
し、受信者である他方のエンティティ側でその暗号文Ｃ
を秘密鍵を用いて平文ベクトルｍに復号して元の平文を
得る暗号化方式である。

【０００７】このような整数環上の演算を利用した積和
型暗号に関して、新規な方式及び攻撃法が次々に提案さ
れているが、特に、多くの情報を短時間で処理できるよ
うに高速復号可能な暗号化・復号の手法の開発が望まれ
ている。そこで、本発明者等は、中国人の剰余定理を用
いることにより、高速な並列復号処理を可能とした積和
型暗号における暗号化方法及び復号方法を提案している
（特開2000−89669 号）。この暗号化方法は、基数ベク
トルｃの成分ｃ_i （ｉ＝１，２，・・・，Ｋ）を、互い
に素なＫ個の整数ｄ_i を用いてＤ_i ＝ｄ／ｄ_i （但し、
ｄ＝ｄ₁ ｄ₂ ・・・ｄ_K ）に設定した基数Ｄ_i を基にモ
ジュラ変換したもの、または、互いに素なＫ個の整数ｄ
_i ，乱数ｖ_i （ｇｃｄ（ｄ_i ，ｖ_i ）＝１）を用いてＶ
_i ＝（ｄ／ｄ_i ）ｖ_i に設定した基数Ｖ_i を基にモジュ
ラ変換したものにすることを特徴としている。このよう
にして、中国人の剰余定理を用いて並列に復号するの
で、高速な復号を行うことができる。

【０００８】

【発明が解決しようとする課題】しかしながら、この方
式では、公開鍵の数を非常に大きくしない限り低密度で
あるので、ＬＬＬ（Lenstra-Lenstra-Lovasz）アルゴリ
ズムを用いて公開鍵と暗号文とから直接平文を求める低
密度攻撃に弱い場合があるという問題があり、安全性の
面での更なる改良が望まれている。

【０００９】本発明は斯かる事情に鑑みてなされたもの
であり、上記従来例を改良して低密度攻撃に強く、安全
性を向上できる暗号化方法及び復号方法、この暗号化方
法を用いる暗号通信方法及び暗号通信システム、並び
に、この暗号化方法をコンピュータに実行させるための
コンピュータプログラム及び記録媒体を提供することを
目的とする。

【００１０】

【課題を解決するための手段】請求項１に係る暗号化方
法は、平文から暗号文を得る暗号化方法において、暗号
化すべき平文を分割してなる複数の成分を有する平文ベ
クトルに複数の任意の乱数を成分とする乱数ベクトルを
加えた合成ベクトルと、公開されている公開ベクトルと
を用いて暗号文を得ることを特徴とする。

【００１１】請求項２に係る暗号化方法は、請求項１に
おいて、前記合成ベクトルの成分と前記公開ベクトルの
成分との積和演算結果を法で割った剰余を暗号文とする
ことを特徴とする。

【００１２】請求項３に係る暗号化方法は、平文から暗
号文を得る暗号化方法において、暗号化すべき平文をｋ
分割してなるｋ個の成分を有する第１ベクトルにｎ個の
任意の乱数を成分とする第２ベクトルを加えた（ｋ＋
ｎ）個の成分を有する第３ベクトルと、整数ｄ_i （１≦
ｉ≦ｋ＋ｎ）を用いて（ｋ＋ｎ）個の各成分Ｄ_i がＤ_i
＝ｄ／ｄ_i （但し、ｄ＝ｄ₁ ｄ₂ …ｄ_k+n ）に設定され
た第４ベクトルとを用いて暗号文を得ることを特徴とす
る。

【００１３】請求項４に係る暗号化方法は、平文から暗
号文を得る暗号化方法において、暗号化すべき平文をｋ
分割してなるｋ個の成分を有する第１ベクトルにｎ個の
任意の乱数を成分とする第２ベクトルを加えた（ｋ＋
ｎ）個の成分を有する第３ベクトルと、整数ｄ_i （１≦
ｉ≦ｋ＋ｎ）及び乱数ｖ_i を用いて（ｋ＋ｎ）個の各成
分Ｖ_i がＶ_i ＝（ｄ／ｄ_i ）・ｖ_i （但し、ｄ＝ｄ₁ ｄ
₂ …ｄ_k+n ）に設定された第４ベクトルとを用いて暗号
文を得ることを特徴とする。

【００１４】請求項５に係る暗号化方法は、平文から暗
号文を得る暗号化方法において、暗号化すべき平文をｋ
分割してなるｋ個の成分を有する第１ベクトルにｎ個の
任意の乱数を成分とする第２ベクトルを加えた（ｋ＋
ｎ）個の成分を有する第３ベクトルと、Ｌ組（Ｌ≧２）
の整数ｄ_i ^(y) （１≦ｉ≦ｋ＋ｎ，１≦ｙ≦Ｌ）を用い
て各組毎に（ｋ＋ｎ）個の各成分Ｄ_i ^(y) がＤ_i ^(y) ＝
ｄ^(y) ／ｄ_i ^(y) （但し、ｄ^(y) ＝ｄ₁ ^(y) ｄ₂ ^(y) …
ｄ_k+n ^(y) ）に設定されたＬ組の第４ベクトルとを用い
て暗号文を得ることを特徴とする。

【００１５】請求項６に係る暗号化方法は、平文から暗
号文を得る暗号化方法において、暗号化すべき平文をｋ
分割してなるｋ個の成分を有する第１ベクトルにｎ個の
任意の乱数を成分とする第２ベクトルを加えた（ｋ＋
ｎ）個の成分を有する第３ベクトルと、Ｌ組（Ｌ≧２）
の整数ｄ_i ^(y) （１≦ｉ≦ｋ＋ｎ，１≦ｙ≦Ｌ）及び乱
数ｖ_i ^(y) を用いて各組毎に（ｋ＋ｎ）個の各成分Ｖ_i
^(y) がＶ_i ^(y) ＝（ｄ^{(y )} ／ｄ_i ^(y) ）・ｖ_i ^(y) （但
し、ｄ^(y) ＝ｄ₁ ^(y) ｄ₂ ^(y) …ｄ_k+n ^(y) ）に設定さ
れたＬ組の第４ベクトルとを用いて暗号文を得ることを
特徴とする。

【００１６】請求項７に係る暗号化方法は、請求項４に
おいて、ｇｃｄ（Ｖ_i ，ｄ_i ）＝１を満たすことを特徴
とする。

【００１７】請求項８に係る暗号化方法は、請求項６に
おいて、ｇｃｄ（Ｖ_i ^(y) ，ｄ_i ^{(y )} ）＝１を満たすこ
とを特徴とする。

【００１８】請求項９に係る暗号化方法は、請求項６ま
たは８において、ｇｃｄ（ｄ_i ^(y)，ｄ_j ^(y) ）＝１
（１≦ｊ≦ｋ＋ｎ）を満たすことを特徴とする。は８に
記載の暗号化方法。

【００１９】請求項１０に係る暗号化方法は、請求項３
〜９の何れかにおいて、前記第３ベクトルの各成分と、
前記第４ベクトルを基にモジュラ変換した公開鍵ベクト
ルの各成分とによる積和演算に基づいて暗号文を得るよ
うにしたことを特徴とする。

【００２０】請求項１１に係る暗号化方法は、平文から
暗号文を得る暗号化方法において、暗号化すべき平文を
分割してなるｋ個の成分を有する第１ベクトル、ｎ個の
任意の乱数を成分とする第２ベクトル、及び、前記ｋ個
の成分または前記ｎ個の成分の位置を特定する情報を示
すｈ個の成分を有する第３ベクトルを加えたＫ（＝ｋ＋
ｎ＋ｈ）個の成分を有する第４ベクトルと、公開されて
いる第５ベクトルとを用いて暗号文を得ることを特徴と
する。

【００２１】請求項１２に係る暗号化方法は、請求項１
１において、前記暗号文は、前記第４ベクトルと前記第
５ベクトルとを用いて得られる複数のブロックから構成
されており、各ブロックにおいて、前記第４ベクトルに
おける前記ｈ個の成分の位置は同一であることを特徴と
する。

【００２２】請求項１３に係る暗号化方法は、請求項１
１において、前記暗号文は、前記第４ベクトルと前記第
５ベクトルとを用いて得られる複数のブロックから構成
されており、前のブロックでの前記ｋ個の成分に応じて
次のブロックでの前記第４ベクトルにおける前記ｋ個の
成分または前記ｎ個の成分の位置を決定することを特徴
とする。

【００２３】請求項１４に係る暗号化方法は、請求項１
１において、前記暗号文は、前記第４ベクトルと前記第
５ベクトルとを用いて得られる１つのブロックと、前記
第３ベクトルのｈ個の成分を平文を分割してなるｈ個の
成分に置き換えた前記第４ベクトルと前記第５ベクトル
とを用いて得られる複数のブロックとから構成されてお
り、前のブロックでの平文を分割してなる前記ｋ個また
は（ｋ＋ｈ）個の成分に応じて次のブロックでの前記第
４ベクトルにおける（ｋ＋ｈ）個の成分または前記ｎ個
の成分の位置を決定することを特徴とする。

【００２４】請求項１５に係る暗号化方法は、請求項１
１〜１４の何れかにおいて、前記第５ベクトルは、整数
ｄ_i （１≦ｉ≦Ｋ）を用いて各成分Ｄ_i がＤ_i ＝（ｄ／
ｄ_i）（但し、ｄ＝ｄ₁ ｄ₂ …ｄ_K ）に設定された第６
ベクトルとを用いて生成することを特徴とする。

【００２５】請求項１６に係る暗号化方法は、請求項１
１〜１４の何れかにおいて、前記第５ベクトルは、整数
ｄ_i （１≦ｉ≦Ｋ）及び乱数ｖ_i を用いて各成分Ｖ_i が
Ｖ_i＝（ｄ／ｄ_i ）・ｖ_i （但し、ｄ＝ｄ₁ ｄ₂ …
ｄ_K ）に設定された第６ベクトルとを用いて生成するこ
とを特徴とする。

【００２６】請求項１７に係る暗号化方法は、請求項１
１〜１４の何れかにおいて、前記第５ベクトルは、Ｌ組
（Ｌ≧２）の整数ｄ_i ^(y) （１≦ｉ≦Ｋ，１≦ｙ≦Ｌ）
を用いて各組毎にＫ個の各成分Ｄ_i ^(y) がＤ_i ^(y) ＝ｄ
^(y) ／ｄ_i ^(y) （但し、ｄ^{(y )} ＝ｄ₁ ^(y) ｄ₂ ^(y) …ｄ
_K ^(y) ）に設定されたＬ組の第６ベクトルとを用いて生
成することを特徴とする。

【００２７】請求項１８に係る暗号化方法は、請求項１
１〜１４の何れかにおいて、前記第５ベクトルは、Ｌ組
（Ｌ≧２）の整数ｄ_i ^(y) （１≦ｉ≦ｋ＋ｎ，１≦ｙ≦
Ｌ）及び乱数ｖ_i ^(y) を用いて各組毎にＫ個の各成分Ｖ
_i ^(y) がＶ_i ^(y) ＝（ｄ^(y)／ｄ_i ^(y) ）・ｖ
_i ^(y) （但し、ｄ^(y) ＝ｄ₁ ^(y) ｄ₂ ^(y) …ｄ_K ^(y) ）
に設定されたＬ組の第６ベクトルとを用いて生成するこ
とを特徴とする。

【００２８】請求項１９に係る暗号化方法は、請求項１
６において、ｇｃｄ（Ｖ_i ，ｄ_i ）＝１を満たすことを
特徴とする。

【００２９】請求項２０に係る暗号化方法は、請求項１
８において、ｇｃｄ（Ｖ_i ^(y) ，ｄ _i ^(y) ）＝１を満た
すことを特徴とする。

【００３０】請求項２１に係る暗号化方法は、請求項１
８または２０において、ｇｃｄ（ｄ _i ^(y) ，ｄ_j ^(y) ）
＝１（１≦ｊ≦Ｋ）を満たすことを特徴とする。

【００３１】請求項２２に係る暗号化方法は、請求項１
５〜２１の何れかにおいて、前記第４ベクトルの各成分
と、前記第６ベクトルを基にモジュラ変換した前記第５
ベクトルの各成分とによる積和演算に基づいて暗号文を
得るようにしたことを特徴とする。

【００３２】請求項２３に係る復号方法は、請求項１〜
１０の何れかに記載の暗号化方法を用いて得られた暗号
文を復号する復号方法であって、前記平文ベクトルまた
は前記第１ベクトルの成分を、前記乱数ベクトルまたは
前記第２ベクトルの成分とは独立的に復号することを特
徴とする。

【００３３】請求項２４に係る復号方法は、請求項１〜
２または１１〜２１の何れかに記載の暗号化方法を用い
て得られた暗号文を復号する復号方法であって、前記平
文ベクトルまたは前記第１ベクトルの成分の位置を同定
しながら、前記暗号文を平文に復号することを特徴とす
る。

【００３４】請求項２５に係る暗号通信方法は、第１の
エンティティ側で、請求項１に記載の暗号化方法に従っ
て平文から暗号文を作成して第２のエンティティ側へ伝
送し、伝送された暗号文を該第２のエンティティ側で平
文に復号することにより、エンティティ間で情報の通信
を行う暗号通信方法であって、前記合成ベクトルにおけ
る前記平文ベクトルの成分または前記乱数ベクトルの成
分の位置を前記第１のエンティティ側で設定し、その設
定した位置を示す情報を前記第２のエンティティ側へ報
知することを特徴とする。

【００３５】請求項２６に係る暗号通信方法は、請求項
２５において、前記設定した位置を示す情報を、作成す
る暗号文に盛り込んで前記第２のエンティティ側へ伝送
することを特徴とする。

【００３６】請求項２７に係る暗号通信方法は、第１の
エンティティ側で、請求項１に記載の暗号化方法に従っ
て平文から暗号文を作成して第２のエンティティ側へ伝
送し、伝送された暗号文を該第２のエンティティ側で平
文に復号することにより、エンティティ間で情報の通信
を行う暗号通信方法であって、前記合成ベクトルにおけ
る前記平文ベクトルの成分または前記乱数ベクトルの成
分の位置を前記第２のエンティティ側で設定し、その設
定した位置を示す情報を前記第１のエンティティ側へ報
知することを特徴とする。

【００３７】請求項２８に係る暗号通信システムは、両
エンティティ間で暗号文による情報通信を行う暗号通信
システムにおいて、請求項１〜２２の何れかに記載の暗
号化方法を用いて平文から暗号文を作成する暗号化器
と、作成した暗号文を第１のエンティティから第２のエ
ンティティへ送信する通信路と、送信された暗号文から
平文を復号する復号器とを備えることを特徴とする。

【００３８】請求項２９に係るコンピュータプログラム
は、コンピュータに、平文から積和型の暗号文を得るこ
とを実行させるためのコンピュータプログラムにおい
て、暗号化すべき平文を分割してなる複数の成分を有す
る平文ベクトルに複数の任意の乱数を成分とする乱数ベ
クトルを加えて合成ベクトルを得る手順と、該合成ベク
トルと公開されている公開ベクトルとを用いて暗号文を
得る手順とを、コンピュータに実行させることを特徴と
する。

【００３９】請求項３０に係る記録媒体は、コンピュー
タに、平文から積和型の暗号文を得させるためのコンピ
ュータプログラムを記録してあるコンピュータでの読み
取りが可能な記録媒体において、暗号化すべき平文を分
割してなる複数の成分を有する平文ベクトルに複数の任
意の乱数を成分とする乱数ベクトルを加えた合成ベクト
ルを得ることをコンピュータに実行させるプログラムコ
ード手段と、該合成ベクトルと公開されている公開ベク
トルとを用いて暗号文を得ることをコンピュータに実行
させるプログラムコード手段とを含むコンピュータプロ
グラムを記録してあることを特徴とする。

【００４０】本発明では、平文に冗長性を持たせる、言
い換えると平文を退化させて暗号文を作成する。即ち、
暗号化すべき平文を分割してなる平文ベクトルに特に暗
号化を必要としない乱数成分からなる乱数ベクトルを付
加して合成ベクトルとし、その合成ベクトルと公開され
ている公開鍵ベクトルとを用いて暗号文を作成する。よ
り具体的には、合成ベクトルの成分と公開ベクトルの成
分との積和演算結果、または、その積和演算結果を法で
割った剰余を暗号文とする。

【００４１】本発明では、暗号化が必要でない冗長部分
（退化部分）を付加しているため、暗号文の密度が高く
なり、また、１つの平文ベクトルに対して非常に多数の
合成ベクトルつまり非常に多数の暗号文が存在するの
で、ＬＬＬアルゴリズムに基づく低密度攻撃は非常に困
難となる。この結果、安全性が向上する。

【００４２】例えば、暗号化すべき平文を分割してなる
第１ベクトル（平文ベクトル）及び特に暗号化を必要と
しない乱数成分からなる第２ベクトル（疑似平文ベクト
ル）を合わせた第３ベクトル（拡大平文ベクトル）と、
各成分をＤ_i ＝ｄ／ｄ_i またはＶ_i ＝（ｄ／ｄ_i ）・ｖ
_i に設定した１また複数の第４ベクトル（基数ベクト
ル）とを用いて暗号文を作成する。具体的には、第３ベ
クトル（拡大平文ベクトル）の各成分と、１また複数の
第４ベクトル（基数ベクトル）を基にモジュラ変換した
公開鍵ベクトルの各成分との積和演算結果、または、そ
の積和演算結果を法で割った剰余によって暗号文を作成
する。

【００４３】また、本来の暗号化すべき平文部分である
平文ベクトルの各成分の位置、または、冗長部分（退化
部分）である乱数ベクトルの各成分を付加する位置は、
固定でなく、送信側のエンティティまたは受信側のエン
ティティにて任意に設定できる。このように平文部分の
位置または冗長部分（退化部分）の付加位置が固定でな
く、任意に設定するため、その位置が攻撃者には未知で
あるため、安全性は更に向上する。

【００４４】また、この設定位置を示す情報は、設定し
た側のエンティティから他方のエンティティへ、公開で
伝えても良いし、秘密裏に伝えても良い。送信側のエン
ティティがこの位置を設定する場合、その設定位置を示
す情報は、暗号文に盛り込んで暗号文と共に受信側のエ
ンティティへ送るようにしても良いし、暗号文伝送とは
別の経路により受信側のエンティティへ送っても良い。

【００４５】暗号文に盛り込んで設定位置を示す情報を
送る場合、具体的には、暗号化すべき平文を分割してな
る第１ベクトル（平文ベクトル）、特に暗号化を必要と
しない乱数成分からなる第２ベクトル（疑似平文ベクト
ル）、及び、第１ベクトルまたは第２ベクトルの各成分
の位置を示す第３ベクトル（位置特定ベクトル）を合わ
せた第４ベクトル（伸長平文ベクトル）と、公開されて
いる第５ベクトル（公開鍵ベクトル）とを用いて暗号文
を作成する。具体的には、第４ベクトル（伸長平文ベク
トル）の各成分と、１または複数の第６ベクトル（基数
ベクトル）を基にモジュラ変換した第５ベクトル（公開
鍵ベクトル）の各成分との積和演算結果、または、その
積和演算結果を法で割った剰余によって暗号文を作成す
る。この際、第３ベクトルの各成分の位置は公開とす
る。この位置情報は第３ベクトル（位置特定ベクトル）
として暗号文に盛り込まれて、受信側のエンティティへ
伝送され、その第３ベクトルの各成分の位置は公開され
ているので、受信側のエンティティにて、第３ベクトル
の成分が復号され、その復号結果に基づき第１ベクトル
（平文ベクトル）の各成分の位置が分かって、平文に復
号できる。

【００４６】

【発明の実施の形態】以下、本発明の実施の形態につい
て具体的に説明する。図１は、本発明による暗号化方法
をエンティティａ，ｂ間の情報通信に利用した状態を示
す模式図である。図１の例では、一方のエンティティａ
が、暗号化器１にて平文ｘを暗号文Ｃに暗号化し、通信
路３を介してその暗号文Ｃを他方のエンティティｂへ送
信し、エンティティｂが、復号器２にてその暗号文Ｃを
元の平文ｘに復号する場合を示している。

【００４７】（第１実施の形態）秘密鍵と公開鍵とを以
下のように準備する。 ・秘密鍵：｛ｄ_i ｝，｛ｄ_i ′｝，｛ｖ_i ｝，Ｐ，ｗ ・公開鍵：｛ｃ_i ｝

【００４８】ｅ＞ｅ′として、正規基数ｄ_i 及び退化基
数ｄ_i ′は、夫々下記（１），（２）を満たす基数と定
義する。

【００４９】

【数１】

【００５０】（ｋ＋ｎ）個の互いに素な数からなる基数
を定める。但し、そのうちのｉ∈Ｉに対応するｋ個を正
規基数、ｉ∈Ｉ′に対応するｎ個を退化基数とする。こ
こで、Ｉ，Ｉ′は何れもインデックス集合であり、Ｉ＝
｛１，２，…，ｋ｝，Ｉ′＝｛ｋ＋１，ｋ＋２，…，ｋ
＋ｎ｝とし、Ｉ″＝Ｉ∪Ｉ′とする。なお、第１，第２
実施の形態では、特に断らない限り、ｉ∈Ｉ″である。
次に、基数積Ｄ_i を下記（３）に従って求める。

【００５１】

【数２】

【００５２】また、（ｋ＋ｎ）個の乱数｛ｖ_i ｝（但
し、ｇｃｄ（ｄ_i ，ｖ_i ）＝１）を生成し、変換基数積
Ｖ_i を下記（４）により導く。 Ｖ_i ＝Ｄ_i ｖ_i …（４）

【００５３】エンティティａ側で、エンティティｂへ暗
号化して送信すべき平文ｘをｋ分割して、各成分がｅ
（ビット）である平文ベクトルｇ＝（ｇ₁ ，ｇ₂ ，…，
ｇ_k ）を得る。また、エンティティｂへ特に送信する必
要がない各成分がｅ（ビット）の乱数からなる疑似平文
ベクトルｇ′＝（ｇ_k+1 ，ｇ_k+2 ，…，ｇ_k+n ）を得
る。例えば、エンティティｂへ特に送信する必要がない
平文（冗長文）をｎ分割して、この疑似平文ベクトル
ｇ′を得ることができる。これらの平文ベクトルｇと疑
似平文ベクトルｇ′とを結合して、（ｋ＋ｎ）個の成分
を有する拡大平文ベクトルｇ″＝（ｇ₁ ″，ｇ₂ ″，
…，ｇ_k+n ″）を得る。ここで、この拡大平文ベクトル
ｇ″の各成分は、下記（５）のように定義される。

【００５４】

【数３】

【００５５】積和平文Ｍを、拡大平文ベクトルｇ″と変
換基数積Ｖ_i とを用いて、下記（６）のように定義す
る。 Ｍ＝ｇ₁ ″Ｖ₁ ＋ｇ₂ ″Ｖ₂ ＋・・・＋ｇ_k+n ″Ｖ_k+n …（６）

【００５６】任意の拡大平文ベクトルｇ″に対して、Ｍ
＜Ｐを満たす素数Ｐを生成して法とする。素数Ｐより小
さい乱数ｗを定め、下記（７）に従って、下記（８）に
示すような公開鍵ベクトルｃを導いて公開する。 ｃ_i ≡ｗＶ_i （mod Ｐ） …（７） ベクトルｃ＝（ｃ₁ ，ｃ₂ ，…，ｃ_k+n ） …（８）

【００５７】エンティティａ側で、拡大平文ベクトル
ｇ″と公開鍵ベクトルｃとの内積を下記（９）のように
求めて、暗号文Ｃを得る。作成された暗号文Ｃは通信路
３を介してエンティティａからエンティティｂへ送信さ
れる。 Ｃ＝ｇ₁ ″ｃ₁ ＋ｇ₂ ″ｃ₂ ＋・・・＋ｇ_k+n ″ｃ_k+n …（９）

【００５８】エンティティｂ側では、以下のようにして
復号処理が行われる。暗号文Ｃから積和平文Ｍは、下記
（10）のようにして求めることができる。 Ｍ≡ｗ^-1Ｃ （mod Ｐ） …（10）

【００５９】拡大平文ベクトルｇ″のうち、正規基数に
対応するインデックス、即ち、ｉ∈Ｉに関しては、下記
（11）が成立して、平文ベクトルｇを復号することがで
きる。 ｇ_i ≡ＭＶ_i ^-1 （mod ｄ_i ） …（11）

【００６０】なお、退化基数に対応するインデックス、
即ち、ｉ∈Ｉ′に関しては、復号する必要がない。ま
た、上記（11）と同様に下記（12）に従って復号しよう
としても、退化の影響によりビット数に関して下記（1
3）の関係があるので、疑似平文ベクトルｇ′を正しく
復号することはできない。 ｇ_i ″′≡ＭＶ_i ^-1 （mod ｄ_i ′） …（12） ｇ_i ′＞ｄ_i ′＞ｇ_i ″′ …（13）

【００６１】なお、上記例では、ｇｃｄ（Ｖ_i ，ｄ_i ）
＝１としたが、ｇｃｄ（Ｖ_i ，ｄ_i）＝Ａ_i としても良
い。この場合には、Ｖ_i ′＝Ｖ_i ／Ａ_i ，ｄ_i ′＝ｄ_i
／Ａ _i とおいて、ｇｃｄ（Ｖ_i ′，ｄ_i ′）＝１として
同様に行えば良い。また、上記例では、基数積Ｄ_i に乱
数｛ｖ_i ｝を付加するようにしたが、このような乱数を
付加せず、上記（３）で示される基数積Ｄ_i をそのまま
用いても良い。

【００６２】（第２実施の形態）秘密鍵と公開鍵とを以
下のように準備する。 ・秘密鍵：｛ｄ_i ^(P) ｝，｛ｄ_i ^(Q) ｝，
｛ｄ_i ^(P) ′｝，｛ｄ_i ^(Q) ′｝，｛ｖ_i ^(P) ｝，｛ｖ
_i ^(Q) ｝，Ｐ，Ｑ，Ｎ，ｗ ・公開鍵：｛ｃ_i ｝ なお、上記Ｎは公開であっても良い。

【００６３】Ｐ，Ｑを後述の条件を満たす素数とする。
ｅ＞ｅ′とし、正規基数ｄ_i ^(P) ，ｄ_i ^(Q) 及び退化基
数ｄ_i ^(P) ′，ｄ_i ^(Q) ′は、夫々下記（14），（15）
を満たす基数と定義する。

【００６４】

【数４】

【００６５】法Ｐ及び法Ｑについて、夫々第１実施の形
態と同様に、２組の基数｛ｄ_i ^(P)｝，｛ｄ_i ^(P) ′｝
及び｛ｄ_i ^(Q) ｝，｛ｄ_i ^(Q) ′｝（但し、ｉ≠ｊにお
いて、gcd(ｄ_i ^(P) ，ｄ_j ^(P) ）＝１，gcd(ｄ_i ^(Q) ，
ｄ_j ^(Q) ）＝１）を生成する。但し、任意のｉ∈Ｉ″に
ついて、下記（16），（17）を満たすものとする。 gcd(ｄ_i ^(P) ，ｄ_i ^(Q) ）＝１ …（16） gcd(ｄ_i ^(P) ′，ｄ_i ^(Q) ′）＝１ …（17）

【００６６】次に、法Ｐ及び法Ｑについて、第１実施の
形態と同様に、２組の乱数｛ｖ_i ^{(P )} ｝及び
｛ｖ_i ^(Q) ｝（但し、ｇｃｄ（ｄ_i ^(P) ，ｖ_i ^(P) ）＝
１，ｇｃｄ（ｄ _i ^(Q) ，ｖ_i ^(Q) ）＝１）を生成し、上
記（３），（４）と同様の計算により、｛Ｖ_i ^(P) ｝及
び｛Ｖ_i ^(Q) ｝を導く。

【００６７】第１実施の形態と全く同様に構成された拡
大平文ベクトルｇ″に対する法Ｐ及び法Ｑにおける積和
平文Ｍ_P 及び積和平文Ｍ_Q を夫々、下記（18），（19）
と定義する。 Ｍ_P ＝ｇ₁ ″Ｖ₁ ^(P) ＋ｇ₂ ″Ｖ₂ ^(P) ＋・・・ ＋ｇ_k+n ″Ｖ_k+n ^(P) …（18） Ｍ_Q ＝ｇ₁ ″Ｖ₁ ^(Q) ＋ｇ₂ ″Ｖ₂ ^(Q) ＋・・・ ＋ｇ_k+n ″Ｖ_k+n ^(Q) …（19）

【００６８】更に、素数Ｐ及び素数Ｑを、任意の拡大平
文ベクトルｇ″に対してＭ_P ＜ＰかつＭ_Q ＜Ｑの条件を
満たすように生成し、それらの積をＮとする。中国人の
剰余定理を用いて、Ｐ及びＱによる余りが夫々Ｖ₁ ^(P)
及びＶ₁ ^(Q) となるような最小のＶ₁ ^(N) （＜Ｎ）を導
いて変換基数積と定義する。

【００６９】積和平文Ｍを、拡大平文ベクトルｇ″と変
換基数積Ｖ₁ ^(N) とを用いて、下記（20）のように定義
する。ここで、Ｍ＜Ｎを満たす必要はない。 Ｍ＝ｇ₁ ″Ｖ₁ ^(N) ＋ｇ₂ ″Ｖ₂ ^(N) ＋・・・＋ｇ_k+n ″Ｖ_k+n ^(N) …（20）

【００７０】Ｎより小さい乱数ｗを定め、下記（21）に
従って、下記（22）に示すような公開鍵ベクトルｃを導
いて公開する。 ｃ_i ≡ｗＶ_i （mod Ｎ） …（21） ベクトルｃ＝（ｃ₁ ，ｃ₂ ，…，ｃ_k+n ） …（22）

【００７１】エンティティａ側で、拡大平文ベクトル
ｇ″と公開鍵ベクトルｃとの内積を下記（23）のように
求めて、暗号文Ｃを得る。作成された暗号文Ｃは通信路
３を介してエンティティａからエンティティｂへ送信さ
れる。なお、Ｎを公開する場合には、下記（23）のＣを
Ｎで割った剰余を暗号文とすれば良い。 Ｃ＝ｇ₁ ″ｃ₁ ＋ｇ₂ ″ｃ₂ ＋・・・＋ｇ_k+n ″ｃ_k+n …（23）

【００７２】エンティティｂ側では、以下のようにして
復号処理が行われる。積和平文Ｍは、下記（24）を満た
す。従って、法Ｐ及び法Ｑにおける積和平文Ｍ_P 及びＭ
_Q は、下記（25），（26）のようにして求めることがで
きる。 Ｍ≡ｗ^-1Ｃ （mod Ｎ） …（24） Ｍ_P ≡Ｍ （mod Ｐ） …（25） Ｍ_Q ≡Ｍ （mod Ｑ） …（26）

【００７３】拡大平文ベクトルｇ″のうち、正規基数に
対応するインデックス、即ち、ｉ∈Ｉに関しては、２^e
＜ｄ_i ^(P) ｄ_i ^(Q) であるため、下記（27），（28）に
よって（ｇ_i ^(P) ，ｇ_i ^(Q) ）を求め、中国人の剰余定
理を適用することにより、下記（29）が成立して、平文
ベクトルｇを復号することができる。

【００７４】

【数５】

【００７５】なお、退化基数に対応するインデックス、
即ち、ｉ∈Ｉ′に関しては、第１実施の形態と同様、復
号する必要がなく、疑似平文ベクトルｇ′を正しく復号
することができない。

【００７６】なお、上記例では、２組の基数
｛ｄ_i ^(P) ｝，｛ｄ_i ^(Q) ｝に乱数｛ｖ_i ^(P)｝，｛ｖ
_i ^(Q) ｝を付加するようにしたが、このような乱数を付
加しない基数積を使用しても良い。

【００７７】次に、上述したような第１，第２実施の形
態の方式にあって、ＬＬＬアルゴリズムに基づく低密度
攻撃に強い耐性を持てるように、１を超える高い密度を
実現できていることを説明する。退化していない一般的
な積和型暗号について、暗号文密度σ，方式密度ρ，レ
ートηを下記（30），（31），（32）のように定義す
る。なお、Ｃは暗号文のビット数，Ｃ_max は取り得る最
大の暗号文のビット数，ｋは平文の分割数，ｅは分割平
文のビット数である。

【００７８】

【数６】

【００７９】また、第１，第２実施の形態のように退化
している積和型暗号について、暗号文密度σ′，方式密
度ρ′を下記（33），（34）のように定義する。なお、
レートは上記（32）と同じである。

【００８０】

【数７】

【００８１】第１実施の形態における密度について考察
する。乱数ｖ_i をｓビットとする。密度をできる限り大
きくするために、取り得る最大の積和平文をＭ_max とし
た場合、法Ｐのビットサイズを｜Ｐ｜＝｜Ｍ_max ｜と設
定すべきである。この場合、第１実施の形態における方
式密度ρ₁ ，レートη₁ は、夫々、下記（35），（36）
の条件を満たす。

【００８２】

【数８】

【００８３】公開鍵より秘密鍵を求める攻撃（片柳磨
子，村上恭通，笠原正雄：”積和型暗号に関する二，三
の考察”，1999年暗号と情報セキュリティシンポジウム
資料，Ｂ43 Jan.2000 に開示）を回避するためには、乱
数ｖ_i のビットサイズを法Ｐのビットサイズの１／４以
上にする必要がある。この条件を満たすように、乱数ｖ
_i のビットサイズをｓ＝(1/4)log ₂Ｐ＋１と考えて計算
した場合、方式密度ρ₁，レートη₁ は、夫々、下記（3
7），（38）の条件を満たす。

【００８４】

【数９】

【００８５】この条件において、乱数ｖ_i が非常に大き
いので、ｅ′をｅ′＜ｅ／２とする、または、ｋ＜ｎと
することにより、ρ₁ ＞１を満たすパラメータが存在す
る。

【００８６】第２実施の形態における密度について考察
する。乱数ｖ_i ^(P) とｖ_i ^(Q) との積、即ち、ｖ_i ^(P)
ｖ_i ^(Q) をｓビットとする。法Ｎが非公開である場合、
密度をできる限り大きくするために、取り得る最大の積
和平文をＭ_Pmax，Ｍ_Qmaxとしたとき、｜Ｐ｜＝｜Ｍ_Pmax
｜，｜Ｑ｜＝｜Ｍ_Qmax｜と設定すべきである。この場
合、第２実施の形態における方式密度ρ₂ ，レートη₂
は、夫々、下記（39），（40）の条件を満たす。

【００８７】

【数１０】

【００８８】第２実施の形態では、多重化しているの
で、乱数をあまり大きくする必要はない。よって、ｅ′
＝ｅ／２，ｋ＝ｎという条件であっても、容易に方式密
度ρ₂＞１，レートη₂ ＞１／２を達成することができ
る。例えば、上記の条件において、分割数をｋ＝８と
し、基数ｄ_i ^(P) ，ｄ_i ^(Q) 及び乱数ｖ_i ^(P) ，ｖ_i
^(Q)を何れも３２ビットとした場合、ρ₂ ＝1.0174，η
₂ ＝0.5087となり、このような小さなパラメータでも、
上記の条件（ρ₂ ＞１，η₂ ＞１／２）を実現できてい
る。但し、小さなパラメータでは安全性に問題があるの
で、例えばｋ＝１００，ｅ＝６４，ｅ′＝３２程度が現
実的である。

【００８９】また、法Ｎを公開とし、ＣをＮで割った剰
余を暗号文とした場合の第２実施の形態における方式密
度ρ₂ ，レートη₂ は、夫々、下記（41），（42）の条
件を満たす。

【００９０】

【数１１】

【００９１】以上のように、法Ｎを公開とした場合に
は、法Ｎが非公開である場合に比べて、方式密度ρ₂ ，
レートη₂ の何れもが向上している。

【００９２】ところで、疑似平文ベクトルｇ′における
乱数成分は、平文ベクトルｇとは全く独立して設定でき
る。よって、作成した暗号文Ｃの方式密度が高くなるよ
うに疑似平文ベクトルｇ′の乱数成分を設定するように
すれば良い。また、疑似平文ベクトルｇ′としてある乱
数系列を設定して暗号文Ｃを作成した後、その暗号文Ｃ
の方式密度を計算し、その計算値が１を超えない場合に
は、疑似平文ベクトルｇ′に設定する乱数系列を別なも
のにして暗号文Ｃを作成しなおすようにし、方式密度が
１を超えた場合の暗号文Ｃを受信先のエンティティへ送
信する手法が有効である。

【００９３】上述した第１，第２実施の形態の方式で
は、エンティティｂへ特に暗号化して送信する必要がな
い疑似平文ベクトルの各乱数の拡大平文ベクトルにおけ
る位置（退化位置）は受信側のエンティティｂにて固定
的に設定されており、その位置を表す情報が公開されて
いる。

【００９４】これに対して、そのような乱数成分の位置
（退化位置）、または逆に暗号化すべき平文ベクトルの
各成分の位置（正規位置）を、任意に設定できるように
すれば、より安全性が向上することを期待できる。以下
の第３実施の形態では、このような退化位置または正規
位置を受信側のエンティティａにて任意に設定して、そ
の位置を表す情報を暗号文に盛り込んでエンティティｂ
へ伝送する場合について説明する。

【００９５】（第３実施の形態）まず、第３実施の形態
の説明に用いる幾つかの定義について説明する。第３実
施の形態にあっても、暗号化すべき平文は幾つかの分割
平文に分けられる。各分割平文をメッセージベクトルｍ
として扱う。以下に定義する伸長変換によって、メッセ
ージベクトルｍはベクトルｍ′に伸長される。このベク
トルｍ′を、伸長メッセージベクトルと称する。これら
のベクトルｍ，ベクトルｍ′の各成分のビットサイズの
和を夫々ε（ビット），ε′（ビット）（但し、ε≦
ε′）とする。また、暗号文が取り得る最大ビット数を
Ｃ_max とする。

【００９６】〈定義１（密度）〉方式密度ρを下記（4
3）のように定義する。

【００９７】

【数１２】

【００９８】〈定義２（レート）〉レートηを下記（4
4）のように定義する。

【００９９】

【数１３】

【０１００】ベクトルａ＝（ａ₁ ，ａ₂ ，・・・，
ａ_w ）をｗ次元ベクトルとし、ベクトルｃ＝（ｃ₁ ，ｃ
₂ ，・・・，ｃ_n ）をｎ次元ベクトルとする。また、ベ
クトルｂ＝（ｂ₁ ，ｂ₂ ，・・・，ｂ_n ）を重みｗのｎ
次元２値ベクトルとする。但し、下記（45）の条件を満
たす。

【０１０１】

【数１４】

【０１０２】〈定義３（添数集合）〉添数集合Ｉ＝Ｉｎ
ｄ（ベクトルｂ）を下記（46）のように定義する。 Ｉ＝｛ｉ₁ ，ｉ₂ ，・・・，ｉ_w ｝ …（46）

【０１０３】〈定義４（ベクトル表現）〉添数集合Ｉ
は、｛１，２，・・・，ｎ｝の部分集合であり、ベクト
ル表現として、ベクトルｄ＝Ｖｅｃ（Ｉ，ｎ）を下記
（47）のように定義する。但し、ベクトルｄ＝（ｄ₁ ，
ｄ₂ ，・・・，ｄ_n ）であり、例えば、Ｉ＝Ｉｎｄ（ベ
クトルｂ）である場合に、ベクトルｂ＝Ｖｅｃ（Ｉ，
ｎ）である。

【０１０４】

【数１５】

【０１０５】〈定義５（伸長）〉ベクトルｂによりベク
トルａから伸長されたｎ次元ベクトルｃは、ベクトルｃ
＝ベクトルａ｛ベクトルｂ｝にて表記し、下記（48）の
ように定義する。例えば、ベクトルａ＝（ａ₁ ，ａ₂ ，
ａ₃ ），ベクトルｂ＝（１，０，１，１）である場合
に、ベクトルａ｛ベクトルｂ｝＝（ａ₁ ，０，ａ₂ ，ａ
₃ ）となる。

【０１０６】

【数１６】

【０１０７】〈定義６（抜き出し）〉ベクトルｂにより
ベクトルｃから抜き出されたｗ次元ベクトルａは、ベク
トルａ＝ベクトルｃ｛ベクトルｂ｝にて表記し、下記
（49）のように定義する。例えば、ベクトルｃ＝
（ｃ₁ ，ｃ₂ ，ｃ₃ ，ｃ₄ ），ベクトルｂ＝（１，０，
１，１）である場合に、第１，第３及び第４成分が抜き
出されて、ベクトルｃ｛ベクトルｂ｝＝（ｃ₁ ，ｃ₃ ，
ｃ₄ ）となる。

【０１０８】

【数１７】

【０１０９】次に、第３実施の形態の具体的な方式につ
いて説明する。 〈平文分割〉平文ｘは、ｅｋビットの複数のブロックに
分割される。各ブロックは下記（50）のようにメッセー
ジベクトルｍで表現される。なお、ｍ_i （ｉ＝１，２，
・・・，ｋ）はｅビットの整数である。 ベクトルｍ＝（ｍ₁ ，ｍ₂ ，・・・，ｍ_k ） …（50）

【０１１０】〈伸長変換〉メッセージベクトルｍを、各
成分がｅビットの整数であるｋ次元ベクトルとし、乱数
ベクトルｒを、各成分がｅ′ビットの整数であるｎ次元
ベクトルとする。但し、ｅ＜ｅ′とする。また、ベクト
ルｓを、重みｋの（ｋ＋ｎ）次元の２値ベクトルとす
る。このベクトルｓを「位置特定子」と称する。

【０１１１】ｈを下記（51）のように設定し、ベクトル
ｓ′を（ｈｅ−（ｋ＋ｎ））ビットの任意の２値詰め物
ベクトルとする。ｈｅ次元の２値連接ベクトル［ベクト
ルｓ｜ベクトルｓ′］は、各成分がｅビットの整数であ
る下記（52）のようなｈ次元のベクトルｔに分割でき
る。

【０１１２】

【数１８】

【０１１３】Ｋ＝ｋ＋ｎ＋ｈとし、各添数集合Ｉ_N ，Ｉ
_R 及びＩ_L を夫々下記（53），（54）及び（55）のよう
に定義する。但し、バーベクトルｓはベクトルｓのビッ
ト補数を表す。

【０１１４】

【数１９】

【０１１５】なお、上記例では添数集合Ｉ_L の成分を最
後尾のｈ個としたが、これらの成分の位置は任意であっ
て良い。このような場合、下記（56），（57）の条件を
満たし、ベクトルｍ′，ベクトルｓは夫々下記（58），
（59）のように表される。

【０１１６】

【数２０】

【０１１７】メッセージベクトルｍを、下記（60）のよ
うに、伸長メッセージベクトルｍ′＝（ｍ₁ ′，
ｍ₂ ′，・・・，ｍ_K ′）に変換する。この際、このベ
クトルｍ′の各成分の大きさは下記（61）である。

【０１１８】

【数２１】

【０１１９】〈鍵生成〉秘密鍵と公開鍵とを以下のよう
に準備する。 ・秘密鍵：｛ｄ_i ^(P) ｝，｛ｄ_i ^(Q) ｝，
｛ｖ_i ^(P) ｝，｛ｖ_i ^(Q) ｝， Ｐ，Ｑ，Ｎ，ｗ（但
し、ｉ＝１，２，・・・，Ｋ） ・公開鍵：ベクトルｃ＝（ｃ₁ ，ｃ₂ ，・・・，
ｃ_K ），Ｉ_L ，ｅ，ｅ′ なお、上記Ｎは公開であっても良い。

【０１２０】まず、任意のｉ，ｊ（但し、ｉ≠ｊ）につ
いて、下記（62）〜（65）の条件を満たすような２組の
基数｛ｄ_i ^(P) ｝，｛ｄ_i ^(Q) ｝を生成する。

【０１２１】

【数２２】

【０１２２】ｖ_i ^(P) ，ｖ_i ^(Q) をランダムな整数とし
て、下記（66），（67）のように、Ｖ_i ^(P) ，Ｖ_i ^(Q)
を導く。但し、ｖ_i ^(P) 及びｖ_i ^(Q) は、下記（68）及
び（69）の条件を満たす。

【０１２３】

【数２３】

【０１２４】次に、任意の伸長メッセージベクトルｍ′
について条件Ｍ_P ＜Ｐ，Ｍ_Q ＜Ｑを満たすような大きな
素数Ｐ，Ｑを設定する。なお、Ｍ_P ，Ｍ_Q は夫々下記
（70），（71）で定義される。

【０１２５】

【数２４】

【０１２６】そして、Ｎ＝ＰＱを設定し、中国人の剰余
定理によりＶ_i （０≦Ｖ_i ＜Ｎ）を下記（72）により計
算する。

【０１２７】

【数２５】

【０１２８】公開鍵ベクトルｃの各成分を、下記（73）
により求める。ここでｗは、Ｚ_N ^*から任意に選ばれた
乱数である。 ｃ_i ≡ｗＶ_i （mod Ｎ） …（73）

【０１２９】〈暗号化〉エンティティａ側（送信側）
で、前述した位置特定子であるベクトルｓを任意に生成
する。即ち、メッセージベクトルｍに関する位置を示す
添数集合Ｉ_N を、送信者であるエンティティａは任意に
選択する。次に、エンティティａ側（送信側）で、各成
分が任意に選択されたｅ′ビットの整数からなるｎ次元
のベクトルｒを生成する。この乱数ベクトルｒにより、
高密度が実現される。つまり、冗長部分（退化部分）で
ある乱数ベクトルｒの付加によって、後述するように密
度が高くなる。

【０１３０】エンティティａ側（送信側）で、メッセー
ジベクトルｍを、ベクトルｓ及びベクトルｒによって、
伸長メッセージベクトルｍ′に変換する。そして、この
伸長メッセージベクトルｍ′と公開鍵ベクトルｃとの内
積を下記（74）のように求めて、暗号文Ｃを得る。作成
された暗号文Ｃは通信路３を介してエンティティａから
エンティティｂへ送信される。

【０１３１】

【数２６】

【０１３２】この暗号化にあっては、暗号化すべき平文
を分割したメッセージベクトルｍは、添数集合Ｉ_N にて
示される位置で伝送され、添数集合Ｉ_N の情報は、添数
集合Ｉ_L にて示される位置でベクトルｓによって伝送さ
れる。

【０１３３】〈復号〉エンティティｂ側（受信側）で、
以下のようにして復号処理が行われる。中間メッセージ
Ｍは、下記（75）を満たす。従って、法Ｐ，法Ｑにおけ
る中間メッセージＭ_P ，Ｍ_Q は、下記（76），（77）の
ようにして求めることができる。 Ｍ≡ｗ^-1Ｃ （mod Ｎ） …（75） Ｍ_P ≡Ｍ （mod Ｐ） …（76） Ｍ_Q ≡Ｍ （mod Ｑ） …（77）

【０１３４】そして、下記（78），（79）によって（ｍ
_i ^(P) ，ｍ_i ^(Q) ）を求め、中国人の剰余定理を適用す
ることにより、下記（80）が成立して、メッセージベク
トルｍ″＝（ｍ₁ ″，ｍ₂ ″，・・・，ｍ_K ″）を復号
することができる。

【０１３５】

【数２７】

【０１３６】ｅ′＞ｅであるので、復号されたメッセー
ジベクトルｍ″の各成分は、上記（61）から、下記（8
1）の条件を満たす。

【０１３７】

【数２８】

【０１３８】添数集合Ｉ_L に従って、下記（82）のよう
に、復号ベクトルｍ″からベクトルｔを取り出す。

【０１３９】

【数２９】

【０１４０】ベクトルｔをｈｅ次元の２値ベクトル［ベ
クトルｓ｜ベクトルｓ′］と見なすことにより、（ｋ＋
ｎ）次元で重みｋの２値ベクトルｓをエンティティｂ側
（受信側）で再構築できる。よって、最終的に、下記
（83）のように、メッセージベクトルｍを得ることがで
きる。

【０１４１】

【数３０】

【０１４２】なお、添数集合Ｉ_L の成分を任意とする一
般的な場合には、上記（83）において、ベクトルｍ″を
下記（84）に示すものに代えることにより、メッセージ
ベクトルｍが得られる。

【０１４３】

【数３１】

【０１４４】次に、上述したような第３実施の形態の暗
号化方式における安全性について述べる。密度が0.9408
より小さい場合に、積和型公開鍵暗号はＬＬＬアルゴリ
ズムに基づく低密度攻撃によって破られることが知られ
ている。上述した第３実施の形態の暗号化方式では、１
を超える高い密度を実現できており、このことはこの方
式が低密度攻撃に対して安全であることを示している。

【０１４５】乱数ｖ_i ^(P) ，ｖ_i ^(Q) を何れもｆビット
とした場合、上述した第３実施の形態の暗号化方式にお
ける密度ρは、下記（85）の条件を満たす。但し、Ｋ＝
ｋ＋ｎ＋ｈ，ｅ′＞ｅである。

【０１４６】

【数３２】

【０１４７】例えば、ここで簡単のために、ｆ＝ｅ，
ｅ′＝２ｅと設定した場合、ｎは下記（86）の条件を満
たすので、ρ＞１を実現できている。現実的な例とし
て、ｅ＝32とした場合、何れのｋについてもｎ＝７とす
ることにより、ρ＞１を達成できることが分かる。

【０１４８】

【数３３】

【０１４９】また、第３実施の形態の暗号化方式では、
高いレートも実現できている。上述した本発明の暗号化
方式におけるレートηは、下記（87）の条件を満たす。

【０１５０】

【数３４】

【０１５１】ここで簡単のために、ｆ＝ｅ，ｅ′＝２ｅ
と設定した場合、ｎ及びｋは下記（88）の条件を満たす
ので、η＞0.5 を実現できている。現実的な例として、
ｅ＝32とした場合、ｎ＝７でｋ＞14とすることにより、
η＞0.5 を達成できることが分かる。例えば、ｋ＝57と
した場合に、η≒0.7884となる。このように、レートの
観点から見ても、第３実施の形態の方式は効率的であ
る。

【０１５２】

【数３５】

【０１５３】第３実施の形態の暗号化方式では、高い密
度を実現できるため、低密度攻撃に対し、十分に安全で
ある。また、送信側のエンティティにおいて、退化基数
の位置を自由に決定できる。よって、位置が分かってい
る退化基数に基づき、攻撃者が第３実施の形態の暗号化
方式に対して有効な攻撃を行おうとした場合でも、その
攻撃者にとって退化基数の位置を同定することが困難で
ある。従って、退化基数の位置が固定ではなく送信側で
任意に決定できるという第３実施の形態の特徴は、退化
基数の位置が既知である場合に有効である攻撃に対して
も安全であることを示している。

【０１５４】以下、第３実施の形態の他の例について説
明する。上述した例では全てのブロックにおいて、Ｉ_L
の位置を固定（最後尾）としているが、このＩ_L の位置
は各ブロックにおいて異なっていても良い。このような
例として、以下のようなものが可能である。

【０１５５】（第１例）最初のブロックについてはＩ_L
の位置を固定（例えば上述した例と同様に最後尾）し、
このＩ_L は公開しておく。そして、２番目以降のブロッ
クについては、１つ前のブロックのメッセージベクトル
よりそのブロックのＩ_L の位置を決定するようにする。
よって、２番目以降のブロックからは、Ｉ_L の位置が変
動する。このようにして、送信側のエンティティが退化
基数の位置を任意に決定しても最初のブロックのＩ_L は
公開されており、しかも、２番目以降のブロックでは前
のブロックのメッセージベクトルからそのブロックのＩ
_L の位置が分かるので、受信側のエンティティにおい
て、上述した例と同様に、暗号文から平文を復号でき
る。この第１例では、各ブロックにおいてＩ_L の位置を
変動させるため、安全性の向上を図れる。

【０１５６】（第２例）最初のブロックについてはＩ_L
の位置を固定（例えば上述した例と同様に最後尾）し、
このＩ_L は公開しておく。そして、２番目以降のブロッ
クについては、Ｉ_L の項を設けないようにし、Ｉ_L の項
に割り当てられるｈ次元のベクトルを平文を分割したメ
ッセージに割り当てる。そして、この２番目以降のブロ
ックについては、１つ前のブロックのメッセージよりそ
のブロックにおける退化基数の位置を示す位置情報を決
定する。よって、２番目以降のブロックには、Ｉ_L が存
在しない。このようにして、送信側のエンティティが退
化基数の位置を任意に決定しても最初のブロックのＩ_L
は公開されており、しかも、２番目以降のブロックでは
前のブロックのメッセージベクトルからそのブロックで
の退化基数の位置が分かるので、受信側のエンティティ
において、上述した例と同様に、暗号文から平文を復号
できる。また、２番目以降のブロックではメッセージに
割り当てる部分がｋ項から（ｋ＋ｈ）項に増えるので、
１ブロック内に盛り込めるメッセージ量が増加して、レ
ートをより高くすることができる。

【０１５７】なお、上記例では、暗号化すべき平文を分
割したメッセージベクトルｍの各成分の位置（添数集合
Ｉ_N ）を示す情報（添数集合Ｉ_L ）を伝送するようにし
たが、付加する乱数ベクトルｒの各成分の位置（添数集
合Ｉ_R ）を示す情報を伝送するようにしても良いことは
勿論である。

【０１５８】また、上記例では、２組の基数
｛ｄ_i ^(P) ｝，｛ｄ_i ^(Q) ｝に乱数｛ｖ_i ^(P)｝，｛ｖ
_i ^(Q) ｝を付加するようにしたが、このような乱数を付
加しない基数積を使用しても良い。

【０１５９】また、上記例では（74）に示したように、
伸長メッセージベクトルｍ′と公開鍵ベクトルｃとの内
積値（積和演算結果）をそのまま暗号文Ｃとしたが、下
記（89）のように、その内積値（積和演算結果）をＮで
モジュロ変換したもの、つまり上記（74）のＣをＮで割
った剰余を暗号文としても良い。 Ｃ≡ｍ₁ ′ｃ₁ ＋ｍ₂ ′ｃ₂ ＋…＋ｍ_K ′ｃ_K （mod Ｎ） …（89）

【０１６０】（74）のように暗号文を表す場合に、安全
性の根拠は、下記（90）に示す式において、ａ₁ ，
ａ₂ ，…，ａ_n 及びＣが既知の整数であるときに未知数
ｘ₁ ，ｘ ₂ ，…，ｘ_n を求めるための線型ジオファンタ
ス方程式を解くことの困難さに基づいている。一方、
（89）のように暗号文を表す場合には、積和してモジュ
ロをとるので、安全性の根拠がＮの素因素分解の困難さ
に基づいている。この場合、Ｎを公開するので攻撃者に
提供する情報量は増えるが、積和演算結果そのものでな
くてその余りしか分からないので、線型ジオファンタス
方程式を解く難しさは高くなっている。 Ｃ＝ａ₁ ｘ₁ ＋ａ₂ ｘ₂ ＋…＋ａ_n ｘ_n …（90）

【０１６１】（第４実施の形態）なお、第３実施の形態
では、送信側のエンティティにて任意に設定した、伸長
メッセージベクトルにおけるメッセージベクトルの各成
分または乱数ベクトルの各成分の位置を示す情報を暗号
文に盛り込むようにしたが、このような位置を示す情報
を、暗号文との伝送とは独立させて、送信側のエンティ
ティから受信側のエンティティへ報せるようにしても良
い。

【０１６２】（第５実施の形態）なお、第３，第４実施
の形態では、送信側のエンティティにて伸長メッセージ
ベクトルにおけるメッセージベクトルの各成分または乱
数ベクトルの各成分の位置を任意に設定するようにした
が、このような位置を受信側のエンティティにて任意に
設定するようにすることも可能である。

【０１６３】（第６実施の形態）また、第３〜第５実施
の形態では、Ｋ個の要素からなる基数の集合｛ｄ_i ｝を
２組（｛ｄ_i ^(P) ｝，｛ｄ_i ^(Q) ｝）生成する多重化し
た方式の場合について説明したが、前述した第１実施の
形態のように１組の基数の集合｛ｄ_i ｝を用いる方式に
ついても、これらの第３〜第５実施の形態を同様に適用
できることは勿論である。

【０１６４】図２は、本発明の記録媒体の実施の形態の
構成を示す図である。ここに例示するコンピュータプロ
グラムは、上述した暗号化方式の手順に従って拡大平文
ベクトルｇ″または伸長メッセージベクトルｍ′を得る
処理と、得た拡大平文ベクトルｇ″または伸長メッセー
ジベクトルｍ′と公開鍵ベクトルｃとの内積計算により
暗号文Ｃを作成する処理とを含んでおり、以下に説明す
る記録媒体に記録されている。なお、コンピュータ10
は、送信側のエンティティに設けられている。

【０１６５】図２において、コンピュータ10とオンライ
ン接続する記録媒体11は、コンピュータ10の設置場所か
ら隔たって設置される例えばＷＷＷ(World Wide Web)の
サーバコンピュータを用いてなり、記録媒体11には前述
の如きプログラム11a が記録されている。記録媒体11か
ら通信線等の伝送媒体14を介して読み出されたプログラ
ム11a がコンピュータ10を制御することにより、コンピ
ュータ10が暗号文Ｃを作成する。

【０１６６】コンピュータ10の内部に設けられた記録媒
体12は、内蔵設置される例えばハードディスクドライブ
またはＲＯＭなどを用いてなり、記録媒体12には前述の
如きプログラム12a が記録されている。記録媒体12から
読み出されたプログラム12aがコンピュータ10を制御す
ることにより、コンピュータ10が暗号文Ｃを作成する。

【０１６７】コンピュータ10に設けられたディスクドラ
イブ10a に装填して使用される記録媒体13は、運搬可能
な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフレキシ
ブルディスクなどを用いてなり、記録媒体13には前述の
如きプログラム13a が記録されている。記録媒体13から
読み出されたプログラム13a がコンピュータ10を制御す
ることにより、コンピュータ10が暗号文Ｃを作成する。

【０１６８】

【発明の効果】以上のように、本発明では、暗号化すべ
き平文を分割してなる平文ベクトルに、複数の任意の乱
数を成分とする乱数ベクトルを加えた合成ベクトルと、
公開されている公開ベクトルとを用いて暗号文を得るよ
うにしたので、暗号化が必要でない乱数からなる冗長部
分（退化部分）を付加しているため、暗号文の密度を大
きくでき、ＬＬＬアルゴリズムに基づく低密度攻撃に対
して強くなって安全性を向上できる。また、その合成ベ
クトルにおける平文ベクトルまたは乱数ベクトルの各成
分の位置を、送信側のエンティティまたは受信側のエン
ティティにて任意設定できるようにしたので、攻撃者に
とってその位置を見つけることすら困難であり、安全性
の更なる向上を図れる。この結果、積和型暗号の実用化
の道を開くことに、本発明は大いに寄与できる。

【図面の簡単な説明】

【図１】２人のエンティティ間における情報の通信状態
を示す模式図である。

【図２】記録媒体の実施の形態の構成を示す図である。

【符号の説明】

１ 暗号化器 ２ 復号器 ３ 通信路 ａ，ｂ エンティティ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 笠原 正雄 大阪府箕面市粟生外院４丁目15番３号 Ｆターム(参考） 5J104 AA21 AA43 JA23 NA02 NA17

Claims (30)

【特許請求の範囲】
1. 【請求項１】 平文から暗号文を得る暗号化方法におい
   て、暗号化すべき平文を分割してなる複数の成分を有す
   る平文ベクトルに複数の任意の乱数を成分とする乱数ベ
   クトルを加えた合成ベクトルと、公開されている公開ベ
   クトルとを用いて暗号文を得ることを特徴とする暗号化
   方法。
2. 【請求項２】 前記合成ベクトルの成分と前記公開ベク
   トルの成分との積和演算結果を法で割った剰余を暗号文
   とする請求項１に記載の暗号化方法。
3. 【請求項３】 平文から暗号文を得る暗号化方法におい
   て、暗号化すべき平文をｋ分割してなるｋ個の成分を有
   する第１ベクトルにｎ個の任意の乱数を成分とする第２
   ベクトルを加えた（ｋ＋ｎ）個の成分を有する第３ベク
   トルと、整数ｄ_i （１≦ｉ≦ｋ＋ｎ）を用いて（ｋ＋
   ｎ）個の各成分Ｄ_i がＤ_i ＝ｄ／ｄ_i （但し、ｄ＝ｄ₁
   ｄ₂ …ｄ_k+n ）に設定された第４ベクトルとを用いて暗
   号文を得ることを特徴とする暗号化方法。
4. 【請求項４】 平文から暗号文を得る暗号化方法におい
   て、暗号化すべき平文をｋ分割してなるｋ個の成分を有
   する第１ベクトルにｎ個の任意の乱数を成分とする第２
   ベクトルを加えた（ｋ＋ｎ）個の成分を有する第３ベク
   トルと、整数ｄ_i （１≦ｉ≦ｋ＋ｎ）及び乱数ｖ_i を用
   いて（ｋ＋ｎ）個の各成分Ｖ_i がＶ_i＝（ｄ／ｄ_i ）・
   ｖ_i （但し、ｄ＝ｄ₁ ｄ₂ …ｄ_k+n ）に設定された第４
   ベクトルとを用いて暗号文を得ることを特徴とする暗号
   化方法。
5. 【請求項５】 平文から暗号文を得る暗号化方法におい
   て、暗号化すべき平文をｋ分割してなるｋ個の成分を有
   する第１ベクトルにｎ個の任意の乱数を成分とする第２
   ベクトルを加えた（ｋ＋ｎ）個の成分を有する第３ベク
   トルと、Ｌ組（Ｌ≧２）の整数ｄ_i ^(y) （１≦ｉ≦ｋ＋
   ｎ，１≦ｙ≦Ｌ）を用いて各組毎に（ｋ＋ｎ）個の各成
   分Ｄ_i ^(y) がＤ_i ^(y) ＝ｄ^(y) ／ｄ_i ^(y) （但し、ｄ
   ^(y) ＝ｄ ₁ ^(y) ｄ₂ ^(y) …ｄ_k+n ^(y) ）に設定されたＬ
   組の第４ベクトルとを用いて暗号文を得ることを特徴と
   する暗号化方法。
6. 【請求項６】 平文から暗号文を得る暗号化方法におい
   て、暗号化すべき平文をｋ分割してなるｋ個の成分を有
   する第１ベクトルにｎ個の任意の乱数を成分とする第２
   ベクトルを加えた（ｋ＋ｎ）個の成分を有する第３ベク
   トルと、Ｌ組（Ｌ≧２）の整数ｄ_i ^(y) （１≦ｉ≦ｋ＋
   ｎ，１≦ｙ≦Ｌ）及び乱数ｖ_i ^(y) を用いて各組毎に
   （ｋ＋ｎ）個の各成分Ｖ_i ^(y) がＶ_i ^(y) ＝（ｄ^(y) ／
   ｄ_i ^(y)）・ｖ_i ^(y) （但し、ｄ^(y) ＝ｄ₁ ^(y) ｄ₂
   ^(y) …ｄ_k+n ^(y) ）に設定されたＬ組の第４ベクトルと
   を用いて暗号文を得ることを特徴とする暗号化方法。
7. 【請求項７】 ｇｃｄ（Ｖ_i ，ｄ_i ）＝１を満たす請求
   項４に記載の暗号化方法。
8. 【請求項８】 ｇｃｄ（Ｖ_i ^(y) ，ｄ_i ^(y) ）＝１を満
   たす請求項６に記載の暗号化方法。
9. 【請求項９】 ｇｃｄ（ｄ_i ^(y) ，ｄ_j ^(y) ）＝１（１
   ≦ｊ≦ｋ＋ｎ）を満たす請求項６または８に記載の暗号
   化方法。
10. 【請求項１０】 前記第３ベクトルの各成分と、前記第
    ４ベクトルを基にモジュラ変換した公開鍵ベクトルの各
    成分とによる積和演算に基づいて暗号文を得るようにし
    た請求項３〜９の何れかに記載の暗号化方法。
11. 【請求項１１】 平文から暗号文を得る暗号化方法にお
    いて、暗号化すべき平文を分割してなるｋ個の成分を有
    する第１ベクトル、ｎ個の任意の乱数を成分とする第２
    ベクトル、及び、前記ｋ個の成分または前記ｎ個の成分
    の位置を特定する情報を示すｈ個の成分を有する第３ベ
    クトルを加えたＫ（＝ｋ＋ｎ＋ｈ）個の成分を有する第
    ４ベクトルと、公開されている第５ベクトルとを用いて
    暗号文を得ることを特徴とする暗号化方法。
12. 【請求項１２】 前記暗号文は、前記第４ベクトルと前
    記第５ベクトルとを用いて得られる複数のブロックから
    構成されており、各ブロックにおいて、前記第４ベクト
    ルにおける前記ｈ個の成分の位置は同一である請求項１
    １に記載の暗号化方法。
13. 【請求項１３】 前記暗号文は、前記第４ベクトルと前
    記第５ベクトルとを用いて得られる複数のブロックから
    構成されており、前のブロックでの前記ｋ個の成分に応
    じて次のブロックでの前記第４ベクトルにおける前記ｋ
    個の成分または前記ｎ個の成分の位置を決定する請求項
    １１に記載の暗号化方法。
14. 【請求項１４】 前記暗号文は、前記第４ベクトルと前
    記第５ベクトルとを用いて得られる１つのブロックと、
    前記第３ベクトルのｈ個の成分を平文を分割してなるｈ
    個の成分に置き換えた前記第４ベクトルと前記第５ベク
    トルとを用いて得られる複数のブロックとから構成され
    ており、前のブロックでの平文を分割してなる前記ｋ個
    または（ｋ＋ｈ）個の成分に応じて次のブロックでの前
    記第４ベクトルにおける（ｋ＋ｈ）個の成分または前記
    ｎ個の成分の位置を決定する請求項１１に記載の暗号化
    方法。
15. 【請求項１５】 前記第５ベクトルは、整数ｄ_i （１≦
    ｉ≦Ｋ）を用いて各成分Ｄ_i がＤ_i ＝（ｄ／ｄ_i ）（但
    し、ｄ＝ｄ₁ ｄ₂ …ｄ_K ）に設定された第６ベクトルと
    を用いて生成する請求項１１〜１４の何れかに記載の暗
    号化方法。
16. 【請求項１６】 前記第５ベクトルは、整数ｄ_i （１≦
    ｉ≦Ｋ）及び乱数ｖ _i を用いて各成分Ｖ_i がＶ_i ＝（ｄ
    ／ｄ_i ）・ｖ_i （但し、ｄ＝ｄ₁ ｄ₂ …ｄ_K）に設定さ
    れた第６ベクトルとを用いて生成する請求項１１〜１４
    の何れかに記載の暗号化方法。
17. 【請求項１７】 前記第５ベクトルは、Ｌ組（Ｌ≧２）
    の整数ｄ_i ^(y) （１≦ｉ≦Ｋ，１≦ｙ≦Ｌ）を用いて各
    組毎にＫ個の各成分Ｄ_i ^(y) がＤ_i ^(y) ＝ｄ ^(y) ／ｄ_i
    ^(y) （但し、ｄ^(y) ＝ｄ₁ ^(y) ｄ₂ ^(y) …ｄ_K ^(y) ）に
    設定されたＬ組の第６ベクトルとを用いて生成する請求
    項１１〜１４の何れかに記載の暗号化方法。
18. 【請求項１８】 前記第５ベクトルは、Ｌ組（Ｌ≧２）
    の整数ｄ_i ^(y) （１≦ｉ≦ｋ＋ｎ，１≦ｙ≦Ｌ）及び乱
    数ｖ_i ^(y) を用いて各組毎にＫ個の各成分Ｖ _i ^(y) がＶ
    _i ^(y) ＝（ｄ^(y) ／ｄ_i ^(y) ）・ｖ_i ^(y) （但し、ｄ
    ^(y) ＝ｄ₁ ^(y)ｄ₂ ^(y) …ｄ_K ^(y) ）に設定されたＬ組
    の第６ベクトルとを用いて生成する請求項１１〜１４の
    何れかに記載の暗号化方法。
19. 【請求項１９】 ｇｃｄ（Ｖ_i ，ｄ_i ）＝１を満たす請
    求項１６に記載の暗号化方法。
20. 【請求項２０】 ｇｃｄ（Ｖ_i ^(y) ，ｄ_i ^(y) ）＝１を
    満たす請求項１８に記載の暗号化方法。
21. 【請求項２１】 ｇｃｄ（ｄ_i ^(y) ，ｄ_j ^(y) ）＝１
    （１≦ｊ≦Ｋ）を満たす請求項１８または２０に記載の
    暗号化方法。
22. 【請求項２２】 前記第４ベクトルの各成分と、前記第
    ６ベクトルを基にモジュラ変換した前記第５ベクトルの
    各成分とによる積和演算に基づいて暗号文を得るように
    した請求項１５〜２１の何れかに記載の暗号化方法。
23. 【請求項２３】 請求項１〜１０の何れかに記載の暗号
    化方法を用いて得られた暗号文を復号する復号方法であ
    って、前記平文ベクトルまたは前記第１ベクトルの成分
    を、前記乱数ベクトルまたは前記第２ベクトルの成分と
    は独立的に復号することを特徴とする復号方法。
24. 【請求項２４】 請求項１〜２または１１〜２１の何れ
    かに記載の暗号化方法を用いて得られた暗号文を復号す
    る復号方法であって、前記平文ベクトルまたは前記第１
    ベクトルの成分の位置を同定しながら、前記暗号文を平
    文に復号することを特徴とする復号方法。
25. 【請求項２５】 第１のエンティティ側で、請求項１に
    記載の暗号化方法に従って平文から暗号文を作成して第
    ２のエンティティ側へ伝送し、伝送された暗号文を該第
    ２のエンティティ側で平文に復号することにより、エン
    ティティ間で情報の通信を行う暗号通信方法であって、
    前記合成ベクトルにおける前記平文ベクトルの成分また
    は前記乱数ベクトルの成分の位置を前記第１のエンティ
    ティ側で設定し、その設定した位置を示す情報を前記第
    ２のエンティティ側へ報知することを特徴とする暗号通
    信方法。
26. 【請求項２６】 前記設定した位置を示す情報を、作成
    する暗号文に盛り込んで前記第２のエンティティ側へ伝
    送する請求項２５に記載の暗号通信方法。
27. 【請求項２７】 第１のエンティティ側で、請求項１に
    記載の暗号化方法に従って平文から暗号文を作成して第
    ２のエンティティ側へ伝送し、伝送された暗号文を該第
    ２のエンティティ側で平文に復号することにより、エン
    ティティ間で情報の通信を行う暗号通信方法であって、
    前記合成ベクトルにおける前記平文ベクトルの成分また
    は前記乱数ベクトルの成分の位置を前記第２のエンティ
    ティ側で設定し、その設定した位置を示す情報を前記第
    １のエンティティ側へ報知することを特徴とする暗号通
    信方法。
28. 【請求項２８】 両エンティティ間で暗号文による情報
    通信を行う暗号通信システムにおいて、請求項１〜２２
    の何れかに記載の暗号化方法を用いて平文から暗号文を
    作成する暗号化器と、作成した暗号文を第１のエンティ
    ティから第２のエンティティへ送信する通信路と、送信
    された暗号文から平文を復号する復号器とを備えること
    を特徴とする暗号通信システム。
29. 【請求項２９】 コンピュータに、平文から積和型の暗
    号文を得ることを実行させるためのコンピュータプログ
    ラムにおいて、暗号化すべき平文を分割してなる複数の
    成分を有する平文ベクトルに複数の任意の乱数を成分と
    する乱数ベクトルを加えて合成ベクトルを得る手順と、
    該合成ベクトルと公開されている公開ベクトルとを用い
    て暗号文を得る手順とを、コンピュータに実行させるこ
    とを特徴とするコンピュータプログラム。
30. 【請求項３０】 コンピュータに、平文から積和型の暗
    号文を得させるためのコンピュータプログラムを記録し
    てあるコンピュータでの読み取りが可能な記録媒体にお
    いて、暗号化すべき平文を分割してなる複数の成分を有
    する平文ベクトルに複数の任意の乱数を成分とする乱数
    ベクトルを加えた合成ベクトルを得ることをコンピュー
    タに実行させるプログラムコード手段と、該合成ベクト
    ルと公開されている公開ベクトルとを用いて暗号文を得
    ることをコンピュータに実行させるプログラムコード手
    段とを含むコンピュータプログラムを記録してあること
    を特徴とする記録媒体。