JP2002207425A

JP2002207425A - 鍵生成装置、方法及びプログラム

Info

Publication number: JP2002207425A
Application number: JP2001004043A
Authority: JP
Inventors: Koichiro Akiyama; 浩一郎秋山
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2001-01-11
Filing date: 2001-01-11
Publication date: 2002-07-26

Abstract

(57)【要約】【課題】公開鍵暗号方式の専門家でなくとも、公開鍵
暗号の公開鍵ペアを容易且つ確実に生成可能とする。【解決手段】鍵のビット長、時間計算量並びに空間計
算量のうち、１種類以上に関して指定された値に基づい
て、方式選択テーブルＴ１から該当する組合せを抽出す
る組合せ抽出ステップと、所定の方式優先条件に基づい
て、組合せ抽出ステップにより抽出された組合せに規定
された各鍵生成方式のうち、１つの鍵生成方式を選択す
る方式選択ステップと、第２の鍵生成方式が選択された
とき、所定のパラメータ優先条件に基づいて、組合せ抽
出ステップにより抽出された組合せに属する各生成パラ
メータのうち、１つの生成パラメータを選択するパラメ
ータ選択ステップと、方式選択ステップ並びにパラメー
タ選択ステップによる選択結果に基づいて、鍵を生成す
る鍵生成ステップとを含んでいる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、楕円曲線暗号やＲ
ＳＡ暗号などの公開鍵暗号の鍵生成装置、方法及びプロ
グラムに関する。

【０００２】

【従来の技術】近年の情報化社会においては、従来から
の専用線によるアナログ信号の送信から、インターネッ
トのようにオープンなネットワークを利用したデジタル
情報の送信への移行に伴い、デジタル情報のセキュリテ
ィが重要な課題となっている。

【０００３】例えば、デジタル情報の送信は、インター
ネットの場合、途中で幾つかのサイトと呼ばれるコンピ
ュータを経由して他のサイトへ送られる。このため、途
中のサイトで第三者によってデジタル情報が読出又は改
ざんされる可能性がある。これを防ぐセキュリティ技術
が暗号技術である。

【０００４】暗号技術によれば、例えば送信者が、予め
受信者との間で共有した共通の鍵を使って送信データを
暗号化して送信する。よって、送信データ自体が途中の
サイトで盗まれても、送信内容は第三者に解読されずに
秘密が保たれる。係る送信者と受信者が共通の鍵を使っ
て秘密通信する方式を共通鍵暗号という。この共通鍵暗
号は、鍵自体には特徴がなく、固定長の乱数データを鍵
とすればよいので、鍵の生成技術や生成時間をあまり必
要としない利点をもつ。

【０００５】さてインターネットでは、ネット上で商品
の注文と決済が可能な電子商取引と呼ばれるシステムが
出現している。多くの電子商取引は、決済をクレジット
カードベースで行なう。このため、注文の際に、購入者
が注文書と共にクレジットカード番号をネット上の販売
店のサーバと呼ばれるコンピュータに送信する必要があ
る。

【０００６】共通鍵暗号によれば、カード番号や注文書
のデータを暗号化して送信することにより、送信内容を
第三者から保護できる。但し、共通鍵暗号は、販売店と
購入者とがそれぞれ共通の鍵を持つ必要上、一旦、鍵を
オフラインで販売店から購入者に配送する作業を伴うの
で、購入者が不特定多数である電子商取引には極めて煩
雑な方式となる。

【０００７】そこで、電子商取引においては、共通鍵暗
号に代えて、公開鍵暗号と呼ばれる暗号技術が広く用い
られる。公開鍵暗号は、暗号化する鍵と復号する鍵が別
々に存在し、暗号化する鍵から復号する鍵が、復号する
鍵から暗号化する鍵がそれぞれ容易には算出できない特
徴を持つ暗号方式である。公開鍵暗号では、このような
特徴から、暗号化する鍵を公開しても安全である性質を
もつ。この性質により、暗号化する鍵が公開鍵と呼ば
れ、復号する鍵が秘密鍵と呼ばれて区別される。

【０００８】係る公開鍵暗号によれば、販売店が公開鍵
と秘密鍵のペアを持ち、顧客が公開鍵で注文書やクレジ
ットカードを暗号化して販売店に送信すればよいので、
新規の顧客に対してもその場で安全に注文を受け決済が
可能となる。

【０００９】但し、公開鍵暗号は、その特徴のゆえに公
開鍵と秘密鍵のペアを生成する際に、相当な技術を要す
る上、相当な生成時間を要する場合が多い。補足する
と、公開鍵暗号には、例えば楕円曲線暗号及びＲＳＡ暗
号があり、それぞれ図８に示すような特徴をもつ鍵生成
方式が知られている。次に、この図８に示された鍵生成
方式について順次説明するが、その前に楕円曲線と楕円
曲線暗号について簡単に述べる。

【００１０】（楕円曲線）楕円曲線とは、定数ａ，ｂを
用いて次の（１）式のように表現され、図９に示すよう
な概形を有し、定数ａ，ｂの値により形状が様々に定義
される。

【００１１】ｙ^２=ｘ^３+ａｘ＋ｂ …（１）係る楕円曲線は、曲線上の点同士の点演算を定義可能で
あるという面白い性質を有する。点演算は、図１０のよ
うに定義される。すなわち、点Ｐと点Ｑとを足した点Ｐ
＋Ｑは、まず点Ｐと点Ｑを結ぶ直線ＰＱを引き、直線Ｐ
Ｑと楕円曲線がＰ，Ｑ以外で交わる点をＲとしたとき、
点Ｒをｘ軸に対称に移動した点Ｒ’として定義される。

【００１２】ここで、点Ｐと点Ｑが同じ点の場合、直線
ＰＱを点Ｐ（＝点Ｑ）の接線として同様に定義される。
更に、整数ｋにより、点Ｐをｋ回足すという演算がｋＰ
として表現される。

【００１３】また、楕円曲線上には無限遠点と呼ばれる
特殊な点Ｏが存在する。無限遠点Ｏは、任意の点Ｐに対
しＰ+Ｏ=Ｐとなる特徴を有し、整数の加法における０の
ような性質を持つ元である。また、点Ｐに対しｎＰ＝Ｏ
となる最小の自然数ｎを「点Ｐの位数」という。

【００１４】さて、楕円曲線を実際に暗号として用いる
際には、各点をデジタル化する必要があり、その一つの
形態が素体Ｆｐという有限体を用いる方法である。素体
Ｆｐとは、整数α，βを素数ｐで割った余りの集合（剰
余系）に、次式で表される加法演算と乗法演算を導入し
たものである。

【００１５】（α＋β）ｍｏｄｐ ≡α ｍｏｄ
ｐ＋β ｍｏｄｐ（α＊β）ｍｏｄｐ ≡α ｍｏｄｐ＊β ｍｏ
ｄｐすなわち、整数αをｐで割った余り（α ｍｏｄｐ）
と、整数βをｐで割った余り（β ｍｏｄｐ）との加
法を、整数α＋βをｐで割った余りと定義する。また、
整数αをｐで割った余りと、整数βをｐで割った余りと
の乗法を、整数α＊βをｐで割った余りと定義する。ま
た、素数ｐの剰余系では、任意の元同士の減算を定義で
きる上、０以外の任意の元を除数とする割算も定義でき
る。

【００１６】すなわち、素体Ｆｐでは、実数などと同様
に加減乗除を定義できるため、素体Ｆｐ上でも楕円曲線
上の点演算を実現できる。なお、素数ｐを素体Ｆｐの標
数という。楕円曲線を素体Ｆｐ上で考えると（素体Ｆｐ
がｐ個の元からなる有限集合なので）、楕円曲線上の点
の数は有限になる。ここで、「楕円曲線上の点の数」
は、「楕円曲線の位数」と呼ばれる。

【００１７】（楕円曲線暗号）楕円曲線暗号とは、楕円
曲線上の点Ｐと点Ｂとの間に「Ｐ=ｓＢ」の関係がある
とき、点Ｐと点Ｂが公開されても、整数ｓを算出するこ
とが計算理論上極めて困難である旨を根拠とした公開鍵
暗号である。

【００１８】なお、この「Ｐ=ｓＢ」からｓを求める問
題を楕円曲線上の離散対数問題という。すなわち、楕円
曲線暗号は、楕円曲線上の離散対数問題の難しさに安全
性の根拠をおいた暗号である。

【００１９】ここで、楕円曲線暗号の公開鍵は、楕円曲
線Ｅと、ベースポイントと呼ばれる楕円曲線Ｅ上の無限
遠点Ｏ以外の点Ｂと、点Ｂをｓ倍した点Ｐ（＝ｓＢ）
と、の三者（Ｅ，Ｂ，Ｐ）からなる。倍数ｓは秘密鍵で
ある。

【００２０】「Ｐ=ｓＢ」を解く楕円曲線上の離散対数
問題の難しさは、ベースポイントＢの位数に大きく依存
する。例えば、ベースポイントＢの位数が小さいとき、
楕円曲線暗号の安全性が大きく低下する。

【００２１】ここで、「楕円曲線上の任意の点の位数」
は、「楕円曲線の位数の約数」である。このため、楕円
曲線の位数が素数のとき、楕円曲線上の（無限遠点Ｏ以
外の）任意の点の位数は、楕円曲線の位数と一致する。
すなわち、当該楕円曲線上の任意の点の位数は、当該楕
円曲線上の点が持ち得る最大の位数をもつ。これは、ベ
ースポイントＢの位数も最大の位数となり、楕円曲線暗
号の安全性を保証することを意味する。よって、楕円曲
線暗号としては、公開鍵の生成の際に、素数位数の楕円
曲線を生成することが（必須ではないが）望ましい。

【００２２】他に安全性に関する条件として、既存の解
読法によれば、素体Ｆｐ上の楕円曲線Ｅの位数を＃
（Ｅ）とし、次の（２）式に示すように、トレースｔを
定めたとき、ｔ＝０，１，２となる楕円曲線を用いた楕
円曲線暗号は解読されることが知られている。

【００２３】ｔ＝ｐ＋１−＃（Ｅ） …（２）すなわち、トレースｔ＝０，１，２となる楕円曲線を公
開鍵に用いないことが必須である。なお、楕円曲線のト
レースｔは、次の（３）式の範囲の値を取ることが知ら
れている。

【００２４】｜ｔ｜≦２・ｐ^1/2 …（３）また、他には、楕円曲線の位数＃（Ｅ）が小さな素数の
積だと解読されることが知られており、楕円曲線の位数
＃（Ｅ）を小さな素数の積にしないことが必須である。

【００２５】なお、現在安全と考えられている楕円曲線
暗号のビット数は、１６０ビットである。このため、１
６０ビットの素数ｐを用い、ｘに約２０バイトの平文を
埋込むことにより、約２０バイトを１ブロックとする公
開鍵暗号系が実現される。

【００２６】（楕円曲線暗号の鍵生成方法）楕円曲線暗
号の公開鍵として、素数位数の楕円曲線を求める鍵生成
方法は、例えば文献「I.F.Blake, G.Seroussi, and N.
P.Smart, :“Elliptic curves in Cryptography”. Lon
don Mathematical Society Lecture Note Series. 265,
Cambridge University Press, pages 109-158 (199
9)」及び「岡本龍明，大田和夫編：暗号・ゼロ知識証明
・数論，共立出版，p.189-193, p.234（1995）」に記載
されており、図８に示したように、現在２種類の方式が
存在する。

【００２７】１つ目は、ＳＥＡ（Schoof-Elkies-Atki
n：スクーフ・エルキス・アトキン）法と呼ばれる方式
であり、Ｆｐ上の楕円曲線をランダムなａ，ｂにより生
成した後、楕円曲線の位数を計算し、位数の素数判定を
行なう鍵生成方法である。

【００２８】２つ目は、ＣＭ（Complex Multiplicatio
n：虚数乗法）法と呼ばれる方式であり、位数とする素
数ｑと標数ｐの組合せを決め、素数ｑを位数とするＦｐ
の楕円曲線を求める鍵生成方法である。

【００２９】ＳＥＡ法は計算量が膨大なため、リアルタ
イムな生成や大量の鍵の短時間の生成は困難であるが、
生成される鍵に何らの制限もないため、攻撃のための手
がかりが乏しく、安全性の面で優れた鍵を生成し得る特
徴がある。

【００３０】一方、ＣＭ法は計算量が少ないため、リア
ルタイムな生成や大量の鍵の短時間の生成が可能である
が、生成される鍵にＣＭ理論上の制限があるため、解読
のための手がかりが存在し、安全性の面でＳＥＡ法より
劣る特徴がある。

【００３１】以下、これらの鍵生成方法について詳しく
説明する。（ＳＥＡ法）ＳＥＡ法は、ｌを小さな素数（２，３，
５，７，…）としたとき、それぞれのｌに対し、与えら
れた楕円曲線のトレースを“ｔ≡ｔｌ（ｍｏｄｌ）”
の合同式で求め、各々の合同式を中国剰余定理によって
組合せることにより、トレースｔを求める方式である。

【００３２】これは、ｌを小さな素数とすれば、以下に
述べる手段により、ｔｌが比較的容易に求まることを利
用したものである。

【００３３】まず、素体Ｆｐ上の楕円曲線上で次のよう
な写像を定義する。

【００３４】

【数１】

【００３５】この写像は、全射（上への写像）となり、
フロベニウス（Frobenius）全射準同型と呼ばれてい
る。更にこのフロベニウス全射準同型によって、次の
（４）式の成り立つ旨が知られている。

【００３６】φ^２−ｔφ＋ｐ＝０ …（４）

【数２】

【００３７】Ｅ（Ｆｐ⁻）の上でこの関係を考えると、
Ｅ（Ｆｐ）上には無いｌ分点（ｌ−torsion points）が
現れ、それをＥ［ｌ］とすると、次式の関係となること
が知られている。

【００３８】

【数３】

【００３９】いま、（ｌ，ｐ）＝１となる素数ｌに対
し、Ｅ［ｌ］上でフロベニウス全射準同型を考えると、
次の関係が成り立つ。

【００４０】 φ_l ^２−ｔ_lφ_l＋ｐ＝０ｔｌ≡ｔ（ｍｏｄｌ）すなわち、（ｌ，ｐ）＝１となる素数ｌに対し、Ｐ∈Ｅ
［ｌ］を考えると、次の関係が成り立つ。

【００４１】（φ_l ^２−ｔ_lφ_l＋ｐ）Ｐ＝Ｏｔｌ≡
ｔ（ｍｏｄｌ）ここで、（３）式から、このような素数ｌを小さな値か
ら順に集めて次式を満足するＬを定める。

【００４２】

【数４】

【００４３】続いて、各素数ｌ（＝３，５，７，１１，
…，Ｌ）に対し、それぞれｔｌ（≡ｔｍｏｄｌ）を
求め、それを中国剰余定理に掛ければｔが一意的に求ま
る。これがＳＥＡ法の基本原理である。このｔｌを効果
的に求める際に、次に詳しく述べる分割多項式（divisi
on polynomial）を用いる。

【００４４】分割多項式は、楕円曲線の基になった複素
数体Ｃ上定義されたペー関数の性質から導かれるが、こ
こではその部分を省略して漸化式として定義する。

【００４５】［定義１］まず、Ｃ上定義された楕円曲線
「ｙ^２＝ｘ^３＋ａｘ＋ｂ」に対し、ｌ分点Ｅ［ｌ］を表
現する以下のような２変数多項式Ψl(x,y)（ｌ＝１，
２，…）が存在する。

【００４６】Ψ1(x、y)＝１， Ψ2(x、y)＝２ｙ Ψ3(x、y)=３ｘ^４＋６ａｘ^２＋１２ｂｘ−ａ^２ Ψ4(x、y)=４ｙ(ｘ⁶＋５ａｘ⁴＋20ｂｘ³−５ａ²ｘ²−４
ａｂｘ−８ｂ²＋ａ³)… これらのΨnは、次の漸化式で示される。

【００４７】

【数５】

【００４８】この漸化式で与えられるΨnに対し、下記
式で定義されるｘの多項式ｆnを（整数Ｚ上の）分割多
項式（division polynomial）という。

【００４９】ｆn（ｘ）＝Ψn(x,y) （ｎ：奇数）ｆn（ｘ）＝Ψn(x,y)／ｙ（ｎ：偶数）ここで、ｆn（ｘ）の次数は（n,p）＝１の時、ｄｅｇ（ｆｎ）＝（ｎ^２−１）／２（ｎ：奇数）ｄｅｇ（ｆｎ）＝（ｎ^２−４）／２（ｎ：偶数）となる。さらにこれらの多項式は、Ｃ上定義されている
が、係数は全て整数なのでｐの剰余をとれば、Ｆｐ上の
多項式として取扱い可能である。この分割多項式に関し
て以下の定理が成り立つ。

【００５０】［定理１］楕円曲線Ｅ（Ｆｑ⁻）上の任意
の点（ｘ，ｙ）でｎＰ＝Ｏ（ｎ≧１）のとき、下記式が
成立する。

【００５１】

【数６】

【００５２】［定理２］楕円曲線Ｅ（Ｆｑ⁻）上の任意
の点Ｐに対して次の関係が成り立つ。

【００５３】

【数７】

【００５４】以上のことを次の関係式に対して適用す
る。

【００５５】 φ_l ²−ｔ_lφ_l＋ｐ＝０ｔl≡ｔｍｏｄｌこのとき、ｐ≡ｋ（ｍｏｄｌ）において、次式が成り
立つ。

【００５６】

【数８】という関係式が成り立つので、ｔを１，２，…，ｌ−１
の範囲で動かして、Ｅ［ｌ］の全ての点で上記の式を満
たすようなｔｌを求めれば良い。

【００５７】これは［定理２］から、Ｈ１（ｘ），Ｈ２
（ｘ）がｆｌ（ｘ）を割り切ることと同値であることが
分かる。更に上記の関係式は（１）式と、ｆｌ（ｘ）の
定義により、Ψl（ｘ）をｆｌ（ｘ）に変換できるの
で、ｘだけの式にできる。よって、必要な計算は、次の
２つのｇｃｄの計算となる。

【００５８】ｇｃｄ（Ｈ１（ｘ），ｆｌ（ｘ）），ｇｃ
ｄ（Ｈ２（ｘ），ｆｌ（ｘ））しかし、多項式ｆｌの次数deg(fl)が下記式の大きさと
なるので、ｌ＞５０程度になれば1000次以上の多項式の
計算となり、相当な計算量を必要とする。

【００５９】ｄｅｇ（ｆｌ）＝（ｌ^２−１）／２又は
（ｌ^２−４）／２例えば、現在安全と考えられる楕円曲線を求めるには、
ｌ＝７３程度までの計算が必要であり、この計算には約
１時間を要する。しかも、得られたｔから位数を求めて
も、その位数が素数でなければ、パラメータを変更して
再度同様の計算をする必要があるので、相当の時間が掛
かる。

【００６０】このため、エルキス（Elkies）やアトキン
（Atkin）は、モジュラ方程式（modular equation）を
利用し、ｆｌの代わりに次数が（ｌ−１）／２となるよ
うなｇｌを開発し、高速化を図った。しかし、それでも
リアルタイムに処理するにはかなり難がある。

【００６１】また、ＳＥＡ法においては、Ψの分割多項
式やモジュラ方程式をメモリ上に展開する必要があるた
め、現在のパーソナルコンピュータ並みのメモリ容量が
必要となり、一般の情報機器では利用できない場合もあ
る。しかしながら、必要な計算量の見当や、使用したい
情報機器で利用可能か否かの判断は、専門家でなければ
困難となっている。

【００６２】（ＣＭ法）ＣＭ法は、まず、素体Ｆｐ上の
楕円曲線Ｅの位数を＃（Ｅ）と書き、ｔを楕円曲線のト
レースとし、Ｄ＜０を（５）式で定義する。

【００６３】ｔ^２−ω^２Ｄ＝４ｐ …（５）ここで、このＤに対し、虚２次体Ｑ・Ｄ^1/2を考える。
虚２次体Ｑ・Ｄ^1/2は、有理数Ｑと虚数Ｄ^1/2を含む最小
の体であり、付随するヒルベルト類多項式ＨD（ｘ）が
存在する。

【００６４】ここで、ヒルベルト類多項式ＨD（ｘ）の
Ｆｐ上での根ｊを用い、ｃをＦｐ上の定数として下記
（６）式のように定数ａ，ｂを決定すると、生成された
楕円曲線は位数＃（Ｅ）を持つことが知られている。

【００６５】ａ=３ｃ^２（ｊ／（1728−ｊ））ｂ=２ｃ^３（j／（1728−ｊ）） …（６）一方、与えられたＤに対して、（５）式のｔ，ω，ｐを
決定する必要がある。これに関して以下の方法が知られ
ている。まず、ｐを決定し、このｐと、与えられたＤと
を用い、（５）式を２元２次方程式と考えて解き、ｔ，
ωを求める。

【００６６】このような方程式の解法はコーナッチャ
（Cornacchia）のアルゴリズムとして知られており、計
算量はそれほどかからない。但し、解が求まらない場合
があるので、その場合はｐを変更して再計算する必要が
ある。

【００６７】このようにして、（６）式のａ，ｂをパラ
メータに持つ楕円曲線の位数#（Ｅ）が（２）式から分
かる訳である。ここで素数位数の楕円曲線を求めたい場
合は、＃（Ｅ）の素数判定を行い、素数でない場合はｐ
の決定からし直す。

【００６８】以上のＣＭ法のアルゴリズムにおいて、最
も計算量が掛かるプロセスはｔ，ω，ｐが決まった段階
で、ＨD（ｘ）の根をＦｐ上で求めるプロセスである。

【００６９】ここで、ＨD（ｘ）は、一般に付随する虚
２次体Ｑ・Ｄ^1/2の類数だけの次数があり、虚２次体Ｑ
・Ｄ^1/2の類数はＤに比例して大きくなる傾向にあるこ
とが知られている。

【００７０】これにより、ヒルベルト類多項式ＨD
（ｘ）に付随する虚２次体Ｑ・Ｄ^1/2の類数が高くなる
に従い（ＨD（ｘ）の次数が高くなり）、根を求める計
算の計算量が次第に大きくなる。すなわち、虚２次体Ｑ
・Ｄ^1/2の類数のうち、大きい値を選択すると、鍵生成
時間を増大させることになる。

【００７１】しかし、低い類数を選択して生成された鍵
は、類数の制限がヒントとなり、将来的に解読法が作ら
れる可能性が残っている。従って、安全性を向上させる
観点から、類数の制限を減らすことが望まれる。

【００７２】（ＲＳＡ暗号の鍵生成方法）ＲＳＡ暗号
は、楕円曲線暗号と同様に、鍵生成に相当の処理時間が
掛かる。ＲＳＡ暗号の鍵生成方法は、楕円曲線暗号の鍵
生成ほど複雑ではないが、鍵の信頼性を上げようとする
と、前述同様に、リアルタイムで可能な方式と、リアル
タイムでは不可能な方式とが考えられる。

【００７３】さて、ＲＳＡ暗号の鍵生成は、二つの素数
ｐ，ｑとそれらを掛け合わせたｎ＝ｐｑを基に、次の
（７）式を満たすｅ，ｄを求めることである。

【００７４】ｅｄ≡１（ｍｏｄ（ｐ−１）（ｑ−１）） …（７）ここで、ｅ，ｄを求めるには、ｅを２から（ｐ−１）
（ｑ−１）−１の範囲で適当に定め、ｄを（７）式から
ユークリッドの互除法を用いて求めればよい。ユークリ
ッドの互除法は、少しの計算時間で済む。

【００７５】ここで、例えばｅ，ｎを公開鍵，ｄを秘密
鍵とすると、ＲＳＡ暗号系を構成できる。なお、ｅ，ｎ
を公開しているので、ｎの素因数分解ｎ＝ｐｑが分かれ
ば（ｐ−１）（ｑ−１）が求まり、秘密鍵ｄが容易に分
かってしまう。このため、ＲＳＡ暗号の安全性は、ｎの
素因数分解の困難性に依存している。

【００７６】ｎの素因数分解の困難性は、素数ｐ，ｑを
大きな値とすることや（ｐ＋１）又は（ｐ−１）を小さ
な素数の積としないことにより保たれる。なお、素数
ｐ，ｑは少なくとも５１２ビット以上でないと安全性に
問題があるので、鍵生成時間の殆どは素数判定のために
費やされる。

【００７７】すなわち、ＲＳＡ暗号の鍵生成は、素数判
定が主な処理となっており、図８に示したように、確定
的素数判定法と確率的素数判定法がある。これら両素数
判定法は、それぞれ素数であるための必要条件を確認す
る複数の判定基準から構成されている。このため合成数
を素数判定すると、途中のいずれかの判定基準を満たさ
なくなると期待される。

【００７８】確定的素数判定法は、被判定数に従って判
定基準を適切に組むことにより、全ての判定基準を満た
せば被判定数が素数であることが数学的に証明された方
式である。

【００７９】一方、確率的素数判定法は、素数と判定さ
れた数が合成数である確率（以下、失敗確率という）が
０には至らない方式である。信頼性は乏しいが、時間計
算量、空間計算量、共に少ない方式である。

【００８０】一般に、確定的素数判定法は、確率的素数
判定法よりも時間計算量及び空間計算量の両方に数倍の
消費があるものの、高い信頼性を有している。但し、確
率的素数判定法であっても通過させる判定基準の数を増
やして失敗確率を下げて行くと、信頼性は向上するが、
次第に確定的素数判定法の時間計算量に近づいてしま
う。この意味でＲＳＡ暗号における確定的素数判定法と
確率的素数判定法との関係は、楕円曲線暗号におけるＳ
ＥＡ法とＣＭ法の関係と同じである。

【００８１】すなわち、ＲＳＡ暗号と楕円曲線暗号は、
鍵の生成の際に、信頼性や安全性と、利用し得る計算量
とのトレードオフを考慮しつつ、専門の技術者もしくは
研究者などにより、最適な素数生成法を選択することが
必要である。

【００８２】

【発明が解決しようとする課題】以上説明したように公
開鍵暗号の鍵生成方式では、様々な特徴をもつ複数の方
式が並存している。そのため、鍵生成の際には、各鍵生
成方式の特徴を熟知した専門の技術者もしくは研究者が
最適な方式を選択することが必要である。

【００８３】これに反し、未熟練者が鍵を生成すると、
例えば長大な時間計算量をかけることにより、鍵生成を
途中で諦めるといった不具合や、膨大な空間計算量を消
費することにより、メモリ容量を不足させて鍵生成が不
可となるといった不具合の生じる可能性が多々ある。

【００８４】本発明は上記実情を考慮してなされたもの
で、公開鍵暗号方式の専門家でなくとも、公開鍵暗号の
公開鍵ペアを容易且つ確実に生成し得る鍵生成装置、方
法及びプログラムを提供することを目的とする。

【００８５】

【課題を解決するための手段】本発明の骨子は、それぞ
れ特徴をもつ複数の鍵生成方式を利用者の利用目的や利
用環境（鍵生成環境）に合わせて最適に自動選択する構
成により、利用目的や利用環境に適合した鍵生成方式を
提供することにある。更に１つの鍵生成方式の中でも生
成パラメータを最適に設定し、利用目的や利用環境に適
応させた鍵生成処理を提供することにある。なお、「最
適に」とは、「安全性又は信頼性を最も高くするよう
に」という意味である。

【００８６】以上のような本発明の骨子に基づいて具体
的には以下のような手段が講じられる。なお、以下の各
発明は、「装置」を例に挙げて説明するが、これに限ら
ず、「方法」又は「プログラム」等としてもよい。ま
た、本発明は、楕円曲線暗号及びＲＳＡ暗号を例に挙げ
て述べるが、これに限らず、他の公開鍵暗号に関しても
複数の鍵生成方式を選択的に実行可能とするように、選
択テーブルの内容を予め設定しておくことにより、他の
公開鍵暗号にも同様に適用できる。

【００８７】第１の発明は、複数の鍵生成方式のうち、
いずれかの鍵生成方式に基づいて鍵を生成する公開鍵暗
号の鍵生成装置であって、鍵生成装置本体の空間計算量
の上限値と、ユーザが指定する鍵ビット長及び時間計算
量の上限値とに基づいて、前記鍵生成方式を選択する選
択手段と、前記選択手段による選択結果に基づいて、前
記鍵を生成する鍵生成手段と、を備えた鍵生成装置であ
る。

【００８８】以上のように、鍵ビット長の如き簡単なパ
ラメータを指定するだけで鍵生成方式が選択されるの
で、公開鍵暗号方式の専門家でなくとも、公開鍵暗号の
公開鍵ペアを容易且つ確実に生成することができる。

【００８９】第２の発明は、公開鍵暗号に用いられ、複
数の鍵生成方式のうち、いずれかの鍵生成方式に基づい
て鍵を生成する鍵生成装置であって、鍵のビット長の複
数の下限値、時間計算量の複数の上限値並びに空間計算
量の複数の上限値のうち、１種類以上を組合せた組合せ
が規定された第１の鍵生成方式、および鍵のビット長の
複数の下限値、時間計算量の複数の上限値、空間計算量
の複数の上限値並びに鍵生成の複数の生成パラメータの
うち、１種類以上を組合せた組合せが規定された第２の
鍵生成方式が設定された選択テーブルと、鍵のビット
長、時間計算量並びに空間計算量のうち、１種類以上に
関して指定された値に基づいて、前記選択テーブルから
該当する組合せを抽出する組合せ抽出手段と、所定の方
式優先条件に基づいて、前記組合せ抽出手段により抽出
された組合せに規定された各鍵生成方式のうち、１つの
鍵生成方式を選択する方式選択手段と、前記方式選択手
段によって選択された鍵生成方式に基づいて、前記鍵を
生成する鍵生成手段と、を備えた鍵生成装置である。

【００９０】ここで、選択テーブル内で第１の鍵選択方
式を規定する組合せは、「鍵のビット長の複数の下限
値」をＡとし、「時間計算量の複数の上限値」をＢと
し、「空間計算量の複数の上限値」をＣとしたとき、
「Ａ」「Ｂ」「Ｃ」「Ａ，Ｂ」「Ａ，Ｃ」「Ｂ，Ｃ」
「Ａ，Ｂ，Ｃ」の７通りのうち、任意の１通りである。

【００９１】また、第２の鍵選択方式を規定する組合せ
は、「鍵生成の複数の生成パラメータ」をＤとしたと
き、前述した７通りの組合せに対し、「Ｄ」「Ａ，Ｄ」
「Ｂ，Ｄ」「Ｃ，Ｄ」「Ａ，Ｂ，Ｄ」「Ａ，Ｃ，Ｄ」
「Ｂ，Ｃ，Ｄ」「Ａ，Ｂ，Ｃ，Ｄ」の７通りを加えた合
計１４通りのうち、任意の１通りである。

【００９２】なお、これら組合せにおいて、組合せから
外れた要素（例、第１の鍵生成方式に係る組合せが
「Ｂ，Ｃ」の場合の「Ａ」）は、固定値（例、１つの下
限値）として組合せ抽出手段に設定される。

【００９３】以上のように、生成パラメータや計算量の
組合せを載せた選択テーブルを設けた構成により、指定
された値に基づいて該当する組合せが抽出され、しかる
後、この組合せのうち、方式優先条件に基づく最適な鍵
生成方式が選択される。従って、公開鍵暗号方式の専門
家でなくとも、公開鍵暗号の公開鍵ペアを容易且つ確実
に生成することができる。

【００９４】第３の発明は、第２の発明において、前記
方式選択手段により第２の鍵生成方式が選択されたと
き、所定のパラメータ優先条件に基づいて、前記組合せ
抽出手段により抽出された組合せに属する各生成パラメ
ータのうち、１つの生成パラメータを選択するパラメー
タ選択手段を備えており、前記鍵生成手段が、前記方式
選択手段並びに前記パラメータ選択手段による選択結果
に基づいて、前記鍵を生成する鍵生成装置である。

【００９５】これにより、第２の発明の作用に加え、パ
ラメータ優先条件により最適な生成パラメータが選択さ
れるので、公開鍵暗号の公開鍵ペアをより一層、容易且
つ確実に生成することができる。

【００９６】なお、第２，第３の発明において、選択テ
ーブル内の第１の鍵生成方式を省略し、併せて、方式選
択手段を省略しても良い。この場合、第２，第３の発明
は、鍵生成方式の選択機能が省略された簡易な構成とな
り、第２の鍵生成方式に関して生成パラメータの選択機
能を有する鍵生成装置として機能する。

【００９７】第４の発明は、第１〜第３の各発明におい
て、前記公開鍵暗号が楕円曲線暗号である鍵生成装置で
ある。これにより、楕円曲線暗号について、第１〜第３
の各発明の作用を得ることができる。

【００９８】第５の発明は、第４の発明において、前記
第１の鍵生成方式がＳＥＡ法であり、前記第２の鍵生成
方式がＣＭ法であり、前記各生成パラメータが類数であ
り、前記方式優先条件が前記ＣＭ法よりも前記ＳＥＡ法
を優先する旨を示し、前記パラメータ優先条件が最大の
類数を優先する旨を示す鍵生成装置である。これによ
り、第４の発明の作用を極めて容易且つ確実に奏するこ
とができる。

【００９９】第６の発明は、第１〜第３の各発明におい
て、前記公開鍵暗号がＲＳＡ暗号である鍵生成装置であ
る。これにより、ＲＳＡ暗号について、第１〜第３の各
発明の作用を得ることができる。

【０１００】なお、第６の発明の例として、前記第１の
鍵生成方式が確定的素数判定法を用いた方式であり、前
記第２の鍵生成方式が確率的素数判定法を用いた方式で
あり、前記各生成パラメータが失敗確率であり、前記方
式優先条件が前記確率的素数判定法よりも前記確定的素
数判定法を優先する旨を示し、前記パラメータ優先条件
が最小の失敗確率を優先する旨を示すものとした鍵生成
装置としてもよい。これにより、第６の発明の作用を極
めて容易且つ確実に奏することができる。

【０１０１】

【発明の実施の形態】以下、本発明の各実施形態につい
て図面を参照して説明する。（第１の実施形態）図１は本発明の第１の実施形態に係
る鍵生成装置の構成を示すブロック図である。この鍵生
成装置は、楕円曲線暗号に適用されたものであり、方式
選択テーブル格納部１、ユーザＩ／Ｆ２、ビット長読取
部３、時間計算量読取部４、メモリ容量読取部５、制御
部６、ＳＥＡ法実行部７、ＣＭ法実行部８及び鍵出力部
９を備えている。

【０１０２】ここで、方式選択テーブル格納部１は、Ｓ
ＥＡ法又はＣＭ法を選択するための方式選択テーブルＴ
１が予め格納されたものであり、制御部６から読出可能
となっている。

【０１０３】方式選択テーブルＴ１は、図２に一例を示
すように、大きく分けて方式、パラメータ、計算量の３
つの欄から構成されている。

【０１０４】方式の欄は、ＳＥＡ法又はＣＭ法を示して
いる。パラメータの欄は、ＳＥＡ法及びＣＭ法の各方式
で取り得るパラメータを示している。ＳＥＡ法のパラメ
ータは鍵のビット長であり、ＣＭ法のパラメータは鍵の
ビット長と許容する最大類数である。

【０１０５】計算量の欄は、各方式の各パラメータで鍵
生成する時に必要な時間計算量及び空聞計算量を示して
いる。例えば、ＳＥＡ法により、２００ビットの鍵を生
成する場合、時間計算量６８０秒、空間計算量１００Ｍ
Ｂを要する旨を示している。また例えば、ＣＭ法によ
り、１６０ビットの鍵を類数５の虚２次体を基に生成す
る場合、時間計算量３０秒、空間計算量３０ＫＢを要す
る旨を示している。

【０１０６】ユーザＩ／Ｆ２は、鍵生成の開始時にユー
ザにパラメータ及び時間計算量の入力を促す機能と、ユ
ーザにより入力された（鍵の）ビット長をビット長読取
部３に送出する機能と、ユーザにより入力された時間計
算量を時間計算量読取部４に送出する機能と、制御部６
から受けたメッセージ等を表示する機能と、ユーザによ
り入力された制御データ（例、鍵生成の開始、中止、再
実行など）を制御部６に入力する機能とをもっている。

【０１０７】すなわち、ユーザＩ／Ｆ２は、ユーザと装
置内部との間のインターフェイス機能部であり、例えば
キーボードやマウス等の入力デバイス、ＣＲＴや液晶デ
ィスプレイ等の表示デバイス及びＧＵＩ(Graphical Use
r Interface)等を備えた構成として実現してもよい。

【０１０８】ビット長読取部３は、ユーザＩ／Ｆ２から
読み込まれたビット長を制御部６に送出する機能をもっ
ている。

【０１０９】時間計算量読取部４は、ユーザＩ／Ｆ２か
ら読み込まれた時間計算量を制御部６に送出する機能を
もっている。

【０１１０】メモリ容量読取部５は、現在利用可能なメ
モリ容量を装置本体（コンピュータで動作するソフトウ
ェアの場合はコンピュータ本体）から読み込む機能と、
読み取った利用可能なメモリ容量を制御部６に送出する
機能とをもっている。

【０１１１】制御部６は、ユーザＩ／Ｆ２から受ける制
御データにより起動される機能と、ビット量読取部３か
ら受けるビット長、時間計算量読取部４から受ける時間
計算量、及びメモリ容量読取部５から受けるメモリ容量
に基づいて、方式選択テーブル格納部１内の方式選択テ
ーブルＴ１を参照しながら、後述するアルゴリズム（図
３、図４）を用いてＳＥＡ法又はＣＭ法を選択する機能
と、選択した方式の実行部７（又は８）を起動して当該
ビット長を指定する機能と、起動した方式の実行部７
（又は８）により生成された公開鍵ペアを鍵出力部９に
送出する機能とをもっている。

【０１１２】なお、後述するアルゴリズムは、指定され
たパラメータ及び計算量に適合する鍵生成方式のうち、
最も安全性の高い鍵生成方式及びそのパラメータを選択
する内容が記述されている。一般に、公開鍵暗号の鍵は
ビット長の大きい方が安全性が高い。また、同じビット
長であれば、より多くの鍵を生成できる方式の方が解読
の手がかりが少ないので生成された鍵の安全性が高いと
考えられる。

【０１１３】このため、パラメータとしてはビット長が
優先され、最大ビット長をパラメータに持つ方式が採用
される。最大ビット長をパラメータに持つ方式が複数存
在した場合は鍵の選択範囲の最も広い方式が選択される
（方式優先条件）。

【０１１４】例えば、鍵の選択範囲の観点からは、任意
の鍵を生成できるＳＥＡ法が優先され、ＳＥＡ法が不可
能な場合、生成される鍵に一定の制限を生ずるＣＭ法が
選択されるが、ＣＭ法の中でも制限が最も緩い類数最大
のパラメータが優先される（パラメータ優先条件）。

【０１１５】なお、方式優先条件は、最も安全性の高い
方式（鍵の選択範囲の最も広い方式）を優先するという
条件であり、具体的には、ＣＭ法よりもＳＥＡ法を優先
させるという条件である。また、パラメータ優先条件
は、鍵の制限が最も緩いパラメータを優先させるという
条件であり、具体的には、最大の類数を優先させるとい
う条件である。

【０１１６】ＳＥＡ法実行部７は、制御部６により起動
されると、制御部６から指定されたビット長に基づいて
ＳＥＡ法により公開鍵ペアを生成し、得られた公開鍵ペ
アを制御部６に送出する機能をもっている。

【０１１７】ＣＭ法実行部８は、制御部６により起動さ
れると、制御部６から指定されたビット長に基づいてＣ
Ｍ法により公開鍵ペアを生成し、得られた公開鍵ペアを
制御部６に送出する機能をもっている。

【０１１８】鍵出力部９は、制御部６から受けた公開鍵
ペア（公開鍵と秘密鍵のペア）を出力するものである。
なお、鍵出力部９は、例えば、公開鍵ペアのうち、公開
鍵を通常のメモリに書込むと共に、秘密鍵を耐タンパー
性メモリに書込むといった個別の書込機能をもってい
る。

【０１１９】なお、このような鍵生成装置は、ハードウ
ェア、ソフトウェア又は両者の組合せのいずれでも実現
可能であるが、ソフトウェアにより実現される場合には
鍵生成装置のコンピュータに、記憶媒体又はネットワー
クからプログラムがインストールされた構成となる。

【０１２０】次に、以上のように構成された鍵生成装置
の動作を図３及び図４のフローチャートを用いて説明す
る。鍵生成装置においては、起動の際に、制御部６が、
方式選択テーブル格納部１から方式選択テーブルＴ１を
読み込み（ＳＴ１）、更に、現在利用可能なメモリ容量
を直接の計算を行う装置（ＣＰＵなど）からメモリ容量
読取部５を介して読み込む（ＳＴ２）。

【０１２１】次に、制御部６は、時間計算量（＝生成処
理時間）及び鍵のビット長をユーザＩ／Ｆ２から時間計
算量読取部４及びビット長読取部３を介して読み込む
（ＳＴ３，ＳＴ４）。これにより、鍵生成に必要なパラ
メータ及び計算量の読込が完了した。

【０１２２】次に、制御部６は、これらの読込内容から
方式選択テーブルＴ１を用いて方式の絞込みを行なう。
まず、メモリ容量による絞込みを行い（ＳＴ５）、現在
利用可能なメモリ容量で実行可能な方式が有るか否かを
判定する（ＳＴ６）。

【０１２３】ステップＳＴ６の結果、可能な方式が無い
場合、制御部６は、鍵生成が不可能な旨の表示を行ない
（ＳＴ７）、処理を終了する。

【０１２４】一方、ステップＳＴ６の結果、可能な方式
が有る場合、制御部６は、ビット長による絞り込みを行
ない（ＳＴ１０）、入力されたビット長で実行可能な方
式が有るか否かを判定する（ＳＴ１１）。

【０１２５】ステップＳＴ１１の結果、可能な方式が無
い場合、前述したメモリ容量のみの絞込み結果の中から
ビット長最大のものを検索し（ＳＴ１２）、指定のビッ
ト長では不可能だが、検索結果のビット長なら鍵生成で
きる旨を表示して（ＳＴ１３）、処理を終了する。

【０１２６】一方、ステップＳＴ１１の結果、可能な方
式が有る場合、制御部６は、時間計算量（＝生成時間）
による絞込みを行ない（ＳＴ１４）、入力された時間計
算量で実行可能な方式が有るか否かを判定する（ＳＴ１
５）。

【０１２７】ステップＳＴ１５の結果、可能な方式が無
い場合、入力された時間計算量では生成できない旨を表
示して（ＳＴ１６）、処理を終了する。

【０１２８】一方、ステップＳＴ１５の結果、可能な方
式が有る場合、制御部６は、可能な方式の中で最大のビ
ット長を持つ方式を方式選択テーブルＴ１から抽出し
（ＳＴ１７）、抽出された候補の中にＳＥＡ法があるか
否かを判定する（ＳＴ１８）。ステップＳＴ１８の結
果、ＳＥＡ法が有る場合、制御部６はＳＥＡ法実行部７
を起動し、且つビット長を指定する。ＳＥＡ法実行部７
は、指定されたビット長でＳＥＡ法による鍵生成を行な
い（ＳＴ１９）、生成された公開鍵ペアを制御部６に送
出する（ＳＴ２０）。制御部６はこの公開鍵ペアを鍵出
力部９に送出し、鍵出力部９は、この公開鍵ペアを適宜
図示しないメモリに書込む。

【０１２９】一方、候補にＳＥＡ法が無い場合、制御部
６は、可能なＣＭ法の候補の中で最も大きな類数を持つ
パラメータを選択し（ＳＴ２１）、ＣＭ法実行部８を起
動し、且つビット長及び類数を指定する。ＣＭ法実行部
８は、指定されたビット長及び類数でＣＭ法による鍵生
成を行ない（ＳＴ２２）、生成された公開鍵ペアを制御
部６に送出する（ＳＴ２３）。制御部６はこの公開鍵ペ
アを鍵出力部９に送出し、鍵出力部９は、この公開鍵ペ
アを適宜図示しないメモリに書込む。

【０１３０】次に、以上のような方式選択の動作を具体
例を挙げて説明する。メモリ容量１ＭＢの装置におい
て、ユーザからビット長２００、時間計算量４０秒と指
定された場合、図２に示す方式選択テーブルＴ１を空間
計算量（＝メモリ容量）で絞り込むとＳＥＡ法は全て不
可能だが、ＣＭ法は全て可能である。

【０１３１】更にこれをビット長で絞り込むとビット長
２００以上のＣＭ法が全て候補となる。更にこれを時間
計算量で絞り込むとビット長２００で類数１、ビット長
２４０で類数１が候補として残る。ここで残った候補の
うち、最大ビット長を持つ候補を抽出すると、ビット長
２４０で類数１のＣＭ法が抽出される。従って、類数１
のＣＭ法しか選択はないため、ビット長２４０で類数１
のＣＭ法で鍵を生成して出力する。

【０１３２】他の具体例を挙げる。メモリ容量８００Ｍ
Ｂの装置において、ユーザからビット長２４０、時間計
算量１２００秒と指定されたとする。図２に示す方式選
択テーブルＴ１を空間計算量（=メモリ容量）で絞り込
むと、全方式の全パラメータが利用可能である。更にこ
れをビット長で絞り込むと、ビット長２４０のパラメー
タのみが残る。更に、時間計算量で絞り込むと、ＳＥＡ
法と、類数１，５，１０，５０のＣＭ法とが残る。これ
らの候補の中で最大ビット長を持つ方式は（方式選択テ
ーブルＴ１に示されている最大ビット長は２４０なの
で）、候補の全てである。但し、それら候補の中にＳＥ
Ａ法があるので、ＳＥＡ法で鍵を生成して出力する。

【０１３３】上述したように本実施形態によれば、生成
パラメータや計算量の組合せを載せた方式選択テーブル
Ｔ１を設けた構成により、指定された値に基づいて該当
する組合せが絞り込まれ、しかる後、この組合せのう
ち、方式優先条件やパラメータ優先条件に基づく最適な
鍵生成方式とその生成パラメータが選択される。従っ
て、楕円曲線暗号方式の専門家でなくとも、楕円曲線暗
号の公開鍵ペアを容易且つ確実に生成することができ
る。

【０１３４】また、楕円曲線暗号の鍵生成において、複
数の鍵生成方式を利用目的や利用環境に合わせて選択
し、鍵生成を実行できるので、より適合的な鍵の生成環
境を構築できる。

【０１３５】（第２の実施形態）図５は本発明の第２の
実施形態に係る鍵生成装置の構成を示すブロック図であ
り、図１と同一部分には同一符号を付してその詳しい説
明を省略し、ここでは異なる部分について主に述べる。
なお、以下の各動作や変形例なども同様にして重複した
説明を省略する。

【０１３６】すなわち、本実施形態は、楕円曲線暗号に
適用した第１の実施形態に代えて、ＲＳＡ暗号に適用し
た例を示している。大まかには、技術内容を以下のよう
に変更した（読み替えた）適用例となっている。「楕円
曲線暗号」に代えて、「ＲＳＡ暗号」を適用する。「Ｓ
ＥＡ法」に代えて、「確定的素数判定法」を適用する。
「ＣＭ法」に代えて、「確率的素数判定法」を適用す
る。「類数」に代えて、「失敗確率」を適用する。「最
大の類数」に代えて、「最小の失敗確率」を適用する。
具体的には、前述した方式選択テーブル１、ＳＥＡ法実
行部７及びＣＭ実行部８に代えて、確定的又は確率的な
素数判定法に関する方式選択テーブル１０、確定的素数
判定部１１及び確率的素数判定部１２が制御部６ａに接
続されている。

【０１３７】ここで、方式選択テーブル１０は、図６に
一例を示すように、前述した３つの欄の内容が変更され
ている。

【０１３８】方式の欄は、確定的素数判定法又は確率的
素数判定法を示している。パラメータの欄は、確定的素
数判定法及び確率的素数判定法の各方式で取り得るパラ
メータを示している。確定的素数判定法のパラメータは
鍵のビット長であり、確率的素数判定法のパラメータは
鍵のビット長と失敗確率である。

【０１３９】計算量の欄は、各方式の各パラメータで鍵
生成する時に必要な時間計算量及び空聞計算量を示して
いる。例えば、確定的素数判定法により、１０２４ビッ
トの鍵を生成する場合、時間計算量８０００秒、空間計
算量６０ＫＢを要する旨を示している。また例えば、確
率的素数判定法により、５１２ビットの鍵を１／2⁵⁰⁰の
失敗確率で生成する場合、時間計算量１０秒、空間計算
量１ＫＢを要する旨を示している。

【０１４０】制御部６ａは、ユーザＩ／Ｆ２から受ける
制御データにより起動される機能と、ビット量読取部３
から受けるビット長、時間計算量読取部４から受ける時
間計算量、及びメモリ容量読取部５から受けるメモリ容
量に基づいて、方式選択テーブル格納部１０内の方式選
択テーブルＴ２を参照しながら、後述するアルゴリズム
（図３、図７）を用いて確定的素数判定法又は確率的素
数判定法を選択する機能と、選択した方式の実行部１１
（又は１２）を起動して当該ビット長を指定する機能
と、起動した方式の実行部１１（又は１２）により生成
された公開鍵ペアを鍵出力部９に送出する機能とをもっ
ている。

【０１４１】なお、後述するアルゴリズムは、前述同様
に、指定されたパラメータ及び計算量に適合する鍵生成
方式のうち、最も安全性と信頼性の高い鍵生成方式及び
そのパラメータを選択する内容が記述されている。よっ
て、パラメータとしては安全性の観点からビット長が優
先され、最大ビット長をパラメータに持つ方式が採用さ
れる。最大ビット長をパラメータに持つ方式が複数存在
した場合は最も信頼性の高い方式が選択される（方式優
先条件）。

【０１４２】例えば、信頼性の観点からは、失敗無しに
素数を生成できる確定的素数判定法が優先され、確定的
素数判定法が不可能な場合、生成される素数に一定の失
敗確率を有する確率的素数判定法が選択されるが、確率
的素数判定法の中でも失敗確率が最も低いパラメータが
優先される（パラメータ優先条件）。

【０１４３】なお、方式優先条件は、最も信頼性の高い
方式（確実に素数判定を行なう方式）を優先するという
条件であり、具体的には、確率的素数判定法よりも確定
的素数判定法を優先させるという条件である。また、パ
ラメータ優先条件は、素数判定の確実性が高いパラメー
タを優先させるという条件であり、具体的には、最小の
失敗確率を優先させるという条件である。

【０１４４】確定的素数判定部１１は、制御部６ａによ
り起動されると、制御部６ａから指定されたビット長に
基づいて確定的素数判定法を用いて公開鍵ペアを生成
し、得られた公開鍵ペアを制御部６ａに送出する機能を
もっている。なお、確定的素数判定法としては、例え
ば、ミラー法、アドルマン・ルメリ法、コーエン・レン
ストラ法又はポクリントン法などが適用可能となってい
る。

【０１４５】確率的素数判定部１２は、制御部６ａによ
り起動されると、制御部６ａから指定されたビット長に
基づいて確率的素数判定法を用いて公開鍵ペアを生成
し、得られた公開鍵ペアを制御部６ａに送出する機能を
もっている。なお、確率的素数判定法としては、例え
ば、フェルマー法、ソロベイ・ストラッセン法又はラビ
ン法などが適用可能となっている。また、両素数判定部
１１，１２は、素数判定に限らず、素数を発見するまで
自然数を順次生成し判定することにより、素数を生成す
る機能も持つため、所望により、それぞれ確定的素数生
成部１１、確率的素数生成部１２と呼んでも良い。

【０１４６】次に、以上のように構成された鍵生成装置
の動作を図３及び図７のフローチャートを用いて説明す
る。いま、前述同様に、パラメータ及び計算量の読込み
からメモリ容量及びビット長による絞り込みが完了し
（ＳＴ１〜ＳＴ１３：図３，図７）、続いて、時間計算
量による絞り込みを行ない、入力された時間計算量で実
行可能な方式が有るか否かを判定するとする（ＳＴ１４
〜ＳＴ１５）。

【０１４７】制御部６ａは、ステップＳＴ１５の結果、
可能な方式が無い場合、入力された時間計算量では生成
できない旨を表示して（ＳＴ１６）、処理を終了する。

【０１４８】一方、ステップＳＴ１５の結果、可能な方
式が有る場合、制御部６ａは、可能な方式の中で最大の
ビット長を持つ方式を方式選択テーブルＴ２から抽出し
（ＳＴ１７ａ）、抽出された候補の中に確定的素数判定
法があるか否かを判定する（ＳＴ１８ａ）。

【０１４９】ステップＳＴ１８ａの結果、確定的素数判
定法が有る場合、制御部６ａは確定的素数判定部１１を
起動し、且つビット長を指定する。確定的素数判定部１
１は、指定されたビット長で確定的素数判定法による鍵
生成を行ない（ＳＴ１９ａ）、生成された公開鍵ペアを
制御部６ａに送出する（ＳＴ２０ａ）。制御部６ａはこ
の公開鍵ペアを鍵出力部９に送出し、鍵出力部９は、こ
の公開鍵ペアを適宜図示しないメモリに書込む。

【０１５０】一方、候補に確定的素数判定法が無い場
合、制御部６ａは、可能な確率的素数判定法の候補の中
で最も小さな失敗確率を持つパラメータを選択し（ＳＴ
２１ａ）、確率的素数判定部１２を起動し、且つビット
長及び失敗確率を指定する。確率的素数判定部１２は、
指定されたビット長及び失敗確率で確率的素数判定法に
よる鍵生成を行ない（ＳＴ２２ａ）、生成された公開鍵
ペアを制御部６ａに送出する（ＳＴ２３ａ）。制御部６
ａはこの公開鍵ペアを鍵出力部９に送出し、鍵出力部９
は、この公開鍵ペアを適宜図示しないメモリに書込む。

【０１５１】次に、以上のような方式選択の動作を具体
例を挙げて説明する。メモリ容量１０ＫＢの装置におい
て、ユーザからビット長１０２４、時間計算量４００秒
と指定された場合、図６に示す方式選択テーブルＴ２を
空間計算量（=メモリ容量）で絞り込むと確定的素数判
定法は全て不可能だが、確率的素数判定法は全て可能で
ある。

【０１５２】更にこれをビット長で絞り込むとビット長
１０２４ビット以上の確率的素数判定法が全て候補とな
る。更にこれを時間計算量で絞り込むとビット長１０２
４で失敗確率１／２¹⁰、１／２¹⁰⁰、１／２⁵⁰⁰、１／２
¹⁰⁰⁰、ビット長２０４８で失敗確率１／２¹⁰、１／２
¹⁰⁰、１／２⁵⁰⁰が候補として残る。ここで残った候補の
うち、最大ビット長を持つ候補を抽出すると、ビット長
２０４８で失敗確率１／２¹⁰、１／２¹⁰⁰、１／２⁵⁰⁰の
確率的素数判定法が抽出される。従って、その中で最小
の失敗確率１／２⁵⁰⁰を有する確率的素数判定法を選択
し、この方式で鍵を生成して出力する。

【０１５３】他の具体例を挙げる。メモリ容量２００Ｍ
Ｂの装置において、ユーザからビット長２０４８、時間
計算量20000秒と指定されたとする。図６に示す方式選
択テーブルＴ２を空間計算量（=メモリ容量）で絞り込
むと、全方式の全パラメータが利用可能である。更にこ
れをビット長で絞り込むと、ビット長２０４８ビットの
パラメータのみが残る。更に、時間計算量で絞り込む
と、２０４８ビットの確定的素数判定法と、２０４８ビ
ットの確率的素数判定法の全てとが候補として残る。こ
れらの候補の中で最大ビット長を持つ方式は（方式選択
テーブルＴ２に示されている最大ビット長は２０４８な
ので、）、候補の全てである。但し、それら候補の中に
確定的素数判定法があるので、確定的素数判定法で鍵を
生成して出力する。

【０１５４】上述したように本実施形態によれば、ＲＳ
Ａ暗号についても、第１の実施形態の効果を得ることが
できる。すなわち、ＲＳＡ暗号方式の専門家でなくと
も、ＲＳＡ暗号の公開鍵ペアを容易且つ確実に生成する
ことができる。

【０１５５】また、ＲＳＡ暗号の鍵生成において、複数
の鍵生成方式を利用目的や利用環境に合わせて選択し、
鍵生成を実行できるので、より適合的な鍵の生成環境を
構築できる。

【０１５６】（他の実施形態）上記各実施形態では、可
変にし得るパラメータ及び計算量を全て可変とした場合
を説明したが、これに限らず、利用環境や利用目的に応
じて、パラメータ及び／又は計算量を不変にした構成に
変更して実施することが望ましい。

【０１５７】例えば、上記各実施形態では、鍵のビット
長を可変なパラメータとし、指定された以上のビット長
であれば（より安全であるので）許容したが、鍵のビッ
ト長を大きくすると、暗号化／復号化の処理、署名生成
検証の処理の処理時間が長くなるので、鍵のビット長は
固定して生成することが望ましい。

【０１５８】具体的には、本発明に係る鍵生成方式は、
現在安全と考えられている鍵長の暗号システム（例、鍵
長１６０ビットの楕円曲線暗号システム、鍵長１０２４
ビットのＲＳＡ暗号システム）に適用した場合、ビット
長を固定した構成であることが望ましい。このようにビ
ット長を固定した場合、方式選択テーブルＴ１，Ｔ２の
パラメータの欄及びビット長読取部３を省略でき、ま
た、図４及び図７において、ビット長最大のものの検索
（ＳＴ１２）及び抽出（ＳＴ１７，１７ａ）を省略でき
る。

【０１５９】また、上記各実施形態では、方式設定テー
ブルＴ１，Ｔ２の各欄の値を固定とした場合について説
明したが、（本発明をソフトウェアによって実現する場
合はインストールする機器によって環境が異なるので）
これに限らず、利用環境に応じて、方式設定テーブルＴ
１，Ｔ２の各欄（特に時間計算量の欄）の値を設定する
ことが好ましい。

【０１６０】この設定は、例えば鍵生成起動時に鍵生成
で使う代表的な演算を少量行ない、その処理時間によっ
て換算予測を行ない、得られた予測値で方式選択テーブ
ルＴ１，Ｔ２を更新する方式としてもよい。このような
設定は、ソフトウェアを用いて容易に実施できる。

【０１６１】次に、上記第１（又は第２）の実施形態で
は、ＣＭ法で複数の類数（又は確率的素数判定法で複数
の失敗確率）を用いたが、これに限らず、ＣＭ法の類数
（又は確率的素数判定法の失敗確率）を固定してもよ
い。

【０１６２】さらに、この類数固定方式（又は失敗確率
固定方式）を「クイック生成」としてユーザＩ／Ｆ２が
表示し、前述した類数可変（又は失敗確率可変）の「通
常生成」との間で選択可能としてもよい。すなわち、ユ
ーザＩ／Ｆ２は、鍵生成開始前に、それぞれ「通常生
成」、「クイック生成」という表示を行ない、ＣＭ法の
類数（又は確率的素数判定法の失敗確率）の扱いをユー
ザに選択させてもよい。

【０１６３】このとき、立上げ時のメモリ容量読込みの
段階でＳＥＡ法（又は確定的素数判定法）の可能性が無
い場合、メニュー選択を省略して即座に鍵生成を行なう
変形例としてもよい。また、ユーザＩ／Ｆ２を簡単にす
るため、時間計算量の指定を省略し、ビット長のみをユ
ーザが指定する構成とし、鍵生成方式及びそのパラメー
タの選択を制御部６，６ａが自動で行なうようにしても
よい。

【０１６４】この場合、時間計算量読取部４が省略さ
れ、時間計算量は固定値（例えば３０秒）が制御部６，
６ａに設定される構成となる。この構成の動作として
は、メモリ容量を読み込んだ後、方式選択テーブルＴ
１，Ｔ２をまず空間計算量で絞込み、残された候補を更
に時間計算量で絞り込んでＳＥＡ法（又は確定的素数判
定法）か、もしくはＳＥＡ法（又は確定的素数判定法）
が候補とならなければＣＭ法（又は確率的素数判定法）
のパラメータのうち、類数最大の候補（又は失敗確率最
小の候補）で生成を行なう。

【０１６５】この時間計算量を固定した方式で更に、ビ
ット長まで固定すれば、ビット長読取部３及び時間読取
部４の両者を省略し、鍵生成の開始を入力した後は、ユ
ーザＩ／Ｆ２を介せずに完全に自動的に最適な鍵生成を
行なうことができる。また、上記第１の実施形態では、
ＳＥＡ法とＣＭ法とを有する鍵生成方式を説明したが、
これに限らず、ＣＭ法のみを有する方式でもそのパラメ
ータ（類数）を第１の実施形態の手法で決定することに
より、同様の効果を持つ鍵生成を実現することができ
る。

【０１６６】同様に、上記第２の実施形態では、確定的
素数判定法と確率的素数判定法とを有する鍵生成方式を
説明したが、これに限らず、確率的素数判定法のみを有
する方式でもそのパラメータ（失敗確率）を第２の実施
形態の手法で決定することにより、同様の効果を持つ鍵
生成を実現することができる。

【０１６７】また、上記各実施形態では、楕円曲線暗号
及びＲＳＡ暗号を例に挙げて説明したが、これに限ら
ず、他の公開鍵暗号に関しても鍵生成方式やその生成パ
ラメータを選択的に実行可能とするように、選択テーブ
ルの内容を予め設定しておくことにより、他の公開鍵暗
号にも同様に適用できる。

【０１６８】さらに、上記各実施形態では、２つの鍵生
成方式から１つの鍵生成方式を選択する場合について説
明したが、これに限らず、３つ以上の鍵生成方式から１
つの鍵生成方式を選択する構成に変形しても、本発明を
同様に実施して同様の効果を得ることができる。

【０１６９】これは例えば、第１の実施形態の場合、Ｓ
ＥＡ法、ＣＭ法、及び第３の方法が選択可能となるた
め、大分類として３つの方法が並存した変形形態とな
る。

【０１７０】具体的には佐藤の方法という第３の鍵生成
方式が知られている。この方式はＳＥＡ法と同じくラン
ダムに楕円曲線を生成し、その楕円曲線の位数を計算す
る方式である。しかし、佐藤の方法は拡大体上に適用す
ると効果的な方法であるものの、（本実施形態で述べて
いる）素体上生成された楕円曲線に適用してはＳＥＡ法
より低速となり利用価値が少ない。よって、拡大体上の
楕円曲線を生成する場合にはＳＥＡ法、ＣＭ法以外の第
３の方式として佐藤の方法を同様の方式で複数の鍵生成
方式の１つとして導入することが可能である。

【０１７１】尚、拡大体上の楕円曲線を生成する場合、
将来的にはＳＥＡ法を佐藤の方法に置き換えることも考
えられる。というのは佐藤の方法は拡大体上の楕円曲線
では時間計算量などの点でＳＥＡ法よりも優れていると
いう報告があり、将来の研究においてはＳＥＡ法よりも
空間計算量、時間計算量の点で優れていると証明される
可能性があるからである。

【０１７２】一方、第２の実施形態の場合、確定的素数
判定法の中で複数の方法が選択可能となり、確率的素数
判定法の中で複数の方法が選択可能となるため、中分類
として複数の方法が並存した変形形態となる。

【０１７３】但し、いずれの変形形態にしても、方式選
択テーブル、方式優先条件並びにパラメータ優先条件を
適切に設定することにより、３つ以上の鍵生成方式から
１つの鍵生成方式を選択する構成を容易且つ確実に実現
することができる。

【０１７４】なお、上記各実施形態に記載した手法は、
コンピュータに実行させることのできるプログラムとし
て、磁気ディスク（フロッピー（登録商標）ディスク、
ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、Ｄ
ＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリな
どの記憶媒体に格納して頒布することもできる。

【０１７５】また、この記憶媒体としては、プログラム
を記憶でき、かつコンピュータが読み取り可能な記憶媒
体であれば、その記憶形式は何れの形態であっても良
い。

【０１７６】また、記憶媒体からコンピュータにインス
トールされたプログラムの指示に基づきコンピュータ上
で稼働しているＯＳ（オペレーティングシステム）や、
データベース管理ソフト、ネットワークソフト等のＭＷ
（ミドルウェア）等が本実施形態を実現するための各処
理の一部を実行しても良い。

【０１７７】さらに、本発明における記憶媒体は、コン
ピュータと独立した媒体に限らず、ＬＡＮやインターネ
ット等により伝送されたプログラムをダウンロードして
記憶または一時記憶した記憶媒体も含まれる。

【０１７８】また、記憶媒体は１つに限らず、複数の媒
体から本実施形態における処理が実行される場合も本発
明における記憶媒体に含まれ、媒体構成は何れの構成で
あっても良い。

【０１７９】尚、本発明におけるコンピュータは、記憶
媒体に記憶されたプログラムに基づき、本実施形態にお
ける各処理を実行するものであって、パソコン等の１つ
からなる装置、複数の装置がネットワーク接続されたシ
ステム等の何れの構成であっても良い。

【０１８０】また、本発明におけるコンピュータとは、
パソコンに限らず、情報処理機器に含まれる演算処理装
置、マイコン等も含み、プログラムによって本発明の機
能を実現することが可能な機器、装置を総称している。

【０１８１】なお、本願発明は、上記各実施形態に限定
されるものでなく、実施段階ではその要旨を逸脱しない
範囲で種々に変形することが可能である。また、各実施
形態は可能な限り適宜組み合わせて実施してもよく、そ
の場合、組み合わされた効果が得られる。さらに、上記
各実施形態には種々の段階の発明が含まれており、開示
される複数の構成用件における適宜な組み合わせにより
種々の発明が抽出され得る。例えば実施形態に示される
全構成要件から幾つかの構成要件が省略されることで発
明が抽出された場合には、その抽出された発明を実施す
る場合には省略部分が周知慣用技術で適宜補われるもの
である。

【０１８２】その他、本発明はその要旨を逸脱しない範
囲で種々変形して実施できる。

【０１８３】

【発明の効果】以上説明したように本発明によれば、公
開鍵暗号方式の専門家でなくとも、公開鍵暗号の公開鍵
ペアを容易且つ確実に生成することができる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係る鍵生成装置の構
成を示すブロック図

【図２】同実施形態における方式選択テーブルの構成例
を示す模式図

【図３】同実施形態における動作を説明するためのフロ
ーチャート

【図４】同実施形態における動作を説明するためのフロ
ーチャート

【図５】本発明の第２の実施形態に係る鍵生成装置の構
成を示すブロック図

【図６】同実施形態における方式選択テーブルの構成例
を示す模式図

【図７】同実施形態における動作を説明するためのフロ
ーチャート

【図８】一般的な鍵生成方法の特徴を説明するための概
略図

【図９】一般的な楕円曲線の概形を示す模式図

【図１０】一般的な楕円曲線の点演算を説明するための
模式図

【符号の説明】

１，１０…方式選択テーブル格納部２…ユーザＩ／Ｆ３…ビット長読取部４…時間計算量読取部５…メモリ容量読取部６，６ａ…制御部７…ＳＥＡ法実行部８…ＣＭ法実行部９…鍵出力部１１…確定的素数判定部１２…確率的素数判定部Ｔ１，Ｔ２…方式選択テーブル

Claims

【特許請求の範囲】

【請求項１】複数の鍵生成方式のうち、いずれかの鍵
生成方式に基づいて鍵を生成する公開鍵暗号の鍵生成装
置であって、鍵生成装置本体の空間計算量の上限値と、ユーザが指定
する鍵ビット長及び時間計算量の上限値とに基づいて、
前記鍵生成方式を選択する選択手段と、前記選択手段による選択結果に基づいて、前記鍵を生成
する鍵生成手段と、を備えたことを特徴とする鍵生成装置。
【請求項２】公開鍵暗号に用いられ、複数の鍵生成方
式のうち、いずれかの鍵生成方式に基づいて鍵を生成す
る鍵生成装置であって、鍵のビット長の複数の下限値、時間計算量の複数の上限
値並びに空間計算量の複数の上限値のうち、１種類以上
を組合せた組合せが規定された第１の鍵生成方式、およ
び鍵のビット長の複数の下限値、時間計算量の複数の上
限値、空間計算量の複数の上限値並びに鍵生成の複数の
生成パラメータのうち、１種類以上を組合せた組合せが
規定された第２の鍵生成方式が設定された選択テーブル
と、鍵のビット長、時間計算量並びに空間計算量のうち、１
種類以上に関して指定された値に基づいて、前記選択テ
ーブルから該当する組合せを抽出する組合せ抽出手段
と、所定の方式優先条件に基づいて、前記組合せ抽出手段に
より抽出された組合せに規定された各鍵生成方式のう
ち、１つの鍵生成方式を選択する方式選択手段と、前記方式選択手段によって選択された鍵生成方式に基づ
いて、前記鍵を生成する鍵生成手段と、を備えたことを特徴とする鍵生成装置。
【請求項３】公開鍵暗号に用いられ、複数の鍵生成方
式のうち、いずれかの鍵生成方式に基づいて鍵を生成す
る鍵生成装置であって、鍵のビット長の複数の下限値、時間計算量の複数の上限
値並びに空間計算量の複数の上限値のうち、１種類以上
を組合せた組合せが規定された第１の鍵生成方式、およ
び鍵のビット長の複数の下限値、時間計算量の複数の上
限値、空間計算量の複数の上限値並びに鍵生成の複数の
生成パラメータのうち、１種類以上を組合せた組合せが
規定された第２の鍵生成方式が設定された選択テーブル
と、鍵のビット長、時間計算量並びに空間計算量のうち、１
種類以上に関して指定された値に基づいて、前記選択テ
ーブルから該当する組合せを抽出する組合せ抽出手段
と、所定の方式優先条件に基づいて、前記組合せ抽出手段に
より抽出された組合せに規定された各鍵生成方式のう
ち、１つの鍵生成方式を選択する方式選択手段と、前記方式選択手段により第２の鍵生成方式が選択された
とき、所定のパラメータ優先条件に基づいて、前記組合
せ抽出手段により抽出された組合せに属する各生成パラ
メータのうち、１つの生成パラメータを選択するパラメ
ータ選択手段と、前記方式選択手段並びに前記パラメータ選択手段による
選択結果に基づいて、前記鍵を生成する鍵生成手段と、を備えたことを特徴とする鍵生成装置。
【請求項４】請求項１乃至請求項３のいずれか１項に
記載の鍵生成装置において、前記公開鍵暗号は楕円曲線暗号であることを特徴とする
鍵生成装置。
【請求項５】請求項４に記載の鍵生成装置において、前記第１の鍵生成方式はＳＥＡ法であり、前記第２の鍵
生成方式はＣＭ法であり、前記各生成パラメータは類数
であり、前記方式優先条件は前記ＣＭ法よりも前記ＳＥ
Ａ法を優先する旨を示し、前記パラメータ優先条件は最
大の類数を優先する旨を示すことを特徴とする鍵生成装
置。
【請求項６】請求項１乃至請求項３のいずれか１項に
記載の鍵生成装置において、前記公開鍵暗号はＲＳＡ暗号であることを特徴とする鍵
生成装置。
【請求項７】公開鍵暗号に用いられ、複数の鍵生成方
式のうち、いずれかの鍵生成方式に基づいて鍵を生成す
る鍵生成方法であって、鍵のビット長の複数の下限値、時間計算量の複数の上限
値並びに空間計算量の複数の上限値のうち、１種類以上
を組合せた組合せが規定された第１の鍵生成方式、およ
び鍵のビット長の複数の下限値、時間計算量の複数の上
限値、空間計算量の複数の上限値並びに鍵生成の複数の
生成パラメータのうち、１種類以上を組合せた組合せが
規定された第２の鍵生成方式が設定された選択テーブル
を用い、鍵のビット長、時間計算量並びに空間計算量のうち、１
種類以上に関して指定された値に基づいて、前記選択テ
ーブルから該当する組合せを抽出する組合せ抽出ステッ
プと、所定の方式優先条件に基づいて、前記組合せ抽出ステッ
プにより抽出された組合せに規定された各鍵生成方式の
うち、１つの鍵生成方式を選択する方式選択ステップ
と、前記方式選択ステップにより第２の鍵生成方式が選択さ
れたとき、所定のパラメータ優先条件に基づいて、前記
組合せ抽出ステップにより抽出された組合せに属する各
生成パラメータのうち、１つの生成パラメータを選択す
るパラメータ選択ステップと、前記方式選択ステップ並びに前記パラメータ選択ステッ
プによる選択結果に基づいて、前記鍵を生成する鍵生成
ステップと、を含んでいることを特徴とする鍵生成方法。
【請求項８】請求項７に記載の鍵生成方法において、前記公開鍵暗号は楕円曲線暗号であることを特徴とする
鍵生成方法。
【請求項９】請求項８に記載の鍵生成方法において、前記第１の鍵生成方式はＳＥＡ法であり、前記第２の鍵
生成方式はＣＭ法であり、前記各生成パラメータは類数
であり、前記方式優先条件は前記ＣＭ法よりも前記ＳＥ
Ａ法を優先する旨を示し、前記パラメータ優先条件は最
大の類数を優先する旨を示すことを特徴とする鍵生成方
法。
【請求項１０】請求項７に記載の鍵生成方法におい
て、前記公開鍵暗号はＲＳＡ暗号であることを特徴とする鍵
生成方法。
【請求項１１】公開鍵暗号に用いられ、複数の鍵生成
方式のうち、いずれかの鍵生成方式に基づいて鍵を生成
する鍵生成装置に用いられる鍵生成プログラムであっ
て、前記鍵生成装置のコンピュータを、鍵のビット長の複数の下限値、時間計算量の複数の上限
値並びに空間計算量の複数の上限値のうち、１種類以上
を組合せた組合せが規定された第１の鍵生成方式、およ
び鍵のビット長の複数の下限値、時間計算量の複数の上
限値、空間計算量の複数の上限値並びに鍵生成の複数の
生成パラメータのうち、１種類以上を組合せた組合せが
規定された第２の鍵生成方式が設定された選択テーブル
を参照する参照手段、鍵のビット長、時間計算量並びに空間計算量のうち、１
種類以上に関して指定された値に基づいて、前記参照手
段により前記選択テーブルから該当する組合せを抽出す
る組合せ抽出手段、所定の方式優先条件に基づいて、前記組合せ抽出手段に
より抽出された組合せに規定された各鍵生成方式のう
ち、１つの鍵生成方式を選択する方式選択手段、前記方式選択手段により第２の鍵生成方式が選択された
とき、所定のパラメータ優先条件に基づいて、前記組合
せ抽出手段により抽出された組合せに属する各生成パラ
メータのうち、１つの生成パラメータを選択するパラメ
ータ選択手段、前記方式選択手段並びに前記パラメータ選択手段による
選択結果に基づいて、前記鍵を生成する鍵生成手段、として機能させるための鍵生成プログラム。