JP2002258743A

JP2002258743A - 耐タンパーモジュラ演算処理方法

Info

Publication number: JP2002258743A
Application number: JP2001060223A
Authority: JP
Inventors: Masahiro Kaminaga; 正博神永; Takashi Endo; 隆遠藤; Takashi Watanabe; 高志渡邊; Masaru Oki; 優大木
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2001-03-05
Filing date: 2001-03-05
Publication date: 2002-09-11
Anticipated expiration: 2021-03-05
Also published as: DE60125710T2; US20020152252A1; EP1239364B1; JP3950638B2; DE60125710D1; US6968354B2; EP1239364A1

Abstract

(57)【要約】【課題】ＩＣカードなどの情報処理装置において、暗
号処理中に行われる剰余乗算演算の際に発生するオーバ
ーフロー処理は、特有の消費電流を示す。この問題に対
してデータ処理と消費電流との関連性を減らす。【解決手段】２ビットアディション・チェイン方式に
従ってべき剰余計算を行う処理手順において、ステップ
１１０６で実行する剰余乗算をランダムに選択し、ステ
ップ１１１２〜１１１５で選択された剰余乗算を実行
し、ステップ１１１６で結果の補正を行い、ステップ１
１１８または１１１９で計算結果（補正しない値または
補正した値）を出力する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、高いセキュリティ
を持つＩＣカードなどの耐タンパー暗号処理方法に関す
るものである。

【０００２】

【従来の技術】ＩＣカードは、勝手に書き換えることが
許されないような個人情報の保持や、秘密情報である暗
号鍵を用いたデータの暗号化や暗号文の復号化を行う装
置である。ＩＣカード自体は電源を持っておらず、ＩＣ
カード用のリーダライタに差し込まれると、電源の供給
を受け、動作可能となる。動作可能になると、リーダラ
イタから送信されるコマンドを受信し、そのコマンドに
従ってデータの転送等の処理を行う。ＩＣカードの一般
的な解説は、オーム社出版電子情報通信学会編水沢順一
著「ＩＣカード」などにある。

【０００３】ＩＣカードの構成は、図１に示すように、
カード101の上にＩＣカード用チップ102を搭載したもの
である。図に示すように、一般にＩＣカードは、ＩＳＯ
７８１６の規格に定められた位置に供給電圧端子Vcc、
グランド端子GND、リセット端子RST、入出力端子I/Oお
よびクロック端子CLKを持ち、これらの端子を通して、
リーダーライタから電源の供給やリーダライタとのデー
タの通信を行う(W.Rankl and Effing : SMARTCARD HAND
BOOK、 John Wiley & Sons、 1997、 pp.41参照)。

【０００４】ＩＣカード用チップの構成は、基本的には
通常のマイクロコンピュータと同じ構成である。その構
成は、図２に示すように、中央処理装置(ＣＰＵ)201、
記憶装置204、入出力（Ｉ／Ｏ）ポート207、コ・プロセ
ッサ202からなる（コ・プロセッサはない場合もあ
る）。ＣＰＵ201は、論理演算や算術演算などを行う装
置であり、記憶装置204は、プログラムやデータを格納
する装置である。入出力ポートは、リーダライタと通信
を行う装置である。コ・プロセッサは、暗号処理そのも
の、または暗号処理に必要な演算を高速に行う装置であ
り、例えばＲＳＡ暗号の剰余演算を行うための特別な演
算装置や、ＤＥＳ暗号のラウンド処理を行う暗号装置な
どがある。ＩＣカード用プロセッサの中には、コ・プロ
セッサを持たないものも多くある。データバス203は、
各装置を接続するバスである。

【０００５】記憶装置204は、ＲＯＭ(Read Only Memor
y)やＲＡＭ(Random Access Memory)、ＥＥＰＲＯＭ(Ele
ctrical Erasable Programmable Read Only Memory)な
どからなる。ＲＯＭは、変更できないメモリであり、主
にプログラムを格納するメモリである。ＲＡＭは自由に
書き換えができるメモリであるが、電源の供給が中断さ
れると、記憶している内容は消滅する。ＩＣカードがリ
ーダライタから抜かれると電源の供給が中断されるた
め、ＲＡＭの内容は、保持されなくなる。ＥＥＰＲＯＭ
は、電源の供給が中断されてもその内容を保持すること
ができるメモリである。書き換える必要があり、ＩＣカ
ードがリーダライタから抜かれても、保持するデータを
格納するために使われる。例えば、プリペイドカードで
のプリペイドの度数などは、使用するたびに書き換えら
れ、かつリーダライタか抜かれてもデータを保持する必
要があるため、ＥＥＰＲＯＭで保持される。

【０００６】ＩＣカードは、プログラムや重要な情報が
ＩＣカード用チップの中に密閉されているため、重要な
情報を格納したり、カードの中で暗号処理を行うために
用いられる。従来、ＩＣカードでの暗号を解読する難し
さは、暗号アルゴリズムの解読の困難さと同じと考えら
れていた。しかし、ＩＣカードが暗号処理を行っている
時の消費電流を観測し、解析することにより、暗号アル
ゴリズムの解読より容易に暗号処理の内容や暗号鍵が推
定される可能性が示唆されている。消費電流は、リーダ
ライタから供給されている電流を測定することにより観
測することができ、この攻撃法の詳細は、John Wiley &
sons社 W.Rankl & W.Effing著「SmartCard Handboo
k」の8.5.1.1 Passive protective mechanisms(263ペー
ジ)にこのような危険性が記載されている。

【０００７】ＩＣカード用チップを構成しているＣＭＯ
Ｓは、出力状態が１から０あるいは０から１に変わった
時に電流を消費する。特に、データバス203において
は、バスドライバーの電流や、配線および配線に接続さ
れているトランジスタの静電容量のため、バスの値が１
から０あるいは０から１に変わると、大きな電流が流れ
る。そのため、消費電流を観測すれば、ＩＣカード用チ
ップの中で、何が動作しているか分かる可能性がある。

【０００８】図3は、ＩＣカード用チップの１サイクル
での消費電流の波形を示したものである。処理している
データに依存して、電流波形が301や302のように異な
る。このような差は、バス203を流れるデータや中央演
算装置201で処理しているデータに依存して生じる。

【０００９】コ・プロセッサ202は、ＣＰＵと並列に、
例えば、512ビットの剰余演算を行うことができる。そ
のため、ＣＰＵの消費電流とは異なった消費電流波形の
長時間の観測が可能である。その特徴的な波形を観測す
ることにより、コ・プロセッサの動作回数を容易に測定
することができる。コ・プロセッサの動作回数が暗号鍵
と何らかの関係があるならば、コ・プロセッサの動作回
数から暗号鍵を推定できる可能性がある。

【００１０】また、コ・プロセッサでの演算内容が、暗
号鍵に依存した偏りがあると、その偏りが消費電流から
求められ、暗号鍵が推定される可能性がある。例えば、
乗算剰余演算の際に発生するオーバーフロー処理は、多
くの場合、オーバーフロー処理特有の電流が発生する。
オーバーフロー処理をするかしないかで、処理時間が異
なる場合もある。

【００１１】ＣＰＵでも同様の事情が存在する。暗号鍵
のビット値は決まっているため、処理するデータを変更
して、消費電流を観測することにより、暗号鍵のビット
値の影響が観測できる可能性がある。これらの消費電流
の波形を統計的に処理することにより、暗号鍵を推定で
きる可能性がある。

【００１２】

【発明が解決しようとしている課題】本発明の課題は、
ＩＣカード用チップでのデータ処理と消費電流との関連
性を減らすことである。消費電流とチップの処理との関
連性が減れば、観測した消費電流の波形からＩＣカード
チップ内での処理や暗号鍵の推測が困難になる。本発明
の着眼点は、ＩＣカードチップでの乗算剰余処理AB mod
Nまたはモンゴメリ法による乗算剰余処理ABR^(-1) mod
Nにおいて、乗数Bまたは被乗数Aを、そのモジュラスＮ
を用いて、tN + B*(-1)^g、sN + A*(-1)^f （s， t，
f， gは整数。但し、f， gは0又は1）に置き換えて処理
することにより、消費電流の波形や処理時間の偏りか
ら、処理内容や暗号鍵の推測を困難にするものである。

【００１３】

【課題を解決するための手段】ＩＣカードチップに代表
される耐タンパー装置は、プログラムを格納するプログ
ラム格納部、データを保存するデータ格納部を持つ記憶
装置と、プログラムに従って所定の処理を実行しデータ
処理を行う中央演算装置(ＣＰＵ)を持ち、プログラム
は、ＣＰＵに実行の指示を与える処理命令から構成され
る一つ以上のデータ処理手段からなる情報処理装置とし
て捉えることができる。

【００１４】電子マネーに代表される高セキュリティの
ＩＣカードでは、ＲＳＡ暗号や、ガロア体GF(p^n):pは
素数、nは正の整数）上の楕円曲線暗号が用いられる。
その際、乗算剰余演算A*B mod Nや、多項式の乗算剰余
演算A(X)*B(X) mod Φ(X)の処理が必要となる（A=Bの場
合もある）。以下、多項式の場合も考え方は同じなの
で、通常の乗算剰余処理の場合について説明する。多項
式の場合の乗算剰余処理ついては、計算機上の実装が通
常の乗算剰余処理の場合と若干異なるが、それは「発明
の実施形態」にて詳細に説明する。

【００１５】本発明において、乗算剰余演算で処理して
いるデータとＩＣカード用チップの消費電流の関連性を
撹乱する一つの方法は、本来の演算処理に用いられるデ
ータを直接用いずに、演算結果が大きく変わらないよう
なデータを用いて計算を行い、計算後に結果を修正する
ことである。

【００１６】具体的には、乗算剰余処理A*B mod Nの計
算を行う際、乗数B及び被乗数Aの両者を、それぞれtN +
B*(-1)^g、sN + A*(-1)^f （s， t， f， gは少なくと
も１つは０でない整数。但し、f， gは0又は1）に置き
換えて、 S = (sN + A*(-1)^f)*(tN + B*(-1)^g) mod N を計算し、その後、f+gが奇数になる場合は、N-Sを該乗
算剰余演算結果とし、f+gが偶数となる場合は、Sを演算
結果とすることである。

【００１７】上記の処理では、乗算剰余演算を行う度に
本来の答になるように修正している。しかし、ＲＳＡ暗
号に代表されるべき乗剰余計算の場合は、毎回修正を施
す必要はなく、最終的に修正を施せばよい。

【００１８】ＲＳＡ暗号で用いられるべき乗剰余計算y^
x mod Nに対して用いられる乗算剰余処理を上記の置き
換え、すなわち、乗算剰余処理A*B mod Nの計算を行う
際、乗数B及び被乗数Aの両者を、それぞれtN + B*(-1)^
g、sN + A*(-1)^f （s， t，f， gは整数。但し、f， g
は0又は1）に置き換えて、 S = (sN + A*(-1)^f)*(tN + B*(-1)^g) mod N を計算し、最後に、必要ならNからべき乗剰余計算の値
を引く修正を行えばよい。なぜこのようなことができる
かは、「発明の実施形態」の中で述べる。

【００１９】上記のように処理することで、本来の乗算
剰余演算処理で発生する電流とは異なるパターンの電流
が観測されることになるため、本来のデータの場合に期
待される波形を基に内部処理を推定することが困難にな
る。s， t， f， gを外部から推定できない情報源を用
いて変更すれば、さらに効果が高まり、特に、複数の波
形を収集して平均をとるなどの統計処理を行う場合は、
ランダムな波形を平均化するのと同じことになり、波形
の特徴は消滅するため、さらに効果は顕著である。

【００２０】本発明は、特にＲＳＡ暗号での、乗算剰余
演算や、べき乗剰余計算、および楕円曲線暗号での定義
体上での乗算や除算、ベースポイントのスカラー倍など
の情報隠蔽に利用することができる。

【００２１】

【発明の実施形態】以下に示す実施例では、公開鍵暗号
（非対称鍵暗号）の代表例であるＲＳＡ暗号、楕円曲線
暗号を例にとる。ＲＳＡ暗号については、岡本栄司著
「暗号理論入門」（共立出版）や、A.J.Menezes、 P.C.
van Oorschot、 S. A.Vanstone著 Handbook of Applie
d Cryptography、（CRC-Press）などに詳しく記載され
ている。楕円曲線暗号については、考案者の一人が書い
たN．コブリツ著（櫻井幸一訳）「数論アルゴリズムと
楕円暗号理論入門」(シュプリンガーフェアラ−ク東
京)、楕円曲線上の演算については、I.H.シルバーマン
・J.テイト著「楕円曲線論入門」（シュプリンガーフェ
アラ−ク東京）、又、群、環、体等の代数系について
は、松坂和夫著「代数系入門」（岩波書店）に詳しい説
明がある。

【００２２】実施例を説明するに先立ち、背景となる数
学的知識を整理しておく。一般に公開鍵暗号（非対称鍵
暗号）においては、秘密鍵情報が公開鍵の中に含まれて
いるが、公開鍵から秘密鍵情報を取り出すことが、計算
時間の点で著しく現実性を欠くということ（計算量的安
全性）を根拠にして暗号が構成されている。計算量的安
全性を持つ問題の代表的なものとして、素因数分解と、
群上の離散対数問題が挙げられる。前者を利用したもの
がRSA暗号であり、後者を楕円曲線上のモーデル・ヴェイ
ユ群に適用して利用しているものが楕円曲線暗号であ
る。

【００２３】簡単にＲＳＡ暗号を説明する。ＲＳＡ暗号
では、大きな素数、例えば512ビットの２つの素数p，q
の積 N = pq と Nと互いに素な数 e（ＩＣカードでは、
3や、65537が用いられることが多い）をとり、これを公
開鍵として公開鍵簿に登録する。このとき、この公開鍵
の持ち主Ａに送信者Ｂは、1以上N-1以下の数で表現され
たデータ（平文） L を、 y = L^e mod N として暗号化して送信する。ここで、L^eはLのe乗を表
す記号とする。この暗号文 R を受け取った持ち主Ａ
は、xe mod (p-1)(q-1) = 1となる秘密鍵 xを用いて y^x mod N を計算する。ここで、(p-1)(q-1)は、Nのオイラー関数
の値φ(N)である。これは、Nと互いに素な自然数の個数
に等しい。オイラーの定理によれば、 y^((p-1)(q-1)) mod N = 1 が成り立ち、一方で、xe = 1 + k(p-1)(q-1)（kは整
数）と書くことができるので、 y^x mod N = L^(xe) mod N = L^(1+k(p-1)(q-1)) mod N = L*L^(k(p-1)(q-1)) mod N = L が成り立つ。従って、y^x mod Nを計算することで、持
ち主Ａは、送信者Ｂの平文 L を復号することができ
る。この際、秘密鍵 x を計算するのに、Nの素因数p、
q が用いられており、現在のところ、素因数分解を介さ
ないで、xを計算する方法は知られておらず、大きな素
数の積を因数分解することは、現実的でない時間が必要
であるので、Nを公開しても、Ａの秘密鍵は安全であ
る。

【００２４】ＲＳＡ暗号の暗号化/復号化操作で用いら
れるべき乗剰余計算の実装方法の代表的なものは、アデ
ィション・チェイン方式とスライディング・ウインドウ方
式である。まず、アディション・チェイン方式による計
算アルゴリズムについて図４を用いて説明する。この方
式は、最も多く利用されているものである。ここでは、
y^x mod Nの計算を、秘密鍵 x のビットを２ビット毎に
区切り、上位から読んでいき、それが、00，01，10，11
のいずれであるかに応じて、y[0] = 1， y[1] = y， y
[2] = y^2 mod N， y[3] = y^3 mod N を対応させ、剰
余乗算計算を行うことによって実現したものである。
勿論、２ビット毎に区切ることは説明の便宜のためであ
り、実際には１ビット、３ビット、４ビットをまとめて
計算することもある。その際も考え方は全く同じであ
る。

【００２５】まず、ビットテーブルy[0] = 1， y[1] =
y， y[2] = y^2 mod N， y[3] = y^3 mod Nを用意する
（ステップ401）。続いて初期化（ステップ402）を行
い、条件分岐（ステップ403）にて、指数ｘの最後まで
処理し終えたかを判定し、終了していれば、処理終了
し、終了していなければ、４乗の計算（ステップ404）
を行う。この4乗計算（ステップ404）は、ｘのビットと
無関係に行われるが、その次に行われる剰余乗算計算に
おいては、条件分岐処理（ステップ405，406，407，40
8）が行われ、それぞれの条件に対応して、ステップ40
9，410，411，412の剰余乗算演算が行われる。

【００２６】この方式で正しい計算が行なえることを簡
単に数値例で確認する。この計算方式の本質的部分は指
数部分であるので、例として、指数部分のみ数値である
例として S = y^219 mod N を取り上げる。ここで、219は二進数表示で11011011で
ある。これをもとに、2ビット幅のアディション・チェイ
ン方式で計算する。11011011を2ビットブロックに分割
すると、11 01 10 11である。S = 1（初期化）を行な
い、これをＮを法として4乗する。勿論、1を4乗しても1
である。次に指数部の先頭のビットブロックを読む。こ
れは、11であるから、y[3] = y^3 mod Nを乗じて、S =
y^3 mod Nとなる。次に、再びループし、これをＮを法
として4乗すると、y^12 mod Nとなる。指数部のビット
ブロックの先頭から2番目のビットブロックを読むと、
これは、01であるから、y[1] = y を乗じて、S = y^13
mod Nとなる。再びループし、これをＮを法として4乗す
ると、S = y^52 mod Nとなる。指数部のビットブロック
の先頭から3番目のビットブロックを読むと、これは、1
0であるから、y[2] = y^2mod N を乗じて、S = y^54 mo
d Nとなる。再びループし、これをＮを法として4乗する
と、S = y^216 mod Nとなる。指数部のビットブロック
の先頭から4番目のビットブロックを読むと、これは、1
1であるから、y[1] = y^3 mod N を乗じて、S = y^219
mod Nとなる。これが求める答である。

【００２７】次に、もう一つの代表的なべき乗剰余計算
アルゴリズムであるスライディング・ウインドウ方式に
ついて図５を用いて説明する。ここでは、y^x mod Nを
計算する際のxの最大の処理単位を2ビットとする。ま
ず、テーブルy[2] = y^2 mod N、y[3] = y^3 mod Nを用
意する（ステップ501）。次にSを１に初期化し（ステッ
プ502）、指数xの最後のビットであるかどうかを判定し
（ステップ503）、終了していれば、処理を終了し、xの
最後のビットでなければ、二乗剰余演算を行う（ステッ
プ504）。指数ｘの１ビットを読み（ステップ505）、こ
れが1でなければ、再び条件分岐処理（ステップ503）に
戻り、この１ビットが1であれば、二乗剰余処理（ステ
ップ507）を行う。次にxの次のビットが受け取れたかど
うかを判定し（ステップ508）、受け取れなければ、条
件分岐処理（ステップ503）に戻るが、このときはxの最
後まで処理が終了しているので、ステップ503の条件はY
esとなり、処理を終了する。xの次の処理ビットが受け
取れた場合は、条件分岐処理（ステップ509）にて、そ
のビットが0であるか1であるかに応じ、それぞれ、乗算
剰余計算（ステップ510，511）を実行し、再び条件分岐
処理（ステップ503）に戻る。

【００２８】これも、数値例で簡単に確認しておく。例
として S = y^2226 mod N を計算するにあたり、テーブルy[2] = y^2 mod N， y
[3] = y^3 mod Nを用意する。この際、y[0]， y[1]は不
要である。2226は、２進法で、100010110010と書くこと
ができる。これを上位より読んで、2ビットが1を上位に
持っているときは、それを一塊とみなし、0が続いてい
るときは、2乗剰余演算を行なうとみなす。つまり、100
010110010 = 10 0 0 10 11 0 0 10 という分解に対応す
るように処理する。従って、S=1と初期化した後、ま
ず、10に対応する処理、すなわち、Sの2乗剰余演算を行
なって、Sにy[2]を掛ける。このとき、S = y[2] = y^2
mod Nとする。次に、0に対応した処理、すなわち2乗剰
余演算を行なって、S = y^4 modNを得る。続く0に対応
する処理、S = y^8 mod Nを行ない、次に、10に対応す
る処理を行なえば、S = ((y^8 mod N)^4 mod N * y^2 m
od N) mod N = y^34 mod Nとなる。続く処理は、11に対
応した、S = ((y^34 mod N)^4 * y^3 mod N) mod N= y^
139 mod Nを実行する。さらに続く２つの0に対応して4
乗剰余演算を行ない、S = (y^139 mod N)^4 mod N = y^
556 mod Nとし、最後の10に対応する処理S =((y^556 mo
d N )^4 mod N * y^2 mod N) mod N = y^2226 mod Nに
よって、求める答を得る。この方式は、テーブルとし
て、指数ビットの先頭が1であるものだけを利用するの
で、ＲＡＭの容量が半分で済むという利点がある。

【００２９】上記のアディション・チェイン方式、スラ
イディング・ウインドウ方式は、モンゴメリ法と呼ばれ
る方式を用いて実行されることがあることに注意してお
く。モンゴメリ法とは、剰余乗算演算 AB mod Nを高速
に実行する方式であり、特にハードウエア化に向いた方
法である。簡単にそのしくみを説明する。詳細は、モン
ゴメリの原著論文“Modular Multiplication Without T
rial Division”、 Mathematics of Computation 44、
170、 pp.519-521(1985))に記載されている。

【００３０】モンゴメリ法の本質は、殆ど全てのコンピ
ュータにおいて、mod 2^nの演算は、上位ビットを無視
することにより実現できるということを利用することに
ある。すなわち、AB mod Nの計算を2のべきを法とする
演算に置き換えることに、その本質がある。ＲＳＡ暗号
では、Nは、大きな素数の積であるから奇数であり、従
って任意の２のべきと互いに素である。そこで、M， W
を未知数とした不定方程式： AB + MN = WR を考える。ここで、A， Bのビット長はnであるものと
し、R = 2^nとする。このとき、この不定方程式は無限
個の解を有する。このようなMを見つければ、WはABR^(-
1) mod Nと合同である。Mは、Rおきに並んでいるので、
Rより小さい非負の値がとれる。このとき、Wは、ABR^(-
1) mod Nであるかまたは、ABR^(-1) mod N+Nである。後
者の場合は、Nを引き算して求める答を得る。

【００３１】このように、モンゴメリ法においては、AB
R^(-1) mod Nの形で演算が行なわれるので、上記のアル
ゴリズム、例えば、アディション・チェイン方式では図
４の401、スライディング・ウィンドウ方式では図５の5
01で実行されるテーブル作成処理において、それぞれの
テーブルの値を、y[0] = R mod N， y[1] = y*R modN，
y[2] = y^2*R mod N， y[3] = y^3*R mod Nに置き換え
て処理する。Sの初期値もR mod Nとする。すると、被乗
数Aと乗数Bの値は、もとの値のR倍になっているため、A
BR^(-1) mod Nの処理では、必ずR倍の項が残ることにな
る。このデータ形式をモンゴメリフォーマットと呼ぶこ
とにすれば、アディション・チェイン、スライディング・
ウインドウ両方式を、モンゴメリフォーマットで実行
し、最後に、R^(-1) mod N倍することにより、求める答
を得ることができる。

【００３２】次に、後の説明の便宜のため、乗算剰余処
理におけるオーバーフロー処理について簡単に説明して
おく。オーバーフロー処理は、演算装置の実装方法によ
って若干の違いがあるが、ここでは代表的なものを説明
する。最も単純な方式は、A*Bをはじめに求め、これがN
未満であれば、このA*Bを答えとし、Nより大きい場合
は、N未満の値になるまでNを引き算することによってA*
B mod Nを求めるというものである。つまり、この場
合、「オーバーフロー」とは、A*BがN以上になることで
あり、「オーバーフロー処理」とは、N未満の値になる
までNを引き算するという操作に他ならない。この方式
は、A*Bのビット長が小さいときはコード量も少なく、
処理時間も無視できるが、ビット長が大きくなると、Ｉ
Ｃカードのような非力なデバイスでは処理時間が極めて
大きくなるため、あまり用いられない。

【００３３】もう一つは、モンゴメリ法で生ずるオーバ
ーフローである。先に簡単に説明したように、モンゴメ
リ法では、法N（奇数）における剰余を計算するより
も、法R= 2^n（nはA，Bのビット数）における剰余を求
める方が計算が速いことに着目し、不定方程式： AB + MN = WR によって、A*B*R^(-1) mod Nの計算を上記不定方程式の
M = -A*B*N^(-1) mod Rを求める操作に変換する。Mは、
0以上R未満の範囲に一つ存在する。これを求めた場合、
A*B*R^(-1) mod Nが確定するかというと、そうではな
い。（以下、この不定方程式をモンゴメリ方程式と呼ぶ
ことにする。） A、 Bが既に法Nでの剰余であれば、A < N < RかつB < N
< Rである。また、M< Rであるので、 W = (AB + MN)/R < (NR + RN)/R = 2N となる。つまり、Wは2Nよりも小さいが、Nより大きい可
能性がある。実際、そのような場合があり、その際に
は、Nを一回引き算する必要がある。つまり、この場
合、「オーバーフロー」とは、WがN以上になることであ
り、「オーバーフロー処理」とは、Nを一回引く操作に
対応する。

【００３４】ＲＳＡ暗号の場合、乗算剰余処理が出現す
ることは明らかであるが、楕円曲線暗号に対しては、自
明な事柄ではないので、以下、楕円曲線暗号について簡
単に説明しておく。楕円曲線とは、体Kの上で定義され
た３次多項式の零点集合であり、Kの標数が２でない場
合は、 y^2 = x^3 + ax + b という標準形を持つ。標数が２の体の上では、 y^2 + cy = x^3 + ax + b 又は、 y^2 + xy = x^3 + ax + b という標準形を持つ曲線である。（いずれの場合も、後
に説明する無限遠点Oを含めて考える）。楕円曲線の形
状は、図6のようなものになる。

【００３５】暗号で必要なのは、定義体が有限体（ガロ
ア体）の場合のみであるので、その場合に限って説明す
る。有限個の元からなる体を有限体又はガロア体とい
い、その構造はよく知られている。その最も単純な構成
法は以下の通りである。まず、素数 p を法とする整数
環の剰余環 Zp を考える。Zpは集合としては、{0， 1，
2，…， p-1}に一致する。Zpにおける和(＋)、積（＊）
は、 A (+) B = (A+B) mod p A (*) B = (A*B) mod p で定義されている。0以外の元は、（＊）に関して逆元
を持つので、体の構造を持っている。これを素体とい
い、GF(p)と書く。これが最も原始的な有限体の例であ
る。以下、混乱がない限り、(+)は通常の＋と書き、
（＊）も、通常の積＊で表す。積については、A*Bを、A
Bのように書くこともある。

【００３６】次に、GF(p)の元を係数に持つ多項式 f(X)
を考え、その零点のうち、GF(p)に含まれないものをGF
(p)に添加することによって、新しい体を構成すること
ができる。これを、GF(p)の有限次代数拡大体という。G
F(p)の有限次代数拡大体の元の個数は、pのべきになっ
ていることが知られている。その元の個数をp^nと書く
とき、有限次代数拡大体をGF(p^n)などと表示すること
がある。

【００３７】準同型定理（松坂和夫「代数系入門」岩波
書店、 p.125 定理4）によれば、GF(p^n)は、GF(p)係数
の多項式全体がつくる環GF(p)[X]をGF(p)[X]のn次既約
多項式f(X)の倍元全体の作るイデアルに関する剰余環GF
(p)[X]/(f(X))と同型である。この際、f(X)は既約でさ
えあれば、環としては同じものである。従って、適当に
n次の既約多項式を決めて、和と積を、Zpと同じよう
に、法f(X)における和、積とすることでGF(p^n)の演算
をマイクロコンピュータ上に実現することができる。

【００３８】ＩＣカードの上で実装する場合は、特に素
体GF(p)(pは素数)の場合とバイナリ体GF(2^n)の場合が
重要である。GF(p^n)を、pの大きさをマイクロコンピュ
ータのレジスタの大きさ程度にすることによって、実現
する方法もあり、研究が進められている。

【００３９】楕円曲線上の点の間には、演算を定めるこ
とができる。図７に示すように、楕円曲線上の二つの
点、P，Qがあるとき、この二点を通る直線を引き（P=Q
のときは接線を引く）、この直線が再び楕円曲線と交わ
る点Rをｘ軸に関して対称に折り返した点は、曲線の対
称性から、再び楕円曲線上の点となる。この点をP+Qと
書き、PとQの「和」と定義する。交わる点がない場合
は、架空の点として無限遠点というものを考え、この架
空の点で交わっているものとみなす。無限遠点をOと書
く。また、楕円曲線上の点Pとｘ軸に関して対称な位置
にある点をPの逆元といい、-Pで表す。楕円曲線上の一
点Pをk個加えたものを、kP、-Pをk個加えたものを-kPと
書いて、Pのスカラー倍という。これらの座標は、P，Q
の座標の有理式で表すことができ、従って一般の体の上
でこの演算を考えることができる。この「加法」は、通
常の加法と同様に、結合法則、交換法則が成立し、この
加法に関して、無限遠点Oは、通常の数での演算と同様
にゼロの役割を果たし、-Pは、Pと加えると、Oになる。
これは楕円曲線上の加法演算が、可換群（アーベル群）
の構造を持つことを示している。これをモーデル・ヴェ
イユ群ということがある。楕円曲線E、定義体GF(q)(q=p
^n)を固定したときのモーデル・ヴェイユ群を、G(E/GF
(q))と書くことがある。G(E/GF(q))の構造は非常に単純
で、巡回群か、または二つの巡回群の直積と同型になる
ことが知られている。暗号学上は、巡回群になっている
か、または２つの巡回群の直積になっている場合は、い
ずれかの位数（元の数）が、大きな素数で割れることが
望ましい。

【００４０】楕円曲線上の点P=(x1， y1)、 Q=(x2， y
2)の和P+Qの座標を(x3， y3)とする。P+Q=Oでないと
き、以下の関係式が成立する。ＩＣカードでは、標数3
を用いる積極的理由は何もないので、以下標数３の場合
は省略する。以下、考える楕円曲線は、非特異(non-sin
gular)であるものとする。

【００４１】標数が2，3でない場合： y^2 = x^3 + ax + b に対しては、 x3 = h^2 - x1 - x2 y3 = h(x1 - x3) - y1 ここで、hは、 h = (y2 - y1)/(x2 - x1) if P≠Q， (3x1^2 + a)/(2y
1) if P = Q である。

【００４２】標数が2の場合： y^2 + xy = x^3 + ax + b に対しては、 x3 = h^2 + h + x1 + x2 + a y3 = h(x1 + x3) + x3 + y1 ここで、hは、 h = (y1 + y2)/(x1 + x2) if P≠Q， x1 + (y1/x1) if
P = Q である。

【００４３】上記の和の公式では、演算をガロア体GF(p
^n)の上で行う必要がある。従って、例えば、GF(p)(pは
大きな素数)の上では、 x3 = (h^2 - x1 - x2) mod p y3 = (h(x1 - x3) - y1) mod p を行うことになる。

【００４４】またhの計算もmod pで実行しなければなら
ない。つまり、例えば、h = (y2 -y1)/(x2 - x1)は、h
= (y2 - y1)*{(x2 - x1)^(-1) mod p} mod pと解釈され
る。

【００４５】GF(p^n)の場合も、先に述べたように、結
局は、多項式の乗算剰余演算を行うことになるので、同
様に理解することができる。

【００４６】一般に、kP=Qの値がわかっても、逆にｋの
値を知るのは計算量が膨大になるため、容易でない。こ
れを楕円曲線上の離散対数問題という。楕円曲線暗号で
は、楕円曲線上の離散対数問題が困難であることを利用
している。楕円曲線を利用した暗号方式には種々のもの
があるが、ここでは、特に、楕円ElGamal方式を説明す
る。楕円曲線Eとその上の一点（一般に大きな位数を持
つ点。ベースポイントと呼ぶ）Pが公開されているもの
とする。

【００４７】Ａ氏が、Ｂ氏に秘密情報Ｍ（楕円曲線上の
点で表現する。平文（暗号文）の楕円曲線上の埋め込み
については、N.コブリッツ、櫻井幸一訳「数論アルゴリ
ズムと楕円暗号入門」シュプリンガーフェアラ−ク p.2
53に説明されている）を送信することを考える。ステップ 1. 受信者Ｂ氏は、正整数 x[B] を選び、これ
を秘密鍵として保持し、 Y[B] = x[B]P を公開鍵簿に登録する。ステップ 2. 送信者Ａ氏は、乱数 r を用いて、 C1 = rP C2 = M + rY[B] をＢ氏に送信する。ステップ 3. 受信者Ｂ氏は、C1、C2
を受け取り、自分の秘密鍵x[B]を用いて、 C2 - x[B]C1 = M としてＭを復元する。

【００４８】楕円ElGamal暗号に限らず、楕円曲線暗号
においては、楕円曲線上の点のスカラー倍を計算する必
要がある。楕円曲線上の点のスカラー倍を求めるアルゴ
リズムは、べき乗剰余計算のアルゴリズムに類似してい
る。kP(kは正整数)を計算する標準的なアルゴリズムを
べき乗剰余計算と同様に２ビットづつまとめて処理する
場合について示したものを、図8に示す。まず、２ビッ
トの処理を一度に行うために、ベースポイントPのテー
ブルを作る。べき乗剰余演算においては、mod nでの0
乗，１乗，２乗，３乗に対応して、O（無限遠点），P，
２P，３Pを用意する(ステップ801)。べき乗剰余演算と
は異なり、このテーブルは毎回書き換える必要はなく、
あらかじめ用意しておくことができる。次に、計算用の
点の値を初期化する（ステップ802）。次に点Sの２倍を
計算し（ステップ803）た後、kの最後のビットまで実行
したかどうか判定し（ステップ804）、実行済でなけれ
ば、kのビットの値（２ビットごと）によって条件分岐
して（ステップ804， 805， 806， 807）、これらに対
応する点P[0]， P[1]， P[2]， P[3]を加える（ステッ
プ808， 809， 810， 811）。この処理をkのビットが尽
きるまで続けることにより、kPを計算することができ
る。この計算はkの上位から２ビットづつ区切って見て
計算する方式である。べき乗剰余計算と、数学的には同
一の構造をしていることがわかる。スライディング・ウ
インドウ方式にすることも容易である。後に再び説明す
るが、ＲＳＡにおけるべき乗剰余演算、楕円曲線上の加
法演算は、それぞれ、Zn、G(E/GF(q))という代数系の上
で行われる演算と考えることができる。

【００４９】一方で、マイクロコンピュータが内部のプ
ログラムを実行する際、動作時の内部消費電力が漏洩す
る可能性があるため、このプロセスをマイクロコンピュ
ータで実現する場合、秘密鍵の処理が漏洩し、危険に曝
されることになる。例えば、kのビット（この例では２
ビット毎）の違いにより、分岐が行われるので、もし
も、その処理が消費電流の差として現れれば、電流波形
からkのビットを特定することができる可能性がある。

【００５０】上記の背景を踏まえて、本発明の実施例を
説明する。図9に示した処理は、本発明の典型的応用例
である。本実施例は、べき乗剰余計算y^x mod Nをアデ
ィション・チェイン方式によって実行するものである。
但し、本実施例では、モンゴメリ法による乗算剰余処理
を用いて、ＲＳＡ暗号のべき乗剰余計算を行う。この処
理において、A*B*R^(-1) mod Nという乗算剰余演算が用
いられる。先に述べたのと同じく、Nは奇数（一般にRSA
暗号では、Nは、大きな素数p，qの積であり、奇数であ
る）であり、R = 2^n(nはデータのビット長)とする。

【００５１】まず、ステップ901にて、S = R mod Nと
し、さらに、xのビットブロックの番号を数えるための
カウンタjを0に初期化し、条件分岐判定用の変数v[0] =
0とする。次に２ビットアディション・チェイン方式処
理用のテーブル作成を行う（ステップ902）が、この
際、通常のアディション・チェイン処理に必要なオリジ
ナルテーブル(903)y[0][0] = R mod N， y[1][0] = yR
mod N， y[2][0] = y^2R modN， y[3][0] = y^3R mod N
の他に、モジュラスNにおける反転テーブル(904) y[0]
[1] = N - (R mod N)， y[1][1] = N - (yR mod N)， y
[2][1] = N - (y^2R mod N)， y[3][1] = N - (y^3R mo
d N)をも用意する。テーブルは通常、ＲＡＭ上に存在す
る。このテーブル作成の後、条件分岐処理（ステップ90
5）にて、指数ｘが最後まで読まれたか（全てのビット
ブロックを読んだか）を調べる。指数ｘの全てのビット
ブロックの処理が終了していなければ、ステップ906に
進み乱数v[j]を発生する（ステップ906）。この乱数
は、0または1である。次に、S = S^2*R^(-1) mod Nを2
回実行する（ステップ907）。最初の処理では、S = R m
od Nに初期化されているので、この二乗剰余演算の結果
は、S = (R mod N)^2*R^(-1) mod N = R mod Nとなり、
ステップ907の処理結果は、R mod Nとなることに注意す
る。次に、条件分岐処理（ステップ908， 909， 910，
911）において、指数ｘの２ビットブロックを読み、こ
のビットブロック（図中では「ｘのビットブロック」と
表現されている）が、２進数で、00であるか01である
か、10であるか、11であるかに応じて、それぞれ、ステ
ップ912， 913， 914， 915に進み、乗算剰余演算を行
う。この乗算剰余演算では、v[j] が、0であるか、1で
あるかに応じて、用いるテーブル値が異なる。例えば、
xのビットブロックが10であれば、通常は、S = S*y[2]
[0]*R^(-1) mod N = S*(y^2R mod N) mod Nを計算する
が、v[j] = 1のときは、反転テーブルから、y[2][1]を
取り出して、S = S*y[2][1]*R^(-1) mod N = S*(N - (y
^2R mod N))*R^(-1) mod Nを計算する（ステップ91
4）。ステップ912， 913， 915の処理においても、同様
にv[j]の値に応じて乗ずる値を変える。乗算剰余処理を
終えた後、ステップ921にて、カウンタをインクリメン
トし、ステップ905の処理に戻る。条件分岐処理（ステ
ップ905）にて、指数ｘのビットブロックを全て読み終
わっている場合には、ステップ916の処理に進む。ステ
ップ916では、モンゴメリ形式（R mod Nが掛かってい
る）のデータを通常の値に戻すために、R^(-1) mod Nを
乗ずる処理を行う。次に、T = N - Sを計算し、これを
ＲＡＭに置く（ステップ917）。ここで、SとTはＲＡＭ
上で異なる位置に配置され、ＲＡＭ上で重複することは
ないものとする。条件分岐処理（ステップ918）にて、
最後のvの値が1であれば、Tを出力し（ステップ919）、
v = 0であれば、Sを出力する（ステップ920）。この処
理によって正しい値が出力されることは、( ｔN - B )^
2 mod N = B^2 mod N（ｔは整数）であることから明ら
かである。このように処理することによって、オーバー
フローの処理が本来のものとは異なるものになるため、
ＩＣチップの消費電力や、処理時間等を観測して内部処
理を行うことが困難になる。これは、乗算剰余演算A*B
mod NのAをsN+A*(-1)^f、BをtN+B*(-1)^g(ｓ,ｔ,ｆ,ｇ
は整数)に置き換えたときに、特に(s， t， f， g) =
{(0， 0， 0， 0)，(0， 1， 0， 1)}としたものの一つ
である（｛｝内は集合の要素）。

【００５２】上記実施例では、各jに関してv[j]を乱数
として変化させているが、全てのj =0， 1， ..., m-1
(mはビットブロックの数)を0とするか、1とするかを、
最初にランダムに決定するという方法もある。図１０
に、これを示す。まずステップ1001にて、S = R mod N
とし、さらに、xのビットブロックの番号を数えるため
のカウンタjを0に初期化する。次に２ヒ゛ットアディション
・チェイン方式処理用のテーブル作成を行う（ステップ1
002）が、この際、通常のアディション・チェイン処理に
必要なオリジナルテーブル(1003)y[0][0] = R mod N，
y[1][0] = yR mod N， y[2][0] = y^2R mod N， y[3]
[0] = y^3R mod Nの他に、モジュラスNにおける反転テ
ーブル(1004) y[0][1] = N - (R mod N)， y[1][1] = N
- (yR mod N)， y[2][1] = N - (y^2R mod N)， y[3]
[1] = N - (y^3R mod N)をも用意する。テーブルは通
常、ＲＡＭ上に存在する。このテーブル作成の後、ステ
ップ1005に進み乱数vを発生する。この乱数は、0または
1である。次に条件分岐処理（ステップ1006）にて、指
数ｘが最後まで読まれたか（全てのビットブロックを読
んだか）を調べる。次に、S = S^2*R^(-1) mod Nを2回
実行する（ステップ1007）。最初の処理では、S = R mo
d Nに初期化されているので、この二乗剰余演算では、S
= (R mod N)^2*R^(-1) mod N = R mod Nとなり、ステ
ップ1007の処理結果は、R mod Nとなることに注意す
る。次に、条件分岐処理（ステップ1008， 1009，101
0， 1011）において、指数ｘの２ヒ゛ットブロックを読み、
このビットブロックが、２進数で、00であるか01である
か、10であるか、11であるかに応じて、それぞれステッ
プ1012， 1013， 1014， 1015に進み、乗算剰余演算を
行う。乗算剰余演算では、vが、0であるか、1であるか
に応じて、用いるテーブル値が異なる。例えば、xのビ
ットブロックが10であれば、通常は、S = S*y[2][0]*R^
(-1) mod N = S*(y^2R mod N) mod Nを計算するが、v =
1のときは、反転テーブルからy[2][1]を取り出して、S
= S*y[2][1]*R^(-1) mod N = S*(N - (y^2R mod N))*R
^(-1) mod Nを計算する（ステップ1014）。ステップ101
2， 1013， 1015の処理においても、同様にvの値に応じ
て乗ずる値を変える。乗算剰余処理を終えた後、ステッ
プ1021にて、カウンタをインクリメントし、ステップ10
06の処理に戻る。条件分岐処理（ステップ1006）にて、
指数ｘのビットブロックを全て読み終わっている場合に
は、ステップ1016の処理に進む。ステップ1016では、モ
ンゴメリ形式（R mod Nが掛かっている）のデータを通
常の値に戻すために、R^(-1) mod Nを乗ずる処理を行
う。次に、T = N - Sを計算し、これをＲＡＭに置く
（ステップ1017）。ここで、SとTはＲＡＭ上で異なる位
置に配置され、ＲＡＭ上で重複することはないものとす
る。条件分岐処理（ステップ1018）にて、最後のvの値
が1であれば、Tを出力し（ステップ1019）、v = 0であ
れば、Sを出力する（ステップ1020）。この処理によっ
て正しい値が出力されることは、( ｔN - B )^2 modN =
B^2 mod N（ｔは整数）であることから明らかである。
このように処理することによって、オーバーフローの処
理が本来のものとは異なるものになるため、ＩＣチップ
の消費電力や、処理時間等を観測して内部処理を行うこ
とが困難になる。これは、乗算剰余演算A*B mod NのA，
Bを上記のように置き換えたときに、特に(s， t， f，
g) = {(0， 0， 0， 0)，(0， 1， 0， 1)}としたもの
の一つである。

【００５３】上記の２つの実施例では、モンゴメリ法を
用いたものを例として示したが、モンゴメリ法を用いな
い形式で本発明を適用することも容易である。この例を
示そう。図９の実施例を非モンゴメリ形式に変更するこ
とは全く容易であって、モンゴメリ・フォーマットに変
換している部分を除去すればよい。図１１は、モンゴメ
リ法を用いない通常の実装方法を示したものである。

【００５４】まずステップ1101にて、S = 1とし、さら
に、xのビットブロックの番号を数えるためのカウンタj
を0に初期化し、条件分岐判定用の変数v[0] = 0とす
る。次に２ヒ゛ットアディション・チェイン方式処理用のテ
ーブル作成を行う（ステップ1102）が、この際、通常の
アディション・チェイン処理に必要なオリジナルテーブ
ル(1103)y[0][0] = 1， y[1][0] = y mod N， y[2][0]
= y^2 mod N， y[3][0] = y^3 mod Nの他に、モジュラ
スNにおける反転テーブル(1104) y[0][1] = N - 1，y
[1][1] = N - (y mod N)， y[2][1] = N - (y^2 mod
N)， y[3][1] = N - (y^3mod N)をも用意する。テーブ
ルは通常、ＲＡＭ上に存在する。このテーブル作成の
後、条件分岐処理（ステップ1105）にて、指数ｘが最後
まで読まれたか（全てのビットブロックを読んだか）を
調べる。指数ｘの全てのビットブロックの処理が終了し
ていなければ、ステップ1106に進み乱数v[j]を発生す
る。この乱数は、0または1である。次に、S = S^2 mod
Nを2回実行する（ステップ1107）。次に、条件分岐処理
（ステップ1108， 1109， 1110， 1111）において、指
数ｘの2ヒ゛ットブロックを読み、このビットブロック（図
中では「ｘのビットブロック」と表現されている）が、
２進数で、00であるか01であるか、10であるか、11であ
るかに応じて、それぞれ、ステツプ1112， 1113， 111
4， 1115に進み、乗算剰余演算を行う。乗算剰余演算で
は、v[j] が、0であるか、1であるかに応じて、用いる
テーブル値が異なる。例えば、xのビットブロックが10
であれば、通常は、S =S*y[2][0] mod N = S*(y^2 mod
N) mod Nを計算するが、v[j] = 1のときは、反転テーブ
ルから、y[2][1]を取り出して、S = S*y[2][1] mod N =
S*(N - (y^2 mod N)) mod Nを計算する（ステップ111
4）。ステップ1112， 1113， 1115の処理においても、
同様にv[j]の値に応じて乗ずる値を変える。乗算剰余処
理を終えた後、ステップ1120にて、カウンタをインクリ
メントし、ステップ1105の処理に戻る。条件分岐処理
（ステップ1105）にて、指数ｘのビットブロックを全て
読み終わっている場合には、ステツプ1116の処理に進
む。ステップ1116では、T = N -Sを計算し、これをＲＡ
Ｍに置く。ここで、SとTはＲＡＭ上で異なる位置に配置
され、ＲＡＭ上で重複することはないものとする。条件
分岐処理（ステップ1117）にて、最後のvの値が1であれ
ば、Tを出力し（ステップ1118）、v = 0であれば、Sを
出力する（ステップ1119）。この処理によって正しい値
が出力されることは、( ｔN - B )^2 mod N = B^2 mod
N（ｔは整数）であることから明らかである。このよう
に処理することによって、オーバーフローの処理が本来
のものとは異なるものになるため、ＩＣチップの消費電
力や、処理時間等を観測して内部処理を行うことが困難
になる。これは、乗算剰余演算A*B mod NのA，Bを上記
のように置き換えたときに、特に(s， t， f， g) =
{(0， 0， 0， 0)，(0， 1， 0， 1)}としたものの一つ
である。

【００５５】以下図１１の実施例に対応する発明を方法
ステップの形で要約しておく。

【００５６】情報処理装置を利用して、暗号処理中に出
現する剰余乗算であるＡ＊ＢｍｏｄＮを計算する方法
であって、その方法は、（１）Ｓ₁＝Ａ＊ＢｍｏｄＮ
を計算するステップ、（２）（１）の代わりにＳ₂＝
｛ｓＮ + Ａ*(-1)^ｆ｝＊｛ｔＮ + Ｂ*(-1)^ｇ｝ｍｏ
ｄＮ（ｓ, ｔ, ｆ, ｇは少なくとも１つは０でない整
数であり、ｆ, ｇは０又は１）を計算するステップ、
（３）上記（１）と（２）のいずれかを適宜選択するス
テップ、（４）上記（１）（２）（３）を適宜繰り返
し、最後に上記（１）を選択したときはその計算結果Ｓ
₁を出力し、上記（２）を選択したときにはＳ₂の代わり
にＮ−Ｓ₂を出力するステップ、および（５）Ｓ₁とＮ−
Ｓ₂を、暗号処理の剰余乗算Ａ＊ＢｍｏｄＮの計算結
果として用いるステップを有することを特徴とする耐タ
ンパーモジュラ演算処理方法。

【００５７】上記の実施例（図９、図１０及び図１１の
実施例）においては、vとして乱数を用いているが、こ
れを0と1を交互に取るような仕方で変化させたり、疑似
乱数や、カオス的数列といったものに変えることができ
ることは言うまでもない。また、上記実施例では、s，
t， f， gを二通りにしか変化させていないが、より多
くの変数を変化させることにより、撹乱効果を上げるこ
とができる。この場合の実施例を図１２に示す。

【００５８】まずステップ1201にて、S = 1とし、さら
に、xのビットブロックの番号を数えるためのカウンタj
を0に初期化し、条件分岐判定用の変数v[0] = 0とす
る。次に、４つの乱数w[k](k=0，1，2，3)を用意する
（ステップ1202）。この乱数は、0< w[k] < MAXを満た
す整数で、MAXは、メモリやレジスタの大きさ等の制約
によって決める。次に2ビットアディション・チェイン方
式処理用のテーブル作成を行う（ステップ1203）が、こ
の際、通常のアディション・チェイン処理に必要なオリ
ジナルテーブル(1204)y[0][0] = 1， y[1][0] = y mod
N， y[2][0] = y^2 mod N， y[3][0] = y^3 mod Nの他
に、モジュラスNにおける反転テーブル(1205) y[0][1]
= N - 1， y[1][1] = N - (y mod N)， y[2][1] = N -
(y^2 mod N)， y[3][1] = N - (y^3 mod N)をも用意す
る。テーブルは通常、ＲＡＭ上に存在する。このテーブ
ル作成の後、条件分岐処理（ステップ1206）にて、指数
ｘが最後まで読まれたか（全てのビットブロックを読ん
だか）を調べる。指数ｘの全てのビットブロックの処理
が終了していなければ、ステップ1207に進み乱数v[j]を
発生する。この乱数は、0または1である。次に、S = S^
2 mod Nを2回実行する（ステップ1208）。次に、条件分
岐処理（ステップ1209，1210，1211，1212）において、
指数ｘの２ヒ゛ットブロックを読み、このビットブロック
（図中では「ｘのビットブロック」と表現されている）
が、２進数で、00であるか01であるか、10であるか、11
であるかに応じて、それぞれ、ステップ1213，1214，12
15，1216に進み、乗算剰余演算を行う。乗算剰余演算で
は、v[j] が、0であるか、1であるかに応じて、用いる
テーブル値が異なる。例えば、xのビットブロックが10
であれば、通常は、S = S*y[2][0] mod N = S*(y^2 mod
N) mod Nを計算するが、v[j] = 1のときは、反転テー
ブルから、y[2][1]を取り出して、S = S*y[2][1] mod N
= S*(N - (y^2 mod N)) mod Nを計算する（ステップ12
15）。ステップ1213，1214，1216の処理においても、同
様にv[j]の値に応じて乗ずる値を変える。乗算剰余処理
を終えた後、ステップ1221にて、カウンタをインクリメ
ントし、ステップ1206の処理に戻る。条件分岐処理（ス
テップ1206）にて、指数ｘのビットブロックを全て読み
終わっている場合には、ステップ1217の処理に進む。ス
テツプ1217では、T = N - Sを計算し、これをＲＡＭに
置く。ここで、SとTはＲＡＭで異なる位置に配置され、
ＲＡＭ上で重複することはないものとする。条件分岐処
理（ステップ1218）にて、最後のvの値が1であれば、T
を出力し（ステップ1219）、v = 0であれば、Sを出力す
る（ステップ1220）。この処理によって正しい値が出力
されることは、( ｔN - B )^2 mod N = B^2 mod N（ｔ
は整数）であることから明らかである。このように処理
することによって、オーバーフローの処理が本来のもの
とは異なるものになるため、ＩＣチップの消費電力や、
処理時間等を観測して内部処理を行うことが困難にな
る。これは、本発明の実施例の一つである。これをモン
ゴメリ方式の場合に変更することは容易であるので、例
を挙げることは省略する。

【００５９】これまで示した実施例は、乗数側を変形す
るものである。本発明の趣旨は、乗数側、被乗数側のい
ずれか、または両方に適用することによって損なわれる
ことはない。これは数学的には自明な事実である。しか
し、実装上は若干の違いが生ずる。乗数側の変形は、最
初の段階でテーブルを作成しさえすれば、その後は「取
り出す値」を変化させることによって本発明を実現する
ことができる。ところが被乗数を変形する場合は、被乗
数自身が各計算過程で異なるため、計算過程毎に途中計
算値SとN-Sを構成しなければならない。これを示すため
に、被乗数側を変形する実施例を示す。

【００６０】図１３を順に説明する。まず、ステップ13
01にて、S = R mod Nとし、さらに、xのビットブロック
の番号を数えるためのカウンタjを0に初期化し、条件分
岐判定用の変数v[0] = 0とする。次に２ヒ゛ットアディショ
ン・チェイン方式処理用のテーブル作成を行う（ステッ
プ1302）。テーブルは、通常のテーブル値y[0] = Rmod
N， y[1] = yR mod N， y[2] = y^2R mod N， y[3] = y
^3R mod Nで構成され、乗数側の変形に用いる反転テー
ブルは不要である。テーブルは通常、ＲＡＭ上に存在す
る。このテーブル作成の後、条件分岐処理（ステップ13
03）にて、指数ｘが最後まで読まれたか（全てのビット
ブロックを読んだか）を調べる。指数ｘの全てのビット
ブロックの処理が終了していなければ、ステップ1304に
進み乱数v[j]を発生する。この乱数は、0または1であ
る。次に、S = S^2*R^(-1) mod Nを2回実行する（ステ
ップ1305）。最初の処理では、S = R mod Nに初期化さ
れているので、この二乗剰余演算では、S = (R mod N)^
2*R^(-1) mod N = R mod Nとなり、ステップ1305の処理
結果は、R mod Nとなることに注意する。次に、このSか
ら、S[0] = S， S[1] = N - Sを計算しＲＡＭ上に格納
する（ステップ1306）。続いて、条件分岐処理（ステッ
プ1307，1308，1309，1310）において、指数ｘの２ヒ゛ット
ブロックを読み、このビットブロック（図中では「ｘの
ビットブロック」と表現されている）が、２進数で、00
であるか01であるか、10であるか、11であるかに応じ
て、それぞれ、ステップ912， 913， 914， 915に進
み、乗算剰余演算を行う。乗算剰余演算では、v[j]
が、0であるか、1であるかに応じて、用いるテーブル値
が異なる。例えば、xのビットブロックが10であれば、
通常は、S= S[0]*y[0]*R^(-1) mod N = S*(y^2R mod N)
mod Nを計算するが、v[j] = 1のときは、S[0]の代わり
にS[1]を取り出して、S = S[1]*y[2]*R^(-1) mod N =
(N- S)*(y^2R mod N)*R^(-1) mod Nを計算する（ステッ
プ1313）。ステップ1311、1312、1314の処理において
も、同様にv[j]の値に応じて乗ずる値を変える。乗算剰
余処理を終えた後、ステップ1315にて、カウンタをイン
クリメントし、ステップ1303の処理に戻る。条件分岐処
理（ステップ1303）にて、指数ｘのビットブロックを全
て読み終わっている場合には、ステップ1316の処理に進
む。ステップ1316では、モンゴメリ形式（R mod Nが掛
かっている）のデータを通常の値に戻すために、R^(-1)
mod Nを乗ずる処理を行う。次に、T = N - Sを計算
し、これをＲＡＭに置く（ステップ1317）。ここで、S
とTはＲＡＭ上で異なる位置に配置され、ＲＡＭ上で重
複することはないものとする。条件分岐処理（ステップ
1318）にて、最後のvの値が1であれば、Tを出力し（ス
テップ1319）、v = 0であれば、Sを出力する（ステップ
1320）。この処理によって正しい値が出力されること
は、( ｔN - B )^2 mod N = B^2 mod N（ｔは整数）で
あることから明らかである。このように処理することに
よって、オーバーフローの処理が本来のものとは異なる
ものになるため、ＩＣチップの消費電力や、処理時間等
を観測して内部処理を行うことが困難になる。これは、
乗算剰余演算A*B mod NのA，Bを上記のように置き換え
たときに、特に(s， t， f， g) = {(0， 0， 0， 0)，
(1， 0， 1， 0)}としたものの一つである。これをモ
ンゴメリ法を用いない方式に変更することは容易である
ので、例を挙げることは省略する。

【００６１】これまでに示した実施例は、乗数または被
乗数を変形したものであるが、両方を変形することもで
きることは言うまでもない。また、例えば図１３のステ
ップ1305の処理過程で、S = (N - S)^2*R^(-1) mod Nの
ように処理を行うことにより、消費電流を本来のそれと
は異なるものにすることが可能となる。本発明の実施例
は、様々なバリエーションを持っているが、本質的に
は、上記の実施例を組み合せて構成することが可能であ
る。

【００６２】上記の実施例はいずれも、べき乗剰余計算
の処理に対して適用されたものである。べき乗剰余計算
に対して本発明はとりわけ有効であるが、上記の考え方
をより一般のモジュラ計算（剰余計算）に置き換えるこ
とによって、オーバーフロー等の処理から秘密情報が漏
洩することを防ぐことも可能である。べき乗剰余計算に
おいて本発明が有効である理由は、本質的には、( ｔN
- B )^2 mod N = B^2 mod N（ｔは整数）という関係式
が成り立つという事実に帰着する。

【００６３】ところがべき乗剰余計算とは異なる処理、
例えば、楕円曲線暗号における曲線上のベースポイント
Pのスカラー倍を計算するというような場合には、上記
の関係式のような「自然な」修正処理が現れるとは限ら
ない。この事情を簡単に説明する。素体GF(p)(pは大き
な素数)において、楕円曲線E： y^2 = x^3 + ax + b を考える。先に延べたように、E上の点Pのスカラー倍kP
を計算する場合は、点の2倍算と、点同士の和の計算が
出現する（図８参照）。ここで、この二つの計算をより
詳細に分解すると、通常のＩＣカードマイコンにおいて
は、ＲＳＡよりも複雑な計算過程を経なければならない
ことがわかる。

【００６４】先に述べたように、楕円曲線上の点P=(x
1， y1)， Q=(x2， y2)の和P+Qの座標を(x3， y3)とす
ると、P+Q=Oでないとき x3 = (h^2 - x1 - x2) mod p y3 = (h*(x1 - x3) - y1) mod p と表現できる。ここで、hは、 h = (y2 - y1)*((x2 - x1)^(-1)) mod p if P≠Q， (3x
1^2 + a)*((2y1)^(-1))mod p if P = Q である。

【００６５】この群演算（モーデル・ヴェイユ群の群演
算）で必要な乗算剰余演算を列挙すると、 h = (y2 - y1)*(x2 - x1)^(-1) mod p if P≠Q、--- (E1) h = (3x1^2 + a)*(2y1)^(-1) mod p if P = Q --- (E1)' h^2 mod p --- (E2) h*(x1 - x3) mod p --- (E3) となる。(E1)の処理において、A = y2 - y1， B = (x2
- x1)^(-1) mod p(またはx2 - x1)をそれぞれ、sN + A*
(-1)^f，tN + B*(-1)^g（s， t， f， gは整数。但し、
f， gは0又は1）に置き換えると、オーバーフローのパ
ターンが変化する（（E1）'の場合も同様）。hは(E2)の
処理において法pにおいて２乗され、この値は本来のも
のと同一になるが、(E3)の処理では、値が、法pで反転
してしまうため、正しいy3を求めるには、(E3)の結果を
補正しなければならない。明らかにf+gが偶数であれば
補正は不要で、f+gが奇数の場合は、補正が必要とな
る。

【００６６】ここで、実施例を示すが、楕円曲線暗号の
大域的処理フローについては、図８及び対応する説明に
おいて説明したので、ここでは、２倍計算S = 2SとS =
S+P[j]の計算部に絞って説明を行う。すなわち、図８に
おける、ステップ803（2倍計算）、ステップ809，810，
811，812（和の計算）の処理に本発明の処理方式を実装
する方法を説明する。

【００６７】まず、素体GF(p)の上での実施例のうち、
最も簡単なものを説明する。素体上での計算は、全て、
法pのもとで実行すればよい。図１５はGF(p)上での楕円
曲線E: y^2 = x^3 + ax + bにおける点P(x，y)の2倍計
算に本発明を適用したものである。以下、2P = (x3， y
3)とする。

【００６８】ステップ1401において、D1 = (2*y)^(-1)
mod pを計算する。次に、ステップ1402にて、D2 = (3*x
^2 + a) mod pを計算する。これらD1，D2に対して、テ
ーブルD1[0] = D1， D2[0] = D2，D1[1] = p - D1， D2
[1] = p - D2を計算してＲＡＭに格納する（ステップ14
03）。D1[1]， D2[1]は、それぞれ、法pに対するD1，D2
の反転値である。次に２つ（2ビット）の乱数v，w(v，w
は、共に0又は1)を発生する（ステップ1404）。次に、
ステップ1403で求めたテーブルから、D1[v]，D2[v]を取
り出して、乗算剰余計算：h = D1[v]*D2[v] mod pを実
行して結果をＲＡＭに格納する（ステップ1405）。ここ
で、D1[1]*D2[1] mod p = (p - D1)*(p- D2) mod p = D
1*D2 mod pであるので、ステップ1405の終了時には、v
= 0， 1いずれの場合でも、正しいhが求まる。次にステ
ップ1406，1407にて、x3を求め、答えをＲＡＭに格納す
る。ステップ1408にて、D3 = (x - x3) mod pを計算す
る。次に、このD3と、先に用いたhに対して、テーブルh
[0] = h， D3[0] = D3，h[1] = p - h， D3[1] = p - D
3を求めてＲＡＭに格納する（ステップ1409）。h[1]，
D3[1]は、それぞれ、法pに対するh、 D3の反転値であ
る。次に、ステップ1409で求めたテーブルから、h[v]，
D3[v]を取り出して、乗算剰余計算：h[w]*D3[w] mod p
を実行して結果をＲＡＭに格納する（ステップ1410）。
ここで、h[1]*D3[1] mod p = (p - h)*(p - D3) mod p
= h*D3 mod pであるので、ステップ1410の終了時には、
w = 0， 1いずれの場合でも、正しい値が求まる。最後
に、ステップ1411にて、y3 = (y3 - y) mod pを求めて
ＲＡＭに格納する。これで、2Pの各座標の値が求められ
たことになる。これは、本発明の実施例の一つである。

【００６９】本実施例にて、ステップ1401における逆数
計算を実行する代表的な方法は、拡張ユークリッド互除
法を利用するものとフェルマーの小定理を利用するもの
である。拡張ユークリッド互除法では、不定方程式： 2
*y*D1 + p*U = 1を(2*yとpの最大公約数を求める操作
（ユークリッド互除法）を繰り返すことで、結果的にD1
を求める方法である。一方、フェルマーの小定理を用い
る方法とは、フェルマーの小定理、すなわち、pと互い
に素な正の整数gに対し、g^(p-1) mod p = 1が成り立つ
ことから、g^(-1) mod p = g^(p-2) mod pとなることを
用いるものである。つまり、D1 = (2*y)^(p-2) mod pと
して、D1を求めるものである。フェルマーの小定理を用
いる方法では、逆数の計算は、べき乗剰余計算に帰着す
る。このべき乗剰余計算に本発明の方法を適用すること
は容易なことであり、オーバーフロー処理からのリーク
情報を減らすことができる。

【００７０】次にGF(p)上の楕円曲線に対する点の和の
計算に本発明を適用した場合の実施例を示す。以下、楕
円曲線上の点P=(x1， y1)、 Q=(x2， y2)の和P+Qの座標
を(x3， y3)とし、P+Q=Oでないものとする。図１６はGF
(p)上での楕円曲線E: y^2 =x^3 + ax + bにおける点Pと
Qの和の計算に本発明を適用したものである。

【００７１】条件分岐処理（ステップ1501）にて、PとQ
が一致しているかどうかを判定する。もし、PとQが一致
していれば、2倍算になり、図１５について説明した処
理と同じものになるので、説明は省略する（ただしｘ，
ｙの符号はｘ１，ｙ１の符号に読み替える）。以下、P
とQが一致していない場合の処理を示す。ステップ1502
において、D1 = (x2 - x1)^(-1) mod pを計算する。次
に、ステップ1503にて、D2 = (y2 - y1) mod pを計算す
る。これらD1，D2に対して、テーブルD1[0] = D1， D2
[0] = D2，D1[1] = p - D1， D2[1] = p - D2を計算し
てＲＡＭに格納する（ステップ1504）。D1[1]， D2[1]
は、それぞれ、法pに対するD1， D2の反転値である。次
に二つ（2ビット）の乱数v，w(v，wは、共に0又は1)を
発生する（ステップ1505）。次に、ステップ1504で求め
たテーブルから、D1[v]， D2[v]を取り出して、乗算剰
余計算：h = D1[v]*D2[v] mod pを実行して結果をＲＡ
Ｍに格納する（ステツプ1506）。ここで、D1[1]*D2[1]
mod p = (p - D1)*(p - D2) mod p = D1*D2 mod pであ
るので、ステップ1506の終了時には、v = 0， 1いずれ
の場合でも、正しいhが求まる。次にステツプ1507，150
9にて、x3を求め、答をＲＡＭに格納する。ステツプ150
9にて、D3 = (x1 - x3) mod pを計算する。次に、このD
3と、先に用いたhに対して、テーブルh[0] = h， D3[0]
= D3，h[1] = p -h， D3[1] = p - D3を求めてＲＡＭ
に格納する（ステップ1510）。h[1]， D3[1]は、それぞ
れ、法pに対するh， D3の反転値である。次に、ステッ
プ1510で求めたテーブルから、h[w]， D3[w]を取り出し
て、乗算剰余計算：h[w]*D3[w] mod pを実行して結果を
ＲＡＭに格納する（ステップ1511）。ここで、h[1]*D3
[1] modp = (p - h)*(p - D3) mod p = h*D3 mod pであ
るので、ステップ1511の終了時には、w = 0， 1いずれ
の場合でも、正しい値が求まる。最後に、ステツプ1512
にて、y3 = (y3 - y1) mod pを求めてＲＡＭに格納す
る。これで、P+Qの各座標の値が求められたことにな
る。これは、本発明の実施例の一つである。

【００７２】図１６の実施例は、容易にガロア体GF(p^
n)(pは素数、 nは正の整数)に拡張することができる。
先に述べたように、GF(p^n)は、GF(p)係数の多項式全体
がつくる環（多項式環）GF(p)[X]のGF(p)における既約
多項式Φ(X)（reduction polynomialと呼ばれることも
ある）の倍元全体が生成する素イデアル(prime ideal)
（Φ(X)）による剰余環(quotient ring)GF(p)[x]/(Φ
(X))と同型(homomorphic)であり、計算機では、GF(p)
[x]/(Φ(X))として実現される。その演算を実行するに
あたり、A(X)， B(X)をGF(p)[X]の元（すなわち、GF(p)
係数の多項式）とすると、GF(p)[X]/(Φ(X))での演算
は、（和）｛A(X) + B(X)｝ mod Φ(X) （積） A(X)*B(X) mod Φ(X) とすることによって実現することができる。但し、係数
の演算は、mod pで行う。

【００７３】実例を示す。素数p = 5， n = 2とし、red
uction polynomial Φ(X)をX^2 + X+ 1とする。Φ(X)が
既約であることは、Φ(0) = 1， Φ(1) = 3， Φ(2) =
7≡ 2(mod 5)， Φ(3) = 13 ≡ 3(mod 5)， Φ(4) = 21
≡ 1(mod 5)であることからすぐに分かる。A(X) = 4X^
2 + 3X + 2、 B(X) = 3X^2 + 4X + 1とすると、この、
二つの多項式のGF(5)[X]/(X^2+X+1)における和と積は、（和）｛A(X) + B(X)｝ mod Φ(X) = 7X^2 + 7X + 3 = 2X^2 + 2X +3（係数をmod 5で計算）（積） A(X)*B(X) mod Φ(X) = (4X^2 + 3X + 2)*(3X^2 + 4X + 1) mod (X^2 + X + 1) = 12X^4 + 25X^3 + 22X^2 + 11X + 2 mod (X^2 + X + 1) = 2X^4 + 2X^2 + X + 2 mod (X^2 + X + 1) （係数をmod5で計算） = Xとして計算することができる。この事実を踏まえれ
ば、実施例を構成することは容易である。

【００７４】素数p≧3の場合を考える。このとき、全て
の楕円曲線は、E: y＾2 = x^3 + ax+ bの形に変換でき
る。これをWeierstrassの標準形と呼ぶ。ここで、E上の
点の座標の各成分は、GF(p^n)の元であるので、A(X)，
B(X)をGF(p)[X]/（Φ(X)）の元として、(A(X)， B(X))
のように表現することができる。

【００７５】以下、P = (A(X)， B(X))の2倍計算につい
ての実施例を示す。和の計算は、GF(p)の場合に対する
図１６の実施例及び2倍計算の実施例から、容易に類推
できるので、2倍計算の場合のみ説明する。

【００７６】図１７に2倍計算の実施例を示す。ステッ
プ1601において、D1（X) = (2*B(X))^(-1) mod Φ(X)を
計算する。次に、ステツプ1602にて、D2（X) = (3*A(X)
^2+a)mod Φ(X)を計算する。これらD1，D2に対して、テ
ーブルD1[0](X) = D1(X)， D2[0] = D2(X)，D1[1]（X）
= Φ（X) - D1(X)， D2[1](X) = Φ(X) - D2(X)を計算
してＲＡＭに格納する（ステップ1603）。D1[1](X)， D
2[1](X)は、それぞれ法Φ(X)に対するD1(X)， D2(X)の
反転値である。次に２つ（2ビット）の乱数v，w(v，w
は、共に0又は1)を発生する（ステップ1604）。次に、
ステップ1603で求めたテーブルから、D1[v](X)， D2[v]
(X)を取り出して、乗算剰余計算：h(X) =D1[v](X)*D2
[v](X) mod Φ(X)を実行して結果をＲＡＭに格納する
（ステップ1605）。ここで、D1[1](X)*D2[1](X) mod Φ
(X) = (Φ(X) - D1(X))*(Φ(X) - D2(X)) mod Φ(X) =
D1(X)*D2(X) mod Φ(X)であるので、ステップ1605の終
了時には、v = 0， 1いずれの場合でも、正しいh(X)が
求まる。次にステップ1606，1607にて、A3(X)を求め、
答えをＲＡＭに格納する。ステップ1608にて、D3(X) =
(A(X) - A3(X)) mod Φ(X)を計算する。次に、このD3
(X)と先に用いたh(X)に対して、テーブルh[0](X) = h
(X)， D3[0](X) = D3(X)，h[1](X) = Φ(X) h(X)， D3
[1](X) = Φ(X) - D3(X)を求めてＲＡＭに格納する（ス
テップ1609）。h[1](X)，D3[1](X)は、それぞれ、法Φ
(X)に対するh(X)， D3(X)の反転値である。次に、ステ
ップ1609で求めたテーブルから、h[w](X)， D3[w](X)を
取り出して、乗算剰余計算：h[w](X)*D3[w](X) mod Φ
(X)を実行して結果をＲＡＭに格納する（ステップ161
0）。ここで、h[1](X)*D3[1](X) mod Φ(X) = (Φ(X) -
h(X))*(Φ（X）- D3(X)) mod Φ(X) = h(X)*D3(X) mod
Φ(X)であるので、ステップ1610の終了時には、w =
0， 1いずれの場合でも、正しい値が求まる。最後に、
ステップ1611にて、B3(X) = (B3(X) - B(X)) mod Φ(X)
を求めてＲＡＭに格納する。これで、2Pの各座標の値が
求められたことになる。これは、本発明の実施例の一つ
である。

【００７７】本実施例にて、ステップ1601における逆数
計算を実行する代表的な方法は、拡張ユークリッド互除
法を利用するものとフェルマーの小定理を利用するもの
である。拡張ユークリッド互除法では、不定方程式： 2
*B(X)*D1(X) + Φ(X)*U(X) =1を(2*B(X)とΦ(X)の最大
公約数を求める操作（ユークリッド互除法）を繰り返す
ことで、結果的にD1(X)を求める方法である。一方、フ
ェルマーの小定理を用いる方法とは、フェルマーの小定
理、すなわち、Φ(X)と互いに素なg(X)に対し、g(X)^(p
^n-1) mod Φ(X) = 1が成り立つことから、g(X)^(-1) m
od Φ(X) = g(X)^(p^n-2) mod Φ(X)となることを用い
るものである。つまり、D1(X) = (2*B(X))^(p^n-2) mod
Φ(X)として、D1(X)を求めるものである。フェルマー
の小定理を用いる方法では、逆数の計算は、べき乗剰余
計算に帰着する。このべき乗剰余計算に本発明の方法を
適用することは容易なことであり、オーバーフロー処理
からのリーク情報を減らすことができる。

【００７８】次に、p = 2の場合の実施例を説明する。
この場合は、これまでとは若干事情が異なる。これは、
ガロア体GF(2^n)をreduction polynomial Φ(X)を用い
てGF(2)[X]/(Φ(X))の形で表現した際、多項式の係数が
GF(2)であることから生ずるものである。GF(2)において
は、符号は無意味である。というのは、この体の上で
は、-1 = 1だからである。このことから本発明の趣旨の
一つである、「法Φ(X)での反転」が無意味となるから
である。また、GF(2)[X]の多項式A(X)の偶数倍も係数が
mod 2で計算されるため0となって、計算結果に影響を与
えない。従って、-A(X) ≡ A(X)となる。よって、Φ(X)
とA(X)のGF(2)における線形結合は、0を除くと、本質的
には、Φ(X)， Φ(X)+A(X)， A(X)だけとなる。この事
実を踏まえて、p = 2の場合の実施例を示す。

【００７９】ここでは、Weierstrass標準形E:y^2 + xy
= x^3 + ax + bを持つ楕円曲線を考える。E上の点P =
(A(X)， B(X))に対し、2P = (A3(X)， B3(X))とする。
実施例を構成するにあたって、2倍公式を次のように変
形しておく。

【００８０】 A3(X) = (h(X)^2 + h(X) + a) mod Φ(X) B3(X) = (h(X)*(A(X) + A3(X)) + A3(X) + B(X)) mod
Φ(X) ここで、h(X)は、h（X） = (A(X)^2 + B(X))*A(X)^(-1)
mod Φ(X)とする。

【００８１】図１８に2倍計算の実施例を示す。ステツ
プ1701において、D1（X) = (A(X))^(-1) mod Φ(X)を計
算する。次に、ステツプ1702にて、D2（X) = (A(X)^2+B
(X))mod Φ(X)を計算する。これらD1（X），D2（X）に
対して、テーブルD1[0](X) =D1(X)， D2[0](X) = D2
(X)，D1[1]（X） = Φ（X) + D1(X)， D2[1](X) = Φ
(X)+ D2(X)を計算してＲＡＭに格納する（ステップ170
3）。次に４つ（4ビット）の乱数v， w， i， j(v，
w， i， jは、全て0又は1)を発生する（ステップ170
4）。次に、ステップ1703で求めたテーブルから、D1[v]
(X)， D2[w](X)を取り出して、乗算剰余計算：h(X) = D
1[v](X)*D2[w](X) mod Φ(X)を実行して結果をＲＡＭに
格納する（ステップ1705）。ここで（Φ(X)+D1(X)）*D2
(X) mod Φ(X) =D1(X)*(Φ(X)+D2(X)) mod Φ(X) = (Φ
(X) + D1(X))*(Φ(X) + D2(X)) mod Φ(X) = D1(X)*D2
(X) mod Φ(X)であるので、ステツプ1705の終了時に
は、v， w = 0， 1のどの場合でも、正しいh(X)が求ま
る。次にステップ1706，1707にて、A3(X)を求め、答え
をＲＡＭに格納する。ステップ1708にて、D3(X) = (A
(X) + A3(X)) mod Φ(X)を計算する。次に、このD3(X)
と先に用いたh(X)に対して、テーブルh[0](X) = h(X)，
D3[0](X) = D3(X)，h[1](X) = Φ(X) + h(X)， D3[1]
(X) =Φ(X) + D3(X)を求めてＲＡＭに格納する（ステッ
プ1709）。次に、ステップ1709で求めたテーブルから、
h[i](X)， D3[j](X)を取り出して、乗算剰余計算：h[i]
(X)*D3[j](X) mod Φ(X)を実行して結果をＲＡＭに格納
する（ステップ1710）。ここで、（Φ(X)+h(X)）*D3(X)
mod Φ(X) = h(X)*(Φ(X)+D3(X)) mod Φ(X)= (Φ(X)
+ h(X))*(Φ(X) + D3(X)) mod Φ(X) = h(X)*D3(X) mod
Φ(X)であるので、ステップ1710の終了時には、i， j
= 0， 1のどの場合でも、正しい値が求まる。最後に、
ステップ1711にて、B3(X) = (B3(X)+A3(X)+B(X)) mod
Φ(X)を求めてＲＡＭに格納する。これで、2Pの各座標
の値が求められたことになる。これは、本発明の実施例
の一つである。

【００８２】本実施例にて、ステップ1701における逆数
計算を実行する代表的な方法は、拡張ユークリッド互除
法を利用するものとフェルマーの小定理を利用するもの
である。拡張ユークリッド互除法では、不定方程式： A
(X)*D1(X) + Φ(X)*U(X) = 1を(A(X)とΦ(X)の最大公約
数を求める操作（ユークリッド互除法）を繰り返すこと
で、結果的にD1(X)を求める方法である。一方、フェル
マーの小定理を用いる方法とは、フェルマーの小定理、
すなわち、Φ(X)と互いに素なg(X)に対し、g(X)^(2^n-
1) mod Φ(X) = 1が成り立つことから、g(X)^(-1) mod
Φ(X) = g(X)^(2^n-2) mod Φ(X)となることを用いるも
のである。つまり、D1(X) = (A(X))^(2^n-2) mod Φ(X)
として、D1(X)を求めるものである。フェルマーの小定
理を用いる方法では、逆数の計算は、べき乗剰余計算に
帰着する。このべき乗剰余計算に本発明の方法を適用す
ることは容易なことであり、オーバーフロー処理からの
リーク情報を減らすことができる。

【００８３】楕円曲線上の点のモーデル・ヴェイユ群演
算に関する上記実施例は、いずれも、符号の影響が、即
時に解消されるものであった。ここで、即時解消されな
いような場合の実施例を示す。

【００８４】図１９は、GF(p)上の楕円曲線E: y^2 = x^
3 + ax + b上の点P = (x， y)の2倍計算に本発明を適用
したものである。以下、2P = (x3， y3)とする。ステッ
プ1801において、D1 = (2*y)^(-1) mod pを計算する。
次に、ステップ1802にて、D2= (3*x^2 + a) mod pを計
算する。D2に対して、テーブルD2[0] = D2，D2[1] = p-
D2を計算してＲＡＭに格納する（ステップ1803）。D2
[1]は、法pに対するD2の反転値である。次に２つ（2ビ
ット）の乱数v、w(v、wは、共に0又は1)を発生する（ス
テップ1804）。次に、ステップ1803で求めたテーブルか
ら、D2[v]を取り出して、乗算剰余計算：h = D1*D2[v]
mod pを実行して結果をＲＡＭに格納する（ステップ180
5）。ここで、D1*D2[1] mod p は、D1*D2 mod pである
か、または、p - (D1*D2 mod p)であり、図１５の実施
例とは異なり、ステツプ1805終了時点では、正しい値に
なるとは限らない。次にステツプ1806，1807にて、x3を
求め、答えをＲＡＭに格納する。ここで、ステップ1806
において、hがmod pで２乗されるため、ステツプ1805の
結果が、D1*D2 mod pであっても、p - (D1*D2 modp)で
あっても、正しいx3の値が求まる。ステツプ1808にて、
D3 = (x - x3) modpを計算する。次に、このD3に対し
て、テーブルD3[0] = D3，D3[1] = p - D3を求めてＲＡ
Ｍに格納する（ステップ1809）。D3[1]は、法pに対する
D3の反転値である。次に、ステップ1809で求めたテーブ
ルから、D3[w]を取り出して、乗算剰余計算：h*D3[w] m
od pを実行して結果をＲＡＭに格納する（ステップ181
0）。ここで、h*D3[1] mod p = h*(p - D3) mod p =p -
(h*D3 mod p)であるので、ステップ1810の終了時では、
v = 0であれば、h*D3 mod p、v = 1であれば、p - (h*D
3 mod p)となっている。ステツプ1811にて、テーブルy3
[0] = y3，y3[1] = p- y3を求めてＲＡＭに格納する。
次に、条件分岐処理（ステツプ1812）にて、vとwの排他
的論理和(exclusive OR) v EXOR wの値が、0であるか1
であるかを判定し、0であれば、ステップ1813に進み、1
であれば、ステップ1814に進む。排他的論理和 v EXOR
wは、vとwが同じであれば0、異なれば1となる。従っ
て、最終的に、該排他的論理和が0のときには、ステッ
プ1813によって正しいy3が求められ、1のときは、ステ
ップ1814にて、正しいy3が求められる。これで、2Pの各
座標の値が求められたことになる。これは、本発明の実
施例の一つである。

【００８５】本実施例にて、ステップ1801における逆数
計算を実行する代表的な方法は、拡張ユークリッド互除
法を利用するものとフェルマーの小定理を利用するもの
である。拡張ユークリッド互除法では、不定方程式： 2
*y*D1 + p*U = 1を(2*yとpの最大公約数を求める操作
（ユークリッド互除法）を繰り返すことで、結果的にD1
を求める方法である。一方、フェルマーの小定理を用い
る方法とは、フェルマーの小定理、すなわち、pと互い
に素な正の整数gに対し、g^(p-1) mod p = 1が成り立つ
ことから、g^(-1) mod p = g^(p-2) mod pとなることを
用いるものである。つまり、D1 = (2*y)^(p-2) mod pと
して、D1を求めるものである。フェルマーの小定理を用
いる方法では、逆数の計算は、べき乗剰余計算に帰着す
る。このべき乗剰余計算に本発明の方法を適用すること
は容易なことであり、オーバーフロー処理からのリーク
情報を減らすことができる。

【００８６】また、本実施例を、図１６の実施例等に倣
ってGF(p^n)の上の楕円曲線上の2倍算に拡張すること
は、全く容易である。

【００８７】

【発明の効果】本発明によれば、ＩＣカードチップなど
の情報処理装置において、データとして本来の値とは異
なる「モジュラ反転値」を用いて剰余乗算の計算を行
い、その計算結果を修正することで正しい結果を求める
ことにより、消費電流の波形から処理や暗号鍵の推測を
行うことが困難になる。

【図面の簡単な説明】

【図１】ＩＣカードの概観及び端子の構成を示す図であ
る。

【図２】マイクロコンピュータの構成図である。

【図３】消費電流の波形の例を示す図である。

【図４】べき乗剰余計算（ウインドウ幅2ビットのアデ
ィション・チェイン方式）の処理手順を示す図である。

【図５】べき乗剰余計算（ウインドウ幅2ビットのスラ
イディング・ウインドウ方式）の処理手順を示す図であ
る。

【図６】楕円曲線の形状を示す図である。

【図７】楕円曲線上の加法を説明する図である。

【図８】楕円曲線上の点Pのスカラー倍の計算アルゴリ
ズム（2ビットのアディション・チェイン方式）を示す図
である。

【図９】モンゴメリ法を用いたべき乗剰余計算に本発明
を適用した場合の第１の実施例の処理手順を示す図であ
る。

【図１０】モンゴメリ法を用いたべき乗剰余計算に本発
明を適用した場合の第２の実施例の処理手順を示す図で
ある。

【図１１】通常のべき乗剰余計算に本発明を適用した場
合の第１の実施例の処理手順を示す図である。

【図１２】通常のべき乗剰余計算に本発明を適用した場
合の第２の実施例の処理手順を示す図である。

【図１３】モンゴメリ法を用いたべき乗剰余計算に本発
明を適用した場合の第３の実施例の処理手順を示す図で
ある。

【図１４】モンゴメリ法を用いたべき乗剰余計算に本発
明を適用した場合の第３の実施例の処理手順を示す図
（続き）である。

【図１５】GF(p)上の楕円曲線上の点の2倍計算に本発明
を適用した場合の第１の実施例の処理手順を示す図であ
る。

【図１６】GF(p)上の楕円曲線上の点の和計算に本発明
を適用した場合の第１の実施例の処理手順を示す図であ
る。

【図１７】GF(p^n)上の楕円曲線上の点の2倍計算に本発
明を適用した場合の実施例の処理手順を示す図である。

【図１８】GF(2^n)上の楕円曲線上の点の2倍計算に本発
明を適用した場合の実施例の処理手順を示す図である。

【図１９】GF(p)上の楕円曲線上の点の和計算に本発明
を適用した場合の第２の実施例の処理手順を示す図であ
る。

【符号の説明】

906,1005,1106,1207,1304,1404,1604…ステップ（剰余
乗算の選択）、912〜915,1012〜1015,1112〜1115,1213
〜1216,1311〜1314,1405,1410,1605,1610…ステップ
（選択的な剰余乗算）、917,1017,1116,1217,1317…
（結果の補正）、919〜920,1019〜1020,1118〜1119,121
9〜1220,1319〜1320…ステップ（結果の出力）

フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｇ０６Ｋ 19/07 Ｇ０６Ｋ 19/00 ＮＨ０４Ｌ 9/10 Ｈ０４Ｌ 9/00 ６２１Ｚ (72)発明者渡邊高志東京都国分寺市東恋ヶ窪一丁目280番地株式会社日立製作所中央研究所内 (72)発明者大木優東京都国分寺市東恋ヶ窪一丁目280番地株式会社日立製作所中央研究所内Ｆターム(参考） 5B017 AA03 BA07 CA14 5B035 AA13 BB09 BC00 CA11 5J104 AA21 AA25 AA47 JA25 JA28 NA16 NA17 NA35 NA42

Claims

【特許請求の範囲】

【請求項１】情報処理装置を利用して、暗号処理中に出
現する剰余乗算であるＡ＊Ｂ＊Ｒ＾（−１）ｍｏｄＮ
を計算する方法であって、その方法は、（１）Ｓ₁＝Ａ
＊Ｂ＊Ｒ＾（−１）ｍｏｄＮを計算するステップ、
（２）（１）の代わりにＳ₂＝｛ｓＮ + Ａ*(-1)^ｆ｝
＊｛ｔＮ + Ｂ*(-1)^ｇ｝Ｒ＾（−１）ｍｏｄＮ
（ｓ, ｔ, ｆ, ｇは少なくとも１つは０でない整数であ
り、ｆ, ｇは０又は１）を計算するステップ、（３）上
記（１）と（２）のいずれかを適宜選択するステップ、
（４）上記（１）（２）（３）を適宜繰り返し、最後に
上記（１）を選択したときには計算結果Ｓ₁についてＴ₁
＝Ｓ₁＊Ｒ＾（−１）ｍｏｄＮを計算してＴ₁を出力
し、上記（２）を選択したときには計算結果Ｓ₂につい
てＴ₂＝Ｓ₂＊Ｒ＾（−１）ｍｏｄＮを計算してＮ−Ｔ₂
を出力するステップ、および（５）Ｔ₁とＮ−Ｔ₂を、暗
号処理の剰余乗算Ａ＊Ｂ＊Ｒ＾（−１）ｍｏｄＮの計
算結果として用いるステップを有することを特徴とする
耐タンパーモジュラ演算処理方法。
【請求項２】前記（３）の適宜選択するとは、乱数を用
いていずれかを選択することを特徴とする請求項１記載
の耐タンパーモジュラ演算処理方法。
【請求項３】前記（ｓ, ｔ, ｆ, ｇ）は、(０, １, ０,
１)であることを特徴とする請求項１記載の耐タンパー
モジュラ演算処理方法。
【請求項４】前記（ｓ, ｔ, ｆ, ｇ）は、(１, ０, １,
０)であることを特徴とする請求項１記載の耐タンパー
モジュラ演算処理方法。
【請求項５】情報処理装置を利用して、暗号処理中に出
現する剰余乗算であるＡ＊Ｂｍｏｄｐ（ｐは素数）
を計算する方法であって、その方法は、（１）Ｓ＝Ａ＊
Ｂｍｏｄｐを計算するステップ、（２）（１）の代わ
りにＳ＝｛sｐ + Ａ*(-1)^f ｝＊｛tｐ + Ｂ*(-1)^g｝
ｍｏｄｐ（ｓ, ｔ, ｆ, ｇは少なくとも１つは０でな
い整数であり、ｆ, ｇは０又は１でｆ＋ｇは偶数）を計
算するステップ、（３）上記（１）と（２）のいずれか
を適宜選択するステップ、および（４）上記（１）と
（２）のうち選択された方の計算結果Ｓを暗号処理の剰
余乗算Ａ＊Ｂｍｏｄｐの計算結果として用いるステッ
プを有することを特徴とする耐タンパーモジュラ演算処
理方法。
【請求項６】前記（ｓ, ｔ, ｆ, ｇ）は、(１, １, １,
１)であることを特徴とする請求項５記載の耐タンパー
モジュラ演算処理方法。
【請求項７】前記（２）のステップのｆ＋ｇは奇数であ
って、前記（４）の代わりに、（４）前記（１）を選択
したときは計算結果Ｓそのままとし、前記（２）を選択
したときにはＳの代わりにｐ−Ｓを計算結果とするステ
ップ、および（５）前記Ｓとｐ−Ｓを、暗号処理の剰余
乗算Ａ＊Ｂｍｏｄｐの計算結果として用いるステップ
を有することを特徴とする請求項５記載の耐タンパーモ
ジュラ演算処理方法。
【請求項８】前記（ｓ, ｔ, ｆ, ｇ）は、(０, １, ０,
１)であることを特徴とする請求項７記載の耐タンパー
モジュラ演算処理方法。
【請求項９】情報処理装置を利用して、暗号処理中に出
現する剰余乗算であるＡ（ｘ）＊Ｂ（ｘ）ｍｏｄ Φ
（ｘ）（Φ（ｘ）はｘの既約多項式であり、Ａ（ｘ）＊
Ｂ（ｘ）の係数の演算は３以上の素数ｐを法として行
う）を計算する方法であって、その方法は、（１）Ｓ
（ｘ）＝Ａ（ｘ）＊Ｂ（ｘ）ｍｏｄ Φ（ｘ）を計算す
るステップ、（２）（１）の代わりにＳ（ｘ）＝｛ｓΦ
（ｘ） + Ａ（ｘ）*(-1)^ｆ｝＊｛ｔΦ（ｘ） + Ｂ
（ｘ）*(-1)^ｇ｝ｍｏｄ Φ（ｘ）（ｓ, ｔ, ｆ, ｇ
は少なくとも１つは０でない整数であり、ｆ, ｇは０又
は１でｆ＋ｇは偶数）を計算するステップ、（３）上記
（１）と（２）のいずれかを適宜選択するステップ、お
よび（４）上記（１）と（２）のうち選択された方の計
算結果Ｓ（ｘ）を、暗号処理の剰余乗算Ａ（ｘ）＊Ｂ
（ｘ）ｍｏｄ Φ（ｘ）の計算結果として用いるステッ
プを有することを特徴とする耐タンパーモジュラ演算処
理方法。
【請求項１０】前記（ｓ, ｔ, ｆ, ｇ）は、(１, １,
１, １)であることを特徴とする請求項９記載の耐タン
パーモジュラ演算処理方法。
【請求項１１】前記（２）のステップのｆ＋ｇは奇数で
あって、前記（４）の代わりに、（４）前記（１）を選
択したときは計算結果Ｓ（ｘ）そのままとし、上記
（２）を選択したときにはＳ（ｘ）の代わりにΦ（ｘ）
−Ｓ（ｘ）を計算結果とするステップ、および（５）前
記Ｓ（ｘ）とΦ（ｘ）−Ｓ（ｘ）を、暗号処理の剰余乗
算Ａ（ｘ）＊Ｂ（ｘ）ｍｏｄ Φ（ｘ）の計算結果とし
て用いるステップを有することを特徴とする請求項９記
載の耐タンパーモジュラ演算処理方法。
【請求項１２】前記（ｓ, ｔ, ｆ, ｇ）は、(０, １,
０, １)であることを特徴とする請求項１１記載の耐タ
ンパーモジュラ演算処理方法。
【請求項１３】前記Ａ（ｘ）＊Ｂ（ｘ）の係数の演算は
素数２を法として行うものであり、前記（２）の（ｆ，
ｇ）は（０，０）であることを特徴とする請求項９記載
の耐タンパーモジュラ演算処理方法。