JP2002515614A

JP2002515614A - ソフトウエアの秘密配布方法

Info

Publication number: JP2002515614A
Application number: JP2000548992A
Authority: JP
Inventors: ザイゼン，マルティーン
Original assignee: Giesecke and Devrient GmbH
Current assignee: Giesecke and Devrient GmbH
Priority date: 1998-05-08
Filing date: 1999-04-19
Publication date: 2002-05-28
Anticipated expiration: 2019-04-19
Also published as: DE19820605A1; JP4708565B2; US6405923B1; DE59912605D1; ATE305683T1; WO1999059287A1; EP1080559A1; EP1080559B1

Abstract

(57)【要約】発明はデータ及び／またはプログラムの秘密配布方法に関し、送信されるべきデータには電子署名が与えられる。データ及び／またはプログラムを受信するユニットは、乗算及び除算を必要とするモジュラー乗算を実行することにより、電子署名を検査する。発明にしたがえば、データ及び／またはプログラムを受信するユニットが、２を底とする因数及び偶数指数による補助乗算が行われる、モンゴメリーによるモジュラー乗算を行うことにより署名を検査する。

Description

【発明の詳細な説明】

【０００１】本発明は、特許請求項１の前文にしたがうデータ及び／またはプログラムの、
秘密配布方法に関する。

【０００２】発行ユニットによる極めて多数の類似の端末またはスマートカードにソフトウ
エアＳＷを配布するための方法が、特に遠隔通信機能により、次第に度をましな
がら用いられている。発行ユニットは、ソフトウエアＳＷの信頼性を保証するた
めに公開キー法を用いてソフトウエアＳＷの電子署名を生成する。

【０００３】発行ユニットは署名されるべきソフトウエアＳＷに対して、その他のデータと
ともに、主として、ソフトウエアに依存するハッシュ値Ｈ(ＳＷ)を含む保証Ｍを
計算するために、一般に知られている方法を用いる。Ｈ(ＳＷ)は広く知られてい
るハッシング法である。発行ユニットは、非公開キーＤにより保証Ｍを暗号化す
る。この暗号化の結果が電子署名Ｓである。発行ユニットはソフトウエアＳＷを
署名Ｓと一緒に端末またはスマートカードに送信する。端末またはスマートカー
ドで、生成された保証の値Ｍが発行ユニットの公開キーＥ＝Ｄ^−１を用いて署名
Ｓから計算される。さらに、端末またはスマートカード、すなわち受信ユニット
はソフトウエアＳＷのハッシュ値Ｈ(ＳＷ)を計算し、Ｈ(ＳＷ)が保証Ｍに正しく
入れられているか否かを検査する。正しく入れられていれば受信ユニットはソフ
トウエアＳＷを受け入れ、そうでなければソフトウエアＳＷを受け入れない。

【０００４】電子署名を生成するための最もよく知られた公開キー法は、ＲＳＡ法である。
ＲＳＡ法の変形がラビン(Rabin)法、あるいはウイリアムズ(Williams)によるラ
ビン法の変形である。

【０００５】発行ユニットは２つの素数Ｐ＝３ (ｍｏｄ８)及びＱ＝７ (ｍｏｄ８)をラン
ダムに選択する。これらは発行ユニットの非公開キーを構成する。公開キーは、
値Ｎ＝Ｐ＊Ｑである。署名メッセージＭに対し、発行ユニットは署名：Ｓ＝Ｍ^１/２ (ｍｏｄＰ＊Ｑ) を計算する。受信ユニットは：Ｍ＝Ｓ^２ (ｍｏｄＮ) を計算することにより署名を検証できる。ラビン法の秘密性は、（もし存在すれ
ば）素数を法とする数を開平することは容易であるが、一方合成数を法とするラ
ンダムに選ばれた数を開平することは少なくとも合成数を因数分解すると同様に
困難であるという事実に基づいている。

【０００６】必ずしも全ての数が素数ＰまたはＱを法とする平方剰余ではなく；さらに、Ｐ
及びＱを法とする平方剰余は通常４つの平方根をもつ。特別なＰ及びＱを選択す
ることにより、いかなる数Ｍに対しても４つの数Ｍ，Ｎ−Ｍ，Ｎ/２及びＮ−Ｍ/
２の内の正に１つが（Ｍが奇数で、Ｎ/２が(Ｍ＋Ｎ)/２ (Ｐ＊Ｑ)で置き換えら
れた場合に）Ｐを法とし、またＱも法とする平方剰余である。この主張は平方剰
余の相互法則に対する補助定理から導かれる。

【０００７】メッセージＭに対して付加条件Ｍ＝４ (ｍｏｄ８)が必要であれば、Ｎ＝Ｐ＊
Ｑ＝３＊７＝５ (ｍｏｄ８)という関係のため，以下の：Ｍ＝０，Ｎ−Ｍ＝１，Ｍ/２＝２，Ｎ−Ｍ/２＝３ (ｍｏｄ４) が成立する。すなわち、４つの数Ｍ，Ｎ−Ｍ，Ｎ/２及びＮ−Ｍ/２は最後の２ビ
ット位置で互いに異なる。

【０００８】メッセージＭを署名するため、発行ユニットはまず４つの値Ｍ，Ｎ−Ｍ，Ｎ/
２またはＮ−Ｍ/２のいずれがＰを法とし、またＱも法とする平方剰余であるか
を検査する。これはヤコビの記号(Ｍ/Ｐ)及び(Ｍ/Ｑ)を計算することにより実効
的に行うことができ： (Ｍ/Ｐ)＝１，(Ｍ/Ｑ)＝１であれば、Ｍ’＝Ｍ； (Ｍ/Ｐ)＝−１，(Ｍ/Ｑ)＝−１であれば、Ｍ’＝−Ｍ； (Ｍ/Ｐ)＝−１，(Ｍ/Ｑ)＝１であれば、Ｍ’＝Ｍ/２； (Ｍ/Ｐ)＝１，(Ｍ/Ｑ)＝−１であれば、Ｍ’＝−Ｍ/２；である。Ｍ’はいずれの条件にも合致する値であるとする。よってメッセージＭ
に対する署名は：Ｓ＝(Ｍ’)^{(Ｐ＊Ｑ−Ｐ−Ｑ＋５)/８} (ｍｏｄＮ) である。したがって：Ｓ^２＝Ｍ’＊(Ｍ’)^{[(Ｐ−１)/２]＊[(Ｑ−１)/２]} (ｍｏｄＮ) が成立する。

【０００９】 (Ｍ’)^{[(Ｐ−１)/２]}＝１ (ｍｏｄＰ)というフェルマーの小定理にしたがえ
ば、Ｍ’はＰを法とする平方剰余である。同様に(Ｍ’)^{[(Ｑ−１)/２]}＝１ (ｍ
ｏｄＱ)も成立する。中国剰余定理により、さらに(Ｍ’)^{[(Ｐ−１)/２]＊[(Ｑ}
^−１)/２]＝１ (ｍｏｄＰ＊Ｑ)が導かれる。したがって：Ｓ^２＝Ｍ’ (ｍｏｄＮ)＝Ｐ＊Ｑが成立する。

【００１０】署名Ｓを検証するため、端末Ｂはまず値：Ｍ’＝Ｓ^２ (ｍｏｄＮ) を計算する。

【００１１】Ｍ＝４ (ｍｏｄ８)が与えらた場合、Ｍ’についてあり得る４つの値は終わり
の２ビットの位置で互いに異なるから、ＭはＭ’から容易に計算できて：Ｍ’＝０ (ｍｏｄ４)であれば、Ｍ＝Ｍ’ Ｍ’＝１ (ｍｏｄ４)であれば、Ｍ＝Ｎ−Ｍ’ Ｍ’＝２ (ｍｏｄ４)であれば、Ｍ＝２Ｍ’ Ｍ’＝３ (ｍｏｄ４)であれば、Ｍ＝２(Ｎ−Ｍ’) である。

【００１２】スマートカードまたは端末Ｂ上の署名を検証するためには、モジュラー乗算が
必要である。すなわち、受信ユニットは：Ｍ’＝Ｓ＊Ｓ (ｍｏｄＮ) を計算する。

【００１３】これには乗算及び除算が必要となる。除算は乗算よりもかなり複雑で手がかか
る。したがって、署名を検証するための既知の手段の欠点は、発行ユニットより
通常は計算能力が劣るソフトウエア受信ユニットが、同様の複雑で手がかかる計
算操作を行わなければならないことである。

【００１４】したがって本発明の課題は、上記の欠点を回避する、ソフトウエアの秘密配布
方法を提示することである。

【００１５】この課題は特許請求項１の前文の特徴に始まる請求項１の特徴を備えることに
より解決される。

【００１６】本発明の有用な実施形態は従属請求項に提示される。

【００１７】本発明にしたがえば、長数(long-number)演算（試行除算）に対する通常の標
準的な方法の代わりに、モンゴメリー(Montgomery)による方法を用いて電子署名
が検証される。モンゴメリーは、積Ｚ＝Ｘ＊Ｙ (ｍｏｄＮ)の代わりに、以下の
値：Ｚ０＝Ｘ＊Ｙ＊Ｌ^−ｉ (ｍｏｄＮ) を計算する、モジュラー乗算のためのより高速な方法を説明している。ここでＬ
は長数演算が行われる基底である。一般に８ビットプロセッサではＬ＝２^８が、
また１６ビットプロセッサではＬ＝２^１６が用いられ、以下同様である。ｉの値
は少なくとも、条件：Ｌ^ｉ＞Ｎを満たすに十分な大きさでなければならない。

【００１８】モンゴメリー法の利点は、モジュラー乗算における試行除算ステップが省略さ
れることである。他方で、望ましくない因数Ｌ^−ｉ（ｍｏｄＮ）の計算が乗算
の実行に付加される。この望ましくない効果は、ＲＳＡ法によるモジュラー累乗
において以下のようにして補償することができる。

【００１９】ＲＳＡ累乗Ａ^Ｅ (ｍｏｄＮ)の計算は通常、指数法則Ａ^２ｘ＝Ａ^ｘ＊Ａ^ｘ (ｍ
ｏｄＮ)及びＡ^２ｘ＋１＝(Ａ^ｘ＊Ａ^ｘ)＊Ａ (ｍｏｄＮ)を繰り返し適用するこ
とにより、行われる。第１ステップにおいてＸ＝(Ｅ/２)が設定され、以降のス
テップにおいて、ＸはＸ＝１が成立するまで(Ｘ/２)で置き換えられる。ここで(
Ｘ)はＸ以下の最大の整数である。すなわちモジュラー累乗は事実上、Ａ (ｍｏ
ｄＮ)に基づく一連の二乗演算及び乗算に等しい。

【００２０】モンゴメリー法によるモジュラー乗算においては、以下の：

【数１】が計算される。この計算は固定値：

【数２】とのモンゴメリー乗算を１回必要とし、Ａ０＝Ａ＊Ｌ^ｉ (ｍｏｄＮ)が成立する
。明らかに：Ａ^ｘ＊Ａ^ｙ＊Ｌ^ｉ＝(Ａ^ｘ＊Ｌ^ｉ)＊(Ａ^ｙ＊Ｌ^ｉ)＊Ｌ^ｉ＝Ａ^ｘ＋ｙ＊Ｌ^ｉ (ｍ
ｏｄＮ) が成立する。すなわち、(Ａ^ｘ＊Ｌ^ｉ)及び(Ａ^ｙ＊Ｌ^ｉ)を用いてＡ^ｘ＊Ａ^ｙ＊Ｌ ^ｉの値をただ１回のモンゴメリー乗算により計算できる。値Ａ０＝Ａ^ｌ＊Ｌ^ｉか
ら始めて二乗演算及びＡ０の乗算を繰り返すことにより、Ａ^Ｅ＊Ｌ^ｉの値を容易
に計算することができる。さらに中間結果Ａ^Ｅ＊Ｌ^ｉをｌ回モンゴメリー乗算す
ることにより所望の最終結果Ａ^Ｅが得られる。

【００２１】１，…，Ｎの中からランダムに選ばれる指数をもつモジュラー累乗における、
必要な補償のために付加される計算負荷は、比較的軽い。

【００２２】ソフトウエアが端末またはスマートカードにダウンロードされる時には、署名
の検査が端末またはスマートカードで行われなければならない。端末は計算能力
が通常低いから、署名検査はできる限り簡単に実現されなければならない。

【００２３】ラビンの署名検査とモンゴメリー乗算の従来の組合せでは、署名Ｓが端末Ｂに
転送される。

【００２４】端末Ｂは：Ｍ０＝(Ｓ＊Ｓ)＊Ｌ^−ｉ (ｍｏｄＮ) Ｍ’＝(Ｍ０＊(Ｌ^２ｉ (ｍｏｄＮ)))＊Ｌ^−ｉ (ｍｏｄＮ) を計算する。したがって、明らかにＭ’＝Ｓ^２ (ｍｏｄＮ)が成立する。この方
法はＮを法とするモンゴメリー乗算が２回必要であり、値Ｌ^２ｉ (ｍｏｄＮ)も
受信ユニットに格納されなければならない。

【００２５】本発明の有用な実施形態にしたがえば、従来方法と異なり、モンゴメリー乗算
あるいは値Ｌ^２ｉ (ｍｏｄＮ)の格納を必要としない、以下の改変がなされる。
署名Ｓの代わりに修正署名：Ｓ’＝Ｓ＊Ｌ^ｉ/２ (ｍｏｄＮ) が受信ユニットに転送される。Ｌは２の直羃であるから、市販のプロセッサによ
りＬ^ｉ/２を容易に計算できる。受信ユニットはモンゴメリー法により、値： (Ｓ’＊Ｓ’)＊Ｌ^−ｉ (ｍｏｄＮ)＝(Ｓ＊Ｌ^ｉ/２＊Ｓ＊Ｌ^ｉ/２)＊Ｌ^−ｉ (
ｍｏｄＮ) ＝Ｓ^２ (ｍｏｄＮ)＝Ｍ’ (ｍｏｄＮ) を次に計算する。

【００２６】すなわち、本発明の署名検査法は端末においてモンゴメリー乗算を１回しか必
要としない。

───────────────────────────────────────────────────── フロントページの続きＦターム(参考） 5B076 FB05 FB10 5J104 AA01 AA09 AA21 JA23 LA06 NA02 NA12

Claims

【特許請求の範囲】

【請求項１】データ及び／またはプログラムの秘密配布方法で、送信され
るべき前記データには公開キーにより生成されることが好ましい電子署名が与え
られ、前記電子署名が前記データ及び／またはプログラムを受信するユニットに
おいて検査され、前記検査が乗算及び除算を必要とするモジュラー乗算の実行を
含む方法において、前記データ及び／またはプログラムを受信する前記ユニット
において前記署名を検査するために、前記署名の前記検査が、２を底とする因数
及び偶数指数による補助乗算が行われる、モンゴメリー(Montgomery)[原文のま
ま]によるモジュラー乗算を行うことを特徴とする方法。
【請求項２】前記データ及び／またはプログラムを発行するユニットにお
いて、前記補助乗算因数が前記データ及び／またはプログラムを受信する前記ユ
ニットで相殺されるように、前記モンゴメリー乗算から導かれる因数が前記電子
（デジタル）署名に乗じられることを特徴とする請求項１記載の方法。
【請求項３】前記データ及び／またはプログラムがスマートカード端末あ
るいはスマートカードに転送されることを特徴とする請求項１または２記載の方
法。