JP2002532957A - ユーザが楕円曲線を選択する暗号系 - Google Patents

ユーザが楕円曲線を選択する暗号系

Info

Publication number
JP2002532957A
JP2002532957A JP2000587489A JP2000587489A JP2002532957A JP 2002532957 A JP2002532957 A JP 2002532957A JP 2000587489 A JP2000587489 A JP 2000587489A JP 2000587489 A JP2000587489 A JP 2000587489A JP 2002532957 A JP2002532957 A JP 2002532957A
Authority
JP
Japan
Prior art keywords
selecting
public key
participant
curve
bit string
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2000587489A
Other languages
English (en)
Inventor
アージェン・ケー・レンストラ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Citibank NA
Original Assignee
Citibank NA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Citibank NA filed Critical Citibank NA
Publication of JP2002532957A publication Critical patent/JP2002532957A/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Algebra (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Complex Calculations (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)
  • Computer And Data Communications (AREA)
  • Ultra Sonic Daignosis Equipment (AREA)
  • Medicines Containing Material From Animals Or Micro-Organisms (AREA)
  • Medicines That Contain Protein Lipid Enzymes And Other Medicines (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

(57)【要約】 暗号系の参加者は、中央で選択された楕円曲線を利用するのではなく、自らの楕円曲線及び有限体を選択する。その曲線は、ワイヤシュトラスの標準形方程式として表された所定の楕円曲線集合から選択される。公開鍵は、暗号のためではない通信セットアップの間に交換されなければならない参加者固有のＩＤ、及び、安全性への配慮に基づく長さを有するランダムに選択されたビット列に基づいている。公開鍵は、システムを通じて知られているパラメタ及びマッピング関数及び少量の参加者依存データから容易に構成可能である。

Description

【発明の詳細な説明】
【０００１】発明の背景 本発明は、暗号系に係り、特に、参加者が、中央で選択された楕円曲線を利用
するのではなく自らの楕円曲線を選択する楕円曲線暗号系に関する。
【０００２】 図１に示すような従来の楕円曲線暗号系では、中央機関が有限体、楕円曲線、
その有限体上のその楕円曲線の点の群の適当な部分群の生成元、及びその生成元
の位数を選択する。中央機関は、これらのデータを、暗号系参加者の間に配布す
る。そして、各参加者は、秘密鍵を選択し、対応する公開鍵を算出するが、さら
にその公開鍵に対する証明を取得することもできる。証明書の目的は、ある参加
者の公開鍵を、他者が独自にその公開鍵が有効かつ真正であることを検証できる
ようなかたちで、他者が利用できるようにすることである。従来システムの利点
は、有限体とその上の楕円曲線の点の群の濃度を両方取得してその濃度が安全性
要件を満たすような楕円曲線を発見するのには厖大な計算を要するにもかかわら
ず、その−−非常に負担の大きいであろう−−計算を中央機関が一度におこなっ
てしまうため参加者側でしなくてもよいことである。
【０００３】 従来の楕円曲線暗号系は、認証、証明、暗号化／復号、署名の生成及び照合と
いった公開鍵暗号系と同じ用途で使用される。
【０００４】 図２に示すように、従来型楕円曲線暗号系を使用するため、通信をおこなおう
と考える二当事者は、自身の暗号データを交換してから、署名方式またはデータ
暗号化／復号方式等の通信に入る。当事者間の通信をセットアップする間にやり
とりするビット数が小さいことが利点である。
【０００５】 上述の従来型楕円曲線暗号系に付随する深刻な問題は、すべての参加者が中央
で選択された楕円曲線及び有限体への攻撃に脆弱性を有することである。すなわ
ち、このシステムは、中央で選択された楕円曲線及び有限体によって定義された
群における「離散対数（Discrete Logarithm）」問題への集中攻撃に対し、脆弱
性を有するのである。
【０００６】 暗号機能を小型で安価な低電力装置で実行したいというニーズを考えると、参
加者が各自で自分の楕円曲線を選択することは現実的ではないと考えられる。よ
り詳細にいえば、各参加者に自分の楕円曲線を選択させることでシステムの安全
性は向上するが、結果的にシステムセットアップ段階が複雑になるのである。
【０００７】 従来型楕円曲線暗号系では、通信セットアップ中に当事者間でやりとりされる
ビット数は小さく、典型的に、当事者の身元及びその公開鍵の異なる部分、すな
わち、全員に共通する曲線や体以外、を表すものとなる。各参加者が自分の楕円
曲線を選択する場合、通信セットアップ中やりとりしなければならないデータが
増える、すなわち、曲線や体を含む完全な公開鍵を通信セットアップ中にやりと
りしなければならないという問題もある。
【０００８】 これらの問題点から、楕円曲線暗号系の攻撃に対する脆弱性を縮減する必要が
ある。
【０００９】発明の要約 本発明の一側面によって、所定の楕円曲線集合から曲線Ｅを選択するステップ
と、有限体を選択するステップと、秘密鍵を選択するステップと、公開鍵を取得
するステップとを有するとともに、これらの、曲線、有限体、秘密鍵を選択し、
公開鍵を取得するステップを、参加者各自がローカルに実行する、参加者間で暗
号系を確立する方法を提供する。
【００１０】 本発明の一実施態様において、前記所定の楕円曲線集合は、ワイヤシュトラス
の標準形（Weierstrass model）方程式として、具体的には次のように表される
。
【００１１】
【数１】 y2 = x3 + 0x + 16、 y2 = x3 - 270x - 1512、 y2 = x3 - 35x - 98、 y2 = x3 - 9504x - 365904、 y2 = x3 - 608x + 5776; y2 = x3 - 13760x + 621264、 y2 = x3 - 117920x + 15585808、及び y2 = x3 - 34790720x + 78984748304
【００１２】 本発明の一実施態様において、公開鍵取得ステップは、安全性配慮に基づき、
所定の長さを有するビット列ｓを選択すること、並びに、前記選択されたビット
列ｓ及び各参加者の固有ビット列ＩＤに基づき、素数ｐを取得することを含む。
【００１３】 本発明の一側面によって、前記参加者のＩＤに基づき、中間整数ａ及びｂを形
成するステップと、前記中間整数ａ及びｂの関数としての素数ｐを取得するステ
ップと、所定の楕円曲線集合から曲線Ｅを選択するステップと、前記参加者のＩ
Ｄに基づき、前記選択された曲線上の点Ｑを選択するステップと、前記素数ｐ、
前記選択された曲線Ｅ、及び前記点Ｑから公開鍵を構成するステップとからなる
、暗号系参加者に対する公開鍵を再構成する方法を提供する。
【００１４】 本発明の一実施態様において、前記所定の楕円曲線集合はワイヤシュトラスの
標準形方程式として表される。
【００１５】 ここで、本発明の全容を要約するつもりはない。むしろ、本発明のさらなる特
徴、様相、利点が、以下の発明の詳細な説明及び図面に記載され、またその記載
から明らかにされる。
【００１６】詳細な説明 本発明は、各参加者が所定の楕円曲線方程式集合から自分の楕円曲線を選択す
るとともに、自分の有限体を選択する、楕円曲線暗号系に関する。曲線と体の選
択に、中央機関は利用されない。
【００１７】 各参加者は自分の体を選択するので、利用可能な楕円曲線方程式がほんの少数
であるにもかかわらず多数の楕円曲線が可能であり、従って、暗号系の安全性は
高い。より具体的にいえば、攻撃者は、各参加者の曲線を、一度に一つづつ破っ
ていかなければならないのであり、そのため、ある参加者の安全性が別の参加者
の安全性から遮断されるという利点がある。
【００１８】 所定の楕円曲線方程式集合は小さく、群濃度計算をより簡潔にするように選択
されるので、システムのセットアップは、十分簡単で実用的である。
【００１９】 本発明には、参加者が、他の参加者の変更とは独立に自らの曲線をときどき変
更することができるという利点もある。
【００２０】 本発明の一実施態様において、参加者の公開鍵には、以前送信されたが検討さ
れなかった暗号情報の一部である識別情報を含んでいる。この識別情報は、別々
に送信する必要がないので、本暗号系のオーバーヘッドを他の暗号系と比較する
際に考慮する必要があるメッセージのオーバーヘッドが総体として縮減される。
【００２１】 公開鍵への識別情報の埋め込みには、攻撃者が公開鍵を伴う送信を受けず後続
の送信のみを取得した場合に後続の送信の安全性が強化されるという利点もある
。
【００２２】 図３は、本発明による楕円曲線暗号系を図示するものである。図３に示すよう
に、中央機関はなんら機能を果たさず、すなわち、中央機関は証明以外には不必
要である。各参加者は、曲線及び有限体を選択する。その後、各参加者は、図１
に示す従来システムの機能に対応する機能を果たす、すなわち、秘密鍵を選択し
、対応する公開鍵を算出し、その公開鍵に対する証明を取得する。
【００２３】 操作において、本発明による楕円曲線暗号系は図４に示すように機能する。通
信しようとする者が暗号データを交換し、互いの公開鍵データ再構成して、署名
方式やデータ暗号化／復号方式等の暗号プロトコルにおいてその再構成された鍵
を使用する。
【００２４】 本発明に好適な楕円曲線は、パラメータがｕ及びｖの二つだけのワイヤシュト
ラスの標準形として表すことができ、次の形式の方程式で表される：
【００２５】
【数２】 y2 = x3 + ux + v
【００２６】 次の方程式は、各参加者がこの中から自分の楕円曲線方程式を選択する、所定
のワイヤシュトラスの標準形の集合である：
【００２７】
【数３】 y2 = x3 + 0x + 16 y2 = x3 - 270x - 1512 y2 = x3 - 35x - 98 y2 = x3 - 9504x - 365904 y2 = x3 - 608x + 5776 y2 = x3 - 13760x + 621264 y2 = x3 - 117920x + 15585808 y2 = x3 - 34790720x + 78984748304
【００２８】 後述のように、参加者が素数ｐを適切に選択すると、Ｆ(p) 上のＥの点の群の
濃度がｐと同じ桁数の素数約数ｑを含むように、所定のワイヤシュトラスの標準
形方程式の集合の少なくとも一つが、ｐ元を含む体Ｆ(p) 上の非超特異楕円曲線
Ｅを定義する。さらに、m*(ln(m*ln(p)))2 ≦ 0.02*(ln(p))2 が成り立つ任意の
正の整数ｍに対してｑで pm - 1 が割り切れないような、ｐ及びｑが選択される
。ｐが十分大きければ、この曲線Ｅは、濃度が大きい素数約数を有しない場合に
受けるような、小さい部分群攻撃や、比較的小さいｍに対する pm-1 がｑで割り
切れる場合に受けるような、ウェイル（Weil） 又はテート（Tate） 対に基づく
準指数時間攻撃を受けることはない。有限体Ｆ(p) はｐを法とする最小の負でな
い剰余の集合 {0, 1, ..., p-1}によって表される。
【００２９】 換言すれば、参加者は、曲線の点の群の濃度がｐと同じ桁数の素数約数ｑを有
するとともに、m*(ln(m*ln(p)))2 ≦ 0.02*(ln(p))2 が成り立つ任意の正の整数
ｍに対してｑで pm - 1 が割り切れないような、体Ｆ(p)上の楕円曲線Ｅを選択
する。これによって、テート対からの防護に十分な安全性が提供されるが、同時
にこれはウェイル対からの防護にも十分である。この群濃度が十分な安全性の提
供のために必要であると考えられる。
【００３０】 楕円曲線Ｅは、表１に従って、Ｅが満たす方程式に依存する整数ｄを定義する
。表１で、ｄは、-d がＥの自己準同型環の判別式Δと等しい値であって、本発
明において重要な性質を提供するという点で有用である。
【００３１】
【表１】 ｄの値には８の選択肢があるので、ｄの選択は３ビット数で指定することができ
る。具体的には、３ビットで、表１に記載の８の選択肢に対応する {0, 1, ... , 7} の数が表される。
【００３２】 さらに、表２に従って、楕円曲線が満たす方程式により、素数ｐ及び楕円曲線
Ｅが中間整数ａ及びｂの対を定義する。
【００３３】
【表２】
【００３４】 素数ｐ及び中間整数ａとした場合の、体Ｆ(p)上の楕円曲線Ｅの点Ｅ(Ｆ(p))の
群の濃度 |E(F(p))| は、表３に記載する単一閉式であり、ここで、ｄが表１の
曲線に対応するものであるとすると、2a がｄを法とする平方であれば j(a,d) = 1、2a がｄを法とする平方でなければ j(a,d) = -1 となる。従って、各参加者
が群の濃度を計数するために必要なソフトウェア及びランタイムは簡単なものと
なるので、本暗号系は十分実現可能である。
【００３５】
【表３】
【００３６】 表３の濃度 |E(F(p))| のための式は単純なものなので、適当な有限体及び楕
円曲線を生成するために複雑なソフトウェアや長大なランタイムは必要でない。
楕円曲線Ｅが所定のワイヤシュトラスの標準形方程式の集合のうち最初の３つの
方程式のどれかを満たすものであれば、群濃度は常に、表４に示すような非自明
約数ｃを有する。
【００３７】
【表４】
【００３８】 素数ｐ及び楕円曲線Ｅは、濃度 |E(F(p))| が、正の整数 f ≦ 32 でｑを素数
としたときの、単一閉式 |E(F(p))| / c = (f*q) によって与えられるように、
選択される。この選択によって、素数ｐに十分大きい値を選べば十分な安全性を
提供する十分な難度を有する E(F(p)) における「離散対数（Discrete Logarith m）」問題を形成する。
【００３９】
【００４０】
【００４１】
【００４２】 本発明の重要な側面は、どのようにして、上掲の望ましい特徴を有する素数ｐ
、ｑ、楕円曲線Ｅ、及び点Ｑを求めるかである。典型的には、中間整数ａ及びｂ
を素数ｐで定義すると考えられるが、本発明の一実施態様では、中間整数ａ及び
ｂの対を使用して素数ｐを定義する。詳細は後述するが、各参加者が、安全性パ
ラメタＢと等しいビット数を有するビット列ｓをランダムに選択する。ランダム
に選択されたビット列ｓは、その参加者の固有ビット列ＩＤと連結し、連結ビッ
ト列 (ID||s) を形成して、それをマッピング関数によりマッピングし、最終的
に、表２の行のうちの一つの条件を満たすことによって整数ｄの値を決定するだ
けでなく、上述の安全性要件を満たすような中間整数ａ、ｂを取得する。(ID,s, b,d) に対する値を求めた後であれば、公開鍵の一部 (p,E,q,Q) を、ひいては公
開鍵全体を取得することも簡単である。
【００４３】 各参加者による素数ｐ、ｑ、楕円曲線Ｅ、及び点Ｑの決定について、以下、説
明する。
【００４４】 本システムの各参加者は、その参加者を識別し、システムの他のすべての参加
者によって認識される固有のビット列ＩＤを有するものとする。実施態様の中に
は、このビット列ＩＤに、氏名、誕生日、住所、社会保障番号、銀行口座番号、
人事番号、システム固有のログイン名等の、当該参加者に対する記述的データの
符号化したものを含むものもある。
【００４５】 Ｂを整数値化した安全性パラメタとする。Ｂに対して、有用な値は８５から１
５０の範囲であって、小さい方の値は許容可能な安全性の最低値を示しており、
大きい方の値は、高い安全性を示している。安全性パラメタＢの値は、システム
全体に知られるものである。
【００４６】 Ｂｓ及びＢｂを、他の２つの整数値化した安全性パラメタとする。例えば、Ｂ
ｓ＝３０、Ｂｂ＝１６である。Ｂｓ及びＢｂの値は、各参加者が独自に選択する
ことができる。
【００４７】 Ｒ１及びＲ２を、Ｂビットの正の整数までの任意の長さの列をマッピングする
、２つの異なるマッピング関数とし、Ｒ３を、（２Ｂ）ビットの正の整数までの
任意の長さの列をマッピングするマッピング関数とする。マッピング関数Ｒ１、
Ｒ２、Ｒ３は、例えば、ハッシュ関数を用いて定義することができる。マッピン
グ関数Ｒ１、Ｒ２、Ｒ３はシステム全体に知られるものである。マッピング関数
Ｒ１、Ｒ２、Ｒ３が知られた装置が、不正操作防止付装置であれば、関数Ｒ１、
Ｒ２、Ｒ３は秘密保持されていると考えることができる。従って、暗号系装置を
持たない攻撃者には、たとえ図５で説明している参加者のセットアップ手順から
結局 (ID, s, b1) が与えられたとしても (p,E,q,Q) を取得することはできない
ので、安全性強化につながる。暗号系装置を有する攻撃者なら (p,E,q,Q) を計
算することができるかもしれないが、不正操作防止付装置からこれらの値を抽出
するのは難しいだろう。
【００４８】
【００４９】 ステップ５０５で、安全性パラメタＢの値及びマッピング関数Ｒ１、Ｒ２、Ｒ
３を求める。ステップ５１０で、参加者の暗号系が、安全性パラメタＢｓ及びＢ
ｂの値を選択する。ステップ５１５では、参加者の暗号系は、Ｂｓビットを有す
るビット列をランダムに選択する。ステップ５２０では、参加者の暗号系は、２
つの正のＢビット整数ａ＝Ｒ１(ID||s) 及びｂ０＝Ｒ２(ID||s) を取得するため
に、その識別ＩＤとビット列の連結にマッピング関数Ｒ１及びＲ２を適用すると
ともに、整数ｂ１をｂ１＝０に初期化する。ｂ＝ｂ０＋ｂ１とする。ステップ５
２５では、参加者の暗号系は、図６に記載のように、ａ及びｂの条件を満たすか
チェックする。ステップ５３０では、参加者の暗号系は、上記チェックの結果条
件を満たすかどうかを判断する。条件を満たせば、ステップ５３５で、暗号系は
、ｓ、ｂ１、ｐ、Ｅ、ｑ、及びＱの値を出力し、終了する。条件を満たしていな
ければ、ステップ５４５で、参加者の暗号系は、ｂ１を増分し、ステップ５５０
で、増分したｂ１が大きすぎるか、すなわち、ｂ１≧２Ｂｂかどうかをチェック
する。
【００５０】 増分したｂ１が適当に小さい値であれば、参加者の暗号系は、ステップ５２５
に戻り、ｂ０＋ｂ１としてのｂを再計算し、ａ及びｂの条件をチェックする。増
分したｂ１が大きすぎる場合、参加者の暗号系は、ステップ５１５に戻り、新し
いビット列ｓを選択する。「素数定理（Prime Number Theorem）」により、図５
の処理は必ずここで終了する。実際に、図５の処理には、インテルのペンティア
ム（Intel Pentium）のような入手しやすいマイクロプロセッサ上で数分のラン
タイムを要する。
【００５１】 図６は、中間整数ａ及びｂの対の条件をチェックするためのフローチャートで
ある。
【００５２】 ステップ６０５で、参加者の暗号系は、中間整数ａ及びｂが図７に記載の判別
式−３の条件を満たすかどうかをチェックする。ステップ６１０では、ステップ
６０５でのチェック結果を評価する。判別式−３の条件を満たせば、ステップ６
１５で、処理は肯定的結果をもって終了する。
【００５３】 判別式−３の条件が満たされなければ、ステップ６２０で、参加者の暗号系は
、その中間整数ａ及びｂが図８に記載の判別式−８の条件を満たすかどうかをチ
ェックする。ステップ６２５で、ステップ６２０でのチェック結果が評価される
。判別式−８の条件が満たされれば、ステップ６１５で、処理は肯定的な結果を
もって終了する。
【００５４】 判別式−８の条件が満たされなければ、ステップ６３０で、参加者の暗号系は
、集合Ｄを {7,11,19,43,67,163} に初期化し、整数ｄを、集合Ｄの最初の元で
あることが認められるｄ＝７に初期化する。ステップ６３５で、参加者の暗号系
は、その中間整数ａ及びｂが図９に記載の判別式−ｄの条件を満たすかどうかチ
ェックする。ステップ６４０では、ステップ６３５でのチェック結果が評価され
る。判別式−ｄの条件が満たされれば、ステップ６１５で、処理は肯定的な結果
をもって終了する。
【００５５】 判別式−ｄの条件が満たされなければ、ステップ６４５で、参加者の暗号系は
、ｄをＤから取り除き、ステップ６５０で、集合Ｄに残っている値があるかどう
かをチェックする。残っている値があれば、ステップ６５５で、暗号系は、集合
Ｄ中に残っている値にｄをセットし、ステップ６３５に戻る。
【００５６】 集合Ｄが空であれば、ステップ６６０で暗号系は否定的な結果をもって終了す
る。すなわち、中間整数ａ及びｂは本発明に要求される条件を満たさないことに
なる。
【００５７】 図７は中間整数ａ及びｂが判別式−３の条件を満たすかどうかをチェックする
ためのフローチャートを示す。
【００５８】 ステップ７０５で、参加者の暗号系は、表２の第一のケースに記した条件を満
足するがどうか、すなわち、a ≡ 1 mod 3、b ≡ 0 mod 3、a2 +3b2 が４で割り
切れるかどうか、そして、商 p = (a2 +3b2)/4 が３で割ると１余るかどうかを
チェックする。これらの条件に満たさないものがあれば、ステップ７１０で、処
理は、否定的な結果を返す。
【００５９】 表２の上記条件が満たされれば、ステップ７１５で、暗号系は、４で割ったと
きのｐの剰余が３であるかどうかと、ｐが素数であるかどうかをチェックする。
これらの条件に何れか満たさないものがあれば、ステップ７１０で、処理は否定
的な結果を返す。ｐの素数性は、ｐが合成数であることがわかったら、ｐは素数
でなく、ｐの合成数性の証明ができなければ、ｐは素数であることを推定される
という、確率的合成数性テスト（probabilistic compositeness test）でテスト
される。
【００６０】 上述の条件を満たせば、ステップ７２０で、暗号系は、f≦32 が成り立つ正の
整数 f 及び素数ｑに対し、(p + a + 1)/9 = f*q が成り立つかどうかをチェッ
クする。これらの条件に満たさないものがあれば、ステップ７１０で、処理は、
否定的な結果を返す。
【００６１】 上述の条件が満たされれば、ステップ７２５で、暗号系は、ｓ、e = 3*f、ｐ
、ｑ、及びＥが上記先頭の楕円曲線方程式である y2 = x3 + 0x + 16 によって
与えられるものであるとき、図１０に記載の点の条件が、ＩＤ、ｓに対して、満
たされるかどうかをチェックする。
【００６２】 ステップ７３０で、暗号系は、ステップ７２５のチェック結果を評価する。結
果が否定的なものであれば、ステップ７１０で、処理は、否定的な結果を返す。
【００６３】 結果が肯定的なものであれば、ステップ７３５で、処理は、ｐ、Ｅ、ｑ、Ｑが
図１０の点の条件の処理によって返されたものであるとして、判別式−３の条件
を満たすという結果を返す。
【００６４】 図８は、中間整数ａ及びｂが判別式−８の条件を満たすかどうかをチェックす
るためのフローチャートを表す。
【００６５】 ステップ８０５で、参加者の暗号系は、p = a2 + 2b2 を求め、表２の第二の
ケースに記した条件を満たすかどうか、すなわち、p ≡ 3 mod 16 が成り立つと
き a ≡ 1 mod 4 が成り立つかどうか、そして、p ≡ 11 mod 16 が成り立つと
き a ≡ 3 mod 4 が成り立つかどうかをチェックする。これらの条件のうち満た
されないものがあれば、ステップ８１０で処理は否定的な結果を返す。
【００６６】 上述の表２の条件が満たされれば、ステップ８１５で、暗号系は、ｐを４で割
ったときの余りが３かどうか、そして、ｐが素数かどうかをチェックする。これ
らの条件に満たされないものがあれば、ステップ８１０で、処理は否定的な結果
を返す。
【００６７】 上述の条件が満たされれば、ステップ８２０で、暗号系は、正の整数 f ≦ 32 及び素数ｑに対して、(p - 2a + 1)/2 = f*q が成り立つかどうかをチェックす
る。これらの条件のうち満たされないものがあれば、ステップ８１０で、処理は
、否定的な結果を返す。
【００６８】 上述の条件が満たされれば、ステップ８２５で、暗号系は、ｓ、e = 2*f、ｐ
、ｑ、及びＥが、上記の楕円曲線方程式の２番目のものである、y2 = x3 - 270x - 1512 によって与えられるものであるとき、図１０に記載の点の条件が、ＩＤ
、ｓ、に対して満たされるかどうかをチェックする。
【００６９】 ステップ８３０では、暗号系は、ステップ８２５のチェック結果を評価する。
結果が否定的なものであれば、ステップ８１０で、処理は否定的な結果を返す。
【００７０】 結果が肯定的なものであれば、ステップ８３５で、処理はｐ、Ｅ、ｑ、Ｑが図
１０の点の条件の処理によって返されたものであるとして、判別式−８の条件が
満たされるという結果を返す。
【００７１】 図９は、中間整数ａ及びｂが、ｄを（7,11,19,43,67,163）の一つであるとし
た場合の判別式−ｄの条件を満たすかどうかをチェックするフローチャートを表
す。
【００７２】 ステップ９０５では、参加者の暗号系は、表２の第三ケースに記載の条件を満
たすかどうか、すなわち、a ≠ 1 が成り立つかどうか、及び、整数ｐに対して
、a2 + db2 = 4p が成り立つかどうかをチェックする。これらの条件のうち満た
さないものがあれば、ステップ９１０で処理は否定的な結果を返す。
【００７３】 上述の表２の条件が満たされれば、ステップ９１５で、暗号系は、ｐを４で割
ったときの余りが３になるかどうか、及びｐが素数かどうかをチェックする。こ
れらの条件のうち、満たされないものがあれば、ステップ９１０で、処理は否定
的な結果を返す。
【００７４】 上述の条件が満たされれば、ステップ９２０で、暗号系は、d = 11 が成り立
つ場合に、(p + j(a,11)*a + 1)/c = f*q が成り立つかどうか、そして d = 11 が成り立たない場合には (p - j(a,d)*a + 1)/c = f*q が成り立つかどうかをチ
ェックする。ここで、d = 7 の場合には c = 8、それ以外のすべての場合には c = 1 であるとき、f≦32 が成り立つ正の整数 f 及び素数ｑに対し、2a がｄを
法とする平方である場合には j(a,d) = 1 となり、2a がｄを法とする平方でな
い場合には j(a,d) = -1 となる。これらの条件のうち満たされないものがあれ
ば、ステップ９１０で、処理は否定的な結果を返す。
【００７５】 上述の条件が満たされれば、ステップ９２５で、暗号系は、ｓ、e = 2*f、ｐ
、ｑ、及びＥが、ｄに対する値に基づき、上記の楕円曲線方程式の３乃至８番目
のものによって与えられるものであるとき、図１０に記載の点の条件が、ＩＤ、
ｓ、に対して満たされるかどうかをチェックする。
【００７６】 ステップ９３０では、暗号系は、ステップ９２５のチェック結果を評価する。
結果が否定的なものであれば、ステップ９１０で、処理は、否定的な結果を返す
。
【００７７】 結果が肯定的なものであれば、ステップ９３５で、処理は、ｐ、Ｅ、ｑ、Ｑが
図１０の点の条件の処理によって返されたものであるとして、選択された判別式
のうちの適当なもの一つの条件が満たされるという結果を返す。
【００７８】 図１０は、Ｅが楕円曲線方程式 y2 = x3 + ux + v によって特定される場合の
、ＩＤ、ｓ、ｅ、ｐ、ｑ、及びＥに対して、点の条件が満たされるかどうかをチ
ェックするフローチャートを示す。
【００７９】 ステップ１００５で、参加者の暗号系は、次の２つの制約が満たされるような
正の整数ｍを求めようとする：（１）m*(ln(m*ln(p)))2 ≦ 0.02*(ln(p))2 が成
り立つ、（２）ｑで、pm-1 が割り切れる。具体的には、暗号系は、m*(ln(m*ln( p)))2 ＞ 0.02*(ln(p))2 となるまで、m = 1,2, ... と順に、ｑで、pm-1 が割
り切れるかどうかをチェックする。これら２つの制約を満たすｍが見つかれば、
点の条件は満たされず、処理は、ステップ１０１０で否定的な結果を返す。
【００８０】 そのようなｍが見つからなければ、ステップ１０１５で、暗号系は、x = R3(I D||s) mod p を求め、ｕ及びｖが上記楕円曲線方程式のパラメタであるとした場
合に r = x3 + ux + v がＦ(p) における平方であるかどうかをチェックする。
前記定義のｒ がＦ(p) における平方でない場合、点の条件は満たされず、処理
は、ステップ１０１０で否定的な結果を返す。
【００８１】
【００８２】 ステップ１０２５で、暗号系は、点ＱがＥ(Ｆ(p)) における位数ｑを有するか
どうか、すなわち、ＱがＥ(Ｆ(p)) における単位元Ｏと等しいかどうかをチェッ
クする。Ｑの位数がｑと等しくなければ、点の条件は満たされず、処理はステッ
プ１０１０で否定的な結果を返す。
【００８３】 点ＱがＥ(Ｆ(p)) における位数ｑを有する場合、点の条件は満たされ、処理は
、ステップ１０３０で肯定的な結果を返す。
【００８４】 本発明の重要な側面の一つは、Ｂ、Ｒ１、Ｒ２、Ｒ３、ＩＤ、ｓ、ｂ１、及び
ｄが所与であるとした場合に、参加者は何れも（p,E,q,Q）を再構成することが
できることである。公開鍵再構成の処理については、後述する。Ｂ、Ｒ１、Ｒ２
、Ｒ３は、すべての参加者に知られているので、他の参加者の公開鍵の（p,E,q, Q）部分を構成するためには、（ID,s,b1,d）の値を求めることのみが必要になる
。参加者との通信には、本暗号系がないときであっても、識別情報ＩＤを要求す
ることが理解されよう。
【００８５】 公開鍵の残りの部分である、Ｅ(Ｆ(p)) におけるＧは、Ｇを利用する参加者と
通信しようとするすべての参加者に送信しなければならない。ＧのＸ座標を指定
することで、ＧのＹ座標のとり得る値が大小２つの数値にまで減少する。従って
、Ｇを表すのに送信する必要があるのは、ＧのＸ座標と、Ｙ座標の大きい方又は
小さい方を示す１ビットだけである。
【００８６】 Ｌ(x)は負でない整数ｘのバイナリ長、すなわち、ｘのバイナリ表現に必要な
ビット数を表すものとする。
【００８７】 ワイヤシュトラスの標準形を利用して、任意のＸに対する y0(X) 及び y1(X) は、例えば、i = 1,2 に対して (yi(X))2 = X3 + uX + v が成り立つように、Ｆ
(p)における平方根計算で求めることができる。p ≡ 3 mod 4 が成り立つとき、
Ｆ(p)における平方ｒの平方根は、r1/2 = r(p + 1)/4 として、即座に求めるこ
とができるので、Ｘ座標とy0(X) 又は y1(X)を示す１ビットを指定することによ
って、曲線上の点を表現するのに必要な２Ｌ(p)ビットを、1 + Ｌ(p)ビットに減
らすことができる。
【００８８】 公開鍵サイズについて説明する。参加者のための公開鍵は、（p,E,q,Q,G）か
らなる。公開鍵の再構成に必要なのは、（ID,s,b1,d,G）のみである。ＩＤの長
さは、参加者が選択した任意のビット数でかまわないが、この情報は、どの方式
をとる場合であっても当該参加者と通信するのに必要とされるものなので、参加
者の公開鍵のサイズに加算すべきではない。ｓ及びｂ１のビット長はそれぞれ、
図５のステップ５１０で選択されたＢｓ及びＢｂであり、例えば、 Bs = 30 及
び Bb = 16 である。ｄには８つの選択肢があるので、ｄを表すのには３ビット
必要である。Ｇに必要とされるビット長は、L(p) + 1 である。上述の参加者セ
ットアップ処理で取得された素数ｐは、Ｂが上で導入された整数値の安全性パラ
メタであるとすると、 2*B に近い長さ L(p) を有する。従って、既知のＩＤを
有する者の公開鍵を導出することができる情報の量は、30 + 16 + 3 + L(p) + 1 = 50 + L(p) ビットである。
【００８９】 本暗号系が証明とともに使用されるとき、証明されるメッセージは、L(ID) + 50 + L(p) ビットの長さを持ち、それは、従来の暗号系に比べると短い。例とし
て、公開鍵（p,E,q,Q,G）の長さが、従来の表現で、従来の中央機関により作成
されたものとすると、L(p) + L(E) + L(q) + L(Q) + L(G) = L(p) + (2*L(p)) + (少なくとも L(p)/2) + (L(p) + 1) + (L(p) + 1) = 少なくとも 5.5*L(p) + 2 ビットと予想される。この従来型の表現が用いられたとすると、暗号オーバー
ヘッド情報は、少なくとも L(ID) + 5.5*L(p) + 2 ビットの長さになる。暗号情
報の長さの短縮が、従来方式での長さと本暗号系での長さの差であり、(少なく
とも L(ID) + 5.5*L(p) + 2) - (L(ID) + 50 L(p)) = 少なくとも 4.5*L(p) - 4 8 ビットになることは、容易に予想できる。素数ｐは、別の値もとり得るものの
、典型的には、７１７ビットの節約のために、１７０ビット前後の長さを有する
。
【００９０】 本発明により達成されたビット長の短縮は、少なくとも伝送時の利点となる。
すなわち、後述のように、暗号のオーバーヘッドに要する帯域が狭いため帯域を
より効率的に利用できるとともに、再構成がとても容易なため収容領域をより効
率的に利用できる。
【００９１】 中央機関が参加者の公開鍵の（p,E.q,Q）の部分を作成する従来の方式では、
証明しなければならないメッセージの長さは L(ID) + L(p) + 1 である。本暗号
系では、証明しなければならないメッセージの長さは L(ID) + L(p) + 50 であ
り、わずか４９ビット多いだけだが、ずっと高い安全性を実現する。
【００９２】 ｓとｂ１に冗長性を持たせることができるので、不正な公開鍵やＩＤの対を作
成するのがより困難になる。
【００９３】 公開鍵再構成の処理の実施態様を、図１１Ａ及び１１Ｂ（総体として図１１と
呼ぶ）に記載する。参加者の識別情報ＩＤ及び値ｓ、ｂ１、及びｄ、又は表１記
載のｄに対応するＥ、並びにＢ，Ｒ１、Ｒ２、Ｒ３を与えられれば、参加者の（
p,E,q,Q）の値を構成するのは非常に易しいことが、図１１に表した処理によっ
て例示されている。
【００９４】 ステップ１１０５では、値Ｂ及び関数Ｒ１、Ｒ２、Ｒ３を求める。ステップ１
１１０で、値ａを、a=R1(ID||s) によって求め、値ｂを、b=R2(ID||s) + b1 に
よって求める。
【００９５】 ステップ１１１５では、ａ及びｂの条件をチェックするが、前述同様、具体的
な条件はｄの値に依存する。ステップ１１１５で説明したように、ステップ７０
５、８０５、又は９０５のように条件をチェックしつつ、それぞれ、ステップ７
０５、８０５、又は９０５のようにｐを計算する。
【００９６】 ステップ１１１５での条件チェックの結果が、否定的なものであれば、ステッ
プ１１２０で、公開鍵再構成処理は失敗となる。
【００９７】 ステップ１１１５での条件チェックの結果が、肯定的なものであれば、ステッ
プ１１２５で、完全な正確性のチェックが必要かどうかを判断する。必要でなけ
れば、暗号系はステップ１１３５に進む。完全な正確性チェックが必要な場合は
、ステップ１１３０で暗号系は、例えば、確率的合成数性テストにより、ｐが４
で割ったときの余りが３に等しい素数かどうかをチェックする。完全な正確性チ
ェックは、公開鍵に対する証明書を作成する側により実行することができるが、
公開鍵を再構成する必要のあるユーザ依存情報（ID,s,b1,G）を証明する前に、
証明する側で、「完全正確性チェック（Thorough Correctness check）」ととも
に「公開鍵再構成（Public Key Reconstructions）」を実行することになる。公
開鍵が正確に再構成できて、すべての完全正確性テストをパスすれば、その場合
のみ、証明する側で所望の証明書を提供する。証明済みユーザ依存情報（ID,s,b 1,G）を受けた別の参加者は、正確性証明があるので、ｐ及びｑの素数性テスト
をする必要はない。ステップ１１３０でのチェックが否定的なものであれば、ス
テップ１１２０で、公開鍵再構成処理は失敗となる。
【００９８】 ステップ１１３５では、ｄの値によってｃ及びｔの値が決まる。ステップ１１
４０では、暗号系は、c*f で (p - t*a + 1) が割り切れるとともに、q = (p - t*a + 1)/(c*f) でｑが求まるような、最大の正の整数 f≦32 を決定する。
【００９９】 ステップ１１４５では、ステップ１１２５と同様の基準で完全正確性チェック
が必要かどうかを再度判断する。必要なければ、暗号系は、ステップ１１５５へ
進む。完全正確性チェックが必要であれば、ステップ１１４７で、m*(ln(m*ln(p )))2 ≦ 0.02*(ln(p))2 が成り立つとともに、ｑで、pm-1 が割り切れるような
整数ｍは存在しないことを確認する。ステップ１１４７でのテストが失敗すると
、ステップ１１２０で公開鍵再構成処理は失敗となる。ステップ１１４７でのテ
ストで、肯定的な結果であれば、ステップ１１５０で素数ｑの素数性をチェック
する。ステップ１１５０でのチェックが否定的な結果であれば、ステップ１１２
０で公開鍵再構成処理は失敗となる。
【０１００】 ステップ１１５５では、表１に従って、ｄの値に基づき、楕円曲線Ｅのなかか
ら適当なものを選択する。値ｘを、R3(ID||s) mod p として求め、値ｙを、Ｆ(p ) における (x3 + ux + v)(p + 1)/4 として求め、Ｐを、（x,y）にセットする
。
【０１０１】 ステップ１１５７では、d = 3 が成り立つかどうか判断し、成り立てば、位数
９の部分群が巡回群でないため、ｃを３に置き換える。
【０１０２】
【０１０３】
【０１０４】 公開鍵再構成処理において何らかの実質的な計算を要するステップは、素数性
チェックと、Ｒが単位元Ｏであるかのチェックだけである。これらのチェックを
除けば、公開鍵再構成処理には、インテルのペンティアムのような、通常の、広
く利用可能なプロセッサ上で走らせても、わずか数ミリ秒しかかからない。
【０１０５】 上述の方法により生成される公開鍵の例を、以下説明する。
【０１０６】 図１２Ａ〜１２Ｄでは公開鍵（p,E,q,Q）のそれぞれの値の集合を提供する。
これらの例では、参加者ＩＤに対して、１０進法（基数１０）の表記による２進
法（基数２）のビット列 11223344556677889900 を任意に使用し、安全性パラメ
タ Bs = 30 及び Bb = 8 を使用し、次のようなマッピング関数を使用した：
【０１０７】
【数４】 R1(x) = x8 mod 2B R2(x) = (reverse(x))8 mod 2B R3(x) = (reverse(x) || x)8 mod 22B ビット列ｘは１０進法（基数１０）で「２５」の値に対応する２進法（基数２）
、例えば、「１１００１」のように表す。関数「reverse(x)」は、ビット列のビ
ット配列を逆にする、例えば、reverse(11001) = 10011 となる。演算子「||」
は、ビット列の連結を表し、例えば、(10011 || 11001) = 1001111001 となる。
図１２Ａ及び１２Ｂの例では、安全性パラメタを B = 85、すなわち相対的に低
い値とした例を示しており、一方、図１２Ｃ及び１２Ｄの例では、安全性パラメ
タを B = 150、すなわち相対的に高い値とした例を示している。ビット列ｓは、
各例毎にランダムに選んだ異なる値である。すべての公開鍵（p,E,q,Q）は、同
じマッピング関数Ｒ１、Ｒ２、Ｒ３、参加者のＩＤ、及びビット列ｓ、並びに図
１２Ａ〜１２Ｄの各例で示したパラメタｂ１の値によって、再構成に成功した。
【０１０８】
【０１０９】 以上、本発明の例示的実施態様及びその様々な変形例について、添付図面を参
照しつつ詳細にわたり説明してきたが、本発明は、この実施態様そのものや説明
を加えた変形例に限定されるものではなく、当該技術分野の熟練技術者であれば
、添付の特許請求の範囲に定義された本発明の範囲又は趣旨を逸脱せずに、様々
な変更やさらなる変形を生み出すことができることが理解されよう。
【図面の簡単な説明】
【図１】 先行技術の暗号系のセットアップ・フローチャートである。
【図２】 先行技術の暗号系の動作フローチャートである。
【図３】 本発明による暗号系のセットアップ・フローチャートである。
【図４】 本発明による暗号系の動作フローチャートである。
【図５】 「参加者セットアップ」のフローチャートを示す。
【図６】 中間整数ａ及びｂの対の条件をチェックするためのフローチャートを
示す。
【図７】 中間整数ａ及びｂが判別式−３の条件を満たすかどうかをチェックす
るためのフローチャート。
【図８】 中間整数ａ及びｂが判別式−８の条件を満たすかどうかをチェックす
るためのフローチャート。
【図９】 ｄを（7,11,19,43,67,163）のうちの一つとした場合に、中間整数ａ
及びｂが判別式−ｄの条件を満たすかどうかをチェックするためのフローチャー
ト。
【図１０】 ＩＤ、ｓ、ｅ、ｐ、ｑ、及びＥに対して、点の条件が満たされるか
どうかをチェックするためのフローチャート。
【図１１】 図１１Ａ及び１１Ｂは、本発明の一実施態様による公開鍵再構成の
フローチャートである。
【図１２】 図１２Ａ〜１２Ｄは本発明により構成された公開鍵の例である。
───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ， ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ， ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，Ｃ Ｕ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ， ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，Ｌ Ｋ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ， ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，Ｔ Ｍ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ ，ＺＷ (71)出願人 399 Ｐａｒｋ Ａｖｅｎｕｅ， Ｎｅｗ Ｙｏｒｋ， Ｎｅｗ Ｙｏｒｋ 10043， Ｕ．Ｓ．Ａ．

Claims (18)

    【特許請求の範囲】
  1. 【請求項１】 所定の楕円曲線集合から曲線Ｅを選択するステップと、 有限体を選択するステップと、 秘密鍵を選択するステップと、 公開鍵を取得するステップとからなる参加者間で暗号系を確立する方法であっ
    て、 前記の、曲線Ｅ、有限体、秘密鍵を選択し、公開鍵を取得するステップは、参
    加者各自がローカルで実行する方法。
  2. 【請求項２】 前記所定の楕円曲線集合は、ワイヤシュトラスの標準形方程
    式として表される、請求項１記載の方法。
  3. 【請求項３】 前記所定の楕円曲線集合は、 y2 = x3 + 0x + 16、 y2 = x3 - 270x - 1512、 y2 = x3 - 35x - 98、 y2 = x3 - 9504x - 365904、 y2 = x3 - 608x + 5776、 y2 = x3 - 13760x + 621264、 y2 = x3 - 117920x + 15585808、及び y2 = x3 - 34790720x + 78984748304 である、請求項２記載の方法。
  4. 【請求項４】 前記公開鍵取得ステップは、 安全性への配慮に基づく所定の長さを有するビット列ｓを選択し、 当該選択されたビット列ｓ及び前記参加者各自の固有のビット列ＩＤに基づく
    素数ｐを取得することを含む、請求項１記載の方法。
  5. 【請求項５】 前記公開鍵は、素数ｐと同じ桁数の素数ｑ及び前記曲線Ｅ上
    の位数ｑの点Ｑをも有し、前記公開鍵取得ステップは、単純な計算で前記点Ｑを
    決定することをさらに含む、請求項４記載の方法。
  6. 【請求項６】 前記点Ｑ決定ステップは、 前記選択されたビット列ｓ及び前記参加者の固有ビット列ＩＤを連結して連結
    されたビット列を生成し、 当該連結されたビット列を所定の長さの値ｘにマッピングし、 前記選択された曲線Ｅにおける前記選択された値ｘの使用に基づいて値ｙを取
    得し、 前記点Ｑを生成するために点（x,y）上のスカラー乗法を実行することを含む、
    請求項５記載の方法。
  7. 【請求項７】 前記公開鍵取得ステップは、 中間整数ａ及びｂを選択し、 前記中間整数ａ及びｂの関数としての素数ｐを取得し、 前記公開鍵を前記素数ｐ及び前記選択された曲線から形成することを含む、請
    求項１記載の方法。
  8. 【請求項８】 前記中間整数ａ及びｂを選択するステップは、全参加者に知
    られているマッピング関数を使用して、参加者ＩＤを、所定の長さの整数ａ及び
    ｂ０にマッピングすることを含む、請求項７記載の方法。
  9. 【請求項９】 前記中間整数ａ及びｂを選択するステップは、 安全性への配慮に基づき、所定の長さを有するビット列ｓを選択し、 各参加者を独自に表すビット列ＩＤを当該ビット列ｓと連結することをさらに
    含む請求項８記載の方法。
  10. 【請求項１０】 前記中間整数ａ及びｂを選択するステップは、前記整数ａ
    及び前記整数ｂ = b0 + b1 が前記素数ｐ及び前記選択された曲線Ｅに対する所
    定の条件の集合を満たすような整数ｂ１を選択することを含む、請求項８記載の
    方法。
  11. 【請求項１１】 前記整数ｂ１を選択することには、前記整数ｂ１に対する
    異なる値を繰り返し評価することを含む、請求項１０記載の方法。
  12. 【請求項１２】 前記公開鍵は、体Ｆ(p) 上の前記選択された曲線Ｅの点の
    群の濃度が単一閉式で与えられるような体Ｆ(p) を定義する素数ｐを含む、請求
    項１記載の方法。
  13. 【請求項１３】 参加者のＩＤに基づいて中間整数ａ及びｂを形成するステ
    ップと、 前記中間整数ａ及びｂの関数として素数ｐを取得するステップと、 所定の楕円曲線集合から曲線Ｅを選択するステップと、 前記参加者のＩＤに基づき、前記選択された曲線上の点Ｑを選択するステップ
    と、 前記公開鍵を前記素数ｐ、前記選択された曲線Ｅ、及び前記点Ｑから構成する
    ステップとからなる、暗号系参加者の公開鍵を再構成する方法。
  14. 【請求項１４】 前記所定の楕円曲線集合は、ワイヤシュトラスの標準形方
    程式として表される、請求項１３記載の方法。
  15. 【請求項１５】 前記所定の楕円曲線集合は、 y2 = x3 + 0x + 16、 y2 = x3 - 270x - 1512、 y2 = x3 - 35x - 98、 y2 = x3 - 9504x - 365904、 y2 = x3 - 608x + 5776、 y2 = x3 - 13760x + 621264、 y2 = x3 - 117920x + 15585808、及び y2 = x3 - 34790720x + 78984748304 である、請求項１４記載の方法。
  16. 【請求項１６】 前記中間整数ａ及びｂを形成するステップは、さらにビッ
    ト列ｓ及びｂ１に基づいておこなわれる、請求項１３記載の方法。
  17. 【請求項１７】 前記曲線Ｅを選択するステップは、さらに整数ｄに従って
    おこなわれる、請求項１３記載の方法。
  18. 【請求項１８】 前記点Ｑを選択するステップは、さらにビット列ｓに基づ
    いておこなわれる、請求項１３記載の方法。
JP2000587489A 1998-12-10 1999-12-07 ユーザが楕円曲線を選択する暗号系 Pending JP2002532957A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US09/209,436 1998-12-10
US09/209,436 US6446205B1 (en) 1998-12-10 1998-12-10 Cryptosystems with elliptic curves chosen by users
PCT/US1999/029081 WO2000035142A1 (en) 1998-12-10 1999-12-07 Cryptosystems with elliptic curves chosen by users

Publications (1)

Publication Number Publication Date
JP2002532957A true JP2002532957A (ja) 2002-10-02

Family

ID=22778754

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2000587489A Pending JP2002532957A (ja) 1998-12-10 1999-12-07 ユーザが楕円曲線を選択する暗号系

Country Status (7)

Country Link
US (1) US6446205B1 (ja)
EP (1) EP1135886B1 (ja)
JP (1) JP2002532957A (ja)
AT (1) ATE261219T1 (ja)
AU (1) AU2169300A (ja)
DE (1) DE69915341D1 (ja)
WO (1) WO2000035142A1 (ja)

Families Citing this family (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA2649680A1 (en) * 1999-02-26 2000-08-26 Certicom Corp. Method and apparatus for finite field basis conversion
US6778666B1 (en) * 1999-03-15 2004-08-17 Lg Electronics Inc. Cryptographic method using construction of elliptic curve cryptosystem
US20030009694A1 (en) * 2001-02-25 2003-01-09 Storymail, Inc. Hardware architecture, operating system and network transport neutral system, method and computer program product for secure communications and messaging
AU2002332671A1 (en) * 2001-08-13 2003-03-03 Board Of Trustees Of The Leland Stanford Junior University Systems and methods for identity-based encryption and related cryptographic techniques
US7136484B1 (en) * 2001-10-01 2006-11-14 Silicon Image, Inc. Cryptosystems using commuting pairs in a monoid
US7346159B2 (en) * 2002-05-01 2008-03-18 Sun Microsystems, Inc. Generic modular multiplier using partial reduction
DE602004001273T2 (de) * 2003-04-23 2007-05-31 Hewlett-Packard Development Co., L.P., Houston Verfahren und Vorrichtung zur Identifiezierungsbasierten Verschlüsselung
GB2401012B (en) * 2003-04-23 2005-07-06 Hewlett Packard Development Co Cryptographic method and apparatus
US20050021973A1 (en) * 2003-04-23 2005-01-27 Liqun Chen Cryptographic method and apparatus
US20040264702A1 (en) * 2003-06-30 2004-12-30 Eastlake Donald E. Method and apparatus for producing cryptographic keys
US7298839B2 (en) 2003-07-25 2007-11-20 Microsoft Corporation Squared Weil and Tate pairing techniques for use with elliptic curves
US7769167B2 (en) * 2003-07-25 2010-08-03 Microsoft Corporation Weil and Tate pairing techniques using parabolas
US7440569B2 (en) * 2003-07-28 2008-10-21 Microsoft Corporation Tate pairing techniques for use with hyperelliptic curves
US20050135605A1 (en) * 2003-12-17 2005-06-23 Dimitrov Vassil S. Cryptographic exponentiation methods
GB2413465B (en) * 2004-04-23 2007-04-04 Hewlett Packard Development Co Cryptographic method and apparatus
CN101099328B (zh) * 2004-11-11 2011-05-18 塞尔蒂卡姆公司 定制的静态Diffie-Helman群
WO2006085430A1 (ja) * 2005-02-10 2006-08-17 Nec Corporation メンバー証明書獲得装置、メンバー証明書発行装置、グループ署名装置、グループ署名検証装置
CN102280604B (zh) 2005-03-17 2014-11-12 日本电气株式会社 覆膜电气设备及其制造方法
CN100437611C (zh) * 2005-08-03 2008-11-26 武汉理工大学 一种基于椭圆曲线的可控授权电子签名方法
EP1978550A4 (en) 2005-12-28 2009-07-22 Nec Corp FIELD EFFECT TRANSISTOR AND MULTILAYER EPITAXIAL FILM FOR USE IN THE MANUFACTURE OF A FIELD EFFECT TRANSISTOR
US9002003B2 (en) * 2006-11-29 2015-04-07 Certicom Corp. Password protocol for data communication system
CN101425897B (zh) * 2007-10-29 2011-05-18 上海交通大学 一种用户认证方法、系统、服务器和用户节点
SG11202101201UA (en) * 2018-08-07 2021-03-30 Haventec Pty Ltd A method and system for securing data

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5351297A (en) 1991-06-28 1994-09-27 Matsushita Electric Industrial Co., Ltd. Method of privacy communication using elliptic curves
US5442707A (en) 1992-09-28 1995-08-15 Matsushita Electric Industrial Co., Ltd. Method for generating and verifying electronic signatures and privacy communication using elliptic curves
WO1994015423A1 (en) * 1992-12-22 1994-07-07 Telstra Corporation Limited A cryptographic method
US5497423A (en) * 1993-06-18 1996-03-05 Matsushita Electric Industrial Co., Ltd. Method of implementing elliptic curve cryptosystems in digital signatures or verification and privacy communication
US5793866A (en) * 1995-12-13 1998-08-11 Motorola, Inc. Communication method and device

Also Published As

Publication number Publication date
EP1135886B1 (en) 2004-03-03
AU2169300A (en) 2000-06-26
US6446205B1 (en) 2002-09-03
WO2000035142A8 (en) 2001-03-01
WO2000035142A9 (en) 2000-11-30
ATE261219T1 (de) 2004-03-15
EP1135886A1 (en) 2001-09-26
WO2000035142A1 (en) 2000-06-15
DE69915341D1 (de) 2004-04-08

Similar Documents

Publication Publication Date Title
JP2002532957A (ja) ユーザが楕円曲線を選択する暗号系
US9967239B2 (en) Method and apparatus for verifiable generation of public keys
CA2280775C (en) Cyclotomic polynomial construction of discrete logarithm cryptosystems over finite fields
JP4588874B2 (ja) 内在的証明書方式
CA2111572C (en) Digital signature algorithm
JP5221687B2 (ja) 混成署名方式
CN103563288B (zh) 基于口令的单轮密钥交换协议
US7000110B1 (en) One-way function generation method, one-way function value generation device, proving device, authentication method, and authentication device
CN107248909A (zh) 一种基于sm2算法的无证书安全签名方法
US20020136401A1 (en) Digital signature and authentication method and apparatus
JP2001520483A (ja) 鍵認証方式
US6959085B1 (en) Secure user identification based on ring homomorphisms
CN112152813B (zh) 一种支持隐私保护的无证书内容提取签密方法
CN110855425A (zh) 一种轻量级多方协同sm9密钥生成、密文解密方法与介质
CN114117547A (zh) 一种基于预计算表的sm9数字签名加速生成方法以及数字签名加速验证方法
JP4772965B2 (ja) エンティティの真正性および／またはメッセージの完全性を証明するための方法
JP2002500842A (ja) 自働回復及び自働認証可能暗号システム
CN111447058A (zh) 基于中国剩余定理的图书资源访问控制方法
CN116074090B (zh) 一种基于oprf的多用户顺序揭示加密方法及系统
Lenstra Efficient identity based parameter selection for elliptic curve cryptosystems
CN115878566A (zh) 一种分频率数据审计方法、装置、设备以及存储介质
Sun et al. Efficient construction of completely non-malleable CCA secure public key encryption
EP1026851A1 (en) Composite cryptographic keys
JPH1165441A (ja) 複数暗号文の平文同一性証明方法および装置
Rubin Message authentication using quadratic residues