JP2003029628A - 暗号化方法，復号方法，暗号通信方法，暗号通信システム，プログラム及び記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 ＬＬＬアルゴリズムに基づく低密度攻撃に強
く、安全性を向上できる暗号化方式を提供する。 【解決手段】 暗号化すべき平文を分割してなる複数の
成分を有する平文ベクトルに複数の任意の乱数を成分と
する乱数ベクトルを加えた合成ベクトルを作成し、合成
ベクトルの各成分毎に予め準備されている複数の公開成
分から任意の公開成分を選択して暗号化鍵ベクトルを作
成し、作成した合成ベクトルの各成分と選択した暗号化
鍵ベクトルの各成分との積和演算により暗号文Ｃを得
る。合成ベクトルにおける平文ベクトルまたは乱数ベク
トルの各成分の位置は、送信側（エンティティａ）また
は受信側（エンティティｂ）で任意に設定する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、公開鍵を用いて平
文を暗号文に変換する公開鍵暗号系に関し、特に、積和
型暗号に関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化方式は、大別すると共通鍵暗号系と
公開鍵暗号系との二つに分類できる。共通鍵暗号系で
は、暗号化鍵と復号鍵とが等しく、送信者と受信者とが
同じ共通鍵を持つことによって暗号通信を行う。送信者
が平文を秘密の共通鍵に基づいて暗号化して受信者に送
り、受信者はこの共通鍵を用いて暗号文を平文に復号す
る。

【０００５】これに対して公開鍵暗号系では、暗号化鍵
と復号鍵とが異なっており、公開されている受信者の公
開鍵で送信者が平文を暗号化し、受信者が自身の秘密鍵
でその暗号文を復号することによって暗号通信を行う。
公開鍵は暗号化のための鍵、秘密鍵は公開鍵によって変
換された暗号文を復号するための鍵であり、公開鍵によ
って変換された暗号文は秘密鍵でのみ復号することがで
きる。

【０００６】公開鍵暗号系の１つの方式として、積和型
暗号方式が知られている。これは、送信者である一方の
エンティティ側で平文をＫ分割した平文ベクトルｍ＝
（ｍ₁，ｍ₂ ，・・・，ｍ_K ）と公開鍵である基数ベク
トルｃ＝（ｃ₁ ，ｃ₂ ，・・・，ｃ_K ）とを用いて、暗
号文Ｃ＝ｍ₁ ｃ₁ ＋ｍ₂ ｃ₂ ＋・・・＋ｍ_K ｃ_K を作成
し、受信者である他方のエンティティ側でその暗号文Ｃ
を秘密鍵を用いて平文ベクトルｍに復号して元の平文を
得る暗号化方式である。

【０００７】このような整数環上の演算を利用した積和
型暗号に関して、新規な方式及び攻撃法が次々に提案さ
れているが、特に、多くの情報を短時間で処理できるよ
うに高速復号可能な暗号化・復号の手法の開発が望まれ
ている。そこで、本発明者等は、中国人の剰余定理を用
いることにより、高速な並列復号処理を可能とした積和
型暗号における暗号化方法及び復号方法を提案している
（特開2000−89669 号）。この暗号化方法は、基数ベク
トルｃの成分ｃ_i （ｉ＝１，２，・・・，Ｋ）を、互い
に素なＫ個の整数ｄ_i を用いてＤ_i ＝ｄ／ｄ_i （但し、
ｄ＝ｄ₁ ｄ₂ ・・・ｄ_K ）に設定した基数Ｄ_i を基にモ
ジュラ変換したもの、または、互いに素なＫ個の整数ｄ
_i ，乱数ｖ_i （ｇｃｄ（ｄ_i ，ｖ_i ）＝１）を用いてＶ
_i ＝（ｄ／ｄ_i ）ｖ_i に設定した基数Ｖ_i を基にモジュ
ラ変換したものにすることを特徴としている。このよう
にして、中国人の剰余定理を用いて並列に復号するの
で、高速な復号を行うことができる。

【０００８】

【発明が解決しようとする課題】しかしながら、この方
式では、公開鍵の数を非常に大きくしない限り低密度で
あるので、ＬＬＬ（Lenstra-Lenstra-Lovasz）アルゴリ
ズムを用いて公開鍵と暗号文とから直接平文を求める低
密度攻撃に弱い場合があるという問題があり、安全性の
面での更なる改良が望まれている。

【０００９】本発明は斯かる事情に鑑みてなされたもの
であり、上記従来例を改良して低密度攻撃に強く、安全
性を向上できる暗号化方法及び復号方法、この暗号化方
法を用いる暗号通信方法及び暗号通信システム、並び
に、この暗号化方法をコンピュータに実行させるための
プログラム及び記録媒体を提供することを目的とする。

【００１０】

【課題を解決するための手段】請求項１に係る暗号化方
法は、平文から暗号文を得る暗号化方法において、暗号
化すべき平文を分割してなる複数の成分を有する平文ベ
クトルに任意の乱数を複数の成分とする乱数ベクトルを
加えて合成ベクトルを作成し、該合成ベクトルの各成分
毎に予め準備されている複数の公開成分から任意の公開
成分を選択して暗号化鍵ベクトルを作成し、作成した前
記合成ベクトルと前記暗号化鍵ベクトルとを用いて暗号
文を得ることを特徴とする。

【００１１】請求項２に係る暗号化方法は、請求項１に
おいて、前記合成ベクトルの成分と前記暗号化鍵ベクト
ルの成分との積和演算結果、または、その積和演算結果
を法で割った剰余を暗号文とすることを特徴とする。

【００１２】請求項３に係る復号方法は、請求項１また
は２に記載の暗号化方法を用いて得られた暗号文を復号
する復号方法であって、前記平文ベクトルの成分を、前
記乱数ベクトルの成分とは独立的に復号することを特徴
とする。

【００１３】請求項４に係る暗号通信方法は、第１のエ
ンティティ側で、請求項１または２に記載の暗号化方法
に従って平文から暗号文を作成して第２のエンティティ
側へ伝送し、伝送された暗号文を該第２のエンティティ
側で平文に復号することにより、エンティティ間で情報
の通信を行う暗号通信方法であって、前記合成ベクトル
における前記平文ベクトルの成分または前記乱数ベクト
ルの成分の位置を前記第１のエンティティ側で設定し、
その設定した位置を示す情報を前記第２のエンティティ
側へ報知することを特徴とする。

【００１４】請求項５に係る暗号通信方法は、第１のエ
ンティティ側で、請求項１または２に記載の暗号化方法
に従って平文から暗号文を作成して第２のエンティティ
側へ伝送し、伝送された暗号文を該第２のエンティティ
側で平文に復号することにより、エンティティ間で情報
の通信を行う暗号通信方法であって、前記合成ベクトル
における前記平文ベクトルの成分または前記乱数ベクト
ルの成分の位置を前記第２のエンティティ側で設定し、
その設定した位置を示す情報を前記第１のエンティティ
側へ報知することを特徴とする。

【００１５】請求項６に係る暗号通信システムは、両エ
ンティティ間で暗号文による情報通信を行う暗号通信シ
ステムにおいて、請求項１または２にに記載の暗号化方
法を用いて平文から暗号文を作成する暗号化器と、作成
した暗号文を第１のエンティティから第２のエンティテ
ィへ送信する通信路と、送信された暗号文から平文を復
号する復号器とを備えることを特徴とする。

【００１６】請求項７に係るプログラムは、コンピュー
タに、平文から暗号文を得ることを実行させるためのプ
ログラムにおいて、暗号化すべき平文を分割してなる複
数の成分を有する平文ベクトルに任意の乱数を複数の成
分とする乱数ベクトルを加えて合成ベクトルを得る手順
と、該合成ベクトルの各成分毎に予め準備されている複
数の公開成分から任意の公開成分を選択して暗号化鍵ベ
クトルを得る手順と、前記合成ベクトルと前記暗号化鍵
ベクトルとを用いて暗号文を得る手順とを、コンピュー
タに実行させることを特徴とする。

【００１７】請求項８に係る記録媒体は、コンピュータ
に、平文から暗号文を得させるためのプログラムを記録
してあるコンピュータでの読み取りが可能な記録媒体に
おいて、暗号化すべき平文を分割してなる複数の成分を
有する平文ベクトルに任意の乱数を複数の成分とする乱
数ベクトルを加えて合成ベクトルを得ることをコンピュ
ータに実行させるプログラムコード手段と、該合成ベク
トルの各成分毎に予め準備されている複数の公開成分か
ら任意の公開成分を選択して暗号化鍵ベクトルを得るこ
とをコンピュータに実行させるプログラムコード手段
と、前記合成ベクトルと前記暗号化鍵ベクトルとを用い
て暗号文を得ることをコンピュータに実行させるプログ
ラムコード手段とを含むコンピュータプログラムを記録
してあることを特徴とする。

【００１８】暗号化すべき平文を分割してなる複数の成
分を有する平文ベクトルに特に暗号化を必要としない複
数の乱数成分からなる乱数ベクトルを付加して合成ベク
トルを作成する。また、合成ベクトルの成分毎に予め準
備されている複数の公開成分から任意の公開成分を選択
して暗号化鍵ベクトルを作成する。そして、このように
作成した合成ベクトルと暗号化鍵ベクトルとを用いて暗
号文を得る。より具体的には、合成ベクトルの成分と暗
号化鍵ベクトルの成分との積和演算結果、または、その
積和演算結果を法で割った剰余を暗号文とする。

【００１９】本発明では、平文に冗長性を持たせる、言
い換えると平文を退化させて暗号文を作成する。よっ
て、本発明では、暗号化が必要でない冗長部分（退化部
分）としての乱数ベクトルを平文ベクトルに付加してい
るため、暗号文の密度が高くなり、また、１つの平文ベ
クトルに対して非常に多数の合成ベクトルつまり非常に
多数の暗号文が存在するので、ＬＬＬアルゴリズムに基
づく低密度攻撃は非常に困難となる。また、本発明で
は、暗号化鍵ベクトルの成分を選択できるので、つま
り、送信者であるエンティティ側で自由に公開ベクトル
を選択して暗号文を作成できるので、その暗号化鍵ベク
トルの成分の選択の仕方が攻撃者には不明であるため、
攻撃は困難になる。この結果、安全性が向上する。

【００２０】

【発明の実施の形態】以下、本発明の実施の形態につい
て具体的に説明する。図１は、本発明による暗号化方法
をエンティティａ，ｂ間の情報通信に利用した状態を示
す模式図である。図１の例では、一方のエンティティａ
が、暗号化器１にて平文ｘを暗号文Ｃに暗号化し、通信
路３を介してその暗号文Ｃを他方のエンティティｂへ送
信し、エンティティｂが、復号器２にてその暗号文Ｃを
元の平文ｘに復号する場合を示している。

【００２１】まず、以下のようなことを定義する。 〈定義１（インデックス集合）〉ベクトルｓ＝（ｓ₁ ，
ｓ₂ ，・・・，ｓ_f ）をｆ次元の２値ベクトルとする。
ベクトルｓのインデックス集合を下添え字ｉとしてｓ_i
＝１と定義する。即ち、ベクトルｓのインデックス集合
であるｉｎｄｅｘ（ベクトルｓ）は、下記（１）のよう
に定義される。 ｉｎｄｅｘ（ベクトルｓ）＝｛ｉＩｓ_i ＝１｝ …（１）

【００２２】また、本発明において重要な処理である
（伸長）と（抜き出し）とについて定義する。以下の定
義２〜４に関して、ベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・
・，ｓ_f）を重みｕのｆ次元２値ベクトルとする。ま
た、ベクトルｍ＝（ｍ₁ ，ｍ₂ ，・・・，ｍ_u ），ベク
トルｍ″′＝（ｍ₁ ″′，ｍ₂ ″′，・・・，
ｍ_f ″′）を夫々負でない整数を成分とするｕ次元，ｆ
次元のベクトルとする。

【００２３】〈定義２（ベクトル表現）〉添数集合Ｉ
は、｛１，２，・・・，ｆ｝の部分集合であり、ベクト
ルｂ＝ｖｅｃｔｏｒ（Ｉ，ｆ）の演算を下記（２）のよ
うに定義する。但し、ベクトルｂ＝（ｂ₁ ，ｂ₂ ，・・
・，ｂ_f ）である。例えば、Ｉ＝ｉｎｄｅｘ（ベクトル
ｓ）であれば、ベクトルｓ＝ｖｅｃｔｏｒ（Ｉ，ｆ）で
ある。

【００２４】

【数１】

【００２５】〈定義３（伸長）〉演算としてのベクトル
ｍ″′＝ベクトルｍ｛ベクトルｓ｝を、下記（３）のよ
うに定義する。但し、ｉ₁ ＜ｉ₂ ＜・・・＜ｉ_u であ
り、ベクトルバーｓばベクトルｓのビット補数を示す。

【００２６】

【数２】

【００２７】この演算を、ベクトルｓによるベクトルｍ
の伸長と称する。例えば、ベクトルｍ＝（ｍ₁ ，ｍ₂ ，
ｍ₃ ），ベクトルｓ＝（１，０，１，１）である場合
に、ベクトルｍ｛ベクトルｓ｝＝（ｍ₁ ，０，ｍ₂ ，ｍ
₃ ）となる。

【００２８】〈定義４（抜き出し）〉演算としてのベク
トルｍ＝ベクトルｍ″′［ベクトルｓ］を、下記（４）
のように定義する。但し、ｉ₁ ＜ｉ₂ ＜・・・＜ｉ_u ∈
ｉｎｄｅｘ（ベクトルｓ）であり、ｉ₁ ＜ｉ₂ ＜・・・
＜ｉ_u である。

【００２９】

【数３】

【００３０】この演算を、ベクトルｓによるベクトル
ｍ″′の抜き出しと称する。例えば、ベクトルｍ″′＝
（ｍ₁ ″′，ｍ₂ ″′，ｍ₃ ″′，ｍ₄ ″′），ベクト
ルｓ＝（１，０，１，１）である場合に、第１，第３及
び第４成分が抜き出されて、ベクトルｍ″′［ベクトル
ｓ］＝（ｍ₁ ″′，ｍ₃ ″′，ｍ₄ ″′）となる。明ら
かに、（ベクトルｍ｛ベクトルｓ｝）［ベクトルｓ］＝
ベクトルｍが成立する。しかしながら、（ベクトル
ｍ″′［ベクトルｓ］）｛ベクトルｓ｝＝ベクトル
ｍ″′は一般的に成立しない。

【００３１】（第１実施の形態）インデックス集合Ｉを
下記（５）のように定義し、その部分集合であるＩ_N ⊂
Ｉ，Ｉ_R ⊂Ｉを下記（６），（７）を満たすように定義
する。

【００３２】

【数４】

【００３３】公開鍵をｎ次元の整数ベクトルａ_j ＝（ａ
_j1，ａ_j2，・・・，ａ_jn）（ｊ＝０，１）とする。平文
をｕ次元のベクトルｍ＝（ｍ₁ ，ｍ₂ ，・・・，ｍ_u ）
（但し、各ｍ_i はｅビットの正の整数）とする。このベ
クトルｍを平文ベクトルと称する。ｈ＝ｎ−ｕと置く。
第１実施の形態では、各成分がｅビットの正の整数から
なるｈ次元の整数ベクトルｒ＝（ｒ₁ ，ｒ₂ ，・・・，
ｒ_h ）を送信者がランダムに生成する。ここで、平文ベ
クトルｍと乱数ベクトルｒとを連結することにより、下
記（８）のようにｎ次元のベクトルｍ′＝（ｍ₁ ′，ｍ
₂ ′，・・・，ｍ_n ′）を定義する。

【００３４】

【数５】

【００３５】但し、ベクトルｚ＝ｖｅｃｔｏｒ（Ｉ_N ，
ｎ）であり、ベクトルバーｚはベクトルｚのビット補数
を示す。このベクトルｍ′を伸長平文ベクトル（合成ベ
クトル）と称する。

【００３６】〔鍵〕鍵を以下のように設定する。 基数：ｄ_i 秘密鍵：ｖ_i ′，ｖ_ji，Ｐ，ｗ 公開鍵：ベクトルａ_j ＝（ａ_j1，ａ_j2，・・・，ａ_jn） 公開情報：ｅ，ｕ，ｎ，Ｉ_N ，Ｉ_R（但し、ｉ∈Ｉでｊ
＝０，１）

【００３７】〔鍵生成〕ｄ_i は、正の整数であって基数
と称され、以下の条件を満足するように生成される。 (a) すべてのｉについて基数ｄ_i は互いに素である。 (b) ｄ_i の大きさは下記（９）の関係を満たす。

【００３８】

【数６】

【００３９】但し、δ_i 及びε_i は、１≪δ_i ≪２^e ，
１≪ε_i ≪２^f 及びｅ＞ｆを満たす適当な正の整数であ
る。好ましいδ_i ，ε_i の値は夫々ｅ／２，ｆ／２であ
る。最後の条件は密度損失を減らすために必要である。

【００４０】ｖ_i ′は、ｇｃｄ（ｄ_i ，ｖ_i ′）＝１
（但し、ｉ∈Ｉで０≦ｖ_i ′＜ｄ_i ）を満たすようにラ
ンダムに選択された整数である。ｒ_jiをランダムに選択
した正の整数の係数として、ｖ_jiを下記（10）のように
設定する（但し、ｉ∈Ｉでｊ＝０，１）。 ｖ_ji＝ｒ_jiｄ_i ＋ｖ_i ′ …（10）

【００４１】ここで、各ｉについてＶ_i ′を下記（11）
のように設定すると共に、各ｉ，ｊについてＶ_jiを下記
（12）のように設定する。

【００４２】

【数７】

【００４３】ｎ次元の２値ベクトルであって以下では選
択子と称するベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・・，
ｓ_n ）を設定する。中間平文Ｍは、ベクトルｓを用いて
伸長平文ベクトルｍ′に対して、下記（13）のように定
義される。

【００４４】

【数８】

【００４５】ここで、Ｍの最大値をＭ_max とする。伸長
平文ベクトルｍ′のすべての成分がｅビットの正の整数
であることに注目すると、Ｍ_max は下記（14）のように
して得られる。

【００４６】

【数９】

【００４７】正確な復号を行えるために、Ｍ_max ＜Ｐを
満たす大きな素数Ｐを選択する。これは、すべての伸長
平文ベクトルｍ′及び選択子ベクトルｓについてＭ＜Ｐ
を満たすことを意味する。ｗをＺ^* _P 中のランダムに選
択した要素として、公開鍵ベクトルａ_j ＝（ａ_j1，
ａ_j2，・・・，ａ_jn）の成分はｉ∈Ｉ，ｊ＝０，１にお
いて下記（15）のように与えられる。 ａ_ji＝ｗＶ_ji modＰ …（15）

【００４８】そして、受信者は、公開鍵ベクトルａ₀ ，
ａ₁ とｕ，ｎ及びｅとを公開する。

【００４９】〔暗号化〕送信者は、各成分がランダムに
選択されたｅビットの正の整数であるｈ次元のベクトル
ｒ＝（ｒ₁ ，ｒ₂ ，・・・，ｒ_h ）（ｈ＝ｎ−ｕ）を生
成する。平文ベクトルｍを、下記（16）のように伸長平
文ベクトルｍ′に変換する。

【００５０】

【数１０】

【００５１】また送信者は、選択子となるｎ次元の２値
ベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・・，ｓ_n ）をランダム
に生成する。選択子ベクトルｓの情報に基づいて、暗号
化鍵ベクトルａを下記（17）のように決定する。そし
て、暗号文Ｃを下記（18）のように作成する。

【００５２】

【数１１】

【００５３】〔復号〕すべてのベクトルｍ′についてＭ
＜Ｐが満たされているので、中間平文Ｍを下記（19）の
ように得る。 Ｍ＝ｗ^-1Ｃ modＰ …（19）

【００５４】ここで、各ｉ及びｊに対して下記（20）の
等式が成立する。基数の条件からすべてのｉについてｇ
ｃｄ（ｄ_i ，Ｖ_i ）＝１が成立する。ｎ次元のベクトル
ｍ″＝（ｍ₁ ″，ｍ₂ ″，・・・，ｍ_n ″）を、各ｉに
ついて下記（21）のように得る。ここで、この復号は並
列処理にて高速に行える。

【００５５】

【数１２】

【００５６】上記（９）から下記（22）のようになる。
平文ベクトルｍは正しく復元可能であるが、乱数ベクト
ルｒは復元できていない。しかしながら、この乱数ベク
トルｒは復号する必要がないので問題はない。

【００５７】

【数１３】

【００５８】（第２実施の形態）次に、第１実施の形態
の改良型であって、線型ジオファンタス方程式を解くこ
との困難さを利用している第２実施の形態について説明
する。インデックス集合Ｉを下記（23）のように定義
し、その部分集合であるＩ_N ⊂Ｉ，Ｉ_R ⊂Ｉを下記（2
4），（25）を満たすように定義する。

【００５９】

【数１４】

【００６０】公開鍵をｎ次元の整数ベクトルａ_j ＝（ａ
_j1，ａ_j2，・・・，ａ_jn）（ｊ＝０，１）とする。平文
をｕ次元のベクトルｍ＝（ｍ₁ ，ｍ₂ ，・・・，ｍ_u ）
（但し、各ｍ_i はｅビットの正の整数）とする。このベ
クトルｍを平文ベクトルと称する。ｈ＝ｎ−ｕと置く。
第２実施の形態では、各成分がｅビットの正の整数から
なるｈ次元の整数ベクトルｒ＝（ｒ₁ ，ｒ₂ ，・・・，
ｒ_h ）を送信者がランダムに生成する。ここで、平文ベ
クトルｍと乱数ベクトルｒとを連結することにより、下
記（26）のようにｎ次元のベクトルｍ′＝（ｍ₁ ′，ｍ
₂ ′，・・・，ｍ_n ′）を定義する。

【００６１】

【数１５】

【００６２】但し、ベクトルｚ＝ｖｅｃｔｏｒ（Ｉ_N ，
ｎ）であり、ベクトルバーｚはベクトルｚのビット補数
を示す。このベクトルｍ′を伸長平文ベクトル（合成ベ
クトル）と称する。

【００６３】〔鍵〕第２実施の形態における鍵を以下の
ように設定する。 基数：ｄ_Pi，ｄ_Qi 秘密鍵：ｖ_Pi′，ｖ_Qi′，ｖ_Pji ，ｖ_Qji ，Ｐ，Ｑ，
Ｎ，ｗ 公開鍵：ベクトルａ_j ＝（ａ_j1，ａ_j2，・・・，ａ_jn） 公開情報：ｅ，ｕ，ｎ，Ｉ_N ，Ｉ_R （但し、ｉ∈Ｉでｊ＝０，１）

【００６４】〔鍵生成〕ｄ_Pi，ｄ_Qiは、正の整数であっ
て基数と称され、以下の条件を満足するように生成され
る。 (a) すべてのｉについて基数ｄ_Piは互いに素であり、同
様にすべてのｉについて基数ｄ_Qiは互いに素である。 (b) 各ｉについてｄ_Piとｄ_Qiとは互いに素である。 (c) 積ｄ_Piｄ_Qiの大きさは下記（27）の関係を満たす。

【００６５】

【数１６】

【００６６】但し、δ_i 及びε_i は、１≪δ_i ≪２^e ，
１≪ε_i ≪２^f 及びｅ＞ｆを満たす適当な正の整数であ
る。好ましいδ_i ，ε_i の値は夫々ｅ／２，ｆ／２であ
る。最後の条件は密度損失を減らすために必要である。

【００６７】ｖ_Pi′，ｖ_Qi′は、ｇｃｄ（ｄ_Pi，
ｖ_Pi′）＝１，ｇｃｄ（ｄ_Qi，ｖ_Qi′）＝１（但し、ｉ
∈Ｉで０≦ｖ_Pi′＜ｄ_Piかつ０≦ｖ_Qi′＜ｄ_Qi）を満た
すようにランダムに選択された整数である。ｒ_Pji 及び
ｒ_Qji をランダムに選択した正の整数の係数として、ｖ
_Pji ，ｖ_Qji を下記（28），（29）のように設定する
（但し、ｉ∈Ｉでｊ＝０，１）。 ｖ_Pji ＝ｒ_Pji ｄ_Pi＋ｖ_Pi′ …（28） ｖ_Qji ＝ｒ_Qji ｄ_Qi＋ｖ_Qi′ …（29）

【００６８】ここで、各ｉについてＶ_Pi′，Ｖ_Qi′を下
記（30），（31）のように設定すると共に、各ｉ，ｊに
ついてＶ_Pji ，Ｖ_Qji を下記（32），（33）のように設
定する。

【００６９】

【数１７】

【００７０】ｎ次元の２値ベクトルであって以下では選
択子と称するベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・・，
ｓ_n ）を設定する。中間平文Ｍ_P ，Ｍ_Q は、ベクトルｓ
を用いた伸長平文ベクトルｍ′に対して、下記（34），
（35）のように定義される。

【００７１】

【数１８】

【００７２】ここで、Ｍ_P ，Ｍ_Q の最大値を夫々
Ｍ_Pmax，Ｍ_Qmaxとする。伸長平文ベクトルｍ′のすべて
の成分がｅビットの正の整数であることに注目すると、
Ｍ_Pmax，Ｍ _Qmaxは夫々下記（36），（37）のようにして
得られる。

【００７３】

【数１９】

【００７４】正確な復号を行えるために、Ｍ_Pmax＜Ｐ，
Ｍ_Qmax＜Ｑを満たす大きな素数Ｐ，Ｑを選択する。これ
は、すべての伸長平文ベクトルｍ′及び選択子ベクトル
ｓについてＭ_P ＜Ｐ，Ｍ_Q ＜Ｑを満たすことを意味す
る。

【００７５】Ｎ＝ＰＱとして、０≦Ｖ_ji＜ＮであるＶ_ji
を中国人の剰余定理により下記（38）のように算出す
る。

【００７６】

【数２０】

【００７７】ｗをＺ^* _P 中のランダムに選択した要素と
して、公開鍵ベクトルａ_j ＝（ａ_j1，ａ_j2，・・・，ａ
_jn）の成分はｉ∈Ｉ，ｊ＝０，１において下記（39）の
ように与えられる。 ａ_ji＝ｗＶ_ji modＮ …（39）

【００７８】そして、受信者は、公開鍵ベクトルａ₀ ，
ａ₁ とｕ，ｎ及びｅとを公開する。

【００７９】〔暗号化〕送信者は、各成分がランダムに
選択されたｅビットの正の整数であるｈ次元のベクトル
ｒ＝（ｒ₁ ，ｒ₂ ，・・・，ｒ_h ）（ｈ＝ｎ−ｕ）を生
成する。平文ベクトルｍを、下記（40）のように伸長平
文ベクトルｍ′に変換する。

【００８０】

【数２１】

【００８１】また送信者は、選択子となるｎ次元の２値
ベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・・，ｓ_n ）をランダム
に生成する。選択子ベクトルｓの情報に基づいて、暗号
化鍵ベクトルａを下記（41）のように決定する。そし
て、暗号文Ｃを下記（42）のように作成する。

【００８２】

【数２２】

【００８３】〔復号〕すべてのベクトルｍ′についてＭ
_P ＜Ｐ，Ｍ_Q ＜Ｑが満たされているので、中間平文
Ｍ_P ，Ｍ_Q を下記（43），（44）のように得る。 Ｍ_P ＝ｗ^-1Ｃ modＰ …（43） Ｍ_Q ＝ｗ^-1Ｃ modＱ …（44）

【００８４】ここで、各ｉ及びｊに対して下記（45），
（46）の等式が成立する。基数の条件からすべてのｉに
ついてｇｃｄ（ｄ_Pi，Ｖ_Pi）＝１，ｇｃｄ（ｄ_Qi，
Ｖ_Qi）＝１が成立する。よって、受信者は、各ｉについ
て、ｍ_Pi，ｍ_Qiを下記（47），（48）のように演算す
る。

【００８５】

【数２３】

【００８６】すべてのｉにおいて成分ｍ_i ″が０≦
ｍ_i ″＜ｄ_Piｄ_Qiを満たすｎ次元のベクトルｍ″＝（ｍ
₁ ″，ｍ₂ ″，・・・，ｍ_n ″）を、中国人の剰余定理
により下記（49）のように得る。ここで、この復号は並
列処理にて高速に行える。

【００８７】

【数２４】

【００８８】上記（27）から下記（50）のようになる。
平文ベクトルｍは正しく復元可能であるが、乱数ベクト
ルｒは復元できていない。しかしながら、この乱数ベク
トルｒは復号する必要がないので問題はない。

【００８９】

【数２５】

【００９０】（第３実施の形態）インデックス集合Ｉを
下記（51）のように定義し、その部分集合であるＩ_N ⊂
Ｉ，Ｉ_R ⊂Ｉを下記（52），（53）を満たすように定義
する。

【００９１】

【数２６】

【００９２】公開鍵をｎ次元の整数ベクトルａ_j ＝（ａ
_j1，ａ_j2，・・・，ａ_jn）（ｊ＝０，１）とする。平文
をｕ次元のベクトルｍ＝（ｍ₁ ，ｍ₂ ，・・・，ｍ_u ）
（但し、各ｍ_i はｅビットの正の整数）とする。このベ
クトルｍを平文ベクトルと称する。ｈ＝ｎ−ｕと置く。
第３実施の形態では、各成分がｇ（ｇ＞ｅ）ビットの正
の整数からなるｈ次元の整数ベクトルｒ＝（ｒ₁ ，
ｒ₂ ，・・・，ｒ_h ）を送信者がランダムに生成する。
ここで、平文ベクトルｍと乱数ベクトルｒとを連結する
ことにより、下記（54）のようにｎ次元のベクトルｍ′
＝（ｍ₁ ′，ｍ₂ ′，・・・，ｍ_n ′）を定義する。

【００９３】

【数２７】

【００９４】但し、ベクトルｚ＝ｖｅｃｔｏｒ（Ｉ_N ，
ｎ）であり、ベクトルバーｚはベクトルｚのビット補数
を示す。このベクトルｍ′を伸長平文ベクトル（合成ベ
クトル）と称する。

【００９５】〔鍵〕第３実施の形態における鍵を以下の
ように設定する。 基数：ｄ_i 秘密鍵：ｖ_i ′，ｖ_ji，Ｐ，ｗ 公開鍵：ベクトルａ_j ＝（ａ_j1，ａ_j2，・・・，ａ_jn） 公開情報：ｅ，ｇ，ｕ，ｎ （但し、ｉ∈Ｉでｊ＝０，１）

【００９６】〔モード〕 (a) Ｉ_N は公開情報であって、受信者がＩ_N を決定して
それを公開する。 (b) Ｉ_N は秘密情報、Ｉ_L （Ｉ_L ⊂Ｉ_N ）は公開情報で
あって、送信者がＩ_Nを決定してそれを秘密的にｍ_i ∈
Ｉ_L にして送る。 (c) Ｉ_N 及びＩ_L （Ｉ_L ⊂Ｉ_N ）のｔ番目（ｔ＝１，
２，・・・）のブロックを夫々、Ｉ_Nt及びＩ_Lt（Ｉ_Lt⊂
Ｉ_Nt）とする。Ｉ_N1，Ｉ_N2，・・・とＩ_L2，Ｉ_L3，・・
・とは秘密情報、Ｉ_L1は公開情報であって、送信者がＩ
_NtとＩ_L,t+1 とを決定してそれを秘密的にｍ_i ∈Ｉ_Ltに
して送る。

【００９７】〔鍵生成〕ｄ_i は、正の整数であって基数
と称され、以下の条件を満足するように生成される。 (a) すべてのｉについて基数ｄ_i は互いに素である。 (b) ｄ_i の大きさは下記（55）の関係を満たす。 ｄ_i ＝２^e ＋δ_i （ｉ∈Ｉ） …（55） 但し、δ_i は、１≪δ_i ≪２^e を満たす適当な正の整数
である。好ましいδ_iの値はｅ／２である。最後の条件
は密度損失を減らすために必要である。

【００９８】ｖ_i ′は、ｇｃｄ（ｄ_i ，ｖ_i ′）＝１
（但し、ｉ∈Ｉで０≦ｖ_i ′＜ｄ_i ）を満たすようにラ
ンダムに選択された整数である。ｒ_jiをランダムに選択
した正の整数の係数として、ｖ_jiを下記（56）のように
設定する（但し、ｉ∈Ｉでｊ＝０，１）。 ｖ_ji＝ｒ_jiｄ_i ＋ｖ_i ′ …（56）

【００９９】ここで、各ｉについてＶ_i ′を下記（57）
のように設定すると共に、各ｉ，ｊについてＶ_jiを下記
（58）のように設定する。

【０１００】

【数２８】

【０１０１】ｎ次元の２値ベクトルであって以下では選
択子と称するベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・・，
ｓ_n ）を設定する。中間平文Ｍは、ベクトルｓを用いた
伸長平文ベクトルｍ′に対して、下記（59）のように定
義される。

【０１０２】

【数２９】

【０１０３】ここで、Ｍの最大値をＭ_max とする。伸長
平文ベクトルｍ′において、平文ベクトルｍ由来のすべ
ての成分がｅビットの正の整数、乱数ベクトルｒ由来の
すべての成分がｇビットの正の整数であることに注目す
ると、Ｍ_max は下記（60）のようにして得られる。

【０１０４】

【数３０】

【０１０５】正確な復号を行えるために、Ｍ_max ＜Ｐを
満たす大きな素数Ｐを選択する。これは、すべての伸長
平文ベクトルｍ′及び選択子ベクトルｓについてＭ＜Ｐ
を満たすことを意味する。ｗをＺ^* _P 中のランダムに選
択した要素として、公開鍵ベクトルａ_j ＝（ａ_j1，
ａ_j2，・・・，ａ_jn）の成分はｉ∈Ｉ，ｊ＝０，１にお
いて下記（61）のように与えられる。 ａ_ji＝ｗＶ_ji modＰ …（61）

【０１０６】そして、受信者は、公開鍵ベクトルａ₀ ，
ａ₁ とｕ，ｎ及びｅとを公開する。

【０１０７】〔暗号化〕送信者は、各成分がランダムに
選択されたｇ（ｇ＞ｅ）ビットの正の整数であるｈ次元
のベクトルｒ＝（ｒ₁ ，ｒ₂ ，・・・，ｒ_h ）（ｈ＝ｎ
−ｕ）を生成する。平文ベクトルｍを、下記（62）のよ
うに伸長平文ベクトルｍ′に変換する。

【０１０８】

【数３１】

【０１０９】また送信者は、選択子となるｎ次元の２値
ベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・・，ｓ_n ）をランダム
に生成する。選択子ベクトルｓの情報に基づいて、暗号
化鍵ベクトルａを下記（63）のように決定する。そし
て、暗号文Ｃを下記（64）のように作成する。

【０１１０】

【数３２】

【０１１１】〔復号〕すべてのベクトルｍ′についてＭ
＜Ｐが満たされているので、中間平文Ｍを下記（64）の
ように得る。 Ｍ＝ｗ^-1Ｃ modＰ …（64）

【０１１２】ここで、各ｉ及びｊに対して下記（65）の
等式が成立する。基数の条件からすべてのｉについてｇ
ｃｄ（ｄ_i ，Ｖ_i ）＝１が成立する。ｎ次元のベクトル
ｍ″＝（ｍ₁ ″，ｍ₂ ″，・・・，ｍ_n ″）を、各ｉに
ついて下記（66）のように得る。ここで、この復号は並
列処理にて高速に行える。

【０１１３】

【数３３】

【０１１４】上記（55）から下記（67）のようになる。
平文ベクトルｍは正しく復元可能であるが、乱数ベクト
ルｒは復元できていない。しかしながら、この乱数ベク
トルｒは復号する必要がないので問題はない。

【０１１５】

【数３４】

【０１１６】（第４実施の形態）次に、第３実施の形態
の改良型であって、線型ジオファンタス方程式を解くこ
との困難さを利用している第４実施の形態について説明
する。インデックス集合Ｉを下記（68）のように定義
し、その部分集合であるＩ_N ⊂Ｉ，Ｉ_R ⊂Ｉを下記（6
9），（70）を満たすように定義する。

【０１１７】

【数３５】

【０１１８】公開鍵をｎ次元の整数ベクトルａ_j ＝（ａ
_j1，ａ_j2，・・・，ａ_jn）（ｊ＝０，１）とする。平文
をｕ次元のベクトルｍ＝（ｍ₁ ，ｍ₂ ，・・・，ｍ_u ）
（但し、各ｍ_i はｅビットの正の整数）とする。このベ
クトルｍを平文ベクトルと称する。ｈ＝ｎ−ｕと置く。
第４実施の形態では、各成分がｇ（ｇ＞ｅ）ビットの正
の整数からなるｈ次元の整数ベクトルｒ＝（ｒ₁ ，
ｒ₂ ，・・・，ｒ_h ）を送信者がランダムに生成する。
ここで、平文ベクトルｍと乱数ベクトルｒとを連結する
ことにより、下記（71）のようにｎ次元のベクトルｍ′
＝（ｍ₁ ′，ｍ₂ ′，・・・，ｍ_n ′）を定義する。

【０１１９】

【数３６】

【０１２０】但し、ベクトルｚ＝ｖｅｃｔｏｒ（Ｉ_N ，
ｎ）であり、ベクトルバーｚはベクトルｚのビット補数
を示す。このベクトルｍ′を伸長平文ベクトル（合成ベ
クトル〕と称する。

【０１２１】〔鍵〕第４実施の形態における鍵を以下の
ように設定する。 基数：ｄ_Pi，ｄ_Qi 秘密鍵：ｖ_Pi′，ｖ_Qi′，ｖ_Pji ，ｖ_Qji ，Ｐ，Ｑ，
Ｎ，ｗ 公開鍵：ベクトルａ_j ＝（ａ_j1，ａ_j2，・・・，ａ_jn） 公開情報：ｅ，ｇ，ｕ，ｎ （但し、ｉ∈Ｉでｊ＝０，１）

【０１２２】〔モード〕 (a) Ｉ_N は公開情報であって、受信者がＩ_N を決定して
それを公開する。 (b) Ｉ_N は秘密情報、Ｉ_L （Ｉ_L ⊂Ｉ_N ）は公開情報で
あって、送信者がＩ_Nを決定してそれを秘密的にｍ_i ∈
Ｉ_L にして送る。 (c) Ｉ_N 及びＩ_L （Ｉ_L ⊂Ｉ_N ）のｔ番目（ｔ＝１，
２，・・・）のブロックを夫々、Ｉ_Nt及びＩ_Lt（Ｉ_Lt⊂
Ｉ_Nt）とする。Ｉ_N1，Ｉ_N2，・・・とＩ_L2，Ｉ_L3，・・
・とは秘密情報、Ｉ_L1は公開情報であって、送信者がＩ
_NtとＩ_L,t+1 とを決定してそれを秘密的にｍ_i ∈Ｉ_Ltに
して送る。

【０１２３】〔鍵生成〕ｄ_Pi，ｄ_Qiは、正の整数であっ
て基数と称され、以下の条件を満足するように生成され
る。 (a) すべてのｉについて基数ｄ_Piは互いに素であり、同
様にすべてのｉについて基数ｄ_Qiは互いに素である。 (b) 各ｉについてｄ_Piとｄ_Qiとは互いに素である。 (c) 積ｄ_Piｄ_Qiの大きさは下記（72）の関係を満たす。 ｄ_Piｄ_Qi＝２^e ＋δ_i （ｉ∈Ｉ） …（72） 但し、δ_i は、１≪δ_i ≪２^e を満たす適当な正の整数
である。好ましいδ_iの値はｅ／２である。最後の条件
は密度損失を減らすために必要である。

【０１２４】ｖ_Pi′，ｖ_Qi′は、ｇｃｄ（ｄ_Pi，
ｖ_Pi′）＝１，ｇｃｄ（ｄ_Qi，ｖ_Qi′）＝１（但し、ｉ
∈Ｉで０≦ｖ_Pi′＜ｄ_Piかつ０≦ｖ_Qi′＜ｄ_Qi）を満た
すようにランダムに選択された整数である。ｒ_Pji 及び
ｒ_Qji をランダムに選択した正の整数の係数として、ｖ
_Pji ，ｖ_Qji を下記（73），（74）のように設定する
（但し、ｉ∈Ｉでｊ＝０，１）。 ｖ_Pji ＝ｒ_Pji ｄ_Pi＋ｖ_Pi′ …（73） ｖ_Qji ＝ｒ_Qji ｄ_Qi＋ｖ_Qi′ …（74）

【０１２５】ここで、各ｉについてＶ_Pi′，Ｖ_Qi′を下
記（75），（76）のように設定すると共に、各ｉ，ｊに
ついてＶ_Pji ，Ｖ_Qji を下記（77），（78）のように設
定する。

【０１２６】

【数３７】

【０１２７】ｎ次元の２値ベクトルであって以下では選
択子と称するベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・・，
ｓ_n ）を設定する。中間平文Ｍ_P ，Ｍ_Q は、ベクトルｓ
を用いて伸長平文ベクトルｍ′に対して、下記（79），
（80）のように定義される。

【０１２８】

【数３８】

【０１２９】ここで、Ｍ_P ，Ｍ_Q の最大値を夫々
Ｍ_Pmax，Ｍ_Qmaxとする。伸長平文ベクトルｍ′におい
て、平文ベクトルｍ由来のすべての成分がｅビットの正
の整数、乱数ベクトルｒ由来のすべての成分がｇビット
の正の整数であることに注目すると、Ｍ_Pmax，Ｍ_Qmaxは
夫々下記（81），（82）のようにして得られる。

【０１３０】

【数３９】

【０１３１】正確な復号を行えるために、Ｍ_Pmax＜Ｐ，
Ｍ_Qmax＜Ｑを満たす大きな素数Ｐ，Ｑを選択する。これ
は、すべての伸長平文ベクトルｍ′及び選択子ベクトル
ｓについてＭ_P ＜Ｐ，Ｍ_Q ＜Ｑを満たすことを意味す
る。

【０１３２】Ｎ＝ＰＱとして、０≦Ｖ_ji＜ＮであるＶ_ji
を中国人の剰余定理により下記（83）のように算出す
る。

【０１３３】

【数４０】

【０１３４】ｗをＺ^* _P 中のランダムに選択した要素と
して、公開鍵ベクトルａ_j ＝（ａ_j1，ａ_j2，・・・，ａ
_jn）の成分はｉ∈Ｉ，ｊ＝０，１において下記（84）の
ように与えられる。 ａ_ji＝ｗＶ_ji modＮ …（84）

【０１３５】そして、受信者は、公開鍵ベクトルａ₀ ，
ａ₁ とｕ，ｎ及びｅとを公開する。

【０１３６】〔暗号化〕送信者は、各成分がランダムに
選択されたｇ（ｇ＞ｅ）ビットの正の整数であるｈ次元
のベクトルｒ＝（ｒ₁ ，ｒ₂ ，・・・，ｒ_h ）（ｈ＝ｎ
−ｕ）を生成する。平文ベクトルｍを、下記（85）のよ
うに伸長平文ベクトルｍ′に変換する。

【０１３７】

【数４１】

【０１３８】また送信者は、選択子となるｎ次元の２値
ベクトルｓ＝（ｓ₁ ，ｓ₂ ，・・・，ｓ_n ）をランダム
に生成する。選択子ベクトルｓの情報に基づいて、暗号
化鍵ベクトルａを下記（86）のように決定する。そし
て、暗号文Ｃを下記（87）のように作成する。

【０１３９】

【数４２】

【０１４０】〔復号〕すべてのベクトルｍ′についてＭ
_P ＜Ｐ，Ｍ_Q ＜Ｑが満たされているので、中間平文
Ｍ_P ，Ｍ_Q を下記（88），（89）のように得る。 Ｍ_P ＝ｗ^-1Ｃ modＰ …（88） Ｍ_Q ＝ｗ^-1Ｃ modＱ …（89）

【０１４１】ここで、各ｉ及びｊに対して下記（90），
（91）の等式が成立する。基数の条件からすべてのｉに
ついてｇｃｄ（ｄ_Pi，Ｖ_Pi）＝１，ｇｃｄ（ｄ_Qi，
Ｖ_Qi）＝１が成立する。よって、受信者は、各ｉについ
て、ｍ_Pi，ｍ_Qiを下記（92），（93）のように演算す
る。

【０１４２】

【数４３】

【０１４３】すべてのｉにおいて成分ｍ_i ″が０≦
ｍ_i ″＜ｄ_Piｄ_Qiを満たすｎ次元のベクトルｍ″＝（ｍ
₁ ″，ｍ₂ ″，・・・，ｍ_n ″）を、中国人の剰余定理
により下記（94）のように得る。ここで、この復号は並
列処理にて高速に行える。

【０１４４】

【数４４】

【０１４５】上記（72）から下記（95）のようになる。
平文ベクトルｍは正しく復元可能であるが、乱数ベクト
ルｒは復元できていない。しかしながら、この乱数ベク
トルｒは復号する必要がないので問題はない。

【０１４６】

【数４５】

【０１４７】図２は、本発明の記録媒体の実施の形態の
構成を示す図である。ここに例示するプログラムは、上
述した暗号化方式の手順に従って、平文ベクトルｍと乱
数ベクトルｒとから伸長平文ベクトルｍ′を得る処理
と、暗号化鍵ベクトルａを選択する処理と、この伸長平
文ベクトルｍ′と暗号化鍵ベクトルａとの内積計算によ
り暗号文Ｃを作成する処理とを含んでおり、以下に説明
する記録媒体に記録されている。なお、コンピュータ10
は、送信側のエンティティに設けられている。

【０１４８】図２において、コンピュータ10とオンライ
ン接続する記録媒体11は、コンピュータ10の設置場所か
ら隔たって設置される例えばＷＷＷ(World Wide Web)の
サーバコンピュータを用いてなり、記録媒体11には前述
の如きプログラム11a が記録されている。記録媒体11か
ら通信線等の伝送媒体14を介して読み出されたプログラ
ム11a がコンピュータ10を制御することにより、コンピ
ュータ10が暗号文Ｃを作成する。

【０１４９】コンピュータ10の内部に設けられた記録媒
体12は、内蔵設置される例えばハードディスクドライブ
またはＲＯＭなどを用いてなり、記録媒体12には前述の
如きプログラム12a が記録されている。記録媒体12から
読み出されたプログラム12aがコンピュータ10を制御す
ることにより、コンピュータ10が暗号文Ｃを作成する。

【０１５０】コンピュータ10に設けられたディスクドラ
イブ10a に装填して使用される記録媒体13は、運搬可能
な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフレキシ
ブルディスクなどを用いてなり、記録媒体13には前述の
如きプログラム13a が記録されている。記録媒体13から
読み出されたプログラム13a がコンピュータ10を制御す
ることにより、コンピュータ10が暗号文Ｃを作成する。

【０１５１】

【発明の効果】以上のように、本発明では、暗号化すべ
き平文を分割してなる平文ベクトルに、複数の任意の乱
数を成分とする乱数ベクトルを加えた合成ベクトルと、
合成ベクトルの各成分毎に予め準備されている複数の公
開成分から任意の公開成分を選択して得られた暗号化鍵
ベクトルとを用いて暗号文を得るようにしたので、暗号
化が必要でない乱数からなる冗長部分（退化部分）を付
加しているため、暗号文の密度を大きくでき、ＬＬＬア
ルゴリズムに基づく低密度攻撃に対して強くなって安全
性を向上できる。また、その合成ベクトルにおける平文
ベクトルまたは乱数ベクトルの各成分の位置を、送信側
のエンティティまたは受信側のエンティティにて任意設
定できるようにしたので、攻撃者にとってその位置を見
つけることすら困難であり、安全性の更なる向上を図れ
る。更に、暗号化鍵ベクトルの複数の成分の選択の仕方
が攻撃者にとっては不明であって、攻撃を受けにくく、
この点でも安全性を向上できる。この結果、積和型暗号
の実用化の道を開くことに、本発明は大いに寄与でき
る。

【図面の簡単な説明】

【図１】２人のエンティティ間における情報の通信状態
を示す模式図である。

【図２】記録媒体の実施の形態の構成を示す図である。

【符号の説明】

１ 暗号化器 ２ 復号器 ３ 通信路 ａ，ｂ エンティティ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 村上 恭通 京都府京都市伏見区竹田向代町136番地 村田機械株式会社本社工場内 (72)発明者 笠原 正雄 大阪府箕面市粟生外院４丁目15番３号 Ｆターム(参考） 5J104 JA21 NA02 NA08

Claims (8)

【特許請求の範囲】
1. 【請求項１】 平文から暗号文を得る暗号化方法におい
   て、暗号化すべき平文を分割してなる複数の成分を有す
   る平文ベクトルに任意の乱数を複数の成分とする乱数ベ
   クトルを加えて合成ベクトルを作成し、該合成ベクトル
   の各成分毎に予め準備されている複数の公開成分から任
   意の公開成分を選択して暗号化鍵ベクトルを作成し、作
   成した前記合成ベクトルと前記暗号化鍵ベクトルとを用
   いて暗号文を得ることを特徴とする暗号化方法。
2. 【請求項２】 前記合成ベクトルの成分と前記暗号化鍵
   ベクトルの成分との積和演算結果、または、その積和演
   算結果を法で割った剰余を暗号文とする請求項１に記載
   の暗号化方法。
3. 【請求項３】 請求項１または２に記載の暗号化方法を
   用いて得られた暗号文を復号する復号方法であって、前
   記平文ベクトルの成分を、前記乱数ベクトルの成分とは
   独立的に復号することを特徴とする復号方法。
4. 【請求項４】 第１のエンティティ側で、請求項１また
   は２に記載の暗号化方法に従って平文から暗号文を作成
   して第２のエンティティ側へ伝送し、伝送された暗号文
   を該第２のエンティティ側で平文に復号することによ
   り、エンティティ間で情報の通信を行う暗号通信方法で
   あって、前記合成ベクトルにおける前記平文ベクトルの
   成分または前記乱数ベクトルの成分の位置を前記第１の
   エンティティ側で設定し、その設定した位置を示す情報
   を前記第２のエンティティ側へ報知することを特徴とす
   る暗号通信方法。
5. 【請求項５】 第１のエンティティ側で、請求項１また
   は２に記載の暗号化方法に従って平文から暗号文を作成
   して第２のエンティティ側へ伝送し、伝送された暗号文
   を該第２のエンティティ側で平文に復号することによ
   り、エンティティ間で情報の通信を行う暗号通信方法で
   あって、前記合成ベクトルにおける前記平文ベクトルの
   成分または前記乱数ベクトルの成分の位置を前記第２の
   エンティティ側で設定し、その設定した位置を示す情報
   を前記第１のエンティティ側へ報知することを特徴とす
   る暗号通信方法。
6. 【請求項６】 両エンティティ間で暗号文による情報通
   信を行う暗号通信システムにおいて、請求項１または２
   にに記載の暗号化方法を用いて平文から暗号文を作成す
   る暗号化器と、作成した暗号文を第１のエンティティか
   ら第２のエンティティへ送信する通信路と、送信された
   暗号文から平文を復号する復号器とを備えることを特徴
   とする暗号通信システム。
7. 【請求項７】 コンピュータに、平文から暗号文を得る
   ことを実行させるためのプログラムにおいて、暗号化す
   べき平文を分割してなる複数の成分を有する平文ベクト
   ルに任意の乱数を複数の成分とする乱数ベクトルを加え
   て合成ベクトルを得る手順と、該合成ベクトルの各成分
   毎に予め準備されている複数の公開成分から任意の公開
   成分を選択して暗号化鍵ベクトルを得る手順と、前記合
   成ベクトルと前記暗号化鍵ベクトルとを用いて暗号文を
   得る手順とを、コンピュータに実行させることを特徴と
   するプログラム。
8. 【請求項８】 コンピュータに、平文から暗号文を得さ
   せるためのプログラムを記録してあるコンピュータでの
   読み取りが可能な記録媒体において、暗号化すべき平文
   を分割してなる複数の成分を有する平文ベクトルに任意
   の乱数を複数の成分とする乱数ベクトルを加えて合成ベ
   クトルを得ることをコンピュータに実行させるプログラ
   ムコード手段と、該合成ベクトルの各成分毎に予め準備
   されている複数の公開成分から任意の公開成分を選択し
   て暗号化鍵ベクトルを得ることをコンピュータに実行さ
   せるプログラムコード手段と、前記合成ベクトルと前記
   暗号化鍵ベクトルとを用いて暗号文を得ることをコンピ
   ュータに実行させるプログラムコード手段とを含むコン
   ピュータプログラムを記録してあることを特徴とする記
   録媒体。