JP2003228285A - 楕円曲線スカラ倍演算装置 - Google Patents

Abstract

(57)【要約】 【課題】 楕円曲線上の点のスカラ倍演算の高速化を実
現する。 【解決手段】 有限体ＧＦ（ｐ³）（ｐは３以上の素数
のべき乗）上定義される楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ、
または、有限体ＧＦ（ｐ³）（ｐは２のべき乗）上定義
される楕円曲線ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂ上の任意の点
Ｐのスカラ倍演算ｋＰ（ｋは整数）を行なう楕円曲線ス
カラ倍演算装置であって、ｋを、前記楕円曲線上定義さ
れるフロベニウス写像φ、および、整数ｋ₀、ｋ₁、ｋ₂
を用いて、ｋ＝ｋ₀＋ｋ₁φ＋ｋ₂φ²とφ進展開する際
に、（ｋ＋１）φ＝ｐ−１の関係式を用いてφ進展開を
行ない、ｋＰ＝ｋ₀Ｐ＋ｋ₁φＰ＋ｋ₂φ²Ｐを算出するス
カラ倍演算手段を備えることを特徴とする楕円曲線スカ
ラ倍演算装置を提供する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、楕円曲線暗号方式
に係り、特に楕円曲線暗号の情報処理装置への実装上必
要となる、楕円曲線上の点のスカラ倍演算を高速に行な
う装置に関する。

【０００２】

【従来の技術】高い安全性が期待できる暗号化方法とし
て、楕円曲線上の離散対数問題に基づく公開鍵暗号方
式、いわゆる楕円曲線暗号が、「Neal Koblitz, A cours
e in Number theory and Cryptography, Springer Verl
ag, 1987」等において提案されている。

【０００３】楕円曲線暗号は、楕円曲線における有理点
の加算を用いた暗号系である。暗号に用いられる楕円曲
線は、ｑ（３以上の素数ｐのべき乗：ｑ＝ｐ^m）で決め
られる有限体（ＧＦ（ｑ））上の楕円曲線とよばれ、以
下の式で表現される。

【０００４】ｙ²＝ｘ³＋ａｘ＋ｂ ここで、ａ，ｂ∈ＧＦ（ｑ）である。

【０００５】なお、楕円曲線暗号は、ｑを２のべき乗と
した有限体（ＧＦ（ｑ））上の楕円曲線についても実現
可能である。この場合、楕円曲線を表現する式は、 ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂ となる。

【０００６】楕円曲線上の有理点とは、上記方程式を満
たすＧＦ（ｑ）上の点であり、｛ａ，ｂ，ｑ｝が決まれ
ば、上記楕円曲線上の点の数は決まる。これを曲線の位
数とよぶ。有理点の集合全体は、加法（定義については
省略）について群をなすことが知られている。

【０００７】ある決められた楕円曲線上の点Ｇがある場
合に、その点をｋ回加算した結果、点Ｑが得られたとす
る（これをＧのスカラ倍とよぶ）。すなわち、 Ｑ＝ｋＧ が成り立っているとする。このとき、ｋとＧとからＱは
計算により容易に求まるが、一般に、ＧとＱとからｋを
求めることは困難である。このように、点Ｇと点Ｑが与
えられたときにｋを求めることを楕円曲線上の離散対数
問題という。

【０００８】楕円曲線暗号の安全性は、有限体（ＧＦ
（ｑ））上の楕円曲線に対して、上記問題が非常に難し
いことに依存する。

【０００９】上記楕円曲線暗号の適用の一例として、Ｅ
ＣＤＳＡ（Elliptic Curve DigitalSignature Algorith
m）署名における各処理、すなわち、（１）鍵生成処
理、（２）署名生成処理、（３）署名検証処理の概要に
ついて説明する。

【００１０】なお、楕円曲線暗号では、システム共通の
パラメータとして、ｑ（３以上の素数ｐのｍ乗）、有限
体（ＧＦ（ｑ））上の楕円曲線Ｅを特定するためのパラ
メータ（ａ，ｂ）、基準となる楕円曲線Ｅ上の点Ｇ
（ｘ，ｙ）、点Ｇの位数ｎがあらかじめ定められ、署名
者、検証者の双方が知っているものとする。

【００１１】（１）鍵生成処理 ステップ１：ランダムに１＜ｄ＜ｎを満たすｄを選択
し、ｄを秘密鍵とする。 ステップ２：Ｑ＝ｄＧを算出し、Ｑを公開鍵とする。

【００１２】（２）署名生成処理 ステップ１：ランダムに１＜ｋ＜ｎを満たすｋを選択す
る。 ステップ２：Ｒ＝ｋＧ＝（ｘ_R，ｙ_R）を算出する。 ステップ３：ｒ≡ｘ_R ｍｏｄ ｎを算出する。 ステップ４：ハッシュ関数Ｈａｓｈを用いて、メッセー
ジＭのハッシュ値ｅ＝Ｈａｓｈ（Ｍ）を算出する。 ステップ５：ｓ≡ｋ^-1（ｅ＋ｄｒ） ｍｏｄ ｎを算出
する。 ステップ６：（ｒ，ｓ）をメッセージＭの署名とする。

【００１３】（３）署名検証処理 ステップ１：ハッシュ関数Ｈａｓｈを用いてハッシュ値
ｅ＝Ｈａｓｈ（Ｍ）を算出する。 ステップ２：ｕ₁≡ｅｓ^-1 ｍｏｄ ｎを算出する。 ステップ３：ｕ₂≡ｒｓ^-1 ｍｏｄ ｎを算出する。 ステップ４：Ｒ＝（ｘ_R，ｙ_R）＝ｕ₁Ｇ＋ｕ₂Ｑを算出す
る。 ステップ５：ｖ≡ｘ_R ｍｏｄ ｎを算出する。 ステップ６：ｖ＝ｒの場合は「署名有効」とし、ｖ≠ｒの
場合は「署名無効」とする。

【００１４】上記の例からわかるように、楕円曲線暗号
を適用した署名方式では、有限体（ＧＦ（ｑ））上の点
（Ｇ、Ｑ等）のスカラ倍の演算が必要である。この演算
を実現するための演算方法として、 （従来例１）加算、2倍算を組み合わせる方法 （従来例２）加算、2倍算に加えてフロベニウス写像を
用いる方法 が知られている。これについて簡単に説明する。

【００１５】（従来例１）有限体ＧＦ（ｐ^m）上の楕円
曲線をＥ（ＧＦ（ｐ^m））とし、Ｅ（ＧＦ（ｐ^m））上の
点をＰとして、Ｑ＝ｋＰ（ｋは整数）の計算を行なう場
合を例に、従来例１におけるスカラ倍演算処理の流れを
説明する。なお、ｐは３以上の素数であり、ｐ^m＝ｑで
ある。 ステップ１：ｋを２進数展開し、ｋ＝ｋ₀＋ｋ₁×２＋・
・・ｋ_j-1×２^j-1とする。ここで、ｋ_iは０または１で
ある。 ステップ２：Ｐ₁＝０、Ｐ₂＝Ｐ、ｉ＝０とする。 ステップ３：ｋ_i＝１であれば、Ｐ₁＝Ｐ₁＋Ｐ₂とする。 ステップ４：ｉ＝ｉ＋１とする。 ステップ５：ｉ＜ｊであればステップ６へ進み、そうで
なければステップ７に進む。 ステップ６：Ｐ₂＝２Ｐ₂とし、ステップ３に戻る。 ステップ７：演算結果Ｑ＝Ｐ₁を出力し、処理を終了す
る。

【００１６】（従来例２）従来例２については、以下の
文献に詳しい。「Tetsutaro Kobayashi,Hikaru Morita,K
unio Kobayashi,and Fumitaka Hoshino, Fast Elliptic
Curve AlgorithmCombiining Frobenius Map and Table
Reference to Adapt to Highert Characteristic,Euro
crypt'99,LNCS 1592,pp.176-189,1999 Springer Verla
g」 従来例２は、従来例１が一般の定義体を用いた場合に有
効な手法であるのに対し、定義体を拡大体とした場合に
さらに演算の高速化を図ることができるという手法であ
る。

【００１７】まず、従来例２で用いる楕円曲線上のフロ
ベニウス写像について簡単に説明する。有限体ＧＦ
（ｐ）上の楕円曲線をＥ（ＧＦ（ｐ））とし、（ｘ、
ｙ）をＥ（ＧＦ（ｐ））の係数をＧＦ（ｐ^m）の元とみ
なした楕円曲線Ｅ（ＧＦ（ｐ^m））上のＧＦ（ｐ^m）有理
点とする。

【００１８】このとき、フロベニウス写像φは次のよう
に定義される。

【００１９】φ：（ｘ，ｙ）→（ｘ^p，ｙ^p） ここで、フロベニウス写像はＧＦ（ｐ^m）上の楕円曲線
Ｅ（ＧＦ（ｐ^m））の自己同型写像となり、次に示す式
を満たす。

【００２０】 φ²−ｔφ＋ｐ＝０， −２√ｐ≦ｔ≦２√ｐ ここで整数ｔは、楕円曲線に依存して決まる定数で、フ
ロベニウス写像のトレースと呼ばれる。

【００２１】さらに、楕円曲線Ｅ（ＧＦ（ｐ^m））上で
は、次の式が成り立つ。

【００２２】φ^m＝１

【００２３】任意の整数ｋは、フロベニウス写像φを用
いて、ｋ＝ｋ₀＋ｋ₁φ＋・・・＋ｋ _m-1φ^m-1と表現でき
る。この表現を用いると、楕円曲線Ｅ（ＧＦ（ｐ^m））
上の点Ｐのｋ倍は、 ｋＰ＝ｋ₀Ｐ＋ｋ₁φＰ＋・・・＋ｋ_m-1φ^m-1Ｐ と表すことができる。

【００２４】以下、フロベニウス写像を用いた従来例２
の計算アルゴリズムを説明する。ここでは、係数をＧＦ
（ｐ）に制限したＧＦ（ｐ^m）上の楕円曲線をＥ（ＧＦ
（ｐ^m））とし、Ｅ（ＧＦ（ｐ^m））上の点をＰとして、
Ｑ＝ｋＰ（ｋは整数）の計算を行なう場合を例にする。

【００２５】＜ステップ１＞ kのφ進展開（フロベニ
ウス写像の満たす関係式（φ²−ｔφ＋ｐ＝０）を用い
て、ｋのφ進展開を行う。）

【００２６】ステップ１．１：ｉ＝０、ｘ＝ｋ、ｙ＝
０、ｕ_j＝０（∀ｊ）とする。

【００２７】ステップ１．２：ｘ＝０かつｙ＝０であれ
ばステップ２へ進む。

【００２８】ステップ１．３：ｕ_i≡ｘ ｍｏｄ ｐを
算出する。

【００２９】ステップ１．４：ｖ＝（ｘ−ｕ_i）／ｐ、
ｘ＝ｔｖ＋ｙ、ｙ＝−ｖ、ｉ＝ｉ＋１とする。

【００３０】ステップ１．５：ステップ１．２に戻る。

【００３１】＜ステップ２＞ φ進展開の最適化

【００３２】ステップ２．１：ｄ_i＝ｕ_i＋ｕ_i+m＋ｕ
_i+2m （０≦ｉ≦ｍ）とする。

【００３３】ステップ２．２：ｃ_i＝ｄ_i−ｚ （０≦ｉ
≦ｍ）とする。ただし、ｚは、ｄ_i（１≦ｉ≦ｍ）の最
小値である。

【００３４】＜ステップ３＞ ｋＰ＝ｋ₀Ｐ＋ｋ₁φＰ＋
・・・＋ｋ_m-1φ^m-1Ｐの算出 ステップ３．１：Ｐ_i＝φⁱＰ （０≦ｉ≦ｍ）とする。

【００３５】ステップ３．２：Ｑ＝０、Ｓ＝０、ｄ＝ｍ
ａｘ｛ｃ_i｝とする。ただし、０は、Ｅ（ＧＦ（ｐ^m）の
単位元である。

【００３６】ステップ３．３：ｉを０からｍ−１まで変
化させ、ｄ＝ｃ_iならば、Ｓ＝Ｓ＋φⁱＰとする。

【００３７】ステップ３．４：Ｑ＝Ｑ＋Ｓ、ｄ＝ｄ−１
とする。

【００３８】ステップ３．５：ｄ≠０ならばステップ
３．２に戻る。

【００３９】ところで、楕円曲線暗号の情報処理装置へ
の高速実装に適した楕円曲線の定義体としてＯＥＦ（Op
timal Extension Fields）が提案されている。例えば、
「D.V.Bailey and C.Paar, Optimal Extension Fields f
or Fast Arithmetic in Public-Key Algorithms,CRYPT
O'98,LNCS 1462 Springer Verlag, 1998」である。

【００４０】ここで、ＯＥＦとは、有限体ＧＦ（ｐ^m）
で以下の３つの条件を満たしている。

【００４１】（１）ｐは、情報処理装置が備えるプロセ
ッサーのワードサイズ以下であって、ほぼ同じ大きさで
あるビット長ｗの素数。 （２）ｐ＝２^w±ｃ（ただし、ｃはｌｏｇ₂ｃ≦ｗ／２を
満たす）。 （３）既約多項式ｆ（ｘ）＝ｘ^m−ωが存在する（ただ
し、ωは整数値）。

【００４２】楕円曲線の定義体にＯＥＦを用いた場合に
おけるフロベニウス写像の作用の効率的な計算方法は、
上記文献に記述されており、上記従来例２は、楕円曲線
の定義体をＯＥＦとした場合、特に有効であることが知
られている。

【００４３】

【発明が解決しようとする課題】上述のように、楕円曲
線暗号方式では、楕円曲線上の点のスカラ倍の演算が必
要である。一般に、楕円曲線上の点のスカラ倍演算は、
一般に時間がかかるため、実用上、高速に行なわれるこ
とが望ましい。

【００４４】従来例２で示したフロベニウス写像を用い
たスカラ倍演算では、φ進展開を行う際に、フロベニウ
ス写像の満たすｐ＝ｔφ−φ²という性質を用いてい
る。ところが、この式にはφ²が含まれるため、φ進展
開アルゴリズムにおける演算回数が増えるという欠点が
ある。

【００４５】本発明は上述の問題点を鑑みてなされたも
のであり、その目的は、楕円曲線上の点のスカラ倍演算
の高速化を実現することにある。

【００４６】

【課題を解決するための手段】楕円曲線の定義体を有限
体ＧＦ（ｐ^m）とすると、ｍ≠１の場合には、フロベニ
ウス写像φが、楕円曲線Ｅ（ＧＦ（ｐ^m））上、恒等写
像にはならないことが知られている。

【００４７】本発明は、これに加え、ｍ＝３として、ｐ
＝ｔφ−φ²を、楕円曲線Ｅ上で成り立つ式φ³−１＝０
より導かれる関係式φ²＋φ＋１＝０を用いて変形した
ｐ−１＝（ｔ＋１）φを用いてφ進展開を行うことによ
り演算回数の削減を行ない、楕円曲線上の点のスカラ倍
演算の高速化を実現する。

【００４８】これを具現化したものとして、本発明によ
れば、有限体ＧＦ（ｐ³）（ｐは３以上の素数のべき
乗）上定義される楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ、また
は、有限体ＧＦ（ｐ³）（ｐは２のべき乗）上定義され
る楕円曲線ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂ上の任意の点Ｐの
スカラ倍演算ｋＰ（ｋは整数）を行なう楕円曲線スカラ
倍演算装置であって、ｋを、前記楕円曲線上定義される
フロベニウス写像φ、および、整数ｋ₀、ｋ₁、ｋ₂を用
いて、ｋ＝ｋ₀＋ｋ₁φ＋ｋ₂φ²とφ進展開する際に、
（ｋ＋１）φ＝ｐ−１の関係式を用いてφ進展開を行な
い、ｋＰ＝ｋ₀Ｐ＋ｋ₁φＰ＋ｋ₂φ²Ｐを算出するスカラ
倍演算手段を備えることを特徴とする楕円曲線スカラ倍
演算装置が提供される。

【００４９】

【発明の実施の形態】本発明の実施の形態について、図
面を参照して説明する。

【００５０】図１は本発明を適用した楕円曲線スカラ倍
演算装置（以下演算装置）１０１の機能構成を説明する
ためのブロック図である。

【００５１】本図において演算装置１０１は、演算部１
０２と、データ保持部１０３とを備えて構成される。

【００５２】演算部１０２は、楕円曲線情報および演算
対象データの入力受け付け、演算結果の出力を行う入出
力部１０４、演算装置全体の制御を行う制御部１０５、
φ進展開を行うφ進展開部１０６、φ進展開結果を用い
てスカラ倍演算を行うスカラ倍演算部１０７を備えてい
る。

【００５３】データ保持部１０３は、入出力部１０４に
入力された楕円曲線情報を保持する楕円曲線情報保持部
１０８、入出力部１０４に入力された演算対象データを
保持する演算対象データ保持部１０９、φ進展開結果等
の中間データを保持する中間データ保持部１１０、演算
結果を保持する演算結果保持部１１１を備えている。

【００５４】次に制御部１０５が制御する演算部１０２
の動作の概要について説明する。

【００５５】（１）入出力部１０４が、演算対象となる
楕円曲線情報および演算対象データの入力を受け付け
る。入力された情報は、それぞれ、楕円曲線情報保持部
１０８と演算対象データ保持部１０９とにおいて保持さ
れる。

【００５６】（２）φ進展開部１０６において、整数ｋ
のφ進展開を行う。φ進展開の結果は中間データ保持部
１１０において保持される。

【００５７】（３）φ進展開結果を用いて、スカラ倍演
算部１０７がスカラ倍演算を行う。スカラ倍演算におい
て必要となる中間データは、必要に応じて中間データ保
持部１１０において保持され、演算結果は演算結果保持
部１１１において保持される。

【００５８】（４）演算結果を入出力部１０４より出力
する。

【００５９】なお、演算装置１０１は、例えば、中央処
理装置（ＣＰＵ）と、主記憶装置と、ハードディスク装
置等の外部記憶装置と、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ
等の可搬性を有する記憶媒体からデータを読み取る読取
装置と、キーボード、マウス等の入力装置と、ディスプ
レイ等の表示装置と、上述した各構成要素間のデータ送
受信をつかさどるインタフェース等とを備えた、一般的
な構成を有するサーバコンピュータ、パーソナルコンピ
ュータ等の一般的な情報処理装置を用いて構成すること
ができる。もちろん、これに限られない。例えば、楕円
曲線スカラ倍演算のための専用装置として構成すること
もできる。

【００６０】演算部１０２の各処理部１０４〜１０７
は、ＣＰＵが、メモリにロードされたプログラム（コー
ドモジュール）を実行することで、情報処理装置上に具
現化されるプロセスとして実現することができる。ま
た、メモリや外部記憶装置は、データ保持部１０３の各
保持部１０８〜１１１として機能することができる。

【００６１】また、情報処理装置を演算装置１０１とし
て機能させるためのプログラムは、例えば、ハードディ
スク等の外部記憶装置に格納することができる。また、
これらのプログラムはＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等
の可搬性を有する記憶媒体に記録されることで市場に流
通することが可能である。記憶媒体に記録されたプログ
ラムは、読取装置を介して読み込ませることにより、情
報処理装置にインストールすることができる。また、通
信回線を通じて情報処理装置に読み込ませるようにする
ことができる。

【００６２】後述する鍵生成装置５０１等の各装置につ
いても同様である。

【００６３】次に、図２〜７を参照して本発明の第１の
実施形態における演算装置１０１の動作を詳細に説明す
る。

【００６４】図２は、演算装置１０１の処理の流れを示
すためのフロー図である。以下、このフロー図にそっ
て、各処理の内容を説明する。

【００６５】ここで、楕円曲線の定義体を有限体ＧＦ
（ｐ³）とし、有限体（ＧＦ（ｐ³））はＯＥＦを用いた
ものとする。すなわち、 （１）ｐは、演算装置１０１が備えるＣＰＵのワードサ
イズ以下であって、ほぼ同じ大きさであるビット長ｗの
素数。 （２）ｐ＝２^w±ｃ（ただし、ｃはｌｏｇ₂ｃ≦ｗ／２を
満たす）。 （３）既約多項式ｆ（ｘ）＝ｘ³−ωが存在する（ただ
し、ωは整数値）。を満たすものとする。

【００６６】ただし、本発明は、ＯＥＦを用いることは
必須ではない。

【００６７】また、楕円曲線を定義する方程式は、以下
のように表される（ＯＥＦを用いた場合は（１）の
み）。

【００６８】（１）ｐを３以上の素数のべき乗としたと
き ｙ²＝ｘ³＋ａｘ＋ｂ （ａ，ｂ∈ＧＦ（ｐ³）） （２）ｐを２のべき乗としたとき ｙ²＋ｘｙ＝ｘ³＋ａｘ²＋ｂ （ａ，ｂ∈ＧＦ（ｐ³）） ここで、楕円曲線を特定するためのパラメータ｛ａ，
ｂ｝に加え、ＯＥＦを満たすように定められたｐ、ｆ
（ｘ）、および、｛ａ，ｂ｝で特定される楕円曲線にお
けるフロベニウス写像φのトレースｔを楕円曲線パラメ
ータと呼ぶことにする。

【００６９】すなわち、楕円曲線パラメータは、［ａ，
ｂ，ｐ，ｆ（ｘ），ｔ］で表される。なお、ｆ（ｘ）
は、以下のステップにおいて表面上は表われていない
が、体の演算を規定するために用いるものである。

【００７０】＜ステップ２０１＞入出力部１０４が、楕
円曲線パラメータの入力を受け付ける。

【００７１】＜ステップ２０２＞演算対象データである
楕円曲線上の点Ｇ（ｘ₀，ｙ₀）、および、整数ｋの入力
を受け付ける。

【００７２】＜ステップ２０３＞フロベニウス写像φの
満たす性質（ｔ＋１）φ＝ｐ−１を用いて、整数ｋのφ
進展開、 ｋ₀＋ｋ₁φ＋ｋ₂φ² を求める（詳細は後述する図３を参照）。

【００７３】＜ステップ２０４＞ ｋＧ＝（ｋ₀＋ｋ₁φ＋ｋ₂φ²）Ｇ を求める。（詳細は後述する図4を参照）。

【００７４】＜ステップ２０５＞ステップ２０４で得ら
れたスカラ倍演算の演算結果を出力する。

【００７５】ここで、上記ステップ２０３について、図
３に示したφ進展開部１０６の動作説明のためのフロー
図を参照してさらに詳細に説明する。

【００７６】＜ステップ３０１＞ｉ＝０、ｘ＝ｋ、ｕ_j
＝０（∀ｊ）とする。

【００７７】＜ステップ３０２＞ｕ_i≡ｘ ｍｏｄ ｐ
−１を算出する。

【００７８】＜ステップ３０３＞ｖ＝（ｘ−ｕ_i）／
（ｐ−１）を算出する。

【００７９】＜ステップ３０４＞ｘ＝（ｔ＋１）ｖを算
出する。

【００８０】＜ステップ３０５＞ｘ＝０であればステッ
プ３０７に進み、そうでなければステップ３０６に進
む。

【００８１】＜ステップ３０６＞ｉ＝ｉ＋１とし、、ス
テップ３０２に戻る。

【００８２】＜ステップ３０７＞ｉ＝０とする。

【００８３】＜ステップ３０８＞ｄ_i＝ｕ_i＋ｕ_i+3＋ｕ
_i+6を算出する。

【００８４】＜ステップ３０９＞ｉ＝ｉ＋１とする。

【００８５】＜ステップ３１０＞ｉ＜３を満たすかどう
かを判定し、満たす場合にはステップ３０８に戻り、そ
うでない場合にはステップ３１１に進む。

【００８６】＜ステップ３１１＞ｉ＝０とする。

【００８７】＜ステップ３１２＞ｋ_i＝ｄ_i−ｚを算出す
る。ここで、ｚはｄ_i（１≦ｉ≦３）の最小値とする。

【００８８】＜ステップ３１３＞ｉ＝ｉ＋１とする。

【００８９】＜ステップ３１４＞ｉ＜３を満たすかどう
かを判定し、満たす場合にはステップ３１２に戻り、そ
うでない場合にはステップ３１５に進む。

【００９０】＜ステップ３１５＞ステップ３１２で算出
されたｋ₀、ｋ₁、ｋ₂から、ｋのφ進展開結果であるｋ₀
＋ｋ₁φ＋ｋ₂φ²を出力する。

【００９１】次に、上記ステップ２０４を、図４に示し
たスカラ倍演算部１０７の動作説明のためのフロー図を
参照してさらに詳細に説明する。

【００９２】＜ステップ４０１＞Ｐ₀＝Ｐ、Ｐ₁＝φＰ、
Ｐ₂＝φ²Ｐとする。

【００９３】＜ステップ４０２＞Ｑ＝０、Ｓ＝０、ｄ＝
ｍａｘ｛｜ｃ_i｜｝、ｉ＝０とする。ただし、０はＥ
（ＧＦ（ｐ³））の単位元、また、｜ｃ_i｜は、ｃ_iの絶
対値である。

【００９４】＜ステップ４０３＞ｄ＝｜ｃ_i｜ならば、
Ｓ＝Ｓ＋ｓｉｇｎ（ｃ_i）Ｐ_iとする。ただし、ｓｉｇｎ
（ｃ_i）は、ｃ_iの符号である。

【００９５】＜ステップ４０４＞ｉ＝ｉ＋１とする。

【００９６】＜ステップ４０５＞ｉ＜３を満たすかどう
かを判定し、満たす場合にはステップ４０３に戻り、そ
うでない場合にはステップ４０６に進む。

【００９７】＜ステップ４０６＞ｄ＝ｄ−１とする。

【００９８】＜ステップ４０７＞Ｑ＝Ｑ＋Ｓとする。

【００９９】＜ステップ４０８＞ｄ＝０を満たすかどう
かを判定し、満たす場合にはステップ４１０に進み、そ
うでない場合にはステップ４０９に進む。

【０１００】＜ステップ４０９＞ｉ＝０とし、ステップ
４０３に戻る。

【０１０１】＜ステップ４１０＞演算結果としてＱ（＝
ｋＧ）を出力する。

【０１０２】このように、本発明の第１の実施形態によ
れば、楕円曲線Ｅ（ＧＦ（ｐ³））上の点のスカラ倍演
算において、ｐ−１＝（ｔ＋１）φを用いてφ進展開を
行うことにより演算回数の削減を行ない、楕円曲線上の
点のスカラ倍演算の高速化を実現することができる。

【０１０３】次に、本発明の第２の実施形態として、第
１の実施形態における楕円曲線スカラ倍演算装置１０１
を利用した鍵生成装置について説明する。図５は、本発
明を適用した鍵生成装置の一例を説明するためのブロッ
ク図である。

【０１０４】本図において、鍵生成装置５０１は、制御
演算部５０２およびデータ保持部５０３とを備えて構成
される。

【０１０５】制御演算部５０２は、楕円曲線パラメータ
［ａ，ｂ，ｐ，ｆ（ｘ），ｔ］、楕円曲線上の基準点Ｇ
（ｘ，ｙ）およびその位数ｎの入力を受け付け、生成さ
れた鍵情報を出力する入出力部５０４、鍵生成装置５０
１全体を制御する制御部５０５、乱数を生成する乱数生
成部５０６、基準点Ｇの整数倍を計算する楕円曲線スカ
ラ倍演算部５０７を備えている。なお、楕円曲線スカラ
倍演算部５０７は、第１の実施形態における楕円曲線ス
カラ倍演算装置１０１を用いることができる。

【０１０６】データ保持部５０３は、入出力部により入
力された楕円曲線パラメータ、基準点Ｇおよびその位数
ｎを保持する楕円曲線情報保持部５０８、制御演算部で
生成された鍵情報および楕円曲線の情報を保持する鍵情
報保持部５０９を備えている。

【０１０７】次に、各々の動作は制御部５０５により制
御されているものとして動作の流れを説明する。

【０１０８】入出力手段５０４が入力を受け付けた楕円
曲線パラメータ、基準点Ｇおよびその位数ｎは、楕円曲
線情報保持部５０８に保持される。

【０１０９】乱数生成部５０６において、０＜ｄ＜ｎを
満たす乱数ｄを生成し、これを秘密鍵として鍵情報保持
部５０９で保持する。

【０１１０】楕円曲線スカラ倍演算部５０７において、
基準点Ｇのｄ倍を計算し、計算結果を公開鍵Ｑとして鍵
情報保持部５０９で保持する。

【０１１１】最後に、鍵発行装置５０１は、入出力装置
５０４により楕円曲線パラメータ［ａ，ｂ，ｐ，ｆ
（ｘ），ｔ］、基準点Ｇ、Ｇの位数ｎ、秘密鍵ｄ、およ
び、公開鍵Ｑを出力する。

【０１１２】次に、本発明の第３の実施形態として、第
１の実施形態における楕円曲線スカラ倍演算装置１０１
を利用した暗号化装置について説明する。図６は、本発
明を適用した暗号化装置の一例を説明するためのブロッ
ク図である。

【０１１３】本図において、暗号化装置６０１は、制御
演算部６０２およびデータ保持部６０３を備えて構成さ
れる。

【０１１４】制御演算部６０２は、楕円曲線情報の入力
を受け付け、生成された暗号文を出力する入出力部６０
４、暗号化装置６０１全体を制御する制御部６０５、暗
号化処理を行う暗号処理部６０６を備えている。

【０１１５】ここで、暗号処理部６０６は、乱数を生成
する乱数生成部６０７、楕円曲線上の点の整数倍を計算
する楕円曲線スカラ倍演算部６０８を備えている。な
お、楕円曲線スカラ倍演算部６０８は第１の実施形態に
おける楕円曲線スカラ倍演算装置１０１を用いることが
できる。

【０１１６】また、データ保持部６０３は、入出力部６
０４により入力を受け付ける暗号化の対象である平文情
報Ｍを保持する平文情報保持部６０９、同様に入出力部
により入力された楕円曲線パラメータ［ａ，ｂ，ｐ，ｆ
（ｘ），ｔ］、基準点Ｇおよびその位数ｎを保持する楕
円曲線情報保持部６１０、暗号化に用いる公開鍵Ｑを保
持する鍵情報保持部６１１、制御演算部で生成された暗
号文を保持する暗号文保持部６１２を備えている。

【０１１７】次に、各々の動作は制御部６０５により制
御されているものとして、動作の流れを説明する。

【０１１８】入出力手段６０４により入力された平文情
報Ｍは、平文情報保持部６０９に保持される。

【０１１９】入出力手段６０４により入力された楕円曲
線パラメータ［ａ，ｂ，ｐ，ｆ（ｘ），ｔ］、基準点Ｇ
およびその位数ｎは、楕円曲線情報保持部６１０に保持
される。

【０１２０】入出力手段６０４により入力された公開鍵
Ｑは、公開鍵情報保持部６１２に保持される。

【０１２１】暗号化処理部６０６は、平文情報保持部６
０９、楕円曲線情報保持部６１０、公開鍵情報保持部６
１１に保持されている情報を用いて暗号化処理を行い、
暗号文を作成する。暗号化処理は、後述するように、図
７に示すフロー図にしたがって行われる。

【０１２２】最後に、暗号化処理部６０６で作成された
暗号文を、暗号文情報保持部６１２に保持するととも
に、入出力部６０４より出力する。

【０１２３】図７は、図６に示した暗号処理部６０６で
行われる暗号化処理の流れを説明するためのフロー図で
ある。

【０１２４】＜ステップ７０１＞平文Ｍおよび公開鍵Ｑ
の入力を受け付ける。

【０１２５】＜ステップ７０２＞０＜ｒ＜ｎを満たす乱
数ｒを生成する。

【０１２６】＜ステップ７０３＞Ｃ１＝ｒＧおよびＣ２
＝ｒＱ＋Ｍを算出する。

【０１２７】＜ステップ７０４＞（Ｃ１，Ｃ２）を暗号
文として出力する。

【０１２８】次に、本発明の第４の実施形態として、第
１の実施形態における楕円曲線スカラ倍演算装置１０１
を利用した復号化装置について説明する。図８は、本発
明を適用した復号化装置の一例を説明するためのブロッ
ク図である。

【０１２９】本図に示すように、復号化装置８０１は、
制御演算部８０２およびデータ保持部８０３を備えて構
成される。

【０１３０】制御演算部８０２は、楕円曲線情報および
復号化対象の暗号文を入力し、復号された平文Ｍを出力
する入出力部８０４、復号化装置８０１全体を制御する
制御部８０５、復号化処理を行う復号処理部８０６を備
えている。

【０１３１】ここで、復号処理部８０６は、楕円曲線上
の点の整数倍を計算する楕円曲線スカラ倍演算部８０７
を備えている。なお、楕円曲線スカラ倍演算部８０７
は、第１の実施形態における楕円曲線スカラ倍演算装置
１０１を用いることができる。

【０１３２】データ保持部８０３は、入出力部８０４に
より入力を受け付ける復号化の対象である暗号文情報を
保持する暗号文情報保持部８０８、入出力部８０４によ
り入力を受け付ける楕円曲線のパラメータ［ａ，ｂ，
ｐ，ｆ（ｘ），ｔ］、基準点Ｇおよびその位数ｎを保持
する楕円曲線情報保持部８０９、復号化に用いる秘密鍵
ｄを保持する秘密鍵情報保持部８１０、復号化処理部８
０６で復号された平文Ｍを保持する平文情報保持部８１
１を備えている。

【０１３３】次に、各々の動作は制御部８０５により制
御されているものとして、動作の流れを説明する。

【０１３４】入出力手段８０４が入力を受け付けた暗号
文情報は、暗号文情報保持部８０８に保持される。

【０１３５】入出力手段８０４が入力を受け付けた楕円
曲線パラメータ［ａ，ｂ，ｐ，ｆ（ｘ），ｔ］、基準点
Ｇおよびその位数ｎは、楕円曲線情報保持部８０９に保
持される。

【０１３６】入出力手段８０４が入力を受け付けた秘密
鍵ｄは、秘密鍵情報保持部８１０に保持される。

【０１３７】復号化処理部８０６は、暗号文情報保持部
８０８、楕円曲線情報保持部８０９、秘密鍵情報保持部
８１０で保持されている情報を用いて復号化処理を行
い、平文Ｍを作成する。復号化処理は、後述するよう
に、図９に示すフロー図にしたがって行われる。

【０１３８】最後に、復号化処理部８０６で復号された
平文Ｍを、平文情報保持部８１１に保持するとともに、
入出力部８０４より出力する。

【０１３９】図９は、図８に示した復号処理部８０６で
行われる復号化処理の流れを説明するためのフロー図で
ある。秘密鍵をｄ、復号化対象の暗号文を（Ｃ１，Ｃ
２）として、復号化処理の流れについて説明する。

【０１４０】＜ステップ９０１＞暗号文（Ｃ１，Ｃ２）
およびｄから、Ｍ＝Ｃ２−ｄＣ１を算出する。

【０１４１】＜ステップ９０２＞Ｍを平文として出力す
る。

【０１４２】次に、本発明の第５の実施形態として、第
１の実施形態における楕円曲線スカラ倍演算装置１０１
を利用した署名生成装置について説明する。図１０は、
本発明を適用した署名生成装置の一例を説明するための
ブロック図である。

【０１４３】本図に示すように、署名生成装置１００１
は、制御演算部１００２およびデータ保持部１１０３を
備えて構成される。

【０１４４】制御演算部１００２は、楕円曲線情報、秘
密鍵、署名対象データの入力を受け付け、生成されたデ
ジタル署名を出力する入出力部１００４、署名生成装置
１００１全体を制御する制御部１００５、署名生成処理
を行う署名処理部１１０６を備えている。

【０１４５】ここで、署名処理部１１０６は、乱数を生
成する乱数生成部１００７、ハッシュ値の生成を行うハ
ッシュ値生成部１００８、楕円曲線上の点の整数倍を計
算する楕円曲線スカラ倍演算部１００９を備えている。
なお、楕円曲線スカラ倍演算部１００９は、第１の実施
形態における楕円曲線スカラ倍演算装置１０１を用いる
ことができる。

【０１４６】データ保持部１００３は、入出力部１００
４により入力を受け付ける署名の対象である署名対象デ
ータＭを保持する署名対象情報保持部１０１０、入出力
部によりを受け付ける楕円曲線のパラメータ［ａ，ｂ，
ｐ，ｆ（ｘ），ｔ］、基準点Ｇおよびその位数ｎを保持
する楕円曲線情報保持部１０１１、署名生成に用いる秘
密鍵ｄを保持する秘密鍵情報保持部１０１２、制御演算
部で生成された署名Ｓおよび署名対象データＭを保持す
る署名保持部１０１３を備えている。

【０１４７】次に、各々の動作は制御部１００５により
制御されているものとして、動作の流れを説明する。

【０１４８】入出力手段１００４が入力を受け付けた署
名対象データＭは、署名対象情報保持部１０１０に保持
される。

【０１４９】入出力手段１００４が入力を受け付けた楕
円曲線パラメータ［ａ，ｂ，ｐ，ｆ（ｘ），ｔ］、基準
点Ｇおよびその位数ｎは、楕円曲線情報保持部１０１１
に保持される。

【０１５０】入出力手段１００４により入力された秘密
鍵ｄは、秘密鍵情報保持部１０１２に保持される。

【０１５１】署名処理部１００６は、署名対象情報保持
部１０１０、楕円曲線情報保持部１０１１、秘密鍵情報
保持部１０１２で保持されている情報を用いて署名生成
処理を行い、署名Ｓを作成する。署名生成処理は、後述
するように、図１１に示すフロー図にしたがって行われ
る。

【０１５２】最後に、署名処理部１００６で作成された
署名Ｓおよび署名対象データＭを、署名情報保持部１０
１３に保持するとともに、入出力部１００４より出力す
る。

【０１５３】図１１は、図１０に示した署名処理部１０
０６で行われる署名生成処理の流れを説明するためのフ
ロー図である。署名対象データをＭ、秘密鍵をｄ、楕円
曲線の基準点をＧ、その位数をｎとして、署名生成処理
の流れについて説明する。

【０１５４】＜ステップ１１０１＞署名対象データＭと
秘密鍵ｄとの入力を受け付ける。

【０１５５】＜ステップ１１０２＞０＜ｋ＜ｎを満たす
乱数ｋを生成する。

【０１５６】＜ステップ１１０３＞Ｒ＝ｋＧ＝（ｘ_R，
ｙ_R）を算出する。

【０１５７】＜ステップ１１０４＞ｒ≡ｘ_R ｍｏｄ
ｎ を算出する。

【０１５８】＜ステップ１１０５＞ハッシュ関数Ｈａｓ
ｈを用いてハッシュ値ｅ＝Ｈａｓｈ（Ｍ）を算出する。

【０１５９】＜ステップ１１０６＞ｓ≡ｋ^-1（ｅ＋ｄ
ｒ） ｍｏｄ ｎ を算出する。

【０１６０】＜ステップ１１０７＞（ｒ、ｓ）を署名Ｓ
とし、出力する。

【０１６１】次に、本発明の第６の実施形態として、第
１の実施形態における楕円曲線スカラ倍演算装置１０１
を利用した署名検証装置について説明する。図１２は、
本発明を適用した署名検証装置の一例を説明するための
ブロック図である。

【０１６２】本図に示すように、署名検証装置１２０１
は、制御演算部１２０２およびデータ保持部１２０３を
備えて構成される。

【０１６３】制御演算部１２０２は、楕円曲線情報、署
名検証対象データＭおよび署名Ｓの入力を受け付け、署
名検証結果を出力する入出力部１２０４、署名検証装置
１２０１全体を制御する制御部１２０５、署名検証処理
を行う署名検証処理部１２０６を備えている。

【０１６４】ここで、署名検証処理部１２０６は、ハッ
シュ値の生成を行うハッシュ値生成部１２０７、楕円曲
線上の点の整数倍を計算する楕円曲線スカラ倍演算部１
２０８、署名の判定を行う署名判定部１２０９を備えて
いる。なお、楕円曲線スカラ倍演算部１２０８は、第１
の実施形態における楕円曲線スカラ倍演算装置１０１を
用いることができる。

【０１６５】データ保持部１２０３は、入出力部１２０
４が入力を受け付けた署名検証対象データＭおよび署名
Ｓを保持する署名検証対象データ保持部１２１０、入出
力部１２０４が入力を受け付けた楕円曲線のパラメータ
［ａ，ｂ，ｐ，ｆ（ｘ），ｔ］、基準点Ｇおよびその位
数ｎを保持する楕円曲線情報保持部１２１１、署名検証
に用いる公開鍵Ｑを保持する公開鍵情報保持部１２１
２、署名検証処理部１２０６で検証された署名検証結果
を保持する署名検証結果保持部１２１３を備えている。

【０１６６】次に、各々の動作は制御部１２０５により
制御されているものとして、動作の流れを説明する。

【０１６７】入出力手段１２０４が入力を受け付けた署
名検証対象データＭは、署名検証対象データ保持部１２
０８に保持される。

【０１６８】入出力手段１２０４が入力を受け付けた楕
円曲線パラメータ［ａ，ｂ，ｐ，ｆ（ｘ），ｔ］、基準
点Ｇおよびその位数ｎは、楕円曲線情報保持部１２１０
に保持される。

【０１６９】入出力手段１２０４が入力を受け付けた公
開鍵情報Ｑは、公開鍵情報保持部１２１１に保持され
る。

【０１７０】署名検証処理部１２０６は、署名検証対象
データ保持部１２１０、楕円曲線情報保持部１２１１、
公開鍵情報保持部１２１２で保持されている情報を用い
て署名検証を行う。署名検証処理は、後述するように、
図１３に示すフロー図にしたがって行われる。

【０１７１】最後に、署名検証処理部１２０６で検証さ
れた検証結果を、署名検証結果保持部１２１３に保持す
るとともに、入出力部１２０４より出力する。

【０１７２】図１３は、図１２に示した署名検証処理部
１２０６で行われる署名検証処理の流れを説明するため
のフロー図である。公開鍵をＱ、署名検証対象データを
Ｍ、署名データＳを（ｒ，ｓ）として、署名検証処理の
流れについて説明する。

【０１７３】＜ステップ１３０１＞公開鍵Ｑ、署名検証
対象データＭ、署名データＳ＝（ｒ，ｓ）の入力を受け
付ける。

【０１７４】＜ステップ１３０２＞ハッシュ関数Ｈａｓ
ｈを用いてハッシュ値ｅ=Ｈａｓｈ（Ｍ）を算出する。

【０１７５】＜ステップ１３０３＞ｕ₁≡ｅｓ^-1 ｍｏ
ｄ ｎ を算出する。

【０１７６】＜ステップ１３０４＞ｕ₂≡ｒｓ^-1 ｍｏ
ｄ ｎ を算出する。

【０１７７】＜ステップ１３０５＞Ｒ＝（ｘ_R，ｙ_R）＝
ｕ₁Ｇ＋ｕ₂Ｑを算出する。

【０１７８】＜ステップ１３０６＞ｖ≡ｘ_R ｍｏｄ
ｎ を算出する。

【０１７９】＜ステップ１３０７＞ｖ＝ｒの場合は「署
名有効」を出力し、ｖ≠ｒの場合は「署名無効」を出力す
る。

【０１８０】

【発明の効果】上述のように、本発明によれば、楕円曲
線上の点のスカラ倍演算の高速化を実現することができ
る。

【図面の簡単な説明】

【図１】本発明のシステム機能構成図である。

【図２】本発明の動作説明フローチャートである。

【図３】本発明によるφ進展開動作説明フローチャート
である。

【図４】本発明によるスカラー倍演算動作説明フローチ
ャートである。

【図５】本発明を用いた鍵生成装置の構成図である。

【図６】本発明を用いた暗号化装置の構成図である。

【図７】本発明を用いた暗号化装置の動作説明フローチ
ャートである。

【図８】本発明を用いた復号化装置の構成図である。

【図９】本発明を用いた復号化装置の動作説明フローチ
ャートである。

【図１０】本発明を用いた署名生成装置の構成図であ
る。

【図１１】本発明を用いた署名生成装置の動作説明フロ
ーチャートである。

【図１２】本発明を用いた署名検証装置の構成図であ
る。

【図１３】本発明を用いた署名検証装置の動作説明フロ
ーチャートである。

【符号の説明】

１０１：楕円曲線高速スカラー倍演算装置、１０２：制
御演算部、１０３：データ保持部、１０４：入出力部、
１０５：制御部、１０６：φ進展開部、１０７：スカラ
ー倍演算部、１０８：楕円曲線情報保持部、１０９：演
算対象データ保持部、１１０：中間データ保持部、１１
１：演算結果保持部 ５０１：鍵生成装置、５０２：制御演算部、５０３：デ
ータ保持部、５０４：入出力部、５０５：制御部、５０
６：乱数生成部、５０７：楕円曲線スカラー倍演算部、
５０８：楕円曲線情報保持部、５０９：鍵情報保持部 ６０１：暗号化装置、６０２：制御演算部、６０３：デ
ータ保持部、６０４：入出力部、６０５：制御部、６０
６：暗号処理部、６０７：乱数生成部、６０８：楕円曲
線スカラー倍演算部、６０９：平文情報保持部、６１
０：楕円曲線情報保持部、６１１：公開鍵情報保持部、
６１２：暗号文情報保持部 ８０１：復号化装置、８０２：制御演算部、８０３：デ
ータ保持部、８０４：入出力部、１３０５：制御部、１
３０６：復号処理部、８０７：楕円曲線スカラー倍演算
部、８０８：暗号文情報保持部、８０９：楕円曲線情報
保持部、８１０：公開鍵情報保持部、８１１：平文情報
保持部 １００１：署名生成装置、１００２：制御演算部、１０
０３：データ保持部、１００４：入出力部、１００５：
制御部、１００６：署名処理部、１００７：乱数生成
部、１００８：ハッシュ値生成部、１００９：楕円曲線
スカラー倍演算部、１０１０：平文情報保持部、１０１
１：楕円曲線情報保持部、１０１２：秘密鍵情報保持
部、１０１２：署名情報保持部 １２０１：署名検証装置、１２０２：制御演算部、１２
０３：データ保持部、１２０４：入出力部、１２０５：
制御部、１２０６：署名検証処理部、１２０７：ハッシ
ュ値生成部、１２０８：楕円曲線スカラー倍演算部、１
２０９：署名判定部、１２１０：平文情報保持部、１２
１１：楕円曲線情報保持部、１２１２：公開鍵情報保持
部、１２１３：署名検証結果保持部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 原野 紳一郎 神奈川県横浜市戸塚区戸塚町5030番地 株 式会社日立製作所ソフトウェア事業部内 Ｆターム(参考） 5J104 AA09 AA18 AA22 EA30 FA07 JA25 LA03 LA06 NA12 NA17

Claims (6)

【特許請求の範囲】
1. 【請求項１】有限体ＧＦ（ｐ³）（ｐは３以上の素数の
   べき乗）上定義される楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ、ま
   たは、有限体ＧＦ（ｐ³）（ｐは２のべき乗）上定義さ
   れる楕円曲線ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂ上の任意の点Ｐ
   のスカラ倍演算ｋＰ（ｋは整数）を行なう楕円曲線スカ
   ラ倍演算装置であって、 ｋを、前記楕円曲線上定義されるフロベニウス写像φ、
   および、整数ｋ₀、ｋ₁、ｋ₂を用いて、ｋ＝ｋ₀＋ｋ₁φ
   ＋ｋ₂φ²とφ進展開する際に、 （ｋ＋１）φ＝ｐ−１の関係式を用いてφ進展開を行な
   い、ｋＰ＝ｋ₀Ｐ＋ｋ₁φＰ＋ｋ₂φ²Ｐを算出するスカラ
   倍演算手段を備えることを特徴とする楕円曲線スカラ倍
   演算装置。
2. 【請求項２】楕円曲線暗号を利用した鍵生成装置であっ
   て、 有限体ＧＦ（ｐ³）（ｐは３以上の素数のべき乗）上定
   義される楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ、または、有限体
   ＧＦ（ｐ³）（ｐは２のべき乗）上定義される楕円曲線
   ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂに関する情報、基準となる楕
   円曲線Ｅ上の点Ｇ（ｘ，ｙ）およびその位数ｎの入力を
   受け付ける受付手段と、 ０＜ｄ＜ｎを満たすｄを秘密鍵として生成する秘密鍵生
   成手段と、 請求項１に記載のスカラ倍演算手段と、 前記スカラ倍演算手段を用いてＱ＝ｄＧを算出し、Ｑを
   公開鍵とする公開鍵生成手段とを備えることを特徴とす
   る鍵生成装置。
3. 【請求項３】楕円曲線暗号を利用した暗号化装置であっ
   て、 有限体ＧＦ（ｐ³）（ｐは３以上の素数のべき乗）上定
   義される楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ、または、有限体
   ＧＦ（ｐ³）（ｐは２のべき乗）上定義される楕円曲線
   ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂに関する情報、基準となる楕
   円曲線Ｅ上の点Ｇ（ｘ，ｙ）およびその位数ｎ、公開鍵
   Ｑ、平文ｍの入力を受け付ける受付手段と、 ０＜ｒ＜ｎを満たす乱数ｒを生成する乱数生成手段と、 請求項１に記載のスカラ倍演算手段と、 前記スカラ倍演算手段を用いて、Ｃ１＝ｒＧおよびＣ２
   ＝ｒＱ＋ｍを計算し、（Ｃ１，Ｃ２）を暗号文とする暗
   号文生成手段とを備えることを特徴とする暗号化装置。
4. 【請求項４】楕円曲線暗号を利用した復号化装置であっ
   て、 有限体ＧＦ（ｐ³）（ｐは３以上の素数のべき乗）上定
   義される楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ、または、有限体
   ＧＦ（ｐ³）（ｐは２のべき乗）上定義される楕円曲線
   ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂに関する情報、基準となる楕
   円曲線Ｅ上の点Ｇ（ｘ，ｙ）およびその位数ｎ、秘密鍵
   ｄ、暗号文（Ｃ１，Ｃ２）の入力を受け付ける受付手段
   と、 請求項１に記載のスカラ倍演算手段と、 前記スカラ倍演算手段を用いて、ｍ＝Ｃ２−ｄＣ１を計
   算し、ｍを平文とする平文生成手段とを備えることを特
   徴とする復号化装置。
5. 【請求項５】楕円曲線暗号を利用した署名生成装置であ
   って、 有限体ＧＦ（ｐ³）（ｐは３以上の素数のべき乗）上定
   義される楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ、または、有限体
   ＧＦ（ｐ³）（ｐは２のべき乗）上定義される楕円曲線
   ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂに関する情報、基準となる楕
   円曲線Ｅ上の点Ｇ（ｘ，ｙ）およびその位数ｎ、署名対
   象メッセージＭの入力を受け付ける受付手段と、 ０＜ｋ＜ｎを満たす乱数ｋを生成する乱数生成手段と、 請求項１に記載のスカラ倍演算手段と、 前記スカラ倍演算手段を用いて、Ｒ＝ｋＧ＝（ｘ_R，
   ｙ_R）を算出し、ｒ≡ｘ_Rｍｏｄ ｎを算出し、ハッシュ
   関数Ｈａｓｈを用いてｅ＝Ｈａｓｈ（Ｍ）を算出し、ｓ
   ≡ｋ^-1（ｅ＋ｄｒ） ｍｏｄ ｎを算出し、（ｒ，ｓ）
   を署名とする署名処理手段とを備えることを特徴とする
   署名生成装置。
6. 【請求項６】楕円局背暗号を利用した署名検証装置であ
   って、 有限体ＧＦ（ｐ³）（ｐは３以上の素数のべき乗）上定
   義される楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ、または、有限体
   ＧＦ（ｐ³）（ｐは２のべき乗）上定義される楕円曲線
   ｙ²＋ｘｙ＝ｘ³＋ａｘ＋ｂに関する情報、基準となる楕
   円曲線Ｅ上の点Ｇ（ｘ，ｙ）およびその位数ｎ、検証対
   象メッセージＭ、署名Ｓ＝（ｒ、ｓ）の入力を受け付け
   る受付手段と、 請求項１に記載のスカラ倍演算手段と、 ハッシュ関数Ｈａｓｈを用いてｅ＝Ｈａｓｈ（Ｍ）を算
   出し、ｕ₁≡ｅｓ^-1 ｍｏｄ ｎを算出し、ｕ₂≡ｒｓ^-1
   ｍｏｄ ｎを算出し、前記スカラ倍演算手段を用いて
   Ｒ＝（ｘ_R，ｙ_R）＝ｕ₁Ｇ＋ｕ₂Ｇを算出し、ｖ≡ｘ_R
   ｍｏｄ ｎを算出し、ｖ＝ｒの場合に署名が有効と判断
   し、ｖ≠ｒの場合に署名が無効と判断する検証手段とを
   備えることを特徴とする署名検証装置。