JP2003233306A - 公開鍵暗号安全性評価方法及び装置及び公開鍵暗号安全性評価プログラム及び公開鍵暗号安全性評価プログラムを格納した記憶媒体 - Google Patents
公開鍵暗号安全性評価方法及び装置及び公開鍵暗号安全性評価プログラム及び公開鍵暗号安全性評価プログラムを格納した記憶媒体Info
- Publication number
- JP2003233306A JP2003233306A JP2002031400A JP2002031400A JP2003233306A JP 2003233306 A JP2003233306 A JP 2003233306A JP 2002031400 A JP2002031400 A JP 2002031400A JP 2002031400 A JP2002031400 A JP 2002031400A JP 2003233306 A JP2003233306 A JP 2003233306A
- Authority
- JP
- Japan
- Prior art keywords
- field
- public key
- elliptic curve
- algebraic
- finite field
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Abstract
(57)【要約】
【課題】 有限体から得られる代数体上定義された楕円
曲線で、ある種の性質を持つものを構成できるとき、そ
の上でのＤＤＨが簡単になることを用いて、ＤＤＨに基
づく公開鍵暗号安全性を評価する。 【解決手段】 本発明は、入力された有限体に対して、
ある低次の代数体を生成し、ランダムに代数体上の楕円
曲線を生成し、楕円曲線が所定の条件を満たすとき、シ
フト素数を生成する。
曲線で、ある種の性質を持つものを構成できるとき、そ
の上でのＤＤＨが簡単になることを用いて、ＤＤＨに基
づく公開鍵暗号安全性を評価する。 【解決手段】 本発明は、入力された有限体に対して、
ある低次の代数体を生成し、ランダムに代数体上の楕円
曲線を生成し、楕円曲線が所定の条件を満たすとき、シ
フト素数を生成する。
Description
【０００１】
【発明の属する技術分野】本発明は、公開鍵暗号安全性
評価方法及び装置及び公開鍵暗号安全性評価プログラム
及び公開鍵暗号安全性評価プログラムを格納した記憶媒
体に係り、特に、公開鍵暗号システムにおける、公開鍵
暗号の安全性の証明に関して有用な有限体上のDiffie-H
ellman判定問題に基づいて公開鍵暗号の安全性を評価す
るための公開鍵暗号安全性評価方法及び装置及び公開鍵
暗号安全性評価プログラム及び公開鍵暗号安全性評価プ
ログラムを格納した記憶媒体に関する。
評価方法及び装置及び公開鍵暗号安全性評価プログラム
及び公開鍵暗号安全性評価プログラムを格納した記憶媒
体に係り、特に、公開鍵暗号システムにおける、公開鍵
暗号の安全性の証明に関して有用な有限体上のDiffie-H
ellman判定問題に基づいて公開鍵暗号の安全性を評価す
るための公開鍵暗号安全性評価方法及び装置及び公開鍵
暗号安全性評価プログラム及び公開鍵暗号安全性評価プ
ログラムを格納した記憶媒体に関する。
【０００２】
【従来の技術】ＲＳＡに代表される公開鍵暗号システム
では、素因数分解問題と呼ばれる数学の問題を計算量的
な観点から解くことの困難さにその安全性の根拠をおい
ているが、これと同様に解くことが困難であろうと予想
されている問題に、有限体上のDiffie-Hellman問題（以
下、ＤＨと記す）、Diffie-Hellman判定問題（以下、Ｄ
ＤＨと記す）、離散対数問題（以下、ＤＬＰと記す）と
呼ばれる問題がある。
では、素因数分解問題と呼ばれる数学の問題を計算量的
な観点から解くことの困難さにその安全性の根拠をおい
ているが、これと同様に解くことが困難であろうと予想
されている問題に、有限体上のDiffie-Hellman問題（以
下、ＤＨと記す）、Diffie-Hellman判定問題（以下、Ｄ
ＤＨと記す）、離散対数問題（以下、ＤＬＰと記す）と
呼ばれる問題がある。
【０００３】近年、安全性が証明可能な公開鍵暗号が数
多く提案され、その殆どが上記の問題と同様に困難であ
るということが数学的に証明されている。特に、ＤＤＨ
は、公開鍵暗号の安全性の証明に関して非常に有用なも
のであることが知られている。ＤＤＨに安全性の根拠を
おく公開鍵暗号システムの代表としては、ElGamal 暗号
やCramer-Shoup暗号などがある。公開鍵暗号の概念の提
案以来、この２０年間で素因数分解問題や有限体上のＤ
ＬＰに対しては、準指数時間アルゴリズムが既に提案さ
れている。また、ＤＬＰ、ＤＨ及びＤＤＨの間の関係は
この順に易しくなることが知られているが、その困難さ
のギャップについては、ほとんど何も知られていない。
一方、非常に最近ＤＬＰとＤＨは同等に困難でＤＤＨは
易しいという非自明な例も発見されており、ＤＤＨの困
難さについては、今後他の２つの問題に比較して研究が
進展する可能性も否定できない。
多く提案され、その殆どが上記の問題と同様に困難であ
るということが数学的に証明されている。特に、ＤＤＨ
は、公開鍵暗号の安全性の証明に関して非常に有用なも
のであることが知られている。ＤＤＨに安全性の根拠を
おく公開鍵暗号システムの代表としては、ElGamal 暗号
やCramer-Shoup暗号などがある。公開鍵暗号の概念の提
案以来、この２０年間で素因数分解問題や有限体上のＤ
ＬＰに対しては、準指数時間アルゴリズムが既に提案さ
れている。また、ＤＬＰ、ＤＨ及びＤＤＨの間の関係は
この順に易しくなることが知られているが、その困難さ
のギャップについては、ほとんど何も知られていない。
一方、非常に最近ＤＬＰとＤＨは同等に困難でＤＤＨは
易しいという非自明な例も発見されており、ＤＤＨの困
難さについては、今後他の２つの問題に比較して研究が
進展する可能性も否定できない。
【０００４】公開鍵暗号全般、ＤＬＰ，ＤＨ，ＤＤＨな
どに関しては、例えば、岡本、山本共著、“現代暗号”
産業図書（以下、この文献を文献１と称する）、及び、
Menezes, A.J. 他著“Handbook of Applied Cryptograp
hy”、CRC Press(1996) （以下、この文献を文献１と称
する）などを参照されたい。
どに関しては、例えば、岡本、山本共著、“現代暗号”
産業図書（以下、この文献を文献１と称する）、及び、
Menezes, A.J. 他著“Handbook of Applied Cryptograp
hy”、CRC Press(1996) （以下、この文献を文献１と称
する）などを参照されたい。
【０００５】
【発明が解決しようとする課題】しかしながら、ＤＤＨ
よりも難しいであろうと考えられているＤＬＰなどによ
る評価しか与えられていないが、ＤＬＰは難しくてもＤ
ＤＨは易しいような場合も起こり得ることが判明してい
ることからより精密な評価が望まれる。
よりも難しいであろうと考えられているＤＬＰなどによ
る評価しか与えられていないが、ＤＬＰは難しくてもＤ
ＤＨは易しいような場合も起こり得ることが判明してい
ることからより精密な評価が望まれる。
【０００６】本発明は、上記の点に鑑みなされたもの
で、有限体上定義されたＤＤＨに関して、今まで知られ
ていなかった特徴を持つ有限体に対して、その有限体か
ら得られる代数体上定義された楕円曲線で、ある種の性
質を持つものを構成できるとき、その上でのＤＤＨが簡
単になることを用いて、ＤＤＨに基づく公開鍵暗号安全
性を評価するための公開鍵暗号安全性評価方法及び装置
及び公開鍵暗号安全性評価プログラム及び公開鍵暗号安
全性評価プログラムを格納した記憶媒体を提供すること
を目的とする。
で、有限体上定義されたＤＤＨに関して、今まで知られ
ていなかった特徴を持つ有限体に対して、その有限体か
ら得られる代数体上定義された楕円曲線で、ある種の性
質を持つものを構成できるとき、その上でのＤＤＨが簡
単になることを用いて、ＤＤＨに基づく公開鍵暗号安全
性を評価するための公開鍵暗号安全性評価方法及び装置
及び公開鍵暗号安全性評価プログラム及び公開鍵暗号安
全性評価プログラムを格納した記憶媒体を提供すること
を目的とする。
【０００７】
【課題を解決するための手段】図１は、本発明の原理を
説明するための図である。
説明するための図である。
【０００８】本発明（請求項１）は、公開鍵暗号システ
ムにおけるコンピュータ上で、公開鍵暗号方式の安全性
を評価するための、有限体上のＤＤＨに基づく公開鍵暗
号安全性評価方法において、入力された有限体に対し
て、ある低次の代数体を生成し（ステップ１）、ランダ
ムに代数体上の楕円曲線を生成し（ステップ２）、楕円
曲線が所定の条件を満たすとき、シフト素数を生成する
（ステップ３）。本発明（請求項２）は、入力された有
限体に対して、ある低次数の代数体上定義された楕円曲
線が、該代数体上定義されたねじれ点群の位数が十分大
きいかどうかを判定する。
ムにおけるコンピュータ上で、公開鍵暗号方式の安全性
を評価するための、有限体上のＤＤＨに基づく公開鍵暗
号安全性評価方法において、入力された有限体に対し
て、ある低次の代数体を生成し（ステップ１）、ランダ
ムに代数体上の楕円曲線を生成し（ステップ２）、楕円
曲線が所定の条件を満たすとき、シフト素数を生成する
（ステップ３）。本発明（請求項２）は、入力された有
限体に対して、ある低次数の代数体上定義された楕円曲
線が、該代数体上定義されたねじれ点群の位数が十分大
きいかどうかを判定する。
【０００９】図２は、本発明の原理構成図である。
【００１０】本発明（請求項３）は、公開鍵暗号システ
ムにおける有限体上のＤＤＨに基づく公開鍵暗号安全性
評価装置であって、入力された有限体に対して、ある低
次の代数体を生成するｄ代数体生成手段１１０と、ラン
ダムに代数体上の楕円曲線を生成する（ｌ，Ｋ）−楕円
曲線生成手段１２０と、楕円曲線が所定の条件を満たす
とき、シフト素数を生成するシフト素数生成手段１３０
とを有する。
ムにおける有限体上のＤＤＨに基づく公開鍵暗号安全性
評価装置であって、入力された有限体に対して、ある低
次の代数体を生成するｄ代数体生成手段１１０と、ラン
ダムに代数体上の楕円曲線を生成する（ｌ，Ｋ）−楕円
曲線生成手段１２０と、楕円曲線が所定の条件を満たす
とき、シフト素数を生成するシフト素数生成手段１３０
とを有する。
【００１１】本発明（請求項４）は、シフト素数生成手
段１３０において、入力された有限体に対して、ある低
次数の代数体上定義された楕円曲線が、該代数体上定義
されたねじれ点群の位数が十分大きいかどうかを判定す
る手段を含む。
段１３０において、入力された有限体に対して、ある低
次数の代数体上定義された楕円曲線が、該代数体上定義
されたねじれ点群の位数が十分大きいかどうかを判定す
る手段を含む。
【００１２】本発明（請求項５）は、公開鍵暗号システ
ムにおける有限体上のDiffie-Hellman判定問題（以下、
ＤＤＨ）に基づく公開鍵暗号安全性評価プログラムであ
って、入力された有限体に対して、ある低次の代数体を
生成するｄ代数体生成プロセスと、ランダムに代数体上
の楕円曲線を生成する（ｌ* ，Ｋ）−楕円曲線生成プロ
セスと、楕円曲線が所定の条件を満たすとき、シフト素
数を生成するシフト素数生成プロセスとを有する。
ムにおける有限体上のDiffie-Hellman判定問題（以下、
ＤＤＨ）に基づく公開鍵暗号安全性評価プログラムであ
って、入力された有限体に対して、ある低次の代数体を
生成するｄ代数体生成プロセスと、ランダムに代数体上
の楕円曲線を生成する（ｌ* ，Ｋ）−楕円曲線生成プロ
セスと、楕円曲線が所定の条件を満たすとき、シフト素
数を生成するシフト素数生成プロセスとを有する。
【００１３】本発明（請求項６）は、シフト素数生成プ
ロセスにおいて、入力された有限体に対して、ある低次
数の代数体上定義された楕円曲線が、該代数体上定義さ
れたねじれ点群の位数が十分大きいかどうかを判定する
プロセスを含む。
ロセスにおいて、入力された有限体に対して、ある低次
数の代数体上定義された楕円曲線が、該代数体上定義さ
れたねじれ点群の位数が十分大きいかどうかを判定する
プロセスを含む。
【００１４】本発明（請求項７）は、公開鍵暗号システ
ムにおける有限体上のDiffie-Hellman判定問題（以下、
ＤＤＨ）に基づく公開鍵暗号安全性評価プログラムを格
納した記憶媒体であって、入力された有限体に対して、
ある低次の代数体を生成するｄ代数体生成プロセスと、
ランダムに代数体上の楕円曲線を生成する（ｌ* ，Ｋ）
−楕円曲線生成プロセスと、楕円曲線が所定の条件を満
たすとき、シフト素数を生成するシフト素数生成プロセ
スとを有する。
ムにおける有限体上のDiffie-Hellman判定問題（以下、
ＤＤＨ）に基づく公開鍵暗号安全性評価プログラムを格
納した記憶媒体であって、入力された有限体に対して、
ある低次の代数体を生成するｄ代数体生成プロセスと、
ランダムに代数体上の楕円曲線を生成する（ｌ* ，Ｋ）
−楕円曲線生成プロセスと、楕円曲線が所定の条件を満
たすとき、シフト素数を生成するシフト素数生成プロセ
スとを有する。
【００１５】本発明（請求項８）は、シフト素数生成プ
ロセスにおいて、入力された有限体に対して、ある低次
数の代数体上定義された楕円曲線が、該代数体上定義さ
れたねじれ点群の位数が十分大きいかどうかを判定する
プロセスを含む。上記のように、本発明では、入力され
た有限体のサイズから代数体の次数及びその上の楕円曲
線を可変にして、与えられるアルゴリズムから、安全性
に関する新しい指標を与え、有限体上のＤＤＨに安全性
の根拠をおく公開鍵暗号システムの安全性を評価するこ
とが可能となる。
ロセスにおいて、入力された有限体に対して、ある低次
数の代数体上定義された楕円曲線が、該代数体上定義さ
れたねじれ点群の位数が十分大きいかどうかを判定する
プロセスを含む。上記のように、本発明では、入力され
た有限体のサイズから代数体の次数及びその上の楕円曲
線を可変にして、与えられるアルゴリズムから、安全性
に関する新しい指標を与え、有限体上のＤＤＨに安全性
の根拠をおく公開鍵暗号システムの安全性を評価するこ
とが可能となる。
【００１６】
【発明の実施の形態】まず、ＤＤＨに安全性の根拠を持
つElGamal 暗号システムについて簡単に説明する。以
下、Ｆq で位数がｑの有限体を表すものとする（但し、
標数はｐとする）。Ｆq の部分群で十分大きな素数位数
つElGamal 暗号システムについて簡単に説明する。以
下、Ｆq で位数がｑの有限体を表すものとする（但し、
標数はｐとする）。Ｆq の部分群で十分大きな素数位数
【００１７】
【数１】
を持つものをＧ＝＜ａ＞とする。ｘをＺ／ｌ* Ｚからラ
ンダムに選びｙ＝ａx とする。このとき、（ｑ，ｌ* ，
ａ，ｙ）を公開鍵、ｘを秘密鍵として暗号化処理
（Ｅ）、復号化処理（Ｄ）を Ｃ＝（Ｃ1 ，Ｃ2 ）＝Ｅ（Ｍ）， （１） Ｃ1 ＝ａr ， （２） Ｃ2 ＝ｍｙr （３） Ｍ＝Ｄ（Ｃ）＝Ｃ2 ／Ｃ1 x （４） で定める。ここで、ｒは、０＜ｒ＜ｌ* を満たす任意の
整数とし、暗号化処理の度に選ぶものとする。また、Ｍ
は平文でＧから選ばれているものとする。
ンダムに選びｙ＝ａx とする。このとき、（ｑ，ｌ* ，
ａ，ｙ）を公開鍵、ｘを秘密鍵として暗号化処理
（Ｅ）、復号化処理（Ｄ）を Ｃ＝（Ｃ1 ，Ｃ2 ）＝Ｅ（Ｍ）， （１） Ｃ1 ＝ａr ， （２） Ｃ2 ＝ｍｙr （３） Ｍ＝Ｄ（Ｃ）＝Ｃ2 ／Ｃ1 x （４） で定める。ここで、ｒは、０＜ｒ＜ｌ* を満たす任意の
整数とし、暗号化処理の度に選ぶものとする。また、Ｍ
は平文でＧから選ばれているものとする。
【００１８】この暗号システムは、上記（ａ，ｙ）が与
えられた時、ｙ＝ａx なる自然数ｘを求める問題（ＤＬ
Ｐ）を解くことによっても破られるが（つまり、ＤＬＰ
にも安全性の根拠がある）、ＤＬＰよりもさらに強い仮
定となるＤＤＨを仮定すれば、ＩＮＤ−ＣＰＡ（選択平
文攻撃に対して強秘匿）であることが証明されている。
えられた時、ｙ＝ａx なる自然数ｘを求める問題（ＤＬ
Ｐ）を解くことによっても破られるが（つまり、ＤＬＰ
にも安全性の根拠がある）、ＤＬＰよりもさらに強い仮
定となるＤＤＨを仮定すれば、ＩＮＤ−ＣＰＡ（選択平
文攻撃に対して強秘匿）であることが証明されている。
【００１９】ＤＤＨの定義や、ElGamal 暗号の安全性に
関しては、Tsiounis,Y, 他著、“Onthe Security of El
Gamal Based Encryption ”、Proceeding of PKC'98, L
NCS1431,Springer-Verlag (1998)( 以下この文献を文献
２と称する）を参照されたい。
関しては、Tsiounis,Y, 他著、“Onthe Security of El
Gamal Based Encryption ”、Proceeding of PKC'98, L
NCS1431,Springer-Verlag (1998)( 以下この文献を文献
２と称する）を参照されたい。
【００２０】念のため、ここでも有限体上のＤＤＨの定
義を与えておく。
義を与えておく。
【００２１】有限体Ｆq ，Ｆq の部分群で十分大きな素
数位数ｌ* をもつものをＧ＝＜ｂ＞とする。ｘ，ｙ，ｚ
がＺ／ｌ* Ｚからランダムに選ばれ、（ｇ，ｂx ，
ｂy ，ｂ z ）が与えられたとき、ｘｙ≡ｚ mod ｌ* と
なるかどうかを、１／２よりも意味のある確率で判定で
きるかという問題である。
数位数ｌ* をもつものをＧ＝＜ｂ＞とする。ｘ，ｙ，ｚ
がＺ／ｌ* Ｚからランダムに選ばれ、（ｇ，ｂx ，
ｂy ，ｂ z ）が与えられたとき、ｘｙ≡ｚ mod ｌ* と
なるかどうかを、１／２よりも意味のある確率で判定で
きるかという問題である。
【００２２】その他、Cramer-Shoup暗号方式なども提案
されている。これについては、Cramer, R. 他著、“A
Parctical Public Key Cryptosystem Provably Secure
againset Adaptive Chosen Cipher Attack”、Proceedi
ng of Crypto'98, LNCS 1462, Springer-Verlag(1998)
（以下、この文献を文献３と称する）を参照されたい。
されている。これについては、Cramer, R. 他著、“A
Parctical Public Key Cryptosystem Provably Secure
againset Adaptive Chosen Cipher Attack”、Proceedi
ng of Crypto'98, LNCS 1462, Springer-Verlag(1998)
（以下、この文献を文献３と称する）を参照されたい。
【００２３】本発明での提案手法はいつかの準備を必要
とする。まずは、本発明に必要なアルゴリズムを列挙し
た後、具体的な手続について説明する。
とする。まずは、本発明に必要なアルゴリズムを列挙し
た後、具体的な手続について説明する。
【００２４】［低次数の代数体生成アルゴリズム］
入力：有限体Ｆq ，有理整数係数の多項式Ｐo ；
出力：［Ｋ：Ｑ］＝Ｐ（log ｑ) なる代数体Ｋ；
（１） ｄ＝Ｐ（log ｑ）次の有理整数係数で既約な多
項式をランダムに選び、ｋ（Ｘ）とおく。
項式をランダムに選び、ｋ（Ｘ）とおく。
【００２５】（２） Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））とす
る。
る。
【００２６】ここで、Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））の意
味は、集合として、Ｐ(log ｑ）次以下のＸを変数とし
た有理整数係数の多項式全体を考え、その集合をｋ
（Ｘ）を法として商をとったものである。つまり、ｂ
（Ｘ）とｂ（Ｘ）なる２つの多項式が与えられたとき、
ｂ（Ｘ）−ｈ（Ｘ）がｆ（Ｘ）で割り切れるとき、ｂ
（Ｘ）とｈ（Ｘ）を同一視するものである。
味は、集合として、Ｐ(log ｑ）次以下のＸを変数とし
た有理整数係数の多項式全体を考え、その集合をｋ
（Ｘ）を法として商をとったものである。つまり、ｂ
（Ｘ）とｂ（Ｘ）なる２つの多項式が与えられたとき、
ｂ（Ｘ）−ｈ（Ｘ）がｆ（Ｘ）で割り切れるとき、ｂ
（Ｘ）とｈ（Ｘ）を同一視するものである。
【００２７】以下、このアルゴリズムを「ｄ−代数体生
成器」と称する。
成器」と称する。
【００２８】［ねじれ群の位数大なる代数体上の楕円曲
線生成アルゴリズム］入力：有限体Ｆq ，代数体Ｋ＝Ｑ
［Ｘ］／ｋ（Ｘ）），素数ｌ* （ｌ* ｜ｑ−１）。
線生成アルゴリズム］入力：有限体Ｆq ，代数体Ｋ＝Ｑ
［Ｘ］／ｋ（Ｘ）），素数ｌ* （ｌ* ｜ｑ−１）。
【００２９】出力：代数体Ｋ上定義されかつ、ねじれ群
のサイズがｌ* となる楕円曲線Ｅ。 （１） Ｋ上定義された楕円曲線をランダムに選び、Ｅ
とおく。
のサイズがｌ* となる楕円曲線Ｅ。 （１） Ｋ上定義された楕円曲線をランダムに選び、Ｅ
とおく。
【００３０】（２） Ｅのｌ* 分点多項式を用いて、Ｅ
のｌ* ねじれ、かつＫ有理点を決定する。
のｌ* ねじれ、かつＫ有理点を決定する。
【００３１】（３） Ｅのｌ* ねじれ点の位数がｌ* で
あれば、その楕円曲線を出力し、そうでなければ（１）
に戻る。
あれば、その楕円曲線を出力し、そうでなければ（１）
に戻る。
【００３２】ここで、ｌ* ねじれ点や楕円曲線のｌ* 等
分多項式については、岡本、太田共編、“暗号・ゼロ知
識証明・数論”、共立出版（以下のこの文献を、文献４
と称する）を参照されたい。
分多項式については、岡本、太田共編、“暗号・ゼロ知
識証明・数論”、共立出版（以下のこの文献を、文献４
と称する）を参照されたい。
【００３３】以下、このアルゴリズムを「（ｌ* ，Ｋ）
−楕円曲線アルゴリズム」と称する。
−楕円曲線アルゴリズム」と称する。
【００３４】［シフト素数生成アルゴリズム］
入力：有限体Ｆq 、素数ｌ* （ｌ* ｜ｑ−１）。
【００３５】出力：素数ｒ、自然数ｓで、
【００３６】
【数２】
を満たす。但し、ｓ＜log ｒ。
【００３７】（１） ｌ* よりビットサイズが大きい素
数ｒを生成する。
数ｒを生成する。
【００３８】（２） ｒが、
【００３９】
【数３】
を満たすｓ＜log ｒが存在するなら、ｒ，ｓを出力す
る、そうでなければ（１）に戻る。
る、そうでなければ（１）に戻る。
【００４０】以下、このアルゴリズムを「ｌ* −シフト
素数生成アルゴリズム」と称する。 ［Ｔａｔｅ対計算アルゴリズム］ 入力：有限体Ｆq 上の楕円曲線Ｅ，Ｅ上のＦq 有理点の
組（Ｐ，Ｑ）。但し、Ｐ，Ｑは、素数（ｌ* （ｌ* ｜ｑ
−１））位数。
素数生成アルゴリズム」と称する。 ［Ｔａｔｅ対計算アルゴリズム］ 入力：有限体Ｆq 上の楕円曲線Ｅ，Ｅ上のＦq 有理点の
組（Ｐ，Ｑ）。但し、Ｐ，Ｑは、素数（ｌ* （ｌ* ｜ｑ
−１））位数。
【００４１】出力：Ｐ，ＱのＴａｔｅ対の値、＜Ｐ，Ｑ
＞。これは、１のｌ* 乗根。
＞。これは、１のｌ* 乗根。
【００４２】（１） Ｅ（Ｆq ）のランダムな点Ｔ，Ｕ
を選び、Ａ＝（Ｐ＋Ｔ）−（Ｔ）とする。
を選び、Ａ＝（Ｐ＋Ｔ）−（Ｔ）とする。
【００４３】（２） ｆA をＡから決まる主因子とす
る。
る。
【００４４】（３）
【００４５】
【数４】
が１のｌ* 乗根であれば、この値を出力し、そうでなけ
れば（１）に戻る。
れば（１）に戻る。
【００４６】ここで、Ｔａｔｅ対についての詳しい計算
方法及び性質は、Frey,G 他著“Aremark concerning m
-divisibility and the discrete logarithm in the di
visor class group of curves”、Math. Comp, Vol.62,
(1994)（以下、この文献を文献５と称する）。
方法及び性質は、Frey,G 他著“Aremark concerning m
-divisibility and the discrete logarithm in the di
visor class group of curves”、Math. Comp, Vol.62,
(1994)（以下、この文献を文献５と称する）。
【００４７】以下、このアルゴリズムを「ｌ* −Ｔａｔ
ｅ対計算アルゴリズム」と称する。注意として、ｌ* −
Ｔａｔｅ対計算アルゴリムが計算できるような楕円曲線
上のＤＤＨは簡単に解ける。実際、ＤＤＨとして、（ｂ
x ，ｂy ，ｂz ）が与えられていたとする。この際、＜
ｂx ，ｂy ＞＝＜ｂ，ｂ＞xyかつ＜ｂ，ｂz ＞＝＜ｂ，
ｂ＞z であるため、＜ｂ，ｂ＞が１にならない限り、ｘ
ｙ≡ｚ mod ｌ* であるかどうかは非常に簡単にチェッ
クできる。このことの詳しい議論は、Joux,A他著、“Se
parating Decisional Diffie-Hellman from Diffie-Hel
lman in cryptographic groups, Cryptology ePrint Ac
hive, Report 2001/003, http://eprint.org/2001/003
（以下、この文献を文献６と称する）を参照されたい。
ｅ対計算アルゴリズム」と称する。注意として、ｌ* −
Ｔａｔｅ対計算アルゴリムが計算できるような楕円曲線
上のＤＤＨは簡単に解ける。実際、ＤＤＨとして、（ｂ
x ，ｂy ，ｂz ）が与えられていたとする。この際、＜
ｂx ，ｂy ＞＝＜ｂ，ｂ＞xyかつ＜ｂ，ｂz ＞＝＜ｂ，
ｂ＞z であるため、＜ｂ，ｂ＞が１にならない限り、ｘ
ｙ≡ｚ mod ｌ* であるかどうかは非常に簡単にチェッ
クできる。このことの詳しい議論は、Joux,A他著、“Se
parating Decisional Diffie-Hellman from Diffie-Hel
lman in cryptographic groups, Cryptology ePrint Ac
hive, Report 2001/003, http://eprint.org/2001/003
（以下、この文献を文献６と称する）を参照されたい。
【００４８】［（ｐ，ｍ）−近似定義多項式生成アルゴ
リズム］ 入力：自然数ｍ、素数ｐ，ｑ，進数体Ｑp ，ｄ次代数体
ＫがＱp に埋め込まれているとして、Ｋの要素ａでＱの
要素でないもの。
リズム］ 入力：自然数ｍ、素数ｐ，ｑ，進数体Ｑp ，ｄ次代数体
ＫがＱp に埋め込まれているとして、Ｋの要素ａでＱの
要素でないもの。
【００４９】出力：ａのＱ上の定義多項式を有理整数係
数にしてmod ｐm したもの。
数にしてmod ｐm したもの。
【００５０】（１） １，ｐ＊ａ，ｐ2 ＊ａ2 ，…，ｐ
m ＊ａd-1 から決まる有理整数環上の近似格子を生成す
る。これをＬとする。
m ＊ａd-1 から決まる有理整数環上の近似格子を生成す
る。これをＬとする。
【００５１】（２） Ｌに対して、ＬＬＬアルゴリズム
を適用し、mod ｐm を法とした、ａのＱ上の定義方程式
を出力。
を適用し、mod ｐm を法とした、ａのＱ上の定義方程式
を出力。
【００５２】ここで、上記のアルゴリズムに出てきた用
語及びＬＬＬアルゴリズムについての詳細については、
Smart, N.P. 著、“The Algorithmic Resolution of Di
ophantine Equations ”、London Math. Society, Stud
ent Texts 41, Cambridge.（以下、この文献を文献７と
称する）を参照されたい。
語及びＬＬＬアルゴリズムについての詳細については、
Smart, N.P. 著、“The Algorithmic Resolution of Di
ophantine Equations ”、London Math. Society, Stud
ent Texts 41, Cambridge.（以下、この文献を文献７と
称する）を参照されたい。
【００５３】以下、このアルゴリズムを「（ｐ，ｍ）−
近似定義多項式生成アルゴリズム」と称する。
近似定義多項式生成アルゴリズム」と称する。
【００５４】以上の設定のもとで、ＤＤＨが易しい問題
となる場合のアルゴリズムを説明する。
となる場合のアルゴリズムを説明する。
【００５５】まず、有限体Ｆq が与えられていて、その
素数位数ｌ* の要素の組（ａ，ｂ，ｃ）が与えられてい
るとする。適当に定めたｄ次既約多項式について、ｄ−
代数体生成器で代数体Ｋと、（ｌ* ，Ｋ）−楕円曲線生
成アルゴリズムを使って、その体上で定義された楕円曲
線を生成する。次に、その楕円曲線の中で特に、標数ｐ
の上で定義された楕円曲線を生成する。
素数位数ｌ* の要素の組（ａ，ｂ，ｃ）が与えられてい
るとする。適当に定めたｄ次既約多項式について、ｄ−
代数体生成器で代数体Ｋと、（ｌ* ，Ｋ）−楕円曲線生
成アルゴリズムを使って、その体上で定義された楕円曲
線を生成する。次に、その楕円曲線の中で特に、標数ｐ
の上で定義された楕円曲線を生成する。
【００５６】次に、その楕円曲線の中で特に、標数ｐの
上で還元し、Ｆq 上の楕円曲線Ｅ’が特異となるものを
選ぶ。Ｆq の乗法群からその特異楕円曲線Ｅ’上への準
同型写像が自然に構成できて、その写像によるａ，ｂ，
ｃの像を、それぞれ、Ａ’，Ｂ’，Ｃ’とする。まず、
Ａ’，Ｂ’，Ｃ’をＫ上に持ち上げる。ＫのＱp への埋
め込み写像を固定しておき、持ち上げられた点をそれぞ
れ、Ａ，Ｂ，Ｃとする。これに、上記（ｐ，ｍ）−近似
定義多項式生成アルゴリズムを用いる。
上で還元し、Ｆq 上の楕円曲線Ｅ’が特異となるものを
選ぶ。Ｆq の乗法群からその特異楕円曲線Ｅ’上への準
同型写像が自然に構成できて、その写像によるａ，ｂ，
ｃの像を、それぞれ、Ａ’，Ｂ’，Ｃ’とする。まず、
Ａ’，Ｂ’，Ｃ’をＫ上に持ち上げる。ＫのＱp への埋
め込み写像を固定しておき、持ち上げられた点をそれぞ
れ、Ａ，Ｂ，Ｃとする。これに、上記（ｐ，ｍ）−近似
定義多項式生成アルゴリズムを用いる。
【００５７】次に、ｌ* −シフト素数生成アルゴリズム
で生成された素数ｒ上の付値で還元したものをＥ”とす
る。Ａ，Ｂ，ＣをＦrs上に還元したものをＡ”，Ｂ”，
Ｃ”とする。すると、ｌ* −Ｔａｔｅ対アルゴリズムを
使って、Ａ”，Ｂ”，Ｃ”に対するＤＤＨを解くことが
できる。
で生成された素数ｒ上の付値で還元したものをＥ”とす
る。Ａ，Ｂ，ＣをＦrs上に還元したものをＡ”，Ｂ”，
Ｃ”とする。すると、ｌ* −Ｔａｔｅ対アルゴリズムを
使って、Ａ”，Ｂ”，Ｃ”に対するＤＤＨを解くことが
できる。
【００５８】
【実施例】以下、図面と共に本発明の実施例を説明す
る。
る。
【００５９】なお、以下の説明中に使用されるｌ* （Ｌ
の小文字）は、数字の『１』と区別するための記載であ
るが、
の小文字）は、数字の『１』と区別するための記載であ
るが、
【００６０】
【数５】
を意味している。また、図面上では、
【００６１】
【数６】
と記している。
【００６２】以下では、ＤＤＨに基づく、公開鍵暗号評
価装置の一例を示す。
価装置の一例を示す。
【００６３】図３は、本発明の一実施例のＤＤＨに基づ
く公開鍵暗号評価装置の構成を示す。
く公開鍵暗号評価装置の構成を示す。
【００６４】同図に示すＤＤＨに基づく公開鍵暗号評価
装置１００は、入力された有限体に対して、前述の低次
数の代数体生成アルゴリズムを用いてある低次数の代数
体を生成するｄ−代数体生成部１１０、前述のねじれ群
の位数大なる代数体の楕円曲線生成アルゴリズムを用い
て楕円曲線を生成する（ｌ* ，Ｋ）−楕円曲線生成部１
２０、前述のシフト素数生成アルゴリズムを用いてシフ
ト素数を生成するシフト素数生成部１３０を有する。
装置１００は、入力された有限体に対して、前述の低次
数の代数体生成アルゴリズムを用いてある低次数の代数
体を生成するｄ−代数体生成部１１０、前述のねじれ群
の位数大なる代数体の楕円曲線生成アルゴリズムを用い
て楕円曲線を生成する（ｌ* ，Ｋ）−楕円曲線生成部１
２０、前述のシフト素数生成アルゴリズムを用いてシフ
ト素数を生成するシフト素数生成部１３０を有する。
【００６５】図４は、本発明の一実施例のｄ−代数体生
成部の詳細構成を示す。
成部の詳細構成を示す。
【００６６】ｄ−代数体生成部１１０は、多項式Ｐ
（Ｘ），ｋ（Ｘ）を生成する多項式生成器１１１、ｋ
（Ｘ）が既約になったかを判定する既約判定器１１２か
ら構成される。
（Ｘ），ｋ（Ｘ）を生成する多項式生成器１１１、ｋ
（Ｘ）が既約になったかを判定する既約判定器１１２か
ら構成される。
【００６７】ｄ−代数体生成部１１０が、有限体Ｆq 上
のＤＤＨに基づく公開鍵暗号のパラメータの一部である
（ｑ，ｌ* ）と拡大次数のためのｄ及び繰り返し回数の
ための補助パラメータｍ，ｎを受け取る（但し、ｌ
* は、素数でｌ* ｜（ｑ−１）とする。また、ｍ，ｎ
は、log ｑの多項式のサイズを持つものとする）。
のＤＤＨに基づく公開鍵暗号のパラメータの一部である
（ｑ，ｌ* ）と拡大次数のためのｄ及び繰り返し回数の
ための補助パラメータｍ，ｎを受け取る（但し、ｌ
* は、素数でｌ* ｜（ｑ−１）とする。また、ｍ，ｎ
は、log ｑの多項式のサイズを持つものとする）。
【００６８】多項式生成器１１１は、上記の入力がある
と、ｄ＋１の整数を生成することにより、多項式Ｐ
（Ｘ）を生成する。これを、ｄ＝Ｐ（log ｑ）なるまで
繰り返し行う。次に、再度、多項式生成器１１１によ
り、同様にｄ次の多項式ｋ（Ｘ）を生成する。
と、ｄ＋１の整数を生成することにより、多項式Ｐ
（Ｘ）を生成する。これを、ｄ＝Ｐ（log ｑ）なるまで
繰り返し行う。次に、再度、多項式生成器１１１によ
り、同様にｄ次の多項式ｋ（Ｘ）を生成する。
【００６９】既約判定器１１２は、多項式生成器１１１
で生成されたｋ（Ｘ）を入力し、ｋ（Ｘ）が既約になる
まで繰り返し、代数体Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））を生
成する。
で生成されたｋ（Ｘ）を入力し、ｋ（Ｘ）が既約になる
まで繰り返し、代数体Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））を生
成する。
【００７０】図５は、本発明の一実施例の（ｌ* ，Ｋ）
−楕円曲線生成部の詳細構成を示す。
−楕円曲線生成部の詳細構成を示す。
【００７１】（ｌ* ，Ｋ）−楕円曲線生成部１２０は、
楕円曲線生成器１２１、ｌ* −等分多項式生成器１２
２、ｌ* −ねじれ点評価器１２３から構成される。
楕円曲線生成器１２１、ｌ* −等分多項式生成器１２
２、ｌ* −ねじれ点評価器１２３から構成される。
【００７２】楕円曲線生成器１２１は、ｄ−代数体生成
部１１０から代数体Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））が入力
されると、ランダムに代数体Ｋ上の楕円曲線Ｅを生成す
る。 ｌ* −等分多項式生成器１２２は、Ｅのｌ* −等分多項
式を生成する ｌ* −ねじれ点評価器１２３は、ＥがＫ−有理点となる
ｌ* −ねじれ点をｌ*個以上含むかどうかを判定する。
含むとき、この楕円曲線Ｅを出力する。
部１１０から代数体Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））が入力
されると、ランダムに代数体Ｋ上の楕円曲線Ｅを生成す
る。 ｌ* −等分多項式生成器１２２は、Ｅのｌ* −等分多項
式を生成する ｌ* −ねじれ点評価器１２３は、ＥがＫ−有理点となる
ｌ* −ねじれ点をｌ*個以上含むかどうかを判定する。
含むとき、この楕円曲線Ｅを出力する。
【００７３】図６は、本発明の一実施例のシフト素数生
成部の詳細構成を示す。
成部の詳細構成を示す。
【００７４】シフト素数生成部１３０は、素数生成器１
３１を有する。
３１を有する。
【００７５】素数生成器１３１は、（ｌ* ，Ｋ）−楕円
曲線生成部１２０から出力された、ｑ，ｌ* を入力し、
素数ｒ、自然数ｓとするとき、
曲線生成部１２０から出力された、ｑ，ｌ* を入力し、
素数ｒ、自然数ｓとするとき、
【００７６】
【数７】
を満たす（但し、ｓ＜log ｒ）ものを出力し、０を出力
する。
する。
【００７７】次に、上記の構成における動作を説明す
る。
る。
【００７８】図７は、本発明の一実施例の動作のフロー
チャートである。
チャートである。
【００７９】まず、ｄ−代数体生成部１１０が、有限体
Ｆq 上のＤＤＨに基づく公開鍵暗号のパラメータの一部
である（ｑ，ｌ* ）と拡大次数のためのｄ、及び繰り返
し回数のための補助パラメータｍ，ｎを受け取ると（た
だし、ｌ* は、素数でｌ* ｜（ｑ−１）とする。また、
ｍ，ｎは、log ｑの多項式のサイズを持つものとする）
（ステップ１０１）、多項式生成器１１１で、多項式Ｐ
（Ｘ）を生成する（ステップ１０２）。これを、ｄ＝Ｐ
（log ｑ）となるまで繰り返し行う（ステップ１０
３）。
Ｆq 上のＤＤＨに基づく公開鍵暗号のパラメータの一部
である（ｑ，ｌ* ）と拡大次数のためのｄ、及び繰り返
し回数のための補助パラメータｍ，ｎを受け取ると（た
だし、ｌ* は、素数でｌ* ｜（ｑ−１）とする。また、
ｍ，ｎは、log ｑの多項式のサイズを持つものとする）
（ステップ１０１）、多項式生成器１１１で、多項式Ｐ
（Ｘ）を生成する（ステップ１０２）。これを、ｄ＝Ｐ
（log ｑ）となるまで繰り返し行う（ステップ１０
３）。
【００８０】次に、再び、多項式生成器１１１を使っ
て、ｄ次の多項式ｋ（Ｘ）を生成する（ステップ１０
４）。これを、既約判定器１１２に入力し、ｋ（Ｘ）が
既約になるまで繰り返す（ステップ１０５）。これらを
用いて、代数体Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））を生成する
（ステップ１０６）。
て、ｄ次の多項式ｋ（Ｘ）を生成する（ステップ１０
４）。これを、既約判定器１１２に入力し、ｋ（Ｘ）が
既約になるまで繰り返す（ステップ１０５）。これらを
用いて、代数体Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））を生成する
（ステップ１０６）。
【００８１】次に、代数体Ｋ＝Ｑ［Ｘ］／（ｋ（Ｘ））
を（ｌ* ，Ｋ）−楕円曲線生成部１２０に入力する。
を（ｌ* ，Ｋ）−楕円曲線生成部１２０に入力する。
【００８２】楕円曲線生成器１２１で、ランダムに代数
体Ｋ上の楕円曲線Ｅを生成し（ステップ１０７）、それ
をｌ* −ねじれ点評価器１２３に入力し、ＥがＫ−有理
点となるｌ* −ねじれ点評価器１２３に入力し、ＥがＫ
−有理点となるｌ* −ねじれ点をｌ* 個以上含むかどう
かを判定する（ステップ１０８）。
体Ｋ上の楕円曲線Ｅを生成し（ステップ１０７）、それ
をｌ* −ねじれ点評価器１２３に入力し、ＥがＫ−有理
点となるｌ* −ねじれ点評価器１２３に入力し、ＥがＫ
−有理点となるｌ* −ねじれ点をｌ* 個以上含むかどう
かを判定する（ステップ１０８）。
【００８３】含むとき、この楕円曲線Ｅを出力する。そ
うでないとき、楕円曲線生成器１２１に戻り、再び別の
楕円曲線を取り返す。これをｍ回繰り返す（ステップ１
０９）。ｍ回繰り返し、楕円曲線が見つからなければ、
多項式生成器１１１に戻って、既約多項式ｋ（Ｘ）を取
り替え、上記のｎ回繰り返す（ステップ１１０）。これ
で、楕円曲線がみつかれば、その楕円曲線を出力する。
見つからなければ１を出力する（ステップ１１１）。
うでないとき、楕円曲線生成器１２１に戻り、再び別の
楕円曲線を取り返す。これをｍ回繰り返す（ステップ１
０９）。ｍ回繰り返し、楕円曲線が見つからなければ、
多項式生成器１１１に戻って、既約多項式ｋ（Ｘ）を取
り替え、上記のｎ回繰り返す（ステップ１１０）。これ
で、楕円曲線がみつかれば、その楕円曲線を出力する。
見つからなければ１を出力する（ステップ１１１）。
【００８４】もし、上記性質を満たす楕円曲線が存在す
る場合（ステップ１０８，Ｙｅｓ）、シフト素数生成部
１３０に、上記のｑ，ｌ* を入力する。素数ｒ、自然数
ｓで、
る場合（ステップ１０８，Ｙｅｓ）、シフト素数生成部
１３０に、上記のｑ，ｌ* を入力する。素数ｒ、自然数
ｓで、
【００８５】
【数８】
を満たす（但し、ｓ＜log ｒ）のものを出力し（ステッ
プ１１２）、０を出力する（ステップ１１３）。
プ１１２）、０を出力する（ステップ１１３）。
【００８６】なお、上記の実施例における図７に示す動
作をプログラムとして構築し、有限体上のＤＤＨ判定問
題に基づく公開鍵暗号安全性評価装置として利用される
コンピュータにインストールすることが可能である。
作をプログラムとして構築し、有限体上のＤＤＨ判定問
題に基づく公開鍵暗号安全性評価装置として利用される
コンピュータにインストールすることが可能である。
【００８７】また、構築されたプログラムを上記の公開
鍵暗号安全性評価装置として利用されるコンピュータに
接続されるハードディスクや、フレキシブルディスク、
ＣＤ−ＲＯＭ等の可搬記憶媒体に格納しておき、本発明
を実施する際にインストールすることにより、容易に本
発明を実現できる。
鍵暗号安全性評価装置として利用されるコンピュータに
接続されるハードディスクや、フレキシブルディスク、
ＣＤ−ＲＯＭ等の可搬記憶媒体に格納しておき、本発明
を実施する際にインストールすることにより、容易に本
発明を実現できる。
【００８８】なお、本発明は、上記の実施例に限定され
ることなく、特許請求の範囲内において、種々変更・応
用が可能である。
ることなく、特許請求の範囲内において、種々変更・応
用が可能である。
【００８９】
【発明の効果】上述のように、本発明によれば、入力有
限体のサイズから代数体の次数及びその上の楕円苦戦を
可変にして、上記のアルゴリズムから、安全性に関する
新しい指標を与え、有限体上のＤＤＨに安全性の根拠を
おく公開暗号の方式の安全性を評価することが可能とな
る。言い換えれば、従来は、ＤＤＨよりも難しいであろ
うと考えられているＤＬＰなどによる評価しか与えられ
ていなかったが、ＤＬＰは難しくてもＤＤＨは易しいよ
うな場合も起こり得ることが判明してきており、従来よ
りも精密な評価が可能になったと言える。
限体のサイズから代数体の次数及びその上の楕円苦戦を
可変にして、上記のアルゴリズムから、安全性に関する
新しい指標を与え、有限体上のＤＤＨに安全性の根拠を
おく公開暗号の方式の安全性を評価することが可能とな
る。言い換えれば、従来は、ＤＤＨよりも難しいであろ
うと考えられているＤＬＰなどによる評価しか与えられ
ていなかったが、ＤＬＰは難しくてもＤＤＨは易しいよ
うな場合も起こり得ることが判明してきており、従来よ
りも精密な評価が可能になったと言える。
【図１】本発明の原理を説明するための図である。
【図２】本発明の原理構成図である。
【図３】本発明の一実施例の有限体上のDiffie-Hellman
判定問題に基づく公開鍵安全性評価装置の構成図であ
る。
判定問題に基づく公開鍵安全性評価装置の構成図であ
る。
【図４】本発明の一実施例のｄ−代数体生成部の報賽構
成図である。
成図である。
【図５】本発明の一実施例の（ｌ* ，Ｋ）−楕円曲線生
成部の詳細構成図である。
成部の詳細構成図である。
【図６】本発明の一実施例のシフト素数生成部の詳細構
成図である。
成図である。
【図７】本発明の一実施例の動作のフローチャートであ
る。
る。
１００ 有限体上のDiffie-Hellman判定問題に基づく公
開鍵暗号安全性評価装置 １１０ ｄ代数体生成手段、ｄ−代数体生成部 １１１ 多項式生成器 １１２ 既約判定器 １２０ （ｌ* ，Ｋ）−楕円曲線生成手段、（ｌ* ，
Ｋ）−楕円曲線生成部 １２１ 楕円曲線生成器 １２２ １* 等分多項式生成器 １２３ １* ねじり点評価器 １３０ シフト素数生成手段、シフト素数生成部 １３１ 素数生成器
開鍵暗号安全性評価装置 １１０ ｄ代数体生成手段、ｄ−代数体生成部 １１１ 多項式生成器 １１２ 既約判定器 １２０ （ｌ* ，Ｋ）−楕円曲線生成手段、（ｌ* ，
Ｋ）−楕円曲線生成部 １２１ 楕円曲線生成器 １２２ １* 等分多項式生成器 １２３ １* ねじり点評価器 １３０ シフト素数生成手段、シフト素数生成部 １３１ 素数生成器
Claims (8)
- 【請求項１】 公開鍵暗号システムにおけるコンピュー
タ上で、公開鍵暗号方式の安全性を評価するための、有
限体上のDiffie-Hellman判定問題（以下、Ｄ ＤＨ）に基づく公開鍵暗号安全性評価方法において、 入力された有限体に対して、ある低次の代数体を生成
し、 ランダムに前記代数体上の楕円曲線を生成し、 前記楕円曲線が所定の条件を満たすとき、シフト素数を
生成することを特徴とする有限体上のDiffie-Hellman判
定問題に基づく公開鍵暗号安全性評価方法。 - 【請求項２】 前記入力された有限体に対して、ある低
次数の代数体上定義された楕円曲線が、該代数体上定義
されたねじれ点群の位数が十分大きいかどうかを判定す
る請求項１記載の有限体上のDiffie-Hellman判定問題に
基づく公開鍵暗号安全性評価方法。 - 【請求項３】 公開鍵暗号システムにおける有限体上の
Diffie-Hellman判定問題（以下、ＤＤＨ）に基づく公開
鍵暗号安全性評価装置であって、 入力された有限体に対して、ある低次の代数体を生成す
るｄ代数体生成手段と、 ランダムに前記代数体上の楕円曲線を生成する（ｌ* ，
Ｋ）−楕円曲線生成手段と、 前記楕円曲線が所定の条件を満たすとき、シフト素数を
生成するシフト素数生成手段とを有することを特徴とす
る有限体上のDiffie-Hellman判定問題に基づく公開鍵暗
号安全性評価装置。 - 【請求項４】 前記シフト素数生成手段は、 前記入力された有限体に対して、ある低次数の代数体上
定義された楕円曲線が、該代数体上定義されたねじれ点
群の位数が十分大きいかどうかを判定する手段を含む請
求項３記載の有限体上のDiffie-Hellman判定問題に基づ
く公開鍵暗号安全性評価装置。 - 【請求項５】 公開鍵暗号システムにおける有限体上の
Diffie-Hellman判定問題（以下、ＤＤＨ）に基づく公開
鍵暗号安全性評価プログラムであって、 入力された有限体に対して、ある低次の代数体を生成す
るｄ代数体生成プロセスと、 ランダムに前記代数体上の楕円曲線を生成する（ｌ* ，
Ｋ）−楕円曲線生成プロセスと、 前記楕円曲線が所定の条件を満たすとき、シフト素数を
生成するシフト素数生成プロセスとを有することを特徴
とする有限体上のDiffie-Hellman判定問題に基づく公開
鍵暗号安全性評価プログラム。 - 【請求項６】 前記シフト素数生成プロセスは、 前記入力された有限体に対して、ある低次数の代数体上
定義された楕円曲線が、該代数体上定義されたねじれ点
群の位数が十分大きいかどうかを判定するプロセスを含
む請求項５記載の有限体上のDiffie-Hellman判定問題に
基づく公開鍵暗号安全性評価プログラム。 - 【請求項７】 公開鍵暗号システムにおける有限体上の
Diffie-Hellman判定問題（以下、ＤＤＨ）に基づく公開
鍵暗号安全性評価プログラムを格納した記憶媒体であっ
て、 入力された有限体に対して、ある低次の代数体を生成す
るｄ代数体生成プロセスと、 ランダムに前記代数体上の楕円曲線を生成する（ｌ* ，
Ｋ）−楕円曲線生成プロセスと、 前記楕円曲線が所定の条件を満たすとき、シフト素数を
生成するシフト素数生成プロセスとを有することを特徴
とする有限体上のDiffie-Hellman判定問題に基づく公開
鍵暗号安全性評価プログラムを格納した記憶媒体。 - 【請求項８】 前記シフト素数生成プロセスは、 前記入力された有限体に対して、ある低次数の代数体上
定義された楕円曲線が、該代数体上定義されたねじれ点
群の位数が十分大きいかどうかを判定するプロセスを含
む請求項７記載の有限体上のDiffie-Hellman判定問題に
基づく公開鍵暗号安全性評価プログラムを格納した記憶
媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002031400A JP2003233306A (ja) | 2002-02-07 | 2002-02-07 | 公開鍵暗号安全性評価方法及び装置及び公開鍵暗号安全性評価プログラム及び公開鍵暗号安全性評価プログラムを格納した記憶媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002031400A JP2003233306A (ja) | 2002-02-07 | 2002-02-07 | 公開鍵暗号安全性評価方法及び装置及び公開鍵暗号安全性評価プログラム及び公開鍵暗号安全性評価プログラムを格納した記憶媒体 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2003233306A true JP2003233306A (ja) | 2003-08-22 |
Family
ID=27774820
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002031400A Pending JP2003233306A (ja) | 2002-02-07 | 2002-02-07 | 公開鍵暗号安全性評価方法及び装置及び公開鍵暗号安全性評価プログラム及び公開鍵暗号安全性評価プログラムを格納した記憶媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2003233306A (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008520144A (ja) * | 2004-11-11 | 2008-06-12 | サーティコム コーポレーション | カスタム静的ディフィ−ヘルマン（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）群 |
| JP2014137442A (ja) * | 2013-01-16 | 2014-07-28 | Nippon Telegr & Teleph Corp <Ntt> | 復号サービス提供装置、安全性評価装置、およびプログラム |
-
2002
- 2002-02-07 JP JP2002031400A patent/JP2003233306A/ja active Pending
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008520144A (ja) * | 2004-11-11 | 2008-06-12 | サーティコム コーポレーション | カスタム静的ディフィ−ヘルマン（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）群 |
| US8588409B2 (en) | 2004-11-11 | 2013-11-19 | Certicom Corp. | Custom static Diffie-Hellman groups |
| JP2014137442A (ja) * | 2013-01-16 | 2014-07-28 | Nippon Telegr & Teleph Corp <Ntt> | 復号サービス提供装置、安全性評価装置、およびプログラム |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6480605B1 (en) | Encryption and decryption devices for public-key cryptosystems and recording medium with their processing programs recorded thereon | |
| May | Using LLL-reduction for solving RSA and factorization problems | |
| JP4688886B2 (ja) | 楕円曲線暗号パラメータ生成装置及び楕円曲線暗号システム及び楕円曲線暗号パラメータ生成プログラム | |
| JP5190142B2 (ja) | 楕円曲線上の新しいトラップドア１方向性関数と、その、より短い署名及び非対称暗号化への応用 | |
| JP5001176B2 (ja) | 署名生成装置、署名生成方法及び署名生成プログラム | |
| JP4620669B2 (ja) | 署名生成装置、署名検証装置、それらの方法、および集積回路 | |
| Meshram | An efficient ID-based cryptographic encryption based on discrete logarithm problem and integer factorization problem | |
| JP2005141200A (ja) | 暗号システムの設計におけるアイソジャニの使用 | |
| US8351601B2 (en) | Elliptic polynomial cryptography with secret key embedding | |
| US8666066B2 (en) | Encoding points of an elliptic curve | |
| US20130202104A1 (en) | Xz-elliptic curve cryptography system and method | |
| US20020041683A1 (en) | Method for selecting optimal number of prime factors of a modulus for use in a cryptographic system | |
| Zuccherato | Elliptic curve cryptography support in entrust | |
| JP2003233306A (ja) | 公開鍵暗号安全性評価方法及び装置及び公開鍵暗号安全性評価プログラム及び公開鍵暗号安全性評価プログラムを格納した記憶媒体 | |
| Nitaj et al. | A new attack on RSA with a composed decryption exponent | |
| Frey et al. | Fast bilinear maps from the Tate-Lichtenbaum pairing on hyperelliptic curves | |
| US20140270156A1 (en) | Cryptographic devices and methods for encoding-free encryption on elliptic curves | |
| Mohapatra | Signcryption schemes with forward secrecy based on elliptic curve cryptography | |
| JP2005084568A (ja) | セキュリティ方法、セキュリティ装置及びセキュリティプログラム | |
| Mohammadi et al. | Comparison of two Public Key Cryptosystems | |
| US20120140921A1 (en) | Rsa-analogous xz-elliptic curve cryptography system and method | |
| KR20070049823A (ko) | 전력공격에 안전한 모듈라 지수승 연산 및 상수배 곱셈연산방법 | |
| JP4230162B2 (ja) | 公開鍵暗号通信方法 | |
| Jacobson Jr et al. | An adaptation of the NICE cryptosystem to real quadratic orders | |
| JP2003218858A (ja) | 署名生成方法及び署名検証方法及び署名生成装置及び署名検証装置及び署名生成プログラム及び署名検証プログラム及び署名生成プログラムを格納した記憶媒体及び署名検証プログラムを格納した記憶媒体 |