JP2003233307A - 秘密鍵を用いた耐タンパ暗号処理 - Google Patents

Abstract

(57)【要約】 【課題】 効率的な耐タンパ性の指数剰余演算および点
のスカラー倍算を実現する。 【解決手段】 暗号装置（６０）は、秘密鍵を用いて公
開鍵暗号処理を行う。暗号装置は、乱数（７４）に従っ
て、値ｄを表すｕビット・シーケンスからｍ個のウィン
ドウ・シーケンス（ｂ_ｍ−１，．．．ｂ_０）を導出する
手段（７５）と、その導出されたｍ個のウィンドウ・シ
ーケンスとその公開鍵暗号のための別の値（ａおよび
ｎ、またはＡ）とに従って演算を行って、処理済みデー
タを生成する演算手段（８４）と、を具えている。その
ｍ個のウィンドウ・シーケンスの中の２つうちの一方の
ウィンドウ・シーケンスにおける或るビット位置と他方
のウィンドウ・シーケンスにおける或るビット位置と
が、そのｕビット・シーケンスにおける同じビット位置
に関係付けられる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号処理の分野に
関し、特に、ＲＳＡおよび楕円曲線暗号のような公開鍵
暗号のためのプロセッサにおけるＳＰＡおよびＤＰＡの
ような電力解析攻撃を防止する耐タンパ（tamper-proo
f）暗号化／復号に関する。

【０００２】

【発明の背景】暗号方式には一般的に公開鍵暗号方式と
共通鍵暗号方式が含まれる。公開鍵暗号方式は、暗号化
と復号に異なる鍵（キー）を用いる。典型的には、公開
鍵を用いて平文（plaintext）が暗号化され、秘密鍵を
用いて暗号文（ciphertext）が復号され、それによって
暗号文が安全に送信できる。または、秘密鍵を用いて平
文が暗号化され、公開鍵を用いて暗号文が復号され、そ
れによって平文を暗号化したユーザが識別される。図１
は、スマートカードのような暗号デバイスにおける秘密
鍵を用いた暗号化／復号の構成の例を示している。図１
において、暗号デバイスは、その内部の暗号化／復号ユ
ニットにおいて周知の形態で秘密鍵を用いて入力平文／
暗号文メッセージを処理して出力暗号文／平文メッセー
ジを供給する。

【０００３】公開鍵暗号の１つのタイプであるＲＳＡ暗
号のためのプロセッサにおいては、指数剰余演算（modu
lar exponentiation）が行われる。指数剰余演算は、指
数ｄ、平文／暗号文ａおよび公開鍵ｎに対して、ｖ＝ａ
^ｄ（ｍｏｄ ｎ）を満たす暗号文／平文ｖを生成する。
例えば、ＲＳＡ暗号による署名生成において、暗号文ｖ
＝a^d （ｍｏｄ ｎ）が秘密鍵ｄを用いて指数剰余演算
で生成される。

【０００４】バイナリ・メソッド（２進方法）を用いた
指数剰余演算は、２進値ｄについて、ＭＳＢ（最上位ビ
ット）からＬＳＢ（最下位ビット）まで順に２乗とａの
乗算を実行することによって、ｖを求める。例えば、ｄ
＝２１＝２^４＋２^２＋２^０＝（１０１０１）_２について
ｖを求めるとき、最初のＭＳＢ“１”に対して初期値ｖ
＝１にａの乗算を実行してｖ＝ａを生成し、次のＭＳＢ
“０”に対してそのｖに２乗（２で累乗）を実行してｖ
＝ａ^２を生成し、次のビット“１”に対してそのｖに２
乗とａの乗算を実行してｖ＝（ａ^２）^２×ａを生成し、
次のＭＳＢ“０”に対してそのｖに２乗を実行してｖ＝
（（ａ^２）^２×ａ）^２を生成し、ＬＳＢ“１”に対して
そのｖに２乗とａの乗算を実行して、ｖ＝（（（ａ^２）
^２×ａ） ^２）^２×ａ＝ａ
^{（２∧４）＋（２∧２）＋（２∧０）}を生成する。ここ
で、２^∧ｋ＝２^ｋである。

【０００５】公開鍵暗号の別のタイプである楕円曲線暗
号のためのプロセッサにおいては、スカラー倍算が行わ
れる。点のスカラー倍算は、スカラー値ｄ、および楕円
曲線上の点Ａに対して、Ｖ＝ｄＡを満たす点Ｒを求め
る。例えば、楕円曲線暗号におけるDiffe-Hellman（デ
ィッフィー・ヘルマン）鍵配送において、Ｖ＝ｄＡで表
される点Ｒが秘密鍵ｄを用いてスカラー倍算で生成され
る。

【０００６】ＲＳＡ暗号における乗算剰余ｃ＝ａ×ｂ
（ｍｏｄ ｎ）、２乗剰余ｃ＝ａ^２および指数剰余ｃ＝
ａ^ｘ（ｍｏｄ ｎ）は、楕円曲線暗号における点の加算
Ｃ＝Ａ＋Ｂ、点の２倍算Ｃ＝２Ａおよび点のスカラー倍
算Ｃ＝ｘＡにそれぞれ対応する。

【０００７】バイナリ・メソッドを用いた点のスカラー
倍算は、２進値ｄについて、ＭＳＢからＬＳＢまで順に
点の２倍算と点の加算を実行することによって、Ｖを求
める。例えばｄ＝２１＝２^４＋２^２＋２^０＝（１０１０
１）_２についてＶを求めるとき、最初のＭＳＢ“１”に
対して初期値Ｖ＝Ｏ（無限遠点）にＡの加算を実行して
Ｖ＝Ａを生成し、次のビット“０”に対してそのＶに２
倍算を実行してＶ＝Ａ×２を生成し、次のビット“１”
に対してそのＶに２倍算とＡの加算を実行してＶ＝（Ａ
×２）×２＋Ａを生成し、次のビット“０”に対してそ
のＶに２倍算を実行してＶ＝（（Ａ×２）×２＋Ａ）×
２を生成し、ＬＳＢ“１”に対してそのＶに２倍算とＡ
の加算を実行して、Ｖ＝（（（Ａ×２）×２＋Ａ）×
２）×２＋Ａ＝（２^４＋２^２＋２^０）Ａを生成する。

【０００８】効率的な指数剰余演算のためのウィンドウ
法（window method）が知られている。ウィンドウ法
は、Alfred J. Menezes他の“HANDBOOK OF APPLIED CRY
PTOGRAPHY”（CRC press）, pp. 615, Algorithm 14.82
に記載されている。

【０００９】図２は、ウィンドウ法を用いてｖ＝ａ
^ｄ（ｍｏｄ ｎ）を求めるための指数剰余演算のアルゴ
リズムを示している。ここで、指数ｄは２進表現でｄ＝
（ｄ_{ｕ− １}，ｄ_ｕ−２，．．．ｄ_０）_２と表記される。
そのアルゴリズムはＣ言語で記述されている。

【００１０】ウィンドウ法は、ＲＳＡ暗号以外に、楕円
曲線暗号における点のスカラー倍算にも用いられる。図
３は、ウィンドウ法を用いた点のスカラー倍算Ｖ＝ｄＡ
のアルゴリズムを示している。

【００１１】図２のアルゴリズムを説明する。図４は、
図２のアルゴリズムによる演算の手順を説明するのに役
立つ。まず、０＜ｘ＜２^ｋである全ての整数ｘに対し
て、ｗ［ｘ］＝ａ^ｘ（ｍｏｄ ｎ）を満たす値ｗのテー
ブルｗを作成する。テーブルｗの作成後、ｕビットの値
ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２（ここで、
ｄ_ｕ−１，．．．ｄ_０は１ビット値）をｋビット・シー
ケンスまたはストリングに分割し、ｍ個のｋビット・シ
ーケンスｂ_ｉ＝（ｄ_{ｉｋ＋ｋ−１}，
ｄ_{ｉｋ＋ｋ− ２}，．．．ｄ_ｉｋ）_２（ここで、ｄ
_{ｉｋ＋ｋ−１}，．．．ｄ_ｉｋは１ビット値、ｉ＝０，
１，２，．．．）を生成する。ここで、ｍ＝ｃｅｉｌｉ
ｎｇ（ｕ／ｋ）であり、関数ｃｅｉｌｉｎｇ（ｘ）は変
数ｘ以上の最小の整数を表す。この各ｂ _ｉに対する値ｗ
［ｂ_ｉ］（＝ａ^ｂｉ）をテーブルｗでルックアップする
ことによる乗算ｖ＝ｖ×ｗ［ｂ_ｉ］と、ｖ＝ｖ
^２∧ｋ（mod n）で表される２^ｋ乗すなわち累乗とを、
上位シーケンスｂ_ｍ−１から下位シーケンスｂ_０へ順に
実行することによって、ｖ＝ａ^d（mod n）を求める。

【００１２】図３のアルゴリズムを説明する。まず、０
＜ｘ＜２^ｋの全ての整数ｘに対して、Ｗ［ｘ］＝ｘＡを
満たす値ＷのテーブルＷを作成する。テーブルＷの作成
後、ｕビットの値ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ
_０）_２を分割してｍ個のｋビット・シーケンスｂ_ｉ＝
（ｄ_{ｉｋ＋ｋ−１}，．．．ｄ_ｉｋ）_２（ｉ＝０，１，
２，．．．）を生成する。ここで、ｍ＝ｃｅｉｌｉｎｇ
（ｕ／ｋ）。そのｂ_ｉに対する値Ｗ［ｂ_ｉ］（＝ｂ
_ｉＡ）をテーブルＷでルックアップすることによる加算
Ｖ＝Ｖ＋Ｗ［ｂ_ｉ］と、Ｖ＝２^ｋＶで表される２^ｋ倍算
とを、上位シーケンスｂ _ｍ−１から下位シーケンスｂ_０
へ順に実行することによって、Ｖ＝ｄＡを求める。

【００１３】以下、ウィンドウ法においてテーブル・ル
ックアップのインデックスとなるビット・シーケンスｂ
_ｉをウィンドウまたはウィンドウ・シーケンスといい、
指数剰余演算と点のスカラー倍算の双方を公開鍵演算と
いう。

【００１４】暗号解読（分析）またはタンパ（tamper）
は、暗号文のような入手可能な情報から秘密鍵を含めた
秘密情報を推定する。暗号解読の１つである電力解析攻
撃が、１９９８年にPaul Ｋocher（ポール コーチャ）
によって考案された。この電力解析攻撃は、スマートカ
ードのような暗号デバイスに含まれる暗号プロセッサに
相異なる入力データを与え、例えば図１に示されている
ようにオシロスコープ等を用いてその処理中における時
間に対する消費電力の変化を測定し、統計的に充分な数
の消費電力変化の曲線を収集しそれを解析し、それによ
って暗号プロセッサ内部の鍵情報を推定する。これは、
公開鍵暗号と秘密鍵暗号の双方に適用できる。

【００１５】電力解析攻撃には、単純電力解析（以下、
ＳＰＡという）（Simple Power Analysis）および電力
差分攻撃（以下、ＤＰＡという）（Differential Power
Analysis）が含まれる。ＳＰＡは暗号プロセッサにお
ける１つの消費電力変化曲線の特徴から秘密鍵の推定を
行う。ＤＰＡは相異なる多数の消費電力変化曲線の差分
（以下、電力差分曲線という）を用いて解析することに
よって秘密鍵の推定を行う。一般的にはＤＰＡの方が強
力である。

【００１６】例えばＤＥＳ（Data Encryption Standar
d）およびＡＥＳ（Advanced Encryption Standard）等
の共通鍵暗号に対するＳＰＡおよびＤＰＡが、Paul Ｋo
cher,Joshua Jaffe, and Benjamin Jun，“Differentia
l Power Analysis”in proceedings of Advances in Cr
yptology-CRYPTO’９９，Lecture Notes in ComputerSc
ience, vol. １６６６, Springer-Verlag, １９９９, p
p．３８８−３９７に記載されている。

【００１７】例えばＲＳＡ暗号および楕円曲線暗号等の
公開鍵暗号に対するＳＰＡおよびＤＰＡが、例えば、Th
omas S. Messerges, Ezzy A. Dabbish and Robert H. S
loan“Power Analysis Attacks of Modular Exponentia
tion in Smartcards”Cryptographic Hardware and Emb
edded Systems （CHES’９９），Lecture Notes in Com
puter Science Vol. １７１７，Springer-Verlag，pp．
１４４−１５７（以下、Messerges９９という）、およ
びJean-Sebastein Coron“Resistance againstDifferen
tial Power Analysis for Elliptic Curve Crytosystem
s”Cryptographic Hardware and Embedded Systems（CH
ES’９９），Lecture Notes in Computer Science Vo
l．１７１７，Springer-Verlag，pp．２９２−３０２，
１９９９（以下、Coron９９という）に記載されてい
る。

【００１８】図２および図３に示すウィンドウ法を用い
た暗号プロセッサにおいて、前述のMesserges９９およ
びCoron９９に記載されているＤＰＡによって、秘密鍵
ｄが推定される。

【００１９】ＤＰＡを用いて、ウィンドウ法を用いた暗
号プロセッサ内の秘密鍵ｄを推定する方法を、図５Ａ〜
５Ｃを参照して説明する。図５Ａは時間に対する消費電
力の曲線を示している。図５Ｂは、スパイクを有する、
時間に対する電力差分曲線を示している。図５Ｃは、平
坦な、時間に対する電力差分曲線を示している。

【００２０】例えば、ｋ＝２および６ビット鍵ｄ＝（ｄ
_５ｄ_４ｄ_３ｄ_２ｄ_１ｄ_０）_２の場合、ウンドウb_２ ＝
（ｄ_５ｄ_４）_２， b_１＝（ｄ_３ｄ_２）_２および b_０＝
（ｄ_１ｄ _０）_２が生成される。図２の計算による指数剰
余演算は、次のステップＳ１〜Ｓ５を実行してｖ＝ａ^ｄ
（ｍｏｄｎ）を生成する。

【００２１】

【数１】

【００２２】暗号プロセッサ部で上記のステップＳ１〜
Ｓ５が行われていることを攻撃者が知っているとき、次
のステップＳ１１〜Ｓ１４に従ったＤＰＡによって、ｂ
_２，ｂ_２およびｂ_１の値を、従ってｄの値を推定でき
る。

【００２３】Ｓ１１） 暗号プロセッサにＮ個のａ
_ｉ（ｉ＝１，２，．．．Ｎ）を供給し、演算ａ_ｉ ^ｄ（ｍ
ｏｄ ｎ）を実行させる。その実行中、全てのｉについ
て、プロセッサの消費電力量Ｐ（ａ_ｉ，ｔｉｍｅ）を測
定し、図５Ａに例示された時間に対する消費電力の曲線
を得る。

【００２４】Ｓ１２） ２ビット値ｂ_２＝ｂ_２’である
と仮定する。ｂ_２＝ｂ_２’が正しいと判定されてｂ_２の
推定に成功するまで、次のステップＳ１２１およびＳ１
２２を繰り返す。

【００２５】Ｓ１２１） ステップＳ１の中間データｖ
に対して、仮定したｂ_２’に従ってＰ（ａ_ｉ，ｔｉｍ
ｅ）（ｉ＝１，２，．．．Ｎ）を次の２つの集合Ｇ_１お
よびＧ _０に分ける。

【数２】

【００２６】Ｓ１２２） Ｇ_１およびＧ_０から、Δ＝
（Ｇ_１の平均電力）−（Ｇ_０の平均電力） で表される
電力差分曲線Δを作成する。その曲線が図５Ｂのような
スパイクを有するとき、仮定ｂ_２＝ｂ_２’が正しいと判
定する。その曲線が図５Ｃのような比較的平坦なときｂ
_２≠ｂ_２’と判定する。

【００２７】Ｓ１３） 次の２ビット値ｂ_１＝ｂ_１’で
あると仮定する。ｂ_１＝ｂ_１’が正しいと判定されてｂ
_１の推定に成功するまで、次のステップＳ１３１および
Ｓ１３２を繰り返す。

【００２８】Ｓ１３１） ステップＳ３の中間データｖ
に対して、確定したｂ_２と仮定したｂ_１’とに従ってＰ
（ａ_ｉ，ｔｉｍｅ）（ｉ＝１，２，．．．Ｎ）を次の２
つの集合Ｇ_１およびＧ_０に分ける。

【数３】

【００２９】Ｓ１３２） Ｇ_１およびＧ_０から、Δ＝
（Ｇ_１の平均電力）−（Ｇ_０の平均電力） で表される
電力差分曲線Δを作成する。その曲線が図５Ｂのような
スパイクを有するとき、仮定ｂ_１＝ｂ_１’が正しいと判
定する。その曲線が図５Ｃのような比較的平坦なときｂ
_１≠ｂ_１’と判定する。

【００３０】Ｓ１４） 次の２ビット値ｂ_０＝ｂ_０’で
あると仮定する。ｂ_０＝ｂ_０’が正しいと判定されてｂ
_０の推定に成功するまで、次のステップＳ１４１および
Ｓ１４２を繰り返す。

【００３１】Ｓ１４１） ステップＳ５の中間データｖ
に対して、確定したｂ_２およびｂ_１と仮定したｂ_０’と
からＰ（ａ_ｉ，ｔｉｍｅ）（ｉ＝１，２，．．．Ｎ）を
次の２つの集合Ｇ_１およびＧ_０に分ける。

【数４】

【００３２】Ｓ１３２） Ｇ_１およびＧ_０から、Δ＝
（Ｇ_１の平均電力）−（Ｇ_０の平均電力） で表される
電力差分曲線Δを作成する。その曲線が図５Ｂのような
スパイクを有するとき、仮定ｂ_０＝ｂ_０’が正しいと判
定する。その曲線が図５Ｃのような比較的平坦なときｂ
_０≠ｂ_０’と判定する。

【００３３】同様の方法が、図３のウィンドウ法による
暗号プロセッサに対しても適用できる。図２および３に
示されているようなウィンドウ法による暗号処理は、一
般的にＳＰＡによる秘密鍵の推定に対して安全であるこ
とが知られている。

【００３４】秘密鍵に対するＳＰＡおよびＤＰＡを防止
するために、乱数を用いて指数剰余演算および点のスカ
ラー倍算を行うことが知られている。それによって、攻
撃者がプロセッサ内の手順を知っていても、プロセッサ
内で発生した乱数により中間データが隠蔽されるので、
秘密鍵に対するＤＰＡを防止することができる。乱数を
用いることによって、ウィンドウ法以外の方法による暗
号処理においても、秘密鍵に対するＳＰＡを防止するこ
とができることが知られている。

【００３５】乱数を用いた耐ＤＰＡ公開鍵演算には、次
の（１）〜（５）の方法が知られている。ここで、φ
は、ＲＳＡ暗号ではｎ＝ｐ×ｑ（ｐおよびｑ＝素数）に
対してφ＝ｌｃｍ（ｐ−１，ｑ−１）によって与えら
れ、楕円曲線暗号ではベースポイントの位数によって与
えられる。但し、このφの値は、暗号プロセッサのイン
タフェースによって与えられるとは限らず、プロセッサ
内で計算できるとも限らないので、φを必要とする方法
は制約を受ける。例えば、ＲＳＡ暗号プロセッサに対し
ｎのみが与えられ、ｐおよびｑが与えられないときは、
nからφ＝ｌｃｍ（ｐ−１，ｑ−１）を得るためには、
１０２４ビット程度のｎの素因数分解という、事実上実
行不可能な計算を行う必要があるので、φの値を用いた
方法を利用することはできない。

【００３６】（１） ＲＳＡと楕円曲線暗号の双方につ
いて、ｄに対して公開鍵演算を行う代わりに、乱数ｒお
よびφから計算したｄ＋ｒφに対して公開鍵演算を行う
方法。

【００３７】（２） 楕円曲線暗号について、ｄＡを計
算する前処理として、乱数ｒを用いて２次元座標の点Ａ
を３次元座標の点Ａ’に変換する方法。例えば、Jacobi
an座標を用いて３次元座標への変換を行うとき、Ａ＝
（ｘ，ｙ）に対して、乱数ｒを用いてＡ’＝（ｘ×
ｒ^２，ｙ×ｒ^３，ｚ×ｒ）に従って変換する。

【００３８】（３） ＲＳＡと楕円曲線暗号の双方につ
いて、乱数を用いてｄ＝ｄ_１＋ｄ_２＋．．．＋ｄ_Ｍを満
たすｄ_ｉ（１≦ｉ≦Ｍ）を生成した後、それぞれのｄ_ｉ
に対して、

【数５】 またはＶ_ｉ＝ｄ_ｉＡを計算し、ｖ＝ｖ_１×ｖ_２×．．．
×ｖ_Ｍ（ｍｏｄ ｎ）またはＶ＝Ｖ_１＋Ｖ_２＋．．．＋
Ｖ_Mを生成する方法。

【００３９】（４） ＲＳＡと楕円曲線暗号の双方につ
いて、ｄ＝ｄ_１×ｄ_２ （ｍｏｄ φ）を満たす乱数ｄ
_１およびｄ_２を生成した後、

【数６】 またはＶ＝d_２（ｄ_１Ａ）を生成する方法。

【００４０】（５） ＲＳＡ暗号について、ａおよび乱
数ｒからａ’＝ａ×ｒ（ｍｏｄ ｎ），ｖ’＝ａ’
^ｄ（ｍｏｄ ｎ）を計算した後、ｖ＝（ｖ’）ｒ
^−ｄ（ｍｏｄ ｎ）＝ａ^ｄ（ｍｏｄ ｎ）を生成する方
法。

【００４１】表１は方法（１）〜（５）の比較を示して
いる。

【表１】

【００４２】耐ＤＰＡ演算には次のような文献がある。 方法（１）： − Messerges９９ − Coron９９ − 国際公開番号ＷＯ００/５９１５７（Jean-Sebastei
n Coron）

【００４３】方法（２）： − Coron９９ − Marc Joye and Christophe Tymen “Protections a
gainst differential analysis for elliptic curve cr
yptography -An algebraic approach-”， Cryptograph
ic Hardware and Embedded Systems（CHES’２００１）
（以下、Joye２００１という） − ＰＣＴ国際公開第ＷＯ００／５９１５６号（Jean-S
ebastein Coron） − 欧州特許公開第ＥＰ１０１４６１７号Ａ２（Kuruma
tani, Hiroyuki） − ＰＣＴ国際公開第ＷＯ０１２４４３９号（Miyazaki
Kunihiko）

【００４４】方法（３）： − ＰＣＴ国際公開第ＷＯ９９／３５８７２号（Paul K
ocher） − ＰＣＴ国際公開第ＷＯ０１／３１４３６号（Louis
Goubin） − 欧州特許公開第ＥＰ１０９８４７１号Ａ２（Singer
Ari）

【００４５】方法（４）： − ＰＣＴ国際公開第ＷＯ９９／３５８７２号（Paul K
ocher） − 米国特許第２００１／０００２４８６号Ａ１（Paul
Kocher）

【００４６】方法（５）： − Messerges９９

【００４７】表１に示されているように、方法（３）
は、ＲＳＡと楕円曲線暗号の双方に適用可能であり、φ
が与えられないときにも適用可能なので、最も汎用性が
高いと考えられる。方法（３）は、Ｍ＝２とした方法が
最も高速の処理を行う。ここで、Ｍ＝２における方法
（３）は、最も優れた通常の方法であり、“分割指数
法”と呼ぶ。図６は、分割指数法を用いたｖ＝ａ^ｄ（ｍ
ｏｄ ｎ）を求めるためのアルゴリズムを示している。

【００４８】上述のように、図２および図３のウィンド
ウ法は、ＳＰＡには強いがＤＰＡには弱いという欠点が
ある。分割指数法は、ＳＰＡおよびＤＰＡに強いが、ｖ
＝ａ ^ｄ（ｍｏｄ ｎ）を求めるために、図６に示されて
いるように、

【数７】 という２回の指数剰余演算を実行する必要があるので、
処理速度が遅いという欠点がある。

【００４９】本発明の１つの目的は、秘密鍵の推定を困
難にし、暗号処理の安全性を高めることである。

【００５０】本発明のさらに別の目的は、効率的な耐タ
ンパ性の指数剰余演算および点のスカラー倍算を実現す
ることである。

【００５１】

【発明の概要】本発明の特徴によれば、秘密鍵を用いて
公開鍵暗号処理を行う暗号装置は、乱数に従って、その
公開鍵暗号のための或る値ｄを表す複数ｕビット・シー
ケンスから複数ｍ個のウィンドウ・シーケンスを導出す
る手段を具えている。そのｍ個のウィンドウ・シーケン
スのビット総数はそのｕビット・シーケンスのビット数
ｕより多い。各ウィンドウ・シーケンスのビット数はｕ
以下である。そのｍ個のウィンドウ・シーケンスの中の
２つうちの一方のウィンドウ・シーケンスにおける或る
ビット位置と他方のウィンドウ・シーケンスにおける或
るビット位置とが、そのｕビット・シーケンスにおける
同じビット位置に関係付けられる。暗号装置は、さら
に、その導出されたｍ個のウィンドウ・シーケンスとそ
の公開鍵暗号のための別の或る値とに従って演算を行っ
て、処理済みデータを生成する演算手段を具えている。

【００５２】その一方のウィンドウ・シーケンスにおけ
る整数ｈ個のＬＳＢ位置とその他方のウィンドウ・シー
ケンスにおけるｈ個のＭＳＢ位置とが、そのｕビット・
シーケンスにおけるｈ個のビット位置に関係付けられ
る。

【００５３】本発明の別の特徴によれば、情報処理装置
において使用するための、秘密鍵を用いて公開鍵暗号処
理を行うプログラム（これは記憶媒体に格納されていて
もよい）は、乱数に従って、その公開鍵暗号のための或
る値ｄを表す複数ｕビット・シーケンスから複数ｍ個の
ウィンドウ・シーケンスを導出するステップと；その導
出されたｍ個のウィンドウ・シーケンスとその公開鍵暗
号のための別の或る値とに従って演算を行って、処理済
みデータを生成するステップと、を実行させるよう動作
可能である。

【００５４】本発明のさらに別の特徴によれば、情報処
理装置において秘密鍵を用いて公開鍵暗号処理を行う方
法は、乱数に従って、その公開鍵暗号のための或る値ｄ
を表す複数ｕビット・シーケンスから複数ｍ個のウィン
ドウ・シーケンスを導出するステップと、その導出され
たｍ個のウィンドウ・シーケンスとその公開鍵暗号のた
めの別の或る値とに従って演算を行って、処理済みデー
タを生成するステップとを含んでいる。

【００５５】本発明のさらに別の特徴によれば、秘密鍵
を用いて公開鍵暗号処理を行う暗号装置は、その公開鍵
暗号のための或る値ｄを表す複数ｕビット・シーケンス
から複数ｍ個のウィンドウ・シーケンスを導出する手段
を具えている。そのｍ個のウィンドウ・シーケンスのビ
ット総数はそのｕビット・シーケンスのビット数ｕより
多い。各ウィンドウ・シーケンスのビット数はｕ以下で
ある。そのｍ個のウィンドウ・シーケンスの中の２つう
ちの一方のウィンドウ・シーケンスにおける或るビット
位置と他方のウィンドウ・シーケンスにおける或るビッ
ト位置とが、そのｕビット・シーケンスにおける同じビ
ット位置に関係付けられる。そのｍ個のウィンドウ・シ
ーケンスの中の１つのウィンドウ・シーケンスにおける
所定の位置のビットは、他のウィンドウ・シーケンスの
対応する所定の位置のビットと同じ値を有する。暗号装
置は、さらに、その導出されたｍ個のウィンドウ・シー
ケンスとその公開鍵暗号のための別の或る値とに従って
演算を行って、処理済みデータを生成する演算手段を具
えている。

【００５６】その暗号装置は、さらに、そのウィンドウ
・シーケンスのビット数からその同じ値のビット数を減
算したビット数を有する取り得るシーケンスをインデッ
クスとして有し、そのインデックスに対応付けられるそ
のウィンドウ・シーケンスの取り得るシーケンスに従っ
て計算されたエントリ値を有するルックアップ・テーブ
ルを生成する手段を具える。

【００５７】その演算手段は、その導出されたウィンド
ウ・シーケンスのその同じ値の所定のビット以外のビッ
トのシーケンスをインデックスとして用いて、テーブル
をルックアップすることによって、その演算を行う。

【００５８】その導出する手段は、そのｕビット・シー
ケンスから、そのｕビット・シーケンスにおける対応す
る所定の位置に配置されたそのウィンドウ・シーケンス
のその同じ値を減算して別のシーケンスを生成し、その
別のシーケンスからそのウィンドウ・シーケンスを導出
する。

【００５９】本発明のさらに別の特徴によれば、情報処
理装置において使用するための、秘密鍵を用いて公開鍵
暗号処理を行うプログラム（これは記憶媒体に格納され
ていてもよい）は、その公開鍵暗号のための或る値ｄを
表す複数ｕビット・シーケンスから複数ｍ個のウィンド
ウ・シーケンスを導出するステップと、その導出された
ｍ個のウィンドウ・シーケンスとその公開鍵暗号のため
の別の或る値とに従って演算を行って、処理済みデータ
を生成するステップと、を実行させるよう動作可能であ
る。そのｍ個のウィンドウ・シーケンスの中の１つのウ
ィンドウ・シーケンスにおける所定の位置のビットは、
他のウィンドウ・シーケンスの対応する所定の位置のビ
ットと同じ値を有する。

【００６０】本発明のさらに別の特徴によれば、情報処
理装置において秘密鍵を用いて公開鍵暗号処理を行う方
法は、その公開鍵暗号のための或る値ｄを表す複数ｕビ
ット・シーケンスから複数ｍ個のウィンドウ・シーケン
スを導出するステップと、その導出されたｍ個のウィン
ドウ・シーケンスとその公開鍵暗号のための別の或る値
とに従って演算を行って、処理済みデータを生成するス
テップとを含んでいる。そのｍ個のウィンドウ・シーケ
ンスの中の１つのウィンドウ・シーケンスにおける所定
の位置のビットは、他のウィンドウ・シーケンスの対応
する所定の位置のビットと同じ値を有する。

【００６１】本発明によれば、秘密鍵の推定を困難に
し、暗号処理の安全性を高めることができ、効率的な耐
タンパ性の指数剰余演算および点のスカラー倍算を実現
できる。

【００６２】図面において、同じ参照番号は同じ要素を
示す。

【００６３】

【００６４】

【発明の好ましい実施形態】図７は、本発明による暗号
処理装置６０の概略的構成を示している。暗号処理装置
６０は、値ａ、ｄおよびｎまたは値Ａおよびｄを入力し
て供給する入力部７２と、乱数発生器７４と、乱数発生
器７４からの乱数に従って値ｄからオーバラップ・ウィ
ンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０および重なり長
（オーバラップ長）ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を
生成するウィンドウおよび重なり長生成部７５と、生成
部７５からのウィンドウおよび重なり長を格納するメモ
リ７８と、入力部７２からの値ａおよびｎまたは値Ａか
らｋビットのウィンドウｂ_ｉに対するテーブルｗまたは
Ｗを生成するテーブル生成部８０と、テーブル・メモリ
８２と、メモリ７８からのウィンドウおよび重なり長に
従ってテーブル・メモリ８２中のテーブルｗまたはＷを
ルックアップ（探索）して等式ｖ＝ａ^ｄ（ｍｏｄｎ）ま
たはＶ＝ｄＡを演算するウィンドウ法演算部８４と、値
ｖまたはＶを出力する出力部８６とを含んでいる。

【００６５】暗号化装置６０は、さらに、プロセッサ６
２と、ＲＯＭのようなプログラム・メモリ６４とを含ん
でいる。プロセッサ６２は、メモリ６４に格納されてい
るプログラムに従ってこれらの要素７２〜８６を制御す
る。代替構成として、プロセッサ６２は、要素７２〜８
６に対応する機能を実現するメモリ６４中のプログラム
を実行することによって要素７２〜８６を実現してもよ
い。この場合、図７はフロー図として見ることができ
る。

【００６６】図８は、本発明のオーバラップ・ウィンド
ウ法によるオーバラップ・ウィンドウｂ_ｉの生成の仕方
を示している。生成部７５は、乱数発生器７４からの乱
数に従って値ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）
_２からｍ個のｋビット・ウィンドウｂ_ｍ−１，
ｂ_ｍ−２，．．．ｂ_０を導出して、メモリ７８に格納す
る。図８では、図４と違って、隣接する２つのｋビット
・ウィンドウｂ_ｉ＋１およびｂ _ｉについて、ｂ_ｉ＋１の
右のｈビット位置とｂ_ｉの左のｈビット位置がｄにおけ
る対応するビット位置において重複することを許されて
いる。或る値ｄに対してウィンドウｂ_ｍ−１，
ｂ_ｍ−２，．．．ｂ_０の複数の可能な組（セット）が存
在するので、その中の１つの組を乱数に従って選択する
ことによって、ＤＰＡによる秘密鍵のタンパに耐性を有
する公開鍵演算を実現できる。

【００６７】図８には、オーバラップ・ウィンドウ法の
指数剰余演算への適用の例が示されているが、オーバラ
ップ・ウィンドウは点のスカラー倍算にも同様に適用で
きる。演算部８４は、メモリ７８からのウィンドウｂ_ｉ
に従って、メモリ８２中のテーブルｗまたはＷをルック
アップして、ｖにｗを乗算しそれを２^ｋ−ｈ乗すること
を繰り返してｖ＝ａ^ｄ（ｍｏｄ ｎ）を求め、または、
ＶにＷを加算し２^{ｋ− ｈ}倍算を行うことを繰り返してＶ
＝ｄＡを求める。

【００６８】オーバラップ・ウィンドウｂ_ｉ＋１および
ｂ_ｉにおけるそれぞれのｈ個の重なりビットのストリン
グの値は乱数に従って決定される。ウィンドウｂ_ｉ＋１
およびｂ_ｉは、乱数ｒに従って、ウィンドウｂ_ｉ＋１に
おけるｈ個の重なりビットのストリングの値とｂ_ｉにお
けるｈ個の重なりビットのストリングの値の和が、入力
値ｄにおける対応するｈビットのストリングの値になる
ように、生成される。代替構成として、ウィンドウｂ
_ｉ＋１およびｂ_ｉは、乱数ｒに従ってｂ_ｉにおけるｈ個
の重なりビットのストリングの値を発生し、ウィンドウ
ｂ_ｉ＋１におけるｈ個の重なりビットのストリングの値
が、入力値ｄにおける対応するｈビットのストリングの
値からｂ_ｉにおけるｈ個の重なりビットのストリングの
値を減じた値になるように（ｂ_ｉ＋１における上位ビッ
ト位置からのボローが生じてもよい）、生成されてもよ
い。

【００６９】図９は、本発明による、乱数に従ったオー
バラップ・ウィンドウｂ_ｉにおけるｈ個の重なりビット
のストリングの値の決定の簡単な例を示している。図９
において、ウィンドウｂ_ｉ＋１およびｂ_ｉのそれぞれの
ｈ個の重なりビットα_ｊおよびβ_ｊ（ｊ＝ｈ−
１，．．．０）を、即ちｂ_ｉ＋１中のビット・ストリン
グ（α _ｈ−１．．．α_１α_０）およびｂ_ｉ中のビット・
ストリング（β_ｈ−１．．．β _１β_０）を、入力値ｄに
おける対応するビットｄ_ｑ（ｑ＝ｘ＋ｋ−１，．．．ｘ
＋ｋ−ｈ）の値に応じて次のように決定する。ｄ_ｑ＝１
の場合、乱数ｒ＝１または０を生成して、ビットｄ_ｑに
対応するウィンドウｂ_ｉ＋ｒ中のビットα_ｊまたはβ_ｊ
に１をセットし、ウィンドウｂ_{ｉ＋（１−ｒ）}中の対応
するビットβ_ｊまたはα_ｊに０をセットする。ｄ_ｑ＝０
の場合、ウィンドウｂ_ｉ＋ｒとｂ_{ｉ＋（１ −ｒ）}の双方
の対応するビットα_ｊおよびβ_ｊに０をセットする。

【００７０】図１０は、本発明による、隣接するウィン
ドウｂ_ｉ＋１とｂ_ｉに固定された重なりビット長ｈを有
するオーバラップ・ウィンドウ法を用いた指数剰余演算
のフロー図を示している。図１１は、本発明による、隣
接するウィンドウｂ_ｉ＋１とｂ_ｉに可変な重なりビット
長ｈ_ｉを有するオーバラップ・ウィンドウ法を用いた指
数剰余演算のフロー図を示している。図１０および１１
では、生成されるウィンドウｂ_ｉは０≦ｂ_ｉ＜２^ｋの範
囲の値を有する。

【００７１】図１０のフロー図を説明する。最初に、入
力部７２は値ａ、ｄおよびｎを入力して生成部７５に供
給する。ステップ１０２において、生成部７５は、乱数
発生器７４からの乱数に従って、値ｄからウィンドウｂ
_ｍ−１，ｂ_ｍ−２，．．．ｂ _０を導出してメモリ７８に
格納する。ステップ１０４において、テーブル生成部８
０は、テーブルｗ（ｗ［ｘ］＝ａ^ｘ）（０＜ｘ＜２^ｋ）
を生成してメモリ８２に格納する。ステップ１０６にお
いて、演算部８４はｖ＝１およびｉ＝ｍをセットする。

【００７２】ステップ１０８〜１１４において、演算部
８４は、ｉ＝ｍ−１，ｍ−２，．．．０について順次、
ｂ_ｉに従って、メモリ８２のテーブルｗのルックアップ
によるｗ［ｂ_ｉ］の乗算と累乗とを、ｖに対して実行す
る。ステップ１０８において、演算部８４はｉ＝ｉ−１
をセットする。ステップ１１０において、演算部８４
は、ｂ_ｉ＞０の場合にｖにｗ［ｂ_ｉ］を乗算する。ステ
ップ１１２において、演算部８４はｉの値と値０とを比
較してｉ＝０かどうかを判定する。ｉ＝０でないと判断
された場合には、ステップ１１４において演算部８４
は、（ｋ−ｈ）回の２乗によってｖの２^{（ｋ−ｈ）}乗を
生成する。ステップ１１２においてｉ＝０であると判断
された場合には、出力部８６はｖ＝ａ^ｄ（ｍｏｄ ｎ）
を出力する。

【００７３】図１１のフロー図を説明する。ステップ２
０２において、生成部７５は、乱数発生器７４からの乱
数に従って、ｄからウィンドウｂ_ｍ−１，
ｂ_ｍ−２，．．．ｂ_０を導出しビット長ｈ_ｍ−２，ｈ
_ｍ−３，．．．ｈ_０を生成してメモリ７８に格納する。
ステップ２０４において、テーブル生成部８０は、テー
ブルｗを生成してメモリ８２に格納する。ステップ２０
６〜２１２は、図１０のステップ１０６〜１１２に対応
する。ステップ２０８〜２１４において、演算部８４
は、ｉ＝ｍ−１，．．．０について順次、ｂ_ｉに従っ
て、メモリ８２のテーブルｗのルックアップによるｗ
［ｂ_ｉ］での乗算（ステップ２１０）と（ｋ−
ｈ_ｉ−１）回の２乗による累乗（ステップ２１４）を、
ｖに対して実行して、ｖ＝ａ^ｄ（ｍｏｄｎ）を生成す
る。

【００７４】図１２は、本発明による、隣接するウィン
ドウｂ_ｉ＋１とｂ_ｉに固定された重なりビット長ｈを有
するオーバラップ・ウィンドウ法を用いたスカラー倍算
のフロー図を示している。図１３は、本発明による、隣
接するウィンドウｂ_ｉ＋１とｂ_ｉに可変な重なりビット
長ｈ_ｉを有するオーバラップ・ウィンドウ法を用いたス
カラー倍算のフロー図を示している。図１２および１３
では、ウィンドウｂ_ｉは−２^ｋ＜ｂ_ｉ＜２^ｋの範囲の値
を有する。

【００７５】図１２のフロー図を説明する。最初に、入
力部７２は値Ａおよびｄを入力して生成部７５に供給す
る。ステップ３０２において、生成部７５は、乱数発生
器７４からの乱数に従って、ｄからウィンドウ
ｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を生成してメモリ７８
に格納する。ステップ３０４において、テーブル生成部
８０は、テーブルＷ（Ｗ［ｘ］＝ｘＡ）（０＜ｘ＜
２^ｋ）を生成してメモリ８２に格納する。ステップ３０
６において、演算部８４はＶ＝Ｏ（無限遠点）およびｉ
＝ｍをセットする。

【００７６】ステップ３０８〜３１４において、演算部
８４は、ｉ＝ｍ−１，ｍ−２，．．．０について順次、
ｂ_ｉに従って、メモリ８２のテーブルＷのルックアップ
によるＷ［ｂ_ｉ］の加算およびＷ［−ｂ_ｉ］の減算と、
乗算とを、Ｖに対して実行する。ステップ３０８におい
て、演算部８４はｉ＝ｉ−１をセットする。ステップ３
１０において、演算部８４は、ｂ_ｉ＞０の場合にＶにＷ
［ｂ_ｉ］を加算し、ｂ _ｉ＜０の場合にＶからＷ［−
ｂ_ｉ］を減算する。ステップ３１２において、演算部８
４はｉの値と値０とを比較してｉ＝０かどうかを判定す
る。ｉ＝０でないと判断された場合には、ステップ３１
４において演算部８４は、（ｋ−ｈ）回の２倍算によっ
てＶの２^{（ｋ−ｈ）}倍を生成する。ステップ３１２にお
いてｉ＝０であると判断された場合には、出力部８６は
Ｖ＝ｄＡを出力する。

【００７７】図１３のフロー図を説明する。ステップ４
０２において、生成部７５は、乱数発生器７４からの乱
数に従って、ｄからウィンドウｂ_ｍ−１，
ｂ_ｍ−２，．．．ｂ_０を導出しビット長ｈ_ｍ−２，ｈ
_ｍ−３，．．．ｈ_０を生成してメモリ７８に格納する。
ステップ４０４において、テーブル生成部８０は、テー
ブルＷを生成してメモリ８２に格納する。ステップ４０
６〜４１２は、図１２のステップ３０６〜３１２に対応
する。ステップ４０８〜４１４において、演算部８４
は、ｉ＝ｍ−１，．．．０について順次、ｂ_ｉに従っ
て、メモリ８２のテーブルＷのルックアップによるＷ
［ｂ_ｉ］の加算またはＷ［−ｂ_ｉ］の減算（ステップ４
１０）と（ｋ−ｈ_ｉ−１）回の２倍算による乗算（ステ
ップ４１４）を、Ｖに対して実行して、Ｖ＝ｄＡを生成
する。

【００７８】後で実施形態において説明するように、図
１０、１１、１２および１３において、ウィンドウｂ_ｉ
の計算法が複数存在する。

【００７９】図１４は、本発明の第１の実施形態によ
る、生成部７５において、重なりビット長を有するオー
バラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０
をこの順序で生成するためのフロー図を示している。図
１５は、図１４に従ったオーバラップ・ウィンドウの生
成のための演算を例示している。この実施形態において
ｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有する。従って、こ
の実施形態は、重なりビットの長さｈが固定値のとき、
図１０のＲＳＡ暗号処理と図１２の楕円曲線暗号処理の
双方に適用できる。

【００８０】重なりビットの長さｈが固定値のときに、
秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２を表
すｕビット・シーケンス（ｄ_ｕ−１，ｄ_ｕ−２，．．．
ｄ_０）からウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０
を導出する方法を、図１４および１５を参照して説明す
る。ここで、ｈはｂ_ｉ＋１とｂ_ｉの重なりビットの長さ
であり、０＜ｈ＜ｋであり、ｋはｂ_ｉのビットの長さで
ある。

【００８１】ステップ５０１において、生成部７５は、
ウィンドウｂ_ｉの数ｍ＝ｃｅｉｌｉｎｇ（（ｕ−ｈ）／
（ｋ−ｈ））を決定する。ステップ５０２において、生
成部７５はｉ＝ｍにセットする。ステップ５０３におい
て、生成部７５は最初の中間ウィンドウｗｔ_ｍ−１＝
（ｄ_ｕ−１，．．．ｄ_{（ｍ−１）（ｋ−ｈ）}）_２を供給
する（図１５参照）。ここで、ｗｔ_ｍ−１は、ｄのｋ’
個のＭＳＢ（ｋ’＝ｕ−（ｍ−１）（ｋ−ｈ），ｋ’≦
ｋ）を取り出したものである。

【００８２】ステップ５０４において、生成部７５はｉ
＝ｉ−１にセットする。ステップ５０５において、生成
部７５はｉ＝０かどうかを判定する。ｉ≠０と判定され
た場合に、生成部７５は、ステップ５０６において、乱
数発生器７４からのｋビットの乱数ｒに従って、ｍａｘ
（０，ｗｔ_ｍ−１−２^ｈ＋１）≦ｂ_ｍ−１≦ｗｔ_{ｍ− １}
を満たすようなオーバラップ・ウィンドウｂ_ｍ−１を生
成する（図１５参照）。ここで、ｍａｘ（ｘ，ｙ）は値
ｘおよびｙのうちの大きいものを表す。ウィンドウｂ
_ｍ−１は、乱数ｒそのものの値であっても、または乱数
ｒに従って所定の数のｂ_ｉの値の中から選択されてもよ
い。ｂ_ｍ−１がこの範囲の値なので、（ｗｔ_ｍ−１−ｂ
_ｍ−１）は０≦（ｗｔ_ｍ−１−ｂ_ｍ−１）＜２^ｈを満た
す。

【００８３】ｗｔ_ｍ−１とｂ_ｍ−１を決定した後、ステ
ップ５０７において、生成部７５は次の中間ウィンドウ
ｗｔ_ｍ−２＝（（ｗｔ_ｍ−１−ｂ_ｍ−１）２^{（ｋ−ｈ）}
＋（ｄ_{（ｍ−１）（ｋ−ｈ）−１}，．．．ｄ
_{（ｍ−２）（ｋ−ｈ）}）_２を供給する（図１５参照）。
ｗｔ_ｍ−２は、ｋ−ｈビットの左シフトおよび加算：ｗ
ｔ_ｍ−２＝（（ｗｔ_ｍ−１−ｂ_ｍ−１）＜＜（ｋ−
ｈ））＋（ｄ_{（ｍ−１）（ｋ−ｈ）− １}，．．．ｄ
_{（ｍ−２）（ｋ−ｈ）}）_２を実行することによって、求
めてもよい。

【００８４】その後、生成部７５は、ｉ＝ｍ−２，ｍ−
３，．．．１についてステップ５０４〜５０７を繰り返
す。生成部７５は、ステップ５０６において乱数ｒに従
ってｍａｘ（０，ｗｔ_ｉ−１−２^ｈ＋１）≦ｂ_ｉ≦ｗｔ
_ｉを満たすｂ_ｉを生成し、ステップ５０７において次の
中間ウィンドウｗｔ_ｉ−１＝（ｗｔ_ｉ−ｂ_ｉ）２^{（ｋ
−ｈ）}＋（ｄ_{ｉ（ｋ−ｈ）−１}，．．．ｄ
_{（ｉ−１）（ｋ−ｈ）}）_２を求める（図１５参照）。換
言すれば、次の中間シーケンスｗｔ_ｉ−１は、中間シー
ケンスｗｔ_ｉからウィンドウｂ_ｉを減算することによっ
て導出された値をＭＳＢとして含み、ｕビット・シーケ
ンスの中の次のｋ−ｈ個のＭＳＢをＬＳＢとして含んで
いる。このようにして、ステップ５０５においてｉ＝０
と判定された場合に、生成部７５は、ステップ５０８に
おいてｂ_０＝ｗｔ_０とセットし、オーバラップ・ウィン
ドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を出力する。

【００８５】図１６は、第１の実施形態の変形である本
発明の第２の実施形態による、生成部７５において、可
変な重なりビット長を有するオーバラップ・ウィンドウ
ｂ_{ｍ −１}，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成する
ためのフローチャートを示している。この実施形態で
は、隣接するｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉ
が可変である。図１７は、図１６に従ったオーバラップ
・ウィンドウの生成のための演算を例示している。この
実施形態においてｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有
する。従って、この実施形態は、図１１のＲＳＡ暗号処
理と図１３の楕円曲線暗号処理の双方に適用できる。

【００８６】次に、秘密鍵ｄ＝（ｄ_ｕ−１，
ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_{ｍ −１}，ｂ
_ｍ−２，．．．ｂ_０を導出し重なりビット長ｈ_ｍ−２，
ｈ_ｍ−３，．．．ｈ_０を生成する方法を、図１６および
１７を参照して説明する。ここで、ｕはｄのビットの長
さ、ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉは０≦ｈ
_ｉ≦ｋの範囲の値、ｋはｂ_ｉのビットの長さである。

【００８７】ステップ６０１において、生成部７５は、
０≦ｈ_ｉ≦ｋかつｕ＝ｍｋ−（ｈ_{ｍ −２}＋ｈ
_ｍ−３＋．．．＋ｈ_０）を満たすように、乱数ｒ（＝ｈ
_ｉ）に従って、ウィンドウｂ_ｉの数ｍおよび重なりビッ
ト長ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を決定する。ステ
ップ６０２において、生成部７５はｉ＝ｍおよびｊ＝ｕ
−ｋにセットする。ステップ６０３において、生成部７
５は最初の中間ウィンドウｗｔ_{ｍ −１}＝
（ｄ_ｕ−１，．．．ｄ_ｊ）_２を供給する。

【００８８】ステップ６０４において、生成部７５はｉ
＝ｉ−１にセットする。ステップ６０５において、生成
部７５はｉ＝０かどうかを判定する。ｉ≠０と判定され
た場合に、生成部７５は、ステップ６０６において、図
１４と同様に、乱数発生器７４からのｋビットの乱数ｒ
に従って、ｍａｘ（０，ｗｔ_ｉ−２^ｈｉ＋１）≦ｂ_ｉ≦
ｗｔ_ｉを満たすようなオーバラップ・ウィンドウｂ_ｉを
生成する（図１７参照）。ウィンドウｂ_ｉは、乱数ｒそ
のものの値であっても、または乱数ｒに従って所定の数
のｂ_ｉの値の中から選択されてもよい。

【００８９】ｗｔ_ｍ−１とｂ_ｍ−１を決定した後、ステ
ップ６０７において、生成部７５は次の中間ウィンドウ
ｗｔ_ｉ−１＝（（ｗｔ_ｉ−ｂ_ｉ）２^{（ｋ−ｈｉ−１）}＋
（ｄ _ｊ−１，．．．ｄ_{ｊ−（ｋ−ｈｉ−１）}）_２を供給
する（図１７参照）。ステップ６０８において、生成部
７５はｊ＝ｊ−（ｋ−ｈ_ｉ−１）にセットする。

【００９０】生成部７５は、ｉ＝ｍ−２，ｍ−
３，．．．１についてステップ５０４〜５０７を繰り返
す。このようにして、ステップ６０５においてｉ＝０と
判定された場合に、生成部７５は、ステップ６０８にお
いてｂ_０＝ｗｔ_０とセットし、オーバラップ・ウィンド
ウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０および重なりビット
長ｈ_{ｍ −２}，ｈ_ｍ−３，．．．ｈ_０を出力する。

【００９１】図１８は、本発明の第３の実施形態によ
る、生成部７５において、重なりビット長を有するオー
バラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１をこ
の順で生成するためのフローチャートを示している。図
１９は、図１８に従ったオーバラップ・ウィンドウの生
成のための演算を例示している。この実施形態において
ｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有する。従って、こ
の実施形態は、重なりビットの長さｈが固定値のとき、
図１０のＲＳＡ暗号処理と図１２の楕円曲線暗号処理の
双方に適用できる。

【００９２】重なりビットの長さｈが固定値のときに、
秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２から
ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を導出する方法
を、図１８および１９を参照して説明する。ここで、ｂ
_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ＜ｋの範
囲の値である。ウィンドウｂ_ｉ中のｈ個のＭＳＢをｗｌ
_ｉ、ウィンドウｂ_ｉ中の（ｋ−ｈ）個のＬＳＢをｗｒ_ｉ
と表す。ｂ_ｉ＋１とｂ _ｉは、ｂ_ｉ＋１中のｈ個のＬＳＢ
位置とｂ_ｉのｈ個のＭＳＢ位置が重なる。

【００９３】ステップ７０１において、生成部７５は、
ウィンドウｂ_ｉの数ｍ＝ｃｅｉｌｉｎｇ（（ｕ−ｈ）／
（ｋ−ｈ））を決定する。ステップ７０２において、生
成部７５はｉ＝０にセットする。ステップ７０３におい
て、生成部７５は最初の中間シーケンスｄｔ_０＝ｄｔ＝
（ｄ_ｕ−１，．．．ｄ_０）_２を供給する。

【００９４】ステップ７０４において、生成部７５はｉ
＝ｍ−１かどうかを判定する。ｉ≠ｍ−１と判定された
場合に、生成部７５は、ステップ７０５において、ｗｒ
_０＝（ｄｔ_０中の（ｋ−ｈ）個のＬＳＢ）と、乱数発生
器７４からの乱数ｒに従ってｗｌ_０＝（ｈビットの乱数
ｒ）とを生成し、ステップ７０６においてｂ_０＝ｗｌ _０
２^{（ｋ−ｈ）}＋ｗｒ_０を生成する（図１９参照）。それ
によって、（ｄｔ_０−ｂ_０）における（ｋ−ｈ）個のＬ
ＳＢは全て０となる。ステップ７０７において、次の中
間シーケンスｄｔ_１＝（ｄｔ_０−ｂ_０）／２^{（ｋ−ｈ）}
を求める（図１９参照）。ステップ７０８において、ｉ
＝ｉ＋１にセットする。

【００９５】その後、生成部７５はｉ＝１，２，．．．
ｍ−２についてステップ７０５〜７０８を繰り返す。生
成部７５は、ステップ７０５においてｗｒ_ｉ＝（ｄｔ_ｉ
中の（ｋ−ｈ）個のＬＳＢ）と、ｗｌ_ｉ＝（ｈビットの
乱数ｒ）とを生成し、ステップ７０６においてｂ_ｉ＝ｗ
ｌ_ｉ２^{（ｋ−ｈ）}＋ｗｒ_ｉを生成し、ステップ７０７に
おいて次の中間シーケンスｄｔ_ｉ＋１＝（ｄｔ_ｉ−
ｂ_ｉ）／２^{（ｋ−ｈ）}を生成する（図１９参照）。換言
すれば、ウィンドウｂ_ｉは、乱数に従って生成されたｈ
個のＭＳＢを含み、中間シーケンスｄｔ_ｉの（ｋ−ｈ）
個のＬＳＢをＬＳＢとして含んでいる。次の中間シーケ
ンスｄｔ_ｉ＋１は、ｄｔ_ｉからウィンドウｂ _ｉを減算
し、（ｋ−ｈ）個のＬＳＢを切り捨てることによって導
出される。ｂ_ｉ＝ｗｌ_ｉ２^{（ｋ−ｈ）}＋ｗｒ_ｉおよびｄ
ｔ_ｉ＋１＝（ｄｔ_ｉ−ｂ_ｉ）／２^{（ｋ− ｈ）}は、それぞ
れ（ｋ−ｈ）ビットの左シフトおよび右シフトを実行す
ることによって、求めてもよい。

【００９６】このようにして、ステップ７０４において
ｉ＝ｍ−１と判定された場合に、生成部７５は、ステッ
プ７０９においてｂ_ｍ−１＝ｄｔ_ｍ−１とセットし、オ
ーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を
出力する。

【００９７】図２０は、第３の実施形態の変形である本
発明の第４の実施形態による、生成部７５において、可
変な重なりビット長を有するオーバラップ・ウィンドウ
ｂ_０，ｂ_１，．．．ｂ_ｍ−１をこの順で生成するための
フローチャートを示している。この実施形態ではｂ
_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉが可変である。
図２１は、図２０に従ったオーバラップ・ウィンドウの
生成のための演算を例示している。この実施形態におい
てｂ_ｉは０≦ｂ_ｉ≦２^ｋの範囲の値を有する。従って、
この実施形態は、図１１のＲＳＡ暗号処理と図１３の楕
円曲線暗号処理の双方に適用できる。

【００９８】次に、秘密鍵ｄ＝（ｄ_ｕ−１，
ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_０，
ｂ_１，．．．ｂ_ｍ−１を導出し重なりビット長ｈ_０，ｈ
_１，．．．ｈ_ｍ−２を生成する方法を、図２０および２
１を参照して説明する。ｂ_ｉ＋１とｂ_ｉの重なりビット
の長さｈ_ｉは０≦ｈ_ｉ≦ｋの範囲の値である。

【００９９】ステップ８０１において、生成部７５は、
０≦ｈ_ｉ≦ｋかつｕ＝ｍｋ−（ｈ_０＋ｈ_１＋．．．＋ｈ
_ｍ−２）を満たすように、乱数ｒ（＝ｈ_ｉ）に従って、
ウィンドウｂ_ｉの数ｍおよび重なりビット長ｈ_ｍ−２，
ｈ_ｍ−３，．．．ｈ_０を決定する。ステップ８０２にお
いて、生成部７５はｉ＝０にセットする。ステップ８０
３において、生成部７５は最初の中間ウィンドウｄｔ_０
＝（ｄ_ｕ−１，．．．ｄ_ｊ）_２を供給する。

【０１００】ステップ８０４において、生成部７５はｉ
＝ｍ−１かどうかを判定する。ｉ≠ｍ−１と判定された
場合に、生成部７５は、図１６と同様に、ステップ８０
５において、乱数に従ってｗｌ_ｉ＝（ｈ_ｉビットの乱
数）とｗｒ_ｉ＝（ｄｔ_ｉ中の（ｋ−ｈ_ｉ）個のＬＳＢ）
とを生成し、ステップ８０６においてｂ_ｉ＝ｗｌ_ｉ２^{（
ｋ−ｈｉ）}＋ｗｒ_ｉを生成し、ステップ８０７において
ｄｔ_ｉ＝（ｄｔ_ｉ−１−ｂ_ｉ−１）／２^{（ｋ−ｈｉ）}を
生成する（図２１参照）。ステップ８０８において、生
成部７５は、ｉ＝ｉ＋１にセットする。

【０１０１】生成部７５は、ｉ＝０，１，．．ｍ−２に
ついてステップ８０４〜８０８を繰り返す。このように
して、ステップ８０４においてｉ＝ｍ−１と判定された
場合、生成部７５は、ステップ８０９においてｂ_ｍ−１
＝ｄｔ_ｍ−１とセットし、オーバラップ・ウィンドウｂ
_０，ｂ_１，．．．ｂ_ｍ−１および重なりビット長ｈ_０，
ｈ_０，．．．ｈ_ｍ−２を出力する。

【０１０２】図２２は、本発明の第５の実施形態によ
る、生成部７５において、重なりビット長を有するオー
バラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０
をこの順で生成するためのフローチャートを示してい
る。図２３は、図２２に従ったオーバラップ・ウィンド
ウの生成のための演算を例示している。この実施形態
は、図１４および１５に示された第１の実施形態におけ
るｂ_ｉの値の範囲を−２^ｋ＜ｂ_ｉ＜２^ｋに拡張したもの
で、図１２の楕円曲線暗号処理にのみ適用できる。この
実施形態では、ｂ_ｉがより多くの取り得る値を有するの
で、ＳＰＡおよびＤＰＡを用いた秘密鍵の推定に対する
安全性をより高くすることができる。

【０１０３】重なりビットの長さｈが固定値の場合に、
秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２から
ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出する
方法を、図２２および２３を参照して説明する。ここ
で、ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ＜
ｋの範囲の値である。

【０１０４】ステップ９０１〜９０５およびステップ９
０７〜９０８は図１４のステップ５０１〜５０５および
ステップ５０７〜５０８に対応し、再び説明することは
しない。

【０１０５】生成部７５は、ステップ９０６において、
乱数発生器７４からのｋビットの乱数ｒに従って、ｗｔ
_ｉ−１−２^ｈ＜ｂ_ｉ＜ｍｉｎ（２^ｋ，ｗｔ_ｉ＋２^ｈ）を
満たすようなオーバラップ・ウィンドウｂ_ｉを生成する
（図２３参照）。ここで、ｍｉｎ（ｘ，ｙ）は値ｘおよ
びｙのうちの小さいものを表す。図２３に示されている
ように、ｂ_ｉ＝（ｄ_{ｉｋ＋ｋ−１}，
ｄ_{ｉｋ＋ｋ−２}，．．．ｄ_ｉｋ）_２におけるｄ
_{ｉｋ＋ｋ−１}，．．．ｄ_ｉｋの各々の値は−１，０また
は１である。ウィンドウｂ_ｉは、乱数ｒそのものの値で
あっても、または乱数ｒに従って所定の数のｂ_ｉの値の
中から選択されてもよい。図１４のステップ５０６にお
いて生成されるｂ_ｉは０以上の値であるのに対し、この
実施形態において、生成されるウィンドウｂ_ｉは、−２
^ｋ＋２^ｈ≦ｂ_ｉ＜２^ｋの範囲の値を有し、負の値を含ん
でいる。

【０１０６】図２４は、第５の実施形態の変形である本
発明の第６の実施形態による、生成部７５において、可
変な重なりビット長を有するオーバラップ・ウィンドウ
ｂ_{ｍ −１}，ｂ_ｍ−２，．．．ｂ_０をこの順で生成するた
めのフローチャートを示している。この実施形態ではｂ
_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉが可変である。
図２５は、図２４に従ったオーバラップ・ウィンドウの
生成のための演算を例示している。この実施形態は、図
１６および１７に示された第２の実施形態におけるｂ_ｉ
の値の範囲を−２^ｋ＜ｂ_ｉ＜２^ｋに拡張したもので、図
１３の楕円曲線暗号処理にのみ適用できる。

【０１０７】次に、秘密鍵ｄ＝（ｄ_ｕ−１，
ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_{ｍ −１}，ｂ
_ｍ−２，．．．ｂ_０を導出しｈ_ｍ−２，
ｈ_ｕ−２，．．．ｈ_０を生成する方法を、図２４および
２５を参照して説明する。ここで、ｂ_ｉ＋１とｂ_ｉの重
なりビットの長さｈ_ｉは０≦ｈ_ｉ≦ｋの範囲の値であ
る。

【０１０８】ステップ１００１〜１００５およびステッ
プ１００７〜１００８は図１６のステップ６０１〜６０
５およびステップ６０７〜６０８に対応し、再び説明す
ることはしない。

【０１０９】生成部７５は、ステップ１００６におい
て、乱数発生器７４からのｋビットの乱数ｒに従って、
ｗｔ_ｉ−１−２^ｈｉ＜ｂ_ｉ＜ｍｉｎ（２^ｋ，ｗｔ_ｉ＋２
^ｈｉ）を満たすようなオーバラップ・ウィンドウｂ_ｉを
生成する（図２５参照）。図２５に示されているよう
に、ｂ_ｉにおける各ビットの値は−１，０または１であ
る。図１６のステップ６０６で生成されるｂ_ｉは０以上
の値であるのに対し、この実施形態において、生成され
るウィンドウｂ_ｉは、−２^ｋ＜ｂ_ｉ＜２^ｋの範囲の値を
有し、負の値を含んでいる。

【０１１０】図２６は、本発明の第７の実施形態によ
る、生成部７５において、重なりビット長を有するオー
バラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１をこ
の順で生成するためのフローチャートを示している。図
２７は、図２６に従ったオーバラップ・ウィンドウの生
成のための演算を例示している。この実施形態は、図１
８および１９に示された第３の実施形態のｂ_ｉの値の範
囲を−２^ｋ＜ｂ_ｉ＜２^ｋに拡張したもので、図１２の楕
円曲線暗号処理にのみ適用できる。この実施形態では、
ｂ_ｉがより多くの取り得る値を有するので、ＳＰＡおよ
びＤＰＡを用いた秘密鍵の推定に対する安全性をより高
くすることができる。この実施形態では、第３の実施形
態の図１８のステップ７０７における演算をなくしたの
で、高速処理が可能である。

【０１１１】重なりビットの長さｈが固定値の場合に、
秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２から
ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を導出する方法
を、図２６および２７を参照して説明する。ここで、ｂ
_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ＜ｋの範
囲の値である。

【０１１２】ステップ１１０１〜１１０２は図１８のス
テップ７０１〜７０２に対応する。ステップ１１０３に
おいて、生成部７５は、最初の中間ウィンドウｗｔ_０＝
（ｄ _ｋ−１，ｄ_ｋ−２，．．．ｄ_０）_２を供給する。こ
こで、ｗｔ_０は、ｄのｋ個のＬＳＢを取り出したもので
ある。

【０１１３】生成部７５は、ｉ＝０，１，．．．ｍ−２
について、ステップ１１０４〜１１１０を実行して、ｂ
_０，ｂ_１，．．．ｂ_ｍ−２を生成する。ステップ１１０
４において、生成部７５はｉ＝ｍ−１かどうかを判定す
る。ステップ１１０４、１１１０および１１１１は、図
１８のステップ７０４、７０８および７０９にそれぞれ
対応する。

【０１１４】ステップ１１０５において、生成部７５
は、ｗｔｒ_ｉ＝ｗｔ_ｉ（ｍｏｄ ２^{（ ｋ−ｈ）}）を求め
る。このモジュロ演算は、中間ウィンドウｗｔ_ｉが負の
場合を含んでいる。この演算は次のように実行される。

【数８】

【０１１５】ステップ１１０６において、生成部７５
は、ｗｔｌ_ｉ＝（ｗｔ_ｉ−ｗｔｒ_ｉ）／２^{（ｋ−ｈ）}を
決定する。ステップ１１０７において、生成部７５は、
乱数発生器７４からのｋビットの乱数ｒに従ってｗｔｌ
_ｉ−２^h＜ ｗｌ_ｉ＜２^hを満たすようなｗｌ_ｉと、ｗｒ
_ｉ＝ｗｔｒ_ｉとを生成する。ｗｌ_ｉは、乱数ｒそのもの
の値であっても、または乱数ｒに従って所定の数のｗｌ
_ｉの値の中から選択されてもよい。ステップ１１０８に
おいて、生成部７５は、ｂ_ｉ＝ｗｌ_ｉ２^ｈ＋ｗｒ _ｉを求
める（図２７参照）。換言すれば、ウィンドウｂ_ｉは、
乱数に従って生成されたｈ個のＭＳＢを含み、中間シー
ケンスｗｔ_ｉ（ｍｏｄ ２^{（ｋ−ｈ）}）の値を（ｋ−
ｈ）個のＬＳＢｓとして含んでいる。図２７に示されて
いるように、ｂ_ｉにおける各ビットの値は−１，０また
は１である。

【０１１６】ステップ１１０９において、生成部７５
は、次の中間ウィンドウｗｔ_ｉ+１＝（ｄ
_{ｋ−（ｋ−ｈ）（ｉ＋１）−１}，．．．ｄ
_{ｋ−（ｋ−ｈ）ｉ}）_２２^ｈ＋（ｗｔｌ_ｉ−ｗｌ_ｉ）を求
める。換言すれば、次の中間シーケンスｗｔ_ｉ＋１は、
ｈ個のＭＳＢの値ｗｌ_ｉを中間シーケンスｗｔ_ｉの中の
ｈ個のＭＳＢの値から減算することによって導出された
値をＬＳＢｓとして含み、ｕビット・シーケンスの中の
他のｋ−ｈ個のビットをＭＳＢｓとして含んでいる。ス
テップ１１１０において、生成部７５は、生成部７５
は、ｉ＝ｉ＋１にセットする。

【０１１７】このようにして、ステップ１１０４におい
てｉ＝ｍ−１であると判定された場合、生成部７５はス
テップ１１１１においてｂ_ｍ−１＝ｄｔ_ｍ−１とセット
して、オーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ
_ｍ−１を出力する。

【０１１８】第３の実施形態と比較すると、この実施形
態では、ｗｌ_ｉおよびｗｒ_ｉが負であってもよいので、
図１８のステップ７０７で行う数ビット〜数百ビットの
値からの減算が不要であり、処理が速い。

【０１１９】図２８は、第７の実施形態の変形である本
発明の第８の実施形態による、生成部７５において、可
変な重なりビット長を有するオーバラップ・ウィンドウ
ｂ_０，ｂ_１，．．．ｂ_ｍ−１をこの順で生成するための
フローチャートを示している。この実施形態ではｂ
_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉが可変である。
図２９は、図２８に従ったオーバラップ・ウィンドウの
生成のための演算を例示している。この実施形態は、図
２０および２１に示された第４の実施形態におけるｂ_ｉ
の値を−２^ｋ＜ｂ_ｉ＜２^ｋに拡張したもので、図１３の
楕円曲線暗号処理にのみ適用できる。

【０１２０】次に、秘密鍵ｄ＝（ｄ_ｕ−１，
ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_０，
ｂ_１，．．．ｂ_ｍ−１を導出し重なりビット長ｈ_０，ｈ
_１，．．．ｈ_ｍ−２を生成する方法を、図２８および２
９を参照して説明する。ここで、ｂ_ｉ＋１とｂ _ｉの重な
りビットの長さｈ_ｉは０≦ｈ_ｉ≦ｋの範囲の値である。

【０１２１】この実施形態における処理は、ｈ_ｉが可変
であること以外は、図２６および２７と同様に処理が行
われる。図２８におけるステップ１２０１は図２０のス
テップ８０１に対応する。ステップ１２０２において、
生成部７５はｉ＝０およびｊ＝ｋにセットする。ステッ
プ１２０４〜１２０９および１２１１は、図２６におけ
るステップ１１０４〜１１１０にそれぞれ対応する。

【０１２２】ステップ１２０５において、生成部７５
は、ｗｔｒ_ｉ＝ｗｔ_ｉ（ｍｏｄ ２^{（ ｋ−ｈｉ）}）を求
める。ステップ１２０６において、生成部７５は、ｗｔ
ｌ_ｉ＝（ｗｔ_ｉ−ｗｔｒ_ｉ）／２^{（ｋ−ｈｉ）}を求め
る。ステップ１２０７において、生成部７５は、乱数発
生器７４からのｋビットの乱数ｒに従ってｗｔｌ_ｉ−２
^{h ｉ}＜ ｗｌ_ｉ＜２^hｉを満たすようなｗｌ_ｉと、ｗｒ_ｉ
＝ｗｔｒ_ｉとを生成する。ステップ１２０８において、
生成部７５は、b_ｉ＝ｗｌ_ｉ２^{（ｋ−ｈｉ）}＋ｗｒ _ｉを
求める（図２９参照）。図２９に示されているように、
ｂ_ｉにおける各ビットの値は−１，０または１である。
ステップ１２０９において、生成部７５は、次の中間ウ
ィンドウｗｔ_ｉ+１＝（ｄ_{ｊ＋ｋ−ｈｉ−１}，．．．ｄ
_ｊ）_２２^ｈｉ＋（ｗｔｌ_ｉ−ｗｌ_ｉ）を求める。ステッ
プ１２１０において、生成部７５は、ｊ＝ｊ＋（ｋ−ｈ
_ｉ）にセットする。

【０１２３】このようにして、ステップ１２０４におい
てｉ＝ｍ−１であると判定された場合、生成部７５はス
テップ１２１２において、ｂ_ｍ−１＝ｄｔ_ｍ−１とセッ
トして、オーバラップ・ウィンドウｂ_０，ｂ_１，．．．
ｂ_ｍ−１および重なりビット長ｈ_ｍ−２，
ｈ_ｍ−３，．．．ｈ_０を出力する。

【０１２４】図３０は、本発明の第９の実施形態によ
る、生成部７５において、重なりビット長を有するオー
バラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０
を順に生成するためのフローチャートを示している。図
３１は、図３０に従ったオーバラップ・ウィンドウの生
成のための演算を例示している。この実施形態において
ｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有し、従って、この
実施形態は、図１０のＲＳＡ暗号処理と図１２の楕円曲
線暗号処理の双方に適用できる。

【０１２５】秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．
ｄ_０）_２からウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ
_０を導出する方法を、図３０および３１を参照して説明
する。この実施形態では、複数のｍ−１ビットの乱数ビ
ット・シーケンスを加算することによってウィンドウｂ
_ｉが生成される。ｂ_ｉ＋１とｂ_ｉの重なりビットの長さ
ｈは０＜ｈ＜ｋの範囲の固定値である。

【０１２６】ステップ１３０１において、生成部７５
は、ウィンドウｂ_ｉの数ｍ＝ｃｅｉｌｉｎｇ（ｕ／ｋ）
を決定する。生成部７５は、ステップ１３０２において
乱数発生器７４からの乱数に従って、ｄｆ_ｊ≧０かつｄ
ｆ_１＋．．．＋ｄｆ_ｇ−１≦ｄを満たすように入力ｄか
らｄｆ_１，．．．ｄｆ_ｇ−１を生成し、ステップ１３０
３においてｄｆ_０＝ｄ−（ｄｆ_１＋．．．＋ｄ
ｆ_ｇ−１）（≧０）を生成する。このようにしてｄ＝ｄ
ｆ_０＋ｄｆ_１＋．．．＋ｄｆ_ｇ−１を満たすｇ個のｄｆ
_ｊ＝（ｄｆ_{ｊ，ｕ−１}，ｄｆ_{ｊ，ｕ−２}，．．．ｄｆ
_ｊ，０）_２が生成される。ここで、ｇはｃｅｉｌｉｎｇ
（２^{（ｋ-１）}／（２^{（ｋ−ｈ）}−１））≦ｇ≦ｆｌｏ
ｏｒ（（２^ｋ−１）／（２^{（ｋ−ｈ）}−１））の範囲の
定数である。関数ｆｌｏｏｒ（ｘ）は変数ｘ以下の最大
の整数を表す。ｇは、最大ｋビットのｂ_ｉ（２ ^ｋ−１≦
ｂ_ｉ＜２^ｋ）を与える。

【０１２７】ステップ１３０４において、生成部７５
は、ｉ＝ｉ−１にセットする。生成部７５は、ｂ_ｉを生
成するために、ステップ１３０５〜１３０８をｉ＝ｍ−
１，ｍ−２，．．．０について順に実行する。ステップ
１３０４〜１３０８では、ｉ＝０，１，．．．ｍ−１の
順に、またはその他の順にｂ_ｉが生成されてもよい。

【０１２８】ステップ１３０５において、生成部７５
は、ｊ＝０，１，．．．（ｇ−１）について、（ｋ−
ｈ）ビットの値ｓ_ｊ＝（ｄｆ
_{ｊ，（ｉ＋１）（ｋ−ｈ）−１}，．．．ｄｆ
_{ｊ，ｉ（ｋ−ｈ）}）_２をセットする。ステップ１３０６
において、オーバラップ・ウィンドウｂ_ｉ ＝ｓ_０＋ｓ
_１＋．．．＋ｓ_ｇ−１を求める。このようにして生成さ
れた隣接するウィンドウｂ_ｉ＋１とｂ_ｉは、ｂ_ｉ＋１の
ｈ個のＬＳＢ位置とｂ_ｉのｈ個のＭＳＢ位置とが、ｕビ
ット・シーケンスにおける同じｈ個のビット（ｄ
_{ｉｈ＋ｈ−１}，．．．ｄ_ｉｈ）の位置に関係付けられ
る。ステップ１３０７において生成部７５はｉ＝０かど
うかを判定する。ｉ≠０と判定された場合に、生成部７
５はステップ１３０８においてｉ＝ｉ−１にセットし、
次いで、手順はステップ１３０５に進む。ｉ＝０と判定
された場合は、生成部７５はオーバラップ・ウィンドウ
ｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を出力する。

【０１２９】図３２は、第９の実施形態の変形である本
発明の第１０の実施形態による、生成部７５において、
重なりビット長を有するオーバラップ・ウィンドウｂ
_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順で生成するため
のフローチャートを示している。この実施形態は、第９
の実施形態を変形したもので、モジュロφを用いてウィ
ンドウｂ_ｉを生成する。図３３は、図３２に従ったオー
バラップ・ウィンドウの生成のための演算を例示してい
る。この実施形態においてｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲
の値を有し、従って、この実施形態は、図１１のＲＳＡ
暗号処理と図１３の楕円曲線暗号処理の双方に適用でき
る。

【０１３０】秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．
ｄ_０）_２からウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ
_０を導出する方法を、図３２および３３を参照して説明
する。ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ
＜ｋの範囲の固定値である。

【０１３１】この実施形態では、第９の実施形態と異な
る条件でｄｆ_０，ｄｆ_１，．．．ｄｆ_ｇ−１を生成す
る。この実施形態では、ｄに対してｂ_ｉがより多くの取
りうる値を有するので、ＳＰＡおよびＤＰＡを用いた秘
密鍵の推定に対する安全性をより高くすることができ
る。

【０１３２】ステップ１４０１において、生成部７５
は、乱数発生器７４からの乱数に従って、ｄｆ_ｊ≧０を
満たすように入力ｄからｄｆ_１，．．．ｄｆ_ｇ−１を生
成する。第９の実施形態とは異なり、ｄｆ_ｊはｄｆ
_１＋．．．＋ｄｆ_ｇ−１≦ｄを満たす必要がない。生成
部７５は、ステップ１４０２において、ｄｆ_０＝ｄ−
（ｄｆ _１＋．．．＋ｄｆ_ｇ−１）（ｍｏｄ φ）（≧
０）を生成する。このようにしてｄ＝ｄｆ_０＋ｄｆ
_１＋．．．＋ｄｆ_ｇ−１（ｍｏｄ φ）を満たすｇ個の
ｄｆ_ｊ＝（ｄｆ_{ｊ，ｕ−１}，ｄｆ_{ｊ，ｕ−２}，．．．ｄ
ｆ_ｊ，０）_２が生成される。ｄｆ_０は、０≦ｄｆ_０＜φ
を満たさなくてもよい。この実施形態では、第９の実施
形態とは異なり、ｄｆ_１，．．．ｄｆ_ｇ−１は０以上の
ｕビットの任意の乱数なので、ｄｆ_０，ｄｆ_１，．．．
ｄｆ_ｇ−１がより多くの取りうる値を有し、従ってｂ_ｉ
もより多くの取りうる値を有する。

【０１３３】生成部７５は、ステップ１４０３において
ｄｆ_０＋ｄｆ_１＋．．．＋ｄｆ_{ｇ− １}のビット長ｕ’を
求め、ステップ１４０４においてウィンドウｂ_ｉの数ｍ
＝ｃｅｉｌｉｎｇ（ｕ’／（ｋ−ｈ））を求める。ステ
ップ１４０５において、生成部７５はｉ＝ｍ−１にセッ
トする。

【０１３４】ステップ１４０６において、生成部７５
は、ｊ＝０，１，．．．（ｇ−１）について、（ｋ−
ｈ）ビットのストリングの値ｓ_ｊ＝（ｄｆ
_{ｊ，（ｉ＋１）（ｋ− ｈ）−１}，．．．ｄｆ
_{ｊ，ｉ（ｋ−ｈ）}）_２をセットする。ステップ１４０７
において、生成部７５は、オーバラップ・ウィンドウｂ
_ｉ＝ｓ_０＋ｓ_１＋．．．＋ｓ_ｇ−１を求める。ステップ
１４０８〜１４０９は図３０のステップ１３０７〜１３
０８に対応する。このようにして、生成部７５はオーバ
ラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を
出力する。

【０１３５】本発明によれば、公開鍵演算がウィンドウ
法に基づいているのでＳＰＡによる秘密鍵の推定が防止
される。入力値ｄに対して複数のウィンドウｂ_ｉが乱数
に従って選択されるのでＤＰＡによる秘密鍵の推定も防
止される。本発明によれば、通常の分割指数法のように
公開鍵演算を２回実行する必要がなく、公開鍵演算を１
回だけ実行すればよいので、処理速度が速い。

【０１３６】表２は、従来の分割指数法と本発明の処理
速度の比較を示している。表２において、ｕは秘密鍵の
ビット長を、Ｍは乗算または点の加算／減算の計算量
を、Ｓは２乗または点の２倍算の計算量を表す。ｈが可
変長ｈ_ｉの場合は、ｈは平均の長さを表す。

【０１３７】

【表２】

【０１３８】従来の分割指数法の処理速度は、図６に示
す２つの公開鍵演算ｖ_１＝ａ^ｄ１（ｍｏｄｎ）とｖ_２＝
ａ^ｄ２（ｍｏｄ ｎ）の計算の方法によって異なるが、
どのような方法を用いても最低２ｕＳの計算量を必要と
する。一方、本発明では１回のみの公開鍵演算を必要と
し、平均（Ｓ＋Ｍ／（ｋ−ｈ））ｕの計算量が必要であ
る。一般的にＳ≒Ｍなので、従来の分割指数法の計算量
は２ｕＭであり、一方、本発明の計算量は（１＋１／
（ｋ−ｈ））ｕＭである。本発明においては、ｈ＜ｋで
あり（１＋１／（ｋ−ｈ））ｕＭ≦２ｕＭなので、本発
明の公開鍵演算は従来の分割指数法より速い。例えば、
ｋ＝４およびｈ＝２の場合、分割指数法は最低でも２ｕ
Ｍの計算量を必要とするが、本発明は平均１．５ｕＭの
計算量しか必要としない。

【０１３９】以上説明した実施形態では、所与の１つの
秘密鍵ｄに対するオーバラップ・ウィンドウの取り得る
（可能な）パターンの数は、オーバラップ・ウィンドウ
法における各ウィンドウ生成においてそれぞれに使用さ
れる乱数の取り得るパターンの数にのみ依存する。ＤＰ
Ａに対するオーバラップ・ウィンドウ法の安全性はオー
バラップ・ウィンドウｂ_ｉの取り得るパターンの数に依
存する。乱数のパターンの数は、隣接のオーバラップ・
ウィンドウｂ_ｉ＋１とｂ_ｉの重なりビット長ｈによって
決まり、この数を大きくするためにはウィンドウの長さ
ｋを大きくする必要がある。しかし、ウィンドウの長さ
ｋを大きくすると、生成されるテーブルｗまたはＷのサ
イズが増加し、ウィンドウの生成、テーブルの生成およ
びテーブル・ルックアップの効率が低下する。

【０１４０】以下、本発明による、所与の１つの秘密鍵
ｄに対する複数のウィンドウｂ_ｉのそれぞれの一部に、
所定の同じ値または乱数に従って生成された同じ値Ｓを
用いるオーバラップ・ウィンドウ法を説明する。ここで
は、この方法を指数乗剰余演算に関して説明するが、点
のスカラー倍算に関しても同様に実現できる。この方法
は、生成されるテーブルのサイズを大きくすることなく
ウィンドウｂ_ｉの取り得るパターンの数を増やすことが
でき、効率よく安全性が高められる。

【０１４１】図３４Ａおよび３４Ｂは、本発明による、
所与の１つの値ｄに対する複数のウィンドウのそれぞれ
の一部について所定の同じ値または乱数に従って生成さ
れた同じ値を用いるオーバラップ・ウィンドウ法の原理
を説明するのに役立つ。

【０１４２】図３４Ａを参照して説明すると、安全性を
高めるために、オーバラップ・ウィンドウｂ_ｉのビット
長ｋをより長くする。さらに、ウィンドウｂ_ｍ−１、ｂ
_{ｍ− ２}、．．．ｂ_０（ここで、ｍはウィンドウの数を表
す）の各ウィンドウｂ_ｉ中の所定位置におけるｈビット
の重なりビット・ストリングの値を、乱数ｒに従って発
生された同じ値Ｓに設定する。

【０１４３】図３４Ｂを参照して説明すると、オーバラ
ップ・ウィンドウ法の安全性はオーバラップ・ウィンド
ウｂ_ｉのビット長ｋに応じて決まる。生成されるテーブ
ルｗのサイズは、その同じ値Ｓを有するｈビット以外の
ｋ−ｈビットに応じて決まる。その理由は、ｈビットに
対する同じ値Ｓを考慮すると、ｋビットのオーバラップ
・ウィンドウｂ_ｍ−１、ｂ_ｍ−２、．．．ｂ_０に対する
ｗ［ｂ_ｉ］＝ａ^ｘ（ｍｏｄ ｎ）を満たす取り得る値ｗ
［ｂ_ｉ］の数は２^ｋ−ｈだからである。従って、テーブ
ルｗのエントリとして２^ｋ−ｈ個の値ｗが計算され生成
されてテーブルｗに格納される。テーブルｗをルックア
ップするとき、ウィンドウｂ_ｉにおける下線のｋ−ｈビ
ット部分のみをインデックスとして用いればよい。この
ようにして、テーブル・サイズを増加させることなく、
およびテーブル・ルックアップに使用するインデックス
値ｉｎｄの長さを増加させることなく、ウィンドウｂ_ｉ
の長さを大きくすることができる。

【０１４４】図３５は、後で説明する改良手法１および
２において用いられる、複数のウィンドウのそれぞれの
一部に同じ値Ｓを用いるオーバラップ・ウィンドウ法に
よる暗号処理装置１６０の概略的構成を示している。暗
号処理装置１６０は、値ａ、ｄおよびｎまたは値Ａおよ
びｄを入力して供給する入力部７２と、乱数発生器７４
と、乱数発生器７４からの乱数に従って値ｄからオーバ
ラップ・ウィンドウｂ _ｍ−１，ｂ_ｍ−２，．．．ｂ_０を
生成し同じ値Ｓおよび必要な場合は重なり長ｈを供給す
るウィンドウ値生成部７６と、生成部７６からのウィン
ドウを格納するメモリ７８と、入力部７２からの値ａお
よびｎまたは値Ａと生成部７６からの値Ｓとからｋビッ
トのウィンドウｂ_ｉに対するテーブルｗまたはＷを生成
するテーブル生成部８０と、テーブル・メモリ８２と、
メモリ７８からのウィンドウおよび必要な場合は重なり
長ｈに従ってテーブル・メモリ８２中のテーブルｗまた
はＷをルックアップ（探索）して等式ｖ＝ａ^ｄ（ｍｏｄ
ｎ）またはＶ＝ｄＡを演算するウィンドウ法演算部８
４と、値ｖまたはＶを出力する出力部８６とを含んでい
る。

【０１４５】図３６は、後で説明する改良手法１および
２において用いられる、複数のウィンドウのそれぞれの
一部に同じ値Ｓを用いるオーバラップ・ウィンドウ法に
よる逐次または反復処理型の暗号処理装置１６２の概略
的構成を示している。暗号処理装置１６２は、乱数発生
器７４からの乱数に従って値ｄからオーバラップ・ウィ
ンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を順次生成し同
じ値Ｓおよび必要な場合は重なり長ｈを供給するウィン
ドウ値生成部７６と、ウィンドウ値生成部７６からのウ
ィンドウおよび必要な場合は重なり長ｈに従ってテーブ
ル・メモリ８２中のテーブルｗまたはＷをルックアップ
して等式ｖ＝ａ^ｄ（ｍｏｄ ｎ）またはＶ＝ｄＡを演算
するウィンドウ法演算部８４と、を含んでいる。暗号処
理装置１６２は、さらに、図３５の暗号処理装置１６０
と同様に、入力部７２と、乱数発生器７４と、テーブル
生成部８０と、テーブル・メモリ８２と、出力部８６と
を含んでいる。

【０１４６】図３５および３６の暗号化装置１６０およ
び１６２は、さらに、プロセッサ６２と、ＲＯＭのよう
なプログラム・メモリ６４とを含んでいる。プロセッサ
６２は、メモリ６４に格納されているプログラムに従っ
てこれらの要素７２〜８６を制御する。代替構成とし
て、プロセッサ６２は、要素７２〜８６に対応する機能
を実現するメモリ６４中のプログラムを実行することに
よって要素７２〜８６を実現してもよい。この場合、図
３５および３６はフロー図として見ることができる。

【０１４７】改良手法１ オーバラップ・ウィンドウの
中央位置に同じ値Ｓを用いる手法図３７は、本発明によ
る、オーバラップ・ウィンドウｂ_ｉの中央位置に同じ値
Ｓを設定する手法を説明するのに役立つ。図３７を参照
すると、この手法では、上述の図１０のオーバラップ・
ウィンドウ法と同様に、隣接するウィンドウｂ_{ｉ ＋１}と
ｂ_ｉが重なりビット長ｈを有する。ウィンドウｂ_ｉは、
ｋビットのシーケンスであり、ｋ−ｈ個のＭＳＢと、ｋ
−ｈ個のＬＳＢと、残りのｓ個の中央のビット（ｓ＝ｋ
−２（ｋ−ｈ）＝２ｈ−ｋ）とを含んでいる。この図に
おいて、ｋ−ｈ個のＭＳＢの値をｘ１とし、ｋ−ｈ個の
ＬＳＢの値をｘ２としている。ウィンドウｂ_ｉのｋ−ｈ
個のＬＳＢは乱数ｒ_ｉに従って生成される。全てのオー
バラップ・ウィンドウｂ_ｍ−１、ｂ_ｍ−２、．．．ｂ_０
の各々の中央位置のｓビット・ストリングの値が同じ値
Ｓに設定される。値Ｓは、各値ｄごとに乱数ｒ_ｄに従っ
て発生してもよく、または固定値、例えば０でもよい。
ウィンドウｂ_ｉは、図１４および１５に示された第１の
実施形態のウィンドウｂ_ｉの中央のｓビットを値Ｓとし
たものに相当する。

【０１４８】ｖ＝ａ^ｄ（ｍｏｄ ｎ）は、オーバラップ
・ウィンドウｂ_ｉのｋ−ｈ個のＭＳＢおよびｋ−ｈ個の
ＬＳＢを有するインデックスｉｎｄ_ｉを用いたテーブル
ｗのルックアップによるｗ［ｉｎｄ_ｉ］の乗算と、累乗
とによって求められる。Ｖ＝ｄＡは、そのようなインデ
ックスｉｎｄ_ｉを用いたテーブルｗのルックアップによ
るＷ［ｉｎｄ_ｉ］の加算およびＷ［−ｉｎｄ_ｉ］の減算
と、乗算とによって求められる。

【０１４９】図３８は、本発明による、オーバラップ・
ウィンドウｂ_ｉの中央位置に同じ値Ｓを用いる手法を用
いた指数剰余演算の概略的なフロー図を示している。図
３８のフロー図は、図１０のフロー図の変形である。こ
の手法は、図１０のＲＳＡ暗号処理と図１２の楕円曲線
暗号処理の双方に適用できる。

【０１５０】次に、図３５および３６をも参照して、図
３８のフロー図を説明する。ステップ１５０１におい
て、入力部７２は値ａ、ｄおよびｎを入力して、ｄを生
成部７６に供給し、ａおよびｎまたはＡを生成部８０に
供給する。ステップ１５０２において、生成部７６は、
乱数発生器７４からの乱数ｒ_ｉに従って、値ｄからウィ
ンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０の代わりにイン
デックスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ_０
を導出してメモリ７８に格納する。インデックスｉｎｄ
_ｉは、ウィンドウｂ_ｉの中央のｓビットを取り除いたシ
ーケンスで、０≦ｉｎｄ_ｉ＜２
^{ｘ１＜＜（ｋ−ｈ）＋ｘ２}（０≦ｘ１＜２^ｋ−ｈ，０≦
ｘ２＜２^{ｋ −ｈ}）の範囲の値である。ここで、ｘ１はウ
ィンドウｂ_ｉのｋ−ｈ個のＭＳＢを表し、ｘ２はウィン
ドウｂ_ｉのｋ−ｈ個のＬＳＢを表す。インデックスｉｎ
ｄ_ｉは、ウィンドウｂ_ｉを圧縮したものと見ることもで
きる。ステップ１５０４において、テーブル生成部８０
は、２（ｋ−ｈ）個の値ｗ［０］，．．．ｗ［２^{２×
（ｋ−ｈ）−１}］を含むテーブルｗ（ｗ［ｘ１＜＜（ｋ
−ｈ）＋ｘ２］＝ａ^{（ｘ
１＜＜ｈ）＋（Ｓ＜＜（ｋ−ｈ））＋ｘ２}（ｍｏｄ
ｎ））を生成してメモリ８２に格納する。ステップ１５
０２とステップ１５０４は順序が逆であってもよい。

【０１５１】ウィンドウ法演算のためのステップ１５０
６〜１５１６において、演算部８４は、ｉ＝ｍ−１，ｍ
−２，．．．０について順次、ｉｎｄ_ｉに従って、メモ
リ８２のテーブルｗのルックアップによるｗ［ｉｎ
ｄ_ｉ］の乗算と累乗とを、ｖに対して実行する。ステッ
プ１５０６において、演算部８４はｖ＝１およびｉ＝ｍ
をセットする。ステップ１５０８において、演算部８４
はｉ＝ｉ−１をセットする。ステップ１５１０におい
て、演算部８４は、後で詳しく説明するようにインデッ
クスｉｎｄ＝（ｂ_{ｉ，（ｋ−１）}，
ｂ_{ｉ，（ｋ−２）}，．．．ｂ_ｉ，ｈ）｜｜（ｂ
_{ｉ，（ｋ−ｈ−１）}，ｂ_{ｉ，（ｋ−ｈ−２）}，．．．ｂ
_ｉ，０）を用いてテーブルｗをルックアップして、ｖに
ｗ［ｉｎｄ_ｉ］を乗算する。ここで、ａ｜｜ｂは、複数
ビット値ａをＭＳＢとし複数ビット値ｂをＬＳＢとする
シーケンス値を生成する結合演算であり、αビット・ス
トリングａ＝（ａ_α−１，ａ_α−２，．．．ａ_０）およ
びβビット・ストリングｂ＝（ｂ_β−１，
ｂ_β−２，．．．ｂ _０）に対して、α＋βビット・スト
リングａ｜｜ｂ＝ａ_α−１，ａ_α−２，．．．ａ_０，ｂ
_β−１，ｂ_β−２，．．．ｂ_０）となる。ステップ１５
１２において、演算部８４はｉの値と値０とを比較して
ｉ＝０かどうかを判定する。ｉ＝０でないと判定された
場合には、ステップ１５１４において、演算部８４は、
（ｋ−ｈ）回の２乗によってｖの２^{（ｋ−ｈ）}乗を生成
する。ステップ１５１２においてｉ＝０であると判断さ
れた場合には、ステップ１５１６において演算部８４
は、一連のオーバラップ・ウィンドウの演算結果が従来
のウィンドウ法の演算結果と整合するようにするための
補正演算または補償演算を行う。ステップ１５１８にお
いて、出力部８６はｖ＝ａ^ｄ（ｍｏｄ ｎ）を出力す
る。ステップ１５０２、１５０４およびステップ１５０
６〜１５１４は同時に（並行して）または反復的に実行
されてもよい。

【０１５２】このように、ｓビットの同じ値Ｓの使用に
より、インデックスｉｎｄの必要な長さは、ｋビットの
ウィンドウに対して、ｋ−ｈ個のＭＳＢとｋ−ｈ個のＬ
ＳＢに対する２×（ｋ−ｈ）ビットとなり、テーブル・
サイズは２^{２×（ｋ−ｈ）}個のｗの値となる。この手法
において、最初のウィンドウ以外のウィンドウｂ_ｉの値
は、ビットの長さｓ（数）に応じて１つ乃至数個前まで
の複数のウィンドウに依存する。図１０の指数剰余演算
ではウィンドウｂ_ｉの値は１つ前のウィンドウにおける
乱数値にのみ依存するので、この手法の方が中間データ
の量が増え、安全性が高くなる。なお、Ｓ以外の部分に
ついて、簡単化のために、ｋ−ｈ個のＭＳＢおよびｋ−
ｈ個のＬＳＢについて説明するが、これらのＭＳＢの長
さとＬＳＢの長さとは等しくなくてもよい。

【０１５３】図３９は、改良手法１による最初の３つの
ウィンドウの生成の例を示している。最初のウィンドウ
ｂ_ｍ−１において、ｋ−ｈ個のＭＳＢは値ｄの中のｋ−
ｈ個のＭＳＢに一意的に決定され、次の中央の２ｈ−ｋ
個のＭＳＢは値Ｓに一意的に決定され、ｋ−ｈ個のＬＳ
Ｂの値は乱数ｒ_ｍ−１に従って決定される。中間データ
の取り得るパターンの数は２^{（ｋ−ｈ）}である。次のウ
ィンドウｂ_ｍ−２において、ｋ−ｈ個のＭＳＢは値ｄの
中の後続のｋ−ｈ個のＭＳＢと、ウィンドウｂ _ｍ−１に
おける値Ｓとから一意的に決定され、次の２ｈ−ｋ個の
ＭＳＢは値Ｓに決定され、ｋ−ｈ個のＬＳＢのストリン
グの値は乱数ｒ_ｍ−２に従って決定される。中間データ
の取り得るパターンの数は２^{２（ｋ−ｈ）}である。次の
ウィンドウｂ_ｍ−３において、ｋ−ｈ個のＭＳＢは、値
ｄの中の後続のｋ−ｈ個のＭＳＢと、ウィンドウｂ
_ｍ−１におけるｋ−ｈ個のＬＳＢと、ウィンドウｂ
_ｍ−２における値Ｓとから一意的に決定され、次の２ｈ
−ｋ個のＭＳＢは値Ｓに決定され、ｋ−ｈ個のＬＳＢは
乱数ｒ_ｍ−３に従って決定される。ウィンドウｂ_ｉにお
けるｋ−ｈ個のＬＳＢと、次のウィンドウｂ_ｉ−１にお
ける値Ｓと、次のウィンドウｂ_ｉ−２におけるｋ−ｈ個
のＭＳＢとの総和が値ｄにおけるｍ−（ｉ−２）番目の
ｋ−ｈ個のＭＳＢの値になるように、ウィンドウｂ
_ｉ−２におけるｋ−ｈ個のＭＳＢが設定される。Ｓ＝
０、ｋ＝６、ｈ＝４の場合、中間データの可能なパター
ンの数は２^{２（ｋ−ｈ）}＝２^４である。３番目以降のウ
ィンドウも同様に生成される。

【０１５４】図４０は、改良手法１による本発明の第１
１の実施形態による、ウィンドウ生成部７６において、
重なりビット長ｈを有するオーバラップ・ウィンドウｂ
_０，ｂ_１，．．．ｂ_ｍ−１をこの順序で生成するための
フローチャートの一部を示している。図４１は、図４０
に従ったオーバラップ・ウィンドウの生成のための演算
を例示している。この実施形態は、図１８および１９に
関連して説明した第３の実施形態の変形と見ることがで
きる。この実施形態は、第３の実施形態において乱数ｗ
ｌ_ｉを、乱数に従って生成されたｋ−ｈ個のＭＳＢと同
じ値Ｓを有するｓ個のＬＳＢとで構成したものに相当す
る。

【０１５５】ｕビットの秘密鍵ｄ＝（ｄ_ｕ−１，ｄ
_ｕ−２，．．．ｄ_０）_２から重なりビット長ｈを有する
オーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１
を生成するための手順を、図４０および４１を参照して
説明する。ｓビットの同じ値を固定値Ｓ＝０とし、ウィ
ンドウの重なり幅をhビットとし、ｓ＝ｋ−２（ｋ−
ｈ）＝２ｋ−ｈとする。但し、Ｓは０以外の値であって
もよい。この場合、簡単化のためにｍ＝（ｕ−ｈ）／
（ｋ−ｈ）は正の整数とする。

【０１５６】図３８におけるステップ１５０１の後の図
４０のステップ１６０２において、生成部７６は中間ウ
ィンドウｄ’＝ｄ（初期値）、ｉ＝０、ｕ＝ｄ’のビッ
ト数とセットする。ステップ１６０４において、生成部
７６は値ｕが基準値ｋより小さいかどうかを判定する。
それが基準値より小さいと判定された場合は、生成部７
６はステップ１６１８においてｍ＝ｉとセットして、手
順は図３８のステップ１５０４に進む。それが基準値よ
り小さくはないと判定された場合は、手順はステップ１
６０６に進む。

【０１５７】ステップ１６０６において、生成部７６
は、値ｕが基準値ｋ＋ｈより大きいかどうかを判定す
る。それが基準値より大きいと判定された場合は、手順
はステップ１６０８に進む。それが基準値より大きくな
い判定された場合は、手順はステップ１６１２に進む。

【０１５８】生成部７６は、ステップ１６０８におい
て、ｋ−ｈビットの乱数ｒ_ｉ＝（ｒ_{ｋ −ｈ−１}，ｒ
_{ｋ−ｈ−２}，．．．ｒ_０）を生成し、ステップ１６１０
において、インデックスｉｎｄ_ｉ＝ｒ_ｉ｜｜（ｄ’のｋ
−ｈ個のＬＳＢ）＝（ｒ_{ｋ−ｈ−１}，
ｒ_{ｋ−ｈ−２}，．．．ｒ_０，ｄ’_{ｋ−ｈ−１}，ｄ’
_{ｋ−ｈ−２}，．．．ｄ’_０）を生成する。

【０１５９】ステップ１６１４において、生成部７６
は、中間ウィンドウｄ’から中央にＳ値の２ｈ−ｋ個の
ビットを含むウィンドウｂ_ｉ＝（ｂ_{ｉ，ｋ−１}，．．．
ｂ_{ｉ， ０}）を減算し、即ちインデックスｉｎｄ（ｉ）の
ｋ−ｈ個のＭＳＢとｋ−ｈ個のＬＳＢの間にＳ値のｓ個
のビット・ストリングを挿入したウィンドウｂ_ｉの値を
減算して、その減算値のｋ−ｈ個のＬＳＢを切り捨てた
ものを新しい中間ウィンドウｄ’とする。ステップ１６
１６において、生成部７６は、ｕをその中間ウィンドウ
ｄ’のビット数にセットし、ｉ＝ｉ＋１とセットする。
次いで、手順はステップ１６０４に戻る。

【０１６０】生成部７６は、ステップ１６１２におい
て、インデックスｉｎｄ_ｉ＝（ｄ’のｈビット上位のｋ
−ｈ個のＬＳＢ）｜｜（ｄ’のｋ−ｈ個のＬＳＢ）＝
（ｄ’_{ｋ −１}，ｄ’_ｋ−２，．．．ｄ’_ｈ，ｄ’
_{ｋ−ｈ−１}，ｄ’_{ｋ−ｈ−２}，．．．ｄ’_０）を生成す
る。これによって、ウィンドウｂ_０，ｂ_１，．．．ｂ
_ｍ−１の累積和（ｂ_ｍ−１＜＜（ｕ−ｋ））＋（ｂ
_ｍ−２＜＜（ｕ−２ｋ＋ｈ））＋．．．＋ｂ_０＝ｄとな
る。

【０１６１】図４２は、改良手法１による本発明の第１
２の実施形態による、生成部７６において、重なりビッ
ト長ｈを有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ
_{ｍ− ２}，．．．ｂ_０を生成するためのフローチャートの
一部を示している。図４３は、図４２に従ったオーバラ
ップ・ウィンドウの生成のための演算を例示している。
この実施形態では、各ウィンドウの異なる複数の乱数を
まとめて生成し、補正用の差を予め求めるものである。

【０１６２】図３８におけるステップ１５０１の後の図
４２におけるステップ１７０２において、生成部７６は
ｓビットの同じ値Ｓを決定する。ここでは同じ値を固定
値Ｓ＝０とする。ステップ１７０４において、生成部７
６は、値ｄのビット数に従って、全てのウィンドウｂ
_ｍ−１，ｂ_ｍ−２，．．．ｂ_０におけるＳをＭＳＢ位置
からｋ−ｈビットごとに配置して加算した乱数シーケン
スＲ＝（Ｓ＜＜（ｕ−ｈ））＋ （Ｓ＜＜（ｕ−（ｈ＋
ｋ−ｈ）））＋（Ｓ＜＜（ｕ−（ｈ＋２（ｋ−
ｈ））））．．．＋（Ｓ＜＜（ｋ−ｈ））を生成する。
ここで、ｍ＝（ｕ−ｈ）／（ｋ−ｈ）は正の整数とす
る。ステップ１７０６において、生成部７６はｄ’＝ｄ
−Ｒを求める。

【０１６３】ステップ１７０８において、生成部７６
は、ｄ’からｈ個のＭＳＢおよびｈ個のＬＳＢを取り除
いてｕ−２ｈビット値ｄｍ＝（ｄ’_{ｕ−ｈ−１}，ｄ’
_{ｕ−ｈ− ２}，．．．ｄ’_ｈ）とする。ステップ１７０８
において、生成部７６は、ｄｍ＝ｄｍ１＋ｄｍ２である
ような２つのシーケンスｄｍ１およびｄｍ２を乱数に従
って生成する。ステップ１７１２において、生成部７６
は、次のような２つのシーケンスｄｈおよびｄｌを生成
する。

【数９】

【０１６４】ステップ１７１４において、生成部７６
は、２つのシーケンスｄ_ｈおよびｄ_ｌから次のようなイ
ンデックスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ
_０を生成する。その後、手順は図３８のステップ１５０
４へ進む。

【数１０】

【０１６５】また、他の実施形態として、値ｄのＭＳＢ
の位置からインデックスを順次生成してもよく、各ウィ
ンドウのビットに負の値を用いてもよく、上述のｄｈお
よびｄｌを用いずに例えばウィンドウ法およびバイナリ
・メソッドのような様々な方法で補正演算を行うことが
できる。

【０１６６】改良手法２ オーバラップ・ウィンドウの
ＬＳＢｓまたはＭＳＢｓに同じ値Ｓを用いる手法図４４
は、本発明による、オーバラップ・ウィンドウｂ_ｉのＬ
ＳＢまたはＭＳＢとしてｓビットの同じ値Ｓを用いる手
法を説明するのに役立つ。図４４を参照すると、この手
法では、上述の図１０のオーバラップ・ウィンドウ法と
同様に、隣接するウィンドウｂ_ｉ＋１とｂ_ｉが重なりビ
ット長ｓを有する。ウィンドウｂ _ｉは、ｋ＋ｓビットの
シーケンスであり、ｋ個のＭＳＢと、値Ｓのｓ個のＬＳ
Ｂとを含んでいる。ここで、この手法におけるウィンド
ウｂ_ｉの長さはｓビットを除外したビット数ｋで定義さ
れるものとする。全てのオーバラップ・ウィンドウｂ
_ｍ−１，ｂ_ｍ−２，．．．ｂ_０の各々のｓ個のＬＳＢの
ストリングの値は、値ｄに対して乱数ｒ_ｄに従って発生
された同じ値Ｓである。この図ではＳ＝（００１１）_２
である。ウィンドウｂ_ｉは、図１４および１５に示され
た第１の実施形態のウィンドウｂ_ｉのｈ個のＬＳＢを
（ｈ＝ｓ）値Ｓとしたものである。

【０１６７】ｖ＝ａ^ｄ（ｍｏｄ ｎ）は、オーバラップ
・ウィンドウｂ_ｉのｋ個のＭＳＢを有するインデックス
ｉｎｄ_ｉを用いたテーブルｗのルックアップによるｗ
［ｉｎｄ_ｉ］の乗算と、累乗とによって求められる。Ｖ
＝ｄＡは、そのようなインデックスｉｎｄ_ｉを用いたテ
ーブルｗのルックアップによるＷ［ｉｎｄ_ｉ］の加算お
よびＷ［−ｉｎｄ_ｉ］の減算と、乗算とによって求めら
れる。

【０１６８】図４５は、本発明による、オーバラップ・
ウィンドウｂ_ｉのＬＳＢまたはＭＳＢのストリングに同
じ値Ｓを用いる手法を用いた指数剰余演算の概略的なフ
ロー図を示している。図４５の処理フローは、図１０の
処理フローの変形である。この手法は、図１０のＲＳＡ
暗号処理と図１２の楕円曲線暗号処理の双方に適用でき
る。

【０１６９】次に、図３５および３６をも参照して、図
４５のフロー図を説明する。ステップ１６０１におい
て、入力部７２は値ａ、ｄおよびｎを入力して、ｄを生
成部７６に供給し、ａおよびｎまたはＡを生成部８０に
供給する。次いで、生成部７６は乱数ｒ_ｄに従って同じ
値Ｓを生成する。ステップ１８０２において、テーブル
生成部８０は、ＬＳＢに同じ値Ｓが用いられるときはテ
ーブルｗ（ｗ［ｘ］＝ａ ^{ｘ＜＜ｓ＋Ｓ}（ｍｏｄ ｎ））
（０≦ｘ＜２^ｋ，０≦Ｓ＜２^ｓ）を生成し、ＭＳＢに同
じ値Ｓが用いられるときはテーブルｗ（ｗ［ｘ］＝ａ
^{Ｓ＜＜ｋ＋ｘ}（ｍｏｄ ｎ））（０≦ｘ＜２^ｋ，０≦Ｓ
＜２^ｓ）を生成してメモリ８２に格納する。ステップ１
８０４において、生成部７６は、乱数発生器７４からの
乱数ｒ_ｉに従って、値ｄからインデックスｉｎ
ｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ_０を導出してメ
モリ７８に格納する。ここで、ｍ＝ｆｌｏｏｒ（（ｕ−
ｓ）／ｋ）である。ステップ１８０２とステップ１８０
４は順序が逆であってもよい。

【０１７０】ステップ１８０６〜１８１４において、演
算部８４は、ｉ＝ｍ−１，ｍ−２，．．．０について順
次、ｂ_ｉに従って、メモリ８２のテーブルｗのルックア
ップによるｗ［ｂ_ｉ］の乗算と累乗とを、ｖに対して実
行する。ステップ１８０６において、演算部８４はｖ＝
１およびｉ＝ｍをセットする。ステップ１８０８におい
て、演算部８４はｉ＝ｉ−１をセットする。ステップ１
８１０において、演算部８４は、後で詳しく説明するよ
うにウィンドウｂ_ｉのｋ個のＭＳＢをインデックスｉｎ
ｄとしてテーブルｗをルックアップして、ｖにｗ［ｉｎ
ｄ_ｉ］を乗算する。ステップ１８１２において、演算部
８４はｉの値と値０とを比較してｉ＝０かどうかを判定
する。ｉ＝０でないと判断された場合には、ステップ１
８１４において、演算部８４は、ｋ回の２乗（または後
で説明するｋ−ｈ’回の２乗）によってｖの２^ｋ乗（ま
たは２^ｋ−ｈ’）を生成する。ステップ１８１２におい
てｉ＝０であると判断された場合には、ステップ１８１
６において、出力部８６はｖ＝ａ^ｄ（ｍｏｄ ｎ）を供
給する。ステップ１８０２、１８０４およびステップ１
８０６〜１５１４は同時に（並行して）または反復的に
実行されてもよい。

【０１７１】図４６は、改良手法２による、ＬＳＢにＳ
を用いた場合の最初の３つのウィンドウの生成を示して
いる。最初のウィンドウｂ_ｍ−１において、ｋ個のＭＳ
Ｂは値ｄ中のｋ個のＭＳＢに一意的に決定され、ｓ個の
ＬＳＢは値Ｓに決定される。中間データの取り得るパタ
ーンの数は２^ｓである。次のウィンドウｂ_ｍ−２におい
て、ｋ個のＭＳＢは値ｄの中の後続のｋ個のＭＳＢとウ
ィンドウｂ_ｍ−１における値Ｓとから一意的に決定さ
れ、ｓ個のＬＳＢは値Ｓに決定される。中間データの取
り得るパターンの数は２^ｓである。次のウィンドウｂ
_ｍ−３において、ｋ個のＭＳＢは値ｄの中の後続のｋ個
のＭＳＢとウィンドウｂ_ｍ−２における値Ｓとから一意
的に決定され、ｓ個のＬＳＢは値Ｓに決定される。中間
データの取り得るパターンの数は２^ｓである。３番目以
降のウィンドウも同様に生成される。ｄにおける最後に
残ったＬＳＢのシーケンスは補正演算で用いられる。

【０１７２】ｓビットの同じ値Ｓの使用により、インデ
ックスｉｎｄの必要な長さは、ｋ＋ｓビットのウィンド
ウに対してｋビットとなり、テーブル・サイズは２^ｋ個
のｗの値となる。その処理速度は、ｋビットの通常の非
オーバラップ・ウィンドウ法の従来のウィンドウ法とほ
ぼ同程度であり、非常に高速である。この手法では、同
じ値Ｓは乱数等によって生成される。この手法における
中間データの取り得るパターンの数はｓビット値Ｓの可
能なパターンの数に依存する。従って、ｓの長さを充分
大きくすれば安全性がより高くなる。Ｓを長くしてもテ
ーブル・サイズは増加せず、処理速度も低下しない。テ
ーブルの作成は適当な方法で行えばよく、補正演算はウ
ィンドウ法やバイナリ・メソッド等の適当な方法で行え
ばよい。

【０１７３】図４７は、改良手法２による本発明の第１
３の実施形態による、ウィンドウ生成部７６において、
重なりビット長ｓを有するオーバラップ・ウィンドウｂ
_{ｍ− １}，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成するた
めのフローチャートの一部を示している。図４８は、図
４７に従ったオーバラップ・ウィンドウの生成のための
演算を例示している。

【０１７４】図４５におけるステップ１８０２の後の図
４７のステップ１９０４において、生成部７６は、初期
値としてのｓ個の０ビットをＭＳＢとして含み値ｄ中の
ｋ個のＭＳＢをＬＳＢとして含む中間ウィンドウｄ’を
生成する。ステップ１９０６において、生成部７６は、
初期値としてｖ＝１、ｊ＝ｕ−ｓとセットする。

【０１７５】ステップ１９０８において、生成部７６
は、前の中間ウィンドウｄ’のｓ個のＬＳＢをＭＳＢと
して含み、値ｄ中の後続のｋ個のＭＳＢをＬＳＢとして
含む新しい中間ウィンドウｄ’＝（ｄ’_ｓ−１，．．．
ｄ’_０，ｄ_ｊ−１，．．．ｄ_{ｊ −ｋ}）を生成する。

【０１７６】ステップ１９１０において、演算部８４
は、ｋ回の２乗によってｖの２^ｋ乗を生成する。ステッ
プ１９１２において、演算部８４は、中間ウィンドウ
ｄ’のｋ個のＭＳＢの値が０に等しいかどうかを判定す
る。それが０に等しいと判定された場合は、手順はステ
ップ１９２０に進む。それが０に等しくないと判定され
た場合は、手順はステップ１９１４に進む。

【０１７７】ステップ１９１４において、生成部７６
は、中間ウィンドウｄ’から同じ値Ｓを減算して新しい
中間ウィンドウｄ’とする。減算前のｄ’のｋ個のＭＳ
Ｂは１以上の値なので、減算において繰り下がりが生じ
ても、中間ウィンドウｄ’の値は正の値となる。ステッ
プ１９１６において、生成部７６は、中間ウィンドウ
ｄ’のｋ個のＭＳＢをインデックスｉｎｄとしてセット
する_。ステップ１９１８において、演算部８４は、ｖに
ｗ［ｉｎｄ］を乗算する。

【０１７８】ステップ１９１２は、k個のＭＳＢが1以上
になるまで、手順がステップ１９１４〜１９１８をスキ
ップするようにする。換言すれば、ｋ個のＭＳＢが０よ
り大きくない場合は、ｄ’中のｋ個のＭＳＢが０より大
きくなるまで順次ｄ中の後続のｋ個のＭＳＢをサーチす
る。

【０１７９】ステップ１９２０において、生成部７６は
ｊをｊ−ｋとセットする。ステップ１９２２において、
生成部７６は、ｊがｋ＋ｓ以上かどうかを判定する。ｊ
がｋ＋ｓ以上であると判定された場合は、手順はステッ
プ１９０８に戻る。ｊがｋ＋ｓ以上でないと判定された
場合は、手順は図４５のステップ１８１６に進む。ステ
ップ１８１６において、演算部８４は補正演算を行う。
即ち、ウィンドウがもはや生成できなくなったときに
は、ｄの残りのビットに対して補正演算を行う。

【０１８０】図４９は、改良手法２による本発明の第１
４の実施形態による、ウィンドウ生成部７６において、
重なりビット長ｓを有するオーバラップ・ウィンドウｂ
_０，ｂ_１，．．．ｂ_ｍ−１をこの順序で生成するための
フローチャートの一部を示している。図５０は、図４９
に従ったオーバラップ・ウィンドウの生成のための演算
を例示している。

【０１８１】図４５におけるステップ１８０２の後の図
４９のステップ２００４において、生成部７６は、最初
に中間ウィンドウｄ’＝ｄ、中間インデックス・シーケ
ンスｄ’’＝０、ｊ＝０、ｉ＝ｕとセットする。

【０１８２】ステップ２００６において、生成部７６
は、中間ウィンドウｄ’＝ｄ’−Ｓを計算し、この中間
ウィンドウｄ’のｋ個のＬＳＢを追加的なＭＳＢとして
有するシーケンスｄ’’＝（ｄ’_ｋ−１，
ｄ’_ｋ−２，．．．ｄ’_０，ｄ’’_ｊ−１，ｄ’’
_ｊ−２，．．．ｄ’’_０）を生成する。その追加的なｋ
ビット・ストリング（ｄ’_ｋ−１，ｄ’_ｋ−２，．．．
ｄ’_０）はインデックスｉｎｄ_ｉである。最初のｓ個の
ＬＳＢのシーケンスｓｅｑ_ｃは補正用のシーケンスであ
る。ステップ２００８において、生成部７６は、中間ウ
ィンドウｄ’を２^ｋで除算し、即ちｋ個のＬＳＢを切り
捨て、ｊ＝ｊ＋ｋおよびｉ＝ｉ−ｋとセットする。

【０１８３】ステップ２０１０において、生成部７６
は、ｉがｋ＋ｓより大きいかどうかを判定する。ｉがｋ
＋ｓより大きいと判定された場合は、手順はステップ２
００６に戻る。ｉがｋ＋ｓより大きくないと判定された
場合は、手順はステップ２０１２に進む。ステップ２０
１２において、生成部７６は、中間ウィンドウｄ’のｓ
個のＬＳＢを切り捨てた値が０に等しいかどうかを判定
する。その値が０に等しいと判定された場合は、生成部
７６は、ステップ２０１６においてｊ＝ｊ＋ｓとセット
してステップ２０２２に進む。その値が０に等しくない
と判定された場合は、生成部７６は、ステップ２０１８
においてｊ＝ｊ＋ｓ＋ｋとセットしてステップ２０２０
に進み、そこでステップ２００６における場合のように
ｄ’＝ｄ’−Ｓを計算し、シーケンスｄ’’＝（ｄ’
_ｋ−１，ｄ’_ｋ−２，．．．ｄ’_０，ｄ’’_ｊ−１，
ｄ’’_ｊ−２，．．．ｄ’’_０）を生成する。その後、
手順はステップ２０２２に進む。

【０１８４】ステップ２０２２において、ｄ’の残りの
ビットをＭＳＢとして含むシーケンスｄ’’＝ｄ’｜｜
（ｄ’’_ｊ−１，ｄ’’_ｊ−２，．．．ｄ’’_０）を生
成する。ステップ２０２４において、生成部７６は、シ
ーケンスｄ’’から、最初のｓ個のＬＳＢを除外して、
ｋ個のＬＳＢをインデックスｉｎｄ_ｉとして順次取り出
して、ｍ個のインデックスｉｎｄ_０，ｉｎｄ_１，．．．
ｉｎｄ_ｍ−１を生成する。最初のｓ個のＬＳＢのシーケ
ンスｓｅｑ_ｃは補正演算において用いられる。次いで、
手順は図４５のステップ１８０６へ進む。

【０１８５】図５１は、改良手法２による本発明の第１
５の実施形態による、ウィンドウ生成部７６において、
重なりビット長ｓを有するオーバラップ・ウィンドウｂ
_{ｍ− １}，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成するた
めのフローチャートの一部を示している。図５２は、図
５１に従ったオーバラップ・ウィンドウの生成のための
演算を例示している。

【０１８６】ステップ２１０６において、生成部７６
は、ｍ個のＳ値のｓビット・ストリングをＭＳＢ位置か
らｋビットごとに配置して加算した乱数シーケンスＲ＝
（Ｓ＜＜（ｕ−（ｋ＋ｓ）））＋（Ｓ＜＜（ｕ−（２ｋ
＋ｓ）））＋．．．（Ｓ＜＜ｋ）＋Ｓを生成する。ここ
で、ｍ＝ｆｌｏｏｒ（（ｕ−ｓ）／ｋ）とする。

【０１８７】ステップ２１０８において、生成部７６
は、中間ウィンドウｄ’＝ｄ−Ｒを計算する。ステップ
２１１０において、生成部７６は、インデックスｉｎｄ
_ｊ＝（ｄ’_{ｕ−ｉ×ｋ−１}，
ｄ’_{ｕ−ｉ×ｋ−２}，．．．ｄ’_{ｕ−ｉ×ｋ−ｋ}）をｉ
＝０，１，．．．ｍ−１（ｊ＝ｍ−１−ｉ）の順序で生
成する。中間ウィンドウｄ’の長さがｕビット未満のと
きはＭＳＢ位置に０ビットを埋めてｕビットにする。次
いで、手順は図４５のステップ１８０６に進む。

【０１８８】図５３は、改良手法２による本発明の第１
６の実施形態による、ウィンドウ生成部７６において、
重なりビット長ｈ’＋ｓを有するオーバラップ・ウィン
ドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成
するためのフローチャートの一部を示している。この実
施形態は、第１の実施形態と第１５の実施形態とを組み
合わせたものである。図５４は、図５３に従ったオーバ
ラップ・ウィンドウの生成のための演算を例示してい
る。

【０１８９】図４５におけるステップ１８０２の後の図
５３のステップ２２０６において、生成部７６は、ｍ個
のＳ値のｓビット・ストリングをＭＳＢ位置からｋ−
ｈ’ビットごとに配置して加算した乱数シーケンスＲ＝
（Ｓ＜＜（ｕ−（ｋ＋ｓ）））＋（Ｓ＜＜（ｕ−（ｋ＋
ｓ）−（ｋ−ｈ’）））＋（Ｓ＜＜（ｕ−（ｋ＋ｓ）−
２（ｋ−ｈ’）））＋．．．（Ｓ＜＜（ｋ−ｈ’））＋
Ｓを生成する。ここで、ｍ＝ｆｌｏｏｒ（（ｕ−ｓ−
ｈ’）／（ｋ−ｈ’））とする。図５４において、ｈ’
＝１である。

【０１９０】ステップ２２０８において、生成部７６
は、中間ウィンドウｄ’＝ｄ−Ｒを計算する。最初の乱
数値ｒ_ｍ−１＝ｒ
_{ｆｌｏｏｒ（（ｕ−ｓ−ｈ’）／（ｋ−ｈ’ ））−１}を
初期値０にセットする。ステップ２２１０において、生
成部７６は、ｉ＝ｆｌｏｏｒ（（ｕ−ｓ−ｈ’）／（ｋ
−ｈ’））とセットする。ステップ２２１２において、
生成部７６はｉ＝ｉ−１とセットする。

【０１９１】ステップ２２１４において、生成部７６
は、乱数に従ってｋビットのインデックスｉｎｄ_ｉ＝
（ｉｎｄ_{ｉ，ｋ−１}，ｉｎｄ_{ｉ，ｋ−２}，．．．ｉｎｄ
_ｉ，０）を生成する。インデックスｉｎｄ_ｉ中のｈ’個
のＬＳＢを乱数ｒ_ｉに従って生成し、そのｈ’個のＭＳ
Ｂとインデックスｉｎｄ_ｉ＋１のｈ’個のＬＳＢの和が
ｄ’中の対応するｈ’個のビット・ストリングの値にな
るように、そのｈ’個のＭＳＢを決定し、中央のｋ−２
ｈ’ビットはｄ’中の対応するビットを取り出してコピ
ーする。

【０１９２】ステップ２２１６において、生成部７６
は、ｉ＝０かどうかを判定する。ｉ＝０と判定された場
合には手順はステップ２２１８に進む。ｉ＝０と判定さ
れなかった場合には手順はステップ２２１２に戻る。

【０１９３】ステップ２２１８において、演算部８４
は、ｖ＝１、ｉ＝ｆｌｏｏｒ（（ｕ−ｓ）／（ｋ−
ｈ’））とセットする。ステップ２２２０〜２２２６は
図４５のステップ１８０６〜１８１４と同様である。ス
テップ２２２６において、演算部８４は、ｋ−ｈ’回の
２乗によってｖのまたは２^ｋ−ｈ’を生成する。その
後、手順は図４５のステップ１５１６へ進む。

【０１９４】図５５は、次に説明する改良手法３におい
て用いられる、複数のウィンドウのそれぞれの複数の部
分に同じ値Ｓを用いるオーバラップ・ウィンドウ法によ
る暗号処理装置１６４の概略的構成を示している。暗号
処理装置１６４は、図７の暗号処理装置６０と同様に、
値ａ、ｄおよびｎまたは値Ａおよびｄを入力して供給す
る入力部７２と、乱数発生器７４と、乱数発生器７４か
らの乱数に従って値ｄからオーバラップ・ウィンドウｂ
_ｍ−１，ｂ_ｍ−２，．．．ｂ_０および重なり長ｈ
_{ｍ−１ （ｍｏｄ ｓ＋１）}，ｈ
_{ｍ−２ （ｍｏｄ ｓ＋１）}，．．．ｈ_{ｍ−
（ｓ＋１） （ｍｏｄ ｓ＋１）}を生成するウィンドウ
および重なり長生成部７７と、生成部７７からのウィン
ドウおよび重なり長を格納するメモリ７８と、入力部７
２からの値ａおよびｎまたは値Ａからｋビットのウィン
ドウｂ_ｉに対するテーブルｗまたはＷを生成するテーブ
ル生成部８０と、テーブル・メモリ８２と、メモリ７８
からのウィンドウおよび重なり長に従ってテーブル・メ
モリ８２中のテーブルｗまたはＷをルックアップして等
式ｖ＝ａ^ｄ（ｍｏｄ ｎ）またはＶ＝ｄＡを演算するウ
ィンドウ法演算部８４と、値ｖまたはＶを出力する出力
部８６とを含んでいる。

【０１９５】図５６は、後で説明する改良手法３におい
て用いられる、複数のウィンドウのそれぞれの複数の部
分に同じ値Ｓを用いるオーバラップ・ウィンドウ法によ
る逐次または反復処理型の暗号処理装置１６６の概略的
構成を示している。暗号処理装置１６６は、乱数発生器
７４からの乱数に従って値ｄからオーバラップ・ウィン
ドウｂ_ｉおよび重なり長ｈ_{ｉ （ｍｏｄ ｓ＋１）}を順
次生成するウィンドウおよび重なり長生成部７７と、生
成部７７からのウィンドウおよび重なり長に従ってテー
ブル・メモリ８２中のテーブルｗまたはＷをルックアッ
プして等式ｖ＝ａ^ｄ（ｍｏｄ ｎ）またはＶ＝ｄＡを演
算するウィンドウ法演算部８４と、を含んでいる。暗号
処理装置１６６は、さらに、図５４の暗号処理装置６０
と同様に、入力部７２と、乱数発生器７４と、テーブル
生成部８０と、テーブル・メモリ８２と、出力部８６と
を含んでいる。

【０１９６】図５５および５６の暗号化装置１６４およ
び１６６は、さらに、プロセッサ６２と、ＲＯＭのよう
なプログラム・メモリ６４とを含んでいる。プロセッサ
６２は、メモリ６４に格納されているプログラムに従っ
てこれらの要素７２〜８６を制御する。代替構成とし
て、プロセッサ６２は、要素７２〜８６に対応する機能
を実現するメモリ６４中のプログラムを実行することに
よって要素７２〜８６を実現してもよい。この場合、図
５５および５６はフロー図として見ることができる。

【０１９７】改良手法３ オーバラップ・ウィンドウに
おいて値ｄからの複数のｔビット値の間に同じｓ×ｔビ
ット値Ｓを配置する手法図５７、５８および５９は、本
発明による、オーバラップ・ウィンドウｂ_ｉにおいて値
ｄから取り出されたｃ個の位置のｔビット値の間にｓ×
ｔビットの長さの同じ値Ｓを配置する手法を説明するの
に役立つ。図５７、５８および５９を参照すると、この
手法では、オーバラップ・ウィンドウｂ_ｉの長さｋはｋ
＝ｃ×ｔ＋ｓ×（ｃ−１）×ｔ＝ｓ×ｃ×ｔ−ｓ×ｔ＋
ｃ×ｔビットである（ｃ、ｓおよびｔは正の整数）。図
５７においてｔ＝１およびｓ＝１であり、図５８におい
てｔ＝１およびｓ＝２であり、図５９においてｔ＝２お
よびｓ＝２である。

【０１９８】値ｄに対する、最初のｓ＋１個のウィンド
ウｂ_ｍ−１，．．．ｂ_{ｍ−（ｓ＋１ ）}のそれぞれの先頭
位置は、値ｄにおける対応する１番目．．．ｓ＋１番目
のＭＳＢを基準として、値ｄに対して、対応するｃ個の
乱数ｒ_０，．．．ｒ_ｓ（０≦ｒ_ｊ≦ｃ−１）に従って決
定された値Ｈ_ｊ＝（ｃ−ｒ_ｊ−１）×ｔビット分だけ上
位のビット位置に位置する。最初のウィンドウｂ_ｍ−１
は、そのウィンドウの先頭ビット位置が、ｄにおける基
準位置としてのＭＳＢ（＝ｄ_ｕ−１）より乱数ｒ_０（０
≦ｒ_０≦ｃ−１）に従うＨ_０＝（ｃ−ｒ_０−１）×ｔビ
ット分だけ上位のビット位置に配置される。次のウィン
ドウｂ_ｍ−２は、そのウィンドウの先頭ビット位置が、
ｄにおける基準位置としての次のＭＳＢ（＝ｄ_ｕ−２）
より乱数ｒ_１（０≦ｒ_１≦ｃ−１）に従うＨ_１＝（ｃ−
ｒ_１−１）×ｔビット分だけ上位のビット位置に配置さ
れる。ｓ＝２以上の場合、さらに次のウィンドウｂ
_ｍ−３は、そのウィンドウの先頭ビット位置が、ｄにお
ける基準位置としての次のＭＳＢ（＝ｄ_ｕ−３）より乱
数ｒ_２（０≦ｒ_２≦ｃ−１）に従うＨ_２＝（ｃ−ｒ_２−
１）×ｔビット分だけ上位のビット位置に配置される。

【０１９９】ウィンドウｂ_ｉは、ｓ×ｔビットおきのそ
のＭＳＢおよびＬＳＢを含むｃ個のｔビット位置に（陰
影が付けられたビット位置に）、値ｄ中のｋビット・シ
ーケンスにおける対応するビット位置におけるｔビット
値を含むようになっている。ウィンドウｂ_ｉは、ｃ個の
ｔビット値の間のそれぞれの連続するｔビット幅のｓ個
の位置に（陰影のないビット位置）、同じｔビット値Ｓ
を挿入される。この値Ｓは、好ましくは０であり、即ち
ｃ個のビットの間の全てのｔビット幅のｓ個の位置にビ
ット値０が挿入される。

【０２００】後続のウィンドウｂ_ｉ−１は、前のウィン
ドウｂ_ｉのｃ個のｔビット値で捕捉されなかったその間
にある連続するｓ×ｔビットの位置における他のｔビッ
ト値を捕捉するように決定される。さらに後続のウィン
ドウｂ_ｉ−２は、前のウィンドウｂ_ｉおよびｂ_ｉ−１の
それぞれのｃ個のｔビット値で捕捉されなかったその間
にある連続するｓ×ｔビットの位置における他のｔビッ
ト値を捕捉するように決定される。

【０２０１】このようにして、最初のウィンドウｂ
_ｍ−１とｓ＋１個毎（ｓ個おき）の後続のウィンドウｂ
_ｍ−１，ｂ_{ｍ−１−（ｓ＋１）}，ｂ
_{ｍ−１−２（ｓ＋１）}，．．．とは系列０のウィンドウ
のグループを形成する。最初のウィンドウｂ_ｍ−１とｓ
＋１個毎（ｓ個おき）の後続のウィンドウｂ_ｍ−１，ｂ
_{ｍ−１−（ｓ＋１）}，ｂ_{ｍ−１−２（ｓ＋１）}，．．．
とは系列０のウィンドウのグループを形成する。２番目
のウィンドウｂ_ｍ−２とｓ＋１個毎（ｓ個おき）の後続
のウィンドウｂ _ｍ−２，ｂ_{ｍ−２−（ｓ＋１）}，ｂ
_{ｍ−２−２（ｓ＋１）}，．．．とは系列１のウィンドウ
のグループを形成する。ｓ＝２以上の場合、３番目のウ
ィンドウｂ_{ｍ −３}とｓ＋１個毎（ｓ個おき）の後続のウ
ィンドウｂ_ｍ−３，ｂ_{ｍ−３−（ｓ＋ １）}，ｂ
_{ｍ−３−２（ｓ＋１）}，．．．とは系列２のウィンドウ
のグループを形成する。このようにして、互いにずれて
配置されるｓ＋１系列のウィンドウが形成される。いず
れのウィンドウにも捕捉されなかった残りのビットのシ
ーケンスｓｅｑ_ｃは、補正演算において用いられる。テ
ーブル・ルックアップの開始位置は、ｓ＋１個の系列ご
とに乱数ｒ_０，．．．ｒ_ｓによって決定する。

【０２０２】隣接するウィンドウｂ_ｉ＋１とｂ_ｉの重な
り長ｈ_ｉは、ｈ_ｉ＝ｋ−｜Ｈ_{（ｍ−
１）−ｉ （ｍｏｄ ｓ＋１）}−Ｈ
_{（ｍ−１）−（ｉ＋１） （ｍｏｄ ｓ＋１ ）}＋ｔ｜で
表される。ｃ個のｔビット値＝（ｘ１，ｘ２，．．．ｘ
ｃ）（ｘｉ＝ｔビット値（ｉ＝１，２，．．．ｃ）、０
≦ｘｉ＜２^ｔ）とすると、インデックスｉｎｄ＝（ｘ１
＜＜（ｃ−１）×ｔ）＋（ｘ２＜＜（ｃ−２）×ｔ）
＋．．．＋ｘｃであり、値ｗ［ｉｎｄ］＝ａ
^{ｘ１＜＜（（ｃ−１）×ｔ＋ｓ×ｔ×（ｃ−
１））＋ｘ２＜＜（（ｃ−２）×ｔ＋ｓ×ｔ＋ｓ×ｔ×
（ｃ−２）＋．．．＋ｘ ｃ}（ｍｏｄ ｎ）となる。ａ^ｄ
（ｍｏｄ ｎ）は、次のように表される。

【数１１】

【０２０３】図６０は、本発明による、オーバラップ・
ウィンドウｂ_ｉの値ｄからの複数のｔビット値の間に同
じｓ×ｔビット値Ｓを配置する手法を用いた指数剰余演
算の概略的なフロー図を示している。この手法は、ＲＳ
Ａ暗号処理と楕円曲線暗号処理の双方に適用できる。

【０２０４】次に、図６０のフロー図を説明する。ステ
ップ２３０１において、入力部７２は値ａ、ｄおよびｎ
を入力して、ｄをウィンドウ生成部７７に供給し、ａお
よびｎまたはＡをテーブル生成部８０に供給する。ステ
ップ２３０２において、生成部８０は、値ｗ［ｉｎｄ］
＝ｗ［ｘ１＜＜（ｃ−１）×ｔ＋ｘ２＜＜（ｃ−２）×
ｔ＋．．．＋ｘｃ］＝ａ
^{ｘ１＜＜（（ｃ−１）×ｔ＋ｓ×ｔ×（ｃ−１））＋
ｘ２＜＜（（ｃ−２）×ｔ＋ｓ×ｔ＋ｓ×ｔ×（ｃ−２
）＋．．．＋ｘｃ}（ｍｏｄ ｎ）を計算してテーブルを
生成する。ステップ２３０４において、生成部７７は、
インデックスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎ
ｄ_０を生成する。ステップ２３０６において、演算部８
４は、値ｄに対応するＭＳＢの位置から順次、一連のウ
ィンドウに対して、現在のウィンドウにおける隣接のウ
ィンドウの前までのビット数分だけテーブルをルックア
ップしてウィンドウ法演算ｖ＝ｖ×ｗ［ｉｎｄ_ｉ］（ｍ
ｏｄ ｎ）およびｖの２^ｔ乗を順次行う。ステップ２３
０８において、ｖ＝ａ^ｄ（ｍｏｄ ｎ）を出力する。

【０２０５】必要なインデックスｉｎｄ_ｉの長さは、ｋ
ビット・ウィンドウｂ_ｉに対してｃ×ｔ＝ｋ−（ｃ−
１）×ｓ×ｔビットである。テーブルｗにおける値ｗ
［ｉｎｄ _ｉ］の数は２^ｃ×ｔ＝２
^{ｋ−（ｃ−１）×ｓ×ｔ}個となる。値Ｓは、固定値、好
ましくは０であるが、各値ｄごとに乱数ｒ_ｄに従って発
生してもよい。値Ｓが乱数ｒ_ｄに従う値であるときは、
値ｄのビット・シーケンスから全てのウィンドウの対応
する位置に配置された値Ｓ（即ち乱数シーケンスＲ）を
減算した値ｄ’を値ｄの代わりに用いる。その処理速度
は、非オーバラップ・ウィンド法の従来のウィンドウ法
とほぼ同程度であり、非常に高速である。

【０２０６】図６１は、所与の値ｄに対する、各系列に
対する各ウィンドウの取り得るパターンの数を示してい
る。この手法において、乱数によってウィンドウの位置
がいったん決定すれば、各ウィンドウの値は一意的に決
定される。従って、所与の値ｄに対して、各ウィンドウ
の取り得るパターンの数は、乱数ｒ_ｊ（０≦ｒ_ｊ≦ｃ−
１）による取り得る位置のパターンの数ｃによって決定
される。各系列の全てのウィンドウに対する中間データ
の取り得るパターンの数はｃである。同じ系列の２巡目
以降のウィンドウの位置は、１巡目で決定されたウィン
ドウの位置で一意的に決定される。一般的には、中間デ
ータの取り得るパターンの数はｃ^ｓ＋１である。例え
ば、図６１に示された値ｄ（１１１１０．．．１
１）_２、ｔ＝１、ｓ＝１、ｃ＝３に対して、系列０のウ
ィンドウの取り得る位置の数はｃ＝３であり、系列０の
最初のウィンドウｂ_ｍ−１の取り得る値は（００００
１）、（００１０１）および（１０１００）であり、系
列１のウィンドウの取り得る位置の数はｃ＝３であり、
系列１の最初のウィンドウｂ_ｍ−２の取り得る値は（０
０００１）、（００１００）および（１０００１）であ
る。この場合、２つの系列のウィンドウに対する中間デ
ータの取り得るパターンの数はｃ^２＝３^２＝９である。
３つの系列のウィンドウに対する中間データの取り得る
パターンの数はｃ^３である。 改良手法３の中間データ
の取り得るパターンの数は、各系列のテーブル・ルック
アップ開始位置の取り得る各ウィンドウの取り得るパタ
ーンの数ｃを増大させてもテーブル・サイズは増加せ
ず、処理速度も低下しない。従って、効率よく安全性を
高めることができる。

【０２０７】図６２は、改良手法３による本発明の第１
７の実施形態による、ウィンドウ生成部７７および演算
部８４において、オーバラップ・ウィンドウのインデッ
クスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ_０をこ
の順序で生成するためのフローチャートの一部を示して
いる。図５７、５８および５９は、図６２に従ったオー
バラップ・ウィンドウの生成のための演算を例示しても
いる。

【０２０８】図６０のステップ２３０２の後の図６２の
ステップ２４０４において、生成部７７は、乱数発生器
７４に、０≦ｒ_ｊ≦ｃ−１（ｊ＝０，１，．．．ｓ）を
満たすｓ＋１個の乱数ｒ_ｊを生成させる。

【０２０９】ステップ２４０６において、演算部８４は
ｖ＝１をセットする。ステップ２４０８〜２４２８にお
いて、値ｄのｕビット・シーケンスをｔ個のＭＳＢずつ
順次チェックして、生成部は７７および演算部８４は、
それが或るウィンドウｂ_ｉのｔ個のＬＳＢの位置に対応
するときは値ｄから取り出されたそのウィンドウのｃ個
のｔビット値を含むインデックスｉｎｄを生成して、そ
のインデックスを用いたテーブル・ルックアップによる
ｗ［ｉｎｄ_ｉ］の乗算と累乗とを行って、ｖ＝ａ^ｄ（ｍ
ｏｄ ｎ）を求める。

【０２１０】ステップ２４０８において、演算部８４は
ｊ＝０をセットする。ステップ２４１０において、演算
部８４はｖ＝ｖ^２∧ｔ（ｍｏｄ ｎ）を計算する。ステ
ップ２４１２において、演算部８４はｕ＝ｕ−ｔとセッ
トし、値ｄのｕビット・シーケンスにおける処理位置を
ｔ個のＭＳＢずつシフトする。それによって、後続のス
テップ２４１４〜２４２８において値ｄのｕビット・シ
ーケンスがｔ個のＭＳＢずつ順次処理される。ステップ
２４１４において、演算部８４はｒ_ｊ＝０かどうかを判
定する。ｒ_ｊ＝０と判定された場合は、値ｄにおけるビ
ットｄ_ｕをＬＳＢとする現在のｔビット値が系列ｊのウ
ィンドウに対するインデックスｉｎｄを生成する位置で
あることを示しており、手順はステップ２４１６に進
む。ｒ_ｊ＝０でないと判定された場合は、ステップ２４
２０において、ｒ_ｊ＝ｒ_ｊ−１（ｍｏｄ ｃ）をセット
する。

【０２１１】ステップ２４１６において、生成部７７
は、ウィンドウｂ_ｉで捕捉されるｓ×ｔビットおきの値
ｄのｃ個のｔビット値を含むインデックスｉｎｄ_ｉ＝
（ｘ１＜＜（ｃ−１）×ｔ＋ｘ２＜＜（ｃ−２）×ｔ
＋．．．＋ｘｃ）＝（ｄ_{ｕ＋（ｃ−
１）×（ｓ＋１）×ｔ＋（ｔ−１）}，ｄ
_{ｕ＋（ｃ−１）×（ｓ＋１）×ｔ＋（ｔ −２）}，．．．
ｄ_{ｕ＋（ｃ−１）×（ｓ＋１）×ｔ}，ｄ
_{ｕ＋（ｃ−２）×（ｓ＋ １）×ｔ＋（ｔ−１）}，．．．
ｄ_ｕ）を生成する。ステップ２４１８において、演算部
８４はｖ＝ｖ×ｗ［ｉｎｄ_ｉ］（ｍｏｄ ｎ）を計算す
る。ステップ２４２０において、ｒ_ｊ＝ｒ_ｊ−１（ｍｏ
ｄ ｃ）をセットする。

【０２１２】ステップ２４２２において、演算部８４は
ｕ≦ｓ＋１であるかどうかを判定する。ｕ≦ｓ＋１であ
ると判定された場合は、ステップ２４２８において演算
部８４は補正演算を行う。ｕ≦ｓ＋１ではないと判定さ
れた場合は、ステップ２４２４において、演算部８４は
ｊ＝ｊ＋１をセットして、次の系列に対する処理の用意
をする。ステップ２４２６において、演算部８４はｊ＝
ｓ＋１になったかどうかを判定する。ステップ２４２６
においてｊ＝ｓ＋１と判定された場合は、ステップ２４
０８においてｊ＝０とセットして系列０に戻る。ｊ＝ｓ
＋１でない判定された場合は、手順はステップ２４１０
に進んで、次の系列についてステップ２４１０〜２４２
４を継続する。ステップ２４２８の後、手順は図６０の
ステップ２３０８に進む。

【０２１３】表１は、テーブル・サイズが等しいときの
各ウィンドウ法の安全性と処理速度の比較を示してい
る。ウィンドウの長さをｋビット、ウィンドウの重なり
ビット長をｈビット、秘密鍵をｄ、同じ値Ｓのビットの
長さをｓ、改良手法３のｄに関連するビット数をｃとす
る。

【０２１４】

【表３】

【０２１５】従来のウィンドウ法は、乱数を全く使用せ
ず、所与の値ｄに対して中間データの取り得るパターン
の数は１であり、従ってＤＰＡに対して弱い。一方、実
施形態１〜１０のオーバラップ・ウィンドウ法では、乱
数を使用して中間データのパターンの数を増加させてい
るのでＤＰＡに対して安全である。しかし、その中間デ
ータのパターンの数は重なりビット長さｈに依存するの
で、長さｈを大きくするためにはウィンドウの長さｋを
大きくする必要があり、それによってテーブル・サイズ
が増加する。

【０２１６】改良手法１では、中間データの取り得るパ
ターンの数は重なりビット長さｈおよび同じ値Ｓのビッ
トの長さｓに依存している。従って、ｓを大きくすれば
安全性が向上する。Ｓの幅ｓを大きくしてもテーブル・
サイズは増加せず、処理速度も低下しない。従って、効
率よく安全性を高めることができる。

【０２１７】改良手法２では、中間データの取り得るパ
ターンの数はＳの長さｓのみに依存している。ｓを大き
くすれば安全性が高くなる。ｓを大きくしてもテーブル
・サイズは増加せず、処理速度も低下しないので、効率
よく安全性を高めることができる。第１３〜第１５の実
施形態では、一般的なウィンドウ法とほぼ同等の処理速
度で処理できる。第１５の実施形態では、速度が幾分低
下するが、第１〜第１０の実施形態のオーバラップ・ウ
ィンドウ法よりは高速である。

【０２１８】改良手法３では、中間データの取り得るパ
ターン数はｓとｃのみに依存している。従って、この値
ｓとｃを大きくすれば安全性が高くなる。ｓを大きくし
てもテーブル・サイズは増加せず、処理速度も低下しな
いので、効率よく安全性を高めることができる。

【０２１９】以上説明した実施形態は典型例として挙げ
たに過ぎず、その変形およびバリエーションは当業者に
とって明らかであり、当業者であれば本発明の原理およ
び請求の範囲に記載した発明の範囲を逸脱することなく
上述の実施形態の種々の変形を行えることは明らかであ
る。

【０２２０】（付記１） 秘密鍵を用いて公開鍵暗号処
理を行う暗号装置であって、乱数に従って、前記公開鍵
暗号のための或る値ｄを表す複数ｕビット・シーケンス
から複数ｍ個のウィンドウ・シーケンスを導出する手段
を具え、前記ｍ個のウィンドウ・シーケンスのビット総
数は前記ｕビット・シーケンスのビット数ｕより多く、
各ウィンドウ・シーケンスのビット数はｕより少なく、
前記ｍ個のウィンドウ・シーケンスの中の２つうちの一
方のウィンドウ・シーケンスにおける或るビット位置と
他方のウィンドウ・シーケンスにおける或るビット位置
とが、前記ｕビット・シーケンスにおける同じビット位
置に関係付けられるものであり、さらに、前記導出され
たｍ個のウィンドウ・シーケンスと前記公開鍵暗号のた
めの別の或る値とに従って演算を行って、処理済みデー
タを生成する演算手段を具える、暗号装置。 （付記２） 前記公開鍵暗号処理は指数剰余演算であ
り、前記別の値をａとし、ｎを正の整数としたとき、前
記処理済みデータｖはｖ＝ａ^ｄ（ｍｏｄ ｎ）で与えら
れ、前記演算手段は、前記導出されたｍ個のウィンドウ
・シーケンスｂ_ｉ’ｓの各々に従って、乗算と２乗算と
を実行するものである、付記１に記載の暗号装置。 （付記３） 前記公開鍵暗号処理は点のスカラー倍算で
あり、前記処理済みデータはベクトルＶであり、前記値
ｄはスカラーであり、前記別の値はベクトルＡであり、
前記処理済みデータＶはＶ＝ｄＡで与えられ、前記演算
手段は、前記導出されたｍ個のウィンドウ・シーケンス
ｂ_ｉ’ｓの各々に従って、加算、減算および２倍算とを
実行するものである、付記１に記載の暗号装置。 （付記４） 前記ｍ個のウィンドウ・シーケンスｂ_ｉ’
ｓの各々は０≦ｂ_ｉ＜２ ^ｋ（ｋは正の整数）の範囲の値
を有するものである、付記１に記載の暗号装置。 （付記５） 前記ｍ個のウィンドウ・シーケンスｂ_ｉ’
ｓの各々は−２^ｋ＜ｂ_ｉ＜２^ｋ（ｋは正の整数）の範囲
の値を有するものである、付記１に記載の暗号装置。 （付記６） 前記一方のウィンドウ・シーケンスにおけ
る整数ｈ個のＬＳＢ位置と前記他方のウィンドウ・シー
ケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット・
シーケンスにおけるｈ個のビット位置に関係付けられる
ものである、付記１に記載の暗号装置。 （付記７） 前記導出手段は、少なくとも前記ｕビット
・シーケンスから前記ｈ個のＬＳＢｓまたはＭＳＢｓを
導出するものである、付記６に記載の暗号装置。 （付記８） 前記ｈの値は可変であり、前記導出手段は
乱数に従って前記ｈの値を生成するものである、付記６
に記載の暗号装置。 （付記９） 前記導出手段は、乱数に従ってウィンドウ
・シーケンスｂ_ｉを生成し、中間シーケンスｗｔ_ｉから
前記ウィンドウ・シーケンスｂ_ｉを減算することによっ
て導出された値をＭＳＢｓとして含み、かつ前記ｕビッ
ト・シーケンスの中のｋ−ｈビットをＬＳＢｓとして含
む次の中間シーケンスｗｔ_ｉ−１を生成するものであ
る、付記１に記載の暗号装置。 （付記１０） 前記ウィンドウ・シーケンスｂ_ｉがｍａ
ｘ（０，ｗｔ_ｉ−２^ｈ＋１）≦ｂ_ｉ≦ｗｔ_ｉを満たす、
付記９に記載の暗号装置。 （付記１１） 前記ウィンドウ・シーケンスｂ_ｉがｗｔ
_ｉ−２^ｈ＜ｂ_ｉ＜ｍｉｎ（２^ｋ，ｗｔ_ｉ＋２^ｈ）（ｋは
正の整数）を満たす、付記９に記載の暗号装置。 （付記１２） 前記導出手段は、乱数に従って生成され
た整数ｈ個のＭＳＢｓを含み、かつ中間シーケンスｄｔ
_ｉの（ｋ−ｈ）個のＬＳＢｓをＬＳＢｓとして含むｋビ
ットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を
生成し、前記中間シーケンスｄｔ_ｉから前記ウィンドウ
・シーケンスｂ_ｉを減算しおよび（ｋ−ｈ）個のＬＳＢ
ｓを切り捨てることによって導出される次の中間シーケ
ンスｄｔ_ｉ＋１を生成するものである、付記１に記載の
暗号装置。 （付記１３） 前記導出手段は、乱数に従って生成され
た整数ｈ個のＭＳＢｓを含み、かつ中間シーケンスｗｔ
_ｉモジュロ２^{（ｋ−ｈ）}の値を（ｋ−ｈ）個のＬＳＢｓ
として含むｋビットのウィンドウ・シーケンスｂ_ｉ（ｋ
は正の整数）を生成し、前記ｈ個のＭＳＢｓの値ｗｌ_ｉ
を前記中間シーケンスｗｔ_ｉの中のｈ個のＭＳＢｓの値
から減算することによって導出された値をＬＳＢｓとし
て含み、かつ前記ｕビット・シーケンスの中のｋ−ｈビ
ットをＭＳＢｓとして含む次の中間シーケンスｗｔ
_ｉ＋１を生成するものである、付記１に記載の暗号装
置。 （付記１４） 前記導出手段は、乱数に従って複数ｇ個
のｕビット・シーケンスｆ_ｉを生成し、ここで前記ｇ個
のｕビット・シーケンスの値の総和は前記値ｄを表し、
前記ｇ個のｕビット・シーケンスの中のそれぞれ対応す
る位置にある（ｋ−ｈ）個のビットの値の総和を表すｋ
ビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）
を、生成するものである、付記１に記載の暗号装置。 （付記１５） 前記導出手段は、乱数に従って複数ｇ個
のｕビット・シーケンスｆ_ｉを生成し、ここで、前記ｇ
個のｕビット・シーケンスの値の総和は前記値ｄモジュ
ロφ（φを法とするｄ）を表し、φは整数であり、前記
ｇ個のｕビット・シーケンスの中のそれぞれ対応する位
置にある（ｋ−ｈ）個のビットの値の総和を表すｋビッ
トのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を、
生成するものである、付記１に記載の暗号装置。 （付記１６） 前記ｍ個のウィンドウ・シーケンスの中
の１つのウィンドウ・シーケンスにおける所定の位置の
ビットは他のウィンドウ・シーケンスの対応する所定の
位置のビットと同じ値を有するものである、付記１に記
載の暗号装置。 （付記１７） 情報処理装置において使用するための、
秘密鍵を用いて公開鍵暗号処理を行う記憶媒体に格納さ
れたプログラムであって乱数に従って、前記公開鍵暗号
のための或る値ｄを表す複数ｕビット・シーケンスから
複数ｍ個のウィンドウ・シーケンスを導出するステップ
を実行させ、前記ｍ個のウィンドウ・シーケンスのビッ
ト総数は前記ｕビット・シーケンスのビット数より多
く、各ウィンドウ・シーケンスのビット数はｕより少な
く、前記ｍ個のウィンドウ・シーケンスの中の２つうち
の一方のウィンドウ・シーケンスにおける或るビット位
置と他方のウィンドウ・シーケンスにおける或るビット
位置とが、前記ｕビット・シーケンスにおける同じビッ
ト位置に関係付けられるものであり、さらに、前記導出
されたｍ個のウィンドウ・シーケンスと前記公開鍵暗号
のための別の或る値とに従って演算を行って、処理済み
データを生成するステップを実行させるよう動作可能な
プログラム。 （付記１８） 前記公開鍵暗号処理は指数剰余演算であ
り、前記別の値をａとし、ｎを正の整数としたとき、前
記処理済みデータｖはｖ＝ａ^ｄ（ｍｏｄ ｎ）で与えら
れ、前記演算を行うステップは、前記導出されたｍ個の
ウィンドウ・シーケンスｂ _ｉ’ｓの各々に従って、乗算
と２乗算とを実行することを含むものである、付記１７
に記載のプログラム。 （付記１９） 前記公開鍵暗号処理は点のスカラー倍算
であり、前記処理済みデータはベクトルＶであり、前記
値ｄはスカラーであり、前記別の値はベクトルＡであ
り、前記処理済みデータＶはＶ＝ｄＡで与えられ、前記
演算を行うステップは、前記導出されたｍ個のウィンド
ウ・シーケンスｂ _ｉ’ｓの各々に従って、加算、減算お
よび２倍算とを実行することを含むものである、付記１
７に記載のプログラム。 （付記２０） 前記一方のウィンドウ・シーケンスにお
ける整数ｈ個のＬＳＢ位置と前記他方のウィンドウ・シ
ーケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット
・シーケンスにおけるｈ個のビット位置に関係付けられ
るものであり、前記導出するステップは、少なくとも前
記ｕビット・シーケンスから前記ｈ個のＬＳＢｓまたは
ＭＳＢｓを導出することを含むものである、付記１７に
記載のプログラム。 （付記２１） 前記一方のウィンドウ・シーケンスにお
ける整数ｈ個のＬＳＢ位置と前記他方のウィンドウ・シ
ーケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット
・シーケンスにおけるｈ個のビット位置に関係付けられ
るものであり、前記ｈの値は変数であり、前記導出する
ステップは、乱数に従って前記ｈの値を生成することを
含むものである、付記１７に記載のプログラム。 （付記２２） 前記導出するステップは、乱数に従って
ウィンドウ・シーケンスｂ_ｉを生成するステップと、中
間シーケンスｗｔ_ｉから前記ウィンドウ・シーケンスｂ
_ｉを減算することによって導出された値をＭＳＢｓとし
て含み、かつ前記ｕビット・シーケンスの中のｋ−ｈビ
ットをＬＳＢｓとして含む次の中間シーケンスｗｔ
_ｉ−１を生成するステップと、を含むものである、付記
１７に記載のプログラム。 （付記２３） 前記導出するステップは、乱数に従って
生成された整数ｈ個のＭＳＢｓを含み、かつ中間シーケ
ンスｄｔ _ｉの（ｋ−ｈ）個のＬＳＢｓをＬＳＢｓとして
含むｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の
整数）を生成するステップと、前記中間シーケンスｄｔ
_ｉから前記ウィンドウ・シーケンスｂ_ｉを減算し、（ｋ
−ｈ）個のＬＳＢｓを切り捨てることによって導出され
る次の中間シーケンスｄｔ_ｉ＋１を生成するステップ
と、を含むものである、付記１７に記載のプログラム。 （付記２４） 前記導出するステップは、乱数に従って
生成された整数ｈ個のＭＳＢｓを含み、かつ中間シーケ
ンスｗｔ _ｉモジュロ２^{（ｋ−ｈ）}の値を（ｋ−ｈ）個の
ＬＳＢｓとして含むｋビットのウィンドウ・シーケンス
ｂ_ｉ（ｋは正の整数）を生成するステップと、前記ｈ個
のＭＳＢｓの値ｗｌ_ｉを前記中間シーケンスｗｔ_ｉの中
のｈ個のＭＳＢｓの値から減算することによって導出さ
れた値をＬＳＢｓとして含み、かつ前記ｕビット・シー
ケンスの中のｋ−ｈビットをＭＳＢｓとして含む次の中
間シーケンスｗｔ_ｉ＋１を生成するステップと、を含む
ものである、付記１７に記載のプログラム。 （付記２５） 前記導出するステップは、乱数に従って
複数ｇ個のｕビット・シーケンスｆ_ｉを生成ステップ
と、ここで前記ｇ個のｕビット・シーケンスの値の総和
は前記値ｄを表し、前記ｇ個のｕビット・シーケンスの
中のそれぞれ対応する位置にある（ｋ−ｈ）個のビット
の値の総和を表すｋビットのウィンドウ・シーケンスｂ
_ｉ（ｋは正の整数）を、生成するステップと、を含むも
のである、付記１７に記載のプログラム。 （付記２６） 前記導出するステップは、乱数に従って
複数ｇ個のｕビット・シーケンスｆ_ｉを生成するステッ
プと、ここで、前記ｇ個のｕビット・シーケンスの値の
総和は前記値ｄのモジュロφを表し、φは整数であり、
前記ｇ個のｕビット・シーケンスの中のそれぞれ対応す
る位置にある（ｋ−ｈ）個のビットの値の総和を表すｋ
ビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）
を、生成するステップと、を含むものである、付記１７
に記載のプログラム。 （付記２７） 前記ｍ個のウィンドウ・シーケンスの中
の１つのウィンドウ・シーケンスにおける所定の位置の
ビットは他のウィンドウ・シーケンスの対応する所定の
位置のビットと同じ値を有するものである、付記１７に
記載のプログラム。 （付記２８） 情報処理装置において秘密鍵を用いて公
開鍵暗号処理を行う方法であって、乱数に従って、前記
公開鍵暗号のための或る値ｄを表す複数ｕビット・シー
ケンスから複数ｍ個のウィンドウ・シーケンスを導出す
るステップを含み、前記ｍ個のウィンドウ・シーケンス
のビット総数は前記ｕビット・シーケンスのビット数よ
り多く、各ウィンドウ・シーケンスのビット数はｕより
少なく、前記ｍ個のウィンドウ・シーケンスの中の２つ
うちの一方のウィンドウ・シーケンスにおける或るビッ
ト位置と他方のウィンドウ・シーケンスにおける或るビ
ット位置とが、前記ｕビット・シーケンスにおける同じ
ビット位置に関係付けられるものであり、さらに、前記
導出されたｍ個のウィンドウ・シーケンスと前記公開鍵
暗号のための別の或る値とに従って演算を行って、処理
済みデータを生成するステップを含む、方法。 （付記２９） 前記一方のウィンドウ・シーケンスにお
ける整数ｈ個のＬＳＢ位置（ｈは整数）と前記他方のウ
ィンドウ・シーケンスにおけるｈ個のＭＳＢ位置とが、
前記ｕビット・シーケンスにおけるｈ個のビット位置に
関係付けられるものであり、前記導出するステップは、
少なくとも前記ｕビット・シーケンスから前記ｈ個のＬ
ＳＢｓまたはＭＳＢｓを導出することを含むものであ
る、付記２８に記載の方法。 （付記３０） 前記ｍ個のウィンドウ・シーケンスの中
の１つのウィンドウ・シーケンスにおける所定の位置の
ビットは他のウィンドウ・シーケンスの対応する所定の
位置のビットと同じ値を有するものである、付記２８に
記載のプログラム。 （付記３１） 秘密鍵を用いて公開鍵暗号処理を行う暗
号装置であって、前記公開鍵暗号のための或る値ｄを表
す複数ｕビット・シーケンスから複数ｍ個のウィンドウ
・シーケンスを導出する手段を具え、前記ｍ個のウィン
ドウ・シーケンスのビット総数は前記ｕビット・シーケ
ンスのビット数ｕより多く、各ウィンドウ・シーケンス
のビット数はｕより少なく、前記ｍ個のウィンドウ・シ
ーケンスの中の２つうちの一方のウィンドウ・シーケン
スにおける或るビット位置と他方のウィンドウ・シーケ
ンスにおける或るビット位置とが、前記ｕビット・シー
ケンスにおける同じビット位置に関係付けられるもので
あり、前記ｍ個のウィンドウ・シーケンスの中の１つの
ウィンドウ・シーケンスにおける所定の位置のビット
は、他のウィンドウ・シーケンスの対応する所定の位置
のビットと同じ値を有するものであり、さらに、前記導
出されたｍ個のウィンドウ・シーケンスと前記公開鍵暗
号のための別の或る値とに従って演算を行って、処理済
みデータを生成する演算手段を具える、暗号装置。 （付記３２） さらに、前記ウィンドウ・シーケンスの
ビット数から前記同じ値のビット数を減算したビット数
を有する取り得るシーケンスをインデックスとして有
し、前記インデックスに対応付けられる前記ウィンドウ
・シーケンスの取り得るシーケンスに従って計算された
エントリ値を有するルックアップ・テーブルを生成する
手段を具える、付記３１に記載の暗号装置。 （付記３３） 前記演算手段は、前記導出されたウィン
ドウ・シーケンスの前記同じ値の所定のビット以外のビ
ットのシーケンスをインデックスとして用いて、テーブ
ルをルックアップすることによって、前記演算を行うも
のである、付記３１に記載の暗号装置。 （付記３４） 前記公開鍵暗号処理は指数剰余演算であ
り、前記別の値をａとし、ｎを正の整数としたとき、前
記処理済みデータｖはｖ＝ａ^ｄ（ｍｏｄ ｎ）で与えら
れ、前記演算手段は、前記導出されたｍ個のウィンドウ
・シーケンスｂ_ｉ’ｓの各々の前記同じ値の所定のビッ
ト以外のビットのシーケンスをインデックスとして用い
てテーブルをルックアップすることによって、乗算と２
乗算とを実行するものである、付記３１に記載の暗号装
置。 （付記３５） 前記公開鍵暗号処理は点のスカラー倍算
であり、前記処理済みデータはベクトルＶであり、前記
値ｄはスカラーであり、前記別の値はベクトルＡであ
り、前記処理済みデータＶはＶ＝ｄＡで与えられ、前記
演算手段は、前記導出されたｍ個のウィンドウ・シーケ
ンスｂ_ｉ’ｓの各々の前記同じ値の所定のビット以外の
ビットのシーケンスをインデックスとして用いてテーブ
ルをルックアップすることによって、加算、減算および
２倍算とを実行するものである、付記３１に記載の暗号
装置。 （付記３６） 前記導出されたｍ個のウィンドウ・シー
ケンスはそれぞれの対応する所定のＭＳＢ位置に同じ値
を有するものである、付記３１に記載の暗号装置。 （付記３７） 前記導出されたｍ個のウィンドウ・シー
ケンスはそれぞれの対応する所定のＬＳＢ位置に同じ値
を有するものである、付記３１に記載の暗号装置。 （付記３８） 前記導出されたｍ個のウィンドウ・シー
ケンスは、それぞれのＭＳＢおよびＬＳＢを除くそれぞ
れの対応する所定の中間のビット位置に同じ値を有する
ものである、付記３１に記載の暗号装置。（付記３９）
前記ｍ個のウィンドウ・シーケンスの中のｓ＋１個の
ウィンドウ・シーケンスの各々はｃ×ｔ＋ｓ×（ｃ−
１）×ｔビットのシーケンスであり（ｃ、ｓおよびｔは
正の整数）、ｓ×ｔビットの間隔でｃ個の位置に前記ｕ
ビット・シーケンスからのｔビット値を有し、各ｓ×ｔ
ビットのストリングはｓ個のｔビットの同じ値を連結し
たものである、付記３１に記載の暗号装置。 （付記４０） 前記ｕビット・シーケンスに対する前記
ｍ個のウィンドウ・シーケンスは複数のグループのウィ
ンドウ・シーケンスを含み、各グループのウィンドウ・
シーケンスの相対的位置が１つの乱数に従って決定さ
れ、前記ｍ個のウィンドウ・シーケンスにおけるそれぞ
れの対応する所定のビット位置が前記ｕビット・シーケ
ンスの相異なるビット位置に関係付けられものである、
付記３１に記載の暗号装置。 （付記４１） 前記同じ値が前記或る値ｄに関係なく固
定値である、付記３１に記載の暗号装置。 （付記４２） 前記同じ値が前記或る値ｄに対して１つ
の乱数に従って生成されるものである、付記３１に記載
の暗号装置。 （付記４３） 前記導出する手段は、前記ｕビット・シ
ーケンスから、前記ｕビット・シーケンスにおける関係
付けられた所定のビット位置に配置される前記ウィンド
ウ・シーケンスの前記同じ値を減算して別のシーケンス
を生成し、前記別のシーケンスから前記ウィンドウ・シ
ーケンスを導出するものである、付記３１に記載の暗号
装置。 （付記４４） 前記導出する手段は、前記ｕビット・シ
ーケンスから、前記ｕビット・シーケンスにおける関係
付けられる所定の位置に配置される前記ｍ個のウィンド
ウ・シーケンスの前記同じ値を減算して別のシーケンス
を生成し、前記別のシーケンスから前記ｍ個のウィンド
ウ・シーケンスを導出するものである、付記３１に記載
の暗号装置。 （付記４５） 前記導出する手段は、前記ｍ個のウィン
ドウ・シーケンスにおける前記同じ値の前記所定のビッ
ト位置以外の位置のビットの値を乱数に従って順次生成
するものである、付記３１に記載の暗号装置。 （付記４６） 前記導出する手段は、前記ｍ個のウィン
ドウ・シーケンスにおける前記同じ値の前記所定のビッ
ト位置以外の位置のビットの値を複数の乱数に従って一
度に生成するものである、付記３１に記載の暗号装置。 （付記４７） 前記演算手段は補正演算を行うものであ
る、付記３１に記載の暗号装置。 （付記４８） 情報処理装置において使用するための、
秘密鍵を用いて公開鍵暗号処理を行う記憶媒体に格納さ
れたプログラムであって、前記公開鍵暗号のための或る
値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウ
ィンドウ・シーケンスを導出するステップを実行させ、
前記ｍ個のウィンドウ・シーケンスのビット総数は前記
ｕビット・シーケンスのビット数ｕより多く、各ウィン
ドウ・シーケンスのビット数はｕより少なく、前記ｍ個
のウィンドウ・シーケンスの中の２つうちの一方のウィ
ンドウ・シーケンスにおける或るビット位置と他方のウ
ィンドウ・シーケンスにおける或るビット位置とが、前
記ｕビット・シーケンスにおける同じビット位置に関係
付けられるものであり、前記ｍ個のウィンドウ・シーケ
ンスの中の１つのウィンドウ・シーケンスにおける所定
の位置のビットは、他のウィンドウ・シーケンスの対応
する所定の位置のビットと同じ値を有するものであり、
さらに、前記導出されたｍ個のウィンドウ・シーケンス
と前記公開鍵暗号のための別の或る値とに従って演算を
行って、処理済みデータを生成するステップを実行させ
るよう動作可能なプログラム。 （付記４９） さらに、前記ウィンドウ・シーケンスの
ビット数から前記同じ値のビット数を減算したビット数
を有する取り得るシーケンスをインデックスとして有
し、前記インデックスに対応付けられる前記ウィンドウ
・シーケンスの取り得るシーケンスに従って計算された
エントリ値を有するルックアップ・テーブルを生成する
ステップを実行させるよう動作可能な付記４８に記載の
プログラム。 （付記５０） 前記演算を行うステップは、前記導出さ
れたウィンドウ・シーケンスの前記同じ値の所定のビッ
ト以外のビットのシーケンスをインデックスとして用い
て、テーブルをルックアップすることによって、前記演
算を行うことを含むものである、付記４８に記載のプロ
グラム。 （付記５１） 前記導出するステップは、前記ｕビット
・シーケンスから、前記ｕビット・シーケンスにおける
対応する所定の位置に配置された前記ウィンドウ・シー
ケンスの前記同じ値を減算して別のシーケンスを生成
し、前記別のシーケンスから前記ウィンドウ・シーケン
スを導出することを含むものである、付記４８に記載の
プログラム。 （付記５２） 前記導出するステップは、前記ｕビット
・シーケンスから、前記ｕビット・シーケンスにおける
対応する所定の位置に配置された前記ｍ個のウィンドウ
・シーケンスの前記同じ値を減算して別のシーケンスを
生成し、前記別のシーケンスから前記ｍ個のウィンドウ
・シーケンスを導出することを含むものである、付記４
８に記載のプログラム。 （付記５３） 前記導出するステップは、前記ｍ個のウ
ィンドウ・シーケンスにおける前記同じ値のビット以外
のビットの値を乱数に従って順次生成することを含むも
のである、付記４８に記載のプログラム。 （付記５４） 前記導出するステップは、前記ｍ個のウ
ィンドウ・シーケンスにおける前記同じ値のビット以外
の或る同じ位置のビットの値を複数の乱数に従って一度
に生成することを含むものである、付記４８に記載のプ
ログラム。 （付記５５） 情報処理装置において秘密鍵を用いて公
開鍵暗号処理を行う方法であって、前記公開鍵暗号のた
めの或る値ｄを表す複数ｕビット・シーケンスから複数
ｍ個のウィンドウ・シーケンスを導出するステップを実
行させ、前記ｍ個のウィンドウ・シーケンスのビット総
数は前記ｕビット・シーケンスのビット数ｕより多く、
各ウィンドウ・シーケンスのビット数はｕより少なく、
前記ｍ個のウィンドウ・シーケンスの中の２つうちの一
方のウィンドウ・シーケンスにおける或るビット位置と
他方のウィンドウ・シーケンスにおける或るビット位置
とが、前記ｕビット・シーケンスにおける同じビット位
置に関係付けられるものであり、前記ｍ個のウィンドウ
・シーケンスの中の１つのウィンドウ・シーケンスにお
ける所定の位置のビットは、他のウィンドウ・シーケン
スの対応する所定の位置のビットと同じ値を有するもの
であり、さらに、前記導出されたｍ個のウィンドウ・シ
ーケンスと前記公開鍵暗号のための別の或る値とに従っ
て演算を行って、処理済みデータを生成するステップを
含む、方法。 （付記５６） さらに、前記ウィンドウ・シーケンスの
ビット数から前記同じ値のビット数を減算したビット数
を有する取り得るシーケンスをインデックスとして有
し、前記インデックスに対応付けられる前記ウィンドウ
・シーケンスの取り得るシーケンスに従って計算された
エントリ値を有するルックアップ・テーブルを生成する
ステップを含む、付記５５に記載の方法。 （付記５７） 前記演算を行うステップは、前記導出さ
れたウィンドウ・シーケンスの前記同じ値の所定のビッ
ト以外のビットのシーケンスをインデックスとして用い
て、テーブルをルックアップすることによって、前記演
算を行うことを含むものである、付記５５に記載の方
法。 （付記５８） 前記導出するステップは、前記ｕビット
・シーケンスから、前記ｕビット・シーケンスにおける
対応する所定の位置に配置された前記ウィンドウ・シー
ケンスの前記同じ値を減算して別のシーケンスを生成
し、前記別のシーケンスから前記ウィンドウ・シーケン
スを導出するステップを含むものである、付記５５に記
載の方法。 （付記５９） 前記導出するステップは、前記ｍ個のウ
ィンドウ・シーケンスにおける前記同じ値のビット以外
のビットの値を乱数に従って順次生成することを含むも
のである、付記５５に記載の方法。

【０２２１】

【発明の効果】本発明は、上述の特徴によって、秘密鍵
の推定を困難にし、暗号処理の安全性を高めることがで
き、効率的な耐タンパ性の指数剰余演算および点のスカ
ラー倍算を実現できる、という効果を奏する。

【図面の簡単な説明】

【図１】図１は、暗号デバイスにおける秘密鍵を用いた
暗号処理を例示している。

【図２】図２は、ウィンドウ法を用いてｖ＝ａ^ｄ（ｍｏ
ｄ ｎ）を求める指数剰余演算のアルゴリズムを示して
いる。

【図３】図３は、ウィンドウ法を用いた点のスカラー倍
算Ｖ＝ｄＡのアルゴリズムを示している。

【図４】図４は、図２のアルゴリズムによる演算の手順
を説明するのに役立つ。

【図５】図５Ａは時間に対する消費電力の曲線を示して
いる。図５Ｂは、スパイクを有する、時間に対する電力
差分の曲線を示している。図５Ｃは、時間に対する電力
差分の平坦な曲線を示している。

【図６】図６は、分割指数法を用いたｖ＝ａ^ｄ（ｍｏｄ
ｎ）を求めるためのアルゴリズムを示している。

【図７】図７は、本発明による暗号処理装置の概略的構
成を示している。

【図８】図８は、本発明によるオーバラップ・ウィンド
ウの生成の仕方を示している。

【図９】図９は、本発明による、乱数に従ったオーバラ
ップ・ウィンドウにおける重なりビットの値の決定の仕
方を示している。

【図１０】図１０は、本発明による、隣接するウィンド
ウに固定された重なりビット長を有するオーバラップ・
ウィンドウ法を用いた指数剰余演算のフロー図を示して
いる。

【図１１】図１１は、本発明による、隣接するウィンド
ウに可変な重なりビット長を有するオーバラップ・ウィ
ンドウ法を用いた指数剰余演算のフロー図を示してい
る。

【図１２】図１２は、本発明による、隣接するウィンド
ウに固定された重なりビット長を有するオーバラップ・
ウィンドウ法を用いたスカラー倍算のフロー図を示して
いる。

【図１３】図１３は、本発明による、隣接するウィンド
ウに可変な重なりビット長を有するオーバラップ・ウィ
ンドウ法を用いたスカラー倍算のフロー図を示してい
る。

【図１４】図１４は、本発明の第１の実施形態による、
重なりビット長を有するオーバラップ・ウィンドウを重
み（上位から下位）の順に生成するためのフローチャー
トを示している。

【図１５】図１５は、図１４に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図１６】図１６は、本発明の第２の実施形態による、
可変な重なりビット長を有するオーバラップ・ウィンド
ウを重みの順に生成するためのフローチャートを示して
いる。

【図１７】図１７は、図１６に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図１８】図１８は、本発明の第３の実施形態による、
重なりビット長を有するオーバラップ・ウィンドウを重
みの逆の順に生成するためのフローチャートを示してい
る。

【図１９】図１９は、図１８に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図２０】図２０は、本発明の第４の実施形態による、
可変な重なりビット長を有するオーバラップ・ウィンド
ウを重みの逆の順に生成するためのフローチャートを示
している。

【図２１】図２１は、図２０に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図２２】図２２は、本発明の第５の実施形態による、
重なりビット長を有するオーバラップ・ウィンドウを重
みの順に生成するためのフローチャートを示している。

【図２３】図２３は、図２２に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図２４】図２４は、本発明の第６の実施形態による、
可変な重なりビット長を有するオーバラップ・ウィンド
ウを重みの順に生成するためのフローチャートを示して
いる。

【図２５】図２５は、図２４に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図２６】図２６は、本発明の第７の実施形態による、
重なりビット長を有するオーバラップ・ウィンドウを重
みの逆の順に生成するためのフローチャートを示してい
る。

【図２７】図２６は、図２５に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図２８】図２８は、本発明の第８の実施形態による、
可変な重なりビット長を有するオーバラップ・ウィンド
ウを重みの逆の順に生成するためのフローチャートを示
している。

【図２９】図２９は、図２８に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図３０】図３０は、本発明の第９の実施形態による、
重なりビット長を有するオーバラップ・ウィンドウを順
に生成するためのフローチャートを示している。

【図３１】図３１は、図３０に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図３２】図３２は、本発明の第１０の実施形態によ
る、重なりビット長を有するオーバラップ・ウィンドウ
を順に生成するためのフローチャートを示している。

【図３３】図３３は、図３２に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図３４】図３４Ａおよび３４Ｂは、本発明による、複
数のウィンドウのそれぞれの一部について所定の同じ値
または乱数に従って生成された同じ値を用いるオーバラ
ップ・ウィンドウ法の原理を説明するのに役立つ。

【図３５】図３５は、改良手法１および２において用い
られる、複数のウィンドウのそれぞれの一部に同じ値を
用いるオーバラップ・ウィンドウ法による暗号処理装置
の概略的構成を示している。

【図３６】図３６は、改良手法１および２において用い
られる、複数のウィンドウのそれぞれの一部に同じ値を
用いるオーバラップ・ウィンドウ法による逐次または反
復処理型の暗号処理装置の概略的構成を示している。

【図３７】図３７は、本発明による、オーバラップ・ウ
ィンドウの中央位置に同じ値を設定する手法を説明する
のに役立つ。

【図３８】図３８は、本発明による、オーバラップ・ウ
ィンドウの中央位置に同じ値を用いる手法を用いた指数
剰余演算の概略的なフロー図を示している。

【図３９】図３９は、改良手法１による最初の３つのウ
ィンドウの生成の例を示している。

【図４０】図４０は、改良手法１による本発明の第１１
の実施形態による、ウィンドウ生成部において、重なり
ビット長を有するオーバラップ・ウィンドウを重みの逆
の順に生成するためのフローチャートの一部を示してい
る。

【図４１】図４１は、図４０に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図４２】図４２は、改良手法１による本発明の第１２
の実施形態による、ウィンドウ生成部において、重なり
ビット長を有するオーバラップ・ウィンドウを重みの順
に生成するためのフローチャートの一部を示している。

【図４３】図４３は、図４２に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図４４】図４４は、本発明による、オーバラップ・ウ
ィンドウのＬＳＢまたはＭＳＢとして同じ値を用いる手
法を説明するのに役立つ。

【図４５】図４５は、本発明による、オーバラップ・ウ
ィンドウのＬＳＢまたはＭＳＢのストリングに同じ値を
用いる手法を用いた指数剰余演算の概略的なフロー図を
示している。

【図４６】図４６は、改良手法２による最初の３つのウ
ィンドウの生成を示している。

【図４７】図４７は、改良手法２による本発明の第１３
の実施形態による、ウィンドウ生成部において、重なり
ビット長を有するオーバラップ・ウィンドウを重みの順
に生成するためのフローチャートの一部を示している。

【図４８】図４８は、図４７に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図４９】図４９は、改良手法２による本発明の第１４
の実施形態による、ウィンドウ生成部において、重なり
ビット長を有するオーバラップ・ウィンドウを重みの逆
の順に生成するためのフローチャートの一部を示してい
る。

【図５０】図５０は、図４９に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図５１】図５１は、改良手法２による本発明の第１５
の実施形態による、ウィンドウ生成部において、重なり
ビット長を有するオーバラップ・ウィンドウを重みの逆
の順に生成するためのフローチャートの一部を示してい
る。

【図５２】図５２は、図５１に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図５３】図５３は、改良手法２による本発明の第１６
の実施形態による、ウィンドウ生成部において、重なり
ビット長を有するオーバラップ・ウィンドウを重みの順
に生成するためのフローチャートの一部を示している。

【図５４】図５４は、図５３に従ったオーバラップ・ウ
ィンドウの生成のための演算を例示している。

【図５５】図５５は、改良手法３において用いられる、
複数のウィンドウのそれぞれの複数の部分に同じ値を用
いるオーバラップ・ウィンドウ法による暗号処理装置の
概略的構成を示している。

【図５６】図５６は、改良手法３において用いられる、
複数のウィンドウのそれぞれの複数の部分に同じ値を用
いるオーバラップ・ウィンドウ法による逐次または反復
処理型の暗号処理装置の概略的構成を示している。

【図５７】図５７、５８および５９は、本発明による、
オーバラップ・ウィンドウにおいて複数の位置の値の間
に同じ値を配置する手法を説明するのに役立つ。

【図５８】図５７、５８および５９は、本発明による、
オーバラップ・ウィンドウにおいて複数の位置の値の間
に同じ値を配置する手法を説明するのに役立つ。

【図５９】図５７、５８および５９は、本発明による、
オーバラップ・ウィンドウにおいて複数の位置の値の間
に同じ値を配置する手法を説明するのに役立つ。

【図６０】図６０は、本発明による、オーバラップ・ウ
ィンドウの値ｄからの複数の値の間に同じ値を配置する
手法を用いた指数剰余演算の概略的なフロー図を示して
いる。

【図６１】図６１は、各系列に対する各ウィンドウの取
り得るパターンの数を示している。

【図６２】図６２は、改良手法３による本発明の第１７
の実施形態による、ウィンドウ生成部および演算部にお
いて、オーバラップ・ウィンドウのインデックスを重み
の順に生成するためのフローチャートの一部を示してい
る。

【符号の説明】 ６０ 暗号処理装置 ７２ 入力部 ７４ 乱数発生器 ７５ ウィンドウおよび重なり長生成部 ７８ メモリ ８０ テーブル生成部 ８２ テーブル・メモリ ８４ ウィンドウ法演算部 ８６ 出力部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 武仲 正彦 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 鳥居 直哉 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 5J104 AA18 AA22 AA43 AA47 JA21 JA25 JA28 NA02 NA18 NA20 NA35 NA42

Claims (10)

【特許請求の範囲】
1. 【請求項１】 秘密鍵を用いて公開鍵暗号処理を行う暗
   号装置であって、 乱数に従って、前記公開鍵暗号のための或る値ｄを表す
   複数ｕビット・シーケンスから複数ｍ個のウィンドウ・
   シーケンスを導出する手段を具え、 前記ｍ個のウィンドウ・シーケンスのビット総数は前記
   ｕビット・シーケンスのビット数ｕより多く、各ウィン
   ドウ・シーケンスのビット数はｕより少なく、前記ｍ個
   のウィンドウ・シーケンスの中の２つうちの一方のウィ
   ンドウ・シーケンスにおける或るビット位置と他方のウ
   ィンドウ・シーケンスにおける或るビット位置とが、前
   記ｕビット・シーケンスにおける同じビット位置に関係
   付けられるものであり、 さらに、前記導出されたｍ個のウィンドウ・シーケンス
   と前記公開鍵暗号のための別の或る値とに従って演算を
   行って、処理済みデータを生成する演算手段を具える、
   暗号装置。
2. 【請求項２】 前記一方のウィンドウ・シーケンスにお
   ける整数ｈ個のＬＳＢ位置と前記他方のウィンドウ・シ
   ーケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット
   ・シーケンスにおけるｈ個のビット位置に関係付けられ
   るものである、請求項１に記載の暗号装置。
3. 【請求項３】 情報処理装置において使用するための、
   秘密鍵を用いて公開鍵暗号処理を行うプログラムであっ
   て、 乱数に従って、前記公開鍵暗号のための或る値ｄを表す
   複数ｕビット・シーケンスから複数ｍ個のウィンドウ・
   シーケンスを導出するステップを実行させ、 前記ｍ個のウィンドウ・シーケンスのビット総数は前記
   ｕビット・シーケンスのビット数より多く、各ウィンド
   ウ・シーケンスのビット数はｕより少なく、前記ｍ個の
   ウィンドウ・シーケンスの中の２つうちの一方のウィン
   ドウ・シーケンスにおける或るビット位置と他方のウィ
   ンドウ・シーケンスにおける或るビット位置とが、前記
   ｕビット・シーケンスにおける同じビット位置に関係付
   けられるものであり、 さらに、前記導出されたｍ個のウィンドウ・シーケンス
   と前記公開鍵暗号のための別の或る値とに従って演算を
   行って、処理済みデータを生成するステップを実行させ
   るよう動作可能なプログラム。
4. 【請求項４】 情報処理装置において秘密鍵を用いて公
   開鍵暗号処理を行う方法であって、 乱数に従って、前記公開鍵暗号のための或る値ｄを表す
   複数ｕビット・シーケンスから複数ｍ個のウィンドウ・
   シーケンスを導出するステップを含み、 前記ｍ個のウィンドウ・シーケンスのビット総数は前記
   ｕビット・シーケンスのビット数より多く、各ウィンド
   ウ・シーケンスのビット数はｕより少なく、前記ｍ個の
   ウィンドウ・シーケンスの中の２つうちの一方のウィン
   ドウ・シーケンスにおける或るビット位置と他方のウィ
   ンドウ・シーケンスにおける或るビット位置とが、前記
   ｕビット・シーケンスにおける同じビット位置に関係付
   けられるものであり、 さらに、前記導出されたｍ個のウィンドウ・シーケンス
   と前記公開鍵暗号のための別の或る値とに従って演算を
   行って、処理済みデータを生成するステップを含む、方
   法。
5. 【請求項５】 秘密鍵を用いて公開鍵暗号処理を行う暗
   号装置であって、 前記公開鍵暗号のための或る値ｄを表す複数ｕビット・
   シーケンスから複数ｍ個のウィンドウ・シーケンスを導
   出する手段を具え、 前記ｍ個のウィンドウ・シーケンスのビット総数は前記
   ｕビット・シーケンスのビット数ｕより多く、各ウィン
   ドウ・シーケンスのビット数はｕより少なく、前記ｍ個
   のウィンドウ・シーケンスの中の２つうちの一方のウィ
   ンドウ・シーケンスにおける或るビット位置と他方のウ
   ィンドウ・シーケンスにおける或るビット位置とが、前
   記ｕビット・シーケンスにおける同じビット位置に関係
   付けられるものであり、 前記ｍ個のウィンドウ・シーケンスの中の１つのウィン
   ドウ・シーケンスにおける所定の位置のビットは、他の
   ウィンドウ・シーケンスの対応する所定の位置のビット
   と同じ値を有するものであり、 さらに、前記導出されたｍ個のウィンドウ・シーケンス
   と前記公開鍵暗号のための別の或る値とに従って演算を
   行って、処理済みデータを生成する演算手段を具える、
   暗号装置。
6. 【請求項６】 さらに、前記ウィンドウ・シーケンスの
   ビット数から前記同じ値のビット数を減算したビット数
   を有する取り得るシーケンスをインデックスとして有
   し、前記インデックスに対応付けられる前記ウィンドウ
   ・シーケンスの取り得るシーケンスに従って計算された
   エントリ値を有するルックアップ・テーブルを生成する
   手段を具える、請求項５に記載の暗号装置。
7. 【請求項７】 前記演算手段は、前記導出されたウィン
   ドウ・シーケンスの前記同じ値の所定のビット以外のビ
   ットのシーケンスをインデックスとして用いて、テーブ
   ルをルックアップすることによって、前記演算を行うも
   のである、請求項５に記載の暗号装置。
8. 【請求項８】 前記導出する手段は、前記ｕビット・シ
   ーケンスから、前記ｕビット・シーケンスにおける対応
   する所定の位置に配置された前記ウィンドウ・シーケン
   スの前記同じ値を減算して別のシーケンスを生成し、前
   記別のシーケンスから前記ウィンドウ・シーケンスを導
   出するものである、請求項５に記載の暗号装置。
9. 【請求項９】 情報処理装置において使用するための、
   秘密鍵を用いて公開鍵暗号処理を行うプログラムであっ
   て、 前記公開鍵暗号のための或る値ｄを表す複数ｕビット・
   シーケンスから複数ｍ個のウィンドウ・シーケンスを導
   出するステップを実行させ、 前記ｍ個のウィンドウ・シーケンスのビット総数は前記
   ｕビット・シーケンスのビット数ｕより多く、各ウィン
   ドウ・シーケンスのビット数はｕより少なく、前記ｍ個
   のウィンドウ・シーケンスの中の２つうちの一方のウィ
   ンドウ・シーケンスにおける或るビット位置と他方のウ
   ィンドウ・シーケンスにおける或るビット位置とが、前
   記ｕビット・シーケンスにおける同じビット位置に関係
   付けられるものであり、 前記ｍ個のウィンドウ・シーケンスの中の１つのウィン
   ドウ・シーケンスにおける所定の位置のビットは、他の
   ウィンドウ・シーケンスの対応する所定の位置のビット
   と同じ値を有するものであり、 さらに、前記導出されたｍ個のウィンドウ・シーケンス
   と前記公開鍵暗号のための別の或る値とに従って演算を
   行って、処理済みデータを生成するステップを実行させ
   るよう動作可能なプログラム。
10. 【請求項１０】 情報処理装置において秘密鍵を用いて
    公開鍵暗号処理を行う方法であって、 前記公開鍵暗号のための或る値ｄを表す複数ｕビット・
    シーケンスから複数ｍ個のウィンドウ・シーケンスを導
    出するステップを実行させ、 前記ｍ個のウィンドウ・シーケンスのビット総数は前記
    ｕビット・シーケンスのビット数ｕより多く、各ウィン
    ドウ・シーケンスのビット数はｕより少なく、前記ｍ個
    のウィンドウ・シーケンスの中の２つうちの一方のウィ
    ンドウ・シーケンスにおける或るビット位置と他方のウ
    ィンドウ・シーケンスにおける或るビット位置とが、前
    記ｕビット・シーケンスにおける同じビット位置に関係
    付けられるものであり、 前記ｍ個のウィンドウ・シーケンスの中の１つのウィン
    ドウ・シーケンスにおける所定の位置のビットは、他の
    ウィンドウ・シーケンスの対応する所定の位置のビット
    と同じ値を有するものであり、 さらに、前記導出されたｍ個のウィンドウ・シーケンス
    と前記公開鍵暗号のための別の或る値とに従って演算を
    行って、処理済みデータを生成するステップを含む、方
    法。