JP2003263110A - 楕円曲線上の有理点群の部分群の元生成装置、そのプログラム及び記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 演算コストを減少させる。 【解決手段】 ランダム元生成部２０で楕円曲線定義体
ＧＦ（ｐ）の元ｘ₁ をランダムに発生させ、それを楕円
曲線定義方程式のｘの値として代入して、ｙ₁ の解を確
率的に決定し、楕円曲線上の有理点群のランダムな元Ｐ
＝（ｘ₁ ，ｙ₁)を求める。楕円曲線上の有理点群Ｅ（Ｇ
Ｆ（ｐ））のシステムが要求する部分群の位数ｑでＥ
（ＧＦ（ｐ））の位数ｓを割った値ｃ（ｑと互いに素）
でＰを楕円スカラー倍し、ｃＰを部分群上のランダムな
元Ｑとして出力する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は例えば楕円曲線暗
号あるいは一般に代数曲線暗号などの情報セキュリティ
技術に利用され、楕円曲線あるいは一般の代数曲線の有
理点群の部分群の元をランダムに生成する装置、そのプ
ログラム及びその記録媒体に関する。

【０００２】

【従来の技術】楕円曲線を用いた公開鍵暗号やデジタル
署名などの情報セキュリティ技術を実現する場合、シス
テムの想定している群が、楕円上の有理点群自身ではな
く、その真部分群である場合がある。従来、例えば暗号
などの目的とするシステムに使用できる部分群上のラン
ダムな点Ｑは、該当する部分群の生成元Ｐ及びランダム
な正整数ｒを用いて楕円スカラー倍演算Ｑ＝ｒＰにより
生成していた。つまり部分群の生成元Ｐをスカラー倍し
たものはその部分群に必ず属するからである。Ｏを楕円
曲線上の有理点群の単位元とする楕円スカラー倍演算
は、従来においては楕円加算及び楕円２倍算により構成
される。この従来の手法による部分群のランダムな元の
生成処理手順を図５に、その機能構成を図６に示す。有
限体ＧＦ（ｐ）（ｐは素数）上で定義された楕円曲線上
の有理点群の目的と対応した部分群の元Ｐが知られてい
るとする。

【０００３】ステップＳ１：乱数生成部１１から乱数ｒ
∈ＧＦ（ｐ）を生成する。 ステップＳ２：２進展開部１２において、ｒ＝Σｒ_i ２
ⁱ なるｒの２進表現ｒ _i ∈｛０，１｝をｉ∈｛０，…，
［log₂ ｒ］｝に関して求める。Σはｉ＝０から［log₂
ｒ］までの総和、［Ａ］はＡ以下の最大の整数を表わ
す。 ステップＳ３：Ｑを単位元Ｏに、ｉを［log₂ ｒ］に初
期化する。 ステップＳ４：楕円２倍算部１３により、Ｑを楕円２倍
算して、その結果をＱとする。 ステップＳ５：ｒ_i ＝１であるかを調べ、 ステップＳ６：ｒ_i ＝１であれば楕円加算部１４でＱ＋
Ｐの楕円加算を行い、その結果をＱとする。 ステップＳ７：ステップＳ６の後又はステップＳ５でｒ
_i ＝１でなければｉ＝０であるかを調べる。 ステップＳ８：ステップＳ７でｉ＝０でなければｉを−
１してステップＳ４に戻る。 ステップＳ９：ステップＳ７でｉ＝０であればその時の
Ｑ＝ｒＰをランダムな元として出力する。

【０００４】なお図６中において制御部１５は各部を制
御して図５に示した処理を行う。また入力部１６、出力
部１７、動作用記憶部１８なども備える。単位元の楕円
２倍算と、単位元への楕円加算の演算コスト（以下単に
コストと記す）を０とすれば、上記の場合楕円スカラー
倍演算Ｑ←ｒＰは［log₂ ｒ］回の楕円２倍算と平均［l
og₂ ｒ］／２回の楕円加算とで構成される。一般に楕円
スカラー倍演算の平均演算コストは［log₂ ｒ］回の楕
円加算のコストにほぼ比例するとしても良い。部分群上
のランダムな点を求める為には、その部分群の位数をｑ
とするとｒはｒ∈｛０，…，ｑ−１｝のランダムな整数
となる。此の時楕円スカラー倍演算Ｑ←ｒＰの平均演算
コストは［log₂ ｑ］回の楕円加算のコストに比例して
大きくなる。

【０００５】

【発明が解決しようとする課題】システムが想定する部
分群の位数をｑとすると、従来の技術では部分群上のラ
ンダムな元を生成するのに［log₂ ｑ］回の楕円加算の
コストに比例する演算コストが必要であった。楕円曲線
を用いた公開鍵暗号やデジタル署名等の情報セキュリテ
ィ技術を実現する場合、情報セキュリティ技術の暗号学
的安全性はlog₂ｑに比例して大きくなると考えられてお
り、より大きな安全性を得るためには、log₂ ｑをより
大きくしなくてはならない。従ってこの明細書ではlog
₂ ｑをセキュリティパラメータと呼ぶ。例えば１６０ｂ
ｉｔの楕円曲線上で上記方法を用いて楕円スカラー倍演
算を行う為には、およそ８０回の楕円加算と１６０回の
楕円２倍算が必要であり、この部分の演算コスト（楕円
加算及び楕円２倍算合わせておよそ２４０回）が大きい
という問題点があった。

【０００６】

【課題を解決するための手段】この発明の一面によれば
楕円曲線上の有理点群のランダムな元Ｐを生成し、その
楕円曲線上の有理点群の位数ｓを目的と対応する、つま
りシステムが想定する部分群の位数ｑで割った値を１以
上の整数倍した値で、上記元Ｐを楕円スカラー倍して上
記部分群のランダムな元として出力する。楕円曲線上の
有理点群の位数をｓとする。楕円曲線上の有理点群が非
自明な部分群を持つとしその位数をｑとする。有限群の
性質によりｓはｑの倍数となり、ｓ＝ｑｃとすることが
出来る。正整数ｃを補助因子と呼ぶ。通常は暗号学的安
全性を確保するためにｑとして（例えば１６０ｂｉｔ以
上の）大きな素数が選ばれる。一方ｃはセキュリティパ
ラメタとは無関係に選ぶことが出来る。従ってｑとｃは
互いに素とすることが出来、またｃ<<ｑとすることが出
来る。

【０００７】ｑとｃが互いに素ならば楕円曲線上の有理
点群の任意の元Ｐに対して、Ｑ＝ｃＰなるＱは有限巡回
群の性質により必ず想定した位数ｑの部分群に含まれ
る。つまり上記この発明の一面により目的と対応した部
分群の元をランダムに生成できることになる。部分群上
の元Ｑ＝ｃＰを求める為のこの平均演算コストは［log
₂ ｃ］回の楕円加算コストに比例するとして良く、［lo
g₂ ｃ］<<［log₂ ｑ］となるように楕円曲線のパラメタ
を選んでおけば此の部分の演算コストは［log₂ ｑ］ｂ
ｉｔの楕円スカラー倍の演算コストと比べて無視するこ
とが出来る。従って、例えば楕円曲線上の有理点群のラ
ンダムな元Ｐが十分高速に計算できれば、［log₂ ｃ］<
<［log₂ ｑ］の場合に部分群上のランダムな元Ｑ＝ｃＰ
も高速に計算出来る。

【０００８】この発明の他面によれば、素数ｐの有限体
ＧＦ（ｐ）上で定義された楕円曲線上のｍ次拡大体ＧＦ
（ｐ^m)上の元Ｐをランダムに生成し、この元Ｐに対する
フロベニウス写像をφとして（φ−１）Ｐを演算し、そ
の結果を上記部分群上のランダムな元として出力する。
楕円曲線あるいは代数曲線上の有理点群の中には、特別
に少ない演算コストで実行できる自己準同型写像をもつ
ものがある。有限体ＧＦ（ｐ）上で定義された楕円曲線
をＥ／ＧＦ（ｐ）と表記する。Ｅ／ＧＦ（ｐ）上のｍ次
拡大体ＧＦ（ｐ ^m)上の有理点の集合をＥ（ＧＦ（ｐ^m)）
と表わす。このＥ（ＧＦ（ｐ^m)）に対して、以下のよう
なフロベニウス写像φを用いた演算を定義できる。Ｐ＝
（ｘ，ｙ）に対する自己準同型写像 φ：（ｘ，ｙ）→（ｘ^p ，ｙ^p) をフロベニウス写像と呼ぶ。フロベニウス写像φは、楕
円曲線上の自己準同型写像であり、一般に楕円加算など
と比べて少ない演算コストで実行できる。写像φ ⁱ は上
記フロベニウス写像φをｉ回（ｉは整数）適用する演算
で、

【数１】 である。一見写像φⁱ の演算コストはφの演算コストの
ｉ倍のように思えるが、通常、このｉ回分の計算をまと
めて行うことが可能で、φⁱ の演算コストをφの演算コ
ストと等しくすることが可能である。従ってφⁱ も一般
に楕円加算などと比べて少ない演算コストで実行でき
る。Ｅ／ＧＦ（ｐ）上のＧＦ（ｐ^m)有理点の集合Ｅ（Ｇ
Ｆ（ｐ^m)）は、定義によりＥ／ＧＦ（ｐ）上のＧＦ
（ｐ）有理点の集合Ｅ（ＧＦ（ｐ））を部分群に持つ。
Ｐ∈Ｅ（ＧＦ（ｐ））なるＥ（ＧＦ（ｐ^m)）の元Ｐ＝
（ｘ，ｙ）に対して、 φＰ＝（ｘ^p ，ｙ^p)＝（ｘ，ｙ）＝Ｐ が成立しており（ｘ^p mod ｐ＝ｘであるから）、逆にＥ
（ＧＦ（ｐ^m)）の元Ｐが φＰ＝Ｐ を満たすなら、Ｐ∈Ｅ（ＧＦ（ｐ））である。したがっ
て （φ−１）：Ｐ→φＰ−Ｐ なる写像（φ−１）によりＥ（ＧＦ（ｐ^m)）は Ｅ（ＧＦ（ｐ^m)）＝ker(φ−１）（＋）Ｉｍ（φ−１） のように直和分解できる。但しker(φ−１）は（φ−
１）Ｐ＝ＯなるＰの集合、即ちＥ（ＧＦ（ｐ））の事で
あり、Ｉｍ（φ−１）は、Ｅ（ＧＦ（ｐ^m)）の写像（φ
−１）による像、即ちＥ（ＧＦ（ｐ^m)）の元Ｐに対する
（φ−１）Ｐの集合である。従って、Ｉｍ（φ−１）を
システムの想定する群であるとするなら、演算φ−１に
よってＥ（ＧＦ（ｐ^m)）上の点を部分群Ｉｍ（φ−１）
上の点に写像することが出来る。演算φ−１の演算コス
トはおよそ楕円加算１回分の演算コストと見積もること
ができ、従って、例えば楕円曲線上の有理点群のランダ
ムな元Ｐが十分高速に計算できれば、部分群上のランダ
ムな元Ｑ＝（φ−１）Ｐも高速に計算できる。

【０００９】

【発明の実施の形態】第１実施形態 図１にこの発明の第１実施形態の機能構成を示し、図２
にその処理手順を示す。ランダム元生成部２０で楕円曲
線上の有理点群の元Ｐをランダムに生成する（Ｓ１）。
楕円曲線上の有理点群の位数ｓを、上記楕円曲線上の有
理点群上のシステム（例えば暗号方式）が想定している
部分群の位数ｑで割った値ｃを予め求めておき、つまり
この値ｃはシステムにより自動的に決る値である。ただ
しｃとｑは互いに素となるようにｓとｑを選んでおく。
楕円スカラー倍演算部３０でランダム元生成部２０より
の元Ｐをｃの値で楕円スカラー倍し、その結果ｃＰを求
めるランダム元Ｑとして出力する。

【００１０】この楕円スカラー倍演算は、例えば図６に
示した構成により、図５に示した手順と同様な処理を行
えばよい。従って、楕円スカラー倍演算部３０は、図６
に示した構成と同様に例えば２進展開部３２、楕円２倍
演算部３３、楕円加算部３４、制御部３５、入力部３
６、出力部３７、記憶部３８などを備える。ランダム元
生成部２０は楕円曲線上の有理点群のランダムな元Ｐを
確率的に発見するための演算を行う。ａ_i(ｉ＝１，２，
３，４，６）を有限体ＧＦ（ｐ）上の定数として楕円曲
線の定義方程式が次式であるとする。 ｙ² ＋ａ₁ ｙ＋ａ₃ ＝ｘ³ ＋ａ₂ ｘ² ＋ａ₄ ｘ＋ａ₆ （１） この時、ランダム元生成部２０は例えば図１中に示すよ
うに乱数生成部２１、方程式演算部２２、方程式解演算
部２３、１／２確率選択部２４、制御部２５、入力部２
６、出力部２７、記憶部２８を備え、例えば図３に示す
ような手順でランダム元Ｐの生成処理を行う。

【００１１】ステップＳ１：有限体ＧＦ（ｐ）上のラン
ダムな元ｘ₁ を乱数生成部２１により生成する。 ステップＳ２：その生成した元ｘ₁ を式（１）のｘに代
入して式（１）の右辺を方程式演算部２２で計算し、そ
の結果ｔを得る。 ステップＳ３：ｙに関する２次方程式ｙ² ＋ａ₁ ｙ＋ａ
₃ −ｔ＝０の解を方程式解演算部２３で計算する。 ステップＳ４：ｙが有限体ＧＦ（ｐ）上に解を持つか否
かを調べ、もたない場合ステップＳ１に戻る。 ステップＳ５：ｙが有限体上に唯一の解ｙ₁ を持つか否
かを調べ、 ステツプＳ６：唯一の解ｙ₁ の場合は１／２の確率でス
テップＳ１へ、１／２の確率でｙ₁ をｙとする。つまり
例えば１／２確率選択部２４に０と１をランダムに発生
させ（Ｓ６−１）、０ならステップＳ１に戻り（Ｓ６−
２）、１ならｙ ₁ をｙにし、ｘ₁ をｘとしてＰ＝（ｘ，
ｙ）を出力する（Ｓ６−３）。 ステップＳ７：ステップＳ５でｙが有限体上に２つの解
ｙ₁ ，ｙ₂ を持つと判定されると、１／２の確率でｙ₁
をｙとし、１／２の確率でｙ₂ をｙとする。つまり１／
２選択部２４で０と１をランダムに発生し（Ｓ７−
１）、それが１であれば（Ｓ７−２）、ｘ₁ をｘとし、
ｙ₁ をｙとしてＰ＝（ｘ，ｙ）を出力し（Ｓ７−３）、
０であれば、ｘ₁ をｘとし、ｙ₂ をｙとしてＰ＝（ｘ，
ｙ）を出力する（Ｓ７−４）。

【００１２】制御部２５は各部を制御し、必要に応じて
記憶部２８を用い、図３に示した処理を実行させる。通
常ランダムなｘ座標に対して楕円曲線の定義方程式
（１）を満たすｙが存在する確率はおよそ１／２であ
り、通常ｙの存在を確認するための平均演算コストは、
例えば平方剰余記号の平均演算コストとして見積もるこ
とが出来、十分小さいとして良い。従って楕円曲線の定
義方程式を満たすランダムな元Ｐ＝（ｘ，ｙ）を求める
演算の平均演算コストは、有限体上で２次方程式を解く
平均演算コスト１回分であるとすることが出来る。有限
体上で２次方程式を解く平均演算コストは有限体上の指
数関数１回分の平均演算コストと見積もることができ
る。楕円スカラー倍演算は有限体ＧＦ（ｐ^m)上の演算で
行われ、これは［log₂ ｑ］ｂｉｔであるから、前記２
次方程式を解く平均演算コストは楕円演算に換算して楕
円スカラー倍より１／１０程度あるいはそれより少ない
として良いことになる。

【００１３】以上の説明から理解されるように、第１実
施形態によれば、ランダム生成部２０でのランダム元Ｐ
の生成を高速に行うことができ、また課題を解決するた
めの手段の項で述べたようにＰのｃ倍楕円スカラー演算
のコストは［log₂ ｃ］程度であり、従来のランダム元
生成演算コスト［log₂ ｑ］と比較して十分小さくする
ことができる。なお、部分群の元をスカラー倍したもの
はその部分群の元となるからＰをｃだけ楕円スカラー倍
する場合に限らず、ｃの２以上の整数倍した値をＰに対
し楕円スカラー倍してもよい。つまりＰをｃの１以上の
整数値を楕円スカラー倍してもよい。ただ演算コストの
面からはスカラー倍する、スカラー値は小さい方がよ
い。図１中の制御部２５と３５を、入力部２６と３６
を、出力部２７と３７を、記憶部２８と２９をそれぞれ
一つを共通に使用するようにしてもよい。

【００１４】第２実施形態 図４にこの発明の第２実施形態を示す。ランダム元生成
部４０において、有限体ＧＦ（ｐ）上で定義された楕円
曲線上のｍ次拡大体ＧＦ（ｐ^m)上の有理点群の元Ｐをラ
ンダムに生成する。ランダム元生成部４０における楕円
曲線上のランダムな元Ｐの生成は、図１中のランダム元
生成部２０と同様な手法で生成すればよい。この場合、
乱数ｘ₁ として有限体ＧＦ（ｐ^m)の元をランダムに発生
させ、この乱数ｘ₁ を式（１）の定義式のｘに代入し
て、ｙの２次方程式を解いて求める。このようにして生
成された、楕円曲線上のＧＦ（ｐ^m)上有理点群のランダ
ムな元Ｐは（φ−１）倍演算部５０で（φ−１）倍さ
れ、その結果は想定する部分群のランダムな元Ｑとして
出力される。

【００１５】この構成によれば、ランダム元生成部４０
におけるランダム元Ｐの生成演算コストは、ランダム元
生成部２０のランダム元Ｐの生成と同様に、楕円演算換
算で従来の楕円スカラー倍方法より１０倍程度以上高速
に行うことができ、（φ−１）倍演算は先に述べたよう
に楕円加算１回分の演算コストと見積もることができ、
結果として、高速にランダムな元Ｑを求めることができ
る。図１及び図４に示した各装置は、コンピュータによ
りプログラムを実行させて機能させることもできる。こ
の場合は、そのコンピュータに、図１又は図４に示した
装置としてコンピュータを機能させるための楕円曲線上
の有理点群の部分群の元生成プログラムを、ＣＤ−ＲＯ
Ｍ、可撓性磁気ディスクなどの記録媒体からインストー
ルさせ、あるいは通信回線を介してダウンロードさせ
て、このコンピュータに実行させればよい。

【００１６】

【発明の効果】以上述べたようにこの発明によれば従来
の装置よりも、少ない演算コストで目的と対応する部分
群上の元をランダムに生成することができる。例えば楕
円定義体ＧＦ（ｐ）のｐを２¹⁴−３、つまり式（１）の
各係数ａ_i をＧＦ（ｐ）より選び、式（１）のｘ，ｙは
拡大体ＧＦ（ｐ¹³）上の元とし、つまりｑを約１６０ｂ
ｉｔとした場合、従来装置によれば、楕円加算及び楕円
２倍算が合計約２４０回必要であったが、第１実施形態
によれば、合計２１回、第２実施形態によれば１回に削
減され、従って楕円曲線上のランダムな元Ｐを生成する
演算コストを約楕円演算換算で約２４回と見積もって
も、この発明によれば、部分群上のランダム元の生成に
必要な演算コストは従来装置の約１／５〜１／１０にす
ることができる。

【図面の簡単な説明】

【図１】この発明の第１実施形態の機能構成例を示す
図。

【図２】図１に示した装置の処理手順を示す流れ図。

【図３】図１中のランダム元生成部２０における処理手
順の例を示す流れ図。

【図４】この発明の第２実施形態の機能構成例を示す
図。

【図５】従来の部分群のランダム元生成方法の手順の例
を示す図。

【図６】従来のランダム元生成装置の機能構成を示す
図。

フロントページの続き (72)発明者 小黒 博昭 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 Ｆターム(参考） 5J104 AA18 JA25 NA08 NA18

Claims (5)

【特許請求の範囲】
1. 【請求項１】 楕円曲線上の有理点群の目的と対応する
   部分群の元をランダムに生成する装置において、 上記楕円曲線上の有理点群のランダムな元Ｐを生成する
   元生成手段と、 上記楕円曲線上の有理点群の位数を上記部分群の位数で
   割った値の１以上の整数倍値で上記元Ｐを楕円スカラー
   倍して上記部分群の元を出力する楕円スカラー倍演算手
   段と、 を具備することを特徴とする楕円曲線上の有理点群の部
   分群の元生成装置。
2. 【請求項２】 楕円曲線上の有理点群の目的と対応する
   部分群の元をランダムに生成する装置において、 素数ｐの有限体ＧＦ（ｐ）上で定義された上記楕円曲線
   上のｍ次拡大体ＧＦ（ｐ^m)上の元Ｐをランダムに生成す
   る元生成手段と、 上記元Ｐに対するフロベニウス写像φとして、（φ−
   １）Ｐを演算し、その結果を上記部分群上の元Ｑとして
   出力する（φ−１）倍演算手段と、 を具備する楕円曲線上の有理点群の部分群の元生成装
   置。
3. 【請求項３】 楕円曲線上の有理点群の目的と対応する
   部分群の元をランダムに生成する装置において、 上記楕円曲線上の有理点群の元Ｐをランダムに生成する
   元生成手段と、 上記元Ｐと、これに対する自己準同型写像を入力して上
   記部分群上の元Ｑを出力する手段と、 を具備する楕円曲線上の有理点群の部分群上の元生成装
   置。
4. 【請求項４】 請求項１〜３の何れかに記載の元生成装
   置として、コンピュータを機能させるための楕円曲線上
   の有理点群の部分群の元生成プログラム。
5. 【請求項５】 請求項４記載の楕円曲線上の有理点群の
   部分群の元生成プログラムを記録したコンピュータ読み
   取り可能な記録媒体。