JP2003309551A - 暗号鍵保管装置 - Google Patents

Abstract

(57)【要約】 【課題】ＩＣカード等に記憶容量が少ない短いビット長
の秘密鍵の一部のみを記録し、少ない演算量で、記録し
たビット長よりも長い秘密鍵を生成する。 【解決手段】ｌを２以上の正の整数とし、ｐ₁,ｐ₂,・・
・,ｐ_lを素数とし、φ＝（ｐ₁−１）×（ｐ₂−１）×・
・・×（ｐ_l−１）とし、ｅ,ｄをｅｄ≡１modφを満た
す正の整数とし、Σ_i=1 ^l|ｐ_i|＋|ｅ|ビットの長さを持
つ記憶領域を用意する場合において、 Σ_i=1 ^l|ｐ_i|＋|
ｅ|ビットの記憶領域にｐ₁,ｐ₂,・・・,ｐ_l,ｅをそれぞ
れ記憶し、外部から暗号鍵取り出しの要求を受けた場
合、ｐ₁,ｐ₂,・・・,ｐ_lを記憶部から取り出し、算術演
算部を用いてφ＝（ｐ₁−１）×（ｐ₂−１）×・・・×
（ｐ_l−１）を計算し、上記で計算されたφと、記憶部
から取り出したｅを用いてｅｄ≡１modφを満たすｄを
計算し、秘密鍵ｐ₁,ｐ₂,・・・,ｐ_lおよびｄを返却す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、主に暗号技術で用
いられる暗号鍵の保管処理に関するものである。

【０００２】

【従来の技術】ネットワーク上では通信相手が物理的に
見えないため、通信相手が誰であるかを特定する相手認
証が必要となる。その実現手段の一つとして、暗号技術
を用いたディジタル署名技術が有効である。ディジタル
署名は、公開鍵暗号によって実現される。署名生成用鍵
と署名検証用鍵とが異なっており、通常は署名検証用鍵
を一般に公開し、署名生成用鍵は当該所有者が秘密に保
持する。公開される署名検証用鍵から署名生成用鍵を求
めることは、鍵の長さをある程度大きくすれば、現在の
数学的理論および計算機の計算能力をもってしても現実
的な時間には完了しないものと信じられている。

【０００３】上記性質をもつ公開鍵暗号の具体的な実現
にはいくつかの方法があるが、最も有名な方法としてＲ
ＳＡ方式がある。ＲＳＡ方式ははじめての公開鍵暗号と
して１９７７年に発表されたもので、素因数分解の困難
性を安全性の根拠にしている（岡本、山本、「現代暗
号」、産業図書、P.110、1997を参照）。素因数分解の
困難性とは、素数ｐとｑがあった場合、乗算ｎ＝ｐｑを
行うことは簡単であるが、逆にｎからｐとｑを求めるこ
とは難しいことをいう。ｎの桁数が大きくなるにつれて
必要な計算時間は増大し、例えば、６４桁と６５桁の素
数の乗算結果である１２９桁の数を素因数分解するため
に、１９９４年に６００台の計算機を８カ月用いたこと
が報告されている（岡本、太田「暗号・ゼロ知識証明・
数論」、共立出版、p.150、1995を参照）。他には離散
対数問題の困難性に基づく公開鍵暗号も提案されている
が、扱いが簡単であることから素因数分解の困難性に基
づく公開鍵暗号がもっとも利用されており、その中でも
ＲＳＡ方式がもっとも多く利用されている。

【０００４】以後、署名生成用鍵を秘密鍵といい、署名
検証用鍵を公開鍵という。ＲＳＡ方式では、素数ｐとｑ
を用意し、ｎ＝ｐｑを計算する。またφ＝（ｐ−１）
（ｑ−１）を計算して、ｅｄ≡１ modφを満たす正の整
数ｅ,ｄを計算する。公開鍵はｎ,ｅであり、秘密鍵は
ｐ,ｑ,ｄを含んだもの、あるいはｎ,ｄを含んだもので
ある。秘密鍵は、所有者が秘密に保持している。署名生
成を行う場合、署名対象メッセージＭに対して、秘密鍵
ｎ,ｄを用いてＳ＝Ｍ^d modｎを計算する。秘密鍵として
ｐ,ｑ,ｄを保持している場合、ｎ＝ｐｑを計算してＳ＝
Ｍ^d modｎを計算してもよいし、また中国剰余定理を用
いて、Ｍ^d modｐ, Ｍ^d modｑからＭ^d modｎを構成して
もよい。このＳが署名であり、ＭおよびＳを受信相手に
送信する。受信者は、公開鍵ｎ,ｅを用いてＳ^emodｎを
計算する。これがＭと等しければ署名Ｓが正しいことを
知る。もし等しくなければ、ＳはＭの署名ではない。

【０００５】この署名技術を用いて、相手認証を実現す
ることができる。通信相手がＺであることを確認する場
合、まず乱数Ｒを生成して、通信相手にＲを送信すると
同時に、このＲに対してディジタル署名を生成するよう
に要求する。通信相手が結果Ｔを返してきたら、Ｚの公
開鍵を用いてＴを検証する。もしも検証が正しければ、
通信相手はＺの秘密鍵を持っていることがわかり、それ
は通信相手がＺであることを意味している(Bruce Schne
ier,「Applied Cryptography」,2nd edition,John-Wile
y and Sons, p.52, 1996を参照)。変数ａに対して、そ
のビット長を|ａ|で表す。通常、「ｔビットＲＳＡ方
式」と呼ばれる時には、|ｎ|＝ｔである。また、|ｐ|と
|ｑ|はｔの半分程度である場合がほとんどである。これ
は、ｎの素因数分解を困難にするためである。ｅ,ｄは
ｅｄ≡１modφを満たす正の整数であるが、式１つに対
して変数が２つあるため、ｅ,ｄのどちらか一方の値を
適当に定め、その後にもう一方の値を決定することにな
る。ｅは公開鍵であることから、特に長さがｔであるこ
とを必要としない。現実には、ｔに比べて非常に小さい
ビット数を選択している。このｅに対して、ｅｄ≡１mo
dφを満たす正の整数ｄはφ−１以下で一意に決定でき
る。通常、|ｄ|はｔ付近になることが多い。さて、公開
鍵暗号においては、前述の通り、秘密鍵は所有者のみが
保持していいることを前提に正しく利用できる。したが
って、秘密鍵は他人に知られないように注意深く保管さ
れなければならない。

【０００６】ＩＣカードは、そのような保管に用いられ
る媒体として広く利用されつつある。コンピュータのハ
ードディスクなどと異なり、他人がＩＣカード内部の内
容を読み取ることが困難であるためである。これによ
り、システム全体の安全性を高めており、今後多くの利
用が予想される。ところでこのような方法で秘密鍵を保
管する場合、次のような問題点があった。すなわち、Ｉ
Ｃカードには記憶容量の点で、コンピュータ機器と比べ
て著しく制限がある。また素因数分解アルゴリズムの発
展やコンピュータパワーの増大にともない、安全とされ
る鍵長は増大している。そのため、ＩＣカードの中の記
憶部に秘密鍵が収まらない場合が生じる。

【０００７】

【発明が解決しようとする課題】本発明はこのような背
景のもとになされたものであり、ＲＳＡ方式の秘密鍵の
うち一部のみを記憶することにより記憶容量を減らし、
秘密鍵が必要な際に足りない秘密鍵部分を再度計算する
ものである。再計算部分の処理量は、剰余乗算十数回分
に相当し、署名生成に要する時間の数十分の一から数百
分の一程度であり、処理全体の時間にほとんど影響を与
えない。

【０００８】

【課題を解決するための手段】上記課題を解決するため
に、本発明は、ｌを２以上の正の整数とし、ｐ₁,ｐ₂,・
・・,ｐ_lを素数とし、φ＝（ｐ₁−１）×（ｐ₂−１）×
・・・×（ｐ_l−１）とし、ｅおよびｄを、ｅｄ≡１mod
φを満たす正の整数とする。秘密鍵は、ｐ₁,ｐ₂,・・
・,ｐ_l,ｄであり、公開鍵は、ｎ＝ｐ₁×ｐ₂×・・・×
ｐ_l,ｅである。記憶部には、ｐ₁,ｐ₂,・・・,ｐ_l,ｅを
保存しておく。鍵の取り出し要求があった場合、まずｐ
₁,ｐ₂,・・・,ｐ_lを記憶部から取り出し、次にφ＝（ｐ
₁−１）×（ｐ₂−１）×・・・×（ｐ_l−１）を計算す
る。続いて記憶部から取り出したｅを用いて、ｅｄ≡１
modφを満たすｄを計算する。これで秘密鍵は揃ったの
で、ｐ₁,ｐ₂,・・・,ｐ_lおよびｄを通信部を通して外部
へ返却する。通常、ＲＳＡ方式を用いる場合、前述の通
り|ｅ|＜|ｄ|であることがほとんどのため、記憶領域が
|ｄ|−|ｅ|ビット節約される。

【０００９】

【発明の実施の形態】以下、図を用いて本発明に基づく
実施例を説明する。図１は、本発明の実施例を示す暗号
鍵保管装置の構成図である。通信部は他装置との情報送
受信に用いられ、暗号鍵取り出し要求を受け付けたり、
結果である暗号鍵を出力する箇所である。記憶部は、暗
号鍵の保管を行なう。算術演算部は多倍長整数の乗算や
剰余乗算などを行い足らない秘密鍵部分を計算する箇所
である。制御部はこれら各部を制御する箇所である。

【００１０】図２は、暗号鍵保管装置の暗号鍵取り出し
要求に対する手順を示すフローチャートである。(S0)記
憶部には、ｐ₁,ｐ₂,・・・,ｐ_l,ｅを保存しておく。(S
1)通信部は鍵の取り出し要求を受け付けた場合、まず(S
2)ｐ₁,ｐ₂,・・・,ｐ_lを記憶部から取り出し、算術演算
部はφ＝（ｐ₁−１）×（ｐ₂−１）×・・・×（ｐ_l−
１）を計算する。続いて(S3)記憶部から取り出したｅを
用いて、算術演算部はｅｄ≡１modφを満たすｄを計算
する。(S4)これで秘密鍵は揃ったので、ｐ₁,ｐ₂,・・
・,ｐ_lおよびｄを通信部を通して外部へ返却する。

【００１１】具体的な例として、１０２４ビットＲＳＡ
方式の場合を考える。素数を２つ使用するものとし、ｌ
＝２とする。２つの素数ｐ₁，ｐ₂を生成し、ｎ＝ｐ₁ｐ₂
とすれば|ｎ|＝１０２４である。通常、|ｐ₁|,|ｐ₂|は
ほとんど同じ値を取るように選ぶ。以下、|ｐ₁|＝|ｐ₂|
＝５１２であるとする。φ＝（ｐ₁−１）（ｐ₂−１）を
計算し、正の整数ｅとして、（ｅ,φ）＝１を満足す
る、すなわちｅとφが互いに素であるものを選択する。
このｅに関する条件は、ｅｄ≡１modφとなる正の整数
ｄが存在するためのものである（高木、「初等整数論講
義」、第二版、共立出版、p.29、1971を参照。）。ｅの
値は公開されているものであるから、とくに１０２４ビ
ットの長さを必要としない。署名検証時においては、ｅ
は冪乗計算の指数に使われるものであり、冪乗計算は指
数のビット長が大きければ大きいほど時間がかかり、ま
た、指数を二進数展開したときに１を多く含めば含むほ
ど時間がかかる。したがって、ｅとして（ｅ,φ）＝１
を満たし、なおかつビットの長さが短く、さらに二進数
展開したときに０を多く含むように選択することで、署
名検証にかかる処理時間を短くすることができる。実際
の利用ではｅの値として６５５３７が選ばれることがほ
とんどである。この値は１７ビットであって１０２４ビ
ットに比べて格段に小さく、かつ２¹⁶＋１であることか
ら、二進数展開したときに１はほとんど含まない。本例
では（６５５３７,φ）＝１を満足するものとし、ｅと
して６５５３７を選択するもとのする。得られたｐ₁,ｐ
₂とｅを、記憶部へ格納する。ここで必要な記憶容量
は、|ｐ₁|＝|ｐ₂|＝５１２と|ｅ|＝１７であるから、５
１２＋５１２＋１７＝１０４１ビットですむことに注意
する。

【００１２】（例１）鍵の取り出し要求があった場合、
記憶部からｐ₁,ｐ₂を読み出してくる。読み出した後、
φ＝（ｐ₁−１）（ｐ₂−１）を計算し、続いてｅを読み
出してｅｄ≡１modφを満たす正の整数ｄを計算する。
この計算は、|φ|ビット乗余演算十数回程度の処理量で
あって、ほとんど無視できる（計算方法については、高
木、「初等整数論講義」、第二版、共立出版、p.28、19
71を参照。）。最後に、ｐ₁,ｐ₂およびｄを要求に対し
て返却する。ＲＳＡ方式での署名生成には、ｐ₁,ｐ₂,ｄ
があれば署名生成が行えるので、ｐ₁,ｐ₂,ｄを返却する
ことで問題はない。ここで、秘密鍵ｐ₁,ｐ₂,ｄをそのま
ま記憶していた場合、ｄは通常１０２４ビット相当の大
きさを持つので、|ｐ₁|＋|ｐ₂|＋|ｄ|は、おおよそ２０
４８ビット程度になり、先に見積もった１０４１ビット
に比べて２倍弱大きいことになる。

【００１３】（例２）やはり１０２４ビットＲＳＡ方式
の場合を考える。素数を２つ使用する場合とし、ｌ＝２
とする。前述の例と同様に２つの素数ｐ₁,ｐ₂を生成
し、ｅとして６５５３７を選択し、ｐ₁,ｐ₂,ｅを記憶す
る。鍵の取り出し要求があった場合、記憶部からｐ₁,ｐ
₂とｅを読み出し、前述の例と同様にｄを計算する。こ
こで、さらにｎ＝ｐ₁,ｐ₂を計算し、ｎとｄを要求に対
して返却する。ＲＳＡ方式での署名生成にはｎ,ｄがあ
れば署名生成が行なえるのでｎ,ｄを返却することで問
題はない。ＲＳＡの鍵表現方法としては、ＰＫＣＳ(Pub
lic-key cryptographystandards)＃１方式が事実上の標
準であるが、そのＰＫＣＳ＃１ではＲＳＡ秘密鍵として
ｎも含まれているため、他の装置がｎを必要とする場合
では、このようにｎを返却に含める。ここで必要な記憶
容量は、|ｐ₁|＝|ｐ₂|＝５１２と|ｅ|＝１７であるか
ら、５１２＋５１２＋１７＝１０４１ビットですむこと
に注意する。

【００１４】（例３）やはり１０２４ビットＲＳＡ方式
の場合を考える。素数を２つ使用する場合とし、ｌ＝２
とする。前述の例と同様に２つの素数ｐ₁,ｐ₂を生成
し、ｅとして６５５３７を選択し、ｐ₁,ｐ₂,ｎ（＝ｐ₁
ｐ₂）,ｅを記憶する。前述の例に比べ、記憶容量は|ｎ|
＝１０２４ビット増加するが、ｎの再計算が必要無くな
るため、高速に処理できる。

【００１５】（例４）やはり１０２４ビットＲＳＡ方式
の場合を考える。素数を２つ使用する場合とし、ｌ＝２
とする。ここでは、ｅをシステム固有の値と仮定し、本
例では６５５３７とする。前述の例と同様に二つの素数
ｐ₁,ｐ₂を生成するが、φ＝（ｐ₁−１）（ｐ₂−１）を
計算して、このφがｅと互いに素であるように生成す
る。このようにｐ₁,ｐ₂を生成することにより、ｅｄ≡
１modφを満たす正の整数ｄが計算できる。得られた
ｐ₁,ｐ₂を記憶部へ格納する。ここで必要な記憶容量
は、|ｐ₁|＝|ｐ₂|＝５１２であるから、５１２＋５１２
＝１０２４ビットですむことに注意する。鍵の取り出し
要求があった場合、記憶部からｐ₁,ｐ₂を読み出してく
る。読み出した後、φ＝（ｐ₁−１）（ｐ₂−１）を計算
し、システム固有の値ｅ＝６５５３７を用いてｅｄ≡１
modφを満たす正の整数ｄを計算する。最後に、ｐ₁,ｐ₂
およびｄを要求に対して返却する。

【００１６】（例５）やはり１０２４ビットＲＳＡ方式
の場合を考える。素数を２つ使用する場合とし、ｌ＝２
とする。ｅはシステム固有の６５５３７とし、前述の例
と同様にｄが存在するように２つの素数ｐ₁,ｐ₂を生成
し、ｐ₁,ｐ₂を記憶する。鍵の取り出し要求があった場
合、記憶部からｐ₁,ｐ₂を読み出し、前述の例と同様に
ｄを計算する。ここで、さらにｎ＝ｐ₁ｐ₂を計算し、ｎ
とｄを要求に対して返却する。ＲＳＡ方式での署名生成
にはｎ,ｄがあれば署名生成が行えるので、ｎ,ｄを返却
することで問題はない。ＲＳＡの鍵表現方法としては、
ＰＫＣＳ＃１方式が事実上の標準であるが、そのＰＫＣ
Ｓ＃１ではＲＳＡ秘密鍵としてｎも含まれているため、
他の装置がｎを必要とする場合では、このようにｎを返
却に含める。ここで必要な記憶容量は、|ｐ₁|＝|ｐ₂|＝
５１２と|ｅ|＝１７であるから、５１２＋５１２＝１０
２４ビットですむことに注意する。

【００１７】（例６）やはり１０２４ビットＲＳＡ方式
の場合を考える。素数を２つ使用する場合とし、ｌ＝２
とする。ｅはシステム固有の値である６５５３７とし、
前述の例と同様にｄが存在するように２つの素数ｐ₁,ｐ
₂を生成し、ｐ₁,ｐ₂,ｎ（＝ｐ₁ｐ₂）を記憶する。前述
の例と比べ、記憶容量は、|ｎ|＝１０２４ビット増加す
るが、ｎの再計算が必要無くなるため、高速に処理でき
る。

【００１８】

【発明の効果】以上のように、本発明は、主に暗号技術
で用いられる暗号鍵の保管処理に関するものであり、暗
号鍵取り出しの際に必要な情報を再計算させることによ
り、ＩＣカード等の使用記憶領域を削減したものであ
る。

【図面の簡単な説明】

【図１】本発明の暗号鍵保管装置の構成図。

【図２】本発明の暗号鍵保管装置の暗号鍵取り出し要求
に対する手順を示すフローチャート。

Claims (6)

【特許請求の範囲】
1. 【請求項１】記憶部、算術演算部、通信部、これら各部
   を制御する制御部からなる暗号鍵保管装置であって、 ｌを２以上の正の整数とし、ｐ₁,ｐ₂,・・・,ｐ_lを素数
   とし、φ＝（ｐ₁−１）×（ｐ₂−１）×・・・×（ｐ_l
   −１）とし、ｅ,ｄをｅｄ≡１modφを満たす正の整数と
   し、Σ_i=1 ^l|ｐ_i|＋|ｅ|ビットの長さを持つ記憶領域を
   記憶部に用意する場合、Σ_i=1 ^l|ｐ_i|＋|ｅ|ビットの記
   憶領域にｐ₁,ｐ₂,・・・,ｐ_l,ｅをそれぞれ記憶する手
   段と、 外部から通信部を通して暗号鍵取り出し要求を受け付け
   た場合、ｐ₁,ｐ₂,・・・,ｐ_lを記憶部から取り出し、算
   術演算部を用いてφ＝（ｐ₁−１）×（ｐ₂−１）×・・
   ・×（ｐ_l−１）を計算する手段と、 上記で計算されたφと、記憶部から取り出したｅを用い
   てｅｄ≡１modφを満たすｄを計算する手段と、 秘密鍵ｐ₁,ｐ₂,・・・,ｐ_lおよびｄを通信部を通して外
   部へ返却する手段と、を備えたことを特徴とする暗号鍵
   保管装置。
2. 【請求項２】請求項１に記載の暗号鍵保管装置におい
   て、 算術演算部を用いてｎ＝ｐ₁×ｐ₂×・・・×ｐ_lを計算
   してｄと共にｎを通信部を通して外部へ返却する手段を
   備えたことを特徴とする暗号鍵保管装置。
3. 【請求項３】請求項２に記載の暗号鍵保管装置におい
   て、 Σ_i=1 ^l|ｐ_i|＋|ｎ|＋|ｅ|ビットの長さを持つ記憶領域
   を記憶部に用意する場合、Σ_i=1 ^l|ｐ_i|＋|ｎ|＋|ｅ|ビ
   ットの記憶領域にｐ₁,ｐ₂,・・・,ｐ_l,ｎ,ｅをそれぞれ
   記憶する手段を備えたことを特徴とする暗号鍵保管装
   置。
4. 【請求項４】記憶部、算術演算部、通信部、これら各部
   を制御する制御部からなる暗号鍵保管装置であって、 ｌを２以上の正の整数とし、ｅを３以上の奇数とし、ｐ
   ₁,ｐ₂,・・・,ｐ_lを、φ＝（ｐ₁−１）×（ｐ₂−１）×
   ・・・×（ｐ_l−１）がｅと互いに素となるような素数
   とし、ｄを、ｅｄ≡１modφを満たす正の整数とし、Σ
   _i=1 ^l|ｐ_i|ビットの長さを持つ記憶領域を記憶部に用意
   する場合、 Σ_i=1 ^l|ｐ_i|ビットの記憶領域にｐ₁,ｐ₂,・
   ・・,ｐ_lをそれぞれ記憶する手段と、 外部から通信部を通して暗号鍵取り出し要求を受け付け
   た場合、ｐ₁,ｐ₂,・・・,ｐ_lを記憶部から取り出し、算
   術演算部を用いてφ＝（ｐ₁−１）×（ｐ₂−１）×・・
   ・×（ｐ_l−１）を計算する手段と、 上記で計算されたφを用いてｅｄ≡１modφを満たすｄ
   を計算する手段と、 秘密鍵ｐ₁,ｐ₂,・・・,ｐ_lおよびｄを通信部を通して外
   部へ返却する手段と、を備えたことを特徴とする暗号鍵
   保管装置。
5. 【請求項５】請求項４に記載の暗号鍵保管装置におい
   て、 算術演算部を用いてｎ＝ｐ₁×ｐ₂×・・・×ｐ_lを計算
   してｄと共にｎを通信部を通して外部へ返却する手段を
   備えたことを特徴とする暗号鍵保管装置。
6. 【請求項６】請求項５に記載の暗号鍵保管装置におい
   て、 Σ_i=1 ^l|ｐ_i|＋|ｎ|ビットの長さを持つ記憶領域を記憶
   部に用意する場合、Σ_i=1 ^l|ｐ_i|＋|ｎ|ビットの記憶領
   域にｐ₁,ｐ₂,・・・,ｐ_l,ｎをそれぞれ記憶する手段を
   備えたことを特徴とする暗号鍵保管装置。