JP2004163687A

JP2004163687A - Device and program for elliptic curve ciphering

Info

Publication number: JP2004163687A
Application number: JP2002329857A
Authority: JP
Inventors: Tetsuya Izu; 哲也伊豆; Takeshi Takagi; 剛高木
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2002-11-13
Filing date: 2002-11-13
Publication date: 2004-06-10

Abstract

<P>PROBLEM TO BE SOLVED: To enhance resistance properties of elliptic curve ciphering to power analysis attack. <P>SOLUTION: When i=1, scalar multiplication of r1×P is performed, and when i=2, scalar multiplication of r2×P is performed. When i=s, scalar multiplication of rs×P is performed, and when i=s+1, scalar multiplication of (d-r1-r2...-rs)×P is performed. By performing elliptic addition ECADD of the points obtained by s+1 scalar multiplications, scalar multiplication of d×P can be obtained. By individually performing scalar multiplication using random numbers, the resistance properties of elliptic curve ciphering to power analysis attack can be enhanced. <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は、楕円曲線暗号装置、楕円曲線暗号プログラム及び楕円曲線暗号演算方法に関する。
【０００２】
【従来の技術】
暗号方式は、共通鍵暗号方式と公開鍵暗号方式に大別される。共通鍵暗号方式と呼ばれるものは、暗号化と復号で同一の鍵（秘密鍵）を用いる方式であり、この秘密鍵を送信者と受信者以外の第三者にわからない情報とすることで安全性を保つ方式である。
【０００３】
公開鍵暗号方式とは、暗号化と復号で異なる鍵を用いる方式であり、暗号化を行うための鍵（公開鍵）を一般に公開する代わりに、暗号文を復号するための鍵（秘密鍵）を受信者のみの秘密情報とすることで安全性を保つ方式である。公開鍵暗号としてＲＳＡ暗号、楕円曲線暗号などが知られている。
【０００４】
楕円曲線暗号の例として、ＥＣＥＳ暗号プリミティブを説明する。送信者Ａは秘密鍵ｓ（ｓは整数）を持ち、受信者Ｂが秘密鍵ｔ（ｔは整数）を持つ場合に、楕円曲線Ｅと、楕円曲線Ｅ上に設定されるベースポイントＰ（ｘ，ｙ）と、公開鍵ｓ×Ｐ（送信者Ａの秘密鍵ｓとベースポイントＰとのスカラー倍算）と、公開鍵ｔ×Ｐ（受信者Ｂの秘密鍵ｔとベースポイントＰとのスカラー倍算）があらかじめ公開されている。このとき送信者Ａは、自分の秘密鍵ｓと、受信者Ｂの公開鍵ｔ×Ｐとのスカラー倍算ｓ×（ｔ×Ｐ）を計算し、そのｘ座標のビット表現を求め、このビット表現とメッセージのビット表現との間でビット対応のＥＯＲ演算を施すことで、メッセージｍに対する暗号文Ｃを生成し、それを受信者Ｂに送信する。受信者Ｂは、自分の秘密鍵ｔと、送信者Ａの公開鍵ｓ×Ｐとのスカラー倍算ｔ×（ｓ×Ｐ）を計算し、そのｘ座標のビット表現を求める。そして、”ｓ×（ｔ×Ｐ）＝ｔ×（ｓ×Ｐ）”という関係式が成立することを考慮して、そのビット表現と暗号文Ｃのビット表現との間でビット対応のＥＯＲ演算を施すことで、暗号文Ｃを復号しメッセージｍを得る。このようにして、ＥＣＥＳ暗号と呼ばれる楕円曲線暗号のプリミティブでは、スカラー倍演算を用いて暗号・復号処理を行う。
【０００５】
暗号の分野における技術の一つに、解読技術とよばれるものがある。解読技術とは秘密鍵等の秘密情報を暗号文等の入手可能な情報から推定する技術のことであり、様々な手法が存在する。その中で最近注目されている技術に、電力解析攻撃と呼ばれる手法がある。電力解析攻撃とは、１９９８年にＰｏｕｌＫｏｃｈｅｒによって考案された手法で、スマートカード等に搭載された暗号プロセッサに様々な入力データを与えた時の電力消費データを収集・解析することにより、暗号プロセッサ内部の鍵情報を推定する手法である。電力解析攻撃を用いれば、共通鍵暗号、公開鍵暗号共に暗号プロセッサから秘密鍵を推定できることが知られている。
【０００６】
電力解析攻撃には、単純電力解析（ＳｉｎｇｌｅＰｏｗｅｒＡｎａｌｙｓｉｓ；以下ＳＰＡという）、差分電力解析（ＤｉｆｆｅｒｅｎｔｉａｌＰｏｗｅｒＡｎａｌｙｓｉｓ；以下ＤＰＡという）の２種類が存在する。ＳＰＡは暗号プロセッサにおける単一の電力消費データの特徴から秘密鍵の推定を行う方法であり、ＤＰＡは多数の電力消費データの差分を解析することで秘密鍵の推定を行う方法である。
【０００７】
ＲＳＡ暗号に対してＳＰＡとＤＰＡを用いた推定法については、ＴｈｏｍａｓＳ．Ｍｅｓｓｅｒｇｅｓ，ＥｚｚｙＡ．ＤａｂｂｉｓｈａｎｄＲｏｂｅｒｔＨ．Ｓｌｏａｎ ”ＰｏｗｅｒＡｎａｌｙｓｉｓＡｔｔａｃｋｓｏｆＭｏｄｕｌａｒＥｘｐｏｎｅｎｔｉｔｉａｔｉｏｎｉｎＳｍａｒｔｃａｒｄｓ”，ＣｒｙｐｔｏｇｒａｐｈｉｃＨａｒｄｗａｒｅａｎｄＥｍｂｅｄｄｅｄＳｙｓｔｅｍｓ（以下、ＣＨＥＳ’９９という），ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅｖｏｌ．１７１７，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐｐ．１４４−１５７や、Ｊｅａｎ−ＳｅｂａｓｔｅｉｎＣｏｒｏｎ “ＲｅｓｉｓｔａｎｃｅａｇａｉｎｓｔＤｉｆｆｅｒｅｎｔｉａｌＰｏｗｅｒＡｎａｌｙｓｉｓｆｏｒＥｌｌｉｐｔｉｃＣｕｒｖｅＣｒｙｔｏｓｙｓｔｅｍｓ”，ＣｒｙｐｔｏｇｒａｐｈｉｃＨａｒｄｗａｒｅａｎｄＥｍｂｅｄｄｅｄＳｙｓｔｅｍｓ（ＣＨＥＳ’９９），ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅｖｏｌ．１７１７，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐｐ．２９２−３０２，１９９９（以下、文献１という）などの文献にて述べられている。
【０００８】
一方、公開鍵暗号系の中で、ＲＳＡ暗号と並んで代表的なものに、楕円曲線暗号（ＥｌｌｉｐｔｉｃＣｕｒｖｅＣｒｙｐｔｏｇｒａｐｈｙ）がある。これは、楕円曲線の離散対数問題に基づくもので、Ｎ．Ｋｏｂｌｉｔｚ（”ＥｌｌｉｐｔｉｃＣｕｒｖｅＣｒｙｐｔｏｓｙｓｔｅｍｓ”，ＭａｔｈｅｍａｔｉｃｓｏｆＣｏｍｐｕｔｅｒｓ，Ｖｏｌ．４８，ｐｐ．２０３−２０９，１９８７．）とＶ．Ｍｉｌｌｅｒ（”Ｕｓｅｏｆｅｌｌｉｐｔｉｃｃｕｒｖｅｓｉｎｃｒｙｐｔｏｇｒａｐｈｙ”，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−ＰｒｏｃｅｅｄｉｎｇｓｏｆＣｒｙｐｔｏ ’８５，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，２１８（１９８６），Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐｐ４１７−４２６）により提案された。
【０００９】
楕円曲線暗号においては、公開鍵点Ｑは、例えば、公開されたベースポイントと呼ばれる楕円曲線上の点Ｐに対して、スカラー値である秘密鍵ｄを用いた楕円曲線上の点のスカラー倍算Ｑ＝ｄ×Ｐで計算された楕円曲線上の点となる。以下にスカラー倍算Ｑ＝ｄ×Ｐの演算アルゴリズムについて説明する。
【００１０】
図１１は、ＢｉｎａｒｙＭｅｔｈｏｄにより整数ｄのＭＳＢ（ＭｏｓｔＳｉｇｎｉｆｉｃａｎｔＢｉｔ）からスカラー倍算ｄ×Ｐの計算を行うアルゴリズム１の演算プログラムを示す図である。
【００１１】
以下に述べるアルゴリズム１及び他のアルゴリズムの説明では、ｄはｎビットのスカラー値、Ｐ，Ｑは楕円曲線上の点、ＥＣＡＤＤは楕円加算、ＥＣＤＢＬは楕円２倍算をそれぞれ表す。
【００１２】
変数Ｔの初期値として点Ｐの座標を設定し、変数ｉをｎ−２から０まで変化させて楕円２倍算ＥＣＤＢＬ（Ｔ）を計算する。
２進展開の係数ｄ［ｉ］が”１”のときには、楕円２倍算ＥＣＤＢＬ（Ｔ）により得られる点Ｔと、点Ｐの楕円加算ＥＣＡＤＤ（Ｔ，Ｐ）を計算し、計算結果を変数Ｔに格納する。
【００１３】
上記の処理を変数ｉ＝ｎ−２からｉ＝０まで実行した後、変数Ｔの値をスカラー倍算ｄ×Ｐにより得られる点Ｑの座標として出力する。
上記のアルゴリズム１は、ｄ［ｉ］の値が”１”か否かにより楕円加算ＥＣＡＤＤが実行されたり、されなかったりする。ＳＰＡ攻撃では、この性質を利用して秘密鍵ｄを解析する。多くの実験から楕円加算ＥＣＡＤＤと楕円２倍算ＥＣＤＢＬの電力波形は特徴的で容易に区別可能であることが知られている。このことから、演算アルゴリズム１の処理の電力波形を測定すれば、その波形から楕円加算ＥＣＡＤＤと楕円２倍算ＥＣＤＢＬの処理の順序と回数がわかるので秘密鍵ｄを解析できる。
【００１４】
このＳＰＡ攻撃への対策について、ａｄｄ−ａｎｄ−ｄｏｕｂｌｅ−ａｌｗａｙｓと呼ばれる方法が上述した文献１で提案されている。この方法は、常に楕円２倍算と楕円加算が交互に計算されるためＳＰＡ攻撃に対して安全である。
【００１５】
図１２は、アルゴリズム１に対してａｄｄ−ａｎｄ−ｄｏｕｂｌｅ−ａｌｗａｙｓを施したアルゴリズム２の演算プログラムを示す図である。
変数Ｔ［０］の初期値として点Ｐの座標を設定し、変数ｉをｎ−２から０まで変化させて楕円２倍算ＥＣＤＢＬ（Ｔ［０］）を計算し、計算結果を変数Ｔ［０］に設定する。
【００１６】
さらに、点Ｔ［０］と点Ｐとの楕円加算ＥＣＡＤＤ（Ｔ［０］、Ｐ）を計算し、計算結果を変数Ｔ［１］に設定する。
そして、係数ｄ［ｉ］の値により定まるＴ［ｄ［ｉ］］の値を変数Ｔ［０］に設定する。
【００１７】
上記の処理をｉ＝ｎ−２からｉ＝０まで実行した後、変数Ｔ［０］の値をスカラー倍算ｄ×Ｐにより得られる点Ｑの座標として出力する。
上述したアルゴリム２によればＳＰＡ攻撃を防ぐことが可能となる。しかしながら、文献１には、これらのアルゴリズムに対するＤＰＡ攻撃についても述べられており、アルゴリズム２に対するＤＰＡ攻撃により秘密鍵情報が解析可能であることを示している。
【００１８】
文献１は、ＲＰＣ（ＲａｎｄｏｍｉｚｅｄＰｒｏｊｅｃｔｉｖｅＣｏｏｒｄｉｎａｔｅｓ）という乱数を使用した楕円曲線上の点の表現を導入することで、アルゴリズム２に対するＤＰＡ攻撃に対する対策について提案している。
【００１９】
図１３は、アルゴリズム２に対してＲＰＣを施したアルゴリズム３の演算プログラムを示す図である。
変数Ｔ’［２］の初期値として、乱数を使用した楕円曲線上の点ＲＰＣ（Ｐ）の座標を設定し、変数Ｔ’［０］の初期値としてＴ’［２］を設定する。
【００２０】
変数ｉをｎ−２から０まで変化させて、楕円２倍算ＥＣＤＢＬ（Ｔ’［０］）を計算し、計算結果を変数Ｔ’［０］に設定する。点Ｔ’［０］と点Ｔ’［２］の楕円加算ＥＣＡＤＤ（Ｔ’［０］、Ｔ’［２］）を計算し、計算結果を変数Ｔ’［１］に設定する。ｄ［ｉ］の値に応じてＴ’［０］またはＴ’［１］の値をＴ’［０］に格納する。
【００２１】
上述した処理をｉ＝ｎ−２からｉ＝０まで実行した後、変数Ｔ’［０］をＲＰＣ表現から楕円曲線上の点の座標に変換し、その座標をスカラー倍算ｄ×Ｐにより得られる点Ｑの座標として出力する。
【００２２】
図１４は、ＢｉｎａｒｙＭｅｔｈｏｄにより整数ｄのＬＳＢ（ＬｅａｓｔＳｉｇｎｉｆｉｃａｎｔＢｉｔ）からスカラー倍算ｄ×Ｐの計算を行うアルゴリズム４の演算プログラムを示す図である。このアルゴリズム４は、楕円加算ＥＣＡＤＤと楕円２倍算ＥＣＤＢＬを常に計算するアルゴリズムで、かつＲＰＣを適用したものである。
【００２３】
最初に、変数Ｔ’［０］の初期値として０を設定し、変数Ｔ’［２］の初期値として、楕円楕円曲線上の点ＲＰＣ（Ｐ）の座標を設定する。
変数ｉを０からｎ−１まで変化させて点Ｔ’［０］と点Ｔ’［２］の楕円加算ＥＣＡＤＤ（Ｔ’［０］，Ｔ’［２］）を計算し、計算結果を変数Ｔ’［１］に設定する。点Ｔ’［２］の楕円２倍算ＥＣＤＢＬ（Ｔ’［２］）を計算し、計算結果を変数Ｔ’［２］に設定する。ｄ［ｉ］の値に応じてＴ’［０］またはＴ’［１］の値をＴ’［０］に格納する。
【００２４】
上述した処理をｉ＝０からｉ＝ｎ−１まで実行した後、変数Ｔ’［０］をＲＰＣ表現から楕円曲線上の点の座標に変換し、変換した座標をスカラー倍算ｄ×Ｐにより得られる点Ｑの座標として出力する。
【００２５】
上記の乱数を用いる方法と同様の効果を持つ方法として、ＳＰＡ対策を行ったＭｏｎｔｇｏｍｅｒｙ−ＬａｄｄｅｒとＲＰＣを併用した方法が、Ｔ．Ｉｚｕ，ａｎｄＴ．Ｔａｋａｇｉ， ”ＡＦａｓｔＰａｒａｌｌｅｌＥｌｌｉｐｔｉｃＣｕｒｖｅＭｕｌｔｉｐｌｉｃａｔｉｏｎＲｅｓｉｓｔａｎｔａｇａｉｎｓｔＳｉｄｅＣｈａｎｎｅｌＡｔｔａｃｋｓ’’，ＰＫＣ２００２，ＬＮＣＳ２２７４，ｐｐ．２８０−２９６，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，２００２．（Ｉｚｕ−Ｔａｋａｇｉ）で提案されている。これは、ＳＰＡ対策を行ったＭｏｎｔｇｏｍｅｒｙ−Ｌａｄｄｅｒと呼ばれるスカラー倍算方式を用いるのが特徴である。Ｍｏｎｔｇｏｍｅｒｙ−Ｌａｄｄｅｒでは、スカラー倍算Ｑ＝ｄ×Ｐにおいて、常に楕円２倍算と楕円加算を計算することにより、差が１Ｐとなるような２点の計算を行う。
【００２６】
図１５は、ＳＰＡ対策を行ったＭｏｎｔｇｏｍｅｒｙ−ＬａｄｄｅｒとＲＰＣを使用したスカラー倍算のアルゴリズム５の演算プログラムを示す図である。
最初に、変数Ｔ’［０］の初期値として乱数を使用した楕円曲線上の点ＲＰＣ（Ｐ）を設定し、変数Ｔ’［１］の初期値として点Ｔ’［０］の楕円２倍算ＥＣＤＢＬ（Ｔ’［０］）により得られる点の座標を設定する。
【００２７】
次に、変数ｉをｎ−２から０まで変化させ、楕円２倍算ＥＣＤＢＬ（Ｔ’〔ｄ〔ｉ〕〕）を計算し、計算結果を変数Ｔ’〔２〕に格納する。
次に、Ｔ’〔０〕とＴ’〔１〕の楕円加算ＥＣＡＤＤ（Ｔ’〔０〕，Ｔ’〔１〕）を計算し、計算結果を変数Ｔ’〔１〕に格納する。
【００２８】
次に、係数ｄ〔ｉ〕の値により定まるＴ［２−ｄ［ｉ］］の値を変数Ｔ’［０］に設定する。
同様に係数ｄ［ｉ］の値により定まるＴ’［１＋ｄ［ｉ］］の値を変数Ｔ’［１］に設定する。
【００２９】
上記の処理をｉ＝ｎ−２からｉ＝０まで繰り返した後、乱数を用いて表現した変数Ｔ’［０］の座標を元の楕円曲線上の座標に逆変換してスカラー倍算ｄ×Ｐの点Ｒの座標として出力する。
【００３０】
ＲＰＣと同様の効果を持つスカラー倍算の演算方法として、Ｍ．Ｊｏｙｅ，ａｎｄＣ．Ｔｙｍｅｎ， “Ｐｒｏｔｅｃｔｉｏｎｓａｇａｉｎｓｔｄｉｆｆｅｒｅｎｔｉａｌａｎａｌｙｓｉｓｆｏｒｅｌｌｉｐｔｉｃｃｕｒｖｅｃｒｙｐｔｏｇｒａｐｈｙ”，ＣＨＥＳ２００１，ＬＮＣＳ２１６２，ｐｐ．３７７−３９０，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，２００１．（ＪＴ０１）において、ＲＣ（ＲａｎｄｏｍｉｚｅｄＣｕｒｖｅ）法がある。ＲＣは、素体上のワイヤストラス型の楕円曲線にのみ適用できる方法であり、ＲＰＣと同様に乱数を用いた点の表現を用いるＤＰＡ対策である。
【００３１】
上述したアルゴリズム３のＲＰＣの代わりにＲＣを適用したアルゴリズム３’を図１６に示す。またアルゴリズム５にＲＣを適用したアルゴリズム５’を図１７に示す。なお、図１６及び図１７において、ＲＣで表現された楕円曲線上の点はダブルダッシュ（”）付の変数で示す。
【００３２】
図１６及び図１７のアルゴリズム３’及び５’の演算プログラムは、基本的には、図１３及び図１５の演算プログラムと同じである。異なる点は、楕円曲線上の点Ｐの座標をＲＣにより変換した座標を用いてスカラー倍算の計算を行うことである。
【００３３】
スカラー倍算ｄ×Ｐの実現法には上述したアルゴリズム以外にＷｉｎｄｏｗＭｅｔｈｏｄと呼ばれる方法がある。例えば、４−ｂｉｔのＷｉｎｄｏｗＭｅｔｈｏｄの場合、初期処理としてＰの０〜１５倍を計算し、その結果をテーブルとして持っておき、秘密鍵を４ビット単位（これをＷｉｎｄｏｗと呼ぶ）で処理する。
【００３４】
図１８に４ビットＷｉｎｄｏｗＭｅｔｈｏｄの基本的なアルゴリズムであるアルゴリズム６を示す。なお、ｄはｎビットのスカラー値で４の倍数と仮定する。また、ｄ［ｎ−１，ｎ−４］は、整数ｄの下位ｎ−１ビット目からｎ−４ビット目までの４ビットの値であり、Ｗ［ｉ］は、ＷｉｎｄｏｗＭｅｔｈｏｄで使用するテーブルである。
【００３５】
最初に、変数Ｗ［０］に初期値として楕円曲線上の点０の座標を設定し、変数Ｗ［１］の初期値として楕円曲線上の点Ｐの座標を設定し、変数Ｗ［２］の初期値として点Ｐの楕円２倍算ＥＣＤＢＬ（Ｐ）の点の座標を設定する。
【００３６】
次に、変数ｉを３から１５まで変化させ、点Ｗ［ｉ−１］と点Ｐとの楕円加算ＥＣＡＤＤ（Ｗ［ｉ−１］，Ｐ）を計算し、計算結果をテーブルＷ［ｉ］に格納する。
【００３７】
上記の処理により、例えば、変数ｉが３の場合には、Ｗ［３］＝ＥＣＡＤＤ（Ｗ［２］，Ｐ）となり、楕円２倍算２×Ｐの計算により得られる点と、点Ｐとの楕円加算により得られる点の座標が算出され、テーブルＷ［ｉ］に格納される。
【００３８】
次に、変数ＱとしてＷ［ｄ［ｎ−１，ｎ−４］］を設定する。
次に、変数ｉをｎ−５から０まで４ビット単位で変化させ、楕円２倍算ＥＣＤＢＬ（Ｑ）の計算を４回行う。４回の楕円２倍算ＥＣＤＢＬの演算により、変数ｉにより指定されるビット位置から４ビット分のデータをシフトさせる。さらに、楕円加算ＥＣＡＤＤ（Ｑ，Ｗ［ｄ［ｉ，ｉ−３］］）の計算を行い、４回の楕円２倍算ＥＣＤＢＬの演算結果と、テーブルＷから取得するＷ［ｄ［ｉ，ｉ−３］］との楕円加算ＥＣＡＤＤの計算を行う。
【００３９】
上記の処理をｉ＝ｎ−５からｉ＝０まで実行することにより、スカラー倍算ｄ×Ｐの点の座標を求める。
上記のアルゴリズム６を使用した場合、整数ｄのビット値によって行われたり行われなかったりする処理は存在しない。そのためＷｉｎｄｏｗＭｅｔｈｏｄはＢｉｎａｒｙＭｅｔｈｏｄと異なり一般にＳＰＡ攻撃に対して安全であるといわれている。しかし、ＷｉｎｄｏｗＭｅｔｈｏｄはＢｉｎａｒｙＭｅｔｈｏｄと同様にＤＰＡ攻撃に対しては安全と言えず、文献１の電力解析の手法でｄを推定することが可能である。
【００４０】
ＷｉｎｄｏｗＭｅｔｈｏｄのＤＰＡ対策としてＢｉｎａｒｙＭｅｔｈｏｄと同様にＲＰＣやＲＣが有効であることが知られている。
図１９は、アルゴリズム６に対してＲＰＣを適用したアルゴリズム７の演算プログラムを示し、図２０は、アルゴリズム６に対してＲＣを適用したアルゴリズム８の演算プログラムを示す。
【００４１】
図１９のアルゴリズム７及び図２０のアルゴリズム８によりＤＰＡ耐性を向上させることができる。
【００４２】
【非特許文献１】
Ｊｅａｎ−ＳｅｂａｓｔｅｉｎＣｏｒｏｎ “ＲｅｓｉｓｔａｎｃｅａｇａｉｎｓｔＤｉｆｆｅｒｅｎｔｉａｌＰｏｗｅｒＡｎａｌｙｓｉｓｆｏｒＥｌｌｉｐｔｉｃＣｕｒｖｅＣｒｙｔｏｓｙｓｔｅｍｓ”，ＣｒｙｐｔｏｇｒａｐｈｉｃＨａｒｄｗａｒｅａｎｄＥｍｂｅｄｄｅｄＳｙｓｔｅｍｓ（ＣＨＥＳ’９９），ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅｖｏｌ．１７１７，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐｐ．２９２−３０２，１９９９
【００４３】
【非特許文献２】
Ｋ．Ｉｔｏｈ，Ｔ．Ｉｚｕ，ａｎｄＭ．Ｔａｋｅｎａｋａ ”Ａｄｄｒｅｓｓ−ｂｉｔＤｉｆｆｅｒｅｎｔｉａｌＰｏｗｅｒＡｎａｌｙｓｉｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＳｃｈｅｍｅｓＯＫ−ＥＣＤＨａｎｄＯＫ−ＥＣＤＳＡ”，ＣｒｙｐｔｏｇｒａｐｈｉｃＨａｒｄｗａｒｅａｎｄＥｍｂｅｄｄｅｄＳｙｓｔｅｍｓ（ＣＨＥＳ２００２），Ｐｒｅ−ｐｒｏｃｅｅｄｉｎｇ，ｐｐ．１２９−１４３
【００４４】
【発明が解決しようとする課題】
従来、上述したアルゴリズム３，５，３’，５’、７，８を用いれば、ＳＰＡ及びＤＰＡ攻撃に対して安全であると言われていた。
【００４５】
しかしながら、Ｋ．Ｉｔｏｈ，Ｔ．Ｉｚｕ，ａｎｄＭ．Ｔａｋｅｎａｋａ ”Ａｄｄｒｅｓｓ−ｂｉｔＤｉｆｆｅｒｅｎｔｉａｌＰｏｗｅｒＡｎａｌｙｓｉｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＳｃｈｅｍｅｓＯＫ−ＥＣＤＨａｎｄＯＫ−ＥＣＤＳＡ”，ＣｒｙｐｔｏｇｒａｐｈｉｃＨａｒｄｗａｒｅａｎｄＥｍｂｅｄｄｅｄＳｙｓｔｅｍｓ（ＣＨＥＳ２００２），Ｐｒｅ−ｐｒｏｃｅｅｄｉｎｇ，ｐｐ．１２９−１４３（以下、文献２という）において、アルゴリズム５に対して電力解析を行う手法が発表された。従来のＤＰＡはデータの変化がもたらす消費電力に注目していたのに対し、この手法（ａｄｄｒｅｓｓ−ｂｉｔＤＰＡ）はアドレスの変化がもたらす消費電力に注目した解析手法である。
【００４６】
例えば、図１５のアルゴリズム５において、Ｔ’［２］＝ＥＣＤＢＬ（Ｔ’［ｄ［ｉ］］）の処理（図１５に＊で示す処理）は、ｄ［ｉ］の値によって、Ｔ’［０］が使用されるか、Ｔ’［１］が使用されるかが決定される。そのため楕円加算ＥＣＡＤＤで使用するデータが格納されているアドレスはｄ［ｉ］と強い相関を持つ。同様のことは、Ｔ’［０］＝Ｔ’［２−ｄ［ｄ［ｉ］］の処理及びＴ’〔１〕＝Ｔ’〔１＋ｄ〔ｉ〕〕の処理（図１５に＃で示す処理）にも言える。これにより、ａｄｄｒｅｓｓ−ｂｉｔＤＰＡではアドレスとの相関を利用することで秘密鍵ｄを解析することができる。
【００４７】
文献２のａｄｄｒｅｓｓ−ｂｉｔＤＰＡは、アルゴリズム３’、５’にも適用可能である。また、アルゴリズム７，８のＷｉｎｄｏｗＭｅｔｈｏｄも、秘密鍵ｄの値と使用するテーブルとが強い関係を持つため同様の攻撃が可能であると考えられる。
【００４８】
従って、アルゴリズム３、５、３’、５’、７，８がａｄｄｒｅｓｓ−ｂｉｔＤＰＡ攻撃に対して安全であるとは言えない。
文献２のａｄｄｒｅｓｓ−ｂｉｔＤＰＡへの対策としてスカラー値をランダムに変化させる手法、例えば、ｅｘｐｏｎｅｎｔ−ｓｐｌｉｔｔｉｎｇが提案されている。
【００４９】
Ｅｘｐｏｎｅｎｔ−ｓｐｌｉｔｔｉｎｇでは、乱数ｒを発生させ、ｒ×Ｐと（ｄ−ｒ）×Ｐを別々に計算し、ｒ×Ｐ＋（ｄ−ｒ）×Ｐ＝ｄ×Ｐという性質から、スカラー倍算ｄ×Ｐを計算する。ここでスカラー倍算ｒ×Ｐ、（ｄ―ｒ）×Ｐには、従来のＳＰＡ、ＤＰＡ攻撃に耐性を持つアルゴリズムを用いる。Ａｄｄｒｅｓｓ−ｂｉｔＤＰＡについては、スカラー値がランダムに変化するためｄに関する情報が集めらないので防御が可能となる。
【００５０】
図２１は、Ｅｘｐｏｎｅｎｔ−ｓｐｌｉｔｔｉｎｇのアルゴリズム９の演算プログラムを示す図である。
図２１において、ｒａｎｄｏｍ（）は、ｎビットの乱数を発生させる関数である。また、ｓｃａｌａｒ（ｄ，Ｐ）は、スカラー倍算ｄ×Ｐを計算する関数であり、上述したアルゴリズム３，３’、５，７等により実現される。
【００５１】
Ｅｘｐｏｎｅｎｔ−ｓｐｌｉｔｔｉｎｇに対する攻撃報告は知られていないが、提案者らの主張通り一方のスカラー倍算をＳＰＡ／ＤＰＡ耐性を持たないアルゴリズムで計算した場合、スカラー倍算全体にＤＰＡ攻撃が可能である。
【００５２】
本発明の課題は、電力解析攻撃に対する耐性を向上させることである。
【００５３】
【課題を解決するための手段】
本発明の楕円曲線暗号装置は、有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄを記憶する記憶手段と、ｓ（ｓ≧２）個の乱数ｒ１〜ｒｓを発生する乱数発生手段と、前記乱数発生手段により発生されるｓ個の乱数を用いて、ｒ１×Ｐ、ｒ２×Ｐ、・・・、ｒｓ×Ｐ、（ｄ−ｒ１−・・・−ｒｓ）×Ｐのｓ＋１個のスカラー倍算の演算をそれぞれ実行し、それらの演算により得られる点の楕円加算を実行してスカラー倍算ｄ×Ｐを計算する演算手段とを備える。
【００５４】
この発明によれば、ｓ個の乱数を用いてｓ＋１回のスカラー倍算の計算を行うことにより、電力解析攻撃に対する楕円曲線暗号の耐性を向上させることができる。
【００５５】
本発明の他の楕円曲線暗号装置は、有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶する記憶手段と、乱数ｒ１とｒ２を発生する乱数発生手段と、前記乱数発生手段により発生される乱数を用いて、ｒ１×Ｐのスカラー倍算と、ｒ２×Ｐのスカラー倍算と、（ｄ−ｒ１−ｒ２）×Ｐのスカラー倍算の演算をそれぞれ実行し、それらのスカラー倍算により得られる点の楕円加算を実行してスカラー倍算ｄ×Ｐを計算する演算手段とを備える。
【００５６】
この発明によれば、２個の乱数を用いて３回のスカラー倍算の計算を行うことで、電力解析攻撃に対する楕円曲線暗号の耐性を向上させることができる。
本発明の他の楕円曲線暗号装置は、有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶する記憶手段と、乱数ｒ１とｒ２を発生する乱数発生手段と、前記乱数発生手段により発生される乱数を用いて、ｒ１×Ｐのスカラー倍算と、ｒ２×（ｒ１×Ｐ）のスカラー倍算と、（ｄ−ｒ１×ｒ２）×Ｐのスカラー倍算をそれぞれ実行し、ｒ２×（ｒ１×Ｐ）のスカラー倍算により得られる点Ｐ１と、（ｄ−ｒ１×ｒ２）×Ｐのスカラー倍算とにより得られる点Ｐ２との楕円加算によりスカラー倍算ｄ×Ｐを計算する演算手段とを備える。
【００５７】
この発明によれば、乱数ｒ１とｒ２を乗算した値を用いてスカラー倍算の計算を行うことで電力解析による個々の乱数の推定が困難になり、整数ｄの推定がより困難になる。これにより楕円曲線暗号の電力解析攻撃に対する耐性を向上させることができる。また、点Ｐ１と点Ｐ２の１回の楕円加算の計算を行うだけでよいので楕円加算の計算時間を短縮できる。さらに、乱数ｒ１と乱数ｒ２の乗算値が整数ｄと同じビット長を持てばよいので、乱数ｒ１，ｒ２のビット長を整数ｄのビット長より短くできる。これにより、乱数と点Ｐとのスカラー倍算の計算時間を短くでき、スカラー倍算の全体の計算時間を短縮できる。
【００５８】
本発明の他の楕円曲線暗号装置は、有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶する記憶手段と、乱数ｒ１とｒ２を発生する乱数発生手段と、前記乱数発生手段により発生される乱数を用いて、（ｄ−ｒ１）×Ｐのスカラー倍算と、（ｄ＋ｒ２）×Ｐのスカラー倍算と、ｒ２×（（ｄ−ｒ１）×Ｐ）のスカラー倍算と、ｒ１×（（ｄ＋ｒ２）×Ｐ）のスカラー倍算とをそれぞれ実行し、ｒ２×（（ｄ−ｒ１）×Ｐ）のスカラー倍算により得られる点Ｐ１と、ｒ１×（（ｄ＋ｒ２）×Ｐ）のスカラー倍算により得られる点Ｐ２との楕円加算と、楕円加算の演算結果と１／（ｒ１＋ｒ２）とのスカラー倍算を実行して、スカラー倍算ｄ×Ｐを計算する演算手段とを備える。
【００５９】
この発明によれば、乱数ｒ１，ｒ２を用いて、５回のスカラー倍算を実行することで電力解析による整数ｄの推定を困難にできる。
なお、記憶手段は、例えば、図１の記憶部１６及びレジスタ１４に対応し、演算手段は、演算部１２または演算器１３に対応する。
【００６０】
【発明の実施の形態】
以下、本発明の実施の形態を、図面を参照しながら説明する。実施の形態の楕円曲線暗号装置は、例えば、専用の情報処理装置、パーソナルコンピュータ、ＩＣカード（スマートカード）等に内蔵されたＩＣチップ、携帯電話、携帯情報端末装置、ＤＶＤプレーヤ等からなり、楕円曲線の演算を行うプロセッサを有している。
【００６１】
図１は、本発明に係る楕円曲線暗号装置１１の要部の構成を示す図である。実施の形態の楕円曲線暗号装置１１の演算部１２は、演算器（ＣＰＵ）１３と、複数のレジスタからなるレジスタ１４とからなり、演算結果は再びレジスタ１４に入力される。記憶部１６は、ハードディスク、メモリ等からなり、後述する楕円曲線暗号のスカラー倍算の演算プログラムが記憶される。演算部１２は、記憶部１６に記憶されている演算プログラムを実行し、乱数ｒ１，ｒ２等を発生し、それらの乱数を用いてスカラー倍算ｄ×Ｐの計算を行う。
【００６２】
以下の説明では、本発明に係る楕円曲線暗号の演算方法を、素体ＧＦ（ｐ）（ｐは５以上の素数）上の楕円曲線に適用した場合について説明する。
ＧＦ（ｐ）上の円曲線Ｅは、以下の式で表せる。
【００６３】
Ｅ：ｙ＾２＝ｘ＾３＋ａ×ｘ＋ｂ
ここでａ，ｂ，ｘ，ｙはＧＦ（ｐ）の要素で、４×ａ＾３＋２７×ｂ＾２≠０を満たす。
【００６４】
図２は、本発明の第１の実施の形態のスカラー倍算の演算プログラムを示す図である。
第１の実施の形態は、ｎビットの整数ｄと、楕円曲線上のベースポイントＰと、パラメータｓを入力として受け取り、ｓ個の乱数ｒ１，ｒ２，…、ｒｓを発生させ、スカラーｄをｒ１、ｒ２、…、ｒｓ、ｄ−ｒ１−ｒ２−…−ｒｓに分割し、ｓ＋１個のスカラー倍算ｒ１×Ｐ、ｒ２×Ｐ、…、ｒｓ×Ｐ、（ｄ−ｒ１−ｒ２−…−ｒｓ）×Ｐを個々に計算するものである。
【００６５】
以下に述べる第１の実施の形態（他の実施の形態も同様）の演算プログラムは、演算部１２により実行され、演算途中の値、あるいは演算結果はレジスタ１４に格納される。
【００６６】
演算部１２は、変数ｒ［ｓ＋１］として整数ｄを設定する（図２，Ｓ２１）。変数ｉをｉ＝１からｉ＝ｓまで順に変化させ（図２，Ｓ２３）、ステップＳ２４及びＳ２５の処理を実行する。
【００６７】
ステップＳ２４において、関数ｒａｎｄｏｍ（）により乱数を発生させ、発生した乱数を変数ｒ〔ｉ〕に設定する。次のステップＳ２５において、変数ｒ［ｓ＋１］から乱数ｒ〔ｉ〕を減算し、減算結果を変数ｒ［ｓ＋１］に設定する。
【００６８】
ステップＳ２３〜Ｓ２６の次に、スカラー倍算の演算を行う。変数ｉをｉ＝１からｉ≦ｓ＋１まで変化させ（図２，Ｓ２８）、関数ｓｃａｌａｒ（ｒ〔ｉ〕，Ｐ）を用いてｒ〔ｉ〕×Ｐのスカラー倍算を計算し、計算結果を変数ｄ［ｉ］に格納する（図２，Ｓ２９）。
【００６９】
ここで、ｒ〔ｉ〕は関数ｒａｎｄｏｍ（）により発生されるｓ個の乱数ｒ〔１〕、ｒ〔２〕・・・ｒ〔ｓ〕である。上記のステップＳ２３〜Ｓ２５の処理をｓ回繰り返すことにより、最終的なｒ〔ｓ＋１〕の値としてｒ［ｓ＋１］＝ｄ−ｒ１−ｒ２−・・・・−ｒｓ”が得られている。そして、ステップＳ２８〜Ｓ２９の処理をｓ＋１回繰り返すことにより、スカラー倍算ｒ１×Ｐ、ｒ２×Ｐ、ｒ３×Ｐ、・・・ｒｓ×Ｐ、（ｄ−ｒ１−ｒ２−・・・−ｒｓ）×Ｐが順に計算される。
【００７０】
次に、スカラーの統合を行う。変数ｉをｉ＝１からｉ≦ｓ＋１まで変化させ（図２，Ｓ３２）、それぞれの点の楕円加算ＥＣＡＤＤ（Ｑ，ｄ〔ｉ〕）を計算し、計算結果を変数Ｑに格納する（図２，Ｓ３３）。上記の処理をｉ＝１〜ｓ＋１まで実行した後、変数Ｑをスカラー倍算ｄ×Ｐの計算結果として出力する（図２，Ｓ３５）。
【００７１】
上記のステップＳ３２及びＳ３３の処理は、ｓ＋１個の点の楕円加算ＥＣＡＤＤを計算する処理である。ステップＳ３２〜Ｓ３３のループの処理をｓ＋１回繰り返した後の変数Ｑは以下の式で表せる。
【００７２】

上記の式（１）は、ｄ×Ｐと等しいので変数Ｑを求めることでスカラー倍算ｄ×Ｐを計算することができる。
【００７３】
図３は、第１の実施の形態のスカラー倍算ｄ×Ｐの説明図である。
ｉ＝１のときには、ｒ１×Ｐのスカラー倍算が計算され、ｉ＝２のときにはｒ２×Ｐのスカラー倍算が計算される。ｉ＝ｓのときには、ｒｓ×Ｐのスカラー倍算が計算される。また、ｉ＝ｓ＋１のときには、（ｄ−ｒ１−ｒ２−・・・−ｒｓ）×Ｐのスカラー倍算が計算される。そして、ｓ＋１個のスカラー倍算により得られる点の楕円加算ＥＣＡＤＤを計算することで、ｄ×Ｐのスカラー倍算を求めることができる。
【００７４】
この第１の実施の形態によれば、パラメータｓにより指定される個数の乱数を発生させ、発生させたｓ個の乱数を用いてスカラー倍算の計算をｓ＋１回行うことで、ＳＰＡ及びＤＰＡ等の電力解析による整数ｄの推定を困難にできる。また、パラメータｓを個々のデータに対するスカラー倍算を実行する毎に変化させることで、整数ｄの推定をさらに困難にできる。
【００７５】
次に、図４は、本発明の第２の実施の形態のスカラー倍算の演算プログラムを示す図である。
第２の実施の形態は、上述した第１の実施の形態において、ｓ＋１個のスカラー倍算の計算の中で少なくとも２個のスカラー倍算の計算をＤＰＡに対する耐性を有するアルゴリズムを用いて行うものである。他のスカラー倍算の計算はＤＰＡ耐性を持たないアルゴリズムを用いても、あるいはＤＰＡ耐性を有するアルゴリズを用いても良い。
【００７６】
図４のＳ４１〜Ｓ４６までの処理は、図２のＳ２１〜２６の処理と同じである。次に、図４のステップＳ４８において、関数ｓｅｌｅｃｔ２（ｓ＋１）を用いて、ｓ＋１個のスカラー倍算の計算の中でＤＰＡ攻撃に対して安全なアルゴリズムを用いるものを決める。ここで、関数ｓｅｌｅｃｔ２（ｓ＋１）は、ｓ＋１個の配列の中の２個の配列ｔ〔〕の値を１にし、他の配列ｔ〔〕の値を０にする関数である。
【００７７】
次に、変数ｉをｉ＝１からｉ＝ｓ＋１まで順に変化させる（図４，Ｓ５０）。ｔ〔ｉ〕＝１か否かを判断する（図４，Ｓ５１）。
ｔ〔ｉ〕＝１のときには、次のステップＳ５２において、関数ｓｃａｌａｒ（ｒ〔ｉ〕，Ｐ）を用いて乱数ｒ〔ｉ〕と点Ｐのスカラー倍算を計算し、計算結果を変数ｄ〔ｉ〕に格納する。
【００７８】
こで、関数ｓｃａｌａｒ（ｒ〔ｉ〕，Ｐ）は、ＤＰＡ攻撃に対して耐性を有するアルゴリズム、例えば、図１３のアルゴリズム３，あるいは図１５のアルゴリズム５等を用いてスカラー倍算の計算を行う関数である。
【００７９】
ｔ〔ｉ〕＝０のときには、ステップ５３に進む。そして、次のステップＳ５４において、関数ｓｃａｌａｒ２（ｒ〔ｉ〕，Ｐ）を用いて乱数ｒ〔ｉ〕と点Ｐとのスカラー倍算を計算し、計算結果を変数ｄ〔ｉ〕に格納する。
【００８０】
関数ｓｃａｌａｒ２（ｒ〔ｉ〕，Ｐ）は、ＤＰＡ攻撃に対する耐性を要求しないアルゴリズムによりスカラー倍算の計算を行う関数である。もちろん、ＤＰＡ攻撃に対する耐性を有するアルゴリズムを用いて計算しても良い。
【００８１】
次に、スカラーの統合を行う。変数ｉをｉ＝１からｉ≦ｓ＋１まで変化させ（図４，Ｓ５７）、楕円加算ＥＣＡＤＤ（Ｑ，ｄ〔ｉ〕）の計算を行う（図４，Ｓ５８）。ステップＳ５７，Ｓ５８の処理をｉ＝１〜ｓ＋１まで実行した後、変数Ｑをスカラー倍算ｄ×Ｐの計算結果として出力する（図４，Ｓ６０）。
【００８２】
この第２の実施の形態は、上述した第１の実施の形態の効果に加え、ｓ＋１個のスカラー倍算の計算の内少なくとも２個のスカラー倍算の計算にＤＰＡ攻撃に対する耐性を有するアルゴリズムを用い、他のスカラー倍算にはＤＰＡ耐性を有しないアルゴリズムを用いることにより、全ての計算をＤＰＡ耐性を有するアルゴリズムを用いる場合に比べてスカラー倍算の全体の計算時間を短縮できるという効果が得られる。
【００８３】
次に、上述した第１と第２の実施の形態においてｒ＝２とした場合について説明する。
第１’の実施の形態は、第１の実施の形態のｓ＝２の場合に相当し、２個の乱数ｒ１，ｒ２を発生させ、スカラーｄをｒ１，ｒ２，ｄ−ｒ１−ｒ２に分割し、３個のスカラー倍算ｒ１×Ｐ，ｒ２×Ｐ，（ｄ−ｒ１−ｒ２）×Ｐを個々に計算するものである。
【００８４】
ｒ１×Ｐのスカラー倍算，ｒ２×Ｐのスカラー倍算，（ｄ−ｒ１−ｒ２）×Ｐのスカラー倍算が終了したなら、それらの演算により得られる３個の点の楕円加算ＥＣＡＤＤを計算する。３個の点の楕円加算は、以下の式で表せる。
【００８５】
ｒ１×Ｐ＋ｒ２×Ｐ＋（ｄ−ｒ１−ｒ２）×Ｐ＝（ｒ１＋ｒ２＋（ｄ−ｒ１−ｒ２））×Ｐ＝ｄ×Ｐ
従って、３個の点の楕円加算ＥＣＡＤＤを計算することによりスカラー倍算ｄ×Ｐを計算することができる。
【００８６】
また、この第１’の実施の形態において、ｒ１×Ｐ，ｒ２×Ｐ，（ｄ−ｒ１−ｒ２）×Ｐのスカラー倍算の計算において、ＤＰＡ攻撃に対する耐性を有するアルゴリズムを用いることで、スカラー倍算ｄ×Ｐの計算をＤＰＡ攻撃に対する耐性を保持して実行できる。
【００８７】
この第１’の実施の形態によれば、２個の乱数を用い、３個のスカラー倍算を個々に計算することで、電力解析により整数ｄが推定されるのを困難にできる。また、この場合、３個のスカラー倍算を計算するだけでよいので計算時間を短縮できる。
【００８８】
次に、第２’の実施の形態は、第２の実施の形態のｓ＝２の場合に相当し、３個のスカラー倍算ｒ１×Ｐ，ｒ２×Ｐ，（ｄ−ｒ１−ｒ２）×Ｐの内の２個のスカラー倍算をランダムに指定し、その２個のスカラー倍算の計算をＤＰＡ攻撃に対する耐性を有するアルゴリズムを用いて行い、残りの１個のスカラー倍算の計算をＤＰＡ攻撃に対する耐性を有しないアルゴリズムを用いて行うものである。
【００８９】
この第２’の実施の形態によれば、３個のスカラー倍算の計算の内の２個の計算をＤＰＡ攻撃に対する耐性を有するアルゴリズムを用い、他の１個の計算を耐性を有しないアルゴリズムを用いることで、スカラー倍算ｄ×Ｐの計算をＤＰＡ攻撃に対する耐性を保持したままで計算時間を短縮することができる。
【００９０】
次に、図５は、本発明の第３の実施の形態のスカラー倍算の演算プログラムを示す図である。
第３の実施の形態は、整数ｄとベースポイントＰの座標と、２個の乱数ｒ１，ｒ２を発生させ、スカラーｄをｒ１、ｒ２、ｄ−ｒ１−ｒ２に分割し、３個のスカラー倍算ｒ１×Ｐ，ｒ２×（ｒ１×Ｐ），（ｄ−ｒ１×ｒ２）×Ｐを個々に計算するものである。
【００９１】
関数ｒａｎｄｏｍ（）を用いて乱数を発生させ、発生させた乱数を変数ｒ〔１〕に格納する（図５，ステップ６２）。同様に、関数ｒａｎｄｏｍ（）を用いて乱数を発生させ、発生させた乱数を変数ｒ２に格納する（図５，Ｓ６３）。
【００９２】
次に、スカラー倍算の計算を行う。関数ｓｃａｌａｒ（ｒ〔１〕，Ｐ）を用いて乱数ｒ〔１〕と点Ｐとのスカラー倍算を計算し、計算結果を変数Ｐ〔１〕に格納する（図５，Ｓ６５）。
【００９３】
次に、上記の処理により求めた変数Ｐ〔１〕と、関数ｓｃａｌａｒ（ｒ〔２〕，Ｐ［１］）を用いて乱数ｒ〔２〕と点Ｐ〔１〕とのスカラー倍算ｒ［２］×（ｒ１×Ｐ）を計算し、計算結果を変数Ｐ〔２〕に格納する（図５，Ｓ６６）。
【００９４】
次に、乱数ｒ〔１〕とｒ〔２〕と関数ｓｃａｌａｒ（ｄ−ｒ［１］×ｒ〔２〕，Ｐ）を用いてスカラー（ｄ−ｒ〔１〕×ｒ〔２〕）と点Ｐとのスカラー倍算を計算し、計算結果を変数Ｐ〔３〕に格納する（図５，Ｓ６７）。
【００９５】
上記のステップＳ６５〜Ｓ６７の処理を実行することにより、ｒ〔１〕×Ｐのスカラー倍算と、ｒ〔２〕×ｒ［１］×Ｐのスカラー倍算と、（ｄ−ｒ〔１〕×ｒ〔２〕）×Ｐのスカラー倍算の計算が行われる。
【００９６】
次に、スカラーの統合を行う。変数Ｐ〔２〕により定まる点と変数Ｐ［３］により定まる点の楕円加算ＥＣＡＤＤ（Ｐ［２］，Ｐ〔３〕）を計算し、計算結果を変数Ｑに格納する（図５，Ｓ６９）。最後に、変数Ｑの座標をスカラー倍算ｄ×Ｐの計算結果として出力する（図５，Ｓ７０）。
【００９７】
上記のステップＳ６９の処理は、２個の点Ｐ［２］、Ｐ［３］の楕円加算ＥＣＡＤＤを計算する処理であり、ステップＳ６９の処理を終了した後の変数Ｑは、以下の式で表せる。
【００９８】
Ｑ＝ｒ〔１〕×ｒ〔２〕×Ｐ＋（ｄ−ｒ〔１〕×ｒ〔２〕）×Ｐ（２）
上記の（２）式は、ｄ×Ｐと等しいので、上述した処理によりスカラー倍算ｄ×Ｐを計算することができる。
【００９９】
図６は、第３の実施の形態のスカラー倍算ｄ×Ｐの説明図である。
乱数をｒ１、ｒ２とすると、最初にｒ１×Ｐのスカラー倍算が計算され、次に、ｒ１×Ｐのスカラー倍算により得られた点とｒ２とのスカラー倍算、すなわち、ｒ１×ｒ２×Ｐのスカラー倍算が計算される。また、（ｄ−ｒ〔１〕×ｒ〔２〕）とＰとのスカラー倍算が計算される。
【０１００】
そして、上記のスカラー倍算により得られる点”ｒ１×ｒ２×Ｐ”と、点”（ｄ−ｒ１×ｒ２）×Ｐ”の楕円加算ＥＣＡＤＤを計算することで、ｄ×Ｐのスカラー倍算を計算することができる。
【０１０１】
この第３の実施の形態によれば、２個の乱数を用いて３個のスカラー倍算を計算することで、電力解析による整数ｄの推定を困難にし、楕円曲線暗号のＤＰＡ攻撃に対する耐性を向上させることができる。また、この第３の実施の形態は、スカラー倍算が２個の乱数ｒ［１］とｒ［２］の乗算になっているので、乱数の推定がより困難になる。また、乱数ｒ［１］とｒ［２］のビット長を整数ｄのビット長より短くすることができる。これにより、乱数と点Ｐとのスカラー倍算の計算時間を短くなるので、ｄ×Ｐのスカラー倍算の全体の計算時間を短縮できる。
【０１０２】
次に、図７は、本発明の第４の実施の形態のスカラー倍算の演算プログラムを示す図である。
第４の実施の形態は、第３の実施の形態の３個のスカラー倍算の計算の中で２個のスカラー倍算の計算にＤＰＡ攻撃に対する耐性を有するアルゴリズムを用いるものである。
【０１０３】
図７のステップＳ７１〜７３の処理は、図５の演算プログラムのステップＳ６１〜６３の処理と同じである。
ステップＳ７５において、関数ｓｅｌｅｃｔ２（ｓ＋１）を用いてｔ［ｉ］＝１となる配列を決める。この場合ｓ＝２であるので、３個の配列ｔ［ｉ］の中の任意の２個の配列の値が１、他が０となるように設定する。
【０１０４】
次に、スカラー倍算の計算を行う。ｒ［１］に対応する配列ｔ［１］が１のときには、関数ｓｃａｌａｒ（ｒ［１］，Ｐ）を用いて乱数ｒ［１］と点Ｐとのスカラー倍算ｒ１×Ｐを計算し、計算結果を変数Ｐ［１］に格納する。ｔ［１］が１でなければ（Ｓ７７，Ｓｅｌｓｅ）、関数ｓｃａｌａｒ２（ｒ［１］，Ｐ）を用いてスカラー倍算ｒ［１］×Ｐを計算し、計算結果を変数Ｐ［１］に格納する（図７，Ｓ７７）。
【０１０５】
次に、ｒ［２］に対応する配列ｔ［２］が１のときには、関数ｓｃａｌａｒ（ｒ［２］，Ｐ［１］）を用いて乱数ｒ［２］と点Ｐ［１］とのスカラー倍算ｒ［２］×Ｐ［１］＝ｒ［２］×（ｒ［１］×Ｐ）を計算し、計算結果を変数Ｐ［２］に格納する。ｔ［２］が１でなければ（Ｓ７８，Ｓｅｌｓｅ）、関数ｓｃａｌａｒ２（ｒ［２］，Ｐ）を用いてスカラー倍算ｒ［２］×（ｒ［１］×Ｐ）を計算し、計算結果を変数Ｐ［２］に格納する（図７，Ｓ７８）。
【０１０６】
次に、配列ｔ［３］が１のときには、関数ｓｃａｌａｒ（ｄ−ｒ［１］×ｒ［２］，Ｐ［２］）を用いてスカラー（ｄ−ｒ［１］×ｒ［２］）と点Ｐとのスカラー倍算を計算し、計算結果を変数Ｐ［３］に格納する。ｔ［３］が１でなければ（Ｓ７９，ｅｌｓｅ）、関数ｓｃａｌａｒ２（ｄ−ｒ［１］×ｒ［２］，Ｐ）を用いてスカラー倍算（ｄ−ｒ［１］×ｒ［２］）×Ｐを計算し、計算結果を変数Ｐ［３］に格納する（図７，Ｓ７９）。
【０１０７】
次に、点Ｐ［２］と点Ｐ［３］の楕円加算ＥＣＡＤＤ（Ｐ［２］，Ｐ［３］）を計算する（図７，Ｓ８１）。最後に、変数Ｑの座標をスカラー倍算ｄ×Ｐの計算結果として出力する（図７，Ｓ８２）。
【０１０８】
この第４の実施の形態によれば、上述した第３の実施の形態の効果に加え、３個のスカラー倍算の中の２個のスカラー倍算をＤＰＡ攻撃に対する耐性を有するアルゴリズムを用い、他の１個のスカラー倍算を耐性を有しないアルゴリズムを用いることで、ｄ×Ｐのスカラー倍算の全体の計算時間を短縮できる。さらに、１つのデータに対してスカラー倍算の計算が行われる毎に、どのスカラー倍算に対してＤＰＡ攻撃に対して耐性を有するアルゴリズムを用いるかを任意に決めているので電力解析がより困難になる。
【０１０９】
次に、図８は、本発明の第５の実施の形態のスカラー倍算の演算プログラムを示す図である。
第５の実施の形態は、２個の乱数ｒ１，ｒ２を発生させ、スカラーｄをｄ＝（（ｄ−ｒ１）×ｒ２＋（ｄ＋ｒ２）×ｒ１）／（ｒ１＋ｒ２）と分割し、４個のスカラー倍算（ｄ−ｒ１）×Ｐ、（ｄ＋ｒ２）×Ｐ、ｒ２×（（ｄ−ｒ１）×Ｐ）、ｒ１×（（ｄ＋ｒ２）×Ｐ）を個々に計算し、楕円加算の結果と１／（ｒ１＋ｒ２）とのスカラー倍算とを実行するものである。
【０１１０】
関数ｒａｎｄｏｍ（）を用いて乱数を発生させ、発生させた乱数を変数ｒ〔１〕に格納する（図８，ステップ９２）。同様に、関数ｒａｎｄｏｍ（）を用いて乱数を発生させ、発生させた乱数を変数ｒ［２］に格納する（図８，Ｓ９３）。
【０１１１】
次に、スカラー倍算の計算を行う。関数ｓｃａｌａｒ（ｒ〔１〕，Ｐ）を用いて乱数ｒ〔１〕と点Ｐとのスカラー倍算ｒ［１］×Ｐを計算し、計算結果を変数Ｐ〔１〕に格納する（図８，Ｓ９５）。
【０１１２】
次に、ステップＳ９５の処理により求めた点Ｐ〔１〕と、関数ｓｃａｌａｒ（ｄ＋ｒ〔２〕，Ｐ［１］）を用いて、スカラー倍算（ｄ＋ｒ〔２〕）×Ｐ［１］を計算し、計算結果を変数Ｐ〔２〕に格納する（図８，Ｓ９６）。
【０１１３】
次に、関数ｓｃａｌａｒ（ｒ〔２〕，Ｐ）を用いて乱数ｒ［２］と点Ｐとのスカラー倍算ｒ［２］×Ｐを計算し、計算結果を変数Ｐ〔３〕に格納する（図５，Ｓ９７）。
【０１１４】
次に、ステップＳ９７の処理により求めた点Ｐ［３］と、関数ｓｃａｌａｒ（ｄ−ｒ〔１〕，Ｐ［３］）を用いて、スカラー倍算（ｄ−ｒ［１］）×Ｐ［３］＝（ｄ−ｒ［１］）×ｒ［２］×Ｐを計算し、計算結果を変数Ｐ［４］に格納する（図８，Ｓ９８）。
【０１１５】
上記のステップＳ９５〜Ｓ９８の処理を実行することにより、ｒ〔１〕×Ｐのスカラー倍算と、（ｄ＋ｒ〔２〕）×ｒ［１］×Ｐのスカラー倍算と、ｒ［２］×Ｐのスカラー倍算と、（ｄ−ｒ〔１〕）×ｒ［２］×Ｐのスカラー倍算の計算が行われる。
【０１１６】
次に、スカラーの統合を行う。変数Ｐ［３］により定まる点と変数Ｐ［４］により定まる点の楕円加算ＥＣＡＤＤ（Ｐ［３］，Ｐ［４］）を計算し、計算結果を変数Ｑに格納する（図８，Ｓ１００）。すなわち、スカラー倍算（ｄ＋ｒ〔２〕）×ｒ［１］×Ｐにより得られる点Ｐ［２］と、スカラー倍算（ｄ−ｒ〔１〕）×ｒ［２］×Ｐにより得られる点Ｐ［４］の楕円加算ＥＣＡＤＤを計算する。
【０１１７】
次に、関数ｓｃａｌａｒ（１／（ｒ［１］＋ｒ［２］），Ｑ）を用い、スカラー（１／（ｒ［１］＋ｒ［２］）と変数Ｑのスカラー倍算を計算する（図８，Ｓ１０１）。最後に、変数Ｑの座標をスカラー倍算ｄ×Ｐの計算結果として出力する（図８，Ｓ１０２）。
【０１１８】
上記のステップＳ１０１の処理を終了した後の変数Ｑは、以下の式で表せる。

上記の式（３）は、ｄ×Ｐと等しいので、上述した処理により変数Ｑとしてスカラー倍算ｄ×Ｐを計算することができる。
【０１１９】
図９は、第５の実施の形態のスカラー倍算ｄ×Ｐの説明図である。
乱数をｒ１、ｒ２とすると、最初にｒ１×Ｐのスカラー倍算が計算され、次に、ｄ＋ｒ２とｒ１×Ｐとのスカラー倍算、すなわち、ｒ１×（ｄ＋ｒ２）×Ｐのスカラー倍算が計算される。
【０１２０】
また、ｒ２×Ｐのスカラー倍算が計算され、計算により得られる点ｒ２×Ｐとスカラー（ｄ−ｒ１）とのスカラー倍算、すなわち、ｒ１×（ｄ−ｒ１）×Ｐのスカラー倍算が計算される。
【０１２１】
そして、上記のスカラー倍算により得られる点ｒ１×（ｄ＋ｒ２）×Ｐと、点ｒ１×（ｄ−ｒ１）×Ｐの楕円加算ＥＣＡＤＤ（ｒ１×（ｄ＋ｒ２）×Ｐ，ｒ１×（ｄ−ｒ１）×Ｐ）を計算することで、ｄ×Ｐのスカラー倍算を求めることができる。
【０１２２】
この第５の実施の形態によれば、２個の乱数を用いて、５個のスカラー倍算を個々に計算することで整数ｄの推定を困難にし、電力解析攻撃に対する耐性を向上させることができる。
【０１２３】
ここで、上述した実施の形態のスカラー倍算の演算プログラムを実行する楕円曲線暗号装置のハードウェア構成の一例を図１０を参照して説明する。楕円暗号装置は、例えば、パーソナルコンピュータ等の情報処理装置により実現できる。
【０１２４】
ＣＰＵ２３は、上述したスカラー倍算の演算プログラム等を実行する。ＲＯＭ２４にはＢＩＯＳ等の制御プログラムが格納される。ＲＡＭ（メモリ）２６は、演算に使用される各種のレジスタとして使用される。記憶装置２５には、楕円曲線暗号の演算プログラム等が格納される。
【０１２５】
記録媒体読み取り装置２７は、ＣＤＲＯＭ、ＤＶＤ、フレキシブルディスク、ＩＣカード等の可搬記録媒体２８の読み取り、あるいは書き込みを行う装置である。
【０１２６】
入力装置２９は、キーボード等のデータを入力する装置である。通信インタフェース３０は、インターネット等のネットワーク３１に接続するための装置であり、この装置を介してネットワーク上の情報提供者３２のサーバからプログラムをダウンロードすることができる。なお、ＣＰＵ２２，ＲＡＭ２４，外部記憶装置２５等はバス２２により接続されている。
【０１２７】
本発明は、楕円曲線暗号の暗号化及び解読を行う専用の装置に限らず、ＩＣカード、ＤＶＤ装置、携帯電話機、パーソナルコンピュータ等の種々の製品に適用できる。
【０１２８】
また、本発明は、実施の形態及で説明したスカラー倍算を計算するアルゴリズムに限らず他の楕円曲線暗号のアルゴリズムにも適用できる。
（付記１）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄを記憶する記憶手段と、
ｓ（ｓ≧２）個の乱数ｒ１〜ｒｓを発生する乱数発生手段と、
前記乱数発生手段により発生される乱数を用いて、ｒ１×Ｐ、ｒ２×Ｐ、・・・、ｒｓ×Ｐ、（ｄ−ｒ１−・・・−ｒｓ）×Ｐのスカラー倍算の演算をそれぞれ実行し、それらの演算により得られる点の楕円加算を実行してスカラー倍算ｄ×Ｐを計算する演算手段とを備える楕円曲線暗号装置。
（付記２）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶する記憶手段と、
乱数ｒ１とｒ２を発生する乱数発生手段と、
前記乱数発生手段により発生される乱数を用いて、ｒ１×Ｐのスカラー倍算と、ｒ２×Ｐのスカラー倍算と、（ｄ−ｒ１−ｒ２）×Ｐのスカラー倍算の演算をそれぞれ実行し、それらのスカラー倍算により得られる点の楕円加算を実行してスカラー倍算ｄ×Ｐを計算する演算手段とを備える楕円曲線暗号装置。
（付記３）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶する記憶手段と、
乱数ｒ１とｒ２を発生する乱数発生手段と、
前記乱数発生手段により発生される乱数を用いて、ｒ１×Ｐのスカラー倍算と、ｒ２×（ｒ１×Ｐ）のスカラー倍算と、（ｄ−ｒ１×ｒ２）×Ｐのスカラー倍算をそれぞれ実行し、ｒ２×（ｒ１×Ｐ）のスカラー倍算により得られる点Ｐ１と、（ｄ−ｒ１×ｒ２）×Ｐのスカラー倍算とにより得られる点Ｐ２との楕円加算によりスカラー倍算ｄ×Ｐを計算する演算手段とを備える楕円曲線暗号装置。
【０１２９】
（付記４）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶する記憶手段と、
乱数ｒ１とｒ２を発生する乱数発生手段と、
前記乱数発生手段により発生される乱数を用いて、（ｄ−ｒ１）×Ｐのスカラー倍算と、（ｄ＋ｒ２）×Ｐのスカラー倍算と、ｒ２×（（ｄ−ｒ１）×Ｐ）のスカラー倍算と、ｒ１×（（ｄ＋ｒ２）×Ｐ）のスカラー倍算とをそれぞれ実行し、ｒ２×（（ｄ−ｒ１）×Ｐ）のスカラー倍算により得られる点Ｐ１と、ｒ１×（（ｄ＋ｒ２）×Ｐ）のスカラー倍算により得られる点Ｐ２との楕円加算と、楕円加算の演算結果と１／（ｒ１＋ｒ２）とのスカラー倍算を実行して、スカラー倍算ｄ×Ｐを計算する演算手段とを備える楕円曲線暗号装置。
（付記５）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと整数ｄを取得し、
ｓ個の乱数ｒ１〜ｒｓを発生させ、
ｓ個の乱数を用いて、ｒ１×Ｐ、ｒ２×Ｐ、・・・、ｒｓ×Ｐ、（ｄ−ｒ１−・・・−ｒｓ）×Ｐのスカラー倍算の演算をそれぞれ実行し、それらの演算により得られる点の楕円加算を実行してスカラー倍算ｄ×Ｐを計算する楕円曲線暗号プログラム。
（付記６）付記２記載の楕円曲線暗号装置において、
前記演算手段は、３個のスカラー倍算を電力解析攻撃に対する耐性を有するアルゴリズムに基づいて個々に計算する。
【０１３０】
（付記７）付記２記載の楕円曲線暗号装置において、
前記演算手段は、３個スカラー倍算の内の２個のスカラー倍算を、電力解析攻撃に対する耐性を有するアルゴリズムに基づいて個々に計算し、他のスカラー倍算を電力解析攻撃に対する耐性を有しないアルゴリズムに基づいて計算する。
【０１３１】
（付記８）付記３記載の楕円曲線暗号装置において、
前記演算手段は、ｒ１×Ｐ，ｒ２×Ｐ及び（ｄ−ｒ１−ｒ２）×Ｐの３つのスカラー倍算の演算において、少なくとも２つのスカラー倍算の演算に電力解析攻撃に対する耐性を有するアルゴリズムを用いる。
【０１３２】
（付記９）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶部に記憶させ、
乱数ｒ１とｒ２を発生させ、発生された乱数を用いて、演算部に、ｒ１×Ｐのスカラー倍算と、ｒ２×Ｐのスカラー倍算と、（ｄ−ｒ１−ｒ２）×Ｐのスカラー倍算の演算をそれぞれ実行させ、それらのスカラー倍算により得られる点の楕円加算を実行させてスカラー倍算ｄ×Ｐを計算する楕円曲線暗号プログラム。
【０１３３】
（付記１０）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶部に記憶させ、
乱数ｒ１とｒ２を発生させ、発生された乱数を用いて、演算部に、ｒ１×Ｐのスカラー倍算と、ｒ２×（ｒ１×Ｐ）のスカラー倍算と、（ｄ−ｒ１×ｒ２）×Ｐのスカラー倍算をそれぞれ実行させ、ｒ２×（ｒ１×Ｐ）のスカラー倍算により得られる点Ｐ１と、（ｄ−ｒ１×ｒ２）×Ｐのスカラー倍算とにより得られる点Ｐ２との楕円加算によりスカラー倍算ｄ×Ｐを計算させる楕円曲線暗号プログラム。
【０１３４】
（付記１１）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶部に記憶させ、
乱数ｒ１とｒ２を発生させ、発生された乱数を用いて、演算部に、（ｄ−ｒ１）×Ｐのスカラー倍算と、（ｄ＋ｒ２）×Ｐのスカラー倍算と、ｒ２×（（ｄ−ｒ１）×Ｐ）のスカラー倍算と、ｒ１×（（ｄ＋ｒ２）×Ｐ）のスカラー倍算とをそれぞれ実行させ、ｒ２×（（ｄ−ｒ１）×Ｐ）のスカラー倍算により得られる点Ｐ１と、ｒ１×（（ｄ＋ｒ２）×Ｐ）のスカラー倍算により得られる点Ｐ２との楕円加算と、楕円加算の演算結果と１／（ｒ１＋ｒ２）とのスカラー倍算を実行させて、スカラー倍算ｄ×Ｐを計算させる楕円曲線暗号プログラム。
【０１３５】
（付記１２）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶部に記憶させ、
乱数ｒ１とｒ２を発生させ、発生された乱数を用いて、演算部に、ｒ１×Ｐのスカラー倍算と、ｒ２×（ｒ１×Ｐ）のスカラー倍算と、（ｄ−ｒ１×ｒ２）×Ｐのスカラー倍算をそれぞれ実行させ、ｒ２×（ｒ１×Ｐ）のスカラー倍算により得られる点Ｐ１と、（ｄ−ｒ１×ｒ２）×Ｐのスカラー倍算とにより得られる点Ｐ２との楕円加算によりスカラー倍算ｄ×Ｐを計算させる楕円曲線暗号演算方法。
【０１３６】
（付記１３）有限体上の楕円曲線Ｅと、楕円曲線上のベースポイントＰと、整数ｄとを記憶部に記憶させ、
乱数ｒ１とｒ２を発生させ、発生された乱数を用いて、演算部に、（ｄ−ｒ１）×Ｐのスカラー倍算と、（ｄ＋ｒ２）×Ｐのスカラー倍算と、ｒ２×（（ｄ−ｒ１）×Ｐ）のスカラー倍算と、ｒ１×（（ｄ＋ｒ２）×Ｐ）のスカラー倍算とをそれぞれ実行させ、ｒ２×（（ｄ−ｒ１）×Ｐ）のスカラー倍算により得られる点Ｐ１と、ｒ１×（（ｄ＋ｒ２）×Ｐ）のスカラー倍算により得られる点Ｐ２との楕円加算と、楕円加算の演算結果と１／（ｒ１＋ｒ２）とのスカラー倍算を実行させてスカラー倍算ｄ×Ｐを計算させる楕円曲線暗号演算方法。
【０１３７】
【発明の効果】
本発明によれば、楕円曲線暗号におけるスカラー倍算の計算の電力解析攻撃に対する耐性を向上させることができる。
【図面の簡単な説明】
【図１】楕円曲線暗号装置の要部の構成を示す図である。
【図２】第１の実施の形態のスカラー倍算の演算プログラムを示す図である。
【図３】第１の実施の形態のスカラー倍算の説明図である。
【図４】第２の実施の形態のスカラー倍算の演算プログラムを示す図である。
【図５】第３の実施の形態のスカラー倍算の演算プログラムを示す図である。
【図６】第３の実施の形態のスカラー倍算の説明図である。
【図７】第４の実施の形態のスカラー倍算の演算プログラムを示す図である。
【図８】第５の実施の形態のスカラー倍算の演算プログラムを示す図である。
【図９】第５の実施の形態のスカラー倍算の説明図である。
【図１０】実施の形態の演算プログラムを実行するハードウェア環境を示す図である。
【図１１】アルゴリズム１の演算プログラムを示す図である。
【図１２】アルゴリズム２の演算プログラムを示す図である。
【図１３】アルゴリズム３の演算プログラムを示す図である。
【図１４】アルゴリズム４の演算プログラムを示す図である。
【図１５】アルゴリズム５の演算プログラムを示す図である。
【図１６】アルゴリズム３’の演算プログラムを示す図である。
【図１７】アルゴリズム５’の演算プログラムを示す図である。
【図１８】アルゴリズム６の演算プログラムを示す図である。
【図１９】アルゴリズム７の演算プログラムを示す図である。
【図２０】アルゴリズム８の演算プログラムを示す図である。
【図２１】アルゴリズム９の演算プログラムを示す図である。
【符号の説明】
１１楕円曲線暗号装置
１２演算部
１３演算器
１４レジスタ
１６記憶部[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an elliptic curve encryption device, an elliptic curve encryption program, and an elliptic curve encryption operation method.
[0002]
[Prior art]
Encryption methods are broadly classified into a common key encryption method and a public key encryption method. The common key encryption method uses the same key (private key) for encryption and decryption. The secret key is used as information that cannot be understood by a third party other than the sender and the receiver. It is a method to keep.
[0003]
The public key cryptosystem is a system in which different keys are used for encryption and decryption. Instead of making the key for performing encryption (public key) public, the key for decrypting ciphertext (private key) is used. Is used as secret information only for the receiver to maintain security. RSA cryptography, elliptic curve cryptography, and the like are known as public key cryptography.
[0004]
An ECES cryptographic primitive will be described as an example of an elliptic curve cryptosystem. When the sender A has the secret key s (s is an integer) and the receiver B has the secret key t (t is an integer), the elliptic curve E and the base point P (x , Y), the public key s × P (scalar multiplication of the secret key s of the sender A and the base point P), and the public key t × P (scalar of the secret key t of the receiver B and the base point P) Multiplication) has been published in advance. At this time, the sender A calculates a scalar multiplication s × (t × P) of the secret key s of the sender A and the public key t × P of the receiver B, obtains a bit representation of the x coordinate, and By performing an EOR operation corresponding to bits between the expression and the bit expression of the message, a ciphertext C for the message m is generated and transmitted to the receiver B. The receiver B calculates a scalar multiplication t × (s × P) of the secret key t of the receiver B and the public key s × P of the sender A, and obtains a bit representation of the x coordinate. Considering that the relational expression “s × (t × P) = t × (s × P)” holds, an EOR operation corresponding to a bit is performed between the bit expression and the bit expression of the ciphertext C. Is performed, the ciphertext C is decrypted to obtain the message m. In this way, the elliptic curve cryptographic primitive called ECES cryptography performs the encryption / decryption processing using the scalar multiplication operation.
[0005]
One of the technologies in the field of cryptography is what is called a decryption technology. The decryption technique is a technique for estimating secret information such as a secret key from available information such as a ciphertext, and various techniques exist. Among them, a technique that has recently attracted attention is a technique called power analysis attack. The power analysis attack is a method devised by Poul Kocher in 1998. The power analysis attack collects and analyzes power consumption data when various input data is supplied to a cryptographic processor mounted on a smart card or the like, and thereby the cryptographic processor is analyzed. This is a technique for estimating internal key information. It is known that a secret key can be estimated from a cryptographic processor by using a power analysis attack for both common key cryptography and public key cryptography.
[0006]
There are two types of power analysis attacks, a simple power analysis (hereinafter referred to as SPA) and a differential power analysis (Differential Power Analysis; hereinafter referred to as DPA). SPA is a method of estimating a secret key from the characteristics of a single piece of power consumption data in a cryptographic processor, and DPA is a method of estimating a secret key by analyzing differences between a large number of pieces of power consumption data.
[0007]
The estimation method using SPA and DPA for the RSA encryption is described in Thomas S. A. et al. Messages, Ezzy A. Dabbish and Robert H. Sloan, "Power Analysis Attack of Modular Exponentiation in Smartcards", Cryptographic Hardware and Embedded Systems, (hereafter referred to as CHES'99. 1717, Springer-Verlag, pp. 144-157, and Jean-Sebastian Coron, "Resistance Against Differential Power Analysis for Elliptic Curve Cryosystems, Credit Cards, Esd. 1717, Springer-Verlag, pp. 292-302, 1999 (hereinafter referred to as Reference 1).
[0008]
On the other hand, among public key cryptosystems, a representative one along with the RSA cryptosystem is an elliptic curve cryptography (Elliptic Curve Cryptography). This is based on the discrete logarithm problem of the elliptic curve. Koblitz ("Elliptic Curve Cryptosystems", Mathematicals of Computers, Vol. 48, pp. 203-209, 1987.); Miller ("Use of Elliptic Curves in Cryptography", Advances in Cryptology-Proceedings of Crypto '85, Lecture Notes, Computer, Sci.
[0009]
In the elliptic curve cryptography, a public key point Q is, for example, a scalar multiplication of a point P on an elliptic curve called a public base point using a secret key d which is a scalar value. It is a point on the elliptic curve calculated by Q = d × P. The operation algorithm of scalar multiplication Q = d × P will be described below.
[0010]
FIG. 11 is a diagram showing a calculation program of Algorithm 1 for calculating a scalar multiplication d × P from an MSB (Most Significant Bit) of an integer d by a Binary Method.
[0011]
In the following description of Algorithm 1 and other algorithms, d represents an n-bit scalar value, P and Q represent points on an elliptic curve, ECADD represents elliptic addition, and ECDBL represents elliptic doubling.
[0012]
The coordinates of the point P are set as the initial value of the variable T, and the variable i is changed from n−2 to 0 to calculate the ellipse doubling ECDBL (T).
When the coefficient d [i] of the binary expansion is “1”, the point T obtained by the ellipse doubling ECDBL (T) and the elliptic addition ECADD (T, P) of the point P are calculated, and the calculation result is defined as a variable Stored in T.
[0013]
After executing the above processing from the variable i = n−2 to i = 0, the value of the variable T is output as the coordinates of the point Q obtained by the scalar multiplication d × P.
In the above algorithm 1, elliptic addition ECADD is performed or not depending on whether the value of d [i] is “1”. In the SPA attack, the secret key d is analyzed using this property. From many experiments, it is known that the power waveforms of the elliptic addition ECADD and the elliptic doubling ECDBL are characteristic and easily distinguishable. From this, if the power waveform of the processing of the operation algorithm 1 is measured, the order and the number of the processing of the elliptic addition ECADD and the elliptic doubling ECDBL can be known from the waveform, so that the secret key d can be analyzed.
[0014]
As a countermeasure against the SPA attack, a method called add-and-double-alwayss is proposed in the above-mentioned Document 1. This method is safe against SPA attacks because elliptic doubling and elliptic addition are always calculated alternately.
[0015]
FIG. 12 is a diagram illustrating a calculation program of algorithm 2 in which add-and-double-always is performed on algorithm 1.
The coordinates of the point P are set as the initial values of the variable T [0], the variable i is changed from n−2 to 0, and the ellipse doubling ECDBL (T [0]) is calculated. 0].
[0016]
Further, an elliptic addition ECADD (T [0], P) of the point T [0] and the point P is calculated, and the calculation result is set to a variable T [1].
Then, the value of T [d [i]] determined by the value of coefficient d [i] is set to variable T [0].
[0017]
After executing the above processing from i = n−2 to i = 0, the value of the variable T [0] is output as the coordinates of the point Q obtained by the scalar multiplication d × P.
According to the algorithm 2 described above, it is possible to prevent the SPA attack. However, Document 1 also describes DPA attacks on these algorithms, and indicates that the secret key information can be analyzed by a DPA attack on Algorithm 2.
[0018]
Document 1 proposes a countermeasure against DPA attack on Algorithm 2 by introducing an expression of a point on an elliptic curve using a random number called RPC (Randomized Projective Coordinates).
[0019]
FIG. 13 is a diagram showing a calculation program of algorithm 3 in which RPC is performed on algorithm 2.
The coordinates of the point RPC (P) on the elliptic curve using random numbers are set as the initial values of the variable T ′ [2], and T ′ [2] is set as the initial value of the variable T ′ [0].
[0020]
The variable i is changed from n−2 to 0, the elliptic doubling ECDBL (T ′ [0]) is calculated, and the calculation result is set to the variable T ′ [0]. The elliptic addition ECADD (T '[0], T' [2]) of the point T '[0] and the point T' [2] is calculated, and the calculation result is set to a variable T '[1]. The value of T '[0] or T' [1] is stored in T '[0] according to the value of d [i].
[0021]
After executing the above-described processing from i = n−2 to i = 0, the variable T ′ [0] is converted from the RPC expression to the coordinates of a point on the elliptic curve, and the coordinates are obtained by scalar multiplication d × P. Is output as the coordinates of the point Q.
[0022]
FIG. 14 is a diagram illustrating a calculation program of Algorithm 4 for calculating a scalar multiplication d × P from an LSB (Least Significant Bit) of an integer d by a Binary Method. The algorithm 4 is an algorithm that always calculates the elliptic addition ECADD and the elliptic doubling ECDBL, and is an algorithm to which RPC is applied.
[0023]
First, 0 is set as the initial value of the variable T ′ [0], and the coordinates of the point RPC (P) on the elliptic elliptic curve are set as the initial value of the variable T ′ [2].
Elliptic addition ECADD (T '[0], T' [2]) of point T '[0] and point T' [2] is calculated by changing the variable i from 0 to n-1. Set to T '[1]. The ellipse doubling ECDBL (T ′ [2]) of the point T ′ [2] is calculated, and the calculation result is set to a variable T ′ [2]. The value of T '[0] or T' [1] is stored in T '[0] according to the value of d [i].
[0024]
After executing the above processing from i = 0 to i = n−1, the variable T ′ [0] is converted from the RPC expression to the coordinates of a point on the elliptic curve, and the converted coordinates are obtained by scalar multiplication d × P. It is output as the coordinates of the obtained point Q.
[0025]
As a method having the same effect as the above-described method using random numbers, a method using a Montgomery-Ladder and an RPC in which SPA countermeasures are used is described in T.K. Izu, and T .; Takagi, "A Fast Parallel Elliptic Curve Multiplication Resistant Against Side Channel Attack", PKC 2002, LNCS 2274, pp. 280-296, Spring, which is proposed by Spring. It is characterized by using a scalar multiplication method called Montgomery-Ladder, which takes measures against it. In Montgomery-Ladder, the scalar multiplication Q = d × P always calculates the ellipse doubling and elliptic addition. Calculation of two points so that the difference is 1P is performed.
[0026]
FIG. 15 is a diagram showing a calculation program of a scalar multiplication algorithm 5 using Montgomery-Ladder and RPC that take the SPA countermeasure.
First, a point RPC (P) on an elliptic curve using a random number is set as an initial value of a variable T ′ [0], and an ellipse twice of the point T ′ [0] is set as an initial value of the variable T ′ [1]. The coordinates of the point obtained by the calculation ECDBL (T '[0]) are set.
[0027]
Next, the variable i is changed from n−2 to 0, the elliptic doubling ECDBL (T ′ [d [i]]) is calculated, and the calculation result is stored in the variable T ′ [2].
Next, an elliptic addition ECADD (T '[0], T' [1]) of T '[0] and T' [1] is calculated, and the calculation result is stored in a variable T '[1].
[0028]
Next, the value of T [2-d [i]] determined by the value of the coefficient d [i] is set to a variable T '[0].
Similarly, the value of T '[1 + d [i]] determined by the value of the coefficient d [i] is set to the variable T' [1].
[0029]
After the above processing is repeated from i = n−2 to i = 0, the coordinates of the variable T ′ [0] expressed using random numbers are inversely transformed into the original coordinates on the elliptic curve, and the scalar multiplication d × Output as coordinates of point R of P.
[0030]
As a calculation method of scalar multiplication having the same effect as RPC, M.P. Joye, and C.W. Tymen, "Protections against differential analysis for elliptic curve cryptography", CHES 2001, LNCS 2162, pp. 377-390, Springer-Verlag, 2001. In (JT01), there is a RC (Randomized Curve) method. RC is a method that can be applied only to a wire-strass type elliptic curve on a prime field, and is a DPA measure using a point expression using random numbers in the same way as RPC.
[0031]
FIG. 16 shows an algorithm 3 ′ in which RC is applied instead of RPC of algorithm 3 described above. FIG. 17 shows an algorithm 5 ′ in which RC is applied to algorithm 5. In FIGS. 16 and 17, points on the elliptic curve represented by RC are indicated by variables with double dashes (").
[0032]
The operation programs of the algorithms 3 ′ and 5 ′ of FIGS. 16 and 17 are basically the same as the operation programs of FIGS. 13 and 15. A different point is that scalar multiplication is calculated using coordinates obtained by converting the coordinates of the point P on the elliptic curve by RC.
[0033]
As a method of realizing the scalar multiplication d × P, there is a method called Window Method other than the algorithm described above. For example, in the case of a 4-bit Window Method, 0 to 15 times P is calculated as initial processing, the result is stored as a table, and the secret key is processed in units of 4 bits (this is called Window).
[0034]
FIG. 18 shows Algorithm 6 which is a basic algorithm of the 4-bit Window Method. It is assumed that d is an n-bit scalar value and is a multiple of 4. Also, d [n-1, n-4] is a 4-bit value from the lower (n-1) th bit to the (n-4) th bit of the integer d, and W [i] is a table used in the Window Method. It is.
[0035]
First, the coordinates of the point 0 on the elliptic curve are set as an initial value in the variable W [0], the coordinates of the point P on the elliptic curve are set as the initial value of the variable W [1], and the variable W [2] The coordinates of the point of the ellipse doubling ECDBL (P) of the point P are set as the initial value of.
[0036]
Next, the variable i is changed from 3 to 15, an elliptic addition ECADD (W [i-1], P) of the point W [i-1] and the point P is calculated, and the calculation result is stored in a table W [i]. To be stored.
[0037]
By the above processing, for example, when the variable i is 3, W [3] = ECADD (W [2], P), and the point obtained by the calculation of the ellipse doubling 2 × P, the point P Are calculated and stored in the table W [i].
[0038]
Next, W [d [n-1, n-4]] is set as a variable Q.
Next, the variable i is changed from n-5 to 0 in units of 4 bits, and the calculation of the elliptic doubling ECDBL (Q) is performed four times. Four elliptic doubling ECDBL operations shift data of 4 bits from the bit position specified by the variable i. Further, the elliptic addition ECADD (Q, W [d [i, i-3]]) is calculated, and the result of four elliptic doubling ECDBL calculations and W [d [i, i] obtained from the table W are obtained. -3]] is calculated.
[0039]
By executing the above processing from i = n−5 to i = 0, the coordinates of the scalar multiplication d × P point are obtained.
When the above algorithm 6 is used, there is no processing that is performed or not performed depending on the bit value of the integer d. For this reason, Window Method is generally said to be safe against SPA attacks, unlike Binary Method. However, the Window Method is not safe against a DPA attack like the Binary Method, and it is possible to estimate d by the power analysis method of Reference 1.
[0040]
It is known that RPC and RC are effective as a Binary Method as a countermeasure for DPA of Window Method.
FIG. 19 shows an operation program of algorithm 7 in which RPC is applied to algorithm 6, and FIG. 20 shows an operation program of algorithm 8 in which RC is applied to algorithm 6.
[0041]
The DPA resistance can be improved by the algorithm 7 of FIG. 19 and the algorithm 8 of FIG.
[0042]
[Non-patent document 1]
JEAN-SEBESTIN CORON, "Resistance against Differential Power Analysis for Elliptic Curve Cryptosystems", Cryptographic Credits ed. 1717, Springer-Verlag, pp. 292-302, 1999
[0043]
[Non-patent document 2]
K. Itoh, T.W. Izu, and M.S. Takenaka, "Address-bit Differential Power Analysis of Cryptographic Schemes OK-ECDH and OK-ECDSA", Cryptographic Hardware and Enhanced Medicine, 200, 2000, 2003. 129-143
[0044]
[Problems to be solved by the invention]
Conventionally, it has been said that the

above algorithms

3, 5, 3 ', 5', 7, 8 are safe against SPA and DPA attacks.
[0045]
However, K. Itoh, T.W. Izu, and M.S. Takenaka, "Address-bit Differential Power Analysis of Cryptographic Schemes OK-ECDH and OK-ECDSA", Cryptographic Hardware and Enhanced Medicine, 200, 2000, 2003. 129-143 (hereinafter referred to as Document 2) discloses a method of performing power analysis on Algorithm 5. While the conventional DPA focuses on the power consumption caused by data changes, this method (address-bit DPA) is an analysis method that focuses on the power consumption caused by address changes.
[0046]
For example, in the algorithm 5 of FIG. 15, the processing of T ′ [2] = ECDBL (T ′ [d [i]]) (the processing indicated by * in FIG. 15) is performed according to the value of d [i]. 0] or T ′ [1] is used. Therefore, the address where the data used in the elliptic addition ECADD is stored has a strong correlation with d [i]. The same applies to the processing of T '[0] = T' [2-d [d [i]] and the processing of T '[1] = T' [1 + d [i]] (processing indicated by # in FIG. 15). ). As a result, the address-bit DPA can analyze the secret key d by utilizing the correlation with the address.
[0047]
The address-bit DPA of Document 2 is also applicable to algorithms 3 ′ and 5 ′. Also, the Window Method of the algorithms 7 and 8 is considered to be able to perform the same attack because the value of the secret key d and the table to be used have a strong relationship.
[0048]
Therefore,

algorithms

3, 5, 3 ', 5', 7, 8 are not safe against address-bit DPA attacks.
As a countermeasure against the address-bit DPA of Document 2, a method of randomly changing a scalar value, for example, an exponent-splitting has been proposed.
[0049]
In Exponent-splitting, a random number r is generated, r × P and (dr) × P are separately calculated, and scalar multiplication d is obtained from the property of r × P + (dr) × P = d × P. XP is calculated. Here, for the scalar multiplication r × P and (dr) × P, an algorithm having resistance to conventional SPA and DPA attacks is used. With respect to the Address-bit DPA, since the scalar value changes at random, information about d is not collected, so that protection is possible.
[0050]
FIG. 21 is a diagram showing a calculation program of Algorithm 9 of Exponent-splitting.
In FIG. 21, random () is a function for generating an n-bit random number. Further, scalar (d, P) is a function for calculating scalar multiplication d × P, and is realized by the above-described

algorithms

3, 3 ′, 5, 7, and the like.
[0051]
Although there is no known attack report on Exponent-splitting, if one of the scalar multiplications is calculated by an algorithm having no SPA / DPA tolerance as proposed by the proposers, a DPA attack can be performed on the entire scalar multiplication.
[0052]
An object of the present invention is to improve resistance to a power analysis attack.
[0053]
[Means for Solving the Problems]
The elliptic curve encryption device of the present invention generates an elliptic curve E on a finite field, a base point P on the elliptic curve, a storage unit for storing an integer d, and generates s (s ≧ 2) random numbers r1 to rs. R1 × P, r2 × P,..., Rs × P, (d−r1... -Rs) × using s random numbers generated by the random number generating means And an operation means for executing operations of s + 1 scalar multiplications of P and performing elliptic addition of points obtained by the operations to calculate scalar multiplication d × P.
[0054]
According to the present invention, by performing s + 1 times of scalar multiplication calculations using s random numbers, it is possible to improve the resistance of the elliptic curve cryptosystem to a power analysis attack.
[0055]
Another elliptic curve encryption device of the present invention includes a storage unit for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d, a random number generating unit for generating random numbers r1 and r2. , Scalar multiplication of r1 × P, scalar multiplication of r2 × P, and scalar multiplication of (d−r1−r2) × P are respectively performed using random numbers generated by the random number generation means. And an operation means for performing elliptic addition of points obtained by the scalar multiplication to calculate scalar multiplication d × P.
[0056]
According to the present invention, the resistance of the elliptic curve cryptosystem to the power analysis attack can be improved by performing the scalar multiplication three times using two random numbers.
Another elliptic curve encryption device of the present invention includes a storage unit for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d, a random number generating unit for generating random numbers r1 and r2. The scalar multiplication of r1 × P, the scalar multiplication of r2 × (r1 × P), and the scalar multiplication of (d−r1 × r2) × P are performed using the random numbers generated by the random number generation means. Each is executed, and a scalar multiplication d is performed by elliptic addition of a point P1 obtained by scalar multiplication of r2 × (r1 × P) and a point P2 obtained by scalar multiplication of (d−r1 × r2) × P. XP calculating means.
[0057]
According to the present invention, by performing scalar multiplication using a value obtained by multiplying the random numbers r1 and r2, estimation of individual random numbers by power analysis becomes difficult, and estimation of an integer d becomes more difficult. Thereby, the resistance of the elliptic curve cryptosystem to power analysis attacks can be improved. In addition, since only one calculation of the ellipse addition of the points P1 and P2 is required, the calculation time of the ellipse addition can be reduced. Furthermore, since the product of the random number r1 and the random number r2 only needs to have the same bit length as the integer d, the bit lengths of the random numbers r1 and r2 can be shorter than the bit length of the integer d. Thereby, the calculation time of the scalar multiplication of the random number and the point P can be shortened, and the entire calculation time of the scalar multiplication can be shortened.
[0058]
Another elliptic curve encryption device of the present invention includes a storage unit for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d, a random number generating unit for generating random numbers r1 and r2. , Scalar multiplication of (d−r1) × P, scalar multiplication of (d + r2) × P, and r2 × ((d−r1) × P) A scalar multiplication and a scalar multiplication of r1 × ((d + r2) × P) are executed, respectively, and a point P1 obtained by the scalar multiplication of r2 × ((d−r1) × P) and r1 × (( The scalar multiplication d × P is calculated by executing the scalar multiplication of the point P2 obtained by the scalar multiplication of (d + r2) × P) and the operation result of the ellipse addition and 1 / (r1 + r2). Computing means.
[0059]
According to the present invention, it is possible to make it difficult to estimate the integer d by power analysis by executing scalar multiplication five times using the random numbers r1 and r2.
Note that the storage unit corresponds to, for example, the storage unit 16 and the register 14 in FIG. 1, and the operation unit corresponds to the operation unit 12 or the operation unit 13.
[0060]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings. The elliptic curve encryption device according to the embodiment includes, for example, a dedicated information processing device, a personal computer, an IC chip built in an IC card (smart card), a mobile phone, a portable information terminal device, a DVD player, and the like. It has a processor for calculating the curve.
[0061]
FIG. 1 is a diagram showing a configuration of a main part of an elliptic curve encryption device 11 according to the present invention. The operation unit 12 of the elliptic curve encryption device 11 according to the embodiment includes an operation unit (CPU) 13 and a register 14 including a plurality of registers. The operation result is input to the register 14 again. The storage unit 16 includes a hard disk, a memory, and the like, and stores a calculation program of scalar multiplication of elliptic curve cryptography described later. The calculation unit 12 executes a calculation program stored in the storage unit 16, generates random numbers r1, r2, and the like, and calculates scalar multiplication d × P using those random numbers.
[0062]
In the following description, a case will be described in which the calculation method of the elliptic curve cryptography according to the present invention is applied to an elliptic curve in a prime field GF (p) (p is a prime number of 5 or more).
The circular curve E on GF (p) can be expressed by the following equation.
[0063]
E: y ＾ 2 = x ＾ 3 + a × x + b
Here, a, b, x, and y are elements of GF (p) and satisfy 4 × a ＾ 3 + 27 × b ＾ 2 ≠ 0.
[0064]
FIG. 2 is a diagram showing a scalar multiplication operation program according to the first embodiment of the present invention.
The first embodiment receives an n-bit integer d, a base point P on an elliptic curve, and a parameter s as inputs, generates s random numbers r1, r2,... Rs, and converts a scalar d to r1. , R2, ..., rs, d-r1-r2 -...- rs, and s + 1 scalar multiplications r1 * P, r2 * P, ..., rs * P, (d-r1-r2 -...- rs ) × P is calculated individually.
[0065]
The calculation program of the first embodiment (the same applies to other embodiments) described below is executed by the calculation unit 12, and a value in the middle of calculation or a calculation result is stored in the register 14.
[0066]
The calculation unit 12 sets an integer d as a variable r [s + 1] (FIG. 2, S21). The variable i is sequentially changed from i = 1 to i = s (FIG. 2, S23), and the processing of steps S24 and S25 is executed.
[0067]
In step S24, a random number is generated by the function random (), and the generated random number is set in a variable r [i]. In the next step S25, a random number r [i] is subtracted from the variable r [s + 1], and the subtraction result is set in the variable r [s + 1].
[0068]
After steps S23 to S26, a scalar multiplication operation is performed. The variable i is changed from i = 1 to i ≦ s + 1 (S28 in FIG. 2), a scalar multiplication of r [i] × P is calculated using a function scalar (r [i], P), and the calculation result is It is stored in a variable d [i] (FIG. 2, S29).
[0069]
Here, r [i] is s random numbers r [1], r [2]... R [s] generated by the function random (). By repeating the processing of steps S23 to S25 s times, r [s + 1] = d-r1-r2-... -Rs "is obtained as the final value of r [s + 1]. By repeating the processing of steps S28 to S29 s + 1 times, scalar multiplication r1 × P, r2 × P, r3 × P,... Rs × P, (d−r1−r2... −rs) × P is calculated in order.
[0070]
Next, scalar integration is performed. The variable i is changed from i = 1 to i ≦ s + 1 (S32 in FIG. 2), the elliptic addition ECADD (Q, d [i]) of each point is calculated, and the calculation result is stored in the variable Q (FIG. 2). , S33). After executing the above processing from i = 1 to s + 1, the variable Q is output as the result of the scalar multiplication d × P (S35 in FIG. 2).
[0071]
The processing in steps S32 and S33 is processing for calculating elliptic addition ECADD of s + 1 points. The variable Q after repeating the loop processing of steps S32 to S33 s + 1 times can be expressed by the following equation.
[0072]

Since the above equation (1) is equal to d × P, the scalar multiplication d × P can be calculated by obtaining the variable Q.
[0073]
FIG. 3 is an explanatory diagram of the scalar multiplication d × P according to the first embodiment.
When i = 1, scalar multiplication of r1 × P is calculated, and when i = 2, scalar multiplication of r2 × P is calculated. When i = s, a scalar multiplication of rs × P is calculated. When i = s + 1, a scalar multiplication of (d−r1−r2... −rs) × P is calculated. Then, by calculating the elliptic addition ECADD of the points obtained by s + 1 scalar multiplications, a scalar multiplication of d × P can be obtained.
[0074]
According to the first embodiment, the number of random numbers specified by the parameter s is generated, and the calculation of the scalar multiplication is performed s + 1 times using the generated s random numbers. Can be difficult to estimate the integer d by the power analysis. Further, by changing the parameter s every time scalar multiplication is performed on individual data, estimation of the integer d can be made more difficult.
[0075]
Next, FIG. 4 is a diagram showing a calculation program for scalar multiplication according to the second embodiment of the present invention.
In the second embodiment, in the first embodiment, at least two scalar multiplications among s + 1 scalar multiplication calculations are performed using an algorithm having resistance to DPA. It is. The other scalar multiplication calculation may use an algorithm having no DPA tolerance, or may use an algorithm having DPA tolerance.
[0076]
The processing from S41 to S46 in FIG. 4 is the same as the processing from S21 to S26 in FIG. Next, in step S48 of FIG. 4, the function select2 (s + 1) is used to determine which of the s + 1 scalar multiplication calculations uses an algorithm that is secure against DPA attacks. Here, the function select2 (s + 1) is a function that sets the value of two arrays t [] in the s + 1 arrays to 1 and the value of the other arrays t [] to 0.
[0077]
Next, the variable i is sequentially changed from i = 1 to i = s + 1 (FIG. 4, S50). It is determined whether t [i] = 1 (FIG. 4, S51).
When t [i] = 1, in the next step S52, a scalar multiplication of the random number r [i] and the point P is calculated using the function scalar (r [i], P), and the calculation result is represented by a variable d [ i].
[0078]
Here, the function scalar (r [i], P) calculates the scalar multiplication using an algorithm that is resistant to the DPA attack, for example, the algorithm 3 in FIG. 13 or the algorithm 5 in FIG. Function.
[0079]
When t [i] = 0, the process proceeds to step 53. Then, in the next step S54, a scalar multiplication of the random number r [i] and the point P is calculated using the function scalar2 (r [i], P), and the calculation result is stored in a variable d [i].
[0080]
The function scalar2 (r [i], P) is a function for calculating scalar multiplication by an algorithm that does not require resistance to a DPA attack. Of course, the calculation may be performed using an algorithm having resistance to the DPA attack.
[0081]
Next, scalar integration is performed. The variable i is changed from i = 1 to i ≦ s + 1 (FIG. 4, S57), and the elliptic addition ECADD (Q, d [i]) is calculated (FIG. 4, S58). After executing the processing of steps S57 and S58 from i = 1 to s + 1, the variable Q is output as a result of scalar multiplication d × P (FIG. 4, S60).
[0082]
In the second embodiment, in addition to the effects of the above-described first embodiment, an algorithm having resistance to a DPA attack is calculated in at least two scalar multiplication calculations out of s + 1 scalar multiplication calculations. The use of an algorithm that does not have DPA tolerance for other scalar multiplications has the effect of reducing the overall calculation time of scalar multiplication compared to using an algorithm that has DPA tolerance for all calculations. Can be
[0083]
Next, a case where r = 2 in the above-described first and second embodiments will be described.
The first 'embodiment corresponds to the case of s = 2 of the first embodiment, generates two random numbers r1 and r2, and divides the scalar d into r1, r2, d-r1-r2. Then, three scalar multiplications r1 × P, r2 × P, and (d−r1−r2) × P are individually calculated.
[0084]
When the scalar multiplication of r1 × P, the scalar multiplication of r2 × P, and the scalar multiplication of (d−r1−r2) × P are completed, the elliptic addition ECADD of three points obtained by those operations is calculated. I do. Elliptic addition of three points can be expressed by the following equation.
[0085]
r1 × P + r2 × P + (d−r1−r2) × P = (r1 + r2 + (d−r1−r2)) × P = d × P
Therefore, scalar multiplication d × P can be calculated by calculating elliptic addition ECADD of three points.
[0086]
In the first embodiment, the scalar multiplication of r1 × P, r2 × P, and (d−r1−r2) × P is performed by using an algorithm that is resistant to a DPA attack. The calculation of the multiplication d × P can be executed while maintaining the resistance to the DPA attack.
[0087]
According to the first 'embodiment, by using two random numbers and individually calculating three scalar multiplications, it is difficult to estimate the integer d by power analysis. In this case, the calculation time can be reduced because only three scalar multiplications need to be calculated.
[0088]
Next, the second embodiment corresponds to the case where s = 2 in the second embodiment, and three scalar multiplications r1 × P, r2 × P, (d−r1−r2) × The two scalar multiplications of P are randomly specified, the two scalar multiplications are calculated using an algorithm that is resistant to DPA attacks, and the remaining one scalar multiplication is calculated by the DPA. This is performed using an algorithm that does not have resistance to attacks.
[0089]
According to the second 'embodiment, two of the three scalar multiplication calculations use an algorithm that is resistant to a DPA attack, and the other calculation has no resistance. By using, the calculation time of the scalar multiplication d × P can be reduced while maintaining the resistance to the DPA attack.
[0090]
Next, FIG. 5 is a diagram showing a scalar multiplication operation program according to the third embodiment of the present invention.
The third embodiment generates an integer d, the coordinates of a base point P, and two random numbers r1 and r2, divides the scalar d into r1, r2, and d-r1-r2, and performs three scalar multiplications. The calculations r1 × P, r2 × (r1 × P), and (d−r1 × r2) × P are individually calculated.
[0091]
A random number is generated using the function random (), and the generated random number is stored in a variable r [1] (FIG. 5, step 62). Similarly, a random number is generated using the function random (), and the generated random number is stored in a variable r2 (FIG. 5, S63).
[0092]
Next, scalar multiplication is calculated. A scalar multiplication of the random number r [1] and the point P is calculated using the function scalar (r [1], P), and the calculation result is stored in a variable P [1] (FIG. 5, S65).
[0093]
Next, using the variable P [1] obtained by the above processing and the function scalar (r [2], P [1]), a scalar multiplication r [2] of the random number r [2] and the point P [1] is performed. 2] × (r1 × P) is calculated, and the calculation result is stored in a variable P [2] (FIG. 5, S66).
[0094]
Next, using the random numbers r [1] and r [2] and the function scalar (dr [1] × r [2], P), a scalar (dr [1] × r [2]) and point A scalar multiplication with P is calculated, and the calculation result is stored in a variable P [3] (FIG. 5, S67).
[0095]
By performing the processing of steps S65 to S67, a scalar multiplication of r [1] × P, a scalar multiplication of r [2] × r [1] × P, and (d−r [1]) × r [2]) × P scalar multiplication is calculated.
[0096]
Next, scalar integration is performed. The elliptic addition ECADD (P [2], P [3]) of the point determined by the variable P [2] and the point determined by the variable P [3] is calculated, and the calculation result is stored in the variable Q (FIG. 5, S69). . Finally, the coordinates of the variable Q are output as the result of the scalar multiplication d × P (FIG. 5, S70).
[0097]
The process of step S69 is a process of calculating the elliptic addition ECADD of the two points P [2] and P [3], and the variable Q after the process of step S69 ends can be expressed by the following equation. .
[0098]
Q = r [1] × r [2] × P + (dr- [1] × r [2]) × P (2)
Since the above equation (2) is equal to d × P, the scalar multiplication d × P can be calculated by the above processing.
[0099]
FIG. 6 is an explanatory diagram of the scalar multiplication d × P according to the third embodiment.
Assuming that random numbers are r1 and r2, a scalar multiplication of r1 × P is calculated first, and then a scalar multiplication of a point obtained by the scalar multiplication of r1 × P and r2, that is, r1 × r2 × A scalar multiplication of P is calculated. Further, a scalar multiplication of (dr- [1] × r [2]) and P is calculated.
[0100]
Then, by calculating the elliptic addition ECADD of the point “r1 × r2 × P” obtained by the above scalar multiplication and the point “(d−r1 × r2) × P”, the scalar multiplication of d × P is performed. Can be calculated.
[0101]
According to the third embodiment, it is difficult to estimate the integer d by power analysis by calculating three scalar multiplications using two random numbers, and to make the elliptic curve cryptography resistant to DPA attacks. Can be improved. Further, in the third embodiment, since the scalar multiplication is a multiplication of two random numbers r [1] and r [2], it becomes more difficult to estimate the random numbers. Also, the bit length of the random numbers r [1] and r [2] can be shorter than the bit length of the integer d. As a result, the calculation time of the scalar multiplication of the random number and the point P is reduced, so that the entire calculation time of the scalar multiplication of d × P can be reduced.
[0102]
Next, FIG. 7 is a diagram showing a scalar multiplication operation program according to the fourth embodiment of the present invention.
The fourth embodiment uses an algorithm having resistance to a DPA attack in the calculation of two scalar multiplications in the calculation of three scalar multiplications of the third embodiment.
[0103]
The processing in steps S71 to S73 in FIG. 7 is the same as the processing in steps S61 to S63 in the calculation program in FIG.
In step S75, an array where t [i] = 1 is determined using the function select2 (s + 1). In this case, since s = 2, the values of any two of the three arrays t [i] are set to 1 and the others are set to 0.
[0104]
Next, scalar multiplication is calculated. When the array t [1] corresponding to r [1] is 1, a scalar multiplication r1 × P of the random number r [1] and the point P is calculated using the function scalar (r [1], P), The calculation result is stored in a variable P [1]. If t [1] is not 1 (S77, Selle), a scalar multiplication r [1] × P is calculated using a function scalar2 (r [1], P), and the calculation result is set as a variable P [1]. It is stored (S77 in FIG. 7).
[0105]
Next, when the array t [2] corresponding to r [2] is 1, a scalar between the random number r [2] and the point P [1] using the function scalar (r [2], P [1]). The multiplication r [2] × P [1] = r [2] × (r [1] × P) is calculated, and the calculation result is stored in a variable P [2]. If t [2] is not 1 (S78, Selle), scalar multiplication r [2] × (r [1] × P) is calculated using function scalar2 (r [2], P), and the calculation result is obtained. Is stored in a variable P [2] (FIG. 7, S78).
[0106]
Next, when the array t [3] is 1, a scalar (dr [1] × r [2]) is obtained using the function scalar (dr [1] × r [2], P [2]). And a scalar multiplication of the point P is calculated, and the calculation result is stored in a variable P [3]. If t [3] is not 1 (S79, else), scalar multiplication (dr [1] × r [2] using function scarr2 (dr [1] × r [2], P) is performed. ) × P is calculated, and the calculation result is stored in a variable P [3] (FIG. 7, S79).
[0107]
Next, an ellipse addition ECADD (P [2], P [3]) of the point P [2] and the point P [3] is calculated (FIG. 7, S81). Finally, the coordinates of the variable Q are output as the calculation result of the scalar multiplication d × P (FIG. 7, S82).
[0108]
According to the fourth embodiment, in addition to the effects of the third embodiment described above, two scalar multiplications among the three scalar multiplications are performed using an algorithm having resistance to a DPA attack, By using an algorithm that does not have the resistance of another scalar multiplication, the overall calculation time of the d × P scalar multiplication can be reduced. In addition, every time a scalar multiplication is performed on one data, it is arbitrarily determined which scalar multiplication uses an algorithm that is resistant to a DPA attack, so that power analysis is more difficult. become.
[0109]
Next, FIG. 8 is a diagram showing a scalar multiplication operation program according to the fifth embodiment of the present invention.
In the fifth embodiment, two random numbers r1 and r2 are generated, a scalar d is divided into d = ((d−r1) × r2 + (d + r2) × r1) / (r1 + r2), and four scalars are generated. The multiplication (d−r1) × P, (d + r2) × P, r2 × ((d−r1) × P), r1 × ((d + r2) × P) are individually calculated, and the result of the elliptic addition and 1 / Scalar multiplication with (r1 + r2).
[0110]
A random number is generated using the function random (), and the generated random number is stored in a variable r [1] (FIG. 8, step 92). Similarly, a random number is generated using the function random (), and the generated random number is stored in a variable r [2] (FIG. 8, S93).
[0111]
Next, scalar multiplication is calculated. A scalar multiplication r [1] × P of the random number r [1] and the point P is calculated using the function scalar (r [1], P), and the calculation result is stored in a variable P [1] (FIG. 8). , S95).
[0112]
Next, a scalar multiplication (d + r [2]) × P [1] is calculated using the point P [1] obtained by the processing in step S95 and the function scalar (d + r [2], P [1]). Then, the calculation result is stored in a variable P [2] (FIG. 8, S96).
[0113]
Next, a scalar multiplication r [2] × P of the random number r [2] and the point P is calculated using the function scalar (r [2], P), and the calculation result is stored in a variable P [3]. (FIG. 5, S97).
[0114]
Next, a scalar multiplication (dr [1]) × P [using the point P [3] obtained by the process of step S97 and the function scalar (dr [1], P [3]). 3] = (dr- [1]) × r [2] × P, and the calculation result is stored in a variable P [4] (FIG. 8, S98).
[0115]
By executing the processes of steps S95 to S98, a scalar multiplication of r [1] × P, a scalar multiplication of (d + r [2]) × r [1] × P, and r [2] × Scalar multiplication of P and scalar multiplication of (dr- [1]) × r [2] × P are performed.
[0116]
Next, scalar integration is performed. The elliptic addition ECADD (P [3], P [4]) of the point determined by the variable P [3] and the point determined by the variable P [4] is calculated, and the calculation result is stored in the variable Q (FIG. 8, S100). . That is, a point P [2] obtained by scalar multiplication (d + r [2]) × r [1] × P and a point obtained by scalar multiplication (d−r [1]) × r [2] × P Calculate the elliptic addition ECADD of P [4].
[0117]
Next, a scalar multiplication of the scalar (1 / (r [1] + r [2]) and the variable Q is calculated using the function scalar (1 / (r [1] + r [2]), Q) (FIG. 8, S101) Finally, the coordinates of the variable Q are output as the calculation result of the scalar multiplication d × P (FIG. 8, S102).
[0118]
The variable Q after completing the processing in step S101 can be represented by the following equation.

Since the above equation (3) is equal to d × P, the scalar multiplication d × P can be calculated as the variable Q by the above processing.
[0119]
FIG. 9 is an explanatory diagram of the scalar multiplication d × P according to the fifth embodiment.
Assuming that random numbers are r1 and r2, a scalar multiplication of r1 × P is calculated first, and then a scalar multiplication of d + r2 and r1 × P, that is, a scalar multiplication of r1 × (d + r2) × P is calculated. Is done.
[0120]
Further, a scalar multiplication of r2 × P is calculated, and a scalar multiplication of a point r2 × P obtained by the calculation and a scalar (d−r1), that is, a scalar multiplication of r1 × (d−r1) × P is performed. Is calculated.
[0121]
Then, the point r1 × (d + r2) × P obtained by the above scalar multiplication and the elliptic addition ECADD of the points r1 × (d−r1) × P (r1 × (d + r2) × P, r1 × (d-r1) XP), a scalar multiplication of dxP can be obtained.
[0122]
According to the fifth embodiment, it is possible to make it difficult to estimate the integer d by individually calculating five scalar multiplications using two random numbers, and to improve resistance to a power analysis attack. it can.
[0123]
Here, an example of a hardware configuration of an elliptic curve cryptographic device that executes the scalar multiplication operation program according to the above-described embodiment will be described with reference to FIG. The elliptical encryption device can be realized by, for example, an information processing device such as a personal computer.
[0124]
The CPU 23 executes the above-described scalar multiplication operation program and the like. The ROM 24 stores a control program such as a BIOS. The RAM (memory) 26 is used as various registers used for calculation. The storage device 25 stores an arithmetic program for elliptic curve cryptography and the like.
[0125]
The recording medium reading device 27 is a device that reads or writes on a portable recording medium 28 such as a CDROM, a DVD, a flexible disk, and an IC card.
[0126]
The input device 29 is a device for inputting data such as a keyboard. The communication interface 30 is a device for connecting to a network 31 such as the Internet, and can download a program from a server of an information provider 32 on the network via this device. Note that the CPU 22, the RAM 24, the external storage device 25, and the like are connected by the bus 22.
[0127]
INDUSTRIAL APPLICABILITY The present invention is not limited to a dedicated device for performing encryption and decryption of elliptic curve cryptography, and can be applied to various products such as an IC card, a DVD device, a mobile phone, and a personal computer.
[0128]
Further, the present invention is not limited to the algorithm for calculating the scalar multiplication described in the embodiment and can be applied to other algorithms for elliptic curve cryptography.
(Supplementary Note 1) Storage means for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d,
random number generating means for generating s (s ≧ 2) random numbers r1 to rs;
Using the random numbers generated by the random number generating means, scalar multiplication of r1 × P, r2 × P,..., Rs × P, (d−r1. An elliptic curve cryptographic apparatus comprising: an arithmetic unit for executing the calculation and performing the elliptic addition of the points obtained by these operations to calculate the scalar multiplication d × P.
(Supplementary Note 2) storage means for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d;
Random number generating means for generating random numbers r1 and r2,
Using the random numbers generated by the random number generation means, scalar multiplication of r1 × P, scalar multiplication of r2 × P, and scalar multiplication of (d−r1−r2) × P are executed. An elliptic curve encryption device comprising: an arithmetic unit that performs elliptic addition of points obtained by the scalar multiplication to calculate a scalar multiplication d × P.
(Supplementary Note 3) storage means for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d;
Random number generating means for generating random numbers r1 and r2,
Using a random number generated by the random number generating means, a scalar multiplication of r1 × P, a scalar multiplication of r2 × (r1 × P), and a scalar multiplication of (d−r1 × r2) × P are respectively performed. Is executed, and a point P1 obtained by scalar multiplication of r2 × (r1 × P) and a point P2 obtained by scalar multiplication of (d−r1 × r2) × P are subjected to scalar multiplication d × by elliptic addition. An elliptic curve encryption device comprising: an arithmetic unit for calculating P.
[0129]
(Supplementary Note 4) storage means for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d;
Random number generating means for generating random numbers r1 and r2,
Using a random number generated by the random number generating means, a scalar multiplication of (d−r1) × P, a scalar multiplication of (d + r2) × P, and a scalar of r2 × ((d−r1) × P) The multiplication and the scalar multiplication of r1 × ((d + r2) × P) are executed, respectively, and the points P1 and r1 × ((d + r2) obtained by the scalar multiplication of r2 × ((d−r1) × P) are executed. ) × P), an ellipse addition to the point P2 obtained by the scalar multiplication of () × P) and a scalar multiplication of the result of the ellipse addition and 1 / (r1 + r2) to calculate a scalar multiplication d × P. And an elliptic curve encryption device.
(Supplementary Note 5) Obtain an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d,
Generate s random numbers r1 to rs,
Using s random numbers, scalar multiplication operations of r1 × P, r2 × P,..., rs × P, (d−r1... −rs) × P are executed, respectively. An elliptic curve cryptographic program for performing scalar multiplication d × P by performing elliptic addition of points obtained by calculation.
(Supplementary Note 6) In the elliptic curve encryption device according to supplementary note 2,
The arithmetic means individually calculates the three scalar multiplications based on an algorithm having resistance to a power analysis attack.
[0130]
(Supplementary note 7) In the elliptic curve encryption device according to supplementary note 2,
The arithmetic means individually calculates two scalar multiplications among the three scalar multiplications based on an algorithm having resistance to power analysis attacks, and has the other scalar multiplications resistant to power analysis attacks. Not calculated based on algorithm.
[0131]
(Supplementary Note 8) In the elliptic curve encryption device according to supplementary note 3,
The arithmetic means includes an algorithm having resistance to a power analysis attack in at least two scalar multiplication operations in three scalar multiplication operations of r1 × P, r2 × P, and (d−r1−r2) × P. Used.
[0132]
(Supplementary Note 9) An elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d are stored in a storage unit,
Random numbers r1 and r2 are generated, and a scalar multiplication of r1 × P, a scalar multiplication of r2 × P, and a scalar multiplication of (d−r1−r2) × P are performed by using the generated random numbers. An elliptic curve cryptographic program that performs scalar multiplication d × P by executing respective arithmetic operations and performing elliptic addition of points obtained by the scalar multiplication.
[0133]
(Supplementary Note 10) An elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d are stored in a storage unit,
Random numbers r1 and r2 are generated, and using the generated random numbers, a scalar multiplication of r1 × P, a scalar multiplication of r2 × (r1 × P), and (d−r1 × r2) × The scalar multiplication of P is executed, and the ellipse of the point P1 obtained by scalar multiplication of r2 × (r1 × P) and the point P2 obtained by scalar multiplication of (d−r1 × r2) × P Elliptic curve cryptographic program that calculates scalar multiplication d × P by addition.
[0134]
(Supplementary Note 11) An elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d are stored in a storage unit,
Random numbers r1 and r2 are generated, and using the generated random numbers, the arithmetic unit performs scalar multiplication of (d−r1) × P, scalar multiplication of (d + r2) × P, and r2 × ((d− The scalar multiplication of r1) × P) and the scalar multiplication of r1 × ((d + r2) × P) are executed, respectively, and a point P1 obtained by the scalar multiplication of r2 × ((d−r1) × P). And elliptic addition of a point P2 obtained by scalar multiplication of r1 × ((d + r2) × P) and scalar multiplication of 1 / (r1 + r2) with the result of the elliptic addition. Elliptic curve cryptographic program for calculating d × P.
[0135]
(Supplementary Note 12) An elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d are stored in a storage unit,
Random numbers r1 and r2 are generated, and using the generated random numbers, a scalar multiplication of r1 × P, a scalar multiplication of r2 × (r1 × P), and (d−r1 × r2) × The scalar multiplication of P is executed, and the ellipse of the point P1 obtained by scalar multiplication of r2 × (r1 × P) and the point P2 obtained by scalar multiplication of (d−r1 × r2) × P An elliptic curve cryptographic operation method in which scalar multiplication d × P is calculated by addition.
[0136]
(Supplementary Note 13) An elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d are stored in a storage unit,
Random numbers r1 and r2 are generated, and using the generated random numbers, the arithmetic unit performs scalar multiplication of (d−r1) × P, scalar multiplication of (d + r2) × P, and r2 × ((d− The scalar multiplication of r1) × P) and the scalar multiplication of r1 × ((d + r2) × P) are executed, respectively, and a point P1 obtained by the scalar multiplication of r2 × ((d−r1) × P). And elliptic addition of a point P2 obtained by scalar multiplication of r1 × ((d + r2) × P) and scalar multiplication of the result of the elliptic addition and 1 / (r1 + r2) to execute scalar multiplication d An elliptic curve cryptographic operation method for calculating × P.
[0137]
【The invention's effect】
According to the present invention, it is possible to improve the resistance of a scalar multiplication calculation in an elliptic curve cryptosystem to a power analysis attack.
[Brief description of the drawings]
FIG. 1 is a diagram showing a configuration of a main part of an elliptic curve encryption device.
FIG. 2 is a diagram illustrating a calculation program for scalar multiplication according to the first embodiment;
FIG. 3 is an explanatory diagram of a scalar multiplication according to the first embodiment.
FIG. 4 is a diagram illustrating an operation program for scalar multiplication according to the second embodiment.
FIG. 5 is a diagram illustrating a scalar multiplication operation program according to a third embodiment.
FIG. 6 is an explanatory diagram of a scalar multiplication according to the third embodiment.
FIG. 7 is a diagram illustrating a scalar multiplication operation program according to a fourth embodiment.
FIG. 8 is a diagram illustrating an operation program for scalar multiplication according to the fifth embodiment.
FIG. 9 is an explanatory diagram of a scalar multiplication according to the fifth embodiment.
FIG. 10 is a diagram illustrating a hardware environment for executing the operation program according to the embodiment;
FIG. 11 is a diagram showing an operation program of algorithm 1;
FIG. 12 is a diagram showing an operation program of algorithm 2.
FIG. 13 is a diagram showing an operation program of algorithm 3.
FIG. 14 is a diagram showing an operation program of algorithm 4.
FIG. 15 is a diagram showing an operation program of algorithm 5.
FIG. 16 is a diagram showing an operation program of algorithm 3 ′.
FIG. 17 is a diagram showing a calculation program of an algorithm 5 ′.
FIG. 18 is a diagram showing an operation program of algorithm 6.
FIG. 19 is a diagram showing an operation program of algorithm 7.
FIG. 20 is a diagram showing an operation program of algorithm 8.
FIG. 21 is a diagram showing an operation program of algorithm 9.
[Explanation of symbols]
11 Elliptic curve encryption device
12 Operation part
13 arithmetic unit
14 registers
16 Storage unit

Claims

Storage means for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d;
random number generating means for generating s (s ≧ 2) random numbers r1 to rs;
S + 1 scalar of r1 × P, r2 × P,..., Rs × P, (d−r1... −rs) × P, using s random numbers generated by the random number generating means. An elliptic curve cryptographic apparatus comprising: an arithmetic unit that executes multiplication operations and performs elliptic addition of points obtained by the operations to calculate scalar multiplication d × P.

Storage means for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d;
Random number generating means for generating random numbers r1 and r2,
Using the random numbers generated by the random number generation means, scalar multiplication of r1 × P, scalar multiplication of r2 × P, and scalar multiplication of (d−r1−r2) × P are executed. An elliptic curve encryption device comprising: an arithmetic unit that performs elliptic addition of points obtained by the scalar multiplication to calculate a scalar multiplication d × P.

Storage means for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d;
Random number generating means for generating random numbers r1 and r2,
Using a random number generated by the random number generating means, a scalar multiplication of r1 × P, a scalar multiplication of r2 × (r1 × P), and a scalar multiplication of (d−r1 × r2) × P are respectively performed. Is executed, and a point P1 obtained by scalar multiplication of r2 × (r1 × P) and a point P2 obtained by scalar multiplication of (d−r1 × r2) × P are subjected to scalar multiplication d × by elliptic addition. An elliptic curve encryption device comprising: an arithmetic unit for calculating P.

Storage means for storing an elliptic curve E on a finite field, a base point P on the elliptic curve, and an integer d;
Random number generating means for generating random numbers r1 and r2,
Using a random number generated by the random number generating means, a scalar multiplication of (d−r1) × P, a scalar multiplication of (d + r2) × P, and a scalar of r2 × ((d−r1) × P) The multiplication and the scalar multiplication of r1 × ((d + r2) × P) are executed, respectively, and the points P1 and r1 × ((d + r2) obtained by the scalar multiplication of r2 × ((d−r1) × P) are executed. ) × P), an ellipse addition to the point P2 obtained by the scalar multiplication of () × P) and a scalar multiplication of the result of the ellipse addition and 1 / (r1 + r2) to calculate a scalar multiplication d × P. And an elliptic curve encryption device.

An elliptic curve E on a finite field, a base point P on the elliptic curve and an integer d are stored in a storage unit,
s random numbers r1 to rs are generated, and using the generated s random numbers, r1 × P, r2 × P,..., rs × P, (d−r1. An elliptic curve cryptographic program that executes s + 1 scalar multiplication operations of −rs) × P, and calculates elliptic addition of points obtained by those operations to calculate scalar multiplication d × P.