JP2004205870A

JP2004205870A - 超楕円曲線スカラー倍演算方法及び装置

Info

Publication number: JP2004205870A
Application number: JP2002375845A
Authority: JP
Inventors: Masashi Takahashi; 昌史高橋
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2002-12-26
Filing date: 2002-12-26
Publication date: 2004-07-22

Abstract

【課題】高速な暗号方式における超楕円曲線のスカラー倍演算装置を提供する。
【解決手段】超楕円曲線に付随するヤコビ多様体の元Dのスカラー倍を計算する際に、事前計算において、独立に計算できる2つの計算を1組にして、それぞれの計算に1回ずつ含まれる逆元計算をモンゴメリートリックを用いて削減し、内部的に計算する必要のある整数k(=2^s+h(h,sは整数))倍を[k]D=[2^s]D+[h]Dを計算するのではなく[k]D=[2^s-1]D+([2^s-1]D+[h]D)を計算することにより2倍算を加算に置き換える、の2つの改良を行うことにより定義体上の乗算及び逆元計算回数を削減を行い、種数2の超楕円曲線に最適なスカラー倍演算装置を構成する。
【選択図】図２

Description

【０００１】
【発明の属する技術分野】
この発明は情報セキュリティ技術としての暗号技術に関するものであり、特に、有限体上の種数2の超楕円曲線を用いて実現する暗号及びデジタル署名技術において必要なスカラー倍演算装置に関するものである。
【０００２】
【従来の技術】
非特許文献1には、より高い安全性が期待できる暗号化方法として超楕円曲線に付随するヤコビ多様体の離散対数問題に基づく暗号化及び復号化装置が提案されている。
【０００３】
有限体F_q上の超楕円曲線とは、方程式y²+h(x)y=f(x)を満たす点(x,y)の集合として定義される。ただし、f(x)は有限体F_q上のモニックな2g+1次多項式、h(x)は有限体F_q上のg次以下の多項式、またgを超楕円曲線の種数と呼ぶ。
【０００４】
超楕円曲線上の因子は超楕円曲線C上の点P_iの形式和D=Σn_PP_iを用いて表すことができる。ここでn_Pは整数でいくつかのn_Pは0であるとする。
【０００５】
次に-P=(x,-y)をP=(x,y)の共役と呼ぶ。互いに共役となる点を含まない因子を半被約因子と呼び、k=Σn_Pを因子の重みと呼ぶ。半被約因子の内k≦gであるものを被約因子と呼ぶ。超楕円曲線Cに付随するヤコビ多様体J_C(F_q) とは、被約因子の集合で, 被約因子に対して後述する加算演算および単位元を定義することにより群構造を与えることができる。
【０００６】
また、因子の表現方法として多項式のペアを用いる方法が知られている。非特許文献2によると、任意の因子D=Σn_PPは以下の条件を満たす2つの有限体F_q上の多項式a,bを用いて表すことができる。
【０００７】
(1)a:モニック多項式
(2)deg(b)<deg(a)
(3)b²+hb≡f mod a
またDが被約因子である場合は条件(2)がdeg(b)<deg(a)≦gに置き換わる。これ以後、因子DをF_q上の多項式の組(a,b)を用いて表す。このとき、ヤコビ多様体J_C(F_q)の単位元Oは(1,0)と表される。
【０００８】
超楕円曲線上の因子に対しては加算及び2倍算が定義できる。
【０００９】
超楕円を種数2の曲線
y²=x⁵⁺Ax⁴+Bx³+Cx²+Dx+E（A,B,C,D,E∈F_q(qは3以上の素数pの冪)）に制限した場合の加算および2倍算アルゴリズムは以下の非特許文献3に詳しく述べられている。
【００１０】
以下、非特許文献3に基づき、最も一般的な因子の組合せに対する加算アルゴリズムの概略を示す。
【００１１】
入力: 重みが2の被約因子D₁=(a₁,b₁),D₂=(a₂,b₂)
出力: 被約因子D₃=(a₃,b₃)=D₁+D₂
ただし、a_i=x²+s_ix+t_i,b_i=u_ix+v_i,(s_i,t_i,u_i,v_i∈F_q),a₁,a₂は共通因子を持たず、b₁,≠-b₂, b₁≠0,b₂≠0を満たしているとする。
【００１２】
ステップ1: rを計算する。
【００１３】
ステップ2: I≡r/a₁ mod a₂ を計算する。
【００１４】
ステップ3: H≡(b₂-b₁)I mod a₂を計算する。
【００１５】
ステップ4: 中間データの計算
α₁=1/rh₁,α₂=rα,α₃=h₁ ²α₁ β=rα₂,γ=β²をそれぞれ計算する。
【００１６】
ステップ5: Hをモニック化する。
【００１７】
ステップ6: J=Ha₁を計算する。
【００１８】
ステップ7: a₃=(H(J+2βb₁))/a₂-γ(f-b₁ ²)/a₁a₂を計算する。
【００１９】
ステップ9: b₃≡-(α₃J+b₁) mod a₃を計算する。
【００２０】
上記アルゴリズムの演算コストは非特許文献1によると有限体F_q上の逆元計算のコストをI、乗算の計算コストをMとした場合1I+25Mとなる。
【００２１】
次に非特許文献3による、2倍演算方法を示す。
【００２２】
入力: 重みが2の被約因子D₁=(a₁,b₁)、ただしgcd(a₁,b₁)=1.
出力: 被約因子D₃=(a₃,b₃)=2D₁
ステップ1: rを計算する。
【００２３】
ステップ2: I≡2rb₁ mod a₁を計算する。
【００２４】
ステップ3: H≡(f-b₁ ²)/a₁ mod a₁を計算する。
【００２５】
ステップ4: J≡IH mod a₁の計算
ステップ5: 演算法の選択する。
【００２６】
Jの1次の係数j₁が0であればステップ11に進み、そうでなければステップ6に進む。
【００２７】
ステップ6: 中間データを計算する。
【００２８】
α₁=1/2(rj₁),α₂=2rα₁,α₃=j₁ ²α₁,β=j₁ ²α₁,γ=β²をそれぞれ計算する。
【００２９】
ステップ7: Jをモニック化する。
【００３０】
ステップ8: K=Ja₁を計算する。
【００３１】
ステップ9: a₃=((Ja₁+βb₁)²-f)/a₁ ²を計算する。
【００３２】
ステップ10: b₃≡-(α₃K+b₁) mod a₃を計算し、ステップ14に進む。
【００３３】
ステップ11: K=J/(2r)を計算する。
【００３４】
ステップ12: a₃を計算する。
ステップ13: b₃を計算し、ステップ14に進む。
【００３５】
ステップ14: D₃=(a₃,b₃)を出力する。
【００３６】
2倍算アルゴリズムの計算コストは1I+29M,種数2の超楕円曲線をy²=x⁵+Bx³+Cx²+Dx+Eに制限した場合1I+27Mとなる。
【００３７】
また、上記アルゴリズムは以下の非特許文献4において標数2の場合に拡張されている。
【００３８】
この場合の最も一般的な因子の組に対する演算コストは、標数3以上の場合と同じく加算1I+25M,2倍算1I+27Mである。
【００３９】
有限体F_q上で定義された超楕円曲線の離散対数問題とは、超楕円曲線に付随するヤコビ多様体J_C(F_q)の位数が大きな素数で割り切れる場合にヤコビ多様体J_C(F_q)に含まれる元D₀をベースポイントとする。このとき、ヤコビ多様体J_C(F_q)に含まれる元をD₁に対して、
D₁=[k]D₀=D₀+D₀+…+D_o(k回加算)
となる整数kが存在するならば、kを求めよという問題である。
【００４０】
暗号の安全性は多くの元を有するヤコビ多様体に対して上記問題が非常に難しいことに依存する。
【００４１】
次に上記超楕円曲線に付随するヤコビ多様体上の離散対数問題を応用した暗号化方式をまず述べる。
【００４２】
(1)鍵生成
入力:超楕円曲線C,ベースポイントD₀,D₀の位数n
出力:鍵ペア(d_s,D_p)
ステップ1: ランダムに1<d<nを満たすd_sを選択し秘密鍵とする。
【００４３】
ステップ2: D_p=[d_s]D₀を計算し公開鍵とする。
【００４４】
ステップ3: 鍵ペア(d_s,D_p)を出力する。
【００４５】
(2)暗号化
入力: 超楕円曲線C,ベースポイントD,Dの位数n,公開鍵D_p,平文m
出力: 暗号文(C₁,C₂)
ステップ1: ランダムに1<r<nを満たすrを選択する。
【００４６】
ステップ2: C₁=[r]D₀を計算する。
【００４７】
ステップ3: C₂=m+[r]D_pを計算する。
【００４８】
ステップ4: 暗号文(C₁,C₂)を出力する。
【００４９】
(3)復号化
入力: 超楕円曲線C,ベースポイントD,Dの位数n,秘密鍵d_s,
暗号文(C₁,C₂)
出力: 復号文m
ステップ1: m=C₂-[d_s]C₁を計算する。
【００５０】
ステップ2: mを復号文として出力する。
【００５１】
上記従来例でわかるように、超楕円曲線を用いた暗号化方式では、固定点および任意点のスカラー倍演算が必要である。
【００５２】
上記k倍演算は加算演算、2倍演算および減算演算を組み合わせることにより非特許文献5で示されている以下の方法で計算できる。
【００５３】
従来例1
(1) 符号付m(=2^r)-ary Window 分割
入力: 整数k=k₀+k₁2+…+k_l2^l,k_j∈{0,1} (0≦j≦d-1),k_l=0.
出力: {(b[i],e[i])}_i=0 ^d-1.
ステップ1: d=0,j=0とおく。
【００５４】
ステップ2: j≦lであればステップ3に進みそうでなければ、
ステップ10に進む
ステップ3: k_j=0であればステップ4に進み、そうでなければ
ステップ5に進む。
【００５５】
ステップ4: j=j+1を計算し、ステップ2に戻る。
【００５６】
ステップ5: t=min{l,j+r-1}, h=(k_t,k_t-1,…k_j)₂とおく。
【００５７】
ステップ6: h>2^r-1であればステップ7に進み、そうでなければステップ8に進む。
【００５８】
ステップ7: b[i]=h-2^rおよび(k_l,k_l-1,…k_t+1)₂に1を加算し
ステップ8に進む。
【００５９】
ステップ8: b[i]=hとおく。
【００６０】
ステップ9: e[i]=j,d=d+1,j=t+1とおきステップ2に戻る。
【００６１】
ステップ10: (b[0],e[0]),(b[1],e[1]),…,(b[d-1],e[d-1])を出力する。
【００６２】
(2) Point Multiplication: Signed m-ary Windows.
入力:被約因子D₀,整数k=b[0]2^e[0]+b[1]2^e[1]+…+b[d-1]2^e[d-1]
出力: D₁=[k]D₀
ステップ1: 事前計算
ステップ1.1: D[1]=D₀,D[2]=[2]D₀とおく。
【００６３】
ステップ1.2: iが1から2^r-2-1までD[2i+1]=D[2i-1]+D[2]を計算する。
【００６４】
ステップ1.3: i=d-2,D₁=D[b[d-1]]とおく。
【００６５】
ステップ2: メインループ
ステップ2.1: D₁=[2^e[i+1]-e[i]]D₁を計算する。
【００６６】
ステップ2.2: b[i]>0であればステップ2.3に進みそうでなければステップ2.4に進む。
【００６７】
ステップ2.3: D₁=D₁+D[b[i]]を計算しステップ2.5に進む。
【００６８】
ステップ2.4: D₁=D₁-D[-b[i]]を計算しステップ2.5に進む。
【００６９】
ステップ2.5: i=i-1を計算する。
【００７０】
ステップ2.6: i≠-1であればステップ2.1にもどり,-1であればステップ2.7に進む
ステップ2.7: D₁=[2^e[0]]D₁を計算する。
【００７１】
ステップ2.8: 演算結果としてD₁を出力する。
【００７２】
楕円曲線を用いた場合、上記アルゴリズムの事前計算ステップの高速計算法が以下に示す非特許文献6に示されている。
【００７３】
このアルゴリズムは、楕円曲線上の加算及び2倍算にそれぞれ1回ずつ含まれる逆元計算の回数をモンゴメリートリックを用いて削減することにより高速化を図るものである。
【００７４】
最初にモンゴメリトリックの説明を非特許文献7に基づき行う。
【００７５】
モンゴメリートリック
入力: a₁,a₂,…,a_n
出力: a₁,a₂,…,a_nの逆元 a₁ ^-1,a₂ ^-1,…,a_n ^-1
ステップ1: c₁=a₁おく。
【００７６】
ステップ2: iが2からnまでステップ2.1を繰り返す。
【００７７】
ステップ2.1: c_i=c_i-1a_iを計算する。
【００７８】
ステップ3: u=c_n ^-1を計算する。
【００７９】
ステップ4: i=nとおきi<0となるまで以下のステップを繰り返す。
【００８０】
ステップ4.1: a_i ^-1=c_i-1uを計算する。
【００８１】
ステップ4.2: u=ua_iを計算する。
【００８２】
ステップ4.3: i=i-2を計算する。
【００８３】
ステップ5: a₁ ^-1=uを計算する。
【００８４】
ステップ6: a₁ ^-1,a₂ ^-1,…,a_n ^-1を出力する。
【００８５】
モンゴメリートリックの計算コストは1I+(3n-3)Mで、一般的に1Iは30M程度に相当することが知られているため、n回逆元計算することに比べて大幅な高速化が達成できる。
【００８６】
次に、Affine座標を用いた楕円曲線上の加算及び2倍算にそれぞれ1回ずつ逆元計算が用いられることを利用した高速事前計算法を非特許文献6に基づき示す。
【００８７】
従来例2: 高速事前計算法
入力: 楕円曲線上の点P,m=2^r.
出力: P,[2]P,[3]P,[5]P,…,[m-3]P,[m-1]P.
ステップ1: [2]Pを計算する。
【００８８】
ステップ2: i=1からi=r-2までステップ2.1および2.2を繰り返す。
【００８９】
ステップ2.1: ([2ⁱ+1]P,[2ⁱ+3]P,…,([2ⁱ⁺¹-1]P,([2ⁱ⁺¹]P)をモンゴメリートリックを用いることにより1回の逆元計算で計算する。計算方法はまずi=1の場合に、P+[2]P,[2][2]Pの計算がそれぞれ独立に計算できることを利用して、それぞれに1回ずつ含まれる逆元計算をモンゴメリートリックを用いて1回にまとめることにより([3]P,[4]P)の計算を行う。
i=2のステップでは、i=1の場合と同様に([5]P,[7]P,[8]P)を
P+[4]P,[3]P+[4]P,[2][4]P)を計算することにより逆元計算1回で求める。以下、各Iごとに同様の計算を繰り返す。
【００９０】
ステップ2.2: i=i+1を計算する。
【００９１】
ステップ3: ステップ2.1と同様の手法を用いて([2^r-1+1]P,
[2^r-1+3]P,…,[2^r-1]P)を計算する。
【００９２】
ステップ4: P,[2]P,[3]P,[5]P,…,[m-3]P,[m-1]Pを出力する。
【００９３】
以上の高速事前計算法は超楕円曲線においても加算及び2倍算において逆元計算が1回含まれるため適用可能である。
【００９４】
【非特許文献１】
Neal Koblitz, 「Neal Koblitz, Hyperelliptic Crypto Systems」,1989年, J.Crypto, 1989, p139-150
【非特許文献２】
D.Mumford, 「Tate lectures on theta II」,Birkhauser, 1984年, volume 43 of Progr.Math.
【非特許文献３】
高橋昌史, 「種数2の超楕円曲線の改良について」 2002年,Proc of SCIS2002 Vol1,p155-160
【非特許文献４】
杉崎大樹、松尾和人、趙晋輝、辻井重男、「標数2の有限体上の超楕円曲線に対するHarley加算アルゴリズムの拡張」、電子情報通信学会2002年 ISEC-2002-9, p49-56
【非特許文献５】
I. Blake G. Seroussi and N. Smart, 「Elliptic Curvesin Cryptography」, Canbridge U.P, 1998年London Mathematical Society Lecture Note Series, no.265
【非特許文献６】
H.Cohen, A.Miyaji and T.Ono, 「Efficient elliptic curve exponentiation using mixed coordinates」, Springer-Verlag, 1998年, Proceedings Asiacrypt'98, Lecture Notes in Computer Science 1514, p51-65
【非特許文献７】
H.Cohen, 「A course in computational algebraic number theory」, Springer-Verlag, 1993年, GTM 138
【００９５】
【発明が解決しようとする課題】
超楕円曲線を用いた暗号方式では、スカラー倍演算を行う演算装置が必須である。特に任意点のスカラー倍演算は、暗号処理において負荷が大きいため、これを高速に行う必要がある。
【００９６】
スカラー倍演算は加算と2倍算の組合せで構成される。加算と2倍算の組合せには自由度があり、例えばDの9倍を考えると
(1)[9]D=[8]D+D
(2)[9]D=[4]D+([4]D+D)
(3)[9]D=[3]D+[2]([3]D)
などの計算方法が考えられる。次に総演算回数を考えると(1)の場合[8(=2³)]Dの計算は2倍算3回で行えるため加算1回と2倍算3回の計4回,(2)の場合は加算2回と2倍算2回の計4回、(3)の場合は加算2回と2倍算2回の計4回となり総演算数が同じでも、中で行われる加算及び2倍算の回数は異なる。このため、加算と2倍算の間に処理時間の差がある場合、処理時間が短い演算が多く現れる計算方法を用いることによりスカラー倍演算を行うことができる。
【００９７】
従来例1のスカラー倍演算法は主に楕円曲線上の点のスカラー倍演算の高速化を目的に作られている。楕円曲線暗号を構成する上で最も一般的に使われている射影座標上の加算及び2倍算は加算が16M(標数3以上)または20M(標数2),2倍算が10Mと加算に比べて2倍算が高速である。このためスカラー倍演算を行う場合、加算と2倍算の回数の総数が同じアルゴリズムを用いるとするならば、2倍算の回数が多いアルゴリズムを用いるほうがスカラー倍演算は高速に実現できる。
【００９８】
しかし、種数2の超楕円曲線上の因子の加算および2倍算のように加算アルゴリズムの方が高速である場合は加算および2倍算の総数が同じであれば、より多く加算を用いるアルゴリズムを用いることが望ましい。
【００９９】
また、従来例2で示した高速事前計算法についても、本来の事前計算では必要のない4倍,8倍,…,2^r-1倍の計算が必要となるという問題がある。Affine座標を用いた楕円曲線の場合は加算が1I+3M,2倍算が1I+4Mと逆元計算以外の演算の比率が小さいため無駄な点を計算したとしても、逆元計算削減の効果の方が大きいが種数2の超楕円曲線の場合、逆元以外の計算の負荷も大きいため、そのまま適応するのでは高速化の効果を得ることはできない。
【０１００】
【課題を解決するための手段】
本発明は上述の問題点を踏まえて行われたもので、種数2の超楕円曲線上の演算の場合等、加算が2倍算に比べて高速である場合において、できる限り2倍算の代わりに加算を用いることにより、スカラー倍算の処理時間の短縮を行う。具体的には整数kが2^s+h(h,sは整数)と表されている場合、Dのk倍を従来例に基づき
[k]D=[2^s]D+[h]Dを計算するのでなく
[k]D=[2^s-1]D+([2^s-1]D+[h]D)を計算することにより2倍算の回数を削減できることをうまく用いて、2倍算演算回数の少ないスカラー倍演算装置を構成する。また、事前計算方法を改良し従来例に比べて無駄な点の計算回数の少ない、より高速な事前計算を行う。これらの改良により高速な暗号装置を提供する。
【０１０１】
より具体的には、本発明は、超楕円曲線スカラー倍演算装置であって、演算対象となる超楕円曲線および演算対象データを入力する入力部と、超楕円曲線の情報を保持する超楕円曲線情報保持部と、演算対象データを保持する演算対象データ保持部と、スカラー倍演算方法を行うスカラー倍演算部と、スカラー倍演算部において内部的に用いられる加算演算部および2倍算演算部と、演算結果を保持する演算結果保持部と、演算結果を出力する出力部を備えることを特徴とする。
【０１０２】
さらに、有限体上定義される種数2の超楕円曲線に付随するヤコビ多様体上のスカラー倍を高速に計算することを特徴とする。
【０１０３】
また、超楕円曲線に付随するヤコビ多様体の元Dに対して,
D,3[D],[5]D,[7]D,[9]D,[11]D,[13]D,[15]Dを事前計算することを特徴とする。
【０１０４】
また、事前計算において独立に計算できる2つの演算に対してモンゴメリートリックを適用することにより定義体上の逆元計算回数を削減することを特徴とする。
【０１０５】
また、入力に応じて事前計算結果の利用法を最適化することを特徴とする。
【０１０６】
また、スカラー倍を計算する際に加算、2倍算に加えて減算を用いることを特徴とする。
【０１０７】
また、超楕円曲線に付随するヤコビ多様体の元Dのスカラー倍を計算する際に、内部的に計算する必要のある整数
k(=2^s+h(h,sは整数))倍を
[k]D=[2^s-1]D+([2^s-1]D+[h]D)を計算することにより求めることを特徴とする。
【０１０８】
また、超楕円曲線に付随するヤコビ多様体の元Dのスカラー倍を計算する際に、内部的に計算する必要のある整数k(=2^s-h(h,sは整数))倍を
[k]D=[2^s-1]D+([2^s-1]D-[h]D)を計算することにより求めることを特徴とする。
【０１０９】
【発明の実施の形態】
図1は本発明を実現する超楕円曲線スカラー倍演算装置(以下演算装置)101の機能構成図である。演算装置101は、制御演算部102およびデータ保持部103から構成される。
【０１１０】
制御演算部102は、種数2の超楕円曲線のパラメータ、定義体情報、ヤコビ多様体上の点D₀及び整数kを入力し、演算結果として[k]D₀を出力する入出力部104、超楕円曲線スカラー倍演算装置101全体を制御する制御部105、スカラ倍演算を行うスカラー倍演算部106、スカラー倍演算部106を構成する整数kを16進展開する16進展開部107、ヤコビ多様体の元の演算を行う超楕円曲線演算部108から構成される。さらに超楕円曲線演算部は加算部109および2倍算部110から構成される。
【０１１１】
データ保持部103は入出力部104により入力された演算対象データであるヤコビ多様体の元D₀および整数kを保持する演算対象データ保持部111、超楕円曲線のパラメータ、定義体情報を保持する超楕円曲線情報保持部112、スカラー倍演算を行う際の事前計算結果を保持する事前計算結果保持部113,スカラー倍演算部106で用いられる中間データを保持する中間データ保持部114、制御演算部102で計算された演算結果を保持する演算結果保持部115から構成される。次に各々の動作は制御部105により制御されているものとして動作の流れを説明する。
【０１１２】
入出力部104により入力された演算対象データ、超楕円曲線パラメータ、定義体情報は演算対象データ保持部111、超楕円曲線情報保持部112に保持される。
【０１１３】
次にスカラー倍演算部106において演算対象データ保持部111、超楕円曲線情報保持部112で保持されている情報を用いて、事前計算を行う、事前計算結果は事前計算結果保持部113において保持される。次に事前計算結果保持部113において保持されている事前計算結果を用いてスカラー倍演算部106においてスカラー倍を行う。事前計算およびスカラー倍演算における中間演算結果は必要に応じて中間データ保持部114において保持される。スカラー倍演算は図2に示すフローチャートに従って行われるものとする。
【０１１４】
最後に超楕円曲線スカラー倍演算装置101は入出力装置104により種数2の超楕円曲線パラメータy²+h(x)y=f(x),定義体情報,演算結果[k]D₀を出力する。
【０１１５】
上記の演算装置は,CPUとメモリと、ハードディスク装置やその他の外部記憶装置と、キーボードなどの入力装置と、ディスプレイなどの出力装置と、外部記憶装置や入出力装置とのインターフェースを備えた、一般的な構成を有する情報処理装置上に構築することができる。
【０１１６】
演算部102の各処理部104〜110は、CPUがメモリにロードされたプログラム(コードまたはモジュールともいう)を実行することで、情報処理装置上に具現化されるプロセスとして実現される。また、メモリや外部記憶装置がデータ保持部103の各保持部111〜115として使用される。
【０１１７】
上述した各プログラムは、予め外部記憶装置に記憶され、必要に応じてメモリ上にロードされ、CPUにより実行される。上記プログラムは、可搬性の記憶媒体、例えばCD-ROMを扱う外部記憶装置を解して、必要に応じて、可搬性の記憶媒体からメモリにロードされても良いし、一旦、外部記憶装置を介して、可搬性の記憶媒体から外部記憶装置から外部記憶装置にインストールされた後、必要に応じて、外部記憶装置からメモリにロードされても良いし、さらには、図示していないネットワーク接続装置を介して、ネットワーク上の情報処理装置が読み取り可能な媒体の一種である伝送信号により、一旦外部記憶装置にダウンロードされてからメモリにロードされても良いし、あるいは、直接、ネットワーク経由でメモリにロードされても良い。
【０１１８】
次に図2〜4を用いて本発明の実施の形態及び動作を詳細に説明する。
【０１１９】
図2は図1において行われている処理を説明するフローチャートである。
【０１２０】
<ステップ201>
図2において定義体入力部201は超楕円曲線の情報として定義体となる有限体F_q及び種数2の超楕円曲線
y²+h(x)y=f(x)を入力として受け付ける。
【０１２１】
ここで有限体F_qの情報は、
(1)素体の場合有限体の位数として3以上の素数q
(2)拡大体の場合はq=pⁿを満たす素数p（標数と呼ぶ）および拡大次数n。
【０１２２】
<ステップ202>
演算対象データであるヤコビ多様体の元
D₀=(a₀,b₀),整数kを入力する。
【０１２３】
ここでヤコビ多様体の元D₀は種数2の超楕円曲線を
y²+h(x)y=f(x) (deg(f)=5,deg(h)≦2)とおいた場合
deg(b_i)<deg(a_i)≦2 (a_i,b_i∈F_q[x]) および
b_i ²+hb_i≡f mod a_iを満たす多項式の組(a_i,b_i)で表されるものとする。
【０１２４】
<ステップ202>
kD₀を計算する。
【０１２５】
<ステップ203>
演算結果D₃=(a₃,b₃)を出力する。
【０１２６】
上記ステップ202を、図3に示すスカラー倍演算部107の動作説明フローチャートを用いて詳細に説明を行う。なおヤコビ多様体の元の加算および2倍算は非特許文献1および2に従い計算を行う。
【０１２７】
(1)事前計算
<ステップ301>
従来例で示した符号付m-ary Window分割アルゴリズムを用いて整数kを
k=b[0]2^e[0]+b[1]2^e[1]+…+b[d-1]2^e[d-1]の形で表現する。ただし、
m=32(=2⁵)とする。
【０１２８】
<ステップ302>
D[1]=D₀,D[2]=[2]D₀とおく。
【０１２９】
<ステップ303>
(D[3],D[4])=([3]D,[4]D)を
[3]D=D+[2]D、
[4]D=[2]D[2]を計算することにより求める。ただしそれぞれの計算で1回ずつ計算の必要のある逆元計算はモンゴメリートリックを用いて2回必要な逆元計算を1回に削減する。
【０１３０】
<ステップ304>
(D[5],D[7])=(D[3]+D[2],D[3]+D[4]),
(D[9],D[11])=(D[7]+D[2],D[7]+D[4]),
(D[13],D[15])=(D[11]+D[2],D[15]+D[4])
をそれぞれ計算する。なおそれぞれの組に対してステップ303で説明したモンゴメリートリックを利用した手法を適応することにより1組あたり1回の逆元計算で計算を行う。
【０１３１】
<ステップ305>
D₁=D[b[d-1]](=無限遠点),i=d-2とおく。
【０１３２】
(2) メインループ
<ステップ306>
D₁=[2^{e[i+1]-e[i]-1}]D₁を計算する。
【０１３３】
<ステップ307>
b[i]>0であればステップ308に進みそうでなければステップ309に進む。
【０１３４】
<ステップ308>
D₂=D₁+D[b[i]]を計算する。
【０１３５】
<ステップ309>
D₁= D₁+D₂を計算しステップ312に進む。
【０１３６】
<ステップ310>
D₂=D₁-D[-b[i]]を計算しステップ312に進む。
【０１３７】
<ステップ311>
D₁= D₁+D₂を計算しステップ312に進む。
【０１３８】
<ステップ312>
i=i-1を計算する。
【０１３９】
<ステップ313>
i≠-1であればステップ306にもどり,-1であればステップ314に進む。
【０１４０】
<ステップ314>
D₁=[2^e[0]]D₁を計算する。
【０１４１】
<ステップ315>
演算結果としてD₁を出力する。
【０１４２】
次に本発明を用いた鍵生成装置について説明する。
【０１４３】
図4は鍵生成装置を示している。
【０１４４】
鍵生成装置401は、制御演算部402およびデータ保持部403から構成される。
【０１４５】
制御演算部402は、超楕円曲線
y²+h(x)y=f(x)、ベースポイントD₀及びその位数n、定義体情報を入力し、生成された鍵情報を出力する入出力部404、鍵生成装置401全体を制御する制御部405、乱数を生成する乱数生成部406、ベースポイントの整数倍を計算する超楕円曲線スカラー倍演算部407から構成される。
【０１４６】
データ保持部403は入出力部により入力された超楕円曲線のパラメータ、ベースポイント及びその位数、定義体情報を保持する超楕円曲線情報保持部408、制御演算部で生成された鍵情報及び超楕円曲線の情報を保持する鍵情報保持部409から構成される。次に各々の動作は制御部405により制御されているものとして動作の流れを説明する。
【０１４７】
入出力部404により入力された超楕円曲線パラメータ、ベースポイントD₀及びその位数n、定義体情報は超楕円曲線情報保持部408と鍵情報保持部409に保持される。
【０１４８】
次に乱数生成部406において
0<d_s<n(nはベースポイントD<_>0の位数)を満たす乱数d_sを生成しこれを秘密鍵として鍵情報保持部409で保持する。
【０１４９】
次に超楕円曲線スカラー倍演算部407においてベースポイントD₀のd_s倍
D_p=[d_s]D₀を超楕円曲線演算部を用いて計算し公開鍵とし鍵情報保持部409で保持する。
【０１５０】
最後に鍵発行装置401は入出力装置404により超楕円曲線
y²+h(x)y=f(x),ベースポイントD₀,D₀の位数n,定義体情報,秘密鍵d_s及び公開鍵D_pを出力する。
【０１５１】
次に本発明を用いた暗号化装置について説明する。
【０１５２】
図5は暗号化装置を示している。
【０１５３】
暗号化装置501は、制御演算部502およびデータ保持部503から構成される。
【０１５４】
制御演算部502は、超楕円曲線情報を入力し、生成された暗号文を出力する入出力部504、暗号化装置501全体を制御する制御部505、暗号化処理を行う暗号処理部506、また暗号処理部は乱数を生成する乱数生成部507、ヤコビ多様体の元の整数倍を計算する超楕円曲線スカラー倍演算部508から構成される。
【０１５５】
データ保持部503は入出力部504により入力された暗号化の対象である平文情報を保持する平文情報保持部509、同様に入出力部により入力された種数2の超楕円曲線y²+h(x)y=f(x)、ベースポイントD₀及びその位数n、定義体情報を保持する超楕円曲線情報保持部510、暗号化に用いる公開鍵を保持する鍵情報保持部511、制御演算部で生成された暗号文を保持する暗号文保持部512から構成される。次に各々の動作は制御部505により制御されているものとして動作の流れを説明する。
【０１５６】
入出力部504により入力された平文情報は平文情報保持部509に保持される。
【０１５７】
入出力部504により入力された超楕円曲線、ベースポイント及びその位数、定義体情報は超楕円曲線情報保持部510に保持される。
【０１５８】
入出力部504により入力された公開鍵情報は公開鍵情報保持部512に保持される。
【０１５９】
次に暗号化処理部506において平文情報保持部509、超楕円曲線情報保持部510、公開鍵情報保持部511で保持されている情報を用いて暗号化処理を行い暗号文を作成する。暗号化処理は図6に示すフローチャートに従って行われるものとする。
【０１６０】
最後に暗号化処理部506で作成された暗号文を暗号文情報保持部512に保持するとともに入出力部504より出力する。
【０１６１】
次の図6は図5の暗号処理部506で行われる暗号化処理のフローチャートを示す。以下公開鍵をD_p,ヤコビ多様体のベースポイントを
D₀,その位数をnとして説明を行う。
【０１６２】
<ステップ601>
0<r<nを満たす乱数rを選択する。
【０１６３】
<ステップ602>
暗号化対象の平文をmとして
C₁=[r]D₀及びC₂=[r]D_p+mを計算する。
【０１６４】
<ステップ603>
(C₁,C₂)を暗号文として出力する。
【０１６５】
次に本発明を用いた復号化装置について説明する。
【０１６６】
図7は復号化装置を示している。
【０１６７】
復号化装置701は、制御演算部702およびデータ保持部703から構成される。
【０１６８】
制御演算部702は、超楕円曲線情報及び復号化対象の暗号文を入力し、復号された平文を出力する入出力部704、復号化装置701全体を制御する制御部705、復号化処理を行う復号処理部706、また復号処理部はヤコビ多様体の元の整数倍を計算する超楕円曲線スカラー倍演算部707から構成される。
【０１６９】
データ保持部703は入出力部704により入力された復号化の対象である暗号文情報を保持する暗号文情報保持部708、同様に入出力部704により入力された超楕円曲線y²+h(x)y=f(x)、ベースポイントD₀及びその位数n、定義体情報を保持する超楕円曲線情報保持部709、復号化に用いる秘密鍵を保持する秘密鍵情報保持部710、復号化処理部706で復号された平文を保持する平文情報保持部711から構成される。次に各々の動作は制御部705により制御されているものとして動作の流れを説明する。
【０１７０】
入出力部704により入力された暗号文情報は暗号文情報保持部708に保持される。
【０１７１】
入出力部704により入力された超楕円曲線パラメータ、ベースポイント及びその位数、定義体情報は超楕円曲線情報保持部709に保持される。
【０１７２】
入出力部704により入力された秘密鍵情報は秘密鍵情報保持部710に保持される。
【０１７３】
次に復号化処理部において暗号文情報保持部708、超楕円曲線情報保持部709、秘密鍵情報保持部710で保持されている情報を用いて復号化処理を行い復号文を作成する。復号化処理は図8に示すフローチャートに従って行われるものとする。
【０１７４】
最後に復号化処理部706で復号された平文を平文情報保持部711に保持するとともに入出力部704より出力する。
【０１７５】
次の図8は図7の復号処理部706で行われる復号化処理のフローチャートを示す。以下秘密鍵をd_s,復号化対象の暗号文を(C₁,C₂)として説明を行う。
【０１７６】
<ステップ801>
暗号文(C₁,C₂)およびxから、
m=C₂-[d_s]C₁を計算する。
【０１７７】
<ステップ802>
mを平文として出力する。
【０１７８】
以上、説明を行ったように本実施形態によれば、超楕円曲線に付随するヤコビ多様体の元Dのスカラー倍を計算する際に、
(2)事前計算において、独立に計算できる2つの計算を1組にして、それぞれの計算に1つ含まれる逆元計算をモンゴメリートリックを用いて削減する。
【０１７９】
(2)内部的に計算する必要のある整数
k(=2^s+h(h,sは整数))倍を
[k]D=[2^s]D+[h]Dを計算するのではなく
[k]D=[2^s-1]D+([2^s-1]D+[h]D)を計算することにより2倍算を加算に置き換える。
【０１８０】
の2つの改良を行うことにより定義体上の乗算及び逆元計算回数を削減を行った。
【０１８１】
次に、以上の工夫の具体的効果を示す。定義体上の乗算コストをM,逆元計算コストをIとした場合において、(1)を適用した事前計算の演算コストは、5I+239Mとなる。一般的には1Iは30M程度であるため、演算コストは389M程度となる。同様に従来例の事前計算部分の演算コストは442M,従来例2の高速事前計算法の演算法の演算コストは492Mとなり、従来例に比べて高速であることが示される。
【０１８２】
(2)の効果については、種数2の超楕円曲線に付随するヤコビ多様体の元Dのk倍を考えた場合、kがKビットとすれば従来例に比べて最大K/4-1回の2倍算を加算に置き換えることが可能になり、例えば種数2の超楕円曲線の場合、定義体上の乗算を最大K/2-2回削減できる。
【０１８３】
【発明の効果】
本発明により高速な暗号方式を可能にする超楕円曲線暗号装置を提供できる。
【図面の簡単な説明】
【図１】本実施形態のシステム機能構成図である。
【図２】本実施形態の動作説明フローチャートである。
【図３】本実施形態によるヤコビ多様体上のスカラー倍演算動作説明フローチャートである。
【図４】本実施形態を用いた鍵生成装置の構成図である。
【図５】本実施形態を用いた暗号化装置の構成図である。
【図６】本実施形態を用いた暗号化装置の動作説明フローチャートである。
【図７】本実施形態を用いた復号化装置の構成図である。
【図８】本実施形態を用いた復号化装置の動作説明フローチャートである。
【符号の説明】
101:超楕円曲線スカラー倍演算装置、102:制御演算部、103:データ保持部、104:入出力部、105:制御部、106:スカラー倍演算部、107:16進展開部、108:超楕円曲線演算部、109:加算演算部、110:2倍算演算部、111:演算対象データ保持部、112:超楕円曲線情報保持部、113:事前計算データ保持部、114:中間データ保持部、115:演算結果保持部、401:鍵生成装置、402:制御演算部、403:データ保持部、404:入出力部、405:制御部、406:乱数生成部、407:超楕円曲線スカラー倍演算部、408:超楕円曲線情報保持部、409:鍵情報保持部、501:暗号化装置、502:制御演算部、503:データ保持部、504:入出力部、505:制御部、506:暗号処理部、507:乱数処理部、508:超楕円曲線スカラー倍演算部、509:平文情報保持部、510:超楕円曲線情報保持部、512:公開鍵情報保持部、513:暗号文情報保持部、701:復号化装置、702:制御演算部、703:データ保持部、704:入出力部、705:制御部、706:復号処理部、707:超楕円曲線スカラー倍演算部、708:暗号文情報保持部、709:超楕円曲線情報保持部、710:公開鍵情報保持部、711:平文情報保持部。

Claims

超楕円曲線スカラー倍演算装置であって、
演算対象となる超楕円曲線および演算対象データの入力を受け付ける入力部と、
超楕円曲線の情報を保持する超楕円曲線情報保持部と、
演算対象データを保持する演算対象データ保持部と、
加算演算部および2倍算演算部とを備え、スカラー倍演算方法を行うスカラー倍演算部と、
演算結果を保持する演算結果保持部と、
演算結果を出力する出力部を備える超楕円曲線スカラー倍演算装置。
請求項1記載の超楕円曲線スカラー倍演算装置であって、
有限体上定義される種数2の超楕円曲線に付随するヤコビ多様体上のスカラー倍を高速に計算することを特徴とする超楕円曲線スカラー倍演算装置。
請求項1記載の超楕円曲線スカラー倍演算装置であって、
超楕円曲線に付随するヤコビ多様体の元Dに対して,
D,3[D],[5]D,[7]D,[9]D,[11]D,[13]D,[15]Dを事前計算することを特徴とする超楕円曲線スカラー倍演算装置。
請求項1記載の超楕円曲線スカラー倍演算装置であって、
事前計算において独立に計算できる2つの演算に対してモンゴメリートリックを適用することにより定義体上の逆元計算回数を削減することを特徴とする超楕円曲線スカラー倍演算装置。
請求項1記載の超楕円曲線スカラー倍演算装置であって、
入力に応じて事前計算結果の利用法を最適化することを特徴とする超楕円曲線スカラー倍演算装置。
請求項1記載の超楕円曲線スカラー倍演算装置であって、
スカラー倍を計算する際に加算、2倍算に加えて減算を用いることを特徴とする超楕円曲線スカラー倍演算装置。
請求項1記載の超楕円曲線スカラー倍演算装置であって、
超楕円曲線に付随するヤコビ多様体の元Dのスカラー倍を計算する際に、内部的に計算する必要のある整数
k(=2^s+h(h,sは整数))倍を
[k]D=[2^s-1]D+([2^s-1]D+[h]D)を計算することにより求めることを特徴とする超楕円曲線スカラー倍演算装置。
請求項1記載の超楕円曲線スカラー倍演算装置であって、
超楕円曲線に付随するヤコビ多様体の元Dのスカラー倍を計算する際に、内部的に計算する必要のある整数
k(=2^s-h(h,sは整数))倍を
[k]D=[2^s-1]D+([2^s-1]D-[h]D)を計算することにより求めることを特徴とする超楕円曲線スカラー倍演算装置。