JP2006513444A - 暗号法目的に適する超楕円曲線を構成する方法及びこのような方法を用いる暗号装置 - Google Patents

Abstract

安全な超楕円曲線を迅速に決定するための方法を提供するために、適当な超楕円曲線が虚数乗法の方法を用いて構成されるべきことが提唱される。本発明の方法は、暗号用途に適する、大きな標数を有する有限体上の種数２の、超楕円曲線を生成する。本発明は更に上で説明したような方法を利用する暗号装置を提供するが、この装置は、送信者と受信者との間で公衆網を通じて情報を安全に交換するために、メッセージを暗号化及び復号するために用いるのに有効である。このような暗号装置を用いることで、交換されるべきメッセージ及び資料を、送信者及び受信者に対する認証手続において高速かつ簡単に暗号化することが可能となる。

Description

多くの場合において、送信者と受信者との間の公衆網を通じての情報を安全な交換は、交換されるべきメッセージ及び資料が暗号化されることを要求し、従って、これら送信者と受信者とに対する認証手続を必要としている。

とりわけ、頻繁に遭遇される暗号方法は、“公開キー”方法としても知られる、“非対称”暗号化と呼ばれるものである。この方法は、メッセージの受信者が、あるキーを、公衆網を通じて送信者に、原理的には、第三者がアクセスできるようなやり方にて伝送することを許す。このキーが“公開キー”である。送信者は、次に、そのメッセージをこのキーを用いて暗号化する。この公開キー方法の威力は、この方法にて暗号化されたメッセージは、この公開キーのみの知識では再び復号することはできないという事実にある。その公開キーの生成者、つまり、その受信者のみが、その暗号化されたメッセージを、その公開キーにて復号することができる。このタイプの非対称暗号化には複数の変形タイプが存在する。非対称方法の最も広く普及された例は、ＲＳＡ方法であることは疑いない。

公開キー方法のある下位グループは、ある非常に大きな自然数、或いは別の大きな自然数の整数モジュロ（integer modulo）、すなわち、公開キーを指数化するステップを含む。この方法のグループの機密性は、このやり方にてこの機密指数を得るために、離散的対数を計算することは、実際的には不可能であることに基づく。この離散的対数問題に基づく暗号化及び認証の方法の例としては、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ暗号、Ｅｌ−Ｇａｍａｌ暗号、ＤＳＳシグニチャ及びＳｃｈｎｏｒの方法等の名称にて知られている方法がある。

この離散的対数が基づいている有限アーベル群は、様々なやり方にて選択することができる。一つの可能な選択は、ある有限体Ｆ_ｑ上に定義されたある超楕円曲線の零（０）次の因子類群のＦ_ｑ−有理要素の群である。この群に対して、超楕円曲線のＪａｃｏｂｉ多様体のＦ_ｑ−有理点群（F_q-rational point group）とも呼ばれ、この群の要素のあるコンパクトな表現（compact representation）と効率的な加法アルゴリズム（efficient adding algorithm）とが存在する。この表現とこの群の使用の更なる詳細については、例えば、N.Koblitz "Algebraic Aspects of Cryptology", Springer Verlag, 1998において議論されている。

しかし、この選択の１つの問題は、適切な超楕円曲線の決定である。離散的対数が実際問題として解くことができないことを保証するためには、この曲線の因子類群は、非常に大きな素因子を含むべきであるが、これはこの対数問題を解くためのアルゴリズムの実行時間はこの素因子の平方根に依存するためである。今日のコンピュータシステムの性能を基礎に取ると、この素因子は少なくとも２^１６０ビット長であるべきである。しかし、システムが効率的であることを保証するためには、システムのパラメータ、例えば、これらキーは、長すぎるべきではない。

これら条件を満たす超楕円曲線は、その零次因子類群が素数或いはほとんど素数群の位数である曲線である。この種の曲線を決定するためには、原理的には、有限体Ｆ_ｐからこの曲線の係数（coefficients）をランダムに選択することが可能である。この結果としての曲線が特異でないときは、この因子類群の要素の数を決定することができる。しかし、現在に至るまで、大きな特性値（種数２の曲線に対してはｐ＞２^８０）を有する体上のランダムに選択された超楕円曲線に対しては、上記数、つまり、その因子類群の位数を見つけることは不可能であった。加えて、複数の超楕円曲線のほんの一部のみが素数或いはほとんど素数位数の因子類群を有し、このため、もしそのようなアルゴリズムが存在したとしても、それでも、上で定義された意味において安全な曲線を決定できる前に、多数の曲線をテストしなければならないという問題が存在する。これらテストは、選択過程の速度を減ずる。

従って、本発明の目的は、安全な超楕円曲線を高速にて決定するための方法を定義することにある。更に、本発明の目的は、このような安全な超楕円曲線の高速決定を遂行するための暗号装置を提供することにある。

本発明のこれら意図に対して、この目的は、適切な超楕円曲線を虚数乗法の方法を用いて構成することで達成される。この発明の方法は、暗号用途のために、大きな標数を有する有限体上の適切な種数２の超楕円曲線を生成する。

２に等しくない標数を有する体Ｆ_ｑ（或いはＦ_ｐ）上の種数ｇの超楕円曲線は
ｙ^２＝ｆ（ｘ）
なる形式の特異でない曲線として定義することができ、ここでｆ（ｘ）は、次数２ｇ＋１の正規化多項式を表す。

以下ではＣＭ法と呼ばれる、この虚数乗法の方法は、これ自体は知られており、例えば、既にＡｔｋｉｎによって楕円曲線を構成するために用いられている。ＣＭ理論のこの知られている用途の詳細については、A.O.L Atkin, F. Morain, Elliptic curves and primality proving, Math. Comp. 61:29-68,1993を参照されたい。この知られているＣＭ法は、ある与えられた虚数二次位数（imaginary quadratic order）Ｏ及び素数ｐに対してその自己準同型環がＯに対して同型であるＦ_ｐ上の楕円曲線Ｅを決定することを可能にする。このＣＭ法及び従ってこれが必要とする計算作業の複雑さは、このケースにおいては、類数（class number）ｈ（Ｏ）と位数Ｏの判別式によって決定される。A.-M. Spallek [IEM,1994, preprint no.18]及び本発明者であるA. Weng[IEM,2002,preprint np.11]による（博士学位）論文においては、このＣＭ法の適用が、種数２、類数１の超楕円曲線（Spallek）、種数２、高々１０までの超楕円曲線、及び種数３及びそれ以上の超楕円曲線の特別なケース（Weng）、の構成に拡大されている。

特に、本発明による方法においては、単純主偏極アーベル多様体（simple principally polarized Abelian varieties）の全ての同形類（isomorphism classes）に対するある代表系（representant system）が決定される。このケースにおいては、これら同形類の計算（counting）は、その基本単位（fundamental unit）がこのＣＭ体Ｋ内の１単位の相対ノルム（relative norm）であるかチェックする必要がないために、簡素化される。

また、これら周期行列を等価のジーゲル（Ｓｉｅｇｅｌ）既約行列に変換し、これによってテータ零（theta nulls）の高速収束を図ることもできる。

もう一つの好ましい実施例においては、複素数の体Ｃ上のこの超楕円曲線は計算された１０個のテータ零の内の６個から決定される。

また、本発明による方法の１つの好ましい変形例においては、複数の、とりわけ（好ましくは）、１００以上の、更には、１０００以上の、可能なＣＭ体が決定され、これらＣＭ体に属する類多項式が計算され、これら２つが、この安全な超楕円曲線を決定するための方法の使用の前に、データ集合として格納される。

本発明による方法の一つの変形においては、可能なＣＭ体の範囲はテストによって削減される。これによって、その群位数に対して正確な素数（exact prime number）が得られることを確保することができる。

本発明によるこの方法においては、有限体Ｆ_ｐが基づいている素数ｐは、Ｆ_ｐ上のＣＭ体Ｋの最小多項式が４つの異なる線形因子に分解されるように選択される。

もう一つの変形においては、曲線が基づいている有限体Ｆ_ｑは素数ではない。

上述のような方法を用いる暗号装置は、送信者と受信者との間で公衆網を通じて情報を安全に交換するために、メッセージを暗号化及び復号するために用いるのに有効である。このような暗号装置を用いることで、交換のためのメッセージ及び資料を、送信者及び受信者に対する認証手続において、高速かつ簡単に暗号化することができる。

本発明のこれら及びその他の態様は、実施例を参照することで明らかであるが、以下ではこられについて詳細に説明する。

以下においては、本発明による方法のステップが詳細に説明される。この方法は２つのサブステップを含む。第一のサブステップは、ＣＭ体Ｋと、体Ｆ_ｐを定義するのに適する素数ｐと、適当な群位数ｎの決定に関する。

適切なＣＭ体Ｋが、最初に、類数ｈ_ｋｏ＝１を有する全実数体（totally real number field）Ｋ_ｏの全虚数二次拡大（total imaginary quadratic expansion）によって決定される。この種のＣＭ体は、例えば、集合Ｋ＝Ｑ（ｉ（ａ＋ｂｄ）^１／２）^１／２）によって与えられ、ここでａ，ｂ及びｄは整数である。

素数ｐは以下の３つの条件が満たされるように選択される。
１． Ｏ_ｋ内にｗｗ＝ｐとなるような数ｗが存在し、ここで、Ｏ_ｋはＫの最大位数を表し、ｗはｗの共役複素元を表す（ここ及び以降において下線は下線を施された項目の共役複素元を示す）。
２． ｎ_１＝Π（１−ｗ_ｉ）或いはｎ_２＝Π（１＋ｗ_ｉ）はほとんど素数（almost prime）であること。ここでこの積ΠはＫ内のｗの全ての共役ｗ_ｉをカバーする。
３． これら位数ｎ_ｉ（ｉ＝１，２）の１つはｋｑなる形式のものであり、ここでｋは小さな数であり、ｑはＦ_ｑ内のｐの位数が高いという条件を満たす素数を表す。

ｐの選択は、この場合は、Ｏ_ｋから乱数ηを選択し、積ηηの共役複素元が素数であるかチェックすることで簡易化できる。もしそれが素数である場合は、ｎ_１或いはｎ_２が条件２を満たすかチェックされる。このηは、この場合は、その相対ノルムが整数の集合Ｚの要素となることが保証されるように選択されるべきである。

代わりに、乱数ｐは、Ｚから選択し、Ｚ［ｘ］内の最小多項式を絶対ノルム方程式Ｎ／_ｋ／ｑ（ｗ）＝ｐ^２の全ての解に対して決定することもできる。これら多項式から、既約であり、絶対値ｐ^１／２の零点（zero points）を有するものが選択される。これら最小多項式が次に点ｘ＝１の所で解析される。これは可能な群位数ｎ_ｉの集合Ｓを与える。この集合は高々４つの異なる数を有する。これら値ｎ_ｉが次に上の条件１と２を満たすかテストされる。

続く第二のサブステップに対しては、既に第一のサブステップにおいて条件１から３を満たすＣＭ体Ｋ、素数ｐ及び群位数ｎは決定されているものと想定される。この第二のサブステップにおいては、位数ｎの因子類群を有する体Ｆ_ｐ上の超楕円曲線が構成される。

これを行う際には、種数２の超楕円曲線の場合は、これら曲線のヤコビ多様体は、完全に、次元２の主偏極アーベル多様体となるという事実が利用される。また、知られている方法を用いて、Ｏ_ｋによる虚数乗法を有する複素数の体Ｃの単純主偏極アーベル多様体の全ての同形類に対するある代表系を見つけることが可能である。また、原理的には、これら多様体の周期行列（period matrix）Ωを集合Ｈ_２から決定できることが知られている。ここで、Ｈ_２＝｛ＭはＧｌ_２（Ｃ）から取られ、Ｍ^ｔ＝Ｍ_ｐ、Ｍの虚数部は正定値｝は、次元２のジーゲル上側半平面（Siegel upper half-plane）を表す。この行列は、こうして、対称であり、正定値虚数部（positively defined imaginary part）を有する。

例として以下を取る。

ηはｉ（３＋）^１／２に等しいものとして取られる。Ｑ（６^１／２）の基本単位（fundamental unit）ε_０は、この場合は、正のノルムを有する。実数二次部分体（real quadratic subfield）Ｏ_ｋｏに対して相対的完備イデアル類群（ideal class group）の代表系は

として表すことができる。

Ａ１とＡ２の一般表現から
Ａｉ＝αＯ_ｋｏ＋βＯ_ｋｏ
τ_ｉ＝α／βが計算されるが、上の例を取ると、

となる。

複素数Ｃの体内のＫの埋め込み（embedment）σは

と、これに対する共役複素元としてのρによって与えられる。Ｏ_ｋによる乗法を有する単純主偏極アーベル多様体の全ての同形類の代表系は、すると、以下のような組の集合によって与えられる。

ある組（ｓ_１，ｓ_２）に対する関連する周期行列は

である。

以下の手続によって、体Ｋ＝Ｑ（ｉ（ａ＋ｂｄ^１／２）^１／２がＣＭ体であり、ε_０が基本単位であり、σが共役

を表し、ρが複素共役である場合は、この同形類の総数が得られる。代表Ａ_ｉ＝α_ｉＯ_ｋｏ＋β_ｉＯ_ｋｏに対して、τ_ｉ＝α_ｉ／β_ｉが得られ、ここでτ_ｉの虚部は正である。類群として｛τ_１，・・・，τ_ｋ・・・，τ_ｈｋ｝およびｋ≦ｈとすると、ｉ≦ｋの場合、τ_ｉ ^σの虚部は正となり、ｉ＞ｋの場合、τ_ｉ ^σの虚部は負となる。以下の規則は、Ｏ_ｋにて虚数乗法可能な単純主偏極アーベル多様体の適当な集合Ｓを得ることを可能にする。
Ｋがガロア体であるときは、Ｓ：＝｛τ_ｉ，τ_ｉ ^σ），１≦ｉ≦ｈ｝
Ｋが非正規で、かつ、Ｎ（ε_０）＝１のときは、ｋ：＝ｈ／２、

が得られ、そして、Ｋは非正規であるが、Ｎ（ε_０）＝−１のときは、得られる定義は以下の通りとなる。

上で決定された周期行列Ω_ｉ（ｉ＝１，…，４）の各行列に対して、次に、絶対不変量ｊ_ｋ ^（ｉ）（ｋ＝１，２，３）が計算される。この目的に対しては、最初に、各行列Ω_ｉに対して偶数のテータ零（even theta-nulls）が計算され、このテータ零の助けを借りて、Ｃ上の曲線が決定され、その曲線のヤコビ多様体が周期行列Ωに対応する。この曲線の類多項式がこれら絶対不変量から計算される。

これら周期行列Ω_ｉの偶数テータ零は

によって与えられる。ここで、δ，εは集合｛０，１｝^ｇから取られ、δ^ｔε＝０ ｍｏｄ ２である。

種数２の曲線については、この関数はちょうど１０個のテータ零を与える。この近似の質は、その後計算される類多項式の近似が、Ｚ［１／ｎ］［Ｘ］内にある滑らかな数（smooth number）ｎが存在するのに十分となるように選択されるべきである。説明の例では、７０桁（seventy decimal places）で十分である。

テータ零の助けを借りてのこの式の収束は、この関数内に、Ｈ_２からの行列Ω_ｉの代わりに、ジーゲル縮約行列（Siegel-reduced matrices）Ω’を代入することで改善することができる。Ｈ_２からの行列Ω’＝Ｘ＋ｉＹは（ここで、Ｘ＝（ｘ_ｋｌ）、下付き文字ｋ,ｌ＝｛１，２｝）は、
１．１／２≦ｘ_ｋ１≦−１／２
２．Ｙはミンコフスキー縮約（Minkowski-reduced）
３．全ての

に対して

が真であればジーゲル縮約である。

これらテータ零を介して、Ｃ上の求められている曲線のモデルを決定することができる。ローゼンハイン（Ｒｏｓｅｎｈａｉｎ）モデル
ｙ^２ ＝ ｘ（ｘ−１）Π（ｘ−λ_ｉ）
はこの種のモデルであり、ここで下付き文字ｉは１から２ｇ−１まで亘る、つまり、種数２から３の曲線に対する。このローゼンハインモデルは、これらλ_ｉ値をテータ零から計算することを可能にする。下の例では、以下のようになる。

これら１０個の偶数テータ零から、いわゆる絶対イグサ（Ｉｇｕｓａ）不変量ｊ_１，ｊ_２，ｊ_３も既知の関数として得られる。しかし、ローゼンハインモデルのこれらλ_ｉ及びこれらイグサ不変量は、両方とも単に６個のテータ零から決定することもできる。

モデルｆ（ｘ）＝ｘ(ｘ−１)(ｘ−λ_１)(ｘ−λ_３)(ｘ−λ_５)のこれらλ_ｉ‘は、
λ_１＝α_１ ^２α_２ ^２(α_３ ^２α_４ ^２)^−１
λ_３＝α_３ ^２α_２ ^２(α_３ ^２α_６ ^２)^−１
λ_５＝α_５ ^２α_１ ^２(α_４ ^２α_６ ^２)^−１
によって与えられ、そして（非絶対）イグサ不変量は

によって定義され、ここで

であり、ここで項（ｇｈ）_ｋは

なる形式の、次数ｎとｍの、２つの２部形式（binary forms）のオーバレイを表す。

次に、この絶対不変量をイグサ不変量から得ることができる。

これらイグサ不変量の計算はイデアル類の群Ｉ_ｋをイデアル類とそれらの逆イデアル類の対に分けることで更に高速化することができる。類数１の体Ｋ_０の場合は、この逆イデアル類は共役複素イデアル類に等しいために、見つけられた共役複素イデアル類の各対に対して、たった１つの単純主偏極アーベル多様体を計算することのみが必要とされる。

もし、（τ_ｌ，τ_ｌ ^Ψ）がイデアルＡ_ｉに属する主偏極アーベル多様体であり、ＣＭタイプ（Ｋ，Ψ）である場合は、（−τ _ｌ，−τ _ｌ ^Ψ）はＡ _ｉに属する、同じＣＭタイプの主偏極アーベル多様体である。もし、加えて、ｊ_ｉが（τ_ｉ，τ_ｉ ^Ψ）のイグサ不変量である場合は、（−τ _ｉ，−τ _ｉ ^Ψ）の対応するイグサ不変量はｊ _ｉに等しい。こうして、共役複素イデアル類の逆類の各対に対して、たった１つのイグサ不変量を決定することのみが必要とされる。この結果として、このステップに対して要求される計算作業の量がほとんど半減される。

これら類多項式Ｈ_ｋはイグサ不変量ｊ_ｋ，ｋ＝１，・・・，３の関数として

として表すことができ、ここで、ｉ＝１，・・・，４である。

これら多項式は、有理多項式Ｑ［ｘ］の総体（corpus）のメンバである。無限連分数の方法の適用とこれに続く乗法によって、Ｈ_ｋ（Ｘ）は整数多項式Ｈ_ｋ（Ｘ）^＃に変換することができる。この例においては、

は

である。

もし、精度が十分に高く選択される場合は、これら係数（coefficients）の分母の最小公倍数は、この連分数アルゴリズム（continued fraction algorithm）にて見つけられる。本例においては、これは１１^４となる。これによって整多項式

が与えられる。

これらＱ［ｘ］上の形式Ｈ_ｋ（Ｘ）の類多項式と整多項式Ｚ［ｘ］の体上の形式Ｈ_ｋ（Ｘ）^＃の類多項式は、選択されたＣＭ体Ｋのみに依存する。しかし、この超楕円曲線に対する基礎素体（basic prime number field）Ｆ_ｐは、このＣＭ体Ｋが選択された後でもまだ変わり得る。このため、望ましくは、多数の、実際には数百或いは数千の、適当なＣＭ体及び関連する類多項式が事前に計算され、適当なやり方にて格納される。もし、このステップの後に、暗号を適用するために、ある超楕円曲線を生成することが必要となったときは、メモリ内に保持されたファイルからの、あるランダムに選択されたＣＭ体、或いは換言すればランダムに選択された類多項式を利用して、適当な素数ｐと群位数ｎが第一のサブステップにおいて挙げられた基準によって決定される。その後、以下のステップが、これら類多項式を再決定することを必要とされることなく、直ちにＦ_ｐ上の超楕円曲線を決定するために遂行される。

ある暗号プロトコルを実現するためには、また、望ましくは、その動作は完全に素数（exactly prime）である群位数に制限される。

この目的に対しては、ＣＭ体の選択を制限すること、及び２を法とする最小多項式Ｋ／Ｑが２つの異なる係数を有するような、すなわち、既約なＣＭ体Ｋのみを用いることが提唱される。

このため、Ｆ_ｐ上の超楕円曲線を計算するための以下のステップにおいては、このＣＭ体Ｋは既に選択されており、それら類多項式Ｈ_ｋ（Ｘ）^＃は上述のステップを遂行することで既に計算されているか或いは事前に計算されたファイルから取り出されているものと想定される。

次のステップはこの曲線を計算することである。この目的のためには、Ｈ_ｋ（Ｘ）^＃（ａｋ）＝０ ｍｏｄ ｐを有する（Ｆｐ）^３からの各３つ組（ａ_１，ａ_２，ａ_３）に対して以下のステップが遂行される。

ｊ_ｉ：＝ａ_１，ｊ_２：＝ａ_２及びｊ_３：＝ａ_３とセットする。次に、メストル（Ｍｅｓｔｒｅ）不変量Ａ_ｉｊ及びＨ_ｉｊｋがｊ_ｉから計算される。例えば、

において説明されているように、有限体に対する知られているメストル手続の下では、これらメストル不変量は
ΣＡ_ｉｊｘ_ｉｘ_ｊ
なる二次形式と、
ΣＨ_ｉｊｋｘ_ｉｘ_ｊｘ_ｋ
なる三次形式の係数であり、ここで、この総和は下付き文字ｉ，ｊ，ｋの１から３まで亘っている。

この二次形式に対するパラメータを多項式ｆ_１（ｔ），ｆ_２（ｔ），ｆ_３（ｔ）を取ることでセットし、これらを三次形式に
ΣＨ_ｉｊｋｆ_ｉ（ｔ）ｆ_ｊ（ｔ）ｆ_ｋ（ｔ）
に代入することで、Ｆ_ｐ上の超楕円曲線のモデル
ｙ^２＝ｆ（ｔ）
が得られる。次に、この多項式ｆ（ｔ）の次数（通常は６）が、ｆ（ｔ）がＦ_ｐ内に零点を有するときは、射影変換によって１から５だけ低減される。次に、この曲線の因子類群が位数ｎのそれであるか否かを、ランダム因子Ｄを選択し、積ｎＤを形成することでチェックする。

与えられた例の場合は、この結果としての曲線は

となり、体Ｆ_ｐ上に定義され、ここで

は上述の値に等しい。このｎの値は素数の１５２倍である。

このメストルアルゴリズムは適当な素数ｐを選択することで高速化できる。これに対する前提条件は、ＣＭ体Ｋが非正規であることと、ｐは、Ｋ内で完全に分解できる整数Ｚの集合に属する素数であるが、これは、Ｆ_ｐ内のＫの最小多項式が４つの異なる線形因子（linear factors）に分解できることと等価である。これら条件の下では、各類多項式に対するｐを法とする線形因子の数は、上述の式ｗｗ＝ｐが、その符号と共役複素元を除いて、集合Ｏ_ｋからのたった１つの解ｗを有するならば、半減される。この線形因子の半減化はメストルアルゴリズムの適用を８の因数だけ高速化する。

この長所を活用できるようにするためには、上の第一のサブステップにおいて決定された素数ｐがＦ_ｐ内のＫの最小多項式を４つの異なる線形因子に分解するかを調べるためのチェックがなされる。これは直接の計算によって行うことができる。しかし、上で説明したように、ｐは、既約であり絶対値ｐ^{（１／２）}の所に零点を有するＺ［ｘ］内の最小多項式の点ｘ＝１の所での解析にて選択されものであり、これら見つけられた素数は既に予め分類されている。この後、これら素数は２つの異なる群位数のみを許す素数に制限することもできる。

ＣＭ体が巡回的であり、そのイデアル類群の巾指数が２より大きいときは、この意味において有益な素数は正に密（positive density）である。とりわけ、このような無限個の素数が存在する。

この暗号目的に適する超楕円曲線を生成するための説明の方法は、非素数有限体（non-prime finite fields）Ｆ_ｑをカバーするように拡大することもできる。この場合は、数ｑ：＝ｐ^ｆは素数ｐの冪として定義される。この指数ｆは自然数であり、拡大次数（degree of expansion）と呼ばれる。また、この曲線はＦ_ｑの部分体（subfield）上では定義できないものと想定することもできる。

このＣＭ体Ｋがガロア体である場合は、ｐは
ｐ＝Ｋ／Ｋ_０内のＡＡ
となるように選択されるべきである。

もし、ｆが
Ａ^ｆ＝（ｗ） （ｗはＯ_ｋからの元）
が主イデアル（main ideal）である条件下で最小のものとして選択されるときは、Ｆｑ上の類多項式の平方根が存在する。Ｆ_ｑ上の超楕円曲線はこれら平方根からメストルアルゴリズムを介して上で詳述されたように構成することができる。これら曲線の位数は
ｎ＝Π（１−ｗ_ｉ）或いはΠ（１＋ｗ_ｉ）
によって与えられ、ここで下付き文字ｉは１，・・・，４であり、ｗ_ｉはｗの共役複素元を表す。

このＣＭ体が非ガロア体、かつ、非正規である場合は、この素数ｐは素イデアル（ｐ）が３つのイデアル
（ｐ）＝ｐ_１ｐ_２ｐ_３
に分解されるように選択されるべきである。

この場合は、あるイデアルＡが存在し、このことは
Ａ＝ｐ_１ｐ_２ ^２
であることを意味し、ｆは、ここでも
Ａ^ｆ＝（ｗ） （ｗはＯ_ｋからの元）
なる条件下で、最小のものとして選択される。

これら条件の下では、この非素数有限体Ｆ_ｑここでｑ＝ｐ^２ｆ上の超楕円曲線は、上で詳述されたようにしてメストルアルゴリズムを介して構成することができる。この群位数はガロア体Ｋの場合と同様にして計算することができる。

一例として、ある曲線が、拡大次数ｆ＝２ｈ_ｋ＝１０の体上で、類数ｈ_ｋ＝５を有するＣＭ体Ｋから開始して構成される。素数としては、この体Ｋ上のそのイデアル（ｐ）が３つの素イデアルに分解される、ｐ＝９１１が用いられる。イデアルＡ＝ｐ_１ｐ_２ ^２に対しては、ｆ＝５が最小指数である。この主イデアルは従ってＡ^ｆである。

ｑ＝９１１^１０である体Ｆ_ｑ内の成分は次数９の多項式にて記述することができる。モジュロｐ既約類多項式（modulo p irreducible class polynomials）は

である。

２つの可能な群位数

が得られる。

これと関連する曲線ｙ^２＝ｆ（ｘ）は

となるが、ここで、上では

なる簡略表記が用いられている。

群位数はｎ_２＝４００ｒとなるが、ここでｒは５７桁を有する素数を表す。

本発明によるＣＭ体及び関連する類多項式を決定するための第一のサブステップを示す図である。 本発明による暗号目的に適する曲線を決定するための第二のサブステップを示す図である。

Claims (20)

1. あるＣＭ体Ｋを選択するステップと、
   Ｋ内の最大位数による複素乗法を有する単純主偏極アーベル多様体の全ての同型類の代表系を決定するステップと、
   前記代表系と関連する周期行列を決定するステップと、
   テータ零を決定するステップと、
   ある有限体Ｆ_ｑ上の前記ＣＭ体に対する類多項式を決定するステップと、
   前記有限体Ｆ_ｑ上のある超楕円曲線を決定するステップと、
   前記超楕円曲線の因子類群の群位数ｎを指定するステップと、
   を含む暗号法目的に適する超楕円曲線を決定する方法。
2. 前記超楕円曲線は種数２である請求項１記載の方法。
3. イグサ不変量が前記テータ零から決定される請求項１記載の方法。
4. 前記イグサ不変量は前記類多項式を決定するために用いられる請求項３記載の方法。
5. メストル不変量が前記テータ零から決定される請求項１記載の方法。
6. 前記メストル不変量はＦ_ｑ上の超楕円曲線を生成するために用いられる請求項５記載の方法。
7. 複数の適切なＣＭ体Ｋと関連する類多項式とがアクセス可能な形式にて格納され、前記超楕円曲線を決定するためにメモリ内に保持されているこれら複数からあるＣＭ体が選択される請求項１乃至６のいずれかに記載の方法。
8. 前記周期行列はジーゲル既約形式にて用いられる請求項１乃至７のいずれかに記載の方法。
9. たった６個のテータ零が決定される請求項１乃至８のいずれかに記載の方法。
10. 前記代表系を決定するために、前記ＣＭ体Ｋの実数部分体の基本単位が前記ＣＭ体の単位のノルムであるか調べるためのテストがなされる請求項１乃至９のいずれかに記載の方法。
11. 前記代表系を決定するために、イデアル類の集合が決定される請求項１乃至１０のいずれかに記載の方法。
12. 互いに逆数のイデアル類の複数の対が識別され、イグサ不変量が各対に対してたった１度だけ前記テータ零から決定される請求項１１記載の方法。
13. ｑは素数ｐである請求項１乃至１２のいずれかに記載の方法。
14. 前記素数ｐは、各類多項式がｈ_ｋ個より多くの線形因子を有さないように選択され、ここでｈ_ｋは前記ＣＭ体の類数を表す請求項１３記載の方法。
15. 前記ＣＭ体は、前記超楕円曲線の前記因子類群の前記群位数ｎがまさに素数となるように選択される請求項１乃至１４のいずれかに記載の方法。
16. ｑはある素数ｐの冪である請求項１乃至１５のいずれかに記載の方法。
17. 暗号方法であって、データを暗号化するためのキーは、請求項１乃至１６のいずれかに記載の方法によって生成されたある超楕円曲線のＦ_ｑ−有理数の群から決定される特徴とする方法。
18. 請求項１乃至１７のいずれかに記載の方法を用いる暗号装置。
19. 請求項１８記載の、メッセージを暗号化するための暗号装置を備える、メッセージを送信するための送信機。
20. 請求項１８に記載の、メッセージを復号するための暗号装置を備える、メッセージを受信するための受信機。

Images