JP2011237475A - Elliptical curve pairing arithmetic method, encryption method, decryption method, program, elliptic curve pairing arithmetic device, encryption device and decryption device - Google Patents
Elliptical curve pairing arithmetic method, encryption method, decryption method, program, elliptic curve pairing arithmetic device, encryption device and decryption device Download PDFInfo
- Publication number
- JP2011237475A JP2011237475A JP2010106367A JP2010106367A JP2011237475A JP 2011237475 A JP2011237475 A JP 2011237475A JP 2010106367 A JP2010106367 A JP 2010106367A JP 2010106367 A JP2010106367 A JP 2010106367A JP 2011237475 A JP2011237475 A JP 2011237475A
- Authority
- JP
- Japan
- Prior art keywords
- elliptic curve
- point
- calculated
- value
- twisted
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Abstract
Description
本発明は、楕円曲線ペアリング演算方法、暗号化方法、復号化方法、プログラム、楕円曲線ペアリング演算装置、暗号化装置および復号化装置に関するものである。 The present invention relates to an elliptic curve pairing calculation method, an encryption method, a decryption method, a program, an elliptic curve pairing calculation device, an encryption device, and a decryption device.
任意の文字列を公開鍵として用いることのできるＩＤ（Identification）ベース方式による暗号、デジタル署名がある。これらは、ペアリングと呼ばれる双線形写像の性質を応用して実現される。 There are encryption and digital signatures based on an ID (Identification) base method that can use an arbitrary character string as a public key. These are realized by applying the property of bilinear mapping called pairing.
ペアリングとは、位数がｎの３つの群をＧ１,Ｇ２,Ｇ３とした時、Ｇ１×Ｇ２からＧ３への写像ｅで以下の性質を満たすもののことである。ここで、「×」は直積を意味する。
１.任意のＰ∈Ｇ１および任意のＱ∈Ｇ２に対してｅはｅ（ａＰ，ｂＱ）=e（Ｐ,Ｑ）ａｂを満たす。
２.任意のＰ∈Ｇ１および任意のＱ∈Ｇ２に対してｅ（Ｐ，Ｑ）はＧ３の単位元と異なる。
Pairing when position number three groups of n was G 1, G 2, G 3, is that of those that satisfy the following properties in the mapping e from G 1 × G 2 to G 3. Here, “x” means a direct product.
1. For any PεG 1 and any QεG 2 , e satisfies e (aP, bQ) = e (P, Q) ab .
2. Any P∈G 1 and any e respect Q∈G 2 (P, Q) is different from the unit of G 3 source.
具体的なペアリングとしてはＲｅｄｕｃｅｄ Ｔａｔｅペアリングが知られている。
ｑを２で割ることのできない素数のべきとし、Ｅ（Ｆｑ）をＦｑ上で定義される楕円曲線とし、その単位元をＯとする。Ｅ（Ｆｑ）の位数を#Ｅ（Ｆｑ）、ｎを#Ｅ（Ｆｑ）を割り切る素数、Ｅ（Ｆｑ）［ｎ］をＥ（Ｆｑ）の位数ｎの部分群、ｋをｋ＞１を満たし、ｎがｑｋ−１を割り切る最小の整数とする。またｆｐをＰ∈Ｅ（Ｆｑ）［ｎ］に対して計算される多項式とする。
この時Ｒｅｄｕｃｅｄ Ｔａｔｅペアリングは以下のように定義することができる。
As a specific pairing, Reduced Tate pairing is known.
Let q be a prime number that cannot be divided by 2, E (F q ) be an elliptic curve defined on F q , and its unit element be O. The order of E (F q ) is #E (F q ), n is a prime number that divides #E (F q ), E (F q ) [n] is a subgroup of the order n of E (F q ), Let k be the smallest integer that satisfies k> 1 and n divides q k −1. Let f p be a polynomial calculated for PεE (F q ) [n].
At this time, Reduced Tate pairing can be defined as follows.
ここで、ＦｑおよびＦｑ ＊の定義は以下の通りである。
Ｆｑ：位数ｑの有限体
Ｆｑ ＊：位数ｑの有限体Ｆｑから０を除いたもので乗法に関して群構造を持つもの。
Here, the definitions of F q and F q * are as follows.
F q : a finite field with order q F q * : a finite field Fq with
次に、非特許文献４に基づき、Ｒｅｄｕｃｅｄ Ｔａｔｅペアリングを計算するアルゴリズムを示す。以下、Ｒｅｄｕｃｅｄ Ｔａｔｅペアリングをペアリングと呼ぶ。
Next, based on Non-Patent
入力：楕円曲線上の点Ｐ∈Ｅ（Ｆｑ）、Ｑ∈Ｅ（Ｆｑ１）／ｎＥ（Ｆｑ１）、点Ｐ、Ｑの位数である素数ｎ
出力：ｆ＝ｅ（Ｐ，Ｑ）∈Ｆ＊ ｑ１／ｎＦ＊ ｑ１
（ここで、ｑ１＝ｑｋ）
Input: points PεE (F q ), QεE (F q1 ) / nE (F q1 ) on the elliptic curve, prime number n which is the order of points P and Q
Output: f = e (P, Q) εF * q1 / nF * q1
(Here, q1 = q k)
処理手順：
（１）計算機が、ｎを２進数展開して、ｎ＝ｎ０＋ｎ１×２＋・・・＋ｎｔ−１×２ｔ−１ （ｎｔ−１＝１）とする。
（２）計算機が、Ｒ←Ｐとおく。
（３）計算機が、ｆ←１とおく。
（４）計算機が、ｉ←ｔ−２とおく。
（５）ｉ≧０を満たす間、計算機は、以下の処理（５−１）〜（５−３）を繰り返す。
（５−１）計算機が、ｆ←ｆ２ --ｇＲ，Ｒ（Ｑ），Ｒ←２Ｒを計算する（２倍算処理）。
（５−２）計算機が、ｎｉ＝１であればｆ←ｆｇＲ，Ｐ（Ｑ），Ｑ←Ｑ＋Ｐを計算する（加算処理）。
（５−３）計算機が、ｉ←ｉ−１を計算する。
Procedure:
(1) The computer expands n to a binary number and sets n = n 0 + n 1 × 2 +... + N t−1 × 2 t−1 (n t−1 = 1).
(2) The computer sets R ← P.
(3) The computer sets f ← 1.
(4) The computer sets i ← t−2.
(5) While satisfying i ≧ 0, the computer repeats the following processes (5-1) to (5-3).
(5-1) computer, f ← f 2 - g R , R (Q), to calculate the R ← 2R (2 multiplication processing).
(5-2) If n i = 1, the computer calculates f ← fg R, P (Q), Q ← Q + P (addition process).
(5-3) The computer calculates i ← i−1.
（６）計算機が、ｆ←ｆ（ｑ１−１）／ｎ（ｑ１＝ｑｋ）を計算する。 (6) computer calculates the f ← f (q1-1) / n (q1 = q k).
（７）計算機が、計算結果としてｆを出力する (7) The computer outputs f as the calculation result.
このようなペアリングの具体的な計算方法は、ペアリングが定義される楕円曲線に依存して決まる。また、上記アルゴリズムにおけるループ処理では楕円曲線上の加算および２倍算処理が行われる。
ここでは楕円曲線として加算・２倍算処理に適した楕円曲線として知られているＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線を用いる（例えば、非特許文献２参照）。
A specific calculation method of such pairing is determined depending on an elliptic curve in which pairing is defined. In the loop processing in the above algorithm, addition and doubling processing on an elliptic curve are performed.
Here, a Twisted Edward type elliptic curve known as an elliptic curve suitable for addition / doubling processing is used as an elliptic curve (see, for example, Non-Patent Document 2).
まず、非特許文献２に基づきＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線について説明する。
Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線とは標数が２以外の有限体をＦｑとした場合、ａｘ２＋ｙ２＝１＋ｄｘ２ｙ２ （ａ，ｄはＦｑ上の定数でａｄ（ａ−ｄ）≠０を満たす）で表される曲線であり、この曲線上の点は、曲線の方程式を満たすｘ，ｙ∈Ｆｑの組（ｘ，ｙ）で表すことができる。以下（ｘ、ｙ）の組で表される座標をＡｆｆｉｎｅ座標と呼ぶ。
First, the Twisted Edward type elliptic curve will be described based on Non-Patent Document 2.
Twisted and Edward form elliptic curve in the case where target speed is the finite field other than 2 and F q, ax 2 + y 2 = 1 + dx 2 y 2 (a, d is a constant on F q ad (ad) ≠ 0 The points on this curve can be represented by a set (x, y) of x, yεF q that satisfies the curve equation. Hereinafter, coordinates represented by a set of (x, y) are referred to as Affine coordinates.
Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線上の２点Ｐ，Ｑに対して加算Ｐ＋Ｑが、１点Ｐに対して２倍算２Ｐが定義でき具体的な計算方法が知られている。
Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線上の２点Ｐ＝（ｘ１，ｙ１）、Ｑ＝（ｘ２，ｙ２）に対して加算は以下の式（１）で計算することができる。
A specific calculation method is known in which an addition P + Q can be defined for two points P and Q on a Twisted Edwardian elliptic curve, and a doubling 2P can be defined for one point P.
For the two points P = (x 1 , y 1 ) and Q = (x 2 , y 2 ) on the Twisted Edwardian elliptic curve, the addition can be calculated by the following equation (1).
さらに、点Ｐ＝（ｘ１，ｙ１）に対して２倍算は上記加算式においてＰ＝Ｑとすることで計算できる。以下に示す式（２）は２倍算に特化した形で前記した加算式（式（１））を記載したものである。 Further, the doubling can be calculated for the point P = (x 1 , y 1 ) by setting P = Q in the above addition formula. Formula (2) shown below describes the addition formula (Formula (1)) described above in a form specialized for doubling.
また、点Ｐ＝（ｘ１，ｙ１）に対して−Ｐを（−ｘ１，ｙ１）で定義する。
Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線上の点全体からなる集合は、加算に対して（０，１）を単位元とする加法群の構造を持つ。またＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線上の点Ｐおよび、正整数Ｌに対してＰのＬ回加算ＬＰを求める演算をスカラ倍と呼ぶ。
また、Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線上の点Ｐに対してＰをｎ回加算するスカラ倍の演算結果ｎＰが単位元である（０，１）となる場合、正整数ｎを点Ｐの位数と呼ぶ。
Further, −P is defined by (−x 1 , y 1 ) with respect to the point P = (x 1 , y 1 ).
A set of all points on a twisted Edwardian elliptic curve has an additive group structure with (0, 1) as a unit element for addition. Further, an operation for obtaining L times addition LP of P with respect to a point P on a Twisted Edward type elliptic curve and a positive integer L is called a scalar multiplication.
In addition, when a scalar multiplication result nP in which P is added n times to a point P on a Twisted Edwardian elliptic curve is the unit element (0, 1), a positive integer n is set as the order of the point P. Call.
非特許文献３において、Ｆｑ上で係数ａは２乗根を持ち係数ｄは持たない場合、係数ｄを用いない加算方法が開示されている。以下、非特許文献３に基づき上記加算方法を説明する。
In
楕円曲線上の２点をＰ＝（ｘ１，ｙ１）、Ｑ＝（ｘ２，ｙ２）、Ｐ≠Ｑ、ＰおよびＱは素数位数とした場合、加算Ｐ＋Ｑは以下の式（３）で計算することができる。 When two points on the elliptic curve are P = (x 1 , y 1 ), Q = (x 2 , y 2 ), P ≠ Q, P and Q are prime orders, the addition P + Q is expressed by the following equation (3 ) Can be calculated.
非特許文献２に開示されている加算および２倍算では有限体Ｆｑ上の乗算に比べて１０倍以上演算コストの大きい逆元計算が用いられる。この問題に対して逆元計算を用いないことでより高速な加算および２倍算の計算方法が非特許文献３に開示されている。
In addition and doubling disclosed in Non-Patent Document 2, inverse element calculation having a calculation cost 10 times or more higher than that of multiplication on the finite field Fq is used. Non-Patent
具体的には、点（ｘ，ｙ）をｘ＝Ｘ／Ｚ、ｙ＝Ｙ／Ｚ、ｘｙ＝Ｔ／Ｚ、Ｚ≠０を満たすＸ，Ｙ，Ｚ，Ｔ∈Ｆｑを用いて変換した拡張射影座標（Ｘ：Ｙ：Ｔ：Ｚ）を用いて逆元計算をより負荷の少ない数回の乗算に置き換えることにより高速化を行う。
なお、拡張射影座標（Ｘ：Ｙ：Ｔ：Ｚ）に含まれるＴ座標を省略した座標（Ｘ：Ｙ：Ｚ）を射影座標と呼ぶことにする。
Specifically, the point (x, y) is transformed using X, Y, Z, and T∈F q satisfying x = X / Z, y = Y / Z, xy = T / Z, and Z ≠ 0. The extended projective coordinates (X: Y: T: Z) are used to increase the speed by replacing the inverse element calculation with several multiplications with less load.
A coordinate (X: Y: Z) obtained by omitting the T coordinate included in the extended projected coordinate (X: Y: T: Z) is referred to as a projected coordinate.
次に、非特許文献３に基づき逆元計算の必要の無い加算アルゴリズムを示す。なお、以降のアルゴリズムの説明においてｍ，ｓ，Ｄは、それぞれ定義体Ｆｑ上の乗算、２乗算、定数倍算の演算コストを示す。
入力情報：（Ｘ１：Ｙ１：Ｔ１：Ｚ１），（Ｘ２：Ｙ２：Ｔ２：Ｚ２）
出力情報：（Ｘ３：Ｙ３：Ｔ３：Ｚ３）＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）＋（Ｘ２：Ｙ２：Ｔ２：Ｚ２）
処理手順：
（１）計算機が、Ａ←Ｘ１Ｘ２、Ｂ←Ｙ１Ｙ２、Ｃ←Ｚ１Ｔ２、Ｄ←Ｔ１Ｚ２、Ｅ←Ｄ＋ＣをＦｑ上でそれぞれ計算する（４ｍ）。
（２）計算機が、Ｆ←（Ｘ１−Ｙ１）（Ｘ２＋Ｙ２）＋Ｂ−Ａ、Ｇ←Ｂ＋ａＡ、Ｈ←Ｄ−ＣをＦｑ上でそれぞれ計算する（１ｍ，１Ｄ）。
（３）計算機が、Ｘ３←ＥＦをＦｑ上で計算する（１ｍ）。
（４）計算機が、Ｙ３←ＧＨをＦｑ上で計算する（１ｍ）。
（５）計算機が、Ｔ３←ＥＨをＦｑ上で計算する（１ｍ）。
（６）計算機が、Ｚ３←ＦＧをＦｑ上で計算する（１ｍ）。
（７）計算機が、（Ｘ３：Ｙ３：Ｔ３：Ｚ３）を演算結果として出力する。
この加算アルゴリズムの総演算コストは９ｍ＋１Ｄ、Ｚ１が１であれば１回の乗算を削減できるため総演算コストは８ｍ＋１Ｄとなる。
Next, an addition algorithm that does not require inverse element calculation based on Non-Patent
Input information: (X 1 : Y 1 : T 1 : Z 1 ), (X 2 : Y 2 : T 2 : Z 2 )
Output information: (X 3 : Y 3 : T 3 : Z 3 ) = (X 1 : Y 1 : T 1 : Z 1 ) + (X 2 : Y 2 : T 2 : Z 2 )
Procedure:
(1) The computer calculates A ← X 1 X 2 , B ← Y 1 Y 2 , C ← Z 1 T 2 , D ← T 1 Z 2 , and E ← D + C on F q (4 m).
(2) The computer calculates F ← (X 1 −Y 1 ) (X 2 + Y 2 ) + BA, G ← B + aA, and H ← D−C on F q (1m, 1D), respectively.
(3) The computer calculates X 3 ← EF on F q (1 m).
(4) The computer calculates Y 3 ← GH on F q (1 m).
(5) The computer calculates T 3 ← EH on F q (1 m).
(6) The computer calculates Z 3 ← FG on F q (1 m).
(7) The computer outputs (X 3 : Y 3 : T 3 : Z 3 ) as a calculation result.
The total calculation cost of this addition algorithm is 9m + 1D, and if Z 1 is 1, one multiplication can be reduced, so the total calculation cost is 8m + 1D.
次に、非特許文献３に基づき逆元計算の必要の無い２倍算アルゴリズムを示す。
入力情報：（Ｘ１：Ｙ１：Ｔ１：Ｚ１）
出力情報：（Ｘ３：Ｙ３：Ｔ３：Ｚ３）＝２（Ｘ１：Ｙ１：Ｔ１：Ｚ１）
処理手順：
（１）計算機が、Ａ←Ｘ１ ２、Ｂ←Ｙ１ ２、Ｃ←２Ｚ１ ２、Ｄ←ａＡをＦｑ上でそれぞれ計算する（３ｓ，１Ｄ）。
（２）計算機が、Ｅ←（Ｘ１＋Ｙ１）２−Ａ−Ｂ、Ｇ←Ｄ＋Ｂ、Ｆ←Ｇ−Ｃ、Ｈ←Ｄ−ＢをＦｑ上でそれぞれ計算する（１ｓ）。
（３）計算機が、Ｘ３←ＥＦをＦｑ上で計算する（１ｍ）。
（４）計算機が、Ｙ３←ＧＨをＦｑ上で計算する（１ｍ）。
（５）計算機が、Ｔ３←ＥＨをＦｑ上で計算する（１ｍ）。
（６）計算機が、Ｚ３←ＦＧをＦｑ上で計算する（１ｍ）。
（７）計算機が、（Ｘ３：Ｙ３：Ｔ３：Ｚ３）を演算結果として出力する。
この２倍算アルゴリズムの総演算コストは４ｍ＋４ｓ＋１Ｄとなる。
Next, a doubling algorithm that does not require inverse element calculation based on
Input information: (X 1 : Y 1 : T 1 : Z 1 )
Output information: (X 3 : Y 3 : T 3 : Z 3 ) = 2 (X 1 : Y 1 : T 1 : Z 1 )
Procedure:
(1) The computer calculates A ← X 1 2 , B ← Y 1 2 , C ← 2Z 1 2 , and D ← aA on F q (3s, 1D).
(2) The calculator calculates E ← (X 1 + Y 1 ) 2 −A−B, G ← D + B, F ← GC, and H ← D−B on F q (1 s).
(3) The computer calculates X 3 ← EF on F q (1 m).
(4) The computer calculates Y 3 ← GH on F q (1 m).
(5) The computer calculates T 3 ← EH on F q (1 m).
(6) The computer calculates Z 3 ← FG on F q (1 m).
(7) The computer outputs (X 3 : Y 3 : T 3 : Z 3 ) as a calculation result.
The total calculation cost of this doubling algorithm is 4m + 4s + 1D.
また、点（ｘ，ｙ）をｘ＝Ｚ／Ｘ、ｙ＝Ｚ／Ｙ、ＸＹＺ≠０を満たすＸ，Ｙ，Ｚ∈Ｆｑを用いて変換したＩｎｖｅｒｔｅｄ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ：Ｙ：Ｚ）を用いて逆元計算をより負荷の少ない数回の乗算に置き換えることにより高速化を行う方法が非特許文献２に開示されている。 Inverted Twisted Edward coordinates (X: Y: Z) obtained by transforming the point (x, y) using X, Y, ZεF q satisfying x = Z / X, y = Z / Y, and XYZ ≠ 0 Non-Patent Document 2 discloses a method of speeding up by replacing the inverse element calculation with several multiplications with a lighter load using.
次に、非特許文献２に基づき逆元計算の必要の無い加算アルゴリズムを示す。
入力情報：（Ｘ１：Ｙ１：Ｚ１），（Ｘ２：Ｙ２：Ｚ２）
出力情報：（Ｘ３：Ｙ３：Ｚ３）＝（Ｘ１：Ｙ１：Ｚ１）＋（Ｘ２：Ｙ２：Ｚ２）
処理手順：
（１）計算機が、Ａ←Ｚ１Ｚ２、Ｂ←ｄＡ２、Ｃ←Ｘ１Ｘ２、Ｄ←Ｙ１Ｙ２、Ｅ←ＣＤをＦｑ上でそれぞれ計算する（４ｍ，１ｓ，１Ｄ）。
（２）計算機が、Ｈ←Ｃ−ａＤ、Ｉ←（Ｘ１＋Ｙ１）（Ｘ２＋Ｙ２）−Ｃ−ＤをＦｑ上でそれぞれ計算する（１ｍ，１Ｄ）。
（３）計算機が、Ｘ３←（Ｅ＋Ｂ）ＨをＦｑ上で計算する（１ｍ）。
（４）計算機が、Ｙ３←（Ｅ−Ｂ）ＩをＦｑ上で計算する（１ｍ）。
（５）計算機が、Ｚ３←ＡＨＩをＦｑ上で計算する（２ｍ）。
（６）計算機が、（Ｘ３：Ｙ３：Ｚ３）を演算結果として出力する。
この加算アルゴリズムの総演算コストは９ｍ＋１ｓ＋２Ｄ、Ｚ１が１であれば１回の乗算を削減できるため総演算コストは８ｍ＋１ｓ＋２Ｄとなる。
Next, an addition algorithm that does not require inverse element calculation based on Non-Patent Document 2 is shown.
Input information: (X 1 : Y 1 : Z 1 ), (X 2 : Y 2 : Z 2 )
Output information: (X 3 : Y 3 : Z 3 ) = (X 1 : Y 1 : Z 1 ) + (X 2 : Y 2 : Z 2 )
Procedure:
(1) The computer calculates A ← Z 1 Z 2 , B ← dA 2 , C ← X 1 X 2 , D ← Y 1 Y 2 , E ← CD on F q (4m, 1s, 1D), respectively. .
(2) The computer calculates H ← C−aD and I ← (X 1 + Y 1 ) (X 2 + Y 2 ) −C−D on F q (1m, 1D), respectively.
(3) The computer calculates X 3 <-(E + B) H on F q (1 m).
(4) The computer calculates Y 3 <-(EB) I on F q (1 m).
(5) The computer calculates Z 3 ← AHI on F q (2 m).
(6) The computer outputs (X 3 : Y 3 : Z 3 ) as a calculation result.
The total calculation cost of this addition algorithm is 9m + 1s + 2D, and if Z 1 is 1, one multiplication can be reduced, so the total calculation cost is 8m + 1s + 2D.
次に、非特許文献２に基づき逆元計算の必要の無い２倍算アルゴリズムを示す。
入力情報：（Ｘ１：Ｙ１：Ｚ１）
出力情報：（Ｘ３：Ｙ３：Ｚ３）＝２（Ｘ１：Ｙ１：Ｚ１）
処理手順：
（１）計算機が、Ａ←Ｘ１ ２、Ｂ←Ｙ１ ２、Ｕ←ａＢをＦｑ上でそれぞれ計算する（２ｓ，１Ｄ）。
（２）計算機が、Ｃ←Ａ＋Ｕ、Ｄ←Ａ−Ｕ、Ｅ←（Ｘ１＋Ｙ１）２−Ａ−ＢをＦｑ上でそれぞれ計算する（１ｓ）。
（３）計算機が、Ｘ３←ＣＤをＦｑ上で計算する（１ｍ）。
（４：計算機が、Ｙ３←Ｅ（Ｃ−２ｄＺ１ ２）をＦｑ上で計算する（１ｍ，１ｓ，１Ｄ）。
（５）計算機が、Ｚ３←ＤＥをＦｑ上で計算する（１ｍ）。
（６）計算機が、（Ｘ３：Ｙ３：Ｚ３）を演算結果として出力する。
この２倍算アルゴリズムの総演算コストは３ｍ＋４ｓ＋２Ｄとなる。
Next, a doubling algorithm that does not require inverse element calculation based on Non-Patent Document 2 is shown.
Input information: (X 1 : Y 1 : Z 1 )
Output information: (X 3 : Y 3 : Z 3 ) = 2 (X 1 : Y 1 : Z 1 )
Procedure:
(1) The computer calculates A ← X 1 2 , B ← Y 1 2 , U ← aB on F q (2s, 1D).
(2) The computer calculates C ← A + U, D ← A−U, and E ← (X 1 + Y 1 ) 2 −A−B on F q (1 s).
(3) The computer calculates X 3 ← CD on F q (1 m).
(4: The computer calculates Y 3 ← E (C-2dZ 1 2 ) on F q (1m, 1s, 1D).
(5) The computer calculates Z 3 ← DE on F q (1 m).
(6) The computer outputs (X 3 : Y 3 : Z 3 ) as a calculation result.
The total calculation cost of this doubling algorithm is 3m + 4s + 2D.
次に、非特許文献４に基づきＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線を用いた、ペアリングの計算方法を説明する。
Next, a pairing calculation method using a Twisted Edwardian elliptic curve based on
２以外の素数のべきｑに対して、素数ｎがｑｋ−１を割り切り、かつ最小のｋが偶数であるとする。この時、楕円曲線の定義体をＦｑ、位数ｎの部分群を最大位数の部分群として持つＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線Ｅ（Ｆｑ）をａｘ２＋ｙ２＝１＋ｄｘ２ｙ２（ａｄ（ａ−ｄ）≠０かつＦｑ上で係数ａは２乗根を持ち係数ｄは持たない）、その位数ｎの部分群をＧ１とする。 Suppose that for a prime power q other than 2, the prime number n divides q k −1 and the smallest k is an even number. At this time, a Twisted Edwardian elliptic curve E (F q ) having an elliptic curve defining body as F q and a subgroup of order n as a subgroup of the maximum order is expressed as ax 2 + y 2 = 1 + dx 2 y 2 (ad ( a−d) ≠ 0 and the coefficient a has a square root on F q and does not have the coefficient d), and its subgroup of order n is G 1 .
Ｆｑのｋ次拡大体Ｆｑ１（ｑ１＝ｑｋ、ｋは偶数）はＦｑのｋ／２次拡大体Ｆｑ２（ｑ２＝ｑｋ／２）の２次拡大体と見なすことができ、α２＝δ∈Ｆｑ２（ｑ２＝ｑｋ／２）を満たす基底｛１，α｝を用いることで任意の元をｘ＋ｙα（ｘ，ｙ∈Ｆｑ２（ｑ２＝ｑｋ／２））で表現することができる。
さらに、Ｑを、Ｅ（Ｆｑ）をＦｑ１（ｑ１＝ｑｋ）上の楕円曲線と見なしたＥ（Ｆｑ１）（ｑ１＝ｑｋ）上の位数ｎの元で射影座標を用いてＱ＝（Ｘ０α：Ｙ０：Ｚ０）（Ｘ０，Ｙ０，Ｚ０∈Ｆｑ２：ｑ２＝ｑｋ／２）と表現できるものとする。この時、Ｑの属する位数ｎの部分群をＧ２とし、Ｆｑ１（ｑ１＝ｑｋ）の位数ｎの乗法に関する部分群をＧ３とする。
F k-th extension of q F q1 (q1 = q k , k is an even number) can be regarded as secondary expansion of F q of k / 2 degree extension field F q2 (q2 = q k / 2), An arbitrary element is expressed by x + yα (x, yεF q2 (q2 = q k / 2 )) by using a base {1, α} satisfying α 2 = δεF q2 (q2 = q k / 2 ). can do.
Furthermore, using projected coordinates under the order of n on E (F q1 ) (q1 = q k ) where Q is regarded as an elliptic curve on F q1 (q1 = q k ), E (F q ) Q = (X 0 α: Y 0 : Z 0 ) (X 0 , Y 0 , Z 0 ∈F q2 : q2 = q k / 2 ). In this case, the subgroup of order n which belongs Q and G 2, a subgroup concerning multiplication of order n of F q1 (q1 = q k) and G 3.
次に、ペアリングを計算するアルゴリズムを非特許文献４に基づき示す。
入力：点Ｐ＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）∈Ｇ１，Ｑ＝（Ｘ０α：Ｙ０：Ｚ０）∈Ｇ２（Ｘ０，Ｙ０，Ｚ０∈Ｆｑ２：ｑ２＝ｑｋ／２）
出力：ｆ＝ｅ（Ｐ，Ｑ）∈Ｇ３
Next, an algorithm for calculating pairing is shown based on
Input: point P = (X 1 : Y 1 : T 1 : Z 1 ) ∈G 1 , Q = (X 0 α: Y 0 : Z 0 ) ∈G 2 (X 0 , Y 0 , Z 0 ∈F q2 : Q2 = qk / 2 )
Output: f = e (P, Q) εG 3
処理手順：
（１）計算機が、点Ｐの位数である３以上の素数ｎを２進数展開して、ｎ＝ｎ０＋ｎ１×２＋・・・＋ｎｔ−１×２ｔ−１ （ｎｔ−１＝１）とする。
（２）計算機が、η←（Ｚ０＋Ｙ０）／（Ｘ０δ）とおく。
（３）計算機が、ｙ０←Ｙ０／Ｚ０とおく。
（４）計算機が、Ｒ←Ｐとおく。
（５）計算機が、ｆ←１とおく。
（６）計算機が、ｉ←ｔ−２とおく。
（７）ｉ≧０を満たす間、計算機は、以下の処理（７−１）〜（７−３）を繰返す。
（７−１）計算機が、ｆ←ｆ２ｇＲ，Ｒ（Ｑ），Ｒ←２Ｒを計算する（２倍算処理）。なお、（７−１）の計算方法は後記する。
（７−２）計算機が、ｎｉ＝１であればｆ←ｆｇＲ，Ｐ（Ｑ），Ｒ←Ｒ＋Ｐを計算する（加算処理）。なお、（７−２）の計算方法は後記する。
（７−３）計算機が、ｉ←ｉ−１を計算する。
（８）計算機が、ｆ←ｆ（ｑ１−１）／ｎ（ｑ１＝ｑｋ）を計算する。
（９）ｆを計算結果とする。
Procedure:
(1) The computer binary expands the prime number n of 3 or more which is the order of the point P, and n = n 0 + n 1 × 2 +... + N t−1 × 2 t−1 (n t−1 = 1).
(2) The computer sets η ← (Z 0 + Y 0 ) / (X 0 δ).
(3) The computer sets y 0 ← Y 0 / Z 0 .
(4) The computer sets R ← P.
(5) The computer sets f ← 1.
(6) The computer sets i ← t−2.
(7) While satisfying i ≧ 0, the computer repeats the following processes (7-1) to (7-3).
(7-1) The computer calculates f ← f 2 g R, R (Q), R ← 2R (doubling process). The calculation method of (7-1) will be described later.
(7-2) If n i = 1, the computer calculates f ← fg R, P (Q), R ← R + P (addition process). The calculation method of (7-2) will be described later.
(7-3) The computer calculates i ← i−1.
(8) computer, to calculate the f ← f (q1-1) / n (q1 = q k).
(9) Let f be the calculation result.
次に、（７−１）における２倍算処理について詳しく説明する。
入力情報：Ｒ＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）
出力情報：Ｒ＝（Ｘ３：Ｙ３：Ｔ３：Ｚ３）＝２（Ｘ１：Ｙ１：Ｔ１：Ｚ１）、ｆ
処理手順：（７−１）、（７−２）の処理における、ｍ，ｓ，Ｄは、それぞれ定義体Ｆｑ上の乗算、２乗算、定数倍算の演算コスト、Ｍ，Ｄは、それぞれＦｑのｋ次拡大体Ｆｑ１（ｑ１＝ｑｋ）上の乗算、２乗算の演算コストを示す。ただし、定義体Ｆｑ上の２倍算については、より演算コストの小さい加算もしくは１ビットシフトなどの演算を用いることでコストの大きい乗算を用いないで計算できるため定数倍としては扱わない。
（１）計算機が、Ａ←Ｘ１ ２、Ｂ←Ｙ１ ２、Ｃ←Ｚ１ ２、Ｄ←（Ｘ１＋Ｙ１）２、Ｅ←（Ｙ１＋Ｚ１）２をＦｑ上でそれぞれ計算する（５ｓ）。
（２）計算機が、Ｆ←Ｄ−（Ａ＋Ｂ）、Ｇ←Ｅ−（Ｂ＋Ｃ）、Ｈ←ａＡをＦｑ上でそれぞれ計算する（１Ｄ）。
（３）計算機が、Ｉ←Ｈ＋Ｂ、Ｊ←Ｃ−Ｉ、Ｋ←Ｊ＋ＣをＦｑ上でそれぞれ計算する。
（４）計算機が、ｃＺＺ←２Ｙ１（Ｔ１−Ｘ１）をＦｑ上で計算する（１ｍ）。
（５）計算機が、ｃＸＹ←２Ｊ＋ＧをＦｑ上で計算する。
（６）計算機が、ｃＸＺ←２（ａＸ１Ｔ１−Ｂ）をＦｑ上で計算する（１ｍ，１Ｄ）。
（７）計算機が、ｇＲ，Ｒ（Ｑ）←ｃＺＺηα＋ｃＸＹｙ０＋ｃＸＺをＦｑ２（ｑ２＝ｑｋ／２）上で計算する（ｋｍ）。
Next, the doubling process in (7-1) will be described in detail.
Input information: R = (X 1 : Y 1 : T 1 : Z 1 )
Output information: R = (X 3 : Y 3 : T 3 : Z 3 ) = 2 (X 1 : Y 1 : T 1 : Z 1 ), f
Procedure: (7-1), the processing in, m, s, D of (7-2) is multiplied on the respective definition F q, 2 multiplication, computation cost of the constant multiplication, M, D, respectively The operation cost of multiplication and multiplication on the k-th order extension field F q1 (q1 = q k ) of F q is shown. However, the doubling on the definition field F q is not treated as a constant multiplication because it can be calculated without using a multiplication with a high cost by using an operation such as addition or 1-bit shift with a lower calculation cost.
(1) The computer calculates A ← X 1 2 , B ← Y 1 2 , C ← Z 1 2 , D ← (X 1 + Y 1 ) 2 , E ← (Y 1 + Z 1 ) 2 on F q , respectively. (5s).
(2) computer, F ← D- (A + B ), G ← E- (B + C), the H ← aA calculating respectively on F q (1D).
(3) The computer calculates I ← H + B, J ← C−I, and K ← J + C on Fq .
(4) The computer calculates c ZZ ← 2Y 1 (T 1 −X 1 ) on F q (1 m).
(5) The computer calculates c XY ← 2J + G on F q .
(6) computer, c XZ ← 2 a (aX 1 T 1 -B) calculating on F q (1m, 1D).
(7) The computer calculates g R, R (Q) ← c ZZ ηα + c XY y 0 + c XZ on F q2 (q2 = q k / 2 ) (km).
（８）計算機が、ｆ←ｆ２ｇＲ，Ｒ（Ｑ）を計算する（１Ｍ、１Ｓ）。
（９）計算機が、Ｘ３←ＦＫをＦｑ上で計算する（１ｍ）。
（１０）計算機が、Ｙ３←Ｉ（Ｂ−Ｈ）をＦｑ上で計算する（１ｍ）。
（１１）計算機が、Ｔ３←Ｆ（Ｂ−Ｈ）をＦｑ上で計算する（１ｍ）。
（１２）計算機が、Ｚ３←ＩＫをＦｑ上で計算する（１ｍ）。
（１３）計算機が、Ｒ＝（Ｘ３：Ｙ３：Ｔ３：Ｚ３）、ｆを演算結果とする。
この２倍算アルゴリズムの総演算コストは１Ｍ＋１Ｓ＋（ｋ＋６）ｍ＋５ｓ＋２Ｄとなる。
(8) The computer calculates f ← f 2 g R, R (Q) (1M, 1S).
(9) The computer calculates X 3 <-FK on F q (1 m).
(10) The computer calculates Y 3 ← I (B−H) on F q (1 m).
(11) The computer calculates T 3 <-F (B−H) on F q (1 m).
(12) The computer calculates Z 3 ← IK on F q (1 m).
(13) The computer sets R = (X 3 : Y 3 : T 3 : Z 3 ) and f as a calculation result.
The total calculation cost of this doubling algorithm is 1M + 1S + (k + 6) m + 5s + 2D.
次に、（７−２）における加算ステップについて説明する。
入力情報：Ｒ＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１），Ｐ＝（Ｘ２：Ｙ２：Ｔ２：Ｚ２）、ｆ
出力情報：Ｒ＝（Ｘ３：Ｙ３：Ｔ３：Ｚ３）＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）＋（Ｘ２：Ｙ２：Ｔ２：Ｚ２）、ｆ
Next, the adding step in (7-2) will be described.
Input information: R = (X 1 : Y 1 : T 1 : Z 1 ), P = (X 2 : Y 2 : T 2 : Z 2 ), f
Output information: R = (X 3 : Y 3 : T 3 : Z 3 ) = (X 1 : Y 1 : T 1 : Z 1 ) + (X 2 : Y 2 : T 2 : Z 2 ), f
処理手順：
（１）計算機が、Ａ←Ｘ１Ｘ２、Ｂ←Ｙ１Ｙ２、Ｃ←Ｚ１Ｔ２、Ｄ←Ｔ１Ｚ２、Ｅ←Ｄ＋ＣをＦｑ上でそれぞれ計算する（４ｍ）。
（２）計算機が、Ｆ←（Ｘ１−Ｙ１）（Ｘ２＋Ｙ２）＋Ｂ−Ａ、Ｇ←Ｂ＋ａＡ、Ｈ←Ｄ−Ｃ、Ｉ←Ｔ１Ｔ２をＦｑ上でそれぞれ計算する（２ｍ，１Ｄ）。
（３）計算機が、ｃＺＺ←（Ｔ１−Ｘ１）（Ｔ２＋Ｘ２）−Ｉ＋ＡをＦｑ上で計算する（１ｍ）。
（４）計算機が、ｃＸＹ←Ｘ１Ｚ２−Ｘ２Ｚ１＋ＦをＦｑ上で計算する（２ｍ）。
（５）計算機が、ｃＸＺ←（Ｙ１−Ｔ１）（Ｙ２＋Ｔ２）−Ｂ＋Ｉ−ＨをＦｑ上で計算する（１ｍ）。
Procedure:
(1) The computer calculates A ← X 1 X 2 , B ← Y 1 Y 2 , C ← Z 1 T 2 , D ← T 1 Z 2 , and E ← D + C on F q (4 m).
(2) The computer calculates F ← (X 1 −Y 1 ) (X 2 + Y 2 ) + BA, G ← B + aA, H ← D−C, and I ← T 1 T 2 on F q ( 2m, 1D).
(3) The computer calculates c ZZ <-(T 1 −X 1 ) (T 2 + X 2 ) −I + A on F q (1 m).
(4) The computer calculates c XY <-X 1 Z 2 −X 2 Z 1 + F on F q (2 m).
(5) The computer calculates c XZ <-(Y 1 −T 1 ) (Y 2 + T 2 ) −B + I−H on F q (1 m).
（７）計算機が、ｇＲ，Ｐ（Ｑ）←ｃＺＺηα＋ｃＸＹｙ０＋ｃＸＺをＦｑ２（ｑ２＝ｑｋ／２）上で計算する（ｋｍ）。 (7) The computer calculates g R, P (Q) ← c ZZ ηα + c XY y 0 + c XZ on F q2 (q2 = q k / 2 ) (km).
（８）計算機が、ｆ←ｆｇＲ，Ｐ（Ｑ）を計算する（１Ｍ）。
（６）計算機が、Ｘ３←ＥＦをＦｑ上で計算する（１ｍ）。
（７）計算機が、Ｙ３←ＧＨをＦｑ上で計算する（１ｍ）。
（８）計算機が、Ｔ３←ＥＨをＦｑ上で計算する（１ｍ）。
（９）計算機が、Ｚ３←ＦＧをＦｑ上で計算する（１ｍ）。
（１０）計算機が、Ｒ←（Ｘ３：Ｙ３：Ｔ３：Ｚ３）、ｆを演算結果として出力する。
この加算アルゴリズムの総演算コストは１Ｍ＋（ｋ＋１４）ｍ＋１Ｄ、Ｚ１＝１の場合、乗算を２回削減できて１Ｍ＋（ｋ＋１２）ｍ＋１Ｄとなる。
(8) The computer calculates f ← fg R, P (Q) (1M).
(6) The computer calculates X 3 ← EF on F q (1 m).
(7) The computer calculates Y 3 ← GH on F q (1 m).
(8) The computer calculates T 3 ← EH on F q (1 m).
(9) The computer calculates Z 3 ← FG on F q (1 m).
(10) The computer outputs R ← (X 3 : Y 3 : T 3 : Z 3 ), f as a calculation result.
When the total calculation cost of this addition algorithm is 1M + (k + 14) m + 1D and Z 1 = 1, the multiplication can be reduced twice to 1M + (k + 12) m + 1D.
次に、非特許文献１に開示されているＩＤベース公開鍵暗号方式について説明する。
ＩＤベース公開鍵暗号方式を実現するシステムは、公開鍵の認証を行う認証局の代わりに、鍵生成センタを備える。鍵生成センタは、システムで共通に用いる公開パラメータを定め、各利用者が公開鍵として選択する任意のＩＤ（例えば、電子メールアドレス）に対して、鍵生成センタが外部にもれないよう厳重に保管するマスタ鍵を用いて公開鍵毎に秘密鍵を生成し、利用者に配布する。そして、鍵生成センタは、利用者が選択するＩＤ（公開鍵）と生成した秘密鍵とを対応づけて管理する。公開鍵の選定方法については、システム内でルール化しておく。
Next, an ID-based public key cryptosystem disclosed in
A system that implements an ID-based public key cryptosystem includes a key generation center instead of a certificate authority that performs public key authentication. The key generation center defines public parameters commonly used in the system, and strictly restricts the key generation center from being externally provided for any ID (for example, e-mail address) selected by each user as a public key. A secret key is generated for each public key using the stored master key and distributed to users. The key generation center manages the ID (public key) selected by the user in association with the generated secret key. The public key selection method is ruled in the system.
ＩＤベース公開鍵暗号方式は以下の４種類の処理より構成される。（１）、（２）は鍵生成センタでの処理であり、（３）は送信側端末の処理、（４）は受信側端末の処理である。
（１）公開パラメータおよびマスタ鍵生成処理：鍵生成センタに設置されている鍵発行装置が、システムで共通に用いる群やペアリングを含む公開パラメータの生成およびマスタ鍵の生成を行う。公開パラメータは、鍵生成センタによって外部に公開される。なお、システム全体の安全を確保するため、マスタ鍵は、システムの利用者を含む外部に漏洩しないよう、鍵生成センタによって厳重に保管される。
（２）秘密鍵生成処理：鍵発行装置が、利用者のメールアドレスなど、利用者と対応付けることのできる文字列（ＩＤ：公開鍵）毎に、マスタ鍵を用いて秘密鍵を生成する。この文字列が公開鍵となる。
（３）暗号化：送信側端末が鍵発行装置から公開パラメータや、送付先の公開鍵を取得し、取得した公開パラメータおよび送付先の公開鍵を用いて暗号化対象データの暗号化を行い、暗号化されたデータ（暗号化データ）を受信側端末へ送信する。
（４）復号：受信側端末が、鍵発行装置から公開パラメータおよび受信者の秘密鍵を取得し、公開パラメータおよび受信者の秘密鍵を用いて、送信側端末から送信された暗号化データを復号する。
The ID-based public key cryptosystem is composed of the following four types of processing. (1) and (2) are the processes at the key generation center, (3) is the process of the transmitting terminal, and (4) is the process of the receiving terminal.
(1) Public parameter and master key generation process: A key issuing device installed in a key generation center generates a public parameter including a group and pairing commonly used in the system and a master key. The public parameter is disclosed to the outside by the key generation center. In order to ensure the safety of the entire system, the master key is strictly stored by the key generation center so as not to leak to the outside including the system user.
(2) Secret key generation processing: The key issuing device generates a secret key using a master key for each character string (ID: public key) that can be associated with the user, such as the user's mail address. This character string becomes the public key.
(3) Encryption: The transmission side terminal acquires the public parameter and the destination public key from the key issuing device, encrypts the data to be encrypted using the acquired public parameter and the destination public key, The encrypted data (encrypted data) is transmitted to the receiving terminal.
(4) Decryption: The receiving side terminal obtains the public parameter and the recipient's private key from the key issuing device, and decrypts the encrypted data transmitted from the sending side terminal using the public parameter and the recipient's private key. To do.
次に上記（１）から（４）の各処理における、入力、出力、および処理について説明する。
以下、｛０，１｝＊は全てのバイナリ系列を表し、｛０，１｝Ｎは全てのＮビットバイナリ系列を表し、ＸＯＲは排他的論理和を表す。
Next, input, output, and processing in the processes (1) to (4) will be described.
Hereinafter, {0, 1} * represents all binary sequences, {0, 1} N represents all N-bit binary sequences, and XOR represents exclusive OR.
（１）公開パラメータおよびマスタ鍵生成処理
入力情報：セキュリティパラメータである正整数Ｌ
出力情報：公開パラメータｐａｒａｍｓ、マスタ鍵ｓ
処理手順：
（１−１）鍵発行装置が、Ｌビットの素数ｎを生成する。
（１−２）鍵発行装置が、位数ｎの群Ｇ１、Ｇ２、Ｇ３を選択する。
（１−３）鍵発行装置が、ペアリングｅ：Ｇ１×Ｇ２→Ｇ３を選択する。
（１−４）鍵発行装置が、Ｇ１の生成元Ｐを選択する。
（１−５）鍵発行装置が、０＜ｓ＜ｎを満たす整数ｓをランダムに選択しマスタ鍵とする。
（１−６）鍵発行装置が、楕円曲線スカラ倍演算を用いて、Ｐｐｕｂ←ｓＰを計算する。
（１−７）鍵発行装置が、ハッシュ関数Ｈ１：｛０，１｝＊→Ｇ２を選択する。
（１−８）鍵発行装置が、ある整数Ｎに対して、ハッシュ関数Ｈ２：Ｇ３→｛０，１｝Ｎを選択する。
（１−９）鍵発行装置が、公開パラメータをｐａｒａｍｓ＝＜ｎ，Ｇ１，Ｇ２，Ｇ３，ｅ，Ｎ，Ｐ，Ｐｐｕｂ，Ｈ１，Ｈ２＞とする。
(1) Public parameter and master key generation process input information: positive integer L which is a security parameter
Output information: public parameters params, master key s
Procedure:
(1-1) The key issuing device generates an L-bit prime number n.
(1-2) The key issuing device selects the group G 1 , G 2 , G 3 of order n.
(1-3) The key issuing device selects pairing e: G 1 × G 2 → G 3 .
(1-4) The key issuing device selects a generator P of G 1.
(1-5) The key issuing device randomly selects an integer s satisfying 0 <s <n and sets it as a master key.
(1-6) The key issuing device calculates P pub ← sP using elliptic curve scalar multiplication.
(1-7) The key issuing device selects the hash function H 1 : {0, 1} * → G 2 .
(1-8) The key issuing device selects a hash function H 2 : G 3 → {0, 1} N for a certain integer N.
(1-9) The key issuing device sets the public parameters as params = <n, G 1 , G 2 , G 3 , e, N, P, P pub , H 1 , H 2 >.
（２）秘密鍵生成処理：
入力情報：公開パラメータｐａｒａｍｓ、マスタ鍵ｓ、公開鍵として用いる任意の文字列ＩＤ
出力情報：ＩＤに対応する秘密鍵ｄＩＤ
処理手順：
（２−１）鍵発行装置が、任意のバイナリ列からなる集合に含まれる、与えられたＩＤ（ＩＤ∈｛０，１｝＊）に対して、公開パラメータｐａｒａｍｓに含まれているハッシュ関数Ｈ１を用いて、ＱＩＤ←Ｈ１（ＩＤ）を計算する。
（２−２）鍵発行装置が、マスタ鍵ｓを用いてｄＩＤ←ｓＱＩＤを計算し、秘密鍵とする。
(2) Secret key generation processing:
Input information: public parameter params, master key s, arbitrary character string ID used as public key
Output information: private key d ID corresponding to ID
Procedure:
(2-1) The hash function H included in the public parameter params for the given ID (IDε {0, 1} * ) included in the set of arbitrary binary strings by the key issuing device. 1 is used to calculate Q ID ← H 1 (ID).
(2-2) The key issuing device calculates d ID ← sQ ID using the master key s and sets it as a secret key.
（３）暗号化：
入力：暗号化対象データＷ、公開パラメータｐａｒａｍｓ、公開鍵ＩＤ
出力：暗号化データＣ＝（Ｃ１，Ｃ２）
処理手順：
（３−１）送信側端末が、公開パラメータｐａｒａｍｓに含まれているハッシュ関数Ｈ１を用いて、ハッシュ値ＱＩＤ←Ｈ１（ＩＤ）を計算する。
（３−２）送信側端末が、０＜ｒ＜ｎを満たす整数ｒをランダムに選択する。
（３−３）送信側端末が、楕円曲線スカラ倍演算を用いて、Ｃ１←ｒＰを計算する。
（３−４）送信側端末が、公開パラメータｐａｒａｍｓに含まれているペアリングｅを用いて、ペアリング演算を行い、ｇ←ｅ（Ｐｐｕｂ，ＱＩＤ）を計算する。
（３−５）送信側端末が、公開パラメータｐａｒａｍｓに含まれているハッシュ関数Ｈ２を用いて、ハッシュ値ｈ←Ｈ２（ｇｒ）を計算する。
（３−６）送信側端末が、Ｃ２←Ｗ ＸＯＲ ｈを計算する。
（３−７）送信側端末が、Ｃ←（Ｃ１，Ｃ２）を暗号化データとする。
(3) Encryption:
Input: Encryption target data W, public parameter params, public key ID
Output: Encrypted data C = (C 1 , C 2 )
Procedure:
(3-1) The transmitting terminal calculates a hash value Q ID ← H 1 (ID) using the hash function H 1 included in the public parameter params.
(3-2) The transmission side terminal randomly selects an integer r that satisfies 0 <r <n.
(3-3) The transmission side terminal calculates C 1 <-rP using elliptic curve scalar multiplication.
(3-4) The transmission side terminal performs pairing calculation using the pairing e included in the public parameter params, and calculates g ← e (P pub , Q ID ).
(3-5) The transmission side terminal calculates the hash value h ← H 2 (g r ) using the hash function H 2 included in the public parameter params.
(3-6) The transmission side terminal calculates C 2 <-W XOR h.
(3-7) The transmission side terminal sets C ← (C 1 , C 2 ) as encrypted data.
（４）復号：
入力情報：暗号化データＣ＝（Ｃ１，Ｃ２）、公開パラメータｐａｒａｍｓ、秘密鍵ｄＩＤ
出力情報：復号データＭ
処理手順：
（４−１）受信側端末が、公開パラメータｐａｒａｍｓに含まれているペアリングｅを用いて、ペアリング演算を行い、ｇ←ｅ（Ｃ１，ｄＩＤ）を計算する。
（４−２）受信側端末が、公開パラメータｐａｒａｍｓに含まれているハッシュ関数Ｈ２を用いて、ｈ←Ｈ２（ｇ）を計算する。
（４−３）受信側端末が、Ｗ←Ｃ２ ＸＯＲ ｈを計算し復号データとする。
(4) Decryption:
Input information: encrypted data C = (C 1 , C 2 ), public parameter params, secret key d ID
Output information: Decoded data M
Procedure:
(4-1) The receiving side terminal performs a pairing calculation using the pairing e included in the public parameter params, and calculates g ← e (C 1 , d ID ).
(4-2) The receiving terminal calculates h ← H 2 (g) using the hash function H 2 included in the public parameter params.
(4-3) The receiving side terminal calculates W ← C 2 XOR h and sets it as decoded data.
前記したＩＤベース暗号では、楕円曲線上のペアリング演算処理が必須である。しかし、ペアリング演算は暗号化および復号化処理において負荷が重いため処理性能に大きな影響を及ぼす事が知られている。
具体的には、ペアリング演算の処理性能は楕円曲線の定義体上の乗算および、２乗算、定数倍算の回数に依存する事が知られている。
また、ペアリング演算の際、Ｉｎｖｅｒｔｅｄ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標の適用可能性および係数ａ＝−１に特化した計算方法については、非特許文献４において開示されていない。
In the ID-based encryption described above, pairing calculation processing on an elliptic curve is essential. However, it is known that the pairing operation greatly affects the processing performance because of heavy load in the encryption and decryption processing.
More specifically, it is known that the processing performance of the pairing operation depends on the number of multiplications, double multiplications, and constant multiplications on the elliptic curve definition.
In addition, the
このような背景に鑑みて本発明がなされたのであり、本発明は、効率的なペアリング演算を行うことを目的とする。 The present invention has been made in view of such a background, and an object of the present invention is to perform an efficient pairing operation.
前記課題を解決するため、本発明は、Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を拡張した拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いて表現したＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線上の素数位数の点である第１の点（Ｚ１＝１）と、ａｆｆｉｎｅ座標を用いて表現した第２の点とのペアリング演算を行うことを特徴とする。
その他の解決手段については、実施形態中で適宜説明する。
In order to solve the above-mentioned problem, the present invention provides a first point (Z 1 = Z 1) that is a point of prime order on a Twisted Edwardian elliptic curve expressed using an extended Twisted Edward coordinate obtained by extending an inverted twisted Edward coordinate. 1) and a second point expressed using affine coordinates are performed.
Other solutions will be described as appropriate in the embodiments.
本発明によれば効率的な楕円曲線ペアリング演算を行うことができる。 According to the present invention, efficient elliptic curve pairing calculation can be performed.
次に、本発明を実施するための形態（「実施形態」という）について、適宜図面を参照しながら詳細に説明する。なお、本実施形態では、拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いることで、楕円曲線スカラ倍演算における演算コストを低減することを目的とする。 Next, modes for carrying out the present invention (referred to as “embodiments”) will be described in detail with reference to the drawings as appropriate. In the present embodiment, an object is to reduce the calculation cost in the elliptic curve scalar multiplication by using the extended inverted twisted coordinates.
《楕円曲線ペアリング演算》
［楕円曲線ペアリング演算装置］
図１は、本実施形態に係る楕円曲線ペアリング演算装置の構成例を示す図である。
楕円曲線ペアリング演算装置１は、制御演算部１１０と、記憶部１２０を有している。
制御演算部１１０は、入出力部１１１と、制御部１１２と、楕円曲線ペアリング演算部１１３とを有する。入出力部１１１は、入力情報としての演算対象データおよび出力情報としての演算結果の入出力を行う機能を有する。制御部１１２は、楕円曲線ペアリング演算装置１全体を制御する機能を有する。楕円曲線ペアリング演算部１１３は、実際に楕円曲線上のペアリング演算を計算する機能を有する。
《Elliptic curve pairing operation》
[Elliptic curve pairing processor]
FIG. 1 is a diagram illustrating a configuration example of an elliptic curve pairing arithmetic device according to the present embodiment.
The elliptic curve
The
記憶部１２０には、中間データ１２１、データ１２２などが格納されている。中間データ１２１は、必要に応じて処理中に生成されるデータである。データ１２２は、楕円曲線のパラメータなどのデータである。
The
図２は、本実施形態に係る楕円曲線ペアリング演算部の構成例を示す図である。
楕円曲線ペアリング演算部１１３は、入出力部１１４と、楕円曲線加算演算部１１５と、楕円曲線２倍算演算部１１６と、基本演算部１１７とを有する。
楕円曲線加算演算部１１５は、楕円曲線上の２点の加算演算などを行う機能を有する。楕円曲線２倍算演算部１１６は、楕円曲線上の点の２倍算演算などを行う機能を有する。基本演算部１１７は、楕円曲線加算演算部１１５および楕円曲線２倍算演算部１１６から必要に応じて呼び出され楕円曲線の定義体上の演算や剰余計算（ｍｏｄ）を用いた四則演算などを行う機能を有する。
FIG. 2 is a diagram illustrating a configuration example of the elliptic curve pairing calculation unit according to the present embodiment.
The elliptic curve
The elliptic curve
なお、楕円曲線ペアリング演算装置１は、図１６に示すような、バス６７で接続されたＣＰＵ（Central Processing Unit）６１と、ＲＡＭ（Random Access Memory）などのメモリ６２と、ＨＤＤ（Hard Disk Drive）やその他の外部記憶装置６５と、キーボードなどの入力装置６３と、ディスプレイなどの出力装置６４と、外部記憶装置６５や、入力装置６３や、出力装置６４と、バス６７とを中継するインタフェース６６とを備えた、一般的な構成を有する情報処理装置６上に構築することができる。
楕円曲線ペアリング演算装置１の制御演算部１１０および各部１１１〜１１７は、ＣＰＵ６１が、メモリ６２にロードされたプログラム（コードモジュールともいう）を実行することで、情報処理装置６上に具現化される。また、メモリ６２や、外部記憶装置６５が図１の記憶部１２０として使用される。
The elliptic curve
The
また、前記したプログラムは、予め外部記憶装置６５に記憶され、必要に応じてメモリ６２上にロードされ、ＣＰＵ６１により実行される。なお、このプログラムは、可搬性の記憶媒体、例えばＣＤ−ＲＯＭ（Compact Disk-Read Only Memory）などに格納され、必要に応じて、これら可搬性の記憶媒体からメモリ６２にロードされてもよい。また、プログラムは、一旦、ＣＤ−ＲＯＭなどの可搬性の記憶媒体からＨＤＤなどの外部記憶装置６５にインストールされた後、必要に応じて、この外部記憶装置６５からメモリ６２にロードされてもよい。さらに、プログラムは、図示していないネットワーク接続装置を介して、ネットワーク上の情報処理装置６が伝送信号により、一旦、外部記憶装置６５にダウンロードされてからメモリ６２にロードされてもよいし、あるいは、直接、ネットワーク経由でメモリ６２にロードされてもよい。
The above-described program is stored in advance in the
［楕円曲線ペアリング演算処理］
次に、図２を参照しつつ、図３〜図６に沿って楕円曲線ペアリング演算処理の手順を説明する。
２以外の素数のべきｑに対して、素数ｎがｑｋ−１を割り切りかつ最小のｋが偶数であるとする。この時、楕円曲線の定義体をＦｑ、位数ｎの部分群を最大位数の部分群として持つＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線Ｅ（Ｆｑ）をａｘ２＋ｙ２＝１＋ｄｘ２ｙ２（ａｄ（ａ−ｄ）≠０かつＦｑ上で係数ａは２乗根を持ち係数ｄは持たない）、その位数（素数位数）ｎの部分群をＧ１とする。
[Elliptic curve pairing calculation processing]
Next, the procedure of the elliptic curve pairing calculation process will be described with reference to FIGS. 3 to 6 with reference to FIG.
Suppose that for a prime power q other than 2, the prime number n divides q k −1 and the smallest k is an even number. At this time, a Twisted Edwardian elliptic curve E (F q ) having an elliptic curve defining body as F q and a subgroup of order n as a subgroup of the maximum order is expressed as ax 2 + y 2 = 1 + dx 2 y 2 (ad ( a−d) ≠ 0 and the coefficient a has a square root on F q and does not have the coefficient d), and a subgroup of its order (primary order) n is G 1 .
Ｆｑのｋ次拡大体Ｆｑ１（ｑ１＝ｑｋ：ｋは偶数）はＦｑのｋ／２次拡大体Ｆｑ２（ｑ２＝ｑｋ／２）上の２次拡大体と見なすことができ、α２＝δ∈Ｆｑ２（ｑ２＝ｑｋ／２）を満たす基底｛１，α｝を用いることで、任意の元はｘ＋ｙα（ｘ，ｙ∈Ｆｑ２：ｑ２＝ｑｋ／２）で表現することができる。
次にＱを、（Ｆｑ）をＦｑ１（ｑ１＝ｑｋ）上の楕円曲線の点と見なし、Ｅ（Ｆｑ１）（ｑ１＝ｑｋ）上の位数ｎの元でＡｆｆｉｎｅ座標を用いてＱ＝（ｘ０α，ｙ０）（ｘ０、ｙ０∈Ｆｑ２：ｑ２＝ｑｋ／２）と表現できるものとする。この時、Ｑの属する位数ｎの部分群をＧ２とし、Ｆｑ１（ｑ１＝ｑｋ）の乗法に関する位数ｎの部分群をＧ３とする。
F q of k-th extension member F q1 (q1 = q k: k is an even number) can be regarded as secondary extension field on F q of k / 2 degree extension field F q2 (q2 = q k / 2) , Α 2 = δ∈F q2 (q2 = q k / 2 ), by using a basis {1, α}, an arbitrary element is x + yα (x, y∈F q2 : q2 = q k / 2 ) Can be expressed.
The next Q, using Affine coordinates (F q) and regarded as a point of an elliptic curve over F q1 (q1 = q k) , E (F q1) (q1 = q k) on the of order n of the original Q = (x 0 α, y 0 ) (x 0 , y 0 εF q2 : q2 = q k / 2 ). In this case, the subgroup of order n which belongs Q and G 2, and F q1 (q1 = q k) G 3 a subgroup of order n of multiplication.
以上の前提で、本実施形態に係る楕円曲線ペアリング演算の全体概要を説明すると、入出力部１１１により入力を受け付けた３つの群Ｇ１、Ｇ２、Ｇ３、拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いて表現したＧ１の点（第１の点）Ｐ＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）∈Ｇ３、Ａｆｆｉｎｅ座標を用いて表現したＧ２の点（第２の点）Ｑ＝（ｘ０α，ｙ０）（ｘ０，ｙ０∈Ｆｑ２：ｑ２＝ｑｋ／２）、点ＰおよびＱの位数ｎ（ｎ≧３）の各入力情報は、記憶部１２０に保持される。
Based on the above assumptions, the overall outline of the elliptic curve pairing calculation according to the present embodiment will be described. Three groups G 1 , G 2 , G 3 , and extended inverted twisted Edward coordinates received by the input /
ここで、拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標とは、楕円曲線上の点（ｘ，ｙ）をｘ＝Ｚ／Ｘ、ｙ＝Ｚ／Ｙ、ＸＹＺ≠０を満たすＸ，Ｙ，Ｚを用いて変換したＩｎｖｅｒｔｅｄ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ：Ｙ：Ｚ）に対して、ｘｙ＝Ｔ／Ｚを満たす座標Ｔを加えて（Ｘ：Ｙ：Ｔ：Ｚ）とした座標である。
そして、制御演算部１１０が、記憶部１２０で保持されている各入力情報を用いて、図３〜図６に示すペアリング演算処理を行い、演算結果（第１の元）ｆ＝ｅ（Ｐ，Ｑ）∈Ｇ３を求め、出力する。
Here, the extended inverted twisted coordinate is an inverted coordinate obtained by converting a point (x, y) on an elliptic curve using X, Y, Z satisfying x = Z / X, y = Z / Y, and XYZ ≠ 0. This is a coordinate obtained by adding a coordinate T satisfying xy = T / Z to (X: Y: T: Z) with respect to Twisted Edward coordinates (X: Y: Z).
Then, the
（全体処理）
図３は、本実施形態に係る楕円曲線ペアリング演算処理の全体処理を説明するためのフローチャートである。
ステップＳ１０１において、基本演算部１１７が、Ｐの位数である素数ｎを２進数展開して、ｎ＝ｎ０＋ｎ１×２＋・・・＋ｎｔ−１×２ｔ−１ （ｎｔ−１＝１）とする。
ステップＳ１０２において、基本演算部１１７が、η←（１＋ｙ０）／（ｘ０δ）とおく。
ステップＳ１０３において、基本演算部１１７が、ｆ←１（単位元）、ｉ←ｔ−２、Ｒ（第３の点）←Ｐとおく。
ステップＳ１０４において、楕円曲線２倍算演算部１１６が、ｆ←ｆ２ｇＲ，Ｒ（Ｑ）、Ｒ←２Ｒを、を計算する（２倍算処理）。ステップＳ１０４の計算方法は図４を参照して後記する。ｇＲ，Ｒ（Ｑ）については、図４のステップＳ２０６において後記する。
(Overall processing)
FIG. 3 is a flowchart for explaining the overall processing of the elliptic curve pairing calculation processing according to the present embodiment.
In step S101, the basic
In step S102, the
In step S103, the
In step S104, the elliptic curve doubling
ステップＳ１０５において、基本演算部１１７が、ｎｉ＝１であるか否かを判定し、ｎｉ＝１であれば（Ｓ１０５→Ｙｅｓ）、ステップＳ１０６の処理に進み、ｎｉ＝１でなければ（Ｓ１０５→Ｎｏ）、ステップＳ１０７の処理に進む。
ステップＳ１０６において、楕円曲線加算演算部１１５が、ｆ←ｆｇＲ，Ｐ（Ｑ）、Ｒ←Ｒ＋Ｐを計算する（加算処理）。ステップＳ１０６の計算方法は、係数ａが−１以外の場合は図５を参照して後記し、係数ａが−１の場合は図６を参照して後記する。ｇＲ，Ｐ（Ｑ）については、図５のステップＳ３０６、図６のステップＳ４０６で後記する。
ステップＳ１０７において、基本演算部１１７が、ｉ←ｉ−１を計算する。
ステップＳ１０８において、基本演算部１１７が、ｉ≧０であるか否かを判定し、ｉ≧０であれば（Ｓ１０８→Ｙｅｓ）、ステップＳ１０４の処理に戻り、ｉ≧０でなければ（Ｓ１０８→Ｎｏ）、ステップＳ１０９の処理に進む。
ステップＳ１０９において、基本演算部１１７が、ｆのべき乗ｆ←ｆ（ｑ１−１）／ｎ（ｑ１＝ｑｋ）を計算しｆを演算結果とする。
In step S105, the basic computation unit 117, it is determined whether or not n i = 1, if n i = 1 (S105 → Yes ), the process proceeds to step S106, unless n i = 1 (S105 → No), the process proceeds to step S107.
In step S106, the elliptic curve
In step S107, the
In step S108, the
In step S109, the
（２倍算処理）
次に、図２を参照しつつ、図４に沿って図３のステップＳ１０４における２倍算処理について説明する。なお、これ以降、各処理の最後に記述してあるｍ，ｓ，Ｄは、それぞれ定義体Ｆｑ上の乗算、２乗算、定数倍算の演算コスト、Ｍ，Ｓは、それぞれＦｑのｋ次拡大体Ｆｑ１（ｑ１＝ｑｋ）上の乗算、２乗算の演算コストを示す。ただし、定義体Ｆｑ上の２倍算については、より演算コストの小さい加算もしくは１ビットシフトなどの演算を用いることでコストの大きい乗算を用いないで計算できるため定数倍としては扱わない。
(Doubling processing)
Next, the doubling process in step S104 of FIG. 3 will be described along FIG. 4 with reference to FIG. Hereafter, m, s, and D described at the end of each process are the operation costs of multiplication, multiplication, and constant multiplication on the definition field F q , respectively, and M and S are k k of F q , respectively. The operation cost of multiplication and multiplication on the next extension field F q1 (q1 = q k ) is shown. However, the doubling on the definition field F q is not treated as a constant multiplication because it can be calculated without using a multiplication with a high cost by using an operation such as addition or 1-bit shift with a lower calculation cost.
図４は、図３のステップＳ１０４における２倍算処理の手順を示すフローチャートである。
なお、図４において、入力時におけるＲの座標は（Ｘ２：Ｙ２：Ｔ２：Ｚ２）であるとする。
ステップＳ２０１において、楕円曲線２倍算演算部１１６が、Ａ←Ｘ２ ２、Ｂ←Ｙ２ ２、Ｃ←Ｔ２ ２、Ｄ←ａＢ、Ｅ←ａＹ２Ｚ２をＦｑ上でそれぞれ計算する（１ｍ，３ｓ，２Ｄ）。ここでａ＝−１である場合、Ｄ←ａＢおよびＥ←ａＹ２Ｚ２はＦｑ上でＢの符号を反転することにより定数倍算を用いないで計算できるため、演算コストを２Ｄ削減することができる。
FIG. 4 is a flowchart showing the procedure of the doubling process in step S104 of FIG.
In FIG. 4, it is assumed that the coordinates of R at the time of input are (X 2 : Y 2 : T 2 : Z 2 ).
In step S201, the elliptic curve doubling
ステップＳ２０２において、楕円曲線２倍算演算部１１６が、Ｆ←Ａ＋Ｄ、Ｇ←Ａ−Ｄ、Ｈ←（Ｘ２＋Ｙ２）２−Ａ−Ｂ、Ｉ←（Ｘ２＋Ｔ２）２−Ａ−Ｃ、Ｊ←（２Ｃ−Ｆ）をＦｑ上でそれぞれ計算する（２ｓ）。
ステップＳ２０３において、楕円曲線２倍算演算部１１６が、ｃＺＺ←２Ｘ２（Ｙ２−Ｚ２）をＦｑ上で計算する（１ｍ）。
ステップＳ２０４において、楕円曲線２倍算演算部１１６が、ｃＸＹ←２（Ｆ−Ｃ）−ＩをＦｑ上で計算する。
ステップＳ２０５において、楕円曲線２倍算演算部１１６が、ｃＸＺ←２（Ａ−Ｅ）をＦｑ上で計算する。
In step S < b > 202, the elliptic curve doubling
In step S203, the elliptic curve doubling
In step S204, the elliptic curve doubling operation portion 116, a c XY ← 2 (F-C ) -I calculating on F q.
In step S205, the elliptic curve doubling
ステップＳ２０６において、楕円曲線２倍算演算部１１６が、ｇＲ，Ｒ（Ｑ）←ｃＺＺηα＋ｃＸＹｙ０＋ｃＸＺをＦｑのｋ／２次拡大体Ｆｑ２（ｑ２＝ｑｋ／２）上で計算する（ｋｍ）。
In step S206, the elliptic curve doubling operation portion 116, g R, R (Q) ← c ZZ ηα +
ステップＳ２０７において、楕円曲線２倍算演算部１１６が、ｆ←ｆ２ｇＲ，Ｒ（Ｑ）をＦｑのｋ次拡大体Ｆｑ１（ｑ１＝ｑｋ）上で計算する（１Ｍ，１Ｓ）。
ステップＳ２０８において、楕円曲線２倍算演算部１１６が、Ｘ３←ＦＧをＦｑ上で計算する（１ｍ）。
ステップＳ２０９において、楕円曲線２倍算演算部１１６が、Ｙ３←ＨＪをＦｑ上で計算する（１ｍ）。
ステップＳ２１０において、楕円曲線２倍算演算部１１６が、Ｔ３←ＦＪをＦｑ上で計算する（１ｍ）。
ステップＳ２１１において、楕円曲線２倍算演算部１１６が、Ｚ３←ＧＨをＦｑ上で計算する（１ｍ）。
ステップＳ２１２において、楕円曲線２倍算演算部１１６が、２倍算の演算結果を拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いてＲ←（Ｘ３：Ｙ３：Ｔ３：Ｚ３）とおき、ｆとともに、演算結果として出力する。
この２倍算の総演算コストは、１Ｍ＋１Ｓ＋（ｋ＋６）ｍ＋５ｓ＋２Ｄとなる。
またａ＝−１である場合、１Ｍ＋１Ｓ＋（ｋ＋６）ｍ＋５ｓとなる。
In step S207, the elliptic curve doubling
In step S208, the elliptic curve doubling
In step S209, the elliptic curve doubling
In step S210, the elliptic curve doubling
In step S211, the elliptic curve doubling
In step S212, the elliptic curve doubling
The total calculation cost of this doubling is 1M + 1S + (k + 6) m + 5s + 2D.
When a = -1, 1M + 1S + (k + 6) m + 5s.
ここで、図４の処理について詳細に説明する。
まず、非特許文献２に基づくＩｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ：Ｙ：Ｚ）を用いた（Ｘ３：Ｙ３：Ｚ３）＝２（Ｘ２：Ｙ２：Ｚ２）を計算する２倍算は以下の式（４）〜（６）で計算できる。
Here, the processing of FIG. 4 will be described in detail.
First, doubling to calculate (X 3 : Y 3 : Z 3 ) = 2 (X 2 : Y 2 : Z 2 ) using inverted twisted Edward coordinates (X: Y: Z) based on Non-Patent Document 2 Can be calculated by the following equations (4) to (6).
Ｘ３＝（Ｘ２ ２＋ａＹ２ ２）（Ｘ２ ２−ａＹ２ ２）・・・（４）
Ｙ３＝２Ｘ２Ｙ２（Ｘ２ ２＋ａＹ２ ２−２ｄＺ２ ２）・・・（５）
Ｚ３＝２Ｘ２Ｙ２（Ｘ２ ２−ａＹ２ ２）・・・（６）
X 3 = (X 2 2 + aY 2 2 ) (X 2 2 −aY 2 2 ) (4)
Y 3 = 2X 2 Y 2 (X 2 2 + aY 2 2 -2dZ 2 2 ) (5)
Z 3 = 2X 2 Y 2 (X 2 2− aY 2 2 ) (6)
次に、この非特許文献２に記載の２倍算計算方法を本実施形態による、すなわち拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いるペアリング演算手段に適するよう変形する。
つまり、上記のＩｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ３：Ｙ３：Ｚ３）に加えて１／（ｘ３ｙ３）＝Ｚ３／Ｔ３を満たすＴ３座標を求める必要がある。
ここで、Ｔ３は以下の条件（式（７））を満たす。
Next, the doubling calculation method described in Non-Patent Document 2 is modified so as to be suitable for the pairing calculation means according to this embodiment, that is, using the extended inverted twisted coordinates.
That is, in addition to the above inverted twisted Edward coordinates (X 3 : Y 3 : Z 3 ), it is necessary to obtain T 3 coordinates that satisfy 1 / (x 3 y 3 ) = Z 3 / T 3 .
Here, T 3 satisfy the following condition (equation (7)).
さらに、変形して、式（８）を得る。 Furthermore, it deform | transforms and Formula (8) is obtained.
以上より、Ｔ３は、式（９）とおける。 From the above, T 3 can be expressed by equation (9).
Ｔ３＝（Ｘ２ ２＋ａＹ２ ２）（Ｘ２ ２＋ａＹ２ ２−２ｄＺ２ ２）・・・（９） T 3 = (X 2 2 + aY 2 2 ) (X 2 2 + aY 2 2 -2dZ 2 2 ) (9)
次に楕円曲線ａｘ２＋ｙ２＝１＋ｄｘ２ｙ２をｘ＝Ｚ２／Ｘ２、ｙ＝Ｚ２／Ｙ２を用いて変換すると、式（１０）を得る。 Next, when the elliptic curve ax 2 + y 2 = 1 + dx 2 y 2 is converted using x = Z 2 / X 2 and y = Z 2 / Y 2 , Equation (10) is obtained.
（Ｘ２ ２＋ａＹ２ ２）Ｚ２ ２＝Ｘ２ ２Ｙ２ ２＋ｄＺ２ ４・・・（１０） (X 2 2 + aY 2 2 ) Z 2 2 = X 2 2 Y 2 2 + dZ 2 4 (10)
Ｚ２ ２で両辺を割ることによって、式（１１）とおける。 By dividing both sides by Z 2 2, definitive and Equation (11).
Ｘ２ ２Ｙ２ ２＝Ｔ２ ２Ｚ２ ２を用いることで式（１２）を得る。 Formula (12) is obtained by using X 2 2 Y 2 2 = T 2 2 Z 2 2 .
２ｄＺ２ ２＝２（Ｘ２ ２＋ａＹ２ ２−Ｔ２ ２）・・・（１２） 2dZ 2 2 = 2 (X 2 2 + aY 2 2 −T 2 2 ) (12)
式（１２）を式（５）に代入することによりＹ３が求まる。 Y 3 is obtained by substituting equation (12) into equation (5).
Ｙ３＝２Ｘ２Ｙ２（２Ｔ２ ２−Ｘ２ ２−ａＹ２ ２）・・・（１３） Y 3 = 2X 2 Y 2 (2T 2 2 -X 2 2 -aY 2 2 ) (13)
式（１２）を式（９）に代入することによりＴ３が求まる。 T 3 is obtained by substituting equation (12) into equation (9).
Ｔ３＝（Ｘ２ ２＋ａＹ２ ２）（２Ｔ２ ２−Ｘ２ ２−ａＹ２ ２）・・・（１４） T 3 = (X 2 2 + aY 2 2 ) (2T 2 2 −X 2 2 −aY 2 2 ) (14)
次に非特許文献４に基づくと、ｇＲ，Ｒ（Ｑ）は式（１５）で表すことができる。
Next, based on
ｇＲ，Ｒ（Ｑ）＝ｃ０ＺＺηα＋ｃ０ＸＹｙ０＋ｃ０ＸＺ・・・（１５） g R, R (Q) = c 0ZZ ηα + c 0XY y 0 + c 0XZ (15)
射影座標を用いてＲ＝（Ｘ３：Ｙ３：Ｚ３）とした場合、式（１５）の係数ｃ０ＺＺ、ｃ０ＸＹ、ｃ０ＸＺは以下の式（１６）〜（１８）で求められる。 When R = (X 3 : Y 3 : Z 3 ) using the projected coordinates, the coefficients c 0ZZ , c 0XY , and c 0XZ in the equation (15) are obtained by the following equations (16) to (18).
ｃ０ＺＺ＝Ｘ３Ｚ３（Ｚ３−Ｙ３）・・・（１６）
ｃ０ＸＹ＝ｄＸ３ ２−Ｚ３ ３・・・（１７）
ｃ０ＸＺ＝Ｚ３（Ｚ３Ｙ３−ａＸ３ ２）・・・（１８）
c 0ZZ = X 3 Z 3 (Z 3 -Y 3 ) (16)
c 0XY = dX 3 2 -Z 3 3 (17)
c 0XZ = Z 3 (Z 3 Y 3 -aX 3 2 ) (18)
Ｒの各座標はすべてＦｑの元であるため、Ｆｑの元をｇＲ，Ｒ（Ｑ）全体に乗算したとしても、あるいはＦｑの元でｇＲ，Ｒ（Ｑ）全体を割った結果を、新たにｇＲ，Ｒ（Ｑ）とおきなおして計算したとしても、乗算または除算に用いたＦｑの元は最後に行うｆのべき乗の過程で単位元となるためペアリングの演算結果には影響しない。また、Ｒの各座標は全てＦｑの元であるため、これらの座標でｇＲ，Ｐ（Ｑ）全体に乗算する、または座標ｇＲ，Ｒ（Ｑ）全体をすることで、ｇＲ，Ｒ（Ｑ）の係数を、拡張射影座標を用いる表現からＡｆｆｉｎｅ座標を用いる表現に変換し、その後Ａｆｆｉｎｅ座標を用いる表現から拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いる表現へと変換することでｇＲ，Ｒ（Ｑ）を得る。 Since all the coordinates of R is the original F q, the original F q g R, R (Q) as obtained by multiplying the whole, or g R, divided by the total R (Q) in F q of the original Even if the result is newly recalculated as g R, R (Q) , the element of F q used for multiplication or division becomes the unit element in the process of power of f to be performed last, so that the pairing calculation The result is not affected. Further, since each coordinate of R is the original all F q, g R, is multiplied by the entire P (Q) at these coordinates, or coordinates g R, by the whole R (Q), g R, By converting the coefficient of R (Q) from an expression using extended projected coordinates to an expression using Affine coordinates, and then from an expression using Affine coordinates to an expression using extended inverted twisted coordinates, g R, R ( Q) is obtained.
ｇＲ，Ｒ（Ｑ）全体をＺ３ ３で割ることによって式（１６）より式（１９）を得る。 g R, R (Q) is divided by Z 3 3 to obtain equation (19) from equation (16).
ｘ２＝Ｘ３／Ｚ３、ｙ２＝Ｙ３／Ｚ３を用いて射影座標をＡｆｆｉｎｅ座標（ｘ２，ｙ２）に変換することによって式（２０）を得る。 Equation (20) is obtained by converting the projected coordinates into Affine coordinates (x 2 , y 2 ) using x 2 = X 3 / Z 3 and y 2 = Y 3 / Z 3 .
ｃＺＺ＝ｘ２（１−ｙ２）・・・（２０） c ZZ = x 2 (1- y 2) ··· (20)
さらに、ｘ２＝Ｚ２／Ｘ２、ｙ２＝Ｚ２／Ｙ２、ｘ２ｙ２＝Ｚ２／Ｔ２を満たす拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ２：Ｙ２：Ｔ２：Ｚ２）を用いて変換することで式（２１）を得る。 Furthermore, the extended inverted twisted Edward coordinates (X 2 : Y 2 : T 2 : Z 2 ) satisfying x 2 = Z 2 / X 2 , y 2 = Z 2 / Y 2 , x 2 y 2 = Z 2 / T 2 (21) is obtained by converting using.
式（１７）をＺ３ ３で割ることによって式（２２）を得る。 Dividing equation (17) by Z 3 3 yields equation (22).
ｘ２＝Ｘ３／Ｚ３、ｙ２＝Ｙ３／Ｚ３を用いて射影座標をＡｆｆｉｎｅ座標（ｘ２，ｙ２）変換することによって式（２３）を得る。 By using x 2 = X 3 / Z 3 and y 2 = Y 3 / Z 3 , the projected coordinates are transformed into Affine coordinates (x 2 , y 2 ) to obtain Expression (23).
ｃＸＹ＝ｄｘ２ ２ｙ２−１・・・（２３） c XY = dx 2 2 y 2 −1 (23)
さらに、ｘ２＝Ｚ２／Ｘ２、ｙ２＝Ｚ２／Ｙ２、ｘ２ｙ２＝Ｚ２／Ｔ２を満たす拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ２：Ｙ２：Ｔ２：Ｚ２）を用いて変換することで式（２４）を得る。 Furthermore, the extended inverted twisted Edward coordinates (X 2 : Y 2 : T 2 : Z 2 ) satisfying x 2 = Z 2 / X 2 , y 2 = Z 2 / Y 2 , x 2 y 2 = Z 2 / T 2 (24) is obtained by converting using.
同様に式（１８）をＺ３ ３で割ることによって式（２５）を得る。 Similarly, equation (25) is obtained by dividing equation (18) by Z 3 3 .
ｘ２＝Ｘ２／Ｚ２、ｙ２＝Ｙ２／Ｚ２を用いて射影座標をＡｆｆｉｎｅ座標（ｘ２，ｙ２）変換することによって式（２６）を得る。 Expression (26) is obtained by transforming projected coordinates to Affine coordinates (x 2 , y 2 ) using x 2 = X 2 / Z 2 and y 2 = Y 2 / Z 2 .
ｃＸＹ＝ｙ２−ａｘ２ ２・・・（２６） c XY = y 2 −ax 2 2 (26)
さらに、ｘ２＝Ｚ２／Ｘ２、ｙ２＝Ｚ２／Ｙ２、ｘ２ｙ２＝Ｚ２／Ｔ２を満たす拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ２：Ｙ２：Ｔ２：Ｚ２）を用いて変換することで式（２７）を得る。 Furthermore, the extended inverted twisted Edward coordinates (X 2 : Y 2 : T 2 : Z 2 ) satisfying x 2 = Z 2 / X 2 , y 2 = Z 2 / Y 2 , x 2 y 2 = Z 2 / T 2 (27) is obtained by converting using.
ｇＲ，Ｒ（Ｑ）全体に２Ｘ２ ２Ｙ２を掛けることでｃＺＺ←２Ｘ２ ２Ｙ２ｃＺＺを計算し、式（２８）を得る。 g R, compute the c ZZ ← 2X 2 2 Y 2 c ZZ by multiplying the 2X 2 2 Y 2 across R (Q), obtaining a formula (28).
ｃＺＺ＝２Ｘ２Ｚ２（Ｙ２−Ｚ２）・・・（２８） c ZZ = 2X 2 Z 2 ( Y 2 -Z 2) ··· (28)
ｇＲ，Ｒ（Ｑ）全体に２Ｘ２ ２Ｙ２を掛けることでｃＸＹ←２Ｘ２ ２Ｙ２ｃＸＹを計算し式（２９）を得る。 g obtained R, R (Q) entire 2X 2 2 Y 2 c XY ← 2X 2 by applying a 2 Y 2 c XY calculated by equation (29).
ｃＸＹ＝２ｄＺ２ ３−２Ｘ２ ２Ｙ２・・・（２９） c XY = 2dZ 2 3 -2X 2 2 Y 2 (29)
Ｘ２Ｙ２＝Ｔ２Ｚ２を用いて変形することで式（３０）を得る。 Expression (30) is obtained by transforming using X 2 Y 2 = T 2 Z 2 .
ｃＸＹ＝２ｄＺ２ ３−２Ｘ２Ｔ２Ｚ２＝Ｚ２（２ｄＺ２ ２−２Ｘ２Ｔ２）・・・（３０） c XY = 2dZ 2 3 -2X 2 T 2 Z 2 = Z 2 (2dZ 2 2 -2X 2 T 2 ) (30)
さらに、式（１２）を用いることで式（３１）を得る。 Furthermore, Formula (31) is obtained by using Formula (12).
ｃＸＹ＝Ｚ２（２（Ｘ２ ２＋ａＹ２ ２−Ｔ２ ２）２Ｘ２Ｔ２）・・・（３１） c XY = Z 2 (2 (X 2 2 + aY 2 2 −T 2 2 ) 2X 2 T 2 ) (31)
ｇＲ，Ｒ（Ｑ）全体に２Ｘ２ ２Ｙ２を掛けることでＣの係数ｃＸＺ←２Ｘ２ ２Ｙ２ｃＸＺを計算し式（３２）を得る。 g obtained R, R (Q) entire 2X 2 2 Y C in 2 by multiplying the coefficients c XZ ← 2X 2 2 Y 2 c XZ calculated by equation (32).
ｃＸＺ＝２Ｘ２ ２Ｚ２−２ａＹ２Ｚ２ ２・・・（３２） c XZ = 2X 2 2 Z 2 -2aY 2 Z 2 2 (32)
最後にｇＲ，Ｒ（Ｑ）全体をＺ２で割ることによって、Ｃの係数ｃＺＺ←ｃＺＺ／Ｚ２、ｃＸＹ←ｃＸＹ／Ｚ２、ｃＸＺ←ｃＸＺ／Ｚ２を計算することで式（３３）〜（３５）を得る。 Finally, by dividing the entire g R, R (Q) by Z 2 , C coefficients c ZZ ← c ZZ / Z 2 , c XY ← c XY / Z 2 , and c XZ ← c XZ / Z 2 are calculated. Thus, formulas (33) to (35) are obtained.
ｃＺＺ＝２Ｘ２（Ｙ２−Ｚ２）・・・（３３）
ｃＸＹ＝２（Ｘ２ ２＋ａＹ２ ２−Ｔ２ ２）−２Ｘ２Ｔ２・・・（３４）
ｃＸＺ＝２（Ｘ２ ２−ａＹ２Ｚ２）・・・（３５）
c ZZ = 2X 2 (Y 2 -Z 2) ··· (33)
c XY = 2 (X 2 2 + aY 2 2 -T 2 2 ) -2X 2 T 2 (34)
c XZ = 2 (X 2 2 -aY 2 Z 2 ) (35)
以上をアルゴリズムの形でまとめると、図４で示す手順となる。 When the above is summarized in the form of an algorithm, the procedure shown in FIG. 4 is obtained.
（加算処理）
次に、図２を参照しつつ、図５および図６に沿って図３のステップＳ１０６における処理を説明する。
図５は、図３のステップＳ１０６において係数ａが−１以外の場合の加算処理の手順を示すフローチャートである。
なお、図５において、入力時のＰの座標は（Ｘ１：Ｙ１：Ｔ１：Ｚ１）、Ｒの座標は（Ｘ２：Ｙ２：Ｔ２：Ｚ２）であるとする。
ステップＳ３０１において、楕円曲線加算演算部１１５が、Ａ←Ｘ１Ｘ２、Ｂ←Ｙ１Ｙ２、Ｃ←Ｔ２Ｚ１、Ｄ←Ｔ１Ｚ２をＦｑ上でそれぞれ計算する（４ｍ）。
ここでＺ１＝１である場合、Ｃ←Ｔ２Ｚ１はＣ←Ｔ２となり、乗算の必要がなくなるため、演算コストを１ｍ削減することができる。
ステップＳ３０２において、楕円曲線加算演算部１１５が、Ｅ←（Ｘ１＋Ｙ１）（Ｘ２−Ｙ２）＋Ｂ−Ａ、Ｆ←Ｃ＋Ｄ、Ｇ←Ｃ−Ｄ、Ｈ←Ａ＋ａＢ、Ｉ←Ｔ１Ｔ２をＦｑ上でそれぞれ計算する（２ｍ，１Ｄ）。
ステップＳ３０３において、楕円曲線加算演算部１１５が、ｃＺＺ←Ｙ２Ｚ１−Ｙ１Ｚ２をＦｑ上で計算する（２ｍ）。
ここでＺ１＝１である場合、ｃＺＺ←Ｙ２−Ｙ１Ｚ２となり、１回分の乗算の必要がなくなるため、演算コストを１ｍ削減することができる。
(Addition processing)
Next, the processing in step S106 of FIG. 3 will be described along FIGS. 5 and 6 with reference to FIG.
FIG. 5 is a flowchart showing the procedure of addition processing when the coefficient a is other than −1 in step S106 of FIG.
In FIG. 5, it is assumed that the coordinates of P at the time of input are (X 1 : Y 1 : T 1 : Z 1 ) and the coordinates of R are (X 2 : Y 2 : T 2 : Z 2 ).
In step S301, the elliptic curve
Here, when Z 1 = 1, C ← T 2 Z 1 is C ← T 2 , and the multiplication is not necessary, so that the calculation cost can be reduced by 1 m.
In step S302, the elliptic curve
In step S303, the elliptic curve addition unit 115, a c ZZ ← Y 2 Z 1 -Y 1 Z 2 calculated in the F q (2m).
Here, when Z 1 = 1, c ZZ ← Y 2 −Y 1 Z 2 , and there is no need for one multiplication, so that the calculation cost can be reduced by 1 m.
ステップＳ３０４において、楕円曲線加算演算部１１５が、ｃＸＹ←（Ｙ１−Ｔ１）（Ｙ２＋Ｔ２）−Ｂ＋Ｉ＋ＥをＦｑ上で計算する（１ｍ）。
ステップＳ３０５において、楕円曲線加算演算部１１５が、ｃＸＺ←Ｄ−Ｃ＋（Ｘ１Ｚ２＋Ｘ２Ｚ１）をＦｑ上で計算する（２ｍ）。
ここでＺ１＝１である場合、ｃＸＺ←Ｄ−Ｃ＋（Ｘ１Ｚ２＋Ｘ２）となり、１回分の乗算の必要がなくなるため、演算コストを１ｍ削減することができる。
In step S304, the elliptic curve
In step S305, the elliptic curve
Here, when Z 1 = 1, c XZ ← D−C + (X 1 Z 2 + X 2 ) and it is not necessary to perform multiplication for one time, so that the calculation cost can be reduced by 1 m.
ステップＳ３０６において、ｇＲ，Ｐ（Ｑ）←ｃＺＺηα＋ｃＸＹｙ０＋ｃＸＺをＦｑのｋ／２次拡大体Ｆｑ２（ｑ２＝ｑｋ／２）上で計算する（ｋｍ）。
In step S306, g R, to calculate on P (Q) ← c ZZ ηα +
ステップＳ３０７において、ｆ←ｆｇＲ，Ｐ（Ｑ）をＦｑのｋ次拡大体Ｆｑ１（ｑ１＝ｑｋ）上で計算する（１Ｍ）。 In step S307, f ← fg R, P (Q) is calculated on the k-th order extension field F q1 (q1 = q k ) of F q (1M).
ステップＳ３０８において、楕円曲線加算演算部１１５が、ｉ＝０であるか否かを判定し、ｉ＝０であれば（Ｓ３０８→Ｙｅｓ）、ステップＳ３１４の処理に進み、そうでなければ（Ｓ３０８→Ｎｏ）、ステップＳ３０９に進む。
ステップＳ３０９において、楕円曲線加算演算部１１５が、Ｘ３←ＨＧをＦｑ上で計算する（１ｍ）。
ステップＳ３１０において、楕円曲線加算演算部１１５が、Ｙ３←ＥＦをＦｑ上で計算する（１ｍ）。
ステップＳ３１１において、楕円曲線加算演算部１１５が、Ｔ３←ＨＥをＦｑ上で計算する（１ｍ）。
ステップＳ３１２において、楕円曲線加算演算部１１５が、Ｚ３←ＦＧをＦｑ上で計算する（１ｍ）
In step S308, the elliptic curve
In step S309, the elliptic curve
In step S310, the elliptic curve
In step S311, the elliptic curve
In step S312, the elliptic curve
ステップＳ３１３において、楕円曲線加算演算部１１５が、演算結果をＩｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いてＲ←（Ｘ３：Ｙ３：Ｔ３：Ｚ３）としｆとともに出力し、加算処理を終了する。
ステップＳ３１４では、楕円曲線加算演算部１１５が、演算結果をｆとして出力し、加算処理を終了する。
図５に示す加算アルゴリズムの総演算コストは１Ｍ＋（ｋ＋１５）ｍ＋１Ｄ、Ｚ１＝１の場合、１Ｍ＋（ｋ＋１２）ｍ＋１Ｄとなる。なお、通常はＺ１＝１が用いられる。
In step S313, the elliptic curve
In step S314, the elliptic curve
The total calculation cost of the addition algorithm shown in FIG. 5 is 1M + (k + 12) m + 1D when 1M + (k + 15) m + 1D and Z 1 = 1. Usually, Z 1 = 1 is used.
ここで、図５の処理の詳細について説明する。
非特許文献３に基づく加算公式によるとＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線上の２点Ｐ＝（ｘ１，ｙ１）、Ｑ＝（ｘ２，ｙ２）に対して係数ｄを用いない加算Ｐ＋Ｑ＝（ｘ３，ｙ３）は以下の式（３６）で計算することができる。
Here, details of the processing of FIG. 5 will be described.
According to the addition formula based on
この式（３６）より、図５に示す加算アルゴリズムを導く。 From this equation (36), the addition algorithm shown in FIG. 5 is derived.
２点Ｐ＝（ｘ１，ｙ１）、Ｑ＝（ｘ２，ｙ２）と拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いて表現したＰ＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）、Ｑ＝（Ｘ２：Ｙ２：Ｔ２：Ｚ２）は以下の関係を満たす。 Two points P = (x 1 , y 1 ), Q = (x 2 , y 2 ) and P = (X 1 : Y 1 : T 1 : Z 1 ) expressed using extended inverted twisted coordinates, Q = (X 2 : Y 2 : T 2 : Z 2 ) satisfies the following relationship.
ｘ１＝ Ｚ１／Ｘ１、ｙ１＝Ｚ１／Ｙ１、ｘ１ｙ１＝ Ｚ１／Ｔ１、ｘ２＝ Ｚ２／Ｘ２、ｙ２＝Ｚ２／Ｙ２、ｘ２ｙ２＝ Ｚ２／Ｔ２ x 1 = Z 1 / X 1 , y 1 = Z 1 / Y 1 , x 1 y 1 = Z 1 / T 1 , x 2 = Z 2 / X 2 , y 2 = Z 2 / Y 2 , x 2 y 2 = Z 2 / T 2
これらの関係式を、式（３６）に代入することによって、加算公式（式（３６））を変形し、式（３７）を得る。 By substituting these relational expressions into Expression (36), the addition formula (Expression (36)) is modified to obtain Expression (37).
次に、以下の式（３８）より式（３９）が導かれる。 Next, Expression (39) is derived from Expression (38) below.
Ｘ１Ｙ１Ｘ２Ｙ２＝Ｚ１Ｚ２Ｔ１Ｔ２・・・（３９） X 1 Y 1 X 2 Y 2 = Z 1 Z 2 T 1 T 2 ··· (39)
この式（３９）を式（３７）に代入して、変形すると、以下の式（４０）を得る。 Substituting this equation (39) into equation (37) and transforming it yields the following equation (40).
最終的にＰ＋Ｑは以下の式（４１）を計算することで求められる。 Finally, P + Q is obtained by calculating the following equation (41).
式（３９）より、ｘ３＝Ｚ３／Ｘ３、ｙ３＝Ｚ３／Ｙ３、ｘ３ｙ３＝Ｚ３／Ｔ３ を満たすＸ３、Ｙ３、Ｔ３、Ｚ３をそれぞれ求めると、以下の式（４２）〜（４５）を得る。 X 3 , Y 3 , T 3 , and Z 3 satisfying x 3 = Z 3 / X 3 , y 3 = Z 3 / Y 3 , and x 3 y 3 = Z 3 / T 3 are obtained from Expression (39), respectively. And the following formulas (42) to (45) are obtained.
Ｘ３＝（Ｘ１Ｘ２＋ａＹ１Ｙ２）（Ｚ１Ｔ２−Ｔ１Ｚ２）・・・（４２）
Ｙ３＝（Ｙ１Ｘ２−Ｘ１Ｙ２）（Ｚ１Ｔ２＋Ｔ１Ｚ２）・・・（４３）
Ｔ３＝（Ｘ１Ｘ２＋ａＹ１Ｙ２）（Ｙ１Ｘ２−Ｘ１Ｙ２）・・・（４４）
Ｚ３＝（Ｚ１Ｔ２＋Ｔ１Ｚ２）（Ｚ１Ｔ２−Ｔ１Ｚ２）・・・（４５）
X 3 = (X 1 X 2 + aY 1 Y 2 ) (Z 1 T 2 −T 1 Z 2 ) (42)
Y 3 = (Y 1 X 2 -X 1 Y 2) (Z 1 T 2 + T 1 Z 2) ··· (43)
T 3 = (X 1 X 2 + aY 1 Y 2 ) (Y 1 X 2 −X 1 Y 2 ) (44)
Z 3 = (Z 1 T 2 + T 1 Z 2 ) (Z 1 T 2 −T 1 Z 2 ) (45)
式（４２）〜（４５）を用いることでＰ＋Ｒ＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）＋（Ｘ２：Ｙ２：Ｔ２：Ｚ２）＝（Ｘ３：Ｙ３：Ｔ３：Ｚ３）を計算することができる。
実際にｘ３＝Ｚ３／Ｘ３、ｙ３＝Ｚ３／Ｙ３、ｘ３ｙ３＝Ｚ３／Ｔ３を満たしていることは以下の式（４６）〜（４８）で確認できる。
By using the formulas (42) to (45), P + R = (X 1 : Y 1 : T 1 : Z 1 ) + (X 2 : Y 2 : T 2 : Z 2 ) = (X 3 : Y 3 : T 3 : Z 3 ) can be calculated.
It can be confirmed by the following formulas (46) to (48) that x 3 = Z 3 / X 3 , y 3 = Z 3 / Y 3 , and x 3 y 3 = Z 3 / T 3 are actually satisfied.
次に非特許文献４に基づくと、ｇＲ，Ｐ（Ｑ）は式（４９）で表すことができる。
Next, based on
ｇＲ，Ｐ（Ｑ）＝ｃ０ＺＺηα＋ｃ０ＸＹｙ０＋ｃ０ＸＺ・・・（４９） g R, P (Q) = c 0ZZ ηα + c 0XY y 0 + c 0XZ (49)
拡張射影座標を用いてＰ＝（Ｘ３：Ｙ３：Ｔ３：Ｚ３）、Ｒ＝（Ｘ４：Ｙ４：Ｔ４：Ｚ４）とした場合、式（４７）の係数ｃ０ＺＺ、ｃ０ＸＹ、ｃ０ＸＺは以下の式（５０）〜（５２）で求められる。 When P = (X 3 : Y 3 : T 3 : Z 3 ) and R = (X 4 : Y 4 : T 4 : Z 4 ) using the extended projection coordinates, the coefficient c 0ZZ in Expression (47), c 0XY and c 0XZ are obtained by the following formulas (50) to (52).
ｃ０ＺＺ＝Ｘ３Ｘ４（Ｙ３Ｚ４−Ｙ４Ｚ３）・・・（５０）
ｃ０ＸＹ＝Ｚ３Ｚ４（Ｘ３Ｚ４−Ｘ４Ｚ３＋Ｘ３Ｙ４−Ｘ４Ｙ３）・・・（５１）
ｃ０ＸＺ＝Ｘ４Ｙ４Ｚ３ ２−Ｘ３Ｙ３Ｚ４ ２＋Ｙ３Ｙ４（Ｘ４Ｚ３−Ｘ３Ｚ４）・・・（５２）
c 0ZZ = X 3 X 4 (Y 3 Z 4 -Y 4 Z 3 ) (50)
c 0XY = Z 3 Z 4 ( X 3 Z 4 -X 4
c 0XZ = X 4 Y 4 Z 3 2 -X 3 Y 3
ＰおよびＲの各座標は全てＦｑの元であるため、Ｆｑの元をｇＲ，Ｐ（Ｑ）全体に乗算したとしても、あるいはＦｑの元でｇＲ，Ｐ（Ｑ）全体を割った結果を、新たにｇＲ，Ｐ（Ｑ）とおきなおして計算したとしても、乗算または除算に用いたＦｑの元は最後に行うｆのべき乗の過程で単位元となるためペアリングの演算結果には影響しない。また、ＰおよびＲの各座標は全てＦｑの元であるため、これらの座標でｇＲ，Ｐ（Ｑ）全体に乗算する、または座標ｇＲ，Ｐ（Ｑ）全体をすることで、ｇＲ，Ｐ（Ｑ）の係数を、拡張射影座標を用いる表現からＡｆｆｉｎｅ座標を用いる表現に変換し、その後Ａｆｆｉｎｅ座標を用いる表現から拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いる表現へと変換することで図５に示すｇＲ，Ｐ（Ｑ）を得る。 Since the coordinates of P and R are all elements of F q , even if the elements of F q are multiplied by the whole g R, P (Q), or the whole g R, P (Q) is Even if the result of division is newly calculated as g R, P (Q), pairing is performed because the element of F q used for multiplication or division becomes the unit element in the process of power of f performed at the end. It does not affect the operation result of. In addition, since all the coordinates of P and R are elements of F q , by multiplying the entire g R, P (Q) by these coordinates or by performing the entire coordinates g R, P (Q), g The coefficients of R, P (Q) are converted from an expression using extended projected coordinates to an expression using Affine coordinates, and then converted from an expression using Affine coordinates to an expression using extended inverted twisted coordinates in FIG. Obtain g R, P (Q).
ｇＲ，Ｐ（Ｑ）全体をＺ３ ２Ｚ４ ２で割ることによって式（５０）より式（５３）を得る。 g R, P (Q) is divided by Z 3 2 Z 4 2 to obtain equation (53) from equation (50).
ｘ３＝Ｘ３／Ｚ３、ｙ３＝Ｙ３／Ｚ３、ｘ４＝Ｘ４／Ｚ４、ｙ４＝Ｙ４／Ｚ４を用いて射影座標をＡｆｆｉｎｅ座標（ｘ３，ｙ３）および（ｘ４，ｙ４）に変換することによって式（５４）を得る。 Projection coordinates are affine coordinates (x 3 , y 3 ) using x 3 = X 3 / Z 3 , y 3 = Y 3 / Z 3 , x 4 = X 4 / Z 4 , y 4 = Y 4 / Z 4 And (x 4 , y 4 ) to obtain equation (54).
ｃＺＺ＝ｘ３ｘ４（ｙ３−ｙ４）・・・（５４） c ZZ = x 3 x 4 ( y 3 -y 4) ··· (54)
ｘ３＝Ｚ１／Ｘ１、ｙ３＝Ｚ１／Ｙ１、ｘ３ｙ３＝Ｚ１／Ｔ１、ｘ４＝Ｚ２／Ｘ２、ｙ４＝Ｚ２／Ｙ２、ｘ４ｙ４＝Ｚ２／Ｔ２を満たすＩｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ１：Ｙ１：Ｔ１：Ｚ１）および（Ｘ２：Ｙ２：Ｔ２：Ｚ２）を用いて変換することで式（５５）を得る。 x 3 = Z 1 / X 1 , y 3 = Z 1 / Y 1 , x 3 y 3 = Z 1 / T 1 , x 4 = Z 2 / X 2 , y 4 = Z 2 / Y 2 , x 4 y 4 = Z 2 / T 2 Inverted Twisted Edward coordinates (X 1 : Y 1 : T 1 : Z 1 ) and (X 2 : Y 2 : T 2 : Z 2 ) )
ｇＲ，Ｐ（Ｑ）全体をＺ３ ２Ｚ４ ２で割ることによって式（５１）より式（５６）を得る。 g R, P (Q) is divided by Z 3 2 Z 4 2 to obtain equation (56) from equation (51).
ｘ３＝Ｘ３／Ｚ３、ｙ３＝Ｙ３／Ｚ３、ｘ４＝Ｘ４／Ｚ４、ｙ４＝Ｙ４／Ｚ４を用いて射影座標をＡｆｆｉｎｅ座標（ｘ３，ｙ３）および（ｘ４，ｙ４）に変換することで式（５７）を得る。 Projection coordinates are affine coordinates (x 3 , y 3 ) using x 3 = X 3 / Z 3 , y 3 = Y 3 / Z 3 , x 4 = X 4 / Z 4 , y 4 = Y 4 / Z 4 And (x 4 , y 4 ) to obtain equation (57).
ｃＸＹ＝ｘ３−ｘ４＋ｘ３ｙ４−ｘ４ｙ３・・・（５７） c XY = x 3 −x 4 + x 3 y 4 −x 4 y 3 (57)
ｘ３＝Ｚ１／Ｘ１、ｙ３＝Ｚ１／Ｙ１、ｘ３ｙ３＝Ｚ１／Ｔ１、ｘ４＝Ｚ２／Ｘ２、ｙ４＝Ｚ２／Ｙ２、ｘ４ｙ４＝Ｚ２／Ｔ２を満たすＩｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ１：Ｙ１：Ｔ１：Ｚ１）および（Ｘ２：Ｙ２：Ｔ２：Ｚ２）を用いて変換することで式（５８）を得る。 x 3 = Z 1 / X 1 , y 3 = Z 1 / Y 1 , x 3 y 3 = Z 1 / T 1 , x 4 = Z 2 / X 2 , y 4 = Z 2 / Y 2 , x 4 y 4 = Z 2 / T 2 Inverted twisted Edward coordinates (X 1 : Y 1 : T 1 : Z 1 ) and (X 2 : Y 2 : T 2 : Z 2 ) )
ｇＲ，Ｐ（Ｑ）全体をＺ３ ２Ｚ４ ２で割ることによって式（５２）より式（５９）を得る。 g R, P (Q) is divided by Z 3 2 Z 4 2 to obtain equation (59) from equation (52).
ｘ３＝Ｘ３／Ｚ３、ｙ３＝Ｙ３／Ｚ３、ｘ４＝Ｘ４／Ｚ４、ｙ４＝Ｙ４／Ｚ４を用いて射影座標をＡｆｆｉｎｅ座標（ｘ３，ｙ３）および（ｘ４，ｙ４）に変換することで式（６０）を得る。 Projection coordinates are affine coordinates (x 3 , y 3 ) using x 3 = X 3 / Z 3 , y 3 = Y 3 / Z 3 , x 4 = X 4 / Z 4 , y 4 = Y 4 / Z 4 And (x 4 , y 4 ) to obtain the equation (60).
ｃＸＺ＝ｘ４ｙ４−ｘ３ｙ３＋ｙ３ｙ４（ｘ４−ｘ３）・・・（６０）
c XZ = x 4 y 4 -x 3
ｘ３＝Ｚ１／Ｘ１、ｙ３＝Ｚ１／Ｙ１、ｘ３ｙ３＝Ｚ１／Ｔ１、ｘ４＝Ｚ２／Ｘ２、ｙ４＝Ｚ２／Ｙ２、ｘ４ｙ４＝Ｚ２／Ｔ２を満たすＩｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ１：Ｙ１：Ｔ１：Ｚ１）および（Ｘ２：Ｙ２：Ｔ２：Ｚ２）を用いて変換することで式（６１）が得られる。 x 3 = Z 1 / X 1 , y 3 = Z 1 / Y 1 , x 3 y 3 = Z 1 / T 1 , x 4 = Z 2 / X 2 , y 4 = Z 2 / Y 2 , x 4 y 4 = Z 2 / T 2 Inverted Twisted Edward coordinates (X 1 : Y 1 : T 1 : Z 1 ) and (X 2 : Y 2 : T 2 : Z 2 ) ) Is obtained.
ｇＲ，Ｐ（Ｑ）全体にＸ１Ｘ２Ｙ１Ｙ２を掛けることによって式（５５）より式（６２）を得る。 g R, P (Q) is multiplied by X 1 X 2 Y 1 Y 2 to obtain equation (62) from equation (55).
ｃＺＺ←Ｘ１Ｘ２Ｙ１Ｙ２ｃＺＺ＝Ｚ１Ｚ２（Ｙ２Ｚ１−Ｙ１Ｚ２）・・・（６２） c ZZ ← X 1 X 2 Y 1 Y 2 c ZZ = Z 1 Z 2 (Y 2 Z 1 -Y 1 Z 2) ··· (62)
ｇＲ，Ｐ（Ｑ）全体にＸ１Ｘ２Ｙ１Ｙ２を掛けることによって式（５８）より式（６３）を得る。 g R, P (Q) is multiplied by X 1 X 2 Y 1 Y 2 to obtain equation (63) from equation (58).
ｃＸＹ←Ｘ１Ｘ２Ｙ１Ｙ２ｃＸＹ＝Ｙ１Ｘ２Ｙ２Ｚ１−Ｘ１Ｙ１Ｙ２Ｚ２＋Ｚ１Ｚ２（Ｘ２Ｙ１−Ｘ１Ｙ２）・・・（６３） c XY ← X 1 X 2 Y 1 Y 2 c XY = Y 1 X 2 Y 2 Z 1 -X 1 Y 1 Y 2 Z 2 + Z 1 Z 2 (X 2 Y 1 -X 1 Y 2) ··· ( 63)
さらに、Ｘ１Ｙ１＝Ｔ１Ｚ１、Ｘ２Ｙ２＝Ｔ２Ｚ２を用いて変形することで式（６４）を得る。 Furthermore, to obtain a formula (64) by deforming with X 1 Y 1 = T 1 Z 1, X 2 Y 2 = T 2 Z 2.
ｃＸＹ＝Ｚ１Ｚ２（Ｙ１Ｔ２−Ｙ２Ｔ１＋Ｘ２Ｙ１−Ｘ１Ｙ２）・・・（６４）
c XY = Z 1 Z 2 ( Y 1 T 2 -Y 2
ｇＲ，Ｐ（Ｑ）全体にＸ１Ｘ２Ｙ１Ｙ２を掛けることによって式（５９）より式（６５）を得る。 g R, P (Q) is multiplied by X 1 X 2 Y 1 Y 2 to obtain equation (65) from equation (59).
ｃＸＺ←Ｘ１Ｘ２Ｙ１Ｙ２ｃＸＺ＝Ｘ１Ｙ１Ｚ２ ２−Ｘ２Ｙ２Ｚ１ ２＋Ｚ１Ｚ２（Ｘ１Ｚ２−Ｘ２Ｚ１）・・・（６５）
c XZ ← X 1 X 2 Y 1 Y 2 c XZ = X 1 Y 1 Z 2 2 -X 2 Y 2
さらに、Ｔ１＝Ｘ１Ｙ１Ｚ１、Ｔ２＝Ｘ２Ｙ２Ｚ２を用いて変形することで式（６６）を得る。 Further, transformation is performed using T 1 = X 1 Y 1 Z 1 and T 2 = X 2 Y 2 Z 2 to obtain Equation (66).
ｃＸＺ＝Ｚ１Ｚ２（Ｔ１Ｚ２−Ｔ２Ｚ１＋Ｘ１Ｚ２−Ｘ２Ｚ１）・・・（６６） c XZ = Z 1 Z 2 (T 1 Z 2 −T 2 Z 1 + X 1 Z 2 −X 2 Z 1 ) (66)
ｇＲ，Ｐ（Ｑ）全体をＺ１Ｚ２で割、ｃＺＺ←ｃＺＺ／（Ｚ１Ｚ２）、ｃＸＹ←ｃＸＹ／（Ｚ１Ｚ２）、ｃＸＺ←ｃＸＺ／（Ｚ１Ｚ２）を計算することにより式（６７）〜（６９）を得る。 g R, P (Q) is divided by Z 1 Z 2 and c ZZ ← c ZZ / (Z 1 Z 2 ), c XY ← c XY / (Z 1 Z 2 ), c XZ ← c XZ / (Z 1 Z 2 ) is calculated to obtain formulas (67) to (69).
ｃＺＺ＝Ｙ２Ｚ１−Ｙ１Ｚ２・・・（６７）
ｃＸＹ＝Ｙ１Ｔ２−Ｙ２Ｔ１＋Ｘ２Ｙ１−Ｘ１Ｙ２・・・（６８）
ｃＸＺ＝Ｔ１Ｚ２−Ｔ２Ｚ１＋Ｘ１Ｚ２−Ｘ２Ｚ１・・・（６９）
c ZZ = Y 2 Z 1 -Y 1 Z 2 ··· (67)
c XY = Y 1 T 2 -Y 2
c XZ = T 1 Z 2 -T 2
上記の内容をアルゴリズムの形でまとめると、図５に示す処理手順となる。 When the above contents are summarized in the form of an algorithm, the processing procedure shown in FIG. 5 is obtained.
図６は、図３のステップＳ１０６において係数ａが−１の場合の加算処理の手順を示すフローチャートである。
なお、図６において、入力時におけるＰの座標は（Ｘ１：Ｙ１：Ｔ１：Ｚ１）、Ｒの座標は（Ｘ２：Ｙ２：Ｔ２：Ｚ２）であるとする。
ステップＳ４０１において、楕円曲線加算演算部１１５が、Ａ←（Ｘ１−Ｙ１）（Ｘ２＋Ｙ２）、Ｂ←（Ｘ１＋Ｙ１）（Ｘ２−Ｙ２）、Ｃ←２Ｔ２Ｚ１、Ｄ←２Ｔ１Ｚ２をＦｑ上でそれぞれ計算する（４ｍ）。
ここでＺ１＝１である場合、Ｃ←２Ｔ２Ｚ１はＣ←２Ｔ２となり、乗算の必要がなくなるため、演算コストを１ｍ削減することができる。
ステップＳ４０２において、楕円曲線加算演算部１１５が、Ｅ←Ａ＋Ｂ、Ｆ←Ｃ＋Ｄ，Ｇ←Ｃ−Ｄ，Ｈ←Ｂ−ＡをＦｑ上でそれぞれ計算する。
ステップＳ４０３において、楕円曲線加算演算部１１５が、ｃＺＺ←２（Ｙ２Ｚ１−Ｙ１Ｚ２）をＦｑ上で計算する（２ｍ）。
ここでＺ１＝１である場合、ｃＺＺ←２（Ｙ２−Ｙ１Ｚ２）となり、１回分の乗算の必要がなくなるため、演算コストを１ｍ削減することができる。
FIG. 6 is a flowchart showing the procedure of addition processing when the coefficient a is −1 in step S106 of FIG.
In FIG. 6, it is assumed that the coordinates of P at the time of input are (X 1 : Y 1 : T 1 : Z 1 ) and the coordinates of R are (X 2 : Y 2 : T 2 : Z 2 ).
In step S401, the elliptic curve
Here, when Z 1 = 1, C ← 2T 2 Z 1 becomes C ← 2T 2 , and there is no need for multiplication, so that the calculation cost can be reduced by 1 m.
In step S402, the elliptic curve
In step S403, the elliptic curve addition unit 115, c ZZ ← 2 a (Y 2 Z 1 -Y 1 Z 2) is computed on F q (2m).
Here, when Z 1 = 1, c ZZ ← 2 (Y 2 −Y 1 Z 2 ), and it is not necessary to perform multiplication for one time, so that the calculation cost can be reduced by 1 m.
ステップＳ４０４において、楕円曲線加算演算部１１５が、ｃＸＹ←２（Ｙ１Ｔ２−Ｙ２Ｔ１）＋ＨをＦｑ上で計算する（２ｍ）。
ステップＳ４０５において、楕円曲線加算演算部１１５が、ｃＸＺ←Ｄ−Ｃ＋２（Ｘ１Ｚ２−Ｘ２Ｚ１）をＦｑ上で計算する（２ｍ）。
ここでＺ１＝１である場合、ｃＸＺ←Ｄ−Ｃ＋２（Ｘ１Ｚ２−Ｘ２）となり、１回分の乗算の必要がなくなるため、演算コストを１ｍ削減することができる。
ステップＳ４０６において、楕円曲線加算演算部１１５が、ｇＲ，Ｐ（Ｑ）←ｃＺＺηα＋ｃＸＹｙ０＋ｃＸＺをＦｑのｋ／２次拡大体Ｆｑ２（ｑ２＝ｑｋ／２）上で計算する（ｋｍ）。
ステップＳ４０７において、楕円曲線加算演算部１１５が、ｆ←ｆｇＲ，Ｐ（Ｑ）をＦｑのｋ次拡大体Ｆｑ１（ｑ１＝ｑｋ）上で計算する（１Ｍ）。
In step S404, the elliptic curve addition unit 115, c XY ← 2 (Y 1 T 2 -Y 2 T 1) + H a calculating on F q (2m).
In step S405, the elliptic curve
Here, when Z 1 = 1, c XZ ← D−C + 2 (X 1 Z 2 −X 2 ), and it is not necessary to perform multiplication for one time, so that the calculation cost can be reduced by 1 m.
In step S406, the elliptic curve addition unit 115, g R, on P (Q) ← c ZZ ηα +
In step S407, the elliptic curve
ステップＳ４０８において、楕円曲線加算演算部１１５が、ｉ＝０であるか否かを判定し、ｉ＝０であれば（Ｓ４０８→Ｙｅｓ）、ステップＳ４１４の処理に進み、そうでなければ（Ｓ４０８→Ｎｏ）、ステップＳ４０９に進む。
ステップＳ４０９において、楕円曲線加算演算部１１５が、Ｘ３←ＥＧをＦｑ上で計算する（１ｍ）。
ステップＳ４１０において、楕円曲線加算演算部１１５が、Ｙ３←ＨＦをＦｑ上で計算する（１ｍ）。
ステップＳ４１１において、楕円曲線加算演算部１１５が、Ｔ３←ＥＨをＦｑ上で計算する（１ｍ）。
ステップＳ４１２において、楕円曲線加算演算部１１５が、Ｚ３←ＦＧをＦｑ上で計算する（１ｍ）。
ステップＳ４１３において、楕円曲線加算演算部１１５が、演算結果をＩｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いたＲ←（Ｘ３：Ｙ３：Ｔ３：Ｚ３）としてｆとともに出力し、加算処理を終了する。
ステップＳ４１４では、楕円曲線加算演算部１１５が、演算結果をｆとして出力し、加算処理を終了する。
図６に示す加算アルゴリズムの演算コストは１Ｍ＋（ｋ＋１４）ｍ（Ｚ１＝１以外）、１Ｍ＋（ｋ＋１１）ｍ（Ｚ１＝１）となる。この処理における演算コストは、非特許文献４において該当するコストより、１ｍ＋１Ｄ減っている。非特許文献４に記載の技術にａ＝−１を適用した場合と比べても１ｍ減っている。
In step S408, the elliptic curve
In step S409, the elliptic curve
In step S410, the elliptic curve
In step S411, the elliptic curve
In step S412, the elliptic curve
In step S413, the elliptic curve
In step S414, the elliptic curve
The calculation cost of the addition algorithm shown in FIG. 6 is 1M + (k + 14) m (other than Z 1 = 1) and 1M + (k + 11) m (Z 1 = 1). The calculation cost in this process is reduced by 1 m + 1D from the corresponding cost in
ここで、図６に示す処理について詳細に説明する。
ここでは、図５に示す加算方法を変形することにより、図６に示す加算アルゴリズムを導く。
図５における加算方法（式（４２）〜（４５））に対して、ａ＝−１を代入することにより以下の式（７０）〜（７３）が得られる。
Here, the process shown in FIG. 6 will be described in detail.
Here, the addition algorithm shown in FIG. 6 is derived by modifying the addition method shown in FIG.
The following formulas (70) to (73) are obtained by substituting a = −1 for the addition method (formulas (42) to (45)) in FIG. 5.
Ｘ３＝（Ｘ１Ｘ２＋ａＹ１Ｙ２）（Ｚ１Ｔ２−Ｔ１Ｚ２）・・・（４２）
Ｙ３＝（Ｙ１Ｘ２−Ｘ１Ｙ２）（Ｚ１Ｔ２＋Ｔ１Ｚ２）・・・（４３）
Ｔ３＝（Ｘ１Ｘ２＋ａＹ１Ｙ２）（Ｙ１Ｘ２−Ｘ１Ｙ２）・・・（４４）
Ｚ３＝（Ｚ１Ｔ２＋Ｔ１Ｚ２）（Ｚ１Ｔ２−Ｔ１Ｚ２）・・・（４５）
X 3 = (X 1 X 2 + aY 1 Y 2 ) (Z 1 T 2 −T 1 Z 2 ) (42)
Y 3 = (Y 1 X 2 -X 1 Y 2) (Z 1 T 2 + T 1 Z 2) ··· (43)
T 3 = (X 1 X 2 + aY 1 Y 2 ) (Y 1 X 2 −X 1 Y 2 ) (44)
Z 3 = (Z 1 T 2 + T 1 Z 2 ) (Z 1 T 2 −T 1 Z 2 ) (45)
Ｘ３＝（Ｘ１Ｘ２−Ｙ１Ｙ２）（Ｚ１Ｔ２−Ｔ１Ｚ２）・・・（７０）
Ｙ３＝（Ｙ１Ｘ２−Ｘ１Ｙ２）（Ｚ１Ｔ２＋Ｔ１Ｚ２）・・・（７１）
Ｔ３＝（Ｘ１Ｘ２−Ｙ１Ｙ２）（Ｙ１Ｘ２−Ｘ１Ｙ２）・・・（７２）
Ｚ３＝（Ｚ１Ｔ２＋Ｔ１Ｚ２）（Ｚ１Ｔ２−Ｔ１Ｚ２）・・・（７３）
X 3 = (X 1 X 2 -Y 1 Y 2) (Z 1 T 2 -T 1 Z 2) ··· (70)
Y 3 = (Y 1 X 2 -X 1 Y 2) (Z 1 T 2 + T 1 Z 2) ··· (71)
T 3 = (X 1 X 2 -Y 1 Y 2) (Y 1 X 2 -X 1 Y 2) ··· (72)
Z 3 = (Z 1 T 2 + T 1 Z 2 ) (Z 1 T 2 −T 1 Z 2 ) (73)
式（７０）〜（７３）を用いることによりＰ＋Ｒ＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）＋（Ｘ２：Ｙ２：Ｔ２：Ｚ２）＝（Ｘ３：Ｙ３：Ｔ３：Ｚ３）を計算することができ、（Ｘ３：Ｙ３：Ｔ３：Ｚ３）の代わりに（Ｘ４：Ｙ４：Ｔ４：Ｚ４）＝（４Ｘ３：４Ｙ３：４Ｔ３：４Ｚ３）を用いてもｘ３＝Ｚ４／Ｘ４、ｙ３＝Ｚ４／Ｙ４、ｘ３ｙ３＝Ｚ４／Ｔ４を満たすことから、以下の式（７４）〜（７７）を用いることによりＰ＋Ｑ＝（Ｘ１：Ｙ１：Ｔ１：Ｚ１）＋（Ｘ２：Ｙ２：Ｔ２：Ｚ２）＝（Ｘ３：Ｙ３：Ｔ３：Ｚ３）を計算できる。 By using the formulas (70) to (73), P + R = (X 1 : Y 1 : T 1 : Z 1 ) + (X 2 : Y 2 : T 2 : Z 2 ) = (X 3 : Y 3 : T 3 : Z 3 ) can be calculated, and instead of (X 3 : Y 3 : T 3 : Z 3 ), (X 4 : Y 4 : T 4 : Z 4 ) = (4X 3 : 4Y 3 : 4T 3 : 4Z 3 ), x 3 = Z 4 / X 4 , y 3 = Z 4 / Y 4 , and x 3 y 3 = Z 4 / T 4 are satisfied. 77), P + Q = (X 1 : Y 1 : T 1 : Z 1 ) + (X 2 : Y 2 : T 2 : Z 2 ) = (X 3 : Y 3 : T 3 : Z 3 ) Can be calculated.
Ｘ３＝（２Ｘ１Ｘ２−２Ｙ１Ｙ２）（２Ｚ１Ｔ２−２Ｔ１Ｚ２）・・・（７４）
Ｙ３＝（２Ｙ１Ｘ２−２Ｘ１Ｙ２）（２Ｚ１Ｔ２＋２Ｔ１Ｚ２）・・・（７５）
Ｔ３＝（２Ｘ１Ｘ２−２Ｙ１Ｙ２）（２Ｙ１Ｘ２−２Ｘ１Ｙ２）・・・（７６）
Ｚ３＝（２Ｚ１Ｔ２＋２Ｔ１Ｚ２）（２Ｚ１Ｔ２−２Ｔ１Ｚ２）・・・（７７）
X 3 = (2X 1 X 2 -2Y 1 Y 2 ) (2Z 1 T 2 -2T 1 Z 2 ) (74)
Y 3 = (2Y 1 X 2 -2X 1 Y 2 ) (2Z 1 T 2 + 2T 1 Z 2 ) (75)
T 3 = (2X 1 X 2 -2Y 1 Y 2 ) (2Y 1 X 2 -2X 1 Y 2 ) (76)
Z 3 = (2Z 1 T 2 + 2T 1 Z 2 ) (2Z 1 T 2 -2T 1 Z 2 ) (77)
ここで、Ｘ３、Ｙ３、Ｚ３座標を求める際に必要となる式は以下の条件（式（７８），（７９））を満たす。 Here, the formulas necessary for obtaining the X 3 , Y 3 , and Z 3 coordinates satisfy the following conditions (formulas (78) and (79)).
（２Ｘ１Ｘ２−２Ｙ１Ｙ２）＝（Ｘ１−Ｙ１）（Ｘ２＋Ｙ２）＋（Ｘ１＋Ｙ１）（Ｘ２−Ｙ２）・・・（７８）
（２Ｙ１Ｘ２−２Ｘ１Ｙ２）＝（Ｘ１＋Ｙ１）（Ｘ２−Ｙ２）−（Ｘ１−Ｙ１）（Ｘ２＋Ｙ２）・・・（７９）
(2X 1 X 2 -2Y 1 Y 2 ) = (X 1 −Y 1 ) (X 2 + Y 2 ) + (X 1 + Y 1 ) (X 2 −Y 2 ) (78)
(2Y 1 X 2 -2X 1 Y 2 ) = (X 1 + Y 1 ) (X 2 −Y 2 ) − (X 1 −Y 1 ) (X 2 + Y 2 ) (79)
次にｇＲ，Ｐ（Ｑ）について説明する。
図５におけるｇＲ，Ｐ（Ｑ）の式（６７）から（６９）で表される係数を２倍し、ｃＺＺ←２ｃＺＺ、ｃＸＹ←２ｃＸＹ、ｃＸＺ←２ｃＸＺを計算することにより式（８０）〜（８２）を得る。
Next, g R, P (Q) will be described.
The coefficients represented by the equations (67) to (69) of g R, P (Q) in FIG. 5 are doubled to calculate c ZZ ← 2c ZZ , c XY ← 2c XY , c XZ ← 2c XZ To obtain formulas (80) to (82).
ｃＺＺ＝Ｙ２Ｚ１−Ｙ１Ｚ２・・・（６７）
ｃＸＹ＝Ｙ１Ｔ２−Ｙ２Ｔ１＋Ｘ２Ｙ１−Ｘ１Ｙ２・・・（６８）
ｃＸＺ＝Ｔ１Ｚ２−Ｔ２Ｚ１＋Ｘ１Ｚ２−Ｘ２Ｚ１・・・（６９）
c ZZ = Y 2 Z 1 -Y 1 Z 2 ··· (67)
c XY = Y 1 T 2 -Y 2
c XZ = T 1 Z 2 -T 2
ｃＺＺ＝２（Ｙ２Ｚ１−Ｙ１Ｚ２）・・・（８０）
ｃＸＹ＝２（Ｙ１Ｔ２−Ｙ２Ｔ１）＋２Ｘ２Ｙ１−２Ｘ１Ｙ２・・・（８１）
ｃＸＺ＝２Ｔ１Ｚ２−２Ｔ２Ｚ１＋２（Ｘ１Ｚ２−Ｘ２Ｚ１）・・・（８２）
c ZZ = 2 (Y 2 Z 1 -Y 1 Z 2) ··· (80)
c XY = 2 (Y 1 T 2 -Y 2 T 1) + 2X 2 Y 1 -2X 1 Y 2 ··· (81)
c XZ = 2T 1 Z 2 -2T 2
上記の内容をアルゴリズムの形でまとめると、図６に示す処理手順となる。 When the above contents are summarized in the form of an algorithm, the processing procedure shown in FIG. 6 is obtained.
ここで、ａ＝−１の場合の加算処理において、１ｍ分、乗算コストが削減できる理由を、削減に影響する箇所のみを取り出して説明する。 Here, the reason why the multiplication cost can be reduced by 1 m in the addition processing in the case of a = −1 will be described by taking out only the portions that affect the reduction.
ａが−１以外の場合、加算は以下の方法で求まる。まず、前記した式（４２）〜（４５）をみてみる。 When a is other than -1, addition is obtained by the following method. First, look at the above-mentioned formulas (42) to (45).
Ｘ３＝（Ｘ１Ｘ２＋ａＹ１Ｙ２）（Ｚ１Ｔ２−Ｔ１Ｚ２）・・・（４２）
Ｙ３＝（Ｙ１Ｘ２−Ｘ１Ｙ２）（Ｚ１Ｔ２＋Ｔ１Ｚ２）・・・（４３）
Ｔ３＝（Ｘ１Ｘ２＋ａＹ１Ｙ２）（Ｙ１Ｘ２−Ｘ１Ｙ２）・・・（４４）
Ｚ３＝（Ｚ１Ｔ２＋Ｔ１Ｚ２）（Ｚ１Ｔ２−Ｔ１Ｚ２）・・・（４５）
X 3 = (X 1 X 2 + aY 1 Y 2 ) (Z 1 T 2 −T 1 Z 2 ) (42)
Y 3 = (Y 1 X 2 -X 1 Y 2) (Z 1 T 2 + T 1 Z 2) ··· (43)
T 3 = (X 1 X 2 + aY 1 Y 2 ) (Y 1 X 2 −X 1 Y 2 ) (44)
Z 3 = (Z 1 T 2 + T 1 Z 2 ) (Z 1 T 2 −T 1 Z 2 ) (45)
上記の式の内、乗算の削減に影響するのはＥ＝Ｙ１Ｘ２−Ｘ１Ｙ２、Ｈ＝Ｘ１Ｘ２＋ａＹ１Ｙ２であり、これら２つの式を求める部分で以下の方法が適用できる。 Among the above formulas, E = Y 1 X 2 −X 1 Y 2 and H = X 1 X 2 + aY 1 Y 2 affect the reduction of multiplication, and the following method is used to obtain these two formulas. Is applicable.
Ａ←Ｘ１Ｘ２、Ｂ←Ｙ１Ｙ２、Ｅ←（Ｘ１＋Ｙ１）（Ｘ２−Ｙ２）＋Ｂ−Ａ、Ｈ←Ａ＋ａＢ
A ← X 1 X 2, B ← Y 1 Y 2, E ← (
この場合の計算コストは３ｍ＋１Ｄ、ａ＝−１であればＨ←Ａ−Ｂとなり１Ｄの削減が可能となり計算コストは３ｍとなる。 In this case, if the calculation cost is 3m + 1D and a = -1, H ← AB, and 1D can be reduced, and the calculation cost is 3m.
次にａ＝−１の場合、ａが−１以外の場合の加算結果（Ｘ３：Ｙ３：Ｔ３：Ｚ３）を求める代わりに（４Ｘ３：４Ｙ３：４Ｔ３：４Ｚ３）を加算結果とするようにアルゴリズムを修正する。
具体的には（４２）〜（４３）式にａ＝−１を代入し全体を４倍した以下の式（７４）〜（７７）で求めることができる。
Next, when a = −1, instead of obtaining the addition result (X 3 : Y 3 : T 3 : Z 3 ) when a is other than −1, (4X 3 : 4Y 3 : 4T 3 : 4Z 3 ) is obtained. The algorithm is modified so that the addition result is obtained.
Specifically, it can be obtained by the following formulas (74) to (77) in which a = -1 is substituted into the formulas (42) to (43) and the whole is multiplied by four.
Ｘ３＝（２Ｘ１Ｘ２−２Ｙ１Ｙ２）（２Ｚ１Ｔ２−２Ｔ１Ｚ２）・・・（７４）
Ｙ３＝（２Ｙ１Ｘ２−２Ｘ１Ｙ２）（２Ｚ１Ｔ２＋２Ｔ１Ｚ２）・・・（７５）
Ｔ３＝（２Ｘ１Ｘ２−２Ｙ１Ｙ２）（２Ｙ１Ｘ２−２Ｘ１Ｙ２）・・・（７６）
Ｚ３＝（２Ｚ１Ｔ２＋２Ｔ１Ｚ２）（２Ｚ１Ｔ２−２Ｔ１Ｚ２）・・・（７７）
X 3 = (2X 1 X 2 -2Y 1 Y 2 ) (2Z 1 T 2 -2T 1 Z 2 ) (74)
Y 3 = (2Y 1 X 2 -2X 1 Y 2 ) (2Z 1 T 2 + 2T 1 Z 2 ) (75)
T 3 = (2X 1 X 2 -2Y 1 Y 2 ) (2Y 1 X 2 -2X 1 Y 2 ) (76)
Z 3 = (2Z 1 T 2 + 2T 1 Z 2 ) (2Z 1 T 2 -2T 1 Z 2 ) (77)
ａが−１以外の場合のＥに相当するＥ＝２Ｙ１Ｘ２−２Ｘ１Ｙ２、Ｈに相当するＨ＝２Ｘ１Ｘ２−Ｙ１Ｙ２は以下の方法で求めることができる。 E = 2Y 1 X 2 -2X 1 Y 2 corresponding to E when a is other than −1, and H = 2X 1 X 2 −Y 1 Y 2 corresponding to H can be obtained by the following method.
Ａ←（Ｘ１−Ｙ１）（Ｘ２＋Ｙ２）、Ｂ←（Ｘ１＋Ｙ１）（Ｘ２−Ｙ２）、Ｅ←Ａ＋Ｂ、Ｈ←Ｂ−Ａ A ← (X 1 −Y 1 ) (X 2 + Y 2 ), B ← (X 1 + Y 1 ) (X 2 −Y 2 ), E ← A + B, H ← B−A
この場合の計算コストは２ｍとなりａが−１以外の場合に比べて１ｍ＋１Ｄの計算コストを削減できる。 In this case, the calculation cost is 2 m, and the calculation cost of 1 m + 1D can be reduced as compared with the case where a is other than -1.
ここで、本実施形態の効果について説明する。非特許文献４に開示されている拡張射影座標を用いて表現した点Ｐ＝（Ｘ：Ｙ：Ｔ：Ｚ）（Ｚ≠１）を用いてＲｅｄｕｃｅｄ Ｔａｔｅペアリングを計算したときにおいて、ｍ，ｓ，Ｄを、それぞれ定義体Ｆｑ上の乗算、２乗算、定数倍算の演算コストとし、Ｍ，Ｓを、それぞれＦｑのｋ次拡大体Ｆｑ１（ｑ１＝ｑｋ）上の乗算、２乗算の演算コストとした場合、ループ処理で計算される加算処理の演算コストは１Ｍ＋（ｋ＋１４）ｍ＋１Ｄ、２倍算処理の演算コストは１Ｍ＋１Ｓ＋（ｋ＋６）ｍ＋５ｓ＋２Ｄとなる。
Here, the effect of this embodiment will be described. When the Reduced Tate pairing is calculated using the point P = (X: Y: T: Z) (Z ≠ 1) expressed using the extended projection coordinates disclosed in
本実施形態における拡張Ｉｎｖｅｒｔｅｄ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いて表現した点Ｐ＝（Ｘ：Ｙ：Ｔ：Ｚ）（Ｚ≠１）を用いてＲｅｄｕｃｅｄ Ｔａｔｅペアリングを計算した場合、ループ処理で計算される加算処理の演算コストは１Ｍ＋（ｋ＋１５）ｍ＋１Ｄ、２倍算処理の演算コストは１Ｍ＋１Ｓ＋（ｋ＋６）ｍ＋５ｓ＋２Ｄとなる。 Addition calculated by loop processing when the reduced Pate pairing is calculated by using the point P = (X: Y: T: Z) (Z ≠ 1) expressed using the extended inverted twisted coordinate in the present embodiment. The operation cost of the process is 1M + (k + 15) m + 1D, and the operation cost of the doubling process is 1M + 1S + (k + 6) m + 5s + 2D.
非特許文献４に開示されている拡張射影座標を用いて表現した点Ｐ＝（Ｘ：Ｙ：Ｔ：Ｚ）（Ｚ＝１）を用いてＲｅｄｕｃｅｄ Ｔａｔｅペアリングを計算した場合、ループ処理で計算される加算処理の演算コストは１Ｍ＋（ｋ＋１２）ｍ＋１Ｄ、２倍算処理の演算コストは１Ｍ＋１Ｓ＋（ｋ＋６）ｍ＋５ｓ＋２Ｄとなる。
本実施形態における拡張Ｉｎｖｅｒｔｅｄ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いて表現した点Ｐ＝（Ｘ：Ｙ：Ｔ：Ｚ）（Ｚ＝１）を用いてＲｅｄｕｃｅｄ Ｔａｔｅペアリングを計算した場合、ループ処理で計算される加算処理の演算コストは１Ｍ＋（ｋ＋１２）ｍ＋１Ｄ、２倍算処理の演算コストは１Ｍ＋１Ｓ＋（ｋ＋６）ｍ＋５ｓ＋２Ｄとなり、非特許文献４に開示されている計算方法と同等の演算コストとなる。
加算ステップにおけるＰのＺ座標を１にすることは実用上問題が無いため、Ｚ＝１とすることにより非特許文献４に開示されている計算方法と同等の演算速度を実現できる。
When the reduced state pairing is calculated using the point P = (X: Y: T: Z) (Z = 1) expressed using the extended projection coordinates disclosed in
Addition calculated by loop processing when reduced pair pairing is calculated using the point P = (X: Y: T: Z) (Z = 1) expressed using the extended inverted twisted coordinate in this embodiment The calculation cost of the process is 1M + (k + 12) m + 1D, and the calculation cost of the doubling process is 1M + 1S + (k + 6) m + 5s + 2D, which is the same calculation cost as the calculation method disclosed in
Since there is no practical problem in setting the Z coordinate of P in the addition step to 1, the calculation speed equivalent to the calculation method disclosed in
さらに、楕円曲線の係数ａを−１とすることにより本実施形態における加算ステップの演算コストは１Ｍ＋（ｋ＋１１）ｍ、２倍算処理の演算コストは１Ｍ＋１Ｓ＋（ｋ＋６）ｍ＋５ｓとなり、非特許文献４に開示されている計算方法に比べて、加算処理において１ｍ＋Ｄ、２倍算ステップにおいて２Ｄの演算コストを削減できる。 Furthermore, when the coefficient a of the elliptic curve is set to −1, the calculation cost of the addition step in this embodiment is 1M + (k + 11) m, and the calculation cost of the doubling process is 1M + 1S + (k + 6) m + 5 s. Compared to the disclosed calculation method, the calculation cost of 1m + D in the addition process and 2D in the doubling step can be reduced.
すなわち、本実施形態によれば、非特許文献４に記載の技術に比べてペアリング演算時の演算コストを削減できるためスカラ倍演算コストをより高速化することができる。これにより高速なＩＤベース暗号など楕円曲線上で定義されるペアリングの性質を用い、任意の文字列を公開鍵として用いることのできる署名方式や公開鍵暗号の実現が可能となる。
That is, according to the present embodiment, since the calculation cost at the time of pairing calculation can be reduced as compared with the technique described in
《ＩＤベース暗号システム》
次に、本実施形態に係る楕円曲線ペアリング演算方法を利用したＩＤベース暗号システムについて図７〜図１５を参照して説明する。
<< ID-based encryption system >>
Next, an ID-based encryption system using the elliptic curve pairing calculation method according to the present embodiment will be described with reference to FIGS.
図７は、本実施形態に係る楕円曲線ペアリング演算方法を利用したＩＤベース暗号システムの構成例を示す図である。
図７に示すように、本実施形態のＩＤベース暗号システム２は、鍵生成センタに設置されている鍵発行装置３と、暗号化装置４と、復号化装置５とを備える。鍵発行装置３、暗号化装置４および復号化装置５のそれぞれは、ネットワーク２０１により接続されている。以下、暗号化装置４の利用者を利用者Ａ、復号化装置５の利用者を利用者Ｂとする。両者を区別する必要がない場合は、利用者と呼ぶ。
FIG. 7 is a diagram illustrating a configuration example of an ID-based encryption system using the elliptic curve pairing calculation method according to the present embodiment.
As shown in FIG. 7, the ID-based encryption system 2 of the present embodiment includes a
これらの各装置を用いた本実施形態での暗号化および復号化処理の概略について説明する。本実施形態では、公開鍵として、所定のルールによって定められた利用者と対応付けられるＩＤ、例えば電子メールアドレスなどを用いるものとする。
まず、鍵発行装置３において、ＩＤベース暗号システム２全体で用いる公開パラメータおよびマスタ鍵を生成し、生成した公開パラメータを公開する。
暗号化したメッセージを送信する場合、暗号化装置４において、鍵発行装置３から取得した送信相手の公開鍵（利用者ＢのＩＤ）および公開パラメータを用いて暗号化対象データを暗号化することによって暗号化データを生成し、生成した暗号化データを送出する。復号化装置５では、予め、鍵発行装置３に自身の公開鍵に対応する秘密鍵の発行を依頼し、その秘密鍵および公開パラメータを用いて、暗号化装置４から受け取った暗号化データを復号する。
An outline of encryption and decryption processing in this embodiment using these devices will be described. In this embodiment, an ID associated with a user defined by a predetermined rule, such as an e-mail address, is used as the public key.
First, the
When transmitting an encrypted message, the
《鍵生成》
次に、本実施形態に係る楕円曲線スカラ倍演算方法を利用した鍵生成方法について図８から図１１を参照して説明する。
《Key generation》
Next, a key generation method using the elliptic curve scalar multiplication method according to the present embodiment will be described with reference to FIGS.
［鍵発行装置］
図８は、本実施形態に係る鍵発行装置の構成例を示す図である。
鍵発行装置３は、制御演算部３１０および記憶部３２０を有している。
制御演算部３１０は、入出力部３１１、制御部３１２、群選択部３１３、乱数生成部３１４、楕円曲線スカラ倍演算部３１５、ハッシュ関数選択部３１６、ハッシュ関数演算部３１７を有している。入出力部３１１は、公開パラメータおよびマスタ鍵生成処理または秘密鍵生成処理のいずれの処理を実行するかの処理選択情報や、公開パラメータおよびマスタ鍵生成処理時のセキュリティパラメータや、秘密鍵生成処理時の利用者の公開鍵などを入力情報として受け付けるとともに、生成された公開パラメータまたは秘密鍵を出力情報として出力する機能を有している。制御部３１２は、鍵発行装置３を制御する機能を有している。群選択部３１３は、群を選択する機能を有する。乱数生成部３１４は、乱数を生成する機能を有する。楕円曲線スカラ倍演算部３１５は、楕円曲線上の点のスカラ倍、定義体上の演算、剰余演算（ｍｏｄ）、比較などを行う機能を有する。ハッシュ関数選択部３１６は、ハッシュ関数を選択する機能を有する。ハッシュ関数演算部３１７は、ハッシュ関数選択部３１６で選択されたハッシュ関数を用いてハッシュ値を生成する機能を有する。
[Key issuing device]
FIG. 8 is a diagram illustrating a configuration example of the key issuing device according to the present embodiment.
The
The
記憶部３２０には、中間データ３２１、セキュリティパラメータ３２２、公開パラメータ３２３、マスタ鍵３２４、公開鍵３２５、秘密鍵３２６などが格納されている。中間データ３２１は、制御演算部３１０における演算時の中間データである。セキュリティパラメータ３２２は、入出力部３１１により入力を受け付けたセキュリティパラメータのデータである。公開パラメータ３２３は、制御演算部３１０で生成された公開パラメータのデータである。マスタ鍵３２４は、制御演算部３１０で生成されたマスタ鍵のデータである。公開鍵３２５は、入出力部３１１により入力を受け付けた公開鍵のデータである。秘密鍵３２６は、制御演算部３１０で生成された秘密鍵のデータである。
The
なお、鍵発行装置３は、図１６に示すような、バス６７で接続されたＣＰＵ６１と、ＲＡＭなどのメモリ６２と、ＨＤＤやその他の外部記憶装置６５と、キーボードなどの入力装置６３と、ディスプレイなどの出力装置６４と、外部記憶装置６５や、入力装置６３や、出力装置６４と、バス６７とを中継するインタフェース６６とを備えた、一般的な構成を有する情報処理装置６上に構築することができる。
鍵発行装置３の制御演算部３１０および各部３１１〜３２０は、ＣＰＵ６１が、メモリ６２にロードされたプログラム（コードモジュールともいう）を実行することで、情報処理装置６上に具現化されるプロセスとして実現される。また、メモリ６２や、外部記憶装置６５が図８の記憶部３２０として使用される。
The
The
また、前記したプログラムは、予め外部記憶装置６５に記憶され、必要に応じてメモリ６２上にロードされ、ＣＰＵ６１により実行される。なお、このプログラムは、可搬性の記憶媒体、例えばＣＤ−ＲＯＭなどに格納され、必要に応じて、これら可搬性の記憶媒体からメモリ６２にロードされてもよい。また、プログラムは、一旦、ＣＤ−ＲＯＭなどの可搬性の記憶媒体からＨＤＤなどの外部記憶装置６５にインストールされた後、必要に応じて、この外部記憶装置６５からメモリ６２にロードされてもよい。さらに、プログラムは、図示していないネットワーク接続装置を介して、ネットワーク上の情報処理装置６が伝送信号により、一旦外部記憶装置６５にダウンロードされてからメモリ６２にロードされてもよいし、あるいは、直接、ネットワーク経由でメモリ６２にロードされてもよい。
The above-described program is stored in advance in the
［鍵生成処理］
図９は、本実施形態に係る鍵生成処理の手順を示すフローチャートである。鍵の生成はＩＤベース暗号システム２全体で用いる公開パラメータおよびマスタ鍵を生成する公開パラメータおよびマスタ鍵生成処理と利用者の秘密鍵を生成する秘密鍵生成処理と、から構成される。
[Key generation process]
FIG. 9 is a flowchart illustrating a procedure of key generation processing according to the present embodiment. Key generation includes public parameters used in the entire ID-based cryptographic system 2 and public parameters and master key generation processing for generating a master key, and secret key generation processing for generating a user secret key.
図８を参照しつつ、鍵生成処理の概略を記述すると、入出力部３１１により、鍵発行装置３が、入力情報として、公開パラメータおよびマスタ鍵生成処理を行うか、または秘密鍵生成処理を行うかの処理選択情報と、公開パラメータおよびマスタ鍵生成処理であればセキュリティパラメータ３２２である正整数Ｌ、秘密鍵生成処理であれば、公開鍵である任意の文字列を入力情報として受け付けると、制御演算部３１０は受け付けた入力情報を記憶部３２０に格納する。
そして、制御演算部３１０が、記憶部３２０に保持されている入力情報を参照し、選択された処理が公開パラメータおよびマスタ鍵生成処理であれば図１０の処理に従って公開パラメータ３２３およびマスタ鍵３２４を生成する。そして、制御演算部３１０は公開パラメータ３２３およびマスタ鍵３２４を記憶部３２０に格納とするとともに公開パラメータのみ入出力部３１１より出力情報として出力し動作を終了する。制御演算部３１０は、秘密鍵生成処理であれば図１１の処理に従って秘密鍵３２６を生成し、制御演算部３１０は生成した秘密鍵３２６を記憶部３２０に格納とするとともに入出力部３１１より出力情報として出力し動作を終了する。
まず、図８を参照しつつ、図９に沿って、鍵発行装置３における全体処理を説明する。
When the outline of the key generation process is described with reference to FIG. 8, the input /
Then, the
First, the overall processing in the
ステップＳ５０１において、制御演算部３１０による制御の元、入出力部３１１が処理の選択を受け付ける。公開パラメータおよびマスタ鍵生成処理が選択された場合、制御演算部３１０はセキュリティパラメータ３２２である正整数Ｌの入力を受け付けるとともにＬを必要に応じて記憶部３２０に格納後、ステップＳ５０２に進む。秘密鍵生成処理が選択された場合、制御演算部３１０は利用者の公開鍵である任意の文字列ＩＤの入力を受け付けるとともに、このＩＤを必要に応じて記憶部３２０に格納後、ステップＳ５０３に進む。
ステップＳ５０２において、制御演算部３１０は公開パラメータおよびマスタ鍵生成処理を行った後、処理を終了する。ステップＳ５０２の処理については、図１０を用いて後述する。
ステップＳ５０３において、制御演算部３１０は秘密鍵生成処理を行った後、処理を終了する。ステップＳ５０３の処理については、図１１を用いて後述する。
なお、以降の処理において、｛０，１｝＊はすべてのバイナリ系列を表し、｛０，１｝ＮはすべてのＮビットバイナリ系列を表し、ＸＯＲは排他的論理和を表す。
In step S501, the input /
In step S502, the
In step S503, the
In the following processing, {0, 1} * represents all binary sequences, {0, 1} N represents all N-bit binary sequences, and XOR represents exclusive OR.
以下、図８を参照しつつ、図１０に沿って、ステップＳ５０２における公開パラメータおよびマスタ鍵生成処理を説明する。
ステップＳ６０１において、群選択部３１３が、Ｌビットの素数ｎを選択し、ｎがｑｋ−１を割り切りかつ最小の整数ｋが偶数となる、偶数ｋおよび ２以外の素数のべきｑを選択し、楕円曲線の定義体をＦｑ、位数ｎの部分群を最大位数の部分群として持つＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線Ｅ（Ｆｑ）：ａｘ２＋ｙ２＝１＋ｄｘ２ｙ２（ａｄ（ａ−ｄ）≠０かつＦｑ上で係数ａは２乗根を持ち係数ｄは持たない）を選択し、位数ｎの部分群をＧ１とすることによって群Ｇ１を選択する。
Hereinafter, the public parameter and master key generation processing in step S502 will be described along FIG. 10 with reference to FIG.
In step S601, the
ステップＳ６０２において、群選択部３１３が、位数のｎの群Ｇ２をＥ（Ｆｑ１）／ｎＥ（Ｆｑ１）（ｑ１＝ｑｋ）とすることによって群Ｇ２を選択する。
ステップＳ６０３において、群選択部３１３が、Ｇ３をＦ＊ ｑ１（ｑ１＝ｑｋ）の位数ｎの乗法に関する部分群Ｇとし、ペアリングe：Ｇ１×Ｇ２→Ｇ３を選択する。
In step S602, the
In step S603, the
ステップＳ６０４において、群選択部３１３が、Ｇ１の生成元Ｐを選択する。
ステップＳ６０５において、乱数生成部３１４が、０＜ｓ＜ｎを満たす整数ｓをランダムに生成し、マスタ鍵３２４とするとともに記憶部３２０に格納する。
ステップＳ６０６において、楕円曲線スカラ倍演算部３１５が、Ｐｐｕｂ←ｓＰを計算し、計算結果をＺ＝１の拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ：Ｙ：Ｔ：１）を用いて表現する。この処理は、特許文献１〜３に記載の技術や、特願２００９−１１９２５６に記載の技術などを用いて計算される。
In step S604, the
In step S <b> 605, the random
In step S606, the elliptic curve
ステップＳ６０７において、ハッシュ関数選択部３１６が、ハッシュ関数Ｈ１：｛０，１｝＊→Ｇ２を選択する。なおＧ２の元は、（αｘ０，ｙ０）（ｘ０，ｙ０∈Ｆｑ２）（ｑ２＝ｑｋ／２）で表現されているものとする。
In step S607, the hash
ステップＳ６０８において、ハッシュ関数選択部３１６が、予め設定されている整数Ｎに対して、ハッシュ関数Ｈ２：Ｇ３→｛０，１｝Ｎを選択する。
ステップＳ６０９において、公開パラメータｐａｒａｍｓ＝＜ｎ，Ｇ１，Ｇ２，Ｇ３，ｅ，Ｎ，Ｐ，Ｐｐｕｂ，Ｈ１，Ｈ２＞を出力するとともに記憶部３２０に格納する。
In step S608, the hash
In step S609, the public parameters params = <n, G 1 , G 2 , G 3 , e, N, P, P pub , H 1 , H 2 > are output and stored in the
以下、図８を参照しつつ、図１１に沿って、ステップＳ５０３における秘密鍵生成処理を説明する。なお、この処理では公開パラメータおよびマスタ鍵生成処理Ｓ５０２において生成され、記憶部３２０に格納されている公開パラメータ３２３（ｐａｒａｍｓ）およびマスタ鍵３２４（ｓ）を用いるものとする。
Hereinafter, the secret key generation process in step S503 will be described along FIG. 11 with reference to FIG. In this process, the public parameter 323 (params) and master key 324 (s) generated in the public parameter and master key generation process S502 and stored in the
ステップＳ７０１において、ハッシュ関数演算部３１７が、公開パラメータ３２３（ｐａｒａｍｓ）に含まれているハッシュ関数Ｈ１を使用して、ハッシュ値ＱＩＤ←Ｈ１（ＩＤ）を計算する。
ステップＳ７０２において、楕円曲線スカラ倍演算部３１５が、マスタ鍵ｓを用いてｄＩＤ←ｓＱＩＤを計算し、計算結果である（αｘ０,ｙ０）を利用者の秘密鍵３２６とする。この処理は、特許文献１〜３に記載の技術や、特願２００９−１１９２５６に記載の技術などを用いて計算される。
In step S701, the hash
In step S702, the elliptic curve
《暗号化》
次に、本実施形態に係る楕円曲線ペアリング演算方法を利用した暗号化処理について図１２および図１３を参照して説明する。
"encryption"
Next, encryption processing using the elliptic curve pairing calculation method according to the present embodiment will be described with reference to FIGS. 12 and 13.
［暗号化装置］
図１２は、本実施形態に係る暗号化装置の構成例を示す図である。
暗号化装置４は、制御演算部４１０および記憶部４２０を有している。
制御演算部４１０は、入出力部４１１、制御部４１２、乱数生成部４１３、楕円曲線ペアリング演算部４１４、ハッシュ関数演算部４１５を有している。入出力部４１１は、公開パラメータ４２２、利用者Ｂの公開鍵、暗号化対象データ４２４を入力情報として受け付けるとともに、生成した暗号化データ４２５を出力情報として出力する機能を有している。制御部４１２は、暗号化装置４を制御する機能を有している。乱数生成部４１３は、乱数を生成する機能を有する。楕円曲線ペアリング演算部４１４は、ペアリングを計算する機能に加えて楕円曲線上の点のスカラ倍、定義体上の演算、剰余演算（ｍｏｄ）、比較などを行う機能を有し、図１の楕円曲線ペアリング演算部１１３に相当するものである。ハッシュ関数演算部４１５は、ハッシュ関数を用いてハッシュ値を生成する機能を有する。
[Encryption device]
FIG. 12 is a diagram illustrating a configuration example of the encryption device according to the present embodiment.
The
The
記憶部４２０には、中間データ４２１、公開パラメータ４２２、利用者Ｂ公開鍵４２３、暗号化対象データ４２４、暗号化データ４２５などが格納されている。中間データ４２１は、制御演算部４１０における演算時の中間データである。公開パラメータ４２２は、鍵発行装置３で生成された公開パラメータのデータである。利用者Ｂ公開鍵４２３は、入出力部４１１により入力を受け付けた暗号化データ４２５の受信する利用者Ｂの公開鍵である。暗号化対象データ４２４は、入出力部４１１により入力を受け付けた暗号化の対象データである。暗号化データ４２５は、制御演算部４１０で暗号化対象データ４２４を暗号化することにより生成されるデータである。
The
なお、暗号化装置４は、図１６に示すような、バス６７で接続されたＣＰＵ６１と、ＲＡＭなどのメモリ６２と、ＨＤＤやその他の外部記憶装置６５と、キーボードなどの入力装置６３と、ディスプレイなどの出力装置６４と、外部記憶装置６５や、入力装置６３や、出力装置６４と、バス６７を中継するインタフェース６６とを備えた、一般的な構成を有する情報処理装置６上に構築することができる。
暗号化装置４の制御演算部４１０および各部４１１〜４１５は、ＣＰＵ６１が、メモリ６２にロードされたプログラム（コードモジュールともいう）を実行することで、情報処理装置６上に具現化されるプロセスとして実現される。また、メモリ６２や、外部記憶装置６５が図１２の記憶部４２０として使用される。
The
The control
また、前記したプログラムは、予め外部記憶装置６５に記憶され、必要に応じてメモリ６２上にロードされ、ＣＰＵ６１により実行される。なお、このプログラムは、可搬性の記憶媒体、例えばＣＤ−ＲＯＭなどに格納され、必要に応じて、これら可搬性の記憶媒体からメモリ６２にロードされてもよい。また、プログラムは、一旦、ＣＤ−ＲＯＭなどの可搬性の記憶媒体からＨＤＤなどの外部記憶装置６５にインストールされた後、必要に応じて、この外部記憶装置６５からメモリ６２にロードされてもよい。さらに、プログラムは、図示していないネットワーク接続装置を介して、ネットワーク上の情報処理装置６が読み取り可能な媒体の一種である伝送信号により、一旦外部記憶装置６５にダウンロードされてからメモリ６２にロードされてもよいし、あるいは、直接、ネットワーク経由でメモリ６２にロードされてもよい。
The above-described program is stored in advance in the
［暗号化処理］
図１３は、本実施形態に係る暗号化処理の手順を示すフローチャートである。
図１２を参照しつつ、暗号化処理の概略を記述すると、入出力部４１１により、暗号化装置４が、入力情報として、公開パラメータ４２２（ｐａｒａｍｓ）、暗号データの受信者である利用者Ｂの公開鍵４２３（ＩＤ）を鍵発行装置３から取得し、暗号化対象データ４２４を入力情報として受け付けると、制御演算部４１０は受け付けた各入力情報を記憶部４２０に格納する。
そして、制御演算部４１０が、記憶部４２０に保持されている入力情報を用いて、図１３の処理に従って暗号化処理を行う。
制御演算部４１０は、生成された暗号化データを、記憶部４２０に保持するとともに、入出力部４１１より出力情報として出力し、動作を終了する。
[Encryption processing]
FIG. 13 is a flowchart showing the procedure of the encryption processing according to this embodiment.
Referring to FIG. 12, the outline of the encryption process is described. The input /
Then, the
The
以下、図１２を参照しつつ、図１３に沿って暗号化処理を説明する。
ステップＳ８０１において、ハッシュ関数演算部４１５が、公開パラメータ４２２に含まれているハッシュ関数Ｈ１を用いて、ハッシュ値ＱＩＤ←Ｈ１（ＩＤ）を計算する。
ステップＳ８０２において、乱数生成部４１３が、公開パラメータ４２２に含まれている値ｎを用いて、０＜ｒ＜ｎを満たす整数ｒをランダムに生成する。
ステップＳ８０３において、楕円曲線ペアリング演算部４１４が、公開パラメータ４２２に含まれているＰと、ステップＳ８０２で生成した整数ｒを用いて、Ｃ１←ｒＰを計算し、計算結果をＺ＝１の拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ：Ｙ：Ｔ：１）を用いて表現する。この処理は、スカラ倍演算処理であり、特許文献１〜３に記載の技術や、特願２００９−１１９２５６に記載の技術を用いて行われるものである。
ステップＳ８０４において、楕円曲線ペアリング演算部４１４が、公開パラメータ４２２に含まれているｅと、Ｐｐｕｂと、ステップＳ８０１で生成したＱＩＤを用いて、ｇ←ｅ（Ｐｐｕｂ，ＱＩＤ）を計算する。この処理は、図１〜図６を参照して説明した処理を用いる。
ステップＳ８０５において、楕円曲線ペアリング演算部４１４が、ｇｒ←ｇｒを計算する。
ステップＳ８０６において、ハッシュ関数演算部４１５が、公開パラメータ４２２に含まれているハッシュ関数Ｈ２を用いて、ハッシュ値ｈ←Ｈ２（ｇｒ）を計算する。
ステップＳ８０７において、楕円曲線ペアリング演算部４１４が、Ｃ２←Ｗ ＸＯＲ ｈを計算する。ここで、Ｗは暗号化対象データ４２４である。
ステップＳ８０８において、制御演算部４１０が、算出した（Ｃ１，Ｃ２）を暗号化データ４２５として出力するとともに、記憶部４２０に格納する。
Hereinafter, the encryption process will be described along FIG. 13 with reference to FIG.
In step S801, the hash
In step S <b> 802, the random
In step S803, the elliptic curve
In step S804, the elliptic curve
In step S805, the elliptic curve
In step S806, the hash
In step S807, the elliptic curve
In step S808, the
《復号化処理》
次に、本実施形態に係る楕円曲線ペアリング演算方法を利用した復号化処理について図１４および図１５を参照して説明する。
<< Decryption process >>
Next, decoding processing using the elliptic curve pairing calculation method according to the present embodiment will be described with reference to FIGS. 14 and 15.
［復号化装置］
図１４は、本実施形態に係る復号化装置の構成例を示す図である。
復号化装置５は、制御演算部５１０および記憶部５２０を有している。
制御演算部５１０は、入出力部５１１、制御部５１２、楕円曲線ペアリング演算部５１３、ハッシュ関数演算部５１４を有している。入出力部５１１は、公開パラメータ５２２、利用者Ｂの秘密鍵５２３、暗号化データ５２４を入力情報として受け付けるとともに、復号データ５２５を出力情報として出力する機能を有している。制御部５１２は、復号化装置５を制御する機能を有している。楕円曲線ペアリング演算部５１３は、ペアリングを計算する機能に加えて楕円曲線上の点のスカラ倍、定義体上の演算、剰余演算（ｍｏｄ）、比較などを行う機能を有し、図１の楕円曲線ペアリング演算部１１３に相当するものである。ハッシュ関数演算部５１４は、ハッシュ関数を用いてハッシュ値を生成する機能を有する。
[Decryption device]
FIG. 14 is a diagram illustrating a configuration example of the decoding device according to the present embodiment.
The
The
記憶部５２０には、中間データ５２１、公開パラメータ５２２、利用者Ｂ秘密鍵５２３、暗号化データ５２４、復号データ５２５などが格納されている。中間データ５２１は、制御演算部５１０における演算時の中間データである。公開パラメータ５２２は、鍵発行装置３で生成された公開パラメータのデータである。利用者Ｂ秘密鍵５２３は、鍵発行装置３から受け付けた暗号化データの復号者である利用者Ｂ秘密鍵のデータである。暗号化データ５２４は、暗号化装置４から送られた復号の対象データである。復号データ５２５は、制御演算部５１０で暗号化データ５２４を復号することにより生成されるデータである。
The
なお、復号化装置５は、図１６に示すような、バス６７で接続されたＣＰＵ６１と、ＲＡＭなどのメモリ６２と、ＨＤＤやその他の外部記憶装置６５と、キーボードなどの入力装置６３と、ディスプレイなどの出力装置６４と、外部記憶装置６５や、入力装置６３や、出力装置６４と、バス６７を中継するインタフェース６６とを備えた、一般的な構成を有する情報処理装置６上に構築することができる。
復号化装置５の制御演算部５１０および各部５１１〜５１４は、ＣＰＵ６１が、メモリ６２にロードされたプログラム（コードモジュールともいう）を実行することで、情報処理装置６上に具現化される。また、メモリ６２や、外部記憶装置６５が図１４の記憶部５２０として使用される。
The
The
また、前記したプログラムは、予め外部記憶装置６５に記憶され、必要に応じてメモリ６２上にロードされ、ＣＰＵ６１により実行される。なお、このプログラムは、可搬性の記憶媒体、例えばＣＤ−ＲＯＭなどに格納され、必要に応じて、これら可搬性の記憶媒体からメモリ６２にロードされてもよいし、一旦、ＣＤ−ＲＯＭなどの可搬性の記憶媒体からＨＤＤなどの外部記憶装置６５にインストールされた後、必要に応じて、この外部記憶装置６５からメモリ６２にロードされてもよいし、さらには、図示していないネットワーク接続装置を介して、ネットワーク上の情報処理装置６が伝送信号により、一旦外部記憶装置６５にダウンロードされてからメモリ６２にロードされてもよいし、あるいは、直接、ネットワーク経由でメモリ６２にロードされてもよい。
The above-described program is stored in advance in the
［復号化処理］
図１５は、本実施形態に係る復号化処理の手順を示すフローチャートである。
図１４を参照しつつ、図１５に沿って復号化処理の概略を記述すると、入出力部５１１により、復号化装置５が、公開パラメータ５２２（ｐａｒａｍｓ）、復号者である利用者Ｂの秘密鍵５２３（ｄＩＤ）を鍵発行装置３から取得し、暗号化データ５２４（Ｃ＝（Ｃ１，Ｃ２））を暗号化装置４から受け付けると、制御演算部５１０は受け付けた各入力情報を記憶部５２０に格納する。
そして、制御演算部５１０が、記憶部５２０に保持されている各入力情報を用いて、図１５の処理に従って復号化処理を行う。
制御演算部５１０は、復号化処理によって生成した復号データ５２５を、記憶部５２０に保持するとともに、入出力部５１１より出力情報として出力し、動作を終了する。
[Decryption process]
FIG. 15 is a flowchart showing the procedure of the decoding process according to this embodiment.
Referring to FIG. 14, the outline of the decryption process is described along FIG. 15. By the input /
Then, the
The
以下、図１４を参照しつつ、図１５に沿って、復号化処理を説明する。
ステップＳ９０１において、楕円曲線ペアリング演算部５１３が、公開パラメータ５２２に含まれるｅと、秘密鍵５２３（ｄＩＤ）と、暗号化データ５２４に含まれるｄＩＤを用いて、ｇ←ｅ（Ｃ１，ｄＩＤ）を計算する。この処理は、図１〜図６を参照して説明した処理を使用することによって行なわれる。
ステップＳ９０２において、ハッシュ関数演算部５１４が、公開パラメータ５２２に含まれるハッシュ関数Ｈ２を用いて、ハッシュ値ｈ←Ｈ２（ｇ）を計算する。
ステップＳ９０３において、楕円曲線ペアリング演算部５１３が、Ｗ←Ｃ２ ＸＯＲ ｈを計算しＷを復号データ５２５とし、生成した復号データ５２５を出力するとともに、記憶部５２０に格納する。
Hereinafter, the decoding process will be described along FIG. 15 with reference to FIG.
In step S901, the elliptic curve
In step S902, the hash
In step S < b > 903, the elliptic curve
［ハードウェア構成］
図１６は、情報処理装置のハードウェア構成例を示す図である。
この情報処理装置６は、楕円曲線ペアリング演算装置１（図１）、鍵発行装置３（図８）、暗号化装置４（図１２）、復号化装置５（図１４）に相当する装置である。
情報処理装置６では、ＣＰＵ６１およびメモリ６２がバス６７を介して互いに接続されている。また、キーボードや、マウスに相当する入力装置６３、ディスプレイに相当する出力装置６４、ＨＤＤや、ＣＤ−ＲＯＭなどに相当し、プログラムや、データが格納されている外部記憶装置６５がインタフェース６６を介してバス６７に接続している。
[Hardware configuration]
FIG. 16 is a diagram illustrating a hardware configuration example of the information processing apparatus.
This information processing device 6 is a device corresponding to the elliptic curve pairing calculation device 1 (FIG. 1), the key issuing device 3 (FIG. 8), the encryption device 4 (FIG. 12), and the decryption device 5 (FIG. 14). is there.
In the information processing apparatus 6, the
《まとめ》
本実施形態では、楕円曲線ａｘ２＋ｙ２＝１＋ｄｘ２ｙ２（ａｄ（ａ−ｄ）≠０，定義体上で係数ａは２乗根を持ち係数ｄは持たない）上の点（ｘ，ｙ）に対してｘ＝Ｚ／Ｘ、ｙ＝Ｚ／Ｙ、ＸＹＺ≠０を満たすＸ、Ｙ、Ｚ∈Ｆｑを用いて（Ｘ：Ｙ：Ｚ）と変換したＩｎｖｅｒｔｅｄ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標に加えて、ｘ＝Ｚ／Ｘ、ｙ＝Ｚ／Ｙ、ｘｙ＝Ｚ／Ｔ、ＸＹＴＺ≠０を満たすＸ、Ｙ、Ｔ、Ｚ∈Ｆｑを用いて（Ｘ：Ｙ：Ｔ：Ｚ）と変換した拡張Ｉｎｖｅｒｔｅｄ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を導入する。
つまり、拡張Ｉｎｖｅｒｔｅｄ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標をペアリング計算の際にループ処理で行われる２倍算処理における２倍算および２倍算に付随する多項式の計算、加算処理における加算および加算に付随する多項式計算に用いている。
このとき、加算においてａ＝−１の場合、a倍は符号の反転のみで行えるためａ＝−１の楕円曲線を採用するだけで２倍算ステップ１回あたり２回の定数倍算、加算処理１回あたり１回の定数倍算を削減できるが、加算処理においてそれに特化したアルゴリズムを用いることにより、さらに、加算処理１回あたり乗算を１回削減することができる。
<Summary>
In the present embodiment, the elliptic curve ax 2 + y 2 = 1 + dx 2 y 2 (ad (ad) ≠ 0, the coefficient a has a square root on the definition body and does not have the coefficient d) (x, In addition to Inverted Twisted Edward coordinates transformed to (X: Y: Z) using X, Y, Z∈F q satisfying x = Z / X, y = Z / Y, XYZ ≠ 0 for y) , X = Z / X, y = Z / Y, xy = Z / T, and X, Y, T, Z∈F q satisfying XYTZ ≠ 0 and converted to (X: Y: T: Z) Inverted Twisted Edward coordinates are introduced.
In other words, the expanded inverted twisted coordinate is used for the doubling in the doubling process performed in the loop process in the pairing calculation and the polynomial calculation accompanying the doubling, the addition in the adding process and the polynomial calculation accompanying the addition. Used.
At this time, when a = -1 in addition, a multiplication can be performed only by reversing the sign. Therefore, only by adopting an elliptic curve of a = -1, two constant multiplications and addition processes are performed once per doubling step. Although it is possible to reduce one constant multiplication per time, by using an algorithm specialized for it in the addition process, it is possible to further reduce the multiplication once per addition process.
１ 楕円曲線ペアリング演算装置
２ ＩＤベース暗号システム
３ 鍵発行装置
４ 暗号化装置
５ 復号化装置
６ 情報処理装置
１１０ 制御演算部（楕円曲線ペアリング演算装置）
１１１ 入出力部（楕円曲線ペアリング演算装置）
１１２ 制御部（楕円曲線ペアリング演算装置）
１１３ 楕円曲線ペアリング演算部（楕円曲線ペアリング演算装置）
１１４ 入出力部
１１５ 楕円曲線加算演算部
１１６ 楕円曲線２倍算演算部
１１７ 基本演算部
１２０ 記憶部（楕円曲線ペアリング演算装置）
３１０ 制御演算部（鍵発行装置）
３１１ 入出力部（鍵発行装置）
３１２ 制御部（鍵発行装置）
３１３ 群選択部（鍵発行装置）
３１４ 乱数生成部（鍵発行装置）
３１５ 楕円曲線ペアリング演算部（鍵発行装置）
３１６ ハッシュ関数選択部（鍵発行装置）
３１７ ハッシュ関数演算部（鍵発行装置）
３２０ 記憶部（鍵発行装置）
４１０ 制御演算部（暗号化装置）
４１１ 入出力部（暗号化装置）
４１２ 制御部（暗号化装置）
４１３ 乱数生成部（暗号化装置）
４１４ 楕円曲線ペアリング演算部（暗号化装置）
４１５ ハッシュ関数演算部（暗号化装置）
４２０ 記憶部（暗号化装置）
５１０ 制御演算部（復号化装置）
５１１ 入出力部（復号化装置）
５１２ 制御部（復号化装置）
４１３ 楕円曲線ペアリング演算部（復号化装置）
５１４ ハッシュ関数演算部（復号化装置）
５２０ 記憶部（復号化装置）
DESCRIPTION OF
111 Input / output unit (Elliptic curve pairing calculation device)
112 Control unit (elliptic curve pairing calculation device)
113 Elliptic curve pairing calculation unit (elliptic curve pairing calculation device)
114 Input /
310 Control operation unit (key issuing device)
311 Input / output unit (key issuing device)
312 Control unit (key issuing device)
313 Group selection unit (key issuing device)
314 Random number generator (key issuing device)
315 Elliptic curve pairing calculation unit (key issuing device)
316 Hash function selection unit (key issuing device)
317 Hash function calculation unit (key issuing device)
320 Storage unit (key issuing device)
410 Control operation unit (encryption device)
411 Input / output unit (encryption device)
412 Control unit (encryption device)
413 Random number generator (encryption device)
414 Elliptic curve pairing calculation unit (encryption device)
415 Hash function calculation unit (encryption device)
420 Storage unit (encryption device)
510 Control operation unit (decoding device)
511 Input / output unit (decoding device)
512 control unit (decoding device)
413 Elliptic curve pairing calculation unit (decoding device)
514 Hash function calculation unit (decryption device)
520 storage unit (decoding device)
Claims (17)
前記第１の点の座標を拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いてＰ＝（Ｘ1：Ｙ1：Ｔ1：Ｚ1）と表現したとき、Ｚ1の値が１である場合の処理として、
前記楕円曲線ペアリング演算装置が、
入出力部を介して、前記第１の点、前記第２の点、前記第１の点の位数であり、かつ前記第２の点の位数である素数を入力し、
前記入力した素数を２進数展開し、
前記第１の元の初期値を単位元とし、
前記第１の点と同じ群に含まれ、拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標で表される第３の点の初期値を前記第１の点とし、前記展開した２進数の係数ごとに、（ａ）および（ｂ）の処理を行うことで第１の元の値を更新し、前記（ａ）および（ｂ）の処理で更新された第１の元に対してべき乗計算を行った結果を第１の元と置き直すことで、第１の元を得ることを特徴とする楕円曲線ペアリング演算方法。
（ａ）前記楕円曲線ペアリング演算装置が、前記第３の点を２倍した値で置換することによって、前記第３の点を更新し、
前記２倍算に付随して計算される多項式に対して前記第２の点を代入した値と、前記第１の元の２乗と、を乗算することで得られた値を前記第１の元とすることで前記第１の元を更新し、
（ｂ）前記楕円曲線ペアリング演算装置が、前記第１の点と、前記第３の点の加算処理を行い、
前記加算処理で算出された値を前記第３の点とすることで前記第３の点を更新し、
前記加算に付随して計算される多項式に対して前記第２の点を代入した値と、前記第１の元と乗算することで得られた値を前記第１の元とすることで前記第１の元を更新する。 Same as the first point expressed by using the twisted Edwardian coordinate and the first point expressed by using the affine coordinate on the Twisted Edwardian elliptic curve expressed by using the extended Twisted Edwardian coordinate that extends the inverted twisted Edward coordinate. A second point on the Twisted Edwardian elliptic curve having a different order and the same order as the first point and the second point and different from the group on the Twisted Edwardian elliptic curve An elliptic curve pairing calculation method by an elliptic curve pairing calculation device for calculating a first element to belong to,
When the coordinates of the first point are expressed as P = (X 1 : Y 1 : T 1 : Z 1 ) using the extended inverted twisted coordinates, the processing when the value of Z 1 is 1 is as follows:
The elliptic curve pairing computing device is
Via the input / output unit, input a prime number that is the order of the first point, the second point, the order of the first point, and the order of the second point;
Binary expansion of the input prime number,
The initial value of the first element as a unit element,
An initial value of a third point that is included in the same group as the first point and is expressed by extended inverted twisted Edward coordinates is the first point, and for each of the expanded binary coefficients, (a) and The first original value is updated by performing the process of (b), and the result of the power calculation performed on the first element updated by the processes of (a) and (b) is the first value. An elliptic curve pairing calculation method characterized in that a first element is obtained by replacing the element.
(A) The elliptic curve pairing computing device updates the third point by replacing the third point with a value obtained by doubling the third point,
A value obtained by multiplying the value calculated by substituting the second point for the polynomial calculated in accordance with the doubling and the square of the first element is the first value. Updating the first element by making it an element,
(B) The elliptic curve pairing calculation device performs addition processing of the first point and the third point,
Updating the third point by setting the value calculated in the addition process as the third point;
A value obtained by multiplying the first element by a value obtained by substituting the second point for the polynomial calculated accompanying the addition is used as the first element. Update the element of 1.
ことを特徴とする請求項１に記載の楕円曲線ペアリング演算方法。 The elliptic curve pairing calculation method according to claim 1, wherein a coefficient of a term of x 2 in the Twisted Edwardian elliptic curve is −1.
前記楕円ペアリング演算装置が、
入力部を介して、
位数ｑの有限体Ｆq（ｑは２以外の素数のべきｑで、Ｅ（Ｆq）の位数である#Ｅ（Ｆq）を割り切る位数であるとともに３以上の素数である値ｎがｑk−１を割り切る最小のｋが偶数となる数）を定義体として持ち、かつ前記値ｎの部分群を最大位数の部分群として持つＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線Ｅ（Ｆq）：ａｘ2＋ｙ2＝１＋ｄｘ2ｙ2（ａｄ（ａ−ｄ）≠０かつＦq上で係数ａは２乗根を持ち係数ｄは持たない）の値ｎを位数とする部分群Ｇ1の情報、前記Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線Ｅ（Ｆq）上の点（ｘ1，ｙ1）において、ｘ1＝Ｚ1／Ｘ1、ｙ1＝Ｚ1／Ｙ1、ｘ1ｙ1＝Ｚ1／Ｔ1、Ｘ1Ｙ1Ｔ1Ｚ1≠０を満たすとともにＺ1＝１を満たすＸ1，Ｙ1，Ｔ1，Ｚ1∈Ｆqで表現される拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いて表現したＧ1の元Ｐ＝（Ｘ1：Ｙ1：Ｔ1：Ｚ1）の情報、前記値ｎがｑk−１を割り切る最小の偶数ｋを拡大次数として持ち、かつα2＝δ∈Ｆq2（ｑ２＝ｑk/2）を満たす基底｛１，α｝を用いてＦqのｋ／２次拡大体Ｆq2（ｑ２＝ｑk/2）上の２次拡大体と見なすことのできるＦqのｋ次拡大体Ｆq1（ｑ１＝ｑk）の値ｎを位数とする乗法に関する部分群Ｇ3の情報、Ｅ（Ｆq）をＦq1（ｑ１＝ｑk）上の楕円曲線と見なしたＥ（Ｆq1）（ｑ１＝ｑk）の値ｎを位数とする部分群Ｇ2の情報、およびＡｆｆｉｎｅ座標を用いてＱ＝（ｘ0α，ｙ0）（ｘ0，ｙ0∈Ｆq2）（ｑ２＝ｑk/2）と表現できるＧ2の元Ｑの情報を入力し、
前記楕円ペアリング演算装置が、
（ａ１）前記値ｎを２進数展開して、ｎ＝ｎ0＋ｎ1×２＋・・・＋ｎt-1×２t-1 （ｎt-1＝１）とし、
（ａ２）η←（１＋ｙ0）／（ｘ0δ）とおき、
（ａ３）ｆ←１、ｉ←ｔ−２、Ｒ←Ｐとおき、
（ａ４）ｆ←ｆ2ｇR,R（Ｑ）、Ｒ←２Ｒを計算し、
（ａ５）ｎi＝１であるか否かを判定し、ｎi＝１であれば（ａ６）の処理に進み、ｎi＝１でなければ（ａ７）の処理に進み、
（ａ６）ｆ←ｆｇR,P（Ｑ）、Ｒ←Ｒ＋Ｐを計算し、
（ａ７）ｉ←ｉ−１を計算し、
（ａ８）ｉ≧０であるか否かを判定し、ｉ≧０であれば、前記（ａ４）の処理に戻り、ｉ≧０でなければ（ａ９）の処理に進み、
（ａ９）ｆ←ｆ(q1-1)/n（ｑ１＝ｑk）を計算し、当該ｆを演算結果とする
ことを特徴とする楕円曲線ペアリング演算方法。 An elliptic curve pairing calculation method by an elliptical pairing calculation device that performs a pairing calculation (f = e (P, Q)) on a twisted Edward type elliptic curve,
The elliptical pairing arithmetic unit is
Via the input section
Position by the number q finite field F q (q should the 2 other than prime numbers q of a three or more primes with a position number evenly divide #E (F q) is the order of the E (F q) values Twisted Edwardian elliptic curve E (F q ) having, as a defining body, n is a number in which the minimum k that divides q k −1 is an even number) and the subgroup of the value n as the subgroup of the maximum order. ax 2 + y 2 = 1 + dx 2 y 2 parts group G 1 to position number value n of (ad (ad) ≠ 0 and F q on the coefficient a coefficient d has square root does not have) Information, at the point (x 1 , y 1 ) on the Twisted Edwardian elliptic curve E (F q ), x 1 = Z 1 / X 1 , y 1 = Z 1 / Y 1 , x 1 y 1 = Z 1 / T 1, X 1 Y 1 T 1 Z 1 X 1 satisfying Z 1 = 1 fulfills ≠ 0, Y 1, T 1 , Z 1 ∈F q extended Inve represented ted twisted Edward coordinates in G 1 that is expressed using the original P = (X 1: Y 1 : T 1: Z 1) information has a minimum even number k to the value n is divisible to q k -1 as an extension order and α 2 = δ∈F q2 (q2 = q k / 2) basis {1, alpha} satisfying k / 2 degree extension field of F q using F q2 (q2 = q k / 2) 2 on the The information of the subgroup G 3 regarding the multiplication with the value n of the k-th order extension field F q1 (q1 = q k ) of F q that can be regarded as the next extension field, and E (F q ) as F q1 (q1 = Q k ) Q = (x 0 α using the information of the subgroup G 2 whose order is the value n of E (F q1 ) (q1 = q k ) regarded as an elliptic curve on the elliptic curve. , Y 0 ) (x 0 , y 0 ∈ F q2 ) (q2 = q k / 2 ) and information on the element Q of G 2 that can be expressed as
The elliptical pairing arithmetic unit is
(A1) Binary expansion of the value n to n = n 0 + n 1 × 2 +... + N t-1 × 2 t-1 (n t-1 = 1)
(A2) η ← (1 + y 0 ) / (x 0 δ)
(A3) f ← 1, i ← t-2, R ← P,
(A4) f ← f 2 g R, R (Q), R ← 2R is calculated,
(A5) it is determined whether the n i = 1, if n i = 1 proceeds to the process of (a6), the process proceeds to n i = 1 unless the (a7) processing,
(A6) Calculate f ← fg R, P (Q), R ← R + P,
(A7) i ← i−1 is calculated,
(A8) It is determined whether i ≧ 0. If i ≧ 0, the process returns to (a4). If i ≧ 0, the process proceeds to (a9).
( A9) An elliptic curve pairing calculation method characterized in that f ← f (q1-1) / n (q1 = q k ) is calculated and f is the calculation result.
前記楕円曲線ペアリング演算装置が、
（ｂ１）Ａ←Ｘ2 2、Ｂ←Ｙ2 2、Ｃ←Ｔ2 2、Ｄ←ａＢ、Ｅ←ａＹ2Ｚ2をＦq上でそれぞれ計算し、
（ｂ２）Ｆ←Ａ＋Ｄ、Ｇ←Ａ−Ｄ、Ｈ←（Ｘ2＋Ｙ2）2−Ａ−Ｂ、Ｉ←（Ｘ2＋Ｔ2）2−Ａ−Ｃ、Ｊ←（２Ｃ−Ｆ）をＦq上でそれぞれ計算し、
（ｂ３）ｃZZ←２Ｘ2（Ｙ2−Ｚ2）をＦq上で計算し、
（ｂ４）ｃXY←２（Ｆ−Ｃ）−ＩをＦq上で計算し、
（ｂ５）ｃXZ←２（Ａ−Ｅ）をＦq上で計算し、
（ｂ６）ｇR,R（Ｑ）←ｃZZηα＋ｃXYｙ0＋ｃXZをＦqのｋ／２次拡大体Ｆq2（ｑ２＝ｑk/2）上で計算し、
（ｂ７）ｆ←ｆ2ｇR,R（Ｑ）をＦqのｋ次拡大体Ｆq1（ｑ１＝ｑk）上で計算し、
（ｂ８）Ｘ3←ＦＧをＦq上で計算し、
（ｂ９）Ｙ3←ＨＪをＦq上で計算し、
（ｂ１０）Ｔ3←ＦＨをＦq上で計算し、
（ｂ１１）Ｚ3←ＧＨをＦq上で計算し、
（ｂ１２）Ｒ←（Ｘ3：Ｙ3：Ｔ3：Ｚ3）とおき、ｆとともに、演算結果とする
ことを特徴とする請求項３に記載の楕円曲線ペアリング演算方法。 In the process of (a4), when the coordinates of R at the time of input are set to (X 2 : Y 2 : T 2 : Z 2 ) using the extended inverted twisted coordinates,
The elliptic curve pairing computing device is
(B1) A ← X 2 2 , B ← Y 2 2 , C ← T 2 2 , D ← aB, E ← aY 2 Z 2 are calculated on F q , respectively.
(B2) F ← A + D, G ← A−D, H ← (X 2 + Y 2 ) 2 −A−B, I ← (X 2 + T 2 ) 2 −A−C, J ← (2C−F) Calculate on q respectively
(B3) c ZZ ← 2X 2 (Y 2 −Z 2 ) is calculated on F q ,
(B4) c XY ← 2 (FC) -I is calculated on F q ,
(B5) Calculate c XZ ← 2 (AE) on F q ,
(B6) g R, calculated on R (Q) ← c ZZ ηα + c XY y 0 + k / 2 degree extension of c XZ the F q F q2 (q2 = q k / 2),
(B7) f ← f 2 g R, R (Q) is calculated on the k-th order extension field F q1 (q1 = q k ) of F q ,
(B8) Calculate X 3 ← FG on F q ,
(B9) Y 3 ← HJ is calculated on F q ,
(B10) T 3 ← FH is calculated on F q ,
(B11) Z 3 ← GH is calculated on F q ,
(B12) R ← (X 3 : Y 3 : T 3 : Z 3 ) and the result of the calculation together with f is the elliptic curve pairing calculation method according to claim 3.
前記楕円曲線ペアリング演算装置が、
（ｃ１）Ａ←Ｘ1Ｘ2、Ｂ←Ｙ1Ｙ2、Ｃ←Ｔ2Ｚ1、Ｄ←Ｔ1Ｚ2をＦq上でそれぞれ計算し、
（ｃ２）Ｅ←（Ｘ1＋Ｙ1）（Ｘ2−Ｙ2）＋Ｂ−Ａ、Ｆ←Ｃ＋Ｄ、Ｇ←Ｃ−Ｄ、Ｈ←Ａ＋ａＢ、Ｉ←Ｔ1Ｔ2をＦq上でそれぞれ計算し、
（ｃ３）ｃZZ←Ｙ2Ｚ1−Ｙ1Ｚ2をＦq上で計算し、
（ｃ４）ｃXY←（Ｙ1−Ｔ1）（Ｙ2＋Ｔ2）−Ｂ＋Ｉ＋ＥをＦq上で計算し、
（ｃ５）ｃXZ←Ｄ−Ｃ＋（Ｘ1Ｚ2＋Ｘ2Ｚ1）をＦq上で計算し、
（ｃ６）ｇR,P（Ｑ）←ｃZZηα＋ｃXYｙ0＋ｃXZをＦqのｋ／２次拡大体Ｆq2（ｑ２＝ｑk/2）上で計算し、
（ｃ７）ｆ←ｆｇR,P（Ｑ）をＦqのｋ次拡大体Ｆq1（ｑ１＝ｑk）上で計算し、
（ｃ８）ｉ＝０であるか否かを判定し、ｉ＝０であれば（ｃ１４）の処理に進み、ｉ＝０でなければ（ｃ９）の処理に進み、
（ｃ９）Ｘ3←ＨＧをＦq上で計算し、
（ｃ１０）Ｙ3←ＥＦをＦq上で計算し、
（ｃ１１）Ｔ3←ＨＥをＦq上で計算し、
（ｃ１２）Ｚ3←ＦＧをＦq上で計算し、
（ｃ１３）演算結果をＱ←（Ｘ3：Ｙ3：Ｔ3：Ｚ3）およびｆとする
（ｃ１４）演算結果をｆとする
ことを特徴とする請求項３に記載の楕円曲線ペアリング演算方法。 When the value of the coefficient a in the Twisted Edwardian elliptic curve is different from −1, and in the processing of (a6), the coordinates of P at the time of input are (X 1 : Y 1 : T 1 : Z 1 = 1), As processing when the coordinates of R are (X 2 : Y 2 : T 2 : Z 2 ),
The elliptic curve pairing computing device is
(C1) A ← X 1 X 2 , B ← Y 1 Y 2 , C ← T 2 Z 1 , D ← T 1 Z 2 are calculated on F q , respectively
(C2) Calculate E ← (X 1 + Y 1 ) (X 2 −Y 2 ) + B−A, F ← C + D, G ← C−D, H ← A + aB, I ← T 1 T 2 on F q , respectively. ,
(C3) c ZZ ← Y 2 Z 1 −Y 1 Z 2 is calculated on F q ,
(C4) c XY ← (Y 1 −T 1 ) (Y 2 + T 2 ) −B + I + E is calculated on F q ,
(C5) cXZ ← D−C + (X 1 Z 2 + X 2 Z 1 ) is calculated on F q ,
(C6) g R, calculated on P (Q) ← c ZZ ηα + c XY y 0 + k / 2 degree extension of c XZ the F q F q2 (q2 = q k / 2),
(C7) f ← fg R, P (Q) is calculated on the k-th order extension field F q1 (q1 = q k ) of F q ,
(C8) It is determined whether i = 0. If i = 0, the process proceeds to (c14), and if i = 0, the process proceeds to (c9).
(C9) X 3 ← HG is calculated on F q ,
(C10) Y 3 ← EF is calculated on F q ,
(C11) T 3 ← HE is calculated on F q ,
(C12) Z 3 ← FG is calculated on F q ,
(C13) The calculation result is Q ← (X 3 : Y 3 : T 3 : Z 3 ) and f (c14) The calculation result is f The elliptic curve pairing calculation according to claim 3, Method.
前記楕円曲線ペアリング演算装置が、
（ｄ１）Ａ←（Ｘ1−Ｙ1）（Ｘ2＋Ｙ2）、Ｂ←（Ｘ1＋Ｙ1）（Ｘ2−Ｙ2）、Ｃ←２Ｔ2Ｚ1、Ｄ←２Ｔ1Ｚ2をＦq上でそれぞれ計算し、
（ｄ２）Ｅ←Ａ＋Ｂ、Ｆ←Ｃ＋Ｄ，Ｇ←Ｃ−Ｄ，Ｈ←Ｂ−ＡをＦq上でそれぞれ計算し、
（ｄ３）ｃZZ←２（Ｙ2Ｚ1−Ｙ1Ｚ2）をＦq上で計算し、
（ｄ４）ｃXY←２（Ｙ1Ｔ2−Ｙ2Ｔ1）＋ＨをＦq上で計算し、
（ｄ５）ｃXZ←Ｄ−Ｃ＋２（Ｘ1Ｚ2−Ｘ2Ｚ1）をＦq上で計算し、
（ｄ６）ｇR,P（Ｑ）←ｃZZηα＋ｃXYｙ0＋ｃXZをＦqのｋ／２次拡大体Ｆq2（ｑ２＝ｑk/2）上で計算し、
（ｄ７）ｆ←ｆｇR,P（Ｑ）をＦqのｋ次拡大体Ｆq1（ｑ１＝ｑk）上で計算し、
（ｄ８）ｉ＝０であるか否かを判定し、ｉ＝０であれば（ｄ１４）の処理に進み、ｉ＝０でなければ（ｄ９）の処理に進み、
（ｄ９）Ｘ3←ＥＧをＦq上で計算し、
（ｄ１０）Ｙ3←ＨＦをＦq上で計算し、
（ｄ１１）Ｔ3←ＥＨをＦq上で計算し、
（ｄ１２）Ｚ3←ＦＧをＦq上で計算し、
（ｄ１３）演算結果をＱ←（Ｘ3：Ｙ3：Ｔ3：Ｚ3）およびｆとする
（ｄ１４）演算結果をｆとする
ことを特徴とする請求項３に記載の楕円曲線ペアリング演算方法。 When the value of the coefficient a in the Twisted Edwardian elliptic curve is −1, and in the processing of (a6), the coordinates of P at the time of input are (X 1 : Y 1 : T 1 : Z 1 = 1), R As a process when the coordinates of (X 2 : Y 2 : T 2 : Z 2 ) are
The elliptic curve pairing computing device is
(D1) A ← (X 1 −Y 1 ) (X 2 + Y 2 ), B ← (X 1 + Y 1 ) (X 2 −Y 2 ), C ← 2T 2 Z 1 , D ← 2T 1 Z 2 Calculate on q respectively
(D2) E ← A + B, F ← C + D, G ← CD, and H ← B−A are calculated on F q , respectively.
(D3) c ZZ ← 2 (Y 2 Z 1 −Y 1 Z 2 ) is calculated on F q ,
(D4) c XY ← 2 (Y 1 T 2 −Y 2 T 1 ) + H is calculated on F q ,
(D5) c XZ ← DC + 2 (X 1 Z 2 −X 2 Z 1 ) is calculated on F q ,
(D6) g R, calculated on P (Q) ← c ZZ ηα + c XY y 0 + k / 2 degree extension of c XZ the F q F q2 (q2 = q k / 2),
(D7) f ← fg R, P (Q) is calculated on the k-th order extension field F q1 (q1 = q k ) of F q ,
(D8) It is determined whether i = 0. If i = 0, the process proceeds to (d14). If i = 0, the process proceeds to (d9).
(D9) X 3 ← EG is calculated on F q ,
(D10) Y 3 ← HF is calculated on F q ,
(D11) T 3 ← EH is calculated on F q ,
(D12) Z 3 ← FG is calculated on F q ,
(D13) The calculation result is Q ← (X 3 : Y 3 : T 3 : Z 3 ) and f (d14) The calculation result is f The elliptic curve pairing calculation according to claim 3, Method.
前記暗号化装置が、
鍵発行装置から、公開パラメータおよび暗号化データの受信者の公開鍵を取得し、
外部装置から暗号化対象データを取得し、
前記公開パラメータと、前記公開鍵を基に、請求項１または請求項２に記載の楕円曲線ペアリング演算方法を用いることによって、前記暗号化対象データを暗号化する
ことを特徴とする暗号化方法。 An encryption method by an encryption device that performs encryption using ID-based encryption,
The encryption device is
Obtain the public parameters and the public key of the recipient of the encrypted data from the key issuing device,
Obtain the data to be encrypted from the external device,
An encryption method comprising: encrypting the data to be encrypted by using the elliptic curve pairing calculation method according to claim 1 or 2 based on the public parameter and the public key. .
前記暗号化装置が、
鍵発行装置から、公開パラメータｐａｒａｍｓ、および暗号化データの受信者の公開鍵ＩＤを取得し、
外部装置から暗号化対象データＷを取得し、
前記公開パラメータｐａｒａｍｓは、すべてのバイナリ系列から部分群Ｇ2への写像であるハッシュ関数Ｈ1、Ｆq上で定義される楕円曲線Ｅ（Ｆq）の位数である#Ｅ（Ｆq）を割り切る位数であるとともに３以上の素数である値ｎ、Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線上の任意の点Ｐ、前記Ｐをｓ（ｓは０＜ｓ＜ｎを満たすランダムな整数）倍した点Ｐpub、e：Ｇ1×Ｇ2→Ｇ3を満たすｅを含んでおり、
（ｆ１）ＱID←Ｈ1（ＩＤ）を計算し、
（ｆ２）０＜ｒ＜ｎを満たす整数ｒをランダムに生成し、
（ｆ３）Ｃ1←ｒＰを計算し、計算結果をＺ＝１の拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標（Ｘ：Ｙ：Ｔ：１）を用いて表現し、
（ｆ４）請求項３から請求項６のいずれか一項に記載の楕円曲線ペアリング演算方法を行って、ｇ←ｅ（Ｐpub，ＱID）を計算し、
（ｆ５）ｇｒ←ｇrを計算し、
（ｆ６）ｈ←Ｈ2（ｇｒ）を計算し、
（ｆ７）Ｃ2←Ｗ ＸＯＲ ｈを計算し、
（ｆ７）Ｃ←（Ｃ1，Ｃ2）を暗号化データとする
ことを特徴とする暗号化方法。
ここで、Ｇ1は位数ｑの有限体Ｆq（ｑは２以外の素数のべきｑで、#Ｅ（Ｆq）を割り切る位数であるとともに３以上の素数である値ｎがｑk−１を割り切る最小のｋが偶数となる数）を定義体として持ち、かつ前記値ｎを位数とする部分群を最大位数の部分群として持つＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線Ｅ（Ｆq）：ａｘ2＋ｙ2＝１＋ｄｘ2ｙ2（ａｄ（ａ−ｄ）≠０かつＦq上で係数ａは２乗根を持ち係数ｄは持たない）の値ｎを位数とする部分群であり、Ｇ2はＥ（Ｆq）をＦq1（ｑ１＝ｑk）上の楕円曲線と見なしたＥ（Ｆq1）（ｑ１＝ｑk）の値ｎを位数とする部分群であり、Ｇ3はＦ* q1（ｑ１＝ｑk）の値ｎを位数とする乗法に関する部分群である。 An encryption method by an encryption device that performs encryption using ID-based encryption,
The encryption device is
Obtain the public parameter params and the public key ID of the recipient of the encrypted data from the key issuing device,
Obtain the encryption target data W from the external device,
The public parameter params is the order of an elliptic curve E (F q ) defined on the hash functions H 1 and F q which are mappings from all binary sequences to the subgroup G 2 #E (F q ). A value n that is a prime number and a prime number of 3 or more, an arbitrary point P on a Twisted Edwardian elliptic curve, and a point P obtained by multiplying P by s (s is a random integer satisfying 0 <s <n) pub , e: includes e satisfying G 1 × G 2 → G 3 ,
(F1) Calculate Q ID ← H 1 (ID),
(F2) An integer r satisfying 0 <r <n is randomly generated,
(F3) C 1 ← rP is calculated, and the calculation result is expressed using the extended inverted twisted coordinates (X: Y: T: 1) with Z = 1,
(F4) performing the elliptic curve pairing calculation method according to any one of claims 3 to 6 to calculate g ← e (P pub , Q ID );
(F5) to calculate the gr ← g r,
(F6) Calculate h ← H 2 (gr),
(F7) Calculate C 2 ← W XOR h,
(F7) An encryption method characterized by using C ← (C 1 , C 2 ) as encrypted data.
Here, G 1 is a finite field F q of order q (q is a power q of a prime number other than 2 and is a number that divides #E (F q ) and a value n that is a prime number of 3 or more is q k. Twisted Edwardian elliptic curve E (F q ) having, as a defining body, a subgroup having the order of the value n as a subgroup of the maximum order. a subgroup whose order is the value n of ax 2 + y 2 = 1 + dx 2 y 2 (ad (ad) ≠ 0 and the coefficient a has a square root and no coefficient d on F q ) G 2 is a subgroup of the value n of E (F q) was regarded as an elliptic curve over F q1 (q1 = q k) E (F q1) (q1 = q k) and calculates three, G 3 is a subgroup relating multiplication to of order value n of F * q1 (q1 = q k ).
前記復号化装置が、
鍵発行装置から、公開パラメータおよび復号者の秘密鍵を取得し、
前記公開パラメータと、前記公開鍵を基に、請求項１または請求項２に記載の楕円曲線ペアリング演算方法を用いることによって、前記暗号化データを復号する
ことを特徴とする復号化方法。 A decryption method by a decryption device for decrypting encrypted data generated by the encryption method according to claim 8, comprising:
The decoding device
Obtain public parameters and the decryptor's private key from the key issuing device,
The decryption method, wherein the encrypted data is decrypted by using the elliptic curve pairing calculation method according to claim 1 or 2, based on the public parameter and the public key.
前記復号化装置が、
鍵発行装置から、公開パラメータｐａｒａｍｓ、復号者である利用者Ｂの秘密鍵ｄIDを取得し、
前記暗号化装置から暗号化データＣ＝（Ｃ1，Ｃ2）を取得し、
前記公開パラメータｐａｒａｍｓは、部分群Ｇ３からすべてのＮビットバイナリ系列への写像であるハッシュ関数Ｈ2、e：Ｇ1×Ｇ2→Ｇ3を満たすｅを含んでおり、
前記楕円曲線ペアリング演算部は、
（ｇ１）請求項３から請求項６のいずれか一項に記載の楕円曲線ペアリング演算方法を行ってｇ←ｅ（Ｃ1，ｄID）を計算し、
ハッシュ関数演算部は、
（ｇ２）ｈ←Ｈ2（ｇ）を計算し、
前記楕円曲線ペアリング演算部は、
（ｇ３）Ｗ←Ｃ2 ＸＯＲ ｈを計算し、Ｗを復号データとする
ことを特徴とする復号化方法。
ここで、Ｇ1は位数ｑの有限体Ｆq（ｑは２以外の素数のべきｑで、#Ｅ（Ｆq）を割り切る位数であるとともに３以上の素数である値ｎがｑk−１を割り切る最小のｋが偶数となる数）を定義体として持ち、かつ前記値ｎを位数とするの部分群を最大位数の部分群として持つＴｗｉｓｔｅｄ Ｅｄｗａｒｄ型楕円曲線Ｅ（Ｆq）：ａｘ2＋ｙ2＝１＋ｄｘ2ｙ2（ａｄ（ａ−ｄ）≠０かつＦq上で係数ａは２乗根を持ち係数ｄは持たない）の値ｎを位数とする部分群であり、Ｇ2はＥ（Ｆq）をＦq1（ｑ１＝ｑk）上の楕円曲線と見なしたＥ（Ｆq1）（ｑ１＝ｑk）の値ｎの部分群であり、Ｇ3はＦ* q1（ｑ１＝ｑk）の値ｎを位数とする乗法に関する部分群である。 A decryption method by a decryption device for decrypting encrypted data generated by the encryption method according to claim 9, comprising:
The decoding device
From the key issuing device, obtain the public parameter params and the private key d ID of the user B who is the decryptor,
Obtain encrypted data C = (C 1 , C 2 ) from the encryption device;
The public parameter params includes a hash function H 2 that is a mapping from the subgroup G3 to all N-bit binary sequences, e that satisfies e: G 1 × G 2 → G 3 ,
The elliptic curve pairing calculator is
(G1) The elliptic curve pairing calculation method according to any one of claims 3 to 6 is performed to calculate g ← e (C 1 , d ID ),
The hash function calculation part
(G2) Calculate h ← H 2 (g),
The elliptic curve pairing calculator is
(G3) A decoding method characterized by calculating W ← C 2 XOR h and using W as decoded data.
Here, G 1 is a finite field F q of order q (q is a power q of a prime number other than 2 and is a number that divides #E (F q ) and a value n that is a prime number of 3 or more is q k. Twisted Edwardian elliptic curve E (F q ) having a definition group of the smallest k that divides -1 as an even number) and a subgroup of which the value n is an order as a subgroup of the maximum order : Ax 2 + y 2 = 1 + dx 2 y 2 (ad (a−d) ≠ 0 and coefficient a has a square root and no coefficient d on F q ) , G 2 is a subgroup of the value n of E (F q) of the F q1 (q1 = q k) on the elliptic curve and considers the E (F q1) (q1 = q k), G 3 is F * q1 value n of (q1 = q k) is a subgroup relating multiplication to position number.
前記第１の点の座標を拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標を用いてＰ＝（Ｘ1：Ｙ1：Ｔ1：Ｚ1）と表現したとき、Ｚ1の値が１である場合の処理として、
入出力部を介して、前記第１の点、前記第２の点、前記第１の点の位数であり、かつ前記第２の点の位数である素数を入力し、前記入力した素数を２進数展開し、前記第１の元の初期値を単位元とし、前記第１の点と同じ群に含まれ、拡張Ｉｎｖｅｒｔｅｄ ｔｗｉｓｔｅｄ Ｅｄｗａｒｄ座標で表される第３の点の初期値を前記第１の点とする基本演算部と、
前記展開した２進数の係数ごとに、（ａ）および（ｂ）の処理を行うことで第１の元の値を更新し、前記（ａ）および（ｂ）の処理で更新された第１の元に対してべき乗計算を行った結果を第１の元と置き直すことで、第１の元を得る楕円曲線ペアリング演算部と、
を有することを特徴とする楕円曲線ペアリング演算装置。
（ａ）前記楕円曲線ペアリング演算装置が、前記第３の点を２倍した値で置換することによって、前記第３の点を更新し、
前記２倍算に付随して計算される多項式に対して前記第２の点を代入した値と、前記第１の元の２乗と、を乗算することで得られた値を前記第１の元とすることで前記第１の元を更新し、
（ｂ）前記楕円曲線ペアリング演算装置が、前記第１の点と、前記第３の点の加算処理を行い、
前記加算処理で算出された値を前記第３の点とすることで前記第３の点を更新し、
前記加算に付随して計算される多項式に対して前記第２の点を代入した値と、前記第１の元と乗算することで得られた値を前記第１の元とすることで前記第１の元を更新する。 Same as the first point expressed by using the twisted Edwardian coordinate and the first point expressed by using the affine coordinate on the Twisted Edwardian elliptic curve expressed by using the extended Twisted Edwardian coordinate that extends the inverted twisted Edward coordinate. A second point on the Twisted Edwardian elliptic curve having a different order and the same order as the first point and the second point and different from the group on the Twisted Edwardian elliptic curve An elliptic curve pairing calculation device for calculating a first element to which the first element belongs,
When the coordinates of the first point are expressed as P = (X 1 : Y 1 : T 1 : Z 1 ) using the extended inverted twisted coordinates, the processing when the value of Z 1 is 1 is as follows:
The prime number that is the order of the first point, the second point, the order of the first point and the order of the second point is input via the input / output unit, and the input prime number And the initial value of the third point that is included in the same group as the first point and represented by the extended inverted twisted coordinate is the first value of the first element. A basic arithmetic unit with 1 point;
For each expanded binary coefficient, the first original value is updated by performing the processes (a) and (b), and the first value updated by the processes (a) and (b) is updated. An elliptic curve pairing calculation unit that obtains the first element by replacing the result of the power calculation on the element with the first element;
An elliptic curve pairing calculation device characterized by comprising:
(A) The elliptic curve pairing computing device updates the third point by replacing the third point with a value obtained by doubling the third point,
A value obtained by multiplying the value calculated by substituting the second point for the polynomial calculated in accordance with the doubling and the square of the first element is the first value. Updating the first element by making it an element,
(B) The elliptic curve pairing calculation device performs addition processing of the first point and the third point,
Updating the third point by setting the value calculated in the addition process as the third point;
A value obtained by multiplying the first element by a value obtained by substituting the second point for the polynomial calculated accompanying the addition is used as the first element. Update the element of 1.
ことを特徴とする請求項１４に記載の楕円曲線ペアリング演算装置。 Elliptic Curve pairing computation device according to claim 14, coefficients of terms the Twisted Edward type x Elliptic Curve 2 is characterized in that it is a -1.
鍵発行装置から、公開パラメータおよび暗号化データの受信者の公開鍵を取得し、外部装置から暗号化対象データを取得する入出力部と、
前記公開パラメータと、前記公開鍵を基に、請求項１または請求項２に記載の楕円曲線ペアリング演算方法を用いることによって、前記暗号化対象データを暗号化する制御演算部と、
を有することを特徴とする暗号化装置。 An encryption device that performs encryption using ID-based encryption,
An input / output unit that acquires the public parameters and the public key of the recipient of the encrypted data from the key issuing device, and acquires the encryption target data from the external device;
Based on the public parameter and the public key, a control arithmetic unit that encrypts the data to be encrypted by using the elliptic curve pairing arithmetic method according to claim 1 or 2,
An encryption device comprising:
鍵発行装置から、公開パラメータおよび復号者の秘密鍵を取得する入出力部と、
前記公開パラメータと、前記公開鍵を基に、請求項１または請求項２に記載の楕円曲線ペアリング演算方法を用いることによって、前記暗号化データを復号する制御演算部と、
を有することを特徴とする復号化装置。 A decryption device for decrypting encrypted data generated by the encryption device according to claim 16,
An input / output unit that obtains public parameters and a decryptor's private key from a key issuing device;
Based on the public parameter and the public key, a control arithmetic unit that decrypts the encrypted data by using the elliptic curve pairing arithmetic method according to claim 1 or 2,
A decoding device characterized by comprising:
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010106367A JP5450240B2 (en) | 2010-05-06 | 2010-05-06 | Elliptic curve pairing calculation method, encryption method, decryption method, program, elliptic curve pairing calculation device, encryption device, and decryption device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010106367A JP5450240B2 (en) | 2010-05-06 | 2010-05-06 | Elliptic curve pairing calculation method, encryption method, decryption method, program, elliptic curve pairing calculation device, encryption device, and decryption device |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2011237475A true JP2011237475A (en) | 2011-11-24 |
| JP5450240B2 JP5450240B2 (en) | 2014-03-26 |
Family
ID=45325553
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010106367A Active JP5450240B2 (en) | 2010-05-06 | 2010-05-06 | Elliptic curve pairing calculation method, encryption method, decryption method, program, elliptic curve pairing calculation device, encryption device, and decryption device |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5450240B2 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR101460541B1 (en) * | 2013-07-15 | 2014-11-11 | 고려대학교 산학협력단 | Public encryption method based on user ID |
-
2010
- 2010-05-06 JP JP2010106367A patent/JP5450240B2/en active Active
Non-Patent Citations (4)
| Title |
|---|
| JPN6013047564; Ｍ． Ｐｒｅｍ Ｌａｘｍａｎ Ｄａｓ ｅｔ ａｌ: 'Ｐａｉｒｉｎｇ Ｃｏｍｐｕｔａｔｉｏｎ ｏｎ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄｓ Ｆｏｒｍ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ' Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ Ｖｏｌｕｍｅ ５２０９, 2008, ｐ． １９２-２１０, Ｓｐｒｉｎｇｅｒ-Ｖｅｒｌａｇ * |
| JPN6013047567; Ｂｒｉａｎ Ｂａｌｄｗｉｎ ｅｔ ａｌ: 'Ａ Ｈａｒｄｗａｒｅ Ａｎａｌｙｓｉｓ ｏｆ Ｔｗｉｓｔｅｄ Ｅｄｗａｒｄｓ Ｃｕｒｖｅｓ ｆｏｒ ａｎ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｓｙｓｔｅｍ' ［ｏｎｌｉｎｅ］ , 20090104 * |
| JPN6013047568; Ｓｏｒｉｎａ Ｉｏｎｉｃａ ｅｔ ａｌ: 'Ａｎｏｔｈｅｒ ａｐｐｒｏａｃｈ ｔｏ ｐａｉｒｉｎｇ ｃｏｍｐｕｔａｔｉｏｎ ｉｎ Ｅｄｗａｒｄｓ ｃｏｏｒｄｉｎａｔｅｓ' ［ｏｎｌｉｎｅ］ , 20090213 * |
| JPN6013047574; Ｄａｎｉｅｌ Ｊ． Ｂｅｒｎｓｔｅｉｎ ｅｔ ａｌ: 'ＥＣＭ ｕｓｉｎｇ Ｅｄｗａｒｄｓ ｃｕｒｖｅｓ' ［ｏｎｌｉｎｅ］ , 20100124 * |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR101460541B1 (en) * | 2013-07-15 | 2014-11-11 | 고려대학교 산학협력단 | Public encryption method based on user ID |
| US9419798B2 (en) | 2013-07-15 | 2016-08-16 | Korea University Research And Business Foundation | Public encryption method based on user ID |
Also Published As
| Publication number | Publication date |
|---|---|
| JP5450240B2 (en) | 2014-03-26 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5256342B2 (en) | Information generating apparatus, method, program, and recording medium thereof | |
| Keerthi et al. | Elliptic curve cryptography for secured text encryption | |
| JPH08504962A (en) | Encryption method | |
| Panda et al. | A hybrid security algorithm for RSA cryptosystem | |
| JP2000187438A (en) | Method, device, and recording medium for executing elliptic curve cryptography | |
| JP2009272995A (en) | Privacy-preserving scalar product calculation system, privacy-preserving scalar product calculation method, and cryptographic key sharing system | |
| CN111585759B (en) | Efficient on-line and off-line encryption method based on SM9 public key encryption algorithm | |
| Bellini et al. | An efficient and secure RSA-like cryptosystem exploiting Rédei rational functions over conics | |
| US6480606B1 (en) | Elliptic curve encryption method and system | |
| Bunder et al. | Cryptanalysis of RSA-type cryptosystems based on Lucas sequences, Gaussian integers and elliptic curves | |
| Rososhek | Modified matrix modular cryptosystems | |
| Pandey et al. | An RNS implementation of the elliptic curve cryptography for IoT security | |
| KR101223498B1 (en) | Method for generating public key in elliptic curve cryptography and system for executing the method | |
| Mittal et al. | Novel public-key cryptosystems based on NTRU and algebraic structure of group rings | |
| JP5450240B2 (en) | Elliptic curve pairing calculation method, encryption method, decryption method, program, elliptic curve pairing calculation device, encryption device, and decryption device | |
| JP3517663B2 (en) | Encryption communication method and encryption communication system | |
| Jacobson et al. | Cryptographic aspects of real hyperelliptic curves | |
| Stogbauer | Efficient Algorithms for pairing-based cryptosystems | |
| Frey et al. | Fast bilinear maps from the Tate-Lichtenbaum pairing on hyperelliptic curves | |
| Rivera et al. | Hybrid cryptosystem using RSA, DSA, Elgamal, and AES | |
| Sarma et al. | Public key cryptosystem based on Pell's equation using the Gnu Mp library | |
| JP4502817B2 (en) | Elliptic curve scalar multiplication method and apparatus | |
| Lin et al. | The fast paillier decryption with montgomery modular multiplication based on openmp | |
| Ranasinghe et al. | Novel improvement in RSA algorithm | |
| Vaskouski et al. | Analogue of the RSA-cryptosystem in quadratic unique factorization domains |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20120301 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20130919 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20131001 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20131126 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20131217 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20131225 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5450240 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |