JP2011512556A

JP2011512556A - 楕円曲線上の多数の点を計算する装置及び方法

Info

Publication number: JP2011512556A
Application number: JP2010546340A
Authority: JP
Inventors: ジョイエ，マルク
Original assignee: Thomson Licensing SAS
Current assignee: Thomson Licensing SAS
Priority date: 2008-02-15
Filing date: 2009-02-12
Publication date: 2011-04-21
Anticipated expiration: 2029-02-12
Also published as: EP2243075A1; US8582758B2; WO2009101147A1; CN101971138A; CN101971138B; EP2090978A1; JP5553773B2; US20100310066A1; EP2243075B1

Abstract

繰り返される点加算及び点２倍算により楕円曲線上の多数の点を右から左に計算する装置及び方法に関する。それぞれの点２倍算は、射影座標の拡張されたセットで評価され、それぞれの点加算は、射影座標の拡張されたセットの制限されたセットを入力とすることで評価される。制限されたセットの一部ではない拡張されたセットの少なくとも１つの座標は、点２倍算それぞれの繰り返しの間にメモリに記憶される。これにより、従来技術のソリューションに比較して計算を高速化することができる。また、コンピュータプログラム及びコンピュータプログラムプロダクトが提供される。

Description

本発明は、暗号作成法に関し、より詳細には、楕円曲線の暗号システムの右から左へのスカラー乗算に関する。

この節は、以下に記載され、及び／又は特許請求される本発明の様々な態様に関連する様々な当該技術分野の態様を読者に導入することが意図される。この説明は、本発明の背景情報を読者に提供することに役立つものと考えられる。したがって、これらの説明は、この点に照らして読まれるべきであって、従来技術の認定として読まれるべきではない。

楕円曲線暗号（ECC）は、対応するセキュリティレベルについてRSA（Rivest Shamir Adleman）鍵よりも大幅に短い鍵の長さのために、ますます広がりつつある。しかし、短い鍵の長さは、暗号システムを選択するときに考慮すべき唯一の要素ではなく、たとえば、比較的長い待ち時間が暗号システムを使用するユーザをいらいらさせる場合があるので、計算時間が考慮されなければならない。

楕円曲線暗号が任意の状況で実際に使用される場合がある一方で、ECCはRSAに基づく暗号化よりも少ないメモリ及び計算能力を必要とするので、埋め込みシステムでの使用に特に適している。

楕円曲線暗号の基本演算は、スカラー乗算であり、楕円曲線上の点P及びスカラーｄが得た得られた場合、点Q＝ｄP（すなわち、P＋P+．．．＋P、ｄ回）を計算する必要がある。どの方向でスカラーｄがスキャンされるかに依存して、スカラー演算方法の２つの主要なファミリが存在する。光から右への（left-to-right）方法及び右から左への（right-to-left）方法である。

左から右への方法は、良好なパフォーマンスを生じるのでしばしば使用されるが、低いセキュリティレベルを与えることが知られている。

今まで、当業者は、ある程度まで、パフォーマンスとセキュリティとを選択することを強いられいる。したがって、従来技術の問題の少なくとも幾つかを克服するソリューションが必要とされる。

本発明は、２つのファミリ間のパフォーマンスにおける違いが減少するように、従来技術の右から左へのスカラー乗算を高速化するソリューションを提供するものである。

古典的な従来技術の右から左への方法に基づくスカラー乗算方法が以下に記載される。

Eを特性≠２，３のフィールドＫにわたる楕円曲線を示すとする。係る楕円曲線は、Weierstrass式E_IK：Y²＝X³＋aXZ⁴＋bZ⁶により与えることができる。

楕円曲線上の点（X，Y，Z）のセットはアベール群を形成し、この場合、無限遠にある点と呼ばれるニュートラルエレメントはO＝（1，1，0）である。射影の点（X，Y，Z）はZ=0である場合にOに対応し、さもなければアフィン点（X/Z²，Y/Z³）に対応する。なお、射影点の射影座標は、固有ではない。これは、Kにおけるそれぞれの非ゼロについて（X，Y，Z）＝（t²X，t³Y，tZ）であるからである。

古典的な従来技術の右から左へのバイナリスカラー乗算方法は、スカラーｄ≧０及びパラメータａ及びｂをもつ楕円曲線E上の点P=（X，Y，Z）を入力として取得し、点Q＝ｄPを出力する。
入力：ｄ，P＝（X，Y，Z）
出力：ｄP＝（X^*，Y^*，Z^*）。

方法:

古典的な従来技術のNAFに基づくスカラー乗算方法は、スカラーｄ≧０及びパラメータａ及びｂをもつ楕円曲線E上の点P=（X，Y，Z）を入力として取得し、点Q＝ｄPを出力する。
入力：ｄ，P＝（X，Y，Z）
出力：ｄP＝（X^*，Y^*，Z^*）。

方法:

第一の態様では、本発明は、繰り返される点加算（point addition）及び点２倍算（point doubling）により、右から左に楕円曲線上の多数の点を計算する方法に向けられる。それぞれの点２倍算は、座標の拡張されたセットで評価され、それぞれの点加算は、座標の拡張されたセットの制限されたセットを入力として取得することで評価される。

第一の好適な実施の形態では、ある点加算の出力座標は、次の点２倍算の入力座標として使用される。

第二の好適な実施の形態では、楕円曲線は、２及び３とは異なる特性によるWeierstrass式E_IK：Y²＝X³＋aXZ⁴＋bZ⁶により与えられ、a及びbは、楕円曲線の第一及び第二パラメータである。

座標T₁，T₂，T₃の値、及びT₄＝aT₃ ⁴に初期化される更なる座標T₄の値を取得し、中間の変数U＝T₁ ²，V＝T₂ ²，M＝3U＋T₄，W＝V²及びS＝2（（T₁+V）²−U−W）を計算し、T₃＝2T₂T₃，T₄＝16WT₄の新たな値を計算し、T₁＝M²−2Sの新たな値を計算し、T₂＝M（S−T₁）−8Wの新たな値を計算し、少なくとも座標T₁，T₂，T₃及びT₄の値を出力することで、点２倍算が計算されることは有利であり、ここでaは、楕円曲線の第一パラメータである。

第三の好適な実施の形態では、スカラー乗算は、スカラーのNAF（Non Adjacent Form）を使用して実行される。

第四の好適な実施の形態では、スカラー乗算は、スカラーのバイナリ表現を使用して実行される。

第五の好適な実施の形態では、点２倍算は、モディファイド・ヤコビアン座標を使用して実行され、点加算は、ヤコビアン座標を使用して実行される。

第二の態様では、本発明は、右から左に楕円曲線上の多数の点を計算する装置に向けられる。本装置は、点２倍算及び点加算のために適合されるプロセッサを有する。プロセッサは、座標の拡張されたセットを使用してそれぞれの点２倍算を評価し、座標の拡張されたセットの制限されたセットを入力として取得することでそれぞれの点加算を評価するために適合される。

第三の態様では、本発明は、プロセッサで実行されたときに、繰り返される点２倍算及び点加算により右から左に楕円曲線上の多数の点を計算する方法を実行するコンピュータプログラムに向けられ、それぞれの点２倍算は、座標の拡張されたセットで評価され、それぞれの点加算は、座標の拡張されたセットの制限されたセットを入力として取得することで評価されることを特徴とする。

第五の態様では、本発明は、プロセッサで実行されたとき、繰り返される点２倍算及び点加算により右から左に楕円曲線上の多数の点を計算する方法を実行するコンピュータプログラムを記憶するコンピュータプログラムプロダクトに向けられ、それぞれの点２倍算は、座標の拡張されたセットで評価され、それぞれの点加算は、座標の拡張されたセットの制限されたセットを入力として取得することで評価されることを特徴とする。

本発明の好適な特徴は、添付図面を参照して例示により記載される。
本発明の好適な実施の形態に係る楕円曲線上の計算の装置を例示する図である。本発明の好適な実施の形態に係る点２倍算の方法を例示する図である。

図１は、楕円曲線上の計算、特に、本発明の好適な実施の形態に係る点２倍算及びスカラー乗算を実行する装置１００を例示する。本装置１００は、以下に説明される方法の計算を実行するコンピュータプログラムを実行するために適合される少なくとも１つのプロセッサ１１０（以下「プロセッサ」）を有する。本装置１００は、プロセッサ１１０からの中間の計算結果のようなデータを記憶するために適合されるメモリ１２０を更に有する。また、本装置１００は、他の装置（図示せず）とのインタラクション用の少なくとも１つのインタフェース１３０（以下「インタフェース」）を有する。図１は、たとえばCD-ROMのような、プロセッサ１１０により実行されたとき、本発明の方法の好適な実施の形態に係るスカラー乗算を実行するコンピュータプログラムを記憶するコンピュータプログラムプロダクト１４０を例示する。

本発明の主要な考えは、右から左へのスカラー乗算方法において、正規の点２倍算の演算に関わる値をキャッシュに格納するために使用される更なる座標T₄を使用することである。繰り返しの間、更なる座標T₄は、メモリ１２０に記憶される。従来技術の方法のステップ３.ｃにおける２倍算が繰り返し実行され、この方法における他の何処かで変更されないので、キャシングは、この方法を高速化するのを可能にするが、これは、余分のメモリ空間の使用を擬制にして達成される。本発明は、速度、すなわち実行される演算（特に乗算）の数とリソース（特にメモリ）の使用との間の良好なトレードオフを発見することを意図する。

図２は、本発明の好適な実施の形態に係る点２倍算の方法を例示する。本方法は、従来技術の方法における２倍算のステップ３.ｃを有利に置き換える。本方法への入力は、値T₁，T₂，T₃及びT₄であり、この場合、T₄は、本方法の最初の繰り返しにおいてaT₃ ⁴として初期化される。次いで、多数の有効な中間の変数U＝T₁ ²；V＝T₂ ²；M＝3U＋T₄；W＝V²及びS＝2（（T₁+V）²−U−W）は、ステップ２１０で定義される。

次いで、ステップ２２０で、T₃，T₄の新たな値T₃＝2T₂T₃；T₄＝16WT₄が計算される。

T₄の値は、既に言及されたように、次の繰り返しで必要とされるまで、メモリに記憶される。

ステップ２３０で、T₁の新たな値T₁＝M²−2Sが計算される。

最後に、ステップ２４０で、変数T₂の残りの新たな値T₂＝M（S−T₁）−8Wが計算される。

なお、４つの出力変数は、２倍にされた点を表し、スカラー乗算方法における他のステップにおける更なる計算のためにステップ２５０で出力される場合がある。必要であれば、ステップ２１０〜２５０は、スカラー乗算方法の更なる繰り返しについて繰り返される。この値は点２倍算のためにのみ使用されるので、T₄の値を出力することは必ずしも必要ではないことを理解されたい。その値は、点２倍算の次の繰り返しまでメモリに記憶される。

本発明の方法の利点は、特に計算速度に関して言えば、改善されたパフォーマンスを可能にすることである。

表１は、様々なシステムの点２倍算のコストを与え、表２は、点加算のコストを与える。これらの表は、D.J.Bernstein及びT.Langeによる“Faster addition and doubling on elliptic curves” In:Advances in Cryptography-ASIACRYPT 2007, LNCS, pp.29-50, Springer-Verlag, 2007に基づくものである。M, S, cは、それぞれ「乗算」、「二乗」及び「定数倍」を意味する。２つの最後の列は、（α，β）＝（１，１）及び（α，β）＝（0.8，0）についてS＝αM及びｃ＝βMのときの乗算の数を与える。

最良の全体のパフォーマンスは、点の表現についてヤコビアンの射影座標を使用したときに得られることがわかる。/をｄのビットレングスを示すとする。この場合、Q＝ｄPが古典的なNAFに基づく右から左へのバイナリスカラー乗算方法で評価された場合、期待される演算の数は、約/（1M＋8S＋1c）＋//3（11M＋5S）であり、これは、S＝c＝Mの場合、15.3/Mである。

しかし、本発明に係る方法は、あるタイプの座標を使用して点を加え、別のタイプの座標を使用して点を２倍にする場合がある。たとえば、点加算は、ヤコビアン座標を使用して行われ、点２倍算は、モディファイドヤコビアン座標を使用して行われる。これは、左から右へのスカラー乗算方法によっては非能率的であるか、不可能である。全てのこれらの方法は、共通して、繰り返し２倍にされるアキュムレータであって、入力ポイント又はその乗算が繰り返し加算されるアキュムレータを使用する。これは、点２倍算及び点加算のルーチンの出力の表現が同じである必要があること、すなわちアキュムレータの座標系が同じである必要があることを意味する。

したがって、本発明に係る方法のコストは、約/（3M＋5S）＋//3（11M＋5S）であり、これは、S＝c＝Mという仮定の下で13.3/Mに等しい。したがって、ゲインは、13.3％のスピードアップファクタである。

更なる一時的な変数の使用により更なるメモリの要求を犠牲にして古典的な方法を高速化することが可能であるが、本発明に係る方法は、更に迅速である。高速化された古典的な方法は、14.3/Mに等しい約/（3M＋5S）＋//3（11M＋7S＋1c）でQ＝ｄPを評価するので、更に迅速である。したがって、本発明に係る方法は、更に高速である。

楕円曲線に関するスカラー乗算は、ある点の逆を容易に推定することができ、更なるメモリの要求を必要としないので、NAF（Non Adjacent Form）で表現されるスカラーｄで実行される。NAFは右から左に計算されるため、本発明の好適な実施の形態に係る方法を含めて、右から左へのスカラー乗算において、はじめにこれを計算し、次いで左から右へのスカラー乗算方法において行われたようなスカラー乗算を評価する必要がない。表現は、前もってNAF表現を計算及び記憶する必要なしに、オンザフライで計算される。

無限遠での点は、特別な取り扱いを必要とする場合がある。左から右への方法について、これは、先行ゼロがスキップされるべきであることを意味する。スカラーｄは右から左に処理されるので、本発明の好適な実施の形態に係る方法を含めて、右から左へのスカラー乗算により係る複雑さはない。

本発明に係る方法の別の利点は、曲線パラメータが２倍算に関与しないことである。これにより、ハードウェアの実装にとって特に有効である、本方法のハードコーディングを可能にする。

左から右へのスカラー乗算方法とは対照的に、本発明の好適な実施の形態の１つを含む右から左へのスカラー乗算方法は、２倍算のアタックに耐性がある。これらのアタックは、２つのパワー曲線から、秘密情報が十分に回復される場合があるので、非常にパワフルである。

さらに、本発明の方法は、様々なランダム化技術と組み合わせることができる。特に、古典的なDPA対抗手段（すなわち、ランダム化されたポイント表現又はランダム化された同型の曲線表現）を使用して、効率のペナルティが存在しない。

上記説明で開示されたそれぞれの特徴及び（必要であれば）特許請求の範囲及び図面は、独立に提供されるか又は適切な組み合わせで提供される場合がある。ハードウェアで実現されるように記載される特徴は、ソフトウェアで実現される場合もあり、逆に、ソフトウェアで実現されるように記載される特徴は、ハードウェアで実現される場合もある。コネクションは、適用される場合、無線通信又は有線通信として実現される場合があり、必ずしも、ダイレクト又は専用のコネクションである必要はない。

Claims

繰り返される点加算及び点２倍算により楕円曲線上の多数の点を右から左に計算する方法であって、
前記点２倍算は、射影座標の拡張されたセットで評価され、それぞれの点加算は、射影座標の拡張されたセットの制限されたセットを入力とすることで評価され、
当該方法は、次の点２倍算まで、前記制限されたセットの一部ではない拡張されたセットの少なくとも１つの座標をメモリに記憶するステップを更に含む、
ことを特徴とする方法。
前記点２倍算の出力座標は、前記次の点２倍算の入力座標として使用される、
請求項１記載の方法。
前記楕円曲線は、２及び３とは異なる特性によるWeierstrass式 E_IK：Y²＝X³＋aXZ⁴＋bZ⁶により与えられ、a及びbは、前記楕円曲線の第一のパラメータ及び第二のパラメータである、
請求項１又は２記載の方法。
前記点２倍算は、
座標T₁，T₂，T₃の値、及びT₄＝aT₃ ⁴に初期化される更なる座標T₄の値を取得するステップと、前記aは、楕円曲線の第一パラメータであり、
中間の変数U＝T₁ ²，V＝T₂ ²，M＝3U＋T₄，W＝V²及びS＝2（（T₁+V）²−U−W）を計算するステップと、
T₃，T₄の新たな値T₃＝2T₂T₃，T₄＝16WT₄を計算するステップと、
T₁の新たな値T₁＝M²−2Sを計算するステップと、
T₂の新たな値T₂＝M（S−T₁）−8Wを計算するステップと、
少なくとも座標T₁，T₂，T₃及びT₄の値を出力するステップと、
を実行することで計算される請求項３記載の方法。
前記スカラー乗算は、スカラーの非隣接形式（Non Adjacent Form）を使用して実行される、
請求項１乃至３の何れか記載の方法。
前記スカラー乗算は、スカラーのバイナリ表現を使用して実行される、
請求項１乃至３の何れか記載の方法。
前記点２倍算は、モディファイドヤコビアン座標を使用して実行され、前記点加算は、ヤコビアン座標を使用して実行される、
請求項１乃至６の何れか記載の方法。
楕円曲線上の多数の点を右から左に計算する装置であって、
当該装置は、点２倍算及び点加算を行うために適合されるプロセッサを有し、
前記プロセッサは、射影座標の拡張されたセットを使用してそれぞれの点２倍算を評価し、射影座標の拡張されたセットの制限されたセットを入力としてそれぞれの点加算を評価し、
当該装置は、次の点２倍算まで、前記制限されたセットの一部ではない拡張されたセットの少なくとも１つの座標を記憶するメモリを更に有する、
ことを特徴とする装置。
プロセッサで実行されたとき、繰り返される点加算及び点２倍算により楕円曲線上の多数の点を右から左に計算する方法を実行するコンピュータプログラムであって、
それぞれの点２倍算は、射影座標の拡張されたセットで評価され、それぞれの点加算は、射影座標の拡張されたセットの制限されたセットを入力とすることで評価され、
前記方法は、次の点２倍算まで、前記制限されたセットの一部ではない拡張されたセットの少なくとも１つの座標をメモリに記憶するステップを更に含む、
ことを特徴とするコンピュータプログラム。
プロセッサで実行されたとき、繰り返される点加算及び点２倍算により楕円曲線上の多数の点を右から左に計算する方法を実行するコンピュータプログラムを記憶するコンピュータプログラムプロダクトであって、
それぞれの点２倍算は、射影座標の拡張されたセットで評価され、それぞれの点加算は、射影座標の拡張されたセットの制限されたセットを入力とすることで評価され、
前記方法は、次の点２倍算まで、前記制限されたセットの一部ではない拡張されたセットの少なくとも１つの座標をメモリに記憶するステップを更に含む、
ことを特徴とするコンピュータプログラムプロダクト。