JP2012185517A - 同時スカラー乗算方法 - Google Patents

同時スカラー乗算方法 Download PDF

Info

Publication number
JP2012185517A
JP2012185517A JP2012122076A JP2012122076A JP2012185517A JP 2012185517 A JP2012185517 A JP 2012185517A JP 2012122076 A JP2012122076 A JP 2012122076A JP 2012122076 A JP2012122076 A JP 2012122076A JP 2012185517 A JP2012185517 A JP 2012185517A
Authority
JP
Japan
Prior art keywords
pair
bit
scalar
bits
multiplication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2012122076A
Other languages
English (en)
Other versions
JP2012185517A5 (ja
Inventor
Antipa Adrian
アンティパ エイドリアン
Poliahu Yuri
ポーレフ ユーリ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Certicom Corp
Original Assignee
Certicom Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Certicom Corp filed Critical Certicom Corp
Publication of JP2012185517A publication Critical patent/JP2012185517A/ja
Publication of JP2012185517A5 publication Critical patent/JP2012185517A5/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/724—Finite field arithmetic
    • G06F7/725—Finite field arithmetic over elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/20—Manipulating the length of blocks of bits, e.g. padding or block truncation

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Computational Mathematics (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Algebra (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Complex Calculations (AREA)
  • Compression, Expansion, Code Conversion, And Decoders (AREA)
  • Executing Machine-Instructions (AREA)
  • Catalysts (AREA)
  • Exhaust Gas Treatment By Means Of Catalyst (AREA)

Abstract

【課題】モンゴメリ法での特別な用法である同時点乗算の方法を提供する。
【解決手段】例えば、ｋＰ＋ｓＱを組み合わせるためにモンゴメリ法を用いて、楕円曲線スキームで重複点（例えばｋＰ及びｓＱ）を別々に計算するに当たり、ｋＰ及びｓＱの個別の計算において、同時に行うことができるはずの演算が数回繰り返される。そこで、倍加及び加算演算の総数を減らし、これにより、重複スカラー乗算の方法の効率を良くする、同時スカラー乗算法を提供する。ＰとＱの対の元を１つの対に組み合わせ、ｋ及びｓのビットを、ビット対として各ステップにて評価する。ｋ及びｓのビットが等しい場合には、１回の倍加演算と１回の加算演算のみを必要として現在の対を計算し、ｋ及びｓのビットが等しくない場合は、１回の倍加演算と２回の加算演算のみを必要とする。
【選択図】図３

Description

本発明は、概して暗号法の分野に関するものであり、そのための楕円曲線暗号及びスカ
ラー乗算法における特別な有用性を有する。
楕円曲線算法で、点乗算（ｐｏｉｎｔ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ）とは、整数に
楕円曲線上の或る点を掛ける演算のことである。この点乗算が楕円曲線暗号スキームの実
行時間の大半を占めることは周知である。
値ｋＰを計算するために点乗算を行う１つの方法に、モンゴメリ法があり、ｋは整数、
Ｐは楕円曲線Ｅ上の或る点である。モンゴメリ法の１つの実装では、整数値ｋは、基数を
２とする一連のバイナリビットで表される。モンゴメリのスカラー乗算は、対（ｍＰ，（
ｍ＋１）Ｐ）で始まるシーケンス及びｋのビットを用いてｋＰを計算する。係数ｍは、前
の対の第１項における、Ｐの係数を表す任意の整数である。このシーケンスで、各対は、
前の対の一方の成分を２倍にし、且つ両成分を加算することによって得られる。ここで、
これら演算の順序は、ｋのビット値に依存する。演算のシーケンスは開始対から始まり、
最上位ビットを除く、ｋの各ビットごとに新規の対を計算する。全ての対にとって、第２
の成分は第１の成分とはＰだけ異なるようになっている。このことは、点倍加及び点加算
により効率的な方法を用いることを可能にする。
実際上、演算シーケンスは対（Ｐ，２Ｐ）で開始し、ここに、Ｐは第１項、２Ｐは第２
項であり、従ってｍ＝１である。整数ｋの最上位ビットは破棄され、ｋの２番目の上位ビ
ットから最下位ビットへと進み、次の対は以下のように計算される。
各ステップに対し、ｋの現在のビットがゼロ（０）の場合（例えば、２番目のステップ
に対し、ｋの２番目の上位ビットがゼロの場合）、現在の第１項は前の第１項の２倍とし
、現在の第２項は前の第１と第２項の和とする。しかし、ｋの現在のビットが１の場合に
は、現在の第１項は前の第１と第２項の和とし、現在の第２項は前の第２項の２倍とする
。
例えば、対（ｍＰ，（ｍ＋１）Ｐ）で開始し、ｋの現在のビットが０の場合、次のステ
ップでは、現在の対は（２＊ｍＰ，ｍＰ＋（ｍ＋１）Ｐ）＝（２ｍＰ，（２ｍ＋１）Ｐ）
となる。一方、ｋの現在のビットが１の場合には、現在の対は（ｍＰ＋（ｍ＋１）Ｐ，２
＊（ｍ＋１）Ｐ）＝（（２ｍ＋１）Ｐ，（２ｍ＋２）Ｐ）となる。これから明らかなよう
に、各ステップは、倍加演算及び加算演算を含む。演算シーケンスは、ｋの最終ビットま
で各ビットに対して継続し、その時点（ｋの最後のビットの時点）で、現在の対の第１項
（例えば、計算した最後の対の第１項）が、ｋＰに対する所望の値を含むようになる。
モンゴメリ法の一例を、図１に示してある。図１に示す例では、ｋ＝４５＝１０１１０
１２である。演算シーケンスは対（Ｐ，２Ｐ）で開始し、ステップｉ＝５〜ｉ＝０の間に
、ｋの現在のビットに対する新規の対を計算する。
上述した一般的なやり方を説明するために、ステップｉ＝３を参照するに、ここで、ｋ
の現在のビットは１であり、前の対（すなわちｉ＝４からの対）は（２Ｐ，３Ｐ）である
。現在のビットが１なので、図１の表のステップｉ＝３に示すように、現在の第１項は２
Ｐ＋３Ｐ＝５Ｐと計算される。現在の第２項は、同様に表に示すように、２＊３Ｐ＝６Ｐ
と計算される。これらの項の他の計算方法はｍの値に基づき、このステップに対するｍの
値は２である（すなわち、ステップｉ＝４におけるＰの係数は２である）。従って、現在
の第１項は（２＊２＋１）Ｐ＝５Ｐと計算され、現在の第２項は（２＊２＋２）Ｐ＝６Ｐ
と計算される。ステップｉ＝０では、ｋ＝４５から予想されるように、値４５Ｐは所望値
ｋｐに相当する。
楕円曲線ディジタル署名アルゴリズム（ＥＣＤＳＡ）の検証のような、ある楕円曲線暗
号演算では、ｋＰ＋ｓＱを求めるためにスカラー乗算の組み合わせを計算する。ここでＱ
は、楕円曲線Ｅ上の他の点であり、ｓは他のスカラーである。ｋＰ＋ｓＱを求めるために
モンゴメリ法を用いることができるが、各スカラー乗算は、別々に行うことになり、この
場合に得られる２つの値、すなわちｋＰ及びｓＱは、同時乗算(ｓｉｍｕｌｔａｎｅｏｕ
ｓ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ)ｋＰ＋ｓＱを求めるために、互いに加算することにな
る。従って、ｋＰ＋ｓＱを求めるためには、ｋ及びｓ双方の各ビットに対して、個別に倍
加演算と加算演算を必要とする。
スカラー乗算は、楕円曲線暗号スキームの実行時間の大半を占めることになるから、上
述したように検証ステップにモンゴメリ法を用いることは、典型的な用途にとっては、非
効率的であると見なされる。
従って、本発明の目的は、上述の不利な点の少なくとも１つを取り除くか又は軽減する
ことにある。
モンゴメリ法での特別な用法である同時点乗算（ｓｉｍｕｌｔａｎｅｏｕｓ ｐｏｉｎ
ｔ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ）の方法を提供する。この方法は、各々の点乗算に対
して個別にモンゴメリ法を用いる場合と比較して、倍加演算の回数を減少させ、場合によ
っては加算演算の回数を減少させる。
本発明の一形態では、第１のスカラーｋに楕円曲線Ｅ上の第１の点Ｐを掛ける第１の乗
算と、第２のスカラーｓに楕円曲線Ｅ上の第２の点Ｑを掛ける第２の乗算とを同時に行う
方法を提供する。当該方法は、ｔは前記スカラーのビットの総数を表し、ｉは前記第１及
び第２スカラーにおける評価する現在のビットを表すものとして、ｔ個のビット対（ｋｉ
，ｓｉ）に対して、前記各ビット対（ｋｉ，ｓｉ）に示す値に従って、前記第１及び第２
の乗算にて少なくとも１回の繰り返し演算を同時に行って、前記乗算の各ステップでの数
学演算の回数を減らすようにする、同時スカラー乗算方法である。
他の形態では、第１のスカラーｋに楕円曲線Ｅ上の第１の点Ｐを掛ける第１の乗算と、
第２のスカラーｓに楕円曲線Ｅ上の第２の点Ｑを掛ける第２の乗算とを同時に行う方法で
あって、前記第１及び第２のスカラーは異なるビット長であり：各スカラーがｔビットか
ら成るように、前記第１及び第２のスカラーの短い方のスカラーをｖ個のゼロでパディン
グするステップであって、ｔは最大ビット長のビット総数を表すものとするステップと、
前記第１のスカラーｋ及び前記第２のスカラーｓの最上位ビットをそれぞれ破棄するステ
ップと、ｉは前記第１及び第２のスカラーにおける評価する現在のビットを表すものとし
て、破棄されていないパディングしたゼロを含む、ｖ−１個のビット対（ｋｉ，ｓｉ）に
対して、前記第１及び第２のスカラーの長い方のスカラーに対しモンゴメリ法を行うステ
ップと、残りのｔ−ｖ−１個のビット対（ｋｉ，ｓｉ）に対して、前記ビット対（ｋｉ，
ｓｉ）に示される値に従って、前記第１及び第２の乗算にて少なくとも１回の繰り返し演
算を同時に行って、前記乗算の各ステップでの数学演算の回数を減らすステップと、を含
むようにする。
例えば、本発明は、以下の項目を提供する。
（項目１）
楕円曲線暗号方式にて、第１のスカラーｋに楕円曲線Ｅ上の第１の点Ｐを掛ける第１の
乗算と、第２のスカラーｓに楕円曲線Ｅ上の第２の点Ｑを掛ける第２の乗算とを同時に行
う方法であって、ｔは前記スカラーのビットの総数を表し、ｉは前記第１及び第２スカラ
ーにおける評価する現在のビットを表すものとして、ｔ個のビット対（ｋ ｉ ，ｓ ｉ ）に対
して、前記各ビット対（ｋ ｉ ，ｓ ｉ ）に示される値に従って、前記第１及び第２の乗算に
て少なくとも１回の繰り返し演算を同時に行って、前記乗算の各ステップでの数学演算の
回数を減らすようにする、同時スカラー乗算方法。
（項目２）
前記第１スカラーｋの最上位ビットを破棄することと、前記第２スカラーｓの最上位ビ
ットを破棄することを更に含む、項目１に記載の方法。
（項目３）
前記第１及び第２乗算は、計算対［ｍＰ＋ｎＱ，（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ］によっ
て各ステップにて同時に表され、ここで、ｍは前の計算対の前記第１の点Ｐの係数を表し
、ｎは前の計算対の前記第２の点Ｑの係数を表し、各対に対し、第２の成分は第１の成分
とは（Ｐ＋Ｑ）だけ異なるようにする、項目１に記載の方法。
（項目４）
前記ビット対（ｋ ｉ ，ｓ ｉ ）が（０，０）のとき、次の計算対は［２ｍＰ＋２ｎＱ，（
２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ］となる、項目３に記載の方法。
（項目５）
前記ビット対（ｋ ｉ ，ｓ ｉ ）が（１，１）のとき、次の計算対は［（２ｍ＋１）Ｐ＋（
２ｎ＋１）Ｑ，（２ｍ＋２）Ｐ＋（２ｎ＋２）Ｑ］となる、項目３に記載の方法。
（項目６）
前記ビット対（ｋ ｉ ，ｓ ｉ ）が（０，１）のとき、次の計算対は［２ｍＰ＋２ｎＱ＋Ｑ
，（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ＋Ｑ］となる、項目３に記載の方法。
（項目７）
前記ビット対（ｋ ｉ ，ｓ ｉ ）が（１，０）のとき、次の計算対は［２ｍＰ＋２ｎＱ＋Ｐ
，（２ｍ＋１）Ｐ＋Ｐ＋（２ｎ＋１）Ｑ］となる、項目３に記載の方法。
（項目８）
項目１による同時点乗算を行うための暗号モジュール。
（項目９）
楕円曲線暗号方式にて、第１のスカラーｋに楕円曲線Ｅ上の第１の点Ｐを掛ける第１の
乗算と、第２のスカラーｓに楕円曲線Ｅ上の第２の点Ｑを掛ける第２の乗算とを同時に行
う方法であって、前記第１及び第２のスカラーは異なるビット長であり：
― 各スカラーがｔビットから成るように、前記第１及び第２のスカラーの短い方のスカ
ラーをｖ個のゼロでパディングするステップであって、ｔは最大ビット長のビット総数を
表すものとするステップと、
― 前記第１のスカラーｋ及び前記第２のスカラーｓの最上位ビットをそれぞれ破棄する
ステップと、
― ｉは前記第１及び第２のスカラーにおける評価する現在のビットを表すものとして、
破棄されていないパディングしたゼロを含む、ｖ−１個のビット対（ｋ ｉ ，ｓ ｉ ）に対し
て、前記第１及び第２のスカラーの長い方のスカラーに対しモンゴメリ法を行うステップ
と、
― 残りのｔ−ｖ−１個のビット対（ｋ ｉ ，ｓ ｉ ）に対して、前記ビット対（ｋ ｉ ，ｓ ｉ
）に示される値に従って、前記第１及び第２の乗算にて少なくとも１回の繰り返し演算を
同時に行って、前記乗算の各ステップでの数学演算の回数を減らすステップと、
を含む、同時スカラー乗算方法。
（項目１０）
前記ｔ−ｖ−１個のビット対に対して、前記第１及び第２乗算は、計算対［ｍＰ＋ｎＱ
，（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ］によって各ステップにて同時に表され、ここで、ｍは前
の計算対の、前記第１の点Ｐの係数を表し、ｎは前の計算対の、前記第２の点Ｑの係数を
表し、各対に対して、第２の成分は第１の成分とは（Ｐ＋Ｑ）だけ異なるようにする、請
求項９に記載の方法。
（項目１１）
前記ｔ−ｖ−１個のビット対に対して、前記ビット対（ｋ ｉ ，ｓ ｉ ）が（０，０）のと
き、次の計算対は［２ｍＰ＋２ｎＱ，（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ］となる、項目
１０に記載の方法。
（項目１２）
前記ｔ−ｖ−１個のビット対に対して、前記ビット対（ｋ ｉ ，ｓ ｉ ）が（１，１）のと
き、次の計算対は［（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ，（２ｍ＋２）Ｐ＋（２ｎ＋２）Ｑ
］となる、項目１０に記載の方法。
（項目１３）
前記ｔ−ｖ−１個のビット対に対して、前記ビット対（ｋ ｉ ，ｓ ｉ ）が（０，１）のと
き、次の計算対は［２ｍＰ＋２ｎＱ＋Ｑ，（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ＋Ｑ］となる
、項目１０に記載の方法。
（項目１４）
前記ｔ−ｖ−１個のビット対に対して、前記ビット対（ｋ ｉ ，ｓ ｉ ）が（１，０）のと
き、次の計算対は［２ｍＰ＋２ｎＱ＋Ｐ，（２ｍ＋１）Ｐ＋Ｐ＋（２ｎ＋１）Ｑ］となる
、項目１０に記載の方法。
（項目１５）
項目９による同時点乗算を行うための暗号モジュール。
スカラー乗算のためのモンゴメリ方法の実装を示す表である。 暗号通信システムを示す図である。 同時スカラー乗算法の実施例を示す表である。 図３に示した同時スカラー乗算法の他の実施例を示す表である。
添付の図面を参照して、本発明の実施例を説明する。
図２には、暗号通信システムを１０で総称して示してある。当該システム１０は、通信
路１６を介して相互に通信することができる、第１のコレスポンデント１２及び第２のコ
レスポンデント１４を備えている。通信路１６は（セキュリティ上）安全か、又は安全で
ないかもしれない。各コレスポンデントは、暗号演算を行うための暗号モジュール１８及
び２０を各々備えている。
好ましくは各暗号モジュール１８及び２０は、１以上の整数と、フィールドＦｑにわた
って規定される楕円曲線Ｅ上の１つ以上の点との点乗算のような、楕円曲線暗号演算を行
うことができるようにする。このような暗号演算は、例えば、ＥＣＤＳＡ法及び、このた
めに行う複数のステップを含む。ここに記載する実施例は、特に、組み合わせｋＰ＋ｓＱ
を計算し、Ｐ及びＱに対して予め計算したテーブルを利用できない場合の、ＥＣＤＳＡの
検証に適している。
当然のことながら、ここで記載する実施例は、重複点（ｍｕｌｔｉｐｌｅ ｐｏｉｎｔ
）乗算を含む他の暗号演算にも用いることができ、ここで記載するような、ＥＣＤＳＡの
検証のための組み合わせｋＰ＋ｓＱを計算することに限定すべきではない。
本出願人は、モンゴメリ法を用いてｋＰとｓＱを別々に計算する場合に、ｋＰ及びｓＱ
の計算における幾つかの演算が繰り返され、これは単一演算で実行可能であることを発見
した。以下に、倍加演算及び加算演算の総数を減らし、これにより、重複スカラー（ｍｕ
ｌｔｉｐｌｅ ｓｃａｌａｒ）乗算のための効率的な方法を提供する、同時スカラー乗算
法について述べる。
現在の同時スカラー乗算法では、ｋＰ及びｓＱを計算するのに用いる対を組み合わせて
、単一の計算対、即ち、（ｍＰ＋ｎＱ，（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ）を生成する。従っ
て、ｍ＝ｎ＝１では、開始対は（Ｐ＋Ｑ，２（Ｐ＋Ｑ））となり、ｋ及びｓの最上位ビッ
トは破棄される。この方法における全ての対にとって、第２成分は第１成分とはＰ＋Ｑだ
け異なるようになっている。このことは、点倍加及び点加算に、より効率的な式を用いる
ことを可能にする。
本実施例では、整数ｋ及びｓを、一連のバイナリビットで表わす。従って、同時スカラ
ー乗算法の各ステップでは、ｋからの１ビットと、ｓからの１ビットとのビット対（ｋｉ
，ｓｉ）を参照する。各ステップで２ビットを参照し、且つそのために各ビットがバイナ
リ表現を有する場合、この例で可能なビット対は、（０，０）、（１，１）、（０，１）
、（１，０）である。一般に、各スカラーにはｔビットあり、評価は、ｉ＝ｔ−１からｉ
＝０まで進められ、例えば、ここでｋｔは最上位ビットであり、ｋ０は最下位ビットであ
る。
ビットの対が（０，０）、（１，１）である場合には、ｋ及びｓに対して同様な演算を
行うのだから、1回の倍加演算をＰ及びＱの双方で同時に行い、前の対の両項を１回加算
することができる。従って、Ｐ及びＱの計算には、１回の倍加演算と１回の加算を必要と
するだけであるので、ビットの対が（０，０）、（１，１）である場合の、ｋＰ＋ｓＱの
本例の同時スカラー乗算は、半分の倍加演算と半分の加算を必要とするだけである。
ビット対が（０，０）の場合、Ｐ及びＱに対する現在の第１項の各々は、前の第１項の
倍加演算を必要とし、第２項の各々は、前の第１項と第２項との和となる。従って、対（
ｍＰ＋ｎＱ，（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ）で開始すると、ｋ及びｓ双方の現在のビット
がゼロ（０）の場合、次の対は、（２＊（ｍＰ＋ｎＱ），ｍＰ＋ｎＱ＋（ｍ＋１）Ｐ＋（
ｎ＋１）Ｑ）となり、これは簡約すると次のようになる。
ケース１（０，０）：（２ｍＰ＋２ｎＱ，（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ）；
ここでｍ及びｎは、前のステップにおけるＰ及びＱの各々の係数である。
ビット対が（１，１）の場合、Ｐ及びＱに対する現在の第１項の各々は、前の第１項と
第２項との和となり、第２項の各々は、前の第２項を２倍したものを必要とする。従って
、対（ｍＰ＋ｎＱ，（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ）で開始すると、ｋ及びｓ双方の現在の
ビットが（１）の場合、次の対は、（ｍＰ＋ｎＱ＋（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ，２＊（
（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ））となり、これは簡約すると、次のようになる。
ケース２（１，１）：（（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ，（２ｍ＋２）Ｐ＋（２ｎ＋
２）Ｑ）；
ここでｍ及びｎは、前のステップにおけるＰ及びＱの各々の係数である。
従って、ｋとｓのビットが同じ場合には、ｋＰ＋ｓＱを計算するシーケンスにおいて現
在のステップを計算するのに半分の演算で済むことになり、これにより、重複点スカラー
乗算の計算効率が増大する。
ビット対が（０，１）及び（１，０）の場合、ｋＰ及びｓＱには異なる演算を必要とす
るが、特に、繰り返される倍加演算では、所定の繰り返しを避けることができる。ビット
対が（０，１）及び（１，０）の場合に、ｋＰ＋ｓＱの本例の同時スカラー乗算は半分の
倍加演算を必要とするだけであり、従って、総合演算のうち４分の３の演算回数で済む。
ビット対が（０，１）の場合、Ｐ及びＱに対する現在の第１項は、倍加及び加算演算を
それぞれ必要とし、Ｐ及びＱに対する現在の第２項は、その逆を必要とする。Ｐ及びＱの
双方を同時に適合させるために、本出願人は、現在の第１項は、前の第１項を２倍し、Ｑ
を加えることによって計算することができ、現在の第２項は、（Ｐ＋Ｑ）を現在の第１項
に加えることによって計算することができ、これにより、１回の倍加と２回の加算を必要
とするだけで済むことを発見した。従って、対（ｍＰ＋ｎＱ，（ｍ＋１）Ｐ＋（ｎ＋１）
Ｑ）で開始すると、（ｋの現在のビットがゼロ（０）で、ｓの現在のビットが（１）の場
合の）次の対は、（２＊（ｍＰ＋ｎＱ）＋Ｑ，２＊（ｍＰ＋ｎＱ）＋Ｑ＋（Ｐ＋Ｑ））と
なり、これは簡約すると、次のようになる。
ケース３（０，１）：（２ｍＰ＋２ｎＱ＋Ｑ，（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ＋Ｑ）
；
ここでｍ及びｎは、前のステップにおけるＰ及びＱの各々の係数である。
ビット対が（１，０）の場合、Ｐ及びＱに対する現在の第１項は、加算及び倍加演算を
それぞれ必要とし、Ｐ及びＱに対する現在の第２項には、その逆を必要とする。ＰとＱの
双方を同時に適合させるために、本出願人は、現在の第１項は、前の第１項を２倍し、Ｐ
を加えることによって計算することができ、現在の第２項は、（Ｐ＋Ｑ）を現在の第１項
に加えることによって計算することができ、これにより、１回の倍加と２回の加算を必要
とするだけで済むことを発見した。従って、対（ｍＰ＋ｎＱ，（ｍ＋１）Ｐ＋（ｎ＋１）
Ｑ）で開始すると、（ｋの現在のビットが（１）で、ｓの現在のビットがゼロ（０）の場
合の）次の対は、（２＊（ｍＰ＋ｎＱ）＋Ｐ，２＊（ｍＰ＋ｎＱ）＋Ｐ＋（Ｐ＋Ｑ））と
なり、これは簡約すると、次のようになる。
ケース４（１，０）：（２ｍＰ＋２ｎＱ＋Ｐ，（２ｍ＋１）Ｐ＋Ｐ＋（２ｎ＋１）Ｑ）
；
ここでｍ及びｎは、前のステップにおけるＰ及びＱの各々の係数である。
従って、ｋ及びｓのビットが異なる場合に、ｋＰ＋ｓＱを計算するシーケンスにおいて
現在のステップを計算するのに、４分の３の演算で済むことになる。これにより、重複点
スカラー乗算の計算効率が増大する。
演算シーケンスは、（上記のどのケースを必要とするかを評価する）各ビット対に対し
て、ｋ及びｓの最下位ビットまで続き、その時点（ｋ及びｓの最小ビットになった時点）
で、現在の対（例えば最後に計算した対）が、その対の第１項として所望値ｋＰ＋ｓＱを
含むようになる。
上述した実施例の一例を、図３に示してある。図３に示した例では、ｋ＝４５＝１０１
１０１２、ｓ＝５４＝１１０１１０２とし、ｋ及びｓのビット長は同じで、ｔ＝６として
ある。シーケンスは、対（Ｐ＋Ｑ，２Ｐ＋２Ｑ）で開始し、ステップｉ＝５からステップ
ｉ＝０までの間に、現在のビットに対する新たな対を以下のように計算する。
ｋの最上位ビット及びｓの最上位ビットは破棄し、最初の計算はステップｉ＝４で開始
する。このステップでは、ｋの現在のビットはゼロ（０）であり、ｓの現在のビットは（
１）であり、前の対（すなわち開始時の対）は（Ｐ＋Ｑ，２Ｐ＋２Ｑ）である。現在のビ
ット対は（０，１）なので、現在の第１項は、前の第１項を２倍して、Ｑを加えることに
より計算され、すなわち、図３の表のステップｉ＝４に示すように、２＊Ｐ＋２＊Ｑ＋Ｑ
＝２Ｐ＋３Ｑとなる。現在の第２項は、現在の第１項に（Ｐ＋Ｑ）を加えることにより計
算され、すなわち、同じく表に示すように、２Ｐ＋３Ｑ＋（Ｐ＋Ｑ）＝３Ｐ＋４Ｑとなる
。それぞれの項を計算するための他の方法は、ｍ及びｎの値に基づき、このステップでは
それぞれ１に等しい（すなわち、ステップｉ＝５におけるＰ及びＱの係数）。従って、現
在の第１項は２＊１Ｐ＋２＊１Ｑ＋Ｑ＝２Ｐ＋３Ｑと計算され、現在の第２項は、上記で
計算したように、（２＊１＋１）Ｐ＋（２＊１＋１）Ｑ＋Ｑ＝３Ｐ＋４Ｑと計算される。
ステップｉ＝３では、ｋの現在のビットは（１）、ｓの現在のビットは（０）、前の対
は（２Ｐ＋３Ｑ，３Ｐ＋４Ｑ）である。現在のビット対は（１，０）なので、現在の第１
項は、前の第１項を２倍してＰを加えることにより計算され、すなわち、図３の表のステ
ップｉ＝３に示すように、２＊２Ｐ＋２＊３Ｑ＋Ｐ＝５Ｐ＋６Ｑとなる。現在の第２項は
、現在の第１項に（Ｐ＋Ｑ）を加えることにより計算され、すなわち、同じく表に示すよ
うに、５Ｐ＋６Ｑ＋（Ｐ＋Ｑ）＝６Ｐ＋７Ｑとなる。当然のことながら、当該対は、上述
したようにｍ及びｎの値に基づいて計算することもできる。
ステップｉ＝２では、ｋの現在のビットは（１）、ｓの現在のビットは（１）、前の対
は（５Ｐ＋６Ｑ，６Ｐ＋７Ｑ）である。現在のビット対は（１，１）なので、現在の第１
項は、前の両項の和として計算され、すなわち、図３の表のステップｉ＝２に示すように
、５Ｐ＋６Ｐ＋６Ｑ＋７Ｑ＝１１Ｐ＋１３Ｑとなる。現在の第２項は、前の第２項を２倍
することにより計算され、すなわち、同じく表に示すように、２＊６Ｐ＋２＊７Ｑ＝１２
Ｐ＋１４Ｑとなる。当然のことながら、当該対は、上述したようにｍ及びｎの値に基づい
て計算することもできる。
ステップｉ＝１では、ｋの現在のビットは（０）、ｓの現在のビットは（１）、前の対
は（１１Ｐ＋１３Ｑ，１２Ｐ＋１４Ｑ）である。現在のビット対は（０，１）なので、現
在の第１項は、前の第１項を２倍してＱを加えることにより計算され、すなわち、図３の
表のステップｉ＝１に示すように、２＊１１Ｐ＋２＊１３Ｑ＋Ｑ＝２２Ｐ＋２７Ｑとなる
。現在の第２項は、現在の第１項に（Ｐ＋Ｑ）を加えることにより計算され、すなわち、
同じく表に示すように、２２Ｐ＋２７Ｑ＋（Ｐ＋Ｑ）＝２３Ｐ＋２８Ｑとなる。当然のこ
とながら、当該対は、上述したようにｍ及びｎの値に基づいて計算することもできる。
最後に、ステップｉ＝０では、ｋの現在のビットは（１）、ｓの現在のビットは（０）
、前の対は（２２Ｐ＋２７Ｑ，２３Ｐ＋２８Ｑ）である。現在のビット対は（１，０）な
ので、現在の第１項は、前の第１項を２倍してＰを加えることにより計算され、すなわち
、図３の表のステップｉ＝０に示すように、２＊２２Ｐ＋２＊２７Ｑ＋Ｐ＝４５Ｐ＋５４
Ｑとなる。現在の第２項は、現在の第１項に（Ｐ＋Ｑ）を加えることにより計算され、す
なわち、同じく表に示すように、４５Ｐ＋５４Ｑ＋（Ｐ＋Ｑ）＝４６Ｐ＋５５Ｑとなる。
当然のことながら、当該対は、上述したようにｍ及びｎの値に基づいて計算することもで
きる。
値４５Ｐ＋５４Ｑ（すなわち、最後の対の第１項）は、ｋ＝４５及びｓ＝５４であるこ
とから予測される、所望の組み合わせｋＰ＋ｓＱに相当する。
図４に示す他の実施例では、ｋ及びｓのビット長が異なり、ｋ＝５＝１０１２、ｓ＝１
０９＝１１０１１０１２とする。この場合には、ビット長が等しくなるように、最初にｋ
をｖ個の０でパディングする。表に示すように、ステップｉ＝６からｉ＝３に対して（す
なわち、パディングした０及びｋの第１項に対して）、モンゴメリ法をＱのみに対して（
すなわち、長いビット長を有し、従って０を埋め込んでいないスカラーに対して）実施す
る。
従って、演算シーケンスは、ステップｉ＝６にて対（Ｑ，２Ｑ）で開始する。最上位ビ
ットは破棄するので、最初の計算はステップｉ＝５から開始する。ステップｉ＝５でのｋ
のビットはゼロでパディングしてあるので、ｓのビットだけに着目する。このステップで
は、ｓのビットは（１）であり、前の対（すなわち第１の対）は（Ｑ，２Ｑ）である。ｓ
のビットは（１）なので、現在の第１項は、前の両項の和として計算され、すなわち、図
４の表のステップｉ＝５に示すように、Ｑ＋２Ｑ＝３Ｑとなる。現在の第２項は、前の第
２項を２倍することにより計算され、すなわち、同じく表に示すように、２（２Ｑ）＝４
Ｑとなる。当然のことながら、当該対は、ｎの値に基づいて計算することもできる。
ステップｉ＝４では、ｋのビットは同じくゼロでパディングしてあるので、ｓのビット
だけに着目する。このステップで、ｓのビットはゼロ（０）、前の対は（３Ｑ，４Ｑ）で
ある。ｓのビットがゼロ（０）なので、現在の第１項は、前の第１項を２倍することによ
り計算され、すなわち、図４の表のステップｉ＝４に示すように、２＊３Ｑ＝６Ｑとなる
。現在の第２項は、前の両項の和として計算され、すなわち、同じく表に示すように、３
Ｑ＋４Ｑ＝７Ｑとなる。当然のことながら、当該対は、ｎの値に基づいて計算することも
できる。
ステップｉ＝３では、ｋのビットはこのシーケンスに対する最後にパディングしたビッ
トであり、従って、ｓのビットだけに着目する。このステップで、ｓのビットは（１）、
前の対は（６Ｑ，７Ｑ）である。ｓのビットが（１）なので、現在の第１項は、前の両項
の和として計算され、すなわち、図４の表のステップｉ＝３に示すように、６Ｑ＋７Ｑ＝
１３Ｑとなる。現在の第２項は、前の第２項を２倍することにより計算され、すなわち、
同じく表に示すように、２（７Ｑ）＝１４Ｑとなる。当然のことながら、当該対は、ｎの
値に基づいて計算することもできる。
ステップｉ＝２では、ｋのビットは、もはやパディングしたゼロではなく、実際の値で
ある。従って、この対が、同時乗算における第１の対であり、ｋの第１ビットを破棄し、
対（Ｐ，２Ｐ）を現在のＱ値に加える。現在のＱの値は、現在のｓの値（これは（１）で
ある）及び、前の対（これは（１３Ｑ，１４Ｑ）である）に着目することにより計算され
る。ｓのビットが（１）なので、現在の第１項のＱの部分は、前の両項の和として計算さ
れ、すなわち、図４の表のステップｉ＝２に示すように、１３Ｑ＋１４Ｑ＝２７Ｑとなる
。現在の第２項のＱの部分は、前の第２項を２倍することにより計算され、すなわち、同
じく表に示すように、２（１４Ｑ）＝２８Ｑとなる。当然のことながら、当該対は、ｎの
値に基づいて計算することもできる。それから、完全な対は、現在のＱの値に（Ｐ，２Ｐ
）を加えることにより得られ、表に示すように、（Ｐ＋２７Ｑ，２Ｐ＋２８Ｑ）となる。
次のステップ（すなわち、同時乗算部分の第２ステップ）は、ｉ＝１で現在のビット対
（０，０）を利用し、前の対は（Ｐ＋２７Ｑ，２Ｐ＋２８Ｑ）である。ビット対が（０，
０）なので、現在の第１項は、前の第１項を２倍することにより計算され、すなわち、図
４の表のステップｉ＝１に示すように、２＊Ｐ＋２＊２７Ｑ＝２Ｐ＋５４Ｑとなる。現在
の第２項は、前の両項の和として計算され、すなわち、同じく表に示すように、Ｐ＋２７
Ｑ＋２Ｐ＋２８Ｑ＝３Ｐ＋５５Ｐとなる。当然のことながら、当該対は、上述したように
ｍ及びｎの値に基づいて計算することもできる。
最後に、ステップｉ＝０では、現在のビット対は（１，１）で、前の対は（２Ｐ＋５４
Ｑ，３Ｐ＋５５Ｑ）である。ビット対が（１，１）なので、現在の第１項は、前の両項の
和として計算され、すなわち、図４の表のステップｉ＝０に示すように、２Ｐ＋５４Ｑ＋
３Ｐ＋５５Ｑ＝５Ｐ＋１０９Ｑとなる。現在の第２項は、前の第２項を２倍することによ
り計算され、すなわち、同じく表に示すように、２＊３Ｐ＋２＊５５Ｑ＝６Ｐ＋１１０Ｑ
となる。当然のことながら、当該対は、上述したようにｍ及びｎの値に基づいて計算する
こともできる。
値５Ｐ＋１０９Ｑ（すなわち、最後の対の第１項）は、ｋ＝５及びｓ＝１０９であるこ
とから予測される、所望の組み合わせｋＰ＋ｓＱに相当する。従って、本例の同時点乗算
法は、異なるビット長の整数に対しても、容易に実装することができる。
ある特定の実施例を参照しながら本発明を説明したが、添付した特許請求の範囲によっ
て規定されるような本発明の精神及び範囲を逸脱することなく、幾多の変更を加えうるこ
とは当業者に明らかである。

Claims (15)

  1. 楕円曲線暗号方式にて、第１のスカラーｋに楕円曲線Ｅ上の第１の点Ｐを掛ける第１の
    乗算と、第２のスカラーｓに楕円曲線Ｅ上の第２の点Ｑを掛ける第２の乗算とを同時に行
    う方法であって、ｔは前記スカラーのビットの総数を表し、ｉは前記第１及び第２スカラ
    ーにおける評価する現在のビットを表すものとして、ｔ個のビット対（ｋｉ，ｓｉ）に対
    して、前記各ビット対（ｋｉ，ｓｉ）に示される値に従って、前記第１及び第２の乗算に
    て少なくとも１回の繰り返し演算を同時に行って、前記乗算の各ステップでの数学演算の
    回数を減らすようにする、同時スカラー乗算方法。
  2. 前記第１スカラーｋの最上位ビットを破棄することと、前記第２スカラーｓの最上位ビ
    ットを破棄することを更に含む、請求項１に記載の方法。
  3. 前記第１及び第２乗算は、計算対［ｍＰ＋ｎＱ，（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ］によっ
    て各ステップにて同時に表され、ここで、ｍは前の計算対の前記第１の点Ｐの係数を表し
    、ｎは前の計算対の前記第２の点Ｑの係数を表し、各対に対し、第２の成分は第１の成分
    とは（Ｐ＋Ｑ）だけ異なるようにする、請求項１に記載の方法。
  4. 前記ビット対（ｋｉ，ｓｉ）が（０，０）のとき、次の計算対は［２ｍＰ＋２ｎＱ，（
    ２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ］となる、請求項３に記載の方法。
  5. 前記ビット対（ｋｉ，ｓｉ）が（１，１）のとき、次の計算対は［（２ｍ＋１）Ｐ＋（
    ２ｎ＋１）Ｑ，（２ｍ＋２）Ｐ＋（２ｎ＋２）Ｑ］となる、請求項３に記載の方法。
  6. 前記ビット対（ｋｉ，ｓｉ）が（０，１）のとき、次の計算対は［２ｍＰ＋２ｎＱ＋Ｑ
    ，（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ＋Ｑ］となる、請求項３に記載の方法。
  7. 前記ビット対（ｋｉ，ｓｉ）が（１，０）のとき、次の計算対は［２ｍＰ＋２ｎＱ＋Ｐ
    ，（２ｍ＋１）Ｐ＋Ｐ＋（２ｎ＋１）Ｑ］となる、請求項３に記載の方法。
  8. 請求項１による同時点乗算を行うための暗号モジュール。
  9. 楕円曲線暗号方式にて、第１のスカラーｋに楕円曲線Ｅ上の第１の点Ｐを掛ける第１の
    乗算と、第２のスカラーｓに楕円曲線Ｅ上の第２の点Ｑを掛ける第２の乗算とを同時に行
    う方法であって、前記第１及び第２のスカラーは異なるビット長であり：
    ― 各スカラーがｔビットから成るように、前記第１及び第２のスカラーの短い方のスカ
    ラーをｖ個のゼロでパディングするステップであって、ｔは最大ビット長のビット総数を
    表すものとするステップと、
    ― 前記第１のスカラーｋ及び前記第２のスカラーｓの最上位ビットをそれぞれ破棄する
    ステップと、
    ― ｉは前記第１及び第２のスカラーにおける評価する現在のビットを表すものとして、
    破棄されていないパディングしたゼロを含む、ｖ−１個のビット対（ｋｉ，ｓｉ）に対し
    て、前記第１及び第２のスカラーの長い方のスカラーに対しモンゴメリ法を行うステップ
    と、
    ― 残りのｔ−ｖ−１個のビット対（ｋｉ，ｓｉ）に対して、前記ビット対（ｋｉ，ｓｉ
    ）に示される値に従って、前記第１及び第２の乗算にて少なくとも１回の繰り返し演算を
    同時に行って、前記乗算の各ステップでの数学演算の回数を減らすステップと、
    を含む、同時スカラー乗算方法。
  10. 前記ｔ−ｖ−１個のビット対に対して、前記第１及び第２乗算は、計算対［ｍＰ＋ｎＱ
    ，（ｍ＋１）Ｐ＋（ｎ＋１）Ｑ］によって各ステップにて同時に表され、ここで、ｍは前
    の計算対の、前記第１の点Ｐの係数を表し、ｎは前の計算対の、前記第２の点Ｑの係数を
    表し、各対に対して、第２の成分は第１の成分とは（Ｐ＋Ｑ）だけ異なるようにする、請
    求項９に記載の方法。
  11. 前記ｔ−ｖ−１個のビット対に対して、前記ビット対（ｋｉ，ｓｉ）が（０，０）のと
    き、次の計算対は［２ｍＰ＋２ｎＱ，（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ］となる、請求項
    １０に記載の方法。
  12. 前記ｔ−ｖ−１個のビット対に対して、前記ビット対（ｋｉ，ｓｉ）が（１，１）のと
    き、次の計算対は［（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ，（２ｍ＋２）Ｐ＋（２ｎ＋２）Ｑ
    ］となる、請求項１０に記載の方法。
  13. 前記ｔ−ｖ−１個のビット対に対して、前記ビット対（ｋｉ，ｓｉ）が（０，１）のと
    き、次の計算対は［２ｍＰ＋２ｎＱ＋Ｑ，（２ｍ＋１）Ｐ＋（２ｎ＋１）Ｑ＋Ｑ］となる
    、請求項１０に記載の方法。
  14. 前記ｔ−ｖ−１個のビット対に対して、前記ビット対（ｋｉ，ｓｉ）が（１，０）のと
    き、次の計算対は［２ｍＰ＋２ｎＱ＋Ｐ，（２ｍ＋１）Ｐ＋Ｐ＋（２ｎ＋１）Ｑ］となる
    、請求項１０に記載の方法。
  15. 請求項９による同時点乗算を行うための暗号モジュール。
JP2012122076A 2005-11-03 2012-05-29 同時スカラー乗算方法 Pending JP2012185517A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US73271505P 2005-11-03 2005-11-03
US60/732,715 2005-11-03

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2008538237A Division JP5073669B2 (ja) 2005-11-03 2006-11-03 同時スカラー乗算方法

Publications (2)

Publication Number Publication Date
JP2012185517A true JP2012185517A (ja) 2012-09-27
JP2012185517A5 JP2012185517A5 (ja) 2013-03-21

Family

ID=38005395

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2008538237A Active JP5073669B2 (ja) 2005-11-03 2006-11-03 同時スカラー乗算方法
JP2012122076A Pending JP2012185517A (ja) 2005-11-03 2012-05-29 同時スカラー乗算方法

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP2008538237A Active JP5073669B2 (ja) 2005-11-03 2006-11-03 同時スカラー乗算方法

Country Status (9)

Country Link
US (3) US8045705B2 (ja)
EP (3) EP2293491B1 (ja)
JP (2) JP5073669B2 (ja)
CN (1) CN101366232B (ja)
AT (1) ATE507625T1 (ja)
CA (1) CA2626847A1 (ja)
DE (1) DE602006021601D1 (ja)
HK (1) HK1155293A1 (ja)
WO (1) WO2007051305A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101524661B1 (ko) * 2014-04-03 2015-06-03 고려대학교 산학협력단 재배치를 통한 트리플-베이스 체인 기반 타원곡선 스칼라 곱셈을 위한 연산 장치 및 방법

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1775880A1 (en) * 2005-10-11 2007-04-18 STMicroelectronics S.r.l. Method of processing information to be confidentially transmitted
US8422685B2 (en) * 2008-02-26 2013-04-16 King Fahd University Of Petroleum And Minerals Method for elliptic curve scalar multiplication
US8548160B2 (en) * 2010-01-13 2013-10-01 Microsoft Corporation Determination of pairings on a curve using aggregated inversions
US8755517B2 (en) 2010-12-08 2014-06-17 Total Technology Solutions Co. Method for generic-point parallel elliptic curve scalar multiplication
US8804952B2 (en) 2012-12-26 2014-08-12 Umm Al-Qura University System and method for securing scalar multiplication against differential power attacks
US8861721B2 (en) * 2012-12-26 2014-10-14 Umm Al-Qura University System and method for securing scalar multiplication against simple power attacks
BR112016025201B1 (pt) * 2014-05-08 2022-08-23 Micro Motion, Inc. Método para realizar cálculos à prova de falhas, dispositivo para realizar cálculos à prova de falhas para operar um hardware, e, método para compilar um código para operar um hardware em um modo à prova de falhas
US9645794B2 (en) * 2014-09-23 2017-05-09 Texas Instruments Incorporated Homogeneous atomic pattern for double, add, and subtract operations for digital authentication using elliptic curve cryptography
US9590805B1 (en) * 2014-12-23 2017-03-07 EMC IP Holding Company LLC Ladder-based cryptographic techniques using pre-computed points
US9531531B2 (en) * 2015-05-06 2016-12-27 Qualcomm Incorporated Methods and devices for fixed execution flow multiplier recoding and scalar multiplication
EP3376705A1 (en) * 2017-03-17 2018-09-19 Koninklijke Philips N.V. Elliptic curve point multiplication device and method in a white-box context
CN109117677A (zh) * 2018-09-21 2019-01-01 阿里巴巴集团控股有限公司 一种用于椭圆曲线多倍点运算的电路
WO2022146437A1 (en) * 2020-12-30 2022-07-07 Pqsecure Technologies, Llc High-performance systems to validate isogeny-based cryptography keys

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000025204A1 (en) * 1998-10-28 2000-05-04 Certicom Corp. Power signature attack resistant cryptography
JP2002323852A (ja) * 2001-04-24 2002-11-08 Sony Corp 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム
JP2003131568A (ja) * 2001-10-26 2003-05-09 Hitachi Ltd 楕円曲線署名検証方法及び装置並びに記憶媒体
JP2003288013A (ja) * 2002-01-28 2003-10-10 Matsushita Electric Ind Co Ltd 楕円曲線演算装置及び楕円曲線演算方法
JP2003288014A (ja) * 2002-01-28 2003-10-10 Matsushita Electric Ind Co Ltd 楕円曲線演算装置及び楕円曲線演算方法
JP2004053814A (ja) * 2002-07-18 2004-02-19 Fujitsu Ltd 楕円曲線暗号装置及び楕円曲線暗号演算方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4067818B2 (ja) 2001-12-10 2008-03-26 富士通株式会社 楕円曲線暗号装置、楕円曲線暗号プログラム及び楕円曲線暗号の演算方法
JP3818193B2 (ja) 2002-03-27 2006-09-06 大阪瓦斯株式会社 カーボンナノチューブ含有炭素材料の製造方法
AT412916B (de) 2002-07-19 2005-08-25 Avl List Gmbh Verfahren zur simulation des fahrverhaltens von fahrzeugen
CN100461668C (zh) * 2004-12-09 2009-02-11 中国电子科技集团公司第三十研究所 一种用于椭圆曲线密码算法芯片的倍点运算电路

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000025204A1 (en) * 1998-10-28 2000-05-04 Certicom Corp. Power signature attack resistant cryptography
JP2002323852A (ja) * 2001-04-24 2002-11-08 Sony Corp 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム
JP2003131568A (ja) * 2001-10-26 2003-05-09 Hitachi Ltd 楕円曲線署名検証方法及び装置並びに記憶媒体
JP2003288013A (ja) * 2002-01-28 2003-10-10 Matsushita Electric Ind Co Ltd 楕円曲線演算装置及び楕円曲線演算方法
JP2003288014A (ja) * 2002-01-28 2003-10-10 Matsushita Electric Ind Co Ltd 楕円曲線演算装置及び楕円曲線演算方法
JP2004053814A (ja) * 2002-07-18 2004-02-19 Fujitsu Ltd 楕円曲線暗号装置及び楕円曲線暗号演算方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
CSNG200300136008; 秋下徹: 'Ｍｏｎｔｇｏｍｅｒｙ型楕円曲線における高速なスカラー倍同時計算法' 情報処理学会研究報告 第２００１巻 第７５号, 20010725, ｐ．９７-１０３, 社団法人情報処理学会 Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｏｃｉｅ *
JPN6012010093; 秋下徹: 'Ｍｏｎｔｇｏｍｅｒｙ型楕円曲線における高速なスカラー倍同時計算法' 情報処理学会研究報告 第２００１巻 第７５号, 20010725, ｐ．９７-１０３, 社団法人情報処理学会 Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｏｃｉｅ *
JPN6012010095; Ｔｏｒｕ　Ａｋｉｓｈｉｔａ: 'Ｆａｓｔ　Ｓｉｍｕｌｔａｎｅｏｕｓ　Ｓｃａｌａｒ　Ｍｕｌｔｉｐｌｉｃａｔｉｏｎ　ｏｎ　Ｅｌｌｉｐｔｉｃ　Ｃｕｒｖｅ　ｗｉｔｈ　Ｍｏｎｔｇｏｍｅｒｙ　Ｆｏｒｍ' Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ Ｖｏｌ．２２５９, 2001, ｐ．２５５-２６７ *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101524661B1 (ko) * 2014-04-03 2015-06-03 고려대학교 산학협력단 재배치를 통한 트리플-베이스 체인 기반 타원곡선 스칼라 곱셈을 위한 연산 장치 및 방법

Also Published As

Publication number Publication date
JP2009515206A (ja) 2009-04-09
ATE507625T1 (de) 2011-05-15
US8045705B2 (en) 2011-10-25
JP5073669B2 (ja) 2012-11-14
US20130003964A1 (en) 2013-01-03
CA2626847A1 (en) 2007-05-10
EP1946480A1 (en) 2008-07-23
HK1155293A1 (en) 2012-05-11
EP1946480A4 (en) 2010-04-07
WO2007051305A1 (en) 2007-05-10
EP2293491B1 (en) 2012-08-22
EP2293491A1 (en) 2011-03-09
EP2509253B1 (en) 2014-06-18
US8284930B2 (en) 2012-10-09
CN101366232A (zh) 2009-02-11
US20110261956A1 (en) 2011-10-27
EP2509253A1 (en) 2012-10-10
US8548163B2 (en) 2013-10-01
CN101366232B (zh) 2012-05-16
DE602006021601D1 (de) 2011-06-09
US20070098154A1 (en) 2007-05-03
EP1946480B1 (en) 2011-04-27

Similar Documents

Publication Publication Date Title
JP5073669B2 (ja) 同時スカラー乗算方法
CA2369545C (en) Method and apparatus for elliptic curve scalar multiplication
CN107040385B (zh) 一种基于sm2椭圆曲线的签名验证算法的实现方法及系统
US8345864B1 (en) Elliptic curve cryptography scalar multiplication with on demand acceleration table generation
KR101089121B1 (ko) 빠른 집합 검증 방법 및 그 장치
EP2350811B1 (en) Method and apparatus for modulus reduction
Granger et al. Faster ECC over
US6480606B1 (en) Elliptic curve encryption method and system
US6763366B2 (en) Method for calculating arithmetic inverse over finite fields for use in cryptography
Krishna et al. Window method based cubic spline curve public key cryptography
JP4354609B2 (ja) 有限体上の連立方程式求解装置及び逆元演算装置
CN111897578A (zh) 一种特征为2的椭圆曲线上标量乘的并行处理方法及装置
Konstantinou et al. A software library for elliptic curve cryptography
Aoki et al. A cyclic window algorithm for ECC defined over extension fields
Nikooghadam et al. A protocol for digital signature based on the elliptic curve discrete logarithm problem
Okeya et al. Use of montgomery trick in precomputation of multi-scalar multiplication in elliptic curve cryptosystems
SP Recommendations for Discrete Logarithm-based Cryptography
Gysin The discrete logarithm problem for Lucas sequences and a new class of weak RSA Moduli.
Koç et al. Lean multiplication of multi-precision numbers over GF (2m)
Lee et al. Efficient Exponentiation in GF (pm) Using the Frobenius Map
Leone et al. On the Complexity of Parallel Algorithms for Computing Inverses in with Prime
Kobayashi et al. A cyclic window algorithm for elliptic curves over OEF
Ding et al. Joint Sparse Form of Window Three for Koblitz Curve.
Lee et al. Area Efficient Multiplier based on LFSR Architecture
JP2003216030A (ja) 多基底離散対数検証方法、この方法を実施する装置、プログラムおよびプログラムを記憶した記憶媒体

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20130204

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20130807

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20131227