JP2617092B2 - 暗号通信システム - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、通信ネットワーク等を
介して伝送されるディジタル化された文書の内容を秘密
保持するために代数曲線に基づいた暗号方式及び復号方
式を用いる暗号通信システムに関する。

【０００２】

【従来の技術】ＲＳＡ暗号方式（例えば文献；Ｒ．Ｌ．
Ｒivest, Ａ．Ｓhamir and Ｌ．Ａdleman，“Ａ meth
od for obtaining digital signatures and public-ke
y cryptosystems ”，Ｃomm. of the ＡＣＭ，Ｖol．2
1，Ｎo.2, pp.120-126, 1978.を参照) は、素因数分解
の困難さに安全性の根拠をおく公開鍵暗号方式の１つで
ある。同一の平文を複数の利用者へ各々ＲＳＡ暗号方式
を用いて暗号化した場合、Ｌow exponent(multiplier)a
ttack と呼ばれる解読法があり、必ずしも安全ではない
ことが知られている（文献；Ｊ．Ｈastad ，“Ｏn usin
g ＲＳＡ with lowexponent in a public key networ
k”，Ｐroceedings of Ｃrypto '85, pp.403-408, 198
5.を参照) ＲＳＡ暗号方式と同様に、素因数分解の困難さに安全性
の根拠をおく公開鍵暗号方式には、代数曲線の１つであ
る楕円曲線に基づいたＫＭＯＶ暗号方式（文献；Ｋ．Ｋ
oyama,Ｕ．Ｍ．Ｍaurer,Ｔ．Ｏkamoto，and Ｓ．Ａ．Ｖ
anstone,“Ｎewpublic-key schemes based on elliptic
curves over the ring Ｚ_n ”，Ｐroceedings of Ｃr
ypto '91, 1991 ．を参照) と楕円曲線に基づいたＤemy
tko暗号方式（文献；Ｎ．Ｄemytko，“Ａ new elliptic
curve based analogue of ＲＳＡ”，Ｐroceedings of
Ｅurocrypt '93, pp.39-48, 1993. を参照) ある。Ｋ
ＭＯＶ暗号方式とＤemytko暗号方式は暗号化と復号化の
計算を楕円曲線上で行なうため、Ｌow exponent(multip
lier)attack に対してＲＳＡ暗号方式よりも安全性が高
いことがすでに示されている。

【０００３】

【発明が解決しようとする課題】しかしながら、ＫＭＯ
Ｖ暗号方式とＤemytko暗号方式は、暗号化と復号化の計
算を代数曲線の１つである楕円曲線上で行なうため、Ｒ
ＳＡ暗号方式と比較して暗号化と復号化に約５〜７倍の
時間が必要とされる。このＫＭＯＶ暗号方式またはＤem
ytko方式を採用したときの暗号化速度は、実用上はあま
り問題とされない速度であり、そのためＲＳＡ暗号と比
較して約５〜７倍遅いことが問題とされることはあまり
ない。しかし、ＫＭＯＶ暗号方式またはＤemytko暗号方
式における復号化速度は、実用的な復号化速度をもつＲ
ＳＡ暗号と比較して約５〜７倍遅く、実用的とは言え
ず、問題となっていた。

【０００４】本発明は、上記課題に鑑みてなされたもの
で、代数曲線の１つである特異な３次曲線を利用するこ
とにより、以下に示す特徴を有する公開鍵暗号方式を実
現した鍵生成装置、暗号化装置及び復号化装置からなる
暗号通信システムを提供することを目的とする。すなわ
ち、第１に、Ｌow exponent(multiplier)attack に対し
てＲＳＡ暗号方式よりも安全性が高く、第２に、ＲＳＡ
暗号方式と同程度の復号化速度をもつことである。

【０００５】

【課題を解決するための手段】上記目的を達成するため
本願第１の発明は、送信する平文を公開鍵を用いて暗号
化して特異な３次曲線 ｙ² ＋ａｘｙ≡ｘ³ ＋ｂｘ² （ｍｏｄ ｎ） （但し、ｎは十分大きな素数ｐ，ｑの積、ａ≠０、ｂ≠
０） 上で平文を繰り返し加算することにより暗号化を行ない
暗号文を生成する暗号化手段を有する送信側装置と、公
開される公開鍵と、この公開鍵に対応する秘密鍵を予め
生成する鍵生成手段と、受信される前記特異な３次曲線
上の暗号文を前記秘密鍵を用いて環Ｚn 上の暗号文に変
換して、環Ｚn 上の乗算によって復号化を行ない元の平
文を生成する復号化手段とを有する受信側装置とを有す
ることを要旨とする。

【０００６】また、本願第２の発明は、鍵生成手段は、
素数ｐ，ｑを生成し、ｎ＝ｐｑを計算し、最小公倍数Ｌ
ＣＭ（ｐ−１、ｑ−１）と互いに素な整数ｅを選び、こ
れらから秘密鍵ｄ_p ，ｄ_q を計算する機能を有し、暗号
化手段は、公開鍵ｅ，ｎと平文Ｍ＝（ｍ_x ，ｍ_y ）を入
力し、乱数αを生成し、これらからβを計算し、ａ＝−
（α＋β） ｍｏｄ ｎとｂ＝−αβ ｍｏｄ ｎを計
算し、特異な３次曲線Ｅ_n （ａ，ｂ）：ｙ² ＋ａｘｙ≡
ｘ³ ＋ｂｘ² （ｍｏｄ ｎ）上での（ｘ₁ ，ｙ₁ ）と
（ｘ₂ ，ｙ₂ ）の和（ｘ₃ ，ｙ₃ ）をそれぞれ定義し、
特異な３次曲線Ｅ_n （ａ，ｂ）：ｙ² ＋ａｘｙ≡ｘ³ ＋
ｂｘ² （ｍｏｄ ｎ）（但し、ａ≠０、ｂ≠０）上で
平文Ｍをｅ回加算することにより暗号文Ｃ＝（ｃ_x ，ｃ
_y ）＝ｅ・Ｍ over Ｅ_n （ａ，ｂ）を計算し、Ｃとａを
出力する機能を有し、前記復号化手段は、秘密鍵ｐ，
ｑ，ｄ_p ，ｄ_q と暗号文Ｃ＝（ｃ_x ，ｃ_y ）と係数ａを
入力し、これらから、 ｃ_xp＝ｃ_x ｍｏｄ ｐ，ｃ_yp＝ｃ_y ｍｏｄ ｐ， ｃ_xq＝ｃ_x ｍｏｄ ｑ，ｃ_yq＝ｃ_y ｍｏｄ ｑ， ａ_p ＝ａ ｍｏｄ ｐ， ａ_q ＝ａ ｍｏｄ ｑ を計算し、さらに、

【数７】 を計算し、

【数８】 を計算し、

【数９】 を計算し、（ｍ_x ，ｍ_y ）を出力する機能を有すること
を要旨とする。

【０００７】尚、前記特異な３次曲線とは、素数ｐと係
数ａ，ｂに対してｙ² ＋ａｘｙ≡ｘ³ ＋ｂｘ² （ｍｏ
ｄ ｐ）を満たす（０，０）を除く（ｘ，ｙ）と無限遠
点Φの集合Ｅ_p （ａ，ｂ）であり、この集合Ｅ_p （ａ，
ｂ）は有限群をなす。Ｅ_p （ａ，ｂ）の要素（ｘ₁ ，ｙ
₁ ）と（ｘ₂ ，ｙ₂ ）の和（ｘ₃ ，ｙ₃ ）は以下のよう
に計算される。

【０００８】

【数１０】 である。

【０００９】すなわち、Ｌow exponent(multiplier)att
ack に対してＲＳＡ暗号方式よりも安全性を高めるため
に、本発明では暗号化を特異な３次曲線上の加算を繰り
返すことによって行なう手段を用いるものである。ま
た、ＲＳＡ暗号方式と同程度の復号化速度を確保するた
めに、本発明では特異な３次曲線上の暗号文を環Ｚn 上
の暗号文に変換して、復号化を環Ｚn 上の乗算によって
行なうという手段を用いるものである。

【００１０】

【作用】まず、本発明の暗号化方式で暗号化された平文
が正しく復号化される原理を述べる。本発明における鍵
生成手段は、暗号化鍵ｅと復号化鍵ｄ_p がｅｄ_p ≡１
（ｍｏｄ（ｐ−１))を満たすように決定されているの
で、特異な３次曲線Ｅ_p （ａ_p ，ｂ_p ）：ｙ² ＋ａ_p ｘ
ｙ≡ｘ³ ＋ｂ_p ｘ² （ｍｏｄ ｐ）上の点（ｘ_p，ｙ
_p ）はｅ倍して、さらにｄ_p 倍すれば、元の点（ｘ_p ，
ｙ_p ）になる。

【００１１】また、特異な３次曲線Ｅ_p （ａ_p ，
ｂ_p ）：ｙ² ＋ａ_p ｘｙ≡ｘ³ ＋ｂ_p ｘ²（ｍｏｄ
ｐ）上で点（ｃ_xp，ｃ_yp）をｄ_p 倍した結果と復号化手
段、具体的にはＦ_p 還元復号手段によって点（ｃ_xp，ｃ
_yp）に対して計算した結果が一致することは数学的に証
明されている（文献[4];Ａ．Ｊ．Ｍenezes，Ｅlliptic
Ｃurve Ｐublic Ｋey Ｃryptosystems，Ｋluwer Ａca
demic Ｐublishers, 1993 ．) 。この様に、暗号化鍵ｅ
と復号化鍵ｄ_q がｅｄ_q ≡１ （ｍｏｄ （ｑ−１))を
満たすように決定されているので、特異な３次曲線Ｅ_q
（ａ_q ，ｂ_q ）：ｙ²＋ａ_q ｘｙ≡ｘ³ ＋ｂ_q ｘ²
（ｍｏｄ ｑ）上の点（ｘ_q ，ｙ_q ）はｅ倍して、さら
にｄ_q 倍すれば、元の点（ｘ_q ，ｙ_q ）になる。

【００１２】また、特異な３次曲線Ｅ_q （ａ_q ，
ｂ_q ）：ｙ² ＋ａ_q ｘｙ≡ｘ³ ＋ｂ_q ｘ²（ｍｏｄ
ｑ）上で点（ｃ_xq，ｃ_yq）をｄ_q 倍した結果と復号化手
段、具体的にはＦ_q 還元復号手段によって点（ｃ_xq，ｃ
_yq）に対して計算した結果が一致することは数学的に証
明されている。以上のことから、暗号化された平文が正
しく復号化される。

【００１３】また、復号化の計算において、式(1) ，
(2) ，(3) ，(4) の計算が復号化時間のほとんどを占め
る。この式(1) ，(2) ，(3) ，(4) の乗算回数は、ＲＳ
Ａ暗号方式の復号に必要な乗算回数の約２倍である。つ
まり、本発明の復号化時間はＲＳＡ方式の復号化時間の
約２倍である。本発明では平文が（ｘ，ｙ）であり、各
々がｌｏｇ ｎ ｂｉｔｓであるから、本発明の平文長
は２ｌｏｇ ｎ ｂｉｔｓである。ＲＳＡ暗号方式の平
文長は、ｌｏｇ ｎ ｂｉｔｓである。したがって、本
発明はＲＳＡ方式の２倍の長さの暗号文を一度に復号で
きるので、本発明とＲＳＡ暗号方式の復号化速度はほぼ
同じとなる。なお、本発明の暗号的安全性の根拠は素因
数分解の困難さであるから、素数ｐ，ｑの桁数はその積
ｎの素因数分解の困難さを考慮して決められる。

【００１４】上述したように、通常、ＲＳＡ暗号方式の
暗号化関数は単項式で表現されるものであり、特異な３
次曲線上の加算を繰り返すことによって暗号化を行なう
本発明の暗号化関数は多項式で表現されるものであり、
単項式では表現することができない。Ｌow exponent(mu
ltiplier)attack に対しては、単項式で表現される暗号
化関数より多項式で表現される暗号化関数の方が安全性
が高いことがすでに知られている。

【００１５】また、ＲＳＡ暗号方式では、復号化を環Ｚ
n 上の乗算によって行ない、ＫＭＯＶ方式とＤemytko方
式では、復号化を楕円曲線上の加算によって行なってい
る。一方、本発明では、楕円曲線上の加算や特異な３次
曲線上の加算は、環Ｚn 上の乗算より時間がかかること
から、特異な３次曲線上の加算を用いて復号することな
く、特異な３次曲線上の暗号文を環Ｚn 上の暗号文に変
換して、復号化を環Ｚn 上の乗算によって行なうことに
よりＲＳＡ暗号方式と同程度の復号化速度を達成するよ
うにしている。

【００１６】

【実施例】以下、本発明に係る一実施例を図面を参照し
て説明する。図１は本発明に係る暗号通信システムの構
成を示したブロック図である。図１に示すように、本実
施例の暗号通信システムは受信側装置１、公開ファイル
装置３及び送信側装置５によって構成される。また受信
側装置１には鍵生成装置１０と復号装置２０が設けら
れ、公開ファイル装置３には公開鍵ファイル３０が設け
られ、さらに送信側装置５には暗号化装置５０が設けら
れる。

【００１７】すなわち、鍵生成装置１０を用いて公開鍵
ｅ，ｎと秘密鍵ｐ，ｑ，ｄ_p ，ｄ_qが生成される。この
鍵生成装置１０で生成された公開鍵ｅ，ｎは、公開鍵フ
ァイル装置３に送信され、公開鍵ファイル３０に公開鍵
ｅ，ｎとして登録される。公開鍵ファイル３０は、正当
なユーザであれば誰もが読むことができるものである。
また、文書の内容を秘密保持するために暗号通信すると
きには、送信者は公開ファイル装置３にアクセスをし
て、この公開ファイル装置３に登録される受信者の公開
鍵ｅ，ｎを入手する。その公開鍵ｅ，ｎと送信する平文
Ｍの文書とを暗号化装置５０に入力して、暗号文Ｃと係
数ａを得て、それらを送信する。

【００１８】受信側装置１では、送信されてきた暗号文
Ｃと係数ａと秘密鍵ｐ，ｑ，ｄ_p ，ｄ_q を復号装置２０
に入力することで、出力として平文Ｍを得ることができ
る。

【００１９】次に、図２を参照して図１に示した鍵生成
装置１０の構成を説明する。本実施例の鍵生成装置１０
は、値が５以上の２つの素数ｐ，ｑを生成する素数生成
器１１と、この素数生成器１１で生成された素数ｐ，ｑ
の積ｎを計算する乗算器１２と、前記素数生成器１１で
生成された素数ｐ，ｑに対して、ｐ−１とｑ−１の最小
公倍数Ｌを計算する最小公倍数計算器１３と、この最小
公倍数計算器１３で計算された最小公倍数Ｌと互いに素
な整数ｅを生成する互素数生成器１４と、前記素数生成
器１１で生成された素数ｐと互素数生成器１４で決定さ
れたｅに対して、ｅｄ_p ≡１ （ｍｏｄ（ｐ−１))を満
たすｄ_p を計算する第１の逆数計算器１５と、前記素数
生成器１１で生成された素数ｑと互素数生成器１４で決
定されたｅに対して、ｅｄ_q ≡１ （ｍｏｄ（ｑ−１))
を満たすｄ_q を計算する第２の逆数計算器１６と、乗算
器１２で計算されたｎと互素数生成器１４で決定された
ｅを公開ファイル装置３に送信する第１の送信器１７
と、素数生成器１１で生成されたｐ，ｑと第１の逆数計
算器１５で計算されたｄ_p と第２の逆数計算器１６で計
算されたｄ_q を復号装置２０の記憶器２２に送信する第
２の送信器１８とで構成される。

【００２０】次に、図３を参照して図１に示した復号装
置２０の構成を説明する。本実施例の復号装置２０は、
鍵生成装置１０から送信されたｐ，ｑ，ｄ_p ，ｄ_q を受
信する第１の受信器２１ａと、この第１の受信器２１ａ
で受信したｐ，ｑ，ｄ_p ，ｄ_q を記憶する記憶器２２
と、暗号化装置５０から送信された暗号文Ｃ＝（ｃ_x ，
ｃ_y ）と係数ａを受信する第２の受信器２１ｂと、前記
記憶器２２に記憶されたｐと第２の受信器２１ｂで受信
した暗号文Ｃ＝（ｃ_x ，ｃ_y ）に対して、 ｃ_xp＝ｃ_x ｍｏｄ ｐ，ｃ_yp＝ｃ_y ｍｏｄ ｐ を計算する法ｐ暗号文還元器２３と、記憶器２２に記憶
されたｑと第２の受信器２１ｂで受信した暗号文Ｃ＝
（ｃ_x ，ｃ_y ）に対して、 ｃ_xq＝ｃ_x ｍｏｄ ｑ，ｃ_yq＝ｃ_y ｍｏｄ ｑ を計算する法ｑ暗号文還元器２４と、第２の受信器２１
ｂで受信した係数ａと法ｐ暗号文還元器２３で計算され
たｃ_xp，ｃ_ypと記憶器２２に記憶されたｐに対して、

【数１１】 を計算する法ｐ係数還元器２５と、第２の受信器２１ｂ
で受信した係数ａと法ｑ暗号部還元器２４で計算された
ｃ_xq，ｃ_yqと記憶器２２に記憶されたｑに対して、

【数１２】 を計算する法ｑ係数還元器２６と、記憶器２２に記憶さ
れたｐ，ｄ_p と法ｐ暗号文還元器２３で計算された
ｃ_xp，ｃ_ypと法ｐ係数還元器２５で計算されたａ_p ，ｂ
_p に対して、

【数１３】 を計算するＦ_p 還元復号器２７と、記憶器２２に記憶さ
れたｑ，ｄ_q と法ｑ暗号文還元器２４で計算された
ｃ_xq，ｃ_yqと法ｑ係数還元器２６で計算されたａ_q ，ｂ
_q に対して、

【数１４】 を計算するＦ_q 還元復号器２８と、記憶器２２に記憶さ
れたｐ，ｑとＦ_p 還元復号器２７で計算されたｍ_xpとＦ
_q 還元復号器２８で計算されたｍ_xqに対して、

【数１５】 を計算する第１の中国人剰余定理計算器２９ａと、記憶
器２２に記憶されたｐ，ｑとＦ_p 還元復号器２７で計算
されたｍ_ypとＦ_q 還元復号器２８で計算されたｍ_yqに対
して、

【数１６】 を計算する第２の中国人剰余定理計算器２９ｂとで構成
される。

【００２１】次に、本実施例の作用を説明する。まず、
図２を参照して鍵生成装置１０について説明する。素数
生成器１１は、値が５以上の２つの素数ｐ，ｑを生成
し、素数ｐを乗算器１２と最小公倍数計算器１３と第１
の逆数計算器１５と第２の送信器１８に、素数ｑを乗算
器１２と最小公倍数計算器１３と第２の逆数計算器１６
と第２の送信器１８に出力する。乗算器１２で計算され
た素数ｐ，ｑの積ｎは、第１の送信器１７に出力され
る。また、最小公倍数計算器１３は前記素数生成器１１
で生成された素数ｐ，ｑに対して、ｐ−１とｑ−１の最
小公倍数Ｌを計算し、最小公倍数Ｌを互素数生成器１４
に出力する。

【００２２】互素数生成器１４は、この最小公倍数計算
器１３で計算された最小公倍数Ｌと互いに素な整数ｅを
生成し、この整数ｅを第１の逆数計算器１５と第２の逆
数計算器１６と第１の送信器１７に出力する。この第１
の送信器１７からは公開鍵としてｅ，ｎが公開ファイル
装置３に出力される。

【００２３】また、第１の逆数計算器１５で計算された
ｄ_p と第２の逆数計算器１６で計算されたｄ_q はそれぞ
れ第２の送信器１８に出力され、この第２の送信器１８
からは、秘密鍵として素数ｐ，ｑとｄ_p とｄ_q が復号装
置２０の記憶器２２に出力される。

【００２４】次に、図４を参照して図１に示した暗号化
装置５０の構成を説明する。本実施例の暗号化装置５０
は、公開ファイル装置３から受信者の公開鍵ｅ，ｎを受
信する受信器５１と、乱数αを生成する乱数生成器５２
と、平文Ｍ＝（ｍ_x ，ｍ_y ）と乱数生成器５２で生成さ
れたαと受信者の公開鍵ｎに対して、

【数１７】 を計算するβ計算器５３と、乱数生成器５２で生成され
たαとβ計算器５３で計算されたβと受信者の公開鍵ｎ
に対して、 ａ＝−（α＋β） ｍｏｄ ｎ，ｂ＝−αβ ｍｏｄ ｎ を計算する係数計算器５４と、受信者の公開鍵ｅ，ｎと
平文Ｍ＝（ｍ_x ，ｍ_y ）と係数計算器５４で計算された
ａ，ｂに対して、特異な３次曲線Ｅ_n （ａ，ｂ）：ｙ²
＋ａｘｙ≡ｘ³ ＋ｂｘ² （ｍｏｄ ｎ）上で平文Ｍ＝
（ｍ_x ，ｍ_y ）をｅ倍した点Ｃ＝（ｃ_x ，ｃ_y ）を計算
する特異３次曲線乗算器５５と、この特異３次曲線乗算
器５５で計算されたＣ＝（ｃ_x ，ｃ_y ）と係数計算器５
４で計算されたａを受信者へ送信する受信器５６とで構
成される。

【００２５】暗号側装置５０の作用について説明する。
受信側に送信される平文Ｍ＝（ｍ_x，ｍ_y ）が、β計算
器５３と特異３次曲線乗算器５５に入力される。β計算
器５３は、この入力された平文Ｍと乱数生成器５２で生
成されたαと受信者の公開鍵ｎに対してβを計算し、こ
の計算されたβを係数計算器５４に出力する。係数計算
器５４は、乱数生成器５２で生成されたαとβ計算器５
３で計算されたβと受信者の公開鍵ｎに対して、係数
ａ，ｂを計算し特異３次曲線乗算器５５に出力する。こ
のとき係数ａは送信器５６へも出力される。

【００２６】特異３次曲線乗算器５５は、平文Ｍと、受
信器５１を介して受信された公開ファイル装置３に登録
された受信者の公開鍵ｅ，ｎと、係数計算器５４からの
係数ａ，ｂを入力して、公開鍵ｅ，ｎと平文Ｍと係数
ａ，ｂに対して、特異な３次曲線Ｅ_n （ａ，ｂ）：ｙ²
＋ａｘｙ≡ｘ³ ＋ｂｘ² （ｍｏｄ ｎ）上で、平文Ｍ
＝（ｍ_x ，ｍ_y ）をｅ倍した点Ｃ＝（ｃ_x ，ｃ_y ）を計
算し、送信器５６に出力する。

【００２７】送信器５６は、この特異３次曲線乗算器５
５から入力された暗号文Ｃと係数計算器５４から入力さ
れた係数ａを受信者へ送信する。

【００２８】次に、図３を参照して、暗号装置５０の送
信器５６から出力された暗号文Ｃと係数ａを受信したと
きの復号装置２０の作用を説明する。第１の受信器２１
ａは、鍵生成装置１０から送信されたｐ，ｑ，ｄ_p ，ｄ
_q を受信し、記憶器２２に出力する。この第１の受信器
２１ａで受信されたｐ，ｑ，ｄ_p ，ｄ_q は記憶器２２に
記憶されると共に、ｐはＦ_p 還元復号器２７、第１の中
国人剰余定理計算器２９ａ、第２の中国人剰余定理計算
器２９ｂに、ｑはＦ_q還元復号器２８に、ｄ_p はＦ_p 還
元復号器２７に、ｄ_q はＦ_q 還元復号器２８、第１の中
国人剰余定理計算器２９ａ、第２の中国人剰余定理計算
器２９ｂにそれぞれ出力される。

【００２９】第２の受信器２１ｂは、暗号化装置５０か
ら送信された暗号文Ｃ＝（ｃ_x ，ｃ_y ）と係数ａを受信
し、暗号文Ｃを法ｐ暗号文還元器２３、法ｑ暗号文還元
器２４に、係数ａを法ｐ係数還元器２５、法ｑ係数還元
器２６に出力する。

【００３０】法ｐ暗号文還元器２３は前記記憶器２２に
記憶されたｐ，ｑと第２の受信器２１ｂで受信した暗号
文Ｃ＝（ｃ_x ，ｃ_y ）に対して、 ｃ_xp＝ｃ_x ｍｏｄ ｐ，ｃ_yp＝ｃ_y ｍｏｄ ｐ を計算し、法ｑ暗号文還元器２４は前記記憶器２２に記
憶されたｐ，ｑと第２の受信器２１ｂで受信した暗号文
Ｃ＝（ｃ_x ，ｃ_y ）に対して、 ｃ_xq＝ｃ_x ｍｏｄ ｑ，ｃ_yq＝ｃ_y ｍｏｄ ｑ を計算する。

【００３１】法ｐ暗号文還元器２３で計算されたｃ_xp，
ｃ_ypは、法ｐ係数還元器２５とＦ_p還元復号器２７に出
力され、法ｑ暗号部還元器２４で計算されたｃ_xq，ｃ_yq
は、法ｑ係数還元器２６とＦ_q 還元復号器２８に出力さ
れる。

【００３２】法ｐ係数還元器２５で計算されたａ_p ，ｂ
_p はＦ_p 還元復号器２７に出力され、法ｑ係数還元器２
６で計算されたａ_q ，ｂ_q はＦ_q 還元復号器２８に出力
される。 Ｆ_p 還元復号器２７で計算されたｍ_xpは第１
の中国人剰余定理計算器２９ａに出力され、ｍ_ypは第２
の中国人剰余定理計算器２９ｂに出力される。また、Ｆ
_q 還元復号器２８で計算されたｍ_xqは第１の中国人剰余
定理計算器２９ａに出力され、ｍ_yqは第２の中国人剰余
定理計算器２９ｂに出力される。第１の中国人剰余定理
計算器２９ａからはｍ_x が出力され、第２の中国人剰余
定理計算器２９ｂからはｍ_y が出力され、平文Ｍ＝（ｍ
_x ，ｍ_y ）が得られる。上述したように、本実施例の暗
号通信システムにおける暗号化関数は、特異な３次曲線
上の加算を繰り返すことによって暗号化を行なうことか
ら多項式で表現される。そのため、Ｌow exponent(mult
iplier)attack に対しては、単項式で表現されるＲＳＡ
暗号方式等の暗号化関数より、多項式で表現される本実
施例の暗号化関数の方が高い安全性を確保できる。

【００３３】また、本実施例の暗号通信システムは、特
異な３次曲線上の加算を用いて復号することなく、特異
な３次曲線上の暗号文を環Ｚn 上の暗号文に変換して、
復号化を環Ｚn 上の乗算によって行なうことから、ＲＳ
Ａ暗号方式と同程度の復号化速度が達成される。

【００３４】

【発明の効果】上述のように本発明によれば、暗号化を
特異な３次曲線上で行なうことにより、安全性をＲＳＡ
暗号方式よりも高く、復号化を環Ｚn 上に還元して行な
うことにより、復号化速度をＲＳＡ暗号方式と同程度に
することができる等の効果を奏するものである。

【図面の簡単な説明】

【図１】本発明に係る暗号通信システムの一実施例の概
略の構成を示すブロック図である。

【図２】図１に示した暗号通信システムの鍵生成装置の
構成を示した回路図である。

【図３】図１に示した暗号通信システムの復号装置の構
成を示した回路図である。

【図４】図１に示した暗号通信システムの暗号化装置の
構成を示した回路図である。

【符号の説明】

１ 受信側装置 ３ 公開ファイル装置 ５ 送信側装置 １０ 鍵生成装置 １１ 素数生成器 １２ 乗算器 １３ 最小公倍数計算器 １４ 互素数生成器 １５ 第１の逆数計算器 １６ 第２の逆数計算器 １７ 第１の送信器 １８ 第２の送信器 ２０ 復号装置 ２１ 受信器 ２２ 記憶器 ２３ 法ｐ暗号文還元器 ２４ 法ｑ係数還元器 ２５ 法ｐ暗号文還元器 ２６ 法ｑ係数還元器 ２７ Ｆ_p 還元復号器 ２８ Ｆ_q 還元復号器 ２９ 中国人剰余定理計算器 ５０ 暗号化装置 ５１ 受信器 ５２ 乱数生成器 ５３ β計算器 ５４ 係数計算器 ５５ 特異３次曲線乗算器 ５６ 送信器

フロントページの続き (56)参考文献 特開 平６−195025（ＪＰ，Ａ) 小山、桑門、鶴岡「３次曲線に基づく 公開鍵暗号」ＮＴＴ Ｒ＆Ｄ，Ｖｏｌ. 44，Ｎｏ．10（1995），Ｐ．953−960 桑門、小山「３次曲線上のＲＳＡ型暗 号方式の同報通信における安全性」電子 情報通信学会技術研究報告ＩＳＥＣ94− 10（1994年７月11日），Ｐ．23−30 桑門、小山「Ｚｎ上の楕円暗号の拡 張」電子情報通信学会技術研究報告ＩＳ ＥＣ93−６（1993年５月14日），Ｐ．35 −46 境、笠原「楕円曲線上の暗号とその性 質に関する考察」電子情報通信学会技術 研究報告ＩＳＥＣ93−10（1993年７月12 日），Ｐ．９−14

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 送信する平文を公開鍵を用いて暗号化し
   て特異な３次曲線ｙ ² ＋ａｘｙ≡ｘ ³ ＋ｂｘ ² （ｍｏｄ ｎ） （但し、ｎは十分大きな素数ｐ，ｑの積、ａ≠０、ｂ≠
   ０） 上で平文を繰り返し加算することにより暗号化を行ない
   暗号文を生成する暗号化手段を有する送信側装置と、 公開される公開鍵と、この公開鍵に対応する秘密鍵を予
   め生成する鍵生成手段と、受信される前記特異な３次曲
   線上の暗号文を前記秘密鍵を用いて環Ｚn 上の暗号文に
   変換して、環Ｚn 上の乗算によって復号化を行ない元の
   平文を生成する復号化手段とを有する受信側装置とを有
   することを特徴とする暗号通信システム。
2. 【請求項２】 前記鍵生成手段は、素数ｐ，ｑを生成
   し、ｎ＝ｐｑを計算し、最小公倍数ＬＣＭ（ｐ−１、ｑ
   −１）と互いに素な整数ｅを選び、 【数１】 を計算する機能を有し、 前記暗号化手段は、公開鍵ｅ，ｎと平文Ｍ＝（ｍ_x ，ｍ
   _y ）を入力し、乱数αを生成し、 【数２】 を計算し、ａ＝−（α＋β） ｍｏｄ ｎとｂ＝−αβ
   ｍｏｄ ｎを計算し、特異な３次曲線Ｅ_n （ａ，
   ｂ）：ｙ² ＋ａｘｙ≡ｘ³ ＋ｂｘ² （ｍｏｄ ｎ）
   （但し、ａ≠０、ｂ≠０）上での（ｘ₁ ，ｙ₁ ）と（ｘ
   ₂ ，ｙ₂ ）との和（ｘ₃，ｙ₃ ）は以下のように定義
   し、 【数３】 特異な３次曲線Ｅ_n （ａ，ｂ）：ｙ² ＋ａｘｙ≡ｘ³ ＋
   ｂｘ² （ｍｏｄ ｎ）上で平文Ｍをｅ回加算すること
   により暗号文Ｃ＝（ｃ_x ，ｃ_y ）＝ｅ・Ｍ overＥ
   _n （ａ，ｂ）を計算し、Ｃとａを出力する機能を有し、 前記復号化手段は、秘密鍵ｐ，ｑ，ｄ_p ，ｄ_q と暗号文
   Ｃ＝（ｃ_x ，ｃ_y ）と係数ａを入力し、 ｃ_xp＝ｃ_x ｍｏｄ ｐ，ｃ_yp＝ｃ_y ｍｏｄ ｐ， ｃ_xq＝ｃ_x ｍｏｄ ｑ，ｃ_yq＝ｃ_y ｍｏｄ ｑ， ａ_p ＝ａ ｍｏｄ ｐ， ａ_q ＝ａ ｍｏｄ ｑ を計算し、 【数４】 を計算し、 【数５】 を計算し、 【数６】 を計算し、（ｍ_x ，ｍ_y ）を出力する機能を有すること
   を特徴とする請求項１記載の暗号通信システム。