JP2836059B2

JP2836059B2 - 公開鍵暗号通信システム

Info

Publication number: JP2836059B2
Application number: JP8016707A
Authority: JP
Inventors: 秀典桑門; 謙二小山
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1996-02-01
Filing date: 1996-02-01
Publication date: 1998-12-14
Anticipated expiration: 2016-02-01
Also published as: JPH09214482A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、暗号通信システムに関
し、詳しくは、楕円曲線上の演算を利用した一意復号可
能な公開鍵暗号通信システムに関する。

【０００２】

【従来の技術】従来の楕円曲線上の演算を暗号化復号化
に利用した公開鍵暗号方式としては、楕円曲線ｙ²≡ｘ³
＋ｂ（mod ｎ）を利用した楕円ラビン方式が知られてい
る例えば、Ｋ．Ｋoyama，Ｕ．Ｍ．Ｍaurer，Ｔ．Ｏkamo
to and Ｓ．Ａ．Ｖanstone，；“Ｎew public-key sche
mes based on elliptic curves over the ring Ｚ_n”，
Ａdvances in Ｃryptology−Ｃrypto’９１，ＬＮＣＳ
５７６，pp．２５２−２６６，１９９１参照）。

【０００３】この楕円ラビン方式は、解読の難しさが素
因数分解の難しさと等価であることが数学的に証明され
ている。しかし、楕円ラビン方式は、暗号化関数が多対
一関数なので、暗号文を復号化すると、複数個の平文の
候補が得られ、受信者にはどれが送信者の送りたい平文
なのかわからなかった（復号の多義性）。また、楕円ラ
ビン方式では、復号化にも楕円曲線上の演算を利用して
いるので、復号化速度が遅かった。

【０００４】

【発明が解決しようとする課題】従来の楕円ラビン方式
は、上述の復号の多義性の問題であるので、何らかの付
加情報により平文を決定する必要がある。しかしなが
ら、安全性をそこなわずに平文を一意に決定するために
は、どのような付加情報を送ればよいのかが不明であっ
た。また、復号化速度が遅いことは実用化の際問題とな
る。

【０００５】本発明の目的は、従来の楕円ラビン方式と
同様に解読の難しさが素因数分解の難しさと等価であ
り、かつ、簡単に計算できる付加情報により一意に復号
が可能であり、かつ、復号化速度がより高速であるよう
な楕円曲線上の演算を利用した公開鍵暗号通信システム
を提供することにある。

【０００６】

【課題を解決するための手段】本発明の楕円曲線上の演
算を利用した公開鍵暗号通信システムは、以下のことを
特徴としている。 (１) 鍵生成では、２つの素数ｐ，ｑを生成し、ｎ＝ｐ
ｑを計算し、ｎを暗号化鍵として公開し（公開鍵）、ｐ
とｑを復号化鍵として受信側が秘密に保持する（秘密
鍵）。 (２) 送信側は、平文をＭ＝（ｍ_x，ｍ_y）とし、公開さ
れた受信者の暗号化鍵ｎと平文Ｍから、平文Ｍ＝
（ｍ_x，ｍ_y）を楕円曲線ｂｙ²≡ｘ³＋ｘ（mod ｎ）上で
２倍したＣ＝（ｃ_x，ｃ_y）を計算し、これを暗号文Ｃと
して受信側に送信する。また、一意に復号するための情
報として、簡単に計算できるヤコビ記号（ｍ_y／ｎ）の
値ｅ₁と、ｍ_xと１／ｍ_x mod ｎの大小関係を表わす値
ｅ₂とを、暗号文の付加情報として受信側に送信する。 (３) 受信側は、秘密の復号化鍵ｐ，ｑにより、暗号文
Ｃ＝（ｃ_x，ｃ_y）を楕円曲線ｂｙ²≡ｘ³＋ｘ（mod ｐ，
ｑ）上で１／２倍する。この１／２倍を計算する際、復
号化をより高速に行うために４次方程式の解の公式を用
いる。暗号文Ｃを１／２倍した点は４つ存在するので、
それらを平文の候補Ｍ_i（ｉ＝１〜４）とおく。このＭ_i
（ｉ＝１〜４）の中から、付加情報ｅ₁，ｅ₂を用いて平
文Ｍを選ぶ。

【０００７】

【発明の実施の形態】以下、本発明の一実施の形態につ
いて図面を用いて説明する。図１は、本発明の公開鍵暗
号通信システムの全体ブロック図を示す。図１におい
て、１０はセンタ装置、２０は送信側装置、３０は受信
側装置である。センタ装置１０は、利用者から任意に参
照可能な公開ファイル装置１１０を有している。送信側
装置２０は暗号化装置２１０を有し、受信側装置３０は
鍵生成装置３１０と復号化装置３２０を有する。

【０００８】あらかじめ鍵生成装置３１０にて、暗号化
鍵ｎと復号化鍵ｐ、ｑを生成し、暗号化鍵ｎは公開鍵と
して公開ファイル装置１１０に登録し、復号化鍵ｐ、ｑ
は秘密鍵として復号化装置３２０に記憶しておく。セン
タ装置１０の公開ファイル装置１１０には、該鍵生成装
置３１０によって生成された暗号化鍵ｎが、それぞれ利
用者毎に登録されている。

【０００９】送信側装置２０では、公開ファイル装置１
１０より相手受信者の暗号化鍵ｎを入手し、暗号化装置
２１０にて、入力された平文Ｍを該暗号化鍵ｎにより暗
号化し、さらに付加情報ｅ（＝ｅ₁，ｅ₂）を生成し、そ
の暗号文Ｃと付加情報ｅを受信側装置３０に送信する。
受信側装置３０の復号化装置３２０では、暗号文Ｃを復
号化鍵ｐ、ｑと付加情報ｅとによって一意に復号し、平
文Ｍを出力する。

【００１０】なお、鍵生成装置３１０は、必ずしも受信
側装置３０に設ける必要はなく、例えばセンタ装置１０
に設けてもよいが、この場合には、復号化装置３２０が
保持する復号化鍵ｐ，ｑの秘密性が保証される必要があ
る。

【００１１】以下に、鍵生成装置３１０、暗号化装置２
１０及び復号化装置３２０の構成例を詳述する。

【００１２】〈鍵生成装置〉図２は、本発明の一実施例
の鍵生成装置３１０の構成図を示す。素数生成器３１１
は２つの素数ｐ、ｑを生成し、乗算器３１２はｎ＝ｐｑ
を計算する。ここで、ｎは暗号化鍵（公開鍵）として公
開ファイル装置１１０に登録され、ｐとｑは復号化鍵
（秘密鍵）として復号化装置３２０に記憶される。

【００１３】〈暗号化装置〉図３は、本発明の一実施例
の暗号化装置２１０の構成図を示す。暗号化装置２１０
には、入力として、暗号化鍵ｎと平文Ｍ＝（ｍ_x，ｍ_y）
が与えられる。但し、０＜ｍ_x＜ｎかつ０＜ｍ_y＜ｎかつ
ｇｃｄ（ｍ_xｍ_y，ｎ）＝１とする。

【００１４】楕円曲線２倍算器２１１は、暗号化鍵ｎと
平文Ｍ＝（ｍ_x，ｍ_y）から、該平文Ｍ＝（ｍ_x，ｍ_y）を
楕円曲線ｂｙ²≡ｘ³＋ｘ（mod ｎ）上で２倍した点Ｃ＝
（ｃ_x，ｃ_y）を計算し、暗号文Ｃとする。具体的には、
楕円曲線２倍算器２１１では、

【００１５】

【数１】

【００１６】の計算が行われる。ここで、ｂの計算は不
要であるが、形式的には、ｂ＝（ｍ_x ³＋ｍ_x）／ｍ_y ² mo
d ｎを意味する。

【００１７】付加情報生成器２１２は、暗号化鍵ｎと平
文Ｍ＝（ｍ_x，ｍ_y）から、付加情報ｅ＝（ｅ₁，ｅ₂）を
計算する。具体的には、付加情報生成器２１２では、

【００１８】

【数２】

【００１９】の計算が行なわれている。但し、（）は
ヤコビ（Ｊacobi）記号である。

【００２０】暗号化装置２１０は、求った暗号文Ｃ＝
（ｃ_x，ｃ_y）と付加情報ｅ＝（ｅ₁，ｅ₂）を受信側装置
３０に送出して、動作を終了する。

【００２１】〈復号化装置〉図４は、本発明の一実施例
の復号化装置の構成図を示す。鍵生成装置３１０で生成
された素数ｐ、ｑは各々記憶部３２１と記憶部３２２に
記憶されている。

【００２２】楕円曲線１／２倍算器３２３は、楕円曲線
ｂｙ²≡ｘ³＋ｘ（mod ｐ）上の暗号文Ｃ＝（ｃ_x，ｃ_y）
の２つの１／２倍点Ｍｐ₁＝（ｍ_xp1，ｍ_yp1）、Ｍｐ₂＝
（ｍ_xp2，ｍ_yp2）を計算する（復号化）。この場合、よ
り少ない演算量で復号化するために、式（１）をmod ｐ
に還元した４次方程式を直接解いて１／２点（半点）を
計算する。式（１）をmod ｐに還元した式から、解くべ
き４次方程式は以下のようになる。

【００２３】ｘ⁴−４ｃ_xpｘ³−２ｘ²−４ｃ_xpｘ＋１≡０（mod ｐ) (３) ここで、ｃ_xpは既知数である。式（３）に４次方程式の
解の公式を適用すると、解ｘ_i（ｉ＝１〜４）は形式的
に以下のようになる。

【００２４】

【数３】

【００２５】式（４）は少なくとも解ｍ_xpと１／ｍ_xp m
od pをもつので、ｘ_i（ｉ＝１〜４)のうち２つはｍ_xpと
１／ｍ_xp mod ｐである。ｍ_xpと１／ｍ_xp mod ｐ以外の
解はmod ｐでは存在しないことを示す。

【００２６】具体的に、楕円曲線１／２倍計算器３２３
では、次の計算が行われる。

【００２７】

【数４】

【００２８】ここで、ｋ_pは式（６）をみたす値であ
る。

【００２９】

【数５】

【００３０】同様に楕円曲線１／２倍算器３２４は、、
楕円曲線ｂｙ²≡ｘ³＋ｘ（mod ｑ)上の暗号文Ｃ＝
（ｃ_x，ｃ_y）の２つの１／２倍点Ｍ_q1＝（ｍ_xq1，
ｍ_yq1）、Ｍ_q2＝（ｍ_xq2，ｍ_yq2）を計算する。

【００３１】中国人剰余定理計算器３２４は、ｐ、ｑと
Ｍ_p1、Ｍ_p2、Ｍ_q1、Ｍ_q2から平文の４つの候補Ｍ_i＝
（ｍ_xi，ｍ_yi）（ｉ＝１〜４）を計算する。具体的に
は、中国人剰余定理計算器３２５では、

【００３２】

【数６】

【００３３】の計算が行なわれる。ここで、ＣＲＴ（ｔ
_p，ｔ_q）はｔ_p、ｔ_qに中国人剰余定理を適用することを
意味し、具体的には、式（８）で表わされる。

【００３４】

【数７】

【００３５】比較器３２６では、ｅ₁を用いて、Ｍ_i＝
（ｍ_xi，ｍ_yi）（ｉ＝１〜４）の中から（ｍ_yi／ｐｑ）
がｅ₁と同じ点を選ぶ。このようなＭ_iは必ず２つある。
それらをＭ_i、Ｍ_jとおく。次に、比較器３２７におい
て、ｅ₂を用いて、Ｍ_iとＭ_jのうち、ｅ₂＝０ならばｘ座
標値が大きい方、さもなければｘ座標値が小さい方を平
文Ｍとして出力する。

【００３６】

【発明の効果】上述のように、本発明の公開鍵暗号通信
システムによれば、解読の難しさが素因数分解の難しさ
と等価であり、即ち、全面的に解読することは暗号化鍵
ｎを素因数分解することと等価であり、かつ、簡単に計
算できる付加情報により一意に復号が可能であり、さら
に、復号に４次方程式の解の公式を利用することによ
り、復号化速度のより高速化が可能である。

【図面の簡単な説明】

【図１】本発明の一実施例のシステム全体図である。

【図２】鍵生成装置の一実施例の構成図である。

【図３】暗号化装置の一実施例の構成図である。

【図４】復号化装置の一実施例を構成図である。

【符号の説明】

１１０公開ファイル装置２１０暗号化装置２１１楕円曲線２倍算器２１２付加情報生成器３１０鍵生成装置３１１素数生成器３１２乗算器３２０復号化装置３２１，３２２秘密鍵記憶部３２３，３２４楕円曲線１／２倍算器３２５中国人剰余定理計算器３２６，３２７比較器

フロントページの続き (56)参考文献林彬，清水秀夫「一意復号可能なＲａｂｉｎ型暗号」電子情報通信学会技術研究報告，Ｖｏｌ．92，Ｎｏ．134, （1992），ｐ．29−32（ＩＳＥＣ92− ４) ＫｅｎｊｉＫｏｙａｍａ，ＵｅｌｉＭ．Ｍａｕｒｅｒ，ＴａｔｓｕａｋｉＯｋａｍｏｔｏ，ＳｃｏｔｔＡ．Ｖａｎｓｔｏｎｅ，“Ｎｅｗｐｕｂｌｉｃ −ＫｅｙＳｃｈｅｍｅｓＢａｓｅｄｏｎＥｌｌｉｐｔｉｃＣｕｒｖｅｓｏｖｅｒｔｈｅＲｉｎｇＺｎ，”ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，Ｖｏｌ．576，（1992），ｐ．252− 266 (58)調査した分野(Int.Cl.⁶，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 - 9/38

Claims

(57)【特許請求の範囲】

【請求項１】鍵生成装置、暗号化装置、復号化装置、
公開ファイル装置、及び、これら装置を結ぶ通信路から
構成され、楕円曲線上の演算を利用した一意復号可能な
公開鍵暗号通信システムであって、前記鍵生成装置は、２つの素数ｐ，ｑを生成し、該ｐ，
ｑを秘密鍵の復号化鍵として前記復号化装置に記憶する
手段と、前記生成した素数ｐ，ｑの積ｎ（ｎ＝ｐｑ）を
計算し、該ｎを公開鍵の暗号化鍵として前記公開ファイ
ル装置へ登録する手段とを有し、前記暗号化装置は、前記公開ファイル装置から暗号化鍵
ｎを入手し、平文Ｍ＝（ｍ_x，ｍ_y）を楕円曲線ｂｙ²≡
ｘ³＋ｘ（mod ｎ）上で２倍した点Ｃ＝（ｃ_x，ｃ_y）を
計算し、暗号文Ｃとして前記復号化装置に送信する手段
と、前記暗号化鍵ｎと平文Ｍ＝（ｍ_x，ｍ_y）から、ヤコ
ビ記号（ｍ_y／ｎ）の値ｅ₁と、ｍ_xと１／ｍ_x mod ｎの
大小関係を表わす値ｅ₂とを求め、一意復号のための付
加情報ｅ（＝ｅ₁，ｅ₂）として前記復号化装置に送信す
る手段とを有し、前記復号化装置は、前記復号化鍵ｐ，ｑと暗号文Ｃか
ら、４次方程式の解の公式を用いて、暗号文Ｃ＝
（ｃ_x，ｃ_y）を楕円曲線ｂｙ²≡ｘ³＋ｘ（mod ｐ，ｑ）
上で１／２倍して、平文の候補Ｍ_i＝（ｍ_xi，ｍ_yi）
（ｉ＝１〜４）を求める手段と、前記候補Ｍ_iの中から
（ｍ_yi／ｎ）が前記付加情報ｅ₁と同じＭ_j（ｊ＝１，
２）を選び、該Ｍ_jから前記付加情報ｅ₂により平文Ｍを
決定する手段とを有する、ことを特徴とする公開鍵暗号
通信システム。