JP3043762B2 - 鍵生成装置 - Google Patents

Description

【発明の詳細な説明】 ［発明の目的］ （産業上の利用分野） 本発明は、RSA暗号を利用した情報通信システムに適
用され、特に、ディジタル署名や復号変換といった個人
の秘密変換が高速に実行できるような暗号方式に関す
る。

（従来の技術） 公開鍵暗号の代表であるRSA（Rivest−Shamir−Adlem
an）暗号は、ディジタル署名機能を実現できること、鍵
管理が容易になること等の優れた特徴を持ち、セキュリ
ティを必要とする情報通信システムへの応用が期待され
ている。しかしながら、RSA暗号の欠点としては処理の
演算量が多く、特に復号変換（および署名作成）の処理
量が大きくなることがあげられる。復号変換（および署
名作成）は、各ユ−ザが自分の秘密鍵を用いて処理を行
うために、通常、各ユ−ザの端末（汎用のパ−ソナル・
コンピュ−タ等）で実行するため、それほど処理能力の
大きな装置を期待することはできない。従って、復号変
換（および署名作成）の処理時間の高速化が課題であ
る。

RSA暗号の復号変換（および署名作成）を高速化する
方法としては、以下に示すような方法が知られている
（“Fast decipherment algorithm for RSA public−ke
y cryptosystem",Electronic Letters,18,21,pp.905−9
07あるいは“現代暗号理論",池野，小山，電子通信学会
編pp.117−119）。この方法を説明するために、まずRSA
暗号の鍵生成法から説明する。

（１） 10進100桁程度の大きな素数p,qを生成し、その
積をｎとする。ｎは10進200桁程度の大きさとなる。

ｎ＝ｐ＊ｑ （１） （２） （ｐ−１）と（ｑ−１）の最小公倍数を計算
し、Ｌとする。Ｌは10進200桁程度の大きさとなる。

Ｌ＝LCM（Ｐ−1,q−１） （２） （３） １＜ｅ＜Ｌで、Ｌと互いに素な整数を選びｅと
する。

（４） 次式を満たすようなｄを計算する。ｄは10進20
0桁程度の大きさとなる。

ｅ＊ｄ＝１ mod Ｌ （３） 以上がRSA暗号の鍵生成法であり、ｅおよびｎは公開
し、ｄは秘密に保持する。なお、（３）においてｅは、
安全性を下げずに小さく選ぶことができる。

また、RSA暗号の復号変換（および署名作成）は次の
計算式で表される。この計算を高速化する方法を次に説
明する。

Ｃ＝M^d mod ｎ （４） （１）（５），（６）式のd_p、d_qを求める。

d_p＝ｄ mod ｐ−１ （５） d_q＝ｄ mod ｑ−１ （６） （２）Ｍから（７），（８）式のM_p,M_qを求める。

M_p＝Ｍ mod ｐ （７） M_q＝Ｍ mod ｑ （８） （３）M_p,M_q,d_p,d_q,p,qから（９），（10）式のC_p,C_qを
求める。

C_p＝M_p ^d _pmod p （９） C_q＝M_q ^d _qmod q （10） （４）C_p,C_qから中国剰余定理により、（11），（12）
式の連立合同式を解いてＣを求める。

すなわち、x_q＝q^-1 mod ｐ （13） x_p＝p^-1 mod ｑ （14） とおくと、 Ｃ＝C_pqX_q＋C_qpX_pmod n（15）によりＣが求められ
る。なお、（13），（14）式は拡張ユ−クリッドの互除
法と呼ばれるアルゴリズムを用いれば効率よく計算でき
る。なお、（13），（14）式の一方を計算するだけで
（15）式に相当するＣを求めることもできる。また、
（13），（14），（５），（６）式の計算は、Ｍの値に
依存しないので、一度行っておけば毎回計算する必要は
ない。

従来の（４）式をそのまま計算することは、大きな整
数のべき乗剰余計算を行うことに相当する。大きな整数
のべき乗剰余計算は、取り扱う整数の桁数をｂとする
と、b³オ−ダ−の処理時間を要する。高速化された計算
法の処理時間も（９），（10）式のべき乗剰余計算の処
理時間に相当し、取り扱う整数の桁数が（４）式の半分
となっているので、一つの式の計算が約８倍高速にな
る。（９），（10）式を計算機のソフト等で逐次的に行
う場合には、全体として約４倍高速化される。

以上説明した方式は、従来の計算法に比べて、計算機
のソフトによる実現で約４倍高速化できるが、それでも
まだ演算量としては大きすぎる場合が多い。例えば、ユ
−ザの使用する装置がICカ−ドのように計算力の乏しい
場合にはその傾向が顕著である。

（発明が解決しようとする課題） 以上述べてきたように、従来の計算方法ではRSA暗号
の復号変換（および署名作成）の処理時間は十分に高速
化されているとはいえない。特に、ユ−ザの使用する装
置がICカ−ドのように計算力の乏しい場合にはその傾向
が顕著である。

そこで、本発明は上記の点に鑑みてなされたものであ
り、法ｎの素因数分解に対する安全性は下げずにユ−ザ
が復号変換に用いる鍵の大きさに制約を加えることで、
復号変換（および署名作成）の高速化を実現するもので
ある。

［発明の構成］ （課題を解決するための手段） 上記目的を達成するために本発明においては、ユ−ザ
が復号変換に用いる鍵の大きさに制約を加えることを特
徴とする。具体的には、ユ−ザが復号変換（および署名
作成）に用いる鍵であるd_p,d_qのサイズを素数p,qに比べ
て極めて小さいものを用いる。従って、RSA暗号の公開
鍵であるｅは、d_p,d_qが小さいという条件から生成する
ことになる。このようにd_p,d_qを設定してもｄのサイズ
は従来方式のままであり、ｄに対する総当り攻撃に対す
る安全性は劣化しない。

（作用） RSA暗号の高速復号変換の処理時間は、おおむねM_p ^d _p
modおよびM_q ^d _q mod qの計算時間に相当する。従来、鍵
に何も制約を付けない場合には、d_p,d_qのサイズは素数
p,qのサイズ（10進100桁程度）に一致し、べき乗剰余計
算に必要となる剰余乗算の回数が750回程度必要であ
り、このことが、処理時間を高速化できない原因であっ
た。本発明は、d_p,d_qのサイズに制約を加えるものであ
り、例えばd_p,d_qをそれぞれ32ビット（10進10桁程度）
に設定した場合には、べき乗剰余計算に必要となる剰余
乗算の回数が96回程度となり、従来の高速復号変換に比
べて約８倍高速化され、高速復号変換を用いない場合と
比べると約32倍高速化される。

（実施例） 以下、図面を参照して本発明の一実施例を説明する。
まず、第１図に本発明によるRSA暗号を利用した情報通
信システムの一構成を示す、同図において、100はユ−
ザｉの保持する演算装置、200はユ−ザｊの保持する演
算装置、110はユ−ザｉの利用する端末、210ユ−ザｊの
利用する端末、500ユ−ザi,j間の通信路である。110や2
10の端末は、100や200の演算装置よりも計算力に優れて
いる。実際には、100,200はICカ−ド、110,210はパ−ソ
ナル・コンピュ−タ等の装置構成となる。演算装置100
内には、ユ−ザｉの秘密鍵が記憶されており、演算装置
200内には、ユ−ザｊの秘密鍵が記憶されている。各ユ
−ザの公開鍵は100や210の各端末に記憶されている。

ユ−ザｉからｊへ、ユ−ザｉの署名文を送信する場
合、演算装置100でユ−ザｉの署名が作成され、端末110
を通して、ユ−ザｊの利用する端末210へ送信される。
署名の検査は端末210で行う。ユ−ザｉからｊへRSA暗号
を利用して暗号通信を行う場合には、ユ−ザｉの利用す
る端末110で、ユ−ザｊの公開鍵を用いて暗号化を行
い、端末210に暗号文を送信する。端末210は、演算装置
200に暗号文を送り、復号は演算装置200内で行う。

第２図は、本発明によるRSA暗号の鍵生成手順を示し
たものである。まず、10進100桁程度の大きさの素数を
２つ生成し、p,qとする（ステップ21）。この２数の積
をｎとする（ステップ22）。また、ｐ−１とｑ−１の最
大公約数（GCD）を計算し、これをｇとする（ステップ2
3）。さらに、ｐ−１とｑ−１の最小公倍数（LCM）を求
めこれをＬとする（ステップ24）。次に、予め制限した
大きさの乱数を２つ生成し、d_p,d_qとする（ステップ2
5）。このd_p,d_qが法をｇとする代数系の上で合同である
か確認する。合同でない場合には（ステップ25）へ戻
り、別のd_p,d_qを生成する（ステップ26）。次に、d_pと
ｐ−１の最大公約数（GCD）を計算する。同様にd_qとｑ
−１の最大公約数（GCD）を計算する。この２つのGCDの
どちらかが１でない場合には、（ステップ25）へ戻り、
別のd_p,d_qを生成する（ステップ27）。次に、（16）式
の連立方程式を解く（ステップ28）。

ｄ＝d_pmod p−１ ｄ＝d_qmod q−１ （16） 連立方程式の解法は、例えば、高木貞治：“初等整数
論議義",共立出版,pp.31−35に示されている。（16）式
の解は、Ｌ＝LCM（ｐ−1,q−１）としてただ一つ定ま
り、これをｄとする。最後に、法Ｌの上でのｄの逆元を
計算し、ｅとする（29）。

以上の手順により、10進で200桁程度のn,e,dが生成さ
れる。但し、d_p,d_qは条件設定により任意に小さくで
き、ｄの代わりにd_p,d_qを用いることでRSA暗号の復号変
換（および署名作成）が高速になる。n,eは公開する。d
_p,d_q,p,qは秘密に演算装置内に記憶させる。演算装置は
パスワ−ド検査等の手段で十分にアクセス制御されてい
るものとする。なお、ｅの値は、従来方式では安全性を
下げずに十分小さく選ぶことができたが、本発明では10
進で200桁程度の大きさになるため、暗号変換は従来方
式に比べてかなり演算量が多くなる。しかし、暗号変換
は公開の鍵を利用するので演算能力の大きな汎用パ−ソ
ナル・コンピュ−タやワ−クステ−ションに実行させる
ことができ、暗号変換の演算量の多さはあまり問題とな
らない。

第３図に、復号変換（および署名作成）の処理手順を
示す。計算したいものはM^dmod nである。まず、Ｍを外
部から入力する（ステップ31）。次に、（17），（18）
式のx_p,x_qを求める（ステップ32）。

x_q＝q^-1mod ｐ （17） x_p＝p^-1mod ｑ （18） なお、このx_p,x_qは一度計算しておけば、その値を記
憶しておくことで毎回用いることができる。次に、（1
9），（20）式のM_p,M_qを求める。（ステップ33）。

M_p＝Ｍ mod ｐ （19） M_q＝Ｍ mod ｑ （20） 次に、（21），（22）式のべき乗剰余計算によりC_p,C
_qを求める（ステップ34）。

C_p＝Mp^dpmod p （21） C_q＝Mq^dqmod q （22） 最後に、（23）式の計算によりＣを求める。（ステッ
プ35）。

Ｃ＝C_pqx_q＋C_qpx_pmod n （23） Ｃを出力して、復号変換（および署名作成）処理は終
了する（ステップ36）。

第４図に、ユ−ザが複合変換に用いる鍵のサイズに制
約を加える別の方法の鍵生成手順を示す。まず、10進10
0桁程度の大きさの素数を２つ生成し、p,qとする41）。
この２数の積をｎとする（ステップ42）。また、ｐ−１
とｑ−１の最少公倍数（LCM）を求め、これをＬとする
（ステップ43）。次に、予め制限した大きさの乱数を生
成し、ｄとする（ステップ44）。このｄとＬの最大公約
数（GCD）を計算する。GCDが１でない場合には、（ステ
ップ43）へ戻り、別のｄを生成する（ステップ44）。最
後に、法Ｌの上でのｄの逆元を計算し、ｅとする（ステ
ップ45）。

この第４図に示した手順を第２図に示した手順と比較
する。第４図の方法の秘密鍵ｄをｂビットと定めると、
秘密鍵ｄのサイズを小さくしたことにより、総当り的に
ｄを探索する攻撃に対して安全性が低下し、2^b個の鍵を
探索すれば秘密鍵が発見されることになる。第２図の方
法でも、総当り的に秘密鍵を探索する攻撃に対しては、
同様に安全性が低下する。（16）式のd_p,d_qのビット数
をｗビットすると、d_p,d_qの組み合わせである2^2w個の鍵
の組み合わせを探索すれば秘密鍵の組が発見される。こ
のような総当り攻撃に対する安全性を同程度に保つため
には、第４図の方法に対して定めたｄのビット数（＝ｂ
ビット）の半分のサイズ（＝b/2ビット）にd_p,d_qを設定
すればよい。第４図の方法に対して、復号変換の高速計
算法を用いる場合と、第２図の方法との処理量を比較す
る。法となるp,qのサイズは両方式で同じであるとし
て、さらに総当り攻撃に対して同程度の安全性になるよ
うに鍵のサイズを定めた場合を考える。通常、法p,qの
サイズに比べてｂは小さいと考えてよい。従って、d_p,d
_qのサイズがそれぞれ半分になっているので第２図の方
法の処理量は第４図の方法の1/2になる。

第５図は、第２図に示した鍵生成手順を実現する鍵生
成装置50のブロック図である。21の素p,qの生成は素数
発生器51で行われ、p,qは外部に出力される。これらp,q
を用いたｎの計算22は乗算器53で行われ、ｎは外部に出
力される。23,24のg,Lの計算GCD,LCM計算器52で行われ
る。25の乱数d_p,d_qの生成は55の乱数発生器で行われ、
これらd_p,d_qに対する26,27の判定は半定器54で行われ、
判定を通ったd_p,d_qは外部に出力される。これらd_p,d_qに
対する連立合同式28の解法は56の連立合同式解法装置で
行われる。最後に、29のｅの計算が、57の逆元計算器で
行われ、ｅは外部に出力され、鍵生成は終了する。

第６図は、第４図に示した鍵生成手順を実現する鍵生
成装置60のブロック図である。41の素数p,qの生成は素
数発生器61で行われ、p,qは外部に出力される。これら
p,qを用いたｎの計算42は乗算器63で行われ、ｎは外部
に出力される。43のＬの計算はLCM計算器62で行われ
る。44の乱数ｄの生成は65の乱数発生器で行われ、この
ｄに対する45の判定は判定器64で行われ、判定を通った
ｄは外部に出力される。最後に、46のｅの計算が、66の
逆元計算器で行われ、ｅは外部に出力され、鍵生成は終
了する。

［発明の効果］ 以上詳述してきたように、RSA暗号の高速復号変換の
処理時間は、おおむねM_p ^d _pmod qの計算時間に相当す
る。従来、鍵に何も制約を付けない場合には、d_p,d_qの
サイズは法である素数p,qのサイズ（10進100桁程度）に
一致し、べき乗剰余計算に必要となる乗剰余乗算の回数
が750回程度必要であった。本発明は、d_p,d_qのサイズに
制約を加えるものであり、例えばd_p,d_qをそれぞれ32ビ
ット（10進10桁程度）に設定した場合には、べき乗剰余
計算に必要となるべき乗剰余計算の回数が96回程度とな
り、従来の高速復号変換に比べて約８倍高速化される。
このようにd_p,d_qを小さく選んでも、ｄの大きさはp,q程
度となり、ｄの総当り攻撃に対する安全性は劣化しな
い。

【図面の簡単な説明】

第１図は、本発明の一実施例である情報通信システムの
一構成図、第２図は、本発明の一実施例であるRSA暗号
の鍵生成手段を示した図、第３図は、復号変換の処理手
順を示した図、第４図は、本発明の別の実施例であるが
RSA暗号の鍵生成手順を示した図、第５図は、第２図の
鍵生成手順を実行する鍵生成装置のブロック図、第６図
は、第４図の鍵生成手順を実行する鍵生成装置のブロッ
ク図である。 100,200……演算装置、110,210……端末、500……通信
路、50,60……鍵生成装置、51,61……素数発生器、52…
…GCD,LCM計算器、62……LCM計算器、53,63……乗算
器、54,64……判定器、55,65……乱数発生器、56……連
立合同式解法装置、57,66……逆元計算器。

フロントページの続き (56)参考文献 Ｒ．Ｌ．Ｒｉｖｅｓｔ，Ａ．Ｓｈａｍ ｉｒ ａｎｄ Ｌ．Ａｄｌｅｍａｎ, “Ａ Ｍｅｔｈｏｄ ｆｏｒ Ｏｂｔａ ｉｎｉｎｇ Ｄｉｇｉｔａｌ Ｓｉｇｎ ａｔｕｒｅｓ ａｎｄ Ｐｕｂｌｉｃ− Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔｅｍ ｓ，”Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ＡＣＭ，Ｖｏｌ．21，Ｎｏ．２, （1978），ｐｐ．120−126 Ｄ．Ｗ．Ｄａｖｉｅｓ ａｎｄ Ｗ. Ｌ．Ｐｒｉｃｅ，上園忠弘監訳「ネット ワーク・セキュリティ」日経マグロウヒ ル，（昭和60年），ｐｐ．208−210 池野信一，小山謙二「現代暗号理論」 第２版，電子通信学会，ｐｐ．117−119 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (1)

(57)【特許請求の範囲】
1. 【請求項１】RSA暗号に用いる秘密鍵dp及びdq、並びに
   第一の公開鍵ｎ及び第二の公開鍵ｅを生成する鍵生成装
   置であって、 素数ｐ及びｑを生成する素数発生手段と、 このｐとｑの積を前記第一の公開鍵ｎとして出力する乗
   算手段と、 前記素数ｐより小さなビットサイズを有する前記dpと、
   前記素数ｑより小さなビットサイズを有する前記dqとを
   生成する乱数発生手段と、 前記素数ｐ−１を法とする代数系の上では前記dpと合同
   であり前記素数ｑ−１を法とする代数系の上では前記dq
   と合同であるような秘密鍵ｄに対応する、前記第二の公
   開鍵ｅを生成して出力する計算手段とを備えたことを特
   徴とする鍵生成装置。