JP3050313B2 - 楕円曲線変換装置、利用装置及び利用システム - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は情報セキュリテイ技
術としての暗号技術に関し、特に、楕円曲線を用いて実
現する暗号・復号技術、デジタル署名・検証技術及び鍵
共有技術に関する。

【０００２】

【従来の技術】１．公開鍵暗号 近年、コンピュータ技術と通信技術とに基づくデータ通
信が広く普及してきており、このデータ通信において
は、秘密通信方式又はデジタル署名方式が用いられてい
る。ここで、秘密通信方式とは、特定の通信相手以外に
通信内容を漏らすことなく通信を行なう方式である。ま
たデジタル署名方式とは、通信相手に通信内容の正当性
を示したり、発信者の身元を証明する通信方式である。

【０００３】これらの秘密通信方式又はデジタル署名方
式には公開鍵暗号とよばれる暗号方式が用いられる。公
開鍵暗号は通信相手が多数の時、通信相手ごとに異なる
暗号鍵を容易に管理するための方式であり、多数の通信
相手と通信を行なうのに不可欠な基盤技術である。公開
鍵暗号を用いる秘密通信では、暗号化鍵と復号化鍵とが
異なり、復号化鍵は秘密にするが、暗号化鍵は公開す
る。

【０００４】この公開鍵暗号の安全性の根拠として離散
対数問題が用いられる。離散対数問題には、代表的なも
のとして、有限体上定義されるもの及び楕円曲線上定義
されるものがある。なお、離散対数問題については、ニ
イルコブリッツ著 ”ア コウス イン ナンバア セ
オリイ アンド クリプトグラヒイ”(Neal Koblitz, "
A Course in Number theory and Cryptography", Spri
nger-Verlag,1987)に詳しく述べられている。 ２．楕円曲線上の離散対数問題 楕円曲線上の離散対数問題について、以下に述べる。

【０００５】楕円曲線上の離散対数問題とは、Ｅ（ＧＦ
（ｐ））を有限体ＧＦ（ｐ）上で定義された楕円曲線と
し、楕円曲線Ｅの位数が大きな素数で割り切れる場合
に、楕円曲線Ｅに含まれる元Ｇをベースポイントとす
る。このとき、楕円曲線Ｅに含まれる与えられた元Ｙに
対して、 （式１） Ｙ＝ｘ＊Ｇ となる整数ｘが存在するならば、ｘを求めよ、という問
題である。

【０００６】ここで、ｐは素数、ＧＦ（ｐ）はｐ個の元
を持つ有限体である。また、この明細書において、記号
＊は、楕円曲線に含まれる元を複数回加算する演算を示
し、ｘ＊Ｇは、次式に示すように、楕円曲線に含まれる
元Ｇをｘ回加算することを意味する。 ｘ＊Ｇ＝Ｇ＋Ｇ＋Ｇ＋・・・＋Ｇ 離散対数問題を公開鍵暗号の安全性の根拠とするのは、
多くの元を有する有限体ＧＦ（ｐ）に対して、上記問題
は極めて難しいからである。 ３．楕円曲線上の離散対数問題を応用したエルガマル署
名 以下に、上記楕円曲線上の離散対数問題を応用したエル
ガマル署名によるデジタル署名方式について、図１を用
いて、説明する。

【０００７】この図は、上記エルガマル署名によるデジ
タル署名方式の手順を示すシーケンス図である。ユーザ
Ａ１１０、管理センタ１２０及びユーザＢ１３０は、ネ
ットワークで接続されている。ｐを素数、有限体ＧＦ
（ｐ）上の楕円曲線をＥとする。Ｅのベースポイントを
Ｇとし、Ｅの位数をｑとする。つまり、ｑは、 （式２） ｑ＊Ｇ＝０ を満たす最小の正整数である。

【０００８】なお、ｘ座標、ｙ座標ともに∞である
（∞、∞）を無限遠点といい、０で表す。この０は、楕
円曲線を群とみたときに、無限遠点が加算における「零
元」の役割を果たす。 （１）管理センタ１２０による公開鍵の生成 管理センタ１２０は、予め通知されているユーザＡ１１
０の秘密鍵ｘＡを用いて、式３に従って、ユーザＡ１１
０の公開鍵ＹＡを生成する（ステップＳ１４１〜Ｓ１４
２）。 （式３） ＹＡ＝ｘＡ＊Ｇ その後、管理センタ１２０は、素数ｐ、楕円曲線Ｅ及び
ベースポイントＧをシステムパラメータとして公開し、
また、他のユーザＢ１３０にユーザＡ１１０の公開鍵Ｙ
Ａを公開する（ステップＳ１４３〜Ｓ１４４）。

【０００９】（２）ユーザＡ１１０による署名生成 ユーザＡ１１０は、乱数ｋを生成する（ステップＳ１４
５）。次に、ユーザＡ１１０は、 （式４） Ｒ１＝（ｒｘ，ｒｙ）＝ｋ＊Ｇ を計算し（ステップＳ１４６）、 （式５） ｓ×ｋ＝ｍ＋ｒｘ×ｘＡ （ｍｏｄ ｑ） から、ｓを計算する（ステップＳ１４７）。ここで、ｍ
は、ユーザＡ１１０がユーザＢ１３０へ送信するメッセ
ージである。

【００１０】さらに、ユーザＡ１１０は、得られた（Ｒ
１、ｓ）を署名としてメッセージｍとともに、ユーザＢ
１３０へ送信する（ステップＳ１４８）。 （３）ユーザＢ１３０による署名検証 ユーザＢ１３０は、 （式６） ｓ＊Ｒ１＝ｍ＊Ｇ＋ｒｘ＊ＹＡ が成立するかどうか判定することにより、送信者である
ユーザＡ１１０の身元を確認する（ステップＳ１４
９）。これは、 （式７） ｓ＊Ｒ１＝｛（（ｍ＋ｒｘ×ｘＡ）／ｋ）×ｋ｝＊Ｇ ＝（ｍ＋ｒｘ×ｘＡ）＊Ｇ ＝ｍ＊Ｇ＋（ｒｘ×ｘＡ）＊Ｇ ＝ｍ＊Ｇ＋ｒｘ＊ＹＡ となることから明らかであるである。 ４．楕円曲線上の点の加算、２倍算の演算による計算量 上記に示した楕円曲線上の離散対数問題を応用したエル
ガマル署名によるデジタル署名方式における公開鍵の生
成、署名生成、署名検証のそれぞれにおいて、楕円曲線
上の点の冪倍の演算の計算が行われる。例えば、式３に
示す「ｘＡ＊Ｇ」、式４に示す「ｋ＊Ｇ」、式６に示す
「ｓ＊Ｒ１」、「ｍ＊Ｇ」、「ｒｘ＊ＹＡ」は、楕円曲
線上の点の冪倍の演算である。

【００１１】楕円曲線の演算公式については、"Efficie
nt elliptic curve exponentiation"（Miyaji, Ono, an
d Cohen著、Advances in cryptology-proceedings of I
CICS'97, Lecture notes incomputer science, 1997,
Springer-verlag, 282-290.）に詳しく説明されてい
る。

【００１２】楕円曲線の演算公式について、以下に説明
する。楕円曲線の方程式をｙ＾２ ＝ ｘ＾３ ＋ａ×
ｘ＋ｂ とし、任意の点Ｐの座標を（ｘ１，ｙ１）と
し、任意の点Ｑの座標を（ｘ２，ｙ２）とする。ここ
で、Ｒ＝Ｐ＋Ｑで定まる点Ｒの座標を（ｘ３，ｙ３）と
する。

【００１３】なお、この明細書において、記号＾は、冪
乗の演算を示し、例えば、２＾３は、２×２×２を意味
する。Ｐ≠Ｑの場合、Ｒ＝Ｐ＋Ｑは、加算の演算とな
る。加算の公式を以下に示す。 ｘ３＝｛（ｙ２−ｙ１）／（ｘ２−ｘ１）｝＾２−ｘ１
−ｘ２ ｙ３＝｛（ｙ２−ｙ１）／（ｘ２−ｘ１）｝（ｘ１−ｘ
３）−ｙ１ Ｐ＝Ｑの場合、Ｒ＝Ｐ＋Ｑ＝Ｐ＋Ｐ＝２×Ｐとなり、Ｒ
＝Ｐ＋Ｑは、２倍算の演算となる。２倍算の公式を以下
に示す。

【００１４】 ｘ３＝｛（３ｘ１＾２＋ａ）／２ｙ１｝＾２−２ｘ１ ｙ３＝｛（３ｘ１＾２＋ａ）／２ｙ１｝（ｘ１−ｘ３）
−ｙ１ なお、上記演算は、楕円曲線が定義される有限体上での
演算である。上記に示すように、２項組座標であるアフ
ィン座標、すなわち今まで述べてきた座標において、楕
円曲線上の加算演算を行う場合に、楕円曲線上の加算１
回につき、１回の有限体上の逆数計算が必要となる。一
般に、有限体上の逆数計算は、有限体上での乗算計算と
比較して、１０倍程度の計算量を必要とする。

【００１５】そこで、計算量を削減することを目的とし
て、射影座標と呼ばれる３項組の座標が用いられる。射
影座標とは、３項組Ｘ、Ｙ、Ｚからなる座標のことであ
って、座標（Ｘ，Ｙ，Ｚ）と座標（Ｘ’，Ｙ’，Ｚ’）
とに対して、ある数ｎが存在して、Ｘ’＝ｎＸ、Ｙ’＝
ｎＹ、Ｚ’＝ｎＺなる関係があるならば、（Ｘ，Ｙ，
Ｚ）＝（Ｘ’，Ｙ’，Ｚ’）とするものである。

【００１６】アフィン座標（ｘ，ｙ）と射影座標（Ｘ，
Ｙ，Ｚ）とは、 （ｘ，ｙ） → （ｘ，ｙ，１） （Ｘ，Ｙ，Ｚ）→ （Ｘ／Ｙ，Ｙ／Ｚ） （Ｚ≠０のと
き） なる関係で、互いに対応している。ここで、記号→は、
次に示す意味で用いている。集合Ｓ１の任意の元に、集
合Ｓ２の一つの元が対応するとき、Ｓ１→Ｓ２と表記す
る。

【００１７】以下、楕円曲線の演算は、すべて、射影座
標で行われるものとする。次に、射影座標上の楕円曲線
の加算公式、２倍公式について説明する。これらの公式
は、もちろん、前に述べたアフィン座標における加算公
式、２倍公式と整合性のあるものである。冪倍の演算
は、楕円曲線上の点の加算、２倍算の演算の繰り返しに
よって実現できる。この冪倍の演算のうち、加算の計算
量は、楕円曲線のパラメータに依存しないが、２倍算の
計算量は、楕円曲線のパラメータに依存する。

【００１８】ここでは、ｐを１６０ビットの素数とし、
有限体ＧＦ（ｐ）上の楕円曲線をＥ：ｙ＾２ ＝ ｘ＾
３ ＋ａｘ＋ｂ とし、楕円曲線Ｅ上の元Ｐ、Ｑをそれ
ぞれ、Ｐ＝（Ｘ１，Ｙ１，Ｚ１）、 Ｑ＝（Ｘ２，Ｙ
２，Ｚ２）で表すとき、 Ｒ＝（Ｘ３，Ｙ３，Ｚ３）＝Ｐ＋Ｑ を以下のようにして、求める。

【００１９】（ｉ）Ｐ≠Ｑの場合 この場合、加算の演算となる。 (step 1-1) 中間値の計算 以下を計算する。 （式８） Ｕ１＝Ｘ１×Ｚ２＾２ （式９） Ｕ２＝Ｘ２×Ｚ１＾２ （式１０） Ｓ１＝Ｙ１×Ｚ２＾３ （式１１） Ｓ２＝Ｙ２×Ｚ１＾３ （式１２） Ｈ＝Ｕ２−Ｕ１ （式１３） ｒ＝Ｓ２−Ｓ１ (step 1-2) Ｒ＝（Ｘ３，Ｙ３，Ｚ３）の計算 以下を計算する。 （式１４） Ｘ３＝−Ｈ＾３−２×Ｕ１×Ｈ＾２＋ｒ＾
２ （式１５） Ｙ３＝−Ｓ１×Ｈ＾３＋ｒ×（Ｕ１×Ｈ＾
２−Ｘ３） （式１６） Ｚ３＝Ｚ１×Ｚ２×Ｈ （ii）Ｐ＝Ｑの場合（すなわち、Ｒ＝２Ｐ） この場合、２倍算の演算となる。

【００２０】(step 2-1) 中間値の計算 以下を計算する。 （式１７） Ｓ＝４×Ｘ１×Ｙ１＾２ （式１８） Ｍ＝３×Ｘ１＾２＋ａ×Ｚ１＾４ （式１９） Ｔ＝−２×Ｓ＋Ｍ＾２ (step 2-2) Ｒ＝（Ｘ３，Ｙ３，Ｚ３）の計算 以下を計算する。 （式２０） Ｘ３＝Ｔ （式２１） Ｙ３＝−８×Ｙ１＾４＋Ｍ×（Ｓ−Ｔ） （式２２） Ｚ３＝２×Ｙ１×Ｚ１ 次に、楕円曲線の加算、２倍算を行う場合の計算量につ
いて説明する。ここで、有限体ＧＦ（ｐ）上の１回の乗
算による計算量を１Ｍｕｌ、１回の２乗算による計算量
を１Ｓｑで表す。なお、一般のマイクロプロセッサにお
いては、１Ｓｑ≒０．８Ｍｕｌである。

【００２１】上記の例によると、Ｐ≠Ｑの場合に示され
ている楕円曲線上の加算の計算量は、式８〜式１６にお
いて、乗算の回数及び２乗算の回数をカウントすること
により得られ、１２Ｍｕｌ＋４Ｓｑである。これは、式
８、９、１０、１１、１４、１５、１６における加算の
計算量は、それぞれ、１Ｍｕｌ＋１Ｓｑ、１Ｍｕｌ＋１
Ｓｑ、２Ｍｕｌ、２Ｍｕｌ、２Ｍｕｌ＋２Ｓｑ、２Ｍｕ
ｌ、２Ｍｕｌであることから明らかである。

【００２２】また、上記の例によると、Ｐ＝Ｑの場合に
示されている楕円曲線上の２倍算の計算量は、式１７〜
式２２において、乗算の回数及び２乗算の回数をカウン
トすることにより得られ、４Ｍｕｌ＋６Ｓｑである。こ
れは、式１７、１８、１９、２１、２２における２倍算
の計算量は、それぞれ、１Ｍｕｌ＋１Ｓｑ、１Ｍｕｌ＋
３Ｓｑ、１Ｓｑ、１Ｍｕｌ＋１Ｓｑ、１Ｍｕｌであるこ
とから明らかである。

【００２３】なお、上記回数のカウントにおいて、例え
ば、式１４のＨ＾３については、 Ｈ＾３＝Ｈ＾２×Ｈ と展開できるので、Ｈ＾３の計算量は、１Ｍｕｌ＋１Ｓ
ｑとし、式１８のＺ１＾４については、 Ｚ１＾４＝（Ｚ１＾２）＾２ と展開できるので、Ｚ１＾４の計算量は、２Ｓｑとす
る。

【００２４】また、式１４のＨ＾２については、前述の
Ｈ＾３の計算のプロセスにおいて、Ｈ＾２が算出されて
いるので、Ｈ＾２の計算量は再度カウントしない。ま
た、乗算の回数のカウントの際、ある値に小さい値を乗
じて行われる乗算の回数は、カウントしない。その理由
を以下に説明する。ここで言う小さい値とは、式８〜式
２２において、乗算の対象となる小さい固定値であり、
具体的には、２、３、４、８などの値である。これらの
値は、多くとも４ビットの２進数で表現できる。一方、
その他の変数は、通常、１６０ビットの値を有してい
る。

【００２５】一般に、マイクロプロセッサにおいて、乗
数と被乗数との乗算は、被乗数のシフトと加算の繰り返
しにより行われる。すなわち、２進数で表現される乗数
の各ビット毎に、このビットが１であるならば、２進数
で表現される被乗数の最下位ビットが、このビットの存
在する位置に一致するように、被乗数をシフトして、１
つのビット列を得る。乗数の全ビットについて、このよ
うにして得られた少なくとも１つのビット列をすべて加
算する。

【００２６】例えば、１６０ビットの乗数と１６０ビッ
トの被乗数との乗算においては、１６０ビットの被乗数
を１６０回シフトし、１６０個のビット列を得、得られ
た１６０個のビット列を加算する。一方、４ビットの乗
数と１６０ビットの被乗数との乗算においては、１６０
ビットの被乗数を４回シフトし、４個のビット列を得、
得られた４個のビット列を加算する。

【００２７】乗算は、上記に示すようにして行われるの
で、乗算がある値に小さい値を乗じて行われる場合に
は、前記繰り返しの回数が少なくなる。従って、その計
算量は少ないと見なせるので、乗算の回数にカウントし
ない。以上説明したように、楕円曲線の２倍算を行う場
合において、式１８には、楕円曲線のパラメータａが含
まれている。このパラメータａの値として、例えば、小
さい値を採用すると、楕円曲線上の２倍算の計算量は、
１Ｍｕｌ分削減でき、３Ｍｕｌ＋６Ｓｑとなる。なお、
加算に関しては、楕円曲線のパラメータを変化させて
も、計算量は変わらない。 ５．暗号に適した楕円曲線の選択 次に暗号に適した楕円曲線を選択する方法について説明
する。なお、その詳細については、「IEEE P1363 Worki
ng draft」（１９９７年２月６日、ＩＥＥＥ発行） に
詳しく書かれている。

【００２８】暗号に適した楕円曲線は、以下のステップ
を繰り返すことにより得られる。 (step 1) 任意の楕円曲線の選択 有限体ＧＦ（ｐ）上の任意のパラメータａ、ｂを選ぶ。
ここで、ａ、ｂは、式２３を満たし、ｐは素数である。 （式２３） ４×ａ＾３＋２７×ｂ＾２ ≠０ （ｍｏｄ ｐ） 選択されたａ、ｂを用いて、楕円曲線をＥ： ｙ＾２
＝ ｘ＾３ ＋ａ×ｘ＋ｂ とする。

【００２９】(step 2) 暗号に適した楕円曲線であるか
どうかを判定楕円曲線Ｅの元の個数＃Ｅ（ＧＦ（ｐ））
を計算し、 （条件１） ＃Ｅ（ＧＦ（ｐ））が大きな素数で割り切
れ、かつ、 （条件２） ＃Ｅ（ＧＦ（ｐ））−（ｐ＋１） ≠
０，−１である場合に、楕円曲線Ｅを採用する。条件１
又は条件２を満たさない場合は、楕円曲線Ｅを棄却し、
step 1に戻って、再度、任意の楕円曲線の選択と、判定
とを繰り返す。

【００３０】

【発明が解決しようとする課題】上記に説明したよう
に、楕円曲線のパラメータａとして固定的に小さい値を
選択すると、楕円曲線の冪倍の演算において計算量を削
減できるものの、パラメータを予め固定的に取ることに
より、暗号に適した安全な楕円曲線を選択しにくいとい
う問題点がある。

【００３１】また逆に、上記に説明した楕円曲線の選択
方法を用いて、暗号に適した安全な楕円曲線を選択する
と、楕円曲線のパラメータａとして小さい値を選択でき
るとは限らず、計算量を削減できないという問題点があ
る。このように、暗号に適した安全な楕円曲線を選択
し、その楕円曲線での演算量を削減するためには、相互
に矛盾し対立する問題点を有する。

【００３２】本発明は、上記に示す問題点を解決し、暗
号に適した安全な楕円曲線として任意に選択された楕円
曲線を、この楕円曲線と等価な安全性を有し、かつ、計
算量を削減できる楕円曲線に変換する楕円曲線変換装
置、楕円曲線変換方法、及び楕円曲線変換プログラムを
記録している記録媒体を提供することを目的とする。ま
た、これにより安全でかつ高速に演算ができる暗号装
置、復号装置、デジタル署名装置、デジタル署名検証装
置、鍵共有装置などの利用装置及び前記利用装置と前記
楕円曲線変換装置とから構成される利用システムを提供
することを目的とする。

【００３３】

【課題を解決するための手段】上記の問題点を解決する
ために、本発明は、１つの楕円曲線Ｅを変換して他の１
つの楕円曲線Ｅｔを生成する楕円曲線変換装置であっ
て、外部から、素数ｐと、楕円曲線Ｅのパラメータａ及
びパラメータｂと、ベースポンイトとしての元Ｇとを受
信する手段であって、楕円曲線Ｅは、有限体ＧＦ（ｐ）
上で定義され、ｙ＾２＝ｘ＾３＋ａｘ＋ｂで表され、元
Ｇは、楕円曲線Ｅ上に存在し、Ｇ＝（ｘ０，ｙ０）で表
される受信手段と、有限体ＧＦ（ｐ）上に存在する変換
係数ｔを取得する手段であって、変換係数ｔは、ｔ≠０
であり、かつ、ｔ＾４×ａ （ｍｏｄ ｐ）は、素数ｐ
と比較して桁数が小さい、という条件を満たす変換係数
取得手段と、前記取得された変換係数ｔを用いて、次式
により、楕円曲線Ｅｔのパラメータａ’及びｂ’と、新
たなベースポイント元Ｇｔとを算出する手段であって、
ａ’＝ａ×ｔ＾４、ｂ’＝ｂ×ｔ＾６、ｘｔ０＝ｔ＾２
×ｘ０、ｙｔ０＝ｔ＾３×ｙ０、楕円曲線Ｅｔは、有限
体ＧＦ（ｐ）上で定義され、ｙ’＾２ ＝ ｘ’＾３
＋ａ’×ｘ’＋ｂ’で表され、ｘｔ０、ｙｔ０は、それ
ぞれ元Ｇｔのｘ座標値、ｙ座標値である楕円曲線算出手
段と、前記算出されたパラメータａ’及びｂ’と、元Ｇ
ｔとを外部へ出力する出力手段とを備えることを特徴と
する。

【００３４】ここで、ｐは、１６０ビットの素数であ
り、前記変換係数取得手段は、ｔ＾４×ａ （ｍｏｄ
ｐ）が３２ビット以下の数になる、という条件を満たす
変換係数ｔを取得するように構成してもよい。ここで、
前記変換係数取得手段は、ｔ＾４×ａ （ｍｏｄ ｐ）
が−３となる、という条件を満たす変換係数ｔを取得す
るように構成してもよい。

【００３５】ここで、前記変換係数取得手段は、変数Ｔ
として、初期値を−３とし、初期値以外の値について
は、桁数の小さい値から大きい値へ順に取ることと、Ｔ
＝ｔ＾４×ａ （ｍｏｄ ｐ）という条件を満たすかど
うかを判定することとを繰り返すことにより、変換係数
ｔを取得するように構成してもよい。また、本発明は、
１つの楕円曲線Ｅを変換して他の１つの楕円曲線Ｅｔを
生成する楕円曲線変換装置と、生成された楕円曲線Ｅｔ
を利用する利用装置とからなる楕円曲線利用システムで
あって、前記利用装置は、第１出力手段と第１受信手段
と利用手段とを備え、前記楕円曲線変換装置は、第２受
信手段と変換係数取得手段と楕円曲線算出手段と第２出
力手段とを備え、前記第１出力手段は、素数ｐと、楕円
曲線Ｅのパラメータａ及びパラメータｂと、ベースポイ
ントとしての元Ｇとを前記楕円曲線変換装置へ出力し、
ここで、楕円曲線Ｅは、有限体ＧＦ（ｐ）上で定義さ
れ、ｙ＾２＝ｘ＾３＋ａｘ＋ｂで表され、元Ｇは、楕円
曲線Ｅ上に存在し、Ｇ＝（ｘ０，ｙ０）で表され、前記
第２受信手段は、前記利用装置から、素数ｐと、楕円曲
線Ｅのパラメータａ及びパラメータｂと、元Ｇとを受信
し、前記変換係数取得手段は、有限体ＧＦ（ｐ）上に存
在する変換係数ｔを取得し、ここで、変換係数ｔは、ｔ
≠０であり、かつ、ｔ＾４×ａ （ｍｏｄ ｐ）は、素
数ｐと比較して桁数が小さい、という条件を満し、前記
楕円曲線算出手段は、前記取得された変換係数ｔを用い
て、次式により、楕円曲線Ｅｔのパラメータａ’及び
ｂ’と、新たなベースポイントとしての元Ｇｔとを算出
し、ａ’＝ａ×ｔ＾４、ｂ’＝ｂ×ｔ＾６、ｘｔ０＝ｔ
＾２×ｘ０、ｙｔ０＝ｔ＾３×ｙ０、ここで、楕円曲線
Ｅｔは、有限体ＧＦ（ｐ）上で定義され、ｙ’＾２ ＝
ｘ’＾３＋ａ’×ｘ’＋ｂ’で表され、ｘｔ０、ｙｔ
０は、それぞれ元Ｇｔのｘ座標値、ｙ座標値であり、前
記第２出力手段は、前記算出されたパラメータａ’及び
ｂ’と、元Ｇｔとを前記利用装置へ出力し、前記第１受
信手段は、前記出力されたパラメータａ’及びｂ’と、
元Ｇｔとを受信し、前記利用手段は、素数ｐと、前記受
信したパラメータａ’及びｂ’とで定まる楕円曲線と、
ベースポイントとしての元Ｇｔとを用いて、有限体ＧＦ
（ｐ）上で定義される楕円曲線上での演算に基づき、離
散対数問題を安全性の根拠とする暗号、復号、デジタル
署名、デジタル署名検証又は鍵共有を行うことを特徴と
する。

【００３６】また、本発明は、第２受信手段と変換係数
取得手段と楕円曲線算出手段と第２出力手段とを備え、
１つの楕円曲線Ｅを変換して他の１つの楕円曲線Ｅｔを
生成する楕円曲線変換装置から、前記生成された楕円曲
線Ｅｔを受信して利用する利用装置であって、前記利用
装置は、第１出力手段と第１受信手段と利用手段とを備
え、前記第１出力手段は、素数ｐと、楕円曲線Ｅのパラ
メータａ及びパラメータｂと、ベースポイントとしての
元Ｇとを前記楕円曲線変換装置へ出力し、ここで、楕円
曲線Ｅは、有限体ＧＦ（ｐ）上で定義され、ｙ＾２＝ｘ
＾３＋ａｘ＋ｂで表され、元Ｇは、楕円曲線Ｅ上に存在
し、Ｇ＝（ｘ０，ｙ０）で表され、前記第２受信手段
は、前記利用装置から、素数ｐと、楕円曲線Ｅのパラメ
ータａ及びパラメータｂと、元Ｇとを受信し、前記変換
係数取得手段は、有限体ＧＦ（ｐ）上に存在する変換係
数ｔを取得し、ここで、変換係数ｔは、ｔ≠０であり、
かつ、ｔ＾４×ａ （ｍｏｄ ｐ）は、素数ｐと比較し
て桁数が小さい、という条件を満し、前記楕円曲線算出
手段は、前記取得された変換係数ｔを用いて、次式によ
り、楕円曲線Ｅｔのパラメータａ’及びｂ’と、元Ｇｔ
とを算出し、ａ’＝ａ×ｔ＾４、ｂ’＝ｂ×ｔ＾６、ｘ
ｔ０＝ｔ＾２×ｘ０、ｙｔ０＝ｔ＾３×ｙ０、ここで、
楕円曲線Ｅｔは、有限体ＧＦ（ｐ）上で定義され、ｙ’
＾２ ＝ ｘ’＾３ ＋ａ’×ｘ’＋ｂ’で表され、ｘ
ｔ０、ｙｔ０は、それぞれ元Ｇｔのｘ座標値、ｙ座標値
であり、前記第２出力手段は、前記算出されたパラメー
タａ’及びｂ’と、元Ｇｔとを前記利用装置へ出力し、
前記第１受信手段は、前記出力されたパラメータａ’及
びｂ’と、元Ｇｔとを受信し、前記利用手段は、素数ｐ
と、前記受信したパラメータａ’及びｂ’とで定まる楕
円曲線と、ベースポンイトとしての元Ｇｔとを用いて、
有限体ＧＦ（ｐ）上で定義される楕円曲線上での演算に
基づき、離散対数問題を安全性の根拠とする暗号、復
号、デジタル署名、デジタル署名検証又は鍵共有を行う
ことを特徴とする。

【００３７】

【発明の実施の形態】本発明に係る１つの実施の形態と
しての楕円曲線変換装置２００について、図を用いて説
明する。 １．楕円曲線変換装置２００の構成 楕円曲線変換装置２００は、図２に示すように、パラメ
ータ受信部２１０、変換係数取得部２２０、変換楕円曲
線算出部２３０、パラメータ送出部２４０から構成され
る。 （パラメータ受信部２１０）パラメータ受信部２１０
は、外部の装置から、楕円曲線のパラメータａ、ｂと、
前記楕円曲線上の元Ｇと、素数ｐとを受信する。ここ
で、ｐは、１６０ビットの素数である。

【００３８】前記外部の装置には、公開鍵暗号を用いる
暗号装置、復号装置、デジタル署名装置、デジタル署名
検証装置、鍵共有装置などが含まれる。前記外部の装置
は、公開鍵暗号の安全性の根拠として楕円曲線上の離散
対数問題を用いており、前記楕円曲線を有している。こ
こで、有限体ＧＦ（ｐ）上の任意に構成される前記楕円
曲線は、Ｅ：ｙ＾２ ＝ ｘ＾３ ＋ａｘ＋ｂ で示さ
れ、前記元Ｇは、前記楕円曲線の任意に構成され、 Ｇ＝（ｘ０，ｙ０） で表される。 （変換係数取得部２２０）変換係数取得部２２０は、図
３に示すように、関数Ｔ（ｉ）を有する。関数Ｔ（ｉ）
は、ｉ＝０、１、２、３、４のとき、それぞれ、−３、
１、−１、２、−２の値を有する。また、関数Ｔ（ｉ）
は、ｉ＝５、６、７、８、９、１０、１１、・・・のと
き、３、４、−４、５、−５、６、−６、・・・の値を
有する。

【００３９】変換係数取得部２２０は、ｉ＝０から始め
て、ｉの値を１ずつ加算しながら、 （式２４） −２＾３１＋１≦Ｔ（ｉ）≦２＾３１−１ を満たし、かつ、 （式２５） Ｔ（ｉ）＝ｔ＾４×ａ （ｍｏｄ ｐ） となる変換係数ｔであって、有限体ＧＦ（ｐ）上の元で
ある変換係数ｔを算出する。

【００４０】ここで、式２４は、Ｔ（ｉ）が３２ビット
以下になるように取られることを示している。なお、関
数Ｔ（ｉ）は、ｉ＝０のときに、−３の値を有してお
り、変換係数取得部２２０は、ｉ＝０から始めて、ｉの
値を１ずつ加算しながら、関数Ｔ（ｉ）の値を参照する
ので、最初に−３の値が参照される。

【００４１】また、関数Ｔ（ｉ）は、ｉ＝０のときに、
−３の値を有していることを除いて、絶対値の小さい値
から大きい値へと順に値を有しているので、絶対値の小
さい値から順に参照することができる。（変換楕円曲線
算出部２３０）変換楕円曲線算出部２３０は、有限体Ｇ
Ｆ（ｐ）上に構成される変換楕円曲線Ｅｔ：ｙ’＾２
＝ ｘ’＾３ ＋ａ’×ｘ’＋ｂ’のパラメータａ’、
ｂ’をそれぞれ次のようにして、算出する。 （式２６） ａ’＝ａ×ｔ＾４ （式２７） ｂ’＝ｂ×ｔ＾６ また、変換楕円曲線算出部２３０は、元Ｇに対応する変
換楕円曲線Ｅｔ上の元Ｇｔ＝（ｘｔ０，ｙｔ０）を次の
ようにして、算出する。 （式２８） ｘｔ０＝ｔ＾２×ｘ０ （式２９） ｙｔ０＝ｔ＾３×ｙ０ なお、楕円曲線Ｅ上の任意の点は、以上のようにして生
成されたパラメータａ’、ｂ’で定まる変換楕円曲線Ｅ
ｔ上の１点に変換される。 （パラメータ送出部２４０）パラメータ送出部２４０
は、前記算出された変換楕円曲線Ｅｔのパラメータ
ａ’、ｂ’と、元Ｇｔ（ｘｔ０，ｙｔ０）とを前記外部
の装置へ送出する。 ２．楕円曲線変換装置２００の動作 （楕円曲線変換装置２００の全体の動作）楕円曲線変換
装置２００の全体の動作について、図４に示すフローチ
ャートを用いて、説明する。

【００４２】パラメータ受信部２１０は、外部の装置か
ら素数ｐと、楕円曲線Ｅのパラメータａ及びｂとを受け
取り（ステップＳ３０１）、前記楕円曲線上の元Ｇを受
け取る（ステップＳ３０２）。次に、変換係数取得部２
２０は、変換係数ｔを算出し（ステップＳ３０３）、変
換楕円曲線算出部２３０は、有限体ＧＦ（ｐ）上に構成
される変換楕円曲線Ｅｔのパラメータａ’、ｂ’と、元
Ｇに対応する変換楕円曲線Ｅｔ上の元Ｇｔ＝（ｘｔ０，
ｙｔ０）を算出し（ステップＳ３０４）、パラメータ送
出部２４０は、前記算出された変換楕円曲線Ｅｔのパラ
メータａ’、ｂ’と、元Ｇｔ（ｘｔ０，ｙｔ０）とを前
記外部の装置へ送出する（ステップＳ３０５）。 （変換係数取得部２２０の動作）次に、変換係数取得部
２２０の動作について、図５に示すフローチャートを用
いて説明する。

【００４３】変換係数取得部２２０は、ｉに０の値を設
定する（ステップＳ３１１）。次に、変換係数取得部２
２０は、関数Ｔ（ｉ）について、 −２＾３１＋１≦Ｔ（ｉ）≦２＾３１−１ を満たすかどうかを判定し、満たさないならば（ステッ
プＳ３１２）、処理を終了する。満たすならば（ステッ
プＳ３１２）、 Ｔ（ｉ）＝ｔ＾４×ａ （ｍｏｄ ｐ） となる変換係数ｔを算出し（ステップＳ３１３）、算出
された変換係数ｔが有限体ＧＦ（ｐ）上の元であるかど
うかを判定し、有限体ＧＦ（ｐ）上の元であるなら（ス
テップＳ３１４）、処理を終了する。有限体ＧＦ（ｐ）
上の元でないなら（ステップＳ３１４）、ｉに１を加算
し（ステップＳ３１５）、再度ステップＳ３１２へ制御
を戻す。 （変換楕円曲線算出部２３０の動作）次に、変換楕円曲
線算出部２３０の動作について、図６に示すフローチャ
ートを用いて説明する。

【００４４】変換楕円曲線算出部２３０は、有限体ＧＦ
（ｐ）上に構成される変換楕円曲線Ｅｔのパラメータ
ａ’＝ａ×ｔ＾４を算出し（ステップＳ３２１）、パラ
メータｂ’＝ｂ×ｔ＾６を算出する（ステップＳ３２
２）。また、変換楕円曲線算出部２３０は、元Ｇに対応
する変換楕円曲線Ｅｔ上の元Ｇｔ＝（ｘｔ０，ｙｔ０）
として、ｘｔ０＝ｔ＾２×ｘ０を算出し（ステップＳ３
２３）、ｙｔ０＝ｔ＾３×ｙ０を算出する（ステップＳ
３２４）。 ３．変換楕円曲線Ｅｔと楕円曲線Ｅとが同型である証明 ここでは、変換楕円曲線Ｅｔ：ｙ’＾２＝ｘ’＾３＋ａ
×ｔ＾４×ｘ’＋ｂ×ｔ＾６と、楕円曲線Ｅ：ｙ＾２＝
ｘ＾３＋ａ×ｘ＋ｂとが同型であることを証明する。な
お、以下において、楕円曲線上の演算は、アフィン座標
のものを取り扱う。

【００４５】楕円曲線Ｅ上の任意の点Ｐ（ｘ０，ｙ０）
を取る。このとき、点Ｐは、Ｅ上の点であるから、 （式３０） ｙ０＾２＝ｘ０＾３＋ａ×ｘ０＋ｂ を満たしている。この変換により、点Ｐは、点Ｐ’（ｘ
０’，ｙ０’）＝（ｔ＾２×ｘ０，ｔ＾３×ｙ０）に変
換される。

【００４６】ここで、式３０の両辺に、ｔ＾６をかける
と、 ｔ＾６×ｙ０＾２＝ｔ＾６×ｘ０＾３＋ｔ＾６×ａ×ｘ
０＋ｔ＾６×ｂ が得られる。この式は、次のように変形できる。 （ｔ＾３×ｙ０）＾２＝（ｔ＾２×ｘ０）＾３＋ａ×ｔ
＾４×（ｔ＾２×ｘ０）＋ｂ×ｔ＾６ この式は、さらに、次のように変形できる。

【００４７】ｙ０’＾２＝ｘ０’＾３＋ａ×ｔ＾４×ｘ
０’＋ｂ×ｔ＾６ これは、点Ｐ’が、変換楕円曲線Ｅｔ上にあることを示
している。また、楕円曲線Ｅ上の点から変換楕円曲線Ｅ
ｔ上の点への変換は、 （ｘ，ｙ）→（ｘ’，ｙ’）＝（ｔ＾２×ｘ，ｔ＾３×
ｙ） により示される。ここで、ｔ≠０であるので、以下に示
す変換楕円曲線Ｅｔ上の点から楕円曲線Ｅ上への点の変
換は、上記変換の逆変換であることは容易に分かる。

【００４８】（ｘ’，ｙ’）→（ｘ，ｙ）＝（ｘ’／
（ｔ＾２），ｙ’／（ｔ＾３）） 以上のことから、楕円曲線Ｅ上の点と変換楕円曲線Ｅｔ
上の点とは、１対１に対応していることが分かる。次
に、楕円曲線Ｅ上の任意の異なる２点Ｐ＝（ｘ１，ｙ
１）、Ｑ＝（ｘ２，ｙ２）を取り、Ｒ＝Ｐ＋Ｑとし、Ｒ
の座標を（ｘ３，ｙ３）とする。このとき、前に述べた
ように、 ｘ３＝｛（ｙ２−ｙ１）／（ｘ２−ｘ１）｝＾２−ｘ１
−ｘ２ ｙ３＝｛（ｙ２−ｙ１）／（ｘ２−ｘ１）｝（ｘ１−ｘ
３）−ｙ１ となる。

【００４９】次に、本発明で用いた楕円曲線の変換によ
り、楕円曲線Ｅ上の点Ｐ、点Ｑ、点Ｒが、それぞれ、変
換楕円曲線Ｅｔ上の点Ｐ’、点Ｑ’、点Ｒ’に変換され
るものとする。ここで、点Ｐ’、点Ｑ’、点Ｒ’の座標
をそれぞれ、（ｘ１’，ｙ１’）、（ｘ２’，ｙ
２’）、（ｘ３’，ｙ３’）とする。このとき、 ｘ１’＝ｔ＾２×ｘ１ ｙ１’＝ｔ＾３×ｙ１ ｘ２’＝ｔ＾２×ｘ２ ｙ２’＝ｔ＾３×ｙ２ ｘ３’＝ｔ＾２×ｘ３ ｙ３’＝ｔ＾３×ｙ３ が成り立つ。

【００５０】また、Ｒ”＝Ｐ’＋Ｑ’とする。ただし、
ここにおける加算演算は、変換楕円曲線Ｅｔ上の加算を
示す。Ｒ”の座標を（ｘ３”，ｙ３”）とすると、 ｘ３”＝｛（ｙ２’−ｙ１’）／（ｘ２’−ｘ１’）｝
＾２−ｘ１’−ｘ２’ ｙ３”＝｛（ｙ２’−ｙ１’）／（ｘ２’−ｘ１’）｝
（ｘ１’−ｘ３’）−ｙ１’ となる。

【００５１】ここで、この式におけるｘ１’、ｙ１’、
ｘ２’、ｙ２’を、それぞれ、上記のように、ｘ１、ｙ
１、ｘ２、ｙ２を用いて表すと、 ｘ３”＝｛（ｔ＾３×ｙ２−ｔ＾3×ｙ１）／（ｔ＾２×ｘ２ −ｔ＾２×ｘ１）｝＾２−ｔ＾２×ｘ１−ｔ＾２×ｘ２ ＝｛ｔ（ｙ２−ｙ１）／（ｘ２−ｘ１）｝＾２−ｔ＾２×ｘ１ −ｔ＾２×ｘ２ ＝ｔ＾２×｛｛（ｙ２−ｙ１）／（ｘ２−ｘ１）｝＾２−ｘ１−ｘ２｝ ＝ｔ＾２×ｘ３ ＝ｘ３’ ｙ３”＝｛（ｔ＾３×ｙ２−ｔ＾3×ｙ１）／（ｔ＾２×ｘ２ −ｔ＾２×ｘ１）｝×（ｔ＾２×ｘ１−ｔ＾２×ｘ３） −ｔ＾３×ｙ１ ＝｛ｔ（ｙ２−ｙ１）／（ｘ２−ｘ１）｝×ｔ＾２（ｘ１−ｘ３） −ｔ＾３×ｙ１ ＝ｔ＾３×｛｛（ｙ２−ｙ１）／（ｘ２−ｘ１）｝×（ｘ１−ｘ３） −ｙ１｝ ＝ｔ＾３×ｙ３ ＝ｙ３’ となる。従って、Ｒ’とＲ”とは、等しい点を表してい
ることが分かる。

【００５２】以上により、楕円曲線上の加算演算は、本
変換においても、保存されることが分かる。次に、Ｑ＝
Ｐの場合について、すなわち、２倍公式について、述べ
る。前と同様に、楕円曲線Ｅ上の任意の点Ｐに対して、
Ｒ＝Ｐ＋Ｐとし、本発明で用いた楕円曲線の変換によ
り、楕円曲線Ｅ上の点Ｐ、点Ｒが、それぞれ、変換楕円
曲線Ｅｔ上の点Ｐ’、点Ｒ’に変換されるものとする。
ここで、点Ｐ、点Ｒ、点Ｐ’、点Ｒ’の座標をそれぞ
れ、（ｘ１，ｙ１）、（ｘ３，ｙ３）、（ｘ１’，ｙ
１’）、（ｘ３’，ｙ３’）とする。このとき、 ｘ１’＝ｔ＾２×ｘ１ ｙ１’＝ｔ＾３×ｙ１ ｘ３’＝ｔ＾２×ｘ３ ｙ３’＝ｔ＾３×ｙ３ が成り立つ。また、Ｒ”＝Ｐ’＋Ｐ’とする。

【００５３】ただし、ここにおける２倍演算は、変換楕
円曲線Ｅｔ上の２倍演算を示す。点Ｒ”の座標を（ｘ
３”，ｙ３”）とすると、 ｘ３”＝｛（３ｘ１’＾２＋ａ）／２ｙ１’｝＾２−２
ｘ１’ ｙ３”＝｛（３ｘ１’＾２＋ａ）／２ｙ１’｝（ｘ１’
−ｘ３’）−ｙ１’ となる。ここで、ｘ１’、ｙ１’をそれぞれ、ｘ１、ｙ
１を用いて上記のように表すと、 ｘ３”＝｛｛（ｔ＾２×３ｘ１）＾２＋ａ｝／（２×ｔ＾３×ｙ１）｝＾２ −２×ｔ＾２×ｘ１ ＝ｔ＾２｛（３ｘ１＾２＋ａ）／ｙ１｝＾２−ｔ＾２×２ｘ１ ＝ｔ＾２｛｛（３ｘ１＾２＋ａ）／ｙ１｝＾２−２ｘ１｝ ＝ｔ＾２×ｘ３ ＝｛ｔ（ｙ２−ｙ１）／（ｘ２−ｘ１）｝＾２−ｔ＾2×ｘ１ −ｔ＾２×ｘ２ ＝ｔ＾２｛｛（ｙ２−ｙ１）／（ｘ２−ｘ１）｝＾２ −ｘ１−ｘ２｝ ＝ｔ＾２×ｘ３ ＝ｘ３’ ｙ３”＝｛｛（ｔ＾２×３ｘ１）＾２＋ａ｝／（２×ｔ＾３×ｙ１）｝ ×（ｔ＾２×ｘ１−ｔ＾２×ｘ３）−ｔ＾３×ｙ１ ＝ｔ＾３｛（３ｘ１＾２＋ａ）／２ｙ１｝（ｘ１−ｘ３） −ｔ＾３×ｙ１ ＝ｔ＾３｛｛（３ｘ１＾２＋ａ）／２ｙ１｝（ｘ１−ｘ３）−ｙ１｝ ＝ｔ＾３×ｙ３ ＝ｙ３’ となる。従って、Ｒ’とＲ”とは、等しい点を表してい
ることが分かる。

【００５４】以上により、楕円曲線上の２倍演算は、本
変換においても、保存されることが分かる。以上に述べ
たことにより、楕円曲線Ｅと、本発明において用いる変
換により生成された変換楕円曲線Ｅｔとは、同型である
ことが証明できた。 ４．変換楕円曲線Ｅｔを用いる場合の計算量の評価 上記の実施の形態によると、変換楕円曲線Ｅｔのパラメ
ータａ’は、３２ビット以下になるように取られるの
で、式１８の計算量は、３Ｓｑとなる。従って、楕円曲
線上の加算の計算量は、１２Ｍｕｌ＋４Ｓｑとなり、２
倍算の計算量は、３Ｍｕｌ＋６Ｓｑとなる。このよう
に、楕円曲線Ｅのパラメータａが、１６０ビットに近い
値である場合とと比較すると２倍算において、１Ｍｕｌ
分の計算量が削減できることが分かる。

【００５５】上記に述べたように、関数Ｔ（ｉ）は、ｉ
＝０のときに、−３の値を有していることを除いて、絶
対値の小さい値から大きい値へと順に値を有しており、
絶対値の小さい値から順に参照することができるので、
より計算量の少ない変換楕円曲線から順に、適切な変換
楕円曲線を選んでいくことができる。また、上記の実施
の形態によると、変換楕円曲線Ｅｔのパラメータａ’
が、−３の場合、式１８は、 Ｍ＝３×Ｘ１＾２＋ａ’×Ｚ１＾４ ＝３×Ｘ１＾２−３×Ｚ１＾４ ＝３×（Ｘ１＋Ｚ１＾２）×（Ｘ１−Ｚ１＾２） と変形できる。

【００５６】最後の式において、計算量は、１Ｍｕｌ＋
１Ｓｑとなる。従って、楕円曲線上の加算の計算量は、
１２Ｍｕｌ＋４Ｓｑとなり、２倍算の計算量は、４Ｍｕ
ｌ＋４Ｓｑとなる。このように、従来と比較すると２倍
算において、２Ｓｑ分の計算量が削減できることが分か
る。上記に述べたように、関数Ｔ（ｉ）は、ｉ＝０のと
きに、−３の値を有しており、変換係数取得部２２０
は、ｉ＝０から始めて、ｉの値を１ずつ加算しながら、
関数Ｔ（ｉ）の値を参照するので、最初に−３の値が参
照される。従って、２倍算において、従来との比較で２
Ｓｑ分の計算量が削減できる場合が、最初に検証される
ので、最も適切な変換楕円曲線を１回で検出できる可能
性がある。

【００５７】このため、本実施の形態に示す変換楕円曲
線を用いると、楕円曲線上の計算を高速化することがで
きる。 ５．変形例 変換係数取得部２２０は、次のようにして、変換係数ｔ
を決定してもよい。変換係数取得部２２０は、乱数発生
部を備えており、前記乱数発生部は、有限体ＧＦ（ｐ）
上の元ｕ（ｕ≠０）をランダムに発生する。次に、変換
係数取得部２２０は、元ｕが、 （式３１） −２＾３１＋１≦ｕ＾４×ａ（ｍｏｄ ｐ）≦２＾３１−１ を満たすかどうかを判定する。元ｕが式３１を満たすと
判定された場合は、元ｕを変換係数ｔとして採用する。
元ｕが式３１を満たさないと判定された場合は、再度、
前記乱数発生部は、ランダムに元ｕを発生し、変換係数
取得部２２０は、元ｕが、式３１を満たすかどうかを判
定する。

【００５８】変換係数取得部２２０は、式３１を満たす
元ｕが見つかるまで、前記乱数発生部による元ｕの発生
と式３１を満たすかどうかの判定を繰り返す。また、変
換係数取得部２２０は、式３１の代わりに、 （式３２） ｕ＾４×ａ（ｍｏｄ ｐ）＝−３ を用いるとしてもよい。 ６．楕円曲線変換装置２００の適用例 上記に説明した楕円曲線変換装置２００を適用する鍵共
有シテスムを図７に示すシーケンス図を用いて説明す
る。

【００５９】ユーザＡ４５０、管理センタ４６０及びユ
ーザＢ４７０は、ネットワークで接続されている。 （１）管理センタ４６０による楕円曲線の選択 管理センタ４６０は、素数ｐを選択し、有限体ＧＦ
（ｐ）上の楕円曲線Ｅを選択し、Ｅのベースポイントを
Ｇとし、Ｅの位数をｑとする（ステップＳ４１１）。つ
まり、ｑは、 （式２） ｑ＊Ｇ＝０ を満たす最小の正整数である。

【００６０】ここで、Ｅ： ｙ＾２ ＝ ｘ＾３ ＋ａ
×ｘ＋ｂ であり、Ｇ＝（ｘ０，ｙ０）である。次に、
管理センタ４６０は、ｐ、Ｅ、Ｇを楕円曲線変換装置２
００へ送出する（ステップＳ４１２）。

【００６１】（２）楕円曲線変換装置２００による変換
楕円曲線の生成 楕円曲線変換装置２００は、変換楕円曲線Ｅｔを算出
し、元Ｇｔを算出する（ステップＳ４２１）。ここで、 Ｅｔ：ｙ’＾２ ＝ ｘ’＾３ ＋ａ’×ｘ’＋ｂ’、 ａ’＝ａ×ｔ＾４、 ｂ’＝ｂ×ｔ＾６、 Ｇｔ＝（ｘｔ０，ｙｔ０）、 ｘｔ０＝ｔ＾２×ｘ０、 ｙｔ０＝ｔ＾３×ｙ０である。

【００６２】次に、楕円曲線変換装置２００は、Ｅｔ、
Ｇｔを管理センタ４６０へ送出する（ステップＳ４２
２）。管理センタ４６０は、Ｐ、Ｅｔ、Ｇｔを各ユーザ
へ送出する（ステップＳ４１３）。 （３）ユーザによる秘密鍵の設定と公開鍵の生成 ユーザＡ４５０は、秘密鍵ｘＡを設定し（ステップＳ４
０１）、ユーザＢ４７０は、秘密鍵ｘＢを設定する（ス
テップＳ４３１）。

【００６３】ユーザＡ４５０は、次式により、公開鍵Ｙ
Ａを算出し（ステップＳ４０２）、公開鍵ＹＡをユーザ
Ｂ４７０へ送出する（ステップＳ４０３）。 ＹＡ＝ｘＡ＊Ｇｔ また、ユーザＢ４７０は、次式により、公開鍵ＹＢを算
出し（ステップＳ４３２）、公開鍵ＹＢをユーザＡ４５
０へ送出する（ステップＳ４３３）。

【００６４】ＹＢ＝ｘＢ＊Ｇｔ （４）各ユーザによる共有鍵の生成 ユーザＡ４５０は、共有鍵をｘＡ＊ＹＢにより算出する
（ステップＳ４０４）。また、ユーザＢ４７０は、共有
鍵をｘＢ＊ＹＡにより算出する（ステップＳ４３４）。

【００６５】ここで、ユーザＡ４５０により算出された
共有鍵ｘＡ＊ＹＢは、 ｘＡ＊ＹＢ＝（ｘＡ×ｘＢ）＊Ｇｔ のように変形できる。また、ユーザＢ４７０により算出
された共有鍵ｘＢ＊ＹＡは、 のように変形できる。

【００６６】従って、ユーザＡ４５０により算出された
共有鍵ｘＡ＊ＹＢと、ユーザＢ４７０により算出された
共有鍵ｘＢ＊ＹＡとが同じものであることは、明らかで
ある。７．その他の変形例別の実施の形態の一つは、上
記により示される楕円曲線変換方法であるとしてもよ
い。前記楕円曲線変換方法をコンピュータに実行させる
楕円曲線変換プログラムを含むコンピュータ読み取り可
能な記録媒体としてもよい。さらに、前記楕円曲線変換
プログラムを通信回線を介して伝送するとしてもよい。

【００６７】また、上記に説明した楕円曲線変換装置
を、暗号装置、復号装置、又は暗号装置と復号装置とか
らなる暗号システムに適用してもよい。また、上記に説
明した楕円曲線変換装置を、デジタル署名装置、デジタ
ル署名検証装置、又はデジタル署名装置とデジタル署名
検証装置とからなるデジタル署名システムに適用しても
よい。

【００６８】また、暗号装置、復号装置、デジタル署名
装置、デジタル署名検証装置、又は鍵共有装置は、楕円
曲線変換装置により算出された楕円曲線のパラメータ
ａ’、ｂ’と元Ｇｔとを予め記憶しており、記憶してい
る楕円曲線のパラメータａ’、ｂ’と元Ｇｔとを用い
て、暗号、復号、デジタル署名、デジタル署名検証、又
は鍵共有を行うとしてもよい。

【００６９】また、上記に示す実施の形態及びその複数
の変形例を組み合わせてもよい。

【００７０】

【発明の効果】本発明は、１つの楕円曲線Ｅを変換して
他の１つの楕円曲線Ｅｔを生成する楕円曲線変換装置で
あって、外部から、素数ｐと、楕円曲線Ｅのパラメータ
ａ及びパラメータｂと、ベースポンイトとしての元Ｇと
を受信する手段であって、楕円曲線Ｅは、有限体ＧＦ
（ｐ）上で定義され、ｙ＾２＝ｘ＾３＋ａｘ＋ｂで表さ
れ、元Ｇは、楕円曲線Ｅ上に存在し、Ｇ＝（ｘ０，ｙ
０）で表される受信手段と、有限体ＧＦ（ｐ）上に存在
する変換係数ｔを取得する手段であって、変換係数ｔ
は、ｔ≠０であり、かつ、ｔ＾４×ａ （ｍｏｄ ｐ）
は、素数ｐと比較して桁数が小さい、という条件を満た
す変換係数取得手段と、前記取得された変換係数ｔを用
いて、次式により、楕円曲線Ｅｔのパラメータａ’及び
ｂ’と、新たなベースポイント元Ｇｔとを算出する手段
であって、ａ’＝ａ×ｔ＾４、ｂ’＝ｂ×ｔ＾６、ｘｔ
０＝ｔ＾２×ｘ０、ｙｔ０＝ｔ＾３×ｙ０、楕円曲線Ｅ
ｔは、有限体ＧＦ（ｐ）上で定義され、ｙ’＾２ ＝
ｘ’＾３ ＋ａ’×ｘ’＋ｂ’で表され、ｘｔ０、ｙｔ
０は、それぞれ元Ｇｔのｘ座標値、ｙ座標値である楕円
曲線算出手段と、前記算出されたパラメータａ’及び
ｂ’と、元Ｇｔとを外部へ出力する出力手段とを備え
る。

【００７１】この構成によると、ランダムに構成された
楕円曲線と同じ安全性を有し、利用装置において高速な
演算を可能にする楕円曲線を提供することができ、その
実用的価値は非常に大きい。ここで、ｐは、１６０ビッ
トの素数であり、前記変換係数取得手段は、ｔ＾４×ａ
（ｍｏｄ ｐ）が３２ビット以下の数になる、という
条件を満たす変換係数ｔを取得するとしてもよい。

【００７２】この楕円曲線変換装置により変換された楕
円曲線を利用装置において用いると、楕円曲線上の２倍
算において、変換前の楕円曲線のパラメータａが、１６
０ビットに近い値を取る場合と比較して、１Ｍｕｌ分の
計算量が削減できることが分かる。ここで、前記変換係
数取得手段は、ｔ＾４×ａ （ｍｏｄ ｐ）が−３とな
る、という条件を満たす変換係数ｔを取得するとしても
よい。

【００７３】この楕円曲線変換装置により変換された楕
円曲線を利用装置において用いると、楕円曲線上の２倍
算において、従来と比較して、２Ｓｑ分の計算量が削減
できることが分かる。ここで、前記変換係数取得手段
は、変数Ｔとして、初期値を−３とし、初期値以外の値
については、桁数の小さい値から大きい値へ順に取るこ
とと、Ｔ＝ｔ＾４×ａ （ｍｏｄ ｐ）という条件を満
たすかどうかを判定することとを繰り返すことにより、
変換係数ｔを取得するとしてもよい。

【００７４】この構成によると、関数Ｔ（ｉ）は、ｉ＝
０のときに、−３の値を有しており、変換係数取得部２
２０は、ｉ＝０から始めて、ｉの値を１ずつ加算しなが
ら、関数Ｔ（ｉ）の値を参照するので、最初に−３の値
が参照される。従って、２倍算において、従来との比較
で２Ｓｑ分の計算量が削減できる場合が、最初に検証さ
れるので、最も適切な変換楕円曲線を１回で検出できる
可能性がある。また、関数Ｔ（ｉ）は、ｉ＝０のとき
に、−３の値を有していることを除いて、絶対値の小さ
い値から大きい値へと順に値を有しており、絶対値の小
さい値から順に参照することができるので、より計算量
の少ない変換楕円曲線から順に、適切な変換楕円曲線を
選んでいくことができる。

【００７５】また、本発明は、１つの楕円曲線Ｅを変換
して他の１つの楕円曲線Ｅｔを生成する楕円曲線変換装
置と、生成された楕円曲線Ｅｔを利用する利用装置とか
らなる楕円曲線利用システムであって、前記利用装置
は、第１出力手段と第１受信手段と利用手段とを備え、
前記楕円曲線変換装置は、第２受信手段と変換係数取得
手段と楕円曲線算出手段と第２出力手段とを備え、前記
第１出力手段は、素数ｐと、楕円曲線Ｅのパラメータａ
及びパラメータｂと、ベースポイントとしての元Ｇとを
前記楕円曲線変換装置へ出力し、ここで、楕円曲線Ｅ
は、有限体ＧＦ（ｐ）上で定義され、ｙ＾２＝ｘ＾３＋
ａｘ＋ｂで表され、元Ｇは、楕円曲線Ｅ上に存在し、Ｇ
＝（ｘ０，ｙ０）で表され、前記第２受信手段は、前記
利用装置から、素数ｐと、楕円曲線Ｅのパラメータａ及
びパラメータｂと、元Ｇとを受信し、前記変換係数取得
手段は、有限体ＧＦ（ｐ）上に存在する変換係数ｔを取
得し、ここで、変換係数ｔは、ｔ≠０であり、かつ、ｔ
＾４×ａ （ｍｏｄ ｐ）は、素数ｐと比較して桁数が
小さい、という条件を満し、前記楕円曲線算出手段は、
前記取得された変換係数ｔを用いて、次式により、楕円
曲線Ｅｔのパラメータａ’及びｂ’と、新たなベースポ
イントとしての元Ｇｔとを算出し、ａ’＝ａ×ｔ＾４、
ｂ’＝ｂ×ｔ＾６、ｘｔ０＝ｔ＾２×ｘ０、ｙｔ０＝ｔ
＾３×ｙ０、ここで、楕円曲線Ｅｔは、有限体ＧＦ
（ｐ）上で定義され、ｙ’＾２ ＝ ｘ’＾３＋ａ’×
ｘ’＋ｂ’で表され、ｘｔ０、ｙｔ０は、それぞれ元Ｇ
ｔのｘ座標値、ｙ座標値であり、前記第２出力手段は、
前記算出されたパラメータａ’及びｂ’と、元Ｇｔとを
前記利用装置へ出力し、前記第１受信手段は、前記出力
されたパラメータａ’及びｂ’と、元Ｇｔとを受信し、
前記利用手段は、素数ｐと、前記受信したパラメータ
ａ’及びｂ’とで定まる楕円曲線と、ベースポイントと
しての元Ｇｔとを用いて、有限体ＧＦ（ｐ）上で定義さ
れる楕円曲線上での演算に基づき、離散対数問題を安全
性の根拠とする暗号、復号、デジタル署名、デジタル署
名検証又は鍵共有を行う。

【００７６】この構成によると、ランダムに構成された
楕円曲線と同じ安全性を有し、高速な演算を可能にする
楕円曲線を利用することができ、その実用的価値は非常
に大きい。ここで、ｐは、１６０ビットの素数であり、
前記変換係数取得手段は、ｔ＾４×ａ （ｍｏｄ ｐ）
が３２ビット以下の数になる、という条件を満たす変換
係数ｔを取得するとしてもよい。

【００７７】この構成によると、変換された楕円曲線を
用いるので、楕円曲線上の２倍算において、変換前の楕
円曲線のパラメータａが、１６０ビットに近い値を取る
場合と比較して、１Ｍｕｌ分の計算量が削減できること
が分かる。ここで、前記変換係数取得手段は、ｔ＾４×
ａ （ｍｏｄ ｐ）が−３となる、という条件を満たす
変換係数ｔを取得するとしてもよい。

【００７８】この構成によると、変換された楕円曲線を
用いるので、楕円曲線上の２倍算において、従来と比較
して、２Ｓｑ分の計算量が削減できることが分かる。こ
こで、前記変換係数取得手段は、変数Ｔとして、初期値
を−３とし、初期値以外の値については、桁数の小さい
値から大きい値へ順に取ることと、Ｔ＝ｔ＾４×ａ
（ｍｏｄ ｐ）という条件を満たすかどうかを判定する
こととを繰り返すことにより、変換係数ｔを取得すると
してもよい。

【００７９】この構成によると、関数Ｔ（ｉ）は、ｉ＝
０のときに、−３の値を有しており、変換係数取得部２
２０は、ｉ＝０から始めて、ｉの値を１ずつ加算しなが
ら、関数Ｔ（ｉ）の値を参照するので、最初に−３の値
が参照される。従って、２倍算において、従来との比較
で２Ｓｑ分の計算量が削減できる場合が、最初に検証さ
れるので、最も適切な変換楕円曲線を１回で検出できる
可能性がある。また、関数Ｔ（ｉ）は、ｉ＝０のとき
に、−３の値を有していることを除いて、絶対値の小さ
い値から大きい値へと順に値を有しており、絶対値の小
さい値から順に参照することができるので、より計算量
の少ない変換楕円曲線から順に、適切な変換楕円曲線を
選んでいくことができる。

【００８０】また、本発明は、第２受信手段と変換係数
取得手段と楕円曲線算出手段と第２出力手段とを備え、
１つの楕円曲線Ｅを変換して他の１つの楕円曲線Ｅｔを
生成する楕円曲線変換装置から、前記生成された楕円曲
線Ｅｔを受信して利用する利用装置であって、前記利用
装置は、第１出力手段と第１受信手段と利用手段とを備
え、前記第１出力手段は、素数ｐと、楕円曲線Ｅのパラ
メータａ及びパラメータｂと、ベースポイントとしての
元Ｇとを前記楕円曲線変換装置へ出力し、ここで、楕円
曲線Ｅは、有限体ＧＦ（ｐ）上で定義され、ｙ＾２＝ｘ
＾３＋ａｘ＋ｂで表され、元Ｇは、楕円曲線Ｅ上に存在
し、Ｇ＝（ｘ０，ｙ０）で表され、前記第２受信手段
は、前記利用装置から、素数ｐと、楕円曲線Ｅのパラメ
ータａ及びパラメータｂと、元Ｇとを受信し、前記変換
係数取得手段は、有限体ＧＦ（ｐ）上に存在する変換係
数ｔを取得し、ここで、変換係数ｔは、ｔ≠０であり、
かつ、ｔ＾４×ａ （ｍｏｄ ｐ）は、素数ｐと比較し
て桁数が小さい、という条件を満し、前記楕円曲線算出
手段は、前記取得された変換係数ｔを用いて、次式によ
り、楕円曲線Ｅｔのパラメータａ’及びｂ’と、元Ｇｔ
とを算出し、ａ’＝ａ×ｔ＾４、ｂ’＝ｂ×ｔ＾６、ｘ
ｔ０＝ｔ＾２×ｘ０、ｙｔ０＝ｔ＾３×ｙ０、ここで、
楕円曲線Ｅｔは、有限体ＧＦ（ｐ）上で定義され、ｙ’
＾２ ＝ ｘ’＾３ ＋ａ’×ｘ’＋ｂ’で表され、ｘ
ｔ０、ｙｔ０は、それぞれ元Ｇｔのｘ座標値、ｙ座標値
であり、前記第２出力手段は、前記算出されたパラメー
タａ’及びｂ’と、元Ｇｔとを前記利用装置へ出力し、
前記第１受信手段は、前記出力されたパラメータａ’及
びｂ’と、元Ｇｔとを受信し、前記利用手段は、素数ｐ
と、前記受信したパラメータａ’及びｂ’とで定まる楕
円曲線と、ベースポンイトとしての元Ｇｔとを用いて、
有限体ＧＦ（ｐ）上で定義される楕円曲線上での演算に
基づき、離散対数問題を安全性の根拠とする暗号、復
号、デジタル署名、デジタル署名検証又は鍵共有を行
う。

【００８１】この構成によると、ランダムに構成された
楕円曲線と同じ安全性を有し、高速な演算を可能にする
楕円曲線を利用することができ、その実用的価値は非常
に大きい。また、本発明は、１つの楕円曲線Ｅを変換し
て生成された楕円曲線Ｅｔを利用する利用装置であっ
て、前記利用装置は、楕円曲線Ｅｔのパラメータａ’及
びｂ’と、ベースポイントとしての元Ｇｔとを記憶して
いる記憶手段と、ｐと、前記記憶しているパラメータ
ａ’及びｂ’とで定まる楕円曲線と、ベースポイントと
しての元Ｇｔとを用いて、有限体ＧＦ（ｐ）上で定義さ
れる楕円曲線上での演算に基づき、離散対数問題を安全
性の根拠とする暗号、復号、デジタル署名、デジタル署
名検証又は鍵共有を行う利用手段とを備え、ここで、パ
ラメータａ’及びｂ’と、元Ｇｔとは楕円曲線変換装置
により生成され、前記楕円曲線変換装置は、変換係数取
得手段、楕円曲線算出手段を備え、ｐは素数であり、楕
円曲線Ｅは、有限体ＧＦ（ｐ）上で定義され、ｙ＾２＝
ｘ＾３＋ａｘ＋ｂで表され、ベースポンイトとしての元
Ｇが、楕円曲線Ｅ上に存在し、Ｇ＝（ｘ０，ｙ０）で表
され、前記変換係数取得手段は、有限体ＧＦ（ｐ）上に
存在する変換係数ｔを取得し、ここで、変換係数ｔは、
ｔ≠０であり、かつ、ｔ＾４×ａ （ｍｏｄ ｐ）は、
素数ｐと比較して桁数が小さい、という条件を満し、前
記楕円曲線算出手段は、前記取得された変換係数ｔを用
いて、次式により、楕円曲線Ｅｔのパラメータａ’及び
ｂ’と、新たなベースポイントとしての元Ｇｔとを算出
し、ａ’＝ａ×ｔ＾４、ｂ’＝ｂ×ｔ＾６、ｘｔ０＝ｔ
＾２×ｘ０、ｙｔ０＝ｔ＾３×ｙ０、ここで、楕円曲線
Ｅｔは、有限体ＧＦ（ｐ）上で定義され、ｙ’＾２ ＝
ｘ’＾３ ＋ａ’×ｘ’＋ｂ’で表され、ｘｔ０、ｙ
ｔ０は、それぞれ元Ｇｔのｘ座標値、ｙ座標値である。

【００８２】この構成によると、ランダムに構成された
楕円曲線と同じ安全性を有し、高速な演算を可能にする
楕円曲線を利用することができ、その実用的価値は非常
に大きい。また、本発明は、１つの楕円曲線Ｅを変換し
て他の１つの楕円曲線Ｅｔを生成する楕円曲線変換方法
であって、外部から、素数ｐと、楕円曲線Ｅのパラメー
タａ及びパラメータｂと、ベースポンイトとしての元Ｇ
とを受信するステップであって、楕円曲線Ｅは、有限体
ＧＦ（ｐ）上で定義され、ｙ＾２＝ｘ＾３＋ａｘ＋ｂで
表され、元Ｇは、楕円曲線Ｅ上に存在し、Ｇ＝（ｘ０，
ｙ０）で表される受信ステップと、有限体ＧＦ（ｐ）上
に存在する変換係数ｔを取得するステップであって、変
換係数ｔは、ｔ≠０であり、かつ、ｔ＾４×ａ （ｍｏ
ｄ ｐ）は、素数ｐと比較して桁数が小さい、という条
件を満たす変換係数算出ステップと、前記取得された変
換係数ｔを用いて、次式により、楕円曲線Ｅｔのパラメ
ータａ’及びｂ’と、新たなベースポイントとしての元
Ｇｔとを算出するステップであって、ａ’＝ａ×ｔ＾
４、ｂ’＝ｂ×ｔ＾６、ｘｔ０＝ｔ＾２×ｘ０、ｙｔ０
＝ｔ＾３×ｙ０、楕円曲線Ｅｔは、有限体ＧＦ（ｐ）上
で定義され、ｙ’＾２ ＝ｘ’＾３ ＋ａ’×ｘ’＋
ｂ’で表され、ｘｔ０、ｙｔ０は、それぞれ元Ｇｔのｘ
座標値、ｙ座標値である楕円曲線算出ステップと、前記
算出されたパラメータａ’及びｂ’と、元Ｇｔとを外部
へ出力する出力ステップとを含む。

【００８３】この方法を用いると、ランダムに構成され
た楕円曲線と同じ安全性を有し、利用装置において高速
な演算を可能にする楕円曲線を生成することができ、そ
の実用的価値は非常に大きい。また、本発明は、１つの
楕円曲線Ｅを変換して他の１つの楕円曲線Ｅｔを生成す
る楕円曲線変換プログラムを記録しているコンピュータ
読み取り可能な記録媒体であって、前記プログラムは、
外部から、素数ｐと、楕円曲線Ｅのパラメータａ及びパ
ラメータｂと、ベースポイントとしての元Ｇとを受信す
るステップであって、楕円曲線Ｅは、有限体ＧＦ（ｐ）
上で定義され、ｙ＾２＝ｘ＾３＋ａｘ＋ｂで表され、元
Ｇは、楕円曲線Ｅ上に存在し、Ｇ＝（ｘ０，ｙ０）で表
される受信ステップと、有限体ＧＦ（ｐ）上に存在する
変換係数ｔを取得するステップであって、変換係数ｔ
は、ｔ≠０であり、かつ、ｔ＾４×ａ （ｍｏｄ ｐ）
は、素数ｐと比較して桁数が小さい、という条件を満た
す変換係数算出ステップと、前記取得された変換係数ｔ
を用いて、次式により、楕円曲線Ｅｔのパラメータａ’
及びｂ’と、新たなベースポイントとしての元Ｇｔとを
算出するステップであって、ａ’＝ａ×ｔ＾４、ｂ’＝
ｂ×ｔ＾６、ｘｔ０＝ｔ＾２×ｘ０、ｙｔ０＝ｔ＾３×
ｙ０、楕円曲線Ｅｔは、有限体ＧＦ（ｐ）上で定義さ
れ、ｙ’＾２ ＝ｘ’＾３ ＋ａ’×ｘ’＋ｂ’で表さ
れ、ｘｔ０、ｙｔ０は、それぞれ元Ｇｔのｘ座標値、ｙ
座標値である楕円曲線算出ステップと、前記算出された
パラメータａ’及びｂ’と、元Ｇｔとを外部へ出力する
出力ステップとを含む。

【００８４】この媒体に記録されているプログラムをコ
ンピュータで実行することにより、ランダムに構成され
た楕円曲線と同じ安全性を有し、利用装置において高速
な演算を可能にする楕円曲線を生成することができ、そ
の実用的価値は非常に大きい。

【図面の簡単な説明】

【図１】エルガマル署名によるデジタル署名方式の手順
を示すシーケンス図である。

【図２】本発明に係る１つの実施の形態としての楕円曲
線変換装置のブロック図である。

【図３】図２に示す楕円曲線変換装置で用いられる関数
Ｔ（ｉ）を説明する表である。

【図４】図２に示す楕円曲線変換装置の動作を示すフロ
ーチャートである。

【図５】図２に示す楕円曲線変換装置の変換係数取得部
の動作を示すフローチャートである。

【図６】図２に示す楕円曲線変換装置の変換楕円曲線算
出部の動作を示すフローチャートである。

【図７】図２に示す楕円曲線変換装置を適用する鍵共有
システムの動作手順を示すシーケンス図である。

【符号の説明】

２００ 楕円曲線変換装置 ２１０ パラメータ受信部 ２２０ 変換係数取得部 ２３０ 変換楕円曲線算出部 ２４０ パラメータ送出部

フロントページの続き (56)参考文献 特開 平７−98563（ＪＰ，Ａ) 小山謙二；“高速だ円曲線法による素 因数分解”電子情報通信学会論文誌 Ｄ，Ｖｏｌ．Ｊ70−Ｄ，Ｎｏ．12 （1987．９．27）ｐ．2730−2738 Ｅｒｉｋ Ｄｅ Ｗｉｎ，Ａｎｔｏｏ ｎ Ｂｏｓｓｅｌａｅｒｓ，Ｓｅｒｖａ ａｓ Ｖａｎｄｅｎｂｅｒｇｈｅ，Ｐｅ ａｔｅｒ Ｄｅ Ｇｅｒｓｅｍ，Ｊｏｏ ｓ Ｖａｎｄｅｗａｌｌｅ；“Ａ Ｆａ ｓｔ Ｓｏｆｔｗａｒｅ Ｉｍｐｌｅｍ ｅｎｔａｔｉｏｎ ｆｏｒ Ａｒｉｔｈ ｍｅｔｉｃ Ｏｐｅｒａｔｉｏｎｓ ｉ ｎ ＧＦ（２▲上ｎ▼）” Ｌｅｃｔｕ ｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔ ｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．1163 （1996）ｐ．65−76 Ｂｕｒｔｏｎ Ｓ．Ｋａｌｉｓｋｉ Ｊｒ．，Ｙｉｑｕｎ Ｌｉｓａ Ｙｉ ｎ；“Ｓｔｏｒａｇｅ−Ｅｆｆｉｃｉｅ ｎｔ Ｆｉｎｉｔｅ Ｆｉｅｌｄ Ｂａ ｓｉｓ Ｃｏｎｖｅｒｓｉｏｎ”Ｌｅｃ ｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐ ｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ. 1556（1999）ｐ．81−93 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 H04L 9/28 - 9/32

Claims (12)

(57)【特許請求の範囲】
1. 【請求項１】 入力された任意の楕円曲線Ｅを暗号に適
   した楕円曲線Ｅｔに変換する装置であって、 ｐを素数とする有限体ＧＦ（ｐ）上の楕円曲線Ｅ：ｙ＾
   ２＝ｘ＾３＋ａｘ＋ｂを特定するパラメータｐ、ａ、ｂ
   及びその楕円曲線Ｅ上の点Ｇを特定する座標値（ｘ０、
   ｙ０）の入力を受けつける入力手段と、 入力されたａ及びｐを用いて、ｔ≠０であり、かつ、ｔ
   ＾４×ａ （ｍｏｄｐ）の値がｐと比較して桁数が小さ
   くなるような変換係数ｔを特定する変換係数特定手段
   と、 特定された変換係数ｔを用いて、式ａ’＝ａ×ｔ＾４、
   ｂ’＝ｂ×ｔ＾６、ｘｔ０＝ｔ＾２×ｘ０及びｙｔ０＝
   ｔ＾３×ｙ０に従い、有限体ＧＦ（ｐ）上の新たな楕円
   曲線Ｅｔ：ｙ’＾２＝ｘ’＾３＋ａ’×ｘ’＋ｂ’を特
   定するパラメータａ’、ｂ’及び前記点Ｇに対応する新
   たな点Ｇｔの座標値（ｘｔ０、ｙｔ０）を算出し出力す
   る楕円曲線算出手段と を備えることを特徴とする楕円曲
   線変換装置。
2. 【請求項２】 ｐは、１６０ビットの素数であり、 前記変換係数取得手段は、ｔ＾４×ａ （ｍｏｄ ｐ）
   が３２ビット以下の数になる、という条件を満たす変換
   係数ｔを取得することを特徴とする請求項１記載の楕円
   曲線変換装置。
3. 【請求項３】 前記変換係数取得手段は、ｔ＾４×ａ
   （ｍｏｄ ｐ）が−３となる、という条件を満たす変換
   係数ｔを取得することを特徴とする請求項１記載の楕円
   曲線変換装置。
4. 【請求項４】 前記変換係数取得手段は、変数Ｔとし
   て、初期値を−３とし、初期値以外の値については、桁
   数の小さい値から大きい値へ順に取ることと、 Ｔ＝ｔ＾４×ａ （ｍｏｄ ｐ） という条件を満たすかどうかを判定することとを繰り返
   すことにより、変換係数ｔを取得することを特徴とする
   請求項１記載の楕円曲線変換装置。
5. 【請求項５】 請求項１記載の楕円曲線変換装置とその
   楕円曲線変換装置によって生成された楕円曲線Ｅｔを利
   用する暗号装置とからなる楕円曲線利用システムであっ
   て、 前記暗号装置は、 ｐを素数とする有限体ＧＦ（ｐ）上の楕円曲線Ｅ：ｙ＾
   ２＝ｘ＾３＋ａｘ＋ｂを特定するパラメータｐ、ａ、ｂ
   及びその楕円曲線Ｅ上の点Ｇを特定する座標値（ｘ０、
   ｙ０）を前記楕円曲線変換装置に送信する送信手段と、 前記送信手段が送信したパラメータｐ、ａ、ｂ及び座標
   値（ｘ０、ｙ０）に基づいて前記楕円曲線変換装置が生
   成し出力した有限体ＧＦ（ｐ）上の新たな楕円曲線Ｅ
   ｔ：ｙ’＾２＝ｘ’＾３＋ａ’×ｘ’＋ｂ’を特定する
   パラメータａ’、ｂ’及び前記点Ｇに対応する新たな点
   Ｇｔの座標値（ｘｔ０、ｙｔ０）を受信する受信手段
   と、 受信したパラメータａ’、ｂ’及び座標値（ｘｔ０、ｙ
   ｔ０）によって定まる楕円曲線Ｅｔ及びベースポイント
   としての点Ｇｔを用いて、有限体ＧＦ（ｐ）上で定義さ
   れる楕円曲線Ｅｔ上での演算に基づき、離散対数問題を
   安全性の根拠とする暗号、復号、デジタル署名、デジタ
   ル署名検証又は鍵共有を行う利用手段とを備える ことを
   特徴とする楕円曲線利用システム。
6. 【請求項６】 ｐは、１６０ビットの素数であり、 前記変換係数取得手段は、ｔ＾４×ａ （ｍｏｄ ｐ）
   が３２ビット以下の数になる、という条件を満たす変換
   係数ｔを取得することを特徴とする請求項５記載の楕円
   曲線利用システム。
7. 【請求項７】 前記変換係数取得手段は、ｔ＾４×ａ
   （ｍｏｄ ｐ）が−３となる、という条件を満たす変換
   係数ｔを取得することを特徴とする請求項５記載の楕円
   曲線利用システム。
8. 【請求項８】 前記変換係数取得手段は、変数Ｔとし
   て、初期値を−３とし、初期値以外の値については、桁
   数の小さい値から大きい値へ順に取ることと、 Ｔ＝ｔ＾４×ａ （ｍｏｄ ｐ） という条件を満たすかどうかを判定することとを繰り返
   すことにより、変換係数ｔを取得することを特徴とする
   請求項５記載の楕円曲線利用システム。
9. 【請求項９】 請求項５記載の楕円曲線利用システムに
   おける暗号装置。
10. 【請求項１０】 請求項１記載の楕円曲線変換装置によ
    って生成された楕円曲線Ｅｔを利用する暗号装置であっ
    て、 前記楕円曲線変換装置が生成し出力した有限体ＧＦ
    （ｐ）上の楕円曲線Ｅｔ：ｙ’＾２＝ｘ’＾３＋ａ’×
    ｘ’＋ｂ’を特定するパラメータａ’、ｂ’及び前記点
    Ｇｔの座標値（ｘｔ０、ｙｔ０）を記憶する記憶手段
    と、 記憶されているパラメータａ’、ｂ’及び座標値（ｘｔ
    ０、ｙｔ０）によって定まる楕円曲線Ｅｔ及びベースポ
    イントとしての点Ｇｔを用いて、有限体ＧＦ（ｐ）上で
    定義される楕円曲線Ｅｔ上での演算に基づき、離散対数
    問題を安全性の根拠とする暗号、復号、デジタル署名、
    デジタル署名検証又は鍵共有を行う利用手段とを備える
    ことを特徴とする暗号装置。
11. 【請求項１１】 入力された任意の楕円曲線Ｅを暗号に
    適した楕円曲線Ｅｔに変換する方法であって、 ｐを素数とする有限体ＧＦ（ｐ）上の楕円曲線Ｅ：ｙ＾
    ２＝ｘ＾３＋ａｘ＋ｂを特定するパラメータｐ、ａ、ｂ
    及びその楕円曲線Ｅ上の点Ｇを特定する座標値（ｘ０、
    ｙ０）をそれぞれ入力手段を介して受けつける入力ステ
    ップと、 入力されたａ及びｐを用いて、ｔ≠０であり、かつ、ｔ
    ＾４×ａ （ｍｏｄｐ）の値がｐと比較して桁数が小さ
    くなるような変換係数ｔを変換係数特定手段により特定
    する変換係数特定ステップと、 特定された変換係数ｔを用いて、楕円曲線算出手段によ
    り、式ａ’＝ａ×ｔ＾４、ｂ’＝ｂ×ｔ＾６、ｘｔ０＝
    ｔ＾２×ｘ０及びｙｔ０＝ｔ＾３×ｙ０に従い、有限体
    ＧＦ（ｐ）上の新たな楕円曲線Ｅｔ：ｙ’＾２＝ｘ’＾
    ３＋ａ’×ｘ’＋ｂ’を特定するパラメータａ’、ｂ’
    及び前記点Ｇに対応する新たな点Ｇｔの座標値（ｘｔ
    ０、ｙｔ０）を楕円曲線算出手段により算出し出力する
    楕円曲線算出ステップと を含むことを特徴とする楕円曲
    線変換方法。
12. 【請求項１２】 入力された任意の楕円曲線Ｅを暗号に
    適した楕円曲線Ｅｔに変換するためのプログラムを記録
    したコンピュータ読み取り可能な記録媒体であって、 前記プログラムは、 ｐを素数とする有限体ＧＦ（ｐ）上の楕円曲線Ｅ：ｙ＾
    ２＝ｘ＾３＋ａｘ＋ｂを特定するパラメータｐ、ａ、ｂ
    及びその楕円曲線Ｅ上の点Ｇを特定する座標値（ｘ０、
    ｙ０）をそれぞれ入力手段を介して受けつける入力ステ
    ップと、 入力されたａ及びｐを用いて、ｔ≠０であり、かつ、ｔ
    ＾４×ａ （ｍｏｄｐ）の値がｐと比較して桁数が小さ
    くなるような変換係数ｔを変換係数特定手段により特定
    する変換係数特定ステップと、 特定された変換係数ｔを用いて、楕円曲線算出手段によ
    り、式ａ’＝ａ×ｔ＾４、ｂ’＝ｂ×ｔ＾６、ｘｔ０＝
    ｔ＾２×ｘ０及びｙｔ０＝ｔ＾３×ｙ０に従い、有限体
    ＧＦ（ｐ）上の新たな楕円曲線Ｅｔ：ｙ’＾２＝ｘ’＾
    ３＋ａ’×ｘ’＋ｂ’を特定するパラメータａ’、ｂ’
    及び前記点Ｇに対応する新たな点Ｇｔの座標値（ｘｔ
    ０、ｙｔ０）を楕円曲線算出手段により算出し出力する
    楕円曲線算出ステップとをコンピュータに実行させる こ
    とを特徴とする記録媒体。