JP3055636B2 - 暗号通信符号化装置および復号化装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、通信路を通して伝送す
るディジタルデータの内容を不正に解読されないよう
に、ディジタル情報の内容を暗号化して送信する暗号通
信符号化装置、および受信された暗号から元のディジタ
ルデータを復元する暗号通信復号化装置に関するもので
ある。

【０００２】

【従来の技術】公開鍵暗号とは１９７６年にディフィー
とヘルマンがアイトリプリイー・トランザクション・オ
ン・インフォメーション・セオリー誌の第ＩＴ−２２
巻，６号（Whitfield Diffie and Martin E.Hellman,
“New Directions in Cryptography,"IEEE Transaction
s on Information Theory,Vol.IT-22,No.6,pp.644-654,
November 1976）で提案した暗号通信方式である。な
お、以下ではディジタル情報を暗号に変換して送信する
操作のことを暗号通信符号化あるいは単に暗号化と呼
び、受信された暗号から元のディジタル情報を復元する
操作のことを暗号通信復号化あるいは単に復号化と呼
ぶ。

【０００３】また、送信しようとするディジタルデータ
のことを平文と呼び、暗号化されたディジタルデータの
ことを暗号文と呼ぶ。また、ディジタルデータは数値で
表現できるから、以下では平文と暗号文を表すディジタ
ルデータと数値とを同一視することにする。公開鍵暗号
が提案される前に使われていた暗号では、暗号化に使う
暗号鍵と復号化に使う復号鍵とが等しかったので、Ａさ
んとＢさんが他人に通信内容を知られないように通信を
する場合には、予め２人だけしか知らない暗号鍵を決め
ておいて、その暗号鍵を使って送信する通信内容を暗号
化する必要があった。このため、ｎ人が互いに通信を行
う場合には、（ｎ−１）×（ｎ−２）×…×２×１個も
の暗号鍵を管理する必要があった。

【０００４】これに対して公開鍵暗号では、ｎ人が互い
に通信するには、ｎ組の暗号鍵を管理すればよい。とい
うのも公開鍵では、暗号化に使う暗号鍵と復号化に使う
暗号鍵とが異なり、しかも前者の暗号鍵から後者の暗号
鍵を算出することが困難なので、前者の暗号鍵を不特定
多数に公開しても、通信内容があばかれないという性質
があるからである。なお、この性質の故に、前者の暗号
鍵のことは公開鍵と呼ばれ、後者の暗号鍵は秘密鍵と呼
ばれる。公開鍵暗号を使ってｎ人が暗号通信する場合に
は、ｎ人がそれぞれ固有の秘密鍵と公開鍵を作り、公開
鍵の方を他のメンバーに公開する。そして、例えばＡさ
んがＢさんに通信文を送信したい場合には、ＡさんはＢ
さんの公開鍵で通信文を暗号化してＢさんに送信する。
その暗号から元の通信文を復元できるのは秘密鍵を知っ
ているＢさんだけなので、通信文がＢさん以外の第三者
に知られることはない。

【０００５】以下では、従来の公開鍵暗号について詳し
く説明する前に、必要な数学的事項について簡単に説明
しておく。なお、これらの事項については例えば１９８
２年にデニングによって著されアジソン・ウェスレイか
ら出版された書籍クリプトグラフィー・アンド・セキュ
リティ（Dorothy Elizabeth Robling, Denning Cryptog
raphy and Data Security, Addison-Wesley Publishing
Company,Inc.,1982）の第１章６節で詳しく説明されて
いる。

【０００６】まず剰余について説明しておく。ａをＮで
割った余りｒは、ａのＮに関する剰余と呼ばれる。ま
た、ａのＮに関する剰余と、ｂのＮに関する剰余が等し
いことは、ａ ｍｏｄ Ｎ＝ｂ ｍｏｄ Ｎあるいはａ
＝ｂ ｍｏｄ Ｎで表わされる。

【０００７】次に平方剰余について説明しておく。次式
を満足する整数ｘが存在するときにはａは法ｐの平方剰
余、存在しないときにはａは法ｐの平方非剰余と呼ばれ
る。

【０００８】

【数１】

【０００９】次にルジャンドル記号について説明してお
く。整数ａと素数ｐに対して、ルジャンドル記号（ａ｜
ｐ）は式（１０）で定義される。

【００１０】

【数２】

【００１１】ルジャンドル記号については式（１１），
（１２）が成り立っている。

【００１２】

【数３】

【００１３】次にヤコビ記号について説明しておく。整
数Ｐと、２より大きな整数Ｑに対して、ヤコビ記号（Ｐ
｜Ｑ）は式（１３）で定義される。

【００１４】

【数４】

【００１５】式（１３）において、Ｑに含まれる素因数
の個数をｍとし、Ｑに含まれるｍ個の素因数をＱ₁，Ｑ₂
…Ｑ_i…Ｑ_mとし、Ｑの因数として素因数Ｑ_iがそれぞれ
ｅ_i個含まれているものとする。例えば、Ｑ＝３６０＝
２³×３²×５¹ならば、ｍ＝３，Ｑ₁＝２，Ｑ₂＝３，Ｑ₃
＝５，ｅ₁＝３，ｅ₂＝２，ｅ₃＝１である。なお、Ｑが
２より大きな素数の場合には、ヤコビ記号（Ｐ｜Ｑ）は
ルジャンドル記号（Ｐ｜Ｑ）と等価となることが知られ
ている。このために、ヤコビ記号とルジャンドル記号を
同一の記号を使って表わしても混乱はない。

【００１６】なおまた、上式（１３）において、（Ｐ，
Ｑ）はＰとＱの最大公約数を表す。この表記方法は以下
の説明においても用いることにする。ヤコビ記号につい
ては以下の性質が成り立っている。

【００１７】

【数５】

【００１８】ただし上式の定義は、例えば前記デニング
の文献に記載されている通常のヤコビ記号の定義を拡張
したものである。しかしながら拡張されたヤコビ記号で
は、通常のヤコビ記号が定義されないようなＰとＱに対
するヤコビ記号（Ｐ｜Ｑ）の値を０にしただけであるか
ら、明らかに通常のヤコビ記号と同様に式（１４），
（１５），（１６），（１７），（１８），（１９）が
成り立つ。

【００１９】本発明においてヤコビ記号と言えば、式
（１３）で定義される拡張されたヤコビ記号を意味する
ことにする。なお、ヤコビ記号の定義の拡張について
は、例えば１９８０年にアイトリプリイー・トランザク
ションズ・オン・インフォメーション・セオリー誌のＩ
Ｔ−２６巻６号に記載されたウイリアムズの論文（H.C.
Williams,“A Modification of tha RSA Public-Key En
cryption Procedure,"IEEETransactions on Informatio
n Theory,Vol.IT-26,No.6,pp.726-729,1980）に詳しく
述べられている。

【００２０】また、拡張されたヤコビ記号の計算方法に
ついては前記デニングの書籍の第１０６項やウイリアム
ズの論文および拡張されたヤコビ記号の定義式（１３）
より明かである。すなわち、拡張された式（１６）のヤ
コビ記号（Ｐ｜Ｑ）を計算する場合には、（Ｐ，Ｑ）の
値を確認しつつ通常のヤコビ記号の計算方法を実行し、
もし（Ｐ，Ｑ）が１でないことがわかれば、通常の計算
方法を終了して、計算結果を０とすればよい。なお、ウ
イリアムズはヤコビ記号をＱ｜ＰすなわちＰがＱで割り
切れるならば（Ｐ｜Ｑ）≠０であると定義しているが、
Ｑ｜Ｐを（Ｐ，Ｑ）＝１と読み換えれば、式（１６）の
場合と同様になる。

【００２１】さて、公開鍵暗号としては様々なものが提
案されているが、実際に広く使われているものは、１９
７８年にリベストらがコミュニケーションズ・オブ・ザ
・エイ・シー・エム誌で提案した暗号通信方式で（R.L.
Rivest, A.Shamir,and L.Adleman,"A Method for Obtai
ning Digital Signatures and Public-Key Cryptosyste
ms," Communications ofthe ACM,Vol.21,No.2,pp.120-1
26,February 1978）があり、著者らの頭文字をとってＲ
ＳＡ暗号と呼ばれているものである。以下ではＲＳＡ暗
号について簡単に説明しておく。なお、ＲＳＡ暗号につ
いては例えば前記デニングの書籍の第２章７節などに詳
しい解説がある。ＲＳＡ暗号では、公開鍵として公開さ
れる数値にはｅとＮの２つがあり、式（３０）のように
平文Ｍをｅでべき乗して、Ｎで割ったときの余りを暗号
文Ｃとする。

【００２２】

【数６】

【００２３】ここでＭ，ｅ，Ｎは、ともに数百ビットの
大きな数である。また、暗号文から元の平文Ｍを復元す
るには、式（３１）のように暗号文Ｃを秘密鍵ｄでべき
乗し、Ｎで割ったときの余りを求める。

【００２４】

【数７】

【００２５】なお、公開鍵Ｎ，ｅと秘密鍵ｄとは、Ｍ＝
（Ｍ^e ｍｏｄ Ｎ）^d ｍｏｄ Ｎという関係が、０以
上Ｎ未満の任意の数値Ｍについて成り立つように予め決
められているもので、そのように公開鍵と秘密鍵を選ぶ
方法については前記リベストらの文献に示されている。
しかしながら、ＲＳＡ暗号では数百ビットもの数のべき
乗演算が必要なために、暗号化と復号化に膨大な処理時
間を必要とする。

【００２６】ＲＳＡ暗号以外の公開鍵暗号としては、ラ
ビン暗号が知られている。これは１９７９年にラビンが
エム・アイ・テイーの報告書の中で提案した暗号通信方
式である（M.O.Rabin,“Digitized signatures and pub
lic-Key functions as intractable as factorizatio
n,"MIT Lab.for Computer Science,Tech.Rep.LCS/TR21
2,Cambridge MA:MIT Lab.for Computer Science,197
9）。以下ではラビン暗号について簡単に説明してお
く。なお、ラビン暗号については例えば前記デニングの
書籍の第１２８項などに記述がある。ラビン暗号では、
素数ｐ，ｑを秘密鍵とし、Ｎ＝ｐ・ｑを公開鍵として、
式（３２）のように暗号化を行う。

【００２７】

【数８】

【００２８】ここで、Ｍは平文、Ｃは暗号文であり、
ｐ，ｑ，Ｎ，Ｍ，Ｃはともに数百ビットもの数である。
ラビン暗号では乗算を１回と剰余を１回だけ計算して暗
号化を行うので、暗号化はＲＳＡ暗号に比べて桁違いに
高速に実行できる。なお、ラビン暗号の暗号化は式（３
３）のように一般化できるが、

【００２９】

【数９】

【００３０】以下では、便宜上、式（３３）においてｂ
＝０とした場合、すなわち式（３２）の場合についての
み説明する。というのも、式（３３）は式（３４）のよ
うに変形できるので、

【００３１】

【数１０】

【００３２】以下の説明において平文Ｍと暗号文Ｃをそ
れぞれＭ＋（ｂ／２）と、Ｃ＋（ｂ／２）²に代入すれ
ば、式（３３）の場合については自明だからである。な
お、参考までに図１１にラビン暗号にもとづく従来の暗
号通信符号化装置の機能ブロック図を示す。図におい
て、平文Ｍは入力端子１１０１から入力されて、公開鍵
Ｎは入力端子１１０５から入力されて、それぞれ平方回
路１０２に供給される。平方回路１０２はＭ² ｍｏｄ
Ｎを算出し、その結果を暗号文Ｃとして出力端子１１
０４から出力する。

【００３３】さて、ラビン暗号で暗号文から元の平文を
復号化するには、ｘに関する式（４０）の方程式を解け
ばよい。

【００３４】

【数１１】

【００３５】ただし、式（４０）はＮの因数すなわちｐ
とｑを知らないと解くのが困難である。式（４０）を解
くには、まず以下の２つの式（４１），（４２）をｘに
ついて解く。

【００３６】

【数１２】

【００３７】これらの式（４１），（４２）の解は、ｐ
＝３ ｍｏｄ ４，ｑ＝３ ｍｏｄ４の場合には、式
（４３），（４４）のようにして求められる。

【００３８】

【数１３】

【００３９】なお参考までに、式（４３），（４４）で
与えられる√Ｃ_p，√Ｃ_q が、それぞれ式（４１），
（４２）の解となることの証明は、例えば前述のデニン
グの書籍の１１６項に述べられている。なお、Ｃ≠０
ｍｏｄ ｐの場合には式（４１）は２つの解を持ち、も
う一方の解は−√Ｃ_p で与えられる。同様に、Ｃ≠０
ｍｏｄ ｑの場合には式（４２）は２つの解を持ち、も
う一方の解は−√Ｃ_qで与えられる。このことは、−√
Ｃ_p ，−√Ｃ_q をそれぞれ式（４１），（４２）に代
入してみれば明らかである。また、Ｃ＝０ ｍｏｄ ｐ
の場合には式（４１）は１つの解０を持つ。同様に、Ｃ
＝０ ｍｏｄ ｑの場合には式（４２）は１つの解０を
持つ。

【００４０】式（４１），（４２）の解が求まれば、そ
れを利用して式（４０）の解が求められる。このために
は、式（４１）の解をｘ_p，式（４２）の解をｘ_q とす
れば、式（４５）にこれらの解を代入することで式（４
０）の解ｘ_N が求められる。

【００４１】

【数１４】

【００４２】ここで、ｂ_pとｂ_qは、ｑ・ｂ_p＝１ ｍｏ
ｄ ｐ，ｐ・ｂ_q＝１ ｍｏｄ ｑを満足する値であ
る。このようにして式（４０）の解が求められること
は、式（４０），（４１），（４２）に式（４５）を代
入してみれば明らかである。なお、式（４１），（４
２）の解ｘ_p ，ｘ_q は、それぞれ最大で２個あるか
ら、式（４０）の解は、式（４５）に代入するｘ_p ，
ｘ_q に応じて、最大で４個得られる。

【００４３】なお、参考までに、式（４０）の解の数
と、暗号文Ｃのヤコビ記号との関係をまとめておくと式
（４６）のようになる。

【００４４】

【数１５】

【００４５】また参考までに、図１２にラビン暗号にも
とづく従来の暗号通信復号化装置の機能ブロック図を示
しておく。図において暗号文Ｃは入力端子１２０１から
入力されて、開平回路２０３，２０４に供給される。秘
密鍵ｐは入力端子１２０８から入力されて、開平回路２
０３と平文合成回路１２０５に供給される。秘密鍵ｑは
入力端子１２１０から入力されて、開平回路２０４と平
文合成回路１２０５に供給される。開平回路２０３およ
び開平回路２０４はそれぞれ式（４３），（４４）にも
とづいてそれぞれ式（４１），（４２）の解を算出し、
その結果を平文合成回路１２０５に供給する。平文合成
回路１２０５は式（４５）にもとづいて式（４０）の解
を算出する。そして、平文合成回路で算出された解は、
出力端子１２１１，１２１２，１２１３，１２１４から
出力される。なお、送信された平文は１つであるから、
受信者は出力端子１２１１，１２１２，１２１３，１２
１４から出力された解のうちどれが正しい平文であるか
を判断する必要がある。

【００４６】

【発明が解決しようとする課題】しかしながらラビン暗
号では、送信された平文がＡＳＣＩＩコードで記述され
た英文だったりＪＩＳコードで記述された邦文であれ
ば、暗号通信復号化装置の出力した複数の解を見比べる
ことでどれが送信された平文であるかを判断できるもの
の、送信された平文が冗長度の無いランダムなディジタ
ルデータである用途では、複数の解から正しい平文を見
つけ出す手がかりが無いので、送信された平文を一意に
決定することができないという問題があった。

【００４７】本発明は、以上のような問題点を解決し、
平文が冗長度の無いランダムなディジタルデータであっ
ても暗号文から元の平文が一意に決定できるような、暗
号通信符号化装置および復号化装置を実現するものであ
る。

【００４８】

【問題点を解決するための手段】本発明の第１の暗号通
信符号化装置は、８で除算すると余りが３であるような
予め決められた素数ｐと、８で除算すると余りが７であ
るような予め決められた素数ｑと、前記ｐとｑの積Ｎに
対して、少なくとも、入力されたデータの数値表現Ｍを
平方し平方結果を予め決められた前記数値Ｎで割った余
りを出力する平方手段と、前記Ｎ／２とＭとの大小を比
較する比較手段と、前記数値Ｎに関するＭのヤコビ記号
（Ｍ｜Ｎ）を計算するヤコビ記号計算手段と、前記Ｎか
ら前記平方手段の出力を減算して減算結果を出力する減
算手段と、前記比較手段の出力がＭ＜Ｎ／２であること
を示していれば前記平方手段の出力を選択して出力し、
前記比較手段の出力がＭ＞Ｎ／２であることを示してい
れば前記減算手段の出力を選択して出力する第１のセレ
クタと、前記Ｎを法として前記第１のセレクタの出力に
２を乗算して乗算結果を出力する乗算手段と、前記ヤコ
ビ記号計算手段の出力（Ｍ｜Ｎ）が１であれば前記第１
のセレクタの出力を選択して出力し、前記ヤコビ記号計
算手段の出力（Ｍ｜Ｎ）が−１であれば前記乗算手段の
出力を選択して出力する第２のセレクタとを備え、前記
第２のセレクタの出力を、前記数値表現Ｍに対応する暗
号文Ｃとして出力することを特徴とする。

【００４９】本発明の第２の暗号通信符号化装置は、数
値表現Ｍをランダム変換手段に入力して、予め決められ
た１対１変換を行って得られる数値を、上記暗号通信符
号化装置の数値表現Ｍに用いることを特徴とする。本発
明の第１の暗号通信復号化装置は、上記暗号通信符号化
装置の出力した前記暗号文Ｃに対して、少なくとも、ヤ
コビ記号（Ｃ｜ｐ）および（Ｃ｜ｑ）を計算する第２の
ヤコビ記号計算手段と、前記数値Ｎを法として暗号文Ｃ
を２で除算して除算結果を出力する第２の除算手段と、
（Ｃ｜ｐ）・（Ｃ｜ｑ）＝０あるいは（Ｃ｜ｐ）・（Ｃ
｜ｑ）＝１ならば前記暗号文Ｃを選択して出力し、（Ｃ
｜Ｐ）・（Ｃ｜ｑ）＝−１ならば前記第２の除算手段の
出力を選択して出力する第３のセレクタと、前記数値Ｎ
から前記第３のセレクタの出力を減算して減算結果を出
力する第３の減算手段と、（Ｃ｜ｐ）＝−１あるいは
（Ｃ｜ｑ）＝−１ならば前記第３の減算手段の出力を選
択出力、さもなくば前記第３のセレクタの出力を選択し
て出力する第４のセレクタと、前記第４のセレクタの出
力を剰余ｐと剰余ｑでそれぞれ開平する開平手段と、前
記開平手段の出力を予め決められた定数で重み付き加算
し、加算結果を前記予め決められた数値Ｎで割った余り
を算出して出力する平文合成手段とを備え、前記平文合
成手段の出力を暗号文Ｃに対応する平文Ｍとして出力す
ることを特徴とする。

【００５０】本発明の第２の暗号通信復号化装置は、上
記暗号通信復号化装置において、前記平文合成手段の出
力の平文Ｍを、予め決められた１対１変換を行う逆ラン
ダム変換手段に入力し、得られる数値を出力することを
特徴とする。

【００５１】

【作用】上記の構成によれば本発明の暗号通信符号化装
置においては、平方回路で入力平文の数値表現Ｍを平方
して数値Ｎで割った余りの出力に、比較器でＮ／２とＭ
の大小を比較した出力およびヤコビ記号計算回路で計算
したヤコビ記号（Ｍ｜Ｎ）の出力とに応じて補正回路で
予め決められた補正を施して暗号文Ｃとしてデータ出力
される。

【００５２】一方暗号通信復号化装置においては、入力
暗号Ｃに対してヤコビ記号計算回路で計算された暗号文
Ｃのヤコビ記号（Ｃ｜ｐ）と（Ｃ｜ｑ）に応じて逆補正
回路で逆補正回路を施し、開平回路で剰余ｐと剰余ｑで
それぞれ開平して、平文合成回路で決められた定数で重
み付加算した上で数値Ｎで割った余りを平文データとし
て出力するので、暗号文から平文が一意に決定処理する
ことが可能となる。

【００５３】あるいは、暗号通信符号化装置において、
ランダム変換器が入力文Ｍに予め決められた１対１の変
換を行ない暗号化してデータ出力され、一方暗号通信復
号化装置においては、逆ランダム変換器が平文合成回路
の出力を入力として予め決められたランダム変換器の逆
変換を行って平文データとして出力するので、更に機能
的な平文と暗号文の１対１対応処理を行うことが可能と
なる。

【００５４】

【実施例】次に本発明の暗号通信符号化装置および復号
化装置の一実施例における具体的なデータ処理を説明す
る前にまず本発明の暗号化および復号化の特徴的方式に
ついて述べておく必要があるので以下に説明する。

【００５５】公開鍵がＮのラビン暗号においては、０か
らＮ−１までのすべての整数値が平文として使われてい
るが、暗号文としては０からＮ−１までの整数のうち一
部しか使われていない。平文と暗号文の数が等しくなけ
れば、それらを１対１に対応させることは明らかに不可
能である。本発明は、ラビン暗号で暗号文として使われ
ていない整数を見つけ出して、０からＮ−１までのすべ
ての整数を暗号文として利用することで１対１の対応を
可能にするものである。以下では、ラビン暗号で暗号文
として使われていない整数を見つけ出す方法と、得られ
たＮ個の暗号文とＮ個の平文とを１対１に対応させる方
法を３つの場合に分けて説明する。なお、本発明におい
ては、秘密鍵ｐ，ｑとして式（５０）あるいは、

【００５６】

【数１６】

【００５７】式（５１）の条件を満たすような３以上の
素数を選ぶ必要がある。

【００５８】

【数１７】

【００５９】そのような素数の組を選ぶ理由は以下の説
明の過程で明らかになる。ただし、説明の便宜上、以下
では式（５０）を満たすような素数の組に限定する。式
（５１）の条件を満たす素数の組を選んだ場合について
は、以下の説明においてｐとｑを入れ換えてみれば明ら
かである。

【００６０】第１に平文ＭがＭ＝０の場合について考え
る。ラビン暗号においては明らかに、平文０は暗号文０
に暗号化される。また、暗号文０に暗号化される平文は
０しかない。そうであるなら、ｘ² ＝０ ｍｏｄ Ｎ
を満足する整数ｘはＮの倍数すなわち０，Ｎ，２Ｎ，３
Ｎ，…であるが、それらのうち平文として使われている
ものは０だけである。本発明においても平文Ｍ＝０は暗
号文Ｃ＝０に暗号化することにする。すなわち、

【００６１】

【数１８】

【００６２】なお、式（６０）で符号化された暗号文か
ら元の平文を復元するには、式（６１）のような操作を
行えばよい。

【００６３】

【数１９】

【００６４】第２に平文Ｍが（Ｍ｜Ｎ）＝０，Ｍ≠０を
満足する場合について考える。ラビン暗号においては、
そのような平文は（Ｃ｜Ｎ）＝０，Ｃ≠０を満たす暗号
文Ｃに暗号化される。なぜなら（Ｍ｜Ｎ）＝０ならば前
述のヤコビ記号の性質により（Ｃ｜Ｎ）＝（Ｍ・Ｍ ｍ
ｏｄ Ｎ｜Ｎ）＝（Ｍ｜Ｎ）²＝０であり、一方、（Ｍ
｜Ｎ）＝０を満たすＭのうちＭ＝０は先に述べたように
Ｃ＝０と１対１に対応しているからである。このような
暗号文Ｃに対しては、式（４６）に示したように式（４
０）は２つの解を持つ。すなわち１つの暗号文に２つの
平文が対応している。従って、（Ｍ｜Ｎ）＝０，Ｍ≠０
を満たす平文Ｍと（Ｃ｜Ｎ）＝０，Ｃ≠０を満たす暗号
文Ｃとを１対１に対応させるには、それぞれの暗号文Ｃ
に対して、（ｘ｜Ｎ）＝０，ｘ＝０を満たす整数ｘのう
ちラビン暗号の暗号文として使われていない整数を１個
捜し出して、それを暗号文として利用する必要がある。

【００６５】さて本発明では、式（５０）のように（−
１｜ｐ）＝（−１｜ｑ）＝−１を満たすような秘密鍵
ｐ，ｑを選んでいるので、Ｃが（Ｃ｜Ｎ）＝０，Ｃ≠０
を満たすような暗号文であれば、（ｘ｜Ｎ）＝０，ｘ≠
０を満たしラビン暗号の暗号文として使われていないよ
うな整数として−Ｃを選べばよい。なぜなら秘密鍵ｐ，
ｑの式（５０）の条件と前述のヤコビ記号の性質より、

【００６６】

【数２０】

【００６７】であるから、（−Ｃ｜ｐ），（−Ｃ｜ｑ）
の一方が−１でもう一方が０となる。これは、暗号文と
して−Ｃを代入した式（４１），（４２）の一方が解を
持たないということであるから、暗号文として−Ｃを代
入した式（４０）が解を持たないということになる。す
なわち、−Ｃはラビン暗号において暗号文として使われ
ていない。なお、以上の説明では便宜上−Ｃと表してい
るが、−Ｃ＝Ｎ−Ｃ ｍｏｄ Ｎで０＜Ｎ−Ｃ＜Ｎであ
るから、実際に暗号文として使われるのはＮ−Ｃであ
る。以下でも便宜的に同様の記法を用いることにする。

【００６８】さて、ラビン暗号において（Ｍ｜Ｎ）＝
０，Ｍ≠０を満たす平文Ｍが暗号文Ｃに暗号化されたと
すると、式（４０）を満足するもう一つの平文は−Ｍで
ある。これは式（４０）に−Ｍを代入してみると明らか
である。なお明らかに、Ｍと−Ｍの２つの平文のうち、
一方はＮ／２より大きく、他方はＮ／２より小さい。ま
た以上では、−Ｃがラビン暗号で暗号文として使われて
いないことを示した。これらの平文Ｍ，−Ｍと暗号文
Ｃ，−Ｃとを１対１に対応させるには、例えば次のよう
にして暗号化すればよい。ただし式（７０）において
Ｍ，Ｃはそれぞれ平文と暗号文を示す変数であり、以上
の説明におけるＭ，Ｃとは異なる。

【００６９】

【数２１】

【００７０】そして、式（７０）のように暗号化された
暗号文から元の平文を復元するには、まず式（７１）の
ような操作を行う。

【００７１】

【数２２】

【００７２】θについて（θ｜ｐ）＝１，（θ｜ｑ）＝
０あるいは（θ｜ｐ）＝０，（θ｜ｑ）＝１という関係
が成り立っていることは、式（５０）のｐ，ｑの条件お
よび前述のヤコビ記号の性質より明らかである。次に暗
号文としてθを代入した式（４０）の解を求める。そし
て、得られた２つの解のうちＮ／２より小さい方の解を
ｍとすれば、式（７２）の操作で元の平文が復元でき
る。

【００７３】

【数２３】

【００７４】なお、復号化の操作は式（７１）の代わり
に式（７３）のように行ってもよい。

【００７５】

【数２４】

【００７６】ただし、その場合には式（７２）を式（７
４）のように修正する必要がある。

【００７７】

【数２５】

【００７８】第３に平文が（Ｍ｜Ｎ）≠０を満足する場
合について考える。ラビン暗号においては、そのような
平文は（Ｃ｜Ｎ）≠０を満たす暗号文Ｃに暗号化され
る。なぜなら、（Ｍ｜Ｎ）≠０ならば前述のヤコビ記号
の性質により（Ｃ｜Ｎ）＝（Ｍ・Ｍ ｍｏｄ Ｎ｜Ｎ）
＝（Ｍ・Ｍ｜Ｎ）＝（Ｍ｜Ｎ）²≠０だからである。こ
のようなＣに対しては、式（４６）に示したようにＭに
関する方程式（４０）は４つの解を持つ。すなわち一つ
の暗号文に対して４つの平文が対応している。従って、
（Ｍ｜Ｎ）≠０を満たす平文Ｍと（Ｃ｜Ｎ）≠０を満た
す暗号文Ｃとを１対１に対応させるには、それぞれの暗
号文Ｃに対応して、（ｘ｜Ｎ）≠０を満たす整数ｘのう
ちラビン暗号の暗号文として使われていない整数を３個
捜し出して、それを暗号文として利用する必要がある。

【００７９】さて、（Ｍ｜Ｍ）≠０を満たす平文Ｍが暗
号文Ｃに暗号化されたとする。この場合には（ｘ｜Ｎ）
≠０を満たす整数ｘのうちラビン暗号の暗号文として使
われていない整数の一つとして−Ｃを選ぶ。これがラビ
ン暗号で暗号文として使われていないことは第２の場合
と同様にしてわかる。残り２つの整数としては２Ｃ，−
２Ｃを選ぶことにする。なぜなら、秘密鍵ｐ，ｑの条件
（５０）と前述のヤコビ記号の性質より

【００８０】

【数２６】

【００８１】であるから、暗号文として２Ｃ，−２Ｃを
代入した式（４０）が解を持たない。すなわち、２Ｃ，
−２Ｃはラビン暗号において暗号文として使われていな
い。さて、（Ｍ｜Ｎ）≠０を満たす平文Ｍが暗号文Ｃに
暗号化されたとする。この場合に、式（４０）を満足す
る４つの平文と、以上のようにして得られた計４つの暗
号文Ｃ，−Ｃ，２Ｃ，−２Ｃとを如何にして１対１に対
応させるか説明する。

【００８２】式（４０）を満足する４つの平文のうち２
つはＮ／２より小さく、それらをＭ₁ ，Ｍ₂とおけば、
残りの２つの平文は−Ｍ₁ ，−Ｍ₂である。その理由
は、第２の場合と同様である。また、Ｍ₁とＭ₂ は、ヤ
コビ記号（Ｍ₁｜Ｎ），（Ｍ₂，｜Ｎ）の値が異なってい
る。というのも、まず第一に、先に述べたヤコビ記号の
性質により、

【００８３】

【数２７】

【００８４】であるから、Ｍ₁と−Ｍ₁およびＭ₂と−Ｍ₂
はヤコビ記号の値が等しい。第二に、式（４１）の１方
の解をｘ_p とし、式（４２）の１つの解をｘ_q とし、
ｘ_p，ｘ_q を式（４５）に代入して得られる式（４０）
の解をｘ_N とすれば、先に述べたヤコビ記号の性質と
先に述べたｂ_p とｂ_q の定義により、

【００８５】

【数２８】

【００８６】であるから、式（４０）を満足する４つの
解のヤコビ記号（Ｍ₁｜Ｎ），（Ｍ₂｜Ｎ），（−Ｍ₁｜
Ｎ），（−Ｍ₂｜Ｎ）の値は、２つの解については１で
２つの解については−１である。以上によりＭ₁とＭ₂
のヤコビ記号（Ｍ₁｜Ｎ），（Ｍ₂｜Ｎ）の値が異なって
いることがわかる。

【００８７】さて、ラビン暗号において（Ｍ｜Ｎ）≠０
を満たす平文Ｍが暗号文Ｃに暗号化されたとすると、ラ
ビン暗号で暗号文として使われていない整数としては以
上で示したように−Ｃ，２Ｃ，−２Ｃがあり、式（４
０）を満足する４つの解は以上で示したようにＮ／２と
の大小関係とＮに関するヤコビ記号の値で区別できる。
従って、これら４つの平文と４つの暗号文とを１対１に
対応させるには、例えば次のようにして暗号化すればよ
い。ただし式（８０）においてＭ，Ｃはそれぞれ平文と
暗号文を示す変数であり、以上の説明におけるＭ，Ｃと
は異なる。

【００８８】

【数２９】

【００８９】そして、式（８０）のように暗号化された
暗号文から元の平文を復元するには、まず式（８１）の
ような操作を行う。

【００９０】

【数３０】

【００９１】θについて（θ｜ｐ）＝１，（θ｜ｑ）＝
１という関係が成り立っていることは、式（５０）の
ｐ，ｑの条件および前述のヤコビ記号の性質より明らか
である。次に暗号文としてθを代入した式（４０）の解
を求める。そして得られた４つの解のうち、Ｎ／２より
小さくＮに関するヤコビ記号が１であるような解をｍ₁
とし、Ｎ／２より小さくＮに関するヤコビ記号が−１で
あるような解をｍ₂とすれば、式（８２）の操作で元の
平文Ｍが復元できる。

【００９２】

【数３１】

【００９３】なお、本発明における暗号化においては、
式（８０）における演算と条件とが、１対１に対応して
いれば、任意のものが使える。ただし、式（８０）と異
なる対応付けをした場合には、それに応じて式（８
１），（８２）における演算と条件との対応付けも変更
する必要がある。

【００９４】なお、最後に補足をすると、以上の説明で
は式（５０）の条件を満足する素数ｐ，ｑが存在するこ
とを前提としていたが、そのような素数ｐ，ｑは実際に
存在する。というのも、この条件は前述のヤコビ記号の
性質によってｐ＝３ ｍｏｄ８，ｑ＝７ ｍｏｄ ８と
いう簡単な条件に帰着できる。そして、式ｐ＝３ｍｏｄ
８を満たす素数ｐには３，１１，１９，４３，５９，
…が存在し、式ｑ＝７ ｍｏｄ ８を満たす素数ｑには
７，２３，３１，４７，７１，７９，…が存在する。ま
た、そのようなｐ，ｑはｐ＝３ ｍｏｄ ４，ｑ＝３
ｍｏｄ ４という条件を満たしているので、ラビン暗号
の復号化の説明で述べたように式（４３），（４４）を
利用して、式（４１），（４２）の解を求められる。

【００９５】さらに前述の説明では、３つの場合につい
てそれぞれ式（６０），（７０），（８０）のように異
なる暗号化を行っていたが、これらは以下式（９０），
（９１）のように簡単にまとめることができる。

【００９６】

【数３２】

【００９７】ここで関数ｔ（Ｍ）とｕ（Ｍ）は式（９
２），（９３）で定義される関数である。

【００９８】

【数３３】

【００９９】なお以下では、θのことを中間文と呼ぶこ
とにする。式（６０），（７０），（８０）の操作が式
（９０），（９１）のようにまとめられることは、式
（６０），（７０），（８０）と式（９０），（９
１），（９２），（９３）を比較すれば明らかである。

【０１００】以下本発明の一実施例について図を参照し
て説明する。図１は、式（９０），（９１）にもとづい
て暗号化操作を行う、本発明の第１の実施例である暗号
通信符号化装置の一実施例を示す機能ブロック図であ
る。図において、公開鍵Ｎは入力端子１０５から入力さ
れ、平方回路１０２，補正回路１０３，比較器１０６，
ヤコビ記号計算回路１０７に供給される。平文Ｍは入力
端子１０１から入力され、平方回路１０２，比較器１０
６，ヤコビ記号計算回路１０７に供給される。平方回路
１０２はＭ² ｍｏｄ Ｎを算出し、その結果を補正
回路１０３に供給する。なお、平方回路１０２における
処理が式（９０）の操作に相当し、平方回路１０２の出
力が式（９０）の中間文θに相当する。また、平方回路
１０２としてはラビン暗号で使われるものと同様のもの
が使用できる。比較器１０６は、平文ＭとＮ／２との大
小関係を算出し、その結果を補正回路１０３に供給す
る。

【０１０１】ヤコビ記号計算回路１０７はヤコビ記号
（Ｍ｜Ｎ）を計算し、その結果を補正回路１０３に供給
する。ヤコビ記号計算回路１０７については先に述べた
ように例えば前述のデニングの書籍やウイリアムズの論
文で示されている算法を実行するマイクロコンピュータ
などによって構成できる。なお、ヤコビ記号の計算方法
については本発明とは関係が薄いのでヤコビ記号の計算
方法についてはそれらの文献に譲ることにする。補正回
路１０３は比較器１０６の出力とヤコビ記号計算回路１
０７の出力に応じて、中間文θに対して式（９１）の変
換を施し、その結果を暗号文Ｃとして出力端子１０４か
ら出力する。つぎに、補正回路１０３について詳しく述
べることにする。

【０１０２】図３は、図１に示した補正回路１０３の機
能ブロック図である。図において、中間文θは入力端子
３０１から入力され、減算器３０２とセレクタ３０３に
供給される。図１に示した比較器１０６の出力は入力端
子３０８から入力され、セレクタ３０３に供給される。
図１に示したヤコビ記号計算回路１０７の出力は入力端
子３０９から入力されセレクタ３０５に供給される。公
開鍵Ｎは入力端子３０７から入力され、減算器３０２と
加算器３０４に供給される。減算器３０２はＮ−θを計
算して、その結果をセレクタ３０３に供給する。セレク
タ３０３は比較器１０６の出力がＭ＜Ｎ／２であること
を示していれば、その出力として中間文θを選択し、さ
もなくば減算器３０２の出力を選択する。セレクタ３０
３の出力は加算器３０４セレクタ３０５に供給される。
セレクタ３０３の出力をｓで表わせば、加算器３０４は
ｓ＋ｓ ｍｏｄ Ｎすなわち２・ｓ ｍｏｄ Ｎを計算
し、その結果をセレクタ３０５に供給する。セレクタ３
０５はヤコビ記号計算回路１０７の出力が（Ｍ｜Ｎ）＝
−１であることを示していれば、その出力として加算器
３０４の出力を選択し、さもなくばセレクタ３０３の出
力を選択する。セレクタ３０５の出力は出力端子３０６
から出力される。

【０１０３】つぎに第２の実施例である暗号通信復号化
装置における処理について説明する。前述の式（６
０），（７０），（８０）に対応した説明では、３つの
場合について式（６１），（７１），（８１）のように
それぞれ異なる復号化の操作を行っていたが、中間文θ
を算出する操作は式（９４）のように簡単にまとめられ
る。なお、Ｃ＝０の場合には中間文を求めなくとも、平
文Ｍが０であることがわかるが、Ｃ＝０の場合にはθ＝
０となるので、式（９４）に含めて扱っても、後の操作
に支障はない。

【０１０４】

【数３４】

【０１０５】ここで関数ｔ’（Ｃ）とｕ’（Ｃ）は式
（９５），（９６）で定義される関数である。

【０１０６】

【数３５】

【０１０７】式（６１），（７１），（８１）が式（９
４）のようにまとめられることは、式（６１），（７
１），（８１）と式（９４），（９５），（９６）を比
較すれば明らかである。図２は、式（９４）にもとづい
て復号化操作を行う、本発明の第２の実施例である暗号
通信復号化装置の一実施例を示す機能ブロック図であ
る。図において、秘密鍵ｐは入力端子２０８から入力さ
れ、ヤコビ記号計算回路２０９，開平回路２０３，平文
合成回路２０５に供給される。秘密鍵ｑは入力端子２１
０から入力され、ヤコビ記号計算回路２１１、開平回路
２０４、平文合成回路２０５に供給される。公開鍵Ｎは
入力端子２０７から入力され、逆補正回路２０２、平文
合成回路２０５に供給される。なお、Ｎ＝ｐ・ｑである
から、公開鍵Ｎを入力端子２０７から供給しないで、入
力端子２０８と入力端子２１０から供給されるｐ・ｑを
乗じて公開鍵Ｎを生成することも可能であるが、乗算器
が必要となるので、多くの用途では図２のように外部か
ら供給する方が望ましい。暗号文Ｃは入力端子２０１か
ら入力されて逆補正回路２０２とヤコビ記号計算回路２
０９，２１１に供給される。

【０１０８】ヤコビ記号計算回路２０９はヤコビ記号
（Ｃ｜ｐ）を算出し、その結果を逆補正回路２０２、平
文合成回路２０５に供給する。ヤコビ記号計算回路２１
１はヤコビ記号（Ｃ｜ｑ）を算出し、その結果を逆補正
回路２０２、平文合成回路２０５に供給する。逆補正回
路２０２は公開鍵Ｎとヤコビ記号（Ｃ｜ｐ），（Ｃ｜
ｑ）の値に応じて暗号文Ｃに式（９４）の変換を施し、
その結果θを開平回路２０３，２０４に供給する。開平
回路２０３は暗号文としてθを代入した式（４１）をｘ
について解いて、その解を平文合成回路２０５に出力
し、開平回路２０４は暗号文としてθを代入した式（４
２）をｘについて解いて、その解を平文合成回路２０５
に出力する。

【０１０９】なお、本発明では先に述べたように秘密鍵
ｐ，ｑはｐ＝３ ｍｏｄ ４，ｑ＝３ ｍｏｄ ４を満
足するように選ばれているので、開平回路２０３，２０
４は式（４３），（４４）のような巾乗演算を行うこと
で解を求める。従って、開平回路２０３，２０４は、従
来のＲＳＡ暗号やラビン暗号で使われているのと同様な
巾乗演算回路を利用して実現できる。平文合成回路２０
５は、式（４５）にもとづいて開平回路２０３，２０４
の出力から式（４０）の解を求める。なお、平文合成回
路２０５については後で詳しく述べることにする。

【０１１０】図４は、図２に示した復号化装置の逆補正
回路２０２の機能ブロック図である。図において暗号文
Ｃは入力端子４０１から入力され、加算器４０２、セレ
クタ４０３、セレクタ４０５に供給される。図２に示し
たヤコビ記号計算回路２０９の出力（Ｃ｜ｐ）は入力端
子４１０から入力され、図２に示したヤコビ記号計算回
路２１１の出力（Ｃ｜ｑ）は入力端子４１１から入力さ
れ、それらは平文情報生成回路４１２に供給される。公
開鍵Ｎは入力端子４０９から入力され、加算器４０２と
減算器４０６に供給される。加算器４０２は公開鍵Ｎと
暗号文Ｃを加算し、その結果をセレクタ４０３に供給す
る。セレクタ４０３は、暗号文Ｃの最下位ビットが１す
なわち暗号文Ｃが奇数であれば出力として加算器４０２
の出力を選択し、さもなくば暗号文Ｃを選択する。シフ
タ４０４はセレクタ４０３の出力を下位ビット方向に１
ビットだけシフトして、その結果をセレクタ４０５に供
給する。なお、暗号文Ｃが偶数ならばＣは２で割り切れ
るから、シフタ４０４の出力はＣ／２に等しい。

【０１１１】一方、Ｎは明らかに奇数であるから、暗号
文Ｃが奇数ならばＣ＋Ｎは２で割り切れ、シフタ４０４
の出力は（Ｃ＋Ｎ）／２に等しい。また、ＣはＮより小
さい数であるから、（Ｃ＋Ｎ）／２もＮより小さい。従
って、加算器４０２とセレクタ４０３とシフタ４０４
は、Ｃ／２ ｍｏｄ Ｎを計算しているわけである。

【０１１２】平文情報生成回路４１２は、ヤコビ記号計
算回路２０９，２１１の出力から、暗号通信符号化装置
の送信した平文Ｍのヤコビ記号（Ｍ｜Ｎ）と、平文Ｍと
Ｎ／２との大小関係に関する情報を算出し、それぞれセ
レクタ４０５とセレクタ４０７に供給する。セレクタ４
０５は、もし（Ｍ｜Ｎ）＝−１ならば出力としてシフタ
４０４の出力を選択し、それ以外の場合には暗号文Ｃを
選択する。セレクタ４０５の出力は減算器４０６、セレ
クタ４０７に供給されている。減算器４０６は公開鍵Ｎ
からセレクタ４０５の出力を減算し、その結果をセレク
タ４０７に供給する。もしＭ＜Ｎ／２ならば、セレクタ
４０７は出力としてセレクタ４０５の出力を選択し、一
方Ｍ＞Ｎ／２ならば、セレクタ４０７は減算器４０６の
出力を選択する。セレクタ４０７の出力は出力端子４０
８から出力される。

【０１１３】さて、前述の本発明の復号化過程において
は、式（８２）のような操作を行っているので、平文Ｍ
の候補の全てについてヤコビ記号を調べておく必要があ
る。ところで、暗号文Ｃとして中間文θを式（４３），
（４４）に代入して得られる√θ_p ，√θ_q について
は以下式（９７），（９８）の性質が成り立っている。

【０１１４】

【数３６】

【０１１５】なぜなら、式（４３），（４４）、秘密鍵
ｐ，ｑがｐ＝３ ｍｏｄ ４，ｑ＝３ ｍｏｄ ４を満
足すること、および前述のヤコビ記号の定義と性質によ
り、式（９９），（１００）となる。

【０１１６】

【数３７】

【０１１７】従って、√θ_p ，√θ_q を式（４５）に
代入して求められた解については、そのＮに関するヤコ
ビ記号の値が１であることがわかる。ただし、このよう
にして得られた解とＮ／２との大小関係については予め
予測できない。そこで、前述の本発明の復号化操作を更
に進めて考えれば後半部分を次のように整理することが
できる。まず、式（８１）によって中間文θが得られた
ならば、暗号文としてθを式（４３），（４４）に代入
して、√θ_p ，√θ_q を算出する。そして、送信され
た平文Ｍのヤコビ記号が（Ｍ｜Ｎ）＝−１でなければ、
それらを式（４５）に代入して解を求め、送信された平
文Ｍのヤコビ記号が（Ｍ｜Ｎ）＝−１であれば、−√θ
_p ，√θ_q あるいは√θ_p ，−√θ_q を式（４５）
に代入して解を求める。そしてもし、得られた解ｍとＮ
／２との大小関係が、送信された平文ＭとＮ／２との大
小関係に一致すれば、Ｍ＝ｍであることがわかり、一
方、得られた解ｍとＮ／２との大小関係が、送信された
平文ＭとＮ／２との大小関係に一致しなければ、Ｍ＝Ｎ
−ｍ ｍｏｄ Ｎであることがわかる。このようにすれ
ば、すべての平文についてヤコビ記号を計算する必要は
なくなる。

【０１１８】図５は、以上の改良された復号化手順にも
とづいて、図２に示した開平回路２０３，２０４の出力
から平文を復元する、平文合成回路２０５の機能ブロッ
ク図である。図において、開平回路２０３の出力√θ_p
は入力端子５０２から入力され、乗算器５１４に供給さ
れる。開平回路２０４の出力√θ_qは入力端子５０４か
ら入力され、減算器５１１、セレクタ５１２に供給され
る。公開鍵Ｎは入力端子５０５から入力され、減算器５
１８、加算器５１７、比較器５２１に供給される。秘密
鍵ｐは入力端子５０３から入力され乗算器５１５に供給
される。秘密鍵ｑは入力端子５０１から入力されて乗算
器５１３、減算器５１１に供給される。ヤコビ記号計算
回路２０９，２１１の出力は入力端子５０６，５０７か
ら入力されて平文情報生成回路５２２に供給され、平文
情報生成回路５２２は、送信された平文Ｍのヤコビ記号
（Ｍ｜Ｎ）に関する情報をセレクタ５１２に供給し、Ｍ
とＮ／２との大小関係を排他的論理和回路５２０に供給
する。

【０１１９】減算器５１１はｑから√θ_qを減算し、そ
の結果をセレクタ５１２に供給する。セレクタ５１２
は、もし（Ｍ｜Ｎ）＝−１ならば出力として減算器５１
１の出力を選択し、それ以外の場合には、√θ_qを選択
する。乗算器５１３はｑと入力端子５０８から供給され
ているｂ_pとを乗算し、その結果を乗算器５１４に供給
する。乗算器５１５はｐと入力端子５０９から供給され
ているｂ_qとを乗算し、その結果を乗算器５１６に供給
する。なお、ｂ_p，ｂ_qは、式（４５）で用いられている
定数ｂ_p，ｂ_qで、予め前述の条件を満たすように決めら
れている。

【０１２０】乗算器５１４は√θ_pと乗算器５１３の出
力を乗算し、その結果を加算器５１７に供給する。乗算
器５１６はセレクタ５１２の出力と乗算器５１５の出力
を乗算し、その結果を加算器５１７に供給する。加算器
５１７は乗算器５１４，５１６の出力を加算した結果の
Ｎの剰余を算出し、その結果をセレクタ５１９、減算器
５１８、比較器５２１に供給する。なお、乗算器５１
３，５１４，５１５，５１６、加算器５１７によって式
（４５）の操作が実行され、減算器５１１とセレクタ５
１２によって、√θ_q，−√θ_qの選択が実行されてい
る。

【０１２１】減算器５１８は公開鍵Ｎから加算器５１７
の出力を減算し、その結果をセレクタ５１９に供給す
る。比較器５２１は加算器５１７の出力とＮ／２の大小
関係を算出し、その結果を排他的論理和回路５２０に供
給する。なお、比較器５２１の出力する大小比較結果の
ビット表現は平文情報生成回路５２２の出力と等しいこ
ととする。排他的論理和回路５２０は平文情報生成回路
５２２の出力と比較器５２１の出力が等しいか否かを判
定し、その結果をセレクタ５１９に供給する。セレクタ
５１９は、もし平文情報生成回路５２２の出力と比較器
５２１の出力が等しければ、出力として加算器５１７の
出力を選択し、さもなくば減算器５１８の出力を選択す
る。セレクタ５１９の出力は、復元された平文として出
力端子５１０から出力される。

【０１２２】なお、減算器５１８、セレクタ５１９、排
他的論理和回路５２０、比較器５２１は、加算器５１７
の出力している解とＮ／２の大小関係が、送信された平
文とＮ／２との大小関係と一致したら、加算器５１７の
出力をそのまま出力端子５１０から出力し、それ以外の
場合には−（加算器５１７の出力）ｍｏｄ Ｎを出力端
子５１０から出力することになる。

【０１２３】つぎに図４，５に示した平文情報生成回路
の動作について更に詳しく説明する。本発明の暗号化の
定義（６０），（７０），（８０）とラビン暗号におけ
るヤコビ記号と根の数の関係式（４６）および前述のヤ
コビ記号の性質より、本発明においては平文Ｍと暗号文
Ｃとの間に次の関係が成り立っていることがわかる。

【０１２４】

【数３８】

【０１２５】この関係を利用すれば、暗号文Ｃのヤコビ
記号（Ｃ｜ｐ），（Ｃ｜ｑ）の値から、送信された平文
Ｍのヤコビ記号の値およびＭとＮ／２との関係が判断で
きる。図１０は、式（１０１）にもとづいて暗号文Ｃの
ヤコビ記号（Ｃ｜ｐ），（Ｃ｜ｑ）の値から、送信され
た平文Ｍのヤコビ記号の値およびＭとＮ／２との関係を
算出する、暗号文の（復号化装置の逆補正回路図、）図
４および（復号化装置の平文合成回路図、）図５に示し
た平文情報生成回路の機能ブロック図である。なお、説
明の便宜上、図４の平文情報生成回路４１２と図５の平
文情報生成回路５２２を別々に表わしたが、どちらの平
文情報生成回路も、図２に示したヤコビ記号生成回路２
０９，２１１から信号の供給を受けているので、実際に
は、図４の平文情報生成回路４１２と図５の平文情報生
成回路５２２は共用できる。

【０１２６】さて、図において、図２に示したヤコビ記
号計算回路２０９の出力（Ｃ｜ｐ）は入力端子１００１
から入力され、上位ビットがセレクタ１００５の入力
と、排他的論理和回路１００３に、下位ビットが論理積
回路１００４およびセレクタ１００５の制御信号入力端
子に供給される。図２に示したヤコビ記号計算回路２１
１の出力（Ｃ｜ｑ）は入力端子１００２から入力され、
上位ビットが排他的論理和回路１００３とセレクタ１０
０５に供給され、下位ビットが論理積回路１００４に供
給される。なお、（Ｃ｜ｐ）と（Ｃ｜ｑ）はそれぞれ２
の補数で表現されているものとする。セレクタ１００５
は、（Ｃ｜ｐ）の下位ビットが１であればその出力とし
て（Ｃ｜ｐ）の上位ビットを選択し、さもなくば（Ｃ｜
ｑ）の上位ビットを選択する。セレクタ１００５の出力
は出力端子１００７から出力される。排他的論理和回路
１００３は（Ｃ｜ｐ）の上位ビットと（Ｃ｜ｑ）の上位
ビットとの排他的論理和回路をとってその結果を論理積
回路１００４に供給する。

【０１２７】そして、論理積回路１００４は（Ｃ｜ｐ）
の下位ビットと、（Ｃ｜ｑ）の下位ビットと、排他的論
理和回路１００３の出力との論理積をとって、その結果
を出力端子１００６から出力する。なお、式（４６）お
よび式（１０１）より、論理積回路１００４の出力は、
（Ｍ｜Ｎ）＝１ならば１で、それ以外の場合は０である
ことがわかる。またセレクタ１００５の出力は、Ｍ＜Ｎ
／２ならば０で、Ｍ＞Ｎ／２ならば１であることがわか
る。

【０１２８】つぎに図６は、本発明の第３の実施例であ
る暗号通信符号化装置にランダム変換器を付加した暗号
通信符号化装置の一実施例を示す機能ブロック図であ
る。図１では入力端子１０１から入力された平文Ｍは平
方回路１０２、比較器１０６、ヤコビ記号計算回路１０
７に供給されていたが、図６においては、入力端子１０
１から入力された平文Ｍはランダム変換器６０１に入力
されている。また、入力端子１０５から入力された公開
鍵Ｎは、ランダム変換器６０１にも供給されている。ラ
ンダム変換器６０１は予め決められた１対１の変換を入
力された平文Ｍに施し、その結果を平方回路１０２、比
較器１０６、ヤコビ記号計算回路１０７に供給する。そ
れ以外の信号の流れは、図１と同様である。ここで、ラ
ンダム変換器について詳しく述べる。

【０１２９】図８は、図６に示したランダム変換器６０
１の一実施例を示す機能ブロック図である。一般に、整
数ａに対して０から２^a−１までの数値を、０から２^a−
１までの数値に１対１変換することは容易である。この
ためには例えば予め決められた数値と変換する数値のビ
ットごとの排他的論理和をとったり、例えば前記デニン
グの文献に記載されているＤＥＳ暗号などによって暗号
化の処理を行えばよい。しかしながら、図６のランダム
変換器では０からＮ−１までの数値を０からＮ−１まで
の数値に１対１変換する必要がある。本発明ではｐとｑ
は素数でＮ＝ｐ・ｑであるから、一般にＮは２^a−１の
形に表されず、そのような変換を実現することは容易で
ない。

【０１３０】そこで、図８のランダム変換器では次のよ
うにして０からＮ−１までの数値を０からＮ−１までの
数値に１対１変換する。なお、以下では説明の便宜上、
公開鍵Ｎおよび平文Ｍの最大の桁数をｎビットとする。
図において、入力端子８０１から入力された平文Ｍは、
比較器８１２、変換器８１３、セレクタ８１４に供給さ
れる。入力端子８０２から入力された公開鍵Ｎは、加算
器８１５，８２５に供給される。入力端子８０３からは
２^n-1が入力され、比較器８１２，８２２、加算器８１
５，８２５に供給されている。比較器８１２は平文Ｍと
２ⁿ−１を比較して、その結果をセレクタ８１４に供給
する。変換器８１３は、０から２^n-1−１までの数値
を、０から２^n-1−１までの数値に１対１変換するよう
な変換を、入力された数値に施すもので、変換の方法は
予め決められているものとする。

【０１３１】セレクタ８１４は、比較器８１２の出力が
Ｍ＞２^n-1であることを示していれば出力として平文Ｍ
を選び、さもなくば変換器８１３の出力を選択する。加
算器８１５は、セレクタ８１４の出力と２^n-1との加算
結果のＮの剰余を算出し、その結果を比較器８２２、変
換器８２３、セレクタ８２４に供給する。比較器８２
２、変換器８２３、セレクタ８２４、加算器８２５は、
比較器８１２、変換器８１３、セレクタ８１４、加算器
８１５が平文Ｍに対して行った操作を、加算器８１５の
出力に対して行い、加算器８２５の出力を出力端子８０
４から出力する。

【０１３２】以上の操作において、入力と出力は１対１
に対応しており、入力と出力の値は常に０からＮ−１ま
での範囲に収められているから、図８のランダム変換器
が０からＮ−１までの数値を０からＮ−１までの数値に
１対１変換していることがわかる。

【０１３３】なお、図８のランダム変換器では、比較器
８１２，８２２、変換器８１３，８２３、セレクタ８１
４，８２４、加算器８１５，８２５を各２個ずつ備え
て、同様の処理を２回行っているが、時分割して処理を
行えば、それぞれ１個ずつ備えれば十分である。また、
操作は２回だけでなく３回以上行っても構わない。

【０１３４】つぎに図７は、本発明の第４の実施例であ
る暗号通信復号化装置に逆ランダム変換器を付加した暗
号通信復号化装置の一実施例を示す機能ブロック図であ
る。図２では平文合成回路２０５の出力はそのまま出力
端子２０６から出力されていたが、図７では平文合成回
路２０５の出力は逆ランダム変換器７０１に供給され
る。また、入力端子２０７から入力された公開鍵Ｎは逆
ランダム変換器７０１にも供給されている。逆ランダム
変換器７０１は、図６のランダム変換器６０１における
変換の逆変換であるような、予め決められた１対１変換
を平文合成回路２０５の出力に施し、その結果を出力端
子２０６から出力する。それ以外の信号の流れは図２と
同様である。ここで逆ランダム変換器について詳しく述
べる。

【０１３５】図９は、図７に示した逆ランダム変換器７
０１の一実施例を示す機能ブロック図である。図７の暗
号化復号化装置が図６の暗号化符号化装置の出力した暗
号文から元の平文を正しく復元できるには、逆ランダム
変換器７０１の行う変換がランダム変換器６０１が行う
変換の逆変換になっている必要がある。図９の逆ランダ
ム変換器は、図８のランダム変換器の逆変換を行うもの
である。図において、入力端子９０１から入力された数
値Ａは減算器９２５に供給される。入力端子９０２から
入力された公開鍵Ｎは、減算器９１５，９２５に供給さ
れる。入力端子９０３からは数値２^n-1が入力され、比
較器９１２，９２２、減算器９１５，９２５に供給され
る。減算器９２５は数値Ａから２^n-1を減じた結果のＮ
の剰余を算出し、その結果を比較器９２２と逆変換器９
２３とセレクタ９２４に供給する。比較器９２２は減算
器９２５の出力と２^n-1を比較して、その結果をセレク
タ９２４に供給する。

【０１３６】逆変換器９２３は０から２^n-1−１までの
数値を、０から２^n-1−１までの数値に１対１変換する
ような変換を入力された数値に施すもので、図８の変換
器８２３が行う変換の逆変換になるように変換の方法が
予め決められているものとする。セレクタ９２４は、比
較器９２２の出力が、減算器９２５の出力が２^n-1より
も大きいことを示していれば出力として減算器９２５の
出力を選び、さもなくば逆変換器９２３の出力を選択す
る。減算器９１５、比較器９１２、逆変換器９１３、セ
レクタ９１４は、減算器９２５、比較器９２２、逆変換
器９２３、セレクタ９２４が、数値Ａに対して行った操
作を、セレクタ９２４の出力に対して行い、セレクタ９
１４の出力を出力端子９０４から出力する。

【０１３７】なお、逆変換器９１３は、０から２^n-1−
１までの数値を、０から２^n-1−１までの数値に１対１
変換するような変換を、入力された数値に施すもので、
図８の変換器８１３が行う変換の逆変換になるように変
換の方法が予め決められているものとする。なお、図９
の逆ランダム変換器では、比較器９１２，９２２、逆変
換器９１３，９２３、セレクタ９１４，９２４、減算器
９１５，９２５を各２個ずつ備えて、同様の処理を２回
行っているが、時分割して処理を行えば、それぞれ１個
ずつ備えれば十分である。また、操作は２回だけでなく
３回以上行っても構わない。ただし、繰り返しの回数は
対応する図８のランダム変換器における繰り返し回数と
一致させる必要がある。

【０１３８】なお、最後に補足をすると、本発明の暗号
通信符号化装置および暗号通信復号化装置は以上で示し
たように、複数の加算器、減算器、乗算器、比較器、ヤ
コビ記号計算回路で構成されているが、それぞれの回路
を時分割で使用すれば、回路の個数を少なくできる。ま
た、本発明の暗号通信符号化装置および暗号通信復号化
装置の各回路で実行されているのは、加減乗除およびシ
フトなどの演算であるから、本発明の暗号通信符号化装
置および暗号通信復号化装置の一部あるいは全部を、マ
イクロコンピュータとメモリと入出力インターフェース
とで構成される装置に置き換え、ソフトウェアによって
暗号化および復号化の操作を行うことも可能である。

【０１３９】

【発明の効果】本発明は以上述べてきたように、従来の
公開鍵暗号では暗号文として使われていなかった数値も
暗号文として利用することで、暗号文から平文が一意に
決定できる暗号通信符号化装置および復号化装置を実現
できる。

【図面の簡単な説明】

【図１】本発明の第１の実施例である暗号通信符号化装
置の一実施例を示す機能ブロック図である。

【図２】本発明の第２の実施例である暗号通信復号化装
置の一実施例を示す機能ブロック図である。

【図３】本発明の暗号通信符号化装置の補正回路の機能
ブロック図である。

【図４】本発明の暗号通信復号化装置の逆補正回路の機
能ブロック図である。

【図５】本発明の暗号通信復号化装置の平文合成回路の
機能ブロック図である。

【図６】本発明の第３の実施例である暗号通信符号化装
置にランダム変換器を付加した暗号通信符号化装置の一
実施例を示す機能ブロック図である。

【図７】本発明の第４の実施例である暗号通信復号化装
置に逆ランダム変換器を付加した暗号通信復号化装置の
一実施例を示す機能ブロック図である。

【図８】本発明のランダム変換器を付加した暗号通信符
号化装置におけるランダム変換器の一実施例を示す機能
ブロック図である。

【図９】本発明の逆ランダム変換器を付加した暗号通信
復号化装置における逆ランダム変換器の一実施例を示す
機能ブロック図である。

【図１０】本発明における暗号通信復号化装置の平文情
報生成回路の機能ブロック図である。

【図１１】従来の暗号通信符号化装置の機能ブロック図
である。

【図１２】従来の暗号通信復号化装置の機能ブロック図
である。

【符号の説明】

１０２ 平方回路（平方手段） １０３ 補正回路 ２０２ 逆補正回路 １０６ 比較器（比較手段） １０７，２０９，２１１ ヤコビ記号計算回路（ヤコ
ビ記号計算手段） ２０３，２０４ 開平回路（開平手段） ２０５ 平文合成回路（平文合成手段） ３０２ 減算器（減算手段） ３０３ セレクタ（第１のセレクタ） ３０４ 加算器（加算手段：乗算手段） ３０５ セレクタ（第２のセレクタ） ４０４ シフタ（除算手段） ４０５ セレクタ（第３のセレクタ） ４０６ 減算器（第２の減算手段） ４０７ セレクタ（第４のセレクタ） ４１２，５２２ 平文情報生成回路（平文情報生成手
段）

フロントページの続き (56)参考文献 Ｄ．Ｅ．Ｋｎｕｔｈ，中川圭介訳「Ｔ ｈｅ Ａｒｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｐｒｏｇｒａｍｍｉｎｇ＝４ 準数値 算法／算術演算」，サイエンス社, （1986），ｐ．240，440 Ｈ．Ｃ．Ｗｉｌｌｉａｍｓ，“Ａ Ｍ ｏｄｉｆｉｃａｔｉｏｎ ｏｆ ｔｈｅ ＲＳＡ Ｐｕｂｌｉｃ−Ｋｅｙ Ｅｎ ｃｒｙｐｔｉｏｎ Ｐｒｏｃｅｄｕｒ ｅ，”ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏ ｎ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｔ ｈｅｏｒｙ，Ｖｏｌ．ＩＴ−26，Ｎｏ. ６，（1980），ｐ．726−729 林彬，清水秀夫“一意複号可能なＰａ ｂｉｎ型暗号”電子情報通信学会技術研 究報告，ＩＳＥＣ92−４，（1992) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00

Claims (4)

(57)【特許請求の範囲】
1. 【請求項１】 ８で除算すると余りが３であるような予
   め決められた素数ｐと、８で除算すると余りが７である
   ような予め決められた素数ｑと、前記ｐとｑの積Ｎに対
   して、少なくとも、入力されたデータの数値表現Ｍを平
   方し平方結果を予め決められた前記数値Ｎで割った余り
   を出力する平方手段と、前記Ｎ／２とＭとの大小を比較
   する比較手段と、前記数値Ｎに関するＭのヤコビ記号
   （Ｍ｜Ｎ）を計算するヤコビ記号計算手段と、前記Ｎか
   ら前記平方手段の出力を減算して減算結果を出力する減
   算手段と、前記比較手段の出力がＭ＜Ｎ／２であること
   を示していれば前記平方手段の出力を選択して出力し、
   前記比較手段の出力がＭ＞Ｎ／２であることを示してい
   れば前記減算手段の出力を選択して出力する第１のセレ
   クタと、前記Ｎを法として前記第１のセレクタの出力に
   ２を乗算して乗算結果を出力する乗算手段と、前記ヤコ
   ビ記号計算手段の出力（Ｍ｜Ｎ）が１であれば前記第１
   のセレクタの出力を選択して出力し、前記ヤコビ記号計
   算手段の出力（Ｍ｜Ｎ）が−１であれば前記乗算手段の
   出力を選択して出力する第２のセレクタとを備え、前記
   第２のセレクタの出力を、前記数値表現Ｍに対応する暗
   号文Ｃとして出力する暗号通信符号化装置。
2. 【請求項２】 請求項１に記載の暗号通信符号化装置の
   出力した前記暗号文Ｃに対して、少なくとも、ヤコビ記
   号（Ｃ｜ｐ）および（Ｃ｜ｑ）を計算する第２のヤコビ
   記号計算手段と、前記数値Ｎを法として暗号文Ｃを２で
   除算して除算結果を出力する第２の除算手段と、（Ｃ｜
   ｐ）・（Ｃ｜ｑ）＝０あるいは（Ｃ｜ｐ）・（Ｃ｜ｑ）
   ＝１ならば前記暗号文Ｃを選択して出力し、（Ｃ｜Ｐ）
   ・（Ｃ｜ｑ）＝−１ならば前記第２の除算手段の出力を
   選択して出力する第３のセレクタと、前記数値Ｎから前
   記第３のセレクタの出力を減算して減算結果を出力する
   第３の減算手段と、（Ｃ｜ｐ）＝−１あるいは（Ｃ｜
   ｑ）＝−１ならば前記第３の減算手段の出力を選択出
   力、さもなくば前記第３のセレクタの出力を選択して出
   力する第４のセレクタと、前記第４のセレクタの出力を
   剰余ｐと剰余ｑでそれぞれ開平する開平手段と、前記開
   平手段の出力を予め決められた定数で重み付き加算し、
   加算結果を前記予め決められた数値Ｎで割った余りを算
   出して出力する平文合成手段とを備え、前記平文合成手
   段の出力を暗号文Ｃに対応する平文Ｍとして出力する暗
   号通信復号化装置。
3. 【請求項３】 数値表現Ｍをランダム変換手段に入力し
   て、予め決められた１対１変換を行って得られる数値
   を、請求項１に記載の暗号通信符号化装置の数値表現Ｍ
   に用いることを特徴とする暗号通信符号化装置。
4. 【請求項４】 請求項２に記載の暗号通信復号化装置に
   おいて、前記平文合成手段の出力の平文Ｍを、予め決め
   られた１対１変換を行う逆ランダム変換手段に入力し、
   得られる数値を出力することを特徴とする暗号通信復号
   化装置。