JP3123820B2 - 有限可換群における演算器 - Google Patents
有限可換群における演算器Info
- Publication number
- JP3123820B2 JP3123820B2 JP04199415A JP19941592A JP3123820B2 JP 3123820 B2 JP3123820 B2 JP 3123820B2 JP 04199415 A JP04199415 A JP 04199415A JP 19941592 A JP19941592 A JP 19941592A JP 3123820 B2 JP3123820 B2 JP 3123820B2
- Authority
- JP
- Japan
- Prior art keywords
- unit
- random number
- finite
- equation
- finite field
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Description
【０００１】
【産業上の利用分野】本発明は情報セキュリテイ技術と
しての暗号系技術に関するものであり、特に、ＩＣカー
ドのような計算能力が貧しい計算機を用いて離散対数暗
号系を実現する有限可換群における演算器に関するもの
である。
しての暗号系技術に関するものであり、特に、ＩＣカー
ドのような計算能力が貧しい計算機を用いて離散対数暗
号系を実現する有限可換群における演算器に関するもの
である。
【０００２】
【従来の技術】有限可換群の特定元に複数の異なる乱数
を作用させる理由についてまず述べることにする。
を作用させる理由についてまず述べることにする。
【０００３】有限体上の対数を計算する問題である離散
対数問題が大きな有限体では難しいことを安全性の根拠
にする公開鍵暗号系すなわち離散対数暗号系が数多く提
案されている。しかしその根拠となる有限体上の離散対
数問題は古くから研究され、その結果数々の解法の試み
がなされ、次第にその解法にかかる時間が短くなってい
る。したがって充分な安全性を保つためには、その離散
対数暗号系が定義される有限体の基数は５１２ビット程
度の数である必要がある。また有限体上だけでなく近年
楕円曲線上の離散対数暗号系も提案されていている。楕
円曲線上定義された暗号方式は、その安全性の根拠とな
る楕円曲線上の離散対数問題に現時点では決定的な解法
がない上に、有限体上の離散対数問題に有力に作用する
解法が構造上作用しない。そのため同程度の安全性なら
ば有限体上定義された暗号方式より、高速に実現できる
だろうと考えられている。基数が５１２ビットの数であ
る有限体上での離散対数暗号系と同等の安全性を保つた
めには、楕円曲線を定義する有限体の基数は９６ビット
の数でよい。また離散対数暗号系の代表例であるエルガ
マル暗号ならびにエルガマル署名では通信文ごとに乱数
を変えて暗号文ならびに署名文を生成しなければならな
い。なお有限体上のエルガマル暗号ならびに楕円曲線に
よるエルガマル暗号に関しては、ニイル コブリッツ著
”ア コウス イン ナンバア セオリイ アンド
クリプトグラヒイ”（Neal koblitz ," A Course in Nu
mber Theory and Cryptography ",Springer-Verlag,198
7）に詳しく述べられている。また有限体上のエルガマ
ル署名ならびに離散対数問題の難しさに関しては、「現
代暗号理論」池野信一・小山謙二著（電子通信学会）に
詳しく述べられている。
対数問題が大きな有限体では難しいことを安全性の根拠
にする公開鍵暗号系すなわち離散対数暗号系が数多く提
案されている。しかしその根拠となる有限体上の離散対
数問題は古くから研究され、その結果数々の解法の試み
がなされ、次第にその解法にかかる時間が短くなってい
る。したがって充分な安全性を保つためには、その離散
対数暗号系が定義される有限体の基数は５１２ビット程
度の数である必要がある。また有限体上だけでなく近年
楕円曲線上の離散対数暗号系も提案されていている。楕
円曲線上定義された暗号方式は、その安全性の根拠とな
る楕円曲線上の離散対数問題に現時点では決定的な解法
がない上に、有限体上の離散対数問題に有力に作用する
解法が構造上作用しない。そのため同程度の安全性なら
ば有限体上定義された暗号方式より、高速に実現できる
だろうと考えられている。基数が５１２ビットの数であ
る有限体上での離散対数暗号系と同等の安全性を保つた
めには、楕円曲線を定義する有限体の基数は９６ビット
の数でよい。また離散対数暗号系の代表例であるエルガ
マル暗号ならびにエルガマル署名では通信文ごとに乱数
を変えて暗号文ならびに署名文を生成しなければならな
い。なお有限体上のエルガマル暗号ならびに楕円曲線に
よるエルガマル暗号に関しては、ニイル コブリッツ著
”ア コウス イン ナンバア セオリイ アンド
クリプトグラヒイ”（Neal koblitz ," A Course in Nu
mber Theory and Cryptography ",Springer-Verlag,198
7）に詳しく述べられている。また有限体上のエルガマ
ル署名ならびに離散対数問題の難しさに関しては、「現
代暗号理論」池野信一・小山謙二著（電子通信学会）に
詳しく述べられている。
【０００４】以下有限体上のエルガマル暗号、楕円曲線
によるエルガマル暗号、そして有限体上のエルガマル署
名の手順について説明し、次いでエルガマル暗号・エル
ガマル署名において作用させる乱数を通信文ごとに変え
なければならない理由について述べる。 1)有限体上のエルガマル暗号について (1)鍵生成 システム管理者は有限体ＧＦ（ｑ）を選ぶ。ここで、ｑ
は素数ｐのｒ乗 ｐrである。ｇを有限体ＧＦ(ｑ)の位
数の大きな元とする。システム管理者はｇとＧＦ(ｑ)を
この暗号方式の公開情報としてシステムユーザに公開す
る。このシステムの任意ユーザＢは、任意の整数ｘBを
選び、ＧＦ(ｑ)上で、
によるエルガマル暗号、そして有限体上のエルガマル署
名の手順について説明し、次いでエルガマル暗号・エル
ガマル署名において作用させる乱数を通信文ごとに変え
なければならない理由について述べる。 1)有限体上のエルガマル暗号について (1)鍵生成 システム管理者は有限体ＧＦ（ｑ）を選ぶ。ここで、ｑ
は素数ｐのｒ乗 ｐrである。ｇを有限体ＧＦ(ｑ)の位
数の大きな元とする。システム管理者はｇとＧＦ(ｑ)を
この暗号方式の公開情報としてシステムユーザに公開す
る。このシステムの任意ユーザＢは、任意の整数ｘBを
選び、ＧＦ(ｑ)上で、
【０００５】
【数１】
【０００６】を計算する。そこでユーザＢは、ｘBを秘
密鍵として保持し、ｙBを公開鍵として全ユーザに知ら
せる。
密鍵として保持し、ｙBを公開鍵として全ユーザに知ら
せる。
【０００７】(2)暗号化 ＡからＢへ平文ｍを秘密通信する場合を考える。Ａは秘
密に整数である乱数ｋを選び、自分だけが知るこの乱数
ｋとＢの公開鍵ｙBを用いて次の二つの暗号文Ｃ1、Ｃ2
を作成する。
密に整数である乱数ｋを選び、自分だけが知るこの乱数
ｋとＢの公開鍵ｙBを用いて次の二つの暗号文Ｃ1、Ｃ2
を作成する。
【０００８】
【数２】
【０００９】
【数３】
【００１０】ＡはＢにＣ1とＣ2を送る。このとき（数
２）で定まるＣ1を第一の暗号文、（数３）で定まるＣ2
を第二の暗号文と呼ぶ。
２）で定まるＣ1を第一の暗号文、（数３）で定まるＣ2
を第二の暗号文と呼ぶ。
【００１１】(3)復号化 Ｂは自分だけが知っている秘密鍵ｘBを用いて次式を計
算してＭを得る。
算してＭを得る。
【００１２】
【数４】
【００１３】（数１）（数２）（数３）（数４）のいず
れの計算もＧＦ(ｑ)上で行なわれるとし、平文ＭはＧＦ
(ｑ)上の元とする。 2)楕円曲線によるエルガマル暗号について (1)鍵生成 システム管理者は有限体ＧＦ(ｑ)上定義された楕円曲線
Ｅを選ぶ。ここで、ｑは素数ｐのｒ乗 ｐr である。
また、楕円曲線Ｅの有限体ＧＦ(ｑ)の元で構成される群
をＥ(ＧＦ(ｑ))と表わすことにする。ＧをＥ(ＧＦ(ｑ))
上の位数の大きな元とする。システム管理者は、ＧとＥ
(ＧＦ(ｑ))をこの暗号方式の公開情報としてシステムユ
ーザに公開する。このシステムの任意ユーザＢは、任意
の整数ｘ Bを選び、Ｅ(ＧＦ(ｑ))上で
れの計算もＧＦ(ｑ)上で行なわれるとし、平文ＭはＧＦ
(ｑ)上の元とする。 2)楕円曲線によるエルガマル暗号について (1)鍵生成 システム管理者は有限体ＧＦ(ｑ)上定義された楕円曲線
Ｅを選ぶ。ここで、ｑは素数ｐのｒ乗 ｐr である。
また、楕円曲線Ｅの有限体ＧＦ(ｑ)の元で構成される群
をＥ(ＧＦ(ｑ))と表わすことにする。ＧをＥ(ＧＦ(ｑ))
上の位数の大きな元とする。システム管理者は、ＧとＥ
(ＧＦ(ｑ))をこの暗号方式の公開情報としてシステムユ
ーザに公開する。このシステムの任意ユーザＢは、任意
の整数ｘ Bを選び、Ｅ(ＧＦ(ｑ))上で
【００１４】
【数５】
【００１５】を計算する。そこで、ユーザＢはｘBを秘
密鍵として保持し、ＹBを公開鍵として全ユーザに知ら
せる。
密鍵として保持し、ＹBを公開鍵として全ユーザに知ら
せる。
【００１６】(2)暗号化 ＡからＢへ平文Ｍを秘密通信する場合を考える。Ａは秘
密に整数である乱数ｋを選び、自分だけが知っているこ
の乱数ｋとＢの公開鍵ＹBを用いて次の２つの暗号文
Ｃ1，Ｃ2を作成する。
密に整数である乱数ｋを選び、自分だけが知っているこ
の乱数ｋとＢの公開鍵ＹBを用いて次の２つの暗号文
Ｃ1，Ｃ2を作成する。
【００１７】
【数６】
【００１８】
【数７】
【００１９】ＡはＢにＣ1，Ｃ2を送る。このとき（数
６）で定まるＣ1を第一の暗号文、（数７）で定まるＣ2
を第二の暗号文と呼ぶ。
６）で定まるＣ1を第一の暗号文、（数７）で定まるＣ2
を第二の暗号文と呼ぶ。
【００２０】(3)復号化 Ｂは自分だけが知っているｘBを用いて次式を計算して
Ｍを得る。
Ｍを得る。
【００２１】
【数８】
【００２２】（数５）（数６）（数７）（数８）のいず
れの演算もＥ（ＧＦ(ｑ)）上で行なわれ、平文Ｍ、
ＹB、Ｇは楕円曲線Ｅ（ＧＦ(ｑ)）上の元とする。 3)有限体上のエルガマル署名について (1)鍵生成 システム管理者は有限体ＧＦ(ｐ)を選ぶ。ここでｐは、
素数である。ｇをＧＦ(ｐ)上の原始根とする。システム
管理者は、ｇとＧＦ(ｐ)をこの暗号方式の公開情報とし
てシステムユーザに公開する。このシステムの任意のユ
ーザＡは、０＜ｘA＜ｐなる任意の整数を選び、ＧＦ
(ｐ)上で、
れの演算もＥ（ＧＦ(ｑ)）上で行なわれ、平文Ｍ、
ＹB、Ｇは楕円曲線Ｅ（ＧＦ(ｑ)）上の元とする。 3)有限体上のエルガマル署名について (1)鍵生成 システム管理者は有限体ＧＦ(ｐ)を選ぶ。ここでｐは、
素数である。ｇをＧＦ(ｐ)上の原始根とする。システム
管理者は、ｇとＧＦ(ｐ)をこの暗号方式の公開情報とし
てシステムユーザに公開する。このシステムの任意のユ
ーザＡは、０＜ｘA＜ｐなる任意の整数を選び、ＧＦ
(ｐ)上で、
【００２３】
【数９】
【００２４】を計算する。そこで、ユーザＡはｘAを秘
密鍵として保持し、ｙAを公開鍵として全ユーザに知ら
せる。
密鍵として保持し、ｙAを公開鍵として全ユーザに知ら
せる。
【００２５】(2)署名の生成 ユーザＡからユーザＢへ平文ｍの署名を通信する場合を
考える。ここで平文ｍは整数とする。Ａは秘密に整数で
ある乱数ｋを発生させ、自分だけが知るこの乱数ｋを用
いて次のＲを計算する。
考える。ここで平文ｍは整数とする。Ａは秘密に整数で
ある乱数ｋを発生させ、自分だけが知るこの乱数ｋを用
いて次のＲを計算する。
【００２６】
【数１０】
【００２７】次に、Ａは自分だけが知る秘密鍵ｘAとＲ
と前記乱数ｋとを用いて次の式を満たすｓを計算する。
と前記乱数ｋとを用いて次の式を満たすｓを計算する。
【００２８】
【数１１】
【００２９】そして、ＡはＢに平文ｍと署名Ｒ、ｓを送
る。 (3)署名の検証 ＢはＡの公開鍵ｙAをもちいて、次式が成立するかどう
かを検査する。
る。 (3)署名の検証 ＢはＡの公開鍵ｙAをもちいて、次式が成立するかどう
かを検査する。
【００３０】
【数１２】
【００３１】もし成立すれば、ｍがＡから送られてきた
ことを認証する。ここで、（数１１）の右辺の (ｐ−
１) は、有限体上の元ｇの位数であり、（数９）（数１
０）（数１２）の演算はＧＦ(ｐ)上でおこなわれるもの
とし、（数１１）は(ｐ−１)で割った余りが同じ整数を
同一とみなして演算を０以上ｐ−１以下でおこなうもの
とし、平文ｍは整数とする。 4)エルガマル暗号ならびにエルガマル署名で作用させる
乱数を通信文ごとに変えなければならない理由 (ｉ)エルガマル暗号の場合 有限体上の場合でも楕円曲線のよる場合でも原理は変わ
らないので、有限体上のエルガマル暗号について述べる
ことにする。
ことを認証する。ここで、（数１１）の右辺の (ｐ−
１) は、有限体上の元ｇの位数であり、（数９）（数１
０）（数１２）の演算はＧＦ(ｐ)上でおこなわれるもの
とし、（数１１）は(ｐ−１)で割った余りが同じ整数を
同一とみなして演算を０以上ｐ−１以下でおこなうもの
とし、平文ｍは整数とする。 4)エルガマル暗号ならびにエルガマル署名で作用させる
乱数を通信文ごとに変えなければならない理由 (ｉ)エルガマル暗号の場合 有限体上の場合でも楕円曲線のよる場合でも原理は変わ
らないので、有限体上のエルガマル暗号について述べる
ことにする。
【００３２】もし同一の乱数ｋで通信文Ｍa，Ｍbをそれ
ぞれ暗号化して２組の暗号文（Ｃ1a,Ｃ2a），（Ｃ1b,Ｃ
2b）を作成したとき、 Ｃ1a ＝ Ｃ1b， Ｍa／Ｍb ＝ Ｃ2a／Ｃ2b という関係が成り立ち、１組のＭとＣ2 が分かると、他
のすべてのＭはＣ2 から分かってしまう。
ぞれ暗号化して２組の暗号文（Ｃ1a,Ｃ2a），（Ｃ1b,Ｃ
2b）を作成したとき、 Ｃ1a ＝ Ｃ1b， Ｍa／Ｍb ＝ Ｃ2a／Ｃ2b という関係が成り立ち、１組のＭとＣ2 が分かると、他
のすべてのＭはＣ2 から分かってしまう。
【００３３】(ii)エルガマル署名の場合 もし同一の乱数ｋで通信文ｍa，ｍbをそれぞれ署名して
２組の署名文（Ｒa,ｓa），（Ｒb,ｓb）を作成したと
き、 ｓa＊ｋ ≡ (ｍa−ｘA＊Ｒa) (ｍｏｄ ｐ−１) ｓb＊ｋ ≡ (ｍb−ｘA＊Ｒb) (ｍｏｄ ｐ−１) という関係が成り立ち、２組のＲとｓおよびｍは公開の
値であるからこの２式からｋとｘAが解ける。Ａの秘密
ｘAがわかると他のすべてのｍに対する署名の偽造がで
きてしまう。
２組の署名文（Ｒa,ｓa），（Ｒb,ｓb）を作成したと
き、 ｓa＊ｋ ≡ (ｍa−ｘA＊Ｒa) (ｍｏｄ ｐ−１) ｓb＊ｋ ≡ (ｍb−ｘA＊Ｒb) (ｍｏｄ ｐ−１) という関係が成り立ち、２組のＲとｓおよびｍは公開の
値であるからこの２式からｋとｘAが解ける。Ａの秘密
ｘAがわかると他のすべてのｍに対する署名の偽造がで
きてしまう。
【００３４】上記の乱数についての制限は、常に同じ乱
数ｋでなくても２つの乱数ｋ1，ｋ2の間に、 ｋ2 ＝ ａ＊ｋ1＋ｂ （ａ，ｂ：定数） という関係があったとしても、同様な手法で暗号文の解
読ならびに署名の偽造が行なわれる。
数ｋでなくても２つの乱数ｋ1，ｋ2の間に、 ｋ2 ＝ ａ＊ｋ1＋ｂ （ａ，ｂ：定数） という関係があったとしても、同様な手法で暗号文の解
読ならびに署名の偽造が行なわれる。
【００３５】以上のような理由から、多くの異なる乱数
を有限可換群上の特定元に作用させた新たな有限可換群
の元を求める必要がある。
を有限可換群上の特定元に作用させた新たな有限可換群
の元を求める必要がある。
【００３６】また以上に述べた暗号法および署名法を安
全性を高く保ちつつ実用的な時間で実現するには、従来
専用のハードウェアや高性能な計算機が必要とされてき
た。しかしながら、社会における情報セキュリティの必
要性が高まるにつれ、従来より低い計算能力しか有さな
いＩＣカード上で公開鍵暗号ならびにディジタル署名を
実現することが望まれてきている。
全性を高く保ちつつ実用的な時間で実現するには、従来
専用のハードウェアや高性能な計算機が必要とされてき
た。しかしながら、社会における情報セキュリティの必
要性が高まるにつれ、従来より低い計算能力しか有さな
いＩＣカード上で公開鍵暗号ならびにディジタル署名を
実現することが望まれてきている。
【００３７】しかし上述のように離散対数暗号系を定義
する有限体の基数は充分な安全性を保つためには大きく
ある必要があり、さらにエルガマル暗号ならびにエルガ
マル署名においては通信文もしくは署名文毎に作用させ
る乱数を変えないといけないので、離散対数暗号系をＩ
Ｃカードのような計算能力の低い計算機で処理するに
は、多大な時間を要する。したがって短時間の間に多く
の通信文にたいして暗号化したり署名を施したりするに
は、通信文書ならびに署名される文書に関係しない部分
（例えば（数２）の計算や（数３）におけるｙB kを計算
する部分など）を、直接暗号化したり署名しない時間す
なわち空き時間に予備計算しておくことにより実際に通
信文書ならびに署名される文書が入力されてから暗号化
や署名生成をする時間を短縮するという考え方が必要と
なる。この種の考え方は、ドナルドデービーズ編“ユー
ロクリプト’９１”(1991年)第446頁から第457頁 フジ
オカアツシ、オカモト タツアキ、ミヤグチ ショウジ
著“イーエスアイジーエヌ：アン エフィシェント デ
ジタル シグネチャ インプリメンテーション フォー
スマートカード”（A.Fujioka,T.Okamoto,S.Miyagut
i,“ESIGN:An Efficient Digital Signature Implement
ation for Smart Cards”,Advances in Cryptology-Eur
ocrypt'91,pp.446-pp.457,Springer-Verlag,1991）に見
られるものである。エルガマル暗号ならびにエルガマル
署名においては予備計算できる部分が多いけれどもその
予備計算の処理時間が大きいため、前記空き時間に処理
できる数はそう多くならない。短時間の間にできるだけ
多くの予備処理を行なうことができれば、暗号化または
署名する通信文の数が増えた場合、一部の通信文に対し
て予備計算ができていなくて実際に通信文書ならびに署
名される文書が入力されてから暗号化や署名生成を始め
ることになり、大変時間がかかるということも回避で
き、暗号化または署名する通信文の数が増えない場合で
も予備処理を行なう回数を減らすことができる。
する有限体の基数は充分な安全性を保つためには大きく
ある必要があり、さらにエルガマル暗号ならびにエルガ
マル署名においては通信文もしくは署名文毎に作用させ
る乱数を変えないといけないので、離散対数暗号系をＩ
Ｃカードのような計算能力の低い計算機で処理するに
は、多大な時間を要する。したがって短時間の間に多く
の通信文にたいして暗号化したり署名を施したりするに
は、通信文書ならびに署名される文書に関係しない部分
（例えば（数２）の計算や（数３）におけるｙB kを計算
する部分など）を、直接暗号化したり署名しない時間す
なわち空き時間に予備計算しておくことにより実際に通
信文書ならびに署名される文書が入力されてから暗号化
や署名生成をする時間を短縮するという考え方が必要と
なる。この種の考え方は、ドナルドデービーズ編“ユー
ロクリプト’９１”(1991年)第446頁から第457頁 フジ
オカアツシ、オカモト タツアキ、ミヤグチ ショウジ
著“イーエスアイジーエヌ：アン エフィシェント デ
ジタル シグネチャ インプリメンテーション フォー
スマートカード”（A.Fujioka,T.Okamoto,S.Miyagut
i,“ESIGN:An Efficient Digital Signature Implement
ation for Smart Cards”,Advances in Cryptology-Eur
ocrypt'91,pp.446-pp.457,Springer-Verlag,1991）に見
られるものである。エルガマル暗号ならびにエルガマル
署名においては予備計算できる部分が多いけれどもその
予備計算の処理時間が大きいため、前記空き時間に処理
できる数はそう多くならない。短時間の間にできるだけ
多くの予備処理を行なうことができれば、暗号化または
署名する通信文の数が増えた場合、一部の通信文に対し
て予備計算ができていなくて実際に通信文書ならびに署
名される文書が入力されてから暗号化や署名生成を始め
ることになり、大変時間がかかるということも回避で
き、暗号化または署名する通信文の数が増えない場合で
も予備処理を行なう回数を減らすことができる。
【００３８】以上の様な理由により、ＩＣカードのよう
な計算能力の低い計算機でも短時間の間にできるだけ多
くの予備計算処理ができる計算方法の開発が望まれてい
る。
な計算能力の低い計算機でも短時間の間にできるだけ多
くの予備計算処理ができる計算方法の開発が望まれてい
る。
【００３９】以下では、できるだけ多くの予備計算処理
ができる計算方法の従来の技術について述べる。
ができる計算方法の従来の技術について述べる。
【００４０】これから述べる計算処理法は、1)有限体上
のエルガマル暗号 の場合であれば（数２）の計算なら
びに（数３）の ｙB k の計算、2)楕円曲線によるエルガ
マル暗号の場合であれば（数６）の計算ならびに（数
７）の ｋ＊ＹB の計算、3)有限体上のエルガマル署名
の場合では式（数１０）の計算 という各通信文ごとに
変わる乱数が作用する計算に関しての処理方法について
述べる。
のエルガマル暗号 の場合であれば（数２）の計算なら
びに（数３）の ｙB k の計算、2)楕円曲線によるエルガ
マル暗号の場合であれば（数６）の計算ならびに（数
７）の ｋ＊ＹB の計算、3)有限体上のエルガマル署名
の場合では式（数１０）の計算 という各通信文ごとに
変わる乱数が作用する計算に関しての処理方法について
述べる。
【００４１】また先に挙げた各計算は有限体上の話では
ｇまたはｙB をｋ乗するということであり、楕円曲線上
の話ではＧまたはＹB をｋ倍するということで計算方法
としても本質的には変わらない。したがって従来例で述
べる計算法はすべて楕円曲線上で Ｇ をｋ倍するという
場合に限って述べることにする。なお（数２）の計算で
はＧをｇ，ｋ倍をｋ乗に、（数３）の ｙB k の計算では
ＧをｙB に，ｋ倍をｋ乗に、式（数７）の計算ではＧを
Ｙに、それぞれ変更すればよい。また有限体上での ｇ
，楕円曲線上の Ｇ はそれぞれその暗号システムおよ
び署名システムを使用する全てのユーザー共通と考えて
よい。
ｇまたはｙB をｋ乗するということであり、楕円曲線上
の話ではＧまたはＹB をｋ倍するということで計算方法
としても本質的には変わらない。したがって従来例で述
べる計算法はすべて楕円曲線上で Ｇ をｋ倍するという
場合に限って述べることにする。なお（数２）の計算で
はＧをｇ，ｋ倍をｋ乗に、（数３）の ｙB k の計算では
ＧをｙB に，ｋ倍をｋ乗に、式（数７）の計算ではＧを
Ｙに、それぞれ変更すればよい。また有限体上での ｇ
，楕円曲線上の Ｇ はそれぞれその暗号システムおよ
び署名システムを使用する全てのユーザー共通と考えて
よい。
【００４２】以下、（発明の詳細な説明）においては、
特に断わらない限り「乱数ｋはすべてｎビットであ
る。」と仮定して話を進める。
特に断わらない限り「乱数ｋはすべてｎビットであ
る。」と仮定して話を進める。
【００４３】［従来例１］この計算処理法は、乱数ｋを
２進数展開して処理するというもので、次のような処理
を行なう。なお２進数展開法に関しては,ドナルド ク
ヌース著ジ アートオブ コンピュータ プログラミン
グ 第２巻（Donald E.Knuth,“The ArtComputer Progr
amming Vol.2”,Addison-Wesley）に詳しく述べられて
いる。
２進数展開して処理するというもので、次のような処理
を行なう。なお２進数展開法に関しては,ドナルド ク
ヌース著ジ アートオブ コンピュータ プログラミン
グ 第２巻（Donald E.Knuth,“The ArtComputer Progr
amming Vol.2”,Addison-Wesley）に詳しく述べられて
いる。
【００４４】乱数ｋ1 の２進数展開を、（ａn-1，… ,
ａ0）とする。（ ａi ∈ ｛０,１｝）すなわち、
ａ0）とする。（ ａi ∈ ｛０,１｝）すなわち、
【００４５】
【数１３】
【００４６】が成り立つ。このとき、
【００４７】
【数１４】
【００４８】となるから、初めに２i＊Ｇ(ｉ＝0,1，…
,n-1)を計算しておき、その後ａi ＝ １ なるｉについ
てのみ、加法演算する。以下同様なことを乱数ｋ2，
ｋ3，… について行なう。
,n-1)を計算しておき、その後ａi ＝ １ なるｉについ
てのみ、加法演算する。以下同様なことを乱数ｋ2，
ｋ3，… について行なう。
【００４９】計算量については、２i＊Ｇ(ｉ＝0,1，…
,n-1)をすべて計算するのに(ｎ−１)回の楕円曲線上の
加法演算を行なう必要がある。
,n-1)をすべて計算するのに(ｎ−１)回の楕円曲線上の
加法演算を行なう必要がある。
【００５０】またａi ＝ １ なる確率は１/２ であるか
ら、ａi ＝ １ なるｉは 1/2*ｎあると考えられる。よ
ってａi ＝ １ なるｉについての楕円曲線上の加法演算
回数は、(n/2−１)回である。よってｋ1＊Ｇを計算する
のに、(3/2*ｎ−２)回の楕円曲線上の加法演算が必要で
ある。
ら、ａi ＝ １ なるｉは 1/2*ｎあると考えられる。よ
ってａi ＝ １ なるｉについての楕円曲線上の加法演算
回数は、(n/2−１)回である。よってｋ1＊Ｇを計算する
のに、(3/2*ｎ−２)回の楕円曲線上の加法演算が必要で
ある。
【００５１】ｋ1＊Ｇ，ｋ2＊Ｇ，… ,ｋt＊Ｇを計算す
るのに必要な楕円曲線上の加法演算の回数は、ｔ(3/2*
ｎ−２) 回である。
るのに必要な楕円曲線上の加法演算の回数は、ｔ(3/2*
ｎ−２) 回である。
【００５２】楕円曲線上での場合では、ｎ ＝ ９６ と
してよいので、計算量は
してよいので、計算量は
【００５３】
【数１５】
【００５４】となる。 ［従来例２］この計算処理法は、前記従来例１から容易
に改良できるものである。ｋ1＊Ｇ，ｋ2＊Ｇ，… ,ｋt
＊Ｇの計算を同時に処理するというもので、次のような
処理を行なう。なお２進数展開法に関しては,ドナルド
クヌース著ジ アート オブ コンピュータ プログ
ラミング 第２巻（Donald E.Knuth,“The Art Compute
r Programming Vol.2”,Addison-Wesley）に詳しく述べ
られている。
に改良できるものである。ｋ1＊Ｇ，ｋ2＊Ｇ，… ,ｋt
＊Ｇの計算を同時に処理するというもので、次のような
処理を行なう。なお２進数展開法に関しては,ドナルド
クヌース著ジ アート オブ コンピュータ プログ
ラミング 第２巻（Donald E.Knuth,“The Art Compute
r Programming Vol.2”,Addison-Wesley）に詳しく述べ
られている。
【００５５】この方法は、ｋ1＊Ｇを計算するときは、
前記従来例１と同じであるが、ｋ2＊Ｇ，… ,ｋt＊Ｇを
計算するときに、ｋ1＊Ｇの計算過程で生まれる２i＊Ｇ
(ｉ＝0,1，… ,n-1) をテーブルに保管しておき利用す
るというものである。
前記従来例１と同じであるが、ｋ2＊Ｇ，… ,ｋt＊Ｇを
計算するときに、ｋ1＊Ｇの計算過程で生まれる２i＊Ｇ
(ｉ＝0,1，… ,n-1) をテーブルに保管しておき利用す
るというものである。
【００５６】したがってｋ2＊Ｇ，… ,ｋt＊Ｇの計算に
おいては、ａi ＝ １ なるｉについての楕円曲線上の加
法演算のみが必要である。
おいては、ａi ＝ １ なるｉについての楕円曲線上の加
法演算のみが必要である。
【００５７】よって計算量は、 ｋ1＊Ｇ ： (3/2*ｎ−２) ｋ2＊Ｇ，… ,ｋt＊Ｇ ： 各 (1/2*ｎ−２)
となるので、 ｋ1＊Ｇ，ｋ2＊Ｇ，… ,ｋt＊Ｇを計算するのに必要な
楕円曲線上の加法演算の回数は、 (3/2*ｎ−２)＋(ｔ−１)＊(1/2*ｎ−２)
回である。
となるので、 ｋ1＊Ｇ，ｋ2＊Ｇ，… ,ｋt＊Ｇを計算するのに必要な
楕円曲線上の加法演算の回数は、 (3/2*ｎ−２)＋(ｔ−１)＊(1/2*ｎ−２)
回である。
【００５８】楕円曲線上での場合では、ｎ ＝ ９６ と
してよいので、計算量は
してよいので、計算量は
【００５９】
【数１６】
【００６０】となる。（従来例１）における計算量の式
（数１５）と比較した場合ｔ ＝ ２８として、（従来例
１）で必要な楕円曲線上の加法演算の回数は3976回に対
して、（従来例２）で必要な楕円曲線上の加法演算の回
数は1411回となり、計算量は約35.5％にまで削減でき
る。
（数１５）と比較した場合ｔ ＝ ２８として、（従来例
１）で必要な楕円曲線上の加法演算の回数は3976回に対
して、（従来例２）で必要な楕円曲線上の加法演算の回
数は1411回となり、計算量は約35.5％にまで削減でき
る。
【００６１】［従来例３］この方法は、ｋ1＊Ｇ，ｋ2＊
Ｇを１つのペアにして、ｋ1，ｋ2の両方を２進数展開し
たとき、ともに１となるｉは一括に処理するというもの
である。次のような処理をする。なおこの方法について
は、ギリース ブラサード編“クリプト’８９”(1990
年)第175頁から第185頁（A.Fiat,“Batch RSA”,Advanc
es inCryptology-CRYPTO'89,pp.175-pp.185,Springer-V
erlag,1990）に詳しく述べられている。
Ｇを１つのペアにして、ｋ1，ｋ2の両方を２進数展開し
たとき、ともに１となるｉは一括に処理するというもの
である。次のような処理をする。なおこの方法について
は、ギリース ブラサード編“クリプト’８９”(1990
年)第175頁から第185頁（A.Fiat,“Batch RSA”,Advanc
es inCryptology-CRYPTO'89,pp.175-pp.185,Springer-V
erlag,1990）に詳しく述べられている。
【００６２】乱数ｋ1，ｋ2を２進数展開したものをそれ
ぞれ（ａ[1]n-1，… ，ａ[1]0）（ａ[2]n-1，… ，ａ
[2]0）とする。
ぞれ（ａ[1]n-1，… ，ａ[1]0）（ａ[2]n-1，… ，ａ
[2]0）とする。
【００６３】このとき、ｋ1，ｋ2に対して、 Γ(１,２)[2] ＝ ｛ 0≦ｉ≦n-1｜(ａ[1]i,ａ[2]i) ＝ (１,１)｝ Γ(１)[2] ＝ ｛ 0≦ｉ≦n-1｜(ａ[1]i,ａ[2]i) ＝ (１,０)｝ Γ(２)[2] ＝ ｛ 0≦ｉ≦n-1｜(ａ[1]i,ａ[2]i) ＝ (０,１)｝ と定める。
【００６４】ここで Γ(１,２)[2],Γ(１)[2]，Γ(２)
[2]に対して
[2]に対して
【００６５】
【数１７】
【００６６】
【数１８】
【００６７】
【数１９】
【００６８】を定義する。このとき、 ｋ1＊Ｇ ＝ Ｕ(１,２)[2]＋ Ｕ(１)[2] ｋ2＊Ｇ ＝ Ｕ(１,２)[2]＋ Ｕ(２)[2] が成り立つ。
【００６９】以下、 （ｋ3,ｋ4），（ｋ5,ｋ6），… （ｋt-1,ｋt） ＜ｔ≡０(ｍｏｄ２)＞ とペアにして処理する。
【００７０】よって計算量は、まず初めに２i＊Ｇ(ｉ＝
0,1，… ,n-1)を計算してテーブルに保管してするの
で、この計算に必要な楕円曲線上の加法演算は(ｎ−１)
回。
0,1，… ,n-1)を計算してテーブルに保管してするの
で、この計算に必要な楕円曲線上の加法演算は(ｎ−１)
回。
【００７１】次に、＃Γ(１,２) ＝ ＃Γ(１) ＝ ＃Γ
(２) ＝ 1/4*ｎ （ただし ＃Ａ ＝ 集合Ａの元の個数） と考えられるので、Ｕ(１,２)[2]，Ｕ(１)[2]，Ｕ(２)
[2]を計算するのにそれぞれ(1/4*ｎ−１)回の楕円曲線
上の加法演算が必要となる。またＵ(１,２)[2]，Ｕ(１)
[2]，Ｕ(２)[2]から、ｋ1＊Ｇ，ｋ2＊Ｇを生成するの
に、それぞれ１回の楕円曲線上の加法演算が必要である
から、初めの２i＊Ｇ(ｉ＝0,1，… ,n-1)のテーブルを
作成するのを除いた計算回数は、 (1/4*ｎ−１)＊３＋１＊２ ＝ (3/4*ｎ−１) となる。
(２) ＝ 1/4*ｎ （ただし ＃Ａ ＝ 集合Ａの元の個数） と考えられるので、Ｕ(１,２)[2]，Ｕ(１)[2]，Ｕ(２)
[2]を計算するのにそれぞれ(1/4*ｎ−１)回の楕円曲線
上の加法演算が必要となる。またＵ(１,２)[2]，Ｕ(１)
[2]，Ｕ(２)[2]から、ｋ1＊Ｇ，ｋ2＊Ｇを生成するの
に、それぞれ１回の楕円曲線上の加法演算が必要である
から、初めの２i＊Ｇ(ｉ＝0,1，… ,n-1)のテーブルを
作成するのを除いた計算回数は、 (1/4*ｎ−１)＊３＋１＊２ ＝ (3/4*ｎ−１) となる。
【００７２】ｋ1＊Ｇ，ｋ2＊Ｇ，… ,ｋt＊Ｇを計算す
るのに必要な楕円曲線上の加法演算の回数は、 (ｎ−１)＋ｔ/2＊(3/4*ｎ−１) となる。
るのに必要な楕円曲線上の加法演算の回数は、 (ｎ−１)＋ｔ/2＊(3/4*ｎ−１) となる。
【００７３】楕円曲線上での場合では、ｎ ＝ ９６ と
してよいので、計算量は
してよいので、計算量は
【００７４】
【数２０】
【００７５】となる。（従来例３）はｔ≧１で（従来例
１）（従来例２）に比べて一番計算回数が少なくなる。
（従来例２）における計算量の式（数１６）と比較した
場合ｔ ＝ ２８として、（従来例２）で必要な楕円曲線
上の加法演算の回数は1411回に対して、（従来例３）で
必要な楕円曲線上の加法演算の回数は1089回となり、計
算量は約77.1％にまで削減できる。
１）（従来例２）に比べて一番計算回数が少なくなる。
（従来例２）における計算量の式（数１６）と比較した
場合ｔ ＝ ２８として、（従来例２）で必要な楕円曲線
上の加法演算の回数は1411回に対して、（従来例３）で
必要な楕円曲線上の加法演算の回数は1089回となり、計
算量は約77.1％にまで削減できる。
【００７６】［従来法４］この方法は前記従来法３を一
般化したもので、ｋ1＊Ｇ，… , ｋL＊Ｇを１つの組と
して処理する方法で、次のような処理である。なおこの
方法については、ギリース ブラサード編“クリプト’
８９”(1990年)第175頁から第185頁（A.Fiat,“Batch R
SA”,Advances in Cryptology-CRYPTO'89,pp.175-pp.18
5,Springer-Verlag,1990）に詳しく述べられている。
般化したもので、ｋ1＊Ｇ，… , ｋL＊Ｇを１つの組と
して処理する方法で、次のような処理である。なおこの
方法については、ギリース ブラサード編“クリプト’
８９”(1990年)第175頁から第185頁（A.Fiat,“Batch R
SA”,Advances in Cryptology-CRYPTO'89,pp.175-pp.18
5,Springer-Verlag,1990）に詳しく述べられている。
【００７７】乱数ｋl (l = 1,2，… ,L)の２進数展開を
（ａ[l]n-1，… ,ａ[l]0）(l = 1,2，… ,L)とする。
（ａ[l]n-1，… ,ａ[l]0）(l = 1,2，… ,L)とする。
【００７８】次に Ｚ(Ｌ) ＝ ｛ ０,１，… ,Ｌ ｝の
部分集合Ｔ（≠φ(空集合)）に対して、 Γ(Ｔ)[L] ＝｛ 0≦ｉ≦n-1｜ａ[l]i＝1(ｌ∈Ｔ),ａ[l]
i＝0(ｌ∈Ｚ(Ｌ)−Ｔ)｝ を定義する。また Ｔ ＝ ｛ ｘ1，… ,ｘt ｝に対して Γ(Ｔ)[L] ＝ Γ(ｘ1，… ,ｘt)[L] と略記することにすれば、前記従来法３で定義したΓ
(１,２)[2],Γ(１)[2],Γ(２)[2]と矛盾のない記号の定
義になる。
部分集合Ｔ（≠φ(空集合)）に対して、 Γ(Ｔ)[L] ＝｛ 0≦ｉ≦n-1｜ａ[l]i＝1(ｌ∈Ｔ),ａ[l]
i＝0(ｌ∈Ｚ(Ｌ)−Ｔ)｝ を定義する。また Ｔ ＝ ｛ ｘ1，… ,ｘt ｝に対して Γ(Ｔ)[L] ＝ Γ(ｘ1，… ,ｘt)[L] と略記することにすれば、前記従来法３で定義したΓ
(１,２)[2],Γ(１)[2],Γ(２)[2]と矛盾のない記号の定
義になる。
【００７９】また前記従来法３のときと同様に、
【００８０】
【数２１】
【００８１】で、Ｕ(Ｔ)[L]を定義する。このとき、
【００８２】
【数２２】
【００８３】が成り立つ。計算量は、次のようになる。
【００８４】まず初めに２i＊Ｇ(ｉ＝0,1，… ,n-1)を
計算してテーブルに保管してするので、この計算に必要
な楕円曲線上の加法演算は(ｎ−１)回。
計算してテーブルに保管してするので、この計算に必要
な楕円曲線上の加法演算は(ｎ−１)回。
【００８５】また ＃Γ(Ｔ)[L] ＝ (1/2L)*ｎ （ Ｔ
∈ Ｐ（Ｚ(Ｌ)）−φ）である。ただし Ｐ（Ａ） ＝
集合Ａの部分集合の全体と考えられるから、Ｕ(Ｔ)[L]
（ Ｔ ∈ Ｐ（Ｚ(Ｌ)）−φ）を計算するのにそれぞれ
（(1/2L)*ｎ−１）回の楕円曲線上の加法演算が必要で
あり、Ｕ(Ｔ)[L]の総数は、２L−１個である。
∈ Ｐ（Ｚ(Ｌ)）−φ）である。ただし Ｐ（Ａ） ＝
集合Ａの部分集合の全体と考えられるから、Ｕ(Ｔ)[L]
（ Ｔ ∈ Ｐ（Ｚ(Ｌ)）−φ）を計算するのにそれぞれ
（(1/2L)*ｎ−１）回の楕円曲線上の加法演算が必要で
あり、Ｕ(Ｔ)[L]の総数は、２L−１個である。
【００８６】Ｔ ∋ ｋl なるＴの総数は、そのｋl以外
の乱数(Ｌ−１)個がＴに入るかどうかの組合せだけあ
り、２L-1 個となる。
の乱数(Ｌ−１)個がＴに入るかどうかの組合せだけあ
り、２L-1 個となる。
【００８７】よって、Ｕ(Ｔ)[L]（ Ｔ ∈ Ｐ（Ｚ(Ｌ)）
−φ）をすべてを計算するのに、（(1/2L)*ｎ−１）＊
（２L−１）回の楕円曲線上の加法演算が必要である。
−φ）をすべてを計算するのに、（(1/2L)*ｎ−１）＊
（２L−１）回の楕円曲線上の加法演算が必要である。
【００８８】またＵ(Ｔ)[L]（ Ｔ ∈ Ｐ（Ｚ(Ｌ)）−
φ）からｋ1＊Ｇ，… , ｋL＊Ｇを生成するのにそれぞ
れ、（２L-1−１）回の楕円曲線上の加法演算が必要と
なるので、初めの２i＊Ｇ(ｉ＝0,1，… ,n-1)のテーブ
ルを作成するのを除いた計算回数は、 （(1/2L)*ｎ−１）＊（２L−１）＋Ｌ＊（２L-1−１） となる。
φ）からｋ1＊Ｇ，… , ｋL＊Ｇを生成するのにそれぞ
れ、（２L-1−１）回の楕円曲線上の加法演算が必要と
なるので、初めの２i＊Ｇ(ｉ＝0,1，… ,n-1)のテーブ
ルを作成するのを除いた計算回数は、 （(1/2L)*ｎ−１）＊（２L−１）＋Ｌ＊（２L-1−１） となる。
【００８９】ｋ1＊Ｇ，ｋ2＊Ｇ，… ,ｋt＊Ｇを計算す
るのに必要な楕円曲線上の加法演算の回数は、 ＜ｔ≡
０(ｍｏｄ ｌ)＞ (ｎ−１)＋ｔ/Ｌ＊｛（(1/2L)*ｎ−１）＊(２L−１)＋
Ｌ＊(２L-1−１)｝ となる。
るのに必要な楕円曲線上の加法演算の回数は、 ＜ｔ≡
０(ｍｏｄ ｌ)＞ (ｎ−１)＋ｔ/Ｌ＊｛（(1/2L)*ｎ−１）＊(２L−１)＋
Ｌ＊(２L-1−１)｝ となる。
【００９０】楕円曲線上での場合では、ｎ ＝ ９６ と
してよいので、計算量は
してよいので、計算量は
【００９１】
【数２３】
【００９２】となる。ここで ｆ(Ｌ) ＝ 1/L＊｛（(96/2L)-1）＊(2L-1)+L＊(2L-1-
1)｝ とおくと、ｆ(Ｌ)の値が最小のＬが、計算回数が最小と
なる一括に処理する個数Ｌであることは明らかである。
1)｝ とおくと、ｆ(Ｌ)の値が最小のＬが、計算回数が最小と
なる一括に処理する個数Ｌであることは明らかである。
【００９３】各Ｌに対するｆ(Ｌ)の値を（表１）に示
す。これから分かるように、Ｌ ＝ ４のときｆ(Ｌ)は最
小すなわち４個の乱数を一括に処理するのがいちばん計
算量が少なくて済む。
す。これから分かるように、Ｌ ＝ ４のときｆ(Ｌ)は最
小すなわち４個の乱数を一括に処理するのがいちばん計
算量が少なくて済む。
【００９４】
【表１】
【００９５】またこれまでの話は楕円曲線上における場
合だったので、ｎ ＝ ９６としたが有限体上の場合ｎ
＝ ５１２としなければならない。この場合もｎ ＝ ９
６の場合と同じように処理してｆ(Ｌ)を定義すると、Ｌ
＝ ６のときｆ(Ｌ)は最小すなわち６個の乱数を一括に
処理するのがいちばん計算量が少なくて済む。ｎ ＝ ５
１２の場合のｆ(Ｌ)の値は（表２）に示す。
合だったので、ｎ ＝ ９６としたが有限体上の場合ｎ
＝ ５１２としなければならない。この場合もｎ ＝ ９
６の場合と同じように処理してｆ(Ｌ)を定義すると、Ｌ
＝ ６のときｆ(Ｌ)は最小すなわち６個の乱数を一括に
処理するのがいちばん計算量が少なくて済む。ｎ ＝ ５
１２の場合のｆ(Ｌ)の値は（表２）に示す。
【００９６】
【表２】
【００９７】よって楕円曲線上の場合だと４個の乱数を
一括に処理する方法が一番計算量が少なく、ｋ1＊Ｇ，
ｋ2＊Ｇ，… ,ｋt＊Ｇを計算するのに必要な楕円曲線上
の加法演算の回数は、 ＜ｔ≡０(ｍｏｄ ４)＞
一括に処理する方法が一番計算量が少なく、ｋ1＊Ｇ，
ｋ2＊Ｇ，… ,ｋt＊Ｇを計算するのに必要な楕円曲線上
の加法演算の回数は、 ＜ｔ≡０(ｍｏｄ ４)＞
【００９８】
【数２４】
【００９９】となる。（従来例４）のＬ ＝ ４とした方
法はｔ≧１で（従来例１）（従来例２）（従来例３）に
比べて一番計算回数が少なくなる。（従来例３）におけ
る計算量の式（数２０）と比較した場合ｔ ＝ ２８とし
て、（従来例３）で必要な楕円曲線上の加法演算の回数
は1089回に対して、（従来例４）のＬ ＝ ４とした方法
で必要な楕円曲線上の加法演算の回数は816回となり、
計算量は約74.9％にまで削減できる。
法はｔ≧１で（従来例１）（従来例２）（従来例３）に
比べて一番計算回数が少なくなる。（従来例３）におけ
る計算量の式（数２０）と比較した場合ｔ ＝ ２８とし
て、（従来例３）で必要な楕円曲線上の加法演算の回数
は1089回に対して、（従来例４）のＬ ＝ ４とした方法
で必要な楕円曲線上の加法演算の回数は816回となり、
計算量は約74.9％にまで削減できる。
【０１００】また有限体上の場合だと６個の乱数を一括
に処理する方法が一番計算量が少なく、ｋ1＊Ｇ，ｋ2＊
Ｇ，… ,ｋt＊Ｇを計算するのに必要な楕円曲線上の加
法演算の回数は、 ＜ｔ≡０(ｍｏｄ ６)＞
に処理する方法が一番計算量が少なく、ｋ1＊Ｇ，ｋ2＊
Ｇ，… ,ｋt＊Ｇを計算するのに必要な楕円曲線上の加
法演算の回数は、 ＜ｔ≡０(ｍｏｄ ６)＞
【０１０１】
【数２５】
【０１０２】となる。この場合も先の楕円曲線上の場合
と同じだけの計算量削減ができる。
と同じだけの計算量削減ができる。
【０１０３】
【発明が解決しようとする課題】前記のどの従来例も、
ＩＣカードのような計算能力の低い計算機で離散対数暗
号系を実現しようとすると時間が掛かるという問題に対
する計算方法であったが、まだまだ十分実用的な時間で
実現できるとは言えない。本発明はＩＣカードのような
計算能力の低い計算機でも十分短い時間で離散対数暗号
系を実現できるようにすることを目的とする。
ＩＣカードのような計算能力の低い計算機で離散対数暗
号系を実現しようとすると時間が掛かるという問題に対
する計算方法であったが、まだまだ十分実用的な時間で
実現できるとは言えない。本発明はＩＣカードのような
計算能力の低い計算機でも十分短い時間で離散対数暗号
系を実現できるようにすることを目的とする。
【０１０４】
【課題を解決するための手段】本発明は、前記目的を達
成するために、２個以上の乱数の少なくとも１個以上の
乱数を２個以上の部分乱数に分割する乱数分割部、前記
部分乱数を前記有限可換群の特定元に作用させた構成元
を出力する整数作用部と、前記整数作用部から出力され
た前記構成元に対して前記有限可換群の定義演算とその
逆元演算の両方またはその一方の演算を行い組み合わせ
る作用元生成装置とを備えたものである。
成するために、２個以上の乱数の少なくとも１個以上の
乱数を２個以上の部分乱数に分割する乱数分割部、前記
部分乱数を前記有限可換群の特定元に作用させた構成元
を出力する整数作用部と、前記整数作用部から出力され
た前記構成元に対して前記有限可換群の定義演算とその
逆元演算の両方またはその一方の演算を行い組み合わせ
る作用元生成装置とを備えたものである。
【０１０５】
【作用】本発明は前記手段を備えることによって、乱数
分割部は基となる２個以上の乱数の少なくとも１個以上
の乱数を２個以上の部分乱数に分割し前記部分乱数を整
数作用部に供給し、前記整数作用装置は前記部分乱数を
有限可換群の特定元に作用させて構成元を作成し作用元
生成部に供給し、前記作用元生成装置は前記構成元を前
記有限可換群の定義演算とその逆元演算の両方またはそ
の一方の演算を行い組み合わせて新たな有限可換群の元
を作成する。
分割部は基となる２個以上の乱数の少なくとも１個以上
の乱数を２個以上の部分乱数に分割し前記部分乱数を整
数作用部に供給し、前記整数作用装置は前記部分乱数を
有限可換群の特定元に作用させて構成元を作成し作用元
生成部に供給し、前記作用元生成装置は前記構成元を前
記有限可換群の定義演算とその逆元演算の両方またはそ
の一方の演算を行い組み合わせて新たな有限可換群の元
を作成する。
【０１０６】さらに前記新たな有限可換群の元の個数
は、前記部分乱数の総数よりも低くすることにより、前
記新しい有限可換群の元から構成元と構成元の組み合わ
せ方を知ることはできない。
は、前記部分乱数の総数よりも低くすることにより、前
記新しい有限可換群の元から構成元と構成元の組み合わ
せ方を知ることはできない。
【０１０７】
（第一の実施例） ・楕円曲線上のエルガマル暗号における演算器 図１は本発明の第一の実施例における楕円曲線上のエル
ガマル暗号における演算器の構成を示すものである。同
図において１は乱数生成部、２は前記１の乱数生成部か
ら供給される２個以上の乱数の少なくとも１個以上の乱
数を２個以上の部分乱数に分割する乱数分割部、３はビ
ット指定部、４は前記２の乱数分割部から出力される前
記部分乱数を楕円曲線上の特定元に作用させた構成元を
作成する第一の楕円曲線上の整数作用部、５は前記４の
第一の楕円曲線上の整数作用部から出力される２個以上
の前記構成元に対して前記楕円曲線上の加法演算または
減法演算を組み合わせて楕円曲線上の元を作成する第一
の暗号文生成部、６は組合せ指定部、７は保管部、８は
前記２の乱数分割部から出力される前記部分乱数を楕円
曲線上の特定元に作用させた構成元を作成する第二の楕
円曲線上の整数作用部、９は前記８の第二の楕円曲線上
の整数作用部から出力される２個以上の前記構成元に対
して前記楕円曲線上の加法演算または減法演算を組み合
わせて楕円曲線上の元を作成する第二の暗号文生成部、
１０は楕円曲線上の加法演算部である。
ガマル暗号における演算器の構成を示すものである。同
図において１は乱数生成部、２は前記１の乱数生成部か
ら供給される２個以上の乱数の少なくとも１個以上の乱
数を２個以上の部分乱数に分割する乱数分割部、３はビ
ット指定部、４は前記２の乱数分割部から出力される前
記部分乱数を楕円曲線上の特定元に作用させた構成元を
作成する第一の楕円曲線上の整数作用部、５は前記４の
第一の楕円曲線上の整数作用部から出力される２個以上
の前記構成元に対して前記楕円曲線上の加法演算または
減法演算を組み合わせて楕円曲線上の元を作成する第一
の暗号文生成部、６は組合せ指定部、７は保管部、８は
前記２の乱数分割部から出力される前記部分乱数を楕円
曲線上の特定元に作用させた構成元を作成する第二の楕
円曲線上の整数作用部、９は前記８の第二の楕円曲線上
の整数作用部から出力される２個以上の前記構成元に対
して前記楕円曲線上の加法演算または減法演算を組み合
わせて楕円曲線上の元を作成する第二の暗号文生成部、
１０は楕円曲線上の加法演算部である。
【０１０８】以下同図を参照しながら実施例の手順を説
明する。この例は初めに４個の乱数が入力された後、７
個のエルガマル暗号の第一の暗号文あるいは第二の暗号
文の一部を出力するという例である。 (1)乱数分割 乱数生成部１から乱数ｋ1,ｋ2,ｋ3,ｋ4 が４個供給され
て、乱数分割部２に入力される。もう一方、ビット指定
部３からビット分割情報Ｔ1,Ｔ2,Ｔ3,Ｔ4 が乱数分割部
２に入力される。ここでＺ0(n-1) ＝ ｛ 0,1，… ,n-1
｝とすると、ビット分割情報Ｔ1,Ｔ2,Ｔ3,Ｔ4はＺ0(n-
1)の部分集合である。乱数分割部２は、乱数ｋi(ｉ＝1,
2,3,4)をビット分割情報Ｔi(ｉ＝1,2,3,4)により次のよ
うに部分乱数ｋi [1],ｋi [2](ｉ＝1,2,3,4)に分割する。
すなわち、乱数ｋi(ｉ＝1,2,3,4)の２進数展開を（ａ
[i]n-1，… ,ａ[i]0）(ｉ＝1,2,3,4)とし、部分乱数ｋi
[1],ｋi [2](ｉ＝1,2,3,4)の２進数展開をそれぞれ（ｂ
[i]n-1，… ,ｂ[i]0），（ｃ[i]n-1，… ,ｃ[i]0）とす
るとき、ｂ[i]j，ｃ[i]j (ｉ＝1,2,3,4 ｊ＝0,1, … ,
n-1)を次の（数２６）（数２７）の規則により定める。
明する。この例は初めに４個の乱数が入力された後、７
個のエルガマル暗号の第一の暗号文あるいは第二の暗号
文の一部を出力するという例である。 (1)乱数分割 乱数生成部１から乱数ｋ1,ｋ2,ｋ3,ｋ4 が４個供給され
て、乱数分割部２に入力される。もう一方、ビット指定
部３からビット分割情報Ｔ1,Ｔ2,Ｔ3,Ｔ4 が乱数分割部
２に入力される。ここでＺ0(n-1) ＝ ｛ 0,1，… ,n-1
｝とすると、ビット分割情報Ｔ1,Ｔ2,Ｔ3,Ｔ4はＺ0(n-
1)の部分集合である。乱数分割部２は、乱数ｋi(ｉ＝1,
2,3,4)をビット分割情報Ｔi(ｉ＝1,2,3,4)により次のよ
うに部分乱数ｋi [1],ｋi [2](ｉ＝1,2,3,4)に分割する。
すなわち、乱数ｋi(ｉ＝1,2,3,4)の２進数展開を（ａ
[i]n-1，… ,ａ[i]0）(ｉ＝1,2,3,4)とし、部分乱数ｋi
[1],ｋi [2](ｉ＝1,2,3,4)の２進数展開をそれぞれ（ｂ
[i]n-1，… ,ｂ[i]0），（ｃ[i]n-1，… ,ｃ[i]0）とす
るとき、ｂ[i]j，ｃ[i]j (ｉ＝1,2,3,4 ｊ＝0,1, … ,
n-1)を次の（数２６）（数２７）の規則により定める。
【０１０９】
【数２６】
【０１１０】
【数２７】
【０１１１】このとき ｋi ＝ ｋi [1]＋ｋi [2] (ｉ＝1,2,3,4) が成り立つ。 (2)エルガマル暗号の第一の暗号文の構成元の作成 乱数分割部２から出力される部分乱数ｋi [1],ｋi [2](ｉ
＝1,2,3,4)は、第一の楕円曲線上の整数作用部４に供給
される。第一の楕円曲線上の整数作用部４は次の（数２
８）のような操作で楕円曲線上の点Ｋi [1]，Ｋi [2](ｉ
＝1,2,3,4)を求める。
＝1,2,3,4)は、第一の楕円曲線上の整数作用部４に供給
される。第一の楕円曲線上の整数作用部４は次の（数２
８）のような操作で楕円曲線上の点Ｋi [1]，Ｋi [2](ｉ
＝1,2,3,4)を求める。
【０１１２】Ｇをシステムの公開鍵である楕円曲線上の
点とすると、
点とすると、
【０１１３】
【数２８】
【０１１４】ここでｋi [j]＊Ｇの計算は（従来例４）に
述べた方法で４個のｋi [j]＊Ｇを一括に処理して計算す
ることもできる。
述べた方法で４個のｋi [j]＊Ｇを一括に処理して計算す
ることもできる。
【０１１５】このようにして８個の楕円曲線上の点であ
る第一の暗号文の構成元が作成される。 (3)エルガマル暗号の第一の暗号文の作成 第一の楕円曲線上の整数作用部４から出力された楕円曲
線上の点Ｋi [1]，Ｋi [ 2](ｉ＝1,2,3,4)は、第一の暗号
文生成部５に入力される。また組合せ指定部６から組み
合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,7)が第一の暗号文
生成部５に入力される。
る第一の暗号文の構成元が作成される。 (3)エルガマル暗号の第一の暗号文の作成 第一の楕円曲線上の整数作用部４から出力された楕円曲
線上の点Ｋi [1]，Ｋi [ 2](ｉ＝1,2,3,4)は、第一の暗号
文生成部５に入力される。また組合せ指定部６から組み
合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,7)が第一の暗号文
生成部５に入力される。
【０１１６】組み合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,
7)は楕円曲線上の点Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4) の中
から２個の点を選び、その２点を楕円曲線上の加法で作
用させるか減法で作用させるか定める情報である。よっ
て第一の暗号文生成部５はＱj(ｊ＝1,2,3,4,5,6,7)に基
づき、エルガマル暗号の第一の暗号文Ｃ[j]1(ｊ＝1,2,
3,4,5,6,7)を作成する。その作成方法は例えばＱ1が、
Ｋ2 [1]を加法でＫ4 [2]を減法で作用させるという情報で
あったならば、Ｃ[1]1は次の（数２９）で定まるという
ものである。
7)は楕円曲線上の点Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4) の中
から２個の点を選び、その２点を楕円曲線上の加法で作
用させるか減法で作用させるか定める情報である。よっ
て第一の暗号文生成部５はＱj(ｊ＝1,2,3,4,5,6,7)に基
づき、エルガマル暗号の第一の暗号文Ｃ[j]1(ｊ＝1,2,
3,4,5,6,7)を作成する。その作成方法は例えばＱ1が、
Ｋ2 [1]を加法でＫ4 [2]を減法で作用させるという情報で
あったならば、Ｃ[1]1は次の（数２９）で定まるという
ものである。
【０１１７】
【数２９】
【０１１８】このようにして、第一の暗号文生成部５は
組み合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,7)に基づきエ
ルガマル暗号の第一の暗号文Ｃ[j]1(ｊ＝1,2,3,4,5,6,
7)を作成し、保管部７に保管する。 (4)エルガマル暗号の第二の暗号文の構成元の作成 乱数分割部２から出力される部分乱数前記(2)と同じｋi
[1],ｋi [2](ｉ＝1,2,3,4)は、第二の楕円曲線上の整数
作用部８に供給される。第二の楕円曲線上の整数作用部
８は次の（数３０）のような操作で楕円曲線上の点Ｘi
[1]，Ｘi [2](ｉ＝1,2,3,4)を求める。
組み合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,7)に基づきエ
ルガマル暗号の第一の暗号文Ｃ[j]1(ｊ＝1,2,3,4,5,6,
7)を作成し、保管部７に保管する。 (4)エルガマル暗号の第二の暗号文の構成元の作成 乱数分割部２から出力される部分乱数前記(2)と同じｋi
[1],ｋi [2](ｉ＝1,2,3,4)は、第二の楕円曲線上の整数
作用部８に供給される。第二の楕円曲線上の整数作用部
８は次の（数３０）のような操作で楕円曲線上の点Ｘi
[1]，Ｘi [2](ｉ＝1,2,3,4)を求める。
【０１１９】ＹBをある特定の受信者Ｂの公開鍵である
楕円曲線上の点とすると、
楕円曲線上の点とすると、
【０１２０】
【数３０】
【０１２１】ここでｋi [j]＊ＹBの計算は（従来例４）
に述べた方法で４個のｋi [j]＊ＹBを一括に処理して計
算することもできる。
に述べた方法で４個のｋi [j]＊ＹBを一括に処理して計
算することもできる。
【０１２２】このようにして８個の楕円曲線上の点であ
る第二の暗号文の構成元が作成される。 (5)エルガマル暗号の第二の暗号文の一部の作成 楕円曲線上の整数作用部８から出力された楕円曲線上の
点Ｘi [1]，Ｘi [2](ｉ＝1,2,3,4)は、第二の暗号文生成
部９に入力される。また組合せ指定部６から前記(3)と
同じ組み合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,7)が第二
の暗号文生成部９に入力される。 組み合わせ指定情報
Ｑj(ｊ＝1,2,3,4,5,6,7)は楕円曲線上の点Ｋi [1]，Ｋi
[2](ｉ＝1,2,3,4) の中から２個の点を選び、その２点
を楕円曲線上の加法で作用させるか減法で作用させるか
定める情報である。第二の暗号文生成部９はＱj(ｊ＝1,
2,3,4,5,6,7)に基づき、エルガマル暗号の第二の暗号文
の平文Ｍ以外の部分Ｖ[j](ｊ＝1,2,3,4,5,6,7)を作成す
る。その作成方法は例えばＱ2が、Ｘ3 [2]を減法でＸ4
[1]を加法で作用させるという情報であったならば、Ｖ
[2]は次の（数３１）で定まるというものである。
る第二の暗号文の構成元が作成される。 (5)エルガマル暗号の第二の暗号文の一部の作成 楕円曲線上の整数作用部８から出力された楕円曲線上の
点Ｘi [1]，Ｘi [2](ｉ＝1,2,3,4)は、第二の暗号文生成
部９に入力される。また組合せ指定部６から前記(3)と
同じ組み合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,7)が第二
の暗号文生成部９に入力される。 組み合わせ指定情報
Ｑj(ｊ＝1,2,3,4,5,6,7)は楕円曲線上の点Ｋi [1]，Ｋi
[2](ｉ＝1,2,3,4) の中から２個の点を選び、その２点
を楕円曲線上の加法で作用させるか減法で作用させるか
定める情報である。第二の暗号文生成部９はＱj(ｊ＝1,
2,3,4,5,6,7)に基づき、エルガマル暗号の第二の暗号文
の平文Ｍ以外の部分Ｖ[j](ｊ＝1,2,3,4,5,6,7)を作成す
る。その作成方法は例えばＱ2が、Ｘ3 [2]を減法でＸ4
[1]を加法で作用させるという情報であったならば、Ｖ
[2]は次の（数３１）で定まるというものである。
【０１２３】
【数３１】
【０１２４】このようにして、第二の暗号文生成部９は
組み合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,7)に基づきエ
ルガマル暗号の第二の暗号文の平文Ｍ以外の部分Ｖ[j]
(ｊ＝1,2,3,4,5,6,7)を作成し、保管部７に保管する。
ただし保管部７ではＣ[j]1とＶ[j](ｊ＝1,2,3,4,5,6,7)
を組にして保管しておく。 (6)エルガマル暗号の第二の暗号文の作成 特定の受信者Ｂに秘密通信する平文Ｍ[j]が楕円曲線上
の加法演算部１０に入力されると保管部７から保管され
ているＶ[j]楕円曲線上の加法演算部１０に入力され、
楕円曲線上の加法演算部１０はエルガマル暗号の第二の
暗号文Ｃ[j]2を次の（数３２）のように作成する。
組み合わせ指定情報Ｑj(ｊ＝1,2,3,4,5,6,7)に基づきエ
ルガマル暗号の第二の暗号文の平文Ｍ以外の部分Ｖ[j]
(ｊ＝1,2,3,4,5,6,7)を作成し、保管部７に保管する。
ただし保管部７ではＣ[j]1とＶ[j](ｊ＝1,2,3,4,5,6,7)
を組にして保管しておく。 (6)エルガマル暗号の第二の暗号文の作成 特定の受信者Ｂに秘密通信する平文Ｍ[j]が楕円曲線上
の加法演算部１０に入力されると保管部７から保管され
ているＶ[j]楕円曲線上の加法演算部１０に入力され、
楕円曲線上の加法演算部１０はエルガマル暗号の第二の
暗号文Ｃ[j]2を次の（数３２）のように作成する。
【０１２５】
【数３２】
【０１２６】そしてＶ[j]と組として保管部７に保管さ
れているＣ[j]1とこのＣ[j]2を暗号文としてＢに送信す
る。
れているＣ[j]1とこのＣ[j]2を暗号文としてＢに送信す
る。
【０１２７】そして一度使われたＣ[j]1，Ｖ[j]は保管
部７に保管しておく必要はない。 (7)計算量について 従来例との比較から、前記(2)(3)でエルガマル暗号の第
一の暗号文Ｃ[j]1(ｊ＝1,2,3,4,5,6,7)を作成するのに
必要な計算量について述べる。第二の暗号文の一部を作
成する計算量についても同様な効果が得られる。
部７に保管しておく必要はない。 (7)計算量について 従来例との比較から、前記(2)(3)でエルガマル暗号の第
一の暗号文Ｃ[j]1(ｊ＝1,2,3,4,5,6,7)を作成するのに
必要な計算量について述べる。第二の暗号文の一部を作
成する計算量についても同様な効果が得られる。
【０１２８】（従来例２）と同様にまず初めに、２i＊
Ｇ(ｉ＝0,1，… ,n-1)を計算しておきそのあとで、Ｋi
[j] ＝ ｋi [j]＊Ｇ(ｉ＝1,2,3,4 ｊ＝1,2)を計算す
る。
Ｇ(ｉ＝0,1，… ,n-1)を計算しておきそのあとで、Ｋi
[j] ＝ ｋi [j]＊Ｇ(ｉ＝1,2,3,4 ｊ＝1,2)を計算す
る。
【０１２９】２i＊Ｇ(ｉ＝0,1，… ,n-1)をすべて計算
するのに(ｎ−１)回の楕円曲線上の加法演算を行なう必
要がある。
するのに(ｎ−１)回の楕円曲線上の加法演算を行なう必
要がある。
【０１３０】つぎに、＆ｋi [j] ＝ 平均(1/4)*ｎと考え
られるので、ただし、＆ｒ ＝ ｒを２進数展開したとき
に１の立っているビット数。Ｋi [j] ＝ ｋi [j]＊Ｇを計
算するのにそれぞれ(1/4)*ｎ−１回の楕円曲線上の加法
演算が必要である。
られるので、ただし、＆ｒ ＝ ｒを２進数展開したとき
に１の立っているビット数。Ｋi [j] ＝ ｋi [j]＊Ｇを計
算するのにそれぞれ(1/4)*ｎ−１回の楕円曲線上の加法
演算が必要である。
【０１３１】またＫi [j](ｉ＝1,2,3,4 ｊ＝1,2)からＣ
[s]1(ｓ＝1,2,3,4,5,6,7)を作成するのにそれぞれ１回
の楕円曲線上の加法演算あるいは減法演算が必要であ
る。ただし楕円曲線上の楕円曲線上の加法演算と減法演
算は同等の時間で処理できることから、減法演算の場合
でも加法演算と区別せずに計算回数を数える。よって合
計７回の楕円曲線上の加法演算が必要である。
[s]1(ｓ＝1,2,3,4,5,6,7)を作成するのにそれぞれ１回
の楕円曲線上の加法演算あるいは減法演算が必要であ
る。ただし楕円曲線上の楕円曲線上の加法演算と減法演
算は同等の時間で処理できることから、減法演算の場合
でも加法演算と区別せずに計算回数を数える。よって合
計７回の楕円曲線上の加法演算が必要である。
【０１３２】したがってＣ[1]1，Ｃ[2]1，… ,Ｃ[t]1を
作成するのに必要な楕円曲線上の加法演算は (ｎ−１)＋ｔ/7＊｛（(1/4)*ｎ−１）＊８＋７｝ となる。
作成するのに必要な楕円曲線上の加法演算は (ｎ−１)＋ｔ/7＊｛（(1/4)*ｎ−１）＊８＋７｝ となる。
【０１３３】楕円曲線上での場合では、ｎ ＝ ９６ と
してよいので、計算量は
してよいので、計算量は
【０１３４】
【数３３】
【０１３５】となる。（従来例）の中で計算量が最小な
のは、（従来例４）の４個の乱数を一括に処理する方法
で、その計算量はＣ[1]1，Ｃ[2]1，… ,Ｃ[t]1を作成す
る場合で、（数２４）より Ｈ4(ｔ) ＝ (103/4)ｔ＋９５ であった。
のは、（従来例４）の４個の乱数を一括に処理する方法
で、その計算量はＣ[1]1，Ｃ[2]1，… ,Ｃ[t]1を作成す
る場合で、（数２４）より Ｈ4(ｔ) ＝ (103/4)ｔ＋９５ であった。
【０１３６】 103/4 ＝ ２５ 3/4 ＜ 191/7 ＝ ２７ 2/7 であるから、本発明の計算量のほうが僅かに多くなるこ
とがわかる。
とがわかる。
【０１３７】しかし前述のようにＫi [j](ｉ＝1,2,3,4
ｊ＝1,2)を計算するときに（従来例４）の４個の乱数を
一括に処理する方法で行なえば、計算量は次のようにな
る。
ｊ＝1,2)を計算するときに（従来例４）の４個の乱数を
一括に処理する方法で行なえば、計算量は次のようにな
る。
【０１３８】Ｋ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]を一括で
処理する場合、 ＃Γ(Ｔ)[4] ＝ (1/32)*ｎ Ｔ ∈ Ｐ（Ｚ(４)）− φ と考えられるので、各Ｕ(Ｔ)[4] （Ｔ ∈ Ｐ（Ｚ(４)）
− φ）を計算するのに、それぞれ(1/32)*ｎ−１回の楕
円曲線上の加法演算が必要である。
処理する場合、 ＃Γ(Ｔ)[4] ＝ (1/32)*ｎ Ｔ ∈ Ｐ（Ｚ(４)）− φ と考えられるので、各Ｕ(Ｔ)[4] （Ｔ ∈ Ｐ（Ｚ(４)）
− φ）を計算するのに、それぞれ(1/32)*ｎ−１回の楕
円曲線上の加法演算が必要である。
【０１３９】またＵ(Ｔ)[4] （Ｔ ∈ Ｐ（Ｚ(４)）−
φ）からＫ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]を作成するの
に各７回の楕円曲線上の加法演算が必要である。
φ）からＫ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]を作成するの
に各７回の楕円曲線上の加法演算が必要である。
【０１４０】＃（Ｐ（Ｚ(４)）− φ） ＝ １５である
から、Ｋ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]を一括で処理し
て計算する場合必要な楕円曲線上の加法演算は （(1/32)*ｎ−１）＊１５＋７＊４ ＝ (15/32)*ｎ＋１
３ となる。
から、Ｋ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]を一括で処理し
て計算する場合必要な楕円曲線上の加法演算は （(1/32)*ｎ−１）＊１５＋７＊４ ＝ (15/32)*ｎ＋１
３ となる。
【０１４１】同様にＫ1 [2]，Ｋ2 [2]，Ｋ3 [2]，Ｋ4 [2]を
計算するのに(15/32)*ｎ＋１３回の楕円曲線上の加法演
算が必要であるから、Ｋi [j] ＝ ｋi [j]＊Ｇを計算する
のに合計で、(15/16)*ｎ＋２６回の楕円曲線上の加法演
算が必要である。
計算するのに(15/32)*ｎ＋１３回の楕円曲線上の加法演
算が必要であるから、Ｋi [j] ＝ ｋi [j]＊Ｇを計算する
のに合計で、(15/16)*ｎ＋２６回の楕円曲線上の加法演
算が必要である。
【０１４２】したがってＣ[1]1，Ｃ[2]1，… ,Ｃ[7]1を
作成するのに必要な楕円曲線上の加法演算は （(15/16)*ｎ＋２６）＋７ ＝ (15/16)*ｎ＋３３ となる。
作成するのに必要な楕円曲線上の加法演算は （(15/16)*ｎ＋２６）＋７ ＝ (15/16)*ｎ＋３３ となる。
【０１４３】よってＣ[1]1，Ｃ[2]1，… ,Ｃ[t]1を作成
するのに必要な楕円曲線上の加法演算は (ｎ−１)＋ｔ/7＊（(15/16)*ｎ＋３３） となる。
するのに必要な楕円曲線上の加法演算は (ｎ−１)＋ｔ/7＊（(15/16)*ｎ＋３３） となる。
【０１４４】楕円曲線上での場合は、ｎ ＝ ９６ とし
てよいので、計算量は
てよいので、計算量は
【０１４５】
【数３４】
【０１４６】となる。 123/7 ＝ １７ 4/7 ＜ 103/4 ＝ ２５ 3/4 であるから計算量はｔ ＝ ２８とした場合で、従来例の
最小計算法である４個の乱数を一括に処理する方法が、
８１６回の楕円曲線上の加法演算が必要なのに対し、本
発明と４個の乱数を一括に処理する方法を組み合わせた
方法は５８７回の楕円曲線上の加法演算しか必要としな
く、約71.9％にまで計算量を作減できる。
最小計算法である４個の乱数を一括に処理する方法が、
８１６回の楕円曲線上の加法演算が必要なのに対し、本
発明と４個の乱数を一括に処理する方法を組み合わせた
方法は５８７回の楕円曲線上の加法演算しか必要としな
く、約71.9％にまで計算量を作減できる。
【０１４７】また上記の説明では従来例４との組合せに
よる計算量について述べたが、従来例３と組み合わせて
も同様の効果が得られる。
よる計算量について述べたが、従来例３と組み合わせて
も同様の効果が得られる。
【０１４８】なお、この第一の実施例では４個の乱数を
２個ずつに排他的に分割して７個のエルガマル暗号の第
一の暗号文ならびに第二の暗号文の一部を作成したが、
この実施例を一般化できる。一般にＬ個の乱数ｋl(ｌ＝
1,2, … ,L)をそれぞれｍ(ｋl)個ずつに分割して、Ｍ個
以下のをエルガマル暗号の第一の暗号文ならびに第二の
暗号文の一部を作成しても同様な効果が得られる。ただ
しＭは次の（数３４）で与えられる。
２個ずつに排他的に分割して７個のエルガマル暗号の第
一の暗号文ならびに第二の暗号文の一部を作成したが、
この実施例を一般化できる。一般にＬ個の乱数ｋl(ｌ＝
1,2, … ,L)をそれぞれｍ(ｋl)個ずつに分割して、Ｍ個
以下のをエルガマル暗号の第一の暗号文ならびに第二の
暗号文の一部を作成しても同様な効果が得られる。ただ
しＭは次の（数３４）で与えられる。
【０１４９】
【数３５】
【０１５０】またこの第一の実施例では、乱数を排他的
に分割したが、その乱数よりも小さい正の整数の和に分
割してもまた負の整数が入る分割方法でも同様な効果が
得られる。
に分割したが、その乱数よりも小さい正の整数の和に分
割してもまた負の整数が入る分割方法でも同様な効果が
得られる。
【０１５１】（第二の実施例） ・有限体上のエルガマル暗号における演算器 また図２は本発明の第二の実施例における有限体上のエ
ルガマル暗号における演算器の構成を示すものである。
同図において１１は乱数生成部、１２は前記１１の乱数
生成部から供給される２個以上の乱数の少なくとも１個
以上の乱数を２個以上の部分乱数に分割する乱数分割
部、１３はビット指定部、１４は前記１２の乱数分割部
から出力される前記部分乱数を有限体上の特定元に作用
させた構成元を作成する第一の有限体上のべき乗計算
部、１５は前記１４の第一の有限体上のべき乗計算部か
ら出力される２個以上の前記構成元に対して前記有限体
上の乗法演算を組み合わせて有限体上の元を作成する第
一の暗号文生成部、１６は組合せ指定部、１７は保管
部、１８は前記１２の乱数分割部から出力される前記部
分乱数を有限体上の特定元に作用させた構成元を作成す
る第二の有限体上のべき乗計算部、１９は前記１８の第
二の有限体上のべき乗計算部から出力される２個以上の
前記構成元に対して前記有限体上の乗法演算を組み合わ
せて有限体上の元を作成する第二の暗号文生成部、２０
は有限体上の乗法計算部である。
ルガマル暗号における演算器の構成を示すものである。
同図において１１は乱数生成部、１２は前記１１の乱数
生成部から供給される２個以上の乱数の少なくとも１個
以上の乱数を２個以上の部分乱数に分割する乱数分割
部、１３はビット指定部、１４は前記１２の乱数分割部
から出力される前記部分乱数を有限体上の特定元に作用
させた構成元を作成する第一の有限体上のべき乗計算
部、１５は前記１４の第一の有限体上のべき乗計算部か
ら出力される２個以上の前記構成元に対して前記有限体
上の乗法演算を組み合わせて有限体上の元を作成する第
一の暗号文生成部、１６は組合せ指定部、１７は保管
部、１８は前記１２の乱数分割部から出力される前記部
分乱数を有限体上の特定元に作用させた構成元を作成す
る第二の有限体上のべき乗計算部、１９は前記１８の第
二の有限体上のべき乗計算部から出力される２個以上の
前記構成元に対して前記有限体上の乗法演算を組み合わ
せて有限体上の元を作成する第二の暗号文生成部、２０
は有限体上の乗法計算部である。
【０１５２】以下同図を参照しながら実施例の手順を説
明する。この例は初めに６個の乱数が入力された後、１
１個の乱数をシステムの公開鍵あるいは受信者の公開鍵
に作用させた値を出力するという例である。 (8)乱数分割 乱数生成部１１から乱数ｋ1,ｋ2,ｋ3,ｋ4,ｋ5,ｋ6 が６
個供給されて、乱数分割部１２に入力される。もう一
方、ビット指定部１３からビット分割情報Ｔ1,Ｔ 2,Ｔ3,
Ｔ4,Ｔ5,Ｔ6 が乱数分割部１２に入力される。ここでＺ
0(n-1) ＝ ｛ 0,1，… ,n-1 ｝とすると、ビット分割情
報Ｔ1,Ｔ2,Ｔ3,Ｔ4はＺ0(n-1)の部分集合である。乱数
分割部１２は乱数ｋi(ｉ＝1,2,3,4,5,6)をビット分割情
報Ｔi(ｉ＝1,2,3,4,5,6)により次のように部分乱数ｋi
[1],ｋi [2](ｉ＝1,2,3,4,5,6)に分割する。すなわち乱
数ｋi(ｉ＝1,2,3,4,5,6)の２進数展開を（ａ[i]n-1，…
,ａ[i]0）(ｉ＝1,2,3,4,5,6)とし、部分乱数ｋi [1],ｋ
i [2](ｉ＝1,2,3,4,5,6)の２進数展開をそれぞれ（ｂ[i]
n-1，… ,ｂ[i]0），（ｃ[i]n-1，… ,ｃ[i]0）とする
とき、ｂ[i]j，ｃ[i]j (ｉ＝1,2,3,4,5,6 ｊ＝0,1, …
,n-1)は次の（数３６）（数３７）で定める。
明する。この例は初めに６個の乱数が入力された後、１
１個の乱数をシステムの公開鍵あるいは受信者の公開鍵
に作用させた値を出力するという例である。 (8)乱数分割 乱数生成部１１から乱数ｋ1,ｋ2,ｋ3,ｋ4,ｋ5,ｋ6 が６
個供給されて、乱数分割部１２に入力される。もう一
方、ビット指定部１３からビット分割情報Ｔ1,Ｔ 2,Ｔ3,
Ｔ4,Ｔ5,Ｔ6 が乱数分割部１２に入力される。ここでＺ
0(n-1) ＝ ｛ 0,1，… ,n-1 ｝とすると、ビット分割情
報Ｔ1,Ｔ2,Ｔ3,Ｔ4はＺ0(n-1)の部分集合である。乱数
分割部１２は乱数ｋi(ｉ＝1,2,3,4,5,6)をビット分割情
報Ｔi(ｉ＝1,2,3,4,5,6)により次のように部分乱数ｋi
[1],ｋi [2](ｉ＝1,2,3,4,5,6)に分割する。すなわち乱
数ｋi(ｉ＝1,2,3,4,5,6)の２進数展開を（ａ[i]n-1，…
,ａ[i]0）(ｉ＝1,2,3,4,5,6)とし、部分乱数ｋi [1],ｋ
i [2](ｉ＝1,2,3,4,5,6)の２進数展開をそれぞれ（ｂ[i]
n-1，… ,ｂ[i]0），（ｃ[i]n-1，… ,ｃ[i]0）とする
とき、ｂ[i]j，ｃ[i]j (ｉ＝1,2,3,4,5,6 ｊ＝0,1, …
,n-1)は次の（数３６）（数３７）で定める。
【０１５３】
【数３６】
【０１５４】
【数３７】
【０１５５】このとき ｋi ＝ ｋi [1]＋ｋi [2] (ｉ＝1,2,3,4,5,6) が成り立つ。 (9)エルガマル暗号の第一の暗号文の構成元の作成 乱数分割部１２から出力される部分乱数ｋi [1],ｋ
i [2](ｉ＝1,2,3,4,5,6)は、第一の有限体上のべき乗計
算部１４に供給される。第一の有限体上のべき乗計算部
１４は次の（数３８）のような操作で有限体の値
Ｋi [1],Ｋi [2](ｉ＝1,2,3,4,5,6)を求める。
i [2](ｉ＝1,2,3,4,5,6)は、第一の有限体上のべき乗計
算部１４に供給される。第一の有限体上のべき乗計算部
１４は次の（数３８）のような操作で有限体の値
Ｋi [1],Ｋi [2](ｉ＝1,2,3,4,5,6)を求める。
【０１５６】ｇをシステムの公開鍵である有限体の値と
すると、
すると、
【０１５７】
【数３８】
【０１５８】ここでｇ＾ｋi [j]は（従来例４）に述べた
方法で６個のｇ＾ｋi [j]を一括に処理して計算すること
もできる。
方法で６個のｇ＾ｋi [j]を一括に処理して計算すること
もできる。
【０１５９】このようにして１２個の有限体の値である
第一の暗号文の構成元が作成される。
第一の暗号文の構成元が作成される。
【０１６０】(10)エルガマル暗号の第一の暗号文の作成 第一の有限体上のべき乗計算部１４から出力された有限
体の値Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6)は、第一の暗
号文生成部１５に入力される。また組合せ指定部１６か
ら組み合わせ指定情報Ｑj(ｊ＝1,2, … ,11)が暗号文生
成部１５に入力される。
体の値Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6)は、第一の暗
号文生成部１５に入力される。また組合せ指定部１６か
ら組み合わせ指定情報Ｑj(ｊ＝1,2, … ,11)が暗号文生
成部１５に入力される。
【０１６１】組み合わせ指定情報Ｑj(ｊ＝1,2, … ,11)
は有限体の値Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6) の中か
らどの２個の値を選びかということを定める情報であ
る。第一の暗号文生成部１５はＱj(ｊ＝1,2, … ,11)に
基づき、エルガマル暗号の第一の暗号文Ｃ[j]1(ｊ＝1,
2, … ,11)を作成する。その作成方法は例えばＱ1が、
Ｋ 2 [1]とＫ4 [2]の２個を選ぶという情報であったなら
ば、Ｃ[1]1は次の（数３９）で定まるというものであ
る。
は有限体の値Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6) の中か
らどの２個の値を選びかということを定める情報であ
る。第一の暗号文生成部１５はＱj(ｊ＝1,2, … ,11)に
基づき、エルガマル暗号の第一の暗号文Ｃ[j]1(ｊ＝1,
2, … ,11)を作成する。その作成方法は例えばＱ1が、
Ｋ 2 [1]とＫ4 [2]の２個を選ぶという情報であったなら
ば、Ｃ[1]1は次の（数３９）で定まるというものであ
る。
【０１６２】
【数３９】
【０１６３】このようにして、第一の暗号文生成部１５
は組み合わせ指定情報Ｑj(ｊ＝1,2,… ,11)からエルガ
マル暗号の第一の暗号文Ｃ[j]1(ｊ＝1,2, … ,11)を作
成し、保管部１７に保管する。 (11)エルガマル暗号の第二の暗号文の構成元の作成 乱数分割部１２から出力される部分乱数前記(9)と同じ
ｋi [1],ｋi [2](ｉ＝1,2,3,4,5,6)は、第二の有限体上の
べき乗計算部１８に供給される。ここでは次の（数４
０）のような操作で有限体の値Ｘi [1]，Ｘi [2](ｉ＝1,
2,3,4,5,6)を求められる。
は組み合わせ指定情報Ｑj(ｊ＝1,2,… ,11)からエルガ
マル暗号の第一の暗号文Ｃ[j]1(ｊ＝1,2, … ,11)を作
成し、保管部１７に保管する。 (11)エルガマル暗号の第二の暗号文の構成元の作成 乱数分割部１２から出力される部分乱数前記(9)と同じ
ｋi [1],ｋi [2](ｉ＝1,2,3,4,5,6)は、第二の有限体上の
べき乗計算部１８に供給される。ここでは次の（数４
０）のような操作で有限体の値Ｘi [1]，Ｘi [2](ｉ＝1,
2,3,4,5,6)を求められる。
【０１６４】ｙBをある特定の受信者Ｂの公開鍵である
楕円曲線上の点とすると、
楕円曲線上の点とすると、
【０１６５】
【数４０】
【０１６６】ここでｙB＾ｋi [j]の計算は（従来例４）
に述べた方法で６個のｙB＾ｋi [j]を一括に処理して計
算することもできる。
に述べた方法で６個のｙB＾ｋi [j]を一括に処理して計
算することもできる。
【０１６７】このようにして１２個の有限体上の値であ
る第二の暗号文の構成元が作成される。 (12)エルガマル暗号の第二の暗号文の一部の作成 第二の有限体上のべき乗計算部１８から出力された有限
体の値Ｘi [1]，Ｘi [2](ｉ＝1,2,3,4,5,6)は、第二の暗
号文生成部１９に入力される。また組合せ指定部１６か
ら前記(10)と同じ組み合わせ指定情報Ｑj(ｊ＝1,2, …
,11)が第二の暗号文生成部１９に入力される。 組み合
わせ指定情報Ｑj(ｊ＝1,2, … ,11)は有限体の値
Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6) の中からどの２個の
値を選びかという情報である。第二の暗号文生成部１９
はＱj(ｊ＝1,2, … ,11)に基づき、エルガマル暗号の第
二の暗号文の平文Ｍ以外の部分Ｖ[j](ｊ＝1,2, … ,11)
を作成する。その作成方法は例えばＱ3が、Ｘ3 [2]とＸ4
[1]を選ぶという情報であったならば、Ｖ[3]は次の（数
４１）で定まるというものである。
る第二の暗号文の構成元が作成される。 (12)エルガマル暗号の第二の暗号文の一部の作成 第二の有限体上のべき乗計算部１８から出力された有限
体の値Ｘi [1]，Ｘi [2](ｉ＝1,2,3,4,5,6)は、第二の暗
号文生成部１９に入力される。また組合せ指定部１６か
ら前記(10)と同じ組み合わせ指定情報Ｑj(ｊ＝1,2, …
,11)が第二の暗号文生成部１９に入力される。 組み合
わせ指定情報Ｑj(ｊ＝1,2, … ,11)は有限体の値
Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6) の中からどの２個の
値を選びかという情報である。第二の暗号文生成部１９
はＱj(ｊ＝1,2, … ,11)に基づき、エルガマル暗号の第
二の暗号文の平文Ｍ以外の部分Ｖ[j](ｊ＝1,2, … ,11)
を作成する。その作成方法は例えばＱ3が、Ｘ3 [2]とＸ4
[1]を選ぶという情報であったならば、Ｖ[3]は次の（数
４１）で定まるというものである。
【０１６８】
【数４１】
【０１６９】このようにして、第二の暗号文生成部１９
は組み合わせ指定情報Ｑj(ｊ＝1,2,… ,11)からエルガ
マル暗号の第二の暗号文の平文Ｍ以外の部分Ｖ[j](ｊ＝
1,2,… ,11)を作成し、保管部１７に保管される。ただ
し保管部１７ではＣ[j]1とＶ[j](ｊ＝1,2, … ,11)を組
にして保管しておく。 (13)エルガマル暗号の第二の暗号文の作成 特定の受信者Ｂに秘密通信する平文Ｍ[j]が有限体上の
乗法計算部２０に入力されると保管部１７から保管され
ているＶ[j]が入力され、有限体上の乗法計算部２０は
第二の暗号文Ｃ[j]2を次の（数４２）のように作成す
る。
は組み合わせ指定情報Ｑj(ｊ＝1,2,… ,11)からエルガ
マル暗号の第二の暗号文の平文Ｍ以外の部分Ｖ[j](ｊ＝
1,2,… ,11)を作成し、保管部１７に保管される。ただ
し保管部１７ではＣ[j]1とＶ[j](ｊ＝1,2, … ,11)を組
にして保管しておく。 (13)エルガマル暗号の第二の暗号文の作成 特定の受信者Ｂに秘密通信する平文Ｍ[j]が有限体上の
乗法計算部２０に入力されると保管部１７から保管され
ているＶ[j]が入力され、有限体上の乗法計算部２０は
第二の暗号文Ｃ[j]2を次の（数４２）のように作成す
る。
【０１７０】
【数４２】
【０１７１】そしてＶ[j]と組として保管部１７に保管
されているＣ[j]1とこのＣ[j]2を暗号文としてＢに送信
する。
されているＣ[j]1とこのＣ[j]2を暗号文としてＢに送信
する。
【０１７２】そして一度使われたＣ[j]1，Ｖ[j]は保管
部１７に保管しておく必要はない。 (14)計算量について 従来例との比較から、前記(9)(10)でエルガマル暗号の
第一の暗号文Ｃ[j]1(ｊ＝1,2, … ,11)を作成するのに
必要な計算量について述べる。第二の暗号文の一部を作
成する計算量についても同様な効果が得られる。
部１７に保管しておく必要はない。 (14)計算量について 従来例との比較から、前記(9)(10)でエルガマル暗号の
第一の暗号文Ｃ[j]1(ｊ＝1,2, … ,11)を作成するのに
必要な計算量について述べる。第二の暗号文の一部を作
成する計算量についても同様な効果が得られる。
【０１７３】（従来例２）と同様にまず初めに、ｇ＾２
i(ｉ＝0,1，…,n-1)を計算しておきそのあとで、Ｋi [j]
＝ ｇ＾ｋi [j](ｉ＝1,2, … ,11 ｊ＝1,2)を計算す
る。
i(ｉ＝0,1，…,n-1)を計算しておきそのあとで、Ｋi [j]
＝ ｇ＾ｋi [j](ｉ＝1,2, … ,11 ｊ＝1,2)を計算す
る。
【０１７４】ｇ＾２i(ｉ＝0,1，… ,n-1)をすべて計算
するのに(ｎ−１)回の有限体上の乗法演算を行なう必要
がある。
するのに(ｎ−１)回の有限体上の乗法演算を行なう必要
がある。
【０１７５】つぎに、＆ｋi [j] ＝ 平均(1/4)*ｎと考え
られるので、ただし、＆ｒ ＝ ｒを２進数展開したとき
に１の立っているビット数。Ｋi [j] ＝ ｇ＾ｋi [j]を計
算するのにそれぞれ(1/4)*ｎ−１回の有限体上の乗法演
算が必要である。
られるので、ただし、＆ｒ ＝ ｒを２進数展開したとき
に１の立っているビット数。Ｋi [j] ＝ ｇ＾ｋi [j]を計
算するのにそれぞれ(1/4)*ｎ−１回の有限体上の乗法演
算が必要である。
【０１７６】またＫi [j](ｉ＝1,2,3,4,5,6 ｊ＝1,2)か
らＣ[s]1(ｓ＝1,2, … ,11)を作成するのにそれぞれ１
回の有限体上の乗法演算が必要である。よって合計７回
の有限体上の乗法演算が必要である。
らＣ[s]1(ｓ＝1,2, … ,11)を作成するのにそれぞれ１
回の有限体上の乗法演算が必要である。よって合計７回
の有限体上の乗法演算が必要である。
【０１７７】したがってＣ[1]1，Ｃ[2]1，… ,Ｃ[t]1を
作成するのに必要な有限体上の乗法演算は (ｎ−１)＋ｔ/7＊｛（(1/4)*ｎ−１）＊８＋７｝ となる。
作成するのに必要な有限体上の乗法演算は (ｎ−１)＋ｔ/7＊｛（(1/4)*ｎ−１）＊８＋７｝ となる。
【０１７８】有限体上での話では、ｎ ＝ ５１２ とし
てよいので、計算量は
てよいので、計算量は
【０１７９】
【数４３】
【０１８０】となる。（従来例）の中で計算量が最小な
のは、（従来例４）の６個の乱数を一括に処理する方法
で、その計算量はＣ[1]1，Ｃ[2]1，… ,Ｃ[t]1を作成す
る場合で、（数２５）より ｈ6(ｔ) ＝ (209/2)ｔ＋５１１ であった。
のは、（従来例４）の６個の乱数を一括に処理する方法
で、その計算量はＣ[1]1，Ｃ[2]1，… ,Ｃ[t]1を作成す
る場合で、（数２５）より ｈ6(ｔ) ＝ (209/2)ｔ＋５１１ であった。
【０１８１】 209/2 ＝ １０４ 1/2 ＜ １３９ 6/11 ＝ 1535/11 であるから、本発明の計算量のほうが僅かに多くなるこ
とがわかる。
とがわかる。
【０１８２】しかし前述のようにＫi [j](ｉ＝1,2,3,4,
5,6 ｊ＝1,2)を計算するときに（従来例４）の６個の
乱数を一括に処理する方法で行なえば、計算量は次のよ
うになる。
5,6 ｊ＝1,2)を計算するときに（従来例４）の６個の
乱数を一括に処理する方法で行なえば、計算量は次のよ
うになる。
【０１８３】Ｋ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]，
Ｋ5 [1]，Ｋ6 [1]を一括で処理する場合、 ＃Γ(Ｔ)[6] ＝ (1/128)*ｎ Ｔ ∈ Ｐ（Ｚ(６)）− φ と考えられるので、各Ｕ(Ｔ)[6] （Ｔ ∈ Ｐ（Ｚ(６)）
− φ）を計算するのに、それぞれ(1/128)*ｎ−１回の
有限体上の乗法演算が必要である。
Ｋ5 [1]，Ｋ6 [1]を一括で処理する場合、 ＃Γ(Ｔ)[6] ＝ (1/128)*ｎ Ｔ ∈ Ｐ（Ｚ(６)）− φ と考えられるので、各Ｕ(Ｔ)[6] （Ｔ ∈ Ｐ（Ｚ(６)）
− φ）を計算するのに、それぞれ(1/128)*ｎ−１回の
有限体上の乗法演算が必要である。
【０１８４】またＵ(Ｔ)[6] （Ｔ ∈ Ｐ（Ｚ(４)）−
φ）からＫ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]，Ｋ5 [1]，Ｋ
6 [1]を作成するのに各３１回の有限体上の乗法演算が必
要である。
φ）からＫ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]，Ｋ5 [1]，Ｋ
6 [1]を作成するのに各３１回の有限体上の乗法演算が必
要である。
【０１８５】＃（Ｐ（Ｚ(６)）− φ） ＝ ６３である
から、Ｋ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]，Ｋ5 [1]，Ｋ6
[1]を一括で処理して計算する場合必要な有限体上の乗
法演算は （(1/128)*ｎ−１）＊６３＋３１＊６ ＝ (63/128)*ｎ＋１２３ となる。
から、Ｋ1 [1]，Ｋ2 [1]，Ｋ3 [1]，Ｋ4 [1]，Ｋ5 [1]，Ｋ6
[1]を一括で処理して計算する場合必要な有限体上の乗
法演算は （(1/128)*ｎ−１）＊６３＋３１＊６ ＝ (63/128)*ｎ＋１２３ となる。
【０１８６】同様にＫ1 [2]，Ｋ2 [2]，Ｋ3 [2]，Ｋ4 [2]，
Ｋ5 [2]，Ｋ6 [2]を計算するのに(63/128)*ｎ＋１２３回
の有限体上の乗法演算が必要であるから、Ｋi [j] ＝ ｇ
＾ｋi [j]を計算するのに合計で、(63/64)*ｎ＋２４６回
の有限体上の乗法演算が必要である。
Ｋ5 [2]，Ｋ6 [2]を計算するのに(63/128)*ｎ＋１２３回
の有限体上の乗法演算が必要であるから、Ｋi [j] ＝ ｇ
＾ｋi [j]を計算するのに合計で、(63/64)*ｎ＋２４６回
の有限体上の乗法演算が必要である。
【０１８７】したがってＣ[1]1，Ｃ[2]1，… ,Ｃ[11]1
を作成するのに必要な有限体上の乗法演算は （(63/64)*ｎ＋２４６）＋１１ ＝ (63/64)*ｎ＋２５７ となる。
を作成するのに必要な有限体上の乗法演算は （(63/64)*ｎ＋２４６）＋１１ ＝ (63/64)*ｎ＋２５７ となる。
【０１８８】よってＣ[1]1，Ｃ[2]1，… ,Ｃ[t]1を作成
するのに必要な有限体上の乗法演算は (ｎ−１)＋ｔ/11＊（(63/64)*ｎ＋２５７） となる。
するのに必要な有限体上の乗法演算は (ｎ−１)＋ｔ/11＊（(63/64)*ｎ＋２５７） となる。
【０１８９】有限体上での話では、ｎ ＝ ５１２ とし
てよいので、計算量は
てよいので、計算量は
【０１９０】
【数４４】
【０１９１】となる。 761/11 ＝ ６９ 2/11 ＜ 209/2 ＝ １０４ 1/2 であるから計算量はｔ ＝ ２２とした場合で、従来例の
最小計算法である６個の乱数を一括に処理する方法が、
２８１０回の有限体上の乗法演算が必要なのに対し、本
発明と６個の乱数を一括に処理する方法を組み合わせた
方法は２０３３回の有限体上の乗法演算しか必要としな
く、約72.3％にまで計算量を作減できる。
最小計算法である６個の乱数を一括に処理する方法が、
２８１０回の有限体上の乗法演算が必要なのに対し、本
発明と６個の乱数を一括に処理する方法を組み合わせた
方法は２０３３回の有限体上の乗法演算しか必要としな
く、約72.3％にまで計算量を作減できる。
【０１９２】また上記の説明では従来例４との組合せに
よる計算量について述べたが、従来例３と組み合わせて
も同様の効果が得られる。
よる計算量について述べたが、従来例３と組み合わせて
も同様の効果が得られる。
【０１９３】なお、この第二の実施例では６個の乱数を
２個ずつに排他的に分割して１１個のエルガマル暗号の
第一の暗号文ならびに第二の暗号文の一部を作成した
が、一般化できる。一般にＬ個の乱数ｋl(ｌ＝1,2, …
,L)をそれぞれｍ(ｋl)個ずつに分割して、Ｍ個以下の
をエルガマル暗号の第一の暗号文ならびに第二の暗号文
の一部を作成しても同様な効果が得られる。ただしＭは
（数４５）で与えられる。
２個ずつに排他的に分割して１１個のエルガマル暗号の
第一の暗号文ならびに第二の暗号文の一部を作成した
が、一般化できる。一般にＬ個の乱数ｋl(ｌ＝1,2, …
,L)をそれぞれｍ(ｋl)個ずつに分割して、Ｍ個以下の
をエルガマル暗号の第一の暗号文ならびに第二の暗号文
の一部を作成しても同様な効果が得られる。ただしＭは
（数４５）で与えられる。
【０１９４】
【数４５】
【０１９５】またこの第二の実施例では、乱数を排他的
に分割したが、その乱数よりも小さい正の整数の和に分
割しても同様な効果が得られる。
に分割したが、その乱数よりも小さい正の整数の和に分
割しても同様な効果が得られる。
【０１９６】（第三の実施例） ・有限体上のエルガマル署名における演算器 図３は本発明の第三の実施例における有限体上のエルガ
マル署名における演算器の構成を示すものである。同図
において２１は乱数生成部、２２は前記２１の乱数生成
部から供給される２個以上の乱数の少なくとも１個以上
の乱数を２個以上の部分乱数に分割する乱数分割部、２
３はビット指定部、２４は前記２２の乱数分割部から出
力される前記部分乱数を有限体上の特定元に作用させた
構成元を作成する有限体上のべき乗計算部、２５は前記
２４の有限体上のべき乗計算部から出力される２個以上
の前記構成元に対して前記有限体上の乗法演算を組み合
わせて有限体上の元を作成する第一の署名文生成部、２
６は組合せ指定部、２７は保管部、２８は有限体上の乗
法計算部、２９は第二の署名文生成部である。
マル署名における演算器の構成を示すものである。同図
において２１は乱数生成部、２２は前記２１の乱数生成
部から供給される２個以上の乱数の少なくとも１個以上
の乱数を２個以上の部分乱数に分割する乱数分割部、２
３はビット指定部、２４は前記２２の乱数分割部から出
力される前記部分乱数を有限体上の特定元に作用させた
構成元を作成する有限体上のべき乗計算部、２５は前記
２４の有限体上のべき乗計算部から出力される２個以上
の前記構成元に対して前記有限体上の乗法演算を組み合
わせて有限体上の元を作成する第一の署名文生成部、２
６は組合せ指定部、２７は保管部、２８は有限体上の乗
法計算部、２９は第二の署名文生成部である。
【０１９７】以下同図を参照しながら実施例の手順を説
明する。この例は初めに６個の乱数が入力された後、１
１個の乱数をシステムの公開鍵に作用させた値を出力す
るという例である。 (15)乱数分割 乱数生成部２１から乱数ｋ1,ｋ2,ｋ3,ｋ4,ｋ5,ｋ6 が６
個供給されて、乱数分割部２２に入力される。もう一
方、ビット指定部２３からビット分割情報Ｔ1,Ｔ 2,Ｔ3,
Ｔ4,Ｔ5,Ｔ6 が乱数分割部２２に入力される。ここでＺ
0(n-1) ＝ ｛ 0,1，… ,n-1 ｝とすると、ビット分割情
報Ｔ1,Ｔ2,Ｔ3,Ｔ4はＺ0(n-1)の部分集合である。乱数
分割部２２は、乱数ｋi(ｉ＝1,2,3,4,5,6)をビット分割
情報Ｔi(ｉ＝1,2,3,4,5,6)により次のように部分乱数ｋ
i [1],ｋi [2](ｉ＝1,2,3,4,5,6)に分割する。すなわち、
乱数ｋi(ｉ＝1,2,3,4,5,6)の２進数展開を（ａ[i]n-1，
… ,ａ[i]0）(ｉ＝1,2,3,4,5,6)とし、部分乱数ｋi [1],
ｋi [2](ｉ＝1,2,3,4,5,6)の２進数展開をそれぞれ（ｂ
[i]n-1，… ,ｂ[i]0），（ｃ[i]n-1，… ,ｃ[i]0）とす
るとき、ｂ[i]j，ｃ[i]j (ｉ＝1,2,3,4,5,6 ｊ＝0,1,
… ,n-1)を次の（数４６）（数４７）の規則によって定
める。
明する。この例は初めに６個の乱数が入力された後、１
１個の乱数をシステムの公開鍵に作用させた値を出力す
るという例である。 (15)乱数分割 乱数生成部２１から乱数ｋ1,ｋ2,ｋ3,ｋ4,ｋ5,ｋ6 が６
個供給されて、乱数分割部２２に入力される。もう一
方、ビット指定部２３からビット分割情報Ｔ1,Ｔ 2,Ｔ3,
Ｔ4,Ｔ5,Ｔ6 が乱数分割部２２に入力される。ここでＺ
0(n-1) ＝ ｛ 0,1，… ,n-1 ｝とすると、ビット分割情
報Ｔ1,Ｔ2,Ｔ3,Ｔ4はＺ0(n-1)の部分集合である。乱数
分割部２２は、乱数ｋi(ｉ＝1,2,3,4,5,6)をビット分割
情報Ｔi(ｉ＝1,2,3,4,5,6)により次のように部分乱数ｋ
i [1],ｋi [2](ｉ＝1,2,3,4,5,6)に分割する。すなわち、
乱数ｋi(ｉ＝1,2,3,4,5,6)の２進数展開を（ａ[i]n-1，
… ,ａ[i]0）(ｉ＝1,2,3,4,5,6)とし、部分乱数ｋi [1],
ｋi [2](ｉ＝1,2,3,4,5,6)の２進数展開をそれぞれ（ｂ
[i]n-1，… ,ｂ[i]0），（ｃ[i]n-1，… ,ｃ[i]0）とす
るとき、ｂ[i]j，ｃ[i]j (ｉ＝1,2,3,4,5,6 ｊ＝0,1,
… ,n-1)を次の（数４６）（数４７）の規則によって定
める。
【０１９８】
【数４６】
【０１９９】
【数４７】
【０２００】このとき ｋi ＝ ｋi [1]＋ｋi [2] (ｉ＝1,2,3,4,5,6) が成り立つ。 (16)エルガマル署名の第一の署名文の構成元の作成 乱数分割部２２から出力される部分乱数ｋi [1],ｋ
i [2](ｉ＝1,2,3,4,5,6)は、有限体上のべき乗計算部２
４に供給される。有限体上のべき乗計算部２４は次の
（数４８）のような操作で有限体の値Ｋi [1],Ｋi [2](ｉ
＝1,2,3,4,5,6)を求める。
i [2](ｉ＝1,2,3,4,5,6)は、有限体上のべき乗計算部２
４に供給される。有限体上のべき乗計算部２４は次の
（数４８）のような操作で有限体の値Ｋi [1],Ｋi [2](ｉ
＝1,2,3,4,5,6)を求める。
【０２０１】ｇをシステムの公開鍵である有限体の値と
すると、
すると、
【０２０２】
【数４８】
【０２０３】ここでｇ＾ｋi [j]は（従来例４）に述べた
方法で６個のｇ＾ｋi [j]を一括に処理して計算すること
もできる。
方法で６個のｇ＾ｋi [j]を一括に処理して計算すること
もできる。
【０２０４】このようにして１２個の有限体の値である
第一の署名文の構成元が作成される。 (17)エルガマル署名の第一の署名文の作成 有限体上のべき乗計算部２４から出力された有限体の値
Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6)は、乱数分割部２２
から出力された部分乱数ｋi [1],ｋi [2](ｉ＝1,2,3,4,5,
6)とともに第一の署名文生成部２５に入力される。また
組合せ指定部２６から組み合わせ指定情報Ｑj(ｊ＝1,2,
… ,11)が第一の署名文生成部２５に入力される。
第一の署名文の構成元が作成される。 (17)エルガマル署名の第一の署名文の作成 有限体上のべき乗計算部２４から出力された有限体の値
Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6)は、乱数分割部２２
から出力された部分乱数ｋi [1],ｋi [2](ｉ＝1,2,3,4,5,
6)とともに第一の署名文生成部２５に入力される。また
組合せ指定部２６から組み合わせ指定情報Ｑj(ｊ＝1,2,
… ,11)が第一の署名文生成部２５に入力される。
【０２０５】組み合わせ指定情報Ｑj(ｊ＝1,2, … ,11)
は有限体の値Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6) の中か
らどの２個の値を選びかということを定める情報であ
る。第一の署名文生成部２５はＱj(ｊ＝1,2, … ,11)に
基づき、部分乱数を組み合わせた疑似乱数ｒ[j](ｊ＝1,
2, … ,11)，エルガマル署名の第一の署名文Ｒ[j](ｊ＝
1,2, … ,11)を作成する。その作成方法は例えばＱ
1が、Ｋ2 [1]とＫ4 [2]の２個を選ぶという情報であった
ならば、ｒ[1]，Ｒ[1]は次の（数４９）ならびに（数５
０）で定まるというものである。
は有限体の値Ｋi [1]，Ｋi [2](ｉ＝1,2,3,4,5,6) の中か
らどの２個の値を選びかということを定める情報であ
る。第一の署名文生成部２５はＱj(ｊ＝1,2, … ,11)に
基づき、部分乱数を組み合わせた疑似乱数ｒ[j](ｊ＝1,
2, … ,11)，エルガマル署名の第一の署名文Ｒ[j](ｊ＝
1,2, … ,11)を作成する。その作成方法は例えばＱ
1が、Ｋ2 [1]とＫ4 [2]の２個を選ぶという情報であった
ならば、ｒ[1]，Ｒ[1]は次の（数４９）ならびに（数５
０）で定まるというものである。
【０２０６】
【数４９】
【０２０７】
【数５０】
【０２０８】このようにして、第一の署名文生成部２５
は組み合わせ指定情報Ｑj(ｊ＝1,2,… ,11)に基づき、
部分乱数を組み合わせた疑似乱数ｒ[j](ｊ＝1,2, … ,1
1)，エルガマル署名の第一の署名文Ｒ[j](ｊ＝1,2, …
,11)を作成し、保管部２７に保管する。 (18)エルガマル署名の第二の署名文の構成元の作成 第一の署名文生成部２５から出力されるエルガマル署名
の第一の署名文Ｒ[j](ｊ＝1,2, … ,11)は、有限体上の
乗法計算部２８に供給される。有限体上の乗法計算部２
８は次の（数５１）のような操作で有限体の値Ｘ[j](ｊ
＝1,2, … ,11)を求める。
は組み合わせ指定情報Ｑj(ｊ＝1,2,… ,11)に基づき、
部分乱数を組み合わせた疑似乱数ｒ[j](ｊ＝1,2, … ,1
1)，エルガマル署名の第一の署名文Ｒ[j](ｊ＝1,2, …
,11)を作成し、保管部２７に保管する。 (18)エルガマル署名の第二の署名文の構成元の作成 第一の署名文生成部２５から出力されるエルガマル署名
の第一の署名文Ｒ[j](ｊ＝1,2, … ,11)は、有限体上の
乗法計算部２８に供給される。有限体上の乗法計算部２
８は次の（数５１）のような操作で有限体の値Ｘ[j](ｊ
＝1,2, … ,11)を求める。
【０２０９】ｘAを自分自身の公開鍵である有限体上の
値とすると、
値とすると、
【０２１０】
【数５１】
【０２１１】このようにして有限体上の乗法計算部２８
は１２個の有限体上の値であるエルガマル署名の第二の
署名文の構成元Ｘ[j](ｊ＝1,2, … ,11)を作成し、ｒ
[j]，Ｒ[j](ｊ＝1,2, … ,11)と組にして保管部２７に
保管する。 (19)エルガマル署名の第二の署名文の作成 署名したいメッセージｍ[j]が第二の署名文生成部２９
に入力されると、保管部２７から組として保管されてい
るｒ[j]，Ｒ[j]，Ｘ[j]が第二の署名文生成部２９に入
力される。第二の署名文生成部２９は次の（数５２）を
満たすｓ[j]を計算する。
は１２個の有限体上の値であるエルガマル署名の第二の
署名文の構成元Ｘ[j](ｊ＝1,2, … ,11)を作成し、ｒ
[j]，Ｒ[j](ｊ＝1,2, … ,11)と組にして保管部２７に
保管する。 (19)エルガマル署名の第二の署名文の作成 署名したいメッセージｍ[j]が第二の署名文生成部２９
に入力されると、保管部２７から組として保管されてい
るｒ[j]，Ｒ[j]，Ｘ[j]が第二の署名文生成部２９に入
力される。第二の署名文生成部２９は次の（数５２）を
満たすｓ[j]を計算する。
【０２１２】
【数５２】
【０２１３】このようにして求まったｓ[j]とｍ[j]なら
びにＲ[j]を受信者に送信する。そして一度使われたｒ
[j]，Ｒ[j]，Ｘ[j]は保管部２７に保管しておく必要は
ない。 (20)計算量について 計算量については、第二の従来例とほとんど同じ計算し
かしていないので前記(14)と全く同じ内容になる。（従
来例４）で述べている６個の乱数に対する処理を同時に
行なう方法と組み合わせれば、従来例の最小計算法に対
し約72.3％にまで計算量を削減できる。
びにＲ[j]を受信者に送信する。そして一度使われたｒ
[j]，Ｒ[j]，Ｘ[j]は保管部２７に保管しておく必要は
ない。 (20)計算量について 計算量については、第二の従来例とほとんど同じ計算し
かしていないので前記(14)と全く同じ内容になる。（従
来例４）で述べている６個の乱数に対する処理を同時に
行なう方法と組み合わせれば、従来例の最小計算法に対
し約72.3％にまで計算量を削減できる。
【０２１４】また上記の説明では従来例４との組合せに
よる計算量について述べたが、従来例３と組み合わせて
も同様の効果が得られる。
よる計算量について述べたが、従来例３と組み合わせて
も同様の効果が得られる。
【０２１５】なお、この第三の実施例では６個の乱数を
２個ずつに排他的に分割して１１個のエルガマル署名の
第一の署名文ならびに第二の署名文の一部を作成した
が、一般化できる。一般にＬ個の乱数ｋl(ｌ＝1,2, …
,Ｌ)をそれぞれｍ(ｋl)個ずつに分割して、Ｍ個以下の
をエルガマル暗号の第一の署名文ならびに第二の署名文
の一部を作成しても同様な効果が得られる。ただしＭは
（数５３）で与えられる。
２個ずつに排他的に分割して１１個のエルガマル署名の
第一の署名文ならびに第二の署名文の一部を作成した
が、一般化できる。一般にＬ個の乱数ｋl(ｌ＝1,2, …
,Ｌ)をそれぞれｍ(ｋl)個ずつに分割して、Ｍ個以下の
をエルガマル暗号の第一の署名文ならびに第二の署名文
の一部を作成しても同様な効果が得られる。ただしＭは
（数５３）で与えられる。
【０２１６】
【数５３】
【０２１７】またこの第三の実施例では、乱数を排他的
に分割したが、その乱数よりも小さい正の整数の和に分
割しても同様な効果が得られる。
に分割したが、その乱数よりも小さい正の整数の和に分
割しても同様な効果が得られる。
【０２１８】
【発明の効果】以上に説明したように本発明は、従来の
技術以上の速さで有限可換群上の特定元に乱数を作用さ
せた有限可換群の元を作成できる。従来例と組み合わせ
ることにより、従来の技術で最小の計算量である方法に
比べて計算量が約７２％になる、すなわち同じ時間内で
処理できる予備処理量は従来の技術に比べ1.39倍にな
る。よって予備計算をする回数が減り、その実用的価値
は大きい。
技術以上の速さで有限可換群上の特定元に乱数を作用さ
せた有限可換群の元を作成できる。従来例と組み合わせ
ることにより、従来の技術で最小の計算量である方法に
比べて計算量が約７２％になる、すなわち同じ時間内で
処理できる予備処理量は従来の技術に比べ1.39倍にな
る。よって予備計算をする回数が減り、その実用的価値
は大きい。
【図１】第一の実施例の楕円曲線を用いたエルガマル暗
号における演算器の構成図
号における演算器の構成図
【図２】第二の実施例の有限体上のエルガマル暗号にお
ける演算器の構成図
ける演算器の構成図
【図３】第三の実施例の有限体上のエルガマル署名にお
ける演算器の構成図
ける演算器の構成図
１，１１，２１ 乱数生成部 ２，１２，２２ 乱数分割部 ３，１３，２３ ビット指定部 ４，８ 楕円曲線上の整数作用部 ５，９，１５，１９ 暗号文生成部 ６，１６，２６ 組合せ指定部 ７，１７，２７ 保管部 １０ 楕円曲線上の楕円曲線上の加法演算部 １４，１８，２４ 有限体上のべき乗計算部 ２０，２８ 有限体上の乗法計算部 ２５，２９ 署名文生成部
フロントページの続き (58)調査した分野(Int.Cl.7，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 G06F 7/58 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ) ＷＰＩ（ＤＩＡＬＯＧ)
Claims (4)
- 【請求項１】有限可換群を定義する演算により、前記有
限可換群の特定元に異なる乱数を作用させ前記有限可換
群の別の元を作成する演算器であって、 ２個以上の乱数の少なくとも１個以上の乱数を２個以上
の部分乱数に分割する乱数分割部と、 前記乱数分割部から出力される前記部分乱数を前記有限
可換群の前記特定元に作用させた構成元を作成する整数
作用部と、 前記整数作用部から出力される２個以上の前記構成元に
対して前記有限可換群の定義演算とその逆元演算の両方
またはその一方の演算を組み合わせて前記有限可換群の
元を作成する作用元生成部とを備えたことを特徴とする
有限可換群における演算器。 - 【請求項２】有限体上定義された楕円曲線Ｅ上の元で構
成される有限可換群をＥ(Ｇ)とするとき、Ｅ(Ｇ)を定義
する演算により、前記Ｅ(Ｇ)の特定元に異なる乱数を作
用させ前記Ｅ(Ｇ)の別の元を作成する演算器であって、 ２個以上の乱数の少なくとも１個以上の乱数を２個以上
の部分乱数に分割する乱数分割部と、 前記乱数分割部から出力される前記部分乱数を前記有限
可換群の前記特定元に作用させた構成元を作成する整数
作用部と、 前記整数作用部から出力される２個以上の前記構成元に
対して前記楕円曲線Ｅ上の加法演算または減法演算組み
合わせて前記Ｅ(Ｇ)の元を作成する作用元生成部とを備
えたことを特徴とする請求項１記載の有限可換群におけ
る演算器。 - 【請求項３】有限体上を定義する演算により、前記有限
体の特定元に異なる乱数を作用させ前記有限体の別の元
を作成する演算器であって、 ２個以上の乱数の少なくとも１個以上の乱数を２個以上
の部分乱数に分割する乱数分割部と、 前記乱数分割部から出力される前記部分乱数を前記有限
体の前記特定元に作用させた構成元を作成する整数作用
部と、 前記整数作用部から出力される２個以上の前記構成元に
対して前記有限体上の乗法演算を組み合わせて前記有限
体の元を作成する作用元生成部とを備えたことを特徴と
する請求項１記載の有限可換群における演算器。 - 【請求項４】生成する有限可換群の元の個数を部分乱数
の総数よりも少なくする組合せ指定部を備えたことを特
徴とする請求項１か請求項２か請求項３のいずれかに記
載の有限可換群における演算器。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP04199415A JP3123820B2 (ja) | 1992-07-27 | 1992-07-27 | 有限可換群における演算器 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP04199415A JP3123820B2 (ja) | 1992-07-27 | 1992-07-27 | 有限可換群における演算器 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH0643808A JPH0643808A (ja) | 1994-02-18 |
| JP3123820B2 true JP3123820B2 (ja) | 2001-01-15 |
Family
ID=16407429
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP04199415A Expired - Fee Related JP3123820B2 (ja) | 1992-07-27 | 1992-07-27 | 有限可換群における演算器 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3123820B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH0639721U (ja) * | 1990-11-13 | 1994-05-27 | 能臣 山田 | ストロー入容器 |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7567669B2 (en) | 1996-05-17 | 2009-07-28 | Certicom Corp. | Strengthened public key protocol |
| GB9713138D0 (en) * | 1997-06-20 | 1997-08-27 | Certicom Corp | Accelerated finite field operations on an elliptic curve |
| WO1999020020A1 (en) * | 1997-10-14 | 1999-04-22 | Certicom Corp. | Key validation scheme |
| US7215773B1 (en) | 1998-10-14 | 2007-05-08 | Certicom.Corp. | Key validation scheme |
| JP6894979B2 (ja) * | 2017-02-24 | 2021-06-30 | エヌイーシー ラボラトリーズ ヨーロッパ ゲーエムベーハー | 分散型ブロックチェーンコンセンサスネットワークにおいて新しいブロックに署名する方法 |
-
1992
- 1992-07-27 JP JP04199415A patent/JP3123820B2/ja not_active Expired - Fee Related
Non-Patent Citations (1)
| Title |
|---|
| Ａｍｏｓ Ｆｉａｔ，"Ｂａｔｃｈ ＲＳＡ，"Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．４２５，（１９９０），ｐｐ．１７５−１８５ |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH0639721U (ja) * | 1990-11-13 | 1994-05-27 | 能臣 山田 | ストロー入容器 |
Also Published As
| Publication number | Publication date |
|---|---|
| JPH0643808A (ja) | 1994-02-18 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| AU677269B2 (en) | A cryptographic method | |
| Harn | Public-key cryptosystem design based on factoring and discrete logarithms | |
| US8184803B2 (en) | Hash functions using elliptic curve cryptography | |
| Almaiah et al. | A new hybrid text encryption approach over mobile ad hoc network | |
| US6243467B1 (en) | Method of elliptic curve cryptographic digital signature generation and verification using reduced base tau expansion in non-adjacent form | |
| CN109039640B (zh) | 一种基于rsa密码算法的加解密硬件系统及方法 | |
| JP4137385B2 (ja) | 公開鍵および秘密鍵による暗号化方法 | |
| US20120221858A1 (en) | Accelerated Key Agreement With Assisted Computations | |
| US6898284B2 (en) | Cryptographic identification and digital signature method using efficient elliptic curve | |
| KR20000071078A (ko) | 유한 필드상의 이산 대수 암호시스템의 원분 다항식 구조 | |
| Zheng et al. | Practical approaches to attaining security against adaptively chosen ciphertext attacks | |
| CN109450640B (zh) | 基于sm2的两方签名方法及系统 | |
| Vanstone et al. | Elliptic curve cryptosystems using curves of smooth order over the ring Z/sub n | |
| US6769062B1 (en) | Method and system of using an insecure crypto-accelerator | |
| US6993136B2 (en) | Cryptographic key exchange method using efficient elliptic curve | |
| US6480606B1 (en) | Elliptic curve encryption method and system | |
| Lim et al. | A generalized Takagi-cryptosystem with a modulus of the form prqs | |
| CN114172651B (zh) | 一种sm9公钥加密算法、解密算法的gpu加速实现方法 | |
| JP3123820B2 (ja) | 有限可換群における演算器 | |
| EP2493112B1 (en) | Accelerated key agreement with assisted computations | |
| EP2395698A1 (en) | Implicit certificate generation in the case of weak pseudo-random number generators | |
| US20020025034A1 (en) | Cryptographic encryption method using efficient elliptic curve | |
| US7505585B2 (en) | Method of generating cryptographic key using elliptic curve and expansion in joint sparse form and using same | |
| KR20010000048A (ko) | ｍ진법 방식을 이용한 타원곡선상 다중 점의 상수고속연산 방법 | |
| Scheidler | Cryptography in quadratic function fields |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| LAPS | Cancellation because of no payment of annual fees |