JP3137190B2 - メッセージ変換方法 - Google Patents

Description

【発明の詳細な説明】 ［発明の目的］ （産業上の利用分野） 本発明は、暗号を利用するデータ通信等に適用可能な
メッセージ変換方法に関する。

（従来の技術） 暗号が提供するセキュリティ・サービスを利用する場
合、鍵情報をいかに安全に利用者に配送するか、または
鍵情報をどのように保管するかは重要な問題である。

1978年にRivest等によって提案された公開鍵暗号RSA
（R.L.Rivest,A.Shamir and L.Adlman:“A method of o
btaining digital signatures and cryptosysytems",Co
mm.of ACM,pp.120−126″）はこのような鍵配送問題の
かなりの部分を解決できる暗号方式として注目される。
RSA暗号は本発明の基盤をなすので、ここで詳しく説明
する。

鍵生成 まず、任意の相異なる大きな素数ｐとｑを生成する。
生成したｐとｑの積としてｎ＝ｐ・ｑを作る。また、
ｐ、ｑよりＬ＝λ（ｎ）＝LCM（ｐ−１、ｑ−１）を求
める。ここでλはカーマイケル関数を表し、LCM（ｐ−
１、ｑ−１）はｐ−１、ｑ−１の間の最小公倍数を表
す。次にＬと互いに素な適当な整数ｅを選び（３≦ｅ≦
Ｌ−１）、法Ｌの下でのｅの乗法逆元ｄを求める。

ｅ・ｄ≡１ mod Ｌ （１） このようにして生成された（ｅ、ｎ）が暗号化の鍵で
あり、復号化は（ｄ、ｎ）を用いて行うことができる。

暗号化と復号化 平文Ｍと暗号Ｃは共にｎ未満の整数である。暗号化は
次のようにして行う。

Ｃ＝M^emod.n （２） また、ＣからＭは次のようにして求められる。

Ｍ＝C^dmod.n （３） この復号化の変換は、受信者の秘密情報であるｐ、ｑ
を利用すると高速化することができる。その方法につい
てはJ.J.Quisquater等による文献“Fast decipherment
algorithm for RSA publickey cryptosytem",Electron.
Lett.,18,21,pp,905−907（Oct.1982）に詳しく述べら
れている。

式（３）の値を計算するのに法ｎの下で直接求めるの
ではなく、まず、法ｐとｑの下で計算を進めておき、得
られた結果から中国剰余定理を利用して平文を求めるの
である。（中国剰余定理については、たとえば池野・小
山著「現代暗号理論」電子通信学会編（p19）を参
照。） この方法を具体的に説明するために、C₁、C₂、d₁、
d₂、m₁、m₂を次のように定義する。

C₁＝Ｃ mod.p、C₂＝Ｃ mod.q （４） d₁＝ｄ mod.（ｐ−１）、d₂＝ｄ mod.（ｑ−１）
（５） m₁＝Ｍ mod.p、m₂＝Ｍ mod.q （６） この時、次式が成立する。

m₁＝C₁ ^d1mod.p （７） m₂＝C₂ ^d2mod.q （８） これより平文Ｍは次の連立合同式の根として求められ
る。

Ｍ≡m₁（mod.p） （９） Ｍ≡m₂（mod.q） （10） RSA暗号は以上のような手続きで実現されるが、ここ
でのこの暗号の要点を整理すると、 A.各人ごと異なる公開鍵はｅ、ｎはリストのような形で
公開されており、だれでもアクセスできる。

B.秘密鍵ｄ、ｐ、ｑ、λ（ｎ）は個人の秘密であり、他
人に知られないように十分注意する必要がある。

C.暗号化機能のほかに署名機能がある。

D.RSA暗号の安全性を保障するためには秘密鍵ｐ、ｑの
桁数を各々十進百桁程度の大きさに選ぶ必要がある。ｎ
はこの場合、十進二百桁程度の数になり、RSAの暗号化
・復号化変換は膨大な処理量の計算となる。

多くの人が加入するネットワークでRSA暗号の利点を
最大限に引出せる運用法としては、各人に個別に鍵を発
行して、可搬の記憶媒体にその鍵を記憶させ、それを各
自が持ち歩くのがよい。この時、上記Ｂに述べた点は運
用上非常に重要である。Ｂの条件を満足させることので
きる個人の秘密鍵の格納媒体としては、ICカードが携帯
性のある個人対応の計算装置および記憶装置として最も
好適である。しかしながら、実際にICカードを利用した
RSA暗号のシステムを構築しようとすると次のような二
つの問題が生ずる。

ICカードに鍵を格納した場合、上記Ｂの要求から、理
想的にはICカード内でRSAの復号変換および署名作成を
行うのが良い。ICカードにはパスワード照合によるアク
セス制御機能があるので、ICカード内で変換を行えば
ｄ、ｐ、ｑ、λ（ｎ）がICカード外に洩れる心配はなく
なるからである。しかしながら、現状では上記Ｄに述べ
たことおよびICカードの計算力不足が理由でRSA暗号の
変換をICカードで行った場合に、実用上十分な処理速度
を達成することができない。これは前記Quisquater等の
高速化手法を用いても同様である。また、RSA専用の高
速演算LSIをICカードに実装することも考えられるが、
カードコストの増大は避けられない。

一方、ICカードを単にアクセス制御機能のある、鍵メ
モリとして利用することは容易である。手間のかかる暗
号変換は計算能力の高いICカード外の装置、たとえば端
末装置に行わせることによって実用的な処理速度を達成
可能である。しかし、この場合にはｄを端末装置に渡す
ことになるので、端末装置の設計および維持管理に十分
な注意を怠ると、端末装置経由でｄが他人に洩れる恐れ
がある。また、偽の端末装置によって知らぬ間にｄを盗
まれるかもしれない。

このような二つの問題点を解決するために、最近、端
末装置には秘密鍵ｄに関する情報をもたらさずに、端末
装置の計算力のみを借りてICカードが効率よくRSAの暗
号変換を行える手段が提案された。これを提案者らにな
らって以下「依頼計算法」と呼ぶことにする。依頼計算
そのものはひろい概念であるが、これをRSA暗号の変換
に応用する手法で本発明と関連が深い方式は文献「安全
な計算依頼法について」（加藤、松本、今井、1988年
暗号と情報セキュリティ シンポジウム 資料Ｆ−３、
1988、２月）に示されている。以下、その方式を説明す
るとともに、第７図にその手順を概念的に示す。

準備として、まず次の関係式を満たすr_p、r_q、Ｒを求
める。

r_p＝R^-1mod（ｐ−１） （11） r_q＝R^-1mod（ｑ−１） （12） ただし、χ（ｒ）＝ｌ（ｒ）＋ｗ（ｒ）−２と定義す
るとき、r_p、r_qは、 χ（r_p）＋χ（r_q） （13） が小さい数であるように選ばれる。なお、ｌ（ｒ）はｒ
のビット長、ｗ（ｒ）はｒのハミング重みを表わし、χ
（ｒ）はｒを指数とするべき乗剰余計算に要する剰余乗
算の回数を表わしている。

また、 w_p＝ｑ（q^-1 mod p）mod n、 w_q＝ｐ（p^-1 mod q）mod n （14） も計算しておく。ICカード内にはr_p、r_q、Ｒ、ｄ、ｐ、
ｑ、λ（ｎ）、ｎ、w_p、w_qが記憶されている。

次にICカードはｄの代わりに、 ｄ′＝ｄ・Ｒ modλ（ｎ） （15） を用いて、端末装置に対してＣをｄ′で変換したＭ′の
計算を依頼する（ステップ701、702）。ただし、 Ｍ′＝Ｃ^ｄ′mod n. （16） 端末装置は計算したＭ′をICカードに送り返す（ステ
ップ703）。ICカードはこれを次式によって変換し、平
文Ｍを得る（ステップ704）。Ｍ＝｛（Ｍ′mod p）^rpmo
d p）w_p＋ （Ｍ′mod q）^rqmod q）w_p｝mod n （17） （13）式が小さい値になるようなr_p、r_qを選んでいるの
で、（17）式に現れるべき乗剰余計算は計算力の比較的
小さなICカードでも効率よく計算することができる。ま
た、端末装置に対してはｄを直接示すのではなく、（1
5）式による変換を施したｄ′を見せるだけなので安全
性は高くなる。このように依頼計算によれば、秘密鍵ｄ
の機密性を増しつつ端末装置の計算力を借りて効率良く
復号変換を行うことができる。

さて、実用的なシステムに上記の依頼計算法を適用し
た場合を考察してみることにする。（15）式の変換は事
前に行うことができるので、復号変換開始以降、実際に
行わなければならないのは（16）、（17）式の変換のみ
である。（17）式の変換の右辺は（16）式で計算される
Ｍ′を含んでいるので、（17）式は（16）式の処理が終
わってからでないと実行できない。すなわち、復号変換
の処理時間は、（16）および（17）式の処理に要する演
算時間の和で定まることになる。一方、端末装置が行う
（16）式の変換は、たとえば汎用の高性能汎用16ビット
マイクロプロセッサである180286で実行してもｎが512
ビット程度のときには約30秒の処理時間を要する。した
がって、外部計算装置をよほど高性能の専用マシンで実
現しない限り、ここで説明した依頼計算によって演算時
間を十分小さくすることは不可能である。

以上まとめると、まずRSA暗号は計算の手間が大きい
ので、ICカードのような計算力が比較的小さい装置で実
行させようとすると多大な計算時間を要する。また、RS
Aの計算を高速に行える外部装置を用意して、これを計
算させようとすると、復号変換やディジタル署名作成に
必要な秘密情報を外部装置に知られてしまい、不正使用
される恐れがあった。また「依頼計算」を用いて秘密情
報は外部装置にもらすことなく、外部装置の計算力のみ
を借りて効率よく変換を行う手法が提案されているが、
従来、提案されている方法では、確かにICカードが行う
べき処理の量は減らすことはできるものの、ICカードが
実行する計算と外部装置が行う計算とは同時に並列処理
することができず、外部装置が極めて高速な処理を行う
のでなければ、その効果は半減してしまう方式であっ
た。

（発明が解決しようとする課題） 以上の問題点に鑑み、本発明の目的は、端末装置の処
理とICカードの処理の大部分とを同時に行える方式を提
供することによって、依頼計算に要する処理時間を従来
方式に比べて大幅に短縮させ、さらに、端末装置および
ICカードの処理速度を過剰に速くする必要をなくし、端
末装置のコストおよびICカードのコストを押えることに
ある。

［発明の構成］ （課題を解決するための手段） 本発明は、秘密指数ｄ、及びC^Rmod nの計算量がC^dmod
nの計算量よりも少なくなるように選定された乱数Ｒを
持つ第１の装置と、前記秘密指数ｄも前記乱数Ｒも持た
ない第２の装置とが分担して、メッセージブロックＣを
メッセージブロックＭ＝C^dmod nに変換するメッセージ
変換方法であって、 前記第１の装置が、 ｄ′＝（ｄ−Ｒ）modλ（ｎ） 但し｛λ（ｎ）はｎのカーマイケル関数｝ に従って生成されたｄ′と、法ｎとを前記第２の装置へ
転送する過程と、 前記第２の装置が、この転送されたｄ′及びｎと、前
記メッセージブロックＣとから Ｍ′＝Ｃ^ｄ′mod n を計算する過程と、 前記第１の装置が、C^Rmod nの計算を、前記第２の装
置が前記Ｍ′を計算する過程が終了するのを待たずに開
始する過程と、 前記第１の装置もしくは前記第２の装置が、前記第１
の装置が計算した前記C^Rmod n及び前記第２の装置が計
算した前記Ｍ′を用い、 Ｍ＝Ｍ′・C^Rmod n に従ってＭを計算する過程とを具備することを特徴とす
る。

また、本発明は、秘密指数ｄ、及びC^Rmod nの計算量
がC^dmod nの計算量よりも少なくなるように選定された
乱数Ｒを持つ第１の装置と、前記秘密指数ｄも前記乱数
Ｒも持たない第２の装置とが分担して、メッセージブロ
ックＣをメッセージブロックＭ＝C^dmod nに変換するメ
ッセージ変換方法であって、 前記第１の装置が、 ｙ＝（ｘ−Ｒ）modλ（ｎ） 但し｛λ（ｎ）はｎのカーマイケル関数｝ なるｘからｙへの変換と ｆ（ｘ）＝ｘ・R^-1modλ（ｎ） ｆ（ｘ）＝（ｘ−Ｒ）modλ（ｎ） ｆ（ｘ）＝（ｘ＋Ｒ）modλ（ｎ） のいずれか一つ以上の変換ｆとを合成した変換に従って
ｄから生成されたｄ′と、法ｎとを前記第２の装置へ転
送する過程と、 前記第２の装置が、この転送されたｄ′及びｎと、前
記メッセージブロックＣとから Ｍ′＝Ｃ^ｄ′mod n を計算する過程と、 前記第１の装置が、C^Rmod nの計算を、前記第２の装
置が前記Ｍ′を計算する過程が終了するのを待たずに開
始する過程と、 前記第１の装置もしくは前記第２の装置が、前記第１
の装置が計算した前記C^Rmod nを用い、 ｙ＝ｘ・C^Rmod n なるｘからｙへの変換と、 Ｆ（ｘ）＝x^Rmod n Ｆ（ｘ）＝ｘ・C^Rmod n Ｆ（ｘ）＝ｘ・C^-Rmod n のいずれか一つ以上の、前記変換ｆに対応する変換Ｆと
を合成した変換に従って、前記第２の装置が計算した前
記Ｍ′からＭを計算する過程とを具備することを特徴と
する。

（作用） このように構成されたメッセージ変換方法では、まず
第２装置が知るのは公知のｄ′とｎとＣおよびＭ′のみ
であり、特に秘密鍵ｄを直接知ることができないので、
第２の装置にｄを持ち逃げするなどという不正な機能を
仕組もうとしても不可能となる。また、第１の装置が実
行する演算のうち、Xpi、XqiまたはXiを求める部分は、
第２の装置の演算とは独立に行える。また、乱数r_pi、r
_qiのビット長に制約をつければ、Xpi、Xqiを計算する演
算量も削減できる。

（実施例） 本発明の実施例を以下に述べる。説明の都合上、第１
図に示すように計算依頼側をICカード、計算請負側を端
末装置として以下説明するが、依頼側と請負側は独立な
装置、ソフトなど、この節での説明を越えない範囲で任
意である。また、実施例の説明では暗号文Ｃを平文Ｍに
戻す処理に関する依頼計算として説明するが、同一の変
換で実現されるディジタル署名の作成にも本発明は適用
である。

第２図はこのメッセージ変換方法に用いられる端末装
置２の斜視図である。

同図に示されるようにこの端末装置２は本体１、ディ
スプレイ３、キーボード５、リードライタ７を有してい
る。そしてリードライタ７にICカード９が挿入され、本
体１にフロッピィーディスク11が挿入される。

第３図はICカード９の構成を示すブロック図であり、
このICカード９はI/Oコンタクト13、CPU15、データメモ
リ17、プログラムメモリ19とを有する。

第４図は本体１の構成を示すブロック図であり、この
本体１はディスプレイコントローラ21、中央処理装置2
3、メインメモリ25、第１通信ポート27、第２通信ポー
ト29、フロッピィーディスクドライバ31、キーボード
（I/O）33とを有し、これらが内部データバス35で接続
される。ディスプレイコントローラ21はディスプレイ３
を制御する。中央処理装置23はこの端末装置２全体を制
御する。メインメモリ25はフロッピィーディスク11に記
憶されているデータの蓄積等を行う。

第１通信ポート27は通信回線12に接続され、この通信
回線12は他の端末装置２と接続されている。第２通信ポ
ート29はリードライタ７に接続されている。フロッピィ
ーディスクドライバ31はフロッピィーディスク11を駆動
する。キーボード（I/O）33はキーボード５と接続され
ている。

次にこの端末装置２とICカード９を用いてメッセージ
変換方法について説明する。

まず、準備として（11）、（12）によく似た式（1
8）、（19）を満たす適当な乱数の組r_p、r_q、Ｒを求め
る。

r_p＝Ｒ mod（ｐ−１） （18） r_q＝Ｒ mod（ｑ−１） （19） この時、従来技術と同様に、 χ（r_p）＋χ（r_q） （20） が比較的小さい数であるという制約を課す。

（18）、（19）式の連立方程式は、r_p、r_qを適当に定
めてその後に求めるもので、解の存在条件および解法
は、たとえば、高木貞治：“初等整数論講義",共立出
版,pp.31−35に示されている。この連立方程式の解はＬ
＝LCM（ｐ−１、ｑ−１）を法として唯一定まる。ま
た、必要に応じて、 w_p＝ｑ（q^-1mod p）mod n、 w_q＝ｐ（p^-1mod q）mod n （21） も計算しておく。後に述べるようにw_p、w_qは必ず用意し
なければならない定数ではない。本実施例においてはIC
カード内にはr_p、r_q、ｄ、ｐ、ｑ、λ（ｎ）、ｎ、
ｄ′、w_p、w_qが記憶されている。

本発明の最も単純で、かつ最もその効果が顕著な実施
例として、ｄからｄ′を求める変換を、 ｄ′＝（ｄ−Ｒ）modλ（ｎ） （22） と定義する場合を説明する。

端末装置２の処理フローを示したのが第５図である。

まず、ユーザは端末装置２に向かうとともに、自分の
ICカード９を端末装置２に接続されたICカード９のリー
ダ・ライタ７に挿入する（ステップ501）。

そして、端末装置２の適当なキーを叩き使用開始を端
末装置２に知らせる。この時、同時にリーダ・ライタ７
を介してICカード９にクロックおよび電源が供給され、
適当な初期化（ステップ502）の後にICカード９は通信
待ち状態となる。端末装置２はICカード９のユーザ確認
を行うために、ユーザに対してパスワードの入力を指示
する（ステップ503）。

パスワードが入力されない場合（スッテプ504），時
間をチェックし（ステップ505），時間切れの場合はタ
イムアウトとなり，そうでない場合はステップ503に戻
る。パスワードが入力されるとICカード９にパスワード
が転送され（ステップ506），このパスワードはICカー
ド９内に記憶されている登録パスワードと比較され、照
合結果が端末装置２に転送される（ステップ507）。照
合結果が一致していれば（ステップ508）、ICカード９
は使用可能状態となるが、一致いない場合にはICカード
は使用不能である。ユーザからのコマンド入力があると
（ステップ509）、終了コマンドであるかないかが判断
され（ステップ510），コマンドサブルーチンの実行が
行われる（ステップ511）。

次にコマンドサブルーチンの実行について述べる。

これ以降の手順は、第１図に示されている。

端末装置２はこの暗号文ＣをまずICカード９宛てに伝
送し（ステップ101）、同時にICカード９のメモリに書
込まれているｄ′とｎを読み出す（ステップ102）。端
末装置２はこの二つの情報を用いて暗号文Ｃから、Ｍ′
を次式に従って計算する（ステップ103）。

Ｍ′＝Ｃ^ｄ′mod n （23） 端末装置２は計算したＭ′をICカード９に送る（ステ
ップ105）。

一方、ICカード９は端末装置２の計算と並行して、
（24）〜（26）式に従って定数Ｘを求める（ステップ10
4）。

Xp＝（C mod p）^rpmod ｐ （24） Xq＝（C mod q）^rqmod ｑ （25） を計算し、次式によってＸを求める。

Ｘ＝｛（Xp）^rpmod p）wp ＋（Xq）^rqmod q）wq｝mod n （26） ここで、（24）〜（26）式について補足説明してお
く。

（24）、（25）式はＸに関する連立方程式と見ること
ができるが、中国剰余定理よりこの２式を満たすＸは一
意に定まる。そして、その一解法が（26）式の右辺であ
る。ここでは先に計算したwp、wqなる二つの補助変数を
用いてＸを導出している。

しかし、（24）、（25）を満たすＸの導出法はこれに
限らない。たとえば前出のJ.J.Quisquater等による文献
“Fast decipherment algorithm for RSA public−key
cryptosystem",Electron.Lett.,18,21,pp.905−907（Oc
t.1982）にはこの種の連立方程式の別な解法が示されて
いる。

したがって、（26）式によるＸの導出および補助変数
w_p、w_qの使用は本質的ではなく、（24）、（25）を同時
に満たすＸを求めることのみが本質である。それゆえ、
この実施例が本発明を実際に応用する場合のＸの求め方
を限定するものではない。

さて、ICカード９が本来求めたかった平文Ｍは暗号文
Ｃを、 Ｍ＝C^dmod n （27） と変換して得られるが、このＭは端末装置２が計算した
Ｍ′とICカード９が計算したＸとから次式によって求め
られる（ステップ106）。

Ｍ＝（Ｍ′・Ｘ）mod n （28） この計算は、この例ではICカード９の内部で行われ
る。ICカードは得られたＭを復号結果として端末装置２
に伝送する（ステップ107）。

端末装置２はこれをディスプレイに表示するととも
に、ユーザからの指示で補助記憶装置に書込んで一連の
復号化手続きを終了し、ユーザはリーダ・ライタ７から
ICカード９を抜き取り、作業を終了する。

ここで、本実施例において手続きの過程で知ることの
できる端末装置２はＭとＭ′からＸを容易に求められる
ので、（28）式の計算はICカード９で行わないで端末装
置２で行っても良いことを注意しておく。そのような手
順のときには端末装置２がICカード９にＭ′を伝送する
のではなく、ICカード９が端末装置２に対してＸを伝送
することになる。

以上の手続きの中で、（28）式でＭが正しく計算でき
ることは、以下のように説明される。

まず、（24）〜（26）より、 Ｘ＝C^Rmod n （29） である。これは（従来の技術）でふれた中国剰余定理よ
り明らかである。

一方、 Ｍ′＝Ｃ^ｄ′mod n ＝Ｃ^{（ｄ−Ｒ）modλ（ｎ）}mod n ＝C^d-Rmod n ＝C^dC^-Rmod ｎ （30） （29）、（30）式より、 （Ｍ′・Ｘ）mod n＝（C^dC^-R・C^R）mod n ＝C^dmod n ＝Ｍ （31） これで（28）式が成立つことが示された。

次に、計算の手間について考察する。まず、（18）〜
（22）までの計算は変換を開始する以前に準備しておく
ことができる。暗号文Ｃが与えられ、初めて実行可能な
部分の計算のみを考慮すればよい。Ｃが与えられて以降
実行する手続きとして、 ICカード９が行う、（24）〜（26）式によってＸを求
めること、 端末装置２が行う（23）式の計算、 ICカード９が行う（28）式の計算、 がある。このうち最も演算手段が多いのはの端末装置
２の計算である。具体的にはこの値はλ（ｄ′）で表さ
れるが、ｎが512ビットの場合には、これは最悪で1024
回程度の512ビットのべき乗剰余計算になる。次に、演
算手数が多いのはである。のうち支配的なのは（2
4）、（25）の計算であり、それはχ（r_p）＋χ（r_q）
回の256ビットのべき乗剰余演算である。r_p、r_qを予め
小さく選んでおくことにより、この演算量が押えられ
る。また、ICカードが行うの演算は512ビットの剰余
乗算１回である。全体としての演算が支配的であ
る。さらに、本発明において特に注意すべきは、の手
続きとの手続きが独立であり、同時に並列処理できる
ということである。たとえば、の処理が汎用パソコン
で30秒かかるとするとき、r_p、r_qを適当なビット長に定
めてICカードでのの演算時間を30秒程度にすれば、復
号に要する総演算時間はほぼ30秒となる。〜の処理
に要する時間を各々T1、T2、T3で表すと、一般に総演算
時間Ｔは、 Ｔ＝Max（T1、T2）＋T3 ≒Max（T1、T2） （32） で表せることになる。ただし、Max（Ａ、Ｂ）はＡ、Ｂ
のうち、大きい方を取る関数である。

第１の実施例において、Ｍ′と（Xp、Xq）の組、もし
くはこの組と等価な値を用いてＭを導く手順はここに示
した方法に限らない。別の導出法を次に示す。

Ｍより次の２式から、 Ｍ′_ｐ＝Ｍ′mod p （33） Ｍ′_ｑ＝Ｍ′mod q （34） Ｍ′_ｐ、Ｍ′_ｑを求めて、 M_p＝Ｍ′_ｐ・Xp mod p （35） M_q＝Ｍ′_ｑ・Xq mod q （36） を得る。（35）、（36）を連立させれば所望のＭが得ら
れる。

本発明の第２の実施例として第６図に従って、ｄから
ｄ′を求める変換を、 ｄ′＝（ｄ＋Ｒ）modλ（ｎ） （37） と定義する場合を説明する。これ以降の実施例の説明で
は端末装置２の起動や、ICカード９の初期化に関する説
明は省略し、演算の手続きのみ順序を追って説明する。
Ｒは第１の実施例で用いたものと同じとする。第１の実
施例同様に、端末装置２は外部から与えられた暗号文Ｃ
をICカードに伝送し（ステップ601）、ICカードから
ｄ′、ｎを受取る（ステップ602）。端末装置２は第１
の実施例同様、次式で与えられる、Ｍ′を計算する（ス
テップ603）。

Ｍ′＝Ｃ^ｄ′mod n （38） 端末装置２は計算したＭ′をICカード９に送り返す
（ステップ607）。

一方、ICカード９は、 X_p＝（C mod p）^rpmod ｐ （39） X_q＝（C mod q）^rqmod ｑ （40） を計算し（ステップ604）、次式によってＸを求める
（ステップ605）。

Ｘ＝｛（X_p）^rpmod p）w_p＋ （X_q ^rqmod q）w_q｝mod n （41） さらに、方程式 X^-1・Ｘ＝１ mod ｎ （42） を解いてX^-1を求める（ステップ606）。この解法は拡張
ユークリッドの互除法と呼ばれ、詳細は、たとえば前出
の「現代暗号理論」を参照。

さて、ICカードが本来求めたかった値、Ｍは Ｍ＝C^dmod n （43） であるが、これは端末装置２が計算したＭ′とICカード
が計算したX^-1とから次式によって求められる（ステッ
プ608）。

Ｍ＝（Ｍ′・X^-1）mod n （44） ICカード９は得られた結果を端末装置２に伝送し処理
を終了する（ステップ609）。

（44）式でＭが正しく計算できることは以下のように
説明される。

まず、（35）〜（38）および中国剰余定理より、 X^-1＝C^-Rmod ｎ （45） である。

一方、 Ｍ′＝Ｃ^ｄ′mod n ＝Ｃ^{（ｄ＋Ｒ）modλ（ｎ）}mod n ＝C^d+Rmod n ＝C^dC^Rmod n （46） （29）、（30）式より、 （Ｍ′・X^-1）mod n＝（C^dC^R・C^-R）mod n ＝C^dmod n ＝Ｍ （47） これで（28）式が成立つことが示された。

第２の実施例において、Ｍ′と（Xp、Xq）組もしくは
この組と等価な値を用いてＭを導く手順はここに示した
方法に限らない。

たとえば、予めC^-1を拡張ユークリッドの互除法によ
り計算しておけば、 Xp^-1＝（C^-1mod p）^rpmod ｐ （48） Xq^-1＝（C^-1mod q）^rqmod ｑ （49） が計算でき、これを用いてX^-1を計算できる。Ｍの導出
は（40）式同様に行えば良い。

また、Ｍより次の２式から、 Ｍ′_ｐ＝Ｍ′mod p （50） Ｍ′_ｑ＝Ｍ′mod q （51） Ｍ′_ｐ、Ｍ′_ｑを求めて、 M_p＝Ｍ′_ｐ・X_p ^-1mod p （52） M_q＝Ｍ′_ｑ・X_q ^-1mod q （53） を得る。（48）、（49）を連立させれば所望のＭが得ら
れる。第２の実施例の効果も第１の実施例の説明の最後
に述べたことと同様である。

第３の実施例として、より一般化された方式を説明す
る。第１、第２の実施例では各々カーマイケル関数λ
（ｎ）を法とする代数系の上で唯一の乱数Ｒを用いてい
た。第３の実施例ではｍ個の乱数Ri（ｉ＝１、…、m;m
≧１）を用いた一般形について説明する。まず、各乱数
Riは、各々次の方程式を満たしているとする。

Ri mod p＝r_ip （54） Ri mod q＝r_iq （55） なお、第１の実施例同様、 χ（r_ip）＋χ（r_iq） （56） の大きさに適当な制約を付けるものとする。（54）〜
（56）式よりわかるように、先にr_ip、r_iqを定めて、そ
れからRiを求める。

このようにして求めたRiを用いて次のようなｘからｙ
への変換fiをそれぞれ定める。

ｙ＝fi（Ri,x） （57） このように定めたｍ個の変換を合成した変換を用いて
ｄをｄ′に変換する。

ｄ′＝fm（Rm、…、f2（R2、f1（R1、ｄ））…） （58） fiの具体的定義としては次の３種類を用いることがで
きる。

ｙ＝ｘ・（Ri^-1）modλ（ｎ） （59） ｙ＝（ｘ−Ri）modλ（ｎ） （60） ｙ＝（ｘ＋Ri）modλ（ｎ） （61） （59）式は従来の技術で述べた関数であり、（60）、
（61）式はそれぞれ、第１、第２の実施例で示した関数
である。これらの任意の組合わせを用いて依頼計算を実
現できる。

前の例と上に、（58）式で求めたｄ′をICカード９は
端末装置２に送る。端末装置２は、次式によりＭ′を求
める。

Ｍ′＝Ｃ^ｄ′mod n. （62） 端末装置２はＭ′をICカード９に送り返し、ICカード
９はこれを（58）式の変換手順によって定まるＭ導出の
手順に従ってＭ′からＭを求める。前の例同様（60）
式、（61）式に対応する変換については、端末装置２で
の計算と平行して、 X^pi＝（C mod p）^{r ip}mod p （63） X^qi＝（C mod q）^{r iq}mod q （64） など、Ｍ′からＭを求める変換に必要な値を計算するこ
とができる。本例で具体的にどうしてＭを求めるかは従
来技術および第１、第２の実施例を繰返し適用するだけ
で容易に実現できるので、これ以上の説明は省略するこ
とにする。

［発明の効果］ 以上説明したように本発明によれば、端末装置の処理
とICカードの処理の大部分を同時に行える方式を提供
し、依頼計算に要する処理時間を従来方式に比べて大幅
に短縮することができる。さらに、本発明によれば端末
装置およびICカードの処理速度を過剰に速くする必要が
なく、端末装置のコストおよびICカードコストを押える
ことができる。

【図面の簡単な説明】

第１図は本発明の実施例に係るメッセージ変換方法の処
理フローを示す図、第２図は端末装置２の斜視図、第３
図はICカード９の構成を示すブロック図、第４図は端末
装置２の構成を示すブロック図、第５図は端末装置２の
処理を示すフローチャート、第６図は他の実施例に係る
メッセージ変換方法の処理フローを示す図、第７図は従
来の処理フローを示す図である。 １……本体 ９……ICカード 11……フロッピィーディク 15……CPU 23……中央処理装置 25……メインメモリ

Claims (6)

(57)【特許請求の範囲】
1. 【請求項１】秘密指数ｄ、及びC^Rmod nの計算量がC^dmod
   nの計算量よりも少なくなるように選定された乱数Ｒを
   持つ第１の装置と、前記秘密指数ｄも前記乱数Ｒも持た
   ない第２の装置とが分担して、メッセージブロックＣを
   メッセージブロックＭ＝C^dmod nに変換するメッセージ
   変換方法であって、 前記第１の装置が、 ｄ′＝（ｄ−Ｒ）modλ（ｎ） 但し｛λ（ｎ）はｎのカーマイケル関数｝ に従って生成されたｄ′と、法ｎとを前記第２の装置へ
   転送する過程と、 前記第２の装置が、この転送されたｄ′及びｎと、前記
   メッセージブロックＣとから Ｍ′＝Ｃ^ｄ′mod n を計算する過程と、 前記第１の装置が、C^Rmod nの計算を、前記第２の装置
   が前記Ｍ′を計算する過程が終了するのを待たずに開始
   する過程と、 前記第１の装置もしくは前記第２の装置が、前記第１の
   装置が計算した前記C^Rmod n及び前記第２の装置が計算
   した前記Ｍ′を用い、 Ｍ＝Ｍ′・C^Rmod n に従ってＭを計算する過程とを具備することを特徴とす
   るメッセージ変換方法。
2. 【請求項２】秘密指数ｄ、及びC^Rmod nの計算量がC^dmod
   nの計算量よりも少なくなるように選定された乱数Ｒを
   持つ第１の装置と、前記秘密指数ｄも前記乱数Ｒも持た
   ない第２の装置とが分担して、メッセージブロックＣを
   メッセージブロックＭ＝C^dmod nに変換するメッセージ
   変換方法であって、 前記第１の装置が、 ｙ＝（ｘ−Ｒ）modλ（ｎ） 但し｛λ（ｎ）はｎのカーマイケル関数｝ なるｘからｙへの変換と ｆ（ｘ）＝ｘ・R^-1modλ（ｎ） ｆ（ｘ）＝（ｘ−Ｒ）modλ（ｎ） ｆ（ｘ）＝（ｘ＋Ｒ）modλ（ｎ） のいずれか一つ以上の変換ｆとを合成した変換に従って
   ｄから生成されたｄ′と、法ｎとを前記第２の装置へ転
   送する過程と、 前記第２の装置が、この転送されたｄ′及びｎと、前記
   メッセージブロックＣとから Ｍ′＝Ｃ^ｄ′mod n を計算する過程と、 前記第１の装置が、C^Rmod nの計算を、前記第２の装置
   が前記Ｍ′を計算する過程が終了するのを待たずに開始
   する過程と、 前記第１の装置もしくは前記第２の装置が、前記第１の
   装置が計算した前記C^Rmod nを用い、 ｙ＝ｘ・C^Rmod n なるｘからｙへの変換と、 Ｆ（ｘ）＝x^Rmod n Ｆ（ｘ）＝ｘ・C^Rmod n Ｆ（ｘ）＝ｘ・C^-Rmod n のいずれか一つ以上の、前記変換ｆに対応する変換Ｆと
   を合成した変換に従って、前記第２の装置が計算した前
   記Ｍ′からＭを計算する過程とを具備することを特徴と
   するメッセージ変換方法。
3. 【請求項３】特許請求の範囲第１項もしくは第２項記載
   のメッセージ変換方法において、 法ｎの２つの素因数をp,qと表すとき、r_pをべき指数、
   ｐを法とするべき乗剰余演算の演算量が少なくなるよう
   にr_pを定め、r_qをべき指数、ｑを法とするべき乗剰余演
   算の演算量が少なくなるようにr_qを定め、これらr_p及び
   r_qから、 r_p＝Ｒ mod ｐ−１ r_q＝Ｒ mod ｑ−１ なる連立方程式を満たすように前記第１の装置が持つ乱
   数Ｒを定め、 前記第２の装置がC^Rmod nを計算する過程は、 ｐを法としてr_pを用いて計算した第１の結果と、ｑを法
   としてr_qを用いて計算した第２の結果とを用い、中国剰
   余定理に基づいてｎを法とする結果を計算する過程を含
   むことを特徴とするメッセージ変換方法。
4. 【請求項４】秘密指数ｄ、及びC^-Rmod nの計算量がC^dmo
   d nの計算量よりも少なくなるように選定された乱数Ｒ
   を持つ第１の装置と、前記秘密指数ｄも前記乱数Ｒも持
   たない第２の装置とが分担して、メッセージブロックＣ
   をメッセージブロックＭ＝C^dmod nに変換するメッセー
   ジ変換方法であって、 前記第１の装置が、 ｄ′＝（ｄ＋Ｒ）modλ（ｎ） 但し｛λ（ｎ）はｎのカーマイケル関数｝ に従って生成されたｄ′と、法ｎとを前記第２の装置へ
   転送する過程と、 前記第２の装置が、この転送されたｄ′及びｎと、前記
   メッセージブロックＣとから Ｍ′＝Ｃ^ｄ′mod n を計算する過程と、 前記第１の装置が、C^-Rmod nの計算を、前記第２の装置
   が前記Ｍ′を計算する過程が終了するのを待たずに開始
   する過程と、 前記第１の装置もしくは前記第２の装置が、前記第１の
   装置が計算した前記C^-Rmod n及び前記第２の装置が計算
   した前記Ｍ′を用い、 Ｍ＝Ｍ′・C^-Rmod n に従ってＭを計算する過程とを具備することを特徴とす
   るメッセージ変換方法。
5. 【請求項５】秘密指数ｄ、及びC^-Rmod nの計算量がC^dmo
   d nの計算量よりも少なくなるように選定された乱数Ｒ
   を持つ第１の装置と、前記秘密指数ｄも前記乱数Ｒも持
   たない第２の装置とが分担して、メッセージブロックＣ
   をメッセージブロックＭ＝C^dmod nに変換するメッセー
   ジ変換方法であって、 前記第１の装置が、 ｙ＝（ｘ＋Ｒ）modλ（ｎ） 但し｛λ（ｎ）はｎのカーマイケル関数｝ なるｘからｙへの変換と ｆ（ｘ）＝ｘ・R^-1modλ（ｎ） ｆ（ｘ）＝（ｘ−Ｒ）modλ（ｎ） ｆ（ｘ）＝（ｘ＋Ｒ）modλ（ｎ） のいずれか一つ以上の変換ｆとを合成した変換に従って
   ｄから生成されたｄ′と、法ｎとを前記第２の装置へ転
   送する過程と、 前記第２の装置が、この転送されたｄ′及びｎと、前記
   メッセージブロックＣとから Ｍ′＝Ｃ^ｄ′mod n を計算する過程と、 前記第１の装置が、C^-Rmod nの計算を、前記第２の装置
   が前記Ｍ′を計算する過程が終了するのを待たずに開始
   する過程と、 前記第１の装置もしくは前記第２の装置が、前記第１の
   装置が計算した前記C^-Rmod nを用い、 ｙ＝ｘ・C^-Rmod n なるｘからｙへの変換と、 Ｆ（ｘ）＝x^Rmod n Ｆ（ｘ）＝ｘ・C^Rmod n Ｆ（ｘ）＝ｘ・C^-Rmod n のいずれか一つ以上の、前記変換ｆに対応する変換Ｆと
   を合成した変換に従って、前記第２の装置が計算した前
   記Ｍ′からＭを計算する過程とを具備することを特徴と
   するメッセージ変換方法。
6. 【請求項６】特許請求の範囲第４項もしくは第５項記載
   のメッセージ変換方法において、 法ｎの２つの素因数をp,qと表すとき、r_pをべき指数、
   ｐを法とするべき乗剰余演算の演算量が少なくなるよう
   にr_pを定め、r_qをべき指数、ｑを法とするべき乗剰余演
   算の演算量が少なくなるようにr_qを定め、これらr_p及び
   r_qから、 r_p＝Ｒ mod ｐ−１ r_q＝Ｒ mod ｑ−１ なる連立方程式を満たすように第１の装置が持つ乱数Ｒ
   を定め、 第２の装置がC^-Rmod nを計算する過程は、 ｐを法としてr_pを用いて計算した第１の結果と、ｑを法
   としてr_qを用いて計算した第２の結果とを用い、中国剰
   余定理に基づいてｎを法とする結果を計算する過程を含
   むことを特徴とするメッセージ変換方法。