JP3240723B2 - 通信方法、秘密通信方法及び署名通信方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は公開通信ネットワークを
利用しての秘密通信及び署名通信技術に関するものであ
り、特にべき演算を用いる秘密通信及び署名通信方法を
高速に実現する方法に関するものである。

【０００２】

【従来の技術】ＬＡＮ，公衆通信回線、衛星通信等通信
内容の第三者による盗聴、第三者の詐称による使用等を
完全に防止すること、即ち、秘密通信と署名通信の確保
が困難な通信ネットワークシステムにおける多数かつ様
々な装置の秘密通信及び署名通信提供の方法として数値
情報たる公開鍵を使用した暗号方式が採用されている。
本方式は多種類あるがその基本原理は伝達すべき情報を
数値化した上で数値情報たる公開鍵若しくは自己の秘密
鍵等と一定の演算をすることにより暗号化して送信し、
受信した側は共有鍵若しくは受信側の秘密鍵等といわれ
る一定の数値情報を使用して、受信情報に一定の演算を
行なうことにより伝達された情報を数値化された状態で
復号し、しかる後にもとの情報とするもの、伝達すべき
情報を同じく数値化した上で送信側は秘密鍵と呼ばれる
一定の数値を使用して、一定の演算を行なうことにより
送信者自身にしか生成できない署名データを作成した上
で送信し、受信側は数値情報たる公開鍵等を用いてその
署名データの正しさ（あるいは送信者が正当な者である
こと、なお、このため署名通信は認証ともいわれる。）
を確認するもの等である。

【０００３】以下に現在多くの秘密通信に用いられてい
る有限体上のエルガマル暗号の手順について説明する。
このエルガマル暗号は原理が簡単なうえに様々な用途に
供しえるため、広く用いられているものである。図４は
本通信方式の構成を示すものである。以下本図に沿って
この従来例の手順を説明する。

【０００４】（有限体上のエルガマル暗号方式） （１）鍵生成 有限体ＧＦ（ｑ）（ここにＧＦとはガロア体、Galois F
ieldsの意味である）を選ぶ。ここで、ｑは素数ｐのｒ
乗（ｐ**ｒと記述する。すなわち以降の記述において、
「**」は、後続の記号がべき数であることを示す。）で
ある。ｇを有限体ＧＦ（ｑ）の位数の大きな元とする。
この時、ｇとＧＦ（ｑ）がこのシステムの公開情報であ
る。このシステムの任意の装置Ｂは、任意の整数ｘＢを
選び、ＧＦ（ｑ）上で、 ｙＢ＝ｇ**ｘＢ ［１］ を計算する。そして、装置ＢはｘＢを自分の秘密鍵とし
て秘密に保持し、ｙＢを公開情報として全装置に知らせ
る。 （２）暗号化装置 Ａから装置Ｂへ平文ｍを秘密送信する場合を考え
る。装置Ａは同じく整数ｘＡを選び、自己の秘密鍵とし
て秘密に保持する一方、自己の秘密鍵ｘＡと装置Ｂの公
開鍵ｙＢを用いて次の二組の暗号文ｃ１、ｃ２をＧＦ
（ｑ）上で計算することにより作成する。

【０００５】 ｃ１＝ｇ**ｘＡ ［２］ ｃ２＝ｍ×ｙＢ**ｘＡ ［３］ しかる後、装置Ａは装置Ｂにｃ１とｃ２とを公開ネット
ワークを利用して送信する。 （３）復号化装置 Ｂは、自分だけが知っている自分の秘密鍵ｘＢを用
いて次式をＧＦ（ｑ）上で計算してｍを得る。

【０００６】 ｍ＝ｃ２／（ｃ１**ｘＢ） ［４］ 式［８］において、べき演算の性質により、 ｃ１**ｘＢ ＝ （ｇ**ｘＡ）**ｘＢ ＝ （ｇ**ｘＢ）**ｘＡ ＝ ｙＢ**ｘＡ であることから式［４］の復号文は平文に等しくなる。

【０００７】この公開鍵暗号方式が安全であるために
は、（ａ）不正者が第２の装置から第１の装置に対する
通信を傍受しｃ１およびｃ２の数を入手したという仮定
の下で上記平文Ｍを得るという問題、（ｂ）不正者が第
１の装置の公開鍵ｙＢから秘密鍵ｘＢ得るという問題、
の両方が困難であることが必要である。どちらの問題
も、ＧＦ（ｑ）上の一般式 Ｙ＝ｇ**Ｘにおいて、Ｙと
ｇが既知であるときＸを求めるという離散対数問題に帰
着される。従って、前述のようにＧＦ（ｑ）の元の位数
は５１２ビット位の長大な数でなければならない。

【０００８】また、有限体ＧＦ（ｑ）の最も簡単な例と
して、大きな素数ｐを法とする最も小さい正数からなる
完全剰余系、すなわち、０、１、２、…ｐ−１をとるも
のとするならば、ｐの大きさは５１２ビット程度のもの
でなければならない。

【０００９】なお、このエルガマル暗号については電子
通信学会発行 池野信一、小山謙二著「現代暗号理論」
に詳しい。

【００１０】次いで、秘密通信に広く使用される公開鍵
暗号の他の例としてＲＳＡ暗号がある。これはＤ．Ｒｉ
ｖｅｓｔ，Ａ．Ｓｈａｍｉｒ，とＬ．Ａｄｌｅｍａｎの
出願による米国特許第４，４０５，８２９号に述べられ
ている。図５にこの方式の構成を示す。以下本図に沿っ
てこの従来例の手順を説明する。 （１）鍵生成装置 Ｂは大きな素数ｐとｑを生成し、その積ｎを求め
る。さらに、ｐ−１とｑ−１の最小公倍数Ｌを求め、１
＜ｅ＜Ｌ−１でありＬとは互いに素な整数ｅを選び、 ｅｄ＝１（ｍｏｄ Ｌ） ［５］ であるｅの逆元ｄを求める。そして装置Ｂはｎとｅを装
置Ｂの公開鍵として全装置に知らせる。ｐとｑは廃棄
し、ｄは秘密鍵として保管する。 （２）暗号化装置 Ａから装置Ｂへ平文ｍを秘密送信する場合を考え
る。装置Ａは装置Ｂの公開鍵ｎ，ｅを用いて次のべき演
算により暗号文ｃ１をｎを法とする剰余系で計算するこ
とにより作成する。

【００１１】 ｃ１＝ｍ**ｅ （ｍｏｄ ｎ） ［６］ しかる後、装置Ａは装置Ｂにｃ１を公開ネットワークを
利用して送信する。 （３）復号化装置 Ｂは、自分だけが知っている自分の秘密鍵ｄを用い
て次式のべき演算をｎを法とする剰余系で計算してｍを
得る。

【００１２】 ｍ＝ｃ１**ｄ （ｍｏｄ ｎ） ［７］ このとき、数ｅとｄが前述のように構成されているた
め、式［７］の結果の復号文は平文に等しいものとな
る。

【００１３】この方式が安全であるためには、公開鍵ｅ
から秘密鍵ｄを求めることが困難であることが必要であ
る。公開鍵ｅと秘密鍵ｄの間には式［５］の関係があ
る。ここでＬはｐ−１とｑ−１の最小公倍数であること
から、もし、ｐとｑが分かってしまうとＬが分かり、公
開鍵ｅから秘密鍵ｄは簡単に求められてしまう。従っ
て、公開の数である整数ｎはｐとｑに因数分解すること
が困難であることが必要になる。このために、ｐとｑは
それぞれ非常に大きな素数であることが必要とされる。
現在の素因数分解理論および利用できる電子計算機の性
能を考慮すれば、ｐとｑはそれぞれ２５６ビット程度の
大きさが必要であるとされている。

【００１４】次いで相手方の確認、第三者の詐称防止の
ための署名通信に使用されるエルガマル署名について説
明する。図６にこの方式の構成を示す。以下本図に沿っ
てこの従来例の手順を説明する。 （有限体上のエルガマル署名方式） （１）鍵生成 有限体ＧＦ（ｐ）を選ぶ。ここで、ｐは素数である。ｇ
を有限体ＧＦ（ｑ）の原子根とする。この時、ｇとＧＦ
（ｑ）がこの署名方式の公開情報である。このシステム
の任意の装置Ａは、０＜ｘＡ＜ｐの任意の整数ｘＡを選
び、ＧＦ（ｐ）上で、 ｙＡ＝ｇ**ｘＡ ［８］ を計算する。そして、装置ＡはｘＡを自分の秘密鍵とし
て秘密に保持し、ｙＡを公開情報として全装置に知らせ
る。 （２）署名の生成装置 Ａから装置Ｂへ平文ｍの署名を通信する場合を考え
る。すなわち、第三者の詐称ではなく確かにＡからの送
信であるという認証つきの送信をなす場合を考える。こ
こで平文ｍは整数とする。装置Ａは秘密に整数である乱
数ｋを発生させ、自分だけが知るこの乱数ｋを用いて次
のｒを計算する。

【００１５】 ｒ＝ｇ**ｋ ［９］ 次に、装置Ａは自分だけが知る秘密鍵ｘＡとｒと前記乱
数ｋとを用いて次の式を満たすｓを計算する。

【００１６】 ｓ×ｋ≡（ｍ−ｘＡ×ｒ） （ｍｏｄ ｐ−１） ［１０］ しかる後、装置Ａは装置Ｂに平文ｍと署名ｒ、ｓとを公
開ネットワークを利用して送信する。 （３）署名の検証装置 Ｂは、装置Ａの公開鍵ｙＡを用いて、次式が成立す
るか否かを検査する。

【００１７】 ｇ**ｍ ＝ ｙＡ**ｒ × ｒ**ｓ ［１１］ もし、成立すれば、ｍが装置Ａから送られてきたことを
認証する。何故ならば、装置Ａのみが知っている秘密鍵
ｘＡと乱数ｒを知らない限り、装置Ａの公開鍵ｙＡにつ
いての［１１］式の成立するｓの計算は成しえないから
である。ここで式［１０］の右辺のｐ−１は、有限体上
の元ｇの位数であり、式［８］［９］［１１］の演算は
ＧＦ（ｐ）上でおこなわれるものとし、式［１０］は
（ｐ−１）で割った余りが同じ整数を同一と見なして演
算を０以上ｐ−１未満でおこなうものとする。なお、こ
のエルガマル署名については前出の池野、小山著「現代
暗号理論」に詳しい。

【００１８】以上のように従来のネットワーク利用の秘
密通信及び署名通信方法においては、十分な安全性を確
保するために位数の大きな有限体または剰余系において
べき乗演算（べき演算）を行うことが必要となる。べき
演算を効率的に行なう方法として２進計算法と呼ばれる
方法が知られている。これはデーイークヌース著”ジア
ート オブ コンピュータ プログラミング（第２版）
第２巻セミニュメリカルアルゴリズム”(D.E.Knuth,"Th
e Art of Computer Programming (2nd Edition) Vol.2
Seminumerical Algorithm, 1981,ADDISON-WESLEY PUBLI
SHING Co. Inc.)に述べられている。

【００１９】以下にべき演算 ｙ ＝ ｇ**ｘ を２進
計算法により求めるアルゴリズムを示す。ここでｙ、ｇ
はＧＦ（ｑ）の元、ｘは整数である。（２進計算法によ
るべき演算アルゴリズム） （１）ｙ＝１とする。 （２）ｘを２進数展開し、ｘ＝ｘ１＋ｘ２＊２＋．．．
＋ｘＳ＊２**（Ｓ−１）とする。 ここで ｘｉ ＝ ｛０，１｝ （ｉ＝１，，Ｓ）であ
る。 （３）ｉ＝Ｓとする。 （４）ｘｉ＝１ならｙ＝ｙ＊ｇを計算する。 （５）ｉ＝１なら（８）へ。それ以外なら（６）へ。 （６）ｙ＝ｙ＊ｙを計算する。 （７）ｉ＝ｉ−１として（４）へ。 （８）ｙを出力する。（終わり） なお、上記ステップ（４）（６）における＊の記号はＧ
Ｆ（ｑ）上の乗算を示す。

【００２０】上述のエルガマル署名方式の署名の検証ス
テップにおいて式［１１］が成立するかどうかを検査す
ることが必要となる。式［１１］の形であると、３回の
べき乗演算が必要となる。しかし、この式を変形し、 ｇ**（−ｍ）×ｙＡ**ｒ×ｒ**ｓ ＝ １ ［１２］ が成立するか否かを調べてもよい。一般に、ｓ個のＧＦ
（ｐ）の元と正整数の組（Ｘｉ，Ｙｉ）（ｉ＝１，２，
…ｓ）に対してＧＦ（ｐ）の元Ｚを求めるＧＦ（ｐ）上
の演算、 Ｚ＝（Ｘ１**Ｙ１）＊（Ｘ２**Ｙ２）…（ＸＳ**ＹＳ） ［１３］ をｓ次のべき積演算というが、ｓ次のべき積演算は１次
のべき積演算をｓ回行ない、その後にｓ−１回の乗算を
行なうよりも少ない演算回数で行なうことができる。こ
の方法は上記のデーイークヌースの文献の４６５頁に述
べられている。具体例をあげると、ｐが５１２ビットの
数とすると、ｓ＜９でｓ次べき積演算は１次べき積演算
をｓ回くり返すより少ない計算回数しか必要としない。
また、ｓ＞＝９のときには本願出願人による出願中のｓ
次べき積演算方法（特願平３−３１２０１９）を用いる
と１次べき積演算をｓ回くり返すより少ない計算回数し
か必要としない。

【００２１】以下に３次のべき積演算を求める計算例を
示す。ただし、この例では、有限体ＧＦ（ｑ）として十
分大きな素数ｐを法とする最も小さな正数によりなる完
全剰余系、すなわち、０、１、２、…、ｐ−１をとる。
そして有限体上の演算はｐを法とする剰余系上でなされ
るものとする。 （３次べき積演算の例：Ｚ＝２**５＊３**６＊４**７の
計算） （１）（予備計算） （２**ｂ１×３**ｂ２×４**ｂ３）（（ｂ１、ｂ２、ｂ
３）∈｛０，１｝3）をＧＦ（ｐ）上で求め、テーブル
に記憶しておく。すなわち８通りの値がテーブルに格納
される。各値は（ｂ１、ｂ２、ｂ３）をインデックスと
して引き出せる。 （２）（主処理） （ａ）べき数５、６、７を２進数に展開する。５＝（１
０１）２、６＝（１１０）２、７＝（１１１）２であ
る。

【００２２】（ｂ）各べき数の最上位ビットを５、６、
７の順に見ていくと（１、１、１）であるから、テーブ
ルより（２**１×３**１×４**１）を得て、ｔ１にこの
値を代入する。

【００２３】（ｃ）各べき数の上位２番目のビットを
５、６、７の順に見ると、（０、１、１）であるから、
テーブルより（２**０×３**１×４**１）を得て、ｔ２
＝ｔ１**２×（２**０×３**１×４**１）とする。

【００２４】（ｄ）各べき数の上位３番目のビットを
５、６、７の順に見ていくと、（１、０、１）であるか
ら、テーブルより（２**１×３**０×４**１）を得て、
ｔ３＝ｔ２**２×（２**１×３**０×４**１）とする。 （３）結果出力 これ以上処理すべき、べき数のビットがないのでｔ３を
出力ｚに代入する。

【００２５】 このとき、Ｚ＝ｔ３＝ｔ２**２×（２**１×３**０×４**１） ＝（ｔ１**２×（２**０×３**１×４**１））**２×（ ２**１×３**０×４**１） ＝（（２**１×３**１×４**１）**２×（２**０×３** １×４**１））**２×（２**１×３**０×４**１）） ＝２**５×３**６×４**７ となり、計算結果が正しいことがわかる。

【００２６】一般にｓ次のべき積演算（べきのビット数
＝ｋビット）にこの方法を用いた場合の計算量をｐを法
とする乗算の回数で表わすと、高々次の通りとなる。

【００２７】 （２**ｓ−ｓ−１）＋２×（ｋー１） ［１４］ ここで、式［１４］の第１項は（１）の予備計算に必要
な乗算の回数であり、第２項は（２）の主処理に必要な
乗算の回数である。

【００２８】なお、以上に説明したＧＦ（ｑ）上の演算
に基ずく秘密通信及び署名通信方式に対応して、楕円曲
線Ｅ（ＧＦ（ｑ））上定義される秘密通信及び署名通信
方式が考えられる。このようなものを考える理由は、楕
円曲線Ｅ（ＧＦ（ｑ））上定義された暗号方式には、現
時点ではその安全性の根拠となる楕円曲線上の離散対数
問題に決定的な解法がないため、同程度の安全性ならば
より簡単、すなわち高速に実現できるからである。楕円
曲線上定義される暗号方式についてはニイルコブリッツ
著”ア コウス イン ナンバア セオリイ アンド
クリプトグラフィイ”(Neal Koblits, "A Course in Nu
mber Therory and Cryptography",Springer-Verlag, 19
87)に詳しい。また、楕円曲線上定義されるその他の暗
号方式について本願出願人も別途出願中である（特願平
３−３１８８１６）。

【００２９】以下、先に説明した有限体上のエルガマル
暗号に基づく秘密送信の手順に準じた楕円曲線上のエル
ガマル暗号の手順を説明する。なお、図７は楕円曲線上
のエルガマル暗号を使用した秘密通信の構成を示すもの
であり、図４のＧＦ（ｑ）でのエルガマル暗号に対応す
るものである。 （楕円曲線によるエルガマル暗号を使用した秘密通信） （１）鍵生成 有限体ＧＦ（ｑ）上定義された楕円曲線Ｅを選ぶ。ここ
で、ｑは素数ｐのｒ乗ｐ**ｒである。また、楕円曲線Ｅ
の有限体ＧＦ（ｑ）の元で構成される群をＥ（ＧＦ
（ｑ））と表わすことにする。ＧＦ（ｑ）の演算との対
応は以下の通りである。

【００３０】

【表１】

【００３１】次にＧをＥ（ＧＦ（ｑ））上の位数の大き
な元とする。この時、ＧとＥ（ＧＦ（ｑ））がこの暗号
方式の公開情報である。このシステムの任意装置Ｂは、
任意の整数ｘＢを選び、Ｅ（ＧＦ（ｑ））上で、 ＹＢ＝ｘＢ＊Ｇ ［１｀］ を計算する。そして、装置ＢはｘＢを秘密鍵として保持
し、ＹＢを公開鍵として全装置に知らせる。 （２）暗号化装置 Ａから装置Ｂへ平文Ｍを秘密通信する場合を考え
る。装置Ａは秘密に整数ｘＡを選び、自己の秘密鍵とし
て秘密に保持する一方、自己の秘密鍵ｘＡと装置Ｂの公
開鍵ＹＢを用いて次の二組の暗号文Ｃ１、Ｃ２をＥ（Ｇ
Ｆ（ｑ））上で計算することにより作成する。

【００３２】 Ｃ１＝ｘＡ＊Ｇ ［２’］ Ｃ２＝Ｍ＋ｘＡ＊ＹＢ ［３｀］ しかる後、装置Ａは装置ＢにＣ１とＣ２とを公開ネット
ワークを利用して送信する。 （３）復号化装置 Ｂは、自分だけが知っている自分の秘密鍵ｘＢを用
いて次式をＥ（ＧＦ（ｑ））上で計算してＭを得る。

【００３３】 Ｍ＋ｘＢ＊Ｃ１＝Ｃ２ ［４｀］ 以上において平文Ｍ、ＹＢ、Ｇは楕円曲線Ｅ（ＧＦ
（ｑ））上の元とする。

【００３４】以上のように、有限体上の元を楕円曲線上
の元に、もあた有限体上の乗法の演算を楕円曲線上の加
法の演算に対応させることにより、暗号方式の形を変え
ずにその安全性の根拠を、有限体上の離散対数問題か
ら、楕円曲線上の離散対数問題に変換することが可能と
なる。また、前述の対応関係により、ＧＦ（ｑ）の元に
対するべき乗アルゴリズムや、べき積アルゴリズムと同
様のアルゴリズムが楕円曲線上の元に対しても考えられ
る。

【００３５】

【発明が解決しようとする課題】上述の秘密通信及び署
名通信方式において、上記２進計算法によってべき演算
を行なうためには、べき数が５１２ビットの数であると
き、ステップ（４）のＧＦ（ｑ）上の２乗の演算が５１
２回、ステップ（６）のＧＦ（ｑ）上の乗算の演算が平
均２５６回必要となる。２乗の演算を乗算の演算に含め
るものとするとＧＦ（ｑ）上の乗算の演算が平均７６８
回必要になる。いま最も簡単な有限体ＧＦ（ｑ）の例と
して、５１２ビットの大きさの素数ｐを法とする最も小
さい正数よりなる完全剰余系、すなわち、０、１、２、
３、…、ｐ−１をとるものとする。このとき、乗算の演
算とは５１２ビットの正数と５１２ビットの正数の乗算
を行ない、その結果を５１２ビットの正数で割ってその
余りを出力するというものである。この演算を汎用の計
算機のソフトウェアで実現する場合、汎用の計算機が１
回に演算できる乗数および被乗数、あるいは除数や被除
数は例えば３２ビットという小さい値に制限されている
ため、前述のような長大な数の演算を行なうためには長
大な数を３２ビットづつに区切り、区切られた各区間に
対する乗算や除算を繰り返すことが必要となり、このた
め処理時間がかかるものである。そのような演算を７６
８回も繰り返す必要があるため、汎用計算機の計算能力
に制限のある場合、全体の処理時間は通常のマンマシ−
ンインタ−フェイスで許容される時間をはるかに上回り
実用性の無いものとなる。また、演算が有限体ではなく
整数環上で行われても、有限体上定義される楕円曲線上
の元で構成される群で行われても同じ問題が生じる。

【００３６】本発明は以上の問題点を解決するためにな
されたものであり、ネットワーク利用の秘密通信及び署
名通信方式のうちべき演算を用いるものを汎用の計算機
のソフトウェアにより実現する場合に必要となる演算時
間を軽減する手段を提供することを目的とする。

【００３７】

【課題を解決するための手段】上記目的を達成するため
に、請求項１に係る通信方法は、ｑを素数ｐの正整数ｒ
乗とし、ｇを有限体ＧＦ（ｑ）の位数の大きな元とし、
公開のネットワークに接続されている第１の装置が任意
に第１のべき整数ｘＡを選び第１のＧＦ（ｑ）の元ｙ＝
ｇ**ｘＡを求め、これを数値化した第１の通信文を前記
ネットワークに接続されている第２の装置に送信し、こ
の第２の装置は任意に選んだ第２のべき整数ｘＢと前記
第１の通信文から取り出した前記第１のＧＦ（ｑ）の元
ｙとから第２のＧＦ（ｑ）の元、ｗ＝ｙ**ｘＢを求める
演算を含み、ｓを２以上の整数、ｋを正整数、ｚ１，
…，ｚｓを各々２**ｋ未満の非負整数として上記第２の
べき整数ｚをｚ＝ｚ１＋ｚ２＊２**ｋ＋，…，ｚＳ＊２
**（（ｓ−１）＊ｋ）と表わしたとき、前記第１の装置
は、前記第１の通信文以外に、ｙ２＝（ｇ**ｘＡ）**
（２**ｋ），…，ｙＳ＝（ａ**ｘＡ）**（２**（ｓ−
１）＊ｋ））のｓー１個のＧＦ（ｑ）の元を求め、これ
を数値化したｓー１個の通信文を前記第２の装置に送信
し、これを受信した前記第２の装置はＧＦ（ｑ）上で
（ｙ１**ｚ１）＊（ｙ２**ｚ２）＊，…，＊（ｙｓ**ｚ
ｓ）の演算により前記第２のＧＦ（ｑ）の元を求めるこ
とを特徴としている。

【００３８】また、請求項２に係る秘密通信方法は、公
開のネットワークに接続されている第１の装置と第２の
装置の間で秘密通信を行なうに際し、前記第２の装置は
大きな素数ｐとｑを決定し、その積ｎを求め、さらにｐ
−１とｑ−１の最小公倍数をＬとしたときＬとは互いに
素の数である第１のべき数ｅを決定し、法Ｌの剰余系の
元で前記ｅの逆元である第２のべき数ｄを求め、前記整
数ｎと前記第１のべき数ｅを全装置に公開し、前記第２
のべき数ｄを秘密に保管し、前記第１の装置は前記整数
ｎを法とする剰余系Ｒ（ｎ）の元ｍを平文とし、前記第
２の装置の公開した整数ｎと前記第１のべき数ｅを用い
て、Ｒ（ｎ）においてｃ１＝ｍ**ｅを計算してこれを数
値化した通信文を前記第２の装置に送信し、前記第２の
装置はこの通信文から取り出したＲ（ｎ）の元ｃに対し
て前記第２のべき数ｄを用いてＭ＝ｃ１**ｄの演算を行
ない前記平文を復号する秘密通信方法であって、ｓを２
以上の整数、ｋを正整数、ｄ１，…，ｄｓを各々２**ｋ
未満の非負整数として上記第２のべき整数ｄをｄ＝ｄ１
＋ｄ２＊２**ｋ＋，…，ｄｓ＊２**（（ｓ−１）＊ｋ）
と表わしたとき、前記第１の装置は、前記第１の通信文
以外に、ｃ２＝（ｍ**ｅ）**（２**ｋ），…，ｃｓ＝
（ｍ**ｅ）**（２**（ｓ−１）＊ｋ））のｓー１個のＲ
（ｎ）の元を求め、これを数値化したｓー１個の通信文
を前記第２の装置に送信し、これを受信した前記第２の
装置はＲ（ｎ）上で（ｃ１**ｄ１）＊（ｃ２**ｄ２）
＊，…，＊（ｃｓ**ｄｓ）の演算により前記平文を復号
することを特徴としている。

【００３９】また、請求項３に係る署名通信方法は、公
開のネットワークに接続されている第１の装置と第２の
装置の間で署名通信を行なうに際し、前記第２の装置は
大きな素数ｐとｑを決定し、その積ｎを求め、さらにｐ
−１とｑ−１の最小公倍数をＬとしたときＬとは互いに
素の数である第１のべき数ｅを決定し、法Ｌの剰余系の
元で前記ｅの逆元である第２のべき数ｄを求め、前記整
数ｎと前記第１のべき数ｅを全装置に公開し、前記第２
のべき数ｄを秘密に保管し、前記第２の装置は前記整数
ｎを法とする剰余系Ｒ（ｎ）の元ｍである平文に対し
て、前記第２の装置の公開した整数ｎと前記第２のべき
数ｄを用いて、Ｒ（ｎ）においてｃ１＝ｍ**ｄを計算し
て得た署名文を前記平文とともに前記第１の装置に送信
し、前記第１の装置はこの通信文から取り出したＲ
（ｎ）の元である署名文ｃ１に対して前記第１のべき数
ｅを用いてＭ＝ｃ１**ｅの演算を行ないこの結果のＲ
（ｎ）の元Ｍと前記平文ｍとが一致したときに前記第１
の装置および前記平文の正当性を認証する署名通信方法
であって、ｓを２以上の整数、ｋを正整数、ｅ１，…，
ｅｓを各々２**ｋ未満の非負整数として上記第１のべき
整数ｅをｅ＝ｅ１＋ｅ２＊２**ｋ＋，…，ｅｓ＊２**
（（ｓ−１）＊ｋ）と表わしたとき、前記第２の装置
は、前記第１の署名文以外に、ｃ２＝（ｍ**ｄ）**（２
**ｋ），…，ｃｓ＝（ｍ**ｄ）**（２**（ｓ−１）＊
ｋ））のｓー１個のＲ（ｎ）の元を求め、これを数値化
したｓー１個の署名文を前記第１の装置に送信し、これ
を受信した前記第１の装置はＲ（ｎ）上で（ｃ１**ｅ
１）＊（ｃ２**ｅ２）＊，…，＊（ｃｓ**ｅｓ）の演算
により前記Ｒ（ｎ）の元Ｍを得ることを特徴としてい
る。

【００４０】また、請求項４に係る通信方法は、ｐを素
数とし、有限体ＧＦ（ｐ）を定義体にもつ楕円曲線Ｅの
ＧＦ（ｐ）上の元で構成される群をＥ（ＧＦ（Ｐ））と
し、数値化した通信文若しくは署名をＥ（ＧＦ（ｐ））
の元と演算をなすことにより秘密通信若しくは署名通信
をなす通信方法であって、ＧをＥ（ＧＦ（ｐ））上の位
数の大きな元とし、公開のネットワークに接続されてい
る第１の装置が任意に第１のべき整数ｘＡを選び第１の
Ｅ（ＧＦ（ｐ））の元Ｙ１＝ｘＡ＊Ｇを求め、これを数
値化した第１の通信文を前記ネットワークに接続されて
いる第２の装置に送信し、この第２の装置は任意に選ん
だ第２のべき整数ｘＢと前記第１の通信文から取り出し
た前記第１のＥ（ＧＦ（ｐ））の元Ｙとから第２のＥ
（ＧＦ（ｐ））の元、Ｗ＝ｘＢ＊Ｙ１を求める演算を含
む秘密通信及び署名通信方法であって、ｓを２以上の整
数、ｋを正整数、ｚ１，，ｚｓを各々２**ｋ未満の非負
整数として上記第２のべき整数ｚをｚ＝ｚ１＋ｚ２＊２
**ｋ＋，…，ｚｓ＊２**（（ｓ−１）＊ｋ）と表わした
とき、前記第１の装置は、前記第１の通信文以外に、Ｙ
２＝（２**ｋ×ｘＡ）＊Ｇ，…，ＹＳ＝（２**（ｓ−
１）＊ｋ）×ｘＡ）＊Ｇのｓー１個のＥ（ＧＦ（ｐ））
の元を求め、これを数値化したｓー１個の通信文を前記
第２の装置に送信し、これを受信した前記第２の装置は
Ｅ（ＧＦ（ｐ））上で（ｚ１＊Ｙ１）＋（ｚ２＊Ｙ２）
＋，…，＋（ｚｓ＊Ｙｓ）の演算により前記第２のＥ
（ＧＦ（ｐ））の元を求めることを特徴としている。

【００４１】

【作用】上記構成により、請求項１に係る発明において
は、公開のネットワークに接続されている第１の装置が
任意に第１のべき整数ｘＡを選び第１のＧＦ（ｑ）の元
ｙ１＝ｇ**ｘＡ、ｙ２＝（ｇ**ｘＡ）**（２**ｎ），
…，ｙｓ＝（ａ**ｘＡ）**（２**（ｓ−１）＊ｎ））の
ｓ個のＧＦ（ｑ）の元を求め、これを数値化したｓ個の
通信文を前記第２の装置に送信し、これを受信した前記
第２の装置はＧＦ（ｑ）上で（ｙ１**ｚ１）＊（ｙ２**
ｚ２）＊，…，＊（ｙｓ**ｚｓ）の演算により前記第２
のＧＦ（ｑ）の元を求めることによりネットワーク利用
の秘密通信がなされる。

【００４２】また、請求項２に係る発明においては、公
開のネットワークに接続されている第１の装置は前記ネ
ットワークに接続されている第２の装置の公開した整数
ｎと第１のべき数ｅを用いて、ｃ１＝ｍ**ｅ、ｃ２＝
（ｍ**ｅ）**（２**ｋ），…，ｃｓ＝（ｍ**ｅ）**（２
**（ｓ−１）＊ｋ））のｓ個のＲ（ｎ）の元を求め、こ
れを数値化したｓ個の通信文を前記第２の装置に送信
し、これを受信した前記第２の装置はＲ（ｎ）上で（ｃ
１**ｄ１）＊（ｃ２**ｄ２）＊，…，＊（ｃｓ**ｄｓ）
の演算により平文を復号することによりネットワーク利
用の秘密通信が行われる。

【００４３】また、請求項３に係る発明においては、公
開のネットワークに接続されている第２の装置は数ｎを
法とする剰余系Ｒ（ｎ）の元ｍである平文に対して、前
記第２の装置の公開した整数ｎと第２のべき数ｄを用い
て、ｃ１＝ｍ**ｄ、ｃ２＝（ｍ**ｄ）**（２**ｋ），
…，ｃｓ＝（ｍ**ｄ）**（２**（ｓ−１）＊ｋ））のｓ
個のＲ（ｎ）の元を求め、これを数値化したｓ個の署名
文と前記平文を前記第１の装置に送信し、これを受信し
た前記第１の装置はＲ（ｎ）上で（ｃ１**ｅ１）＊（ｃ
２**ｅ２）＊，…，＊（ｃｓ**ｅｓ）の演算により前記
Ｒ（ｎ）の元Ｍを得ることによりネットワーク利用の署
名通信が行われる。

【００４４】

【実施例】（第１実施例） 本発明をエルガマル暗号方式に適用した場合の実施例に
基づき説明する。図１は本発明のネットワーク利用の暗
号方式の実施例の構成を示すものである。以下、同図を
参照しながら実施例の手順を説明する。 （１）鍵生成 有限体ＧＦ（ｑ）を選ぶ。ここで、ｑは素数ｐのｒ乗ｐ
**ｒである。ｇを有限体ＧＦ（ｑ）の位数の大きな元と
する。この時、ｇとＧＦ（ｑ）がこのシステムの公開情
報である。このシステムの任意の装置Ｂは、長さがｓ×
ｋビットである任意の整数ｘＢを選び、ＧＦ（ｑ）上
で、 ｙＢ＝ｇ**ｘＢ ［１５］ を計算する。そして、装置ＢはｘＢを自分の秘密鍵とし
て秘密に保持し、ｓ，ｋ，ｙＢを公開情報として全装置
に知らせる。 （２）暗号化装置 Ａから装置Ｂへ平文ｍを秘密送信する場合を考え
る。装置Ａは同じく整数ｘＡを選び、自己の秘密鍵とし
て秘密に保持する一方、自己の秘密鍵ｘＡと装置Ｂの公
開鍵ｙＢを用いて次のｓ＋１組の暗号文ｃ１１、ｃ１
２、…、ｃ１Ｓ，ｃ２をＧＦ（ｑ）上で計算することに
より作成する。

【００４５】 ｃ１１＝ｇ**ｘＡ ｃ１２＝ｃ１１**（２**ｋ）＝ｇ**（ｘＡ＊２**ｋ） ………… ［１６ ］ ｃ１Ｓ＝ｃ１Ｓ***（２**ｋ）＝ｇ**（ｘＡ＊（２**（（ｓ−１）×ｋ） ）） ｃ２＝ｍ×ｙＢ**ｘＡ ここでＳ*は添字Ｓ−１を示す。しかる後、装置Ａは装
置Ｂにｃ１１，ｃ１２，…，ｃ１Ｓ，ｃ２１を公開ネッ
トワークを利用して送信する。 （３）復号化装置 Ｂは、自分だけが知っている自分の秘密鍵ｘＢ＝ｘ
Ｂ１＋ｘＢ２×（２**ｋ）＋…＋ｘＢＳ×２**（（ｓ−
１）×ｋ）を用いて次式をＧＦ（ｑ）上で計算してｍを
得る。

【００４６】 ｍ＝ｃ２／（（ｃ１１**ｘＢ１）×（ｃ１２**ｘＢ２）×… … ×（ｃ１Ｓ**ｘＢＳ）） ［１７ ］ 式［１７］において、べき積、（（ｃ１１**ｘＢ１）×
（ｃ１２**ｘＢ２）×…×（ｃ１Ｓ**ｘＢＳ）はｃ１
１、ｃ１２、…、ｃ１ＳとｘＢ１，ｘＢ２，…，ｘＢＳ
の定義によりｃ１１**ｘＢに等しくなり、 ｃ１１**ｘＢ ＝ （ｇ**ｘＡ）**ｘＢ ＝ （ｇ**ｘＢ）**ｘＡ ＝ ｙＢ**ｘＡ であることから式［１７］の復号文は平文に等しくな
る。

【００４７】次に、具体的な例により本実施例の効果を
確かめてみる。いま、ｐを５１２ビット（１０進数で約
１５４桁）の素数とする。有限体ＧＦ（ｐ）として、素
数ｐを法とする最も小さい正数よりなる完全剰余系、す
なわち、０、１、２、３、…、ｐ−１をとるものとす
る。また、ＧＦ（ｐ）の元ｇとしてこの完全剰余系の原
始元をとる。そして、ｓ＝６、ｋ＝８６とする。このと
き、ｓ×ｋ＝５１６＞５１２となる。鍵生成フェーズに
おいて装置Ｂは５１２ビットの二進系列ｘＢをランダム
に選ぶ。そして式［１５］の演算を前述の２進演算法に
より計算して５１２ビットの整数であるｙＢを得る。暗
号化フェーズにおいて装置Ａは５１２ビットの二進系列
ｘＢをランダムに選ぶ。そして式［１６］の演算を前述
の２進演算法により計算して５１２ビットの整数である
ｃ１１、ｃ１２、…、ｃ１６を得る。ｃ１１の計算には
（２乗と乗算の区別はしないで）平均７６８回の乗算が
必要である。ｃ１１からｃ１２を求めるには８５回の乗
算が必要である。ｃ１２からｃ１３を求めるのにも８６
回の乗算が必要である。ｃ２を求めるために平均７６９
回の乗算が必要である。全体では、式［１６］のため
に、７６８＋８５×５＋７６９＝１９６２回の乗算が必
要となる。復号化フェーズにおいて、５１２ビットの２
進系列ｘＢの先頭に４ビットの０が連結され、全体で５
１６ビットの２進系列になり、これが先頭から８６ビッ
トづつ区切られて、ｘＢ１、ｘＢ２、、ｘＢ６となる。
そして式［２１］のべき積演算のためには、式［１４］
より、２**６ー７＋２×（８６ー１）＝２０７回の乗算
が必要となる。式［１７］全体では逆元を求める演算も
必要となる。

【００４８】一方、従来の方法でこの暗号方式を実現し
ようとすると、暗号化のフェーズで式［２］、［３］の
ために７６８＋７６９＝１４３７回の乗算が必要とな
り、復号化のフェーズで式［４］のべき演算のために平
均７６８回の乗算が必要となる。この両者を比較する
と、本実施例は従来例と比べ、暗号化のフェーズでは４
２５回乗算回数が多くなるものの、復号化のフェーズで
は逆に５６１回乗算回数が減少しており、全体的に見て
も乗算回数が１３６回減少している。

【００４９】以上の具体例で分かる通り、本実施例は装
置Ｂ（復号）側での処理の減少をもたらす反面、装置Ａ
（暗号）側での処理の増大を引き起こす。従って、本実
施例の効果が発揮されるのは、特に復号側での処理を軽
減する場合に有効である。例えば、暗号側は性能の高い
電子計算機を用いることができるが、復号側では性能の
制限された電子計算機しか利用できない場合などに、本
実施例の効果が最大限に発揮される。

【００５０】（第２実施例） 本発明をＲＳＡ暗号方式に適用した場合の実施例に基づ
き説明する。図２は本発明のネットワーク利用の暗号方
式の実施例の構成を示すものである。以下、同図を参照
しながら実施例の手順を説明する。 （１）鍵生成装置 Ｂは大きな素数ｐとｑを生成し、その積ｎを求め
る。さらに、ｐ−１とｑ−１の最小公倍数Ｌを求め、１
＜ｅ＜Ｌ−１でありＬとは互いに素な整数ｅを選び、 ｅｄ＝１（ｍｏｄ Ｌ） ［１８］ であるｅの逆元ｄを求める。装置Ｂはｄを２進数展開し
たときのビット数を［ｄ］としたとき、［ｄ］＜ｓ×ｋ
となる２以上の整数ｓと正整数ｋを選び、ｎ、ｅ、ｓ、
ｋを装置Ｂの公開鍵として全装置に知らせる。ｐとｑは
廃棄し、ｄは秘密鍵として保管する。 （２）暗号化装置 Ａから装置Ｂへ平文ｍを秘密送信する場合を考え
る。装置Ａは装置Ｂの公開鍵ｎ，ｅ、ｓ、ｋを用いて次
のべき演算により暗号文ｃ１、、ｃＳをｎを法とする剰
余系で計算することにより作成する。

【００５１】ｃ１＝ｍ**ｅ （ｍｏｄ ｎ） ｃ２＝（ｍ**ｅ）**（２**ｋ） （ｍｏｄ ｎ） ……… ［１９］ ｃＳ＝（ｍ**ｅ）**（２**（（ｓ−１）×ｋ）） （ｍｏｄ ｎ） しかる後、装置Ａは装置Ｂにｃ１，，ｃＳを公開ネット
ワークを利用して送信する。（３）復号化装置Ｂは、自
分だけが知っている自分の秘密鍵ｄ＝ｄ１＋ｄ２×（２
**ｋ）＋…＋ｄＳ×２**（（ｓ−１）×ｋ）を用いて次
式のべき演算をｎを法とする剰余系で計算してｍを得
る。

【００５２】 ｍ＝（ｃ１**ｄ１）×（ｃ２**ｄ２）×…×（ｃＳ**ｄＳ） ［２０ ］ このとき、べき積、（（ｃ１**ｄ１）×（ｃ２**ｄ２）
×…×（ｃＳ**ｄＳ）はｃ１、ｃ２、、ｃＳとｄ１，ｄ
２，，ｄＳの定義によりｃ１**ｄに等しくなり、さらに
数ｅとｄが前述のように構成されているため、式［２
０］の結果の復号文は平文に等しいものとなる。次に、
具体的な例により本実施例の効果を確かめてみる。い
ま、ｐおよびｑをそれぞれ２５６ビット（１０進数で約
７７桁）の素数とする。このとき整数ｎは５１２ビット
になる。ｐとｑをうまく選ぶことにより、上記整数Ｌも
５１２ビットに近い大きな数となる。従って、ｅ，ｄと
も５１２ビットの数と考える。また、ｓ×ｋが５１２に
よりも大きくて、５１２に近い数となるように、ｓ＝
６、ｋ＝８６とする。

【００５３】暗号化フェーズにおいて装置Ａは５１２ビ
ットの二進系列ｍを平文として選ぶ。そして式［２３］
の演算を前述の２進演算法により計算して５１２ビット
の整数であるｃ１１、ｃ１２、、ｃ１６を得る。ｃ１１
の計算には（２乗と乗算の区別はしないで）平均７６８
回の乗算が必要である。ｃ１１からｃ１２を求めるには
８５回の乗算が必要である。ｃ１２からｃ１３を求める
のにも８５回の乗算が必要である。全体では、式［１
９］のために、７６８＋８５×５＝１１９３回の乗算が
必要となる。復号化フェーズにおいて、５１２ビットの
２進系列ｄの先頭に４ビットの０が連結され、全体で５
１６ビットの２進系列になり、これが先頭から８６ビッ
トづつ区切られて、ｄ１、ｄ２、、ｄ６となる。そして
式［２４］のべき積演算のためには、式［１４］より、
２**６ー７＋２×（８６ー１）＝２０７回の乗算が必要
となる。

【００５４】一方、従来の方法でこの暗号方式を実現し
ようとすると、暗号化のフェーズで式［６］のために７
６８回の乗算が必要となり、復号化のフェーズで式
［７］のべき演算のために平均７６８回の乗算が必要と
なる。

【００５５】この両者を比較すると、本実施例は従来例
と比べ、暗号化のフェーズでは４２５回乗算回数が多く
なるものの、復号化のフェーズでは逆に５６１回乗算回
数が減少しており、全体的に見ても乗算回数が１３６回
減少している。

【００５６】以上の具体例で分かる通り、本実施例は装
置Ｂ（復号）側での処理の減少をもたらす反面、装置Ａ
（暗号）側での処理の増大を引き起こす。従って、本実
施例の効果が発揮されるのは、特に復号側での処理を軽
減する場合に有効である。例えば、暗号側は性能の高い
電子計算機を用いることができるが、復号側では性能の
制限された電子計算機しか利用できない場合などに、本
実施例の効果が最大限に発揮される。

【００５７】（第３実施例） 本発明を楕円曲線上のエルガマル暗号方式に適用した場
合の実施例に基づき説明する。図３は本発明のネットワ
ーク利用の暗号方式の実施例の構成を示すものであり、
以下、同図を参照しながら実施例の手順を説明する。 （楕円曲線によるエルガマル暗号を使用した秘密通信） （１）鍵生成 有限体ＧＦ（ｑ）上定義された楕円曲線Ｅを選ぶ。ここ
で、ｑは素数ｐのｒ乗ｐ**ｒである。また、楕円曲線Ｅ
の有限体ＧＦ（ｑ）の元で構成される群をＥ（ＧＦ
（ｑ））と表わすことにする。次にＧをＥ（ＧＦ
（ｑ））上の位数の大きな元とする。この時、ＧとＥ
（ＧＦ（ｑ））がこの暗号方式の公開情報である。この
システムの任意の装置Ｂは、任意の整数ｘＢを選び、Ｅ
（ＧＦ（ｑ））上で、 ＹＢ＝ｘＢ＊Ｇ ［２１］ を計算する。そして、装置ＢはｘＢを秘密鍵として保持
し、ＹＢを公開鍵として全装置に知らせる。 （２）暗号化装置 Ａから装置Ｂへ平文Ｍを秘密通信する場合を考え
る。装置Ａは秘密に整数ｘＡを選び、自己の秘密鍵とし
て秘密に保持する一方、自己の秘密鍵ｘＡと装置Ｂの公
開鍵ＹＢを用いて次のｓ＋１組の暗号文Ｃ１１、Ｃ１
２、、Ｃ１Ｓ、Ｃ２をＥ（ＧＦ（ｑ））上で計算するこ
とにより作成する。

【００５８】 Ｃ１＝ｘＡ＊Ｇ Ｃ１２＝（２**ｋ）＊Ｃ１＝（ｘＡ×２**ｋ）＊Ｃ１ ………… ［２２］ Ｃ１Ｓ＝（２**ｋ）＊Ｃ１Ｓ*＝（ｘＡ＊（２**（（ｓ−１）×ｋ）））＊ Ｇ Ｃ２＝ｘＡ＊ＹＢ＋Ｍ しかる後、装置Ａは装置ＢにＣ１１，Ｃ１２，…，Ｃ１
Ｓ，Ｃ２を公開ネットワークを利用して送信する。 （３）復号化装置 Ｂは、自分だけが知っている自分の秘密鍵ｘＢ＝ｘ
Ｂ１＋ｘＢ２×（２**ｋ）＋…＋ｘＢＳ×２**（（ｓ−
１）×ｋ）を用いて次式をＥ（ＧＦ（ｑ））上で計算し
てＭを得る。

【００５９】 Ｍ＝Ｃ２−（ｘＢ１＊Ｃ１１＋ｘＢ２＊Ｃ１２＋…＋ｘＢＳ＊Ｃ１Ｓ） ［２３］ 式［２３］において、べき積、（ｘＢ１＊Ｃ１１＋ｘＢ
２＊Ｃ１２＋…＋ｘＢＳ＊Ｃ１Ｓ）はＣ１１、Ｃ１２、
…、Ｃ１ＳとｘＢ１，ｘＢ２，…，ｘＢＳの定義により
ｘＢ＊Ｃ１１に等しくなり、 ｘＢ＊ｃ１１ ＝ ｘＢ＊（ｘＡ＊Ｇ） ＝ ｘＡ＊（ｘＢ＊Ｇ） ＝ ｘＡ＊ＹＢ であることから式［２４］の復号文は平文に等しくな
る。

【００６０】次に、具体的な例により本実施例の効果を
確かめてみる。いま、ｐを１２８ビットであり４で割っ
て３が余る素数とする。このとき有限体ＧＦ（ｐ）上の
楕円曲線は次のように表わされる。

【００６１】 Ｅ：Ｙ**２＝Ｘ**３＋ａ＊Ｘ＋ｂ ［２５］ （ａとｂはＧＦ（ｐ）の元） Ｅ（ＧＦ（ｐ））の元Ｇとしてこの楕円曲線上の元のう
ち位数の大きな元をとる。そして、ｓ＝４、ｋ＝３２と
する。このとき、ｓ×ｋ＝１２８となる。鍵生成フェー
ズにおいて装置Ｂは１２８ビットの二進系列ｘＢをラン
ダムに選ぶ。そして式［２１］の演算を前述の２進演算
法を楕円曲線上の演算に置き換えたアルゴリズムにより
計算してＥ（ＧＦ（ｐ））の元ｙＢを得る。暗号化フェ
ーズにおいて装置Ａは１２８ビットの二進系列ｘＢをラ
ンダムに選ぶ。そして式［２２］のＥ（ＧＦ（ｐ））上
の演算を前述の２進演算法により計算してＥ（ＧＦ
（ｐ））の元であるＣ１１、Ｃ１２、…、Ｃ１４を得
る。Ｃ１１の計算には（２倍と加算の区別はしないで）
平均１９２回の加算が必要である。Ｃ１１からＣ１２を
求めるには３１回の加算が必要である。Ｃ１２からＣ１
３を求めるのにも３１回の乗算が必要である。Ｃ２を求
めるために平均１９２回の乗算が必要である。全体で
は、式［２２］のために、１９２＋３１×３＋１９２＝
４７７回の加算（楕円曲線上）が必要となる。復号化フ
ェーズにおいて、１２８ビットの２進系列ｘＢが先頭か
ら３２ビットづつ区切られて、ｘＢ１、ｘＢ２、…、ｘ
Ｂ４となる。そして式［２３］のべき積演算のために
は、式［１４］より、２**４ー５＋２×（３２ー１）＝
７３回の加算が必要となる。式［２３］全体では１回の
減算（加算と同じ）を含めて７４回の加算が必要とな
る。

【００６２】一方、従来の方法でこの暗号方式を実現し
ようとすると、暗号化のフェーズで式［２｀］、［３
｀］のために１９２＋１９２＝３８４回の加算が必要と
なり、復号化のフェーズで式［４’］のべき演算のため
に平均１９２回の加算と一回の減算が必要となる。この
両者を比較すると、本実施例は従来例と比べ、暗号化の
フェーズでは９３回加算回数が多くなるものの、復号化
のフェーズでは逆に１１９回加算回数が減少しており、
全体的に見ても乗算回数が２６回減少している。また、
復号化のフェーズだけで見ると加算の回数は７４／１９
３×１００＝３８％だけになっている。

【００６３】以上の具体例で分かる通り、本実施例は装
置Ｂ（復号）側での計算量の大幅な減少をもたらす反
面、装置Ａ（暗号）側での処理の増大を引き起こす。従
って、本実施例は、特に復号側での処理を軽減する場合
に有効である。例えば、暗号側は性能の高い電子計算機
を用いることができるが、復号側では性能の制限された
電子計算機しか利用できない場合などに、本実施例の効
果が最大限に発揮される。

【００６４】

【発明の効果】以上説明したように本発明は、ネットワ
ーク利用の秘密通信及び署名通信方式のうちべき演算を
用いるものを汎用の電子計算機のソフトウェアにより実
現する場合に必要となる計算量を軽減し、この結果秘密
通信及び署名通信のための処理時間を短縮できる。

【図面の簡単な説明】

【図１】本発明によるエルガマル暗号の構成図

【図２】本発明によるＲＳＡ暗号の構成図

【図３】本発明による楕円曲線上のエルガマル暗号の構
成図

【図４】従来のエルガマル暗号の構成図

【図５】従来のＲＳＡ暗号の構成図

【図６】従来のエルガマル署名の構成図

【図７】従来の楕円曲線上のエルガマル暗号の構成図

【図８】楕円曲線上の有限体で構成される群の演算を示
す図

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 9/30 G09C 1/00 650 H04L 9/32 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (4)

(57)【特許請求の範囲】
1. 【請求項１】 ｑを素数ｐの正整数ｒ乗とし、ｇを有限
   体ＧＦ（ｑ）の位数の大きな元とし、公開のネットワー
   クに接続されている第１の装置が任意に第１のべき整数
   ｘＡを選び第１のＧＦ（ｑ）の元ｙ＝ｇ**ｘＡ（「**」
   は、後続の記号がべき数であることを示す）を求め、こ
   れを数値化した第１の通信文を前記ネットワークに接続
   されている第２の装置に送信し、この第２の装置は任意
   に選んだ第２のべき整数ｘＢと前記第１の通信文から取
   り出した前記第１のＧＦ（ｑ）の元ｙとから第２のＧＦ
   （ｑ）の元、ｗ＝ｙ**ｘＢを求める演算を含む通信方法
   であって、ｓを２以上の整数、ｋを正整数、ｚ１，，ｚ
   ｓを各々２**ｋ未満の非負整数として上記第２のべき整
   数ｚをｚ＝ｚ１＋ｚ２＊２**ｋ＋，，ｚｓ＊２**（（ｓ
   −１）＊ｋ）と表わしたとき、前記第１の装置は、前記
   第１の通信文以外に、ｙ２＝（ｇ*ｘＡ）**（２**
   ｋ），…，ｙｓ＝（ａ**ｘＡ）**（２**（ｓ−１）＊
   ｋ））のｓー１個のＧＦ（ｑ）の元を求め、これを数値
   化したｓー１個の通信文を前記第２の装置に送信し、こ
   れを受信した前記第２の装置はＧＦ（ｑ）上で（ｙ１**
   ｚ１）＊（ｙ２**ｚ２）＊，…，＊（ｙｓ**ｚｓ）の演
   算により前記第２のＧＦ（ｑ）の元を求めることを特徴
   とした通信方法。
2. 【請求項２】 公開のネットワークに接続されている第
   １の装置と第２の装置の間で秘密通信を行なうに際し、
   前記第２の装置は大きな素数ｐとｑを決定し、その積ｎ
   を求め、さらにｐ−１とｑ−１の最小公倍数をＬとしＬ
   とは互いに素の数である第１のべき数ｅを決定し、法Ｌ
   の剰余系の元で前記ｅの逆元である第２のべき数ｄを求
   め、前記整数ｎと前記第１のべき数ｅを全装置に公開
   し、前記第２のべき数ｄを秘密に保管し、前記第１の装
   置は前記整数ｎを法とする剰余系Ｒ（ｎ）の元ｍを平文
   とし、前記第２の装置の公開した整数ｎと前記第１のべ
   き数ｅを用いて、Ｒ（ｎ）においてｃ１＝ｍ**ｅを計算
   してこれを数値化した通信文を前記第２の装置に送信
   し、前記第２の装置はこの通信文から取り出したＲ
   （ｎ）の元ｃに対して前記第２のべき数ｄを用いてＭ＝
   ｃ１**ｄの演算を行ない前記平文を復号する秘密通信方
   法であって、ｓを２以上の整数、ｋを正整数、ｄ１，，
   ｄｓを各々２**ｋ未満の非負整数として上記第２のべき
   整数ｄをｄ＝ｄ１＋ｄ２＊２**ｋ＋，…，ｄｓ＊２**
   （（ｓ−１）＊ｋ）と表わしたとき、前記第１の装置
   は、前記第１の通信文以外に、ｃ２＝（ｍ**ｅ）**（２
   **ｋ），…，ｃｓ＝（ｍ**ｅ）**（２**（ｓ−１）＊
   ｋ））のｓー１個のＲ（ｎ）の元を求め、これを数値化
   したｓー１個の通信文を前記第２の装置に送信し、これ
   を受信した前記第２の装置はＲ（ｎ）上で（ｃ１**ｄ
   １）＊（ｃ２**ｄ２）＊，…，＊（ｃｓ**ｄｓ）の演算
   により前記平文を復号することを特徴とした秘密通信方
   法。
3. 【請求項３】 公開のネットワークに接続されている第
   １の装置と第２の装置の間で署名通信を行なうに際し、
   前記第２の装置は大きな素数ｐとｑを決定し、その積ｎ
   を求め、さらにｐ−１とｑ−１の最小公倍数をＬとしＬ
   とは互いに素の数である第１のべき数ｅを決定し、法Ｌ
   の剰余系の元で前記ｅの逆元である第２のべき数ｄを求
   め、前記整数ｎと前記第１のべき数ｅを全装置に公開
   し、前記第２のべき数ｄを秘密に保管し、前記第２の装
   置は前記整数ｎを法とする剰余系Ｒ（ｎ）の元ｍである
   平文に対して、前記第２の装置の公開した整数ｎと前記
   第２のべき数ｄを用いて、Ｒ（ｎ）においてｃ１＝ｍ**
   ｄを計算して得た署名文を前記平文とともに前記第１の
   装置に送信し、前記第１の装置はこの通信文から取り出
   したＲ（ｎ）の元である署名文ｃ１に対して前記第１の
   べき数ｅを用いてＭ＝ｃ１**ｅの演算を行ないこの結果
   のＲ（ｎ）の元Ｍと前記平文ｍとが一致したときに前記
   第１の装置および前記平文の正当性を認証する署名通信
   方法であって、ｓを２以上の整数、ｋを正整数、ｅ
   １，，ｅｓを各々２**ｋ未満の非負整数として上記第１
   のべき整数ｅをｅ＝ｅ１＋ｅ２＊２**ｋ＋，…，ｅｓ＊
   ２**（（ｓ−１）＊ｋ）と表わしたとき、前記第２の装
   置は、前記第１の署名文以外に、ｃ２＝（ｍ**ｄ）**
   （２**ｋ），…，ｃｓ＝（ｍ**ｄ）**（２**（ｓ−１）
   ＊ｋ））のｓー１個のＲ（ｎ）の元を求め、これを数値
   化したｓー１個の署名文を前記第１の装置に送信し、こ
   れを受信した前記第１の装置はＲ（ｎ）上で（ｃ１**ｅ
   １）＊（ｃ２**ｅ２）＊，…，＊（ｃｓ**ｅｓ）の演算
   により前記Ｒ（ｎ）の元Ｍを得ることを特徴とした署名
   通信方法。
4. 【請求項４】 ｐを素数とし、有限体ＧＦ（ｐ）を定義
   体にもつ楕円曲線ＥのＧＦ（ｐ）上の元で構成される群
   をＥ（ＧＦ（Ｐ））とし、数値化した通信文若しくは署
   名をＥ（ＧＦ（ｐ））の元と演算をなすことにより秘密
   通信若しくは署名通信をなす通信方法であって、ＧをＥ
   （ＧＦ（ｐ））上の位数の大きな元とし、公開のネット
   ワークに接続されている第１の装置が任意に第１のべき
   整数ｘＡを選び第１のＥ（ＧＦ（ｐ））の元Ｙ１＝ｘＡ
   ＊Ｇを求め、これを数値化した第１の通信文を前記ネッ
   トワークに接続されている第２の装置に送信し、この第
   ２の装置は任意に選んだ第２のべき整数ｘＢと前記第１
   の通信文から取り出した前記第１のＥ（ＧＦ（ｐ））の
   元Ｙとから第２のＥ（ＧＦ（ｐ））の元、Ｗ＝ｘＢ＊Ｙ
   １を求める演算を含む秘密通信及び署名通信方法であっ
   て、ｓを２以上の整数、ｋを正整数、ｚ１，…，ｚｓを
   各々２**ｋ未満の非負整数として上記第２のべき整数ｚ
   をｚ＝ｚ１＋ｚ２＊２**ｋ＋，…，ｚｓ＊２**（（ｓ−
   １）＊ｋ）と表わしたとき、前記第１の装置は、前記第
   １の通信文以外に、Ｙ２＝（２**ｋ×ｘＡ）＊Ｇ，…，
   ＹＳ＝（２**（ｓ−１）＊ｋ）×ｘＡ）＊Ｇのｓー１個
   のＥ（ＧＦ（ｐ））の元を求め、これを数値化したｓー
   １個の通信文を前記第２の装置に送信し、これを受信し
   た前記第２の装置はＥ（ＧＦ（ｐ））上で（ｚ１＊Ｙ
   １）＋（ｚ２＊Ｙ２）＋，…，＋（ｚｓ＊Ｙｓ）の演算
   により前記第２のＥ（ＧＦ（ｐ））の元を求めることを
   特徴とした通信方法。