JP3396693B2 - 暗号化／復号化装置と公開鍵暗号化システム - Google Patents
暗号化／復号化装置と公開鍵暗号化システムInfo
- Publication number
- JP3396693B2 JP3396693B2 JP20200598A JP20200598A JP3396693B2 JP 3396693 B2 JP3396693 B2 JP 3396693B2 JP 20200598 A JP20200598 A JP 20200598A JP 20200598 A JP20200598 A JP 20200598A JP 3396693 B2 JP3396693 B2 JP 3396693B2
- Authority
- JP
- Japan
- Prior art keywords
- output
- value
- selector
- symbol
- jacobian
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
- H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
- H04L9/302—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the integer factorization problem, e.g. RSA or quadratic sieve [QS] schemes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/002—Countermeasures against attacks on cryptographic mechanisms
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/12—Details relating to cryptographic hardware or logic circuitry
Description
【０００１】
【発明の属する技術分野】本発明は、ディジタル情報を
暗号文に変換する際に使用する鍵を公開鍵とし、暗号文
から元のディジタル情報を得る際に使用する鍵を秘密鍵
とする公開鍵暗号化方法およびシステムに関する。
暗号文に変換する際に使用する鍵を公開鍵とし、暗号文
から元のディジタル情報を得る際に使用する鍵を秘密鍵
とする公開鍵暗号化方法およびシステムに関する。
【０００２】
【従来の技術】近年では、インターネット等の普及によ
り様々なディジタル情報を電話回線等を介して通信相手
先に伝達するようになってきている。しかし、機密保持
が必要な情報を送信先に伝達をする際には、第３者によ
る盗用を防がなけらばならない。このように、第３者か
らの盗用を防ぐために様々な暗号化方法が考案されてい
る。
り様々なディジタル情報を電話回線等を介して通信相手
先に伝達するようになってきている。しかし、機密保持
が必要な情報を送信先に伝達をする際には、第３者によ
る盗用を防がなけらばならない。このように、第３者か
らの盗用を防ぐために様々な暗号化方法が考案されてい
る。
【０００３】暗号化方法は、送信したいディジタル情報
を暗号化鍵を用いて暗号化し、その暗号化したディジタ
ルデータを送信先に伝送する。そして、その暗号化され
たデジタルデータを受信した通信相手は、復号化鍵を用
いてその暗号文を復号化して元のディジタル情報を得る
という方法である。
を暗号化鍵を用いて暗号化し、その暗号化したディジタ
ルデータを送信先に伝送する。そして、その暗号化され
たデジタルデータを受信した通信相手は、復号化鍵を用
いてその暗号文を復号化して元のディジタル情報を得る
という方法である。
【０００４】なお、以下ではディジタル情報を暗号に変
換して送信する操作のことを暗号化と呼び、受信された
暗号から元のディジタル情報を復元する操作のことを復
号化と呼ぶ。また、送信しようとするディジタルデータ
のことを平文と呼び、暗号化されたディジタルデータの
ことを暗号文と呼ぶ。また、ディジタルデータは数値で
表現できるから、以下では平文と暗号文を表すディジタ
ルデータと数値とを同一視することにする。
換して送信する操作のことを暗号化と呼び、受信された
暗号から元のディジタル情報を復元する操作のことを復
号化と呼ぶ。また、送信しようとするディジタルデータ
のことを平文と呼び、暗号化されたディジタルデータの
ことを暗号文と呼ぶ。また、ディジタルデータは数値で
表現できるから、以下では平文と暗号文を表すディジタ
ルデータと数値とを同一視することにする。
【０００５】そして、暗号化鍵と復号化鍵が同一である
暗号化方法を共通鍵暗号化方法といい、暗号化鍵と復号
化鍵が異なり、暗号化鍵を公開している暗号化方法を公
開鍵暗号化方法という。
暗号化方法を共通鍵暗号化方法といい、暗号化鍵と復号
化鍵が異なり、暗号化鍵を公開している暗号化方法を公
開鍵暗号化方法という。
【０００６】共通鍵暗号化方法では、暗号化鍵と復号化
鍵が同一であるためそれらの鍵を共に秘密にしておかな
ければならない。しかし、公開鍵暗号化方法では、暗号
化鍵は公開されているため、ある宛て先にディジタル情
報を送信したい任意の者は、公開されている公開鍵を使
用して暗号化を行ない、その暗号化されたディジタル情
報をその宛て先に送信することにより秘密保持を図るこ
とができる。この公開鍵暗号化方法の特徴は、ある宛て
先だけが復号化することができる暗号文を、その宛先と
鍵の打ち合わせを行うことなく誰でも生成することがで
きるということである。
鍵が同一であるためそれらの鍵を共に秘密にしておかな
ければならない。しかし、公開鍵暗号化方法では、暗号
化鍵は公開されているため、ある宛て先にディジタル情
報を送信したい任意の者は、公開されている公開鍵を使
用して暗号化を行ない、その暗号化されたディジタル情
報をその宛て先に送信することにより秘密保持を図るこ
とができる。この公開鍵暗号化方法の特徴は、ある宛て
先だけが復号化することができる暗号文を、その宛先と
鍵の打ち合わせを行うことなく誰でも生成することがで
きるということである。
【０００７】次に、従来の公開鍵暗号化システムについ
て詳しく説明するが、その前に先ず必要な数学的事項に
ついて簡単に説明しておく。なお、これらの事項につい
ては例えば１９8２年にデニングによって著されアジソ
ン・ウェスレイから出版された書籍クリプトグラフィー
・アンド・セキュリティ（Dorothｙ Elizabeth Robli
ng Denning, Cryptography and Data Security, Addis
on−Wesley Publishing Company, Inc., １９８２）の
第１章６節で詳しく説明されている。
て詳しく説明するが、その前に先ず必要な数学的事項に
ついて簡単に説明しておく。なお、これらの事項につい
ては例えば１９8２年にデニングによって著されアジソ
ン・ウェスレイから出版された書籍クリプトグラフィー
・アンド・セキュリティ（Dorothｙ Elizabeth Robli
ng Denning, Cryptography and Data Security, Addis
on−Wesley Publishing Company, Inc., １９８２）の
第１章６節で詳しく説明されている。
【０００８】まず、剰余について説明しておく。ａをＮ
で割った余りｒは、ａのＮに関する剰余と呼ばれ、ａ
ｍｏｄ Ｎ＝ｒと表わされる。また、ａのＮに関する剰
余と、ｂのＮに関する剰余が等しいことは、ａ＝ｂ(ｍ
ｏｄ Ｎ)で表わされる。
で割った余りｒは、ａのＮに関する剰余と呼ばれ、ａ
ｍｏｄ Ｎ＝ｒと表わされる。また、ａのＮに関する剰
余と、ｂのＮに関する剰余が等しいことは、ａ＝ｂ(ｍ
ｏｄ Ｎ)で表わされる。
【０００９】また、ｇｃｄ(Ｐ、Ｑ)で、ＰとＱの最大公
約数を表す。
約数を表す。
【００１０】また、(Ｐ｜Ｑ)で、Ｑに関するＰのヤコビ
記号の値を表す。ヤコビ記号とは、もし、Ｐ1＝Ｐ2(ｍ
ｏｄ Ｑ)の場合には、(Ｐ1｜Ｑ)＝(Ｐ2｜Ｑ)が成り立
ち、また、(１｜Ｐ)＝１、(−１｜Ｐ)＝−１、(Ｐ1Ｐ2
｜Ｑ)＝(Ｐ1｜Ｑ)(Ｐ2｜Ｑ)、(Ｐ｜Ｑ1Ｑ2)＝(Ｐ｜Ｑ1)
(Ｐ｜Ｑ2)という関係式が成り立つものであり、具体的
な計算方法については、前記文献に詳しい記述がある。
ただし、ヤコビ記号(Ｐ｜Ｑ)は、通常は、ｇｃｄ(Ｐ,
Ｑ)＝１であるようなＰとＱに対してしか定義されてい
ないが、本発明では、ｇｃｄ(Ｐ,Ｑ)≠１であるような
ＰとＱに対しては(Ｐ｜Ｑ)＝０と定義しておく。
記号の値を表す。ヤコビ記号とは、もし、Ｐ1＝Ｐ2(ｍ
ｏｄ Ｑ)の場合には、(Ｐ1｜Ｑ)＝(Ｐ2｜Ｑ)が成り立
ち、また、(１｜Ｐ)＝１、(−１｜Ｐ)＝−１、(Ｐ1Ｐ2
｜Ｑ)＝(Ｐ1｜Ｑ)(Ｐ2｜Ｑ)、(Ｐ｜Ｑ1Ｑ2)＝(Ｐ｜Ｑ1)
(Ｐ｜Ｑ2)という関係式が成り立つものであり、具体的
な計算方法については、前記文献に詳しい記述がある。
ただし、ヤコビ記号(Ｐ｜Ｑ)は、通常は、ｇｃｄ(Ｐ,
Ｑ)＝１であるようなＰとＱに対してしか定義されてい
ないが、本発明では、ｇｃｄ(Ｐ,Ｑ)≠１であるような
ＰとＱに対しては(Ｐ｜Ｑ)＝０と定義しておく。
【００１１】なお、ヤコビ記号の定義の拡張について
は、例えば１９8０年にアイトリプリイー・トランザク
ションズ・オン・インフォメーション・セオリー誌のIT
−２６巻６号に掲載されたウイリアムズの論文（H.Ｃ.
Williamｓ, "A Modification of the RSA Public−Key
Encryption Procedure, "IEEE Transactionｓon Inform
ation Theory, Vol. IT−２６, Ｎo.６, ｐｐ.７２６−
７２９， １９８０）に詳しく述べられている。
は、例えば１９8０年にアイトリプリイー・トランザク
ションズ・オン・インフォメーション・セオリー誌のIT
−２６巻６号に掲載されたウイリアムズの論文（H.Ｃ.
Williamｓ, "A Modification of the RSA Public−Key
Encryption Procedure, "IEEE Transactionｓon Inform
ation Theory, Vol. IT−２６, Ｎo.６, ｐｐ.７２６−
７２９， １９８０）に詳しく述べられている。
【００１２】また、拡張されたヤコビ記号の計算方法に
ついては前述のデニングの書籍の第１０６項やウイリア
ムズの論文および拡張されたヤコビ記号の定義より明ら
かである。すなわち、拡張されたヤコビ記号(Ｐ｜Ｑ)を
計算する場合には、ｇｃｄ(Ｐ,Ｑ)の値を確認しつつ通
常のヤコビ記号の計算方法を実行し、もしｇｃｄ(Ｐ,
Ｑ)が１でないことがわかれば、通常の計算方法を終了
して、計算結果を０とすればよい。
ついては前述のデニングの書籍の第１０６項やウイリア
ムズの論文および拡張されたヤコビ記号の定義より明ら
かである。すなわち、拡張されたヤコビ記号(Ｐ｜Ｑ)を
計算する場合には、ｇｃｄ(Ｐ,Ｑ)の値を確認しつつ通
常のヤコビ記号の計算方法を実行し、もしｇｃｄ(Ｐ,
Ｑ)が１でないことがわかれば、通常の計算方法を終了
して、計算結果を０とすればよい。
【００１３】また、ｘ2＝ａ(ｍｏｄ ｐ)を満足する整数
ｘが存在するときにはａは法ｐの平方剰余、存在しない
ときにはaは法ｐの平方非剰余と呼ばれる。そして、ｐ
が素数の場合には、ｘ2＝ａ(ｍｏｄ ｐ)を満足する整数
ｘの個数はせいぜい２つしか存在せず、それらの解が互
いに異なる場合には(ａ｜ｐ)＝１で、重根である場合に
は(ａ｜ｐ)＝０で、解が存在しない場合には(ａ｜ｐ)＝
−１となることが知られている。
ｘが存在するときにはａは法ｐの平方剰余、存在しない
ときにはaは法ｐの平方非剰余と呼ばれる。そして、ｐ
が素数の場合には、ｘ2＝ａ(ｍｏｄ ｐ)を満足する整数
ｘの個数はせいぜい２つしか存在せず、それらの解が互
いに異なる場合には(ａ｜ｐ)＝１で、重根である場合に
は(ａ｜ｐ)＝０で、解が存在しない場合には(ａ｜ｐ)＝
−１となることが知られている。
【００１４】また、Ｎが２つの素数の積である場合に
は、ｘ2＝ａ(ｍｏｄ Ｎ)を満足する整数ｘの個数はせい
ぜい４つしか存在せず、互いに異なる解が４個の場合に
は(ａ｜ｐ)＝１で、互いに異なる解が２個の場合には
(ａ｜ｐ)＝０，ａ≠０で、解が１個しか存在しない場合
にはａ＝０で、解が存在しない場合には(ａ｜ｐ)＝−１
となることが知られている。
は、ｘ2＝ａ(ｍｏｄ Ｎ)を満足する整数ｘの個数はせい
ぜい４つしか存在せず、互いに異なる解が４個の場合に
は(ａ｜ｐ)＝１で、互いに異なる解が２個の場合には
(ａ｜ｐ)＝０，ａ≠０で、解が１個しか存在しない場合
にはａ＝０で、解が存在しない場合には(ａ｜ｐ)＝−１
となることが知られている。
【００１５】さて、公開鍵暗号としてラビン暗号が知ら
れていた。これは１９７９年にラビンがエム・アイ・テ
ィーの報告書（Ｍ.O.Rabin, "Digitized signatureｓ a
nd public−key functionｓ aｓ intractable aｓ fact
orization, "ＭIT Lab. ForComputer Science, Tech. R
eｐ. ＬＣS/TR２１２, Cambridge ＭA：ＭIT Lab. For
Computer Science,１９７９）で提案した暗号通信方式
であり、例えば前述のデニングの書籍の第１２８項など
に詳しい説明がある。
れていた。これは１９７９年にラビンがエム・アイ・テ
ィーの報告書（Ｍ.O.Rabin, "Digitized signatureｓ a
nd public−key functionｓ aｓ intractable aｓ fact
orization, "ＭIT Lab. ForComputer Science, Tech. R
eｐ. ＬＣS/TR２１２, Cambridge ＭA：ＭIT Lab. For
Computer Science,１９７９）で提案した暗号通信方式
であり、例えば前述のデニングの書籍の第１２８項など
に詳しい説明がある。
【００１６】ラビン暗号では、素数ｐ,ｑを秘密鍵と
し、Ｎ＝ｐｑを公開鍵として、Ｃ＝Ｍ2ｍｏｄ Ｎのよう
に暗号化を行う。ここで、Ｍは平文、Ｃは暗号文であ
り、ｐ,ｑ,Ｎ,Ｍ,Ｃはともに数百ビット〜千数百ビット
の数である。Ｎが数百ビット〜千数百ビットの数だと、
Ｎを素因数分解することは計算量の問題から事実上不可
能になるが、ラビン暗号を解読することは、Ｎを素因数
分解することと同じくらい難しいことであることが知ら
れている。
し、Ｎ＝ｐｑを公開鍵として、Ｃ＝Ｍ2ｍｏｄ Ｎのよう
に暗号化を行う。ここで、Ｍは平文、Ｃは暗号文であ
り、ｐ,ｑ,Ｎ,Ｍ,Ｃはともに数百ビット〜千数百ビット
の数である。Ｎが数百ビット〜千数百ビットの数だと、
Ｎを素因数分解することは計算量の問題から事実上不可
能になるが、ラビン暗号を解読することは、Ｎを素因数
分解することと同じくらい難しいことであることが知ら
れている。
【００１７】ラビン暗号で暗号文から元の平文を復号化
するには、ｘに関する２次合同式ｘ 2＝Ｃ(ｍｏｄ Ｎ)を
解けばよい。この２次合同式を解くためには、まず、ｘ
2＝Ｃ(ｍｏｄ ｐ)とｘ2＝Ｃ(ｍｏｄ ｑ)の２つの２次合
同式をｘについて解く。これら２次合同式の解の計算方
法については、例えば前述のデニングの書籍の１１６項
に述べられている。２つの２次合同式ｘ2＝Ｃ(ｍｏｄ
ｐ)とｘ2＝Ｃ(ｍｏｄｑ)の解ｘp,ｘqが求められれば、
ｘN＝ｑｂpｘp＋ｐｂqｘq ｍｏｄ Ｎによって、２次合
同式ｘ2＝Ｃ(ｍｏｄ Ｎ)の解ｘNが求められる。ここでb
p,bqは、ｑbp＝１(ｍｏｄ ｐ),ｐbq＝１(ｍｏｄ ｑ)を
満足する値である。このようにして、解ｘNが求められ
ることは、その解を２次合同式に代入して見れば確かめ
られる。
するには、ｘに関する２次合同式ｘ 2＝Ｃ(ｍｏｄ Ｎ)を
解けばよい。この２次合同式を解くためには、まず、ｘ
2＝Ｃ(ｍｏｄ ｐ)とｘ2＝Ｃ(ｍｏｄ ｑ)の２つの２次合
同式をｘについて解く。これら２次合同式の解の計算方
法については、例えば前述のデニングの書籍の１１６項
に述べられている。２つの２次合同式ｘ2＝Ｃ(ｍｏｄ
ｐ)とｘ2＝Ｃ(ｍｏｄｑ)の解ｘp,ｘqが求められれば、
ｘN＝ｑｂpｘp＋ｐｂqｘq ｍｏｄ Ｎによって、２次合
同式ｘ2＝Ｃ(ｍｏｄ Ｎ)の解ｘNが求められる。ここでb
p,bqは、ｑbp＝１(ｍｏｄ ｐ),ｐbq＝１(ｍｏｄ ｑ)を
満足する値である。このようにして、解ｘNが求められ
ることは、その解を２次合同式に代入して見れば確かめ
られる。
【００１８】なお、解ｘp,ｘqは、それぞれ最大で２通
りの値をとるから、ｘNは最大で４通りの値をとる。ま
た、Ｃのヤコビ記号とｘNの取り得る値の数（すなわち
２次合同式ｘ2＝Ｃ(ｍｏｄ Ｎ)の解の数）と、ｘNのヤ
コビ記号との間には次のような関係があることが知られ
ている。もし((Ｃ｜ｐ),(Ｃ｜ｑ))＝(０,０)なら解の数
は１個で、解ｘNのヤコビ記号は((ｘN｜ｐ),(ｘN｜ｑ))
＝(０,０)である。もし((Ｃ｜ｐ),(Ｃ｜ｑ))＝(０,１)
なら解の数は２個で、解ｘNのヤコビ記号は((ｘN｜ｐ),
(ｘN｜ｑ))＝(０,１),(０,−１)の２通りの値をとる。
もし、((Ｃ｜ｐ),(Ｃ｜ｑ))＝(１,０)なら解の数は２個
で、解ｘNのヤコビ記号は((ｘN｜ｐ),( ｘN｜ｑ))＝
(１,０),(−１,０)の２通りの値をとる。もし、((Ｃ｜
ｐ),(Ｃ｜ｑ))＝(１,１)なら解の数は４個で、解ｘNの
ヤコビ記号は((ｘN｜ｐ),( ｘN｜ｑ))＝(１,１),(−１,
−１),(−１,１),(１,−１)の４通りの値をとる。
りの値をとるから、ｘNは最大で４通りの値をとる。ま
た、Ｃのヤコビ記号とｘNの取り得る値の数（すなわち
２次合同式ｘ2＝Ｃ(ｍｏｄ Ｎ)の解の数）と、ｘNのヤ
コビ記号との間には次のような関係があることが知られ
ている。もし((Ｃ｜ｐ),(Ｃ｜ｑ))＝(０,０)なら解の数
は１個で、解ｘNのヤコビ記号は((ｘN｜ｐ),(ｘN｜ｑ))
＝(０,０)である。もし((Ｃ｜ｐ),(Ｃ｜ｑ))＝(０,１)
なら解の数は２個で、解ｘNのヤコビ記号は((ｘN｜ｐ),
(ｘN｜ｑ))＝(０,１),(０,−１)の２通りの値をとる。
もし、((Ｃ｜ｐ),(Ｃ｜ｑ))＝(１,０)なら解の数は２個
で、解ｘNのヤコビ記号は((ｘN｜ｐ),( ｘN｜ｑ))＝
(１,０),(−１,０)の２通りの値をとる。もし、((Ｃ｜
ｐ),(Ｃ｜ｑ))＝(１,１)なら解の数は４個で、解ｘNの
ヤコビ記号は((ｘN｜ｐ),( ｘN｜ｑ))＝(１,１),(−１,
−１),(−１,１),(１,−１)の４通りの値をとる。
【００１９】ラビン暗号には、このように最大で４つの
暗号文が１つの暗号文Ｃに変換されるという問題があっ
たので、そのままでは、暗号文から平文を一意に復元で
きなかった。このため従来は、シマダが１９９２年にエ
レクトロニクス・レターズで提案した改良版が用いられ
ていた（Ｍ.Shimada, "Another Practical Public−Key
Cryptosystem", Electronics Letterｓ, Vol.２8, Ｎ
o.２３, ｐｐ.２１４６−２１４７, ５th November １
９９２）。このラビン暗号の改良版では、Ｃ＝ｔ(Ｍ)ｕ
(Ｍ)Ｍ2（ｍｏｄ Ｎという操作によって、{０,１, ・・
・,Ｎ−１}という値をとる平文Ｍから、{０,１,・・・,
Ｎ−１}という値をとる暗号文Ｃを生成する。ここで、
ｔ(Ｍ)は、Ｍ≧(Ｎ＋１)/２の場合にはｔ(Ｍ)＝−１
で、それ以外の場合にはｔ(Ｍ)＝１であるような関数
で、ｕ(Ｍ)は、(Ｍ｜Ｎ)＝−１の場合にはｕ(Ｍ)＝２
で、それ以外の場合にはｕ(Ｍ)＝１であるような関数で
ある。なお、このように暗号化すると１対１の関数が構
成できることについては、前術の文献に示されている。
暗号文が１つの暗号文Ｃに変換されるという問題があっ
たので、そのままでは、暗号文から平文を一意に復元で
きなかった。このため従来は、シマダが１９９２年にエ
レクトロニクス・レターズで提案した改良版が用いられ
ていた（Ｍ.Shimada, "Another Practical Public−Key
Cryptosystem", Electronics Letterｓ, Vol.２8, Ｎ
o.２３, ｐｐ.２１４６−２１４７, ５th November １
９９２）。このラビン暗号の改良版では、Ｃ＝ｔ(Ｍ)ｕ
(Ｍ)Ｍ2（ｍｏｄ Ｎという操作によって、{０,１, ・・
・,Ｎ−１}という値をとる平文Ｍから、{０,１,・・・,
Ｎ−１}という値をとる暗号文Ｃを生成する。ここで、
ｔ(Ｍ)は、Ｍ≧(Ｎ＋１)/２の場合にはｔ(Ｍ)＝−１
で、それ以外の場合にはｔ(Ｍ)＝１であるような関数
で、ｕ(Ｍ)は、(Ｍ｜Ｎ)＝−１の場合にはｕ(Ｍ)＝２
で、それ以外の場合にはｕ(Ｍ)＝１であるような関数で
ある。なお、このように暗号化すると１対１の関数が構
成できることについては、前術の文献に示されている。
【００２０】しかしながら、ラビン暗号の改良版には選
択暗号文攻撃に弱いという問題があった。すなわち、暗
号文Ｃに対して、Ｃ,−Ｃ ｍｏｄ Ｎ,２Ｃ ｍｏｄ Ｎ,
−２Ｃ ｍｏｄ Ｎの合計４つの暗号文を公開鍵復号化す
ると、それぞれに対応する平文として、２次合同式ｘ2
＝Ｃ(ｍｏｄ Ｎ)の４つの解が得られるからである。そ
して、それら４つの解のうち、(ｘ1｜Ｎ)＝−１である
ような解ｘ1と(ｘ2｜Ｎ)＝１であるような解ｘ2に対し
て、ｇｃｄ(ｘ1−ｘ2,Ｎ)を計算すれば、最大公約数と
してｐあるいはｑの値が得られるからである。
択暗号文攻撃に弱いという問題があった。すなわち、暗
号文Ｃに対して、Ｃ,−Ｃ ｍｏｄ Ｎ,２Ｃ ｍｏｄ Ｎ,
−２Ｃ ｍｏｄ Ｎの合計４つの暗号文を公開鍵復号化す
ると、それぞれに対応する平文として、２次合同式ｘ2
＝Ｃ(ｍｏｄ Ｎ)の４つの解が得られるからである。そ
して、それら４つの解のうち、(ｘ1｜Ｎ)＝−１である
ような解ｘ1と(ｘ2｜Ｎ)＝１であるような解ｘ2に対し
て、ｇｃｄ(ｘ1−ｘ2,Ｎ)を計算すれば、最大公約数と
してｐあるいはｑの値が得られるからである。
【００２１】なお、通常の暗号通信の場合には、暗号解
読者がそのような４つの平文を入手することは不可能だ
が、復号化結果を不特定多数に公開するディジタル署名
においては、暗号解読者が復号化装置の入力（暗号文に
相当）を自由に選べるので、選択暗号文攻撃が可能であ
る。このため、ラビン暗号の改良版には、ディジタル署
名に利用できないという問題があった。
読者がそのような４つの平文を入手することは不可能だ
が、復号化結果を不特定多数に公開するディジタル署名
においては、暗号解読者が復号化装置の入力（暗号文に
相当）を自由に選べるので、選択暗号文攻撃が可能であ
る。このため、ラビン暗号の改良版には、ディジタル署
名に利用できないという問題があった。
【００２２】
【発明が解決しようとする課題】上述した従来の公開鍵
暗号化システムでは、ラビン暗号の改良版は選択暗号文
攻撃に弱いためディジタル署名に利用することができな
いという問題点があった。
暗号化システムでは、ラビン暗号の改良版は選択暗号文
攻撃に弱いためディジタル署名に利用することができな
いという問題点があった。
【００２３】本発明の目的は、暗号文から平文を一意に
復元することができるとともに選択暗号文攻撃に強くす
ることによりディジタル署名に利用することができる公
開鍵暗号化システムを提供することである。
復元することができるとともに選択暗号文攻撃に強くす
ることによりディジタル署名に利用することができる公
開鍵暗号化システムを提供することである。
【００２４】
【課題を解決するための手段】上記目的を達成するため
に、本発明の公開鍵暗号化システムは、ヤコビ記号（２
│ｐ）が−１となる素数の第１の秘密鍵ｐとヤコビ記号
（２│ｑ）が１となる素数の第２の秘密鍵ｑとの積ｐｑ
を値として有する公開鍵Ｎを用いて下記の暗号化装置に
より、Ｍ≦(Ｎ−１)/２という条件を満たす平文Ｍを暗
号化して暗号文Ｃを生成して送信し、受信側では第１お
よび第２の秘密鍵ｐ、ｑと公開鍵Ｎを用いて下記の復号
化装置により暗号文Ｃを復号化することにより元の平文
Ｍを復元する。
に、本発明の公開鍵暗号化システムは、ヤコビ記号（２
│ｐ）が−１となる素数の第１の秘密鍵ｐとヤコビ記号
（２│ｑ）が１となる素数の第２の秘密鍵ｑとの積ｐｑ
を値として有する公開鍵Ｎを用いて下記の暗号化装置に
より、Ｍ≦(Ｎ−１)/２という条件を満たす平文Ｍを暗
号化して暗号文Ｃを生成して送信し、受信側では第１お
よび第２の秘密鍵ｐ、ｑと公開鍵Ｎを用いて下記の復号
化装置により暗号文Ｃを復号化することにより元の平文
Ｍを復元する。
【００２５】本発明の暗号化装置は、ヤコビ記号（２│
ｐ）が−１となる素数である第１の秘密鍵ｐとヤコビ記
号（２│ｑ）が１となる素数である第２の秘密鍵ｑとの
積ｐｑを値として有する公開鍵Ｎを用いて、Ｍ≦(Ｎ−
１)/２という条件を満たす平文Ｍを暗号化することによ
り暗号文Ｃを生成するための暗号化装置であって、前記
平文Ｍと前記公開鍵Ｎとのヤコビ記号（Ｍ│Ｎ）の値を
計算するヤコビ記号計算回路と、前記平文Ｍの値を２倍
して、該乗算結果である出力２Ｍを出力する第１の乗算
器と、前記ヤコビ記号計算回路において得られたヤコビ
記号(Ｍ│Ｎ)の値が“−１”の場合には前記第１の乗算
器の出力２Ｍを選択して出力ｘとして出力し、前記ヤコ
ビ記号(Ｍ│Ｎ)の値が“−１”以外の場合には前記平文
Ｍを選択して出力ｘとして出力する第１のセレクタと、
前記第１のセレクタの出力ｘに対して、該出力ｘの２乗
をＮで割った時の余りであるｘ 2 ｍｏｄ Ｎを計算し
て、該計算結果を出力ｙとして出力する平方回路と、前
記平方回路の出力ｙに対して、該出力ｙの２倍をＮで割
った時の余りである２ｙ ｍｏｄ Ｎを計算して、該計算
結果を出力する第２の乗算器と、前記ヤコビ記号計算回
路において得られたヤコビ記号(Ｍ│Ｎ)の値が“−１”
の場合には前記第２の乗算器の出力である２ｙ ｍｏｄ
Ｎを選択して出力ｚとして出力し、前記ヤコビ記号（Ｍ
│Ｎ）の値が“−１”以外の場合には前記平方回路の出
力ｙを選択して出力ｚとして出力する第２のセレクタ
と、前記公開鍵Ｎを右に１ビットだけシフトして得られ
た値である出力(Ｎ−１)/２を出力するシフタと、前記
シフタの出力(Ｎ−１)/２と前記第２のセレクタの出力
ｚとの大小を比較して、該比較結果を出力する比較器
と、前記第２のセレクタの出力ｚの−１倍をＮで割った
時の余りである−ｚ ｍｏｄ Ｎを計算して、該計算結果
を出力する第３の乗算器と、前記比較器の出力がｚ≦
(Ｎ−１)/２を示している場合には、前記第２のセレ ク
タの出力ｚを選択して前記暗号文Ｃとして出力し、前記
比較器の出力がｚ＞(Ｎ−１)/２を示していれば、前記
第３の乗算器の出力−ｚ ｍｏｄ Ｎを選択して前記暗号
文Ｃとして出力する第３のセレクタとから構成されてい
る。
ｐ）が−１となる素数である第１の秘密鍵ｐとヤコビ記
号（２│ｑ）が１となる素数である第２の秘密鍵ｑとの
積ｐｑを値として有する公開鍵Ｎを用いて、Ｍ≦(Ｎ−
１)/２という条件を満たす平文Ｍを暗号化することによ
り暗号文Ｃを生成するための暗号化装置であって、前記
平文Ｍと前記公開鍵Ｎとのヤコビ記号（Ｍ│Ｎ）の値を
計算するヤコビ記号計算回路と、前記平文Ｍの値を２倍
して、該乗算結果である出力２Ｍを出力する第１の乗算
器と、前記ヤコビ記号計算回路において得られたヤコビ
記号(Ｍ│Ｎ)の値が“−１”の場合には前記第１の乗算
器の出力２Ｍを選択して出力ｘとして出力し、前記ヤコ
ビ記号(Ｍ│Ｎ)の値が“−１”以外の場合には前記平文
Ｍを選択して出力ｘとして出力する第１のセレクタと、
前記第１のセレクタの出力ｘに対して、該出力ｘの２乗
をＮで割った時の余りであるｘ 2 ｍｏｄ Ｎを計算し
て、該計算結果を出力ｙとして出力する平方回路と、前
記平方回路の出力ｙに対して、該出力ｙの２倍をＮで割
った時の余りである２ｙ ｍｏｄ Ｎを計算して、該計算
結果を出力する第２の乗算器と、前記ヤコビ記号計算回
路において得られたヤコビ記号(Ｍ│Ｎ)の値が“−１”
の場合には前記第２の乗算器の出力である２ｙ ｍｏｄ
Ｎを選択して出力ｚとして出力し、前記ヤコビ記号（Ｍ
│Ｎ）の値が“−１”以外の場合には前記平方回路の出
力ｙを選択して出力ｚとして出力する第２のセレクタ
と、前記公開鍵Ｎを右に１ビットだけシフトして得られ
た値である出力(Ｎ−１)/２を出力するシフタと、前記
シフタの出力(Ｎ−１)/２と前記第２のセレクタの出力
ｚとの大小を比較して、該比較結果を出力する比較器
と、前記第２のセレクタの出力ｚの−１倍をＮで割った
時の余りである−ｚ ｍｏｄ Ｎを計算して、該計算結果
を出力する第３の乗算器と、前記比較器の出力がｚ≦
(Ｎ−１)/２を示している場合には、前記第２のセレ ク
タの出力ｚを選択して前記暗号文Ｃとして出力し、前記
比較器の出力がｚ＞(Ｎ−１)/２を示していれば、前記
第３の乗算器の出力−ｚ ｍｏｄ Ｎを選択して前記暗号
文Ｃとして出力する第３のセレクタとから構成されてい
る。
【００２６】そして、本発明の復号化装置は、ヤコビ記
号（２│ｐ）が−１となる素数の第１の秘密鍵ｐとヤコ
ビ記号（２│ｑ）が１となる素数の第２の秘密鍵ｑとの
積ｐｑを値として有する公開鍵Ｎを用いて、Ｍ≦(Ｎ−
１)/２という条件を満たす平文Ｍを暗号化することによ
り生成された暗号文Ｃを、前記第１および第２の秘密鍵
ｐ、ｑと公開鍵Ｎを用いて復号化することにより元の平
文Ｍを復元するための復号化装置であって、前記暗号文
Ｃと前記第１の秘密鍵ｐのヤコビ記号(Ｃ│ｐ)の値を計
算する第１のヤコビ記号計算回路と、前記暗号文Ｃと前
記第２の秘密鍵ｑのヤコビ記号(Ｃ│ｑ)の値を計算する
第２のヤコビ記号計算回路と、前記第１のヤコビ記号計
算回路により得られたヤコビ記号(Ｃ│ｐ)と前記第２の
ヤコビ記号計算回路により得られたヤコビ記号(Ｃ│ｑ)
の積を計算して、該計算結果(Ｃ│ｐ)(Ｃ│ｑ)を出力す
る第１の乗算器と、前記第２のヤコビ記号計算回路の出
力(Ｃ│ｑ)の値が“０”の場合には、前記第１のヤコビ
記号計算回路の出力(Ｃ│ｐ)を選択して出力ｓ（Ｃ）と
して出力し、前記第２のヤコビ記号計算回路の出力(Ｃ
│ｑ)の値が“０”以外の場合には、前記第２のヤコビ
記号計算回路の出力(Ｃ│ｑ)を選択して出力ｓ(Ｃ)とし
て出力する第１のセレクタと、前記暗号文Ｃの値の−１
倍をＮで割った時の余りである−Ｃ ｍｏｄ Ｎを計算し
て、該計算結果を出力する第２の乗算器と、前記第１の
セレクタの出力ｓ(Ｃ)が“−１”の場合には前記第１の
乗算器の出力すなわち−Ｃ ｍｏｄ Ｎを選択して出力ｚ
として出力し、前記第１のセレクタの出力ｓ(Ｃ)が“−
１”以外の場合には前記暗号文Ｃを選択して出力ｚとし
て出力する第２のセレクタと、前記第２のセレクタの出
力ｚに対して、該出力ｚの１／２倍を前記公開鍵Ｎで割
った時の余りであるｚ/２ ｍｏｄ Ｎを計算して、該計
算結果を出力する第１の除算器と、前記第１の除算器の
出力(Ｃ│ｐ)(Ｃ│ｑ)の値が“−１”の場合には前記第
１ の除算器の出力であるｚ/２ ｍｏｄ Ｎを選択して出
力ｙとして出力し、前記第１の除算器の出力(Ｃ│ｐ)
(Ｃ│ｑ)の値が“−１”以外の場合には前記第２のセレ
クタの出力ｚを選択して出力ｙとして出力する第３のセ
レクタと、前記第３のセレクタの出力ｙが“０”以外の
場合には、ｘに関する２次合同式ｘ 2 ＝ｙ(ｍｏｄ Ｎ)の
解のうち(ｘ│ｐ)(ｘ│ｑ)≠−１を満たし、その値が
(Ｎ−１)/２以下のものを第１の出力ｘ L として出力し、
その値が(Ｎ＋１)/２以上のものを第２の出力ｘ G として
出力し、前記第３のセレクタの出力ｙが“０”の場合に
は“０”を前記第１の出力ｘ L 、前記第２の出力ｘ G とし
て出力する開平回路と、前記開平回路の第２の出力ｘ G
に対して、ｘ G を２で割った時の商すなわちｘ G /２を計
算して、該計算結果を出力する第２の除算器と、前記第
１の乗算器の出力(Ｃ│ｐ)(Ｃ│ｑ）の値が“−１”の
場合には前記第２の除算器の出力すなわちｘ G /２を選択
して平文Ｍとして出力し、前記第１の乗算器の出力(Ｃ
│ｐ)(Ｃ│ｑ）の値が“−１”以外の場合には前記開平
回路の第１の出力ｘ L を選択して平文Ｍとして出力する
第４のセレクタとから構成されている。
号（２│ｐ）が−１となる素数の第１の秘密鍵ｐとヤコ
ビ記号（２│ｑ）が１となる素数の第２の秘密鍵ｑとの
積ｐｑを値として有する公開鍵Ｎを用いて、Ｍ≦(Ｎ−
１)/２という条件を満たす平文Ｍを暗号化することによ
り生成された暗号文Ｃを、前記第１および第２の秘密鍵
ｐ、ｑと公開鍵Ｎを用いて復号化することにより元の平
文Ｍを復元するための復号化装置であって、前記暗号文
Ｃと前記第１の秘密鍵ｐのヤコビ記号(Ｃ│ｐ)の値を計
算する第１のヤコビ記号計算回路と、前記暗号文Ｃと前
記第２の秘密鍵ｑのヤコビ記号(Ｃ│ｑ)の値を計算する
第２のヤコビ記号計算回路と、前記第１のヤコビ記号計
算回路により得られたヤコビ記号(Ｃ│ｐ)と前記第２の
ヤコビ記号計算回路により得られたヤコビ記号(Ｃ│ｑ)
の積を計算して、該計算結果(Ｃ│ｐ)(Ｃ│ｑ)を出力す
る第１の乗算器と、前記第２のヤコビ記号計算回路の出
力(Ｃ│ｑ)の値が“０”の場合には、前記第１のヤコビ
記号計算回路の出力(Ｃ│ｐ)を選択して出力ｓ（Ｃ）と
して出力し、前記第２のヤコビ記号計算回路の出力(Ｃ
│ｑ)の値が“０”以外の場合には、前記第２のヤコビ
記号計算回路の出力(Ｃ│ｑ)を選択して出力ｓ(Ｃ)とし
て出力する第１のセレクタと、前記暗号文Ｃの値の−１
倍をＮで割った時の余りである−Ｃ ｍｏｄ Ｎを計算し
て、該計算結果を出力する第２の乗算器と、前記第１の
セレクタの出力ｓ(Ｃ)が“−１”の場合には前記第１の
乗算器の出力すなわち−Ｃ ｍｏｄ Ｎを選択して出力ｚ
として出力し、前記第１のセレクタの出力ｓ(Ｃ)が“−
１”以外の場合には前記暗号文Ｃを選択して出力ｚとし
て出力する第２のセレクタと、前記第２のセレクタの出
力ｚに対して、該出力ｚの１／２倍を前記公開鍵Ｎで割
った時の余りであるｚ/２ ｍｏｄ Ｎを計算して、該計
算結果を出力する第１の除算器と、前記第１の除算器の
出力(Ｃ│ｐ)(Ｃ│ｑ)の値が“−１”の場合には前記第
１ の除算器の出力であるｚ/２ ｍｏｄ Ｎを選択して出
力ｙとして出力し、前記第１の除算器の出力(Ｃ│ｐ)
(Ｃ│ｑ)の値が“−１”以外の場合には前記第２のセレ
クタの出力ｚを選択して出力ｙとして出力する第３のセ
レクタと、前記第３のセレクタの出力ｙが“０”以外の
場合には、ｘに関する２次合同式ｘ 2 ＝ｙ(ｍｏｄ Ｎ)の
解のうち(ｘ│ｐ)(ｘ│ｑ)≠−１を満たし、その値が
(Ｎ−１)/２以下のものを第１の出力ｘ L として出力し、
その値が(Ｎ＋１)/２以上のものを第２の出力ｘ G として
出力し、前記第３のセレクタの出力ｙが“０”の場合に
は“０”を前記第１の出力ｘ L 、前記第２の出力ｘ G とし
て出力する開平回路と、前記開平回路の第２の出力ｘ G
に対して、ｘ G を２で割った時の商すなわちｘ G /２を計
算して、該計算結果を出力する第２の除算器と、前記第
１の乗算器の出力(Ｃ│ｐ)(Ｃ│ｑ）の値が“−１”の
場合には前記第２の除算器の出力すなわちｘ G /２を選択
して平文Ｍとして出力し、前記第１の乗算器の出力(Ｃ
│ｐ)(Ｃ│ｑ）の値が“−１”以外の場合には前記開平
回路の第１の出力ｘ L を選択して平文Ｍとして出力する
第４のセレクタとから構成されている。
【００２７】本発明は、（ｘ｜ｐ）（ｘ｜ｑ）＝−１と
なるようなｘを使用していないため、復号化装置によっ
てディジタル署名を作成しても、選択暗号攻撃によって
解読されることがない。また、平文と暗号文を１対１に
対応させることができるため、暗号文Ｃから平文Ｎを一
意に復元することができる。
なるようなｘを使用していないため、復号化装置によっ
てディジタル署名を作成しても、選択暗号攻撃によって
解読されることがない。また、平文と暗号文を１対１に
対応させることができるため、暗号文Ｃから平文Ｎを一
意に復元することができる。
【００２８】
【発明の実施の形態】次に、本発明の一実施形態につい
て図面を参照して詳細に説明する。
て図面を参照して詳細に説明する。
【００２９】本実施形態の公開鍵暗号化システムは、平
文Ｍを公開鍵Ｎによって暗号して暗号文Ｃを生成する暗
号化装置と、暗号文Ｃを秘密鍵ｐ、ｑを用いて復号化し
て元の平文Ｍを再生する復号化装置とから構成されてい
る。
文Ｍを公開鍵Ｎによって暗号して暗号文Ｃを生成する暗
号化装置と、暗号文Ｃを秘密鍵ｐ、ｑを用いて復号化し
て元の平文Ｍを再生する復号化装置とから構成されてい
る。
【００３０】以下では、秘密鍵ｐ、ｑを((２｜ｐ),(２
｜ｑ))＝(−１,１)を満たすような素数の組とし、公開
鍵ＮをＮ＝ｐｑとする。ここで、(ｘ｜ｙ)は、上述した
ように、ｙに関するｘのヤコビ記号と呼ばれるものであ
る。
｜ｑ))＝(−１,１)を満たすような素数の組とし、公開
鍵ＮをＮ＝ｐｑとする。ここで、(ｘ｜ｙ)は、上述した
ように、ｙに関するｘのヤコビ記号と呼ばれるものであ
る。
【００３１】図１は本発明の一実施形態の公開鍵暗号化
システムにおける暗号化装置の構成を示したブロック図
である。
システムにおける暗号化装置の構成を示したブロック図
である。
【００３２】この本実施形態における暗号化装置は、ヤ
コビ記号計算回路１１１と、乗算器１１２、１３１、１
４３と、セレクタ１１３、１３２、１４４と、平方回路
１２０と、シフタ１４１と、比較器１４２とから構成さ
れている。
コビ記号計算回路１１１と、乗算器１１２、１３１、１
４３と、セレクタ１１３、１３２、１４４と、平方回路
１２０と、シフタ１４１と、比較器１４２とから構成さ
れている。
【００３３】図１において、平文Ｍが、入力端子１５１
から入力され、ヤコビ記号計算回路１１１とセレクタ１
１３と乗算器１１２に供給される。また、公開鍵Ｎが、
入力端子１５２から入力され、ヤコビ記号計算回路１１
１とシフタ１４１と平方回路１２０と乗算器１３１と乗
算器１４３に供給される。ヤコビ記号計算回路１１１
は、ヤコビ記号（Ｍ｜Ｎ）の値を計算して、ヤコビ記号
の値をセレクタ１１３とセレクタ１３２に供給する。乗
算器１１２は、平文Ｍの値を２倍して、その乗算結果で
ある出力２Ｍを出力する。セレクタ１１３は、(Ｍ｜Ｎ)
＝−１の場合には乗算器１１２の出力すなわち出力２Ｍ
を選択して出力し、それ以外の場合にはＭを選択して出
力する。
から入力され、ヤコビ記号計算回路１１１とセレクタ１
１３と乗算器１１２に供給される。また、公開鍵Ｎが、
入力端子１５２から入力され、ヤコビ記号計算回路１１
１とシフタ１４１と平方回路１２０と乗算器１３１と乗
算器１４３に供給される。ヤコビ記号計算回路１１１
は、ヤコビ記号（Ｍ｜Ｎ）の値を計算して、ヤコビ記号
の値をセレクタ１１３とセレクタ１３２に供給する。乗
算器１１２は、平文Ｍの値を２倍して、その乗算結果で
ある出力２Ｍを出力する。セレクタ１１３は、(Ｍ｜Ｎ)
＝−１の場合には乗算器１１２の出力すなわち出力２Ｍ
を選択して出力し、それ以外の場合にはＭを選択して出
力する。
【００３４】なお、以下では説明の便宜上、セレクタ１
１３の出力をｘと表記する。平方回路１２０は、セレク
タ１１３の出力ｘに対して、ｘの２乗をＮで割った時の
余りすなわちｘ2 ｍｏｄ Ｎを計算して、計算結果を出
力する。すなわち、平方回路１２０はラビン暗号の暗号
化を実行する。
１３の出力をｘと表記する。平方回路１２０は、セレク
タ１１３の出力ｘに対して、ｘの２乗をＮで割った時の
余りすなわちｘ2 ｍｏｄ Ｎを計算して、計算結果を出
力する。すなわち、平方回路１２０はラビン暗号の暗号
化を実行する。
【００３５】なお、以下では説明の便宜上、平方回路１
２０の出力をｙと表記する。乗算器１３１は、平方回路
１２０の出力ｙに対して、ｙの２倍をＮで割った時の余
りすなわち２ｙ ｍｏｄ Ｎを計算して、計算結果を出力
する。セレクタ１３２は、(Ｍ｜Ｎ)＝−１の場合には乗
算器１３１の出力すなわち２ｙ ｍｏｄ Ｎを選択して出
力し、それ以外の場合にはｙを選択して出力する。な
お、以下では説明の便宜上、セレクタ１３２の出力をｚ
と表記する。シフタ１４１は、Ｎを右に１ビットだけシ
フトして、得られた値すなわち(Ｎ−１)/２を出力する
（なぜなら公開鍵Ｎは奇数だからである）。比較器１４
２は、シフタ１４１の出力すなわち(Ｎ−１)/２とセレ
クタ１３２の出力ｚとの大小を比較し、比較結果をセレ
クタ１４４に供給する。乗算器１４３は、セレクタ１３
２の出力ｚの−１倍をＮで割った時の余りすなわち−ｚ
ｍｏｄ Ｎを計算して、計算結果を出力する。なお、−
ｚｍｏｄ Ｎは(Ｎ−ｚ) ｍｏｄ Ｎに他ならないのだ
が、以下では−ｚ ｍｏｄ Ｎと表記する。
２０の出力をｙと表記する。乗算器１３１は、平方回路
１２０の出力ｙに対して、ｙの２倍をＮで割った時の余
りすなわち２ｙ ｍｏｄ Ｎを計算して、計算結果を出力
する。セレクタ１３２は、(Ｍ｜Ｎ)＝−１の場合には乗
算器１３１の出力すなわち２ｙ ｍｏｄ Ｎを選択して出
力し、それ以外の場合にはｙを選択して出力する。な
お、以下では説明の便宜上、セレクタ１３２の出力をｚ
と表記する。シフタ１４１は、Ｎを右に１ビットだけシ
フトして、得られた値すなわち(Ｎ−１)/２を出力する
（なぜなら公開鍵Ｎは奇数だからである）。比較器１４
２は、シフタ１４１の出力すなわち(Ｎ−１)/２とセレ
クタ１３２の出力ｚとの大小を比較し、比較結果をセレ
クタ１４４に供給する。乗算器１４３は、セレクタ１３
２の出力ｚの−１倍をＮで割った時の余りすなわち−ｚ
ｍｏｄ Ｎを計算して、計算結果を出力する。なお、−
ｚｍｏｄ Ｎは(Ｎ−ｚ) ｍｏｄ Ｎに他ならないのだ
が、以下では−ｚ ｍｏｄ Ｎと表記する。
【００３６】セレクタ１４４は、比較器１４２の出力が
ｚ＞(Ｎ−１)/２を示している場合には、乗算器１４３
の出力−ｚ ｍｏｄ Ｎを選択して出力し、それ以外の場
合にはセレクタ１３２の出力ｚを選択して出力する。そ
して、セレクタ１４４の出力が、出力端子１５３から、
暗号文Ｃとして出力される。
ｚ＞(Ｎ−１)/２を示している場合には、乗算器１４３
の出力−ｚ ｍｏｄ Ｎを選択して出力し、それ以外の場
合にはセレクタ１３２の出力ｚを選択して出力する。そ
して、セレクタ１４４の出力が、出力端子１５３から、
暗号文Ｃとして出力される。
【００３７】図２は、本実施形態における復号化装置の
構成を示すブロック図である。
構成を示すブロック図である。
【００３８】この復号化装置は、ヤコビ記号計算回路２
１１、２１２と、乗算器２１３、２２１と、セレクタ２
１４、２２２、２３２、２５２と、除算器２３１、２５
１とから構成されている。
１１、２１２と、乗算器２１３、２２１と、セレクタ２
１４、２２２、２３２、２５２と、除算器２３１、２５
１とから構成されている。
【００３９】図２において、暗号文Ｃが、入力端子２６
３から入力され、ヤコビ記号計算回路２１１とヤコビ記
号計算回路２１２とセレクタ２２２と乗算器２２１に供
給される。また、公開鍵Ｎが、入力端子２６４から入力
され、乗算器２２１と除算器２３１と開平回路２４０に
供給される。また、秘密鍵ｐが入力端子２６１から入力
され、ヤコビ記号計算回路２１１と開平回路２４０に供
給される。また、秘密鍵ｑが入力端子２６２から入力さ
れ、ヤコビ記号計算回路２１２と開平回路２４０に供給
される。
３から入力され、ヤコビ記号計算回路２１１とヤコビ記
号計算回路２１２とセレクタ２２２と乗算器２２１に供
給される。また、公開鍵Ｎが、入力端子２６４から入力
され、乗算器２２１と除算器２３１と開平回路２４０に
供給される。また、秘密鍵ｐが入力端子２６１から入力
され、ヤコビ記号計算回路２１１と開平回路２４０に供
給される。また、秘密鍵ｑが入力端子２６２から入力さ
れ、ヤコビ記号計算回路２１２と開平回路２４０に供給
される。
【００４０】ヤコビ記号計算回路２１１は、ヤコビ記号
(Ｃ｜ｐ)の値を計算して、計算結果を、乗算器２１３と
セレクタ２１４に供給する。ヤコビ記号計算回路２１２
は、ヤコビ記号(Ｃ｜ｑ)の値を計算して、計算結果を、
乗算器２１３とセレクタ２１４に供給する。乗算器２１
３は、(Ｃ｜ｐ)と(Ｃ｜ｑ)の積を計算して、計算結果
(Ｃ｜ｐ)(Ｃ｜ｑ)を、セレクタ２３２とセレクタ２５２
に供給する。セレクタ２１４は、ヤコビ記号計算回路２
１２の出力(Ｃ｜ｑ)が０の場合には、ヤコビ記号計算回
路２１１の出力(Ｃ｜ｐ)を選択して出力し、それ以外の
場合にはヤコビ記号計算回路２１２の出力(Ｃ｜ｑ)を選
択して出力する。
(Ｃ｜ｐ)の値を計算して、計算結果を、乗算器２１３と
セレクタ２１４に供給する。ヤコビ記号計算回路２１２
は、ヤコビ記号(Ｃ｜ｑ)の値を計算して、計算結果を、
乗算器２１３とセレクタ２１４に供給する。乗算器２１
３は、(Ｃ｜ｐ)と(Ｃ｜ｑ)の積を計算して、計算結果
(Ｃ｜ｐ)(Ｃ｜ｑ)を、セレクタ２３２とセレクタ２５２
に供給する。セレクタ２１４は、ヤコビ記号計算回路２
１２の出力(Ｃ｜ｑ)が０の場合には、ヤコビ記号計算回
路２１１の出力(Ｃ｜ｐ)を選択して出力し、それ以外の
場合にはヤコビ記号計算回路２１２の出力(Ｃ｜ｑ)を選
択して出力する。
【００４１】なお、以下では説明の便宜上、セレクタ２
１４の出力をｓ(Ｃ)と表記する。セレクタ２１４の出力
ｓ(Ｃ)は、もし(Ｃ｜ｑ)＝０の場合にはｓ(Ｃ)＝(Ｃ｜
ｐ)で、(Ｃ｜ｑ)≠０の場合にはｓ(Ｃ)＝(Ｃ｜ｑ)であ
る。乗算器２２１は、暗号文Ｃの−１倍をＮで割った時
の余りすなわち−Ｃ ｍｏｄ Ｎを計算して、計算結果を
出力する。なお、−Ｃ ｍｏｄ Ｎは(Ｎ−Ｃ) ｍｏｄ Ｎ
に他ならないのだが、以下では−Ｃ ｍｏｄ Ｎと表記す
る。セレクタ２２２は、セレクタ２１４の出力ｓ(Ｃ)が
−１の場合には乗算器２２１の出力すなわち−Ｃ ｍｏ
ｄ Ｎを選択して出力し、それ以外の場合には暗号文Ｃ
を選択して出力する。
１４の出力をｓ(Ｃ)と表記する。セレクタ２１４の出力
ｓ(Ｃ)は、もし(Ｃ｜ｑ)＝０の場合にはｓ(Ｃ)＝(Ｃ｜
ｐ)で、(Ｃ｜ｑ)≠０の場合にはｓ(Ｃ)＝(Ｃ｜ｑ)であ
る。乗算器２２１は、暗号文Ｃの−１倍をＮで割った時
の余りすなわち−Ｃ ｍｏｄ Ｎを計算して、計算結果を
出力する。なお、−Ｃ ｍｏｄ Ｎは(Ｎ−Ｃ) ｍｏｄ Ｎ
に他ならないのだが、以下では−Ｃ ｍｏｄ Ｎと表記す
る。セレクタ２２２は、セレクタ２１４の出力ｓ(Ｃ)が
−１の場合には乗算器２２１の出力すなわち−Ｃ ｍｏ
ｄ Ｎを選択して出力し、それ以外の場合には暗号文Ｃ
を選択して出力する。
【００４２】なお、以下では説明の便宜上、セレクタ２
２２の出力をｚと表記する。除算器２３１は、セレクタ
２２２の出力ｚに対して、その出力ｚの１／２倍を公開
鍵Ｎで割った時の余りであるｚ/２ ｍｏｄ Ｎを計算
し、その計算結果を出力する。ここで、出力ｚの１／２
倍を公開鍵Ｎで割るとは、出力ｚが偶数の場合にはその
出力ｚをそのまま２で割り、出力ｚが奇数の場合には出
力ｚとＮを加算した値を２で割ることを意味している。
２２の出力をｚと表記する。除算器２３１は、セレクタ
２２２の出力ｚに対して、その出力ｚの１／２倍を公開
鍵Ｎで割った時の余りであるｚ/２ ｍｏｄ Ｎを計算
し、その計算結果を出力する。ここで、出力ｚの１／２
倍を公開鍵Ｎで割るとは、出力ｚが偶数の場合にはその
出力ｚをそのまま２で割り、出力ｚが奇数の場合には出
力ｚとＮを加算した値を２で割ることを意味している。
【００４３】セレクタ２３２は、除算器２１３の出力
(Ｃ｜ｐ)(Ｃ｜ｑ)が−１の場合には除算器２３１の出力
すなわちｚ/２ ｍｏｄ Ｎを選択して出力し、それ以外
の場合にはｚを選択して出力する。
(Ｃ｜ｐ)(Ｃ｜ｑ)が−１の場合には除算器２３１の出力
すなわちｚ/２ ｍｏｄ Ｎを選択して出力し、それ以外
の場合にはｚを選択して出力する。
【００４４】なお、以下では説明の便宜上、セレクタ２
３２の出力をｙと表記する。開平回路２４０は、ｘに関
する２次合同式ｘ2＝ｙ(ｍｏｄ Ｎ)の解を求め、それら
のうち(ｘ｜ｐ)(ｘ｜ｑ)≠−１を満たす解を出力する
（そのような解の個数は最大で２個である）。なお、以
下では説明の便宜上、出力された解のうち、値が(Ｎ−
１)/２以下のものをｘLと表記し、値が(Ｎ＋１)/２以上
のものをｘGと表記する。ただし、ｙ＝０の場合には、
ｘ2＝ｙ(ｍｏｄ Ｎ)の解はｘ＝０の一つしか存在しない
ので、ｘL ＝ｘG＝０とする。
３２の出力をｙと表記する。開平回路２４０は、ｘに関
する２次合同式ｘ2＝ｙ(ｍｏｄ Ｎ)の解を求め、それら
のうち(ｘ｜ｐ)(ｘ｜ｑ)≠−１を満たす解を出力する
（そのような解の個数は最大で２個である）。なお、以
下では説明の便宜上、出力された解のうち、値が(Ｎ−
１)/２以下のものをｘLと表記し、値が(Ｎ＋１)/２以上
のものをｘGと表記する。ただし、ｙ＝０の場合には、
ｘ2＝ｙ(ｍｏｄ Ｎ)の解はｘ＝０の一つしか存在しない
ので、ｘL ＝ｘG＝０とする。
【００４５】除算器２５１は、開平回路２４０の出力ｘ
Gに対して、ｘGを２で割った時の商すなわちｘG /２を
計算して、計算結果を出力する。セレクタ２５２は、乗
算器２１３の出力(Ｃ｜ｐ)(Ｃ｜ｑ）が−１の場合には
除算器２５１の出力すなわちｘG/２を選択して出力し、
それ以外の場合にはｘLを選択して出力する。そして、
セレクタ２５２の出力が、出力端子２６５から、平文Ｍ
として出力される。
Gに対して、ｘGを２で割った時の商すなわちｘG /２を
計算して、計算結果を出力する。セレクタ２５２は、乗
算器２１３の出力(Ｃ｜ｐ)(Ｃ｜ｑ）が−１の場合には
除算器２５１の出力すなわちｘG/２を選択して出力し、
それ以外の場合にはｘLを選択して出力する。そして、
セレクタ２５２の出力が、出力端子２６５から、平文Ｍ
として出力される。
【００４６】なお、以上の説明において、乗算器１１
２、１３１、１４３、乗算器２２１、除算器２３１、２
５１の具体的な構成方法については、数学と論理回路の
初歩的な知識があれば自明なので、省略する。また、ヤ
コビ記号計算回路１１１、２１１、２１２および開平回
路２４０は、従来の暗号化装置および復号化装置で用い
られていたものと同様のものであるから、それらの回路
の具体的な構成方法についても、詳しい説明は省略す
る。
２、１３１、１４３、乗算器２２１、除算器２３１、２
５１の具体的な構成方法については、数学と論理回路の
初歩的な知識があれば自明なので、省略する。また、ヤ
コビ記号計算回路１１１、２１１、２１２および開平回
路２４０は、従来の暗号化装置および復号化装置で用い
られていたものと同様のものであるから、それらの回路
の具体的な構成方法についても、詳しい説明は省略す
る。
【００４７】次に、本実施形態の公開鍵暗号化システム
の動作について図３および図４を参照して説明する。
の動作について図３および図４を参照して説明する。
【００４８】図３は、本実施形態の暗号化方法を示すフ
ローチャートである。なお、このフローチャートは図１
の暗号化装置の動作を示すものでもある。
ローチャートである。なお、このフローチャートは図１
の暗号化装置の動作を示すものでもある。
【００４９】図において、まず最初に、平文Ｍに対し
て、ヤコビ記号(Ｍ｜Ｎ)の値が−１の場合には、制御を
ステップ３１３に移し、それ以外の場合には制御をステ
ップ３１２に移す(ステップ３１１)。ステップ３１２に
おいてはｘ＝Ｍとして制御をステップ３２０に移し、ス
テップ３１３においてはｘ＝２Ｍとして制御をステップ
３２０に移す。なお、以下では、ステップ３１１、３１
２、３１３をまとめてステップ３１０として参照する。
て、ヤコビ記号(Ｍ｜Ｎ)の値が−１の場合には、制御を
ステップ３１３に移し、それ以外の場合には制御をステ
ップ３１２に移す(ステップ３１１)。ステップ３１２に
おいてはｘ＝Ｍとして制御をステップ３２０に移し、ス
テップ３１３においてはｘ＝２Ｍとして制御をステップ
３２０に移す。なお、以下では、ステップ３１１、３１
２、３１３をまとめてステップ３１０として参照する。
【００５０】次に、ｙ＝ｘ2 ｍｏｄ Ｎとする(ステップ
３２０)。次に、ｙに対して、ヤコビ記号(Ｍ｜Ｎ)の値
が−１の場合には、制御をステップ３３３に移し、それ
以外の場合には制御をステップ３３２に移す(ステップ
３３１)。ステップ３３２においてはｚ＝ｙとして制御
をステップ３４１に移し、ステップ３３３においてはｚ
＝２ｙ ｍｏｄ Ｎとして制御をステップ３４１に移す。
なお、以下では、ステップ３３１、３３２、３３３をま
とめてステップ３３０として参照する。
３２０)。次に、ｙに対して、ヤコビ記号(Ｍ｜Ｎ)の値
が−１の場合には、制御をステップ３３３に移し、それ
以外の場合には制御をステップ３３２に移す(ステップ
３３１)。ステップ３３２においてはｚ＝ｙとして制御
をステップ３４１に移し、ステップ３３３においてはｚ
＝２ｙ ｍｏｄ Ｎとして制御をステップ３４１に移す。
なお、以下では、ステップ３３１、３３２、３３３をま
とめてステップ３３０として参照する。
【００５１】次に、ｚに対して、ｚ＞(Ｎ−１)/２の場
合には、制御をステップ３４３に移し、それ以外の場合
には制御をステップ３４２に移す(ステップ３４１)。ス
テップ３４２においてはＣ＝ｚとし、ステップ３４３に
おいてはＣ＝−ｚ ｍｏｄ Ｎとする。そして、Ｃを暗号
文として出力する。なお、以下では、ステップ３４１、
３４２、３４３をまとめてステップ３４０として参照す
る。
合には、制御をステップ３４３に移し、それ以外の場合
には制御をステップ３４２に移す(ステップ３４１)。ス
テップ３４２においてはＣ＝ｚとし、ステップ３４３に
おいてはＣ＝−ｚ ｍｏｄ Ｎとする。そして、Ｃを暗号
文として出力する。なお、以下では、ステップ３４１、
３４２、３４３をまとめてステップ３４０として参照す
る。
【００５２】図４は、本実施形態の復号化方法を示すフ
ローチャートである。なお、このフローチャートは図２
の復号化装置の動作を示すものでもある。
ローチャートである。なお、このフローチャートは図２
の復号化装置の動作を示すものでもある。
【００５３】図４において、まず最初に、暗号文Ｃに対
して、ｓ(Ｃ)が−１の場合には、制御をステップ４１３
に移し、それ以外の場合には制御をステップ４１２に移
す(ステップ４１１)。
して、ｓ(Ｃ)が−１の場合には、制御をステップ４１３
に移し、それ以外の場合には制御をステップ４１２に移
す(ステップ４１１)。
【００５４】ここで、ｓ(Ｃ)は、もし(Ｃ｜ｑ)＝０の場
合にはｓ(Ｃ)＝(Ｃ｜ｐ)で、(Ｃ｜ｑ)≠０の場合にはｓ
(Ｃ)＝(Ｃ｜ｑ)と定義される値である。ステップ４１２
においてはｚ＝Ｃとして制御をステップ４２１に移し、
ステップ４１３においてはｚ＝−Ｃ ｍｏｄ Ｎとして制
御をステップ４２１に移す。なお、以下では、ステップ
４１１、４１２、４１３をまとめてステップ４１０とし
て参照する。
合にはｓ(Ｃ)＝(Ｃ｜ｐ)で、(Ｃ｜ｑ)≠０の場合にはｓ
(Ｃ)＝(Ｃ｜ｑ)と定義される値である。ステップ４１２
においてはｚ＝Ｃとして制御をステップ４２１に移し、
ステップ４１３においてはｚ＝−Ｃ ｍｏｄ Ｎとして制
御をステップ４２１に移す。なお、以下では、ステップ
４１１、４１２、４１３をまとめてステップ４１０とし
て参照する。
【００５５】次に、ｚに対して、ヤコビ記号の値の積
(Ｃ｜ｐ)(Ｃ｜ｑ)が−１の場合には、制御をステップ４
２３に移し、それ以外の場合には制御をステップ４２２
に移す(ステップ４２１)。ステップ４２２においてはｙ
＝ｚとして制御をステップ４３０に移し、ステップ４２
３においてはｙ＝ｚ/２ ｍｏｄ Ｎとして制御をステッ
プ４３０に移す。なお、以下では、ステップ４２１、４
２２、４２３をまとめてステップ４２０として参照す
る。
(Ｃ｜ｐ)(Ｃ｜ｑ)が−１の場合には、制御をステップ４
２３に移し、それ以外の場合には制御をステップ４２２
に移す(ステップ４２１)。ステップ４２２においてはｙ
＝ｚとして制御をステップ４３０に移し、ステップ４２
３においてはｙ＝ｚ/２ ｍｏｄ Ｎとして制御をステッ
プ４３０に移す。なお、以下では、ステップ４２１、４
２２、４２３をまとめてステップ４２０として参照す
る。
【００５６】次に、ｙに対して、ｘに関する２次合同式
ｘ2＝ｙ(ｍｏｄ Ｎ)の解を求めて、(ｘ｜ｐ)(ｘ｜ｑ)≠
−１を満たす解のうち、値が(Ｎ−１)/２以下のものを
ｘLとし、値が(Ｎ＋１)/２以上のものをｘGとする（ス
テップ４３０）。ただし、ステップ４３０においては、
(ｘ｜ｐ)(ｘ｜ｑ)≠−１を満たす解が１つしか存在しな
い場合には、ｘL＝ｘG＝０とする。
ｘ2＝ｙ(ｍｏｄ Ｎ)の解を求めて、(ｘ｜ｐ)(ｘ｜ｑ)≠
−１を満たす解のうち、値が(Ｎ−１)/２以下のものを
ｘLとし、値が(Ｎ＋１)/２以上のものをｘGとする（ス
テップ４３０）。ただし、ステップ４３０においては、
(ｘ｜ｐ)(ｘ｜ｑ)≠−１を満たす解が１つしか存在しな
い場合には、ｘL＝ｘG＝０とする。
【００５７】次に、ｘL,ｘGに対して、ヤコビ記号の値
の積(Ｃ｜ｐ)(Ｃ｜ｑ)が−１の場合には、制御をステッ
プ４４３に移し、それ以外の場合には制御をステップ４
４２に移す(ステップ４４１)。ステップ４４２において
はＭ＝ ｘLとし、ステップ４２３においてはＭ＝ｘG /
２とする。そして、Ｍを平文として出力する。なお、以
下では、ステップ４４１,４４２,４４３をまとめてステ
ップ４４０として参照する。
の積(Ｃ｜ｐ)(Ｃ｜ｑ)が−１の場合には、制御をステッ
プ４４３に移し、それ以外の場合には制御をステップ４
４２に移す(ステップ４４１)。ステップ４４２において
はＭ＝ ｘLとし、ステップ４２３においてはＭ＝ｘG /
２とする。そして、Ｍを平文として出力する。なお、以
下では、ステップ４４１,４４２,４４３をまとめてステ
ップ４４０として参照する。
【００５８】図５は、図３のステップ３１０で行われる
変換を示す概念図である。図において、左側に縦方向に
並べられた箱の集合は、それぞれ平文Ｍの取り得る値の
集合で、箱に(i,j)というベクトルが書かれている集合
には、((Ｍ｜ｐ),(Ｍ｜ｑ))＝(i,j)であるような平文Ｍ
の値が属している。
変換を示す概念図である。図において、左側に縦方向に
並べられた箱の集合は、それぞれ平文Ｍの取り得る値の
集合で、箱に(i,j)というベクトルが書かれている集合
には、((Ｍ｜ｐ),(Ｍ｜ｑ))＝(i,j)であるような平文Ｍ
の値が属している。
【００５９】また、箱の上から１個目から８個目までの
箱には、Ｍ≧(Ｎ＋１)/２であるような平文Ｍの値が属
し、箱の下から１個目から９個目までの箱には、Ｍ≦
(Ｎ−１)/２であるような平文Ｍの値が属している。点
線で囲まれた箱は、その箱に属する値が平文として使用
されないことを示し、実線で囲まれた箱は、その箱に属
する値が平文として使用され得ることを示している。
箱には、Ｍ≧(Ｎ＋１)/２であるような平文Ｍの値が属
し、箱の下から１個目から９個目までの箱には、Ｍ≦
(Ｎ−１)/２であるような平文Ｍの値が属している。点
線で囲まれた箱は、その箱に属する値が平文として使用
されないことを示し、実線で囲まれた箱は、その箱に属
する値が平文として使用され得ることを示している。
【００６０】また、右側に縦方向に並べられた箱の集合
は、それぞれセレクタ１１３の出力ｘの取り得る値の集
合で、記述方法は、平文Ｍの取り得る値の集合と同様で
あり、箱に(i,j)というベクトルが書かれている集合に
は、((ｘ｜ｐ),(ｘ｜ｑ))＝(i,j)であるようなｘの値が
属している。
は、それぞれセレクタ１１３の出力ｘの取り得る値の集
合で、記述方法は、平文Ｍの取り得る値の集合と同様で
あり、箱に(i,j)というベクトルが書かれている集合に
は、((ｘ｜ｐ),(ｘ｜ｑ))＝(i,j)であるようなｘの値が
属している。
【００６１】ステップ３１０においては、平文Ｍに対し
て、ヤコビ記号の値(Ｍ｜Ｎ)が−１の場合には、ｘ＝２
Ｍとし、それ以外の場合にはｘ＝Ｍとしている。また、
既に述べたように、本実施形態では((２｜ｐ),(２｜
ｑ))＝(−１,１)であるような秘密鍵が用いられる。こ
のため、ステップ３１０においては、図に示すように、
((Ｍ｜ｐ)(Ｍ｜ｑ))＝(１,−１)であるような集合と
((Ｍ｜ｐ)(Ｍ｜ｑ))＝(−１,１)であるような集合は、
それぞれ((ｘ｜ｐ)(ｘ｜ｑ))＝(１,１)であるような集
合と((ｘ｜ｐ)(ｘ｜ｑ))＝(−１,−１)であるような集
合に写され、それ以外の平文の集合は、そのまま右手の
集合に写される。
て、ヤコビ記号の値(Ｍ｜Ｎ)が−１の場合には、ｘ＝２
Ｍとし、それ以外の場合にはｘ＝Ｍとしている。また、
既に述べたように、本実施形態では((２｜ｐ),(２｜
ｑ))＝(−１,１)であるような秘密鍵が用いられる。こ
のため、ステップ３１０においては、図に示すように、
((Ｍ｜ｐ)(Ｍ｜ｑ))＝(１,−１)であるような集合と
((Ｍ｜ｐ)(Ｍ｜ｑ))＝(−１,１)であるような集合は、
それぞれ((ｘ｜ｐ)(ｘ｜ｑ))＝(１,１)であるような集
合と((ｘ｜ｐ)(ｘ｜ｑ))＝(−１,−１)であるような集
合に写され、それ以外の平文の集合は、そのまま右手の
集合に写される。
【００６２】図５を見てわかるように、その際に、別の
集合が一つの同じ集合に写されることは無い。従って、
ステップ３１０によって行われるＭからｘへの変換が１
対１の変換であることがわかる。なお、注意しておく
が、((ｘ｜ｐ),(ｘ｜ｑ))＝(１,１)あるいは((ｘ｜ｐ),
(ｘ｜ｑ))＝(−１,−１)であるようなｘの値の集合のう
ち、(Ｎ＋１)/２以上のｘについては、そのｘと対応す
るＭに対して(Ｍ｜Ｎ)＝−１が成り立っており、一方、
(Ｎ−１)/２以下のｘについては、そのｘと対応するＭ
に対して(Ｍ｜Ｎ)＝１が成り立っている。
集合が一つの同じ集合に写されることは無い。従って、
ステップ３１０によって行われるＭからｘへの変換が１
対１の変換であることがわかる。なお、注意しておく
が、((ｘ｜ｐ),(ｘ｜ｑ))＝(１,１)あるいは((ｘ｜ｐ),
(ｘ｜ｑ))＝(−１,−１)であるようなｘの値の集合のう
ち、(Ｎ＋１)/２以上のｘについては、そのｘと対応す
るＭに対して(Ｍ｜Ｎ)＝−１が成り立っており、一方、
(Ｎ−１)/２以下のｘについては、そのｘと対応するＭ
に対して(Ｍ｜Ｎ)＝１が成り立っている。
【００６３】図６は、図３のステップ３２０で行われる
変換を示す概念図である。図において、左側に縦方向に
並べられた箱の集合は、それぞれセレクタ１１３の出力
ｘの取り得る値の集合で、箱に(ｉ，ｊ)というベクトル
が書かれている集合には、((ｘ｜ｐ),(ｘ｜ｑ))＝(ｉ,
ｊ)であるようなｘの値が属している。点線で囲まれた
箱は、その箱に属するｘの値が使用されないことを示
し、実線で囲まれた箱は、その箱に属するｘの値が使用
され得ることを示している。また、右側に縦方向に並べ
られた箱の集合は、それぞれ平方回路１２０の出力ｙの
取り得る値の集合で、記述方法は、ｘの取り得る値の集
合と同様であり、箱に(ｉ,ｊ)というベクトルが書かれ
ている集合には、((ｙ｜ｐ),(ｙ｜ｑ))＝(ｉ,ｊ)である
ようなｙの値が属している。
変換を示す概念図である。図において、左側に縦方向に
並べられた箱の集合は、それぞれセレクタ１１３の出力
ｘの取り得る値の集合で、箱に(ｉ，ｊ)というベクトル
が書かれている集合には、((ｘ｜ｐ),(ｘ｜ｑ))＝(ｉ,
ｊ)であるようなｘの値が属している。点線で囲まれた
箱は、その箱に属するｘの値が使用されないことを示
し、実線で囲まれた箱は、その箱に属するｘの値が使用
され得ることを示している。また、右側に縦方向に並べ
られた箱の集合は、それぞれ平方回路１２０の出力ｙの
取り得る値の集合で、記述方法は、ｘの取り得る値の集
合と同様であり、箱に(ｉ,ｊ)というベクトルが書かれ
ている集合には、((ｙ｜ｐ),(ｙ｜ｑ))＝(ｉ,ｊ)である
ようなｙの値が属している。
【００６４】ただし注意しておくが、この図６において
は、図５と違って、それぞれの集合に、(Ｎ＋１)/２以
上の値も(Ｎ−１)/２以下の値も含まれている（集合
(０,０)を除けば）。ステップ３２０では、ｙ＝ｘ2 ｍ
ｏｄ Ｎという変換が行われるので、(ｙ｜ｐ)および(ｙ
｜ｑ)の値は、０か１であり、−１という値は取り得な
い。このため、ｘ＝０に対応する集合（集合(０,０)）
を除けば、ｘ側の２つの集合が、ｙ側の１つの集合に写
される。
は、図５と違って、それぞれの集合に、(Ｎ＋１)/２以
上の値も(Ｎ−１)/２以下の値も含まれている（集合
(０,０)を除けば）。ステップ３２０では、ｙ＝ｘ2 ｍ
ｏｄ Ｎという変換が行われるので、(ｙ｜ｐ)および(ｙ
｜ｑ)の値は、０か１であり、−１という値は取り得な
い。このため、ｘ＝０に対応する集合（集合(０,０)）
を除けば、ｘ側の２つの集合が、ｙ側の１つの集合に写
される。
【００６５】ただし、ｙ側の集合のうち、(０,１)と
(１,０)については、図の上ではｘ側の２つの集合が重
複して写されているが、同じｙの値に２つのｘの値が写
されてはいない。なぜなら、(ｙ｜ｐ),(ｙ｜ｑ)の一方
が０の場合には、ｘに関する２次合同式ｘ2＝ｙ(ｍｏｄ
Ｎ)はせいぜい２個の解しか持たないが、その場合に
は、一方の解をｘ0とするともう一方の解はＮ−ｘ0だか
らである。
(１,０)については、図の上ではｘ側の２つの集合が重
複して写されているが、同じｙの値に２つのｘの値が写
されてはいない。なぜなら、(ｙ｜ｐ),(ｙ｜ｑ)の一方
が０の場合には、ｘに関する２次合同式ｘ2＝ｙ(ｍｏｄ
Ｎ)はせいぜい２個の解しか持たないが、その場合に
は、一方の解をｘ0とするともう一方の解はＮ−ｘ0だか
らである。
【００６６】すなわち、一方の解が(Ｎ−１)/２以下だ
と、もう一方の解は(Ｎ＋１)/２以上であるが、本実施
形態においては、図５を見てわかるように、((ｙ｜ｐ),
(ｙ｜ｑ))＝(０,１),(１,０)に対応するｘの値として
(Ｎ−１)/２以下の値しか使用していないからである。
また、ｙ側の集合のうち(１,１)については、同じｙの
値に２つのｘの値が写されているが、図５を見てわかる
ように、(Ｍ｜Ｎ)の値で区別することが可能である。
と、もう一方の解は(Ｎ＋１)/２以上であるが、本実施
形態においては、図５を見てわかるように、((ｙ｜ｐ),
(ｙ｜ｑ))＝(０,１),(１,０)に対応するｘの値として
(Ｎ−１)/２以下の値しか使用していないからである。
また、ｙ側の集合のうち(１,１)については、同じｙの
値に２つのｘの値が写されているが、図５を見てわかる
ように、(Ｍ｜Ｎ)の値で区別することが可能である。
【００６７】なお、図６のｙの値からｘの値を復元する
ためには、次のようにすれば良い。まず、ｘに関する２
次合同式ｘ2＝ｙ(ｍｏｄ Ｎ)の解のうち、(ｘ｜ｐ)(ｘ
｜ｑ)≠−１を満たす解を求めれば良い。なぜなら、図
５を見てわかるように、(ｘ｜ｐ)(ｘ｜ｑ)＝−１である
ようなｘの値、すなわち((ｘ｜ｐ),(ｘ｜ｑ))＝(−１,
１),(１,−１)であるようなｘの値は、使われていない
からである。ただし、(ｘ｜ｐ)(ｘ｜ｑ)≠−１を満たす
解は、最大で２個存在する。以下では、そのような解の
うち、値が(Ｎ−１)/２以下のものをｘLと表記し、値が
(Ｎ＋１)/２以上のものをｘGと表記しよう。
ためには、次のようにすれば良い。まず、ｘに関する２
次合同式ｘ2＝ｙ(ｍｏｄ Ｎ)の解のうち、(ｘ｜ｐ)(ｘ
｜ｑ)≠−１を満たす解を求めれば良い。なぜなら、図
５を見てわかるように、(ｘ｜ｐ)(ｘ｜ｑ)＝−１である
ようなｘの値、すなわち((ｘ｜ｐ),(ｘ｜ｑ))＝(−１,
１),(１,−１)であるようなｘの値は、使われていない
からである。ただし、(ｘ｜ｐ)(ｘ｜ｑ)≠−１を満たす
解は、最大で２個存在する。以下では、そのような解の
うち、値が(Ｎ−１)/２以下のものをｘLと表記し、値が
(Ｎ＋１)/２以上のものをｘGと表記しよう。
【００６８】ただし、ｙ＝０の場合には、ｘ2＝ｙ(ｍｏ
ｄ Ｎ)の解はｘ＝０の一つしか存在しないので、 ｘL＝
ｘG＝０としよう。元のｘの値を復元するためには、こ
れらの２つの解のうち、どちらがｘの元の値であるかを
識別しなければならない。図５を見てわかるように、そ
れらは(Ｍ｜Ｎ)の値によって識別することができる。す
なわち、(Ｍ｜Ｎ)＝−１の場合には、ｘの元の値は、ｘ
Gであり、それ以外の場合には、ｘの元の値はｘLであ
る。
ｄ Ｎ)の解はｘ＝０の一つしか存在しないので、 ｘL＝
ｘG＝０としよう。元のｘの値を復元するためには、こ
れらの２つの解のうち、どちらがｘの元の値であるかを
識別しなければならない。図５を見てわかるように、そ
れらは(Ｍ｜Ｎ)の値によって識別することができる。す
なわち、(Ｍ｜Ｎ)＝−１の場合には、ｘの元の値は、ｘ
Gであり、それ以外の場合には、ｘの元の値はｘLであ
る。
【００６９】図７は、図３のステップ３３０で行われる
変換を示す概念図である。図において、左側に縦方向に
並べられた箱の集合は、それぞれ平方回路１２０の出力
ｙの取り得る値の集合で、箱に(ｉ,ｊ)というベクトル
が書かれている集合には、((ｙ｜ｐ),(ｙ｜ｑ))＝(ｉ,
ｊ)であるようなｙの値が属している。点線で囲まれた
箱は、その箱に属するｙの値が使用されないことを示
し、実線で囲まれた箱は、その箱に属するｙの値が使用
され得ることを示している。また、右側に縦方向に並べ
られた箱の集合は、それぞれセレクタ１３２の出力ｚの
取り得る値の集合で、記述方法は、ｙの取り得る値の集
合と同様であり、箱に(ｉ,ｊ)というベクトルが書かれ
ている集合には、((ｚ｜ｐ),(ｚ｜ｑ))＝(ｉ,ｊ)である
ようなｚの値が属している。ステップ３３０において
は、ｙに対して、ヤコビ記号の値(Ｍ｜Ｎ)が−１の場合
には、ｚ＝２ｙ(ｍｏｄ Ｎ)とし、それ以外の場合には
ｚ＝ｙとしている。
変換を示す概念図である。図において、左側に縦方向に
並べられた箱の集合は、それぞれ平方回路１２０の出力
ｙの取り得る値の集合で、箱に(ｉ,ｊ)というベクトル
が書かれている集合には、((ｙ｜ｐ),(ｙ｜ｑ))＝(ｉ,
ｊ)であるようなｙの値が属している。点線で囲まれた
箱は、その箱に属するｙの値が使用されないことを示
し、実線で囲まれた箱は、その箱に属するｙの値が使用
され得ることを示している。また、右側に縦方向に並べ
られた箱の集合は、それぞれセレクタ１３２の出力ｚの
取り得る値の集合で、記述方法は、ｙの取り得る値の集
合と同様であり、箱に(ｉ,ｊ)というベクトルが書かれ
ている集合には、((ｚ｜ｐ),(ｚ｜ｑ))＝(ｉ,ｊ)である
ようなｚの値が属している。ステップ３３０において
は、ｙに対して、ヤコビ記号の値(Ｍ｜Ｎ)が−１の場合
には、ｚ＝２ｙ(ｍｏｄ Ｎ)とし、それ以外の場合には
ｚ＝ｙとしている。
【００７０】また、既に述べたように、本実施形態では
((２｜ｐ),(２｜ｑ))＝(−１,１)であるような秘密鍵が
用いられる。このため、図７に示すように、((ｙ｜ｐ)
(ｙ｜ｑ))＝(１,１)であるようなｙは、ｚ＝２ｙ(ｍｏ
ｄ Ｎ)とすることによって、((ｚ｜ｐ)(ｚ｜ｑ))＝(−
１,１)であるようなｚに写される。図６においては、ｙ
側の集合のうち(１,１)については、同じｙの値に２つ
のｘの値が重複して写されていたが、この操作によっ
て、重複したｙの値が、別の値をとる２つのｚの値に写
される。その結果、ｘとｚとが１対１に対応することが
わかる。
((２｜ｐ),(２｜ｑ))＝(−１,１)であるような秘密鍵が
用いられる。このため、図７に示すように、((ｙ｜ｐ)
(ｙ｜ｑ))＝(１,１)であるようなｙは、ｚ＝２ｙ(ｍｏ
ｄ Ｎ)とすることによって、((ｚ｜ｐ)(ｚ｜ｑ))＝(−
１,１)であるようなｚに写される。図６においては、ｙ
側の集合のうち(１,１)については、同じｙの値に２つ
のｘの値が重複して写されていたが、この操作によっ
て、重複したｙの値が、別の値をとる２つのｚの値に写
される。その結果、ｘとｚとが１対１に対応することが
わかる。
【００７１】図８は、図３のステップ３４０で行われる
変換を示す概念図である。図において、左側に縦方向に
並べられた箱の集合は、それぞれセレクタ１３２の出力
ｚの取り得る値の集合で、箱に(ｉ,ｊ)というベクトル
が書かれている集合には、((ｚ｜ｐ),(ｚ｜ｑ))＝(ｉ,
ｊ)であるようなｚの値が属している。また、箱の上か
ら１個目から８個目までの箱には、ｚ≧(Ｎ＋１)/２で
あるようなｚの値が属し、箱の下から１個目から９個目
までの箱には、ｚ≦(Ｎ−１)/２であるようなｚの値が
属している。点線で囲まれた箱は、その箱に属する値が
ｚの値として使用されないことを示し、実線で囲まれた
箱は、その箱に属する値がｚの値として使用され得るこ
とを示している。また、右側に縦方向に並べられた箱の
集合は、それぞれセレクタ１４４の出力すなわち暗号文
Ｃの取り得る値の集合で、記述方法は、平文ｚの取り得
る値の集合と同様であり、箱に(ｉ,ｊ)というベクトル
が書かれている集合には、((Ｃ｜ｐ),(Ｃ｜ｑ))＝(ｉ,
ｊ)であるようなＣの値が属している。
変換を示す概念図である。図において、左側に縦方向に
並べられた箱の集合は、それぞれセレクタ１３２の出力
ｚの取り得る値の集合で、箱に(ｉ,ｊ)というベクトル
が書かれている集合には、((ｚ｜ｐ),(ｚ｜ｑ))＝(ｉ,
ｊ)であるようなｚの値が属している。また、箱の上か
ら１個目から８個目までの箱には、ｚ≧(Ｎ＋１)/２で
あるようなｚの値が属し、箱の下から１個目から９個目
までの箱には、ｚ≦(Ｎ−１)/２であるようなｚの値が
属している。点線で囲まれた箱は、その箱に属する値が
ｚの値として使用されないことを示し、実線で囲まれた
箱は、その箱に属する値がｚの値として使用され得るこ
とを示している。また、右側に縦方向に並べられた箱の
集合は、それぞれセレクタ１４４の出力すなわち暗号文
Ｃの取り得る値の集合で、記述方法は、平文ｚの取り得
る値の集合と同様であり、箱に(ｉ,ｊ)というベクトル
が書かれている集合には、((Ｃ｜ｐ),(Ｃ｜ｑ))＝(ｉ,
ｊ)であるようなＣの値が属している。
【００７２】ステップ３４０においては、ｚに対して、
ｚが(Ｎ＋１)/２以上の値をとれば、Ｃ＝−ｚ(ｍｏｄ
Ｎ)とし、それ以外の場合にはＣ＝ｚとしている。この
ため、図に示すように、(Ｎ＋１)/２以上の値をとるｚ
で((ｚ｜ｐ)(ｚ｜ｑ))＝(１,１),(−１,１),(０,１),
(１,０)であるようなｚの集合が、それぞれ(Ｎ−１)/２
以下の値をとるＣで((Ｃ｜ｐ)(Ｃ｜ｑ))＝(−１,−１),
(１,−１),(０,−１),(−１,０)であるようなＣの集合
に写され、それ以外のｚの集合は、そのまま右手に位置
するＣの集合に写される。
ｚが(Ｎ＋１)/２以上の値をとれば、Ｃ＝−ｚ(ｍｏｄ
Ｎ)とし、それ以外の場合にはＣ＝ｚとしている。この
ため、図に示すように、(Ｎ＋１)/２以上の値をとるｚ
で((ｚ｜ｐ)(ｚ｜ｑ))＝(１,１),(−１,１),(０,１),
(１,０)であるようなｚの集合が、それぞれ(Ｎ−１)/２
以下の値をとるＣで((Ｃ｜ｐ)(Ｃ｜ｑ))＝(−１,−１),
(１,−１),(０,−１),(−１,０)であるようなＣの集合
に写され、それ以外のｚの集合は、そのまま右手に位置
するＣの集合に写される。
【００７３】図８を見てわかるように、その際に、別の
集合が一つの同じ集合に写されることは無い。従って、
ステップ３４０によって行われるｚからＣへの変換が１
対１の変換であることがわかる。以上の説明によって、
本実施形態の暗号化方法においては、平文Ｍと暗号文Ｃ
とが１対１に対応することがわかる。
集合が一つの同じ集合に写されることは無い。従って、
ステップ３４０によって行われるｚからＣへの変換が１
対１の変換であることがわかる。以上の説明によって、
本実施形態の暗号化方法においては、平文Ｍと暗号文Ｃ
とが１対１に対応することがわかる。
【００７４】なお、本実施形態の暗号文Ｃから元の平文
Ｍを復元するためには、基本的には、暗号化の操作と逆
の操作を行えばよい。ただし、暗号化の操作においては
(Ｍ｜Ｎ)の値およびｚの値が(Ｎ＋１)/２以上であるか
否によって処理方法を変えているが、復号化の操作にお
いてはＭおよびｚの値が事前にわからないので、(Ｍ｜
Ｎ)の値およびｚの値が(Ｎ＋１)/２以上であるか否を暗
号文Ｃから判別しなければならない。
Ｍを復元するためには、基本的には、暗号化の操作と逆
の操作を行えばよい。ただし、暗号化の操作においては
(Ｍ｜Ｎ)の値およびｚの値が(Ｎ＋１)/２以上であるか
否によって処理方法を変えているが、復号化の操作にお
いてはＭおよびｚの値が事前にわからないので、(Ｍ｜
Ｎ)の値およびｚの値が(Ｎ＋１)/２以上であるか否を暗
号文Ｃから判別しなければならない。
【００７５】幸いなことに、図５から図８を見ると、
(Ｍ｜Ｎ)＝(Ｃ｜ｐ)(Ｃ｜ｑ)が成り立っていることがわ
かる。これによって、暗号文Ｃから(Ｍ｜Ｎ)の値を判別
できる。また、図８を見ると、ｓ(Ｃ)＝−１であればｚ
の値が(Ｎ＋１)/２以上であることがわかる。これによ
って、暗号文Ｃからｚの値が(Ｎ＋１)/２以上であるか
否が判別できる。
(Ｍ｜Ｎ)＝(Ｃ｜ｐ)(Ｃ｜ｑ)が成り立っていることがわ
かる。これによって、暗号文Ｃから(Ｍ｜Ｎ)の値を判別
できる。また、図８を見ると、ｓ(Ｃ)＝−１であればｚ
の値が(Ｎ＋１)/２以上であることがわかる。これによ
って、暗号文Ｃからｚの値が(Ｎ＋１)/２以上であるか
否が判別できる。
【００７６】なお、ここで、ｓ(Ｃ)は、もし(Ｃ｜ｑ)＝
０の場合にはｓ(Ｃ)＝(Ｃ｜ｐ)で、(Ｃ｜ｑ)≠０の場合
にはｓ(Ｃ)＝(Ｃ｜ｑ)と定義される値である。従って、
図２の復号化装置によって、図１の暗号化装置の出力し
た暗号文から元の平文が復元できること、および、図４
の復号化方法によって、図３の暗号化方法によって得ら
れた暗号文から元の平文Ｎが復元することができること
がわかる。
０の場合にはｓ(Ｃ)＝(Ｃ｜ｐ)で、(Ｃ｜ｑ)≠０の場合
にはｓ(Ｃ)＝(Ｃ｜ｑ)と定義される値である。従って、
図２の復号化装置によって、図１の暗号化装置の出力し
た暗号文から元の平文が復元できること、および、図４
の復号化方法によって、図３の暗号化方法によって得ら
れた暗号文から元の平文Ｎが復元することができること
がわかる。
【００７７】
【発明の効果】以上説明したように、本発明は、下記の
ような効果を有する。 （１）平文と暗号文を１対１に対応させられるため、暗
号文から平文を一意に復元できる。 （２）平文の値域の大きさと暗号文の値域の大きさを等
しくできるため、暗号化によってデータのサイズが拡大
することが無い。 （３）(ｘ｜ｐ)(ｘ｜ｑ)＝−１となるようなｘは使用し
ていないため、復号化装置によってディジタル署名を作
成しても、選択暗号文攻撃によって解読されることがな
い。
ような効果を有する。 （１）平文と暗号文を１対１に対応させられるため、暗
号文から平文を一意に復元できる。 （２）平文の値域の大きさと暗号文の値域の大きさを等
しくできるため、暗号化によってデータのサイズが拡大
することが無い。 （３）(ｘ｜ｐ)(ｘ｜ｑ)＝−１となるようなｘは使用し
ていないため、復号化装置によってディジタル署名を作
成しても、選択暗号文攻撃によって解読されることがな
い。
【図１】本発明の一実施形態の公開鍵暗号化システムに
おける暗号化装置の構成を示したブロック図である。
おける暗号化装置の構成を示したブロック図である。
【図２】本発明の一実施形態の公開鍵暗号化システムに
おける復号化装置の構成を示したブロック図である。
おける復号化装置の構成を示したブロック図である。
【図３】図１の暗号化装置の動作を示したフローチャー
トである。
トである。
【図４】図２の復号化装置の動作を示したフローチャー
トである。
トである。
【図５】図３のステップ３１０で行われる変換を示す概
念図である。
念図である。
【図６】図３のステップ３２０で行われる変換を示す概
念図である。
念図である。
【図７】図３のステップ３３０で行われる変換を示す概
念図である。
念図である。
【図８】図３のステップ３４０で行われる変換を示す概
念図である。
念図である。
１１１ ヤコビ記号計算回路
１１２ 乗算器
１１３ セレクタ
１２０ 平方回路
１３１ 乗算器
１３２ セレクタ
１４１ シフタ
１４２ 比較器
１４３ 乗算器
１４４ セレクタ
１５１、１５２ 入力端子
１５３ 出力端子
２１１、２１２ ヤコビ記号計算回路
２１３ 乗算器
２１４ セレクタ
２２１ 乗算器
２２２ セレクタ
２３１ 除算器
２３２ セレクタ
２４０ 開平回路
２５１ 除算器
２５２ セレクタ
２６１〜２６４ 入力端子
２６５ 出力端子
３１０〜３１３ ステップ
３２０ ステップ
３３０〜３３３ ステップ
３４０〜３４３ ステップ
４１０〜４１３ ステップ
４２０〜４２３ ステップ
４３０ ステップ
４４０〜４４３ ステップ
─────────────────────────────────────────────────────
フロントページの続き
(58)調査した分野(Int.Cl.7，ＤＢ名)
G09C 1/00 620
H04L 9/30
ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (3)
- 【請求項１】 ヤコビ記号（２│ｐ）が−１となる素数
である第１の秘密鍵ｐとヤコビ記号（２│ｑ）が１とな
る素数である第２の秘密鍵ｑとの積ｐｑを値として有す
る公開鍵Ｎを用いて、Ｍ≦(Ｎ−１)/２という条件を満
たす平文Ｍを暗号化することにより暗号文Ｃを生成する
ための暗号化装置であって、 前記平文Ｍと前記公開鍵Ｎとのヤコビ記号（Ｍ│Ｎ）の
値を計算するヤコビ記号計算回路と、 前記平文Ｍの値を２倍して、該乗算結果である出力２Ｍ
を出力する第１の乗算器と、 前記ヤコビ記号計算回路において得られたヤコビ記号
(Ｍ│Ｎ)の値が“−１”の場合には前記第１の乗算器の
出力２Ｍを選択して出力ｘとして出力し、前記ヤコビ記
号(Ｍ│Ｎ)の値が“−１”以外の場合には前記平文Ｍを
選択して出力ｘとして出力する第１のセレクタと、 前記第１のセレクタの出力ｘに対して、該出力ｘの２乗
をＮで割った時の余りであるｘ2 ｍｏｄ Ｎを計算し
て、該計算結果を出力ｙとして出力する平方回路と、 前記平方回路の出力ｙに対して、該出力ｙの２倍をＮで
割った時の余りである２ｙ ｍｏｄ Ｎを計算して、該計
算結果を出力する第２の乗算器と、 前記ヤコビ記号計算回路において得られたヤコビ記号
(Ｍ│Ｎ)の値が“−１”の場合には前記第２の乗算器の
出力である２ｙ ｍｏｄ Ｎを選択して出力ｚとして出力
し、前記ヤコビ記号（Ｍ│Ｎ）の値が“−１”以外の場
合には前記平方回路の出力ｙを選択して出力ｚとして出
力する第２のセレクタと、 前記公開鍵Ｎを右に１ビットだけシフトして得られた値
である出力(Ｎ−１)/２を出力するシフタと、 前記シフタの出力(Ｎ−１)/２と前記第２のセレクタの
出力ｚとの大小を比較して、該比較結果を出力する比較
器と、 前記第２のセレクタの出力ｚの−１倍をＮで割った時の
余りである−ｚ ｍｏｄ Ｎを計算して、該計算結果を出
力する第３の乗算器と、 前記比較器の出力がｚ≦(Ｎ−１)/２を示している場合
には、前記第２のセレクタの出力ｚを選択して前記暗号
文Ｃとして出力し、前記比較器の出力がｚ＞(Ｎ−１)/
２を示していれば、前記第３の乗算器の出力−ｚ ｍｏ
ｄ Ｎを選択して前記暗号文Ｃとして出力する第３のセ
レクタとから構成されている暗号化装置。 - 【請求項２】 ヤコビ記号（２│ｐ）が−１となる素数
の第１の秘密鍵ｐとヤコビ記号（２│ｑ）が１となる素
数の第２の秘密鍵ｑとの積ｐｑを値として有する公開鍵
Ｎを用いて、Ｍ≦(Ｎ−１)/２という条件を満たす平文
Ｍを暗号化することにより生成された暗号文Ｃを、前記
第１および第２の秘密鍵ｐ、ｑと公開鍵Ｎを用いて復号
化することにより元の平文Ｍを復元するための復号化装
置であって、 前記暗号文Ｃと前記第１の秘密鍵ｐのヤコビ記号(Ｃ│
ｐ)の値を計算する第１のヤコビ記号計算回路と、 前記暗号文Ｃと前記第２の秘密鍵ｑのヤコビ記号(Ｃ│
ｑ)の値を計算する第２のヤコビ記号計算回路と、 前記第１のヤコビ記号計算回路により得られたヤコビ記
号(Ｃ│ｐ)と前記第２のヤコビ記号計算回路により得ら
れたヤコビ記号(Ｃ│ｑ)の積を計算して、該計算結果
(Ｃ│ｐ)(Ｃ│ｑ)を出力する第１の乗算器と、 前記第２のヤコビ記号計算回路の出力(Ｃ│ｑ)の値が
“０”の場合には、前記第１のヤコビ記号計算回路の出
力(Ｃ│ｐ)を選択して出力ｓ（Ｃ）として出力し、前記
第２のヤコビ記号計算回路の出力(Ｃ│ｑ)の値が“０”
以外の場合には、前記第２のヤコビ記号計算回路の出力
(Ｃ│ｑ)を選択して出力ｓ(Ｃ)として出力する第１のセ
レクタと、 前記暗号文Ｃの値の−１倍をＮで割った時の余りである
−Ｃ ｍｏｄ Ｎを計算して、該計算結果を出力する第２
の乗算器と、 前記第１のセレクタの出力ｓ(Ｃ)が“−１”の場合には
前記第１の乗算器の出力すなわち−Ｃ ｍｏｄ Ｎを選択
して出力ｚとして出力し、前記第１のセレクタの出力ｓ
(Ｃ)が“−１”以外の場合には前記暗号文Ｃを選択して
出力ｚとして出力する第２のセレクタと、 前記第２のセレクタの出力ｚに対して、該出力ｚの１／
２倍を前記公開鍵Ｎで割った時の余りであるｚ/２ ｍｏ
ｄ Ｎを計算して、該計算結果を出力する第１の除算器
と、 前記第１の除算器の出力(Ｃ│ｐ)(Ｃ│ｑ)の値が“−
１”の場合には前記第１の除算器の出力であるｚ/２ ｍ
ｏｄ Ｎを選択して出力ｙとして出力し、前記第１の除
算器の出力(Ｃ│ｐ)(Ｃ│ｑ)の値が“−１”以外の場合
には前記第２のセレクタの出力ｚを選択して出力ｙとし
て出力する第３のセレクタと、 前記第３のセレクタの出力ｙが“０”以外の場合には、
ｘに関する２次合同式ｘ2＝ｙ(ｍｏｄ Ｎ)の解のうち
(ｘ│ｐ)(ｘ│ｑ)≠−１を満たし、その値が(Ｎ−１)/
２以下のものを第１の出力ｘLとして出力し、その値が
(Ｎ＋１)/２以上のものを第２の出力ｘGとして出力し、
前記第３のセレクタの出力ｙが“０”の場合には“０”
を前記第１の出力ｘL、前記第２の出力ｘGとして出力す
る開平回路と、 前記開平回路の第２の出力ｘGに対して、ｘGを２で割っ
た時の商すなわちｘG/２を計算して、該計算結果を出力
する第２の除算器と、 前記第１の乗算器の出力(Ｃ│ｐ)(Ｃ│ｑ）の値が“−
１”の場合には前記第２の除算器の出力すなわちｘG/２
を選択して平文Ｍとして出力し、前記第１の乗算器の出
力(Ｃ│ｐ)(Ｃ│ｑ）の値が“−１”以外の場合には前
記開平回路の第１の出力ｘLを選択して平文Ｍとして出
力する第４のセレクタとから構成されている復号化装
置。 - 【請求項３】 請求項１記載の暗号化装置と、請求項２
記載の復号化装置とから構成されている公開鍵暗号化シ
ステム。
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP20200598A JP3396693B2 (ja) | 1998-07-16 | 1998-07-16 | 暗号化／復号化装置と公開鍵暗号化システム |
| EP99305581A EP0973293A3 (en) | 1998-07-16 | 1999-07-14 | Public-key cryptography with increased protection against selective ciphertext attack |
| CNB991192664A CN1153404C (zh) | 1998-07-16 | 1999-07-16 | 具有增强保护以防选择的密文攻击的公钥密码系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP20200598A JP3396693B2 (ja) | 1998-07-16 | 1998-07-16 | 暗号化／復号化装置と公開鍵暗号化システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000035757A JP2000035757A (ja) | 2000-02-02 |
| JP3396693B2 true JP3396693B2 (ja) | 2003-04-14 |
Family
ID=16450357
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP20200598A Expired - Fee Related JP3396693B2 (ja) | 1998-07-16 | 1998-07-16 | 暗号化／復号化装置と公開鍵暗号化システム |
Country Status (3)
| Country | Link |
|---|---|
| EP (1) | EP0973293A3 (ja) |
| JP (1) | JP3396693B2 (ja) |
| CN (1) | CN1153404C (ja) |
Families Citing this family (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE4117969C2 (de) * | 1991-05-31 | 2000-11-09 | Balzers Ag Liechtenstein | Vakuumkammer |
| KR100396740B1 (ko) * | 2000-10-17 | 2003-09-02 | 학교법인 한국정보통신학원 | 계산적 디피-헬만 가정에 기반하는 안전성 증명 가능한공개키 암호화 방법 |
| GB2370471B (en) * | 2000-12-20 | 2004-06-23 | Director Government Comm Headq | Directoryless Public Key Cryptographic System and Method |
| US6950517B2 (en) * | 2002-07-24 | 2005-09-27 | Qualcomm, Inc. | Efficient encryption and authentication for data processing systems |
| US8811606B2 (en) * | 2007-04-20 | 2014-08-19 | Unoweb Inc. | Asymmetric cryptography using shadow numbers |
| US20080260153A1 (en) * | 2007-04-20 | 2008-10-23 | John Almeida | Symmetric and asymmetric cryptography using shadow numbers |
| CN111130785B (zh) * | 2018-10-31 | 2022-11-29 | 中国移动通信集团浙江有限公司 | 基于实时客流模型生成rsa加密算法密钥的方法及装置 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3055636B2 (ja) * | 1991-09-20 | 2000-06-26 | 日本電気株式会社 | 暗号通信符号化装置および復号化装置 |
-
1998
- 1998-07-16 JP JP20200598A patent/JP3396693B2/ja not_active Expired - Fee Related
-
1999
- 1999-07-14 EP EP99305581A patent/EP0973293A3/en not_active Withdrawn
- 1999-07-16 CN CNB991192664A patent/CN1153404C/zh not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| CN1253437A (zh) | 2000-05-17 |
| EP0973293A2 (en) | 2000-01-19 |
| JP2000035757A (ja) | 2000-02-02 |
| CN1153404C (zh) | 2004-06-09 |
| EP0973293A3 (en) | 2001-04-04 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6154541A (en) | Method and apparatus for a robust high-speed cryptosystem | |
| Rio Piedras | Cellular automaton public-key cryptosystem | |
| US5220606A (en) | Cryptographic system and method | |
| US7949128B2 (en) | Method and device for the encryption and decryption of data | |
| EP0936776B1 (en) | A network system using a threshold secret sharing method | |
| US8605897B2 (en) | Symmetric-key encryption method and cryptographic system employing the method | |
| US20130236012A1 (en) | Public Key Cryptographic Methods and Systems | |
| EP0704124A1 (en) | A cryptographic method | |
| Zheng et al. | Practical approaches to attaining security against adaptively chosen ciphertext attacks | |
| US6111952A (en) | Asymmetrical cryptographic communication method and portable object therefore | |
| JP3396693B2 (ja) | 暗号化／復号化装置と公開鍵暗号化システム | |
| US20060251248A1 (en) | Public key cryptographic methods and systems with preprocessing | |
| Wade et al. | The Iso-ElGamal Cryptographic Scheme | |
| US20080019508A1 (en) | Public key cryptographic methods and systems with rebalancing | |
| JP2000047581A (ja) | 暗号化方法，暗号化・復号装置及び暗号通信システム | |
| EP0667692B1 (en) | Public-key cryptographic apparatus handling ciphertext by public-key | |
| Henry | Fast decryption algorithm for the knapsack cryptographic system | |
| JP2002023626A (ja) | 公開鍵暗号方法および公開鍵暗号を用いた通信システム | |
| JP3055636B2 (ja) | 暗号通信符号化装置および復号化装置 | |
| US20040151307A1 (en) | Tractable rational map public-key system | |
| JP4200259B2 (ja) | 公開鍵生成装置、暗号化装置および復号装置 | |
| EP1148675A1 (en) | Public key cryptograph and key sharing method | |
| WO2003013052A1 (en) | Cryptosystems based on non-commutatity | |
| JP3722744B2 (ja) | 暗号化装置，暗号通信システム，記録媒体 | |
| Sethi et al. | Multi-Way encryption using elliptic curve cryptography |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20021106 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080214 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090214 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090214 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100214 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100214 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110214 Year of fee payment: 8 |
|
| LAPS | Cancellation because of no payment of annual fees |