JP3402444B2 - 公開鍵暗号化装置、公開鍵暗号復号装置及びプログラム記録媒体 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は二つの素数、ｐ，
ｑ，ｎ＝ｐ² ｑに対し、ｎを法とした既約剰余類群（Ｚ
／ｎＺ）^* 上で構成される公開鍵暗号システムに用いる
暗号装置、復号装置、その処理プログラム記録媒体に関
する。

【０００２】

【従来の技術】一般に、暗号法は共通鍵暗号システムと
公開鍵暗号システムの二種類に類別できる。公開鍵暗号
システムは、共通鍵暗号で問題となる鍵配送の問題や鍵
の管理の問題などを解決する画期的な発明であって、代
表的な公開鍵暗号として、ＲＳＡ暗号、Rabin 暗号、El
Gamal 暗号、楕円曲線暗号（楕円ElGamal 暗号）などが
挙げられる。これらの暗号の安全性は、いずれも、ある
種の数学の問題を計算量的に解く難しさに基づいてい
る。具体的には、素因数分解問題と離散対数問題であ
る。ＲＳＡ暗号、Rabin 暗号は素因数分解問題の難しさ
に、ElGamal 暗号、楕円曲線暗号は、有限体の乗法群、
有限体上の楕円曲線上の離散対数問題の難しさに基づい
ている。

【０００３】ＲＳＡ暗号については、Communications o
f the ACM,vol.21,pp.120-126(1978) に、Rivest,R.L.
等によって、“A Method for Obtaining Digital Signa
tures and Public-Key Cryptosystems”と題して論及さ
れており（以下、この文献を文献１と称す）、Rabin 暗
号については、MIT,Technical Report,MIT/LSC/TR-212
(1979) にRabin,M.O.によって、“Digital Signatures
and Public-Key Functions as intractable as Factori
zation ”と題して論及されている（以下、この文献を
文献２と称す）、さらに、ElGamal 暗号については、IE
EE Trans.on Information Theory,IT-31,4,pp.469-472
(1985) に、ElGamal,T.によって、“A Public-Key Cryp
tosystem and a Signature Scheme Based on Discrete
Logarithms”と題して論及されており（以下、この文献
を文献３と称す）、楕円曲線暗号については、Miller,
V.S. とKoblitz,N.によって、１９８５年に独立に提案
されたものであるが、Proc.of Crypto'85,LCNCS 218,Sp
ringer-Verlag,pp.417-426(1985)にMiller,V.S. によっ
て“Use of Elliptic Curves in Cryptography”と題し
て論及され（以下、この文献を文献４と称す）、Math,C
omp.,48,177,pp.203-209(1987)にはKoblitz,N.によって
“Elliptic Curve Cryptosystems”と題して論及されて
いる（以下、この文献を文献５と称す）。

【０００４】楕円曲線、及び楕円曲線暗号に関しては、
例えば、Menezes,A.J.著、“Elliptic Curve Public Ke
y Cryptosystems ”、Kluwer Academic Publishers(199
3)を参照（以下、この文献を文献６と称す）。安全性に
関して、暗号は、攻撃者（盗聴者）に通信内容を隠して
送ることを目的とするため、どの程度通信内容を隠して
いるかの度合が重要になる。即ち、秘匿性としては、完
全解読（暗号文から、平文が完全に求められる事）と、
部分解読（暗号文から、平文の部分情報が求められる
事）の二種類に分類できる。次に、公開鍵暗号の攻撃者
のタイプには、単に暗号通信を受信し、その情報だけか
ら解読を試みる受動的攻撃と、送信者に様々な質問をし
（暗号文を送り）、その回答（その復号結果）をもらう
ことが許され、それらの情報をもとにして、目的とする
暗号文を解読するような能動的攻撃の二種類に分けられ
る。特に、能動的攻撃の中でも、適応的選択暗号文攻撃
（解読者が任意に選んだ暗号文を真の受信者に復号させ
た後、そこで得た情報と公開情報を用いて、別の暗号文
を復号する攻撃）がもっとも強力である。

【０００５】ＲＳＡ暗号やRabin 暗号は、公開鍵を素因
数分解することが出来れば完全に解読することが出来、
ElGamal 暗号、楕円曲線暗号は、それぞれの暗号の安全
性の基になる離散対数問題が解ければ完全に解読するこ
とが出来る。一方、暗号が解読できればその基になる問
題が解けるかというと、Rabin 暗号は完全に解読出来れ
ば、その公開鍵が素因数分解出来ることが知られている
が、上の例でのその他の暗号は、完全に解読出来ても基
になる問題が解けるかどうかは証明されておらず、未解
決問題である。一方、Rabin 暗号はその性質、即ち、素
因数分解問題と等価に安全であるという性質から、逆に
能動的攻撃に弱いことが知られている。これに対して、
選択暗号文攻撃に対して安全である効率的な暗号も提案
されている。これについては、Proc.of Eurocrypt'94,L
CNCS 950,Springer-Verlag,pp.92-111(1995)に、Bellar
e,M.等によって“Optimal Asymmetric Encryption ”と
題して論及されている（以下、この文献を文献７と称
す）。

【０００６】

【発明が解決しようとする課題】上述のように、公開鍵
暗号は、従来からの共通鍵暗号と比較すれば、鍵管理の
問題を解決することが出来、ディジタル署名を実現する
ことが出来るが、実用的な公開鍵暗号の構成方法は、上
述の素因数分解や、離散対数問題位しか知られてなく、
ましてや、ある種の安全性が証明されている暗号は、Ra
bin 暗号とその変形だけであると言っても過言ではな
い。

【０００７】この発明の目的は、素因数分解問題が難し
いであろという仮定に基づき、受動的攻撃に対して安全
であることが証明でき、さらに、選択暗号文攻撃に対し
ても安全である公開鍵暗号システムを提供することであ
る。具体的には、ｐ，ｑを二つの素数として、ｎ＝ｐ²
ｑとしたとき、ｎを法とした既約剰余類群（Ｚ／ｎＺ）
^* 上で構成されるものを提供する。これを「乗法群に基
づく公開鍵暗号システム」と呼ぶ。

【０００８】

【課題を解決するための手段】まずこの発明の基礎とな
るものを説明する。有限素体Ｆ_p 上の楕円曲線で、位数
がｐのものを anomalous楕円曲線と呼ぶことにする。こ
の anomalous楕円曲線上の離散対数問題が非常に効率良
く計算出来ることが、Smart,N.P.によって、“ The Dis
crete Logarithm Problem on Elliptic Curves of Trac
e one,preprint(September,1997)”において（以下、こ
の文献を文献８と称す）、佐藤考和等によって、“Ferm
at Quotient and the Polynomial Time Discrete Logar
ithm for Anomalous Elliptic Curves,preprint(Septem
ber,1997) ”において（以下、この文献を文献９と称
す）、それぞれ独立に論及されている。この anomalous
楕円曲線における離散対数問題を解くアルゴリズムを、
以下ではＳＳＡアルゴリズムと呼ぶことにする。

【０００９】特に、後者の論文中で示唆されていること
として、ある種の群のp-Sylow 部分群における離散対数
問題が、非常に効率良く解けるという事実がある。ここ
で、p-Sylow 部分群とは、例えば、有限群Ｈが与えられ
ているとき、Ｈの部分群の中で、位数がｐの巾となるも
のの中で位数が最も大きなものをＨのp-Sylow 部分群と
いう。この発明では、このある種の群のp-Sylow 部分群
における離散対数問題が非常に効率良く解けることを利
用して、受動的攻撃に対して安全である公開鍵暗号を用
いて、選択暗号文攻撃にも強い新しい公開鍵暗号を提案
することである。

【００１０】このある種の群のｐ−Sylow 部分群におけ
る離散対数問題が非常に効率良く解けることを利用した
公開鍵暗号方式については、内山らによって、“A New
Public-Key Cryptosystem as Secure as Factoring,pre
print （December,1997)”と題して（以下、この文献を
文献１０と称す）論及されている。ある種の安全性の証
明がつけられる、新しい公開鍵暗号を提供する。

【００１１】ｐを奇素数として、ｐ² を法とした既約剰
余類群（Ｚ／ｐ² Ｚ）^* において、そのp-Sylow 部分群
Γ、即ち、この場合は位数ｐの部分群になるが、これは
次のように書ける： Γ＝｛ｘ∈（Ｚ／ｐ² Ｚ）^* ｜ｘ≡１（mod ｐ）｝ (1) （Ｚ／ｐ² Ｚ）^* における離散対数問題は、現在のとこ
ろ、非常に難しい問題であると信じられていて、効率の
良いアルゴリズムはまだ発見されていない。しかし、Γ
における離散対数問題は非常に効率良く解ける。実際、
次のようなΓ上定義された関数を考える： Ｌ（ｘ）＝（ｘ−１）／ｐ，ｘ∈Γ (2) この関数の値は、有限素体Ｆ_p になるとみなせる。する
と、この関数Ｌは、任意のａ，ｂ∈Γに対して Ｌ（ab）＝Ｌ（ａ）＋Ｌ（ｂ）mod ｐ (3) なる性質を持つことが簡単に分かり、この関数は、Γか
らＦ_p への群としての同型写像を与えていることも分か
る。このＬの計算量は、ｐのビット数をｋとすればｋ²
のオーダーであることが簡単に分かる。従って、Γにお
ける離散対数問題、即ち、ｘ∈Γ，ｍを０＜ｍ＜ｐから
任意にとり、ｙ＝ｘ^m とおいて、ｘ，ｙからｍを求める
問題については、式（３）から Ｌ（ｙ）＝Ｌ（ｘ^m ）＝ｍＬ（ｘ）mod ｐ (4) となるので、Ｌ（ｘ）≠０mod ｐであれば ｍ＝Ｌ（ｙ）／Ｌ（ｘ）mod ｐ (5) と、効率良く求めることが出来る。ｘ，ｙから、ｍを求
める計算量は、ｐのビット数をｋとすれば、ｋ³ のオー
ダーで出来る。

【００１２】この性質を用いれば、新しい公開鍵暗号が
構成出来る。まず、中国人剰余定理（中国人剰余定理
は、例えば、岡本・山本著、“現代暗号”、ｐｐ．１
５、産業図書（１９９７）を参照。以下、この文献を文
献１０と称す）より （Ｚ／ｎＺ） ^* 〜（Ｚ／ｐ² Ｚ）^* ×（Ｚ／ｑＺ）^* (6) 〜Γ×（Ｚ／ｐＺ）^* ×（Ｚ／ｑＺ）^* (7) が成り立つので、「乗法群に基づく公開鍵暗号装置」
は、以下で定められる：ｇ∈（Ｚ／ｎＺ）^* でｇ_p ＝ｇ
^p-1 mod ｐ² ∈ΓがＬ(g _p )≠０mod ｐを満たすものを
取り、ｎ，ｇ，ｋを公開鍵とする。ここで、ｋは、素数
ｐ，ｑのビット数とする。平文ｍを０＜ｍ＜２^k-1 から
取る自然数とすると、ｒをＺ／ｎＺから任意に取り、暗
号化を次で定める Ｃ＝ｇ^m+rn mod ｎ (8) 復号は、ＣをΓの元に変換することが出来れば、ｎの素
因子ｐを知っているものは、上述の関数Ｌを用いて効率
良くその離散対数を求めることが出来、ｍは０＜ｍ＜２
^k-1 の範囲にあるので、mod ｐでは一意に定まり、した
がって、効率良く復号が出来る。ＣをΓの元に変換する
方法は、 Ｃ_p ＝Ｃ^p-1 mod ｐ² (9) とすれば、Ｃ_p ∈Γとなる。また、この公開鍵暗号を解
読することは、公開鍵ｎを素因数分解することと等価で
あることが証明できる。さらに、このままでは、選択暗
号文攻撃に対して安全でないことが証明出来てしまう
が、これを少し変形することによって、選択暗号文攻撃
を避けることが出来る。

【００１３】そこでこの発明の１つでは平文ｍのビット
数をｋ₀ （ｋ₀ ＜ｋ）とし、このｋ ₀ は公開しておく。
さらに、乱数ｒのビット数をｋ−ｋ₀ −１として、ｍと
ｒをビット列として結合させたものをｍ‖ｒと表すこと
にし、これをＭ＝ｍ‖ｒとする。すると、Ｍは、０＜Ｍ
＜２^k-1 を満たす。さらに、関数ｈを用いて、Ｒ＝ｈ
（Ｍ）とする（Ｒ∈（Ｚ／ｎＺ））。

【００１４】この時、暗号化処理を Ｃ＝ｇ^M+Rnmod ｎ （10） とする。復号は上述と全く同じ方法で行ない、Ｍを得る
が、この時、Ｍの上位ｋ ₀ ビットを平文として得ること
が出来る。こう変形したものが、受動的攻撃に対して安
全であることは文献１０に述べられている手法を用いれ
ば同様に証明され、選択暗号文攻撃に対して安全である
ことは、関数ｈをランダム関数と仮定すれば示される。
これに関しては、詳しくは文献７を参照されたい。

【００１５】この発明の他の１つでは、上述と同じ記号
でｍ，ｋ₀ を使うことにすると、Ｒ＝ｈ（ｍ）（Ｒのビ
ット数はｋ−ｋ₀ −１）とし、Ｍ＝ｍ‖Ｒとする。さら
に、乱数ｒ∈Ｚｎを選び、暗号化処理を Ｃ＝ｇ^M+rnmod ｎ （11） とする。復号は上述と全く同じ方法で行ない、Ｍを得る
が、この時、Ｍの上位ｋ ₀ ビットを平文として得ること
が出来る。この場合の安全性について十分であることは
文献７，１０を参照することにより理解される。

【００１６】

【発明の実施の形態】はじめに、この発明による装置を
用いた暗号方式における処理を説明する。 （鍵の生成）奇素数ｐ、ｑを任意に選び、ｎ＝ｐ² ｑと
する。ただし、ｐ、ｑのビット数は同じでｋとする。ま
た、ＧＣＤ（ｐ，ｑ−１）＝１（ＧＣＤはｐとｑ−１の
最大公約数）を満たしているとする。また、ｋ₀ （ｋ₀
＜ｋ）も定めておく。さらに、ｇを（Ｚ／ｎＺ）^* の中
から、ｇ_p ＝ｇ^p-1 mod ｐ² が（Ｚ／ｐ² Ｚ）^* の中で
の位数がｐとなるものを取る。すると、上述の関数Ｌで
Ｌ（ｇ_p ）≠０mod ｐが成立する。実際、（Ｚ／ｐ
² Ｚ）^* の中での位数がｐとなるものは１＋ｋｐmod ｐ
² （ｋはｐで割れない）と表せ、したがってＬ（１＋ｋ
ｐ）＝（１＋ｋｐ）−１／ｐ＝ｋ≠０mod ｐとなるか
ら、また、具体的に、ｇを生成する方法としては、ラン
ダムにｇを（Ｚ／ｎＺ）^* から選ぶと、Ｌ（ｇ_p ）≠０
mod ｐとなる確率は１−（１／ｐ）程度と考えられるの
で、無視出来ない確率で選ぶことが出来る。利用者は、
公開は出来ないが、システムパラメータの一つとしてＬ
（ｇ_p ） ^-1mod ｐをあらかじめ計算しておくことにす
る。ｈを一方向性関数として（ｎ，ｇ，ｋ，ｋ₀ ，ｈ）
を公開鍵、（ｐ，ｑ）を秘密鍵とする。ここで、Ｌ（ｇ
_p ） ^-1mod ｐも秘密鍵と考えて良い。 （暗号化処理（タイプ１））平文ｍに対して、関数ｈを
用いて、Ｍ＝ｍ‖ｈ（ｍ）とし、乱数ｒを０＜ｒ＜ｎの
範囲から選び、暗号文Ｃは以下のように計算する。

【００１７】 Ｃ＝ｇ^M+rnmod ｎ （12） （暗号化処理（タイプ２））平文ｍに対して、乱数ｒ
（ｋ−ｋ₀ −１ビット）を発生させ、Ｍ＝ｍ‖ｒとし、
関数Ｈを用いて、Ｒ＝ｈ（Ｍ）として、暗号文Ｃは以下
のように計算する。 Ｃ＝ｇ^M+Rnmod ｎ （13） （復号処理）暗号文Ｃの定義式（１２）の両辺を、それ
ぞれｐ−１乗すると、mod ｎでの合同式は、勿論、mod
ｐ² でも成立し、ｇ_p mod ｐ² の位数はｐであり、ｒｎ
はｐの倍数であってｇ_p ^rn＝１となるから、 Ｃ^p-1 ＝ｇ^(p-1)(M+rn) ＝ｇ_p ^M ×ｇ_p ^rnmod ｐ² ＝ｇ_p ^M mod ｐ² （14） 従って Ｃ_p ＝Ｃ^p-1 mod ｐ² （15） とおけば Ｃ_p ＝ｇ_p ^M mod ｐ² （16） Ｃ_p ，ｇ_p ∈Γであるから、上述で定義した関数Ｌを使
うと Ｌ（Ｃ_p ）＝Ｌ（ｇ_p ^M ）＝ＭＬ（ｇ_p ）mod ｐ （17） 即ち Ｍ＝Ｌ（Ｃ_p ）／Ｌ（ｇ_p ）mod ｐ （18） となり、Ｍの上位ｋ₀ ビットから平文ｍを得て、復号出
来る。

【００１８】上述の暗号システムを、それぞれの暗号化
の処理の違いに対応して「乗法群に基づく公開鍵暗号シ
ステム（タイプ１）」と「乗法群に基づく公開鍵暗号シ
ステム（タイプ２）」と称することにする。まずは、
「乗法群における公開鍵暗号システム（タイプ１）」の
一実施例について図１を参照して説明する。暗号装置
（タイプ１）１００と復号装置２００が通信回線３００
により接続されている。暗号化装置（タイプ１）は、指
数生成部（タイプ１）１１０と、法ｎでの巾乗計算器１
２０、記憶部１３０と、制御部１４０とを有す。復号装
置２００は、Γ−変換器２１０と、離散対数解法部２２
０と、記憶部２３０と、制御部２４０とを有する。

【００１９】まず、暗号化装置（タイプ１）１００での
暗号化処理について説明する。暗号化装置（タイプ１）
１００における指数生成部（タイプ１）１１０の詳細図
を図２に示す。指数生成部（タイプ１）１１０は、暗号
化装置１００の利用者から平文ｍを受けとると、乱数生
成器１１１は乱数ｒ∈Ｚ／ｎＺを発生させ、また記憶部
１３０から公開鍵ｎを読出し、これらを乗算器１１２に
入力して、ｒｎを計算する、同時に、ｈ−関数器１１４
はｍを変数として入力し、ｈ（ｍ）を出力し、これと平
文ｍをビット連結器１１５に入力し、Ｍ＝ｍ‖Ｈ（ｍ）
を出力する。Ｍ，ｒｎを加算器１１３に入力してＭ＋ｒ
ｎを計算し、この結果を図１中のｎ−巾乗計算器１２０
に入力して、暗号文Ｃ＝ｇ^M+rnmod ｎを生成する。これ
ら各部の順次制御、記憶部１３０の読出しなどを制御部
１４０で行う。

【００２０】次に、復号装置２００での復号処理につい
て説明する。復号装置２００におけるΓ−変換部２１０
の詳細図を図３に示す。また、離散対数解法部２２０の
詳細図を図４に示す。図１中の記憶部２３０には秘密鍵
ｐ、公開鍵ｇより予め計算されたｐ² ，ｐ−１，Ｌ（ｇ
_p ) ^-1mod ｐが記憶されている。復号装置２００におけ
るΓ−変換部は、通信回線３００から、暗号文Ｃを受け
とると記憶部２３０よりｐ² とｐ−１を読出し、ｐ² と
暗号文Ｃをmod ｐ² −還元器２１１に入力して、この還
元器２１１でＣmod ｐ² を計算し、この値とｐ² ，ｐ−
１とをΓ−変換部２１２に入力して、Ｃ_p ＝Ｃ^p-1 mod
ｐ² を計算し、この計算結果Ｃ_p を離散対数解法部２２
０に入力する。

【００２１】離散対数解法部２２０は、Γ−変換部２１
０からＣ_p を受けとると、それと、ｐを対数計算器２２
１に入力し、Ｌ（Ｃ_p ）を計算する。次に、これと記憶
部２３０内のＬ（ｇ_p ）^-1mod ｐを、乗算器２２２に入
力してＬ（Ｃ_p ）×Ｌ（ｇ_p）^-1mod ｐを計算し、この
値Ｍと記憶部２３０内のｋ₀ とを、ビット分離器２２３
に入力し、Ｍの上位ｋ₀ ビットを取り出し、この値を離
散対数解法部２２０は復号平文ｍとして出力する。これ
ら各部の順次制御、記憶部２３０の読出しなどを制御部
２４０が行わせる。記憶部２３０にはｐ，ｇを記憶し、
ｐ² ，ｐ−１，Ｌ（ｇ_p ）^-1mod ｐを計算して求めても
よい。

【００２２】次は、「乗法群における公開鍵暗号システ
ム（タイプ２）」の一実施例について説明する。その基
本構成は図１と同様である。ただ図１中の指示生成部２
１０の構成が図６に示すようになっている。つまり指数
生成部（タイプ２）２１０は、暗号化処理１００の利用
者から平文ｍを受けとると、乱数生成器４１１は乱数ｒ
（ｒのビット数は、ｋ−ｋ₀ −１）を発生させ、これと
ｎをビット連結器４１２に入力して、Ｍ＝ｍ‖ｒを出力
し、このＭをｈ−関数器４１３に入力し、Ｒ＝ｈ（ｍ）
を出力する。これとｎを、乗算器４１４に入力しＲｎ出
力する。これとＭを加算器４１５に入力して、Ｍ＋Ｒｎ
を出力する。この結果をｎ−巾乗計算器１２０に入力し
て、暗号文Ｃ＝ｇ^M+Rnmod ｎを生成する。

【００２３】この場合の復号装置での復号処理は、「乗
法群における公開鍵暗号システム（タイプ１）」の一実
施例における復号装置２００と同じとする。

【００２４】

【発明の効果】以上説明したように、この発明によれ
ば、素因数分解問題の困難さを仮定した上で、受動的攻
撃や選択暗号文攻撃に対する安全性の証明のついた、今
までにない新しい公開鍵暗号システムを構成することが
出来る。現在のところ、ｎはビット数が１０２４ビット
程度あれば十分に安全であると言われていて、即ち、
ｐ，ｑは３４０ビットあれば十分である。さらに、例え
ばこの場合において、平文ｍのビット数を増やしてＭに
する処理において、ｍを２５０ビットとした時、８０ビ
ット増やして、Ｍを３３０ビット程度にするのが実用的
である。また、暗号化処理、復号処理の計算量は共に、
ｋ³ のオーダーであって、但し、ｋは、公開鍵ｎのビッ
ト数とする。現在までに知られている代表的な公開鍵暗
号と比べてもほぼ同程度であり、非常に実用的な暗号で
あると言える。さらに、素因数分解問題が困難であると
いう仮定の基で、受動的攻撃に対する安全性や、選択暗
号文攻撃に対する安全性が言えるので、現在もっとも有
力と考えられているＲＳＡ暗号よりも安全なことが保証
される。

【図面の簡単な説明】

【図１】この発明の暗号装置と復号装置の各実施例を適
用した「乗法群に基づく公開鍵暗号システム（タイプ
１）」の機能構成を示す図。

【図２】図１中の指数生成部１１０（タイプ１）の具体
的機能構成を示す図。

【図３】図１中のΓ−変換部２１０の具体的機能構成を
示す図。

【図４】図１中の離散対数解法部２２０の具体的機能構
成を示す図。

【図５】この発明の暗号装置の他の実施例における指数
生成部（タイプ２）の具体的機能構成を示す図。

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 620 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (5)

(57)【特許請求の範囲】
1. 【請求項１】 入力された平文ｍと乱数ｒを組み合わせ
   て指数を生成する指数生成手段と、 合成数よりなる第１公開鍵を法とした既約剰余類群にお
   いて第２公開鍵を上記指数で巾乗計算して暗号文を出力
   する巾乗計算手段とを具備し、ｐ，ｑを同一ビット数ｋの奇素数とすると、上記第１公
   開鍵ｎはｎ＝ｐ ² ｑであり、上記第２公開鍵ｇは、ｎを
   法とする既約剰余類群（Ｚ／ｎＺ） ^* の中から、ｇ _p ＝
   ｇ ^p-1 mod ｐ ² が（Ｚ／ｐ ² Ｚ） ^* の中での位数がｐと
   なるものから選定され、上記平文ｍの値は０＜ｍ＜２
   ^k-1 であり、 上記指数生成手段は、入力された平文ｍを関数演算し
   て、ビット数ｋ−ｋ ₀ −１（０＜ｋ ₀ ＜ｋ）のｈ（ｍ）
   に変換するｈ−関数手段と、 そのｈ（ｍ）と平文ｍと連結してＭ＝ｍ‖ｈ（ｍ）とす
   るビット連結手段と、 乱数ｒを生成する乱数生成手段と、生成した乱数ｒと上
   記第１公開鍵ｎを乗算する乗算手段と、その乗算結果ｒ
   ｎと上記Ｍを加算して上記指数生成手段の出力とする加
   算手段よりなることを特徴とする公開鍵暗号化装置。
2. 【請求項２】 入力された平文ｍと乱数ｒを組み合わせ
   て指数を生成する指数生成手段と、 合成数よりなる第１公開鍵を法とした既約剰余類群にお
   いて第２公開鍵を上記指数で巾乗計算して暗号文を出力
   する巾乗計算手段とを具備し、ｐ，ｑを同一ビット数ｋの奇素数とすると、上記第１公
   開鍵ｎはｎ＝ｐ ² ｑであり、上記第２公開鍵ｇは、ｎを
   法とする既約剰余類群（Ｚ／ｎＺ） ^* の中から、ｇ _p ＝
   ｇ ^p-1 mod ｐ ² が（Ｚ／ｐ ² Ｚ） ^* の中での位数がｐと
   なるものから選定され、上記乱数ｒのビット数はｋ−ｋ
   ₀ −１とされ（０＜ｋ ₀ ＜ｋ）、上記平文の値は０＜ｍ
   ＜２ ^k-1 とされ、 上記指数生成手段は、乱数ｒを生成する乱数生成手段
   と、 入力された平文ｍと、上記乱数ｒを連結させてＭ＝ｍ‖
   ｒとするビット連結手段と、 このＭを関数演算してＲ＝ｈ（Ｍ）に変換するｈ−関数
   手段と、上記Ｒと上記第１公開鍵ｎを乗算する乗算手段
   と、 その乗算結果Ｒｎと上記Ｍを加算して上記指数生成手段
   の出力とする加算手段とよりなることを特徴とする公開
   鍵暗号化装置。
3. 【請求項３】 入力された暗号文を、合成数よりなる第
   １公開鍵を法とし既約剰余類群の元Ｃ_p に、第１秘密鍵
   ｐを用いて変換するΓ−変換手段と、 上記変換された元Ｃ_p における離散対数を第２秘密鍵を
   用いて解く離散対数解法手段と、 その離散対数解法手段の解の上位ｋ₀ ビット（０＜ｋ₀
   ＜ｋ、ｋはｐのビット数）を復号平文として出力する手
   段とを具備し、 ｐ，ｑを奇素数、ｎ＝ｐ² ｑ、上記入力暗号文Ｃを０＜
   Ｃ＜ｎの範囲にある整数で、ｎと互いに素であるものと
   し、上記ｐを上記第１秘密鍵とし、上記ｎを上記第１公
   開鍵とし、ｎを法とする既約剰余類群（Ｚ／ｎＺ） ^* の
   中から、ｇ _p ＝ｇ ^p-1 mod ｐ ² が（Ｚ／ｐ ² Ｚ） ^* の中
   での位数がｐとなるものからｇを選定し、ｇ _p を上記第
   ２秘密鍵とし、 上記Γ−変換手段は、Ｃ mod p² ∈（Ｚ／ p² Ｚ）^* を
   計算する p² −還元手段と、 その p² −還元手段の計算結果Ｃ mod p² に対し p² を
   法とするｐ−１の巾乗計算を行って上記元Ｃ_p を得る変
   換手段とよりなり、 上記離散対数解法手段は、Ｌ（ｘ）＝（ｘ−１）／ｐと
   する時、Ｌ（Ｃ _p ）／Ｌ（ｇ _p ）を演算する手段であ る
   ことを特徴とする公開鍵暗号復号装置。
4. 【請求項４】 請求項１又は２に記載した公開鍵暗号化
   装置としてコンピュータを機能させるためのプログラム
   を記録したコンピュータ読み取り可能な記録媒体。
5. 【請求項５】請求項３に記載した公開鍵暗号復号装置と
   してコンピュータを機能させるためのプログラムを記録
   したコンピュータ読み取り可能な記録媒体。