JP3517731B2

JP3517731B2 - 暗号通信方法

Info

Publication number: JP3517731B2
Application number: JP26203698A
Authority: JP
Inventors: 正雄笠原; 恭通村上
Original assignee: Murata Machinery Ltd
Current assignee: Murata Machinery Ltd
Priority date: 1998-09-16
Filing date: 1998-09-16
Publication date: 2004-04-12
Anticipated expiration: 2018-09-16
Also published as: JP2000089668A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号文を用いて情
報の通信を行う暗号通信方法に関し、特に、積和型暗号
に関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化方式は、大別すると共通鍵暗号系と
公開鍵暗号系との二つに分類できる。共通鍵暗号系で
は、暗号化鍵と復号鍵とが等しく、送信者と受信者とが
同じ鍵を持つことによって暗号通信を行う。送信者が平
文を秘密の共通鍵に基づいて暗号化して受信者に送り、
受信者はこの共通鍵を用いて暗号文を元に平文に復号す
る。

【０００５】これに対して公開鍵暗号系では、暗号化鍵
と復号鍵とが異なっており、公開されている受信者の公
開鍵で送信者が平文を暗号化し、受信者が自身の秘密鍵
でその暗号文を復号することによって暗号通信を行う。
公開鍵は暗号化のための鍵、秘密鍵は公開鍵によって変
換された暗号文を復号するための鍵であり、公開鍵によ
って変換された暗号文は秘密鍵でのみ復号することがで
きる。

【０００６】

【発明が解決しようとする課題】公開鍵暗号系の１つで
ある積和型暗号に関して、新規な方式及び攻撃法が次々
に提案されているが、特に、多くの情報を短時間で処理
できるように高速復号可能な暗号化・復号の手法の開発
が望まれている。

【０００７】本発明は斯かる事情に鑑みてなされたもの
であり、多進法を用いることにより、高速な復号処理が
可能である、積和型暗号における新規の暗号通信方法を
提供することを目的とする。

【０００８】

【課題を解決するための手段】請求項１に係る暗号通信
方法は、暗号化器にて、平文をＫ（Ｋは２のべき乗数）
分割した平文ベクトルｍ＝（ｍ ₀ ，ｍ ₁ ，…，ｍ _K-1 ）
と基数ベクトルＢ＝（Ｂ ₀ ，Ｂ ₁ ，…，Ｂ _K-1 ）とを用
いて前記平文から暗号文を作成し、作成した暗号文を通
信路を介して復号器へ送信し、該復号器にて、送信され
た暗号文を平文に復号することにより、前記暗号化器及
び復号器間で情報の通信を行う暗号通信方法において、
前記暗号化器は、前記Ｂ _i （０≦ｉ≦Ｋ−１）を整数ｂ
_i を用いてＢ _i ＝ｂ ₀ ｂ ₁ …ｂ _i に設定するステップ
と、ｗ＜Ｐ（Ｐ：素数）を満たすｗを選択し、式（ｄ）
により公開鍵ベクトルｃ＝（ｃ ₀ ，ｃ ₁ ，…，ｃ _K-1 ）
を求めるステップと、ｃ _i ≡ｗＢ _i （ mod Ｐ） …（ｄ）平文ベクトルｍと公開鍵ベクトルｃとの内積により、式
（ｅ）に示す暗号文Ｃを作成するステップとＣ＝ｍ ₀ ｃ ₀ ＋ｍ ₁ ｃ ₁ ＋・・・＋ｍ _K-1 ｃ _K-1 …
（ｅ）を含み、前記復号器は、暗号文Ｃに対して、中間復号文
Ｍを式（ｆ）のようにして求めるステップと、
Ｍ≡ｗ ^-1 Ｃ（ mod Ｐ） …（ｆ）この中間復号文
Ｍを以下のアルゴリズムにより復号して平文ベクトルｍ
＝（ｍ ₀ ，ｍ ₁ ，…，ｍ _K-1 ）を求めるステップと〔２分割アルゴリズム〕第１ステップＭ L ≡Ｍ（ mod Ｂ _K/2 ）第２ステップＭ R ＝（Ｍ−Ｍ L ）／Ｂ _K/2 〔高速アルゴリズム〕Ｍ L ，Ｍ R に対して再び２分割アルゴリズムを適用す
る。４分割された中間復号文のそれぞれに再び２分割ア
ルゴリズムを適用する。このようなことを繰り返すを含
むことを特徴とする。

【０００９】

【００１０】

【００１１】

【００１２】

【００１３】

【００１４】

【００１５】

【００１６】

【００１７】請求項２に係る暗号通信方法は、暗号化器
にて、平文をＫ分割した平文ベクトルｍ＝（ｍ₀，
ｍ₁，…，ｍ_K-1）と基数ベクトルＢ＝（Ｂ₀，Ｂ₁，
…，Ｂ_K-1）とを用いて前記平文から暗号文を作成し、
作成した暗号文を通信路を介して復号器へ送信し、該復
号器にて、送信された暗号文を平文に復号することによ
り、前記暗号化器及び復号器間で情報の通信を行う暗号
通信方法において、前記暗号化器は、素数Ｐ，Ｑを設定
するステップと、基数ベクトルＢ_Pi（０≦ｉ≦Ｋ−１）
を整数ｂ_Piを用いてＢ_Pi＝ｂ_P0ｂ_P1…ｂ_Piに設定するス
テップと、基数ベクトルＢ_Qi（０≦ｉ≦Ｋ−１）を整数
ｂ_Qiを用いてＢ_Qi＝ｂ_Q0ｂ_Q1…ｂ_Qiに設定するステップ
と、中国人の剰余定理を用いて、Ｐ，Ｑによる余りがそ
れぞれＢ_Pi，Ｂ_Qiとなるような最小の整数Ｂ_iを導くス
テップと、ｗ＜Ｎ（Ｎ＝ＰＱ）を満たすｗを選択し、式
（ｋ）により公開鍵ベクトルｃ＝（ｃ₀，ｃ₁，…，ｃ
_K-1）を求めるステップと、ｃ_i≡ｗＢ_i （mod Ｎ） …（ｋ）平文ベクトルｍと公開鍵ベクトルｃとの内積により、式
（ｌ）に示す暗号文Ｃを作成するステップとＣ＝ｍ₀ｃ₀＋ｍ₁ｃ₁＋・・・＋ｍ_K-1ｃ_K-1 …
（ｌ）を含み、前記復号器は、暗号文Ｃに対して、法Ｐ，法Ｑ
において、それぞれ中間復号文Ｍ_P，Ｍ_Qを式（ｍ），
式（ｎ）のようにして求めるステップと、Ｍ_P≡ｗ^-1Ｃ（mod Ｐ） …（ｍ）Ｍ_Q≡ｗ^-1Ｃ（mod Ｑ） …（ｎ）この中間復号文Ｍ_P，Ｍ_Qを以下のアルゴリズムにより
復号して平文ベクトルｍ＝（ｍ₀，ｍ₁，…，ｍ_K-1）
を求めるステップとステップ０Ｍ_P0＝Ｍ_P／ｂ_P0 Ｍ_Q0＝Ｍ_Q／ｂ_Q0 ｍ₀ ^(p)≡Ｍ_P0 （mod ｂ_P1）ｍ₀ ^(Q)≡Ｍ_Q0 （mod ｂ_Q1）中国人の剰余定理によりｍ₀を求める。ステップｉ（ｉ＝１〜Ｋ−２）Ｍ_Pi＝（Ｍ_Pi-1−ｍ_i-1）／ｂ_Pi Ｍ_Qi＝（Ｍ_Qi-1−ｍ_i-1）／ｂ_Qi ｍ_i ^(p)≡Ｍ_Pi （mod ｂ_Pi+1）ｍ_i ^(Q)≡Ｍ_Qi （mod ｂ_Qi+1）中国人の剰余定理によりｍ_iを求める。ステップＫ−１ｍ_K-1＝（Ｍ_PK-2−ｍ_K-2）／ｂ_PK-1 またはｍ_K-1＝（Ｍ_QK-2−ｍ_K-2）／ｂ_QK-1 を含むことを特徴とする。

【００１８】請求項３に係る暗号通信方法は、請求項２
において、前記暗号化器は、前記Ｎを法として作成した
前記暗号文Ｃを送信するようにしたことを特徴とする。

【００１９】

【００２０】本発明の暗号通信方法の概念について、以
下に説明する。本発明では、多進法を用いる。

【００２１】メッセージｍ＝（ｍ₀，ｍ₁，…，
ｍ_K-1）を基数Ｂ＝（Ｂ₀，Ｂ₁，…，Ｂ _K-1）を用い
て、下記式（１）に示すように、整数として表記するこ
とができる。なお、ここでは、ｍ_iＢ_i＜Ｂ_i+1が成立
するものとする。Ｍ＝ｍ₀Ｂ₀＋ｍ₁Ｂ₁＋・・・＋ｍ_K-1Ｂ_K-1 …（１）

【００２２】式（１）において、Ｂ_i＝２ⁱである場合
にはメッセージは通常の２進数で表されていることにな
り、Ｂ_i＝10ⁱである場合にはメッセージは通常の10進
数で表されていることになる。

【００２３】ここで、上記Ｂ_iを下記式（２）のように
設定する場合を考える。Ｂ_i＝ｂ₀ｂ₁…ｂ_i …（２）式（２）において、ｂ₀＝１，ｂ_i＝２（１≦ｉ≦Ｋ−
１）と設定すると２進数の場合に一致し、ｂ₀＝１，ｂ
_i＝10（１≦ｉ≦Ｋ−１）と設定すると10進数の場合に
一致する。

【００２４】本発明では、このような多進法を用い、つ
まり、式（１）及び式（２）を利用して、暗号文を作成
する。

【００２５】そして、基数を式（２）で与えた場合に
は、以下に示すアルゴリズムにより、整数Ｍからメッセ
ージｍ＝（ｍ₀，ｍ₁，…，ｍ_K-1）を復号することが
できる。この復号アルゴリズムを逐次復号アルゴリズム
Ｉという。

【００２６】〔逐次復号アルゴリズムＩ〕ステップ０Ｍ₀＝Ｍ／ｂ₀ ｍ₀≡Ｍ₀ （mod ｂ₁）ステップｉ（ｉ＝１〜Ｋ−２）Ｍ_i＝（Ｍ_i-1−ｍ_i-1）／ｂ_i ｍ_i≡Ｍ_i （mod ｂ_i+1）ステップＫ−１ｍ_K-1＝（Ｍ_K-2−ｍ_K-2）／ｂ_K-1 なお、このアルゴリズムにあっては、ｍ_j＜ｂ_j+1でな
いと、ｍ_jが一意に復号されない。

【００２７】このような多進法による暗号化手法とそれ
に対する復号方法とを、本発明の特徴とする。なお、具
体的な手法については後述する。

【００２８】

【発明の実施の形態】以下、本発明の実施の形態につい
て具体的に説明する。図１は、本発明による暗号通信方
法をエンティティａ，ｂ間の情報通信に利用した状態を
示す模式図である。図１の例では、一方のエンティティ
ａが、暗号化器１にて平文ｘを暗号文Ｃに暗号化し、通
信路３を介してその暗号文Ｃを他方のエンティティｂへ
送信し、エンティティｂが、復号器２にてその暗号文Ｃ
を元の平文ｘに復号する場合を示している。なお、復号
器２には、後述する復号処理時に利用されるカウンタ2a
が内蔵されている。

【００２９】（第１実施の形態）秘密鍵と公開鍵とを以
下のように準備する。・秘密鍵：｛ｂ_i｝，Ｐ，ｗ・公開鍵：｛ｃ_i｝前記式（２）のように基数を与え、ｗ＜Ｐ（Ｐは大きな
素数）を満たす整数ｗをランダムに選び、式（３）を導
く。ｃ_i≡ｗＢ_i （mod Ｐ） …（３）公開鍵ベクトルｃは、式（４）のように与えられる。ｃ＝（ｃ₀，ｃ₁，…，ｃ_K-1） …（４）

【００３０】また、μ＜ｍｉｎ（ｂ₁，…，ｂ_K-1）な
るμが各エンティティに公開される。エンティティａ側
で、この公開されたμに基づいて、Ｋ次元のμ以下の大
きさのメッセージベクトルに平文ｘを分割する。このよ
うにメッセージのビット数を制限すると、ｂ₀，ｂ₁，
…，ｂ_K-1の大小関係は任意に設定して良い。そして、
そのメッセージベクトルｍと公開鍵ベクトルｃとの内積
を式（５）のように求めて、平文ｘを暗号化して暗号文
Ｃを得る。作成された暗号文Ｃは通信路３を介してエン
ティティａからエンティティｂへ送信される。Ｃ＝ｍ₀ｃ₀＋ｍ₁ｃ₁＋・・・＋ｍ_K-1ｃ_K-1 …（５）

【００３１】なお、この暗号化は、Ｋ重の並列処理によ
る乗算１回、更に log₂Ｋ回の加算処理の所要時間で行
える。

【００３２】エンティティｂ側では、以下のようにして
復号処理が行われる。暗号文Ｃに対して、中間復号文Ｍ
を式（６）のようにして求める。Ｍ≡ｗ^-1Ｃ（mod Ｐ） …（６）この中間復号文Ｍは、具体的には式（７）として与えら
れるので、前述の逐次復号アルゴリズムＩによって復号
できる。Ｍ＝ｍ₀ｂ₀＋ｍ₁ｂ₀ｂ₁＋・・・＋ｍ_K-1ｂ₀ｂ₁…ｂ_K-1 …（７）

【００３３】図２は、復号器２で行われるこの逐次復号
アルゴリズムＩの処理手順を示すフローチャートであ
る。まず、カウンタ2aをリセットして、そのカウント値
Ｔを０にする（Ｓ１）。そして、ステップ０の演算を実
行してｍ₀を求めた後（Ｓ２）、カウント値Ｔを１にす
る（Ｓ３）。次に、ステップｉを実行してｍ_iを求め
（Ｓ４）、カウント値Ｔを１だけインクリメントする
（Ｓ５）。カウント値ＴがＫ−１に達したか否かを判断
し（Ｓ６）、達していない場合には（Ｓ６：ＮＯ）、Ｓ
４，Ｓ５の処理を繰り返す。Ｔ＝１からＴ＝Ｋ−２まで
この処理を繰り返すことによって、ｍ₁からｍ_K-2まで
が求まる。カウント値ＴがＫ−１に達した場合には、
（Ｓ６：ＹＥＳ）、ステップＫ−１を実行してｍ_K-1を
求める（Ｓ７）。

【００３４】ところで、この第１実施の形態において、
ｂ_iがｂ_i＝ｐ^dというような単純な形である場合に
は、下記式（８），式（９）となるので、式（10）が成
立してＰが露呈することになる。ｗｂ₀ｂ₁…ｂ_J／ｗｂ₀ｂ₁…ｂ_J-1≡Ｂ_J／Ｂ_J-1（mod Ｐ）…（８）ｗｂ₀ｂ₁…ｂ_J+1／ｗｂ₀ｂ₁…ｂ_J≡Ｂ_J+1／Ｂ_J（mod Ｐ）…（９）（Ｂ_J）²−Ｂ_J-1Ｂ_J＝Ｎｇ …（10）一方、ｂ_iをｐ^dの周辺でランダムに選んだ場合、１つ
のｂ_iの値を総当たり的に仮定することにより、やはり
Ｐが露呈する。ｂ_iは64ビット程度以上に選ぶ必要があ
る。

【００３５】この第１実施の形態は、０，１ナップザッ
ク暗号を一般化した手法として位置づけることもでき
る。即ち、ｍ_i∈ＧＦ（２）とすれば、超増加数列｛ｂ
₀，ｂ ₀ｂ₁，・・・，ｂ₀ｂ₁…ｂ_K-1｝による０，
１ナップザック暗号に一致する。

【００３６】一般に超増加数列を用いた従来の積和型暗
号方式では、基数相互間に関係がなく、平文の上位桁か
ら逐次復号していく必要があり、多倍長の整数を除数と
する除算が必要であった。しかしながら、このｂ_i進数
を用いた本発明の方式では、下位桁から小さい整数を法
とする剰余演算及び除算を繰り返せるので、高速に復号
できることが分かる。

【００３７】復号の更なる高速化を図れる復号手法につ
いて、以下に説明する。中間復号文Ｍの前半部分をＭL
、中間復号文Ｍの後半部分をＢ_K/2で割ったものをＭR
とする。これらのＭL 及びＭR は具体的には、式（1
1）及び式（12）で示される。なお、Ｋは２のべき乗数
とする。ＭL ＝ｍ₀Ｂ₀＋・・・＋ｍ_K/2-1Ｂ_K/2-1 …（11）ＭR ＝（ｍ_K/2Ｂ_K/2＋・・・＋ｍ_K-1Ｂ_K-1）／Ｂ_K/2 …（12）

【００３８】このような２分割アルゴリズムと、それを
繰り返し適用した高速アルゴリズムとを以下に示す。

【００３９】〔２分割アルゴリズム〕第１ステップＭL ≡Ｍ（mod Ｂ_K/2）第２ステップＭR ＝（Ｍ−ＭL ）／Ｂ_K/2

【００４０】〔高速アルゴリズム〕ＭL ，ＭR に対して
再び２分割アルゴリズムを適用する。４分割されたメッ
セージのそれぞれに再び２分割アルゴリズムを適用す
る。このようなことを繰り返す。

【００４１】このようにして、Ｋが２のべき乗である場
合には、特に高速な復号処理を実現でき、この高速アル
ゴリズムを適用すると、前述の逐次復号アルゴリズムと
比べて、Ｋ／ log₂Ｋ倍だけ高速に復号できる。

【００４２】例えば、ｂ_iを64ビット程度の素数とし、
Ｋ＝64に選んだ場合に、暗号文Ｃの大きさは4166ビット
となるが、高速アルゴリズムによる復号時間は、64＝２
⁶であるので、Ｋ＝６の場合での逐次復号アルゴリズム
による復号時間とほぼ同程度となる。即ち、約10倍高速
な復号処理を行える。なお、この場合、公開鍵サイズは
１キロビット程度であってかなり大きいが、１ギガビッ
ト／ｃｍ²の高密度記録が可能となるような状況を考え
ると、この公開鍵サイズは実用上問題ないと言える。

【００４３】（第２実施の形態）第１実施の形態に乱数
を付加した第２実施の形態について説明する。第１実施
の形態では、｛Ｂ_i｝が超増加数列になる。よって、超
増加数列に対する攻撃法として有名なＬＬＬ（Lenatra-
Lenatra-Lovasz）法による攻撃を、第１実施の形態は受
け易いという可能性がある。そこで、第２実施の形態で
は、基数に乱数を付加する、つまり、第１実施の形態で
の基数ベクトルに乱数を掛け合わせたものを基数ベクト
ルとして使用することによって、安全性を強化する。

【００４４】秘密鍵と公開鍵とを以下のように準備す
る。・秘密鍵：｛ｂ_i｝，｛ｖ_i｝，Ｐ，ｗ・公開鍵：｛ｃ_i｝基数Ｂ_iを式（13）のように与える。Ｂ_i＝ｖ_iｂ₀ｂ₁…ｂ_i …（13）ここで、式（13）で示される各Ｂ_iがほぼ同じ大きさに
なるようにｖ_iを設定する。よって、｛Ｂ_i｝は超増加
数列ではなくＬＬＬ法の攻撃を受けにくい。但し、ｇｃ
ｄ（ｖ_i，ｂ_i+1）＝１を満たすものとする。

【００４５】整数ｗを用いて、第１実施の形態と同様
に、公開鍵ベクトルｃを以下の式（14），式（15）のよ
うに求める。ｃ_i≡ｗＢ_i （mod Ｐ） …（14）ｃ＝（ｃ₀，ｃ₁，…，ｃ_K-1） …（15）

【００４６】メッセージベクトルｍと公開鍵ベクトルｃ
との内積により、第１実施の形態と同様に（前記式
（５））、暗号文Ｃを得る。

【００４７】復号処理は、以下のようにして行われる。
暗号文Ｃに対して、中間復号文Ｍを式（16）のようにし
て求める。Ｍ≡ｗ^-1Ｃ（mod Ｐ） …（16）この中間復号文Ｍは、具体的には式（17）として与えら
れるので、以下に示す逐次復号アルゴリズムIIによって
復号できる。Ｍ＝ｍ₀ｖ₀ｂ₀＋ｍ₁ｖ₁ｂ₀ｂ₁＋・・・＋ｍ_K-1ｖ_K-1ｂ₀ｂ₁…ｂ_K-1 …（17）

【００４８】〔逐次復号アルゴリズムII〕ステップ０Ｍ₀＝Ｍ／ｂ₀ ｍ₀≡Ｍ₀ｖ₀ ^-1 （mod ｂ₁）ステップｉ（ｉ＝１〜Ｋ−２）Ｍ_i＝（Ｍ_i-1−ｍ_i-1ｖ_i-1）／ｂ_i ｍ_i≡Ｍ_iｖ_i ^-1 （mod ｂ_i+1）ステップＫ−１Ｍ_K-1＝（Ｍ_K-2−ｍ_K-2ｖ_K-2）／ｂ_K-1 ｍ_K-1＝Ｍ_K-1／ｖ_K-1

【００４９】なお、この逐次復号アルゴリズムIIを復号
器２で実行するフローチャートは、逐次復号アルゴリズ
ムＩのフローチャート（第２図）と同様である。

【００５０】ここで、第２実施の形態における具体例を
示す。・秘密鍵ｂ＝（１，11，13）ｖ＝（1009，131, ７）Ｂ＝（1009，1441，1001）Ｐ＝27481 ｗ＝739 ｗ^-1≡702 （mod Ｐ）（ｂ₁＜ｂ₂＜ｂ₃であるので、ｖ₁＞ｖ₂＞ｖ₃と設
定することにより、Ｂ₁，Ｂ₂，Ｂ₃が超増加数列にな
らないようにしている）・公開鍵ｃ≡ｗＢ ≡（3664，20621, 25233）（mod Ｐ）・暗号化メッセージをｍ＝（６，７，８）とする。Ｃ＝ｃ・ｍ＝６×3664＋７×20621 ＋８×25233 ＝368195 ・復号中間復号文Ｍを求め、逐次復号アルゴリズムIIを用いて
復号する。Ｍ≡ｗ^-1Ｃ ≡702 ×368195 ≡24149 （mod 27481) ステップ０Ｍ₀＝24149 ／１＝24149 ｍ₀≡24149 ×1009^-1≡６（mod 11）ステップ１Ｍ₁＝（24149 −６×1009）／11＝1645 ｍ₁≡1645×131 ^-1≡７（mod 13）ステップ２Ｍ₂＝（1645−７×131 ）／13＝56 ｍ₂＝56／７＝８以上のようにして、メッセージｍ＝（６，７，８）を得
る。

【００５１】（第３実施の形態）第２実施の形態では、
基数ベクトル自体に乱数を組み込むようにしたが、第１
実施の形態と同じ基数ベクトルを使用し、暗号文Ｃを作
成する段階で乱数ｖ₀，ｖ₁，…，ｖ_K-1を付加するよ
うにすることもできる。この場合の暗号文Ｃは、第２実
施の形態と同じ形となる。

【００５２】（第４実施の形態）第１実施の形態で基数
ベクトルを多重化した第４実施の形態について説明す
る。第４実施の形態は、第１実施の形態による基数ベク
トル｛Ｂ_i｝を２つの法それぞれにおいて設定し、中国
人の剰余定理を利用した暗号化・復号方法である。この
第４実施の形態でも、基数ベクトル｛Ｂ_i｝が超増加数
列とはならず、ＬＬＬ法の攻撃に強い。また、平文の桁
数を大きくできる。

【００５３】秘密鍵と公開鍵とを以下のように準備す
る。・秘密鍵：｛ｂ_Pi｝，｛ｂ_Qi｝，Ｐ，Ｑ，Ｎ，ｗ・公開鍵：｛ｃ_i｝２つの大きな素数Ｐ，Ｑを選択し、それらの積をＮとす
る。第１実施の形態におけるＫ個のｂ_iの集合を２通り
準備し、｛ｂ_Pi｝，｛ｂ_Qi｝とする。また、それらより
生成した基数を｛Ｂ_Pi｝，｛Ｂ_Qi｝とする。中国人の剰
余定理を用いて、Ｐ，Ｑによる余りがそれぞれＢ_Pi，Ｂ
_Qiとなるような最小の整数Ｂ_iを導く。

【００５４】Ｎを法として、秘密の整数ｗを用いて、第
１実施の形態と同様に、公開鍵ベクトルｃを以下の式
（18），式（19）のように求める。ｃ_i≡ｗＢ_i （mod Ｎ） …（18）ｃ＝（ｃ₀，ｃ₁，…，ｃ_K-1） …（19）

【００５５】メッセージベクトルｍと公開鍵ベクトルｃ
との内積により、第１実施の形態と同様に（前記式
（５））、暗号文Ｃを得る。

【００５６】復号処理は、以下のようにして行われる。
暗号文Ｃに対して、法Ｐ，法Ｑにおいて、それぞれ中間
復号文Ｍ_P，Ｍ_Qを式（20），式（21）のようにして求
める。Ｍ_P≡ｗ^-1Ｃ（mod Ｐ） …（20）Ｍ_Q≡ｗ^-1Ｃ（mod Ｑ） …（21）

【００５７】各中間復号文Ｍ_P，Ｍ_Qに関して、式（2
2），式（23）が成立する。Ｍ_P＝ｍ₀Ｂ_P0＋ｍ₁Ｂ_P1＋・・・＋ｍ_K-1Ｂ_PK-1 …（22）Ｍ_Q＝ｍ₀Ｂ_Q0＋ｍ₁Ｂ_Q1＋・・・＋ｍ_K-1Ｂ_QK-1 …（23）

【００５８】Ｍ_P，Ｍ_Qに対して、以下に示す逐次復号
アルゴリズムIII を適用することによって、余りのペア
（ｍ_i ^(p)，ｍ_i ^(Q)）を導くことができる。但し、ｍ
_iは、式（24），式（25）の何れかであるとする。ｍ_i≡ｍ_i ^(p) （mod ｂ_Pi+1） …（24）ｍ_i≡ｍ_i ^(Q) （mod ｂ_Qi+1） …（25）これらに対して中国人の剰余定理を適用すると、メッセ
ージｍ_i＜ｌｃｍ（ｂ_Pi ₊₁，ｂ_Qi+1）を復号することが
できる。

【００５９】〔逐次復号アルゴリズムIII 〕ステップ０Ｍ_P0＝Ｍ_P／ｂ_P0 Ｍ_Q0＝Ｍ_Q／ｂ_Q0 ｍ₀ ^(p)≡Ｍ_P0 （mod ｂ_P1）ｍ₀ ^(Q)≡Ｍ_Q0 （mod ｂ_Q1）中国人の剰余定理によりｍ₀を求める。ステップｉ（ｉ＝１〜Ｋ−２）Ｍ_Pi＝（Ｍ_Pi-1−ｍ_i-1）／ｂ_Pi Ｍ_Qi＝（Ｍ_Qi-1−ｍ_i-1）／ｂ_Qi ｍ_i ^(p)≡Ｍ_Pi （mod ｂ_Pi+1）ｍ_i ^(Q)≡Ｍ_Qi （mod ｂ_Qi+1）中国人の剰余定理によりｍ_iを求める。ステップＫ−１ｍ_K-1＝（Ｍ_PK-2−ｍ_K-2）／ｂ_PK-1 またはｍ_K-1＝（Ｍ_QK-2−ｍ_K-2）／ｂ_QK-1

【００６０】ここで、第４実施の形態における具体例を
示す。・秘密鍵ｂ_P＝（１，11，19）ｂ_Q＝（１，13，17）Ｂ_P＝（１，11，209) Ｂ_Q＝（１，13，221) Ｂ＝（１，326859526, 1961157299) Ｐ＝45053 Ｑ＝54833 Ｎ＝2470391149 ｗ＝320718294 ｗ^-1≡1798315174 （mod Ｎ）（Ｂ_P，Ｂ_Qでは超増加性が見られるが、Ｂは超増加数
列ではない）・公開鍵ｃ≡ｗＢ ≡（320718294, 1521781250, 644798264）（mod Ｎ）・暗号化メッセージをｍ＝（45，67，89）とする。Ｃ＝ｃ・ｍ＝173778712476 （メッセージの分割ビット数を11×13以下まで向上でき
る) ・復号中間復号文Ｍ_P，Ｍ_Qを求め、逐次復号アルゴリズムII
I を用いて復号する。Ｍ_P≡ｗ^-1Ｃ≡19383 （mod 45053) Ｍ_Q≡ｗ^-1Ｃ≡20585 （mod 54833) ステップ０Ｍ_P0＝19383 ／１＝19383 Ｍ_Q0＝20585 ／１＝20585 ｍ_P0≡19383 ≡１（mod 11）ｍ_Q0≡20585 ≡６（mod 13）ｍ₀≡45 （mod 143) ステップ１Ｍ_P1＝（19383 −45）／11＝1758 Ｍ_Q1＝（20585 −45）／13＝1580 ｍ_P1≡1758≡10 （mod 19）ｍ_Q1≡1580≡16 （mod 17）ｍ₁≡67 （mod 323) ステップ２ｍ_P2＝（1758−67）／19＝89 ｍ_Q2＝（1580−67）／17＝89 ｍ₂＝89 以上のようにして、メッセージｍ＝（45，67，89）を得
る。

【００６１】なお、合成数Ｎを法とする第４実施の形態
のような多重化方式では、Ｎの素因数分解が困難である
場合、Ｎを公開しても安全と考えられる。よって、その
ような場合には、Ｎを法として求めた暗号文Ｃを送付す
ることにより、暗号化効率が向上する。

【００６２】（第５実施の形態）第５実施の形態は、第
４実施の形態に乱数を付加した暗号方式、言い換える
と、第２実施の形態で基数ベクトルを多重化した暗号方
式である。なお、この第５実施の形態については、前述
の第１〜第４実施の形態を参照すれば容易にその内容が
理解されるので、詳細な説明は省略する。

【００６３】

【発明の効果】以上のように、本発明では、基数Ｂ_iを
Ｂ_i＝ｂ₀ｂ₁…ｂ_iに設定するようにして、メッセー
ジを多進法を用いて表現するようにしたので、高速な復
号を行うことができる。この結果、積和型暗号の実用化
の道を開くことに、本発明は大いに寄与できる。

【図面の簡単な説明】

【図１】２人のエンティティ間における情報の通信状態
を示す模式図である。

【図２】本発明における復号の処理手順を示すフローチ
ャートである。

【符号の説明】

１暗号化器２復号器３通信路ａ，ｂエンティティ

───────────────────────────────────────────────────── フロントページの続き (56)参考文献ディオファンタスの一次不定方程式に基づく公開鍵暗号系，情報処理学会論文誌，1990年12月15日，Ｖｏｌ．31 Ｎｏ．12，ｐ．1852−1858 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 620 H04L 9/30 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims

(57)【特許請求の範囲】

【請求項１】暗号化器にて、平文をＫ（Ｋは２のべき
乗数）分割した平文ベクトルｍ＝（ｍ ₀ ，ｍ ₁ ，…，ｍ
_K-1 ）と基数ベクトルＢ＝（Ｂ ₀ ，Ｂ ₁ ，…，Ｂ _K-1 ）
とを用いて前記平文から暗号文を作成し、作成した暗号
文を通信路を介して復号器へ送信し、該復号器にて、送
信された暗号文を平文に復号することにより、前記暗号
化器及び復号器間で情報の通信を行う暗号通信方法にお
いて、前記暗号化器は、前記Ｂ _i （０≦ｉ≦Ｋ−１）を整数ｂ _i を用いてＢ _i ＝
ｂ ₀ ｂ ₁ …ｂ _i に設定するステップと、ｗ＜Ｐ（Ｐ：素数）を満たすｗを選択し、式（ｄ）によ
り公開鍵ベクトルｃ＝（ｃ ₀ ，ｃ ₁ ，…，ｃ _K-1 ）を求
めるステップと、ｃ _i ≡ｗＢ _i （ mod Ｐ） …（ｄ）平文ベクトルｍと公開鍵ベクトルｃとの内積により、式
（ｅ）に示す暗号文Ｃを作成するステップとＣ＝ｍ ₀ ｃ ₀ ＋ｍ ₁ ｃ ₁ ＋・・・＋ｍ _K-1 ｃ _K-1 …
（ｅ）を含み、前記復号器は、暗号文Ｃに対して、中間復号文Ｍを式（ｆ）のようにし
て求めるステップと、Ｍ≡ｗ ^-1 Ｃ（ mod Ｐ） …（ｆ）この中間復号文Ｍを以下のアルゴリズムにより復号して
平文ベクトルｍ＝（ｍ ₀ ，ｍ ₁ ，…，ｍ _K-1 ）を求める
ステップと〔２分割アルゴリズム〕第１ステップＭ L ≡Ｍ（ mod Ｂ _K/2 ）第２ステップＭ R ＝（Ｍ−Ｍ L ）／Ｂ _K/2 〔高速アルゴリズム〕Ｍ L ，Ｍ R に対して再び２分割アルゴリズムを適用す
る。４分割された中間復号文のそれぞれに再び２分割ア
ルゴリズムを適用する。このようなことを繰り返すを含
むことを特徴とする暗号通信方法。
【請求項２】暗号化器にて、平文をＫ分割した平文ベ
クトルｍ＝（ｍ ₀ ，ｍ ₁ ，…，ｍ _K-1 ）と基数ベクトル
Ｂ＝（Ｂ ₀ ，Ｂ ₁ ，…，Ｂ _K-1 ）とを用いて前記平文か
ら暗号文を作成し、作成した暗号文を通信路を介して復
号器へ送信し、該復号器にて、送信された暗号文を平文
に復号することにより、前記暗号化器及び復号器間で情
報の通信を行う暗号通信方法において、前記暗号化器は、素数Ｐ，Ｑを設定するステップと、基数ベクトルＢ _Pi （０≦ｉ≦Ｋ−１）を整数ｂ _Pi を用い
てＢ _Pi ＝ｂ _P0 ｂ _P1 …ｂ _Pi に設定するステップと、基数ベクトルＢ _Qi （０≦ｉ≦Ｋ−１）を整数ｂ _Qi を用い
てＢ _Qi ＝ｂ _Q0 ｂ _Q1 …ｂ _Qi に設定するステップと、中国人の剰余定理を用いて、Ｐ，Ｑによる余りがそれぞ
れＢ _Pi ，Ｂ _Qi となるような最小の整数Ｂ _i を導くステッ
プと、ｗ＜Ｎ（Ｎ＝ＰＱ）を満たすｗを選択し、式（ｋ）によ
り公開鍵ベクトルｃ＝（ｃ ₀ ，ｃ ₁ ，…，ｃ _K-1 ）を求
めるステップと、ｃ _i ≡ｗＢ _i （ mod Ｎ） …（ｋ）平文ベクトルｍと公開鍵ベクトルｃとの内積により、式
（ｌ）に示す暗号文Ｃを作成するステップとＣ＝ｍ ₀ ｃ ₀ ＋ｍ ₁ ｃ ₁ ＋・・・＋ｍ _K-1 ｃ _K-1 …
（ｌ）を含み、前記復号器は、暗号文Ｃに対して、法Ｐ，法Ｑにおいて、それぞれ中間
復号文Ｍ _P ，Ｍ _Q を式（ｍ），式（ｎ）のようにして求
めるステップと、Ｍ _P ≡ｗ ^-1 Ｃ（ mod Ｐ） …（ｍ）Ｍ _Q ≡ｗ ^-1 Ｃ（ mod Ｑ） …（ｎ）この中間復号文Ｍ _P ，Ｍ _Q を以下のアルゴリズムにより
復号して平文ベクトルｍ＝（ｍ ₀ ，ｍ ₁ ，…，ｍ _K-1 ）
を求めるステップとステップ０Ｍ _P0 ＝Ｍ _P ／ｂ _P0 Ｍ _Q0 ＝Ｍ _Q ／ｂ _Q0 ｍ ₀ ^(p) ≡Ｍ _P0 （ mod ｂ _P1 ）ｍ ₀ ^(Q) ≡Ｍ _Q0 （ mod ｂ _Q1 ）中国人の剰余定理によりｍ ₀ を求める。ステップｉ（ｉ＝１〜Ｋ−２）Ｍ _Pi ＝（Ｍ _Pi-1 −ｍ _i-1 ）／ｂ _Pi Ｍ _Qi ＝（Ｍ _Qi-1 −ｍ _i-1 ）／ｂ _Qi ｍ _i ^(p) ≡Ｍ _Pi （ mod ｂ _Pi+1 ）ｍ _i ^(Q) ≡Ｍ _Qi （ mod ｂ _Qi+1 ）中国人の剰余定理によりｍ _i を求める。ステップＫ−１ｍ _K-1 ＝（Ｍ _PK-2 −ｍ _K-2 ）／ｂ _PK-1 またはｍ _K-1 ＝（Ｍ _QK-2 −ｍ _K-2 ）／ｂ _QK-1 を含むことを特徴とする暗号通信方法。
【請求項３】前記暗号化器は、前記Ｎを法として作成
した前記暗号文Ｃを送信するようにした請求項２記載の
暗号通信方法。