JP3551853B2 - αＹａ＋βＸｂ＋１＝０という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置、生成方法、および記録媒体 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、離散対数型暗号（以下、代数曲線暗号と記す）における安全なパラメータの生成装置、生成方法、および記録媒体に関し、特に、代数曲線のヤコビアン群を用いた離散対数型暗号における安全なパラメータの生成装置、生成方法、および記録媒体に関する。
【０００２】
【従来の技術】
離散対数型暗号は、与えられた有限群上の離散対数問題の困難性に基づく公開鍵暗号方式である。暗号の安全性を保つためには、用いる有限群の位数は、ほぼ素数、すなわち、小さな整数と大きな素数の積でなければならない。離散対数型暗号の一種である代数曲線暗号では、ヤコビアン群の位数がほぼ素数である代数曲線を用いる必要がある。
【０００３】
最も簡単な代数曲線である楕円曲線の場合には、任意の楕円曲線に対して、そのヤコビアン群の位数を計算する効率的なアルゴリズムが知られている。例えば、１９９５年、レネ＝スクーフ著、カウンティング＝ポインツ＝オン＝エリプティック＝カーブズ＝オーバー＝ファイナイト＝フィールズ、ジャーナル＝ドゥ＝セオリ＝ドゥ＝ノンブル、７巻、２１９−２５４（Ｒｅｎｅ Ｓｃｈｏｏｆ、Ｃｏｕｎｔｉｎｇ ｐｏｉｎｔｓ ｏｎ ｅｌｌｉｐｔｉｃ ｃｕｒｖｅｓ ｏｖｅｒ ｆｉｎｉｔｅ ｆｉｅｌｄｓ、Ｊｏｕｒｎａｌ ｄｅ Ｔｈｅｏｒｉｅ ｄｅｓ Ｎｏｍｂｒｅｓ、ｄｅ Ｂｏｒｄｅａｕｘ ７ （１９９５）、２１９−２５４、Ｉｎｓｔｉｔｕｅ ｄｅＭａｔｈｅｍａｔｉｑｕｅ ｄｅ Ｂｏｒｄｅａｕｘ）に詳しい記述がある。ヤコビアン群の位数がほぼ素数である楕円曲線を得るには、上記のアルゴリズムを利用して、以下のようにすればよい。
【０００４】
１。ランダムな楕円曲線Ｅを生成する。
２。Ｅのヤコビアン群の位数ｎを計算する。
３。ｎがほぼ素数ならばＥを出力し、そうでないならば１に戻る。
【０００５】
楕円曲線以外の代数曲線の場合には、例外的な一部の超楕円曲線を除いて、そのヤコビアン群の位数を計算する効率的なアルゴリズムは知られていない。そのため、代数曲線暗号で使用できる代数曲線は、楕円曲線および例外的な一部の超楕円曲線に限定されてしまう。
【０００６】
また、ヤコビアン群における要素のｈ倍演算に関しては、「有田、吉川、宮内、Ｃ_ａｂ曲線を用いた離散対数型暗号のソフトウェア実装、１９９９年暗号と情報セキュリティシンポジウム、ｐｐ．５７３−５７８」が知られている。
【０００７】
また、「特開平６−２８２２２６号公報」記載の技術は、「任意の素数を選び、素数に対応した暗号化鍵を公開ファイル装置に登録し、素数、暗号鍵に対応する復号鍵表により生成し、素数と共に復号鍵表を復号装置に記憶しておき、暗号化装置が公開ファイル装置より受信者（復号装置）の公開鍵を入手し、平文を楕円曲線上で乗算し、その値を暗号文として復号装置に送信し、復号装置が暗号文から楕円曲線のパラメータを計算し、復号鍵表を用いてパラメータに対応する復号鍵を選び、暗号文を楕円曲線で乗算した値から中国剰余定理を用いて平文を得る」ものである。
【０００８】
【発明が解決しようとする課題】
上述した従来技術においては、使用できる代数曲線が、楕円曲線および例外的な一部の超楕円曲線に限定されている。楕円曲線および超楕円曲線は、代数曲線全体から見ると、極めて特殊な代数曲線であり、暗号解読のためのターゲットが狭くなるため、代数曲線暗号の安全性に問題がある。
【０００９】
本発明の目的は、従来使用できなかった高次の複雑な代数曲線を代数曲線暗号に用いることを可能とし、代数曲線暗号の安全性を向上させることである。
【００１０】
【課題を解決するための手段】
本発明の第１のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置は、
（ａ）曲線の複雑さの度合いを指定する2つの異なる素数a、b、および、使用したい暗号鍵のサイズnを入力する入力装置と、
（ｂ）前記入力手段に入力された素数a、素数b、暗号鍵のサイズnをそれぞれ記憶するa記憶手段、b記憶手段、および、n記憶手段と、
（ｃ）前記a記憶手段、前記b記憶手段からそれぞれ素数a、素数bを取得し、円のab分体におけるスティッケルバーガー要素ωを演算するスティッケルバーガー要素計算装置と、
（ｄ）前記スティッケルバーガー要素計算装置により演算されたスティッケルバーガー要素ωを記憶するω記憶手段と、
（ｅ）前記a記憶手段、前記b記憶手段、前記n記憶手段、前記ω記憶手段からそれぞれ素数a、素数b、暗号鍵のサイズn、スティッケルバーガー要素ωを取得し、2つの異なる素数a、素数bに対するヤコビ和候補値jおよびヤコビ和候補値jに対応する素数pを演算するヤコビ和候補値計算装置と、
（ｆ）前記ヤコビ和候補値計算装置により演算された素数p、ヤコビ和候補値jをそれぞれ記憶するp記憶手段、およびj記憶手段と、
（ｇ）前記a記憶手段、前記b記憶手段、前記j記憶手段から、それぞれ素数a、素数b、ヤコビ和候補値jを取得し、素数a、素数bで指定される代数曲線のヤコビアン群の位数の複数の候補値からなる集合Hを演算する位数候補値計算装置と、
（ｈ）前記位数候補値計算装置により演算された集合Hを記憶するH記憶手段と、
（ｉ）前記H記憶手段から集合Hを取得し、集合Hの中から概素数性等の安全性条件を満たす候補値hを検索する安全性判定装置と、
（ｊ）前記安全性判定装置により検索された候補値hを記憶するh記憶手段と、
（ｋ）前記a記憶手段、前記b記憶手段、前記p記憶手段、前記h記憶手段からそれぞれ素数a、素数b、素数p、候補値hを取得し、素数a、素数b、素数pで指定される代数曲線でそのヤコビアン群の位数が候補値hと一致する代数曲線のパラメータを演算するパラメータ決定装置と、
（ｌ）前記パラメータ決定装置で演算された代数曲線のパラメータを出力する出力装置と、
を備える。
【００１１】
本発明の第２のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置は、前記第１のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置であって、
前記a記憶手段、前記b記憶手段からそれぞれ素数a、素数bを取得し、式ω = Σ_t [<t/a> + <t/b>] σ_{-t^-1}（tはabを法とする既約剰余類の代表系を走り、[λ]は有理数λを超えない最大の整数を表し、<λ>は有理数λの小数部分λ-[λ]を表し、σ_tは円のab分体におけるガロア写像ζ → ζ^tを表す(ζは1の原始ab乗根)）を用いてスティッケルバーガー要素ωを演算する前記スティッケルバーガー要素計算装置を備える。
【００１２】
本発明の第３のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置は、前記第１または第２のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置であって、
前記a記憶手段、前記b記憶手段、前記n記憶手段、前記ω記憶手段からそれぞれ素数a、素数b、暗号鍵のサイズn、スティッケルバーガー要素ωを取得し、１の原始ab乗根で生成される円分体Kの素イデアルを生成する代数的整数γで、その絶対ノルムが2n/(a-1)(b-1)程度のビット長の素数pとなるαをランダムに生成し、式j = γ^ωを用いてヤコビ和候補値jを演算する前記ヤコビ和候補値計算装置を備える。
【００１３】
本発明の第４のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置は、前記第１、第２または第３のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置であって、
前記a記憶手段、前記b記憶手段、前記j記憶手段からそれぞれ素数a、素数b、ヤコビ和候補値jを取得し、１以上2ab以下の整数である各kに対して、ζを１の原始ab乗根とするとき、式 h_k = Norm_K|Q(１+ (-ζ)^k j)（Norm_{K|Q}は、円のab分体Kにおけるノルム写像）を用いて、パラメータa、bで指定される代数曲線のヤコビアン群の位数の候補値h_kを演算し、候補値の集合H={h₁、h₂、．．．、h_2ab}を演算する前記位数候補値計算装置を備える。
【００１４】
本発明の第５のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置は、前記第１、第２、第３または第４ののα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置であって、
前記a記憶手段、前記b記憶手段、前記p記憶手段、前記h記憶手段からそれぞれ素数a、素数b、素数p、候補値hを取得し、素数pを法とする１の原始a乗根ζ_aおよび１の原始b乗根ζ_bを求め、１以上a以下の各整数l、および１以上b以下の各整数mに対して、式ζ_a ^l Y^a + ζ_b ^m X^b +１=０で定義される代数曲線上のランダムな点Gを生成し、点Gの表すヤコビアン群における要素のh倍を計算し、結果がヤコビアン群における単位元に等しいならば、素数a、素数bで指定される代数曲線でそのヤコビアン群の位数が候補値hと一致する代数曲線のパラメータとしてp、ζ_a ^lおよびζ_b ^mを出力する前記パラメータ決定装置を備える。
【００１５】
本発明の第１のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法は、
（ａ）入力装置が、曲線の複雑さの度合いを指定する 2 つの異なる素数 a 、 b 、および、使用したい暗号鍵のサイズ n を入力する手順と、
（ｂ） a 記憶手段、 b 記憶手段、および、 n 記憶手段が、それぞれ、前記入力手段に入力された素数 a 、素数 b 、暗号鍵のサイズ n を記憶する手順と、
（ｃ）スティッケルバーガー要素計算装置が、前記 a 記憶手段、前記 b 記憶手段からそれぞれ素数 a 、素数 b を取得し、円の ab 分体におけるスティッケルバーガー要素ωを演算する手順と、
（ｄ）ω記憶手段が、前記スティッケルバーガー要素計算装置により演算されたスティッケルバーガー要素ωを記憶する手順と、
（ｅ）ヤコビ和候補値計算装置が、前記 a 記憶手段、前記 b 記憶手段、前記 n 記憶手段、前記ω記憶手段からそれぞれ素数 a 、素数 b 、暗号鍵のサイズ n 、スティッケルバーガー要素ωを取得し、 2 つの異なる素数 a 、素数 b に対するヤコビ和候補値 j およびヤコビ和候補値 j に対応する素数 p を演算する手順と、
（ｆ） p 記憶手段、および j 記憶手段が、それぞれ、前記ヤコビ和候補値計算装置により演算された素数 p 、ヤコビ和候補値 j を記憶する手順と、
（ｇ）位数候補値計算装置が、前記 a 記憶手段、前記 b 記憶手段、前記 j 記憶手段から、それぞれ素数 a 、素数 b 、ヤコビ和候補値 j を取得し、素数 a 、素数 b で指定される代数曲線のヤコビアン群の位数の複数の候補値からなる集合 H を演算する手順と、
（ｈ） H 記憶手段が、前記位数候補値計算装置により演算された集合 H を記憶する手順と、
（ｉ）安全性判定装置が、前記 H 記憶手段から集合 H を取得し、集合 H の中から概素数性等の安全性条件を満たす候補値 h を検索する手順と、
（ｊ） h 記憶手段が、前記安全性判定装置により検索された候補値 h を記憶する手順と、
（ｋ）パラメータ決定装置が、前記 a 記憶手段、前記 b 記憶手段、前記 p 記憶手段、前記 h 記憶手段からそれぞれ素数 a 、素数 b 、素数 p 、候補値 h を取得し、素数 a 、素数 b 、素数 p で指定される代数曲線でそのヤコビアン群の位数が候補値 h と一致する代数曲線のパラメータを演算する手順と、
（ｌ）出力装置が、前記パラメータ決定装置で演算された代数曲線のパラメータを出力する手順と、
を含む。
【００１６】
本発明の第２のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法は、前記第１のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法であって、
前記スティッケルバーガー要素計算装置が、前記 a 記憶手段、前記 b 記憶手段からそれぞれ素数 a 、素数 b を取得し、式ω = Σ _t [<t/a> + <t/b>] σ _{-t ^-1 } （ t は ab を法とする既約剰余類の代表系を走り、 [ λ ] は有理数λを超えない最大の整数を表し、 < λ > は有理数λの小数部分λ -[ λ ] を表し、σ _t は円の ab 分体におけるガロア写像ζ → ζ ^t を表す ( ζは 1 の原始 ab 乗根 ) ）を用いてスティッケルバーガー要素ωを演算する手順を含む。
【００１７】
本発明の第３のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法は、前記第１、または第２のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法であって、
前記ヤコビ和候補値計算装置が、前記 a 記憶手段、前記 b 記憶手段、前記 n 記憶手段、前記ω記憶手段からそれぞれ素数 a 、素数 b 、暗号鍵のサイズ n 、スティッケルバーガー要素ωを取得し、１の原始 ab 乗根で生成される円分体 K の素イデアルを生成する代数的整数γで、その絶対ノルムが 2n/(a-1)(b-1) 程度のビット長の素数 p となるαをランダムに生成し、式 j = γ ^ω を用いてヤコビ和候補値 j を演算する手順を含む。
【００１８】
本発明の第４のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法は、前記第１、第２、または第３のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法であって、
前記位数候補値計算装置が、前記 a 記憶手段、前記 b 記憶手段、前記 j 記憶手段からそれぞれ素数 a 、素数 b 、ヤコビ和候補値 j を取得し、１以上 2ab 以下の整数である各 k に対して、ζを１の原始 ab 乗根とするとき、式 h _k = Norm _K|Q ( １ + (- ζ ) ^k j) （ Norm_{K|Q} は、円の ab 分体 K におけるノルム写像）を用いて、パラメータ a 、 b で指定される代数曲線のヤコビアン群の位数の候補値 h _k を演算し、候補値の集合 H={h ₁ 、 h ₂ 、．．．、 h _2ab } を演算する手順を含む。
【００１９】
本発明の第５のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法は、前記第１、第２、第３、または第４のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法であって、
前記パラメータ決定装置が、前記 a 記憶手段、前記 b 記憶手段、前記 p 記憶手段、前記 h 記憶手段からそれぞれ素数 a 、素数 b 、素数 p 、候補値 h を取得し、素数 p を法とする１の原始 a 乗根ζ _a および１の原始 b 乗根ζ _b を求め、１以上 a 以下の各整数 l 、および１以上 b 以下の各整数 m に対して、式ζ _a ^l Y ^a + ζ _b ^m X ^b + １ = ０で定義される代数曲線上のランダムな点 G を生成し、点 G の表すヤコビアン群における要素の h 倍を計算し、結果がヤコビアン群における単位元に等しいならば、素数 a 、素数 b で指定される代数曲線でそのヤコビアン群の位数が候補値 h と一致する代数曲線のパラメータとして p 、ζ _a ^l およびζ _b ^m を出力する手順を含む。
【００２０】
本発明の記録媒体は、
（ａ）入力装置に、曲線の複雑さの度合いを指定する 2 つの異なる素数 a 、 b 、および、使用したい暗号鍵のサイズ n を入力する手順を実行させ
（ｂ） a 記憶手段、 b 記憶手段、および、 n 記憶手段に、それぞれ、前記入力手段に入力された素数 a 、素数 b 、暗号鍵のサイズ n を記憶する手順を実行させ
（ｃ）スティッケルバーガー要素計算装置に、前記 a 記憶手段、前記 b 記憶手段からそれぞれ素数 a 、素数 b を取得し、円の ab 分体におけるスティッケルバーガー要素ωを演算する手順を実行させ
（ｄ）ω記憶手段に、前記スティッケルバーガー要素計算装置により演算されたスティッケルバーガー要素ωを記憶する手順を実行させ
（ｅ）ヤコビ和候補値計算装置に、前記 a 記憶手段、前記 b 記憶手段、前記 n 記憶手段、前記ω記憶手段からそれぞれ素数 a 、素数 b 、暗号鍵のサイズ n 、スティッケルバーガー要素ωを取得し、 2 つの異なる素数 a 、素数 b に対するヤコビ和候補値 j およびヤコビ和候補値 j に対応する素数 p を演算する手順を実行させ
（ｆ） p 記憶手段、および j 記憶手段に、それぞれ、前記ヤコビ和候補値計算装置により演算された素数 p 、ヤコビ和候補値 j を記憶する手順を実行させ
（ｇ）位数候補値計算装置に、前記 a 記憶手段、前記 b 記憶手段、前記 j 記憶手段から、それぞれ素数 a 、素数 b 、ヤコビ和候補値 j を取得し、素数 a 、素数 b で指定される代数曲線のヤコビアン群の位数の複数の候補値からなる集合 H を演算する手順を実行させ
（ｈ） H 記憶手段に、前記位数候補値計算装置により演算された集合 H を記憶する手順を実行させ
（ｉ）安全性判定装置に、前記 H 記憶手段から集合 H を取得し、集合 H の中から概素数性等の安全性条件を満たす候補値 h を検索する手順を実行させ
（ｊ） h 記憶手段に、前記安全性判定装置により検索された候補値 h を記憶する手順を実行させ
（ｋ）パラメータ決定装置に、前記 a 記憶手段、前記 b 記憶手段、前記 p 記憶手段、前記 h 記憶手段からそれぞれ素数 a 、素数 b 、素数 p 、候補値 h を取得し、素数 a 、素数 b 、素数 p で指定される代数曲線でそのヤコビアン群の位数が候補値 h と一致する代数曲線のパラメータを演算する手順を実行させ
（ｌ）出力装置に、前記パラメータ決定装置で演算された代数曲線のパラメータを出力する手順を実行させるα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成プログラムを記録する。
【００２１】
【発明の実施の形態】
まず、本発明の原理について説明する。
【００２２】
本発明は、αＹ^ａ ＋βＸ^ｂ ＋ １ ＝ ０という形の定義方程式をもつ代数曲線のクラスから、そのヤコビアン群の位数がほぼ素数である代数曲線を効率的に探索し、従来使用できなかった高次の複雑な代数曲線を代数曲線暗号に用いることを可能にするものである。ここで、パラメータａ、ｂは曲線の複雑さの程度を表す。
【００２３】
αＹ^ａ ＋βＸ^ｂ ＋ １ ＝ ０という形の定義方程式をもつ、位数ｑの有限体Ｆ_ｑ上の代数曲線をＣ（ｑ、α、β）とおく。代数曲線Ｃ（ｑ、α、β）に対しては、そのＬ関数がヤコビ和を用いて記述されることを用いて、そのヤコビアン群の位数を設計することができるのである。以下簡単のため、ｑ ：＝ ｐ（ｐをｑとおく） は素数であり、ｐ≡ １ ｍｏｄ ＬＣＭ（ａ、ｂ）とする（ＬＣＭは最小公倍数）。また、１の原始ａｂ乗根をζとおく。素数ｐは円分体Ｑ（ζ）において、ｍ個の素イデアルＰ_１、Ｐ_２、．．．、Ｐ_ｍに完全分解する。ここで、ｍは、法ａｂの既約剰余類の個数である。
【００２４】
有限体Ｆ_ｐの乗法群Ｆ_ｐ ^＊の生成元ｗを固定し、（ｐ−１）ｓが整数となる有理数ｓに対して、Ｆ_ｐ ^＊の指標χ_ｓをχ_ｓ（ｗ） ＝ ｅｘｐ（２πｉｓ）（ｉは虚数）によって定義する。χ_ｓ（０）＝０ （ｓ： 整数でないとき）、 ＝１ （ｓ： 整数のとき）として、定義域をＦ_ｐ全体に拡張する。整数 ｌ＝１、２、．．．、ａ−１および整数 ｍ＝１、２、．．．、ｂ−１に対して、ｊ_ｐ（ｌ、ｍ） ＝ Σ＿｛１＋ｖ_１＋ｖ_２＝０｝ χ_ｌ／ａ（ｖ_１）χ_ｍ／ｂ（ｖ_２） はヤコビ和と呼ばれる。ここで、ｖ_１、 ｖ_２は１＋ｖ_１＋ｖ_２＝０を満たすｖ_１、 ｖ_２ ∈Ｆ_ｐを走る。このとき、Ｃ（ｐ、α、β）のＬ関数Ｌ_ｐ（Ｕ）は以下のようにヤコビ和を用いて表されることが知られている。
【００２５】
Ｌ_ｐ（Ｕ） ＝ Π_{ｌ＝１、２、．．．、ａ−１、 ｍ＝１、２、．．．、ｂ−１} （１ ＋ χ_ｌ／ａ（α^−１）χ_ｍ／ｂ（β^−１） ｊ_ｐ（ｌ、ｍ） Ｕ ）。
したがって、Ｃ（ｐ、α、β）のヤコビアン群の位数ｈは、
ｈ ＝ Ｌ_ｐ（１） ＝ Π_{ｌ＝１、２、．．．、ａ−１、 ｍ＝１、２、．．．、ｂ−１} （ １ ＋χ_ｌ／ａ（α^−１）χ_ｍ／ｂ（β^−１） ｊ_ｐ（ｌ、ｍ） ）
で与えられる。よって、ヤコビアン群の位数を求めるには、ヤコビ和ｊ_ｐ（ｌ、ｍ）が計算できればよい。しかしながら、ヤコビ和ｊ_ｐ（ｌ、ｍ）を定義式に従って直接計算することは計算量的に不可能なので、次のヤコビ和に対するスティッケルバーガー要素を用いる。
【００２６】
［λ］は有理数λを超えない最大の整数を表し、＜λ＞は有理数λの小数部分λ−［λ］を表すとする。また、σ_ｔ は円分体Ｑ（ζ）のガロア写像ζ → ζ^ｔ を表すとする。群環Ｚ［Ｇａｌ（Ｑ（ζ）｜ Ｑ）］の元であるスティッケルバーガー要素ω（ａ、ｂ）を、
ω（ａ、ｂ） ＝ Σ_ｔ ［＜ｔ／ａ＞ ＋ ＜ｔ／ｂ＞］ σ_−ｔ ^−１とおく。
ただし、ｔは、ａｂを法とする既約剰余類の代表系を走るとする。
【００２７】
このとき、円分体Ｑ（ζ）のイデアルとして、（ｊ_ｐ（ｌ、ｍ）） ＝ Ｐ^{ω （ａ、ｂ）}が成立することが知られている。ここで、Ｐはｐの上にある素イデアルである。上式より、ｊ_ｐ（ｌ、ｍ）は１の２ａｂ乗根を除いて一意に定まる。そのうち、ａｂ乗根分の自由度はＣ（ｐ、α、β）の係数α、β ∈ Ｆ_ｑの自由度から得られる。
【００２８】
以上より、次のような安全な曲線Ｃ（ｐ、α、β）の探索アルゴリズムが得られる。
安全な曲線Ｃ（ｐ、α、β）の探索アルゴリズム
入力：ヤコビアンのビット数ｎ
出力：ｐ、α、β
（１）ｇ ← （ａ−１）（ｂ−１）／２
（２）ある ｎ／ｇ ビット程度の素数ｐに対するヤコビ和の候補ｊを後述のヤコビ和の候補値の計算アルゴリズムを用いて探す：
（ｐ、ｊ） ← ｛ヤコビ和の候補値の計算アルゴリズム｝（ｎ／ｇ）。
（３）各ｋ ＝ ０、１、．．．、ａｂ に対して、
ｈ_ｋ ←Π_{ｌ＝１、２、．．．、ａ−１、 ｍ＝１、２、．．．、ｂ−１} （ １ ＋ （−ζ）^ｋ ｊ）
（４）｛ ｈ_０、ｈ_１、．．．、ｈ_ａｂ ｝にほぼ素数である ｈ_ｋ があるかどうかを調べる。なければ、（１）へ戻る。あれば、ｈ ：＝ ｈ_ｋ とする。
（５）ζ_ａ、ζ_ｂ をそれぞれ Ｆ_ｐ における１のａ乗根、ｂ乗根とする。各 ｌ ＝ ０、１、．．．、ａ−１ および各 ｍ ＝ ０、１、．．．、ｂ−１ に対して、曲線Ｃ（ｐ、ζ_ａ ^ｌ、ζ_ｂ ^ｍ）：ζ_ａ ^ｌ ｙ^ａ ＋ζ_ｂ ^ｍ ｘ^ｂ ＋ １ ＝ ０ のヤコビアン群のオーダーが ｈ に等しいかどうか調べる。等しければ、ｐ、α＝ζ_ａ ^ｌ、β＝ζ_ｂ ^ｍ を出力して終了する。そのようなｌ、 ｍ がなければ、（２）へ。
上で用いた、ヤコビ和の候補値の計算アルゴリズムでは、前記のスティッケルバーガー要素ω（ａ、ｂ） ＝ Σ_ｔ ［＜ｔ／ａ＞ ＋ ＜ｔ／ｂ＞］ σ_−ｔ ^−１ を用いて、ヤコビ和の候補値を求める。
ヤコビ和の候補値の計算アルゴリズムは以下のようである。
入力：ビット数ｍ、
出力：ｐ、ｊ、
（１）ω ← Σ_ｔ （＜ｔ／ａ＞ ＋ ＜ｔ／ｂ＞）σ_−ｔ ^−１、
（２）γ_０ ＝ Σ_ｌ＝０ ^ｍ−１ ｃ_ｌζ^ｌ （−１０ ＜ ｃ_ｌ ＜ １０） をランダムに生成。
（３）各 ｉ ＝ １、２、．．． に対して、
γ ← γ_０ ＋ Ｉ、
ｐ ← Ｎｏｒｍ_{Ｑ（ ζ ）｜Ｑ}（γ）、
ｐ が約 ｍ ビットより小さいか？、
ｙｅｓ → ｃｏｎｔｉｎｕｅ、
ｐ が約 ｍ ビットより大きいか？、
ｙｅｓ → （２）へ、
ｐ が素数か？
ｎｏ → ｃｏｎｔｉｎｕｅ、
（４）ｊ ← γ^ω 、 ｐ および ｊ を出力して終了。
【００２９】
次に、本発明の第１の実施の形態について図面を参照して詳細に説明する。
【００３０】
図１は、本発明の第１の実施の形態を示すブロック図である。
図１を参照すると、本発明の第１の実施の形態は、スティッケルバーガー要素計算装置１１と、ヤコビ和候補値計算装置１２と、位数候補値計算装置１３と、安全性判定装置１４と、パラメータ決定装置１５と、メモリ１６と、入力装置１７と、出力装置１８と、中央処理装置１９とから構成される。
【００３１】
また、メモリ１６は、ａ記憶ファイル１６１、ｂ記憶ファイル１６２、ω記憶ファイル１６３、ｊ記憶ファイル１６４、Ｈ記憶ファイル１６５、ｈ記憶ファイル１６６、ｐ記憶ファイル１６７、および、ｎ記憶ファイル１６８を含む。
【００３２】
以下では、円分体Ｑ（ζ）における代数的数の四則演算、およびノルムＮ_{Ｑ（ ζ ）｜ Ｑ}の演算、および円分体Ｑ（ζ）に対するガロア群Ｇ（Ｑ（ζ）｜ Ｑ）の作用の演算、および整数環Ｚ係数のガロア群Ｇ（Ｑ（ζ）｜ Ｑ）上の群環Ｚ［Ｇ（Ｑ（ζ）｜ Ｑ）］における加法および乗法演算に関しては、既知の手法を用いるものとする。
【００３３】
次に、本発明の第１の実施の形態の動作について説明する。
図２は、スティッケルバーガー要素計算装置１１の動作を示すフローチャートである。
図３は、ヤコビ和候補値計算装置１２の動作を示すフローチャートである。
図４は、位数候補値計算装置１３の動作を示すフローチャートである。
図５は、パラメータ決定装置１５の動作を示すフローチャートである。
【００３４】
曲線の複雑さの度合いを指定する２つの異なる素数ａ＝３、ｂ＝７、および使用したい暗号鍵のサイズｎ＝１６０が入力装置１７から入力された場合について説明する。入力されたａ、ｂは中央処理装置１９を介してそれぞれａ記憶ファイル１６１、ｂ記憶ファイル１６２に一時的に記憶される。また、以下の記述において現れる変数は、メモリ１６に格納される。
【００３５】
次に、スティッケルバーガー要素計算装置１１が、図２に示す処理にしたがって、ａ記憶ファイル１６１、ｂ記憶ファイル１６２よりａ＝３、ｂ＝７を取得して以下のように動作する。
【００３６】
図２のステップＳ２１において、変数Ｌにａ・ｂ ＝ ３×７＝２１を法とする既約剰余類の代表系｛１、２、４、５、８、１０、１１、１３、１６、１７、１９、２０｝が格納される。
【００３７】
次に、図２のステップＳ２２において、変数Ｌ＝｛１、２、４、５、８、１０、１１、１３、１６、１７、１９、２０｝に含まれる各整数ｔに対して、例えば、ｔ＝１のとき、［＜１／３＞＋＜１／７＞］ ＝ ［１／３＋１／７］＝［１０／２１］＝０なので、変数ｍに０が格納され、−１^−１ ≡ −１ ≡ ２０ ｍｏｄ２１なので、変数ｓに２０が格納され、０×σ_２０ ＝ ０なので、変数λ_１に０が格納される。
【００３８】
他のｔについても同様にして、変数λ_２に［＜２／３＞＋＜２／７＞］＝［２／３＋２／７］＝［２０／２１］＝０なので０が、変数λ_４に［＜４／３＞＋＜４／７＞］＝［１／３＋４／７］＝［１９／２１］＝０なので０が、変数λ_５に［＜５／３＞＋＜５／７＞］＝［２／３＋５／７］＝［２９／２１］＝１で（−５）^−１ ≡ １６^−１ ≡ ４ ｍｏｄ ２１なのでσ_４が、変数λ_８に［＜８／３＞＋＜８／７＞］＝［２／３＋１／７］＝［１７／２１］＝０なので０が、変数λ_１０に［＜１０／３＞＋＜１０／７＞］＝［１／３＋３／７］＝［１６／２１］＝０なので０が、変数λ_１１に［＜１１／３＞＋＜１１／７＞］＝［２／３＋４／７］＝［２６／２１］＝１で（−１１）^−１ ≡ １０^−１ ≡ １９ ｍｏｄ ２１なのでσ_１９が、変数λ_１３に［＜１３／３＞＋＜１３／７＞］＝［１／３＋６／７］＝［２５／２１］＝１で（−１３） ^−１ ≡ ８^−１ ≡ ８ｍｏｄ ２１なのでσ_８が、変数λ_１６に［＜１６／３＞＋＜１６／７＞］＝［１／３＋２／７］＝［１３／２１］＝０なので０が、変数λ_１７に［＜１７／３＞＋＜１７／７＞］＝［２／３＋３／７］＝［２３／２１］＝１で（−１７） ^−１ ≡ ４^−１ ≡ １６ ｍｏｄ ２１なのでσ_１６が、変数λ_１９に［＜１９／３＞＋＜１９／７＞］＝［１／３＋５／７］＝［２２／２１］＝１で（−１９） ^−１ ≡ ２^−１ ≡ １１ ｍｏｄ ２１なのでσ_１１が、変数λ_２０に［＜２０／３＞＋＜２０／７＞］＝［２／３＋６／７］＝［３２／２１］＝１で（−２０） ^−１ ≡ １^−１ ≡ １ ｍｏｄ ２１ なのでσ_１が、それぞれ格納される。
【００３９】
次に、図２のステップＳ２３において、各変数λ_１、λ_２、λ_４、λ_５、λ_８、λ_１０、λ_１１、λ_１３、λ_１６、λ_１７、λ_１９、λ_２０に記憶された全データの総和ω ＝ σ_４ ＋ σ_１９ ＋ σ_８ ＋ σ_１６ ＋ σ_１１ ＋ σ_１ が計算される。ここでの総和は、群環Ｚ［Ｇ（Ｑ（ζ）｜ Ｑ）］における総和であり、 各σ_ｉをシンボルとみなし、各σ_ｉごとの係数の総和を意味する。演算結果であるωは中央処理装置１９を介して、ω記憶ファイル１６３に一時的に記憶される。
【００４０】
次に、ヤコビ和候補値計算装置１２が、ａ記憶ファイル１６１、ｂ記憶ファイル１６２、ｎ記憶ファイル１６８、ω記憶ファイル１６３から、ａ＝３、ｂ＝７、ｎ＝１６０、ω＝σ_４ ＋ σ_１９ ＋ σ_８ ＋ σ_１６ ＋ σ_１１ ＋ σ_１を取得して、図３に示す処理にしたがって、以下のようにしてヤコビ和の候補値ｊを演算する。
【００４１】
まず、図３のステップＳ３１において、変数ζに、ａｂ＝２１なので、１の原始２１乗根を格納し、変数ｍに、２ｎ ／ （ａ−１）（ｂ−１） ＝ ２６．６．．．なので、２７を格納する。
【００４２】
次に、図３のステップＳ３２において、変数γ_０に円分体Ｑ（ζ）のランダム整数を以下のようにして格納する。変数γ_０を０に初期化し、ｔ＝０に対し、乱数ｒ_０ ＝ −２を発生し、γ_０にｒ_０ ζ^０ ＝ −２を加え、γ_０＝−２とし、ｔ＝１に対し、乱数ｒ_１ ＝ ２を発生し、γ_０にｒ_１ ζ^１ ＝ ２ ζを加え、γ_０ ＝ −２ ＋ ２ζとし、以下同様の操作をｔ＝１１まで繰り返して、γ_０ ＝ −２ ＋ ２ζ−ζ^２ ＋ ２ζ^３ ＋ ２ζ^５ − ζ^６ − ζ^７ − ２ ζ^８ ＋ ２ζ^９ − ζ^１１を得る。
【００４３】
次に、図３のステップＳ３３において、各整数ｉ＝０、１、２、．．．に対して、以下の操作を行う。ｉ＝０に対し、変数γにγ_０ ＋ ０を格納し、γ ＝ −２ ＋ ２ζ−ζ^２ ＋ ２ζ^３ ＋ ２ζ^５ − ζ^６ − ζ^７ − ２ ζ^８ ＋ ２ζ^９ − ζ^１１ を得て、 そのノルムＮ_{Ｑ（ ζ ）｜ Ｑ}（γ）を計算し、１２９５７１５１３を得てｐ記憶ファイル１６７に格納し、変数ｌにｐ＝１２９５７１５１３のビット数２９を格納し、ｌ＝２９がｍ＝２７程度であることを確認し、ｐ＝１２９５７１５１３を既知の方法により素因数分解するとｐ＝１２９５７１５１３＝４３×２１１×１４２８１となりｐ＝１２９５７１５１３は素数ではないので、ｉ＝０に対する処理を終了し、ｉ＝１に対して、同様の操作を繰り返す。本実施の形態の場合は、ｉ＝２となるまで同様の操作が続き、ｉ＝２に対し、変数γにγ_０ ＋ ２を格納し、γ ＝ ２ζ−ζ^２ ＋ ２ζ^３ ＋ ２ζ^５ − ζ^６ − ζ^７ − ２ ζ^８ ＋ ２ζ^９ − ζ^１１ を得て、そのノルムＮ_{Ｑ（ ζ ）｜ Ｑ}（γ）を計算し、１６３２５５５９７を得てｐ記憶ファイル１６７に格納し、変数ｌにｐ＝１６３２５５５９７のビット数２８を格納し、ｌ＝２８がｍ＝２７程度であり、ｐ＝１６３２５５５９７は素数と判定されるので（素数判定には既知の手法を用いる）、ステップＳ３３の操作は終了する。
【００４４】
次に、図３のステップＳ３４において、変数γの値２ζ−ζ^２ ＋ ２ζ^３ ＋ ２ζ^５ − ζ^６ − ζ^７ − ２ ζ^８ ＋ ２ζ^９ − ζ^１１ に、スティッケルバーガー要素ω＝σ_４ ＋ σ_１９ ＋ σ_８ ＋ σ_１６ ＋ σ_１１ ＋ σ_１を作用させ、結果をｊ記憶ファイル１６４に格納する。
【００４５】
すなわち、ｊ ＝ σ_４（γ）σ_１９（γ）σ_８（γ）σ_１６（γ） σ_１１（γ）σ_１（γ）
＝ −１１３４６ ＋ ４１５８ζ ＋ ９３３７ζ^２ − １０９３０ζ^３ ＋ ３０６０ζ^４ ＋ １１１３２ζ^５ − １４０８ζ^６ − １００００ζ^７ ＋ ７５０６ζ^８ ＋ １２３７ζ^９ − ９８９４ζ^１０ ＋ １６４０６ ζ^１１
となるので、ｊ記憶ファイル１６４の内容は −１１３４６ ＋ ４１５８ζ ＋ ９３３７ζ^２ − １０９３０ζ^３ ＋ ３０６０ζ^４ ＋ １１１３２ζ^５ − １４０８ζ^６ − １００００ζ^７ ＋ ７５０６ζ^８ ＋ １２３７ζ^９ − ９８９４ζ^１０ ＋ １６４０６ ζ^１１となる。
【００４６】
次に、位数候補値計算装置１３が、図４に示す処理にしたがって、ａ記憶ファイル１６１、ｂ記憶ファイル１６２、ｊ記憶ファイル１６４からそれぞれａ、ｂ、ｊを取得し、以下のようにしてヤコビ群の位数の候補値を計算する。
【００４７】
まず、図４のステップＳ４１において、変数ζに、ａｂ＝２１なので、１の原始２１乗根を格納する。
【００４８】
次に、図４のステップＳ４２において、各整数ｋ＝１、．．．、２ａｂ＝４２に対して、ヤコビ和候補値ｊを用いて、Ｎ_{Ｑ（ ζ ）｜ Ｑ} （１ ＋ （−ζ）^ｋ ｊ） を計算し、結果を変数ｈ_ｋに格納する。すなわち、ｋ＝１に対して、Ｎ_{Ｑ（ ζ ）｜ Ｑ} （１ ＋ （−ζ） ｊ）＝ １８９４５７５０５５４２２４６７４８６２７２０９１７３７９２１４０５０９６８７４９５４７２４９５７７なので、変数ｈ_１に１８９４５７５０５５４２２４６７４８６２７２０９１７３７９２１４０５０９６８７４９５４７２４９５７７が格納され、ｋ＝２に対して、Ｎ_{Ｑ（ ζ ）｜ Ｑ} （１ ＋ （−ζ）^２ ｊ） ＝ １８９２８９６９３０５２６５７９６９７８８３０９４１９３８７７２１８０７７７０５０４１７７２１９４９なので、変数ｈ_２に１８９２８９６９３０５２６５７９６９７８８３０９４１９３８７７２１８０７７７０５０４１７７２１９４９が格納される。
【００４９】
以下同様にして、変数ｈ_３に１８９３９４４２３９７７５７５５９６３９１７６５８６１２８４０４３８３４７９０７６１４２１３５７６１が、変数ｈ_４に１８９３５０６０３４５４０６４３７２４７９８４２４９５９０１２１９８０３２１２４４８６２４９６７６１が、変数ｈ_５に１８９３５６２２６７６８５２７２６６８４９０２８１６９７０６１２４７０２３７４７４５４１８０９６６４が、変数ｈ_６に１８９３１９３６９０３６６５７０５４７５５８１６４７３０５５７４４４４７８６２６３２３７０６９０８１が、変数ｈ_７に１８９２９５６０６５４７７１８６０１０１３８３３１８１８５９９７６７４１１６９２９６２６０１２８８９が、変数ｈ_８に１８９３９１５０２０３６５０２５０１８６１６６３１５２４２１２６３５５７８６７９９２８０５９２４６９が、変数ｈ_９に１８９３２６７５８０７２７３６７４６９３９３６１１５５７２１０３３７９６６９３８０３７８３６９４７３が、変数ｈ_１０に１８９４２３０９９６５８２１４０５４１４９７０６１４９９２２３９７４９６９１０４２３７５１７００３３が、変数ｈ_１１に１８９３４２２９２９０６３５１７６８３０７６４０３５５３２０４６５１０８３９７９１７１９４４２３８９が、変数ｈ_１２に１８９３５８３４１７２５８８６０３０２６５０８８０７５１４９６１６５３６０３４３１９６８２９３３６９が、変数ｈ_１３に１８９３８０７８７４３０５３９４５９４７８３１９３２１３４８３５８９９６７８９６９０８０７１０２８１が、変数ｈ_１４に１８９３０９８０８５４１１４６９８５２１１９７６９２３４１１０７８２６７９６８４０２２５３６８４６１が、変数ｈ_１５に１８９２５９２６３４８４８２１２６０４６７９７４０８１９０９５１９３０４７３６０９３７３７９１３５３が、変数ｈ_１６に１８９３６２２９７２４３１４３３８３２７６０８１５５９９９１９３４６４４９２９１３２１８４５９６３３が、変数ｈ_１７に１８９３５３８９０９８２７８４８７４９５２０５７４０２８５０５２８１２１７０９４３８７８８２３２５３が、変数ｈ_１８に１８９３１６９１５６７７８１５４２９９８０５０８９６５２２５７１３５８０２７３７４４４５６６５０７３が、変数ｈ_１９に１８９３２７３４１８０６１０９２６１０８１６６７０３６０９０４９２０７７１６１８０１４５７１７８４９が、変数ｈ_２０に１８９３８６６４４１１７４３７２４８１５８０３７８４５９３７６１８０１４６１５７９７０５６４７６９３が、変数ｈ_２１に１８９３３９４２７５２７７０１０５１７９８３７９８９４７３４７２０８０６１６４７４４２３２５４９６９が、変数ｈ_２２に１８９１９３０２９８６３３５７７７３６７０４９５４０２６８４８４２７３８６１９０３１０６３９０７６９が、変数ｈ_２３に１８９３６０７５３９６８８５２７０３７３７８１７１１７６５１８０５２２４９７４０８６１３７１３６２１が、変数ｈ_２４に１８９２５６０４３２８９８４５９２６２９６２７４６５１９４３４３１９１２０６５９４１６００３７０７３が、変数ｈ_２５に１８９２９９８４８６３７８８４１８７５１８３６１５６２６１７１２２９９３７２０８３２３１６３３５７７が、変数ｈ_２６に１８９２９４２２５３１７９３６４８１７０１１１２２８３３９７４１１９８１５００９４９８３４９９７７６が、変数ｈ_２７に１８９３３１０７９５４５４１５２８８６５１５２８４８８０４０６２６７２７５３１６６４４８４６０７６１が、変数ｈ_２８に１８９３５４８３６３４７０５４８７０５３０４３５６３５９４３９１０４８２９９３３３７３５７０３９９３が、変数ｈ_２９に１８９２５８９６８４８３４００６２８５１９７２１３６６９６７８３３４８２２１１２７４５５０９８３４９が、変数ｈ_３０に１８９３２３６８４９０４７５２０５１５９１２４４５３９３３００７６８１５５５７４４６８６３２６７７７が、変数ｈ_３１に１８９２２７３９３３６８６４４４８７４２７５０２８１５３８７１９５９９１０３２３２７１７６４２８７３が、変数ｈ_３２に１８９３０８１５１７５２１７３４４８２６６０９４９２３７５１８６４２３７２４６９４０１４５５１９５７が、変数ｈ_３３に１８９２９２１０５１０３６０４０６２２６０５７６５９３７２４７２２３０８８５１７５４２１０７７００９が、変数ｈ_３４に１８９２６９６７３２７９３６７３０１７８２５０５３７８８４８６２１３７８１５１８８７１８１４０６７３が、変数ｈ_３５に１８９３４０６３７６３２７２１２６４５０６２３７８７６００２３３８４３５２７３９６４００８１２４３７が、変数ｈ_３６に１８９３９１２０５５９７６１８７６８０１０５４２９２５０６８８１７００８８５４１５２８７７０１０４１が、変数ｈ_３７に１８９２８８１６３１５７１０６２３５３００８９４６０６０７６０８７９７３３７０８１８００６３２４７３が、変数ｈ_３８に１８９２９６５６５３８５７０９８２７２０４３８０７２８０９６５２０７２２０３８５７５７１９４１７８９が、変数ｈ_３９に１８９３３３５２９３３８６２１７６６０６３３１２３０５３１１８９５７９１８６００７９８３０２４２４９が、変数ｈ_４０に１８９３２３１０６６３２７４９９４４４５５９９７４３１８００３２０７９９３７１４７６８７８０５１２１が、変数ｈ_４１に１８９２６３８１９４５７０２７２６４０６１８２６２４５５７０２２３４４１１３０３７９５７９９１７０９が、変数ｈ_４２に１８９３１１０２６８１７８９０９５０７２２２９６７６２６２９７５５７７３４４３１４２６６４３３６１７が、それぞれ格納される。
【００５０】
最後に、位数候補値計算装置１３は、ヤコビアン群の位数の候補値として変数ｈ_１〜変数ｈ_４２の内容をＨとして、Ｈ記憶ファイル１６５にまとめて格納する。
【００５１】
次に、安全性判定装置１４が、Ｈ記憶ファイル１６５からＨを取得し、Ｈに含まれる位数の候補値ｈ_１、ｈ_２、．．．、ｈ_４２から概素数性等の安全性条件を満たす候補値ｈを検索し、ｈ記憶ファイル１６６に格納する。本実施の形態では、説明を簡明にするため、安全性条件は概素数性のみを検討する。既知の素数判定法を用いると、ｈ_１１ ＝ １８９３４２２９２９０６３５１７６８３０７６４０３５５３２０４６５１０８３９７９１７１９４４２３８９が素数と判定され、安全性判定装置１４は、ｈ ＝ ｈ_１１ ＝ １８９３４２２９２９０６３５１７６８３０７６４０３５５３２０４６５１０８３９７９１７１９４４２３８９をｈ記憶ファイル１６６に格納する。
【００５２】
次に、パラメータ決定装置１５が、ａ記憶ファイル１６１、ｂ記憶ファイル１６２、ｐ記憶ファイル１６７、ｈ記憶ファイル１６６からそれぞれａ、ｂ、ｐ、ｈを取得し、図５に示す処理にしたがって動作する。
【００５３】
まず、図５のステップＳ５１において、変数ζ_３にｐ＝１６３２５５５９７を法とする１の原始３乗根である１２７９９４５８７を、変数ζ_７にｐ＝１６３２５５５９７を法とする１の原始７乗根である８３４２６４８をそれぞれ格納する。
【００５４】
次に、図５のステップＳ５２において、各整数ｌ＝１、２、３および各整数ｍ＝１、２、３、４、５、６、７に対して、以下のような処理を行う。
【００５５】
まず、ｌ＝１、ｍ＝１に対して、変数εにζ_３ ＝ １２７９９４５８７を格納し、変数ηにζ_７ ＝８３４２６４８を格納し、式 ε ｙ^３ ＋ η ｘ^７ ＋ １ ＝ １２７９９４５８７ ｙ^３ ＋ ８３４２６４８ ｘ^７ ＋ １ ＝０ で定義される代数曲線のヤコビアン群のランダムな元｛１５１７０７０１７ ＋ １０４６７８４９１ ｘ ＋ １２３６４６０８３ ｘ^２ ＋ １８７５３９８８ ｙ ＋ ８７６３４４９３ ｘ^３ ＋ ６１２７４３３６ ｘ ｙ ＋ ｘ^４、 １３８７９９７８５ ＋ １４５１０５６８４ ｘ ＋ ５８４３９５ ｘ^２ ＋ ８０８２８８７３ ｙ ＋ ３４７１５８９２ ｘ^３ ＋ １２１８８５８７４ ｘｙ ＋ ５９７８７８４４ ｘ^４ ＋ ｘ^２ ｙ、 １６１１６２２２４ ＋ １１７１５００９７ ｘ ＋ １００９５６１００ ｘ^２ ＋ ８９３８００６１ ｙ ＋ １４００３２５５５ ｘ^３ ＋ ４３３６７０１９ ｘ ｙ ＋ ｙ^２ ｝を生成し、これを変数Ｇに格納し、変数Ｇに格納されている点の、ヤコビアン群におけるｈ＝１８９３４２２９２９０６３５１７６８３０７６４０３５５３２０４６５１０８３９７９１７１９４４２３８９倍を計算し、計算結果である ｛１３３６５９４９７ ＋ １０３４２４７４６ ｘ ＋ １３６０３２８９７ ｘ^２ ＋ １３１０２９１９９ ｙ ＋ ２４６１８８６７ ｘ^３ ＋ １１４９４４０３４ ｘ ｙ ＋ ｘ^４、 ８６１２５４２６ ＋ １２５８９１８９３ ｘ ＋ １９５６８２６９ ｘ^２ ＋ ２７０４４３１４ ｙ ＋ ８０４２０９６０ ｘ^３ ＋ １３７５６２０９２ ｘ ｙ ＋ ｘ^２ ｙ、 ５３６０４１１２ ＋ ６５９９０５０１ ｘ ＋ ５１２６９２２１ ｘ^２ ＋ ５５２７１５０２ ｙ ＋ ７９７４２３３ ｘ^３ ＋ ８４９２２２２０ ｘ ｙ ＋ ｙ^２ ｝ を変数Ｇに格納する。
【００５６】
変数Ｇの上記内容がヤコビアン群における単位元｛｝に等しくないので、次に、ｌ＝１、ｍ＝２に対して、変数εにζ_３ ＝ １２７９９４５８７を格納し、変数ηにζ_７ ^２ ＝ ８３４２６４８^２ ｍｏｄ １６３２５５５９７ ＝ １５９７７２０７３を格納し、上記の処理を繰り返す。
【００５７】
本実施の形態の場合、ｌ＝２、ｍ＝２に対して、ε＝３５２６１００９、η＝１５９７７２０７３となり、ランダムに生成された点Ｇ ＝ ｛４５６８０７１ ＋ １４１８４３７１５ ｘ ＋ ６８２５６７４３ ｘ^２ ＋ ７１９０３５０１ ｙ ＋ １２８９５３７８３ ｘ^３ ＋ １０７８１９６０ ｘ ｙ ＋ ｘ^４、 ４８２７２７８８ ＋ ４５６１５２２９ ｘ ＋ １５０６９２０３４ ｘ^２ ＋ ５３９７３３５０ ｙ ＋ １１１１４７６５ ｘ^３ ＋ ７８５５０１３０ ｘ ｙ ＋ ６１３３１３５４ ｘ^４ ＋ ｘ^２ ｙ、１１７５５２８０７ ＋ １３５４４８９０７ ｘ ＋ ６４０７４７１１ ｘ^２ ＋ １４１０５８９７４ ｙ ＋ ４９２０８２４６ ｘ^３ ＋ ９３９４０３１７ ｘ ｙ ＋ ｙ^２ ｝のｈ＝１８９３４２２９２９０６３５１７６８３０７６４０３５５３２０４６５１０８３９７９１７１９４４２３８９倍が単位元｛｝となり、パラメータ決定装置１５は安全な代数曲線のパラメータとして、ｐ＝１６３２５５５９７、ε＝３５２６１００９、η＝１５９７７２０７３を出力する。
【００５８】
最後に、パラメータ決定装置１５の出力したパラメータｐ＝１６３２５５５９７、ε＝３５２６１００９、η＝１５９７７２０７３が出力装置１８より出力される。
【００５９】
次に、本発明の第２の実施の形態について詳細に説明する。
本発明の第２の実施の形態は、
（ａ）ａ記憶ファイル１６１、ｂ記憶ファイル１６２から、それぞれ素数ａ、ｂを取得し、円のａｂ分体におけるスティッケルバーガー要素ωを演算するスティッケルバーガー要素計算手順と、
（ｂ）前記スティッケルバーガー要素計算手順により演算されたスティッケルバーガー要素ωをω記憶ファイル１６３に記憶する手順と、
（ｃ）ａ記憶ファイル１６１、ｂ記憶ファイル１６２、ｎ記憶ファイル１６８、ω記憶ファイル１６３からそれぞれ素数ａ、素数ｂ、暗号鍵のサイズｎ、スティッケルバーガー要素ωを取得し、２つの異なる素数ａ、素数ｂに対するヤコビ和候補値ｊおよびヤコビ和候補値ｊに対応する素数ｐを演算するヤコビ和候補値計算手順と、（ｄ）前記ヤコビ和候補値計算手順により演算された素数ｐ、ヤコビ和候補値ｊをそれぞれｐ記憶ファイル１６７、およびｊ記憶ファイル１６４に記憶する手順と、
（ｅ）ａ記憶ファイル１６１、ｂ記憶ファイル１６２、ｊ記憶ファイル１６４から、それぞれ素数ａ、素数ｂ、ヤコビ和候補値ｊを取得し、素数ａ、素数ｂで指定される代数曲線のヤコビアン群の位数の複数の候補値からなる集合Ｈを演算する位数候補値計算手順と、
（ｆ）前記位数候補値計算手順により演算された集合ＨをＨ記憶ファイル１６５に記憶する手順と、
（ｇ）Ｈ記憶ファイル１６５から集合Ｈを取得し、集合Ｈの中から概素数性等の安全性条件を満たす候補値ｈを検索する安全性判定手順と、
（ｈ）前記安全性判定手順により検索された候補値ｈをｈ記憶ファイル１６６に記憶する手順と、
（ｉ）ａ記憶ファイル１６１、ｂ記憶ファイル１６２、ｐ記憶ファイル１６７、ｈ記憶ファイル１６６からそれぞれ素数ａ、素数ｂ、素数ｐ、候補値ｈを取得し、素数ａ、素数ｂ、素数ｐで指定される代数曲線でそのヤコビアン群の位数が候補値ｈと一致する代数曲線のパラメータを演算するパラメータ決定手順と、
を含むことを特徴とする代数曲線暗号における安全なパラメータの生成方法である。
【００６０】
次に、本発明の第３の実施の形態について図面を参照して詳細に説明する。
図６は、本発明の第３の実施の形態を示すブロック図である。
図６を参照すると、本発明の第３の実施の形態は、本発明の第２の実施の形態の各手順をコンピュータ１００に実行させるプログラムを記録する記録媒体１３０である。このプログラムは、コンピュータ１００の記憶装置にロードされ実行される。
【００６１】
【発明の効果】
本発明の効果は、従来使用できなかった高次の複雑な代数曲線を代数曲線暗号に用いることができ、代数曲線暗号の安全性を向上することである。
【００６２】
その理由は、αＹ^ａ ＋βＸ^ｂ ＋ １ ＝ ０という形の定義方程式をもつ代数曲線のクラスから、そのヤコビアン群の位数がほぼ素数である代数曲線を効率的に探索することが可能となり、使用できる代数曲線の範囲が広がり、攻撃者の解読作業が分散増加するからである。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態を示すブロック図である。
【図２】スティッケルバーガー要素計算装置の動作を示すフローチャートである。
【図３】ヤコビ和候補値計算装置の動作を示すフローチャートである。
【図４】位数候補値計算装置の動作を示すフローチャートである。
【図５】パラメータ決定装置の動作を示すフローチャートである。
【図６】本発明の第３の実施の形態を示すブロック図である。
【符号の説明】
１１ スティッケルバーガー要素計算装置
１２ ヤコビ和候補値計算装置
１３ 位数候補値計算装置
１４ 安全性判定装置
１５ パラメータ決定装置
１６ メモリ
１７ 入力装置
１８ 出力装置
１９ 中央処理装置
１００ コンピュータ
１３０ 記録媒体
１６１ ａ記憶ファイル
１６２ ｂ記憶ファイル
１６３ ω記憶ファイル
１６４ ｊ記憶ファイル
１６５ Ｈ記憶ファイル
１６６ ｈ記憶ファイル
１６７ ｐ記憶ファイル
１６８ ｎ記憶ファイル

Claims (11)

1. （ａ）曲線の複雑さの度合いを指定する2つの異なる素数a、b、および、使用したい暗号鍵のサイズnを入力する入力装置と、
   （ｂ）前記入力手段に入力された素数a、素数b、暗号鍵のサイズnをそれぞれ記憶するa記憶手段、b記憶手段、および、n記憶手段と、
   （ｃ）前記a記憶手段、前記b記憶手段からそれぞれ素数a、素数bを取得し、円のab分体におけるスティッケルバーガー要素ωを演算するスティッケルバーガー要素計算装置と、
   （ｄ）前記スティッケルバーガー要素計算装置により演算されたスティッケルバーガー要素ωを記憶するω記憶手段と、
   （ｅ）前記a記憶手段、前記b記憶手段、前記n記憶手段、前記ω記憶手段からそれぞれ素数a、素数b、暗号鍵のサイズn、スティッケルバーガー要素ωを取得し、2つの異なる素数a、素数bに対するヤコビ和候補値jおよびヤコビ和候補値jに対応する素数pを演算するヤコビ和候補値計算装置と、
   （ｆ）前記ヤコビ和候補値計算装置により演算された素数p、ヤコビ和候補値jをそれぞれ記憶するp記憶手段、およびj記憶手段と、
   （ｇ）前記a記憶手段、前記b記憶手段、前記j記憶手段から、それぞれ素数a、素数b、ヤコビ和候補値jを取得し、素数a、素数bで指定される代数曲線のヤコビアン群の位数の複数の候補値からなる集合Hを演算する位数候補値計算装置と、
   （ｈ）前記位数候補値計算装置により演算された集合Hを記憶するH記憶手段と、
   （ｉ）前記H記憶手段から集合Hを取得し、集合Hの中から概素数性等の安全性条件を満たす候補値hを検索する安全性判定装置と、
   （ｊ）前記安全性判定装置により検索された候補値hを記憶するh記憶手段と、
   （ｋ）前記a記憶手段、前記b記憶手段、前記p記憶手段、前記h記憶手段からそれぞれ素数a、素数b、素数p、候補値hを取得し、素数a、素数b、素数pで指定される代数曲線でそのヤコビアン群の位数が候補値hと一致する代数曲線のパラメータを演算するパラメータ決定装置と、
   （ｌ）前記パラメータ決定装置で演算された代数曲線のパラメータを出力する出力装置と、
   を備えたことを特徴とするα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置。
2. 前記a記憶手段、前記b記憶手段からそれぞれ素数a、素数bを取得し、式ω = Σ_t [<t/a> + <t/b>] σ_{-t^-1}（tはabを法とする既約剰余類の代表系を走り、[λ]は有理数λを超えない最大の整数を表し、<λ>は有理数λの小数部分λ-[λ]を表し、σ_tは円のab分体におけるガロア写像ζ → ζ^tを表す(ζは1の原始ab乗根)）を用いてスティッケルバーガー要素ωを演算する前記スティッケルバーガー要素計算装置を備えることを特徴とする請求項１記載のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置。
3. 前記a記憶手段、前記b記憶手段、前記n記憶手段、前記ω記憶手段からそれぞれ素数a、素数b、暗号鍵のサイズn、スティッケルバーガー要素ωを取得し、１の原始ab乗根で生成される円分体Kの素イデアルを生成する代数的整数γで、その絶対ノルムが2n/(a-1)(b-1)程度のビット長の素数pとなるαをランダムに生成し、式j = γ^ωを用いてヤコビ和候補値jを演算する前記ヤコビ和候補値計算装置を備えることを特徴とする請求項１または２記載のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置。
4. 前記a記憶手段、前記b記憶手段、前記j記憶手段からそれぞれ素数a、素数b、ヤコビ和候補値jを取得し、１以上2ab以下の整数である各kに対して、ζを１の原始ab乗根とするとき、式 h_k = Norm_K|Q(１+ (-ζ)^k j)（Norm_{K|Q}は、円のab分体Kにおけるノルム写像）を用いて、パラメータa、bで指定される代数曲線のヤコビアン群の位数の候補値h_kを演算し、候補値の集合H={h₁、h₂、．．．、h_2ab}を演算する前記位数候補値計算装置を備えることを特徴とする請求項１、２、または３記載のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置。
5. 前記a記憶手段、前記b記憶手段、前記p記憶手段、前記h記憶手段からそれぞれ素数a、素数b、素数p、候補値hを取得し、素数pを法とする１の原始a乗根ζ_aおよび１の原始b乗根ζ_bを求め、１以上a以下の各整数l、および１以上b以下の各整数mに対して、式ζ_a ^l Y^a + ζ_b ^m X^b +１=０で定義される代数曲線上のランダムな点Gを生成し、点Gの表すヤコビアン群における要素のh倍を計算し、結果がヤコビアン群における単位元に等しいならば、素数a、素数bで指定される代数曲線でそのヤコビアン群の位数が候補値hと一致する代数曲線のパラメータとしてp、ζ_a ^lおよびζ_b ^mを出力する前記パラメータ決定装置を備えることを特徴とする請求項１、２、３または４記載のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置。
6. （ａ）入力装置が、曲線の複雑さの度合いを指定する 2 つの異なる素数 a 、 b 、および、使用したい暗号鍵のサイズ n を入力する手順と、
   （ｂ） a 記憶手段、 b 記憶手段、および、 n 記憶手段が、それぞれ、前記入力手段に入力された素数 a 、素数 b 、暗号鍵のサイズ n を記憶する手順と、
   （ｃ）スティッケルバーガー要素計算装置が、前記 a 記憶手段、前記 b 記憶手段からそれぞれ素数 a 、素数 b を取得し、円の ab 分体におけるスティッケルバーガー要素ωを演算する手順と、
   （ｄ）ω記憶手段が、前記スティッケルバーガー要素計算装置により演算されたスティッケルバーガー要素ωを記憶する手順と、
   （ｅ）ヤコビ和候補値計算装置が、前記 a 記憶手段、前記 b 記憶手段、前記 n 記憶手段、前記ω記憶手段からそれぞれ素数 a 、素数 b 、暗号鍵のサイズ n 、スティッケルバーガー要素ωを取得し、 2 つの異なる素数 a 、素数 b に対するヤコビ和候補値 j およびヤコビ和候補値 j に対応する素数 p を演算する手順と、
   （ｆ） p 記憶手段、および j 記憶手段が、それぞれ、前記ヤコビ和候補値計算装置により演算された素数 p 、ヤコビ和候補値 j を記憶する手順と、
   （ｇ）位数候補値計算装置が、前記 a 記憶手段、前記 b 記憶手段、前記 j 記憶手段から、それぞれ素数 a 、素数 b 、ヤコビ和候補値 j を取得し、素数 a 、素数 b で指定される代数曲線のヤコビアン群の位数の複数の候補値からなる集合 H を演算する手順と、
   （ｈ） H 記憶手段が、前記位数候補値計算装置により演算された集合 H を記憶する手順と、
   （ｉ）安全性判定装置が、前記 H 記憶手段から集合 H を取得し、集合 H の中から概素数性等の安全性条件を満たす候補値 h を検索する手順と、
   （ｊ） h 記憶手段が、前記安全性判定装置により検索された候補値 h を記憶する手順と、
   （ｋ）パラメータ決定装置が、前記 a 記憶手段、前記 b 記憶手段、前記 p 記憶手段、前記 h 記憶手段からそれぞれ素数 a 、素数 b 、素数 p 、候補値 h を取得し、素数 a 、素数 b 、素数 p で指定される代数曲線でそのヤコビアン群の位数が候補値 h と一致する代数曲線のパラメータを演算する手順と、
   （ｌ）出力装置が、前記パラメータ決定装置で演算された代数曲線のパラメータを出力する手順と、
   を含むことを特徴とするα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法。
7. 前記スティッケルバーガー要素計算装置が、前記 a 記憶手段、前記 b 記憶手段からそれぞれ素数 a 、素数 b を取得し、式ω = Σ _t [<t/a> + <t/b>] σ _{-t ^-1 } （ t は ab を法とする既約剰余類の代表系を走り、 [ λ ] は有理数λを超えない最大の整数を表し、 < λ > は有理数λの小数部分λ -[ λ ] を表し、σ _t は円の ab 分体におけるガロア写像ζ → ζ ^t を表す ( ζは 1 の原始 ab 乗根 ) ）を用いてスティッケルバーガー要素ωを演算する手順を含むことを特徴とする請求項６記載のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法。
8. 前記ヤコビ和候補値計算装置が、前記 a 記憶手段、前記 b 記憶手段、前記 n 記憶手段、前記ω記憶手段からそれぞれ素数 a 、素数 b 、暗号鍵のサイズ n 、スティッケルバーガー要素ωを取得し、１の原始 ab 乗根で生成される円分体 K の素イデアルを生成する代数的整数γで、その絶対ノルムが 2n/(a-1)(b-1) 程度のビット長の素数 p となるαをランダムに生成し、式 j = γ ^ω を用いてヤコビ和候補値 j を演算する手順を含むことを特徴とする請求項６または７記載のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法。
9. 前記位数候補値計算装置が、前記 a 記憶手段、前記 b 記憶手段、前記 j 記憶手段からそれぞれ素数 a 、素数 b 、ヤコビ和候補値 j を取得し、１以上 2ab 以下の整数である各 k に対して、ζを１の原始 ab 乗根とするとき、式 h _k = Norm _K|Q ( １ + (- ζ ) ^k j) （ Norm_{K|Q} は、円の ab 分体 K におけるノルム写像）を用いて、パラメータ a 、 b で指定される代数曲線のヤコビアン群の位数の候補値 h _k を演算し、候補値の集合 H={h ₁ 、 h ₂ 、．．．、 h _2ab } を演算する手順を含むことを特徴とする請求項６、７、または８記載のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法。
10. 前記パラメータ決定装置が、前記 a 記憶手段、前記 b 記憶手段、前記 p 記憶手段、前記 h 記憶手段からそれぞれ素数 a 、素数 b 、素数 p 、候補値 h を取得し、素数 p を法とする１の原始 a 乗根ζ _a および１の原始 b 乗根ζ _b を求め、１以上 a 以下の各整数 l 、および１以上 b 以下の各整数 m に対して、式ζ _a ^l Y ^a + ζ _b ^m X ^b + １ = ０で定義される代数曲線上のランダムな点 G を生成し、点 G の表すヤコビアン群における要素の h 倍を計算し、結果がヤコビアン群における単位元に等しいならば、素数 a 、素数 b で指定される代数曲線でそのヤコビアン群の位数が候補値 h と一致する代数曲線のパラメータとして p 、ζ _a ^l およびζ _b ^m を出力する手順を含むことを特徴とする請求項６、７、８または９記載のα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成方法。
11. （ａ）入力装置に、曲線の複雑さの度合いを指定する 2 つの異なる素数 a 、 b 、および、使用したい暗号鍵のサイズ n を入力する手順を実行させ
    （ｂ） a 記憶手段、 b 記憶手段、および、 n 記憶手段に、それぞれ、前記入力手段に入力された素数 a 、素数 b 、暗号鍵のサイズ n を記憶する手順を実行させ
    （ｃ）スティッケルバーガー要素計算装置に、前記 a 記憶手段、前記 b 記憶手段からそれぞれ素数 a 、素数 b を取得し、円の ab 分体におけるスティッケルバーガー要素ωを演算する手順を実行させ
    （ｄ）ω記憶手段に、前記スティッケルバーガー要素計算装置により演算されたスティッケルバーガー要素ωを記憶する手順を実行させ
    （ｅ）ヤコビ和候補値計算装置に、前記 a 記憶手段、前記 b 記憶手段、前記 n 記憶手段、前記ω記憶手段からそれぞれ素数 a 、素数 b 、暗号鍵のサイズ n 、スティッケルバーガー要素ωを取得し、 2 つの異なる素数 a 、素数 b に対するヤコビ和候補値 j およびヤコビ和候補値 j に対応する素数 p を演算する手順を実行させ
    （ｆ） p 記憶手段、および j 記憶手段に、それぞれ、前記ヤコビ和候補値計算装置により演算された素数 p 、ヤコビ和候補値 j を記憶する手順を実行させ
    （ｇ）位数候補値計算装置に、前記 a 記憶手段、前記 b 記憶手段、前記 j 記憶手段から、それぞれ素数 a 、素数 b 、ヤコビ和候補値 j を取得し、素数 a 、素数 b で指定される代数曲線のヤコビアン群の位数の複数の候補値からなる集合 H を演算する手順を実行させ
    （ｈ） H 記憶手段に、前記位数候補値計算装置により演算された集合 H を記憶する手順を実行させ
    （ｉ）安全性判定装置に、前記 H 記憶手段から集合 H を取得し、集合 H の中から概素数性等の安全性条件を満たす候補値 h を検索する手順を実行させ
    （ｊ） h 記憶手段に、前記安全性判定装置により検索された候補値 h を記憶する手順を実行させ
    （ｋ）パラメータ決定装置に、前記 a 記憶手段、前記 b 記憶手段、前記 p 記憶手段、前記 h 記憶手段からそれぞれ素数 a 、素数 b 、素数 p 、候補値 h を取得し、素数 a 、素数 b 、素数 p で指定される代数曲線でそのヤコビアン群の位数が候補値 h と一致する代数曲線のパラメータ を演算する手順を実行させ
    （ｌ）出力装置に、前記パラメータ決定装置で演算された代数曲線のパラメータを出力する手順を実行させるα Y ^a + β X ^b + 1 = 0 という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成プログラムを記録したことを特徴とする記録媒体。

Images