JP3615137B2 - ナップサック型公開鍵暗号システム及びその装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は長さが［ｌｏｇ_２（ _ｎＣ_ｋ ）］（［＊］は＊を超えない最大整数）、 _ｎＣ_ｋ はｎ個からｋ個とった組合せの総数）ビットの平文を長さがｎでハミング（Ｈａｍｍｉｎｇ）重みがｋの二進列に変換して暗号化するナップサック型公開鍵暗号システム及びその装置に関する。
【０００２】
【従来の技術】
公開鍵暗号システムは、その安全性のよりどころとする問題により類別される。このような、よりどころとなる問題としては、素因数分解問題、離散対数問題、ナップサック問題などが挙げられる。これらの問題のうち、ナップサック問題を安全性のよりどころとする公開鍵暗号システムとしては、Ｍａｒｋｌｅ−Ｈｅｌｌｍａｎ暗号やＣｈｏｒ−Ｒｉｖｅｓｔ 暗号などがあるが、そのいずれについても攻撃が成功した例が報告されている。Ｃｈｏｒ−Ｒｉｖｅｓｔ 暗号は例えば米国雑誌ＩＥＥＥ ＴＲＡＮＳ．ＯＮ ＩＮＦＯＲＭＡＴＩＯＮ ＴＨＥＯＲＹ，ＶＯＬ．３４，ＮＯ．５，ＳＥＰ．，１９８８，ｐｐ．９０１ 〜９０９ （文献１と呼ぶ）に示されている。
【０００３】
【発明が解決しようとする課題】
この発明は、ナップサック問題を安全性のよりどころとし、従来よりも安全性の高い公開鍵暗号システム及びその装置を提供することを目的とする。
【０００４】
【課題を解決するための手段】
この発明によれば、整数ｎとｋ（ｎ＞ｋ）を決め、素数ｐと、互いに素である整数ｐ_１ ，…，ｐ_ｎ と生成元ｇを生成し、１＜ｉ＜ｎの各ｉについてｐ_ｉ ≡ｇ^ａｉ（ｍｏｄ ｐ）を満たすａ_１ ，…，ａ_ｎ を求め、更に整数ｓを決め、整数ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ を生成し、１＜ｉ＜ｎの各ｉについてｂ_ｉ，１ ＝（ｃ_１ ａ_ｉ ＋ｄ_１ ）ｍｏｄ ｇ_１ を求め、更にｊ＝２，３，４，…，ｓと順ｊを＋１させ、その各ｊについてｂ_ｉ，ｊ ＝（ｃ_ｊ ｂ_{ｉ，ｊ−１} ＋ｄ_ｊ ）ｍｏｄ ｑ_ｊ を求め、ｐ，ｇ，ｐ_１ ，…，ｐ_ｎ ，ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ を秘密鍵として秘密に保持し、ｂ_１，ｓ ，…，ｂ_ｎ，ｓ を公開鍵として公開すると共にｎ，ｋを公開し、
暗号化処理の際には、長さ［ｌｏｇ_２（ _ｎＣ_ｋ ）］（［＊］は＊を超えない最大整数）ビットの平文Ｍを、長さｎでハミング重みがｋの二進列ｍ＝（ｍ_１ ，ｍ_２ ，…，ｍ_ｎ ）に変換し、これに対し公開鍵を用いてｃ＝Σ_ｉ＝１ ^ｎｍ_ｉ ｂ_ｉ，ｓを生成して、暗号文ｃを出力し、
復号処理の際には、暗号文ｃと秘密鍵とからｒ_ｓ ＝（ｃ−ｋｄ_ｓ ）／ｃ_ｓ ｍｏｄ ｑ_ｓ を生成し、ｊ＝ｓ−１，ｓ−２，ｓ−３，…，１と順次−１した各ｊについてｒ_ｊ ＝（ｒ_ｊ＋１ −ｋｄ_ｊ ）／ｃ_ｊ ｍｏｄ ｑ_ｊ を生成し、その最後のｒ_１ を用いてｕ＝ｇ^ｒ１ｍｏｄ ｐを求め、１＜ｔ＜ｎの各ｐ_ｉ についてｐ_ｉ がｕの因数であればｎ_ｉ ＝１とし因数でなければｍ_ｉ ＝０として、長さｎ、ハミング重さｋの二進列を生成し、この二進列を平文Ｍに変換する。
【０００５】
【発明の実施の形態】
この発明の実施例を以下に説明する。
（鍵生成処理：図１）
図１にこの発明の鍵生成処理装置の実施例を示す。この装置は整数ｎとｋとｓが入力されて、鍵生成処理を行う。ｎは大きな値である程、暗号の安全性が大となるが、例えば１０００程度とされ、ｋはｎより小さい整数であり、一般にｌｏｇ ｎの整数倍であるが、例えば２００程度とされ、ｓは１以上の整数であり、この値も大きい程、安全性が高くなるが、例えば１０程度とされる。
【０００６】
このｎとｋが乱数発生器１０１に入力され、乱数発生器１０１は｛ｐ_１ ，ｐ_２ ，…，ｐ_ｎ ｝からの任意の部分集合｛ｐ_ｉ１，ｐ_ｉ２，…，ｐ_ｉｋ｝がΠ_ｊ＝１ ^ｋｐ_ｉｊ＜ｐを満たすような素数ｐと、互いに素である数ｐ_１ ，…，ｐ_ｎ ∈Ｚ／ｐＺ、および、群（Ｚ／ｐＺ）^ｘ の生成元ｇを発生させる。ここでＺ／ｐＺは素数ｐを法とする整数の体、つまり０，１，２，…，ｐ−１の群であり、（Ｚ／ｐＺ）^ｘ は０を含まない素数ｐを法とする整数の体である。つまりｇは群（Ｚ／ｐＺ）^ｘ の１要素である。
【０００７】
次に、離散対数計算器１０２を用いて、１＜ｉ＜ｎの各ｉに対してｐ_ｉ ≡ｇ^ａｉ（ｍｏｄ ｐ）を満たすようなａ_１ ，…，ａ_ｎ を求める。さらに、乱数発生器１０３に整数ｓが入力され、乱数発生器１０３から整数ｃ_１ ，ｃ_２ ，…，ｃ_ｓ ，ｄ_１ ，ｄ_２ ，…，ｄ_ｓ ，ｑ_１ ，ｑ_２ ，…，ｑ_ｓを発生させる。
最後に、剰余乗算・加算器１０４を用いて、１＜ｉ＜ｎの各ｉに対して、ｂ_ｉ，１ ＝（ｃ_１ ａ_ｉ ＋ｄ_１ ）ｍｏｄ ｑ_１ を求め、さらにｊ＝２，３，４，…，ｓの順に各ｊについてｂ_ｉ，ｊ ＝（ｃ_ｊ ｂ_{ｉ，ｊ−１} ＋ｄ_ｊ ）ｍｏｄ ｑ_ｊ を求め、最終的にｂ_１，ｓ ，ｂ_２，ｓ ，…，ｂ_ｎ，ｓを得る。このｂ_１，ｓ ，…，ｂ_ｎ，ｓ を公開鍵として公開し、またｎ，ｋを公開情報として公開し、ｐ，ｇ，ｐ_１ ，…，ｐ_ｎ ，ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ を秘密鍵として秘密に保持させる。
（暗号化処理：図２）
図２に暗号化処理装置の実施例を示す。記憶部２００には図１に示した鍵生成処理装置で生成され、公開された公開鍵ｂ_１，ｓ ，…，ｂ_ｎ，ｓ と公開情報ｎ，ｋが記憶されている。入力される平文は、長さ［ｌｏｇ_２（ _ｎＣ_ｋ ）］ビット（［＊］は＊を超えない最大整数、 _ｎＣ_ｋ はｎ個からｋ個を取出す組合せの総数）ごとの平文Ｍに分割され、この平文Ｍは平文変換器２０１を用いて、長さｎでＨａｍｍｉｎｇ（ハミング）重さｋである二進列ｍ＝（ｍ_１ ，ｍ_２ ，…，ｍ_ｎ ）に変換される。つまり二進列ｍ中の“１”の数はｋであり、その他は“０”である。この二進列変換の手法は例えば前記文献１中に記載されてある。ｎは［ｌｏｇ_２（ _ｎＣ_ｋ ）］より大である。平文を長さ［ｌｏｇ_２（ _ｎＣ_ｋ ）］ごとに分割し、最後が［ｌｏｇ_２（ _ｎＣ_ｋ ）］よりも短くなった場合は例えば０を埋めて［ｌｏｇ_２（ _ｎＣ_ｋ ）］の長さにする。
【０００８】
この二進列ｍと公開鍵とが加算器２０２に入力されて、その対応ｉ番目のものとの乗算値が加算され、つまり、ｍ中のｍ_ｉ ＝１と対応するｂ_ｉ，ｓ が加算されて、暗号文ｃ＝Σ_ｉ＝１ ^ｎｍ_ｉ ｂ_ｉ，ｓ を生成して出力する。
（復号処理：図３）
図３にこの発明の復号処理装置の実施例を示す。記憶部３００には図１で述べた鍵生成処理装置で生成した秘密鍵ｐ，ｇ，ｐ_１ ，…，ｐ_ｎ ，ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ と公開情報ｎ，ｋが格納されてある。これは、この復号処理装置に図１に示した鍵生成処理装置１００が設けられ、この装置１００で生成された秘密鍵が記憶部３００に秘密に記憶され、または他の所で生成された秘密鍵を秘密に記憶部３００に格納してもよい。
【０００９】
まず剰余乗算・減算・割算器３０１に暗号文ｃと、秘密鍵ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ が入力され、ｒ_ｓ ＝（ｃ−ｋｄ_ｓ ）／ｃ_１ ｍｏｄｑ_ｓが演算され、さらに、ｊ＝ｓ−１，ｓ−２，ｓ−３，…，１の順に各ｊについてｒ_ｊ ＝（ｒ_ｉ＋１ −ｋｄ_ｊ ）／ｃ_ｊ ｍｏｄ ｑ_ｊ が演算され、最終的にｒ_１ が発生される。次に、冪乗演算器３０２としてのｒ_１ と秘密鍵ｐ，ｇが入力されてｕ＝ｇ^ｒ１ｍｏｄ ｐが演算される。このｕと秘密鍵ｐ_１ ，…，ｐ_ｎ が因数検査器３０３に入力され、長さｎでＨａｍｍｉｎｇ 重さｋである二進列ｍ＝（ｍ_１ ，ｍ_２ ，…，ｍ_ｎ ）を１＜ｉ＜ｎの各ｐ_ｉ についてｐ_ｉ がｕの因数ならばｍ_ｉ ＝１とし、因数でないならばｍ_ｉ ＝０として求める。最後に、中間復号文変換器３０４を用いて、ｍを平文Ｍに変換する。
【００１０】
以上のようにして復号できることを、以下に簡単に説明する。簡単のためｓ＝１の場合についてみると、公開鍵はｂ_１，１ ＝（ｃ_１ ａ_１ ＋ｄ_１ ）ｍｏｄ ｑ_１ ，ｂ_２，１ ＝（ｃ_１ ａ_２ ＋ｄ_１ ）ｍｏｄ ｑ_１ ，…，ｂ_ｎ，１ ＝（ｃ_１ ａ_ｎ ＋ｄ_１ ）ｍｏｄ ｑ_１ であり、これらのうち、ｍ_ｉ ＝１と対応する公開鍵が加算された値が暗号文ｃとなる。二進列ｍ中の１の数はｋであるから、暗号文ｃ中にはｋｄ_１ が存在する。ｓ＝１であるから剰余乗算・減算・割算器３０１の演算はｒ_ｉ ＝（ｃ−ｋｄ_１ ）／ｃ_１ ｍｏｄ ｑ_１ となり、（ｃ−ｋｄ_１ ）により暗号文Σ_ｉ＝１ ^ｎ（ｃ_１ ａ_ｉ ＋ｄ_１ ）中のｋｄ_１ が除去され、Σ_ｉ＝１ ^ｎｃ_１ ａ_ｉ これがｃ_１ で割算され、ｒ_ｉ ＝Σ_ｉ＝１ ^ｎａ_ｉ 、つまりｍ_ｉ ＝１と対応するａ_ｉ の加算値となる。
【００１１】
従ってｕ＝ｇ^ｒ１ｍｏｄ ｐの演算は、仮りにｋ個のｍ_ｉ ＝１と対応するａ_ｉ をａ_１，１ ，ａ_１，２ ，…，ａ_１，ｋ とすればｒ_１ ＝ａ_１，１ ＋ａ_１，２ ＋…＋ａ_１，ｋ となりｕ＝ｇ^ｒ１＝ｇ^{（ａ１，１＋ａ１，２＋}・・・^{＋ａ１，ｋ）}＝ｇ^ａ１，１−ｇ^ａ１，２−…−ｇ^ａ１，ｋとなる。
因数検査器３０３でｐ_ｉ ＝ｇ^ａｉであり、ｍ_ｉ ＝１のａ_ｉ はａ_１，１ ，ａ_１，２ ，…，ａ_１，ｋ であるから、これらと対応するｐ_ｉ はｐ_１，１ ＝ｇ^ａ１，１，ｐ_１，２ ＝ｇ^ａ１，２，…，ｐ_１，ｋ ＝ｇ^ａ１，ｋであり、これらのｐ_ｉ でｕ＝ｇ^ｒ１を割算すればｐ_１ ，…，ｐ_ｎ が互いに素であるから、ｕは必ず割り切れ、つまりｐ_ｉ がｕの因数となり、このことはそのｐ_ｉ はｍ_ｉ ＝１に相当することを意味し、割り切れなければ、つまりｕの因数でなければｍ_ｉ ＝０とする。このようにして、暗号文ｃが正しいものであれば、二進列ｍが復号される。
【００１２】
この二進列ｍから平文Ｍへの変換は、例えば文献１に示す手法によればよい。なおｓを２以上と大きくすればする程、公開鍵を複雑にかき混ぜたことになり、安全性が高くなる。このかき混ぜ方と先に述べたように復号時に、順次逆に解きほぐすことにより、ｒ_１ を得ることができる。
【００１３】
【発明の効果】
以上述べたようにこの発明によれば、鍵生成処理においてｐ_ｉ ≡ｇ^ａｉ（ｍｏｄ ｐ）を演算し、そのａ_ｉ を公開鍵の要素としており、つまり、有理整数環上の離散対数問題を利用しており、しかもｐ，ｇ，ｐ_１ ，…，ｐ_ｎ ，ｇ，ｃ_１ ，ｃ_２ ，…，ｃ_ｓ ，ｄ_１ ，ｄ_２ ，…，ｄ_ｓ ，ｑ_１ ，ｑ_２ ，…，ｑ_ｓ を秘密にすることにより、公開鍵から秘密鍵を直接求める攻撃に耐えうる。また、暗号化処理と復号処理において、長さ［ｌｏｇ_２（ _ｎＣ_ｋ ）］の整数と長さｎでＨａｍｍｉｎｇ 重さｋである二進列との変換を利用することにより、ナップサック暗号の安全性の指標であるｄｅｎｓｉｔｙ（重度）を十分高めることができ、したがって、平文から暗号文を直接求めるｌｏｗ−ｄｅｎｓｉｔｙ攻撃にも耐えうる。
【図面の簡単な説明】
【図１】この発明による鍵生成処理装置の実施例を示すブロック図。
【図２】この発明による暗号化処理装置の実施例を示すブロック図。
【図３】この発明による復号処理装置の実施例を示すブロック図。

Claims (4)

1. 鍵生成処理装置と、暗号化処理装置と、復号処理装置とよりなり、
   鍵生成処理装置に整数ｎ，ｋ（ｋ＜ｎ）とｓ（ｓは１以上）が入力して、
   素数ｐ、互いに素である整数ｐ_１ ，…，ｐ_ｎ 、生成元ｇを生成し、
   各々の１＜ｉ＜ｎに対してｐ_ｉ ≡ｇ^ａｉ（ｍｏｄ ｐ）を満たすようなａ_１ ，…，ａ_ｎ を求め、
   整数ｃ_１ ，ｃ_２ ，…，ｃ_ｓ ，ｄ_１ ，ｄ_２ ，…，ｄ_ｓ ，ｑ_１ ，ｑ_２ ，…，ｑ_ｓを生成し、
   各々の１＜ｉ＜ｎに対して、
   ｂ_ｉ，１ ＝（ｃ_１ ａ_ｉ ＋ｄ_１ ）ｍｏｄ ｑ_１ を求め、さらにｊ＝２，３，４，…，ｓと順にｂ_ｉ，ｊ ＝（ｃ_ｊ ｂ_{ｉ，ｊ−１} ＋ｄ_ｊ ）ｍｏｄ ｑ_ｊ を求め、
   ｐ，ｇ，ｐ_１ ，…，ｐ_ｎ ，ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ を秘密鍵として秘密に保持し、ｂ_１，ｓ ，…，ｂ_ｎ，ｓ を公開鍵として公開し、かつｎ，ｋを公開し、
   暗号化処理装置に長さ［ｌｏｇ_２（ _ｎＣ_ｋ ）］の平文Ｍと、公開鍵ｂ_１，ｓ ，…，ｂ_ｎ，ｓとｋを入力して（ただし［＊］は＊を超えない最大整数）、
   平文Ｍを、長さｎでハミング重さがｋの二進列ｍ＝（ｍ_１ ，ｍ_２ ，…，ｍ_ｎ ）に変換し、
   暗号文ｃ＝Σ_ｉ＝１ ^ｎｍ_ｉ ｂ_ｉ，ｓを生成して出力し、
   復号処理装置に暗号文ｃ、上記秘密鍵を入力して、
   ｒ_ｓ ＝（ｃ−ｋｄ_ｓ ）／ｃ_ｓ ｍｏｄ ｑ_ｓ を生成し、
   ｊ＝ｓ−１，ｓ−２，ｓ−３，…，１と順にｒ_ｊ ＝（ｒ_ｊ＋１ −ｋｄ_ｊ ）／ｃ_ｊ ｍｏｄ ｑ_ｊ を生成し、
   ｕ＝ｇ^ｒ１ｍｏｄ ｐ求め、
   ｐ_ｉ がｕの因数ならばｍ_ｉ ＝１とし、因数でないならばｍ_ｉ ＝０として、長さｎでハミング重さｋの二進列ｍ＝（ｍ_１ ，ｍ_２ ，…，ｍ_ｎ ）を生成し、
   その二進列ｍを平文Ｍに変換して出力する
   ことを特徴とするナップサック型公開鍵暗号化復号システム。
2. 整数ｎ，ｋが入力され、素数ｐと、互いに素である数ｐ_１ ，…，ｐ_ｎ ∈Ｚ／ｐＺ（ｐを法とする整数の体）と、生成元ｇを発生出力する第１乱数発生器と、
   上記ｐ，ｐ_１ ，…，ｐ_ｎ ，ｇ が入力され、０＜ｉ＜ｎに対してｐ_ｉ ＝ｇ^ａｉ（ｍｏｄ ｐ）を満たすａ_１ ，…，ａ_ｎ を生成出力する離散対数計算器と、
   整数ｓが入力されて、乱数群ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ を生成出力する第２乱数発生器と、
   上記ａ_１ ，…，ａ_ｎ 、上記ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ が入力され、
   ｂ_ｉ，１ ＝（ｃ_１ ａ_ｉ ＋ｄ_１ ）ｍｏｄ ｑ_１
   ｂ_ｉ，ｊ ＝（ｃ_ｊ ｂ_{ｉ，ｊ−１} ＋ｄ_ｊ ）ｍｏｄ ｑ_ｊ
   （ｊ ＝２からｓまで）
   を演算してｂ_１，ｓ ，…，ｂ_ｎ，ｓ を出力する剰余乗算・加算器と
   を備え、秘密鍵として上記ｐ，ｇ，ｐ_１ ，…，ｐ_ｎ ，ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ を生成し、公開鍵として上記ｂ_１，ｓ ，…，ｂ_ｎ，ｓ を生成するナップサック型公開鍵暗号用鍵生成処理装置。
3. 請求項２記載の鍵生成装置により生成された公開鍵ｂ_１，ｓ ，…，ｂ_ｎ，ｓ を記憶する記憶部と、
   整数ｎ，ｋと平文Ｍが入力され、長さ［ｌｏｇ_２（ _ｎＣ_ｋ ）］の平文を、長さＭでハミング重みがｋの二進列ｍ＝（ｍ_１ ，…，ｍ_ｎ ）に変換して出力する平文変換器と（［＊］は＊を超えない最大整数を表わす）、
   上記二進列ｍと、上記公開鍵ｂ_１，ｓ ，…，ｂ_ｎ，ｓ が入力され、ｃ＝Σ_ｉ＝１ ^ｎｍ_ｉ ｂ_ｉ，ｓ を演算して暗号文ｃを生成出力する加算器とを備えるナップサック型公開鍵暗号化処理装置。
4. 公開情報ｎ，ｋ、秘密鍵ｐ，ｇ，ｐ_１ ，…，ｐ_ｎ ，ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ を格納した記憶部と、
   暗号文ｃと、上記ｋ，ｃ_１ ，…，ｃ_ｓ ，ｄ_１ ，…，ｄ_ｓ ，ｑ_１ ，…，ｑ_ｓ が入力され、
   ｒ_ｓ ＝（ｃ−ｋｄ_ｓ ）／ｃ_ｓ ｍｏｄ ｑ_ｓ
   ｒ_ｊ ＝（ｒ_ｉ＋１ −ｋｄ_ｊ ）／ｃ_ｊ ｍｏｄ ｑ_ｊ
   （ｊ＝ｓ−１から１まで）
   を演算してｒ_１ を出力する剰余乗算・減算・割算器と、
   上記演算結果ｒ_１ と上記ｐ，ｇが入力され、
   ｕ＝ｇ^ｒ１ ｍｏｄｐ
   を演算してｕを出力する冪乗演算器と、
   その演算結果ｕと上記ｐ_１ ，…，ｐ_ｎ が入力されて、各ｐ_ｉ （ｉ＝１，…，ｎ）についてｐ_ｉ がｕの因数であればｍ_ｉ ＝１、因数でなければｎ_ｉ ＝０として中間復号文ｍ＝（ｍ_１ ，…，ｍ_ｎ ）を出力する因数検査器と、
   上記ｍと上記ｎ，ｋが入力されて平文Ｍを出力する中間復号文変換器と、
   を具備するナップサック型公開鍵暗号の復号処理装置。

Images