JP3740659B2 - ナップサック型公開鍵暗号システム、その公開鍵生成方法、その装置、そのプログラム、及びその記録媒体 - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明はナップサック型公開鍵暗号システムとその公開鍵の生成方法及びその装置、そのプログラム及びその記録媒体に関する。
【０００２】
【従来の技術】
公開鍵暗号システムは、その安全性をよりどころとする問題により類別される。このような、よりどころとなる問題としては、素因数分解問題、離散対数問題、ナップサック問題などが挙げられる。これらの問題のうち、ナップサック問題を安全性のよりどころとする公開鍵暗号システムとしては、Ｍａｒｋｌｅ−Ｈｅｌｌｍａｒ暗号やＣｈｏｒ−Ｒｉｖｅｓｔ暗号などがあるが、そのいずれについても攻撃が成功した例が報告されている。また、これらの鍵生成処理における動作速度は非常に遅いことが知られている。
【０００３】
【発明が解決しようとする課題】
この発明の目的はナップサック問題を安全性のよりどころとし、解読が困難であり、鍵生成処理を含むすべての処理速度が高速である新しい公開鍵暗号システムとその公開鍵生成方法及びその装置を提供することにある。
【０００４】
【課題を解決するための手段】
この発明では乱数ｐ_ij（ｉ＝１，…，ｎ，ｊ＝１，…，ｈ）と、乱数ｇ_i ，ｐ_j に対し、ｐ_ij≡ｇ_j ^aij（modｐ_j）を満すａ_ijを計算し、ａ_i ＝（ａ_i1，…,ａ_ih）を中国人剰余定理を用いることにより、鍵生成処理で行う離散対数の計算及び復号処理を高速化している。つまり、従来ではｐ_i＝ｇ_i ^ai（modｉ）を満たすａ_i を直接求めていたため、その計算に長時間を要し、かつａ_i を短かくすると、攻撃に対し弱いものとなる。
【０００５】
また、長さ［log _nＣ_k］の平文を長さｎでＨａｍｍｉｎｇ（ハミング）重さｋである二進列に変換することにより、方式の安全性を高めている。
【０００６】
【発明の実施の形態】
この発明で用いる公開鍵暗号システムの実施の形態について、図を参照して説明する。このシステムは鍵生成装置と暗号化装置と復号装置とよりなる。
鍵生成装置：（図１）
Ｋを代数体、Ｏ_KをＫの整数環、ｎ，ｋ，ｈを整数とする。ｎは整数環Ｏ_Kの箇数であり、例えば１０００などの大きな値であり、ｋは例えば２００程度、ｈは例えば１０程度である。ｎ，ｋは公開される。
【０００７】
図１にこの発明の公開鍵生成装置の実施形態を示す。Ｋ，Ｏ_K，ｎ，ｋ，ｈがキーボードなどの入力部１００から入力され、これらの値は記憶部１１０に一旦格納され、その後、これらが取り出されて乱数発生器１０１に入力される。乱数発生器１０１はＯ_Kのｈ個の素イデアルｐ₁，…，ｐ_hを１＜ｊ＜ｈを満す各ｊに対して、群（Ｏ_K／p_j）（ただしゼロを除く）の生成元ｇ_j，つまりｇ₁，…，ｇ_hを１＜ｉ＜ｎ，１＜ｊ＜ｈを満す各ｉ，ｊに対して、ｐ_jを除いたＯ_K／ｐ_jからの元ｐ_ij、つまりｐ₁₁，…，ｐ_1h，ｐ₂₁，…，ｐ_2h，……，ｐ_n1，…，ｐ_nhを発生させる。
【０００８】
素イデアルｐ₁，…，ｐ_hが乗算器１０２に入力されこれらの積ｐ＝ｐ₁，…ｐ_hが求められる。
またｐ₁，…，ｐ_h1，ｇ₁，…，ｇ_h,ｐ₁₁，…，ｐ_1h，ｐ₂₁，…，ｐ_2h，……，ｐ_n1…ｐ_nhが離散対数計算器１０３に入力されて、
１＜ｉ＜ｎ，１＜ｊ＜ｈを満す各ｉ，ｊに対して
ｐ_ij≡ｇ_j ^aij（modｐ_j） …（１）
を満たすようなａ_ijが計算される。
【０００９】
さらに、ｇ₁，…，ｇ_h，ａ_ij（ｉ＝１，２，…，ｎ，ｊ＝１，２，…，ｈ）が中国人剰余定理による合成器１０４に入力され、１＜ｉ＜ｎを満す各ｉに対して、
ｇ＝（ｇ₁，…，ｇ_h）
ａ_i＝（ａ_i1，…，ａ_ih）
を満たすｇ，ａ₁，…，ａ_nが計算される。
乱数発生器１０５を用いて整数ｄが発生され、このｄ，ａ_i，ｐが加算器１０６に入力され、
１＜ｉ＜ｎを満す各ｉに対して、
ｂ_i＝（ａ_i＋ｄ）ｍｏｄ（Ｎ（ｐ）−２） …（２）
が計算され、最終的に公開鍵ｂ₁，…，ｂ_nが出力され、公開される。ｐ，ｐ_ij，ｇは秘密鍵であり、これらは乱数ｄと共に記憶部１１０に秘密に記憶される。整数ｄは例えば０〜Ｎ（ｐ）−１程度、これ以上でもよく、またｄは乱数発生器１０１から発生させてもよい。
暗号化処理：（図２）
暗号装置は図２に示すように記憶部２００に、公開情報ｎ、ｋ、公開鍵ｂ₁，…，ｂ_nが格納されている。入力される平文Ｍの長さは[log _nＣ_k]である。logは２を程とし、_nＣ_kはｎからｋを取り出す組合せの数、［Ａ］はＡ以上の最小の整数を表す。
【００１０】
この平文Ｍは平文変換器２０１でＨａｍｍｉｎｇ重さがｋ（１の数がｋ個）のｎビットの２進列ｍ＝（ｍ₁，ｍ₂，…，ｍ_n）に変換される。この変換は例えばｑをｋとし、ｉ＝１からｎまで以下のことを実行する。
Ｍ＞ _n-iＣ_qであれば、ｍ_iを１とし、Ｍ− _n-iＣ_q-1をＭとし、ｑ−１をｑとし、Ｍ＞ _n-iＣ_qでなければ、ｍ_iを０とする。ただしｑ＞０に対し _qＣ₀＝０とし、ｑ＞１に対し ₀Ｃ_q＝０とする。
この２進列ｍと、公開鍵ｂ_iとが加算器２０２に入力されて、
ｃ＝Σ_i=1 ⁿ ｍ_iｂ_i …（３）
の計算が行われ、暗号文ｃが出力される。
復号処理：（図３）
図３に復号装置を示す。記憶部３００にはｐ，ｐ_ij，ｐ_j，ｇ，ｋ，ｄが記憶されてある。入力された暗号文ｃとｋ，ｄ，ｐが減算器３０１に入力されて、
ｒ＝（ｃ−ｋｄ）mod（Ｎ（ｐ）−２） …（４）
Ｎ（ｐ）はｐのノルム
が計算される。その計算結果ｒとｇ，ｐがべき乗演算器３０２に入力されて、
ｕ＝ｇ^r mod ｐ …（５）
が計算される。この計算結果ｕとｐ_i，ｊ，ｐ_jが検査器３０３に入力され、検査器３０３では、長さｎでＨａｍｍｉｎｇ重さｋである２進列ｍ＝（ｍ₁，…，ｍ_n）を、その１＜ｊ＜ｎを満たす各ｊに対してｐ_ijがｕ mod ｐ_jを割り切るならばｍ₁＝１とされ、そうでなければｍ_i＝０とされる。このようにして２進列ｍが復号される。この復号された２進列ｍが中間復号文変換器３０４にｎ，ｋと共に入力されて、ｍ＝（ｍ₁，…，ｍ_n）が平文Ｍに変換され、復号平文Ｍが出力される。この変換は例えばＭを０とし、ｑをｈとし、ｉ＝１からｎまで下記を実行する。
【００１１】
ｍ_iが１であればＭ＋ _p-iＣ_qをＭとし、ｑ−１をｑとする。
所で式（５）に式（４）を代入すると
ｕ≡ｇ^c-hd mod ｐ …（６）
となり、式（３）よりｇの指数は、
Σ_i=1 ⁿ ｍ_iｂ_i−ｋｄ
となり、式（２）よりｂ_i＝（ａ_i＋ｄ）であり、２進列ｍ中のｋ個が１であるからｇの指数は、
Σ_i=1 ⁿ ｍ_iｂ_i mod ｐ
となる。この指数を式（５）に代入して、指数の積の形式に変形すると
ｕ≡Π_i=1 ⁿ（ｇ^ai）^mi mod ｐ
となる。式（１）の関係から
ｕ≡Π_i=1 ⁿ ｐ_i ^mi
となる。従ってｕをｐ_ijが割り切るならばｍ_i＝１とし、そうでなければ、ｍ_i＝０として、２進列ｍが復号される。
【００１２】
図１に示した公開鍵生成装置、図２に示した暗号装置、図３に示した復号装置は、それぞれコンピュータによりプログラムを実行させて機能させることができる。つまり例えば公開鍵生成装置は入力手段、出力手段、記憶部１１０、公開鍵生成プログラムを格納したプログラムメモリ、ＣＰＵ（マイクロプロセッサ）などを備えるコンピュータにおいて、ＣＰＵにより公開鍵生成プログラムを実行させて、前述したように公開鍵ｇ_iを生成させるようにすることもできる。
【００１３】
【発明の効果】
この発明によれば、鍵生成処理における離散対数の計算について中国人剰余定理を用いることにより高速化している。また、中国人剰余定理を用いることにより復号処理も高速化している。
つまり従来においてはａ₁，…，ａ_nを式（１）の離散対数計算により直接求めていた。例えばｈを１０とすると、ａ_iは１００となり、このような大きな値の指数を求めるには非常に長い時間がかかる。よってａ_iの値を小さくすると、攻撃され易いものとなる。しかし、この発明によれば、ａ_ijに分割しているためａ_ijは例えば１０程度の値で済み、比較的簡単にａ_ijを求めることができ、しかも、中国人剰余定理によりａ_i＝（ａ_i1，…，ａ_ih）を比較的簡単に求めることができ、全体として高速化することができ、かつ攻撃に対しても強いものとすることができる。
【００１４】
暗号化処理と復号処理において、長さ［ｌｏｇ（_k ⁿ）］の平文を長さｎでＨａｍｍｉｎｇ重さｋである２進列へ変換することにより、ナップサック暗号の安全性の指標である密度を十分に高めることができ、したがって、平文から暗号文を直接求める低密度攻撃にも耐えうる。
【図面の簡単な説明】
【図１】この発明のシステム中の公開鍵生成装置の機能構成例を示す図。
【図２】この発明のシステム中の暗号化装置の機能構成例を示す図。
【図３】この発明のシステム中の復号装置の機能構成例を示す図。

Claims (5)

1. 代数体Ｋ、Ｋの整数環Ｏ_K 、整数ｎ，ｋ，ｈが入力され、
   Ｏ_k のｈ個の素イデアルｐ₁ ，…，ｐ_h を生成し、
   ｐ₁ ，…，ｐ_h を乗算してｐを求め、
   １＜ｊ＜ｈを満す各ｊに対して、群Ｏ_K ／ｐ_j （ただし０を除く）の生成元ｇ_j を生成し、
   １＜ｉ＜ｎ，１＜ｊ＜ｈを満す各ｉ，ｊに対して、ｐ_j を除いたＯ_K からの元ｐ_ijを生成し、
   １＜ｉ＜ｎ，１＜ｊ＜ｈを満す各ｉ，ｊに対して、ｐ_ij≡ｇ_j ^aij（mod ｐ_j）を満すａ_ijを計算し、
   中国人剰余定理による合成により、
   ｇ＝（ｇ₁ ,…,ｇ_h ）
   ａ_i ＝（ａ_i1,…,ａ_ih）
   を満すｇ，ａ₁ ，…,ａ_n を求め、
   整数の乱数ｄを生成し、
   １＜ｉ＜ｎを満す各ｉに対して、ｂ_i ＝（ａ_i ＋ｄ）mod（Ｎ（ｐ）−２）（Ｎ（ｐ）はｐのノルムを表わす）を計算して公開鍵ｂ_i を公開し、ｐ，ｇを秘密鍵とする公開鍵生成器と、
   長さ［log _nＣ_k ］の平文Ｍが入力され、（_nＣ_k はｎからｋ個取出す組合せの数、［Ａ］はＡより大きい最小の整数）
   整数ｋと公開鍵ｂ_i とＭを、長さｎでＨａｍｍｉｎｇ（ハミング）重さｋである二進列ｍ＝（ｍ₁ ，ｍ₂ ，…,ｍ_n）に変換し、
   暗号文ｃ＝Σ_i=1 ⁿｍ_i ｂ_i を生成して出力する暗号器と、
   ｋ，ｄ、秘密鍵ｐ，ｇを保持し、
   暗号文ｃが入力されｒ＝（ｃ−ｋｄ）mod（Ｎ（ｐ）−２）を生成し、
   ｕ＝ｇ^rmodｐを求め、
   長さｎで、Ｈａｍｍｉｎｇ重さｋである二進列ｍ＝（ｍ₁ ，…,ｍ_n ）を、１＜ｊ＜ｎを満す各ｊに対して、ｐ_ijがｕmodｐ_j を割り切るならばｍ_i ＝１とし、そうでないならばｍ_i ＝０と生成し、
   そのｍを平文Ｍに変換する復号器とを備える
   ことを特徴とするナップサック型公開鍵暗号システム。
2. ナップサック型公開鍵暗号の公開鍵生成方法であって、
   代数体Ｋ、Ｋの整数環をＯ_K とし、ｎ，ｋ，ｈを整数とし、
   Ｏ_K のｈ個の素イデアルｐ₁ ，…，ｐ_h を乱数発生器より生成し、
   １＜ｊ＜ｈを満す各ｊについて、群Ｏ_K ／ｐ_j （ただし０を含まない）の生成元ｇ_j を乱数発生器より生成し、
   １＜ｉ＜ｎ，１＜ｊ＜ｈをそれぞれ満たす各ｉ,ｊについてｐ_j を除いたＯ_K からの元ｐ_ijを乱数発生器より生成し、
   １＜ｉ＜ｎ，１＜ｊ＜ｈをそれぞれ満す各ｉ，ｊについてｐ_ij≡ｇ_j ^aij（modｐ_j）を満すａ_ijを演算手段により計算し、
   中国人剰余定理による合成により、
   ｇ＝（ｇ₁ ,…,ｇ_h ）
   ａ_i ＝（ａ_i1,…,ａ_ih）
   を満すｇ，ａ₁ ，…,ａ_n を演算手段により求め、
   整数ｄを乱数発生器より生成し、
   １＜ｉ＜ｎを満す各ｉについてｂ_i ＝（ａ_i ＋ｄ）mod（Ｎ（ｐ）−２）を演算手段により計算して公開鍵ｂ_i を得ることを特徴とするナップサック型公開鍵生成方法。
3. 代数体Ｋの整数環をＯ_K とし、ｎ，ｋ，ｈを整数とし、
   Ｋ，Ｏ_K ,ｎ，ｋ，ｈが入力され、Ｏ_K のｈ個の素イデアルｐ₁ ，…，ｐ_h と、１＜ｊ＜ｈを満す各ｊに対し、群Ｏ_K ／ｐ_j （ただし０を除く）の生成元ｇ_j と、１＜ｉ＜ｎ，１＜ｊ＜ｈをそれぞれ満すｉｊに対して、ｐ_j を除いたＯ_K からの元ｐ_ijと、整数ｄとを生成する乱数発生器と、
   １＜ｉ＜ｎ，１＜ｊ＜ｈを満す各ｉｊについてｐ_ij，ｇ_i ，ｐ_j が入力され、ｐ_ij≡ｇ_j ^aijmodｐ_jを満すａ_ijを計算して出力する離散対数計算量と、
   ｇ_i(ｉ＝１，…,ｈ），ａ_ij（ｉ＝１，…，ｎ,ｊ＝１，…，ｈ）が入力され、中国人剰余定理により、ｇ＝（ｇ₁ ,…,ｇ_h ）、ａ_i ＝（ａ_i1,…,ａ_ih）をそれぞれ計算する中国人剰余定理合成器と、
   ｄとａ_i(ｉ＝１，…,ｎ)、Ｎ（ｐ）が入力され、（Ｎ（ｐ）はｐのノルムを表わす）
   ｂ_i ＝（ａ_i ＋ｄ）mod（Ｎ（ｐ）−２）
   を計算して公開鍵ｂ_i（ｉ＝１，…，ｎ）を得る加算器と
   を具備するナップサック型公開鍵生成装置。
4. ナップサック型公開鍵暗号の公開鍵を生成するためにコンピュータを、
   代数体Ｋ、Ｋの整数環をＯ_K とし、ｎ，ｋ，ｈを整数とし、
   Ｏ_K のｈ個の素イデアルｐ₁ ，…，ｐ_h を乱数により生成する手段、
   １＜ｊ＜ｈを満す各ｊについて、群Ｏ_K ／ｐ_j （ただし０を含まない）の生成元ｇ_j を乱数により生成する手段、
   １＜ｉ＜ｎ，１＜ｊ＜ｈをそれぞれ満たす各ｉ,ｊについてｐ_j を除いたＯ_K からの元ｐ_ijを乱数により生成する手段、
   １＜ｉ＜ｎ，１＜ｊ＜ｈをそれぞれ満す各ｉ，ｊについてｐ_ij≡ｇ_j ^aij（modｐ_j）を満すａ_ijを演算する手段、
   中国人剰余定理による合成により、
   ｇ＝（ｇ₁ ,…,ｇ_h ）
   ａ_i ＝（ａ_i1,…,ａ_ih）
   を満すｇ，ａ₁ ，…,ａ_n を演算する手段、
   整数ｄを乱数により生成する手段、
   １＜ｉ＜ｎを満す各ｉについて公開鍵ｂ_i ＝（ａ_i ＋ｄ）mod（Ｎ（ｐ）−２）を演算する手段、
   として機能させるためのナップサック型公開鍵生成プログラム。
5. ナップサック型公開鍵暗号の公開鍵を生成するためにコンピュータを、
   代数体Ｋ、Ｋの整数環をＯ_K とし、ｎ，ｋ，ｈを整数とし、
   Ｏ_K のｈ個の素イデアルｐ₁ ，…，ｐ_h を乱数により生成する手段、
   １＜ｊ＜ｈを満す各ｊについて、群Ｏ_K ／ｐ_j （ただし０を含まない）の生成元ｇ_j を乱数により生成する手段、
   １＜ｉ＜ｎ，１＜ｊ＜ｈをそれぞれ満たす各ｉ,ｊについてｐ_j を除いたＯ_K からの元ｐ_ijを乱数により生成する手段、
   １＜ｉ＜ｎ，１＜ｊ＜ｈをそれぞれ満す各ｉ，ｊについてｐ_ij≡ｇ_j ^aij（modｐ_j）を満すａ_ijを演算する手段、
   中国人剰余定理による合成により、
   ｇ＝（ｇ₁ ,…,ｇ_h ）
   ａ_i ＝（ａ_i1,…,ａ_ih）
   を満すｇ，ａ₁ ，…,ａ_n を演算する手段、
   整数ｄを乱数により生成する手段、
   １＜ｉ＜ｎを満す各ｉについて公開鍵ｂ_i ＝（ａ_i ＋ｄ）mod（Ｎ（ｐ）−２）を演算する手段
   として機能させるためのナップサック型公開鍵生成プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images