JP4019762B2

JP4019762B2 - Inverse element operation apparatus, inverse element operation method, RSA key pair generation apparatus, RSA key pair generation method

Info

Publication number: JP4019762B2
Application number: JP2002092150A
Authority: JP
Inventors: 貴敏小野; なつめ松崎; 基司大森; 稔久中野
Original assignee: Panasonic Corp; Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Corp; Panasonic Holdings Corp
Priority date: 2002-03-28
Filing date: 2002-03-28
Publication date: 2007-12-12
Anticipated expiration: 2022-03-28
Also published as: JP2003288015A

Description

【０００１】
【発明の属する技術分野】
本発明は、法の値が偶数である剰余環において、逆元を演算する逆元演算装置及びその方法に関する。また、公開鍵アルゴリズムであるＲＳＡの鍵対を生成する、ＲＳＡ鍵生成装置、及びその方法に関する。
【０００２】
【従来の技術】
ＲＳＡ暗号の鍵対は、個々の機器にて生成することにより、より高い安全性が確保できる。これは、センターが鍵対を生成して機器に配布するといった方法に比べ、秘密鍵が機器から外にでないためである。特に、機器自身に高い安全性が必要とされる、ＩＣカードシステムにおいては、演算リソースが制限されているＩＣカード内での効率的なＲＳＡ暗号鍵対生成が必要となる。
【０００３】
通常、ＲＳＡ暗号鍵対生成方法は、次の手順で行う。
【０００４】
（１）素数ｐ、ｑを生成する。ｎ＝ｐ×ｑとする。
【０００５】
（２）１≦ｅ：奇数＜Ｌ＝ＬＣＭ（ｐ−１、ｑ−１）を決めて、ｅの逆元ｄを求める（ＬＣＭとは最小公倍数のことである）。
【０００６】
（３）（ｎ、ｅ）を公開し、（ｐ、ｑ、ｄ）を秘密にする。
【０００７】
この手順のうち（２）のｅからｄの算出には、Ｌを法とする剰余環上の逆元演算が必要となる。
【０００８】
以下では、従来の逆元演算を説明し、演算リソースが限定されている機器にて逆元演算を実装することを前提に、
・内部変数が蓄積されるメモリ容量が少ない
・制御が簡易である
という観点より評価する。
【０００９】
剰余環上の逆元演算方法としては、ユークリッド互除法、レーマ法、バイナリユークリッド互除法などが知られている。例えば文献「暗号処理入門」（岡本栄司著、共立出版、１９９３）のｐ．８には、ユークリッド互除法のアルゴリズムが記載されている。この記載に基づき、ユークリッド互除法を用いて剰余環上の逆元を求めるアルゴリズムを説明する。
【００１０】
図１は前記文献に示されたアルゴリズムをフローチャートにしたもので、入力値Ａに対して、ｐを法とした剰余環上の逆元を求めるものである。
【００１１】
最初に入力ステップ１０１において、逆元演算を行う被演算数Ａ、及び剰余環の法の値ｐを入力する。次に内部変数初期化ステップ１０２において、Ｕ１、Ｕ２、Ｖ１、Ｖ２という４つの内部変数をそれぞれ初期化する。次にユークリッド互除法演算ステップ１０３において、内部変数Ｕ１、Ｕ２、Ｖ１、Ｖ２、の値を更新してゆく。更新した値について判定ステップ１０４において条件が成立しない限り、ユークリッド互除法演算ステップ１０３が繰り返される。判定ステップ１０４において条件が成立すると、ＧＣＤ確認ステップ１０５に進む。ＧＣＤとは最大公約数のことである。ＧＣＤ確認ステップ１０５では、ＧＣＤの値が１か否かを確認する。そして最後に出力ステップ１０６において値を出力する。ＧＣＤ確認ステップ１０５においてＧＣＤが１であると確認された時は、出力ステップ１０６において演算された逆元の値が出力される。また１でないと確認された時は、出力ステップ１０６においてエラーが出力される。
【００１２】
図２はユークリッド互除法ステップ１０３の詳細をフローチャートにしたものである。ここでは、さらに３つの内部変数Ｗ、Ｔ１、Ｔ２を用い、最初に初期化した変数Ｕ１、Ｕ２、Ｖ１、Ｖ２の値を更新してゆく。
【００１３】
この方法によって正しい値が出力されることは前記文献等に記されているためここでは省略する。この方法の特徴としては、内部変数の更新に多精度の除算を用いるということが挙げられる。また中間値を格納する内部変数として、７つの多精度の変数格納領域を必要とするということも挙げられる。単精度が３２ビットで、法の値が１０２４ビットのＲＳＡ暗号を考えると、この７つの多精度変数は、７×３２＝２２４ワードのワークメモリを必要とする。
【００１４】
次に別の従来例であるレーマ法について説明する。レーマ法は前記ユークリッドの互除法を改良した方法で、単精度の除算を用いることによって多精度乗算の回数を減らしたものである。例えば文献「ＨＡＮＤＢＯＯＫｏｆＡＰＰＬＩＥＤＣＲＹＰＴＯＧＲＡＰＨＹ」（ＡｌｆｒｅｄＪ．Ｍｅｎｅｚｅｓ他、ＣＲＣＰｒｅｓｓ、１９９７）のｐ．６０７には、レーマ法のアルゴリズムが記載されている。但しここには剰余環上の逆元を求めるアルゴリズムではなく、ＧＣＤを求めるアルゴリズムとして記述してある。また同書のｐ．６７にはＧＣＤを求めるユークリッド互除法から、ＧＣＤが１の時の剰余環上の逆元を求める拡張方法が記述してある。従ってこの二つの記載に基づけばレーマ法を用いて剰余環上の逆元を求めるアルゴリズムが導き出せる。ここでは前記二つの記載方法に基づいたレーマ法のアルゴリズムを説明する。
【００１５】
図３はレーマ法のアルゴリズムをフローチャートにしたもので、入力値Ａに対して、ｐを法とした剰余環上の逆元を求めるものである。図１と比較すると分かる通り、内部変数を更新する部分を除くとユークリッド互除法と全く同じである。３０１がレーマ演算ステップで、ユークリッド互除法のユークリッド互除法演算ステップ１０３に相当する処理である。
【００１６】
図４は図３のレーマ演算ステップの詳細フローチャートである。図４においてアルファベット大文字で始まる変数は多精度の値を、アルファベット小文字で始まる変数は単精度の値を示している。ここで単精度とはレーマの演算を行う時に定める演算単位で、通常８、１６、３２、６４などの値が用いられる。
【００１７】
４０１は単精度変数初期化ステップで、ｕ、ｖ、ａ、ｂ、ｃ、ｄの６つの単精度変数を初期化している。ｕ、ｖはそれぞれＵ２の０でない最上位単精度値、及びＶ２の同位桁の単精度値が代入される。４０２は第１のレーマ演算判定ステップで、レーマ演算が継続できるか否かを判定する。継続できない場合には、それまでに計算されたａ〜ｄの値を用いて内部変数Ｕ１、Ｖ１、Ｕ２、Ｖ２の値の更新処理に移る。４０３は第２のレーマ演算判定ステップで、レーマ演算によりａ〜ｄの値が正しく計算できるか否かを判定する。演算が正しく計算できない場合には、ｑ、ｑ’の値が異なるため、第１のレーマ演算判定ステップと同様、それまでに計算されたａ〜ｄの値を用いて内部変数Ｕ１、Ｖ１、Ｕ２、Ｖ２の値の更新処理に移る。
【００１８】
４０４は単精度変数更新ステップで、ａ〜ｄの単精度変数を更新する。これらの変数は図１のユークリッド互除法における内部変数Ｗにあたり、複数の単精度変数を持つことにより複数の多精度乗算を一度に行うことが可能となっている。またこの単精度変数更新ステップが実行されると、第１のレーマ演算判定ステップ４０２に戻り、レーマ演算が継続可能な限り単精度変数更新ステップ４０４が繰り返される。４０５はまとめ演算判定ステップで、単精度変数ｂの値により多精度乗算のまとめ演算を行うか否かを判定する。4０６は第１の内部変数更新ステップで、これまでに計算されたａ〜ｄの単精度変数の値を用い、それぞれただ一度の乗算でＵ１、Ｕ２、Ｖ１、Ｖ２の４つの内部変数の値を更新する。４０７は第２の内部変数更新ステップで、第１の内部変数更新ステップが使えない時に通常のユークリッド互除法と同じ除算、乗算による内部変数の更新を行う。
【００１９】
この方法は単精度変数更新ステップ４０４を繰り返すことにより、４０６、４０７の多精度演算となる内部変数更新回数を減少させることができ、ユークリッド互除法に比べ実行速度が速くなるという特徴がある。しかし第１の内部変数更新ステップ４０６が使えない時に、第２の内部変数更新ステップ４０７を用いるため、多精度の除算を行わなくて済むようにはできない。またフローチャートを見ても分かるよう、多精度値から単精度値を取得するなど、非常に制御が複雑になる。さらにレーマ法の特徴としては、ユークリッド互除法と同様、中間値を格納する領域として、７つの多精度の内部変数を必要とするということが挙げられる。即ち、単精度が３２ビットで、法の値が１０２４ビットのＲＳＡ暗号では２２４ワードのワークメモリを必要とする。
【００２０】
また特願２００１−０９２４８１号公報によれば、多精度の除算を行わず、近似値を用いた改良レーマ法について記されている。しかしこの方法も通常のレーマ法と同様制御が複雑になることに変わりはない。また多精度の除算を行わない分、多精度内部変数の数が減少するが、それでも６つ必要となる。即ち、単精度が３２ビットで、法の値が１０２４ビットのＲＳＡ暗号では６×３２＝１９２ワードのワークメモリを必要とする。
【００２１】
次に別の従来例であるバイナリユークリッド互除法について説明する。前記ユークリッドの互除法では、ユークリッド互除法演算ステップ１０３において乗除算が必要であった。また前記レーマ法では、多精度値から単精度値を取得するなど複雑な制御が必要であった。バイナリユークリッド互除法は、これらのいずれも使用せず、加減算とシフト算のみで同じ効果を得るものである。加減算とシフト算はハードウェアの実装が容易な演算である。
【００２２】
例えば文献「ＨＡＮＤＢＯＯＫｏｆＡＰＰＬＩＥＤＣＲＹＰＴＯＧＲＡＰＨＹ」（ＡｌｆｒｅｄＪ．Ｍｅｎｅｚｅｓ他、ＣＲＣＰｒｅｓｓ、１９９７）のｐ．６０８には、バイナリユークリッド互除法のアルゴリズムが記載されている。図５〜図７がバイナリユークリッド互除法を用い剰余環上の逆元を求めるアルゴリズムを、フローチャートにしたものである。これらの図を用いてバイナリユークリッド互除法を説明する。またバイナリユークリッド互除法は、前記ユークリッド互除法を改良したものであるため、そのフロー図である図１の各ステップとの対応も同時に説明する。
【００２３】
図５はバイナリユークリッド互除法の大きな流れを図にしたもので入力値Ａに対して、ｐを法とした剰余環上の逆元を求めるものである。但しここではｐを奇数と限定している。図１と比較すると分かる通り、内部変数を更新する部分を除くとユークリッド互除法と全く同じである。５０１がバイナリユークリッド互除法演算ステップで、ユークリッド互除法のユークリッド互除法演算ステップ１０３に相当する処理である。
【００２４】
図６はバイナリユークリッド互除法演算ステップの詳細フローチャートで、第１の内部変数更新停止判定ステップ６０１、第１の内部変数更新ステップ６０２、第２の内部変数更新停止判定ステップ６０３、第２の内部変数更新ステップ６０４、第３の内部変数更新ステップ６０５において、それぞれの内部変数を更新してゆく。これらのステップが、ユークリッド互除法における図２に対応する。
【００２５】
第１の内部変数更新停止判定ステップ６０１では、Ｖ２が偶数か奇数かを判定する。ここでＶ２が奇数と判定された時は、変数Ｖ１、Ｖ２の更新を停止し次の処理に移る。第１の内部変数更新ステップ６０２では、内部変数Ｖ１、Ｖ２を２で割る。Ｖ１については剰余体上において２で割る処理を行う。この２で割る処理がシフト演算で実現できるため、バイナリユークリッド互除法では乗除算を必要としない。
【００２６】
第２の内部変数更新停止判定ステップ６０３では、Ｕ２が偶数か奇数かを判定する。ここでＵ２が奇数と判定された時は、変数Ｕ１、Ｕ２の更新を停止し次の処理に移る。第２の内部変数更新ステップ６０４では、内部変数Ｕ１、Ｕ２を２で割る。但し第１の内部変数更新ステップ６０２と同様Ｕ１については剰余体上において２で割る処理を行う。
【００２７】
ここまでの内部変数更新処理において、Ｕ２、Ｖ２のどちらかは必ず奇数であり、Ｕ１、Ｕ２の更新、もしくは、Ｖ１、Ｖ２の更新のどちらかしか行われない。従って、これらの処理が図２の内部変数Ｗの演算（２０１）と内部変数Ｗの値を乗算する演算処理（２０２の一部）に対応する。
【００２８】
次に第３の内部変数更新ステップ６０５において、Ｕ１、Ｕ２、もしくはＶ１、Ｖ２の内部変数を更新する。この処理は図２の減算（２０２の一部）、及び内部変数Ｕ１、Ｕ２、Ｖ１、Ｖ２の更新処理（２０３、２０４）に対応する。
【００２９】
この方法は多精度の乗除算を行わなくて済むという特徴があるが、その分ユークリッド互除法に比べ実行速度が遅くなる。また、ここに示したフローチャートは、法の値を奇数と限定した時のものであるが、必要な内部変数が４つで良いという特徴がある。即ち、単精度が３２ビットで、法の値が１０２４ビットのＲＳＡ暗号の場合４×３２＝１２８ワードのワークメモリがあれば良い。
【００３０】
法の値が偶数の場合、図６の詳細フローチャート中、第１の内部変数更新ステップ６０２、第２の内部変数更新ステップ６０４、第３の内部変数更新ステップ６０５が異なってくる。図７は、法の値が偶数の時の、第１の内部変数更新停止判定ステップから第１の内部変数更新ステップにかけての詳細フロー図である。図で見ると分かるように、Ｖ３という新たな内部変数を用い、その値も内部変数として更新する形となる。第２の内部変数更新ステップ、第３の内部変数更新ステップの詳細フロー図は省略するが、同様にＵ３という新たな内部変数も必要となってくる。即ち法の値が偶数の時には、さらにＵ３、Ｖ３といった２つの内部変数の追加が必要になり、必要な多精度の内部変数の数は６つとなる。即ち、単精度が３２ビットで、法の値が１０２４ビットのＲＳＡ暗号の場合、１９２ワードのワークメモリを必要とする。
【００３１】
【発明が解決しようとする課題】
これらの従来の技術を見てみると、ＲＳＡ暗号の鍵対生成処理に必要となる逆元演算では、法の値が偶数の逆元演算を行わなければならず、少なくとも内部変数として多精度変数が６つ必要であった。これは、例えばＩＣカードのようにメモリ容量に制限がある環境での実装を困難にする要因であった。一方、法の値が奇数の時に逆元を求める方法として、多精度変数が４つでよい変数削減版拡張バイナリユークリッド互除法があった。しかしこの変数削減版拡張バイナリユークリッド互除法はＲＳＡ暗号の鍵対生成処理には使えないという課題があった。
【００３２】
そこで本発明はかかる問題点に鑑みてなされたものであり、法の値が偶数のときの逆元演算を、法の値が奇数の時の変数削減版拡張バイナリユークリッド互除法を利用して行うことを目的とする。即ち多精度の内部変数の数を４つにとどめながらＲＳＡ暗号の鍵対生成で使われる逆元演算を行うことを目的とする。多精度の内部変数は、ハードウェア回路を作成する際、通常メモリ領域として実装するため、少ないメモリ量でＲＳＡ暗号の鍵対生成を実行することも目的となる。
【００３３】
【課題を解決するための手段】
この課題を解決するために本発明に係る逆元演算装置は、法の値が偶数である剰余環上の逆元を求める逆元演算装置であって、２５６ビット幅以上の４つの変数を記憶する多精度記憶手段と、偶数である法Ｎ、及び逆元を求める被演算値Ａを受け取り、前記被演算値Ａが前記法Ｎ未満であるか否かを判定し、前記Ｎ未満である場合に、前記法Ｎと前記被演算値Ａを前記多精度記憶手段に格納する入力手段と、前記多精度記憶手段に記憶された前記法Ｎの値を変数Ｍの値として設定し、前記Ｍを前記多精度記憶手段に格納し、前記多精度記憶手段に記憶された前記Ｍを最下位ビットが１となるように右へｔビットシフトする法分割手段と、前記多精度記憶手段に記憶された前記被演算値Ａとシフト後の前記Ｍを用いて、前記Ｍを法とした剰余環上の前記被演算値Ａの逆元Ｘ１を演算によって算出し、前記Ｘ１を前記多精度記憶手段に格納する第１逆元演算手段と、前記法分割手段から前記ｔの値を受け取り、前記多精度記憶手段に記憶された前記被演算値Ａを用いて、前記被演算値Ａの下位ｔビットの値を被演算値Ｂの値として設定し、２^tを法とした剰余環上の前記被演算値Ｂの逆元Ｘ２を演算によって算出する第２逆元演算手段と、前記第２逆元演算手段から演算された前記Ｘ２を受け取り、前記多精度記憶手段に記憶された前記Ｘ１を用いて、前記Ｎを法とした剰余環上の前記被演算値Ａの逆元を演算によって算出する合成演算手段を備えたことを特徴とする。
【００３４】
また、本発明に係る逆元演算装置は、法の値が偶数である剰余環上の逆元を求める逆元演算装置であって、前記特徴に加え、前記第１逆元演算手段は、前記被演算値Ａの逆元が存在しないと判断した場合に、前記合成演算手段にエラーを通知し、前記合成演算手段は、前記第１逆元演算手段からエラーが通知された時、前記逆元Ｘを算出する演算を行わないことを特徴とする。
【００３６】
【発明の実施の形態】
以下、本発明の実施の形態について、図面を用いて説明する。
【００３７】
（実施の形態１）
図８は、本発明における、入力値Ａに対して、偶数であるＮを法とした剰余環上の逆元を求める逆元演算方法の、大きな流れをフローチャートにしたものである。８０１は入力処理で、逆元演算対象となる値の入力を行う。８０２は法分割処理で、入力処理で入力された値のうち法の値を、以降の処理で使用できるように分割する。８０３は第１逆元演算処理で、法分割処理８０２で分割された一方の値を用い、第１の部分的な逆元を求める。８０４は第２逆元演算処理で、法分割処理８０２で分割された値のうち、第１逆元演算処理８０３で用いなかった値を用い、第２の部分的な逆元を用いる。なお、この実施の形態では第１逆元演算処理、第２逆元演算処理の順序で処理を行っているが、逆の順序で処理を行っても良い。またこの二つの処理は独立して実行できるため、同時に並列に処理を行っても良い。８０５は合成演算処理で、第１逆元演算処理８０３と第２逆元演算処理８０４で求められた二つの部分的な逆元を合成し、入力値に対する逆元を求める。８０６は出力処理で、求められた逆元を出力する。各処理の詳細を以降に説明する。
【００３８】
図９は、図８における入力処理８０１の詳細フローチャートである。９０１は値入力ステップで、逆元を求める剰余環の法の値としてＮを、逆元を求める被演算値としてＡを入力する。但しここではＡを奇数、Ｎを偶数とする。９０２は入力値検証ステップで、値入力ステップで入力された被演算値が法Ｎより小さい値であるかを検証する。９０３は入力値補正ステップで、入力値検証ステップ９０２で入力値Ａが法の値Ｎ以上であると判定された場合にのみ、剰余演算を行うことで被演算値をＮ未満に補正する。なお、この実施の形態では被演算値として入力される値が奇数であるという限定を行ったが、任意の値を被演算値として入力し、その値が偶数の場合には出力処理でエラー出力を行っても良い。
【００３９】
図１０は、図８における法分割処理８０２の詳細フローチャートである。１００１は分割値初期設定ステップで、変数ｔの値を０に、変数Ｍの値をＮに初期設定する。１００２は分割値更新ステップで、ｔの値を１増加させ、Ｍの値を右に１ビットシフトする。右へ１ビットシフトすることは、２で割ることと同じ処理である。ここで、入力された値Ｎは必ず偶数である。従って初期状態での値Ｍも必ず偶数となり、１００２の分割値更新ステップを最初に通る時、Ｍを１ビット右シフトする、即ち２で割ることは、必ず実行可能である。１００３は分割値更新終了判定ステップで、Ｍの最下位ビットを判定する。Ｍの最下位ビットが０の場合は、再び分割値更新ステップに戻る。分割値更新ステップ１００２と分割値更新終了判定ステップ１００３により、逆元を求める剰余環の法Ｎを、Ｎ＝Ｍ×２^tとなるＭとｔに分割する処理が行われる。なお、この実施の形態では分割値のために新たな変数を用いたが、Ｎは以降の処理では使用しないため、Ｍの代わりにＮを用い、分割値更新ステップ１００２でＮの値を更新し、分割値更新終了判定ステップ１００３でＮの最下位ビットを判定するとしても良い。
【００４０】
図１１は、図８における第１逆元演算処理８０３の詳細フローチャートである。１１０１は第１被演算値補正ステップで、法分割処理８０２で求めた分割値のうちＭを用い、ＡｍｏｄＭの値をＣに設定する。１１０２は第１部分逆元演算ステップで、Ｍを法とした剰余環上のＣの逆元を演算する。Ｍは奇数となるため、従来技術の拡張バイナリユークリッド互除法を用いることができるが、Ｍを法とした剰余集合は、体ではなく環であるため、逆元が存在しない場合がある。従って、逆元が存在しない時Ｘ１を０に、逆元が存在する時Ｘ１をその値（Ｃ^(-1) ｍｏｄＭ）に設定する。なお、この実施の形態では、第１部分逆元演算ステップ１１０２における逆元演算方法として、従来技術の拡張バイナリユークリッド互除法を用いたが、他の従来技術を用いても良い。またこの実施の形態では被演算値の補正値のために新たな変数を用いたが、Ａは下位ｔビットを除いて以降の処理では使用しない。従って下位ｔビットを保持しておけば、Ｃの代わりにＡを用い逆元の演算を行っても良い。
【００４１】
図１２は、図８における第２逆元演算処理８０４の詳細フローチャートである。１２０１は分割値判定ステップで、法分割処理８０２で求めた分割値のうちｔの値が８以下であるかどうかを確認する。８以下の場合、以降の処理が１バイト値の演算となるためである。１２０２は第２被演算値補正ステップで、Ａの下位ｔビットをＢに設定する。１２０３は第２部分逆元演算ステップで、分割値判定ステップ１２０１でｔの値が８以下の時、従来技術の拡張ユークリッド互除法を用いて、２^tを法とした剰余環上のＢの逆元を演算しＸ２に設定する。１２０４は演算不能値設定ステップで、分割値判定ステップ１２０１でｔの値が８より大きい時、Ｘ２に０を設定する。なお、この実施の形態では、単精度を８ビット値として分割値判定ステップの判定条件を定めたが、使用する計算機の精度に合わせ判定条件の値を８以外の値（１６、３２など）にしても良い。また、使用する計算機が高速で多精度の演算処理が可能な時などに、分割値判定ステップ１２０１、演算不能値設定ステップ１２０４を行わず、常に第２被演算値補正ステップ１２０２、第２部分逆元演算ステップ１２０３を実行する構成としても良い。また、第２部分逆元演算ステップ１２０３における逆元演算方法として、従来技術の拡張ユークリッド互除法を用いたが、他の従来技術を用いても良い。
【００４２】
図１３は、図８における合成演算処理８０５の詳細フローチャートである。１３０１は合成判定ステップで、Ｘ１の値、及びＸ２の値が０以外の時次のステップを実行する。１３０２は中国人の剰余定理演算ステップで、これまでの処理で求めた値を、中国人の剰余定理に適用し、求める逆元を演算する。中国人の剰余定理は、例えば文献「暗号処理入門」（岡本栄司著、共立出版、１９９３）のｐ．１０に詳しく述べられている。具体的には、２^tを法とした剰余環上のＭの逆元を求めＹ１とし、Ｘ２−Ｘ１に対し２^tの剰余をＹ２とし、２^tを法とした剰余環上のＹ１×Ｙ２の値とＭの積にＸ１を加算することで、入力値ＡのＮを法とした剰余環上の逆元Ｘを求める。
【００４３】
図１４は、図８における出力処理８０６の詳細フローチャートである。１４０１は第１エラー判定ステップで、Ｘ１が０かどうか判定する。１４０２は第１エラー出力ステップで、第１エラー判定ステップ１４０１でＸ１が０と判定された時、求める逆元が存在しない旨のエラーを出力する。１４０３は第２エラー判定ステップで、第１エラー判定ステップ１４０１でＸ１が０でないと判定された時、Ｘ２が０かどうか判定する。１４０４は第２エラー出力ステップで、第２エラー判定ステップ１４０３でＸ２が０と判定された時、２^tの値が単精度を超えたため演算できない旨のエラーを出力する。１４０５は逆元出力ステップで、第２エラー出力ステップでＸ２が０でないと判定された時、合成演算処理８０５で計算されたＸの値を求める逆元として出力する。
【００４４】
図１５は、本発明における逆元演算装置の全体構成図である。１５０１は入力部で、図９のアルゴリズムに従って被演算値Ａと剰余環の法の値Ｎを入力する。被演算値Ａは、後述する第１逆元演算部と第２逆元演算部に送信する。法の値Ｎは、後述する法分割部に送信する。１５０２は法分割部で、図１０のアルゴリズムに従い、法ＮをＮ＝Ｍ×２^t（Ｍは奇数）を満たすＭとｔに分割する。値Ｍは後述する第１逆元演算部に送信する。値ｔは後述する第２逆元演算部に送信する。
【００４５】
１５０３は第１逆元演算部で、図１１のアルゴリズムに従い、Ｘ１＝Ａ^(-1) ｍｏｄＭを満たすＸ１を求める。値Ｘ１は後述する合成演算部に送信する。１５０４は第２逆元演算部で、図１２のアルゴリズムに従い、Ｘ２＝Ａ^(-1) ｍｏｄ２^tを満たすＸ２を求める。値Ｘ２は後述する合成演算部に送信する。
【００４６】
１５０５は合成演算部で、図１３のアルゴリズムに従い、法の値がＮである剰余環上のＡの逆元値Ｘを求める。値Ｘは後述する出力部に送信する。１５０６は出力部で求めた値Ｘを出力する。
【００４７】
なお、この実施の形態ではエラー処理に関する部分を省略したが、図９〜図１３のアルゴリズムによるエラー判定を入力部１５０１、第１逆元演算部１５０３、第２逆元演算部１５０４、合成演算部１５０５で行い、その結果をエラー情報として出力部１５０６に送信するとしても良い。そして出力部１５０６では送信されたエラー情報に従ってエラー値を出力するとしても良い。
【００４８】
図１８は、本発明における逆元演算方法で用いられる変数の数を、従来方法と合わせて表にしたものである。多精度変数は、例えば２５６ビット幅など、大きな領域を取る変数である、単精度変数は、例えば８ビット幅など、小さな領域を取る変数である。本発明による方法では第１の逆元演算処理では拡張バイナリユークリッド互除法を、第２の演算処理では拡張ユークリッド互除法を使用した場合の変数の数を表している。本発明による方法では中国人の剰余定理を使って最後に合成を行っているが、その時の変数は第１の逆元演算処理で一時的に使っていたものを再利用すれば良い。従って、全体として必要なのは拡張バイナリユークリッド互除法における多精度変数（４つ）と、拡張ユークリッド互除法における単精度変数（７つ）になる。
【００４９】
（実施の形態２）
図１６は、本発明におけるＲＳＡ鍵対生成方法の流れをフローチャートにしたものである。１６０１は素数取得処理で、従来技術を用い、異なる素数ｐ、ｑを取得する。１６０２は法演算処理で、素数取得処理１６０１で得られた素数を用い（ｐ−１）と（ｑ−１）の積を求め法の値Ｎとする。なお、この実施の形態では（ｐ−１）、（ｑ−１）の積を法Ｎの値としたが、（ｐ−１）、（ｑ−１）の最小公倍数を法Ｎと値としても良い。
【００５０】
１６０３は公開鍵取得処理で、従来技術を用い小さいビット数（８ビット程度）の奇数乱数を取得し値ｅとする。なお、この実施の形態では値ｅとして奇数乱数を取得したが、奇数値を入力する形としても良い。
【００５１】
１６０４は逆元演算処理で、実施の形態１を用い、偶数を法とした剰余環上の逆元を求める。
【００５２】
１６０５は繰り返し制御処理で、逆元演算処理１６０４の結果がエラーである時、公開鍵取得処理１６０３と逆元演算処理１６０４を再び行う。逆元演算処理１６０４の結果が正常の時、次の処理にすすむ。なお、この実施の形態では逆元演算処理の結果がエラーである時、公開鍵取得処理を行う形としたが、公開鍵取得処理の代わりに、素数取得処理と法演算処理を行う形としても良い。
【００５３】
１６０６は鍵対出力処理で、これまでの処理で得られた結果を元にＲＳＡ公開鍵、ＲＳＡ秘密鍵の値を計算し出力する。
【００５４】
図１７は、本発明におけるＲＳＡ鍵対生成装置の全体構成図である。１７０１は素数取得部で、従来技術を用い、異なる素数ｐ、ｑを取得する。素数ｐ、ｑは、後述する法演算部と鍵対出力部に送信する。１７０２は法演算部で、（ｐ−１）と（ｑ−１）の積を法Ｎの値とする。法Ｎは後述する逆元演算部に送信する。なお、この実施の形態では法Ｎの値を（ｐ−１）と（ｑ−１）の積としたが、この二つの値の最小公倍数としても良い。
【００５５】
１７０３は公開鍵取得部で、従来技術を用い小さいビット数（８ビット程度）の奇数乱数を取得し値ｅとする。値ｅは後述する逆元演算部と鍵対出力部に送信する。なお、この実施の形態では値ｅとして奇数乱数を取得したが、奇数値を入力する公開鍵入力部としても良い。
【００５６】
１７０４は逆元演算部で、偶数を法とした剰余環上の逆元ｄ＝ｅ^(-1) ｍｏｄＮを求める。この逆元演算部の詳細が、実施の形態１で説明したものになり、その構成図が図１５となる。
【００５７】
１７０５は繰り返し制御部で、逆元演算部の結果を受け、逆元演算部が正常出力を行った時、後述する鍵対出力部を動作させ、逆元演算部がエラー出力を行った時、公開鍵取得部と逆元演算部を再び動作させる。なお、この実施の形態では逆元演算部がエラー出力を行った時、公開鍵取得部と逆元演算部を再び動作させる形としたが、素数取得部と法演算部と逆元演算部を再び動作させる形としても良い。また逆元演算部がエラー出力を行った時、後述する鍵対出力部においてエラー出力を行うように制御しても良い。
【００５８】
１７０６は鍵対出力部で逆元演算部が正常出力を行った時、ＲＳＡ公開鍵の値として（ｅ、ｐ×ｑ）を、ＲＳＡ秘密鍵の値として（ｄ、ｐ、ｑ）を出力する。
【００５９】
（実施の形態３）
図１９は、本発明によるＲＳＡ鍵生成装置を組み込んだメッセージ送受信システム例である。（ａ）はメッセージにＲＳＡ署名を付加する場合である。１９０１はメッセージ送信装置で、メッセージをメッセージ受信装置に送信する。またこの装置はＲＳＡ署名を行うための機構を組み込んでいる。１９０２はメッセージ受信装置で、メッセージをメッセージ送信装置から受信する。またこの装置は、ＲＳＡ署名検証を行うための機構を組み込んでいる。１９０３はメッセージ送信装置に組み込まれたＲＳＡ署名装置で、メッセージからＲＳＡ署名を生成する。その際ＲＳＡ秘密鍵を必要とする。１９０４はＲＳＡ検証装置で、ＲＳＡ署名を検証する。その際メッセージ送信装置のＲＳＡ公開鍵を必要とする。１９０５は本発明によるＲＳＡ鍵生成装置で、ＲＳＡ公開鍵、秘密鍵のペアを生成し、ＲＳＡ署名装置にＲＳＡ秘密鍵を、ＲＳＡ検証装置にＲＳＡ公開鍵を提供する。
【００６０】
この構成により、メッセージ送信装置は、ＲＳＡ鍵生成を行い、メッセージにＲＳＡ署名を行うと共に、署名とＲＳＡ公開鍵をメッセージ受信装置に送信する。メッセージ装置は、受け取った情報からＲＳＡ署名検証を行うことでメッセージを復元し、送信者と送信されてきたメッセージを認証することができる。
【００６１】
（ｂ）はメッセージをＲＳＡ暗号化する場合である。１９０６はメッセージ送信装置で、メッセージをＲＳＡ暗号化してメッセージ受信装置に送信する。１９０７はメッセージ受信装置で、暗号化メッセージをメッセージ送信装置から受信し復号する。１９０８はメッセージ送信装置に組み込まれたＲＳＡ暗号装置で、メッセージをＲＳＡ暗号する。その際メッセージ受信装置のＲＳＡ公開鍵を必要とする。１９０９はＲＳＡ復号装置で、暗号メッセージをＲＳＡ復号する。その際ＲＳＡ秘密鍵を必要とする。１９１０は本発明によるＲＳＡ鍵生成装置で、ＲＳＡ公開鍵、秘密鍵のペアを生成し、ＲＳＡ暗号装置にＲＳＡ公開鍵を、ＲＳＡ復号装置にＲＳＡ秘密鍵を提供する。
【００６２】
この構成により、メッセージ送信装置は、受け取ったＲＳＡ公開鍵を用い、メッセージの暗号化を行い、暗号化メッセージをメッセージ受信装置に送信する。メッセージ装置は、ＲＳＡ鍵生成を行い、ＲＳＡ公開鍵をメッセージ送信装置に渡すと共に、受信した暗号化メッセージを復号することで秘匿通信を行うことができる。
【００６３】
【発明の効果】
以上のように本発明によれば、図１１〜図１３に示したように、逆元の演算を、法が奇数の時の拡張バイナリユークリッド互除法、単精度の拡張ユークリッド互除法、中国人の剰余定理の演算のみで行うことができる。また図１５に示したように、逆元演算装置を、上記３つの演算を行う手段を備えた構成とすることができる。従って、従来の方法と比較した変数の数が、図１８に示した表のようになり、ハードウェアに適した制御のみで、メモリ量を少なくした逆元演算装置となる。
【００６４】
また、図１６、１７に示したように、上記逆元演算方法を用いたＲＳＡ鍵生成方法とし、上記逆元演算装置によって構成されたＲＳＡ鍵生成装置とすることができる。従って、ハードウェアに適した制御のみで、メモリ量を少なくしたＲＳＡ鍵生成装置となる。
【図面の簡単な説明】
【図１】従来のユークリッド互除法による逆元演算処理のフローチャート
【図２】従来のユークリッド互除法のユークリッド互除法演算処理詳細フローチャート
【図３】従来のレーマ法による逆元演算処理の全体フローチャート
【図４】従来のレーマ法のレーマ演算処理詳細フローチャート
【図５】従来のバイナリユークリッド互除法による逆元演算処理の全体フローチャート
【図６】従来のバイナリユークリッド互除法のバイナリユークリッド互除法演算処理詳細フローチャート
【図７】従来のバイナリユークリッド互除法で入力された法の値が偶数の時の演算処理詳細フローチャート
【図８】本発明の実施の形態１による逆元演算処理の全体フローチャート
【図９】本発明の実施の形態１による入力処理詳細フローチャート
【図１０】本発明の実施の形態１による法分割処理詳細フローチャート
【図１１】本発明の実施の形態１による第１逆元演算処理詳細フローチャート
【図１２】本発明の実施の形態１による第２逆元演算処理詳細フローチャート
【図１３】本発明の実施の形態１による合成演算処理詳細フローチャート
【図１４】本発明の実施の形態１による出力処理詳細フローチャート
【図１５】本発明の実施の形態１による逆元演算装置の全体構成図
【図１６】本発明の実施の形態２によるＲＳＡ鍵対生成処理の全体フローチャート
【図１７】本発明の実施の形態２によるＲＳＡ鍵対生成装置の全体構成図
【図１８】本発明の実施の形態１と従来方法で使用する変数の数を表す比較図
【図１９】本発明の実施の形態３によるメッセージ送受信システムの全体構成図
【符号の説明】
１５０１入力部
１５０２法分割部
１５０３第１逆元演算部
１５０４第２逆元演算部
１５０５合成演算部
１５０６出力部
１７０１素数取得部
１７０２法演算部
１７０３公開鍵取得部
１７０４逆元演算部
１７０５繰り返し制御部
１７０６鍵対出力部
１９０１メッセージ送信装置
１９０２メッセージ受信装置
１９０３ＲＳＡ署名装置
１９０４ＲＳＡ検証装置
１９０５ＲＳＡ鍵生成装置
１９０６メッセージ送信装置
１９０７メッセージ受信装置
１９０８ＲＳＡ暗号装置
１９０９ＲＳＡ復号装置
１９１０ＲＳＡ鍵生成装置[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an inverse element computing apparatus and method for computing an inverse element in a remainder ring having an even number of modulus. The present invention also relates to an RSA key generation apparatus and method for generating an RSA key pair that is a public key algorithm.
[0002]
[Prior art]
A higher security can be ensured by generating an RSA encryption key pair in each device. This is because the secret key is not out of the device as compared with a method in which the center generates a key pair and distributes it to the device. In particular, in an IC card system in which high security is required for the device itself, it is necessary to efficiently generate an RSA encryption key pair in an IC card in which computational resources are limited.
[0003]
Usually, the RSA encryption key pair generation method is performed by the following procedure.
[0004]
(1) Generate prime numbers p and q. Let n = p × q.
[0005]
(2) 1 ≦ e: odd number <L = LCM (p−1, q−1) is determined, and an inverse element d of e is obtained (LCM is the least common multiple).
[0006]
(3) Publish (n, e) and keep (p, q, d) secret.
[0007]
In this procedure, the calculation of e to d in (2) requires an inverse operation on the remainder ring modulo L.
[0008]
In the following, the conventional inverse element calculation will be described, and it is assumed that the inverse element calculation is implemented on a device with limited calculation resources.
・ Insufficient memory capacity to store internal variables
・ Simple control
We evaluate from the viewpoint of.
[0009]
As the inverse element calculation method on the remainder ring, the Euclidean mutual division method, the Reemer method, the binary Euclidean mutual division method, and the like are known. For example, the document “Introduction to Cryptographic Processing” (Eiji Okamoto, Kyoritsu Shuppan, 1993) p. 8 describes an algorithm of the Euclidean mutual division method. Based on this description, an algorithm for obtaining an inverse element on the remainder ring using the Euclidean algorithm will be described.
[0010]
FIG. 1 is a flowchart of the algorithm disclosed in the above-mentioned document, and obtains an inverse element on a remainder ring modulo p for an input value A.
[0011]
First, in input step 101, the operand A to be subjected to the inverse operation and the modulus p of the remainder ring are input. Next, in the internal variable initialization step 102, four internal variables U1, U2, V1, and V2 are initialized. Next, in the Euclidean algorithm division step 103, the values of the internal variables U1, U2, V1, V2 are updated. Unless the condition is satisfied in the determination step 104 for the updated value, the Euclidean mutual division calculation step 103 is repeated. If the condition is satisfied in the determination step 104, the process proceeds to the GCD confirmation step 105. GCD is the greatest common divisor. In the GCD confirmation step 105, it is confirmed whether or not the value of GCD is 1. Finally, a value is output in the output step 106. When the GCD confirmation step 105 confirms that GCD is 1, the inverse element value calculated in the output step 106 is output. When it is confirmed that the value is not 1, an error is output in the output step 106.
[0012]
FIG. 2 is a flowchart showing details of the Euclidean mutual division step 103. Here, three initial variables W, T1, and T2 are used, and the values of the variables U1, U2, V1, and V2 that are initialized first are updated.
[0013]
Outputting a correct value by this method is described in the above-mentioned document and the like, and is omitted here. A feature of this method is that multi-precision division is used to update internal variables. Another example is that seven multi-precision variable storage areas are required as internal variables for storing intermediate values. Considering an RSA cipher with a single precision of 32 bits and a modulo value of 1024 bits, these seven multi-precision variables require 7 × 32 = 224 words of work memory.
[0014]
Next, another conventional example will be described. The Römer method is an improved version of the Euclidean algorithm, and the number of multi-precision multiplications is reduced by using single-precision division. For example, in the document “HANDBOOK of APPLYED CRYPTOGRAPHY” (Alfred J. Menezes et al., CRC Press, 1997), p. Reference numeral 607 describes an algorithm of the reaming method. However, it is described here as an algorithm for obtaining GCD, not an algorithm for obtaining an inverse element on the remainder ring. Also, p. 67 describes an extension method for obtaining an inverse element on the remainder ring when GCD is 1 from the Euclidean mutual division method for obtaining GCD. Therefore, based on these two descriptions, it is possible to derive an algorithm for obtaining an inverse element on the remainder ring using the reamer method. Here, an algorithm of the reaming method based on the two description methods will be described.
[0015]
FIG. 3 is a flowchart of the algorithm of the Reemer method. For the input value A, the inverse element on the remainder ring modulo p is obtained. As can be seen from the comparison with FIG. 1, except for the part that updates the internal variable, it is exactly the same as the Euclidean algorithm. Reference numeral 301 denotes a reamer calculation step, which is a process corresponding to the Euclidean algorithm calculation step 103 of the Euclidean algorithm.
[0016]
FIG. 4 is a detailed flowchart of the reamer calculation step of FIG. In FIG. 4, variables starting with uppercase letters indicate multi-precision values, and variables starting with lowercase letters indicate single-precision values. Here, the single precision is an arithmetic unit determined when the reamer is operated, and values such as 8, 16, 32, and 64 are usually used.
[0017]
Reference numeral 401 denotes a single precision variable initialization step that initializes six single precision variables u, v, a, b, c, and d. For u and v, the highest single precision value of U2 which is not 0 and the single precision value of the same digit of V2 are substituted. Reference numeral 402 denotes a first reamer calculation determination step for determining whether or not reamer calculation can be continued. If the process cannot be continued, the process proceeds to update processing of the values of the internal variables U1, V1, U2, and V2 using the values of a to d calculated so far. Reference numeral 403 denotes a second reamer calculation determination step for determining whether or not the values a to d can be correctly calculated by the reamer calculation. If the operation cannot be calculated correctly, the values of q and q ′ are different, so that the internal variables U1, V1, U2 are used by using the values of a to d calculated so far as in the first reamer operation determination step. , The process of updating the value of V2.
[0018]
Reference numeral 404 denotes a single precision variable update step which updates the single precision variables a to d. These variables correspond to the internal variable W in the Euclidean mutual division method of FIG. 1, and by having a plurality of single-precision variables, a plurality of multi-precision multiplications can be performed at a time. When this single precision variable update step is executed, the process returns to the first reamer calculation determination step 402, and the single precision variable update step 404 is repeated as long as the reamer calculation can be continued. Reference numeral 405 denotes a summary calculation determination step that determines whether or not a summary calculation of multi-precision multiplication is performed based on the value of the single precision variable b. Reference numeral 406 denotes a first internal variable update step. The values of single precision variables a to d calculated so far are used, and the values of four internal variables U1, U2, V1, and V2 are respectively obtained by a single multiplication. Update. Reference numeral 407 denotes a second internal variable update step. When the first internal variable update step cannot be used, the internal variable is updated by the same division and multiplication as in the normal Euclidean algorithm.
[0019]
This method is characterized in that by repeating the single precision variable update step 404, the number of internal variable updates that are multi-precision operations 406 and 407 can be reduced, and the execution speed becomes faster than the Euclidean mutual division method. However, since the second internal variable update step 407 is used when the first internal variable update step 406 cannot be used, it is not possible to eliminate the need for multi-precision division. As can be seen from the flowchart, the control is very complicated, such as obtaining a single precision value from a multi-precision value. Further, as a feature of the Reemer method, as in the Euclidean mutual division method, seven multi-precision internal variables are required as an area for storing intermediate values. In other words, RSA encryption with a single precision of 32 bits and a modulo value of 1024 bits requires a work memory of 224 words.
[0020]
Japanese Patent Application No. 2001-092481 describes an improved reamer method using approximate values without performing multi-precision division. However, this method still has the same complicated control as the normal reaming method. In addition, the number of multi-precision internal variables is reduced by not performing multi-precision division, but six are still required. That is, 6 × 32 = 192 words of work memory is required for RSA cryptography having a single precision of 32 bits and a modulo value of 1024 bits.
[0021]
Next, another conventional Euclidean binary Euclidean algorithm will be described. In the Euclidean algorithm, multiplication / division is required in the Euclidean algorithm calculation step 103. In addition, the reaming method requires complicated control such as obtaining a single precision value from a multi-precision value. The binary Euclidean algorithm does not use any of them, and the same effect is obtained only by addition / subtraction and shift calculation. Addition / subtraction and shift calculation are easy to implement hardware.
[0022]
For example, in the document “HANDBOOK of APPLYED CRYPTOGRAPHY” (Alfred J. Menezes et al., CRC Press, 1997), p. Reference numeral 608 describes an algorithm of binary Euclidean algorithm. FIGS. 5 to 7 are flowcharts showing an algorithm for obtaining an inverse element on the remainder ring using the binary Euclidean algorithm. The binary Euclidean mutual division method will be described using these figures. Since the binary Euclidean algorithm is an improvement of the Euclidean algorithm, the correspondence with each step in FIG.
[0023]
FIG. 5 is a diagram showing a large flow of binary Euclidean mutual division, and obtains an inverse element on a remainder ring modulo p for input value A. However, here, p is limited to an odd number. As can be seen from the comparison with FIG. 1, except for the part that updates the internal variable, it is exactly the same as the Euclidean algorithm. Reference numeral 501 denotes a binary Euclidean algorithm calculation step, which corresponds to the Euclidean algorithm calculation step 103 of the Euclidean algorithm.
[0024]
FIG. 6 is a detailed flowchart of the binary Euclidean algorithm division calculation step. The first internal variable update stop determination step 601, the first internal variable update step 602, the second internal variable update stop determination step 603, and the second internal variable. In the update step 604 and the third internal variable update step 605, each internal variable is updated. These steps correspond to FIG. 2 in the Euclidean algorithm.
[0025]
In a first internal variable update stop determination step 601, it is determined whether V2 is even or odd. Here, when it is determined that V2 is an odd number, the updating of the variables V1 and V2 is stopped, and the next process is started. In the first internal variable update step 602, the internal variables V1 and V2 are divided by two. V1 is divided by 2 on the remainder field. Since the process of dividing by 2 can be realized by a shift operation, the binary Euclidean algorithm does not require multiplication and division.
[0026]
In a second internal variable update stop determination step 603, it is determined whether U2 is an even number or an odd number. Here, when it is determined that U2 is an odd number, the updating of the variables U1 and U2 is stopped and the next processing is started. In a second internal variable update step 604, the internal variables U1 and U2 are divided by two. However, as in the first internal variable update step 602, U1 is divided by 2 on the remainder field.
[0027]
In the internal variable update processing so far, either U2 or V2 is always an odd number, and only U1 or U2 update or V1 or V2 update is performed. Therefore, these processes correspond to the calculation process (201) of the internal variable W in FIG.
[0028]
Next, in a third internal variable update step 605, U1, U2, or V1, V2 internal variables are updated. This processing corresponds to the subtraction (part of 202) and the update processing (203, 204) of the internal variables U1, U2, V1, and V2 in FIG.
[0029]
This method has a feature that multi-precision multiplication / division need not be performed. However, the execution speed is slower than that of the Euclidean algorithm. The flowchart shown here is for a case where the value of the modulo is limited to an odd number, but has a feature that only four internal variables are required. That is, in the case of RSA encryption with a single precision of 32 bits and a modulo value of 1024 bits, a work memory of 4 × 32 = 128 words is sufficient.
[0030]
When the modulus value is an even number, the first internal variable update step 602, the second internal variable update step 604, and the third internal variable update step 605 are different in the detailed flowchart of FIG. FIG. 7 is a detailed flowchart from the first internal variable update stop determination step to the first internal variable update step when the modulus value is an even number. As can be seen from the figure, a new internal variable V3 is used, and the value is also updated as an internal variable. Although detailed flowcharts of the second internal variable update step and the third internal variable update step are omitted, a new internal variable U3 is also required. That is, when the modulus value is an even number, it is necessary to add two more internal variables such as U3 and V3, and the number of necessary multi-precision internal variables is six. That is, in the case of RSA encryption with a single precision of 32 bits and a modulus value of 1024 bits, a work memory of 192 words is required.
[0031]
[Problems to be solved by the invention]
Looking at these conventional techniques, in the inverse element operation required for the key pair generation process of RSA encryption, an inverse element operation with an even value of the modulus must be performed, and at least a multi-precision variable as an internal variable 6 were needed. This is a factor that makes it difficult to mount in an environment where the memory capacity is limited, such as an IC card. On the other hand, as a method for obtaining the inverse element when the modulus value is an odd number, there is a variable-reduced version extended binary Euclidean algorithm that requires four multi-precision variables. However, there is a problem that this variable reduced extended binary Euclidean algorithm cannot be used for RSA encryption key pair generation processing.
[0032]
Therefore, the present invention has been made in view of such a problem, and performs an inverse operation when the modulus value is an even number using a variable-reduced version extended binary Euclidean algorithm when the modulus value is an odd number. For the purpose. That is, an object of the present invention is to perform an inverse element calculation used in RSA encryption key pair generation while keeping the number of multi-precision internal variables at four. Since the multi-precision internal variable is mounted as a normal memory area when creating a hardware circuit, it is also an object to execute RSA encryption key pair generation with a small amount of memory.
[0033]
[Means for Solving the Problems]
In order to solve this problem, an inverse element arithmetic apparatus according to the present invention is an inverse element arithmetic apparatus for obtaining an inverse element on a remainder ring whose modulus value is an even number, Multi-precision storage means for storing four variables having a width of 256 bits or more; The modulus N is an even number, and the operand value to find the inverse A is received, and it is determined whether the operand value A is less than the modulus N. If the operand value A is less than N, the modulus N and the operand value A are stored in the multi-precision storage means. Input means; The value of the modulus N stored in the multi-precision storage means is set as the value of the variable M, the M is stored in the multi-precision storage means, and the M stored in the multi-precision storage means is the least significant bit. Shift t bits to the right so that becomes 1. Legal division means; Using the operand value A and the shifted M stored in the multi-precision storage means, Remainder ring modulo M The inverse element X1 of the operand value A is calculated by calculation, and the X1 is stored in the multi-precision storage means. First inverse element calculation means; The value of t is received from the legal division means, and the operand value A stored in the multi-precision storage means is used. Lower t bits of the operand value A Is set as the value of operand B, 2 ^t On the remainder ring The inverse element X2 of the operand value B is calculated by calculation A second inverse element calculation means; The X2 calculated from the second inverse element calculation means is received, and the X1 stored in the multi-precision storage means is used. On the remainder ring modulo N The operand value A Calculate the inverse of Calculated by Combining operation means The It is characterized by having.
[0034]
An inverse element calculation apparatus according to the present invention is an inverse element calculation apparatus for obtaining an inverse element on a remainder ring whose modulus value is an even number. When the first inverse element calculation means determines that no inverse element of the operand value A exists, the first inverse element calculation means notifies the synthesis calculation means of an error, and the combination calculation means receives the first inverse element calculation means from the first inverse element calculation means. When an error is notified, the calculation to calculate the inverse element X is not performed. It is characterized by that.
[0036]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0037]
(Embodiment 1)
FIG. 8 is a flowchart showing a large flow of the inverse element calculation method for obtaining the inverse element on the remainder ring modulo N that is an even number with respect to the input value A in the present invention. Reference numeral 801 denotes an input process for inputting a value to be an inverse element calculation target. Reference numeral 802 denotes a legal division process, which divides a legal value among the values input in the input process so that it can be used in subsequent processes. Reference numeral 803 denotes a first inverse element calculation process, and the first partial inverse element is obtained using one of the values divided by the normal division process 802. Reference numeral 804 denotes a second inverse element calculation process that uses a value that is not used in the first inverse element calculation process 803 among the values divided in the normal division process 802 and uses a second partial inverse element. In this embodiment, the process is performed in the order of the first inverse element calculation process and the second inverse element calculation process, but the process may be performed in the reverse order. Moreover, since these two processes can be executed independently, the processes may be performed in parallel. Reference numeral 805 denotes a composition calculation process, which combines the two partial inverse elements obtained in the first inverse element calculation process 803 and the second inverse element calculation process 804 to obtain an inverse element for the input value. An output process 806 outputs the obtained inverse element. Details of each process will be described below.
[0038]
FIG. 9 is a detailed flowchart of the input process 801 in FIG. Reference numeral 901 denotes a value input step, in which N is input as the modulus value of the remainder ring for obtaining the inverse element, and A is input as the operand value for obtaining the inverse element. Here, A is an odd number and N is an even number. Reference numeral 902 denotes an input value verification step that verifies whether the operand value input in the value input step is a value smaller than the modulus N. Reference numeral 903 denotes an input value correction step. Only when it is determined in the input value verification step 902 that the input value A is equal to or larger than the modulus value N, the operand value is corrected to be less than N by performing a remainder operation. In this embodiment, the value input as the operand value is limited to an odd number. However, if an arbitrary value is input as the operand value and the value is an even number, an error is output in the output process. May be performed.
[0039]
FIG. 10 is a detailed flowchart of the legal division processing 802 in FIG. A division value initial setting step 1001 initializes the value of the variable t to 0 and the value of the variable M to N. Reference numeral 1002 denotes a division value update step in which the value of t is incremented by 1 and the value of M is shifted to the right by 1 bit. Shifting 1 bit to the right is the same as dividing by 2. Here, the input value N is always an even number. Accordingly, the value M in the initial state is always an even number, and when the divided value update step of 1002 is first passed, it is always possible to shift M by 1 bit to the right, that is, to divide by 2. Reference numeral 1003 denotes a division value update end determination step for determining the least significant bit of M. When the least significant bit of M is 0, the process returns to the division value update step again. The division value update step 1002 and the division value update end determination step 1003 calculate the modulus N of the remainder ring for obtaining the inverse element as N = M × 2 ^t A process of dividing into M and t is performed. In this embodiment, a new variable is used for the division value. However, since N is not used in the subsequent processing, N is used instead of M, and the value of N is updated in the division value update step 1002. The least significant bit of N may be determined in the division value update end determination step 1003.
[0040]
FIG. 11 is a detailed flowchart of the first inverse element calculation processing 803 in FIG. Reference numeral 1101 denotes a first operand value correction step, in which M is used among the division values obtained in the normal division processing 802, and the value of A mod M is set to C. Reference numeral 1102 denotes a first partial inverse element calculation step, which calculates an inverse element of C on the remainder ring modulo M. Since M is an odd number, the conventional extended binary Euclidean algorithm can be used. However, since the remainder set modulo M is not a field but a ring, there may be no inverse element. Therefore, when there is no inverse element, X1 is set to 0, and when there is an inverse element, X1 is set to its value (C ^(-1) mod M). In this embodiment, the conventional extended binary Euclidean algorithm is used as the inverse element calculation method in the first partial inverse element calculation step 1102, but other conventional techniques may be used. In this embodiment, a new variable is used for the correction value of the operand value. However, A is not used in the subsequent processing except for the lower t bits. Therefore, if the lower t bits are retained, the inverse operation may be performed using A instead of C.
[0041]
FIG. 12 is a detailed flowchart of the second inverse element calculation processing 804 in FIG. 1201 is a division value determination step, in which it is confirmed whether or not the value of t among the division values obtained in the normal division processing 802 is 8 or less. This is because when the number is 8 or less, the subsequent processing is a 1-byte value operation. Reference numeral 1202 denotes a second operand value correction step, in which the lower t bits of A are set to B. Reference numeral 1203 denotes a second partial inverse element calculation step. When the value of t is 8 or less in the divided value determination step 1201, the conventional partial Euclidean mutual division method is used. ^t The inverse element of B on the remainder ring modulo is calculated and set to X2. Reference numeral 1204 denotes an inoperable value setting step. When the value of t is larger than 8 in the divided value determination step 1201, 0 is set to X2. In this embodiment, the determination condition of the division value determination step is determined by setting the single precision to an 8-bit value. However, the determination condition value is set to a value other than 8 (16, 32, etc.) in accordance with the accuracy of the computer to be used. May be. Further, when the computer to be used is capable of high-speed and multi-precision arithmetic processing, the divided value determination step 1201 and the inoperable value setting step 1204 are not performed, and the second operand value correction step 1202 and the second partial inverse are always performed. The original calculation step 1203 may be executed. In addition, as the inverse element calculation method in the second partial inverse element calculation step 1203, the conventional extended Euclidean algorithm is used, but other conventional techniques may be used.
[0042]
FIG. 13 is a detailed flowchart of the synthesis operation processing 805 in FIG. Reference numeral 1301 denotes a synthesis determination step. When the value of X1 and the value of X2 are other than 0, the next step is executed. A Chinese remainder theorem calculation step 1302 applies the value obtained in the above processing to the Chinese remainder theorem to compute the inverse element to be obtained. For example, the Chinese remainder theorem is described in the document “Introduction to Cryptographic Processing” (Eiji Okamoto, Kyoritsu Shuppan, 1993) p. 10 is described in detail. Specifically, 2 ^t The inverse element of M on the remainder ring modulo is Y1, and 2 for X2-X1 ^t Let Y2 be the remainder of 2 ^t X1 is added to the product of M and the value of Y1 × Y2 on the remainder ring modulo N to obtain the inverse element X on the remainder ring modulo N of the input value A.
[0043]
FIG. 14 is a detailed flowchart of the output process 806 in FIG. Reference numeral 1401 denotes a first error determination step for determining whether X1 is 0 or not. Reference numeral 1402 denotes a first error output step. When X1 is determined to be 0 in the first error determination step 1401, an error indicating that the inverse element to be obtained does not exist is output. Reference numeral 1403 denotes a second error determination step. When it is determined in the first error determination step 1401 that X1 is not 0, it is determined whether X2 is 0 or not. Reference numeral 1404 denotes a second error output step. When X2 is determined to be 0 in the second error determination step 1403, 2 ^t An error indicating that the operation cannot be performed because the value of exceeds the single precision is output. Reference numeral 1405 denotes an inverse element output step. When it is determined in the second error output step that X2 is not 0, it is output as an inverse element for obtaining the value of X calculated in the synthesis operation processing 805.
[0044]
FIG. 15 is an overall configuration diagram of the inverse element calculation apparatus according to the present invention. Reference numeral 1501 denotes an input unit for inputting the operand value A and the modulus value N of the remainder ring according to the algorithm shown in FIG. The operand value A is transmitted to a first inverse element calculation unit and a second inverse element calculation unit described later. The modulus value N is transmitted to the legal division unit described later. Reference numeral 1502 denotes a modulo division unit, and modulo N is changed to N = M × 2 according to the algorithm of FIG. ^t Divide into M and t satisfying (M is an odd number). The value M is transmitted to a first inverse element calculation unit described later. The value t is transmitted to a second inverse element calculation unit described later.
[0045]
Reference numeral 1503 denotes a first inverse element calculation unit, and X1 = A according to the algorithm of FIG. ^(-1) Find X1 that satisfies mod M. The value X1 is transmitted to a composition calculation unit described later. Reference numeral 1504 denotes a second inverse element calculation unit, and X2 = A according to the algorithm of FIG. ^(-1) mod 2 ^t X2 that satisfies the above is obtained. The value X2 is transmitted to a composition calculation unit described later.
[0046]
Reference numeral 1505 denotes a compositing operation unit, which obtains the inverse element value X of A on the remainder ring whose modulus value is N according to the algorithm of FIG. The value X is transmitted to the output unit described later. 1506 outputs the value X obtained by the output unit.
[0047]
In this embodiment, the portion related to error processing is omitted, but error determination by the algorithm of FIGS. 9 to 13 is performed by the input unit 1501, the first inverse element calculation unit 1503, the second inverse element calculation unit 1504, and the combination calculation unit. The processing may be performed at 1505 and the result may be transmitted to the output unit 1506 as error information. The output unit 1506 may output an error value in accordance with the transmitted error information.
[0048]
FIG. 18 is a table showing the number of variables used in the inverse element calculation method according to the present invention together with the conventional method. A multi-precision variable is a variable that takes a large area, such as 256-bit width, and a single-precision variable is a variable that takes a small area, such as 8-bit width. In the method according to the present invention, the number of variables when the extended binary Euclidean algorithm is used in the first inverse arithmetic processing and the extended Euclidean algorithm is used in the second arithmetic processing is shown. In the method according to the present invention, synthesis is finally performed using the Chinese remainder theorem, but the variables used at that time may be reused in the first inverse element calculation process. Accordingly, what is required as a whole is multi-precision variables (four) in the extended binary Euclidean algorithm and single-precision variables (seven) in the extended Euclidean algorithm.
[0049]
(Embodiment 2)
FIG. 16 is a flowchart showing the flow of the RSA key pair generation method in the present invention. Reference numeral 1601 denotes a prime number acquisition process in which different prime numbers p and q are acquired using the conventional technique. Reference numeral 1602 denotes a modulo arithmetic process, which uses the prime number obtained in the prime number acquisition process 1601 to obtain the product of (p−1) and (q−1) and set it as the modulus value N. In this embodiment, the product of (p-1) and (q-1) is the value of modulus N, but the least common multiple of (p-1) and (q-1) is also assumed to be modulus N and value. good.
[0050]
Reference numeral 1603 denotes a public key acquisition process that acquires an odd random number having a small number of bits (about 8 bits) using a conventional technique and sets it as a value e. In this embodiment, an odd random number is acquired as the value e, but an odd value may be input.
[0051]
Reference numeral 1604 denotes an inverse element calculation process, which uses Embodiment 1 to obtain an inverse element on a remainder ring modulo an even number.
[0052]
Reference numeral 1605 denotes a repetitive control process. When the result of the inverse element calculation process 1604 is an error, the public key acquisition process 1603 and the inverse element calculation process 1604 are performed again. When the result of the inverse element calculation process 1604 is normal, the process proceeds to the next process. In this embodiment, when the result of the inverse element calculation process is an error, the public key acquisition process is performed. However, instead of the public key acquisition process, a prime number acquisition process and a legal calculation process may be performed. good.
[0053]
Reference numeral 1606 denotes a key pair output process, which calculates and outputs values of the RSA public key and the RSA private key based on the results obtained in the processes so far.
[0054]
FIG. 17 is an overall configuration diagram of an RSA key pair generation device according to the present invention. Reference numeral 1701 denotes a prime number acquisition unit that acquires different prime numbers p and q using a conventional technique. The prime numbers p and q are transmitted to a later-described modulus calculation unit and key pair output unit. Reference numeral 1702 denotes a modulo unit, and the product of (p−1) and (q−1) is the value of modulo N. The modulus N is transmitted to the inverse element calculation unit described later. In this embodiment, the value of modulus N is the product of (p−1) and (q−1), but it may be the least common multiple of these two values.
[0055]
A public key obtaining unit 1703 obtains an odd random number having a small number of bits (about 8 bits) using a conventional technique and sets it as a value e. The value e is transmitted to an inverse element calculation unit and a key pair output unit described later. In this embodiment, an odd random number is acquired as the value e. However, a public key input unit that inputs an odd value may be used.
[0056]
Reference numeral 1704 denotes an inverse element calculation unit, which is an inverse element d = e on the remainder ring modulo an even number. ^(-1) Find modN. The details of the inverse element calculation unit are the same as those described in the first embodiment, and FIG. 15 is a configuration diagram thereof.
[0057]
1705 is a repetitive control unit, which receives the result of the inverse operation unit, and when the inverse operation unit performs normal output, operates the key pair output unit described later, and when the inverse operation unit performs error output, The public key acquisition unit and the inverse element calculation unit are operated again. In this embodiment, when the inverse element calculation unit outputs an error, the public key acquisition unit and the inverse element calculation unit are operated again, but the prime number acquisition unit, the modulus calculation unit, and the inverse element calculation unit are It may be configured to operate again. Further, when the inverse operation unit outputs an error, control may be performed so that an error is output in a key pair output unit described later.
[0058]
1706 is a key pair output unit which outputs (e, p × q) as the RSA public key value and (d, p, q) as the RSA private key value when the inverse operation unit performs normal output. .
[0059]
(Embodiment 3)
FIG. 19 shows an example of a message transmission / reception system incorporating the RSA key generation apparatus according to the present invention. (A) is a case where an RSA signature is added to a message. Reference numeral 1901 denotes a message transmission device which transmits a message to the message reception device. This device also incorporates a mechanism for performing RSA signatures. Reference numeral 1902 denotes a message reception device that receives a message from the message transmission device. This device also incorporates a mechanism for performing RSA signature verification. Reference numeral 1903 denotes an RSA signature device incorporated in the message transmission device, which generates an RSA signature from the message. At that time, an RSA private key is required. Reference numeral 1904 denotes an RSA verification apparatus that verifies the RSA signature. At that time, the RSA public key of the message transmitting apparatus is required. Reference numeral 1905 denotes an RSA key generation apparatus according to the present invention, which generates an RSA public key / private key pair, and provides an RSA private key to an RSA signature apparatus and an RSA public key to an RSA verification apparatus.
[0060]
With this configuration, the message transmission device performs RSA key generation, performs an RSA signature on the message, and transmits the signature and the RSA public key to the message reception device. The message device restores the message by performing RSA signature verification from the received information, and can authenticate the message transmitted with the sender.
[0061]
(B) is a case where the message is RSA encrypted. Reference numeral 1906 denotes a message transmission device, which RSA encrypts the message and transmits it to the message reception device. Reference numeral 1907 denotes a message receiving device which receives an encrypted message from the message transmitting device and decrypts it. Reference numeral 1908 denotes an RSA encryption device incorporated in the message transmission device, which RSA encrypts the message. At that time, the RSA public key of the message receiving apparatus is required. Reference numeral 1909 denotes an RSA decrypting device for RSA decrypting an encrypted message. At that time, an RSA private key is required. Reference numeral 1910 denotes an RSA key generation apparatus according to the present invention, which generates an RSA public key / private key pair, and provides an RSA public key to an RSA encryption apparatus and an RSA private key to an RSA decryption apparatus.
[0062]
With this configuration, the message transmitting apparatus encrypts the message using the received RSA public key, and transmits the encrypted message to the message receiving apparatus. The message device performs RSA key generation, passes the RSA public key to the message transmission device, and can perform confidential communication by decrypting the received encrypted message.
[0063]
【The invention's effect】
As described above, according to the present invention, as shown in FIGS. 11 to 13, the inverse operation is performed using the extended binary Euclidean algorithm when the modulus is odd, the single-precision extended Euclidean algorithm, the Chinese This can be done only with the remainder theorem. Further, as shown in FIG. 15, the inverse element arithmetic unit can be configured to include means for performing the above three arithmetic operations. Therefore, the number of variables compared with the conventional method is as shown in the table shown in FIG. 18, and the inverse element arithmetic unit with a reduced memory amount is obtained only by control suitable for hardware.
[0064]
As shown in FIGS. 16 and 17, the RSA key generation method using the inverse element calculation method can be used, and the RSA key generation apparatus configured by the inverse element calculation device can be used. Therefore, an RSA key generation device with a reduced memory amount only by control suitable for hardware is obtained.
[Brief description of the drawings]
FIG. 1 is a flowchart of inverse element calculation processing by a conventional Euclidean algorithm.
FIG. 2 is a detailed flowchart of Euclidean algorithm calculation processing of a conventional Euclidean algorithm.
FIG. 3 is an overall flowchart of inverse element calculation processing by a conventional reamer method.
FIG. 4 is a detailed flowchart of reaming calculation processing of a conventional reaming method.
FIG. 5 is an overall flowchart of inverse element calculation processing by a conventional binary Euclidean algorithm.
FIG. 6 is a detailed flowchart of binary Euclidean algorithm calculation processing of a conventional binary Euclidean algorithm.
FIG. 7 is a detailed flowchart of arithmetic processing when the value of the modulus input by the conventional binary Euclidean algorithm is an even number;
FIG. 8 is an overall flowchart of inverse element calculation processing according to Embodiment 1 of the present invention;
FIG. 9 is a detailed flowchart of input processing according to the first embodiment of the present invention.
FIG. 10 is a detailed flowchart of legal division processing according to Embodiment 1 of the present invention;
FIG. 11 is a detailed flowchart of first inverse element calculation processing according to Embodiment 1 of the present invention;
FIG. 12 is a detailed flowchart of second inverse element calculation processing according to Embodiment 1 of the present invention;
FIG. 13 is a detailed flowchart of a synthesis calculation process according to the first embodiment of the present invention.
FIG. 14 is a detailed flowchart of output processing according to the first embodiment of the present invention.
FIG. 15 is an overall configuration diagram of an inverse element computing device according to Embodiment 1 of the present invention;
FIG. 16 is an overall flowchart of RSA key pair generation processing according to Embodiment 2 of the present invention;
FIG. 17 is an overall configuration diagram of an RSA key pair generation device according to Embodiment 2 of the present invention;
FIG. 18 is a comparison diagram showing the number of variables used in the first embodiment of the present invention and the conventional method.
FIG. 19 is an overall configuration diagram of a message transmission / reception system according to a third embodiment of the present invention.
[Explanation of symbols]
1501 Input section
1502 Legal division
1503 First inverse operation unit
1504 Second inverse element calculation unit
1505 Compositing operation unit
1506 Output unit
1701 Prime number acquisition unit
1702 Legal operation part
1703 Public key acquisition unit
1704 Inverse operation unit
1705 Repeat control unit
1706 Key pair output unit
1901 Message sending device
1902 message receiver
1903 RSA signature device
1904 RSA verification system
1905 RSA key generator
1906 Message sending device
1907 Message receiver
1908 RSA encryption device
1909 RSA decoder
1910 RSA key generator

Claims

An inverse element arithmetic unit for obtaining an inverse element on a remainder ring whose modulus value is an even number,
Multi-precision storage means for storing four variables having a width of 256 bits or more;
A modulus N that is an even number and an operand value A for obtaining an inverse element are received, and it is determined whether the operand value A is less than the modulus N. If the operand value A is less than N, the modulus N and the Input means for storing the operand value A in the multi-precision storage means ;
The value of the modulus N stored in the multi-precision storage means is set as the value of the variable M, the M is stored in the multi-precision storage means, and the M stored in the multi-precision storage means is the least significant bit. Normal division means for shifting t bits to the right so that becomes 1 .
Using the operand value A stored in the multi-precision storage means and the shifted M, the inverse element X1 of the operand value A on the remainder ring modulo the M is calculated, First inverse element calculation means for storing X1 in the multi-precision storage means ;
The value t is received from the normal dividing means, and the value of the lower t bits of the operand value A is set as the operand value B using the operand value A stored in the multi-precision storage means. and, a second inverse calculating means for calculating by calculating the inverse element X2 of the operand values B on the remainder ring in which the 2 ^t modulo,
The X2 calculated from the second inverse element calculation means is received, and the X1 stored in the multi-precision storage means is used to calculate the inverse element of the operand value A on the remainder ring modulo the N. An inverse operation unit comprising a composite operation means for calculating by operation.

When the first inverse element calculation means determines that the inverse element of the operand value A does not exist, the first inverse element calculation means notifies the synthesis calculation means of an error,
2. The inverse element calculation device according to claim 1, wherein the synthesis calculation unit does not perform calculation to calculate the inverse element X when an error is notified from the first inverse element calculation unit.

Said first inverse calculating means, according to claim 1, characterized in that the inverse X1 of the operand values A on residue ring modulo the M, calculates using the extended binary Euclidean algorithm Inverse element arithmetic unit.

2. The inverse element according to claim 1 , wherein the composition calculation means calculates an inverse element X of the operand value A on a remainder ring modulo the N using a Chinese remainder theorem. Arithmetic unit.

The input means, when the operand value A is greater than or equal to the modulus N, performs a remainder operation on the operand value A by the modulus N, whereby the operand value A is a positive integer less than the modulus N The inverse element calculation apparatus according to claim 1, wherein the modulus N and the corrected value A are stored in the multi-precision storage means.

An inverse element calculation method for obtaining an inverse element on a remainder ring whose modulus value is an even number,
A modulus N that is an even number and an operand value A for obtaining an inverse element are received, and it is determined whether the operand value A is less than the modulus N. If the operand value A is less than N, the modulus N and the An input step of storing the operand value A in a multi-precision storage unit that stores variables having a width of 256 bits or more ;
The value of the modulus N stored in the multi-precision storage unit is set as the value of the variable M, the M is stored in the multi-precision storage unit, and the M stored in the multi-precision storage unit is the least significant bit A normal division step that shifts t bits to the right so that becomes 1 .
Using the operand value A stored in the multi-precision storage unit and the shifted M, the inverse element X1 of the operand value A on the remainder ring modulo the M is calculated, A first inverse element calculation step of storing X1 in the multi-precision storage unit ;
The value of t calculated in the normal division step is received, and the value of the lower t bits of the operand value A is calculated from the operand value B using the operand value A stored in the multi-precision storage unit . A second inverse element calculation step for calculating the inverse element X2 of the operand B on the remainder ring modulo 2 ^t by calculation ,
The X2 calculated in the second inverse element calculation step is received, and the inverse element X of the operand value A on the remainder ring modulo the N using the X1 stored in the multi-precision storage unit inverse operation method characterized by comprising a synthesis calculation step of calculating a by calculation.

The first inverse element calculation step outputs an error when determining that there is no inverse element of the operand value A,
7. The inverse element calculation method according to claim 6 , wherein the synthesis calculation step does not perform an operation for calculating the inverse element X when an error is output from the first inverse element calculation step . 8.

Said first inverse operation step, according to claim 6, characterized in that the inverse X1 of the operand values A on residue ring modulo the M, calculates using the extended binary Euclidean algorithm Inverse element calculation method.

7. The inverse element according to claim 6 , wherein in the synthesis operation step, an inverse element X <b> 1 of the operand value A on a residue ring modulo the M is calculated using a Chinese remainder theorem. Calculation method.

In the input step, when the operand value A is equal to or greater than the modulus N, the operand value A is subjected to a remainder operation with the modulus N, whereby the operand value A is a positive integer less than the modulus N. 7. The inverse element calculation method according to claim 6, wherein the modulus N and the corrected operand value A are stored in a multi-precision storage unit that stores a variable having a width of 256 bits or more.

An inverse element calculation program for causing a computer to calculate an inverse element on a remainder ring whose modulus value is an even number,
A modulus N that is an even number and an operand value A for obtaining an inverse element are received, and it is determined whether the operand value A is less than the modulus N. If the operand value A is less than N, the modulus N and the An input step of storing the operand value A in a multi-precision storage unit that stores variables having a width of 256 bits or more ;
The value of the modulus N stored in the multi-precision storage unit is set as the value of the variable M, the M is stored in the multi-precision storage unit, and the M stored in the multi-precision storage unit is the least significant bit A normal division step that shifts t bits to the right so that becomes 1 .
Using the operand value A stored in the multi-precision storage unit and the shifted M, the inverse element X1 of the operand value A on the remainder ring modulo the M is calculated, A first inverse element calculation step of storing X1 in the multi-precision storage unit ;
The value of t calculated in the normal division step is received, and the value of the lower t bits of the operand value A is calculated from the operand value B using the operand value A stored in the multi-precision storage unit . A second inverse element calculation step for calculating the inverse element X2 of the operand B on the remainder ring modulo 2 ^t by calculation ,
The X2 calculated in the second inverse element calculation step is received, and the inverse element X of the operand value A on the remainder ring modulo the N using the X1 stored in the multi-precision storage unit An inverse element operation program comprising a composition operation step for calculating the value by calculation .

The first inverse element calculation step outputs an error when determining that there is no inverse element of the operand value A,
12. The inverse element operation program according to claim 11 , wherein the synthesis operation step does not perform an operation for calculating the inverse element X when an error is output from the first inverse element operation step .