JP4108391B2 - 秘密鍵を用いた耐タンパ暗号処理 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、暗号処理の分野に関し、特に、ＲＳＡおよび楕円曲線暗号のような公開鍵暗号のためのプロセッサにおけるＳＰＡおよびＤＰＡのような電力解析攻撃を防止する耐タンパ（tamper-proof）暗号化／復号に関する。
【０００２】
【発明の背景】
暗号方式には一般的に公開鍵暗号方式と共通鍵暗号方式が含まれる。公開鍵暗号方式は、暗号化と復号に異なる鍵（キー）を用いる。典型的には、公開鍵を用いて平文（plaintext）が暗号化され、秘密鍵を用いて暗号文（ciphertext）が復号され、それによって暗号文が安全に送信できる。または、秘密鍵を用いて平文が暗号化され、公開鍵を用いて暗号文が復号され、それによって平文を暗号化したユーザが識別される。図１は、スマートカードのような暗号デバイスにおける秘密鍵を用いた暗号化／復号の構成の例を示している。図１において、暗号デバイスは、その内部の暗号化／復号ユニットにおいて周知の形態で秘密鍵を用いて入力平文／暗号文メッセージを処理して出力暗号文／平文メッセージを供給する。
【０００３】
公開鍵暗号の１つのタイプであるＲＳＡ暗号のためのプロセッサにおいては、指数剰余演算（modular exponentiation）が行われる。指数剰余演算は、指数ｄ、平文／暗号文ａおよび公開鍵ｎに対して、ｖ＝ａ^ｄ（ｍｏｄ ｎ）を満たす暗号文／平文ｖを生成する。例えば、ＲＳＡ暗号による署名生成において、暗号文ｖ＝a^d （ｍｏｄ ｎ）が秘密鍵ｄを用いて指数剰余演算で生成される。
【０００４】
バイナリ・メソッド（２進方法）を用いた指数剰余演算は、２進値ｄについて、ＭＳＢ（最上位ビット）からＬＳＢ（最下位ビット）まで順に２乗とａの乗算を実行することによって、ｖを求める。例えば、ｄ＝２１＝２^４＋２^２＋２^０＝（１０１０１）_２についてｖを求めるとき、最初のＭＳＢ“１”に対して初期値ｖ＝１にａの乗算を実行してｖ＝ａを生成し、次のＭＳＢ“０”に対してそのｖに２乗（２で累乗）を実行してｖ＝ａ^２を生成し、次のビット“１”に対してそのｖに２乗とａの乗算を実行してｖ＝（ａ^２）^２×ａを生成し、次のＭＳＢ“０”に対してそのｖに２乗を実行してｖ＝（（ａ^２）^２×ａ）^２を生成し、ＬＳＢ“１”に対してそのｖに２乗とａの乗算を実行して、ｖ＝（（（ａ^２）^２×ａ）^２）^２×ａ＝ａ^{（２∧４）＋（２∧２）＋（２∧０）}を生成する。ここで、２^∧ｋ＝２^ｋである。
【０００５】
公開鍵暗号の別のタイプである楕円曲線暗号のためのプロセッサにおいては、スカラー倍算が行われる。点のスカラー倍算は、スカラー値ｄ、および楕円曲線上の点Ａに対して、Ｖ＝ｄＡを満たす点Ｒを求める。例えば、楕円曲線暗号におけるDiffe-Hellman（ディッフィー・ヘルマン）鍵配送において、Ｖ＝ｄＡで表される点Ｒが秘密鍵ｄを用いてスカラー倍算で生成される。
【０００６】
ＲＳＡ暗号における乗算剰余ｃ＝ａ×ｂ（ｍｏｄ ｎ）、２乗剰余ｃ＝ａ^２および指数剰余ｃ＝ａ^ｘ（ｍｏｄ ｎ）は、楕円曲線暗号における点の加算Ｃ＝Ａ＋Ｂ、点の２倍算Ｃ＝２Ａおよび点のスカラー倍算Ｃ＝ｘＡにそれぞれ対応する。
【０００７】
バイナリ・メソッドを用いた点のスカラー倍算は、２進値ｄについて、ＭＳＢからＬＳＢまで順に点の２倍算と点の加算を実行することによって、Ｖを求める。例えばｄ＝２１＝２^４＋２^２＋２^０＝（１０１０１）_２についてＶを求めるとき、最初のＭＳＢ“１”に対して初期値Ｖ＝Ｏ（無限遠点）にＡの加算を実行してＶ＝Ａを生成し、次のビット“０”に対してそのＶに２倍算を実行してＶ＝Ａ×２を生成し、次のビット“１”に対してそのＶに２倍算とＡの加算を実行してＶ＝（Ａ×２）×２＋Ａを生成し、次のビット“０”に対してそのＶに２倍算を実行してＶ＝（（Ａ×２）×２＋Ａ）×２を生成し、ＬＳＢ“１”に対してそのＶに２倍算とＡの加算を実行して、Ｖ＝（（（Ａ×２）×２＋Ａ）×２）×２＋Ａ＝（２^４＋２^２＋２^０）Ａを生成する。
【０００８】
効率的な指数剰余演算のためのウィンドウ法（window method）が知られている。ウィンドウ法は、Alfred J. Menezes他の“HANDBOOK OF APPLIED CRYPTOGRAPHY”（CRC press）, pp. 615, Algorithm 14.82に記載されている。
【０００９】
図２は、ウィンドウ法を用いてｖ＝ａ^ｄ（ｍｏｄ ｎ）を求めるための指数剰余演算のアルゴリズムを示している。ここで、指数ｄは２進表現でｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２と表記される。そのアルゴリズムはＣ言語で記述されている。
【００１０】
ウィンドウ法は、ＲＳＡ暗号以外に、楕円曲線暗号における点のスカラー倍算にも用いられる。図３は、ウィンドウ法を用いた点のスカラー倍算Ｖ＝ｄＡのアルゴリズムを示している。
【００１１】
図２のアルゴリズムを説明する。図４は、図２のアルゴリズムによる演算の手順を説明するのに役立つ。まず、０＜ｘ＜２^ｋである全ての整数ｘに対して、ｗ［ｘ］＝ａ^ｘ（ｍｏｄ ｎ）を満たす値ｗのテーブルｗを作成する。テーブルｗの作成後、ｕビットの値ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２（ここで、ｄ_ｕ−１，．．．ｄ_０は１ビット値）をｋビット・シーケンスまたはストリングに分割し、ｍ個のｋビット・シーケンスｂ_ｉ＝（ｄ_{ｉｋ＋ｋ−１}，ｄ_{ｉｋ＋ｋ−２}，．．．ｄ_ｉｋ）_２（ここで、ｄ_{ｉｋ＋ｋ−１}，．．．ｄ_ｉｋは１ビット値、ｉ＝０，１，２，．．．）を生成する。ここで、ｍ＝ｃｅｉｌｉｎｇ（ｕ／ｋ）であり、関数ｃｅｉｌｉｎｇ（ｘ）は変数ｘ以上の最小の整数を表す。この各ｂ_ｉに対する値ｗ［ｂ_ｉ］（＝ａ^ｂｉ）をテーブルｗでルックアップすることによる乗算ｖ＝ｖ×ｗ［ｂ_ｉ］と、ｖ＝ｖ^２∧ｋ（mod n）で表される２^ｋ乗すなわち累乗とを、上位シーケンスｂ_ｍ−１から下位シーケンスｂ_０へ順に実行することによって、ｖ＝ａ^d（mod n）を求める。
【００１２】
図３のアルゴリズムを説明する。まず、０＜ｘ＜２^ｋの全ての整数ｘに対して、Ｗ［ｘ］＝ｘＡを満たす値ＷのテーブルＷを作成する。テーブルＷの作成後、ｕビットの値ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２を分割してｍ個のｋビット・シーケンスｂ_ｉ＝（ｄ_{ｉｋ＋ｋ−１}，．．．ｄ_ｉｋ）_２（ｉ＝０，１，２，．．．）を生成する。ここで、ｍ＝ｃｅｉｌｉｎｇ（ｕ／ｋ）。そのｂ_ｉに対する値Ｗ［ｂ_ｉ］（＝ｂ_ｉＡ）をテーブルＷでルックアップすることによる加算Ｖ＝Ｖ＋Ｗ［ｂ_ｉ］と、Ｖ＝２^ｋＶで表される２^ｋ倍算とを、上位シーケンスｂ_ｍ−１から下位シーケンスｂ_０へ順に実行することによって、Ｖ＝ｄＡを求める。
【００１３】
以下、ウィンドウ法においてテーブル・ルックアップのインデックスとなるビット・シーケンスｂ_ｉをウィンドウまたはウィンドウ・シーケンスといい、指数剰余演算と点のスカラー倍算の双方を公開鍵演算という。
【００１４】
暗号解読（分析）またはタンパ（tamper）は、暗号文のような入手可能な情報から秘密鍵を含めた秘密情報を推定する。暗号解読の１つである電力解析攻撃が、１９９８年にPaul Ｋocher（ポール コーチャ）によって考案された。この電力解析攻撃は、スマートカードのような暗号デバイスに含まれる暗号プロセッサに相異なる入力データを与え、例えば図１に示されているようにオシロスコープ等を用いてその処理中における時間に対する消費電力の変化を測定し、統計的に充分な数の消費電力変化の曲線を収集しそれを解析し、それによって暗号プロセッサ内部の鍵情報を推定する。これは、前述の公開鍵暗号と共通鍵暗号の双方に適用できる。
【００１５】
電力解析攻撃には、単純電力解析（以下、ＳＰＡという）（Simple Power Analysis）および電力差分攻撃（以下、ＤＰＡという）（Differential Power Analysis）が含まれる。ＳＰＡは暗号プロセッサにおける１つの消費電力変化曲線の特徴から秘密鍵の推定を行う。ＤＰＡは相異なる多数の消費電力変化曲線の差分（以下、電力差分曲線という）を用いて解析することによって秘密鍵の推定を行う。一般的にはＤＰＡの方が強力である。
【００１６】
例えばＤＥＳ（Data Encryption Standard）およびＡＥＳ（Advanced Encryption Standard）等の共通鍵暗号に対するＳＰＡおよびＤＰＡが、Paul Ｋocher, Joshua Jaffe, and Benjamin Jun，“Differential Power Analysis”in proceedings of Advances in Cryptology-CRYPTO’９９，Lecture Notes in Computer Science, vol. １６６６, Springer-Verlag, １９９９, pp．３８８−３９７に記載されている。
【００１７】
例えばＲＳＡ暗号および楕円曲線暗号等の公開鍵暗号に対するＳＰＡおよびＤＰＡが、例えば、Thomas S. Messerges, Ezzy A. Dabbish and Robert H. Sloan“Power Analysis Attacks of Modular Exponentiation in Smartcards”Cryptographic Hardware and Embedded Systems （CHES’９９），Lecture Notes in Computer Science Vol. １７１７，Springer-Verlag，pp．１４４−１５７（以下、Messerges９９という）、およびJean-Sebastein Coron“Resistance against Differential Power Analysis for Elliptic Curve Crytosystems”Cryptographic Hardware and Embedded Systems（CHES’９９），Lecture Notes in Computer Science Vol．１７１７，Springer-Verlag，pp．２９２−３０２，１９９９（以下、Coron９９という）に記載されている。
【００１８】
図２および図３に示すウィンドウ法を用いた暗号プロセッサにおいて、前述のMesserges９９およびCoron９９に記載されているＤＰＡによって、秘密鍵ｄが推定される。
【００１９】
ＤＰＡを用いて、ウィンドウ法を用いた暗号プロセッサ内の秘密鍵ｄを推定する方法を、図５Ａ〜５Ｃを参照して説明する。図５Ａは時間に対する消費電力の曲線を示している。図５Ｂは、スパイクを有する、時間に対する電力差分曲線を示している。図５Ｃは、平坦な、時間に対する電力差分曲線を示している。
【００２０】
例えば、ｋ＝２および６ビット鍵ｄ＝（ｄ_５ｄ_４ｄ_３ｄ_２ｄ_１ｄ_０）_２の場合、ウンドウb_２ ＝（ｄ_５ｄ_４）_２， b_１＝（ｄ_３ｄ_２）_２および b_０＝（ｄ_１ｄ_０）_２が生成される。図２の計算による指数剰余演算は、次のステップＳ１〜Ｓ５を実行してｖ＝ａ^ｄ （ｍｏｄｎ）を生成する。
【００２１】
【数１】

【００２２】
暗号プロセッサ部で上記のステップＳ１〜Ｓ５が行われていることを攻撃者が知っているとき、次のステップＳ１１〜Ｓ１４に従ったＤＰＡによって、ｂ_２，ｂ_２およびｂ_１の値を、従ってｄの値を推定できる。
【００２３】
Ｓ１１） 暗号プロセッサにＮ個のａ_ｉ（ｉ＝１，２，．．．Ｎ）を供給し、演算ａ_ｉ ^ｄ（ｍｏｄ ｎ）を実行させる。その実行中、全てのｉについて、プロセッサの消費電力量Ｐ（ａ_ｉ，ｔｉｍｅ）を測定し、図５Ａに例示された時間に対する消費電力の曲線を得る。
【００２４】
Ｓ１２） ２ビット値ｂ_２＝ｂ_２’であると仮定する。ｂ_２＝ｂ_２’が正しいと判定されてｂ_２の推定に成功するまで、次のステップＳ１２１およびＳ１２２を繰り返す。
【００２５】
Ｓ１２１） ステップＳ１の中間データｖに対して、仮定したｂ_２’に従ってＰ（ａ_ｉ，ｔｉｍｅ）（ｉ＝１，２，．．．Ｎ）を次の２つの集合Ｇ_１およびＧ_０に分ける。
【数２】

【００２６】
Ｓ１２２） Ｇ_１およびＧ_０から、Δ＝（Ｇ_１の平均電力）−（Ｇ_０の平均電力） で表される電力差分曲線Δを作成する。その曲線が図５Ｂのようなスパイクを有するとき、仮定ｂ_２＝ｂ_２’が正しいと判定する。その曲線が図５Ｃのような比較的平坦なときｂ_２≠ｂ_２’と判定する。
【００２７】
Ｓ１３） 次の２ビット値ｂ_１＝ｂ_１’であると仮定する。ｂ_１＝ｂ_１’が正しいと判定されてｂ_１の推定に成功するまで、次のステップＳ１３１およびＳ１３２を繰り返す。
【００２８】
Ｓ１３１） ステップＳ３の中間データｖに対して、確定したｂ_２と仮定したｂ_１’とに従ってＰ（ａ_ｉ，ｔｉｍｅ）（ｉ＝１，２，．．．Ｎ）を次の２つの集合Ｇ_１およびＧ_０に分ける。
【数３】

【００２９】
Ｓ１３２） Ｇ_１およびＧ_０から、Δ＝（Ｇ_１の平均電力）−（Ｇ_０の平均電力） で表される電力差分曲線Δを作成する。その曲線が図５Ｂのようなスパイクを有するとき、仮定ｂ_１＝ｂ_１’が正しいと判定する。その曲線が図５Ｃのような比較的平坦なときｂ_１≠ｂ_１’と判定する。
【００３０】
Ｓ１４） 次の２ビット値ｂ_０＝ｂ_０’であると仮定する。ｂ_０＝ｂ_０’が正しいと判定されてｂ_０の推定に成功するまで、次のステップＳ１４１およびＳ１４２を繰り返す。
【００３１】
Ｓ１４１） ステップＳ５の中間データｖに対して、確定したｂ_２およびｂ_１と仮定したｂ_０’とからＰ（ａ_ｉ，ｔｉｍｅ）（ｉ＝１，２，．．．Ｎ）を次の２つの集合Ｇ_１およびＧ_０に分ける。
【数４】

【００３２】
Ｓ１３２） Ｇ_１およびＧ_０から、Δ＝（Ｇ_１の平均電力）−（Ｇ_０の平均電力） で表される電力差分曲線Δを作成する。その曲線が図５Ｂのようなスパイクを有するとき、仮定ｂ_０＝ｂ_０’が正しいと判定する。その曲線が図５Ｃのような比較的平坦なときｂ_０≠ｂ_０’と判定する。
【００３３】
同様の方法が、図３のウィンドウ法による暗号プロセッサに対しても適用できる。図２および３に示されているようなウィンドウ法による暗号処理は、一般的にＳＰＡによる秘密鍵の推定に対して安全であることが知られている。
【００３４】
秘密鍵に対するＳＰＡおよびＤＰＡを防止するために、乱数を用いて指数剰余演算および点のスカラー倍算を行うことが知られている。それによって、攻撃者がプロセッサ内の手順を知っていても、プロセッサ内で発生した乱数により中間データが隠蔽されるので、秘密鍵に対するＤＰＡを防止することができる。乱数を用いることによって、ウィンドウ法以外の方法による暗号処理においても、秘密鍵に対するＳＰＡを防止することができることが知られている。
【００３５】
乱数を用いた耐ＤＰＡ公開鍵演算には、次の（１）〜（５）の方法が知られている。ここで、φは、ＲＳＡ暗号ではｎ＝ｐ×ｑ（ｐおよびｑ＝素数）に対してφ＝ｌｃｍ（ｐ−１，ｑ−１）によって与えられ、楕円曲線暗号ではベースポイントの位数によって与えられる。但し、このφの値は、暗号プロセッサのインタフェースによって与えられるとは限らず、プロセッサ内で計算できるとも限らないので、φを必要とする方法は制約を受ける。例えば、ＲＳＡ暗号プロセッサに対しｎのみが与えられ、ｐおよびｑが与えられないときは、nからφ＝ｌｃｍ（ｐ−１，ｑ−１）を得るためには、１０２４ビット程度のｎの素因数分解という、事実上実行不可能な計算を行う必要があるので、φの値を用いた方法を利用することはできない。
【００３６】
（１） ＲＳＡと楕円曲線暗号の双方について、ｄに対して公開鍵演算を行う代わりに、乱数ｒおよびφから計算したｄ＋ｒφに対して公開鍵演算を行う方法。
【００３７】
（２） 楕円曲線暗号について、ｄＡを計算する前処理として、乱数ｒを用いて２次元座標の点Ａを３次元座標の点Ａ’に変換する方法。例えば、Jacobian座標を用いて３次元座標への変換を行うとき、Ａ＝（ｘ，ｙ）に対して、乱数ｒを用いてＡ’＝（ｘ×ｒ^２，ｙ×ｒ^３，ｚ×ｒ）に従って変換する。
【００３８】
（３） ＲＳＡと楕円曲線暗号の双方について、乱数を用いてｄ＝ｄ_１＋ｄ_２＋．．．＋ｄ_Ｍを満たすｄ_ｉ（１≦ｉ≦Ｍ）を生成した後、それぞれのｄ_ｉに対して、
【数５】

またはＶ_ｉ＝ｄ_ｉＡを計算し、ｖ＝ｖ_１×ｖ_２×．．．×ｖ_Ｍ（ｍｏｄ ｎ）またはＶ＝Ｖ_１＋Ｖ_２＋．．．＋Ｖ_Mを生成する方法。
【００３９】
（４） ＲＳＡと楕円曲線暗号の双方について、ｄ＝ｄ_１×ｄ_２ （ｍｏｄ φ）を満たす乱数ｄ_１およびｄ_２を生成した後、
【数６】

またはＶ＝d_２（ｄ_１Ａ）を生成する方法。
【００４０】
（５） ＲＳＡ暗号について、ａおよび乱数ｒからａ’＝ａ×ｒ（ｍｏｄ ｎ），ｖ’＝ａ’^ｄ（ｍｏｄ ｎ）を計算した後、ｖ＝（ｖ’）ｒ^−ｄ（ｍｏｄ ｎ）＝ａ^ｄ（ｍｏｄ ｎ）を生成する方法。
【００４１】
表１は方法（１）〜（５）の比較を示している。
【表１】

【００４２】
耐ＤＰＡ演算には次のような文献がある。
方法（１）：
− Messerges９９
− Coron９９
− 国際公開番号ＷＯ００/５９１５７（Jean-Sebastein Coron）
【００４３】
方法（２）：
− Coron９９
− Marc Joye and Christophe Tymen “Protections against differential analysis for elliptic curve cryptography -An algebraic approach-”， Cryptographic Hardware and Embedded Systems（CHES’２００１）（以下、Joye２００１という）
− ＰＣＴ国際公開第ＷＯ００／５９１５６号（Jean-Sebastein Coron）
− 欧州特許公開第ＥＰ１０１４６１７号Ａ２（Kurumatani, Hiroyuki）
− ＰＣＴ国際公開第ＷＯ０１２４４３９号（Miyazaki Kunihiko）
【００４４】
方法（３）：
− ＰＣＴ国際公開第ＷＯ９９／３５８７２号（Paul Kocher）
− ＰＣＴ国際公開第ＷＯ０１／３１４３６号（Louis Goubin）
− 欧州特許公開第ＥＰ１０９８４７１号Ａ２（Singer Ari）
【００４５】
方法（４）：
− ＰＣＴ国際公開第ＷＯ９９／３５８７２号（Paul Kocher）
− 米国特許第２００１／０００２４８６号Ａ１（Paul Kocher）
【００４６】
方法（５）：
− Messerges９９
【００４７】
表１に示されているように、方法（３）は、ＲＳＡと楕円曲線暗号の双方に適用可能であり、φが与えられないときにも適用可能なので、最も汎用性が高いと考えられる。方法（３）は、Ｍ＝２とした方法が最も高速の処理を行う。ここで、Ｍ＝２における方法（３）は、最も優れた通常の方法であり、“分割指数法”と呼ぶ。図６は、分割指数法を用いたｖ＝ａ^ｄ（ｍｏｄ ｎ）を求めるためのアルゴリズムを示している。
【００４８】
上述のように、図２および図３のウィンドウ法は、ＳＰＡには強いがＤＰＡには弱いという欠点がある。分割指数法は、ＳＰＡおよびＤＰＡに強いが、ｖ＝ａ^ｄ（ｍｏｄ ｎ）を求めるために、図６に示されているように、
【数７】

という２回の指数剰余演算を実行する必要があるので、処理速度が遅いという欠点がある。
【００４９】
本発明の１つの目的は、秘密鍵の推定を困難にし、暗号処理の安全性を高めることである。
【００５０】
本発明のさらに別の目的は、効率的な耐タンパ性の指数剰余演算および点のスカラー倍算を実現することである。
【００５１】
【発明の概要】
本発明の特徴によれば、秘密鍵を用いて公開鍵暗号処理を行う暗号装置は、乱数に従って、その公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出する手段を具えている。そのｍ個のウィンドウ・シーケンスのビット総数はそのｕビット・シーケンスのビット数ｕより多い。各ウィンドウ・シーケンスのビット数はｕ以下である。そのｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、そのｕビット・シーケンスにおける同じビット位置に対応付けられる。暗号装置は、さらに、その導出されたｍ個のウィンドウ・シーケンスとその公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成する演算手段を具えている。その公開鍵暗号処理は指数剰余演算であり、その別の値をａとし、ｎを正の整数としたとき、その処理済みデータｖはｖ＝ａ ^ｄ （ｍｏｄ ｎ）で与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、乗算と２乗算とを実行する。代替構成として、その公開鍵暗号処理は点のスカラー倍算であり、その処理済みデータはベクトルＶであり、その値ｄはスカラーであり、その別の値はベクトルＡであり、その処理済みデータＶはＶ＝ｄＡで与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、加算、減算および２倍算とを実行するものである。
【００５２】
その一方のウィンドウ・シーケンスにおける整数ｈ個のＬＳＢ位置とその他方のウィンドウ・シーケンスにおけるｈ個のＭＳＢ位置とが、そのｕビット・シーケンスにおけるｈ個のビット位置に対応付けられる。
【００５３】
本発明の別の特徴によれば、情報処理装置において使用するための、秘密鍵を用いて公開鍵暗号処理を行うプログラム（これは記憶媒体に格納されていてもよい）は、乱数に従って、その公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップと；その導出されたｍ個のウィンドウ・シーケンスとその公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成するステップと、を実行させるよう動作可能である。その公開鍵暗号処理は指数剰余演算であり、その別の値をａとし、ｎを正の整数としたとき、その処理済みデータｖはｖ＝ａ ^ｄ （ｍｏｄ ｎ）で与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、乗算と２乗算とを実行する。代替構成として、その公開鍵暗号処理は点のスカラー倍算であり、その処理済みデータはベクトルＶであり、その値ｄはスカラーであり、その別の値はベクトルＡであり、その処理済みデータＶはＶ＝ｄＡで与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、加算、減算および２倍算とを実行するものである。
【００５４】
本発明のさらに別の特徴によれば、ウィンドウ・シーケンス生成手段および演算手段を具える情報処理装置において秘密鍵を用いて公開鍵暗号処理を行う方法は、そのウィンドウ・シーケンス生成手段を用いて、乱数に従って、その公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップと、その演算手段を用いて、その導出されたｍ個のウィンドウ・シーケンスとその公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成するステップとを含んでいる。その公開鍵暗号処理は指数剰余演算であり、その別の値をａとし、ｎを正の整数としたとき、その処理済みデータｖはｖ＝ａ ^ｄ （ｍｏｄ ｎ）で与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、乗算と２乗算とを実行する。代替構成として、その公開鍵暗号処理は点のスカラー倍算であり、その処理済みデータはベクトルＶであり、その値ｄはスカラーであり、その別の値はベクトルＡであり、その処理済みデータＶはＶ＝ｄＡで与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、加算、減算および２倍算とを実行するものである。
【００５５】
本発明のさらに別の特徴によれば、秘密鍵を用いて公開鍵暗号処理を行う暗号装置は、その公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出する手段を具えている。そのｍ個のウィンドウ・シーケンスのビット総数はそのｕビット・シーケンスのビット数ｕより多い。各ウィンドウ・シーケンスのビット数はｕ以下である。そのｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、そのｕビット・シーケンスにおける同じビット位置に対応付けられる。そのｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有する。暗号装置は、さらに、その導出されたｍ個のウィンドウ・シーケンスとその公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成する演算手段を具えている。その公開鍵暗号処理は指数剰余演算であり、その別の値をａとし、ｎを正の整数としたとき、その処理済みデータｖはｖ＝ａ ^ｄ （ｍｏｄ ｎ）で与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、乗算と２乗算とを実行する。代替構成として、その公開鍵暗号処理は点のスカラー倍算であり、その処理済みデータはベクトルＶであり、その値ｄはスカラーであり、その別の値はベクトルＡであり、その処理済みデータＶはＶ＝ｄＡで与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、加算、減算および２倍算とを実行するものである。
【００５６】
その暗号装置は、さらに、そのウィンドウ・シーケンスのビット数からその同じ値のビット数を減算したビット数を有する取り得るシーケンスをインデックスとして有し、そのインデックスに対応付けられるそのウィンドウ・シーケンスの取り得るシーケンスに従って計算されたエントリ値を有するルックアップ・テーブルを生成する手段を具える。
【００５７】
その演算手段は、その導出されたウィンドウ・シーケンスのその同じ値の所定のビット以外のビットのシーケンスをインデックスとして用いて、テーブルをルックアップすることによって、その演算を行う。
【００５８】
その導出する手段は、そのｕビット・シーケンスから、そのｕビット・シーケンスにおける対応する所定の位置に配置されたそのウィンドウ・シーケンスのその同じ値を減算して別のシーケンスを生成し、その別のシーケンスからそのウィンドウ・シーケンスを導出する。
【００５９】
本発明のさらに別の特徴によれば、情報処理装置において使用するための、秘密鍵を用いて公開鍵暗号処理を行うプログラム（これは記憶媒体に格納されていてもよい）は、その公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップと、その導出されたｍ個のウィンドウ・シーケンスとその公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成するステップと、を実行させるよう動作可能である。そのｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有する。その公開鍵暗号処理は指数剰余演算であり、その別の値をａとし、ｎを正の整数としたとき、その処理済みデータｖはｖ＝ａ ^ｄ （ｍｏｄ ｎ）で与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、乗算と２乗算とを実行する。代替構成として、その公開鍵暗号処理は点のスカラー倍算であり、その処理済みデータはベクトルＶであり、その値ｄはスカラーであり、その別の値はベクトルＡであり、その処理済みデータＶはＶ＝ｄＡで与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、加算、減算および２倍算とを実行するものである。
【００６０】
本発明のさらに別の特徴によれば、ウィンドウ・シーケンス生成手段および演算手段を具える情報処理装置において秘密鍵を用いて公開鍵暗号処理を行う方法は、そのウィンドウ・シーケンス生成手段を用いて、その公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップと、その演算手段を用いて、その導出されたｍ個のウィンドウ・シーケンスとその公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成するステップとを含んでいる。そのｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有する。その公開鍵暗号処理は指数剰余演算であり、その別の値をａとし、ｎを正の整数としたとき、その処理済みデータｖはｖ＝ａ ^ｄ （ｍｏｄ ｎ）で与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、乗算と２乗算とを実行する。代替構成として、その公開鍵暗号処理は点のスカラー倍算であり、その処理済みデータはベクトルＶであり、その値ｄはスカラーであり、その別の値はベクトルＡであり、その処理済みデータＶはＶ＝ｄＡで与えられ、その演算手段は、その導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って、加算、減算および２倍算とを実行するものである。
【００６１】
本発明によれば、秘密鍵の推定を困難にし、暗号処理の安全性を高めることができ、効率的な耐タンパ性の指数剰余演算および点のスカラー倍算を実現できる。
【００６２】
図面において、同じ参照番号は同じ要素を示す。
【００６３】
【００６４】
【発明の好ましい実施形態】
図７は、本発明による暗号処理装置６０の概略的構成を示している。暗号処理装置６０は、値ａ、ｄおよびｎまたは値Ａおよびｄを入力して供給する入力部７２と、乱数発生器７４と、乱数発生器７４からの乱数に従って値ｄからオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０および重なり長（オーバラップ長）ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を生成するウィンドウおよび重なり長生成部７５と、生成部７５からのウィンドウおよび重なり長を格納するメモリ７８と、入力部７２からの値ａおよびｎまたは値Ａからｋビットのウィンドウｂ_ｉに対するテーブルｗまたはＷを生成するテーブル生成部８０と、テーブル・メモリ８２と、メモリ７８からのウィンドウおよび重なり長に従ってテーブル・メモリ８２中のテーブルｗまたはＷをルックアップ（探索）して等式ｖ＝ａ^ｄ（ｍｏｄｎ）またはＶ＝ｄＡを演算するウィンドウ法演算部８４と、値ｖまたはＶを出力する出力部８６とを含んでいる。
【００６５】
暗号化装置６０は、さらに、プロセッサ６２と、ＲＯＭのようなプログラム・メモリ６４とを含んでいる。プロセッサ６２は、メモリ６４に格納されているプログラムに従ってこれらの要素７２〜８６を制御する。代替構成として、プロセッサ６２は、要素７２〜８６に対応する機能を実現するメモリ６４中のプログラムを実行することによって要素７２〜８６を実現してもよい。この場合、図７はフロー図として見ることができる。
【００６６】
図８は、本発明のオーバラップ・ウィンドウ法によるオーバラップ・ウィンドウｂ_ｉの生成の仕方を示している。生成部７５は、乱数発生器７４からの乱数に従って値ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からｍ個のｋビット・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出して、メモリ７８に格納する。図８では、図４と違って、隣接する２つのｋビット・ウィンドウｂ_ｉ＋１およびｂ_ｉについて、ｂ_ｉ＋１の右のｈビット位置とｂ_ｉの左のｈビット位置がｄにおける対応するビット位置において重複することを許されている。或る値ｄに対してウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０の複数の可能な組（セット）が存在するので、その中の１つの組を乱数に従って選択することによって、ＤＰＡによる秘密鍵のタンパに耐性を有する公開鍵演算を実現できる。
【００６７】
図８には、オーバラップ・ウィンドウ法の指数剰余演算への適用の例が示されているが、オーバラップ・ウィンドウは点のスカラー倍算にも同様に適用できる。演算部８４は、メモリ７８からのウィンドウｂ_ｉに従って、メモリ８２中のテーブルｗまたはＷをルックアップして、ｖにｗを乗算しそれを２^ｋ−ｈ乗することを繰り返してｖ＝ａ^ｄ（ｍｏｄ ｎ）を求め、または、ＶにＷを加算し２^ｋ−ｈ倍算を行うことを繰り返してＶ＝ｄＡを求める。
【００６８】
オーバラップ・ウィンドウｂ_ｉ＋１およびｂ_ｉにおけるそれぞれのｈ個の重なりビットのストリングの値は乱数に従って決定される。ウィンドウｂ_ｉ＋１およびｂ_ｉは、乱数ｒに従って、ウィンドウｂ_ｉ＋１におけるｈ個の重なりビットのストリングの値とｂ_ｉにおけるｈ個の重なりビットのストリングの値の和が、入力値ｄにおける対応するｈビットのストリングの値になるように、生成される。代替構成として、ウィンドウｂ_ｉ＋１およびｂ_ｉは、乱数ｒに従ってｂ_ｉにおけるｈ個の重なりビットのストリングの値を発生し、ウィンドウｂ_ｉ＋１におけるｈ個の重なりビットのストリングの値が、入力値ｄにおける対応するｈビットのストリングの値からｂ_ｉにおけるｈ個の重なりビットのストリングの値を減じた値になるように（ｂ_ｉ＋１における上位ビット位置からのボローが生じてもよい）、生成されてもよい。
【００６９】
図９は、本発明による、乱数に従ったオーバラップ・ウィンドウｂ_ｉにおけるｈ個の重なりビットのストリングの値の決定の簡単な例を示している。図９において、ウィンドウｂ_ｉ＋１およびｂ_ｉのそれぞれのｈ個の重なりビットα_ｊおよびβ_ｊ（ｊ＝ｈ−１，．．．０）を、即ちｂ_ｉ＋１中のビット・ストリング（α_ｈ−１．．．α_１α_０）およびｂ_ｉ中のビット・ストリング（β_ｈ−１．．．β_１β_０）を、入力値ｄにおける対応するビットｄ_ｑ（ｑ＝ｘ＋ｋ−１，．．．ｘ＋ｋ−ｈ）の値に応じて次のように決定する。ｄ_ｑ＝１の場合、乱数ｒ＝１または０を生成して、ビットｄ_ｑに対応するウィンドウｂ_ｉ＋ｒ中のビットα_ｊまたはβ_ｊに１をセットし、ウィンドウｂ_{ｉ＋（１−ｒ）}中の対応するビットβ_ｊまたはα_ｊに０をセットする。ｄ_ｑ＝０の場合、ウィンドウｂ_ｉ＋ｒとｂ_{ｉ＋（１−ｒ）}の双方の対応するビットα_ｊおよびβ_ｊに０をセットする。
【００７０】
図１０は、本発明による、隣接するウィンドウｂ_ｉ＋１とｂ_ｉに固定された重なりビット長ｈを有するオーバラップ・ウィンドウ法を用いた指数剰余演算のフロー図を示している。図１１は、本発明による、隣接するウィンドウｂ_ｉ＋１とｂ_ｉに可変な重なりビット長ｈ_ｉを有するオーバラップ・ウィンドウ法を用いた指数剰余演算のフロー図を示している。図１０および１１では、生成されるウィンドウｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有する。
【００７１】
図１０のフロー図を説明する。最初に、入力部７２は値ａ、ｄおよびｎを入力して生成部７５に供給する。ステップ１０２において、生成部７５は、乱数発生器７４からの乱数に従って、値ｄからウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出してメモリ７８に格納する。ステップ１０４において、テーブル生成部８０は、テーブルｗ（ｗ［ｘ］＝ａ^ｘ）（０＜ｘ＜２^ｋ）を生成してメモリ８２に格納する。ステップ１０６において、演算部８４はｖ＝１およびｉ＝ｍをセットする。
【００７２】
ステップ１０８〜１１４において、演算部８４は、ｉ＝ｍ−１，ｍ−２，．．．０について順次、ｂ_ｉに従って、メモリ８２のテーブルｗのルックアップによるｗ［ｂ_ｉ］の乗算と累乗とを、ｖに対して実行する。ステップ１０８において、演算部８４はｉ＝ｉ−１をセットする。ステップ１１０において、演算部８４は、ｂ_ｉ＞０の場合にｖにｗ［ｂ_ｉ］を乗算する。ステップ１１２において、演算部８４はｉの値と値０とを比較してｉ＝０かどうかを判定する。ｉ＝０でないと判断された場合には、ステップ１１４において演算部８４は、（ｋ−ｈ）回の２乗によってｖの２^{（ｋ−ｈ）}乗を生成する。ステップ１１２においてｉ＝０であると判断された場合には、出力部８６はｖ＝ａ^ｄ（ｍｏｄ ｎ）を出力する。
【００７３】
図１１のフロー図を説明する。ステップ２０２において、生成部７５は、乱数発生器７４からの乱数に従って、ｄからウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出しビット長ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を生成してメモリ７８に格納する。ステップ２０４において、テーブル生成部８０は、テーブルｗを生成してメモリ８２に格納する。ステップ２０６〜２１２は、図１０のステップ１０６〜１１２に対応する。ステップ２０８〜２１４において、演算部８４は、ｉ＝ｍ−１，．．．０について順次、ｂ_ｉに従って、メモリ８２のテーブルｗのルックアップによるｗ［ｂ_ｉ］での乗算（ステップ２１０）と（ｋ−ｈ_ｉ−１）回の２乗による累乗（ステップ２１４）を、ｖに対して実行して、ｖ＝ａ^ｄ（ｍｏｄｎ）を生成する。
【００７４】
図１２は、本発明による、隣接するウィンドウｂ_ｉ＋１とｂ_ｉに固定された重なりビット長ｈを有するオーバラップ・ウィンドウ法を用いたスカラー倍算のフロー図を示している。図１３は、本発明による、隣接するウィンドウｂ_ｉ＋１とｂ_ｉに可変な重なりビット長ｈ_ｉを有するオーバラップ・ウィンドウ法を用いたスカラー倍算のフロー図を示している。図１２および１３では、ウィンドウｂ_ｉは−２^ｋ＜ｂ_ｉ＜２^ｋの範囲の値を有する。
【００７５】
図１２のフロー図を説明する。最初に、入力部７２は値Ａおよびｄを入力して生成部７５に供給する。ステップ３０２において、生成部７５は、乱数発生器７４からの乱数に従って、ｄからウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を生成してメモリ７８に格納する。ステップ３０４において、テーブル生成部８０は、テーブルＷ（Ｗ［ｘ］＝ｘＡ）（０＜ｘ＜２^ｋ）を生成してメモリ８２に格納する。ステップ３０６において、演算部８４はＶ＝Ｏ（無限遠点）およびｉ＝ｍをセットする。
【００７６】
ステップ３０８〜３１４において、演算部８４は、ｉ＝ｍ−１，ｍ−２，．．．０について順次、ｂ_ｉに従って、メモリ８２のテーブルＷのルックアップによるＷ［ｂ_ｉ］の加算およびＷ［−ｂ_ｉ］の減算と、乗算とを、Ｖに対して実行する。ステップ３０８において、演算部８４はｉ＝ｉ−１をセットする。ステップ３１０において、演算部８４は、ｂ_ｉ＞０の場合にＶにＷ［ｂ_ｉ］を加算し、ｂ_ｉ＜０の場合にＶからＷ［−ｂ_ｉ］を減算する。ステップ３１２において、演算部８４はｉの値と値０とを比較してｉ＝０かどうかを判定する。ｉ＝０でないと判断された場合には、ステップ３１４において演算部８４は、（ｋ−ｈ）回の２倍算によってＶの２^{（ｋ−ｈ）}倍を生成する。ステップ３１２においてｉ＝０であると判断された場合には、出力部８６はＶ＝ｄＡを出力する。
【００７７】
図１３のフロー図を説明する。ステップ４０２において、生成部７５は、乱数発生器７４からの乱数に従って、ｄからウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出しビット長ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を生成してメモリ７８に格納する。ステップ４０４において、テーブル生成部８０は、テーブルＷを生成してメモリ８２に格納する。ステップ４０６〜４１２は、図１２のステップ３０６〜３１２に対応する。ステップ４０８〜４１４において、演算部８４は、ｉ＝ｍ−１，．．．０について順次、ｂ_ｉに従って、メモリ８２のテーブルＷのルックアップによるＷ［ｂ_ｉ］の加算またはＷ［−ｂ_ｉ］の減算（ステップ４１０）と（ｋ−ｈ_ｉ−１）回の２倍算による乗算（ステップ４１４）を、Ｖに対して実行して、Ｖ＝ｄＡを生成する。
【００７８】
後で実施形態において説明するように、図１０、１１、１２および１３において、ウィンドウｂ_ｉの計算法が複数存在する。
【００７９】
図１４は、本発明の第１の実施形態による、生成部７５において、重なりビット長を有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成するためのフロー図を示している。図１５は、図１４に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態においてｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有する。従って、この実施形態は、重なりビットの長さｈが固定値のとき、図１０のＲＳＡ暗号処理と図１２の楕円曲線暗号処理の双方に適用できる。
【００８０】
重なりビットの長さｈが固定値のときに、秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２を表すｕビット・シーケンス（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）からウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出する方法を、図１４および１５を参照して説明する。ここで、ｈはｂ_ｉ＋１とｂ_ｉの重なりビットの長さであり、０＜ｈ＜ｋであり、ｋはｂ_ｉのビットの長さである。
【００８１】
ステップ５０１において、生成部７５は、ウィンドウｂ_ｉの数ｍ＝ｃｅｉｌｉｎｇ（（ｕ−ｈ）／（ｋ−ｈ））を決定する。ステップ５０２において、生成部７５はｉ＝ｍにセットする。ステップ５０３において、生成部７５は最初の中間ウィンドウｗｔ_ｍ−１＝（ｄ_ｕ−１，．．．ｄ_{（ｍ−１）（ｋ−ｈ）}）_２を供給する（図１５参照）。ここで、ｗｔ_ｍ−１は、ｄのｋ’個のＭＳＢ（ｋ’＝ｕ−（ｍ−１）（ｋ−ｈ），ｋ’≦ｋ）を取り出したものである。
【００８２】
ステップ５０４において、生成部７５はｉ＝ｉ−１にセットする。ステップ５０５において、生成部７５はｉ＝０かどうかを判定する。ｉ≠０と判定された場合に、生成部７５は、ステップ５０６において、乱数発生器７４からのｋビットの乱数ｒに従って、ｍａｘ（０，ｗｔ_ｍ−１−２^ｈ＋１）≦ｂ_ｍ−１≦ｗｔ_ｍ−１を満たすようなオーバラップ・ウィンドウｂ_ｍ−１を生成する（図１５参照）。ここで、ｍａｘ（ｘ，ｙ）は値ｘおよびｙのうちの大きいものを表す。ウィンドウｂ_ｍ−１は、乱数ｒそのものの値であっても、または乱数ｒに従って所定の数のｂ_ｉの値の中から選択されてもよい。ｂ_ｍ−１がこの範囲の値なので、（ｗｔ_ｍ−１−ｂ_ｍ−１）は０≦（ｗｔ_ｍ−１−ｂ_ｍ−１）＜２^ｈを満たす。
【００８３】
ｗｔ_ｍ−１とｂ_ｍ−１を決定した後、ステップ５０７において、生成部７５は次の中間ウィンドウｗｔ_ｍ−２＝（（ｗｔ_ｍ−１−ｂ_ｍ−１）２^{（ｋ−ｈ）}＋（ｄ_{（ｍ−１）（ｋ−ｈ）−１}，．．．ｄ_{（ｍ−２）（ｋ−ｈ）}）_２を供給する（図１５参照）。ｗｔ_ｍ−２は、ｋ−ｈビットの左シフトおよび加算：ｗｔ_ｍ−２＝（（ｗｔ_ｍ−１−ｂ_ｍ−１）＜＜（ｋ−ｈ））＋（ｄ_{（ｍ−１）（ｋ−ｈ）−１}，．．．ｄ_{（ｍ−２）（ｋ−ｈ）}）_２を実行することによって、求めてもよい。
【００８４】
その後、生成部７５は、ｉ＝ｍ−２，ｍ−３，．．．１についてステップ５０４〜５０７を繰り返す。生成部７５は、ステップ５０６において乱数ｒに従ってｍａｘ（０，ｗｔ_ｉ−１−２^ｈ＋１）≦ｂ_ｉ≦ｗｔ_ｉを満たすｂ_ｉを生成し、ステップ５０７において次の中間ウィンドウｗｔ_ｉ−１＝（ｗｔ_ｉ−ｂ_ｉ）２^{（ｋ−ｈ）}＋（ｄ_{ｉ（ｋ−ｈ）−１}，．．．ｄ_{（ｉ−１）（ｋ−ｈ）}）_２を求める（図１５参照）。換言すれば、次の中間シーケンスｗｔ_ｉ−１は、中間シーケンスｗｔ_ｉからウィンドウｂ_ｉを減算することによって導出された値をＭＳＢとして含み、ｕビット・シーケンスの中の次のｋ−ｈ個のＭＳＢをＬＳＢとして含んでいる。このようにして、ステップ５０５においてｉ＝０と判定された場合に、生成部７５は、ステップ５０８においてｂ_０＝ｗｔ_０とセットし、オーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を出力する。
【００８５】
図１６は、第１の実施形態の変形である本発明の第２の実施形態による、生成部７５において、可変な重なりビット長を有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成するためのフローチャートを示している。この実施形態では、隣接するｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉが可変である。図１７は、図１６に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態においてｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有する。従って、この実施形態は、図１１のＲＳＡ暗号処理と図１３の楕円曲線暗号処理の双方に適用できる。
【００８６】
次に、秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_{ｍ −１}，ｂ_ｍ−２，．．．ｂ_０を導出し重なりビット長ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を生成する方法を、図１６および１７を参照して説明する。ここで、ｕはｄのビットの長さ、ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉは０≦ｈ_ｉ≦ｋの範囲の値、ｋはｂ_ｉのビットの長さである。
【００８７】
ステップ６０１において、生成部７５は、０≦ｈ_ｉ≦ｋかつｕ＝ｍｋ−（ｈ_ｍ−２＋ｈ_ｍ−３＋．．．＋ｈ_０）を満たすように、乱数ｒ（＝ｈ_ｉ）に従って、ウィンドウｂ_ｉの数ｍおよび重なりビット長ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を決定する。ステップ６０２において、生成部７５はｉ＝ｍおよびｊ＝ｕ−ｋにセットする。ステップ６０３において、生成部７５は最初の中間ウィンドウｗｔ_ｍ−１＝（ｄ_ｕ−１，．．．ｄ_ｊ）_２を供給する。
【００８８】
ステップ６０４において、生成部７５はｉ＝ｉ−１にセットする。ステップ６０５において、生成部７５はｉ＝０かどうかを判定する。ｉ≠０と判定された場合に、生成部７５は、ステップ６０６において、図１４と同様に、乱数発生器７４からのｋビットの乱数ｒに従って、ｍａｘ（０，ｗｔ_ｉ−２^ｈｉ＋１）≦ｂ_ｉ≦ｗｔ_ｉを満たすようなオーバラップ・ウィンドウｂ_ｉを生成する（図１７参照）。ウィンドウｂ_ｉは、乱数ｒそのものの値であっても、または乱数ｒに従って所定の数のｂ_ｉの値の中から選択されてもよい。
【００８９】
ｗｔ_ｍ−１とｂ_ｍ−１を決定した後、ステップ６０７において、生成部７５は次の中間ウィンドウｗｔ_ｉ−１＝（（ｗｔ_ｉ−ｂ_ｉ）２^{（ｋ−ｈｉ−１）}＋（ｄ_ｊ−１，．．．ｄ_{ｊ−（ｋ−ｈｉ−１）}）_２を供給する（図１７参照）。ステップ６０８において、生成部７５はｊ＝ｊ−（ｋ−ｈ_ｉ−１）にセットする。
【００９０】
生成部７５は、ｉ＝ｍ−２，ｍ−３，．．．１についてステップ５０４〜５０７を繰り返す。このようにして、ステップ６０５においてｉ＝０と判定された場合に、生成部７５は、ステップ６０８においてｂ_０＝ｗｔ_０とセットし、オーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０および重なりビット長ｈ_{ｍ −２}，ｈ_ｍ−３，．．．ｈ_０を出力する。
【００９１】
図１８は、本発明の第３の実施形態による、生成部７５において、重なりビット長を有するオーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１をこの順で生成するためのフローチャートを示している。図１９は、図１８に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態においてｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有する。従って、この実施形態は、重なりビットの長さｈが固定値のとき、図１０のＲＳＡ暗号処理と図１２の楕円曲線暗号処理の双方に適用できる。
【００９２】
重なりビットの長さｈが固定値のときに、秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を導出する方法を、図１８および１９を参照して説明する。ここで、ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ＜ｋの範囲の値である。ウィンドウｂ_ｉ中のｈ個のＭＳＢをｗｌ_ｉ、ウィンドウｂ_ｉ中の（ｋ−ｈ）個のＬＳＢをｗｒ_ｉと表す。ｂ_ｉ＋１とｂ_ｉは、ｂ_ｉ＋１中のｈ個のＬＳＢ位置とｂ_ｉのｈ個のＭＳＢ位置が重なる。
【００９３】
ステップ７０１において、生成部７５は、ウィンドウｂ_ｉの数ｍ＝ｃｅｉｌｉｎｇ（（ｕ−ｈ）／（ｋ−ｈ））を決定する。ステップ７０２において、生成部７５はｉ＝０にセットする。ステップ７０３において、生成部７５は最初の中間シーケンスｄｔ_０＝ｄｔ＝（ｄ_ｕ−１，．．．ｄ_０）_２を供給する。
【００９４】
ステップ７０４において、生成部７５はｉ＝ｍ−１かどうかを判定する。ｉ≠ｍ−１と判定された場合に、生成部７５は、ステップ７０５において、ｗｒ_０＝（ｄｔ_０中の（ｋ−ｈ）個のＬＳＢ）と、乱数発生器７４からの乱数ｒに従ってｗｌ_０＝（ｈビットの乱数ｒ）とを生成し、ステップ７０６においてｂ_０＝ｗｌ_０２^{（ｋ−ｈ）}＋ｗｒ_０を生成する（図１９参照）。それによって、（ｄｔ_０−ｂ_０）における（ｋ−ｈ）個のＬＳＢは全て０となる。ステップ７０７において、次の中間シーケンスｄｔ_１＝（ｄｔ_０−ｂ_０）／２^{（ｋ−ｈ）}を求める（図１９参照）。ステップ７０８において、ｉ＝ｉ＋１にセットする。
【００９５】
その後、生成部７５はｉ＝１，２，．．．ｍ−２についてステップ７０５〜７０８を繰り返す。生成部７５は、ステップ７０５においてｗｒ_ｉ＝（ｄｔ_ｉ中の（ｋ−ｈ）個のＬＳＢ）と、ｗｌ_ｉ＝（ｈビットの乱数ｒ）とを生成し、ステップ７０６においてｂ_ｉ＝ｗｌ_ｉ２^{（ｋ−ｈ）}＋ｗｒ_ｉを生成し、ステップ７０７において次の中間シーケンスｄｔ_ｉ＋１＝（ｄｔ_ｉ−ｂ_ｉ）／２^{（ｋ−ｈ）}を生成する（図１９参照）。換言すれば、ウィンドウｂ_ｉは、乱数に従って生成されたｈ個のＭＳＢを含み、中間シーケンスｄｔ_ｉの（ｋ−ｈ）個のＬＳＢをＬＳＢとして含んでいる。次の中間シーケンスｄｔ_ｉ＋１は、ｄｔ_ｉからウィンドウｂ_ｉを減算し、（ｋ−ｈ）個のＬＳＢを切り捨てることによって導出される。ｂ_ｉ＝ｗｌ_ｉ２^{（ｋ−ｈ）}＋ｗｒ_ｉおよびｄｔ_ｉ＋１＝（ｄｔ_ｉ−ｂ_ｉ）／２^{（ｋ−ｈ）}は、それぞれ（ｋ−ｈ）ビットの左シフトおよび右シフトを実行することによって、求めてもよい。
【００９６】
このようにして、ステップ７０４においてｉ＝ｍ−１と判定された場合に、生成部７５は、ステップ７０９においてｂ_ｍ−１＝ｄｔ_ｍ−１とセットし、オーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を出力する。
【００９７】
図２０は、第３の実施形態の変形である本発明の第４の実施形態による、生成部７５において、可変な重なりビット長を有するオーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１をこの順で生成するためのフローチャートを示している。この実施形態ではｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉが可変である。図２１は、図２０に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態においてｂ_ｉは０≦ｂ_ｉ≦２^ｋの範囲の値を有する。従って、この実施形態は、図１１のＲＳＡ暗号処理と図１３の楕円曲線暗号処理の双方に適用できる。
【００９８】
次に、秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を導出し重なりビット長ｈ_０，ｈ_１，．．．ｈ_ｍ−２を生成する方法を、図２０および２１を参照して説明する。ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉは０≦ｈ_ｉ≦ｋの範囲の値である。
【００９９】
ステップ８０１において、生成部７５は、０≦ｈ_ｉ≦ｋかつｕ＝ｍｋ−（ｈ_０＋ｈ_１＋．．．＋ｈ_ｍ−２）を満たすように、乱数ｒ（＝ｈ_ｉ）に従って、ウィンドウｂ_ｉの数ｍおよび重なりビット長ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を決定する。ステップ８０２において、生成部７５はｉ＝０にセットする。ステップ８０３において、生成部７５は最初の中間ウィンドウｄｔ_０＝（ｄ_ｕ−１，．．．ｄ_ｊ）_２を供給する。
【０１００】
ステップ８０４において、生成部７５はｉ＝ｍ−１かどうかを判定する。ｉ≠ｍ−１と判定された場合に、生成部７５は、図１６と同様に、ステップ８０５において、乱数に従ってｗｌ_ｉ＝（ｈ_ｉビットの乱数）とｗｒ_ｉ＝（ｄｔ_ｉ中の（ｋ−ｈ_ｉ）個のＬＳＢ）とを生成し、ステップ８０６においてｂ_ｉ＝ｗｌ_ｉ２^{（ｋ−ｈｉ）}＋ｗｒ_ｉを生成し、ステップ８０７においてｄｔ_ｉ＝（ｄｔ_ｉ−１−ｂ_ｉ−１）／２^{（ｋ−ｈｉ）}を生成する（図２１参照）。ステップ８０８において、生成部７５は、ｉ＝ｉ＋１にセットする。
【０１０１】
生成部７５は、ｉ＝０，１，．．ｍ−２についてステップ８０４〜８０８を繰り返す。このようにして、ステップ８０４においてｉ＝ｍ−１と判定された場合、生成部７５は、ステップ８０９においてｂ_ｍ−１＝ｄｔ_ｍ−１とセットし、オーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１および重なりビット長ｈ_０，ｈ_０，．．．ｈ_ｍ−２を出力する。
【０１０２】
図２２は、本発明の第５の実施形態による、生成部７５において、重なりビット長を有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順で生成するためのフローチャートを示している。図２３は、図２２に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態は、図１４および１５に示された第１の実施形態におけるｂ_ｉの値の範囲を−２^ｋ＜ｂ_ｉ＜２^ｋに拡張したもので、図１２の楕円曲線暗号処理にのみ適用できる。この実施形態では、ｂ_ｉがより多くの取り得る値を有するので、ＳＰＡおよびＤＰＡを用いた秘密鍵の推定に対する安全性をより高くすることができる。
【０１０３】
重なりビットの長さｈが固定値の場合に、秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出する方法を、図２２および２３を参照して説明する。ここで、ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ＜ｋの範囲の値である。
【０１０４】
ステップ９０１〜９０５およびステップ９０７〜９０８は図１４のステップ５０１〜５０５およびステップ５０７〜５０８に対応し、再び説明することはしない。
【０１０５】
生成部７５は、ステップ９０６において、乱数発生器７４からのｋビットの乱数ｒに従って、ｗｔ_ｉ−１−２^ｈ＜ｂ_ｉ＜ｍｉｎ（２^ｋ，ｗｔ_ｉ＋２^ｈ）を満たすようなオーバラップ・ウィンドウｂ_ｉを生成する（図２３参照）。ここで、ｍｉｎ（ｘ，ｙ）は値ｘおよびｙのうちの小さいものを表す。図２３に示されているように、ｂ_ｉ＝（ｄ_{ｉｋ＋ｋ−１}，ｄ_{ｉｋ＋ｋ−２}，．．．ｄ_ｉｋ）_２におけるｄ_{ｉｋ＋ｋ−１}，．．．ｄ_ｉｋの各々の値は−１，０または１である。ウィンドウｂ_ｉは、乱数ｒそのものの値であっても、または乱数ｒに従って所定の数のｂ_ｉの値の中から選択されてもよい。図１４のステップ５０６において生成されるｂ_ｉは０以上の値であるのに対し、この実施形態において、生成されるウィンドウｂ_ｉは、−２^ｋ＋２^ｈ≦ｂ_ｉ＜２^ｋの範囲の値を有し、負の値を含んでいる。
【０１０６】
図２４は、第５の実施形態の変形である本発明の第６の実施形態による、生成部７５において、可変な重なりビット長を有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順で生成するためのフローチャートを示している。この実施形態ではｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉが可変である。図２５は、図２４に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態は、図１６および１７に示された第２の実施形態におけるｂ_ｉの値の範囲を−２^ｋ＜ｂ_ｉ＜２^ｋに拡張したもので、図１３の楕円曲線暗号処理にのみ適用できる。
【０１０７】
次に、秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出しｈ_ｍ−２，ｈ_ｕ−２，．．．ｈ_０を生成する方法を、図２４および２５を参照して説明する。ここで、ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉは０≦ｈ_ｉ≦ｋの範囲の値である。
【０１０８】
ステップ１００１〜１００５およびステップ１００７〜１００８は図１６のステップ６０１〜６０５およびステップ６０７〜６０８に対応し、再び説明することはしない。
【０１０９】
生成部７５は、ステップ１００６において、乱数発生器７４からのｋビットの乱数ｒに従って、ｗｔ_ｉ−１−２^ｈｉ＜ｂ_ｉ＜ｍｉｎ（２^ｋ，ｗｔ_ｉ＋２^ｈｉ）を満たすようなオーバラップ・ウィンドウｂ_ｉを生成する（図２５参照）。図２５に示されているように、ｂ_ｉにおける各ビットの値は−１，０または１である。図１６のステップ６０６で生成されるｂ_ｉは０以上の値であるのに対し、この実施形態において、生成されるウィンドウｂ_ｉは、−２^ｋ＜ｂ_ｉ＜２^ｋの範囲の値を有し、負の値を含んでいる。
【０１１０】
図２６は、本発明の第７の実施形態による、生成部７５において、重なりビット長を有するオーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１をこの順で生成するためのフローチャートを示している。図２７は、図２６に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態は、図１８および１９に示された第３の実施形態のｂ_ｉの値の範囲を−２^ｋ＜ｂ_ｉ＜２^ｋに拡張したもので、図１２の楕円曲線暗号処理にのみ適用できる。この実施形態では、ｂ_ｉがより多くの取り得る値を有するので、ＳＰＡおよびＤＰＡを用いた秘密鍵の推定に対する安全性をより高くすることができる。この実施形態では、第３の実施形態の図１８のステップ７０７における演算をなくしたので、高速処理が可能である。
【０１１１】
重なりビットの長さｈが固定値の場合に、秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を導出する方法を、図２６および２７を参照して説明する。ここで、ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ＜ｋの範囲の値である。
【０１１２】
ステップ１１０１〜１１０２は図１８のステップ７０１〜７０２に対応する。ステップ１１０３において、生成部７５は、最初の中間ウィンドウｗｔ_０＝（ｄ_ｋ−１，ｄ_ｋ−２，．．．ｄ_０）_２を供給する。ここで、ｗｔ_０は、ｄのｋ個のＬＳＢを取り出したものである。
【０１１３】
生成部７５は、ｉ＝０，１，．．．ｍ−２について、ステップ１１０４〜１１１０を実行して、ｂ_０，ｂ_１，．．．ｂ_ｍ−２を生成する。ステップ１１０４において、生成部７５はｉ＝ｍ−１かどうかを判定する。ステップ１１０４、１１１０および１１１１は、図１８のステップ７０４、７０８および７０９にそれぞれ対応する。
【０１１４】
ステップ１１０５において、生成部７５は、ｗｔｒ_ｉ＝ｗｔ_ｉ（ｍｏｄ ２^{（ｋ−ｈ）}）を求める。このモジュロ演算は、中間ウィンドウｗｔ_ｉが負の場合を含んでいる。この演算は次のように実行される。
【数８】

【０１１５】
ステップ１１０６において、生成部７５は、ｗｔｌ_ｉ＝（ｗｔ_ｉ−ｗｔｒ_ｉ）／２^{（ｋ−ｈ）}を決定する。ステップ１１０７において、生成部７５は、乱数発生器７４からのｋビットの乱数ｒに従ってｗｔｌ_ｉ−２^h＜ ｗｌ_ｉ＜２^hを満たすようなｗｌ_ｉと、ｗｒ_ｉ＝ｗｔｒ_ｉとを生成する。ｗｌ_ｉは、乱数ｒそのものの値であっても、または乱数ｒに従って所定の数のｗｌ_ｉの値の中から選択されてもよい。ステップ１１０８において、生成部７５は、ｂ_ｉ＝ｗｌ_ｉ２^ｈ＋ｗｒ_ｉを求める（図２７参照）。換言すれば、ウィンドウｂ_ｉは、乱数に従って生成されたｈ個のＭＳＢを含み、中間シーケンスｗｔ_ｉ（ｍｏｄ ２^{（ｋ−ｈ）}）の値を（ｋ−ｈ）個のＬＳＢｓとして含んでいる。図２７に示されているように、ｂ_ｉにおける各ビットの値は−１，０または１である。
【０１１６】
ステップ１１０９において、生成部７５は、次の中間ウィンドウｗｔ_{ｉ + １}＝（ｄ_{ｋ−（ｋ−ｈ）（ｉ＋１）−１}，．．．ｄ_{ｋ−（ｋ−ｈ）ｉ}）_２２^ｈ＋（ｗｔｌ_ｉ−ｗｌ_ｉ）を求める。換言すれば、次の中間シーケンスｗｔ_ｉ＋１は、ｈ個のＭＳＢの値ｗｌ_ｉを中間シーケンスｗｔ_ｉの中のｈ個のＭＳＢの値から減算することによって導出された値をＬＳＢｓとして含み、ｕビット・シーケンスの中の他のｋ−ｈ個のビットをＭＳＢｓとして含んでいる。ステップ１１１０において、生成部７５は、生成部７５は、ｉ＝ｉ＋１にセットする。
【０１１７】
このようにして、ステップ１１０４においてｉ＝ｍ−１であると判定された場合、生成部７５はステップ１１１１においてｂ_ｍ−１＝ｄｔ_ｍ−１とセットして、オーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を出力する。
【０１１８】
第３の実施形態と比較すると、この実施形態では、ｗｌ_ｉおよびｗｒ_ｉが負であってもよいので、図１８のステップ７０７で行う数ビット〜数百ビットの値からの減算が不要であり、処理が速い。
【０１１９】
図２８は、第７の実施形態の変形である本発明の第８の実施形態による、生成部７５において、可変な重なりビット長を有するオーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１をこの順で生成するためのフローチャートを示している。この実施形態ではｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉが可変である。図２９は、図２８に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態は、図２０および２１に示された第４の実施形態におけるｂ_ｉの値を−２^ｋ＜ｂ_ｉ＜２^ｋに拡張したもので、図１３の楕円曲線暗号処理にのみ適用できる。
【０１２０】
次に、秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を導出し重なりビット長ｈ_０，ｈ_１，．．．ｈ_ｍ−２を生成する方法を、図２８および２９を参照して説明する。ここで、ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈ_ｉは０≦ｈ_ｉ≦ｋの範囲の値である。
【０１２１】
この実施形態における処理は、ｈ_ｉが可変であること以外は、図２６および２７と同様に処理が行われる。図２８におけるステップ１２０１は図２０のステップ８０１に対応する。ステップ１２０２において、生成部７５はｉ＝０およびｊ＝ｋにセットする。ステップ１２０４〜１２０９および１２１１は、図２６におけるステップ１１０４〜１１１０にそれぞれ対応する。
【０１２２】
ステップ１２０５において、生成部７５は、ｗｔｒ_ｉ＝ｗｔ_ｉ（ｍｏｄ ２^{（ｋ−ｈｉ）}）を求める。ステップ１２０６において、生成部７５は、ｗｔｌ_ｉ＝（ｗｔ_ｉ−ｗｔｒ_ｉ）／２^{（ｋ−ｈｉ）}を求める。ステップ１２０７において、生成部７５は、乱数発生器７４からのｋビットの乱数ｒに従ってｗｔｌ_ｉ−２^{h ｉ}＜ ｗｌ_ｉ＜２^{h ｉ}を満たすようなｗｌ_ｉと、ｗｒ_ｉ＝ｗｔｒ_ｉとを生成する。ステップ１２０８において、生成部７５は、b_ｉ＝ｗｌ_ｉ２^{（ｋ−ｈｉ）}＋ｗｒ_ｉを求める（図２９参照）。図２９に示されているように、ｂ_ｉにおける各ビットの値は−１，０または１である。ステップ１２０９において、生成部７５は、次の中間ウィンドウｗｔ_{ｉ + １}＝（ｄ_{ｊ＋ｋ−ｈｉ−１}，．．．ｄ_ｊ）_２２^ｈｉ＋（ｗｔｌ_ｉ−ｗｌ_ｉ）を求める。ステップ１２１０において、生成部７５は、ｊ＝ｊ＋（ｋ−ｈ_ｉ）にセットする。
【０１２３】
このようにして、ステップ１２０４においてｉ＝ｍ−１であると判定された場合、生成部７５はステップ１２１２において、ｂ_ｍ−１＝ｄｔ_ｍ−１とセットして、オーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１および重なりビット長ｈ_ｍ−２，ｈ_ｍ−３，．．．ｈ_０を出力する。
【０１２４】
図３０は、本発明の第９の実施形態による、生成部７５において、重なりビット長を有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を順に生成するためのフローチャートを示している。図３１は、図３０に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態においてｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有し、従って、この実施形態は、図１０のＲＳＡ暗号処理と図１２の楕円曲線暗号処理の双方に適用できる。
【０１２５】
秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出する方法を、図３０および３１を参照して説明する。この実施形態では、複数のｍ−１ビットの乱数ビット・シーケンスを加算することによってウィンドウｂ_ｉが生成される。ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ＜ｋの範囲の固定値である。
【０１２６】
ステップ１３０１において、生成部７５は、ウィンドウｂ_ｉの数ｍ＝ｃｅｉｌｉｎｇ（ｕ／ｋ）を決定する。生成部７５は、ステップ１３０２において乱数発生器７４からの乱数に従って、ｄｆ_ｊ≧０かつｄｆ_１＋．．．＋ｄｆ_ｇ−１≦ｄを満たすように入力ｄからｄｆ_１，．．．ｄｆ_ｇ−１を生成し、ステップ１３０３においてｄｆ_０＝ｄ−（ｄｆ_１＋．．．＋ｄｆ_ｇ−１）（≧０）を生成する。このようにしてｄ＝ｄｆ_０＋ｄｆ_１＋．．．＋ｄｆ_ｇ−１を満たすｇ個のｄｆ_ｊ＝（ｄｆ_{ｊ，ｕ−１}，ｄｆ_{ｊ，ｕ−２}，．．．ｄｆ_ｊ，０）_２が生成される。ここで、ｇはｃｅｉｌｉｎｇ（２^{（ｋ - １）}／（２^{（ｋ−ｈ）}−１））≦ｇ≦ｆｌｏｏｒ（（２^ｋ−１）／（２^{（ｋ−ｈ）}−１））の範囲の定数である。関数ｆｌｏｏｒ（ｘ）は変数ｘ以下の最大の整数を表す。ｇは、最大ｋビットのｂ_ｉ（２^ｋ−１≦ｂ_ｉ＜２^ｋ）を与える。
【０１２７】
ステップ１３０４において、生成部７５は、ｉ＝ｉ−１にセットする。生成部７５は、ｂ_ｉを生成するために、ステップ１３０５〜１３０８をｉ＝ｍ−１，ｍ−２，．．．０について順に実行する。ステップ１３０４〜１３０８では、ｉ＝０，１，．．．ｍ−１の順に、またはその他の順にｂ_ｉが生成されてもよい。
【０１２８】
ステップ１３０５において、生成部７５は、ｊ＝０，１，．．．（ｇ−１）について、（ｋ−ｈ）ビットの値ｓ_ｊ＝（ｄｆ_{ｊ，（ｉ＋１）（ｋ−ｈ）−１}，．．．ｄｆ_{ｊ，ｉ（ｋ−ｈ）}）_２をセットする。ステップ１３０６において、オーバラップ・ウィンドウｂ_ｉ ＝ｓ_０＋ｓ_１＋．．．＋ｓ_ｇ−１を求める。このようにして生成された隣接するウィンドウｂ_ｉ＋１とｂ_ｉは、ｂ_ｉ＋１のｈ個のＬＳＢ位置とｂ_ｉのｈ個のＭＳＢ位置とが、ｕビット・シーケンスにおける同じｈ個のビット（ｄ_{ｉｈ＋ｈ−１}，．．．ｄ_ｉｈ）の位置に関係付けられる。ステップ１３０７において生成部７５はｉ＝０かどうかを判定する。ｉ≠０と判定された場合に、生成部７５はステップ１３０８においてｉ＝ｉ−１にセットし、次いで、手順はステップ１３０５に進む。ｉ＝０と判定された場合は、生成部７５はオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を出力する。
【０１２９】
図３２は、第９の実施形態の変形である本発明の第１０の実施形態による、生成部７５において、重なりビット長を有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順で生成するためのフローチャートを示している。この実施形態は、第９の実施形態を変形したもので、モジュロφを用いてウィンドウｂ_ｉを生成する。図３３は、図３２に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態においてｂ_ｉは０≦ｂ_ｉ＜２^ｋの範囲の値を有し、従って、この実施形態は、図１１のＲＳＡ暗号処理と図１３の楕円曲線暗号処理の双方に適用できる。
【０１３０】
秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２からウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を導出する方法を、図３２および３３を参照して説明する。ｂ_ｉ＋１とｂ_ｉの重なりビットの長さｈは０＜ｈ＜ｋの範囲の固定値である。
【０１３１】
この実施形態では、第９の実施形態と異なる条件でｄｆ_０，ｄｆ_１，．．．ｄｆ_ｇ−１を生成する。この実施形態では、ｄに対してｂ_ｉがより多くの取りうる値を有するので、ＳＰＡおよびＤＰＡを用いた秘密鍵の推定に対する安全性をより高くすることができる。
【０１３２】
ステップ１４０１において、生成部７５は、乱数発生器７４からの乱数に従って、ｄｆ_ｊ≧０を満たすように入力ｄからｄｆ_１，．．．ｄｆ_ｇ−１を生成する。第９の実施形態とは異なり、ｄｆ_ｊはｄｆ_１＋．．．＋ｄｆ_ｇ−１≦ｄを満たす必要がない。生成部７５は、ステップ１４０２において、ｄｆ_０＝ｄ−（ｄｆ_１＋．．．＋ｄｆ_ｇ−１）（ｍｏｄ φ）（≧０）を生成する。このようにしてｄ＝ｄｆ_０＋ｄｆ_１＋．．．＋ｄｆ_ｇ−１（ｍｏｄ φ）を満たすｇ個のｄｆ_ｊ＝（ｄｆ_{ｊ，ｕ−１}，ｄｆ_{ｊ，ｕ−２}，．．．ｄｆ_ｊ，０）_２が生成される。ｄｆ_０は、０≦ｄｆ_０＜φを満たさなくてもよい。この実施形態では、第９の実施形態とは異なり、ｄｆ_１，．．．ｄｆ_ｇ−１は０以上のｕビットの任意の乱数なので、ｄｆ_０，ｄｆ_１，．．．ｄｆ_ｇ−１がより多くの取りうる値を有し、従ってｂ_ｉもより多くの取りうる値を有する。
【０１３３】
生成部７５は、ステップ１４０３においてｄｆ_０＋ｄｆ_１＋．．．＋ｄｆ_ｇ−１のビット長ｕ’を求め、ステップ１４０４においてウィンドウｂ_ｉの数ｍ＝ｃｅｉｌｉｎｇ（ｕ’／（ｋ−ｈ））を求める。ステップ１４０５において、生成部７５はｉ＝ｍ−１にセットする。
【０１３４】
ステップ１４０６において、生成部７５は、ｊ＝０，１，．．．（ｇ−１）について、（ｋ−ｈ）ビットのストリングの値ｓ_ｊ＝（ｄｆ_{ｊ，（ｉ＋１）（ｋ−ｈ）−１}，．．．ｄｆ_{ｊ，ｉ（ｋ−ｈ）}）_２をセットする。ステップ１４０７において、生成部７５は、オーバラップ・ウィンドウｂ_ｉ＝ｓ_０＋ｓ_１＋．．．＋ｓ_ｇ−１を求める。ステップ１４０８〜１４０９は図３０のステップ１３０７〜１３０８に対応する。このようにして、生成部７５はオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を出力する。
【０１３５】
本発明によれば、公開鍵演算がウィンドウ法に基づいているのでＳＰＡによる秘密鍵の推定が防止される。入力値ｄに対して複数のウィンドウｂ_ｉが乱数に従って選択されるのでＤＰＡによる秘密鍵の推定も防止される。本発明によれば、通常の分割指数法のように公開鍵演算を２回実行する必要がなく、公開鍵演算を１回だけ実行すればよいので、処理速度が速い。
【０１３６】
表２は、従来の分割指数法と本発明の処理速度の比較を示している。表２において、ｕは秘密鍵のビット長を、Ｍは乗算または点の加算／減算の計算量を、Ｓは２乗または点の２倍算の計算量を表す。ｈが可変長ｈ_ｉの場合は、ｈは平均の長さを表す。
【０１３７】
【表２】

【０１３８】
従来の分割指数法の処理速度は、図６に示す２つの公開鍵演算ｖ_１＝ａ^ｄ１（ｍｏｄｎ）とｖ_２＝ａ^ｄ２（ｍｏｄ ｎ）の計算の方法によって異なるが、どのような方法を用いても最低２ｕＳの計算量を必要とする。一方、本発明では１回のみの公開鍵演算を必要とし、平均（Ｓ＋Ｍ／（ｋ−ｈ））ｕの計算量が必要である。一般的にＳ≒Ｍなので、従来の分割指数法の計算量は２ｕＭであり、一方、本発明の計算量は（１＋１／（ｋ−ｈ））ｕＭである。本発明においては、ｈ＜ｋであり（１＋１／（ｋ−ｈ））ｕＭ≦２ｕＭなので、本発明の公開鍵演算は従来の分割指数法より速い。例えば、ｋ＝４およびｈ＝２の場合、分割指数法は最低でも２ｕＭの計算量を必要とするが、本発明は平均１．５ｕＭの計算量しか必要としない。
【０１３９】
以上説明した実施形態では、所与の１つの秘密鍵ｄに対するオーバラップ・ウィンドウの取り得る（可能な）パターンの数は、オーバラップ・ウィンドウ法における各ウィンドウ生成においてそれぞれに使用される乱数の取り得るパターンの数にのみ依存する。ＤＰＡに対するオーバラップ・ウィンドウ法の安全性はオーバラップ・ウィンドウｂ_ｉの取り得るパターンの数に依存する。乱数のパターンの数は、隣接のオーバラップ・ウィンドウｂ_ｉ＋１とｂ_ｉの重なりビット長ｈによって決まり、この数を大きくするためにはウィンドウの長さｋを大きくする必要がある。しかし、ウィンドウの長さｋを大きくすると、生成されるテーブルｗまたはＷのサイズが増加し、ウィンドウの生成、テーブルの生成およびテーブル・ルックアップの効率が低下する。
【０１４０】
以下、本発明による、所与の１つの秘密鍵ｄに対する複数のウィンドウｂ_ｉのそれぞれの一部に、所定の同じ値または乱数に従って生成された同じ値Ｓを用いるオーバラップ・ウィンドウ法を説明する。ここでは、この方法を指数乗剰余演算に関して説明するが、点のスカラー倍算に関しても同様に実現できる。この方法は、生成されるテーブルのサイズを大きくすることなくウィンドウｂ_ｉの取り得るパターンの数を増やすことができ、効率よく安全性が高められる。
【０１４１】
図３４Ａおよび３４Ｂは、本発明による、所与の１つの値ｄに対する複数のウィンドウのそれぞれの一部について所定の同じ値または乱数に従って生成された同じ値を用いるオーバラップ・ウィンドウ法の原理を説明するのに役立つ。
【０１４２】
図３４Ａを参照して説明すると、安全性を高めるために、オーバラップ・ウィンドウｂ_ｉのビット長ｋをより長くする。さらに、ウィンドウｂ_ｍ−１、ｂ_ｍ−２、．．．ｂ_０（ここで、ｍはウィンドウの数を表す）の各ウィンドウｂ_ｉ中の所定位置におけるｈビットの重なりビット・ストリングの値を、乱数ｒに従って発生された同じ値Ｓに設定する。
【０１４３】
図３４Ｂを参照して説明すると、オーバラップ・ウィンドウ法の安全性はオーバラップ・ウィンドウｂ_ｉのビット長ｋに応じて決まる。生成されるテーブルｗのサイズは、その同じ値Ｓを有するｈビット以外のｋ−ｈビットに応じて決まる。その理由は、ｈビットに対する同じ値Ｓを考慮すると、ｋビットのオーバラップ・ウィンドウｂ_ｍ−１、ｂ_ｍ−２、．．．ｂ_０に対するｗ［ｂ_ｉ］＝ａ^ｘ（ｍｏｄ ｎ）を満たす取り得る値ｗ［ｂ_ｉ］の数は２^ｋ−ｈだからである。従って、テーブルｗのエントリとして２^ｋ−ｈ個の値ｗが計算され生成されてテーブルｗに格納される。テーブルｗをルックアップするとき、ウィンドウｂ_ｉにおける下線のｋ−ｈビット部分のみをインデックスとして用いればよい。このようにして、テーブル・サイズを増加させることなく、およびテーブル・ルックアップに使用するインデックス値ｉｎｄの長さを増加させることなく、ウィンドウｂ_ｉの長さを大きくすることができる。
【０１４４】
図３５は、後で説明する改良手法１および２において用いられる、複数のウィンドウのそれぞれの一部に同じ値Ｓを用いるオーバラップ・ウィンドウ法による暗号処理装置１６０の概略的構成を示している。暗号処理装置１６０は、値ａ、ｄおよびｎまたは値Ａおよびｄを入力して供給する入力部７２と、乱数発生器７４と、乱数発生器７４からの乱数に従って値ｄからオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を生成し同じ値Ｓおよび必要な場合は重なり長ｈを供給するウィンドウ値生成部７６と、生成部７６からのウィンドウを格納するメモリ７８と、入力部７２からの値ａおよびｎまたは値Ａと生成部７６からの値Ｓとからｋビットのウィンドウｂ_ｉに対するテーブルｗまたはＷを生成するテーブル生成部８０と、テーブル・メモリ８２と、メモリ７８からのウィンドウおよび必要な場合は重なり長ｈに従ってテーブル・メモリ８２中のテーブルｗまたはＷをルックアップ（探索）して等式ｖ＝ａ^ｄ（ｍｏｄ ｎ）またはＶ＝ｄＡを演算するウィンドウ法演算部８４と、値ｖまたはＶを出力する出力部８６とを含んでいる。
【０１４５】
図３６は、後で説明する改良手法１および２において用いられる、複数のウィンドウのそれぞれの一部に同じ値Ｓを用いるオーバラップ・ウィンドウ法による逐次または反復処理型の暗号処理装置１６２の概略的構成を示している。暗号処理装置１６２は、乱数発生器７４からの乱数に従って値ｄからオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を順次生成し同じ値Ｓおよび必要な場合は重なり長ｈを供給するウィンドウ値生成部７６と、ウィンドウ値生成部７６からのウィンドウおよび必要な場合は重なり長ｈに従ってテーブル・メモリ８２中のテーブルｗまたはＷをルックアップして等式ｖ＝ａ^ｄ（ｍｏｄ ｎ）またはＶ＝ｄＡを演算するウィンドウ法演算部８４と、を含んでいる。暗号処理装置１６２は、さらに、図３５の暗号処理装置１６０と同様に、入力部７２と、乱数発生器７４と、テーブル生成部８０と、テーブル・メモリ８２と、出力部８６とを含んでいる。
【０１４６】
図３５および３６の暗号化装置１６０および１６２は、さらに、プロセッサ６２と、ＲＯＭのようなプログラム・メモリ６４とを含んでいる。プロセッサ６２は、メモリ６４に格納されているプログラムに従ってこれらの要素７２〜８６を制御する。代替構成として、プロセッサ６２は、要素７２〜８６に対応する機能を実現するメモリ６４中のプログラムを実行することによって要素７２〜８６を実現してもよい。この場合、図３５および３６はフロー図として見ることができる。
【０１４７】
改良手法１ オーバラップ・ウィンドウの中央位置に同じ値Ｓを用いる手法
図３７は、本発明による、オーバラップ・ウィンドウｂ_ｉの中央位置に同じ値Ｓを設定する手法を説明するのに役立つ。図３７を参照すると、この手法では、上述の図１０のオーバラップ・ウィンドウ法と同様に、隣接するウィンドウｂ_ｉ＋１とｂ_ｉが重なりビット長ｈを有する。ウィンドウｂ_ｉは、ｋビットのシーケンスであり、ｋ−ｈ個のＭＳＢと、ｋ−ｈ個のＬＳＢと、残りのｓ個の中央のビット（ｓ＝ｋ−２（ｋ−ｈ）＝２ｈ−ｋ）とを含んでいる。この図において、ｋ−ｈ個のＭＳＢの値をｘ１とし、ｋ−ｈ個のＬＳＢの値をｘ２としている。ウィンドウｂ_ｉのｋ−ｈ個のＬＳＢは乱数ｒ_ｉに従って生成される。全てのオーバラップ・ウィンドウｂ_ｍ−１、ｂ_ｍ−２、．．．ｂ_０の各々の中央位置のｓビット・ストリングの値が同じ値Ｓに設定される。値Ｓは、各値ｄごとに乱数ｒ_ｄに従って発生してもよく、または固定値、例えば０でもよい。ウィンドウｂ_ｉは、図１４および１５に示された第１の実施形態のウィンドウｂ_ｉの中央のｓビットを値Ｓとしたものに相当する。
【０１４８】
ｖ＝ａ^ｄ（ｍｏｄ ｎ）は、オーバラップ・ウィンドウｂ_ｉのｋ−ｈ個のＭＳＢおよびｋ−ｈ個のＬＳＢを有するインデックスｉｎｄ_ｉを用いたテーブルｗのルックアップによるｗ［ｉｎｄ_ｉ］の乗算と、累乗とによって求められる。Ｖ＝ｄＡは、そのようなインデックスｉｎｄ_ｉを用いたテーブルｗのルックアップによるＷ［ｉｎｄ_ｉ］の加算およびＷ［−ｉｎｄ_ｉ］の減算と、乗算とによって求められる。
【０１４９】
図３８は、本発明による、オーバラップ・ウィンドウｂ_ｉの中央位置に同じ値Ｓを用いる手法を用いた指数剰余演算の概略的なフロー図を示している。図３８のフロー図は、図１０のフロー図の変形である。この手法は、図１０のＲＳＡ暗号処理と図１２の楕円曲線暗号処理の双方に適用できる。
【０１５０】
次に、図３５および３６をも参照して、図３８のフロー図を説明する。ステップ１５０１において、入力部７２は値ａ、ｄおよびｎを入力して、ｄを生成部７６に供給し、ａおよびｎまたはＡを生成部８０に供給する。ステップ１５０２において、生成部７６は、乱数発生器７４からの乱数ｒ_ｉに従って、値ｄからウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０の代わりにインデックスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ_０を導出してメモリ７８に格納する。インデックスｉｎｄ_ｉは、ウィンドウｂ_ｉの中央のｓビットを取り除いたシーケンスで、０≦ｉｎｄ_ｉ＜２^{ｘ１＜＜（ｋ−ｈ）＋ｘ２}（０≦ｘ１＜２^ｋ−ｈ，０≦ｘ２＜２^ｋ−ｈ）の範囲の値である。ここで、ｘ１はウィンドウｂ_ｉのｋ−ｈ個のＭＳＢを表し、ｘ２はウィンドウｂ_ｉのｋ−ｈ個のＬＳＢを表す。インデックスｉｎｄ_ｉは、ウィンドウｂ_ｉを圧縮したものと見ることもできる。ステップ１５０４において、テーブル生成部８０は、２（ｋ−ｈ）個の値ｗ［０］，．．．ｗ［２^{２×（ｋ−ｈ）−１}］を含むテーブルｗ（ｗ［ｘ１＜＜（ｋ−ｈ）＋ｘ２］＝ａ^{（ｘ１＜＜ｈ）＋（Ｓ＜＜（ｋ−ｈ））＋ｘ２}（ｍｏｄ ｎ））を生成してメモリ８２に格納する。ステップ１５０２とステップ１５０４は順序が逆であってもよい。
【０１５１】
ウィンドウ法演算のためのステップ１５０６〜１５１６において、演算部８４は、ｉ＝ｍ−１，ｍ−２，．．．０について順次、ｉｎｄ_ｉに従って、メモリ８２のテーブルｗのルックアップによるｗ［ｉｎｄ_ｉ］の乗算と累乗とを、ｖに対して実行する。ステップ１５０６において、演算部８４はｖ＝１およびｉ＝ｍをセットする。ステップ１５０８において、演算部８４はｉ＝ｉ−１をセットする。ステップ１５１０において、演算部８４は、後で詳しく説明するようにインデックスｉｎｄ＝（ｂ_{ｉ，（ｋ−１）}，ｂ_{ｉ，（ｋ−２）}，．．．ｂ_ｉ，ｈ）｜｜（ｂ_{ｉ，（ｋ−ｈ−１）}，ｂ_{ｉ，（ｋ−ｈ−２）}，．．．ｂ_ｉ，０）を用いてテーブルｗをルックアップして、ｖにｗ［ｉｎｄ_ｉ］を乗算する。ここで、ａ｜｜ｂは、複数ビット値ａをＭＳＢとし複数ビット値ｂをＬＳＢとするシーケンス値を生成する結合演算であり、αビット・ストリングａ＝（ａ_α−１，ａ_α−２，．．．ａ_０）およびβビット・ストリングｂ＝（ｂ_β−１，ｂ_β−２，．．．ｂ_０）に対して、α＋βビット・ストリングａ｜｜ｂ＝ａ_α−１，ａ_α−２，．．．ａ_０，ｂ_β−１，ｂ_β−２，．．．ｂ_０）となる。ステップ１５１２において、演算部８４はｉの値と値０とを比較してｉ＝０かどうかを判定する。ｉ＝０でないと判定された場合には、ステップ１５１４において、演算部８４は、（ｋ−ｈ）回の２乗によってｖの２^{（ｋ−ｈ）}乗を生成する。ステップ１５１２においてｉ＝０であると判断された場合には、ステップ１５１６において演算部８４は、一連のオーバラップ・ウィンドウの演算結果が従来のウィンドウ法の演算結果と整合するようにするための補正演算または補償演算を行う。ステップ１５１８において、出力部８６はｖ＝ａ^ｄ（ｍｏｄ ｎ）を出力する。ステップ１５０２、１５０４およびステップ１５０６〜１５１４は同時に（並行して）または反復的に実行されてもよい。
【０１５２】
このように、ｓビットの同じ値Ｓの使用により、インデックスｉｎｄの必要な長さは、ｋビットのウィンドウに対して、ｋ−ｈ個のＭＳＢとｋ−ｈ個のＬＳＢに対する２×（ｋ−ｈ）ビットとなり、テーブル・サイズは２^{２×（ｋ−ｈ）}個のｗの値となる。この手法において、最初のウィンドウ以外のウィンドウｂ_ｉの値は、ビットの長さｓ（数）に応じて１つ乃至数個前までの複数のウィンドウに依存する。図１０の指数剰余演算ではウィンドウｂ_ｉの値は１つ前のウィンドウにおける乱数値にのみ依存するので、この手法の方が中間データの量が増え、安全性が高くなる。なお、Ｓ以外の部分について、簡単化のために、ｋ−ｈ個のＭＳＢおよびｋ−ｈ個のＬＳＢについて説明するが、これらのＭＳＢの長さとＬＳＢの長さとは等しくなくてもよい。
【０１５３】
図３９は、改良手法１による最初の３つのウィンドウの生成の例を示している。最初のウィンドウｂ_ｍ−１において、ｋ−ｈ個のＭＳＢは値ｄの中のｋ−ｈ個のＭＳＢに一意的に決定され、次の中央の２ｈ−ｋ個のＭＳＢは値Ｓに一意的に決定され、ｋ−ｈ個のＬＳＢの値は乱数ｒ_ｍ−１に従って決定される。中間データの取り得るパターンの数は２^{（ｋ−ｈ）}である。次のウィンドウｂ_ｍ−２において、ｋ−ｈ個のＭＳＢは値ｄの中の後続のｋ−ｈ個のＭＳＢと、ウィンドウｂ_ｍ−１における値Ｓとから一意的に決定され、次の２ｈ−ｋ個のＭＳＢは値Ｓに決定され、ｋ−ｈ個のＬＳＢのストリングの値は乱数ｒ_ｍ−２に従って決定される。中間データの取り得るパターンの数は２^{２（ｋ−ｈ）}である。次のウィンドウｂ_ｍ−３において、ｋ−ｈ個のＭＳＢは、値ｄの中の後続のｋ−ｈ個のＭＳＢと、ウィンドウｂ_ｍ−１におけるｋ−ｈ個のＬＳＢと、ウィンドウｂ_ｍ−２における値Ｓとから一意的に決定され、次の２ｈ−ｋ個のＭＳＢは値Ｓに決定され、ｋ−ｈ個のＬＳＢは乱数ｒ_ｍ−３に従って決定される。ウィンドウｂ_ｉにおけるｋ−ｈ個のＬＳＢと、次のウィンドウｂ_ｉ−１における値Ｓと、次のウィンドウｂ_ｉ−２におけるｋ−ｈ個のＭＳＢとの総和が値ｄにおけるｍ−（ｉ−２）番目のｋ−ｈ個のＭＳＢの値になるように、ウィンドウｂ_ｉ−２におけるｋ−ｈ個のＭＳＢが設定される。Ｓ＝０、ｋ＝６、ｈ＝４の場合、中間データの可能なパターンの数は２^{２（ｋ−ｈ）}＝２^４である。３番目以降のウィンドウも同様に生成される。
【０１５４】
図４０は、改良手法１による本発明の第１１の実施形態による、ウィンドウ生成部７６において、重なりビット長ｈを有するオーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１をこの順序で生成するためのフローチャートの一部を示している。図４１は、図４０に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態は、図１８および１９に関連して説明した第３の実施形態の変形と見ることができる。この実施形態は、第３の実施形態において乱数ｗｌ_ｉを、乱数に従って生成されたｋ−ｈ個のＭＳＢと同じ値Ｓを有するｓ個のＬＳＢとで構成したものに相当する。
【０１５５】
ｕビットの秘密鍵ｄ＝（ｄ_ｕ−１，ｄ_ｕ−２，．．．ｄ_０）_２から重なりビット長ｈを有するオーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１を生成するための手順を、図４０および４１を参照して説明する。ｓビットの同じ値を固定値Ｓ＝０とし、ウィンドウの重なり幅をhビットとし、ｓ＝ｋ−２（ｋ−ｈ）＝２ｋ−ｈとする。但し、Ｓは０以外の値であってもよい。この場合、簡単化のためにｍ＝（ｕ−ｈ）／（ｋ−ｈ）は正の整数とする。
【０１５６】
図３８におけるステップ１５０１の後の図４０のステップ１６０２において、生成部７６は中間ウィンドウｄ’＝ｄ（初期値）、ｉ＝０、ｕ＝ｄ’のビット数とセットする。ステップ１６０４において、生成部７６は値ｕが基準値ｋより小さいかどうかを判定する。それが基準値より小さいと判定された場合は、生成部７６はステップ１６１８においてｍ＝ｉとセットして、手順は図３８のステップ１５０４に進む。それが基準値より小さくはないと判定された場合は、手順はステップ１６０６に進む。
【０１５７】
ステップ１６０６において、生成部７６は、値ｕが基準値ｋ＋ｈより大きいかどうかを判定する。それが基準値より大きいと判定された場合は、手順はステップ１６０８に進む。それが基準値より大きくない判定された場合は、手順はステップ１６１２に進む。
【０１５８】
生成部７６は、ステップ１６０８において、ｋ−ｈビットの乱数ｒ_ｉ＝（ｒ_{ｋ−ｈ−１}，ｒ_{ｋ−ｈ−２}，．．．ｒ_０）を生成し、ステップ１６１０において、インデックスｉｎｄ_ｉ＝ｒ_ｉ｜｜（ｄ’のｋ−ｈ個のＬＳＢ）＝（ｒ_{ｋ−ｈ−１}，ｒ_{ｋ−ｈ−２}，．．．ｒ_０，ｄ’_{ｋ−ｈ−１}，ｄ’_{ｋ−ｈ−２}，．．．ｄ’_０）を生成する。
【０１５９】
ステップ１６１４において、生成部７６は、中間ウィンドウｄ’から中央にＳ値の２ｈ−ｋ個のビットを含むウィンドウｂ_ｉ＝（ｂ_{ｉ，ｋ−１}，．．．ｂ_ｉ，０）を減算し、即ちインデックスｉｎｄ（ｉ）のｋ−ｈ個のＭＳＢとｋ−ｈ個のＬＳＢの間にＳ値のｓ個のビット・ストリングを挿入したウィンドウｂ_ｉの値を減算して、その減算値のｋ−ｈ個のＬＳＢを切り捨てたものを新しい中間ウィンドウｄ’とする。ステップ１６１６において、生成部７６は、ｕをその中間ウィンドウｄ’のビット数にセットし、ｉ＝ｉ＋１とセットする。次いで、手順はステップ１６０４に戻る。
【０１６０】
生成部７６は、ステップ１６１２において、インデックスｉｎｄ_ｉ＝（ｄ’のｈビット上位のｋ−ｈ個のＬＳＢ）｜｜（ｄ’のｋ−ｈ個のＬＳＢ）＝（ｄ’_ｋ−１，ｄ’_ｋ−２，．．．ｄ’_ｈ，ｄ’_{ｋ−ｈ−１}，ｄ’_{ｋ−ｈ−２}，．．．ｄ’_０）を生成する。これによって、ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１の累積和（ｂ_ｍ−１＜＜（ｕ−ｋ））＋（ｂ_ｍ−２＜＜（ｕ−２ｋ＋ｈ））＋．．．＋ｂ_０＝ｄとなる。
【０１６１】
図４２は、改良手法１による本発明の第１２の実施形態による、生成部７６において、重なりビット長ｈを有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０を生成するためのフローチャートの一部を示している。図４３は、図４２に従ったオーバラップ・ウィンドウの生成のための演算を例示している。この実施形態では、各ウィンドウの異なる複数の乱数をまとめて生成し、補正用の差を予め求めるものである。
【０１６２】
図３８におけるステップ１５０１の後の図４２におけるステップ１７０２において、生成部７６はｓビットの同じ値Ｓを決定する。ここでは同じ値を固定値Ｓ＝０とする。ステップ１７０４において、生成部７６は、値ｄのビット数に従って、全てのウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０におけるＳをＭＳＢ位置からｋ−ｈビットごとに配置して加算した乱数シーケンスＲ＝（Ｓ＜＜（ｕ−ｈ））＋ （Ｓ＜＜（ｕ−（ｈ＋ｋ−ｈ）））＋（Ｓ＜＜（ｕ−（ｈ＋２（ｋ−ｈ））））．．．＋（Ｓ＜＜（ｋ−ｈ））を生成する。ここで、ｍ＝（ｕ−ｈ）／（ｋ−ｈ）は正の整数とする。ステップ１７０６において、生成部７６はｄ’＝ｄ−Ｒを求める。
【０１６３】
ステップ１７０８において、生成部７６は、ｄ’からｈ個のＭＳＢおよびｈ個のＬＳＢを取り除いてｕ−２ｈビット値ｄｍ＝（ｄ’_{ｕ−ｈ−１}，ｄ’_{ｕ−ｈ−２}，．．．ｄ’_ｈ）とする。ステップ１７０８において、生成部７６は、ｄｍ＝ｄｍ１＋ｄｍ２であるような２つのシーケンスｄｍ１およびｄｍ２を乱数に従って生成する。ステップ１７１２において、生成部７６は、次のような２つのシーケンスｄｈおよびｄｌを生成する。
【数９】

【０１６４】
ステップ１７１４において、生成部７６は、２つのシーケンスｄ_ｈおよびｄ_ｌから次のようなインデックスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ_０を生成する。その後、手順は図３８のステップ１５０４へ進む。
【数１０】

【０１６５】
また、他の実施形態として、値ｄのＭＳＢの位置からインデックスを順次生成してもよく、各ウィンドウのビットに負の値を用いてもよく、上述のｄｈおよびｄｌを用いずに例えばウィンドウ法およびバイナリ・メソッドのような様々な方法で補正演算を行うことができる。
【０１６６】
改良手法２ オーバラップ・ウィンドウのＬＳＢｓまたはＭＳＢｓに同じ値Ｓを用いる手法
図４４は、本発明による、オーバラップ・ウィンドウｂ_ｉのＬＳＢまたはＭＳＢとしてｓビットの同じ値Ｓを用いる手法を説明するのに役立つ。図４４を参照すると、この手法では、上述の図１０のオーバラップ・ウィンドウ法と同様に、隣接するウィンドウｂ_ｉ＋１とｂ_ｉが重なりビット長ｓを有する。ウィンドウｂ_ｉは、ｋ＋ｓビットのシーケンスであり、ｋ個のＭＳＢと、値Ｓのｓ個のＬＳＢとを含んでいる。ここで、この手法におけるウィンドウｂ_ｉの長さはｓビットを除外したビット数ｋで定義されるものとする。全てのオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０の各々のｓ個のＬＳＢのストリングの値は、値ｄに対して乱数ｒ_ｄに従って発生された同じ値Ｓである。この図ではＳ＝（００１１）_２である。ウィンドウｂ_ｉは、図１４および１５に示された第１の実施形態のウィンドウｂ_ｉのｈ個のＬＳＢを（ｈ＝ｓ）値Ｓとしたものである。
【０１６７】
ｖ＝ａ^ｄ（ｍｏｄ ｎ）は、オーバラップ・ウィンドウｂ_ｉのｋ個のＭＳＢを有するインデックスｉｎｄ_ｉを用いたテーブルｗのルックアップによるｗ［ｉｎｄ_ｉ］の乗算と、累乗とによって求められる。Ｖ＝ｄＡは、そのようなインデックスｉｎｄ_ｉを用いたテーブルｗのルックアップによるＷ［ｉｎｄ_ｉ］の加算およびＷ［−ｉｎｄ_ｉ］の減算と、乗算とによって求められる。
【０１６８】
図４５は、本発明による、オーバラップ・ウィンドウｂ_ｉのＬＳＢまたはＭＳＢのストリングに同じ値Ｓを用いる手法を用いた指数剰余演算の概略的なフロー図を示している。図４５の処理フローは、図１０の処理フローの変形である。この手法は、図１０のＲＳＡ暗号処理と図１２の楕円曲線暗号処理の双方に適用できる。
【０１６９】
次に、図３５および３６をも参照して、図４５のフロー図を説明する。ステップ１６０１において、入力部７２は値ａ、ｄおよびｎを入力して、ｄを生成部７６に供給し、ａおよびｎまたはＡを生成部８０に供給する。次いで、生成部７６は乱数ｒ_ｄに従って同じ値Ｓを生成する。ステップ１８０２において、テーブル生成部８０は、ＬＳＢに同じ値Ｓが用いられるときはテーブルｗ（ｗ［ｘ］＝ａ^{ｘ＜＜ｓ＋Ｓ}（ｍｏｄ ｎ））（０≦ｘ＜２^ｋ，０≦Ｓ＜２^ｓ）を生成し、ＭＳＢに同じ値Ｓが用いられるときはテーブルｗ（ｗ［ｘ］＝ａ^{Ｓ＜＜ｋ＋ｘ}（ｍｏｄ ｎ））（０≦ｘ＜２^ｋ，０≦Ｓ＜２^ｓ）を生成してメモリ８２に格納する。ステップ１８０４において、生成部７６は、乱数発生器７４からの乱数ｒ_ｉに従って、値ｄからインデックスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ_０を導出してメモリ７８に格納する。ここで、ｍ＝ｆｌｏｏｒ（（ｕ−ｓ）／ｋ）である。ステップ１８０２とステップ１８０４は順序が逆であってもよい。
【０１７０】
ステップ１８０６〜１８１４において、演算部８４は、ｉ＝ｍ−１，ｍ−２，．．．０について順次、ｂ_ｉに従って、メモリ８２のテーブルｗのルックアップによるｗ［ｂ_ｉ］の乗算と累乗とを、ｖに対して実行する。ステップ１８０６において、演算部８４はｖ＝１およびｉ＝ｍをセットする。ステップ１８０８において、演算部８４はｉ＝ｉ−１をセットする。ステップ１８１０において、演算部８４は、後で詳しく説明するようにウィンドウｂ_ｉのｋ個のＭＳＢをインデックスｉｎｄとしてテーブルｗをルックアップして、ｖにｗ［ｉｎｄ_ｉ］を乗算する。ステップ１８１２において、演算部８４はｉの値と値０とを比較してｉ＝０かどうかを判定する。ｉ＝０でないと判断された場合には、ステップ１８１４において、演算部８４は、ｋ回の２乗（または後で説明するｋ−ｈ’回の２乗）によってｖの２^ｋ乗（または２^ｋ−ｈ’）を生成する。ステップ１８１２においてｉ＝０であると判断された場合には、ステップ１８１６において、出力部８６はｖ＝ａ^ｄ（ｍｏｄ ｎ）を供給する。ステップ１８０２、１８０４およびステップ１８０６〜１５１４は同時に（並行して）または反復的に実行されてもよい。
【０１７１】
図４６は、改良手法２による、ＬＳＢにＳを用いた場合の最初の３つのウィンドウの生成を示している。最初のウィンドウｂ_ｍ−１において、ｋ個のＭＳＢは値ｄ中のｋ個のＭＳＢに一意的に決定され、ｓ個のＬＳＢは値Ｓに決定される。中間データの取り得るパターンの数は２^ｓである。次のウィンドウｂ_ｍ−２において、ｋ個のＭＳＢは値ｄの中の後続のｋ個のＭＳＢとウィンドウｂ_ｍ−１における値Ｓとから一意的に決定され、ｓ個のＬＳＢは値Ｓに決定される。中間データの取り得るパターンの数は２^ｓである。次のウィンドウｂ_ｍ−３において、ｋ個のＭＳＢは値ｄの中の後続のｋ個のＭＳＢとウィンドウｂ_ｍ−２における値Ｓとから一意的に決定され、ｓ個のＬＳＢは値Ｓに決定される。中間データの取り得るパターンの数は２^ｓである。３番目以降のウィンドウも同様に生成される。ｄにおける最後に残ったＬＳＢのシーケンスは補正演算で用いられる。
【０１７２】
ｓビットの同じ値Ｓの使用により、インデックスｉｎｄの必要な長さは、ｋ＋ｓビットのウィンドウに対してｋビットとなり、テーブル・サイズは２^ｋ個のｗの値となる。その処理速度は、ｋビットの通常の非オーバラップ・ウィンドウ法の従来のウィンドウ法とほぼ同程度であり、非常に高速である。この手法では、同じ値Ｓは乱数等によって生成される。この手法における中間データの取り得るパターンの数はｓビット値Ｓの可能なパターンの数に依存する。従って、ｓの長さを充分大きくすれば安全性がより高くなる。Ｓを長くしてもテーブル・サイズは増加せず、処理速度も低下しない。テーブルの作成は適当な方法で行えばよく、補正演算はウィンドウ法やバイナリ・メソッド等の適当な方法で行えばよい。
【０１７３】
図４７は、改良手法２による本発明の第１３の実施形態による、ウィンドウ生成部７６において、重なりビット長ｓを有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成するためのフローチャートの一部を示している。図４８は、図４７に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【０１７４】
図４５におけるステップ１８０２の後の図４７のステップ１９０４において、生成部７６は、初期値としてのｓ個の０ビットをＭＳＢとして含み値ｄ中のｋ個のＭＳＢをＬＳＢとして含む中間ウィンドウｄ’を生成する。ステップ１９０６において、生成部７６は、初期値としてｖ＝１、ｊ＝ｕ−ｓとセットする。
【０１７５】
ステップ１９０８において、生成部７６は、前の中間ウィンドウｄ’のｓ個のＬＳＢをＭＳＢとして含み、値ｄ中の後続のｋ個のＭＳＢをＬＳＢとして含む新しい中間ウィンドウｄ’＝（ｄ’_ｓ−１，．．．ｄ’_０，ｄ_ｊ−１，．．．ｄ_ｊ−ｋ）を生成する。
【０１７６】
ステップ１９１０において、演算部８４は、ｋ回の２乗によってｖの２^ｋ乗を生成する。ステップ１９１２において、演算部８４は、中間ウィンドウｄ’のｋ個のＭＳＢの値が０に等しいかどうかを判定する。それが０に等しいと判定された場合は、手順はステップ１９２０に進む。それが０に等しくないと判定された場合は、手順はステップ１９１４に進む。
【０１７７】
ステップ１９１４において、生成部７６は、中間ウィンドウｄ’から同じ値Ｓを減算して新しい中間ウィンドウｄ’とする。減算前のｄ’のｋ個のＭＳＢは１以上の値なので、減算において繰り下がりが生じても、中間ウィンドウｄ’の値は正の値となる。ステップ１９１６において、生成部７６は、中間ウィンドウｄ’のｋ個のＭＳＢをインデックスｉｎｄとしてセットする_。ステップ１９１８において、演算部８４は、ｖにｗ［ｉｎｄ］を乗算する。
【０１７８】
ステップ１９１２は、k個のＭＳＢが1以上になるまで、手順がステップ１９１４〜１９１８をスキップするようにする。換言すれば、ｋ個のＭＳＢが０より大きくない場合は、ｄ’中のｋ個のＭＳＢが０より大きくなるまで順次ｄ中の後続のｋ個のＭＳＢをサーチする。
【０１７９】
ステップ１９２０において、生成部７６はｊをｊ−ｋとセットする。ステップ１９２２において、生成部７６は、ｊがｋ＋ｓ以上かどうかを判定する。ｊがｋ＋ｓ以上であると判定された場合は、手順はステップ１９０８に戻る。ｊがｋ＋ｓ以上でないと判定された場合は、手順は図４５のステップ１８１６に進む。ステップ１８１６において、演算部８４は補正演算を行う。即ち、ウィンドウがもはや生成できなくなったときには、ｄの残りのビットに対して補正演算を行う。
【０１８０】
図４９は、改良手法２による本発明の第１４の実施形態による、ウィンドウ生成部７６において、重なりビット長ｓを有するオーバラップ・ウィンドウｂ_０，ｂ_１，．．．ｂ_ｍ−１をこの順序で生成するためのフローチャートの一部を示している。図５０は、図４９に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【０１８１】
図４５におけるステップ１８０２の後の図４９のステップ２００４において、生成部７６は、最初に中間ウィンドウｄ’＝ｄ、中間インデックス・シーケンスｄ’’＝０、ｊ＝０、ｉ＝ｕとセットする。
【０１８２】
ステップ２００６において、生成部７６は、中間ウィンドウｄ’＝ｄ’−Ｓを計算し、この中間ウィンドウｄ’のｋ個のＬＳＢを追加的なＭＳＢとして有するシーケンスｄ’’＝（ｄ’_ｋ−１，ｄ’_ｋ−２，．．．ｄ’_０，ｄ’’_ｊ−１，ｄ’’_ｊ−２，．．．ｄ’’_０）を生成する。その追加的なｋビット・ストリング（ｄ’_ｋ−１，ｄ’_ｋ−２，．．．ｄ’_０）はインデックスｉｎｄ_ｉである。最初のｓ個のＬＳＢのシーケンスｓｅｑ_ｃは補正用のシーケンスである。ステップ２００８において、生成部７６は、中間ウィンドウｄ’を２^ｋで除算し、即ちｋ個のＬＳＢを切り捨て、ｊ＝ｊ＋ｋおよびｉ＝ｉ−ｋとセットする。
【０１８３】
ステップ２０１０において、生成部７６は、ｉがｋ＋ｓより大きいかどうかを判定する。ｉがｋ＋ｓより大きいと判定された場合は、手順はステップ２００６に戻る。ｉがｋ＋ｓより大きくないと判定された場合は、手順はステップ２０１２に進む。ステップ２０１２において、生成部７６は、中間ウィンドウｄ’のｓ個のＬＳＢを切り捨てた値が０に等しいかどうかを判定する。その値が０に等しいと判定された場合は、生成部７６は、ステップ２０１６においてｊ＝ｊ＋ｓとセットしてステップ２０２２に進む。その値が０に等しくないと判定された場合は、生成部７６は、ステップ２０１８においてｊ＝ｊ＋ｓ＋ｋとセットしてステップ２０２０に進み、そこでステップ２００６における場合のようにｄ’＝ｄ’−Ｓを計算し、シーケンスｄ’’＝（ｄ’_ｋ−１，ｄ’_ｋ−２，．．．ｄ’_０，ｄ’’_ｊ−１，ｄ’’_ｊ−２，．．．ｄ’’_０）を生成する。その後、手順はステップ２０２２に進む。
【０１８４】
ステップ２０２２において、ｄ’の残りのビットをＭＳＢとして含むシーケンスｄ’’＝ｄ’｜｜（ｄ’’_ｊ−１，ｄ’’_ｊ−２，．．．ｄ’’_０）を生成する。ステップ２０２４において、生成部７６は、シーケンスｄ’’から、最初のｓ個のＬＳＢを除外して、ｋ個のＬＳＢをインデックスｉｎｄ_ｉとして順次取り出して、ｍ個のインデックスｉｎｄ_０，ｉｎｄ_１，．．．ｉｎｄ_ｍ−１を生成する。最初のｓ個のＬＳＢのシーケンスｓｅｑ_ｃは補正演算において用いられる。次いで、手順は図４５のステップ１８０６へ進む。
【０１８５】
図５１は、改良手法２による本発明の第１５の実施形態による、ウィンドウ生成部７６において、重なりビット長ｓを有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成するためのフローチャートの一部を示している。図５２は、図５１に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【０１８６】
ステップ２１０６において、生成部７６は、ｍ個のＳ値のｓビット・ストリングをＭＳＢ位置からｋビットごとに配置して加算した乱数シーケンスＲ＝（Ｓ＜＜（ｕ−（ｋ＋ｓ）））＋（Ｓ＜＜（ｕ−（２ｋ＋ｓ）））＋．．．（Ｓ＜＜ｋ）＋Ｓを生成する。ここで、ｍ＝ｆｌｏｏｒ（（ｕ−ｓ）／ｋ）とする。
【０１８７】
ステップ２１０８において、生成部７６は、中間ウィンドウｄ’＝ｄ−Ｒを計算する。ステップ２１１０において、生成部７６は、インデックスｉｎｄ_ｊ＝（ｄ’_{ｕ−ｉ×ｋ−１}，ｄ’_{ｕ−ｉ×ｋ−２}，．．．ｄ’_{ｕ−ｉ×ｋ−ｋ}）をｉ＝０，１，．．．ｍ−１（ｊ＝ｍ−１−ｉ）の順序で生成する。中間ウィンドウｄ’の長さがｕビット未満のときはＭＳＢ位置に０ビットを埋めてｕビットにする。次いで、手順は図４５のステップ１８０６に進む。
【０１８８】
図５３は、改良手法２による本発明の第１６の実施形態による、ウィンドウ生成部７６において、重なりビット長ｈ’＋ｓを有するオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０をこの順序で生成するためのフローチャートの一部を示している。この実施形態は、第１の実施形態と第１５の実施形態とを組み合わせたものである。図５４は、図５３に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【０１８９】
図４５におけるステップ１８０２の後の図５３のステップ２２０６において、生成部７６は、ｍ個のＳ値のｓビット・ストリングをＭＳＢ位置からｋ−ｈ’ビットごとに配置して加算した乱数シーケンスＲ＝（Ｓ＜＜（ｕ−（ｋ＋ｓ）））＋（Ｓ＜＜（ｕ−（ｋ＋ｓ）−（ｋ−ｈ’）））＋（Ｓ＜＜（ｕ−（ｋ＋ｓ）−２（ｋ−ｈ’）））＋．．．（Ｓ＜＜（ｋ−ｈ’））＋Ｓを生成する。ここで、ｍ＝ｆｌｏｏｒ（（ｕ−ｓ−ｈ’）／（ｋ−ｈ’））とする。図５４において、ｈ’＝１である。
【０１９０】
ステップ２２０８において、生成部７６は、中間ウィンドウｄ’＝ｄ−Ｒを計算する。最初の乱数値ｒ_ｍ−１＝ｒ_{ｆｌｏｏｒ（（ｕ−ｓ−ｈ’）／（ｋ−ｈ’））−１}を初期値０にセットする。ステップ２２１０において、生成部７６は、ｉ＝ｆｌｏｏｒ（（ｕ−ｓ−ｈ’）／（ｋ−ｈ’））とセットする。ステップ２２１２において、生成部７６はｉ＝ｉ−１とセットする。
【０１９１】
ステップ２２１４において、生成部７６は、乱数に従ってｋビットのインデックスｉｎｄ_ｉ＝（ｉｎｄ_{ｉ，ｋ−１}，ｉｎｄ_{ｉ，ｋ−２}，．．．ｉｎｄ_ｉ，０）を生成する。インデックスｉｎｄ_ｉ中のｈ’個のＬＳＢを乱数ｒ_ｉに従って生成し、そのｈ’個のＭＳＢとインデックスｉｎｄ_ｉ＋１のｈ’個のＬＳＢの和がｄ’中の対応するｈ’個のビット・ストリングの値になるように、そのｈ’個のＭＳＢを決定し、中央のｋ−２ｈ’ビットはｄ’中の対応するビットを取り出してコピーする。
【０１９２】
ステップ２２１６において、生成部７６は、ｉ＝０かどうかを判定する。ｉ＝０と判定された場合には手順はステップ２２１８に進む。ｉ＝０と判定されなかった場合には手順はステップ２２１２に戻る。
【０１９３】
ステップ２２１８において、演算部８４は、ｖ＝１、ｉ＝ｆｌｏｏｒ（（ｕ−ｓ）／（ｋ−ｈ’））とセットする。ステップ２２２０〜２２２６は図４５のステップ１８０６〜１８１４と同様である。ステップ２２２６において、演算部８４は、ｋ−ｈ’回の２乗によってｖのまたは２^ｋ−ｈ’を生成する。その後、手順は図４５のステップ１５１６へ進む。
【０１９４】
図５５は、次に説明する改良手法３において用いられる、複数のウィンドウのそれぞれの複数の部分に同じ値Ｓを用いるオーバラップ・ウィンドウ法による暗号処理装置１６４の概略的構成を示している。暗号処理装置１６４は、図７の暗号処理装置６０と同様に、値ａ、ｄおよびｎまたは値Ａおよびｄを入力して供給する入力部７２と、乱数発生器７４と、乱数発生器７４からの乱数に従って値ｄからオーバラップ・ウィンドウｂ_ｍ−１，ｂ_ｍ−２，．．．ｂ_０および重なり長ｈ_{ｍ−１ （ｍｏｄ ｓ＋１）}，ｈ_{ｍ−２ （ｍｏｄ ｓ＋１）}，．．．ｈ_{ｍ−（ｓ＋１） （ｍｏｄ ｓ＋１）}を生成するウィンドウおよび重なり長生成部７７と、生成部７７からのウィンドウおよび重なり長を格納するメモリ７８と、入力部７２からの値ａおよびｎまたは値Ａからｋビットのウィンドウｂ_ｉに対するテーブルｗまたはＷを生成するテーブル生成部８０と、テーブル・メモリ８２と、メモリ７８からのウィンドウおよび重なり長に従ってテーブル・メモリ８２中のテーブルｗまたはＷをルックアップして等式ｖ＝ａ^ｄ（ｍｏｄ ｎ）またはＶ＝ｄＡを演算するウィンドウ法演算部８４と、値ｖまたはＶを出力する出力部８６とを含んでいる。
【０１９５】
図５６は、後で説明する改良手法３において用いられる、複数のウィンドウのそれぞれの複数の部分に同じ値Ｓを用いるオーバラップ・ウィンドウ法による逐次または反復処理型の暗号処理装置１６６の概略的構成を示している。暗号処理装置１６６は、乱数発生器７４からの乱数に従って値ｄからオーバラップ・ウィンドウｂ_ｉおよび重なり長ｈ_{ｉ （ｍｏｄ ｓ＋１）}を順次生成するウィンドウおよび重なり長生成部７７と、生成部７７からのウィンドウおよび重なり長に従ってテーブル・メモリ８２中のテーブルｗまたはＷをルックアップして等式ｖ＝ａ^ｄ（ｍｏｄ ｎ）またはＶ＝ｄＡを演算するウィンドウ法演算部８４と、を含んでいる。暗号処理装置１６６は、さらに、図５４の暗号処理装置６０と同様に、入力部７２と、乱数発生器７４と、テーブル生成部８０と、テーブル・メモリ８２と、出力部８６とを含んでいる。
【０１９６】
図５５および５６の暗号化装置１６４および１６６は、さらに、プロセッサ６２と、ＲＯＭのようなプログラム・メモリ６４とを含んでいる。プロセッサ６２は、メモリ６４に格納されているプログラムに従ってこれらの要素７２〜８６を制御する。代替構成として、プロセッサ６２は、要素７２〜８６に対応する機能を実現するメモリ６４中のプログラムを実行することによって要素７２〜８６を実現してもよい。この場合、図５５および５６はフロー図として見ることができる。
【０１９７】
改良手法３ オーバラップ・ウィンドウにおいて値ｄからの複数のｔビット値の間に同じｓ×ｔビット値Ｓを配置する手法
図５７、５８および５９は、本発明による、オーバラップ・ウィンドウｂ_ｉにおいて値ｄから取り出されたｃ個の位置のｔビット値の間にｓ×ｔビットの長さの同じ値Ｓを配置する手法を説明するのに役立つ。図５７、５８および５９を参照すると、この手法では、オーバラップ・ウィンドウｂ_ｉの長さｋはｋ＝ｃ×ｔ＋ｓ×（ｃ−１）×ｔ＝ｓ×ｃ×ｔ−ｓ×ｔ＋ｃ×ｔビットである（ｃ、ｓおよびｔは正の整数）。図５７においてｔ＝１およびｓ＝１であり、図５８においてｔ＝１およびｓ＝２であり、図５９においてｔ＝２およびｓ＝２である。
【０１９８】
値ｄに対する、最初のｓ＋１個のウィンドウｂ_ｍ−１，．．．ｂ_{ｍ−（ｓ＋１）}のそれぞれの先頭位置は、値ｄにおける対応する１番目．．．ｓ＋１番目のＭＳＢを基準として、値ｄに対して、対応するｃ個の乱数ｒ_０，．．．ｒ_ｓ（０≦ｒ_ｊ≦ｃ−１）に従って決定された値Ｈ_ｊ＝（ｃ−ｒ_ｊ−１）×ｔビット分だけ上位のビット位置に位置する。最初のウィンドウｂ_ｍ−１は、そのウィンドウの先頭ビット位置が、ｄにおける基準位置としてのＭＳＢ（＝ｄ_ｕ−１）より乱数ｒ_０（０≦ｒ_０≦ｃ−１）に従うＨ_０＝（ｃ−ｒ_０−１）×ｔビット分だけ上位のビット位置に配置される。次のウィンドウｂ_ｍ−２は、そのウィンドウの先頭ビット位置が、ｄにおける基準位置としての次のＭＳＢ（＝ｄ_ｕ−２）より乱数ｒ_１（０≦ｒ_１≦ｃ−１）に従うＨ_１＝（ｃ−ｒ_１−１）×ｔビット分だけ上位のビット位置に配置される。ｓ＝２以上の場合、さらに次のウィンドウｂ_ｍ−３は、そのウィンドウの先頭ビット位置が、ｄにおける基準位置としての次のＭＳＢ（＝ｄ_ｕ−３）より乱数ｒ_２（０≦ｒ_２≦ｃ−１）に従うＨ_２＝（ｃ−ｒ_２−１）×ｔビット分だけ上位のビット位置に配置される。
【０１９９】
ウィンドウｂ_ｉは、ｓ×ｔビットおきのそのＭＳＢおよびＬＳＢを含むｃ個のｔビット位置に（陰影が付けられたビット位置に）、値ｄ中のｋビット・シーケンスにおける対応するビット位置におけるｔビット値を含むようになっている。ウィンドウｂ_ｉは、ｃ個のｔビット値の間のそれぞれの連続するｔビット幅のｓ個の位置に（陰影のないビット位置）、同じｔビット値Ｓを挿入される。この値Ｓは、好ましくは０であり、即ちｃ個のビットの間の全てのｔビット幅のｓ個の位置にビット値０が挿入される。
【０２００】
後続のウィンドウｂ_ｉ−１は、前のウィンドウｂ_ｉのｃ個のｔビット値で捕捉されなかったその間にある連続するｓ×ｔビットの位置における他のｔビット値を捕捉するように決定される。さらに後続のウィンドウｂ_ｉ−２は、前のウィンドウｂ_ｉおよびｂ_ｉ−１のそれぞれのｃ個のｔビット値で捕捉されなかったその間にある連続するｓ×ｔビットの位置における他のｔビット値を捕捉するように決定される。
【０２０１】
このようにして、最初のウィンドウｂ_ｍ−１とｓ＋１個毎（ｓ個おき）の後続のウィンドウｂ_ｍ−１，ｂ_{ｍ−１−（ｓ＋１）}，ｂ_{ｍ−１−２（ｓ＋１）}，．．．とは系列０のウィンドウのグループを形成する。最初のウィンドウｂ_ｍ−１とｓ＋１個毎（ｓ個おき）の後続のウィンドウｂ_ｍ−１，ｂ_{ｍ−１−（ｓ＋１）}，ｂ_{ｍ−１−２（ｓ＋１）}，．．．とは系列０のウィンドウのグループを形成する。２番目のウィンドウｂ_ｍ−２とｓ＋１個毎（ｓ個おき）の後続のウィンドウｂ_ｍ−２，ｂ_{ｍ−２−（ｓ＋１）}，ｂ_{ｍ−２−２（ｓ＋１）}，．．．とは系列１のウィンドウのグループを形成する。ｓ＝２以上の場合、３番目のウィンドウｂ_ｍ−３とｓ＋１個毎（ｓ個おき）の後続のウィンドウｂ_ｍ−３，ｂ_{ｍ−３−（ｓ＋１）}，ｂ_{ｍ−３−２（ｓ＋１）}，．．．とは系列２のウィンドウのグループを形成する。このようにして、互いにずれて配置されるｓ＋１系列のウィンドウが形成される。いずれのウィンドウにも捕捉されなかった残りのビットのシーケンスｓｅｑ_ｃは、補正演算において用いられる。テーブル・ルックアップの開始位置は、ｓ＋１個の系列ごとに乱数ｒ_０，．．．ｒ_ｓによって決定する。
【０２０２】
隣接するウィンドウｂ_ｉ＋１とｂ_ｉの重なり長ｈ_ｉは、ｈ_ｉ＝ｋ−｜Ｈ_{（ｍ−１）−ｉ （ｍｏｄ ｓ＋１）}−Ｈ_{（ｍ−１）−（ｉ＋１） （ｍｏｄ ｓ＋１）}＋ｔ｜で表される。ｃ個のｔビット値＝（ｘ１，ｘ２，．．．ｘｃ）（ｘｉ＝ｔビット値（ｉ＝１，２，．．．ｃ）、０≦ｘｉ＜２^ｔ）とすると、インデックスｉｎｄ＝（ｘ１＜＜（ｃ−１）×ｔ）＋（ｘ２＜＜（ｃ−２）×ｔ）＋．．．＋ｘｃであり、値ｗ［ｉｎｄ］＝ａ^{ｘ１＜＜（（ｃ−１）×ｔ＋ｓ×ｔ×（ｃ−１））＋ｘ２＜＜（（ｃ−２）×ｔ＋ｓ×ｔ＋ｓ×ｔ×（ｃ−２）＋．．．＋ｘｃ}（ｍｏｄ ｎ）となる。ａ^ｄ（ｍｏｄ ｎ）は、次のように表される。
【数１１】

【０２０３】
図６０は、本発明による、オーバラップ・ウィンドウｂ_ｉの値ｄからの複数のｔビット値の間に同じｓ×ｔビット値Ｓを配置する手法を用いた指数剰余演算の概略的なフロー図を示している。この手法は、ＲＳＡ暗号処理と楕円曲線暗号処理の双方に適用できる。
【０２０４】
次に、図６０のフロー図を説明する。ステップ２３０１において、入力部７２は値ａ、ｄおよびｎを入力して、ｄをウィンドウ生成部７７に供給し、ａおよびｎまたはＡをテーブル生成部８０に供給する。ステップ２３０２において、生成部８０は、値ｗ［ｉｎｄ］＝ｗ［ｘ１＜＜（ｃ−１）×ｔ＋ｘ２＜＜（ｃ−２）×ｔ＋．．．＋ｘｃ］＝ａ^{ｘ１＜＜（（ｃ−１）×ｔ＋ｓ×ｔ×（ｃ−１））＋ｘ２＜＜（（ｃ−２）×ｔ＋ｓ×ｔ＋ｓ×ｔ×（ｃ−２）＋．．．＋ｘｃ}（ｍｏｄ ｎ）を計算してテーブルを生成する。ステップ２３０４において、生成部７７は、インデックスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ_０を生成する。ステップ２３０６において、演算部８４は、値ｄに対応するＭＳＢの位置から順次、一連のウィンドウに対して、現在のウィンドウにおける隣接のウィンドウの前までのビット数分だけテーブルをルックアップしてウィンドウ法演算ｖ＝ｖ×ｗ［ｉｎｄ_ｉ］（ｍｏｄ ｎ）およびｖの２^ｔ乗を順次行う。ステップ２３０８において、ｖ＝ａ^ｄ（ｍｏｄ ｎ）を出力する。
【０２０５】
必要なインデックスｉｎｄ_ｉの長さは、ｋビット・ウィンドウｂ_ｉに対してｃ×ｔ＝ｋ−（ｃ−１）×ｓ×ｔビットである。テーブルｗにおける値ｗ［ｉｎｄ_ｉ］の数は２^ｃ×ｔ＝２^{ｋ−（ｃ−１）×ｓ×ｔ}個となる。値Ｓは、固定値、好ましくは０であるが、各値ｄごとに乱数ｒ_ｄに従って発生してもよい。値Ｓが乱数ｒ_ｄに従う値であるときは、値ｄのビット・シーケンスから全てのウィンドウの対応する位置に配置された値Ｓ（即ち乱数シーケンスＲ）を減算した値ｄ’を値ｄの代わりに用いる。その処理速度は、非オーバラップ・ウィンド法の従来のウィンドウ法とほぼ同程度であり、非常に高速である。
【０２０６】
図６１は、所与の値ｄに対する、各系列に対する各ウィンドウの取り得るパターンの数を示している。この手法において、乱数によってウィンドウの位置がいったん決定すれば、各ウィンドウの値は一意的に決定される。従って、所与の値ｄに対して、各ウィンドウの取り得るパターンの数は、乱数ｒ_ｊ（０≦ｒ_ｊ≦ｃ−１）による取り得る位置のパターンの数ｃによって決定される。各系列の全てのウィンドウに対する中間データの取り得るパターンの数はｃである。同じ系列の２巡目以降のウィンドウの位置は、１巡目で決定されたウィンドウの位置で一意的に決定される。一般的には、中間データの取り得るパターンの数はｃ^ｓ＋１である。例えば、図６１に示された値ｄ（１１１１０．．．１１）_２、ｔ＝１、ｓ＝１、ｃ＝３に対して、系列０のウィンドウの取り得る位置の数はｃ＝３であり、系列０の最初のウィンドウｂ_ｍ−１の取り得る値は（００００１）、（００１０１）および（１０１００）であり、系列１のウィンドウの取り得る位置の数はｃ＝３であり、系列１の最初のウィンドウｂ_ｍ−２の取り得る値は（００００１）、（００１００）および（１０００１）である。この場合、２つの系列のウィンドウに対する中間データの取り得るパターンの数はｃ^２＝３^２＝９である。３つの系列のウィンドウに対する中間データの取り得るパターンの数はｃ^３である。 改良手法３の中間データの取り得るパターンの数は、各系列のテーブル・ルックアップ開始位置の取り得る各ウィンドウの取り得るパターンの数ｃを増大させてもテーブル・サイズは増加せず、処理速度も低下しない。従って、効率よく安全性を高めることができる。
【０２０７】
図６２は、改良手法３による本発明の第１７の実施形態による、ウィンドウ生成部７７および演算部８４において、オーバラップ・ウィンドウのインデックスｉｎｄ_ｍ−１，ｉｎｄ_ｍ−２，．．．ｉｎｄ_０をこの順序で生成するためのフローチャートの一部を示している。図５７、５８および５９は、図６２に従ったオーバラップ・ウィンドウの生成のための演算を例示してもいる。
【０２０８】
図６０のステップ２３０２の後の図６２のステップ２４０４において、生成部７７は、乱数発生器７４に、０≦ｒ_ｊ≦ｃ−１（ｊ＝０，１，．．．ｓ）を満たすｓ＋１個の乱数ｒ_ｊを生成させる。
【０２０９】
ステップ２４０６において、演算部８４はｖ＝１をセットする。ステップ２４０８〜２４２８において、値ｄのｕビット・シーケンスをｔ個のＭＳＢずつ順次チェックして、生成部は７７および演算部８４は、それが或るウィンドウｂ_ｉのｔ個のＬＳＢの位置に対応するときは値ｄから取り出されたそのウィンドウのｃ個のｔビット値を含むインデックスｉｎｄを生成して、そのインデックスを用いたテーブル・ルックアップによるｗ［ｉｎｄ_ｉ］の乗算と累乗とを行って、ｖ＝ａ^ｄ（ｍｏｄ ｎ）を求める。
【０２１０】
ステップ２４０８において、演算部８４はｊ＝０をセットする。ステップ２４１０において、演算部８４はｖ＝ｖ^２∧ｔ（ｍｏｄ ｎ）を計算する。ステップ２４１２において、演算部８４はｕ＝ｕ−ｔとセットし、値ｄのｕビット・シーケンスにおける処理位置をｔ個のＭＳＢずつシフトする。それによって、後続のステップ２４１４〜２４２８において値ｄのｕビット・シーケンスがｔ個のＭＳＢずつ順次処理される。ステップ２４１４において、演算部８４はｒ_ｊ＝０かどうかを判定する。ｒ_ｊ＝０と判定された場合は、値ｄにおけるビットｄ_ｕをＬＳＢとする現在のｔビット値が系列ｊのウィンドウに対するインデックスｉｎｄを生成する位置であることを示しており、手順はステップ２４１６に進む。ｒ_ｊ＝０でないと判定された場合は、ステップ２４２０において、ｒ_ｊ＝ｒ_ｊ−１（ｍｏｄ ｃ）をセットする。
【０２１１】
ステップ２４１６において、生成部７７は、ウィンドウｂ_ｉで捕捉されるｓ×ｔビットおきの値ｄのｃ個のｔビット値を含むインデックスｉｎｄ_ｉ＝（ｘ１＜＜（ｃ−１）×ｔ＋ｘ２＜＜（ｃ−２）×ｔ＋．．．＋ｘｃ）＝（ｄ_{ｕ＋（ｃ−１）×（ｓ＋１）×ｔ＋（ｔ−１）}，ｄ_{ｕ＋（ｃ−１）×（ｓ＋１）×ｔ＋（ｔ−２）}，．．．ｄ_{ｕ＋（ｃ−１）×（ｓ＋１）×ｔ}，ｄ_{ｕ＋（ｃ−２）×（ｓ＋１）×ｔ＋（ｔ−１）}，．．．ｄ_ｕ）を生成する。ステップ２４１８において、演算部８４はｖ＝ｖ×ｗ［ｉｎｄ_ｉ］（ｍｏｄ ｎ）を計算する。ステップ２４２０において、ｒ_ｊ＝ｒ_ｊ−１（ｍｏｄ ｃ）をセットする。
【０２１２】
ステップ２４２２において、演算部８４はｕ≦ｓ＋１であるかどうかを判定する。ｕ≦ｓ＋１であると判定された場合は、ステップ２４２８において演算部８４は補正演算を行う。ｕ≦ｓ＋１ではないと判定された場合は、ステップ２４２４において、演算部８４はｊ＝ｊ＋１をセットして、次の系列に対する処理の用意をする。ステップ２４２６において、演算部８４はｊ＝ｓ＋１になったかどうかを判定する。ステップ２４２６においてｊ＝ｓ＋１と判定された場合は、ステップ２４０８においてｊ＝０とセットして系列０に戻る。ｊ＝ｓ＋１でない判定された場合は、手順はステップ２４１０に進んで、次の系列についてステップ２４１０〜２４２４を継続する。ステップ２４２８の後、手順は図６０のステップ２３０８に進む。
【０２１３】
表１は、テーブル・サイズが等しいときの各ウィンドウ法の安全性と処理速度の比較を示している。ウィンドウの長さをｋビット、ウィンドウの重なりビット長をｈビット、秘密鍵をｄ、同じ値Ｓのビットの長さをｓ、改良手法３のｄに関連するビット数をｃとする。
【０２１４】
【表３】

【０２１５】
従来のウィンドウ法は、乱数を全く使用せず、所与の値ｄに対して中間データの取り得るパターンの数は１であり、従ってＤＰＡに対して弱い。一方、実施形態１〜１０のオーバラップ・ウィンドウ法では、乱数を使用して中間データのパターンの数を増加させているのでＤＰＡに対して安全である。しかし、その中間データのパターンの数は重なりビット長さｈに依存するので、長さｈを大きくするためにはウィンドウの長さｋを大きくする必要があり、それによってテーブル・サイズが増加する。
【０２１６】
改良手法１では、中間データの取り得るパターンの数は重なりビット長さｈおよび同じ値Ｓのビットの長さｓに依存している。従って、ｓを大きくすれば安全性が向上する。Ｓの幅ｓを大きくしてもテーブル・サイズは増加せず、処理速度も低下しない。従って、効率よく安全性を高めることができる。
【０２１７】
改良手法２では、中間データの取り得るパターンの数はＳの長さｓのみに依存している。ｓを大きくすれば安全性が高くなる。ｓを大きくしてもテーブル・サイズは増加せず、処理速度も低下しないので、効率よく安全性を高めることができる。第１３〜第１５の実施形態では、一般的なウィンドウ法とほぼ同等の処理速度で処理できる。第１５の実施形態では、速度が幾分低下するが、第１〜第１０の実施形態のオーバラップ・ウィンドウ法よりは高速である。
【０２１８】
改良手法３では、中間データの取り得るパターン数はｓとｃのみに依存している。従って、この値ｓとｃを大きくすれば安全性が高くなる。ｓを大きくしてもテーブル・サイズは増加せず、処理速度も低下しないので、効率よく安全性を高めることができる。
【０２１９】
以上説明した実施形態は典型例として挙げたに過ぎず、その変形およびバリエーションは当業者にとって明らかであり、当業者であれば本発明の原理および請求の範囲に記載した発明の範囲を逸脱することなく上述の実施形態の種々の変形を行えることは明らかである。
【０２２０】
（付記１） 秘密鍵を用いて公開鍵暗号処理を行う暗号装置であって、
乱数に従って、前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出する手段を具え、
前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に関係付けられるものであり、
さらに、前記導出されたｍ個のウィンドウ・シーケンスと前記公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成する演算手段を具える、暗号装置。
（付記２） 前記公開鍵暗号処理は指数剰余演算であり、前記別の値をａとし、ｎを正の整数としたとき、前記処理済みデータｖはｖ＝ａ^ｄ（ｍｏｄ ｎ）で与えられ、
前記演算手段は、前記導出されたｍ個のウィンドウ・シーケンスｂ_ｉ’ｓの各々に従って、乗算と２乗算とを実行するものである、
付記１に記載の暗号装置。
（付記３） 前記公開鍵暗号処理は点のスカラー倍算であり、前記処理済みデータはベクトルＶであり、前記値ｄはスカラーであり、前記別の値はベクトルＡであり、前記処理済みデータＶはＶ＝ｄＡで与えられ、
前記演算手段は、前記導出されたｍ個のウィンドウ・シーケンスｂ_ｉ’ｓの各々に従って、加算、減算および２倍算とを実行するものである、
付記１に記載の暗号装置。
（付記４） 前記ｍ個のウィンドウ・シーケンスｂ_ｉ’ｓの各々は０≦ｂ_ｉ＜２^ｋ（ｋは正の整数）の範囲の値を有するものである、付記１に記載の暗号装置。
（付記５） 前記ｍ個のウィンドウ・シーケンスｂ_ｉ’ｓの各々は−２^ｋ＜ｂ_ｉ＜２^ｋ（ｋは正の整数）の範囲の値を有するものである、付記１に記載の暗号装置。
（付記６） 前記一方のウィンドウ・シーケンスにおける整数ｈ個のＬＳＢ位置と前記他方のウィンドウ・シーケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット・シーケンスにおけるｈ個のビット位置に関係付けられるものである、付記１に記載の暗号装置。
（付記７） 前記導出手段は、少なくとも前記ｕビット・シーケンスから前記ｈ個のＬＳＢｓまたはＭＳＢｓを導出するものである、付記６に記載の暗号装置。
（付記８） 前記ｈの値は可変であり、前記導出手段は乱数に従って前記ｈの値を生成するものである、付記６に記載の暗号装置。
（付記９） 前記導出手段は、
乱数に従ってウィンドウ・シーケンスｂ_ｉを生成し、
中間シーケンスｗｔ_ｉから前記ウィンドウ・シーケンスｂ_ｉを減算することによって導出された値をＭＳＢｓとして含み、かつ前記ｕビット・シーケンスの中のｋ−ｈビットをＬＳＢｓとして含む次の中間シーケンスｗｔ_ｉ−１を生成するものである、
付記１に記載の暗号装置。
（付記１０） 前記ウィンドウ・シーケンスｂ_ｉがｍａｘ（０，ｗｔ_ｉ−２^ｈ＋１）≦ｂ_ｉ≦ｗｔ_ｉを満たす、付記９に記載の暗号装置。
（付記１１） 前記ウィンドウ・シーケンスｂ_ｉがｗｔ_ｉ−２^ｈ＜ｂ_ｉ＜ｍｉｎ（２^ｋ，ｗｔ_ｉ＋２^ｈ）（ｋは正の整数）を満たす、付記９に記載の暗号装置。
（付記１２） 前記導出手段は、
乱数に従って生成された整数ｈ個のＭＳＢｓを含み、かつ中間シーケンスｄｔ_ｉの（ｋ−ｈ）個のＬＳＢｓをＬＳＢｓとして含むｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を生成し、
前記中間シーケンスｄｔ_ｉから前記ウィンドウ・シーケンスｂ_ｉを減算しおよび（ｋ−ｈ）個のＬＳＢｓを切り捨てることによって導出される次の中間シーケンスｄｔ_ｉ＋１を生成するものである、
付記１に記載の暗号装置。
（付記１３） 前記導出手段は、
乱数に従って生成された整数ｈ個のＭＳＢｓを含み、かつ中間シーケンスｗｔ_ｉモジュロ２^{（ｋ−ｈ）}の値を（ｋ−ｈ）個のＬＳＢｓとして含むｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を生成し、
前記ｈ個のＭＳＢｓの値ｗｌ_ｉを前記中間シーケンスｗｔ_ｉの中のｈ個のＭＳＢｓの値から減算することによって導出された値をＬＳＢｓとして含み、かつ前記ｕビット・シーケンスの中のｋ−ｈビットをＭＳＢｓとして含む次の中間シーケンスｗｔ_ｉ＋１を生成するものである、
付記１に記載の暗号装置。
（付記１４） 前記導出手段は、
乱数に従って複数ｇ個のｕビット・シーケンスｆ_ｉを生成し、ここで前記ｇ個のｕビット・シーケンスの値の総和は前記値ｄを表し、
前記ｇ個のｕビット・シーケンスの中のそれぞれ対応する位置にある（ｋ−ｈ）個のビットの値の総和を表すｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を、生成するものである、
付記１に記載の暗号装置。
（付記１５） 前記導出手段は、
乱数に従って複数ｇ個のｕビット・シーケンスｆ_ｉを生成し、ここで、前記ｇ個のｕビット・シーケンスの値の総和は前記値ｄモジュロφ（φを法とするｄ）を表し、φは整数であり、
前記ｇ個のｕビット・シーケンスの中のそれぞれ対応する位置にある（ｋ−ｈ）個のビットの値の総和を表すｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を、生成するものである、
付記１に記載の暗号装置。
（付記１６） 前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものである、付記１に記載の暗号装置。
（付記１７） 情報処理装置において使用するための、秘密鍵を用いて公開鍵暗号処理を行う記憶媒体に格納されたプログラムであって
乱数に従って、前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数より多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に関係付けられるものであり、
さらに、前記導出されたｍ個のウィンドウ・シーケンスと前記公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成するステップを実行させるよう動作可能なプログラム。
（付記１８） 前記公開鍵暗号処理は指数剰余演算であり、前記別の値をａとし、ｎを正の整数としたとき、前記処理済みデータｖはｖ＝ａ^ｄ（ｍｏｄ ｎ）で与えられ、
前記演算を行うステップは、前記導出されたｍ個のウィンドウ・シーケンスｂ_ｉ’ｓの各々に従って、乗算と２乗算とを実行することを含むものである、
付記１７に記載のプログラム。
（付記１９） 前記公開鍵暗号処理は点のスカラー倍算であり、前記処理済みデータはベクトルＶであり、前記値ｄはスカラーであり、前記別の値はベクトルＡであり、前記処理済みデータＶはＶ＝ｄＡで与えられ、
前記演算を行うステップは、前記導出されたｍ個のウィンドウ・シーケンスｂ_ｉ’ｓの各々に従って、加算、減算および２倍算とを実行することを含むものである、
付記１７に記載のプログラム。
（付記２０） 前記一方のウィンドウ・シーケンスにおける整数ｈ個のＬＳＢ位置と前記他方のウィンドウ・シーケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット・シーケンスにおけるｈ個のビット位置に関係付けられるものであり、
前記導出するステップは、少なくとも前記ｕビット・シーケンスから前記ｈ個のＬＳＢｓまたはＭＳＢｓを導出することを含むものである、
付記１７に記載のプログラム。
（付記２１） 前記一方のウィンドウ・シーケンスにおける整数ｈ個のＬＳＢ位置と前記他方のウィンドウ・シーケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット・シーケンスにおけるｈ個のビット位置に関係付けられるものであり、前記ｈの値は変数であり、
前記導出するステップは、乱数に従って前記ｈの値を生成することを含むものである、
付記１７に記載のプログラム。
（付記２２） 前記導出するステップは、
乱数に従ってウィンドウ・シーケンスｂ_ｉを生成するステップと、
中間シーケンスｗｔ_ｉから前記ウィンドウ・シーケンスｂ_ｉを減算することによって導出された値をＭＳＢｓとして含み、かつ前記ｕビット・シーケンスの中のｋ−ｈビットをＬＳＢｓとして含む次の中間シーケンスｗｔ_ｉ−１を生成するステップと、を含むものである、
付記１７に記載のプログラム。
（付記２３） 前記導出するステップは、
乱数に従って生成された整数ｈ個のＭＳＢｓを含み、かつ中間シーケンスｄｔ_ｉの（ｋ−ｈ）個のＬＳＢｓをＬＳＢｓとして含むｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を生成するステップと、
前記中間シーケンスｄｔ_ｉから前記ウィンドウ・シーケンスｂ_ｉを減算し、（ｋ−ｈ）個のＬＳＢｓを切り捨てることによって導出される次の中間シーケンスｄｔ_ｉ＋１を生成するステップと、を含むものである、
付記１７に記載のプログラム。
（付記２４） 前記導出するステップは、
乱数に従って生成された整数ｈ個のＭＳＢｓを含み、かつ中間シーケンスｗｔ_ｉモジュロ２^{（ｋ−ｈ）}の値を（ｋ−ｈ）個のＬＳＢｓとして含むｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を生成するステップと、
前記ｈ個のＭＳＢｓの値ｗｌ_ｉを前記中間シーケンスｗｔ_ｉの中のｈ個のＭＳＢｓの値から減算することによって導出された値をＬＳＢｓとして含み、かつ前記ｕビット・シーケンスの中のｋ−ｈビットをＭＳＢｓとして含む次の中間シーケンスｗｔ_ｉ＋１を生成するステップと、を含むものである、
付記１７に記載のプログラム。
（付記２５） 前記導出するステップは、
乱数に従って複数ｇ個のｕビット・シーケンスｆ_ｉを生成ステップと、ここで前記ｇ個のｕビット・シーケンスの値の総和は前記値ｄを表し、
前記ｇ個のｕビット・シーケンスの中のそれぞれ対応する位置にある（ｋ−ｈ）個のビットの値の総和を表すｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を、生成するステップと、を含むものである、
付記１７に記載のプログラム。
（付記２６） 前記導出するステップは、
乱数に従って複数ｇ個のｕビット・シーケンスｆ_ｉを生成するステップと、ここで、前記ｇ個のｕビット・シーケンスの値の総和は前記値ｄのモジュロφを表し、φは整数であり、
前記ｇ個のｕビット・シーケンスの中のそれぞれ対応する位置にある（ｋ−ｈ）個のビットの値の総和を表すｋビットのウィンドウ・シーケンスｂ_ｉ（ｋは正の整数）を、生成するステップと、を含むものである、
付記１７に記載のプログラム。
（付記２７） 前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものである、付記１７に記載のプログラム。
（付記２８） 情報処理装置において秘密鍵を用いて公開鍵暗号処理を行う方法であって、
乱数に従って、前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを含み、
前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数より多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に関係付けられるものであり、
さらに、前記導出されたｍ個のウィンドウ・シーケンスと前記公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成するステップを含む、方法。
（付記２９） 前記一方のウィンドウ・シーケンスにおける整数ｈ個のＬＳＢ位置（ｈは整数）と前記他方のウィンドウ・シーケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット・シーケンスにおけるｈ個のビット位置に関係付けられるものであり、
前記導出するステップは、少なくとも前記ｕビット・シーケンスから前記ｈ個のＬＳＢｓまたはＭＳＢｓを導出することを含むものである、
付記２８に記載の方法。
（付記３０） 前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものである、付記２８に記載のプログラム。
（付記３１） 秘密鍵を用いて公開鍵暗号処理を行う暗号装置であって、
前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出する手段を具え、
前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に関係付けられるものであり、
前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
さらに、前記導出されたｍ個のウィンドウ・シーケンスと前記公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成する演算手段を具える、暗号装置。
（付記３２） さらに、前記ウィンドウ・シーケンスのビット数から前記同じ値のビット数を減算したビット数を有する取り得るシーケンスをインデックスとして有し、前記インデックスに対応付けられる前記ウィンドウ・シーケンスの取り得るシーケンスに従って計算されたエントリ値を有するルックアップ・テーブルを生成する手段を具える、付記３１に記載の暗号装置。
（付記３３） 前記演算手段は、前記導出されたウィンドウ・シーケンスの前記同じ値の所定のビット以外のビットのシーケンスをインデックスとして用いて、テーブルをルックアップすることによって、前記演算を行うものである、付記３１に記載の暗号装置。
（付記３４） 前記公開鍵暗号処理は指数剰余演算であり、前記別の値をａとし、ｎを正の整数としたとき、前記処理済みデータｖはｖ＝ａ^ｄ（ｍｏｄ ｎ）で与えられ、
前記演算手段は、前記導出されたｍ個のウィンドウ・シーケンスｂ_ｉ’ｓの各々の前記同じ値の所定のビット以外のビットのシーケンスをインデックスとして用いてテーブルをルックアップすることによって、乗算と２乗算とを実行するものである、
付記３１に記載の暗号装置。
（付記３５） 前記公開鍵暗号処理は点のスカラー倍算であり、前記処理済みデータはベクトルＶであり、前記値ｄはスカラーであり、前記別の値はベクトルＡであり、前記処理済みデータＶはＶ＝ｄＡで与えられ、
前記演算手段は、前記導出されたｍ個のウィンドウ・シーケンスｂ_ｉ’ｓの各々の前記同じ値の所定のビット以外のビットのシーケンスをインデックスとして用いてテーブルをルックアップすることによって、加算、減算および２倍算とを実行するものである、
付記３１に記載の暗号装置。
（付記３６） 前記導出されたｍ個のウィンドウ・シーケンスはそれぞれの対応する所定のＭＳＢ位置に同じ値を有するものである、付記３１に記載の暗号装置。
（付記３７） 前記導出されたｍ個のウィンドウ・シーケンスはそれぞれの対応する所定のＬＳＢ位置に同じ値を有するものである、付記３１に記載の暗号装置。
（付記３８） 前記導出されたｍ個のウィンドウ・シーケンスは、それぞれのＭＳＢおよびＬＳＢを除くそれぞれの対応する所定の中間のビット位置に同じ値を有するものである、付記３１に記載の暗号装置。
（付記３９） 前記ｍ個のウィンドウ・シーケンスの中のｓ＋１個のウィンドウ・シーケンスの各々はｃ×ｔ＋ｓ×（ｃ−１）×ｔビットのシーケンスであり（ｃ、ｓおよびｔは正の整数）、ｓ×ｔビットの間隔でｃ個の位置に前記ｕビット・シーケンスからのｔビット値を有し、各ｓ×ｔビットのストリングはｓ個のｔビットの同じ値を連結したものである、付記３１に記載の暗号装置。
（付記４０） 前記ｕビット・シーケンスに対する前記ｍ個のウィンドウ・シーケンスは複数のグループのウィンドウ・シーケンスを含み、各グループのウィンドウ・シーケンスの相対的位置が１つの乱数に従って決定され、前記ｍ個のウィンドウ・シーケンスにおけるそれぞれの対応する所定のビット位置が前記ｕビット・シーケンスの相異なるビット位置に関係付けられものである、付記３１に記載の暗号装置。
（付記４１） 前記同じ値が前記或る値ｄに関係なく固定値である、付記３１に記載の暗号装置。
（付記４２） 前記同じ値が前記或る値ｄに対して１つの乱数に従って生成されるものである、付記３１に記載の暗号装置。
（付記４３） 前記導出する手段は、前記ｕビット・シーケンスから、前記ｕビット・シーケンスにおける関係付けられた所定のビット位置に配置される前記ウィンドウ・シーケンスの前記同じ値を減算して別のシーケンスを生成し、前記別のシーケンスから前記ウィンドウ・シーケンスを導出するものである、付記３１に記載の暗号装置。
（付記４４） 前記導出する手段は、前記ｕビット・シーケンスから、前記ｕビット・シーケンスにおける関係付けられる所定の位置に配置される前記ｍ個のウィンドウ・シーケンスの前記同じ値を減算して別のシーケンスを生成し、前記別のシーケンスから前記ｍ個のウィンドウ・シーケンスを導出するものである、付記３１に記載の暗号装置。
（付記４５） 前記導出する手段は、前記ｍ個のウィンドウ・シーケンスにおける前記同じ値の前記所定のビット位置以外の位置のビットの値を乱数に従って順次生成するものである、付記３１に記載の暗号装置。
（付記４６） 前記導出する手段は、前記ｍ個のウィンドウ・シーケンスにおける前記同じ値の前記所定のビット位置以外の位置のビットの値を複数の乱数に従って一度に生成するものである、付記３１に記載の暗号装置。
（付記４７） 前記演算手段は補正演算を行うものである、付記３１に記載の暗号装置。
（付記４８） 情報処理装置において使用するための、秘密鍵を用いて公開鍵暗号処理を行う記憶媒体に格納されたプログラムであって、
前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に関係付けられるものであり、
前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
さらに、前記導出されたｍ個のウィンドウ・シーケンスと前記公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成するステップを実行させるよう動作可能なプログラム。
（付記４９） さらに、前記ウィンドウ・シーケンスのビット数から前記同じ値のビット数を減算したビット数を有する取り得るシーケンスをインデックスとして有し、前記インデックスに対応付けられる前記ウィンドウ・シーケンスの取り得るシーケンスに従って計算されたエントリ値を有するルックアップ・テーブルを生成するステップを実行させるよう動作可能な付記４８に記載のプログラム。
（付記５０） 前記演算を行うステップは、前記導出されたウィンドウ・シーケンスの前記同じ値の所定のビット以外のビットのシーケンスをインデックスとして用いて、テーブルをルックアップすることによって、前記演算を行うことを含むものである、付記４８に記載のプログラム。
（付記５１） 前記導出するステップは、前記ｕビット・シーケンスから、前記ｕビット・シーケンスにおける対応する所定の位置に配置された前記ウィンドウ・シーケンスの前記同じ値を減算して別のシーケンスを生成し、前記別のシーケンスから前記ウィンドウ・シーケンスを導出することを含むものである、付記４８に記載のプログラム。
（付記５２） 前記導出するステップは、前記ｕビット・シーケンスから、前記ｕビット・シーケンスにおける対応する所定の位置に配置された前記ｍ個のウィンドウ・シーケンスの前記同じ値を減算して別のシーケンスを生成し、前記別のシーケンスから前記ｍ個のウィンドウ・シーケンスを導出することを含むものである、付記４８に記載のプログラム。
（付記５３） 前記導出するステップは、前記ｍ個のウィンドウ・シーケンスにおける前記同じ値のビット以外のビットの値を乱数に従って順次生成することを含むものである、付記４８に記載のプログラム。
（付記５４） 前記導出するステップは、前記ｍ個のウィンドウ・シーケンスにおける前記同じ値のビット以外の或る同じ位置のビットの値を複数の乱数に従って一度に生成することを含むものである、付記４８に記載のプログラム。
（付記５５） 情報処理装置において秘密鍵を用いて公開鍵暗号処理を行う方法であって、
前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に関係付けられるものであり、
前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
さらに、前記導出されたｍ個のウィンドウ・シーケンスと前記公開鍵暗号のための別の或る値とに従って演算を行って、処理済みデータを生成するステップを含む、方法。
（付記５６） さらに、前記ウィンドウ・シーケンスのビット数から前記同じ値のビット数を減算したビット数を有する取り得るシーケンスをインデックスとして有し、前記インデックスに対応付けられる前記ウィンドウ・シーケンスの取り得るシーケンスに従って計算されたエントリ値を有するルックアップ・テーブルを生成するステップを含む、付記５５に記載の方法。
（付記５７） 前記演算を行うステップは、前記導出されたウィンドウ・シーケンスの前記同じ値の所定のビット以外のビットのシーケンスをインデックスとして用いて、テーブルをルックアップすることによって、前記演算を行うことを含むものである、付記５５に記載の方法。
（付記５８） 前記導出するステップは、前記ｕビット・シーケンスから、前記ｕビット・シーケンスにおける対応する所定の位置に配置された前記ウィンドウ・シーケンスの前記同じ値を減算して別のシーケンスを生成し、前記別のシーケンスから前記ウィンドウ・シーケンスを導出するステップを含むものである、付記５５に記載の方法。
（付記５９） 前記導出するステップは、前記ｍ個のウィンドウ・シーケンスにおける前記同じ値のビット以外のビットの値を乱数に従って順次生成することを含むものである、付記５５に記載の方法。
【０２２１】
【発明の効果】
本発明は、上述の特徴によって、秘密鍵の推定を困難にし、暗号処理の安全性を高めることができ、効率的な耐タンパ性の指数剰余演算および点のスカラー倍算を実現できる、という効果を奏する。
【図面の簡単な説明】
【図１】図１は、暗号デバイスにおける秘密鍵を用いた暗号処理を例示している。
【図２】図２は、ウィンドウ法を用いてｖ＝ａ^ｄ（ｍｏｄ ｎ）を求める指数剰余演算のアルゴリズムを示している。
【図３】図３は、ウィンドウ法を用いた点のスカラー倍算Ｖ＝ｄＡのアルゴリズムを示している。
【図４】図４は、図２のアルゴリズムによる演算の手順を説明するのに役立つ。
【図５】図５Ａは時間に対する消費電力の曲線を示している。図５Ｂは、スパイクを有する、時間に対する電力差分の曲線を示している。図５Ｃは、時間に対する電力差分の平坦な曲線を示している。
【図６】図６は、分割指数法を用いたｖ＝ａ^ｄ（ｍｏｄ ｎ）を求めるためのアルゴリズムを示している。
【図７】図７は、本発明による暗号処理装置の概略的構成を示している。
【図８】図８は、本発明によるオーバラップ・ウィンドウの生成の仕方を示している。
【図９】図９は、本発明による、乱数に従ったオーバラップ・ウィンドウにおける重なりビットの値の決定の仕方を示している。
【図１０】図１０は、本発明による、隣接するウィンドウに固定された重なりビット長を有するオーバラップ・ウィンドウ法を用いた指数剰余演算のフロー図を示している。
【図１１】図１１は、本発明による、隣接するウィンドウに可変な重なりビット長を有するオーバラップ・ウィンドウ法を用いた指数剰余演算のフロー図を示している。
【図１２】図１２は、本発明による、隣接するウィンドウに固定された重なりビット長を有するオーバラップ・ウィンドウ法を用いたスカラー倍算のフロー図を示している。
【図１３】図１３は、本発明による、隣接するウィンドウに可変な重なりビット長を有するオーバラップ・ウィンドウ法を用いたスカラー倍算のフロー図を示している。
【図１４】図１４は、本発明の第１の実施形態による、重なりビット長を有するオーバラップ・ウィンドウを重み（上位から下位）の順に生成するためのフローチャートを示している。
【図１５】図１５は、図１４に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図１６】図１６は、本発明の第２の実施形態による、可変な重なりビット長を有するオーバラップ・ウィンドウを重みの順に生成するためのフローチャートを示している。
【図１７】図１７は、図１６に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図１８】図１８は、本発明の第３の実施形態による、重なりビット長を有するオーバラップ・ウィンドウを重みの逆の順に生成するためのフローチャートを示している。
【図１９】図１９は、図１８に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図２０】図２０は、本発明の第４の実施形態による、可変な重なりビット長を有するオーバラップ・ウィンドウを重みの逆の順に生成するためのフローチャートを示している。
【図２１】図２１は、図２０に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図２２】図２２は、本発明の第５の実施形態による、重なりビット長を有するオーバラップ・ウィンドウを重みの順に生成するためのフローチャートを示している。
【図２３】図２３は、図２２に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図２４】図２４は、本発明の第６の実施形態による、可変な重なりビット長を有するオーバラップ・ウィンドウを重みの順に生成するためのフローチャートを示している。
【図２５】図２５は、図２４に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図２６】図２６は、本発明の第７の実施形態による、重なりビット長を有するオーバラップ・ウィンドウを重みの逆の順に生成するためのフローチャートを示している。
【図２７】図２６は、図２５に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図２８】図２８は、本発明の第８の実施形態による、可変な重なりビット長を有するオーバラップ・ウィンドウを重みの逆の順に生成するためのフローチャートを示している。
【図２９】図２９は、図２８に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図３０】図３０は、本発明の第９の実施形態による、重なりビット長を有するオーバラップ・ウィンドウを順に生成するためのフローチャートを示している。
【図３１】図３１は、図３０に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図３２】図３２は、本発明の第１０の実施形態による、重なりビット長を有するオーバラップ・ウィンドウを順に生成するためのフローチャートを示している。
【図３３】図３３は、図３２に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図３４】図３４Ａおよび３４Ｂは、本発明による、複数のウィンドウのそれぞれの一部について所定の同じ値または乱数に従って生成された同じ値を用いるオーバラップ・ウィンドウ法の原理を説明するのに役立つ。
【図３５】図３５は、改良手法１および２において用いられる、複数のウィンドウのそれぞれの一部に同じ値を用いるオーバラップ・ウィンドウ法による暗号処理装置の概略的構成を示している。
【図３６】図３６は、改良手法１および２において用いられる、複数のウィンドウのそれぞれの一部に同じ値を用いるオーバラップ・ウィンドウ法による逐次または反復処理型の暗号処理装置の概略的構成を示している。
【図３７】図３７は、本発明による、オーバラップ・ウィンドウの中央位置に同じ値を設定する手法を説明するのに役立つ。
【図３８】図３８は、本発明による、オーバラップ・ウィンドウの中央位置に同じ値を用いる手法を用いた指数剰余演算の概略的なフロー図を示している。
【図３９】図３９は、改良手法１による最初の３つのウィンドウの生成の例を示している。
【図４０】図４０は、改良手法１による本発明の第１１の実施形態による、ウィンドウ生成部において、重なりビット長を有するオーバラップ・ウィンドウを重みの逆の順に生成するためのフローチャートの一部を示している。
【図４１】図４１は、図４０に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図４２】図４２は、改良手法１による本発明の第１２の実施形態による、ウィンドウ生成部において、重なりビット長を有するオーバラップ・ウィンドウを重みの順に生成するためのフローチャートの一部を示している。
【図４３】図４３は、図４２に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図４４】図４４は、本発明による、オーバラップ・ウィンドウのＬＳＢまたはＭＳＢとして同じ値を用いる手法を説明するのに役立つ。
【図４５】図４５は、本発明による、オーバラップ・ウィンドウのＬＳＢまたはＭＳＢのストリングに同じ値を用いる手法を用いた指数剰余演算の概略的なフロー図を示している。
【図４６】図４６は、改良手法２による最初の３つのウィンドウの生成を示している。
【図４７】図４７は、改良手法２による本発明の第１３の実施形態による、ウィンドウ生成部において、重なりビット長を有するオーバラップ・ウィンドウを重みの順に生成するためのフローチャートの一部を示している。
【図４８】図４８は、図４７に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図４９】図４９は、改良手法２による本発明の第１４の実施形態による、ウィンドウ生成部において、重なりビット長を有するオーバラップ・ウィンドウを重みの逆の順に生成するためのフローチャートの一部を示している。
【図５０】図５０は、図４９に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図５１】図５１は、改良手法２による本発明の第１５の実施形態による、ウィンドウ生成部において、重なりビット長を有するオーバラップ・ウィンドウを重みの逆の順に生成するためのフローチャートの一部を示している。
【図５２】図５２は、図５１に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図５３】図５３は、改良手法２による本発明の第１６の実施形態による、ウィンドウ生成部において、重なりビット長を有するオーバラップ・ウィンドウを重みの順に生成するためのフローチャートの一部を示している。
【図５４】図５４は、図５３に従ったオーバラップ・ウィンドウの生成のための演算を例示している。
【図５５】図５５は、改良手法３において用いられる、複数のウィンドウのそれぞれの複数の部分に同じ値を用いるオーバラップ・ウィンドウ法による暗号処理装置の概略的構成を示している。
【図５６】図５６は、改良手法３において用いられる、複数のウィンドウのそれぞれの複数の部分に同じ値を用いるオーバラップ・ウィンドウ法による逐次または反復処理型の暗号処理装置の概略的構成を示している。
【図５７】図５７、５８および５９は、本発明による、オーバラップ・ウィンドウにおいて複数の位置の値の間に同じ値を配置する手法を説明するのに役立つ。
【図５８】図５７、５８および５９は、本発明による、オーバラップ・ウィンドウにおいて複数の位置の値の間に同じ値を配置する手法を説明するのに役立つ。
【図５９】図５７、５８および５９は、本発明による、オーバラップ・ウィンドウにおいて複数の位置の値の間に同じ値を配置する手法を説明するのに役立つ。
【図６０】図６０は、本発明による、オーバラップ・ウィンドウの値ｄからの複数の値の間に同じ値を配置する手法を用いた指数剰余演算の概略的なフロー図を示している。
【図６１】図６１は、各系列に対する各ウィンドウの取り得るパターンの数を示している。
【図６２】図６２は、改良手法３による本発明の第１７の実施形態による、ウィンドウ生成部および演算部において、オーバラップ・ウィンドウのインデックスを重みの順に生成するためのフローチャートの一部を示している。
【符号の説明】
６０ 暗号処理装置
７２ 入力部
７４ 乱数発生器
７５ ウィンドウおよび重なり長生成部
７８ メモリ
８０ テーブル生成部
８２ テーブル・メモリ
８４ ウィンドウ法演算部
８６ 出力部

Claims (16)

1. 秘密鍵を用いて指数剰余演算による公開鍵暗号処理を行う暗号装置であって、
   乱数に従って、前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出する手段を具え、
   前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
   さらに、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或る値ａに対して乗算と２乗算とを実行する演算を行って、処理済みデータｖ＝ａ ^ｄ （ｍｏｄ ｎ）（ｎは正の整数）を生成する演算手段を具えることを特徴とする、
   暗号装置。
2. 秘密鍵を用いて点のスカラー倍算による公開鍵暗号処理を行う暗号装置であって、
   乱数に従って、前記公開鍵暗号のための或るスカラー値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出する手段を具え、
   前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
   さらに、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或るベクトル値Ａに対して加算、減算および２倍算とを実行する演算を行って、処理済みデータＶ＝ｄＡを生成する演算手段を具えることを特徴とする、
   暗号装置。
3. 前記一方のウィンドウ・シーケンスにおける整数ｈ個のＬＳＢ位置と前記他方のウィンドウ・シーケンスにおけるｈ個のＭＳＢ位置とが、前記ｕビット・シーケンスにおけるｈ個のビット位置に対応付けられるものである、請求項１または２に記載の暗号装置。
4. 情報処理装置において使用するための、秘密鍵を用いて指数剰余演算による公開鍵暗号処理を行うプログラムであって、
   乱数に従って、前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
   前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数より多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
   さらに、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或る値ａに対して乗算と２乗算とを実行する演算を行って、処理済みデータｖ＝ａ ^ｄ （ｍｏｄ ｎ）（ｎは正の整数）を生成するステップを実行させるよう動作可能なプログラム。
5. 情報処理装置において使用するための、秘密鍵を用いて点のスカラー倍算による公開鍵暗号処理を行うプログラムであって、
   乱数に従って、前記公開鍵暗号のための或るスカラー値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
   前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数より多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
   さらに、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或るベクトル値Ａに対して加算、減算および２倍算とを実行する演算を行って、処理済みデータＶ＝ｄＡを生成するステップを実行させるよう動作可能なプログラム。
6. ウィンドウ・シーケンス生成手段および演算手段を具える情報処理装置において秘密鍵を用いて指数剰余演算による公開鍵暗号処理を行う方法であって、
   前記ウィンドウ・シーケンス生成手段を用いて、乱数に従って、前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを含み、
   前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数より多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
   さらに、前記演算手段を用いて、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或る値ａに対して乗算と２乗算とを実行する演算を行って、処理済みデータｖ＝ａ ^ｄ （ｍｏｄ ｎ）（ｎは正の整数）を生成するステップを含む、方法。
7. ウィンドウ・シーケンス生成手段および演算手段を具える情報処理装置において秘密鍵を用いて点のスカラー倍算による公開鍵暗号処理を行う方法であって、
   前記ウィンドウ・シーケンス生成手段を用いて、乱数に従って、前記公開鍵暗号のための或るスカラー値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを含み、
   前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数より多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
   さらに、前記演算手段を用いて、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或るベクトル値Ａに対して加算、減算および２倍算とを実行する演算を行って、処理済みデータＶ＝ｄＡを生成するステップを含む、方法。
8. 秘密鍵を用いて指数剰余演算による公開鍵暗号処理を行う暗号装置であって、
   前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出する手段を具え、
   前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
   前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
   さらに、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或る値ａに対して乗算と２乗算とを実行する演算を行って、処理済みデータｖ＝ａ ^ｄ （ｍｏｄ ｎ）（ｎは正の整数）を生成する演算手段を具える、暗号装置。
9. 秘密鍵を用いて点のスカラー倍算による公開鍵暗号処理を行う暗号装置であって、
   前記公開鍵暗号のための或るスカラー値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出する手段を具え、
   前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
   前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
   さらに、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或るベクトル値Ａに対して加算、減算および２倍算とを実行する演算を行って、処理済みデータＶ＝ｄＡを生成する演算手段を具える、暗号装置。
10. さらに、前記ウィンドウ・シーケンスのビット数から前記同じ値のビット数を減算したビット数を有する取り得るシーケンスをインデックスとして有し、前記インデックスに対応付けられる前記ウィンドウ・シーケンスの取り得るシーケンスに従って計算されたエントリ値を有するルックアップ・テーブルを生成する手段を具える、請求項８または９に記載の暗号装置。
11. 前記演算手段は、前記導出されたウィンドウ・シーケンスの前記同じ値の所定のビット以外のビットのシーケンスをインデックスとして用いて、テーブルをルックアップすることによって、前記演算を行うものである、請求項８または９に記載の暗号装置。
12. 前記導出する手段は、前記ｕビット・シーケンスから、前記ｕビット・シーケンスにおける対応する所定の位置に配置された前記ウィンドウ・シーケンスの前記同じ値を減算して別のシーケンスを生成し、前記別のシーケンスから前記ウィンドウ・シーケンスを導出するものである、請求項８または９に記載の暗号装置。
13. 情報処理装置において使用するための、秘密鍵を用いて指数剰余演算による公開鍵暗号処理を行うプログラムであって、
    前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
    前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
    前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
    さらに前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或る値ａに対して乗算と２乗算とを実行する演算を行って、処理済みデータｖ＝ａ ^ｄ （ｍｏｄ ｎ）（ｎは正の整数）を生成するステップを実行させるよう動作可能なプログラム。
14. 情報処理装置において使用するための、秘密鍵を用いて点のスカラー倍算による公開鍵暗号処理を行うプログラムであって、
    前記公開鍵暗号のための或るスカラー値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
    前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
    前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
    さらに、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或るベクトル値Ａに対して加算、減算および２倍算とを実行する演算を行って、処理済みデータＶ＝ｄＡを生成するステップを実行させるよう動作可能なプログラム。
15. ウィンドウ・シーケンス生成手段および演算手段を具える情報処理装置において秘密鍵を用いて指数剰余演算による公開鍵暗号処理を行う方法であって、
    前記ウィンドウ・シーケンス生成手段を用いて、前記公開鍵暗号のための或る値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
    前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
    前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
    さらに、前記演算手段を用いて、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或る値ａに対して乗算と２乗算とを実行する演算を行って、処理済みデータｖ＝ａ ^ｄ （ｍｏｄ ｎ）（ｎは正の整数）を生成するステップを含む、方法。
16. ウィンドウ・シーケンス生成手段および演算手段を具える情報処理装置において秘密鍵を用いて点のスカラー倍算による公開鍵暗号処理を行う方法であって、
    前記ウィンドウ・シーケンス生成手段を用いて、前記公開鍵暗号のための或るスカラー値ｄを表す複数ｕビット・シーケンスから複数ｍ個のウィンドウ・シーケンスを導出するステップを実行させ、
    前記ｍ個のウィンドウ・シーケンスのビット総数は前記ｕビット・シーケンスのビット数ｕより多く、各ウィンドウ・シーケンスのビット数はｕより少なく、前記ｍ個のウィンドウ・シーケンスの中の２つのうちの一方のウィンドウ・シーケンスにおける或るビット位置と他方のウィンドウ・シーケンスにおける或るビット位置とが、前記ｕビット・シーケンスにおける同じビット位置に対応付けられるものであり、
    前記ｍ個のウィンドウ・シーケンスの中の１つのウィンドウ・シーケンスにおける所定の位置のビットは、他のウィンドウ・シーケンスの対応する所定の位置のビットと同じ値を有するものであり、
    さらに、前記演算手段を用いて、前記導出されたｍ個のウィンドウ・シーケンスｂ _ｉ の各々に従って別の或るベクトル値Ａに対して加算、減算および２倍算とを実行する演算を行って、処理済みデータＶ＝ｄＡを生成するステップを含む、方法。

Images