JP4184120B2 - Oval curve scalar multiplication device and elliptic curve scalar multiplication program - Google Patents

Description

のように定義し、この定義より、ツイスト楕円曲線E_t上の点P(x,y)∈Ｆ_q ⁿの写像π_q ^tによる像は、Pπ_q ^t=(c^1-qx^q,c^3(1-q)/2y^q)となる。ここで、σ₁はＦ_q ²ⁿ上で同型となるツイスト楕円曲線E_tから楕円曲線EへのＦ_q ²ⁿ上での写像であり、フロベニウス写像π_qは、楕円曲線E上での自己準同型の写像であり、σ₂はＦ_q ²ⁿ上で同型となる楕円曲線Eからツイスト楕円曲線E_tへのＦ_q ²ⁿ上での写像である。従って、この写像π_q ^tは、ツイスト楕円曲線E_t上の点をツイスト楕円曲線E_t上に写す自己準同型の写像である。なお、E(Ｆ_q ²ⁿ)、E_t(Ｆ_q ²ⁿ)は、Ｆ_q ²ⁿ上で定義された楕円曲線E、ツイスト楕円曲線E_tをそれぞれ示す。
また、この写像π_q ^tは、((π_q ^t)²-wπ_q ^t+q)R=O (-2√q≦w≦2√q)を満たすため、ツイスト楕円曲線E_t上のスカラー倍演算kPは、kP=(d₀+d₁π_q ^t+…+d_m-1(π_q)^m-1)Pとフロベニウス展開でき（非特許文献１参照。）、前述のような高速演算が可能となる。なお、Rはツイスト楕円曲線E_t上の任意の点を意味する。
【０００６】
【非特許文献１】
J.A.Solinas, "An Improved Algorithm for Arithmetic on a Family of Elliptic Curves", Advances in Cryptology-CRYPTO'97, Lecture Notes in Computer Science 1294, pp.357-371, Springer, 1997.
【非特許文献２】
T.Iijima, K.Matsuo, J.Chao, S.Tsujii, "Construction of Frobenius maps of twists elliptic curves and its application to elliptic scalar multiplication", scis2002.
【０００７】
【発明が解決しようとする課題】
しかし、非特許文献２の方法は、標数５以上であることを前提としており、標数２の場合に適用できないという問題点がある。
つまり、非特許文献２の方法は、標数５以上であることを前提に定義されたツイスト楕円曲線上でのスカラー倍演算の高速化を目的としたものであり、この方法を標数２であることを前提に定義されたツイスト楕円曲線上でのスカラー倍演算に適用することはできない。そのため、非特許文献２の方法を、２進数としての取扱いが必要なワイヤードロジック等によって直接的に実現することはできない。
この発明はこのような点に鑑みてなされたものであり、標数２の場合において、ツイスト楕円曲線上のスカラー倍演算を高速化することが可能な楕円曲線上スカラー倍演算装置を提供することを目的とする。
また、この発明の他の目的は、標数２の場合において、ツイスト楕円曲線上のスカラー倍演算を高速化する機能をコンピュータ上で実行させるための楕円曲線上スカラー倍演算プログラムを提供することである。
【０００８】
【課題を解決するための手段】
この発明では上記課題を解決するために、まず、有理点入力手段において、F_q ⁿ上の有理点P(x_p,y_p)∈E_tの入力を受け付ける。なお、ここでは、F_qを要素数qの有限体とし、q=2^mとし、mを自然数とし、F_q上で定義された楕円曲線Eをy²+xy=x³+ax²+bとし、この楕円曲線Eに対応してF_q ⁿ上で定義されたツイスト楕円曲線E_tをy²+xy=x³+(a+c)x²+bとし、nを自然数とし、a,b∈F_qとし、cをc∈F_q ⁿであってF_q ⁿにおける非平方としている。
次に、自己準同写像演算手段において、有理点入力手段において入力された有理点P(x_p,y_p)∈E_tの写像π_q ^tによる像(π_q ^t)Pを算出する。なお、ここでは、α∈F_q ²ⁿがα²+α+c=0を満たすものとし、σ₁をF_q ²ⁿ上の(x,y)∈E_tから(x,y+αx)∈Eへ移す写像とし、π_qをF_q上の(x,y)∈Eから(x^q,y^q)∈Eへ移すフロベニウス写像とし、σ₂をF_q ²ⁿ上の(x,y)∈Eから(x,y+αx)∈E_tへ移す写像とし、π_q ^tを、F_q ²ⁿ上の(x,y)∈E_tを写像σ₁によって移し、その像をフロベニウス写像π_qによって移し、さらにその像を写像σ₂によって移す写像としている。
そして、有理点入力手段において入力された有理点P(x_p,y_p)∈E_tのk倍点であるkPのフロベニウス展開式(d₀+d₁π_q ^t+…+d_m-1 (π_q ^t)^m-1)Pに、自己準同写像演算手段によって算出された像(π_q ^t)Pを代入し、kPを算出する。
【０００９】
ここで、σ₁はＦ_q ²ⁿ上で同型となるツイスト楕円曲線E_tから楕円曲線EへのＦ_q ²ⁿ上での写像であり、フロベニウス写像π_qは、楕円曲線E上での自己準同型の写像であり、σ₂はＦ_q ²ⁿ上で同型となる楕円曲線Eからツイスト楕円曲線E_tへのＦ_q ²ⁿ上での写像である。従って、この写像π_q ^tは、ツイスト楕円曲線E_t上の点をツイスト楕円曲線E_t上に写す自己準同型の写像である。
また、この写像π_q ^tは、((π_q ^t)²-wπ_q ^t+q)R=O (-2√q≦w≦2√q)を満たすため、ツイスト楕円曲線E_t上のスカラー倍演算kPは、この写像π_q ^tを用い、kP=(d₀+d₁π_q ^t+…+d_m-1 (π_q)^m-1)Pとフロベニウス展開できる（非特許文献１参照。）。なお、Rはツイスト楕円曲線E_t上の任意の点を意味し、Oは無限遠点を意味する。
従って、このスカラー倍演算kPの演算は、展開式(d₀+d₁π_q ^t+…+d_m-1 (π_q)^m-1)Pの各要素の置き換えのみによって行うことができ、楕円曲線上の加法や２倍算によって演算を行う場合に比べ、一般に処理を高速化することができる。
【００１０】
【発明の実施の形態】
以下、この発明の実施の形態を図面を参照して説明する。
なお、以下では、まず、この形態の全体について説明し、その後、その詳細について説明を行っていく。
図１は、公知のコンピュータに所定のプログラムが実行されることによって構成される、楕円曲線上スカラー倍演算装置１の全体構成を例示した機能ブロック図である。以下、この図に沿って、楕円曲線上スカラー倍演算装置１の全体構成及び処理動作を説明する。なお、以下の説明では、F_qは要素数qの有限体を表すものとし、この例では、標数２の場合を取り上げるためq=2^mとする（mは自然数）。また、標数２においてF_q上で定義された楕円曲線Eをy²+xy=x³+ax²+bとし、この楕円曲線Eに対応してF_q ⁿ上で定義されたツイスト楕円曲線E_tをy²+xy=x³+(a+c)x²+bとする（nは自然数、a,b∈F_q、cはc∈F_q ⁿであってF_q ⁿにおける非平方の数）。さらに、α∈F_q ²ⁿはα²+α+c=0を満たすものとし、kはスカラー値を表すものとし、E(Ｆ_q)、E_t(Ｆ_q)は、Ｆ_q上で定義された楕円曲線E、ツイスト楕円曲線E_tをそれぞれ示すものとする。
【００１１】
楕円曲線上スカラー倍演算装置１によってスカラー倍演算を行う場合、まず、有理点入力部１０によって、F_q ⁿ上の有理点P(x_p,y_p)∈E_tの入力を受け付け、入力された有理点P(x_p,y_p)を自己準同写像演算部２０に送る。
有理点P(x_p,y_p)が送られた自己準同写像演算部２０は、この有理点P(x_p,y_p)の以下の写像π_q ^tによる像(π_q ^t)Pを算出する。
【数６】

ここで、写像π_q ^tは、F_q ²ⁿ上の(x,y)∈E_tを写像σ₁によって移し、その像をフロベニウス写像π_qによって移し、さらにその像を写像σ₂によって移す写像である。また、σ₁は、F_q ²ⁿ上の(x,y)∈E_tを(x,y+αx)∈Eへ移す写像であり、π_qは、F_q上の(x,y)∈Eを(x^q,y^q)∈Eへ移すフロベニウス写像であり、σ₂は、F_q ²ⁿ上の(x,y)∈Eを(x,y+αx)∈E_tへ移す写像である。そして、σ₁はＦ_q ²ⁿ上で同型となるツイスト楕円曲線E_tから楕円曲線EへのＦ_q ²ⁿ上での写像であり、フロベニウス写像π_qは、楕円曲線E上での自己準同型の写像であり、σ₂はＦ_q ²ⁿ上で同型となる楕円曲線Eからツイスト楕円曲線E_tへのＦ_q ²ⁿ上での写像である。従って、この写像π_q ^tは、ツイスト楕円曲線E_t上の点をツイスト楕円曲線E_t上に写す自己準同型の写像である。
【００１２】
この写像π_q ^tにおける有理点P(x_p,y_p)の像(π_q ^t)Pを求めるために、まず、有理点P(x_p,y_p)の写像σ₁による像を求めると、(x_p,y_p+αx_p)となる。そして、そのフロベニウス写像π_qによる像は((x_p)^q,(y_p)^q+α^q(x_p)^q)となり、さらにその写像σ₂による像は((x_p)^q,(y_p)^q+(α^q+α)・(x_p)^q)となる。
ここで、q=2^mであるため、e_m=α^q+αおくと、e_mは
【数７】

のように変換できる。そして、このe_mを用い、像(π_q ^t)P=((x_p)^q,(y_p)^q+e_m・(x_p)^q)…(1)と表すことができる。
また、有理点P(x_p,y_p)に写像π_q ^tをj回適用すると、その像(π_q ^t)^jPは、
【数８】

となる。以下に、その証明を示す。
【００１３】
j=１のときは、その代入結果は(π_q ^t)P=((x_p)^q,(y_p)^q+e_m・(x_p)^q)となるため、成立することは自明である。また、j=Lで成立すると仮定すると
【数９】

が成立し、式（１）より
【数１０】

が成立する。これによりj=L+1でも成立することがいえるため、全ての自然数ｊについて成立することがいえる〔証明終わり〕。
自己準同写像演算部２０では、式（２）を用いて、1≦j≦m-1を満たす全ての自然数jについて像(π_q ^t)^jPを演算し、その結果をスカラー倍演算部３０に送る。
【００１４】
この演算結果を受け取ったスカラー倍演算部３０は、有理点入力部１０において入力された有理点P(x_p,y_p)∈E_tのk倍点であるkPのフロベニウス展開式(d₀+d₁π_q ^t+…+d_m-1 (π_q ^t)^m-1)Pに、自己準同写像演算部２０によって算出された像(π_q ^t)^jPを代入し、kPを算出する。
すなわち、式（２）で表される像(π_q ^t)^jPは、((π_q ^t)²-wπ_q ^t+q)R=O (-2√q≦w≦2√q)、及び ((π_q ^t)ⁿ+1)R=O を満たすことになるが（R:ツイスト楕円曲線E_t上の任意の点、O：無限遠点）、この場合、非特許文献１に示したように、ツイスト楕円曲線E_t上のスカラー倍演算kPは、kP=(d₀+d₁π_q ^t+…+d_m-1 (π_q)^m-1)Pとフロベニウス展開できる。そのため、自己準同写像演算部２０から受け取った(π_q ^t)^jP (1≦j≦m-1)の演算結果と、後述するアルゴリズムで求めた定数d_i(0≦i≦m-1)とを用いてd_i(π_q ^t) ⁱ P (1≦j≦m-1)を計算し、それらを足し合わせることによりkPを高速に求めることができる。
【００１５】
次に、この形態の詳細について説明する。
図２の（ａ）は、この形態の楕円曲線上スカラー倍演算装置１のハードウェア構成を例示したブロック図である。
図２の（ａ）に例示するように、この例の楕円曲線上スカラー倍演算装置１は、キーボード等の入力装置１ａ、液晶ディスプレイ等の出力装置１ｂ、ＣＰＵ（Central Processing Unit）１ｃ、ハードディスク等の記憶装置１ｄ、及び入力装置１ａ、出力装置１ｂ、ＣＰＵ１ｃ、記憶装置１ｄ間をデータのやり取りが可能なように接続するバス１ｅを有しており、記憶装置１ｄに記憶された所定のプログラムをＣＰＵ１ｃで実行することにより、その処理機能を実現する。
図２の（ｂ）は、図２の（ａ）に例示したハードウェア上で所定のプログラムを実行させることにより実現される自己準同写像演算部２０の機能構成の詳細を、図３は、スカラー倍演算部３０の機能構成の詳細を、それぞれ例示した図であり、図４は、楕円曲線上スカラー倍演算装置１の処理機能を説明するためのフローチャートである。以下、これらの図を用いて、楕円曲線上スカラー倍演算装置１の構成、及び処理機能の説明を行っていく。
【００１６】
楕円曲線上スカラー倍演算装置１においてスカラー倍演算を行う場合、まず、有理点入力部１０において、F_q ⁿ上の有理点P(x_p,y_p)∈E_tの入力を受け付け、入力された有理点P(x_p,y_p)を自己準同写像演算部２０の写像演算部２４に送る（ステップＳ１）。
次に、自己準同写像演算部２０の定数演算部２２において、レジスタ２１からパラメータc,mを読み出す。なお、このパラメータcは、ツイスト楕円曲線E_t（y²+xy=x³+(a+c)x²+b）の定数cであり、パラメータmは、有限体F_qの要素数q=2^mを特定する自然数ｍであり、これらは予めレジスタ２１に格納されたデータである。パラメータc,mを読み出した定数演算部２２は、これらのパラメータc,mを
【数１１】

に代入して定数e_mを算出し、算出した定数e_mを定数演算部２３に送る（ステップＳ２）。
【００１７】
定数e_mを受け取った定数演算部２３は、レジスタ２１からパラメータqを読み出す。なお、このパラメータqは、有限体F_qの要素数qであり、予めレジスタ２１に格納されたデータである。パラメータqを読み出した定数演算部２３は、受け取った定数e_mと、読み出したパラメータqとを
【数１２】

に代入して定数hを演算し、その演算結果である定数hを、パラメータqとともに写像演算部２４に送る（ステップＳ３）。
写像演算部２４では、ステップＳ１で有理点入力部１０から送られた有理点P(x_p,y_p)と、ステップＳ３で定数演算部２３から送られた定数h、及びパラメータqを
【数１３】

に代入して演算を行い、1≦j≦m-1を満たす全ての自然数jについて像(π_q ^t)^jPを算出する（ステップＳ４）。なお、この演算は、1≦j≦m-1を満たす全ての自然数jについて、定数演算部２２によって算出された定数e_mを用いて
【数１４】

の演算を行い、F_q ⁿ上の有理点P(x_p,y_p)∈E_tの写像(π_q ^t)^jによる像(π_q ^t)^jPを算出することに該当する。また、写像演算部２４で算出された像(π_q ^t)^jPは、スカラー倍演算部３０の展開式演算部３１に送られる。
【００１８】
次に、スカラー倍演算部３０のパラメータ入力部３２ａにおいて、Rをツイスト楕円曲線E_t上の任意の点とし、Oを無限遠点とした場合における((π_q ^t)²-w(π_q ^t)+q)R=Oを満たすw、スカラー値ｋ、要素数qの入力を受け付け、入力したこれらの情報をレジスタ３２ｂに格納する（ステップＳ５）。
その後、変数初期化部３２ｃにおいて、レジスタ３２ｂから、変数i₁,d_i2,z₁,z₂、及び定数kを読み出し、変数z₁にｋを代入し、変数i₁、変数z₂、及びすべて変数d_i2(∀i₂)に０を代入する（ステップＳ６）。なお、レジスタ３２ｂには、変数z₁,z₂,z₃,z₄,i₁,i₂,d_i1、前述の定数q,m,k,w、有限体F_q ⁿの要素数を特定し、((π_q ^t)ⁿ+1)R=Oを満たす自然数nが格納されているものとする。
次に、比較部３２ｄにおいて、レジスタ３２ｂから変数z₁,z₂を読み出し、読み出した変数がz₁=z₂となるか否かを判断し（ステップＳ７）、z₁,z₂となっていなかった場合、ステップＳ８の処理に進む。
【００１９】
ステップＳ８では、変数代入部３２ｅにおいて、まず、レジスタ３２ｂから定数q,m,d_i1、及び変数i_1,z₁,z₃を読み出し、m≦i₁≦2m-1を満たすか否かを判断する。そして、m≦i₁≦2m-1を満たした場合、z₃に(z₁mod q)-qを、d_{(i1 mod n)}にd_{(i1 mod n)-}z₃を代入し（ステップＳ９）、満たさなかった場合、z₃に(z₁mod q)を、d_{(i1 mod n)}にd_{(i1 mod n)+}z₃を代入する（ステップＳ１０）。
これらの代入結果z₃,d_{(i1 mod n)}はレジスタ３２ｂに格納され、次に、変数代入部３２ｇにおいて、レジスタ３２ｂから定数q,n,w、及び変数d_i1,i₁,z₁,z₂,z₃,z₄を読み出し、変数z₄に(z₁-z₃)/qを代入し、変数z₁にwz₄+z₂を代入し、z₂に-z₄を代入し、i₁にi₁+1を代入する（ステップＳ１１）。代入結果i₁,z₁,z₂,z₄は、レジスタ３２ｂに格納され、再び、ステップＳ７の処理に戻る。
【００２０】
ステップＳ７の処理において、比較部３２ｄがz₁=z₂であると判断した場合、比較部３２ｄは、その旨の情報を定数出力部３２ｈに送り、定数出力部３２ｈは、レジスタ３２ｂに格納されている変数d_i1を読み出し、各d_i1の値を定数d_iとして展開式演算部３１に出力する（ステップＳ１２）。なお、以上で説明したパラメータ入力部３２ａ、レジスタ３２ｂ、変数初期化部３２ｃ、比較部３２ｄ、変数代入部３２ｅ、３２ｇ、及び定数出力部３２ｈは、kPのフロベニウス展開(d₀+d₁π_q ^t+…+d_m-1 (π_q ^t)^m-1)Pの各定数d_iを0≦i≦m-1について算出する定数演算部３２を構成することになる。
定数演算部３２において算出され、出力された定数d_i（ステップＳ５〜ステップＳ１２）と、自己準同像算出部２０の写像演算部２４において算出された像(π_q ^t)^jP（ステップＳ４）とを受け取った展開式演算部３１は、これらのデータを用い、(d₀+d₁π_q ^t+…+d_m-1 (π_q ^t)^m-1)Pの演算を行ってkPを算出し、その演算結果kPを出力する（ステップＳ１３）。
【００２１】
このように、本形態では、有理点入力手段である有理点入力部１０において、F_q ⁿ上の有理点P(x_p,y_p)∈E_tの入力を受け付け、自己準同写像演算手段である自己準同写像演算部２０において、α∈F_q ²ⁿがα²+α+c=0を満たすものとし、σ₁をF_q ²ⁿ上の(x,y)∈E_tから(x,y+αx)∈Eへ移す写像とし、π_qをF_q上の(x,y)∈Eから(x^q,y^q)∈Eへ移すフロベニウス写像とし、σ₂をF_q ²ⁿ上の(x,y)∈Eから(x,y+αx)∈E_tへ移す写像とし、π_q ^tを、F_q ²ⁿ上の(x,y)∈E_tを写像σ₁によって移し、その像をフロベニウス写像π_qによって移し、さらにその像を写像σ₂によって移す写像とした場合における、有理点入力部１０において入力された有理点P(x_p,y_p)∈E_tの写像π_q ^tによる像(π_q ^t)Pを算出する。そして、スカラー倍演算手段であるスカラー倍演算部３０において、有理点入力部１０において入力された有理点P(x_p,y_p)∈E_tのk倍点であるkPのフロベニウス展開式(d₀+d₁π_q ^t+…+d_m-1 (π_q ^t)^m-1)Pに、自己準同写像演算部２０によって算出された像(π_q ^t)Pを代入し、kPを算出することとした。
【００２２】
ここで、前述のように、この写像π_q ^tは、ツイスト楕円曲線E_t上の点をツイスト楕円曲線E_t上に写す自己準同型の写像である。また、この写像π_q ^tは、((π_q ^t)²-wπ_q ^t+q)R=O (-2√q≦w≦2√q)を満たすため、ツイスト楕円曲線E_t上のスカラー倍演算kPは、この写像π_q ^tを用い、kP=(d₀+d₁π_q ^t+…+d_m-1 (π_q)^m-1)Pとフロベニウス展開できる。従って、この標数２におけるスカラー倍演算kPの演算は、展開式(d₀+d₁π_q ^t+…+d_m-1 (π_q)^m-1)Pの各要素の置き換えのみによって行うことができ、楕円曲線上の加法や２倍算によって演算を行う場合に比べ、一般に処理を高速化することができる。
【００２３】
また、この形態では、自己準同写像演算部２０は、式（３）の演算を行って定数e_mを算出する第１の定数演算手段である定数演算部２２、及び、1≦j≦m-1を満たす全ての自然数jについて、第１の定数演算部によって算出された定数e_mを用いて式（６）の演算を行い、F_q ⁿ上の有理点P(x_p,y_p)∈E_tの写像(π_q ^t)^jによる像(π_q ^t)^jPを算出する写像演算部２４を有することとした。さらに、スカラー倍演算部３０は、kPのフロベニウス展開(d₀+d₁π_q ^t+…+d_m-1 (π_q ^t)^m-1)Pの各定数d_iを、0≦i≦m-1について算出する第２の定数演算手段である定数演算部３２、及び、定数演算部３２において算出された定数d_iと、写像演算部において算出された像(π_q ^t)^jPとを用い、(d₀+d₁π_q ^t+…+d_m-1 (π_q ^t)^m-1)Pの演算を行ってkＰを算出する展開式演算手段である展開式演算部３１を有することとした。そのため、定数演算部３２において算出された定数d_i、及び写像演算部において算出された像(π_q ^t)^jPを展開式(d₀+d₁π_q ^t+…+d_m-1 (π_q)^m-1)Pへの各要素に代入するのみで、標数２におけるツイスト楕円曲線E_t上のスカラー倍kPを高速に求めることができる。
【００２４】
さらに、自己準同写像演算部２０は、写像演算部２４による処理の前に、式（４）の演算によって定数hを算出する第３の定数演算手段である定数演算部２３を有し、写像演算部２４は、定数演算部２３によって算出された定数hを用いて式（５）の演算を行い、像(π_q ^t)^jPを算出することとした。この場合、式（５）に示すように、(π_q ^t)^j写像の演算コストは、F_q ⁿ上のq乗の演算を２j回（x_p ^qをj回、y_p ^qをj回）、乗算１回、加算１回のみである。そして、F_q ⁿ上のq乗は一般に高速に演算できる。そのため、(π_q ^t)^j写像の演算コストは、楕円曲線上の加算等に比べると誤差の範囲となり、標数２におけるツイスト楕円曲線E_t上のスカラー倍kPの演算をより高速に行うことが可能となる。
【００２５】
また、第２の定数演算部３２は、Rをツイスト楕円曲線E_t上の任意の点、Oを無限遠点とした場合における((π_q ^t)²-w(π_q ^t)+q)R=Oを満たすw、前述したｋ及び要素数qの入力を受け付けるパラメータ入力手段であるパラメータ入力部３２ａ、変数z₁にｋを代入し、変数i₁、変数z₂、及びすべてのi₂の変数d_i2に０を代入する変数初期化手段である変数初期化部３２ｃ、m≦i₁≦2m-1を満たした場合、変数z₃に(x mod q)-qの演算結果を代入し、d_{(i1 mod n)}にd_{(i1 mod n)}-z₃の演算結果を代入し、m≦i₁≦2m-1を満たさなかった場合、変数z₃に(x mod q)の演算結果を代入し、d_{(i1 mod n)}にd_{(i1 mod n)}+z₃の演算結果を代入する第１の変数代入手段である変数代入部３２ｅ、変数z₄に(z₁-z₃)/qを代入し、変数z₁にwz₄+z₂を代入し、z₂に-z₄を代入し、i₁にi₁+1を代入する第２の変数代入手段である変数代入部３２ｇ、及びz₁=z₂となった場合に、各d_i1の値を定数d_iとして出力する定数出力手段である定数出力部３２ｈを有することとした。そのため、これらを用いたステップＳ５〜Ｓ１３の処理により、kPのフロベニウス展開(d₀+d₁π_q ^t+…+d_m-1 (π_q ^t)^m-1)Pの各定数d_iを容易に求めることができ、標数２におけるツイスト楕円曲線E_t上のスカラー倍kPを高速に求めることができる。
【００２６】
なお、この発明は上述の実施の形態に限定されるものではない。例えば、この形態では、ステップＳ３において式（４）を用いて定数hを算出し、その定数hを式（５）に代入することによって像(π_q ^t)^jPを算出したが（ステップＳ４）、定数hを求めず、式（３）と式（６）の演算のみで像(π_q ^t)^jPを算出することとしてもよい。
また、この実施の形態では、楕円曲線上スカラー倍演算装置の処理機能を、コンピュータに所定のプログラムを実行させることにより実現する構成としたが、これらの処理機能の少なくとも一部を電子回路によってハードウェア的に実現することとしてもよい。
また、上述の実施の形態で述べたように、上記の処理機能は、コンピュータによって実現することができる。この場合、楕円曲線上スカラー倍演算装置が有すべき機能の処理内容はプログラムによって記述され、このプログラムをコンピュータで実行することにより、上記処理機能をコンピュータ上で実現することができる。
【００２７】
また、この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００２８】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。
なお、上記におけるプログラムとは、電子計算機に対する指令であって、一の結果を得ることができるように組合されたものをいい、その他電子計算機による処理の用に供する情報であってプログラムに準ずるものをも含むものとする。
【００２９】
【発明の効果】
以上説明したようにこの発明では、有理点入力部において、F_qを要素数qの有限体とし、q=2^mとし、mを自然数とし、F_q上で定義された楕円曲線Eをy²+xy=x³+ax²+bとし、この楕円曲線Eに対応してF_q ⁿ上で定義されたツイスト楕円曲線E_tをy²+xy=x³+(a+c)x²+bとし、nを自然数とし、a,b∈F_qとし、cをc∈F_q ⁿであってF_q ⁿにおける非平方とした場合における、F_q ⁿ上の有理点P(x_p,y_p)∈E_tの入力を受け付ける。次に、自己準同写像演算部において、α∈F_q ²ⁿがα²+α+c=0を満たすものとし、σ₁をF_q ²ⁿ上の(x,y)∈E_tから(x,y+αx)∈Eへ移す写像とし、π_qをF_q上の(x,y)∈Eから(x^q,y^q)∈Eへ移すフロベニウス写像とし、σ₂をF_q ²ⁿ上の(x,y)∈Eから(x,y+αx)∈E_tへ移す写像とし、π_q ^tを、F_q ²ⁿ上の(x,y)∈E_tを写像σ₁によって移し、その像をフロベニウス写像π_qによって移し、さらにその像を写像σ₂によって移す写像とした場合における、有理点入力部において入力された有理点P(x_p,y_p)∈E_tの写像π_q ^tによる像(π_q ^t)Pを算出する。そして、有理点入力部において入力された有理点P(x_p,y_p)∈E_tのk倍点であるkPのフロベニウス展開式(d₀+d₁π_q ^t+…+d_m(π_q ^t)^m-1)Pに、自己準同写像演算部によって算出された像(π_q ^t)Pを代入し、kPを算出する。
【００３０】
ここで、写像π_q ^tは、標数２の場合において、ツイスト楕円曲線E_t上の点をツイスト楕円曲線E_t上に写す自己準同型の写像であり、((π_q ^t)²-wπ_q ^t+q)R=O (-2√q≦w≦2√q)を満たすものである。従って、標数２の場合におけるツイスト楕円曲線E_t上のスカラー倍演算kPは、kP=(d₀+d₁π_q ^t+…+d_m(π_q)^m-1)Pとフロベニウス展開でき、この各要素の置き換えのみによって、このスカラー倍演算kPを行うことができる。その結果、標数２の場合において、ツイスト楕円曲線上のスカラー倍演算を高速化することができる。
【図面の簡単な説明】
【図１】楕円曲線上スカラー倍演算装置の全体構成を例示した機能ブロック図。
【図２】（ａ）は、この形態の楕円曲線上スカラー倍演算装置１のハードウェア構成を例示したブロック図であり、（ｂ）は、自己準同写像演算部の機能構成の詳細を例示した図である。
【図３】スカラー倍演算部の機能構成の詳細を例示した図。
【図４】楕円曲線上スカラー倍演算装置の処理機能を説明するためのフローチャート。
【符号の説明】
１ 楕円曲線上スカラー倍演算装置
１０ 有理点入力部
２０ 自己準同像算出部
３０ スカラー倍算出部[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an elliptic curve scalar multiplication device for performing scalar multiplication on an elliptic curve, and an elliptic curve scalar multiplication program for executing the function on a computer, and more particularly to a twist in a finite field of characteristic 2 The present invention relates to an elliptic curve on-curve multiplication device for performing scalar multiplication on an elliptic curve, and an elliptic curve on-curve multiplication program for executing the function on a computer.
[0002]
[Prior art]
With the progress of information and communication networks, encryption technology necessary for secrecy and authentication of electronic information is an indispensable element. And the improvement of the security and speeding up of this encryption technology will become a serious problem in the future.
Under such circumstances, elliptic curve cryptography is attracting attention as a next-generation cryptosystem that will lead the era of electronic commerce. Elliptic curve cryptography is a kind of cryptographic scheme that secures security based on the difficulty of solving discrete logarithm problems on elliptic curves, and is far more than RSA cryptography that makes difficulty of prime factorization the basis of security. The same security strength can be realized with a short key length.
However, this elliptic curve cryptography also has problems in terms of processing speed and security in smart cards with limited processing capabilities and server devices that perform a large amount of cryptographic processing. Research is being developed around the world.
[0003]
Generally, when implementing elliptic curve cryptography, most of the processing time is spent on scalar multiplication on the elliptic curve. In other words, the “discrete logarithm problem on an elliptic curve” used in elliptic curve cryptography refers to the problem of obtaining a scalar value k when given a point P on an elliptic curve and a point kP that is a scalar multiple thereof. `` Points on the curve '' refers to a set of numbers that satisfy the elliptic curve definition equation.The speedup of the scalar multiplication kP performed at the time of generating the discrete logarithm problem on this elliptic curve is the speed of elliptic curve cryptography. Will be realized.
Usually, the scalar multiplication operation kP is performed by repeating addition or doubling on an elliptic curve. Here, “addition on an elliptic curve” means an addition operation defined by the whole point on the elliptic curve with an infinite point as the unit element, and the same as “doubling on an elliptic curve”. An addition on an elliptic curve between points. The addition of two points on the elliptic curve is an operation in which a point passing through these two points again intersects with the elliptic curve and a point symmetric with respect to the x-axis is the addition result point. The doubling of this point is an operation in which the tangent on the elliptic curve of this point again intersects with the elliptic curve and a point symmetric with respect to the x axis is the point of the doubling result.
[0004]
  Further, as a method for performing high-speed scalar multiplication kP, there is a method using a Frobenius map. Here, the "Frobenius map" is a finite field F with q elements_qAutomorphism map ((x, y) → (x for the point P = (x, y) on the elliptic curve defined above)^q, Y^q)). And this Frobenius map is π_qThen (π_q ²-wπ_q+ q) P = O (-2√q ≦ w ≦ 2√q) is known, and in this case, the scalar multiplication kP is kP = (d₀+ d₁π_q+… + D_{m -1} (π_q)^m-1) It is known that it can be expanded with P (Frobenius expansion) (see Non-Patent Document 1). O represents an infinite point. In this case, the scalar multiplication operation kP is calculated using the expansion formula (d₀+ d₁π_q+… + D_{m -1} (π_q)^m-1) This can be done only by replacing each element of P, and in general, the processing can be speeded up as compared with the case where computation is performed by addition or doubling on an elliptic curve.
  In Non-Patent Document 2, when the characteristic is 5 or more, F_q ⁿDisclosed is a method that uses this Frobenius expansion to find a self-homogeneous mapping that can be computed at high speed on an elliptic curve with the number of rational points defined above as prime numbers, and to perform scalar multiplication on the twisted elliptic curve. ing. The contents are outlined below. “Characteristic” means finite field F_qThe number of elements q is q = β^mThe value of β in the case where it is expressed is generally a prime number.
[0005]
  In the case of this non-patent document 2, F_qAbove elliptic curve E: y²= x^Three+ ax + b is defined and F_q ⁿAbove twisted elliptic curve E_t: y²= x^Three+ ac²x + bc^ThreeIs defined (a, b∈F_q, C∈F_q ⁿIs F_q ⁿIn non-square). Here, “twisted elliptic curve” means F_q ⁿAbove, it is not isomorphic to the elliptic curve E, but F_q ²ⁿIn the above, a curve having the same shape as the elliptic curve E is referred to, and has a relationship corresponding to each elliptic curve E.
  And the map π_q ^tThe
[Equation 5]

From this definition, twist elliptic curve E_tUpper point P (x, y) ∈F_q ⁿMap of π_q ^tThe image by Pπ_q ^t= (c^1-qx^q, c^{3 (1-q) / 2}y^q). Where σ₁Is F_q ²ⁿTwisted elliptic curve E that is isomorphic above_tF to elliptic curve E from_q ²ⁿThe above map, the Frobenius map π_qIs a self-homomorphic mapping on the elliptic curve E, and σ₂Is F_q ²ⁿFrom elliptic curve E, which is the same shape above, to twisted elliptic curve E_tF to_q ²ⁿThis is the map above. Therefore, this mapping π_q ^tTwisted elliptic curve E_tThe upper point is twisted elliptic curve E_tIt is a self-homomorphic map that is projected above. E (F_q ²ⁿ), E_t(F_q ²ⁿ) Is F_q ²ⁿElliptic curve E defined above, twisted elliptic curve E_tRespectively.
  This map π_q ^t((Π_q ^t)²-wπ_q ^t+ q) Twist elliptic curve E to satisfy R = O (-2√q ≦ w ≦ 2√q)_tThe scalar multiplication kP above is kP = (d₀+ d₁π_q ^t+… + D_m-1(π_q)^m-1) P and Frobenius expansion can be performed (see Non-Patent Document 1), and high-speed computation as described above is possible. R is twisted elliptic curve E_tMean any point above.
[0006]
[Non-Patent Document 1]
J.A.Solinas, "An Improved Algorithm for Arithmetic on a Family of Elliptic Curves", Advances in Cryptology-CRYPTO'97, Lecture Notes in Computer Science 1294, pp.357-371, Springer, 1997.
[Non-Patent Document 2]
T.Iijima, K. Matsuo, J. Chao, S. Tsujii, "Construction of Frobenius maps of twists elliptic curves and its application to elliptic scalar multiplication", scis2002.
[0007]
[Problems to be solved by the invention]
However, the method of Non-Patent Document 2 is based on the premise that the characteristic is 5 or more, and there is a problem that it cannot be applied to the case of characteristic 2.
In other words, the method of Non-Patent Document 2 aims at speeding up scalar multiplication on a twisted elliptic curve defined on the assumption that the characteristic is 5 or more. It cannot be applied to a scalar multiplication operation on a twisted elliptic curve defined on the assumption of a certain thing. Therefore, the method of Non-Patent Document 2 cannot be directly realized by wired logic or the like that requires handling as a binary number.
The present invention has been made in view of the above points, and provides an elliptic curve scalar multiplication device capable of speeding up a scalar multiplication operation on a twisted elliptic curve in the case of characteristic 2. With the goal.
Another object of the present invention is to provide an elliptic curve scalar multiplication program for causing a computer to execute a function for speeding up a scalar multiplication operation on a twisted elliptic curve in the case of characteristic 2. is there.
[0008]
[Means for Solving the Problems]
  In the present invention, in order to solve the above problem, first, in the rational point input means, F_q ⁿRational point P (x_p, y_p) ∈E_tAccepts input. Here, F_qIs a finite field with q elements and q = 2^mWhere m is a natural number and F_qThe elliptic curve E defined above is y²+ xy = x^Three+ ax²+ b and F corresponding to this elliptic curve E_q ⁿTwisted elliptic curve E defined above_tY²+ xy = x^Three+ (a + c) x²+ b, n is a natural number, a, b∈F_qAnd c is c∈F_q ⁿAnd F_q ⁿIs non-square.
  Next, the rational point P (x_p, y_p) ∈E_tMap of π_q ^tImage (π_q ^t) Calculate P. Here, α∈F_q ²ⁿIs α²+ α + c = 0 and σ₁F_q ²ⁿ(X, y) ∈E above_tFrom (x, y + αx) ∈E and π_qF_qFrom (x, y) ∈E above to (x^q, y^q) ∈F to Frobenius map, and σ₂F_q ²ⁿFrom (x, y) ∈E to (x, y + αx) ∈E_tΠ_q ^tF_q ²ⁿ(X, y) ∈E above_tΣ₁And transfer the image to the Frobenius map π_qAnd then the image is mapped to σ₂The map is moved by.
  Then, the rational point P (x_p, y_p) ∈E_tThe Frobenius expansion formula (d₀+ d₁π_q ^t+… + D_{m -1} (π_q ^t)^m-1) P, the image calculated by the self-quasi-mapping means (π_q ^t) Substitute P and calculate kP.
[0009]
  Where σ₁Is F_q ²ⁿTwisted elliptic curve E that is isomorphic above_tF to elliptic curve E from_q ²ⁿThe above map, the Frobenius map π_qIs a self-homomorphic mapping on the elliptic curve E, and σ₂Is F_q ²ⁿFrom elliptic curve E, which is the same shape above, to twisted elliptic curve E_tF to_q ²ⁿThis is the map above. Therefore, this mapping π_q ^tTwisted elliptic curve E_tThe upper point is twisted elliptic curve E_tIt is a self-homomorphic map that is projected above.
  This map π_q ^t((Π_q ^t)²-wπ_q ^t+ q) Twist elliptic curve E to satisfy R = O (-2√q ≦ w ≦ 2√q)_tThe scalar multiplication kP above is the mapping π_q ^tAnd kP = (d₀+ d₁π_q ^t+… + D_{m -1} (π_q)^m-1) P and Frobenius can be developed (see Non-Patent Document 1). R is twisted elliptic curve E_tIt means any point above, O means infinity point.
  Therefore, the operation of the scalar multiplication kP is expressed by the expansion formula (d₀+ d₁π_q ^t+… + D_{m -1} (π_q)^m-1) This can be done only by replacing each element of P, and in general, the processing can be speeded up as compared with the case where computation is performed by addition or doubling on an elliptic curve.
[0010]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described below with reference to the drawings.
In the following, the whole of this embodiment will be described first, and then the details will be described.
FIG. 1 is a functional block diagram illustrating the overall configuration of an elliptic curve scalar multiplication unit 1 configured by executing a predetermined program on a known computer. The overall configuration and processing operation of the elliptic curve scalar multiplication unit 1 will be described below with reference to FIG. In the following explanation, F_qRepresents a finite field with q elements, and in this example q = 2 to take the case of characteristic 2^m(M is a natural number). In characteristic 2, F_qThe elliptic curve E defined above is y²+ xy = x^Three+ ax²+ b and F corresponding to this elliptic curve E_q ⁿTwisted elliptic curve E defined above_tY²+ xy = x^Three+ (a + c) x²+ b (n is a natural number, a, b∈F_q, C is c∈F_q ⁿAnd F_q ⁿNon-square number in). In addition, α∈F_q ²ⁿIs α²+ α + c = 0 is satisfied, k represents a scalar value, and E (F_q), E_t(F_q) Is F_qElliptic curve E defined above, twisted elliptic curve E_tRespectively.
[0011]
When performing scalar multiplication by the scalar multiplication unit 1 on the elliptic curve, first, the rational point input unit 10 performs F_q ⁿRational point P (x_p, y_p) ∈E_tAnd the rational point P (x_p, y_p) Is sent to the self-similar mapping operation unit 20.
Rational point P (x_p, y_p) Is sent to the self-quasi-mapping operation unit 20 and the rational point P (x_p, y_p)_q ^tImage (π_q ^t) Calculate P.
[Formula 6]

Where π_q ^tF_q ²ⁿ(X, y) ∈E above_tΣ₁And transfer the image to the Frobenius map π_qAnd then the image is mapped to σ₂Is a mapping transferred by. Also, σ₁F_q ²ⁿ(X, y) ∈E above_tIs a mapping that shifts to (x, y + αx) ∈E, and π_qF_q(X, y) ∈E above (x^q, y^q) ∈F is a Frobenius map, and σ₂F_q ²ⁿ(X, y) ∈E above (x, y + αx) ∈E_tIt is a mapping to move to. And σ₁Is F_q ²ⁿTwisted elliptic curve E that is isomorphic above_tF to elliptic curve E from_q ²ⁿThe above map, the Frobenius map π_qIs a self-homomorphic mapping on the elliptic curve E, and σ₂Is F_q ²ⁿFrom elliptic curve E, which is the same shape above, to twisted elliptic curve E_tF to_q ²ⁿThis is the map above. Therefore, this mapping π_q ^tTwisted elliptic curve E_tThe upper point is twisted elliptic curve E_tIt is a self-homomorphic map that is projected above.
[0012]
This mapping π_q ^tRational point P (x_p, y_p) Image (π_q ^t) P, the rational point P (x_p, y_p)₁The image by_p, y_p+ αx_p). And the Frobenius map π_qThe image by ((x_p)^q, (y_p)^q+ α^q(x_p)^q) And the map σ₂The image by ((x_p)^q, (y_p)^q+ (α^q+ α) ・ (x_p)^q).
Where q = 2^mBecause e_m= α^q+ α, e_mIs
[Expression 7]

Can be converted as follows. And this e_mAnd use the image (π_q ^t) P = ((x_p)^q, (y_p)^q+ e_m・ (X_p)^q) ... (1).
The rational point P (x_p, y_p) To map π_q ^tIs applied j times, the image (π_q ^t)^jP is
[Equation 8]

It becomes. The proof is shown below.
[0013]
When j = 1, the substitution result is (π_q ^t) P = ((x_p)^q, (y_p)^q+ e_m・ (X_p)^qTherefore, it is self-evident. Also, assuming that j = L holds
[Equation 9]

From the formula (1)
[Expression 10]

Is established. Thus, it can be said that even if j = L + 1, it can be said that all natural numbers j are satisfied [end of proof].
The self-similar mapping operation unit 20 uses the expression (2) to calculate the image (π_q ^t)^jP is calculated and the result is sent to the scalar multiplication unit 30.
[0014]
  The scalar multiplication unit 30 that has received the calculation result receives the rational point P (x input by the rational point input unit 10._p, y_p) ∈E_tThe Frobenius expansion formula (d₀+ d₁π_q ^t+… + D_{m -1} (π_q ^t)^m-1) P, an image (π_q ^t)^jSubstitute P and calculate kP.
  That is, the image represented by the expression (2) (π_q ^t)^jP is ((π_q ^t)²-wπ_q ^t+ q) R = O (-2√q ≦ w ≦ 2√q), and ((π_q ^t)ⁿ+1) R = O (R: Twist elliptic curve E_tAny point above, O: point at infinity), in this case, as shown in Non-Patent Document 1, twisted elliptic curve E_tThe scalar multiplication kP above is kP = (d₀+ d₁π_q ^t+… + D_{m -1} (π_q)^m-1) P and Frobenius can be developed. Therefore, it is received from the self-similar mapping operation unit 20 (π_q ^t)^jP (1 ≤ j ≤ m-1) calculation result and constant d obtained by the algorithm described later_i(0 ≦ i ≦ m-1) And d_i(π_q ^t) ⁱ P (1≤j≤m-1) And adding them together, kP can be obtained at high speed.
[0015]
Next, details of this embodiment will be described.
FIG. 2A is a block diagram illustrating a hardware configuration of the elliptic curve scalar multiplication device 1 of this form.
As illustrated in FIG. 2A, an elliptic curve scalar multiplication device 1 of this example includes an input device 1a such as a keyboard, an output device 1b such as a liquid crystal display, a CPU (Central Processing Unit) 1c, a hard disk, and the like. Storage device 1d, input device 1a, output device 1b, CPU 1c, and bus 1e for connecting the storage devices 1d so that data can be exchanged between them, and a predetermined program stored in the storage device 1d is stored. The processing function is realized by executing it by the CPU 1c.
2B shows details of the functional configuration of the self-similar mapping operation unit 20 realized by executing a predetermined program on the hardware illustrated in FIG. 2A. FIG. FIG. 4 is a diagram illustrating details of the functional configuration of the scalar multiplication unit 30, and FIG. 4 is a flowchart for explaining the processing functions of the elliptic curve scalar multiplication unit 1. Hereinafter, the configuration and processing function of the elliptic curve scalar multiplication unit 1 will be described with reference to these drawings.
[0016]
When performing scalar multiplication on the elliptic curve scalar multiplication unit 1, first, in the rational point input unit 10, F_q ⁿRational point P (x_p, y_p) ∈E_tAnd the rational point P (x_p, y_p) Is sent to the mapping calculation unit 24 of the self-homogeneous mapping calculation unit 20 (step S1).
Next, the parameters c and m are read from the register 21 in the constant calculation unit 22 of the self-similar mapping operation unit 20. The parameter c is a twisted elliptic curve E_t(Y²+ xy = x^Three+ (a + c) x²+ b) constant c and the parameter m is a finite field F_qNumber of elements q = 2^mIs a natural number m that specifies data stored in the register 21 in advance. The constant calculation unit 22 that has read out the parameters c and m converts these parameters c and m into
[Expression 11]

Assign to the constant e_mAnd the calculated constant e_mIs sent to the constant calculator 23 (step S2).
[0017]
Constant e_m, The constant calculator 23 reads the parameter q from the register 21. This parameter q is a finite field F_qThe number of elements q is the data stored in the register 21 in advance. The constant calculation unit 23 that has read the parameter q receives the received constant e_mAnd the read parameter q
[Expression 12]

And the constant h, which is the result of the calculation, is sent to the mapping calculation unit 24 together with the parameter q (step S3).
In the mapping operation unit 24, the rational point P (x sent from the rational point input unit 10 in step S1._p, y_p), The constant h and the parameter q sent from the constant calculation unit 23 in step S3.
[Formula 13]

For all natural numbers j satisfying 1 ≦ j ≦ m−1._q ^t)^jP is calculated (step S4). This calculation is performed using the constant e calculated by the constant calculation unit 22 for all natural numbers j satisfying 1 ≦ j ≦ m−1._mUsing
[Expression 14]

To calculate F_q ⁿRational point P (x_p, y_p) ∈E_tMap of (π_q ^t)^jImage (π_q ^t)^jThis corresponds to calculating P. In addition, the image (π_q ^t)^jP is sent to the unfolding type arithmetic unit 31 of the scalar multiplication unit 30.
[0018]
Next, in the parameter input unit 32a of the scalar multiplication unit 30, R is twisted elliptic curve E._t((Π in the case where O is an infinite point)_q ^t)²-w (π_q ^t) + q) Accepts an input of w satisfying R = O, a scalar value k, and the number of elements q, and stores the inputted information in the register 32b (step S5).
Thereafter, in the variable initialization unit 32c, the variable i is read from the register 32b.₁, d_i2, z₁, z₂, And constant k, and variable z₁Substituting k for the variable i₁, Variable z₂, And all variables d_i2(∀i₂) Is substituted for 0 (step S6). The register 32b has a variable z.₁, z₂, z_Three, z_Four, i₁, i₂, d_i1, Constants q, m, k, w, finite field F_q ⁿThe number of elements in ((π_q ^t)ⁿ+1) It is assumed that a natural number n satisfying R = O is stored.
Next, in the comparison unit 32d, the variable z is transferred from the register 32b.₁, z₂And the read variable is z₁= z₂Whether or not (step S7), z₁, z₂If not, the process proceeds to step S8.
[0019]
In step S8, in the variable substitution unit 32e, first, constants q, m, d from the register 32b._i1, And variable i_1,z₁, z_Three, M ≦ i₁It is determined whether or not ≦ 2m−1 is satisfied. And m ≦ i₁If ≤2m-1 is satisfied, z_Three(Z₁mod q) -q, d_{(i1 mod n)}To d_{(i1 mod n)-}z_ThreeIs substituted (step S9), and if not satisfied, z_Three(Z₁mod q), d_{(i1 mod n)}To d_{(i1 mod n) +}z_ThreeIs substituted (step S10).
These substitution results z_Three, d_{(i1 mod n)}Is stored in the register 32b, and then in the variable substitution unit 32g, constants q, n, w, and variable d from the register 32b are stored._i1, i₁, z₁, z₂, z_Three, z_FourRead the variable z_Four(Z₁-z_Three) / q and variable z₁To wz_Four+ z₂Substituting z₂To -z_FourAnd i₁I₁+1 is substituted (step S11). Assignment result i₁, z₁, z₂, z_FourIs stored in the register 32b, and the process returns to step S7 again.
[0020]
  In the process of step S7, the comparison unit 32d performs z₁= z₂When the comparison unit 32d determines that it is, the comparison unit 32d sends information to that effect to the constant output unit 32h, and the constant output unit 32h displays the variable d stored in the register 32b._i1Read out each d_i1The value of the constant d_iIs output to the unfolding type arithmetic unit 31 (step S12). Note that the parameter input unit 32a, the register 32b, the variable initialization unit 32c, the comparison unit 32d, the variable substitution units 32e and 32g, and the constant output unit 32h described above are connected to the k Frobenius expansion (d₀+ d₁π_q ^t+… + D_{m -1} (π_q ^t)^m-1) P constant d_i0 ≦ i ≦ m-1The constant calculation part 32 which calculates about is comprised.
  Constant d calculated and output by constant calculator 32_i(Step S5 to Step S12) and the image (π) calculated by the mapping calculation unit 24 of the self-similar image calculation unit 20_q ^t)^jThe expansion equation calculation unit 31 that has received P (step S4) uses these data and (d₀+ d₁π_q ^t+… + D_{m -1} (π_q ^t)^m-1) P is calculated to calculate kP, and the calculation result kP is output (step S13).
[0021]
  Thus, in this embodiment, in the rational point input unit 10 which is a rational point input means, F_q ⁿRational point P (x_p, y_p) ∈E_tIn the self-quasi-mapping operation unit 20 which is a self-quasi-mapping operation means._q ²ⁿIs α²+ α + c = 0 and σ₁F_q ²ⁿ(X, y) ∈E above_tFrom (x, y + αx) ∈E and π_qF_qFrom (x, y) ∈E above to (x^q, y^q) ∈F to Frobenius map, and σ₂F_q ²ⁿFrom (x, y) ∈E to (x, y + αx) ∈E_tΠ_q ^tF_q ²ⁿ(X, y) ∈E above_tΣ₁And transfer the image to the Frobenius map π_qAnd then the image is mapped to σ₂The rational point P (x_p, y_p) ∈E_tMap of π_q ^tImage (π_q ^t) Calculate P. Then, in the scalar multiplication unit 30 which is a scalar multiplication unit, the rational point P (x_p, y_p) ∈E_tThe Frobenius expansion formula (d₀+ d₁π_q ^t+… + D_{m -1} (π_q ^t)^m-1) P, an image (π_q ^t) P was substituted and kP was calculated.
[0022]
  Where, as mentioned above, this mapping π_q ^tTwisted elliptic curve E_tThe upper point is twisted elliptic curve E_tIt is a self-homomorphic map that is projected above. This map π_q ^t((Π_q ^t)²-wπ_q ^t+ q) Twist elliptic curve E to satisfy R = O (-2√q ≦ w ≦ 2√q)_tThe scalar multiplication kP above is the mapping π_q ^tAnd kP = (d₀+ d₁π_q ^t+… + D_{m -1} (π_q)^m-1) P and Frobenius can be developed. Therefore, the scalar multiplication operation kP in characteristic 2 is expressed by the expansion formula (d₀+ d₁π_q ^t+… + D_{m -1} (π_q)^m-1) This can be done only by replacing each element of P, and in general, the processing can be speeded up as compared with the case where computation is performed by addition or doubling on an elliptic curve.
[0023]
  In this embodiment, the self-similar mapping operation unit 20 performs the operation of Expression (3) to obtain a constant e_mAnd constant e calculated by the first constant calculator for all natural numbers j satisfying 1 ≦ j ≦ m−1._mCalculate the expression (6) using_q ⁿRational point P (x_p, y_p) ∈E_tMap of (π_q ^t)^jImage (π_q ^t)^jThe mapping operation unit 24 for calculating P is included. Further, the scalar multiplication unit 30 performs the Frobenius expansion of kP (d₀+ d₁π_q ^t+… + D_{m -1} (π_q ^t)^m-1) P constant d_i0 ≦ i ≦ m-1A constant calculation unit 32 which is a second constant calculation means for calculating the constant d and a constant d calculated by the constant calculation unit 32_iAnd the image (π_q ^t)^jP and (d₀+ d₁π_q ^t+… + D_{m -1} (π_q ^t)^m-1) It is assumed that it has an unfolding type arithmetic unit 31 which is an unfolding type calculating means for calculating kP by calculating P. Therefore, the constant d calculated by the constant calculation unit 32_i, And the image (π_q ^t)^jExpand P (d₀+ d₁π_q ^t+… + D_{m -1} (π_q)^m-1) Twist elliptic curve E in characteristic 2 just by substituting for each element to P_tThe above scalar multiplication kP can be obtained at high speed.
[0024]
Further, the self-similar mapping operation unit 20 includes a constant operation unit 23 which is a third constant operation unit that calculates the constant h by the operation of Expression (4) before the processing by the map operation unit 24. The calculation unit 24 performs the calculation of Expression (5) using the constant h calculated by the constant calculation unit 23, and the image (π_q ^t)^jP was calculated. In this case, as shown in equation (5), (π_q ^t)^jThe computational cost of the map is F_q ⁿThe above power of q is calculated 2j times (x_p ^qJ times, y_p ^qJ times), 1 multiplication, and 1 addition. And F_q ⁿThe upper q power can generally be calculated at high speed. Therefore, (π_q ^t)^jThe calculation cost of the mapping is within the error range compared to addition on the elliptic curve, and the twisted elliptic curve E in characteristic 2_tThe above scalar multiplication kP can be performed at higher speed.
[0025]
  Further, the second constant calculation unit 32 converts R into a twisted elliptic curve E_tAny point above, ((π_q ^t)²-w (π_q ^t) + q) w satisfying R = O, parameter input unit 32a which is a parameter input means for receiving input of k and the number of elements q described above, variable z₁Substituting k for the variable i₁, Variable z₂And all i₂Variable d_i2Variable initialization unit 32c, which is a variable initialization means for substituting 0 for n, m ≦ i₁If ≤2m-1 is satisfied, variable z_ThreeSubstituting the result of (x mod q) -q for d_{(i1 mod n)}To d_{(i1 mod n)}-z_ThreeSubstituting the operation result of m ≦ i₁If ≤2m-1 is not satisfied, variable z_ThreeSubstituting the result of (x mod q) for d_{(i1 mod n)}To d_{(i1 mod n)}+ z_ThreeA variable substitution unit 32e which is a first variable substitution means for substituting the calculation result of_Four(Z₁-z_Three) / q and variable z₁To wz_Four+ z₂Substituting z₂To -z_FourAnd i₁I₁A variable substitution unit 32g which is a second variable substitution means for substituting +1, and z₁= z₂Each d_i1The value of the constant d_iThe constant output unit 32h is a constant output unit that outputs as For this reason, the Frobenius expansion of kP (d₀+ d₁π_q ^t+… + D_{m -1} (π_q ^t)^m-1) P constant d_iCan be easily obtained, and the twisted elliptic curve E in characteristic 2_tThe above scalar multiplication kP can be obtained at high speed.
[0026]
The present invention is not limited to the embodiment described above. For example, in this embodiment, a constant h is calculated using equation (4) in step S3, and the constant (h) is substituted into equation (5) to obtain an image (π_q ^t)^jP is calculated (step S4), but the constant h is not obtained, and the image (π is calculated only by the calculation of the equations (3) and (6)._q ^t)^jP may be calculated.
In this embodiment, the processing function of the elliptic curve scalar multiplication unit is realized by causing a computer to execute a predetermined program. However, at least a part of these processing functions is implemented by an electronic circuit. It may be realized as a hardware.
Further, as described in the above embodiment, the above processing functions can be realized by a computer. In this case, the processing contents of the functions that the elliptic curve scalar multiplication unit should have are described by a program, and the processing functions can be realized on the computer by executing the program on the computer.
[0027]
The program describing the processing contents can be recorded on a computer-readable recording medium. The computer-readable recording medium may be any medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, or a semiconductor memory. Specifically, for example, the magnetic recording device may be a hard disk device or a flexible Discs, magnetic tapes, etc. as optical disks, DVD (Digital Versatile Disc), DVD-RAM (Random Access Memory), CD-ROM (Compact Disc Read Only Memory), CD-R (Recordable) / RW (ReWritable), etc. As the magneto-optical recording medium, MO (Magneto-Optical disc) or the like can be used, and as the semiconductor memory, EEP-ROM (Electronically Erasable and Programmable-Read Only Memory) or the like can be used. The program is distributed by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.
[0028]
A computer that executes such a program first stores, for example, a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. When executing the process, the computer reads a program stored in its own recording medium and executes a process according to the read program. As another execution form of the program, the computer may read the program directly from the portable recording medium and execute processing according to the program, and the program is transferred from the server computer to the computer. Each time, the processing according to the received program may be executed sequentially. Also, the program is not transferred from the server computer to the computer, and the above-described processing is executed by a so-called ASP (Application Service Provider) type service that realizes the processing function only by the execution instruction and result acquisition. It is good.
The program in the above is an instruction to the electronic computer, which is combined so that one result can be obtained, and other information that is used for processing by the electronic computer and conforms to the program. Is also included.
[0029]
【The invention's effect】
As described above, in the present invention, in the rational point input unit, F_qIs a finite field with q elements and q = 2^mWhere m is a natural number and F_qThe elliptic curve E defined above is y²+ xy = x^Three+ ax²+ b and F corresponding to this elliptic curve E_q ⁿTwisted elliptic curve E defined above_tY²+ xy = x^Three+ (a + c) x²+ b, n is a natural number, a, b∈F_qAnd c is c∈F_q ⁿAnd F_q ⁿF in the case of non-square in_q ⁿRational point P (x_p, y_p) ∈E_tAccepts input. Next, in the self-similar mapping unit, α∈F_q ²ⁿIs α²+ α + c = 0 and σ₁F_q ²ⁿ(X, y) ∈E above_tFrom (x, y + αx) ∈E and π_qF_qFrom (x, y) ∈E above to (x^q, y^q) ∈F to Frobenius map, and σ₂F_q ²ⁿFrom (x, y) ∈E to (x, y + αx) ∈E_tΠ_q ^tF_q ²ⁿ(X, y) ∈E above_tΣ₁And transfer the image to the Frobenius map π_qAnd then the image is mapped to σ₂The rational point P (x_p, y_p) ∈E_tMap of π_q ^tImage (π_q ^t) Calculate P. Then, the rational point P (x_p, y_p) ∈E_tThe Frobenius expansion formula (d₀+ d₁π_q ^t+… + D_m(π_q ^t)^m-1) P, the image calculated by the self-similar mapping unit (π_q ^t) Substitute P and calculate kP.
[0030]
Where π_q ^tIs the twist elliptic curve E in the case of characteristic 2_tThe upper point is twisted elliptic curve E_tThis is a self-homomorphic mapping that is projected above ((π_q ^t)²-wπ_q ^t+ q) R = O (-2√q ≦ w ≦ 2√q). Therefore, twisted elliptic curve E in the case of characteristic 2_tThe scalar multiplication kP above is kP = (d₀+ d₁π_q ^t+… + D_m(π_q)^m-1) P and Frobenius expansion, and this scalar multiplication kP can be performed only by replacing each element. As a result, in the case of characteristic 2, the scalar multiplication on the twisted elliptic curve can be speeded up.
[Brief description of the drawings]
FIG. 1 is a functional block diagram illustrating the overall configuration of an elliptic curve scalar multiplication unit.
FIG. 2A is a block diagram illustrating a hardware configuration of an elliptic curve scalar multiplication unit 1 in this form, and FIG. 2B illustrates details of a functional configuration of a self-quasi-mapping unit FIG.
FIG. 3 is a diagram illustrating details of a functional configuration of a scalar multiplication unit.
FIG. 4 is a flowchart for explaining processing functions of an elliptic curve scalar multiplication unit.
[Explanation of symbols]
1 Scalar multiplication unit on elliptic curve
10 Rational point input part
20 Self-similar image calculator
30 scalar multiplication calculator

Claims (5)

F _q is a finite field with q elements, q = 2 ^m , m is a natural number, and elliptic curve E defined on F _q is y ² + xy = x ³ + ax ² + b. the F _q ⁿ on twisted elliptic curve E _t which is defined by a ^{y 2 + xy = x 3 +} (a + c) x 2 + b corresponds to E, the n is a natural number, a, and B∈F _q , in case of the non-square in F _q ⁿ a c a c∈F _q ^n, and rational point input means for receiving an input of F _q ⁿ rational points on _{P (x p, y p)} ∈E t,
Let α∈F _q ²ⁿ satisfy α ² + α + c = 0, and let σ _{1 be a} mapping that moves from (x, y) ∈E _t to (x, y + αx) ∈E on F _q ²ⁿ , Let π _{q be a} Frobenius map that moves from (x, y) ∈ E on F _q to (x ^q , y ^q ) ∈ E, and σ ₂ from (x, y) ∈ E on F _q ²ⁿ to (x, y + αx) ∈E _t , and π _q ^t is moved from (x, y) ∈E _t on F _q ²ⁿ by map σ ₁ , the image is moved by Frobenius map π _q , and the image When the mapping is shifted by the mapping σ ₂ , the image (π _q ^t ) P by the mapping π _q ^t of the rational point P (x _p , y _p ) ∈E _t input in the rational point input means is calculated A self-similar mapping operation means;
Frobenius expansion equation (d ₀ + d ₁ π _q ^t +... + D _{m −1} ) of kP which is a k-fold point of the rational point P (x _p , y _p ) ∈E _t inputted in the rational point input means Substituting the image (π _q ^t ) P calculated by the self-quasi-mapping operation means into (π _q ^t ) ^m-1 ) P, and a scalar multiplication operation means for calculating kP;
A scalar multiplication unit on an elliptic curve, comprising: The self-similar mapping operation means includes

A first constant calculating means for calculating the constants e _m by performing the calculation of the,
1 ≦ For j ≦ m-1 all natural numbers j satisfying, with constant e _m calculated by the first constant calculating means

A mapping operation means for calculating an image (π _q ^t ) ^j P by a mapping (π _q ^t ) ^j of a rational point P (x _p , y _p ) ∈E _t on F _q ⁿ ,
Means having
The scalar multiplication means is
Frobenius expansion of kP (d ₀ + d ₁ π _q ^t +... + d _{m −1} (π _q ^t ) ^m−1 ) Second constant d _i for calculating P ≦ 0 ≦ i ≦ m −1 Constant arithmetic means;
Using the constant d _i calculated by the second constant calculating means and the image (π _q ^t ) ^j P calculated by the mapping calculating means, (d ₀ + d ₁ π _q ^t +... + D _{m −1} (π _q ^t ) ^m−1 ) P to calculate kP by calculating kP,
The scalar multiplication unit on an elliptic curve according to claim 1. The self-similar mapping operation means includes
Before the processing by the map calculation means,

A third constant calculating means for calculating the constant h by the calculation of
The mapping calculation means includes
Using the constant h calculated by the third constant calculating means

A means for calculating the image (π _q ^t ) ^j P
The scalar multiplication unit on an elliptic curve according to claim 2. The second constant calculation means includes:
The R is an arbitrary point on the twisted elliptic curve E _t, O point at infinity and in the case where ^{_{((π q t) 2 -w}} (π q t) + q) satisfies the R = O w, wherein k And parameter input means for receiving input of the number of elements q,
Substitute variable k ₁ and assign 0 to variable i ₁ , variable z ₂ , and variable d _i2 of all i ₂ (i ₂ = 0,1, ..., m-1) And
When m ≦ i ₁ ≦ 2m−1 is satisfied, the calculation result of (x mod q) -q is substituted for variable z ₃ and ⁿ is a natural number satisfying ((π _q ^t ) ⁿ +1) R = O. in the case where, d _{(i1 mod n)} to d _{(i1 mod n)} by substituting the calculation results of the -z _3, when not satisfied _{m ≦ i 1 ≦ 2m-1} , the variable z ₃ (x mod q) substituting the calculation results, a first variable assignment means for assigning the operation result of _{d (i1 mod n) + z} 3 to d _{(i1 mod n),}
Into the variable z ₄ a _{(z 1 -z 3) / q} , substitutes wz ₄ + z ₂ to the variable z _1, substitutes the -z ₄ to z _2, substituting i ₁ +1 to i ₁ A second variable substitution means;
constant output means for outputting the value of each d _i1 as the constant d _i when z ₁ = z ₂ ;
The scalar multiplication unit on an elliptic curve according to claim 2, wherein:   A program for causing a computer to function as an elliptic curve scalar multiplication device according to any one of claims 1 to 4.

Images