JP4369618B2 - 高速復号化を備えた暗号システムおよび方法 - Google Patents
高速復号化を備えた暗号システムおよび方法 Download PDFInfo
- Publication number
- JP4369618B2 JP4369618B2 JP2000527056A JP2000527056A JP4369618B2 JP 4369618 B2 JP4369618 B2 JP 4369618B2 JP 2000527056 A JP2000527056 A JP 2000527056A JP 2000527056 A JP2000527056 A JP 2000527056A JP 4369618 B2 JP4369618 B2 JP 4369618B2
- Authority
- JP
- Japan
- Prior art keywords
- value
- function
- message
- encoder
- decoder
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
- H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
- H04L9/302—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the integer factorization problem, e.g. RSA or quadratic sieve [QS] schemes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
- H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/08—Randomization, e.g. dummy operations or using noise
Description
【０００１】
（技術分野）
本発明は、暗号化および復号化処理を実行する暗号のシステム、コンピュータ、コンピュータ実施形方法に関するものである。詳細には、本発明は、復号化処理を実行する速度を向上させた暗号システムに関するものである。
【０００２】
（発明の背景）
公開鍵暗号法は、これがなければ安全でない通信チャンネルを介してメッセージを安全に伝送するために広く使用されているアプローチである。公開鍵暗号法は、非対称の鍵ペアを用いる。“非対称”の暗号鍵ペアは、２つの別個の鍵から成っており、データを１方向に操作する第１の鍵と、この操作したデータをその元の形態に変換し戻す第２の鍵とである。これら鍵は、一方の鍵を他方の鍵から（少なくとも法外でない時間内に）計算できないという数学的関係に基づいている。
【０００３】
暗号鍵ペアは、異なった機能のために使用することができ、例えば、暗号化、復号化、デジタル署名、署名検証、認証である。１例として、非対称の鍵ペアを使用する暗号化と復号化は、以下のように表すことができる。
【０００４】
【数３２】
【０００５】
ここで、“EKpub”は、公開暗号化鍵“Kpub”を使用して平文メッセージ“Ｍ”を暗号文“Ｃ”に暗号化する暗号化関数であり、“DKpri”は、秘密の復号化鍵“Kpri”を使用する復号化関数である。この逆も真であって、メッセージは、その秘密鍵を使って“署名”でき、そしてこの署名は、その公開鍵を使って検証することができる。
【０００６】
公開鍵システムにおいては、公開鍵は、他の者に配布し、秘密鍵は秘密に保持される。この非対称の公開鍵と秘密鍵とは、２つの結果を保証する。第１に、秘密鍵の保有者のみが、それに対応する公開鍵で暗号化されたメッセージを復号化できることである。第２に、別の者が公開鍵を使ってメッセージを復号化した場合、そのメッセージが、その公開鍵で暗号化されたことそしておそらくその秘密鍵の保有者から生じたことを、その者に保証することができる。
【０００７】
最も知られおりかつ最も広く使われている非対称暗号の１つは、ＲＳＡ暗号式暗号であり、これは、その創作者であるRivest（リベスト）、Shamir（シャミル）およびAdleman（アドルマン）にちなんで名が付けられている。元のＲＳＡ暗号システムは、“暗号通信のシステムおよび方法（Cryptographic Communications System and Method）”と題する米国特許4,405,829に記載されており、これは、Rivest（リベスト）、Shamir（シャミル）およびAdleman（アドルマン）の名で、１９８３年９月２０に出願されたものである。この特許は、背景情報として言及により本文に含めるものとする。
【０００８】
暗号化および復号化のためのこのＲＳＡ暗号は、以下で与えられる。
【０００９】
【数３３】
【００１０】
ここで、p1とp2は素数（prime number）であり、ｎはn = p1 p2
の形態の合成数であり、ｅは、（p1-1）(p2-1)と互いに素でる数である。
【００１１】
演算“mod”は、“還元（modular reduction）”演算、あるいは単に“モジュロ（modulo）”演算であり、これは、大きな整数算術にとっては一般的な演算である。このモジュロ演算は、算術演算であってその結果が除算演算の剰余である算術演算である。これは、“A mod B”として表現し、ここで、Ａは、何等かの底（base）で書かれた数であり、Ｂは“法（modulus）”である。A mod Bの結果は、数Ａを法Ｂで除算したその剰余である。簡単な例としては、モジュロ演算17 mod 3は、２の結果となるが、それは、１７を３で割ると、余りが２となるからである。これは剰余を発生するため、モジュロ演算は、“除算剰余”演算とも代わりに呼ぶことがある。
【００１２】
在来のＲＳＡ暗号法では、復号化は、暗号化よりもかなり遅いものである。この不一致は、ＲＳＡ暗号が、メッセージを復号化するのに、この同じメッセージを暗号化するのに必要とするよりもより多くの計算を必要とする、ということに起因している。この不一致は、ある種の環境においては不利となることがある。例えば、クライアント・サーバの状況においては、クライアントとサーバは、暗号化したメッセージを互いに交換することが多い。個々のクライアントは、メッセージを暗号化するのに豊富な時間とリソースを有していることが多い。しかし、サーバは、そのような快適さを経験したことがなく、時には、特に高いクライアント要求量の時間の間において、入来するメッセージを迅速に復号化するその能力が制限されることがある。
【００１３】
したがって、ＲＳＡアルゴリズムにおける復号化の速度を完全することに対するニーズが存在する。
【００１４】
（発明の摘要）
本発明は、ＲＳＡ暗号における復号化速度を改善する暗号のシステムおよび方法に関係している。この暗号システムは、Zn*の部分群における指数演算に基づく落とし戸転置の新たなファミリを用いる。
【００１５】
本システムは、メッセージＭを暗号文Ｃに変換しそして該暗号文Ｃを通信チャンネルを介して送信するエンコーダを備える。暗号文Ｃは、２つのコンポーネント、すなわち値Ｖと値Ｗを有する。値Ｖは、数ｘの関数、すなわちＶ＝ｘeであり、ここで、ｅは整数、ｘは以下の通りであり、
【００１６】
【数３４】
【００１７】
ここで、
（ｉ）ｎは数ｎ＝ｐ1ｐ2であり、ここで、ｐ1，ｐ2は、素数であって、ｐ1＝ｒ1ｑ1＋１，ｐ2＝ｒ2ｑ2＋１であり、ここで、ｒ1，ｒ2は乱数、ｑ1，ｑ2は素数であり、
（ｉｉ）Ｒは、前記乱数ｒ1，ｒ2とは独立に選択した乱数であり、
（ｉｉｉ）ｇは、
【００１８】
【数３５】
【００１９】
であり、ここで、ｒ3は、前記乱数ｒ1，ｒ2，Ｒとは独立に選択した乱数である。
【００２０】
前記値Ｗは、値ｈ1（ｘ）と前記メッセージＭの関数（例えば
【００２１】
【数３６】
【００２２】
である）としてエンコードし、ここで、前記値ｈ1（ｘ）は、前記数ｘの一方向性関数（例えば、ｘのハッシュ関数）の結果である。
【００２３】
また、前記エンコーダは、前記数ｘと前記メッセージＭのハッシュ関数ｈを使ってハッシュ値ｈ2（ｘ，Ｍ）を計算する。前記エンコーダは、前記暗号文Ｃ（値Ｖと値Ｗを含む）と前記ハッシュ値ｈ2（ｘ，Ｍ）を前記通信チャンネルを介して送る。
【００２４】
前記システムは、さらに、前記暗号文Ｃと前記ハッシュ値ｈ2（ｘ，Ｍ）を前記通信チャンネルを介して受け、そして前記暗号文Ｃを前記メッセージＭに変換し戻すように結合したデコーダを備える。該デコーダは、最初に、前記数ｘを前記値Ｖから、以下のように得る。
【００２５】
【数３７】
【００２６】
前記デコーダは、前記値Ｗと前記値ｈ1（ｘ）（例えば、
【００２７】
【数３８】
【００２８】
である）の関数を使って前記メッセージＭをデコードする。前記メッセージＭを復元した後、前記デコーダは、前記数ｘと前記復元したメッセージＭから、テスト・ハッシュ値ｈ2’（ｘ，Ｍ）を計算し、そして前記エンコーダから受けた前記ハッシュ値ｈ2（ｘ，Ｍ）を前記テスト・ハッシュ値ｈ2’（ｘ，Ｍ）と比較する。これら２つのハッシュ値が一致した場合、前記メッセージＭが変更されていないことになる。
【００２９】
（好ましい実施形態の詳細な説明）
以下の説明は、読者が暗号技術およびモジュロ演算に精通していることを仮定している。暗号法の基本的な入門として、読者は、シュナイダ（Bruce Schneier）著の“暗号の応用：プロトコル、アルゴリズム、Ｃのソースコード”と題するテキスト（a text written by Bruce Schneier and entitled, "Applied Cryptography: Protocols, Algorithms, and Source Code in C," second edition, published by John Wiley & Sons with copyright 1996）を参照されたい。尚、これは、言及により本文に含めるものとする。
【００３０】
図１は、暗号システム２０を示しており、これは、エンコーダ２２がデコーダ２４に対し通信チャンネル２６を介して結合して備えている。暗号システム２０は、ＲＳＡアルゴリズムに基づく非対称暗号式暗号（asymmetric cryptographic cipher）を用いる。詳細には、この好ましいシステムは、ベレア−ロガウェイ暗号系（BellareRogaway cryptosystem）であり、これは、ＲＳＡ落とし戸転置ファミリ（RSA trapdoor permutation family）を用いる。
【００３１】
一般に、暗号式暗号は、４つの素数ｐ1，ｐ2，ｑ1，ｑ2から成る秘密鍵を用いる。これら素数は、以下の関係である。
【００３２】
【数３９】
【００３３】
ここで、ｒ1とｒ2は、乱数であるが、上記式におけるそれらの値が素数ｐ1，ｐ2を発生するという要件で制限されている。
【００３４】
公開鍵は、秘密鍵から生成する。この公開鍵は、３つの数ｎ，ｅ，ｇから成る。数ｅは整数（integer）であり、数ｎ，ｇは、以下の通り計算する。
【００３５】
【数４０】
【００３６】
ここで、ｒ3は、乱数ｒ1，ｒ2とは独立に選択した乱数である。この乱数ｒ3は、乱数ｒ1，ｒ2とは異なっている可能性が高いが、但しその必要はない。数ｇは、位数（order）ｑ1，ｑ2のＺn＊のランダムな要素である。
【００３７】
エンコーダ２２は、メッセージＭを、ｎ，ｅ，ｇから成る公開鍵を使って暗号文Ｃにエンコードする。広く述べると、暗号文Ｃは、メッセージＭと数ｘの関数であり、ここで、ｘは、Ｚn＊における位数ｑ1ｑ2を有する。数ｘは、以下の通り得られる。
【００３８】
【数４１】
【００３９】
ここで、Ｒは、ｒ1，ｒ2とは独立に選択した乱数である。この乱数Ｒは、乱数ｒ1，ｒ2とは異なっている可能性が高いが、但し、その必要はない。暗号文Ｃは、２つのコンポーネント、すなわち、値Ｖと値Ｗを有する。値Ｖは、以下の通り、数ｘの関数である。
【００４０】
【数４２】
【００４１】
値Ｗは、値ｈ1（ｘ）とメッセージＭとの関数であり、ここで、値ｈ1（ｘ）は、数ｘの一方向性関数ｈ1の結果である。１つの例として、この一方向性関数は、ＳＨＡ（安全ハッシュ・アルゴリズム：Secured Hash Algorithm）のようなハッシュ関数として実施する。１つの実現例では、値Ｗは、排他的ＯＲ関数を使って以下のように計算する。
【００４２】
【数４３】
【００４３】
しかし、値ｈ1（ｘ）とＭの他の論理的組合せも、この論理演算が可逆性である限り、排他的ＯＲ関数の代わりに使用することができる。
【００４４】
エンコーダ２２は、値ＶとＷを互いにパッケージして暗号文Ｃを形成し、そしてこれを、通信チャンネル２６を介してデコーダ２４に送る。デコーダ２４は、秘密鍵を使って値Ｖから数ｘを再計算するが、この秘密鍵は、以下の通り、公開鍵にｐ1，ｐ2，ｑ1，ｑ2
を足したものである。
【００４５】
【数４４】
【００４６】
一旦、数ｘを復元すると、デコーダ２４は、以下の通り、値ＷからメッセージＭを再捕捉（recapture）する。
【００４７】
【数４５】
【００４８】
システム２０において利用する上記の暗号式暗号は、復号化速度が、標準のＲＳＡ暗号における復号化と比べ高速であるという利点がある。この理由は、ｘの復元において使用する演算
【００４９】
【数４６】
【００５０】
が、在来のＲＳＡ暗号において使用するそれに対応する演算
【００５１】
【数４７】
【００５２】
よりもかなり速いからである。
【００５３】
この向上した復号化速度は、Ｚn＊の部分群における指数演算に基づく落とし戸転置の新たなファミリを用いることにより実現する。上記の暗号法の暗号は、Ｚn＊のある一定の部分群の利点を用いる。詳細には、この暗号は、ｇが発生するＺn＊の部分群を利用して、数ｘを計算する。これは、Ｚn＊内の位数ｑ1ｑ2のものである、復号化側での計算を可能にする。
【００５４】
この暗号式暗号は、暗号化プロセスが標準ＲＳＡアルゴリズムにおける暗号化と比較して低速であるという不利な点がある。これは、この新たな技法に、暗号化側で数ｘを得るための追加の計算が含まれるからである。追加の計算のこの数は、数ｘを毎回ではなく時々計算することにより最小限にすることができる。この最適化は、以下に詳細に述べる。
【００５５】
全体としては、この暗号式暗号は、ＲＳＡ暗号とは速度がほぼ等しい。しかし、ある種の状況においては、復号化プロセスの速度を向上させることが、たとえその向上が暗号化を低速にすることを犠牲にしても、利益がある。例えば、クライアント−サーバの状況においては、復号化速度をサーバにて向上させることは、たとえクライアントにおける低速の暗号化を犠牲にすることがあっても、現実に利益がある。クライアントは、メッセージを暗号化するのに十分な時間をもち、したがってより遅い速度は気がつくほどのものとはならず、サーバにおける復号化速度の向上が十分に認識されることになる。
【００５６】
図１のアーキテクチャは、暗号機能を使用する多くの異なった環境を表している。例えば、クライアント−サーバの状況においては、エンコーダ２２とデコーダ２４とは、クライアントとサーバの両方に実装して、ＬＡＮ（ローカル・エリア・ネットワーク）、ＷＡＮ（ワイド・エリア・ネットワーク）、インターネットのようなネットワークを介する安全な通信を可能にするようにできる。別の例では、スマートカードの状況においては、エンコーダ２２は、スマートカードに実装し、デコーダ２４は、通信エージェント（例えば、コンピュータ、ＡＴＭ、キオスク、販売機、カスタム機械（custom machine）等）に実装することができる。ここでは、チャンネル２６は、そのカードとエージェントとの間の電子インターフェースを表す。
【００５７】
説明を続けるため、暗号システム２０は、パーソナル・コンピュータ、サーバ、ワークステーション、ラップトップ等の汎用コンピュータに実装したものとして説明する。
【００５８】
図２は、汎用コンピュータ３０の１例の実現例を示している。この汎用コンピュータ３０は、処理ユニット３２、システム・メモリ３４、およびシステム・メモリ３４ないし処理ユニット３２を含む種々のシステム・コンポーネントを結合するシステム・バス３６を含む。システム・バス３６は、種々のバス・アーキテクチャのいずれかを用いたメモリ・バスまたはメモリ・コントローラ、周辺バス、およびローカル・バスを含む、数種類のバス構造のいずれでもよい。システム・メモリ３４は、リード・オンリ・メモリ（ＲＯＭ）３８、およびランダム・アクセス・メモリ（ＲＡＭ）４０を含む。基本入出力システム（ＢＩＯＳ）４２は、ＲＯＭ３８に格納する。
【００５９】
また、コンピュータ３０は、ハード・ディスクの読み取りおよび書き込みを行うハード・ディスク・ドライブ４４、リムーバブル磁気ディスク４８の読み取りおよび書き込みを行う磁気ディスク・ドライブ４６、並びにＣＤ−ＲＯＭまたはその他の光媒体のようなリムーバブル光ディスク５２の読み取りおよび書き込みを行う光ディスク・ドライブ５０も含むことができる。ハード・ディスク・ドライブ４４、磁気ディスク・ドライブ４６、および光ディスク・ドライブ５０は、ハード・ディスク・ドライブ・インターフェース５４、磁気ディスク・ドライブ・インターフェース５６、および光ディスク・ドライブ・インターフェース５８によって、それぞれシステム・バス３６に接続してある。これらのドライブおよびそれに関連するコンピュータ読み取り可能媒体は、コンピュータ読み取り可能命令、データ構造、プログラム・モジュール、およびコンピュータ３０用のその他のデータの不揮発性格納を提供する。
【００６０】
ハード・ディスク、リムーバブル磁気ディスク４８およびリムーバブル光ディスク５２を記述したが、当業者には分かるように、その他のタイプのコンピュータ読み取り可能媒体もデータを格納するのに使用することができる。他のこのような媒体には、磁気カセット、フラッシュ・メモリ・カード、ディジタル・ビデオ・ディスク、ベルヌーイ・カートリッジ、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ）等が含まれる。
【００６１】
多数のプログラム・モジュールを、ハード・ディスク、磁気ディスク４８、光ディスク５２、ＲＯＭ３８またはＲＡＭ４０上に格納することができる。これらプログラムには、オペレーティング・システム６０、１つ以上のアプリケーション・プログラム６２、その他のプログラム・モジュール６４、およびプログラム・データ６６が含まれる。
【００６２】
ユーザは、キーボード６８およびマウス７０のような入力デバイスによって、コマンドおよび情報をパーソナル・コンピュータ３０に入力することができる。他の入力デバイス（図示せず）として、マイクロフォン、ジョイスティック、ゲーム・パッド、衛星パラボラアンテナ（satellite dish）、スキャナ等を含むことができる。これらおよびその他の入力デバイスは、多くの場合、システム・バス３６に結合したシリアル・ポート・インターフェース７２を介して、処理ユニット３２に接続しているが、パラレル・ポート、ゲーム・ポートまたはユニバーサル・シリアル・バス（ＵＳＢ：universal serial bus）のようなその他のインターフェースによって接続することも可能である。
【００６３】
モニタ７４または別のタイプのディスプレイ・デバイスも、ビデオ・アダプタ７６のようなインターフェースを介して、システム・バス３６に接続する。このモニタに加えて、パーソナル・コンピュータは、典型的に、スピーカやプリンタのような、その他の周辺出力デバイス（図示せず）を含む。
【００６４】
サーバ・コンピュータ３０は、ネットワーク・インターフェースまたはアダプタ７８、モデム８０，またはネットワーク８２（例えば、ＬＡＮ、インターネット等）を介して通信を確立するためのその他の手段を有する。モデム８０は、内蔵型でも外付け型でもよく、シリアル・ポート・インターフェース７２を介してシステム・バス３６に接続する。
【００６５】
暗号システム２０は、コンピュータ３０内に、ソフトウェア、ファームウェア、ハードウェアとして実装することができる。例えば、エンコーダ２２とデコーダ２４は、オペレーティング・システム６０、アプリケーション・プログラム６２、またはプログラム・モジュール６４（例えば、ＤＬＬ−ダイナミック・リンク・ライブラリ）内に実装することができる。代替的には、エンコーダ２２とデコーダ２４は、ＲＯＭ３８内に実装することもできる。さらに別の実施形態では、エンコーダ２２とデコーダ２４は、処理ユニット３２内に実装することができる。
【００６６】
図３は、暗号システム２０を使用して、メッセージを暗号化および復号化する方法における例示的なステップを示す。図３に模式的に示したように、ステップ１００−１０６は、エンコーダ２２により実行し、ステップ１０８−１１４は、デコーダ２４で実行する。エンコーダ２２は、秘密鍵から得られる公開鍵（すなわち、素数ｎ，ｅ，ｇ）を知っている。これら鍵は、メモリあるいはレジスタに格納することができる。デコーダ２４は、秘密鍵（すなわち、数ｐ1，ｐ2，ｑ1，ｑ2）を知っている。
【００６７】
ステップ１００において、エンコーダ２２は、数ｘを、ｇ、すなわち位数ｑ1ｑ2のＺn＊のランダムな要素の関数として計算する。詳細には、エンコーダ２２は、ｘを以下の通りに計算する。
【００６８】
【数４８】
【００６９】
ここで、Ｒは、乱数である。
【００７０】
ステップ１０２において、エンコーダは、メッセージＭをエンコードして暗号文Ｃを生成する。このエンコーディングは、値Ｖと値Ｗの発生を含み、ここで、
【００７１】
【数４９】
【００７２】
である。値ｈ1（ｘ）は、数ｘの第１のハッシュ関数ｈ1の結果である。暗号文Ｃは、値Ｖと値Ｗから成る。
【００７３】
ステップ１０４において、エンコーダ２２は、別のハッシュ値ｈ2（ｘ）を計算し、これは、数ｘとメッセージＭの第２のハッシュ関数ｈ2の結果である。デコーダ２４は、このハッシュ値を使って、メッセージＭが変更されているか、あるいはエンコーダとデコーダとの間のルートにおいて危険にさらされている（compromise）かどうかチェックする。ステップ１０６において、エンコーダ２２は、暗号文Ｃ、
すなわち
【００７４】
【数５０】
【００７５】
と、第２ハッシュ値ｈ2（ｘ，Ｍ）を、通信チャンネル２６を介してデコーダ２４に送信する。
【００７６】
ステップ１０８において、デコーダ２４は、暗号文Ｃと第２ハッシュ値ｈ2（ｘ，Ｍ）を受ける。ステップ１１０において、デコーダ２４は、次に、以下の通り、暗号文Ｃの値Ｖコンポーネント（すなわち、Ｖ＝ｘe）から数ｘを再計算する。
【００７７】
【数５１】
【００７８】
一旦、数ｘを復元すると、デコーダ２４は、エンコーダ２２が用いたのと同じ第１ハッシュ関数ｈ1を使って、ハッシュ値ｈ1（ｘ）を計算する。ステップ１１２において、デコーダ２４は、以下のように、暗号文Ｃの値ＷコンポーネントからメッセージＭを復元する。
【００７９】
【数５２】
【００８０】
ステップ１１４において、デコーダ２４は、この復元した数ｘと復元したメッセージＭを取り、そしてエンコーダが用いたのと同じ第２ハッシュ関数ｈ2を使ってテスト・ハッシュ値ｈ2’（ｘ，Ｍ）を計算する。このテスト・ハッシュ値ｈ２（ｘ，Ｍ）が、エンコーダ２２から受けたハッシュ値ｈ2（ｘ，Ｍ）と等しい場合、デコーダ２４に対し、メッセージＭが変更されていなかったことを保証する。
【００８１】
上記の暗号化／復号化プロセスは、以下の擬似コードにおいて表すことができる。鍵計算は、この暗号化／復号化プロセスの前に一回実行して、鍵値を確立することができる。これら鍵は、必要に応じて更新することができる。
【００８２】
鍵計算
【００８３】
【表１】
【００８４】
暗号化
【００８５】
【表２】
【００８６】
復号化
【００８７】
【表３】
【００８８】
１つの実現例では、整数“ｅ”は、２にセットし、これにより、落とし戸転置の新ファミリがＺn＊の部分群における平方に基づくようにする。
【００８９】
この暗号技法の不利な点の１つは、暗号化プロセスが、在来のＲＳＡ暗号化よりも遅いことであり、これは、エンコーダが、数ｘを、Ｚn＊のランダムな要素であるｇの関数として計算するからである。この数ｘを得ることは、在来のＲＳＡ暗号には存在しない追加の計算を必要とする。
【００９０】
この暗号化フェーズの速度を向上させる１つの方法は、数ｘを一回計算し、そしてこの古い数ｘを使用して次の暗号化のための新たな数ｘを発生することである。特に、この改善は、各新たな暗号化に対するｇR mod ｎを再計算するよりも計算上より激しくない方法で、各新たな暗号化に対し数ｘを変化させることを含む。古い数ｘから新たな数ｘを発生することに対する１つのアプローチは、以下の通りである。
【００９１】
【数５３】
【００９２】
ここで、“ｋ exp(i)”はｋiとして表す。
【００９３】
エンコーダは、数ｘ（すなわち、ｘ＝ｇR mod ｎ）を計算し、そしてこの数ｘを、後での使用のため、メモリまたはレジスタに格納する。後続の各暗号化に対し、エンコーダは、ｘk exp(i)を計算しそして値“ｉ”を選ぶことによりｘを変化させ、これにより、ｘが変化したときに値Ｖが同じままとなるようにする。次に、エンコーダは、その値ｉを値Ｖと共に、値ｘの復元における使用のためデコーダに送る。
【００９４】
値ｘをいくつかの暗号化に渡って償却（amortize）するこのプロセスは、各エンコーディング手順の間における多くの計算を減らす。この暗号システムは、エンコーダに対する順方向機密（forwardsecrecy）を保護することにより、数ｘが漏れた場合に、過去のメッセージが危険にさらされないようにするが、将来のメッセージが危険にさらされことがある。エンコーダは、数ｘを、任意のインターバルであるいは必要と考える任意の時点で完全に再計算することもできる。
【００９５】
また、上記の暗号システムは、バッチＲＳＡ（ＲＳＡの周知の変形例）における復号化速度を向上させるのに使用することができる。この暗号システムは、上述のものと同様であるが、但し、素数ｐ1，ｐ2を得るのに使用する乱数ｒ1，ｒ2を、第１のｂ素数によって割り切れないようにさらに制限する点で異なっており、ここで、ｂは復号化バッチ・サイズである。
【００９６】
このバッチＲＳＡに対しては、数ｘはやはり以下のように得られる。
【００９７】
【数５４】
【００９８】
値Ｖは、以下のように計算する。
【００９９】
【数５５】
【０１００】
ここで、ｅ＝（ｉ＋１）番目の奇数の素数であり、ｉはＺbからである。
【０１０１】
復号化側では、値ｘは、次のように復元する。
【０１０２】
【数５６】
【０１０３】
バッチＲＳＡの上記変更例は、より迅速な復号化を可能にするが、それは、バッチ逆演算（batch inverse operation）の間において、それら指数は、モジュロｑ1ｑ2に還元できるからである。
【０１０４】
以上、本発明について、構造上および／または方法的ステップに特有の用語で説明したが、添付の特許請求の範囲に定めた本発明は、記述したこの特定の特徴またはステップに必ずしも限定される必要がないことは理解されるべきである。これら特定の特徴およびステップは、特許を請求する発明を実施する好ましい形態として開示したものである。
【図面の簡単な説明】
【図１】 図１は、暗号システムのブロック図。
【図２】 図２は、この暗号システムを実装したコンピュータ・システムのブロック図。
【図３】 メッセージを暗号化および復号化する方法における各ステップを示すフロー図。
（技術分野）
本発明は、暗号化および復号化処理を実行する暗号のシステム、コンピュータ、コンピュータ実施形方法に関するものである。詳細には、本発明は、復号化処理を実行する速度を向上させた暗号システムに関するものである。
【０００２】
（発明の背景）
公開鍵暗号法は、これがなければ安全でない通信チャンネルを介してメッセージを安全に伝送するために広く使用されているアプローチである。公開鍵暗号法は、非対称の鍵ペアを用いる。“非対称”の暗号鍵ペアは、２つの別個の鍵から成っており、データを１方向に操作する第１の鍵と、この操作したデータをその元の形態に変換し戻す第２の鍵とである。これら鍵は、一方の鍵を他方の鍵から（少なくとも法外でない時間内に）計算できないという数学的関係に基づいている。
【０００３】
暗号鍵ペアは、異なった機能のために使用することができ、例えば、暗号化、復号化、デジタル署名、署名検証、認証である。１例として、非対称の鍵ペアを使用する暗号化と復号化は、以下のように表すことができる。
【０００４】
【数３２】
ここで、“EKpub”は、公開暗号化鍵“Kpub”を使用して平文メッセージ“Ｍ”を暗号文“Ｃ”に暗号化する暗号化関数であり、“DKpri”は、秘密の復号化鍵“Kpri”を使用する復号化関数である。この逆も真であって、メッセージは、その秘密鍵を使って“署名”でき、そしてこの署名は、その公開鍵を使って検証することができる。
【０００６】
公開鍵システムにおいては、公開鍵は、他の者に配布し、秘密鍵は秘密に保持される。この非対称の公開鍵と秘密鍵とは、２つの結果を保証する。第１に、秘密鍵の保有者のみが、それに対応する公開鍵で暗号化されたメッセージを復号化できることである。第２に、別の者が公開鍵を使ってメッセージを復号化した場合、そのメッセージが、その公開鍵で暗号化されたことそしておそらくその秘密鍵の保有者から生じたことを、その者に保証することができる。
【０００７】
最も知られおりかつ最も広く使われている非対称暗号の１つは、ＲＳＡ暗号式暗号であり、これは、その創作者であるRivest（リベスト）、Shamir（シャミル）およびAdleman（アドルマン）にちなんで名が付けられている。元のＲＳＡ暗号システムは、“暗号通信のシステムおよび方法（Cryptographic Communications System and Method）”と題する米国特許4,405,829に記載されており、これは、Rivest（リベスト）、Shamir（シャミル）およびAdleman（アドルマン）の名で、１９８３年９月２０に出願されたものである。この特許は、背景情報として言及により本文に含めるものとする。
【０００８】
暗号化および復号化のためのこのＲＳＡ暗号は、以下で与えられる。
【０００９】
【数３３】
ここで、p1とp2は素数（prime number）であり、ｎはn = p1 p2
の形態の合成数であり、ｅは、（p1-1）(p2-1)と互いに素でる数である。
【００１１】
演算“mod”は、“還元（modular reduction）”演算、あるいは単に“モジュロ（modulo）”演算であり、これは、大きな整数算術にとっては一般的な演算である。このモジュロ演算は、算術演算であってその結果が除算演算の剰余である算術演算である。これは、“A mod B”として表現し、ここで、Ａは、何等かの底（base）で書かれた数であり、Ｂは“法（modulus）”である。A mod Bの結果は、数Ａを法Ｂで除算したその剰余である。簡単な例としては、モジュロ演算17 mod 3は、２の結果となるが、それは、１７を３で割ると、余りが２となるからである。これは剰余を発生するため、モジュロ演算は、“除算剰余”演算とも代わりに呼ぶことがある。
【００１２】
在来のＲＳＡ暗号法では、復号化は、暗号化よりもかなり遅いものである。この不一致は、ＲＳＡ暗号が、メッセージを復号化するのに、この同じメッセージを暗号化するのに必要とするよりもより多くの計算を必要とする、ということに起因している。この不一致は、ある種の環境においては不利となることがある。例えば、クライアント・サーバの状況においては、クライアントとサーバは、暗号化したメッセージを互いに交換することが多い。個々のクライアントは、メッセージを暗号化するのに豊富な時間とリソースを有していることが多い。しかし、サーバは、そのような快適さを経験したことがなく、時には、特に高いクライアント要求量の時間の間において、入来するメッセージを迅速に復号化するその能力が制限されることがある。
【００１３】
したがって、ＲＳＡアルゴリズムにおける復号化の速度を完全することに対するニーズが存在する。
【００１４】
（発明の摘要）
本発明は、ＲＳＡ暗号における復号化速度を改善する暗号のシステムおよび方法に関係している。この暗号システムは、Zn*の部分群における指数演算に基づく落とし戸転置の新たなファミリを用いる。
【００１５】
本システムは、メッセージＭを暗号文Ｃに変換しそして該暗号文Ｃを通信チャンネルを介して送信するエンコーダを備える。暗号文Ｃは、２つのコンポーネント、すなわち値Ｖと値Ｗを有する。値Ｖは、数ｘの関数、すなわちＶ＝ｘeであり、ここで、ｅは整数、ｘは以下の通りであり、
【００１６】
【数３４】
ここで、
（ｉ）ｎは数ｎ＝ｐ1ｐ2であり、ここで、ｐ1，ｐ2は、素数であって、ｐ1＝ｒ1ｑ1＋１，ｐ2＝ｒ2ｑ2＋１であり、ここで、ｒ1，ｒ2は乱数、ｑ1，ｑ2は素数であり、
（ｉｉ）Ｒは、前記乱数ｒ1，ｒ2とは独立に選択した乱数であり、
（ｉｉｉ）ｇは、
【００１８】
【数３５】
であり、ここで、ｒ3は、前記乱数ｒ1，ｒ2，Ｒとは独立に選択した乱数である。
【００２０】
前記値Ｗは、値ｈ1（ｘ）と前記メッセージＭの関数（例えば
【００２１】
【数３６】
である）としてエンコードし、ここで、前記値ｈ1（ｘ）は、前記数ｘの一方向性関数（例えば、ｘのハッシュ関数）の結果である。
【００２３】
また、前記エンコーダは、前記数ｘと前記メッセージＭのハッシュ関数ｈを使ってハッシュ値ｈ2（ｘ，Ｍ）を計算する。前記エンコーダは、前記暗号文Ｃ（値Ｖと値Ｗを含む）と前記ハッシュ値ｈ2（ｘ，Ｍ）を前記通信チャンネルを介して送る。
【００２４】
前記システムは、さらに、前記暗号文Ｃと前記ハッシュ値ｈ2（ｘ，Ｍ）を前記通信チャンネルを介して受け、そして前記暗号文Ｃを前記メッセージＭに変換し戻すように結合したデコーダを備える。該デコーダは、最初に、前記数ｘを前記値Ｖから、以下のように得る。
【００２５】
【数３７】
前記デコーダは、前記値Ｗと前記値ｈ1（ｘ）（例えば、
【００２７】
【数３８】
である）の関数を使って前記メッセージＭをデコードする。前記メッセージＭを復元した後、前記デコーダは、前記数ｘと前記復元したメッセージＭから、テスト・ハッシュ値ｈ2’（ｘ，Ｍ）を計算し、そして前記エンコーダから受けた前記ハッシュ値ｈ2（ｘ，Ｍ）を前記テスト・ハッシュ値ｈ2’（ｘ，Ｍ）と比較する。これら２つのハッシュ値が一致した場合、前記メッセージＭが変更されていないことになる。
【００２９】
（好ましい実施形態の詳細な説明）
以下の説明は、読者が暗号技術およびモジュロ演算に精通していることを仮定している。暗号法の基本的な入門として、読者は、シュナイダ（Bruce Schneier）著の“暗号の応用：プロトコル、アルゴリズム、Ｃのソースコード”と題するテキスト（a text written by Bruce Schneier and entitled, "Applied Cryptography: Protocols, Algorithms, and Source Code in C," second edition, published by John Wiley & Sons with copyright 1996）を参照されたい。尚、これは、言及により本文に含めるものとする。
【００３０】
図１は、暗号システム２０を示しており、これは、エンコーダ２２がデコーダ２４に対し通信チャンネル２６を介して結合して備えている。暗号システム２０は、ＲＳＡアルゴリズムに基づく非対称暗号式暗号（asymmetric cryptographic cipher）を用いる。詳細には、この好ましいシステムは、ベレア−ロガウェイ暗号系（BellareRogaway cryptosystem）であり、これは、ＲＳＡ落とし戸転置ファミリ（RSA trapdoor permutation family）を用いる。
【００３１】
一般に、暗号式暗号は、４つの素数ｐ1，ｐ2，ｑ1，ｑ2から成る秘密鍵を用いる。これら素数は、以下の関係である。
【００３２】
【数３９】
ここで、ｒ1とｒ2は、乱数であるが、上記式におけるそれらの値が素数ｐ1，ｐ2を発生するという要件で制限されている。
【００３４】
公開鍵は、秘密鍵から生成する。この公開鍵は、３つの数ｎ，ｅ，ｇから成る。数ｅは整数（integer）であり、数ｎ，ｇは、以下の通り計算する。
【００３５】
【数４０】
ここで、ｒ3は、乱数ｒ1，ｒ2とは独立に選択した乱数である。この乱数ｒ3は、乱数ｒ1，ｒ2とは異なっている可能性が高いが、但しその必要はない。数ｇは、位数（order）ｑ1，ｑ2のＺn＊のランダムな要素である。
【００３７】
エンコーダ２２は、メッセージＭを、ｎ，ｅ，ｇから成る公開鍵を使って暗号文Ｃにエンコードする。広く述べると、暗号文Ｃは、メッセージＭと数ｘの関数であり、ここで、ｘは、Ｚn＊における位数ｑ1ｑ2を有する。数ｘは、以下の通り得られる。
【００３８】
【数４１】
ここで、Ｒは、ｒ1，ｒ2とは独立に選択した乱数である。この乱数Ｒは、乱数ｒ1，ｒ2とは異なっている可能性が高いが、但し、その必要はない。暗号文Ｃは、２つのコンポーネント、すなわち、値Ｖと値Ｗを有する。値Ｖは、以下の通り、数ｘの関数である。
【００４０】
【数４２】
値Ｗは、値ｈ1（ｘ）とメッセージＭとの関数であり、ここで、値ｈ1（ｘ）は、数ｘの一方向性関数ｈ1の結果である。１つの例として、この一方向性関数は、ＳＨＡ（安全ハッシュ・アルゴリズム：Secured Hash Algorithm）のようなハッシュ関数として実施する。１つの実現例では、値Ｗは、排他的ＯＲ関数を使って以下のように計算する。
【００４２】
【数４３】
しかし、値ｈ1（ｘ）とＭの他の論理的組合せも、この論理演算が可逆性である限り、排他的ＯＲ関数の代わりに使用することができる。
【００４４】
エンコーダ２２は、値ＶとＷを互いにパッケージして暗号文Ｃを形成し、そしてこれを、通信チャンネル２６を介してデコーダ２４に送る。デコーダ２４は、秘密鍵を使って値Ｖから数ｘを再計算するが、この秘密鍵は、以下の通り、公開鍵にｐ1，ｐ2，ｑ1，ｑ2
を足したものである。
【００４５】
【数４４】
一旦、数ｘを復元すると、デコーダ２４は、以下の通り、値ＷからメッセージＭを再捕捉（recapture）する。
【００４７】
【数４５】
システム２０において利用する上記の暗号式暗号は、復号化速度が、標準のＲＳＡ暗号における復号化と比べ高速であるという利点がある。この理由は、ｘの復元において使用する演算
【００４９】
【数４６】
が、在来のＲＳＡ暗号において使用するそれに対応する演算
【００５１】
【数４７】
よりもかなり速いからである。
【００５３】
この向上した復号化速度は、Ｚn＊の部分群における指数演算に基づく落とし戸転置の新たなファミリを用いることにより実現する。上記の暗号法の暗号は、Ｚn＊のある一定の部分群の利点を用いる。詳細には、この暗号は、ｇが発生するＺn＊の部分群を利用して、数ｘを計算する。これは、Ｚn＊内の位数ｑ1ｑ2のものである、復号化側での計算を可能にする。
【００５４】
この暗号式暗号は、暗号化プロセスが標準ＲＳＡアルゴリズムにおける暗号化と比較して低速であるという不利な点がある。これは、この新たな技法に、暗号化側で数ｘを得るための追加の計算が含まれるからである。追加の計算のこの数は、数ｘを毎回ではなく時々計算することにより最小限にすることができる。この最適化は、以下に詳細に述べる。
【００５５】
全体としては、この暗号式暗号は、ＲＳＡ暗号とは速度がほぼ等しい。しかし、ある種の状況においては、復号化プロセスの速度を向上させることが、たとえその向上が暗号化を低速にすることを犠牲にしても、利益がある。例えば、クライアント−サーバの状況においては、復号化速度をサーバにて向上させることは、たとえクライアントにおける低速の暗号化を犠牲にすることがあっても、現実に利益がある。クライアントは、メッセージを暗号化するのに十分な時間をもち、したがってより遅い速度は気がつくほどのものとはならず、サーバにおける復号化速度の向上が十分に認識されることになる。
【００５６】
図１のアーキテクチャは、暗号機能を使用する多くの異なった環境を表している。例えば、クライアント−サーバの状況においては、エンコーダ２２とデコーダ２４とは、クライアントとサーバの両方に実装して、ＬＡＮ（ローカル・エリア・ネットワーク）、ＷＡＮ（ワイド・エリア・ネットワーク）、インターネットのようなネットワークを介する安全な通信を可能にするようにできる。別の例では、スマートカードの状況においては、エンコーダ２２は、スマートカードに実装し、デコーダ２４は、通信エージェント（例えば、コンピュータ、ＡＴＭ、キオスク、販売機、カスタム機械（custom machine）等）に実装することができる。ここでは、チャンネル２６は、そのカードとエージェントとの間の電子インターフェースを表す。
【００５７】
説明を続けるため、暗号システム２０は、パーソナル・コンピュータ、サーバ、ワークステーション、ラップトップ等の汎用コンピュータに実装したものとして説明する。
【００５８】
図２は、汎用コンピュータ３０の１例の実現例を示している。この汎用コンピュータ３０は、処理ユニット３２、システム・メモリ３４、およびシステム・メモリ３４ないし処理ユニット３２を含む種々のシステム・コンポーネントを結合するシステム・バス３６を含む。システム・バス３６は、種々のバス・アーキテクチャのいずれかを用いたメモリ・バスまたはメモリ・コントローラ、周辺バス、およびローカル・バスを含む、数種類のバス構造のいずれでもよい。システム・メモリ３４は、リード・オンリ・メモリ（ＲＯＭ）３８、およびランダム・アクセス・メモリ（ＲＡＭ）４０を含む。基本入出力システム（ＢＩＯＳ）４２は、ＲＯＭ３８に格納する。
【００５９】
また、コンピュータ３０は、ハード・ディスクの読み取りおよび書き込みを行うハード・ディスク・ドライブ４４、リムーバブル磁気ディスク４８の読み取りおよび書き込みを行う磁気ディスク・ドライブ４６、並びにＣＤ−ＲＯＭまたはその他の光媒体のようなリムーバブル光ディスク５２の読み取りおよび書き込みを行う光ディスク・ドライブ５０も含むことができる。ハード・ディスク・ドライブ４４、磁気ディスク・ドライブ４６、および光ディスク・ドライブ５０は、ハード・ディスク・ドライブ・インターフェース５４、磁気ディスク・ドライブ・インターフェース５６、および光ディスク・ドライブ・インターフェース５８によって、それぞれシステム・バス３６に接続してある。これらのドライブおよびそれに関連するコンピュータ読み取り可能媒体は、コンピュータ読み取り可能命令、データ構造、プログラム・モジュール、およびコンピュータ３０用のその他のデータの不揮発性格納を提供する。
【００６０】
ハード・ディスク、リムーバブル磁気ディスク４８およびリムーバブル光ディスク５２を記述したが、当業者には分かるように、その他のタイプのコンピュータ読み取り可能媒体もデータを格納するのに使用することができる。他のこのような媒体には、磁気カセット、フラッシュ・メモリ・カード、ディジタル・ビデオ・ディスク、ベルヌーイ・カートリッジ、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ）等が含まれる。
【００６１】
多数のプログラム・モジュールを、ハード・ディスク、磁気ディスク４８、光ディスク５２、ＲＯＭ３８またはＲＡＭ４０上に格納することができる。これらプログラムには、オペレーティング・システム６０、１つ以上のアプリケーション・プログラム６２、その他のプログラム・モジュール６４、およびプログラム・データ６６が含まれる。
【００６２】
ユーザは、キーボード６８およびマウス７０のような入力デバイスによって、コマンドおよび情報をパーソナル・コンピュータ３０に入力することができる。他の入力デバイス（図示せず）として、マイクロフォン、ジョイスティック、ゲーム・パッド、衛星パラボラアンテナ（satellite dish）、スキャナ等を含むことができる。これらおよびその他の入力デバイスは、多くの場合、システム・バス３６に結合したシリアル・ポート・インターフェース７２を介して、処理ユニット３２に接続しているが、パラレル・ポート、ゲーム・ポートまたはユニバーサル・シリアル・バス（ＵＳＢ：universal serial bus）のようなその他のインターフェースによって接続することも可能である。
【００６３】
モニタ７４または別のタイプのディスプレイ・デバイスも、ビデオ・アダプタ７６のようなインターフェースを介して、システム・バス３６に接続する。このモニタに加えて、パーソナル・コンピュータは、典型的に、スピーカやプリンタのような、その他の周辺出力デバイス（図示せず）を含む。
【００６４】
サーバ・コンピュータ３０は、ネットワーク・インターフェースまたはアダプタ７８、モデム８０，またはネットワーク８２（例えば、ＬＡＮ、インターネット等）を介して通信を確立するためのその他の手段を有する。モデム８０は、内蔵型でも外付け型でもよく、シリアル・ポート・インターフェース７２を介してシステム・バス３６に接続する。
【００６５】
暗号システム２０は、コンピュータ３０内に、ソフトウェア、ファームウェア、ハードウェアとして実装することができる。例えば、エンコーダ２２とデコーダ２４は、オペレーティング・システム６０、アプリケーション・プログラム６２、またはプログラム・モジュール６４（例えば、ＤＬＬ−ダイナミック・リンク・ライブラリ）内に実装することができる。代替的には、エンコーダ２２とデコーダ２４は、ＲＯＭ３８内に実装することもできる。さらに別の実施形態では、エンコーダ２２とデコーダ２４は、処理ユニット３２内に実装することができる。
【００６６】
図３は、暗号システム２０を使用して、メッセージを暗号化および復号化する方法における例示的なステップを示す。図３に模式的に示したように、ステップ１００−１０６は、エンコーダ２２により実行し、ステップ１０８−１１４は、デコーダ２４で実行する。エンコーダ２２は、秘密鍵から得られる公開鍵（すなわち、素数ｎ，ｅ，ｇ）を知っている。これら鍵は、メモリあるいはレジスタに格納することができる。デコーダ２４は、秘密鍵（すなわち、数ｐ1，ｐ2，ｑ1，ｑ2）を知っている。
【００６７】
ステップ１００において、エンコーダ２２は、数ｘを、ｇ、すなわち位数ｑ1ｑ2のＺn＊のランダムな要素の関数として計算する。詳細には、エンコーダ２２は、ｘを以下の通りに計算する。
【００６８】
【数４８】
ここで、Ｒは、乱数である。
【００７０】
ステップ１０２において、エンコーダは、メッセージＭをエンコードして暗号文Ｃを生成する。このエンコーディングは、値Ｖと値Ｗの発生を含み、ここで、
【００７１】
【数４９】
である。値ｈ1（ｘ）は、数ｘの第１のハッシュ関数ｈ1の結果である。暗号文Ｃは、値Ｖと値Ｗから成る。
【００７３】
ステップ１０４において、エンコーダ２２は、別のハッシュ値ｈ2（ｘ）を計算し、これは、数ｘとメッセージＭの第２のハッシュ関数ｈ2の結果である。デコーダ２４は、このハッシュ値を使って、メッセージＭが変更されているか、あるいはエンコーダとデコーダとの間のルートにおいて危険にさらされている（compromise）かどうかチェックする。ステップ１０６において、エンコーダ２２は、暗号文Ｃ、
すなわち
【００７４】
【数５０】
と、第２ハッシュ値ｈ2（ｘ，Ｍ）を、通信チャンネル２６を介してデコーダ２４に送信する。
【００７６】
ステップ１０８において、デコーダ２４は、暗号文Ｃと第２ハッシュ値ｈ2（ｘ，Ｍ）を受ける。ステップ１１０において、デコーダ２４は、次に、以下の通り、暗号文Ｃの値Ｖコンポーネント（すなわち、Ｖ＝ｘe）から数ｘを再計算する。
【００７７】
【数５１】
一旦、数ｘを復元すると、デコーダ２４は、エンコーダ２２が用いたのと同じ第１ハッシュ関数ｈ1を使って、ハッシュ値ｈ1（ｘ）を計算する。ステップ１１２において、デコーダ２４は、以下のように、暗号文Ｃの値ＷコンポーネントからメッセージＭを復元する。
【００７９】
【数５２】
ステップ１１４において、デコーダ２４は、この復元した数ｘと復元したメッセージＭを取り、そしてエンコーダが用いたのと同じ第２ハッシュ関数ｈ2を使ってテスト・ハッシュ値ｈ2’（ｘ，Ｍ）を計算する。このテスト・ハッシュ値ｈ２（ｘ，Ｍ）が、エンコーダ２２から受けたハッシュ値ｈ2（ｘ，Ｍ）と等しい場合、デコーダ２４に対し、メッセージＭが変更されていなかったことを保証する。
【００８１】
上記の暗号化／復号化プロセスは、以下の擬似コードにおいて表すことができる。鍵計算は、この暗号化／復号化プロセスの前に一回実行して、鍵値を確立することができる。これら鍵は、必要に応じて更新することができる。
【００８２】
鍵計算
【００８３】
【表１】
暗号化
【００８５】
【表２】
復号化
【００８７】
【表３】
１つの実現例では、整数“ｅ”は、２にセットし、これにより、落とし戸転置の新ファミリがＺn＊の部分群における平方に基づくようにする。
【００８９】
この暗号技法の不利な点の１つは、暗号化プロセスが、在来のＲＳＡ暗号化よりも遅いことであり、これは、エンコーダが、数ｘを、Ｚn＊のランダムな要素であるｇの関数として計算するからである。この数ｘを得ることは、在来のＲＳＡ暗号には存在しない追加の計算を必要とする。
【００９０】
この暗号化フェーズの速度を向上させる１つの方法は、数ｘを一回計算し、そしてこの古い数ｘを使用して次の暗号化のための新たな数ｘを発生することである。特に、この改善は、各新たな暗号化に対するｇR mod ｎを再計算するよりも計算上より激しくない方法で、各新たな暗号化に対し数ｘを変化させることを含む。古い数ｘから新たな数ｘを発生することに対する１つのアプローチは、以下の通りである。
【００９１】
【数５３】
ここで、“ｋ exp(i)”はｋiとして表す。
【００９３】
エンコーダは、数ｘ（すなわち、ｘ＝ｇR mod ｎ）を計算し、そしてこの数ｘを、後での使用のため、メモリまたはレジスタに格納する。後続の各暗号化に対し、エンコーダは、ｘk exp(i)を計算しそして値“ｉ”を選ぶことによりｘを変化させ、これにより、ｘが変化したときに値Ｖが同じままとなるようにする。次に、エンコーダは、その値ｉを値Ｖと共に、値ｘの復元における使用のためデコーダに送る。
【００９４】
値ｘをいくつかの暗号化に渡って償却（amortize）するこのプロセスは、各エンコーディング手順の間における多くの計算を減らす。この暗号システムは、エンコーダに対する順方向機密（forwardsecrecy）を保護することにより、数ｘが漏れた場合に、過去のメッセージが危険にさらされないようにするが、将来のメッセージが危険にさらされことがある。エンコーダは、数ｘを、任意のインターバルであるいは必要と考える任意の時点で完全に再計算することもできる。
【００９５】
また、上記の暗号システムは、バッチＲＳＡ（ＲＳＡの周知の変形例）における復号化速度を向上させるのに使用することができる。この暗号システムは、上述のものと同様であるが、但し、素数ｐ1，ｐ2を得るのに使用する乱数ｒ1，ｒ2を、第１のｂ素数によって割り切れないようにさらに制限する点で異なっており、ここで、ｂは復号化バッチ・サイズである。
【００９６】
このバッチＲＳＡに対しては、数ｘはやはり以下のように得られる。
【００９７】
【数５４】
値Ｖは、以下のように計算する。
【００９９】
【数５５】
ここで、ｅ＝（ｉ＋１）番目の奇数の素数であり、ｉはＺbからである。
【０１０１】
復号化側では、値ｘは、次のように復元する。
【０１０２】
【数５６】
バッチＲＳＡの上記変更例は、より迅速な復号化を可能にするが、それは、バッチ逆演算（batch inverse operation）の間において、それら指数は、モジュロｑ1ｑ2に還元できるからである。
【０１０４】
以上、本発明について、構造上および／または方法的ステップに特有の用語で説明したが、添付の特許請求の範囲に定めた本発明は、記述したこの特定の特徴またはステップに必ずしも限定される必要がないことは理解されるべきである。これら特定の特徴およびステップは、特許を請求する発明を実施する好ましい形態として開示したものである。
【図面の簡単な説明】
【図１】 図１は、暗号システムのブロック図。
【図２】 図２は、この暗号システムを実装したコンピュータ・システムのブロック図。
【図３】 メッセージを暗号化および復号化する方法における各ステップを示すフロー図。
Claims (11)
- 暗号システムのためのエンコーダであって、
ｎは、形態ｎ＝ｐ１ｐ２にある数であり、ここで、ｐ１，ｐ２は、素数であり、
ｐ１＝ｒ１ｑ１＋１，ｐ２＝ｒ２ｑ２＋１であり、ここで、ｒ１，ｒ２は乱数、ｑ１，ｑ２は素数であり、
ｇは、
前記エンコーダが、
数ｘ＝ｇＲ mod ｎを計算する手段であって、ここで、Ｒは、前記乱数ｒ１，ｒ２，ｒ３とは独立に選択した乱数である、前記の手段と、
前記数ｘを一方向性関数ｈにしたがって変換して値ｈ（ｘ）を発生する手段と、
メッセージＭを前記値ｈ（ｘ）の関数にしたがってエンコードする手段と、
から成るエンコーダ。 - 請求項１記載のエンコーダにおいて、前記エンコードする手段は、前記メッセージＭを、
- 請求項１記載のエンコーダであって、さらに、
前記数ｘを記憶する手段と、
古い前記数ｘに基づいて新たな数ｘ’を発生する手段と、
前記新たな数ｘ’を使用して前記値ｈ（ｘ）を得る手段と、
を含むこと、を特徴とするエンコーダ。 - 暗号システムのためのデコーダであって、
ｎは、形態ｎ＝ｐ１ｐ２にある数であり、ここで、ｐ１，ｐ２は、素数であり、
ｐ１＝ｒ１ｑ１＋１，ｐ２＝ｒ２ｑ２＋１であり、ここで、ｒ１，ｒ２は乱数、ｑ１，ｑ２は素数であり、
ｇは、
ｘは、ｘ＝ｇＲ mod ｎの形態にある数であり、ここで、Ｒは、前記乱数ｒ１，ｒ２，ｒ３とは独立に選択した乱数であり、
ｅは整数であり、
ＶはＶ＝ｘｅの形態にある値であり、
Ｗは、メッセージＭと値ｈ（ｘ）の関数から得た値であり、ここでｈ（ｘ）は、一方向性関数ｈの結果であり、
前記デコーダが、
前記値Ｖと値Ｗを受ける手段と、
前記値Ｖから前記数ｘを復元する手段であって、ここで、
前記数ｘを一方向性関数ｈにしたがって変換して前記値ｈ（ｘ）を発生する手段と、
前記値Ｗを前記値ｈ（ｘ）の関数にしたがってデコードして、前記メッセージＭを再捕捉する手段と、
から成るデコーダ。 - 請求項４記載のデコーダにおいて、前記デコードする手段は、関数
- 請求項４記載のデコーダであって、さらに、前記数ｘと前記再捕捉したメッセージＭとのハッシュ関数ｈから、ハッシュ値ｈ（ｘ，Ｍ）を計算する手段を含むこと、を特徴とするデコーダ。
- 暗号システムのためのエンコーダとデコーダとを備える暗号システムであって、
ｎは、形態ｎ＝ｐ １ ｐ ２ にある数であり、ここで、ｐ １ ，ｐ ２ は、素数であり、
ｐ １ ＝ｒ １ ｑ １ ＋１，ｐ ２ ＝ｒ ２ ｑ ２ ＋１であり、ここで、ｒ １ ，ｒ ２ は乱数、ｑ １ ，ｑ ２ は素数であり、
ｇは、
ｅは整数であり、
ＶはＶ＝ｘ ｅ の形態にある値であり、
Ｗは、メッセージＭと値ｈ（ｘ）の関数から得た値であり、ここでｈ（ｘ）は、一方向性関数ｈの結果であり、
前記エンコーダが、
数ｘ＝ｇ Ｒ mod ｎを計算する手段であって、ここで、Ｒは、前記乱数ｒ １ ，ｒ ２ ，ｒ ３ とは独立に選択した乱数である、前記の手段と、
前記数ｘを一方向性関数ｈにしたがって変換して値ｈ（ｘ）を発生する手段と、
メッセージＭを前記値ｈ（ｘ）の関数にしたがってエンコードする手段とからなり、
前記デコーダが、
前記値Ｖと値Ｗを受ける手段と、
前記値Ｖから前記数ｘを復元する手段であって、ここで、
前記数ｘを一方向性関数ｈにしたがって変換して前記値ｈ（ｘ）を発生する手段と、
前記値Ｗを前記値ｈ（ｘ）の関数にしたがってデコードして、前記メッセージＭを再捕捉する手段とからなることを特徴とする暗号システム。 - 請求項７記載のシステムにおいて、前記エンコードする手段は、前記メッセージＭを、
- 請求項７記載のシステムにおいて、前記エンコーダは、さらに、
前記数ｘを記憶する手段と、
古い前記数ｘに基づいて新たな数ｘ’を発生する手段と、
前記新たな数ｘ’を使用して前記値ｈ（ｘ）を得る手段と、
を含むこと、を特徴とするシステム。 - 請求項７記載のシステムにおいて、前記デコードする手段は、関数
- 請求項７記載のシステムにおいて、前記デコーダは、さらに、前記数ｘと前記再捕捉したメッセージＭとのハッシュ関数ｈから、ハッシュ値ｈ（ｘ，Ｍ）を計算する手段を含むこと、を特徴とするシステム。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US08/953,911 US6081598A (en) | 1997-10-20 | 1997-10-20 | Cryptographic system and method with fast decryption |
| PCT/US1998/019349 WO1999034552A2 (en) | 1997-10-20 | 1998-09-16 | Cryptographic system and method with fast decryption |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2004524548A JP2004524548A (ja) | 2004-08-12 |
| JP2004524548A5 JP2004524548A5 (ja) | 2004-12-24 |
| JP4369618B2 true JP4369618B2 (ja) | 2009-11-25 |
Family
ID=25494714
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000527056A Expired - Fee Related JP4369618B2 (ja) | 1997-10-20 | 1998-09-16 | 高速復号化を備えた暗号システムおよび方法 |
Country Status (7)
| Country | Link |
|---|---|
| US (1) | US6081598A (ja) |
| EP (1) | EP1031204B1 (ja) |
| JP (1) | JP4369618B2 (ja) |
| CN (1) | CN1282325C (ja) |
| CA (1) | CA2307619C (ja) |
| DE (1) | DE69833334T2 (ja) |
| WO (1) | WO1999034552A2 (ja) |
Families Citing this family (31)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10361802B1 (en) | 1999-02-01 | 2019-07-23 | Blanding Hovenweep, Llc | Adaptive pattern recognition based control system and method |
| GB9410337D0 (en) * | 1994-05-24 | 1994-07-13 | Cryptech Systems Inc | Key transmission system |
| KR100332763B1 (ko) * | 1999-02-10 | 2002-04-17 | 구자홍 | 디지탈데이터 플레이어의 복제방지 장치 및 방법 |
| JP2001016196A (ja) * | 1999-04-28 | 2001-01-19 | Fuji Soft Abc Inc | 多重アファイン鍵を用いる暗号化・復号化方法、認証方法、及びこれを用いる各装置 |
| US20020039420A1 (en) * | 2000-06-12 | 2002-04-04 | Hovav Shacham | Method and apparatus for batched network security protection server performance |
| US20020087884A1 (en) * | 2000-06-12 | 2002-07-04 | Hovav Shacham | Method and apparatus for enhancing network security protection server performance |
| US6959091B1 (en) * | 2000-07-28 | 2005-10-25 | Atmel Corporation | Cryptography private key storage and recovery method and apparatus |
| US7137143B2 (en) | 2000-08-07 | 2006-11-14 | Ingrian Systems Inc. | Method and system for caching secure web content |
| US7155610B2 (en) * | 2000-12-19 | 2006-12-26 | Matsushita Electric Industrial Co., Ltd. | Cryptocommunication system, transmission apparatus, and reception apparatus |
| US7757278B2 (en) * | 2001-01-04 | 2010-07-13 | Safenet, Inc. | Method and apparatus for transparent encryption |
| JP4284867B2 (ja) * | 2001-01-18 | 2009-06-24 | 株式会社日立製作所 | 標準モデル上で適応的選択暗号文攻撃に対して安全な公開鍵暗号方法 |
| US7181017B1 (en) | 2001-03-23 | 2007-02-20 | David Felsher | System and method for secure three-party communications |
| US7164765B2 (en) * | 2001-04-11 | 2007-01-16 | Hitachi, Ltd. | Method of a public key encryption and a cypher communication both secure against a chosen-ciphertext attack |
| US6718536B2 (en) * | 2002-06-21 | 2004-04-06 | Atmel Corporation | Computer-implemented method for fast generation and testing of probable prime numbers for cryptographic applications |
| AU2003262857A1 (en) * | 2002-08-24 | 2004-03-11 | Ingrian Networks, Inc. | Selective feature activation |
| JP4563037B2 (ja) * | 2003-01-24 | 2010-10-13 | シャープ株式会社 | 暗号化装置および復号化装置、並びにこれらを備えた暗号システム、暗号化方法および復号化方法 |
| US9818136B1 (en) | 2003-02-05 | 2017-11-14 | Steven M. Hoffberg | System and method for determining contingent relevance |
| US20060149962A1 (en) * | 2003-07-11 | 2006-07-06 | Ingrian Networks, Inc. | Network attached encryption |
| US8442219B2 (en) * | 2004-03-31 | 2013-05-14 | Jesse Lipson | Public key cryptographic methods and systems |
| US7519835B2 (en) * | 2004-05-20 | 2009-04-14 | Safenet, Inc. | Encrypted table indexes and searching encrypted tables |
| US7418100B2 (en) * | 2004-10-20 | 2008-08-26 | Cisco Technology, Inc. | Enciphering method |
| US20060251248A1 (en) * | 2005-05-03 | 2006-11-09 | Jesse Lipson | Public key cryptographic methods and systems with preprocessing |
| US20070079386A1 (en) * | 2005-09-26 | 2007-04-05 | Brian Metzger | Transparent encryption using secure encryption device |
| US20070079140A1 (en) * | 2005-09-26 | 2007-04-05 | Brian Metzger | Data migration |
| US20070074038A1 (en) * | 2005-09-29 | 2007-03-29 | International Business Machines Corporation | Method, apparatus and program storage device for providing a secure password manager |
| US8874477B2 (en) | 2005-10-04 | 2014-10-28 | Steven Mark Hoffberg | Multifactorial optimization system and method |
| US8386768B2 (en) * | 2006-02-08 | 2013-02-26 | Safenet, Inc. | High performance data encryption server and method for transparently encrypting/decrypting data |
| US7958091B2 (en) | 2006-02-16 | 2011-06-07 | Ingrian Networks, Inc. | Method for fast bulk loading data into a database while bypassing exit routines |
| US8379865B2 (en) * | 2006-10-27 | 2013-02-19 | Safenet, Inc. | Multikey support for multiple office system |
| US20090132804A1 (en) * | 2007-11-21 | 2009-05-21 | Prabir Paul | Secured live software migration |
| US10574451B2 (en) * | 2017-10-19 | 2020-02-25 | Bank Of America Corporation | Method and apparatus for perfect forward secrecy using deterministic hierarchy |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4405829A (en) * | 1977-12-14 | 1983-09-20 | Massachusetts Institute Of Technology | Cryptographic communications system and method |
| US5323464A (en) * | 1992-10-16 | 1994-06-21 | International Business Machines Corporation | Commercial data masking |
| US5483598A (en) * | 1993-07-01 | 1996-01-09 | Digital Equipment Corp., Patent Law Group | Message encryption using a hash function |
| EP0639907B1 (en) * | 1993-08-17 | 1999-12-08 | R3 Security Engineering AG | Digital signature method and key agreement method |
| FR2737369A1 (fr) * | 1995-07-26 | 1997-01-31 | Trt Telecom Radio Electr | Systeme de communication de messages cryptes selon un procede de type r.s.a. |
-
1997
- 1997-10-20 US US08/953,911 patent/US6081598A/en not_active Expired - Lifetime
-
1998
- 1998-09-16 CN CNB988118947A patent/CN1282325C/zh not_active Expired - Fee Related
- 1998-09-16 CA CA002307619A patent/CA2307619C/en not_active Expired - Fee Related
- 1998-09-16 WO PCT/US1998/019349 patent/WO1999034552A2/en active IP Right Grant
- 1998-09-16 JP JP2000527056A patent/JP4369618B2/ja not_active Expired - Fee Related
- 1998-09-16 EP EP98967018A patent/EP1031204B1/en not_active Expired - Lifetime
- 1998-09-16 DE DE69833334T patent/DE69833334T2/de not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| US6081598A (en) | 2000-06-27 |
| DE69833334D1 (de) | 2006-04-13 |
| EP1031204A2 (en) | 2000-08-30 |
| CN1282325C (zh) | 2006-10-25 |
| CA2307619A1 (en) | 1999-07-08 |
| CA2307619C (en) | 2008-09-09 |
| JP2004524548A (ja) | 2004-08-12 |
| DE69833334T2 (de) | 2006-10-26 |
| WO1999034552A9 (en) | 1999-10-28 |
| EP1031204B1 (en) | 2006-01-25 |
| CN1281607A (zh) | 2001-01-24 |
| WO1999034552A2 (en) | 1999-07-08 |
| WO1999034552A3 (en) | 1999-09-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4369618B2 (ja) | 高速復号化を備えた暗号システムおよび方法 | |
| US7221757B2 (en) | Method and system for accelerated data encryption | |
| JP2606419B2 (ja) | 暗号通信システムと暗号通信方法 | |
| JP3864675B2 (ja) | 共通鍵暗号装置 | |
| USRE40530E1 (en) | Public key cryptographic apparatus and method | |
| US7469048B2 (en) | Methods for point compression for jacobians of hyperelliptic curves | |
| US6396926B1 (en) | Scheme for fast realization of encrytion, decryption and authentication | |
| US7730315B2 (en) | Cryptosystem based on a Jacobian of a curve | |
| EP0936776B1 (en) | A network system using a threshold secret sharing method | |
| US6813358B1 (en) | Method and system for timed-release cryptosystems | |
| JPH09230787A (ja) | 暗号化方法および装置 | |
| EP3817323B1 (en) | Encryption processing system, encryption processing method, and program | |
| US20080294905A1 (en) | Secure approach to send data from one system to another | |
| US7248692B2 (en) | Method of and apparatus for determining a key pair and for generating RSA keys | |
| US20060251248A1 (en) | Public key cryptographic methods and systems with preprocessing | |
| EP2395698A1 (en) | Implicit certificate generation in the case of weak pseudo-random number generators | |
| US20040208317A1 (en) | Encrypting device, decrypting device, cryptosystem including the same devices, encrypting method, and decrypting method | |
| AU2002323203B2 (en) | Method and system for accelerated data encryption | |
| JP7310938B2 (ja) | 暗号システム、暗号化方法、復号方法及びプログラム | |
| JPH1155244A (ja) | 鍵回復方法および装置 | |
| JP2004302378A (ja) | 暗号化方式、復号化方式並びに暗号化システム、復号化システム | |
| JP2001222218A (ja) | 暗号化装置、方法、復号装置、方法、暗号システム及びプログラムを記憶した記憶媒体 | |
| JPH06138820A (ja) | 暗号化装置及び暗号復号装置 | |
| JP2002305517A (ja) | 共通鍵暗号装置と共通鍵暗号の復号装置 | |
| Marsh | Public-Key Image Encryption Using Image Processing Hardware |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20050729 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050729 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20050729 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20050729 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080725 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20081027 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090731 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090828 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120904 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130904 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |