JP4626148B2 - 復号または署名作成におけるべき乗剰余算の計算方法 - Google Patents

Description

本発明はセキュリティ技術に係り、特にべき乗剰余算を用いたデータ処理方法に関する。

ＲＳＡ暗号はRivest, Shamir, Adleman により提案された公開鍵暗号である。公開鍵暗号には、公開鍵と呼ばれる一般に公開してよい情報と、秘密鍵と呼ばれる秘匿しなければならない秘密情報がある。与えられたデータの暗号化や署名の検証には公開鍵を用い、与えられたデータの復号化や署名の作成には秘密鍵を用いる。

ＲＳＡ暗号における秘密鍵は、大きな素数p,qおよび整数d、公開鍵は、整数n,eである。これらの数値の間には、
n=pq （式1）
ed=1 mod Phi(n) （式2）
という関係が成り立っている。ただし、Phi(n)はオイラー関数であり、整数nと互いに素な正整数の個数を表す。n=pqの場合は、
Phi(n) = (p-1)(q-1) （式3）
となる。式1、式2より、任意の整数zに対して、
z^ed = z mod n （式4）
という関係が成り立つ。この性質を利用することにより、暗号化・復号化等を達成することができる。すなわち、暗号化や署名の検証においては、
x^e mod n （式5）
が計算され、復号化や署名の作成においては、
y^d mod n （式6）
が計算される。ここでx,yは、入力データを表す整数である。この計算はべき乗剰余算と呼ばれる。

一般に、処理速度の向上のために、eの値は小さくとる。通常用いられる値は
e=65537 (=2¹⁶+1) （式7）
である。

また、ＲＳＡ暗号の高速化手法として中国人剰余定理（以下、ＣＲＴという）が知られている。一方、ＲＳＡ暗号を性能向上させた様々な公開鍵暗号が提案されている。非特許文献４〜７に記載されている、Multi-prime RSA, Multi-exponent RSA, Rabin cryptosystem, HIME(R)等がその例である。これらの暗号系へもＣＲＴは適用可能である。

ＲＳＡ暗号等を暗号装置として実装した場合、暗号処理に要する計算時間や電力消費量、電磁波等が観測可能である。それらの情報をもとに暗号装置内部に格納されている秘密鍵等の秘密情報を暴く方法が提案されている。この方法はサイドチャネル攻撃と呼ばれている。サイドチャネル攻撃は非特許文献１に記載されている。

ＣＲＴを用いたＲＳＡ暗号へのサイドチャネル攻撃が非特許文献２に記載されている。この攻撃は、Novakの攻撃と呼ばれている。この攻撃は、上記Multi-prime RSA, Multi-exponent RSA, Rabin cryptosystem, HIME(R)等の公開鍵暗号へも拡張可能である。

一方、サイドチャネル攻撃を防ぐ手法として、逆元演算を用いる方法が非特許文献３に記載されている。しかしながら、逆元演算は多くの計算量を必要とする計算である。そのため、この方法はサイドチャネル攻撃を防ぐことはできるが、多くの計算時間を必要とする。また、逆元演算をあらかじめ計算し、その値をメモリに格納しておくこともできるが、その場合は多くのメモリを使用する。

P.C. Kocher, J. Jaffe, and B. Jun, "Differential Power Analysis," in the proceedings of CRYPTO 1999, Lecture Note in Computer Science 1666, Springer-Verlag, pp.388-397, (1999).

R. Novak, "SPA-Based Adaptive Chosen-Ciphertext Attack on RSA Implementation," in the proceedings of 2002 International Workshop on Practice and Theory in Public Key Cryptography (PKC 2002), Lecture Note in Computer Science 2274, Springer-Verlag, pp.252-262, (2002). P.C. Kocher, "Timing Attacks on Implementations of Diffie-Hellman, RSA, DSS, and Other Systems," in the proceedings of CRYPTO 1996, Lecture Note in Computer Science 1109, Springer-Verlag, pp.104-113, (1996). Public-Key Cryptography Standards, PKCS # 1,Amendment 1: Multi-Prime RSA, RSA Laboratories, (2000) T. Takagi, "Fast RSA-type cryptosystem modulo pkq", in the proceedings of CRYPTO 1998, Lecture Note in Computer Science 1462, Springer-Verlag, pp.318-326, (1998). D. Boneh, "Simplified OAEP for the RSA and RabinFunctions," in the proceedings of CRYPTO 2001, Lecture Note in Computer Science 2139, pp.275-291, (2001). M. Nishioka, H. Satoh, and K. Sakurai, "Design and Analysis of Fast Provably Secure Public-Key Cryptosystems Based on a Modular Squaring," in the proceedings of The 4th International Conference on Information Security and Cryptology (ICISC 2001), Lecture Note in Computer Science 2288, pp.81-102, (2001).

情報通信ネットワークの進展と共に電子情報に対する秘匿や認証のために暗号技術は不可欠な要素となってきている。暗号技術に課せられる要件としては、安全性以外にも高速性やメモリ使用量などがある。特に、スマートカード（ICカードともいう）等においては利用可能なリソースは少なく、限られたリソース内で暗号処理を最適化する必要がある。

上記技術は、サイドチャネル攻撃を防ぐ方法としては有効であるが、高速性やメモリ使用量に関しては考慮されていない。

本発明は、サイドチャネル攻撃を防ぐことのできる、かつ高速性やメモリ使用量に優れるべき乗剰余計算方法を提供する。

本発明は、公開鍵暗号において、秘密指数d, 公開鍵n, 暗号文cから、平文mを復号する復号方法であって、上記暗号文cをランダム化された暗号文tに変換するステップと、ランダム化された暗号文tをランダム化された平文uに変換するステップと、ランダム化された平文uを平文mに変換するステップと、を有するものであって、上記ランダム化された暗号文tに変換するステップは、乱数rを生成するステップと、上記乱数ｒと上記乱数rより導出された整数sを用いてランダム化された暗号文tに変換するステップとを含み、上記ランダム化された平文uに変換するステップは、上記秘密指数dより導出された値を用いてランダム化された平文uを計算するステップを含み、上記平文mに変換するステップは、ランダム化された平文uに上記整数sを乗ずるステップとを含むことを特徴とする。

本発明は、また、上記乱数rより導出された前記整数ｓとして、r^e-1を用い、上記暗号文tに変換するステップは、srを暗号文cに乗ずるステップを含む用に構成しても良い。

本発明は、また、上記ランダム化された平文uに変換するステップにおける上記秘密指数dより導出された値としてd-1を用い、上記ランダム化された平文uに変換するステップは、ランダム化された暗号文tのd-1乗を計算するステップを含むように構成してもよい。

本発明は、また、上記暗号文tに変換するステップにおける上記乱数rより導出された値として、r⁴を用い、上記暗号文tに変換するステップは、r⁴を暗号文cに乗ずるステップを含むように構成してもよい。

本発明は、また、上記公開鍵nは、
p mod 4 = q mod 4 = 3となる素因数p,qを含み、上記ランダム化された平文uに変換するステップにおける上記秘密指数dより導出された値として
(p-3)/4および(q-3)/4を用い、上記ランダム化された平文uに変換するステップは、ランダム化された暗号文tの
(p-3)/4乗を計算するステップと、ランダム化された暗号文tの
(q-3)/4乗を計算するステップと、を含むように構成してもよい。

本発明は、また、上記平文mに変換するステップにおける整数sとしてr²を用いるように構成してもよい。

本発明は、また、公開鍵暗号を用いた電子署名において、秘密指数d, 公開鍵n, データcから、署名データmを生成する署名作成方法であって、上記データcをランダム化されたデータtに変換するステップと、ランダム化されたデータtをランダム化された署名uに変換するステップと、ランダム化された署名uを署名mに変換するステップと、を有するように構成してもよい。

本発明は、また、上記ランダム化されたデータtに変換するステップは、乱数rを生成するステップと、上記乱数rと上記乱数rより導出された整数sを用いてランダム化されたデータtに変換するステップとを含み、上記ランダム化された署名uに変換するステップは、上記秘密指数dより導出された値を用いてランダム化された署名uを計算するステップを含み、上記署名mに変換するステップは、ランダム化された署名uに上記整数sを乗ずるステップとを含むように構成してもよい。

以上のように、本発明のべき乗剰余計算方法によれば、入力された暗号文はランダム化された暗号文に変換され、ランダム化された平文から平文への変換の際に逆元計算を行なう必要はないため、サイドチャネル攻撃を防ぐことのできる、かつ高速性やメモリ使用量に優れるべき乗剰余計算方法が利用可能になる。

本発明によれば、逆元演算を用いることなく、サイドチャネル攻撃に対して安全で、かつ高速性やメモリ使用量に優れる、公開鍵暗号技術における復号または署名作成処理が可能となる。

以下、本発明の実施例を図面により説明する。

図１はネットワークによって接続された本発明によるべき乗剰余算の計算法を適用したコンピュータＡ101、コンピュータＢ121がネットワーク142により接続されたシステム構成を示すものである。

図1の暗号通信システムにおけるコンピュータＡ101でデータの暗号化を行なうには、c=m^e mod nを計算して出力し、コンピュータＢ121で暗号文の復号化を行なうには、c^d mod nを計算して出力すればよい。ここでmは暗号化するデータを示す整数、e, nはそれぞれ公開鍵を示す整数、cはデータmに対する暗号文を示す整数、dは秘密鍵を示す整数である。

ネットワーク142には、暗号文cのみ送信され、データmを復元するためには、c^d mod nを計算する必要がある。ところが、秘密鍵dはネットワーク142には送信されないため、秘密鍵を保持しているものだけが、データmを復元できることになる。

図１において、コンピュータＡ101は、ＣＰＵ113やコプロセッサ114などの演算装置、ＲＡＭ103、ＲＯＭ106や外部記憶装置107などの記憶装置、コンピュータ外部とのデータ入出力を行なう入出力インタフェース110を装備しており、外部にはコンピュータＡをユーザが操作するためのディスプレイ108、キーボード109、着脱可能な可搬型記憶媒体の読み書き装置などが接続されている。

更にコンピュータＡ101は、ＲＡＭ103、ＲＯＭ106や外部記憶装置107などの記憶装置によって、記憶部102を実現し、ＣＰＵ113やコプロセッサ114などの演算装置が、記憶部102に格納されたプログラムを実行することにより、データ処理部112を実現する。

データ処理部112は、本実施形態においては、暗号化処理部112として入力されたデータの暗号化を行なう。

コンピュータＢ121はコンピュータＡ101と同様のハードウェア構成を備える。

更にコンピュータＢ121は、ＲＡＭ123、ＲＯＭ126や外部記憶装置127などの記憶装置によって、記憶部122を実現し、ＣＰＵ133やコプロセッサ134などの演算装置が、記憶部122に格納されたプログラムを実行することにより、データ処理部132を実現する。

データ処理部132は、本実施形態においては、復号化処理部132として機能し、暗号化されたデータである暗号文の復号化を行なう。

なお、上記各プログラムは、予め、上記コンピュータ内の記憶部に格納されていてもよいし、必要なときに、入出力インタフェースと上記コンピュータが利用可能な媒体を介して、他の装置から上記記憶部に導入されてもよい。媒体とは、例えば、入出力インタフェースに着脱可能な記憶媒体、または通信媒体（すなわちネットワークまたはネットワークを伝搬する搬送波）を指す。

次に、図1のコンピュータＡ101が、入力されたデータを暗号化する場合の動作について説明する。データはディジタルデータであればよく、テキスト、画像、音などの種類は問わない。

暗号化処理部112は、入出力インタフェース110を介して、平文データを受け取ると、入力された平文データのビット長が予め定めたビット長か否かを判断する。予め定めたビット長より長い場合には、予め定めたビット長となるように平文データを区切る。以下、所定のビット長に区切られている部分データ（単にデータともいう）について説明する。

次に、暗号化処理部112は、データのビット列によって表される数値mに対して、
べき乗剰余c=m^e mod nを計算し、暗号化されたデータcを得る。コンピュータＡ101は暗号化処理部112で暗号化された1つ以上の部分データから暗号化された出力データを組み立てる。コンピュータＡ101は暗号化されたデータ141を入出力インタフェース110より出力し、ネットワーク142を介してコンピュータＢ121へ転送する。

次に、コンピュータＢ121が、暗号化されたデータ141を復号化する場合の動作について説明する。

復号化処理部132は、入出力インタフェース130を介して、暗号化されたデータが入力されると、入力された暗号化されたデータのビット長があらかじめ定めたビット長か否かを判断する。あらかじめ定めたビット長よりも長い場合は、あらかじめ定めたビット長となるように暗号化されたデータを区切る。以下、所定のビット長に区切られている部分データ（単にデータともいう）について説明する。

次に、復号化処理部132は、データのビット列により表される数値cに対して、
べき乗剰余m'=c^d mod nを計算し、暗号化される前の部分データmに相当するm'を得る。コンピュータＢ121は、復号化処理部132で復号化された部分データから平文データを組み立て、入出力インタフェース130を介して、ディスプレイ128などから出力する。

次に、コンピュータＢ121が、復号化処理を行う場合の、データ処理部132の処理を詳細に説明する。

第1実施例では、復号化処理部132として、図2で示されるデータ処理部132の機能ブロックを用いる。データ処理部132は、モジュラー乗算部201、乱数生成部202、汎用べき乗剰余計算部203、定数204からなる。

復号化処理部132が所定のビット長に区切られている暗号文cから、秘密鍵dを用いて、暗号化される前の部分データである平文mを計算する第1の計算方法を、図3を用いて説明する。

復号化処理部132は暗号文cを受け取る。乱数生成部202は、乱数rを生成する（301）。汎用べき乗剰余計算部203は、
r^e-1 mod nを計算し、sに格納する（302）。モジュラー乗算部201は、
src mod nを計算し、tに格納する（303）。この計算は、モジュラー乗算部201がs, rからsr mod nを計算し、その後
(sr) c mod nを計算することにより達成できる。汎用べき乗剰余計算部203は、
t^d-1 modを計算し、uに格納する（304）。モジュラー乗算部201は、
us mod nを計算し、vに格納する（305）。モジュラー乗算部201は、
vc mod nを計算し、m'に格納する。復号化処理部132は、m'を暗号化される前の部分データである平文mとして出力する。平分mから平分データが組み立てられる。

次に中国人剰余定理を用いて汎用べき乗剰余算を高速化する場合の処理について、図4、図5を用いて説明する。この場合、汎用べき乗剰余計算部203はＣＲＴ計算部203として働く。

ＣＲＴ計算部203は、モジュラー乗算部401、モジュラー加減算部402、モジュラー剰余乗算部403、べき乗剰余計算部404、加減乗算部405、定数406からなる。ＣＲＴ計算部203は、整数tと整数dから、整数p,qを用いて、
t^d mod nを計算する。ここでp,qはnを割りきる素数である。

ＣＲＴ計算部203は、整数tと整数dを受け取る。モジュラー剰余計算部403は、
d mod p-1, d mod q-1 を計算し、d_p, d_qにそれぞれ格納する（501）。モジュラー剰余計算部403は
t mod p, t mod q を計算し、t_p, t_qにそれぞれ格納する（502）。べき乗剰余計算部404は、t_p ^dp mod p, t_q ^dq mod qを計算し、それぞれm_p, m_qに格納する（503）。モジュラー乗算部401およびモジュラー加減算部402は、
(m_q-m_p)pInv mod qを計算し、hに格納する（504）。この計算は、モジュラー加減算部402が
m_q-m_p mod qを計算し、モジュラー乗算部401が、その結果にpInvを乗ずる
（すなわち (m_q-m_p)pInv mod q）ことにより達成できる。加減乗算部405は、m_p+phを計算し、m_pqに格納する（505）。この計算は、加減乗算部405がphを計算し、その結果にm_pを加える（すなわち m_p+(ph)）ことにより達成できる。ただし、pInvは、
pInv = p^-1 mod q （式8）
をみたす整数である。pInvは定数406としてＣＲＴ計算部203に格納されている。ＣＲＴ計算部203は、m_pqを
t^d mod nとして出力する（506）。

復号化処理部132の行なう処理により出力されるm'はm'=mとなる。この理由は次の通りである。
m' = vc = usc = t^d-1sc
= (src)^d-1sc = (r^ec)^d-1r^e-1c
= c^dr^ed-e+e-1 = c^d mod n （式9）
ここで、e,d の定義より、r^ed-1 = 1が成り立つ。cはmを暗号化したものであるので、
c^d = m mod n （式10）
が成り立つ。したがって、m'=mとなる。

上記の計算方法では、剰余乗算等の演算は用いるが、逆元演算は用いない。したがって、非特許文献３の手法と比べて、高速な計算が可能である。また、eを式7により定めた場合、直接c^d mod nを計算する方法と比べると、計算量増加は剰余乗算20回分である。一般に、1024ビットの汎用べき乗剰余算を行なった場合、1500回程度の剰余乗算を必要とするため、上記計算方法の計算量増加は、この値と比べて比較的小さいと言える。

また、上記の計算方法では逆元演算を用いないため、逆元演算をあらかじめ計算し、その値をメモリに格納する、ということを行なう必要がない。そのため、メモリ使用量が少なくてすむ。

また、上記の計算方法は、サイドチャネル攻撃に対する防御に関しても有効である。この理由は次の通りである。上記の計算方法で秘密鍵を用いるのはステップ503のみである。ステップ503の入力である整数tは、入力されたデータcと、ステップ501で生成された乱数rのe乗との乗算結果である。したがって、攻撃者は整数tの値を予測することはできない。Novakの攻撃は、汎用べき乗剰余算に入力される値が攻撃者にとって既知であることを利用しているので、攻撃者はNovakの攻撃を行なうことができない。

以上の通り、上記の計算方法は、サイドチャネル攻撃に有用な情報を与えないため、サイドチャネル攻撃に対して耐性がある。また、逆元演算を用いないため、高速な計算が可能であり、さらに、逆元演算の結果をあらかじめメモリに格納する必要もないため、メモリ使用量も少なくてすむ。

なお、上記の計算方法は、multi-prime RSA や multi-exponent RSA に対しても適用できる。この場合においても、サイドチャネル攻撃に耐性を有し、さらに、逆元演算を用いないため、高速計算可能かつ小メモリとなる。

まず、multi-prime RSA の場合について説明する。

非特許文献４に開示されているように、multi-prime RSAにおける秘密鍵は、大きな素数p,q,rおよび整数d、公開鍵は、整数n,eである。これらの数値の間には、
n = pqr （式11）
ed = mod Phi(n) （式12）
という関係が成り立っている。ここでは、大きな素数を３つとしたが、４つやそれ以上でもよい。式12のnの場合、
Phi(n) = (p-1)(q-1)(r-1) （式13）
となる。multi-prime RSAにおいても、式4が成立し、そのため、暗号化や署名の検証においては式5が計算され、復号化や署名の作成においては式6が計算される。従って復号化処理を行なう場合、第1の計算方法を用いることにより、サイドチャネル攻撃に耐性を有し、さらに、逆元演算を用いないため、高速計算可能かつ小メモリとなる。

次に中国人剰余定理を用いて汎用べき乗剰余算を高速化する場合の処理について、図4、図6を用いて説明する。この場合、汎用べき乗剰余計算部203はＣＲＴ計算部203として働く。

ＣＲＴ計算部203は、整数tと整数dから、整数p,q,rを用いて、t^d mod n を計算する。ここで、p,q,rはnを割りきる素数である。

ＣＲＴ計算部203は、整数tと整数dを受け取る。モジュラー剰余計算部403は、
d mod p-1, d mod q-1, d mod r-1 を計算し、d_p, d_q, d_r にそれぞれ格納する（601）。モジュラー剰余計算部403は
t mod p, t mod q, t mod r を計算し、t_p, t_q, t_rにそれぞれ格納する（602）。べき乗剰余計算部404は、
t_p ^dp mod p, t_q ^dq mod q, t_r ^dr mod r を計算し、それぞれ m_p, m_q, m_r に格納する（603）。モジュラー乗算部401およびモジュラー加減算部402は、
(m_q-m_p)pInv mod q を計算し、hに格納する（604）。この計算は、モジュラー加減算部402が
m_q-m_p mod q を計算し、モジュラー乗算部401が、その結果にpInvを乗ずる
（すなわち (m_q-m_p)pInv mod q）ことにより達成できる。ただし、pInvは、式*をみたす整数である。加減乗算部405は、m_p+phを計算し、m_pqに格納する（605）。この計算は、加減乗算部405がphを計算し、その結果にm_pを加える（すなわち m_p+(ph)）ことにより達成できる。モジュラー乗算部401およびモジュラー加減算部402は、
(m_r-m_pq)pqInv mod r を計算し、hに格納する（606）。この計算は、モジュラー加減算部402が
m_r-m_pq mod r を計算し、モジュラー乗算部401が、その結果にpqInvを乗ずる
（すなわち (m_r-m_pq)pqInv mod r）ことにより達成できる。ただし、pqInvは、
pqInv = (pq)^-1 mod r （式14）
をみたす整数である。pqInvは定数406として、ＣＲＴ計算部203に格納されている。加減乗算部405は、m_pq+pqhを計算し、m_pqr に格納する（607）。この計算は、加減乗算部405がpqを計算し、その結果にhを乗じ、さらにその結果にm_pqを加える（すなわち m_pq+((pq)h)）ことにより達成できる。ＣＲＴ計算部203は、m_pqr を
t^d mod n として出力する（608）。

次に、multi-exponent RSA の場合について説明する。

非特許文献５に開示されているように、multi-exponent RSAにおける秘密鍵は、大きな素数p,qおよび整数d、公開鍵は、整数n,eである。これらの数値の間には、
n = p²q （式15）
ed = mod Phi(n) （式16）
という関係が成り立っている。ここでは、べき指数を2としたが、3やそれ以上でもよい。式16のnの場合、
Phi(n) = p(p-1)(q-1) （式17）
となる。multi-exponent RSAにおいても、式4が成立し、そのため、暗号化や署名の検証においては式5が計算され、復号化や署名の作成においては式6が計算される。従って復号化処理を行なう場合、第1の計算方法を用いることにより、サイドチャネル攻撃に耐性を有し、さらに、逆元演算を用いないため、高速計算可能かつ小メモリとなる。

次に中国人剰余定理を用いて汎用べき乗剰余算を高速化する場合の処理について、図4、図7を用いて説明する。この場合、汎用べき乗剰余計算部203はＣＲＴ計算部203として働く。

ＣＲＴ計算部203は、整数tと整数dから、整数p,qを用いて、t^d mod n を計算する。ここで、p,qはnを割りきる素数であり、さらにnはp²でも割りきれる。

ＣＲＴ計算部203は、整数tと整数dを受け取る。モジュラー剰余計算部403は、
d mod p-1, d mod q-1 を計算し、d_p, d_q にそれぞれ格納する（701）。モジュラー剰余計算部403は
t mod p, t mod q を計算し、t_p, t_q にそれぞれ格納する（702）。べき乗剰余計算部404は、
t_p ^dp-1 mod pを計算し、kに格納する（703）。モジュラー剰余計算部403は、
t_p k mod p を計算し、m_p に格納する。べき乗剰余計算部404は、
t_q ^dq mod q を計算し、m_q に格納する（704）。べき乗剰余計算部404、モジュラー加減算部402、およびモジュラー剰余計算部403は、
c - m_p ^e mod p² を計算し、gに格納する。モジュラー乗算部401は、
g k eInv mod p² を計算し、bに格納する。加減乗算部405は、m_q +b を計算し、m_p2 に格納する（705）。これらの計算は、べき乗剰余計算部404が
m_p ^e mod p² を計算し、モジュラー剰余計算部403が
c mod p² を計算し、モジュラー加減算部402がそれらの差分をとる（すなわち
(c mod p²) (m_p ^e) mod p²）ことによりgが計算できる。モジュラー乗算部401がg k mod p² を計算し、その結果にeInv を乗ずる
（すなわち (gk)eInv mod p²）ことによりbが計算できる。その後、加減乗算部405が m_q +b を計算することにより、達成できる。ただし、eInvは、
eInv = (e)^-1 mod p （式18）
をみたす整数である。eInvは定数406としてＣＲＴ計算部203に格納されている。モジュラー乗算部401およびモジュラー加減算部402は、
(m_q-m_p2)p²Inv mod q を計算し、hに格納する（706）。この計算は、モジュラー加減算部402が
m_q-m_p2 mod q を計算し、モジュラー乗算部401が、その結果にp²Invを乗ずる
（すなわち (m_q-m_p2)p²Inv mod q）ことにより達成できる。ただし、p²Invは、
p²Inv = (p²)^-1 mod r （式19）
をみたす整数である。p²Invは定数406としてＣＲＴ計算部203に格納されている。加減乗算部405は、m_p2+p²hを計算し、m_p2qに格納する（707）。この計算は、加減乗算部405が(p²)hを計算し、その結果にm_p2を加える（すなわち m_p+((p²)h)）ことにより達成できる。ＣＲＴ計算部203は、m_p2q を
t^d mod n として出力する（708）。

第2実施例では、Rabin暗号の場合について説明する。

非特許文献６に開示されているように、Rabin暗号における秘密鍵は、大きな素数p,q、公開鍵は、整数n,eである。Rabin暗号の場合は特に
e=2 （式20）
である。また素数p,qは、
p mod 4 = q mod 4 = 3 （式21）
をみたすように選ばれる。これらの数値の間には、
n = pq （式22）
という関係が成り立っている。Rabin暗号の場合、暗号化や署名の検証においては、xの平方
y = x² mod n （式23）
を計算し、復号化や署名の作成においては、式23をみたすxを計算する。そのため、Rabin暗号では、式23をみたす整数が4つ存在し、そのうち適切なものを選択することとなる。

第2実施例では、復号化処理部132として、図8で示されるデータ処理部132の機能ブロックを用いる。データ処理部132は、モジュラー乗算部801、乱数生成部802、汎用べき乗剰余計算部803、定数804、モジュラー加減算部805、加減乗算部806からなる。

復号化処理部132が所定のビット長に区切られている暗号文cから、秘密鍵を用いて、平文mを計算する第2の計算方法を、図9を用いて説明する。

復号化処理部132は暗号文cを受け取る。乱数生成部802は、乱数rを生成する（901）。モジュラー乗算部801は、
r² mod nを計算し、sに格納する（902）。モジュラー乗算部801は、
s²c mod nを計算し、tに格納する（903）。この計算は、モジュラー乗算部801がsから
s² mod nを計算し、その後
(s²) c mod nを計算することにより達成できる。汎用べき乗剰余計算部803は、
t^(p-3)/4 mod p, t^(q-3)/4 mod q を計算し、それぞれu_p, u_q格納する（904）。モジュラー乗算部801およびモジュラー加減算部805は、
(u_q-u_p)pInv mod q を計算し、h₁に格納する。加減乗算部806は、
u_p+ph₁を計算し、w₁に格納する（905）。これらの計算は、モジュラー加減算部805が
u_q-u_p mod q を計算し、モジュラー乗算部801が、その結果にpInvを乗ずる
（すなわち (u_q-u_p)pInv mod q）ことによりh₁が計算できる。その後、加減乗算部806がph₁を計算し、その結果にu_pを加える
（すなわち u_p+(ph₁)）ことにより、達成できる。ただし、pInvは、式8をみたす整数である。モジュラー乗算部801およびモジュラー加減算部805は、
(u_q+u_p)pInv mod q を計算し、h₂に格納する。加減乗算部806は、
-u_p+ph₂を計算し、w₂に格納する（906）。これらの計算は、モジュラー加減算部805が
u_q+u_p mod q を計算し、モジュラー乗算部801が、その結果にpInvを乗ずる
（すなわち (u_q+u_p)pInv mod q）ことによりh₂が計算できる。その後、加減乗算部806がph₂を計算し、その結果からu_pを減ずる（すなわち -u_p+(ph₂)）ことにより、達成できる。加減乗算部806は、
n-w₁, m-w₂ を計算し、それぞれw₃, w₄ に格納する（907）。モジュラー乗算部801は、
w₁ cs mod n, w₂ cs mod n, w₃ cs mod n, w₄ cs mod nを計算し、それぞれm₁, m₂, m₃, m₄ に格納する（908）。これらの計算は、モジュラー乗算部801が cs mod n を計算し、その結果にそれぞれw₁, w₂, w₃, w₄ を乗ずることにより達成できる。復号化処理部132は、m₁, m₂, m₃, m₄ を平文mの候補として出力する（909）。

復号化処理部132の行なう処理により出力されるm₁, m₂, m₃, m₄は
m₁ ² = m₂ ² = m₃ ² = m₄ ² = c mod n （式24）
をみたす。この理由は次の通りである。まず、u_pに関して次の式が成立する。

u_p ² = (t^(p-3)/4)²
= (s² c)^(p-3)/2 = s^p-3 m^p-3 mod p （式25）
ここで、pは素数であるので、任意の整数zに対して、
z^p = z mod p （式26）
が成り立つことに注意すると、
u_p ² = s^-2 m^-2 mod p （式27）
が成り立つ。同様に、
u_q ² = s^-2 m^-2 mod q （式28）
も成り立つ。他方、w₁に関して次の式が成立する。

w₁ ² = u_p ² mod p （式29）
w₁ ² = (u_p +p(u_q-u_p)pInv)² mod q （式30）
pInvは式*をみたすので、
w₁ ² = u_q ² mod q （式31）
が成り立つ。式22、式27、式28、式29、式31を考慮すると、
m₁ ² = w₁ ² c² s² mod n
= c mod n （式32）
が成り立つ。m₂, m₃, m₄に対しても、同様にして示すことができる。

上記の計算方法では、剰余乗算等の演算は用いるが、逆元演算は用いない。したがって、非特許文献３の手法と比べて、高速な計算が可能である。また、e=2であるため、通常のRabin暗号の計算手法と比べると、計算量増加は剰余乗算5回分である。一般に、1024ビットの汎用べき乗剰余算を行なった場合、1500回程度の剰余乗算を必要とするため、上記計算方法の計算量増加は、この値と比べて比較的小さいと言える。

また、上記の計算方法では逆元演算を用いないため、逆元演算をあらかじめ計算し、その値をメモリに格納する、ということを行なう必要がない。そのため、メモリ使用量が少なくてすむ。

また、上記の計算方法は、サイドチャネル攻撃に対する防御に関しても有効である。この理由は次の通りである。上記の計算方法で秘密鍵が初めて用いられるのはステップ904であり、その後の演算は、ステップ904の演算結果を用いる。ステップ904の入力である整数tは、入力されたデータcと、ステップ901で生成された乱数rの4乗との乗算結果である。したがって、攻撃者は整数tの値を予測することはできない。Novakの攻撃は、汎用べき乗剰余算に入力される値が攻撃者にとって既知であることを利用しているので、攻撃者はNovakの攻撃を行なうことができない。

以上の通り、上記の計算方法は、サイドチャネル攻撃に有用な情報を与えないため、サイドチャネル攻撃に対して耐性がある。また、逆元演算を用いないため、高速な計算が可能であり、さらに、逆元演算の結果をあらかじめメモリに格納する必要もないため、メモリ使用量も少なくてすむ。

なお、ステップ906で -u_p を p-u_p におきかえて実行してもよい。そうすると、負の整数を扱うことなく実行できるため、プログラムを簡略化できる。

第3実施例では、HIME(R)の場合について説明する。 非特許文献７に開示されているように、HIME(R)における秘密鍵は、大きな素数p,q、公開鍵は、整数n,eである。HIME(R)の場合は、Rabin暗号と同様に、eは式20をみたすように選ばれる。また素数p,qについても、式21をみたすように選ばれる。これらの数値の間には、
n = p²q （式33）
という関係が成り立っている。HIME(R)の場合、暗号化や署名の検証においては、xの平方
y = x² mod n （式34）
を計算し、復号化や署名の作成においては、式34をみたすxを計算する。そのため、HIME(R)では、式34をみたす整数が4つ存在し、そのうち適切なものを選択することとなる。

第3実施例では、復号化処理部132として、図8で示されるデータ処理部132の機能ブロックを用いる。

復号化処理部132が所定のビット長に区切られている暗号文cから、秘密鍵を用いて、平文mを計算する第3の計算方法を、図10を用いて説明する。

復号化処理部132は暗号文cを受け取る。乱数生成部802は、乱数rを生成する（1001）。モジュラー乗算部801は、
r² mod nを計算し、sに格納する（1002）。モジュラー乗算部801は、
s²c mod nを計算し、tに格納する（1003）。この計算は、モジュラー乗算部801がsから
s² mod nを計算し、その後
(s²) c mod nを計算することにより達成できる。汎用べき乗剰余計算部803は、
t^(p-3)/4 mod p, t^(q-3)/4 mod q を計算し、それぞれu_p, u_q格納する（1004）。モジュラー乗算部801は、
u_p t mod p を計算し、kに格納する（1005）。モジュラー乗算部801およびモジュラー加減算部805は、
(u_q-u_p)pInv mod q を計算し、h₁に格納する。加減乗算部806は、
u_p+ph₁を計算し、u_pq,1に格納する（1006）。これらの計算は、モジュラー加減算部805がu_q-u_p mod q を計算し、モジュラー乗算部801が、その結果にpInvを乗ずる
（すなわち (u_q-u_p)pInv mod q）ことによりh₁が計算できる。その後、加減乗算部806がph₁を計算し、その結果にu_pを加える
（すなわち u_p+(ph₁)）ことにより、達成できる。ただし、pInvは、式8をみたす整数である。モジュラー乗算部801およびモジュラー加減算部805は、
t u_pq,1 ² mod n を計算し、g₁に格納する。モジュラー乗算部801は、
g₁ k (2Inv) mod n を計算し、b₁に格納する。モジュラー加減乗算部805は、
u_pq,1+b₁を計算し、u₁に格納する（1007）。これらの計算は、モジュラー乗算部801が
u_pq,1 ² mod n を計算し、モジュラー加減算部805が、tからその結果を減ずる
（すなわち t (u_pq,1 ²) mod n）ことにより、g₁が計算できる。その後、モジュラー乗算部801が、
k (2Inv) mod n を計算し、その結果にg₁を乗ずる
（すなわち g₁ (k (2Inv)) mod n）ことにより、b₁が計算できる。その後、加減乗算部806が、
u_pq,1 +b₁ を計算することにより、達成できる。ただし、2Invは、
2Inv = 2^-1 mod p （式35）
をみたす整数である。モジュラー乗算部801およびモジュラー加減算部805は、
(u_q+u_p)pInv mod q を計算し、h₂に格納する。加減乗算部806は、
p-u_p+ph₂を計算し、u_pq,2に格納する（1008）。これらの計算は、モジュラー加減算部805が
u_q+u_p mod q を計算し、モジュラー乗算部801が、その結果にpInvを乗ずる
（すなわち (u_q+u_p)pInv mod q）ことによりh₂が計算できる。その後、加減乗算部806がph₂を計算し、その結果にpを加え、u_pを減ずる
（すなわち p-u_p+(ph₂)）ことにより、達成できる。

モジュラー乗算部801およびモジュラー加減算部805は、
t u_pq,2 ² mod n を計算し、g₂に格納する。モジュラー乗算部801は、
g₂ k (2Inv) mod n を計算し、b₂に格納する。モジュラー加減乗算部805は、
u_pq,2+b₂を計算し、u₂に格納する（1009）。これらの計算は、モジュラー乗算部801が
u_pq,2 ² mod n を計算し、モジュラー加減算部805が、tからその結果を減ずる
（すなわち t (u_pq,2 ²) mod n）ことにより、g₂が計算できる。その後、モジュラー乗算部801が、
k (2Inv) mod n を計算し、その結果にg₂を乗ずる
（すなわち g₂ (k (2Inv)) mod n）ことにより、b₂が計算できる。その後、加減乗算部806が、
u_pq,2 +b₂ を計算することにより、達成できる。ただし、2Invは、式35をみたす整数である。加減乗算部806は、
n-u₁, m-u₂ を計算し、それぞれu₃, u₄ に格納する（1010）。モジュラー乗算部801は、
u₁ cs mod n, u₂ cs mod n, u₃ cs mod n, u₄ cs mod nを計算し、それぞれm₁, m₂, m₃, m₄ に格納する（1011）。これらの計算は、モジュラー乗算部801が cs mod n を計算し、その結果にそれぞれu₁, u₂, u₃, u₄ を乗ずることにより達成できる。復号化処理部132は、m₁, m₂, m₃, m₄ を平文mの候補として出力する（1012）。

復号化処理部132の行なう処理により出力されるm₁, m₂, m₃, m₄は
m₁ ² = m₂ ² = m₃ ² = m₄ ² = c mod n （式36）
をみたす。この理由は次の通りである。まず、u_pに関して次の式が成立する。

u_p ² = (t^(p-3)/4)²
= (s² c)^(p-3)/2 = s^p-3 m^p-3 mod p （式37）
ここで、pは素数であるので、任意の整数zに対して、
z^p = z mod p （式38）
が成り立つことに注意すると、
u_p ² = s^-2 m^-2 mod p （式39）
が成り立つ。同様に、
u_q ² = s^-2 m^-2 mod q （式40）
も成り立つ。式39、式40を用いると、
u_pq,1 ² = s^-2 m^-2 mod p （式41）
u_pq,1 ² = s^-2 m^-2 mod q （式42）
を示すことができ、したがって、
u_pq,1 ² = s^-2 m^-2 mod pq （式43）
が成り立つ。u = (sm)^-1 mod n, u = u_pq,1 + b と表すと、
t = u² = u_pq,1 ² + 2u_pq,1 b mod n （式44）
となる。そのため、
b = (t u_pq,1 ²)((2 u_pq,1)^-1 mod p) mod n （式45）
となる。

k = u_p ¹ mod p （式46）
であることに注意すれば、b = b₁ が成り立つ。したがって、
m₁ = (sm)^-1 cs = m mod n （式47）
となる。m₂, m₃, m₄ についても同様に示すことができる。

上記の計算方法では、剰余乗算等の演算は用いるが、逆元演算は用いない。したがって、非特許文献３の手法と比べて、高速な計算が可能である。また、e=2であるため、通常のHIME(R)の計算手法と比べると、計算量増加は剰余乗算5回分である。一般に、1024ビットの汎用べき乗剰余算を行なった場合、1500回程度の剰余乗算を必要とするため、上記計算方法の計算量増加は、この値と比べて比較的小さいと言える。

また、上記の計算方法では逆元演算を用いないため、逆元演算をあらかじめ計算し、その値をメモリに格納する、ということを行なう必要がない。そのため、メモリ使用量が少なくてすむ。

また、上記の計算方法は、サイドチャネル攻撃に対する防御に関しても有効である。この理由は次の通りである。上記の計算方法で秘密鍵が初めて用いられるのはステップ1004であり、その後の演算は、ステップ1004の演算結果を用いる。ステップ1004の入力である整数tは、入力されたデータcと、ステップ1001で生成された乱数rの4乗との乗算結果である。したがって、攻撃者は整数tの値を予測することはできない。Novakの攻撃は、汎用べき乗剰余算に入力される値が攻撃者にとって既知であることを利用しているので、攻撃者はNovakの攻撃を行なうことができない。

以上の通り、上記の計算方法は、サイドチャネル攻撃に有用な情報を与えないため、サイドチャネル攻撃に対して耐性がある。また、逆元演算を用いないため、高速な計算が可能であり、さらに、逆元演算の結果をあらかじめメモリに格納する必要もないため、メモリ使用量も少なくてすむ。

なお、ステップ906で -u_p を p-u_p におきかえて実行してもよい。そうすると、負の整数を扱うことなく実行できるため、プログラムを簡略化できる。

以上、コンピュータＢ121が、暗号化されたデータ141を復号化する場合のデータ処理部132の動作を説明したが、コンピュータＡ101が入力データを暗号化する場合も同様である。

また、本発明は、署名作成方法をしても用いることができる。その場合には、暗号文cは、署名対象データcとして扱い、署名生成の際には、
m = c^d mod n （式48）
を計算し、mをデータcに対する署名として出力すればよい。

また、上記実施形態におけるコンピュータは、スマートカードや携帯電話、情報家電であってもよい。またその際、必要なデータはオンラインで上記コンピュータ内に入力され、べき乗剰余計算を行なってもよい
また、上記各実施形態におけるデータ処理部、ＣＲＴ計算部は、専用のハードウェアを用いて行なってもよい。モジュラー乗算部、モジュラー加減算部、乱数生成部、汎用べき乗剰余計算部、モジュラー剰余計算部、加減乗算部をコプロセッサまたはそれ以外の専用ハードウェアで実現してもよい。

実施形態におけるシステム構成図である。 第1実施例の実施形態におけるデータ処理部の構成図である。 第1実施例における復号化処理を示すフローチャート図である。 第１実施例の実施形態におけるＣＲＴ計算部の構成図である。 第１実施例におけるＣＲＴ計算部の行なう計算方法を示すフローチャート図である。 第1実施例におけるＣＲＴ計算部の行なう計算方法を示すフローチャート図である。 第1実施例におけるＣＲＴ計算部の行なう計算方法を示すフローチャート図である。 第２、第３実施例の実施形態におけるデータ処理部の構成図である。 第２実施例における復号化処理を示すフローチャートである。 第３実施例における復号化処理を示すフローチャートである。

符号の説明

101、121：コンピュータ、102、122：記憶部、112、132：データ処理部、104、124、204、406、804：定数、105、125：秘密情報、110、130：入出力インターフェース、108、128：ディスプレイ、109、129：キーボード、142：ネットワーク、141、143：データ、201、401、801：モジュラー乗算部、202、802：乱数生成部、203、803：汎用べき乗剰余計算部、402、805：モジュラー加減算部、403：モジュラー剰余計算部、404：べき乗剰余計算部、405、806：加減乗算部。

Claims (7)

1. 公開鍵暗号において，秘密指数dと, 公開鍵nと, 暗号文cとから，平文mを復号する，公開鍵暗号における復号装置であって，
   前記暗号文cをランダム化された暗号文tに変換する処理部と，
   ランダム化された暗号文tをランダム化された平文uに変換する処理部と，
   ランダム化された平文uを平文mに変換する処理部と，
   べき剰余計算部と，を有し，
   前記ランダム化された暗号文tに変換する処理部は，
   乱数rを生成する処理部と，
   前記乱数rと前記乱数rより導出された整数sを用いてランダム化された暗号文tに変換する処理部とを含み，
   前記ランダム化された平文uに変換する処理部は，
   前記秘密指数dより導出された値を用いてランダム化された平文uを計算する処理部を含み，
   前記平文mに変換する処理部は，
   ランダム化された平文uに前記整数sを乗ずる処理部を含む
   ことを特徴とする公開鍵暗号における復号装置。
2. 請求項１記載の公開鍵暗号における復号装置であって，さらに，
   モジュラー乗算部を備え，
   前記乱数rより導出された前記整数ｓとして，前記べき剰余計算部により計算されるre-1を用い，
   前記ランダム化された暗号文tに変換する処理部は，前記モジュラー乗算部を用いて，srを前記暗号文cに乗ずる処理部を含む
   ことを特徴とする公開鍵暗号における復号装置。
3. 請求項１または２に記載の公開鍵暗号における復号装置であって，さらに，
   前記ランダム化された平文uを計算する処理部は，
   前記べき剰余計算部を用いて，前記秘密指数dより導出された値としてd-1を用い，前記ランダム化された暗号文tのd-1乗を計算する処理部を含む
   ことを特徴とする公開鍵暗号における復号装置。
4. 請求項１記載の公開鍵暗号における復号装置であって，さらに，
   モジュラー乗算部を備え，
   前記暗号文tに変換する処理部は，
   前記モジュラー乗算部を用いて，前記乱数rより導出された値としてr2を用い，r2を前記暗号文cに乗ずる処理部を含む
   ことを特徴とする公開鍵暗号における復号装置。
5. 請求項１記載の公開鍵暗号における復号装置であって，さらに，
   前記公開鍵nは，p mod 4 = q mod 4 = 3となる素因数p,qを含み，
   前記ランダム化された平文uを計算する処理部は，
   前記べき剰余計算部を用いて前記秘密指数dから(p-3)/4および(q-3)/4を導出する処理部と，
   ランダム化された暗号文tの(p-3)/4乗を計算する処理部と，
   ランダム化された暗号文tの(q-3)/4乗を計算する処理部と，を含む
   ことを特徴とする公開鍵暗号における復号装置。
6. 請求項４に記載の公開鍵暗号における復号装置であって，さらに，
   前記平文mに変換する処理部における前記整数sとして前記r2を用いる
   ことを特徴とする公開鍵暗号における復号装置。
7. 公開鍵暗号を用いた電子署名において，秘密指数dと, 公開鍵nと, データcとから，署名データmを生成する，公開鍵暗号を用いた署名作成装置であって，
   前記データcをランダム化されたデータtに変換する処理部と，
   ランダム化されたデータtをランダム化された署名uに変換する処理部と，
   ランダム化された署名uを署名mに変換する処理部と，を有し，
   前記ランダム化されたデータtに変換する処理部は，
   乱数rを生成する処理部と，
   前記乱数rと前記乱数rより導出された整数sを用いてランダム化されたデータtに変換する処理部とを含み，
   前記ランダム化された署名uに変換する処理部は，
   前記秘密指数dより導出された値を用いてランダム化された署名uを計算する処理部を含み，
   前記署名mに変換する処理部は，
   ランダム化された署名uに前記整数sを乗ずる処理部を含む
   ことを特徴とする公開鍵暗号を用いた署名作成装置。

Images