JP4861272B2 - 楕円曲線暗号演算装置、方法、プログラム - Google Patents

Description

この発明は、情報セキュリティ技術に関する。特に、有限体上定義された楕円曲線上の点についてスカラーｋ倍算を行う際の、電力解析法等による実装攻撃を防止する楕円曲線暗号演算装置、方法、プログラムに関する。

ｐを３以上の素数とする有限体ＧＦ（ｐ）のｍ次拡大体であるＧＦ（ｐ^ｍ）上で定義された楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上のベースポイントＰのスカラーｋ倍算ｋ×Ｐを行う楕円曲線演算方法として、次のような方法が知られている。

ｋ×Ｐをフロベニウス写像を用いてφ進展開した式の各項に、予め生成した事前計算テーブルを参照して楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の参照点を代入する。そして、楕円２倍算と楕円加算とを交互に繰り返すことにより、ｋ×Ｐを計算する方法である（例えば、特許文献１及び特許文献２参照。）。
特許第３１４５３６８号公報 特許第３６０４１２６号公報

一般に楕円２倍算の処理と楕円加算の処理とでは、楕円加算の処理の方が重く、消費電力が大きいことが知られている。このため、参照点に無限遠点Ｏが含まれていない場合には、楕円２倍算と楕円加算とが交互に繰り返されることにより、図５Ａに例示するように消費電力が小さい波形と消費電力が大きい波形とが交互に続く。一方、参照点に無限遠点Ｏが含まれている場合には、参照点が無限遠点Ｏである箇所で楕円加算が行われないため、その箇所で楕円２倍算が続く。このため、図５Ｂに例示するように消費電力が小さい波形が続く。図５Ａ，Ｂの縦軸は消費電力、横軸は時間を表す。

したがって、消費電力が小さい波形が続く箇所を調べることにより、無限遠点Ｏである参照点を知ることができる。無限遠点Ｏである参照点についての情報は、秘密鍵であるスカラー倍指数ｋの解読を容易にする。すなわち、無限遠点Ｏである参照点が判明するほど、秘密鍵であるスカラー倍指数ｋの探索空間が狭まり、安全性が低下するという問題がある。この攻撃方法は、単純電力解析法（SPA:Simple Power Analysis）として知られている。

この発明は、単純電力解析法に対して耐性を有する楕円曲線暗号演算装置、方法、プログラムを提供することを目的とする。

本発明によれば、ｐを２以上の素数とする有限体ＧＦ（ｐ）のｍ次拡大体であるＧＦ（ｐ^ｍ）上で定義された楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上のベースポイントＰのスカラーｋ倍算を行うために、事前計算テーブル生成手段が、ベースポイントＰを基にしてフロベニウス写像φを用いた式として定義される、楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の、無限遠点Ｏを含む２^ｍ個の参照点Ｐ_ｕ（ｕ＝０，１，…，２^ｍ−２，２^ｍ−１）

をそれぞれ求めて、式Σ_ｉ＝０ ^ｍ−１ｕ_ｉφ^ｉ（Ｐ）と参照点Ｐ_ｕとを各ｕごとに対応させた事前計算テーブルを生成する。φ進展開手段が、ｒをｌｏｇ_２（ｐ−１）の整数部分以上の整数として、ベースポイントＰのスカラーｋ倍算ｋ×Ｐを、非負整数の展開係数を用いてφ進展開して、該非負整数の展開係数をバイナリ展開することにより得られる展開式

を満たすｃ_ｉｊ（ｉ＝０，…ｍ−１，ｊ＝０，…，ｒ）を求める。参照点列生成手段が、求まったｃ_ｉｊから定まる各式Ｐ^♯ _ｃ（ｊ）に対応する参照点Ｐ_ｃ（ｊ）を生成された事前演算テーブルを参照してそれぞれ求める。第一参照点列変換手段が、上記参照して求まった参照点Ｐ_ｃ（ｊ）の列｛Ｐ_ｃ（ｒ），Ｐ_{ｃ（ｒ−１）}，…，Ｐ_ｃ（１），Ｐ_ｃ（０）｝（以下、参照点列とする。）の中の１つまたは連続する複数の参照点Ｐ_ｃ（ｊ）（ｊはＪ２≧ｊ≧Ｊ１を満たす整数、Ｊ２，Ｊ１はｒ≧Ｊ２≧Ｊ１≧１を満たす整数、Ｐ_{ｃ（Ｊ１−１）}≠Ｏとする。）が無限遠点Ｏである場合には、ｊ＝Ｊ２の参照点Ｐ_ｃ（ｊ）を点Ｐ_{ｃ（Ｊ１−１）}に変換すると共に、Ｊ２−１≧ｊ≧Ｊ１−１の各参照点Ｐ_ｃ（ｊ）を点−Ｐ_{ｃ（Ｊ１−１）}に変換する。メイン計算手段が、展開式の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に、参照して求まった参照点Ｐ_ｃ（ｊ）、又は、参照して求まった参照点Ｐ_ｃ（ｊ）が第一参照点列変換手段により変換された場合には変換された点、をそれぞれ代入した式を、楕円２倍算と楕円加算とを交互に行うことにより計算する。
また、第二参照点列変換手段が、参照点列の中の１つまたは連続する複数の参照点Ｐ _ｃ（ｊ） （ｊはＪ３≧ｊ≧０を満たす整数、Ｊ３はｒ≧Ｊ３≧０を満たす整数とする。）が無限遠点Ｏである場合には、ｊ＝Ｊ３の参照点Ｐ _ｃ（ｊ） を楕円曲線Ｅ／ＧＦ（ｐ ^ｍ ）上の無限遠点Ｏではない任意の点Ｐ’に変換すると共に、Ｊ３≧１である場合にはＪ３−１≧ｊ≧０の各参照点Ｐ _ｃ（ｊ） を点−Ｐ’に変換し、メイン計算手段は、展開式の各式Ｐ ^♯ _ｃ（ｊ） （ｊ＝０，…，ｒ）に、参照して求まった参照点Ｐ _ｃ（ｊ） 、又は、参照して求まった参照点Ｐ _ｃ（ｊ） が第一参照点列変換手段又は第二参照点列変換手段により変換された場合には変換された点、をそれぞれ代入した式を、楕円２倍算と楕円加算とを交互に行うことにより計算し、その計算結果に点−Ｐ’を加算する。

参照点列中の一部又は全部の無限遠点Ｏを、無限遠点Ｏ以外の楕円曲線Ｅ／Ｇ（ｐ^ｍ）上の点に置き換えることにより、楕円２倍算が続く箇所の数を少なくすること又はなくすことができる。これにより、消費電力の波形の変化の態様がより一定となり、秘密鍵であるスカラー倍指数ｋの解読を困難にする。

［第一実施例］
図１，２を参照して、この発明の一実施例である楕円曲線暗号演算装置１０について説明をする。図１は、楕円曲線暗号演算装置１０の機能構成を例示する図である。図１に例示するように、楕円曲線暗号演算装置１０は、記憶部１、事前計算テーブル生成部２、事前計算テーブル記憶部３、φ進展開部４、参照点列生成部５、第一参照点列変換部６、メイン計算部８からなる。図２は、楕円曲線暗号演算装置１０の処理の流れを例示するフローチャートである。

楕円曲線暗号演算装置１０は、ｐを２以上の素数とする有限体ＧＦ（ｐ）のｍ次拡大体であるＧＦ（ｐ^ｍ）上で定義された楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の点Ｐ（以下、点ＰをベースポイントＰとも呼ぶ。）についてスカラーｋ倍算を行い、すなわち、ｋ×Ｐの計算を行う装置である。

記憶部１には、有限体パラメータである標数ｐ及び拡大次数ｍ、楕円パラメータＥが記憶されている。楕円パラメータＥとは、例えば、無限遠点をＯとして、楕円曲線Ｅ／ＧＦ（ｐ^ｍ）を
Ｅ／ＧＦ（ｐ^ｍ）＝｛（ｘ，ｙ）∈ＧＦ（ｐ^ｍ）^２｜ｙ^２＝ｘ^３＋ａｘ＋ｂ｝∪Ｏ
と表した場合のａ，ｂ∈ＧＦ（ｐ^ｍ）のことである。ただし、ａ，ｂは４ａ^３＋２７ｂ^２≠０の関係を満たす。

標数ｐが大きければ大きいほど、セキュリティの強度を確保するために必要とされる拡大次数ｍを小さくすることができ、これにより後述する事前計算テーブルのサイズを小さくすることができる。例えば、標数ｐをＣＰＵのレジスタサイズに合わせて最適化したある程度大きな値とする。例えば、６４ビットＣＰＵであれば、標数ｐ＝２^６１−１とする。この場合、拡大次数ｍ＝５とすれば十分なセキュリティの強度を確保することができる。拡大次数ｍ＝５の場合、後述する事前計算テーブルに登録される参照点の数は高々２^５＝３２個となる。

＜ステップＳ１＞
事前計算テーブル生成部２は、入力されたベースポイントＰを基にしてフロベニウス（Frobenius）写像φを用いて下記の展開式により定義される、楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の無限遠点Ｏを含む２^ｍ個の参照点Ｐ_ｕ（ｕ＝０，１，…，２^ｍ−２，２^ｍ−１）を求める。すなわち、式Σ_ｉ＝０ ^ｍ−１ｕ_ｉφ^ｉ（Ｐ）に対応する参照点Ｐ_ｕを各ｕごとにそれぞれ求める。その際必要に応じて、記憶部１から有限体パラメータである標数ｐ及び拡大次数ｍ、楕円パラメータＥが読み込まれる。

フロベニウス写像φは、ｘ，ｙ∈ＧＦ（ｐ^ｍ）として、φ：（ｘ，ｙ）→（ｘ^ｐ，ｙ^ｐ）により定義される写像である。一般に、楕円曲線上の点Ｐ，Ｑに対して、φ（Ｐ＋Ｑ）＝φ（Ｐ）＋φ（Ｑ）という性質と、Σ_ｉ＝０ ^ｍ−１φ^ｉ（Ｐ）＝Ｏという性質とを持つ。これらの性質を用いると、参照点Ｐ_ｕの計算が容易となる。

例えば、ｍ＝５のとき、以下のように各Ｐ_ｕ（ｕ＝０，１，…，３０，３１）をそれぞれ求めることができる。

Ｐ_０＝Ｏ
Ｐ_１＝φ^０（Ｐ）＝Ｐ
Ｐ_２＝φ^１（Ｐ）＝φ（Ｐ）
Ｐ_３＝φ^１（Ｐ）＋φ^０（Ｐ）＝φ（Ｐ）＋Ｐ
Ｐ_４＝φ^２（Ｐ）＝φ（φ（Ｐ））＝φ（Ｐ_２）
Ｐ_５＝φ^２（Ｐ）＋φ^０（Ｐ）＝φ（Ｐ_２）＋Ｐ
Ｐ_６＝φ^２（Ｐ）＋φ^１（Ｐ）＝φ（φ^１（Ｐ）＋φ^０（Ｐ））＝φ（Ｐ_３）
Ｐ_７＝φ^２（Ｐ）＋φ^１（Ｐ）＋φ^０（Ｐ）＝−φ^４（Ｐ）−φ^３（Ｐ）＋φ^４（Ｐ）＋φ^３（Ｐ）＋φ^２（Ｐ）＋φ^１（Ｐ）＋φ^０（Ｐ）＝−φ^４（Ｐ）−φ^３（Ｐ）＝−φ^３（φ（Ｐ）＋Ｐ）＝−φ^３（Ｐ_３）
…
Ｐ_３０＝φ^４（Ｐ）＋φ^３（Ｐ）＋φ^２（Ｐ）＋φ^１（Ｐ）＝φ^４（Ｐ）＋φ^３（Ｐ）＋φ^２（Ｐ）＋φ^１（Ｐ）＋φ^０（Ｐ）−φ^０（Ｐ）＝−φ^０（Ｐ）＝−Ｐ
Ｐ_３１＝φ^４（Ｐ）＋φ^３（Ｐ）＋φ^２（Ｐ）＋φ^１（Ｐ）＋φ^０（Ｐ）＝Ｏ
Ｐ_６の式変形において、φ（Ｐ＋Ｑ）＝φ（Ｐ）＋φ（Ｑ）という上記したフロベニウス写像φの性質を利用している。また、Ｐ_７，Ｐ_３０，Ｐ_３１の式変形において、Σ_ｉ＝０ ^５−１φ^ｉ（Ｐ）＝φ^４（Ｐ）＋φ^３（Ｐ）＋φ^２（Ｐ）＋φ^１（Ｐ）＋φ^０（Ｐ）＝Ｏという上記したフロベニウス写像φの性質を利用している。

これらのフロベニウス写像φの性質を適宜利用して式Σ_ｉ＝０ ^ｍ−１ｕ_ｉφ^ｉ（Ｐ）を変形することにより、参照点Ｐ_ｕを求めるための楕円加算の回数を減らすことができる。

このように、事前計算テーブル生成部２は、各式Σ_ｉ＝０ ^ｍ−１ｕ_ｉφ^ｉ（Ｐ）に対応する参照点Ｐ_ｕをそれぞれ求め、これにより、式Σ_ｉ＝０ ^ｍ−１ｕ_ｉφ^ｉ（Ｐ）と参照点Ｐ_ｕとを各ｕごとに対応付けた事前計算テーブルを生成する。生成された事前計算テーブルは、事前計算テーブル記憶部３に記憶される。

＜ステップＳ２＞
φ進展開部４は、ベースポイントＰのスカラーｋ倍算ｋ×Ｐを、非負整数の展開係数を用いてφ進展開して、該非負整数の展開係数をバイナリ展開することにより得られる展開式

を満たすｃ_ｉｊ（ｉ＝０，…ｍ−１，ｊ＝０，…，ｒ）を求める。求まったｃ_ｉｊは、参照点列生成部５とメイン計算部８に送られる。また、ｒについてもメイン計算部８に送られる。
ｃ_ｉｊを求めるまでの過程を以下に述べる。

まずφ進展開部４はｋ×Ｐを、以下のようにφ進展開する。

展開係数ｃ_ｉを求めるためにまず、ｋ＝ｘ_０＋ｙ_０φ（ただし、初期値：ｘ_０＝ｋ，ｙ_０＝０）を、
ｘ_０＋ｙ_０φ＝ｃ_０＋（ｘ_１＋ｙ_１φ）φ
ｃ_０≡ｋ（ｍｏｄ ｐ）， −（ｐ−１）／２≦ｃ_０≦（ｐ−１）／２
と変換する。φが特性方程式φ^２−ｔφ＋ｐ＝０を満たすことを用いると、ｘ_１，ｙ_１は、
ｘ_１＝ｙ_０＋ｔ（（ｘ_０−ｃ_０）／ｐ）
ｙ_１＝−（ｘ_０−ｃ_０）／ｐ
と表される。特性方程式に現れるｔは楕円曲線に固有の値（トレース）であり、♯Ｅ（ＧＦ（ｐ^ｍ））＝ｐ＋１−ｔを満たす。

ｉ＝１，…，Ｍ（Ｍ≦２ｍ＋３）についても、
ｘ_ｉ＋ｙ_ｉφ＝ｃ_ｉ＋（ｘ_ｉ＋１＋ｙ_ｉ＋１φ）φ
ｃ_ｉ≡ｋ（ｍｏｄ ｐ）， −（ｐ−１）／２≦ｃ_ｉ≦（ｐ−１）／２
ｘ_ｉ＝ｙ_ｉ＋ｔ（（ｘ_ｉ−ｃ_ｉ）／ｐ）
ｙ_ｉ＝−（ｘ_ｉ−ｃ_ｉ）／ｐ
上記の関係が成立する。これらの関係をｘ_ｉ＝０，ｙ_ｉ＝０となるまで繰り返し用いることにより、各展開係数ｃ_ｉを求めることができる（例えば、特許文献１参照。）。

次にφ進展開部４は、展開係数ｃ_ｉの最小値ｃ_ｍｉｎを用いて、各展開係数ｃ_ｉをｃ_ｉ＝ｃ_ｉ−ｃ_ｍｉｎにより非負整数化する。φ^ｍ（Ｐ^＄）＝Ｐ^＄（ここで、Ｐ^＄は楕円曲線上の任意の点）というフロベニウス写像の性質を用いると、
ｉ＝ｍ＋ｊ（０≦ｊ≦ｍ−１）なるｉに対して、φ^ｉ＝φ^ｊ（φ^ｍＰ）＝φ^ｊＰ
ｉ＝２ｍ＋ｊ（０≦ｊ≦３）なるｉに対して、φ^ｉ＝φ^ｊ（φ^ｍ（φ^ｍＰ））＝φ^ｊＰ
が成り立つ。したがって、ｃ_ｉ＝ｃ_ｉ＋ｃ_ｉ＋ｍ＋ｃ_ｉ＋２ｍと書き直せば、Σ_ｉ＝０ ^２ｍ＋３ｃ_ｉφ^ｉＰ＝Σ_ｉ＝０ ^ｍ−１ｃ_ｉφ^ｉＰと変形できる。

であるため、各展開係数ｃ_ｉをｃ_ｉ＝ｃ_ｉ−ｃ_ｍｉｎと非負整数化してもｋ×Ｐの計算結果は変わらない。

最後にφ進展開部４は、展開係数ｃ_ｉをｃ_ｉ＝Σ_ｊ＝０ ^ｒ２^ｊｃ_ｉｊ，ｃ_ｉｊ＝｛０，１｝とバイナリ展開して、ｋ×Ｐを以下のように表す。

ただし、式Ｐ^♯ _ｃ（ｊ）は、

である。また、ｒは、ｌｏｇ_２（ｐ−１）の整数部分以上の整数である。すなわち、ｒは、

を満たす整数である。

例えばこのようにして、φ進展開部４は上記（１）式を満たすｃ_ｉｊ（ｉ＝０，…ｍ−１，ｊ＝０，…，ｒ）を求める。

＜ステップＳ３＞
参照点列生成部５は、各式Ｐ^♯ _ｃ（ｊ）（ｊ＝ｒ，ｒ−１，…，１，０）に対応する参照点Ｐ_ｃ（ｊ）を、事前計算テーブル記憶部３に格納された事前計算テーブルを参照してそれぞれ求める。求まった参照点Ｐ_ｃ（ｊ）の列｛Ｐ_ｃ（ｒ），Ｐ_{ｃ（ｒ−１）}，…，Ｐ_ｃ（１），Ｐ_ｃ（０）｝（以下、参照点列とする。）は、第一参照点列変換部６に送られる。

＜ステップＳ４＞
第一参照点列変換部６は、参照点列の中１つ又は連続する参照点Ｐ_ｃ（ｊ）が無限遠点Ｏである場合には、それらの参照点と、それらの参照点の下位側に隣接する参照点とを次のように無限遠点Ｏ以外の点に置き換える。

参照点列中の１つ又は連続する複数の参照点Ｐ_{ｃ（Ｊ２）}〜参照点Ｐ_{ｃ（Ｊ１）}が、無限遠点Ｏであるとする。ここで、Ｊ２，Ｊ１は、ｒ≧Ｊ２≧Ｊ１≧１を満たす整数であり、参照点Ｐ_{ｃ（Ｊ１−１）}≠Ｏとする。この場合、第一参照点列変換部６は、参照点Ｐ_{ｃ（Ｊ２）}を点Ｐ_{ｃ（Ｊ１−１）}に変換する。また、第一参照点列変換部６は、参照点Ｐ_{ｃ（Ｊ２−１）}〜参照点Ｐ_{ｃ（Ｊ１−１）}を点−Ｐ_{ｃ（Ｊ１−１）}に変換する。変換された参照点列は、メイン計算部８に送られる。

ｊ＝Ｊ２ → Ｐ_ｃ（ｊ）＝Ｐ_{ｃ（Ｊ１−１）}
Ｊ２−１≧ｊ≧Ｊ１−１ → Ｐ_ｃ（ｊ）＝−Ｐ_{ｃ（Ｊ１−１）}
以下、図３に例示するように、ｒ＝８であり、事前計算テーブルを参照した結果、（Ｐ^♯ _ｃ（８），Ｐ^♯ _ｃ（７），Ｐ^♯ _ｃ（６），Ｐ^♯ _ｃ（５），Ｐ^♯ _ｃ（４），Ｐ^♯ _ｃ（３），Ｐ^♯ _ｃ（２），Ｐ^♯ _ｃ（１），Ｐ^♯ _ｃ（０））に（Ｐ_３，Ｐ_０（＝Ｏ），Ｐ_０（＝Ｏ），Ｐ_０（＝Ｏ），Ｐ_７，Ｐ_０（＝Ｏ），Ｐ_０（＝Ｏ），Ｐ_１２，Ｐ_６）がそれぞれ対応させられている場合を例に挙げて説明をする。

この参照点列は、（Ｏ，Ｏ，Ｏ，Ｐ_７）という参照点のパターンを含む。これらの参照点は、第一参照点列変換部６により、（Ｐ_７，−Ｐ_７，−Ｐ_７，−Ｐ_７）と変換される。また、この参照点列は、（Ｏ，Ｏ，Ｐ_１２）という参照点のパターンを含む。これらの参照点は、第一参照点列変換部６により、（Ｐ_１２，−Ｐ_１２，−Ｐ_１２）と変換される。

この結果、（Ｐ^♯ _ｃ（８），Ｐ^♯ _ｃ（７），Ｐ^♯ _ｃ（６），Ｐ^♯ _ｃ（５），Ｐ^♯ _ｃ（４），Ｐ^♯ _ｃ（３），Ｐ^♯ _ｃ（２），Ｐ^♯ _ｃ（１），Ｐ^♯ _ｃ（０））に（Ｐ_３，Ｐ_７，−Ｐ_７，−Ｐ_７，−Ｐ_７，Ｐ_１２，−Ｐ_１２，−Ｐ_１２，Ｐ_６）がそれぞれ対応することになる。

このように第一参照点列変換部６により参照点を変換しても、ｋ×Ｐの計算結果が変わらない理由については後述する。

＜ステップＳ５＞
メイン計算部８は、上記（１）式の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に、事前計算テーブルを参照することにより求まった参照点Ｐ_ｃ（ｊ）、又は、参照点Ｐ_ｃ（ｊ）が第一参照点列変換部６により変換された場合にはその変換された点を代入した式を計算することにより、ｋ×Ｐを計算する。すなわち、上記（１）式の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に最終的に対応する点を代入した式を計算することにより、ｋ×Ｐを計算する。

参照点列が図３に例示する参照列である場合には、第一参照点列変換部６により参照点が変換された結果、メイン計算部８は、

を計算することになる。

メイン計算部８は、例えば、楕円２倍算と楕円加算を繰り返し行う次の処理を行うことにより、上記（１）式の各式Ｐ^♯ _ｃ（ｊ）に参照点Ｐ_ｃ（ｊ）又は変換された点を代入した式を計算する。点Ｐ^＊ _ｃ（ｊ）は、式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に最終的に対応する点のことである。下記の処理が終了したときのＱが、ｋ×Ｐの演算結果となる。

Ｑ＝Ｐ^＊ _ｃ（ｒ）
ｆｏｒ ｊ＝ｒ−１ ｔｏ ０ ｛
Ｑ＝２Ｑ
Ｑ＝Ｑ＋Ｐ^＊ _ｃ（ｊ）
｝
この実施例によれば、Ｐ_ｃ（０）が無限遠点Ｏでない場合には、各Ｐ^＊ _ｃ（ｊ）は無限遠点Ｏではないため、メイン計算部８は、各Ｐ^＊ _ｃ（ｊ）（ｊ＝ｒ−１，…，０）について、楕円２倍算（Ｑ＝２Ｑ）と楕円加算（Ｑ＝Ｑ＋Ｐ^＊ _ｃ（ｊ））の両方の処理を行う。このため、消費電力の変化の態様が一定となり、攻撃者が単純電力解析をしても秘密鍵であるスカラー倍指数ｋを解読するための情報を得ることはできなくなる。

また、Ｐ_ｃ（０）が無限遠点Ｏである場合には、単純電力解析により無限遠点である参照列Ｐ_ｃ（ｊ）が判明する可能性がある。しかし、無限遠点Ｏであることが判明する可能性があるのは、後述するように、Ｐ_ｃ（０）を含む１つ又は複数の連続する無限遠点である参照点だけであり、依然として秘密鍵であるスカラー倍指数ｋを解読するのは困難である。

これらの点において、この実施例による楕円曲線暗号演算装置は、単純電力解析攻撃に対して耐性を有するということができる。また、フォルト混入させればｋ×Ｐの最終的な結果が変わるため、セーフエラー攻撃も通用しない。

《第一参照点列変換部６により参照点を変換してもｋ×Ｐの計算結果が変わらない理由について》
Σ_ｉ＝０ ^ａ−１２^ｉ＝２^ａ−１
という等比数列の和の公式がある。これを式変形すると、
２^ａ−（２^ａ−１＋２^ａ−２＋…＋２＋１）＝１
という関係が得られる。したがって、楕円曲線Ｅ／Ｇ（ｐ^ｍ）上の点Ｐ”についても、
２^ａＰ”−（２^ａ−１＋２^ａ−２＋…＋２＋１）Ｐ”＝Ｐ”
という関係が成立する。このため、第一参照点列変換部６により参照点を変換してもｋ×Ｐの計算結果が変わらないのである。

例えば、これを上記式（２）にあてはめると、

となり、上記（１）式の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に、第一参照点列変換部６により変換される前の参照点を代入した式

と同値であることがわかる。

［第二実施例］
第二実施例による楕円曲線暗号演算装置は、第一参照点列変換部６により変換された参照点列をさらに変換する第二参照点列変換部７を備え、メイン計算部８が第二参照点列変換部７による参照点列の変換によりｋ×Ｐの計算結果が変化しないように補正をする点で、第一実施例による楕円曲線暗号演算装置１０とは異なる。他の点については、第一実施例による楕円曲線暗号演算装置１０と同様であるため重複説明を省略する。以下、第一実施例と異なる部分について説明をする。

第一参照点列変換部６により変換された参照点列は、第二参照点列変換部７に送られる。例えば、参照点列生成部５により生成された参照点列が図４の上段に例示する参照点列（変換前の参照点列）であるとする。この変換前の参照点列は、第一参照点列変換部６により図４の中段に示す参照点列（変換後１の参照点列）に変換される。

第二参照点列変換部７は、受け取った参照点列の中の１つまたは連続する複数の参照点Ｐ_ｃ（ｊ）（ｊはＪ３≧ｊ≧０を満たす整数、Ｊ３はｒ≧Ｊ３≧０を満たす整数とする。）が無限遠点Ｏである場合には、ｊ＝Ｊ３の参照点Ｐ_ｃ（ｊ）を上記楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の無限遠点Ｏではない任意の点Ｐ’に変換すると共に、Ｊ３≧１である場合にはＪ３−１≧ｊ≧０の各参照点Ｐ_ｃ（ｊ）を点−Ｐ’に変換する。変換された参照点列は、メイン計算部８に送られる。

例えば、図４の中段に示した（変換後１の参照点列）は、（Ｏ，Ｏ，Ｏ，Ｏ）という参照点のパターンを含む。これらの参照点は、（Ｐ’，−Ｐ’，−Ｐ’，−Ｐ’）とそれぞれ変換される。

この結果、（Ｐ^♯ _ｃ（８），Ｐ^♯ _ｃ（７），Ｐ^♯ _ｃ（６），Ｐ^♯ _ｃ（５），Ｐ^♯ _ｃ（４），Ｐ^♯ _ｃ（３），Ｐ^♯ _ｃ（２），Ｐ^♯ _ｃ（１），Ｐ^♯ _ｃ（０））に（Ｐ_３，Ｐ_１１，−Ｐ_１１，Ｐ_６，−Ｐ_６，Ｐ’，−Ｐ’，−Ｐ’，−Ｐ’）がそれぞれ対応することになる。

メイン計算部８は、上記式（１）の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に、参照点列生成部５が参照して求まった参照点Ｐ_ｃ（ｊ）、又は、上記参照して求まった参照点Ｐ_ｃ（ｊ）が第一参照点列変換部６又は第二参照点列変換部７により変換された場合には上記変換された点、をそれぞれ代入した式を楕円２倍算と楕円加算を交互に行うことにより計算して、その計算結果に点−Ｐ’を加算する。

第二参照点列変換部７により参照点を変換した場合に、−Ｐ’を加算する必要がある理由については後述する。

例えば、参照点列が図４に例示する参照点列である場合には、第一参照点列変換部６及び第二参照点列変換部７により参照点が変換された結果、メイン計算部８は、

を計算することになる。

この実施例によれば、Ｐ_ｃ（０）が無限遠点Ｏであるかどうかを問わず、各Ｐ^＊ _ｃ（ｊ）は無限遠点Ｏではないため、メイン計算部８は、各Ｐ^＊ _ｃ（ｊ）（ｊ＝ｒ−１，…，０）について、楕円２倍算（Ｑ＝２Ｑ）と楕円加算（Ｑ＝Ｑ＋Ｐ^＊ _ｃ（ｊ））の両方の処理を行う。このため、消費電力の変化の態様が一定となり、攻撃者が単純電力解析をしても秘密鍵であるスカラー倍指数ｋを解読するための情報を得ることはできなくなる。

《第二参照点列変換部７により参照点を変換するとｋ×Ｐの計算結果に−Ｐ’を加算する必要がある理由について》
上記説明したように、楕円曲線Ｅ／Ｇ（ｐ^ｍ）上の点Ｐ”について、
２^ａＰ”−（２^ａ−１＋２^ａ−２＋…＋２＋１）Ｐ”＝Ｐ”
という関係が成立する。このため、第二参照点列変換部７により参照点を変換した場合のｋ×Ｐの計算結果は、第二参照点列変換部７により参照点を変換しなかった場合のｋ×Ｐの計算結果と比較して＋Ｐ’だけずれる。このため、第二参照点列変換部７により参照点を変換するとｋ×Ｐの計算結果に−Ｐ’を加算する必要があるのである。

［変形例等］
有限体パラメータｐ，ｍ、楕円パラメータＥに関わらず、常に、Ｐ_０＝Ｏ，Ｐ_１＝Ｐ，Ｐ_{２＾ｍ−２}＝−Ｐ，Ｐ_{２＾ｍ−１}＝Ｏである。このため、事前計算テーブル生成部２は、これらの参照点の全部又は一部については事前計算をしなくてもよい。この場合の事前計算テーブルは、これらの参照点の全部又は一部以外の各参照点と、式Σ_ｉ＝０ ^ｍ−１ｕ_ｉφ^ｉ（Ｐ）とをそれぞれ対応付けたものとなる。この場合、参照点列生成部５は、これらの参照点の全部又は一部を求めるために事前計算テーブルを参照しないで、Ｐ_０＝Ｏ，Ｐ_１＝Ｐ，Ｐ_{２＾ｍ−２}＝−Ｐ，Ｐ_{２＾ｍ−１}＝Ｏであるとして参照点列を生成する。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ
−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

また、上述した実施形態とは別の実行形態として、コンピュータが可搬型記録媒体から直接このプログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

楕円曲線暗号装置の一実施例の機能構成を例示する図。 楕円曲線暗号装置の一実施例の処理の流れを例示する図。 ｒ＝８の場合の、変換前の参照点列、及び、第一参照点列変換部６による変換後の参照点列を例示する図。 ｒ＝８の場合の、変換前の参照点列、第一参照点列変換部６による変換後の参照点列、及び、第二参照点列変換部７による変換後の参照点列を例示する図。 Ａは、参照点列に無限遠点を含まない場合の消費電力の波形を例示する図。Ｂは、参照点列に無限遠点を含む場合の消費電力の波形を例示する図。

Claims (3)

1. ｐを２以上の素数とする有限体ＧＦ（ｐ）のｍ次拡大体であるＧＦ（ｐ^ｍ）上で定義された楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上のベースポイントＰのスカラーｋ倍算を行う楕円曲線暗号演算装置であって、
   上記ベースポイントＰを基にしてフロベニウス写像φを用いた式として定義される、楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の、無限遠点Ｏを含む２^ｍ個の参照点Ｐ_ｕ（ｕ＝０，１，…，２^ｍ−２，２^ｍ−１）
   

   

   
   をそれぞれ求めて、式Σ_ｉ＝０ ^ｍ−１ｕ_ｉφ^ｉ（Ｐ）と参照点Ｐ_ｕとを各ｕごとに対応させた事前計算テーブルを生成する事前計算テーブル生成手段と、
   ｒをｌｏｇ_２（ｐ−１）の整数部分以上の整数として、上記ベースポイントＰのスカラーｋ倍算ｋ×Ｐを、非負整数の展開係数を用いてφ進展開して、該非負整数の展開係数をバイナリ展開することにより得られる展開式
   

   

   
   を満たすｃ_ｉｊ（ｉ＝０，…ｍ−１，ｊ＝０，…，ｒ）を求めるφ進展開手段と、
   上記求まったｃ_ｉｊから定まる各式Ｐ^♯ _ｃ（ｊ）に対応する参照点Ｐ_ｃ（ｊ）を上記生成された事前演算テーブルを参照してそれぞれ求める参照点列生成手段と、
   上記参照して求まった参照点Ｐ_ｃ（ｊ）の列｛Ｐ_ｃ（ｒ），Ｐ_{ｃ（ｒ−１）}，…，Ｐ_ｃ（１），Ｐ_ｃ（０）｝（以下、参照点列とする。）の中の１つまたは連続する複数の参照点Ｐ_ｃ（ｊ）（ｊはＪ２≧ｊ≧Ｊ１を満たす整数、Ｊ２，Ｊ１はｒ≧Ｊ２≧Ｊ１≧１を満たす整数、Ｐ_{ｃ（Ｊ１−１）}≠Ｏとする。）が無限遠点Ｏである場合には、ｊ＝Ｊ２の参照点Ｐ_ｃ（ｊ）を点Ｐ_{ｃ（Ｊ１−１）}に変換すると共に、Ｊ２−１≧ｊ≧Ｊ１−１の各参照点Ｐ_ｃ（ｊ）を点−Ｐ_{ｃ（Ｊ１−１）}に変換する第一参照点列変換手段と、
   上記展開式の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に、上記参照して求まった参照点Ｐ_ｃ（ｊ）、又は、上記参照して求まった参照点Ｐ_ｃ（ｊ）が上記第一参照点列変換手段により変換された場合には上記変換された点、をそれぞれ代入した式を、楕円２倍算と楕円加算とを交互に行うことにより計算するメイン計算手段と、
   を備え、
   上記参照点列の中の１つまたは連続する複数の参照点Ｐ_ｃ（ｊ）（ｊはＪ３≧ｊ≧０を満たす整数、Ｊ３はｒ≧Ｊ３≧０を満たす整数とする。）が無限遠点Ｏである場合には、ｊ＝Ｊ３の参照点Ｐ_ｃ（ｊ）を上記楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の無限遠点Ｏではない任意の点Ｐ’に変換すると共に、Ｊ３≧１である場合にはＪ３−１≧ｊ≧０の各参照点Ｐ_ｃ（ｊ）を点−Ｐ’に変換する第二参照点列変換手段、をさらに備え、
   上記メイン計算手段は、上記展開式の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に、上記参照して求まった参照点Ｐ_ｃ（ｊ）、又は、上記参照して求まった参照点Ｐ_ｃ（ｊ）が上記第一参照点列変換手段又は上記第二参照点列変換手段により変換された場合には上記変換された点、をそれぞれ代入した式を、楕円２倍算と楕円加算とを交互に行うことにより計算し、その計算結果に点−Ｐ’を加算する手段である、
   ことを特徴とする楕円曲線暗号演算装置。
2. ｐを２以上の素数とする有限体ＧＦ（ｐ）のｍ次拡大体であるＧＦ（ｐ^ｍ）上で定義された楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上のベースポイントＰのスカラーｋ倍算を行う楕円曲線暗号演算方法であって、
   事前計算テーブル生成手段が、上記ベースポイントＰを基にしてフロベニウス写像φを用いた式として定義される、楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の、無限遠点Ｏを含む２^ｍ個の参照点Ｐ_ｕ（ｕ＝０，１，…，２^ｍ−２，２^ｍ−１）
   

   

   
   をそれぞれ求めて、式Σ_ｉ＝０ ^ｍ−１ｕ_ｉφ^ｉ（Ｐ）と参照点Ｐ_ｕとを各ｕごとに対応させた事前計算テーブルを生成する事前計算テーブル生成ステップと、
   φ進展開手段が、ｒをｌｏｇ_２（ｐ−１）の整数部分以上の整数として、上記ベースポイントＰのスカラーｋ倍算ｋ×Ｐを、非負整数の展開係数を用いてφ進展開して、該非負整数の展開係数をバイナリ展開することにより得られる展開式
   

   

   
   を満たすｃ_ｉｊ（ｉ＝０，…ｍ−１，ｊ＝０，…，ｒ）を求めるφ進展開ステップと、
   参照点列生成手段が、上記求まったｃ_ｉｊから定まる各式Ｐ^♯ _ｃ（ｊ）に対応する参照点Ｐ_ｃ（ｊ）を上記生成された事前演算テーブルを参照してそれぞれ求める参照点列生成ステップと、
   第一参照点列変換手段が、上記参照して求まった参照点Ｐ_ｃ（ｊ）の列｛Ｐ_ｃ（ｒ），Ｐ_{ｃ（ｒ−１）}，…，Ｐ_ｃ（１），Ｐ_ｃ（０）｝（以下、参照点列とする。）の中の１つまたは連続する複数の参照点Ｐ_ｃ（ｊ）（ｊはＪ２≧ｊ≧Ｊ１を満たす整数、Ｊ２，Ｊ１はｒ≧Ｊ２≧Ｊ１≧１を満たす整数、Ｐ_{ｃ（Ｊ１−１）}≠Ｏとする。）が無限遠点Ｏである場合には、ｊ＝Ｊ２の参照点Ｐ_ｃ（ｊ）を点Ｐ_{ｃ（Ｊ１−１）}に変換すると共に、Ｊ２−１≧ｊ≧Ｊ１−１の各参照点Ｐ_ｃ（ｊ）を点−Ｐ_{ｃ（Ｊ１−１）}に変換する第一参照点列変換ステップと、
   メイン計算手段が、上記展開式の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に、上記参照して求まった参照点Ｐ_ｃ（ｊ）、又は、上記参照して求まった参照点Ｐ_ｃ（ｊ）が上記第一参照点列変換ステップにより変換された場合には上記変換された点、をそれぞれ代入した式を、楕円２倍算と楕円加算とを交互に行うことにより計算するメイン計算ステップと、
   を有し、
   第二参照点列変換手段が、上記参照点列の中の１つまたは連続する複数の参照点Ｐ_ｃ（ｊ）（ｊはＪ３≧ｊ≧０を満たす整数、Ｊ３はｒ≧Ｊ３≧０を満たす整数とする。）が無限遠点Ｏである場合には、ｊ＝Ｊ３の参照点Ｐ_ｃ（ｊ）を上記楕円曲線Ｅ／ＧＦ（ｐ^ｍ）上の無限遠点Ｏではない任意の点Ｐ’に変換すると共に、Ｊ３≧１である場合にはＪ３−１≧ｊ≧０の各参照点Ｐ_ｃ（ｊ）を点−Ｐ’に変換する第二参照点列変換ステップ、をさらに有し、
   上記メイン計算ステップは、上記展開式の各式Ｐ^♯ _ｃ（ｊ）（ｊ＝０，…，ｒ）に、上記参照して求まった参照点Ｐ_ｃ（ｊ）、又は、上記参照して求まった参照点Ｐ_ｃ（ｊ）が上記第一参照点列変換ステップ又は上記第二参照点列変換ステップにより変換された場合には上記変換された点、をそれぞれ代入した式を、楕円２倍算と楕円加算とを交互に行うことにより計算し、その計算結果に点−Ｐ’を加算するステップである、
   ことを特徴とする楕円曲線暗号演算方法。
3. 請求項１に記載の楕円曲線暗号演算装置の各手段としてコンピュータを機能させるための楕円曲線暗号演算装置プログラム。

Images