JP5301989B2 - 楕円曲線点乗算 - Google Patents

Description

本発明は、楕円曲線点乗算に関する。

楕円曲線暗号システム（ＥＣＣ：ｅｌｌｉｐｔｉｃ ｃｕｒｖｅ ｃｒｙｐｔｏｓｙｓｔｅｍ）は、公開鍵暗号システムの新たに出現したクラスを構成し、スマートカードおよび組み込みシステムなどの応用例において広く適用されている。大部分のＥＣＣの安全性は、楕円曲線上の点からなる群に基づいて離散対数問題（ｄｉｓｃｒｅｔｅ ｌｏｇａｒｉｔｈｍ ｐｒｏｂｌｅｍ）を解くことの困難さに基づいている。楕円曲線が正しく選択された場合、離散対数を見つけるために構成された周知の方法で最良のものは、指数関数的に増加する困難さをもつ。したがって、ＥＣＣは、楕円曲線上で離散対数問題を解くための準指数的方法（ｓｕｂ−ｅｘｐｏｎｅｎｔｉａｌ ｍｅｔｈｏｄ）は存在しないという事実を利用する。ＲＳＡなどのその他の公開鍵暗号システムと比較して、ＥＣＣは、安全性が同じレベルならば、より短い鍵サイズを使用する。これは、記憶、メモリ、および計算能力に対する要求が少ないということになる。

残念なことに、ＥＣＣにおける演算の従来の方法は、サイドチャネル攻撃（ｓｉｄｅ−ｃｈａｎｎｅｌ ａｔｔａｃｋ）に対して脆弱である。サイドチャネル攻撃は、暗号演算中のタイミングまたは電力消費などの観測可能なパラメータを測定して、暗号システム内の秘密情報の全部または一部を推定する。例えば、コーム法（ｃｏｍｂ ｍｅｔｈｏｄ）およびその他の効率的な点乗算方法は、電力解析攻撃（ｐｏｗｅｒ−ａｎａｌｙｓｉｓ ａｔｔａｃｋ）に対して脆弱である。電力解析攻撃は、システムによって消費される電力の解析に基づいている。システムによって使用される電力に関する情報は、攻撃者が、システムによって実行される演算に仮説を設け、最終的にシステム内に含まれる秘密について推測を行うことを支援する。

スカラ乗算（ｓｃａｌａｒ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ）、例えば、楕円曲線点乗算（ｅｌｌｉｐｔｉｃ ｃｕｒｖｅ ｐｏｉｎｔ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ）は、ＥＣＣにおいて重要な役割を果たす。事実、そのような乗算が実行される方法は、異なるサイドチャネル攻撃が有効かどうかにきわめて大きな影響を有する。したがって、改良された方法は、より安全なＥＣＣをもたらす。

汎用的な利用の他、楕円曲線点乗算および暗号システムへの具体的な応用例も有する、奇整数および楕円曲線点乗算を記録するために構成されるシステムおよび方法が開示される。一実施例では、記録は、奇整数ｋを２進表現に変換することによって実行される。２進表現は、例えば、奇整数を表す２のベキの係数とすることができる。２進表現は、その後、コームビットカラム（ｃｏｍｂ ｂｉｔ−ｃｏｌｕｍｎ）として構成され、どのビットカラムも符号付き奇整数になる。別の実施例では、この記録方法を利用して、既知のコーム法と比べて楕円曲線点乗算をより効率的に計算し、保存点をよりわずかしかもたない、コーム法の変形を開示する。開示される点乗算方法は、その後、単純電力解析（ＳＰＡ：Ｓｉｍｐｌｅ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ）耐性となるように修正される。

詳細な説明が、添付の図面を参照して説明される。図面において、参照番号の左端の数字は、その参照番号が最初に出現した図面を識別する。異なる図面における同じ参照番号の使用は、類似または同一のアイテムを示す。

［概要］
汎用的な利用及び楕円曲線暗号システムへの具体的な応用例を有する、奇整数および楕円曲線点乗算の記録が開示される。一実施例では、奇数スカラを符号付き非ゼロ表現に変換する符号付き奇数限定記録方法（ｓｉｇｎｅｄ ｏｄｄ−ｏｎｌｙ ｒｅｃｏｄｉｎｇ ｍｅｔｈｏｄ）が提示され、この記録方法では、どのコームビットカラム

も、符号付き奇整数になる。別の実施例では、この記録方法を利用して、既知のコーム法と比べて楕円曲線点乗算をより効率的に計算し、保存点（ｓａｖｅｄ ｐｏｉｎｔｓ）をよりわずかしかもたない、コーム法の変形を開示する。開示される点乗算方法は、その後、点加算と点減算が楕円曲線システムにおいて実質的に同程度の計算の複雑さをもつという事実を利用することによって、単純電力解析（ＳＰＡ）耐性となるように修正される。開示されるＳＰＡ耐性コーム法は、コーム法の利点を継承するように構成され、事前計算点があらかじめまたは別のところで計算されるとき、その他のＳＰＡ耐性窓法（ＳＰＡ−ｒｅｓｉｓｔａｎｔ ｗｉｎｄｏｗ ｍｅｔｈｏｄ）よりもはるかに高速に動作する。ＳＰＡ耐性方法をＤＰＡ耐性方法に変換する技法と組み合わされると、開示されるＳＰＡ耐性コームの実施形態は、すべてのサイドチャネル攻撃に対して安全になる。したがって、本明細書で開示される実施例は、汎用的に有用であるが、特に電力およびコンピューティング資源が貴重であるスマートカードおよび組み込みアプリケーションでの使用に適合される。

［準備］
楕円曲線式は、楕円曲線暗号システム（ＥＣＣ）の主要な特徴である。体Ｋ上の楕円曲線は、そのワイエルシュトラス形式（Ｗｅｉｅｒｓｔｒａｓｓ ｆｏｒｍ）によって、次のように表現できる。

Ｅ：ｙ^２＋ａ_１ｘｙ＋ａ_３ｙ＝ｘ^３＋ａ_２ｘ^２＋ａ_４ｘ＋ａ_６、ここで、ａ_ｉ∈Ｆ
上の式および「無限遠点（ｐｏｉｎｔ ａｔ ｉｎｆｉｎｉｔｙ）」

を満たす点（ｘ，ｙ）∈Ｆ^２の集合をＥ（Ｆ）によって示す。コードタンジェントプロセス（ｃｈｏｒｄ‐ｔａｎｇｅｎｔ ｐｒｏｃｅｓｓ）を用いると、Ｅ（Ｆ）は、ゼロを無限遠点

とするアーベル群（Ａｂｅｌｉａｎ ｇｒｏｕｐ）を形成する。Ｐ_１（ｘ_１，ｙ_１）およびＰ_２（ｘ_２，ｙ_２）をＥ上の２つの有限点とする。点加算Ｐ_３（ｘ_３，ｙ_３）＝Ｐ_１＋Ｐ_２は、次のようにして計算される。

１．ｘ_１＝ｘ_２＝ｘかつｙ_１＋ｙ_２＝−（ａ_１ｘ＋ａ_３）ならば、

２．Ｐ_１＝Ｐ_２＝（ｘ，ｙ）かつ２ｙ≠−（ａ_１ｘ＋ａ_３）ならば、

３．Ｐ_１≠±Ｐ_２ならば、

いくつかの有限体Ｆ上の楕円曲線によって生成される群Ｅ（Ｆ）は、離散対数問題を解くのが非常に困難であるという公開鍵暗号要件を満たす。したがって、ＥＣＣは、多くの規格および応用で使用されている。暗号演算の速度を上げるため、楕円曲線点を表すのに射影座標（ｐｒｏｊｅｃｔｉｖｅ ｃｏｏｒｄｉｎａｔｅ）が使用される。ヤコビ射影座標（Ｊａｃｏｂｉａｎ ｐｒｏｊｅｃｔｉｖｅ ｃｏｏｒｄｉｎａｔｅ）を使用することによって、ワイエルシュトラス式を次の形式で書くことができる。

Ｅ：Ｙ^２＋ａ_１ＸＹＺ＋ａ_３ＹＺ^３＝Ｘ^３＋ａ_２Ｘ^２Ｚ^２＋ａ_４ＸＺ^４＋ａ_６Ｚ^６

その場合、無限遠点

は、すべてのθ∈Ｆ^＊について、（θ^２，θ^３，０）によって表される。アフィン点（ａｆｆｉｎｅ ｐｏｉｎｔ）（ｘ，ｙ）は、すべてのθ∈Ｆ^＊について、（θ^２ｘ，θ^３ｙ，θ）によって表され、射影点

は、アフィン点（Ｘ／Ｚ^２，Ｙ／Ｚ^３）に対応する。射影座標を使用すると、点加算は、より多くの体の乗法演算を行うことと引き換えに、コストのかかる体の逆元演算を行わずに計算することができる。体の乗法演算は、通常、体の逆元演算よりもはるかに高速であり、より高速な楕円曲線点加算を実現する。点がそれ自体に加算される特別な点加算は、２倍算（ｄｏｕｂｌｉｎｇ）と呼ばれる。点の２倍算のコストは、通常、一般的な点の加算のコストとは異なる。

暗号で使用される楕円曲線は、体

または体Ｆ_ｐ上で定義される楕円曲線であり、ここで、ｍは大きな整数、ｐは大きな素数である。これら２種類の体の上では、楕円曲線のワイエルシュトラス式は、次のより簡単な形式、すなわち、

上で定義される、
Ｅ：ｙ^２＋ｘｙ＝ｘ^３＋ａｘ^２＋ｂ
またはＦ_ｐ上で定義される、
Ｅ：ｙ^２＝ｘ^３＋ａｘ＋ｂ
に変形されることができ、ここで、ｐは大きな素数である。これらの式は、点の加算および２倍算を簡単にし、「ショートワイエルシュトラス型（ｓｈｏｒｔ Ｗｅｉｅｒｓｔｒａｓｓ ｆｏｒｍ）」と呼ばれることがある。実際の暗号における応用では、楕円曲線は、通常、大きな素数位数ρの部分群を有することが必要とされる。楕円曲線暗号システムは、典型的には、Ｅ（Ｆ）のこの位数ρの部分群の点のみを利用する。

点Ｐをそれ自体にｋ回加算することは、スカラ乗算または点乗算と呼ばれ、ｋを正の整数として、Ｑ＝ｋＰと表される。スカラ乗算のための最も簡単で効率的な方法は、ｋを２進表現に展開する以下の２倍算および加算方法（ｄｏｕｂｌｅ−ａｎｄ−ａｄｄ ｍｅｔｈｏｄ）である。

図１は、ＥＣＣの文脈に適合可能なスカラ乗算の例示的な２倍算および加算方法１００を示している。ブロック１０２において、２倍算および加算方法１００への入力は、点Ｐと、ｂ_ｉ∈｛０，１｝であるｎビット整数

である。ブロック１０４において、点Ｑは、最初に、無限遠点に設定され、すなわち、

である。ブロック１０６において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｎ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック１０８において、Ｑ＝２Ｑと設定され、ブロック１１０において、ｂ_ｉ＝＝１ならば、Ｑ＝Ｑ＋Ｐとする。ブロック１１２において、スカラ乗算の例示的な２倍算および加算方法１００は、Ｑ＝ｋＰの形式で、Ｑを返す。

整数ｋは、（２進）符号付き数字（ＳＤ：Ｓｉｇｎｅｄ Ｄｉｇｉｔ）表現

で表すことができ、ここで、ｓ_ｉ∈｛−１，０，１｝である。非隣接形式（ＮＡＦ：Ｎｏｎ−Ａｄｊａｃｅｎｔ Ｆｏｒｍ）と呼ばれる特別なＳＤ表現は、特に興味を引くものであり、非ゼロの数字が隣り合うことがなく、すなわち、すべてのｉ≧０について、ｓ_ｉ×ｓ_ｉ＋１＝０となる。どの整数ｋも、一意のＮＡＦを有し、ＮＡＦは、ｋのすべてのＳＤ表現の中で最も小さい重みを有する。２進表現の期待重みがｎ／２であるのに比べて、ｎビット長のＮＡＦの期待重みはｎ／３である。楕円曲線点減算は、点加算と実質的に同じコストを有する。したがって、図２の加算および減算方法（ａｄｄ−ａｎｄ−ｓｕｂｔｒａｃｔ ｍｅｔｈｏｄ）２００は、ｋについてのＮＡＦを使用すると、２倍算および加算方法１００よりも効率的になる。

図２は、スカラ乗算（すなわち点乗算）のための加算および減算方法２００を示している。ブロック２０２において、加算および減算方法２００への入力は、点Ｐ、及びｓ_ｉ∈｛−１，０，１｝であるｎビットＮＡＦ整数

を含む。ブロック２０４において、点Ｑは、最初に、無限遠点に設定され、すなわち、

である。ブロック２０６において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｎ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック２０８において、Ｑ＝２Ｑと設定され、ブロック２１０において、ｓ_ｉ＝＝１ならば、Ｑ＝Ｑ＋Ｐとし、ブロック２１２において、ｓ_ｉ＝＝−１ならば、Ｑ＝Ｑ−Ｐとする。ブロック２１４において、Ｑ＝ｋＰである出力Ｑを返す。

整数ｋは、ｍ進表現に展開することができ、ここで、何らかの整数ｗ≧２として、ｍは通常２^ｗに等しい。図３のｍ進方法（ｍ−ａｒｙ ｍｅｔｈｏｄ）３００は、速度のために記憶を代償にして、スカラ乗算を事前計算ステージと評価ステージに分割する。２倍算および加算方法３００は、ｗ＝１の場合のこの方法の特殊なケースである。

図３は、スカラ乗算のためのｍ進方法３００を示している。ブロック３０２において、ｍ進方法３００への入力は、点Ｐ、及びａ_ｉ∈｛０，１，．．．，ｍ−１｝である整数

を含む。ブロック３０４〜３０８は、事前計算ステージを表す。ブロック３０４において、点Ｐ_１＝Ｐと設定する。ブロック３０６において、ｉをインデックスとするｆｏｒループなどの、増分１のループ（ｏｎｅ−ｓｔｅｐ ｌｏｏｐ）に入る。ループは、ｉ＝２からｍ−１までカウントする。増分１のループ内では、ブロック３０６において、Ｐ_ｉ＝Ｐ_ｉ−１＋Ｐと設定する。ブロック３０８において、点Ｑは、最初に、無限遠点に設定され、すなわち、

である。ブロック３１０〜３１４は、評価ステージを表す。ブロック３１０において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｄ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック３１２において、Ｑ＝ｍＱと設定され、これはｗの２倍算を必要とし、ブロック３１４において、

と設定される。ブロック３１６において、Ｑ＝ｋＰであるＱを返す。

ｍ進方法の事前計算ステージは、入力点Ｐの記憶を含む、ｍ−１≡２^ｗ−１個の点を記憶することを必要とする。本開示の記憶推定は、点Ｐの入力を含んで行われる。方法の時間コストの推定を行うことができる。コスト推定では、

を伴う演算はカウントされない。事前計算ステージは、２Ｐ、３Ｐ、．．．、［２^ｗ−１］Ｐを計算する必要がある。２倍算と加算の合計は同じままであり、応用例で一般に使用される射影座標を用いる場合、２倍算は加算よりも効率的であるので、２倍算演算の使用が、このステージでは一般に好まれる。効率的な方式は、次のような方法で計算するものである。

この方式を使用すると、事前計算は、（２^ｗ−１−１）Ｄ＋（２^ｗ−１−１）Ａのコストがかかり、ここで、Ｄは点の２倍算を意味し、Ａは点の加算を意味する。評価ステージの時間コストに関しては、最高位の数字がゼロでない、すなわち、ａ_ｄ−１≠０であると仮定すると、このステージの２倍算の数は、ｗ（ｄ−１）である。ａ_ｉ＝０であるならば、ブロック３１４の加算は必要ない。ｋが一様に分布していると仮定すると、評価ステージにおける加算の平均数は、

である。したがって、評価ステージにおける平均時間コストは、近似的に

であり、平均総時間コストは、近似的に

である。

ｍ進方法の修正は、この方法をより効率的にすることができる。例えば、ｍ進方法は、スライディングウィンドウ法（ｓｌｉｄｉｎｇ ｗｉｎｄｏｗ ｍｅｔｈｏｄ）に拡張することもできる。コーム法は、点乗算方法のさらなるカテゴリである。スカラ乗算も効率的に計算することができるコーム法が知られている。ｂ_ｉ∈｛０，１｝として、ｎビット整数

とする。整数ｗ≧２について、

と設定する。その後、［ｂ_ｗ−１，ｂ_ｗ−２，．．．，ｂ_１，ｂ_０］≡ｂ_ｗ−１２^{（ｗ−１）ｄ}＋．．．＋ｂ_１２^ｄ＋ｂ_０と定義し、ここで、

である。これらの計算と一貫性のある方法で、図４のコーム法４００は、整数ｋを表すためにｗ行ｄ列の２進行列を使用し、行列を列方向に処理する。

図４は、スカラ乗算のための固定基底コーム法（ｆｉｘｅｄ−ｂａｓｅ ｃｏｍｂ ｍｅｔｈｏｄ）４００を示している。ブロック４０２において、固定基底コーム法４００への入力は、点Ｐ、ｂ_ｉ∈｛０，１｝である整数

及び窓幅ｗ≧２を含む。事前計算ステージは、ブロック４０４〜４０８に見られる。ブロック４０４において、すべての

について、［ｂ_ｗ−１，．．．，ｂ_１，ｂ_０］Ｐが計算される。ブロック４０６において、ｋ＝Ｋ^ｗ−１‖．．．‖Ｋ^１‖Ｋ^０を決定し、ここで、各Ｋ^ｊは長さｄのビット列である。この演算では、左側を１つまたは複数の０（ゼロ）でパディングする必要があることもある。

がＫ^ｊの第ｉビットを表すとする。

と定義する。ブロック４０８において、点Ｑは、最初に、無限遠点に設定され、すなわち、

と設定される。

ブロック４１０〜４１４は、評価ステージを表す。ブロック４１０において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｄ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック４１２において、Ｑ＝２Ｑと設定され、ブロック４１４において、

と設定される。ブロック４１６において、Ｑ＝ｋＰであるＱを返す。

コーム法は、事前計算ステージにおいて、２^ｗ−１個の点を記憶する。コーム法の時間コストの推定を行うことができる。事前計算ステージにおいて、

について、［ｂ_ｗ−１，．．．，ｂ_１，ｂ_０］Ｐが計算される必要がある。これを達成するため、２^ｄＰ、２^２ｄＰ、．．．、２^{（ｗ−１）ｄ}Ｐが最初に計算され、これは、（ｗ−１）ｄ回の２倍算演算のコストがかかる。その後、２倍算演算の結果から、［ｂ_ｗ−１，．．．，ｂ_１，ｂ_０］Ｐ内の２つのビットだけが非ゼロであるすべての可能な組合せが計算される。

個のそのような組合せが存在する。各組合せは、１回の点加算を使用する。このステップにおいて、

回の点加算が存在する。次のステップにおいて、３つのビットだけが非ゼロであるすべての組合せが計算される。

個のそのような組合せが存在する。各々は、先に計算された結果から、１回の点加算を必要とする。したがって、このステップは、

回の点加算のコストがかかる。この手続きは、すべてのビットが非ゼロであるものまで続けられる。事前計算ステージにおける点加算の総数は、したがって、

である。

したがって、事前計算ステージにおける時間コストは、
｛（ｗ−１）ｄ｝Ｄ＋｛（２^ｗ−ｗ−１）｝Ａ
である。

評価ステージにおける時間コストを推定するため、

の最高位桁がゼロでない、すなわち、

であると仮定する。その場合、評価ステージにおける２倍算演算の数は、（ｄ−１）である。

である場合、ブロック４１４の点加算は必要ない。ｋが一様に分布していると仮定すると、

である確率は、

であり、点加算の平均数は、

である。したがって、評価ステージにおける平均時間コストは、近似的に

である。このコストは、先に導かれたように

であるｍ進方法の評価ステージにおける時間コストよりもはるかに小さい。評価ステージにおけるこの利得は、コーム法の事前計算ステージでのより高い時間コストを代償としている。コーム法の総時間コストは、

である。

［サイドチャネル攻撃および対策］
電力解析攻撃の２つのタイプは、単純電力解析（ＳＰＡ）と、差分電力解析（ＤＰＡ：Ｄｉｆｆｅｒｅｎｔｉａｌ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ）である。ＳＰＡは、スカラ乗算中の暗号装置における単一の電力消費トレースを解析する。記録された電力消費データから、分岐命令条件を識別することができる。これは、楕円曲線２倍算演算の継続を表す。２倍算および加算方法がスカラ乗算を計算する際に使用される場合、秘密の乗数ｋの各ビットの値ｂ_ｉが、この攻撃によって暴かれる。スカラ乗算方法の場合、ＳＰＡは、加算および減算方法もしくはｍ進方法の各数字ｓ_ｉもしくはａ_ｉの値またはコーム法の

の値を推定することはできないが、数字または

がゼロかどうかを検出することができ、これは情報漏れに等しい。

ＤＰＡは、スカラ乗算の多くの電力トレースを記録し、記録間の相関および誤り訂正技法を使用して、秘密ｋの一部または全部の数字を推定する。ＤＰＡは、ＳＰＡよりも複雑であるが強力である。ＳＰＡ耐性のあるスカラ乗算方法は、必ずしもＤＰＡ攻撃に耐性があるわけではないが、ＳＰＡ耐性方法をＤＰＡ耐性方法に変換するために、多くの対策を使用できる。対策は、実行を、ひいては、電力消費を同一の入力に対して異なるものにすることである。この結果を達成するために、通常は、ランダム化が利用される。射影座標における入力点のランダム化、指数パラメータ表現のランダム化、楕円曲線式のランダム化、および体表現のランダム化など、多くのランダム化手法が実現可能である。加えて、これらのランダム化手法の各々は、本明細書で開示されるＳＰＡ耐性方法をＤＰＡ攻撃に耐性があるように変換するために適用することができる。

有効であるためには、ＥＣＣは、ＳＰＡ攻撃に対する対策を提供しなければならない。本明細書で開示されるＥＣＣを実施する特定の手法は、スカラ乗算の実行を、乗数ｋの特定の値とは独立にする。例えば、２倍算および加算方法をＳＰＡ攻撃に対して耐性のあるものにする簡単な方法は、ｂ_ｉが０であるか、それとも１であるかに関係なく、同じ演算が適用されるように、方法内の分岐演算を除去することである。したがって、分岐なし２倍算および加算方法（ｄｏｕｂｌｅ−ａｎｄ−ａｄｄ−ａｌｗａｙｓ ｍｅｔｈｏｄ）を構成することができる。

図５は、ＳＰＡ耐性を提供するための分岐なし２倍算および加算方法５００を示している。ブロック５０２において、分岐なし２倍算および加算方法５００への入力は、点Ｐ、およびｂ_ｉ∈｛０，１｝であるｎビット整数

を含む。ブロック５０４において、点Ｑ_０は、最初に、無限遠点に設定され、すなわち、

である。ブロック５０６において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｎ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック５０８において、Ｑ_０＝２Ｑ_０と設定され、ブロック５１０において、Ｑ_１＝Ｑ_０＋Ｐと設定され、ブロック５１２において、

と設定される。ブロック５１４において、Ｑ＝Ｑ_０を返し、ここで、ＱはＱ＝ｋＰの形をとる。

ＳＰＡ攻撃を防御する別の戦略は、図４のコーム法４００における

を符号付き表現

に拡張することであり、ここで、各

は非ゼロである。次の手続きは、コーム法において

、０≦ｉ＜ｄによって表される奇整数ｋに関するこの符号付き表現

を獲得するために使用される。ｓ_０＝１とし、残りを、Ｋ_ｉ＝０ならば、

、それ以外ならば、

と設定することによって構成する。

コーム法は、従来のコーム法にこの符号付き表現を使用して、ｋが偶数の場合には（ｋ＋１）Ｐを、ｋが奇数の場合には（ｋ＋２）Ｐを計算する。その後、点２Ｐが計算される。所望の点ｋＰを獲得するために、従来のコーム法の結果から、点Ｐまたは２Ｐが減算される。コーム法は、事前計算ステージにおいて、元のコーム法が有するのと同じ時間および空間コスト、すなわち、２^ｗ−１個の点の記憶および｛（ｗ−１）ｄ｝Ｄ＋｛（２^ｗ−ｗ−１）｝Ａを有する。評価ステージは、ｄ−１回の点加算およびｄ−１回の２倍算のコストがかかる。従来のコーム法の後の最後のステージは、１回の２倍算および１回の減算のコストがかかる。したがって、総コストは、（ｗ−１）ｄ＋（ｄ−１）＋１＝ｗｄ回の２倍算および（２^ｗ−ｗ−１）＋（ｄ−ｌ）＋１＝２^ｗ−ｗ＋ｄ−１回の加算演算である。図４の方法４００と比較すると、この方法は、同じ記憶コストと、わずかに高い時間コストを有する。

ａ_ｉ∈｛０，１，．．．，２^ｗ−１｝である整数

に関するさらなるＳＰＡ耐性ｍ進スカラ乗算方法は、最初に、ｋを、ａ’_ｉ∈｛−２^ｗ，±１，±２，．．．，±（２^ｗ−１−１），２^ｗ−１｝かつｄ’がｄまたはｄ＋１であるような別の表現

に変換する。直観的に、この記録方法は、数字０を−２^ｗによって置き換え、ｋを変化なく維持するために、隣接するより高位の桁を調整する。この記録方法は、０≦ｃ_ｉ≦２および０≦ｔ_ｉ≦２^ｗ＋１である２つの補助値ｃ_ｉおよびｔ_ｉを用いて反復的に表現される。ｃ_０＝０と設定する。その後、ｉ＝０，．．．，ｄ＋１について、ｔ_ｉ＝ａ_ｉ＋ｃ_ｉとし、
＝ ｔ_ｉ＝０ならば、（１，−２^ｗ）
＝ ０＜ｔ_ｉ＜２^ｗ−１ならば、（０，ｔ_ｉ）
（ｃ_ｉ＋１，ａ’_ｉ）＝ ２^ｗ−１＜ｔ_ｉ＜２^ｗならば、（１，−２^ｗ＋ｔ_ｉ）
＝ ｔ_ｉ＝２^ｗならば、（２，−２^ｗ）
＝ ｔ_ｉ＝２^ｗ＋１ならば、（１，１）
とする。

式ｃ_ｉ＋１・２^ｗ＋ａ’_ｉ＝ｔ_ｉが常に成り立つことに留意されたい。

変換後、このスカラ乗算方法は、事前計算ステージが、２Ｐ、３Ｐ、．．．、［２^ｗ−１］Ｐ、および［−２^ｗ］Ｐを計算する必要があることを除いて、ｍ＝２^ｗである場合の図３のｍ進方法３００とまさに同じである。２倍算と加算の合計は同じままであり、応用例で一般に使用される射影座標を用いる場合、２倍算は加算よりも効率的であるので、このステージでは、２倍算をできるだけ多く使用したい。最も効率的な方式は、式１を使用して計算し、事前計算ステージのためのコスト（２^ｗ−２＋１）Ｄ＋（２^ｗ−２−１）Ａを得ることである。評価ステージは、ｄ’＝ｄであるならば、ｗ（ｄ−１）Ｄ＋（ｄ−１）Ａ、またはｄ’＝ｄ＋１であるならば、ｗｄＤ＋ｄＡのコストがかかる。したがって、総コストは、少なくとも（２^ｗ−２＋ｗｄ−ｗ＋１）Ｄ＋（２^ｗ−２＋ｄ−２）Ａである。加えて、事前計算ステージは、２^ｗ−１＋１個の点を記憶する。

さらなるＳＰＡ耐性奇数限定ｍ進スカラ乗算方法は、ａ_ｉ∈｛０，１，．．．，２^ｗ−１｝である奇整数

を、ａ’_ｉ∈｛±１，±３，．．．，±（２^ｗ−１）｝であるような別の表現

に変換するというアイデアに基づいている。これは、以下の記録方法を用いて達成することができる。

図６は、奇数スカラのためのさらなるＳＰＡ耐性奇数限定ｍ進記録方法６００を示している。ブロック６０２において、奇数限定ｍ進記録方法６００への入力は、ａ_ｉ∈｛０，１，．．．，２^ｗ−１｝であるｎビット奇整数

を含む。ブロック６０４において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝０からｄ−１まで１を増分としてカウントする。ループ内では、ブロック６０６において、ａ_ｉが奇数であれば、ａ’_ｉ＝ａ_ｉと設定し、ブロック６０８において、ａ_ｉが偶数であれば、ａ’_ｉ＝ａ_ｉ＋１およびａ’_ｉ−１＝ａ’_ｉ−１−２^ｗと設定する。ブロック６１０において、

である出力

を返す。

この変換を使用すると、ｋが偶数の場合には［ｋ＋１］Ｐを、ｋが奇数の場合には［ｋ＋２］Ｐを計算するために、図３のｍ進方法３００が、ｍ＝２^ｗとして使用される。その後、所望のｋＰを獲得するために、図３の方法３００の結果から、Ｐまたは２Ｐが減算される。方法６００は、２^ｗ−１個の点Ｐ、３Ｐ、５Ｐ、．．．、［２^ｗ−１］Ｐを記憶する必要がある。これらの点は、事前計算ステージにおいて、最初に２Ｐを計算し、その後、残りを式［ｉ］Ｐ＝２Ｐ＋［ｉ−２］Ｐを用いて反復的に計算することによって、計算することができる。このステージにおけるコストは、１Ｄ＋（２^ｗ−１−１）Ａである。評価ステージにおけるｆｏｒループは、ｗ（ｄ−１）Ｄ＋（ｄ−１）Ａのコストがかかり、後処理ステージは、２Ｐを計算する１回の２倍算と、Ｐまたは２Ｐを減算する１回の減算のコストがかかる。ＯＴの方法の総コストは、したがって、（ｗｄ−ｗ＋２）Ｄ＋（２^ｗ−１＋ｄ−１）Ａである。

［奇数限定コーム法］
奇数限定コーム法（ｏｄｄ−ｏｎｌｙ ｃｏｍｂ ｍｅｔｈｏｄ）は、ＥＣＣにおける既知のコーム法と比べて著しい向上を含む。奇数限定コームの実施形態は、スカラｋのすべてのコームビットカラム

を、符号付き非ゼロ表現

に変換する。既知の技法からの重大な相違において、生成されたどの

も、符号付き奇整数である。より具体的には、この実施形態は、各コームビットカラム

について、

と、

、ｊ≠０を生成し、ここで、

は−１と定義される。有利なことに、事前計算ステージは、ＥＣＣにおける従来のコーム法の半数の点を計算し、保存しさえすればよい。

図７は、奇数スカラのための符号付き奇数限定コーム記録方法７００の例示的な詳細を示している。方法７００は、コーム楕円曲線点乗算での使用のために適合された楕円曲線計算を実行する。この記録方法７００は、

である窓幅ｗ≧２について構成される。方法７００への入力は、ｂ_ｉ∈｛０，１｝であるｎビット奇整数

を含む。方法からの出力は、

を含み、ここで、各Ｋ’^ｊは、ｄビット長のバイナリ列であり、必要ならば左側を０でパディングする。図７内では、

は、Ｋ’^ｊの第ｒビットを表すとし、すなわち、

である。

と定義する。出力は、ｊ≠０かつ０≦ｒ＜ｄについて、

および

を満たす。

図７を参照すると、奇数スカラのための符号付き奇数限定コーム記録方法７００の演算を理解することができる。ブロック７０２において、入力が、ｂ_ｉ∈｛０，１｝である

に従ってｎビット奇整数に設定される。ブロック７０４において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝０からｄ−１まで１を増分としてカウントする。ループ内では、ブロック７０６において、ｂ_ｉ＝１ならば、

と設定し、ブロック７０８において、ｂ_ｉ＝０ならば、

および

と設定する。ブロック７１０においてループを抜ける時、

およびｉ＝ｄと設定する。ブロック７１２において、ｉをインデックスとする、ｉ＜ｗｄの間続くように構成されるｗｈｉｌｅループなどのループに入る。ループ内では、ブロック７１４において、ｅが奇数、かつ

である状況は、

および

と設定することによって対処され、ブロック７１６において、それ以外の状況は、

および

と設定することによって対処される。ブロック７１８において、ｉ＝ｉ＋１と設定することによって、ｉがインクリメントされる。ブロック７２０において、各Ｋ’^ｊが、成分ビットとして

を有し、必要ならば左側を０でパディングしたｄビット長のバイナリ列である、出力

が返される。

方法７００は、最初に、

という事実を利用して、最後（すなわち最低位）のｄビットの各ビットを、１または

に変換する。言い換えると、Ｋ’^０内の各ビット

、０≦ｒ＜ｄは、１または

である。記録方法の残りは、第ｄビットから最高位ビットまでの各ビットを処理する。現在のビットが１であり、同じコームビットカラム

内の最低位ビットと異なる符号を有する場合、現在のビットは、

に設定され、残りのより高位のビットからなる値は、ｋの値を変化なく維持するために、１を加算される。この処理は、ｎビット奇整数ｋを表すｗｄビット

を生成する。

したがって、図７の方法７００は、奇数スカラｋを与えられた場合、一連のビット列

と、

とを出力し、

であり、

については、

、および

、ｊ≠０かつ０≦ｒ＜ｄであり、ここで、

である。上述の言明は、次のようにして証明することができる。方法７００によって生成された各

が、

、および

、ｊ≠０という条件を満たすことは、ｋが奇数であり、ｂ_０＝１であるので、明らかである。ブロック７０４〜７０８は、

内の最終ビット

を、１または

となるように設定する。したがって、

である。方法７００では、

である場合、

は、ブロック７１４によって、

に設定され、またはブロック７１６によって、０に設定される。

である場合、

は、ブロック７１６によって、０または１に設定される。これは、各

内の最低位ビットを除くすべてのビットが、０であるか、または最低位ビットと同じ値を有することを意味する。

を証明するため、最初に、

を証明する。

これは、０≦ｊ＜ｄについて、

であることを証明する帰納法によって行うことができる。ｋは奇数であるので、ｊ＝０について、式は成り立つ。ｊ−１＜ｄについて、式が真である場合、方法７００のステップ２および３は、ｊ＜ｄについても、式が真であることを保証する。ｊ＝ｄ−１と設定することによって、所望の式が得られる。

ブロック７１４の前で第ｉループに入る時のｅの値をｅ_ｉで表し、ここで、ｉ＞ｄである。発明者らは、ｉ≧ｄについて、

が常に真であることを主張する。これは、帰納法によって行うことができる。式２を使用することによって、

を得る。これは、ｉ＝ｄについて、式３が成り立つことを証明する。ｉ＞ｄについて、式３が真であると仮定する。ｅ_ｉが奇数、かつ

である場合、

、

、および

を得る。

同様の手続きが、ｅ_ｉが偶数、かつ

である場合に、

を証明するために使用することができる。これは、ｉ＋１について、式３がやはり真であることを意味する。したがって、ｉ≧ｄについて、式３が成り立つ。

証明の必要がある最後のことは、ｅ_ｗｄ＝０である。ｋはｎビットの整数であるので、

は、ｎ−ｄビットの整数、すなわち、ｅ_ｄ＜２^ｎ−ｄである。ｎ≧ｉ≧ｄについて、
ｅ_ｉ≦２^ｎ−ｉ （４）
であることを証明するために、帰納法を使用したい。

ｉ＝ｄのときは、すでに証明されている。ｎ＞ｉ≧ｄであるｉについて、真であると仮定する。ｅ_ｉが奇数である場合、不等式は、ｅ_ｉ≦２^ｎ−ｉ−１であることを含意する。この場合、ブロック７１４〜７１６は、

を与え、すなわち、この場合、ｉ＋１について、式３は真である。ｅ_ｉが偶数である場合、ブロック７１６から、

である。

式３は、依然として成り立つ。言い換えると、ｉ＋１≦ｎについて、式４は真である。したがって、式（４）は、ｎ≧ｉ≧ｄについて、真であると証明される。式４は、ｅ_ｎ≦２^０＝１であることを導く。

であるので、ｎ＋１≦ｗｄを得る。ｎ＋１＝ｗｄである場合、ｅ_ｗｄ−１≡ｅ_ｎ≦１である。ｎ＋１＜ｗｄである場合、ブロック７１４〜７１６から、

である。このプロセスを継続すると、やはりｅ_ｗｄ−１≦１を得る。言い換えると、常にｅ_ｗｄ−１≦１を得る。ブロック７０６〜７０８から、

を得る。ブロック７１２〜７１８のループ内でｉ＝ｗｄ−１である場合、

であるので、ブロック７１６が実行され、すなわち、

である。この結果を式３に適用することで、所望の結果

が得られる。

図７の記録方法７００は、奇数スカラを用いる場合に限って機能する。スカラｋが偶整数である場合、図８の方法８００が利用できる。図８では、最初に、奇数スカラｋ’＝ｋ＋１について点乗算を計算し、その後、結果からＰを減算して、所望の結果ｋＰを獲得する。

図８は、符号付き奇数限定コーム法８００の演算を示している。ブロック８０２において、点Ｐおよび整数ｋ＞０を含む入力が受け取られる。事前計算ステージは、ブロック８０４〜８１０を含む。ブロック８０４において、すべての（ｂ_ｗ−１，．．．，ｂ_２，ｂ_１）∈（Ｚ_２）^ｗ−１についての［ｂ_ｗ−１，．．．，ｂ_２，ｂ_１，１］Ｐの計算を含む、事前計算の計算が行われる。ブロック８０６において、ｋが偶数である場合、ｋ’＝ｋ＋１と設定し、それ以外の場合、ｋ’＝ｋと設定する（ｋが偶数である場合、ｋ’＝ｋ−１と設定し、それ以外の場合、ｋ’＝ｋと設定することもできることに留意されたい）。ブロック８０８において、図７の方法７００が、ｋ’に適用されて、対応するコームビットカラム

を計算する。ブロック８１０において、点Ｑは、最初に、無限遠点に設定され、すなわち、

と設定される。ブロック８１２〜８１８は、評価ステージを構成する。ブロック８１２において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｄ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック８１４において、Ｑ＝２Ｑと設定し、ブロック８１６において、

と設定する。ブロック８１８において、Ｑ＝ｋＰの形をとる出力が返され、ｋが偶数である場合、Ｑ−Ｐが返され、それ以外の場合、Ｑが返される（ｋ’＝ｋ−１である場合は、ｋが偶数のとき、Ｐを加算することに留意されたい）。

の最低位ビットが

である場合、

を得る。この場合、方法８００のブロック８１６は、実際には

を実行する。

実際のＥＣＣ応用例では、大きな素数位数ρを有する部分群内の楕円曲線点のみが、実際に使用される。この場合、符号付き奇数限定コーム法８００は、ｋが偶数ならばρ−ｋは奇数であり、［ρ−ｋ］Ｐ＝−ｋＰであるという事実を利用して、後処理ブロック８１８を除去するように修正することができる。この修正方法は、図９で説明される。

図９は、奇数位数の点のための符号付き奇数限定コーム法の演算を示している。ブロック９０２において、奇数位数ρの点Ｐおよび整数ｋ＞０を含む入力が受け取られる。事前計算ステージは、ブロック９０４〜９１０を含む。ブロック９０４において、事前計算の計算が行われる。例えば、［ｂ_ｗ−１，．．．，ｂ_２，ｂ_１，１］Ｐが、すべての（ｂ_ｗ−１，．．．，ｂ_２，ｂ_１）∈（Ｚ_２）^ｗ−１について計算される。ブロック９０６において、ｋ’が設定される。特に、ｋが奇数である場合、ｋ’＝ｋと設定し、それ以外の場合、ｋ’＝ρ−ｋと設定する。ブロック９０８において、図７の方法７００が、ｋ’に適用され、それによって、ｋ’に対応するコームビットカラム

を計算する。ブロック９１０において、点Ｑは、最初に、無限遠点に設定され、すなわち、

と設定される。ブロック９１２〜９１６は、評価ステージを構成する。ブロック９１２において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｄ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック９１４において、Ｑ＝２Ｑと設定し、ブロック９１６において、

と設定する。ブロック９１８において、Ｑ＝ｋＰの形をとるＱが返される。上のブロック９１６において、Ｑは、ｋが奇数ならば、

、またはｋが偶数ならば、

に設定されることに留意されたい。

図７の記録方法７００では、ｄは、図４の元の固定基底コーム法４００において使用された

の代わりに、

と定義される。ｎがｗで整除不能である場合、発明者らの記録方法におけるｄは、元のコーム法とまさに同じ、すなわち、

である。しかし、ｎがｗで整除可能である場合、発明者らの方法のｄは、方法４００で使用されたｄよりも１大きく、すなわち、

である。ｄを１だけ増やすことは、事前計算ステージにおけるｗ−１個の追加の２倍算と、評価ステージにおける１個の追加の加算および１個の追加の２倍算とを生じさせる。どのような追加の演算も望ましくない。幸いなことに、ｎがｗで整除可能である場合の追加の演算の大部分は、以下の修正コーム法において説明される考え抜かれた操作によって排除することができる。

図１０は、ｗで整除可能なｎのための符号付き奇数限定コーム法の演算を示している。ブロック１００２において、点Ｐおよびｎビット整数ｋ＞０を含む入力が受け取られる。事前計算ステージは、ブロック１００４〜１０１０を含む。ブロック１００４において、事前計算の計算が行われる。例えば、［ｂ_ｗ−１，．．．，ｂ_２，ｂ_１，１］Ｐが、すべての（ｂ_ｗ−１，．．．，ｂ_２，ｂ_１）∈（Ｚ_２）^ｗ−１について計算される。ブロック１００６において、ｋ ｍｏｄ ４が評価され、ｋ’が設定される。特に、ｋ ｍｏｄ ４＝０の場合、ｋ’＝ｋ／２＋１と設定し、ｋ ｍｏｄ ４＝１の場合、

と設定し、ｋ ｍｏｄ ４＝２の場合、ｋ’＝ｋ／２と設定し、ｋ ｍｏｄ ４＝３の場合、

と設定する。ブロック１００８において、方法７００が、ｋ’に適用されて、対応するコームビットカラム

を計算する。ブロック１０１０において、点Ｑは、最初に、無限遠点に設定され、すなわち、

と設定される。評価ステージは、ブロック１０１２〜１０２６を含む。ブロック１０１２において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｄ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック１０１４において、Ｑ＝２Ｑと設定し、ブロック１０１６において、

と設定する。ブロック１０１８において、ｋ ｍｏｄ ４＝０ならば、Ｑ＝Ｑ−Ｐと設定する。ブロック１０２０において、Ｑ＝２Ｑと設定する。ブロック１０２２において、ｋ ｍｏｄ ４＝１ならば、Ｑ＝Ｑ−Ｐと設定し、ブロック１０２４において、ｋ ｍｏｄ ４＝３ならば、Ｑ＝Ｑ＋Ｐと設定する。ブロック１０２６において、Ｑ＝ｋＰの形をとるＱが返される。

ブロック１００６の結果、方法１０００で使用されるｄの値は、

に等しく、元のコーム法４００と同じである。方法８００と比較すると、方法１０００は、ｎがｗで整除可能である場合、事前計算ステージにおいて、ｗ−１個の２倍算を不要にする。この場合、ｋ ｍｏｄ ４＝２ならば、評価ステージにおいて、１個の加算も不要にされる。様々な方法のさらなる性能比較は、後ほど本明細書において与えられる。

方法８００および１０００は、ＳＰＡ耐性ではない。両方の方法で、すべてのコームビットカラム

は非ゼロであるが、スカラｋの最終ビットの値は、ＳＰＡによって、図８のブロック８１８で検出可能であり、スカラｋの最終２ビットの情報は、ＳＰＡによって、図１０のブロック１０１６に続くステップから漏れることがある。すべての

であるので、３つのコーム法８００、９００、１０００のすべてについて、ｆｏｒループ内の演算は、点２倍算と点加算が交替する系列ＤＡＤＡ．．．ＤＡＤＡをなし、したがって、秘密スカラｋについての情報をＳＰＡに漏らさない。これは、ρを点Ｐの位数として、

ビットの整数として、すべてのスカラｋ（またはより具体的には、図９のブロック９０６におけるｋ’）をとるならば、方法９００がＳＰＡ耐性コーム法になることを含意する。それは、ＳＰＡ耐性方法を研究する際の一般的な仮定である。潜在的なダミー演算をｆｏｒループの後に挿入することによって、上記のＳＰＡ非耐性方法をＳＰＡ耐性方法に変換することができる。方法８００は、以下のＳＰＡ耐性コーム法に修正することができる。

図１１は、ＳＰＡ耐性符号付き奇数限定コーム法１１００の演算を示している。ブロック１１０２において、入力の点Ｐおよび整数ｋ＞０が受け取られる。事前計算ステージは、ブロック１１０４〜１１１０を含む。ブロック１１０４において、事前計算の計算が行われる。例えば、［ｂ_ｗ−１，．．．，ｂ_２，ｂ_１，１］Ｐが、すべての（ｂ_ｗ−１，．．．，ｂ_２，ｂ_１）∈（Ｚ_２）^ｗ−１について計算される。ブロック１１０６において、ｋが偶数である場合、ｋ’＝ｋ＋１と設定し、それ以外の場合、ｋ’＝ｋ＋２と設定する。ブロック１１０８において、方法７００が、ｋ’に適用されて、対応するコームビットカラム

を計算する。ブロック１１１０において、点Ｑは、最初に、無限遠点に設定され、すなわち、

と設定される。評価ステージは、ブロック１１１２〜１１２０を含む。ブロック１１１２において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｄ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック１１１４において、Ｑ＝２Ｑと設定し、ブロック１１１６において、

と設定し、ブロック１１１８において、Ｐ_２＝２Ｐと設定する。ブロック１１２０において、Ｑ＝ｋＰの形をとる出力が返される。特に、ｋが偶数である場合、Ｑ−Ｐを返し、それ以外の場合、Ｑ−Ｐ_２を返す。

先に述べたように、ＳＰＡ耐性方法を研究する際、スカラは、ρを点Ｐの位数として、

ビットの整数と見なされ、すなわち、図７の方法７００では、

である。この場合、

がｗで整除可能ならば、図１１の方法１１００で使用されるｄの値は、図４の元のコーム法４００でのｄよりも１大きく、より高い計算の複雑さもたらす。次のＳＰＡ耐性方法１２００は、ｄを増加させず、したがって、増加する計算の複雑さを排除する。

図１２は、ｗで整除可能な

のためのＳＰＡ耐性符号付き奇数限定コーム法１２００の演算を示している。ブロック１２０２において、位数ρの点Ｐおよびｎビット整数ｋ＞０を含む入力が受け取られる。事前計算ステージは、ブロック１２０４〜１２１２を含む。ブロック１２０４において、事前計算の計算が行われる。例えば、［ｂ_ｗ−１，．．．，ｂ_２，ｂ_１，１］Ｐが、すべての（ｂ_ｗ−１，．．．，ｂ_２，ｂ_１）∈（Ｚ_２）^ｗ−１について計算される。ブロック１２０６において、

である場合、ｋ^＊＝ρ−ｋと設定し、それ以外の場合、ｋ^＊＝ｋと設定する。ブロック１２０８において、ｋ^＊が偶数である場合、ｋ’＝ｋ^＊＋１と設定し、それ以外の場合、ｋ’＝ｋ^＊＋２と設定する。ブロック１２１０において、方法７００が、ｋ’に適用されて、対応するコームビットカラム

を計算する。ブロック１２１２において、点Ｑは、最初に、無限遠点に設定され、すなわち、

と設定される。評価ステージは、ブロック１２１４〜１２２６を含む。ブロック１２１４において、ｉをインデックスとするｆｏｒループなどのループに入る。ループは、ｉ＝ｄ−１から０まで−１を増分としてカウントダウンする。ループ内では、ブロック１２１６において、Ｑ＝２Ｑと設定し、ブロック１２１８において、

ならば、

と設定し、それ以外の場合、

と設定する。ブロック１２２０において、Ｐ_２＝２Ｐと設定する。ブロック１２２２において、

ならば、Δ＝１と設定し、それ以外の場合、Δ＝−１と設定する。ブロック１２２４において、ｋ^＊が偶数である場合、Ｑ＝Ｑ＋ΔＰと設定し、それ以外の場合、Ｑ＝Ｑ＋ΔＰ_２と設定する。ブロック１２２６において、Ｑ＝ｋＰである出力として、Ｑが返される。

図１２の方法１２００では、ブロック１２０６が、

以下のｋ^＊を保証することに留意されたい。また、方法で使用されるｄが

に等しいことを保証するため、ｋ’は

ビットの整数であるべきである。そうでない場合、所望の結果を達成するため、ブロック１２０６において、ｋ^＊が偶数ならば、ｋ’をｋ^＊−１と設定し、ｋ^＊が奇数ならば、ｋ^＊−２と設定することができる。この場合、ブロック１２２２は、

ならば、Δを−１と設定し、それ以外の場合、１と設定する。

［演算の安全性］
電力解析に対する開示された点乗算方法の安全性が、このセクションで説明される。ＳＰＡに対する安全性が、最初に検討され、続いて、開示された方法をどのように変換して、ＤＰＡ、２次ＤＰＡ（ｓｅｃｏｎｄ−ｏｒｄｅｒ ＤＰＡ）、およびその他のサイドチャネル攻撃に耐性をもつようにするかが説明される。

コーム法９００、１１００、１２００は、電力解析にとって点減算が点加算と実質的に同じであるという事実を利用する。加えて、開示されるコーム法は、点乗算を計算する各ループにおいて、１つの点加算（または点減算）および１つの２倍算を実行する。これは、すべてのスカラｋについて同じ系列が実行されることを意味する。したがって、ＳＰＡは、実行の電力消費を検査することによって、秘密ｋについてのどのような情報も抽出することができない。言い換えると、コーム法９００、１１００、１２００は、実際にＳＰＡ耐性である。

しかし、ＳＰＡ耐性である点乗算方法が、必ずしもＤＰＡ攻撃に対して耐性があるとは限らない。ランダム化射影座標（ｒａｎｄｏｍｉｚａｔｉｏｎ ｐｒｏｊｅｃｔｉｖｅ ｃｏｏｒｄｉｎａｔｅ）またはランダム同型曲線（ｒａｎｄｏｍ ｉｓｏｍｏｒｐｈｉｃ ｃｕｒｖｅ）が、開示された方法をＤＰＡ耐性方法に変換するために使用することができる。

すぐ上で述べられたランダム化方式が使用される場合、２次ＤＰＡ攻撃は、依然として、コーム法９００、１１００、１２００に有効に適用されることができる。そのような２次攻撃は、どの

がロードされたかを決定するために、電力消費とロードデータのハミング重みの相関を利用する。そのような２次ＤＰＡ攻撃を妨げるため、固定ハミング重みが存在しないように、すべての事前計算点をテーブルに入れた後でランダム化する方式を使用することができる。

最近提案されたＤＰＡ攻撃は、多くのランダム化方式に対する改良された攻撃である。この攻撃は、座標成分の一方がゼロである特別な点を利用する。そのようなＤＰＡ攻撃は、開示されたスカラ乗算方法の応用例において、Ｆ_ｐ（ｐ＞３）上で定義され、ｂがｐを法とする平方剰余（ｑｕａｄｒａｔｉｃ ｒｅｓｉｄｕｅ）ではない楕円曲線Ｅ：ｙ^２＝ｘ^３＋ａｘ＋ｂを単に選択し、入力点として任意の点（ｘ，０）を拒否することによって、対処することができる。濃度＃Ｅ（Ｆ_ｐ）が大きな素数である場合、点（ｘ，０）は、楕円曲線上にないので、適格な入力点になることができない。上述のランダム化技法および対策と組み合わせることで、開示されたコーム法は、電力解析攻撃を妨げることができる。

［演算の効率性］
コーム法８００〜１２００は、２^ｗ−１個の点を必要とする。これらのコーム法の事前計算ステージでは、２^ｄＰ、２^２ｄＰ、．．．、２^{（ｗ−１）ｄ}Ｐが、最初に計算される。これは、（ｗ−１）ｄ回の点２倍算のコストがかかる。その後、（ｂ_ｗ−１，．．．，ｂ_２，ｂ_１）∈（Ｚ_２）^ｗ−１であるすべての可能な組合せ［ｂ_ｗ−１，．．．，ｂ_２，ｂ_１，１］Ｐが、図４の方法４００の事前計算ステージと同様にして計算され、これは、２^ｗ−１−１回の点加算のコストがかかる。事前計算ステージにおける開示されたコーム法の総コストは、したがって、｛（ｗ−１）ｄ｝Ｄ＋｛２^ｗ−１−１｝Ａである。評価ステージにおける開示されたコーム法の時間コストは、ｆｏｒループ後の後処理のために少し異なる。スカラｋがランダムに分布していると仮定すると、評価ステージにおける平均コストは、図８の方法８００の場合、

、図９の方法９００の場合、（ｄ−１）Ｄ＋（ｄ−１）Ａ、図１０の方法１０００の場合、

、図１１の方法１１００および図１２の方法１２００の場合、ｄＤ＋ｄＡである。

図８〜図１０の固定基底コーム法８００、９００、１０００と図４の元の固定基底コーム法４００との比較を行うことができる。表１は、これらの方法の空間および時間コストを一覧で示している。表１のコーム法８００〜１０００は、２^ｗ−１を記憶し、これは、元のコーム法４００における２^ｗ−１個の記憶点の約半数である。加えて、コーム法８００〜１０００は、事前計算ステージにおいて、図４の元のコーム法４００と比べて２^ｗ−１−ｗ回の点加算を節約する。評価ステージは、表１の４つの方法すべてについて、類似した時間コストを有する。事前計算点のための記憶空間をほぼ同じに維持するため、方法８００〜１０００は、コーム法４００で使用される値ｗ＝ｗ_１よりも１大きい、ｗ＝ｗ_１＋１としてｗの値が選択されるような方法で利用されることができる。これは、コーム法４００と類似した記憶

をもたらすが、評価ステージでは、方法８００〜１０００で使用されるより小さなｄのおかげでより高速になる。

図９、図１１、図１２の開示されたＳＰＡ耐性コーム法９００、１１００、１２００とＳＰＡ耐性である方法４００の修正との比較を行うことができる。これらのＳＰＡ耐性方法の空間および時間コストが、表２に一覧で示されている。やはり、ＳＰＡ耐性コーム法９００、１１００、１２００は、事前計算点のために修正コーム法４００の約半数の記憶を使用し、さらに事前計算ステージにおいて、２^ｗ−１−ｗ回の点加算を節約する。方法１１００および１２００は、評価ステージにおいて、修正方法４００と同じ時間コストを有するが、開示された方法９００は、このステージにおいて、１回の点２倍算と１回の点加算を節約する。表２のデータから、ｎがｗで整除可能でない場合、方法９００が最も効率的なＳＰＡ耐性コーム法である。ｎがｗで整除可能である場合、この場合は

は

より１大きく、より高い時間コストをもたらすので、方法１２００が推奨される。

本明細書で開示されたＳＰＡ耐性実施形態とその他のＳＰＡ耐性点乗算方法の比較は有益である。２つのＳＰＡ耐性ｍ進スカラ乗算方法（一方はＳＰＡ耐性である拡張ｍ進方法、他方は図６の記録方法６００を使用するｍ進方法）に関する空間および時間コストが、表３の第２および第３列に一覧で示されている。表２および表３から、図９、図１１、図１２の開示されたＳＰＡ耐性コーム法９００、１１００、１２００は、記録方法６００を使用するｍ進方法と同数の事前計算点を記憶し、それは、その他のＳＰＡ耐性ｍ進方法より１点少ない。

点乗算方法にＳＰＡ攻撃に対する耐性をもたせるため、ｋの特定の値に対する暗号実行手続きの依存性を除去する追加の演算が必要とされる。これは、ＳＰＡ耐性方法の効率が、類似手法の非ＳＰＡ耐性方法と比べて、一般に低下させられることを意味する。最も効率的な点乗算方法は、事前計算および評価ステージの両方を一括した総コストが検討された場合、非ＳＰＡ耐性の符号付きｍ進窓法である。符号付きｍ進窓法コストの空間および時間コストは、表３の第１列に一覧で示されている。この方法は、よりわずかな保存点しか必要としないが、すべてのＳＰＡ耐性方法よりも高速に動作する。空間および時間ペナルティは、セキュリティが最優先課題である多くの応用例ではあまり重要ではない。評価ステージのみが検討された場合、開示されたコーム法は、符号付きｍ進窓法よりも高速である。

［応用例］
方法８００〜１２００は、多くのＥＣＣ応用例で使用することができる。それらは、事前計算が前もってまたは別の誰かによって計算され得る場合に特に効率的であり、多くの応用例でそのようにされている。このセクションは、２つのそのような応用シナリオについて説明する。１つの例は、別個のより強力なコンピューティングサブシステムが、その他の動作を担当する一方で、スマートカードが、秘密を記憶し、重要な暗号演算を実行するための、タンパー耐性（ｔａｍｐｅｒ−ｒｅｓｉｓｔａｎｔ）のある安全な環境を提供するために使用されるシステムである。セルラ電話および無線アプリケーションプロトコル（ＷＡＰ：ｗｉｒｅｌｅｓｓ ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｔｏｃｏｌ）装置は、そのようなシステムの典型的な例である。セルラ電話では、加入者識別モジュール（ＳＩＭ：Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｍｏｄｕｌｅ）カードが、重要な加入者情報と、無線ネットワークへの合法的アクセスを提供する責任を負う認証および暗号化方法とを、安全に記憶するためのスマートカードである。電話のＣＰＵ、メモリ、および記憶装置は、その他の動作を担当する。無線識別情報モジュール（ＷＩＭ：Ｗｉｒｅｌｅｓｓ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）は、ＷＡＰ装置内で同様の役割を演じる。そのようなシステムでは、評価ステージを実行するのにスマートカードを使用する一方で、事前計算をより強力な装置のＣＰＵに委任することが、装置のＣＰＵによって計算される点が識別可能であってもタンパー可能でない場合は、可能であってよい。事前計算は、点自体が秘密でない限り、どのような秘密も含まないことに留意されたい。

楕円曲線デジタル署名アルゴリズム（ＥＣＤＳＡ：Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）が、別の例である。ＥＣＤＳＡは、デジタル署名規格と呼ばれる米国政府規格で指定されたデジタル署名アルゴリズム（ＤＳＡ：Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）の楕円曲線による類似物である。ＥＣＤＳＡは、多くの規格で受け入れられている。ＥＣＤＳＡは、署名生成および検証を含む。Ｐを公知の楕円曲線点、ρを点Ｐの素数位数とする。署名は、以下のようにして生成および検証される。ＥＣＤＳＡ署名生成：メッセージｍに署名するため、鍵ペア（ｄ，Ｑ）に関連付けられた主体Ａは、以下のステップを実行する。

１．１≦ｋ＜ρであるようなランダムまたは擬似ランダムな整数ｋを選択する。

２．ｋＰ＝（ｘ_１，ｙ_１）およびｒ＝ｘ_１ ｍｏｄ ρを計算する。ｒ＝０ならば、ステップ１に戻る。

３．ｋ^−１ ｍｏｄ ρを計算する。

４．ｅ＝ＳＨＡ−１（ｍ）を計算し、ここで、ＳＨＡ−１は、セキュアハッシュ規格で指定されたセキュアハッシュアルゴリズム（ＳＨＡ：Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ）である。

５．ｓ＝ｋ^−１（ｅ＋ｄｒ）ｍｏｄ ρを計算する。ｓ＝０ならば、ステップ１に戻る。

６．メッセージｍに関してＡによって生成された署名は、（ｒ，ｓ）である。

ＥＣＤＳＡ署名検証：メッセージｍ上のＡの署名（ｒ，ｓ）を検証するため、主体Ｂは、Ａの公開鍵Ｑを獲得し、以下のステップを実行する。

１．ｒおよびｓが区間［１，ρ−１］内の整数であることを確認する。

２．ｅ＝ＳＨＡ−１（ｍ）を計算する。

３．ｗ＝ｓ^−１ ｍｏｄ ρを計算する。

４．ｕ_１＝ｅｗ ｍｏｄ ρおよびｕ_２＝ｒｗ ｍｏｄ ρを計算する。

５．Ｘ＝ｕ_１Ｐ＋ｕ_２Ｑ＝（ｘ_１，ｙ_１）を計算する。Ｘ＝０ならば、署名を拒否する。それ以外の場合、ｖ＝ｘ_１ ｍｏｄ ρを計算する。

６．ｖ＝ｒである場合に限って、署名を承認する。

ＥＣＤＳＡ署名の場合、Ｐ、ρ、およびｒ、ｓ、ｅは、公開された値である。スカラｋは、秘密に保たれなければならない。さもないと、私有鍵ｄを式ｓ＝ｋ^−１（ｅ＋ｄｒ）ｍｏｄ ρから導くことができる。したがって、私有鍵ｄおよびＥＣＤＳＡ署名生成は、安全に記憶され、実行されなければならない。これは、Ｐの事前計算点を記憶し、電力解析に対して耐性がある点乗算方法を使用してｋＰを計算する、スマートカードを用いて簡便に達成することができる。本明細書で開示されたＳＰＡ耐性コーム法は、署名を生成する際に評価ステージが実行されるだけなので、この応用例にとって理想的である。他方、ＥＣＤＳＡ署名検証は、どのような秘密鍵も使用しない。ＥＣＤＳＡ署名を検証する際、本明細書で開示された非ＳＰＡ耐性コーム法を、ｕ_１Ｐを計算するために使用することができ、符号付きｍ進窓法が、ｕ_２Ｑを計算するために使用される。これは、Ｐの事前計算点を前もって計算することができるので、点乗算方法の効率的な組合せであり、この場合、コーム法はその他の方法よりも効率的である。対照的に、公開鍵Ｑが主体毎に変化するので、Ｑの事前計算点を前もって計算することができない。この場合、符号付きｍ進窓法が適している。

［例示的な方法］
図１３は、楕円曲線暗号システムの楕円曲線点乗算における使用のために適合され得る、記録システムの動作を示す一実施例１３００を示している。実施１３００は、スマートカード、セルラ電話、ワークステーション、またはメインフレームコンピューティング環境など、多くの異なるコンピューティング環境における使用のために構成される。ブロック１３０２において、奇整数ｋが、２進表現に変換される。２進表現は、例えば、２のベキの係数とすることができる。ブロック１３０２の変換は、ブロック１３０４〜１３０８で説明される例示的な変換など、多くの方法で実行されることができる。ブロック１３０４において、奇整数ｋの２進表現の最低位ｄビットの各ビットが変換される。変換は、各ビットカラム内の最低位ビットが１または

になるような方法で実行される。この変換は、図７のブロック７０４〜７０８で開示された方式で実行されることもできることに留意されたい。ブロック１３０６において、ｄより大きい有効桁にある２進表現のビットが、第ｉ位置にある結果ビットが０または符号付き１になるように変換され、符号付き１は、第（ｉ ｍｏｄ ｄ）位置にあるビットに従って符号が定められる。ブロック１３０６の変換は、図７のブロック７１２〜７１８またはブロック１３０８に示されるような様々な異なる方式で実行することができる。ブロック１３０８において、現在ビットの符号が、同じコームビットカラム内の最低位ビットの符号と比較される。符号が異なり、かつ現在ビットが１である場合、現在ビットは

に設定され、ｋの値を維持するために、隣接するより高位のビットの値が１だけインクリメントされる。ブロック１３１０において、２進表現が、どのビットカラムも符号付き奇整数であるコームビットカラムとして構成される。より具体的には、実施１３００は、各コームビットカラム

について、

および

、ｊ≠０を生成することができ、ここで、

は−１と定義される。

図１４は、楕円曲線点乗算システムの動作１４００の一例を示している。ブロック１４０２において、点Ｐおよび整数ｋが受け取られ、ここで、ｋは偶整数または奇整数である。ブロック１４０４において、少なくとも部分的にｋの値に基づいて、ｋ’が設定され、ここで、ｋ’は奇整数である。例えば、図８のブロック８０６において、ｋの偶数または奇数の状態に基づいて、ｋ’が設定される。ブロック１４０６において、奇整数ｋ’が、どのビットカラムも符号付き奇整数である、ビットカラムを含む２進表現に変換される。例えば、これは、図７の方法７００に従って実行することができる。したがって、動作１４０６は、各コームビットカラム

について、

および

、ｊ≠０を生成することができ、ここで、

は−１と定義することができる。ブロック１４０８において、コームビットカラムおよび点Ｐが、値Ｑを計算するために処理され、ここで、Ｑは、ｋの異なる値に対して異なるように設定することができる。例えば、ブロック８１８、９１６、１０１８、１０２２〜１０２４、１１２０、１２２２〜１２２４はすべて、部分的にｋに基づいてＱを設定する。ブロック１４１０において、Ｑが出力され、ここで、ＱはｋＰを表す。

本明細書で説明される方法はどれも、スマートカード、コンピュータシステム、または任意のデジタル処理装置および／もしくはコンポーネント上で実行することができる。例えば、方法は、プロセッサおよび／またはコンピュータ可読媒体上に定義された命令の実行によって実行されることができる。本明細書で使用される「プロセッサ可読媒体」とは、スマートカード上、コンピュータ上、または任意のコンピューティングもしくは計算装置および／もしくはコンポーネント上のいずれにおいてであれ、プロセッサによって使用または実行される命令を格納または保存することができる任意の手段とすることができる。プロセッサ可読媒体は、限定することなく、電子、磁気、光、電磁気、赤外線、または半導体システム、機器、装置、またはコンポーネントとすることができる。プロセッサ可読媒体のより具体的な例は、とりわけ、スマートカード上のメモリコンポーネント、ポータブルコンピュータディスケット、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能なプログラム可能読み取り専用メモリ（ＥＰＲＯＭまたはフラッシュメモリ）、光および／または磁気メモリ、再書き込み可能コンパクトディスク（ＣＤＲＷ）、ならびにポータブルコンパクトディスク読み取り専用メモリ（ＣＤＲＯＭ）を含む。

１つまたは複数の方法が、フローチャートおよびフローチャートのブロックに関連する文によって開示されたが、ブロックはそれらが提示された順序で必ずしも実行される必要がなく、代替順序でも類似の利点をもたらすことができることを理解されたい。さらに、方法は排他的ではなく、単独または互いに組み合わされて実行されることができる。

［例示的なコンピューティング環境］
図１５は、楕円曲線暗号システムを実施するのに適した例示的なコンピューティング環境を示している。１つの具体的な構成が示されているが、特定の応用例の必要を満たすために、任意のコンピューティング環境を代用することができる。コンピューティング環境１５００は、コンピュータ１５０２の形態をとる汎用コンピューティングシステムを含む。コンピュータ１５０２の構成要素は、１つまたは複数のプロセッサまたは処理ユニット１５０４と、システムメモリ１５０６と、プロセッサ１５０４を含む様々なシステム構成要素をシステムメモリ１５０６に結合するシステムバス１５０８とを含むが、これらに限定されない。システムバス１５０８は、メモリバスもしくはメモリコントローラ、周辺バス、周辺機器相互接続（ＰＣＩ）バス、アクセラレーテッドグラフィックスポート、および様々なバスアーキテクチャのいずれかを使用するプロセッサもしくはローカルバスを含む、複数のタイプのバス構造のうちの１つまたは複数を表す。

コンピュータ１５０２は、典型的には、様々なコンピュータ可読媒体を含む。そのような媒体は、コンピュータ１５０２によってアクセス可能な任意の利用可能な媒体とすることができ、揮発性および不揮発性、着脱可能および固定式の媒体を含む。システムメモリ１５０６は、ランダムアクセスメモリ（ＲＡＭ）１５１０などの揮発性メモリおよび／または読み取り専用メモリ（ＲＯＭ）１５１２などの不揮発性メモリの形態をとるコンピュータ可読媒体を含む。基本入出力システム（ＢＩＯＳ）１５１４は、起動中などにコンピュータ１５０２内の要素間での情報伝送を助ける基本ルーチンを含み、ＲＯＭ１５１２内に保存される。ＲＡＭ１５１０は、典型的には、処理ユニット１５０４から即座にアクセス可能な、および／または処理ユニット１５０４が現在それに基づいて動作している、データおよび／またはプログラムモジュールを含む。

コンピュータ１５０２は、その他の着脱可能／固定式、揮発性／不揮発性コンピュータ記憶媒体も含むことができる。例を挙げると、図１５は、固定式の不揮発性磁気媒体（図示されず）から読み取り、それに書き込むためのハードディスクドライブ１５１６と、着脱可能な不揮発性磁気ディスク１５２０（例えば「フロッピー（登録商標）ディスク」）から読み取り、それに書き込むための磁気ディスクドライブ１５１８と、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、またはその他の光媒体などの着脱可能な不揮発性光ディスク１５２４から読み取り、それに書き込むための光ディスクドライブ１５２２を示している。ハードディスクドライブ１５１６、磁気ディスクドライブ１５１８、および光ディスクドライブ１５２２は各々、１つまたは複数のデータ媒体インターフェース１５２５によって、システムバス１５０８に接続される。代替として、ハードディスクドライブ１５１６、磁気ディスクドライブ１５１８、および光ディスクドライブ１５２２は、ＳＣＳＩインターフェース（図示されず）によって、システムバス１５０８に接続することもできる。

ディスクドライブおよび関連するコンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、およびその他のデータの不揮発性記憶を、コンピュータ１５０２に提供する。例はハードディスク１５１６、着脱可能な磁気ディスク１５１８、および着脱可能な光ディスク１５２４を示しているが、磁気カセット、またはその他の磁気記憶装置、フラッシュメモリカード、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）、またはその他の光記憶、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、および電気的消去可能なプログラム可能読み取り専用メモリ（ＥＥＰＲＯＭ）など、コンピュータによってアクセス可能なデータを記憶することができるその他のタイプのコンピュータ可読媒体も、例示的なコンピューティングシステムおよび環境を実施するために利用され得ることを理解されたい。

例を挙げると、オペレーティングシステム１５２６、１つまたは複数のアプリケーションプログラム１５２８、その他のプログラムモジュール１５３０、およびプログラムデータ１５３２を含む任意の数のプログラムモジュールが、ハードディスク１５１６、磁気ディスク１５２０、光ディスク１５２４、ＲＯＭ１５１２、および／またはＲＡＭ１５１０上に保存されることができる。そのようなオペレーティングシステム１５２６、１つまたは複数のアプリケーションプログラム１５２８、その他のプログラムモジュール１５３０、およびプログラムデータ１５３２の各々（またはそれらの何らかの組合せ）は、ユーザネットワークアクセス情報のためのキャッシュ方式の一実施形態を含むこともできる。

コンピュータ１５０２は、通信媒体として識別される様々なコンピュータ／プロセッサ可読媒体を含むことができる。通信媒体は、典型的には、コンピュータ可読命令、データ構造、プログラムモジュール、またはその他のデータを、搬送波またはその他のトランスポート機構などの変調データ信号中に具現し、任意の情報伝達媒体を含む。「変調データ信号」という用語は、信号中に情報を符号化するような方式で設定または変更された１つまたは複数の特徴を有する信号を意味する。限定することなく例を挙げると、通信媒体は、有線ネットワークまたは直接配線接続などの有線媒体、ならびに音響、ＲＦ、赤外線、およびその他の無線媒体などの無線媒体を含む。上記の任意のものの組合せも、コンピュータ可読媒体の範囲内に含まれる。

ユーザは、キーボード１５３４およびポインティングデバイス１５３６（例えば「マウス」）などの入力装置を介して、コンピュータシステム１５０２にコマンドおよび情報を入力することができる。その他の入力および／または周辺装置１５３８（具体的に図示されず）は、スマートカードおよび／もしくはスマートカードリーダ、マイクロフォン、ジョイスティック、ゲームパッド、衛星放送受信アンテナ、シリアルポート、ならびに／またはスキャナを含むことができる。上記およびその他の入力装置は、システムバス１５０８に結合される入力／出力装置インターフェース１５４０を介して処理ユニット１５０４に接続されるが、パラレルポート、ゲームポート、またはユニバーサルシリアルバス（ＵＳＢ）などのその他のインターフェースおよびバス構造によって接続されることもできる。

モニタ１５４２またはその他のタイプの表示装置も、ビデオアダプタ１５４４などのインターフェースを介して、システムバス１５０８に接続される。モニタ１５４２に加えて、その他の出力周辺装置は、入力／出力装置インターフェース１５４０を介してコンピュータ１５０２に接続されることができる、スピーカ（図示されず）およびプリンタ１５４６など構成要素を含むことができる。

コンピュータ１５０２は、リモートコンピューティング装置１５４８などの１つまたは複数のリモートコンピュータへの論理コネクションを使用して、ネットワーク環境で動作することができる。例を挙げると、リモートコンピューティング装置１５４８は、パーソナルコンピュータ、ポータブルコンピュータ、サーバ、ルータ、ネットワークコンピュータ、およびピア装置またはその他の共通ネットワークノードなどとすることができる。リモートコンピューティング装置１５４８は、コンピュータシステム１５０２に関して説明された要素および特徴の多くまたはすべてを含むことができるポータブルコンピュータとして示されている。

コンピュータ１５０２とリモートコンピュータ１５４８の間の論理コネクションは、ローカルエリアネットワーク（ＬＡＮ）１５５０および汎用ワイドエリアネットワーク（ＷＡＮ）１５５２として示されている。そのようなネットワーク環境は、オフィス、企業規模のコンピュータネットワーク、イントラネット、およびインターネットにおいて一般的である。ＬＡＮネットワーク環境で実施される場合、コンピュータ１５０２は、ネットワークインターフェースまたはアダプタ１５５４を介して、ローカルネットワーク１５５０に接続される。ＷＡＮネットワーク環境で実施される場合、コンピュータ１５０２は、典型的には、モデム１５５６またはＷＡＮ１５５２を介する通信を確立するためのその他の手段を含む。モデム１５５６は、コンピュータ１５０２に対して内蔵または外付けとすることができ、入力／出力装置インターフェース１５４０またはその他の適切な機構を介してシステムバス１５０８に接続される。示されたネットワーク接続は、例示的なものであり、コンピュータ１５０２および１５４８間の通信リンクを確立するその他の手段も利用されることができることを理解されたい。

コンピューティング環境１５００を用いて説明されたようなネットワーク環境では、コンピュータ１５０２またはその部分に関して説明されたプログラムモジュールは、リモートメモリ記憶装置に保存されることができる。例を挙げると、リモートアプリケーションプログラム１５５８は、リモートコンピュータ１５４８のメモリ装置上に存在する。説明の目的で、アプリケーションプログラム、およびオペレーティングシステムなどのその他の実行可能プログラムコンポーネントは、本明細書では別個のブロックとして示されているが、そのようなプログラムおよびコンポーネントは、様々な時にコンピュータシステム１５０２の異なる記憶コンポーネント内に存在し、コンピュータのデータプロセッサによって実行されることは理解されよう。

内部スマートカード１５６２を有するセルラ電話１５６０は、コーム法８００〜１４００が利用され得るさらなる環境を提供する。セルラ電話は、コンピュータ１５０２と通信するように構成され、コンピュータ１５０２は、セルラ電話通信事業者またはサービスに関連付けられることができる。そのような環境では、ＥＣＣ方法は、例えば、この場合はコンピュータ１５０２を運用するセルラサービスプロバイダの合法的顧客としての、セル電話１５６０の真正性を確立するために使用することができる。

［結び］
図７の新規な符号付き奇数限定コーム記録方法７００は、奇整数のコームの系列のコームビットカラムを、符号付き奇数限定非ゼロ表現に変換する。この記録方法を使用して、図８〜図１２の複数の新規な非ＳＰＡ耐性およびＳＰＡ耐性のコーム法８００〜１２００が、楕円曲線暗号システムのための点乗算を計算するように構成される。開示されたコーム法は、既知の非ＳＰＡ耐性およびＳＰＡ耐性のコーム法と比べて、より少量の点しか記憶せず、より高速に動作する。加えて、開示された符号付き奇数限定コーム法は、コーム法の利点を継承し、事前計算点が前もってまたはどこかで計算される場合、窓法および非ＳＰＡ耐性符号付きｍ進窓法よりもはるかに高速に動作する。したがって、図８〜図１２の符号付き奇数限定コーム法８００〜１２００は、電力およびコンピューティング資源が貴重であるスマートカードおよび埋め込みシステムでの使用によく適している。楕円曲線およびパラメータを選択する際に、ランダム化技法および所定の事前対策と組み合わされた場合、ＳＰＡ耐性のコーム法は、すべてのサイドチャネル攻撃を妨げることができる。

最後に、本開示の態様は、好ましい実施形態の構造的および／または方法的特徴を具体的に説明する言葉を含むが、添付の特許請求の範囲が、説明された具体的な特徴および動作に限定されないことを理解されたい。むしろ、具体的な特徴および動作は、例示的な実施としてのみ開示され、より一般的な概念の代表である。さらに、多くの特徴は、これらの特徴が対処し得る例示的な問題を最初に識別することによって、本明細書では説明された。こうした説明の方法は、他人が本明細書で指定された方法で問題を認識および／または表現していたことの承認を構成しない。当技術分野に存在する問題の認識および表現は、本発明の一部として理解されるべきである。より具体的には、本開示の「背景技術」セクションで説明された特徴が従来技術を構成することの承認は本明細書には存在しない。さらに、本開示の「課題を解決するための手段」セクションおよび要約書で説明された主題は、特許請求の範囲で説明される主題を限定しない。

例示的な既存の楕円曲線点乗算方法を示す図である。 例示的な既存の楕円曲線点乗算方法を示す図である。 例示的な既存の楕円曲線点乗算方法を示す図である。 例示的な既存の楕円曲線点乗算方法を示す図である。 単純電力解析に対して耐性のある例示的な既存の楕円曲線点乗算方法または対応する記録方法示す図である。 単純電力解析に対して耐性のある例示的な既存の楕円曲線点乗算方法または対応する記録方法示す図である。 奇数スカラのための符号付き奇数限定コーム記録方法の一例を示す図である。 奇数または偶数スカラのための符号付き奇数限定コーム楕円曲線点乗算方法の一例を示す図である。 奇数位数の点のための符号付き奇数限定コーム楕円曲線点乗算方法の一例を示す図である。 ｗで整除可能なｎのための符号付き奇数限定コーム楕円曲線点乗算方法の一例を示す図である。 ＳＰＡ耐性をもつ符号付き奇数限定コーム楕円曲線点乗算方法の一例を示す図である。 ｗで整除可能な

のためのＳＰＡ耐性をもつ符号付き奇数限定コーム楕円曲線点乗算方法の一例を示す図である。
汎用的利用を有する、またはコーム楕円曲線点乗算用もしくは暗号システム内で利用され得る記録の一実施形態例を示す図である。 コーム楕円曲線点乗算システムの動作の一実施形態例を示す図である。 コーム楕円曲線点乗算方法を実施するのに適した例示的なコンピューティング環境を示す図である。

Claims (15)

1. 少なくともプロセッサを備え、入力装置および出力装置と接続されたコンピュータによって実行される方法であって、
   前記入力装置を介して受け取った奇整数ｋを、前記プロセッサによって２進表現に変換するステップと、
   前記プロセッサによってコームビットカラムの各々が符号付き奇整数のコームビットカラムとして前記２進表現を構成するステップであって、該構成されたコームビットカラムは前記出力装置を介して出力される、ステップと
   を含み、前記構成するステップは、各コームビットカラム
   

   

   について、
   

   

   および
   

   

   、ｊ≠０に従って、前記２進表現を構成することを含み、ｗは、ｗ≧２となる整数であることを特徴とする方法。
2. 前記変換するステップは、
   各ビットカラム内の最低位ビットが１または−１になるように、前記奇整数ｋの前記２進表現の最低位ｄビットの各ビットを変換することと、
   第ｉ位置にある結果ビットが０または符号付き１になるように、ｄより大きい有効桁にある前記２進表現のビットを変換することであって、前記符号付き１は、第（ｉ ｍｏｄ ｄ）位置にあるビットに従って符号が定められることと
   を含むことを特徴とする請求項１に記載の方法。
3. 前記最低位ｄビットの各ビットを変換することは、
   インデックスｉが最低位ビットからより高位のビットに移動するループを構成することであって、該ループ内において、前記最低位ｄビットを、
   ｂ_i＝１ならば、
   

   

   と設定し、
   ｂ_i＝０ならば、
   

   

   および
   

   

   と設定することを含むことを特徴とする請求項２に記載の方法。
4. ｄより大きい有効桁にある前記２進表現のビットを変換することは、
   現在ビットの符号を同じコームビットカラム内の最低位ビットの符号と比較することを含み、
   前記符号が異なり、かつ前記現在ビットが１である場合、前記現在ビットを
   

   

   に設定し、ｋの値を維持するために、隣接するより高位のビットの値を１だけインクリメントすること
   を特徴とする請求項２に記載の方法。
5. ｄより大きい有効桁にある前記２進表現のビットを変換することは、
   ｅの初期値を設定することと、
   ループを構成することであって、該ループ内において、
   ｅが奇数であり、かつ
   

   

   である場合、
   

   

   および
   

   

   と設定し、
   それ以外の場合、
   

   

   および
   

   

   と設定すること
   を含むことを特徴とする請求項２に記載の方法。
6. 前記入力装置を介して点Ｐおよび整数ｋをさらに受け取ることと、
   前記変換するステップおよび前記構成するステップの前に、前記プロセッサによって少なくとも部分的にｋの値に基づいて奇整数ｋ’を設定することと、
   前記奇整数ｋ’を２進表現に変換し、前記構成するステップに従って、前記プロセッサによって前記奇整数ｋ’の前記２進表現のコームビットカラムを計算することと、
   前記プロセッサによって前記コームビットカラムおよび前記点Ｐを処理して値Ｑを計算することと、
   前記出力装置を介して、計算した値Ｑを出力することと
   をさらに含むことを特徴とする請求項１に記載の方法。
7. 前記奇整数ｋ’を設定することは、前記整数ｋが偶数である場合、ｋ’＝ｋ＋１と設定し、それ以外の場合、ｋ’＝ｋと設定することを含み、
   前記コームビットカラムおよび前記点Ｐを処理して値Ｑを計算することは、
   Ｑを無限遠点に設定することと、
   ループを構成することであって、該ループ内において、最初にＱを２倍にし、次に前記Ｐ倍したコームビットカラムの量に前記２倍したＱを加算した値を、前記値Ｑとすることと、
   前記整数ｋが偶数である場合、前記値ＱからＰを減算することと
   をさらに有することを特徴とする請求項６に記載の方法。
8. 前記奇整数ｋ’を設定することは、ｋ ｍｏｄ ４の値に基づいて、ｋ’を設定することを含み、
   前記コームビットカラムおよび前記点Ｐを処理して値Ｑを計算することは、ｋ ｍｏｄ ４の値に従って、前記値Ｑを計算することを含むことを特徴とする請求項６に記載の方法。
9. 前記奇整数ｋ’を設定することは、前記整数ｋが偶数である場合、ｋ’＝ｋ＋１と設定し、それ以外の場合、ｋ’＝ｋ＋２と設定することを含み、
   前記コームビットカラムおよび前記点Ｐを処理して値Ｑを計算することは、前記整数ｋが偶数であるか、奇数であるかに応じて、前記値Ｑを異なるように計算することを含むことを特徴とする請求項６に記載の方法。
10. 前記点Ｐは、奇数位数ρの点Ｐであり、
    前記奇整数ｋ’を設定することは、ρおよびｋの関数としてｋ’を設定することを含む
    ことを特徴とする請求項６に記載の方法。
11. 前記奇整数ｋ’を設定することは、前記整数ｋが奇数である場合、ｋ’＝ｋと設定し、それ以外の場合、ｋ’＝ρ−ｋと設定することによって、前記奇整数ｋ’を設定することを含み、
    前記コームビットカラムおよび前記点Ｐを処理して値Ｑを計算することは、
    Ｑを無限遠点に設定することと、
    ループを構成することであって、該ループ内において、最初にＱを２倍にし、次に、前記整数ｋが奇数であるか、偶数であるかに応じて、前記Ｐ倍したコームビットカラムの量を、Ｑに加算、またはＱから減算することと
    をさらに含むことを特徴とする請求項１０に記載の方法。
12. 前記奇整数ｋ’を設定することは、
    

    

    である場合、ｋ^*＝ρ−ｋと設定し、それ以外の場合、ｋ^*＝ｋと設定することに従って、ｋ^*を設定することと、
    ｋ^*が偶数である場合、ｋ’＝ｋ^*＋１と設定し、それ以外の場合、ｋ’＝ｋ^*＋２と設定することによって、前記奇整数ｋ’を設定することと
    を含み、
    前記コームビットカラムおよび前記点Ｐを処理して値Ｑを計算することは、
    Ｑを無限遠点に設定することと、
    ループを構成することであって、該ループ内において、最初にＱを２倍にし、次に前記整数ｋが
    

    

    より大きいかどうかに応じて、前記Ｐ倍されたコームビットカラムの量を、Ｑから減算、またはＱに加算することと、
    Ｐ₂＝２Ｐを計算することと、
    前記整数ｋが
    

    

    より大きい場合、Δ＝１と設定し、それ以外の場合、Δ＝−１と設定することによって、Δを設定することと、
    ｋ^*が偶数である場合、ΔＰをＱに加算した値をＱに加算し、それ以外の場合、ΔＰ₂をＱに加算した値をＱに加算することと
    をさらに含むことを特徴とする請求項１０に記載の方法。
13. 奇整数ｋを受け取る手段と、
    前記奇整数ｋを２進表現に変換する手段と、
    前記２進表現を符号付き奇整数のコームビットカラムとして構成する手段と、
    前記コームビットカラムを出力する手段と
    を備えたコンピュータシステムであって、前記構成する手段は、各コームビットカラム
    

    

    について、
    

    

    および
    

    

    、ｊ≠０に従って、前記２進表現を構成することを含み、ｗは、ｗ≧２となる整数であることを特徴とするコンピュータシステム。
14. 前記変換する手段は、
    前記２進表現の最低位ｄビットの各ビットを変換する手段であって、インデックスｉが最低位ビットからより高位のビットに移動するループを構成し、該ループ内において、前記最低位ｄビットを、
    ｂ_i＝１ならば、
    

    

    と設定し、
    ｂ_i＝０ならば、
    

    

    および
    

    

    と設定することによって、前記最低位ｄビットの各ビットを変換する手段と、
    前記２進表現のｄより大きい有効桁にあるビットを変換する手段であって、
    ｅの初期値を設定することと、
    ループを構成し、ループ内において、
    ｅが奇数であり、かつ
    

    

    である場合、
    

    

    および
    

    

    と設定し、
    それ以外の場合、
    

    

    および
    

    

    と設定することとを有する手段と
    を有することを特徴とする請求項１３に記載のコンピュータシステム。
15. 少なくともプロセッサを備え、入力装置および出力装置に接続されたコンピュータに、
    前記入力装置を介して受け取った奇整数ｋを、前記プロセッサによって２進表現に変換するステップと、
    前記プロセッサによってコームビットカラムの各々が符号付き奇整数のコームビットカラムとして前記２進表現を構成するステップであって、該構成されるコームビットカラムは前記出力装置を介して出力される、ステップと
    を実行させるプログラムであって、前記構成するステップは、各コームビットカラム
    

    

    について、
    

    

    および
    

    

    、ｊ≠０に従って、前記２進表現を構成することを含み、ｗは、ｗ≧２となる整数であることを特徴とするプログラム。

Images