JP5336056B2 - 高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算方法及び加算演算装置 - Google Patents

Description

本発明は、暗号化方法に係り、特に高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算方法に関する。

情報化社会の到来による情報伝送媒体の発達と共に、情報の安全性を保証するための暗号化及び復号化方案も多角的に摸索されている。そのうち、ＲＳＡ（Ｒｉｖｅｓｔ Ｓｈａｍｉｒ Ａｄｌｅｍａｎ）暗号化システム及び楕円曲線暗号化（ＥＣＣ：Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｇｒａｐｈｙ）システムのような公開キー形式の暗号化方式が広く使われている。整数除算に対するアルゴリズムが定義されないので、十分に大きい整数を公開キーとして使用することによって、公開キー形式の暗号化方式は、システムの安全性を保証しうる。
特に、ＥＣＣシステムは、比較的短いキーサイズでも高い安全性が確保でき、スマートカード及び電子署名に広く使われている。ＥＣＣシステムは、楕円曲線と呼ばれる数式によって定義される特殊な加算法を基盤として暗号化／復号化する暗号化方式である。

具体的に、ＥＣＣ法は、任意の楕円曲線Ｅと楕円曲線Ｅ上の一点Ｐとをシステムパラメータとして使用する。暗号化通信を所望するユーザ１は、ランダムに整数ｋを生成し、ｋとＰとを乗算してＱ（＝ｋ×Ｐ）を生成する。ユーザ１は、Ｑを公開キーとして公開し、ｋをユーザ１の秘密キーとして安全に保存する。
逆に、ユーザ１にメッセージＭを秘密裏に伝送しようとするユーザ２は、まずランダムに整数ｄを生成し、システムパラメータのうち一つであるＰと整数ｄとを乗算してＡ（＝ｄ×Ｐ）を生成する。ユーザ１が提供した公開キーＱと伝送しようとするメッセージＭとを使用してＢ（＝Ｍ＋ｄ×Ｑ）を生成する。最後に、ユーザ２は、最終結果暗号文Ａ、Ｂをユーザ１に伝送する。
ユーザ２から暗号文Ａ、Ｂを伝達されたユーザ１は、自身の秘密キーｋを使用してｋ×Ａを計算した後、次の数式１のような演算を行ってメッセージＭを復元する。
Ｍ＝Ｂ−ｋ×Ａ ・・・（１）

このようなＥＣＣシステムを攻略するための方案として、演算されている変数値の差を利用して暗号システムの秘密キーを探し出す差分欠陥分析（Ｄｉｆｆｅｒｅｎｔｉａｌ Ｆａｕｌｔ Ａｎａｌｙｓｉｓ：ＤＦＡ）が広く知られている。ＤＦＡは、欠陥（ｆａｕｌｔ）を暗号システムに投入し、投入された欠陥に対応する演算結果を分析し、暗号システムの秘密キーを探す方法である。
暗号システムは、所定の演算を行う時にレジスターに保存された値を参照するが、レジスターに保存されるまたは保存された値は、欠陥によって変更される。したがって、暗号システムの演算結果に、欠陥によって変更された値に対応するエラーが含まれる。
エラーを含んで出力される演算結果を解析することによって、秘密キーについての情報は露出される。したがって、ＤＦＡに対応するために、ＥＣＣシステムで使われる色々な方法が提案されている。

図１は、ＤＦＡに対応するＣＴ＆Ｃ（Ｃａｌｃｕｌａｔｅ Ｔｗｉｃｅ ａｎｄ Ｃｈｅｃｋ）法を示すフローチャートである。
ＣＴ＆Ｃ法１００は、まず、楕円曲線のうち任意の一点Ｐを選択した後（Ｓ１１０）、Ｐに任意の整数ｋを乗算して第１比較値Ｑ１を求め（Ｓ１２０）、Ｐに整数ｋを乗算して第２比較値Ｑ２を求める（Ｓ１３０）。このとき、所定の整数ｋは、秘密キーを意味する。
次いで、第１比較値Ｑ１と第２比較値Ｑ２との大きさを比較し（Ｓ１４０）、第１比較値Ｑ１と第２比較値Ｑ２とが同一ならば、乗算演算にいかなる欠陥も流入されていないと判断して、第１比較値Ｑ１及び第２比較値Ｑ２のうち一つが演算結果Ｑとして出力される（Ｓ１５０）。一方、第１比較値Ｑ１と第２比較値Ｑ２とが同一でなければ、乗算演算に欠陥が流入されたと判断して、演算結果Ｑの代わりに警告信号が出力される（Ｓ１６０）。

図２は、ＤＦＡに対応するＣＯＰ（Ｃｈｅｃｋ ｔｈｅ Ｏｕｔｐｕｔ Ｐｏｉｎｔ）方法を示すフローチャートである。
ＣＯＰ法２００は、まず楕円曲線のうち任意の一点Ｐを選択し（Ｓ２１０）、Ｐに所定の整数ｋを乗算して比較値Ｑを求める（Ｓ２２０）。このとき、所定の整数ｋは、秘密キーを意味する。
次いで、比較値Ｑが楕円曲線Ｅの一点であるか否かを判断して（Ｓ２３０）、比較値Ｑが楕円曲線Ｅの一点ならば、乗算演算にいかなる欠陥も流入されていないと判断して、比較値Ｑが出力される（Ｓ２４０）。一方、比較値Ｑが楕円曲線Ｅの一点でなければ、乗算演算中に欠陥が流入されたケースに該当すると判断して、比較値Ｑの代わりに警告信号が出力される（Ｓ２５０）。

しかし、図１のＣＴ＆Ｃ法１００は、同じ乗算計算を２回もしなければならないという短所があり、図２のＣＯＰ法２００は、図１のＣＴ＆Ｃ法１００に比べて計算が簡単であるという長所があるが、その適用範囲が制限的であるだけでなく、符号の変わる欠陥を利用した攻撃に対応する場合には、システムの実行能力が非常に低下するという短所がある。したがって、モンゴメリパワーラダーアルゴリズム（ＭＰＬＡ：Ｍｏｎｔｇｏｍｅｒｙ Ｐｏｗｅｒ Ｌａｄｄｅｒ Ａｌｇｏｒｉｔｈｍ）または高速ＭＰＬＡ（ＦＭＰＬＡ：Ｆａｓｔ Ｍｏｎｔｇｏｍｅｒｙ Ｐｏｗｅｒ Ｌａｄｄｅｒ Ａｌｇｏｒｉｔｈｍ）を利用して、ＤＦＡに対応する方案が摸索されている。

前述したＥＣＣ法を参照すれば、Ｐ及びＱ値を通じてｋを求めるためには、離散対数演算が行われねばならない。離散対数演算は、有限体に楕円曲線の特性を適用して行われ、暗号プロトコルの秘密性の基礎となる。簡単には、離散対数演算とは、Ｑ＝ｋ×Ｐで、ＱとＰとからｋを求める演算である。
したがって、ＥＣＣ法でスカラー積演算は、重要な演算のうち一つであるということが分かる。ＭＰＬＡとは、有限体におけるスカラー積演算を行う方法のうちの一つである。以下では、ＭＰＬＡについてさらに詳細に説明する。
一般的なＭＰＬＡでは、まず、２個の変数を次の数式２のように定義する。

数式２の二変数間の関係についての他の数学的表現は、次の数式３の通りである。任意の整数ｋは、複数の２進ビット（ｋ＝（ｋ_ｔ−１，．．．，ｋ_１，ｋ_０）_２、ｔは整数、以下同様）で表現され、ｋ_ｉは、反復媒介変数ｉ（ｉは整数、以下同様）に対応するビットの値を表す。このとき、ｋ_ｔ−１は、常に“１”の値を有する。数式２に表現された二変数間の関係は、次の数式３のように再整理されうる。

数式３に表示された二変数間の関係を変数ｊ値によって異ならせて表現すれば、次の数式４のように表現しうる。

数式４の導出過程は、本発明の属する技術分野の当業者に広く知られた事項であるので、それについての詳細な説明は省略する。Ｌ_ｊとＨ_ｊとは、後述する図３及びアルゴリズム１で、ＥＣＣシステムにおける楕円曲線上の２ポイントであるＰ_１及びＰ_２にマッピングされる。

図３は、ＭＰＬＡを利用してＥＣＣ法におけるスカラー積演算を行う方法を示すフローチャートである。
図３を参照すれば、ＭＰＬＡを利用したスカラー積演算方法３００は、まず、基本ポイントＰとスカラーｋ（ｋは整数、以下同様）とを受信する（Ｓ３０１）。次いで、スカラー積を反復演算するための変数が設定される（Ｓ３０３）。
ｋは、数式２で前述したように設定される。また、第１変数Ｐ_１は、基本ポイントＰに、そして、第２変数Ｐ_２は、基本ポイントＰの２倍、すなわち２×Ｐに設定される。反復媒介変数ｉは、ｔ−１に初期化される。
変数が設定された後には、反復演算によってスカラー積Ｑ＝ｋ×Ｐが計算される。すなわち、反復媒介変数ｉを０まで減少させつつ（Ｓ３０５、Ｓ３１３）、それぞれの２進ビットｋ_ｉによって（Ｓ３０７）、第１及び第２変数を再設定（Ｓ３１０、Ｓ３１１）する過程を反復し、ｉが０まで減少した場合（Ｓ３１３）の第１変数Ｐ_１をスカラー積Ｑ＝ｋ×Ｐとして出力する（Ｓ３１５）。

このとき、“Ｐ_２←２Ｐ_２”及び“Ｐ_１←２Ｐ_１”は、楕円曲線ポイントの２倍演算を、“Ｐ_１←Ｐ_１＋Ｐ_２”及び“Ｐ_２←Ｐ_１＋Ｐ_２”は、楕円曲線ポイントの加算演算を意味する。ところが、図３の一般的なＭＰＬＡは、それぞれの反復演算で加算演算と２倍演算とが行われるので、性能において、大きな劣化を発生させる。このような劣化を防止するために、Ｙ座標形態の計算が除外されたループ計算を行った後、Ｙ座標を再定義するＦＭＰＬＡを利用したスカラー積演算方法が提案された。

ＦＭＰＬＡを通じて楕円曲線上の２ポイント（Ｐ_１（Ｘ_１,Ｚ_１）、Ｐ_２（Ｘ_２,Ｚ_２））の２倍演算及び加算演算を行うための、素数有限体における２倍演算及び加算演算は、それぞれ次の数式５及び数式６で定義される。

数式５及び数式６を参照すれば、計算中にＹ座標が含まれないということが分かる。
ところが、数式６の加算演算は、２ポイント（Ｐ_１（Ｘ_１,Ｚ_１）、Ｐ_２（Ｘ_２,Ｚ_２））のＺ座標の差（Ｚ_Ｄ＝Ｚ_２−Ｚ_１）が“１”であることを前提している。しかし、ＦＭＰＬＡを利用した欠陥検索方法は、２ポイントの差を利用して欠陥の流入如何を検出する。
したがって、数式６の加算演算を、ＦＭＰＬＡを利用する欠陥検出方法に使用する場合、ＥＣＣシステムは、誤った欠陥流入分析結果を導出する恐れがある。欠陥分析のエラーは、暗号化システムを無力化させて深刻な問題をもたらす。

本発明が解決しようとする技術的課題は、ＦＭＰＬＡを利用する欠陥検出動作で、エラーなしに欠陥を検出するための二進有限体におけるポイント加算方法を提供することである。
本発明が解決しようとする他の技術的課題は、ＦＭＰＬＡを利用する欠陥検出動作で、エラーなしに欠陥を検出するための二進有限体におけるポイント加算演算装置を提供することである。

前記課題を達成するための本発明の実施形態による二進有限体におけるポイント加算演算方法は、楕円曲線上の基本ポイントを利用して設定された第１ポイント及び第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第１座標値を算出するステップと、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第２座標値を算出するステップと、を含む。
前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算は、前記第１ポイント及び前記第２ポイントの第１座標値と第２座標値との差を反映する。
前記ＦＭＰＬＡを利用する欠陥検出動作は、ＥＣＣシステムに適用される。前記第１座標値は、“Ｘ”座標値であり、前記第２座標値は、“Ｚ”座標値である。

前記第１ポイントをＰ_１（Ｘ_１,Ｚ_１）、前記第２ポイントをＰ_２（Ｘ_２,Ｚ_２）とし、前記第１ポイント及び前記第２ポイントのＸ座標値の差（Ｘ_２−Ｘ_１）とＺ座標値の差（Ｚ_２−Ｚ_１）とをそれぞれＸ_Ｄ及びＺ_Ｄとするとき、前記第１ポイント及び前記第２ポイントについての加算演算の結果であるＰ_３（Ｘ_３,Ｚ_３）は、次の通りである。

前記課題を達成するための本発明の他の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算方法で、前記第２ポイントの前記第２座標値は、所定数に固定される。前記第２ポイントの第２座標値は、“１”である。
前記第１ポイントをＰ_１（Ｘ_１,Ｚ_１）、前記第２ポイントをＰ_２（Ｘ_２,１）とし、前記第１ポイント及び前記第２ポイントのＸ座標値の差（Ｘ_２−Ｘ_１）とＺ座標値の差（１−Ｚ_１）とをそれぞれＸ_Ｄ及びＺ_Ｄとするとき、前記第１ポイント及び前記第２ポイントについての加算演算の結果であるＰ_３（Ｘ_３,Ｚ_３）は、次の通りである。

前記他の課題を達成するための本発明の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算演算装置は、第１座標算出部及び第２座標算出部を備える。
第１座標算出部は、楕円曲線上の基本ポイントを利用して設定された第１ポイント及び第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第１座標値を算出する。第２座標算出部は、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第２座標値を算出する。

前記第１座標算出部及び前記第２座標算出部は、前記第１ポイント及び前記第２ポイントの第２座標値の差を反映して、前記第１座標値及び前記第２座標値を算出する。前記第１座標値は、“Ｘ”座標値であり、前記第２座標値は、“Ｚ”座標値である。
前記第１座標算出部は、第１ないし第５乗算器、第１及び第２加算器、並びに第１自乗器を備える。前記第２座標算出部は、第２１ないし第２３乗算器、第２１加算器、及び第２１自乗器を備える。
前記他の課題を達成するための本発明の他の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算演算装置は、前記第２ポイントの第２座標値が“１”である場合についての二進有限体におけるポイト加算演算を行う。

本発明による二進有限体におけるポイント加算方法及び加算演算装置によれば、ＦＭＰＬＡを利用する暗号化システムで正確な欠陥検出動作を行える。

本発明と本発明の動作上の利点及び本発明の実施によって達成される目的を十分に理解するためには、本発明の望ましい実施形態を例示する添付図面及び図面に記載された内容を参照せねばならない。
以下、添付した図面を参照して本発明の望ましい実施形態を説明することによって、本発明を詳細に説明する。各図面に提示された同じ参照符号は、同じ部材を表す。

本発明の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算方法を説明する前に、ＦＭＰＬＡを利用する欠陥検出方法についてさらに詳細に説明する。
ＦＭＰＬＡを利用する欠陥検出方法を具現するために、まず数式２及び数式３から次の数式７が導き出される。

次いで、数式７から次の数式８が導き出される。

Ｈ_ｊ＝Ｌ_ｊ＋１は、数式２で示した。
以前の計算で欠陥がなかったということを確認するために、判断を行う間に、計算にＨ_ｊとＬ_ｊ値とが含まれねばならない。Ｙ座標を含まず、二点であるＨ_ｊとＬ_ｊとの和をＸ座標で計算するモンゴメリ方法は、これらの二点の差に関する情報に基づく。
このような特徴は、次のような欠陥チェック動作を導き出すために使われ、これを可能にするために、かつパワートラック分析による分別不可能性の動作平衡を満足するために、次のように、ｋ_ｊ＝０とｋ_ｊ＝１との２つを考慮せねばならない。
まず、ｋ_ｊ＝１である場合、欠陥チェック動作は、次の順序によって行われる。
１．次の数式９を利用して２倍演算によってＬ_ｊ−１を計算する。

２．１での結果から、加算演算によってＬ_ｊ＋１を計算する。
３．Ｌ_ｊ＋１＝Ｈ_ｊであるかをチェックする。ここで、Ｈ_ｊは、以前に計算された値である。
次いで、Ｋ_ｊ＝０である場合、欠陥チェック動作は、次の順序によって行われる。
１．次の数式１０を利用して、２倍演算によって２Ｈ_ｊ＋１を計算する。

２．Ｌ_ｊを考慮して、加算演算によってＨ_ｊ＋１を計算する。
３．Ｈ_ｊ＋１＝２Ｈ_ｊ＋１であるかを確認する。ここで、２Ｈ_ｊ＋１は、以前に計算された値である。
欠陥が流入されていない場合、Ｌ_ｊとＨ_ｊとの差は、常に“１”である。したがって、前記のような演算過程で欠陥が流入されていないならば、Ｌ_ｊ＋１＝Ｈ_ｊ及び／またはＨ_ｊ＋１＝２Ｈ_ｊ＋１である。また、二つの場合で何れもＨ_ｊとＬ_ｊとがチェック過程に含まれ、これは、計算された二ポイントで何れも欠陥が存在するか否かチェックされたということを意味する。

以下では、前述したＦＭＰＬＡを利用した新たな方式の欠陥チェック方法が適用される多様な実施形態が提案される。これは、欠陥チェックの実行ステップによって分けられる。すなわち、スカラー積演算中に欠陥の流入如何が判断される定期チェック及び／またはランダムチェック、そしてスカラー積演算が完了した後に演算結果が出力される前に欠陥の流入如何が判断される最終チェック方法が提案される。
さらに具体的に説明すれば、定期チェック方法は、欠陥が流入されたか否かが、スカラー積演算が反復される度に行われる。ランダムチェック方法は、スカラー積演算が反復される度に行われず、ランダムに選択されるスカラー積演算に対して、スカラー積演算が行われた後に行われる。

図４は、定期チェック方法が適用されたＦＭＰＬＡを利用した新たな方式の欠陥チェック動作を示すフローチャートである。
図４を参照すれば、定期チェック方法が適用された欠陥チェック方法４００は、スカラー積が行われる毎反復区間ごとで定期的にチェック動作が行われる方法である。欠陥チェック方法４００は、基本ポイントＰとスカラーｋとを受信して（Ｓ４０１）、スカラー積Ｑ（＝ｋ×Ｐ）を出力する（Ｓ４２９）。

ここで、基本ポイントＰは、所定の楕円曲線上のポイントであって、ハードウェア具現時にＥＰＲＯＭに保存される。スカラーｋは、数式２で説明した通りである。欠陥チェック方法４００は、基本ポイントＰとスカラーｋとを受信した後（Ｓ４０１）、暗号化のためのパラメータまたはポイントを初期化するか、または設定する（Ｓ４０３）。スカラーｋの２進ビットｋ_ｉによる反復的な演算のために、本発明では、変数が使われて、変数は、所定の規則によって初期化されるか、または設定される（Ｓ４０３またはＳ４０７）。

まず、基本ポイントＰを利用して第１ポイントＰ_１と第２ポイントＰ_２とが初期化される。具体的に、第１ポイントＰ_１は、基本ポイントＰに初期化され、第２ポイントＰ_２は、基本ポイントＰの２倍に初期化される。暗号化方法４００に使われるパラメータまたはポイントが初期化された後には、反復的な演算を行ってスカラー積Ｑを計算する（Ｓ４０５ないしＳ４１３及びＳ４２７）。
２進ビットで表現されるスカラーｋの全てのビットについての反復演算のために、本発明の実施形態では、反復演算変数ｉを０まで減少させつつ（Ｓ４０５）、２進ビット値ｋ_ｉについての反復演算が行われる。

図４の欠陥チェック方法４００では、再設定するステップが完了する度に欠陥が流入されたか否かチェックされるので、欠陥が流入されたか否が定期的にチェックされる。以下では、欠陥が流入されたか否かをチェックする動作について説明する（Ｓ４１５ないしＳ４２３）。
まず、２進ビットｋ_ｉが“１”であるか否かが決定される（Ｓ４１５）。２進ビットｋ_ｉが“１”であれば、第１変数Ｔ_１の２倍を第１変数Ｔ_１に再設定し、第１変数Ｔ_１に応答して決定される第１ポイントＰ_１と基本ポイントＰとの和を第１変数Ｔ_１に再設定する（Ｓ４１７）。次いで、第２ポイントＰ_２と再設定された第１変数Ｔ_１が同一であるか否かを検査し、同一ならば、欠陥が流入されていないと判断し、そうではなければ、欠陥が流入されたと判断する（Ｓ４１９）。

一方、２進ビットｋ_ｉが“１”でなければ、第２変数Ｔ_２の２倍を第２変数Ｔ_２に再設定し、第１変数Ｔ_１に応答して決定される第２ポイントＰ_２と基本ポイントＰとの和を第１変数Ｔ_１に再設定する（Ｓ４２１）。次いで、再設定された第２変数Ｔ_２と再設定された第１変数Ｔ_１とが同一か否かを検査して、同一ならば、欠陥が流入されていないと判断し、そうではなければ、欠陥が流入されたと判断する（Ｓ４２３）。

欠陥チェック方法４００で欠陥が流入されていないと判断する場合、反復媒介変数ｉが０より小さいか否かを判断して（Ｓ４２７）、小さくなければ、ｉを減少させつつ、スカラー積演算と欠陥流入如何のチェック演算とを反復的に行う。しかし、反復媒介変数ｉが０より小さければ、そのときのＰ_１値をスカラー積Ｑとして出力する（Ｓ４２９）。一方、欠陥チェック方法４００で欠陥が流入されたと判断する場合には、警告信号を出力する。

図５は、最終チェック方法が適用されたＦＭＰＬＡを利用した新たな方式の欠陥チェック動作を示すフローチャートである。
図５を参照すれば、欠陥チェック方法５００は、反復されるスカラー積が何れも行われた後にチェック動作が行われる方法である。すなわち、図４の欠陥チェック方法４００のように、２進ビットｋ_ｉに応答して第１ポイントと第２ポイントとが再設定された後（Ｓ５１１及びＳ５１３）、直ぐ欠陥流入如何をチェックせず、反復媒介変数ｉが１より小さいか否かを判断して（Ｓ５１５）、スカラー積演算を反復するか否かについてまず判断した後、欠陥の流入如何が検査される。
図５の他の動作は、図４と同一であるので、具体的な説明は省略する。

図６は、ランダムチェック方法が適用されたＦＭＰＬＡを利用した新たな方式の欠陥チェック動作を示すフローチャートである。
図６を参照すれば、欠陥チェック方法６００は、スカラー積演算が反復的に行われる時に、任意のスカラー積演算を行った後に欠陥が流入されたか否かを検査する。すなわち、２進ビットｋ_ｉに応答して第１ポイントＰ_１と第２ポイントＰ_２とが再設定された後（Ｓ６１３及びＳ６１５）、欠陥流入如何をチェックするか否かを決定する。

このとき、所定のチェック値ＣＨＥＣＫがチェックレートＲＡＴＥ以下であるか否かを決定し（Ｓ６１７）、チェック値ＣＨＥＣＫがチェックレートＲＡＴＥ以下である場合に、欠陥が流入されたか否かをチェックする。チェックレートＲＡＴＥは、欠陥流入如何をチェックする頻度を決定する値であって、図６を参照すれば、チェックレートＲＡＴＥは、暗号化方法で使われる媒介変数が初期化されるか、または設定されるステップで共に設定されうる（Ｓ６０３）。一方、チェック値ＣＨＥＣＫは、ランダム定数である。
例えば、チェック値ＣＨＥＣＫとチェックレートＲＡＴＥとが何れも０〜１００の値を有し、チェックレートＲＡＴＥが７０に設定されれば、ランダムに発生するチェック値ＣＨＥＣＫが７０以下であれば、欠陥流入如何をチェックし、チェック値ＣＨＥＣＫが７０より大きければ、欠陥流入如何をチェックしない。

図４ないし図６のＦＭＰＬＡを使用する欠陥チェック方法は、第１ポイントＰ_１及び第２ポイントＰ_２の再設定において、楕円曲線ポイントの２倍演算及び加算演算を行う。しかし、前述したように、数式６の加算演算を図４ないし図６の加算演算に使用する場合、正確な欠陥流入如何がチェックできないという問題が発生する。

図７は、本発明の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算演算方法を示すフローチャートである。
図７を参照すれば、本発明の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するためのポイント加算演算方法７００は、楕円曲線上の基本ポイントを利用して設定された第１ポイント及び第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第１座標値を算出するＳ７２０と、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第２座標値を算出するＳ７４０と、を含む。

前記ＦＭＰＬＡを利用する欠陥検出動作は、ＥＣＣシステムに適用されうる。以下の第１ポイント及び第２ポイントは、図４ないし図６の欠陥チェック動作の第１ポイントＰ_１及び第２ポイントＰ_２と同一であるので、同じ符号として説明される。
第１ポイントＰ_１及び第２ポイントＰ_２についての二進有限体における加算演算は、第１ポイントＰ_１及び第２ポイントＰ_２の第１座標値と第２座標値との差を反映する。このとき、第１座標値は、“Ｘ”座標値であり、前記第２座標値は、“Ｚ”座標値である。

すなわち、前記第１ポイントをＰ_１（Ｘ_１,Ｚ_１）、前記第２ポイントをＰ_２（Ｘ_２,Ｚ_２）とし、前記第１ポイントＰ１及び第２ポイントＰ２のＸ座標値の差（Ｘ_２−Ｘ_１）とＺ座標値の差（Ｚ_２−Ｚ_１）とをそれぞれＸ_Ｄ及びＺ_Ｄとするとき、第１ポイントＰ_１及び第２ポイントＰ_２の第１座標値及び第２座標値の差が第１ポイントＰ_１及び第２ポイントＰ_２についての二進有限体における加算演算の結果であるＰ_３（Ｘ_３,Ｚ_３）に反映される。
したがって、第１ポイントＰ_１及び第２ポイントＰ_２についての二進有限体における加算演算の結果であるＰ_３（Ｘ_３,Ｚ_３）は、次の数式１１の通りである。

このとき、基本ポイントＰは、アフィン座標上のポイントであるので、第２ポイントＰ_２の前記第２座標値を“１”に代替しうる。
この場合、第１ポイントＰ_１及び第２ポイントＰ_２についての二進有限体における加算演算の結果であるＰ_３（Ｘ_３,Ｚ_３）は、次の数式１２のように表現されうる。

数式１１及び数式１２のように、第１ポイントＰ_１及び第２ポイントＰ_２の第２座標値の差であるＺ_Ｄ値を二ポイントの二進有限体における加算演算式に反映することによって、正確なモンゴメリアルゴリズムを利用した欠陥検出動作を行える。

図８は、本発明の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算演算装置を示す図面である。
図８を参照すれば、本発明の実施形態による二進有限体におけるポイント加算演算装置８００は、第１座標算出部及び第２座標算出部を備える。第１座標算出部は、楕円曲線上の基本ポイントを利用して設定された第１ポイントＰ_１及び第２ポイントＰ_２についての二進有限体における加算演算を行って、前記加算演算の結果の第１座標値Ｘ_３を算出する。第２座標算出部は、第１ポイントＰ_１及び第２ポイントＰ_２の第２座標値についての二進有限体における加算演算を行って、前記加算演算の結果の第２座標値Ｚ_３を算出する。

このとき、前記第１座標算出部及び前記第２座標算出部は、第１ポイントＰ_１及び第２ポイントＰ_２の第２座標値の差を反映して、前記第１座標値及び前記第２座標値を算出する。
前記第１座標算出部は、第１ないし第５乗算器Ｘ１〜Ｘ５、第１及び第２加算器＋１、＋２、第１自乗器Ｓ１を備える。
第１乗算器Ｘ_１は、前記Ｘ_１と前記Ｚ_２とを乗算して、第１乗算値（Ｘ_１×Ｚ_２）として算出する。第２乗算器Ｘ２は、前記Ｘ_２と前記Ｚ_１とを乗算して、第２乗算値（Ｘ_２×Ｚ_１）として算出する。第１加算器＋１は、前記第１乗算値と前記第２乗算値とを加算して、第１加算値（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）として算出する。

第１自乗器Ｓ１は、前記第１加算値を自乗して、第１自乗値（（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）^２）として算出する。第１自乗器Ｓ１は、前記第１加算値同士乗算することによって、前記第１加算値を自乗する。第３乗算器Ｘ_３は、前記第１自乗値と前記Ｘ_Ｄとを乗算して、第３乗算値（Ｘ_Ｄ×（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）^２）として算出部する。
第４乗算器Ｘ_４は、前記第１乗算値と前記第２乗算値とを乗算して、第４乗算値（（Ｘ_１×Ｚ_２）×（Ｘ_２×Ｚ_１））として算出する。第５乗算器Ｘ_５は、前記第４乗算値と前記Ｚ_Ｄとを乗算して、第５乗算値（Ｚ_Ｄ×（Ｘ_１×Ｚ_２）×（Ｘ_２×Ｚ_１））として算出する。
第２加算器＋２は、前記第３乗算値と前記第５乗算値とを加算して、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果のＸ座標値Ｘ_３として算出する。

第２座標算出部Ｃ２２は、第２１ないし第２３乗算器Ｘ１、Ｘ２、Ｘ２３、第２１加算器＋１及び第２１乗算器Ｓ１を備える。
第２１乗算器Ｘ１は、前記Ｘ_１と前記Ｚ_２とを乗算して、第２１乗算値（Ｘ_１×Ｚ_２）として算出する。第２２乗算器Ｘ２は、前記Ｘ_２と前記Ｚ_１とを乗算して、第２２乗算値（Ｘ_２×Ｚ_１）として算出する。第１加算器＋１は、前記第２１乗算値と前記第２２乗算値とを加算して、第２１加算値（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）として算出する。
第２１自乗器Ｓ１は、前記第２１加算値を自乗して、第２１自乗値（（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）^２）として算出する。第２１自乗器Ｓ１は、前記第２１加算値同士乗算することによって、前記第２１加算値を自乗する。

第２３乗算器Ｘ２３は、前記第２１自乗値と前記Ｚ_Ｄとを乗算して、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果のＺ座標値Ｚ_３として算出する。
前記第２座標算出部の第２１乗算器Ｘ１及び第２２乗算器Ｘ２は、前記第１座標算出部の第１乗算器Ｘ１及び第２乗算器Ｘ２でありうる。また、前記第２座標算出部の第２１加算器＋２１及び第２１自乗器Ｓ１は、前記第１座標算出部の第１加算器＋１及び第１自乗器Ｓ１でありうる。
図８の二進有限体におけるポイント加算演算装置によって、前述した数式１１が具現される。数式１２は、次の図９の二進有限体におけるポイント加算演算装置によって具現される。

図９は、本発明の他の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算演算装置を示す図面である。
図９を参照すれば、本発明の実施形態による二進有限体におけるポイント加算演算装置９００は、図８のポイント加算演算装置８００と同じ動作を行う。但し、図９のポイント加算演算装置９００は、第２ポイントＰ２の第２座標値（Ｚ座標値）が“１”である場合についてのポイント加算結果を算出する。したがって、図９のポイント加算演算装置９００は、図８のポイント加算演算装置８００と類似した構成を有するが、さらに少ない数の乗算器で具現される。
図９のポイント加算演算装置９００の第１座標算出部及び第２座標算出部は、図８のポイント加算演算装置８００の説明から容易に分かるので、これについてのさらに詳細な説明は省略する。

図１０は、図８及び図９の自乗器をさらに詳細に示す図面である。
図１０を参照すれば、自乗器Ｓは、同じ入力Ｉ１同士乗算Ｘする。このとき、自乗器Ｓは、図８及び図９の第１自乗器Ｓ１及び第２１自乗器Ｓ２１を表す。このように、同じ入力Ｉ１同士乗算Ｘするように自乗器Ｓを設計することによって、ポイント加算演算装置８００、９００のレイアウト面積を減らせるという長所がある。

以上、図面及び明細書で最適の実施形態が開示された。ここで、特定の用語が使用されたが、これは、単に本発明を説明するための目的で使われたものであり、意味限定や特許請求の範囲に記載された本発明の範囲を制限するために使われたものではない。したがって、当業者ならば、これから多様な変形及び均等な他の実施形態が可能であるという点が分かるであろう。したがって、本発明の真の技術的保護範囲は、特許請求の範囲の技術的思想によって決定されねばならない。

本発明は、暗号化方法関連の技術分野に適用可能である。

ＤＦＡに対応するＣＴ＆Ｃ法を示すフローチャートである。 ＤＦＡに対応するＣＯＰ法を示すフローチャートである。 ＭＰＬＡを利用してＥＣＣ法におけるスカラー積演算を行う方法を示すフローチャートである。 定期チェック方法が適用されたＦＭＰＬＡを利用した新たな方式の欠陥チェック動作を示すフローチャートである。 最終チェック方法が適用されたＦＭＰＬＡを利用した新たな方式の欠陥チェック動作を示すフローチャートである。 ランダムチェック方法が適用されたＦＭＰＬＡを利用した新たな方式の欠陥チェック動作を示すフローチャートである。 本発明の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算演算方法を示すフローチャートである。 本発明の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算演算装置を示す図面である。 本発明の他の実施形態によるＦＭＰＬＡを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算演算装置を示す図面である。 図８及び図９の自乗器をさらに詳細に示す図面である。

符号の説明

８００ ポイント加算演算装置
Ｘ１ 第１乗算器
Ｘ２ 第２乗算器
Ｘ３ 第３乗算器
Ｘ４ 第４乗算器
Ｘ５ 第５乗算器
＋１ 第１加算器
＋２ 第２加算器
Ｓ１ 第１自乗器
Ｘ２３ 第２３乗算器

Claims (17)

1. 高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作をコンピュータシステム上で実行するためのポイント加算演算方法において、
   プロセッサにより、楕円曲線上の基本ポイントを利用して設定された第１ポイント及び第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第１座標値を算出するステップと、
   プロセッサにより、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第２座標値を算出するステップと、
   プロセッサにより、前記第１座標値及び前記第２座標値で表される演算結果ポイントに基づいて、暗号化システムに欠陥が流入したか否かを判断するステップと、
   を含み、
   前記第１座標値は、“Ｘ”座標値であり、前記第２座標値は、“Ｚ”座標値であり、
   前記第１ポイントをＰ _１ （Ｘ _１ ，Ｚ _１ ）、前記第２ポイントをＰ _２ （Ｘ _２ ，Ｚ _２ ）とし、前記第１ポイント及び前記第２ポイントのＸ座標値の差（Ｘ _２ −Ｘ _１ ）とＺ座標値の差（Ｚ _２ −Ｚ _１ ）とをそれぞれＸ _Ｄ 及びＺ _Ｄ とするとき、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果である演算結果ポイントＰ _３ （Ｘ _３ ，Ｚ _３ ）は、
   

   

   であることを特徴とする二進有限体におけるポイント加算方法。
2. 前記高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作は、
   楕円曲線暗号化システムに適用されることを特徴とする請求項１に記載の二進有限体におけるポイント加算方法。
3. 前記第２ポイントの前記第２座標値は、
   “１”であることを特徴とする請求項１に記載の二進有限体におけるポイント加算方法。
4. 高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作をコンピュータシステム上で実行するためのポイント加算演算方法において、
   プロセッサにより、楕円曲線上の基本ポイントを利用して設定された第１ポイント及び第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第１座標値を算出するステップと、
   プロセッサにより、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第２座標値を算出するステップと、
   プロセッサにより、前記第１座標値及び前記第２座標値で表される演算結果ポイントに基づいて、暗号化システムに欠陥が流入したか否かを判断するステップと、
   を含み、
   前記第１座標値は、“Ｘ”座標値であり、前記第２座標値は、“Ｚ”座標値であり、
   前記第２ポイントのＺ座標値は、“１”であり、
   前記第１ポイントをＰ _１ （Ｘ _１ ，Ｚ _１ ）、前記第２ポイントをＰ _２ （Ｘ _２ ，１）とし、前記第１ポイント及び前記第２ポイントのＸ座標値の差（Ｘ _２ −Ｘ _１ ）とＺ座標値の差（１−Ｚ _１ ）とをそれぞれＸ _Ｄ 及びＺ _Ｄ とするとき、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果である演算結果ポイントＰ _３ （Ｘ _３ ，Ｚ _３ ）は、
   

   

   であることを特徴とする二進有限体におけるポイント加算方法。
5. 前記高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作は、
   楕円曲線暗号化システムに適用されることを特徴とする請求項４に記載の二進有限体におけるポイント加算方法。
6. 高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作を具現するためのポイント加算演算装置において、
   楕円曲線上の基本ポイントを利用して設定された第１ポイント及び第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第１座標値を算出する第１座標算出部と、
   前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第２座標値を算出する第２座標算出部と、
   前記第１座標値及び前記第２座標値で表される演算結果ポイントに基づいて、暗号化システムに欠陥が流入したか否かを判断する判断部と、
   を備え、
   前記第１座標値は、“Ｘ”座標値であり、前記第２座標値は、“Ｚ”座標値であり、
   前記第１ポイントをＰ _１ （Ｘ _１ ，Ｚ _１ ）、前記第２ポイントをＰ _２ （Ｘ _２ ，Ｚ _２ ）とし、前記第１ポイント及び前記第２ポイントのＸ座標値の差（Ｘ _２ −Ｘ _１ ）とＺ座標値の差（Ｚ _２ −Ｚ _１ ）とをそれぞれＸ _Ｄ 及びＺ _Ｄ とするとき、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果である演算結果ポイントＰ _３ （Ｘ _３ ，Ｚ _３ ）は、
   

   

   であることを特徴とする二進有限体におけるポイント加算演算装置。
7. 前記高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作は、
   楕円曲線暗号化システムに適用されることを特徴とする請求項６に記載の二進有限体におけるポイント加算演算装置。
8. 前記第１座標算出部は、
   前記Ｘ_１と前記Ｚ_２とを乗算して、第１乗算値（Ｘ_１×Ｚ_２）として算出する第１乗算器と、
   前記Ｘ_２と前記Ｚ_１とを乗算して、第２乗算値（Ｘ_２×Ｚ_１）として算出する第２乗算器と、
   前記第１乗算値と前記第２乗算値とを加算して、第１加算値（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）として算出する第１加算器と、
   前記第１加算値を自乗して、第１自乗値（（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）^２）として算出する第１自乗器と、
   前記第１自乗値と前記Ｘ_Ｄとを乗算して、第３乗算値（Ｘ_Ｄ×（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）^２）として算出する第３乗算器と、
   前記第１乗算値と前記第２乗算値とを乗算して、第４乗算値（（Ｘ_１×Ｚ_２）×（Ｘ_２×Ｚ_１））として算出する第４乗算器と、
   前記第４乗算値と前記Ｚ_Ｄとを乗算して、第５乗算値（Ｚ_Ｄ×（Ｘ_１×Ｚ_２）×（Ｘ_２×Ｚ_１））として算出する第５乗算器と、
   前記第３乗算値と前記第５乗算値とを加算して、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果のＸ座標値（Ｘ_３）として算出する第２加算器と、を備えることを特徴とする請求項６に記載の二進有限体におけるポイント加算演算装置。
9. 前記第１自乗器は、
   前記第１加算値同士乗算することを特徴とする請求項８に記載の二進有限体におけるポイント加算演算装置。
10. 前記第２座標算出部は、
    前記Ｘ_１と前記Ｚ_２とを乗算して、第２１乗算値（Ｘ_１×Ｚ_２）として算出する第２１乗算器と、
    前記Ｘ_２と前記Ｚ_１とを乗算して、第２２乗算値（Ｘ_２×Ｚ_１）として算出する第２２乗算器と、
    前記第２１乗算値と前記第２２乗算値とを加算して、第２１加算値（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）として算出する第２１加算器と、
    前記第２１加算値を自乗して、第２１自乗値（（Ｘ_１×Ｚ_２＋Ｘ_２×Ｚ_１）^２）として算出する第２１自乗器と、
    前記第２１自乗値と前記Ｚ_Ｄとを乗算して、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果のＺ座標値（Ｚ_３）として算出する第２３乗算器と、を備えることを特徴とする請求項６に記載の二進有限体におけるポイント加算演算装置。
11. 前記第２１自乗器は、
    前記第２１加算値同士乗算することを特徴とする請求項１０に記載の二進有限体におけるポイント加算演算装置。
12. 高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作を具現するためのポイント加算演算装置において、
    楕円曲線上の基本ポイントを利用して設定された第１ポイント及び第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第１座標値を算出する第１座標算出部と、
    前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算を行って、前記加算演算の結果の第２座標値を算出する第２座標算出部と、
    前記第１座標値及び前記第２座標値で表される演算結果ポイントに基づいて、暗号化システムに欠陥が流入したか否かを判断する判断部と、
    を備え、
    前記第１座標値は、“Ｘ”座標値であり、前記第２座標値は、“Ｚ”座標値であり、
    前記第２ポイントのＺ座標値は、“１”であり、
    前記第１ポイントをＰ _１ （Ｘ _１ ，Ｚ _１ ）、前記第２ポイントをＰ _２ （Ｘ _２ ，１）とし、前記第１ポイント及び前記第２ポイントのＸ座標値の差（Ｘ _２ −Ｘ _１ ）とＺ座標値の差（１−Ｚ _１ ）とをそれぞれＸ _Ｄ 及びＺ _Ｄ とするとき、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果である演算結果ポイントＰ _３ （Ｘ _３ ，Ｚ _３ ）は、
    

    

    であることを特徴とする二進有限体におけるポイント加算演算装置。
13. 前記高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作は、
    楕円曲線暗号化システムに適用されることを特徴とする請求項１２に記載の二進有限体におけるポイント加算演算装置。
14. 前記第１座標算出部は、
    前記Ｘ_２と前記Ｚ_１とを乗算して、第１乗算値（Ｘ_２×Ｚ_１）として算出する第１乗算器と、
    前記第１乗算値と前記Ｘ_１とを加算して、第１加算値（Ｘ_１＋Ｘ_２×Ｚ_１）として算出する第１加算器と、
    前記第１加算値を自乗して、第１自乗値（（Ｘ_１＋Ｘ_２×Ｚ_１）^２）として算出する第１自乗器と、
    前記第１自乗値と前記Ｘ_Ｄとを乗算して、第２乗算値（Ｘ_Ｄ×（Ｘ_１＋Ｘ_２×Ｚ_１）^２）として算出する第２乗算器と、
    前記第１乗算値と前記Ｘ_１とを乗算して、第３乗算値（Ｘ_１×（Ｘ_２×Ｚ_１））として算出する第３乗算器と、
    前記第３乗算値と前記Ｚ_Ｄとを乗算して、第４乗算値（Ｚ_Ｄ×Ｘ_１×（Ｘ_２×Ｚ_１））として算出する第４乗算器と、
    前記第２乗算値と前記第４乗算値とを加算して、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果のＸ座標値（Ｘ_３）として算出する第２加算器と、を備えることを特徴とする請求項１２に記載の二進有限体におけるポイント加算演算装置。
15. 前記第１自乗器は、
    前記第１加算値同士乗算することを特徴とする請求項１４に記載の二進有限体におけるポイント加算演算装置。
16. 前記第２座標算出部は、
    前記Ｘ_２と前記Ｚ_１とを乗算して、第２１乗算値（Ｘ_２×Ｚ_１）として算出する第２１乗算器と、
    前記第２１乗算値と前記Ｘ_１とを加算して、第２１加算値（Ｘ_１＋Ｘ_２×Ｚ_１）として算出する第２１加算器と、
    前記第２１加算値を自乗して、第２１自乗値（（Ｘ_１＋Ｘ_２×Ｚ_１）^２）として算出する第２１自乗器と、
    前記第２１自乗値と前記Ｚ_Ｄとを乗算して、前記第１ポイント及び前記第２ポイントについての二進有限体における加算演算の結果のＺ座標値（Ｚ_３）として算出する第２３乗算器と、を備えることを特徴とする請求項１２に記載の二進有限体におけるポイント加算演算装置。
17. 前記第２１自乗器は、
    前記第２１加算値同士乗算することを特徴とする請求項１６に記載の二進有限体におけるポイント加算演算装置。

Images