JP5449576B2 - 演算装置、演算装置の楕円スカラー倍算方法、楕円スカラー倍算プログラム、演算装置の剰余演算方法および剰余演算プログラム - Google Patents

演算装置、演算装置の楕円スカラー倍算方法、楕円スカラー倍算プログラム、演算装置の剰余演算方法および剰余演算プログラム Download PDF

Info

Publication number
JP5449576B2
JP5449576B2 JP2012550611A JP2012550611A JP5449576B2 JP 5449576 B2 JP5449576 B2 JP 5449576B2 JP 2012550611 A JP2012550611 A JP 2012550611A JP 2012550611 A JP2012550611 A JP 2012550611A JP 5449576 B2 JP5449576 B2 JP 5449576B2
Authority
JP
Japan
Prior art keywords
variable
value
scalar multiplication
coordinate value
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2012550611A
Other languages
English (en)
Other versions
JPWO2012090284A1 (ja
Inventor
祐介 内藤
康行 酒井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Application granted granted Critical
Publication of JP5449576B2 publication Critical patent/JP5449576B2/ja
Publication of JPWO2012090284A1 publication Critical patent/JPWO2012090284A1/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F5/00—Methods or arrangements for data conversion without changing the order or content of the data handled
    • G06F5/01—Methods or arrangements for data conversion without changing the order or content of the data handled for shifting, e.g. justifying, scaling, normalising
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/724—Finite field arithmetic
    • G06F7/725—Finite field arithmetic over elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3252—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using DSA or related signature schemes, e.g. elliptic based signatures, ElGamal or Schnorr schemes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/72—Indexing scheme relating to groups G06F7/72 - G06F7/729
    • G06F2207/7219—Countermeasures against side channel or fault attacks
    • G06F2207/7261—Uniform execution, e.g. avoiding jumps, or using formulae with the same power profile
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Analysis (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Mathematical Physics (AREA)
  • Computing Systems (AREA)
  • Computational Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Algebra (AREA)
  • Complex Calculations (AREA)

Description

本発明は、例えば、楕円曲線暗号の電子署名を生成するための演算装置、演算装置の楕円スカラー倍算方法、楕円スカラー倍算プログラム、演算装置の剰余演算方法および剰余演算プログラムに関するものである。
電子データの作成者を証明するために電子署名を用いる技術がある。
電子署名は、電子データと秘密鍵と乱数とを用いて特定の署名生成アルゴリズムによって作成される。電子署名は電子データと共に通信される。
電子データの受信者は、受信した電子データと、受信した電子署名と、署名者の公開鍵とを用いて特定の署名検証アルゴリズムによって電子データを検証する。つまり、電子データの受信者は、受信した電子署名が公開鍵に対応する秘密鍵を用いて生成されたか否かを判定する。そして、受信した電子署名が公開鍵に対応する秘密鍵を用いて生成されていれば、受信した電子データが秘密鍵の持ち主（署名者）によって作成されたことが証明される。
このため、秘密鍵が他人に知られた場合、電子署名が偽造され、秘密鍵の持ち主に成りすまして電子データが通信される恐れがある。
また、電子署名の生成時に使用された乱数が他人に知られた場合、電子署名と乱数とに基づいて秘密鍵が特定されてしまう。
このため、秘密鍵が知られた場合と同様に、電子署名が偽造され、秘密鍵の持ち主に成りすまして電子データが通信されてしまう。
さらに、電子署名を生成するための演算処理の処理時間をタイミング解析することにより、演算処理で用いられた数値（例えば、秘密鍵や乱数）を求めることができる可能性がある（非特許文献１参照）。
例えば、ＥＣ−ＳｃｈｎｏｒｒやＥＣＤＳＡなどの楕円曲線暗号の署名生成アルゴリズム（および署名検証アルゴリズム）では、楕円曲線上の点Ｇを乱数ｋでスカラー倍する楕円スカラー倍算ｋＧが行われる。楕円曲線暗号の署名生成アルゴリズム（および署名検証アルゴリズム）は非特許文献２に記載されている。
従来の楕円スカラー倍算ｋＧは以下のとおりである。
Figure 0005449576
上記の計算方法をＡｄｄ−Ｄｏｕｂｌｅ−Ａｌｗａｙｓ法と呼ぶ。
Ａｄｄ−Ｄｏｕｂｌｅ−Ａｌｗａｙｓ法ではｋ［ｔ］＝１でなければいけないため、乱数ｋのビット数ｔが乱数ｋの値によって変化してしまう。例えば、乱数ｋを３２ビットで表した場合、最上位ビットが１である乱数ｋのビット数ｔは「３２」であるが、上位１２ビットが０である乱数ｋのビット数ｔは「２０（＝３２−１２）」に変化してしまう。
つまり、乱数ｋの値によって計算時間に差が生じてしまい、タイミング解析によって乱数ｋが特定されてしまう可能性がある。
以下に、Ａｄｄ−Ｄｏｕｂｌｅ−Ａｌｗａｙｓ法を変形した楕円スカラー倍算ｋＧを示す。
Figure 0005449576
上記の計算方法ではｋ［ｔ］＝１でなくても構わないため、乱数ｋのビット数ｔは固定値であり、乱数ｋの値によって変化しない。
但し、ステップ２−１において、乱数ｋの最上位ビットが１である場合には無限遠点の変数Ｒ（Ｒ＝０）の２倍算は１度しか行われず、乱数ｋの上位の複数ビットが０である場合には無限遠点の変数Ｒの２倍算は複数回繰り返される。また、無限遠点の変数Ｒの２倍算と無限遠点でない変数Ｒの２倍算とでは計算時間が異なる。
このため、乱数ｋの値によって計算時間に差が生じてしまい、タイミング解析によって乱数ｋが特定されてしまう可能性がある。
また、楕円曲線暗号の署名生成アルゴリズム（および署名検証アルゴリズム）では、多倍長演算処理を行う必要がある。
以下に、多倍長演算処理で行われる剰余演算「ａ／２ ｍｏｄ ｐ」を示す。ａは多倍長整数を示し、ｐは素数を示し、ｍｏｄは剰余演算子を示す。
Figure 0005449576
上記の剰余演算において、ａが偶数の場合にはシフト演算が１回行われ、ａが奇数の場合にはシフト演算と加算とが１回ずつ行われる。
つまり、ａの値によって計算時間に差が生じてしまい、タイミング解析によってａが特定され、ａに基づいて乱数ｋが特定されてしまう可能性がある。
以下に、多倍長演算処理で行われるゼロ判定演算を示す。ゼロ判定演算では、多倍長整数ｂの値がゼロであるか否かを判定する。多倍長整数ｂは複数のワード（整数値）を連結した値として表される。
Figure 0005449576
上記のゼロ判定演算では、ゼロでないワードの位置が上位であるほど計算時間は短い。
つまり、ｂの値によって計算時間に差が生じてしまい、タイミング解析によって乱数ｋが特定されてしまう可能性がある。
Ｊｅａｎ−Ｓｅｂａｓｔｉｅｎ Ｃｏｒｏｎ： Ｒｅｓｉｓｔａｎｃｅ ａｇａｉｎｓｔ Ｄｉｆｆｅｒｅｎｔｉａｌ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ ｆｏｒ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ． ＣＨＥＳ １９９９： ２９２−３０２ ＩＳＯ／ＩＥＣ ＪＴＣ １／ＳＣ ２７
本発明は、例えば、電子署名を生成するための演算処理を演算処理で用いる数値の違いに関わらず一定の計算時間で処理することにより、タイミング解析を防ぐことを目的とする。
本発明の演算装置は、特定の楕円曲線に含まれる特定点の座標値Ｇをｔビットのビット列で表される特定の乗数値ｋでスカラー倍算して得られる座標値ｋＧを算出する演算装置において、
前記特定点の座標値Ｇを２のｔ乗でスカラー倍して得られる座標値２ｔＧを予め記憶する定数記憶部と、
所定のスカラー倍算変数Ｒに前記特定点の座標値Ｇを設定する初期設定部と、
前記乗数値ｋを表すｔビットのビット列を上位から所定数のビットずつ参照し、前記ビット列を所定数のビットずつ参照する毎に前記スカラー倍算変数Ｒを２倍算して得られる座標値を所定の第０作業変数Ｒ［０］に設定し、前記第０作業変数Ｒ［０］に設定した座標値に前記特定点の座標値Ｇを所定数倍した座標値を加算して得られる座標値を所定の第１作業変数Ｒ［１］に設定し、参照した所定数のビットの値がゼロであれば前記スカラー倍算変数Ｒに前記第０作業変数Ｒ［０］を設定し、参照した所定数のビットの値が非ゼロであれば前記スカラー倍算変数Ｒに前記第１作業変数Ｒ［１］を設定するスカラー倍算部と、
前記スカラー倍算部により設定されたスカラー倍算変数Ｒから前記定数記憶部に記憶された座標値２ｔＧを減算し、減算して得られた座標値を前記座標値ｋＧとして出力するスカラー倍点出力部と、
特定の多倍長整数ａを２で除算した値を特定の素数ｐで除算して得られる余りを剰余値ｒとして算出する多倍長剰余演算部であって、前記多倍長整数ａが偶数であれば所定のテンポラリ変数ｔｅｍｐに０を設定し、前記多倍長整数ａが奇数であれば前記テンポラリ変数ｔｅｍｐに前記素数ｐを設定し、前記多倍長整数ａに前記テンポラリ変数ｔｅｍｐを加算して得られる値を所定の剰余演算変数ｃに設定し、設定した剰余演算変数ｃを１ビット右にシフトして得られる値を前記剰余値ｒとして出力する多倍長剰余演算部とを備え、
前記初期設定部は、前記特定点の座標値Ｇを示す多倍長整数を前記スカラー倍算変数Ｒに設定し、
前記スカラー倍算部は、前記スカラー倍算変数Ｒを２倍算して得られる座標値と、前記第０作業変数Ｒ［０］に前記特定点の座標値Ｇを加算して得られる座標値とを前記多倍長剰余演算部を用いて算出し、
前記スカラー倍点出力部は、前記スカラー倍算変数Ｒから前記座標値２ ｔ Ｇを減算して得られる座標値を前記多倍長剰余演算部を用いて算出する
ことを特徴とする。
本発明によれば、乱数ｋ（乗数値）の値に関わらず楕円スカラー倍算ｋＧを一定の計算時間で処理し、楕円スカラー倍算ｋＧのタイミング解析を防ぐことができる。
実施の形態１における楕円曲線暗号装置１００の構成図。 実施の形態１における電子署名生成方法（ＥＣ−Ｓｃｈｎｏｒｒ方式）を示すフローチャート。 実施の形態１における電子署名生成方法（ＥＣＤＳＡ方式）を示すフローチャート。 実施の形態１における楕円スカラー倍算方法を示すフローチャート。 実施の形態１における楕円スカラー倍算方法の別例を示すフローチャート。 実施の形態１における楕円曲線暗号装置１００のハードウェア資源の一例を示す図。 実施の形態２における楕円曲線暗号装置１００の構成図。 実施の形態２における多倍長剰余演算方法を示すフローチャート。 実施の形態３における楕円曲線暗号装置１００の構成図。 実施の形態３における多倍長ゼロ判定方法を示すフローチャート。
実施の形態１．
楕円曲線暗号方式を用いて電子署名を生成する楕円曲線暗号装置について説明する。
但し、電子署名の生成は楕円曲線暗号方式を用いた暗号処理の一例である。
図１は、実施の形態１における楕円曲線暗号装置１００の構成図である。
実施の形態１における楕円曲線暗号装置１００の構成について、図１に基づいて説明する。
楕円曲線暗号装置１００（演算装置）は、電子署名生成部１１０と楕円スカラー倍算部１２０と装置記憶部１９０とを備える。
電子署名生成部１１０は、ＥＣ−ＳｃｈｎｏｒｒやＥＣＤＳＡなどの楕円曲線暗号を利用した署名生成アルゴリズム（特許文献２参照）を実行し、電子署名を生成する。
電子署名生成部１１０は、乱数生成部１１１と署名生成処理部１１２とを備える。
乱数生成部１１１は、所定の乱数生成処理により乱数ｋを生成（算出）する。
乱数ｋは、ｔビットのビット列で表される値である。
署名生成処理部１１２は、楕円スカラー倍算部１２０により算出される座標値ｋＧを用いて電子署名を生成する。
楕円スカラー倍算部１２０は、特定の楕円曲線に含まれる特定点の座標値Ｇを乱数生成部１１１により生成された乱数ｋ（乗数値）でスカラー倍算して得られる座標値ｋＧを算出する。
楕円スカラー倍算部１２０は、初期設定部１２１、スカラー倍算部１２２およびスカラー倍点出力部１２３を備える。
初期設定部１２１は、所定のスカラー倍算変数Ｒに特定点の座標値Ｇを設定する。
スカラー倍算部１２２は、乱数ｋを表すｔビットのビット列を上位から所定数のビット（１ビットまたは複数ビット）ずつ参照する。
スカラー倍算部１２２は、ビット列を所定数のビットずつ参照する毎にスカラー倍算変数Ｒを２倍算して得られる座標値を所定の第０作業変数Ｒ［０］に設定する。
スカラー倍算部１２２は、第０作業変数Ｒ［０］に設定した値に特定点の座標値Ｇを所定数倍（１倍または複数倍）した座標値を加算して得られる座標値を所定の第１作業変数Ｒ［１］に設定する。
スカラー倍算部１２２は、参照した所定数のビットの値がゼロであればスカラー倍算変数Ｒに第０作業変数Ｒ［０］を設定し、参照した所定数のビットの値が非ゼロであればスカラー倍算変数Ｒに第１作業変数Ｒ［１］を設定する。
スカラー倍点出力部１２３は、スカラー倍算部１２２により設定されたスカラー倍算変数Ｒから座標値２ｔＧを減算し、減算して得られた座標値を座標値ｋＧとして出力する。
座標値２ｔＧは、特定点の座標値Ｇを２のｔ乗でスカラー倍して得られる値である。
装置記憶部１９０は、楕円曲線暗号装置１００で使用される各種データを記憶する。
特定点の座標値Ｇ、特定点の座標値Ｇの位数ｎ、秘密鍵ｄ、座標値２ｔＧ、メッセージＭ、乱数ｋ、電子署名は、装置記憶部１９０に記憶されるデータの一例である。
特定点の座標値Ｇ、特定点の座標値Ｇの位数ｎおよび秘密鍵ｄは装置記憶部１９０に予め記憶される。特定点の座標値Ｇは「楕円曲線正弦値」とも呼ばれる。
座標値２ｔＧは、特定点の座標値Ｇに基づいて予め計算され、装置記憶部１９０に記憶される。
メッセージＭは楕円曲線暗号装置１００に入力されて装置記憶部１９０に記憶され、乱数ｋは乱数生成部１１１により算出されて装置記憶部１９０に記憶され、電子署名は署名生成処理部１１２により生成されて装置記憶部１９０に記憶される。
以下、特定点の座標値Ｇを「特定点Ｇ」と記し、座標値２ｔＧを「定数値２ｔＧ」と記し、座標値ｋＧを「スカラー倍点ｋＧ」と記す。
図２は、実施の形態１における電子署名生成方法（ＥＣ−Ｓｃｈｎｏｒｒ方式）を示すフローチャートである。
ＥＣ−Ｓｃｈｎｏｒｒ方式による電子署名生成方法について、図２に基づいて説明する。
電子署名生成部１１０は、装置記憶部１９０から特定点Ｇ、特定点Ｇの位数ｎ、秘密鍵ｄおよびメッセージＭを入力し、特定点Ｇと特定点Ｇの位数ｎと秘密鍵ｄとを用いてメッセージＭに対応する電子署名（ｅ，ｓ）を以下のように生成（算出）する。
Ｓ１１１Ａにおいて、乱数生成部１１１は、所定の乱数生成処理を実行し、乱数ｋを生成（算出）する。但し、乱数ｋは特定点Ｇの位数ｎ未満の自然数である。
Ｓ１１１Ａの後、Ｓ１１２Ａに進む。
Ｓ１１２Ａにおいて、署名生成処理部１１２は、Ｓ１１１Ａで生成された乱数ｋと装置記憶部１９０から入力した特定点Ｇとを楕円スカラー倍算部１２０に入力する。
そして、署名生成処理部１１２は、楕円スカラー倍算部１２０により算出されたスカラー倍点ｋＧを所定の変数Ｐに設定する。以下、変数Ｐを「スカラー倍点Ｐ」という。
楕円スカラー倍算部１２０によるスカラー倍点ｋＧの算出方法を「楕円スカラー倍算方法」として別途説明する。
Ｓ１１２Ａの後、Ｓ１１３Ａに進む。
Ｓ１１３Ａにおいて、署名生成処理部１１２は、メッセージＭとスカラー倍点Ｐのｘ座標値Ｐｘとを結合したメッセージＭ’（＝Ｍ｜｜Ｐｘ）を入力値として所定のハッシュ関数ｈを計算し、ハッシュ値ｅを算出する。
実施の形態において、「Ａ｜｜Ｂ」はＡとＢとの連結を意味し、「ｈ（Ｃ）」は入力値Ｃのハッシュ値を算出するためのハッシュ関数を意味する。
Ｓ１１３Ａの後、Ｓ１１４Ａに進む。
Ｓ１１４Ａにおいて、署名生成処理部１１２は、（ｄ×ｅ＋ｋ）を特定点Ｇの位数ｎで除算した余りを算出する。以下、Ｓ１１４で算出した余りを「剰余値ｓ」と記す。
実施の形態において、「Ａ ｍｏｄ Ｂ」はＡをＢで割った余りを求める演算を意味する。
署名生成処理部１１２は、Ｓ１１３Ａで算出したハッシュ値ｅとＳ１１４Ａで算出した剰余値ｓとの組み合わせ（ｅ，ｓ）をメッセージＭの電子署名として出力する。
Ｓ１１４Ａにより、ＥＣ−Ｓｃｈｎｏｒｒ方式による電子署名生成処理は終了する。
図３は、実施の形態１における電子署名生成方法（ＥＣＤＳＡ方式）を示すフローチャートである。
電子署名生成部１１０は、図３に示すようなＥＣＤＳＡ方式で電子署名を生成しても構わない。
電子署名生成部１１０は、装置記憶部１９０から特定点Ｇ、特定点Ｇの位数ｎ、秘密鍵ｄおよびメッセージＭを入力し、特定点Ｇと特定点Ｇの位数ｎと秘密鍵ｄとを用いてメッセージＭに対応する電子署名（Ｐｘ，ｓ）を以下のように生成（算出）する。
Ｓ１１１Ｂにおいて、乱数生成部１１１は、所定の乱数生成処理を実行し、乱数ｋを生成（算出）する。
Ｓ１１１Ｂの後、Ｓ１１２Ｂに進む。
Ｓ１１２Ｂにおいて、署名生成処理部１１２は、Ｓ１１１Ｂで生成された乱数ｋと装置記憶部１９０から入力した特定点Ｇとを楕円スカラー倍算部１２０に入力する。
そして、署名生成処理部１１２は、楕円スカラー倍算部１２０により算出されたスカラー倍点ｋＧを所定の変数Ｐ（スカラー倍点Ｐ）に設定する。
楕円スカラー倍算部１２０によるスカラー倍点ｋＧの算出方法を「楕円スカラー倍算方法」として別途説明する。
Ｓ１１２Ｂの後、Ｓ１１３Ｂに進む。
Ｓ１１３Ｂにおいて、署名生成処理部１１２は剰余値ｓを算出し、スカラー倍点Ｐのｘ座標値Ｐｘと剰余値ｓとの組み合わせ（Ｐｘ，ｓ）をメッセージＭの電子署名として出力する。
剰余値ｓの計算式は「ｓ＝ｋ−１×（ｈ（Ｍ）＋Ｐｘ×ｄ） ｍｏｄ ｎ」で表すことができる。
Ｓ１１３Ｂにより、ＥＣＤＳＡ方式による電子署名生成処理は終了する。
ＥＣ−Ｓｃｈｎｏｒｒ方式（図２）およびＥＣＤＳＡ方式（図３）の詳細は、非特許文献２に記載されている。
図４は、実施の形態１における楕円スカラー倍算方法を示すフローチャートである。
実施の形態１における楕円スカラー倍算方法について、図４に基づいて説明する。
楕円スカラー倍算部１２０は、電子署名生成部１１０から乱数ｋと特定点Ｇとを入力し、装置記憶部１９０から定数値２ｔＧを入力し、以下のようにしてスカラー倍点ｋＧを算出する。
Ｓ１２１Ａにおいて、初期設定部１２１は、所定の変数Ｒに特定点Ｇを設定する。以下、変数Ｒを「スカラー倍算変数Ｒ」という。
Ｓ１２１Ａの後、Ｓ１２２Ａに進む。
Ｓ１２２Ａにおいて、スカラー倍算部１２２は、乱数ｋを表すビット列のビット数ｔを所定の変数ｉに設定する。以下、変数ｉを「ループ変数ｉ」という。
例えば、乱数ｋの値を示す変数（ビット列）が３２ビットの変数である場合、スカラー倍算部１２２はループ変数ｉに「３２」を設定する。
以下、乱数ｋを表すビット列の下位からｉビット目の値（ビット値）を「ｋ［ｉ］」と記す。
つまり、乱数ｋの最上位ビットのビット値は「ｋ［ｔ］」であり、乱数ｋの最下位ビットのビット値は「ｋ［１］」である。最上位ビットは一番左のビットであって２のｔ乗を表すビットである。最下位ビットは一番右のビットであって２の０乗を表すビットである。
乱数ｋの最上位ビットのビット値ｋ［ｔ］は「０」と「１」とのどちらであっても構わない。
Ｓ１２２Ａの後、Ｓ１２３Ａに進む。
Ｓ１２３Ａにおいて、スカラー倍算部１２２は、スカラー倍算変数Ｒを２倍し、得られた値「２Ｒ」を所定の変数Ｒ［０］に設定する。以下、変数Ｒ［０］を「第０作業変数Ｒ［０］」という。
Ｓ１２３Ａの後、Ｓ１２４Ａに進む。
Ｓ１２４Ａにおいて、スカラー倍算部１２２は、第０作業変数Ｒ［０］に設定した値に特定点Ｇを加算し、得られた値を所定の変数Ｒ［１］に設定する。以下、変数Ｒ［１］を「第１作業変数Ｒ［１］」という。
Ｓ１２４Ａの後、Ｓ１２５Ａに進む。
Ｓ１２５Ａにおいて、スカラー倍算部１２２は、ループ変数ｉに基づいて乱数ｋの下位からｉビット目のビット値ｋ［ｉ］を参照する。
例えば、「ｉ＝ｔ」であればスカラー倍算部１２２は乱数ｋの最上位ビットｋ［ｔ］を参照し、「ｉ＝１」であればスカラー倍算部１２２は乱数ｋの最下位ビットｋ［１］を参照する。
ビット値ｋ［ｉ］が「０」である場合、スカラー倍算部１２２は第０作業変数Ｒ［０］をスカラー倍算変数Ｒに設定する。
ビット値ｋ［ｉ］が「１」である場合、スカラー倍算部１２２は第１作業変数Ｒ［１］をスカラー倍算変数Ｒに設定する。
Ｓ１２５Ａの後、Ｓ１２６Ａに進む。
Ｓ１２６Ａにおいて、スカラー倍算部１２２はループ変数ｉから「１」を減算する。
Ｓ１２６Ａの後、Ｓ１２７Ａに進む。
Ｓ１２７Ａにおいて、スカラー倍算部１２２はループ変数ｉが「０」であるか否かを判定する。
ループ変数ｉが「０」である場合、Ｓ１２８Ａに進む。
ループ変数ｉが「０」でない場合、Ｓ１２３Ａに戻る。
但し、Ｓ１２７Ａの判定はＳ１２６Ａの後ではなくＳ１２３Ａの前に行い、Ｓ１２６Ａの後にＳ１２７Ａに戻るようにしても構わない。この場合、Ｓ１２７Ａでループ変数ｉが「０」であればＳ１２８Ａに進み、ループ変数ｉが「０」でなければＳ１２３Ａに進む。
Ｓ１２８Ａにおいて、スカラー倍点出力部１２３は、スカラー倍算変数Ｒから定数値２ｔＧを減算し、得られたスカラー倍算変数Ｒの値をスカラー倍点ｋＧとして電子署名生成部１１０に出力する。
Ｓ１２８Ａにより、楕円スカラー倍算処理は終了する。
上記の楕円スカラー倍算処理（図４）では、スカラー倍算変数Ｒに初期値として無限遠点「０」ではなく特定点Ｇを設定し（Ｓ１２１Ａ）、最後にスカラー倍算変数Ｒから初期値に対応する定数値２ｔＧを減じている（Ｓ１２８Ａ）。
これにより、乱数ｋの値に関わらず一定の計算時間でスカラー倍点ｋＧを算出することができる。例えば、乱数ｋの最上位ビットが「１」である場合であっても、乱数ｋの最上位ビットから連続して複数ビットが「０」である場合であっても、スカラー倍点ｋＧの算出に要する計算時間は変わらない。
つまり、楕円スカラー倍算処理は乱数ｋの値に関わらず一定の計算時間で行われるため、楕円スカラー倍算処理がタイミング解析されることはない。タイミング解析とは、処理時間の時間差を分析することにより処理されたデータを特定する技術である。タイミング解析については非特許文献１に記載されている。
したがって、楕円スカラー倍算処理で用いる乱数ｋはタイミング解析によって特定できず、乱数ｋに基づいて電子署名が知られてしまうこともない。
図５は、実施の形態１における楕円スカラー倍算方法の別例を示すフローチャートである。
楕円スカラー倍算部１２０は、図５に示す方法によってスカラー倍点ｋＧを算出しても構わない。
楕円スカラー倍算部１２０は、電子署名生成部１１０から乱数ｋと特定点Ｇとを入力し、装置記憶部１９０から定数値２ｔＧを入力し、以下のようにしてスカラー倍点ｋＧを算出する。
Ｓ１２１Ｂにおいて、初期設定部１２１は、スカラー倍算変数Ｒに特定点Ｇを設定する。
Ｓ１２１Ｂの後、Ｓ１２２Ｂに進む。
Ｓ１２２Ｂにおいて、スカラー倍算部１２２は、乱数ｋを表すビット列のビット数ｔをループ変数ｉに設定する。
Ｓ１２２Ｂの後、Ｓ１２３Ｂに進む。
Ｓ１２３Ｂにおいて、スカラー倍算部１２２は、スカラー倍算変数Ｒを２倍する。
Ｓ１２３Ｂの後、Ｓ１２４Ｂに進む。
Ｓ１２４Ｂにおいて、スカラー倍算部１２２は、ループ変数ｉに基づいて乱数ｋの下位からｉビット目のビット値ｋ［ｉ］を参照し、参照したビット値ｋ［ｉ］が「０」と「１」とのいずれの値であるか判定する。
ビット値ｋ［ｉ］が「０」である場合、Ｓ１２５Ｂに進む。
ビット値ｋ［ｉ］が「１」である場合、Ｓ１２６Ｂに進む。
Ｓ１２５Ｂにおいて、スカラー倍算部１２２は、スカラー倍算変数Ｒに特定点Ｇを加算する。
Ｓ１２５Ｂの後、Ｓ１２６Ｂに進む。
Ｓ１２６Ｂにおいて、スカラー倍算部１２２はループ変数ｉから「１」を減算する。
Ｓ１２６Ｂの後、Ｓ１２７Ｂに進む。
Ｓ１２７Ｂにおいて、スカラー倍算部１２２はループ変数ｉが「０」であるか否かを判定する。
ループ変数ｉが「０」である場合、Ｓ１２８Ｂに進む。
ループ変数ｉが「０」でない場合、Ｓ１２３Ｂに戻る。
但し、Ｓ１２７Ｂの判定はＳ１２６Ｂの後ではなくＳ１２３Ｂの前に行い、Ｓ１２６Ｂの後にＳ１２７Ｂに戻っても構わない。この場合、Ｓ１２７Ｂでループ変数ｉが「０」であればＳ１２８Ｂに進み、ループ変数ｉが「０」でなければＳ１２３Ｂに進む。
Ｓ１２８Ｂにおいて、スカラー倍点出力部１２３は、スカラー倍算変数Ｒから定数値２ｔＧを減算し、得られたスカラー倍算変数Ｒの値をスカラー倍点ｋＧとして電子署名生成部１１０に出力する。
Ｓ１２８Ｂにより、楕円スカラー倍算処理は終了する。
上記の楕円スカラー倍算処理（図５）においてＳ１２３Ｂではスカラー倍算変数Ｒの２倍算（２Ｒ）をしているが、無限遠点「０」の２倍算と無限遠点「０」以外の値の２倍算とでは計算時間に差が生じてしまう。
しかし、Ｓ１２１Ｂでスカラー倍算変数Ｒに無限遠点「０」ではなく特定点Ｇを初期設定しているため、乱数ｋの最上位ビットから連続して複数ビットが「０」である場合であってもＳ１２３Ｂで無限遠点「０」を２倍算することはない。つまり、乱数ｋの値によってＳ１２３Ｂの計算時間に差が生じない。
したがって、乱数ｋの値によってＳ１２３Ｂの計算時間に差が生じない分、楕円スカラー倍算処理のタイミング解析を困難にすることができる。
図６は、実施の形態１における楕円曲線暗号装置１００のハードウェア資源の一例を示す図である。
図６において、楕円曲線暗号装置１００は、ＣＰＵ９０１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を備えている。ＣＰＵ９０１は、バス９０２を介してＲＯＭ９０３とＲＡＭ９０４とに接続され、これらのハードウェアデバイスを制御する。
ＲＯＭ９０３またはＲＡＭ９０４には、ＯＳ（オペレーティングシステム）、プログラム群、ファイル群が記憶されている。
プログラム群には、実施の形態において「〜部」として説明する機能を実行するプログラムが含まれる。プログラムは、ＣＰＵ９０１により読み出され実行される。すなわち、プログラムは、「〜部」としてコンピュータを機能させるものであり、また「〜部」の手順や方法をコンピュータに実行させるものである。
ファイル群には、実施の形態において説明する「〜部」で使用される各種データ（入力、出力、判定結果、計算結果、処理結果など）が含まれる。
実施の形態において構成図およびフローチャートに含まれている矢印は主としてデータや信号の入出力を示す。
実施の形態において「〜部」として説明するものは「〜回路」、「〜装置」、「〜機器」であってもよく、また「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ファームウェア、ソフトウェア、ハードウェアまたはこれらの組み合わせのいずれで実装されても構わない。
例えば、楕円曲線暗号装置１００はＩＣチップとして構成され、電子決済機能を持つ携帯端末またはＩＣカードに搭載される。ＩＣチップには予め個人情報が記憶される。
携帯端末またはＩＣカードが電子決済機能を使用する際、楕円曲線暗号装置１００は個人情報の電子署名を生成する。そして、携帯端末またはＩＣカードの無線通信機能は個人情報と電子署名とを所定の電子決済装置に送信する。電子決済装置は電子署名を検証し、個人情報に基づいて電子決済を行う。
また、楕円曲線暗号装置１００をパーソナルコンピュータやサーバ装置などの計算機によって構成する場合、楕円曲線暗号装置１００はＲＯＭ９０３やＲＡＭ９０４の他に、通信ボード、ディスプレイ装置、キーボード、マウス、ドライブ装置、磁気ディスク装置などのハードウェアを備える。ＣＰＵ９０１はこれらハードウェアも制御する。
実施の形態１において楕円曲線暗号装置１００は電子署名を生成する暗号装置でなくてもよく、楕円スカラー倍算処理（図４、５）は電子署名を生成する処理以外の演算処理で実行してもよい。
つまり、実施の形態１における楕円スカラー倍算処理（図４、５）は、楕円スカラー倍点ｋＧ（ｋは乱数でなくてもよい）を使用するいかなる演算処理に用いても構わない。
図４または図５に示した楕円スカラー倍算処理はバイナリ法と呼ばれるべき乗剰余演算法であるが、楕円スカラー倍算処理としてその他のべき乗剰余演算法（例えば、Ｃｏｍｂ法）を用いても構わない。Ｃｏｍｂ法を用いる場合は、図４や図５においてｋ［ｉ］は１ビットではなく複数ビットを同時に参照することにより、ループ回数をｔよりも小さくすることができる。
その他のべき乗剰余演算法を用いる場合であっても、スカラー倍算変数Ｒに初期値として特定点Ｇを設定し（図４のＳ１２１Ａ参照）、最後にスカラー倍算変数Ｒから定数値２ｔＧを減算すればよい。これにより、乱数ｋの値に関わらず一定の計算時間でスカラー倍点ｋＧを算出することができる。
実施の形態２．
多倍長整数の剰余演算を一定の計算時間で行う形態について説明する。
多倍長整数の剰余演算とは、多倍長整数を特定値で除算して余りを算出する処理である。
以下、実施の形態１と異なる事項について主に説明する。説明を省略する事項については実施の形態１と同様である。
図７は、実施の形態２における楕円曲線暗号装置１００の構成図である。
実施の形態２における楕円曲線暗号装置１００の構成について、図７に基づいて説明する。
楕円曲線暗号装置１００は、実施の形態１で説明した構成に加えて、多倍長剰余演算部１３０を備える。
多倍長剰余演算部１３０は、特定の多倍長整数ａを２で除算した値を特定の素数ｐで除算して得られる余りを剰余値ｒとして算出する。
多倍長剰余演算部１３０は、多倍長整数判定部１３１と、剰余演算変数設定部１３２と、シフト演算部１３３とを備える。
多倍長整数判定部１３１は、多倍長整数ａが偶数であれば所定のテンポラリ変数ｔｅｍｐに０を設定し、多倍長整数ａが奇数であればテンポラリ変数ｔｅｍｐに素数ｐを設定する。
剰余演算変数設定部１３２は、多倍長整数ａにテンポラリ変数ｔｅｍｐを加算し、加算して得られた値を所定の剰余演算変数ｃに設定する。
シフト演算部１３３は、剰余演算変数ｃを１ビット右にシフトし、シフトして得られた値を剰余値ｒとして出力する。
楕円スカラー倍算部１２０の初期設定部１２１は、特定点の座標値Ｇを示す多倍長整数をスカラー倍算変数Ｒに設定する（図４のＳ１２１Ａ）。
スカラー倍算部１２２は、スカラー倍算変数Ｒを２倍算して得られる座標値「２Ｒ」を多倍長剰余演算部１３０を用いて算出する（図４のＳ１２３Ａ）。
スカラー倍算部１２２は、第０作業変数Ｒ［０］に特定点の座標値Ｇを加算して得られる座標値「Ｒ［０］＋Ｇ」を多倍長剰余演算部１３０を用いて算出する（図４のＳ１２４Ａ）。
スカラー倍点出力部１２３は、スカラー倍算変数Ｒから座標値２ｔＧを減算して得られる座標値「Ｒ−２ｔＧ」を多倍長剰余演算部１３０を用いて算出する（図４のＳ１２８Ａ）。
以下、特定点の座標値Ｇを「特定点Ｇ」と記し、座標値２ｔＧを「定数値２ｔＧ」と記す。
図８は、実施の形態２における多倍長剰余演算方法を示すフローチャートである。
実施の形態２における多倍長剰余演算方法について、図８に基づいて説明する。
電子署名の生成や検証などの暗号処理またはその他の暗号処理では、暗号の解読を困難にするために多倍長整数が使用され、多倍長整数を使用した演算処理が行われる。
多倍長整数とは、レジスタのデータサイズに相当する所定のビット数で表すことができる最大の整数値より大きな整数値である。例えば、３２ビットマシンでは３２ビットで表すことができる最大の整数値（２の３２乗−１）より大きな整数値が多倍長整数である。
以下、多倍長整数を使用した演算処理を「多倍長演算処理」という。
通常、多倍長演算処理では、多倍長剰余演算が行われる。
多倍長剰余演算とは、多倍長整数（後述するａ）を特定値（後述するｐ）で除算して余り（後述するｒ）を求める処理である。
実施の形態１で説明した楕円曲線上の特定点Ｇの座標値は多倍長整数の一例である。
例えば、楕円スカラー倍算部１２０はＳ１２３Ａ、Ｓ１２４ＡおよびＳ１２８Ａ（図４参照）において多倍長剰余演算部１３０を呼び出し、多倍長剰余演算部１３０は図８に示す多倍長剰余演算を実行する。
以下、計算対象の多倍長整数を「ａ」とし、「ａ／２」を除算する値を「ｐ」とし、「ａ／２」を「ｐ」で除算して得られる余りを「剰余値ｒ」とする。「ａ／２」は多倍長整数ａを２で除算した値である。「ｐ」は素数である。剰余値ｒは０以上ｐ未満の整数値である。
Ｓ１３１において、多倍長整数判定部１３１は、多倍長整数ａが偶数と奇数とのいずれの値であるか判定する。
多倍長整数ａが偶数である場合、Ｓ１３２に進む。
多倍長整数ａが奇数である場合、Ｓ１３３に進む。
Ｓ１３２において、多倍長整数判定部１３１は、所定の変数ｔｅｍｐに「０」を設定する。以下、変数ｔｅｍｐを「テンポラリ変数ｔｅｍｐ」という。
Ｓ１３２の後、Ｓ１３４に進む。
Ｓ１３３において、多倍長整数判定部１３１は、テンポラリ変数ｔｅｍｐに素数ｐを設定する。
Ｓ１３３の後、Ｓ１３４に進む。
Ｓ１３４において、剰余演算変数設定部１３２は、多倍長整数ａにテンポラリ変数ｔｅｍｐの値を加算し、得られた値を所定の変数ｃに設定する。以下、変数ｃを「剰余演算変数ｃ」という。
Ｓ１３４の後、Ｓ１３５に進む。
Ｓ１３５において、シフト演算部１３３は、剰余演算変数ｃを表すビット列を１ビット右にシフトし、得られた値を剰余値ｒとして出力する。
剰余値ｒは「ａ／２」を「ｐ」で除算して得られる余りであり、「ｒ＝ａ／２ ｍｏｄ ｐ」という数式で表すことができる。
Ｓ１３５により、多倍長剰余演算処理は終了する。
上記の多倍長剰余演算処理（図８）では、多倍長整数ａが偶数と奇数とのいずれの値であっても処理ステップ数は変わらない。
このため、多倍長剰余演算処理において、多倍長整数ａが偶数の場合と多倍長整数ａが奇数の場合とで計算時間の時間差は生じない。つまり、多倍長剰余演算処理は多倍長整数ａの値に関わらず一定の計算時間で行われるため、多倍長剰余演算処理がタイミング解析されることはない。
したがって、多倍長整数ａはタイミング解析によって特定できず、多倍長整数ａに基づいて乱数ｋや電子署名などの秘密情報が知られてしまうこともない。
実施の形態２において楕円曲線暗号装置１００は電子署名を生成する暗号装置でなくてもよく、多倍長剰余演算処理（図８）は電子署名を生成する処理以外の処理に含まれる多倍長演算処理として実行してもよい。
つまり、実施の形態２における多倍長剰余演算処理（図８）は、電子署名を検証する処理、電子署名と関係しない暗号処理、楕円曲線暗号以外の暗号処理または暗号処理以外の演算処理など、多倍長整数を使用するいかなる演算処理に用いても構わない。
実施の形態３．
多倍長整数のゼロ判定を一定の計算時間で行う形態について説明する。
多倍長整数のゼロ判定とは、多倍長整数の値がゼロと非ゼロとのいずれの値であるかを判定する処理である。
以下、実施の形態１、２と異なる事項について主に説明する。説明を省略する事項については実施の形態１、２と同様である。
図９は、実施の形態３における楕円曲線暗号装置１００の構成図である。
実施の形態３における楕円曲線暗号装置１００の構成について、図９に基づいて説明する。
楕円曲線暗号装置１００は、実施の形態２で説明した構成に加えて、多倍長ゼロ判定部１４０を備える。
多倍長ゼロ判定部１４０は、複数の整数値を連結して表される特定の多倍長整数ｂがゼロであるか否かを判定する。
多倍長ゼロ判定部１４０は、論理和演算部１４１とゼロ判定部１４２とを備える。
論理和演算部１４１は、多倍長整数ｂを表す複数の整数値（ワード）の論理和を算出する。
ゼロ判定部１４２は、論理和演算部１４１により算出された論理和に基づいて多倍長整数ｂがゼロであるか否かを判定する。
楕円スカラー倍算部１２０の初期設定部１２１は、特定点の座標値Ｇを示す多倍長整数をスカラー倍算変数Ｒに設定する（図４のＳ１２１Ａ）。
スカラー倍算部１２２は、スカラー倍算変数Ｒを２倍算して得られる座標値「２Ｒ」を多倍長ゼロ判定部１４０を用いて算出する（図４のＳ１２３Ａ）。
スカラー倍算部１２２は、第０作業変数Ｒ［０］に特定点の座標値Ｇを加算して得られる座標値「Ｒ［０］＋Ｇ」を多倍長ゼロ判定部１４０を用いて算出する（図４のＳ１２４Ａ）。
スカラー倍点出力部１２３は、スカラー倍算変数Ｒから座標値２ｔＧを減算して得られる座標値「Ｒ−２ｔＧ」を多倍長ゼロ判定部１４０を用いて算出する（図４のＳ１２８Ａ）。
以下、特定点の座標値Ｇを「特定点Ｇ」と記し、座標値２ｔＧを「定数値２ｔＧ」と記す。
図１０は、実施の形態３における多倍長ゼロ判定方法を示すフローチャートである。
実施の形態３における多倍長ゼロ判定方法について、図１０に基づいて説明する。
通常、多倍長演算処理では、多倍長ゼロ判定処理が行われる。
多倍長ゼロ判定処理とは、多倍長整数ｂの値がゼロと非ゼロとのいずれの値であるかを判定する処理である。
実施の形態１で説明した楕円曲線上の特定点Ｇの座標値は多倍長整数の一例である。
例えば、楕円スカラー倍算部１２０はＳ１２３Ａ、Ｓ１２４ＡおよびＳ１２８Ａ（図４参照）において多倍長ゼロ判定部１４０を呼び出し、多倍長ゼロ判定部１４０は図１０に示す多倍長ゼロ判定処理を実行する。
Ｓ１４１において、論理和演算部１４１は多倍長整数ｂを所定の桁数（またはビット数）毎に分割する。例えば、論理和演算部１４１は、１００桁の多倍長整数ｂを１０桁ずつの１０個の整数値に分割する。また例えば、論理和演算部１４１は、９６ビットの多倍長整数ｂを３２ビットずつの３つのビット列に分割する。
以下、多倍長整数ｂを分割して得られた複数の整数値または多倍長整数ｂを分割して得られた複数のビット列で表される複数の整数値を「ワード」という。
また、多倍長整数ｂのワード数（分割数）を「ｗ」とし、下位からｉ番目のワードをｂ［ｉ］とする。つまり、最上位のワード（先頭ワード）をｂ［ｗ］とし、最下位のワード（最終ワード）をｂ［１］とする。
Ｓ１４１の後、Ｓ１４２に進む。
Ｓ１４２において、論理和演算部１４１は、Ｓ１４１で得られた多倍長整数ｂの複数ワードの論理和を算出し、算出した論理和を所定の変数ＯＲに設定する。以下、変数ＯＲを「論理和ＯＲ」という。実施の形態において、「Ａ｜Ｂ」はＡとＢとの論理和を意味する。
したがって、多倍長整数ｂを構成する複数ワード全ての値が「０」である場合、論理和ＯＲの値は「０」になり、多倍長整数ｂを構成する複数ワードの少なくともいずれかの値が「０」でない場合、論理和ＯＲの値は「１」になる。
Ｓ１４２の後、Ｓ１４３に進む。
Ｓ１４３において、ゼロ判定部１４２は、Ｓ１４２で設定された論理和ＯＲの値が「０」と「１」とのいずれの値であるかを判定する。
そして、論理和ＯＲの値が「０」である場合、ゼロ判定部１４２は多倍長整数ｂの値がゼロであると判定し、判定結果を出力する。
また、論理和ＯＲの値が「０」でない場合、ゼロ判定部１４２は多倍長整数ｂの値がゼロ以外の値（非ゼロ）であると判定し、判定結果を出力する。
Ｓ１４３により、多倍長ゼロ判定処理は終了する。
上記の多倍長ゼロ判定処理（図１０）では、多倍長整数ｂがどのような値であっても処理ステップ数は変わらない。
このため、多倍長ゼロ判定処理において、多倍長整数ｂの値によって計算時間の時間差は生じない。つまり、多倍長ゼロ判定処理は多倍長整数ｂの値に関わらず一定の計算時間で行われ、多倍長ゼロ判定処理がタイミング解析されることはない。
したがって、多倍長整数ｂはタイミング解析によって特定できず、多倍長整数ｂに基づいて乱数ｋや電子署名などの秘密情報が知られてしまうこともない。
実施の形態３において楕円曲線暗号装置１００は電子署名を生成する暗号装置でなくてもよく、多倍長ゼロ判定処理（図１０）は電子署名を生成する処理以外の処理に含まれる多倍長演算処理として実行してもよい。
つまり、実施の形態３における多倍長ゼロ判定処理（図１０）は、電子署名を検証する処理、電子署名と関係しない暗号処理、楕円曲線暗号以外の暗号処理または暗号処理以外の演算処理など、多倍長整数を使用するいかなる演算処理に用いても構わない。
１００ 楕円曲線暗号装置、１１０ 電子署名生成部、１１１ 乱数生成部、１１２ 署名生成処理部、１２０ 楕円スカラー倍算部、１２１ 初期設定部、１２２ スカラー倍算部、１２３ スカラー倍点出力部、１３０ 多倍長剰余演算部、１３１ 多倍長整数判定部、１３２ 剰余演算変数設定部、１３３ シフト演算部、１４０ 多倍長ゼロ判定部、１４１ 論理和演算部、１４２ ゼロ判定部、１９０ 装置記憶部、９０１ ＣＰＵ、９０２ バス、９０３ ＲＯＭ、９０４ ＲＡＭ。

Claims (8)

  1. 特定の楕円曲線に含まれる特定点の座標値Ｇをｔビットのビット列で表される特定の乗数値ｋでスカラー倍算して得られる座標値ｋＧを算出する演算装置において、
    前記特定点の座標値Ｇを２のｔ乗でスカラー倍して得られる座標値２ｔＧを予め記憶する定数記憶部と、
    所定のスカラー倍算変数Ｒに前記特定点の座標値Ｇを設定する初期設定部と、
    前記乗数値ｋを表すｔビットのビット列を上位から所定数のビットずつ参照し、前記ビット列を所定数のビットずつ参照する毎に前記スカラー倍算変数Ｒを２倍算して得られる座標値を所定の第０作業変数Ｒ［０］に設定し、前記第０作業変数Ｒ［０］に設定した座標値に前記特定点の座標値Ｇを所定数倍した座標値を加算して得られる座標値を所定の第１作業変数Ｒ［１］に設定し、参照した所定数のビットの値がゼロであれば前記スカラー倍算変数Ｒに前記第０作業変数Ｒ［０］を設定し、参照した所定数のビットの値が非ゼロであれば前記スカラー倍算変数Ｒに前記第１作業変数Ｒ［１］を設定するスカラー倍算部と、
    前記スカラー倍算部により設定されたスカラー倍算変数Ｒから前記定数記憶部に記憶された座標値２ｔＧを減算し、減算して得られた座標値を前記座標値ｋＧとして出力するスカラー倍点出力部と、
    特定の多倍長整数ａを２で除算した値を特定の素数ｐで除算して得られる余りを剰余値ｒとして算出する多倍長剰余演算部であって、前記多倍長整数ａが偶数であれば所定のテンポラリ変数ｔｅｍｐに０を設定し、前記多倍長整数ａが奇数であれば前記テンポラリ変数ｔｅｍｐに前記素数ｐを設定し、前記多倍長整数ａに前記テンポラリ変数ｔｅｍｐを加算して得られる値を所定の剰余演算変数ｃに設定し、設定した剰余演算変数ｃを１ビット右にシフトして得られる値を前記剰余値ｒとして出力する多倍長剰余演算部とを備え、
    前記初期設定部は、前記特定点の座標値Ｇを示す多倍長整数を前記スカラー倍算変数Ｒに設定し、
    前記スカラー倍算部は、前記スカラー倍算変数Ｒを２倍算して得られる座標値と、前記第０作業変数Ｒ［０］に前記特定点の座標値Ｇを加算して得られる座標値とを前記多倍長剰余演算部を用いて算出し、
    前記スカラー倍点出力部は、前記スカラー倍算変数Ｒから前記座標値２ ｔ Ｇを減算して得られる座標値を前記多倍長剰余演算部を用いて算出する
    ことを特徴とする演算装置。
  2. 前記演算装置は、さらに、
    複数の整数値を連結して表される特定の多倍長整数ｂがゼロであるか否かを判定する多倍長ゼロ判定部であって、前記多倍長整数ｂを表す複数の整数値の論理和を算出し、算出した論理和に基づいて前記多倍長整数ｂがゼロであるか否かを判定する多倍長ゼロ判定部を備え、
    前記スカラー倍算部は、前記スカラー倍算変数Ｒを２倍算して得られる座標値と、前記第０作業変数Ｒ［０］に前記特定点の座標値Ｇを加算して得られる座標値とを前記多倍長剰余演算部と前記多倍長ゼロ判定部とを用いて算出し、
    前記スカラー倍点出力部は、前記スカラー倍算変数Ｒから前記座標値２ｔＧを減算して得られる座標値を前記多倍長剰余演算部と前記多倍長ゼロ判定部とを用いて算出する
    ことを特徴とする請求項１記載の演算装置。
  3. 前記演算装置は、さらに、
    前記乗数値ｋとして用いる乱数値を生成し、前記スカラー倍点出力部から出力された座標値ｋＧを用いて電子署名を生成する電子署名生成部
    を備えたことを特徴とする請求項１または請求項２記載の演算装置。
  4. 特定の楕円曲線に含まれる特定点の座標値Ｇをｔビットのビット列で表される特定の乗数値ｋでスカラー倍算して得られる座標値ｋＧを算出する演算装置の楕円スカラー倍算方法において、
    前記演算装置は、初期設定部と、スカラー倍算部と、スカラー倍点出力部と、多倍長剰余演算部とを備える装置であり、
    前記多倍長剰余演算部は、特定の多倍長整数ａを２で除算した値を特定の素数ｐで除算して得られる余りを剰余値ｒとして算出する多倍長剰余演算部であって、前記多倍長整数ａが偶数であれば所定のテンポラリ変数ｔｅｍｐに０を設定し、前記多倍長整数ａが奇数であれば前記テンポラリ変数ｔｅｍｐに前記素数ｐを設定し、前記多倍長整数ａに前記テンポラリ変数ｔｅｍｐを加算して得られる値を所定の剰余演算変数ｃに設定し、設定した剰余演算変数ｃを１ビット右にシフトして得られる値を前記剰余値ｒとして出力する演算部であり、
    前記初期設定部が、所定のスカラー倍算変数Ｒに前記特定点の座標値Ｇを示す多倍長整数を設定し、
    前記スカラー倍算部が、前記乗数値ｋを表すｔビットのビット列を上位から所定数のビットずつ参照し、前記ビット列を所定数のビットずつ参照する毎に前記スカラー倍算変数Ｒを２倍算して得られる第一の座標値を前記多倍長剰余演算部を用いて算出し、算出した第一の座標値を所定の第０作業変数Ｒ［０］に設定し、前記第０作業変数Ｒ［０］に設定した第一の座標値に前記特定点の座標値Ｇを所定数倍した座標値を加算して得られる第二の座標値を前記多倍長剰余演算部を用いて算出し、算出した第二の座標値を所定の第１作業変数Ｒ［１］に設定し、参照した所定数のビットの値がゼロであれば前記スカラー倍算変数Ｒに前記第０作業変数Ｒ［０］を設定し、参照した所定数のビットの値が非ゼロであれば前記スカラー倍算変数Ｒに前記第１作業変数Ｒ［１］を設定し、
    前記スカラー倍点出力部が、前記スカラー倍算部により設定されたスカラー倍算変数Ｒから前記特定点の座標値Ｇを２のｔ乗でスカラー倍して得られる定数値２ｔＧを減算して得られる第三の座標値を前記多倍長剰余演算部を用いて算出し、算出した第三の座標値を前記座標値ｋＧとして出力することを特徴とする演算装置の楕円スカラー倍算方法。
  5. 特定の楕円曲線に含まれる特定点の座標値Ｇをｔビットのビット列で表される特定の乗数値ｋでスカラー倍算して得られる座標値ｋＧを算出するための楕円スカラー倍算プログラムであって、
    特定の多倍長整数ａを２で除算した値を特定の素数ｐで除算して得られる余りを剰余値ｒとして算出する多倍長剰余演算処理であって、前記多倍長整数ａが偶数であれば所定のテンポラリ変数ｔｅｍｐに０を設定し、前記多倍長整数ａが奇数であれば前記テンポラリ変数ｔｅｍｐに前記素数ｐを設定し、前記多倍長整数ａに前記テンポラリ変数ｔｅｍｐを加算して得られる値を所定の剰余演算変数ｃに設定し、設定した剰余演算変数ｃを１ビット右にシフトして得られる値を前記剰余値ｒとして出力する多倍長剰余演算処理と、
    所定のスカラー倍算変数Ｒに前記特定点の座標値Ｇを設定する初期設定処理と、
    前記乗数値ｋを表すｔビットのビット列を上位から所定数のビットずつ参照し、前記ビット列を所定数のビットずつ参照する毎に前記スカラー倍算変数Ｒを２倍算して得られる第一の座標値を前記多倍長剰余演算処理によって算出し、算出した第一の座標値を所定の第０作業変数Ｒ［０］に設定し、前記第０作業変数Ｒ［０］に設定した第一の座標値に前記特定点の座標値Ｇを所定数倍した座標値を加算して得られる第二の座標値を前記多倍長剰余演算処理によって算出し、算出した第二の座標値を所定の第１作業変数Ｒ［１］に設定し、参照した所定数のビットの値がゼロであれば前記スカラー倍算変数Ｒに前記第０作業変数Ｒ［０］を設定し、参照した所定数のビットの値が非ゼロであれば前記スカラー倍算変数Ｒに前記第１作業変数Ｒ［１］を設定するスカラー倍算処理と、
    前記スカラー倍算処理により設定されたスカラー倍算変数Ｒから前記特定点の座標値Ｇを２のｔ乗でスカラー倍して得られる定数値２ｔＧを減算して得られる第三の座標値を前記多倍長剰余演算処理によって算出し、算出した第三の座標値を前記座標値ｋＧとして出力するスカラー倍点出力処理と
    をコンピュータに実行させることを特徴とする楕円スカラー倍算プログラム。
  6. 特定の多倍長整数ａを２で除算した値を特定の素数ｐで除算して得られる余りを剰余値ｒとして算出する演算装置において、
    前記多倍長整数ａが偶数であれば所定のテンポラリ変数ｔｅｍｐに０を設定し、前記多倍長整数ａが奇数であれば前記テンポラリ変数ｔｅｍｐに前記素数ｐを設定する多倍長整数判定部と、
    前記多倍長整数ａに前記テンポラリ変数ｔｅｍｐを加算し、加算して得られた値を所定の剰余演算変数ｃに設定する剰余演算変数設定部と、
    前記剰余演算変数ｃを１ビット右にシフトし、シフトして得られた値を前記剰余値ｒとして出力するシフト演算部と
    を備えたことを特徴とする演算装置。
  7. 特定の多倍長整数ａを２で除算した値を特定の素数ｐで除算して得られる余りを剰余値ｒとして算出する演算装置の剰余演算方法において、
    多倍長整数判定部が、前記多倍長整数ａが偶数であれば所定のテンポラリ変数ｔｅｍｐに０を設定し、前記多倍長整数ａが奇数であれば前記テンポラリ変数ｔｅｍｐに前記素数ｐを設定し、
    剰余演算変数設定部が、前記多倍長整数ａに前記テンポラリ変数ｔｅｍｐを加算し、加算して得られた値を所定の剰余演算変数ｃに設定し、
    シフト演算部が、前記剰余演算変数ｃを１ビット右にシフトし、シフトして得られた値を前記剰余値ｒとして出力する
    ことを特徴とする演算装置の剰余演算方法。
  8. 特定の多倍長整数ａを２で除算した値を特定の素数ｐで除算して得られる余りを剰余値ｒとして算出する剰余演算プログラムにおいて、
    前記多倍長整数ａが偶数であれば所定のテンポラリ変数ｔｅｍｐに０を設定し、前記多倍長整数ａが奇数であれば前記テンポラリ変数ｔｅｍｐに前記素数ｐを設定する多倍長整数判定処理と、
    前記多倍長整数ａに前記テンポラリ変数ｔｅｍｐを加算し、加算して得られた値を所定の剰余演算変数ｃに設定する剰余演算変数設定処理と、
    前記剰余演算変数ｃを１ビット右にシフトし、シフトして得られた値を前記剰余値ｒとして出力するシフト演算処理と
    をコンピュータに実行させることを特徴とする剰余演算プログラム。
JP2012550611A 2010-12-27 2010-12-27 演算装置、演算装置の楕円スカラー倍算方法、楕円スカラー倍算プログラム、演算装置の剰余演算方法および剰余演算プログラム Expired - Fee Related JP5449576B2 (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2010/073620 WO2012090284A1 (ja) 2010-12-27 2010-12-27 演算装置、演算装置の楕円スカラー倍算方法、楕円スカラー倍算プログラム、演算装置の剰余演算方法、剰余演算プログラム、演算装置のゼロ判定方法およびゼロ判定プログラム

Publications (2)

Publication Number Publication Date
JP5449576B2 true JP5449576B2 (ja) 2014-03-19
JPWO2012090284A1 JPWO2012090284A1 (ja) 2014-06-05

Family

ID=46382434

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2012550611A Expired - Fee Related JP5449576B2 (ja) 2010-12-27 2010-12-27 演算装置、演算装置の楕円スカラー倍算方法、楕円スカラー倍算プログラム、演算装置の剰余演算方法および剰余演算プログラム

Country Status (6)

Country Link
US (1) US9176707B2 (ja)
EP (1) EP2660796B1 (ja)
JP (1) JP5449576B2 (ja)
KR (1) KR101439804B1 (ja)
CN (1) CN103282950B (ja)
WO (1) WO2012090284A1 (ja)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2791856A4 (en) * 2011-12-15 2015-08-19 Intel Corp METHOD, DEVICE AND SYSTEM FOR SECURELY SHARING MULTIMEDIA CONTENT FROM SOURCE DEVICE
US9391773B2 (en) * 2014-04-04 2016-07-12 Qualcomm Incorporated Elliptic curve point multiplication procedure resistant to side-channel information leakage
US9800411B1 (en) * 2016-05-05 2017-10-24 ISARA Corporation Using a secret generator in an elliptic curve cryptography (ECC) digital signature scheme
CN106301770A (zh) * 2016-08-22 2017-01-04 大唐微电子技术有限公司 一种Java卡SM2数字签名验证或信息加密的方法及装置
EP3376705A1 (en) * 2017-03-17 2018-09-19 Koninklijke Philips N.V. Elliptic curve point multiplication device and method in a white-box context
EP3866142B1 (en) * 2018-10-10 2023-12-06 Nippon Telegraph And Telephone Corporation Secure right shift computation system, secure division system, methods therefor, secure computation apparatus, and program
JP6690686B2 (ja) * 2018-11-07 2020-04-28 日本電気株式会社 口座開設システム、口座開設方法、及びプログラム
CN111756538B (zh) * 2020-06-28 2023-10-13 哈尔滨理工大学 一种基于素数预处理的ecc标量乘法器的实现方法及装置
US12101403B2 (en) 2022-10-26 2024-09-24 Tencent America LLC Interleaved scalar multiplication for elliptic curve cryptography

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3210356B2 (ja) * 1991-03-12 2001-09-17 富士通株式会社 データのゼロ判定装置
US6304658B1 (en) * 1998-01-02 2001-10-16 Cryptography Research, Inc. Leak-resistant cryptographic method and apparatus
CA2252078C (en) * 1998-10-28 2009-02-17 Certicom Corp. Power signature attack resistant cryptographic system
US6963644B1 (en) 1999-04-07 2005-11-08 Matsushita Electric Industrial Co., Ltd. Multi-word arithmetic device for faster computation of cryptosystem calculations
JP2000353077A (ja) * 1999-04-07 2000-12-19 Matsushita Electric Ind Co Ltd 多倍長演算装置
JP2003098962A (ja) * 2001-09-20 2003-04-04 Hitachi Ltd 楕円曲線スカラー倍計算方法及び装置並びに記録媒体
US7308096B2 (en) 2000-05-30 2007-12-11 Hitachi, Ltd. Elliptic scalar multiplication system
JP2004198566A (ja) 2002-12-17 2004-07-15 Oki Electric Ind Co Ltd 演算処理装置
EP1648111B1 (en) 2003-07-22 2014-01-15 Fujitsu Limited Tamper-resistant encryption using a private key
CN101031944A (zh) * 2004-09-30 2007-09-05 索尼株式会社 加密计算方法、加密系统和计算机程序
US7607019B2 (en) * 2005-02-03 2009-10-20 Apple Inc. Small memory footprint fast elliptic encryption
WO2006077651A1 (ja) 2005-01-24 2006-07-27 Fujitsu Limited 電力解析攻撃に対する耐タンパ性を持った暗号化処理装置
US7602907B2 (en) * 2005-07-01 2009-10-13 Microsoft Corporation Elliptic curve point multiplication
JP2010164904A (ja) * 2009-01-19 2010-07-29 Fujitsu Ltd 楕円曲線演算処理装置、楕円曲線演算処理プログラム及び方法
US8542820B2 (en) * 2009-02-05 2013-09-24 Infineon Technologies Ag Apparatus for calculating a result of a scalar multiplication

Also Published As

Publication number Publication date
WO2012090284A1 (ja) 2012-07-05
KR20130089653A (ko) 2013-08-12
US9176707B2 (en) 2015-11-03
CN103282950A (zh) 2013-09-04
EP2660796A4 (en) 2017-05-03
US20130218937A1 (en) 2013-08-22
KR101439804B1 (ko) 2014-09-11
CN103282950B (zh) 2015-11-25
EP2660796B1 (en) 2018-10-31
JPWO2012090284A1 (ja) 2014-06-05
EP2660796A1 (en) 2013-11-06

Similar Documents

Publication Publication Date Title
JP5449576B2 (ja) 演算装置、演算装置の楕円スカラー倍算方法、楕円スカラー倍算プログラム、演算装置の剰余演算方法および剰余演算プログラム
US8619977B2 (en) Representation change of a point on an elliptic curve
JP4513752B2 (ja) 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
JP2006145945A (ja) 暗号処理演算方法、および暗号処理装置、並びにコンピュータ・プログラム
KR20100113130A (ko) 비대칭 암호화를 위한 대응조치 방법 및 디바이스
JP2004501385A (ja) 楕円曲線暗号化方法
US6480606B1 (en) Elliptic curve encryption method and system
WO2009091748A1 (en) Modular reduction using a special form of the modulus
CN105337734B (zh) 包括错误检测的椭圆曲线加密方法
JP2009505148A (ja) 暗号化演算における反転操作を行うための回路配置及び方法
US7177422B2 (en) Elliptic curve encryption processing method, elliptic curve encryption processing apparatus, and program
JP5336056B2 (ja) 高速モンゴメリパワーラダーアルゴリズムを利用する欠陥検出動作を具現するための二進有限体におけるポイント加算方法及び加算演算装置
JP2011123356A (ja) 素数生成装置、素数生成方法、及び素数生成プログラム
KR101990861B1 (ko) 논-모듈러 승산기, 논-모듈러 승산 방법 및 계산 장치
JP2004163687A (ja) 楕円曲線暗号装置、楕円曲線暗号プログラム
KR102019369B1 (ko) 단일파형공격을 차단하기 위한 타원곡선 암호화 장치 및 방법
US7480380B2 (en) Method for efficient generation of modulo inverse for public key cryptosystems
JP2004053814A (ja) 楕円曲線暗号装置及び楕円曲線暗号演算方法
Goud The statistical properties of ECC keys generated from software libraries
JP2000293101A (ja) 楕円暗号安全性評価装置、その方法及びプログラム記録媒体
JP2008020757A (ja) 暗号処理装置、および暗号処理演算方法、並びにコンピュータ・プログラム

Legal Events

Date Code Title Description
TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20131126

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20131224

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

Ref document number: 5449576

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees