JP6973677B1

JP6973677B1 - 逆数算出方法、装置、およびプログラム

Info

Publication number: JP6973677B1
Application number: JP2021047134A
Authority: JP
Inventors: 健二高務
Original assignee: Fuji Electric Co Ltd
Current assignee: Fuji Electric Co Ltd
Priority date: 2021-03-22
Filing date: 2021-03-22
Publication date: 2021-12-01
Anticipated expiration: 2041-03-22
Also published as: JP2022146258A; US20220308840A1

Abstract

【課題】バイナリデータにおいて１０進数の逆数を算出する性能を向上させる逆数算出方法、装置およびプログラムを提供する。【解決手段】情報処理装置が実行する方法であって、２の冪乗を法とする剰余体上の積算において１０進数の逆数を算出する。【選択図】図１

Description

本発明は、逆数算出方法、装置、およびプログラムに関する。

従来、コンピュータによる種々のアルゴリズムにおいて、逆数の算出が用いられている（特許文献１）。

例えば、ホワイトボックス暗号方式（White-Box Cryptography）では、暗号鍵の値とアルゴリズムで決められている演算をルックアップテーブルへと合成する。その際、連続する演算間の入出力の部分に任意の変換と逆変換を挟み込み、変換を前の演算のルックアップテーブルに、逆変換を後の演算のルックアップテーブルに、それぞれ合成することで暗号鍵を難読化している。この難読化に適用可能な任意の変換と逆変換の演算の１つとして、積算と逆数の積算がある。

特開２００２−１７５１８０号公報

しかしながら、昨今のＩｏＴ（Internet of Things）の普及により見られる計算パワーの小さい組込機器等では、積算値に対する逆数の算出の負荷が大きい。さらに、ＲＳＡ（Rivest, Shamir, Adleman）暗号等の素数を法とする剰余体上の積算では、積算後の値のビット数が積算前の値のビット数よりも増えるといった計算上の問題があった。

そこで、本発明の一実施形態では、バイナリデータにおいて１０進数の逆数を算出する性能を向上させることを目的とする。

本発明の一実施形態に係る方法は、情報処理装置が実行する方法であって、２の冪乗を法とする剰余体上の積算において１０進数の逆数を算出する。

本発明の一実施形態によれば、バイナリデータにおいて１０進数の逆数を算出する性能を向上させることができる。

本発明の一実施形態に係る逆数を算出する処理のフローチャートである。本発明の一実施形態に係る逆数の算出の一例である。本発明の一実施形態に係る逆数を算出する処理のフローチャートである。本発明の一実施形態に係るＷｈｉｔｅ−ｂｏｘＡＥＳへの適用例である。本発明の一実施形態に係る情報処理装置のハードウェア構成の一例を示すブロック図である。

以下、図面に基づいて本発明の実施の形態を説明する。なお、情報処理装置１が、逆数を算出する処理を実行するものとする。

＜概略＞
本発明では、２の冪乗を法とする剰余体上での逆数が存在する条件を満たすため、積算値を奇数に限定する。対象の奇数を、１倍、２倍、４倍、・・・と２の冪乗倍したものを加算するまたは加算しないを、加算した値の下位側のビットから０（ゼロ）となるように選択していき、加算する（１）または加算しない（０）をビット列としたものを逆数とする。

積算値を奇数に限定した２の冪乗を法とする剰余体上の積算により以下が成り立つため、積算後の値は積算前の値と同じビット数で表現できる。
ｘ×ａ＝ｙ
ｙ×ｂ＝ｘ（ｘ，ｙ，ａ，ｂは全てｎビット。ａ，ｂは奇数）

ｎビットの値ｘに対し、ｎビットの奇数ａを積算し、元の値と同じｎビットの値ｙに写像する。積算したｎビットの奇数ａの逆数ｂも同様にｎビットであり、積算後の値ｙにさらにこの逆数ｂを積算することで、元のｎビットの値ｘに逆変換される。積算値の逆数算出の計算量はＯ（ｎ）と小さく（ユークリッドの互除法の計算量は、０（Ｌｏｇ（２^ｎ）^２）である）、ブロック暗号で一般的に使われる１２８ビットのデータであったとしても、組込機器でも少ない計算負荷で逆数を算出できる。

＜方法＞
図１は、本発明の一実施形態に係る逆数を算出する処理のフローチャートである。

値ａの逆数ｂとの積をｍとする。ａ、ｂはｎビットの奇数であるとする（２の冪乗を法とする剰余体上で逆数が存在するためには、ａ、ｂは奇数である）。

ａ＊ａ^−１ｍｏｄ２^ｎ＝１（＝ｍ）
ｂ＝ａ^−１＝２^０ｂ_０＋２^１ｂ_１＋２^２ｂ_２＋・・・（ｂを２進数で表したものである）
ｂ_０＝１（固定（ｂは奇数であるので、ｂ_０＝１である））
ｍ＝ａ＊ｂ＝ａ＊ｂ_０＋２＊ａ＊ｂ_１＋４＊ａ＊ｂ_２＋８＊ａ＊ｂ_３・・・

ｂ_０以外の係数（上記のｂ_１の係数"２＊ａ"、ｂ_２の係数"４＊ａ"、ｂ_３の係数"８＊ａ"、・・・）は最下位ビットが０（ゼロ）のため、ｍ_０はｂ_０以外とは独立している。つまり、ａ_０＝ｂ_０＝ｍ_０＝１（固定）である。ｂ_０確定下で、ｂ_０、ｂ_１以外の係数は下位２ビットが０（ゼロ）のため、ｍ₁＝０となるｂ_１は一意に算出可能である。そのため、ｂ_０〜ｂ_１確定下では、ｍ_ｉ＋１＝０となるｂ_ｉ＋１は一意に算出可能である。

情報処理装置１は、ｍが最終的に"１ｄ・・・ｄ０・・・０１"と下位ｎビットが最下位ビットを除いて０となるように、ｂの下位ビットから決定していく。なお、ｄは任意の値（０または１）であってよい。

ステップ１（Ｓ１）において、情報処理装置１は、ｍ＝ａ，ｂ_０＝１とする。

ステップ２（Ｓ２）〜ステップ５（Ｓ５）において、情報処理装置１は、ｍ_ｉについて、ｉ＝１からｎ−１まで順番に、
ｍ_ｉ＝０の場合ｂ_ｉ＝０
ｍ_ｉ＝１の場合ｂ_ｉ＝１，ｍ＝ｍ＋２^ｉ＊ａ
とｍを更新しながらｂを決めていく。なお、aが奇数であるので、ｍ_０＝１である。

例えば、ｍ₁＝０の場合、ｍ₁を０にする値を加算する必要はなく、ｂ₁＝０と決定することができる。ｍ₁＝１の場合、ｍ₁を０にする値（ａを２倍した値）を加算する必要があり、ｂ₁＝１と決定することができる。

＜算出例＞
図２は、本発明の一実施形態に係る逆数の算出の一例である。

図２では、１９（０００１００１１）×２７（０００１１０１１）＝１ｍｏｄ２５６（８ビットデータ），ａ＝１９，ｂ＝２７＝ａ^−１の例を説明する。図２の各行は、ｉ＝０〜７のときの、乗算結果の計算過程、２^ｉ×ａ、ｂ_ｉを示す。逆数ｂの上位ビットは、乗算結果の下位ビットには影響を与えないので、最終の乗算結果が１となるよう、逆数の下位ビットから順に確定していく。

［ｉ＝０のとき］
図２の（１）において、ｂ_ｉ（最下位）は、１で固定である。図２の（２）において乗算の結果が１となるために、逆数の最下位ビットは１であることが必須である。そのため、ａ×１の加算が行われる。

図２の（３）は、乗算結果の計算過程のｉビット目（太字）と一致している。

［ｉ＝１のとき］
図２の（４）において、乗算結果の１ビット目が０（ゼロ）となるよう、逆数の１ビット目は１を選択する。そのため、ａ×２の加算が行われる。

［ｉ＝２のとき］
図２の（５）において、２ビット目は既に０（ゼロ）なので、逆数の２ビット目は０を選択する。そのため、ａ×４の加算は行われない。

以下、同様に行われる。

［ｉ＝３のとき］
乗算結果の３ビット目が０（ゼロ）となるよう、逆数の３ビット目は１を選択する。そのため、ａ×８の加算が行われる。

［ｉ＝４のとき］
乗算結果の４ビット目が０（ゼロ）となるよう、逆数の４ビット目は１を選択する。そのため、ａ×１６の加算が行われる。

［ｉ＝５のとき］
５ビット目は既に０（ゼロ）なので、逆数の５ビット目は０を選択する。そのため、ａ×３２の加算が行われない。

［ｉ＝６のとき］
６ビット目は既に０（ゼロ）なので、逆数の６ビット目は０を選択する。そのため、ａ×６４の加算が行われない。

［ｉ＝７のとき］
７ビット目は既に０（ゼロ）なので、逆数の７ビット目は０を選択する。そのため、ａ×１２８の加算が行われない。図２の（６）において、下位８ビットの１０進数は１である。

＜レジスタでの演算＞
図３は、本発明の一実施形態に係る逆数を算出する処理のフローチャートである。なお、図１では本発明の概念を説明するために２のｉ乗を加算する形をとっているが、図３では実際の処理を想定し、都度２の冪乗を計算する処理やそれを格納するメモリを削減する形をとっている。

図１と同様に、値ａの逆数ｂとの積をｍとする。ａ、ｂは奇数であるとする。図３では、レジスタが３２ビット、値（ａ，ｂ，ｍ）が１２８ビットの場合を説明する。図３では、ａ，ｂ，ｍを３２ビットの４つの配列として扱う。

ａ＝ａ［３］（＝ａ_１２７，ａ_１２６，・・・，ａ_９６），ａ［２］（＝ａ_９５，・・・，ａ_６４），ａ［１］（＝ａ_６３，・・・，ａ_３２），ａ［０］（＝ａ_３１，・・・，ａ_０）なお、ｂ，ｍも同様である。

ステップ１１（Ｓ１１）において、情報処理装置１は、ｍ＝ａ，ｂ_０＝１とする。

ステップ１２（Ｓ１２）〜ステップ１６（Ｓ１６）において、情報処理装置１は、ｍ_ｉについて、ｉ＝１からｎ−１まで順番に、
ａ＝ａ×２
ｍ_ｉ＝０の場合ｂ_ｉ＝０
ｍ_ｉ＝１の場合ｂ_ｉ＝１，ｍ＝ｍ＋ａ
とａおよびｍを更新しながらｂを決めていく。なお、aの初期値が奇数であるので、ｍ_０＝１である。

ｍに２の冪乗倍して加算するａについては、ｉの繰り返しにおいて都度２倍した値に更新しながらｍに加算する。

ステップ１３（Ｓ１３）において、以下のとおりである。
ａ＝ａ＊２：
ａ［３］＝ａ［３］＜＜１ＯＲａ［２］＞＞３１
ａ［２］＝ａ［２］＜＜１ＯＲａ［１］＞＞３１
ａ［１］＝ａ［１］＜＜１ＯＲａ［０］＞＞３１
ａ［０］＝ａ［０］＜＜１

ステップ１５（Ｓ１５）において、レジスタ単位での加算時の桁溢れはキャリーフラグを用いる。
ｍ＝ｍ＋ａ：
ｃｆ＝０
ｉ＝０〜３で以下繰り返し。
ｃｆｎ＝（ｍ［ｉ］＞＞１＋ａ［ｉ］＞＞１＋（ｍ［ｉ］ＡＮＤａ［ｉ］ＡＮＤ１））＞＞３１
ｍ［ｉ］＋＝ａ［ｉ］＋ｃｆ
ｃｆ＝ｃｆｎ

＜逆変換の証明＞
ここで、逆変換の証明について説明する。

ｎビットの任意の値ｘに値ａを積算し、その値にさらにａの逆数ｂを積算すると値ｘに戻ることを証明する。

前提：
ａ＊ｂ＝２^ｎ＊Ｄ０＋１
ａにその逆数ｂを積算した値は、２の冪乗の剰余を計算すると１（Ｄは剰余計算で消える係数）となる。

ｘ＊ａ＝２^ｎ＊Ｄ１＋ｙ
ｘにａを積算した値は、２の冪乗の剰余を計算するとｙとなる。

ｙ＊ｂ＝２^ｎ＊Ｄ２＋ｚ
ｙに逆数ｂを積算した値は、２の冪乗の剰余を計算するとｚ（＝ｘ）となる。

計算プロセス比較：
ｘ＊（ａ＊ｂ）＝２^ｎ＊Ｄ０＊ｘ＋ｘ
（ｘ＊ａ）＊ｂ＝２^ｎ＊Ｄ１＊ｂ＋ｙ＊ｂ
＝２^ｎ＊Ｄ１＊ｂ＋２^ｎ＊Ｄ２＋ｚ
＝２^ｎ＊（Ｄ１＊ｂ＋Ｄ２）＋ｚ
ｘに（ａ＊ｂ）を乗算したものと、（ｘ＊ａ）にｂを乗算したものは同じである。つまり、ｘ＝ｚである。
（（ｘ＊ａ）ｍｏｄ２^ｎ）＊ｂ＝ｙ＊ｂ
＝２^ｎ＊Ｄ２＋ｚ

（ｘ＊ａ）をｎビットの変数に格納（＝２の冪乗で剰余計算）した後でも、逆数ｂを積算した値に２の冪乗で剰余計算した値はｚである。

結論：計算過程で桁溢れが発生しても、積算・逆数積算の関係は成り立つ。

＜Ｗｈｉｔｅ−ｂｏｘＡＥＳへの適用＞
図４は、本発明の一実施形態に係るＷｈｉｔｅ−ｂｏｘＡＥＳへの適用例である。

図４に示されるように、本発明は、Ｗｈｉｔｅ−ｂｏｘＡＥＳ（Advanced Encryption Standard）の変換ｇと逆変換ｇ^−１へ適用することができる。

図４の（Ａ）は、入力値に逆数ｇ^−１（難読化成分）を積算した値にＭｉｘＣｏｌｕｍｎｓ処理を行い、次の演算と対となる難読化成分を合成したルックアップテーブルである。

図４の（Ｂ）は、ＡｄｄＲｏｕｎｄＫｅｙ処理とＳｕｂＢｙｔｅｓ処理を行った後に積算値ｇ（難読化成分）を積算した値を出力するルックアップテーブルである。

＜効果＞
このように、従来の手法では、有効な逆数算出手段がない場合には逆数を全探索で求めていたが、本発明では、２の冪乗を法とする剰余体上で逆数を高速に算出可能である。また、本発明は暗号演算に適用可能であり、ｎビットのブロックデータにおいて、ｎ−１ビットのデータ量（上記の値ａの組み合わせ）の演算後のデータはｎビットであり、ビット数が増えない。

＜ハードウェア構成＞
図５は、本発明の一実施形態に係る情報処理装置１のハードウェア構成の一例を示すブロック図である。情報処理装置１は、ＣＰＵ（Central Processing Unit）１００１、ＲＯＭ（Read Only Memory）１００２、ＲＡＭ（Random Access Memory）１００３を有する。ＣＰＵ１００１、ＲＯＭ１００２、ＲＡＭ１００３は、いわゆるコンピュータを形成する。

また、情報処理装置１は、補助記憶装置１００４、表示装置１００５、操作装置１００６、Ｉ／Ｆ（Interface）装置１００７、ドライブ装置１００８を有することができる。なお、情報処理装置１の各ハードウェアは、バスＢを介して相互に接続されている。

ＣＰＵ１００１は、補助記憶装置１００４にインストールされている各種プログラムを実行する演算デバイスである。

ＲＯＭ１００２は、不揮発性メモリである。ＲＯＭ１００２は、補助記憶装置１００４にインストールされている各種プログラムをＣＰＵ１００１が実行するために必要な各種プログラム、データ等を格納する主記憶デバイスとして機能する。具体的には、ＲＯＭ１００２はＢＩＯＳ（Basic Input/Output System）やＥＦＩ（Extensible Firmware Interface）等のブートプログラム等を格納する、主記憶デバイスとして機能する。

ＲＡＭ１００３は、ＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static Random Access Memory）等の揮発性メモリである。ＲＡＭ１００３は、補助記憶装置１００４にインストールされている各種プログラムがＣＰＵ１００１によって実行される際に展開される作業領域を提供する、主記憶デバイスとして機能する。

補助記憶装置１００４は、各種プログラムや、各種プログラムが実行される際に用いられる情報を格納する補助記憶デバイスである。

表示装置１００５は、情報処理装置１の内部状態等を表示する表示デバイスである。

操作装置１００６は、情報処理装置１の管理者が情報処理装置１に対して各種指示を入力する入力デバイスである。

Ｉ／Ｆ装置１００７は、ネットワークに接続し、他の装置と通信を行うための通信デバイスである。

ドライブ装置１００８は記憶媒体１００９をセットするためのデバイスである。ここでいう記憶媒体１００９には、ＣＤ−ＲＯＭ、フレキシブルディスク、光磁気ディスク等のように情報を光学的、電気的あるいは磁気的に記録する媒体が含まれる。また、記憶媒体１００９には、ＥＰＲＯＭ (Erasable Programmable Read Only Memory)、フラッシュメモリ等のように情報を電気的に記録する半導体メモリ等が含まれていてもよい。

なお、補助記憶装置１００４にインストールされる各種プログラムは、例えば、配布された記憶媒体１００９がドライブ装置１００８にセットされ、該記憶媒体１００９に記録された各種プログラムがドライブ装置１００８により読み出されることでインストールされる。あるいは、補助記憶装置１００４にインストールされる各種プログラムは、Ｉ／Ｆ装置１００７を介して、ネットワークよりダウンロードされることでインストールされてもよい。

以上、本発明の実施例について詳述したが、本発明は上述した特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００１ＣＰＵ
１００２ＲＯＭ
１００３ＲＡＭ
１００４補助記憶装置
１００５表示装置
１００６操作装置
１００７Ｉ／Ｆ装置
１００８ドライブ装置
１００９記憶媒体

Claims

情報処理装置が実行する、１０進数の値ａの逆数である１０進数の値ｂを算出する方法であって、前記ａおよび前記ｂは奇数であり、
前記情報処理装置のプロセッサが、前記ａをビット列にするステップと、
前記プロセッサが、２の冪乗を法とする剰余体上の積算において、前記ａを２の冪乗倍した値を加算するか加算しないかを選択し、加算する場合には１とし加算しない場合には０としたビット列を前記ｂとするステップと、
前記プロセッサが、前記ｂを前記ａの逆数として算出するステップと
を含む方法。
前記ａと前記ｂの積をｍとしたときに、前記ａと、前記ｂと、前記ｍとのそれぞれを複数の配列として、前記ａの逆数である前記ｂを算出する、請求項１に記載の方法。
ホワイトボックス暗号方式のＡＥＳにおいて、前記ａの逆数である前記ｂを算出する、請求項１または２に記載の方法。
プロセッサを備え、１０進数の値ａの逆数である１０進数の値ｂを算出する情報処理装置であって、前記ａおよび前記ｂは奇数であり、
前記プロセッサは、
前記ａをビット列にし、
２の冪乗を法とする剰余体上の積算において、前記ａを２の冪乗倍した値を加算するか加算しないかを選択し、加算する場合には１とし加算しない場合には０としたビット列を前記ｂとし、
前記ｂを前記ａの逆数として算出する、情報処理装置。
１０進数の値ａの逆数である１０進数の値ｂを算出し、前記ａおよび前記ｂは奇数である情報処理装置に、
前記ａをビット列にする手順と、
２の冪乗を法とする剰余体上の積算において、前記ａを２の冪乗倍した値を加算するか加算しないかを選択し、加算する場合には１とし加算しない場合には０としたビット列を前記ｂとする手順と、
前記ｂを前記ａの逆数として算出する手順と
を実行させるためのプログラム。