JP7158635B2 - 暗号システム、暗号化装置、復号装置及び鍵生成装置 - Google Patents

Description

本開示は、同種写像暗号に関する。

ＳＩＤＨ（Ｓｕｐｅｒｓｉｎｇｕｌａｒ Ｉｓｏｇｅｎｙ Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ ｋｅｙ ｅｘｃｈａｎｇｅ）及びＳＩＫＥ（Ｓｕｐｅｒｓｉｎｇｕｌａｒ Ｉｓｏｇｅｎｙ Ｋｅｙ Ｅｎｃａｐｓｕｌａｔｉｏｎ）といった同種写像暗号がある。
ＳＩＤＨ及びＳＩＫＥといった同種写像暗号では、基本となる同種写像問題の困難性に安全性の根拠を置くことができず、楕円曲線の点によって与えられる補助情報まで攻撃者（解読者）に与える必要があるＳＩＤＨ型の同種写像問題の困難性に安全性の根拠を置く必要があった。そのため、ＳＩＤＨ型の同種写像暗号で、補助情報なしの基本となる同種写像問題の困難性に安全性の根拠を置く方式を構成することが、待ち望まれていた。

非特許文献１には、補助情報なしの基本となる同種写像問題の困難性に安全性の根拠を置くＳＩＤＨ型の同種写像暗号であるＳＥＴＡ暗号化方式が記載されている。

Ｃ．Ｄ．Ｓ． Ｇｕｉｌｈｅｍ， Ｐ． Ｋｕｔａｓ， Ｃ． Ｐｅｔｉｔ， Ｊ． Ｓｉｌｖａ， ＳＥＴＡ： Ｓｕｐｅｒｓｉｎｇｕｌａｒ Ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ Ｔｏｒｓｉｏｎ Ａｔｔａｃｋｓ． Ｃ． Ｐｅｔｉｔ， Ｆａｓｔｅｒ Ａｌｇｏｒｉｔｈｍｓ ｆｏｒ Ｉｓｏｇｅｎｙ Ｐｒｏｂｌｅｍｓ ｕｓｉｎｇ Ｔｏｒｓｉｏｎ Ｐｏｉｎｔ Ｉｍａｇｅｓ．

ＳＥＴＡ暗号化方式では、非特許文献２に記載された暗号の解読法が復号アルゴリズムに用いられている。そのため、復号には大変多くの時間が必要になる。
本開示は、ＳＥＴＡ暗号化方式における復号にかかる時間を削減可能にすることを目的とする。

本開示に係る暗号システムは、
アーベル曲面Ａ_０を始点としてアーベル曲面Ａ_ｓを終点とするリシェロー同種写像列φ_ｓを秘密鍵とし、前記アーベル曲面Ａ_ｓを公開鍵とする暗号処理を行う暗号システムであり、
平文ｍをエンコードして生成されたリシェロー同種写像列φ_ｍによって、公開鍵である前記アーベル曲面Ａ_ｓを移してアーベル曲面Ａ_ｍを計算し、前記アーベル曲面Ａ_ｍを暗号文として設定する暗号化装置と、
秘密鍵である前記リシェロー同種写像列φ_ｓに基づき、公開鍵である前記アーベル曲面Ａ_ｓを始点として、前記暗号文である前記アーベル曲面Ａ_ｍを終点とするリシェロー同種写像φ_ｍを計算する復号装置と
を備える。

本開示では、アーベル曲面Ａ_０を始点としてアーベル曲面Ａ_ｓを終点とするリシェロー同種写像列φ_ｓを秘密鍵とし、アーベル曲面Ａ_ｓを公開鍵とする。これにより、ＳＥＴＡ暗号化方式における素数ｐの長さを１／３にすることが可能になる。その結果、ＳＥＴＡ暗号化方式における復号にかかる時間を削減可能である。

実施の形態１に係る暗号システム１の構成図。 実施の形態１に係る鍵生成装置１０の構成図。 実施の形態１に係る暗号化装置２０の構成図。 実施の形態１に係る復号装置３０の構成図。 実施の形態１に係る種数２曲線列Ｃ_０，．．．，Ｃ_κの計算処理のフローチャート。 ＳＥＴＡ暗号化方式の説明図。 実施の形態１に係る種数２ＳＥＴＡ暗号方式の説明図。 実施の形態１に係る鍵生成装置１０の動作を示すフローチャート。 実施の形態１に係る暗号化装置２０の動作を示すフローチャート。 実施の形態１に係る復号装置３０の動作を示すフローチャート。 変形例１に係る鍵生成装置１０の構成図。 変形例１に係る暗号化装置２０の構成図。 変形例１に係る復号装置３０の構成図。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る暗号システム１の構成を説明する。
暗号システム１は、鍵生成装置１０と、暗号化装置２０と、復号装置３０とを備える。鍵生成装置１０と、暗号化装置２０と、復号装置３０とは、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）及びインターネットといった通信路４０を介して接続されている。

図２を参照して、実施の形態１に係る鍵生成装置１０の構成を説明する。
鍵生成装置１０は、コンピュータである。
鍵生成装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

鍵生成装置１０は、機能構成要素として、取得部１１１と、写像計算部１１２と、鍵設定部１１３とを備える。鍵生成装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、鍵生成装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、鍵生成装置１０の各機能構成要素の機能が実現される。

図３を参照して、実施の形態１に係る暗号化装置２０の構成を説明する。
暗号化装置２０は、コンピュータである。
暗号化装置２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

暗号化装置２０は、機能構成要素として、取得部２１１と、暗号化部２１２とを備える。暗号化装置２０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ２３には、暗号化装置２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、暗号化装置２０の各機能構成要素の機能が実現される。

図４を参照して、実施の形態１に係る復号装置３０の構成を説明する。
復号装置３０は、コンピュータである。
復号装置３０は、プロセッサ３１と、メモリ３２と、ストレージ３３と、通信インタフェース３４とのハードウェアを備える。プロセッサ３１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

復号装置３０は、機能構成要素として、取得部３１１と、復号部３１２とを備える。復号装置３０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ３３には、復号装置３０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ３１によりメモリ３２に読み込まれ、プロセッサ３１によって実行される。これにより、復号装置３０の各機能構成要素の機能が実現される。

プロセッサ１１，２１，３１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ１１，２１，３１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ１２，２２，３２は、データを一時的に記憶する記憶装置である。メモリ１２，２２，３２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

ストレージ１３，２３，３３は、データを保管する記憶装置である。ストレージ１３，２３，３３は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、ストレージ１３，２３，３３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記録媒体であってもよい。

通信インタフェース１４，２４，３４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４，２４，３４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。

図２では、プロセッサ１１は、１つだけ示されていた。しかし、プロセッサ１１は、複数であってもよく、複数のプロセッサ１１が、各機能を実現するプログラムを連携して実行してもよい。同様に、プロセッサ２１，３１は、複数であってもよい。

＊＊＊動作の説明＊＊＊
図５から図１０を参照して、実施の形態１に係る暗号システム１の動作を説明する。
実施の形態１に係る暗号システム１の動作手順は、実施の形態１に係る暗号方法に相当する。また、実施の形態１に係る暗号システム１の動作を実現するプログラムは、実施の形態１に係る暗号プログラムに相当する。

＊＊概念の説明＊＊
実施の形態１に係る暗号システム１によって実現される暗号方式の基礎となる概念を説明する。

非特許文献１では、楕円曲線が用いられる。暗号システム１は、楕円曲線に代えて種数２曲線を用いる。
暗号システム１が用いる種数２曲線は、数１１に示す代数曲線である。ここで、次数ｄｅｇ（ｆ（Ｘ））は、５又は６である。

数１２に示すように、ある種数２曲線Ｃ_０を始点とし、終点である種数２曲線Ｃ_κまで、リシェロー同種写像をκ回繰り返して種数２曲線を移していくとする。ここで、κは、２以上の整数である。

暗号システム１は、種数２曲線Ｃ_０，Ｃ_κの２つの種数２曲線が与えられた場合に、種数２曲線Ｃ_０，Ｃ_κを補間するリシェロー同種写像の列ψ_０，ψ_１，．．．，ψ_κ－１を見つける（計算する）ことを暗号の安全性に関わる基本問題として用いる。そして、暗号システム１は、この基本問題の困難性に根拠をおいた種数２ＳＥＴＡ暗号を構成する。

各種数２曲線は、ｄｅｇ（Ｇ_ｊ（Ｘ））≦２となる３つの多項式Ｇ_ｊ（Ｘ）を用いて、数１３に示すように表される。ｄｅｇ（Ｇ_ｊ（Ｘ））は、多項式Ｇ_ｊ（Ｘ）の次数である。

新しい３つの多項式Ｇ^～ _ｊ（Ｘ）を数１４に示すように定義する。

ここで、τ_ｊは、［Ｇ_ｊ＋１（Ｘ），Ｇ_ｊ＋２（Ｘ）］の最高次の係数である。したがって、Ｇ^～ _ｊ（Ｘ）は、最高次の係数が１の多項式である。また、Ｇ’_ｊ＋１（Ｘ）は、Ｇ_ｊ＋１（Ｘ）の微分であり、Ｇ’_ｊ＋２（Ｘ）は、Ｇ_ｊ＋２（Ｘ）の微分である。また、添え字は３つの多項式Ｇ_ｊを順列として扱うことを想定して割り当てられており、ｊ＝０の場合におけるＧ_ｊ＋１（Ｘ）はＧ_１（Ｘ）であり、ｊ＝１の場合におけるＧ_ｊ＋１（Ｘ）はＧ_２（Ｘ）であり、ｊ＝２の場合におけるＧ_ｊ＋１（Ｘ）はＧ_０（Ｘ）である。同様に、ｊ＝０の場合におけるＧ_ｊ＋２（Ｘ）はＧ_２（Ｘ）であり、ｊ＝１の場合におけるＧ_ｊ＋２（Ｘ）はＧ_０（Ｘ）であり、ｊ＝２の場合におけるＧ_ｊ＋２（Ｘ）はＧ_１（Ｘ）である。

新しい種数２曲線Ｃ^～を数１５に示すように定義する。

種数２曲線Ｃから種数２曲線Ｃ^～への対応（写像）をリシェロー同種写像と呼ぶ。種数２曲線Ｃからのリシェロー同種写像は、ｆ（Ｘ）の分割（Ｇ_０（Ｘ），Ｇ_１（Ｘ），Ｇ_２（Ｘ））から決まる。これは、ｆ（Ｘ）の零点を３つの対（ａ_０，ａ_１），（ａ_２，ａ_３），（ａ_４，ａ_５）に分割することに対応している。なお、ｇについては後述する。

＊＊種数２曲線列の計算方法の説明＊＊
暗号システム１は、種数２曲線Ｃ_０からリシェロー同種写像を繰り返し、種数２曲線列Ｃ_０，．．．，Ｃ_κを計算する。しかし、３つの多項式Ｇ^～ _ｊ（Ｘ）を基にして、リシェロー同種写像を計算すると種数２曲線Ｃに戻ってしまう。そのため、暗号システム１は、一度リシェロー同種写像を計算した後に、各多項式Ｇ^～ _ｊ（Ｘ）の各根（零点）を組み替えて、新しい３つの多項式に変更してから、リシェロー同種写像を計算する。

図５を参照して、実施の形態１に係る種数２曲線列Ｃ_０，．．．，Ｃ_κの計算処理を説明する。
ここで、種数２曲線Ｃ_ｉは、数１６に示すように定義される。

ステップＳ１１では、数１４に従い、種数２曲線Ｃ_０から新しい３つの多項式（Ｇ_ｉ，ｊ（Ｘ））_{ｊ＝０，１，２}が生成される。これにより、種数２曲線Ｃ_１が計算される。
ステップＳ１２では、数１７に示すように、３つの多項式Ｇ^～ _１，ｊが計算され、リシェロー同種写像φ_０が計算される。τ_０，ｊは、［Ｇ_{０，ｊ＋１}（Ｘ），Ｇ_{０，ｊ＋２}（Ｘ）］の最高次の係数である。

次に、ｉ＝１，．．．，κ－１まで各整数ｉについて昇順に、ステップＳ１３及びステップＳ１４の処理が実行される。
ステップＳ１３では、ｆ_ｉ（Ｘ）の零点（ａ_ｉ，ｍ）_{ｍ＝０，．．．，５}の組み替えが行われる。そして、数１４に従い、新しい３つの多項式（Ｇ_ｉ，ｊ（Ｘ））_{ｊ＝０，１，２}が生成される。これにより、種数２曲線Ｃ_ｉ＋１が計算される。
ステップＳ１４では、数１８に示すように、３つの多項式Ｇ^～ _{ｉ＋１，ｊ}が計算され、リシェロー同種写像φ_ｉが計算される。τ_ｉ，ｊは、［Ｇ_{ｉ，ｊ＋１}（Ｘ），Ｇ_{ｉ，ｊ＋２}（Ｘ）］の最高次の係数である。

＊＊ＳＥＴＡ暗号化方式＊＊
図６を参照して、非特許文献１に記載されたＳＥＴＡ暗号化方式について説明する。
ＳＥＴＡ暗号化方式では、楕円曲線Ｅ_０，Ｅ_ｓ，Ｅ_ｍが用いられる。楕円曲線Ｅ_０は、公開パラメータである。楕円曲線Ｅ_０は、自己準同型環が簡単な特別な曲線である。

＜鍵生成処理＞
まず、秘密鍵である同種写像列φ_ｓが生成される。そして、楕円曲線Ｅ_０を同種写像列φ_ｓで移して楕円曲線Ｅ_ｓが計算され、楕円曲線Ｅ_ｓが公開鍵に設定される。
＜暗号化処理＞
まず、平文ｍが適切にエンコードされ、同種写像列φ_ｍに変換される。そして、公開鍵である楕円曲線Ｅ_ｓが同種写像列φ_ｍで移され、楕円曲線Ｅ_ｍが計算される。楕円曲線Ｅ_ｍが暗号文に設定される。
＜復号処理＞
秘密鍵である同種写像列φ_ｓを使って、楕円曲線Ｅ_０の自己準同型環計算を通して、楕円曲線Ｅ_ｓの自己準同型環計算を行うことができる。そのため、楕円曲線Ｅ_ｓを始点として、楕円曲線Ｅ_ｍを終点とする同種写像問題を多項式時間で解くことができ、同種写像列φ_ｍを得ることができる。暗号化時のエンコード演算の逆演算であるデコード演算を行って、同種写像列φ_ｍから平文ｍが計算される。

秘密鍵である同種写像列φ_ｓを知っているユーザは、同種写像列φ_ｓを通して、楕円曲線Ｅ_ｓの自己準同型環計算を、楕円曲線Ｅ_０の自己準同型環計算に帰着できるのが、復号のポイントである。

＊＊種数２ＳＥＴＡ暗号方式＊＊
図７から図１０を参照して、実施の形態１に係る暗号システム１によって実現される種数２ＳＥＴＡ暗号方式を説明する。
図７に示すように、種数２ＳＥＴＡ暗号方式は、ＳＥＴＡ暗号方式における楕円曲線Ｅ_０，Ｅ_ｓ，Ｅ_ｍをそれぞれ、種数２曲線Ｃ_０，Ｃ_ｓ，Ｃ_ｍに置き換え、同種写像列φ_ｓ，φ_ｍを、それぞれリシェロー同種写像列φ_ｓ，φ_ｍに置き換えることによって実現される。

図８を参照して、実施の形態１に係る鍵生成装置１０の動作を説明する。
実施の形態１に係る鍵生成装置１０の動作手順は、実施の形態１に係る鍵生成方法に相当する。また、実施の形態１に係る鍵生成装置１０の動作を実現するプログラムは、実施の形態１に係る鍵生成プログラムに相当する。

（ステップＳ１１１：取得処理）
取得部１１１は、公開パラメータである種数２曲線Ｃ_０を取得する。
取得部１１１は、種数２曲線Ｃ_０をメモリ１２に書き込む。

（ステップＳ１１２：写像計算処理）
写像計算部１１２は、ステップＳ１１１で取得された種数２曲線Ｃ_０のリシェロー同種写像φ_０を計算して種数２曲線Ｃ_１を計算する。また、写像計算部１１２は、２以上の整数κを用いて、ｉ＝１，．．．，κ－１の各整数ｉについて昇順に、種数２曲線Ｃ_ｉの零点を組み替えて、リシェロー同種写像φ_ｉを計算して種数２曲線Ｃ_ｉ＋１を計算する。
具体的には、写像計算部１１２は、図５を参照して説明した種数２曲線列Ｃ_０，．．．，Ｃ_κの計算処理を実行して、種数２曲線列Ｃ_０，．．．，Ｃ_κとリシェロー同種写像列φ_０，．．．，φ_κ－１とを計算する。
写像計算部１１２は、種数２曲線列Ｃ_０，．．．，Ｃ_κとリシェロー同種写像列φ_０，．．．，φ_κ－１とをメモリ１２に書き込む。

（ステップＳ１１３：鍵設定処理）
鍵設定部１１３は、ステップＳ１１２で計算された種数２曲線Ｃ_κを種数２曲線Ｃ_ｓとして公開鍵に設定する。また、鍵設定部１１３は、ステップＳ１１２で計算されたリシェロー同種写像列φ_ｓ：＝｛φ_０，．．．，φ_κ－１｝を秘密鍵に設定する。つまり、種数２曲線Ｃ_０を始点として種数２曲線Ｃ_ｓを終点とするリシェロー同種写像列φ_ｓが秘密鍵に設定される。
鍵設定部１１３は、通信インタフェース１４を介して、公開鍵を暗号化装置２０及び復号装置３０に送信する。また、鍵設定部１１３は、通信インタフェース１４を介して、秘密鍵を秘密裡に復号装置３０に送信する。秘密裡送信するとは、例えば、既存の暗号化方式を用いて暗号化した上で送信するといった意味である。

秘密鍵は、リシェロー同種写像列φ_ｓである。これは、実質的には、種数２曲線列Ｃ_０，．．．，Ｃ_κの計算処理のステップＳ１３の処理において各根をどう組み替えるかという置換法σ_０，．．．，σ_κ－１が秘密鍵に対応することになる。

図９を参照して、実施の形態１に係る暗号化装置２０の動作を説明する。
実施の形態１に係る暗号化装置２０の動作手順は、実施の形態１に係る暗号化方法に相当する。また、実施の形態１に係る暗号化装置２０の動作を実現するプログラムは、実施の形態１に係る暗号化プログラムに相当する。

（ステップＳ２１１：取得処理）
取得部２１１は、鍵生成装置１０によって生成された公開鍵である種数２曲線Ｃ_ｓを取得する。また、取得部２１１は、平文ｍを取得する。平文ｍは、暗号化装置２０のユーザによって入力される。
取得部２１１は、種数２曲線Ｃ_ｓと平文ｍとをメモリ２２に書き込む。

（ステップＳ２１２：暗号化処理）
暗号化部２１２は、ステップＳ２１１で取得された平文ｍをエンコードして、平文ｍをリシェロー同種写像列φ_ｍに変換する。暗号化部２１２は、リシェロー同種写像列φ_ｍによって、ステップＳ２１１で取得された公開鍵である種数２曲線Ｃ_ｓを移して種数２曲線Ｃ_ｍを計算する。そして、暗号化部２１２は、種数２曲線Ｃ_ｍを暗号文に設定する。
暗号化部２１２は、通信インタフェース２４を介して、暗号文を復号装置３０に送信する。

図１０を参照して、実施の形態１に係る復号装置３０の動作を説明する。
実施の形態１に係る復号装置３０の動作手順は、実施の形態１に係る復号方法に相当する。また、実施の形態１に係る復号装置３０の動作を実現するプログラムは、実施の形態１に係る復号プログラムに相当する。

（ステップＳ３１１：取得処理）
取得部３１１は、公開パラメータと、鍵生成装置１０によって生成された公開鍵及び秘密鍵とを取得する。また、取得部３１１は、暗号化装置２０によって生成された暗号文を取得する。
取得部３１１は、公開パラメータと、公開鍵及び秘密鍵と、暗号文とをメモリ３２に書き込む。

（ステップＳ３１２：復号処理）
復号部３１２は、ステップＳ３１１で取得された秘密鍵であるリシェロー同種写像列φ_ｓと、公開パラメータである種数２曲線Ｃ_０とに基づき、ステップＳ３１１で取得された公開鍵である種数２曲線Ｃ_ｓを始点として、ステップＳ３１１で取得された暗号文である種数２曲線Ｃ_ｍを終点とするリシェロー同種写像φ_ｍを計算する。そして、復号部３１２は、リシェロー同種写像φ_ｍをデコードして平文ｍ’＝ｍを計算する。ここで、デコードは、ステップＳ２１２で行われたエンコードの逆演算である。
復号部３１２は、通信インタフェース１４を介して、平文ｍ’を出力する。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る暗号システム１は、ＳＥＴＡ暗号方式における楕円曲線Ｅ_０，Ｅ_ｓ，Ｅ_ｍをそれぞれ、種数２曲線Ｃ_０，Ｃ_ｓ，Ｃ_ｍに置き換え、同種写像列φ_ｓ，φ_ｍを、それぞれリシェロー同種写像列φ_ｓ，φ_ｍに置き換えることによって、種数２ＳＥＴＡ暗号方式を実現する。
種数２ＳＥＴＡ暗号方式では、ＳＥＴＡ暗号方式で用いられる素数ｐの値を１／３にすることが可能である。その結果、復号にかかる時間を削減可能である。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、種数２曲線Ｃ_０，Ｃ_ｓ，Ｃ_ｍを用いた場合について説明した。しかし、実施の形態１に係る暗号システム１が用いる種数２曲線Ｃ_０，Ｃ_ｓ，Ｃ_ｍをアーベル曲面Ａ_０，Ａ_ｓ，Ａ_ｍと読み替えることも可能である。つまり、ＳＥＴＡ暗号方式における楕円曲線Ｅ_０，Ｅ_ｓ，Ｅ_ｍをそれぞれ、アーベル曲面Ａ_０，Ａ_ｓ，Ａ_ｍに置き換え、同種写像列φ_ｓ，φ_ｍを、それぞれリシェロー同種写像列φ_ｓ，φ_ｍに置き換えることによって、種数２ＳＥＴＡ暗号方式と同等の効果を奏する暗号方式を実現可能である。

実施の形態１のように、種数２曲線を用いる場合には、種数２曲線は、アーベル曲面における楕円曲線Ｅ_０の直積に分解していない部分のうち、楕円曲線Ｅ_０の直積に分解した部分に隣接した部分に対応する種数２曲線であることが望ましい。

また、種数２曲線を用いない場合には、楕円曲線の直積に分解した部分を用いることが望ましい。

また、アーベル曲面を分解する楕円曲線の直積で用いられる楕円曲線Ｅ_０は、素数ｐを４で割った余りが３の場合のＥ_０／Ｆ_ｐ：ｙ^２＝ｘ^３＋ｘ、又は、素数ｐを４で割った余りが１の場合のＥ_０／Ｆ_ｐ：ｙ^２＝ｘ^３＋ｃ、ここでｃは定数である。なお、Ｆ_ｐは、素数ｐを法とする体である。

＜変形例２＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例２として、各機能構成要素はハードウェアで実現されてもよい。この変形例２について、実施の形態１と異なる点を説明する。

図１１を参照して、変形例２に係る鍵生成装置１０の構成を説明する。
各機能構成要素がハードウェアで実現される場合には、鍵生成装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１５を備える。電子回路１５は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。

図１２を参照して、変形例２に係る暗号化装置２０の構成を説明する。
各機能構成要素がハードウェアで実現される場合には、暗号化装置２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路２５を備える。電子回路２５は、各機能構成要素と、メモリ２２と、ストレージ２３との機能とを実現する専用の回路である。

図１３を参照して、変形例２に係る復号装置３０の構成を説明する。
各機能構成要素がハードウェアで実現される場合には、復号装置３０は、プロセッサ３１とメモリ３２とストレージ３３とに代えて、電子回路３５を備える。電子回路３５は、各機能構成要素と、メモリ３２と、ストレージ３３との機能とを実現する専用の回路である。

電子回路１５，２５，３５としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
各機能構成要素を１つの電子回路１５，２５，３５で実現してもよいし、各機能構成要素を複数の電子回路１５，２５，３５に分散させて実現してもよい。

＜変形例３＞
変形例３として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。

プロセッサ１１，２１，３１とメモリ１２，２２，３２とストレージ１３，２３，３３と電子回路１５，２５，３５とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。

以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。

１ 暗号システム、１０ 鍵生成装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１５ 電子回路、１１１ 取得部、１１２ 写像計算部、１１３ 鍵設定部、２０ 暗号化装置、２１ プロセッサ、２２ メモリ、２３ ストレージ、２４ 通信インタフェース、２５ 電子回路、２１１ 取得部、２１２ 暗号化部、３０ 復号装置、３１ プロセッサ、３２ メモリ、３３ ストレージ、３４ 通信インタフェース、３５ 電子回路、３１１ 取得部、３１２ 復号部。

Claims (9)

1. アーベル曲面Ａ_０を始点としてアーベル曲面Ａ_ｓを終点とするリシェロー同種写像列φ_ｓを秘密鍵とし、前記アーベル曲面Ａ_ｓを公開鍵とする暗号処理を行う暗号システムであり、
   平文ｍをエンコードして生成されたリシェロー同種写像列φ_ｍによって、公開鍵である前記アーベル曲面Ａ_ｓを移してアーベル曲面Ａ_ｍを計算し、前記アーベル曲面Ａ_ｍを暗号文として設定する暗号化装置と、
   秘密鍵である前記リシェロー同種写像列φ_ｓに基づき、公開鍵である前記アーベル曲面Ａ_ｓを始点として、前記暗号文である前記アーベル曲面Ａ_ｍを終点とするリシェロー同種写像φ_ｍを計算する復号装置と
   を備える暗号システム。
2. 前記暗号システムは、さらに、
   アーベル曲面Ａ_０のリシェロー同種写像φ_０を計算してアーベル曲面Ａ_１を計算し、２以上の整数κを用いて、ｉ＝１，．．．，κ－１の各整数ｉについて昇順に、アーベル曲面Ａ_ｉの零点を組み替えて、リシェロー同種写像φ_ｉを計算してアーベル曲面Ａ_ｉ＋１を計算して、アーベル曲面Ａ_κであるアーベル曲面Ａ_ｓを公開鍵として設定するとともに、ｉ＝０，．．．，κ－１の各整数ｉについてのリシェロー同種写像φ_ｉの組であるリシェロー同種写像列φ_ｓを秘密鍵として設定する鍵生成装置
   を備える請求項１に記載の暗号システム。
3. 前記暗号システムは、前記アーベル曲面Ａ_０として、前記アーベル曲面Ａ_０に対応する種数２曲線を用いる
   請求項１又は２に記載の暗号システム。
4. 前記種数２曲線は、前記アーベル曲面Ａ_０における楕円曲線Ｅ_０の直積に分解していない部分のうち、楕円曲線Ｅ_０の直積に分解した部分に隣接した部分に対応する
   請求項３に記載の暗号システム。
5. 前記暗号システムは、前記アーベル曲面Ａ_０として、前記アーベル曲面Ａ_０における楕円曲線Ｅ_０の直積に分解した部分を用いる
   請求項１又は２に記載の暗号システム。
6. 前記楕円曲線Ｅ_０は、素数ｐを４で割った余りが３の場合のＥ_０／Ｆ_ｐ：ｙ^２＝ｘ^３＋ｘ、又は、素数ｐを４で割った余りが１の場合のＥ_０／Ｆ_ｐ：ｙ^２＝ｘ^３＋ｃ、ここでｃは定数である
   請求項４又は５に記載の暗号システム。
7. アーベル曲面Ａ_０を始点としてアーベル曲面Ａ_ｓを終点とするリシェロー同種写像列φ_ｓを秘密鍵とし、前記アーベル曲面Ａ_ｓを公開鍵とする暗号処理を行う暗号システムにおける暗号化装置であり、
   平文ｍをエンコードして生成されたリシェロー同種写像列φ_ｍによって、公開鍵である前記アーベル曲面Ａ_ｓを移してアーベル曲面Ａ_ｍを計算し、前記アーベル曲面Ａ_ｍを暗号文に設定する暗号化部
   を備える暗号化装置。
8. アーベル曲面Ａ_０を始点としてアーベル曲面Ａ_ｓを終点とするリシェロー同種写像列φ_ｓを秘密鍵とし、前記アーベル曲面Ａ_ｓを公開鍵とする暗号処理を行う暗号システムにおける復号装置であり、
   平文ｍをエンコードして生成されたリシェロー同種写像列φ_ｍによって、公開鍵である前記アーベル曲面Ａ_ｓを移して計算されたアーベル曲面Ａ_ｍである暗号文を取得する取得部と、
   秘密鍵である前記リシェロー同種写像列φ_ｓに基づき、公開鍵である前記アーベル曲面Ａ_ｓを始点として、前記取得部によって取得された暗号文である前記アーベル曲面Ａ_ｍを終点とするリシェロー同種写像φ_ｍを計算する復号部と
   を備える復号装置。
9. 公開パラメータであるアーベル曲面Ａ_０を取得する取得部と、
   前記取得部によって取得されたアーベル曲面Ａ_０のリシェロー同種写像φ_０を計算してアーベル曲面Ａ_１を計算するとともに、２以上の整数κを用いて、ｉ＝１，．．．，κ－１の各整数ｉについて昇順に、アーベル曲面Ａ_ｉの零点を組み替えて、リシェロー同種写像φ_ｉを計算してアーベル曲面Ａ_ｉ＋１を計算する写像計算部と、
   前記写像計算部によって計算されたアーベル曲面Ａ_κを公開鍵として設定するとともに、ｉ＝０，．．．，κ－１の各整数ｉについてのリシェロー同種写像φ_ｉの組であるリシェロー同種写像列を秘密鍵として設定する鍵設定部と
   を備える鍵生成装置。

Images