JP7183242B2 - 格子ベースの暗号鍵生成方法及び電子署名方法 - Google Patents

Description

本発明は、格子をベースとする暗号鍵生成方法及び電子署名方法に関し、より詳細には、パラメータの柔軟性を確保できる格子ベースの暗号鍵生成方法及び電子署名方法に関する。

電子メッセージ（データ）を伝送して受信する過程において、その途中でメッセージを第三者に奪取されるとしても内容が分からないように暗号化する方法が広く知られている。暗号化方式は、大きく、対称鍵暗号化方式と非対称鍵暗号化方式とに分けられる。

対称鍵暗号化方式は、暗号化する鍵と復号化する鍵とが同一の方式であり、非対称鍵暗号化方式は、暗号化する鍵と復号化する鍵とが異なる方式である。非対称鍵暗号化方式では、通常、受信者の公開鍵でメッセージを暗号化し、受信者は受信者の秘密鍵で暗号化されたメッセージを復号化する。

非対称鍵暗号化方式では、メッセージの完全性を証明するために、メッセージに対して電子署名を行うが、電子署名は、通常、メッセージをハッシュ化した値（完全性確認値）を送信者の秘密鍵で暗号化することで行われていた。

暗号化されたメッセージと電子署名情報とを受信した受信者は、受信者の秘密鍵で復号化を行ってメッセージを獲得し、電子署名情報を送信者の公開鍵で復号化し、メッセージの完全性確認値を獲得していた。受信者は、獲得したメッセージに対し、ハッシュ化をして算出された出力値が完全性確認結果と同様か否かを判断することで、当該メッセージが偽造・変造されていないかを確認することができる。

従来は、ＲＳＡ方式やＥｌｇａｍａｌ方式などが非対称暗号化鍵生成に多く使われているが、量子コンピューティング技術の発展により、従来の暗号方式は、容易く無力化する可能性が高まってきている。

そのような量子コンピューティング技術に対しても、安全な方法として、ＴｒａｐｄｏｏｒＬａｔｔｉｃｅ方式が提案されている。

２０１４年に公開された論文『Ｅｆｆｉｃｉｅｎｔ Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒＮＴＲＵ Ｌａｔｔｉｃｅｓ』にて、Ｌｅｏ Ｄｕｃａｓ等は、身元ベース暗号化の秘密鍵とマスター公開鍵とを生成する方法の一つとして、ＮＴＲＵ格子ベースの方法を提案している。

ところが、従来技術では、全次元（ｔｏｔａｌ ｄｉｍｅｎｓｉｏｎ）が２のべき乗にならなければならず、そうでない場合の安全性は証明されていないため、パラメータの柔軟性に限界があった。

例えば、次元が２１０である場合よりセキュリティ性を増大させるためには、次元を２１１にしなければならないが、その場合、次元（ｄｉｍｅｎｓｉｏｎ）が１０２４から２０４８に急激に上昇してしまうため、鍵生成に必要な計算量や計算時間が急増してしまうという問題があった。

論文『Ｅｆｆｉｃｉｅｎｔ Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒＮＴＲＵ Ｌａｔｔｉｃｅｓ』（２０１４）

そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、パラメータの硬直性を解消し、パラメータを柔軟に選択できるようにすると同時に、安定性も確保できる格子ベースの暗号化方法及び電子署名方法を提供することにある。

以上のような目的を達成するために、本発明の一実施形態に係る演算装置において電子署名情報を生成する方法は、前記演算装置が、メッセージを入力されるステップと、前記演算装置が、トラップドア（Ｔ）を算出し、前記算出されたトラップドア（Ｔ）を秘密鍵に設定するステップと、前記演算装置が、２のべき乗と３以上の整数の積で表現され２のべき乗ではない整数次元（ｄ）を有する環で相互線型独立である要素をサンプリングし、列の数が前記次元より１小さく、行の数は前記次元の数である第１ランダム行列（Ｓ）を算出するステップと、前記演算装置が、前記第１ランダム行列の行の数に対応する行列式とランダムな数とを用いて、列の数が前記次元の数と同じで、行の数は１である第２ランダム行列（Ａ）を算出するステップと、前記演算装置が、前記第２ランダム行列（Ａ）に基づいて、公開鍵を算出するステップと、前記演算装置が、前記公開鍵に特殊解（ｐａｒｔｉｃｕｌａｒ ｓｏｌｕｔｉｏｎ）を演算した結果が、前記入力されたメッセージに予め設定された関数処理の出力値になる前記特殊解を算出するステップと、前記演算装置が、前記秘密鍵を用いて、前記算出された特殊解を縮小し、前記メッセージに対する電子署名情報を生成するステップとを含む。

この場合、前記電子署名情報を生成するステップは、秘密鍵を用いて、前記算出された特殊解を縮小して電子署名情報を生成してよい。

一方、本方法は、トラップドア（Ｔ）を算出するステップと、前記算出されたトラップドア（Ｔ）を秘密鍵に設定するステップとを更に含んでよい。

この場合、本方法は、

列の数が前記次元より１小さく、行の数は前記次元数である第１ランダム行列（Ｓ）を算出するステップと、列の数が前記次元数と同じで、行の数が１である第２ランダム行列（Ａ）を算出するステップと、前記第２ランダム行列（Ａ）に基づいて、前記公開鍵を算出するステップとを更に含んでよい。

この場合、前記第２ランダム行列を算出するステップは、

（－１）^ｉ－１・ｄｅｔ（Ｍ_ｉ）を行列式（ａ_ｉ）に設定し、ａ_１ ^－１・（ａ_１，ａ_２，…，ａ_ｄ）を第２ランダム行列で算出してよい。

この場合、前記トラップドア（Ｔ）を算出するステップは、

拡張ユークリッドアルゴリズム（Ｅｘｔｅｎｄｅｄ Ｅｕｃｌｉｄｅａｎ Ａｌｇｏｒｉｔｈｍ）を用いて、前記ベクトルの要素を縮小してよい。

一方、前記予め設定された関数処理は、ハッシュ処理であってよい。

一方、本発明の一実施形態に係るメッセージ検証方法は、メッセージ及び電子署名情報を受信するステップと、公開鍵に前記受信された電子署名情報を演算した結果が、前記メッセージに予め設定された関数処理出力値になるかを確認するステップと、前記受信された電子署名情報が予め設定されたパラメータより小さいかを判断するステップと、前記確認結果及び前記判断結果に基づいて、前記受信したメッセージを検証するステップとを含み、前記公開鍵は、２のべき乗と３以上の整数の積で表現される次元（ｄ）を有する環を用いて算出される。

この場合、前記関数処理は、ハッシュ処理であってよい。

一方、本発明の一実施形態に係る演算装置は、少なくとも一つのインストラクション（ｉｎｓｔｒｕｃｔｉｏｎ）を保存するメモリと、前記少なくとも一つのインストラクションを実行するプロセッサとを含み、前記プロセッサは、トラップドア（Ｔ）を算出し、前記算出されたトラップドア（Ｔ）を秘密鍵に設定し、２のべき乗と３以上の整数の積で表現され２のべき乗ではない整数次元（ｄ）を有する環で相互線型独立である要素をサンプリングし、列の数が前記次元より１小さく、行の数は前記次元の数である第１ランダム行列（Ｓ）を算出し、前記第１ランダム行列の行の数に対応する行列式とランダムな数とを用いて、列の数が前記次元の数と同じで、行の数は１である第２ランダム行列（Ａ）を算出し、前記第２ランダム行列（Ａ）に基づいて、公開鍵を算出し、前記公開鍵に特殊解（ｐａｒｔｉｃｕｌａｒ ｓｏｌｕｔｉｏｎ）を演算した結果が、前記入力されたメッセージに予め設定された関数処理の出力値になる前記特殊解を算出し、前記秘密鍵を用いて、前記算出された特殊解を縮小し、前記メッセージに対する電子署名情報を生成する。

この場合、前記プロセッサは、秘密鍵を用いて、前記算出された特殊解を縮小し、前記縮小された特殊解を前記電子署名情報で生成してよい。

一方、前記プロセッサは、メッセージ及び電子署名情報が受信されると、公開鍵に前記受信された電子署名情報を演算した結果が、前記メッセージに予め設定された関数処理出力値になるかを確認し、前記受信された電子署名情報が予め設定されたパラメータより小さい値を有するかを判断し、前記確認結果及び前記判断結果に基づいて、前記メッセージを検証してよい。

一方、本発明の一実施形態に係る電子署名情報を生成する方法を実行するためのプログラムを含むコンピュータ読み取り可能な記録媒体において、前記方法は、トラップドア（Ｔ）を算出し、前記算出されたトラップドア（Ｔ）を秘密鍵に設定するステップと、トラップドア（Ｔ）を算出し、前記算出されたトラップドア（Ｔ）を秘密鍵に設定し、２のべき乗と３以上の整数の積で表現され２のべき乗ではない整数次元（ｄ）を有する環で相互線型独立である要素をサンプリングし、列の数が前記次元より１小さく、行の数は前記次元の数である第１ランダム行列（Ｓ）を算出し、前記第１ランダム行列の行の数に対応する行列式とランダムな数とを用いて、列の数が前記次元の数と同じで、行の数は１である第２ランダム行列（Ａ）を算出し、前記第２ランダム行列（Ａ）に基づいて、公開鍵を算出し、前記公開鍵に特殊解（ｐａｒｔｉｃｕｌａｒ ｓｏｌｕｔｉｏｎ）を演算した結果が、前記入力されたメッセージに予め設定された関数処理の出力値になる前記特殊解を算出するステップと、前記秘密鍵を用いて、前記算出された特殊解を縮小し、前記メッセージに対する電子署名情報を生成するステップとを含む。

以上のような本発明の多様な実施形態によると、トラップドア格子方式の暗号鍵生成において、必要とされるセキュリティ性を満たせるために、パラメータを柔軟に選択、即ち、全次元が２のべき乗でない整数を使うことができるようする効果がある。

なお、セキュリティ性にぴったり合うパラメータを自由に選択できることから、暗号システムの全体的な効率性を増大させ、公開鍵／秘密鍵と暗号文との両方のサイズを縮小させることができる。

本発明に係る秘密鍵及び公開鍵を生成する動作を説明するためのフローチャートである。 本発明に係る秘密鍵で電子署名を生成する動作を説明するためのフローチャートである。 本発明によって生成された電子署名情報を用いたメッセージ検証過程を説明するためのフローチャートである。 本発明のランダム行列の構造を示す図である。 本発明の一実施形態に係るネットワークシステムの構造を説明するための図である。 本発明の一実施形態に係る演算装置の構成を示すブロック図である。

以下では、添付図面を参照し、本発明について詳細に説明する。本発明で実行される情報（データ）伝送過程は、必要に応じて、暗号化／復号化が適用されてよく、本発明及び特許請求範囲で情報（データ）伝送過程を説明する表現は、別に言及されなくても、いずれも暗号化／復号化する場合も含むと解釈されるべきである。本明細書において、「ＡからＢに伝送（伝達）」又は「ＡがＢから受信」といった表現は、途中で別の媒体が含まれて、伝送（伝達）又は受信されることも含んでおり、必ずしもＡからＢまで直接伝送（伝達）又は受信されることのみを表現するわけではない。

本発明の説明において、各段階の順番は、先行段階が論理的及び時間的に必ず後行段階より前に行われなければならない場合を除いては、各段階の順番は非制限的に理解されるべきである。即ち、上記のような例外的な場合を除いては、後行段階として説明された過程が先行段階として説明された過程より先に行われるとしても、発明の本質には影響を及ぼすことはなく、権利範囲も段階の順番に関係なく定義されるべきである。そして、本明細書において、「Ａ又はＢ」との記載は、ＡとＢのうちいずれかを選択的に指すというだけでなく、ＡとＢとの両方を含むことも意味するものとして定義される。なお、本明細書において、「含む」という用語は、含むということで、並べられた要素の他に更に別の構成要素を更に含むことも包括する意味を有する。

本明細書において、「モジュール」又は「ユニット」とは、汎用的なハードウェア又はその機能を行うソフトウェアか、ハードウェアとソフトウェアとの論理的な結合であってよい。

本明細書においては、本発明の説明に必要な必須の構成要素のみを説明しており、本発明の本質とは関係のない構成要素について言及していない。そして、言及される構成要素のみを含む排他的な意味として解釈されてはならず、他の構成要素も含むことができる非排他的な意味として解釈されるべきである。

本明細書は、電子的な演算が可能なコンピュータ、サーバ、スマートフォンのようなモバイルデバイスなどの電子的な演算装置によって行われてよく、後述する本発明の各段階の数学的な演算及び算出は、当該演算又は算出を行うために、公知となっているコーディング方法及び／又は本発明に適するように考案されたコーディングによってコンピュータプログラムの実行に他の演算で実現されてよい。本発明を実行するコンピュータプログラムは、コンピュータによって読み取り可能な記録媒体に保存されてよい。

そして、本明細書において、「値」とは、スカラー値だけでなく、ベクトル、行列、多項式などの数式で表現できる全ての値を含む広義の概念として定義されてよい。

本明細書において、特定値に対する暗号化又はハッシュなどのような演算を行って所定の値を獲得するという意味は、当該特定値だけでなく、当該特定値の変形値（例えば、特定値に所定の値を追加で演算したり、所定の規則を基に当該特定値を変化させるなどの過程によって算出された別の値）に対する暗号化又はハッシュなどの演算も含むと定義されてよい。

後述する本発明の各段階の数学的な演算及び算出は、当該演算又は算出を行うために、公知となっているコーディング方法及び／又は本発明に適するように考案されたコーディングによってコンピュータ演算で実現されてよい。

本明細書の添付図面に示されている装置の各構成要素は、図面に明示的に示された形態、大きさ、数値だけでなく、本発明の意図する機能を行うことができる形態、大きさ、寸法なら、いずれも適用されてよい。

以下で説明する具体的な数式は、可能な複数の代案の中から例示的に説明されるものであって、本発明の権利範囲が本明細書に言及された数式に制限されると解釈されてはならない。

説明の便宜上、本明細書では、次のように表記を定めることとする。

ａ←Ｄ：分布（Ｄ）に応じて要素（ａ）を選択
ｓ１、ｓ２∈Ｒ：Ｓ１、Ｓ２のそれぞれは、Ｒ集合に属する要素
ｍｏｄ（ｑ）：ｑ要素でモジュール（ｍｏｄｕｌａｒ）演算

以下では、添付の図面を用いて、本発明の多様な実施形態について具体的に説明する。

本発明では、ＮＴＲＵベースの暗号化の次元の柔軟性を解決することができるｍｏｄｕｌｅｄ－ＮＴＲＵ（ＭＮＴＲＵ）格子と呼ばれるＮＴＲＵ格子の一般化した概念を提案する。このようなＭＮＴＲＵ格子は、効率的なトラップドアの生成を示し、従来のＮＴＲＵトラップドアより効率性が高い。以下では、まず、ＭＮＴＲＵトラップドアに基づいて新たな身元ベースの暗号化に適用する。

まず、ＮＴＲＵトラップドアを一般化する動作を先に説明する。

ｒｉｎｇ－ＬＷＥからｍｏｄｕｌｅ－ＬＷＥへの一般化と類似するように、Ｒ^２内のＮＴＲＵ格子のコンテキストを高次元のＲ^ｄのＭＮＴＲＵ格子に一般化することができる。

ここで、ｈはＮＴＲＵインスタンス、Ｓ_ＮＴＲＵは行列である。

そして、ＮＴＲＵ格子は、次のような数式２のように定義されてよい。

ここで、Ａ_ＮＴＲＵはＮＴＲＵ格子であり、ｑは素数である。

このような内容は、一般的でない短いベクトル（ｇ、－ｆ）を含むＺ^２ｎ内の整数格子と理解されてよく、ｆ、ｇは次の数式３を満たすＦ、Ｇ∈Ｒを求めることで、

（数式３）
ｇＦ－ｆＧ＝ｑ
ここで、ｇ、ｆは短いベクトル、Ｆ、Ｇは行列、ｑは素数である。

ＮＴＲＵ式と呼ばれるものは、次のような数式４の通りである。

ここで、Ａは多項式の逆行列変換（ａｎｔｉ－ｃｉｒｃｕｌａｎｔ ｍａｔｒｉｘ ｔｒａｎｓｆｏｒｍ）を示す。

このようなフレームワークを、ｄ≧２の場合を一般化してよい。そのために、まず、Ｓ_{ＭＮＴＲＵ}∈Ｒ^{ｄ×（ｄ－１）}で小さい係数を有する要素をサンプリングすることができ、次の数式５を満たすベクトルｈ_{ＭＮＴＲＵ}＝（ｈ_１、・・・、ｈ_ｄ）∈Ｒ_ｑ ^ｄ－１を構成することができる。

それを基に、ｎ次元のＭＮＴＲＵ格子を、次のような数式６のように定義してよい。

ここで、ｈ＝（ｈ_１、・・・、ｈ_ｄ－１）は、ｄｅｔ_ｉ／ｄｅｔ_１によって決定されてよく、ｍｏｄ ｑは、ｄｅｔ_ｉがＳ_{ＭＮＴＲＵ}の（ｄ－１）×（ｄ－１）サブマトリックスのディターミネイト（ｄｅｔｅｒｍｉｎａｔｅ）である。

このような内容を基に、本発明のトラップドアは、数式７のように計算されてよい。

以下では、上述のトラップドアを生成することができる格子構造を、図４を参照して説明する。

図４は、本発明のランダム行列の構造を示す図である。

図４を参照すると、本発明に係る格子構造では、第１ランダム行列（Ｓ）と第２ランダム行列（Ａ）とが使われる。

第１ランダム行列（Ｓ）は、列の数がｄ－ｋ（即ち、ｄ－１）であり、行の数（ｄ）が１であり、第２ランダム行列（Ａ）は、列の数がｄであり、行の数（ｋ）が１である。ここで、列（ｄ）の数は、２より大きい所定の整数であってよく、従来技術と異なり、全次元を２のべき乗でない、別の整数に設定され得るため、パラメータの柔軟性が高められる。

第１ランダム行列（Ｓ）と第２ランダム行列（Ａ）とは、図４に示す関係を満たすことができる。

本発明に係る格子ベースの演算処理が行われる環境は、図５に示されている。

図５は、本発明の一実施形態に係るネットワークシステムの構造を説明するための図である。

図５を参照すると、ネットワークシステム６００は、ユーザ端末機１０、鍵生成サーバ２０及び電子署名検証サーバ４０を含むことができ、各構成は、データ通信網３０を介して相互接続されてよい。

データ通信網３０は、多様な形態の有線・無線通信ネットワーク、放送通信ネットワーク、光通信ネットワーク、クラウドネットワークなどで実現されてよく、各装置は、別途の媒体なしに、Ｗｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＮＦＣ（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）などのような方式で接続されてよい。

鍵生成サーバ２０は、格子ベースの暗号化方式に用いられる各種鍵値を生成してよい。具体的に説明すると、鍵生成サーバ２０は、まず、各種パラメータ及び環（ｒｉｎｇ）を設定し、設定されたパラメータと環とに基づいて公開鍵、秘密鍵を生成してよい。

ここで、環は、次のような数式８で示されてよい。

ここで、Ｒは環、Ｚは係数である。ここで、環は、予め設定された係数を有する多項式の集合として、要素との間で加算と乗算が定義されており、加算と乗算とに対し、閉じている集合を意味する。このような環は、リングと称されてよい。

ここで、環の要素のＮ次未満の整数係数多項式であり、集合に属する要素の間で加算演算と乗算演算とが定義されている。例えば、加算演算は、多項式間の積に定義されてよく、乗算演算は、各多項式を乗算した後で、当該要素のｍｏｄ ｘ^Ｎ＋１に定義されてよい。このような定義によると、Ｘ^Ｎ－１＊ｘは、多項式の積としてはｘＮであり、ｍｏｄ Ｘ^Ｎ＋１に対してＸ^Ｎ＝－１であるため、Ｘ^Ｎ－１＊ｘ＝－１になってよい。

数式９において、環はＮ次未満でありつつ、係数が［０、ｑ－１］内の整数のみで構成された多項式の集合を意味する。当該集合上における加算演算と乗算演算とが定義されており、例えば、乗算演算をｍｏｄ ｘ^Ｎ＋１と同時に各係数別にｍｏｄ ｑを行うものとして定義されてよい。

本発明に係る環は、２のべき乗と３以上の整数の積で表現される次元を有し、このような次数値に対応する格子トラップドアが用いられてよい。このように、整数の積で表現される次元を用いるため、セキュリティ性の増大が必要となり、次元の増加が必要な場合でも、２倍数単位に変更する必要がないため、より柔軟にパラメータの選択が可能である。

鍵生成サーバ２０は、上述の環の設定に基づいて、第１ランダム行列と第２ランダム行列とを算出し、トラップドアを算出することができる。ここで、トラップドアは、自主的に行うことが困難な機能の逆を計算することができるようにする特別な秘密情報である。本発明におけるトラップドアは、図４のような格子（又は、ラティス）ベース暗号技法に用いられ、具体的な算出動作は、図１を参照して後述する。

鍵生成サーバ２０は、算出されたランダム行列とトラップドアとを基に、公開鍵、秘密鍵を算出することができる。具体的な生成動作については、図１を参照して後述する。

そして、鍵生成サーバ２０は、ユーザ端末機１０から暗号文を受信し、暗号文を復号化せずに、暗号文の状態で保存することもできる。

一方、図５においては、鍵生成サーバ２０が暗号化に必要な鍵を生成し、ユーザ端末機１０が生成された鍵のうちの一部を提供され、暗号化動作を行うものとして説明したが、鍵生成動作、暗号化動作、復号化動作は、環境に応じて多様な機器で行われてよい。

ユーザ端末機１０においては、鍵生成サーバ２０で生成した公開鍵を用いて電子署名情報を生成し、メッセージと電子署名情報とを電子署名検証サーバ４０に伝送してよい。ここで、電子署名情報（又は、電子署名値）は、メッセージが偽造・変造されていないかを確認するのに用いられる情報である。

電子署名検証サーバ４０は、メッセージと電子署名情報とを受信し、受信された電子署名情報を用いてメッセージに対する検証を行ってよい。

ユーザは、自らが使用するユーザ端末機１０を介して、多様な情報を入力してよい。入力された情報は、ユーザ端末機１０自らに保存されてよいが、保存容量及びセキュリティなどの理由から、外部装置に伝送されて保存されてよい。図５において、鍵生成サーバ２０は、このような情報を保存する役割を担い、鍵生成サーバ２０は、鍵生成サーバ２０に保存された情報の一部又は全部を用いる役割を担ってよい。

ユーザ端末機１０は、鍵生成サーバ２０から暗号化に必要な鍵情報を受信し、受信された鍵情報を用いてメッセージを暗号化してよい。例えば、ユーザ端末機１０は、鍵生成サーバ２０から公開鍵を受信してよく、受信された公開鍵を用いてメッセージを暗号化し、暗号文を生成してよい。このとき、ユーザ端末機１０は、暗号化に必要な小さい要素、関数処理出力値も受信して用いることもでき、自ら生成して用いることもできる。

そして、ユーザ端末機１０は、暗号文及び電子署名情報を電子署名検証サーバ４０に伝送してよい。

そして、電子署名検証サーバ４０は、暗号文に対する復号化を行ってよい。例えば、ユーザ端末機１０は、秘密鍵を用いて暗号文に対する復号化を行ってよい。一方、復号化動作は、鍵生成サーバ２０側で行うこともできる。

そして、電子署名検証サーバ４０は、受信した電子署名情報を用いて、受信したメッセージに対する検証を行ってよい。

図５においては、ユーザ端末機が一つであるとして示しているが、複数個が用いられてよい。一例として、ユーザ端末機１０は、スマートフォン、タブレット、ゲームプレーヤ、パソコン、ラップトップパソコン、ホームサーバ、キヨスク端末などのような多様な形態の装置で実現されてよく、その他にも、ＩｏＴ機能付きの家電製品で実現されてよい。

図１は、本発明に係る公開鍵及び秘密鍵を生成する動作を説明するためのフローチャートである。

図１を参照すると、第１ランダム行列（Ｓ）を算出する（１００）。例えば、以下の数式１０を満たす要素値をサンプリングし、第１ランダム行列（Ｓ）を算出してよい。

もし、線型独立の関係でなければ、要素値を再度サンプリングしてよい。

そして、第２ランダム行列（Ａ）を算出する（１１０）。具体的に、ランダムな係数（ｒ）をサンプリングし、第１ランダム行列の行数に対応する行列式（ａ_ｉ）とサンプリングされたランダムな係数（ｒ）を用いて、以下の数式１１のように、第２ランダム行列（Ａ）を算出してよい。
（数式１１）
ｒ・（ａ_１，ａ_２，…，ａ_ｄ）
ここで、行列式（ａ_ｉ）は、（－１）^ｉ－１・ｄｅｔ（Ｍ_ｉ）であり、

そして、ｒはランダム係数ｒ（∈Ｒ_ｑ）である。

例えば、ランダムな係数（ｒ）をａ_１ ^－１にすると、第２ランダム行列（Ａ）は、（１、Ａ_{１、・・・、}Ａ_ｄ－１）であってよい。

そして、トラップドア（Ｔ）を算出する（１２０）。

α_ｉの計算は、拡張ユークリッドアルゴリズム（Ｅｘｔｅｎｄｅｄ Ｅｕｃｌｉｄｅａｎ Ａｌｇｏｒｉｔｈｍ）によって実行されてよい。そして、上述の算出値に基づいて、Ｆ_ｉを次のように算出してよい。

そのような縮小により、トラップドア（Ｔ）の大きさを小さくする効果がある。整数に例えると、Ｆ＝（２、５）、ｆ＝（１、２）である場合、[Ｆ、ｆ]と[Ｆ－２ｆ、ｆ]とを比較すると、同じ列空間を定義するが、後ろの縮小された行列の列の大きさが小さくなり得る。

そして、秘密鍵及び公開鍵を設定する（１３０）。具体的に、算出されたトラップドア（Ｔ）を秘密鍵に設定し、公開鍵は、（Ａ_{１、・・・、}Ａ_ｄ－１）に設定してよい。

図２は、本発明に係る秘密鍵で電子署名を生成する動作を説明するためのフローチャートである。

図２を参照すると、電子署名するメッセージ（ｍ）を受信する（２００）。

公開鍵に特殊解を演算した結果の入力されたメッセージに予め設定された関数処理出力値になる特殊解を算出する（２１０）。

ここで、特殊解は、例えば、ガウスの消去法を用いて算出されてよい。そして、公開鍵は、２のべき乗と３以上の整数の積で表現される次元（ｄ）を有する環を用いて算出されたものであってよい。

そして、算出された特殊解を用いて、メッセージに対する電子署名情報を生成する（２２０）。

このような電子署名情報は、上述のようなＡｓ＝Ｈ（ｍ）を満たしてよい。

ここで、縮小過程は、秘密鍵（Ｔ）を用いて、集合{ｓ：Ａｓ＝０}上において、ステップ２００で算出されたｓを中心とする小さな離散正規分布をサンプリングする過程であってよい。具体的に、標準偏差（σ）を選択し、ＧａｕｓｓｉａｎＳａｍｐｌｅｒによってｃを算出し、第２ランダム行列との積がハッシュ値になる大きさの小さい解（ｓ＝（ｓ_０、ｓ_１、・・・、ｓ_ｄ－１））を算出し、算出された小さい解の中からｓを上述の電子署名情報として出力してよい。

電子署名情報は、メッセージを伝送しようとするユーザ端末機１０によって生成され、この電子署名情報は、電子署名検証サーバ４０によって検証される。図５には、電子署名検証サーバ４０が電子署名を検証するものとして説明されるが、メッセージ（ｍ）を受信する受信者端末機が電子署名を検証することもでき、検証主体に本発明の権利範囲が制限されない。

図３は、本発明によって生成された電子署名情報を用いたメッセージ検証過程を説明するためのフローチャートである。

図３を参照すると、まず、電子署名検証を行う主体（例えば、電子署名検証サーバ４０又はメッセージ（ｍ）受信端末機）が電子署名情報（ｓ）を受信する（３００）。このとき、メッセージ（ｍ）を同時に受信してよい。ここで、メッセージは、電子署名情報を送信した装置から受信することもでき、他の主体から受信することもできる。

そして、公開鍵に受信された電子署名情報を演算した結果が、メッセージに予め設定された関数処理出力値になるかを確認する（３１０）。具体的に、電子署名検証の主体は、Ａｓ＝Ｈ（ｍ）を満たすかを判断してよい。ここで、ｓは、電子署名情報、Ｈ（）は、予め設定された関数処理として、例えば、ハッシュ処理であってよく、ｍはメッセージである。そして、Ａは公開鍵として、２のべき乗と３以上の整数の積で表現される次元（ｄ）を有する環を用いて算出されたものであってよい。

そして、受信された電子署名情報が予め設定されたパラメータより小さいかを判断する（３２０）。即ち、電子署名情報（ｓ）の大きさが十分に小さいか否かを判断してよい。ここで、予め設定されたパラメータは、電子署名情報（ｓ）の大きさの比較対象は、検証失敗確率、安定性などを考慮して設定されてよい。

確認結果及び判断結果に基づいて、受信したメッセージを検証する。例えば、二つの条件をいずれも満たすと、電子署名検証に成功したと判断し（３３０）、そうでない場合には、検証に失敗したと判断してよい（３４０）。

一方、図示の例においては、まず、計算式が成立するかを確認した後、電子署名情報の大きさを比較するものとして示して説明しているが、実現の際には、まず、電子署名情報の大きさを比較し、計算式が成立するかを確認することもできる。

以上のような図２又は図３の方法は、セキュリティ性の増大のために、次元を２倍にする必要がなく、２のべき乗と整数の積で表現される次元を用いることができるため、鍵生成に必要な計算量や計算時間を減らすことができる。

一方、上述の図２又は図３に係る方法は、各ステップを行うためのプログラムコードで実現され、記録媒体に保存されて配布されてよい。この場合、記録媒体の登載された装置は、上述の暗号化方法などの動作を行ってよい。

このような記録媒体は、ＲＯＭ、ＲＡＭ、メモリチップ、メモリカード、外付けハードディスク、ハードディスク、ＣＤ、ＤＶＤ、磁気ディスク又は磁気テープなどのような多様なコンピュータ読み取り可能な媒体であってよい。

一方、図２及び図３において、メッセージに対する電子署名情報を生成し、生成された電子署名情報を用いてメッセージの検証動作を行うものとして説明しているが、実現の際には、暗号化されたメッセージに対する電子署名情報を生成し、即ち、暗号文に対する電子署名生成及び暗号文に対する検証動作を行うこともできる。

図６は、本発明の一実施形態に係る演算装置の構成を示すブロック図である。

具体的に、図５のシステムにおいてユーザ端末機などのように、暗号化を行う装置、鍵生成サーバなどのように、暗号文生成に必要な鍵を生成する装置及び暗号文を利用する装置などを演算装置と称してよい。このような演算装置は、ＰＣ（Ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ）、ノートパソコン、スマートフォン、タブレット、サーバなど、多様な装置であってよい。

図６を参照すると、演算装置６００は、通信装置６１０、メモリ６２０、ディスプレイ６３０、操作入力装置６４０及びプロセッサ６５０を含んでよい。

通信装置６１０は、演算装置６００を外部装置（図示せず）と接続するために形成され、構内ネットワーク（ＬＡＮ：Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）及びインターネット網を介して外部装置に接続される形態だけでなく、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポート、又は無線通信（例えば、Ｗｉ－Ｆｉ ８０２．１１ａ／ｂ／ｇ／ｎ、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ）ポートを介して接続される形態も可能である。このような通信装置６１０は、送受信部（ｔｒａｎｓｃｅｉｖｅｒ）として称されてよい。

通信装置６１０は、暗号文生成に必要な各種鍵を受信してよい。例えば、鍵生成の際に、通信装置６１０は、３つのパラメータ（ｎ、ｑ、ｄ）を入力されてよい。ここで、ｎは、次元を構成する２のべき乗の二乗値であり、ｄは整数である。よって、当該パラメータによって生成されるリングの次元は２^ｎ＊ｄであってよい。そして、ｑは素数の値である。このような各種鍵は、操作入力装置６４０を介して入力されてよい。

そして、通信装置６１０は、自ら生成した鍵を外部装置に伝送してよい。ここで、鍵は、公開鍵、秘密鍵などであってよい。

そして、通信装置６１０は、外部装置からメッセージを受信してよく、生成した暗号文及び／又は伝署名情報を外部装置に送信してよい。

なお、通信装置６１０は、鍵又は暗号文生成に必要な各種パラメータを外部装置から受信してよい。一方、実現の際に、各種パラメータは、後述の操作入力装置６４０を介してユーザから直接入力されてよい。

なお、通信装置６１０は、暗号文を受信することができる。このとき、当該暗号文（又は、メッセージ）に対する電子署名情報を同時に受信してよい。

メモリ６２０は、演算装置６００を駆動するためのＯ／Ｓや各種ソフトウェア、データなどを保存するための構成要素である。メモリ６２０は、ＲＡＭやＲＯＭ、フラッシュメモリ、ＨＤＤ、外付けメモリ、メモリカードなどのような多様な形態で実現されてよく、何れかに限定されるわけでない。

メモリ６２０は、身元情報（又はユーザ情報）を保存してよい。ここで、身元情報とは、住民登録番号、メールアドレス、電話番号、指紋情報、虹彩情報であってよく、ユーザ秘密鍵を生成する際や、暗号文を生成する際に用いられてよい。

そして、メモリ６２０は、暗号化するメッセージを保存してよい。ここで、メモリは、ユーザが引用した各種身元情報、個人情報などであってよく、演算装置６００で使われる位置情報、インターネット使用時間情報など、使用履歴などに関する情報であってよい。

そして、メモリ６２０は、公開鍵を保存することができ、演算装置６００が直接公開鍵を生成した装置である場合、秘密鍵だけでなく、公開鍵及び秘密鍵生成に必要な各種パラメータなどを保存してよい。

そして、メモリ６２０は、後述の過程で生成された暗号文及び／又は電子署名情報を保存してよい。そして、メモリ６２０は、暗号文及び／又は電子署名情報の生成過程の中間データなどを保存してよい。

そして、メモリ６２０は、外部装置から伝送した暗号文を保存することもできる。そして、メモリ６２０は、暗号文に対する復号結果であるメッセージを保存してよい。なお、メモリ６２０は、外部装置から伝送した電子署名情報を保存することもできる。

ディスプレイ６３０は、演算装置６００がサポートする機能を選択されるためのユーザインターフェースウィンドウを表示してよい。例えば、ディスプレイ６３０は、演算装置６００が提供する各種機能を選択されるためのユーザインターフェースウィンドウを表示してよい。このようなディスプレイ６３０は、ＬＣＤ（ｌｉｑｕｉｄ ｃｒｙｓｔａｌ ｄｉｓｐｌａｙ）、ＯＬＥＤ（Ｏｒｇａｎｉｃ Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅｓ）などのようなモニタであってよく、後述の操作入力装置６４０の機能を同時に実行が可能なタッチスクリーンで実現されてよい。

ディスプレイ６３０は、秘密鍵及び公開鍵生成に必要なパラメータの入力をリクエストするメッセージを表示してよい。そして、ディスプレイ６３０は、暗号化対象がメッセージの選択をリクエストするＵＩ（Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を表示してよい。例えば、格子ベースの身元ベース暗号化に用いる身元情報をユーザから選択されるためのＵＩを表示してよい。

一方、実現の際に、暗号化対象は、ユーザが直接選択することもでき、自動的に選択されてよい。即ち、暗号化の必要な個人情報などは、ユーザが直接メッセージを選択しなくても、自動的に設定されてよい。

操作入力装置６４０は、ユーザから演算装置６００の機能選択及び当該機能に対する制御命令が入力されてよい。例えば、操作入力装置６４０は、ユーザから秘密鍵及び公開鍵生成に必要なパラーメタを入力されてよい。なお、操作入力装置６４０は、ユーザから暗号化されるメッセージを選択されてよい。

プロセッサ６５０は、演算装置６００内の各構成を制御する。このようなプロセッサ６５０は、ＣＰＵ（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ－ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）のような単一装置で構成されてよく、ＣＰＵ、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などの複数の装置で構成されてよい。

プロセッサ６５０は、伝送しようとするメッセージが入力されると、メモリ６２０に保存する。プロセッサ６５０は、メモリ６２０に保存された各種設定値及びプログラムを用いて、メッセージを暗号化してよい。この場合、公開鍵が使われてよい。

プロセッサ６５０は、暗号化を行うのに必要な公開鍵を自ら生成して使用してよく、外部装置から受信して使用してもよい。一例として、復号化を行う鍵生成サーバ２０が公開鍵を他の装置に配布してよい。

自ら公開鍵を生成する場合、プロセッサ６５０は、図５を満たす第１ランダム行列（Ｓ）と第２ランダム行列（Ａ）を生成し、第２ランダム行列に基づいて公開鍵を生成してよい。

プロセッサ６５０は、公開鍵が生成されると、他の装置に伝送されるように通信装置６１０を制御してよい。

そして、プロセッサ６５０は、メッセージに対する暗号文を生成してよい。例えば、プロセッサ６５０は、身元情報が入力されると、入力された身元情報を関数処理し、関数処理出力値を生成してよい。そして、プロセッサ６５０は、小さい要素をランダムにサンプリングし、サンプリングされた小さい要素、関数処理出力値、公開鍵を用いてメッセージに対する暗号文を生成してよい。

そして、プロセッサ６５０は、暗号文が生成されると、メモリ６２０に保存するか、ユーザのリクエスト、又は予め設定されたデフォルトコマンドに応じて、同型暗号文を他の装置に伝送するように通信装置６１０を制御してよい。

そして、プロセッサ６５０は、暗号文又はメッセージに対する電子署名情報を生成してよい。例えば、公開鍵に特殊解を演算した結果が、メッセージに予め設定された関数処理出力値になる特殊解を算出し、算出された特殊解を用いて前記メッセージに対する電子署名情報を生成してよい。

そして、プロセッサ６５０は、暗号文をユーザ秘密鍵を用いて復号してよい。なお、プロセッサ６５０は、メッセージ及び電子署名情報を受信すると、受信された電子署名情報を用いてメッセージに対する検証を行ってよい。具体的に、プロセッサ６５０は、公開鍵に前記受信された電子署名情報を演算した結果が、前記メッセージに予め設定された関数処理出力値になるかを確認し、受信された電子署名情報が予め設定されたパラメータより小さいかを判断し、受信したメッセージ（又は、暗号文）を検証してよい。

以上のように、本発明に係る演算装置は、２のべき乗と３以上の整数の積で表現される次元を有する環を用いて、暗号化処理を行うため、セキュリティ性の増大のために、次元を２倍にする必要がなく、２のべき乗と整数の積で表現される次元を利用することができるため、鍵生成に必要な計算量や計算時間を減らすことができる。

一方、図６を参照して説明するうえで、一つの装置で暗号化動作及び復号化動作をいずれも行うものとして示して説明しているが、実現の際に、一つの装置で一つの動作、例えば、鍵生成動作、暗号化動作、復号化動作のうちいずれか一つのみを行うこともできる。

以上、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明は以上の実施形態に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的趣旨の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。

Claims (10)

1. 演算装置において電子署名情報を生成する方法において、
   前記演算装置が、メッセージを入力されるステップと、
   前記演算装置が、トラップドア（Ｔ）を算出し、前記算出されたトラップドア（Ｔ）を秘密鍵に設定するステップと、
   

   

   列の数が前記次元より１小さく、行の数は前記次元の数である第１ランダム行列（Ｓ）を算出するステップと、
   前記演算装置が、前記第１ランダム行列の行の数に対応する行列式とランダムな数とを用いて、列の数が前記次元の数と同じで、行の数は１である第２ランダム行列（Ａ）を算出するステップと、
   前記演算装置が、前記第２ランダム行列（Ａ）に基づいて、公開鍵を算出するステップと、
   前記演算装置が、前記公開鍵に特殊解（ｐａｒｔｉｃｕｌａｒ ｓｏｌｕｔｉｏｎ）を演算した結果が、前記入力されたメッセージに予め設定された関数処理の出力値になる前記特殊解を算出するステップと、
   前記演算装置が、前記秘密鍵を用いて、前記算出された特殊解を縮小し、前記メッセージに対する電子署名情報を生成するステップと
   を含む方法。
2. 前記第２ランダム行列を算出するステップは、
   

   

   （－１）^ｉ－１・ｄｅｔ（Ｍ_ｉ）を行列式（ａ_ｉ）に設定し、ａ_１ ^－１・（ａ_１，ａ_２，…，ａ_ｄ）を第２ランダム行列で算出する
   ことを特徴とする請求項１に記載の方法。
3. 前記トラップドア（Ｔ）を算出するステップは、
   

   

   ことを特徴とする請求項２に記載の方法。
4. 

   ことを特徴とする請求項３に記載の方法。
5. 

   ことを特徴とする請求項４に記載の方法。
6. 

   拡張ユークリッドアルゴリズム（Ｅｘｔｅｎｄｅｄ Ｅｕｃｌｉｄｅａｎ Ａｌｇｏｒｉｔｈｍ）を用いて、前記ベクトルの要素を縮小する
   ことを特徴とする請求項４に記載の方法。
7. 前記予め設定された関数処理は、
   ハッシュ処理であることを特徴とする請求項１に記載の方法。
8. 演算装置において、
   少なくとも一つのインストラクション（ｉｎｓｔｒｕｃｔｉｏｎ）を保存するメモリと、
   前記少なくとも一つのインストラクションを実行するプロセッサと
   を含み、
   前記プロセッサは、
   トラップドア（Ｔ）を算出し、前記算出されたトラップドア（Ｔ）を秘密鍵に設定し、
   

   

   列の数が前記次元より１小さく、行の数は前記次元の数である第１ランダム行列（Ｓ）を算出し、
   前記第１ランダム行列の行の数に対応する行列式とランダムな数とを用いて、列の数が前記次元の数と同じで、行の数は１である第２ランダム行列（Ａ）を算出し、
   前記第２ランダム行列（Ａ）に基づいて、公開鍵を算出し、
   前記公開鍵に特殊解（ｐａｒｔｉｃｕｌａｒ ｓｏｌｕｔｉｏｎ）を演算した結果が、前記入力されたメッセージに予め設定された関数処理の出力値になる前記特殊解を算出し、
   前記秘密鍵を用いて、前記算出された特殊解を縮小し、前記メッセージに対する電子署名情報を生成する、演算装置。
9. 前記プロセッサは、
   メッセージ及び電子署名情報が受信されると、公開鍵に前記受信された電子署名情報を演算した結果が、前記メッセージに予め設定された関数処理の出力値になるかを確認し、前記受信された電子署名情報が予め設定されたパラメータより小さい値を有するかを判断し、前記確認結果及び前記判断結果に基づいて、前記メッセージを検証することを特徴とする請求項８に記載の演算装置。
10. 電子署名情報を生成する方法を実行するためのプログラムを含むコンピュータ読み取り可能な記録媒体において、
    前記方法は、
    トラップドア（Ｔ）を算出し、前記算出されたトラップドア（Ｔ）を秘密鍵に設定するステップと、
    

    

    列の数が前記次元より１小さく、行の数は前記次元の数である第１ランダム行列（Ｓ）を算出するステップと、
    前記第１ランダム行列の行の数に対応する行列式とランダムな数とを用いて、列の数が前記次元の数と同じで、行の数は１である第２ランダム行列（Ａ）を算出するステップと、
    前記第２ランダム行列（Ａ）に基づいて、公開鍵を算出するステップと、
    前記公開鍵に特殊解（ｐａｒｔｉｃｕｌａｒ ｓｏｌｕｔｉｏｎ）を演算した結果が、前記入力されたメッセージに予め設定された関数処理の出力値になる前記特殊解を算出するステップと、
    前記秘密鍵を用いて、前記算出された特殊解を縮小し、前記メッセージに対する電子署名情報を生成するステップと
    を含む、コンピュータ読み取り可能な記録媒体。

Images