JPH02211491A

JPH02211491A - 鍵生成装置

Info

Publication number: JPH02211491A
Application number: JP3108689A
Authority: JP
Inventors: Shinichi Kawamura; 信一川村; Atsushi Shinpo; 淳新保
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1989-02-13
Filing date: 1989-02-13
Publication date: 1990-08-22
Anticipated expiration: 2015-05-22
Also published as: JP3043762B2

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】［発明の目的］（産業上の利用分野）本発明は、ＲＳＡ暗号を利用した情報通信システムに適
用され、特に、ディジタル署１名や復号変換といった個
人の秘密変換が高速に実行できるような暗号方式に関す
る。

（従来の技術）公開鍵暗号の代表であるＲ　Ｓ　Ａ　（Ｒｌｖｅｓｔ−
８ｈａｍｌｒ−Ａｄｌｅｓ＋ａｎ）暗号は、ディジタル
署名機能を実現できること、鍵管理が容易になること等
の優れた特徴を持ち、セキュリティを必要とする情報通
信システムへの応用が期待されている。しかしながら、
Ｒ８Ａ暗号の欠点としては処理の演算量が多く、特に復
号変換（および署名作成）の処理量が大きくなることが
あげられる。復号変換（および署名作成）は、各ユーザ
が自分の秘密鍵を用いて処理を行うために、通常、各ユ
ーザの端末（汎用のパーソナル・コンピュータ等）で実
行するため、それほど処理能力の大きな装置を期待する
ことはできない。従って、復号変換（および署名作成）
の処理時間の高速化が課題である。

ＲＳＡ暗号の復号変換（および署名作成）を高速化する
方法としては、以下に示すような方法が知られている（
Ｆａｓｔｄｅｃｔｐｈｅｒｍｅｎｔ８１ｇｏｒｉｔｈｍ
　ｆｏｒ　Ｒ８Ａ　ｐｕｂｌｉｃ−ｋｅｙ　ｃｒｙｐｔ
ｏｓｙｓｔｅｓＥｌｅｃｔｒｏｎｌｃｓ　Ｌｅｔｔｅｒ
ｓ、１８，２１．ｐｐ、９０５−９０７あるいは“現代
暗号論理”、池野、小山、電子通信学会編ｐｐ、１１７
−１１９）。この方法を説明するために、まずＲ９Ａ暗
号の鍵生成法から説明する。

（１）１０進１００桁程度の大きな素数ｐ、ｑを生成し
、その積をｎとする。ｎは１０進２００桁程度の大きさ
となる。

ｎ纏ｐ　＊　ｑ　　　　　　　　　　　　　（１）（２
）　　（ｐ−１）と（ｑ−１）の最小公倍数を計算し、
Ｌとする。Ｌは１０進２００桁程度の大きさとなる。

Ｌ　−Ｌ　ＣＭ　（Ｐ−１，Ｑ−１）　　　　　　　　
（２）（３）　　ｌ　＜　ｅ　＜　Ｌで、Ｌと互いに素
な整数を選びｅとする。

（４）次式を満たすようなｄを計算する。ｄは１０進２
００桁程度の大きさとなる。

ｓｏｄ−１ｓｏｄ　　Ｌ　　　　　　　　（３）以上が
ＲＳＡ暗号の鍵生成法であり、ｅおよびｎは公開し、ｄ
は秘密に保持する。なお、（３）においてｅは、安全性
を下げずに小さく選ぶことができる。

また、ＲＳＡ暗号の復号変換（および署名作成）は次の
計算式で表される。この計算を高速化する方法を次に説
明する。

Ｃ−Ｍ　　　ｓｏｄ　　ｎ　　　　　　　　　（４）（
１）　（５）、（６）式のｄ　　、ｄ　　を求める。

ｑｄ　　−ｄ　　ｓｏｄ　　ｐ−１（５）ｄ　　−ｄ　　
ｓｏｄ　　ｑ−１（Ｂ）（２）Ｍから（７）、（８）式
のＭ　　、Ｍ　　を求める。

ｑＭ　　−Ｍ　　■ｏｄ　　ｐ　　　　　　　　（７）Ｍ
　　−Ｍ　　ｓｏｄ　　ｑ　　　　　　　　（８）（３
）Ｍ　１Ｍ９．ｄ　、ｄ　、ｐ、ｑから（９）。

ｐ　　　　　　　　　　　ｐ　　　　　ｑＣ−Ｍ　　　
　　ｍｏｄｑ　　　　　　　　　（１０）ｑ　　　　　
ｑ　　　ｑ（４）Ｃ，Ｃｑから中国剰余定理により、（１１）。

（１２）式の連立合同式を解いてＣを求める。

ｘ−Ｔ；’　　　Ｍｏｄ　　ｑ　　　　　（１４）とお
くと、Ｃ−Ｃ，ｑＸ９＋Ｃ９ｐＸ、ｓｏｄ　ｎ　　（１５）に
よりＣが求められる。なお、（１３）、（１４）式は拡
張ユークリッドの互除法と呼ばれるアルゴリズムを用い
れば効率よく計算できる。なお、（１３）、（１４）式
の一方を計算するだけで（１５）式に相当するＣを求め
ることもできる。また、（１８）、（１４）、（５）、
（８）式の計算は、Ｍの値に依存しないので、−度行っ
ておけば毎回計算する必要はない。

従来の（４）式をそのまま計算することは、大きな整数
のべき乗剰余計算を行うことに相当する。

大きな整数のべき乗剰余計算は、取り扱う整数の桁数を
ｂとすると、ｂ３オーダーの処理時間を要する。高速化
された計算法の処理時間も（９）　、　（１０）式のべ
き乗剰余計算の処理時間に相当し、取り扱う整数の桁数
が（４）式の半分となっているので、一つの式の計算が
約８倍高速になる。（９）、（１０）式を計算機のソフ
ト等で逐次的に行う場合には、全体として約４倍高速化
される。

以上説明した方式は、従来の計算法に比べて、計算機の
ソフトによる実現で約４倍高速化できるが、それでもま
だ演算量としては大きすぎる場合が多い。例えば、ユー
ザの使用する装置がＩＣカードのように計算力の乏しい
場合にはその傾向が顕著である。

（発明が解決しようとする課題）以上述べてきたように、従来の計算方法ではＲＳＡ暗号
の復号変換（および署名作成）の処理時間は十分に高速
化されているとはいえない。特に、ユーザの使用する装
置がＩＣカードのように計算力の乏しい場合にはその傾
向が顕著である。

そこで、本発明は上記の点に鑑みてなされたものであり
、法ｎの素因数分解に対する安全性は下げずにユーザが
復号変換に用いる鍵の大きさに制約を加えることで、復
号変換（および署名作成）の高速化を実現するものであ
る。

［発明の構成］（課題を解決するための手段）上記目的を達成するために本発明においては、ユーザが
復号変換に用いる鍵の大きさに制約を加えることを特徴
とする。具体的には、ユーザが復号変換（および署名作
成）に用いる鍵であるｄ　。

ｄ　のサイズを素数ｐ、ｑに比べて極めて小さいものを
用いる。従って、Ｒ８Ａ暗号の公開鍵であるｅは、ｄ　
　、ｄ　　が小さいという条件から生成ｑすることになる。このようにｄ　　、ｄ　　を設定ｑしてもｄのサイズは従来方式のままであり、ｄに対する
総当り攻撃に対する安全性は劣化しない。

（作　　用）Ｒ３Ａ暗号の高速復号変換の処理時間は、ｄ　　　　　
　　　　　　　　　　　ｄおおむねＭ　　　　ｓｏｄお
よびＭ　　　　ｓｏｄ　ｑの計ｐｐ　　　　　　　　　
　　　　　ｑｑ算待時間相当する。従来、鍵に何も制約
を付けない場合には、ｄ　　、ｄ　　のサイズは素数ｐ
、ｑのｑサイズ（１０進１００桁程度）に一致し、べき乗刹余計
算に必要となる剰余乗算の回数が７５０５０回程要であ
り、このことが、処理時間を高速化できない原因であっ
た。本発明は、ｄ　　、ｄ　　のｑサイズに制約を加えるものであり、例えばｄ　。

ｄ　をそれぞれ３２ビツト（１０進１０桁程度）に設定
した場合には、べき乗剰余計算に必要となる剰余乗算の
回数が９６回程度となり、従来の高速復号変換に比べて
約８倍高速化され、高速復号変換を用いない場合と比べ
ると約３２倍高速化される。

（実施例）以下、図面を参照して本発明の一実施例を説明する。ま
ず、第１図に本発明によるＲＳＡ暗号を利用した情報通
信システムの一構成を示す、同図において、１００はユ
ーザ１の保持する演算装置、２００はユーザｊの保持す
る演算装置、１１０はユーザｉの利用する端末、２１０
ユーザｊの利用する端末、５００ユーザ’ｒ　　Ｊ間の
通信路である。１１０や２１０の端末は、１００や２０
０の演算装置よりも計算力に優れている。実際には、１
００．２０．０はＩＣカード、１１０゜２１０はパーソ
ナル会コンピュータ等の装置構成となる。演算装置１０
０内には、ユーザｉの秘密鍵が記憶されており、演算装
置２００内には、ユーザｊの秘密鍵が記憶されている。

各ユーザの公開鍵は１１０や２１０の各端末に記憶され
ている。

ユーザｌからｊへ、ユーザｌの署名文を送信する場合、
演算装置１００でユーザｉの署名が作成され、端末１１
０を通して、ユーザｊの利用する端末２１０へ送信され
る。署名の検査は端末２１０で行う。ユーザｉからｊへ
Ｒ８Ａ暗号を利用して暗号通信を行う場合には、ユーザ
ｉの利用する端末１１０で、ユーザｊの公開鍵を用いて
暗号化を行い、端末２１０に暗号文を送信する。端末２
１０は、演算装置２００に暗号文を送り、復号は演算装
置２００内で行う。

第２図は、本発明によるＲＳＡ暗号の鍵生成手順を示し
たものである。まず、１０進１００桁程度の大きさの素
数を２つ生成し、ｐ、ｑとする（ステップ２１）。この
２数の積をｎとする（ステップ２２）。また、ｐ−１と
ｑ−１の最大公約数（Ｇ　ＣＤ）を計算し、これをｇと
する（ステップ２３）。さらに、ｐ−ｔとＱ−１の最小
公倍数（ＬＣＭ）を求めこれをＬとする（ステップ２４
）。次に、予め制限した大きさの乱数を２つ生成し、ｄ
、、ｄ　　とする（ステップ２５）　　このｄ　。

ｐ　　　　　ｑ　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　ｐｄ　が法をｇとす
・る代数系の上で合同であるか確認する。合同でない場
合には（ステップ２５）へ戻り、別のｄ　　、ｄ　　を
生成する（ステップ２Ｇ）。

次に、ｄ　とｐ−１の最大公約数（Ｇ　ＣＤ）を計算す
る。同様にｄ　とＱ−１の最大公約数（ＧＣＤ）を計算
する。この２つのＣ，ＣＤのどちらかが１でない場合に
は、（ステップ２５）へ戻り、別のｄ　　、ｄ　　を生
成する（ステップ２７）。次に、（ステップ１Ｂ）式の
連立方程式を解く　（ステップ２８）。

ｄ＝Ｄ　　　５ｏｄｐ−１ｐｄ＝Ｄ　　５ｏｄＱ−１（１Ｂ）連立方程式の解法は、例えば、高木貞治：　“初等整数
輪講義”、共立出版、　９９．３１−３５に示されてい
る。（１Ｂ）式の解は、Ｌ−ＬＣＭ　（ｐ−１，ｑ−１
）としてただ一つ定まり、これをｄとする。最後に、法
りの上でのｄの送元を計算し、ｅとする（２９）。

以上の手順により、１０進で２００桁程度のｎ。

ｅ、ｄが生成される。但し、ｄ　　、ｄ　　は条件設ｑ定により任意に小さくでき、ｄの代わりにｄ、。

ｄ　を用いることでＲ５Ａ暗号の復号変換（および署名
作成）が高速になる。ｎ、ｅは公開する。

ｄｐ、ｄｑ、ｐ、ｑは秘密に演算装置内に記憶させる。

演算装置はパスワード検査等の手段で十分にアクセス制
御されているものとする。なお、ｅの値は、従来方式で
は安全性を下げずに十分小さく選ぶことができたが、本
発明では１０進で２００桁程度の大きさになるため、暗
号変換は従来方式に比べてかなり演算量が多くなる。し
かし、暗号変換は公開の鍵を利用するので演算能力の大
きな汎用パーソナル・コンピュータやワークステーショ
ンに実行させることができ、暗号変換の演算量の多さは
あまり問題とならない。

第３図に、復号変換（および署名作成）の処理手順を示
す。計算したいものはＭ’　ｓｏｄ　ｎである。

まず、Ｍを外部から入力する（ステップ３１）。次に、
（１７）、　（１Ｂ）式のｘ　　、ｘ　　を求める（ス
テラｑブ３２）。

ｘ　　−ｑ−’ｓｏｄ　　ｐ　　　　　　　　　（１７
）ｘ　　＝ｐ−１ｓｏｄ　　ｑ　　　　　　　　　（１
８）なお、このＸ　　、Ｘ　　は−度計算しておけば、
そｑの値を記憶しておくことで毎回用いることができる。次
に、（１９）　、　（２０）式のＭ　　、Ｍ　　を求め
る。

ｑ（ステップ３３）。

Ｍ　　−Ｍ　　５ｈｏｄ　　ｐ　　　　　　　　　（１
９）Ｍ　　　−Ｍ　　　ｓｏｄ　　　ｑ　　　　　　　
　　　　　（２０）次に、（２１）、（２２）式のべき
乗剰余計算によりＣ。

Ｃ−Ｍ　　　　　　ｓｏｄ　　　ｐ　　　　　　　　（
２２）ｑ最後に、（２３）式の計算によりＣを求める。（ステッ
プ３５）。

Ｃ−Ｃｑｘ　　＋Ｃｐｘ　　ｍｏｄｎ　　（２３）ｑｑ
ｐＣを出力して、復号変換（および署名作成）処理は終了
する（ステップ３６）。

第４図に、ユーザが復号変換に用いる鍵のサイズに制約
を加える別な方法の鍵生成手順を示す。

まず、１０進１００桁程度の大きさの素数を２つ・生成
し、ｐ、ｑとする４１）。この２数の積をｎとする（ス
テップ４２）。また、ｐ−１とｑ−１の最少公倍数（Ｌ
ＣＭ）を求め、これをＬとする（ステップ４３）。次に
、予め制限した大きさの乱数を生成し、ｄとする（ステ
ップ４４）。このｄとＬの最大公約数（Ｇ　ＣＤ）を計
算する。ＧＣＤが１でない場合には、（ステップ４３）
へ戻り、別のｄを生成する（ステップ４４）。最後に、
法りの上でのｄの送元を計算し、ｅとする（ステップ４
５）。

この第４図に示した手順を第２図に示した手順と比較す
る。第４図の方法の秘密鍵ｄをｂビットと定めると、秘
密鍵ｄのサイズを小さくしたことにより、総当り的にｄ
を探索する攻撃に対して安全性が低下し、２ｂ個の鍵を
探索すれば秘密鍵が発見されることになる。第２図の方
法でも、総当り的に秘密鍵を探索する攻撃に対しては、
同様に安全性が低下する。（１６）式のｄ　　、ｄ　　
のビットｑ数をＷビットすると、ｄ　　、ｄ　　の組み合わせでｑある２２Ｖ個の鍵の組み合わせを探索すれば秘密鍵の組
が発見される。このような総当り攻撃に対する安全性を
同程度に保った・めには、第４図の方法に対して定めた
ｄのビット数（−ｂビット）の半分のサイズ（−ｂ／２
ビット）にｄ　　、ｄ　　を設ｑ定すればよい。第４図の方法に対して、復号変換の高速
計算法を用いる場合と、第２図の方法との処理量を比較
する。法となるｐ、ｑのサイズは両方式で同じであると
して、さらに総当り攻撃に対して同程度の安全性になる
ように鍵のサイズを定めた場合を考える。通常、法ｐ、
ｑのサイズに比べてｂは小さいと考えてよい。従って、
ｄ　。

ｄ　のサイズがそれぞれ半分になっているので第２図の
方法の処理量は′Ｍ４図の方法の１／２になる。

第５図は、第２図に示した鍵生成手順を実現する鍵生成
装置５０のブロック図である。２１の素ｐ、ｑの生成は
素数発生器５１で行われ、ｐ、　　ｑは外部に出力され
る。これらｐ、ｑを用いたｎの計算２２は乗算器５３で
行われ、ｎは外部に出力される。２３．２４のｇ、Ｌの
計算ＧＣＤ、ＬＣＭ計算器５２で行われる。２５の乱数
ｄ　　、ｄ９の生成は５５の乱数発生器で行われ、これ
らｄ、、ｄ　　に対する２６．２７の判定は判定器５４
で行われ、判定を通ったｄ　　、ｄ　　は外部に出ｑ力される。これらｄ　　、ｄ　　に対する連立合同式２
８の解法は５６の連立合同式解法装置で行われる。最後
に、２９のｅの計算が、５７の逆元計算器で行われ、ｅ
は外部に出力され、鍵生成は終了する。

第６図は、第４図に示した鍵生成手順を実現する鍵生成
装置６０のブロック図である。４１の素数ｐ、ｑの生成
は素数発生器６１で行われ、ｐ。

ｑは外部に出力される。これらｐ、Ｑを用いたｎの計算
４２は乗算器６３で行われ、ｎは外部に出力される。４
３のしの計算はＬＣＭ計算器６２で行われる。４４の乱
数ｄの生成は６５の乱数発生器で行われ、このｄに対す
る４５の判定は判定器６４で行われ、判定を通ったｄは
外部に出力される。最後に、４６のｅの計算が、６６の
逆元計算器で行われ、ｅは外部に出力され、鍵生成は終
了する。

［発明の効果］以上詳述してきたように、ＲＳＡ暗号の高速復計算時間
に相当する。従来、鍵に何も制約を付けない場合には、
ｄ　　、ｄ　　のサイズは法である素数ｐ、ｑのサイズ
（１０進１００桁程度）に一致し、べき乗剰余計算に必
要となる乗剰余乗算の回数が７５０５０回程要であった
。本発明は、ｄ　。

ｄ　のサイズに制約を加えるものであり、例えばｄ　　
、ｄ　　をそれぞれ３２ビツト（１０進１０桁ｑ程度）に設定した場合には、べき乗剰余計算に必要とな
るべき乗剰余計算の回数が９６回程度となり、従来の高
速復号変換に比べて約８倍高速化される。このようにｄ
　　、ｄ　　を小さく選んでも、ｑｄの大きさはｐ、ｑ程度となり、ｄの総当り攻撃に対す
る安全性は劣化しない。また、ｄｐ、ｄｑ９に対する総
当り攻撃に対しては、ＤＥＳと同程度の安全性を確保で
きる。

【図面の簡単な説明】

第１図は、本発明の一実施例である情報通信システムの
一構成図、第２図は、本発明の一実施例であるＲ８Ａ暗
号の鍵生成手段を示した図、第３図は、復号変換の処理
手順を示した図、第４図は、本発明の別の実施例である
がＲＳＡ暗号の鍵生成手順を示した図、第５図は、第２
図の鍵生成手順を実行する鍵生成装置のブロック図、第
６図は、第４図の鍵生成手順を実行する鍵生成装置のブ
ロック図である。１００．２００　・・・演算装置、１１０．２１０　・
・・端末、５００　・・・通信路、５０．８０・・・鍵
生成装置、５１．６１・・・素数発生器、５２・・・Ｇ
ＣＤ、ＬＣＭ計算器、６２・・・ＬＣＭ計算器、５３．
６３・・・乗算器、５４．６４・・・判定器、５５．６
５・・・乱数発生器、５Ｂ・・・連立合同式解法装置、
５７．６８・・・逆元計算器。

Claims

【特許請求の範囲】

（１）ＲＳＡ暗号を利用する情報通信システムにおいて
、秘密鍵ｄの大きさをある値の範囲内に制限して、前記
秘密鍵ｄを生成する秘密鍵生成手段と、前記秘密鍵ｄか
ら公開鍵ｅを生成する公開鍵生成手段とを具備し、前記
秘密鍵ｄと前記公開鍵ｅを用いて暗号処理を行うことを
特徴とする暗号方式。
（２）ＲＳＡ暗号を利用する情報通信システムにおいて
、第一に、２つの素数ｐ、ｑを生成し、このｐ、ｑの積
を第１の公開鍵ｎとする公開鍵生成手段と、ｄ＿ｐ、ｄ
＿ｑの大きさをある値の範囲内に制限して、前記ｄ＿ｐ
、ｄ＿ｑを決め、前記素数ｐ−１を法とする代数系の上ではｄ＿ｐと合同
であり、また前記素数ｑ−１を法とする代数系の上では
ｄ＿ｑと合同であるような秘密鍵ｄを生成する秘密鍵生
成手段と、前記秘密鍵ｄから公開鍵ｅを生成することを特徴とする
暗号方式。