JPH08202263A - 暗号化システムでの羃乗演算方法及びその装置 - Google Patents

Abstract

(57)【要約】 【目的】 暗号化システムで要求される固定した基本要
素を基にするモジュラ羃乗演算をより速く遂行するため
の羃乗演算方法及びその装置を提供する。 【構成】 指数Ｒのビット列を分割する指数分割過程
と、前記指数Ｒからビット列Ｒ_i,j を生成する過程と、
前記Ｒ_i,j を二進数形態で生成する過程と、ｇ_i を基数
ｇを利用して生成する過程と、ｇ^R を前記Ｒ_i,j および
ｇ_i を利用して生成する過程と、整数ｆおよび整数ｊに
対してＧ[j][f]を計算して記憶する過程と、ｇ^R を計算
する過程を含み、非常に簡単でありながらもより良い性
能をなし得る。また、本方法は広い範囲の時間−記憶容
量のトレードオフにより多様な計算環境に融通性よく応
用可能である。特に、非常に小さい記憶部を備えるスマ
ートカードによる計算速度を根本的に向上させる。さら
に、本発明はｇ^R ｙ^E 形態の計算速度も向上させる。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、暗号化システムにおい
て要求される固定した基本要素を基とするモジュラ羃乗
演算を、より速く遂行するための羃乗演算方法及びその
装置に係り、特に固定した基本要素に依存する事前計算
テーブルを利用した羃乗演算方法及びその装置に関す
る。

【０００２】

【従来の技術】１９７６年に Diffie と Hellmanとによ
り初めて公開鍵暗号システムの概念が紹介されて以来、
大部分の暗号プロトコルが公開鍵暗号方式に基づいて開
発されてきた。公開鍵暗号システムは、数学的に非常に
難しい問題の一方向性を利用して公開鍵と秘密鍵とを計
算することにより、公開鍵が知られてもここから秘密鍵
を導くのが計算上不可能である事実を利用している。

【０００３】数学的に難しい問題の代表的な例が、有限
グループでの離散的対数問題と合成数を素因数分解する
問題とである。ところが、このような問題に基づいて設
計された暗号システムは、適法な使用者にとっても、従
来の暗号システムに比べて計算量が多くて速度が遅いと
いう短所を有する。したがって、計算量を減らすための
アルゴリズムの開発が重要な研究分野となっている。

【０００４】公開鍵暗号システムで要求される最も一般
的な演算が、有限グループ（代表的に多く使用されるグ
ループとしては、整数リングや有限体（Finite Field）
上の掛け算群、有限体上で定義された楕円曲線上の足し
算群などがある）での羃乗演算である。一般的に、羃乗
演算とはグループのランダムな２つの要素ＸとＲとに対
してＸ^R を計算することを言う。多くの暗号プロトコル
でグループの固定した基本要素ｇを基にランダムな指数
Ｒに対して羃乗ｇ^R を計算するのが必要である。その例
として、離散的対数問題の難しさを利用する大部分のプ
ロトコル、特に最も基本的な暗号プロトコルに属する識
別およびディジタル署名方式がある。

【０００５】与えられたグループ（普通Ｚ_N 、ここで、
Ｎは大きい素数又は２つの大きい素数の積）での速い羃
乗演算の問題は、大部分の公開鍵暗号化システムの効率
的な遂行に非常に重要である。以下では、便宜上計算が
Ｚ_N に対して遂行されると仮定し、したがって掛け算は
“multiplication mod Ｎ”を意味する。以下の説明に
おいて、ｇはＺ_N の固定した要素、Ｒは［０，２ⁿ ）で
のｎビットランダム指数として使用される。整数Ｓに対
するＳのビット長さ又は集合Ｓに対するＳのカージナリ
ティ（cardinality)は｜Ｓ｜で表記される。また、ｘよ
り小さくない最小整数は「ｘ（例えば、「1.29＝２）、
ｘより大きくない最大整数はｘ」（例えば、1.29」＝
１）で表記される。

【０００６】典型的な羃乗演算方法は、自乗と掛け算
（square-and-multiply)方法として知られる二進アルゴ
リズムを使用する。５１２ビットの法（modulus)と指数
に対して、該方法は平均７６６回の掛け算、最悪の場合
に１０２２回の掛け算が必要である。符号二進アルゴリ
ズムは、平均６８２回、最悪の場合でも７６８回にまで
必要な掛け算の数を減らすことができる。

【０００７】一方、中間値のための適度な記憶部を使用
すると、その遂行能力をさらに相当向上させることがで
きる。Ｄ．Ｅ．Ｋnuth“The art of computer programm
ing”，Vol. 2 : Seminumerical algorithms, second E
dition, Addison-wesley, 1981 の５ウインドウアルゴ
リズムは、１６回の掛け算のオンライン事前計算を含め
て、平均およそ６０９回の掛け算で羃乗演算ができる。

【０００８】羃乗演算について知られたもののうち最も
速いアルゴリズムは、アディションチェーン（addition
chain）に基づくウインドウ方法であり、ここで“１
０”のようにさらに大きいウインドウを使用することが
できるが、中間値のためのさらに多くの記憶部が要求さ
れる。最も短いアディションチェーンを捜すのが、ＮＰ
完全問題（complete problem）であるが、発見的な解決
法を適用して、およそ長さ６０５のアディションチェー
ンが計算され得ると報告されている。

【０００９】このような一般的な方法は、ＲＳＡ（すな
わち、R.L.Rivest, A.Shamir and L.Adleman “A metho
d for obtaining digital signatures and public-key
cryptosystems”, communication ACM, 21(2), 120-12
6, 1978 ）、およびElGamal（Ｔ．ElGamal “A public
key cryptosystem and a signature scheme based on t
he discrete logarithm”, IEEE Transaction Informat
ion Theory 31(4),469-472, 1985) のように羃乗演算を
要求するいずれの暗号化システムにも使用され得る。

【００１０】

【発明が解決しようとする課題】しかしながら、離散的
対数問題に基づく多くの暗号プロトコルにおいては、固
定した基数ｇおよびランダムに選択された指数Ｒに対す
るｇ^R を計算する必要がある。固定した基本要素によ
り、要求される掛け算の数を減らすために事前計算テ−
ブルを使用できるが、勿論事前計算値のための記憶部が
必要である。

【００１１】本発明の目的は、公開鍵暗号システムで固
定した基本要素に依存する事前計算テ−ブルを利用し
て、羃乗演算をより高速に行える羃乗演算方法及びその
装置を提供することである。本発明で提示した方法は、
上記いずれのグループにでも適用が可能である。

【００１２】

【課題を達成するための手段】前記目的を達成するため
に、本発明による暗号化システムでの羃乗演算方法は、
暗号化システムで固定要素ｇとランダムに選択されたｎ
ビット指数Ｒに対して羃乗演算ｇ^R を計算するための羃
乗演算方法において、（ａ）前記指数Ｒのビット列を所
定数ｈのブロックに分割し、前記分割された各ブロック
のビット列を所定数ｖの副ブロックに分割して、前記指
数Ｒのビット列をｖ列およびｈ行からなるｈ×ｖ配列に
分割する指数分割過程と、（ｂ）各ブロックおよび副ブ
ロックの位置に対応する値を考慮し、前記指数Ｒから次
式のようにｉ番目行に当たるブロックのビット列Ｒ_i お
よびｉ番目行のｊ番目列に該当する副ブロックのビット
列Ｒ_i,j を生成する過程と、

【００１３】

【数１２】

【００１４】（ｃ）前記Ｒ_i,j を０より大きくｈより小
さい全ての整数ｉ、および０と同じか大きくｖより小さ
い全ての整数ｊに対して、次式のように二進数の形態で
生成する過程と、

【００１５】

【数１３】

【００１６】ここで、ｅ_i,jb+kは、指数Ｒのｉ番目行の
ｊ番目列のブロックに該当するビット列Ｒ_i,j のｋ番目
ビットの値、（ｄ）０より大きくｈより小さい全ての整
数ｉに対して、ｇ_i を次式のように前記基数ｇを利用し
て生成する過程と、

【００１７】

【数１４】

【００１８】（ｃ）ｇ^R を前記（ｃ）過程でのＲ_i,j お
よび前記（ｄ）過程でのｇ_i を利用して、次式のように
生成する過程と、

【００１９】

【数１５】

【００２０】（ｆ）０より大きく２^h より小さい全ての
整数ｆ（ここで、ｆは二進数でｅ_{h- 1} ，ｅ_h-2 …ｅ₁ ，
ｅ₀ の形態で表わされる）、および０と同じか大きくｖ
より小さい全ての整数ｊに対して、次の値を計算して記
憶する過程と、

【００２１】

【数１６】

【００２２】（ｇ）前記記憶された計算値を利用して、
次式によりｇ^R を計算する過程と、

【００２３】

【数１７】

【００２４】ここで、Ｉ_j,k は、ｊ番目の副ブロックに
該当するビット列でｋ番目に位置するビットの、ｉが０
からｈ−１までの全てのブロックに亙るｈビットの大き
さのビット列からなる値、を含むことを特徴とする。こ
こで、前記（ａ）過程では、前記副ブロック内に含まれ
るビットの数がほぼ同一になるように分割する。また、
前記（ａ）過程では、前記副ブロック内に含まれるビッ
トの数が相異なるように分割する。また、前記（ｇ）過
程では、ｖが２つの整数ｐとｗの積（ｖ＝ｐｗ）で表わ
される場合に、ｐ個のプロセッサを備え、ｉ（ｉ＝０，
…，ｐ−１）番目のプロセッサが次式による演算を遂行
して、

【００２５】

【数１８】

【００２６】並列処理する。又、本発明による暗号化シ
ステムでの羃乗演算方法は、暗号化システムで固定要素
ｇとランダムに選択されたｎビット指数Ｒに対して羃乗
演算ｇ^R を計算するための羃乗演算方法において、
（ａ）前記指数Ｒのビット列を所定数ｈのブロックに分
割し、前記分割された各ブロックのビット列を所定数ｖ
の副ブロックに分割することにより、前記指数Ｒのビッ
ト列をｖ列およびｈ行からなるｈ×ｖの配列とする指数
分割過程と、（ｂ）各副ブロックに含まれるビットの数
をｂとした場合に、０より大きく２ ^h より小さい全ての
整数ｆ（ここで、ｆは二進数でｅ_h-1 ，ｅ_h-2 …ｅ₁ ，
ｅ₀の形態で表わされる）、および０と同じか大きくｖ
より小さい全ての整数ｊに対して、次の値を計算して記
憶する過程と、

【００２７】

【数１９】

【００２８】（ｃ）前記記憶された計算値を利用して、
次式によりｇ^R を計算する過程と、

【００２９】

【数２０】

【００３０】ここで、Ｉ_j,k は、ｊ番目の副ブロックに
該当するビット列でｋ番目に位置するビットの、ｉが０
からｈ−１までの全てのブロックに亙るｈビットの大き
さのビット列からなる値、を含むことを特徴とする。
又、本発明による暗号化システムでの羃乗演算装置は、
暗号化システムで固定要素ｇとランダムに選択されたｎ
ビット指数Ｒに対して羃乗演算ｇ^R を計算するための羃
乗演算装置において、（ａ）入力された前記指数Ｒのビ
ット列を、所定数ｈのブロックに分割し、前記分割され
た各ブロックのビット列を所定数ｖの副ブロックに分割
することにより、ｖ列およびｈ行からなるｈ×ｖの配列
とする指数分割手段と、（ｂ）各副ブロックに含まれる
ビットの数をｂとした場合に、０より大きく２ ^h より小
さい全ての整数ｆ（ここで、ｆは二進数でｅ_h-1 ，ｅ
_h-2 …ｅ₁ ，ｅ₀の形態で表わされる）、および０と同
じか大きくｖより小さい全ての整数ｊに対して、次の値
を計算する事前計算手段と、

【００３１】

【数２１】

【００３２】（ｃ）前記事前計算手段で計算された値
を、ｊ及びｆの値に対応して記憶する記憶手段と、
（ｄ）前記記憶された計算値を利用して、次式によりｇ
^R を計算する羃乗計算手段と、

【００３３】

【数２２】

【００３４】ここで、Ｉ_j,k は、ｊ番目の副ブロックに
該当するビット列でｋ番目に位置するビットの、ｉが０
からｈ−１までの全てのブロックに亙るｈビットの大き
さのビット列からなる値、を含むことを特徴とする。

【００３５】

【作用】かかる構成により、事前計算による速い羃乗演
算のための新しい方法が提示されたことにより、非常に
簡単でありながらもＢＧＭＷ方法よりもさらに優れた演
算性能を達成し得る。

【００３６】

【実施例】以下、先ず従来のＢＧＭＷ（すなわち、E.F.
Brickell, D.M.Gordon, K.S.McCurley and D.Wilson
“Fast exponentiation with precomputation”, In Pr
oc.Eurocrypt'92, Balatonfured, Hungary, 1992 ）方
法について簡単に調べた後、本発明の実施例を詳細に説
明し、更にこれらの方法による遂行能力を図面を利用し
て比較説明する。

【００３７】＜ＢＧＭＷ方法＞先ず、Eurocrypt ′92に
おいて、Brickell，Gordon，McCurley，Wilsonにより提
案された従来の事前計算方法であるＢＧＭＷ方法を簡単
に考察する。Eurocrypt ′92において、Brickellなどは
ｇ^R の計算速度を向上させるための方法を提案した。か
れらの基本戦略は、指数Ｒを基数ｂで次のように表現
し、全ての羃乗

【００３８】

【数２３】

【００３９】を事前計算する。 Ｒ＝ｄ_t-1 ｂ^t-1 ＋…＋ｄ₁ ｂ¹ ＋ｄ₀ 但し、０≦ｄ_i ＜ｂ（０≦ｉ＜ｔ） すると、ｇ^R は次の式により計算される。

【００４０】

【数２４】

【００４１】基数ｂに対する基本ディジットセットを使
用して、要求される記憶容量が増加する反面、計算時間
をさらに減少するように基本技法を拡張させ得る。ＢＧ
ＭＷ方法をさらに詳細に説明する。もし、ある整数が集
合Ｄからのディジットを使用して基数ｂで表わされると
すると、整数Ｄの集合は基数ｂに対する基本ディジット
集合と称される。次の式(1) が基数ｂに対する基本ディ
ジット集合となるように、乗数の集合Ｍおよびパラメー
タｈが選択できると仮定する。

【００４２】 Ｄ（Ｍ，ｈ）＝｛ｍｋ｜ｍ∈Ｍ，０≦ｋ≦ｈ｝ …(1) すると、ｎビット指数Ｒは次の式(2) のように表わされ
る。

【００４３】

【数２５】

【００４４】このようなＲの表現で、ｇ^R は式(3) によ
り計算される。

【００４５】

【数２６】

【００４６】したがって、もし［全てのｉ＜ｔおよびｍ
∈Ｍ］に対して、羃乗

【００４７】

【数２７】

【００４８】を予め計算して記憶すると、ｇ^R は次のア
ルゴリズムにより約ｔ｜Ｍ｜の事前計算値を利用して、
多くて（ｔ＋ｈ−２）回の掛け算で計算され得る。

【００４９】

【数２８】

【００５０】前記のアルゴリズムにより遂行される掛け
算の数は、最悪の場合（ｔ＋ｈ−２）回、ｗ＝１，…，
ｈに対して

【００５１】

【数２９】

【００５２】の形態の積を計算するための（ｔ−ｈ）回
の掛け算、およびフォーループ（for-loop）のための
（２ｈ−２）回の掛け算、であり、平均｛ｔ（ｂ−１)
／ｂ＋ｈ−２｝回（ランダムに選択された指数に対し
て、ｔ／ｂディジットは“０”と予想される）であるこ
とが容易に分かる。Ｄに対する最も明らかな例は、基数
ｂの数系（Ｍ＝｛１｝，ｈ＝ｂ−１，ｔ＝「log_b(2ⁿ −
1)）である。５１２ビット指数に対して、ｂ＝２６の選
択は予想される掛け算の数を最小化する。このような基
本的な技法は、平均１２７．８回、最悪の場合１３２回
の掛け算および１０９個の事前計算値のための記憶部を
要求する。さらに適切な基数の選択はｂ＝３２である。
なぜならば、指数Ｒに対するディジットは１回に５ビッ
トを抽出することにより、基数変換（radix conversio
n）なく計算され得るからである。この基数において要
求される掛け算の数は、平均的な場合で只１つのみ増加
し、最悪の場合にも変わらず維持される。

【００５３】この基本技法が、可用な記憶部が小さい場
合には明白な選択であるとしても、記憶部の数が１０９
以下に下がるにつれ遂行能力が相当落ちる。これによ
り、ＢＧＭＷ方法は、可用な記憶部が非常に小さい場合
に、その計算を遂行するための効率的な方法が提供でき
ないことが分かる。また、Brickellなどは、勿論事前計
算値のためにさらに多くの記憶部を利用するが、要求さ
れる掛け算の数を減少させるために他の数系を利用する
さまざまな技法を提供した。極端な例の１つは、集合Ｍ
を次の式のように選択する。

【００５４】 Ｍ₂ ＝｛ｍ｜１≦ｍ＜ｂ，ｗ₂(ｍ）＝０ ｍｏｄ ２｝ ここで、ｗ_p (m) はｍを割れるｐの最高羃乗である（例
えば、ｗ₂(４０）＝３。すると、１≦ｄ_i ＜ｂにおい
て、あるｍ∈Ｍ₂ に対してｄ_i ＝ｍ又はｄ_i ＝２ｍとな
る（すなわち、ｈ＝２）。このように、｜Ｍ₂ ｜「log
_b (2ⁿ −1)個の値に対する記憶部を備えると、ｇ^R は平
均ｔ回の掛け算、最悪の場合でもｔ（ｂ−１) ／ｂ回の
掛け算で計算され得る。例えば、ｂ＝２５６（ｔ＝６
４，｜Ｍ₂ ｜＝１７０）を採用すると、平均１０８８０
個の事前計算値で平均６３．７５回の掛け算となる。Br
ickellなどが提示した２つのテ−ブルを、本実施例の方
法による結果と比較するために、図６の（Ａ），（Ｂ）
に示す。

【００５５】＜本実施例の羃乗演算方法＞次いで、本実
施例による事前計算テ−ブルを利用したｇ^R の速い計算
のための羃乗演算方法を説明する。本方法は、もしｎビ
ット指数Ｒが２つの同一のブロック（すなわち、Ｒ＝Ｒ
₁×２^n/2 ＋Ｒ₀ ）で割られ、

【００５６】

【数３０】

【００５７】が事前に計算されると、ｇ_R を

【００５８】

【数３１】

【００５９】のように計算することにより、要求される
掛け算の数をほぼ半分に減らせるという簡単な観察を一
般化したものである。ここで、二進アルゴリズムについ
てより詳細に説明する。ｎビット指数Ｒを２つの同一の
ブロックに分けると仮定すると、指数Ｒは次のようなＲ
₀ ，Ｒ₁ で示すことができる。

【００６０】

【数３２】

【００６１】すると、ｇ^R は次のように表わされる。

【００６２】

【数３３】

【００６３】そして、ｇ₂ ＝ｇ＊ｇ₁ とすると、ｇ^R を
求めるためのアルゴリズムは次の通りである。

【００６４】

【数３４】

【００６５】前記のアルゴリズムで要求される掛け算の
回数は、最悪の場合で、２（ｋ−１）回、平均で７／４
（ｋ−１）回になり、単にｇ^R を二進アルゴリズムで計
算する時の掛け算の回数（最悪：２（ｎ−１），平均：
３／２（ｎ−１））に比べてほぼ半分に減らせることが
分かる。後述されるように、本願で提案された方法は、
ＢＧＭＷ方法に比べて、可用記憶容量が非常に小さいか
あるいは大きい場合にさらに効率的であり、また広い範
囲で時間−メモリのトレ−ドオフを与えるので、さらに
融通性がよい。また、制限された記憶容量および計算能
力を有するスマ−トカ−ドへの応用では、小さい記憶部
を使用するのが非常に重要であるが、ＢＧＭＷ方法はこ
の場合にそれほど効率的でない。

【００６６】本願で提案された方法の他の利点は、Schn
orr の識別および署名技法やその変形（例えば、Bricke
ll-McCurley 技法および Okamoto技法）の検証に必要な
ｇ^Rｙ^E （ここで、ｙは固定されず、Ｅの大きさはＲの
大きさより一層小さい）を効率的に計算できる。このよ
うな種類の計算において、指数を非二進羃指数で表記す
るのは、オンライン計算の負荷を極めて増加させること
に注目しなければならない。

【００６７】最後に、提案された方法が並列処理にも又
非常に適することを説明する。 ＜指数の分割＞先ず、Ｒをｇ^R を計算するためのｎビッ
ト指数とする。図１のように、指数Ｒをｈ個のブロック
Ｒ_i （０≦ｉ≦ｈ−１、ビット大きさａ＝「（ｎ／
ｈ））に分割し、各Ｒ_i はさらに小さいｖ個の副ブロッ
クＲ_i,j （０≦ｊ≦ｖ−１、ビット大きさｂ＝「（ａ／
ｖ））に分割する。

【００６８】ここで、図１は、グループの固定した基本
要素ｇが与えられた場合、任意のｎビットランダム数Ｒ
に対して、本実施例による事前計算方法を利用して羃乗
ｇ^Rを計算するために、指数Ｒを分割する方法を示した
ものである。 ＜分割ブロックによるｇ^R の表現＞

【００６９】

【数３５】

【００７０】と定義する。すると、式(4) を利用してｇ
^R を次のように表現できる。

【００７１】

【数３６】

【００７２】＜ｇ^R の二進表現＞もし、Ｒ_i ＝ｅ_i,a-1
…ｅ_i,1 ｅ_i,0 がＲ_i （０≦ｉ＜ｈ）の二進表現とする
と、Ｒ_i,j （０≦ｊ＜ｖ）は次のように二進で表記され
る。

【００７３】

【数３７】

【００７４】よって、式 (5)は次のように書き直せる。

【００７５】

【数３８】

【００７６】＜事前計算＞次いで、次の値が全ての１≦
ｉ＜２^h および０≦ｊ＜ｖに対して事前計算されて記憶
されると仮定する。

【００７７】

【数３９】

【００７８】ここで、ｆは、ｅ_h-1 …ｅ₁ ｅ₀ の十進値
と等価である。 ＜羃乗計算＞図２のように事前計算値に対するテ−ブル
が記憶されていると、式(6) は次のように書き直せる。

【００７９】

【数４０】

【００８０】ここで、Ｉ_j,k ＝ｅ_h-1,bj+k…ｅ_1,bj+kｅ
_0,bj+k（０≦ｊ＜ｂ）である（Ｉ_{j, k} は、図１のｊ番目
のブロック列のｋ番目のビットから成る行方向のｈビッ
ト列に対応する）。次のような一般的な自乗と掛け算方
法により、式(8) を使用してｇ^R を直接計算する。該ア
ルゴリズムは、事前計算テ−ブルＧ［ｊ］［ｆ］を利用
して、任意のｎビットランダム数Ｒに対してｇ^R を計算
するものであり、ここで、Ｒは図１のように分割され、
アルゴリズムに使用されるＩ_j,k は該Ｒの配列から読み
出して使用する。

【００８１】

【数４１】

【００８２】＜羃乗演算の具体例＞以上で説明された、
本実施例による羃乗演算方法をさらに詳細に考察するた
めに、具体的な例を通じて説明する。具体例において、
指数Ｒは３２ビットであり、二進数で表わされるＲの値
は次のようであると仮定する。

【００８３】 Ｒ＝01100010101001111001000101011011₍₂₎ ここで、指数Ｒは４（＝ｈ）つのブロックＲ_i （０≦ｉ
≦３）に分割され、各Ｒ_i はさらに小さい３（＝ｖ）つ
の副ブロックＲ_i,j にさらに分割される。すると、各ブ
ロックの大きさａおよび各副ブロックの大きさｂは次の
通りである。 ａ＝「（ｎ／ｈ）＝「（３２／４）＝８ビット ｂ＝「（ａ／ｖ）＝「（８／３）＝３ビット 図３は前述したように、本例で適用される３２ビットの
指数Ｒに対する分割配置図を示すものである。図３を参
照して、指数Ｒは式(4) により次のように表記され得
る。

【００８４】

【数４２】

【００８５】そして、これを具体的に表記すれば次の通
りである。 Ｒ₀ ＝01011011₍₂₎ ＝01₍₂₎ ＊２⁶ ＋ 011₍₂₎ ＊２³ ＋
011₍₂₎ ＊２⁰ Ｒ₁ ＝10010001₍₂₎ ＝10₍₂₎ ＊２⁶ ＋ 010₍₂₎ ＊２³ ＋
011₍₂₎ ＊２⁰ Ｒ₂ ＝10100111₍₂₎ ＝10₍₂₎ ＊２⁶ ＋ 100₍₂₎ ＊２³ ＋
111₍₂₎ ＊２⁰ Ｒ₃ ＝01100010₍₂₎ ＝01₍₂₎ ＊２⁶ ＋ 100₍₂₎ ＊２³ ＋
010₍₂₎ ＊２⁰ ｇ₀ ＝ｇとし、ｇ_i を

【００８６】

【数４３】

【００８７】と定義する。 ｇ₀ ＝ｇ，ｇ₁ ＝（ｇ²⁵⁶)¹ ，ｇ₂ ＝（ｇ²⁵⁶)² ，ｇ₃
＝（ｇ²⁵⁶)³ すると、式(5) によりｇ^R を次のように表現できる。

【００８８】

【数４４】

【００８９】また、Ｒ_i ＝ｅ_i,7 …ｅ_i,1 ｅ_i,0 がＲ_i
（ｉ＝０，１，２，３）の二進表現なので、Ｒ_i,j （ｊ
＝０，１，２）は次のように二進で表わされる。 Ｒ_i,j ＝ｅ_i,j3+2 ｅ_i,j3+1 ｅ_i,j3+0 したがって、ｇ^R は次のように書き直せる。

【００９０】

【数４５】

【００９１】次いで、次の値が全ての〔１≦ｆ＜２4 お
よび０≦ｊ＜３〕に対して事前計算され記憶されると仮
定する。

【００９２】

【数４６】

【００９３】ここで、ｆはｅ₃ ｅ₂ ｅ₁ ｅ₀ の十進値を
いう。すなわち、次の通りである。 Ｇ[0][1]＝ｇ₃ ⁰ｇ₂ ⁰ｇ₁ ⁰ｇ₀ ¹ Ｇ[0][2]＝ｇ₃ ⁰ｇ₂ ⁰ｇ₁ ¹ｇ₀ ⁰ Ｇ[0][3]＝ｇ₃ ⁰ｇ₂ ⁰ｇ₁ ¹ｇ₀ ¹ Ｇ[0][4]＝ｇ₃ ⁰ｇ₂ ¹ｇ₁ ¹ｇ₀ ¹ ・・・・・・・・・・・ Ｇ[0][14] ＝ｇ₃ ¹ｇ₂ ¹ｇ₁ ¹ｇ₀ ⁰ Ｇ[0][15] ＝ｇ₃ ¹ｇ₂ ¹ｇ₁ ¹ｇ₀ ¹ そして、式(7) により、

【００９４】

【数４７】

【００９５】ここで、２³ ＝８，２^j3＝８^j である。例
えば、ｊ＝１に対して、 Ｇ[1][1]＝（Ｇ[0][1]）⁸ Ｇ[1][2]＝（Ｇ[0][2]）⁸ ・・・・・・・・・・・ Ｇ[1][15] ＝（Ｇ[0][15] ）⁸ そして、ｊ＝２に対して、 Ｇ[2][1]＝（Ｇ[1][1]）⁸ ＝〔（Ｇ[0][1]）⁸ 〕⁸ ＝（Ｇ[0][1]）⁶⁴ Ｇ[2][2]＝（Ｇ[1][2]）⁸ ＝〔（Ｇ[0][2]）⁸ 〕⁸ ＝（Ｇ[0][2]）⁶⁴ ・・・・・・・・・・・ Ｇ[2][15] ＝（Ｇ[1][15] ）⁸ ＝〔（Ｇ[0][15] )⁸〕⁸ ＝（Ｇ[0][15])⁶⁴ 次に示した図４は、前述したような方法により求められ
た事前計算値Ｇ[j][f]をメモリに記憶する配列形態、お
よびここに記憶される値を示す。

【００９６】すると、ｇ^R は式(8) により次のように書
き直せる。

【００９７】

【数４８】

【００９８】ここで、Ｉ_j,k ＝ｅ_3,3j+kｅ_2,3j+kｅ
_1,3j+kｅ_0,3j+k（０≦ｊ＜３）である。全てのｊおよび
ｋに対してＩ_j,k を計算すると次の通りである。 Ｉ_0,0 ＝ｅ_3,0 ｅ_2,0 ｅ_1,0 ｅ_0,0 ＝０１１１₍₂₎ ＝７ Ｉ_0,1 ＝ｅ_3,1 ｅ_2,1 ｅ_1,1 ｅ_0,1 ＝１１０１₍₂₎ ＝１３ Ｉ_0,2 ＝ｅ_3,2 ｅ_2,2 ｅ_1,2 ｅ_0,2 ＝０１００₍₂₎ ＝４ Ｉ_1,0 ＝ｅ_3,3 ｅ_2,3 ｅ_1,3 ｅ_0,3 ＝０００１₍₂₎ ＝１ Ｉ_1,1 ＝ｅ_3,4 ｅ_2,4 ｅ_1,4 ｅ_0,4 ＝００１１₍₂₎ ＝３ Ｉ_1,2 ＝ｅ_3,5 ｅ_2,5 ｅ_1,5 ｅ_0,5 ＝１１００₍₂₎ ＝１２ Ｉ_2,0 ＝ｅ_3,6 ｅ_2,6 ｅ_1,6 ｅ_0,6 ＝１００１₍₂₎ ＝９ Ｉ_2,1 ＝ｅ_3,7 ｅ_2,7 ｅ_1,7 ｅ_0,7 ＝０１１０₍₂₎ ＝６ 式(8a)を利用してｇ^R を前述したアルゴリズムによって
計算する。

【００９９】先ずｋ＝２に対して、

【０１００】

【数４９】

【０１０１】ｋ＝１に対して、

【０１０２】

【数５０】

【０１０３】ｋ＝０に対して、

【０１０４】

【数５１】

【０１０５】したがって、

【０１０６】

【数５２】

【０１０７】ここで、２² ＝４，２¹ ＝２，２⁰ ＝１で
ある。以上で具体的な例を通じて事前計算テーブルを利
用した羃乗演算方法を詳細に説明した。勿論指数Ｒの大
きさは説明を簡単にするために３２ビットであると仮定
したが、一般に５１２ビット又はそれ以上のビットの大
きさを有するＲに対しても、同一の方法により本実施例
の具体的例と同様に説明され得る。

【０１０８】＜演算回数の評価＞次に、前述したような
アルゴリズムにより要求される掛け算の回数を数える。
図１の（ｖ−１）番目のブロックは、ｂビットで満たさ
れないこともあることに注目しなければならない。事実
上、それは（ｂｖ−ａ）ビットである。このように内部
のフォーループ(for-loop)で共に乗じられる項の数は、
一番目の（ｂｖ−ａ）ラウンドに対するｖ回、およびそ
の余りの（ｂ−ｂｖ＋ａ）ラウンドに対する（ｖ＋１）
回である。よって、要求される全体の掛け算の回数は、
最悪の場合、多くて｛ｖ（ｂｖ−ａ）＋（ｖ＋１)(ｂ−
ｂｖ＋ａ）−２｝＝（ａ＋ｂ−２）回である。Ｉ_j,k が
“０”である確率が１／２^h であり、前記アルゴリズム
によりＩ_j,k が平均ａ回発生すると仮定できるために、
平均的な掛け算の回数は｛ａ（２^h −１）／２^h ＋ｂ−
２｝回で与えられる。もちろん、このような遂行能力
は、（２^h −１）ｖ個の事前計算値に対する記憶部を具
備して達成される。

【０１０９】＜分割方法の考察＞前述したように、指数
Ｒはほぼ同一の大きさの（ｈ×ｖ）ブロックに区分さ
れ、これらの（ｈ×ｖ）ブロックは（ｈ×ｖ）の四角形
で配列されると仮定した。大部分の場合に、このような
分割と配列とは、与えられた記憶容量に対して他のもの
よりさらに良い遂行能力を発揮するが、ある場合にはそ
うでないこともある。

【０１１０】例えば、図５はほぼ同一の記憶部を要求す
る２つの相異なる構成を示したものであり、図５に示し
た２つの構成、すなわち５１２ビット指数が２つの相異
なる方式に分割され配列された構成を考察する。１番目
の構成は（５×５）の構成で、前記において分析した場
合に該当し、１５５個の値に対する記憶部を具備し、平
均１１８．７８回の掛け算（最悪の場合１２２回）とい
う遂行能力を示す。一方、２番目の構成は、（５×１｜
６×２）の構成で１５７個の値に対する記憶部を使用し
て、平均１１７．１３回の掛け算（最悪の場合１１９
回）で羃乗演算ができる。よって、２番目の構成の方が
さらに良い選択であることが分かる。

【０１１１】｛ｈ₁ ×ｖ₁ ｜ｈ₂ ×ｖ₂ （ｈ₁ ＜ｈ
₂ ）｝型の構成で、最悪／平均の場合での遂行能力に対
する一般的な公式を容易に引き出すことができる。ｂ₁
およびｂ ₂ をそれぞれ（ｈ₁ ×ｖ₁ ）および（ｈ₂ ×ｖ
₂ ）に区分されたブロックの大きさとする。さらに良い
遂行能力のために、ｂ₂ はｂ₁ より大きいか等しくなけ
ればならないので、（ｈ×ｖ）構成でのｂのような方法
により得られる。このように、ｂ₁ およびｂ₂ は次のよ
うに求められる。

【０１１２】ｂ₂ ＝「（ｎ／（ｈ₁ ｖ₁ ＋ｈ₂ ｖ₂ ）） ｂ₁ ＝「（（ｎ−ｂ₂ ｈ₂ ｖ₂ ）／ｈ₁ ｖ₁ ） 該構成で要求される最悪の場合の掛け算の回数は、（ｈ
×ｖ）構成に対する公式からａを（ｈ₁ ｖ₁ ＋ｈ₂ ｖ
₂ ）に、そしてｂをｂ₂ にそれぞれ置換することにより
直接求められる。これは最悪の場合、｛ｂ₁ ｖ₁ ＋ｂ₂
（ｖ₂ ＋１）−２｝回の掛け算という結果になる。同様
に、平均的な掛け算の回数は次の式の通りである。

【０１１３】

【数５３】

【０１１４】このような遂行能力は、

【０１１５】

【数５４】

【０１１６】個の事前計算値に対する記憶部を具備して
達成される。２つの構成形態である（ｈ×ｖ）および
｛ｈ₁ ×ｖ₁ ｜ｈ₂ ×ｖ₂ （ｈ₂ ＝ｈ ₁ ＋１）｝と異な
るいずれの構成も、与えられた記憶容量に対してより良
い遂行能力が示せないことが容易に分かる。 ＜ＢＧＭＷ方法と本方法との比較＞ＢＧＭＷ方法と本実
施例の方法による遂行能力を比較するために、５１２ビ
ットの法に対する掛け算の回数および要求される記憶容
量を、１６０ビットおよび５１２ビットの指数のそれぞ
れについて、ＢＧＭＷ方法を図６に、本実施例を図７，
図８にそれぞれ示した。

【０１１７】図６はＢＧＭＷ方法の遂行能力を説明する
ためのものであり、図６の（Ａ）は１６０ビットの指数
について、そして、図６の（Ｂ）は５１２ビットの指数
について、基数ｂ，乗数の集合Ｍ，パラメータｈ，事前
計算値のための記憶容量および最悪の場合と平均的な場
合の掛け算の回数を示している。図７，図８は、提案さ
れた本実施例の遂行能力を説明するためのものであり、
図７は１６０ビットの指数について、そして図８は５１
２ビットの指数について、指数Ｒの構成，事前計算値の
ための記憶容量および最悪の場合と平均的な場合の掛け
算の回数を示している。

【０１１８】本実施例による方法は、ＢＧＭＷ方法に比
べて、さらに簡単であるだけでなく、さらに優れた遂行
能力を示すことに注目せねばならない。特に、広い記憶
容量の範囲に対する効率性のために、本方法は可用な記
憶容量に対応して多様なコンピュータ環境に融通性よく
応用できる。例えば、スマートカードによる計算速度を
高めるために、（４×２）構成が選択できる。すると、
５１２ビットの係数および指数に対して、ｇ^R の計算は
１９２０バイト（ここで、１つの事前計算のための記憶
容量は５１２ビット（６４バイト）が必要である）の記
憶部により、平均１８２回の掛け算で行われる。反面、
比較的に大きい記憶部が使用可能なら、約３２Ｋバイト
の記憶部で平均９０．４２回の掛け算を遂行する、例え
ば（７×４）構成が選択できる。

【０１１９】＜識別及び署名検証例＞次に、識別および
署名検証において、どのようにして計算速度を向上させ
得るかについて説明する。離散的対数問題に基づいて、
多くの識別およびディジタル署名技法が開発されてい
る。このような全ての技法で、些かのモジュラ掛け算と
共に、証明者(prover)（又は署名者(signer)）はランダ
ムＲに対するｇ^R を計算する必要があり、これは以上説
明された方法により効率的に遂行され得る。

【０１２０】一方、識別又は署名を確認するために、検
証者（verifier）はｇ^R ｙ^E 形態の計算を遂行する必要
がある（ここで、ｙは証明者（又は署名者）の公開鍵に
該当し、よって、プロトコルの各ラン(run) で変わ
る）。Ｅの大きさは大体識別技法において２０と４０と
の間に置かれ、その対応する署名技法ではおよそ８０で
ある。

【０１２１】次に、ｇ^R ｙ^E を計算するために提案され
た方法の性能を調べる。ｔをＥの大きさとする。もし、
ｔ≦ｂなら、ｇ^R ｙ^E は最悪の場合に（ａ＋ｂ＋ｔ−
２）回の掛け算で、平均｛ａ（２^h −１）／２^h ＋ｂ＋
0.5t−２｝回の掛け算で計算され得ることは明らかであ
る。ｔ＞ｂの場合には、上記のように進行したり、又は
Ｅをさらに小さいブロックに区分した後、計算すること
もできる。

【０１２２】１番目の場合は、最悪の場合に（ａ＋２ｔ
−２）回の掛け算で、平均｛ａ（２ ^h −１）／２^h ＋1.
5t−２｝回の掛け算で計算が遂行される。しかしなが
ら、もしｔがｂより非常に大きいならば、Ｅをさらに小
さいブロックに分けることにより、その遂行能力をさら
に向上させ得る。したがって、さらに一般的な公式のた
めに、Ｅがほぼ同じ大きさのｕブロックに区分されると
仮定する（ｇ^R ｙ^E を計算するための全体構成を（ｕ×
１｜ｈ×ｖ）と考える）。

【０１２３】ｃを区分されたブロックのビット長さとす
る（すなわち、ｃ＝「（ｔ／ｕ））。すると、先ずｋ＝
１，２，…，ｕ−１に対する

【０１２４】

【数５５】

【０１２５】およびそれらの組合可能な各掛け算を計算
しなければならず、これら全てでは｛（ｕ−１）ｃ＋２
^u −ｕ−１｝回の掛け算が必要である。注目のｔの範囲
（すなわち、ｔ＝８０までの範囲）に対して、ｕは多く
て３を採る。もし、ｃ≦ｂなら、最悪の場合に最大ｃ回
の掛け算の追加で十分である（平均｛ｃ（２^u −１）／
２^u ｝回）。したがって、この場合に要求される掛け算
の全体回数は次の通りである。

【０１２６】最悪の場合：（ａ＋ｂ＋ｕｃ＋２^u −ｕ−
３）回 平均：［ａ（２^h-１)/２^h ＋ｂ＋ｃ（ｕ２^u-１)/２^u ＋
２^u −ｕ−３］回 同様に、ｃ＞ｂの場合に対して、掛け算の数は次の通り
である。 最悪の場合：｛ａ＋（ｕ＋１）ｃ＋２^u −ｕ−３｝回 平均：［ａ（２^h-１)/２^h ＋ｃ{(ｕ＋１）２^u −１}/２
^u ＋２^u −ｕ−３］回 本願で提案された方法により、Schnorr のような識別お
よび／又は署名技法が、スマートカード上においてさら
に実用的に実現される。例えば、５１２ビットの法，１
６０ビットの指数およびｔ＝３０の場合、もし１９２０
バイトの記憶部が使用可能なら（４×２構成）、検証状
態は平均８０．５回の掛け算で検査される。同様に、ｔ
＝８０の署名は、同じ記憶部を使用して、平均１４４．
１３回の掛け算で検証される。

【０１２７】ｔ＝３０に対して平均２４６．５回の掛け
算、およびｔ＝８０に対して平均２５９．０回の掛け算
を要求する二進方法と比べると、これは非常に小さい記
憶部で相当な速度向上となる。しかも、識別又は署名検
証は、常に大きい容量のメモリが備えられるより強力な
ターミナルで遂行される。このような環境で、例えば
（８×２）構成を採用する場合、３２Ｋバイトの記憶部
を利用すれば、ｔ＝３０に対して平均６０．２回の掛け
算で識別検証を、そしてｔ＝８０に対して平均１２６．
６回の掛け算で署名検証が遂行できる。

【０１２８】＜予備計算の伝送＞次に、小さなコミュニ
ケーションの追加で、ｇ^R ｙ^E を計算するための掛け算
の回数をさらに相当数減少させ得ることを説明する。す
なわち、ｙは署名者に固定した数なので、もし署名者
が、ｋ＝１，２，…，ｕ−１に対する

【０１２９】

【数５６】

【０１３０】を予め計算して記憶した後、署名と共に伝
達すれば、検証者はこれらを準備するためのオンライン
計算の負荷が節約できる。例えば、ｔ＝８０の署名技法
に対して、もし署名者がメッセージに対する署名と共
に、追加的な５１２ビットのブロックｙ₁ ，ｙ₂ 、ここ
で、

【０１３１】

【数５７】

【０１３２】を伝送すると、署名検証は（４×２）構成
により平均９０．１３回の掛け算で行われる。したがっ
て、単に１２８バイト情報の伝送の追加により５４回の
掛け算が節約される。これは平均２５９回の掛け算を要
求する二進方法に比べて、平均しておよそ３倍の速度向
上に該当する。ＢＧＭＷ方法は、前記考慮したいずれの
場合でもｇ^R ｙ^E 形態の計算にそれほど効率的でないこ
とが分かる。すなわち、伝送の追加がない場合、もし指
数が非二進の羃乗基数で表記されれば、ｙ^E に対して要
求されるオンライン事前計算を遂行するのに、さらに多
くの計算が必要になる。一方、追加伝送が許容される場
合は、小さい基数の使用のために、さらに多くの事前計
算値が伝送されなければならない。

【０１３３】事前計算および追加伝送を結合した前記本
方法は、またアメリカのディジタル署名標準（ＤＳＳ；
Digital Signature Standard）の検証の速度向上に使用
され得る。ＤＳＳでは、｜Ｒ｜＝｜Ｅ｜＝１６０のｇ^R
ｙ^E 形態の計算の遂行が必要であり、よって、追加伝送
がなければ事前計算によって何の利点も得られない。し
かしながら、もし署名者が３つの追加ブロック｛ｙ1 ，
ｙ2 ，ｙ3 ｝、ここで、

【０１３４】

【数５８】

【０１３５】を送り、もし検証者が（４×２）構成を採
用すると、署名は平均１２４回の掛け算で検証される。
これは、５１２ビット法に対して平均２７９回の掛け算
を要求する二進方法に比べて、単に１９２０バイトの記
憶部および１９２バイトの追加伝送のみで、２倍以上の
速度向上が得られることを意味する。図９は、前述した
ように、署名者が署名と共に公開鍵に対する追加の３つ
の事前計算値を伝送するという仮定のもとで、３つの署
名技法（Schnorr ，ＤＳＳおよび Brickell-McCurley）
での署名生成および検証で要求される掛け算の回数を示
している。ここでは、他のリダクションモッド ｑ（re
duction mod q ）およびマルチプリケーティブインバー
スモッド ｑ（multiplicative inverse mod q）（ここ
で、ｑは約１６０ビットの大きさの素数である）のよう
にそれほど重要でない演算は無視し、単に羃乗演算に必
要な掛け算の回数のみを考慮している。

【０１３６】（４×２）および（８×２）の２つの構成
が例として挙げられるが、これは前者はスマートカード
の応用に適合し、後者は割合に大容量の記憶装置を備え
た一般的な応用に適合するからである。比較のために、
二進方法の遂行能力を共に示した。 ＜並列処理例＞次に、本願で提案された方法は、並列処
理にも非常に適することが分かる。すなわち、ｊ番目の
プロセッサを（ｈ×ｖ）構成（図１参照）のｊ番目列に
割り当てることにより、ＢＧＭＷ方法よりさらに効率的
に多重プロセッサによる並列化が実現される。

【０１３７】もしｖ個のプロセッサが使用可能なら、ｊ
番目のプロセッサは次の式(10)に含まれる式(9) を計算
するために割り当てることができる。ここで、各プロセ
ッサはローカルメモリ内に（２^h −１）個の事前計算値
を記憶すると仮定する。

【０１３８】

【数５９】

【０１３９】各プロセッサの計算は、最大２（ｂ−１）
回の掛け算で完了する。その後、最終結果を求めるため
に追加で「（log₂v ）回の掛け算が必要である。よっ
て、掛け算の全体回数は、｛２（ｂ−１）＋「（log₂v
）｝回である。図１０は並列処理において、プロセッ
サの数およびプロセッサ当たり必要な記憶部により、１
６０／５１２ビットの指数に対して要求される掛け算の
回数を示す。ここで、ｎｐはプロセッサの数（ｖ）を、
そしてｓｐはプロセッサ当たり記憶容量（２^h −１）を
意味する。

【０１４０】図１０に示したように、小さい数のプロセ
ッサでもその性能が非常に向上することが分かる。例え
ば、５１２ビットの法および指数に対しては、４つのプ
ロセッサが使用可能であり、各プロセッサは２５５個の
事前計算値のためのローカル記憶部（約１６Ｋバイト）
を備える場合に、ｇ^R を３２回の掛け算で計算できる。
例えば、１６個のようにさらに多いプロセッサによれ
ば、羃乗演算は同じ記憶容量で１０回の掛け算により行
われる。

【０１４１】一方、前記では便宜上（ｈ×ｖ）構成に対
してｖ個のプロセッサが使用可能な場合のみを考慮した
が、より一般的にさらに小さい数のプロセッサで（ｈ×
ｖ）構成を利用することもできる。もし、ｐ個のプロセ
ッサが使用可能であり、ｖ＝ｐｗとする場合、各プロセ
ッサがｗ個の列に該当するｈ×ｗを計算するように割り
当てる。この場合、各プロセッサは、ローカル記憶部に
｛（２^h −１）ｗ｝個の事前計算値を記憶する必要があ
る。そして、この際に要求される掛け算の回数は、
｛（ｗ＋１）ｂ＋「（log₂p ）−２｝回になることが分
かる。実際、大部分の場合、このように各プロセッサに
多数の列を割り当てるのが、図１０で与えられた値より
時間−記憶容量のトレードオフにおいてさらに有利であ
る。

【０１４２】

【発明の効果】前述したように、本発明によると、事前
計算による速い羃乗演算のための新しい構成を提案する
ことにより、非常に簡単でありながらもＢＧＭＷ方法よ
りもさらに良い遂行能力をなし得る。また、本発明の方
法は、広い範囲の時間−記憶容量のトレードオフによ
り、多様な計算環境に融通性よく応用可能である。

【０１４３】特に、本発明の方法を使用して、非常に小
さい記憶部を備えたスマートカードによる計算速度も相
当向上させ得る。また、本発明の方法は、ｇ^R ｙ^E （ｙ
は変数）形態の計算速度も向上させ得る。これは、Schn
orr 型の識別および署名技法をさらに実用性よく実現す
る。なぜならば、証明者（署名者）だけでなく、検証者
も適度な記憶容量により非常に大きい計算上の利点が得
られるからである。

【０１４４】最後に、本願で提案された本発明のアルゴ
リズムがどのように並列化され得るかを説明した。この
ような並列処理は、多重のプロセッサを備えた高性能の
サーバ（server）装置で特に有用である。

【図面の簡単な説明】

【図１】本実施例により任意のｎビットランダム指数Ｒ
を分割配置する方法を示した図である。

【図２】図１に関連する事前計算値にテーブルを示した
図である。

【図３】３２ビットの指数Ｒに対する分割配置図であ
る。

【図４】図３と関連する事前計算値に対するテーブルを
示した図である。

【図５】事前計算値テーブルでほぼ同一の記憶装置を要
求する２つの相異なる構成を示す図である。

【図６】ＢＧＭＷ方法の遂行能力を説明するための図で
ある。

【図７】本実施例による方法の遂行能力を説明するため
の図である。

【図８】本実施例による方法の遂行能力を説明するため
の図である。

【図９】署名者が追加情報を伝送する場合、さまざまな
署名技法での署名生成および検証で要求される掛け算の
数を示す図である。

【図１０】並列処理で要求される掛け算の数を示す図で
ある。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 李 弼 中 大韓民国 慶尚北道 浦項市 芝谷洞 756番地 教授アパート６棟502号 (72)発明者 林 采 ▲薫▼ 大韓民国 慶尚南道 咸陽郡 水東面 院 坪里 595番地

Claims (6)

【特許請求の範囲】
1. 【請求項１】 暗号化システムで固定要素ｇとランダム
   に選択されたｎビット指数Ｒに対して羃乗演算ｇ^R を計
   算するための羃乗演算方法において、 （ａ）前記指数Ｒのビット列を所定数ｈのブロックに分
   割し、前記分割された各ブロックのビット列を所定数ｖ
   の副ブロックに分割して、前記指数Ｒのビット列をｖ列
   およびｈ行からなるｈ×ｖ配列に分割する指数分割過程
   と、 （ｂ）各ブロックおよび副ブロックの位置に対応する値
   を考慮し、前記指数Ｒから次式のようにｉ番目行に当た
   るブロックのビット列Ｒ_i およびｉ番目行のｊ番目列に
   該当する副ブロックのビット列Ｒ_i,j を生成する過程
   と、 【数１】 （ｃ）前記Ｒ_i,j を０より大きくｈより小さい全ての整
   数ｉ、および０と同じか大きくｖより小さい全ての整数
   ｊに対して、次式のように二進数の形態で生成する過程
   と、 【数２】 ここで、ｅ_i,jb+kは、指数Ｒのｉ番目行のｊ番目列のブ
   ロックに該当するビット列Ｒ_i,j のｋ番目ビットの値、 （ｄ）０より大きくｈより小さい全ての整数ｉに対し
   て、ｇ_i を次式のように前記基数ｇを利用して生成する
   過程と、 【数３】 （ｃ）ｇ^R を前記（ｃ）過程でのＲ_i,j および前記
   （ｄ）過程でのｇ_i を利用して、次式のように生成する
   過程と、 【数４】 （ｆ）０より大きく２^h より小さい全ての整数ｆ（ここ
   で、ｆは二進数でｅ_{h- 1} ，ｅ_h-2 …ｅ₁ ，ｅ₀ の形態で
   表わされる）、および０と同じか大きくｖより小さい全
   ての整数ｊに対して、次の値を計算して記憶する過程
   と、 【数５】 （ｇ）前記記憶された計算値を利用して、次式によりｇ
   ^R を計算する過程と、 【数６】 ここで、Ｉ_j,k は、ｊ番目の副ブロックに該当するビッ
   ト列でｋ番目に位置するビットの、ｉが０からｈ−１ま
   での全てのブロックに亙るｈビットの大きさのビット列
   からなる値、を含むことを特徴とする暗号化システムで
   の羃乗演算方法。
2. 【請求項２】 前記（ａ）過程では、前記副ブロック内
   に含まれるビットの数がほぼ同一になるように分割する
   ことを特徴とする請求項１記載の暗号化システムでの羃
   乗演算方法。
3. 【請求項３】 前記（ａ）過程では、前記副ブロック内
   に含まれるビットの数が相異なるように分割することを
   特徴とする請求項１記載の暗号化システムでの羃乗演算
   方法。
4. 【請求項４】 前記（ｇ）過程では、ｖが２つの整数ｐ
   とｗの積（ｖ＝ｐｗ）で表わされる場合に、ｐ個のプロ
   セッサを備え、ｉ（ｉ＝０，…，ｐ−１）番目のプロセ
   ッサが次式による演算を遂行して、 【数７】 並列処理することを特徴とする請求項１記載の暗号化シ
   ステムでの羃乗演算方法。
5. 【請求項５】 暗号化システムで固定要素ｇとランダム
   に選択されたｎビット指数Ｒに対して羃乗演算ｇ^R を計
   算するための羃乗演算方法において、 （ａ）前記指数Ｒのビット列を所定数ｈのブロックに分
   割し、前記分割された各ブロックのビット列を所定数ｖ
   の副ブロックに分割することにより、前記指数Ｒのビッ
   ト列をｖ列およびｈ行からなるｈ×ｖの配列とする指数
   分割過程と、 （ｂ）各副ブロックに含まれるビットの数をｂとした場
   合に、０より大きく２ ^h より小さい全ての整数ｆ（ここ
   で、ｆは二進数でｅ_h-1 ，ｅ_h-2 …ｅ₁ ，ｅ₀の形態で
   表わされる）、および０と同じか大きくｖより小さい全
   ての整数ｊに対して、次の値を計算して記憶する過程
   と、 【数８】 （ｃ）前記記憶された計算値を利用して、次式によりｇ
   ^R を計算する過程と、 【数９】 ここで、Ｉ_j,k は、ｊ番目の副ブロックに該当するビッ
   ト列でｋ番目に位置するビットの、ｉが０からｈ−１ま
   での全てのブロックに亙るｈビットの大きさのビット列
   からなる値、を含むことを特徴とする暗号化システムで
   の羃乗演算方法。
6. 【請求項６】 暗号化システムで固定要素ｇとランダム
   に選択されたｎビット指数Ｒに対して羃乗演算ｇ^R を計
   算するための羃乗演算装置において、 （ａ）入力された前記指数Ｒのビット列を、所定数ｈの
   ブロックに分割し、前記分割された各ブロックのビット
   列を所定数ｖの副ブロックに分割することにより、ｖ列
   およびｈ行からなるｈ×ｖの配列とする指数分割手段
   と、 （ｂ）各副ブロックに含まれるビットの数をｂとした場
   合に、０より大きく２ ^h より小さい全ての整数ｆ（ここ
   で、ｆは二進数でｅ_h-1 ，ｅ_h-2 …ｅ₁ ，ｅ₀の形態で
   表わされる）、および０と同じか大きくｖより小さい全
   ての整数ｊに対して、次の値を計算する事前計算手段
   と、 【数１０】 （ｃ）前記事前計算手段で計算された値を、ｊ及びｆの
   値に対応して記憶する記憶手段と、 （ｄ）前記記憶された計算値を利用して、次式によりｇ
   ^R を計算する羃乗計算手段と、 【数１１】 ここで、Ｉ_j,k は、ｊ番目の副ブロックに該当するビッ
   ト列でｋ番目に位置するビットの、ｉが０からｈ−１ま
   での全てのブロックに亙るｈビットの大きさのビット列
   からなる値、を含むことを特徴とする暗号化システムで
   の羃乗演算装置。