JPH08504962A

JPH08504962A - 暗号化方法

Info

Publication number: JPH08504962A
Application number: JP6514602A
Authority: JP
Inventors: デミートコ、ニコラス
Original assignee: テルストラ・コーポレイション・リミテッド
Priority date: 1992-12-22
Filing date: 1993-12-20
Publication date: 1996-05-28
Also published as: CA2150683A1; EP0704124A4; US5627893A; AU677269B2; EP0704124A1; AU5689594A; WO1994015423A1; CA2150683C

Abstract

(57)【要約】３よりも大きい素数である秘密鍵ｐ及びｑを選択するステップと、複数対の群の一つの群対に属する一連のデータ値に対する公開パラメータを選択するステップであって、前記複数群対の一つの群対における前記データ値のうちの任意の１データ値が、ｋを整数、Ｎ_iをｉ番目の群対の位数、ｎをｐ・ｑとしてモジュロｎ演算を前記データ値のうちの前記１データ値から始めてｋＮ_i＋１回行うことにより復元されるように選択するステップと、全てのｉについてｋＮ_i＋１の因数である公開暗号化鍵ｅを選択するステップと、通信データに対して前記演算を実行することにより該通信データを前記複数群対の一つの群対の位置つの要素として処理して、該通信データが属する群対ｉの位数Ｎ_iをｐ及びｑに基づいて求め、かつ、秘密復号化鍵ｄ_iをｅ.ｄ_i＝ｋＮ_i＋１を用いて求めるステップと、を備える暗号化方法。

Description

【発明の詳細な説明】暗号化方法本発明は、暗号に関するものであり、特に、公開鍵暗号化（public key encry ption）に使われるものでデジタル署名（digital signature）を作成するために使用することができる暗号化方法に関する。暗号化技術は、デジタル通信の分野において、特にデジタル通信網の普及の拡大に伴い、実用上きわめて重要となって来ている。平文テキストとよく称されているメッセージ・データを公衆に利用可能な鍵を用いて暗号化し、公開鍵（publ ic key）に関連づけられているが公開鍵からは作り出すことができない秘密鍵（ secret key）を用いてのみ復号化することが可能な暗号化テキストを生成することができる方式の開発に努力が集中されてきた。この種の方式は、ディフィー（ W．Diffie）及びヘルマン（M.E．Hellman）によってIEEE Transactions on Info rmation Theory，Vo1.22，No.6，1976，pp.644-654に発表された「New Directio ns in Cryptography（暗号における新しい方向）」において最初に論じられている。そして、実用的な方法が、リベスト（R.L．Rivest）、シャミア（A．Shamir ）及びエーデルマン（L．Ad1eman）によってCommunications of the ACM，Vo1.2 1，No.2，1978，pp.120-126に発表された「A Method for 0btaining Digital Si gnatures and Public-Key Cryptosystems（デジタル署名を得るための方法及び公開鍵暗号化方式）」において提案されており、これはＲＳＡとして知られている。また、この方式はデジタル署名の作成に使用可能である。このデジタル署名では、秘密鍵で暗号化することによって平文テキストに署名することができ、その後、公開鍵を用いて読むことができる。暗号化テキストおよび平文テキストに対してなされる暗号化操作（cryptograp hic operation）は、平文テキストまたは暗号化テキストを構成するデータのビットによって表現される数値に対する一連の数学的操作として暗号化処理過程（ cryptographic process）を表す数式や記号を使用することにより、最もよく記述し定義することができる。例えばＲＳＡは、モジュローｎ演算（ｎを法とする演算）として実行される一連の操作を含んでいる。ここで、ｎは公開鍵の一部であって二つの大きな素数ｐとｑとの積であり、これらの素数ｐ及びｑは秘密鍵を構成する。ＲＳＡの安全性は、主として、この合成数ｎの因数分解の困難さに依存する。ＲＳＡは、比較的安全で実施しやすいが、準同型（homomorphic）におかされやすく、記録しておいた署名済みのメッセージを組み合わせることにより、正しいデジタル署名を作成することができるようになっている。また、有限体上の楕円曲線は、曲線上の複数の点が群をなし、最初の点を用いて、その最初の点が再び得られるまで、群をなす他の点を巡回的に導出していく暗号化に利用できることが判明している。平文テキストを楕円曲線上の点の座標とし、その点に対し、それをその群内の他の点に移動させる演算を実行することにより、暗号化を行うことができる。メッセージは、その曲線の特性及び平文テキストの属する群の位数を知ることによってのみ復元することができる。また、楕円曲線の演算は、ｎを二つの大きな素数ｐ及びｑの積とするモジュローｎで実行される。ＲＳＡに類似した、楕円曲線に基づく最初の方式が、コヤマ（K．Koy ama）、モーラ（U.M．Maurer）、オカモト（T．Okamoto）及びバンストーン（S. A．Vanstone）によってCRYPTO’91 Abstracts，Santa Barbara，CA，pp.6-1 to 6-7，11-5 August，1991に発表された「New Pub1ic-KeySchemes based on Ellip tic Curves over the Ring Zn（環Ｚｎ上の楕円曲線に基づく新しい公開鍵方式）」において提案されている。この論文は、後述するように本質的には二つの方式を説明している。これらの方式はＲＳＡと同一の用途に使用することが可能であって、一方の方式はデジタル署名を作成するために使用できるだけであり、他方の方式は公開鍵暗号化にも使用することができる。しかし、後者の方式では、使用可能な素数ｐ及びｑの種類と楕円曲線の種類とが制限されており、復号化できるためには暗号化テキストと共に２番目の座標を伝送する必要がある。前記一方の方式は、デジタル署名がメッセージすなわち平文テキストのおよそ２倍の長さになり、平文テキストに対応する楕円曲線上の点の位置を探し出すのに試行錯誤が必要であるという不都合を有しており、これは必然的に平文テキストの値ｘを増大させることになる。本発明による暗号化方法は、３よりも大きい素数である秘密鍵ｐ及びｑを選択するステップと、複数対の群の一つの群対に属する一連のデータ値に対する公開パラメータを選択するステップであって、前記複数群対の一つの群対における前記データ値のうちの任意の１データ値が、ｋを整数、Ｎ_iをｉ番目の群対の位数、ｎをｐ・ｑとしてモジュロｎ演算を前記データ値のうちの前記１データ値から始めてｋＮ_i＋１回行うことにより復元されるように選択するステップと、全てのｉについてｋＮ_i＋１の因数（factor）である公開暗号化鍵ｅを選択するステップと、通信データに対して前記演算を実行することにより該通信データを前記複数群対の一つの群対の一つの要素として処理して、該通信データが属する群対ｉの位数Ｎ_iをｐ及びｑに基づいて求め、かつ、秘密復号化鍵ｄ_iをｅ.ｄ_i＝ｋＮ_i＋１を用いて求めるステップと、で構成されている。添付図面を参照しながら、例示した本発明の好ましい実施例を説明する。図１は、暗号化方法の好ましい実施例において使用される楕円曲線を示す図である。好ましい実施例は、楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ（1）に基づく演算に関わっている。ここで、ａ及びｂは、４ａ³＋２７ｂ≠０（2）となるように選ばれた定数であり、これにより、３次方程式ｚ＝ｘ³＋ａｘ＋ｂ（3）は３個の異なる根を有することになる。式（1）が３個の実根を有すれば、この曲線のグラフは図１に示されたようになる。この曲線は、垂直でない直線２がこの曲線と二つの有理点（rational points）（ｘ₁,ｙ₁）及び（ｘ₂,ｙ₂）で交われば、第３の有理交点（ｘ₃,ｙ₃）が存在する、という性質を持っている。この曲線への接線３は、接点において重複交点（a double point of intersection）（ｘ_k,ｙ_k ）を有していると考えられる。もし、２点（ｘ₁,ｙ₁）及び（ｘ₂,ｙ₂）が既知であれば、３番目の交点（ｘ₃,ｙ₃）を以下の式から得ることができる。ｘ₃＝λ²−ｘ₁−ｘ₂ （4）ｙ₃＝λ×（ｘ₃−ｘ₁）＋ｙ₁ （5）ここで、ｘ₁≠ｘ₂のときは λ＝（ｙ₁−ｙ₂）／（ｘ₁−ｘ₂）（6）であり、ｘ₁＝ｘ₂のときは λ＝（３ｘ₁ ²＋ａ）／（２ｙ）（7）である。なお、λはこれらの点を結ぶ直線の傾きである。上記曲線を用いて、（ｘ₁,ｙ₁）＋（ｘ₂,ｙ₂）＝（ｘ₃,−ｙ₃）（8）という「加法」演算を定義することができる。この二つの交点の和は、３番目の交点をもたらすことはないが、図１に示されているように、３番目の交点（ｘ₃, ｙ₃）のｘ軸についての対称点（the reflection across the x-axis）をもたらす。２点で上記曲線と交差する全ての直線が３番目の点とも交差するようになる点の群を得るには、下記式（9）の加算に単位元（identity）∞を定める。（ｘ,ｙ)＋（ｘ,−ｙ）＝（ｘ,−ｙ）＋（ｘ,ｙ）＝∞ （9）点∞は、垂直な全ての直線が通過するような無限遠点と考えることができる。Ｅ（ａ,ｂ）は、点∞を含む、与えられたａ，ｂに対する上記曲線上の有理点から成る群を示すために使用することができる。有理点は、加算を用いて相互に導出することができる。ｐを３より大きい素数とし、ａ及びｂを下式（10）が成り立つ整数とするモジュロｐ演算を行っても、上記の演算が成立する。このときＥ_p（ａ,ｂ）は、ｐを法とする楕円曲線群（an elliptic curve group modulo p）を示すために使用することができる。この群は、ｐよりも小さい非負の整数であってｙ²≡ｘ³＋ａｘ＋ｂ（mod p）（11）を満足する整数の対（ｘ,ｙ）を要素として持っている。この群は単位元∞を含み、この群内の点は加法演算を用いて相互に導出することができる。ｐを法とする式（11）の曲線は、もちろん、図１に示されたものを不連続な形式としたものである。この曲線における３番目の点は、その群の他の２点であるＰ＝（ｘ₁,ｙ₁）とＱ（ｘ₂,ｙ₂）を以下の式を用いて加算することにより導出することができる。ｘ₃≡λ²−ｘ₁−ｘ₂（moｄ p）（12）ｙ₃≡λ（ｘ₁−ｘ₃）−ｙ₁（mod ｐ）（13）ここで、である。単位元は、ｘ₁≡ｘ₂かつｙ₁≡−ｙ₂（mod ｐ）のとき、Ｐ＋Ｑ＝∞、すなわちＰ＝−Ｑ又は（ｘ₂,−ｙ₂）≡−（ｘ₂,ｙ₂）（mod ｐ）となるように、定義される。群内の点の前の一の記号はその点の逆元を示すためのものである。点は、群内の他の点を生成するために、いくらかの回数ｉだけ上記の加法演算を用いてその点自身に加算することができる。これは（ｘ_i,ｙ_i）≡（ｘ₁,ｙ₁）＃ｉ（mod ｐ）（15）というように表わされる。ここで、（ｘ_i,ｙ_i）は点（ｘ₁,ｙ₁）から導出されるｉ番目の点である。＃の演算はしばしば乗算と呼ばれる。すなわち、点（ｘ_i,ｙ_i）は点（ｘ₁,ｙ₁）にｉを掛けた結果である。後述するように、この乗算を実行するには効率のよい方法が利用可能であり、この方法では、ｉの大きな値に対してはその群内の点対に昇順に加法演算を続けて行う。例えば（ｘ₂,ｙ₂）は、（ｘ₁,ｙ₁）を重複点又は点接触として扱ってその点をそれ自身に加算することによって得ることができる。そして、（ｘ₄,ｙ₄）は（ｘ₂,ｙ₂）をそれ自身に加算することによって得ることができ、（ｘ₃,ｙ₃）は（ｘ₂,ｙ₂）を（ｘ₁,ｙ₁）に加算することによって得ることができ、（ｘ₆,ｙ₆）は（ｘ₃,ｙ₃）を（ｘ₃,ｙ₃）に加算することによって得ることができる。以下同様である。ｉが群の位数に等しい場合、得られる点は単位元∞である。ｉが群の位数よりも１だけ大きい場合は、得られる点は元の点（ｘ₁,ｙ₁）である。すなわち、この群はＰ＋∞＝∞＋Ｐ＝Ｐという性質を有している。楕円曲線暗号化法（the elliptic curve cryptographic method）は、Ｅ_p（ａ ,ｂ）の位数すなわちＥ_p（ａ,ｂ）における点の数が既知であることに基づいている。与えられたｘの値に対し、ｘ³＋ａｘ＋ｂが平方剰余である場合、すなわちｐを法とする平方根を持っている場合は、そのｘに対応するｙの値が二つ存在し、ｘ³＋ａｘ＋ｂがｐで割り切れる場合は、そのｘに対応するｙの値が一つだけ存在し、他の場合にはそのｘに対応するｙの値が存在しないということを認識することにより、この位数を求めることができる。∞における点を考慮すると、｜Ｅ_p(ａ,ｂ）｜Ｎ_pで示されるその群の位数は次式によって与えられる。ここで、（ｚ｜ｐ）はルジャンドル記号（Legendre symbol）であり、ｚ≡ｘ³＋ａｘ＋ｂ（mod ｐ）である。ルジャンドル記号は、或る数（この場合はｚ）が平方剰余であるか否かを決定するために、モジュロ演算（modulo arithmetic）、この場合はｐを法とする演算を用いて実行される操作を示す。この演算は±１又は０の値を生成し、その数が平方剰余であれば１、その数が平方非剰余であれば −１、その数が法ｐで割り切れれば０である。例えば、ｐ＝５かつａ＝ｂ＝−１であれば、Ｅ₅（−１,−１）の点はｙ²≡ｘ³−ｘ−１（mod ５）（17）を満たさなければならない。２３はモジュロ５の平方剰余ではないため、座標ｘが３であってはならない。この群の要素は、 (０,２)、 (１,２)、 (２,０)、 (４,２)、 (０,３)、 (１,３)、 (４,３)、及び、∞ である。（ｘ₁,ｙ₁）＝（０,２）の場合は以下のようになる。 (ｘ₂,ｙ₂)＝(０,２)＋(０,２) λ ≡(３×０−１)×４≡１（mod ５），ｘ₂≡１−０−０ ≡１（mod ５）， −ｙ₂≡１×(１−０)＋２≡３（mod ５），＝(１,２)； (ｘ₃,ｙ₃)＝(１,２)＋(０,２) λ ≡(２−２)×１ ≡０（mod ５），ｘ₃≡０−１−０ ≡４（mod ５）， −ｙ₃≡０×(４−０)＋２≡２（mod ５），＝(４,３)； (ｘ₄,ｙ₄)＝(４,３)＋(０,２) λ ≡(３−２)×４ ≡４（mod ５），ｘ₄≡１６−４−０ ≡２（mod ５）， −ｙ₄≡４×(２−０)＋２≡０（mod ５），＝(２,０)； (ｘ₅,ｙ₅)＝(２,０)＋(０,２) λ ≡(０−２)×３ ≡４（mod ５），ｘ₅≡１６−２−０ ≡４（mod ５）， −ｙ₅≡４×(４−０)＋２≡３（mod ５），＝(４,２)； (ｘ₆,ｙ₆)＝(４,２)＋(０,２) λ ≡(２−２)×４ ≡０（mod ５），ｘ₆≡０−４−０ ≡１（mod ５）， −ｙ₆≡０×(１−０)＋２≡２（mod ５），＝(１,３)； (ｘ₇,ｙ₇)＝(１,３)＋(０,２) λ ≡(３−２)×１ ≡１（mod ５），ｘ₇≡１−１−０ ≡０（mod ５）， −ｙ₇≡１×(０−０)＋２≡２（mod ５），＝(０,３)； (ｘ₈,ｙ₈)＝(０,３)＋(０,２)＝∞．大きなｐを法とする楕円群の位数を計算する実用的な手法が、レンストラ（A. K．Lenstra）及びレンストラ・ジュニア（H.W．Lenstra，Jnr.）によってUniver sity of Chicago，Department of Computer Science，Technical Report＃87-00 8，1987に発表された「Algorithms in Number Theory（整数論におけるアルゴリズム）」において論じられている。この手法を用いた特定の二つの例については、ブレサウンド（D.M．Bressound）による「Factorisation and Prima1ity Test ing（因数分解と素数判定）」，Springer-Ver1ag，New York，1989において論じられており、下記のようなものである。この二つの例に使用される、位数に対する式は、1952年に数学者ウェイル（Andre Wei1）によって証明されている。第１の例では、ｐが４を法として１に合同な通常の素数（ordinary prime）であり、ｒがｐを割り切り且つ２＋２ｉを法として１に合同な複素数の素数であり、Ｄがｐで割り切れない任意の整数であれば、Ｅｐ（−Ｄ,０）の位数は、は複素数の整数ｒの共役数である。例えばｐ＝１３かつｒ＝３＋２ｉの場合には以下のようになる。｜Ｅ₁₃(−１,０)｜＝１４−(１)(３＋２i)−(１)(３−２ｉ) ＝８｜Ｅ₁₃(１,０)｜＝１４−(−１)(３＋２ｉ)−(−１)(３−２ｉ) ＝２０｜Ｅ₁₃(−２,０)｜＝１４−(ｉ)(３＋２ｉ)−(−ｉ)(３−２ｉ) ＝１８｜Ｅ₁₃(２,０)｜＝１４−(−ｉ)(３＋２ｉ)−(ｉ)(３−２ｉ) ＝１０第２の例では、ｐが３を法として１に合同な通常の素数であり、ｒがｐを割り切り且つ３を法として２に合同な３乗の素数（cubic prime）であり、Ｄがｐで割り切れない任意の整数であれば、Ｅｐ（０,Ｄ）の位数は、ある。例えばｐ＝１３かつｒ＝−４−３ωの場合には以下のようになる。ただしω＝ｅ^2πi/3である。｜Ｅ₁₃(０,１)｜＝１４＋(ω²)(−４−３ω)＋(ω)(−１＋３ω) ＝１２｜Ｅ₁₃(０,２)｜＝１４＋(−１)(−４−３ω)＋(−１)(−１＋３ω) ＝１９｜Ｅ₁₃(０,３)｜＝１４＋(１)(−４−３ω)＋(１)(−１＋３ω) ＝９｜Ｅ₁₃(０,４)｜＝１４＋(ω)(−４−３ω)＋(ω²)(−１＋３ω) ＝２１｜Ｅ₁₃(０,５)｜＝１４＋(−ω²)(−４−３ω)＋(−ω)(−１＋３ω)＝１６｜Ｅ₁₃(０,６)｜＝１４＋(−ω)(−４−３ω)＋(−ω²)(−１＋３ω)＝７また、式（11）の全ての楕円曲線に対して｜Ｅ_p（ａ,ｂ）｜＝ｐ＋１＋α，ただし、｜α｜≦２√ｐ（20）であることが明らかにされている。上式は、群Ｅ_p（ａ,ｂ）の位数が決定可能であることを示している。群Ｅ_p（ａ,ｂ）に対して次式が成立する。（ｘ₁,ｙ₁)＃｛p＋１＋α｝（mod ｐ）＝∞ （21）したがって、（ｘ₁,ｙ₁)＃｛ｍ(ｐ＋１＋α)±１｝（mod ｐ）＝（ｘ₁,±ｙ₁）（22）である。ここで、ｍは任意の整数である。式（22）は士の値を含んでいる。これは、∞を１点だけ過ぎると（ｘ₁,ｙ₁）が得られる一方、∞よりも１点だけ少ないと（ｘ₁,−ｙ₁）が得られ、また平文テキストｘ₁のみが興味の対象であるので、群Ｅ_p（ａ,ｂ）が∞について対称だからである。式（22）の｛｝内の項は、ｅ .ｄに等しいと考えることができる。ここで、ｅは暗号化鍵を構成し、ｄは復号化鍵を構成する。したがって、楕円曲線上の点（ｘ₁,ｙ₁）の座標値ｘ₁を有するメッセージすなわち平文テキストの暗号化については、次の暗号化演算を実行することができる。（ｘ_e,ｙ_e）≡（ｘ₁,ｙ₁)＃ｅ（mod ｐ）（23）このとき暗号化テキストｘ_eは次式を用いて復号化することができる。（ｘ₁,ｙ₁）≡（ｘ_e、ｙ_e）＃ｄ（mod ｐ）（24）また、その平文テキストにデジタル署名を行うために次の演算を実行する。（ｘ_d、ｙ_d）≡（ｘ₁,ｙ₁)＃ｄ（mod ｐ）（25）このとき署名は、次の演算を実行することにより、その正当性を確認することができる。（ｘ₁,ｙ₁）≡（ｘ_d、ｙ_d）＃ｅ（mod ｐ）（26）一旦素数ｐが選ばれ群Ｅ_p（ａ,ｂ）の位数が既知であれば、ｅをランダムを選び、式（22）に基づいて次式よりｄを決定することができる。ｅ.ｄ≡±１ mod（ｐ＋１＋α）（27）また、同様のことが別の大きい素数ｑに基づく群Ｅ_q（ａ,ｂ）に対してもあてはまるから、次式が成立する。（ｘ₁,ｙ₁）＃｛ｍ(ｑ＋１＋β)＋１｝（mod ｑ）＝（ｘ₁,ｙ₁）（28）ここで、ｑ＋１＋βは群Ｅ_q（ａ,ｂ）の位数Ｎ_q、ｋは任意の整数、｜β｜≦２ √ｑである。ｎ＝ｐ・ｑとするＥ_n（ａ,ｂ）上の各点は、モジュロ演算についての中国式剰余定理（Chinese Remainder Theorem）（ＣＲＴ）より、Ｅ_q（ａ,ｂ）及びＥ_q（ａ,ｂ）の点の対によって一意的に表現することができる。したがって、式（23 ）から（26）までの暗号化及び復号化の手法は、ｎを法として実行することができる。ここで、ｎは公開され、ｐとｑは秘密にされる。また、一旦ｅが選ばれると、ｄはｅ.ｄ≡±１ mod（Ｎ_n）（29）を用いて決定できる。ここで、Ｎ_n≡Ｎ_pＮ_q又はＮ_n＝１cm（Ｎ_pＮ_q）は、ｐ及びｑが既知である場合にのみ決定することができ、この場合には、既に示されたように、Ｎ_p及びＮ_qが決定可能となる。特定の楕円曲線群を用いた暗号化及びデジタル署名の方式が、コヤマ、モーラ、オカモト及びバンストーンによってCRYPT0’91 Abstracts，Santa Barbara，C A，pp.6-1 to 6-7，11-5 August，1991に発表された「New Pub1ic-Key Schemes based on Elliptic Curves over the Ring Zn（環Ｚｎ上の楕円曲線に基づく新しい公開鍵方式）」において論じられている。この方式のうちの一つは、平文テキストに対応するＥ_p（ａ,ｂ）上の点を求めるためにｐとｑの双方が既知である必要があるため、デジタル署名に使用できるだけである。ｚ≡ｙ²（mod ｎ）についてｎを法とする平方根を求めなければならないからである。また、平文テキストは一般に、その平文テキストを表現するｘの値を求めるために増分される必要がある。これにより、ｎの平方剰余であるｚが得られる。これは、正しい値が見つかるまで多くの値を試してみなければならないため、時間を浪費する方法となりかねない。また、この方法で用いられる署名は、元の平文テキストすなわちメッセージ・データのほぼ２倍の長さとなる。この論文で提案された暗号化方式では、ｐ≡ｑ≡２（mod ３）又はｐ≡ｑ≡３（mod ４）を満足するｐ及びｑとして奇素数のみが使用可能である。これは、使用される群の位数をｐ＋１及びｑ＋１に制限し、変更できない。この方式は、位数を求めることができる一般的な楕円群Ｅ_p （ａ,ｂ）及びＥ_q（ａ,ｂ）の使用を考慮していない。また、双方の座標（ｘ, ｙ）が暗号化の過程において指定され、受信者に送られる必要がある。これにより、送信者と受信者は、暗号化が行われる曲線を決定することができる。前述の制約は各メッセージについて曲線とメッセージとが互いに適合していることを要求するため、使用される曲線は各メッセージに対し同じではないからである。本発明の好ましい実施例は、ｘが非負の整数値である曲線の体に対してｙが不定である点（ｘ,ｙ）の座標を平文テキストｘが表現することを許容することにより、使用する曲線を固定した暗号化方法を提供する。これには、まず、後述するように、ｐを法とする楕円曲線に対し、相補群（complimentary group）の生成及び定義が必要である。相補群では、ｐは３よりも大きい素数であり、かつ、ａ及びｂは式（10）の関係ｙ）は式（11）を満足するが、非負の整数値であるｘに対してｙは不定である。不定座標ｙはｙ＝ｕ√ｖの形になっている考えられる。ここで、ｕはｐよりも小さい非負の整数であり、ｖはｐの平方非剰余である固定値である。単位元∞及び加法演算は、基準群（standard group）Ｅ_p（ａ,ｂ）に対して既に説明したものと同一である。相補群では、Ｐ＝（ｘ₁,ｙ₁）＝（ｘ₁,ｕ₁√ｖ）及びＱ＝（ｘ₂,ｙ₂）＝（ｘ₂ ,ｕ₂√ｖ）がその群内の二つの要素であれば、Ｒ＝（ｘ₃,ｙ₃）＝（ｘ₃,ｕ₃√ｖ）もまたその群内の要素である。すなわち、 (ｘ₁,ｙ₁)＋(ｘ₂,ｙ₂)≡(ｘ₃,ｙ₃)（mod ｐ） (30) である。これは、群内の点（ｘ₃,ｙ₃）をその群内の他の２点（ｘ₁,ｙ₁）及び（ｘ₂,ｙ₂）の加算によって得ることができるという点において、その群の閉包性を示すものである。また、群の他の公理も相補群に対してそのまま成立することを示すことができる。相補群の位数は、＋ａｘ＋ｂ（mod ｐ）である。式（35）は以下の事項から導かれたものである。すなわち、相補群では、無限遠点に加えて、与えられたｘに対し、１．ｚがｐの平方非剰余であれば、そのｘの値に対応するｙの値が二つ存在し、そして、３．ｚがｐの平方剰余であれば、そのｘの値に対応するｙの値は存在しない。もし、（ｚ｜ｐ）＝１に対するｘの値がＡ個、（ｚ｜ｐ）＝０に対するｘの値がＢ個、（ｚ｜ｐ）＝−１に対するｘの値がＣ個、それぞれ存在すれば、ｚの値を一意的に生成するｘの値はｐ個だけ存在することから、ｘは可能なｐ個の値のうちの一つでなければならないため、Ａ＋Ｂ＋Ｃ＝ｐ（36）である。式（16）及び（20）より、｜Ｅ_p（ａ,ｂ）｜＝１＋２Ａ＋Ｂ＝１＋ｐ＋α （37）２Ａ＋Ｂ＝ｐ＋α （38）である。したがって、式（35）、（36）及び（38）より、である。ラメータの形で確定する。また、もう一つの大きい素数ｑに対しても類似した式が成立する。したがって、固定した曲線を用い、ｎを法とする演算に対して、ｐとｑの双方について基準群、ｐとｑの双方について相補群、ｐについて基準群でｑについて相補群、又は、ｑについて基準群でｐについて相補群、という４つの群対のうちの一つの対におけるその曲線上の点を得ることにより、暗号化方法を打ち立てることができる。二つの素数ｐ及びｑは、楕円曲線を定義するパラメータａ及びｂとともに、ランダムに選択される。ｎ＝ｐ・ｑを法とする算術演算が行われ、gcd（４ａ³＋２７ｂ²,ｎ）＝１であることが確かめられる。そして、素数にして計算することができる。平文テキストはｘで表現され、ｓは暗号化テキストを表現し、０≦ｘ,ｓ≦ｎ−１である。暗号化は次式によって実行される。（ｓ,ｔ）≡（ｘ,ｙ）＃ｅ（mod ｎ）（40）そして復号化は（ｘ,ｙ）≡（ｓ,ｔ）＃ｄ_i（mod ｎ）（41）によって実行される。ここで、ｅ.ｄ_i≡±１（mod Ｎ_i），ｉ＝１〜４（42） gcd（ｅ,Ｎ_i）＝１，ｉ＝１〜４（43） (ｗ｜ｐ)＝１かつ(ｗ｜ｑ)＝１のときＮ₁＝1cm(ｐ＋１＋α,ｑ＋１＋β) (44) (ｗ｜ｐ)＝１かつ(ｗ｜ｑ)≠１のときＮ₂＝1cm(ｐ＋１＋α,ｑ＋１−β) (45) (ｗ｜ｐ)≠１かつ(ｗ｜ｑ)＝１のときＮ₃＝1cm(ｐ＋１−α,ｑ＋１＋β) (46) (ｗ｜ｐ)≠１かつ(ｗ｜ｑ)≠１のときＮ₄＝1cm(ｐ＋１−α,ｑ＋１−β) (47) ｚ≡ｘ³＋ａｘ＋ｂ（mod ｎ） (48) ｗ≡ｓ³＋ａｓ＋ｂ（mod ｎ） (50) である。Ｎ_iの値は、ｐとｑそれぞれの群の位数の最小公倍数（１cm）を求めることによって決定される。暗号化鍵ｅは、ｅとＮ_iとの最大公約数が１であるという条件を付けただけでランダムに選ばれる。パラメータｎ，ａ，ｂ及び暗号化鍵ｅは、如何なる平文テキストｘも暗号化できるよう、公衆に利用可能とされている。しかし、復号化鍵ｄ_iと素数ｐ及びｑとは秘密にされる。暗号化テキストｓは、まずルジャンドル記号（ｗ｜ｐ）及び（ｗ｜ｑ）を用いて暗号化テキスト（ｓ, ｔ）がどの群対に属するかを決定することによってのみ、復号化が可能である。一旦これが決定されると、適切なＮ_iを用いて、使用されるべき正しい暗号化鍵ｄ_iを求めることができる。この暗号化鍵ｄ_iはｅ.ｄ_i≡±（mod Ｎ_i）であることを用いて導出される。ｐ，ｑ，ａ及びｂが式（44）〜（47）においてα＝β＝０となるように選ばれると、Ｎ_i＝１cm（ｐ＋１,ｑ＋１）は全てのｉ＝１〜４に対して不変である。その結果、ｄiの値を一つ計算するだけでよく、復号化はルジャンドル記号（ｗ｜ｐ）及び（ｗ｜ｑ）に依存しない。ｐを法とする場合とｑを法とする場合の双方で式（41）の演算を実行した後、それらの結果を中国式剰余定理を用いて組み合わせることにより、復号化に要する時間がほぼ１／４に短縮される。この方式の安全性は、主として、適切な復号化鍵ｄ_iを導出するために要求されるｎからｐ及びｑへの因数分解における固有の困難性に依存している。しかし、点（ｓ,ｔ）が楕円曲線上のどこに存在するのか、及びその点がどの群に属するのか、を決定するのは困難であるということを利用して、安全性が高められる。１番目の座標ｓのみが計算されて伝送されるからである。２番目の座標ｙ及びｔの計算は、ブレサウンド（D.M．Bressound）による「Fa ctorisation and Prima1ity Testing（因数分解と素数判定）」，Springer-Ver1 ag，New York，1989において論じられたダブリング・アルゴリズム（doubling a lgorithm）を用いて回避することも可能である。このアルゴリズムは以下の通りである。ｘ_2i≡｛(ｘ_i ²−ａ)²-８ｂｘ_i｝／｛４(ｘ_i ³＋ａｘ_i＋ｂ)｝(mod ｐ) （52）ｘ_2i+1≡｛(ａ−ｘ_iｘ_i+1)²−４ｂ(ｘ_i＋ｘ_i+1)｝／｛ｘ(ｘ_i−ｘ_i+1)²｝ (mod ｐ) （53）である。ｐ（又はｑ）を法としてｘ≡０ならば式（53）を用いることができない。しかし、この式を書き直して次式を得ることができる。ｘ_2i+1≡｛４ｂ＋２(ａ−ｘ_iｘ_i+1)(ｘ_i＋ｘ_i+1)｝／(ｘ_i−ｘ_i+1)² −ｘ(mod ｐ) （54）上式は、０≦ｘ≦ｐ−１である全てのｘに対して（したがって、計算が法ｎに対して行われるときは０≦ｘ≦ｎ−１である全てのｘに対して）成立する。式（52 ）〜（54）は、一つの楕円群内で全ての点を決定するわけではないが、暗号化鍵ｅによって決まる座標ｓを得るには十分に多くの点を導出することができる。式（40）によって与えられるｓ≡ｘ_e（mod ｎ）を算出している間はｐ（又はｑ）を法としてｘ_iがｘ_i+1に決して合同とはならないことを示すことができる。同様に、式（41）を計算している間はｐ（又はｑ）を法としてｓ_iがｓ_i+1に決して合同とはならない。しかし、計算している間にｐ（又はｑ）を法としてｙ_iが０に合同となるかもしれず、したがって式（52）が定義されないようになることがあり得る（極めてありそうもないことではあるが）。しかし、暗号化又は復号化の手順の最後の段階まで割り算を避けることができるような同次座標（homogeneou s coordinates）を用いることができる。同次座標は、ｘ≡Ｘ／Ｚ（mod ｐ）及びｙ≡Ｙ／Ｚ（mod ｐ）とおくことにより得られる。（ｘ_i,ｙ_i）≡（Ｘ_i／Ｚ_i,Ｙ_i／Ｚ_i）≡（Ｘ／Ｚ,Ｙ／Ｚ）＃ｉ（m od ｐ）であれば、式（52）及び（54）は、ｎを法とする算術を用いて次の形に書き直すことができる。Ｘ_2i≡（Ｘ_i ²−ａＺ_i ²）²−８ｂＸ_iＺ_i ³（mod ｎ）（55）Ｚ_2i≡４Ｚ_i（Ｘ_i ³＋ａＸ_iＺ_i ²＋ｂＺｉ³）²（mod n）（56）Ｘ_2i+1≡Ｚ［４ｂＺ_i ²Ｚ_i+1 ²＋２（ａＺ_iＺ_i+1＋Ｘ_iＸ_i+1） ×（Ｘ_iＺ_i+1＋Ｘ_i+1Ｚ_i）］−Ｘ（Ｘ_iＺ_i+1−Ｘ_i+1Ｚ_i）²（mod n）（57）Ｚ_2i+1≡Ｚ（Ｘ_iＺ_i+1−Ｘ_i+1Ｚ_i）²（mod ｎ）（58）前述の同次座標の表記法を用いれば、暗号化及び復号化の手順を次のように書き直すことができる。ｓ≡ｘ_e≡Ｘ_e／Ｚ_e（mod ｎ）（59）ここで、Ｘ＝ｘかつＺ＝１である。ｘ≡ｓ_di≡Ｓ_di／Ｚ_di（mod ｎ）（60）ここで、Ｓ＝ｓ，Ｚ＝１であり、ｄ_iは式（42）〜（51）によって定まる。上記の暗号化方法は、次のようにして署名を作成する復号化鍵ｄ_iを用いることにより、デジタル署名の作成にも同じように適用することができる。ｓ≡ｘ_di／Ｚ_di（mod ｎ）（61）ここで、Ｘ＝ｘはメッセージすなわち平文テキストであって、Ｚ＝１であり、ｄ_i は、式（44）〜（47）におけるｗをｚ≡ｘ³＋ａｘ＋ｂ（mod ｎ）で置き換えた式（42）〜（51）によって定まるものである。署名認識は次の計算によって行われる。ｘ≡Ｓ_e／Ｚ_e（mod ｎ）（62）ここで、Ｓ＝ｓであり、Ｚ＝１である。前述の暗号化方法は、その群対の一要素からその群対の要素（複数）を生成するように、最初に選ばれた要素を含めて群対の要素に対して演算を行うことができる、巡回群についての類似した群対に分割することができる、ルーカス・シーケンス（Lucas sequences）のような他の記数法（number system）にも適用することができる。上記において説明した暗号化方法は、以下のように、従来の手法に対し重要な利点を多く持っている。（ｉ）この方法は、デジタル署名と暗号化の双方の用途に対して使用できる。（ii）メッセージ・データを拡張する必要がない、すなわち、暗号化テキストと平文テキストとはビット長が同一である。（iii）楕円曲線上の点の１番目の座標のみを決定するだけでよい。（iv）この方法は、gcd（４ａ³＋２７ｂ²,ｎ）＝１という条件の下で、３よりも大きい任意の値のｐ及びｑと、楕円群の位数を決定できる任意の値のａ及びｂとに対して、使用することができる。（ｖ）パラメータａ及びｂは一定のままであって公然と知られている。したがって、送信端末や受信端末において、それらのパラメータを決定したり算出したりする必要はない。（vi）この方法は準同型攻撃には影響を受けないように思われる、すなわち、以前に使用された署名のデータベースから新しい署名を生成することはできず、その理由は、楕円曲線上の点の２番目の座標は決して算出されず、対応する２番目の座標を知ることなく任意の２点の１番目の座標を加算するのは困難であるからである。２番目の座標は、ｐ及びｑが知られている場合にのみ決定することができる。

Claims

【特許請求の範囲】１．３よりも大きい素数である秘密鍵ｐ及びｑを選択するステップと、複数対の群の一つの群対に属する一連のデータ値に対する公開パラメータを選択するステップであって、前記複数群対の一つの群対における前記データ値のうちの任意の１データ値が、ｋを整数、Ｎ_iをｉ番目の群対の位数、ｎをｐ・ｑとしてモジュロｎ演算を前記データ値のうちの前記１データ値から始めてｋＮ_i＋１回行うことにより復元されるように選択するステップと、全てのｉについてｋＮ_i＋１の因数である公開暗号化鍵ｅを選択するステップと、通信データに対して前記演算を実行することにより該通信データを前記複数群対の一つの群対の一つの要素として処理して、該通信データが属する群対ｉの位数Ｎ_iをｐ及びｑに基づいて求め、かつ、秘密復号化鍵ｄ_iをｅ.ｄ_i＝ｋＮ_i＋１を用いて求めるステップと、を備える暗号化方法。２．請求項１に記載の暗号化方法であって、前記演算をｘに対してｅ回実行することにより、データ値ｘを有するメッセージ・データを暗号化して暗号化テキストｓを得るステップを含む暗号化方法。３．請求項１に記載の暗号化方法であって、前記複数群対のうちデータ値ｓが属する一つの群対を決定するとともに、ｅ，ｐ，ｑ，及び前記公開パラメータに基づいて前記複数群対のうちの前記一つの群対に対するＮ_i及びｄ_iを決定し、前記演算をｓに対してｄ_i回実行することにより、データ値ｓを有する暗号化テキストを復号化するステップを含む暗号化方法。４．請求項１に記載の暗号化方法であって、前記複数群対のうちデータ値ｘが属する一つの群対を決定するとともに、ｅ，ｐ，ｑ，及び前記公開パラメータに基づいて前記複数群対のうちの前記一つの群対に対するＮ_i及びｄ_iを決定し、前記演算をＸに対してｄ_i回実行することにより、データ値ｘを有するメッセージ・データに対するデジタル署名を得るステップを含む暗号化方法。５．請求項１に記載の暗号化方法であって、前記演算をｅ回実行して平文テキストを得ることにより、データｓ値を有するデジタル署名を認識するステップを含む暗号化方法。６．請求項３に記載の暗号化方法において、前記複数群対のうちの前記一つの群対を決定するために前記暗号化テキストｓと前記公開パラメータとｐ及びｑのみを必要とする暗号化方法。７．請求項４に記載の暗号化方法において、前記複数群対のうちの前記一つの群対を決定するために前記メッセージ・データｘと前記公開パラメータとｐ及びｑのみを必要とする暗号化方法。８．請求項１に記載の暗号化方法において、前記複数群対は、不定のデータ値を含む相補群を含む暗号化方法。９．請求項１に記載の暗号化方法において、前記パラメータは曲線のパラメータであり、前記データ値は該曲線上の点を表すものである暗号化方法。１０．請求項９に記載の暗号化方法において、前記曲線は楕円曲線である暗号化方法。１１．請求項１０に記載の暗号化方法において、前記曲線はｙ²＝ｘ³＋ａｘ＋ｂ（mod ｎ）を満足する前記点（ｘ,ｙ）を含む曲線であって、ａ及びbは前記公開パラメータであり、gcd(４ａ₃＋２７ｂ²,ｎ)＝１であり、前記データ値はｘ座標を表すものである暗号化方法。１２．請求項１１に記載の暗号化方法において、前記演算は、記号＃によって示される、前記曲線上の点の乗算であって、（ｘ,ｙ）＃｛ｋＮ_i＋1｝≡（ｘ,ｙ）＃ｅ.ｄ_i≡（ｘ,ｙ）（mod n）となるような乗算である暗号化方法。１３．請求項１２に記載の暗号化方法において、ｖは平方非剰余の固定値である暗号化方法。１４．請求項１３に記載の暗号化方法において、点（ｘ,ｙ）に対して前記演算を実行することによって得られる点（ｓ,ｔ）については、（ｓ,ｔ）は４個の前記群対のうちの一つの群対に属し、ｉは１，２，３又は４であって、ｅ.ｄ_i≡±１（mod Ｎ_i），ｉ＝１〜４ gcd(ｅ,Ｎ_i)＝１，ｉ＝１〜４ (ｗ｜ｐ)＝１かつ(ｗ｜ｑ)＝１のとき、Ｎ₁＝１cm(p＋１＋α,ｑ＋１＋β) (ｗ｜ｐ)＝１かつ(ｗ｜ｑ)≠１のとき、Ｎ₂＝１cm(p＋１＋α,ｑ＋１−β) (ｗ｜ｐ)≠１かつ(ｗ｜ｑ)＝１のとき、Ｎ₃＝１cm(p＋１−α,ｑ＋１＋β) (ｗ｜ｐ)≠１かつ(ｗ｜ｑ)≠１のとき、Ｎ₄＝１cm(p＋１−α,ｑ＋１−β) ｚ≡ｘ³＋ａｘ＋ｂ（mod ｎ）ｗ≡ｓ³＋ａｓ＋ｂ（mod ｎ）あり、（ｗ｜ｐ）又は（ｗ｜q）はルジャンドル記号であり、前記群対のうちの前記一つの群対は、位数Ｎ_i，Ｎ₂ ，Ｎ₃又はＮ₄と、復号化鍵ｄ₁，ｄ₂，ｄ₃又はｄ₄とをそれぞれを有するものである暗号化方法。１５．請求項１４に記載の暗号化方法であって、（ｓ,ｔ）≡（ｘ,ｙ）＃ｅ（mod ｎ）を実行することにより、データ値ｘを有する平文テキストを暗号化して暗号化テキストｓを得るステップを含む暗号化方法。１６．請求項１４に記載の暗号化方法であって、（ｘ,ｙ）≡（ｓ,ｔ）＃ｄ_i（mod ｎ）を実行することにより、データ値Ｓを有する暗号化テキストを復号化して平文テキストｘを得るステップを含む暗号化方法。１７．請求項１４に記載の暗号化方法であって、（ｓ,ｔ）≡（ｘ,ｙ)＃ｄ_i（mod ｎ）を実行し、ｗにｚを代入してＮ_i及びｄ_iを決定することにより、平文テキストｘに対してデータ値ｓを有するデジタル署名を得るステップを含む暗号化方法。１８．請求項１４に記載の暗号化方法であって、（ｘ,ｙ)≡（ｓ,ｔ)＃ｅ（mod ｎ）を実行することにより、データ値Ｓを有するデジタル署名を認識して平文テキストｘを得るステップを含む暗号化方法。１９．請求項１４に記載の暗号化方法において、ｘ≡Ｘ／Ｚ（mod n）及びｙ≡Ｙ／Ｚ（mod n）及び（ｘ_i,ｙ_i）≡（X_i／Ｚ_i, Ｙ_i／Ｚ_i）≡（Ｘ／Ｚ,Ｙ／Ｚ）＃ｉ（mod ｎ）であり、前記群内の点が次式を用いて得られる暗号化方法。Ｘ_2i≡（Ｘ_i ²−ａＺ_i ²）²−８ｂＸ_iＺ_i ³（mod ｎ）Ｚ_2i≡４Ｚ_i（Ｘ_i ³＋ａＸ_iＺ_i ²＋ｂＺｉ³）²（mod n）Ｘ_2i+1≡Ｚ［４ｂＺ_i ²Ｚ_i+1 ²＋２（aＺ_iＺ_i+1＋Ｘ_iＸ_i+1） ×（Ｘ_iＺ_i+1＋Ｘ_i+1Ｚ_i］−Ｘ（Ｘ_iＺ_i+1−Ｘ_i+1Ｚ_i）²（mod n）Ｚ_2i+1≡Ｚ（Ｘ_iＺ_i+1−Ｘ_i+1Ｚ_i）²（mod n）２０．請求項１９に記載の暗号化方法であって、Ｘ＝ｘ及びＺ＝１の場合での次式ｓ≡ｘ_e≡Ｘ_e／Ｚ_e（mod n）を用いて、データ値ｘを有する平文テキストを暗号化して暗号化テキストｓを得るステップを含む暗号化方法。２１．請求項１９に記載の暗号化方法であって、Ｓ＝ｓ及びＺ＝１の場合での次式Ｘ≡Ｓ_di≡Ｓ_di／Ｚ_di（mod ｎ）を用いて、データ値ｓを有する暗号化テキストを復号化して平文テキストｘを得るステップを含む暗号化方法。２２．請求項１９に記載の暗号化方法において、Ｓ＝ｓ及びＺ＝１の場合であってｚがｗに代入されてＮ_i及びｄ_iが決定された場合での次式ｓ≡Ｘ_di／Ｚ_di（mod ｎ）を用いて、平文テキストｘからデータ値ｓを有するデジタル署名を生成するステップを含む暗号化方法。２３．請求項１９に記載の暗号化方法であって、Ｓ＝ｓ及びＺ＝１の場合での次の演算ｘ≡Ｓ_e／Ｚ_e（mod ｎ）を実行することにより、データ値ｓを有するデジタル署名を認識して平文テキストｘを得るステップを含む暗号化方法。