JPH0856219A - 暗号通信システム - Google Patents
暗号通信システムInfo
- Publication number
- JPH0856219A JPH0856219A JP6189260A JP18926094A JPH0856219A JP H0856219 A JPH0856219 A JP H0856219A JP 6189260 A JP6189260 A JP 6189260A JP 18926094 A JP18926094 A JP 18926094A JP H0856219 A JPH0856219 A JP H0856219A
- Authority
- JP
- Japan
- Prior art keywords
- mod
- calculated
- elliptic curve
- point
- key
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
- G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
- G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
- G06F7/724—Finite field arithmetic
- G06F7/725—Finite field arithmetic over elliptic curves
Abstract
(57)【要約】
【目的】 本発明は、同報通信に用いた場合、ＲＳＡ暗
号系に比べてより安全であり、ＫＭＯＶ暗号系やＤemyt
ko暗号系より高速な暗号通信システムを提供することを
目的とする。 【構成】 本発明の暗号通信システムの公開鍵暗号方式
は、通信文の受信側に置かれ、通信文の送信側に対して
公開する公開鍵と、この公開鍵に対応する秘密鍵を予め
生成する鍵生成手段と、送信側に置かれ、送信する平文
を前記公開鍵を用いて暗号化して暗号文を生成する暗号
化手段と、受信側に置かれ、受信した当該暗号文を前記
秘密鍵を用いて復号化して元の平文を生成する復号化手
段とから構成される暗号通信システムであって、環Ｚn
上の特異な楕円曲線に基づいており、ｎの素因数分解の
困難さに安全性の根拠をおくものである。
号系に比べてより安全であり、ＫＭＯＶ暗号系やＤemyt
ko暗号系より高速な暗号通信システムを提供することを
目的とする。 【構成】 本発明の暗号通信システムの公開鍵暗号方式
は、通信文の受信側に置かれ、通信文の送信側に対して
公開する公開鍵と、この公開鍵に対応する秘密鍵を予め
生成する鍵生成手段と、送信側に置かれ、送信する平文
を前記公開鍵を用いて暗号化して暗号文を生成する暗号
化手段と、受信側に置かれ、受信した当該暗号文を前記
秘密鍵を用いて復号化して元の平文を生成する復号化手
段とから構成される暗号通信システムであって、環Ｚn
上の特異な楕円曲線に基づいており、ｎの素因数分解の
困難さに安全性の根拠をおくものである。
Description
【０００１】
【産業上の利用分野】本発明は、通信ネットワークを介
して伝送される通信の内容を秘密保持するための暗号通
信システムに関する。
して伝送される通信の内容を秘密保持するための暗号通
信システムに関する。
【０００２】
【従来の技術】公開鍵暗号方式とは利用者毎に予め生成
された暗号化鍵である公開鍵と復号鍵である秘密鍵とを
用いて暗号化及び復号を行なう暗号化方式である。通
常、公開鍵は通信ネットワーク上で公開され、秘密鍵は
鍵を生成した利用者自身により秘密とされる。
された暗号化鍵である公開鍵と復号鍵である秘密鍵とを
用いて暗号化及び復号を行なう暗号化方式である。通
常、公開鍵は通信ネットワーク上で公開され、秘密鍵は
鍵を生成した利用者自身により秘密とされる。
【０００３】次に、この公開鍵暗号方式による暗号通信
の手順について説明する。 (i) 利用者は、利用者自身の公開鍵と秘密鍵とを生成
し、公開鍵を通信ネットワーク上、例えば公開ファイル
に登録する。 (ii)送信者は、通信ネットワーク上で公開される受信者
の公開鍵を用いて平文から暗号文を計算（暗号化）し、
通信路を介して暗号文を受信者に送信する。 (iii) 受信者は、この受信した暗号文と受信者自身の秘
密鍵とから平文を計算（復号）する。 従って、この公開鍵暗号方式において安全性が確保され
るためには、公開された情報から秘密鍵を求めるのが困
難であることが必須である。
の手順について説明する。 (i) 利用者は、利用者自身の公開鍵と秘密鍵とを生成
し、公開鍵を通信ネットワーク上、例えば公開ファイル
に登録する。 (ii)送信者は、通信ネットワーク上で公開される受信者
の公開鍵を用いて平文から暗号文を計算（暗号化）し、
通信路を介して暗号文を受信者に送信する。 (iii) 受信者は、この受信した暗号文と受信者自身の秘
密鍵とから平文を計算（復号）する。 従って、この公開鍵暗号方式において安全性が確保され
るためには、公開された情報から秘密鍵を求めるのが困
難であることが必須である。
【０００４】一方、素因数分解の困難さに安全性の根拠
をおく公開鍵暗号方式の１つにＲＳＡ暗号系がある。こ
のＲＳＡ暗号系は、同報通信に用いた場合、low expone
nt attack （Hastad,"On using RSA with low exponent
in a public key network",Proc．of Crypto '85, pp.
403-408, 1985)と呼ばれる解読法が適用できることが知
られている。
をおく公開鍵暗号方式の１つにＲＳＡ暗号系がある。こ
のＲＳＡ暗号系は、同報通信に用いた場合、low expone
nt attack （Hastad,"On using RSA with low exponent
in a public key network",Proc．of Crypto '85, pp.
403-408, 1985)と呼ばれる解読法が適用できることが知
られている。
【０００５】この同報通信とは、平文ｍをｋ人の受信者
に対して暗号化して得られた異なる暗号文ｃi ＝ｍe
ｍｏｄ ｎi （１≦ｉ≦ｋ）をそれぞれの受信者に送信
するものである。また、low exponent attack とは、公
開鍵ｅに対して決まるしきい値を越える個数の同報暗号
文から平文を計算する方法である。
に対して暗号化して得られた異なる暗号文ｃi ＝ｍe
ｍｏｄ ｎi （１≦ｉ≦ｋ）をそれぞれの受信者に送信
するものである。また、low exponent attack とは、公
開鍵ｅに対して決まるしきい値を越える個数の同報暗号
文から平文を計算する方法である。
【０００６】このように解読法が存在するＲＳＡ暗号系
対して、環Ｚn 上の非特異な楕円曲線に基づくＫＭＯＶ
暗号系（Koyama,Maurer,Okamoto,Vanstone：“Ｎew pub
lic-key schemes based on elliptic curves over the
ring Ｚn ”，Proc．of Crypto '91, pp.252-266,199
1）とＤemytko暗号系（Ｄemytko：“Ａ new ellipticc
urve based analogue of ＲＳＡ”，Proc．of Eurocry
pt'93, pp.39-48,1993）が提案されている。
対して、環Ｚn 上の非特異な楕円曲線に基づくＫＭＯＶ
暗号系（Koyama,Maurer,Okamoto,Vanstone：“Ｎew pub
lic-key schemes based on elliptic curves over the
ring Ｚn ”，Proc．of Crypto '91, pp.252-266,199
1）とＤemytko暗号系（Ｄemytko：“Ａ new ellipticc
urve based analogue of ＲＳＡ”，Proc．of Eurocry
pt'93, pp.39-48,1993）が提案されている。
【０００７】
【発明が解決しようとする課題】しかしながら、従来提
案されているＫＭＯＶ暗号系やＤemytko暗号系は、鍵の
大きさを同程度にした場合、ＲＳＡ暗号系に比べて暗号
化／復号の速度が遅く、そのため、より高速な暗号化方
式の出現が望まれていた。
案されているＫＭＯＶ暗号系やＤemytko暗号系は、鍵の
大きさを同程度にした場合、ＲＳＡ暗号系に比べて暗号
化／復号の速度が遅く、そのため、より高速な暗号化方
式の出現が望まれていた。
【０００８】本発明は、同報通信に用いた場合、ＲＳＡ
暗号系に比べてより安全性に優れ、ＫＭＯＶ暗号系やＤ
emytko暗号系より高速な暗号通信システムを提供するこ
とを目的とする。
暗号系に比べてより安全性に優れ、ＫＭＯＶ暗号系やＤ
emytko暗号系より高速な暗号通信システムを提供するこ
とを目的とする。
【０００９】
【課題を解決するための手段】上記目的を達成するため
本願第１の発明は、通信文の受信側に置かれ、通信文の
送信側に対して公開する公開鍵と、この公開鍵に対応す
る秘密鍵を予め生成する鍵生成手段と、送信側に置か
れ、送信する平文を前記公開鍵を用いて暗号化して暗号
文を生成する暗号化手段と、受信側に置かれ、受信した
当該暗号文を前記秘密鍵を用いて復号化して元の平文を
生成する復号化手段とから構成される暗号通信システム
であって、環Ｚn 上の特異な楕円曲線に基づき、かつ送
信側に対して公開される公開鍵ｎが十分に大きな素数
ｐ，ｑの積であることを要旨とする。
本願第１の発明は、通信文の受信側に置かれ、通信文の
送信側に対して公開する公開鍵と、この公開鍵に対応す
る秘密鍵を予め生成する鍵生成手段と、送信側に置か
れ、送信する平文を前記公開鍵を用いて暗号化して暗号
文を生成する暗号化手段と、受信側に置かれ、受信した
当該暗号文を前記秘密鍵を用いて復号化して元の平文を
生成する復号化手段とから構成される暗号通信システム
であって、環Ｚn 上の特異な楕円曲線に基づき、かつ送
信側に対して公開される公開鍵ｎが十分に大きな素数
ｐ，ｑの積であることを要旨とする。
【００１０】また、本願第２の発明は、素数ｐ、パラメ
ータｂ；（ｂ≠０）に対して、ｙ2≡ｘ3 ＋ｂｘ2
（ｍｏｄ ｐ）を満たす点（ｘ，ｙ）の集合から特異点
（０，０）を除き、無限遠点Φを加えた集合である素体
Ｆp 上の楕円曲線Ｅns（Ｆp ）上の二点に対して加算が
定義できて、いずれかの点が無限遠点Φの場合は、Φ＋
Ｐ1 ＝Ｐ1 ＋Φ＝Ｐ1 となり、二点が共に無限遠点Φで
ない場合は、Ｐ1 ＝（ｘ1 ，ｙ1 ），Ｐ2 ＝（ｘ2 ，ｙ
2 ）に対して、Ｐ3 ＝（ｘ3 ，ｙ3 ）＝Ｐ1 ＋Ｐ2 は、
Ｐ1 ≠Ｐ2 のときλ＝（ｙ2 −ｙ1 ）／（ｘ2 −
ｘ1 ）、Ｐ1 ＝Ｐ2 のときλ＝ｘ1 （３ｘ1 ＋２ｂ）／
２ｙ1 としたとき、ｘ3 ，ｙ3 をそれぞれ、ｘ3＝λ2
−ｂ−ｘ1 −ｘ2 ，ｙ3 ＝λ（ｘ1 −ｘ3 ）−ｙ1 と定
義し、環Ｚn 上の楕円曲線Ｅns（Ｚn ）を用い、ｎは素
数ｐ，ｑの積とし、ｐ，ｑはｎの素因数分解が困難とな
るよう大きな素数として予め定め、楕円曲線Ｅ
ns（Ｚn ）上の加算は、楕円曲線Ｅns（Ｆp ）と同様に
定義し、楕円曲線Ｅns（Ｚn ）上の点Ｐのｄ倍点（ｄ・
Ｐ）は、該加算を組み合わせて計算するものであり、前
記鍵生成手段は、素数ｐ，ｑを選び、ｎ＝ｐｑを計算
し、最小公倍数ＬＣＭ（ｐ−１，ｐ＋１，ｑ−１，ｑ＋
１）と互いに素なｅを選び、ｄp1＝１／ｅ （ｍｏｄ
ｐ−１），ｄp2＝１／ｅ （ｍｏｄ ｐ＋１），ｄq1＝
１／ｅ （ｍｏｄ ｑ−１），ｄq2＝１／ｅ （ｍｏｄ
ｑ＋１）を計算する機能を有し、前記暗号化手段は、
前記鍵生成手段で作成した公開鍵ｅ，ｎ及び０＜ｍx ，
ｍy ＜ｎの範囲内の平文として前記楕円曲線Ｅ
ns（Ｚn ）上の点Ｍ＝（ｍx ，ｍy ）を入力し、点Ｍを
含む当該楕円曲線のパラメータｂ＝（ｍy 2 −ｍx 3 ）
／ｍx 2 （ｍｏｄ ｎ）を計算し、当該楕円曲線上で暗
号文Ｃ＝（ｃx ，ｃy ）＝ｅ・Ｍを計算し、暗号文Ｃを
生成し、前記復号手段は、前記鍵生成手段で作成した秘
密鍵ｐ，ｑ，ｄp1，ｄp2，ｄq1，ｄq2及び前記暗号化手
段で作成した暗号文Ｃ＝（ｃx ，ｃy ）を入力し、ｃxp
＝ｃx ｍｏｄ ｐ，ｃxq＝ｃx ｍｏｄ ｑ，ｃyq＝
ｃy ｍｏｄｐ，ｃyp＝ｃy ｍｏｄ ｑを計算し、ｂ
p ＝（ｃyp 2 −ｃxp 3 ）／ｃxp 2 （ｍｏｄ ｐ），ｂ
q ＝（ｃyq 2 −ｃxq 3 ）／ｃxq 2 （ｍｏｄ ｑ）を計
算し、ｂp がｐの平方剰余のとき、ｒp ＝ｂp 1/2
（ｍｏｄ ｐ）、ｖp ＝((ｃyp＋ｒp ｃxp）／（ｃyp−
ｒp ｃxp))dp1 （ｍｏｄ ｐ）、ｔp ＝（ｖp ＋１）
／（ｖp −１） （ｍｏｄ ｐ）、ｘp ＝ｂp （ｔp 2
−１） （ｍｏｄ ｐ）、ｙp ＝ｔp ｒp ｘp （ｍｏ
ｄｐ）を計算し、ｂp がｐの平方非剰余のとき、ｆp ＝
２ｃyp 2 ／ｃxp 3 −１（ｍｏｄ ｐ），ｇp ＝２ｃyp／
ｃxp 2 （ｍｏｄ ｐ）、二次体Ｆp （√ｂp）の乗法
群のノルムが１であるような要素からなる部分群である
Ｌp 上の乗算を、ｆ＋ｇ√ｂp を〈ｆ，ｇ〉で表したと
き、〈ｆ1 ，ｇ1 〉×〈ｆ2 ，ｇ2 〉＝〈（ｆ1 ｆ2 ＋
ｇ1 ｇ2 ｂp ） ｍｏｄ ｐ，（ｆ1 ｇ2 ＋ｆ2 ｇ1 ）
ｍｏｄｐ〉、〈ｆ1 ，ｇ1 〉2 ＝〈（２ｆ1 2 −１）
ｍｏｄ ｐ，（２ｆ1 ｇ1 ）ｍｏｄ ｐ〉と定義し、
Ｌp 上で〈ｕp ，ｖp 〉＝〈ｆp ，ｇp 〉dp2 を計算
し、ｘp ＝２（ｕp ＋１）／ｖp 2 （ｍｏｄ ｐ），
ｙp ＝２（ｕp ＋１）2／ｖp 3 （ｍｏｄ ｐ）を計
算し、ｂp がｑの平方剰余のとき、ｒq ＝ｂq 1/ 2
（ｍｏｄ ｑ）、ｖq ＝((ｃyq＋ｒq ｃxq）／（ｃyq−
ｒq ｃxq))dq1 （ｍｏｄ ｑ）、ｔq ＝（ｖq ＋１）
／（ｖq −１） （ｍｏｄ ｑ）、ｘq ＝ｂq （ｔq 2
−１） （ｍｏｄ ｑ），ｙq ＝ｔq ｒq ｘq （ｍｏ
ｄ ｑ）を計算し、ｂq がｑの平方非剰余のとき、ｆq
＝２ｃyq 2 ／ｃxq 3 −１ （ｍｏｄｑ），ｇq ＝２ｃyq
／ｃxq 2 （ｍｏｄ ｑ）、二次体Ｆq （√ｂq ）の乗
法群のノルムが１であるような要素からなる部分群であ
るＬq 上の乗算を、ｆ＋ｇ√ｂq を〈ｆ，ｇ〉で表した
とき、〈ｆ1 ，ｇ1 〉×〈ｆ2 ，ｇ2 〉＝〈（ｆ1 ｆ2
＋ｇ1 ｇ2 ｂq ） ｍｏｄ ｑ，（ｆ1 ｇ2 ＋ｆ
2 ｇ1 ） ｍｏｄ ｑ〉、〈ｆ1 ，ｇ1 〉2 ＝〈（２ｆ
1 2 −１） ｍｏｄ ｑ，（２ｆ1 ｇ1 ） ｍｏｄｑ〉
と定義し、Ｌq 上で〈ｕq ，ｖq 〉＝〈ｆq ，ｇq 〉
dq2 を計算し、ｘq ＝２（ｕq ＋１）／ｖq 2 （ｍｏ
ｄ ｑ），ｙq ＝２（ｕq ＋１）2 ／ｖq 3 （ｍｏｄ
ｑ）を計算し、さらに、ｘ＝（ｑ（ｘp ／ｑ ｍｏｄ
ｐ）＋ｐ（ｘq ／ｐ ｍｏｄ ｑ))ｍｏｄ ｐｑ，ｙ＝
（ｑ（ｙp ／ｑ ｍｏｄ ｐ）＋ｐ（ｙq ／ｐ ｍｏｄ
ｑ))ｍｏｄ ｐｑを計算し、平文Ｍ＝（ｘ，ｙ）を生
成することを要旨とする。
ータｂ；（ｂ≠０）に対して、ｙ2≡ｘ3 ＋ｂｘ2
（ｍｏｄ ｐ）を満たす点（ｘ，ｙ）の集合から特異点
（０，０）を除き、無限遠点Φを加えた集合である素体
Ｆp 上の楕円曲線Ｅns（Ｆp ）上の二点に対して加算が
定義できて、いずれかの点が無限遠点Φの場合は、Φ＋
Ｐ1 ＝Ｐ1 ＋Φ＝Ｐ1 となり、二点が共に無限遠点Φで
ない場合は、Ｐ1 ＝（ｘ1 ，ｙ1 ），Ｐ2 ＝（ｘ2 ，ｙ
2 ）に対して、Ｐ3 ＝（ｘ3 ，ｙ3 ）＝Ｐ1 ＋Ｐ2 は、
Ｐ1 ≠Ｐ2 のときλ＝（ｙ2 −ｙ1 ）／（ｘ2 −
ｘ1 ）、Ｐ1 ＝Ｐ2 のときλ＝ｘ1 （３ｘ1 ＋２ｂ）／
２ｙ1 としたとき、ｘ3 ，ｙ3 をそれぞれ、ｘ3＝λ2
−ｂ−ｘ1 −ｘ2 ，ｙ3 ＝λ（ｘ1 −ｘ3 ）−ｙ1 と定
義し、環Ｚn 上の楕円曲線Ｅns（Ｚn ）を用い、ｎは素
数ｐ，ｑの積とし、ｐ，ｑはｎの素因数分解が困難とな
るよう大きな素数として予め定め、楕円曲線Ｅ
ns（Ｚn ）上の加算は、楕円曲線Ｅns（Ｆp ）と同様に
定義し、楕円曲線Ｅns（Ｚn ）上の点Ｐのｄ倍点（ｄ・
Ｐ）は、該加算を組み合わせて計算するものであり、前
記鍵生成手段は、素数ｐ，ｑを選び、ｎ＝ｐｑを計算
し、最小公倍数ＬＣＭ（ｐ−１，ｐ＋１，ｑ−１，ｑ＋
１）と互いに素なｅを選び、ｄp1＝１／ｅ （ｍｏｄ
ｐ−１），ｄp2＝１／ｅ （ｍｏｄ ｐ＋１），ｄq1＝
１／ｅ （ｍｏｄ ｑ−１），ｄq2＝１／ｅ （ｍｏｄ
ｑ＋１）を計算する機能を有し、前記暗号化手段は、
前記鍵生成手段で作成した公開鍵ｅ，ｎ及び０＜ｍx ，
ｍy ＜ｎの範囲内の平文として前記楕円曲線Ｅ
ns（Ｚn ）上の点Ｍ＝（ｍx ，ｍy ）を入力し、点Ｍを
含む当該楕円曲線のパラメータｂ＝（ｍy 2 −ｍx 3 ）
／ｍx 2 （ｍｏｄ ｎ）を計算し、当該楕円曲線上で暗
号文Ｃ＝（ｃx ，ｃy ）＝ｅ・Ｍを計算し、暗号文Ｃを
生成し、前記復号手段は、前記鍵生成手段で作成した秘
密鍵ｐ，ｑ，ｄp1，ｄp2，ｄq1，ｄq2及び前記暗号化手
段で作成した暗号文Ｃ＝（ｃx ，ｃy ）を入力し、ｃxp
＝ｃx ｍｏｄ ｐ，ｃxq＝ｃx ｍｏｄ ｑ，ｃyq＝
ｃy ｍｏｄｐ，ｃyp＝ｃy ｍｏｄ ｑを計算し、ｂ
p ＝（ｃyp 2 −ｃxp 3 ）／ｃxp 2 （ｍｏｄ ｐ），ｂ
q ＝（ｃyq 2 −ｃxq 3 ）／ｃxq 2 （ｍｏｄ ｑ）を計
算し、ｂp がｐの平方剰余のとき、ｒp ＝ｂp 1/2
（ｍｏｄ ｐ）、ｖp ＝((ｃyp＋ｒp ｃxp）／（ｃyp−
ｒp ｃxp))dp1 （ｍｏｄ ｐ）、ｔp ＝（ｖp ＋１）
／（ｖp −１） （ｍｏｄ ｐ）、ｘp ＝ｂp （ｔp 2
−１） （ｍｏｄ ｐ）、ｙp ＝ｔp ｒp ｘp （ｍｏ
ｄｐ）を計算し、ｂp がｐの平方非剰余のとき、ｆp ＝
２ｃyp 2 ／ｃxp 3 −１（ｍｏｄ ｐ），ｇp ＝２ｃyp／
ｃxp 2 （ｍｏｄ ｐ）、二次体Ｆp （√ｂp）の乗法
群のノルムが１であるような要素からなる部分群である
Ｌp 上の乗算を、ｆ＋ｇ√ｂp を〈ｆ，ｇ〉で表したと
き、〈ｆ1 ，ｇ1 〉×〈ｆ2 ，ｇ2 〉＝〈（ｆ1 ｆ2 ＋
ｇ1 ｇ2 ｂp ） ｍｏｄ ｐ，（ｆ1 ｇ2 ＋ｆ2 ｇ1 ）
ｍｏｄｐ〉、〈ｆ1 ，ｇ1 〉2 ＝〈（２ｆ1 2 −１）
ｍｏｄ ｐ，（２ｆ1 ｇ1 ）ｍｏｄ ｐ〉と定義し、
Ｌp 上で〈ｕp ，ｖp 〉＝〈ｆp ，ｇp 〉dp2 を計算
し、ｘp ＝２（ｕp ＋１）／ｖp 2 （ｍｏｄ ｐ），
ｙp ＝２（ｕp ＋１）2／ｖp 3 （ｍｏｄ ｐ）を計
算し、ｂp がｑの平方剰余のとき、ｒq ＝ｂq 1/ 2
（ｍｏｄ ｑ）、ｖq ＝((ｃyq＋ｒq ｃxq）／（ｃyq−
ｒq ｃxq))dq1 （ｍｏｄ ｑ）、ｔq ＝（ｖq ＋１）
／（ｖq −１） （ｍｏｄ ｑ）、ｘq ＝ｂq （ｔq 2
−１） （ｍｏｄ ｑ），ｙq ＝ｔq ｒq ｘq （ｍｏ
ｄ ｑ）を計算し、ｂq がｑの平方非剰余のとき、ｆq
＝２ｃyq 2 ／ｃxq 3 −１ （ｍｏｄｑ），ｇq ＝２ｃyq
／ｃxq 2 （ｍｏｄ ｑ）、二次体Ｆq （√ｂq ）の乗
法群のノルムが１であるような要素からなる部分群であ
るＬq 上の乗算を、ｆ＋ｇ√ｂq を〈ｆ，ｇ〉で表した
とき、〈ｆ1 ，ｇ1 〉×〈ｆ2 ，ｇ2 〉＝〈（ｆ1 ｆ2
＋ｇ1 ｇ2 ｂq ） ｍｏｄ ｑ，（ｆ1 ｇ2 ＋ｆ
2 ｇ1 ） ｍｏｄ ｑ〉、〈ｆ1 ，ｇ1 〉2 ＝〈（２ｆ
1 2 −１） ｍｏｄ ｑ，（２ｆ1 ｇ1 ） ｍｏｄｑ〉
と定義し、Ｌq 上で〈ｕq ，ｖq 〉＝〈ｆq ，ｇq 〉
dq2 を計算し、ｘq ＝２（ｕq ＋１）／ｖq 2 （ｍｏ
ｄ ｑ），ｙq ＝２（ｕq ＋１）2 ／ｖq 3 （ｍｏｄ
ｑ）を計算し、さらに、ｘ＝（ｑ（ｘp ／ｑ ｍｏｄ
ｐ）＋ｐ（ｘq ／ｐ ｍｏｄ ｑ))ｍｏｄ ｐｑ，ｙ＝
（ｑ（ｙp ／ｑ ｍｏｄ ｐ）＋ｐ（ｙq ／ｐ ｍｏｄ
ｑ))ｍｏｄ ｐｑを計算し、平文Ｍ＝（ｘ，ｙ）を生
成することを要旨とする。
【００１１】
【作用】本発明の公開鍵暗号方式は環Ｚn 上の特異な楕
円曲線に基づいており、ｎの素因数分解の困難さに安全
性の根拠をおいている。ここで、素数ｐ、パラメータ
ｂ；（ｂ≠０）に対して、ｙ2 ≡ｘ3 ＋ｂｘ2 （ｍｏｄ
ｐ）を満たす点（ｘ，ｙ）の集合から特異点（０，
０）を除き、無限遠点Φを加えた集合を楕円曲線Ｅ
ns（Ｆp ）（Menezes, A., J.: Elliptic Curve Public
key Cryptosystems, Kluwer Academic Publishers, 19
93) と呼ぶ。
円曲線に基づいており、ｎの素因数分解の困難さに安全
性の根拠をおいている。ここで、素数ｐ、パラメータ
ｂ；（ｂ≠０）に対して、ｙ2 ≡ｘ3 ＋ｂｘ2 （ｍｏｄ
ｐ）を満たす点（ｘ，ｙ）の集合から特異点（０，
０）を除き、無限遠点Φを加えた集合を楕円曲線Ｅ
ns（Ｆp ）（Menezes, A., J.: Elliptic Curve Public
key Cryptosystems, Kluwer Academic Publishers, 19
93) と呼ぶ。
【００１２】楕円曲線Ｅns（Ｆp ）上の２点Ｐ1 ，Ｐ2
に対して、加算Ｐ1 ＋Ｐ2 が定義できる。いずれかの点
が無限遠点Φの場合は、Φ＋Ｐ1 ＝Ｐ1 ＋Φ＝Ｐ1 とな
り、二点が共に無限遠点Φでない場合は、Ｐ3 ＝Ｐ1 ＋
Ｐ2 は以下のように定義される。
に対して、加算Ｐ1 ＋Ｐ2 が定義できる。いずれかの点
が無限遠点Φの場合は、Φ＋Ｐ1 ＝Ｐ1 ＋Φ＝Ｐ1 とな
り、二点が共に無限遠点Φでない場合は、Ｐ3 ＝Ｐ1 ＋
Ｐ2 は以下のように定義される。
【００１３】
【数７】 但し、Ｐi ＝（ｘi ，ｙi ）である。楕円曲線Ｅns（Ｆ
p ）は上記の加算に対してアーベル群となり、位数＃Ｅ
ns（Ｆp ）（曲線上の点（ｘ，ｙ）の個数）はｐ−（ｂ
／ｐ）となる。但し、（ｂ／ｐ）はLegendre記号であ
る。整数ｋに対して楕円曲線Ｅns（Ｆp ）上の点
（ｘp ，ｙp ）のｋ倍（ｋ・（ｘp ，ｙp ))は、楕円曲
線Ｅns（Ｆp ）上の（１）式で示される加算を組み合わ
せて計算できる。
p ）は上記の加算に対してアーベル群となり、位数＃Ｅ
ns（Ｆp ）（曲線上の点（ｘ，ｙ）の個数）はｐ−（ｂ
／ｐ）となる。但し、（ｂ／ｐ）はLegendre記号であ
る。整数ｋに対して楕円曲線Ｅns（Ｆp ）上の点
（ｘp ，ｙp ）のｋ倍（ｋ・（ｘp ，ｙp ))は、楕円曲
線Ｅns（Ｆp ）上の（１）式で示される加算を組み合わ
せて計算できる。
【００１４】本発明の公開鍵暗号方式は環Ｚn 上の楕円
曲線Ｅns（Ｚn ）を用いる。ｎは素数ｐ，ｑの積であ
り、ｐ，ｑのサイズはｎの素因数分解の困難さを考慮し
て決められる。
曲線Ｅns（Ｚn ）を用いる。ｎは素数ｐ，ｑの積であ
り、ｐ，ｑのサイズはｎの素因数分解の困難さを考慮し
て決められる。
【００１５】楕円曲線Ｅns（Ｚn ）上の点（ｘ，ｙ）
は、組［（ｘp ，ｙp ），（ｘq ，ｙq ）］で表すこと
ができる。ここで（ｘp ，ｙp ），（ｘq ，ｙq ）はそ
れぞれ楕円曲線Ｅns（Ｆp ），Ｅns（Ｆq ）上の点であ
る。（ｘp ，ｙp ），（ｘq ，ｙq ）は（ｘ，ｙ）から
以下のように計算できる。
は、組［（ｘp ，ｙp ），（ｘq ，ｙq ）］で表すこと
ができる。ここで（ｘp ，ｙp ），（ｘq ，ｙq ）はそ
れぞれ楕円曲線Ｅns（Ｆp ），Ｅns（Ｆq ）上の点であ
る。（ｘp ，ｙp ），（ｘq ，ｙq ）は（ｘ，ｙ）から
以下のように計算できる。
【００１６】 ｘp ＝ｘ ｍｏｄ ｐ，ｘq ＝ｘ ｍｏｄ ｑ， ｙp ＝ｙ ｍｏｄ ｐ，ｙq ＝ｙ ｍｏｄ ｑ また中国人剰余定理により以下のように（ｘp ，ｙp ）
と（ｘq ，ｙq ）から上記の関係を満たす（ｘ，ｙ）を
計算できる。
と（ｘq ，ｙq ）から上記の関係を満たす（ｘ，ｙ）を
計算できる。
【００１７】
【数８】 楕円曲線Ｅns（Ｚn ）上の点（ｘ，ｙ）のｍ倍を以下の
ように定義する。
ように定義する。
【００１８】
【数９】ｍ・（ｘ，ｙ）＝［ｍ・（ｘp ，ｙp ），ｍ・
（ｘq ，ｙq ）］ Ｌ＝ＬＣＭ（＃Ｅns（Ｆp ），＃Ｅns（Ｆq ))とおく
と、ｋ≡１（ｍｏｄ Ｌ）なるｋと（ｘ，ｙ）∈Ｅ
ns（Ｚn ）に対して、以下の関係がなり立つ。
（ｘq ，ｙq ）］ Ｌ＝ＬＣＭ（＃Ｅns（Ｆp ），＃Ｅns（Ｆq ))とおく
と、ｋ≡１（ｍｏｄ Ｌ）なるｋと（ｘ，ｙ）∈Ｅ
ns（Ｚn ）に対して、以下の関係がなり立つ。
【００１９】
【数１０】 （ｘ，ｙ）＝ｋ・（ｘ，ｙ） over Ｅns（Ｚn ） （３） ここで、ｅｄ≡１（ｍｏｄ Ｌ）を満たすｅとｄを選
び、暗号化を楕円曲線Ｅns（Ｚn ）上のｅ倍算、復号を
楕円曲線Ｅns（Ｚn ）上のｄ倍算とすれば、楕円曲線Ｅ
ns（Ｚn ）上の点（ｘ，ｙ）は暗号化と復号により元の
点（ｘ，ｙ）に戻る。以上が本発明の暗号化／復号の原
理である。
び、暗号化を楕円曲線Ｅns（Ｚn ）上のｅ倍算、復号を
楕円曲線Ｅns（Ｚn ）上のｄ倍算とすれば、楕円曲線Ｅ
ns（Ｚn ）上の点（ｘ，ｙ）は暗号化と復号により元の
点（ｘ，ｙ）に戻る。以上が本発明の暗号化／復号の原
理である。
【００２０】但し暗号化においては秘密鍵である素因数
ｐ，ｑを知ることができないので、（１）式で示される
加算公式を用いて楕円曲線Ｅns（Ｚn ）上でｅ倍を計算
する。復号手順は楕円曲線Ｅns（Ｆp ）及び楕円曲線Ｅ
ns（Ｆq ）上の定数倍で定義できる。尚、両者は同じ手
順であるので、本明細書では楕円曲線Ｅns（Ｆp ）の場
合を例にして説明する。
ｐ，ｑを知ることができないので、（１）式で示される
加算公式を用いて楕円曲線Ｅns（Ｚn ）上でｅ倍を計算
する。復号手順は楕円曲線Ｅns（Ｆp ）及び楕円曲線Ｅ
ns（Ｆq ）上の定数倍で定義できる。尚、両者は同じ手
順であるので、本明細書では楕円曲線Ｅns（Ｆp ）の場
合を例にして説明する。
【００２１】本発明で用いる特異な楕円曲線Ｅ
ns（Ｆp ）においては、（ｂp ／ｐ）＝１の場合には楕
円曲線Ｅns（Ｆp ）から素体Ｆp の乗法群への群同型写
像が存在し、また（ｂp ／ｐ）＝−１の場合には楕円曲
線Ｅns（Ｆp ）からＬp への群同型写像が存在する。ま
た、Ｌp は二次体Ｆp （√ｂp ）の乗法群のノルムが１
であるような要素からなる部分群である。
ns（Ｆp ）においては、（ｂp ／ｐ）＝１の場合には楕
円曲線Ｅns（Ｆp ）から素体Ｆp の乗法群への群同型写
像が存在し、また（ｂp ／ｐ）＝−１の場合には楕円曲
線Ｅns（Ｆp ）からＬp への群同型写像が存在する。ま
た、Ｌp は二次体Ｆp （√ｂp ）の乗法群のノルムが１
であるような要素からなる部分群である。
【００２２】復号手順は楕円曲線上の定数倍計算で定義
されるが、上記の群同型写像を適用すると素体Ｆp の乗
法群またはＬp 上のべき乗として計算できる。素体Ｆp
の乗法群，Ｌp 上のべき乗は共に、楕円曲線上の定数倍
より少ない演算回数で計算できる。従って、本発明では
楕円曲線上の定数倍計算で復号を行なうＫＭＯＶ暗号系
やＤemytko暗号系に比べてより高速である。
されるが、上記の群同型写像を適用すると素体Ｆp の乗
法群またはＬp 上のべき乗として計算できる。素体Ｆp
の乗法群，Ｌp 上のべき乗は共に、楕円曲線上の定数倍
より少ない演算回数で計算できる。従って、本発明では
楕円曲線上の定数倍計算で復号を行なうＫＭＯＶ暗号系
やＤemytko暗号系に比べてより高速である。
【００２３】また、本発明の暗号方式にlow exponent a
ttack に相当する解読を適用するには、公開鍵ｅを同一
にした場合、ＲＳＡ暗号系と比べてより多くの同報暗号
文を必要とする。このため、本発明の方式は同報通信に
用いた場合、ＲＳＡ暗号系に比べて安全である。
ttack に相当する解読を適用するには、公開鍵ｅを同一
にした場合、ＲＳＡ暗号系と比べてより多くの同報暗号
文を必要とする。このため、本発明の方式は同報通信に
用いた場合、ＲＳＡ暗号系に比べて安全である。
【００２４】
【実施例】次に、本発明に係る暗号通信システムの一実
施例の構成について図１を参照して説明する。図１に示
すように、本実施例の暗号通信システムは送信装置１と
受信装置３によって構成される。また、送信装置１はメ
モリ１１、ＣＰＵ１３、公開鍵メモリ１５及び送信部１
７で構成される暗号化装置１０を具える。また、受信装
置３は、ＣＰＵ２１を有する鍵生成装置２０と、秘密鍵
メモリ３１、ＣＰＵ３３、受信部３５及びメモリ３７で
構成される復号装置３０とを具える。但し、通常、通信
は双方向で行われることから、送信側、受信側双方共、
送信装置１と受信装置３とを具備するが、ここでは簡単
のため一方向側について説明する。
施例の構成について図１を参照して説明する。図１に示
すように、本実施例の暗号通信システムは送信装置１と
受信装置３によって構成される。また、送信装置１はメ
モリ１１、ＣＰＵ１３、公開鍵メモリ１５及び送信部１
７で構成される暗号化装置１０を具える。また、受信装
置３は、ＣＰＵ２１を有する鍵生成装置２０と、秘密鍵
メモリ３１、ＣＰＵ３３、受信部３５及びメモリ３７で
構成される復号装置３０とを具える。但し、通常、通信
は双方向で行われることから、送信側、受信側双方共、
送信装置１と受信装置３とを具備するが、ここでは簡単
のため一方向側について説明する。
【００２５】送信者Ａの送信装置１から受信者Ｂの受信
装置３へ暗号通信を行なうためには、予め受信者Ｂの鍵
生成装置２１で秘密鍵と公開鍵を生成しておく。送信者
Ａは暗号化装置１０により、受信者Ｂの公開鍵と平文Ｍ
から暗号文Ｃを計算し受信者Ｂへ送信する。受信者Ｂは
復号装置３０により、受信した暗号文Ｃと秘密鍵から平
文Ｍを計算し出力する。
装置３へ暗号通信を行なうためには、予め受信者Ｂの鍵
生成装置２１で秘密鍵と公開鍵を生成しておく。送信者
Ａは暗号化装置１０により、受信者Ｂの公開鍵と平文Ｍ
から暗号文Ｃを計算し受信者Ｂへ送信する。受信者Ｂは
復号装置３０により、受信した暗号文Ｃと秘密鍵から平
文Ｍを計算し出力する。
【００２６】次に、鍵生成装置２０における処理手順を
図２を参照して説明する。 ステップＳ１１ 大きな素数ｐ，ｑを生成する。 ステップＳ１３ ｎ＝ｐｑを計算する。 ステップＳ１５ 最小公倍数Ｌ＝ＬＣＭ（ｐ−１，ｐ＋
１，ｑ−１，ｑ＋１）を計算する。 ステップＳ１７ 公開鍵として整数ｅを選ぶ。 ステップＳ１９ ｅとＬが互いに素でなければステップ
Ｓ１７へ戻る。 ステップＳ２１ 秘密鍵ｄp1，ｄp2，ｄq1，ｄq2を次式
に従って計算する。
図２を参照して説明する。 ステップＳ１１ 大きな素数ｐ，ｑを生成する。 ステップＳ１３ ｎ＝ｐｑを計算する。 ステップＳ１５ 最小公倍数Ｌ＝ＬＣＭ（ｐ−１，ｐ＋
１，ｑ−１，ｑ＋１）を計算する。 ステップＳ１７ 公開鍵として整数ｅを選ぶ。 ステップＳ１９ ｅとＬが互いに素でなければステップ
Ｓ１７へ戻る。 ステップＳ２１ 秘密鍵ｄp1，ｄp2，ｄq1，ｄq2を次式
に従って計算する。
【数１１】ｄp1＝１／ｅ （ｍｏｄ ｐ−１），ｄp2＝
１／ｅ （ｍｏｄ ｐ＋１） ｄq1＝１／ｅ （ｍｏｄ ｑ−１），ｄq2＝１／ｅ
（ｍｏｄ ｑ＋１） ステップＳ２３ 秘密鍵（ｐ，ｑ，ｄp1，ｄp2，ｄq1，
ｄq2）を保持し、公開鍵（ｅ，ｎ）を公開する。
１／ｅ （ｍｏｄ ｐ＋１） ｄq1＝１／ｅ （ｍｏｄ ｑ−１），ｄq2＝１／ｅ
（ｍｏｄ ｑ＋１） ステップＳ２３ 秘密鍵（ｐ，ｑ，ｄp1，ｄp2，ｄq1，
ｄq2）を保持し、公開鍵（ｅ，ｎ）を公開する。
【００２７】次に、暗号化装置１０における処理手順を
図３を参照して説明する。ステップＳ３１ 公開鍵ｅ，
ｎ及び平文としてＥns（Ｚn ）上の点Ｍについて、Ｍ＝
（ｍx ，ｍy ）；（０＜ｍx ，ｍy ＜ｎ） を入力する。 ステップＳ３３ 点Ｍを含む曲線の
図３を参照して説明する。ステップＳ３１ 公開鍵ｅ，
ｎ及び平文としてＥns（Ｚn ）上の点Ｍについて、Ｍ＝
（ｍx ，ｍy ）；（０＜ｍx ，ｍy ＜ｎ） を入力する。 ステップＳ３３ 点Ｍを含む曲線の
【数１２】 を計算する。ステップＳ３５ 楕円曲線Ｅns（Ｚn ）上
で、 Ｃ＝（ｃx ，ｃy ）＝ｅ・Ｍ を計算する。 ステップＳ３７ 暗号文Ｃを出力する。
で、 Ｃ＝（ｃx ，ｃy ）＝ｅ・Ｍ を計算する。 ステップＳ３７ 暗号文Ｃを出力する。
【００２８】次に、復号装置３０における処理手順を図
４を参照して説明する。 ステップＳ４１ 秘密鍵ｐ，ｑ，ｄp1，ｄp2，ｄq1，ｄ
q2及び暗号文Ｃ＝（ｃx ，ｃy ）を入力する。 ステップＳ４３ ｃxp＝ｃx ｍｏｄ ｐ， ｃxq＝ｃx ｍｏｄ ｑ， ｃyp＝ｃy ｍｏｄ ｐ， ｃyq＝ｃy ｍｏｄ ｑ を計算する。 ステップＳ４５
４を参照して説明する。 ステップＳ４１ 秘密鍵ｐ，ｑ，ｄp1，ｄp2，ｄq1，ｄ
q2及び暗号文Ｃ＝（ｃx ，ｃy ）を入力する。 ステップＳ４３ ｃxp＝ｃx ｍｏｄ ｐ， ｃxq＝ｃx ｍｏｄ ｑ， ｃyp＝ｃy ｍｏｄ ｐ， ｃyq＝ｃy ｍｏｄ ｑ を計算する。 ステップＳ４５
【数１３】 を計算する。 ステップＳ４７ （ｂp ／ｐ）＝１のとき、ステップＳ
５５へ制御を移し、（ｂp ／ｐ）＝−１のとき、ステッ
プＳ４９へ制御を移す。 ステップＳ５５ ｒp ＝ｂp 1/2 （ｍｏｄ ｐ）を計
算する。 ステップＳ５７
５５へ制御を移し、（ｂp ／ｐ）＝−１のとき、ステッ
プＳ４９へ制御を移す。 ステップＳ５５ ｒp ＝ｂp 1/2 （ｍｏｄ ｐ）を計
算する。 ステップＳ５７
【数１４】 を計算する。
【数１５】
【数１６】 ステップＳ５３
【数１７】 を計算する。 ステップＳ６３ （ｂq ／ｑ）＝１のとき、ステップＳ
７１へ制御を移し、（ｂq ／ｑ）＝−１のとき、ステッ
プＳ６５へ制御を移す。 ステップＳ７１ ｒq ＝ｂq 1/2 （ｍｏｄ ｑ）を計
算する。 ステップＳ７３
７１へ制御を移し、（ｂq ／ｑ）＝−１のとき、ステッ
プＳ６５へ制御を移す。 ステップＳ７１ ｒq ＝ｂq 1/2 （ｍｏｄ ｑ）を計
算する。 ステップＳ７３
【数１８】 を計算する。
【数１９】
【数２０】 ステップＳ６９
【数２１】 を計算する。 ステップＳ７９
【数２２】 を計算する。ステップＳ８１ 復号された平文Ｍ＝
（ｘ，ｙ）を出力する。
（ｘ，ｙ）を出力する。
【００２９】次に、具体的数値を使用して、本発明を用
いた数値例を示す。本実施例では説明を簡単にするため
に小さな値を使用するが、実際の運用時には素因数ｐ，
ｑは素因数分解の困難さを考慮して二進数で２５６桁程
度の大きさとする。秘密鍵を、ｐ＝２７１，ｑ＝４７，
ｄp1＝１９３，ｄp2＝３９，ｄq1＝３３，ｄq2＝７、公
開鍵を、ｎ＝１２７３７，ｅ＝７と設定する。平文を、
Ｍ＝（ｘ，ｙ）＝（３３５６，７４４５）とすると、楕
円曲線はｙ2 ≡ｘ3 ＋１２５７４ｘ（ｍｏｄ １２７３
７）と定まる。暗号化は、平文Ｍを上記の楕円曲線上で
７倍することで、暗号文Ｃ＝７・Ｍ＝（１６８５，８８
３０）と計算できる。
いた数値例を示す。本実施例では説明を簡単にするため
に小さな値を使用するが、実際の運用時には素因数ｐ，
ｑは素因数分解の困難さを考慮して二進数で２５６桁程
度の大きさとする。秘密鍵を、ｐ＝２７１，ｑ＝４７，
ｄp1＝１９３，ｄp2＝３９，ｄq1＝３３，ｄq2＝７、公
開鍵を、ｎ＝１２７３７，ｅ＝７と設定する。平文を、
Ｍ＝（ｘ，ｙ）＝（３３５６，７４４５）とすると、楕
円曲線はｙ2 ≡ｘ3 ＋１２５７４ｘ（ｍｏｄ １２７３
７）と定まる。暗号化は、平文Ｍを上記の楕円曲線上で
７倍することで、暗号文Ｃ＝７・Ｍ＝（１６８５，８８
３０）と計算できる。
【００３０】復号は以下のとおりである。まず、暗号文
Ｃから、 Ｃp ＝（ｃxp，ｃyp）＝（５９，１５８）， Ｃq ＝（ｃxq，ｃyq）＝（４０，４１） を求め、Ｃp ，Ｃq をそれぞれ楕円曲線Ｅns（Ｆp ）：
ｙ2 ≡ｘ3 ＋１０８ｘ2（ｍｏｄ ２７１），楕円曲線
Ｅns（Ｆq ）：ｙ2 ≡ｘ3 ＋２５ｘ2 （ｍｏｄ４７）上
で復号する。ここで、（ｂp ／ｐ）＝（１０８／２７
１）＝−１であるのでＣp はＬp 上で復号される。群同
型写像ψにより、Ｃp ＝（５９，１５８）は〈４６，５
７〉に写される。Ｌp 上で〈４６，５７〉をｄp2倍、す
なわち３９倍することで〈１０１，４０〉が得られる。
さらに、Ｍp ＝ψ-1（〈１０１，４０〉）＝（１３，１
２８）となる。
Ｃから、 Ｃp ＝（ｃxp，ｃyp）＝（５９，１５８）， Ｃq ＝（ｃxq，ｃyq）＝（４０，４１） を求め、Ｃp ，Ｃq をそれぞれ楕円曲線Ｅns（Ｆp ）：
ｙ2 ≡ｘ3 ＋１０８ｘ2（ｍｏｄ ２７１），楕円曲線
Ｅns（Ｆq ）：ｙ2 ≡ｘ3 ＋２５ｘ2 （ｍｏｄ４７）上
で復号する。ここで、（ｂp ／ｐ）＝（１０８／２７
１）＝−１であるのでＣp はＬp 上で復号される。群同
型写像ψにより、Ｃp ＝（５９，１５８）は〈４６，５
７〉に写される。Ｌp 上で〈４６，５７〉をｄp2倍、す
なわち３９倍することで〈１０１，４０〉が得られる。
さらに、Ｍp ＝ψ-1（〈１０１，４０〉）＝（１３，１
２８）となる。
【００３１】また、（ｂp ／ｑ）＝（２５／４７）＝１
であるのでＣq はＦq 上で復号される。ｒq ＝√２５
（ｍｏｄ ４７）＝４２より群同型写像φが得られる。
φによりＣq ＝（４０，４１）は４４に写される。
であるのでＣq はＦq 上で復号される。ｒq ＝√２５
（ｍｏｄ ４７）＝４２より群同型写像φが得られる。
φによりＣq ＝（４０，４１）は４４に写される。
【００３２】Ｆq 上で４４dq1 ｍｏｄ ｑ＝４４33
ｍｏｄ４７＝３０を計算する。さらにＭq ＝φ-1（３
０）＝（１１，１９）となる。よってＭp ，Ｍq から中
国人剰余定理により平文Ｍ＝（３５３６，７４４５）が
計算できる。
ｍｏｄ４７＝３０を計算する。さらにＭq ＝φ-1（３
０）＝（１１，１９）となる。よってＭp ，Ｍq から中
国人剰余定理により平文Ｍ＝（３５３６，７４４５）が
計算できる。
【００３３】復号における主要な計算は以下のとおりで
ある。（ｂp ／ｐ）＝１の場合、楕円曲線Ｅns（Ｆp ）
からＦp への群同型写像を得るために、√ｂp （ｍｏ
ｄｐ）の計算が必要である。これは素数ｐをｐ≡３
（ｍｏｄ ４）を満たすように選ぶことで、√ｂp ＝ｂ
p （p+1)/4 （ｍｏｄ ｐ）と計算できる。また、楕円
曲線Ｅns（Ｆp ）上のｄp1倍に相当する素体Ｆp の乗法
群上のｄp1乗の計算が必要である。
ある。（ｂp ／ｐ）＝１の場合、楕円曲線Ｅns（Ｆp ）
からＦp への群同型写像を得るために、√ｂp （ｍｏ
ｄｐ）の計算が必要である。これは素数ｐをｐ≡３
（ｍｏｄ ４）を満たすように選ぶことで、√ｂp ＝ｂ
p （p+1)/4 （ｍｏｄ ｐ）と計算できる。また、楕円
曲線Ｅns（Ｆp ）上のｄp1倍に相当する素体Ｆp の乗法
群上のｄp1乗の計算が必要である。
【００３４】これらはともに、素体Ｆp の乗法群のべき
乗計算であり、べき指数の大きさはほぼｐと同程度であ
る。べき乗計算にバイナリメソッドを用いると、平均
１．５ｌｏｇ ｐ回の剰余乗算を要する。
乗計算であり、べき指数の大きさはほぼｐと同程度であ
る。べき乗計算にバイナリメソッドを用いると、平均
１．５ｌｏｇ ｐ回の剰余乗算を要する。
【００３５】これらより、（ｂp ／ｐ）＝１の場合には
平均３ｌｏｇｐ回の剰余乗算で復号できる。また（ｂp
／ｐ）＝−１の場合には、復号はＬp 上のべき乗計算で
行なわれる。Ｌp 上のべき乗計算はバイナリメソッドに
よれば、ｌｏｇ ｐ回のＬp上の２乗算と平均０．５ｌ
ｏｇ ｐ回のＬp 上の２乗でない乗算を要する。またＬ
p 上の２乗算及び、２乗でない乗算は剰余乗算をそれぞ
れ２回と５回要する。よって、（ｂp ／ｐ）＝−１の場
合、復号には平均４．５ｌｏｇ ｐ回の剰余乗算を要す
る。法ｑの大きさはｐと同程度とし、（ｂp ／ｐ）＝１
となる確率、（ｂq ／ｑ）＝１となる確率をそれぞれ１
／２とすると、本発明の暗号通信システムでは暗号文Ｃ
＝（ｃx ，ｃy ）の復号に平均７．５ｌｏｇ ｐ回の剰
余乗算を要する。法ｑにおける計算も同様である。
平均３ｌｏｇｐ回の剰余乗算で復号できる。また（ｂp
／ｐ）＝−１の場合には、復号はＬp 上のべき乗計算で
行なわれる。Ｌp 上のべき乗計算はバイナリメソッドに
よれば、ｌｏｇ ｐ回のＬp上の２乗算と平均０．５ｌ
ｏｇ ｐ回のＬp 上の２乗でない乗算を要する。またＬ
p 上の２乗算及び、２乗でない乗算は剰余乗算をそれぞ
れ２回と５回要する。よって、（ｂp ／ｐ）＝−１の場
合、復号には平均４．５ｌｏｇ ｐ回の剰余乗算を要す
る。法ｑの大きさはｐと同程度とし、（ｂp ／ｐ）＝１
となる確率、（ｂq ／ｑ）＝１となる確率をそれぞれ１
／２とすると、本発明の暗号通信システムでは暗号文Ｃ
＝（ｃx ，ｃy ）の復号に平均７．５ｌｏｇ ｐ回の剰
余乗算を要する。法ｑにおける計算も同様である。
【００３６】一方、従来の方式であるＫＭＯＶ暗号系で
は以下のようになる。楕円曲線上の２倍算と（２倍算で
ない）加算にはそれぞれ１０回、１５回の剰余乗算が必
要である。バイナリメソッドによれば法ｐの楕円曲線上
の定数倍計算にはｌｏｇ ｐ回の楕円曲線上の２倍算
と、平均０．５ｌｏｇ ｐ回の楕円曲線上の２倍算でな
い加算を要する。よって平均で１７．５ｌｏｇ ｐ回の
剰余乗算が必要である。またｐとｑの大きさを同程度と
すればＺn 上の楕円曲線上の定数倍による復号は３５ｌ
ｏｇ ｐ回の剰余乗算を必要とする。以上より、本発明
の暗号方式は楕円曲線上の定数倍で復号を行なうＫＭＯ
Ｖ方式に比べてより高速であることが明らかである。
は以下のようになる。楕円曲線上の２倍算と（２倍算で
ない）加算にはそれぞれ１０回、１５回の剰余乗算が必
要である。バイナリメソッドによれば法ｐの楕円曲線上
の定数倍計算にはｌｏｇ ｐ回の楕円曲線上の２倍算
と、平均０．５ｌｏｇ ｐ回の楕円曲線上の２倍算でな
い加算を要する。よって平均で１７．５ｌｏｇ ｐ回の
剰余乗算が必要である。またｐとｑの大きさを同程度と
すればＺn 上の楕円曲線上の定数倍による復号は３５ｌ
ｏｇ ｐ回の剰余乗算を必要とする。以上より、本発明
の暗号方式は楕円曲線上の定数倍で復号を行なうＫＭＯ
Ｖ方式に比べてより高速であることが明らかである。
【００３７】
【発明の効果】本発明は、同報通信に用いた場合、ＲＳ
Ａ暗号系に比べて安全性に優れ、またＫＭＯＶ暗号系や
Ｄemytko暗号系に比べて、より高速とし得る等の効果を
奏する。
Ａ暗号系に比べて安全性に優れ、またＫＭＯＶ暗号系や
Ｄemytko暗号系に比べて、より高速とし得る等の効果を
奏する。
【図１】本発明に係る暗号通信システム全体の構成を示
すブロック図である。
すブロック図である。
【図２】本発明に係る鍵生成装置における処理手順を説
明するためのフローチャートである。
明するためのフローチャートである。
【図３】本発明に係る暗号化装置における処理手順を説
明するためのフローチャートである。
明するためのフローチャートである。
【図４】本発明に係る復号装置における処理手順を説明
するためのフローチャートである。
するためのフローチャートである。
【図５】本発明に係る復号装置における処理手順を説明
するためのフローチャートである。
するためのフローチャートである。
【図６】本発明に係る復号装置における処理手順を説明
するためのフローチャートである。
するためのフローチャートである。
１ 送信装置 ３ 受信装置 １０ 暗号化装置 １１ メモリ １３ ＣＰＵ １５ 公開鍵メモリ １７ 送信部 ２０ 鍵生成装置 ２１ ＣＰＵ ３０ 復号装置 ３１ 秘密鍵メモリ ３３ ＣＰＵ ３５ 受信部 ３７ メモリ
Claims (2)
- 【請求項１】 通信文の受信側に置かれ、通信文の送信
側に対して公開する公開鍵と、この公開鍵に対応する秘
密鍵を予め生成する鍵生成手段と、送信側に置かれ、送
信する平文を前記公開鍵を用いて暗号化して暗号文を生
成する暗号化手段と、受信側に置かれ、受信した当該暗
号文を前記秘密鍵を用いて復号化して元の平文を生成す
る復号化手段とから構成される暗号通信システムであっ
て、 環Ｚn 上の特異な楕円曲線に基づき、かつ送信側に対し
て公開される公開鍵ｎが十分に大きな素数ｐ，ｑの積で
あることを特徴とする暗号通信システム。 - 【請求項２】 素数ｐ、パラメータｂ；（ｂ≠０）に対
して、ｙ2 ≡ｘ3 ＋ｂｘ2 （ｍｏｄ ｐ）を満たす点
（ｘ，ｙ）の集合から特異点（０，０）を除き、無限遠
点Φを加えた集合である素体Ｆp 上の楕円曲線Ｅns（Ｆ
p ）上の二点に対して加算が定義できて、いずれかの点
が無限遠点Φの場合は、Φ＋Ｐ1 ＝Ｐ1 ＋Φ＝Ｐ1 とな
り、 二点が共に無限遠点Φでない場合は、Ｐ1 ＝（ｘ1 ，ｙ
1 ），Ｐ2 ＝（ｘ2 ，ｙ2 ）に対して、Ｐ3 ＝（ｘ3 ，
ｙ3 ）＝Ｐ1 ＋Ｐ2 は、Ｐ1 ≠Ｐ2 のときλ＝（ｙ2 −
ｙ1 ）／（ｘ2 −ｘ1 ）、Ｐ1 ＝Ｐ2 のときλ＝ｘ
1 （３ｘ1 ＋２ｂ）／２ｙ1 としたとき、ｘ3 ，ｙ3 を
それぞれ、ｘ3 ＝λ2 −ｂ−ｘ1 −ｘ2 ，ｙ3 ＝λ（ｘ
1 −ｘ3 ）−ｙ1 と定義し、 環Ｚn 上の楕円曲線Ｅns（Ｚn ）を用い、ｎは素数ｐ，
ｑの積とし、楕円曲線Ｅns（Ｚn ）上の加算は、楕円曲
線Ｅns（Ｆp ）と同様に定義し、楕円曲線Ｅns（Ｚn ）
上の点Ｐのｄ倍点（ｄ・Ｐ）は、当該加算を組み合わせ
て計算するものであり、 前記鍵生成手段は、素数ｐ，ｑを前記ｎの素因数分解を
困難とする程度に大きな値の素数を選び、ｎ＝ｐｑを計
算し、最小公倍数ＬＣＭ（ｐ−１，ｐ＋１，ｑ−１，ｑ
＋１）と互いに素であるｅを選び、 ｄp1＝１／ｅ （ｍｏｄ ｐ−１）， ｄp2＝１／ｅ （ｍｏｄ ｐ＋１）， ｄq1＝１／ｅ （ｍｏｄ ｑ−１）， ｄq2＝１／ｅ （ｍｏｄ ｑ＋１） を計算する機能を有し、前記暗号化手段は、前記鍵生成
手段で作成した公開鍵ｅ，ｎ及び０＜ｍx ，ｍy ＜ｎの
範囲内の平文として前記楕円曲線Ｅns（Ｚn ）上の点Ｍ
＝（ｍx ，ｍy）を入力し、点Ｍを含む当該楕円曲線の
パラメータｂ＝（ｍy 2 −ｍx 3 ）／ｍx 2 （ｍｏｄ
ｎ）を計算し、当該楕円曲線上で暗号文Ｃ＝（ｃx ，ｃ
y ）＝ｅ・Ｍを計算して暗号文Ｃを生成し、 前記復号手段は、前記鍵生成手段で作成した秘密鍵ｐ，
ｑ，ｄp1，ｄp2，ｄq1，ｄq2及び前記暗号化手段で作成
した暗号文Ｃ＝（ｃx ，ｃy ）を入力し、 ｃxp＝ｃx ｍｏｄ ｐ， ｃxq＝ｃx ｍｏｄ ｑ， ｃyp＝ｃy ｍｏｄ ｐ， ｃyq＝ｃy ｍｏｄ ｑ を計算し、 【数１】 ｂp ＝（ｃyp 2 −ｃxp 3 ）／ｃxp 2 （ｍｏｄ ｐ）， ｂq ＝（ｃyq 2 −ｃxq 3 ）／ｃxq 2 （ｍｏｄ ｑ） を計算し、 ｂp がｐの平方剰余のとき、 【数２】ｒp ＝ｂp 1/2 （ｍｏｄ ｐ）、 ｖp ＝((ｃyp＋ｒp ｃxp）／（ｃyp−ｒp ｃxp))dp1
（ｍｏｄ ｐ）、 ｔp ＝（ｖp ＋１）／（ｖp −１） （ｍｏｄ ｐ）、 ｘp ＝ｂp （ｔp 2 −１） （ｍｏｄ ｐ）、 ｙp ＝ｔp ｒp ｘp （ｍｏｄ ｐ） を計算し、 ｂp がｐの平方非剰余のとき、 ｆp ＝２ｃyp 2 ／ｃxp 3 −１ （ｍｏｄ ｐ）， ｇp ＝２ｃyp／ｃxp 2 （ｍｏｄ ｐ）、 二次体Ｆp （√ｂp ）の乗法群のノルムが１であるよう
な要素からなる部分群であるＬp 上の乗算を、ｆ＋ｇ√
ｂp を〈ｆ，ｇ〉で表したとき、 【数３】〈ｆ1 ，ｇ1 〉×〈ｆ2 ，ｇ2 〉＝〈（ｆ1 ｆ
2 ＋ｇ1 ｇ2 ｂp ） ｍｏｄ ｐ，（ｆ1 ｇ2 ＋ｆ2 ｇ
1 ） ｍｏｄ ｐ〉、 〈ｆ1 ，ｇ1 〉2 ＝〈（２ｆ1 2 −１） ｍｏｄ ｐ， （２ｆ1 ｇ1 ） ｍｏｄ ｐ〉 と定義し、Ｌp 上で、 〈ｕp ，ｖp 〉＝〈ｆp ，ｇp 〉dp2 を計算し、 ｘp ＝２（ｕp ＋１）／ｖp 2 （ｍｏｄ ｐ）， ｙp ＝２（ｕp ＋１）2 ／ｖp 3 （ｍｏｄ ｐ） を計算し、 ｂq がｑの平方剰余のとき、 【数４】ｒq ＝ｂq 1/2 （ｍｏｄ ｑ）、 ｖq ＝((ｃyq＋ｒq ｃxq）／（ｃyq−ｒq ｃxq))dq1
（ｍｏｄ ｑ）、 ｔq ＝（ｖq ＋１）／（ｖq −１） （ｍｏｄ ｑ）、 ｘq ＝ｂq （ｔq 2 −１） （ｍｏｄ ｑ）， ｙq ＝ｔq ｒq ｘq （ｍｏｄ ｑ） を計算し、 ｂq がｑの平方非剰余のとき、 ｆq ＝２ｃyq 2 ／ｃxq 3 −１ （ｍｏｄ ｑ）， ｇq ＝２ｃyq／ｃxq 2 （ｍｏｄ ｑ）、 二次体Ｆq （√ｂq ）の乗法群のノルムが１であるよう
な要素からなる部分群であるＬq 上の乗算を、ｆ＋ｇ√
ｂq を〈ｆ，ｇ〉で表したとき、 【数５】〈ｆ1 ，ｇ1 〉×〈ｆ2 ，ｇ2 〉＝〈（ｆ1 ｆ
2 ＋ｇ1 ｇ2 ｂq ） ｍｏｄ ｑ，（ｆ1 ｇ2 ＋ｆ2 ｇ
1 ） ｍｏｄ ｑ〉、 〈ｆ1 ，ｇ1 〉2 ＝〈（２ｆ1 2 −１） ｍｏｄ ｑ， （２ｆ1 ｇ1 ） ｍｏｄ ｑ〉 と定義し、Ｌq 上で 〈ｕq ，ｖq 〉＝〈ｆq ，ｇq 〉dq2 を計算し、 ｘq ＝２（ｕq ＋１）／ｖq 2 （ｍｏｄ ｑ）， ｙq ＝２（ｕq ＋１）2 ／ｖq 3 （ｍｏｄ ｑ） を計算し、 さらに、 【数６】ｘ＝（ｑ（ｘp ／ｑ ｍｏｄ ｐ）＋ｐ（ｘq
／ｐ ｍｏｄ ｑ))ｍｏｄ ｐｑ，ｙ＝（ｑ（ｙp ／ｑ
ｍｏｄ ｐ）＋ｐ（ｙq ／ｐ ｍｏｄ ｑ))ｍｏｄ
ｐｑを計算し、平文Ｍ＝（ｘ，ｙ）を生成することを特
徴とする請求項１記載の暗号通信システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP6189260A JP2617091B2 (ja) | 1994-08-11 | 1994-08-11 | 暗号通信システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP6189260A JP2617091B2 (ja) | 1994-08-11 | 1994-08-11 | 暗号通信システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH0856219A true JPH0856219A (ja) | 1996-02-27 |
| JP2617091B2 JP2617091B2 (ja) | 1997-06-04 |
Family
ID=16238330
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP6189260A Expired - Fee Related JP2617091B2 (ja) | 1994-08-11 | 1994-08-11 | 暗号通信システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2617091B2 (ja) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20010000048A (ko) * | 1999-11-18 | 2001-01-05 | 안병엽 | ｍ진법 방식을 이용한 타원곡선상 다중 점의 상수고속연산 방법 |
| KR100419986B1 (ko) * | 2002-01-07 | 2004-02-26 | 한국정보보호진흥원 | 타원곡선 암호알고리즘을 이용한 안전한 피코넷 형성 및유지 방법 |
| JP2008306685A (ja) * | 2007-06-11 | 2008-12-18 | Fuji Electric Holdings Co Ltd | セキュリティ情報設定システム、そのマスタ端末、一般端末、プログラム |
| US20120140921A1 (en) * | 2010-12-01 | 2012-06-07 | King Fahd University Of Petroleum And Minerals | Rsa-analogous xz-elliptic curve cryptography system and method |
-
1994
- 1994-08-11 JP JP6189260A patent/JP2617091B2/ja not_active Expired - Fee Related
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20010000048A (ko) * | 1999-11-18 | 2001-01-05 | 안병엽 | ｍ진법 방식을 이용한 타원곡선상 다중 점의 상수고속연산 방법 |
| KR100419986B1 (ko) * | 2002-01-07 | 2004-02-26 | 한국정보보호진흥원 | 타원곡선 암호알고리즘을 이용한 안전한 피코넷 형성 및유지 방법 |
| JP2008306685A (ja) * | 2007-06-11 | 2008-12-18 | Fuji Electric Holdings Co Ltd | セキュリティ情報設定システム、そのマスタ端末、一般端末、プログラム |
| US20120140921A1 (en) * | 2010-12-01 | 2012-06-07 | King Fahd University Of Petroleum And Minerals | Rsa-analogous xz-elliptic curve cryptography system and method |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2617091B2 (ja) | 1997-06-04 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP0946018B1 (en) | Scheme for fast realization of a decryption or an authentication | |
| Harn | Public-key cryptosystem design based on factoring and discrete logarithms | |
| JP2606419B2 (ja) | 暗号通信システムと暗号通信方法 | |
| US7315945B2 (en) | Directoryless public key cryptographic system and method | |
| US20020041684A1 (en) | Public-key encryption and key-sharing methods | |
| Gorantla et al. | A survey on id-based cryptographic primitives | |
| US7248692B2 (en) | Method of and apparatus for determining a key pair and for generating RSA keys | |
| Kuwakado et al. | A New RSA-Type Scheme Based on Singular Cubic Curves y 2< cd02261. gif> x 3+ bx 2 (mod n) | |
| US20050135610A1 (en) | Identifier-based signcryption | |
| Joye et al. | On the importance of securing your bins: The garbage-man-in-the-middle attack | |
| JP2617091B2 (ja) | 暗号通信システム | |
| Garg et al. | Improvement over public key cryptographic algorithm | |
| KR20030047148A (ko) | Ｒｓａ를 이용한 클라이언트/서버 기반의 메신저 보안 방법 | |
| US7356140B2 (en) | Encrypting device, decrypting device, cryptosystem including the same devices, encrypting method, and decrypting method | |
| Koyama et al. | Elliptic Curve Cryptosytems and Their Applications | |
| Kenekayoro Patrick | One way functions and public key cryptography | |
| JP2002023626A (ja) | 公開鍵暗号方法および公開鍵暗号を用いた通信システム | |
| JP2000132095A (ja) | 暗号化方法、復号化方法、認証方法、暗号化装置、復号化装置、認証装置、認証文送信者装置、認証文受信者装置、暗号通信システム及び認証システム | |
| Zheng | Signcryption or how to achieve cost (signature & encryption)<< cost (signature)+ cost (encryption) | |
| JP2624634B2 (ja) | 暗号装置および復号化装置および暗号・復号化装置および暗号システム | |
| EP1148675A1 (en) | Public key cryptograph and key sharing method | |
| JP4284867B2 (ja) | 標準モデル上で適応的選択暗号文攻撃に対して安全な公開鍵暗号方法 | |
| JP4230162B2 (ja) | 公開鍵暗号通信方法 | |
| JP3278790B2 (ja) | 公開鍵暗号方法及び公開鍵暗号システム | |
| JP3479015B2 (ja) | 暗号鍵分散生成方法、署名生成・検証方法、暗号鍵分散生成装置、署名生成・検証装置、暗号鍵分散生成プログラムおよび署名生成・検証プログラムをそれぞれ記録したコンピュータ読み取り可能な記録媒体 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| LAPS | Cancellation because of no payment of annual fees |