JPH1039752A - 公開鍵暗号による通信および認証方法、ならびにそれらの装置 - Google Patents

公開鍵暗号による通信および認証方法、ならびにそれらの装置

Info

Publication number
JPH1039752A
JPH1039752A JP8189730A JP18973096A JPH1039752A JP H1039752 A JPH1039752 A JP H1039752A JP 8189730 A JP8189730 A JP 8189730A JP 18973096 A JP18973096 A JP 18973096A JP H1039752 A JPH1039752 A JP H1039752A
Authority
JP
Japan
Prior art keywords
data
public key
modulo
value
ideal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP8189730A
Other languages
English (en)
Inventor
Takeshi Takagi
剛 高木
Shozo Naito
昭三 内藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP8189730A priority Critical patent/JPH1039752A/ja
Publication of JPH1039752A publication Critical patent/JPH1039752A/ja
Pending legal-status Critical Current

Links

Abstract

(57)【要約】 【課題】 従来の有理整数環上の公開鍵暗号と比較し
て、完全解読に対しては同程度以上の強度を持ち、同報
通信攻撃に対して従来より高い強度を持つ公開鍵暗号方
式および装置の構成法を提供する。 【解決手段】 鍵生成装置２１は、代数体上の整数環Ｏ
における素イデアル（ｐ），（ｑ）を生成して第１の秘
密鍵とし、その積（ｎ）＝（ｐ）（ｑ）の剰余類を第１
の公開鍵とする。また（ｐ），（ｑ）から第２の秘密鍵
ｄと第２の公開鍵ｅを生成する。暗号化装置３１は、入
力された平文Ｍをブロックに分割し、イデアル（ｎ）を
法とするｅ乗演算により暗号化を行い、暗号文（Ｃ0,Ｃ
1,…，Ｃr-1 ）を通信路５１に出力する。復号化装置４
１は、入力された暗号文のブロックに対しイデアル
（ｎ）を法とするｄ乗演算により復号化を行い、復号化
された平文ブロックを統合して、平文Ｍを出力する。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、暗号化鍵が公開さ
れ、復号化鍵のみが秘匿される公開鍵方式の暗号に係
り、特に、従来のリベスト・シャミール・アドルマン暗
号（以下、ＲＳＡ暗号と略す）より同報通信攻撃に対す
る強度を高めた公開鍵暗号による通信および認証方式並
びにそれらの装置に関する。
【０００２】
【従来の技術】電気通信において、通信内容の盗聴を防
ぎ、改竄を検出するために暗号技術は不可欠である。特
に、鍵管理が簡便な公開鍵暗号が有効であり、広く利用
されつつある。代表的な公開鍵暗号のアルゴリズムとし
て、べき（冪）乗剰余演算を用いるＲＳＡ暗号があり、
既に実用化されている。
【０００３】以下、池野、小山による「現代暗号理論」
（電子情報通信学会発行）に基づいて、ＲＳＡ暗号の基
本原理、その鍵生成法および認証方法について説明す
る。 〔ＲＳＡ暗号の基本原理〕暗号化鍵は（ｅ，Ｎ）の組で
あり、対応する復号化鍵は（ｄ，Ｎ）の組である。
【０００４】ｅとＮとは公開鍵であり、ｄは秘密鍵であ
る。平文をＭ、暗号文をＣとする。暗号化Ｅと復号化Ｄ
のアルゴリズムは、次の式（１）および式（２）で表さ
れる。
【数１】 Ｃ＝Ｅ（Ｍ）＝Ｍe modＮ …（１） Ｍ＝Ｄ（Ｃ）＝Ｃd modＮ …（２） 但し、ＭとＣとは０からＮ−１の間の整数である。もし
元のメッセージがＮより大きければ、サイズＮのブロッ
クに分割して逐一、暗号化・復号化を適用すればよい。
【０００５】暗号化と復号化は、１対１かつ上への写像
である。従って、ＭとＣを代表してＭで表すと、
【数２】 Ｄ（Ｅ（Ｍ））＝Ｅ（Ｄ（Ｍ））＝Ｍ …（３） 式（３）が成立する。具体的には、
【数３】 Ｍed≡Ｍ modＮ …（４） 式（４）が成立する。但し式（４）および以下の記述に
おいて、「≡」は合同を示す記号とする。式（４）がす
べてのＭに対して成立するような、暗号鍵ｅ，ｄ，Ｎの
生成手順は以下のとおりである。
【０００６】〔ＲＳＡ暗号の鍵生成〕まず、任意の相異
なる二つの大きな素数ｐ，ｑを選び、その積Ｎ＝ｐｑを
計算する（第１段階）。
【０００７】次いで、（ｐ−１）と（ｑ−１）の最小公
倍数Ｌを計算し、Ｌと互いに素でＬより小さな任意の整
数ｅを選ぶ（第２段階）。
【０００８】
【数４】 Ｌ＝ＬＣＭ（（ｐ−１），（ｑ−１）） …（５） ＧＣＤ（ｅ，Ｌ）＝１， １＜ｅ＜Ｌ …（６） 次いで、第２段階で求めたｅとＬをもとに、次の合同式
（７）を解き、ｄを求める（第３段階）。
【０００９】
【数５】 ｅｄ≡１ modＬ …（７） 式（７）からｄを求めるには、ユークリッドの互除法を
用いればよい。また、前記の生成手順は、まず、第２段
階でｅを先に選び、第３段階でｄを計算しているが、逆
にｄを先に選び、後でｅを計算してもよい。
【００１０】このような、従来のＲＳＡ型公開鍵による
暗号化通信装置の構成例を図３３に示す。
【００１１】〔ＲＳＡ暗号による認証〕ＲＳＡ暗号によ
る認証通信は、以下のようにして行われる。まず、送信
者は、認証文Ｍをハッシュ関数ｈによりハッシュ化し、
認証子ｈ（Ｍ）を得る。次いで認証子ｈ（Ｍ）を自己の
秘密鍵ｄで暗号化し、暗号化認証子ｈ（Ｃ）を得る。次
いで、暗号化認証子ｈ（Ｃ）と認証文Ｍの組を送信者か
ら受信者に送る。
【００１２】
【数６】 ｈ（Ｃ）≡（ｈ（Ｍ））d modＮ …（８） 受信者は、暗号化認証子ｈ（Ｃ）と認証文Ｍの組を受信
すると、送信者の公開鍵ｅを使用して、暗号化認証子ｈ
（Ｃ）を復号化し認証子ｈ（Ｍ）を得る。
【００１３】
【数７】 ｈ（Ｍ）≡（ｈ（Ｃ））e modＮ …（９） 次いで、受信した認証文Ｍをハッシュ関数ｈによりハッ
シュ化し、認証子ｈ（Ｍ）°を得る。そして復号化した
認証子ｈ（Ｍ）とハッシュ化した認証子ｈ（Ｍ）°とを
比較して正当性を判断する。すなわち、両者が一致して
いれば認証文が正当であり、不一致であれば不当と判断
する。
【００１４】このように、ＲＳＡ型の公開鍵暗号装置
は、公開鍵と秘密鍵の演算を逆に適用することにより、
認証通信装置としても使用することができる。
【００１５】なお、この認証通信において、前記暗号化
認証子ｈ（Ｃ）と認証文Ｍの組をさらに受信者の公開鍵
を用いて暗号化する暗号化認証通信も、認証通信と暗号
化通信とを組み合わせることによって可能であることは
いうまでもない。
【００１６】ところで、一般に暗号技術の性能評価の尺
度は、暗号を解読しようとする攻撃に対する安全性の強
度と、暗号化・復号化の速度である。強度が高く、速度
の速い暗号が優秀な暗号である。
【００１７】ＲＳＡ暗号などの公開鍵暗号は、暗号化鍵
である公開された公開鍵から、復号化鍵である秘密鍵を
得ることが計算量的に困難であることに安全性の根拠を
置いている。
【００１８】ＲＳＡ暗号では、公開鍵が素因数分解でき
れば、暗号文から平文を得ることができることが、文献
「R.L.Rivest, A.Shamir and L.Adleman; “A method f
or obtaining digital signatures and public-key cry
ptosystems．”，Comm., ACM, vol.21, No.2, pp.120-1
26, (1978) 」に示されている。これらの安全性の評価
は、完全解読を対象としたものであり、この場合には公
開鍵の素因数分解の十分性あるいは計算量的な同値性が
示されている。
【００１９】
【発明が解決しようとする課題】しかしながら、J.Hast
adは、文献「J.Hastad；“On using RSA with low expo
nent in a public key network”，Proceeding of CRYP
TO '85，Springer-Verlag (1986)」において、同報通信
攻撃と呼ばれるＲＳＡタイプの公開鍵暗号に対する解読
法を提案した。
【００２０】これにより、ＲＳＡタイプの公開鍵暗号で
は、同一の発信者から複数の受信者に対して、同一内容
の平文をそれぞれ異なる公開鍵により暗号化して送信さ
れた同報通信が盗聴されると、複数の暗号文から公開鍵
を素因数分解することなく平文を得ることができること
がわかり、安全性の評価基準を見直す必要がでてきた。
【００２１】ＲＳＡ暗号では暗号化のべき指数を大きく
することにより同報通信攻撃を回避できるが、べき指数
を大きくするとべき乗計算時間および剰余計算時間が増
加し、暗号化の速度が遅くなるという問題点があった。
【００２２】このオリジナルなＲＳＡ暗号の同報通信攻
撃に対する防御を強化した暗号として、楕円曲線を用い
たＲＳＡ暗号が知られている。この楕円曲線を用いたＲ
ＳＡ暗号は、文献「桑門 秀典，小山 謙二；“３次曲
線上のＲＳＡ型暗号方式の同報通信における安全性”，
信学技報ISEC94-10, (1994) 」において、その同報通信
攻撃に対する安全強度が評価されているが、暗号化およ
び復号化の速度がオリジナルのＲＳＡ暗号と比較して５
倍以上遅くなり、用途が限定されるという問題点があっ
た。
【００２３】以上の問題点に鑑み、本発明の第１の課題
は、従来の有理整数環上のＲＳＡ暗号と比較して同程度
以上の強度を持ち、同報通信攻撃に対して従来以上の強
い暗号方式および装置の構成法を与えることである。
【００２４】また、本発明の第２の課題は、楕円曲線上
のＲＳＡ暗号と比較して、暗号化および復号化処理が高
速である暗号方式および装置の構成法を与えることであ
る。
【００２５】また、本発明の第３の課題は、認証装置と
しても利用可能であり、ひとつの装置で暗号通信と認証
通信の両用が可能となるような暗号および認証方式およ
び装置の構成法を与えることである。
【００２６】
【課題を解決するための手段】上記課題を解決するた
め、本発明においては、従来の有理整数環上でのＲＳＡ
暗号を代数体の整数環の上へ拡張した公開鍵暗号方式の
具体的な構成方法である、代数体の整数環上のイデアル
を用いた鍵生成方法、べき乗演算方法、およびイデアル
を法とする剰余類の演算方法を与え、さらに鍵生成装
置、暗号通信装置および認証通信装置として実現する。
【００２７】すなわち、請求項１記載の発明は、ある素
数データに基づいて、代数体上の整数環における素イデ
アルであることを満たすような互いに異なる二つの自然
数データの組である第１の秘密鍵データ、ならびに前記
両自然数データの積である第１の公開鍵データを生成す
ることを要旨とする公開鍵暗号の鍵生成方法である。
【００２８】また、請求項２記載の発明は、ある素数デ
ータに基づいて、代数体上の整数環における素イデアル
であることを満たすような互いに異なる二つの自然数デ
ータの組である第１の秘密鍵データ、ならびに前記両自
然数データの積である第１の公開鍵データを生成し、前
記素数データのオイラー関数値の計算と、前記第１の秘
密鍵データに関する最小公倍数演算と、を用いて、とも
に自然数データである第２の秘密鍵データと第２の公開
鍵データとを生成することを要旨とする公開鍵暗号の鍵
生成方法である。
【００２９】また、請求項３記載の発明は、ある素数べ
きデータであるｍc のオイラー関数値を求めて、前記オ
イラー関数値をべき乗した結果に対してｍc を法とする
剰余を計算すると１となり、かつ、前記オイラー関数値
より小さいいずれの自然数をべき乗した結果に対してｍ
c を法とする剰余を計算しても、１にならない条件を満
たすような、互いに異なる二つの自然数データであるｐ
c とｑc とを探索し、ｐc とｑc との組を第１の秘密鍵
データとして出力し、ｐc とｑc を乗じてデータＮc を
求め、Ｎc を第１の公開鍵データとして出力することを
要旨とする公開鍵暗号の鍵生成方法である。
【００３０】また、請求項４記載の発明は、請求項３に
記載の公開鍵暗号の鍵生成方法において、前記ｐc とｑ
c とにそれぞれ前記オイラー関数値をべき乗し１を減じ
た値同士の最小公倍数の値であるＬc を算出し、Ｌc を
法とする剰余が１となるデータ値を積とするような二つ
の自然数データを探索し、前記探索された二つの自然数
データの一方を第２の秘密鍵データｄc として、他方を
第２の公開鍵データｅc として、それぞれ出力すること
を要旨とする。
【００３１】また、請求項５記載の発明は、請求項３ま
たは４に記載の公開鍵暗号の鍵生成方法において、前記
ｐc とｑc との探索は、ユークリッド的なｍc 次円分体
において、０でないイデアルによる、ｍc に対するオイ
ラー関数の値を次数に持つ剰余類の完全代表系上の多次
元ベクトルの原点からの距離である、ノルムを使用して
行うことを要旨とする。
【００３２】また、請求項６記載の発明は、請求項３ま
たは４に記載の公開鍵暗号の鍵生成方法において、前記
ｐc とｑc との探索は、任意の円分体において、惰性す
る素数の積で表されるイデアルによる、ｍc に対するオ
イラー関数の値を次数に持つ剰余類の完全代表系上の多
次元ベクトルの原点からの距離である、ノルムを使用し
て求めることによって行うことを要旨とする。
【００３３】また、請求項７記載の発明は、二乗因子を
含まないある有理整数データ値であるｍs に対して、４
を法とする剰余を計算し、この剰余の計算値が１となる
場合は、判別式データの値をｍs とし、この剰余の計算
値が１以外の場合は、判別式データの値を４ｍs とし、
有理整数のなかから、この有理整数を法として前記判別
式データを平方非剰余とするような互いに異なる二つの
数であるｐs とｑs を探索し、ｐs とｑs の組を第１の
秘密鍵データとして出力し、ｐs とｑs を乗じてデータ
Ｎs を求め、Ｎs を第１の公開鍵データとして出力する
ことを要旨とする公開鍵暗号の鍵生成方法である。
【００３４】また、請求項８記載の発明は、請求項７に
記載の公開鍵暗号の鍵生成方法において、前記ｐs とｑ
s のそれぞれの２乗から１を減じた値同士の最小公倍数
データ値であるＬs を算出し、このＬs を法とする剰余
が１となるデータ値を積とするような二つの自然数デー
タを探索し、この二つの自然数データの一方を第２の秘
密鍵データｄs とし、他方を第２の公開鍵データｅs と
して、それぞれ出力することを要旨とする。
【００３５】また、請求項９記載の発明は、請求項７ま
たは請求項８に記載の公開鍵暗号の鍵生成方法におい
て、前記のｐs とｑs の探索は、ユークリッド的な２次
体において、０でないイデアルによる２次の剰余類の完
全代表系である２次元ベクトルの原点からの距離であ
る、ノルムを使用して求めることによって行うことを要
旨とする。
【００３６】また、請求項１０記載の発明は、ある素数
べきデータであるｍc を入力する入力手段と、ｍc のオ
イラー関数値を求めるオイラー関数計算手段と、前記オ
イラー関数値をべき乗した結果に対してｍc を法とする
剰余を計算すると１となり、かつ、前記オイラー関数値
より小さいいずれの自然数をべき乗した結果に対してｍ
c を法とする剰余を計算しても、１にならない条件を満
たすような、互いに異なる二つの自然数データであるｐ
c とｑc とを探索する第１の探索手段と、ｐcとｑc を
乗じてデータＮc を求める乗算手段と、ｐc とｑc とに
それぞれ前記オイラー関数値をべき乗し１を減じた値同
士の最小公倍数データ値であるＬc を算出し、Ｌc を法
とする剰余が１となるデータ値を積とするような二つの
自然数データｄc およびｅc を探索する第２の探索手段
と、ｐc とｑc との組を第１の秘密鍵データとして、Ｎ
c を第１の公開鍵データとして、ｄc を第２の秘密鍵デ
ータとして、ｅc を第２の公開鍵データとして、それぞ
れ出力する出力手段と、を具備したことを要旨とする公
開鍵暗号の鍵生成装置である。
【００３７】また、請求項１１記載の発明は、二乗因子
を含まないある有理整数データ値であるｍs を入力する
入力手段と、ｍs に対して、４を法とする剰余を計算
し、この剰余の計算値が１となる場合は、判別式データ
の値をｍs とし、この剰余の計算値が１以外の場合は、
判別式データの値を４ｍs とする判別式データ設定手段
と、有理素数のなかから、この有理素数を法として前記
判別式データを平方非剰余とするような互いに異なる二
つの有理素数であるｐs とｑs とを探索する第１の探索
手段と、ｐs とｑs を乗じてデータＮs を求める乗算手
段と、ｐs とｑsのそれぞれの２乗から１を減じた値同
士の最小公倍数データ値であるＬs を算出し、このＬs
を法とする剰余が１となるデータ値を積とするような二
つの自然数データｄs およびｅs を探索する第２の探索
手段と、ｐs とｑs の組を第１の秘密鍵データとして、
Ｎs を第１の公開鍵データとして、ｄs を第２の秘密鍵
データとして、ｅs を第２の公開鍵データとして、それ
ぞれ出力する出力手段と、を具備したことを要旨とする
公開鍵暗号の鍵生成装置。
【００３８】また、請求項１２記載の発明は、第１およ
び第２の公開鍵により平文データを暗号化して暗号文デ
ータを生成する公開鍵暗号による暗号化方法であって、
平文データを複数ブロックに分割して得られた平文ブロ
ックデータに対して、第２の公開鍵データ値であるｅc
またはｅs をべき乗した値を計算し、この計算値に対し
て、第１の公開鍵であるイデアルＮc またはＮs を法と
した剰余を求めることによって、暗号文データを生成す
ることを要旨とする公開鍵暗号による暗号化方法であ
る。
【００３９】また、請求項１３記載の発明は、請求項１
２に記載の公開鍵暗号による暗号化方法において、前記
イデアルを法とする剰余類の取り方は、ユークリッド的
なｍc 次円分体において、０でないイデアルＮc を法と
する剰余類の完全代表系として、ｍc に対するオイラー
関数の値を次元とする多次元ベクトルで張られる超平行
四辺体の内部と境界上の格子点とし、前記平文データ
が、それぞれ前記ｍc に対するオイラー関数値に等しい
ブロック数からなる平文ブロックデータに分割された後
に暗号化されることを要旨とする。
【００４０】また、請求項１４記載の発明は、請求項１
２に記載の公開鍵暗号による暗号化方法において、前記
イデアルを法とする剰余類の取り方は、ユークリッド的
な２次体において、０でないイデアルＮs を法とする剰
余類の完全代表系として、２次元ベクトルで張られる平
行四辺形体の内部と境界上の格子点とし、前記平文デー
タが、それぞれ２つのブロックからなる平文ブロックデ
ータに分割された後に暗号化されることを要旨とする。
【００４１】また、請求項１５記載の発明は、平文ブロ
ックデータに対して、第２の公開鍵データ値であるｅc
をべき乗した値を計算するべき乗計算手段と、この計算
値に対して、第１の公開鍵であるイデアルＮc を法とし
た剰余を求める剰余類計算手段と、を備えてなり、前記
剰余類計算手段におけるイデアルを法とする剰余類の取
り方は、ユークリッド的なｍc 次円分体において、０で
ないイデアルＮc を法とする剰余類の完全代表系とし
て、ｍc に対するオイラー関数の値を次元とする多次元
ベクトルで張られる超平行四辺体の内部と境界上の格子
点とすることを要旨とする公開鍵暗号による暗号化装置
である。
【００４２】また、請求項１６記載の発明は、平文ブロ
ックデータに対して、第２の公開鍵データ値であるｅs
をべき乗した値を計算するべき乗計算手段と、この計算
値に対して、第１の公開鍵であるイデアルＮs を法とし
た剰余を求める剰余類計算手段と、を備えてなり、前記
剰余類計算手段におけるイデアルを法とする剰余類の取
り方は、ユークリッド的な２次体において、０でないイ
デアルＮs を法とする剰余類の完全代表系として、２次
元ベクトルで張られる平行四辺形体の内部と境界上の格
子点とすることを要旨とする公開鍵暗号による暗号化装
置である。
【００４３】また、請求項１７記載の発明は、請求項１
２ないし請求項１４のいずれか１項記載の暗号化方法に
より生成された暗号文ブロックデータに対して復号化を
施して平文データを生成する公開鍵暗号の復号化方法で
あって、前記暗号文ブロックデータに対して、第２の秘
密鍵データ値であるｄc またはｄs をべき乗した値を計
算し、この計算値に対して、第１の公開鍵であるイデア
ルＮc またはＮs を法とした剰余を求めることによっ
て、平文データを生成することを要旨とする公開鍵暗号
の復号化方法である。
【００４４】また、請求項１８記載の発明は、請求項１
７に記載の公開鍵暗号の復号化方法において、前記イデ
アルを法とする剰余類の取り方は、ユークリッド的なｍ
c 次円分体において、０でないイデアルＮc を法とする
剰余類の完全代表系として、ｍc に対するオイラー関数
の値を次元とする多次元ベクトルで張られる超平行四辺
体の内部と境界上の格子点とすることを要旨とする。
【００４５】また、請求項１９記載の発明は、請求項１
７に記載の公開鍵暗号の復号化方法において、前記イデ
アルを法とする剰余類の取り方は、ユークリッド的な２
次体において、０でないイデアルＮs を法とする剰余類
の完全代表系として、２次元ベクトルで張られる平行四
辺形体の内部と境界上の格子点とすることを要旨とす
る。
【００４６】また、請求項２０記載の発明は、暗号文ブ
ロックデータに対して、第２の秘密鍵データ値であるｄ
c をべき乗した値を計算するべき乗計算手段と、この計
算値に対して、第１の公開鍵であるイデアルＮc を法と
した剰余を求める剰余類計算手段と、を備えてなり、前
記剰余類計算手段におけるイデアルを法とする剰余類の
取り方は、ユークリッド的なｍc 次円分体において、０
でないイデアルＮc を法とする剰余類の完全代表系とし
て、ｍc に対するオイラー関数の値を次元とする多次元
ベクトルで張られる超平行四辺体の内部と境界上の格子
点とすることを要旨とする公開鍵暗号の復号化装置であ
る。
【００４７】また、請求項２１記載の発明は、暗号文ブ
ロックデータに対して、第２の秘密鍵データ値であるｄ
s をべき乗した値を計算するべき乗計算手段と、この計
算値に対して、第１の公開鍵であるイデアルＮs を法と
した剰余を求める剰余類計算手段と、を備えてなり、前
記剰余類計算手段におけるイデアルを法とする剰余類の
取り方は、ユークリッド的な２次体において、０でない
イデアルＮs を法とする剰余類の完全代表系として、２
次元ベクトルで張られる平行四辺形体の内部と境界上の
格子点とすることを要旨とする公開鍵暗号の復号化装置
である。
【００４８】また、請求項２２記載の発明は、第１の公
開鍵および第２の秘密鍵により、認証文から暗号化され
た認証子データを生成する公開鍵暗号方式による認証文
生成方法であって、前記認証文をハッシュ化し、複数ブ
ロックに分割した認証子ブロックデータを生成し、この
認証子ブロックデータに対して、第２の秘密鍵データ値
であるｄc またはｄs をべき乗した値を計算し、この計
算値に対して、第１の公開鍵データであるイデアルＮc
またはＮs を法とした剰余を求めることによって、暗号
化認証子データを生成することを要旨とする公開鍵暗号
方式による認証文生成方法である。
【００４９】また、請求項２３記載の発明は、請求項２
２に記載の公開鍵暗号による認証文生成方法において、
前記イデアルを法とする剰余類の取り方は、ユークリッ
ド的なｍc 次円分体において、０でないイデアルＮc を
法とする剰余類の完全代表系として、ｍc に対するオイ
ラー関数の値を次元とする多次元ベクトルで張られる超
平行四辺体の内部と境界上の格子点とし、前記平文デー
タが、それぞれ前記ｍc に対するオイラー関数値に等し
いブロック数からなる平文ブロックデータに分割された
後に暗号化されることを要旨とする。
【００５０】また、請求項２４記載の発明は、請求項２
２に記載の公開鍵暗号による認証文生成方法において、
前記イデアルを法とする剰余類の取り方は、ユークリッ
ド的な２次体において、０でないイデアルＮs を法とす
る剰余類の完全代表系として、２次元ベクトルで張られ
る平行四辺形体の内部と境界上の格子点とし、前記平文
データが、それぞれ２つのブロックからなる平文ブロッ
クデータに分割された後に暗号化されることを要旨とす
る。
【００５１】また、請求項２５記載の発明は、入力され
た認証文をハッシュ化した後に分割し、それぞれｍc に
対するオイラー関数値に等しいブロック数からなる認証
子ブロックデータを生成する認証子データ生成手段と、
この生成された認証子ブロックデータに対して、第２の
秘密鍵データ値であるｄc をべき乗した値を計算するべ
き乗計算手段と、この計算値に対して、第１の公開鍵デ
ータであるイデアルＮc を法とした剰余を求める剰余類
計算手段と、を備えてなり、前記剰余類計算手段におけ
るイデアルを法とする剰余類の取り方は、ユークリッド
的なｍc 次円分体において、０でないイデアルＮc を法
とする剰余類の完全代表系として、ｍcに対するオイラ
ー関数の値を次元とする多次元ベクトルで張られる超平
行四辺体の内部と境界上の格子点とすることを要旨とす
る公開鍵暗号による認証文生成装置である。
【００５２】また、請求項２６記載の発明は、入力され
た認証文をハッシュ化した後に分割し、それぞれ２つの
ブロックからなる認証子ブロックデータを生成する認証
子データ生成手段と、この生成された認証子ブロックデ
ータに対して、第２の秘密鍵データ値であるｄs をべき
乗した値を計算するべき乗計算手段と、この計算値に対
して、第１の公開鍵データであるイデアルＮs を法とし
た剰余を求めて暗号化認証子データを得る剰余類計算手
段と、を備えてなり、前記剰余類計算手段におけるイデ
アルＮs を法とする剰余類の取り方は、ユークリッド的
な２次体において、０でないイデアルＮs を法とする剰
余類の完全代表系として、２次元ベクトルで張られる平
行四辺形体の内部と境界上の格子点とすることを要旨と
する公開鍵暗号による認証文生成装置である。
【００５３】また、請求項２７記載の発明は、請求項２
２ないし請求項２４のいずれか１項記載の認証文生成方
法により生成された暗号化認証子データを復号化し、平
文でありこの暗号化認証子データに相当する認証文デー
タの正当性を検証する認証文検証方法であって、暗号化
された認証子ブロックデータに対して、第２の公開鍵デ
ータ値であるｅc またはｅs をべき乗した値を計算し、
この計算値に対して、第１の公開鍵であるイデアルＮc
またはＮs を法とした剰余を求めることによって、認証
子データを復号化し、この復号化した認証子データと、
前記平文の認証子データとが一致していた場合は、認証
ないし検証過程を正当と判定し、この復号化した認証子
データと、前記平文の認証子データとが不一致であった
場合は、認証ないし検証過程を正当でないと判定する、
ことを要旨とする公開鍵暗号による認証文検証方法であ
る。
【００５４】また、請求項２８記載の発明は、請求項２
７に記載の公開鍵暗号による認証文検証方法において、
前記イデアルを法とする剰余類の取り方は、ユークリッ
ド的なｍc 次円分体において、０でないイデアルＮc を
法とする剰余類の完全代表系として、ｍc に対するオイ
ラー関数の値を次元とする多次元ベクトルで張られる超
平行四辺体の内部と境界上の格子点とすることを要旨と
する。
【００５５】また、請求項２９記載の発明は、請求項２
７に記載の公開鍵暗号による認証文検証方法において、
前記イデアルを法とする剰余類の取り方は、ユークリッ
ド的な２次体において、０でないイデアルＮs を法とす
る剰余類の完全代表系として、２次元ベクトルで張られ
る平行四辺形体の内部と境界上の格子点とすることを要
旨とする。
【００５６】また、請求項３０記載の発明は、暗号化さ
れた認証子ブロックデータに対して、第２の公開鍵デー
タ値であるｅc をべき乗した値を計算するべき乗計算手
段と、この計算値に対して、第１の公開鍵であるイデア
ルＮc を法とした剰余を求めて復号化された認証子デー
タを得る剰余類計算手段と、この復号化された認証子デ
ータおよびこれに対応する平文の認証子データの比較に
基づいて認証判定を行う判定手段と、を備える認証文検
証装置であって、前記剰余類計算手段における前記イデ
アルを法とする剰余類の取り方は、ユークリッド的なｍ
c 次円分体において、０でないイデアルＮc を法とする
剰余類の完全代表系として、ｍc に対するオイラー関数
の値を次元とする多次元ベクトルで張られる超平行四辺
体の内部と境界上の格子点とすることを要旨とする公開
鍵暗号による認証文検証装置である。
【００５７】また、請求項３１記載の発明は、暗号化さ
れた認証子ブロックデータに対して、第２の公開鍵デー
タ値であるｅs をべき乗した値を計算するべき乗計算手
段と、この計算値に対して、第１の公開鍵であるイデア
ルＮs を法とした剰余を求めて復号化された認証子デー
タを得る剰余類計算手段と、この復号化された認証子デ
ータおよびこれに対応する平文の認証子データの比較に
基づいて認証判定を行う判定手段と、を備える認証文検
証装置であって、前記剰余類計算手段における前記イデ
アルを法とする剰余類の取り方は、ユークリッド的な２
次体において、０でないイデアルＮs を法とする剰余類
の完全代表系として、２次元ベクトルで張られる平行四
辺形体の内部と境界上の格子点とすることを要旨とする
公開鍵暗号による認証文検証装置である。
【００５８】また、請求項３２記載の発明は、請求項１
５、請求項２０、請求項２５、または請求項３０のいず
れか１項に記載の装置において、前記剰余類計算手段に
おける剰余の計算は、前記ｍc に対するオイラー関数値
に等しい数の各成分毎に行うことを要旨とする。
【００５９】また、請求項３３記載の発明は、請求項１
６、請求項２１、請求項２６、または請求項３１のいず
れか１項に記載の装置において、前記剰余類計算手段に
おける剰余の計算は、２つの各成分毎に行うことを要旨
とする。
【００６０】［作用］本発明においては、代数体のイデ
アルの剰余類の構成法とべき乗の演算アルゴリズムを与
えることにより、代数体上に拡張された公開鍵暗号方式
を実現するための鍵生成方法、暗号化方法および復号化
方法を具体的に構成し、また鍵生成装置、暗号化装置、
および復号化装置を具体的に構成した。
【００６１】すなわち、本発明に係る公開鍵暗号による
鍵生成方法および鍵生成装置によれば、従来の有理整数
環上での公開鍵暗号を円分体または２次体の整数環の上
へ拡張した公開鍵暗号方式を提供することができる。
【００６２】また、本発明に係る公開鍵暗号による暗号
化方式、復号化方式、暗号化装置及び復号化装置によれ
ば、円分体または２次体それぞれにおけるイデアルを法
とするべき乗方法及びイデアルを法とするべき乗演算装
置を提供することにより、ＲＳＡ型の公開鍵暗号方式及
び暗号化通信方式及び暗号化通信装置を提供することが
できる。
【００６３】その結果、同報通信に対する安全性の向上
したＲＳＡ型暗号を構成することができる。また、本発
明による公開鍵暗号によれば、従来の楕円曲線上のＲＳ
Ａ暗号に比べて暗号化速度を大幅に高速化することがで
きる。
【００６４】また、本発明に係る公開鍵暗号による認証
文生成方法、認証文検証方法、認証文生成装置、及び認
証文検証装置によれば、円分体または２次体それぞれに
おけるイデアルを法とするべき乗方法及びイデアルを法
とするべき乗演算装置を提供することにより、ＲＳＡ型
の公開鍵暗号方式による認証通信が行える。
【００６５】また、本発明による公開鍵暗号方式を用い
た暗号化通信装置は、認証にも適用でき、暗号化通信お
よび認証通信の双方に対称使用が可能となる。
【００６６】
【発明の実施の形態】
[本発明に係る公開鍵暗号方式の原理］次に、本発明に
係る公開鍵暗号方式の原理を詳細に説明する。有理整数
環Ｚにおいて、素数ｐと互いに素な任意の整数ａに対し
て、
【数８】 ａp-1 ≡１ mod ｐ …（１０） 式（１０）で示されるフェルマーの小定理が成り立つこ
とが知られている。
【００６７】任意の代数体の整数環Ｏに於いても、有理
整数環Ｚと同様にフェルマーの小定理が成り立つ。つま
り、Ｏの素イデアルをＰとすれば、Ｐと素な元αに対し
て、
【数９】 αNrmP-1≡１ mod Ｐ …（１１） 式（１１）が成り立つ。ただし、ＮrmはイデアルＰのノ
ルムとする。
【００６８】また、素イデアルＰ，Ｑに対して、
【数１０】 Ｎ＝ＰＱ …（１２） Ｌ＝ＬＣＭ（ＮrmＰ−１，ＮrmＱ−１） …（１３） とする。ここで、フェルマーの小定理より、ｋ≡１
（mod Ｌ）をみたすｋに対して、
【数１１】 αk ≡α mod Ｎ …（１４） が成立する。この合同式（１４）で、ｋ≡ｅｄ （mod
Ｌ）を満たすｅ，ｄを選び、Ｎの剰余類を第１の公開
鍵、ｅを第２の公開鍵、ｄを第２の秘密鍵とすれば、
【数１２】 αed ≡α mod Ｎ …（１５） 合同式（１５）が成り立ち、公開鍵方式の暗号化および
復号化が可能となる。本原理に基づき、本発明である代
数体上に拡大したＲＳＡ型の公開鍵暗号が構成できる。
【００６９】［暗号化通信装置の実施形態］次に図面を
参照して、本発明の実施の形態を詳細に説明する。図１
は、本発明に係る公開鍵暗号による暗号化通信装置１１
の全体構成を説明するブロック図である。図１によれ
ば、暗号化通信装置１１は、鍵生成装置２１、暗号化装
置３１、復号化装置４１、および通信路５１から構成さ
れている。
【００７０】鍵生成装置２１は、公開鍵１（ｎ）、公開
鍵２ｅ、秘密鍵１（ｐ），（ｑ）、および秘密鍵２ｄを
生成する装置である。
【００７１】暗号化装置３１は、平文Ｍを暗号化して暗
号文（Ｃ0,Ｃ1,…,Ｃr-1 ）を通信路５１に送出する装
置であり、平文Ｍを受け入れる平文入力部３３、平文Ｍ
を一連の分割平文（Ｍ0,Ｍ1,…,Ｍr-1 ）に分割する平
文分割部３５、および分割平文（Ｍ0,Ｍ1,…,Ｍr-1 ）
を暗号化して暗号文（Ｃ0,Ｃ1,…,Ｃr-1 ）を得て、こ
の暗号文を送信する暗号化処理部３７を備えている。
【００７２】復号化装置４１は、ｒ個のブロックからな
る暗号文（Ｃ0,Ｃ1,…,Ｃr-1 ）を復号化して分割平文
（Ｍ0,Ｍ1,…,Ｍr-1 ）を得る復号化処理部４３、この
分割平文（Ｍ0,Ｍ1,…,Ｍr-1 ）を統合して平文Ｍを得
る平文統合処理部４７、および平文Ｍを出力する平文出
力部４９を備えて構成されている。通信路５１は、従来
の通信路と同様の通信路である。
【００７３】次に、この暗号化通信装置１１を構成する
各装置の機能の概略を説明する。 ［鍵生成装置］まず、鍵生成装置２１は、素イデアル生
成部２３により２個の素イデアルＰ，Ｑ（秘密鍵１）を
生成し、その積Ｎ＝ＰＱの剰余類（公開鍵１）を決定す
る。次いで、素イデアルＰ，ＱからＬを計算し、ｅ（公
開鍵２）と、ｄ（秘密鍵２）を生成するものである。
【００７４】鍵生成装置２１における鍵生成処理は、
［２個の素イデアル（秘密鍵１）の生成］、［剰余類
（公開鍵１）の決定］及び［公開鍵２であるｅと秘密鍵
２であるｄの生成］の３段階からなり、代数体が円分体
であるか、２次体であるかによって、処理内容が異な
る。
【００７５】［円分体における鍵生成処理］円分体の場
合は、まず、円分体を生成する原始根の位数ｍを入力と
して、互いに異なる２つの秘密鍵１である素イデアル
Ｐ，Ｑを出力する。次いで、２つの秘密鍵１である素イ
デアルＰ，Ｑを入力として、公開鍵２であるｅと秘密鍵
２であるｄを生成し出力する。
【００７６】［２次体における鍵生成処理］２次体の場
合は、判別式Ｄを入力として、互いに異なる２つの秘密
鍵１である素イデアルＰ，Ｑを出力する。次いで、２つ
の秘密鍵１である素イデアルＰ，Ｑを入力として、公開
鍵２であるｅと秘密鍵２であるｄを生成し出力する。
【００７７】［暗号化装置］次に、暗号化装置３１は、
平文入力部３３、平文分割処理部３５、及び暗号化処理
部３７を含んで構成され、暗号化処理部３７は、イデア
ルｎを法とするべき乗演算部を含んでいる。
【００７８】平文入力部３３は、送信すべきメッセージ
である平文Ｍを受け入れる。平文分割処理部３５は、鍵
生成装置２１よりブロック数ｒおよび分割平文長［ｌｏ
ｇ2ｎ］（［ｘ］は、ｘを超えない最大の整数を示すガ
ウスの記号である）を得て、平文を一連の分割平文（Ｍ
0,Ｍ1,…,Ｍr-1 ）に分割する。ここで、ｒをイデアル
Ｎの剰余類の完全代表系としてのベクトル空間Ｚ上の整
数環Ｏの次元とする。そして、平文Ｍに対して、それぞ
れのブロックが剰余類の範囲内のｒ個のブロックからな
る分割平文（Ｍ0,Ｍ1,…,Ｍr-1 ）を生成する。
【００７９】暗号化処理部３７は、イデアルｎを法とす
るべき乗演算部３９により、受け手の公開鍵ｅを用い
て、
【数１３】 （Ｃ0,Ｃ1,…,Ｃr-1 ）≡（Ｍ0,Ｍ1,…,Ｍr-1 ）e mod Ｎ …（１６） 式（１６）によって暗号化を行なう。この暗号文は、通
信路５１を介して、受け手に送られる。
【００８０】［復号化装置］復号化装置４１は、ｒ個の
ブロックからなる暗号文（Ｃ0,Ｃ1,…,Ｃr-1 ）を復号
化して分割平文（Ｍ0,Ｍ1,…,Ｍr-1 ）を得る復号化処
理部４３、この分割平文（Ｍ0,Ｍ1,…,Ｍr-1 ）を統合
して平文Ｍを得る平文統合処理部４７、および平文Ｍを
出力する平文出力部４９を備えて構成されている。この
うち復号化処理部４３は、イデアルｎを法とするべき乗
演算部４５を備えていてる。
【００８１】復号化処理部４３は、イデアルｎを法とす
るべき乗演算部４５により、受け手自身の秘密鍵ｄを用
いて、
【数１４】 （Ｃ0,Ｃ1,…,Ｃｒ-1 ）d ≡（Ｍ0,Ｍ1,…,Ｍr-1 ） mod Ｎ …（１７） 式（１７）を計算することによって、復号化を行なう。
【００８２】平文統合処理部４７は、復号化された分割
平文（Ｍ0,Ｍ1,…,Ｍr-1 ）を統合し、原平文Ｍへ復元
し、平文出力部４９から出力する。
【００８３】次に、鍵生成装置２１における本発明の公
開鍵暗号方式に用いられる公開鍵（暗号化鍵）及び秘密
鍵（復号化鍵）の生成方法を詳細に説明する。
【００８４】［円分体における素イデアルの生成］ま
ず、円分体における素イデアルの生成について説明す
る。有理数体Ｑに１の原始ｍ乗根ζm （ただし、ｍは素
数のべきとする）を添加した体Ｑ（ζm ）をｍ次円分体
とよぶ。その整数環をＯと書く。ｍ＝３，５，７，１
１，１３などのときは、ユークリッド環であった。ま
た、この円分体の整数環ＯはＺφ(m) に埋め込み可能で
あり、以降Ｏの元
【数１５】 ａ0 ＋ａ1 ζm ＋ａ2 （ζm ）2 ＋…＋ａφ(m)-1 （ζm ）φ(m)-1 …（１８） をＺφ(m) の元（ａ0 ，ａ1 ，ａ2 …，ａφ(m)-1 ）と
同一視する。ただし、ａ0 ，ａ1 ，ａ2 …，ａφ(m)-1
∈Ｚであり、φ（ｍ）は１以上ｍ−１以下の自然数でｍ
と互いに素な数の個数である（オイラー関数）。したが
って、円分体の整数環ＯはＺ上φ（ｍ）次元である。
【００８５】これより、円分体の整数環Ｏにおいて、有
理素数ｐは、
【数１６】 ｐφ(m)≡１（mod ｍ），ｐi≠１（mod ｍ） （ｊ＜φ（ｍ））…（19） であるときＯにおいても素数である。つまり、上の条件
を満たす素数ｐを選べば、その素数は円分体の整数環で
も分解せず、素イデアル（ｐ）の生成元ｐとなる。これ
を、惰性する素数と呼び、暗号化装置の秘密鍵１とす
る。
【００８６】具体例として、ｍ＝３，５，７，１１，１
３の場合などは、素数ｐとして、
【数１７】 ｍ＝３ ｐ≡２ mod ３ ｍ＝５ ｐ≡２，３ mod ５ ｍ＝７ ｐ≡３，５ mod ７ ｍ＝１１ ｐ≡２，６，７，８ mod １１ ｍ＝１３ ｐ≡２，６，７，９，１１ mod １３ を選べばよい。円分体は、原始ｍ乗根の自然数ｍが与え
られると決定する。
【００８７】図３は、円分体における素イデアル生成装
置の機能図である。同図によれば、まず、円分体を生成
する原始根の位数ｍを入力し、次いで、有理素数ｐを任
意に生成する（ステップＳ１０１）。次いで、制御変数
ｉを１に初期設定する（ステップＳ１０３）。次いで、
有理素数ｐのｉ乗（mod ｍ）を計算し、この値が１に等
しいか否かを判定する（ステップＳ１０５）。
【００８８】等しければ、ステップＳ１０１に戻り、再
度新たな有理素数を生成する。等しくなければ、制御変
数ｉがｍのオイラー関数値φ（ｍ）に等しいか否かを判
定する（ステップＳ１０７）。等しければ、ｐが素イデ
アル（ｐ）の生成元ｐとなる条件を満たしているので、
素イデアル（ｐ）の探索を終了する。等しくなければ、
制御変数ｉを１だけ増加させて（ステップＳ１０９）、
ステップＳ１０５へ戻る。
【００８９】［２次体における素イデアルの生成］次
に、２次体における素イデアルの生成について説明す
る。有理数体Ｑに、二乗の因子を持たない有理整数ｍの
平方根を添加して得られる代数体Ｑ（√ｍ）を２次体と
言う。２次体の整数環をＯとするとき、Ｏの全ての元α
は、
【数１８】 ω＝（１＋√ｍ）／２ ｍ≡１（mod ４） …（２０） ω＝√ｍ ｍ≡２，３（mod ４）…（２１） とするとき、任意の整数ａ，ｂを用いて、
【数１９】 α＝ａ＋ｂω …（２２） と書ける。そこで、２次体の整数環の元と２次元平面Ｚ
2 を同一視する。したがって、２次体の整数環ＯはＺ上
２次元である。
【００９０】また、２次体の判別式Ｄをｍの４を法とす
る剰余の値に従って、
【数２０】 Ｄ＝ｍ ｍ≡１ （mod ４） …（２３） Ｄ＝４ｍ ｍ≡２，３ （mod ４） …（２４） と定義する。このとき、偶数でなく判別式で割れない素
数ｐに対して、
【数２１】 （Ｄ／ｐ）2＝−１ …（２５） を満たす素数ｐは、平方非剰余であり、２次体の整数環
Ｏの上でも分解せず素イデアル（ｐ）の生成元となる。
ここで、
【数２２】（Ｄ／ｐ）2 は、平方剰余記号（ルジャンドルの記号とも呼ばれる）
であり、例えばユークリッドの互除法を用いて計算でき
る。よって、上の性質を持つ素数を秘密鍵１として利用
する。この素数も惰性する素数と呼ぶ。２次体は、判別
式Ｄが与えられると決定することに注意する。
【００９１】図４は、２次体における素イデアル生成装
置の機能図である。同図によれば、まず、２次体を生成
する判別式Ｄの値を入力し、次いで、有理素数ｐを任意
に生成する（ステップＳ２０１）。次いで、平方剰余記
号（Ｄ／ｐ）2 を計算し、この値が−１であるか否かを
判定する（ステップＳ２０３）。
【００９２】（Ｄ／ｐ）2 ＝−１であれば、素数ｐは、
２次体の整数環Ｏの上でも分解せず素イデアル（ｐ）の
生成元となるので、素イデアルｐの探索を終了する。
（Ｄ／ｐ）2 ＝−１でなければ、ステップＳ２０１へ戻
り、異なる有理素数ｐを任意に生成する。
【００９３】円分体・２次体ともに、以上の方法で生成
された素イデアル（ｐ）は以下生成元と同一視し、場合
によりｐと記述する。
【００９４】［秘密鍵１および公開鍵１の生成］素イデ
アル（ｐ）が探索された方法と同様の方法により、素イ
デアル（ｑ）も探索されるが、素イデアル（ｐ）と異な
る素イデアル（ｑ）を探索する必要がある。秘密鍵１
は、これら２個の惰性する素数ｐ，ｑとする。公開鍵１
は、それらの積ｎ＝ｐｑとする。
【００９５】［秘密鍵２および公開鍵２の生成］秘密鍵
１ｐ，ｑに対して、ＬＣＭを最小公倍数を求める関数と
するとき、ｍ次円分体の場合は、
【数２３】 Ｌ＝ＬＣＭ（ｐφ(m)−１，ｑφ(m)−１） …（２６） を計算し、２次体の場合は
【数２４】 Ｌ＝ＬＣＭ（ｐ2 −１，ｑ2 −１） …（２７） を求める。次に、円分体２次体ともに、
【数２５】 ｅｄ≡１ （mod Ｌ） …（２８） を満たす、ｅ，ｄを求める。秘密鍵２はｄとし、公開鍵
２はｅとする。円分体における、これらの鍵を生成する
装置の機能図を図５に示す。
【００９６】［平文分割処理部］次に、図６を参照し
て、暗号化装置３１における平文分割処理部３５の分割
機能の詳細を説明する。本発明に係る公開鍵暗号方式に
よれば、一回の暗号化処理の対象となる分割平文のブロ
ック数ｒは、ｍ次円分体の場合φ（ｍ）個であり、２次
体の場合は２個である。このため、平文分割処理部３５
により、平文Ｍをそれぞれｒ個のブロックからなる平文
ブロックに分割し、分割平文（Ｍ0,Ｍ1,…，Ｍr-1 ）と
して、暗号化処理部３７に供給する必要がある。
【００９７】図６によれば、平文分割処理部３５の入力
として、平文入力部３３より平文Ｍのビット列が与えら
れる。また、鍵生成装置２１より、ブロック数ｒ、及び
１ブロックの長さ（ビット数）である分割平文長［ｌｏ
ｇ2 ｎ］が与えられる。分割平文長［ｌｏｇ2 ｎ］は、
ｌｏｇ2 ｎを超えない最大の整数とする（ここで、前記
２個の惰性する素数の積ｎ＝ｐｑ）。以上が平文分割処
理部３５の初期状態であり、例えばメモり上に各数値お
よびデータを記憶して引き渡される。
【００９８】次いで、制御変数ｉを０に設定し（ステッ
プＳ４０１）、Ｍの先頭より［ｌｏｇ2 ｎ］ビットの長
さのブロックを切り出し、この切り出されたブロックを
Ｍｉとし、残りのビット列を新たなＭとする（ステップ
Ｓ４０３）。ブロックＭｉは、例えばメモり上に確保さ
れたｒの配列記憶位置のｉ番目に格納してもよい。
【００９９】次いで、制御変数ｉがｒ−１に等しいか否
かを判定し（ステップＳ４０５）、この判定でｉ≠ｒ−
１であれば、ｉを１だけ増加させて（ステップＳ４０
７）、残りのブロックの切り出しのために、ステップＳ
４０３へ戻る。
【０１００】ステップＳ４０５の判定において、ｉ＝ｒ
−１であれば、暗号化単位のｒブロックの切り出しが終
わったので、Ｍ0,Ｍ1,…，Ｍr-1 を暗号化処理部３７へ
出力する（ステップＳ４０９）。次いで、Ｍが空かどう
かを判定し（ステップＳ４１１）、Ｍが空であれば、平
文分割処理を終了し、Ｍが空でなければ、再度ｒ個のブ
ロックを切り出す為に、ステップＳ４０１へ戻る。以上
のようにして、平文Ｍがブロック分割される。
【０１０１】［暗号化処理部］次に、暗号化処理部３７
の詳細を説明する。平文分割処理部３５から入力された
分割平文（Ｍ0,Ｍ1,…，Ｍr-1 ）に対して、イデアルＮ
を法とする以下のべき乗演算を行なう。
【０１０２】
【数２６】 （Ｃ0,Ｃ1,…，Ｃr-1 ）≡（Ｍ0,Ｍ1,…，Ｍr-1 ）e mod Ｎ …（２９） 次に、（Ｃ0,Ｃ1,…，Ｃr-1 ）を分割暗号文とし、受け
手に送信する。ただし、ｒは整数環ＯのＺ上の次元とす
る。以下で、剰余類の決定とイデアルを法とするべき乗
演算処理について詳述する。
【０１０３】［イデアルを法とする剰余類の決定］本発
明では、暗号化・復号化を一意的に行なうため、イデア
ルを法とする剰余類の取り方を以下のように定める。
【０１０４】［円分体における剰余類］まず、円分体に
おけるイデアルを法とする剰余類の取り方を説明する。
ユークリッド的なｍ次円分体において０でないイデアル
Ｎによる剰余類の完全代表系として、Ｚφ(m) に於いて
原点からベクトル
【数２７】Ｎ，ζＮ，ζ2 Ｎ，…，ζφ(m)-1Ｎ で張られる超平行四辺体の内部と境界上の格子点が取れ
る。ただし、境界上の格子点は原点に面さない超平面上
の点は除く。
【０１０５】また、任意の円分体において、惰性する素
数の積で生成されるイデアル（ｎ）による剰余類の完全
代表系としてＺφ(m) に於いて、原点と
【数２８】ｎ，ζｎ，ζ2 ｎ，…，ζφ(m)-1ｎ を頂点とする超立方体の内部と境界上の格子点が取れ
る。ただし、各軸を一辺としない超平面上の点は除く。
【０１０６】ここで、注意として惰性する素数の積で生
成されるイデアル（ｎ）による剰余類の計算方法は、各
成分で有理整数の意味で（mod ｎ）を計算することであ
る。
【０１０７】［２次体における剰余類］次に、２次体に
おけるイデアルを法とする剰余類の取り方を説明する。
ユークリッド的な２次体において０でないイデアルＮに
よる剰余類の完全代表系として、Ｚ2 に於いて、原点か
らベクトル
【数２９】Ｎ，ωＮ で張られる平行四辺形の内部と境界上の格子点が取れ
る。ただし、境界上の格子点は原点に面する超平面上の
点のみ含める。
【０１０８】また、任意の２次体において、惰性する素
数の積で生成されるイデアル（ｎ）による剰余類の完全
代表系として、２次元平面Ｚ2 に於いて、原点と、
【数３０】ｎ，ωｎ を頂点とする正方形の内部と、境界上の格子点（各座標
が整数値となる点）が取れる。ただし、各軸を一辺とし
ない面上の点は除く。
【０１０９】ここで、注意として惰性する素数の積で生
成されるイデアル（ｎ）による剰余類の計算方法は、各
成分毎に有理整数の意味で（mod ｎ）を計算することで
ある。
【０１１０】また、任意の２次体において、惰性する素
数の積で生成されるイデアル（ｎ）による剰余類の完全
代表系として、２次元平面Ｚ2 （各軸を次元１・次元２
と呼ぶ）に於いて、原点（０，０）と、（ｎ，０）、
（ｎ，ｎ）、（０，ｎ）を頂点とする正方形の内部と、
境界上の格子点（各座標が整数値となる点）が取れる。
ただし、各軸を一辺としない面上の点は除く。この様子
を図３２に示す。
【０１１１】［イデアル（ｎ）を法とするべき乗演算］
次に、イデアル（ｎ）を法とするべき乗演算について説
明する。本発明の公開鍵暗号方式では、式（１６）、
（１７）に示したようなべき乗演算が行われる。べき乗
演算では、指数部を２進表現して、この関数を指数部が
２のべきとなる因数の積に分解し、小さい因数から順
次、法による乗算を繰り返していく、反復平方積による
べき乗演算法、または２進計算法と呼ばれる既知の高速
べき乗演算方法を使用することができる。
【０１１２】このべき乗計算のための基本演算は、
【数３１】 ｘ2n＝（ｘn ）2、 ｘ2n+1＝（ｘn ）2 ×ｘ …（３０） 式（３０）に示すように、乗算と２乗演算であるので、
この乗算と２乗演算方法を以下に説明する。
【０１１３】［円分体における乗算および２乗演算方
法］まず、円分体における乗算および２乗演算方法につ
いて説明する。円分体に於ける２元ｘ＝（ｘ0 ，ｘ1 ，
…ｘφ(m)-1 ）とｙ＝（ｙ0 ，ｙ1 ，…，ｙφ(m)-1 ）
の乗算ｘ（×）ｙ、およびｘ＝（ｘ0 ，ｘ1 ，…，ｘφ
(m)-1）の２乗演算ｘ（×）ｘは、それぞれ式（３
１）、式（３２）に従って求めることができる。
【０１１４】
【数３２】 ｘ（×）ｙ＝（ｘ（×）ｙ0 ，ｘ（×）ｙ1 ，…，ｘ（×）ｙφ(m)-1 ） …（３１） ｘ（×）ｘ＝（ｘ（×）ｘ0 ，ｘ（×）ｘ1 ，…，ｘ（×）ｘφ(m)-1 ） …（３２） ここで、イデアル（ｎ）の剰余の取り方は、すべての成
分の式を（mod ｎ）で計算する。これにより、イデアル
（ｎ）を法とするべき乗演算装置が構成できる。
【０１１５】次に、円分体に於いて、拡大次数が低次で
かつ素数の場合のアルゴリズムを詳細に記述する。特
に、ｍ＝３の場合のべき乗演算を行なうための乗算と２
乗演算装置を図７と図８に示す。図７及び図８におい
て、符号３０１、３０３、３１３、３１５、３２５、３
３１及び３３３は、通常の乗算回路であり、符号３０
５、３１１、３２３は減算回路、符号３１７及び３２１
は加算回路、符号３０７、３１９、３２７、３３５は、
mod ｎ演算回路である。
【０１１６】［ｍ＝３の場合の乗算と２乗演算］ｍ＝３
の場合、オイラー関数値φ（ｍ）は、φ（３）＝２とな
り、乗算および２乗演算は、
【数３３】 ｘ（×）ｙ＝（ｘ（×）ｙ0 ，ｘ（×）ｙ1 ） …（３３） ここで、 ｘ（×）ｙ0 ＝ｘ0 ｙ0 −ｘ1 ｙ1 ｘ（×）ｙ1 ＝ｘ1 ｙ0 ＋（ｘ0 −ｘ1 ）ｙ1 ｘ（×）ｘ＝（ｘ（×）ｘ0 ，ｘ（×）ｘ1 ） …（３４） ここで、 ｘ（×）ｘ0 ＝（ｘ0 ＋ｘ1 )(ｘ0 −ｘ1 ） ｘ（×）ｘ1 ＝２ｘ0 ｘ1 それぞれ式（３３）、（３４）に示すとおりとなる。
【０１１７】［ｍ＝５の場合の乗算と２乗演算］ｍ＝５
の場合、オイラー関数値φ（ｍ）は、φ（５）＝４とな
り、乗算および２乗演算は、
【数３４】 ｘ（×）ｙ＝（ｘ（×）ｙ0 ，ｘ（×）ｙ1 ，…，ｘ（×）ｙ3 ）…（35） ここで、 ｘ（×）ｙ0 ＝ｘ3 （ｙ2 −ｙ1 ）＋ｘ2 （ｙ3 −ｙ2 ）＋ｘ0 ｙ0 −ｘ1 ｙ3 ｘ（×）ｙ1 ＝ｘ1 （ｙ0 −ｙ3 ）＋（ｘ0 ＋ｘ3 ）ｙ1 −ｘ2 ｙ2 −ｘ3 ｙ3 ｘ（×）ｙ2 ＝ｘ2 （ｙ0 −ｙ2 ）＋ｘ1 （ｙ1 −ｙ3 ）＋ｘ0 ｙ2 −ｘ3 ｙ1 ｘ（×）ｙ3 ＝ｘ3 （ｙ0 −ｙ1 ）＋ｘ2 （ｙ1 −ｙ2 ）＋ｘ2 ｙ1 −ｘ1 ｙ3 ｘ（×）ｘ＝（ｘ（×）ｘ0 ，ｘ（×）ｘ1 ，…，ｘ（×）ｘ3 ）…（36） ここで、 ｘ（×）ｘ0 ＝（ｘ0 ＋ｘ2 )(ｘ0 −ｘ2 ）＋２ｘ3
（ｘ2 −ｘ1 ） ｘ（×）ｘ1 ＝２ｘ1 （ｘ0 −ｘ3 ）＋（ｘ3 ＋ｘ2 ）
（ｘ3 −ｘ2 ） ｘ（×）ｘ2 ＝ｘ1 （ｘ1 −２ｘ3 ）＋ｘ2 （２ｘ0 −
ｘ2 ） ｘ（×）ｘ3 ＝ｘ2 （２ｘ1 −ｘ2 ）＋２ｘ3 （ｘ0 −
ｘ1 ） それぞれ式（３５）、（３６）に示すとおりとなる。
【０１１８】［ｍ＝７の場合の乗算と２乗演算］ｍ＝７
の場合、オイラー関数値φ（ｍ）は、φ（７）＝６とな
り、乗算および２乗演算は、
【数３５】 ｘ（×）ｙ＝（ｘ（×）ｙ0 ，ｘ（×）ｙ1 ，…，ｘ（×）ｙ5 ）…（37） ここで、 ｘ（×）ｙ0 ＝ｘ0 ｙ0 −ｘ5 ｙ1 ＋（−ｘ4 ＋ｘ5 ）
ｙ2＋（−ｘ3 ＋ｘ4 ）ｙ3 ＋（−ｘ2 ＋ｘ3 ）ｙ4＋
（−ｘ1 ＋ｘ2 ）ｙ5 ｘ（×）ｙ1 ＝ｘ1 ｙ0 −ｘ4 ｙ2 ＋（ｘ0 −ｘ5 ）ｙ
1＋（−ｘ3 ＋ｘ5 ）ｙ3 ＋（−ｘ2 ＋ｘ4 ）ｙ4＋（−
ｘ1 ＋ｘ3 ）ｙ5 ｘ（×）ｙ2 ＝ｘ2 ｙ0 −ｘ3 ｙ3 ＋（ｘ1 −ｘ5 ）ｙ
1＋（ｘ0 −ｘ4 ）ｙ2 ＋（−ｘ2 ＋ｘ5 ）ｙ4＋（−ｘ
1 ＋２ｘ4 ）ｙ5 ｘ（×）ｙ3 ＝ｘ3 ｙ0 −３ｘ2 ｙ4 ＋（ｘ2 −ｘ5 ）
ｙ1＋（ｘ1 −ｘ4 ）ｙ2 ＋（ｘ0 −ｘ3 ）ｙ3＋（−ｘ
1 ＋ｘ5 ）ｙ5 ｘ（×）ｙ4 ＝ｘ4 ｙ0 −４ｘ1 ｙ5 ＋（ｘ3 −ｘ5 ）
ｙ1＋（ｘ2 −ｘ4 ）ｙ2 ＋（ｘ1 −ｘ3 ）ｙ3＋（ｘ0
−ｘ2 ）ｙ4 ｘ（×）ｙ5 ＝ｘ5 ｙ0 ＋（ｘ4 −ｘ5 ）ｙ1 ＋（ｘ3
−ｘ4 ）ｙ2＋（ｘ2 −ｘ3 ）ｙ3 ＋（５ｘ1 −ｘ2 ）
ｙ4＋（ｘ0 −ｘ1 ）ｙ5
【数３６】 ｘ（×）ｘ＝（ｘ（×）ｘ0 ，ｘ（×）ｘ1 ，…，ｘ（×）ｘ5 ）…（38） ここで、 ｘ（×）ｘ0 ＝（ｘ0 ＋ｘ3 )(ｘ1 −ｘ3 ）＋２ｘ4
（ｘ3 ＋ｘ2 ）＋２ｘ5 （ｘ2 −ｘ1 ） ｘ（×）ｘ1 ＝２ｘ1 （ｘ0 −ｘ5 ）＋ｘ3 （２ｘ5 −
ｘ3 ）＋ｘ4 （ｘ4 −２ｘ2 ） ｘ（×）ｘ2 ＝（ｘ1 ＋ｘ3 )(ｘ1 −ｘ3 ）＋２ｘ5
（ｘ4 −ｘ1 ）＋ｘ2 （ｘ0 −ｘ4 ） ｘ（×）ｘ3 ＝ｘ5 （ｘ5 −２ｘ1 ）＋ｘ3 （２ｘ0 −
ｘ3 ）＋２ｘ2 （ｘ1 −ｘ4 ） ｘ（×）ｘ4 ＝ｘ2 （ｘ2 −２ｘ4 ）＋ｘ3 （２ｘ1 −
ｘ3 ）＋２ｘ1 （ｘ0 −ｘ5 ） ｘ（×）ｘ5 ＝ｘ3 （２ｘ2 −ｘ3 ）＋２ｘ0 （ｘ1 −
ｘ2 ）＋２ｘ5 （ｘ0 −ｘ1 ） それぞれ式（３７）、（３８）に示すとおりとなる。
【０１１９】［ｍ＝１１の場合の乗算と２乗演算］ｍ＝
１１の場合、オイラー関数値φ（ｍ）は、φ（１１）＝
１０となり、乗算および２乗演算は、
【数３７】 ｘ（×）ｙ＝（ｘ（×）ｙ0 ，ｘ（×）ｙ1 ，…，ｘ（×）ｙ9 ）…（39） ここで、 ｘ（×）ｙ0 ＝ｘ0 ｙ0 −ｘ9 ｙ1 ＋（−ｘ8 ＋ｙ9 ）
ｙ2＋（−ｘ7 ＋ｘ8 ）ｙ3 ＋（−ｘ6 ＋ｘ7 ）ｙ4＋
（−ｘ5 ＋ｘ6 ）ｙ5 ＋（−ｘ4 ＋ｘ5 ）ｙ6＋（−ｘ3
＋ｘ4 ）ｙ7 ＋（−ｘ2 ＋ｘ3 ）ｙ8＋（−ｘ1 ＋ｘ2
）ｙ9 ｘ（×）ｙ1 ＝ｘ1 ｙ0 −ｘ8 ｙ2 ＋（ｘ0 −ｘ9 ）ｙ
1＋（−ｘ7 ＋ｘ9 ）ｙ3 ＋（−ｘ6 ＋ｘ8 ）ｙ4＋（−
ｘ5 ＋ｘ7 ）ｙ5 ＋（−ｘ4 ＋ｘ6 ）ｙ6＋（−ｘ3 ＋
ｘ5 ）ｙ7 ＋（−ｘ2 ＋ｘ4 ）ｙ8＋（−ｘ1 ＋ｘ3 ）
ｙ9 ｘ（×）ｙ2 ＝ｘ2 ｙ0 −ｘ7 ｙ3 ＋（ｘ1 −ｘ9 ）ｙ
1＋（ｘ0 −ｘ8 ）ｙ2 ＋（−ｘ6 ＋ｘ9 ）ｙ4＋（−ｘ
5 ＋ｘ8 ）ｙ5 ＋（−ｘ4 ＋ｘ7 ）ｙ6＋（−ｘ3 ＋ｘ6
）ｙ7 ＋（−ｘ2 ＋ｘ5 ）ｙ8＋（−ｘ1 ＋ｘ4 ）ｙ9 ｘ（×）ｙ3 ＝ｘ3 ｙ0 −ｘ6 ｙ4 ＋（ｘ2 −ｘ9 ）ｙ
1＋（ｘ1 −ｘ8 ）ｙ2 ＋（ｘ0 −ｘ7 ）ｙ3＋（−ｘ5
＋ｘ9 ）ｙ5 ＋（−ｘ4 ＋ｘ8 ）ｙ6＋（−ｘ3 ＋ｘ7
）ｙ7 ＋（−ｘ2 ＋ｘ6 ）ｙ8＋（−ｘ1 ＋ｘ5 ）ｙ9 ｘ（×）ｙ4 ＝ｘ4 ｙ0 −ｘ5 ｙ5 ＋（ｘ3 −ｘ9 ）ｙ
1＋（ｘ2 −ｘ8 ）ｙ2 ＋（ｘ1 −ｘ7 ）ｙ3＋（ｘ0 −
ｘ6 ）ｙ4 ＋（−ｘ4 ＋ｘ9 ）ｙ6＋（−ｘ3 ＋ｘ8 ）
ｙ7 ＋（−ｘ2 ＋ｘ7 ）ｙ8＋（−ｘ1 ＋ｘ6 ）ｙ9 ｘ（×）ｙ5 ＝ｘ5 ｙ0 −ｘ4 ｙ6 ＋（ｘ4 −ｘ9 ）ｙ
1＋（ｘ3 −ｘ8 ）ｙ2 ＋（ｘ2 −ｘ7 ）ｙ3＋（ｘ1 −
ｘ6 ）ｙ4 ＋（ｘ0 −ｘ5 ）ｙ5＋（−ｘ3 ＋ｘ9 ）ｙ7
＋（−ｘ2 ＋ｘ8 ）ｙ8＋（−ｘ1 ＋ｘ7 ）ｙ9 ｘ（×）ｙ6 ＝ｘ6 ｙ0 −ｘ3 ｙ7 ＋（ｘ5 −ｘ9 ）ｙ
1＋（ｘ4 −ｘ8 ）ｙ2 ＋（ｘ3 −ｘ7 ）ｙ3＋（ｘ2 −
ｘ6 ）ｙ4 ＋（ｘ1 −ｘ5 ）ｙ5＋（ｘ0 −ｘ4 ）ｙ6
＋（−ｘ2 ＋ｘ9 ）ｙ8＋（−ｘ1 ＋ｘ8 ）ｙ9 ｘ（×）ｙ7 ＝ｘ7 ｙ0 −ｘ2 ｙ8 ＋（ｘ6 −ｘ9 ）ｙ
1＋（ｘ5 −ｘ8 ）ｙ2 ＋（ｘ4 −ｘ7 ）ｙ3＋（ｘ3 −
ｘ6 ）ｙ4 ＋（ｘ2 −ｘ5 ）ｙ5＋（ｘ1 −ｘ4 ）ｙ6
＋（ｘ0 −ｘ3 ）ｙ7＋（−ｘ1 ＋ｘ9 ）ｙ9 ｘ（×）ｙ8 ＝ｘ8 ｙ0 −ｘ1 ｙ9 ＋（ｘ7 −ｘ9 ）ｙ
1＋（ｘ6 −ｘ8 ）ｙ2 ＋（ｘ5 −ｘ7 ）ｙ3＋（ｘ4 −
ｘ6 ）ｙ4 ＋（ｘ3 −ｘ5 ）ｙ5＋（ｘ2 −ｘ4 ）ｙ6
＋（ｘ1 −８ｘ3 ）ｙ7＋（ｘ0 −ｘ2 ）ｙ8 ｘ（×）ｙ9 ＝ｘ9 ｙ0 ＋（ｘ8 −ｘ9 ）ｙ1 ＋（ｘ7
−ｘ8 ）ｙ2＋（ｘ6 −ｘ7 ）ｙ3 ＋（ｘ5 −ｘ6 ）ｙ4
＋（ｘ4 −ｘ5 ）ｙ5 ＋（ｘ3 −ｘ4 ）ｙ6＋（ｘ2 −
ｘ3 ）ｙ7 ＋（ｘ1 −ｘ2 ）ｙ8＋（ｘ0 −ｘ1 ）ｙ9
【数３８】 ｘ（×）ｘ＝（ｘ（×）ｘ0 ，ｘ（×）ｘ1 ，…，ｘ（×）ｘ9 ）…（40） ここで、 ｘ（×）ｘ0 ＝（ｘ0 ＋ｘ5 )(ｘ0 −ｘ5 ）＋２ｘ9
（ｘ2 −ｘ1 ）＋２ｘ8 （ｘ3 −ｘ2 ）＋２ｘ7 （ｘ4
−ｘ3 ）＋２ｘ7 （ｘ5 −ｘ4 ） ｘ（×）ｘ1 ＝２ｘ1 （ｘ0 −ｘ9 ）＋２ｘ3 （ｘ9 −
ｘ7 ）＋２ｘ8 （ｘ4 −ｘ2 ）＋ｘ6 （ｘ6 −２ｘ4 ）
＋ｘ5 （２ｘ7 −ｘ5 ） ｘ（×）ｘ2 ＝２ｘ2 （ｘ0 −ｘ8 ）＋２ｘ4 （ｘ9 −
ｘ6 ）＋ｘ1 （ｘ1 −２ｘ8 ）＋ｘ5 （２ｘ8 −ｘ5 ）
＋２ｘ7 （ｘ6 −ｘ3 ） ｘ（×）ｘ3 ＝２ｘ3 （ｘ0 −ｘ7 ）＋２ｘ2 （ｘ1 −
ｘ8 ）＋２ｘ9 （ｘ5 −ｘ1 ）＋２ｘ6 （ｘ8 −ｘ4 ）
＋（ｘ9 ＋ｘ5 )(ｘ9 −ｘ5 ） ｘ（×）ｘ4 ＝２ｘ4 （ｘ0 −ｘ6 ）＋２ｘ3 （ｘ1 −
ｘ7 ）＋２ｘ9 （ｘ6 −ｘ1 ）＋２ｘ8 （ｘ7 −ｘ2 ）
＋（ｘ2 ＋ｘ5 )(ｘ2 −ｘ5 ） ｘ（×）ｘ5 ＝２ｘ5 （ｘ0 −ｘ5 ）＋２ｘ1 （ｘ4 −
ｘ6 ）＋２ｘ2 （ｘ3 −ｘ8 ）＋２ｘ9 （ｘ7 −ｘ1 ）
＋２ｘ8 （ｘ5 −ｘ2 ） ｘ（×）ｘ6 ＝２ｘ6 （ｘ0 −ｘ4 ）＋２ｘ1 （ｘ5 −
ｘ4 ）＋２ｘ2 （ｘ4 −ｘ8 ）＋ｘ3 （ｘ3 −２ｘ7 ）
＋ｘ5 （２ｘ1 −ｘ5 ） ｘ（×）ｘ7 ＝２ｘ7 （ｘ0 −ｘ3 ）＋２ｘ1 （ｘ6 −
ｘ8 ）＋ｘ5 （２ｘ2 −ｘ5 ）＋２ｘ3 （ｘ3 −ｘ7 ）
＋２ｘ9 （ｘ6 −ｘ1 ） ｘ（×）ｘ8 ＝２ｘ8 （ｘ0 −ｘ3 ）＋２ｘ1 （ｘ7 −
ｘ9 ）＋２ｘ2 （ｘ6 −ｘ8 ）＋２ｘ3 （ｘ5 −ｘ3 ）
＋２ｘ4 （ｘ4 −ｘ6 ） ｘ（×）ｘ9 ＝２ｘ9 （ｘ0 −ｘ1 ）＋２ｘ8 （ｘ1 −
ｘ2 ）＋２ｘ7 （ｘ2 −ｘ3 ）＋２ｘ6 （ｘ3 −ｘ4 ）
＋２ｘ5 （ｘ4 −ｘ5 ） それぞれ式（３９）、（４０）に示すとおりとなる。
【０１２０】［ｍ＝１３の場合の乗算と２乗演算］ｍ＝
１３の場合、オイラー関数値φ（ｍ）は、φ（１３）＝
１２となり、乗算および２乗演算は、
【数３９】 ｘ（×）ｙ＝（ｘ（×）ｙ0 ，ｘ（×）ｙ1 ，…，ｘ（×）ｙ11）…（41） ここで、 ｘ（×）ｙ0 ＝ｘ0 ｙ0 −ｘ11ｙ1 ＋（−ｘ2 ＋ｘ3 ）
ｙ10＋（−ｘ1 ＋ｘ2 ）ｙ11＋（−ｘ10＋ｘ11）ｙ2＋
（ｘ10−ｘ9 ）ｙ3 ＋（−ｘ8 ＋ｘ9 ）ｙ4＋（−ｘ7
＋ｘ8 ）ｙ5 ＋（−ｘ6 ＋ｘ7 ）ｙ6＋（−ｘ5 ＋ｘ6
）ｙ7 ＋（−ｘ4 ＋ｘ5 ）ｙ8＋（−ｘ3 ＋ｘ4 ）ｙ9 ｘ（×）ｙ1 ＝ｘ1 ｙ0 −ｘ10ｙ2 ＋（ｘ0 −ｘ11）ｙ
1＋（−ｘ2 ＋ｘ4 ）ｙ10＋（−ｘ1 ＋ｘ3 ）ｙ11＋
（ｘ11−ｙ9 ）ｙ3 ＋（ｘ10−ｘ8 ）ｙ4＋（−ｘ7 ＋
ｘ9 ）ｙ5 ＋（−ｘ6 ＋ｘ8 ）ｙ6＋（−ｘ5 ＋ｘ7 ）
ｙ7 ＋（−ｘ4 ＋ｘ6 ）ｙ8＋（−ｘ3 ＋ｘ5 ）ｙ9 ｘ（×）ｙ2 ＝ｘ2 ｙ0 −ｘ9 ｙ3 ＋（ｘ1 −ｘ11）ｙ
1＋（−ｘ2 ＋ｘ5 ）ｙ10＋（−ｘ1 ＋ｘ4 ）ｙ11＋
（ｘ0 −ｘ10）ｙ2 ＋（ｘ11−ｘ8 ）ｙ4＋（ｘ10−ｘ7
）ｙ5 ＋（−ｘ6 ＋ｘ9 ）ｙ6＋（−ｘ5 ＋ｘ8 ）ｙ7
＋（−ｘ4 ＋ｘ7 ）ｙ8＋（−ｘ3 ＋ｘ6 ）ｙ9 ｘ（×）ｙ3 ＝ｘ3 ｙ0 −ｘ8 ｙ4 ＋（−ｘ11＋ｘ2 ）
ｙ1＋（−ｘ2 ＋ｘ6 ）ｙ10＋（−ｘ1 ＋ｘ5 ）ｙ11＋
（ｘ1 −ｘ10）ｙ2 ＋（ｘ0 −ｘ9 ）ｙ3＋（ｘ11−ｘ7
）ｙ5 ＋（ｘ10−ｘ6 ）ｙ6＋（−ｘ5 ＋ｘ9 ）ｙ7 ＋
（−ｘ4 ＋ｘ8 ）ｙ8＋（−ｘ3 ＋ｘ7 ）ｙ9 ｘ（×）ｙ4 ＝ｘ4 ｙ0 −ｘ7 ｙ5 ＋（−ｘ11＋ｘ3 ）
ｙ1＋（−ｘ2 ＋ｘ7 ）ｙ10＋（−ｘ1 ＋ｘ6 ）ｙ11＋
（−ｘ10＋ｘ2 ）ｙ2 ＋（ｘ1 −ｘ9 ）ｙ3＋（ｘ0 −
ｘ8 ）ｙ4 ＋（ｘ11−ｘ6 ）ｙ6＋（ｘ10−ｘ5 ）ｙ7
＋（−ｘ4 ＋ｘ9 ）ｙ8＋（−ｘ3 ＋ｘ8 ）ｙ9 ｘ（×）ｙ5 ＝ｘ5 ｙ0 −ｘ6 ｙ6 ＋（−ｘ11＋ｘ4 ）
ｙ1＋（−ｘ2 ＋ｘ8 ）ｙ10＋（−ｘ1 ＋ｘ7 ）ｙ11＋
（−ｘ10＋ｘ3 ）ｙ2 ＋（ｘ2 −ｘ9 ）ｙ3＋（ｘ1 −
ｘ8 ）ｙ4 ＋（ｘ0 −ｘ7 ）ｙ5＋（ｘ11−ｘ5 ）ｙ7
＋（ｘ10−ｘ4 ）ｙ8＋（−ｘ3 ＋ｘ9 ）ｙ9 ｘ（×）ｙ6 ＝ｘ6 ｙ0 −ｘ5 ｙ7 ＋（−ｘ11＋ｘ5 ）
ｙ1＋（−ｘ2 ＋ｘ9 ）ｙ10＋（−ｘ1 ＋ｘ8 ）ｙ11＋
（−ｘ10＋ｘ4 ）ｙ2 ＋（ｘ3 −ｘ9 ）ｙ3＋（ｘ2 −
ｘ8 ）ｙ4 ＋（ｘ1 −ｘ7 ）ｙ5＋（ｘ0 −ｘ6 ）ｙ6
＋（ｘ11−ｘ4 ）ｙ8＋（ｘ11−ｘ4 ）ｙ8 ＋（ｘ10−
ｘ3 ）ｙ9 ｘ（×）ｙ7 ＝ｘ7 ｙ0 −ｘ4 ｙ8 ＋（−ｘ11＋ｘ6 ）
ｙ1＋（ｘ10−ｘ2 ）ｙ10＋（−ｘ1 ＋ｘ9 ）ｙ11＋
（−ｘ10＋ｘ5 ）ｙ2 ＋（ｘ4 −ｘ9 ）ｙ3＋（ｘ3 −
ｘ8 ）ｙ4 ＋（ｘ2 −ｘ7 ）ｙ5＋（ｘ1 −ｘ6 ）ｙ6
＋（ｘ0 −ｘ5 ）ｙ7＋（ｘ11−ｘ3 ）ｙ9 ｘ（×）ｙ8 ＝ｘ8 ｙ0 −ｘ3 ｙ9 ＋（−ｘ11＋ｘ7 ）
ｙ1＋（ｘ11−ｘ2 ）ｙ10＋（−ｘ1 ＋ｘ10）ｙ11＋
（−ｘ10＋ｘ6 ）ｙ2 ＋（ｘ5 −ｘ9 ）ｙ3＋（ｘ4 −
ｘ8 ）ｙ4 ＋（ｘ3 −ｘ7 ）ｙ5＋（ｘ2 −ｘ6 ）ｙ6
＋（ｘ1 −ｘ5 ）ｙ7＋（ｘ0 −ｘ4 ）ｙ8 ｘ（×）ｙ9 ＝ｘ9 ｙ0 −ｘ2 ｙ10＋（−ｘ11＋ｘ8 ）
ｙ1＋（−ｘ1 ＋ｘ11）ｙ11＋（−ｘ10＋ｘ7 ）ｙ2＋
（ｘ6 −ｘ9 ）ｙ3 ＋（ｘ5 −ｘ8 ）ｙ4＋（ｘ4 −ｘ7
）ｙ5 ＋（ｘ3 −ｘ6 ）ｙ6＋（ｘ2 −ｘ5 ）ｙ7 ＋
（ｘ1 −ｘ4 ）ｙ8＋（ｘ0 −ｘ3 ）ｙ9 ｘ（×）ｙ10＝ｘ10ｙ0 −ｘ1 ｙ11＋（−ｘ11＋ｘ9 ）
ｙ1＋（ｘ0 −ｘ2 ）ｙ10＋（−ｘ10＋ｘ8 ）ｙ2＋（ｘ
7 −ｘ9 ）ｙ3 ＋（ｘ6 −ｘ8 ）ｙ4＋（ｘ5 −ｘ7 ）
ｙ5 ＋（ｘ4 −ｘ6 ）ｙ6＋（ｘ3 −ｘ5 ）ｙ7 ＋（ｘ2
−ｘ4 ）ｙ8＋（ｘ1 −ｘ3 ）ｙ9 ｘ（×）ｙ11＝ｘ11ｙ0 ＋（ｘ10−ｘ11）ｙ1 ＋（ｘ1
−ｘ2 ）ｙ10＋（ｘ0 −ｘ1 ）ｙ11＋（−ｘ10＋ｘ9 ）
ｙ2＋（ｘ8 −ｘ9 ）ｙ3 ＋（ｘ7 −ｘ8 ）ｙ4＋（ｘ6
−ｘ7 ）ｙ5 ＋（ｘ5 −ｘ6 ）ｙ6＋（ｘ4 −ｘ5 ）ｙ7
＋（ｘ3 −ｘ4 ）ｙ8＋（ｘ2 −ｘ3 ）ｙ9
【数４０】 ｘ（×）ｘ＝（ｘ（×）ｘ0 ，ｘ（×）ｘ1 ，…，ｘ（×）ｘ11）…（42） ここで、 ｘ（×）ｘ0 ＝（ｘ0 ＋ｘ6 )(ｘ0 −ｘ6 ）＋２ｘ11
（ｘ2 −ｘ1 ）＋２ｘ10（ｘ3 −ｘ2 ）＋２ｘ9 （ｘ4
−ｘ3 ）＋２ｘ5 （ｘ8 −ｘ7 ）＋２ｘ7 （ｘ6 −ｘ5
） ｘ（×）ｘ1 ＝２ｘ1 （ｘ0 −ｘ11）＋２ｘ3 （ｘ11−
ｘ9 ）＋２ｘ4 （ｘ10−ｘ8 ）＋２ｘ5 （ｘ9 −ｘ3 ）
＋ｘ6 （２ｘ8 −ｘ6 ）＋ｘ7 （ｘ7 −２ｘ5 ） ｘ（×）ｘ2 ＝２ｘ2 （ｘ0 −ｘ10）＋ｘ1 （ｘ1 −２
ｘ11）＋２ｘ4 （ｘ11−ｘ8 ）＋２ｘ5 （ｘ10−ｘ7 ）
＋２ｘ6 （ｘ9 −ｘ6 ）＋２ｘ7 （ｘ8 −ｘ5 ） ｘ（×）ｘ3 ＝２ｘ3 （ｘ0 −ｘ9 ）＋２ｘ11（ｘ5 −
ｘ1 ）＋２ｘ2 （ｘ1 −ｘ10）＋ｘ6 （２ｘ10−ｘ6 ）
＋２ｘ7 （ｘ9 −ｘ5 ）＋ｘ8 （ｘ8 −２ｘ4 ） ｘ（×）ｘ4 ＝（ｘ2 ＋ｘ6 )(ｘ2 −ｘ6 ）＋２ｘ7
（ｘ10−ｘ5 ）＋２ｘ11（ｘ6 −ｘ1 ）＋ｘ2 （ｘ2 −
２ｘ10）＋２ｘ3 （ｘ1 −ｘ9 ）＋２ｘ4 （ｘ0 −ｘ8
） ｘ（×）ｘ5 ＝２ｘ5 （ｘ0 −ｘ7 ）＋２ｘ1 （ｘ4 −
ｘ11）＋２ｘ2 （ｘ3 −ｘ4 ）＋２ｘ7 （ｘ11−ｘ5 ）
＋２ｘ10（ｘ8 −ｘ2 ）＋ｘ9 （ｘ9 −２ｘ3 ） ｘ（×）ｘ6 ＝ｘ6 （２ｘ0 −ｘ6 ）＋２ｘ1 （ｘ5 −
ｘ11）＋２ｘ2 （ｘ4 −ｘ10）＋ｘ3 （ｘ3 −２ｘ9 ）
＋２ｘ8 （ｘ11−ｘ4 ）＋２ｘ9 （ｘ10−ｘ3 ） ｘ（×）ｘ7 ＝２ｘ7 （ｘ0 −ｘ5 ）＋２ｘ1 （ｘ6 −
ｘ11）＋２ｘ2 （ｘ5 −ｘ10）＋２ｘ3 （ｘ4 −ｘ9 ）
＋２ｘ9 （ｘ11−ｘ3 ）＋ｘ10（ｘ10−２ｘ2 ） ｘ（×）ｘ8 ＝２ｘ8 （ｘ0 −ｘ4 ）＋２ｘ3 （ｘ7 −
ｘ11）＋２ｘ2 （ｘ6 −ｘ10）＋２ｘ3 （ｘ5 −ｘ9 ）
＋ｘ4 （ｘ4 −２ｘ8 ）＋２ｘ10（ｘ11−ｘ2 ） ｘ（×）ｘ9 ＝２ｘ9 （ｘ0 −ｘ3 ）＋２ｘ1 （ｘ8 −
ｘ11）＋２ｘ2 （ｘ7 −ｘ10）＋２ｘ3 （ｘ6 −ｘ9 ）
＋２ｘ4 （ｘ5 −ｘ8 ）＋ｘ11（ｘ11−２ｘ1 ） ｘ（×）ｘ10＝２ｘ10（ｘ0 −ｘ2 ）＋２ｘ1 （ｘ9 −
ｘ11）＋２ｘ2 （ｘ8 −ｘ10）＋２ｘ3 （ｘ7 −ｘ9 ）
＋２ｘ4 （ｘ6 −ｘ8 ）＋ｘ5 （ｘ5 −２ｘ7 ） ｘ（×）ｘ11＝２ｘ11（ｘ0 −ｘ1 ）＋２ｘ10（ｘ1 −
ｘ2 ）＋２ｘ9 （ｘ2 −ｘ3 ）＋２ｘ3 （ｘ8 −ｘ9 ）
＋２ｘ7 （ｘ4 −ｘ5 ）＋ｘ6 （２ｘ5 −ｘ6 ） それぞれ式（４１）、（４２）に示すとおりとなる。
【０１２１】［２次体における乗算および２乗演算方
法］次に、２次体におけるイデアル（ｎ）の剰余の取り
方を説明する。判別式がＤである、２次体の任意の２元
ｘ＝（ｘ0 ，ｘ1 ），ｙ＝（ｙ0 ，ｙ1 ）に対する乗算
ｘ（×）ｙ＝（ｘ（×）ｙ0 ，ｘ（×）ｙ1 ）と、任意
の元のｘ＝（ｘ0 ，ｘ1 ）の２乗演算ｘ（×）ｘ＝（ｘ
（×）ｘ0 ，ｘ（×）ｘ1 ）を行なう方法を記述する。
ここで、イデアル（ｎ）の剰余の取り方は、すべての成
分の式を（mod ｎ）で計算する。これにより、イデアル
（ｎ）を法とするべき乗演算装置が構成できる。
【０１２２】まず、ｍ≡１ （mod ４）の場合
【数４１】 ｘ（×）ｙ0 ＝ｘ0 ｙ0 ＋（ｍ−１）（１／４）ｘ1 ｙ1 ｘ（×）ｙ1 ＝ｘ1 （ｙ0 ＋（ｍ−１）（１／４）ｙ1 ）＋ｘ0 ｙ1 ｘ（×）ｘ0 ＝（ｘ0 ）2＋（ｍ−１）（１／４）（ｘ1 ）2 ｘ（×）ｘ1 ＝ｘ1 （ｘ0 ＋（ｍ−１）（１／４）ｘ1 ） …（43） 式（４３）となる。
【０１２３】次いで、ｍ≡２，３ （mod ４）の場合
【数４２】 ｘ（×）ｙ0 ＝ｘ0 ｙ0 ＋ｍｘ1 ｙ1 ｘ（×）ｙ1 ＝ｘ1 （ｙ0 ＋ｍｘ1 ）＋ｘ0 ｙ1 ｘ（×）ｘ0 ＝（ｘ0 ）2＋ｍ（ｘ1 ）2 ｘ（×）ｘ1 ＝ｘ1 （ｘ0 ＋ｍｘ1 ） …（44） 式（４４）となる。
【０１２４】[復号化処理部］次に、復号化装置４１の
復号化処理部４３の動作を説明する。復号化処理部４３
は、通信路５１を介して暗号化装置３１より送られてき
た分割暗号文（Ｃ0 ，Ｃ1 ，…，Ｃr-1 ）に対して、
【数４３】 （Ｃ0,Ｃ1,…, Ｃr-1 ）d ≡（Ｍ0,Ｍ1,…, Ｍr-1 ） mod （ｎ）…（45） 式（４５）を計算することによって、分割平文（Ｍ0 ，
Ｍ1 ，…，Ｍr-1 ）を復元する。
【０１２５】復号化処理部４３のイデアル（ｎ）を法と
するべき乗演算部４５は、秘密鍵２ｅによりべき乗演算
を行うこと以外は、暗号化装置３１のイデアル（ｎ）を
法とするべき乗演算部３７と同じであり、暗号化装置３
１と復号化装置４１の大部分は共通であり、暗号化・復
号化装置として構成することにより、双方向の暗号化通
信を行うことができる。
【０１２６】［平文統合処理部］平文統合処理部４７
は、復号処理部によって得られる分割平文（Ｍ0 ，Ｍ1
，…，Ｍr-1 ）を順番に連結し原平文Ｍを得る。
【０１２７】次に、フローチャート図およびメモリ上の
データ配置を示す表を参照しながら、本発明の実施形態
を詳細に説明する。図９ないし図１２は、円分体暗号に
おける鍵生成の詳細手順を示すフローチャート図であ
る。
【０１２８】円分体暗号における鍵生成では、表１に示
すようなメモリ上のデータ配置を行う。
【０１２９】
【表１】 そして、図９に示すように、まず、円分体を生成する原
始根の位数ｍをデータ番号１に入力する（ステップＳ５
０１）。次いで、オイラー関数値φ（ｍ）を計算し（ス
テップＳ５１０）、オイラー関数値φ（ｍ）をデータ番
号２に格納する（ステップＳ５３１）。次いで、素イデ
アル１（秘密鍵１）ｐを生成し（ステップＳ５４０）、
素イデアル２（秘密鍵１）ｑを生成し（ステップＳ５６
０）、素イデアルｐ，ｑからその積である公開鍵１，ｎ
＝ｐｑを求めて、データ番号６に格納する（ステップＳ
５８１）。
【０１３０】次いで、ｐφ(m)−１とｑφ(m)−１との最
小公倍数であるＬを計算し、これをデータ番号７に格納
する（ステップＳ５８３）。次いで、ｅｄ≡１（ｍｏｄ
Ｌ）となる２数，ｅおよびｄを求め、秘密鍵２ｄをデー
タ番号８に、公開鍵２ｅをデータ番号９に、それぞれ格
納して（ステップＳ５８５）鍵生成を終了する。
【０１３１】図１０は、オイラー関数値φ（ｍ）の計算
ルーチンを示すフローチャートであり、ステップＳ５１
０以下の処理の詳細を示す。まず、ｍを入力し（ステッ
プＳ５１２）、次いで制御変数ｉ，ｊをそれぞれ、１，
０に初期設定する（ステップＳ５１４）。次いで、ｉと
ｍとの公約数が存在するか否かを判定する（ステップＳ
５１６）。ステップＳ５１６の判定において、ｙｅｓで
あれば（公約数が存在すれば）なにもせず、ｎｏであれ
ば（公約数が存在しなければ）ｊを１だけ増加させて
（ステップＳ５１８）、ステップＳ５２０へ移る。
【０１３２】次いで、ｉを１だけ増加させて（ステップ
Ｓ５２０）、ｉとｍとが等しいか否かを判定する（ステ
ップＳ５２２）。ステップＳ５２２の判定において、ｉ
とｍとが等しくなければ、ステップＳ５１６へ戻り、ｉ
とｍとが等しければ、φ（ｍ）＝ｊとして計算を終了し
（ステップＳ５２４）、次の処理へ移る。
【０１３３】図１１は、素イデアル１，ｐの生成処理を
示すフローチャートであり、ステップＳ５４０以下の処
理の詳細を示す。まず、所定の範囲の有理整数ｐを任意
に（ランダムに）生成し、データ番号３に格納する（ス
テップＳ５４２）。次いで、制御変数ｉを１に初期設定
する（ステップＳ５４４）。次いで、ｐi （ｍｏｄｍ）
を計算し、この値が１であるか否かを判定する（ステッ
プＳ５４６）。
【０１３４】ステップＳ５４６の判定で、ｐi ＝１（ｍ
ｏｄ ｍ）であれば、ステップＳ５４２に戻り、再度有
理素数ｐを生成する。ｐi ＝１（ｍｏｄ ｍ）でなけれ
ば、ｉ＝φ（ｍ）か否かを判定する（ステップＳ５４
８）。ステップＳ５４８の判定において、ｉ＝φ（ｍ）
でなければ、ｉに１を加えて（ステップＳ５５０）、ス
テップＳ５４６へ戻る。ｉ＝φ（ｍ）であれば、ｐは素
イデアルであると判定できるので、素イデアル１（秘密
鍵１）ｐをデータ番号４に格納して（ステップＳ５５
２）、次の処理へ移る。
【０１３５】図１２は、素イデアル２，ｑの生成処理を
示すフローチャートであり、ステップＳ５６０以下の処
理の詳細を示す。まず、所定の範囲の有理整数ｑを任意
に（ランダムに）生成する（ステップＳ５６２）。次い
で、ｑがｐに等しいか否かを判定する（ステップＳ５６
４）。ｑとｐとが等しければ、ｐと異なる有理整数ｑを
発生させるために、ステップＳ５６２へ戻る。ｑがｐと
異なれば、次いで、制御変数ｉを１に初期設定する（ス
テップＳ５６６）。次いで、ｑi （ｍｏｄ ｍ）を計算
し、この値が１であるか否かを判定する（ステップＳ５
６８）。
【０１３６】ステップＳ５６８の判定で、ｑi ＝１（ｍ
ｏｄ ｍ）であれば、ステップＳ５６２に戻り、再度有
理素数ｑを生成する。ｑi ＝１（ｍｏｄ ｍ）でなけれ
ば、ｉ＝φ（ｍ）か否かを判定する（ステップＳ５７
０）。ステップＳ５７０の判定において、ｉ＝φ（ｍ）
でなければ、ｉに１を加えて（ステップＳ５７２）、ス
テップＳ５６８へ戻る。ｉ＝φ（ｍ）であれば、ｑは素
イデアルであると判定できるので、素イデアル２（秘密
鍵１）ｑをデータ番号５に格納して（ステップＳ５７
４）、次の処理へ移る。
【０１３７】図１３ないし図１６は、２次体暗号におけ
る鍵生成の詳細手順を示すフローチャートである。
【０１３８】２次体暗号における鍵生成では、表２に示
すようなメモリ上のデータ配置を行う。
【０１３９】
【表２】 そして、図１３に示すように、まず２乗因子を持たない
有理整数ｍをデータ番号１に入力する（ステップＳ６０
１）。次いで、判別式Ｄの値をデータ番号２に格納する
（ステップＳ６１０）。次いで、素イデアル１（秘密鍵
１）ｐを生成して、データ番号４に格納し（ステップＳ
６２０）、次いで、素イデアル２（秘密鍵１）ｑを生成
して、データ番号５に格納する（ステップＳ６４０）。
次いで、素イデアルｐ，ｑからその積である公開鍵１，
ｎ＝ｐｑを求めて、データ番号６に格納する（ステップ
Ｓ６６１）。
【０１４０】次いで、ｐ2 −１とｑ2 −１との最小公倍
数であるＬを計算し、これをデータ番号７に格納する
（ステップＳ６６３）。次いで、ｅｄ≡１（ｍｏｄＬ）
となる２数，ｅおよびｄを求め、秘密鍵２ｄをデータ番
号８に、公開鍵２ｅをデータ番号９に、それぞれ格納し
て（ステップＳ６６５）鍵生成を終了する。
【０１４１】図１４は、判別式Ｄの値を格納するルーチ
ンの詳細を示すフローチャートであり、ステップＳ６１
０以下の詳細を示す。まず、データ番号１から有理整数
ｍを読み出し、ｍ≡１（ｍｏｄ４）か否かを判定する
（ステップＳ６１２）。ｍ≡１（ｍｏｄ４）であれば、
判別式Ｄ＝ｍとし（ステップＳ６１４２）、ｍ≡１（ｍ
ｏｄ４）でなければ（ｍ≡２，３（ｍｏｄ４））、判別
式Ｄ＝４ｍとして（ステップＳ６１６）、判別式Ｄの値
をデータ番号２に格納し（ステップＳ６１８）、次の処
理へ移る。
【０１４２】図１５は、２次体における素イデアル１，
ｐの生成処理の詳細を示すフローチャートであり、ステ
ップＳ６２０以下の詳細を示す。まず、所定の範囲の有
理整数ｐを任意に（ランダムに）生成し、データ番号３
に格納する（ステップＳ６２２）。次いで、ルジャンド
ルの記号（Ｄ／ｐ）2 を計算する（ステップＳ６２
４）。（Ｄ／ｐ）2 の値は、例えばユークリッドの互除
法を用いて計算することができる。
【０１４３】次いで、この値が−１であるか否かを判定
する（ステップＳ６２６）。この判定で、（Ｄ／ｐ）2
＝−１でなければ、ステップＳ６２２に戻り、再度有理
素数ｐを生成する。ステップＳ６２６の判定で、（Ｄ／
ｐ）2 ＝−１であれば、ｐは素イデアルであると判定で
きるので、素イデアル１（秘密鍵１）ｐをデータ番号４
に格納して（ステップＳ６２８）、次の処理へ移る。
【０１４４】図１６は、２次体における素イデアル２，
ｑの生成処理の詳細を示すフローチャートであり、ステ
ップＳ６４０以下の詳細を示す。まず、所定の範囲の有
理整数ｑを任意に（ランダムに）生成する（ステップＳ
６４２）。次いで、ｑがｐに等しいか否かを判定し（ス
テップＳ６４４）、等しければｐと異なるｑを生成する
ために、ステップＳ６４２に戻る。等しくなければ、次
いで、ルジャンドルの記号（Ｄ／ｐ）2 を計算し（ステ
ップＳ６４６）、この値が−１であるか否かを判定する
（ステップＳ６４８）。
【０１４５】ステップＳ６４８の判定で、（Ｄ／ｐ）2
＝−１でなければ、ステップＳ６４２に戻り、再度有理
素数ｑを生成する。ステップＳ６４８の判定で、（Ｄ／
ｐ）2 ＝−１であれば、ｑは素イデアルであると判定で
きるので、素イデアル２（秘密鍵１）ｑをデータ番号５
に格納して（ステップＳ６５０）、次の処理へ移る。
【０１４６】図１７ないし図２０は、暗号化送信処理の
詳細手順を示すフローチャートである。暗号化送信処理
では、表３に示すようなメモリ上のデータ配置を行う。
【０１４７】
【表３】 そして、図１７に示すように、まずステップＳ７０１
で、暗号化の為の初期設定が行われる。すなわちステッ
プＳ７０１では、公開鍵１（ｎ）、公開鍵１ｅ、ブロッ
ク数ｒ、分割平文長（ｌｏｇ2ｎを超えない最大整数）
をそれぞれデータ番号１〜４に設定する。
【０１４８】次いで、平文Ｍをデータ番号５に読み込む
（ステップＳ７０３）。次いで、平文Ｍの先頭からそれ
ぞれ分割平文長のビット数の長さのブロックをｒ個切り
出す平文分割処理を行い（ステップＳ７１０）、このｒ
個のブロック毎に暗号化を行う（ステップＳ７３０）。
暗号化されたブロックは、暗号送信処理され（ステップ
Ｓ７５０）、まだ平文が残っていれば、平文分割処理
（ステップＳ７１０）に戻り、平文が残っていなければ
終了する。
【０１４９】図１８は、平文分割処理の詳細を示すフロ
ーチャートであり、ステップＳ７１０以下の詳細を示
す。まず、平文分割処理の制御変数ｉ，ｊ，ｋの初期設
定を行う（ステップＳ７１２）。制御変数ｉは、分割さ
れた平文ブロックの番号を示すものである。制御変数ｊ
は、元の平文データＭを構成する各ビットのビット番号
である。ｋは、ビット数で表した分割平文長である。ス
テップＳ７１２では、それぞれ、ｉ＝０，ｊ＝０，ｋ＝
（ｌｏｇ2ｎを超えない最大整数）と設定する。
【０１５０】次いで、データ番号５からＭを読み出し、
Ｍのｊビット目から（ｊ＋ｋ−１）ビット目までを切り
出し、これをＭｉとしてデータ番号（６＋ｉ）に格納す
る（ステップＳ７１４）。次いで、制御変数更新のため
に、ｉ＝ｉ＋１，ｊ＝ｊ＋ｋとする（ステップＳ７１
６）。次いで、所定のブロック数ｒまで分割されたか否
かを判定するため、ｉとｒとを比較する（ステップＳ７
１８）。ステップＳ７１８の判定において、ｉ≠ｒであ
れば、まだ分割すべきブロックが残っているので、ステ
ップＳ７１４へ戻る。
【０１５１】ステップＳ７１８の判定において、ｉ＝ｒ
であれば、分割すべきブロックが残っていないので、ｊ
がＭの最終ビット番号未満か否かを判定する（ステップ
Ｓ７２０）。ｊがＭの最終ビット番号未満であれば、Ｍ
のｊビット目から最後までをＭ′として、データ番号５
に格納して（ステップＳ７２２）次の処理へ移る。ｊが
Ｍの最終ビット番号以上であれば、Ａｌｌ‘０’をデー
タ番号５に格納して（ステップＳ７２４）次の処理へ移
る。
【０１５２】図１９は、暗号化処理の詳細を示すフロー
チャートであり、ステップＳ７３０以下の詳細を示す。
まず、暗号化処理の制御変数ｉの初期設定、ｉ＝０を行
う（ステップＳ７３２）。制御変数ｉは、分割された平
文ブロックの番号を示すものである。次いで、データ番
号（６＋ｉ）から平文ブロックＭｉを読み出し、これに
イデアル（ｎ）を法とするｅ乗演算を行い、その結果を
暗号化ブロックＣｉとして、データ番号（６＋ｒ＋ｉ）
に格納する（ステップＳ７３４）。次いで、制御変数ｉ
を１だけ増加させる（ステップＳ７３６）。
【０１５３】次いで、所定のブロック数ｒまで暗号化さ
れたか否かを判定するため、ｉとｒとを比較する（ステ
ップＳ７３８）。ステップＳ７３８の判定において、ｉ
≠ｒであれば、まだ暗号化すべきメッセージブロックが
残っているので、ステップＳ７３４へ戻る。ステップＳ
７３８の判定において、ｉ＝ｒであれば、暗号化が終了
したので、次の処理へ移る。
【０１５４】図２０は、暗号文送信処理の詳細を示すフ
ローチャートであり、ステップＳ７５０以下の詳細を示
す。まず、暗号文送信処理の制御変数ｉの初期設定、ｉ
＝０を行う（ステップＳ７５２）。制御変数ｉは、暗号
化ブロックの番号を示すものである。次いで、データ番
号（６＋ｒ＋ｉ）から暗号化ブロックＣｉを読み出し、
送信する（ステップＳ７５４）。次いで、制御変数ｉを
１だけ増加させる（ステップＳ７５６）。
【０１５５】次いで、所定のブロック数ｒまで送信され
たか否かを判定するため、ｉとｒとを比較する（ステッ
プＳ７５８）。ステップＳ７５８の判定において、ｉ≠
ｒであれば、まだ送信すべき暗号化ブロックが残ってい
るので、ステップＳ７５４へ戻る。ステップＳ７５８の
判定において、ｉ＝ｒであれば、送信が終了したので、
データ番号５のＭ′を読み出し、Ｍ′＝Ａｌｌ‘０’か
否かを判定する（ステップＳ７６０）。
【０１５６】ステップＳ７６０の判定において、Ａｌｌ
‘０’でなければ、まだ分割以下の処理を行うべき平文
が残っているので、平文分割処理（ステップＳ７１０）
へ戻る。ステップＳ７６０の判定において、Ａｌｌ
‘０’であれば、暗号化送信処理が終了する。
【０１５７】図２１ないし図２３は、受信復号化処理の
詳細手順を示すフローチャートである。
【０１５８】受信復号化処理では、表４に示すようなメ
モリ上のデータ配置を行う。
【０１５９】
【表４】 そして、図２１に示すように、まずステップＳ８０１
で、復号化の為の初期設定が行われる。すなわちステッ
プＳ８０１では、公開鍵１（ｎ）、秘密鍵２ｄ、ブロッ
ク数ｒ、分割平文長（ｌｏｇ2ｎを超えない最大整数）
をそれぞれデータ番号１〜４に設定する。次いで、暗号
文ブロックＣ0 〜Ｃr-1 をブロック毎にデータ番号５〜
（５＋ｒ−１）へブロック毎に読み込む（ステップＳ８
０３）。次いで、暗号文ブロック毎の復号化処理（ステ
ップＳ８１０）、続いて平文統合処理（ステップＳ８２
０）を行う。
【０１６０】図２２は、復号化処理の詳細を示すフロー
チャートであり、ステップＳ８１０以下の詳細を示す。
まず、復号化処理の制御変数ｉの初期設定、ｉ＝０を行
う（ステップＳ８１２）。制御変数ｉは、暗号化ブロッ
クの番号を示すものである。次いで、データ番号（５＋
ｉ）から暗号化ブロックＣｉを読み出し、これにイデア
ル（ｎ）を法とするｄ乗演算を行い、その結果を復号化
された平文ブロックＭｉとして、データ番号（５＋ｒ＋
ｉ）に格納する（ステップＳ８１４）。次いで、制御変
数ｉを１だけ増加させる（ステップＳ８１６）。
【０１６１】次いで、所定のブロック数ｒまで復号化さ
れたか否かを判定するため、ｉとｒとを比較する（ステ
ップＳ８１８）。ステップＳ８１８の判定において、ｉ
≠ｒであれば、まだ復号化すべきブロックが残っている
ので、ステップＳ８１４へ戻る。ステップＳ８１８の判
定において、ｉ＝ｒであれば、復号化が終了したので、
次の平文統合処理へ移る。
【０１６２】図２３は、平文統合処理の詳細を示すフロ
ーチャートであり、ステップＳ８２０以下の詳細を示
す。まず、平文統合処理の制御変数ｉ，ｊ，ｋの初期設
定を行う（ステップＳ８２２）。制御変数ｉは、統合す
べき平文ブロックの番号を示すものである。制御変数ｊ
は、統合後の平文データＭを構成する各ビットのビット
番号である。ｋは、ビット数で表した分割平文長であ
る。ステップＳ８２２では、それぞれ、ｉ＝０，ｊ＝
０，ｋ＝（ｌｏｇ2ｎを超えない最大整数）と設定す
る。
【０１６３】次いで、データ番号（５＋ｒ＋ｉ）からＭ
ｉを読み出し、作業領域のｊビット目から（ｊ＋ｋ−
１）ビット目までに格納する（ステップＳ８２４）。次
いで、制御変数更新のために、ｉ＝ｉ＋１，ｊ＝ｊ＋ｋ
とする（ステップＳ８２６）。次いで、所定のブロック
数ｒまで統合されたか否かを判定するため、ｉとｒとを
比較する（ステップＳ８２８）。ステップＳ８２８の判
定において、ｉ≠ｒであれば、まだ統合すべきブロック
が残っているので、ステップＳ８２４へ戻る。
【０１６４】ステップＳ８２８の判定において、ｉ＝ｒ
であれば、統合すべきブロックが残っていないので、作
業領域内に連接されたｒ個のブロックをデータ番号（５
＋２ｒ）の末尾に連接して格納して（ステップＳ８３
０）、受信復号化処理を終了する。
【０１６５】［３次円分体（アイゼンシュタイン体）を
使用した公開鍵暗号方式の数値例］次に、３次円分体
（アイゼンシュタイン体）を使用した本発明に係る公開
鍵暗号方式の実施の形態を具体的な数値例を用いて説明
する。
【０１６６】［鍵生成処理］２個の素イデアルＰ＝（２
９），Ｑ＝（４１）（秘密鍵１）を生成し、その積Ｎ＝
（１１８９）の剰余類（公開鍵１）を決定する。次に秘
密鍵１からＬ＝１６８０を計算し、ｅ＝１２７（公開鍵
２）と、ｄ＝４６３（秘密鍵２）を生成する。
【０１６７】［平文分割処理］平文Ｍ＝１２３４５６に
対して、剰余類の範囲内の分割平文（Ｍ0 ，Ｍ1 ）＝
（１２３，４５６）を生成する。
【０１６８】［暗号化処理］受け手の公開鍵ｅ＝１２７
を用い、
【数４４】 （Ｃ0 ,Ｃ1 ）≡（123 ,456 ）127 ≡（164 ,1004）mod （1189）…（46） 式（４６）によって暗号化を行ない、受け手に送る。
【０１６９】［復号化処理］受け手は自らの秘密鍵ｄ＝
４６３を用い、
【数４５】 （164 ,1004）463 ≡（123 ,456 ）≡（Ｍ0 ，Ｍ1 ）mod （1189）…（47） 式（４７）を計算することによって、復号化を行なう。
【０１７０】［平文統合処理］復号化された分割平文
（Ｍ0 ，Ｍ1 ）＝（１２３，４５６）を連接し、原平文
Ｍ＝１２３４５６へ復元する。
【０１７１】［２次体（ガウス体）を利用した公開鍵暗
号方式の数値例］次に、２次体（ガウス体）を利用した
本発明に係る公開鍵暗号方式の実施形態を具体的な数値
例を用いて説明する。
【０１７２】［鍵生成処理］秘密鍵１である２個の素イ
デアルＰ＝（３１）、Ｑ＝（４７）を生成し、その積Ｎ
＝（１４５７）の剰余類（公開鍵１）を決定する。
【０１７３】次いで、秘密鍵１からＬ＝２２０８０を計
算し、ｅ＝１２７（公開鍵２）と，ｄ＝２０８６３（秘
密鍵２）を生成する。
【０１７４】［平文分割処理］平文Ｍ＝１２３４５６に
対して、それぞれ剰余類の範囲内の大きさのブロックに
分割した分割平文（Ｍ0 ，Ｍ1 ）＝（１２３，４５６）
を生成する。
【０１７５】［暗号化処理］受け手の公開鍵ｅ＝１２７
を用いて、
【数４６】 （Ｃ0 ，Ｃ1 ）≡（１２３，４５６）127 ≡（２４６，５４５） mod（1457） …（48） 式（４８）によって暗号化を行い、暗号文（Ｃ0 ，Ｃ1
）＝（２４６，５４５）を受け手に送る。
【０１７６】［復号化処理］受け手は自らの秘密鍵ｄ＝
２０８３６を用いて、
【数４７】 （２４６，５４５）20836 ≡（Ｍ0 ，Ｍ1 ） mod（1457）…（49） 式（４９）を計算することによって、暗号文の復号化を
行い、分割された平文（Ｍ0 ，Ｍ1 ）＝（１２３，４５
６）を得る。
【０１７７】［平文統合処理］復号化された分割平文
（Ｍ0 ，Ｍ1 ）＝（１２３，４５６）を連接し、原平文
Ｍ＝１２３４５６へ復元する。
【０１７８】次に、本発明に係る公開鍵暗号を利用した
認証方式及び認証装置について説明する。図２は、本発
明に係る公開鍵暗号による認証通信装置１１１の全体構
成を示すブロック図である。
【０１７９】本発明の公開鍵暗号方式を用い、認証を行
ないたい者が、自らの秘密鍵により認証文の暗号化を行
なって生成した認証子を受け手に送る方式による認証装
置を構成することができる。
【０１８０】図２によれば、認証通信装置１１１は、鍵
生成装置２１と、認証文生成装置１３１と、認証文検証
装置１４１と、通信路５１とを含んで構成される。鍵生
成装置２１と、通信路５１とは、図１の暗号化通信装置
１１に使用したものと同じであるのでその説明は簡略に
する。
【０１８１】［認証用鍵生成処理］鍵生成装置２１は、
２個の素イデアルＰ，Ｑ（秘密鍵１）を生成し、その積
Ｎ＝ＰＱの剰余類（公開鍵１）を決定する。次に素イデ
アルＰ，ＱからＬを計算し、ｅ（公開鍵２）と、ｄ（秘
密鍵２）を生成する。
【０１８２】次いで、２個の素イデアル（秘密鍵１）の
生成および剰余類（公開鍵１）の決定を行う。円分体の
場合は、原始根の位数ｍを入力として、秘密鍵１である
素イデアルＰ，Ｑを出力する。２次体の場合は、判別式
Ｄを入力として、秘密鍵１である素イデアルＰ，Ｑを出
力する。
【０１８３】次いで、公開鍵２であるｅと秘密鍵２であ
るｄの生成を行う。円分体、２次体ともに、秘密鍵１で
あるＰ，Ｑを入力として、公開鍵２であるｅと秘密鍵２
であるｄを出力する。また、鍵生成装置２１は、ブロッ
ク数ｒ、及び分割平文長［ｌｏｇ2 ｎ］を認証文生成装
置１３１へ出力する。以上の鍵生成処理は、図１の暗号
化通信装置１１における鍵生成装置２１の動作と同じで
ある。
【０１８４】［認証文生成処理］認証文生成装置１３１
は、認証文を受け入れる認証文入力部１３３と、認証文
をハッシュ化して認証子を生成する認証文ハッシュ化処
理部１３５と、認証子をブロックに分割する認証子分割
処理部１３７と、分割認証子を暗号化する認証子暗号化
処理部１３９とを含んで構成されている。
【０１８５】認証文入力部１３３により受け入れられた
認証文Ｍは、認証文ハッシュ化処理部１３５により、ハ
ッシュ関数ｈを用いてハッシュ化され、認証子ｈ（Ｍ）
が生成される。ハッシュ関数ｈは特に限定されるもので
はない。
【０１８６】次いで、認証子ｈ（Ｍ）は、認証子分割処
理部１３７により、それぞれ分割平文長［ｌｏｇ2 ｎ］
の長さのｒ個のブロックずつに分割される。ここで、ｒ
をＺ上の整数環Ｏの次元とする。認証子ｈ（Ｍ）に対し
て、剰余類の範囲内の分割認証子ｈ（Ｍ）＝（ｈ（Ｍ）
0 ，ｈ（Ｍ）1 ，…，ｈ（Ｍ）ｒ-1 ）を生成する。
【０１８７】次いで、認証子暗号化処理部１３９によ
り、送り手の秘密鍵ｄを用いて、
【数４８】 （ｈ（Ｃ）0 ，ｈ（Ｃ）1 ，…，ｈ（Ｃ）ｒ-1 ） ≡（ｈ（Ｍ）0 ，ｈ（Ｍ）1 ，…，ｈ（Ｍ）ｒ-1 ）d mod Ｎ … （50） 式（５０）によって認証子の暗号化を行なう。
【０１８８】以上より得られた暗号化認証子ｈ（Ｃ）＝
（ｈ（Ｃ）0 ，ｈ（Ｃ）1 ，…，ｈ（Ｃ）ｒ-1 ）と認
証文Ｍの組を通信路５１を介して、受け手すなわち認証
文検証装置１４１に送る。
【０１８９】認証文検証装置１４１は、認証子復号化処
理部１４３と、認証子統合処理部１４５と、認証子ハッ
シュ化処理部１４７と、認証子照合部１４９とを含んで
構成されている。
【０１９０】認証文検証装置１４１は、認証文生成装置
１３１から暗号化認証子ｈ（Ｃ）＝（ｈ（Ｃ）0 ，ｈ
（Ｃ）1 ，…，ｈ（Ｃ）ｒ-1 ）と認証文Ｍの組を受け
取る。また、鍵生成装置２１から通信路５１を介して、
公開鍵１Ｎ、および公開鍵２ｅを受け取る。
【０１９１】次いで、認証子復号化処理部１４３によ
り、暗号化認証子を復号化する。すなわち、認証子復号
化処理部１４３は、送り手の公開鍵ｅを利用して、
【数４９】 （ｈ（Ｃ）0 ，ｈ（Ｃ）1 ，…，ｈ（Ｃ）ｒ-1 ）e ≡（ｈ（Ｍ）0 ，ｈ（Ｍ）1 ，…，ｈ（Ｍ）ｒ-1 ） mod Ｎ …（51） 式（５１）を計算することによって、暗号化認証子を復
号化して分割認証子を得る。
【０１９２】次いで、認証子統合処理部１４５は、復号
化された分割認証子（ｈ（Ｍ）0 ，ｈ（Ｍ）1 ，…，ｈ
（Ｍ）ｒ-1 ）を統合し、認証子ｈ（Ｍ）を生成する。
一方、認証文ハッシュ化処理部１４７は、送られて来た
認証文Ｍをハッシュ関数ｈにより、ハッシュ化して認証
子ｈ（Ｍ）°とする。
【０１９３】次いで、認証子照合部１４９により、認証
子ｈ（Ｍ）とｈ（Ｍ）°とを比較し、一致していれば認
証文が正当であり、不一致であれば認証文が不当である
として、認証文の正当性を判断する。
【０１９４】図２４ないし図２７は、認証文生成処理の
詳細手順を示すフローチャートである。認証文生成処理
では、表５に示すようなメモリ上のデータ配置を行う。
【０１９５】
【表５】 そして、図２４に示すように、まずステップＳ９０１
で、認証文生成の為の初期設定が行われる。すなわちス
テップＳ９０１では、公開鍵１（ｎ）、秘密鍵２ｄ、ブ
ロック数ｒ、分割平文長（ｌｏｇ2ｎを超えない最大整
数）をそれぞれデータ番号１〜４に設定する。次いで、
認証文Ｍをデータ番号５に読み込む（ステップＳ９０
３）。
【０１９６】次いで、認証文Ｍをデータ番号５から読み
出し、ハッシュ関数ｈでハッシュ化し、その結果である
認証子ｈ（Ｍ）をデータ番号６に格納する（ステップＳ
９０５）。
【０１９７】次いで、認証子ｈ（Ｍ）の先頭からそれぞ
れ分割平文長のビット数の長さのブロックをｒ個切り出
す認証子分割処理を行い（ステップＳ９２０）、続い
て、認証子暗号化処理を行う（ステップＳ９４０）。暗
号化された認証子ブロックは、暗号送信処理され（ステ
ップＳ９６０）、まだ認証子が残っていれば、認証子分
割処理（ステップＳ９２０）に戻り、認証子が残ってい
なければ終了する。
【０１９８】図２５は、認証子分割処理の詳細を示すフ
ローチャートであり、ステップＳ９２０以下の詳細を示
す。まず、認証子分割処理の制御変数ｉ，ｊ，ｋの初期
設定を行う（ステップＳ９２２）。制御変数ｉは、分割
された認証子ブロックｈ（Ｍ）ｉの番号ｉを示すもので
ある。制御変数ｊは、分割前の認証子ｈ（Ｍ）を構成す
る各ビットのビット番号である。ｋは、ビット数で表し
た分割平文長である。ステップＳ９２２では、それぞ
れ、ｉ＝０，ｊ＝０，ｋ＝（ｌｏｇ2ｎを超えない最大
整数）と設定する。
【０１９９】次いで、データ番号６から認証子ｈ（Ｍ）
を読み出し、ｈ（Ｍ）のｊビット目から（ｊ＋ｋ−１）
ビット目までを切り出し、これをｈ（Ｍ）ｉとしてデー
タ番号（７＋ｉ）に格納する（ステップＳ９２４）。次
いで、制御変数更新のために、ｉ＝ｉ＋１，ｊ＝ｊ＋ｋ
とする（ステップＳ９２６）。次いで、所定のブロック
数ｒまで分割されたか否かを判定するため、ｉとｒとを
比較する（ステップＳ９２８）。ステップＳ９２８の判
定において、ｉ≠ｒであれば、まだ分割すべきブロック
が残っているので、ステップＳ９２４へ戻る。
【０２００】ステップＳ９２８の判定において、ｉ＝ｒ
であれば、分割すべきブロックが残っていないので、ｊ
がｈ（Ｍ）の最終ビット番号未満か否かを判定する（ス
テップＳ９３０）。ｊがｈ（Ｍ）の最終ビット番号未満
であれば、ｈ（Ｍ）のｊビット目から最後までをｈ
（Ｍ）′として、データ番号６に格納して（ステップＳ
９３２）、次の認証子暗号化処理へ移る。ｊがｈ（Ｍ）
の最終ビット番号以上であれば、Ａｌｌ‘０’をデータ
番号６に格納して（ステップＳ９３４）、次の認証子暗
号化処理へ移る。
【０２０１】図２６は、認証子暗号化処理の詳細を示す
フローチャートであり、ステップＳ９４０以下の詳細を
示す。まず、認証子暗号化処理の制御変数ｉの初期設
定、ｉ＝０を行う（ステップＳ９４２）。制御変数ｉ
は、分割された認証子ブロックの番号を示すものであ
る。次いで、データ番号（７＋ｉ）から認証子ブロック
ｈ（Ｍ）ｉを読み出し、これにイデアル（ｎ）を法とす
るｄ乗演算を行い、その結果を暗号化認証子ブロックｈ
（Ｃ）ｉとして、データ番号（７＋ｒ＋ｉ）に格納する
（ステップＳ９４４）。次いで、制御変数ｉを１だけ増
加させる（ステップＳ９４６）。
【０２０２】次いで、所定のブロック数ｒまで暗号化さ
れたか否かを判定するため、ｉとｒとを比較する（ステ
ップＳ９４８）。ステップＳ９４８の判定において、ｉ
≠ｒであれば、まだ暗号化すべき認証子ブロックが残っ
ているので、ステップＳ９４４へ戻る。ステップＳ９４
８の判定において、ｉ＝ｒであれば、暗号化が終了した
ので、次の暗号文送信処理へ移る。
【０２０３】図２７は、暗号文送信処理の詳細を示すフ
ローチャートであり、ステップＳ９６０以下の詳細を示
す。まず、暗号文送信処理の制御変数ｉの初期設定、ｉ
＝０を行う（ステップＳ９６２）。制御変数ｉは、暗号
化ブロックの番号を示すものである。次いで、データ番
号（７＋ｒ＋ｉ）から暗号化認証子ブロックｈ（Ｃ）ｉ
を読み出し、送信する（ステップＳ９６４）。次いで、
制御変数ｉを１だけ増加させる（ステップＳ９６６）。
【０２０４】次いで、所定のブロック数ｒまで送信され
たか否かを判定するため、ｉとｒとを比較する（ステッ
プＳ９６８）。ステップＳ９６８の判定において、ｉ≠
ｒであれば、まだ送信すべき暗号化ブロックが残ってい
るので、ステップＳ９６４へ戻る。ステップＳ９６８の
判定において、ｉ＝ｒであれば、送信が終了したので、
データ番号６のｈ（Ｍ）′を読み出し、ｈ（Ｍ）′＝Ａ
ｌｌ‘０’か否かを判定する（ステップＳ９７０）。
【０２０５】ステップＳ９７０の判定において、Ａｌｌ
‘０’でなければ、まだ分割以下の処理を行うべき認証
子が残っているので、認証子分割処理（ステップＳ９２
０）へ戻る。ステップＳ９７０の判定において、Ａｌｌ
‘０’であれば、認証文生成処理が終了する。
【０２０６】図２８ないし図３１は、認証文復号化処理
の詳細手順を示すフローチャートである。
【０２０７】認証文復号化処理では、表６に示すような
メモリ上のデータ配置を行う。
【０２０８】
【表６】 そして、認証文復号化処理では、まず図２８に示すよう
に、ステップＳ１００１で、復号化の為の初期設定が行
われる。すなわちステップＳ１００１では、公開鍵１
（ｎ）、公開鍵２ｅ、ブロック数ｒ、分割平文長（ｌｏ
ｇ2ｎを超えない最大整数）をそれぞれデータ番号１〜
４に設定する。
【０２０９】次いで、認証文Ｍをデータ番号５へ、暗号
化認証子ブロックｈ（Ｃ）0 〜ｈ（Ｃ）r-1 をブロック
毎にデータ番号６〜（５＋ｒ）へブロック毎に読み込む
（ステップＳ１００３）。次いで、ブロック毎の認証子
復号化処理（ステップＳ１０２０）、続いて認証子統合
処理（ステップＳ１０４０）、認証文ハッシュ化処理
（ステップＳ１０６０）、認証確認処理（ステップＳ１
０８０）を順次行う。
【０２１０】図２９は、認証子復号化処理の詳細を示す
フローチャートであり、ステップＳ１０２０以下の詳細
を示す。まず、認証子復号化処理の制御変数ｉの初期設
定、ｉ＝０を行う（ステップＳ１０２２）。制御変数ｉ
は、暗号化認証子ブロックの番号を示すものである。次
いで、データ番号（６＋ｉ）から暗号化認証子ブロック
ｈ（Ｃ）i を読み出し、これにイデアル（ｎ）を法とす
るｅ乗演算を行い、その結果を復号化された認証子ブロ
ックｈ（Ｍ）i として、データ番号（６＋ｒ＋ｉ）に格
納する（ステップＳ１０２４）。次いで、制御変数ｉを
１だけ増加させる（ステップＳ１０２６）。
【０２１１】次いで、所定のブロック数ｒまで復号化さ
れたか否かを判定するため、ｉとｒとを比較する（ステ
ップＳ１０２８）。ステップＳ１０２８の判定におい
て、ｉ≠ｒであれば、まだ復号化すべきブロックが残っ
ているので、ステップＳ１０２４へ戻る。ステップＳ１
０２８の判定において、ｉ＝ｒであれば、復号化が終了
したので、次の認証子統合処理へ移る。
【０２１２】図３０は、認証子統合処理の詳細を示すフ
ローチャートであり、ステップＳ１０４０以下の詳細を
示す。まず、認証子統合処理の制御変数ｉ，ｊ，ｋの初
期設定を行う（ステップＳ１１０４２）。制御変数ｉ
は、統合すべき認証子ブロックｈ（Ｍ）i の番号ｉを示
すものである。制御変数ｊは、統合後の認証子データｈ
（Ｍ）を構成する各ビットのビット番号である。ｋは、
ビット数で表した分割平文長である。ステップＳ１０４
２では、それぞれ、ｉ＝０，ｊ＝０，ｋ＝（ｌｏｇ2ｎ
を超えない最大整数）と設定する。
【０２１３】次いで、データ番号（６＋ｒ＋ｉ）からｈ
（Ｍ）i を読み出し、作業領域のｊビット目から（ｊ＋
ｋ−１）ビット目までに格納する（ステップＳ１０４
４）。次いで、制御変数更新のために、ｉ＝ｉ＋１，ｊ
＝ｊ＋ｋとする（ステップＳ１０４６）。
【０２１４】次いで、所定のブロック数ｒまで統合され
たか否かを判定するため、ｉとｒとを比較する（ステッ
プＳ１０４８）。ステップＳ１０４８の判定において、
ｉ≠ｒであれば、まだ統合すべきブロックが残っている
ので、ステップＳ１０４４へ戻る。
【０２１５】ステップＳ１０４８の判定において、ｉ＝
ｒであれば、統合すべきブロックが残っていないので、
作業領域内に連接して形成された統合認証子ｈ（Ｍ）を
データ番号（６＋２ｒ）の末尾に連接して格納し（ステ
ップＳ１０５０）、次の認証文ハッシュ化処理へ移る。
【０２１６】図３１は、認証文ハッシュ化処理および認
証確認処理の詳細を示すフローチャートであり、ステッ
プＳ１０６０以下の詳細を示す。認証文ハッシュ化処理
は、データ番号５から認証文Ｍを読み出し、ハッシュ関
数ｈでハッシュ化し、その結果をｈ（Ｍ）°として、デ
ータ番号（７＋２ｒ）に格納し（ステップＳ１０６
２）、次の認証確認処理へ移る。
【０２１７】認証確認処理は、データ番号（６＋２ｒ）
の統合認証子ｈ（Ｍ）とデータ番号（７＋２ｒ）のハッ
シュ化認証子ｈ（Ｍ）°とを比較する（ステップＳ１０
８２）。
【０２１８】この比較の結果、ｈ（Ｍ）とｈ（Ｍ）°と
が一致していれば、認証成功を出力して（ステップＳ１
０８４）終了し、ｈ（Ｍ）とｈ（Ｍ）°とが一致しなけ
れば、認証失敗を出力して（ステップＳ１０８６）終了
する。
【０２１９】なお、この認証通信の実施形態において、
暗号化認証子ｈ（Ｃ）と認証文Ｍの組をさらに受信者の
公開鍵を用いて暗号化する暗号化認証通信も、認証通信
と暗号化通信とを組み合わせることによって従来の公開
鍵暗号と同様に実現できる。
【０２２０】
【発明の効果】以上説明したように、本発明に係る公開
鍵暗号方式によれば、従来のＲＳＡ暗号方式と比較し
て、完全読解についての安全性は同等以上の強度が得ら
れるという効果を奏する。
【０２２１】また、本発明の公開鍵暗号方式に対して、
従来の同報通信攻撃法は無効となるので、同報通信攻撃
に対して著しく強度が増した暗号方式を提供することが
できるという効果を奏する。
【０２２２】また、本発明の公開鍵暗号方式によれば、
暗号化にかかる計算時間の大部分を占める乗算回数が、
楕円曲線上のＲＳＡ暗号と比較して２／５に削減され、
大幅な高速化を実現することができるという効果を奏す
る。
【０２２３】また、本発明の拡大体への拡大次数が２次
の場合は、従来のＲＳＡ暗号と比較して同程度の暗号化
速度を確保しつつ、強度を高めることができるという効
果を奏する。
【０２２４】また、本社から複数支社への同報データ通
信や多地点間でのテレビ会議、有線あるいは無線電話な
どによる連絡などにおいて、守秘性を高めたいときに、
本発明による暗号方式を用いてデータ、画像、音声の暗
号化を行なうことにより、従来の方式に比べて同報通信
攻撃に対して強度の増した通信を行なうことができると
いう効果を奏する。
【０２２５】また、本発明をインターネットなどのネッ
トワークにおいて用いられているセキュリティ電子メイ
ルなどの暗号通信に適用すれば、同報通信攻撃に対する
強度を増すことができるという効果を奏する。
【０２２６】また、本発明に係る認証装置は、そのハー
ドウェア資源ならびにソフトウェア資源のそれぞれ大部
分を暗号装置と共用することができ、暗号化および認証
の双方に対称使用が可能となるという効果を奏する。
【０２２７】また、本暗号装置および認証装置を使用す
ることにより、同報通信攻撃に強いネットワーク管理プ
ロトコルを設計することができるという効果を奏する。
【０２２８】また、ネットワークを利用して行なわれる
電子商取引や電子金融取引等において、本暗号装置およ
び認証装置を使用することにより、取引データの暗号化
や取引相手の相互認証におけるセキュリティを向上させ
ることができるという効果を奏する。
【０２２９】また、本発明の暗号化鍵生成方法および暗
号化鍵生成装置によれば、代数体上の整数環における素
イデアルを利用することにより、従来の有理整数環上の
素数に比べて利用可能な暗号化鍵を増加させることがで
きるという効果を奏する。
【図面の簡単な説明】
【図１】本発明に係る公開鍵暗号方式を用いた暗号化通
信装置の概要を示すシステム構成図である。
【図２】本発明に係る公開鍵暗号方式による認証通信装
置の概要を示すシステム構成図である。
【図３】円分体の素イデアル（秘密鍵１）生成処理部。
【図４】２次体の素イデアル（秘密鍵１）生成処理部。
【図５】円分体の公開鍵２、秘密鍵２の生成処理部。
【図６】平分分割処理部の概略フローチャートである。
【図７】イデアルｎを法とする乗算器の構成を示すブロ
ック図である。
【図８】イデアルｎを法とする２乗演算器の構成を示す
ブロック図である。
【図９】円分体暗号における鍵生成処理のフローチャー
ト図（１／４）であり、円分体暗号における鍵生成のメ
インルーチンを示す。
【図１０】円分体暗号における鍵生成処理のフローチャ
ート図（２／４）であり、オイラー関数値φ（ｍ）の計
算ルーチンを示す。
【図１１】円分体暗号における鍵生成処理のフローチャ
ート図（３／４）であり、素イデアル１，ｐの生成ルー
チンを示す。
【図１２】円分体暗号における鍵生成処理のフローチャ
ート図（４／４）であり、素イデアル２，ｑの生成ルー
チンを示す。
【図１３】２次体暗号における鍵生成処理のフローチャ
ート図（１／４）であり、２次体暗号における鍵生成の
メインルーチンを示す。
【図１４】２次体暗号における鍵生成処理のフローチャ
ート図（２／４）であり、判別式Ｄの値を格納するルー
チンを示す。
【図１５】２次体暗号における鍵生成処理のフローチャ
ート図（３／４）であり、素イデアル１，ｐの生成ルー
チンを示す。
【図１６】２次体暗号における鍵生成処理のフローチャ
ート図（４／４）であり、素イデアル２，ｑの生成ルー
チンを示す。
【図１７】暗号化送信処理のフローチャート図（１／
４）であり、暗号化送信処理のメインルーチンを示す。
【図１８】暗号化送信処理のフローチャート図（２／
４）であり、平文分割処理ルーチンを示す。
【図１９】暗号化送信処理のフローチャート図（３／
４）であり、暗号化処理ルーチンを示す。
【図２０】暗号化送信処理のフローチャート図（４／
４）であり、暗号文送信処理ルーチンを示す。
【図２１】受信復号化処理のフローチャート図（１／
３）であり、受信復号化処理のメインルーチンを示す。
【図２２】受信復号化処理のフローチャート図（２／
３）であり、復号化処理ルーチンを示す。
【図２３】受信復号化処理のフローチャート図（３／
３）であり、平文統合処理ルーチンを示す。
【図２４】認証文生成処理のフローチャート図（１／
４）であり、認証文生成処理のメインルーチンを示す。
【図２５】認証文生成処理のフローチャート図（２／
４）であり、認証子分割処理ルーチンを示す。
【図２６】認証文生成処理のフローチャート図（３／
４）であり、認証子暗号化ルーチンを示す。
【図２７】認証文生成処理のフローチャート図（４／
４）であり、暗号文送信処理ルーチンを示す。
【図２８】認証文復号化処理のフローチャート図（１／
４）であり、認証文復号化処理のメインルーチンを示
す。
【図２９】認証文復号化処理のフローチャート図（２／
４）であり、認証子復号化処理ルーチンを示す。
【図３０】認証文復号化処理のフローチャート図（３／
４）であり、認証子統合処理ルーチンを示す。
【図３１】認証文復号化処理のフローチャート図（４／
４）であり、認証子ハッシュ化処理ルーチンおよび認証
確認処理ルーチンを示す。
【図３２】惰性する素数の積で生成されるイデアル
（ｎ）による剰余類を２次元平面上に示した図である。
【図３３】従来のＲＳＡ暗号方式の概要を示すシステム
構成図である。
【符号の説明】
１１…暗号化通信装置、２１…鍵生成装置、２３…素イ
デアル生成部、３１…暗号化装置、３３…平文入力部、
３５…平文分割部、３７…暗号化処理部、３９…イデア
ルｎを法とするべき乗演算部、４１…復号化装置、４３
…復号化処理部、４５…イデアルｎを法とするべき乗演
算部、４７…平文統合処理部、４９…平文出力部、５１
…通信路。
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.6 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/30 Ｈ０４Ｌ 9/00 ６０１Ｆ 9/32 ６６３Ｂ ６７５Ｂ

Claims (33)

    【特許請求の範囲】
  1. 【請求項１】 ある素数データに基づいて、代数体上の
    整数環における素イデアルであることを満たすような互
    いに異なる二つの自然数データの組である第１の秘密鍵
    データ、ならびに前記両自然数データの積である第１の
    公開鍵データを生成することを特徴とする公開鍵暗号の
    鍵生成方法。
  2. 【請求項２】 ある素数データに基づいて、代数体上の
    整数環における素イデアルであることを満たすような互
    いに異なる二つの自然数データの組である第１の秘密鍵
    データ、ならびに前記両自然数データの積である第１の
    公開鍵データを生成し、 前記素数データのオイラー関数値の計算と、前記第１の
    秘密鍵データに関する最小公倍数演算と、を用いて、と
    もに自然数データである第２の秘密鍵データと第２の公
    開鍵データとを生成することを特徴とする公開鍵暗号の
    鍵生成方法。
  3. 【請求項３】 ある素数べきデータであるｍc のオイラ
    ー関数値を求めて、 前記オイラー関数値をべき乗した結果に対してｍc を法
    とする剰余を計算すると１となり、かつ、前記オイラー
    関数値より小さいいずれの自然数をべき乗した結果に対
    してｍc を法とする剰余を計算しても、１にならない条
    件を満たすような、互いに異なる二つの自然数データで
    あるｐc とｑc とを探索し、 ｐc とｑc との組を第１の秘密鍵データとして出力し、 ｐc とｑc を乗じてデータＮc を求め、Ｎc を第１の公
    開鍵データとして出力することを特徴とする公開鍵暗号
    の鍵生成方法。
  4. 【請求項４】 前記ｐc とｑc とにそれぞれ前記オイラ
    ー関数値をべき乗し１を減じた値同士の最小公倍数の値
    であるＬc を算出し、 Ｌc を法とする剰余が１となるデータ値を積とするよう
    な二つの自然数データを探索し、 前記探索された二つの自然数データの一方を第２の秘密
    鍵データｄc として、他方を第２の公開鍵データｅc と
    して、それぞれ出力することを特徴とする請求項３に記
    載の公開鍵暗号の鍵生成方法。
  5. 【請求項５】 前記ｐc とｑc との探索は、 ユークリッド的なｍc 次円分体において、０でないイデ
    アルによる、ｍc に対するオイラー関数の値を次数に持
    つ剰余類の完全代表系上の多次元ベクトルの原点からの
    距離である、ノルムを使用して行うことを特徴とする請
    求項３または４に記載の公開鍵暗号の鍵生成方法。
  6. 【請求項６】 前記ｐc とｑc との探索は、 任意の円分体において、惰性する素数の積で表されるイ
    デアルによる、ｍc に対するオイラー関数の値を次数に
    持つ剰余類の完全代表系上の多次元ベクトルの原点から
    の距離である、ノルムを使用して求めることによって行
    うことを特徴とする請求項３または４に記載の公開鍵暗
    号の鍵生成方法。
  7. 【請求項７】 二乗因子を含まないある有理整数データ
    値であるｍs に対して、４を法とする剰余を計算し、 この剰余の計算値が１となる場合は、判別式データの値
    をｍs とし、 この剰余の計算値が１以外の場合は、判別式データの値
    を４ｍs とし、 有理素数のなかから、この有理素数を法として前記判別
    式データを平方非剰余とするような互いに異なる二つの
    有理素数であるｐs とｑs を探索し、 ｐs とｑs の組を、第１の秘密鍵データとして出力し、 ｐs とｑs を乗じてデータＮs を求め、 Ｎs を第１の公開鍵データとして出力することを特徴と
    する公開鍵暗号の鍵生成方法。
  8. 【請求項８】 前記ｐs とｑs のそれぞれの２乗から１
    を減じた値同士の最小公倍数データ値であるＬs を算出
    し、 このＬs を法とする剰余が１となるデータ値を積とする
    ような二つの自然数データを探索し、 この二つの自然数データの一方を第２の秘密鍵データｄ
    s とし、他方を第２の公開鍵データｅs として、それぞ
    れ出力することを特徴とする請求項７に記載の公開鍵暗
    号の鍵生成方法。
  9. 【請求項９】 前記のｐs とｑs の探索は、 ユークリッド的な２次体において、０でないイデアルに
    よる２次の剰余類の完全代表系である２次元ベクトルの
    原点からの距離である、ノルムを使用して求めることに
    よって行うことを特徴とする請求項７または請求項８に
    記載の公開鍵暗号の鍵生成方法。
  10. 【請求項１０】 ある素数べきデータであるｍc を入力
    する入力手段と、 ｍc のオイラー関数値を求めるオイラー関数計算手段
    と、 前記オイラー関数値をべき乗した結果に対してｍc を法
    とする剰余を計算すると１となり、かつ、前記オイラー
    関数値より小さいいずれの自然数をべき乗した結果に対
    してｍc を法とする剰余を計算しても、１にならない条
    件を満たすような、互いに異なる二つの自然数データで
    あるｐc とｑc とを探索する第１の探索手段と、 ｐc とｑc を乗じてデータＮc を求める乗算手段と、 ｐc とｑc とにそれぞれ前記オイラー関数値をべき乗し
    １を減じた値同士の最小公倍数データ値であるＬc を算
    出し、Ｌc を法とする剰余が１となるデータ値を積とす
    るような二つの自然数データｄc およびｅc を探索する
    第２の探索手段と、 ｐc とｑc との組を第１の秘密鍵データとして、Ｎc を
    第１の公開鍵データとして、ｄc を第２の秘密鍵データ
    として、ｅc を第２の公開鍵データとして、それぞれ出
    力する出力手段と、 を具備したことを特徴とする公開鍵暗号の鍵生成装置。
  11. 【請求項１１】 二乗因子を含まないある有理整数デー
    タ値であるｍs を入力する入力手段と、 ｍs に対して、４を法とする剰余を計算し、この剰余の
    計算値が１となる場合は、判別式データの値をｍs と
    し、この剰余の計算値が１以外の場合は、判別式データ
    の値を４ｍs とする判別式データ設定手段と、 有理素数のなかから、この有理素数を法として前記判別
    式データを平方非剰余とするような互いに異なる二つの
    有理素数であるｐs とｑs とを探索する第１の探索手段
    と、 ｐs とｑs を乗じてデータＮs を求める乗算手段と、 ｐs とｑs のそれぞれの２乗から１を減じた値同士の最
    小公倍数データ値であるＬs を算出し、このＬs を法と
    する剰余が１となるデータ値を積とするような二つの自
    然数データｄs およびｅs を探索する第２の探索手段
    と、 ｐs とｑs の組を第１の秘密鍵データとして、Ｎs を第
    １の公開鍵データとして、ｄs を第２の秘密鍵データと
    して、ｅs を第２の公開鍵データとして、それぞれ出力
    する出力手段と、 を具備したことを特徴とする公開鍵暗号の鍵生成装置。
  12. 【請求項１２】 第１および第２の公開鍵により平文デ
    ータを暗号化して暗号文データを生成する公開鍵暗号に
    よる暗号化方法であって、 平文データを複数ブロックに分割して得られた平文ブロ
    ックデータに対して、第２の公開鍵データ値であるｅc
    またはｅs をべき乗した値を計算し、 この計算値に対して、第１の公開鍵であるイデアルＮc
    またはＮs を法とした剰余を求めることによって、暗号
    文データを生成することを特徴とする公開鍵暗号による
    暗号化方法。
  13. 【請求項１３】 前記イデアルを法とする剰余類の取り
    方は、 ユークリッド的なｍc 次円分体において、０でないイデ
    アルＮc を法とする剰余類の完全代表系として、ｍc に
    対するオイラー関数の値を次元とする多次元ベクトルで
    張られる超平行四辺体の内部と境界上の格子点とし、 前記平文データが、それぞれ前記ｍc に対するオイラー
    関数値に等しいブロック数からなる平文ブロックデータ
    に分割された後に暗号化されることを特徴とする請求項
    １２に記載の公開鍵暗号による暗号化方法。
  14. 【請求項１４】 前記イデアルを法とする剰余類の取り
    方は、 ユークリッド的な２次体において、０でないイデアルＮ
    s を法とする剰余類の完全代表系として、２次元ベクト
    ルで張られる平行四辺形体の内部と境界上の格子点と
    し、 前記平文データが、それぞれ２つのブロックからなる平
    文ブロックデータに分割された後に暗号化されることを
    特徴とする請求項１２に記載の公開鍵暗号による暗号化
    方法。
  15. 【請求項１５】 平文ブロックデータに対して、第２の
    公開鍵データ値であるｅc をべき乗した値を計算するべ
    き乗計算手段と、 この計算値に対して、第１の公開鍵であるイデアルＮc
    を法とした剰余を求める剰余類計算手段と、 を備えてなり、前記剰余類計算手段におけるイデアルを
    法とする剰余類の取り方は、ユークリッド的なｍc 次円
    分体において、０でないイデアルＮc を法とする剰余類
    の完全代表系として、ｍc に対するオイラー関数の値を
    次元とする多次元ベクトルで張られる超平行四辺体の内
    部と境界上の格子点とすることを特徴とする公開鍵暗号
    による暗号化装置。
  16. 【請求項１６】 平文ブロックデータに対して、第２の
    公開鍵データ値であるｅs をべき乗した値を計算するべ
    き乗計算手段と、 この計算値に対して、第１の公開鍵であるイデアルＮs
    を法とした剰余を求める剰余類計算手段と、 を備えてなり、前記剰余類計算手段におけるイデアルを
    法とする剰余類の取り方は、ユークリッド的な２次体に
    おいて、０でないイデアルＮs を法とする剰余類の完全
    代表系として、２次元ベクトルで張られる平行四辺形体
    の内部と境界上の格子点とすることを特徴とする公開鍵
    暗号による暗号化装置。
  17. 【請求項１７】 請求項１２ないし請求項１４のいずれ
    か１項記載の暗号化方法により生成された暗号文ブロッ
    クデータに対して復号化を施して平文データを生成する
    公開鍵暗号の復号化方法であって、 前記暗号文ブロックデータに対して、第２の秘密鍵デー
    タ値であるｄc またはｄs をべき乗した値を計算し、 この計算値に対して、第１の公開鍵であるイデアルＮc
    またはＮs を法とした剰余を求めることによって、平文
    データを生成することを特徴とする公開鍵暗号の復号化
    方法。
  18. 【請求項１８】 前記イデアルを法とする剰余類の取り
    方は、 ユークリッド的なｍc 次円分体において、０でないイデ
    アルＮc を法とする剰余類の完全代表系として、ｍc に
    対するオイラー関数の値を次元とする多次元ベクトルで
    張られる超平行四辺体の内部と境界上の格子点とするこ
    とを特徴とする請求項１７に記載の公開鍵暗号の復号化
    方法。
  19. 【請求項１９】 前記イデアルを法とする剰余類の取り
    方は、 ユークリッド的な２次体において、０でないイデアルＮ
    s を法とする剰余類の完全代表系として、２次元ベクト
    ルで張られる平行四辺形体の内部と境界上の格子点とす
    ることを特徴とする請求項１７に記載の公開鍵暗号の復
    号化方法。
  20. 【請求項２０】 暗号文ブロックデータに対して、第２
    の秘密鍵データ値であるｄc をべき乗した値を計算する
    べき乗計算手段と、 この計算値に対して、第１の公開鍵であるイデアルＮc
    を法とした剰余を求める剰余類計算手段と、 を備えてなり、前記剰余類計算手段におけるイデアルを
    法とする剰余類の取り方は、ユークリッド的なｍc 次円
    分体において、０でないイデアルＮc を法とする剰余類
    の完全代表系として、ｍc に対するオイラー関数の値を
    次元とする多次元ベクトルで張られる超平行四辺体の内
    部と境界上の格子点とすることを特徴とする公開鍵暗号
    の復号化装置。
  21. 【請求項２１】 暗号文ブロックデータに対して、第２
    の秘密鍵データ値であるｄs をべき乗した値を計算する
    べき乗計算手段と、 この計算値に対して、第１の公開鍵であるイデアルＮs
    を法とした剰余を求める剰余類計算手段と、 を備えてなり、前記剰余類計算手段におけるイデアルを
    法とする剰余類の取り方は、ユークリッド的な２次体に
    おいて、０でないイデアルＮs を法とする剰余類の完全
    代表系として、２次元ベクトルで張られる平行四辺形体
    の内部と境界上の格子点とすることを特徴とする公開鍵
    暗号の復号化装置。
  22. 【請求項２２】 第１の公開鍵および第２の秘密鍵によ
    り、認証文から暗号化された認証子データを生成する公
    開鍵暗号方式による認証文生成方法であって、 前記認証文をハッシュ化し、複数ブロックに分割した認
    証子ブロックデータを生成し、 この認証子ブロックデータに対して、第２の秘密鍵デー
    タ値であるｄc またはｄs をべき乗した値を計算し、 この計算値に対して、第１の公開鍵データであるイデア
    ルＮc またはＮs を法とした剰余を求めることによっ
    て、暗号化認証子データを生成することを特徴とする公
    開鍵暗号方式による認証文生成方法。
  23. 【請求項２３】 前記イデアルを法とする剰余類の取り
    方は、 ユークリッド的なｍc 次円分体において、０でないイデ
    アルＮc を法とする剰余類の完全代表系として、ｍc に
    対するオイラー関数の値を次元とする多次元ベクトルで
    張られる超平行四辺体の内部と境界上の格子点とし、 前記平文データが、それぞれ前記ｍc に対するオイラー
    関数値に等しいブロック数からなる平文ブロックデータ
    に分割された後に暗号化されることを特徴とする請求項
    ２２に記載の公開鍵暗号方式による認証文生成方法。
  24. 【請求項２４】 前記イデアルを法とする剰余類の取り
    方は、 ユークリッド的な２次体において、０でないイデアルＮ
    s を法とする剰余類の完全代表系として、２次元ベクト
    ルで張られる平行四辺形体の内部と境界上の格子点と
    し、 前記平文データが、それぞれ２つのブロックからなる平
    文ブロックデータに分割された後に暗号化されることを
    特徴とする請求項２２に記載の公開鍵暗号方式による認
    証文生成方法。
  25. 【請求項２５】 入力された認証文をハッシュ化した後
    に分割し、それぞれｍc に対するオイラー関数値に等し
    いブロック数からなる認証子ブロックデータを生成する
    認証子データ生成手段と、 この生成された認証子ブロックデータに対して、第２の
    秘密鍵データ値であるｄc をべき乗した値を計算するべ
    き乗計算手段と、 この計算値に対して、第１の公開鍵データであるイデア
    ルＮc を法とした剰余を求める剰余類計算手段と、 を備えてなり、前記剰余類計算手段におけるイデアルを
    法とする剰余類の取り方は、ユークリッド的なｍc 次円
    分体において、０でないイデアルＮc を法とする剰余類
    の完全代表系として、ｍc に対するオイラー関数の値を
    次元とする多次元ベクトルで張られる超平行四辺体の内
    部と境界上の格子点とすることを特徴とする公開鍵暗号
    方式による認証文生成装置。
  26. 【請求項２６】 入力された認証文をハッシュ化した後
    に分割し、それぞれ２つのブロックからなる認証子ブロ
    ックデータを生成する認証子データ生成手段と、 この生成された認証子ブロックデータに対して、第２の
    秘密鍵データ値であるｄs をべき乗した値を計算するべ
    き乗計算手段と、 この計算値に対して、第１の公開鍵データであるイデア
    ルＮs を法とした剰余を求めて暗号化認証子データを得
    る剰余類計算手段と、 を備えてなり、前記剰余類計算手段におけるイデアルＮ
    s を法とする剰余類の取り方は、ユークリッド的な２次
    体において、０でないイデアルＮs を法とする剰余類の
    完全代表系として、２次元ベクトルで張られる平行四辺
    形体の内部と境界上の格子点とすることを特徴とする公
    開鍵暗号方式による認証文生成装置。
  27. 【請求項２７】 請求項２２ないし請求項２４のいずれ
    か１項記載の認証文生成方法により生成された暗号化認
    証子データを復号化し、平文でありこの暗号化認証子デ
    ータに相当する認証文データの正当性を検証する認証文
    検証方法であって、 暗号化された認証子ブロックデータに対して、第２の公
    開鍵データ値であるｅc またはｅs をべき乗した値を計
    算し、 この計算値に対して、第１の公開鍵であるイデアルＮc
    またはＮs を法とした剰余を求めることによって、認証
    子データを復号化し、 この復号化した認証子データと、前記平文の認証子デー
    タとが一致していた場合は、認証ないし検証過程を正当
    と判定し、 この復号化した認証子データと、前記平文の認証子デー
    タとが不一致であった場合は、認証ないし検証過程を正
    当でないと判定する、 ことを特徴とする公開鍵暗号方式による認証文検証方
    法。
  28. 【請求項２８】 前記イデアルを法とする剰余類の取り
    方は、 ユークリッド的なｍc 次円分体において、０でないイデ
    アルＮc を法とする剰余類の完全代表系として、ｍc に
    対するオイラー関数の値を次元とする多次元ベクトルで
    張られる超平行四辺体の内部と境界上の格子点とするこ
    とを特徴とする請求項２７に記載の公開鍵暗号方式によ
    る認証文検証方法。
  29. 【請求項２９】 前記イデアルを法とする剰余類の取り
    方は、 ユークリッド的な２次体において、０でないイデアルＮ
    s を法とする剰余類の完全代表系として、２次元ベクト
    ルで張られる平行四辺形体の内部と境界上の格子点とす
    ることを特徴とする請求項２７に記載の公開鍵暗号方式
    による認証文検証方法。
  30. 【請求項３０】 暗号化された認証子ブロックデータに
    対して、第２の公開鍵データ値であるｅc をべき乗した
    値を計算するべき乗計算手段と、 この計算値に対して、第１の公開鍵であるイデアルＮc
    を法とした剰余を求めて復号化された認証子データを得
    る剰余類計算手段と、 この復号化された認証子データおよびこれに対応する平
    文の認証子データの比較に基づいて認証判定を行う判定
    手段と、 を備える公開鍵暗号方式による認証文検証装置であっ
    て、 前記剰余類計算手段における前記イデアルを法とする剰
    余類の取り方は、 ユークリッド的なｍc 次円分体において、０でないイデ
    アルＮc を法とする剰余類の完全代表系として、ｍc に
    対するオイラー関数の値を次元とする多次元ベクトルで
    張られる超平行四辺体の内部と境界上の格子点とするこ
    とを特徴とする公開鍵暗号方式による認証文検証装置。
  31. 【請求項３１】 暗号化された認証子ブロックデータに
    対して、第２の公開鍵データ値であるｅs をべき乗した
    値を計算するべき乗計算手段と、 この計算値に対して、第１の公開鍵であるイデアルＮs
    を法とした剰余を求めて復号化された認証子データを得
    る剰余類計算手段と、 この復号化された認証子データおよびこれに対応する平
    文の認証子データの比較に基づいて認証判定を行う判定
    手段と、 を備える公開鍵暗号方式による認証文検証装置であっ
    て、 前記剰余類計算手段における前記イデアルを法とする剰
    余類の取り方は、 ユークリッド的な２次体において、０でないイデアルＮ
    s を法とする剰余類の完全代表系として、２次元ベクト
    ルで張られる平行四辺形体の内部と境界上の格子点とす
    ることを特徴とする公開鍵暗号方式による認証文検証装
    置。
  32. 【請求項３２】 前記剰余類計算手段における剰余の計
    算は、前記ｍc に対するオイラー関数値に等しい数の各
    成分毎に行うことを特徴とする請求項１５、請求項２
    ０、請求項２５、または請求項３０のいずれか１項に記
    載の装置。
  33. 【請求項３３】 前記剰余類計算手段における剰余の計
    算は、２つの各成分毎に行うことを特徴とする請求項１
    ６、請求項２１、請求項２６、または請求項３１のいず
    れか１項に記載の装置。
JP8189730A 1996-07-18 1996-07-18 公開鍵暗号による通信および認証方法、ならびにそれらの装置 Pending JPH1039752A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP8189730A JPH1039752A (ja) 1996-07-18 1996-07-18 公開鍵暗号による通信および認証方法、ならびにそれらの装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP8189730A JPH1039752A (ja) 1996-07-18 1996-07-18 公開鍵暗号による通信および認証方法、ならびにそれらの装置

Publications (1)

Publication Number Publication Date
JPH1039752A true JPH1039752A (ja) 1998-02-13

Family

ID=16246236

Family Applications (1)

Application Number Title Priority Date Filing Date
JP8189730A Pending JPH1039752A (ja) 1996-07-18 1996-07-18 公開鍵暗号による通信および認証方法、ならびにそれらの装置

Country Status (1)

Country Link
JP (1) JPH1039752A (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100601634B1 (ko) * 2000-06-07 2006-07-14 삼성전자주식회사 고속 복제 방지 방법
CN106936563A (zh) * 2015-12-29 2017-07-07 智能Ic卡公司 用于保护密码运算的方法和系统
CN111052670A (zh) * 2017-09-01 2020-04-21 三菱电机株式会社 加密装置、解密装置、加密方法、解密方法、加密程序和解密程序

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100601634B1 (ko) * 2000-06-07 2006-07-14 삼성전자주식회사 고속 복제 방지 방법
CN106936563A (zh) * 2015-12-29 2017-07-07 智能Ic卡公司 用于保护密码运算的方法和系统
CN111052670A (zh) * 2017-09-01 2020-04-21 三菱电机株式会社 加密装置、解密装置、加密方法、解密方法、加密程序和解密程序
CN111052670B (zh) * 2017-09-01 2024-02-09 三菱电机株式会社 加密装置、解密装置、加密方法、解密方法和计算机能读取的存储介质

Similar Documents

Publication Publication Date Title
US6259790B1 (en) Secret communication and authentication scheme based on public key cryptosystem using N-adic expansion
US6396926B1 (en) Scheme for fast realization of encrytion, decryption and authentication
US6154541A (en) Method and apparatus for a robust high-speed cryptosystem
EP0503119B1 (en) Public key cryptographic system using elliptic curves over rings
US7773747B2 (en) Encryption apparatus, decryption apparatus, and method
NZ535698A (en) An cryptosystem involving generating an isogeny that maps points from one elliptic curve onto another elliptic curve and publishing a public key corresponding to the isogeny
Karakra et al. A-rsa: augmented rsa
US20020041684A1 (en) Public-key encryption and key-sharing methods
Mittal et al. Group ring based public key cryptosystems
CN116346336B (zh) 一种基于多层密钥生成中心的密钥分发方法及相关系统
JPH1039752A (ja) 公開鍵暗号による通信および認証方法、ならびにそれらの装置
Andreevich et al. On Using Mersenne Primes in Designing Cryptoschemes
Clupek et al. Secure digital archiving in post-quantum era
JP3706398B2 (ja) 楕円曲線による署名、認証及び秘密通信方式
JP2002023626A (ja) 公開鍵暗号方法および公開鍵暗号を用いた通信システム
Shepherd et al. The quadratic residue cipher and some notes on implementation
EP1148675A1 (en) Public key cryptograph and key sharing method
JP3278790B2 (ja) 公開鍵暗号方法及び公開鍵暗号システム
WO2003013052A1 (en) Cryptosystems based on non-commutatity
Boussif Scalable Implementation of Array of 8-bit-Based RSA With Large Key Size
Dhamodharan et al. Multifarious mapping schemes on Elliptic curve cryptography for IoT security
AlSa'deh et al. A-RSA: augmented RSA
JPH0856219A (ja) 暗号通信システム
JP2000115157A (ja) 紛失通信方法
JP3240723B2 (ja) 通信方法、秘密通信方法及び署名通信方法