JPH10500502A - 離散対数をベースとした公開キーによる暗号化方法 - Google Patents

Abstract

(57)【要約】 本発明は、変数ｒ＝ｇ^kmodp（ここで、ｐはモジュラスと呼ばれる整数であってｋは乱数である）の計算を利用する、離散対数をベースにした公開キーによる暗号化方法に関する。本発明によれば、データ対（ｘ_i，ｇ^ximodp）を含むデータベースを作成し（ｘ_iは擬似乱数値）、この値を用いて一次結合を行うことによって指数ｋを求め、この結合に関与するｇ^xiを用いて変数ｇ^kmodpの計算を行う。デジタル署名または認証への利用。

Description

【発明の詳細な説明】 離散対数をベースとした公開キーによる 暗号化方法 本発明の目的は、離散（ディスクリート、discrete）対数に基づき、変数モジ ュロｐを用いる、公開キー法として周知の暗号化方法にある。 この方法は、メッセージのデジタル署名の生成または２つのエンティティ（en tity）間での認証の伝達等に適用することができる。 そのようなプロセスにおけるセキュリティは、ある種の関数、特に離散対数を 反転することが非常に困難であるという事実に基づいている。 数学的関係式ｙ＝ｇ^xmoduloｐ（ｙがｇ^xをｐで割った余りであることを意味し 、以下ｙ＝ｇ^xmodpと表す）を考えると、問題は、ｐ、ｇおよびｙがわかってい る時にｘを求めることにある。現在の知られているところでは、ｐのサイズが51 2ビットに達するかそれを越えた場合、およびｘのサイズが128ビットに達するか それを越えた場合、この問題を解くことはできない。 そのようなシステムでは、一般に、モジュラスを構成する大きな数ｐを与える 認証機関が存在する。この認証機関はさらに、次のように底と呼ばれる整数ｇを 選択する。つまり、ｇによって生成する集合、すなわち区間〔０，ｐ−１〕に属 するｘに対応する数ｇ^xmodpによって構成される集合が、最大限の、つまり少な くとも２¹²⁸の大きさの部分集合になるように、整数 ｇを選択する。 パラメータｐおよびｇは、『公開』であると言われる。すなわち、認証機関に よって、この認証機関の下に集まった全てのユーザに与えられる。 いくつかの変形例によれば、これらのパラメータは個々のユーザによって独立 して選択され、この場合その公開キーの整数部（integral part）を構成する。 暗号化システムを実行する上での主な欠点は、複雑な計算を行うために、比較 的大規模な計算手段および記憶手段が必要なことにある。 実際、変数ｇ^kmodpの計算は、モジュラー乗算操作を実行することであって、 長い計算時間と多くのメモリー空間とを必要とする。標準的なマイクロプロセッ サだけを用いる簡単な電子デバイスでは、このような操作を行うことはほとんど 不可能である。 この種の計算を行うための専用のプロセッサを有する電子デバイスでも、計算 時間および中間結果を保存するために必要なメモリ空間を抑制することが望まし い。 つまり、標準的な平方乗算またはＳＱＭ法によって変数ｇ^kmodpを計算するこ とは、それが平均3/2 Log₂(p)回の乗算操作に相当することから、一般に比較的 高コストである。 この方法では、ｇの累乗が全て計算される。つまりｋの長さがｎビットならば 、全ての平方： が計算される。 単純な『平方乗算』法によれば、ｇ^kはｎ／２回の乗算操作およびｎ回の平方 操作を必要とする。 E．BRICKELL達によって提案されているＢＧＣＷ法と呼ばれる方法では、平方 乗算法の場合の乗算操作の数が減少するが、あらかじめ計算した非常に多くの定 数を記憶する必要が生じ、従って多数の記憶メモリを使用可能にしておく必要が あり、これは非常に大きな欠点である。 本発明の目的は、上記全ての欠点を克服することにある。本発明では、特にマ イクロプロセッサをベースとするチップカード型の携帯用機械によってあらゆる 暗号化システム用の暗号化アルゴリズムを実行するための方法であって、柔軟で あると同時に計算時間およびメモリ空間に関するコストが非常に低い方法が提供 される。 本発明では、２種類の方法が提案される。いずれの方法も共通原理に基づいて おり、この共通原理とは、乱数値のデータベースを作成し、これらの値を組み合 わせて２つのエンティティ間における交換に用いられる指数ｋを決定するという ものである。 本発明が提案する２種類の方法では、指数ｋの計算に必要なモジュラー乗算操 作は30未満であり、メモリー空間に関して、チップカードのようなキャリヤにと って十分許容可能である。 さらに特定するならば、本発明の目的は、変数ｒ＝ｇ^kmodp（ここで、ｐはモ ジュラスと呼ばれる素数、指数ｋは通常Ｎビットの長さを有する乱数、ｇは底と 呼ばれる整数である）の計算を利用した離散対数に基づく公開キー暗号化方法で あって、エンティティＥは、この変数が作用する他のエンティティとの信号の交 換を含む認証操作および／または署名操作を実行し、所定のエンティティについ て以下の各段階の操作を含むことを特徴とする： −決まった個数の指数と対応する累乗とを含むデータベースを作成し、 続いて信号を交換する度に： −底の指数値のランダムな一次結合を行うことにより指数を生成し、 −結合に関与する底の累乗に基づいてｇの累乗を計算する。 第１具体例では、下記のステップを行う： −ｍ個の乱数値ｘ_iと対応する変数ｚ_i（ｚ_i＝ｇ^ximodpであるような）とを含 む固定されたデータベースを作成し、 −底の値ｘ_iをランダム一次結合することによって各署名に必要な指数ｋを生 成し、 −結合に作用する値ｘ_iに対応する変数ｚ_iに基づいて変数ｇ^kmodpを計算し、 −この変数を用いて他のエンティティとの信号交換を行う。 第２具体例では、下記ステップを行う： −ｎ個のランダムな指数値とそれらの累乗とを含む可変の（open-ended）デー タベースを作成し（ｋ_i,ｇ^kimodp）、 −ｎ個の値ｋ_iのランダムな一次結合を行うことにより、署名に必要な新しい 指数ｋ_i+1を生成し、 −一次結合のｇ^kの累乗の積を得ることによって変数ｇ^ki+1modpを計算し、 −指数の底および累乗値を更新し、 −この変数を用いてもう１つのエンティティとの信号交換を行う。 以下、添付した図面を参照しながら非限定的な実施例を説明することにより、 本発明のその他の特徴および利点が明らかになろう。 図１は、本発明を実行することの可能なシステムの原理を示した図であり、 図２は、本発明に従う方法の主なステップを示した動作図であり、 図３は、第１具体例の動作図であり、 図４は、第２具体例の動作図である。 図１は、本発明の対象である暗号化方法を実行するためのシステムの原理を示 した図である。 このシステムは、少なくとも１つの他のエンティティＥ２との間で電子信号の 交換を行うためのエンティティＥ１によって構成される。２つのエンティティは それぞれ、処理ユニット（ＣＰＵ）11、30、通信インターフェース、ランダムア クセスメモリ（ＲＡＭ）13、32および／またはプログラム不可能な読み出し専用 メモリ（ＲＯＭ）14、34および／またはプログラム可能または再プログラム可能 な不揮発性メモリ（ＥＰＲＯＭまたはＥＥＰＲＯＭ）15、33、並びにアドレス、 データおよび制御バス16、35を備える。 処理制御ユニットおよび／またはＲＯＭは、本発明の方法に作用する計算ステ ップ、つまり、認証期間中あるいは電子署名の生成中あるいは２つのエンティテ ィが電子信号を交換する間に行われる計算ステップの実行に対応した、計算プロ グラムまたはリソースを含む。 処理ユニットまたはＲＯＭは、モジュラー乗算、加算および減算操作に必要な リソースを有する。 同様に、処理ユニットおよび／またはＲＯＭは、各暗号化アルゴリズムに用い られる適切な暗号化関数と、計算に必要で、１回は固定され、残りの操作の全て のためのパラメータｐおよ びｑを有する。第１具体例の指数ｘ_iまたは第２具体例によるｋ_iは、認証機関に よってあらかじめ再プログラミング可能なメモリにロードされるか、あるいは乱 数発生装置とランダムな秘密ソース値ｘ₀（またはｋ₀）とによって生成される。 各エンティティＥ１およびＥ２はさらに秘密キーｘと公開キーｙとを有する。 本発明は特に、口座上で取引が行われる際に高度のセキュリティが必要となる 銀行取引において使用される暗号化システムに利用することができる。 これはさらに、他のエンティティから送信される電子信号として送達されるメ ッセージの公文書を認証することが求められる場合にもあてはまる。 これはさらに、他のエンティティとの信号の交換中にメッセージに署名する必 要がある場合にもあてはまる。 実際には、取引を行おうとするエンティティは、例えば、チップカード等の集 積回路カードであり、その場合受信エンティティは銀行の端末になろう。 以下、本発明の方法を用いでデジタルメッセージに署名を行う方法に関して説 明を行うが、本発明が離散対数に基づく任意の暗号化システムに適用可能である ことは理解されよう。 図１は、本発明方法の主なステップを具体的に示す。本発明によれば、決まっ た個数の指数と対応する累乗値とを含むデータベースが作成され、続いて信号交 換の度に： −底の指数値をランダムに一次結合することによって指数を生成し、さらに −結合に関与する底の累乗からｇの累乗を計算する。 本発明の方法は、いずれもこのデータベースの作成（または 構築）に依存した２通りの方法を提案する。 第１具体例では、底は固定されていてｍ個の対（ｘ_i,ｚ_i）よりなる集合で構 成される。データ要素ｘ_iは、上記のように乱数または擬似乱数発生装置によっ て得られた乱数である。これらの数字の長さは指数ｋの長さであって、全てにつ いて同一（つまりＮビット）である。変数ｚ_iは下記に示す事前の計算の結果で ある： 変数ｚ₁の長さはmodulo pの長さである。 エンティティＥ１がこのデータベースＢ＝〔（ｘ₀,ｚ₀），・・・（ｘ_m-1,ｚ_{m -1} ）〕を所有している場合、エンティティＥ１は、例えば、ＤＳＡ署名（ｒ，ｓ ）を用いて、ｒ＝ｇ^kmodp（ここでｋはデータベースＢのデータ要素から生成し たもの）となるように、他のエンティティと信号を交換する。 つまり本発明によれば、エンティティは必要な場合に指数ｋを生成するが、底 の値ｘ_iのランダム一次結合を達成することによってこの生成を行う。エンティ ティはその後、対応する変数ｇ^kmodpを計算する。 指数ｋを生成するには、エンティティは以下のように処理する： −エンティティは、０≦ａ_i≦ｈを満足するランダムな整数であってそのうち ｗ個の値のみが０でない値ａ_iの数列：（ａ₀,・・・,ａ_m-1）を生成し、 −エンティティは下記を満足するｋを生成し： −エンティティは続いて、一次結合に関与するｘ_iに対する 値ｚ_iによって与えられるｇの累乗を乗算することにより、変数ｇ^kmodpを計算す る。実際には、一次結合に関与する値ｘ_iはその係数ａ_iがゼロでない。 BRICKELL達のアルゴリズムは、この計算を行うために用いられるが、乗算の数 は以後、（ｈ／ｈ＋１）ｍ＋ｈ−２ではなく（ｈ／ｈ＋１）ｗ＋ｈ−２である。 数ｗは、必要なセキュリティに対して固定されており、ｍおよびｈの値につい て以下の結果を導く： ｍ＝32、ｗ＝24およびｈ＝８ ｍ＝64、ｗ＝20およびｈ＝６ これらの値は例として挙げたもので、安全上の制約が満たされていることを条 件に各種の組み合わせを行うことが可能である。 ｍ＝64でｗ＝20とすれば、本発明において必要な乗算操作の数は34であり、BR ICKELLの方法等の方法では60回の乗算操作を行わなければならない。 従ってｍ＝32については、場合に応じて512〜1024ビットを与えるサイズがmod ulo pである32個の数字と、160ビット（Ｎ＝160）である32個の数字とが記憶さ れる。 ｍ個の対（ｘ_i,ｚ_i）は、エンティティがカードであればＥＥＰＲＯＭに記憶 され、これは通常のスクリーニング法等によって保護された状態で行われよう。 本発明によって提案される第２の方法は、指数ｋ_iのｎ個の乱数値、ｉ＝１か らｎおよびそれらの累乗ｇ^kimodpより可変のデータベースを作成するというもの である。 指数ｋ_i+1の最初の新しい値は、底の指数のランダム一次結 が計算される。この新規の対が、最初の対の代わりとしてデータベースに導入さ れる。 署名に必要な指数ｋは、底のその他全ての指数を一次結合することによって得 られ、底の内容は新しく指数が生成する度に変更される。 つまり、最後に得られたペアで最初のペアを置き換えることによって底が更新 される。 従って、ある瞬間ｔにおいて、底は下記状態を有する： その後、ｋ_t+1が計算されて、底が更新され、下記のようになる： 擬似乱数列であるｋの新しい値が計算される度にこのプロセスが繰り返される 。 底の指数はそれぞれ、下記関係式で表される一次結合である： ここで、係数ａ_iはランダムな正の整数である。 乱数は、決まった数列ａ₀,・・・．ａ_h-1に対してランダムな入替えを行うこ とによって得られる。 つまり、指数ｋ_t+1の生成は、下記関係式で表すことができる： ｋ_t+1＝ｌ_t〔ｋ_(t+i-(h-1)，・・・，ｋ_t〕 ｌ_tはＬ個の汎関数の中からランダムに選択される整数係数を有する一次汎関 数である。 係数ａ_iは２の小さい累乗である。１〜２^fの間で取った値が選択され、この場 合ｆは効果的な実行を可能にするような大きさを有する。例えばSchnorrのアル ゴリズムによって提案される値との一致を保つために、ｆ＝７が選択されよう。 従って数列０，・・・，ａ_h-1は、級数（１，２，・・・，２⁷）のランダムな入 替えと解釈される。 一次結合の係数は、攻撃を防いで且つｋ_tの値を均一に分散した独立な状態（ ｈ−１）に保つために閾値ｂよりも小さくなければならない。 ｈとＬ＝ｂ^hを取れば、ｈ＝８およびｂ＝４の値が示唆され、Ｌ＝｛１，・・ ・，ｂ｝^hが固定される。 数ｋのサイズは一般に160ビットである。この場合、本発明方法に関与するモ ジュラー乗算の数は、現在の状況において一般に見られる乗算の数に比べてはる かに少ない。実際、選択した値について、乗算の数は30未満である。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ステルン，ジャック フランス国 75013 パリ リュ ヴァン ドレザンヌ 16 (72)発明者 ヴォードネー，セルジュ フランス国 75004 パリ リュ グリヨ ン ９ 【要約の続き】

Claims (1)

1. 【特許請求の範囲】 １． 離散対数に基づく公開キー暗号化方法であって、変数ｒ＝ｇ^kmodp（ここ で、ｐはモジュラスと呼ばれる素数、指数ｋは通常Ｎビットの長さを有する乱数 、ｇは底と呼ばれる整数である）の計算を利用し、エンティティＥが、この変数 が作用する他のエンティティとの信号の交換を含む認証操作および／または署名 操作を実行するもので、所定のエンティティについて以下の各段階の操作を含み 、： −決まった個数の指数と対応する累乗とを含むデータベースを作成し、続いて 信号の交換の度に、 −底の指数値のランダムな一次結合を行うことにより指数を生成し、 −結合に関与する底の累乗に基づいてｇの累乗を計算し、 上記段階が： −ｍ個の乱数値ｘ_iと、それに対応するｚ_i＝ｇ^ximodpである変数ｚ_iとを含む 固定されたデータベースを作成し、 −底の値ｘ_iをランダム一次結合することによって各署名に必要な指数ｋを生 成し、 −結合に作用する値ｘ_iに対応する変数ｚ_iに基づいて変数ｇ^kmodpを計算し、 −この変数を用いてもう１つのエンティティとの信号交換を行い、 さらに上記変数ｋの生成が以下の段階を含むことを特徴とする方法： −指数ｋが、ｋ＝Σ ａ_iｘ_iであってａ_iのｍ個の値のうちｗ個がゼロでなく、 ゼロでない値のａ_iの選択がランダムに 行われる指数ｋを生成し、 −ｋの一次結合に関与する値ｘ_iに対応した値ｚ_iを用いて変数ｇ^kmodpを計算 する。 ２． 請求項１に記載の公開キー暗号化方法であって、エンティティ内にデータ ベースを作成するために、以下の段階の処理が行われることを特徴とする方法： −擬似乱数発生装置および秘密の初期値ｘ_oを用いてＮビットの乱数値ｘ_iをｍ 個生成し、 −値ｘ_iを分解可能な一次結合に関与するｇmodulo pの累乗の積を得ることに よって変数ｚ_i＝ｇ^ximodpを計算し、 −エンティティの不揮発性メモリにｍ個のデータ対（ｘ_i，ｚ_i）を保存する。 ３． 請求項１に記載の公開キー暗号化方法であって、以下の段階を行うことを 特徴とする方法： −ｎ個のランダムな指数値とそれらの累乗とを含む可変のデータベースを作成 し（ｋ_i,ｇ^kimodp）、 −底のｎ個の値ｋ_iのランダムな一次結合を行うことにより、署名に必要な新 しい指数ｋ_i+1を生成し、 −一次結合に関与するｇの累乗の積を得ることによって変数ｇ^ki+1modpを計算 し、 −１つのデータ対をこの新しいデータ対で置き換えることによって底を更新し 、 −この変数を用いてもう１つのエンティティとの信号交換を行う。 ４． 請求項３に記載の暗号化方法であって、底の指数ｋ_tについて、この指数 が一次結合： で表され、係数ａ_iはランダムな正の整数であることを特徴とする暗号化方法。 ５． 請求項３に記載の暗号化方法であって、係数ａ_i（ｉ＝０〜ｈ−１）が、 決まった数列のランダムな入替えを行うことによって得られることを特徴とする 方法。 ６． 請求項５に記載の暗号化方法であって、新規な指数ｋ_t+1が、以下の関係 式： ｋ_t+1＝ｌ_t（ｋ_t+i-(h-1),・・・，ｋ_t） で表される別の指数の一次結合であり、その際ｌ_tが一次汎関数であることを特 徴とする方法。 ７． マイクロプロセッサーカードに利用されることを特徴とする請求項１〜６ のいずれか一項に記載の暗号化方法。