JPH10505439A - 非対称暗号通信方法、および関連の携帯物体 - Google Patents

Abstract

(57)【要約】 本発明は、ｎおよびｍを２以上の整数とする時、環（Ａ）のｎ個の要素（ｘ₁，．．．．，ｘ_n）で表わされる第一の値（ｘ）と、該環のｍ個の要素（ｙ₁，．．．．，ｙ_m）で表わされる第二の値（ｙ）との間に対応関係を確立する非対称形暗号通信方法に関する。本発明によれば、前記対応関係は、（ｚ₁，．．．．．，ｚ_k）が可能な中間変数でありｋが整数である時に、Ｐ_i（ｘ₁，．．．．，ｘ_n；ｙ₁，．．．．，ｙ_m；ｚ₁，．．．．．，ｚ_k）＝０であるような等式が存在するような、トータル次数の低いＡ^n+m+k→Ａの多変数公開多項式（Ｐ_i）によって定義され、少なくとも多項式（Ｐ_i）の大部分は、Ｓ_iがトータル次数が２の多項式であってＴ_iがトータル次数が１の多項式である時に、Ｔ_i（ｙ₁，．．．．，ｙ_m）＝Ｓ_i（ｘ₁，．．．．，ｘ_n）の形態を有さない。本発明は、関連の形態物体にも関する。

Description

【発明の詳細な説明】 非対称暗号通信方法、および関連の携帯物体 １序文 本発明は、メッセージを処理し、対話者間の通信を保護するための非対称暗号 通信方法に関する。この方法は、メッセージを非対称的に数値化するのに、ある いはメッセージに非対称的に署名するのに用いることができる。またこの方法は 、非対称認証においても使用することができる。 この方法は、「ドラゴン」および「チェーン」と呼ばれる、新しい二つのアル ゴリズムファミリーを使用する。また、これらのファミリーは組み合わせること もできる。 これら新しいアルゴリズムがとくに有利である理由は、その構成要素のうちの いくつかが、 １．低出力チップカード内で簡単に使用できること、 ２．「TRAPDOOR ONE WAY」全単写（bijection）、すなわち公開キー暗号化関 数であるること、 ３．さらに、非常に短い変数（たとえば６４または１２８ビット）上の全単写 であることである。 これら「ドラゴン」および「チェーン」アルゴリズムは、１ ９８８年にマツモト・ツトムおよびイマイ・ヒデキ，″Public quadratic poly nominal-tuples for efficient signature-verification and message-enc ryption″， Advances In Cryptology，Eurocrypt'88(Christoph G．Gunther ed)，Lecture Notes in Computer Science，vol 330，Springer-Verlag，1988， pp．419-453）が発明したアルゴリズムの綿密かつ効果的な「修理」と見ること ができる。該アルゴリズムは１９９５年、Jacques PATARIN によって解かれた。 （攻撃は会議 CRYPTO'95Springer-Verlag，pp 248-261に発表）。 そのため本発明は、ｎおよびｍを２以上の整数とする時、環（Ａ）のｎ個の要 素（ｘ₁，．．．．，ｘ_n）で表わされる第一の値（ｘ）と、この環のｍ個の要素 （ｙ₁，．．．．，ｙ_m）で表わされる第二の値（ｙ）との間に対応関係を確立す る非対称暗号通信方法であって、 − 前記対応関係が、（ｚ₁，．．．．，ｚ_k）が中間変数であり得、ｋが整数 である、Ｐ_i（ｘ₁，．．．．，ｘ_n；ｙ₁，．．．．，ｙ_m；ｚ₁，．．．．，ｚ_k ）＝０型の等式をもつような、トータル次数の低い、Ａ^n+m+k→Ａの多変数公開 多項式（Ｐ_i）によって定義され、 − 多項式（Ｐ_i）の少なくとも大部分がＴ_i（ｙ₁，．．．．，ｙ_m）＝Ｓ_i（ ｘ₁，．．．．，ｘ_n）の形態ではなく、Ｓ_iがトータル次数２の多項式であって Ｔ_iがトータル次数１の多項式であることを特徴とする方法に関する。 本発明は、関連する携帯物体、とくに多変数公開多項式（Ｐ_i）を格納しない 携帯物体にも関する。 本発明の方法により変換すべき「値ｘ」という概念は、メッセージ（たとえば 、暗号化処理の実行の際の）を指すが、より一般的には、実行すべき照合の大き さ（たとえば署名の確認または認証処理の実行の際の）を指す。 以下に述べる「低次数」という概念は、６以下、好ましくは４以下であると同 時に２以上である次数として理解されたい。 本発明の他の詳細および利点は、添付の図面を参照して行ういくつかの実施形 態についての以下の説明において明らかになろう。 第１図は、暗号化において使用する本発明の方法の第一変形形態による、メッ セージを処理するために使用する変換の連鎖を示す略図である。 第２図は、本発明による暗号通信方法を使用する暗号化／解 読システムの例を示す図である。２．「ドラゴン」アルゴリズム ２．１．「ドラゴン」の基本概念 本発明に基くアルゴリズムの第１ファミリーを「ドラゴン」とする。以下に、 「ドラゴン」および「マツモト−イマイ」の二つのアルゴリズムファミリーの違 いとなる基本概念について説明する。次に、続く文中で「ドラゴン」の非常に有 利ないくつかの例を見ることにする。最後に、本発明に基く、「チェーン」と呼 ばれる別のアルゴリズムファミリーについて記述する。マツモト−イマイの場合 公開形式は、有限体Ｋについてのｎ個の多変数多項式の形態をとり、以下の形 態の複数の基本値ｘ₁，．．．．，ｘ_nから成る値ｘの関数として、複数の基本像 値ｙ₁，．．．．，ｙ_nからなる像値ｙを与える。 ｙ₁＝Ｐ₁（ｘ₁，．．．，ｘ_n） ｙ₂＝Ｐ₂（ｘ₁，．．．，ｘ_n） ． ． ． ． ． ． ｙ_n＝Ｐ_n（ｘ₁，．．．，ｘ_n） ここでＰ₁、Ｐ₂，．．．Ｐ_nはＫ［ｘ₁，．．．．，ｘ_n］の多項式、すなわち Ｋⁿ→Ｋの多項式であり、これらの多項式のトータル次数は２である。ドラゴンの場合 公開形式は、体Ｋ（または環）についてのλ個の多変数多項式を形態をとり、 Ｋの変数ｙ₁，ｙ₂，．．．，ｙ_mおよびｘ₁，ｘ₂，．．．，ｘ_nは以下の形態とな る。 Ｐ₁（ｘ₁,ｘ₂,...,ｘ_n,ｙ₁,ｙ₂,...,ｙ_m）＝０ Ｐ₂（ｘ₁,ｘ₂,...,ｘ_n,ｙ₁,ｙ₂,...,ｙ_m）＝０ ． ． ． ． ． ． Ｐ_λ（ｘ₁,ｘ₂,...,ｘ_n,ｙ₁,ｙ₂,...,ｙ_m）＝０ ここでＰ₁，Ｐ₂，．．．．Ｐ_λは、トータル次数の低い次数（たとえば２）の Ｋⁿ×Ｋ^m→Ｋの多項式である。 したがってドラゴンとマツモト−イマイのアルゴリズムとの間の基本的な違い は、公開形式においては変数ｘ_iおよびｙ_jが「混合」されていることである。２．２．第一例：「小ドラゴン」 ここでまず、かなり単純な第一例「ドラゴンアルゴリズム」を示す。この例は ドラゴンアルゴリズムの概念をよく表わしているが、このアルゴリズムは、著者 が論文「Asymmetric Cryptography with a Hidden Monomial」(LNCS 1109，Cryp to'96，Springer，pages 45-60)で示したように暗号通信にはあまり安全ではな い。次に、２．３、２．４、２．５、２．６項で他のドラゴンアルゴリズムの例 を述べることにする。これらについては、現在のところ、全体的攻撃は知られて いない。 この場合、λ＝ｍ＝ｎであり、Ｋは小有限体（たとえばＫ＝Ｆ₂、二要素体） である。Ｋの要素数は、ｑ＝ＩＫＩで表される。 ｘ＝（ｘ₁，．．．．，ｘ_n）が、暗号化されていないメッセージによる、この 例の値であり、ｙ＝（ｙ₁，．．．．，ｙ_n）が、対応の暗号化されたメッセージ である場合、ｘ₁，．．．．，ｘ_nからｙ₁，．．．．，ｙ_nへの移行は、第１図に 示すようにして計算することができる。 １） ｘ＝（ｘ₁，．．．，ｘ_n）に対し、秘密アファイン全単射第一変換ｓを適 用して、像ａ＝ｓ（ｘ）＝（ａ₁，．．．， ａ_n）を得る。 ２） （ａ）に、公開または秘密の変換ｆを適用し、像ｂ＝ｆ −１が、ｑⁿ−１に対して素であるような公開のまたは秘密の整数であり、ｑⁿ個 の要素の体（通常、Ｆ_qｎと記す）の代表（representive）内でｈ乗するための ものである。 ３） ｂに対し、ｙ＝ｔ（ｂ）などの秘密全単射アファイン第二変換ｔを適用す ることにより、ｂ＝（ｂ₁，．．．，ｂ_n）をｙ＝（ｙ₁，．．．，ｙ_n）に変換す る。 これらの演算は反転可能であるため、秘密事項ｔおよびｓがわかっていれば（ ｙ₁，．．．，ｙ_n）から（ｘ₁，．．．，ｘ_n）を計算することができる。たとえ ばｂ＝ａ^hはａ＝ｂ^h'に反転される。ここでｈ’はｈ．ｈ’＝１モジューロｑⁿ− １であり、（．）は乗算の記号であるような整数である。 と結論することができ、従って、ａ＝（ａ₁，．．．．，ａ_n）およびｂ＝（ｂ₁ ，．．．，ｂ_n）の基底においては、以下の形態のｎ個の等式が存在する。 したがって、ｙ_iの関数としてｂ_iを表わし、ｘ_iの関数としてａ_iを表わすこと により、以下の形態のｎ個の等式が存在することがわかる。 すなわち、以下の形態のｎ個の等式である。 Ｐ_i（ｘ₁，．．．，ｘ_n、ｙ₁，．．．，ｙ_n）＝０、ｉ＝１．．．ｎ、ここで Ｐ_iはトータル次数が２である、Ｋ²ⁿ→Ｋの多項式である。 これらｎ個の等式Ｐ_iは公開され、公開キーとなる。 事実、これらの等式により、誰でもメッセージを暗号化すること、すなわち、 秘密の情報を知らなくても、以下のようにｘ₁，．．．，ｘ_nからｙ₁，．．．． ，ｙ_nを求めることができる。ｘ₁，．．．，ｘ_nをそれぞれの値に置き換え、こ れらの値を等式（２）に代入することにより、ｙ_iにおいて次数１のｎ個の等式 が得られる。 ガウスの約分により、これらｎ個の等式の全ての解が簡単に得られる。ａ≠０ の場合には（例外的なｘの場合を除き通常は れる。したがってガウスの約分後は一つの解のみが得られる。 これが、送信すべき暗号化メッセージ（ｙ₁，．．．，ｙ_n）である。署名における小ドラゴン 署名においては小ドラゴンのアルゴリズムは簡単に使用することができる。た とえばｙ₁，．．．，ｙ_nが、署名すべきメッセージであるか、もしくは署名すべ きメッセージの「ハッシュ」（すなわち、メッセージに適用されるハッシング関 数の結果）であるか、もしくは署名すべきメッセージの公開関数である場合には 、ｘ₁，．．．，ｘ_nは署名となる。 また、 ∀ｉ，１≦ｉ≦ｎ， Ｐ_i（ｘ₁,...,ｘ_n，ｙ₁,...,ｙ_n）＝０ を検証すること、 すなわち、公開等式（２）がすべて満たされていることを確認することにより、 署名を検証する。２．３．「単項式」変換をともなう、より一般的なドラゴンの例 この例では、λ＝ｍ＝ｎであり、Ｋは小有限体（たとえばＫ＝Ｆ₂、二要素体 ）である。Ｋの要素数はｑ＝ＩＫＩで表される。 ｘ＝（ｘ₁，．．．，ｘ_n）が、この例における、暗号化され ないメッセージの値であり、ｙ＝（ｙ₁，．．．，ｙ_n）が、対応する暗号化メッ セージである場合、秘密の情報を用いて、ｘ₁，．．．，ｘ_nからｙ₁，．．．， ｙ_nへの移行を計算することができる（秘密の情報を用いずにｘからｙを求める 方法については後述する）。 １） ｘ＝（ｘ₁，．．．，ｘ_n）に対し、秘密全単射アファイン第一変換ｓを適 用して、像ａ＝ｓ（ｘ）＝（ａ₁，．．．，ａ_n）を得る。 ２） （ａ）に、公開または秘密の変換ｆを適用し、 ａ＾(ｑ^θ＋ｑ^φ)．Ｍ(ｂ)＝ａ＾(ｑ^ζ＋ｑ^ξ)．Ｎ(ｂ) （１） であるような像ｂ＝ｆ（ａ）を得る。ここでθおよびφ、ならびにζおよびξは 、ｈ＝ｑ^θ＋ｑ^φ−ｑ^ζ−ｑ^ξか、ｑⁿ−１に対して素であるような整数であっ て、ｑⁿ個の要素の体（通常、Ｆ_qｎと記す）の代表で累乗するためのものであり 、更に、ＭおよびＮは公開のまたは秘密のアファイン関数である（ｍおよびｎは 先験的には秘密であるが、公開である場合には、攻撃を避けるために慎重に選択 しなければならない）。記号（＾）は累乗関数を表す。 どのようにしてａからｂを求めるかに関し、下記において、一 般的な方法により算出が可能であることがわかるが、いくつかの特別な関数Ｍお よびＮについては、一般的な方法より効果的な方法があるので、これについて述 べる。 等式（１）を、ａおよびｂの成分（ａ₁，．．．，ａ_n）（ｂ₁，．．．，ｂ_n） として書くと（Ｆ_qｎの基底においてはｃ．からｄ．まで）、以下の形態のｎ個 の等式が得られる。 ここで、γ_ijkおよびμ_ijはＫの係数である。これは、ｘとｘ＾（ｑ^θ）とを 結び付け、ｘとｘ＾（ｑ^φ）とを結び付ける関数がＦ_qｎの線形関数であること による。したがって、ｘとｘ＾（ｑ^θ＋ｑ^φ）とを結び付け、ｘとｘ＾（ｑ^ζ＋ ｑ^ξ）とを結び付ける関数は、トータル次数２の多項式によって基底内に与えら れる。 ａが求められると、ｎ個の等式（２）から、値ｂ_iの次数１のｎ個の等式が得 られる。したがってガウスの約分により、これらの等式の解を簡単に見つけるこ とができる。Ｍ（ｂ）≠０またはＮ（ｂ）≠０など、少なくとも一つのｂの解を 見つけたと仮定する。複数の解が見つかった場合には、ｂについての解のうちの 一つを任意に選択する。 ３） ｂに対し、ｙ＝ｔ（ｂ）などの秘密全単射アファイン第二変換ｔを適用す ることにより、ｂ＝（ｂ₁，．．．，ｂ_n）をｙ＝（ｙ₁，．．．，ｙ_n）に変換す る。 これらの演算は全て反転可能であるため、秘密情報ｔおよびｓがわかっていれ ば（ｙ₁，．．．，ｙ_n）から（ｘ₁，．．．，ｘ_n）を計算することができる。た とえばＭ（ｂ）≠０であれば、ａ＝（Ｎ（ｂ）／Ｍ（ｂ））^h'によりｂからａが 求められる。ここでｈ’は ｈ＝ｑ^θ＋ｑ^φ−ｑ^ζ−ｑ^ξモジューロ ｑⁿ−１ の逆関数である。 （ｘ₁，．．．，ｘ_n）からの（ｙ₁，．．．，ｙ_n）の公開計算： 等式（２）は、以下の形態のｎ個の等式の系に変換される。 すなわち、ｎ個の等式Ｐ_i（ｘ₁，．．．，ｘ_n、ｙ₁，．．．，ｙ_n）＝０、ｉ ＝１．．．ｎである。ここでＰ_iは、トータル次数が３のＫ²ⁿからＫの多項式で ある。 これらｎ個の等式（３）は公開され、公開キーとなる。 これらの等式（３）とガウスの約分により、秘密の情報を用 いることなく、（ｘ₁，．．．，ｘ_n）から（ｙ₁，．．．，ｙ_n）の全ての解を求 めることができる。 以下の二つの段階により、ｎ個の等式（２）からｎ個の等式（３）が求められ る。 段階１： 変数ｙ_iにおける変数ｂ_iをそのアファイン式に置き換え、変数ｘ_j における変数ａ_iをそのアファイン式に置き換える。 段階２： 秘密の全単射アファイン変換をこれらの等式に適用する。２．４．ｍ≠ｎの署名における例 ｍ≠ｎの署名において使用可能な例について説明する。 ｙ＝（ｙ₁，ｙ₂，．．，ｙ_m）を、署名すべきメッセージのハッシュ（または 署名すべきメッセージ）とする。 Ｑ₁，．．．，Ｑ_nおよびＱ'₁，．．．，Ｑ'_nを、２ｎ個のＫⁿ→Ｋのトータル 次数２の秘密多変数多項式であるとする。 ｂ＝ｔ^-1（ｙ）であるとする。ここでｔはＫ^m→Ｋ^m；ｂ＝（ｂ₁，ｂ₂，．．， ｂ_m）の秘密アファイン全単写である。 Ｂを、以下の成分を有するＫⁿの要素とする。 Ｂ＝（Ｑ₁(ｂ₁,ｂ₂,....,ｂ_m),Ｑ₂(ｂ₁,ｂ₂,....,ｂ_m),....， Ｑ_n(ｂ₁,ｂ₂,....,ｂ_m)） Ｂ’を、以下の成分を有するＫⁿの要素とする。 Ｂ'＝（Ｑ'₁(ｂ₁,ｂ₂,....,ｂ_m),Ｑ'₂(ｂ₁,ｂ₂,....,ｂ_n),....,Ｑ'_n(ｂ₁,ｂ₂,. ..,ｂ_m)） ＢおよびＢ’は、（基底において）体Ｆ_qｎの二つの要素を示すものとみなす ことができる。 この体の中において、ａが、以下のような要素であるとする。 ａは基底内でａ＝（ａ₁，．．．，ａ_n）によって表される。 最後にｘ＝ｓ（ａ）とする。ここでｓは、基底内のＫⁿ→Ｋⁿ．ｘ＝（ｘ₁，． ．．．，ｘ_n）の秘密アファイン全単写である。 等式（３）を基底内に書き込み、諸等式を変数ｘ_iおよびｙ_jに書き込むことに より、変数ｘ₁，．．．，ｘ_n，ｙ₁，．．．，ｙ_mにおいてトータル次数が４のｎ 個の等式が得られる。 これらｎ個の等式は公開され、これらｎ個の等式が検証されさえすれば、（ｘ₁ ，．．．，ｘ_n）は（ｙ₁，．．．，ｙ_m）の有効な署名となる。 秘密情報を有する署名を求めるには、ｂを計算し、次にＢおよびＢ'を計算し 、次に(３)からａを計算し、最後にｘ＝ｓ(ａ) からｘを求めるだけでよい。２．５．「非単項多項」変換をともなうより一般的なドラゴンの例 上述の概念を用いることにする。暗号化においてはｘは常に通常文のメッセー ジを示し、ｙは暗号化されたメッセージを示す（署名では、ｘは署名であり、ｙ は署名すべきメッセージの公開変換であり、たとえばｙはハッシュ（Ｍ）である 。ここでハッシュはハッシング関数である）。 同じく、ａ＝ｓ（ｘ）を秘密アファイン全単写ｓによるｘの変換とし、ｂを秘 密アファイン変換（ｙ＝ｔ（ｂ））によるｙの変換とする。ａはｑⁿ個の要素の 体Ｋ₁（Ｋ１＝Ｆ_qｎ）とみなされ、ｂはｑ^m個の要素の体Ｋ₂（Ｋ２＝Ｆ_qｍ）と みなされる。 次に、ａからｂへの移行が上述の場合より若干一般的な例について説明する。 ｋおよびｋ’を二つの整数とし、Ｎ_iを１≦ｉ≦ｋとし、Ｎ’_iをＫ₂からＫ₁へ の秘密アファイン関数１≦ｉ≦ｋ’とする（「アファイン」とは前記と同様、Ｋ₂ およびＫ₁がｑ個の要素の体Ｋ上のベクトル空間とみなされる時、アファインと なるこ とを意味する）。また、記号≦は「以下」を意味する。 最後に、Ｋ₁のあらゆる要素ａ、およびＫ₂のあらゆる要素ｂについて、 とするが、ここで第一の合計Σにおいては、指数ｉは１からｋまで変化し、第二 の合計Σにおいては、指数ｉは１からｋ’まで変化する。 ｄをこの多項式のａにおける次数とする。ｄが大き過ぎない（たとえばｄ≦８ ０００）時、等式ｆ（ａ、ｂ）＝０の等式の解を見つけるためのアルゴリズムは わかっている。さらに、トータル次数が３（変数ａ_iにおいてはトータル次数が ２、変数ｂ_jにおいてはトータル次数が１）の多項式の形態の基底内で表すため に、ｆ（ａ、ｂ）を設定した。前記と同様、変数ｘ_jにおいて変数ａ_iをそのアフ ァイン式に置き換え、変数ｙ_iにおいて変数ｂ_iをそのアファイン式に置き換える ことにより、これらの等式を書き込む。次に、得られた等式系上で秘密アファイ ン全単射変換ｕを行い、その結果、システムが得られ公開される。これが公開キ ーである。したがってこの公開キーは、トータル次数が３（変数ｘ_iにおいては トータル次数が２、変数 ｙ_iにおいてはトータル次数が１）の等式から成る。ガウス約分により、これら の公開等式から、所与のｘに対応する解ｙ_iを求めることができる。一方、逆の 演算（ｙからｘを求める）場合には、秘密の情報を知っておく必要がある。２．６．「不完全ドラゴン」 暗号化において示した「ドラゴン」アルゴリズムの例の全てにおいて、メッセ ージｘに冗長性を導入すると、冗長性のアルゴリズムは公開されており、公開等 式であった等式を全て公開しなくてもよくなる。すなわち、それらのうちの僅か なものを秘密にしておくことができる。事実、これによりアルゴズムの安定性が 強化される。公開冗長性により正しいｘの値が見つけられる。 同様に署名においても、公開等式と呼ばれる等式を全て公開しなくてもよくな り、したがって署名の検証を行う際の等式の数が少なくなる。 他にも多くの「ドラゴン」アルゴリズムの他の例を想定することができる。た だし、変形形態によっては暗号通信上脆弱なものもあることに注意しなければな らない。すなわち、「Asymmetric Cryptography with a Hidden Monomial」(LNCS 1109， Crypto'96，Springer，pages 45-60)では、著者はいくつかの脆弱な変形形態に ついてある批判を行っている。３．「チェーン」アルゴリズム ３．１．「チェーン」の基本概念 マツモト−イマイと比較した場合の「チェーン」の基本概念は、中間変数ｚ_i 、１≦ｉ≦ｋを導入すること、すなわち、（ｘ_iが、暗号化すべきメッセージを 示し、ｙ_iが、暗号化により暗号化されたメッセージを示すか、または、ｘ_iが、 署名におけるｙ_iの署名を示す）通常の変数ｘ_iおよびｙ_iだけでなく、中間変数 ｚ_iにも依存する公開多項式Ｐ_iをもつことである。３．２．−第一例：「小チェーン」 始めに、かなり単純ないくつかの「チェーンアルゴリズム」の例を示す。この 例はチェーンアルゴリズムの概念をよく表わしているが、残念ながらこのアルゴ リズムは暗号通信にはあまり安全ではない。事実、論文「Asymmetric Cryptogra phy with a Hidden Monomial」（LNCS 1109，Crypto'96，Springer，pages 45-6 0）の攻撃のいくつかをこれらの例に一般化することが可能である。次に、３． ５項で他のチェーンアルゴリズムの例を述べることにする。これらについは今回 は全体的な攻撃は知られ ていない。 たとえばａ、ｂ、ｃ、ｄをｑⁿ個の要素を有する体の四つの要素とし、四つの 整数を以下のようにθ、φ、α、βとする。 したがってｂ＝ａ^hであり、ここでｈ＝ｑ^α＋ｑ^α＋θ＋ｑ^β＋ｑ^β＋φであ る。θ、φ、αおよびβは、ｑⁿ−１に対しｈが素となるよう選択される。 次にｘ＝ｓ（ａ）かつｙ＝ｔ（ｂ）であると仮定する。ここでｓおよびｔは、 秘密のアファイン全単射関数である。また、ｚ＝ｕ（ｃ）かつｚ’＝ｖ（ｄ）で あるとする。ここでｕおよびｖは秘密のアファイン関数である。 （１）から、以下の形態のｎ個の関係が存在すると結論される。 同様に（２）から、以下の形態のｎ個の関係が存在すると結論される。 同様に（３）から、以下の形態のｎ個の関係が存在すると結論される。 次に、３ｘｎ個の等式（１’）、（２’）および（３’）が公開されていると 仮定する。したがってｘが暗号化すべきメッセージである場合、（１’）からｚ_i が得られ、（２’）からｚ’_iが得られ、（３’）からｙ_iが得られる。したが って、ｘおよび公開多項式から暗号化されたｙを求めることが可能である。 反対にｙは既知であるがｘが未知である場合、ｙからｘに遡ることは常に可能 であるわけではないと考えられる。事実、（３’）からは、２×ｎ個の変数ｚ_i およびｚ’_iについての等式にしか遡ることができず、したがってｚ_iおよびｚ’_i は未知のままである。 反対に、秘密キーｓおよびｔが既知である場合には、ｙからｂ＝ｔ^-1（ｙ）を 求めることができ、ｈ’をｈモジューロｑⁿ−１の逆数とすると、ａ＝ｂ^h'を求 めることができ、最後にｘ＝ｓ（ａ）を求めることができる。したがって秘密キ ーを使用することにより、メッセージを解読することができる。３．３．第二の例：ドラゴンとの小チェーン 前出の項と同じ概念を用いることにするが、以下のように仮定する。 ここで、θ、φ、θ’、φ’、α、βおよびγは整数である。したがって、同 様にして、特定のμについてｂ＝ａ^μであり、μがｑⁿ−１に対し素になるよう にθ、φ、α、θ’、φ’、α、βおよびγを選択する。アルゴリズムは全く同 じようにして機能するが、今回の場合は公開等式（１’）は以下の形態となる。 また、公開等式（２’）は以下の形態となる。 ｘが暗号化すべきメッセージである場合、ガウスの約分により（１’）からｚ_i を得ることができ、ガウスの約分により（２’）からｚ'_iを得ることができ、 （３’）からｙ_iを得ることができる。３．４．署名におけるチェーンの使用 暗号化において示した項目３．２、３．３の例は署名においても使用可能であ る。その場合、ｘはｙに結合された署名を示し、署名の検証は、（１’）、（２ ’）および（３’）を満たす変数ｚ_iおよびｚ'_iが存在することを確認すること にある。３．５．より一般的なチェーン 公開キーに関しては、項目３．２、３．３の例において、ｘから中間変数ｚお よびｚ’を得、次にｚおよびｚ’から、ｙを得た。さらに長いチェーンを想定す ることが可能である。 たとえば、ｘ_iから変数ｚ_iを得ることができる。次に、変数ｘ_iおよびｚ_iから 、変数ｚ'_iを得ることができる。次に、変数ｘ_i、ｚ_iおよびｚ'_iから、変数ｚ″_i が得られる。最後に、変数ｘ_i，ｚ_i，ｚ'_iおよびｚ″_i，．．．，から、ｙが得 られる。 次に、攻撃の知られていない、より一般的なチェーンの例を示すことにする。 表記法 ｘは通常文である。 ｙは暗号化されたものである。 ｓおよびｔは二つの機密アファイン関数である。 ｂ＝ｔ（ｙ） ａ＝ｓ（ｘ） ｋは整数である（これはチェーンのリンク数となる）。 ａ，ｂ，Ｌ₁，Ｌ₂，．．．Ｌ_k，Ｍ₁，Ｍ₂，．．．Ｍ_kはＦ₂ ⁿの要素であり、 ｓ_i，．．．ｓ_k、ｔ_i，．．．ｔ_kは機密アファイン全単写２ｋであり、 １≦ｉ≦ｋのような指数ｉについて、ｌ_i＝ｓ_i（Ｌ_i）が得られ、 また、ｍ_i＝ｔ_i（Ｍ_i）が得られる。 注記 ｘ、ｙ、ｌ₁，．．．ｌ_k、ｍ₁，．．．ｍ_kは公開等式内に入る値であり、ａ、ｂ 、Ｌ₁、Ｌ₂，．．．Ｌ_k、Ｍ₁，．．．，Ｍ_kは、秘密情報によりアクセス可能な 値である。 １≦ｊ≦ｋであるねあらゆる指数ｉについて、Ｌ_i＝ａ^h _iおよびＭ_i＝ａ^h' _iの ような二つのべき指数ｈ_iおよびｈ'_iが存在し（ｈ_iおよびｈ'_iについては後に詳 しく説明する）、ｂ＝ａ^hのようなべき指数ｈ_iおよびｈ'_iが存在する。 したがってこの例では、秘密キーの計算は簡単である。 １． ｂ＝ｔ（ｙ）を求める。 ２． ｈｈ’＝１モジューロ２ｎ−１の時、ａ＝ｂ^h'を求める。 ３． 最後にｘ＝ｓ^-1（ａ）を求める。 次に、公開された等式とは何であるかについて説明する。 公開等式には二つの種類がある。すなわち「リンク」型の等式があり（これは ２ｋ．ｎ個ある）、「リンク」型の等式により、ｘからｌ₁、ｘからｍ、ｌ_iから ｌ_i+1、あるいはｍ_iからｍ_i+1へ移行することが可能である。また、（ｌ_k、ｍ_k ）からｙに移行することができるｎ個の最終的公開等式がある。 「リンク」型の等式 ｘからｌ₁に移行する方法を例として取り上げることにする。実際、他の「リ ンク」、すなわち１≦ｉ≦ｋ−１である場合、ｌ₁からｌ_i+1、ｘからｍ₁、ある いはｍ₁からｍ_i+1へ移行する場合も同じである。 四つの秘密の整数がありこれをα、β、γ、δとすると、以下のようになる。 ａ^{2^ α}．Ｌ₁ ^{2^ β}＝ａ^{2^ γ}．Ｌ₁ ^{2^ δ} （Ｃ１） さらに、以下のようになるようなα、β、γ、δを選択する。 ＰＧＣＤ（２^γ−２^α，２ⁿ−１）＝１、ＰＧＣＤ（２^δ−２^β，２ⁿ−１）＝ １（これは全単射変換を得るためのものである）。なおＰＧＣＤは「最大共通要 素」を意味する。 （Ｃ１）が、変数ｘの成分ｘ_iおよび変数ｌ１の変数ｌ１、ｉとともに基底内 に書き込まれる場合、以下の形態のｎ個の等式が得られる。 これらｎ個の等式（Ｃ２）は公開されている（より正確には、これらの等式の 全単射線形変形が公開されている）。 これらの等式（Ｃ２）から、ガウスの約分を行うことにより、秘密情報を用い ることなく、ｘからｌ₁を求めることが可能である。 同様に、ｌ₁からｌ₂、次にｌ₂からｌ₃等、ｌ_k-1からｌ_kまでを求めることがで き、したがってｘからｌ_kを求めることができる。同様に、ｘからｍ_kを求めるこ とができる。したがって、２ｋ．ｎ個の公開等式を使用して、ｘからｌ_kおよび ｍ_kを求めることができる。 最終公開等式 さて、ｎ個の「最終」公開等式により、ｍ_kおよびｌ_kからｙ を求めることができる（これは「一方向」計算、すなわちｙからは秘密情報なし にはｍ_kおよびｌ_kを求めることができない計算である）。可能な最終公開等式の 二つの典型的な例を示す。 例１ ｂ^{2^ α'}．Ｌ_k ^{2^ β'}＝ｂ^{2^ α″}Ｍ_k ^{2^ δ″} （Ｃ３） ここで、α’、β’、α’’、β’’は秘密の整数である。 例２ ｂ．Ｍ_k＝Ｌ_k ^{2^ θ+2^φ} （Ｃ４） ここで、θおよびφは秘密の整数である。 この等式（（Ｃ３）または（Ｃ４））は、変数ｙ_i、ｍ_k、iおよびｌ_k、iととも に基底内に書き込まれる。したがってｎ個の等式が得られる。これらｎ個の等式 の線形および全単射変換は公開されるため、（ガウスの約分により）ｌ_kおよび ｍ_kからｙを求めることができる。 したがってこれらの公開等式をもとにして、ｘからｙを求めることができる。４．公開キーのサイズを小さくする方法 ドラゴンおよびチェーンアルゴリズムに生じる秘密アファイン関数ｓおよびｔ は、発生する変数と同じ環Ａ内に値を有する係数である。しかしながら、Ａの下 位環Ａ’の係数に限定する方が有利な場合もある。なぜなら、そうすることによ り、 公開多項式はＡの下位環Ａ”内に係数をもつことができるからであり、これによ り、これらの公開多項式の記述に必要なビット数を少なくすることが可能になる 。この技術は、上述の例に好適である。５．多項式Ｐ_iを保存しない手段 （ｘ）から（ｙ）の値、また場合によっては（ｙ）から（ｘ）の値を計算する ことができるチップカードにおいては、カードは必ずしもすべての公開多項式Ｐ_i を保存する必要はない。事実、これらの多項式はトータル次数が低く、カード は（ｘ）に対応する値（ｘ）および（ｙ）を供給することができ、これらの値か ら、外部における公開多項式Ｐ_iを再計算することが可能である。 より一般的には、カードは、公開多項式Ｐ_iを再計算することができる値を供 給することができ、これらの値は場合によっては署名されることがあり、あるい は求める公開多項式が署名され、この署名（全ての公開多項式ではなく）がカー ド内に保存される。６．一本発明の方法を使用する暗号化／解読システム 第２図は、上述の暗号通信方法を使用する暗号化／解読シス テムの例を示す略図である。 同一の通信ネットワークに所属し、各自がメッセージの送信／受信装置１、２ を有する個人ＡおよびＢを想定する。この装置は、メッセージの暗号化／解読を 行うようにしたたとえばコンピュータなどの計算手段と、記憶手段とを含む。こ れらの計算または記憶手段の少なくとも一部分は、アクセスが制御される領域区 域を定義するマイクロプロセッサまたはマイクロワイヤ回路を内蔵する携帯物体 の内部に入れることができ、したがって、暗号通信キーなどの秘密情報を格納す ることができる（たとえば、米国特許４２１１９１９号において説明されている 携帯物体を参照のこと）。 各装置は、上述したような、とくにプログラムの形態のアルゴリズムＦ、なら びに逆アルゴリズムＦ^-1を内蔵する。二つの装置は通信線３により相互接続され る。 個人ＡおよびＢは、それぞれ一対のキー、すなわち公開キーＣｐ^AおよびＣｐ^B と、対応する公開キーＣｐ^AまたはＣｐ^Bに相関する秘密キーＣｓ^AおよびＣｓ^Bと を有する。 個人ＡはＢに、公開キーＣｐ^Aおよび場合によってはこの公開キーの署名を送 り、ＢはＡに、公開キーＣｐ^Bおよび場合に よってはこの公開キーの署名を送る。Ａは、公開キーＣｐ^Bを受け取り次第、こ の公開キーを使用し、Ｂに送ろうとするメッセージＭを、暗号通信アルゴリズム ＦによりメッセージＭ’に暗号化する。Ｂがこのメッセージを受信すると、この メッセージは暗号通信アルゴリズムＦ^-1および秘密キーＣｓ^Bにより解読する。

Claims (1)

1. 【特許請求の範囲】 １．ｎおよびｍを２以上の整数とする時、環（Ａ）のｎ個の要素（ｘ₁，．．． ．，ｘ_n）で表わされる第一の値（ｘ）と、この環のｍ個の要素（ｙ₁，．．．． ，ｙ_m）で表わされる第二の値（ｙ）との間に対応関係を確立する非対称暗号通 信方法であって、 前記対応関係は、（ｚ₁，．．．．．，ｚ_k）が可能な中間変数でありｋが整数 である時に、Ｐ_i（ｘ₁，．．．．，ｘ_n；ｙ₁，．．．．，ｙ_m；ｚ₁，．．．．． ，ｚ_k）＝０のタイプの等式が存在するように、トータル次数が６以下のＡ^n+m+k →Ａの多変数公開多項式（Ｐ_i）によって定義され、 Ｓ_iがトータル次数２の多項式であってＴ_iがトータル次数１の多項式である時 に、いくつかの多項式（Ｐ_i）が Ｔ_i（ｙ₁，．．．．，ｙ_m）＝Ｓ_i（ｘ₁，．． ．．，ｘ_n）の形態を有さないことを特徴とする方法。 ２．Ｓ_iがトータル次数６以下の多項式であってＴ_iがトータル次数１の多項式で ある時に、いくつかの多項式（Ｐ_i）がＴ_i（ｙ₁，．．．．，ｙ_m）＝Ｓ_i（ｘ₁， ．．．．，ｘ_n）の形態 を有さない請求の範囲第１項に記載の方法。 ３．多変数公開多項式（Ｐ_i）がＰ_i（ｘ₁，．．．．，ｘ_n；ｙ₁，．．．．，ｙ_m ）＝０の形態であり、いくつかの多項式が、１〜ｎの間の整数ｊと１〜ｍの間の 整数ｐとが存在し、且つ多項式（Ｐ_i）が、ｘ_j.ｙ_pにおいて０でない単項式を少 なくとも一つ含むようなものである請求の範囲第１項に記載の方法。 ４．第一の値（ｘ）と第二の値（ｙ）との対応関係が、 １） ｓがＡⁿ→Ａⁿのアファイン変換である、すなわちｎ個の変数におけるト ータル次数１のｎ個の多項式によって決定され、且つｔがＡ^m→Ａ^mのアファイン 変換である、すなわちｍ個の変数におけるトータル次数１のｍ個の多項式によっ て決定される時、秘密の二つのアファイン変換ｓおよびｔを知ることにより、以 下のようにして関数ｙ＝Ｆ（ｘ）を求め、 １．１） アファイン変換ｓをｘに適用し、像：ａ＝ｓ（ｘ）を得る １．２） 像（ａ）に、ｂ＝ｆ（ａ）のような像ｂをもたらす変換を適用 する、ただし、 １．２．１） ａ＝（ａ₁、ａ₂，．．，ａ_i，．．，ａ_n）かつｂ＝ （ｂ₁、ｂ₂，．．ｂ_j，．．，ｂ_m）（ａ_iおよ びｂ_jはＡの要素である）であれば、それぞれが Ｖ_i(ａ₁,ａ₂,..,ａ_i,..,ａ_n;ｂ₁,ｂ₂,..ｂ_j,..,ｂ_m)＝０ （Ｉ） のタイプの等式を満たす、０ではなくトータル次数の低い、Ａ^n+m→Ａの多変数 公開多項式（Ｖ_i）によって定義される対応関係が存在し、 いくつかの多項式（Ｖ_i）が、１〜ｎの間の整数ｊと１〜ｍの間の整数ｐとが 存在し、且つ前記多項式（Ｖ_i）が、ａ_j.ｂ_pにおいて０でない単項式を少なくと も一つ含むようなものであり、 １．２．２） 多数の像ｂについて ｆ（ａ）＝ｂ のような少なくとも一つの像（ａ）を計算することを可能にするアルゴリズムが 存在するように、変換ｆが選択され、 １．３） 像ｂにアファイン変換ｔを適用し、ｔ（ｂ）＝（ｙ）を得、 ２） 等式（Ｉ）が存在するということから、変数を変更することにより、前 記多変数多項式（Ｐ_i）、すなわち Ｐ_i(ｘ₁，ｘ₂,....,ｘ_n；ｙ₁,ｙ₂,....,ｙ_m)＝０ （ＩＩ） を定義する等式（ＩＩ）が存在すると推定することが可能であ り、多項式のいくつかが公開されている、 請求の範囲第３項に記載の方法。 ５．多変数公開多項式（Ｐ_i）が、Ｑ_j（ｘ₁，．．．．，ｘ_n；ｚ₁，．．．．， ｚ_k）＝０の形態の、定義されたＡ^n+k→Ａの多項式（Ｑ_j）と、Ｒ_j(y₁，．．． ．，ｙ_m；ｚ’₁，．．．．．，ｚ_k'）＝０の形態の、定義されたＡ^m+k'→Ａの多 項式（Ｒ_p）とを含み、（ｚ₁，．．．．．，ｚ_k）および（ｚ’₁，．．．．．， ｚ’_k'）が、実際に存在する中間変数であり、ｊ、ｐ、ｋおよびｋ’が整数であ る請求の範囲第１項に記載の方法。 ６．第二の値ｙ＝（ｙ₁，．．．．，ｙ_m）が、署名すべきメッセージまたは署名 すべきメッセージの関数を表わし、第一の値ｘ＝（ｘ₁，．．．．，ｘ_n）が、多 項式（Ｐ_i）に関する前記等式が満たされていることを検証することによりメッ セージの署名を検証することから成るメッセージの署名を表わし、変数ｚ₁，． ．．．，ｚ_kがこれらの等式内に生じた時にこれらの等式をすべて満たすこのよ うなタイプの変数（ｚ₁，．．．．，ｚ_k）が存在することを検証することが必要 となる請求の範囲第１項に記載の方法。 ７．第一の値ｘ＝（ｘ₁，．．．．，ｘ_n）が、暗号化すべきメ ッセージを表わし、第二の値ｙ＝（ｙ₁，．．．．，ｙ_m）が、暗号化されたメッ セージを表わしており、前記多変数公開多項式（Ｐ_i）を含む公開キーのセット を使用して、いくつかのまたは全ての値ｘについて第二の値ｙを得るために、前 記対応関係を第一の値ｘに適用することを含む請求の範囲第１項に記載の方法。 ８．検証者と呼ばれる第１の人間により、証明者と呼ばれる他の人間の非対象認 証を行うために、 第二の値（ｙ）から成る値を承認者に送り、 検証者が、第一の値（ｘ）から成る値を証明者に送り、 検証者が、多項式（Ｐ_i）に関する前記等式が第一の値（ｘ）および第二の値 （ｙ）と適合していることを検証し、変数ｚ₁，．．．．，ｚ_kがこれらの等式内 に生じた時、これらの等式をすべて満たすこのようなタイプの変数（ｚ₁，．． ．．，ｚ_k）が存在するかを検証する、 請求の範囲第１項に記載の方法。 ９．前記対応関係が、前記環（Ａ）内に値を有する係数から成る行列によって定 義される少なくとも一つの秘密のアファイン変換ｓを含み、 該行列の係数が、（Ａ）の下位環（Ａ’）内に値を有し、これにより、前記多 変数公開多項式（Ｐ_i）が（Ａ）の下位環（Ａ”）内に値を持つ係数を有する 請求の範囲第１項に記載の方法。 １０．前記多変数公開多項式（Ｐ_i）の各単項式が少なくとも一つの変数ｙ_jを含 む、すなわち多項式（Ｐ_i）の変数ｙ_jにおけるトータル次数が０または１である 請求の範囲第１項に記載の方法。 １１．Ａが、少数のｑ＝ＩＫＩで表される要素を有する有限体Ｋであり、 ｍ＝ｎであり、 ａおよびｂが、ｑⁿ個の要素を有する体Ｆ_q ⁿの二つの要素の二つの値を表わし 、 ｈが公開のまたは秘密の整数であり、ｑⁿ−１に対して素である整数とする時 、変換ｆが形態ｆ（ａ）＝ｂ＝ａ^hの全単写である、 請求の範囲第１項に記載の方法。 １２．ｎおよびｍを２以上の整数とする時、環（Ａ）のｎ個の要素（ｘ₁，．． ．．，ｘ_n）で表わされる第一の値（ｘ）と、 該環のｍ個の要素（ｙ₁，．．，ｙ_j．．，ｙ_m）で表わされる第二の値（ｙ）と の間に対応関係を確立する非対称形暗号通信方法を実施するように構成されてお り、情報処理手段と記憶手段とを含む携帯物本であって、 前記対応関係が、（ｚ₁，．．．．．，ｚ_k）が可能な中間変数でありｋが整数 である時に、Ｐ_i（ｘ₁，．．．．，ｘ_n；ｙ₁，．．．．，ｙ_m；ｚ₁，．．．．． ，ｚ_k）＝０であるような、トータル次数が６以下のＡ^n+m+kの多変数公開多項式 （Ｐ_i）によって定義され、 Ｓ_iが全次数２の多項式であってＴ_iが全次数１の多項式である時に、いくつか の多項式（Ｐ_i）がＴ_i（ｙ₁，．．．．，ｙ_m）＝Ｓ_i（ｘ₁，．．．．，ｘ_n）の 形態を有さず、 前記記憶手段が多変数公開多項式（Ｐ_i）を保存せず、 多変数公開多項式（Ｐ_i）の計算に関しては、第一の値（ｘ）から第二の値（ ｙ）が計算できるようにする、多変数公開多項式（Ｐ_i）を、携帯物体の外部で 計算できるようにする、データのみを提供するように構成される、携帯物体。