JPH11143688A - 演算装置並びにこれを利用したｒｓａ暗号演算装置及び楕円暗号演算装置 - Google Patents
演算装置並びにこれを利用したｒｓａ暗号演算装置及び楕円暗号演算装置Info
- Publication number
- JPH11143688A JPH11143688A JP30475897A JP30475897A JPH11143688A JP H11143688 A JPH11143688 A JP H11143688A JP 30475897 A JP30475897 A JP 30475897A JP 30475897 A JP30475897 A JP 30475897A JP H11143688 A JPH11143688 A JP H11143688A
- Authority
- JP
- Japan
- Prior art keywords
- arithmetic
- circuit
- montgomery
- reciprocal
- mod
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
- G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
- G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
- G06F7/724—Finite field arithmetic
- G06F7/725—Finite field arithmetic over elliptic curves
Landscapes
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Engineering & Computer Science (AREA)
- Computational Mathematics (AREA)
- Mathematical Analysis (AREA)
- Mathematical Optimization (AREA)
- Pure & Applied Mathematics (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Mathematical Physics (AREA)
- General Engineering & Computer Science (AREA)
Abstract
(57)【要約】
【課題】 小さい回路規模で演算処理を行える、ＲＳＡ
暗号演算と楕円暗号演算との両方が可能な装置を提供す
る。 【解決手段】 ＲＳＡ暗号演算装置に、加減算回路３と
逆数演算回路６とを付加することにより、ＲＳＡ暗号処
理と楕円暗号処理との両演算が可能である。乗算剰余演
算回路２で、変数を格納するためにレジスタではなくワ
ーキングメモリを使用して、回路規模を小型化を図る。
暗号演算と楕円暗号演算との両方が可能な装置を提供す
る。 【解決手段】 ＲＳＡ暗号演算装置に、加減算回路３と
逆数演算回路６とを付加することにより、ＲＳＡ暗号処
理と楕円暗号処理との両演算が可能である。乗算剰余演
算回路２で、変数を格納するためにレジスタではなくワ
ーキングメモリを使用して、回路規模を小型化を図る。
Description
【０００１】
【発明の属する技術分野】本発明は、ＲＳＡ暗号の演算
装置及び楕円暗号の演算装置、並びに、これらの演算装
置における各種の演算回路に関する。
装置及び楕円暗号の演算装置、並びに、これらの演算装
置における各種の演算回路に関する。
【０００２】
【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、無線を利用したネットワークにおいて
は、電子情報の傍受が容易なために、これを防止する対
策が望まれている。このような対策の有効な手法とし
て、人類の過去の歴史上で主として軍事，外交面に用い
られてきた暗号技術が注目されており、種々のネットワ
ークにも導入されつつある。
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、無線を利用したネットワークにおいて
は、電子情報の傍受が容易なために、これを防止する対
策が望まれている。このような対策の有効な手法とし
て、人類の過去の歴史上で主として軍事，外交面に用い
られてきた暗号技術が注目されており、種々のネットワ
ークにも導入されつつある。
【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を変換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号化である。
この暗号化の過程及び復号化の過程には、それぞれ暗号
鍵及び復号鍵と呼ばれる秘密の情報が用いられる。
解できないように情報を変換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号化である。
この暗号化の過程及び復号化の過程には、それぞれ暗号
鍵及び復号鍵と呼ばれる秘密の情報が用いられる。
【０００４】このような鍵を用いる暗号化方式には、秘
密鍵暗号系と公開鍵暗号系とが存在する。秘密鍵暗号系
は、送信者と受信者とが同じ暗号鍵を持つことによって
暗号通信を行う方式であり、送信者はある情報を秘密の
暗号鍵に基づいて暗号化して受信者に送り、受信者はこ
の暗号鍵を用いて暗号を復号して元の情報を得る。これ
に対して、公開鍵暗号系では、公開されている受信者の
公開鍵で送信者が情報を暗号化して送信し、受信者は自
分の秘密鍵でその暗号を復号して元の情報を得る。
密鍵暗号系と公開鍵暗号系とが存在する。秘密鍵暗号系
は、送信者と受信者とが同じ暗号鍵を持つことによって
暗号通信を行う方式であり、送信者はある情報を秘密の
暗号鍵に基づいて暗号化して受信者に送り、受信者はこ
の暗号鍵を用いて暗号を復号して元の情報を得る。これ
に対して、公開鍵暗号系では、公開されている受信者の
公開鍵で送信者が情報を暗号化して送信し、受信者は自
分の秘密鍵でその暗号を復号して元の情報を得る。
【０００５】公開鍵暗号系の中で最も有力な暗号系とし
て、1977年にRivest，Shamir及びAdleman の３人によっ
て発明されたＲＳＡ暗号がある。以下、このＲＳＡ暗号
の原理について簡単に説明する。
て、1977年にRivest，Shamir及びAdleman の３人によっ
て発明されたＲＳＡ暗号がある。以下、このＲＳＡ暗号
の原理について簡単に説明する。
【０００６】ＲＳＡ暗号では、暗号鍵（ｅ，Ｎ）、復号
鍵（ｄ，Ｎ）、平文をＭ、暗号文をＣとした場合、暗号
化Ｅと復号化Ｄのアルゴリズムは、べき乗剰余演算を用
いて次のように表される。 Ｃ＝Ｅ（Ｍ）＝Ｍe mod Ｎ Ｍ＝Ｄ（Ｃ）＝Ｃd mod Ｎ 但し、ｅ・ｄ≡１ mod［ＬＣＭ｛（ｐ−１），（ｑ−
１）｝］， Ｎ＝ｐ・ｑ（ｐ，ｑは大きな素数） ｅ，Ｎ：公開鍵 ｄ：秘密鍵 ＬＣＭ（Lowest Common Multiple) ：最小公倍数
鍵（ｄ，Ｎ）、平文をＭ、暗号文をＣとした場合、暗号
化Ｅと復号化Ｄのアルゴリズムは、べき乗剰余演算を用
いて次のように表される。 Ｃ＝Ｅ（Ｍ）＝Ｍe mod Ｎ Ｍ＝Ｄ（Ｃ）＝Ｃd mod Ｎ 但し、ｅ・ｄ≡１ mod［ＬＣＭ｛（ｐ−１），（ｑ−
１）｝］， Ｎ＝ｐ・ｑ（ｐ，ｑは大きな素数） ｅ，Ｎ：公開鍵 ｄ：秘密鍵 ＬＣＭ（Lowest Common Multiple) ：最小公倍数
【０００７】上記式の場合に、それぞれｅ回の乗算と除
算、ｄ回の乗算と除算を行わなければならず、通常、
ｅ，ｄ，Ｍ，Ｎは 512ビット以上の大きな整数が用いら
れ、高速指数演算法を用いても、１回のＲＳＡ演算で平
均 770回の乗算と剰余演算とを行わなければならない。
よって、ＲＳＡ暗号演算を高速に行うためには、剰余演
算の高速化が必要不可欠であり、特に剰余演算は、近似
法，モンゴメリのアルゴリズム等、多くの高速化手法が
提案されている。
算、ｄ回の乗算と除算を行わなければならず、通常、
ｅ，ｄ，Ｍ，Ｎは 512ビット以上の大きな整数が用いら
れ、高速指数演算法を用いても、１回のＲＳＡ演算で平
均 770回の乗算と剰余演算とを行わなければならない。
よって、ＲＳＡ暗号演算を高速に行うためには、剰余演
算の高速化が必要不可欠であり、特に剰余演算は、近似
法，モンゴメリのアルゴリズム等、多くの高速化手法が
提案されている。
【０００８】ＲＳＡ暗号に代表される公開鍵暗号系の多
くで利用されるべき乗剰余アルゴリズムを高速に処理す
るためには、１回あたりの剰余アルゴリズムの高速化が
要求される。このような観点に基づいて、本発明者等
は、剰余演算の高速化を実現するべく、モンゴメリのア
ルゴリズムを用いた乗算剰余演算装置を提案している
（特開平７−20778 号公報）。この乗算剰余演算装置で
は、モンゴメリ法による剰余演算における繰り返し処理
の部分にテーブルを用いて、効率良く剰余演算処理を高
速化し、剰余演算の処理速度を向上させる。
くで利用されるべき乗剰余アルゴリズムを高速に処理す
るためには、１回あたりの剰余アルゴリズムの高速化が
要求される。このような観点に基づいて、本発明者等
は、剰余演算の高速化を実現するべく、モンゴメリのア
ルゴリズムを用いた乗算剰余演算装置を提案している
（特開平７−20778 号公報）。この乗算剰余演算装置で
は、モンゴメリ法による剰余演算における繰り返し処理
の部分にテーブルを用いて、効率良く剰余演算処理を高
速化し、剰余演算の処理速度を向上させる。
【０００９】ここで、モンゴメリのアルゴリズムについ
て簡単に説明する。モンゴメリのアルゴリズムは、剰余
の法Ｎ（Ｎ＞１）と、剰余の法Ｎと互いに素である基数
Ｒとを用いると、被剰余数ＴからＴＲ-1 modＮの計算が
基数Ｒによる除算のみで行えることを利用して、Ｎによ
る除算を用いることなく剰余計算を行うアルゴリズムで
ある。ここで、Ｎ，Ｎ′，Ｒ，Ｒ-1及びＴは整数であ
り、被剰余数Ｔは０≦Ｔ＜ＲＮ、Ｒ-1は剰余の法Ｎの上
での基数Ｒの逆数であり、ＲＲ-1−ＮＮ′＝１（０≦Ｒ
-1＜Ｎ，０≦Ｎ′＜Ｒ）の関係を満たす。
て簡単に説明する。モンゴメリのアルゴリズムは、剰余
の法Ｎ（Ｎ＞１）と、剰余の法Ｎと互いに素である基数
Ｒとを用いると、被剰余数ＴからＴＲ-1 modＮの計算が
基数Ｒによる除算のみで行えることを利用して、Ｎによ
る除算を用いることなく剰余計算を行うアルゴリズムで
ある。ここで、Ｎ，Ｎ′，Ｒ，Ｒ-1及びＴは整数であ
り、被剰余数Ｔは０≦Ｔ＜ＲＮ、Ｒ-1は剰余の法Ｎの上
での基数Ｒの逆数であり、ＲＲ-1−ＮＮ′＝１（０≦Ｒ
-1＜Ｎ，０≦Ｎ′＜Ｒ）の関係を満たす。
【００１０】更に、この基数Ｒに２のべき乗数を使用し
た場合、基数Ｒによる除算をシフト操作に置き換えるこ
とができるため、Ｔ→ＴＲ-1 modＮの計算の高速処理が
可能となる。具体的なアルゴリズムとして、Ｔ→ＴＲ-1
modＮのアルゴリズムREDC（Ｔ）を以下に示す。但し、
このアルゴリズムにおいて、（Ｔ＋ｍＮ）／Ｒは必ず割
り切れる。 Ｔ→ＴＲ-1 modＮのアルゴリズムREDC（Ｔ） ｍ＝（Ｔ modＲ）Ｎ′ modＲ ｔ＝（Ｔ＋ｍＮ）／Ｒ もし、ｔ＜Ｎの場合にはｔになり、それ以外はｔ−Ｎ即
ち、 REDC（Ｔ）＝ｔ （ｔ＜Ｎ） REDC（Ｔ）＝ｔ−Ｎ （ｔ≧Ｎ）
た場合、基数Ｒによる除算をシフト操作に置き換えるこ
とができるため、Ｔ→ＴＲ-1 modＮの計算の高速処理が
可能となる。具体的なアルゴリズムとして、Ｔ→ＴＲ-1
modＮのアルゴリズムREDC（Ｔ）を以下に示す。但し、
このアルゴリズムにおいて、（Ｔ＋ｍＮ）／Ｒは必ず割
り切れる。 Ｔ→ＴＲ-1 modＮのアルゴリズムREDC（Ｔ） ｍ＝（Ｔ modＲ）Ｎ′ modＲ ｔ＝（Ｔ＋ｍＮ）／Ｒ もし、ｔ＜Ｎの場合にはｔになり、それ以外はｔ−Ｎ即
ち、 REDC（Ｔ）＝ｔ （ｔ＜Ｎ） REDC（Ｔ）＝ｔ−Ｎ （ｔ≧Ｎ）
【００１１】１回のREDCでは、剰余Ｔ modＮではなくＴ
Ｒ-1 modＮが求められるだけである。そこで、剰余Ｔ m
odＮを求めるためには、以下に示すように、REDC（Ｔ）
と予め求めておいたＲ2 mod Ｎとの積で、再びREDCを行
えばよい。 REDC（REDC（Ｔ）×（Ｒ2 mod Ｎ）） ＝（ＴＲ-1 modＮ）（Ｒ2 mod Ｎ）Ｒ-1 modＮ ＝ＴＲ-1×Ｒ2 ×Ｒ-1 modＮ ＝Ｔ modＮ このようにして、簡単にＴ modＮを求めることができ
る。
Ｒ-1 modＮが求められるだけである。そこで、剰余Ｔ m
odＮを求めるためには、以下に示すように、REDC（Ｔ）
と予め求めておいたＲ2 mod Ｎとの積で、再びREDCを行
えばよい。 REDC（REDC（Ｔ）×（Ｒ2 mod Ｎ）） ＝（ＴＲ-1 modＮ）（Ｒ2 mod Ｎ）Ｒ-1 modＮ ＝ＴＲ-1×Ｒ2 ×Ｒ-1 modＮ ＝Ｔ modＮ このようにして、簡単にＴ modＮを求めることができ
る。
【００１２】
【発明が解決しようとする課題】特開平７−20778 号公
報に示した乗算剰余演算装置では、モンゴメリのアルゴ
リズムでの変数はレジスタに格納しているが、ＲＳＡ演
算にあっては、演算処理の高速化に加えてその演算装置
の回路規模の小型化も重要な問題である。
報に示した乗算剰余演算装置では、モンゴメリのアルゴ
リズムでの変数はレジスタに格納しているが、ＲＳＡ演
算にあっては、演算処理の高速化に加えてその演算装置
の回路規模の小型化も重要な問題である。
【００１３】ところで、ＲＳＡ暗号は、公開鍵暗号の中
でも、有力で実用的な暗号形式であると言われており、
ＲＳＡ暗号用の演算チップの開発が積極的に進められて
いる。しかし、近年、ＲＳＡ暗号の強度の低下について
言及されるようになり、ＲＳＡ暗号に代わる公開鍵暗号
として、楕円暗号が注目されている。
でも、有力で実用的な暗号形式であると言われており、
ＲＳＡ暗号用の演算チップの開発が積極的に進められて
いる。しかし、近年、ＲＳＡ暗号の強度の低下について
言及されるようになり、ＲＳＡ暗号に代わる公開鍵暗号
として、楕円暗号が注目されている。
【００１４】楕円暗号の基本演算について、以下に記述
する。有限体Ｆｐ（ｐはｐ＞３の素数）において、Ｆｐ
上の楕円曲線Ｅ（Fp）は、 ｙ2 ＝ｘ3 ＋ａｘ＋ｂ 但し、ａ，ｂは０≦ａ，ｂ＜ｐなる整数であり、 ４ａ3 ＋27ｂ2 ≠０（mod ｐ） で表され、楕円曲線上の点とは、Ｅ（Fp）上の点の組と
無限遠点Ｏとのことを言う。
する。有限体Ｆｐ（ｐはｐ＞３の素数）において、Ｆｐ
上の楕円曲線Ｅ（Fp）は、 ｙ2 ＝ｘ3 ＋ａｘ＋ｂ 但し、ａ，ｂは０≦ａ，ｂ＜ｐなる整数であり、 ４ａ3 ＋27ｂ2 ≠０（mod ｐ） で表され、楕円曲線上の点とは、Ｅ（Fp）上の点の組と
無限遠点Ｏとのことを言う。
【００１５】この楕円曲線Ｅ（Fp）上の点は、以下の加
算ルールで加算を行う。 （１）Ｏ＋Ｏ＝Ｏ （２）（ｘ，ｙ）＋Ｏ＝（ｘ，ｙ） （３）（ｘ，ｙ）＋（ｘ，−ｙ）＝Ｏ （点（ｘ，ｙ）と点（ｘ，−ｙ）とは逆数の関係にあ
る） （４）逆数の関係にない２点（ｘ1 ，ｙ1 ），（ｘ2 ，
ｙ2 ）に対して、加算結果を（ｘ3 ，ｙ3 ）とする。 （ｘ1 ，ｙ1 ）≠（ｘ2 ，ｙ2 ）の場合 （ｘ1 ，ｙ1 ）＋（ｘ2 ，ｙ2 ）＝（ｘ3 ，ｙ3 ） 但し、ｘ3 ＝λ2 −ｘ1 −ｘ2 ｙ3 ＝λ（ｘ1 −ｘ3 ）−ｙ1 λ＝（ｙ1 −ｙ2 ）／（ｘ1 −ｘ2 ） （ｘ1 ，ｙ1 ）＝（ｘ2 ，ｙ2 ）の場合 ２（ｘ1 ，ｙ1 ）＝（ｘ3 ，ｙ3 ） 但し、ｘ3 ＝λ2 −２ｘ1 ｙ3 ＝λ（ｘ1 −ｘ3 ）−ｙ1 λ＝（３ｘ1 2 ＋ａ）／２ｙ1
算ルールで加算を行う。 （１）Ｏ＋Ｏ＝Ｏ （２）（ｘ，ｙ）＋Ｏ＝（ｘ，ｙ） （３）（ｘ，ｙ）＋（ｘ，−ｙ）＝Ｏ （点（ｘ，ｙ）と点（ｘ，−ｙ）とは逆数の関係にあ
る） （４）逆数の関係にない２点（ｘ1 ，ｙ1 ），（ｘ2 ，
ｙ2 ）に対して、加算結果を（ｘ3 ，ｙ3 ）とする。 （ｘ1 ，ｙ1 ）≠（ｘ2 ，ｙ2 ）の場合 （ｘ1 ，ｙ1 ）＋（ｘ2 ，ｙ2 ）＝（ｘ3 ，ｙ3 ） 但し、ｘ3 ＝λ2 −ｘ1 −ｘ2 ｙ3 ＝λ（ｘ1 −ｘ3 ）−ｙ1 λ＝（ｙ1 −ｙ2 ）／（ｘ1 −ｘ2 ） （ｘ1 ，ｙ1 ）＝（ｘ2 ，ｙ2 ）の場合 ２（ｘ1 ，ｙ1 ）＝（ｘ3 ，ｙ3 ） 但し、ｘ3 ＝λ2 −２ｘ1 ｙ3 ＝λ（ｘ1 −ｘ3 ）−ｙ1 λ＝（３ｘ1 2 ＋ａ）／２ｙ1
【００１６】次に、楕円曲線上の点を高速に加算する手
法を説明する。まず、楕円曲線上の点を三次元空間で表
現する。即ち、（ｘ，ｙ）を（ｘ／ｚ，ｙ／ｚ）と対応
させる（三次元投影法）。三次元で表した点の座標をモ
ンゴメリ系に変換し、加算ルールに従って点の加算（各
座標では、mod p 上で加減乗算）を行う。最後に、ｚ座
標の逆数ｚ-1 mod pを求め、それをｘ座標及びｙ座標と
乗算して、点の加算結果を得る。
法を説明する。まず、楕円曲線上の点を三次元空間で表
現する。即ち、（ｘ，ｙ）を（ｘ／ｚ，ｙ／ｚ）と対応
させる（三次元投影法）。三次元で表した点の座標をモ
ンゴメリ系に変換し、加算ルールに従って点の加算（各
座標では、mod p 上で加減乗算）を行う。最後に、ｚ座
標の逆数ｚ-1 mod pを求め、それをｘ座標及びｙ座標と
乗算して、点の加算結果を得る。
【００１７】上述したような楕円暗号演算を行う場合、
上記の加算ルール（４）のように、毎回、除算を行わな
ければならないし、三次元投影法にモンゴメリ法を適用
して加算処理を行う手法においても、最後に、逆数を演
算しなければならない。ＲＳＡ暗号演算を行う回路構成
では、除算，逆数演算を行うことができず、ソフトウェ
アでこれらの演算処理を行うと、長時間要するという問
題がある。例えば192ビットの逆数演算を10000 回行っ
た場合、拡張ユークリッドでは約12秒、モンゴメリイン
バースアルゴリズムでは、約7.3 秒かかる（Pentium 13
3 ＭＨｚ）。
上記の加算ルール（４）のように、毎回、除算を行わな
ければならないし、三次元投影法にモンゴメリ法を適用
して加算処理を行う手法においても、最後に、逆数を演
算しなければならない。ＲＳＡ暗号演算を行う回路構成
では、除算，逆数演算を行うことができず、ソフトウェ
アでこれらの演算処理を行うと、長時間要するという問
題がある。例えば192ビットの逆数演算を10000 回行っ
た場合、拡張ユークリッドでは約12秒、モンゴメリイン
バースアルゴリズムでは、約7.3 秒かかる（Pentium 13
3 ＭＨｚ）。
【００１８】本発明は斯かる事情に鑑みてなされたもの
であり、小さい回路規模で演算処理が可能であり、変数
のビット長の拡張にも対応できる演算装置、及び、ＲＳ
Ａ暗号演算装置を提供することを目的とする。
であり、小さい回路規模で演算処理が可能であり、変数
のビット長の拡張にも対応できる演算装置、及び、ＲＳ
Ａ暗号演算装置を提供することを目的とする。
【００１９】本発明の他の目的は、ＲＳＡ暗号演算装置
に、加減算回路と逆数演算回路とを付加することによ
り、楕円暗号演算を可能とする楕円暗号演算装置を提供
することにある。
に、加減算回路と逆数演算回路とを付加することによ
り、楕円暗号演算を可能とする楕円暗号演算装置を提供
することにある。
【００２０】本発明の更に他の目的は、小さい回路規模
で演算時間が早い楕円暗号演算装置を提供することにあ
る。
で演算時間が早い楕円暗号演算装置を提供することにあ
る。
【００２１】
【課題を解決するための手段】請求項１に係る演算装置
は、モンゴメリのアルゴリズムに応じた演算を含む演算
処理を行う演算装置において、変数と途中の演算結果と
を格納するワーキングメモリを設けたことを特徴とす
る。
は、モンゴメリのアルゴリズムに応じた演算を含む演算
処理を行う演算装置において、変数と途中の演算結果と
を格納するワーキングメモリを設けたことを特徴とす
る。
【００２２】請求項２に係るＲＳＡ暗号演算装置は、モ
ンゴメリのアルゴリズムを利用して、ＲＳＡ暗号処理を
行うＲＳＡ暗号演算装置において、変数と途中の演算結
果とを格納するワーキングメモリを設けたことを特徴と
する。
ンゴメリのアルゴリズムを利用して、ＲＳＡ暗号処理を
行うＲＳＡ暗号演算装置において、変数と途中の演算結
果とを格納するワーキングメモリを設けたことを特徴と
する。
【００２３】請求項３に係る楕円暗号演算装置は、モン
ゴメリのアルゴリズムを利用して、楕円暗号処理を行う
楕円暗号演算装置において、変数と途中の演算結果とを
格納するワーキングメモリを設けた乗算剰余演算回路
と、モンゴメリ系での演算に必要なパラメータを演算す
るパラメータ演算回路と、加減算を行う加減算回路と、
モンゴメリ系での逆数演算を行う逆数演算回路とを備え
ることを特徴とする。
ゴメリのアルゴリズムを利用して、楕円暗号処理を行う
楕円暗号演算装置において、変数と途中の演算結果とを
格納するワーキングメモリを設けた乗算剰余演算回路
と、モンゴメリ系での演算に必要なパラメータを演算す
るパラメータ演算回路と、加減算を行う加減算回路と、
モンゴメリ系での逆数演算を行う逆数演算回路とを備え
ることを特徴とする。
【００２４】請求項４に係る楕円暗号演算装置は、請求
項３において、前記逆数演算回路は、モンゴメリの逆数
アルゴリズムにおける２組４個の変数の加算処理を各組
毎にそれぞれ並列的に行う２個の加算器を有することを
特徴とする。
項３において、前記逆数演算回路は、モンゴメリの逆数
アルゴリズムにおける２組４個の変数の加算処理を各組
毎にそれぞれ並列的に行う２個の加算器を有することを
特徴とする。
【００２５】請求項５に係る楕円暗号演算装置は、請求
項３において、前記パラメータ演算回路及び／または前
記逆数演算回路は、ビットのシフト処理を結線のつなぎ
替えにて行うように構成したことを特徴とする。
項３において、前記パラメータ演算回路及び／または前
記逆数演算回路は、ビットのシフト処理を結線のつなぎ
替えにて行うように構成したことを特徴とする。
【００２６】図１は、本発明の原理説明図である。図に
おいて１は、ＲＳＡ暗号及び楕円暗号の演算を行う演算
装置である。演算装置１は、モンゴメリ系での乗算を行
う乗算剰余演算回路２と、加算・減算を行う加減算回路
３と、モンゴメリ系での演算に必要なパラメータＲ2 mo
d p を計算するＲ2 mod p 演算回路４と、モンゴメリ系
での演算に必要なパラメータｐ′を計算するｐ′演算回
路５と、入力変数ｚの逆数ｚ-1を求める逆数演算回路６
とを有する。また、７は排他的論理和を求めるＸＯＲ回
路である。
おいて１は、ＲＳＡ暗号及び楕円暗号の演算を行う演算
装置である。演算装置１は、モンゴメリ系での乗算を行
う乗算剰余演算回路２と、加算・減算を行う加減算回路
３と、モンゴメリ系での演算に必要なパラメータＲ2 mo
d p を計算するＲ2 mod p 演算回路４と、モンゴメリ系
での演算に必要なパラメータｐ′を計算するｐ′演算回
路５と、入力変数ｚの逆数ｚ-1を求める逆数演算回路６
とを有する。また、７は排他的論理和を求めるＸＯＲ回
路である。
【００２７】図１の構成は、ＲＳＡ暗号演算装置に加減
算回路３及び逆数演算回路６を付加したものであって、
ＲＳＡ暗号演算を行えるだけでなく楕円暗号演算も行え
る構成である。
算回路３及び逆数演算回路６を付加したものであって、
ＲＳＡ暗号演算を行えるだけでなく楕円暗号演算も行え
る構成である。
【００２８】次に、本発明の動作原理について説明す
る。モンゴメリ系への変換処理は、乗算剰余演算回路２
とＲ2 mod p 演算回路４とを用いて行う。与えられる開
始点Ｐ（ｘ0 ／ｚ0 ，ｙ0 ／ｚ0 ）とすると、 Ｘ0 ＝REDC（ｘ0 ×Ｒ2 mod p ） ＝ｘ0 ×Ｒ2 ×Ｒ-1 mod p ＝ｘ0 ×Ｒ mod p Ｙ0 ＝REDC（ｙ0 ×Ｒ2 mod p ） ＝ｙ0 ×Ｒ2 ×Ｒ-1 mod p ＝ｙ0 ×Ｒ mod p Ｚ0 ＝REDC（ｚ0 ×Ｒ2 mod p ） ＝ｚ0 ×Ｒ2 ×Ｒ-1 mod p ＝ｚ0 ×Ｒ mod p となる。但し、この変換は、開始点だけについて行う。
る。モンゴメリ系への変換処理は、乗算剰余演算回路２
とＲ2 mod p 演算回路４とを用いて行う。与えられる開
始点Ｐ（ｘ0 ／ｚ0 ，ｙ0 ／ｚ0 ）とすると、 Ｘ0 ＝REDC（ｘ0 ×Ｒ2 mod p ） ＝ｘ0 ×Ｒ2 ×Ｒ-1 mod p ＝ｘ0 ×Ｒ mod p Ｙ0 ＝REDC（ｙ0 ×Ｒ2 mod p ） ＝ｙ0 ×Ｒ2 ×Ｒ-1 mod p ＝ｙ0 ×Ｒ mod p Ｚ0 ＝REDC（ｚ0 ×Ｒ2 mod p ） ＝ｚ0 ×Ｒ2 ×Ｒ-1 mod p ＝ｚ0 ×Ｒ mod p となる。但し、この変換は、開始点だけについて行う。
【００２９】モンゴメリ系への変換後は、加算ルールに
従って加算を行う。その結果、以下の式に基づく演算を
mod p の上で行うことになる。
従って加算を行う。その結果、以下の式に基づく演算を
mod p の上で行うことになる。
【００３０】点（ｘ1 ，ｙ1 ，ｚ1 ），（ｘ2 ，ｙ2 ，
ｚ2 ）の演算結果を点（ｘ3 ，ｙ3，ｚ3 ）とすると、 （１）加算（異なる２点） ｘ3 ＝ＡＢ ｙ3 ＝Ｃ（Ａ2 ｘ1 ｚ2 −Ｂ）−Ａ3 ｙ1 ｚ2 ｚ3 ＝Ａ3 ｚ1 ｚ2 但し、Ａ＝ｘ2 ｚ1 −ｘ1 ｚ2 ， Ｂ＝Ｃ2 ｚ1 ｚ2 −
Ａ2 Ｄ Ｃ＝ｙ2 ｚ1 −ｙ1 ｚ2 ， Ｄ＝ｘ2 ｚ1 ＋ｘ1 ｚ2 （２）２倍算（同じ点） ｘ3 ＝２ＡＢ ｙ3 ＝Ｃ（４Ｄ−Ｂ）−８Ｅ2 ｚ3 ＝８Ａ3 但し、Ａ＝ｙ1 ｚ1 ， Ｂ＝Ｃ2 −８Ｄ， Ｃ＝３ｘ1
2 ＋ａｚ1 2 ，Ｄ＝ｘ1 Ｅ， Ｅ＝ｙ1 Ａ で表される。実際には、変数ａ，ｂに対して、 乗算 ａ×ｂ → REDC（ａ×ｂ） 加算 ａ＋ｂ → ａ＋ｂ＞ｐの場合 ａ＋ｂ−ｐ それ以外 ａ＋ｂ 減算 ａ−ｂ → ａ＞ｂの場合 ａ−ｂ それ以外 ａ−ｂ＋ｐ の演算を、乗算剰余演算回路２と加減算回路３とを用い
て行う。
ｚ2 ）の演算結果を点（ｘ3 ，ｙ3，ｚ3 ）とすると、 （１）加算（異なる２点） ｘ3 ＝ＡＢ ｙ3 ＝Ｃ（Ａ2 ｘ1 ｚ2 −Ｂ）−Ａ3 ｙ1 ｚ2 ｚ3 ＝Ａ3 ｚ1 ｚ2 但し、Ａ＝ｘ2 ｚ1 −ｘ1 ｚ2 ， Ｂ＝Ｃ2 ｚ1 ｚ2 −
Ａ2 Ｄ Ｃ＝ｙ2 ｚ1 −ｙ1 ｚ2 ， Ｄ＝ｘ2 ｚ1 ＋ｘ1 ｚ2 （２）２倍算（同じ点） ｘ3 ＝２ＡＢ ｙ3 ＝Ｃ（４Ｄ−Ｂ）−８Ｅ2 ｚ3 ＝８Ａ3 但し、Ａ＝ｙ1 ｚ1 ， Ｂ＝Ｃ2 −８Ｄ， Ｃ＝３ｘ1
2 ＋ａｚ1 2 ，Ｄ＝ｘ1 Ｅ， Ｅ＝ｙ1 Ａ で表される。実際には、変数ａ，ｂに対して、 乗算 ａ×ｂ → REDC（ａ×ｂ） 加算 ａ＋ｂ → ａ＋ｂ＞ｐの場合 ａ＋ｂ−ｐ それ以外 ａ＋ｂ 減算 ａ−ｂ → ａ＞ｂの場合 ａ−ｂ それ以外 ａ−ｂ＋ｐ の演算を、乗算剰余演算回路２と加減算回路３とを用い
て行う。
【００３１】最後に、逆数演算回路６にｚ3 ×Ｒを入力
して、ｚ3 ×Ｒ mod pのモンゴメリインバースＺ3 -1＝
ｚ3 -1×Ｒ-1×Ｒ mod p＝ｚ3 -1 mod pを求めて、REDC
((ｘ 3 ×Ｒ mod p）×Ｚ3 -1）とREDC((ｙ3 ×Ｒ mod
p）×Ｚ3 -1）とを計算する。逆数演算回路６は、モン
ゴメリ系での逆数演算アルゴリズム（モンゴメリインバ
ースアルゴリズム）に基づいて演算を行う。演算結果
は、 REDC((ｘ3 ×Ｒ mod p）×Ｚ3 -1）＝ｘ3 ×Ｒ×ｚ3 -1×Ｒ-1 mod p ＝ｘ3 ×ｚ3 -1 mod p REDC((ｙ3 ×Ｒ mod p）×Ｚ3 -1）＝ｙ3 ×Ｒ×ｚ3 -1×Ｒ-1 mod p ＝ｙ3 ×ｚ3 -1 mod p となる。
して、ｚ3 ×Ｒ mod pのモンゴメリインバースＺ3 -1＝
ｚ3 -1×Ｒ-1×Ｒ mod p＝ｚ3 -1 mod pを求めて、REDC
((ｘ 3 ×Ｒ mod p）×Ｚ3 -1）とREDC((ｙ3 ×Ｒ mod
p）×Ｚ3 -1）とを計算する。逆数演算回路６は、モン
ゴメリ系での逆数演算アルゴリズム（モンゴメリインバ
ースアルゴリズム）に基づいて演算を行う。演算結果
は、 REDC((ｘ3 ×Ｒ mod p）×Ｚ3 -1）＝ｘ3 ×Ｒ×ｚ3 -1×Ｒ-1 mod p ＝ｘ3 ×ｚ3 -1 mod p REDC((ｙ3 ×Ｒ mod p）×Ｚ3 -1）＝ｙ3 ×Ｒ×ｚ3 -1×Ｒ-1 mod p ＝ｙ3 ×ｚ3 -1 mod p となる。
【００３２】以上の演算処理により、楕円曲線上の開始
点Ｐに対して、ｋＰを得る。そして実際の暗号化・復号
化処理は、次のような手順で行う。図２は、送信者Ａと
受信者Ｂとにおける暗号化・復号化処理の関係を示す模
式図である。
点Ｐに対して、ｋＰを得る。そして実際の暗号化・復号
化処理は、次のような手順で行う。図２は、送信者Ａと
受信者Ｂとにおける暗号化・復号化処理の関係を示す模
式図である。
【００３３】（送信者Ａ側での暗号化）乱数ｋに対し
て、 ｋＰ＝（ｘ1 ，ｙ1 ） ｋＱB ＝（ｘ2 ，ｙ2 ） を計算する。平文Ｍとｘ2 との排他的論理和をＸＯＲ回
路７で計算し、暗号文Ｃを得る。（ｘ1 ，ｙ1 ，Ｃ）を
受信者Ｂへ送る。
て、 ｋＰ＝（ｘ1 ，ｙ1 ） ｋＱB ＝（ｘ2 ，ｙ2 ） を計算する。平文Ｍとｘ2 との排他的論理和をＸＯＲ回
路７で計算し、暗号文Ｃを得る。（ｘ1 ，ｙ1 ，Ｃ）を
受信者Ｂへ送る。
【００３４】（送信者Ｂ側での復号化）ｄB （ｘ1 ，ｙ
1 ）＝ｄB ｋＰ＝ｋｄB Ｐ＝ｋＱB ＝（ｘ2 ，ｙ2 ）を
得る。暗号文Ｃとｘ2 との排他的論理和をＸＯＲ回路７
計算して、平文Ｍを得る。
1 ）＝ｄB ｋＰ＝ｋｄB Ｐ＝ｋＱB ＝（ｘ2 ，ｙ2 ）を
得る。暗号文Ｃとｘ2 との排他的論理和をＸＯＲ回路７
計算して、平文Ｍを得る。
【００３５】上述したような構成において、本発明の乗
算剰余演算回路２は、従来の変数格納用のレジスタの代
わりにワーキングメモリ（変数格納用とワーク用）を用
いている。よって、従来より回路規模を小さくでき、ま
た、変数のビット長の拡張にも対応できる。
算剰余演算回路２は、従来の変数格納用のレジスタの代
わりにワーキングメモリ（変数格納用とワーク用）を用
いている。よって、従来より回路規模を小さくでき、ま
た、変数のビット長の拡張にも対応できる。
【００３６】また、本発明の逆数演算回路６は、２つの
加算器を有し、２組の変数（１組あたり２つの変数で合
計４つの変数）に対して、１サイクルで同時に演算を行
う。よって、演算時間の高速化を図れる。
加算器を有し、２組の変数（１組あたり２つの変数で合
計４つの変数）に対して、１サイクルで同時に演算を行
う。よって、演算時間の高速化を図れる。
【００３７】また、本発明のｐ′演算回路５と逆数演算
回路６とにおいて、シフト演算処理を結線のつなぎ替え
にて行うようにする。よって、これらの回路の規模を小
さくできる。
回路６とにおいて、シフト演算処理を結線のつなぎ替え
にて行うようにする。よって、これらの回路の規模を小
さくできる。
【００３８】
【発明の実施の形態】以下、本発明をその実施の形態を
示す図面を参照して具体的に説明する。図３〜図７は、
前述した図１における乗算剰余演算回路２，加減算回路
３，Ｒ2 modp 演算回路４，ｐ′演算回路５及び逆数演
算回路６の各回路のハードウェア構成を示す図である。
図３〜図７を参照して、各回路について具体的に説明す
る。
示す図面を参照して具体的に説明する。図３〜図７は、
前述した図１における乗算剰余演算回路２，加減算回路
３，Ｒ2 modp 演算回路４，ｐ′演算回路５及び逆数演
算回路６の各回路のハードウェア構成を示す図である。
図３〜図７を参照して、各回路について具体的に説明す
る。
【００３９】（乗算剰余演算回路）図３は、乗算剰余演
算回路２の内部構成の一例を示す。図においてＦＦはフ
リップフロップを示し、64×64乗算器は64ビット×64ビ
ットの乗算器、64加算器は64ビットの加算器をそれぞれ
示す。本発明では、レジスタの代わりにワーキングメモ
リを利用する。
算回路２の内部構成の一例を示す。図においてＦＦはフ
リップフロップを示し、64×64乗算器は64ビット×64ビ
ットの乗算器、64加算器は64ビットの加算器をそれぞれ
示す。本発明では、レジスタの代わりにワーキングメモ
リを利用する。
【００４０】本例の乗算剰余演算回路２では、途中の計
算結果を格納するワーキングメモリの容量を小さくする
ために、乗数を分割して乗算剰余演算を行う方式を採用
する。例えば、被乗数Ａ（192 ビット），乗数Ｂ（192
ビット）とした場合、乗数Ｂを64ビット単位に分割して
部分積毎に剰余を求めていく。
算結果を格納するワーキングメモリの容量を小さくする
ために、乗数を分割して乗算剰余演算を行う方式を採用
する。例えば、被乗数Ａ（192 ビット），乗数Ｂ（192
ビット）とした場合、乗数Ｂを64ビット単位に分割して
部分積毎に剰余を求めていく。
【００４１】モンゴメリ系では、下位64ビットがすべて
０になるようにｐの倍数を加算するために、通常の部分
積剰余演算とは異なり、下位64ビットから計算していく
必要がある。即ち、Ａ×Ｂ0 の乗算を行い、その結果の
値（192 ＋64ビット）の下位64ビットが０となるよう
に、ｐの倍数を足していく。ｐの倍数は、下位64ビット
の値にｐ′をかけた結果の下位64ビットである。次に、
Ａ×Ｂ1 ，Ａ×Ｂ2 に同様の計算を行う。
０になるようにｐの倍数を加算するために、通常の部分
積剰余演算とは異なり、下位64ビットから計算していく
必要がある。即ち、Ａ×Ｂ0 の乗算を行い、その結果の
値（192 ＋64ビット）の下位64ビットが０となるよう
に、ｐの倍数を足していく。ｐの倍数は、下位64ビット
の値にｐ′をかけた結果の下位64ビットである。次に、
Ａ×Ｂ1 ，Ａ×Ｂ2 に同様の計算を行う。
【００４２】以下に、アルゴリズムを示す。 ｉ＝０； ｉ＜３； ＋＋ ｉ←０， Ｗ←０ Ｗ←Ａ×Ｂi ＋Ｗ Ｗ←Ｗ＋（((Ｗ mod ２64）×ｐ′）mod ２64）×ｐ Ｗ←Ｗ／２64
【００４３】（加減算回路）図４は、加減算回路３の内
部構成の一例を示す。図において、ＦＦはフリップフロ
ップ、64ＦＦは64ビットのフリップフロップ、64加算器
は64ビットの加算器をそれぞれ示す。
部構成の一例を示す。図において、ＦＦはフリップフロ
ップ、64ＦＦは64ビットのフリップフロップ、64加算器
は64ビットの加算器をそれぞれ示す。
【００４４】加減算回路３において、コマンドレジスタ
に加算か減算かを設定する。設定した値（０または１）
によって第１，第２のセレクタの制御が、下記表１のよ
うに行われる。
に加算か減算かを設定する。設定した値（０または１）
によって第１，第２のセレクタの制御が、下記表１のよ
うに行われる。
【００４５】
【表１】
【００４６】ａ，ｂ，ｐを64ビット単位で下位から演算
を行い、各回の演算の結果を、下記表２のように第４，
第５のワーキングメモリに格納していく。このような演
算・格納処理を３回行う。
を行い、各回の演算の結果を、下記表２のように第４，
第５のワーキングメモリに格納していく。このような演
算・格納処理を３回行う。
【００４７】
【表２】
【００４８】３回目の演算後、第１，第２の64加算器で
のキャリー情報とコマンドレジスタでの設定情報とによ
り、第４のワーキングメモリと第５のワーキングメモリ
との何れの結果を選択するかを、下記表３のように、判
定器にて判定する。
のキャリー情報とコマンドレジスタでの設定情報とによ
り、第４のワーキングメモリと第５のワーキングメモリ
との何れの結果を選択するかを、下記表３のように、判
定器にて判定する。
【００４９】
【表３】
【００５０】（Ｒ2 mod p 演算回路）図５は、Ｒ2 mod
p 演算回路４の内部構成の一例を示す。図において、Ｆ
Ｆはフリップフロップ、64加算器は64ビットの加算器を
それぞれ示す。
p 演算回路４の内部構成の一例を示す。図において、Ｆ
Ｆはフリップフロップ、64加算器は64ビットの加算器を
それぞれ示す。
【００５１】ここで、ｐの値を192 ビットとする。即
ち、Ｒ＝２192 となる値を用い、Ｒ2mod p 演算回路４
では、２384 mod p を計算することになる。基本的な演
算方法としては、 ステップ１ Ｙ←Ｒ mod p， Ｔ←192 ステップ２ Ｙ←Ｙ×２ mod p ステップ３ Ｔ←Ｔ−１，もし、Ｔ＝０の場合はステップ４へ それ以外はステップ２へ ステップ４ Ｒ2 mod p ←Ｙ なる計算を行うことが一般的である。ここでは、計算時
間の短縮化を図るために、２ビット単位での処理を行う
ことにする。つまり、 ステップ１ Ｙ←Ｒ mod p， Ｔ←192 ステップ２ Ｙ←Ｙ×４ mod p ステップ３ Ｔ←Ｔ−２，もし、Ｔ＝０の場合はステップ４へ それ以外はステップ２へ ステップ４ Ｒ2 mod p ←Ｙ なる計算を行う。
ち、Ｒ＝２192 となる値を用い、Ｒ2mod p 演算回路４
では、２384 mod p を計算することになる。基本的な演
算方法としては、 ステップ１ Ｙ←Ｒ mod p， Ｔ←192 ステップ２ Ｙ←Ｙ×２ mod p ステップ３ Ｔ←Ｔ−１，もし、Ｔ＝０の場合はステップ４へ それ以外はステップ２へ ステップ４ Ｒ2 mod p ←Ｙ なる計算を行うことが一般的である。ここでは、計算時
間の短縮化を図るために、２ビット単位での処理を行う
ことにする。つまり、 ステップ１ Ｙ←Ｒ mod p， Ｔ←192 ステップ２ Ｙ←Ｙ×４ mod p ステップ３ Ｔ←Ｔ−２，もし、Ｔ＝０の場合はステップ４へ それ以外はステップ２へ ステップ４ Ｒ2 mod p ←Ｙ なる計算を行う。
【００５２】このようなＹ×４ mod pの計算をハードウ
ェアで行う場合、なにも引かない、−ｐ，−２ｐ，−３
ｐの剰余演算が必要となり、並列に行うには、４個の加
算器が必要になる。本例のＲ2 mod p 演算回路４では、
このような演算を表４に示すようなアルゴリズムを用い
て２個の加算器（第１，第２の64加算器）で行い、回路
規模の削減と計算の高速化とを実現している。つまり、
被除数Ｙの上位３ビット，除数Ｐの上位２ビットに応じ
て、以下の表４のような処理を行う。
ェアで行う場合、なにも引かない、−ｐ，−２ｐ，−３
ｐの剰余演算が必要となり、並列に行うには、４個の加
算器が必要になる。本例のＲ2 mod p 演算回路４では、
このような演算を表４に示すようなアルゴリズムを用い
て２個の加算器（第１，第２の64加算器）で行い、回路
規模の削減と計算の高速化とを実現している。つまり、
被除数Ｙの上位３ビット，除数Ｐの上位２ビットに応じ
て、以下の表４のような処理を行う。
【００５３】
【表４】
【００５４】なお、1024ビットのＲＳＡ演算の場合に
は、Ｒ＝２1024としてＲ2 mod p 演算回路４での演算を
行う。
は、Ｒ＝２1024としてＲ2 mod p 演算回路４での演算を
行う。
【００５５】（ｐ′演算回路）図６は、ｐ′演算回路５
の内部構成の一例を示す。本発明では、１ビットのシフ
ト演算処理が結線のつなぎ替えにて行われるように構成
されており、回路規模の小型化を図っている。
の内部構成の一例を示す。本発明では、１ビットのシフ
ト演算処理が結線のつなぎ替えにて行われるように構成
されており、回路規模の小型化を図っている。
【００５６】モンゴメリ系では、Ｒ×Ｒ-1−ｐ×ｐ′＝
１となるｐ′を用いて演算を行う。ｐ′演算回路５でこ
のｐ′を求める。上記式の両辺にmod Ｒをとることによ
り、、以下のようになる。 ｐ×ｐ′≡Ｒ−１（mod Ｒ）
１となるｐ′を用いて演算を行う。ｐ′演算回路５でこ
のｐ′を求める。上記式の両辺にmod Ｒをとることによ
り、、以下のようになる。 ｐ×ｐ′≡Ｒ−１（mod Ｒ）
【００５７】Ｒは２のべき乗の値をとるため、右辺は何
倍してもＲ以下のビット（本暗号ハードウェア下位64ビ
ット）に関しては、ｐ×ｐ′の値がすべて１になるよう
に、ｐ′を選べば良い。ｐ′を求めるアルゴリズムは、
以下のとおりである。 ステップ１ Ｙ←０， Ｔ←０，ｐ′←０ ステップ２ Ｙ mod 2＝０の場合はＹ←Ｙ＋ｐ， ｐ′←ｐ′＋２T ステップ３ Ｙ←Ｙ／２ ステップ４ Ｔ＝63の場合は終了 それ以外はステップ２へ
倍してもＲ以下のビット（本暗号ハードウェア下位64ビ
ット）に関しては、ｐ×ｐ′の値がすべて１になるよう
に、ｐ′を選べば良い。ｐ′を求めるアルゴリズムは、
以下のとおりである。 ステップ１ Ｙ←０， Ｔ←０，ｐ′←０ ステップ２ Ｙ mod 2＝０の場合はＹ←Ｙ＋ｐ， ｐ′←ｐ′＋２T ステップ３ Ｙ←Ｙ／２ ステップ４ Ｔ＝63の場合は終了 それ以外はステップ２へ
【００５８】この演算は、下位のビットからｐのべき数
倍を加えていくことにより、下位64ビットがすべて１に
なるようなｐを求めていく演算である。
倍を加えていくことにより、下位64ビットがすべて１に
なるようなｐを求めていく演算である。
【００５９】（逆数演算回路（モンゴメリインバース演
算回路））図７は、逆数演算回路６の内部構成の一例を
示す。図において、ＦＦはフリップフロップ、64ＦＦは
64ビットのフリップフロップ、64加算器は64ビットの加
算器をそれぞれ示す。本発明では、第１の64加算器，第
２の64加算器の２個の加算器を有し、後述するような
ｕ，ｖの２変数に対する第１の64加算器での処理と、後
述するようなｒ，ｓの２変数に対する第２の64加算器で
の処理とを、１サイクルで同時に行うようにして、演算
時間の短縮化を図っている。
算回路））図７は、逆数演算回路６の内部構成の一例を
示す。図において、ＦＦはフリップフロップ、64ＦＦは
64ビットのフリップフロップ、64加算器は64ビットの加
算器をそれぞれ示す。本発明では、第１の64加算器，第
２の64加算器の２個の加算器を有し、後述するような
ｕ，ｖの２変数に対する第１の64加算器での処理と、後
述するようなｒ，ｓの２変数に対する第２の64加算器で
の処理とを、１サイクルで同時に行うようにして、演算
時間の短縮化を図っている。
【００６０】楕円曲線上の点の加算処理の結果、得られ
る座標値は、 Ｘ座標 ｘ3 ×Ｒ mod p Ｙ座標 ｙ3 ×Ｒ mod p Ｚ座標 ｚ3 ×Ｒ mod p である。ここで、Ｚ座標の逆数ｚ3 -1を求めて、最終的
に座標（ｘ3 ×ｚ3 -1，ｙ3 ×ｚ3 -1）を求めるのであ
るが、逆数演算に以下のモンゴメリインバースアルゴリ
ズムを用いてｚ3 -1を求める。
る座標値は、 Ｘ座標 ｘ3 ×Ｒ mod p Ｙ座標 ｙ3 ×Ｒ mod p Ｚ座標 ｚ3 ×Ｒ mod p である。ここで、Ｚ座標の逆数ｚ3 -1を求めて、最終的
に座標（ｘ3 ×ｚ3 -1，ｙ3 ×ｚ3 -1）を求めるのであ
るが、逆数演算に以下のモンゴメリインバースアルゴリ
ズムを用いてｚ3 -1を求める。
【００６１】［アルゴリズム］ 入力：ａ，ｂ，ｎ （ａは奇数（ａ＞ｂ＞０，ｎはａの
ビット数）） 出力：『互いに素でない』またはｂ-1×２n mod ａ 第１フェーズ ｕ←ａ， ｖ←ｂ， ｒ←０， ｓ←１ ｋ←０ ｖ＝０になるまで、以下を繰り返す。 ｕが偶数の場合 ｕ←ｕ／２， ｓ←２ｓ ｕが奇数の場合 ｖが偶数のとき ｖ←ｖ／２， ｒ←２ｒ ｖが奇数のとき ｕ＞ｖの場合 ｕ←（ｕ−ｖ）／２，ｒ←ｒ＋ｓ，ｓ←
２ｓ ｕ≦ｖの場合 ｖ←（ｖ−ｕ）／２，ｓ←ｒ＋ｓ，ｒ←
２ｒ ｋ←ｋ＋１ ｕ≠１なら 『互いに素でない』を返す。 ｒ≧ａなら ｒ←ｒ−ａ 第２フェーズ ｉ＝１； ｉ≦ｋ−ｎ；＋＋ ｒが偶数の場合 ｒ←ｒ／２ ｒが奇数の場合 ｒ←（ｒ＋ａ）／２ ａ−ｒを返す。
ビット数）） 出力：『互いに素でない』またはｂ-1×２n mod ａ 第１フェーズ ｕ←ａ， ｖ←ｂ， ｒ←０， ｓ←１ ｋ←０ ｖ＝０になるまで、以下を繰り返す。 ｕが偶数の場合 ｕ←ｕ／２， ｓ←２ｓ ｕが奇数の場合 ｖが偶数のとき ｖ←ｖ／２， ｒ←２ｒ ｖが奇数のとき ｕ＞ｖの場合 ｕ←（ｕ−ｖ）／２，ｒ←ｒ＋ｓ，ｓ←
２ｓ ｕ≦ｖの場合 ｖ←（ｖ−ｕ）／２，ｓ←ｒ＋ｓ，ｒ←
２ｒ ｋ←ｋ＋１ ｕ≠１なら 『互いに素でない』を返す。 ｒ≧ａなら ｒ←ｒ−ａ 第２フェーズ ｉ＝１； ｉ≦ｋ−ｎ；＋＋ ｒが偶数の場合 ｒ←ｒ／２ ｒが奇数の場合 ｒ←（ｒ＋ａ）／２ ａ−ｒを返す。
【００６２】Ｒ＝２192 よりｎ＝192(固定）となり、ｋ
＜ｎの場合が出てくる。そのため、上記アルゴリズムの
第２フェーズを以下のように、拡張する。 第２フェーズ ｋ≧ｎの場合 ｉ＝１； ｉ≦ｋ−ｎ；＋＋ ｒが偶数のとき ｒ←ｒ／２ ｒが奇数のとき ｒ←（ｒ＋ａ）／２ ｋ＜ｎの場合 ｉ＝１； ｉ≦ｋ−ｎ；＋＋ ｒ←２ｒ ｒ＞ａのとき ｒ←ｒ−ａ それ以外は そのまま ａ−ｒを返す。
＜ｎの場合が出てくる。そのため、上記アルゴリズムの
第２フェーズを以下のように、拡張する。 第２フェーズ ｋ≧ｎの場合 ｉ＝１； ｉ≦ｋ−ｎ；＋＋ ｒが偶数のとき ｒ←ｒ／２ ｒが奇数のとき ｒ←（ｒ＋ａ）／２ ｋ＜ｎの場合 ｉ＝１； ｉ≦ｋ−ｎ；＋＋ ｒ←２ｒ ｒ＞ａのとき ｒ←ｒ−ａ それ以外は そのまま ａ−ｒを返す。
【００６３】また、逆数を計算するアルゴリズムとし
て、拡張ユークリッドが知られているが、モンゴメリイ
ンバースアルゴリズムでは、計算の途中に負の値をとら
ないため、ハードウェアでの実現に有効である。
て、拡張ユークリッドが知られているが、モンゴメリイ
ンバースアルゴリズムでは、計算の途中に負の値をとら
ないため、ハードウェアでの実現に有効である。
【００６４】上述した本例の乗算剰余演算回路２，加減
算回路３，Ｒ2 mod p 演算回路４及びｐ′演算回路５の
回路規模の合計は約５万８千ゲートであり、これに上述
の逆数演算回路６の約５千ゲートの回路規模の追加によ
り、楕円暗号演算が可能となる。また、上述した本回路
構成での楕円暗号演算の処理時間は、約60ｍｓｅｃ（ク
ロック５ＭＨｚ，データ長192 ビット）であり、逆数演
算回路（モンゴメリインバース演算回路）６の処理時間
は、約0.6 ｍｓｅｃと評価できる。
算回路３，Ｒ2 mod p 演算回路４及びｐ′演算回路５の
回路規模の合計は約５万８千ゲートであり、これに上述
の逆数演算回路６の約５千ゲートの回路規模の追加によ
り、楕円暗号演算が可能となる。また、上述した本回路
構成での楕円暗号演算の処理時間は、約60ｍｓｅｃ（ク
ロック５ＭＨｚ，データ長192 ビット）であり、逆数演
算回路（モンゴメリインバース演算回路）６の処理時間
は、約0.6 ｍｓｅｃと評価できる。
【００６５】
【発明の効果】以上説明したように、本発明によれば、
乗算剰余演算回路に、加減算回路と逆数演算回路とを付
加することにより、ＲＳＡ暗号演算と楕円暗号演算との
両演算が可能となる。また、レジスタの代わりにワーキ
ングメモリを使って回路規模の小型化を実現することに
より、演算チップの省スペース化という効果がある。
乗算剰余演算回路に、加減算回路と逆数演算回路とを付
加することにより、ＲＳＡ暗号演算と楕円暗号演算との
両演算が可能となる。また、レジスタの代わりにワーキ
ングメモリを使って回路規模の小型化を実現することに
より、演算チップの省スペース化という効果がある。
【図１】本発明の原理説明図である。
【図２】暗号化・復号化処理の関係を示す模式図であ
る。
る。
【図３】乗算剰余演算回路の構成図である。
【図４】加減算回路の構成図である。
【図５】Ｒ2 mod p 演算回路の構成図である。
【図６】ｐ′演算回路の構成図である。
【図７】逆数演算回路（モンゴメリインバース演算回
路）の構成図である。
路）の構成図である。
１ 演算装置 ２ 乗算剰余演算回路 ３ 加減算回路 ４ Ｒ2 mod p 演算回路 ５ ｐ′演算回路 ６ 逆数演算回路（モンゴメリインバース演算回路） ７ ＸＯＲ（Exclusive OR）回路
───────────────────────────────────────────────────── フロントページの続き (72)発明者 長谷部 高行 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 武仲 正彦 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内
Claims (5)
- 【請求項１】 モンゴメリのアルゴリズムに応じた演算
を含む演算処理を行う演算装置において、変数と途中の
演算結果とを格納するワーキングメモリを設けたことを
特徴とする演算装置。 - 【請求項２】 モンゴメリのアルゴリズムを利用して、
ＲＳＡ暗号処理を行うＲＳＡ暗号演算装置において、変
数と途中の演算結果とを格納するワーキングメモリを設
けたことを特徴とするＲＳＡ暗号演算装置。 - 【請求項３】 モンゴメリのアルゴリズムを利用して、
楕円暗号処理を行う楕円暗号演算装置において、変数と
途中の演算結果とを格納するワーキングメモリを設けた
乗算剰余演算回路と、モンゴメリ系での演算に必要なパ
ラメータを演算するパラメータ演算回路と、加減算を行
う加減算回路と、モンゴメリ系での逆数演算を行う逆数
演算回路とを備えることを特徴とする楕円暗号演算装
置。 - 【請求項４】 前記逆数演算回路は、モンゴメリの逆数
アルゴリズムにおける２組４個の変数の加算処理を各組
毎にそれぞれ並列的に行う２個の加算器を有する請求項
３記載の楕円暗号演算装置。 - 【請求項５】 前記パラメータ演算回路及び／または前
記逆数演算回路は、ビットのシフト処理を結線のつなぎ
替えにて行うように構成した請求項３記載の楕円暗号演
算装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP30475897A JPH11143688A (ja) | 1997-11-06 | 1997-11-06 | 演算装置並びにこれを利用したｒｓａ暗号演算装置及び楕円暗号演算装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP30475897A JPH11143688A (ja) | 1997-11-06 | 1997-11-06 | 演算装置並びにこれを利用したｒｓａ暗号演算装置及び楕円暗号演算装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPH11143688A true JPH11143688A (ja) | 1999-05-28 |
Family
ID=17936883
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP30475897A Pending JPH11143688A (ja) | 1997-11-06 | 1997-11-06 | 演算装置並びにこれを利用したｒｓａ暗号演算装置及び楕円暗号演算装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JPH11143688A (ja) |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20020071327A (ko) * | 2001-03-06 | 2002-09-12 | 미션텔레콤 주식회사 | 씨알티를 이용한 하이래딕스 알에스에이 모듈로 멱승 처리기 |
| JP2004078495A (ja) * | 2002-08-15 | 2004-03-11 | Sony Corp | 非接触式ｉｃカード |
| US7080110B2 (en) | 2000-12-19 | 2006-07-18 | International Business Machines Corporation | Hardware implementation for modular multiplication using a plurality of almost entirely identical processor elements |
| KR100617384B1 (ko) | 2004-09-24 | 2006-08-31 | 광주과학기술원 | Ｒｓａ 보안 모듈의 몽고메리 곱셈기 |
| US7277540B1 (en) | 1999-01-20 | 2007-10-02 | Kabushiki Kaisha Toshiba | Arithmetic method and apparatus and crypto processing apparatus for performing multiple types of cryptography |
| JP2010164721A (ja) * | 2009-01-15 | 2010-07-29 | Sharp Corp | モンゴメリ乗算のための演算回路及び暗号回路 |
| US7870395B2 (en) | 2006-10-20 | 2011-01-11 | International Business Machines Corporation | Load balancing for a system of cryptographic processors |
| US7890559B2 (en) | 2006-12-22 | 2011-02-15 | International Business Machines Corporation | Forward shifting of processor element processing for load balancing |
-
1997
- 1997-11-06 JP JP30475897A patent/JPH11143688A/ja active Pending
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7277540B1 (en) | 1999-01-20 | 2007-10-02 | Kabushiki Kaisha Toshiba | Arithmetic method and apparatus and crypto processing apparatus for performing multiple types of cryptography |
| US7080110B2 (en) | 2000-12-19 | 2006-07-18 | International Business Machines Corporation | Hardware implementation for modular multiplication using a plurality of almost entirely identical processor elements |
| KR20020071327A (ko) * | 2001-03-06 | 2002-09-12 | 미션텔레콤 주식회사 | 씨알티를 이용한 하이래딕스 알에스에이 모듈로 멱승 처리기 |
| JP2004078495A (ja) * | 2002-08-15 | 2004-03-11 | Sony Corp | 非接触式ｉｃカード |
| KR100617384B1 (ko) | 2004-09-24 | 2006-08-31 | 광주과학기술원 | Ｒｓａ 보안 모듈의 몽고메리 곱셈기 |
| US7870395B2 (en) | 2006-10-20 | 2011-01-11 | International Business Machines Corporation | Load balancing for a system of cryptographic processors |
| US7890559B2 (en) | 2006-12-22 | 2011-02-15 | International Business Machines Corporation | Forward shifting of processor element processing for load balancing |
| JP2010164721A (ja) * | 2009-01-15 | 2010-07-29 | Sharp Corp | モンゴメリ乗算のための演算回路及び暗号回路 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8504602B2 (en) | Modular multiplication processing apparatus | |
| CN109039640B (zh) | 一种基于rsa密码算法的加解密硬件系统及方法 | |
| JPH0720778A (ja) | 剰余計算装置、テーブル作成装置および乗算剰余計算装置 | |
| Kobayashi et al. | Fast elliptic curve algorithm combining Frobenius map and table reference to adapt to higher characteristic | |
| WO2010048719A1 (en) | Method and apparatus for modulus reduction | |
| US20020126838A1 (en) | Modular exponentiation calculation apparatus and modular exponentiation calculation method | |
| Großschädl | A bit-serial unified multiplier architecture for finite fields GF (p) and GF (2 m) | |
| JP3542278B2 (ja) | モンゴメリ・リダクション装置及び記録媒体 | |
| JPH11143688A (ja) | 演算装置並びにこれを利用したｒｓａ暗号演算装置及び楕円暗号演算装置 | |
| Moon et al. | Fast VLSI arithmetic algorithms for high-security elliptic curve cryptographic applications | |
| KR100457177B1 (ko) | 유한체 상의 두 원소의 곱을 구하는 직렬-병렬 곱셈기 | |
| JP4177526B2 (ja) | 乗算剰余演算方法および乗算剰余回路 | |
| CN111897578A (zh) | 一种特征为2的椭圆曲线上标量乘的并行处理方法及装置 | |
| US20040174995A1 (en) | Cryptosystems | |
| CN1230736C (zh) | 智能卡模乘器vlsi结构的计算机实现方法 | |
| JP4423900B2 (ja) | 楕円曲線暗号におけるスカラー倍計算方法と、その装置およびそのプログラム | |
| Kobayashi et al. | Fast modular inversion algorithm to match any operation unit | |
| JP3123820B2 (ja) | 有限可換群における演算器 | |
| JP3615405B2 (ja) | 素体上楕円曲線上の点の演算方法およびその装置 | |
| JP2000137436A (ja) | 素体上楕円曲線上の点の演算方法およびその装置 | |
| KR100322740B1 (ko) | 모듈러 연산장치 및 그 방법 | |
| CN114513306B (zh) | 数据加密传输方法、系统 | |
| JP3779479B2 (ja) | Ｉｃカード | |
| KR102348797B1 (ko) | Rsa 암호화 시스템의 rsa 회로 모듈 | |
| Poomagal et al. | Modular multiplication algorithm in cryptographic processor: A review and future directions |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Effective date: 20040518 Free format text: JAPANESE INTERMEDIATE CODE: A971007 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20040525 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20040716 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20041005 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20041206 |
|
| A911 | Transfer of reconsideration by examiner before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20041209 |
|
| A912 | Removal of reconsideration by examiner before appeal (zenchi) |
Effective date: 20050701 Free format text: JAPANESE INTERMEDIATE CODE: A912 |