JPH11174955A - 公開鍵暗号化装置、公開鍵暗号復号装置及び復号プログラム記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 安全性を保証し、かつ離散対数問題を効率的
に解き、処理量を従来と同様にする。 【解決手段】 奇素数ｐ，ｑに対し、ｎ＝ｐ² ｑと、ｇ
を公開し、ｇは（Ｚ／ｎＺ）^* の中から、ｇ_p ＝ｇ^r-1
mod ｐ² が（Ｚ／ｐ² Ｚ）^* の中で位数がｐとなるもの
から選定し、平文ｍと乱数ｒとｎからｍ＋ｒｎを求め
（１１０）、ｎとｇを用いＣ＝ｇ^m+rnmod ｎを計数して
暗号文を出力し（１２０）、Ｃに対し、Ｃmod ｐ² を求
め、更にＣ_p ＝Ｃ^p-1 mod ｐ² を計算し（２１０）、
（Ｃ_p −１）／ｐ＝Ｌ（Ｃ_p ）を求め、秘密鍵Ｌ
（ｇ_p ）^-1mod ｐをＬ（Ｃ_p ）に乗算して平文ｍを得る
（２００）。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は公開鍵暗号方式に
用いる暗号装置、復号装置、その処理プログラムを記録
した記録媒体に関する。

【０００２】

【従来の技術】機密保持性のない通信回線を介してデー
タを送受信する場合、送受信のデータの盗聴防止に暗号
法が用いられる。一般に、暗号法は共通鍵暗号と公開鍵
暗号の二種類に区別できる。共通鍵暗号は暗号鍵と復号
鍵が同じなので、鍵を秘密に配送する必要がある。ま
た、通信の組合せ数と同じ数だけ鍵を必要とするので、
ネットワーク内の送受信局数が増加すると、秘密に管理
する鍵の数が急激に増加することが問題となる。

【０００３】一方、公開鍵暗号は、暗号鍵と復号鍵が異
なっており、暗号鍵を公開しても、暗号鍵から復号鍵を
算出することが計算量的に難しければ、秘密鍵の秘密性
は損なわれないので、暗号鍵の配送が不用である。ま
た、各送受信局は自分の復号鍵だけを秘密に管理するの
で、秘密に管理する鍵の問題も解決できる。即ち、公開
鍵暗号を利用すれば、共通鍵暗号を利用する時に問題で
あった鍵の管理の問題が解決される。また、共通鍵暗号
を使う時の一番大きな問題であった、鍵配送の問題が解
決出来る、即ち、鍵を秘密に配送する必要がない。ま
た、共通鍵暗号では、鍵が当時者間で共有されているた
め、共通の鍵で作成された暗号文は、同鍵を所有する二
人のうちいずれかが作成したかが特定することが出来な
い。一方、公開鍵暗号では、秘密鍵を有するものが唯一
であるため、同鍵で暗号化された文章を作成出来るの
は、同鍵を持つもの唯一であるという意味で、証拠性を
持ち得る。この性質を、ディジタル署名と言う。

【０００４】即ち、公開鍵暗号を用いれば、ディジタル
署名が実現出来、通信の相手を認証することに利用出来
る。公開鍵暗号は、一方向性落し戸関数と呼ばれるもの
を使えば実現できることが知られている。一方向性関数
とは、一方から他方への計算は簡単であるが、その逆を
計算することは、計算量的に難しい関数のことで、その
一方向性関数に「ある秘密を知っていれば、逆も簡単に
計算できる」というしかけをもたせたものを一方向性落
し戸関数と言い、そのしかけを「落し戸」と呼ぶ。現在
のところ、素因数分解問題（合成数を入力とし、その合
成数の素因子を出力する関数と、素因数分解することは
同一視することが出来る。以下、ＩＦＰと表す。以下に
あげる問題も、これと同様にある関数と同一視すること
が出来る）、有限体の乗法群における離散対数問題（例
えば、ｐを素数として、有限素体Ｆ_p の乗法群Ｆ_p ^* ＝
＜ｇ＞において、その乗法群の元ｙが与えられていると
き、ｙ＝ｇ^x なる、整数ｘで０＜ｘ＜ｐを満たすものを
求める問題、以下、ＤＬＰと表す。）、有限体上の楕円
曲線における離散対数問題（例えば、ｐを素数として、
有限素体Ｆ_p 上定義された楕円曲線ＥのＦ_p −有理点全
体のなす群Ｅ（Ｆ_p）、その一つの点Ｇ、点Ｇで生成さ
れるＥ（Ｆ_p ）の部分群の点Ｐが与えられている時、Ｐ
＝ｍＧを満たす整数ｍを求める問題、以下、ＥＣＤＬＰ
と表す、但し、ｍＧは、楕円曲線上の加法でＧをｍ倍し
た点を表す。楕円曲線、及び楕円曲線暗号に関しては、
例えば、Menezes ，A.J.著“Elliptic Curve Public Ke
y Cryptosystems ”，Kluwer Academic Publishers（19
93）を参照。以下、この文献を文献１と称す）などが、
一方向性関数であろうと予想されているものの代表的な
ものであり、現在提案されている公開鍵暗号の中で、代
表的かつ実用的なものは、ＲＳＡ暗号、Rabin 暗号、El
Gamal 暗号、楕円曲線暗号（楕円ElGamal 暗号）が挙げ
られると思われるが、ＲＳＡ暗号、Rabin 暗号はＩＦＰ
の難しさ、ElGamal 暗号は、ＤＬＰの難しさ、楕円曲線
暗号は、有限体上の楕円曲線の点のなす群におけるElGa
mal 暗号で、これはＥＣＤＬＰの難しさに、それぞれ基
づくものである。

【０００５】ＲＳＡ暗号については、Communication of
the ACM，vol.21，pp.120-126(1978)に、Rivest，R.L.
等によって、“A Method for Obtaining Digital Signa
tures and Public-Key Cryptosystems”と題して論及さ
れており（以下、この文献を文献２と称す）、Rabin 暗
号については、MIT ，Technical Report，MIT/LSC/TR-2
12(1979)にRabin ，M.O.によって、“Digital Signatur
es and Public-Key Functions as intractable as Fact
orization ”と題して論及されている（以下、この文献
を文献３と称す）、さらに、ElGamal 暗号についてはＩ
ＥＥＥ Trans.on Information Theory，1T-31 ，４，p
p.469-472(1985)に、ElGamal Ｔ．によって、“A Publi
c-Key Cryptosystem and a Signature Scheme Based on
DiscreteLogarithms ”と題して論及されており（以
下、この文献を文献４と称す）、楕円曲線暗号について
は、Miller，Ｖ．Ｓ．とKoblitz ，Ｎ．によって、１９
８５年に独立に提案されたものであるが、Proc.of Cryp
to'85 ，LCNCS 218 ，Springer-Verlag ，pp.417-426(1
985)にMiller，Ｖ．Ｓ．によって“Use of EllipticCur
ves in Cryptography”と題して論及され（以下、この
文献を文献５と称す）、Math.Comp.，48，177 ，pp.203
-209(1987)にはKoblitz ，Ｎ．によって“Elliptic Cur
ve Cryptosystems”と題して論及されている（以下、こ
の文献を文献６と称す）。

【０００６】以下、具体的にこれらの暗号を紹介をし、
その性質について述べる。ＲＳＡ暗号の構成法は次の通
りである。異なる奇素数ｐ，ｑを選び、ｎ，ｅ，ｄを次
の式を満たすように取る。 ｎ＝ｐｑ， ＧＣＤ（ｅ，ＬＣＭ（ｐ−１，ｑ−１））＝１， ｅｄ≡１（mod ＬＣＭ（ｐ−１，ｑ−１）） ここで、ＧＣＤ（ａ，ｂ）は、整数ａ，ｂの最大公約
数，ＬＣＭ（ａ，ｂ）は、整数ａ，ｂの最小公倍数を表
すものとする。

【０００７】（ｎ，ｅ）を公開鍵（ｄ，ｐ，ｑ）を秘密
鍵として、暗号化処理（Ｅ₁ ）と復号処理（Ｄ₁ ）を Ｃ≡Ｅ₁ （Ｍ）≡Ｍ^e （mod ｎ） （１） Ｍ≡Ｄ₁ （Ｃ）≡Ｃ^d （mod ｎ） （２） で定義する。この時、Ｍが０＜Ｍ＜ｎ−１を満たすなら
ば Ｄ₁ （Ｅ₁ （Ｍ））＝Ｍ （３） が成り立つ。

【０００８】Rabin 暗号の構成法は次の通りである。
ｐ，ｑ，ｎを上述の通りに取り、さらに、０＜ｂ＜ｎを
満たす整数ｂを取る。（ｎ，ｂ）を公開鍵、（ｐ，ｑ）
を秘密鍵として、暗号化処理（Ｅ₂ ）、復号処理
（Ｄ₂ ）を Ｃ≡Ｅ₂ （Ｍ）≡Ｍ（Ｍ＋ｂ）（mod ｎ） （４） Ｍ≡Ｄ₂ （Ｃ）≡（−ｂ±√（ｂ² ＋４Ｃ))/2（mod ｐかつmod ｑ）（５） で定義する。Rabin 暗号は、復号時に連立方程式を解く
ことになるが、二次方程式は二つの解を持つので、一般
には四つの解が現れてきて、上のままでは復号が一意に
出来ないという問題があった。これは、なんらかの付加
的な情報を付けて通信を行なう、即ち、運用上の問題と
して回避することも出来るし、一意に復号出来るように
改良もされている。これに関しては、電子情報通信学会
論文誌、Vol.J70-A ，No．１１，pp.1632-1636(1987)
に、黒澤 馨等によって“素因数分解の困難さと同等の
強さを有する逆数を利用した公開鍵暗号”と題して論及
されている。（以下、この文献を文献７と称する） また、ElGamal 暗号の構成は次の通りである。ｐを素
数、ｇを、ｐを法とした既約剰余類群（Ｚ／ｐＺ）^* の
一つの生成元、即ち、位数がｐ−１の元とし、０＜ｘ＜
ｐなる整数ｘを任意に取り、ｙ≡ｇ^x （mod p ）とお
く。この時、（ｙ，ｇ，ｐ）を公開鍵、ｘを秘密鍵とし
て、暗号化処理（Ｅ₃ ）、復号処理（Ｄ₃ ）を Ｃ＝（Ｃ₁ ，Ｃ₂ ）＝Ｅ₃ （Ｍ） （６） Ｃ₁ ≡ｇ^r （mod ｐ） （７） Ｃ₂ ≡ｙ^r Ｍ（mod ｐ） （８） Ｍ≡Ｄ₃ （Ｃ）≡Ｃ₂ ／Ｃ_p ^x mod ｐ （９） で定義する。ここで、ｒは、０＜ｒ＜ｐなる任意の整数
とし、暗号化処理をするたびに選ぶものとする。

【０００９】Ｍが０＜Ｍ＜ｐであれば、 Ｍ＝Ｄ₃ （Ｅ₃ （Ｍ）） （10） が成立する。楕円曲線暗号（楕円 ElGamal暗号）の構成
は次の通りである。ｐを素数、有限素体Ｆ_p 上の楕円曲
線Ｅ（ａ，ｂ）：ｙ² ＝ｘ³ ＋ａｘ＋ｂ（ａ，ｂ∈
Ｆ_p ，４ａ³ ＋２７ｂ² ≠０）、楕円曲線上のＦ_p −有
理点Ｇで、その位数ｑが十分大きな素数を約数に持つも
のが取れるものとする。０＜ｘ＜ｑなる任意の整数を取
り、Ｅ（ａ，ｂ）上の加法でＰ＝ｘＧとする。この時、
（ｐ，Ｅ（ａ，ｂ），Ｇ，Ｐ，ｑ）を公開鍵、ｘは秘密
鍵として暗号化処理（Ｅ₄ ）、復号処理（Ｄ₄ ）を Ｃ＝（Ｃ₁ ，Ｃ₂ ）＝Ｅ₄ （Ｍ） （11） Ｃ₁ ＝ｒＧ₁ （12） Ｃ₂ ＝ｒＰ＋Ｍ （13） Ｍ＝Ｄ₄ （Ｃ）＝（Ｃ₂ −ｘＣ₁ のＸ−座標） （14） で定める。ここで、ｒは０＜ｒ＜ｑを満たす任意の整数
とし、暗号化処理のたびに選ぶものとする。また、ｒＰ
＋Ｍは、Ｘ−座標がＭとなる楕円曲線上の点と点ｒＰと
の楕円曲線上での和を表すものとする。一般には、常に
ＭをＸ−座標に持つ点が、与えられた楕円曲線上に存在
するかどうかは分からないが（ここでの場合は、確率１
／２で点が存在する）、何らかの、システムに共通の規
則を定めてＭにある程度の冗長情報を付加することによ
って、常に、冗長情報を付加したものをＸ−座標に持つ
ような点が取れるように出来る。

【００１０】次に、上述の暗号の計算量について述べ
る。ＲＳＡ暗号の計算量は、暗号化処理、復号処理が共
にｋ³ のオーダーで実現されることが知られている。こ
こで、ｋは公開鍵ｎのビット数を表すとする。Rabin 暗
号の計算量は、暗号化処理はｋ ² のオーダーで、復号処
理はｋ³ のオーダーで実現される。このｋも公開鍵ｎの
ビット数を表すものとする。

【００１１】ElGamal 暗号の計算量は、暗号化処理、復
号処理共にｋ³ のオーダーで実現できる。ここで、ｋ
は、公開鍵である素数ｐのビット数を表すものとする。
さらに、楕円曲線暗号の計算量は、暗号化処理、復号処
理共にｋ³ のオーダーで実現できることが知られてい
る。ここで、ｋは公開鍵である素数ｐのビット数である
とする。

【００１２】オーダーで比較するなら、上述の暗号は計
算量はあまり変わらないが、実装させると、差が出てく
ることは明らかである。実際、楕円曲線上の加法は、そ
の定義体である有限体における乗法の１０倍程度時間が
かかることが知られている。次に、安全性について述べ
る。暗号は、攻撃者（盗聴者）に通信内容を隠して送る
ことを目的とするため、どの程度通信内容を隠している
かの度合が重要になる。即ち、秘匿性としては、完全解
読（暗号文から、平文が完全に求められる事）と部分解
読（暗号文から、平文の部分情報が求められる事）の二
種類に分類できる。次に、公開鍵暗号の攻撃者のタイプ
には、単に暗号通信を受信し、その情報だけから解読を
試みる受動的攻撃と、送信者に様々な質問とし（暗号文
を送り）、その回答（その復号結果）をもらうことが許
され、それらの情報をもとにして、目的とする暗号文を
解読するような能動的攻撃の二種類に分けられる。特
に、能動的攻撃の中でも、適応的選択暗号文攻撃（解読
者が任意に選んだ暗号文を真の受信者に復号させた後、
そこで得た情報と公開情報を用いて、別の暗号文を復号
する攻撃）がもっとも強力である。

【００１３】さて、そこで、これらの分類を元に、上述
の代表的な公開鍵暗号の安全性について述べることにす
ると、ＲＳＡ暗号、Rabin 暗号のようなＩＦＰの難しさ
に基づく暗号は、公開鍵ｎを素因数分解出来れば、秘密
鍵である素数ｐ，ｑが分かり、ＬＣＭ（ｐ−１，ｑ−
１）が計算出来て、秘密鍵ｄが求められ、安全に解読さ
れてしまう、ここで、ＬＣＭ（ｐ−１，ｑ−１）を、ｎ
だけから求めようとすることは、ｎを素因数分解するこ
とと等価であることが証明されている。即ち、ｐ，ｑが
分からないままで、ＬＣＭ（ｐ−１，ｑ−１）を求める
ことは出来ない。しかし、ＲＳＡ暗号は、公開鍵ｎを素
因数分解する以外の方法で完全解読出来る可能性が残っ
ているが、Rabin 暗号を完全解読する方法は、公開鍵ｎ
を素因数分解する以外にないことが証明されている。即
ち、ＲＳＡ暗号を解読することはＩＦＰを解くことと等
価であるかどうかは未解決であるが、Rabin 暗号の完全
解読は、ＩＦＰを解くことと等価であることが証明され
ている。（上述の逆数暗号も、ＩＦＰと等価であること
が証明されている）このRabin の結果は、ある基本的な
問題（今の場合、ＩＦＰ）が難しいであろうと仮定する
ことによって、暗号のある種の安全性が証明出来ること
を初めて示したものである。今の場合、上述の公開鍵暗
号の安全性で言えば、受動的攻撃に対して安全であるこ
とが、ＩＦＰの難しさを仮定した上で、証明されたこと
を意味している。部分解読に関しては、ＲＳＡ暗号、Ra
bin 暗号共に、暗号文Ｃから、平文Ｍの最下位ビットを
求めることは、Ｃから、Ｍ全体を求めることと同じ位難
しいことが証明されている。また、さらに同様にＭの最
下位よりlog k ビットの部分が同様の安全性を持つこと
が証明されている。この事実は、SIAM Journal of Comp
uting ，17，２，pp.449-457(1988)において、Alexi ，
Ｗ．等によって、“ＲＳＡ and Rabin Functions：Cert
ain Patrs Are as Hard as the Whole”と題して論及さ
れている。（以下、この文献を文献８と称す） 次に、ElGamal 暗号の安全性についてであるが、これは
ＤＬＰの難しさに基づく暗号であるので、ＤＬＰが解け
れば、公開鍵（ｙ，ｇ，ｐ）から、秘密鍵ｘが求めら
れ、解読されてしまう。しかし、ElGamal 暗号の解読が
ＤＬＰと同じ程度に難しいかどうかは証明されていな
い。同様に、楕円曲線暗号についても、ＥＣＤＬＰと同
じ程度に難しいかどうかは証明されていない。

【００１４】以上、代表的かつ実用的な公開鍵暗号につ
いて説明したが、基本的な問題の難しさを仮定し、ある
種の安全性が証明出来る公開鍵暗号は、Rabin 暗号とそ
の変形位しか知られていない。つまり、実用性を考える
と、一方向性関数としてつかえるものは、ＩＦＰ，ＤＬ
ＰとＥＣＤＬＰ位しか知られてなく、これらを使って新
しい「落し戸」を作り、それを用いてある種の安全性の
証明のついた新しい公開鍵暗号システムを作ることは一
つの問題である。

【００１５】

【発明が解決しようとする課題】上述のように、公開鍵
暗号は、従来からの共通鍵暗号と比較すれば、鍵管理の
問題を解決することが出来、ディジタル署名を実現する
ことが出来るが、実用的な公開鍵暗号を実現するには、
一方向性関数としてはＩＦＰ，ＤＬＰやＥＣＤＬＰ位し
か知られてなく、これらを用いて「落し戸」を作る作り
方も本質的にこれ等位しか知られてなく、ましてや、あ
る種の安全性が証明されている暗号は、Rabin 暗号とそ
の変形だけである。

【００１６】この発明の目的は、一方向性関数としては
ＩＦＰを用いながらも、新しい「落し戸」を用いて、Ｉ
ＦＰが難しいであろうという仮定に基づき、受動的攻撃
に対して安全であることが証明できる公開鍵暗号装置を
提供することである。

【００１７】

【課題を解決するための手段】具体的には、この発明は
二種類の公開鍵暗号装置を提供する。ｐ，ｑを二つの素
数として、ｎ＝ｐ² ｑとしたとき、ｎを法とした既約剰
余類群（Ｚ／ｎＺ）^*上で構成されるものと、ｎ＝ｐｑ
としたとき、ｎを法とした剰余類環Ｚ／ｎＺ上で定義さ
れる楕円曲線Ｅ_n 上で構成される公開鍵暗号装置との二
つを提供する。以下、前者を「乗法群に基づく公開鍵暗
号装置」と呼び、後者を「楕円曲線に基づく公開鍵暗号
装置」と呼ぶことにする。

【００１８】有限素体Ｆ_p 上の楕円曲線で、位数がｐの
ものを anomalous楕円曲線と呼ぶことにする。この ano
malous楕円曲線上の離散対数問題が非常に効率良く計算
出来ることが、Smart,N.P.によって、“ The Discrete
Logarithm Problem on Elliptic Curves of Trace one,
preprint(September,1997)”において（以下、この文献
を文献９と称す）、佐藤考和等によって、“Fermat Quo
tient and the Polynomial Time Discrete Logarithm f
or Anomalous Elliptic Curves,preprint(September,19
97) ”において（以下、この文献を文献１０と称す）、
それぞれ独立に論及されている。この anomalous楕円曲
線における離散対数問題を解くアルゴリズムを、以下で
はＳＳＡアルゴリズムと呼ぶことにする。

【００１９】特に、後者の論文中で示唆されていること
として、ある種の群のp-Sylow 部分群における離散対数
問題が、非常に効率良く解けるという事実がある。ここ
で、p-Sylow 部分群とは、例えば、有限群Ｈが与えられ
ているとき、Ｈの部分群の中で、位数がｐの幅となるも
のの中で最も位数が大きなものをＨのp-Sylow 部分群と
いう。この発明では、このある種の群のp-Sylow 部分群
における離散対数問題が非常に効率良く解けることを利
用して、ある種の安全性の証明がつけられる、新しい公
開鍵暗号を提供する。

【００２０】ｐを奇素数として、ｐ² を法とした既約剰
余類群（Ｚ／ｐ² Ｚ）^* において、そのp-Sylow 部分群
Γ、即ち、この場合は位数ｐの部分群になるが、これは
次のように書ける： Γ＝｛ｘ∈（Ｚ／ｐ² Ｚ）^* ｜ｘ≡１（mod ｐ）｝ (15) （Ｚ／ｐ² Ｚ）^* における離散対数問題は、現在のとこ
ろ、非常に難しい問題であると信じられていて、効率の
良いアルゴリズムはまだ発見されていない、しかし、Γ
における離散対数問題は非常に効率良く解ける。実際、
次のようなΓ上定義された関数を考える： Ｌ（ｘ）＝（ｘ−１）／ｐ，ｘ∈Γ (16) この関数の値は、有限素体Ｆ_p にとるとみなせる。する
と、この関数Ｌは、任意のａ，ｂ∈Γに対して Ｌ（ab）＝Ｌ（ａ）＋Ｌ（ｂ）mod ｐ (17) なる性質を持つことが簡単に分かり、この関数は、Γか
らＦ_p への群としての同型写像を与えていることも分か
る。このＬの計算量は、ｐのビット数をｋとすればｋ²
のオーダーであることが簡単に分かる。従って、Γにお
ける離散対数問題、即ち、ｘ∈Γ，ｍを０＜ｍ＜ｐから
任意とり、ｙ＝ｘ^m とおいて、ｘ，ｙからｍを求める問
題については、式（17）から Ｌ（ｙ）＝Ｌ（ｘ^m ）＝ｍＬ（ｘ）mod ｐ (18) となるので、Ｌ（ｘ）≠０mod ｐであれば ｍ＝Ｌ（ｙ）／Ｌ（ｘ）mod ｐ (19) と、効率良く求めることが出来る。ｘ，ｙから、ｍを求
める計算量は、ｐのビット数をｋとすれば、ｋ³ のオー
ダーで出来る。

【００２１】この性質を用いれば、全く新しい「落し
戸」が構成出来、新しい公開鍵暗号が構成出来る。ま
ず、中国人剰余定理（中国人剰余定理は、例えば、岡本
・山本著、“現代暗号”、ｐｐ．１５、産業図書（１９
９７）を参照。以下、この文献を文献１１と称す）より （Ｚ／ｎＺ） ^* 〜（Ｚ／ｐ² Ｚ）^* ×（Ｚ／ｑＺ）^* (20) 〜Γ×（Ｚ／ｐＺ）^* ×（Ｚ／ｑＺ）^* (21) が成り立つので、「乗法群に基づく公開鍵暗号装置」
は、以下で定められる：ｇ∈（Ｚ／ｎＺ）^* でｇ_p ＝ｇ
^p-1 mod ｐ² ∈ΓがＬ(g _p )≠０mod ｐを満たすものを
取り、ｎ，ｇ，ｋを公開鍵とする。ここで、ｋは、素数
ｐ，ｑのビット数とする。平文ｍを０＜ｍ＜２^k-1 から
取る自然数とすると、ｒをＺ／ｎＺから任意に取り、暗
号化を次で定める Ｃ＝ｇ^m+rn mod ｎ (22) 復号は、ＣをΓの元に変換することが出来れば、ｎの素
因子ｐを知っているものは、上述の関数Ｌを用いて効率
良くその離散対数を求めることが出来、ｍは０＜ｍ＜２
^k-1 の範囲にあるので、mod ｐでは一意に定まり、した
がって、効率良く復号が出来る。ＣをΓの元に変換する
方法は、 Ｃ_p ＝Ｃ^p-1 mod ｐ² (23) とすれば、Ｃ_p ∈Γとなり、上記Ｌ関数を用いて離散対
数を効率的に解くことができる。また、この公開鍵暗号
を解読することは、公開鍵ｎを素因数分解することと、
即ち、ＩＦＰと等価であることが証明できる。

【００２２】この発明の「乗法群に基づく公開鍵暗号装
置」においては、暗号化装置は、平文と乱数を組み合わ
せて、法ｎで巾乗計算のための指数部分を生成する指数
生成部、mod ｎでの巾乗計算を行う、ｎ−巾乗計算器か
らなり、ｎ−巾乗計算器で生成された暗号文を通信回線
に送出する。一方、復号装置は、法ｐ² でのｐ−１乗計
算を行う、Γ−変換部とΓにおける離散対数問題を解い
て復号する、離散対数解法部からなる。

【００２３】次に、この発明の「楕円曲線に基づく公開
鍵暗号装置」について述べる。これに対しても同様に、
二つの素数ｐ，ｑを取り、ｎ＝ｐｑとし、Ｆ_p 、Ｆ_q 上
の楕円曲線Ｅ_p 、Ｅ_q がそれぞれ次で与えられていると
する： Ｅ_p ：ｙ² ＝ｘ³ ＋ａ_p ｘ＋ｂ_p (ａ_p ，ｂ_p ∈Ｆ_p ，４ａ_p ³ ＋27ｂ_p ² ≠０）， (24) Ｅ_q ：ｙ² ＝ｘ³ ＋ａ_q ｘ＋ｂ_q (ａ_q ，ｂ_q ∈Ｆ_q ，４ａ_q ³ ＋27ｂ_q ² ≠０）， (25) ａ＝ａ_p mod ｐ、ｂ＝ｂ_p mod ｐ、ａ＝ａ_q mod ｑ、ｂ
＝ｂ_q mod ｑなるａ、ｂは、中国人剰余定理よりmod ｎ
で一意に定まり、Ｚ／ｎＺ上で定義された楕円曲線 Ｅ_n ：ｙ² ＝ｘ³ ＋ａｘ＋ｂ（ａ，ｂ∈Ｚ／ｎＺ，ＧＣＤ（４ａ³ ＋２７ｂ² ，ｎ）＝１） (26) を得る。以下、特別にことわらない限りは、上述のよう
に中国人剰余定理を用いて得られる関係にあるものは Ｅ_n ＝〔Ｅ_p ，Ｅ_q 〕，ａ＝〔ａ_p ，ａ_q 〕，ｂ＝〔ｂ_p ，ｂ_q 〕 (27) などと表すことにする。また、特に、法を強調したいと
きは Ｅ_n ＝〔Ｅ_p mod ｐ，Ｅ_q mod ｑ〕 (28) などともあらわすことにする。

【００２４】今、Ｅ_p は anomalous楕円曲線、Ｅ_q は a
nomalousでない楕円曲線とする。このとき、上述の「乗
法群に基づく公開鍵暗号装置」と同様にｎ、Ｅ_n 、Ｅ_n
（Ｚ／ｎＺ）の点Ｇ，ｋを公開鍵としておく。但し、Ｇ
は十分大きな（例えばビット数がｎと同じ）位数を持つ
ものとしておき、ｋは、素数ｐ、ｑのビット数とする。
このとき、平文ｍを０＜ｍ＜２^k-1 から取ることにする
と、ｒをＺ／ｎＺから任意に取り、暗号化を次で定める Ｃ＝（ｍ＋ｒｎ）Ｇ∈Ｅ_n （Ｚ／ｎＺ） (29) 復号は、ｎの素因子ｐを知っているものは、この暗号文
の定義式をmod ｐとして、Ｅ_p （Ｆ_p ）の点の間の関係
式に変換することが出来るので、上述のＳＳＡアルゴリ
ズムを用いて効率良くその離散対数を求めることが出
来、したがって効率良く復号が出来る。また、この公開
鍵暗号を解読することは、公開鍵ｎと anomalous楕円曲
線と anomalousでない楕円曲線から中国人剰余定理を用
いて得られるＺ／ｎＺ上の楕円曲線Ｅ_n ，点Ｇが与えら
れたとき、これから、ｎを素因数分解することと等価で
あることが証明できる。即ち、このｎ、Ｅ_n と、その曲
線上の点Ｇが与えられたとき、ｎを素因数分解する問題
を、変形素因数分解問題（以下では、ＭＩＦＰと表すこ
とにする）と呼ぶことにすると、この楕円曲線Ｅ_n を用
いた暗号を解読することは、ＭＩＦＰと等価であること
が証明できる。

【００２５】この発明の「楕円曲線に基づく公開鍵暗号
装置」においては、暗号化装置は、平文と乱数を組み合
わせて、Ｅ_n （Ｚ／ｎＺ）における幅乗計算のための指
数部分を生成する指数生成部、Ｅ_n （Ｚ／ｎＺ）での幅
乗計算を行う、Ｅ_n-幅乗計算器からなり、Ｅ_n-幅乗計算
器で生成された暗号文を通信回線に送出する。一方、復
号装置は、Ｅ_n （Ｚ／ｎＺ）の点をＥ_p （Ｆ_p ）の点に
変換するmod ｐ−還元器と、Ｅ_p （Ｆ_p ）における離散
対数問題を解いて復号する、ＳＳＡアルゴリズム部から
なる。

【００２６】

【発明の実施の形態】はじめに、この発明による「乗法
群に基づく公開鍵暗号装置」、「楕円曲線に基づく公開
鍵暗号装置」それぞれの基本は機能構成を述べ、後に、
それぞれの各部における一実施例について説明する。ま
ずは、「乗法群に基づく公開鍵暗号装置」について、 （１）鍵の生成 奇素数ｐ、ｑを任意に選び、ｎ＝ｐ² ｑとする。ただ
し、ｐ、ｑのビット数は同じでｋとする。また、ＧＣＤ
（ｐ，ｑ−１）＝１を満たしているとする。

【００２７】さらに、ｇを（Ｚ／ｎＺ）^* の中から、ｇ
_p ＝ｇ^p-1 mod ｐ² が（Ｚ／ｐ² Ｚ）^* の中での位数が
ｐとなるものを取る。すると、上述の関数ＬでＬ
（ｇ_p ）≠０mod ｐが成立する。実際、（Ｚ／ｐ² Ｚ）
^* の中での位数がｐとなるものは１＋ｋｐmod ｐ² （ｋ
はｐで割れない）と表せ、したがってＬ（１＋ｋｐ）＝
（（１＋ｋｐ）−１）／ｐ＝ｋ≠０mod ｐとなるからで
ある。また、具体的に、ｇを生成する方法としては、ラ
ンダムにｇを（Ｚ／ｎＺ）^* から選ぶと、Ｌ（ｇ_p ）≠
０mod ｐとなる確率は１−（１／ｐ）程度と考えられる
ので、無視出来ない確率で選ぶことが出来る。利用者
は、公開は出来ないが、システムパラメータの一つとし
てＬ（ｇ_p ）^-1mod ｐをあらかじめ計算しておくことに
する。

【００２８】従って、（ｎ，ｇ，ｋ）を公開鍵（ｐ，
ｑ）を秘密鍵とする。ここでＬ（ｇ_p）^-1mod ｐも秘密
鍵と考えて良い。 （２）暗号化処理 平文ｍ（但し、０＜ｍ＜２^k-1 ）に対して、まず、乱数
ｒを０＜ｒ＜ｎの範囲から選び、ｍ＋ｒｎを計算し、暗
号文Ｃは以下のように計算する。

【００２９】 Ｃ＝ｇ^m+rnmod ｎ (30) （３）復号処理 暗号文Ｃの定義式（30）の両辺を、それぞれｐ−１乗す
ると、mod ｎでの合同式は、勿論、mod ｐ² でも成立
し、ｇ_p mod ｐ² の位数はｐであり、ｒｎはｐの倍数で
あってｇ_p ^rn＝１となるから、 Ｃ^p-1 ＝ｇ^(p-1)(m+rn) ＝ｇ_p ^m ×ｇ_p ^rnmod ｐ² ＝ｇ_p ^m mod ｐ² (31) 従って Ｃ_p ＝Ｃ^p-1 mod ｐ² (32) とおけば Ｃ_p ＝ｇ_p ^m mod ｐ² (33) Ｃ_p ，ｇ_p ∈Γであるから、上述で定義した関数Ｌを使
うと Ｌ（Ｃ_p ）＝Ｌ（ｇ_p ^m ）＝ｍＬ（ｇ_p ）mod ｐ (34) 即ち ｍ＝Ｌ（Ｃ_p ）／Ｌ（ｇ_p ）mod ｐ (35) となり、復号出来る。

【００３０】従って、復号処理を整理すると、まず、暗
号文Ｃに対して、式（32）でＣ_p を計算し、次にＬ（Ｃ
_p ）を計算し、最後にＬ（Ｃ_p ）と、あらかじめ計算し
ておくことが出来るＬ（ｇ_p ）^-1mod ｐとのmod ｐでの
積を取って復号出来る。 （３）「乗法群に基づく公開鍵暗号装置」が、受動的攻
撃に対して安全であることの証明。

【００３１】「乗法群に基づく公開鍵暗号装置」を解読
することと、ｎを素因数分解することが同値であること
を示す。ｎを無視できない確率で素因数分解するアルゴ
リズムが存在すれば、明らかに「乗法群に基づく公開鍵
暗号装置」を解読する平均的多項式時間アルゴリズムが
構成できるので、ここでは、次の事実のみを証明する：
“「乗法群に基づく公開鍵暗号装置」を無視できない確
率で解読するアルゴリズムＡ存在するならば、ｎを素因
数分解する平均的多項式時間アルゴリズムを構成出来
る”（ここで、上述の“ｎを無視できない確率で素因数
分解するアルゴリズム”という意味は、そのアルゴリズ
ムを入力ｎのビット数の多項式オーダー程度繰り返し適
用することによって、かならず素因数分解出来るアルゴ
リズムのことである。以下、同様の使い方をする。厳密
な定義は、文献１１を参照） 実際、今、合成数ｎ（＝ｐ² ｑ）が与えられているとす
ると、ランダムにｇ∈（Ｚ／ｎＺ）^* を選んで、この発
明の公開鍵暗号装置のパラメータとして、無視できない
確率でとることが出来て、次に、ｘをＺ／ｎＺからラン
ダムに選ぶとき、ｘmod ｐＬＣＭ（ｐ−１，ｑ−１）の
分布と、この発明の公開鍵暗号装置における、暗号化処
理時の途中の計算に出てくる、ｍ＋ｒｎに対する、ｍ＋
ｒｎ modｐＬＣＭ（ｐ−１，ｑ−１）の分布の差は、無
視できる確率であることが証明できる。従って、Ｚ／ｎ
Ｚからランダムにｘを選び、Ｃ＝ｇ^x mod ｎで計算され
たＣは、無視できない確率で暗号文だと、アルゴリズム
Ａは認識し、Ｃに対応する平文ｘ₀ を出力する。今、ｘ
が、ｘ＜２^k-1 なる範囲の数となる確率は無視できるの
で、無視できない確率でｘ＞２^k-1 としてよく、する
と、ｘ≡ｘ₀ （mod ｐ）、また、ｘ₀ ＜２^K-1 より、ｘ
≡ｘ₀ （mod ｎ）が不成立となり、したがって、ＧＣＤ
（ｘ−ｘ₀ ，ｎ）を計算すると、この値はｐ，ｐｑ，ｐ
² のいずれかとなり、ｎを素因数分解することが出来
る。全体として、ｎのビット数の平均的多項式時間で素
因数分解出来る。つまりｎを素因数分解することと同値
であって、受動的攻撃に対する安全性が高い。

【００３２】次に、「楕円曲線に基づく公開鍵暗号装
置」について、暗号の構成法、及び、変形素因数分解問
題と等価であることについて述べる。まず最初に、復号
に利用するＳＳＡアルゴリズムについて述べる。有限素
体Ｆ_p 上の anomalous楕円曲線Ｅ上の離散対数問題と
は、そのＦ_p −有理点Ｇ，Ｐが与えられたとき、Ｐ＝ｍ
Ｇとなるｍ∈Ｚ／ｐＺを求めることであるが、ＳＳＡア
ルゴリズムは、上でも述べたが、 anomalous楕円曲線上
の離散対数問題の解法を与えるアルゴリズムで、有限素
体Ｆ_p 上の anomalous楕円曲線であれば、ｐのビット数
をｋとして、計算量はｋ³ のオーダーである効率的なア
ルゴリズムであって、具体的には次のような手順とな
る：ＳＳＡアルゴリズム 入力：（Ｇ，Ｐ，Ｅ） 出力：ｍ手順１ ＥをＺ上に持ち上げた楕円曲線Ｅ′で、Ｅ（Ｆ
_p ）からＦ_p への写像λ _E ′が、自明な写像にならない
ものを選ぶ。これは、ｐのビット数をｋとすれば、ｋ²
のオーダーで計算できる。手順２ 手順１で構成した写像λ_E ′を使ってλ_E ′
（Ｇ），λ_E ′（Ｐ）を計算し（これはｋ³ のオーダー
で出来る）、ｍ＝λ_E ′（Ｐ）／λ_E ′（Ｇ）modｐを
計算する（これは、ｋ³ のオーダーで出来る） いずれにしても、ｐのビット数をｋとすれば、ＳＳＡア
ルゴリズムの計算量はｋ³ のオーダーである。この
λ_E ′は、Ｅ（Ｆ_p ）からＦ_p への群としての同型写像
をあたえる。なお、λ_E ′の構成方法など、詳しくは、
文献１０を参照。またｐが５以下であればＳＳＡアルゴ
リズムを用いることなく効率的に解ける。 （１）鍵の生成 奇素数ｐ、ｑを任意に選び、ｎ＝ｐｑとする。ただし、
ｐ、ｑのビット数は同じでｋとする。次に、Ｆ_p 上の a
nomalous楕円曲線Ｅ_p ，Ｆ_q 上の anomalousでない楕円
曲線Ｅ_q を選ぶ： Ｅ_p ：ｙ² ＝ｘ³ ＋ａ_p ｘ＋ｂ_p (ａ_p ，ｂ_p ∈Ｆ_p ，４ａ_p ³ ＋27ｂ_p ² ≠０）， (36) Ｅ_q ：ｙ² ＝ｘ³ ＋ａ_q ｘ＋ｂ_q (ａ_q ，ｂ_q ∈Ｆ_q ，４ａ_q ³ ＋27ｂ_q ² ≠０）， (37) 但し、＃Ｅ_p （Ｆ_p ）＝ｐ，＃Ｅ_q （Ｆ_q ）＝_q ′＝ｑ
＋１−ｔ（−２√ｑ＜ｔ＜２√ｑ，ｔ≠１，ｑ′≠ｐ）
を満たすとする。＃は集合の元（要素）の数を表わす。
期待する位数を持つ楕円曲線の構成方法は、虚数乗法論
を援用した比較的効率の良い生成方法が提案されてい
て、特に、 anomalous楕円曲線の生成については、例え
ば、IEICE Trans.Fundamentals,E76-A,1,pp.50-54(199
3) において、“Elliptic Curve Suitable for Cryptog
raphy”と題して、Miyaji, Ａ．により論及されてい
る。（以下、この文献を文献１２と称す）さらに、Ｅ_p
（Ｆ_p ），Ｅ_q （Ｆ_q ）各々の点Ｇ_p ，Ｇ_q で、位数が
ord(Ｇ_p ）＝ｐ，ord(Ｇ_q ）＝ｑ′なるものを選ぶと仮
定する。ここで、Ｅ_q （Ｆ_q ）は、一般には巡回群にな
るとは限らないが、ここでは簡単のためこう仮定してお
く。一般には、ｑ′が十分大きな素因子をもつようなも
のにし、その大きな素数を位数とする点をＧ_q と取って
良い。次に、中国人剰余定理を使って、Ｚ／ｎＺ上の楕
円曲線Ｅ_n を作る： Ｅ_n :y²=x³+ax+b(a,b ∈Z/nZ,GCD(4a³+27b²,n)=1) (38) すなわち、すでに定義した記号で書けば Ｅ_n ＝〔Ｅ_p,Ｅ_q 〕，ａ＝〔ａ_p,ａ_q 〕，ｂ＝〔ｂ_p,ｂ_q 〕 (39) である。また Ｇ＝〔Ｇ_p ，Ｇ_q 〕 (40) としておく。

【００３３】さらに、ＳＳＡアルゴリズムを用いて、公
開はせずに、システムパラメータの一つとしてあらかじ
めλ_Ep′（Ｇ_p ）^-1mod ｐを計算しておく。これも秘密
鍵の一つとして考えて良い。以下、簡単のために、この
写像をλと書く。従って、（ｎ，Ｅ_n ，Ｇ，ｋ）を公開
鍵、（ｐ，ｑ）を秘密鍵とする。ここで、Ｅ_p ，Ｅ_q ，
Ｇ_p ，Ｇ_q ，λ（Ｇ_p ）^-1mod ｐも秘密鍵と考えてもよ
い。 （２）暗号化処理 平文ｍ（但し、０＜ｍ＜２^k-1 ）に対して、まず、乱数
ｒを０＜ｒ＜ｎの範囲から選び、ｍ＋ｒｎを計算し、暗
号文Ｃは以下のように計算する。

【００３４】 Ｃ＝（ｍ＋ｒｎ）Ｇ∈Ｅ_n （Ｚ／ｎＺ） (41) 但し、これは、楕円曲線Ｅ_n 上の加法を用いて、点Ｇを
ｍ＋ｒｎ倍したものであって、暗号文が楕円曲線上の点
であることに注意。すなわち、二つのＺ／ｎＺの元の組
である。（あえて書けば、Ｃ＝（Ｃｘ，Ｃｙ），Ｃｘ，
Ｃｙ∈Ｚ／ｎＺ） （３）復号処理 暗号文Ｃの定義式（４１）の両辺を、それぞれmod ｐと
すると、ｒｎはｐの倍数であってｒｎＧ modｐ＝０とな
るから、 Ｃ_p ＝（ｍ＋ｒｎ）Ｇ_p ＝ｍＧ_p ∈Ｅ_p （Ｆ_p ） (42) なる、anomalous 楕円曲線における離散対数問題に変換
される。ここで、Ｃ＝［Ｃ_p ，Ｃ_q ］とおいた。

【００３５】従ってＳＳＡアルゴリズムを用いてｍは求
められる。実際、λの準同型性により、 λ（Ｃ_p ）＝λ（ｍＧ_p ）＝ｍλ（Ｇ_p ）mod ｐ (43) 即ち ｍ＝λ（Ｃ_p ）／λ（Ｇ_p ）mod ｐ (44) となり、復号出来る。

【００３６】従って、復号処理を整理すると、まず、暗
号文Ｃに対して、Ｃ＝Ｃ_p mod ｐを計算し、次にλ（Ｃ
_p ）を計算し、最後にλ（Ｃ_p ）と、あらかじめ計算し
ておくことが出来るλ（Ｇ_p ）^-1mod ｐとのmod ｐでの
積を取って復号出来る。 （３）「楕円曲線に基づく公開鍵暗号装置」が、受動的
攻撃に対して安全であることの証明。「楕円曲線に基づ
く公開鍵暗号装置」を解読することと、公開鍵（ｎ，Ｅ
_n ，Ｇ，ｋ）という情報からｎを素因数分解することが
同値であることを示す。即ち、変形素因数分解問題と同
値であることを示す。

【００３７】ｎを無視できない確率で素因数分解するア
ルゴリズムが存在すれば、明らかに「楕円曲線に基づく
公開鍵暗号装置」を解読する平均的多項式時間アルゴリ
ズムが構成できるので、ここでは、次の事実のみを証明
する：“「楕円曲線に基づく公開鍵暗号装置」を無視で
きない確率で解読するアルゴリズムＢ存在するならば、
ｎを素因数分解する平均的多項式時間アルゴリズムを構
成出来る”（ここで、上述の“ｎを無視できない確率で
素因数分解するアルゴリズム”という意味は、そのアル
ゴリズムを入力ｎのビット数の多項式オーダー程度繰り
返し適用することによって、かならず素因数分解出来る
アルゴリズムのことである。以下、同様の使い方をす
る。厳密な定義は、文献１１を参照） 実際、今、合成数ｎ（＝ｐｑ）が与えられているとする
と、ｚをＺ／ｎＺからランダムに選ぶとき、ｚmod ＬＣ
Ｍ（ｐ−１，ｑ−１）の分布と、我々の公開鍵暗号シス
テムにおける、暗号化処理時の途中の計算に出てくる、
ｍ＋ｒｎに対する、ｍ＋ｒｎ modｐｑ′の分布の差は、
無視できる確率であることが証明できる。従って、Ｚ／
ｎＺからランダムにｚを選び、Ｃ＝ｚＧ∈Ｅ_n （Ｚ／ｎ
Ｚ）で計算されたＣは、無視できない確率で暗号文だ
と、アルゴリズムＢは認識し、Ｃに対する平文ｚ₀ を出
力する。今、ｚが、ｚ＜２^k-1 なる範囲の数となる確率
は無視できるので、無視できない確率でｚ＞２^k-1 とし
てよく、すると、ｚ≡ｚ₀ （mod ｐ）、また、ｚ₀ ＜２
^k-1 より、ｚ≡ｚ₀ （mod ｎ）が不成立となり、したが
って、ＧＣＤ（ｚ−ｚ₀ ，ｎ）を計算すると、この値は
ｐとなり、ｎを素因数分解することが出来る。全体とし
て、ｎのビット数の平均的多項式時間で素因数分解出来
る。

【００３８】次に、この発明の「乗法群における公開鍵
暗号装置」、「楕円曲線に基づく公開鍵暗号装置」それ
ぞれの、実施例について説明する。まずは、「乗法群に
おける公開鍵暗号装置」の一実施例について説明する。
図１に示すように、暗号装置１００と復号装置２００が
通信回線３００により接続されている。暗号化装置１０
０は、指数生成部１１０と法ｎでの巾乗計算器１２０を
有す。復号装置２００は、Γ−変換器２１０と離散対数
解法部２２０を有する。

【００３９】まず、暗号化装置１００での暗号化処理に
ついて説明する。暗号化装置１００における指数生成部
１１０の詳細を図に示す。指数生成部１１０は、暗号化
装置１００の利用者から平文（ｍ）を受けとると、乱数
生成器１１１は乱数ｒ∈Ｚ／ｎＺを発生させ、これを乗
算器１１２に入力して、ｒｎを計算し、これを加算器１
１３に入力してｍ＋ｒｎを計算し、この結果をｎ−巾乗
計算器１２０に入力して、暗号文Ｃ＝ｇ^m+rnmod ｎを生
成する。

【００４０】次に、復号装置２００での復号処理につい
て説明する。復号装置２００におけるΓ−変換器２１０
の詳細を図２Ｂに示す。また、離散対数解法部２２０の
詳細を図４に示す。復号装置２００におけるΓ−変換部
２１０は、通信回線３００から、暗号文（Ｃ）を受けと
ると、mod ｐ² −還元器２１１でＣmod ｐ² を計算し、
この値をΓ−変換器２１２に入力して、Ｃ_p ＝Ｃ^p-1 mo
d ｐ² を計算し、Ｃ_pを離散対数解法部２２０に入力す
る。離散対数解法部２２０は、Γ−変換部２１０からＣ
_p を受けとると、それを、対数計算機２２１に入力し、
Ｌ（Ｃ_p ）を計算する。次に、これを、乗算器２２２に
入力しＬ（Ｃ_p ）×Ｌ（ｇ_p ）^-1mod ｐを計算する。こ
の値を、離散対数解法部２２０は復号平文ｍとして出力
する。

【００４１】次は、「楕円曲線に基づく公開鍵暗号装
置」の一実施例について説明する。図３にこの発明の一
実施例を示す。暗号装置４００と復号装置５００が通信
回線６００により接続されている。暗号化装置４００
は、指数生成部４１０とＥ_n−巾乗計算器４２０を有
す。復号装置５００は、mod ｐ−還元器５１０とＳＳＡ
アルゴリズム部５２０を有する。

【００４２】まず、暗号化装置４００での暗号化処理に
ついて説明する。暗号化装置４００における指数生成部
４１０の詳細を図４Ａに示す。指数生成部４１０は、暗
号化装置４００の利用者から平文（ｍ）を受けとると、
乱数生成器４１１は乱数ｒ∈Ｚ／ｎＺを発生させ、これ
を乗算器４１２に入力して、ｒｎを計算し、これら加算
器４１３に入力してｍ＋ｒｎを計算し、この結果をＥ_n
−巾乗計算器４２０に入力して、暗号文Ｃ＝（ｍ＋ｒ
ｎ）Ｇを生成する。

【００４３】次に、復号装置５００での復号処理につい
て説明する。復号装置５００におけるＳＳＡアルゴリズ
ム部５２０の詳細を図４Ｂに示す。復号装置５００にお
けるmod ｐ−還元器５１０は、通信回線６００から、暗
号文（Ｃ）を受けとると、Ｃ _p ＝Ｃmod ｐ∈Ｅ
_p （Ｆ_p ）を計算し、Ｃ_p をＳＳＡアルゴリズム部５２
０に入力する。ＳＳＡアルゴリズム部５２０は、mod ｐ
−還元器５１０からＣ_p を受けとると、それを、対数計
算機５２１に入力し、λ（Ｃ_p ）を計算する。次に、こ
れを、乗算器５２２に入力しλ（Ｃ_p ）×λ（Ｇ_p ）^-1
mod ｐを計算する。この値を、ＳＳＡアルゴリズム部５
２０は復号平文ｍとして出力する。

【００４４】

【発明の効果】以上説明したように、この発明によれ
ば、素因数分解問題の困難さを仮定した上で、ある種の
安全性の証明のついた、今までにない新しい公開鍵暗号
システムを構成することが出来る。従って、現在ではｎ
が１０２４ビット程度であれば、ｎを素因数に分解する
ことは現実的には困難であるから、ｎを１０２４ビット
程度以上にしておけば十分安全なものとなる。

【００４５】暗号化処理、復号処理の計算量は共に、ｋ
³ のオーダーであって、現在までに知られている代表的
な公開鍵暗号と比べても同程度であり、非常に実用的な
暗号であるとも言える。さらに、受動的攻撃に対する安
全性が証明されているため、現在もっとも有力と考えら
れているＲＳＡ暗号よりも安全なことが保証される。

【図面の簡単な説明】

【図１】この発明の「乗法群に基づく公開鍵暗号装置」
における暗号装置と復号装置の一実施例の機能構成を示
すブロック図。

【図２】Ａは図１中の指数生成部１１０の具体的機能構
成例を示すブロック図、Ｂは図１中のΓ−変換部２１０
の具体的機能構成例を示すブロック図、Ｃは図１中の離
散対数解法部２２０の具体的機能構成例を示すブロック
図である。

【図３】この発明の「楕円曲線に基づく公開鍵暗号装
置」における暗号装置及び復号装置の各実施例の機能構
成を示すブロック図。

【図４】Ａは図３中の指数生成部４１０の具体的機能構
成例を示すブロック図、Ｂは図３中のＳＳＡアルゴリズ
ム部５２０の具体的機能構成例を示すブロック図であ
る。

─────────────────────────────────────────────────────

【手続補正書】

【提出日】平成１１年２月１６日

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】請求項６

【補正方法】変更

【補正内容】

【手続補正２】

【補正対象書類名】明細書

【補正対象項目名】請求項１０

【補正方法】変更

【補正内容】

【手続補正３】

【補正対象書類名】明細書

【補正対象項目名】００２５

【補正方法】変更

【補正内容】

【００２５】この発明の「楕円曲線に基づく公開鍵暗号
装置」においては、暗号化装置は、平文と乱数を組み合
わせて、Ｅ_n （Ｚ／ｎＺ）における巾乗計算のための指
数部分を生成する指数生成部、Ｅ_n （Ｚ／ｎＺ）での巾
乗計算を行う、Ｅ _n-巾乗計算器からなり、Ｅ _n-巾乗計算
器で生成された暗号文を通信回線に送出する。一方、復
号装置は、Ｅ_n （Ｚ／ｎＺ）の点をＥ_p （Ｆ_p ）の点に
変換するmod ｐ−還元器と、Ｅ_p （Ｆ_p ）における離散
対数問題を解いて復号する、ＳＳＡアルゴリズム部から
なる。

Claims (14)

【特許請求の範囲】
1. 【請求項１】 入力された平文と乱数を組み合わせて指
   数を生成する指数生成手段と、 合成数よりなる第１公開鍵を法とした既約剰余類群にお
   いて第２公開鍵を上記指数で巾乗計算して暗号文を出力
   する巾乗計算手段とを具備する公開鍵暗号化装置。
2. 【請求項２】 ｐ，ｑを同一ビット数の奇素数とする
   と、上記第１公開鍵はｎ＝ｐ² ｑであり、上記第２公開
   鍵ｇは、ｎを法とする既約剰余類群（Ｚ／ｎＺ）^* の中
   から、ｇ_p ＝ｇ^p-1 mod ｐ² が（Ｚ／ｐ² Ｚ）^* の中で
   の位数がｐとなるものから選定されていることを特徴と
   する請求項１記載の公開鍵暗号装置。
3. 【請求項３】 入力された暗号文を、合成数よりなる第
   １公開鍵を法とし既約剰余類群の元Ｃ_p に、第１秘密鍵
   を用いて変換するΓ−変換手段と、 上記変換された元Ｃ_p における離散対数と第２秘密鍵を
   用いて解いて復号平文を得る離散対数解法手段と、を具
   備する公開鍵暗号復号装置。
4. 【請求項４】 ｐ，ｑを奇素数、ｎ＝ｐ² ｑ、上記入力
   暗号文Ｃを０＜Ｃ＜ｎの範囲にある整数で、ｎと互いに
   素であるものとし、上記ｐを上記第１秘密鍵とし、上記
   ｎを上記第１公開鍵とし、 上記Γ−変換手段は、Ｃ mod p² ∈（Ｚ／ p² Ｚ）^* を
   計算する p² −還元手段と、 その p² −還元手段の計算結果Ｃ mod p² に対し p² を
   法とするｐ−１の巾乗計算を行って上記元Ｃ_p を得る変
   換手段とよりなることを特徴とする請求項３記載の公開
   鍵暗号復号装置。
5. 【請求項５】 上記第１秘密鍵ｐを奇素数としｇ_p 、上
   記Ｃ_p を０＜ｇ_p ，Ｃ_p ＜ p² の範囲にある整数で、ｇ
   _p ≡Ｃ_p ≡１（mod １）、ｇ_p ≠１（mod p ^-2）を満
   し、（（ｇ_p −１）／ｐ）^-1 modｐを上記第２秘密鍵と
   し、 上記離散対数解法手段は、上記元Ｃ_p を入力してＬ（Ｃ
   _p ）＝（Ｃ_p −１）／ｐを演算する対数計算手段と、 その演算結果Ｌ（Ｃ_p ）と上記第２秘密鍵との積を上記
   ｐを法として求めて復号平文を出力する乗算手段とより
   なることを特徴とする請求項３又は４記載の公開鍵暗号
   復号装置。
6. 【請求項６】 公開鍵ｎ，ｇを用いる暗号化装置の暗号
   化処理を実行するプログラムを記録した記録媒体におい
   て、 上記プログラムは、 乱数ｒを生成する過程と、 上記乱数ｒと上記公開鍵ｎを乗算する過程と、 その乗算結果ｒｎと入力平文ｍを加算する過程と、 上記公開鍵ｎを法として、上記公開鍵ｇに対し上記加算
   値ｎ＋ｒｎを巾乗計算して暗号文Ｃを出力する過程とよ
   りなることを特徴とするコンピュータ読出し可能な記録
   媒体。
7. 【請求項７】 ｐ，ｑを同一ビット数の奇素数とする
   と、上記公開鍵ｎはｐ ² ｑであり、上記公開鍵ｇは、ｎ
   を法とする既約剰余類群（Ｚ／ｎＺ）^* の中から、ｇ_p
   ＝ｇ^p-1 mod ｐ² が（Ｚ／ｐ² Ｚ）^* の中での位数がｐ
   となるものから選定されていることを特徴とする請求項
   ６記載の記録媒体。
8. 【請求項８】 ｐ，ｑを奇素数、ｎ＝ｐ² ｑを公開鍵と
   し、入力暗号文Ｃを０＜Ｃ＜ｎの範囲にある整数で、ｎ
   と互いに素であるものとし、入力暗号文Ｃを復号する復
   号装置の処理を実行するプログラムを記録した記録媒体
   であって、 上記プログラムは、 上記入力暗号文Ｃに対し、ｐ² を法とする既約剰余類群
   の元Ｃmod ｐ² を求める過程と、 上記Ｃmod ｐ² に対し、ｐ² を法とするｐ−１の巾乗演
   算を行って元Ｃ_p を求める過程と、 上記元Ｃ_p における離散対数を秘密鍵を用いて解いて復
   号平文を出力する離散対数解法過程と、 を有することを特徴とするコンピュータ読出し可能な記
   録媒体。
9. 【請求項９】 ｇ_p 、上記Ｃ_p を０＜ｇ_p ，Ｃ_p ＜ｐ²
   の範囲にある整数でｇ_p ≡Ｃ_p ≡１（mod ｑ）、ｇ_p ≠
   １（mod p² ）を満し、上記秘密鍵は（（ｇ _p −１）／
   ｐ）^-1 modｐであり、 上記離散対数解法過程は、 上記元Ｃ_p と上記ｐとを用い（Ｃ_p −１）／ｐを計算す
   る過程と、 ｐを法として上記（Ｃ_p −１）／ｐに上記秘密鍵を乗算
   して上記復号平文を得る過程とよりなることを特徴とす
   る請求項８記載の記録媒体。
10. 【請求項１０】 入力された平文と乱数を組み合わせて
    指数を生成する指数生成手段と、 合成数よりなる第１公開鍵を法として剰余類環上との楕
    円曲線における巾乗計算と、上記指数を指数とし、第２
    公開鍵に対して行って暗号文を出力する巾乗計算手段
    と、 を具備する公開鍵暗号化装置。
11. 【請求項１１】 入力された暗号文を有限素体上の楕円
    曲線を元Ｃ_p に変換する還元手段と、 上記元Ｃ_p に対する、離散計数を求めて、復号平文を出
    力するＳＳＡアルゴリズム手段と、 を具備する公開暗号復号装置。
12. 【請求項１２】 ｐを奇素数（＞５）、Ｅ_p を有限体Ｆ
    _p 上の楕円曲線でそのＦ_p 有理点の個数がｐとなるもの
    とし、このＦ_p −有理点をＧ_p ，Ｃ_p （どちらも無限遠
    点でない）とし、λ（Ｇ_p ）^-1mod ｐを秘密鍵とし、 上記ＳＳＡアルゴリズム手段は、 上記元Ｃ_p と上記ｐ、上記楕円曲線Ｅ_p 、上記関数λを
    入力してλ（Ｃ_p ）を計算する対数計算手段と、 上記λ（Ｃ_p ）と、上記秘密鍵を入力して、両者の積を
    上記ｐを法として求めて上記復号平文を出力する乗算手
    段とよりなることを特徴とする請求項１１記載の公開鍵
    暗号復号装置。
13. 【請求項１３】 公開鍵ｎ，Ｇ，Ｆ_p 有理点の個数がｐ
    の有限体Ｆ_p 上の楕円曲線Ｅ_p ，Ｆ_q 有理点の個数がｑ
    の有限体Ｆ_q 上の楕円曲線Ｅ_q から中国人剰余定理を用
    いて得られるｎを法とした剰余類環上の楕円曲線を用い
    る暗号化装置の暗号化処理を実行するプログラムを記録
    した記録媒体において、 上記プログラムは、 乱数ｒを生成する過程と、 上記乱数ｒと上記公開鍵ｎを乗算する過程と、 その乗算結果ｒｎと入力平文ｍを加算する過程と、 合成数よりなる第１公開鍵を法として剰余環上の楕円曲
    線における巾乗計算を、上記加算値を指数とし第２公開
    鍵に対して行って暗号文を出力する巾乗計算過程と、 を有するコンピュータ読出し可能な記録媒体。
14. 【請求項１４】 ｐを奇素数（＞５）、Ｅ_p を有限体Ｆ
    _p 上の楕円曲線でそのＦ_p −有理点の個数がｐとなるも
    のとし、この二つのＦ_p 有理点Ｇ_p ，Ｃ_p （どちらも無
    限遠点でない）とし、λ（Ｇ_p ）^-1mod ｐを秘密鍵と
    し、入力暗号文Ｃを復号する復号装置の処理を実行する
    プログラムを記録した記録媒体であって、 上記プログラムは、 上記入力された暗号文Ｃを有限素体上の上記楕円曲線の
    元Ｃ_p に、上記ｐを法として変換する過程と、 上記元Ｃ_p に対し、Ｅ（Ｆ_p ）からＦ_p への写像関数λ
    を演算してλ（Ｃ_p ）を求める過程と、 上記λ（Ｃ_p ）と上記秘密鍵の積を、上記ｐを法として
    求めて復号平文を出力する過程と、 を有するコンピュータ読出し可能な記録媒体。