JPS5950068B2

JPS5950068B2 - 公開キ−式の暗号装置

Info

Publication number: JPS5950068B2
Application number: JP53124063A
Authority: JP
Inventors: マ−テイン・イ−・ヘルマン; ラルフ・シ−・マ−クル
Original assignee: BOODO OBU TORASUTEIIZU OBU ZA RIIRANDO SUTANFUOODO JUNIA UNIV ZA
Current assignee: BOODO OBU TORASUTEIIZU OBU ZA RIIRANDO SUTANFUOODO JUNIA UNIV ZA
Priority date: 1977-10-06
Filing date: 1978-10-06
Publication date: 1984-12-06
Also published as: NL7810063A; US4218582A; DE2843583A1; IT7828508A0; JPS5488703A; SE7810478L; CA1128159A; AU519184B2; GB2006580A; CH634161A5; FR2405532A1; BE871039A; SE439225B; GB2006580B; FR2405532B1; AU4041878A; IT1099780B; DE2843583C2; ES474539A1

Description

【発明の詳細な説明】本発明は暗号システムに係る。

暗号システムは、機密保持性のないチヤンネルを介して
通信されるメツセージの機密性及び認証性を保証するた
めに広く用いられている。

機密性を得るためのシステムは、機密保持性のないチヤ
ンネルを介して伝送されたメツセージから許可されない
者によつて情報力弓１き出されない様にし、メツセージ
の送信者に対して、そのメツセージが指定の受信者にし
か判読されないことを保証するものである。認証性を得
るためのシステムは機密保持性のないチヤンネルに許可
なしにメツセージが挿入されない様にし、メツセージの
受信者に対して送信者の正当性を保証するものである。
現在では、送信者と指定の受信者しか知らない認証性の
パターンを各々のメツセージに追加しそしてこのパター
ンとメツセージとの組み合わされたものを暗号に直すこ
とによつて大部分のメツセージの認証性が得られている
。これは、盗聴者が使用されている暗号解を盗み出さな
い限り、適正な認証性を持つた新たなメツセージを盗聴
者が作り出せない様にする。然し乍ら、この方式には、
争いごとが生じる恐れを防止するものがほとんどない。
即ち、送信者が適正な認証性を持つたメツセージを送信
しておいて後でこの操作打ち消し、そして受信者が許可
されない操作をしたと誤つて受信者を非難することがあ
り、又これと反対に、受信者が許可されない操作をして
メツセージを彼自身で作り出しておいて送信者がその様
な操作を・したと誤つて送信者を非難することもある。
この様な争いごとの恐れは、特定の送信者が特定のメツ
セージを受信者に伝送したことを証明できる適当な受信
機構がないために生じる。現存の暗号システムに伴なう
主な問題点の１つは、許可されていない者が介入できな
い様な機密保持チヤンネルを通して送信者と受信者が暗
号解を交換する必要があるという点である。

暗号解の交換は私設の使者や書留郵便の様な機密保持チ
ヤンネルを経て前もつて暗号解を送ることによつてしば
しば行なわれている。この様な機密保持チヤンネルは通
常は時間がかかる上に経費もかかる。１９７６年６月８
日付のＡＦＩＰＳ−ＣｏｎｆｅｒｅｎｃｅＰｒｏｃｅｅ
ｄｉｎｇｓ第４５巻、１０９乃至１１２頁に掲載された
Ｄｉｆｆｉｅ氏等の″″多数利用者用の暗号手法（Ｍｕ
ｌｔｉｕｓｅｒＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎ
ｉｑｕｅｓ） ′２と称する論文には、送信者の暗号解
情報を公開にすることによつて機密保持チヤンネルの必
要性を排除する様な公開キー．（暗号解）式の暗号シス
テムの概念が提案されている。

又、この論文には、いかにすればこの公開キー式の暗号
システムを、認証性のあるシステムにれは盗聴者がメツ
セージを復元できないデ゛ジタル信号を発生する）にす
ることができるかということも提案されている。Ｄｉｆ
ｆｉｅ氏は、メツセージを暗号に直したり解読したりす
るために１対のキー（暗号解）Ｅ及びＤを用いるという
考え方を呈示している。Ｅは公開情報でありそしてＤは
指定の受信者によつて機密に保持されるものである。更
に、ＤはＥによつて決定できるが、ＥからＤを計算する
ことはできない。Ｄｉｆｆｉｅ氏は、利用者がメツセー
ジを暗号に直してそれを指定の受信者に送ることはでき
るが指定された受信者しかそれを解読できない様な公開
キー式の暗号システムをもつともらしく設立することを
提案している。然し乍ら、Ｄｉｆｆｉｅ氏は公開キー式
の暗号システムが存在するという立証も、その実例シス
テムも示していない。Ｄｉｆｆｉｅ氏は公開キー式の暗
号システムの存在に対して３つのもつともらしい論法を
提案しており、それらはマトリクスによる解決策と、機
械言語による解決策と、論理マツピングによる解決策と
である。

マトリクスによる解決策は、既知の方法を用い実現不可
能な程の暗号解読時間を必要とする様なマトリクス（即
ち、ＥからＤを計算する）を用いれば設計できるが、こ
のマトリクス解決策は必要とされるマトリクスが非常に
大きなものであるので実用性に欠けるとされている。機
械言語による解決策及び論理マツピングによる解決策も
提案されているが、実現不可能な程の暗号解読時間を必
要とし、これらを設計する方法がない又、Ｄｉｆｆｉｅ
氏はこの提案した公開キー式の暗号システムを用いた手
法も紹介しており、この手法によれば受信者はメツセー
ジの認証性は容易に照合できるが認証性を持つたメツセ
ージを明確に作り出すことはできない。

Ｄｉｆｆｉｅ氏はこの提案した公開キー式の暗号システ
ムで認証性を得るために従うべき規定について述べてい
る。然し乍ら、認証性を得る手法はＤｉｆｆｉｅ氏が提
供したものでない公開キー式の暗号システムの存在に左
右される。そこで本発明の目的は、許可されない者（盗
聴者）が全ての通信を傍受したとしても、会話に対して
許可された者（会話者）が機密を保つて会話を行なうこ
とができる様にすることである。本発明の別の目的は、
会話者が機密保持性のないチヤンネルを介して相手の会
話者であるということを認証できる様にすることである
。本発明の更に別の目的は、特定の送信者によつて特定
のメツセージが受信者に送られたことを立証するために
機密保持性のないチヤンネルを経て受信者に″″受け取
り″″（受け取り証情報）を与えることである。

この目的は、受信者はメツセージの認証性を容易に照合
できるが認証性持つたメツセージを明確に作り出せない
様にするためである。本発明のここに示す実施例は、送
信者によつて送られたメツセージの、公共に知られた変
換体である計算機密保持暗号を通信することによつて、
機械保持性のないチヤンネルであつても機密を保つて通
信するための方法及び装置について説明する。ここに示
す実施例は、実際の場合に適する様に実施でき且つ既知
の方法を用いて逆変換することが実現不可能であるとい
う点で、前記″″ＭｕｌｉｕｓｅｒＣｒｙｐｔｏｇｒ
ａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ′２に記載された様な
公開キー式の暗号システムに対する公知の解決策とは異
なる。本発明に於いては、公開の暗号作成キーから機密
の暗号解読キーを作ることは困難である様に受信者が機
密の暗号解読キーと公開の暗号作成キーを作る。

送信者は公開の暗号作成キーでメツセージを変換するこ
とによつて通信さるべきメツセージを暗号化する。この
場合、メツセージを暗号化するのに用いられる変換は容
易に行なわれるが、機密の暗号解読キーなしに逆変換す
ることは困難である。暗号作成されたメツセージは次い
で送信者から受信者へと通信される。受信者は機密の暗
号解読キーを用いて暗号作成変換の逆変換を行なうこと
によつて暗号メツセージを解読する。本発明のここに示
す別の実施例は、送信者が、許可された相手の受信者で
あることを認証できる様にする方法及び装置についても
説明する。許可された受信者は公開の暗号作成キーから
機密の暗号解読キーを作り出すのが困難である様に機密
の暗号解読キーと公開の暗号作成キーを作る。送信者は
、公開の暗号作成キーを用いてメツセージを変換するこ
とによつて通信さるべきメツセージを暗号化し、この場
合メツセージの暗号化に用いられる変換は容易に行なわ
れるが機密の暗号解読キーなしにその逆変換を行なうの
は困難である。この暗号作成されたメツセージは次いで
送信者から受信者へと送信される。受信者は機密の暗号
解読キーを用いて暗号作成変換の逆変換を行なうことに
よつて暗号メツセージを解読する。受信者が暗号メツセ
ージを解読できるということによつて正しい相手の受信
者であるということが送信者に分かる。本発明のここに
示す更に別の実施例には、通信されるメツセージに受け
取り（受け取り証情報）を与える方法及び装置が記載
されている。

送信者は公開キーから機密キーを作り出すのが困難であ
る様に機密キーと公開キーを作る。次いで送信者は通信
されるメツセージの表示体を機密キーで変換することに
よつて受け取りを作り、この場合この受け取りを作るの
に用いられる変換は機密キーなしで行なうには困難であ
りそして公開キーを用いて容易に逆変煉される。次いで
この受け取りが送信者から受信者へと通信される。受信
者はこの受け取りから通信メツセージの表示体を得るた
めに公開キーを用いて逆変換を行ない、そして通信メツ
セージの表示体と通信メツセージとの類似性を比較する
ことによつてこの受け取りが確かなものであることが確
認される。本発明の更に別の目的及び特徴は、添付図面
を参照した好ましい実施例の以下の詳細な説明より明ら
かとなろう。

さて第１図を参照すれば、全ての伝送が機密保持性のな
い通信チヤンネル］９例えば電話線を介して行なわれる
様な公開キー暗号システムが示されている。

Ｂｅｌｌ２０１モデムの様なモデムである送受信ユニツ
ト３１及び３２を用いて送信者１１と受信者１２との間
で機密保持性のないチヤンネル１９を経て通信が行なわ
れる。送信者１１は、受″信者１２へ通信さるべき暗号
化されていないメツセージ即ち暗号でないテキストメツ
セージｘを有している。送信者１１及び受信者］２は各
々暗号作成装置］５と暗号解読装置１６を備えており、
暗号作成装置１５はラインＥに．対する暗号作成キーＥ
の作用の下で情報を暗号化し、そして暗号解読装置１６
はラインＤに対する暗号解読キ−Ｄの作用の下で情報を
解読する。暗号作成及び解読装置１５及び１６はそれに
対応するキ−Ｅ及びＤがロードされた時に５逆変換を行
なう。例えば、これらキーは一連のランダムな文字又は
数字である。暗号作成装置１５は暗号でないテキストメ
ツセージｘを暗号化されたメツセージ即ち暗号テキスト
Ｓに暗号化し、これが送信者１１により機密保持性のな
いチヤンネル１９を経て伝送される。暗号テキストＳは
受信者１２によつて受信されそして暗号解読装置１６に
よつて解読されて暗号でないテキストメツセージｘが得
られる。許可されていない者即ち盗聴者１３がキー発生
器２３と暗号解読装置１８とを有しそして機密保持性の
ないチヤンネル１９に接続できるものと仮定すれば、盗
聴者が暗号解読キ−Ｄを知つている場合には、盗聴者は
暗号テキストＳを解読して暗号でないテキストメツセー
ジｘを得ることができる。この例示システムは、いわゆ
る″″ナツプサツクの問題″゛の困難性を用いたもので
ある。

簡単に説明すれば、長さＳの１次元ナツプサツクと、長
さａ１、ａ２・・・・・・ａｎ（７）ｎ本のロツドから
成るベクトルａとが与えられた場合に、このナツプサツ
クを厳密に満たすロツドの副組を見い出すことがにの様
な副組が存在すれば）ナツプサツクの問題である。Ｓ＝
ａ＊ｘとなる様な０及び１の２進ｎべクトルｘを見い出
すこともにの様なべクトルｘが存在すれば）ナツプサツ
クの問題と等価である。但し、＊印はべクトルに用いら
れた場合にはドツト積を表わし、スカラーに用いられた
場合には普通の乗算を表わす。仮定した解ｘはせいぜい
ｎ回の加算を行なえば容易にチエツクはできるが、現在
の知識の最善を尽してもこの解を見い出すにはｎによつ
て指数的に増加する様な多数の演算を必要とする。

あらゆる２ｎによつて考えられるｘについて徹底的に試
行錯誤を繰返してこの解を求めることは、ｎが１００乃
至２００以上大きい場合には計算が不可能である。用い
られるメモリの量又は計算時間によつて判断されるこの
計算コストが、有限ではあるが不可能な程大きくなり、
例えば現存の計算方法及び装置を用いてほ・゛１０３０
回もの演算を行なう程になつたとすれば、計算作業は実
行不可能であると考えられる。ナツプサツクの問題はＮ
Ｐ完全（ＮＰーｃｏｍｐｌｅｔｅ）の問題であり、従つて暗号の性質の
最も困難な計算問題の１つであるから、ナツプサツクの
問題は理論によつてその困難性が示される。

例えば、１９７４年、Ｒｅａｄｉｎｇ．Ｍａ、：Ａｄｄ
ｉｓｏｎ−Ｗｅｓｌｅｙ、３６３乃至４０４頁に掲載さ
れたＡ．Ｖ．Ａｈｏ１Ｊ．Ｅ．Ｈｏｐｃｒａｆｔ及びＪ
．Ｄ．Ｕ１１ｍａｎ氏の″コンピユータアルゴリズムの
設計及び解析７（ＴｈｅＤｅｓｉｇｎａｎｄＡｎ
ａ１ｙｓｉｓｏｆＣｏｍｐｕｔｅｒＡｌｇｏｒｉｔ
ｈｍｓ）″を参照されたい。然し乍ら、その困難性の程
度はａの選択に左右される。ａ＝（１、２、４・・・・
・・２（ｎ−１））であれば、ｘについて解くことは
Ｓの２進表示を見い出すことと等価である。ささいなこ
とであるが、全てのｉに対して“であれば、Ｎは容易に
見い出され、Ｓ−＞ａｎの場合及びその場合にのみＸｎ
＝１であり、そしてｉ＝ｎ−１．ｎ−２・・・・・・
１に対しては、の場合及びその場合にのみＸ１＝１であ
る。

ｘの成分をＯと１との間の整数値で得ることができれば
、条件（１）をａｌ＞ｌ寺滑ａ，と取り替えることがで
きそしてｘ，を（Ｓ一干＝１＋１ｘ，＊ａ，）／ａ１の
整数部分として復元することができる。Ｘ１が２進値で
ある時にはＸｌを求めるための（２）式が１＝１の場合
のこの法則に等しい。トラツプドアナツプサツクは、ａ
を入念に選択することによつて設計者がいかなるｘに対
しても容易に解くことはできるが誰もその解を見い出せ
ない様な問題である。

トラツプドアナツプサツクを構成する２つの方法につい
て説明するが、第１図に示した様な公開キー暗号システ
ムに使用した場合の説明を先ず行なう。受信者１２はト
ラツプドアナツプサツクベクトルａを作り、そしてこれ
を公開フアイルに入れるか又は機密保持性のないチヤン
ネル１９を経て送信者１１に送る。送信者１１は暗号で
ないテキストメツセージｘをｎ個の０及び１のベクトル
Ｘとして表わし、Ｓ＝ａ＊ｘを計算し、そして機密保持
性のないチヤンネル１９を経てＳを受信者１２に送る。
受信者１２はｘに対してＳを解くことができるが、盗聴
者１３はｘに対してＳを解くことができない。トラツプ
ドアナツプサツクを作るための１つの方法に於いては、
キー発生器２２がキーの源２６により発生されたランダ
ム数字を用いて２つの大きな整数ｍ及びｗを選択する。

但し、Ｗは反転できるモジユロｍである（即ち、ｍ及び
ｗが１以外の共通の因数を持たない）様に選択される。
例えば、キー源２６は極性検出器を持つたノイズ性の増
巾器（例えば、フエアチヤイルド杜のμ７０９演算増巾
器）によつて実施されるランダム数発生器を備えてもよ
い。キー発生器２２にはナツプサツクベクトルａ″が与
えられ、これは（１）式を満足するものであり、従つて
Ｓ″＝ａ″＊ｘを解くことができる様にし、そして容易
に解かれたナツプサツクべクトルａ′をという関係によ
つてトラツプドアナツプサツクベクトルａに変換する。

このべクトルａはラインＥ上の公開暗号作成キ−Ｅとし
て働き、そして公開フアイルに入れられるか又は機密保
持性のないチヤンネル１９を経て送信者１１に送られる
。従つて送信者１１も盗聴者１３もこの暗号作成キ−Ｅ
を入手することができる。送信者１１は、ａに等しいこ
の暗号作成キ−Ｅを用いて、Ｓ＝ａ＊ｘにせしめること
により、べクトルＸで表わされた暗号でないテキストメ
ツセージｘから暗号テキストＳを作り出す。然し乍ら、
ａ１が擬似ランダムに分布されるので、ａを知つている
がｗやｍを知らない盗聴者１３はａを含んだナツプサツ
クの問題を解いて所望のメツセージｘを得ることはでぎ
ない〜受信者１２の暗号解読装置１６にはその機密の暗号解読
キ−Ｄとしてｗ．ｍ及びａ゛が与えられ、次式を容易に
解くことができる。

（７）式Ｓ″が整数演算に於けるΣｘ１＊ａ″１及びモ
ジユロｍに等しいことを意味する。

このナツプサツクの問題はｘに対して容易に解かれ、こ
れは更にむずかしいトラツプドアナツプサツクの問題Ｓ
＝ａ＊ｘに対する解でもある。それ故、受信者１２は２
進ベクトルｘとして表わされた暗号でないテキストメツ
セージｘを復元することができる。然し、盗聴者１３の
トラツプドアナツプサツクの問題は計算して解くことが
できず、盗聴者１３は暗号でないテキストメツセージｘ
を復元することができない。これらの考えを更にわかり
易くする助けとするため、例えばｎ＝５の場合について
説明する。

ｍ＝８４４３、ａ″＝（１７１．１９６、４５７、１１
９１．２４１０）、そしてＷ＝２５５０とすれば、ａ＝
（５４５７、１６６３、２１６、６０１３、７４３９）
である。ｘ＝（０、１、０、１、１）を与えると、暗号
作成装置１５はＳ＝１６６３＋６０１３＋７４３９＝１
５１１５を計算する。暗号解読装置１６はユークリツド
の互除法（例えば、Ｄ．Ｋｎｕｔｈ氏の″″ＴｈｅＡｒ
ｔｏｆＣｏｍｐｕｔｅｒＰｒｏｇｒａｍｍｉｎｇ″″第
２巻、Ａｄｄｉｓｏｎ−Ｗｅｓ１ｅｙ、１９６９年、Ｒ
ｅａｄｉｎｇ．Ｍａ．参照）を用いて１／Ｗ＝３９５０
を計算し、そして次式を計算する。Ｓ″〉ａ″５である
から、暗号解読装置１６はＸ５＝１を決定する。

次いでこの装置１６はａ″べクトルに対して（２）式を
用いて、Ｘ４＝１、Ｘ３＝Ｏ．Ｘ２ニ１、Ｘ１＝０、即
ちｘ＝（０、１、０、１、１）であることを決定し、こ
れはＳ＝ａ＊ｘに対する正しい解でもある。ｍ．ｗ又は
ａ″を知らない盗聴者１３は、トラツプドアナツプサツ
クベクトルａを作るのに用いられた方法をたとえ知つて
いたとしても、Ｓ＝ａ＊ｘｘを解くことが相当に困難で
ある。

盗聴者のこの作業はｎ．ｍ．ｗ及びａ″に大きな値を選
ぶ程実行不可能にされる。この作業はａ１の桁を上げて
′行くことにより且つａ１の各々にｍの色々なランダム
な倍数を加えることにより更に複雑にされる。上記した
例は大きさが非常に小さなものであり、技術を説明する
だけのものに過ぎない。

より妥当な値としてｎ＝１００を用いるとにれは機密保
持性の高い現在のシステムの使用レンジの下限である）
、ｍを２２０１＋１と２２０２−１との間の数値からほ
・゛均一に選択し、ａ″をレンジ（１、２１００）から
均一に選択し、ａ″を（２１００＋１、２＊２１００）
から均一に選択し、ａ″を（３×２１００＋１、４＊２
１００）から均一に選択し、・・・・・・という様にし
て、ａ′を（２１−１−１）＊２１００＋１、２１−１
Ｆ２１００）から均一に選択し、そしてｗ″を（２、ｍ
−２）から均一に選択し次いでこれを（ｗ″、ｍ）の最
大共通除数で除算してｗを生じるようにすることが提案
される。これらの選択は、（８）式が満足されそして盗
聴者１３が各々のパラメータに対して少なくとも２１０
０の可能性を持ち、従つてこれら全部に対して解を求め
ることができない様にする。

暗号作成装置１５が第２図に示されている。

整数ａ１、ａ２、・・・・・・ａｎの順序はＸ１、Ｘ２
、・・・・・・・・・ｘｏの０及び１が逐次に与えられ
るのと同期して逐次に与えられる。Ｓレジスタ４１は初
め零にセツトされる。Ｘｉ＝１の場合にＳレジスタ４１
の内容とａ，とが加算器４２によつて加算され、その結
果がＳレジスタ４１に入れられる。Ｘ１＝０であれば、
Ｓレジスタ４１の内容がそのま・にされる。いずれの場
合も、ｉ＝ｎまでｉはｉ＋１と取り替えられ、ｉ＝ｎの
場合に暗号作成演算が完了する。ｉレジスタ４３は初め
零にセツトされ、そして暗号作成装置の各サイタルが終
わるたびに１だけ増加される。ｉレジスタ４３の内容を
増加するには加算器４２を用いてもよいし、特殊なアツ
プ．カウンタを用いてもよい。上記した様な範囲の値で
あれば、Ｓ及びｉレジスタ４１及び４３は共に１つの１
０２４ビツトランダムアタセスメモリ（ＲＡＭ）例えば
Ｉｎｔｅｌ２１０２から作ることができる。加算器４２
の実施については、暗号作成演算．が完了した時を決定
するためにｉとｎを比較するのに必要とされる比較器４
４の実施と同様に、以下で詳細に説明する。キー発生器
２２は、ａ１＝ｗ＊ａ″１モジユロｍを生じるため第３
図に示された様なモジユロｍ乗算器を備えている。

乗算さるべき２つの数ｗ及びａ″１は各々Ｗ及びＡ″レ
ジスタ５１及び５２にロードされ、そしてｍはＭレジス
タ５３にロードされる。積ｗ＊ａ″１モジユロｍはＰレ
ジスタ５４に生じ、このＰレジスタは初め零にセツトさ
れる。ｍの２進表示に於けるビツト数ｋが２００であれ
ば、これら４つの全てのレジスタを１つの１０２４ビツ
トＲＡＭ例えばＩｎｔｅｌ２１０２から作ることができ
る。第３図の実施例は、ｗａ″１モジユロｍ：ｗｏａ″
１モジユロｍ＋２ｗ１ａ′，モジユロｍ＋４ｗ２ａ′，
モジユロｍ＋・・・・・・２ｋ−１ｗ，−１ａ″１モジ
ユロｍであるということに基いている。Ｗレジスタ５１
のｗ。

を含む最も右側のビツトが１である場合に、ｗとａ″，
とを乗算するためには、Ａ″レジスタ５３の内容が加算
器５５によつてＰレジスタ５４に加算される。ｗｏ＝０
であれば、Ｐレジスタ５４は不変である。Ｐレジスタ５
４の内容が、Ｍレジスタ５３の内容であるｍに等しいか
又はそれより大きいかを決定するためＭレジスタの内容
とＰレジスタの内容が比較器５６によつて比較される。
Ｐレジスタ５４の内容がｍに等しいか又はそれより大き
い場合には、減算器５７がＰレジスタ５４の内容からｍ
を減算し、そしてその差をＰレジスタ５４に入れる。Ｐ
レジスタ５４の内容がｍより小さければ、Ｐレジスタ５
４は不変である。次いでＷレジスタ５１の内容が１ビツ
ト右へシフトされ、そして該レジスタの左端にはＯがシ
フトされ、従つてその内容はＯ．Ｗｋ−１、Ｗｋ−２・
・・・・・Ｗ２、Ｗ１となり、２ｗ１ａ″１モジユロｍ
を計算する用意ができる。

この目的のため加算器５５を用いてそれ自身にａ″を加
算することによつて２ａ″モジユロｍの量が計算され、
比較器５６を用いて、その結果２ａ″がｍより小さいか
どうかを決定し、そしてその結果がｍ以上である場合に
は減算器５７を用いて２ａ″からｍを減算する。そして
その結果２ａ″モジユロｍがＡ″レジスタ５２に記憶さ
れる。次いで、Ｗレジスタ５１のＷ２を含む最も右側の
ビツトが前記した様に検査され、そしてプロセスが繰り
返される。このプロセスは最高ｋ回、即ちＷレジスタ５
１が全部０を含むまで繰り返され、この点に於いてＷａ
・モジユロｍがＰレジスタ５４に記憶される。

これらの動作の例として、７×７モジユロ２３を計算す
る問題について考える。次の段階は７×７＝３モジユロ
２３を生じるＷ．Ａ″及びＰレジスタの次々の内容を示
している。第４図は２つのｋビツト数ｐ及びｚを加算す
るための加算器４２又は５５の実施例を示している。

これらの数は低位のビツトから１度に１ビツトずつ装置
に与えられ、そして遅延素子は初めに０にセツトされる
。（遅延は２進の桁上げビツトを表わしている。）ア
ンドゲート６１は、Ｐ１及びＺ１が共に１であるのに基
いて桁上げビツトを１にするべきであるかどうかを決定
し、そしてアンドゲート６２はその手前の桁上げビツト
が１であり且つＰ１又はＺ１の１方が１であるのに基い
て桁上げビツトを１にすべきであるかどうかを決定する
。これら２つの条件のいずれかが満足すると、オアゲー
ト６３は１の出力を有し、これは次の段への桁上げを指
示する。２つの排他的オア（ＸＯＲ）ゲート６４及び６５は前段からの桁上げビツ
トとＰ１、Ｚ１のモジユロ２の和として、和Ｓｉのｉ番
目のビツトを決定する。

遅延回路６６は手前の桁上げビツトを記憶する。これら
のゲートや遅延回路を実施する代表的な部品はＳＮ７４
００、ＳＮ７４０４及びＳＮ７４７４である。第５図は
２つの数ｐ及びｍを比較するための比較器４４又は５６
の実施例を示している。

これら２つの数は高位のビツトから１度に１ビツトずつ
与えられる。最後のビツトｐ。及びｍ。が与えられた後
にｐ＜ｍ出力もｐ＞ｍ出力もトリガされない場合にはｐ
＝ｍである。ｐ＜ｍ又はｐ＞ｍ出力の初めのトリガ作動
が比較動作を停止せしめる。２つのアンドゲート７１及
び７２の各々は１つの反転入力（入力に丸を付けて示す
）を有している。

これらの必要とされる全ての論理回路はＳＮ７４００及
びＳＮ７４０４によつて与えられる。第６図は２つの数
を滅算する滅算器５７の実施例を示している。

第３図で減算される数は常に負でない差を生じるので、
負の差を考慮する必要はない。大きい方の数即ち被減数
がｐで示されそして小さい方の数即ち減数がｍで示され
ている。ｐ及びｍは低位のビツトから減算器５７に逐次
に与えられる。アンドゲート８１及び８３、オアゲート
８４並びにＸＯＲ８２は上位からの借り（負の桁上げ
）があるかどうかを決定する。この上位からの借りはＰ
ｌ二Ｏ且つｍ１＝１の場合、又はＰ，＝ｍ１であり且つ
前段にこの借りが生じていた場合、に生ずる。遅延回路
８５は手前の借り状態を記憶する。差ｄ１のｉ番目のビ
ツトは、ＸＯＲ即ちＰ，、ｍ１のモジユロ２の差、及び
借りビツトとして計算される。ＸＯＲゲート８２の出力
はＰ，とｍ，とのモジユロ２の差を与え、そしてＸＯＲ
ゲート８６はこの差と手前の借リビツトとのモジユロ２
の差をとる。これらのゲートや遅延回路を実施する代表
的な部品はＳＮ７４００、ＳＮ７４０４及びＳＮ７４７
４である。暗号解読装置１６が第７図に示されている。

この装置には暗号テキストＳと、ｗ．ｍ．ａ″より成る
暗号解読キーとが与えられ、そしてこの装置はｘを計算
しなければならない。ｘを計算するためには、先ずｗ及
びｍがモジユロｍインバータ９１に入力され、該インバ
ータはｗ−１モジユロｍを計算する。

次いで、モジユロｍ・乗算器９２を用いてＳ″＝ｗ−１
Ｓモジユロｍを計算する。（７）式及び（８）式に示さ
れた様に、Ｓ″＝ａ″＊ｘであり、これはｘに対して容
易に解かれる。次いで比較器９３はＳ″とａ″。とを比
較し、Ｓ″≧ａ″。の場合にはＸｎ＝１であると決定し
、Ｓ″〈ａ″。の場合に・はＸｎ＝０であると決定する
。Ｘｎ＝１の場合にはＳ″は減算器９４によつて計算さ
れたＳ″−ａ″。と取り替えられる。Ｘｎ＝Ｏであれば
、Ｓ″は不変である。ａ′０−１及びＸｎ−１に対して
プロセスが繰り返され、ｘが計算されるまで続けられる
。ｊレジスタノ９５は初めにｎにセツトされ、そしてｊ
＝０となるまで暗号解読プロセスの各段階の終りに１だ
け減少され、そしてｊ二Ｏの際にはプロセスを停止して
ｘが計算されたことを示す。ｊレジスタ９５の内容を減
少するには減算器９４を用いてもよい・しダウンカウン
タを用いてもよい。比較器９６はｊレジスタ９５の内容
を零と比較して、プロセスを停止する時を決定するのに
用いることができる。モジユロｍ乗算器９２は第３図に
詳細に示されており、比較器９３は第５図に詳細に示さ
れて゛おり、減算器９４は第６図に詳細に示されている
。モジユロｍインバータ９１はユークリツドの互除法を
良く知られた様に拡張したものに基いている。例えば、
Ｄ．Ｋｎｕｔｈ氏の″ＴｈｅＡｒｔｏｆＣｏｍｐｕｔｅ
ｒＰｒｏｇｒａｍｍｉｎｇ′２第１１巻、Ａｄｄｉｓｏ
ｎＷｅｓｌｅｙ１１９６９年、Ｒｅａｄｉｎｇ１Ｍａ．
の３０２頁及び３１５頁の問題１５を参照されたい。Ｋ
ｎｕｔｈ氏によつて述べられた様に、これを実施するに
はレジスタ６個と、比較器と、除算器と、減算器とが必
要である。これは装置は除算器以外は全て既に詳細に説
明した。第８図は、０≦ｒ≦Ｖ−１である様に商ｑと剰
余ｒを計算するために整数ｕを別の整数ｖで除算する装
置を詳細に示している。

先ず、２進数として表わされたｕ及びｖがＵ及びＶレジ
スタ１０１及び１０２に各々ロードされる。次いでＶレ
ジス夕１０２の内容であるｖが、その最も左のビツトで
あるＶｋ−１に１が現われるまで、左にシフトされる。
このプロセスは、初めに零にセツトされたシフトレジス
タ例えばＳｉｇｎｅｔｉｃｓ２５３３に対してシフト制
御を行なうためにはＶｋ−１の補数を用いることによつ
て行なうことができる。アツプーダウンカウンタ１０３
の内容は商ビツトの１より小さい数に等しい。この様に
初期的に設定した後、Ｖレジスタ１０２の内容であるｖ
が比較器１０４によつてＵレジスタ１０１の内容と比較
される。

ｖ＞ｕであれば、商の最上位ビツトであるｑｎがＯであ
りそしてｕは不変のま・である。ｖ＜（ｕであれば、ｑ
ｎ＝１でありそしてｕは減算器１０５により計算された
ｕ−ｖと取り替えされる。いずれの場合もｖは右に１ビ
ツトシフトされ、そして商の次のビツトであるｑｎ−１
を計算するためにｖ＞ｕの比較が繰り返される。このプ
ロセスは、アツプーダウンカウンタ１０３が零を含むま
で各々の繰返しの終りにこのアツプダウンカウンタ１０
３が１だけ減少される様にして、繰り返される。

このカウンタ１０３が零を含んだ時は、商が完成しその
剰余ｒがＵレジスタ１０１に含まれる。例えば、１４を
４で除算してｑ＝３及びｒ＝２を生じることについて考
えることにしよう。

但しレジスタの大きさをｋ＝４とする。２進数で表わす
るＵ＝１４＝１１１０でありそしてＶ＝４＝０１００で
あるから、■レジスタ１０１は１回だけ左にシフトされ
てＶ＝１０００を生じる。

その後、Ｖｌ＜−ｕであるから第１の商ビツトはｑ１＝
１であることがわかり、そしてｕはｕ−ｖと取り替えら
れ、ｖは１ビツト右へシフトされたｖと取り替えられそ
してアツプ一ダウンカウンタ１０３は零まで減少される
。これは、最後の商ビツトｑ。が計算されておりそして
その時の繰り返しの後に剰余ｒがＵレジスタに含まれる
ことを信号する。レジスタの内容の以下に示すシーケン
スが、これら演算の経過を理解する助けとなろう。ｑ＝
１１は２進形態であり、これはｑ＝３に等しく、そして
ｒ＝００１０も２進形態であり、これはｒ＝２に等しい
ことが明らかで゛ある。

トラツプドアナツプサツクベクトルａを作るための別の
方法は、べクトルのエントリーが比較的素であれば乗算
ナツプサツクが容易に解かれるという事実を用いるもの
である。

ａ″＝（６、１１．３５、４３、１６９）と部分積Ｐ＝
２８３８が与えられると、６、１１及び４３はｐを均一
に除算するが３５及び１６９は均一に除算しないので、
Ｐ＝６＊１１＊４３ということが容易に決定される。乗
算ナツプサツクは対数をとることによつて加算ナツプサ
ツクに変換される。両べクトルを妥当な値にするために
は、ｍ個のエレメントを持つたガロアの（有限の）ブイ
ールドであるＧＦ（ｍ）に対して対数がとられる。但し
、ｍは素数である。素数でないｍの値を用いることもで
きるが、その演算は若干困難である。これを理解する助
けとするために以下に例を示す。

ｎ＝４、ｍ＝２５７、ａ″＝（２、３、５、７）及び対
数の底をｂ＝１３１とすれば、ａ＝（８０、１８３、８
１．１９５）となる。即ち、１３１８０＝２モジユロ２
５７、１３１１８１＝３モジユロ２５７、等々となる。
ｍ１が小さな素因数であれば、ＧＦ（ｍ）に対して対数
を見い出すことは比較的容易である。さて、暗号解読装
置１６にＳ＝１８３＋８１＝２６４が与えられた場合に
は、該装置１６はｍ．ａ″及びｂより成る暗号解読キ−
Ｄを用いて次式を計算する。珈啼１ＶＶ＆これはｘ＝（イ）、れは ″Ｏ１嘴１、１、０）を意味する。

こであるからである。

然し乍ら、整数に対する演算に於いてπａ′ｉｘｉモジ
ユロｍがπａ′ｉｘ１に等しい様にするためには、であ
ることが必要である。

盗聴者１３はべクトルａから成る暗号作成キーＥは知つ
ているが、暗号解読キ−Ｄを知つておらず、計算するこ
とが実行不可能である問題に直面する。

以下に述べる例も本発明の技術を説明するためのものに
過ぎない。

ｎ＝１００とすれば、各々のａ″１がランダムな１００
ビツトの素数である場合、０４）式を満足するためには
ｍが約１００００ビツトの長さでなければならなくなる
。或る適用例（例えば、機密保持性のないチヤンネルに
亘つて機密のキーが分布している場合）ではこの様な１
００：１のデー夕拡張を受け容れることができるが、恐
らくは、敵手にとつて、ａ″，をそんなにもわかりにく
いものにする必要はなかろう。ａ″１に対して初めのｎ
個の素数を用いることもでき、この場合、ｎ＝１００の
時にはｍを７３０ビツト程度の短かさにすることができ
、なお条件ａ４）を満足する。その結果、機密保持性と
データ拡張との間には或る妥協点が考えられる。この実
施例に於いては、暗号作成装置１５が、第２図に示され
て上記で説明されたものと同じ形式のものである。

この第２の実施例の暗号解読装置１６は第９図に詳細に
示されている。暗号テキストＳ及び暗号解読キ−Ｄの１
部即ちｂ及びｍは、Ｐ＝ｂ８モジユロｍを計算するため
指数装置１１１によつて用いられる。式正乃至（自）及
び上記例に述べた様に、Ｐは｛ａｉ｝の部分積であり、
暗号解読キ−Ｄの１部でもある。除算器１１２はＰをａ
″，（１＝１、２、・・・・・・ｎ）で除算し、そして
その剰余ｒｌのみを比較器１１３へ送る。ｒ１＝０であ
れば、ａ″１によつてＰが均一に除算され、Ｘｉ＝１で
ある。ｒｌ′ｏであればｘｉ＝０である。除算器１１２
は第８図に詳細に実施されており、前記で説明した。比
較器１１３は第５図に詳細に示されており、前記で説明
したが、零との比較を行なうためにはもつと効率的な装
置が存在する。ｂ８モジユロｍを作り出すための指数装
置１１１は第１０図に示した様な電子回路で実施できる
。第１０図は３つのレジスタ１２１，１２２，１２３
の初期内容を示している。Ｓ（Ｓｋ−１、Ｓｋー２、・
・・・・・Ｓ１、ｓｏ）の２進表示がＳレジスタ１２１
にロードされ、１がＲレジスタ１２２にロードされ、そ
してｂの２進表示がＢレジスタ１２３にロードされ、こ
れはｉ＝０に対応している。各レジスタのビツト数ｋは
２ｋ＞′ｍである様な最小の整数である。ｋ＝２００で
あれば、３つのレジスタは全てｉｎｔｅｌ２１０２の様
な１つの１０２４ビツトランダムアクセスメモリ（Ｒ
ＡＭ）から作ることができる。２つの数を乗算して、そ
の「積モジユロｍ」を作り出すための乗算器１２４は第
３図に詳細に示されている。

第１０図を参照すれば、Ｓレジスタ１２１の■を含む下
位ビツトが１に等しい場合は、Ｒレジス夕１２２とＢレ
ジスタ１２３の内容が乗算されて、その「積モジユロｍ
」が作られ、そしてｋビツト量でもあるこれらの積がＲ
レジスタ１２２の内容と取り替えられる。

■＝Ｏであれば、Ｒレジスタ１２２の内容は不変のまま
である。いずれの場合も、Ｂレジスタ１２３の内容が乗
算器１２４に２回ロードされ、Ｂレジスタ１２３の内容
の″「平方、モジユロｍ」が計算される。この値、ｂ（
２１＋１）がＢレジスタ１２３の内容と取り替えられる
。Ｓレジスタ１２１の内容は１ビツト右へシフトされ、
そして０がその左端にシフトされ、従つてＳレジスタの
内容は今や０、Ｓｋ−１、Ｓ，−２・・・・・・Ｓ２、
Ｓ１である。次いでＳレジスタ１２１のＳ１を含む下位
ビツトが検査される。

このビツトが１である場合は、前記した様にＲレジスタ
１２２とＢレジスタ１２３の内容が乗算されて、その「
積モジユロｍ」が作ｌられ、これがＲレジスタ１２２の
内容と取り替えられる。この下位ビツトが０であればＲ
レジスタ１２２の内容は不変のままである。いずれの場
合もＢレジスタ１２３の内容はその前の内容の「平方、
モジユロｍ」と取り替えられる。そしてＳレジスタ１２
１の内容は右へ１ビツトシフトされ、その左端にはＯが
シフトされ、従つてＳレジスタの内容は今やＯ．Ｏ．Ｓ
ｋ−１、Ｓｋ−２・・・・・・Ｓ３、ジとなる。このプ
ロセスはＳレジスタ１２１が全部０を含むまで続けられ
、その時にはｂ８モジユロｍの値がＲレジスタ１２２に
記憶される。

このプロセスの経過を理解する助けとなる例を以下に説
明する。

ｍ＝２３とすれば、２ｋ≧ｍからｋ＝５がわかる。ｂ＝
７及びＳ＝１８とすれば、ｂＳ７１８＝１６２８４
１３５９７９１０４４９＝２３（７０８００５９１
２１３４９７）＋１８であり、従つてｂ８モジユロｍは
１８に等しい。ｂ８モジユロｍを計算するこの単純では
あるがやつかいな方法は、以下に示す第］０図の方法が
正しい結果を生じることを示すためのチエツク法として
用いられる。以下に第１０図の方法を述べる。Ｒレジス
タ１２２及びＢレジスタ１２３は理解し易くするため１
０進形態で示されている。１＝Ｏの行は各レジスタの初
めの内容、Ｓ１８、Ｒ＝１、Ｂ＝ｂ＝７に相当する。

この時は、上記した様に、Ｓレジスタ１２１の最も右の
ビツトがＯであるから、Ｒレジスタ１２２の内容は不変
のままであり、Ｂレジスタ１２３の内容はその前の内容
の「平方、モジユロ２３」と取り替えられる（７２＝４
９＝２×２３＋３＝３モジユロ２３）。そしてＳレジス
タ１２１の内容は右へ１ビツトシフトされ、そしてプロ
セスが続けられる。ｉ＝１及び４の時にのみＳレジスタ
１２１の最も右のビツトが１であり、従つて、ｉ＝１か
らｉ＝２へそして１＝４からｉ＝５へ進む時にのみＲレ
ジスタ１２２がＲＢモジユロｍと取り替えられる。ｉ＝
５の時はＳ＝０であり、従つてプロセスは終了され、そ
の結果１８がＲレジスタ１２２に入れられる。７１８モ
ジユロ２３を単純に計算した上記の場合と同じ結果１８
がここに得られたが、ここでは決して大きな数が出て米
ない。

このプロセスを理解するための別の方法は、１がＯ、１
、２、３及び４である時にＢレジスタ１２３が各々ｂ．
ｂ２、ｂ４、ｂ８及びｂ１６を含むという点と、ｂ１８
＝ｂ１６ｂ２であるからこれら２つの値のみを乗算すれ
ばよいという点とに注目することである。

第２の実施例に用いられるキー発生器２２が第１１図に
詳細に示されている。

ｎ個の小さな素数Ｐ，の表が作られて源１３１に記憶さ
れる。この源１３１はＩｎｔｅｌ２３１６Ｅの様なリー
ドオンリメモリである。キー源２６が前記した様にラン
ダム数ｅ１を発生する。源１３１からの小さな素数Ｐ１
は、指数装置１３２により、キー源２６からのランダム
数ｅ１で表わされた色々な累乗数によつて累乗されて、
ｐ，ｅｉ（１＝１乃至ｎ）を作り出す。次いで乗算器１
３３はｎ０１として表わされる全■Ｐｉてのｐ１ｅ１の
積を計算する。

この積は次いで加算器１３４によつて１だけ増加されて
、ｍのポテンシヤル値を発生する。ｍが素数であること
が所望される場合は、ｍのポテンシヤル値が素数テスタ
１３５によつて素数性に対して試験される。ｍ−１の因
数分解が既知であるにこでは、ｍｎｅｉ１＝旧Ｐ
１）時に数ｍを素数に対して試験するための素数テ
スタは文献で良く知られている。

例えば、Ｄ．Ｋｎｕｔｈ氏の″″ＴｈｅＡｒｔｏｆＣｏ
ｍｐｕｔｅｒＰｒｏｇｒａｍｍｉｎｇ′２第１１巻、Ｓ
ｅｍｉｎｕｍｅｒｉｃａｌＡｌｇｏｒｉｔｈｍｓ１３４
７−３４８頁を参照されたい。この文献に示された様に
、素数テスタ１３５は、種々の数値を種々の累乗数モジ
ユロｍに指数化するための第１０図に示した手段を必要
とするに過ぎない。ｍのポテンシヤル値が素数であると
わかつた時は、これが第１１図の公開キー発生器によつ
て変数ｍとして出力される。この時、ａ″べクトルのエ
レメントａ′１は源１３１からのｎ個の小さい素数Ｐ１
である様に選択することができる。次いで対数の底ｂが
キー源２６によつてランダム数として選択される。

べタトルａのエレメントは、ａ″べクトルのエレメント
の、底ｂに対する対数として、ＧＦ（ｍ）に亘つて対数
変換器１３６で計算される。

対数変換器１３６の作動及び構造について以下に述べる
。ｐが素数である場合には、である。

従つて指数の演算はモジユロｐではなくてモジユロＰ−
１でなされる。即ち、全ての整数ｘに対して、対数モジ
ユロｐを計算するためのアルゴリズムとは先ず初めに特
殊な場合Ｐ＝２ｎ＋１を考慮することによつて最も良く
理解される。

ＧＦ（Ｐ）の原始元をｄとすれば、α、ｐ及びｙが与え
られて、ｙ＝αＸ（モジユロＰ）である様なｘを見い出
さねばならない。Ｘ＝Ｐ−１はｘ＝０と区別できないの
でＯ＜（ｘ＜．Ｐ−２を仮定することができる。Ｐ＝２
ｎ＋１である時は、ｘの２進展開式｛ｂｏ、・・・・・
・ｂぉ，｝を見い出すことによつてｘが容易に決定され
る。

Ｘの最下位ビツトｂ。はｙを（Ｐ−１）／２＝２ｎ−１
乗しそして次の様な法則を適用することによつて決定さ
れる。これはαが原始元であるからであることを注目することによつて確立され、従つてと
なる。

＼よノ＼騙１−−▲ノｘの展開式に於ける次のビツトはとすることによつて決定される。

但し、である。

ｂ１＝０である場合及びこの場合にのみＸ１が４の倍数
であることは明らかである。ｂ１＝１であればＸ１は２
で除算できるが、４では除算できない。前記した理由に
より、である。

ｘの残りのビツトは同様に決定される。このアルゴリズ
ムは第１２図のフローチヤートに概略的に示されている
。このフローチヤートを理解する上での助けとするため
、１番目のループの開始に、ということに注意されたい
。

但し、である。

フ従つてｚをｍ乗することによつて次式が与えられる
。

ｒｌｈ１）／ｏ）ｌｖ；／９ｉ）それ故、ｂ１
＝０である場合及びこの場合にのみＺｍ＝１（モジユ
ロＰ）であり、ｂ，＝１である場合及びこの場合にのみ
Ｚｍ＝−１（モジユロＰ）である。

フ例えば、Ｐ＝１７＝２４＋１について考える。

α＝３は原始元である（α＝２は２８＝２５６＝１、モ
ジユロ１７であるから原始元でない）。ｙ＝１０が与え
られると、アルゴリズムによつて次の様にｘが計算され
る（３×６＝１８＝１、モジユロ１７であるか７らβ＝
ｘ−１＝６であることに注意されたい）。従つて、Ｘ＝
２°＋２１＝３であることがわかる。α３：３３＝２７
二１０（モジユロ１７）であるからこれ７は正しい。さ
てこのアルゴリズムを任意の素数ｐへと向つて一般化す
ることにする。

ここで、フｒ１＼ｒｌ十１
−■をＰ−１の素因数分解とする
。

但し、Ｐ１は異なつた素数でありそしてｎ１は正の整数
である。ｘ（モジユロｐ１ｎりの値がｉ＝１、・・・・
・・ｋに対して決定され、その結果が中国の剰余定理に
よつて合成されて、が得られる。

というのは、０≦ｘ≦Ｐ−２だからである。この中国の
剰余定理は０（ｋｌｏｇ２ｐ）演算及びメモリのＯ（
ｋｌｏｇ２ｐ）ビツトに於いて行なうことができる。
（乗算モジユロｐは１つの演算として数えられる。）
ｘ（モジユロＰｉｎ，）の次の様な展開式について考慮
する。

但し、０≦ｂ，≦Ｐ，−１である。

最下位ビツトｂ。

はｙを（Ｐ−１）／Ｐ１乗することによつて決定される
。但し、であり、これはＰ１番目の１の原始乗根である。

それ故、ｙ（Ｐ−１）／Ｐ１（モジユロＰ）についてＰ
１の値しか考えられず、それにより生じた値がｂ。を特
定なものに決定する。ｘ（モジユロＰｉｎ，）の基本的
なＰｉ展開式に於ける次の数字ｂ１は、とすることによ
つて決定される。

但し、である。

さて、ｚを（Ｐ−１）／Ｐ１２乗すれば、が得られる。
ここでもｚ（Ｐ−１）／Ｐｉ２についてＰ１の値しか
考えられず、この値がｂ１を決定する。全ての係数ｂ，
を決定するまでこのプロセスが続けられる。第１３図の
フローチヤートは展開式（２９）の係数（ｂ，）を計算
するためのアルゴリズムを概略的に示している。

このアルゴリズムはｉ＝１、２、・・・・・・ｋに対し
てｘ（モジユロｐ１ｎｉ）を計算するためにｋ回用いら
れ、そしてこれらの結果が中国の剰余定理によつて合成
されてｘが得られる。第１３図の関数ｇｉ（ｗ）は次式
によつて定められる。但し、γ１はＣ３１）式で定めら
れたものである。Ｐ−１の全ての素因数｛ＰＩ｝讐１＝
が小さいものであれば、ｇｉ（ｗ）関数は表に示したよ
うに容易に演算され、そしてＧＦ（Ｐ）に亘つて対数を
計算することはｇｉ（ｗ）の表のための最小のメモリと
Ｏ（ｌｏｇ２ｐ）２の演算しか必要とされなノい。必要
とされる主な計算はｗ＝ｚｎを計算することであり、こ
れはＯ（ｌｏｇ２ｐ）の演算を必要とする。このループ
は整ｎｉ回進行されそしてｐｉｉ＝１が全て小さな
ものであれば整 ′ｎｉはほぼ１０ｇ２Ｐ；：：１であ
る。

従つてＰ−１が小さな素因数しか持たない時は、ＧＦ（
Ｐ）に亘つて対数を容易に計算することができる。例え
ば、Ｐ＝１９、α＝２、ｙ＝１０の場合について考える
ことにする。

この場合はＰ−１＝２・３２であり、そしてＰ１＝２、
ｎ１＝１、Ｐ２＝３及びｎ２＝２である。ｘ（モジユロ
ｐ１ｎ１）＝ｘ（モジユロ２）の計算はｙ（Ｐ−１
）／Ｐ１＝α３＝５１２＝１８（モジユロ１９）の計算
を含み、従つてｂ１＝１及びＸ（モジユロ２）＝２°＝
１である（即ち、ｘが奇数である）。次いで第１３図の
フローチヤートはＰ２＝３、ｎ２＝２に対して次の様に
実行される。（２×１０＝２０＝１、モジユロ１９で
あるからβ＝１０であり、更に、γ２＝α６＝７及び７
°＝１、７１＝７そして７２＝１１（モジユロ１９）で
あり、従つてｇ２（１）＝０、ｇ２（７）＝１、ｇ２（
１１）＝２である）ｚＢｎｊ
Ｗｂｊ従つてｘ（モジユロｐ２１２）＝ｘ（モ
ジユロ９）＝２．３°＋２．３１＝８である。ｘ（モジ
ユロ２）＝１及びｘ（モジユロ９）：８がわかれば、ｘ
（モジユロ１８）＝１７もわかる。

にれは中国の剰余定理を用いることもできるし、或いは
又、Ｘ＝８又はＸ＝８＋９＝１７でありそして１７のみ
が加算されるということも理解することもできる。）チ
エツク法として、２１７＝１３１０７２＝１０（モジユ
ロ１９）、従つてｙ＝αＸ（モジユロＰ）ということが
わかる。対数変換器は、β＝α−１（モジユロＰ）を計
算するためのモジユロｐインバータを必要とする。

既に述べた様に、これはユークリツド互除法の拡張され
た形態を用いて達成することができ、これは第８図の除
算器と、第３図の乗算器と、第５図の比較器とを用いる
必要がある。対数変換器も第８図の除算器（ｎの次々の
値を計算する）と、第４図の加算器（ｊを増加する）と
、第１０図のモジユロｐ指数装置（Ｗ及びβｂｊを計算
し且つｇｉ（ｗ）の表を予め計算する）と、第３図のモ
ジユロｐ乗算器（Ｚの次々の値を計算する）と、第５図
の比較器（ｊ＝Ｎｉである時を決定する）とを必要とす
る。中国の剰余定理に対数変換器を使用するためには、
既に述べた装置（第３図の乗算器及びモジユロｍインバ
ータ）が必要とされるに過ぎない。トラツプドアナツプ
サツクベクトルを作る第１の方法に於いては、ベクトル
ａを含んだ非常に困難なナツプサツク問題が、変換式に
よつて、ａ″を含む非常に簡単で且つ容易に解かれるナ
ツプサツクの問題に変換された。

ａを含むナツプサツクの問題は、解くことのできるａ″
を含む別のナツプサツク問題に変換できるので、解くこ
とができた。が、ａ″を含むナツプサツクの問題をなぜ
解くことができるかについては問題にしていないことに
注意されたい。かくて、ａ″が（１）式を満足すること
を必要とするのではなく、ａ″を変換式によつてａ″″
を含む別のナツプサツク問題に変換できることが必要と
される。

但し、ａ″は（１）式を満足するか又はそれを解き易く
する。変換を２回行なえば、３回目にこれを行なう際に
問題が生じることはなく、実際上このプロセスは所望の
頻度で繰り返されることが明らかである。各々の変換を
次々に行なう状態では、公開の既知のベクトルａの構造
が更にばく然としたものになる。

本質的に我々は、ナツプサツク問題の基本構造を保持す
る変換を繰返し用いることによつて簡単なナツプサツク
問題を暗号に直す。最終的な結果ａはランダム数の集合
体の様である。問題を容易に解くことができるというこ
とは、完全にばく然としたものにされる。初めの、容易
に解くことのできるナツプサツクべクトルは（１）式の
様ないかなる条件をも満足することができ、これは容易
に解くことができるということを保証する。

例えばこれは乗算トラツプドアナツプサツクであつても
よい。この様にして、２つのトラツプドアナツプサツク
の方法を、恐らく解くことがよりむずかしい１つの方法
へと合成することができる。ノベクトルａの発展率を
考慮することが重要である。

なぜならば、この発展率は大きな量Ｓとしてｎ次元べク
トルｘを伝送する際に含まれるデータ拡張を決定するか
らである。この発展率は数を選択する方法に左右される
が、ｎ＝１００の様な妥当ｊな場合には、各々のａ１が
その対応ａ″１よりもせいぜい７ビツト大きく、各々の
ａ″，がａ″″１よりもせいぜい７ビツト大きく・・・
・・・等々となつている。変換の次々の各段階はわずか
な一定量だけ問題のサイズを増加する。変換を２０回繰
り返すとすれば、こ７れはせいぜい１４０ビツトを各ａ
１に追加することになる。各々のａ，が変換の始めに２
００ビツト長であれば、２０段の後に３４０ビツト長で
あることが必要とされるに過ぎない。ｎ＝１００に対す
るナツプサツクベクトルはこの時にせいぜい１００米３
４０＝３４キ７ロビツトとなる。数字による普通の認証
性は第３者の情報復元に対しては防護するが、どの様な
メツセージが送られたかということについての送信者１
１と受信者１２との争いを沈めるのに用いることはでき
なフい。

真のデジタル信号は受け取り（受け取り証情報）とも
呼ばれる。なぜならば、送信者１１によつて受信者１２
に特定のメツセージＭが送られたことを受信者１２がわ
かる様にできるからである。トラツプドアナツプサツク
は次の様にしてこ７の受け取りを発生するのに用いるこ
とができる。或る大きな一定レンジ内にある各々のメツ
セージＭが逆の像ｘを有している場合には、これを、受
け取りを与えるのに用いることができる。送信者１１は
ナツプサツクベクトルｂ″及びｂを作り、９然してｂ″
は容易に解かれるナツプサツクベクトルの様な機密のキ
ーでありそしてｂはという関係によつて得られる様な公
開キーである。

次いでこのべクトルｂは公開のフアイルに入れられるか
、又は受信者１２に送信される。送信者１１がメツセー
ジＭに受け取りを与えたい場合には、送信者１１はｂ＊
Ｘ＝Ｍである様にＸを計算しそして送信する。送信者は
容易に解かれるナツプサツク問題を解くことによつて所
望のメツセージＭに対してＸを作る。受信者１２はｘか
らＭを容易に計算でき、そしてデータ／時間フイールド
（又はＭに於けるその他の冗長性）をチエツクすること
によつてメツセージＭの認証性を決定する。

受信者１２はＸを作ることができないにれは送信者１１
しか有していないｂ″を必要とするからである）ので、
受信者１２は送信者１１がメツセージＭを送出した証明
としてｘを保存する。受け取りを作るというこの方法は
、解の密度（ｂ＊ｘ−Ｍに対する解を持つた、０とΣ６
１との間のメツセージＭの小部分）があまり小さくない
とすれば、この解の密度が１より小さい時に使用する様
に変更することができる。

メツセージＭは暗号でないテキストの形態で送られるか
、又は盗聴者が関係している場合には上記した様に暗号
化され、そしてそれに関連した一連の一方向関数ｙ１＝
Ｆ１（Ｍ）、ｙ２−Ｆ２（Ｍ）、・・・・・・が計算さ
れる。次いで送信者１１は１が見つかるまでｙ１、ｙ２
・・・・・・に対して逆の像ｘを捜し、そしてそれに対
応するｘを受け取りとしてＭに添付する。受信者１２は
Ｍ″−ｂゞｘを計算し、ｉが或る許容レンジ内にある場
合にＭ″＝ｙ１をチエツクする。１方向関数のシーケン
スは、又はという様に簡単にできる。

但し、Ｆ６）は１方向関数である。Ｆ００のレンジは情
報復元の際に試行錯誤を行なうことを挫折させるために
少なくとも２１００の値を有することが必要である。メ
ツセージと受け取りを、１つのメツセージ・受け取リデ
ータとして合成することもできる。１の許容レンジがＯ
と２１−１との間にありそしてメツセージの長さがＪビ
ツトである場合には、Ｊ＋ｉビツト長さの１つの数でメ
ツセージとｉとを表わすことができる。

送信者１１は例えば、Ｓの初めのＪビツトがメツセージ
に等しくセツトされそしてＳの最後のｉビツトが束縛を
受けない場合．に生じるｂ＊ｘ＝Ｓの解をＳの２゛値の
各々に対してチエツクする。この様な解ｘの第１のもの
がメツセージ・受け取リデータとして受信者１２に送ら
れる。受信者１２は公開キ−ｂとメツセージ・受け取り
合成体ｘとのドツト積を計算し、そクれにより得られた
Ｓの初めのＪビツトを保持することによつてＳを復元す
る。メツセージの認証性はメツセージに適当な冗長性が
あることによつて確認され、この冗長性はメツセージが
英語の様な普通のことばで表わされている場合には普通
の冗７長性であるが、そうでない場合にはメツセージに
日時のフイールドを追加した様な人為的な冗長性である
。冗長性は、ここでは、メツセージの構造（完全にラン
ダムであり且つ予想できないことからの逸ノ脱）を評価
するために、情報理論（１９４８年のＢｅ１１Ｓｙｓｔ
ｅｍＴｅｃｈｎｉｃａ１Ｊｏｕｍａｌ第２７巻３７９頁
及び６２３頁に記載されたＣｌａｕｄｅＥ．Ｓｈａｎｎ
ｏｎ氏の″″ＴｈｅＭａｔｈｅｍａｔｉｃａｌＴｈｅ
ｏｒｙｏｆＣｏｍｎ１ｕｎｉｃａｔｉｏｎ′つ並
びに複雑性の理論（１９６６年、Ｊｏｕｍａｌｏｆｔｈ
ｅ・ＡｓｓｏｃｉａｔｉｏｎｆｏｒＣｏｍｐｕｔｉｎｇ
Ｍａｃｈｉｎｅｒｙ第１３巻５４７頁に記載されたＧｒ
ｅｇｏｒｙＪ．Ｃｈａｉｔｉｎ氏の″″ＯｎｔｈｅＬ
ｅｎｇｔｈｏｆＰｒｏｇｒａｍｓｆｏｒＣｏｍ
ｐｕｔｉｎｇＦｉｎｉｔｅＢｉｎａｒｙＳｅｑｕｅｎｃ
ｅｓ′つという意味で用いられる。

あらゆる文字が等しい確率で生じる場合に″のみメツセ
ージ源は冗長性を持たない。ランダムなものを首尾よく
当てる割合よりも良好にメツセージの文字を推定できる
場合には、メツセージの源が冗長性を有し、そして仮想
のギヤンブラーが彼の運勢を良い方に伸ばすことのでき
る割合が冗長性の量的な尺度である。（１９７６年１
１月１ＥＩ．スタンフオード大学、統計学科のＴｅｃｈ
ｎｉｃａｌＲｅｐｏｒｔ第２２号、ＴｈｏｍａｓＭ．Ｃ
ｏｖｅｒ及びＲｏｇｅｒＣ．Ｋｉｎｇ氏著の″ＡＣｏ
ｎｖｅｒｇｅｎｔＧａｍｂ１１ｎｇＥｓｔｉｍａｔｅｏ
ｆｔｈｅＥｎｔｒｏｐｙｏｆＥｎｇｌｉｓｈ２′を参照
されたい。）関係者は冗長性のチエツクを行なうことに
よつてメツセージを容易に確認できる（例えばメツセー
ジが文法的に正しい英語であるかどうかを決定できる）
。ギヤンブルを行なう状態を模擬することにより、メツ
セージがその要求された源に適した冗長性を有している
か否かということを機械によつて確認できる。本発明の
この形態を実施する方法は数多くある。

差し控えていた暗号解読キ−Ｄの部分を公開しても盗聴
者１３が暗号でないテキストメツセージＸを復元できな
いならば、この解読キ−Ｄの部分を機密にせずに公共に
知らしめることができる。上記した実施例に対して色々
な変型が考えられる。

例えば或る適用例では、システムの第１番目の受信者が
前記した様にトラツプドアナツプサツ夕べクトルａｉを
作りそしてこのべクトルか又はこのべクトルの略号表示
を公開フアイル又は記録簿に記入することが有効である
とわかる。次いで、機密保持チヤンネルを確立したい送
信者は暗号作成キーとしてａｉを用いて、上記１番目の
受信者に送信を行なう。この場合の効果は、第１番目の
受信者が彼の運転免許証や指紋等を用いてシステムに彼
自身であることをいつたん入力すると、このｉ番目の受
信者は暗号キ−ａｉで暗号化，されたデータを解読でき
るという彼の能力によつて送信者に彼自身であることを
証明できるという点である。かくて、本発明を実施する
ための最良の形態を示して説明したが、本発明の要旨か
ら逸脱せずに色々な変更や変型がなされることは明ら，
かであろう。

【図面の簡単な説明】

第１図は機密保持性のない通信チヤンネルを経て計算機
密保持暗号を伝送する公開キー暗号システムのブロツク
図、第２図は第１図の公開キー暗．号システムに於いて
メツセージを暗号テキストに暗号化するための暗号作成
装置のブロツタ図、第３図は第７図の暗号解読装置、第
１０図の指数回路及び第１１図の公開キー発生器に於い
てモジユラ乗算を行なうための乗算器を示したブロツク
．図、第４図は第２図の暗号作成装置、第３図の乗算器
及び第１１図の公開キー発生器に於いて加算を行なうた
めの加算器を示した詳細図、第５図は第２図の暗号作成
装置、第３図の乗算器、第７図の暗号解読装置、第８図
の除算器及び第９図の別の暗号解読装置に於いて大きさ
の比較を行なう比較器を示した詳細図、第６図は第３図
の乗算器、第７図の暗号解読装置及び第８図の除算器に
於いて減算を行なうための減算器を示した詳細図、第７
図は第１図の公開キー暗号システムに於いて暗号テキス
トをメツセージに解読するための暗号解読装置を示した
ブロツク図、第８図は第７図の逆変換装置及び第９図の
別の暗号解読装置に於いて除算を行なうための除算器を
示したブロツタ図、第９図は第１図の公開キー暗号シス
テムに於いて暗号テキストをメツセージに暗号解読する
ための別の暗号解読装置を示したブロツク図、第１０図
は第９図の別の暗号解読装置及び第１１図の公開キー発
生器で行なわれるモジユロ演算に於いて種々の数を種々
の累乗にするための指数装置を示した図、第１１図は第
１図の公開キー暗号システムに於いて公開の暗号作成キ
ーを発生するための公開キー発生器を示した図、第１２
図はＰ−１が２の累乗である時の第１１図の対数変換器
のアルゴリズムを示したフローチヤート、第１３図はｐ
１が２の累乗でない時の第１１図の対数変換器のアルゴ
リズムを示すフローチヤートであり、係数｛ｂ，｝がＯ
＜（ｂ３≦Ｐ，−１である場合の展開式の係数｛ｂ，｝
を計算するためのアルゴリズムを示すフローチヤートで
ある。１１・・・・・・送信者、１２・・・・・・受信者、１
３・・・・・・盗聴者、１５・・・・・・暗号作成装置
、１６，１８・・・・・・暗号解読装置、１９・・・
・・・機密保持性のない通信チヤンネル、２２，２３
・・・・・・キー発生器、２６・・・・・・キー源、３
１，３２・・・・・・送受信ユニツト。

Claims

【特許請求の範囲】１機密保持性のない通信チャンネルを経て受け取つた
暗号化されたメッセージを解読するための装置であつて
、機密保持さるべきメッセージを公開の暗号作成キーで
変換する様な暗号作成変換によつて暗号化された暗号メ
ッセージを受け取る様に接続された入力と、機密の暗号
解読キーを受け取る様に接続された別の入力と、メッセ
ージを出力する出力とを備えた装置に於いて、上記暗号
作成変換を逆変換する手段であつて、上記暗号メッセー
ジを受け取る様に接続された入力と、上記機密の暗号解
読キーを受け取る様に接続された別の入力と、上記暗号
メッセージを逆変換したものを出力する出力とを備えた
様な手段と、メッセージを作り出す手段であつて、上記
暗号メッセージを逆変換したものを受け取る様に接続さ
れた入力と、メッセージを出力する出力とを有する様な
手段とを備え、上記機密の暗号解読キーは上記公開の暗
号作成キーから計算によつて作り出すことはできず、そ
して上記暗号作成変換は上記機密の暗号解読キーなしに
計算によつて逆転することはできないことを特徴とする
装置。２機密保持性のない通信チャンネルを経て送信さるべ
きメッセージを暗号化する装置であつて、機密性を保持
すべきメッセージを受け取る様に接続された入力と、公
開の暗号作成キーを受け取る様に接続された別の入力と
、暗号化されたメッセージを出力する出力とを備えた様
な装置に於いて、メッセージを受け取り、そしてこのメ
ッセージをそのベクトル表示に変換する手段と、上記公
開の暗号作成キーを受け取り、そしてこの公開の暗号作
成キーをそのベクトル表示に変換する手段と、上記メッ
セージのベクトル表示と上記公開の暗号作成キーのベク
トル表示とのドット積を計算することによつて暗号化メ
ッセージを作り出す手段であつて、上記メッセージのベ
クトル表示を受け取る様に接続された入力と、上記公開
の暗号作成キーのベクトル表示を受け取る様に接続され
た別の入力と、暗号化されたメッセージを出力するため
の出力とを有する様な手段とを備えたことを特徴とする
装置。