TW589547B - Method and device for calculating a result of an exponentiation - Google Patents

Description

0) 589547 玫、聲顆權謂 — (發明說明應敘明：發明所屬之技術領域、先前技術、内容、實施方式及圖式簡單說明） 技術領域 本發明係關於用於密碼應用的數學演算法，具體而言， 係關於如RSA密碼演算法中使用的指數運算。 先前技術 .· RSA密碼系統係運用最為頻繁的公用鍵密碼系統之_， 是以其發明者 Rivest，R·、Shamir A·及 Adleman，L.命名。 該方法在”實用密碼技術手冊"（Menezes，v〇n 〇0rsch〇t，Φ Vanstone，CRC Press，Μ%)第8·2節中有說明。“A密碼系 統可用於加密的實施及數位簽章的執行。其安全度建立于 頗難施行的整數分解問題。對於RsA加密及RSa解密，必 須執行下列形式的模數指數運算：

E = Bd modulo N 因此B係基數，d係指數而N則係模數。

在R S A加密中， 指數d係公用鍵部分。然而，在 在RSA解密H

模數簡化的指數運算。 ，指數運算通常藉由所謂，，平方及乘 十此 口月參考圖3。首先說明一未經 。接著解釋在模數N的殘餘類系統 (2) (residual class system)中演算法如何得以實行。 如圖3的方塊30所示，其係計算指數Bd的結果E。該指數 d係一二進制指數且由一些位元組成，其範圍從一最高有 效位元（msb)至一最低有效位元（lsb)。首先，如圖3的方塊 32所不，給出數字B、d。接著，如方塊34所示，初始設定 計算值E之值為！。 隨後，指數d—個位數接一個位數地分別接受檢驗，其 中一指數位數稱為di。例如，根據判定方塊3 6的檢驗，如 果正分別受檢的位數或指數位數之值為丨，則採用圖3左支 路進行計算 '然而，如果指數的受檢位元之值為0，採用 圖3的右支路進行計算。 、如果扣數的叉檢位元之值為i (由判定方塊3 6決定），則 首先執灯平方步驟38，即目前的計算值為平方後的結果。 接著在乘法步驟40中，基數B與目前計算值E (步驟38的 、°果）4乘在進一步的判定方塊4 2中，將檢驗是否有進 一步的指數位數。如果這樣，通過回路46執行一返回，且 檢驗緊接的指數位數七是否包含“戈。（方塊“ ”如果下一 個受檢位數等於〇 ’則執行圖3右支路的平方步驟38, '然而， 在指數受檢位數^ 、的情況下’其與左支路相比，無乘 法操作（相當於圖3左支路的方塊4〇)。 從指數d的最高有效位元起重複上述步驟，直至達到最 低有政位最低有效位元處理結束後，方塊㈣破定不 再有dl。目前計算結果值E係指數運算的總結果E，從方塊 30輸出。 589547

(3) 為了進行圖3—模數指數運算中所述的指數運算，在方 塊32輸入模數N (除基數B及指數d之外）。此外，在兩支路 (左支路的方塊44及右支路的方塊44f)均發生一模數簡化， 因此，一般而言，在每一乘法運算後執行一模數簡化，使 得指數的每一位數處理結束時計算值E在模數N的殘餘類 中0

應注意，無需將乘法運算及模數簡化一定分成兩連續步 驟。在技術上，已知乘法先行（1 ο 〇 k a h e a d)及簡化先行組合 的方法均使乘法運算有效。此處特別指出所謂ZDN演算 法。 圖3所示之平方及乘法演算法，是其最簡單的方式，由 於兩原因而存有問題。

首先，比較該兩支路，指數位數等於0時，右支路中缺 少一操作。如果一指數位數等於1，對於乘法運算（方塊40) 的執行，圖3的兩支路是不對稱的，在右支路中無相關操 作。這意味著藉由所謂計時攻擊及電力分析攻擊，平方及 乘法演算法易受到攻擊。為了使時間及電流均勻化，即無 論指數為0或1，為使時間及電流的電力消耗保持不變，可 在右支路中引進一虛擬乘法運算40’，然而，並不用該虛擬 乘法運算的結果，而僅採用方塊3 81即平方步驟的結果。 虛擬乘法運算使兩支路的時間及電流均勻化，但需要計 算資源。因此，虛擬乘法運算增加了安全度，但影響電路 總性能。 圖3所示的平方及乘法演算法的另一個缺點是該演算法 589547

(4) 不適於平行執行。如，考慮左支路時，不能平行計算方塊 3 8及40，因為方塊40中的計算依賴於方塊38中的計算。因 此，一計算單元必須先計算方塊3 8且當有了該平方運算的 結果後，再執行方塊40的計算，即基數的乘法運算取決於 方塊3 8的結果。 發明内容 本發明的目的係提供一安全及有效概念用於計算指數

結果。 藉由如申請專利範圍第1·項之計算指數結果的一方法， 或藉由如申請專利範圍第8項之計算指數結果的一裝置， 可達到該目的。

本發明係基於一項認知，即可免除平方及乘法演算法， 其一方面不對稱，另一方面只允許依序執行。模數指數運 算係使用兩輔助量進行計算。對於指數每一位數，需進行 兩次乘法運算，即一輔助量與其自身相乘運算及兩輔助量 相乘運算。基於兩輔助量的差額總係兩輔助量之間的關係 式等於基數B的事實，本概念可視為一蒙哥馬利梯 (Montgomery ladder) 〇 本發明的一優點為，不考慮指數值為多少，計算操作的 次數總相同（兩乘法運算）。 本發明的另一優點為每一指數值的兩次乘法運算彼此 獨立。因此兩乘法可平行進行計算。尤其在於，與圖3中 說明的一虛擬乘法的平方及乘法演算法相比，藉由本發明 概念，可使性能增加2倍；甚至與無虛擬乘法的平方及乘 -10- 589547

(5) 法演算法相比，亦可使性能增加1 . 5倍。 應注意，本發明概念固定免受計時及電力的攻擊，因為 不論指數位數等於0或1，演算法的”計算工作”總相同。 在較佳實施例中，引進本發明概念以用於執行模數指數 運算。為此，在每一指數處理結束時，減少兩輔助量至模 數N的殘餘類，其中可使用任何演算法，用先行技術執行 一乘法運算及一模數簡化。在該過程中再次提出人們所知

的ZDN方法。 圖式簡單說明 本發明的較佳具體實施例將在後續參考所附圖示詳細 說明，其中： 圖1顯示本發明計算指數結果的方法之方塊圖； 圖2顯示有一模數簡化的圖1方法之方塊圖；及 圖3係關於有及無一虛擬乘法的最熟悉的平方及乘法演 算法之一般圖例。

實施方式 在圖3說明中使用的相同輔助量可在本發明概念的後續 說明中使用。首先，在步驟100中輸入基數B及指數d。在 步驟102中初始設定兩輔助.量X及Y，如圖1所示。具體而言， X接受之一值為1，且Y接受之一值為基數B。在方塊104中， 依順序較佳處理指數d的位元di (從指數的最高有效位元 至最低有效位元）。如果指數目前位元di等於0，使用方塊 104的左襴104a ;如果指數目前位元di等於1，則使用方塊 104的右欄104b。具體而言，如果指數位元等於0，輔助量 589547

⑹ X等於先前輔助量X平方的結果。輔助量Y的計算係先前輔 助量X與先前輔助量Υ相乘的結果。 在相反情況下，即當指數位數等於1，輔助量X係先前辅 助量X與先前輔助量Υ相乘的結果。第二輔助量Υ等於先前 輔助量Υ平方的結果。 由圖1可知，對X及Υ計算的兩結果彼此獨立，即它們可 平行計算。計算的平行執行性使性能大大增強。

處理指數的所有位元di後，跳至步驟1 06的執行。方塊1 06 可輸出計算值E。處理所有指數位元後，第一輔助量X的計 算值等於指數運算以的結果。 本發明概念將在後續參考一簡單數值實例來說明。假設 指數d係二進制數，有四位數及下列值： d = 101 卜 在步驟102初始設定值後，兩輔助量有下列值： X = 1 ; Y = B 〇 參 指數的最高有效位數為1。這意味著執行副方塊1 04b的 第一段後，有下列值： X = B ; Y = B2。 接著指數的下一有效位數d等於0。這需採用方塊104中 的左副方塊l〇4a。在藉由方塊104a處理結束時，兩輔助量 有下列值： X = B2 ; Y = B3 〇 -12- 589547

⑺ 接著指數的下一有效位數等於1。這又意味著要經過方 塊104的右副方塊104b的過程。在處理結束時，兩輔助量 有下列值： X = B5 : Y = B6 〇 指數的最低有效位數d最終得到一為1的值。則意味著又 要經過方塊1 04的右副方塊1 04b的過程。在處理結束時， 兩輔助量有下列值：

現在已處理指數d的所有位元，可跳至步驟106的執行。 指數運算的結果（即輔助量X的目前值）為B11，十進制中的 值1 1對應二進制中的值1 0 1 1。 從先前的計算實例很明顯地看出，本發明概念的所有中 間結果均有使用，即無虛擬乘法發生。除了最後步驟中輔 助量Y的結果，所有的中間結果均有使用。無需也不必一 定進行計算。當處理的最後指數位數決定時，只需計算第 φ 一輔助量X即可。然而，由於安全的原因，用於計算Y值的 平行操作計算單元也可進行操作。則不再使用得到的結果 數值。 下面係圖2的參考。圖2與圖1的不同在於，其取代一傳 統的指數計算，在Z modulo N的通用單元組中需計算一模 數指數，如RS A法中所用。對此，無論在副方塊104a還是 在副方塊1 04b中，輔助量的每一計算中均有一模數簡化 mod N發生。最後，其自動導致模數指數運算Bdmod N的 -13- 589547

(8) 結果。 在一虛擬碼中，本發明的演算法如下：

Input: base B，module N exponent d n: = length of the exponent d i: = 0 (X，Y)·· = (1，B) while (i < n) do if di = 0， then (X，Y): = (X2 mod N，XY mod N) else, if di = 1，then (X，Y): = (XY mod N，Y2 mod N)

end if i: = i + 1 end while E: = X

Output: E (= Bd modulo N) o 本發明概念的優點在於使時間特性資料及目前特性資 料均句化，且由於可平行進行操作而額外增強性能。此外， 不廢棄計算的中間結果。可藉由對任何抽象組提供一與蒙 哥馬利梯（用於橢圓曲線）相似的概念獲得，如單元組Z modulo N在RSA法中的運用。 -14· 589547

圖式代表符號說明 3 0 輸出結果 3 2 輸入 B、d、N 3 4 初始設定結果 3 6 檢驗指數位元 38 如果指數位元等於1，進行平方步驟 38’ 如果指數位元等於0，進行平方步驟 40 乘法步驟 40’ 虛擬乘法步驟 4 2 檢驗是否出現進一步的位元di 44 如果位元等於1，進行簡化步驟 44’ 如果指數位元等於0，進行簡化步驟 46 疊代迴路 100 輸入B、d

102 初始設定X、Y 104 依順序處理d的位元 104a如果di = 0更新輔助量 104b如果di=l更新輔助量. 106 輸出結果 -15-

Claims (1)

1. 589547 第091123933號專利申請案 ％汽 中文申請專利範圍替換本(93年2月）[^ 補當 拾、申請專利範圍 1 . 一種計算一指數Bd結果E之方法，B係一基數，d係一指 數，其中該指數可藉由一二進制數用複數個位元表示， 其包括下列步驟： 將一第一輔助量X之值初始設定為1 (102); 將一第二輔助量Y初始設定為基數B (102): 煩請4-¾明-¾.「月 3所提之 修JT,,T>,無變史實質内容是否准予修正。 依順序處理（1 04)該指數之位元，其係藉由： 若該指數之一位元等於0，則將第一輔助量X更新 為X2或由X2所導出的一值，並將第二輔助量Y更新為 X*Y或X*Y所導出的一值（104a)，或 若該指數之一位元等於1，則將第一輔助量X更新 為X*Y或由X*Y所導出的一值，且將第二輔助量Y更 新為Υ2或Υ2所導出的一值（104b);且 依順序處理所有指數位元後，使用第一輔助量X作為指 數運算的結果（106)。 2. 如申請專利範圍第1項之方法，其中在依順序處理之步驟 (1 04)中，係由該指數的最高有效位元開始的。 3. 如申請專利範圍第1項之方法， 其中該指數運算係一模數指數運算Bdmod N，N係該模 數，且 其中導出自X2、XY或Y2的值係藉由X2、XY及Y2分別 之模數N之模數簡化產生。 4. 如申請專利範圍第1項之方法， 其中在更新步驟中，如果該指數位元等於1，則相互平 589547 修正I 補充1 6 奢W 明 kcopff?;2q.l ^.JT，个-〈二:''.::5..乂“7.7^泛， 8 rr- 9 行計算X2及X*Y的值。 如申請專利範圍第1項之方法， 其中在更新步驟中，如果該指數位元等於0，則相互平 行計算Χ*Υ及Υ2的值。 如申請專利範圍第3項之方法， 其中在一 RSΑ解碼及/或一 RSA編碼中係使用該模數指 數運算。 如申請專利範圍第3項之方法， 其中該指數d、該基數B及/或該模數N皆係整數。 一種計算一指數Bd之結果E的裝置，B係一基數，d係一指 數，其中該指數可藉由一複數個位元組成之二進位數目 表示，其包括： 初始設定（102)—第一輔助量X之值為1的構件； 初始設定（102)—第二輔助量Y為基數B的構件； 順序處理（1 04)該指數之位元的構件，其係藉由： 若該指數之一位元等於〇，則將第一輔助量X更新 (104 a)為X2或由X2所導出的一值，並將第二輔助量Y 更新為X*Y或由X*Y所導出的一值，或 若該指數之一位元等於1，則將第一輔助量X更新 (10 4b)為Χ*Υ或Χ*Υ所導出的一值，並將第二輔助量 Υ更新為Υ2或Υ2所導出的一值；以及 將所有指數位元依順序處理後，使用（106)該第一輔助 量X之值作為該指數運算結果的構件。 如申請專利範圍第8項之裝置， -2- 589547 曰 -年 正¢.修補I 04第作 {該操 ^*1 ίι， 行 處元平 序單行 順算進 依計互 中二相 其第以 一 置 及配 元係 單元 算單 計算 一 計 第二 一 第 括及 元 單 算 計 且 包 件 構 之 第 則於 ο等 於元 等位 元數 位指 數該 指若 該或 若 ； 2 中 X 其算 ^5 計 以 置 己 S 係且 元 ， 养 Υ 算X 算 J-16T die 算 「tt 以 置 己 西 係 元 單 算 。 2 計Y 二算 第計 該則 JUJ. ， 貝 11 ο 於 於等 等元 元位 位該 該若 若而 中 .， 其 Y 氺 X 【93.3一·丨 2 φ -3 -