WO2005013243A1

WO2005013243A1 - モンゴメリ乗算剰余における変換パラメータの計算装置、方法およびそのプログラム

Info

Publication number: WO2005013243A1
Application number: PCT/JP2003/009722
Authority: WO
Inventors: Kouichi Itoh; Masahiko Takenaka; Naoya Torii
Original assignee: Fujitsu Limited
Priority date: 2003-07-31
Filing date: 2003-07-31
Publication date: 2005-02-10
Also published as: US7792893B2; EP1650727B1; DE60332876D1; EP1650727A4; JPWO2005013243A1; AU2003252750A1; US20060235921A1; JP4616169B2; EP1650727A1

Description

明細書モンゴメリ乗算剰余における変換パラメータの計算装置、方法およびそのプログラム

(技術分野）

本発明は、情報セキュリティ分野に属するものであり、暗号処理を目的としたべき乗乗算剰余演算を高速に行うための計算技術に関する。

(背景技術）

今後の情報化社会の発展に伴い、電子マネー、住民基本台帳ネットワークなどの情報ネットワークを利用したサービスが普及すると予想される。これらのサービスを安全に運用するためには、情報セキュリティ技術が必須であり、情報セキユリティの基盤技術として暗号技術が用いられる。暗号技術を用いることで、暗号、デジタル署名、認証などの機能を実現し、個人情報を第三者からの不正なァクセスから防ぐことができる。

暗号技術を実現するための暗号方式は現在まで様々な方式が知られており、これらは共通鍵暗号方式と公開鍵暗号方式の 2種類に大別される。共通鍵暗号方式と呼ばれるものは、暗号化と復号化で同一の鍵 (秘密鍵）を用いる方式であり、この秘密鍵を送信者と受信者以外の第三者にわからない情報とすることで安全性を保つ方式である。公開鍵暗号方式とは、暗号化と復号化で異なる鍵を用いる方式であり、暗号化を行うための鍵 (公開鍵）を一般に公開する代わりに、暗号文を復号するための鍵 (個人鍵）を受信者のみの秘密情報とすることで安全性を保つ方式である。

秘密鍵暗号方式を用いる場合、前述の秘密鍵を送受信者以外の第三者にわからない安全な形で共有する必要がある。これに対し公開鍵暗号方式は、送受信者間で秘密情報を共有する必要がないというメリットを有する力処理を行うための計算量が共通鍵暗号方式と比べて非常に大きいというデメリッ卜を有する。よつて、公開鍵暗号方式においては、計算処理の高速化が大きな課題となる。

公開鍵暗号方式は、 RSA、楕円曲線暗号が代表的な方式として知られている。

RSAにおいてはべき乗剰余演算を用いた処理が、楕円曲線暗号においては点のスカラー倍算と呼ばれる演算を用いた処理がそれぞれ行われる。これら 2つの演算のいずれについても、整数 a， b， nから y=axb (mod n) (0≤a, bく n)を計算する乗算剰余演算が基本演算として用いられる。ただし、乗算剰余演算をそのままハードゥエァもしくはソフトウエアにて実装した場合、処理時間が大きく処理効率が悪いため、乗算剰余処理の代わリにモンゴメリ乗算剰余と呼ばれる演算法を用いて計算するのが一般的である。

モンゴメリ乗算剰余とは、整数 a, b， nから y=axbx!T¹ (mod n)の形で示される yを計算する演算法である。ただし、 R=2^mxkであり、 kは 1ワードあたりのビット長、 m は nの有効ワード長を表す。モンゴメリ乗算剰余を用いることで、通常の乗算剰余処理より高速な処理を実現することができる。モンゴメリ乗算剰余のァルゴリズムを図 1に示す。ただし、 χ= (χ^ ^ , Χο)は、整数値 Xを m個のワード値

Χ| ( ϊ =ιπ " 1 1 , 0, 0≤Xiく 2^k)を用いて表現する形式を表す。

前述したように、モンゴメリ乗算剰余で行う演算は axbxR— ¹ (mod n)であり、通常の乗算剰余演算 axb (mod n)とは異なる演算を行う。よって、べき乗剰余演算およびを正しく実行するためには、モンゴメリ乗算剰余に対して与える入力データをモンゴメリ系と呼ばれるデータに変換する必要がある。通常の乗算剰余演算に与える任意の入力データを X、 Xをモンゴメリ系に変換したデータを x'とし、 Xから x'への変換（モンゴメリ変換）を x' =Mont (x)、 x'から Xへの変換（モンゴメリ逆変換) を χ=ΜοηΓ¹ (χ' )と表した場合、これらは以下の式で与えられる。モンゴメリ変換： x' = Mont (x) =xxR (mod n)

モンゴメリ逆変換： X = Montr¹ (x' ) =x' xR—¹ (mod n) モンゴメリ乗算剰余を y=REDG (a, b) _n=axbxR— ¹ (mod n)と記したとき、前述のモンゴメリ変換およびモンゴメリ逆変換は、 REDG を用いて以下のように表すことができる。ただし、 Hは H=R² (mod n)で表される値であり、事前計算により求められる値である（以下、 Hをモンゴメリ変換パラメータと称す)。モンゴメリ変換： x' = REDC (x, H) _n=xxR²xR~¹ = xxR (mod n)

(ただし、 H=R² (mod n) )

モンゴメリ逆変換： x= REDC (χ' , 1 ) = x' xI xR -¹ = χ' xiT¹ (mod n) 以上に基づいて、モンゴメリ乗算剰余を用いたべき乗剰余処理のアルゴリズムを図 2に示す。

図 2では、バイナリ法と呼ばれるべき乗剰余演算法をベースにモンゴメリ乗算剰余を用いたアルゴリズムを示しており、入力値 a，d, n からべき乗剰余演算結果 y=a^d (mod n)を計算する。 1行目で y の初期値として 1 を与え、 2行目でモンゴメリ変換パラメータ H=R² (mod n)を計算した後、 3行目で aと yに対しモンゴメリ変換を行い a'と y'を得る。 4〜7行目のループでは、 dのビット値に応じてモンゴメリ乗算剰余を 1回もしくは 2回繰り返す処理を、 d の最下位ビットから最上位ビットについて繰り返す。このループで計算された y'に対し 8行目でモンゴメリ逆変換を行うことで、最終的な演算結果 yを得る。

H=R² (mod n)を計算するためのもっとも自明な計算法としては、整数 a, b, n から加算、減算を繰り返す方法である。 R=2^Xとした場合、図 3に示すアルゴリズムで Hを計算することができる。

図 3のアルゴリズムについて説明する。

1行目では、 R (mod n)を計算する。 R (mod n)の算出法は様々な方法があるが、例えば R=2^Xに対し nの有効ビッ卜長が Xである場合、 R (mod n) = 0-nにより簡単に計算できる。

3〜5行目では、 H=R (mod n)に対し、 H+Hを計算した後、結果が n以上である場合に nを減算することで、 H+H (mod n)の加算剰余（2倍剰余）を行っている。なお、 H+H の計算は、左 1 ビットシフト演算でも実現可能である。この加算剰余演算を X回繰り返すことで、 Rx2^x (mod n) = R² (mod n)を算出する。

ただし、図 3のアルゴリズムでは、 3~5行目で加算剰余を X回繰り返すため、処理速度が遅いという欠点を有する。例えば nが 1024b の場合の RSA演算では、 R=2^1G24であるが、 1024 回の加算剰余が行う必要があり、この計算量は膨大であるこの欠点を解消した計算法が種々提案されており、以下に示す従来法 1 (たとえば、特許文献 1〜特許文献 4) あるいは従来法 2 (たとえば、特許文献 5) など力《ある。

いずれの方法も、シフト算、減算のみを用いて計算を行うのではなく、 REDG演算、シフト算および減算を組み合わせることで全体の計算を高速化していることが特徴である。

以下に、従来法 1および従来法 2について簡単に説明する。

なお、 kを 1ヮードあたりのビッ卜長、 nを mヮード値で表現された値、 nの最上位から連続する' 0'の個数を q とする。例えば k=8 の場合、 n のビッ卜列が 00101011 11001111 ならば m=2,q=2 であり、 n のビット列が 10001001 11100110 11100101ならば m=3,q=0である。

〈従来法 1〉

従来法 1は、主に以下の St印， StepBから構成される。

ここで、入力： n (剰余の法）とし、出力： R² (mod n) (ただし、 R=2^mxk (mod n)とする。

StepA,：シフト算および減算を用いて、 H。=2^vxR (mod n)を計算する（v≥1)。

St印： REDC演算を用いて、 H₀から H=R² (mod n)を計算する。

従来法 1における Step と StepB,のフローチヤ一トを図 4に示す。

図 4において、ステップ 101 では 2つのレジスター REG1， RE62 に初期値として、 REG1:=n, REG2:=0を与える。ただし、 nの有効ヮード長は mであり、 n を右詰で REG1に格納した際の最上位ビッ卜から連続する' 0'の個数を qと表す。

ステップ 102 では、 REG1 に対し 1 ビット左シフトを q 回繰り返し、 REG1=n' =2^qxnとする。

ステップ 103では、 REG2:=REG2-REG1を計算し、 REG2=2^mxk (mod n， )とする。ステップ 104では、以下の処理を v+q回繰り返し、 REG2=2^mxk+v+qとする。ただし、 Vは v≥1かつ m, kに対し（mxk)/vが 2のべき乗となるような整数である。

① REG2を左 1 ビットシフ卜する。 ② REG2≥REG1ならば、 REG2:=REG2 - REG1を計算する。

ステップ 105では、 REG1 および REG2に対して 1 ビッ卜右シフト処理を q回繰リ返すことで、 REG1=n， REG2=H₀=2^mxk+v(mod n)とする。

ステップ 106 では、 REG2:=REDC(REG2， REG2)_n を p 回繰り返すことで、 H=REG2=2^2xmxk=R² (mod n)を計算し、この計算結果を出力して終了する。ただし、 pは p=log₂((mxk)/v)を満たす整数を表し、 REDG(A，B)_nはモンゴメリ乗算剰余

(mod n)を表すものとする。

この従来法 1に必要な演算回数を以下の表 1に示す。ただし、 SFT は 1 ビットシフトを、 SUBは減算を、 REDGはモンゴメリ乗算剰余演算をそれぞれ表す。

〔表 1〕

従来法 1に必要な演算回数

ステップ 106における pは、 p=log₂((mxk)/v)を満たす整数であるが、これを満たすためには (mxk)/vが整数 X を用いて（mxk)/v=2^xと表せる、すなわち 2のべき乗の値である必要がある。従来法 1ではこの条件により V の値の選択が制限されるため、 n の有効ビット長によっては V の値を大きくする必要がある。表 1から、 SFTおよび SUBの計算回数は Vに比例するため、 Vを大きくすることで全体の計算量が大きくなるという欠点がある。

具体的な暗号処理を例にその演算回数を以下を示す。

例 1 ： 1024- bは RSAB音号

この場合、 nは 1024bitである。 1ワード =32bitとすると k=32であり、 nの有効ヮ一ド長 m=32となる。 1ヮ一ドあたりのビット長 kと nの有効ヮード長 mとを乗算した k*mと nの全ビッ卜数とがー致することから、 nの最上位ビット =1 となレ J q=0である。また、 mxk=1024なので、 v=1， 2, 4... , 1024が選択可能である。 v=1 の場合、 SFTが 1回、 SUBが 1.5回、 REDGが p=log₂((32x32)/1)=10回である。例 2： 163-bit楕円曲線暗号この場合、 nは 163bitである。 1ワード =8bitとすると k=8であり、 nの有効ワード長 m=21 となる。 nをビット長 k=8、有効ワード長 m=21で表現すると、最上位に位置する

なので、 v=21， 42， 84, 168が選択可能である。 v=21の場合、 SFTが 4x5 + 21=41回、 SUBが 0.5χ (5+21 )+1=14回、 REDGが p=log₂((21x8)/21)=3回である。

〈従来法 2 >

従来法 2は以下の StepA₂, StepB₂から構成される。

ここで、入力： n (剰余の法）とし、出力： R² (mod n) (ただし、 R=2^mxk (mod n)) とする。

StepA₂ ： H₀=2^vxR (mod n)を計算する。特許文献 5では 2^vxR (mod n)を計算する方法を特定していないが、例として従来法 1における 2^vxR(mod n)の計算法を挙げている。

StepB₂ ： H₀から、 REDG演算を用いて

n)を計算する。これは、 mxkの各ビット値を最上位ビッ卜から最下位ビッ卜の順番に検出し、 'Ο'Ί'に応じて REDC 演算を 1回もしくは 2回行うことを繰り返すことで行う。

StepA₂, StepB₂のフローチャートを図 5に示す。なお、 StepA₂における 2^vxR (mod n)の計算法は、従来法 1の StepA と同じ方法を用いた場合について示す。図 5において、ステップ 201 では、 2つのレジスター REG1.REG2 に対して初期値として REG1:=n, REG2:=0を与える。ただし、 nの有効ワード長は mであり、 n を右詰で REG1 に格納した際の最上位ビッ卜から連続する' 0' の個数を q と表す。ステップ 201 では、 REG1 に対し 1 ビット左シフトを q 回繰り返し、 REG1=n' =2^qxnとする。

ステップ 202では、 REG2:=REG1 - REG2を計算し、 REG2=2^mxk (mod n' )とする。ステップ 203では、以下の処理を q+v回繰り返し、 REG2=2^mxk+v+q(mod η')とする。

① REG2を左 1 ビットシフトする。

(DRE62≥REG1ならば、 REG2:=REG2-REG1を計算する。

ステップ 204では、 REG1および REG2を q回右シフトし、 REG0に REG2をコピ一し、 REG1=n, REG0=RE62=2^mxk+v(mod n)とする。ただし、 v は整数であり v≥1 かつ (mxk)/vが整数である。

ステップ 201 では、以下の処理を i=p '- 2 1,0について p'-1 回繰り返すことで、 REG2=2^2xmxk=R² (mod n)を計算し、計算結果を出力して終了する。ただし、 ρ' は nxk)/v のビット長を表し、 REDG(A， B)_n はモンゴメリ乗算剰余 REDGCA, B) =AxBx2-^mxk (mod n)を表す。

③ REG2 ：= REDG(REG2, REG2)_nを計算する

④ （mxk)/vの i 番目のビット値 =1 ならば、 REG2 ：= REDC(REG2, REG0)_nを計算する。前述した従来法 1の処理を行うためには、 p=log₂((mxk)/v)が整数である必要があり、すなわち（mxk)/vが 2のべき乗であるという制限がある。この制限を満たすためには、以下の（i) (ii)の 2段階により m，k，vを設定する必要がある。

(ί)ηのビット長および 1ワードあたりのビット長から m,kを決定する。

(i i) (i)で決定した m，kに対し (mxk)/vが 2のべき乗となるように Vの値を設定する。

すなわち、（i)により、 nのビット長およびプロセッサにおける 1ワードあたりのビット長から一意に決定する m, kの値に対し（ i i )で vの値を調整することで

(mxk)/vが 2のべき乗の値となるように設定する。問題となるのは、（i i)において Vの値を調整する際に、（mxk)/vが 2のべき乗の値でなければならないという制限により、 Vの値が大きくなると、パラメータ Hの計算処理全体の計算量が大きくなる場合があることである。この問題の具体例は、前述の例 1、例 2におけるシフトおよび減算の回数を比較することでわかる。例 1では、 Vの値は v=1，2，4，...と非常に小さな値を設定できたが、例 2では v=21, 42,...と大きな値を設定する必要がある。表 1の通り、全体の計算処理におけるシフトおよび減算回数の合計は Vの 1.5倍に比例する。つまり v=1の場合と比較して、 v=21の場合シフトおよび減算回数の合計が 30回増加することになる。

これに対し、従来法 2では (mxk)/vが整数であれば処理を行うことができるので、 Vの値を従来法 1より広い条件で設定でき、最適な Vの値を設定することで従来法 1よリ少ない計算量でパラメータ Hを計算することができる。

従来法 2に必要な演算回数を表 2に示す。ただし、 SFTは 1 ビットシフトを、 SUBは減算を、 REDGはモンゴメリ乗算剰余演算をそれぞれ表す。なお W(x)は、 xの最上位ビットを除く Ί'の個数を表し、ステップ 206において（mxk)/vのビット値が 1である場合の REDC演算の回数である。例えば、 W((10000)₂)=0, W((1000101)₂)=2 である。ただし（··.）₂は 2進表現を表す記号であり、例えば (1101)₂=13、

(11100) ₂=28である。

〔表 2〕

従来法 2に必要な演算回数

具体的な暗号処理を例にその演算回数を以下を示す。

例 3： 1024-bit RSA

この場合、 ηは 1024bitである。 1ワード =32bitとすると k=32であり、 nの有効ヮード長 m=32となる。前述と同様に、 k*mビットと nの全ビット数がー致していることか、 nの最上位ビッ卜 =1 となり q=0である。また、 mxk=1024なので、 v は 1024 の任意の因数（factor)から選択可能である。 v=1 の場合、 SFTが 1 回、 SUBが 1 · 5回、 REDCが p= I og₂ ( (32x32) /1 ) =10回である。

例 4： 163-bit楕円曲線暗号

この場合、 nは 163bitである。 1ワード =8bitとすると k=8であり、 nの有効ワード長 m=21 となる。この場合も前述と同様に、 k*mビッ卜に nを右詰にした場合、最上位 21x8■ 163=5bitが 0となり q=5である。また、 mxk=168なので、 vは 168の任意の因数 (factor)から選択可能である。 v=21の場合、 SFTが 4x5 + 21=41 回、 SUBが 0,5χ(5+21)+1=14回であり、 REDGについては (mxk)/v=(1000)₂から ρ'- 1+ W((mxk)/v)= 4-1+0=3回である。また v=1の場合、 SFTが 4x5 + 1=21 回、 SUB が 0.5χ (5+1 )+1=4 回であり、 REDC については（mxk)/v=(10101000)₂から p, - 1+ W ( (mxk) /v) = 8-1 +2=9 回である。 v=21 の場合、従来法 1の例 2と同一の計算量であるが、 v=1の場合 SFTを 41-21=20回、 SUBを 14-4=10回、合計 3 0回削減可能である。 REDGが 9-3=6回増加しているが、 REDG演算をコプロ等の専用ハードゥエァで高速に処理する場合、 SUB もしくは SFT と同程度の時間で計算可能であるため、 v=1の方が高速な処理を実現できる。

〔特許文献 1〕

特開平 08-263316号公報

(パテントフアミリ一： USP5745398, EP712071 )

〔特許文献 2〕

特開平 08- 339310号公報

(パテントファミリー： USP5751620, EP712070)

〔特許文献 3〕

特開平 1 1 -305995号公報

(パテントファミリ一： USP6240436)

〔特許文献 4〕

米国特許第 5912904号公報

(パテントファミリ一： EP0601907A2)

〔特許文献 5〕

米国特許題 5777916号公報

(パテントファミリー： EP785503)

〈発明が解決しょうとする課題〉

前述した従来法 1および従来法 2では、それぞれ以下の課題 1〜課題 5に示すように、パラメータ V に関する制限、データ値の最上位有効ビット（Most S i gn i f i cant B i t, 以下 MSB)の算出、およびデータのビット値の検出、という問題を有する。 MSB の算出およびビッ卜値の検出にはビット単位の演算処理が必要となるが、これらはソフトゥ; Eァ実装における処理効率が悪い。

①従来法 1における課題 (課題 1 ) qを算出するために、 nの NISBを算出する必要がある。

(課題 2 ) (mxk) / が 2のべき乗という制限がある。

②従来法 2における課題

(課題 3 ) 2^vxR (mod n)の計算に従来法 1の方法を用いる場合、 nの MSBを算出する必要がある。

(課題 4 ) p'を算出するために、（mxk) /vの MSBを算出する必要がある。

(課題 5 ) REDC演算を繰り返すために、（mxk) /v の各ビット値を検出する必要があ。課題 1および課題 3については、それぞれ StepA^ StepAzが原因である。つまり、これらの処理では REG1 , REG2に対してシフト演算を繰り返しているが、シフト演算を繰リ返す回数が qの値に依存していることにより問題を生じている。

この問題発生のメカニズムについて、従来法の St印の処理を示す図 6に基づいて説明する。なお、 StepA,と StepA₂は同じ処理を行っているので、図 6は St印 A₂の処理も表している。

図 6の処理では 2^vxR (mod n)の計算を行うために、以下の StepA^ StepA_{1 2}， StepA,, a, StepA, , ₄から構成される処理を行う。

StepA_u n' =2^qxn を計算する（ただし、 n を mワードで表現したとき最上位ビッ卜 =1 )。

StepA_u R (mod n' ) = 0-n'を計算する。

StepA_u R (mod n' )から 2^q+vxR (mod n' )を計算する。

St印 ₄ 2^q+vxR (mod η' )から 2^vxR (mod n)を計算する。上記の StepA_{1 2}において、 R (mod η' )の計算を 0-n'により行うためには、 m ヮ一ド値 n'の最上位ビットが 1であることが条件であり、これにより StepA全体で q に応じた回数のシフト処理を必要とする。シフ卜回数が q に依存する理由を示すために、 St印 Au StepAwの処理内容の詳細について説明する。 StepA では、 REG1 =nに対し左 qビットシフトを行うことで REG1=n' =nx2^q を計算している。これによリ、 mヮードで表現される REG1の最上位ビッ卜が 1でない場合、左シフト演算を用いて最上位ビットを 1とする。最上位ビットを 1 とすることで、 StepA_{1 2}において R (mod n' )で示される剰余算を、 R (mod η' ) =0-η'に示される簡単な計算で行うことができる。

St印 Α_{1 2}では、 REG2=R (mod n' )の演算を目的に REG2 ：= 0-n'の計算を行う。図 7に示すように、 n の最上位ビッ卜 =1 であり最上位ビットを除いた値が 1 以上である場合には、 Ο-η'の演算結果における最上位ビットが必ず 0 となることから、明らかに 0≤0 - η'く η'となり（mod n' )による剰余値の範囲に収まることとなる。しかしながら、 n の最上位ビット =0の場合は、 Ο-η'の最上位ビットが必ず 1 となることから、明らかに 0 - η'≥η となり剰余値の範囲を超えることになる。したがつて、 mワードによる演算では、 0- n'の演算結果は 0 - n' = 2^mxk - n' =R-n'であるが、 R-n'の値が目的である R (mod η' )となるためには、 mワードで表現される n の最上位ビッ卜が 1であることが条件である。

StepA_{1 3}では、 StepA_{1 2}で得られた REG2=R (mod η' )に対して 2倍剰余算を q+v 回繰リ返すことで REG2=2^q+vxR (mod n' )を計算している。この REG2 の値から、 StepA^において 2^vxR (mod n)を得るために、 2倍剰余算は q+v回必要となる。

St印 A_uでは、 REG2=2^q+vxR (mod η' )および REG1=n' =nx2^qそれぞれに対し、右 1 ビットシフトを q 回繰り返すことで、 REG2. REG1 の値を補正し目的の値である REG2=2^vxR (mod n)を得ている。 REG2 の値の補正は、 x=axz (mod ηχζ)を満たす χ から、 y = a (mod n)を満たす yは y=x/zにより求められることを利用している。以上から、 StepA .2において R (mod η' ) =0-η'による剰余演算を行うために、最上位ビッ卜 =1である mヮ一ド値 n'を作成することが原因となり、 StepA全体の処理が qに依存した回数分のシフト処理を行う必要があることがわかる。課題 2は、 StepB の処理が原因である。この処理においては、 H_Q=2^vxR (inod n)を計算した後、 H REDG (H₀, H₀) = (2^vxR) x (2^vxR) xR"¹=2^2vR (mod n) ' H₂=REDC , ,) =

(2^2vxR) x (2^2vxR) xR"¹=2^4vR (mod n) Hi=REDC (H_M, H_H) = (2^rixv) xR (mod n) , . . . のように、 REDG演算を p回繰り返すことで H。=R² (mod n)を得る。ただし、 (とは 2の x乗を表す。この結果計算される H_pが H_p= (2²~^pxv) xR (mod n) =R² (mod n)となるためには、 2^{2 xv}=R=2^mxkである必要があるので、 2^p= (mxk) /vが条件となる。すなわち（m^xk) /vが 2のべき乗であるという制限が生じる。課題 4、課題 5は、従来法 2の StepB₂で用いている計算手順が原因である。 StepB₂が行う処理の概要を図 8に示す。

St印 B₂では、図 8に示すように、 Ho=2^vxR (mod n)を用いて i=p' - 2 1 , 0の順香で (mxk) /vの i 番目のビッ卜値を検出し、ビット値 =0 ならば HrREDG (H_H, Η_μ を、ビット値 =1 ならば H^REDG OIH , H_H) n. H-REDC CHi, H。) _nを繰り返すことで、 H fR² (mod n)を計算する。ただし、 p'は (mxk) /vの有効ビット長である。

したがって、 StepB₂において正しい結果を得るためには、 p'を求めるための (mxk) /vの MSBの算出と、（mxk) /vの各ビット値の検出の 2つの処理が必要であり、この結果、課題 4と課題 5がそれぞれ発生する。 (発明の開示）

〈解決法 1〉

本発明は、上述したような課題を解決するものであって、以下の解決法 1を用いることで課題 1および課題 3を回避する。この解決法 1では、従来法とは異なる手法を用いて Rに関する剰余算を行うことで、 qに依存せずに 2^vxR (mod n)を計算する処理を実現する。

解決法 1の処理を図 9に示し、これについて説明する。解決法 1では、 R (mod n)を計算するために REG2に初期値 2^{(n ) xk}を与え、これに対し 2倍剰余算を k回繰リ返すことで 2^mxk (mod n)を得る。 REG2の初期値 2^{(n ) xk}は、 (m-1 )番目のワード値に 1 を与え、それ以外のワード値に 0を与えることで容易に生成できる。得られた R (mod n)に対し、さらに v回の 2倍剰余を行うことで、 2^vxR (mod n)を得ることができる。これらの 2倍剰余算は、まとめて k+v 回の 2倍剰余算により行うことができる。この方法を用いることで、 q の値に依存しない処理を実現できるので、 nの MSBを算出することが不要となる。

〈解決法 2〉また、本発明では、前述した課題 2を解決するための方策として解決法 2を提案する。

ここでは、 REDC を用いた補正演算を用いることで、 p に関する条件を 2^p=(mxk)/v から 2^p≥(mxk)/v>2 というより広い条件に変更する。シフ卜算、減算を用いて H₀=2^vxR(inod n)を計算し、従来法 1 と同様に REDC を用いた 2乗算

H^REDC (H H₀) _n, H₂=REDC (Η,, H) _n H^REDC (H_H, H_H) _n, ...を p 回繰り返すことで、その結果、 H_p= (2 ^pxv) xR(mod n)を演算する。従来法と同様 2^p≠(mxk)/v の場合、すなわち 2^p>(mxk)/v〉2^p— ¹においては、 H_p= (2²'^pxv) xR(mod n)=R² (mod n)とはならないが、この解決法 2では、この H_pに対し Hp=REDC(H_p,g)_nで示される補正演算を行うことで H_P=R² (mod n)を得る。この条件を満たす gは g=2^{kxG(p m k)}と表され、 G(p,m, k)=2xm-(vx2^p)/kにより与えられる。 2^P> (mxk) /v>2^p— ¹の場合、 G(p,m,k)は 1 ≤G(p,m,k)≤m-1 を満たす整数値となる性質を備えているので、 g の値は G(p,m, k)-1番目のワード値 =1、そのほかのワード値 =0とすることで容易に生成できる。前述の補正演算を用いて R² (mod n)が計算できることは、 H_p=REDC(H_p,g) = (2^rpxvxR)x(2^kxG(p'^m'^k))xR— ¹ (mod n) = (2^Γρχν) χ (2^{2 k}- ^{vx p}) (mod n) =2^2xmxk (mod n) = R² (mod n)により確認できる。また、この解決法 2を用いた場合、 REDG演算の繰り返しにおいて（mxk) /v のビット値検出を必要としないので、課題 5も解決することができる。

〈解決法 3〉

前述した課題 4については、本発明の解決法 3を用いて解決することができる。この解決法 3の処理を図 1 0に示す。

ここでは、 i=0, 1 b-1の順番で (mxk) /vの i番目のビット値を検出することを繰り返し、ビッ卜値 =0 ならば Hi=REDG(Hi, Ι )_ηを、ビット値 =1 ならば H'=REDG(H', H₀), HrREDC(H_H, H_H)とすることで H' =R² (mod n)を計算する。

従来法の StepB₂ではビット値の検出を上位ビッ卜—下位ビッ卜の順に行っていたのに対し、この解決法 3では、下位ビット—上位ビットの順に行っている。ただし、 H'=R (mod n)および H₀=2^vxR (mod n)であり、 b は (mxk)/v の最大ビット長を表す定数である。

このように、解決法 3の手順に従うことで、（mxk)/v の各ビット値の' Ο'Ί'のみに応じて計算を行えばよく、（mxk)/v の有効ビット長に依存しない処理を行うので課題 4が解決される。また、（mxk)/v が 2のべき乗であるという制限がないため、課題 2も同時に解決することができる。

本発明では、前述したような解決法 1〜解決法 3を適宜組み合わせることで課題 1 〜5を解決することが可能なモンゴメリ乗算剰余における変換パラメータの演算方法、モンゴメリ乗算剰余における変換パラメータの演算方法をコンビユータに実行させるためのプログラムおよびモンゴメリ乗算剰余における変換パラメータ演算装置を提案するものである。

本発明の請求項 1に係るモンゴメリ乗算剰余における変換パラメータの演算方法は、剰余の法 n の有効ヮ一ド長を m、 1つ一ド当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算方法であつて、 A) H₀=2^vxR (mod n) (ただし、 vは整数であり、 v≥1かつ (mxk)/vは整数）を計算する第 1工程と、 B) i=1,2，...，p に関して、 Ι =Ι¾Ε00(ΗΗ,Η_Η)_ηを繰り返すことで、 H₀=2^vxR (mod から H_p=2^vx2"^pxR (mod n)を計算する（ただし、 p は 2^P≥ (mxk)/v >2 を満たす整数を、 REDC はモンゴメリ乗算剰余 REDC (a, b) =axbxR"¹ (mod n)を、 χΊ は指数演算 χ^ιをそれぞれ表す) 第 2工程と、 C) 2^p>(mxk)/vの場合、第 2工程で得られた H_pに対し H_P=REDG(H_P， g)_nを計算することで H_P=R² (mod n)を計算し（ただし、 _g=2^{kxE(p m k)}、 E(p,m, k) =2xm- (νχ2^ρ) Αである）、最後に H_pを R² (mod n)として出力する第 3工程とを含む。ここで、第 1工程は、 A - 1) 2つのレジスタ REG1, REG2 を、 REG1=n， REG2=2^{(n )xk}により初期化する（ただし、 REG1 は m個のワードから、 REG2は m個以上のワードから構成されるレジスタ）工程と、 A-2) REG2に対し、 REG1の値を法とした 2倍剰余算を k+v回繰り返すことで 2^vxR (mod η)を得る工程とを含む。

この場合、第 1工程および第 3工程により前述した解決法 1および解決法 2を実行して、課題 1， 2， 3， 5を解決することができる。

本発明の請求項 2に係るモンゴメリ乗算剰余における変換パラメータの演算方法は、剰余の法 ηの有効ヮード長を m、 1ヮード当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算方法であつて、 A) H'=R (mod n)， H₀=2^vxR (mod n)を計算する（ただし、 v は整数であり、 v ≥1 かつ (mxk)/v は整数）第 1工程と、 B) H' =R² (mod n)を計算し出力する第 2ェ程とを含んでいる。ここで、第 2工程は、 i=0, 1,..，b-1 に関して、 B- 1) (mxk)/v の i 番目のビット値 =1 ならば、 H'=REDC(H'， Η^_ηを計算する工程と、 Β-2) Η^Ε00(Η_Η,Η_Η)_ηを計算する工程とを繰り返すことで (ただし b は (mxk)/v の最大ビット長を表す定数、 REDCはモンゴメリ乗算剰余演算 REDG(a,b)=axbxR— ¹ (mod n)をそれぞれ表す)、 H'=R² (mod n)を計算するものである。

この場合、第 2工程により前述した解決法 3を実行して、課題 2および課題 4 を解決することができる。

本発明の請求項 3に係るモンゴメリ乗算剰余における変換パラメータの演算方法は請求項 2に記載のモンゴメリ桌算剰余における変換パラメータの演算方法であって、第 1工程は、 A-1 ) 2つのレジスタ REG1, REG2 に対し、 REG1 :=n, REG2:=0により初期化する（ただし、 REG1は m個のワードから、 REG2は m個のヮードから構成されるレジスタであり、 k は 1ワードあたりのビット長である）ェ程と、 A - 2) REG1 に対し左 1 ビットシフ卜を q回繰り返すことで、 REG1=n'=2^qxn とする（ただし、 qは mワードで表現される nの最上位ビットから連続する' 0'の個数を表す）工程と、 A-3) REG2 = REG2-REG1 を計算することで、 REG2=R (mod η')を計算する工程と、 A-4) REG2に対し、 2倍剰余演算を q回繰り返すことで、 REG2=2^qxR (mod η')を計算する工程と、 A-5) RE61, REG2に対し、右 1 ビットシフトを q回繰り返すことで、 REG1=n, REG2=R (mod n)を計算した後、 REG2の値を Η' にコピーする工程と、 Α- 6) REG2に対し、さらに REG1 の値を法とした 2倍剰余演算を V回繰り返すことで、 REG2=2^vxR (mod n)を計算した後、 H₀にコピーする工程とを含む。

この場合、第 1工程において従来法 1を実行することにより、 q が小さい場合に全体の計算速度を高速化することが可能となる。

本発明の請求項 4に係るモンゴメリ乗算剰余における変換パラメータの演算方法は請求項 2に記載のモンゴメリ乗算剰余における変換パラメータの演算方法であって、第 1工程は、 A- 1) 2つのレジスタ REG1, REG2 に対し、 REG1:=n, REG2:=2^{(n ) xk}により初期化する（ただし、 REG1は m個のワードから、 REG2は m個以上のワードから構成されるレジスタであり、 k は 1ワードあたりのビット長である）工程と、 A-2) REG 2に対し REG1 の値を法とした 2倍剰余演算を k回繰り返すことで、 REG2=2^mxk (mod n)=R (mod n)を計算し、 H'にコピーする工程と、 A- 3) REG2 に対し 2倍剰余演算をさらに V回繰り返すことで、 REG2 = 2^vxR (mod n) を計算し、 Η₀にコピーする工程とを含む。

この場合、第 1工程において前述した解決法 1を適用することにより、課題 1 および課題 3を解決することができる。

本発明の請求項 5に係るモンゴメリ乗算剰余における変換パラメータの演算方法のプログラムは、剰余の法 ηの有効ワード長を m、 1ワード当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算方法のプログラムであって、 A) H₀=2^vxR (mod n) (ただし、 v は整数であり、 v ≥1 かつ (ιτΐχΙ /ν は整数）を計算する第 1工程と、 B) i=1,2，...， p に関して、 HrREDG(H_H,HH)_nを繰り返すことで、 H₀=2^vxR (mod から H_p=2^vx2pxR (mod n)を計算する（ただし、 pは 2^p≥(mxk)/v〉2^P— ¹を満たす整数を、 REDGはモンゴメリ乗算剰余 REDC(a,b) =axbxR-¹ (mod n)を、 χΊ は指数演算 χ'をそれぞれ表す）第 2ェ程と、 C) 2^p>(mxk)/vの場合、第 2工程で得られた H_pに対し H_P=REDC(H_P, g)_nを計算することで H_P=R² (mod n)を計算し（ただし、 g=2^kxE(p'^rak)、 E(p,m, k)=2xm- (vx2^p)/kである）、最後に H_pを R² (mod n)として出力する第 3工程とを含み、前記第 1工程は、 A- 1) 2つのレジスタ REG1， RE62を、 REG1=n， REG2=2^{(n )xk}により初期化する（ただし、 REG1は m個のワードから、 REG2は tn個以上のワードから構成されるレジスタ) 工程と、 A-2) REG2に対し、 REG1 の値を法とした 2倍剰余算を k+v回繰り返すことで 2^vxR (mod n)を得る（ただし、）工程とを含む、モンゴメリ乗算剰余における変換パラメータの演算方法をコンピュータに実行させるためのプログラムである。

この場合、請求項 1に記載したようなモンゴメリ乗算剰余における変換パラメータの演算方法をコンピュータに実行させる場合に、従来法の問題である課題 1， 2, 3, 5を解決して高速演算を可能とする。

本発明の請求項 6に係るプログラムは、剰余の法 n の有効ワード長を m、 1ヮード当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算方法のプログラムであって、 A) H'=R (mod n), H₀=2^vxR (mod n)を計算する（ただし、 vは整数であり、 v≥1 かつ (mxk)/vは整数）第 1ェ程と、 B) H'=R² (mod n)を計算し出力する第 2工程とを含み、第 2工程は、 i=0,1,.. ,b-1 に関して、 B-1 ) (mxk)/v の i 番目のビット値 =1 ならば、

H_H)_nを計算する工程とを繰り返すことで（ただし bは (mxk)/vの最大ビット長を表す定数、 REDCはモンゴメリ乗算剰余演算 REDC(a,b)=axbxR-¹ (mod n)をそれぞれ表す) H'=R² (mod n)を計算する、モンゴメリ乗算剰余における変換パラメータの演算方法をコンピュータに実行させるためのプログラムである。

この場合、請求項 2に記載したようなモンゴメリ乗算剰余における変換パラメータの演算方法をコンピュータに実行させる場合に、従来法の問題である課題 2， 4を解決して高速演算を可能とする。

本発明の請求項 7に係るモンゴメリ乗算剰余における変換パラメータの演算装置は、剰余の法 n の有効ヮード長を m、 1ヮード当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算装置であつて、 m個のワードから構成される第 1 レジスタ REG1 と、 m個以上のワードから構成される第 2 レジスタ RE62 と、 2つのレジスタ REG1, REG2 を、 REG1=n, REG2=2 ^)xkにより初期化する初期化処理部と、第 2レジスタ REG2 に対し、第 1 レジスタ REG1 の値を法とした 2倍剰余算を k+v回繰り返すことで H₀=2^vxR (mod n) (ただし、 vは整数であり、 v≥1かつ (mxk)/vは整数）を演算する H₀演算部と、 i=1,2 p に関して、 H-REDGWi Hi— を繰り返すことで、 H₀=2^vxR (mod n)から H_p=2^vxrpxR(mod n)を計算する (ただし、 pは 2^p≥(mxk)/v >2^P— ¹を満たす整数を、 REDCはモンゴメリ乗算剰余 REDC(a,b) =axbxR-¹ (mod n)を、 χΊ は指数演算 x^jをそれぞれ表す） H_p演算部と、 2^p>(mxk)/vの場合、前記 H_p演算部により得られた H_p に対し H_P=REDG(H_P, g)_nを計算することで H_P=R² (mod n)を計算し（ただし、 g=2^{kxE(pm k)}、 E(p,m, k) =2xm- (vx2^p) /kである）、最終的に得られた H_pを R² (mod n) として出力するパラメータ出力部とを備える。

この場合、初期化処理部および H₀演算部により解決法 1を実現し、課題 1， 3 を解決することが可能となる。また、パラメータ出力部により解決法 2を実現し、課題 2， 5を解決することが可能となる。本発明の請求項 8に係るモンゴメリ乗算剰余における変換パラメータの演算装置は、剰余の法 n の有効ワード長を m、 1ワード当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算装置であつて、 H' =R (mod n)， H₀=2^vxR (mod n)を計算する（ただし、 v は整数であり、 v≥1 かつ (mxk) /vは整数） H₀演算部と、 i=0, 1 , . .，b - 1 に関して、 (m_xk) /vの i番目のビット値 =1 ならば、 H' =REDG (H'， Ι ) _ηを計算する工程と、 H^EDG ， Η_μι) _ηを計算する工程とを繰り返すことで H' =R² (mod n)を計算し出力する（ただし b は (mxk) / の最大ビット長を表す定数、 REDG はモンゴメリ乗算剰余演算 REDC (a, b) =axbxR"¹ (mod n)をそれぞれ表す） H'演算部とを含む。

この場合、 H'演算部により解決法 3を実現することができ、これにより、課題 2 , 4を解決することが可能となる。

(図面の簡単な説明）

図 1は、モンゴメリ乗算剰余のアルゴリズムを示す説明図である。

図 2は、モンゴメリ乗算剰余を用いたべき乗剰余演算の例を示す説明図である図 3は、加算、減算を用いた変換パラメータ Hの計算アルゴリズムを示す説明図である。

図 4は、従来法 1のフローチャートである。

図 5は、従来法 2のフローチャートである。

図 6は、課題 1および課題 3の原因となる従来法における 2^VR (mod n)計算処理のフローチヤ一トである。

図 7は、従来法における R (mod n' ) =0- n'の計算が成立するための n'の条件を示す説明図である。

図 8は、従来法 2における StepB₂の処理の概要およびそれに伴う課題を示す説明図である。

図 9は、本発明の解決法 1で用いる 2^vxR (mod n)の計算法を示す説明図である。図 1 0は、本発明の解決法 3で用いる R² (mod n)の計算法を示す説明図である。図 1 1は、本発明の第 1実施形態のフローチャートである。図 1 2は、本発明の第 2実施形態のフローチャートである。

図 1 3は、実施例 1のフローチャートである。

図 1 4は、実施例 2のフローチャートである。

図 1 5は、実施例 3のフローチャートである。

図 1 6は、本発明のプログラムを格納する記録媒体の説明図である。

(発明を実施するための最良の形態）

〈第 1実施形態〉

本発明の第 1実施形態について、図 1 1に示すフローチャートに基づいて説明する。

図 1 1に示すように、この第 1実施形態では主に St印 A₃， StepB_3> StepG₃から構成される。

ここで、入力： n (剰余の法）、出力： R² (mod n) (ただし、 R=2^mxk (mod n)) とする。

StepA₃では、シフト算および減算を用いて、 H₀=2^mxk+V (mod n)を満たす H。を計算する。ここで、 Vは整数であり、 v≥1かつ（mxk)/vが整数であることを満たすものとする。

StepB₃では、 REDC演算を用いて、 H₀から H=2^E(p"'^{m k)} (mod n)を計算する。ただし、 E(p",m, k)=mxk+vx2^p", p"は 2^P"> (mxk)/v >2^(p"— ¹⁾を満たす整数である。

StepC₃では、 2^p">(mxk)/vならば、 g=2^kxG(p"'^{m k)}について H=REDG(H, 6)による補正演算を行う。ただし、 Gは G (p"， m, k) =2xm- (νχ2^ρ") Λであリ、 1≤G(p",m, k)≤ttHの範囲を満たす整数である。演算後に H=R² (mod n)を出力し終了する。

この第 1実施形態のアルゴリズ厶について以下に詳細を示す。

ステップ 301では、 2つのレジスタに対して初期値として、 REG1:=n, RE62:=2^(m" ^1)xkを与える。ただし、 nの有効ワード長は mである。

ステップ 302では、 REG2に対して、 2倍剰余算を k+v回繰り返し REG2=2^mxk+v (mod n )とする。ただし、 Vは整数であり、 v≥1かつ (mxk)/vが整数である。

ステップ 303では、 REG2 ：= REDG(REG2, REG2)_nを p"回繰り返すことで、 REG2=2^E( ^p"'^{m k)} (mod n)を計算する。ただし、 p"は 2^P"> (mxk)/v>2^p"— ¹を満たす整数、 E(p",m, k)

(mod n)を表す。

ステップ 304では、 2^p">(mxk)/vならば、 REG2 := REDC(REG2, g)_nによる補正演算を行う。ただし、 g=2^kx(3(p"'^m'^k)および G(p"，m,k) = 2xm - (vx2^p")/kである。 REG2=R² ( mod n)を出力し終了する。

このようにした第 1実施形態では、ステップ 301，302において、前述した解決法 1を用いて REG2=2^vxR (mod n)の計算を行っており、 nの MSBを算出することが不要となる。

また、ステップ 303, 304では、解決法 2を用いることで、 2^vxR (mod n)から R² ( mod n)の計算を行っており、（mxk)/vが 2のべき乗であるという制限を不要としている。ステップ 303では、 REG2=2^vxRにモンゴメリ乗算剰余演算を用いた 2乗算を p "回繰り返すことで、 REG2 = 2^E(p"'^{m k)} (mod n)を得ることができる。ただし、 p"は 2 ^p"≥ (mxk) /v〉2^p"— ¹を満たす整数であり、 E (p", m, k) =mxk+vx2^p"である。ステツプ 304 では、 2^p"〉(mxk)/vの場合に REG2 := REDG(REG2, g)_nによる補正演算を行うことで、 REG2=R² (mod n)を算出することができる。ただし、 g=2^kxG(p"'^{m k)}および G(p", m, k) = 2xm— (vx2^p")/kである。

このようにして、第 1実施形態では、解決法 1を用いることで、 nの MSBの算出が不要となり、課題 1および課題 3が解決される。また、解決法 2を用いることで、（mxk) /vが 2のべき乗であるという制限が不要となり、課題 2が解決され、さらに (mxk)/vのビット値検出が不要となり、課題 5が解決される。

〈第 2実施形態〉

本発明の第 2実施形態について、図 1 2に示すフローチャートに基づいて説明する。

この第 2実施形態では、図 1 2に示すように、主に St印 A₄, StepB₄から構成される。ここで、入力を n (剰余の法）、出力を R² (mod n) (ただし、 R=2^mxk (mod n)) とする。

StepA₄では、 H'=R (mod n), H₀=2^vxR (mod n)を計算する。

StepB₄では、 H',H₀から、 REDG演算を用いて H=R²(mod n)を計算する。この演算では、 mxk の各ビット値を最下位ビッ卜から最上位ビッ卜の順に検出し、各ビット値の' Ο' Ί 'に応じて REDG演算を 1回もしくは 2回行うことを繰り返す。

この第 2実施形態の場合、従来法 2と異なり、（mxk) /v の MSB を算出する必要がないというメリツトを有する。ただし、（mxk) /v の最大ビット長を表す定数 b が必要となる。

また、 StepA₄における H_Qの算出法については、本発明の第 1実施形態における StepA₃に示す方法を用いることで、 nの有効ビットを算出が不要となる。

StepA₄, StepB₄の詳細を以下に説明する。

ステップ 401では、 REG1 : =nを初期値として与える（ただし、 nの有効ワード長は mである）。

ステップ 402では、 2^mxk (mod n)を演算し、その結果を REG0と REG2に対して与えることで、 REG0 = REG2 = 2^mxk (mod n)とする。

ステップ 403では、 REG0に対し 2倍剰余演算を v回繰り返し、 REG0=2^mxk+v (mod n)を計算する。ただし Vは整数であり、 v≥1 かつ (mxk) /vが整数であることを満たす。

ステップ 404では、以下の①および②の処理を i =0, 1 b - 1 について b回繰リ返すことで、 REG2=2^2xnxk=R² (mod n)を計算して出力し終了する。ただし、 b は (mxk) /v の最大ビット長を表す定数、 REDG (A，B) _nはモンゴメリ乗算剰余 REDC (A, B) =AxBx2-^fflXk (mod n)をそれぞれ表す。

① REG0 : = REDG (REG0, REG0) _nを計算する。

② mxkの i番目のビッ卜値 =1ならば、 REG2 ：= REDC (REG2, REG0) _nを計算する。この第 2実施形態では、ステップ 401において REG1に初期値 nを与えており、第 1実施形態と異なり REG2に対する初期値を与えていない。これはステップ 402 の実現方法によって初期値が異なることによる。

ステップ 402では、 2^mxk (mod n)を演算した上で、この演算結果を REG0と REG2 に与え、 REG0=REG2=2^mxk (mod n)としている。 2 (mod n)を計算するための実現方法は複数存在するが、たとえば第 1実施形態と同様の構成にすることで解決法 1 を実現することができ、 nに関する MSBの算出を不要とすることができる。

ステップ 403では、 REG0に対し 2倍剰余算を V回行うことで REG0=2^mxk (mod n) を計算している。 ¹ また、ステップ 404では、解決法 3を実現しており、 V に関する制限、および (mxk) /vの有効ビット長カウントを不要としている。ここでは、（mxk) /vの各ビット値を検出し、ビット値に応じて REDG演算を 1回もしくは 2回行うことで、 H=R² (mod n)を計算している。このことにより、従来法 2では i番目のビット値を検出する際、 (mxk) /v の有効ビット長 p'に対し i =p ' - 2 1 , 0 の順に検出していたのに対し、この第 2実施形態では (mxk) /v の最大ビッ卜長 bに対し i =0，1 b-

1の順に検出している。つまり、本発明は (mxk) /vの最大ビット長である定数のみを与えればよく、入力値によって変化する（mxk) /v の有効ビット長を計算する必要がないというメリットを有する。従来法 2に対して、 i =b- 1 1 , 0 の順に検出するように変更した場合、 b=p 'が満たされない限り計算結果が R² (mod と一致せず、目的であるパラメータ Hを計算することができなくなる。

このように第 2実施形態では、ステップ 404 において解決法 3を実現しており、 (mxk) /v が 2のべき乗であるという制限がなくなり、また（mxk) /vの MSBの算出が不要となるので課題 2およぴ課題 4が解決される。

図 1 2では、ステップ 402 における 2 (mod n)の計算法を特定していないが、第 1実施形態と同様の解決法 1を適用することで、 n に関する MSB を算出することが不要となり、さらに課題 1および課題 3を解決することができる。〈実施例 1 >

本発明の第 1実施形態を実施した実施例 1を図 1 3のフローチヤ一卜に基づいて説明する。

図 1 3におけるステップ 501 ~504は、それぞれ図 1 1のステップ 301〜304に対応しており、ステップ 302における 2倍剰余演算については、ステップ 502において REG2を左 1 ビットシフトした後、 REG2≥REG1 ならば REG1 から REG1 を減算することで行っている。この代わりに REG2 : =REG2+REG2 の加算処理を行い、 REG2≥REG1ならば REG2から REG1を減算する構成とすることも可能である。

この実施例 1に必要な計算量を表 3に示す。〔表 3〕

実施例 1に必要な計算 i

〈実施例 2〉

本発明の第 2実施形態を実施した実施例 2を図 1 4のフローチヤ一卜に基づいて説明する。

図 1 4では、図 1 2のステップ 402における 2^mxk (mod n)の算出方法、およびステツプ 403における 2倍剰余演算の計算方法について特定した実施例である。ステップ 601〜606により図 1 2のステップ 401，402の処理を、ステップ 606により図 1 2のステップ 403の処理を、ステツプ 607により図 1 2のステツプ 404 の処理をそれぞれ行っている。

ステップ 601〜606 の処理により、 REG0=REG2=2^roxk (mod n)演算している。これは、図 6に示した方法において v=0とすることで演算することができる。

ステップ 607 では、 REG0 に対し 2倍剰余算を v 回繰り返すことで REG0=2^mxk+v (mod n)とする。

ステップ 608では、解決法 3を用いて (mxk) /vの各ビット値に応じて REDG演算を 1回もしくは 2回繰り返すことで、 REG2=2^2xmxk (mod n) =R² (mod n)を計算する。この実施例 2に必要な計算量を表 4に示す。

〔表 4〕

実施例 2に必要な計算 j

601 602 603 604 605 606 607 608 ムき+

SFT 0 q 0 q 2q 0 V 0 4q+v

SUB 0 0 1 0. 5q 0 0 0. 5v 0 0. 5 (q+v) +1

REDC 0 0 0 0 0 0 0 b+1+W ( (mxk) /v) b+1+ ( (mxk) /v) 〈実施例 3〉

本発明の第 2実施形態を実施した実施例 3を図 1 5のフローチャートに基づいて説明する。

図 1 5では、実施例 2と同様に、図 1 2のステップ 402 における 2^mxk (mod n) 算出法およびステップ 403 における 2倍剰余演算の計算方法について特定した実施例である。ステップ 402 の計算方法に解決法 1の手法を用いることで、実施例 2と同様の課題 2および課題 4を解決する効果に加え、課題 1および課題 3を解決することができる。

図 1 5について説明する。ステップ 701〜703 により、図 1 2のステップ 401 , 402の処理を、ステップ 704により図 1 2のステップ 403の処理を、ステツプ 705により図 1 2のステップ 404の処理をそれぞれ行っている。以下ではこれらの処理について説明する。

ステップ 701〜703 の処理により、 REG0=REG2=2^mxk (mod n)を計算している。これは、解決法 1で v=0をした場合の処理を行っており、 nの MSBの算出を不要とし、課題 1および課題 3を解決できる。これらの処理により REG0=REG2=2^mxk (mod n)を計算した後、ステップ 704, 705 において解決法 3を用いた処理を行い、 REG2=R² (mod n)を算出する。（mxk) /v が 2のべき乗であるという制限がなく、 (mxk) /v の MSB の算出が不要であるので、課題 4を解決することができる。最後【こ、 REG2の値をパラメータ Hとして出力し終了する。

この実施例 3の計算量を表 5に示す。

〔表 5〕

実施例 2に必要な計算】

〈発明の効果〉上述した実施例 1 ~3では、表 6に示すように、各課題 1〜5を解決することが可能となる。

〔表 6〕

本発明によリ解決可能な課題

さらに、 nの条件によって、本発明は従来法より小さな計算量で処理を実現することが可能である。計算量に関する比較を以下の表 7に示す。表 7では、加算、減算、シフト算の計算量は全て同一と仮定しており、これらの演算をまとめて ADDと表記している。また、 REDGはモンゴメリ乗算剰余を表す。

〔表 7〕

従来法と本発明の計算量に関する比較

表 7における ADD の計算量を比較すると、 4.5q+1.5v+1>1.5k+1.5v である場合には、実施例 1， 3の方が従来法 1， 2より小さな計算量による処理を実現することができる。このときの条件は k≤3q であり、つまり nの最上位ビットから連続する' 0'の個数が k/3以上である場合に、実施例 1， 3は従来方式よリ ADDの回数を少なくすることができる。

また、 REDGを含めた計算量比較の例を、以下の比較例 1 , 2に示す。

比較例 1 ： 1024-bit RSA, 1 ヮード =32bit、 v=1の場合。

この場合、 nは 1024bitである。また、 1ヮード =32bitなので k=32であり、 1024ビッ卜を表現するためのヮード長 111=32となる。このとき、 nの最上位ビット =1 となるので、 q=0である。したがって、（mxk)/v=1024= (10000000000) ₂であり、 W((mxk)/v)=0である。また、 RSA暗号の最大ビット長を 1024-bitと仮定し、 b=11 とする。この条件下で、従来法と本発明に必要な計算量は以下のとおりである。従来法 1

ADDは 2.5回、また p=10であるので REDGは 10回。

従来法 2

ADDは 2.5回、また p'=11， W((mxk)/v)=0であるので REDGは 10回。

実施例 1

ADDは 1.5x32+1.5x1=49.5回、また p"=10かつ 2^p"=(mxk)/vであるので REDGは 10回。

実施例 2

ADDは 2.5回、また b=11， W ( (mxk) /v) =0であるので REDGは 12回。

実施例 3

ADDは 1.5x32+1.5x1=49.5回、また b=11 , W ( (mxk) /v) =0であるので REDGは 12 回。これらを表 8にまとめる。実施例 2を用いることで、従来法の課題を解消しながら、 ADDに関する計算量を従来法と同じとすることができる。

〔表 8〕

比較例 1における計算 ϊ t比較

比較例 2 ： 163-bit楕円曲線暗号、 1 ワード =8bit、従来法 1で v=21、他は v=3の口。

この場合、 nは 163bitである。また、 1ヮードが 8ビットなので k=8であり、 163 ビットを表現するためのワード長 m=21 となる。このとき、 n の上位 8x21- 163=5ビッ卜が 0となるので q=5である。 vについては、パラメータ選択の制限から従来法 1のみ v=21 とし、従来法 2および実施例 1， 2， 3は v=3とする。 v=21 の場合、（mxk)/v=8=(1000)₂であり、 W((mxk)/v)=0 である。また v=3 の場合、 (mxk)/v=56=(111000)₂であり、 W ( (mxk) /v) =2である。また、楕円曲線暗号の最大ビット長を 255-bit と仮定し、 b=8 とする。この条件下で、従来法と本発明に必要な計算量は以下のとおりである。従来法 1

ADDは 4.5x5+1.5x21=54回、また p=3であるので REDCは 3回。

従来法 2

ADDは 4.5x5+1.5x3=27回、また p' =6,

であるので REDCは 7回。実施例 1

ADDは 1.5x8+1.5x3=16.5回、また p"=6かつ 2^p">(mxk)/vであるので REDCは 7 回。

実施例 2

ADDは 4.5x5+1.5x3=27回、また b=8, W((mxk)/v)=2であるので REDCは 10回。実施例 3

ADDは 1.5x8+1.5x3=16.5回、また b=8, W ( (mxk) /v) =2であるので REDCは 10回。これらを表 9にまとめる。実施例 1 ， 3を用いることで、従来法の課題を解消しながら、 ADDの回数を従来法より削減することができる。さらに、 REDC演算をコプロセッサ等の専用ハードウ： Lァを用いて高速に計算する場合を仮定し ADD=REDG とした場合、実施例 1の計算量は 16. 5+7=23. 5，実施例 3の計算量は 16. 5+10=26. 5 となり、従来法 1の（54+3=57)、および従来法 2の (27+7=34) よリも全体の計算量を小さく抑えることができる。

〔表 9〕

比較例 2における計算量比較

〈他の実施形態〉

前述した各実施形態は、ハードディスク、 GD-R0N!、その他の記録媒体に格納されたプログラムをメインメモリ上で展開して、コンピュータを各機能部として機能させるように構成できる。この場合、本発明のモンゴメリ乗算剰余における変換パラメータの演算方法を実現するプログラムは、図 1 6に示すように、 GD- R0M31 1やフレキシブルディスク 312などの可搬型記録媒体 310、通信回線の先に備えられる他の記録装置 330、コンピュータ 300のハードディスクや RAMなどの記録媒体 320のいずれに記録されるものであってもよく、プログラム実行時にはコンビュータ 300の主メモリ上にロードされて実行される。

(産業上の利用可能性）

本発明によれば、パラメータ Vに関する制限、データ値の最上位有効ビット（Mos t S i gn i f i cant B i t, 以下 MSB)の算出、およびデータのビット値の検出という問題を解決し、ソフトウェア実装における処理効率が向上させることができる。このことにより、 RSA、楕円曲線暗号などの公開鍵暗号を処理する際の処理速度を向上させることができる。

Claims

請求の範囲

1.

剰余の法 nの有効ヮード長を m、 1 ヮード当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算方法であって、

A) H₀=2^vxR (mod n) (ただし、 vは整数であり、 v≥1かつ (mxk)/vは整数）を計算する工程であって、

A-1) 2つのレジスタ REG1, REG2を、 REG1=n, REG2=2^{(n )xk}により初期化する（ただし、 REG1は m個のワードから、 REG2は m個以上のワードから構成されるレジスタ）工程と、

A-2) REG2に対し、 REG1の値を法とした 2倍剰余算を k+v回繰り返すことで 2^vxR (mod n)を得る工程と、

を含む第 1工程と、

B) i=1,2 pに関して、 H REDGOIi Hi— を繰り返すことで、 H₀=2^vxR (mod n) から H_p=2^vxrpxR(mod n)を計算する（ただし、 pは 2^p≥(mxk)/v >2^P- ¹を満たす整数を、 REDC はモンゴメリ乗算剰余 REDC(a,b) =axbxR-¹ (mod n)を、 χΊ は指数演算 X¹をそれぞれ表す) 第 2工程と、

C) 2^p>(mxk)/vの場合、第 2工程で得られた H_pに対し H_P=REDG(H_P， g)_nを計算することで H_P=R² (mod n)を計算し（ただし、 g=2^{kxE(p m k)}、 E(p, m, k)=2xm-(vx2^p)/kである）、最後に H_pを R² (mod n)として出力する第 3工程と、

を含むモンゴメリ乗算剰余における変換パラメータの演算方法。

2.

A) H'=R (mod n), H₀=2^vxR (mod n)を計算する（ただし、 v は整数であり、 v≥1 かつ (mxk)/vは整数）第 1工程と、

B) i=0, 1,.. ,b-1に関して、

B-1) (mxk)/vの ί番目のビット値 =1 ならば、 H'=REDG(H'， Η _ηを計算する工程と、 B-2) HrREDC(H_H- H_H)_nを計算する工程と、

を繰り返すことで H'=R² (mod n)を計算し出力する（ただし bは (mxk)/vの最大ビット長を表す定数、 REDC はモンゴメリ乗算剰余演算 REDC(a,b)=axbxR-¹ (mod n) をそれぞれ表す）第 2工程と、

3.

前記第 1工程は、

A-1) 2つのレジスタ REG1, REG2 に対し、 REG1:=n, REG2:=0 により初期化する (ただし、 REG1は m個のワードから、 REG2は m個のワードから構成されるレジスタであり、 kは 1ワードあたりのビッ卜長である）工程と、

A - 2) REG1 に対し左 1 ビットシフ卜を q回繰り返すことで、 REG1=n'=2^qxnとする (ただし、 qは mヮードで表現される nの最上位ビッ卜から連続する' 0'の個数を表す）工程と、

A-3) REG2 ：= REG2-REG1 を計算することで、 REG2=R (mod η')を計算する工程と、 A-4) REG2に対し、 2倍剰余演算を q回繰り返すことで、 REG2=2^qxR (mod η')を計算する工程と、

Α - 5) REG1, REG2 に対し、右 1 ビットシフトを q 回繰り返すことで、 REG1=n， REG2=R (mod n)を計算した後、 REG2の値を H'にコピーする工程と、

A-6) REG2に対し、さらに REG1の値を法とした 2倍剰余演算を v回繰り返すことで、 REG2=2^vxR (mod n)を計算した後、 H₀にコピーする工程と、

を含む請求項 2に記載のモンゴメリ乗算剰余における変換パラメータの演算方法。

4.

前記第 1工程は、

A-1) 2つのレジスタ REG1, REG2に対し、 REG1:=n, REG2:=2^{(n ) xk}により初期化する（ただし、 REG1は m個のワードから、 REG2は m個以上のワードから構成されるレジスタであり、 kは 1ワードあたりのビット長である）工程と、

A - 2) REG 2に対し REG1 の値を法とした 2倍剰余演算を k 回繰り返すことで、 REG2=2^mxk (mod n)=R (mod n)を計算し、 H'にコピーする工程と、

A-3) REG2 に対し 2倍剰余演算をさらに v回繰り返すことで、 REG2 = 2^vxR (mod n)を計算し、 H₀にコピーする工程と、

5.

剰余の法 nの有効ヮード長を m、 1ヮ一ド当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算方法のプロダラムであって、

A - 1) 2つのレジスタ REG1, REG2を、 REG1=n, REG2=2^{(n )xk}により初期化する (ただし、 REG1は m個のワードから、 REG2は m個以上のワードから構成されるレジスタ）工程と、

A-2) RE62に対し、 REG1の値を法とした 1倍剰余算を k+v回繰り返すことで 2^vxR (mod n)を得る (ただし、) 工程と、

を含む第 1工程と、

B) i=1,2，...， pに関して、 H^EDGO I を繰り返すことで、 H₀=2^vxR (mod n) から H_p=2^vx2'^pxR(mod n)を計算する（ただし、 pは 2^p≥(mxk)/v >2^P— ¹を満たす整数を、 REDC はモンゴメリ乗算剰余 REDC(a,b) =axbxR-¹ (mod n)を、 χΊ は指数演算 1をそれぞれ表す) 第 2工程と、

0 2^p>(mxk)/vの場合、第 2工程で得られた H_pに対し H_P=REDC(H_P, g)_nを計算することで H_P=R² (mod n)を計算し（ただし、 g=2^kxE(pmk)、 E(p， in, k)=2xm-(vx2^p)/kである）、最後に H_pを R² (mod n)として出力する第 3工程と、

を含むモンゴメリ乗算剰余における変換パラメータの演算方法をコンピュータに実行させるためのプログラム。

6.

剰余の法 nの有効ヮード長を m、 1ヮード当たりのビッ卜長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算方法のプログラムであって、

A) H'=R (mod n)， H₀=2^vxR (mod n)を計算する（ただし、 v は整数であり、 v≥1 かつ (mxk) /vは整数）第 "I工程と、

B) i=0, 1,.. , b-1に関して、

B-1) (mxk)/vの i番目のビット値 =1 ならば、 H'=REDC(H'， Η _ηを計算する工程と, B-2) Hi=REDC (Η_Η, Η_Η) _ηを計算する工程と、

を繰り返すことで H'=R² (mod n)を計算し出力する（ただし bは (mxk)/vの最大ビット長を表す定数、 REDC はモンゴメリ乗算剰余演算 REDG(a，b)=axbxR— ¹ (mod n) をそれぞれ表す）第 2工程と、

剰余の法 nの有効ヮード長を m、 1ヮード当たりのビット長を 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算方法であって、 m個のワードから構成される第 1 レジスタ REG1と、

m個以上のヮードから構成される第 2レジスタ REG2と、

2つのレジスタ REG1, REG2 を、 REG1=n, REG2=2^{(n )xk}にょリ初期化する初期化処理部と、

前記第 2レジスタ REG2に対し、第 1 レジスタ REG1 の値を法とした 2倍剰余算を k+v 回繰り返すことで H₀=2^vxR (mod n) (ただし、 v は整数であり、 v>1 かつ (mxk)/vは整数）を演算する H₀演算部と、

i=1,2 p に関して、 Hi=REDG(Hi H_H)_nを繰り返すことで、 H。=2^vxR (mod n) から H_p=2^vx2'^pxR(mod n)を計算する（ただし、 pは 2^p≥(mxk)/v >2^P—¹を満たす整数を、 REDC はモンゴメリ乗算剰余 REDC(a, b) =axbxR"¹ (mod n)を、 χΊ は指数演算をそれぞれ表す） H_p演算部と、

2^pXmxk)/vの場合、前記 H_p演算部により得られた H_pに対し H_P=REDC(H_P， g)_nを計算することで H_P=R² (mod n)を計算し（ただし、 g=2^kxE(p'^{m k)}、 E(p,m, k)=2xm- (vx2^p)/kである）、最終的に得られた H_pを R² (mod n)として出力するパラメータ出力部と、

を備えるモンゴメリ乗算剰余における変換パラメータの演算装置。 8.

剰余の法 nの有効ヮ一ド長を m、 1 ヮード当たりのビット長を k、 2^mxk=R とするモンゴメリ乗算剰余における変換パラメータ R² (mod n)の演算装置であって、

H'=R (mod n)， H₀=2^vxR (mod n)を計算する（ただし、 v は整数であり、 ≥1 かつ (mxk)/vは整数） H₀演算部と、

i=0， 1， ..， b-1 に関して、 (mxk) /vの i番目のビッ卜値 =1ならば、 H' =REDC (Η'， Η,)_ηを計算する工程と、

H_H)_nを計算する工程とを繰り返すことで H'=R² (mod n)を計算し出力する（ただし b は (mxk)/vの最大ビット長を表す定数、 REDG はモンゴメリ乗算剰余演算 REDC(a,b)=axbxR"¹ (mod n)をそれぞれ表す） H' 演算部と、

を含むモンゴメリ乗算剰余における変換/ ラメ一タの演算装置。