JP2001337599A - 楕円曲線暗号におけるスカラー倍計算方法及び装置、並びに記憶媒体 - Google Patents

楕円曲線暗号におけるスカラー倍計算方法及び装置、並びに記憶媒体

Info

Publication number
JP2001337599A
JP2001337599A JP2000160001A JP2000160001A JP2001337599A JP 2001337599 A JP2001337599 A JP 2001337599A JP 2000160001 A JP2000160001 A JP 2000160001A JP 2000160001 A JP2000160001 A JP 2000160001A JP 2001337599 A JP2001337599 A JP 2001337599A
Authority
JP
Japan
Prior art keywords
scalar
elliptic curve
point
value
scalar multiplication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2000160001A
Other languages
English (en)
Other versions
JP3821631B2 (ja
Inventor
Katsuyuki Okeya
勝幸 桶屋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2000160001A priority Critical patent/JP3821631B2/ja
Priority to DE60119620T priority patent/DE60119620T2/de
Priority to US09/811,459 priority patent/US7046801B2/en
Priority to EP01106954A priority patent/EP1160661B1/en
Publication of JP2001337599A publication Critical patent/JP2001337599A/ja
Priority to US10/196,508 priority patent/US7308096B2/en
Application granted granted Critical
Publication of JP3821631B2 publication Critical patent/JP3821631B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/724—Finite field arithmetic
    • G06F7/725—Finite field arithmetic over elliptic curves
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/72—Indexing scheme relating to groups G06F7/72 - G06F7/729
    • G06F2207/7219—Countermeasures against side channel or fault attacks
    • G06F2207/7261—Uniform execution, e.g. avoiding jumps, or using formulae with the same power profile

Landscapes

  • Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computational Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)
  • Complex Calculations (AREA)

Abstract

(57)【要約】 【課題】楕円曲線暗号における秘密情報を用いた暗号処
理において、ＤＰＡ等のパワーアナリシスという攻撃法
により、暗号処理経過から秘密情報が復元される可能性
があった。本発明の目的は、パワーアナリシスにより暗
号処理経過が漏洩しても、秘密情報自体は漏洩せず、し
かも高速に暗号処理を実行できる暗号処理方法を提供す
ることにある。 【解決手段】暗号処理経過と秘密情報との依存関係を断
ち切った暗号処理方法を与える。特に、秘密情報である
スカラー値に対して、スカラー倍計算経過がそれらの値
に依存しないスカラー倍計算方法を与える。すなわち、
楕円曲線暗号においてスカラー値及び楕円曲線上の点か
らスカラー倍点を計算する際、スカラー値のビットの値
を判定し、その判定を行なったビットの値に依存せずに
一定の回数及び一定の順序で楕円曲線上の演算を実行す
る。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、コンピュータネッ
トワークにおけるセキュリティ技術に関し、特に楕円曲
線暗号における暗号処理方法及び装置並びに記憶媒体に
関する。
【０００２】
【従来の技術】楕円曲線暗号は、N.Koblitz, V.S.Mille
rにより提案された公開鍵暗号の一種である。公開鍵暗
号には、公開鍵と呼ばれる一般に公開してよい情報と、
秘密鍵と呼ばれる秘匿しなければならない秘密情報があ
る。与えられたメッセージの暗号化や署名の検証には公
開鍵を用い、与えられたメッセージの復号化や署名の作
成には秘密鍵を用いる。楕円曲線暗号における秘密鍵
は、スカラー値が担っている。また、楕円曲線暗号の安
全性は、楕円曲線上の離散対数問題の求解が困難である
ことに由来している。ここで楕円曲線上の離散対数問題
とは、楕円曲線上のある点Ｐとそのスカラー倍の点ｄＰ
が与えられたとき、スカラー値ｄを求める問題である。
ここにおいて、楕円曲線上の点とは、楕円曲線の定義方
程式をみたす数の組をいう。楕円曲線上の点全体には、
無限遠点という仮想的な点を単位元とした演算、すなわ
ち楕円曲線上の加法が定義されている。そして、同じ点
同士の楕円曲線上の加法のことを、特に楕円曲線上の２
倍算という。ある点に対し、特定の回数だけ加法を行な
うことをスカラー倍といい、その結果をスカラー倍点、
その回数のことをスカラー値という。
【０００３】楕円曲線上の離散対数問題の求解の困難性
が理論的に確立されてきている一方で、実際の実装にお
いては秘密鍵等の秘密情報に関連する情報が暗号処理に
おいて漏洩する場合があり、その漏洩情報をもとに秘密
情報を復元するといった、所謂パワーアナリシスという
攻撃法が提案されている。
【０００４】DES(Data Encryption Standard)等の秘密
情報を用いた暗号処理において、電圧変化を測定するこ
とで暗号処理経過を入手し、それをもとにして秘密情報
を推察するという攻撃法が、P.Kocher, J.Jaffe, B.Jun
Differential Power Analysis, Advances in Cryptolo
gy: Proceedings of CRYPTO '99, LNCS 1666, Springer
-Verlag, (1999) pp.388-397. に記載されている。この
攻撃法は、DPA(Differential Power Analysis)と呼ばれ
ている。
【０００５】楕円曲線暗号に対して上述の攻撃法を適用
したものが、J.Coron, Resistanceagainst Differentia
l Power Analysis for Elliptic Curve Cryptosystems,
Cryptographic Hardware and Embedded Systems: Proc
eedings of CHES'99, LNCS1717, Springer-Verlag, (19
99) pp.292-302. に記載されている。楕円曲線暗号にお
いて、与えられたメッセージの暗号化や復号化、乃至は
署名の作成及びその検証は、楕円曲線演算を用いて行な
う必要がある。特に、楕円曲線上のスカラー倍の計算
は、秘密情報であるスカラー値を用いた暗号処理におい
て用いられる。
【０００６】また、モンゴメリ型楕円曲線ＢＹ２＝Ｘ３
＋ＡＸ２＋Ｘ（Ａ，Ｂ∈Ｆｐ）を用いると標準型楕円曲
線と呼ばれる通常用いる楕円曲線よりも高速に演算を実
行できることが、P.L.Montgomery, Speeding the Polla
rd and Elliptic Curve Methods of Factorization, Ma
th. Comp. 48 (1987) pp.243-264. に記載されている。
これは、スカラー値の特定のビットの値に依存して、楕
円曲線上の点の組（ｍＰ，（ｍ＋１）Ｐ）から点の組
（２ｍＰ，（２ｍ＋１）Ｐ）乃至は点の組（（２ｍ＋
１）Ｐ，（２ｍ＋２）Ｐ）を繰り返し計算するスカラー
倍計算方法において、モンゴメリ型楕円曲線を利用する
ことにより、加算及び２倍算の計算時間が短縮されるこ
とに由来する。
【０００７】また、標数２の有限体上で定義された楕円
曲線に対しても、モンゴメリ型楕円曲線におけるスカラ
ー倍計算方法を適応させたスカラー倍計算方法並びにそ
れに用いる加算方法及び２倍算方法が、J.Lopez, R.Dah
ab, Fast Multiplication onElliptic Curves over GF
(2m) without Precomputation, Cryptographic Hardwar
e and Embedded Systems: Proceedings of CHES'99, LN
CS 1717, Springer-Verlag, (1999) pp.316-327. に記
載されている。このスカラー倍計算方法における加算及
び２倍算の計算時間が短縮されることにより、標数２の
有限体上で定義された楕円曲線における通常のスカラー
倍計算方法と比べて、スカラー倍計算が高速に実行でき
る。
【０００８】楕円曲線暗号に対するDPA攻撃の対処法の
一つとして、ランダム化射影座標を用いる方法が、J.Co
ron, Resistance against Differential Power Analysi
s for Elliptic Curve Cryptosystems, Cryptographic
Hardware and Embedded Systems: Proceedings of CHE
S'99, LNCS 1717, Springer-Verlag, (1999) pp.292-30
2. に記載されている。これはスカラー倍計算におい
て、特定の値が出現するか否かを観測し、そこからスカ
ラー値を割り出す攻撃法に対して、ランダムな値を乗ず
ることにより、特定の値が出現することを予測できなく
する対処法である。
【０００９】
【発明が解決しようとする課題】上記従来技術の楕円曲
線暗号は、DPA等のパワーアナリシスによる攻撃につい
ては考慮されていなかった。それゆえに、パワーアナリ
シスによる攻撃を和らげるためには、秘密情報を用いた
暗号処理において、必要な計算以外に余分な計算を行な
うなどして、暗号処理経過と秘密情報との依存関係を弱
くしなければならなかった。そのため、暗号処理に必要
な時間が増大し、ICカード等の計算速度の遅いコンピュ
ータや、膨大な数の暗号処理をこなすサーバ等において
は、暗号処理効率の低下が目立つ状態にあった。そのう
え、暗号処理経過と秘密情報との依存関係を完全に断ち
切ることはできなかった。また、暗号処理効率を優先し
ようとすれば、パワーアナリシスによる攻撃を受け易
く、秘密情報が漏洩する可能性があるという状態にあっ
た。
【００１０】本発明の目的は、パワーアナリシス等によ
り暗号処理経過が漏洩しても、秘密情報自体は漏洩せ
ず、しかも高速に暗号処理を実行できる暗号処理方法及
び装置並びに記憶媒体を提供すること、特に、秘密情報
であるスカラー値から楕円曲線上のスカラー倍点を計算
する計算経過からスカラー値の情報を引き出すことがで
きないスカラー倍計算方法を提供することにある。
【００１１】
【課題を解決するための手段】上記目的を達成するた
め、本発明は、楕円曲線暗号においてスカラー値及び楕
円曲線上の点からスカラー倍点を計算するスカラー倍計
算方法であって、前記スカラー値のビットの値を判定す
るステップと、前記判定を行なったビットの値に依存せ
ずに一定の回数及び一定の順序で楕円曲線上の演算を実
行するステップとを含むことを特徴とする。
【００１２】また本発明は、楕円曲線暗号においてスカ
ラー値及び楕円曲線上の点からスカラー倍点を計算する
スカラー倍計算方法であって、前記スカラー値のビット
の値を判定するステップと、楕円曲線上の加算及び楕円
曲線上の２倍算を、楕円曲線上の加算を実行した後、楕
円曲線上の２倍算を実行するという順序で行なうステッ
プとを含むことを特徴とする。
【００１３】また本発明は、楕円曲線暗号においてスカ
ラー値及び楕円曲線上の点からスカラー倍点を計算する
スカラー倍計算方法であって、前記スカラー値のビット
の値を判定するステップと、楕円曲線上の加算及び楕円
曲線上の２倍算を、楕円曲線上の２倍算を実行した後、
楕円曲線上の加算を実行するという順序で行なうステッ
プとを含むことを特徴とする。
【００１４】また本発明は、楕円曲線暗号においてスカ
ラー値及び楕円曲線上の点からスカラー倍点を計算する
スカラー倍計算方法であって、前記スカラー値のビット
の値を判定するステップと、楕円曲線上の加算及び楕円
曲線上の２倍算を同時に実行するステップとを含むこと
を特徴とする。
【００１５】また本発明は、楕円曲線暗号においてスカ
ラー値及び楕円曲線上の点からスカラー倍点を計算する
スカラー倍計算方法であって、楕円曲線上の加算を実行
するステップと、前記スカラー値のビットの値を判定す
るステップと、楕円曲線上の２倍算を実行するステップ
とを含むことを特徴とする。
【００１６】また本発明は、楕円曲線暗号においてスカ
ラー値及び楕円曲線上の点からスカラー倍点を計算する
スカラー倍計算方法であって、楕円曲線上の加算及び楕
円曲線上の２倍算の計算順序をランダム化するステップ
と、前記スカラー値のビットの値を判定するステップ
と、楕円曲線上の加算及び楕円曲線上の２倍算を、前記
加算及び２倍算の計算順序をランダム化するステップに
よりランダム化された順序で行なうステップとを含むこ
とを特徴とする。
【００１７】また本発明は、楕円曲線暗号においてスカ
ラー値及び楕円曲線上の点からスカラー倍点を計算する
スカラー倍計算方法であって、前記スカラー値のビット
の値を判定するステップと、楕円曲線上の加算及び楕円
曲線上の２倍算の計算順序をランダム化するステップ
と、楕円曲線上の加算及び楕円曲線上の２倍算を、前記
加算及び２倍算の計算順序をランダム化するステップに
よりランダム化された順序で行なうステップとを含むこ
とを特徴とする。
【００１８】また本発明は、第１のデータから第２のデ
ータを生成するデータ生成方法であって、上述のスカラ
ー倍計算方法を用いてスカラー倍を計算するステップを
有することを特徴とする。さらに、データから署名デー
タを生成する署名生成方法であって、上述のスカラー倍
計算方法を用いてスカラー倍を計算するステップを有す
ることを特徴とする。さらに、暗号化されたデータから
復号化されたデータを生成する復号化方法であって、上
述のスカラー倍計算方法を用いてスカラー倍を計算する
ステップを有することを特徴とする。
【００１９】さらに、本発明は、楕円曲線暗号において
スカラー値及び楕円曲線上の点からスカラー倍点を計算
するスカラー倍計算装置であって、前記スカラー値のビ
ットの値を判定するビット値判定手段と、楕円曲線上の
加算を実行する加算演算手段と、楕円曲線上の２倍算を
実行する２倍算演算手段とを具備し、前記ビット値判定
手段により前記スカラー値のビットの値を判定した後、
前記加算演算手段及び２倍算演算手段により楕円曲線上
の加算及び楕円曲線上の２倍算を一定の回数及び一定の
順序で実行し、スカラー倍点を計算することを特徴とす
る。
【００２０】さらに、本発明は、上述のスカラー倍計算
方法に係るプログラムを格納したことを特徴とする記憶
媒体にある。前記楕円曲線としてモンゴメリ型楕円曲線
を用いるとよい。前記楕円曲線として標数２の有限体上
で定義された楕円曲線を用いるとよい。
【００２１】
【発明の実施の形態】以下、本発明の実施の形態を図面
を用いて説明する。
【００２２】図１１は、本発明の実施の形態に係る暗号
処理システムの構成図である。この暗号処理システム１
１０１は、例えばＩＣカード内に設けられ、暗号化（あ
るいは、復号化、署名の作成や検証）の際に、あるメッ
セージ（値）１１０５を入力すると所定の計算を行なっ
てあるメッセージ（値）１１０６を出力する処理を行な
う。暗号処理システム１１０１は、暗号処理部１１０
２、スカラー倍計算部１１０３、及び秘密情報格納部１
１０４を備えている。特に、本実施形態のスカラー倍計
算部１１０３は、スカラー倍計算経過が漏洩しても秘密
情報は漏洩しないものであり、これにより暗号処理シス
テム１１０１は、暗号処理経過が漏洩しても秘密情報は
漏洩しないシステムになっている。
【００２３】図１６は、図１１の暗号処理システムにお
ける処理の流れを示すフローチャートである。図１７
は、図１１の暗号処理システムにおける処理の流れを示
すシーケンス図である。
【００２４】図１６において、暗号処理システム１１０
１は、以下のようにして、与えられたメッセージ１１０
５から暗号処理を行なったメッセージ１１０６を出力す
る。まず、メッセージ１１０５を暗号処理システム１１
０１に入力すると、暗号処理部１１０２がそれを受け取
る（ステップ１６０１）。暗号処理部１１０２は、スカ
ラー倍計算部１１０３に、入力メッセージ１１０５に応
じた楕円曲線上の点を与える（ステップ１６０２）。ス
カラー倍計算部１１０３は、秘密情報格納部１１０４よ
り秘密情報であるスカラー値を受け取る（ステップ１６
０３）。スカラー倍計算部１１０３は、受け取った点と
スカラー値より、スカラー倍点を、スカラー倍計算経過
が漏洩しても秘密情報は漏洩しないスカラー倍計算方法
で計算する（ステップ１６０４）。スカラー倍計算部１
１０３は、計算したスカラー倍点を暗号処理部１１０２
に送る（ステップ１６０５）。暗号処理部１１０２は、
スカラー倍計算部１１０３より受け取ったスカラー倍点
をもとにして暗号処理を行なう（ステップ１６０６）。
その結果を暗号処理を行なったメッセージ１１０６とし
て出力する（ステップ１６０７）。
【００２５】上記処理手順を図１７のシーケンス図を用
いて説明する。まず、暗号処理部１７０１（図１１の１
１０２）の実行する処理について説明する。暗号処理部
１７０１は、入力メッセージを受け取る。暗号処理部１
７０１は、入力メッセージをもとに楕円曲線上の点を選
び、スカラー倍計算部１７０２に楕円曲線上の点を与
え、そしてスカラー倍計算部１７０２からスカラー倍点
を受け取る。暗号処理部１７０１は、受け取ったスカラ
ー倍点を用いて暗号処理を行ない、その結果を出力メッ
セージとして出力する。
【００２６】次にスカラー倍計算部１７０２（図１１の
１１０３）の実行する処理について説明する。スカラー
倍計算部１７０２は、暗号処理部１７０１より楕円曲線
上の点を受け取る。スカラー倍計算部１７０２は、秘密
情報格納部１７０３よりスカラー値を受け取る。スカラ
ー倍計算部１７０２は、受け取った楕円曲線上の点及び
スカラー値から、スカラー倍計算経過が漏洩しても秘密
情報は漏洩しないスカラー倍計算方法により、スカラー
倍点を計算し、暗号処理部１７０１にスカラー倍点を送
る。
【００２７】最後に秘密情報格納部１７０３（図１１の
１１０４）の実行する処理について説明する。秘密情報
格納部１７０３は、スカラー倍計算部１７０２がスカラ
ー倍を計算できるように、スカラー値をスカラー倍計算
部１７０２に送る。
【００２８】スカラー倍計算部１１０３が実行するスカ
ラー倍計算は、スカラー倍計算経過が漏洩しても秘密情
報であるスカラー値に関する情報は漏洩しないものであ
る。そのため、暗号処理部１１０２において、暗号処理
を行なう際に暗号処理経過が漏洩したとしても、秘密情
報であるスカラー値を扱っているのはスカラー倍計算部
１１０３のみであり、秘密情報に関する情報は漏洩しな
い。
【００２９】次に、暗号処理システム１１０１における
スカラー倍計算部１１０３の具体的な実施例を説明す
る。
【００３０】図２は、暗号処理システム１１０１におけ
る秘密情報を用いた暗号処理において、暗号処理経過が
漏洩しても秘密情報は漏洩しないスカラー倍計算方法の
第１実施例を示す図である。図１は、第１実施例のスカ
ラー倍計算方法を示すフローチャートである。図１及び
図２を参照して、第１実施例を説明する。
【００３１】スカラー倍計算装置２０１では、点及びス
カラー値２０７を入力し、以下の手順でスカラー倍２０
８を出力する。ここで入力された点をＰ、入力されたス
カラー値をｄ、出力するスカラー倍の点をｄＰで、それ
ぞれ表すことにする。
【００３２】ステップ１０１として、繰り返し判定部２
０６において繰り返すか否かの判定を行なう為に、初期
値として変数Ｉに１を代入する。ステップ１０２とし
て、２倍算演算部２０４により、点Ｐの２倍点２Ｐを計
算する。ステップ１０３として、スカラー倍計算装置２
０１に入力された点Ｐとステップ１０２で求めた点２Ｐ
を、点格納部２０２に点の組（Ｐ，２Ｐ）として格納す
る。ステップ１０４として、繰り返し判定部２０６によ
り、変数Ｉとスカラー値のビット長とが一致するかどう
かを判定し、一致すればステップ１１３へ行く。一致し
なければステップ１０５へ行く。ステップ１０５とし
て、変数Ｉを１増加させる。ステップ１０６として、ビ
ット値判定部２０５により、スカラー値のＩ番目のビッ
トの値が０であるか１であるかを判定する。そのビット
の値が０であればステップ１０７へ行く。そのビットの
値が１であればステップ１１０へ行く。
【００３３】ステップ１０７として、加算演算部２０３
により、点格納部２０２に格納されている点の組（ｍ
Ｐ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの加算
ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐを計算
する。その後ステップ１０８へ行く。ステップ１０８と
して、２倍算演算部２０４により、点格納部２０２に格
納されている点の組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰ
の２倍算２（ｍＰ）を行ない、点２ｍＰを計算する。そ
の後ステップ１０９へ行く。ステップ１０９として、ス
テップ１０８で求めた点２ｍＰとステップ１０７で求め
た点（２ｍ＋１）Ｐを点格納部２０２に点の組（２ｍ
Ｐ，（２ｍ＋１）Ｐ）として、点の組（ｍＰ，（ｍ＋
１）Ｐ）の代わりに格納する。その後ステップ１０４へ
戻る。
【００３４】ステップ１１０として、加算演算部２０３
により、点格納部２０２に格納されている点の組（ｍ
Ｐ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの加算
ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐを計算
する。その後ステップ１１１へ行く。ステップ１１１と
して、２倍算演算部２０４により、点格納部２０２に格
納されている点の組（ｍＰ，（ｍ＋１）Ｐ）から点（ｍ
＋１）Ｐの２倍算２（（ｍ＋１）Ｐ）を行ない、点（２
ｍ＋２）Ｐを計算する。その後ステップ１１２へ行く。
ステップ１１２として、ステップ１１０で求めた点（２
ｍ＋１）Ｐとステップ１１１で求めた点（２ｍ＋２）Ｐ
を点格納部２０２に点の組（（２ｍ＋１）Ｐ，（２ｍ＋
２）Ｐ）として、点の組（ｍＰ，（ｍ＋１）Ｐ）の代わ
りに格納する。その後ステップ１０４へ戻る。
【００３５】ステップ１１３として、点格納部２０２に
格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）から、点
ｍＰをスカラー倍２０８として出力し、終了する。
【００３６】以上の手順により出力する値である点ｍＰ
が点Ｐのスカラー値ｄによるスカラー倍の点ｄＰとなる
ことは、計算過程において格納されている点の組（ｍ
Ｐ，（ｍ＋１）Ｐ）の点ｍＰに対するスカラー値ｍが、
スカラー値ｄにおける先頭Ｉビットのビット列と一致す
ることと、ステップ１０４においてステップ１１３へ行
くと判定されるためには、Ｉとスカラー値ｄのビット長
が等しいことが必要であり、そのためスカラー値ｍとス
カラー値ｄが一致することにより示される。
【００３７】また、以上の手順によりスカラー倍計算経
過が漏洩しても秘密情報であるスカラー値に関する情報
が漏洩しないことの根拠は以下の通りである。計算経過
からスカラー値に関する情報を得る為には、少なくと
も、各々のスカラー値に対する計算経過の間に違いが存
在しなければならない。まず、あるスカラー値と、その
スカラー値との間に特定のビットのみが異なるスカラー
値とについて考える。特定ビットが異なるので、計算経
過において特定の回数だけ繰り返した後のステップ１０
６でのビット値の判定の後、ステップ１０７へ行くかス
テップ１１０へ行くかの違いが生じる。しかしながら、
ステップ１０７へ行ってもステップ１１０へ行っても、
共にその後で加算を行ない、次に２倍算を行ない、そし
てその結果を点の組として格納するという手順をとり、
ステップ１０４へと戻る為、計算経過としての差異は存
在しない。したがって同一の計算経過をとるためスカラ
ー値の情報は引き出すことはできない。
【００３８】次に固定したビット長のスカラー値につい
て考える。二つのビット長の同じスカラー値はいくつか
のビットの値が異なる。値の異なるビットの数をｋと
し、与えられた２つのスカラー値をそれぞれｄ０及びｄ
ｋとする。スカラー値ｄ０とスカラー値ｄｋの間でビッ
トの値が異なる最初のビットに対して、その値がｄｋの
対応するビットの値と等しく、その他のビットの値がｄ
０の対応するビットの値と等しいようなスカラー値をｄ
１とする。スカラー値ｄ０とスカラー値ｄ１は１ビット
のみ値が異なる。次にスカラー値ｄ１とスカラー値ｄｋ
の間でビットの値が異なる最初のビットに対して、その
値がｄｋの対応するビットの値と等しく、その他のビッ
トの値がｄ１の対応するビットの値と等しいようなスカ
ラー値をｄ ２とする。スカラー値ｄ１とスカラー値ｄ２
は１ビットのみ値が異なる。以下同様にしてスカラー値
ｄｋ−１まで定める。スカラー値ｄ０とスカラー値ｄｋ
はｋビットの値が異なるので、スカラー値ｄｋ−１とス
カラー値ｄｋは１ビットのみ値が異なる。したがって下
付き指数の値が１だけ異なるスカラー値同士は１ビット
のみ値が異なる。上述したように、１ビットのみ値の異
なるスカラー値同士においてはそれらの計算経過は同一
となる。スカラー値ｄ０からスカラー値ｄｋまで１ビッ
トのみ値の異なるスカラー値の連鎖が存在するので、ス
カラー値ｄ０とスカラー値ｄｋの計算経過は同一とな
る。ゆえに計算経過によりスカラー値の情報を引き出す
ことはできない。
【００３９】また、楕円曲線としてモンゴメリ型楕円曲
線を用いると、加算及び２倍算が高速に実行可能であ
り、通常用いる標準型楕円曲線よりも高速にスカラー倍
計算が実行可能である。
【００４０】標数２の有限体上で定義された楕円曲線に
対しても、高速な加算及び２倍算の計算方法が知られて
おり、上記手順において加算及び２倍算の計算にその計
算方法を用いることにより、標数２の有限体上で定義さ
れた楕円曲線の通常のスカラー倍計算と比べて、高速に
スカラー倍計算が実行可能である。
【００４１】図５は、図１１の暗号処理システム１１０
１における秘密情報を用いた暗号処理において、暗号処
理経過が漏洩しても秘密情報は漏洩しないスカラー倍計
算方法の第２実施例を示す図である。図４は、第２実施
例のスカラー倍計算方法を示すフローチャートである。
図４及び図５を参照して、第２実施例を説明する。
【００４２】スカラー倍計算装置５０１では、点及びス
カラー値５０７を入力し、以下の手順でスカラー倍５０
８を出力する。ステップ４０１として、繰り返し判定部
５０６において繰り返すか否かの判定を行なう為に、初
期値として変数Ｉに１を代入する。ステップ４０２とし
て、２倍算演算部５０４により、点Ｐの２倍点２Ｐを計
算する。ステップ４０３として、スカラー倍計算装置５
０１に入力された点Ｐとステップ４０２で求めた点２Ｐ
を、点格納部５０２に点の組（Ｐ，２Ｐ）として格納す
る。ステップ４０４として、繰り返し判定部５０６によ
り、変数Ｉとスカラー値のビット長とが一致するかどう
かを判定し、一致すればステップ４１３へ行く。一致し
なければステップ４０５へ行く。ステップ４０５とし
て、変数Ｉを１増加させる。ステップ４０６として、ビ
ット値判定部５０５により、スカラー値のＩ番目のビッ
トの値が０であるか１であるかを判定する。そのビット
の値が０であればステップ４０７へ行く。そのビットの
値が１であればステップ４１０へ行く。
【００４３】ステップ４０７として、２倍算演算部５０
４により、点格納部５０２に格納されている点の組（ｍ
Ｐ，（ｍ＋１）Ｐ）から点ｍＰの２倍算２（ｍＰ）を行
ない、点２ｍＰを計算する。その後ステップ４０８へ行
く。ステップ４０８として、加算演算部５０３により、
点格納部５０２に格納されている点の組（ｍＰ，（ｍ＋
１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの加算ｍＰ＋（ｍ
＋１）Ｐを行ない、点（２ｍ＋１）Ｐを計算する。その
後ステップ４０９へ行く。ステップ４０９として、ステ
ップ４０７で求めた点２ｍＰとステップ４０８で求めた
点（２ｍ＋１）Ｐを点格納部５０２に点の組（２ｍＰ，
（２ｍ＋１）Ｐ）として、点の組（ｍＰ，（ｍ＋１）
Ｐ）の代わりに格納する。その後ステップ４０４へ戻
る。
【００４４】ステップ４１０として、２倍算演算部５０
４により、点格納部５０２に格納されている点の組（ｍ
Ｐ，（ｍ＋１）Ｐ）から点（ｍ＋１）Ｐの２倍算２
（（ｍ＋１）Ｐ）を行ない、点（２ｍ＋２）Ｐを計算す
る。その後ステップ４１１へ行く。ステップ４１１とし
て、加算演算部５０３により、点格納部５０２に格納さ
れている点の組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点
（ｍ＋１）Ｐの加算ｍＰ＋（ｍ＋１）Ｐを行ない、点
（２ｍ＋１）Ｐを計算する。その後ステップ４１２へ行
く。ステップ４１２として、ステップ４１１で求めた点
（２ｍ＋１）Ｐとステップ４１０で求めた点（２ｍ＋
２）Ｐを点格納部５０２に点の組（（２ｍ＋１）Ｐ，
（２ｍ＋２）Ｐ）として、点の組（ｍＰ，（ｍ＋１）
Ｐ）の代わりに格納する。その後ステップ４０４へ戻
る。
【００４５】ステップ４１３として、点格納部５０２に
格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）から、点
ｍＰをスカラー倍５０８として出力し、終了する。
【００４６】以上の手順により出力する値である点ｍＰ
が点Ｐのスカラー値ｄによるスカラー倍の点ｄＰとなる
ことは、第１実施例の場合と同様に示すことができる。
【００４７】また、以上の手順によりスカラー倍計算経
過が漏洩しても秘密情報であるスカラー値に関する情報
が漏洩しないことの根拠は以下の通りである。ある特定
のビットのみ値が異なる二つのスカラー値に対して、そ
れらの計算経過が同一であることを示せば、他の部分は
第一実施例における根拠と同様であるので、スカラー倍
計算経過が漏洩しても秘密情報であるスカラー値に関す
る情報が漏洩しないことが示される。したがって、ある
特定のビットのみ値が異なる二つのスカラー値について
考える。ある特定のビットの値のみが異なるので、計算
経過において特定の回数だけ繰り返した後のステップ４
０６でのビット値の判定の後、ステップ４０７へ行くか
ステップ４１０へ行くかの違いが生じる。しかしながら
ステップ４０７へ行ってもステップ４１０へ行っても、
共にその後で２倍算を行ない、次に加算を行ない、そし
てその結果を点の組として格納するという手順をとり、
ステップ４０４へと戻る為、計算経過としての差異は存
在しない。ゆえにスカラー倍計算経過によりスカラー値
の情報を引き出すことはできない。
【００４８】また、楕円曲線としてモンゴメリ型楕円曲
線を用いると、標準型楕円曲線よりも高速にスカラー倍
計算が実行可能であることも、第１実施例と同様であ
る。
【００４９】標数２の有限体上で定義された楕円曲線に
対しても、上記手順において加算及び２倍算の計算に高
速な加算及び２倍算の計算方法を用いることにより、標
数２の有限体上で定義された楕円曲線の通常のスカラー
倍計算と比べて、高速にスカラー倍計算が実行可能であ
ることも、第１実施例と同様である。
【００５０】図７は、図１１の暗号処理システム１１０
１における秘密情報を用いた暗号処理において、暗号処
理経過が漏洩しても秘密情報は漏洩しないスカラー倍計
算方法の第３実施例を示す図である。図６は、第３実施
例のスカラー倍計算方法を示すフローチャートである。
図６及び図７を参照して、第３実施例を説明する。
【００５１】スカラー倍計算装置７０１では、点及びス
カラー値７０７を入力し、以下の手順でスカラー倍７０
８を出力する。ステップ６０１として、繰り返し判定部
７０６において繰り返すか否かの判定を行なう為に、初
期値として変数Ｉに１を代入する。ステップ６０２とし
て、２倍算演算部７０４により、点Ｐの２倍点２Ｐを計
算する。ステップ６０３として、スカラー倍計算装置７
０１に入力された点Ｐとステップ６０２で求めた点２Ｐ
を、点格納部７０２に点の組（Ｐ，２Ｐ）として格納す
る。ステップ６０４として、繰り返し判定部７０６によ
り、変数Ｉとスカラー値のビット長とが一致するかどう
かを判定し、一致すればステップ６１３へ行く。一致し
なければステップ６０５へ行く。ステップ６０５とし
て、変数Ｉを１増加させる。ステップ６０６として、ビ
ット値判定部７０５により、スカラー値のＩ番目のビッ
トの値が０であるか１であるかを判定する。そのビット
の値が０であればステップ６０７へ行く。そのビットの
値が１であればステップ６１０へ行く。
【００５２】ステップ６０７として、加算及び２倍算演
算部７０３により、点格納部７０２に格納されている点
の組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）
Ｐの加算ｍＰ＋（ｍ＋１）Ｐ及び点ｍＰの２倍算２（ｍ
Ｐ）を同時に行ない、点（２ｍ＋１）Ｐ及び点２ｍＰを
計算する。その後ステップ６０９へ行く。ステップ６０
９として、ステップ６０７で求めた点２ｍＰと点（２ｍ
＋１）Ｐを点格納部７０２に点の組（２ｍＰ，（２ｍ＋
１）Ｐ）として、点の組（ｍＰ，（ｍ＋１）Ｐ）の代わ
りに格納する。その後ステップ６０４へ戻る。
【００５３】ステップ６１０として、加算及び２倍算演
算部７０３により、点格納部７０２に格納されている点
の組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）
Ｐの加算ｍＰ＋（ｍ＋１）Ｐ及び点（ｍ＋１）Ｐの２倍
算２（（ｍ＋１）Ｐ）を同時に行ない、点（２ｍ＋１）
Ｐ及び点（２ｍ＋２）Ｐを計算する。その後ステップ６
１２へ行く。ステップ６１２として、ステップ６１０で
求めた点（２ｍ＋１）Ｐと点（２ｍ＋２）Ｐを点格納部
７０２に点の組（（２ｍ＋１）Ｐ，（２ｍ＋２）Ｐ）と
して、点の組（ｍＰ，（ｍ＋１）Ｐ）の代わりに格納す
る。その後ステップ６０４へ戻る。
【００５４】ステップ６１３として、点格納部７０２に
格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）から、点
ｍＰをスカラー倍７０８として出力し、終了する。
【００５５】以上の手順により出力する値である点ｍＰ
が点Ｐのスカラー値ｄによるスカラー倍の点ｄＰとなる
ことは、第１実施例の場合と同様に示すことができる。
【００５６】また、以上の手順によりスカラー倍計算経
過が漏洩しても秘密情報であるスカラー値に関する情報
が漏洩しないことの根拠は以下の通りである。ある特定
のビットのみ値が異なる二つのスカラー値に対して、そ
れらの計算経過が同一であることを示せば、他の部分は
第一実施例における根拠と同様であるので、スカラー倍
計算経過が漏洩しても秘密情報であるスカラー値に関す
る情報が漏洩しないことが示される。したがって、ある
特定のビットのみ値が異なる二つのスカラー値について
考える。ある特定のビットの値のみが異なるので、計算
経過において特定の回数だけ繰り返した後のステップ６
０６でのビット値の判定の後、ステップ６０７へ行くか
ステップ６１０へ行くかの違いが生じる。しかしながら
ステップ６０７へ行ってもステップ６１０へ行っても、
共にその後で加算及び２倍算を同時に行ない、そしてそ
れらの結果を点の組として格納するという手順をとり、
ステップ６０４へと戻る為、計算経過としての差異は存
在しない。ゆえにスカラー倍計算経過によりスカラー値
の情報を引き出すことはできない。
【００５７】また、楕円曲線としてモンゴメリ型楕円曲
線を用いると、標準型楕円曲線よりも高速にスカラー倍
計算が実行可能であることも、第１実施例と同様であ
る。
【００５８】標数２の有限体上で定義された楕円曲線に
対しても、上記手順において加算及び２倍算の計算に高
速な加算及び２倍算の計算方法を用いることにより、標
数２の有限体上で定義された楕円曲線の通常のスカラー
倍計算と比べて、高速にスカラー倍計算が実行可能であ
ることも、第１実施例と同様である。
【００５９】図９は、図１１の暗号処理システム１１０
１における秘密情報を用いた暗号処理において、暗号処
理経過が漏洩しても秘密情報は漏洩しないスカラー倍計
算方法の第４実施例を示す図である。図８は、第４実施
例のスカラー倍計算方法を示すフローチャートである。
図８及び図９を参照して、第４実施例を説明する。
【００６０】スカラー倍計算装置９０１では、点及びス
カラー値９０７を入力し、以下の手順でスカラー倍９０
８を出力する。ステップ８０１として、繰り返し判定部
９０６において繰り返すか否かの判定を行なう為に、初
期値として変数Ｉに１を代入する。ステップ８０２とし
て、２倍算演算部９０４により、点Ｐの２倍点２Ｐを計
算する。ステップ８０３として、スカラー倍計算装置９
０１に入力された点Ｐとステップ８０２で求めた点２Ｐ
を、点格納部９０２に点の組（Ｐ，２Ｐ）として格納す
る。ステップ８０４として、繰り返し判定部９０６によ
り、変数Ｉとスカラー値のビット長とが一致するかどう
かを判定し、一致すればステップ８１３へ行く。一致し
なければステップ８０５へ行く。ステップ８０５とし
て、変数Ｉを１だけ増加させる。ステップ８０６とし
て、加算演算部９０３により、点格納部９０２に格納さ
れている点の組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点
（ｍ＋１）Ｐの加算ｍＰ＋（ｍ＋１）Ｐを行ない、点
（２ｍ＋１）Ｐを計算する。ステップ８０７として、ビ
ット値判定部９０５により、スカラー値のＩ番目のビッ
トの値が０であるか１であるかを判定する。そのビット
の値が０であればステップ８０８へ行く。そのビットの
値が１であればステップ８１１へ行く。
【００６１】ステップ８０８として、２倍算演算部９０
４により、点格納部９０２に格納されている点の組（ｍ
Ｐ，（ｍ＋１）Ｐ）から点ｍＰの２倍算２（ｍＰ）を行
ない、点２ｍＰを計算する。その後ステップ８０９へ行
く。ステップ８０９として、ステップ８０８で求めた点
２ｍＰとステップ８０６で求めた点（２ｍ＋１）Ｐを点
格納部９０２に点の組（２ｍＰ，（２ｍ＋１）Ｐ）とし
て、点の組（ｍＰ，（ｍ＋１）Ｐ）の代わりに格納す
る。その後ステップ８０４へ戻る。ステップ８１１とし
て、２倍算演算部９０４により、点格納部９０２に格納
されている点の組（ｍＰ，（ｍ＋１）Ｐ）から点（ｍ＋
１）Ｐの２倍算２（（ｍ＋１）Ｐ）を行ない、点（２ｍ
＋２）Ｐを計算する。その後ステップ８１２へ行く。ス
テップ８１２として、ステップ８０６で求めた点（２ｍ
＋１）Ｐとステップ８１１で求めた点（２ｍ＋２）Ｐを
点格納部９０２に点の組（（２ｍ＋１）Ｐ，（２ｍ＋
２）Ｐ）として、点の組（ｍＰ，（ｍ＋１）Ｐ）の代わ
りに格納する。その後ステップ８０４へ戻る。
【００６２】ステップ８１３として、点格納部９０２に
格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）から、点
ｍＰをスカラー倍９０８として出力し、終了する。
【００６３】以上の手順により出力する値である点ｍＰ
が点Ｐのスカラー値ｄによるスカラー倍の点ｄＰとなる
ことは、第１実施例の場合と同様に示すことができる。
【００６４】また、以上の手順によりスカラー倍計算経
過が漏洩しても秘密情報であるスカラー値に関する情報
が漏洩しないことの根拠は以下の通りである。ある特定
のビットのみ値が異なる二つのスカラー値に対して、そ
れらの計算経過が同一であることを示せば、他の部分は
第一実施例における根拠と同様であるので、スカラー倍
計算経過が漏洩しても秘密情報であるスカラー値に関す
る情報が漏洩しないことが示される。したがって、ある
特定のビットのみ値が異なる二つのスカラー値について
考える。ある特定のビットの値のみが異なるので、計算
経過において特定の回数だけ繰り返した後のステップ８
０７でのビット値の判定の後、ステップ８０８へ行くか
ステップ８１１へ行くかの違いが生じる。しかしながら
ステップ８０８へ行ってもステップ８１１へ行っても、
共にその後で２倍算を行ない、そしてその結果を加算の
結果とともに点の組として格納するという手順をとり、
ステップ８０４へと戻る為、計算経過としての差異は存
在しない。ゆえにスカラー倍計算経過によりスカラー値
の情報を引き出すことはできない。
【００６５】また、楕円曲線としてモンゴメリ型楕円曲
線を用いると、標準型楕円曲線よりも高速にスカラー倍
計算が実行可能であることも、第１実施例と同様であ
る。
【００６６】標数２の有限体上で定義された楕円曲線に
対しても、上記手順において加算及び２倍算の計算に高
速な加算及び２倍算の計算方法を用いることにより、標
数２の有限体上で定義された楕円曲線の通常のスカラー
倍計算と比べて、高速にスカラー倍計算が実行可能であ
ることも、第１実施例と同様である。
【００６７】図１５は、図１１の暗号処理システム１１
０１における秘密情報を用いた暗号処理において、暗号
処理経過が漏洩しても秘密情報は漏洩しないスカラー倍
計算方法の第５実施例を示す図である。図１２、図１３
及び図１４は、第５実施例のスカラー倍計算方法を示す
フローチャートである。図１２〜図１５を参照して、第
５実施例を説明する。
【００６８】スカラー倍計算装置１５０１では、点及び
スカラー値１５０７を入力し、以下の手順でスカラー倍
１５０８を出力する。ステップ１２０１として、繰り返
し判定部１５０６において繰り返すか否かの判定を行な
う為に、初期値として変数Ｉに１を代入する。ステップ
１２０２として、２倍算演算部１５０４により、点Ｐの
２倍点２Ｐを計算する。ステップ１２０３として、スカ
ラー倍計算装置１５０１に入力された点Ｐとステップ１
２０２で求めた点２Ｐを、点格納部１５０２に点の組
（Ｐ，２Ｐ）として格納する。ステップ１２０４とし
て、繰り返し判定部１５０６により、変数Ｉとスカラー
値のビット長とが一致するかどうかを判定し、一致すれ
ばステップ１２１３へ行く。一致しなければステップ１
２０５へ行く。ステップ１２０５として、変数Ｉを１増
加させる。ステップ１２０６として、演算ランダム化部
１５０９により、加算及び２倍算の計算順序をランダム
化する。加算、２倍算の順序で計算を実行する場合はス
テップ１３０１へ行く。２倍算、加算の順序で計算を実
行する場合はステップ１４０１へ行く。
【００６９】ステップ１３０１として、ビット値判定部
１５０５により、スカラー値のＩ番目のビットの値が０
であるか１であるかを判定する。そのビットの値が０で
あればステップ１３０２へ行く。そのビットの値が１で
あればステップ１３０５へ行く。
【００７０】ステップ１３０２として、加算演算部１５
０３により、点格納部１５０２に格納されている点の組
（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの
加算ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐを
計算する。その後ステップ１３０３へ行く。ステップ１
３０３として、２倍算演算部１５０４により、点格納部
１５０２に格納されている点の組（ｍＰ，（ｍ＋１）
Ｐ）から点ｍＰの２倍算２（ｍＰ）を行ない、点２ｍＰ
を計算する。その後ステップ１３０４へ行く。ステップ
１３０４として、ステップ１３０３で求めた点２ｍＰと
ステップ１３０２で求めた点（２ｍ＋１）Ｐを点格納部
１５０２に点の組（２ｍＰ，（２ｍ＋１）Ｐ）として、
点の組（ｍＰ，（ｍ＋１）Ｐ）の代わりに格納する。そ
の後ステップ１２０４へ戻る。
【００７１】ステップ１３０５として、加算演算部１５
０３により、点格納部１５０２に格納されている点の組
（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの
加算ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐを
計算する。その後ステップ１３０６へ行く。ステップ１
３０６として、２倍算演算部１５０４により、点格納部
１５０２に格納されている点の組（ｍＰ，（ｍ＋１）
Ｐ）から点（ｍ＋１）Ｐの２倍算２（（ｍ＋１）Ｐ）を
行ない、点（２ｍ＋２）Ｐを計算する。その後ステップ
１３０７へ行く。ステップ１３０７として、ステップ１
３０５で求めた点（２ｍ＋１）Ｐとステップ１３０６で
求めた点（２ｍ＋２）Ｐを点格納部１５０２に点の組
（（２ｍ＋１）Ｐ，（２ｍ＋２）Ｐ）として、点の組
（ｍＰ，（ｍ＋１）Ｐ）の代わりに格納する。その後ス
テップ１２０４へ戻る。
【００７２】ステップ１４０１として、ビット値判定部
１５０５により、スカラー値のＩ番目のビットの値が０
であるか１であるかを判定する。そのビットの値が０で
あればステップ１４０２へ行く。そのビットの値が１で
あればステップ１４０５へ行く。
【００７３】ステップ１４０２として、２倍算演算部１
５０４により、点格納部１５０２に格納されている点の
組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰの２倍算２（ｍ
Ｐ）を行ない、点２ｍＰを計算する。その後ステップ１
４０３へ行く。ステップ１４０３として、加算演算部１
５０３により、点格納部１５０２に格納されている点の
組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐ
の加算ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐ
を計算する。その後ステップ１４０４へ行く。ステップ
１４０４として、ステップ１４０２で求めた点２ｍＰと
ステップ１４０３で求めた点（２ｍ＋１）Ｐを点格納部
１５０２に点の組（２ｍＰ，（２ｍ＋１）Ｐ）として、
点の組（ｍＰ，（ｍ＋１）Ｐ）の代わりに格納する。そ
の後ステップ１２０４へ戻る。
【００７４】ステップ１４０５として、２倍算演算部１
５０４により、点格納部１５０２に格納されている点の
組（ｍＰ，（ｍ＋１）Ｐ）から点（ｍ＋１）Ｐの２倍算
２（（ｍ＋１）Ｐ）を行ない、点（２ｍ＋２）Ｐを計算
する。その後ステップ１４０６へ行く。ステップ１４０
６として、加算演算部１５０３により、点格納部１５０
２に格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）から
点ｍＰと点（ｍ＋１）Ｐの加算ｍＰ＋（ｍ＋１）Ｐを行
ない、点（２ｍ＋１）Ｐを計算する。その後ステップ１
４０７へ行く。ステップ１４０７として、ステップ１４
０６で求めた点（２ｍ＋１）Ｐとステップ１４０５で求
めた点（２ｍ＋２）Ｐを点格納部１５０２に点の組
（（２ｍ＋１）Ｐ，（２ｍ＋２）Ｐ）として、点の組
（ｍＰ，（ｍ＋１）Ｐ）の代わりに格納する。その後ス
テップ１２０４へ戻る。
【００７５】ステップ１２１３として、点格納部１５０
２に格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）か
ら、点ｍＰをスカラー倍１５０８として出力し、終了す
る。
【００７６】以上の手順により出力する値である点ｍＰ
が点Ｐのスカラー値ｄによるスカラー倍の点ｄＰとなる
ことは、第１実施例の場合と同様に示すことができる。
【００７７】また、楕円曲線としてモンゴメリ型楕円曲
線を用いると、加算及び２倍算が高速に実行可能であ
り、通常用いる標準型楕円曲線よりも高速にスカラー倍
計算が実行可能である。
【００７８】標数２の有限体上で定義された楕円曲線に
対しても、上記手順において加算及び２倍算の計算に高
速な加算及び２倍算の計算方法を用いることにより、標
数２の有限体上で定義された楕円曲線の通常のスカラー
倍計算と比べて、高速にスカラー倍計算が実行可能であ
る。
【００７９】図２５は、図１１の暗号処理システム１１
０１における秘密情報を用いた暗号処理において、暗号
処理経過が漏洩しても秘密情報は漏洩しないスカラー倍
計算方法の第６実施例を示す図である。図２２、図２３
及び図２４は、第６実施例のスカラー倍計算方法を示す
フローチャートである。図２２〜図２５を参照して、第
６実施例を説明する。
【００８０】スカラー倍計算装置２５０１では、点及び
スカラー値２５０７を入力し、以下の手順でスカラー倍
２５０８を出力する。ステップ２２０１として、繰り返
し判定部２５０６において繰り返すか否かの判定を行な
う為に、初期値として変数Ｉに１を代入する。ステップ
２２０２として、２倍算演算部２５０４により、点Ｐの
２倍点２Ｐを計算する。ステップ２２０３として、スカ
ラー倍計算装置２５０１に入力された点Ｐとステップ２
２０２で求めた点２Ｐを、点格納部２５０２に点の組
（Ｐ，２Ｐ）として格納する。
【００８１】ステップ２２０４として、繰り返し判定部
２５０６により、変数Ｉとスカラー値のビット長とが一
致するかどうかを判定し、一致すればステップ２２１３
へ行く。一致しなければステップ２２０５へ行く。ステ
ップ２２０５として、変数Ｉを１増加させる。ステップ
２２０６として、ビット値判定部２５０５により、スカ
ラー値のＩ番目のビットの値が０であるか１であるかを
判定する。そのビットの値が０であればステップ２４０
１へ行く。そのビットの値が１であればステップ２３０
１へ行く。
【００８２】ステップ２３０１として、演算ランダム化
部２５０９により、加算及び２倍算の計算順序をランダ
ム化する。加算、２倍算の順序で計算を実行する場合は
ステップ２３０５へ行く。２倍算、加算の順序で計算を
実行する場合はステップ２３０２へ行く。
【００８３】ステップ２３０２として、２倍算演算部２
５０４により、点格納部２５０２に格納されている点の
組（ｍＰ，（ｍ＋１）Ｐ）から点（ｍ＋１）Ｐの２倍算
２（（ｍ＋１）Ｐ）を行ない、点（２ｍ＋２）Ｐを計算
する。その後ステップ２３０３へ行く。ステップ２３０
３として、加算演算部２５０３により、点格納部２５０
２に格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）から
点ｍＰと点（ｍ＋１）Ｐの加算ｍＰ＋（ｍ＋１）Ｐを行
ない、点（２ｍ＋１）Ｐを計算する。その後ステップ２
３０４へ行く。
【００８４】ステップ２３０５として、加算演算部２５
０３により、点格納部２５０２に格納されている点の組
（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの
加算ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐを
計算する。その後ステップ２３０６へ行く。ステップ２
３０６として、２倍算演算部２５０４により、点格納部
２５０２に格納されている点の組（ｍＰ，（ｍ＋１）
Ｐ）から点（ｍ＋１）Ｐの２倍算２（（ｍ＋１）Ｐ）を
行ない、点（２ｍ＋２）Ｐを計算する。その後ステップ
２３０４へ行く。
【００８５】ステップ２３０４として、ステップ２３０
３乃至はステップ２３０５で求めた点（２ｍ＋１）Ｐと
ステップ２３０２乃至はステップ２３０６で求めた点
（２ｍ＋２）Ｐを点格納部２５０２に点の組（（２ｍ＋
１）Ｐ，（２ｍ＋２）Ｐ）として、点の組（ｍＰ，（ｍ
＋１）Ｐ）の代わりに格納する。その後ステップ２２０
４へ戻る。
【００８６】ステップ２４０１として、演算ランダム化
部２５０９により、加算及び２倍算の計算順序をランダ
ム化する。加算、２倍算の順序で計算を実行する場合は
ステップ２４０５へ行く。２倍算、加算の順序で計算を
実行する場合はステップ２４０２へ行く。
【００８７】ステップ２４０２として、２倍算演算部２
５０４により、点格納部２５０２に格納されている点の
組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰの２倍算２（ｍ
Ｐ）を行ない、点２ｍＰを計算する。その後ステップ２
４０３へ行く。ステップ２４０３として、加算演算部２
５０３により、点格納部２５０２に格納されている点の
組（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐ
の加算ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐ
を計算する。その後ステップ２４０４へ行く。
【００８８】ステップ２４０５として、加算演算部２５
０３により、点格納部２５０２に格納されている点の組
（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの
加算ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐを
計算する。その後ステップ２４０６へ行く。ステップ２
４０６として、２倍算演算部２５０４により、点格納部
２５０２に格納されている点の組（ｍＰ，（ｍ＋１）
Ｐ）から点ｍＰの２倍算２（ｍＰ）を行ない、点２ｍＰ
を計算する。その後ステップ２４０４へ行く。
【００８９】ステップ２４０４として、ステップ２４０
２乃至はステップ２４０６で求めた点２ｍＰとステップ
２４０３乃至はステップ２４０５で求めた点（２ｍ＋
１）Ｐを点格納部２５０２に点の組（２ｍＰ，（２ｍ＋
１）Ｐ）として、点の組（ｍＰ，（ｍ＋１）Ｐ）の代わ
りに格納する。その後ステップ２２０４へ戻る。
【００９０】ステップ２２１３として、点格納部２５０
２に格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）か
ら、点ｍＰをスカラー倍２５０８として出力し、終了す
る。
【００９１】以上の手順により出力する値である点ｍＰ
が点Ｐのスカラー値ｄによるスカラー倍の点ｄＰとなる
ことは、第１実施例の場合と同様に示すことができる。
【００９２】また、楕円曲線としてモンゴメリ型楕円曲
線を用いると、加算及び２倍算が高速に実行可能であ
り、通常用いる標準型楕円曲線よりも高速にスカラー倍
計算が実行可能である。
【００９３】標数２の有限体上で定義された楕円曲線に
対しても、上記手順において加算及び２倍算の計算に高
速な加算及び２倍算の計算方法を用いることにより、標
数２の有限体上で定義された楕円曲線の通常のスカラー
倍計算と比べて、高速にスカラー倍計算が実行可能であ
る。
【００９４】図２７は、図１１の暗号処理システム１１
０１における秘密情報を用いた暗号処理において、暗号
処理経過が漏洩しても秘密情報は漏洩しないスカラー倍
計算方法の第７実施例を示す図である。図２６は、第７
実施例のスカラー倍計算方法を示すフローチャートであ
る。図２６及び図２７を参照して、第７実施例を説明す
る。
【００９５】スカラー倍計算装置２７０１では、点及び
スカラー値２７０７を入力し、以下の手順でスカラー倍
２７０８を出力する。ステップ２６０１として、繰り返
し判定部２７０６において繰り返すか否かの判定を行な
う為に、初期値として変数Ｉに１を代入する。ステップ
２６１４として、ランダム化射影座標変換部２７０９に
より、乱数ｋを生成する。ステップ２６１５として、ラ
ンダム化射影座標変換部２７０９により、ステップ２６
１４で生成したｋを用いて、点Ｐを射影座標において、
Ｐ＝（ｋｘ，ｋｙ，ｋ）と表す。ここで点Ｐは、アフィ
ン座標では、Ｐ＝（ｘ，ｙ）と表されるとする。ステッ
プ２６０２として、２倍算演算部２７０４により、ステ
ップ２６１５で（ｋｘ，ｋｙ，ｋ）と表された点Ｐの２
倍点２Ｐを計算する。ステップ２６０３として、スカラ
ー倍計算装置２７０１に入力され、ステップ２６１５で
（ｋｘ，ｋｙ，ｋ）と表された点Ｐと、ステップ２６０
２で求めた点２Ｐを、点格納部２７０２に点の組（Ｐ，
２Ｐ）として格納する。
【００９６】ステップ２６０４として、繰り返し判定部
２７０６により、変数Ｉとスカラー値のビット長とが一
致するかどうかを判定し、一致すればステップ２６１３
へ行く。一致しなければステップ２６０５へ行く。ステ
ップ２６０５として、変数Ｉを１増加させる。ステップ
２６０６として、ビット値判定部２７０５により、スカ
ラー値のＩ番目のビットの値が０であるか１であるかを
判定する。そのビットの値が０であればステップ２６０
７へ行く。そのビットの値が１であればステップ２６１
０へ行く。
【００９７】ステップ２６０７として、加算演算部２７
０３により、点格納部２７０２に格納されている点の組
（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの
加算ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐを
計算する。その後ステップ２６０８へ行く。ステップ２
６０８として、２倍算演算部２７０４により、点格納部
２７０２に格納されている点の組（ｍＰ，（ｍ＋１）
Ｐ）から点ｍＰの２倍算２（ｍＰ）を行ない、点２ｍＰ
を計算する。その後ステップ２６０９へ行く。ステップ
２６０９として、ステップ２６０８で求めた点２ｍＰと
ステップ２６０７で求めた点（２ｍ＋１）Ｐを点格納部
２７０２に点の組（２ｍＰ，（２ｍ＋１）Ｐ）として、
点の組（ｍＰ，（ｍ＋１）Ｐ）の代わりに格納する。そ
の後ステップ２６０４へ戻る。
【００９８】ステップ２６１０として、加算演算部２７
０３により、点格納部２７０２に格納されている点の組
（ｍＰ，（ｍ＋１）Ｐ）から点ｍＰと点（ｍ＋１）Ｐの
加算ｍＰ＋（ｍ＋１）Ｐを行ない、点（２ｍ＋１）Ｐを
計算する。その後ステップ２６１１へ行く。ステップ２
６１１として、２倍算演算部２７０４により、点格納部
２７０２に格納されている点の組（ｍＰ，（ｍ＋１）
Ｐ）から点（ｍ＋１）Ｐの２倍算２（（ｍ＋１）Ｐ）を
行ない、点（２ｍ＋２）Ｐを計算する。その後ステップ
２６１２へ行く。ステップ２６１２として、ステップ２
６１０で求めた点（２ｍ＋１）Ｐとステップ２６１１で
求めた点（２ｍ＋２）Ｐを点格納部２７０２に点の組
（（２ｍ＋１）Ｐ，（２ｍ＋２）Ｐ）として、点の組
（ｍＰ，（ｍ＋１）Ｐ）の代わりに格納する。その後ス
テップ２６０４へ戻る。
【００９９】ステップ２６１３として、点格納部２７０
２に格納されている点の組（ｍＰ，（ｍ＋１）Ｐ）か
ら、点ｍＰをスカラー倍２７０８として出力し、終了す
る。
【０１００】以上の手順により出力する値である点ｍＰ
が点Ｐのスカラー値ｄによるスカラー倍の点ｄＰとなる
ことは、第１実施例の場合と同様に示すことができる。
【０１０１】また、以上の手順によりスカラー倍計算経
過が漏洩しても秘密情報であるスカラー値に関する情報
が漏洩しないことの根拠は、第１実施例における根拠と
同様である。そのうえ、スカラー倍計算において、特定
の値が出現するか否かを観測し、そこからスカラー値を
割り出す攻撃法に対しても、最初にランダムな値を乗じ
ている為、特定の値の出現を予測できなくなるので、そ
のような攻撃法に対しても、スカラー値に関する情報が
漏洩しないことがわかる。
【０１０２】また、楕円曲線としてモンゴメリ型楕円曲
線を用いると、標準型楕円曲線よりも高速にスカラー倍
計算が実行可能であることも、第１実施例と同様であ
る。
【０１０３】標数２の有限体上で定義された楕円曲線に
対しても、上記手順において加算及び２倍算の計算に高
速な加算及び２倍算の計算方法を用いることにより、標
数２の有限体上で定義された楕円曲線の通常のスカラー
倍計算と比べて、高速にスカラー倍計算が実行可能であ
ることも、第１実施例と同様である。
【０１０４】図２８は、図２７のランダム化射影座標変
換部２７０９として使用するランダム化射影座標変換装
置の一実施例を示す図である。図２９は、このランダム
化射影座標変換装置におけるランダム化射影座標変換方
法を示すフローチャートである。
【０１０５】ランダム化射影座標変換装置２８０１で
は、楕円曲線上の点２８０５を入力し、以下の手順でラ
ンダム化射影座標で表された点２８０６を出力する。ス
テップ２９０１として、座標判定部２８０２により、与
えられた楕円曲線上の点２８０５がアフィン座標で表さ
れているか、それとも射影座標で表されているかを判定
する。アフィン座標で表されていればステップ２９０２
へ行く。射影座標で表されていればステップ２９０３へ
行く。ステップ２９０２として、次のようにしてアフィ
ン座標で表された点を射影座標で表す。アフィン座標で
表された点を（ｘ，ｙ）とすると、射影座標として
（ｘ，ｙ，１）と表す。
【０１０６】ステップ２９０３として、乱数生成部２８
０３により、乱数ｋを生成する。ステップ２９０４とし
て、射影座標変換部２８０４により、次のようにして射
影座標で表された与えられた点ををランダム化射影座標
により表す。与えられた点を（ｘ，ｙ，ｚ）とすると、
乱数生成部２８０３で生成された乱数ｋを、各座標に乗
じ、（ｋｘ，ｋｙ，ｋｚ）と表し、ランダム化射影座標
で表された点２８０６として出力する。
【０１０７】射影座標においては、０以外の任意の数ｋ
により各座標を乗じても、同じ点と見做す。すなわち、
（ｘ，ｙ，ｚ）と（ｋｘ，ｋｙ，ｋｚ）は同じ点を表し
ている。
【０１０８】また、メモリ等の節約の為、ステップ２９
０２の（ｘ，ｙ，１）は実際に格納しなくとも、仮想的
に（ｘ，ｙ，１）と表されていると考え、ステップ２９
０４で（ｋｘ，ｋｙ，ｋ）と表す際に、実際に格納を行
なってもよい。
【０１０９】図３は、図１１の本実施形態の暗号処理シ
ステムを署名作成装置として利用する場合の構成を示
す。図１１における暗号処理部１１０２は、図３の署名
作成装置３０１では署名部３０２になる。図１８は、図
３の署名作成装置における処理の流れを示すフローチャ
ートである。図１９は、図３の署名作成装置における処
理の流れを示すシーケンス図である。
【０１１０】図１８において、署名作成装置３０１は、
以下のようにして、与えられたメッセージ３０５から署
名が付随しているメッセージ３０６を出力する。メッセ
ージ３０５を署名作成装置３０１に入力すると、署名部
３０２がそれを受け取る（ステップ１８０１）。署名部
３０２は、スカラー倍計算部３０３に、入力メッセージ
３０５に応じた楕円曲線上の点を与える（ステップ１８
０２）。スカラー倍計算部３０３は、秘密情報格納部３
０４より秘密情報であるスカラー値を受け取る（ステッ
プ１８０３）。スカラー倍計算部３０３は、受け取った
点とスカラー値より、スカラー倍点を、スカラー倍計算
経過が漏洩しても秘密情報は漏洩しないスカラー倍計算
方法で計算する（ステップ１８０４）。スカラー倍計算
部３０３は、計算したスカラー倍点を署名部３０２に送
る（ステップ１８０５）。署名部３０２は、スカラー倍
計算部３０３より受け取ったスカラー倍点をもとにして
署名作成処理を行なう（ステップ１８０６）。その結果
を署名が付随したメッセージ３０６として出力する（ス
テップ１８０７）。
【０１１１】上記処理手順を図１９のシーケンス図を用
いて説明する。まず、署名部１９０１（図３の３０２）
の実行する処理について説明する。署名部１９０１は、
入力メッセージを受け取る。署名部１９０１は、入力メ
ッセージをもとに楕円曲線上の点を選び、スカラー倍計
算部１９０２に楕円曲線上の点を与え、そしてスカラー
倍計算部１９０２からスカラー倍点を受け取る。署名部
１９０１は、受け取ったスカラー倍点を用いて署名作成
処理を行ない、その結果を出力メッセージとして出力す
る。
【０１１２】次にスカラー倍計算部１９０２（図３の３
０３）の実行する処理について説明する。スカラー倍計
算部１９０２は、署名部１９０１より楕円曲線上の点を
受け取る。スカラー倍計算部１９０２は、秘密情報格納
部１９０３よりスカラー値を受け取る。スカラー倍計算
部１９０３は、受け取った楕円曲線上の点及びスカラー
値から、スカラー倍計算経過が漏洩しても秘密情報は漏
洩しないスカラー倍計算方法により、スカラー倍点を計
算し、署名部１９０１にスカラー倍点を送る。
【０１１３】最後に秘密情報格納部１９０３（図３の３
０４）の実行する処理について説明する。秘密情報格納
部１９０３は、スカラー倍計算部１９０２がスカラー倍
を計算できるように、スカラー値をスカラー倍計算部１
９０２に送る。
【０１１４】スカラー倍計算部３０３が実行するスカラ
ー倍計算は、上述した第１〜第７実施例で説明したもの
がそのまま適用される。したがって、このスカラー倍計
算は、スカラー倍計算経過が漏洩しても秘密情報である
スカラー値に関する情報は漏洩しないものである。その
ため署名部３０２において、署名作成処理を行なう際に
署名作成処理経過が漏洩したとしても、秘密情報である
スカラー値を扱っているのはスカラー倍計算部３０３の
みであり、秘密情報に関する情報は漏洩しない。
【０１１５】図１０は、図１１の本実施形態の暗号処理
システムを復号化装置として利用する場合の構成を示
す。図１１における暗号処理部１１０２は、図１０の復
号化装置１００１では復号部１００２になる。図２０
は、図１０の復号化装置における処理の流れを示すフロ
ーチャートである。図２１は、図１０の復号化装置にお
ける処理の流れを示すシーケンス図である。
【０１１６】図２０において、復号化装置１００１は、
以下のようにして、与えられたメッセージ１００５から
復号化されたメッセージ１００６を出力する。メッセー
ジ１００５を復号化装置１００１に入力すると、復号部
１００２がそれを受け取る（ステップ２００１）。復号
部１００２は、スカラー倍計算部１００３に、入力メッ
セージ１００５に応じた楕円曲線上の点を与える（ステ
ップ２００２）。スカラー倍計算部１００３は、秘密情
報格納部１００４より秘密情報であるスカラー値を受け
取る（２００３）。スカラー倍計算部１００３は、受け
取った点とスカラー値より、スカラー倍点を、スカラー
倍計算経過が漏洩しても秘密情報は漏洩しないスカラー
倍計算方法で計算する（ステップ２００４）。スカラー
倍計算部１００３は、計算したスカラー倍点を復号部１
００２に送る（ステップ２００５）。復号部１００２
は、スカラー倍計算部１００３より受け取ったスカラー
倍点をもとにして復号化処理を行なう（ステップ２００
６）。その結果を復号化されたメッセージ１００６とし
て出力する（ステップ２００７）。
【０１１７】上記処理手順を図２１のシーケンス図を用
いて説明する。まず、復号部２１０１（図１０の１００
２）の実行する処理について説明する。復号部２１０１
は、入力メッセージを受け取る。復号部２１０１は、入
力メッセージをもとに楕円曲線上の点を選び、スカラー
倍計算部２１０２に楕円曲線上の点を与え、そしてスカ
ラー倍計算部２１０２からスカラー倍点を受け取る。復
号部２１０１は、受け取ったスカラー倍点を用いて復号
化処理を行ない、その結果を出力メッセージとして出力
する。
【０１１８】次にスカラー倍計算部２１０２（図１０の
１００３）の実行する処理について説明する。スカラー
倍計算部２１０２は、復号部２１０１より楕円曲線上の
点を受け取る。スカラー倍計算部２１０２は、秘密情報
格納部２１０３よりスカラー値を受け取る。スカラー倍
計算部２１０３は、受け取った楕円曲線上の点及びスカ
ラー値から、スカラー倍計算経過が漏洩しても秘密情報
は漏洩しないスカラー倍計算方法により、スカラー倍点
を計算し、復号部２１０１にスカラー倍点を送る。
【０１１９】最後に秘密情報格納部２１０３（図１０の
１００４）の実行する処理について説明する。秘密情報
格納部２１０３は、スカラー倍計算部２１０２がスカラ
ー倍を計算できるように、スカラー値をスカラー倍計算
部２１０２に送る。
【０１２０】スカラー倍計算部１００３が実行するスカ
ラー倍計算は、上述した第１〜第７実施例で説明したも
のがそのまま適用される。したがって、このスカラー倍
計算は、スカラー倍計算経過が漏洩しても秘密情報であ
るスカラー値に関する情報は漏洩しないものである。そ
のため復号部１００２において、復号化処理を行なう際
に復号化処理経過が漏洩したとしても、秘密情報である
スカラー値を扱っているのはスカラー倍計算部１００３
のみであり、秘密情報に関する情報は漏洩しない。
【０１２１】
【発明の効果】以上述べたように、本発明によれば、暗
号処理システムにおける秘密情報を用いた暗号処理にお
いて、暗号処理経過が漏洩しても、暗号処理経過と秘密
情報との依存関係が完全に断ち切られているので、秘密
情報は漏洩しない。また、使用する楕円曲線をモンゴメ
リ型楕円曲線とすることで暗号処理の高速化を図ること
ができる。同様に、楕円曲線として標数２の有限体上で
定義された楕円曲線を用いることで暗号処理の高速化を
図ることができる。
【図面の簡単な説明】
【図１】本発明の第１実施例のスカラー倍計算方法を示
すフローチャート図である。
【図２】第１実施例のスカラー倍計算方法及び装置にお
ける処理の流れを示す図である。
【図３】本発明の実施の形態に係る署名作成装置の構成
図である。
【図４】本発明の第２実施例のスカラー倍計算方法を示
すフローチャート図である。
【図５】第２実施例のスカラー倍計算方法及び装置にお
ける処理の流れを示す図である。
【図６】本発明の第３実施例のスカラー倍計算方法を示
すフローチャート図である。
【図７】第３実施例のスカラー倍計算方法及び装置にお
ける処理の流れを示す図である。
【図８】本発明の第４実施例のスカラー倍計算方法を示
すフローチャート図である。
【図９】第４実施例のスカラー倍計算方法及び装置にお
ける処理の流れを示す図である。
【図１０】本発明の実施の形態に係る復号化装置の構成
図である。
【図１１】本発明の実施の形態に係る暗号処理システム
の構成図である。
【図１２】本発明の第５実施例のスカラー倍計算方法を
示すフローチャート図である。
【図１３】本発明の第５実施例のスカラー倍計算方法を
示すフローチャート図である。
【図１４】本発明の第５実施例のスカラー倍計算方法を
示すフローチャート図である。
【図１５】第５実施例のスカラー倍計算方法及び装置に
おける処理の流れを示す図である。
【図１６】図１１の暗号処理システムにおける暗号処理
方法を示すフローチャート図である。
【図１７】図１１の暗号処理システムにおける処理の流
れを示すシーケンス図である。
【図１８】図３の署名作成装置における署名作成方法を
示すフローチャート図である。
【図１９】図３の署名作成装置における処理の流れを示
すシーケンス図である。
【図２０】図１０の復号化装置における復号化方法を示
すフローチャート図である。
【図２１】図１０の復号化装置での処理の流れを示すシ
ーケンス図である。
【図２２】本発明の第６実施例のスカラー倍計算方法を
示すフローチャート図である。
【図２３】本発明の第６実施例のスカラー倍計算方法を
示すフローチャート図である。
【図２４】本発明の第６実施例のスカラー倍計算方法を
示すフローチャート図である。
【図２５】第６実施例のスカラー倍計算方法及び装置に
おける処理の流れを示す図である。
【図２６】本発明の第７実施例のスカラー倍計算方法を
示すフローチャート図である。
【図２７】第７実施例のスカラー倍計算方法及び装置に
おける処理の流れを示す図である。
【図２８】図２７のランダム化射影座標変換装置を示す
図である。
【図２９】ランダム化射影座標変換装置におけるランダ
ム化射影座標変換方法を示すフローチャート図である。
【符号の説明】
２０１ スカラー倍計算装置 ２０２ 点格納部 ２０３ 加算演算部 ２０４ ２倍算演算部 ２０５ ビット値判定部 ２０６ 繰り返し判定部 ２０７ 点及びスカラー値 ２０８ スカラー倍 ３０１ 署名作成装置 ３０２ 署名部 ３０３ スカラー倍計算部 ３０４ 秘密情報格納部 ３０５ 入力メッセージ ３０６ 出力メッセージ ７０１ スカラー倍計算装置 ７０２ 点格納部 ７０３ 加算及び２倍算演算部 ７０４ ２倍算演算部 ７０５ ビット値判定部 ７０６ 繰り返し判定部 ７０７ 点及びスカラー値 ７０８ スカラー倍 １００１ 復号化装置 １００２ 復号化部 １００３ スカラー倍計算部 １００４ 秘密情報格納部 １００５ 入力メッセージ １００６ 出力メッセージ １１０１ 暗号処理システム １１０２ 暗号処理部 １１０３ スカラー倍計算部 １１０４ 秘密情報格納部 １１０５ 入力メッセージ １１０６ 出力メッセージ １５０１ スカラー倍計算装置 １５０２ 点格納部 １５０３ 加算演算部 １５０４ ２倍算演算部 １５０５ ビット値判定部 １５０６ 繰り返し判定部 １５０７ 点及びスカラー値 １５０８ スカラー倍 １５０９ 演算ランダム化部 ２７０１ スカラー倍計算装置 ２７０２ 点格納部 ２７０３ 加算演算部 ２７０４ ２倍算演算部 ２７０５ ビット値判定部 ２７０６ 繰り返し判定部 ２７０７ 点及びスカラー値 ２７０８ スカラー倍 ２７０９ ランダム化射影座標変換部 ２８０１ ランダム化射影座標変換装置 ２８０２ 座標判定部 ２８０３ 乱数生成部 ２８０４ 射影座標変換部 ２８０５ 楕円曲線上の点 ２８０６ ランダム化射影座標で表された点

Claims (14)

    【特許請求の範囲】
  1. 【請求項１】楕円曲線暗号においてスカラー値及び楕円
    曲線上の点からスカラー倍点を計算するスカラー倍計算
    方法であって、 前記スカラー値のビットの値を判定するステップと、前
    記判定を行なったビットの値に依存せずに一定の回数及
    び一定の順序で楕円曲線上の演算を実行するステップと
    を含むことを特徴とするスカラー倍計算方法。
  2. 【請求項２】楕円曲線暗号においてスカラー値及び楕円
    曲線上の点からスカラー倍点を計算するスカラー倍計算
    方法であって、 前記スカラー値のビットの値を判定するステップと、楕
    円曲線上の加算及び楕円曲線上の２倍算を、楕円曲線上
    の加算を実行した後、楕円曲線上の２倍算を実行すると
    いう順序で行なうステップとを含むことを特徴とするス
    カラー倍計算方法。
  3. 【請求項３】楕円曲線暗号においてスカラー値及び楕円
    曲線上の点からスカラー倍点を計算するスカラー倍計算
    方法であって、 前記スカラー値のビットの値を判定するステップと、楕
    円曲線上の加算及び楕円曲線上の２倍算を、楕円曲線上
    の２倍算を実行した後、楕円曲線上の加算を実行すると
    いう順序で行なうステップとを含むことを特徴とするス
    カラー倍計算方法。
  4. 【請求項４】楕円曲線暗号においてスカラー値及び楕円
    曲線上の点からスカラー倍点を計算するスカラー倍計算
    方法であって、 前記スカラー値のビットの値を判定するステップと、楕
    円曲線上の加算及び楕円曲線上の２倍算を同時に実行す
    るステップとを含むことを特徴とするスカラー倍計算方
    法。
  5. 【請求項５】楕円曲線暗号においてスカラー値及び楕円
    曲線上の点からスカラー倍点を計算するスカラー倍計算
    方法であって、 楕円曲線上の加算を実行するステップと、前記スカラー
    値のビットの値を判定するステップと、楕円曲線上の２
    倍算を実行するステップとを含むことを特徴とするスカ
    ラー倍計算方法。
  6. 【請求項６】楕円曲線暗号においてスカラー値及び楕円
    曲線上の点からスカラー倍点を計算するスカラー倍計算
    方法であって、 楕円曲線上の加算及び楕円曲線上の２倍算の計算順序を
    ランダム化するステップと、前記スカラー値のビットの
    値を判定するステップと、楕円曲線上の加算及び楕円曲
    線上の２倍算を、前記加算及び２倍算の計算順序をラン
    ダム化するステップによりランダム化された順序で行な
    うステップとを含むことを特徴とするスカラー倍計算方
    法。
  7. 【請求項７】楕円曲線暗号においてスカラー値及び楕円
    曲線上の点からスカラー倍点を計算するスカラー倍計算
    方法であって、 前記スカラー値のビットの値を判定するステップと、楕
    円曲線上の加算及び楕円曲線上の２倍算の計算順序をラ
    ンダム化するステップと、楕円曲線上の加算及び楕円曲
    線上の２倍算を、前記加算及び２倍算の計算順序をラン
    ダム化するステップによりランダム化された順序で行な
    うステップとを含むことを特徴とするスカラー倍計算方
    法。
  8. 【請求項８】第１のデータから第２のデータを生成する
    データ生成方法であって、請求項１から７の何れか１つ
    に記載のスカラー倍計算方法を用いてスカラー倍を計算
    するステップを有することを特徴とするデータ生成方
    法。
  9. 【請求項９】データから署名データを生成する署名生成
    方法であって、請求項１から７の何れか１つに記載のス
    カラー倍計算方法を用いてスカラー倍を計算するステッ
    プを有することを特徴とする署名生成方法。
  10. 【請求項１０】暗号化されたデータから復号化されたデ
    ータを生成する復号化方法であって、請求項１から７の
    何れか１つに記載のスカラー倍計算方法を用いてスカラ
    ー倍を計算するステップを有することを特徴とする復号
    化方法。
  11. 【請求項１１】楕円曲線暗号においてスカラー値及び楕
    円曲線上の点からスカラー倍点を計算するスカラー倍計
    算装置であって、 前記スカラー値のビットの値を判定するビット値判定手
    段と、楕円曲線上の加算を実行する加算演算手段と、楕
    円曲線上の２倍算を実行する２倍算演算手段とを具備
    し、 前記ビット値判定手段により前記スカラー値のビットの
    値を判定した後、前記加算演算手段及び２倍算演算手段
    により楕円曲線上の加算及び楕円曲線上の２倍算を一定
    の回数及び一定の順序で実行し、スカラー倍点を計算す
    ることを特徴とするスカラー倍計算装置。
  12. 【請求項１２】請求項１から７の何れか１つに記載のス
    カラー倍計算方法に係るプログラムを格納したことを特
    徴とする記憶媒体。
  13. 【請求項１３】請求項１から７の何れか１つに記載のス
    カラー倍計算方法において、前記楕円曲線としてモンゴ
    メリ型楕円曲線を用いることを特徴とするスカラー倍計
    算方法。
  14. 【請求項１４】請求項１から７の何れか１つに記載のス
    カラー倍計算方法において、前記楕円曲線として標数２
    の有限体上で定義された楕円曲線を用いることを特徴と
    するスカラー倍計算方法。
JP2000160001A 2000-05-30 2000-05-30 楕円曲線暗号におけるスカラー倍計算方法及び装置、並びに記憶媒体 Expired - Fee Related JP3821631B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2000160001A JP3821631B2 (ja) 2000-05-30 2000-05-30 楕円曲線暗号におけるスカラー倍計算方法及び装置、並びに記憶媒体
DE60119620T DE60119620T2 (de) 2000-05-30 2001-03-20 Verfahren zur Skalarmultiplikation auf einer elliptischen Kurve und entsprechende Vorrichtung
US09/811,459 US7046801B2 (en) 2000-05-30 2001-03-20 Method of calculating multiplication by scalars on an elliptic curve and apparatus using same and recording medium
EP01106954A EP1160661B1 (en) 2000-05-30 2001-03-20 Method of calculating multiplication by scalars on an elliptic curve and apparatus using same
US10/196,508 US7308096B2 (en) 2000-05-30 2002-07-17 Elliptic scalar multiplication system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2000160001A JP3821631B2 (ja) 2000-05-30 2000-05-30 楕円曲線暗号におけるスカラー倍計算方法及び装置、並びに記憶媒体

Publications (2)

Publication Number Publication Date
JP2001337599A true JP2001337599A (ja) 2001-12-07
JP3821631B2 JP3821631B2 (ja) 2006-09-13

Family

ID=18664253

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2000160001A Expired - Fee Related JP3821631B2 (ja) 2000-05-30 2000-05-30 楕円曲線暗号におけるスカラー倍計算方法及び装置、並びに記憶媒体

Country Status (4)

Country Link
US (1) US7046801B2 (ja)
EP (1) EP1160661B1 (ja)
JP (1) JP3821631B2 (ja)
DE (1) DE60119620T2 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005008955A1 (ja) * 2003-07-22 2005-01-27 Fujitsu Limited 個人鍵を用いた耐タンパ暗号処理
WO2006118092A1 (ja) * 2005-04-27 2006-11-09 Matsushita Electric Industrial Co., Ltd. 情報セキュリティ装置及び楕円曲線演算装置
US7505587B2 (en) 2001-12-10 2009-03-17 Fujitsu Limited Elliptic curve cryptosystem apparatus, storage medium storing elliptic curve cryptosystem program, and elliptic curve cryptosystem arithmetic method

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3820909B2 (ja) * 2001-04-24 2006-09-13 ソニー株式会社 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム
FR2828779B1 (fr) * 2001-08-17 2004-01-16 Gemplus Card Int Procede de calcul universel applique a des points d'une courbe elliptique
US7555122B2 (en) 2002-12-04 2009-06-30 Wired Communications LLC Method for elliptic curve point multiplication
US7483534B2 (en) * 2004-08-05 2009-01-27 King Fahd University Of Petroleum Elliptic polynomial cryptography with multi y-coordinates embedding
US7483533B2 (en) * 2004-08-05 2009-01-27 King Fahd University Of Petroleum Elliptic polynomial cryptography with multi x-coordinates embedding
US7478902B2 (en) * 2004-11-04 2009-01-20 Hewlett-Packard Development Company, L.P. Inkjet compositions
US7764785B2 (en) 2004-11-08 2010-07-27 King Fahd University Of Petroleum And Minerals Method for communicating securely over an insecure communication channel
KR101194837B1 (ko) * 2005-07-12 2012-10-25 삼성전자주식회사 멱지수를 숨기는 ｄｐａ 대책의 고속 계산을 위한 암호화장치 및 방법
DE602005020702D1 (de) 2005-10-18 2010-05-27 Telecom Italia Spa Verfahren zur skalarmultiplikation in gruppen elliptischer kurven über primkörpern für nebenkanal-attacken-beständige kryptosysteme
DE602005020991D1 (de) 2005-10-28 2010-06-10 Telecom Italia Spa Verfahren zur skalarmultiplikation in gruppen ellir nebenkanalattacken-beständige kryptosysteme
KR100850202B1 (ko) * 2006-03-04 2008-08-04 삼성전자주식회사 Ｅｃｃ 패스트 몽고매리 전력 래더 알고리즘을 이용하여ｄｆａ 에 대응하는 암호화 방법
KR20080012634A (ko) * 2006-08-04 2008-02-12 삼성전자주식회사 고속 몽고메리 전력 래더 알고리즘에서 사용되는 폴트 검출동작을 구현하기 위한 이진 유한 영역에서의 포인트 덧셈방법 및 덧셈 연산 장치
US7983415B2 (en) * 2006-12-19 2011-07-19 King Fahd University Of Petroleum And Minerals Method for performing iterative scalar multiplication which is protected against address bit attack
US20080273695A1 (en) * 2007-05-02 2008-11-06 Al-Gahtani Theeb A Method for elliptic curve scalar multiplication using parameterized projective coordinates
US8102998B2 (en) * 2007-05-02 2012-01-24 King Fahd University Of Petroleum And Minerals Method for elliptic curve scalar multiplication using parameterized projective coordinates
US8559625B2 (en) * 2007-08-07 2013-10-15 Inside Secure Elliptic curve point transformations
US7991162B2 (en) * 2007-09-14 2011-08-02 University Of Ottawa Accelerating scalar multiplication on elliptic curve cryptosystems over prime fields
US8233615B2 (en) 2008-01-15 2012-07-31 Inside Secure Modular reduction using a special form of the modulus
US8619977B2 (en) * 2008-01-15 2013-12-31 Inside Secure Representation change of a point on an elliptic curve
US8542820B2 (en) * 2009-02-05 2013-09-24 Infineon Technologies Ag Apparatus for calculating a result of a scalar multiplication
US8548160B2 (en) * 2010-01-13 2013-10-01 Microsoft Corporation Determination of pairings on a curve using aggregated inversions
US20150234750A1 (en) * 2014-02-18 2015-08-20 Aspeed Technology Inc. Method and apparatus for addressing a memory containing different bit-length field variables
US9645794B2 (en) * 2014-09-23 2017-05-09 Texas Instruments Incorporated Homogeneous atomic pattern for double, add, and subtract operations for digital authentication using elliptic curve cryptography
US9590805B1 (en) * 2014-12-23 2017-03-07 EMC IP Holding Company LLC Ladder-based cryptographic techniques using pre-computed points
US10181944B2 (en) 2015-06-16 2019-01-15 The Athena Group, Inc. Minimizing information leakage during modular exponentiation and elliptic curve point multiplication
US11251973B1 (en) * 2018-06-11 2022-02-15 Synopsys, Inc. Efficient calculation of ED25519/448 signature verification in an encryption device
CN113014388B (zh) * 2021-03-30 2022-06-28 浙江萤火虫区块链科技有限公司 一种椭圆曲线密码算法中标量乘的加速***

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5854759A (en) * 1997-05-05 1998-12-29 Rsa Data Security, Inc. Methods and apparatus for efficient finite field basis conversion
US5987131A (en) * 1997-08-18 1999-11-16 Picturetel Corporation Cryptographic key exchange using pre-computation
DE19837808A1 (de) 1998-08-20 2000-02-24 Orga Kartensysteme Gmbh Verfahren zur Ausführung eines Verschlüsselungsprogramms zur Verschlüsselung von Daten in einem mikroprozessorgestützten, tragbaren Datenträger
CA2252078C (en) * 1998-10-28 2009-02-17 Certicom Corp. Power signature attack resistant cryptographic system

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7505587B2 (en) 2001-12-10 2009-03-17 Fujitsu Limited Elliptic curve cryptosystem apparatus, storage medium storing elliptic curve cryptosystem program, and elliptic curve cryptosystem arithmetic method
US7970131B2 (en) 2001-12-10 2011-06-28 Fujitsu Limited Elliptic curve cryptosystem apparatus, storage medium storing elliptic curve cryptosystem program, and elliptic curve cryptosystem arithmetic method
WO2005008955A1 (ja) * 2003-07-22 2005-01-27 Fujitsu Limited 個人鍵を用いた耐タンパ暗号処理
JPWO2005008955A1 (ja) * 2003-07-22 2006-09-07 富士通株式会社 個人鍵を用いた耐タンパ暗号処理
JP4632950B2 (ja) * 2003-07-22 2011-02-16 富士通株式会社 個人鍵を用いた耐タンパ暗号処理
WO2006118092A1 (ja) * 2005-04-27 2006-11-09 Matsushita Electric Industrial Co., Ltd. 情報セキュリティ装置及び楕円曲線演算装置
US7940927B2 (en) 2005-04-27 2011-05-10 Panasonic Corporation Information security device and elliptic curve operating device
JP4825199B2 (ja) * 2005-04-27 2011-11-30 パナソニック株式会社 情報セキュリティ装置及び楕円曲線演算装置

Also Published As

Publication number Publication date
US20010048741A1 (en) 2001-12-06
JP3821631B2 (ja) 2006-09-13
EP1160661A3 (en) 2002-06-12
EP1160661A2 (en) 2001-12-05
EP1160661B1 (en) 2006-05-17
DE60119620D1 (de) 2006-06-22
US7046801B2 (en) 2006-05-16
DE60119620T2 (de) 2006-12-21

Similar Documents

Publication Publication Date Title
JP3821631B2 (ja) 楕円曲線暗号におけるスカラー倍計算方法及び装置、並びに記憶媒体
Coron Resistance against differential power analysis for elliptic curve cryptosystems
US7864951B2 (en) Scalar multiplication method with inherent countermeasures
JP4668931B2 (ja) 電力解析攻撃に対する耐タンパ性を持った暗号化処理装置
CN107040362B (zh) 模乘设备和方法
US20130279692A1 (en) Protecting modular exponentiation in cryptographic operations
EP3596876B1 (en) Elliptic curve point multiplication device and method for signing a message in a white-box context
US9680647B2 (en) Method of using a token in cryptography
US11824986B2 (en) Device and method for protecting execution of a cryptographic operation
JP2010164904A (ja) 楕円曲線演算処理装置、楕円曲線演算処理プログラム及び方法
JP2019515353A (ja) 暗号化べき乗アルゴリズムへのセーフ−エラーフォールトインジェクション攻撃に対する対策
KR100652377B1 (ko) 모듈라 지수승 알고리즘, 기록매체 및 시스템
JP2011510579A (ja) 署名ダイアグラムを用いた非対称暗号方式のための対策方法およびデバイス
JP2004304800A (ja) データ処理装置におけるサイドチャネル攻撃防止
US6480606B1 (en) Elliptic curve encryption method and system
JP2003098962A (ja) 楕円曲線スカラー倍計算方法及び装置並びに記録媒体
US8014520B2 (en) Exponentiation ladder for cryptography
JP2010068135A (ja) 不正操作検知回路、不正操作検知回路を備えた装置、及び不正操作検知方法
Dubeuf et al. ECDSA passive attacks, leakage sources, and common design mistakes
JP2003255831A (ja) 楕円曲線スカラー倍計算方法及び装置
Cao et al. Two lattice-based differential fault attacks against ECDSA with w NAF algorithm
Joye Basics of side-channel analysis
KR100564599B1 (ko) 역원 계산 회로, 역원계산 방법 및 상기 역원계산 방법을실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수있는 기록매체
Leadbitter et al. Attacking DSA under a repeated bits assumption
JP4502817B2 (ja) 楕円曲線スカラー倍計算方法および装置

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20060203

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20060404

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20060501

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20060530

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20060620

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20060620

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees