JP2001505325A - タイミング攻撃を阻止する標準化されたモジュラべき乗を計算することにより復号メカニズムを実行する方法と装置 - Google Patents

Abstract

(57)【要約】 暗号化しているべき乗モジュロＭは、モジュラ乗算X^*YmodMによって逐行される。ここで、Ｍは、一時的には安定しているが、瞬間的には非均一な法である。この方法は、反復的に連続するステップから成る。各ステップは、１つまたは２つの第一乗算を実行して第一の結果を発生させ、一つ以上の第二乗算によって第一の結果のサイズを削減させて第二の結果を発生させる。この方法は、さらに、法の所定の多重度の下で、各ステップの最終結果を保つ特徴的な手段を採用している。特に、この方法は、測定に付随する法のいかなる減算も、モジュラべき乗の終端段階に、実質的に移行する。これは、方法に関係している一つ以上のパラメータを、適切な方法により、選択することによって可能となる。これは、更に全体の時相性能を維持する。

Description

【発明の詳細な説明】 タイミング攻撃を阻止する標準化されたモジュラべき乗を計算することにより復 号メカニズムを実行する方法と装置 技術分野 本発明は、請求項１のプリアンブルの方法に関する。標準化されたモジュラべ き乗を実行することによる暗号化は、金融業務に使用されるような、スマートカ ード等の環境で、そのような業務の制御または内容が改竄されないようにするた めに、使用される。 背景技術 暗号化は、y=<x^e>_Mと表すことが出来る（ここで、ｘは、メッセージ、ｅは、 暗号化キー、Ｍは、法である）。同様に、復号化はD(y)=<y^d>_Mとして行われる（ ここで、ｄは、復号キーで、かつＤからｘを検索することは容易である）。特定 の装置の場合、Ｍとｅの値は、既知で固定されていて、暗号化されるｘの内容は 未知で可変であり、そしてｄの値は、固定されているが未知の値である。エンコ ードされた署名を提供すると言うような演算の場合、第一エンコーディングも同 様にして秘密キーにより実行される。本明細書では、このようなエンコーディン グも、「復号」と呼ぶ。復号は、ディジット処理される。Ｄの各ディジットに対 する、１つまたは２つの第一乗算Ｘ^*Ｙ mod Ｍが、第一の結果を生成する。この ような第一の結果に対して、加算が行われる。第二の結果が得られると、Ｄの次 のディジットが処理される。従来技術の演算では、利用可能なハードウェアのレ ジスタの幅が、一般に乗算で使用される総合的な量のサイズよりはるかに小さい ディジットの長さに適合させてあるので、量Ｍの多重度(ゼロ、１またはそれ以 上)を減算することにより、第二の結果のサイズを、小さく保っている。上述の 多重度の逐次パターンをＸ,Ｙ,およびＭの値に依存させることができることが判 明している。さらに、任意のメッセージを有する相互に無関係な大量の復号演算 に履歴統計を使用することにより、ｄの値を導出することが出来る。こ れは暗号化による保護を無意味にする。したがって、いくつかの計算手順を追加 してこれらの統計的な変化をマスクする必要が有る。 発明の開示 本発明の目的は、とりわけ、計算処理を増大させず、また過度のハードウェア 装置を必要としないマスキングメカニズムによって、復号キーの値と計算のステ ップの履歴構造との関係をマスクすることである。したがって、本発明は、その 観点の一つに従って、請求項１の特徴部分をその特徴とする。特に、本発明者は 、現行のマイクロコントローラ（スマートカードの制限された環境で使用される ものでさえ）が、以前より長い（特に、計算に使用されるディジットより数ビッ ト長い）記憶レジスタを使用することができることを認識した。このようなレジ スタにより、本発明が必要とする余分な自由度が得られる。 その手順は、QuisquaterまたはBarrett法に沿ってべき乗を実行する。これら は、広く使用される方法であり、かつそれらの最小の修正で本発明の実行に使用 できる。計算手順のパターンは、もはや復号キーに依存しない。これにより、復 号キーの値を解読することは出来なくなる。 本発明は、本発明の方法を実施する装置にも関する。本発明の別の有利な観点 は、従属項に記載されている。 図面の簡単な説明 本発明のこれらおよび別の観点および利点は、以下に、望ましい実施例の開示 を参照しでより詳細に説明される。第１図は、本発明のハードウェア構成図で、 第２図は、本発明のフローチャートを示す。 発明を実施するための最良の形態 いわゆる「タイミング攻撃」は、モジュラべき乗の様々な実行に対し、逐次的 暗号化の計算時間が、各々のメッセージごとにわずかづつ異なるであろうとの認 識に基づく。インプリメンテーションの知識をもって、大量のメッセージに対す る計算時間を正確に測定することにより、秘密キーを得ることが出来る。このこ とは、実験により確認された。攻撃とそれに対する可能な対策の特性を理解する ために、我々はRSA暗号化/復号方法の主な要素といくつかの共通する実行例を与 える。 メッセージは、ある固定された数Ｍに対し、範囲0<X<Mにある整数ｘによって エンコードされる。y≡z mod Nは、整数y,z、およびＮに対し、Ｎがy-zを除する ことを示す。<Ｙ>_Nは、Ｎにより除した後の余りが、ｙであることを示し、これ は、ある整数ｑに対しy=r+q.Nとなる０≦r<Nのユニークな数ｒであ RSAスキームは、以下に示されるように、大きな数を因数に分解することは困 難であることに基づいている。通信している２つのパーティーは、各々が、約m/ 2ビットを有する、秘密に保たれた２つの素数ｐおよびｑの積M=p.qである、通常 、(m=512)−ビット数である、番号Ｍに同意することが出来る。また、パーティ ーは、個人キー番号ｄと公開キー番号ｅにも同意する。番号Ｍとｅは公開され、 番号ｄは、ユーザに与えられるスマートカードの改東防止モジュールに入れるこ とも出来る。個人キーｄは、ユーザに知られないようにしなければならない。ユ ーザのアカウントを変える命令は、暗号化された形態で、スマートカードに送ら れ、そこで、個人キーｄを使用してアカウントを修正する命令が復号化される。 あるユーザが個人キーｄを得、そして例えば、アカウントを増加するようにカー ドに命令した場合、そのスマートカードは、「ハッキング」されたものとみなさ れる。番号ｄとｅは、次式を満足しなければならない。 d.e≡1mod 1cm(p-1,q-1)， ここで、1cm(a,b)は、ａとｂの最小公倍数、つまり、ａとｂの両方で割り切れる 最小の整数である。gcd(c,N)=1を満たす、つまり、ｃとＮが互いに素である(公 約数がない)、法Ｎと整数ｃが与えられると、c.c'≡１ mod Nを満たす数c'を計 算するのは容易である。秘密のメッセージx(0<x<M)をユーザに転送するために、 番号E(x)=<x^e>_Mが、代わりに送られる。エンコードされたメッセージｙから、カ ードはD(y)=<y^d>_Mを計算する。もし、y=<x^e>_Mである場合には、D(y) ≡(x^e)^d≡x^d.e≡x mod Mとなることは、注記すべきである。この式は、f≡1mod 1cm(p-1,q-1)である場合のみ、すべてのｙに対して、y^f≡y mod Mが成立すると 言う事実による。 RSAスキームの安全性は、個人キーｄを知らずに<x^e>_Mから<x>_Mを復元すること が困難であることに依存する。この問題は、任意のｘに対して、e modulo 1cm(p -1,q-1)を逆にする位、すなわち、ｐとｑを知らずにｄを見つける位、困難に見 える。これは、Ｍを因数分解する位困難である。モジュラべき乗 RSAスキームの主な演算は、モジュラベき乗、y→x=<y^d>_Mである。しばしば、 この演算は以下のように実行される。 と書き込む。ここで、d_iε{0,1}は、ｄの２進表示である。x^(m)=1として、 x^(k)=<<(x^(k+1))²>_M.y^k>M (1) から、x^(m-1)、x^(m-2),...,x⁽¹⁾,x⁽⁰⁾を回帰的に計算する。 ここに、x=x⁽⁰⁾が得られた。元のメッセージｘは、受信された暗号化メッセー ジｙからｍ個のステップで計算される。各ステップでは、対応するキーのビット が１ならば、モジュロＭを二乗してそれにモジュロＭを乗算する。(1)から、べ き乗は、繰り返されるモジュラ乗算、すなわち、 (x,y)→z=<x.y>_M (2) により行われることが判る。 ほとんどのシステムが、数ｙのｍビットをｂビットのディジットにグループ 化することによりこの乗算を簡素化する。ｂはb=1からb=32までの任意の数とす ることが出来る。このようにして、 z_i=<<x.y_i>>_M+Z_i+12^b>M (3) 演算 (x_,y_i)→<x.y_i>_M (4) を「そのまま」実施するのは以下の理由から、魅力的ではない。数u=x.y_iは、(m +b)−ビット数である。数<u>_Mは、次式から得られる。 この計算は、乗算とｍビットの数Ｍによるｕの除算を必要とする。しかしなが ら、大きい数の通常の除算は、乗算よりはるかに複雑である。したがって、様々 な方法において、(5)の直接の実施が、Ｍの二三の(通常、１か２の)減算がその 後に続く、二三の(通常、２か３の)乗算を使用する実施により置換されている。 いくつかの方法は、数モジュロＭに対し特別な表示を使用する。これは、通常 の表示から特別な表示にまたその逆への変換を必要とする。この変換は、モジュ ラべき乗の始めの一回と終わりの一回のみで行われる。これらの間では、多くの モジュラ乗算が計算されるので、余分な経費は無視できる。このような方法を、 以下に、２つ詳細に述べる。 場合によっては、モジュラ乗算に従わなければならない追加減算は、タイミン グ攻撃を実行可能にする。このような攻撃では、スマートカードは大量のメッセ ージを復号化しなければならない。そして、復号時間の統計解析法は、攻撃者が 個人キーｄのビットを再現するのを可能にする。本発明は、これらの余分な減算 がもはや必要ないモジュラ乗算の既知の方法に適合している。 ［モジュラ乗算の２種類の方法］ Quisquater法の場合、Ｎの第一ｐ最上位ビットがすべて１である、すなわち、 法Ｎが、 2ⁿ-2^n-p≦N≦2ⁿ (7) のn-ビット数である場合に、全ての縮小が、Ｍのある倍数Ｎのモジュロについて 行われる。 べき乗モジュロＮの終わりで、結果は、必要な応答を得るためにモジュロＭに 縮小される。モジュラ乗算 (x,y)→z＝<x,y>_N、 (8) を計算するために、ｎビットの数ｙは、ｂ≦p-1ビットのブロックに区分され、 そして同様にx.y_iを(3)に掛けることによって、ｚが、回帰的に得られる。式(5) は、「Quisquater-縮小」 により置き換えられる。 リマーク１：Q(u)≡<u>_N mod Nは注記すべきである。しかしながら、Q(u)<Nに ついては保証できない。大きいｕに対しては、数Q(u)が、Ｎより大 きい場合がある。しかしながら、u<2^P(Θ-1)Nの場合には、Q(u)<ΘNとなること を示すことが出来るので、Quisquater-縮小は、必要な剰余演算にはほとんど全 て有効である。 z_i ^*＝Q(x.y_i+z^* _i+12^b (10) とすることによって、回帰的に計算される。 ｚ^*:=z₀ ^*≡x.y mod Nが成立することは注目される。ｂ≦p-1と０≦x<Nについ ては、すべてのｉに対し0<z_i ^*<3Nとなることを示すことが出来る。従って、結果 z=<x.y>_Nは、z^*から多くても２回Ｎを減算することにより得られる。以下に、こ れを証明する。 Barrett法は、所定の法Ｍ自体を使用する。数ｘのモジュラ縮小<ｘ>_Mは、 により概算される。ここで、 そしてｎは、b^n-1≦Ｍ<bⁿとなるように選択される。２つの数ｘとｙの 積z=xyは以下のように計算される： (i)z₀=xy; (ii)z=z₀ ^*＝B(z₀). 0≦x,y<Mの場合、結果ｚは0≦ｚ<3Mとなるので、<xy>_Mを得るために最大２回し か余分な縮小を必要としないことを、以下に示す。ｂ≧３に対しては、B(z₀)の 計算は簡素化することが出来る。 とすると、ｚ＝ｘ-ｕとなる。上記のリマークにより、z＜3M＜bⁿ⁺¹となる。z≡x -u mod bⁿ⁺¹から、 との結論が得られる。 ［モジュラ乗算のアルゴリズムの改良］ モジュラ乗算が法の追加減算を必要とする場合も必要としない場合もあるので 、タイミング攻撃は、行われる可能性がある。しかしながら、元の仮定をわずか に変更させることにより、これらの追加縮小を回避することが出来る。縮小させ ていない結果でモジュラべき乗を実行し、そしてモジュラべき乗の最終段のみで あらゆる縮小を行うことが出来る。これが機能することを示すために、各アルゴ リズムに対し、モジュラ乗算の中間結果に上限を設ける。 修正されたQuisquater法に対して、我々は、2^m-1≦Ｍ＜2^mを満たす法Ｍが有す ると仮定する。ここで、2ⁿ-2^n-p≦Ｎ<2ⁿを満たす数Ｎ=cMを計算する。ｎ≧m+pで あるならば、これは常に可能である。Ｎの容認できるインタバルが、2^n-p≧2^m＞ Ｍであるので、Ｍのいくつかの倍数は、このインタバル内になければならない。 すべての中間的な計算は、縮小モジュロＭを用いてその最終で法Ｍに代えて法Ｎ について行われる。Ｎは、Ｍの倍数であるので、いかなる情報も失われることは ない。めに、以下の式を使用する。 z_i=x.y_i+z^* _i+12^bとz^* _i=Q(z_i) を計算する。 (iii) z=z₀ ^* このアルゴリズムに関する以下の事実が必要となるであろう。 命題3.3 0≦x<αNそして2^p+α2^b≦(2^p−2^b)Θであると、全てのｉに対し、 0≦z^* _i<ΘN (12) となる。 証明:0<ｘ<αN,N≧2ⁿ-2^n-p,0≦y_i＜2^b，および0≦z^* _i+1<ΘMであると、 z_i<αN2^b+ΘN2^b=(α＋Θ)N2^b， となり、したがって Q(z_i)≡z_i≡<z_i>_Nとなるので、数(Q(z_i)-<z_i>_N)/Nは整数である。上述から、こ の数は<Θであるので、(Q(z_i)-<z_i>_N)/N≦Θ-1との結論が得られる。定義から<z_i >_N<Ｎであるので、z^* _i＝Q(z_i)<ΘＮが導かれる。 明らかに、条件(12)は、p≧b+1であるときのみ、満足させることができる。さ らに、p=b+1の場合、(12)は、条件Θ≧α+2と同等である。従って、α=1で あると、上述のアルゴリズムから生じる数ｚは、常に０≦ｚ≦3Nを満足するので 、上述の結果によると、新たに必要とする縮小は多くて２回である。 すべてのモジュラ乗算の結果が、αNより小でなければならない場合には、Θ ＝αであることが必要となり、かつ p≧b+2，Θ＝α≧２ が必要充分の条件となる。 従って、モジュラべき乗の間、p=b+2であるとすると、我々は各モジュラ乗算 の後に追加される縮小を省略することが出来、かつすべての結果が負でなくかつ ≦2Nであることも保証することが出来る。モジュラベき乗の結果は、最終での、 最高１回の縮小と、縮小z→<z>_Mで得られる。 Quisquater法と同様な方法で、Barrett法を変更することができる。法Ｍが とのモジュラ乗算の結果z=xyを計算するために、以下の式を使用する。次のよう に、定義する。 z_i＝x.y_i＋z^* _i+1.b^rと z^* _i＝B_k,l(z_i) を計算する。 (iii)z=z₀ ^*． 命題3.4:0≦x<αM，0≦z^* _i+1≦βMでかつ k=n-1,1=r+1，1,2＋α＋β≦Θ， (13) または k=n,l=r＋1，α＝β＝Θ，Θ≧max(2b/(b-2),(1+b)b²/(b²-2))， (14) または、例えば、 b=4,k=n-1，1=r+2，α＝β＝Θ，Θ≧３， (15) または b=4,k=n-2,l=r+4，α＝βΘ，Θ≧2， (16) とすると、0≦z_i ^*＜ΘMとなる。 証明:0≦x<αM,b^n-1≦M<bⁿ,0≦y_i<^r，そして0≦z^* _i+1≦βMとすると、 z_i<αMb^r＋βMb^r＝(α＋β)Mb^r したがって 最後の不等式は、b^n-1≦Ｍ＜bⁿと、Ｍが最小または最大の何れかのとき、凸関 数a/M+bM,a≧0が、最大になると言う事実とから、得られる。 興味有る結果は、k+l≦n+rを必要とする。B_k,lを計算するために必要な乗算のサ イズを制限するために、ｋは、出来る限り大きく、そして、k+lは、出来る限り 小さくなければならない。各追加の条件（13），（14），（15）そして、（16） は、最後の式が最大でもΘに等しいことを意味する。 B(z_i)≡z_i≡<z_i>_M mod M、それゆえ、(B(z_i-<z_i>_N)/Nは、整数である。この数 がΘより小であるので、(B(z_i)-<z_i>_M)/M≦Θ-1となる。定義によって<Z_i>_M<Mで あるので、z_i ^*=B(z_i)<ΘMと言う結論が得られる。 上記の方法は、いくつかの方法で使われる。１つの方法は、r=n,k=n-lおよびl =n+1をとる。それから、我々は、１つのステップで、z=B_k,l(xy)=B(xy)、（従っ て、β=0）を計算する。命題3.4は、x<Mとすると、z<3Mとなると述べている。こ れは、前の主張を証明する。 これに代えて、ｂを小さく（典型的にはb=4）、かつ、k=n、l=r+1およびα＝ β＝Θとしても良い。ｂ≧３に対して、(1+b)b²/(b²-2)≧2b/(b-2)であるので、 命題3.4によると、全ての中間結果は、<ΘMifΘ≧(1+b)/(b²-2)およびｂ≧3、つ まり、b=4のときには、<6Mとなるであろう。同様に、b=4に対し、k=n-2、l=r+4 、α＝β＝Θ＝２とした場合、全ての中間結果は、<2Mとなり、そして、k＝p-1 、l=r+2、α＝β＝Θ＝3とした場合、全ての中間結果は、<3Mとなるであろう。 したがって、モジュラべき乗は、各モジュラ乗算の後の追加の縮小を省略するこ とができて、全ての中間結果が最大ΘMのサイズで負で無いことを保証すること ができる。ここで、Θは、ｋおよびｌに対し、2〜6の数である。最終結果は、僅 か数回の縮小によりモジュラべき乗の最終端で得られる。 モジュラべき乗を実行する周知の第３の方法は、モントゴメリー法によるもの である。この特別な方法の改良は、M.Shand及びJ.VuilleminによるFast Impleme ntation of RSA Cryptography in Proc.11th Symposion on Computer Arithmeti c,IEEE 1993p,252-259に開示されている。この参照文献の場合、モントゴメリ法 に対するある標準化により、中間処理ステップの後に繰り返される正常化処理が 不要となっている。この参考文献の目的は、処理の全体速度を速めることであっ た。一方、本発明は、タイミング攻撃を、非モントゴメリアルゴリズムに対する 最初の演算数変換といくつかの最小のハードウェア設備により、阻止することが できることを示した。この様なタイミング攻撃は、上記参照文献では、考慮され ていない。さらに、QuinsquaterおよびBarrett法は、ここでは、明らかに何の制 限も無い実施例として開示されている。 第１図は、本発明の装置のハードウェアブロック図である。オペランドメモリ 20は、図示されるように、８ビットディジットのモジュラ記憶である。アドレス シーケンサ22は、読み書きのために必要なディジットロケーションに順次アドレ スする。処理装置24およびアドレスシーケンサ22は、相互連結21により 相互に同期して作動する。処理装置24は、メモリ20から読み込む際に受信される 、最初のディジットに対する入力レジスタ26を有する。さらに、それは、その結 果レジスタ28からの逆カップリングによる第二のディジットに対する入力レジス タ30を有する。後者の長さは、ディジット長さより長い。選択レジスタ32により 、メモリ20へのディジットに基づく逆記憶が可能となる。処理装置は、前述した 標準化、前処理および後処理、そして、更にQuisquater、Barrettおよび同様な 非モントゴメリ法の標準モジュラ乗算を実行することができる。特定な動作は、 制御レジスタ30によってコントロールされる。 第２図は、本発明のフローチャートである。ブロック50で、演算が開始され、 必要な様々なハードウェアおよびソフトウェアの機能が要求される。ブロック52 において、暗号化されたメッセージが、受信される。ブロック54において、メッ セージは適用可能な如何なるアルゴリズムに対しても記載されている方法で前処 理される。ブロック56において、内側のループの１つのターンが実行され、２つ のb-aryディジットのｅベースに基づいて中間結果を計算する。ブロック58にお いて、システムは、問題の内側ループが、充分な回数実行されたか否か（準備が できたか？）を検出する。NOである場合、システムはブロック56に戻る。YESの 場合は、システムはブロック60へ進んで、外側ループの１つのタ一ンを実行する 。その後、ブロック62において、システムは、問題の外側の内側ループが充分な 回数実行されたか否か（準備ができたか？）を検出する。NOである場合、システ ムは、内側のループを更に実行するためにブロック56に戻る。YESの場合は、シ ステムは、最終結果を後処理するブロック64に進み、次いで、当該スマートカー ドの中央処理設備のようなユーザに結果を出力する、ブロック66に進む。第１、 ２図の組み合わせとこれ以外の広範な開示とは、どのように本発明を実施するか と言う点について、当業者に充分な教示を与えていると考えられる。 ［本方法のまとめ］ たメッセージである。 a. 前処理 は、αⁿ−α^n-p≦αⁿとなるように選択される。これは、ｃに対しユニークな選 択ａを発生する。また、α=2。 b.d の分割 c. 外側ループ z←１ i=m-1→0に対し繰り返す： ｚ←Mult(z,z;M)（β=2の場合；一般的にはｚ←<z^β>_M） ｚ←Mult(z，ｘ^di;M) (di＞０の場合のみ必要） エンドリピートする。d. 演算Mult内のモジュラ乗算の実施 ｚ←Mult(u,v;M)の実施は、0≦u,v<Mを前提とし、そして、結果ｚは、0≦z≦Mを 満たす。e. 分割 のｎ個のα-aryディジットが、ｂディジットのn'個の各ブロックにグループ分け される。（従って、n=n'b。） さらに、Quisquaterは、b≦p-1を前提とする。Barrettは、b=n,n'=1を採 用する。f. 内側ループ ｉに対し、 z←０ を繰り返す： while z≧Ｍ do ｚ←ｚ−Ｍ (17) の条件で、 ｈ→z.F＋u.v_i ｚ←R(h) をエンドリピートする。 ここで、次式が得られる。 1. i=n'−１→０（QuisquaterおよびBarrettの場合） 2. F＝｛B＝α^b（Quisquater and Barrett） 3. ここで使用されたBarrett縮小演算Ｂ は、一般的なBarrett縮小の特別のケースである。 QuisquaterおよびBarrettの場合：全てのステツプで、０≦ｗ＜3M 9 ．後処理 ここで、ｚは、０≦ｚ<Ｍを満足する。 ［「古い」アルゴリズム内の条件とプロパティの概要］Quisquater ｐ≧ｂ＋１ Barrett：− ［新しい方法］a. 処理 モントゴメリに対する新たな要求、例えば、Ｍ<R/4（従って、α=2ならば、 b.d の分割 前と同様c. 外側ループ 前と同様、しかし、演算Multの実行は、わずかに相違する。d/e. 演算Mult内のモジュラ乗算の実行 分割 前と同様。ただし、Quisquaterに対しては、ｂ≦p-2が必要。f. 内側ループ 最後の指示「while z≧M do z←z-M」が無いことを除いて、前と同様。 また、Barrettの場合、ｂについては、b=n,n'=1とする代わりに、他の値 を採用しでも良く、かつ特例B=B_n-1,n+1の代わりに、ｋとｌの他の値（例えば、 k＝n、l＝b＋1、または、α=4を選びかつ、例えば、k＝n-1、l＝b＋2またはk＝n −2,l＝b+4を採用する）については、B＝B_k,lを採用する。g. 後処理 あるΘ（典型的には、Θ=2またはΘ＝3)に対し、z＜ΘMとなることしか保証 できない。従って、Barrettの場合には、演算Multのループ部分から除去されたw hlle文（17） whilez≧M do z←z-M は、ここでは使用しなければならない。 Quisquaterの場合にも、この同じ演算は、必要であるが、おそらく他の後処理 （それらに、変更は無い）と組み合わすことが出来る。 ［「新しい」アルゴリズム内の条件とプロパティの概要］Quisquater p≧b＋2（b＋1の代わりに）Barrett Barrett縮小オペレータB_k,lの番号k,lに対する様々な可能な値。良好な条件は、 次のようにして探すことができる。 Barrettによるx.y mod Mの計算： 0≦z^* _i+1≦βＭである場合、(z^* _i-<z_i>_M)/Ｍ＝(Ｂ_k,l-<z_i>/Ｍ≦1+max(b^k-n+1＋ （α＋β）b^n-1+r-k-l,b^k-n＋（α＋β）b^n+r-k-l)(＜Θが必顆。確実にk＋1≧n ＋Rが必要。 古典的手法：R=n,k=n-1,l=n+1、その結果、β=0,α=1→z^*<3M（Θ=3）。 新しい手法:R<n,α＝β＝Θ。この条件は、1+max(b^k-n+1＋2ΘB^n-1+r-k-l*,B^{k-n *} ＋2ΘB^n+r-k-l<全ての結果を有するΘ<Θである。より良い条件： 全ての許容されるＭに対して、 2^n-1≦Ｍ<2ⁿ→(2^k-n＋2Θ2^n+r-k-l,^2k-n+1+2Θ2^n-1+r-k-l)<Θ リマーク:両方のアルゴリズムにおいて、これらの新しい条件は、様々な中間変 数を格納するためにわずかに大きいレジスタが使用出来るようにハードウェアの 条件を変更する。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 レオノール ペトルス ヨハネス オランダ国 5656 アーアー アインドー フェン プロフ ホルストラーン ６

Claims (1)

1. 【特許請求の範囲】 1. Ｍが一時的には安定しているが瞬間的には非均一な法であって、非モント ゴメリ手順により、モジュラおよびループ状の乗算Ｘ^*Ｙ mod Ｍをディジッ トで計算することにより、復号モジュラべき乗モジュロＭを実行する方法で あって、 当該方法が、内側ループと外側ループの階層構造に組織化されているステ ップの反復するシリーズを含んでいて、その各ステップが、第一の結果を発 生する一つまたは二つの第一乗算を実行するように構成されていて、 そして、前記階層構造が、第二の結果を発生させる一つ以上の第二乗算に より、前記第一の結果のサイズを削減縮小させるように構成されていて、 当該手段が、さらに、この様なステップの最終結果を当該法の所定の多重 度以下に保つ特有の手段を有している、当該方法において、 当該方法の全面時相性能を維持しつつ、当該方法に関係している一つ以上 の前処理パラメータを、中間結果が保証された上限を有するように、適切な 方法で選択して、前記手段に関連する前記法のいかなる減算も、前記モジュ ラべき乗の終端時に、実質的に延期させることを特徴とする復号モジュラべ き乗モジュロＭを実行する方法。 2. p≧b+2以上の整数の値p=n-n'を選んで、クイスクエータ(Quisquater)規定 に沿って前記べき乗を実行する請求項１に記載の方法。 3. 1＋(b^k/M)+(2ΘMb^R/b^(k+1))<Θに従う適切な方法で、番号ｋ,ｌの値を選 んで、バレット(Barrett)規定に沿って前記べき乗を実行する請求項１に記載 の方法。 4. 請求項１に記載の方法を実施するように構成されている装置。 5. 前記べき乗の中間結果をそこに格納する改良されたレジスタ幅を有する請 求項４に記載の装置。