JP2012123426A

JP2012123426A - 暗号化方法用の楕円曲線を求める方法

Info

Publication number: JP2012123426A
Application number: JP2012069762A
Authority: JP
Inventors: Georgiades Jean; ゲオルギアデスジャン; Kaagle Anton; カーグルアントン; Mayer Bernd; マイヤーベルント
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2006-03-23
Filing date: 2012-03-26
Publication date: 2012-06-28
Also published as: CN101410792B; JP2009531726A; EP1997000A1; KR101391216B1; WO2007107450A1; US8582761B2; DE102006013515A1; US20090285388A1; KR20080111089A; CN101410792A

Abstract

【課題】サイドチャネル攻撃の際に個人鍵を推定できない楕円曲線を選択する方法を提供すること。
【解決手段】暗号化方法用の楕円曲線を求める方法において、この方法は、
（ａ）テストすべき楕円曲線を準備するステップと、
（ｂ）このテストすべき楕円曲線に対応するツイスト楕円曲線の位数を決定するステップと、
（ｃ）このツイスト楕円曲線の位数が強い素数であるか否かを自動的に検査するステップと、
（ｄ）このツイスト楕円曲線の位数が強い素数である場合、上のテストすべき楕円曲線を暗号化方法に適切な楕円曲線として選択するステップとを有する。
【選択図】図１

Description

本発明は、楕円曲線を求める方法に関し、殊に暗号化データ処理に有利な楕円曲線を求める方法に関する。本発明はさらにあらかじめ選択した楕円曲線に基づく暗号化方法および装置に関する。

暗号化方法は、殊にメッセージの符号化、文書の署名および人物または対象体の認証に使用される。このためには殊にいわゆる非対称鍵方式が有利であり、この方式では関与者に対して個人的でありかつ秘密にされた鍵も公開鍵も共に設けられる。

メッセージを符号化する際には送信者は、所望の受取人の公開鍵を入手して、メッセージを符号化する。その後はこの受取人だけが、この受取人だけに分かっている個人鍵によってこのメッセージを元のように復号化することができるのである。

文書に署名する際には、署名者は、その個人鍵によって文書から電子署名を計算する。他の人は、この署名者の公開鍵を用いればこの署名を簡単にチェックすることができる。しかしながらこの公開鍵でチェックできるのは、対応する個人鍵によって署名された署名だけである。このような一義的な対応付けおよび個人鍵が署名者によって秘密にされているという前提により、署名と、署名者および文書との一義的な対応付けが行われるのである。

チャレンジ−レスポンス（問い合わせ−応答）プロトコルによる認証において、認証局（Pruefstelle）は、人に問い合わせを伝達して、この問い合わせに対してその人の個人鍵で応答を計算して送り返すようにこの人に要求する。認証が成功するのは、上記の認証局が、送り返された上記の応答と、チェックすべき人の公開鍵とを照合できる場合である。

非対称の暗号化方法は、上で説明したように個人鍵および公開鍵に基づいている。ここでは上記の公開鍵は、あらかじめ定めたアルゴリズムを用いて個人鍵から生成される。この暗号化方法に重要であるのは、逆、すなわち有限の時間内で利用可能な計算能力により、上記の公開鍵から個人鍵の決定できないようにすることである。この最後の述べたことは、個人鍵の鍵の長さが最小長に達している場合に得られる。この鍵の最小長は、符号化に使用されるアルゴリズムおよび公開鍵の決定に依存する。

上記の公開鍵または個人鍵による演算には、所定の計算コストが必要である。この計算コストは、使用するアルゴリズムに依存し、また使用する鍵の長さにも依存する。ここで有利であることが判明しているのは、楕円曲線に基づく符号化アルゴリズムを使用することである。それはこのアルゴリズムにより、高い安全性が長さの短い鍵で得られるからである。楕円曲線の基づく暗号化法に対して、別の方法とは異なり、これまで、公開鍵から個人鍵を決定することは知られておらず、鍵の長さが長くなるのに伴うその計算コストは、指数関数的に増大するものに比べて緩慢に増大する。言い換えると、使用する鍵の付加的なビット長当たりに得られる安全性は、他の方法における安全性よりも高いのである。したがって実際の適用に対して、格段に短い鍵長を使用できるのである。

楕円曲線Ｅは、一般的にワイエルシュトラスの方程式によって定義され、これはつぎの３次方程式によって表される。すなわち
ｙ²＋ａ₁ｘｙ＋ａ₃ｙ＝ｘ³＋ａ₂ｘ²＋ａ₄ｘ＋ａ₆
である。

ここでａ_１，ａ_２，ａ_３，ａ_４，ａ_６は、固定に選択される体Ｋの要素であり、対（ｘ，ｙ）は、上記の楕円曲線Ｅの点であり、上記のワイエルシュトラス方程式を満たす。暗号化法に対して、有限体Ｋを選択する。これに相応して楕円曲線Ｅの点の数も有限であり、以下ではこの数を曲線Ｅの位数ord（Ｅ)と称する。さらに形式的な無限遠点を導入する。

楕円曲線の点集合にはアーベル群構造Ｇを定義することができる。このアーベル群構造の演算を以下では加法と称して足し算で表す。上記の楕円曲線の任意の２つの点を加算すると、この楕円曲線の第３の点が一意に得られる。さらにこれによって、スカラ積を定義することができ、このスカラ積は１つの点にその点そのものを複数回加えることによって定義される。Ｐをこの楕円曲線Ｅの点、ｓを整数とすると、Ｑ＝ｓＰは点Ｐのｓ倍である。Ｑもこの楕円曲線の点である。ＰおよびＱが与えられた場合にスカラｓを決定することは、楕円曲線に対する離散対数問題と称される。体Ｋおよび楕円曲線Ｅのパラメタを適切に選択すると、今日利用可能な計算装置によっては、上記の離散対数問題を許容される時間に解くことはできない。楕円曲線を用いた暗号化法の安全性は、この困難さに依拠しているのである。

通信関与者はスカラｓをその個人鍵として選択し、これを秘密にする。さらにこの通信関与者Ｐは、始点Ｐから、この始点のスカラ倍として公開鍵Ｑを生成する。始点Ｐについては、通信関与者間で一致している。上記の公開鍵Ｑから個人鍵ｓを決定することは、離散対数問題の計算コストが高いことに起因して不可能であるため、楕円曲線による暗号化法の安全性が得られるのである。上記の楕円曲線に対する別の要求は、その位数が大きな素数であるか、または大きな素数と小さな数の積になることである。

暗号化法は、データを符号化する際の期待される安全性と計算コストとの妥協である。DE 101 61 138 A1には、ｙ座標を使用せずにｘ座標だけで点のスカラ倍の決定できることが記載されている。DE 101 61 138 A1には相応する計算規則が、任意の体に対して記載されている。これによって点算術、例えばスカラ積に対するモンゴメリ導出器（Montgomery Leiter）を格段に効率的に実現することができ、点加算当たりの体の乗算回数を少なくし、また点を表すためおよび中間結果に対するレジスタの数を少なくすることができる。しかしながらこの方法においては、点が実際に上記の楕円曲線の要素であるか否かはチェックされない。

このことから、サイドチェネル攻撃が行われる可能性が生じる。ここでは符号化装置に点のｘ座標が伝送されるが、この点は上記の楕円曲線上にはない。これに合わせて上記のDE 10161138 A1には、上記によって符号化装置の個人鍵の部分的な再構成ができることが記載されている。このDE 10161138 A1は、このようなサイドチャネル攻撃を阻止するために固有に選択された楕円曲線を使用する。ここで判定基準として使用されるのは、上記の楕円曲線に対応するツイスト楕円曲線である。この対応するツイスト楕円曲線は、つぎのように定義される。すなわち
ｙ²＋ｖａ₁ｘｙ＋ａ₃ｙ＝ｘ³＋ｖａ₂Ｘ²＋ｖ²ａ₄ｘｖ³ａ₆
であり、ここでパラメタａ₁，ａ₂，ａ₃，ａ₄，ａ₆は、上記の楕円曲線のパラメタである。上記のパラメタｖは、体Ｋの標数が奇数である場合に体Ｋの任意の非平方数であるかまたはトレース１を有する体Ｋの要素である。DE 10161138 A1によれば、これらのツイスト楕円曲線がすべて同様に大きな素数または大きな素数と小さな数との積である位数を有するようにする。

著者であるDaniel R. L. BrownおよびRobert P. Gallantは、その論文"The Static Diffie-Hellman Problem"において、個人鍵を完全または部分的に探り出すサイドチャネル攻撃の別の可能性を記載している。

DE 101 61 138 A1

Daniel R. L. BrownおよびRobert P. Gallant著、"The Static Diffie-Hellman Problem"

本発明の課題は、サイドチャネル攻撃の際に個人鍵を推定できない楕円曲線を選択する方法を提供することである。

上記の課題は本発明により、請求項１の特徴部分に記載された特徴的構成を有する方法によって解決される。

請求項４に記載された特徴的構成を有するデータ暗号化処理方法および請求項６に記載された特徴的構成を有する人物および対象体の同定確認する装置により、同様にサイドチャネル攻撃による個人鍵の決定またはこの個人鍵の部分的な決定が阻止される。

本発明による方法の１実施形態のフローチャートである。本発明による装置の１実施形態のブロック図である。図２の装置によって実施される本発明による方法の１実施形態のフローチャートである。

本発明では、暗号化方法に有利な楕円曲線を求める方法を設け、ここでこの方法はつぎのステップを有する：
（ａ）テストすべき楕円曲線を準備する；
（ｂ）上記のテストすべき楕円曲線に対応するツイスト楕円曲線の位数を決定する；
（ｃ）このツイスト楕円曲線の位数が強い素数であるか否かを自動的に検査する；
（ｄ）上記のツイスト楕円曲線の位数が強い素数である場合、上記のテストすべき楕円曲線を暗号化方法に有利な楕円曲線として選択する。

またここではつぎのようなステップを有するデータ暗号化処理方法を設ける：
請求項１から３までの方法のうちのいずれか１つによって求めた楕円曲線を準備する；
１点のｘ座標だけを準備する；
個人鍵を準備する；
上記の準備した楕円曲線および個人鍵を使用し、上記のｘ座標に暗号化符号化方法を自動的に適用して、符号化されたｘ座標を決定する；
この符号化されたｘ座標に基づいて値を出力する。

さらにここではつぎを有する人物または対象体の同定確認のための装置を設ける。すなわちこの装置は、
− 座標を受信する受信装置と、
− 上記の人物または対象体の個人鍵を保持する記憶装置と、
− 上記の受信した座標を個人鍵によって処理する処理装置と有しており、ここでこの処理は、上記の方法１〜３のうちの１つから選択される楕円曲線に基づいており、
上記の装置はさらに
− 上記の処理したこの座標を出力する出力装置を有しているのである。

本発明の基礎にあるアイデアは、楕円曲線に対するツイスト楕円曲線が強い素数である位数を有する場合だけ、この楕円曲線を暗号化方法に使用することにある。強い素数はつぎの式によって表される。すなわち、
Ｐ＝１＋ｒ・ｑ
であり、ここでｒはふつう２５５までの範囲の小さな数であり、ｑは大きな素数である。理想的には上記の強い素数は、いわゆるソフィ−ジェルマン−素数であり、すなわちｒが２である。上記の楕円曲線およびこれに対応するツイスト楕円曲線は、上で示した定義に相応する。本発明により、誤って伝送されるｘ座標または悪意をもって誤って伝送されるｘ座標に基づくサイドチャネル攻撃が阻止される。ここでこのｘ座標は、上記の選択した楕円曲線のいずれの点にも相応しない。本発明の方法は、このようなｘ座標においても、外部の装置によって個人鍵を探し出すかまたは部分的に決定できないという点でロバストである。

有利な発展形態および実施形態は、別の従属請求項に記載されているかまたは図面と説明とを一緒に参照することによって得られる。

１実施形態によれば、上記のツイスト楕円曲線の位数は、このツイスト楕円曲線上にある点の数を数えることによって決定される。択一的には上記のツイスト楕円曲線の位数は、楕円曲線の位数および体の標数を決定することによって行うことができる。このために相異なる位数間の一意の数学的関係を使用することができる。上の点のカウントは、当業者に広く知られている方法によって行われる。

１実施形態では、テストすべき楕円曲線の位数が強い素数であるか否かを自動的に検査して、テストすべきこの楕円曲線の位数が強い素数である場合だけ、テストすべきこの楕円曲線を暗号化方法に対して選択する。

本発明を以下、図面に略示した実施例に基づいて説明する。

図１には、本発明による方法の１実施形態を説明するフローチャートが示されている。第１ステップでは楕円曲線Ｅを有するプールを準備する（Ｓ１）。この楕円曲線Ｅは、有限体Ｋ上に定義される。したがってこの曲線Ｅには有限個の点Ｐが含まれる。この楕円曲線は、すでに説明したように、ワイエルシュトラス方程式およびパラメタａ₁，ａ₂，ａ₃，ａ₄，ａ₆によって決定される。パラメトライゼーションを相応に制限または変更することによって個々のパラメタはゼロになることもある。これらのパラメタを選択して、この楕円曲線が非特異になるようにする。

つぎのこの楕円曲線の位数を決定する（Ｓ２）。この楕円曲線の位数とは、上記のワイエルシュトラス方程式を満たす体Ｋ上の点の数のことである。幾何学的な解釈では、これはこの楕円曲線Ｅ上にあるすべての点のことである。

この楕円曲線の位数、略してord(Ｅ)を素数としたい。チェックが行われてこれが素数でない場合、別の曲線Ｅを上記のプールから選択する（Ｓ８）。上記の楕円曲線Ｅの位数が素数であることが確認される場合、この楕円曲線の位数が強い素数であるか否かの検査が行われる（Ｓ３）。強い素数の定義は上に示されている。

つぎのステップでは、この楕円曲線Ｅに対してツイストした楕円曲線Ｅ′をチェックする（Ｓ４）。ツイストされた曲線Ｅ′についての定義は上に示されている。このチェックは、すべてのツイスト曲線Ｅ′に対して行われる。すなわち、相応して非平方であるかまたはトレース１を有する要素である考えられるすべてのパラメタｖに対して行われる。上記のツイスト曲線Ｅ′の位数が個々に決定される（Ｓ５）。このツイスト楕円曲線Ｅ′の位数も上記の楕円曲線と同様に素数としたい。これが満たされない場合、別の楕円曲線Ｅを選択する。

付加的に検査されるのは、このツイスト楕円曲線Ｅ′の位数が強い素数であるか否かである（Ｅ６）。

上記のステップＳ２，Ｓ３，Ｓ５およびＳ６の４つのすべての条件が満たされる場合、この楕円曲線Ｅを暗号化方法に対して選択する。

楕円曲線の位数は、公知のカウント方法に基づいて決定することができる。択一的には上記の位数を関係式
ord(Ｅ)＋ord(Ｅ′)＝２・｜Ｋ｜＋２
によって決定することができ、ここで｜Ｋ｜は体Ｋの位数である。

図２にはテスト対象体Ａおよび検査装置Ｂのブロック図が示されている。このテスト対象体は、例えばスマートカードまたはＲＦＩＤチップとすることが可能である。上記の検査装置Ｂは、相応する読み出し装置である。上記のテスト対象体Ａは記憶装置１を有しており、この記憶装置に個人鍵ＫＰが記憶されている。この個人鍵ＫＰは秘密にされており、またいかなる方法でも外部装置によって読み出すことはできない。別の記憶装置２には、楕円曲線Ｅのパラメトライゼーションに必要なパラメタが記憶されている。データ処理装置３は、上記の個人鍵と、記憶装置２に格納されているパラメタによって決定される楕円曲線とに基づいて符号化アルゴリズムを実行する。これらのパラメタないしは楕円曲線は、本発明の方法に基づいて、例えば図１に示した実施例によって決定される。さらに上記のテスト対象体は受信装置４を有しており、この受信装置は点のｘ座標を受信することができる。このｘ座標は、データ処理装置３に供給され、このデータ処理装置３はこれに基づいて、あらかじめ決定された方法を実施する。この方法において特徴的であるのは、これがｘ座標だけに適用され、また１点のｘ座標だけを要することである。処理または符号化されたｘ座標は、送信装置５によって送出される。テスト対象体Ａは、伝送されるこのｘ座標が有効なｘ座標である得るか否かを検査しない。このテスト対象体Ａは、このｘ座標が、上記の楕円曲線の１点に対応するか否かを検査しない。しかしながら記憶装置２に格納されている上記の選択された楕円曲線によって保証されるのは、このようなｘ座標により、個人鍵の探り出しまたは部分的な探り出しできないことである。

検査装置Ｂは、乱数発生器１０を有しており、この乱数発生器により、任意の点ＰＯが上記の楕円曲線から選択される。この点は、送信装置１１によってテスト対象物Ａに伝送される。検査装置Ｂはさらに、処理したｘ座標Ｑ(ｘ)を受信する受信装置を有する。データ処理装置１３により、テスト対象体Ａの公開鍵に基づき、上記の処理されたｘ座標が検査される。この公開鍵は、検査装置Ｂに格納するかまたは外部のソースから使用することができる。この復号化した値と、前もってランダムに生成したｘ座標とが一致する場合、テスト対象体Ａの同定が確認されたことがインタフェース１４に出力される。

図３にはこれに加えてテスト対象体Ａの同定の流れが、再度フローチャートで略示されている。第１ステップＳ１０において乱数発生器は、上記の楕円曲線上の点ＰＯを生成し、そのｘ座標を問い合わせとしてテスト対象体Ａに伝送する。このテスト対象体は、このｘ座標からその個人鍵ＫＰによって応答を計算する（Ｓ１１）。続いてこのテスト対象体は応答Ｑ(ｘ)を伝送し、また場合によってはその公開鍵ＫＯも伝送する。この応答は、認証局Ｂにより、公開鍵ＫＯを用いて検査される（Ｓ１２）。この応答が確認されると、人物Ａが認証または同定されたことの信号が出力される（Ｓ１３，Ｓ１４）。

以下では例示的に適切な楕円曲線が得られるものとする。使用される有限体ＫはＺ／ｐＺの形であり、楕円曲線Ｅの式はｙ²＝ｘ³＋ａｘ＋ｂによって与えられるとする。上記の楕円曲線Ｅの相応するパラメタは
p = 517847993827160675843549642866661055787617496734405781471
a = 38341706974568098172697905376562415410863420236739650958
b = 395393382584534989047698356330422317897630021672687214876
である。

上記の楕円曲線の位数
ord(Ｅ）＝517847993827160675843549642866661055787617496734522943517
であり、楕円曲線Ｅに対してツイストされた楕円曲線Ｅ′も同様に素数の位数
ord(Ｅ′）＝517847993827160675843549642866661055787617496734288619427
を有する。基点Ｐ＝（ｘ，ｙ）は、座標
x = 81094469663915015430255024705469171085831504304496796756
y = 482060190644397986573077501327725919378173632606557848976
によって与えられ、上記の楕円曲線Ｅ上にあり、またこの場合に完全な点群をなす。すなわち、この楕円曲線Ｋの各点は、基点Ｐのスカラ倍によって表すことができるのである。さらに曲線Ｅおよびツイスト曲線Ｅ′の位数は、つぎの値
Ord(Ｅ)＝1＋4・129461998456790168960887410716665263946904374183630735879
Ord(Ｅ′)＝1＋2・258923996913580337921774821433330527893808748367144309713
を有する。

これによって暗号化方法用の楕円曲線に対し、要求されるすべての特性が満たされる。

Ａテスト対象体、Ｂ検査装置、Ｅ楕円曲線、１記憶装置、２記憶装置、３データ処理装置、４受信装置、５送信装置、１０乱数発生器、１１送信装置、１３データ処理装置、１４インタフェース

Claims

暗号化方法用の楕円曲線を求める方法において、
該方法は、
（ａ）テストすべき楕円曲線を準備するステップと、
（ｂ）前記のテストすべき楕円曲線に対応するツイスト楕円曲線の位数を決定するステップと、
（ｃ）当該のツイスト楕円曲線の位数が強い素数であるか否かを自動的に検査するステップと、
（ｄ）前記のツイスト楕円曲線の位数が強い素数である場合、前記のテストすべき楕円曲線を暗号化方法に適切な楕円曲線として選択するステップとを有することを特徴とする、
暗号化方法用の楕円曲線を求める方法。
前記のツイスト楕円曲線上にある点の数を数えることによって当該のツイスト楕円曲線の位数を決定する、
請求項１に記載の方法。
既知の標数を有する体上に前記のテストすべき楕円曲線を定義し、
当該の楕円曲線の位数の決定および体の標数に基づいて前記のツイスト楕円曲線の位数を決定する、
請求項１に記載の方法。
前記のテストすべき楕円曲線の位数が強い素数であるか否かを自動的に検査し、
当該のテストすべき楕円曲線の位数が強い素数である場合、当該のテストすべき楕円曲線を前記の暗号化方法に対して選択する、
請求項１から３までのいずれか１項に記載の方法。
データを暗号化処理する方法において、
当該方法は、
（ａ）請求項１から４までのうちのいずれか１項に記載の方法を用いて楕円曲線を求めて準備するステップと、
（ｂ）１点のｘ座標だけを準備するステップと、
（ｃ）個人鍵を準備するステップと、
（ｄ）前記の準備した楕円曲線および個人鍵を使用して、前記のｘ座標に暗号化方法を自動的に適用して、処理されたｘ座標を決定するステップと、
（ｅ）当該の処理されたｘ座標に基づいて値を出力するステップを有することを特徴とする、
データを暗号化処理する方法
前記のｘ座標を認証局からテスト対象体に送信し、
当該のテスト対象体によって前記の個人鍵を準備し、
前記のテスト対象体によって前記の処理されたｘ座標を決定し、
前記のテスト対象体によって前記の処理されたｘ座標を前記の認証局に伝送し、
当該の認証局によって前記のテスト対象体の公開鍵を準備し、
前記の認証局によって前記の処理されたｘ座標と公開鍵とを検査し、
当該の検査により、前記の処理されたｘ座標が有効であることが示される場合、前記の認証局によって前記のテスト対象体の同定の確認が行われる、
請求項５に記載の方法。
人物または対象体の同定確認のための装置において、
該装置は、
− 座標を受信するための受信装置と、
− 前記の人物または対象体の個人鍵を保持する記憶装置と、
− 請求項１から４までのいずれか１項に記載の方法を使用し、前記の楕円曲線に基づき、個人鍵を用いて、前記の受信した座標を処理する処理装置と、
− 前記の処理した座標を送出する送出装置とを有することを特徴する、
人物または対象体の同定確認のための装置。