JP6360440B2

JP6360440B2 - Decoding device, method and program

Info

Publication number: JP6360440B2
Application number: JP2015000953A
Authority: JP
Inventors: 有登仲野; 清本　晋作; 晋作清本; 三宅　優; 優三宅
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2015-01-06
Filing date: 2015-01-06
Publication date: 2018-07-18
Anticipated expiration: 2035-01-06
Also published as: JP2016126211A

Description

本発明は、復号装置、方法及びプログラムに関する。 The present invention relates to a decoding device, a method, and a program.

従来より、公開鍵暗号の一つであるＲＳＡ暗号（非特許文献１）の復号処理ａ＝ｂ^ｄ（ｍｏｄｎ）の実装では、次のような実装が用いられている。ただし、ａは平文、ｂは暗号文、ｄは秘密鍵を表し、ｐ、ｑをそれぞれ素数とし、ｎ＝ｐｑが成り立つ。
（１）ｄｐ，ｄｑ，ｉｑの計算
ｄｐ＝ｄ（ｍｏｄｐ−１）
ｄｑ＝ｄ（ｍｏｄｑ−１）
ｉｑ＝ｑ^−１（ｍｏｄｐ）
（２）ｂｐ，ｂｑの計算
ｂｐ＝ｂ^ｄｐ（ｍｏｄｐ）
ｂｑ＝ｑ^ｄｑ（ｍｏｄｑ）
（３）ａの計算
ｔｍｐ＝（ｂｐ−ｂｑ）×ｉｑ（ｍｏｄｐ）
ａ＝ｔｍｐ×ｑ＋ｂｑ Conventionally, in the implementation of the decryption process a = b ^d (mod n) of the RSA cipher (Non-Patent Document 1), which is one of public key ciphers, the following implementation is used. However, a represents plaintext, b represents ciphertext, d represents a secret key, p and q are prime numbers, and n = pq holds.
(1) Calculation of dp, dq, iq dp = d (mod p−1)
dq = d (mod q-1)
iq = q ⁻¹ (mod p)
(2) Calculation of bp and bq bp = b ^dp (mod p)
bq = q ^dq (mod q)
(3) Calculation of a tmp = (bp−bq) × iq (mod p)
a = tmp × q + bq

このような復号処理中の演算過程では、秘密鍵がメモリやＣＰＵレジスタに展開されるため、これらを狙った攻撃によって秘密鍵が漏えいするという危険性がある。これに対して、メモリ保護・レジスタ保護技術を適用することによってメモリやレジスタから鍵を抜き取る攻撃を防止することが可能である。例えば、特許文献１には、鍵などを秘匿するためのメモリ保護技術が開示されている。 In such a calculation process during the decryption process, since the secret key is expanded in the memory and the CPU register, there is a risk that the secret key is leaked by an attack aimed at them. On the other hand, by applying a memory protection / register protection technique, it is possible to prevent an attack of extracting a key from a memory or a register. For example, Patent Document 1 discloses a memory protection technique for concealing a key or the like.

特開２０１３−２４６６７８号公報JP 2013-246678 A

Ｒ．Ｌ．Ｒｉｖｅｓｔ，Ａ．Ｓｈａｍｉｒ，ａｎｄＬ．Ａｄｅｌｍａｎ：ＡＭｅｔｈｏｄｆｏｒＯｂｔａｉｎｉｎｇＤｉｇｉｔａｌＳｉｇｎａｔｕｒｅａｎｄＰｕｂｌｉｃ−ｋｅｙＣｒｙｐｔｓｙｓｔｅｍｓ，ＴｅｃｈｎｉｃａｌＭｅｍｏＬＣＳ／ＴＭ８２；Ａｐｒｉｌ４，１９７７（ＲｅｖｉｓｅｄＤｅｃｅｍｂｅｒ１２，１９７７）R. L. Rivest, A.M. Shamir, and L.L. Adelman: A Method for Observing Digital Signature and Public-key Cryptsystems, Technical Memo LCS / TM82; April 4, 1977 (Revised Decem 77)

しかしながら、上述の実装において、鍵に関連する値であるｐ、ｑを保護しようとした場合、復号処理中のほぼすべての演算にｐ、ｑが現れるため、保護技術の適用によるオーバーヘッドが非常に大きくなり、パフォーマンス低下が著しいという問題がある。 However, in the above implementation, when p and q that are values related to the key are to be protected, p and q appear in almost all operations during the decryption process, so the overhead due to the application of the protection technique is very large. Therefore, there is a problem that the performance degradation is remarkable.

そこで、保護技術を適用した場合でも、復号処理が高速に動作するＲＳＡ実装が、望まれている。 Therefore, even when a protection technique is applied, an RSA implementation in which the decryption process operates at high speed is desired.

本発明は、ＲＳＡ暗号における復号処理が、安全、かつ、高速な復号装置、方法及びプログラムを提供することを目的とする。 An object of the present invention is to provide a decryption apparatus, method, and program that are safe and have high speed decryption processing in RSA encryption.

具体的には、以下のような解決手段を提供する。
（１）ＲＳＡ暗号における暗号文を復号する復号装置であって、乱数を発生させる乱数生成部と、秘密鍵を用いて前記暗号文を復号する復号演算部と、を備え、前記復号演算部は、複数の異なる前記乱数と前記秘密鍵とを含んだ排他的論理和の演算を混在させた演算により前記秘密鍵の各ビットを導出するビット導出部と、前記ビット導出部によって前記秘密鍵の最上位ビット又は最下位ビットから順に導出された前記各ビットの値を判定し、判定結果に応じた２乗算と乗算とを繰り返すことにより復号のためのべき剰余算を代替する、べき剰余算部と、を備える、復号装置。 Specifically, the following solutions are provided.
(1) A decryption device that decrypts a ciphertext in an RSA cipher, comprising: a random number generation unit that generates a random number; and a decryption operation unit that decrypts the ciphertext using a secret key, A bit derivation unit for deriving each bit of the secret key by an operation in which an exclusive OR operation including a plurality of different random numbers and the secret key is mixed; A power residue calculation unit that determines the value of each bit derived in order from the upper bit or the least significant bit and substitutes the power residue calculation for decoding by repeating the multiplication and multiplication according to the determination result; And a decoding device.

（１）に係る復号装置の復号処理は、秘密鍵から直接的に各ビットを導出しないで間接的に導出するので、秘密鍵の各ビットを導出する過程がメモリやＣＰＵレジスタに展開されても、秘密鍵の各ビットの値について推測されることが困難である。さらに、復号処理において、２乗算と乗算とを繰り返す、べき剰余算は高速であり、各ビットの導出についての間接的な演算は、秘密鍵だけに限られているので、オーバーヘッドが抑制されている。
したがって、（１）に係る復号装置は、ＲＳＡ暗号における復号処理が、安全、かつ、高速である。 Since the decryption process of the decryption apparatus according to (1) is indirectly derived without deriving each bit directly from the secret key, even if the process of deriving each bit of the secret key is developed in a memory or a CPU register It is difficult to guess about the value of each bit of the secret key. Furthermore, in the decryption process, the power-residue calculation that repeats two multiplications and multiplications is fast, and the indirect operation for deriving each bit is limited only to the secret key, so overhead is suppressed. .
Therefore, in the decryption device according to (1), the decryption process in the RSA encryption is safe and fast.

（２）データに対するアクセスのパターンを保護するアクセスパターン保護部を有する保護記憶部をさらに備え、前記復号演算部は、前記保護記憶部に記憶された前記秘密鍵を用いる、（１）に記載の復号装置。 (2) The apparatus according to (1), further including a protection storage unit having an access pattern protection unit that protects a pattern of access to data, wherein the decryption operation unit uses the secret key stored in the protection storage unit. Decoding device.

（２）に係る復号装置は、復号処理中に保護技術を適用する対象が秘密鍵だけでよい。
したがって、（２）に係る復号装置は、ＲＳＡ暗号における復号処理に、保護技術を適用した場合でもオーバーヘッドが抑制され、高速である。 In the decryption device according to (2), only the secret key may be applied to the protection technique during the decryption process.
Therefore, the decryption apparatus according to (2) is high-speed with reduced overhead even when a protection technique is applied to the decryption process in the RSA encryption.

（３）前記べき剰余算部は、前記秘密鍵の各ビットの値の判定に、前記各ビットの値と前記乱数との排他的論理和を用いる、（１）又は（２）に記載の復号装置。 (3) The decryption according to (1) or (2), wherein the power residue calculation unit uses an exclusive OR of the value of each bit and the random number to determine the value of each bit of the secret key. apparatus.

（３）に係る復号装置は、秘密鍵の導出された各ビットの値も間接的に判定するので、秘密鍵の各ビットの値を判定する過程がメモリやＣＰＵレジスタに展開されても、秘密鍵の各ビットの値について推測されることが困難である。したがって、（３）に係る復号装置は、各ビットの導出の安全性に判定の安全性を加えて、さらに安全である。 Since the decryption device according to (3) also indirectly determines the value of each bit from which the secret key is derived, even if the process of determining the value of each bit of the secret key is expanded in the memory or CPU register, the secret It is difficult to guess about the value of each bit of the key. Therefore, the decoding apparatus according to (3) is more secure by adding the security of determination to the security of deriving each bit.

（４）前記べき剰余算部は、前記ビット導出部によって導出されたビットを複数のビットにまとめた値で場合分けし、各場合に固有の２乗算と乗算との組み合わせを繰り返すことにより前記べき剰余算を代替する、（１）から（３）のいずれか一に記載の復号装置。 (4) The power residue calculation unit divides the bits derived by the bit deriving unit into a plurality of bits, and repeats a combination of unique multiplication and multiplication in each case. The decoding device according to any one of (1) to (3), which substitutes a residue calculation.

（４）に係る復号装置は、秘密鍵の各ビットの値をさらに間接的に判定するので、秘密鍵の各ビットの値について推測されることがさらに困難である。したがって、（４）に係る復号装置は、さらに安全である。 Since the decryption apparatus according to (4) further indirectly determines the value of each bit of the secret key, it is more difficult to infer the value of each bit of the secret key. Therefore, the decoding device according to (4) is more secure.

（５）前記べき剰余算部は、ダミーの演算を混在させた演算をする、（１）から（４）のいずれか一に記載の復号装置。 (5) The decoding apparatus according to any one of (1) to (4), wherein the power residue calculation unit performs an operation in which dummy operations are mixed.

（５）に係る復号装置は、復号処理における秘密鍵に関するアルゴリズムの解読について困難化されているので、さらに安全である。 The decryption apparatus according to (5) is more secure because it is difficult to decrypt the algorithm related to the secret key in the decryption process.

（６）（１）に記載の復号装置が実行する方法であって、前記乱数生成部が、乱数を発生させる乱数ステップと、前記復号演算部が、秘密鍵を用いて前記暗号文を復号する復号演算ステップと、を備え、前記復号演算ステップは、前記ビット導出部が、複数の異なる前記乱数と前記秘密鍵とを含んだ排他的論理和の演算を混在させた演算により前記秘密鍵の各ビットを導出するビット導出ステップと、前記べき剰余算部が、前記ビット導出ステップによって前記秘密鍵の最上位ビット又は最下位ビットから順に導出された前記各ビットの値を判定し、判定結果に応じた２乗算と乗算とを繰り返すことにより復号のためのべき剰余算を代替する、べき剰余算ステップと、を備える、方法。 (6) A method executed by the decryption device according to (1), wherein the random number generation unit generates a random number, and the decryption operation unit decrypts the ciphertext using a secret key. A decryption operation step, wherein the decryption operation step is performed by the bit derivation unit by performing an operation in which exclusive OR operations including a plurality of different random numbers and the secret key are mixed. A bit deriving step for deriving a bit, and the power residue calculating unit determines a value of each bit derived in order from the most significant bit or the least significant bit of the secret key by the bit deriving step, and according to the determination result And a power residue calculation step of substituting power residue calculation for decoding by repeating two multiplications and multiplications.

したがって、（６）に係る方法は、（１）と同様に、ＲＳＡ暗号における復号処理が、安全、かつ、高速である。 Therefore, in the method according to (6), similarly to (1), the decryption process in the RSA encryption is safe and fast.

（７）コンピュータに、（６）に記載の方法の各ステップを実行させるためのプログラム。 (7) A program for causing a computer to execute each step of the method according to (6).

したがって、（７）に係るプログラムは、ＲＳＡ暗号における復号処理が、安全、かつ、高速であるように、コンピュータに機能させる。 Therefore, the program according to (7) causes the computer to function so that the decryption process in the RSA encryption is safe and high speed.

本発明によれば、ＲＳＡ暗号における復号処理が、保護技術を適用した場合でも、安全、かつ、高速である。 According to the present invention, the decryption process in the RSA encryption is safe and fast even when the protection technique is applied.

本発明の実施形態１に係る復号装置の構成を示すブロック図である。It is a block diagram which shows the structure of the decoding apparatus which concerns on Embodiment 1 of this invention. 本発明の実施形態２に係る復号装置の構成を示すブロック図である。It is a block diagram which shows the structure of the decoding apparatus which concerns on Embodiment 2 of this invention.

［実施形態１］
以下、本発明の実施形態について、図を参照しながら説明する。図１は、本発明の実施形態１に係る復号装置１０の構成を示すブロック図である。
復号装置１０は、乱数生成部１１と、復号演算部１２とを備える。各部を詳述する。 [Embodiment 1]
Hereinafter, embodiments of the present invention will be described with reference to the drawings. FIG. 1 is a block diagram showing a configuration of a decoding apparatus 10 according to Embodiment 1 of the present invention.
The decryption device 10 includes a random number generation unit 11 and a decryption calculation unit 12. Each part will be described in detail.

乱数生成部１１は、乱数を発生させる。生成される乱数は、暗号学的に安全な乱数であることが望ましい。 The random number generator 11 generates a random number. The generated random number is preferably a cryptographically secure random number.

復号演算部１２は、秘密鍵を用いて暗号文を復号する。復号演算部１２は、ビット導出部１２１と、べき剰余算部１２２とを備える。具体的には、復号演算部１２は、ＲＳＡの復号処理として、ａ＝ｂ^ｄ（ｍｏｄｎ）のべき剰余算をする。ここで、ａは平文を表し、ｂは暗号文を表し、ｄは秘密鍵を表し、ｎは公開鍵をそれぞれ表す。復号演算部１２は、べき剰余算を、ビット導出部１２１によって導出された各ビットに基づいて、べき剰余算部１２２による演算をする。 The decryption operation unit 12 decrypts the ciphertext using the secret key. The decoding calculation unit 12 includes a bit derivation unit 121 and a power residue calculation unit 122. Specifically, the decoding operation unit 12 performs a power residue calculation of a = b ^d (mod n) as RSA decoding processing. Here, a represents plaintext, b represents ciphertext, d represents a secret key, and n represents a public key. The decoding operation unit 12 performs an operation by the power residue calculation unit 122 on the basis of each bit derived by the bit deriving unit 121.

ビット導出部１２１は、複数の異なる乱数と秘密鍵ｄとを含んだ排他的論理和の演算を混在させた演算により秘密鍵ｄの各ビットを導出する。具体的には、ビット導出部１２１は、秘密鍵ｄを直接的に演算（例えば、シフト演算など）をするのではなく、間接的にｉ番目のビットを導出する（後述する＜安全のための間接的なビット導出＞参照）。 The bit deriving unit 121 derives each bit of the secret key d by an operation in which an exclusive OR operation including a plurality of different random numbers and the secret key d is mixed. Specifically, the bit deriving unit 121 does not directly calculate the secret key d (for example, shift operation), but indirectly derives the i-th bit (to be described later <for safety See Indirect Bit Derivation>).

べき剰余算部１２２は、ビット導出部１２１によって秘密鍵ｄの最上位ビット又は最下位ビットから順に導出された各ビットの値に基づいて、２乗算と乗算とを繰り返すことにより復号のためのべき剰余算を代替する。例えば、後述するアルゴリズム１は、秘密鍵ｄの最上位ビットから順に導出された各ビットの値に基づいて、２乗算と乗算とを繰り返す例である。同様に、後述するアルゴリズム２は、秘密鍵ｄの最下位ビットから順に導出された各ビットの値に基づいて、２乗算と乗算とを繰り返す例である。
このようなべき剰余算に、秘密鍵ｄの値を直接的に利用することのない演算（後述する＜安全のための間接的なビット導出＞）を組み込むと、組み込まれたべき剰余算は、演算の過程がメモリやＣＰＵレジスタに展開されても、安全に実行可能である。 The power residue calculation unit 122 should perform the decryption by repeating the multiplication and multiplication based on the value of each bit sequentially derived from the most significant bit or the least significant bit of the secret key d by the bit deriving unit 121. Substitutes remainder calculation. For example, algorithm 1 to be described later is an example in which double multiplication and multiplication are repeated based on the value of each bit derived in order from the most significant bit of the secret key d. Similarly, algorithm 2, which will be described later, is an example in which double multiplication and multiplication are repeated based on the value of each bit sequentially derived from the least significant bit of the secret key d.
When an operation that does not directly use the value of the secret key d (<indirect bit derivation for security> described later) is incorporated in such a power residue calculation, Even if the operation process is developed in a memory or CPU register, it can be executed safely.

＜高速のためのべき剰余算＞
ここで、べき剰余算部１２２が実行する演算について、さらに説明する。
秘密鍵ｄの２進数は、数式１のように表される。 <Power residue calculation for high speed>
Here, the calculation executed by the power residue calculation unit 122 will be further described.
The binary number of the secret key d is expressed as Equation 1.

べき剰余算部１２２は、べき剰余を数式１１のように計算する。 The power residue calculation unit 122 calculates the power residue as in Expression 11.

このべき剰余算（アルゴリズム１）は、次のように実装されることが可能である。
ｔ［０］＝１；
ｆｏｒ（ｉ＝ｋ−１；ｉ＞＝０；ｉ−−）
｛
ｔ［０］＝ｔ［０］＊ｔ［０］ｍｏｄｎ；
ｔ［１］＝ｔ［０］＊ｂｍｏｄｎ；
ｔ［０］＝ｔ［ｄ［ｉ］］；
｝ This power residue calculation (algorithm 1) can be implemented as follows.
t [0] = 1;
for (i = k−1; i> = 0; i−−)
{
t [0] = t [0] * t [0] mod n;
t [1] = t [0] * b mod n;
t [0] = t [d [i]];
}

べき剰余算部１２２は、べき剰余を数式１２のように計算することもできる。 The power residue calculation unit 122 can also calculate the power residue as in Expression 12.

この、べき剰余算（アルゴリズム２）は、次のように実装されることが可能である。
ｔ［０］＝１；
ｘ＝ｂ；
ｆｏｒ（ｉ＝０；ｉ＜ｋ；ｉ＋＋）
｛
ｔ［１］＝ｔ［０］＊ｘｍｏｄｎ；
ｔ［０］＝ｔ［ｄ［ｉ］］；
ｘ＝ｘ＊ｘｍｏｄｎ；
｝ This power residue calculation (algorithm 2) can be implemented as follows.
t [0] = 1;
x = b;
for (i = 0; i <k; i ++)
{
t [1] = t [0] * x mod n;
t [0] = t [d [i]];
x = x * x mod n;
}

復号装置１０は、アルゴリズム１及びアルゴリズム２のどちらの場合も、保護対象は秘密鍵ｄのみであり、秘密鍵ｄの各ビットの値を判定し、判定結果に応じた２乗算と乗算とを繰り返し、高速な処理が可能である。 In both the algorithm 1 and the algorithm 2, the decryption device 10 is protected only by the secret key d, determines the value of each bit of the secret key d, and repeats the multiplication and multiplication according to the determination result. High-speed processing is possible.

＜安全のための間接的な右シフト演算＞
例えば、ビット導出部１２１は、数式２の演算により、間接的に秘密鍵ｄのｉビット右シフトを行う。
（（（（ｄｘｏｒｒ_ｄ）ｘｏｒｒ_０ｘｏｒｒ_ｄ）＞＞ｉ）ｘｏｒｒ）ｘｏｒ（（ｒ_０＞＞ｉ）ｘｏｒｒ）・・・数式２ <Indirect right shift operation for safety>
For example, the bit deriving unit 121 indirectly performs i-bit right shift of the secret key d by the calculation of Equation 2.
((((D xor r _d ) xor r ₀ xor r _d ) >> i) xor r) xor (((r ₀ >> i) xor r) Equation 2

ここで、数式２が、秘密鍵ｄのｉビット右シフトに相当することについて説明する。
ｒ、ｒ_ｚ、ｒ_ｄ、ｒ_０は、それぞれ異なる乱数であるとし、次の演算式があるとする。
Ｚｘｏｒｒ_ｚ＝（（（ｄｘｏｒｒ_ｄ）ｘｏｒｒ_０ｘｏｒｒ_ｄ）＞＞ｉ）ｘｏｒｒ
この演算式と、ｒ_ｚ＝（ｒ_０＞＞ｉ）ｘｏｒｒとの排他的論理和を行うと、
左辺は、Ｚとなり、右辺は、乱数が消去され、（ｄ＞＞ｉ）となる。
すなわち、秘密鍵ｄのｉビット右シフトは、数式２の演算を行うことにより、実現される。 Here, the fact that Equation 2 corresponds to an i-bit right shift of the secret key d will be described.
It is assumed that r, r _z, r _{d, and} r ₀ are different random numbers, and there is the following arithmetic expression.
Z xor r _z = (((d xor r _d ) xor r ₀ xor r _d ) >> i) xor r
Performing an exclusive OR of this arithmetic expression and r _z = (r ₀ >> i) xor r,
The left side is Z, and the right side is the random number is erased and (d >> i).
That is, the i-bit right shift of the secret key d is realized by performing the calculation of Equation 2.

＜安全のための間接的な論理積演算＞
秘密鍵ｄと１との論理積演算は、例えば、数式３により行われ、間接的に秘密鍵ｄ＆１の値が求められる。
（（ｄｘｏｒｒ_ｄ）＆（１ｘｏｒｒ_１））ｘｏｒ（（（ｄｘｏｒｒ_ｄ）＆ｒ_１）ｘｏｒ（ｒ_ｄ＆（１ｘｏｒｒ_１））ｘｏｒ（ｒ_ｄ＆ｒ_１））・・・数式３ <Indirect AND operation for safety>
The logical product operation of the secret key d and 1 is performed by, for example, Expression 3, and the value of the secret key d & 1 is obtained indirectly.
((D xor r _d ) & (1 xor r ₁ )) xor (((d xor r _d ) & r ₁ ) xor (r _d & (1 xor r ₁ )) xor (r _d & r ₁ )) Formula 3

ここで、数式３が、秘密鍵ｄ＆１の値の導出に相当することについて説明する。
ｒ_ｚ、ｒ_ｄ、ｒ_１は、それぞれ異なる乱数であるとし、次の演算式があるとする。
Ｚｘｏｒｒ_ｚ＝（ｄｘｏｒｒ_ｄ）＆（１ｘｏｒｒ_１）
この演算式と、ｒ_ｚ＝（（ｄｘｏｒｒ_ｄ）＆ｒ_１）ｘｏｒ（ｒ_ｄ＆（１ｘｏｒｒ_１））ｘｏｒ（ｒ_ｄ＆ｒ_１）との排他的論理和を行うと、
左辺は、Ｚとなり、右辺は、乱数が消去され、（ｄ＆１）となる。
すなわち、秘密鍵ｄ＆１の値は、秘密鍵ｄ＆１の演算の代わりに、数式３の演算を行うことにより、求められる。
したがって、秘密鍵ｄのｉビット目の値は、（ｄ＞＞ｉ）＆１の演算の代わりに、数式２の演算と数式３の演算とを行うことにより、求められる。
このような、秘密鍵ｄの値を直接的に利用することのない演算は、演算の過程がメモリやＣＰＵレジスタに展開されても、安全に実行可能である。 Here, it will be described that Equation 3 corresponds to derivation of the value of the secret key d & 1.
It is assumed that r _z, r _{d, and} r ₁ are different random numbers, and there are the following arithmetic expressions.
Z xor r _z = (d xor r _d ) & (1 xor r ₁ )
When this arithmetic expression is exclusive-ORed with r _z = ((d xor r _d ) & r ₁ ) xor (r _d & (1 xor r ₁ )) xor (r _d & r ₁ ),
The left side is Z, and the right side is (d & 1) with the random number erased.
That is, the value of the secret key d & 1 is obtained by performing the calculation of Equation 3 instead of the calculation of the secret key d & 1.
Therefore, the value of the i-th bit of the secret key d is obtained by performing the calculations of Formula 2 and Formula 3 instead of the calculation of (d >> i) & 1.
Such an operation that does not directly use the value of the secret key d can be executed safely even if the operation process is expanded in a memory or a CPU register.

＜安全のための間接的なビット判定＞
べき剰余算部１２２は、秘密鍵ｄの各ビットの値の判定に、各ビットの値と乱数との排他的論理和を用いる。
具体的には、ビットの判定は、（（ｄ_ｉｘｏｒｒ）＝＝（１ｘｏｒｒ））の判断によって行われる。ここで、ｄ_ｉのビットの値は、数式２で求められた値＆１（すなわち、ｄ＞＞ｉ＆１の値）である。
すなわち、（（ｄ_ｉｘｏｒｒ）＝＝（１ｘｏｒｒ））の判断が真の場合、ｄ_ｉのビットの値は１であり、偽の場合、ｄ_ｉのビットの値は０である。
べき剰余算部１２２は、このようなビットの判定によって、秘密鍵ｄのｉビット目が０であるか１であるかを判定することで、秘密鍵ｄの値を直接的に利用せずに判定することが可能である。
このような、秘密鍵ｄの値を直接的に利用することのない判定は、演算の過程がメモリやＣＰＵレジスタに展開されても、安全に実行可能である。 <Indirect bit judgment for safety>
The power residue calculation unit 122 uses the exclusive OR of the value of each bit and a random number to determine the value of each bit of the secret key d.
Specifically, the bit is determined by the determination of ((d _i xor r) == (1 xor r)). Here, the bit value of d _i is the value & 1 obtained by Equation 2 (that is, the value of d >> i & 1).
That _is, if the determination is true ((d i xor r) == (1 xor r)), the bit value of _{d i} is 1, if false, the bit value of _{d i} is 0.
The power residue calculation unit 122 determines whether the i-th bit of the secret key d is 0 or 1 by such bit determination, so that the value of the secret key d is not directly used. It is possible to determine.
Such a determination that does not directly use the value of the secret key d can be safely executed even if the calculation process is expanded in the memory or the CPU register.

＜安全のための複数ビットの判定＞
さらに、べき剰余算部１２２は、ビット導出部１２１によって導出されたビットを複数のビットにまとめた値で場合分けして２乗算と乗算とを組み合わせ、べき剰余算を代替する。べき剰余算部１２２は、複数のビットをまとめて判定することで秘密鍵ｄのｉビット目の推測をさらに困難にすることが可能である。 <Decision of multiple bits for safety>
Further, the power residue calculation unit 122 substitutes the power residue calculation by dividing the bits derived by the bit deriving unit 121 into a plurality of bits and combining two multiplications and multiplications. The power residue calculation unit 122 can make it more difficult to estimate the i-th bit of the secret key d by collectively determining a plurality of bits.

例えば、べき剰余算部１２２は、秘密鍵ｄのｉビット目とｉ＋１ビット目を一度に判定し、００、０１、１０、１１の４とおりに場合分けする。 For example, the power residue calculation unit 122 determines the i-th bit and the i + 1-th bit of the secret key d at once, and divides the case into four cases of 00, 01, 10, and 11.

例えば、後述するアルゴリズム４において、判定した値が００の場合は、秘密鍵ｄのｉビット目が０の処理と、ｉ＋１ビット目が０の処理とを、次のように行う。
ｔ＝ｔ＊１ｍｏｄｎ；
ｘ＝ｘ＊ｘｍｏｄｎ；
ｔ＝ｔ＊１ｍｏｄｎ；
ｘ＝ｘ＊ｘｍｏｄｎ； For example, in the algorithm 4 to be described later, when the determined value is 00, the process in which the i-th bit of the secret key d is 0 and the process in which the i + 1-th bit is 0 are performed as follows.
t = t * 1 mod n;
x = x * x mod n;
t = t * 1 mod n;
x = x * x mod n;

例えば、判定した値が１０の場合は、秘密鍵ｄのｉビット目が１の処理と、ｉ＋１ビット目が０の処理とを、次のように行う。
ｔ＝ｔ＊ｘｍｏｄｎ；
ｘ＝ｘ＊ｘｍｏｄｎ；
ｔ＝ｔ＊１ｍｏｄｎ；
ｘ＝ｘ＊ｘｍｏｄｎ； For example, when the determined value is 10, the process in which the i-th bit of the secret key d is 1 and the process in which the i + 1-th bit is 0 are performed as follows.
t = t * x mod n;
x = x * x mod n;
t = t * 1 mod n;
x = x * x mod n;

＜安全のためのダミー演算の混在＞
べき剰余算部１２２は、ダミーの演算を混在させた演算をする。 <Mixed dummy operations for safety>
The power residue calculation unit 122 performs an operation in which dummy operations are mixed.

上述のアルゴリズム１に、以下のようにダミーの演算を追加することで、べき剰余算部１２２は、ダミーの演算が混在するアルゴリズム３を実行する。ここで、ｂは暗号文である。この処理によって最終的に得られるｔの値が平文ａと等しくなる。 By adding a dummy calculation as described below to the algorithm 1, the power residue calculation unit 122 executes the algorithm 3 in which the dummy calculation is mixed. Here, b is a ciphertext. The value of t finally obtained by this processing becomes equal to the plaintext a.

＜アルゴリズム３＞
ｔ＝１；
ｆｏｒ（ｉ＝ｋ−１；ｉ＞＝０；ｉ−−）
｛
ｔ＝ｔ＊ｔ（ｍｏｄｎ）；
ｉｆ（ｄ［ｉ］＝＝１）
ｔ＝ｔ＊ｂｍｏｄｎ；
ｅｌｓｅ（）
ｔ＝ｔ＊１ｍｏｄｎ；
｝ <Algorithm 3>
t = 1;
for (i = k−1; i> = 0; i−−)
{
t = t * t (mod n);
if (d [i] == 1)
t = t * b mod n;
else ()
t = t * 1 mod n;
}

同様に、アルゴリズム２に、以下のようにダミーの演算を追加することで、べき剰余算部１２２は、ダミーの演算が混在するアルゴリズム４を実行する。 Similarly, by adding a dummy operation to the algorithm 2 as described below, the power residue calculation unit 122 executes the algorithm 4 in which dummy operations are mixed.

＜アルゴリズム４＞
ｔ＝１；
ｘ＝ｂ；
ｆｏｒ（ｉ＝０；ｉ＜ｋ；ｉ＋＋）
｛
ｉｆ（ｄ［ｉ］＝＝１）
ｔ＝ｔ＊ｘ（ｍｏｄｎ）；
ｅｌｓｅ（）
ｔ＝ｔ＊１ｍｏｄｎ；
ｘ＝ｘ＊ｘ（ｍｏｄｎ）；
｝ <Algorithm 4>
t = 1;
x = b;
for (i = 0; i <k; i ++)
{
if (d [i] == 1)
t = t * x (mod n);
else ()
t = t * 1 mod n;
x = x * x (mod n);
}

上述のように、保護対象が秘密鍵ｄのみなので、オーバーヘッドを抑制することができ、復号装置１０は、復号処理を、安全のための特別の演算であって、秘密鍵ｄを直接的に利用せずに間接的に利用するような特別の演算に代替することが可能である。また、復号装置１０は、復号処理を、安全のためのアルゴリズムであって、秘密鍵ｄに関する処理にダミーの演算を追加し、アルゴリズムの難読化により秘密鍵ｄの推測を困難にするためのアルゴリズムに代替することが可能である。 As described above, since only the secret key d is protected, overhead can be suppressed, and the decryption apparatus 10 performs decryption processing as a special operation for safety, and directly uses the secret key d. It is possible to substitute for a special operation that is used indirectly without using it. Further, the decryption apparatus 10 is an algorithm for safety of decryption, and adds a dummy operation to the process related to the secret key d, and makes it difficult to guess the secret key d by obfuscation of the algorithm. It is possible to substitute.

［実施形態２］
実施形態２は、安全のために保護記憶部を適用した実施形態である。
復号装置１０は、実施形態１の構成に加えて、保護記憶部３０をさらに備える。乱数生成部１１と、復号演算部１２とについては、実施形態１と同様である。 [Embodiment 2]
The second embodiment is an embodiment in which a protection storage unit is applied for safety.
The decryption device 10 further includes a protection storage unit 30 in addition to the configuration of the first embodiment. The random number generation unit 11 and the decryption calculation unit 12 are the same as those in the first embodiment.

保護記憶部３０（例えば、メインメモリ）は、データに対するアクセスのパターンを保護するアクセスパターン保護部３１を有し、データを秘匿して記憶する。
アクセスパターン保護部３１は、例えば、書き出し処理（例えば、データをキャッシュメモリから保護記憶部３０に戻すとき）において、保護記憶部３０へデータを書き出すときのアドレスを、保護記憶部３０からデータを読み出したときのアドレスとは異なるアドレスに変更する。その結果、アクセスパターン保護部３１は、データを読み出す保護記憶部３０のアドレスを都度変化させる。このように、アクセスパターン保護部３１は、読み出し処理及び書き出し処理におけるアドレスが同一のアドレスとなって、同じパターンのアクセスが発生することを防止する。アクセスパターン保護部３１は、例えば、ＯＲＡＭ（ＯｂｌｉｖｉｏｕｓＲＡＭ）において実現されている。 The protection storage unit 30 (for example, main memory) has an access pattern protection unit 31 that protects an access pattern for data, and stores the data in a secret manner.
For example, the access pattern protection unit 31 reads the data from the protection storage unit 30 and the address for writing the data to the protection storage unit 30 in the writing process (for example, when returning data from the cache memory to the protection storage unit 30). Change the address to a different address. As a result, the access pattern protection unit 31 changes the address of the protection storage unit 30 from which data is read each time. As described above, the access pattern protection unit 31 prevents the addresses in the read process and the write process from having the same address and the same pattern access. The access pattern protection unit 31 is realized by, for example, an ORAM (Obvious RAM).

復号演算部１２は、保護記憶部３０に記憶された秘密鍵ｄを用い、ビット導出部１２１及びべき剰余算部１２２により、実施形態１において説明した演算をする。 The decryption calculation unit 12 uses the secret key d stored in the protection storage unit 30 to perform the calculation described in the first embodiment by the bit derivation unit 121 and the power residue calculation unit 122.

保護が必要となるのは秘密鍵ｄだけであるため、オーバーヘッドが抑制され、復号装置１０は、演算中に秘密鍵ｄを保護記憶部３０に安全に保護しながら、パフォーマンスの著しい低下を招くことなく、高速に復号する。
さらに、復号装置１０は、保護記憶部３０による秘密鍵ｄの安全な保護と、安全のための特別な演算などとを組み合わせて保護技術を適用しても、オーバーヘッドが抑制され、パフォーマンスの著しい低下を招くことなく、高速に復号する。 Since only the secret key d needs to be protected, the overhead is suppressed, and the decryption apparatus 10 causes the performance to drop significantly while protecting the secret key d in the protection storage unit 30 safely during the operation. Without decoding.
Furthermore, even if the decryption apparatus 10 applies the protection technique by combining the safe protection of the secret key d by the protection storage unit 30 and the special operation for safety, the overhead is suppressed and the performance is significantly reduced. Without incurring high-speed decoding.

本実施形態によれば、復号装置１０の復号処理は、秘密鍵ｄから直接的に各ビットを導出しないで間接的に導出するので、秘密鍵ｄの各ビットを導出する過程がメモリやＣＰＵレジスタに展開されても、秘密鍵ｄの各ビットの値について推測されることが困難であり、安全である。復号装置１０の復号処理は、２乗算と乗算とを繰り返す、べき剰余算によって処理され高速であり、各ビットの導出についての間接的な演算が秘密鍵ｄだけに限られているので、オーバーヘッドが抑制され、高速である。
さらに、復号装置１０の復号処理は、アクセスパターン保護部３１を有する保護記憶部３０を適用した場合でも、適用される範囲が秘密鍵ｄ及び秘密鍵ｄに関する演算に限られているので、オーバーヘッドが抑制され、高速である。
復号装置１０の復号処理は、秘密鍵ｄの各ビットの値の判定において、秘密鍵ｄを間接的に利用するので、演算の過程がメモリやＣＰＵレジスタに展開されても、秘密鍵ｄの各ビットの値について推測されることが困難であり、安全である。
復号装置１０の復号処理は、秘密鍵ｄに関するアルゴリズムが、秘密鍵ｄの各ビットを複数のビットにまとめた値での場合分けや、ダミーの演算の挿入により、難読化され、演算の過程がメモリやＣＰＵレジスタに展開されても、秘密鍵ｄの各ビットの値について推測されることが困難であり、安全である。
したがって、復号装置１０は、保護技術を適用した場合でも、オーバーヘッドが抑制され、従来の実装ではできなかった、安全、かつ、高速な復号を行う。 According to the present embodiment, since the decryption process of the decryption device 10 is indirectly derived without directly deriving each bit from the secret key d, the process of deriving each bit of the secret key d is a memory or CPU register. However, it is difficult to guess the value of each bit of the secret key d, and it is safe. The decryption process of the decryption device 10 is performed by power residue calculation that repeats two multiplications and multiplications, and is high-speed. Since indirect operations for deriving each bit are limited only to the secret key d, overhead is reduced. Suppressed and fast.
Furthermore, the decryption process of the decryption apparatus 10 is limited to the calculation related to the secret key d and the secret key d, even when the protection storage unit 30 having the access pattern protection unit 31 is applied. Suppressed and fast.
Since the decryption process of the decryption device 10 indirectly uses the secret key d in the determination of the value of each bit of the secret key d, each of the secret key d can be obtained even if the calculation process is expanded in the memory or the CPU register. It is difficult to guess about the value of the bit and it is safe.
In the decryption process of the decryption device 10, the algorithm related to the secret key d is obfuscated by dividing each bit of the secret key d into a plurality of bits or inserting a dummy operation, and the process of the operation is Even if it is expanded in a memory or a CPU register, it is difficult to guess the value of each bit of the secret key d, and it is safe.
Therefore, even when the protection technique is applied, the decryption device 10 suppresses overhead, and performs safe and high-speed decryption that was not possible with the conventional implementation.

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。 As mentioned above, although embodiment of this invention was described, this invention is not restricted to embodiment mentioned above. The effects described in the embodiments of the present invention are only the most preferable effects resulting from the present invention, and the effects of the present invention are limited to those described in the embodiments of the present invention. is not.

復号装置１０による一連の処理は、ソフトウェアにより行うこともできる。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムが、汎用のコンピュータなどにインストールされる。また、当該プログラムは、コンピュータ読み取り可能な記録媒体（例えば、ＣＤ−ＲＯＭのようなリムーバブルメディアなど）に記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。 A series of processing by the decoding device 10 can also be performed by software. When a series of processing is performed by software, a program constituting the software is installed in a general-purpose computer or the like. The program may be recorded on a computer-readable recording medium (for example, a removable medium such as a CD-ROM) and distributed to the user, or may be downloaded to the user's computer via a network. May be distributed.

１０復号装置
１１乱数生成部
１２復号演算部
１２１ビット導出部
１２２べき剰余算部
３０保護記憶部
３１アクセスパターン保護部
DESCRIPTION OF SYMBOLS 10 Decoding apparatus 11 Random number generation part 12 Decoding operation part 121 Bit derivation part 122 Power remainder calculation part 30 Protection memory | storage part 31 Access pattern protection part

Claims

ＲＳＡ暗号における暗号文を復号する復号装置であって、
乱数を発生させる乱数生成部と、
秘密鍵を用いて前記暗号文を復号する復号演算部と、を備え、
前記復号演算部は、
複数の異なる前記乱数と前記秘密鍵とを含んだ排他的論理和の演算を混在させた演算により前記秘密鍵の各ビットを導出するビット導出部と、
前記ビット導出部によって前記秘密鍵の最上位ビット又は最下位ビットから順に導出された前記各ビットの値を判定し、判定結果に応じた２乗算と乗算とを繰り返すことにより復号のためのべき剰余算を代替する、べき剰余算部と、を備える、
復号装置。 A decryption device for decrypting ciphertext in the RSA cipher,
A random number generator for generating random numbers;
A decryption operation unit that decrypts the ciphertext using a secret key,
The decoding operation unit
A bit derivation unit for deriving each bit of the secret key by an operation in which an exclusive OR operation including a plurality of different random numbers and the secret key is mixed,
The value of each bit derived in order from the most significant bit or the least significant bit of the secret key by the bit deriving unit is determined, and by performing multiplication and multiplication according to the determination result, a power residue for decryption A power residue calculation unit that replaces the calculation,
Decoding device.

データに対するアクセスのパターンを保護するアクセスパターン保護部を有する保護記憶部をさらに備え、
前記復号演算部は、前記保護記憶部に記憶された前記秘密鍵を用いる、
請求項１に記載の復号装置。 A protection storage unit having an access pattern protection unit for protecting a pattern of access to data;
The decryption operation unit uses the secret key stored in the protection storage unit.
The decoding device according to claim 1.

前記べき剰余算部は、前記秘密鍵の各ビットの値の判定に、前記各ビットの値と前記乱数との排他的論理和を用いる、請求項１又は２に記載の復号装置。 The decryption apparatus according to claim 1 or 2, wherein the power residue calculation unit uses an exclusive OR of the value of each bit and the random number for determination of the value of each bit of the secret key.

前記べき剰余算部は、前記ビット導出部によって導出されたビットを複数のビットにまとめた値で場合分けし、各場合に固有の２乗算と乗算との組み合わせを繰り返すことにより前記べき剰余算を代替する、請求項１から３のいずれか一項に記載の復号装置。 The power residue calculation unit divides the bits derived by the bit deriving unit into a plurality of bits, and repeats the combination of two multiplications and multiplications specific to each case to perform the power residue calculation. The decoding device according to any one of claims 1 to 3, which is substituted.

前記べき剰余算部は、ダミーの演算を混在させた演算をする、請求項１から４のいずれか一項に記載の復号装置。 The decoding apparatus according to any one of claims 1 to 4, wherein the power residue calculation unit performs an operation in which dummy operations are mixed.

請求項１に記載の復号装置が実行する方法であって、
前記乱数生成部が、乱数を発生させる乱数ステップと、
前記復号演算部が、秘密鍵を用いて前記暗号文を復号する復号演算ステップと、を備え、
前記復号演算ステップは、
前記ビット導出部が、複数の異なる前記乱数と前記秘密鍵とを含んだ排他的論理和の演算を混在させた演算により前記秘密鍵の各ビットを導出するビット導出ステップと、
前記べき剰余算部が、前記ビット導出ステップによって前記秘密鍵の最上位ビット又は最下位ビットから順に導出された前記各ビットの値を判定し、判定結果に応じた２乗算と乗算とを繰り返すことにより復号のためのべき剰余算を代替する、べき剰余算ステップと、を備える、
方法。 A method performed by the decoding device according to claim 1, comprising:
The random number generation unit generates a random number; and
The decryption operation unit comprises a decryption operation step of decrypting the ciphertext using a secret key,
The decoding operation step includes
A bit derivation step in which the bit derivation unit derives each bit of the secret key by an operation in which an exclusive OR operation including a plurality of different random numbers and the secret key is mixed; and
The power residue calculation unit determines the value of each bit derived in order from the most significant bit or the least significant bit of the secret key in the bit deriving step, and repeats two multiplications and multiplications according to the determination result A power residue calculation step for substituting power residue calculation for decoding by
Method.

コンピュータに、請求項６に記載の方法の各ステップを実行させるためのプログラム。 The program for making a computer perform each step of the method of Claim 6.