JP7125857B2

JP7125857B2 - 暗号化システム、暗号化装置、復号装置、暗号化方法、復号方法、及びプログラム

Info

Publication number: JP7125857B2
Application number: JP2018096219A
Authority: JP
Inventors: 恵太草川
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2018-05-18
Filing date: 2018-05-18
Publication date: 2022-08-25
Anticipated expiration: 2038-05-18
Also published as: WO2019220900A1; JP2019200382A; US20210226791A1

Description

本発明は、暗号化システム、暗号化装置、復号装置、暗号化方法、復号方法、及びプログラムに関する。

多項式環を用いて定義された格子の最短ベクトル問題の困難性を利用した公開鍵暗号であるＮＴＲＵ暗号が従来から知られている（非特許文献１）。近年では、耐量子暗号の候補として、ＮＴＲＵ暗号が注目されている。

また、ＮＴＲＵ暗号による暗号化においてＲｏｕｎｄ関数を用いることで、復号に要する時間をより高速化させることが可能なＲｏｕｎｄｅｄＮＴＲＵ暗号と呼ばれる手法も知られている（非特許文献２）。

Jeffrey Hoffstein, Jill Pipher, Joseph H. Silverman: NTRU: A Ring-Based Public Key Cryptosystem., In ANTS 1998, pages 267-288. 1998. Daniel J. Bernstein, Chitchanok Chuengsatiansup, Tanja Lange, Christine van Vredendaal: NTRU Prime: Reducing Attack Surface at Low Cost. In SAC 2017, pages 235-260. 2017.

ところで、近年では、ＩｏＴ機器等のハードウェア資源が比較的乏しい機器においても通信の暗号化や復号が要請されていることが多い。このため、より高速な処理が可能で、かつ、メモリ使用量が少ないＮＴＲＵ暗号の実現が期待されている。

本発明の実施の形態は、上記の点に鑑みてなされたもので、ＮＴＲＵ暗号の復号処理を高速化すると共に、秘密鍵のサイズを小さくすることを目的とする。

上記目的を達成するため、本発明の実施の形態は、環Ｒ＝Ｚ［ｘ］／（ｆ（ｘ））（ただし、ｆ（ｘ）は所定のｎ次多項式）の部分集合をＤ_ｆ及びＤ_ｇ、ｐ＜ｑを互いに素な正整数、ｆ´及びｇ´を前記Ｒの要素として、前記Ｄ_ｆからランダムに選択された要素ｆ＝ｐ・ｆ´と、前記Ｄ_ｇからランダムに選択された要素ｇ＝１＋ｐ・ｇ´と、法ｑでの前記ｆの逆元Ｆ_ｑとを用いて、ｈ＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を公開鍵、前記ｆを秘密鍵として生成する鍵生成手段と、前記Ｒの部分集合をＤ_ｒとして、前記Ｄ_ｒから選択された要素ｒと、前記ｈとを用いて、暗号化メッセージｃ＝ｒｏｕｎｄ_ｐ（ｈ・ｒ）を生成する暗号化手段と、前記暗号化メッセージｃを用いて、ａ＝ｆ・ｃ（ｍｏｄｑ）を計算した後、ｒ＝ａ（ｍｏｄｐ）を計算することで、前記暗号化メッセージｃを復号する復号手段と、を有することを特徴とする。

本発明の実施の形態によれば、ＮＴＲＵ暗号の復号処理を高速化すると共に、秘密鍵のサイズを小さくすることができる。

本発明の実施の形態における暗号化システムの全体構成の一例を示す図である。本発明の実施の形態における暗号化装置及び復号装置のハードウェア構成の一例を示す図である。本発明の実施の形態における暗号化システムの機能構成の一例を示す図である。本発明の実施の形態における暗号化及び復号処理の一例を示すシーケンス図（実施例１）である。本発明の実施の形態における暗号化及び復号処理の一例を示すシーケンス図（実施例２）である。

以下、本発明の実施の形態について説明する。本発明の実施の形態では、ＮＴＲＵ暗号の復号処理を高速化すると共に、秘密鍵のサイズを小さくすることが可能な暗号化システム１について説明する。

＜ＮＴＲＵ暗号の従来手法＞
本発明の実施の形態におけるＮＴＲＵ暗号の手法を説明する前に、いくつかのＮＴＲＵ暗号の従来手法について説明する。以降では、ｎをセキュリティパラメータ、Ｒを環であるものとする。環Ｒは、整数係数の多項式環Ｚ［ｘ］を用いて、Ｒ：＝Ｚ［ｘ］／（ｆ（ｘ））と定義される。ここで、（ｆ（ｘ））はｆ（ｘ）が生成するイデアルである。ｆ（ｘ）としては、例えば、ｆ（ｘ）＝ｘ^ｎ－１、ｆ（ｘ）＝ｘ^ｎ＋１、ｆ（ｘ）＝ｘ^ｎ－ｘ－１又はｆ（ｘ）＝ｘ^ｎ＋ｘ^ｎ－１＋・・・＋ｘ＋１等の所定のｎ次多項式であるものとする。

また、ｐ及びｑを、ｐ＜ｑ、かつ、互いに素な正整数であるものとする。このようなｐ及びｑとしては、例えば、ｐ＝３、ｑ＝２^１０等が挙げられる。

更に、環Ｒの適当な部分集合をＤとした場合に、環Ｒの要素ｆをＤからランダムに選ぶことを「ｆ←_ＲＤ」と表す。また、環Ｒの要素同士の加法を「＋」、乗法を「・」で表す。

（１）ＮＴＲＵ暗号
非特許文献１に開示されているＮＴＲＵ暗号では、以下のように鍵生成、暗号化及び復号が行われる。

（鍵生成）
ｆ←_ＲＤ_ｆ、ｇ←_ＲＤ_ｇとして、ｈ：＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を計算する。ここで、Ｄ_ｆ及びＤ_ｇは環Ｒの部分集合、Ｆ_ｑは法ｑでのｆの逆元（すなわち、ｆ・Ｆ_ｑ＝１（ｍｏｄｑ）となる要素）である。

そして、公開鍵をｈ、秘密鍵をｆ及びＦ_ｐとする。ここで、Ｆ_ｐは法ｐでのｆの逆元（すなわち、ｆ・Ｆ_ｐ＝１（ｍｏｄｐ）となる要素）である。

なお、Ｆ_ｐを秘密鍵として予め生成しておくのではなく、復号時にｆからＦ_ｐを計算しても良い。ただし、この場合、復号時に、ｆからＦ_ｐを計算するための計算時間を要する。

（暗号化）
（ｒ，ｅ）を用いて、暗号化メッセージｃ：＝ｐ・ｈ・ｒ＋ｅ（ｍｏｄｑ）を計算する。ここで、ｒは環Ｒの部分集合Ｄ_ｒの要素である。また、ｅは環Ｒの部分集合Ｄ_ｅの要素であり、暗号化対象のメッセージである。（ｒ，ｅ）は、暗号化メッセージの送信側（すなわち、暗号化メッセージを生成及び送信する機器又は装置等）により選ばれる。（ｒ，ｅ）としては、例えば、Ｄ_ｒ及びＤ_ｅを環Ｒの部分集合として、ｒ←_ＲＤ_ｒ、ｅをＤ_ｅから選択された要素とすれば良い。なお、Ｄ_ｅは、暗号化対象のメッセージの集合（例えば、平文集合等）である。

（復号）
暗号化メッセージｃの受信側（すなわち、暗号化メッセージを受信及び復号する機器又は装置等）は、以下のＳｔｅｐ１－１及びＳｔｅｐ１－２により暗号化メッセージｃをメッセージｅに復号する。

Ｓｔｅｐ１－１）ａ：＝ｆ・ｃ（ｍｏｄｑ）を計算する。なお、ｆ・ｃ＝ｐ・ｆ・ｈ・ｒ＋ｆ・ｅ＝ｐ・ｇ・ｒ＋ｆ・ｅ（ｍｏｄｑ）である。

Ｓｔｅｐ１－２）ｅ：＝ａ・Ｆ_ｐ（ｍｏｄｐ）を計算する。これにより、メッセージｅが得られる。なお、必要ならば、ｒ＝（ｃ－ｅ）／（ｐ・ｈ）を計算しても良い。

（２）ｆ＝１＋ｐ・ｆ´型のＮＴＲＵ暗号
上記（１）のＮＴＲＵ暗号の手法の一部を変形した従来手法として、ｆを１＋ｐ・ｆ´の形に制限したＮＴＲＵ暗号（このＮＴＲＵ暗号を「ｆ＝１＋ｐ・ｆ´型のＮＴＲＵ暗号」と表す。）がある。ここで、ｆ´は環Ｒの要素である。

この場合、ｆの法ｐでの逆元Ｆ_ｐは必ず１となる。これは、ｆ＝１（ｍｏｄｐ）となるためである。そのため、ｆ＝１＋ｐ・ｆ´型のＮＴＲＵ暗号では、上記のＮＴＲＵ暗号と比べて、秘密鍵にＦ_ｐを含める必要がなく、かつ、上記のＳｔｅｐ１－２におけるＦ_ｐの乗法が不要となるという利点がある。

（鍵生成）
ｆ＝１＋ｐ・ｆ´←_ＲＤ_ｆ、ｇ←_ＲＤ_ｇとして、ｈ：＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を計算する。ここで、Ｄ_ｆ及びＤ_ｇは環Ｒの部分集合、Ｆ_ｑは法ｑでのｆの逆元である。

そして、公開鍵をｈ、秘密鍵をｆとする。

（暗号化）
（ｒ，ｅ）を用いて、暗号化メッセージｃ：＝ｐ・ｈ・ｒ＋ｅ（ｍｏｄｑ）を計算する。ここで、ｒは環Ｒの部分集合Ｄ_ｒの要素である。また、ｅは環Ｒの部分集合Ｄ_ｅの要素であり、暗号化対象のメッセージである。（ｒ，ｅ）は、暗号化メッセージの送信側により選ばれる。

（復号）
暗号化メッセージｃの受信側は、以下のＳｔｅｐ２－１及びＳｔｅｐ２－２により暗号化メッセージｃをメッセージｅに復号する。

Ｓｔｅｐ２－１）ａ：＝ｆ・ｃ（ｍｏｄｑ）を計算する。なお、ｆ・ｃ＝ｐ・ｆ・ｈ・ｒ＋ｆ・ｅ＝ｐ・ｇ・ｒ＋（１＋ｐ・ｆ´）・ｅ＝ｅ＋ｐ・（ｇ・ｒ＋ｆ´・ｅ）（ｍｏｄｑ）である。

Ｓｔｅｐ２－２）ｅ：＝ａ（ｍｏｄｐ）を計算する。これにより、メッセージｅが得られる。なお、必要ならば、ｒ＝（ｃ－ｅ）／（ｐ・ｈ）を計算しても良い。

（３）ＲｏｕｎｄｅｄＮＴＲＵ暗号
非特許文献２に開示されているＲｏｕｎｄｅｄＮＴＲＵ暗号では、暗号化の際にＲｏｕｎｄ関数でｅを定義する。すなわち、ＲｏｕｎｄｅｄＮＴＲＵ暗号では、ｅをｐ・ｈ・ｒから一意に決定する。ここで、Ｒｏｕｎｄ関数をｒｏｕｎｄ_ｐ（・）として、ｒｏｕｎｄ_ｐ（ａ）は、ａ∈Ｚ_ｑについて、最も近いｐの倍数に丸める関数であるものとする。具体的な計算例を挙げると、ｒｏｕｎｄ_３（－５）＝－６、ｒｏｕｎｄ_３（４）＝３等となる。

（鍵生成）
ｆ＝ｐ・ｆ´←_ＲＤ_ｆ、ｇ←_ＲＤ_ｇとして、ｈ：＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を計算する。ここで、Ｄ_ｆ及びＤ_ｇは環Ｒの部分集合、Ｆ_ｑは法ｑでのｆの逆元である。

そして、公開鍵をｈ、秘密鍵をｆ及びＧ_ｐとする。ここで、Ｇ_ｐは法ｐでのｇの逆元（すなわち、ｇ・Ｇ_ｐ＝１（ｍｏｄｐ）となる要素）である。

（暗号化）
ｒを用いて、暗号化メッセージｃ：＝ｒｏｕｎｄ_ｐ（ｈ・ｒ）を計算する。ここで、ｒは環Ｒの部分集合Ｄ_ｒの要素であり、暗号化対象のメッセージである。ｒは、暗号化メッセージの送信側により選ばれる。ｒとしては、例えば、Ｄ_ｒを環Ｒの部分集合として、ｒをＤ_ｒから選択された要素すれば良い。なお、ＲｏｕｎｄｅｄＮＴＲＵ暗号では、Ｄ_ｒが暗号化対象のメッセージの集合（例えば、平文集合等）である。

ここで、上述したように、ｒｏｕｎｄ_ｐ（ｈ・ｒ）によりｅが一意に決定される。すなわち、ｒｏｕｎｄ_ｐ（ｈ・ｒ）＝ｈ・ｒ＋ｅである。

（復号）
暗号化メッセージｃの受信側は、以下のＳｔｅｐ３－１～Ｓｔｅｐ３－３により暗号化メッセージｃをメッセージｒに復号する。

Ｓｔｅｐ３－１）ａ：＝ｆ・ｃ（ｍｏｄｑ）を計算する。なお、ｆ・ｃ＝（ｐ・ｆ´）・（ｈ・ｒ＋ｅ）＝ｇ・ｒ＋ｐ・ｆ´・ｅ（ｍｏｄｑ）である。

Ｓｔｅｐ３－２）ａ´：＝ａ（ｍｏｄｐ）を計算する。なお、ａ＝ｇ・ｒ（ｍｏｄｐ）である。

Ｓｔｅｐ３－３）ｒ：＝ａ´・Ｇ_ｐ（ｍｏｄｐ）を計算する。これにより、メッセージｒが得られる。

（４）ＲｏｕｎｄｅｄＮＴＲＵ暗号＋Ｄｅｎｔ４
上記（３）のＲｏｕｎｄｅｄＮＴＲＵ暗号に対して、以下の参考文献１のＴａｂｌｅ４に記載されている鍵カプセル化メカニズム（ＫＥＭ：Key Encapsulation Mechanism）を適用することもできる。

［参考文献１］
Alexander W. Dent: A Designer's Guide to KEMs, https://eprint.iacr.org/2002/174
上記の鍵カプセル化メカニズムをＲｏｕｎｄｅｄＮＴＲＵ暗号に適用したＮＴＲＵ暗号を「ＲｏｕｎｄｅｄＮＴＲＵ暗号＋Ｄｅｎｔ４」と表す。

そして、公開鍵をｈ、秘密鍵をｈ、ｆ及びＧ_ｐとする。ここで、Ｇ_ｐは法ｐでのｇの逆元である。

（暗号化（鍵カプセル化））
ｒ←_ＲＤ_ｒとして、ｃ_１：＝ｒｏｕｎｄ_ｐ（ｈ・ｒ）を計算する。また、（ｃ_２，Ｋ）：＝Ｈ（ｒ）を計算する。ここで、Ｄ_ｒは環Ｒの部分集合、Ｈ（・）はハッシュ関数である。

そして、ｃ：＝（ｃ_１，ｃ_２）を暗号化メッセージ、Ｋを共有鍵とする。なお、（ｃ_２，Ｋ）は、例えば、Ｈ（ｒ）として得られるビット長をＬ_１、共有鍵のビット長をＬ_２とした場合、Ｈ（ｒ）として得られたビット列のうち、０ビット目からＬ_１－Ｌ_２－１ビット目までのビット列をｃ_２、Ｌ_１－Ｌ_２ビット目からＬ_１－１ビット目までのビット列をＫとすれば良い。

（復号（鍵カプセル化解除））
暗号化メッセージｃの受信側は、以下のＳｔｅｐ４－１～Ｓｔｅｐ４－５により鍵カプセル化解除を行って、共有鍵を生成する。

Ｓｔｅｐ４－１）ａ：＝ｆ・ｃ（ｍｏｄｑ）を計算する。なお、ｆ・ｃ＝（ｐ・ｆ´）・（ｈ・ｒ＋ｅ）＝ｇ・ｒ＋ｐ・ｆ´・ｅ（ｍｏｄｑ）である。

Ｓｔｅｐ４－２）ａ´：＝ａ（ｍｏｄｐ）を計算する。なお、ａ＝ｇ・ｒ（ｍｏｄｐ）である。

Ｓｔｅｐ４－３）ｒ´：＝ａ´・Ｇ_ｐ（ｍｏｄｐ）を計算する。

Ｓｔｅｐ４－４）ｒ´を用いて鍵カプセル化を行って、ｃ_１´、ｃ_２´及びＫ´を得る。すなわち、ｃ_１´：＝ｒｏｕｎｄ_ｐ（ｈ・ｒ´）と、（ｃ_２´，Ｋ´）：＝Ｈ（ｒ´）とを計算して、ｃ_１´、ｃ_２´及びＫ´を得る。

Ｓｔｅｐ４－５）ｒ´∈Ｄ_ｒ、かつ、（ｃ_１，ｃ_２）＝（ｃ_１´，ｃ_２´）である場合、Ｋ´を共有鍵とする。これより、暗号化メッセージｃの受信側と送信側との間で共有鍵Ｋ＝Ｋ´が共有される。なお、ｒ´∈Ｄ_ｒ及び（ｃ_１，ｃ_２）＝（ｃ_１´，ｃ_２´）の少なくとも一方を満たさない場合、復号失敗（鍵カプセル化解除失敗）とする。

＜本発明の実施の形態におけるＮＴＲＵ暗号の手法＞
次に、本発明の実施の形態におけるＮＴＲＵ暗号の手法は、上記（３）のＲｏｕｎｄｅｄＮＴＲＵ暗号を改良して、秘密鍵をｆとしたものである。これにより、上記（３）のＲｏｕｎｄｅｄＮＴＲＵ暗号と比べて、秘密鍵としてＧ_ｐを保存する必要がなく、かつ、上記のＳｔｅｐ３－３が不要になるという利点がある。すなわち、本発明の実施の形態におけるＮＴＲＵ暗号の手法では、復号処理の高速化させることができると共に、秘密鍵のサイズを小さくすることができる。

（鍵生成）
ｆ＝ｐ・ｆ´←_ＲＤ_ｆ、ｇ＝１＋ｐ・ｇ´←_ＲＤ_ｇとして、ｈ：＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を計算する。ここで、Ｄ_ｆ及びＤ_ｇは環Ｒの部分集合、ｇ´は環Ｒの要素、Ｆ_ｑは法ｑでのｆの逆元である。

そして、公開鍵をｈ、秘密鍵をｆとする。このように、上記（３）のＲｏｕｎｄｅｄＮＴＲＵ暗号と比べて、秘密鍵としてＧ_ｐが不要であるため、秘密鍵のサイズを小さくすることができる。言い換えれば、秘密鍵の保存に必要な記憶領域を小さくすることができる。なお、ｆに加えて、ｇも秘密鍵としても良い。

（暗号化）
ｒを用いて、暗号化メッセージｃ：＝ｒｏｕｎｄ_ｐ（ｈ・ｒ）を計算する。ここで、ｒは環Ｒの部分集合Ｄ_ｒの要素であり、暗号化対象のメッセージである。ｒは、暗号化メッセージの送信側により選ばれる。ｒとしては、例えば、Ｄ_ｒを環Ｒの部分集合として、ｒをＤ_ｒから選択された要素すれば良い。なお、本発明の実施の形態におけるＮＴＲＵ暗号では、上記（３）のＲｏｕｎｄｅｄＮＴＲＵ暗号と同様に、Ｄ_ｒが暗号化対象のメッセージの集合（例えば、平文集合等）である。

ここで、上記（３）のＲｏｕｎｄｅｄＮＴＲＵ暗号と同様に、ｒｏｕｎｄ_ｐ（ｈ・ｒ）によりｅが一意に決定される。すなわち、ｒｏｕｎｄ_ｐ（ｈ・ｒ）＝ｈ・ｒ＋ｅである。

（復号）
暗号化メッセージｃの受信側は、以下のＳｔｅｐ５－１～Ｓｔｅｐ５－３により暗号化メッセージｃをメッセージｒに復号する。

Ｓｔｅｐ５－１）ａ：＝ｆ・ｃ（ｍｏｄｑ）を計算する。なお、ｆ・ｃ＝（ｐ・ｆ´）・（ｈ・ｒ＋ｅ）＝ｐ・ｆ´・ｈ・ｒ＋ｐ・ｆ´・ｅ＝（１＋ｐ・ｇ´）・ｒ＋ｐ・ｆ´・ｅ＝ｒ＋ｐ・（ｇ´・ｒ＋ｆ´・ｅ）（ｍｏｄｑ）
Ｓｔｅｐ５－２）ｒ：＝ａ（ｍｏｄｐ）を計算する。これにより、メッセージｒが得られる。このように、上記（３）のＲｏｕｎｄｅｄＮＴＲＵ暗号と比べて、上記のＳｔｅｐ３－３が不要であるため、復号処理をより高速に行うことができるようになる。

＜本発明の実施の形態におけるＮＴＲＵ暗号＋Ｄｅｎｔ４の手法＞
本発明の実施の形態におけるＮＴＲＵ暗号に対して、上記の参考文献１のＴａｂｌｅ４に記載されている鍵カプセル化メカニズムを適用することもできる。この鍵カプセル化メカニズムを、本発明の実施の形態におけるＮＴＲＵ暗号に適用したＮＴＲＵ暗号を「本発明の実施の形態におけるＲｏｕｎｄｅｄＮＴＲＵ暗号＋Ｄｅｎｔ４」と表す。

そして、公開鍵をｈ、秘密鍵をｈ及びｆとする。このように、上記（４）のＲｏｕｎｄｅｄＮＴＲＵ暗号＋Ｄｅｎｔ４と比べて、秘密鍵としてＧ_ｐが不要であるため、秘密鍵のサイズを小さくすることができる。言い換えれば、秘密鍵の保存に必要な記憶領域を小さくすることができる。なお、ｆに加えて、ｇも秘密鍵としても良い。

そして、ｃ：＝（ｃ_１，ｃ_２）を暗号化メッセージ、Ｋを共有鍵とする。

（復号（鍵カプセル化解除））
暗号化メッセージｃの受信側は、以下のＳｔｅｐ６－１～Ｓｔｅｐ６－４により鍵カプセル化解除を行って、共有鍵を生成する。

Ｓｔｅｐ６－１）ａ：＝ｆ・ｃ（ｍｏｄｑ）を計算する。なお、ｆ・ｃ＝（ｐ・ｆ´）・（ｈ・ｒ＋ｅ）＝（１＋ｐ・ｇ´）・ｒ＋ｐ・ｆ´・ｅ＝ｒ＋ｐ・（ｇ´・ｒ＋ｆ´・ｅ）（ｍｏｄｑ）である。

Ｓｔｅｐ６－２）ｒ´：＝ａ（ｍｏｄｐ）を計算する。

Ｓｔｅｐ６－３）ｒ´を用いて鍵カプセル化を行って、ｃ_１´、ｃ_２´及びＫ´を得る。すなわち、ｃ_１´：＝ｒｏｕｎｄ_ｐ（ｈ・ｒ´）と、（ｃ_２´，Ｋ´）：＝Ｈ（ｒ´）とを計算して、ｃ_１´、ｃ_２´及びＫ´を得る。

Ｓｔｅｐ６－４）ｒ´∈Ｄ_ｒ、かつ、（ｃ_１，ｃ_２）＝（ｃ_１´，ｃ_２´）である場合、Ｋ´を共有鍵とする。これより、暗号化メッセージｃの受信側と送信側との間で共有鍵Ｋ＝Ｋ´が共有される。なお、ｒ´∈Ｄ_ｒ及び（ｃ_１，ｃ_２）＝（ｃ_１´，ｃ_２´）の少なくとも一方を満たさない場合、復号失敗（鍵カプセル化解除失敗）とする。

このように、上記（４）のＲｏｕｎｄｅｄＮＴＲＵ暗号＋Ｄｅｎｔ４と比べて、上記のＳｔｅｐ４－３が不要であるため、復号処理（鍵カプセル化解除処理）をより高速に行うことができるようになる。

＜全体構成＞
次に、本発明の実施の形態における暗号化システム１の全体構成について、図１を参照しながら説明する。図１は、本発明の実施の形態における暗号化システム１の全体構成の一例を示す図である。

図１に示すように、本発明の実施の形態における暗号化システム１には、１台以上の暗号化装置１０と、１台以上の復号装置２０とが含まれる。また、暗号化装置１０と復号装置２０とは、例えばインターネット等の広域的なネットワークＮを介して通信可能に接続されている。

暗号化装置１０は、公開鍵の生成と、暗号化メッセージの復号とを行う各種装置又は機器である。一方で、復号装置２０は、メッセージの暗号化を行う各種装置又は機器である。

暗号化装置１０及び復号装置２０としては、他の装置又は機器と通信可能な任意の装置又は機器が用いられる。例えば、ＰＣ（パーソナルコンピュータ）、スマートフォン、タブレット端末、ウェアラブルデバイス、ゲーム機器、家電、カーナビゲーション端末、センサデバイス等のＩｏＴ機器等が用いられる。

＜ハードウェア構成＞
次に、本発明の実施の形態における暗号化装置１０及び復号装置２０のハードウェア構成について、図２を参照しながら説明する。図２は、本発明の実施の形態における暗号化装置１０及び復号装置２０のハードウェア構成の一例を示す図である。なお、暗号化装置１０及び復号装置２０は、略同様のハードウェア構成で実現可能であるため、以降では、主に、暗号化装置１０のハードウェア構成について説明する。

図２に示すように、本発明の実施の形態における暗号化装置１０は、入力装置１１と、表示装置１２と、外部Ｉ／Ｆ１３と、ＲＡＭ（Random Access Memory）１４と、ＲＯＭ（Read Only Memory）１５と、ＣＰＵ（Central Processing Unit）１６と、通信Ｉ／Ｆ１７と、補助記憶装置１８とを有する。これらの各ハードウェアは、それぞれがバスＢを介して通信可能に接続されている。

入力装置１１は、例えばキーボードやマウス、タッチパネル等である。表示装置１２は、例えばディスプレイ等である。なお、暗号化装置１０及び復号装置２０は、入力装置１１及び表示装置１２のうちの少なくとも一方を有していなくても良い。

外部Ｉ／Ｆ１３は、外部装置とのインタフェースである。外部装置には、記録媒体１３ａ等がある。記録媒体１３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。記録媒体１３ａには、暗号化装置１０の各機能を実現する１以上のプログラムや復号装置２０の各機能を実現する１以上のプログラム等が記録されていても良い。

ＲＡＭ１４は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ１５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。

ＣＰＵ１６は、ＲＯＭ１５や補助記憶装置１８等からプログラムやデータをＲＡＭ１４上に読み出して処理を実行する演算装置である。

通信Ｉ／Ｆ１７は、ネットワークＮに接続するためのインタフェースである。なお、暗号化装置１０の各機能を実現する１以上のプログラムや復号装置２０の各機能を実現する１以上のプログラム等は、通信Ｉ／Ｆ１７を介して、所定のサーバ装置等から取得（ダウンロード）されても良い。

補助記憶装置１８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性の記憶装置である。補助記憶装置１８には、暗号化装置１０の各機能を実現する１以上のプログラム等が記憶されている。なお、復号装置２０の補助記憶装置１８には、当該復号装置２０の各機能を実現する１以上のプログラム等が記憶されている。

本発明の実施の形態における暗号化装置１０及び復号装置２０は、図２に示すハードウェア構成を有することにより、後述する各種処理を実現することができる。なお、図２では、本発明の実施の形態における暗号化装置１０及び復号装置２０が１台の情報処理装置（コンピュータ）で実現されている場合を示したが、これに限られない。本発明の実施の形態における暗号化装置１０及び復号装置２０は、複数台の情報処理装置（コンピュータ）で実現されていても良い。

＜機能構成＞
次に、本発明の実施の形態における暗号化システム１の機能構成について、図３を参照しながら説明する。図３は、本発明の実施の形態における暗号化システム１の機能構成の一例を示す図である。

図３に示すように、本発明の実施の形態における暗号化装置１０は、通信部１０１と、暗号化部１０２とを有する。これら各機能部は、暗号化装置１０にインストールされた１以上のプログラムがＣＰＵ１６に実行させる処理により実現される。

通信部１０１は、復号装置２０との間で各種データの送受信を行う。例えば、通信部１０１は、暗号化メッセージを復号装置２０に送信する。

暗号化部１０２は、復号装置２０によって公開された公開鍵を用いて、本発明の実施の形態におけるＮＴＲＵ暗号により暗号化メッセージを生成する。

図３に示すように、本発明の実施の形態における復号装置２０は、通信部２０１と、鍵生成部２０２と、復号部２０３とを有する。これら各機能部は、復号装置２０にインストールされた１以上のプログラムがＣＰＵ１６に実行させる処理により実現される。

通信部２０１は、暗号化装置１０との間で各種データの送受信を行う。例えば、通信部２０１は、暗号化装置１０からの暗号化メッセージを受信する。

鍵生成部２０２は、本発明の実施の形態におけるＮＴＲＵ暗号により公開鍵及び秘密鍵を生成する。

復号部２０３は、鍵生成部２０２により生成した秘密鍵を用いて、本発明の実施の形態におけるＮＴＲＵ暗号により暗号化メッセージを復号する。

＜暗号化及び復号処理（実施例１）＞
以降では、実施例１として、本発明の実施の形態におけるＮＴＲＵ暗号により暗号化及び復号を行う処理について、図４を参照しながら説明する。図４は、本発明の実施の形態における暗号化及び復号処理の一例を示すシーケンス図（実施例１）である。

まず、復号装置２０の鍵生成部２０２は、公開鍵ｈと秘密鍵ｆとを生成する（ステップＳ１０１）。すなわち、鍵生成部２０２は、ｆ＝ｐ・ｆ´←_ＲＤ_ｆ、ｇ＝１＋ｐ・ｇ´←_ＲＤ_ｇとして、ｈ：＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を計算し、公開鍵をｈ、秘密鍵をｆとする。ここで、Ｄ_ｆ及びＤ_ｇは環Ｒの部分集合、ｇ´は環Ｒの要素、Ｆ_ｑは法ｑでのｆの逆元である。なお、公開鍵ｈは、暗号化装置１０に対して公開される。

次に、暗号化装置１０の暗号化部１０２は、公開鍵ｈを用いて、暗号化対象のメッセージｒ∈Ｄ_ｒを暗号化して、暗号化メッセージｃを生成する（ステップＳ１０２）。すなわち、暗号化部１０２は、ｃ：＝ｒｏｕｎｄ_ｐ（ｈ・ｒ）を計算することで、暗号化メッセージｃを生成する。ここで、Ｄ_ｒは、環Ｒの部分集合である。

次に、暗号化装置１０の通信部１０１は、暗号化メッセージｃを復号装置２０に送信する（ステップＳ１０３）。

復号装置２０の復号部２０３は、通信部２０１により暗号化メッセージｃを受信すると、秘密鍵ｆを用いて、上記のＳｔｅｐ５－１～Ｓｔｅｐ５－３により暗号化メッセージｃをメッセージｒに復号する（ステップＳ１０４）。

＜暗号化及び復号処理（実施例２）＞
以降では、実施例２として、本発明の実施の形態におけるＮＴＲＵ暗号＋Ｄｅｎｔ４により暗号化装置１０と復号装置２０との間で共有鍵を共有した上で、この共有鍵により暗号化及び復号を行う処理について、図５を参照しながら説明する。図５は、本発明の実施の形態における暗号化及び復号処理の一例を示すシーケンス図（実施例２）である。

まず、復号装置２０の鍵生成部２０２は、公開鍵ｈと秘密鍵ｆとを生成する（ステップＳ２０１）。すなわち、鍵生成部２０２は、ｆ＝ｐ・ｆ´←_ＲＤ_ｆ、ｇ＝１＋ｐ・ｇ´←_ＲＤ_ｇとして、ｈ：＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を計算し、公開鍵をｈ、秘密鍵をｆとする。ここで、Ｄ_ｆ及びＤ_ｇは環Ｒの部分集合、ｇ´は環Ｒの要素、Ｆ_ｑは法ｑでのｆの逆元である。なお、公開鍵ｈは、暗号化装置１０に対して公開される。

次に、暗号化装置１０の暗号化部１０２は、公開鍵ｈを用いて、鍵カプセル化により共有鍵Ｋ及び暗号化メッセージｃを生成する（ステップＳ２０２）。すなわち、暗号化部１０２は、ｒ←_ＲＤ_ｒとして、ｃ_１：＝ｒｏｕｎｄ_ｐ（ｈ・ｒ）と、（ｃ_２，Ｋ）：＝Ｈ（ｒ）とを計算して、暗号化メッセージｃ：＝（ｃ_１，ｃ_２）及び共有鍵Ｋを生成する。ここで、Ｄ_ｒは環Ｒの部分集合、Ｈ（・）はハッシュ関数である。

次に、暗号化装置１０の通信部１０１は、暗号化メッセージｃを復号装置２０に送信する（ステップＳ２０３）。

復号装置２０の復号部２０３は、通信部２０１により暗号化メッセージｃを受信すると、秘密鍵ｆを用いて、上記のＳｔｅｐ６－１～Ｓｔｅｐ６－４により暗号化メッセージｃから共有鍵Ｋ＝Ｋ´を生成する（ステップＳ２０４）。そして、復号部２０３は、共有鍵Ｋが得られたことを暗号化装置１０に通知する。

次に、暗号化装置１０の暗号化部１０２は、共有鍵Ｋを用いて、任意の暗号化アルゴリズムにより暗号化対象のメッセージを暗号化して、暗号化メッセージを生成する（ステップＳ２０５）。

次に、暗号化装置１０の通信部１０１は、暗号化メッセージを復号装置２０に送信する（ステップＳ２０６）。

復号装置２０の復号部２０３は、通信部２０１により暗号化メッセージを受信すると、共有鍵Ｋを用いて、上記の暗号化アルゴリズムに対応する復号アルゴリズムにより暗号化メッセージを復号する（ステップＳ２０７）。

＜本発明の効果＞
ここで、一例として、以下の参考文献２に記載されているパラメータセットｋｅｍ／ｎｔｒｕｌｐｒ４５９１７６１を用いた場合における本発明の効果について説明する。

［参考文献２］
Daniel J. Bernstein, Chitchanok Chuengsatiansup, Tanja Lange, Christine van Vredendaal: NTRU Prime NIST Submitted.
上記のパラメータセットｋｅｍ／ｎｔｒｕｌｐｒ４５９１７６１では、ｐ＝３、ｎ＝７６１、ｑ＝４５９１であり、ｆ（ｘ）＝ｘ^ｎ－ｘ－１である。この場合、上記の参考文献２に記載されているように、従来のＲｏｕｎｄｅｄＮＴＲＵ暗号では、公開鍵は１２１８ｂｙｔｅｓ、暗号化メッセージは１０１５ｂｙｔｅｓ、秘密鍵は１６００ｂｙｔｅｓ＝１２１８＋１９１＋１９１ｂｙｔｅｓである。

これに対して、本発明の実施の形態におけるＮＴＲＵ暗号の手法を用いることで、秘密鍵のサイズを１４０９ｂｙｔｅｓ＝１２１８＋１９１ｂｙｔｅｓに削減することができる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

１暗号化システム
１０暗号化装置
２０復号装置
１０１通信部
１０２暗号化部
２０１通信部
２０２鍵生成部
２０３復号部

Claims

環Ｒ＝Ｚ［ｘ］／（ｆ（ｘ））（ただし、ｆ（ｘ）は所定のｎ次多項式）の部分集合をＤ_ｆ及びＤ_ｇ、ｐ＜ｑを互いに素な正整数、ｆ´及びｇ´を前記Ｒの要素として、前記Ｄ_ｆからランダムに選択された要素ｆ＝ｐ・ｆ´と、前記Ｄ_ｇからランダムに選択された要素ｇ＝１＋ｐ・ｇ´と、法ｑでの前記ｆの逆元Ｆ_ｑとを用いて、ｈ＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を公開鍵、前記ｆを秘密鍵として生成する鍵生成手段と、
前記Ｒの部分集合をＤ_ｒ、前記Ｄ_ｒから選択された要素ｒを暗号化対象として、前記ｒと、前記ｈとを用いて、暗号化メッセージｃ＝ｒｏｕｎｄ_ｐ（ｈ・ｒ）を生成する暗号化手段と、
前記暗号化メッセージｃを用いて、ａ＝ｆ・ｃ（ｍｏｄｑ）を計算した後、復号結果を表すｒ＝ａ（ｍｏｄｐ）を計算することで、前記暗号化メッセージｃを復号する復号手段と、
を有することを特徴とする暗号化システム。
前記暗号化手段は、
前記Ｄ_ｒからランダムに選択された要素ｒを暗号化対象として、前記ｒと、前記ｈと、
所定のハッシュ関数Ｈとを用いて、ｃ_１＝ｒｏｕｎｄ_ｐ（ｈ・ｒ）と、（ｃ_２，Ｋ）＝Ｈ（ｒ）とを計算し、暗号化メッセージｃ＝（ｃ_１，ｃ_２）と、共有鍵Ｋとを生成し、
前記復号手段は、
前記暗号化メッセージｃを用いて、ａ＝ｆ・ｃ（ｍｏｄｑ）を計算した後、復号結果を表すｒ´＝ａ（ｍｏｄｐ）を計算し、
前記ｒ´を用いて、ｃ_１´＝ｒｏｕｎｄ_ｐ（ｈ・ｒ´）と、（ｃ_２´，Ｋ´）＝Ｈ（ｒ´）とを計算することで、共有鍵Ｋ＝Ｋ´を生成する、
ことを特徴とする請求項１に記載の暗号化システム。
前記復号手段は、
前記ｒ´が前記Ｄ_ｒの要素であり、かつ、（ｃ_１，ｃ_２）＝（ｃ_１´，ｃ_２´）である場合に、前記Ｋ´を共有鍵Ｋとして生成し、
前記ｒ´が前記Ｄ_ｒの要素でない又は／及び（ｃ_１，ｃ_２）＝（ｃ_１´，ｃ_２´）でない場合、復号失敗とする、
ことを特徴とする請求項２に記載の暗号化システム。
環Ｒ＝Ｚ［ｘ］／（ｆ（ｘ））（ただし、ｆ（ｘ）は所定のｎ次多項式）の部分集合をＤ_ｆ及びＤ_ｇ、ｐ＜ｑを互いに素な正整数、ｆ´及びｇ´を前記Ｒの要素として、前記Ｄ_ｆからランダムに選択された要素ｆ＝ｐ・ｆ´と、前記Ｄ_ｇからランダムに選択された要素ｇ＝１＋ｐ・ｇ´と、法ｑでの前記ｆの逆元Ｆ_ｑとを用いて、ｈ＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を公開鍵、前記ｆを秘密鍵として生成する鍵生成手段と、
前記ｈを用いて暗号化装置により暗号化された暗号化メッセージｃを受信する受信手段と、
前記受信手段により受信された暗号化メッセージｃを用いて、ａ＝ｆ・ｃ（ｍｏｄｑ）を計算した後、復号結果を表すｒ＝ａ（ｍｏｄｐ）を計算することで、前記暗号化メッセージｃを復号する復号手段と、
を有することを特徴とする復号装置。
環Ｒ＝Ｚ［ｘ］／（ｆ（ｘ））（ただし、ｆ（ｘ）は所定のｎ次多項式）の部分集合をＤ_ｆ及びＤ_ｇ、ｐ＜ｑを互いに素な正整数、ｆ´及びｇ´を前記Ｒの要素として、前記Ｄ_ｆからランダムに選択された要素ｆ＝ｐ・ｆ´と、前記Ｄ_ｇからランダムに選択された要素ｇ＝１＋ｐ・ｇ´と、法ｑでの前記ｆの逆元Ｆｑとを用いて、ｈ＝ｇ・Ｆ_ｑ（ｍｏｄｑ）を公開鍵、前記ｆを秘密鍵として生成する鍵生成手順と、
前記ｈを用いて暗号化装置により暗号化された暗号化メッセージｃを受信する受信手順と、
前記受信手順により受信された暗号化メッセージｃを用いて、ａ＝ｆ・ｃ（ｍｏｄｑ）を計算した後、復号結果を表すｒ＝ａ（ｍｏｄｐ）を計算することで、前記暗号化メッセージｃを復号する復号手順と、
をコンピュータが実行することを特徴とする復号方法。
コンピュータを、請求項４に記載の復号装置として機能させるためのプログラム。