JPH0588849A - Constitution of multiplier using normal base - Google Patents

Abstract

PURPOSE:To obtain the normal base with the small multiplication calculation quantity of a finite field by systematically constituting the multiplication function using the normal base of an optional finite field. CONSTITUTION:The normal base of an optional finite field GF (2<n>) is PHIa=(a, a<2>,...), the minimum irreducible polynomial on a finite field GF (2) of (a) is PHIa(X)=X<n>+P1X<n-1>+...+Pn. At this time, a zero-throw of (nXn) matrix Ta on the GF (2) is [P1...Pn], an i-th row makes an i-1-th into 1, and others are made into 0. Next, (nXn) matrix Sa on the GF (2) is obtained as the n-1-th row of 2<n-1-i> of a matrix Ta by each i-th row. By using matrixes Sa and Ta, a matrix A=Sa*Ta*Sa-1 is obtained. The component of the i-th row the J-th column of a matrix A is aij, and to element (x, y) of the GF2<n> shown by formulas I and II, a mapping fa(x, y)=fa Xn-1,..., X0; Yn-1,..., Y0) from GF (2<n>)XGF (2<n>) to the GF (2) is found by formula III to obtain the multiplication function.

Description

【発明の詳細な説明】Detailed Description of the Invention

【０００１】[0001]

【産業上の利用分野】本発明は情報セキュリティ技術と
しての秘密通信技術に関するものであり、特に、有限体
ＧＦ（２ⁿ）上の演算を行なう乗算器に関するものであ
る。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to a secret communication technique as an information security technique, and more particularly to a multiplier that operates on a finite field GF (2 ⁿ ).

【０００２】[0002]

【従来の技術】有限体の演算をベースにもつ暗号方式は
エルガマル暗号やディッフィー・ヘルマンの鍵配送方式
をはじめとして数多くあり、これらの実用化には二つの
観点からの検討が必要である。この二つの観点とは暗号
の安全性と処理速度の高速化である。特に処理速度の高
速化が計れるとして有限体にＧＦ（２ⁿ）が利用される
ことが多い。2. Description of the Related Art There are many cryptosystems based on finite field arithmetic, including the Elgamal cryptosystem and the Diffie-Hellman key distribution system, and their practical application requires examination from two viewpoints. These two viewpoints are security of encryption and speeding up of processing speed. In particular, GF (2 ⁿ ) is often used for a finite field because the processing speed can be increased.

【０００３】この大きな理由は、ＧＦ（２ⁿ）は基底と
して正規基底Ф_a＝｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝を選ぶ
と２乗が巡回シフトで実行でき、巡回シフトは専用ハー
ドウェアーやマイクロプロセッサなどの汎用ハードウェ
アーにより高速に実現されるので、処理速度の高速化が
期待できるからである。さらにこの性質から乗法は以下
のようになる。The main reason for this is that when GF (2 ⁿ ) is _a normal basis Φ _a = {a, a ² , ..., A ^{2 ^ (n-1)} } as a basis, the square is executed by cyclic shift. This is because the cyclic shift can be realized at high speed by dedicated hardware or general-purpose hardware such as a microprocessor, so that a higher processing speed can be expected. Furthermore, from this property, the multiplication is as follows.

【０００４】ＧＦ（２ⁿ）の元ｘ，ｙが正規基底Ф_aによ
り、（数３）The elements x and y of GF (2 ⁿ ) are given by (Equation 3) by the normal basis φ _a.

【０００５】[0005]

【数３】 [Equation 3]

【０００６】と表わされているとする。このとき正規基
底Ф_aにより一意的に定まるＧＦ（２）ⁿ×ＧＦ（２）ⁿ
からＧＦ（２）への写像ｆ_a（ｘ，ｙ）＝ｆ_a（ｘ_n-1，・
・・，ｘ₀，ｙ_n-1，・・・，ｙ₀）が存在して、（数４）Is represented as At this time, GF (2) ⁿ × GF (2) ⁿ that is uniquely determined by the normal basis Φ _a
To GF (2) from f _a (x, y) = f _a (x _n-1 ,
.., x ₀ , y _n-1 , ..., Y ₀ ) exist, and (Equation 4)

【０００７】[0007]

【数４】 [Equation 4]

【０００８】となる。ここで（数４）において、Ｒは、
右巡回シフトを表わす演算子であり、 Ｒⁱｘ＝［ｘ_i-1，・・・・，ｘ_i+1，ｘ_i］ である。よってＧＦ（２ⁿ）の正規基底Ф_aによる乗法
は、ＧＦ（２）ⁿ×ＧＦ（２）ⁿからＧＦ（２）への一つ
の写像ｆ_a（ｘ，ｙ）により決定されることがわかる。
このようなＧＦ（２）ⁿ×ＧＦ（２）ⁿからＧＦ（２）へ
の写像ｆ_a（ｘ，ｙ）を正規基底の乗法関数と呼ぶ。[0008] Here, in (Equation 4), R is
An operator representing a right cyclic shift, and R ⁱ x = [x _i−1 , ..., X _{i + 1} , x _i ]. Therefore, it can be seen that the multiplication of GF (2 ⁿ ) by the normal basis Φ _a is determined by one mapping f _a (x, y) from GF (2) ⁿ × GF (2) ⁿ to GF (2). ..
Such a mapping f _a (x, y) from GF (2) ⁿ × GF (2) ⁿ to GF (2) is called a normal basis multiplication function.

【０００９】正規基底Ф_aにより一意的に定まるＧＦ
（２）ⁿ×ＧＦ（２）ⁿからＧＦ（２）への上記乗法関数
ｆ_a（ｘ，ｙ）の各項は、丁度ｘのある成分ｘ_kとｙのあ
る成分ｙ_tの積和なので、この積和の項数をｈ_aとする
と、シフトを無視すればビット毎のｈ_a回の論理積とｈ_a
−１回の排他的論理和で乗法が実行できることになる。
また積和の項数ｈ_aは２＊ｎ−１以上ｎ²以下の整数にな
ることが知られている。このため、正規基底Ф_aを乗法
がなるべく少ない処理で実行できるように、つまり正規
基底Ф_aにより定まる乗法関数ｆ_a（ｘ，ｙ）の項数ｈ_a
がなるべく２ｎ−１に近くなるように選べば、さらに暗
号処理の高速化が望めることがわかる。GF that is uniquely determined by the normal basis Φ _a
(2) Since each term of the multiplication function f _a (x, y) from ⁿ × GF (2) ⁿ to GF (2) is just the sum of products of the component x _k with x and the component y _t with y. , Letting the number of terms of this product sum be h _a , if the shift is ignored, then the logical product of h _a times for each bit and h _a
Multiplication can be executed by -1 exclusive OR.
The number of terms h _a sum of products is known to be an integer of 2 * n-1 or n ² or less. Therefore, normal basis .PHI _a so that can perform multiplication is as small as possible treatment, i.e. the number of terms h _a regular basis .PHI _a by determined multiplicative function f _a (x, y)
It can be seen that the cryptographic processing can be further speeded up by selecting as close to 2n-1 as possible.

【００１０】以上のことから、有限体の演算をベースに
もつ暗号方式の実用化における検討事項である処理速度
の高速化を、有限体ＧＦ（２ⁿ）により解決するには次
のような問題が存在することがわかる。From the above, in order to solve the problem of speeding up the processing speed, which is a consideration in the practical application of the cryptosystem based on the operation of the finite field, by the finite field GF (2 ⁿ ), the following problems are encountered. It turns out that there exists.

【００１１】［問題１］ＧＦ（２ⁿ）の正規基底Ф_a＝
｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝を、Ф_aにより一意的に定
まるＧＦ（２）ⁿ×ＧＦ（２）ⁿからＧＦ（２）への乗法
関数ｆ_a（ｘ，ｙ）の項数ｈ_aが小さくなるように選ぶに
はどうすればよいか。[Problem 1] Normal basis of GF (2 ⁿ ) Φ _a =
^{{A, a 2, ···,} a 2 ^ (n-1)} a, GF (2) uniquely determined by .PHI _a multiplicative function from ⁿ × GF (2) ⁿ to GF (2) f _a How can we choose so that the number h _a of (x, y) is small?

【００１２】［問題２］ＧＦ（２ⁿ）の正規基底Ф_a＝
｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝が与えら れ
たとき、Ф_aにより一意的に定まるＧＦ（２）ⁿ×ＧＦ
（２）ⁿから ＧＦ（２）への乗法関数ｆ
_a（ｘ，ｙ）をどのようにシステマティッ
クに構成すればよいか。[Problem 2] Normal basis of GF (2 ⁿ ) Φ _a =
Given {a, a ² , ..., a ^{2 ^ (n-1)} }, GF (2) ⁿ × GF that is uniquely determined by Φ _a
(2) Multiplication function f from ⁿ to GF (2)
how _a (x, y) is systematic
Should I configure it to ku?

【００１３】まず、［問題１］に対する解答として、従
来考えられてきた方法を述べる。従来の方法は、次の三
通りである。なお、（１）、（２）は マリン、オニス
チャク、ヴァーンストーン、ウイルソン著”オプティマ
ル ノーマル ベイスイズイン ＧＦ（ｐⁿ）”（R.C.M
ullin,I.M.Onyszchuk,S.A.Vanstone,R.M.Wilson"Optima
l normal bases in GF(pⁿ)",Applied Math. 22,149-16
1)に詳しい。また（３）はアシュ、ブレイク、ヴァーン
ストーン著”ロー コンプレクスイティノーマル ベイ
スイズ”（D.W.Ash,F.Blake,S.A.Vanstone"Low complex
itynormal bases",Discrete Applied Math.25,191-210)
に詳しい。First, as a solution to [Problem 1], a method that has been considered in the past will be described. There are the following three conventional methods. In addition, (1) and (2) are "Optimal Normal Base is in GF ( ^pn )" (RCM) by Marin, Onischak, Vernstone, and Wilson.
ullin, IMOnyszchuk, SAVanstone, RMWilson "Optima
l normal bases in GF (p ⁿ ) ", Applied Math. 22,149-16
Detailed in 1). Also, (3) is "Low Complexity Normal Basise" by Ash, Blake, and Vernstone (DWAsh, F.Blake, SAVanstone "Low complex
itynormal bases ", Discrete Applied Math.25,191-210)
Familiar with.

【００１４】（１）２ｎ＋１が素数で、２が有限体ＧＦ
（２ｎ＋１）の原始根であるかもしくは２ｎ＋１が４を
法として３と合同で２が有限体ＧＦ（２ｎ＋１）の平方
剰余を生成する条件を満たすとする。(1) 2n + 1 is a prime number and 2 is a finite field GF
It is assumed that it is a primitive root of (2n + 1) or that 2n + 1 is congruent with 3 modulo 4 and that 2 satisfies the condition of generating a square residue of a finite field GF (2n + 1).

【００１５】この時、ＧＦ（２²ⁿ）には１の（２ｎ＋
１）乗根βが存在し、このβに対して、 ｂ＝β＋β^-1 とおくと、ｂはＧＦ（２ⁿ）の元になり、更に Φ_b＝｛ｂ、ｂ²、・・・、ｂ^{2^(n-1)}｝はｈ_b＝２ｎ−１と
なる正規基底を与 える。At this time, GF (2 ²ⁿ ) has 1 (2n +
1) There is a root β, and for this β, if b = β + β ⁻¹ , then b becomes an element of GF (2 ⁿ ), and Φ _b = {b, b ² , ..., b ^{2 ^ (n-1)} } gives a normal basis such that h _b = 2n-1.

【００１６】（２）ｎ＋１が素数で２が有限体ＧＦ（ｎ
＋１）の原始根である条件を満たすとする。(2) n + 1 is a prime number and 2 is a finite field GF (n
Suppose that the condition that is the primitive root of +1) is satisfied.

【００１７】この時、ＧＦ（２ⁿ）には１の（ｎ＋１）
乗根ｃが存在し、更に Φ_c＝｛ｃ、ｃ²、・・・、ｃ^{2^(n-1)}｝はｈ_c＝２ｎ−１と
なる正規基底を与 える。At this time, 1 (n + 1) is added to GF (2 ⁿ ).
The root c exists, and Φ _c = {c, c ² , ..., C ^{2 ^ (n-1)} } gives a normal basis such that h _c = 2n-1.

【００１８】（３）任意の有限体ＧＦ（２ⁿ）に対し
て、整数ｋを次の二条件を満たすように とる。(3) For an arbitrary finite field GF (2 ⁿ ), take an integer k so that the following two conditions are satisfied.

【００１９】(*)ｋｎ＋１が素数になる。 (**)有限体ＧＦ（ｋｎ＋１）の乗法群が２とＧＦ（ｋｎ
＋１）ⁿによっ て生成される。(*) Kn + 1 becomes a prime number. (**) Multiplicative group of finite field GF (kn + 1) is 2 and GF (kn
+1) ⁿ .

【００２０】この時、ＧＦ（２^kn）には１の（ｋｎ＋
１）乗根αが存在し、このαに対して、ａを（数５）At this time, GF (2 ^kn ) has 1 (kn +
1) There is a root α, and for this α, let a be (Equation 5)

【００２１】[0021]

【数５】 [Equation 5]

【００２２】とおく。但し（数５）において、ｔはＧＦ
（ｋｎ＋１）の１のｋ乗根である。この時、ａはＧＦ
（２ⁿ）の元になり、 更にΦ_a＝｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝は ｋｎ−(ｋ²−３ｋ＋３)≦ｈ_a≦ｋｎ−１ (ｋが偶
数の時) (ｋ＋１)ｎ−(ｋ²−ｋ＋１)≦ｈ_a≦(ｋ＋１)ｎ−ｋ
(ｋが奇数の時) を満たす正規基底を与える。Let us say. However, in (Equation 5), t is GF
It is the root k of 1 of (kn + 1). At this time, a is GF
(2 ⁿ ), and Φ _a = {a, a ² , ..., A ^{2 ^ (n-1)} } is kn− (k ² −3k + 3) ≦ ha _a ≦ kn−1 (k There even when) (k + 1) n- ( k 2 -k + 1) ≦ h a ≦ (k + 1) n-k
Give a normal basis that satisfies (when k is an odd number).

【００２３】暗号方式を汎用コンピュータを用いて実現
する場合を想定する。通常汎用コンピュータは１６ない
し３２ビットを処理単位としているため、上記有限体の
拡大次数ｎは１６の倍数であること、つまり１６を法と
して０と合同であることが望ましい。しかしながら、上
述の従来の方法の（１）、（２）は、このような１６を
法として０と合同であるｎに対して、有限体ＧＦ
（２ⁿ）に適当な正規基底を見つけることができない。
これは以下に述べる理由による。It is assumed that the encryption method is realized by using a general-purpose computer. Generally, since a general-purpose computer uses 16 to 32 bits as a processing unit, it is desirable that the expansion degree n of the finite field is a multiple of 16, that is, it is congruent with 0 modulo 16. However, the above-mentioned conventional methods (1) and (2) have a finite field GF for n that is congruent with 0 modulo 16 as described above.
No suitable normal basis can be found for (2 ⁿ ).
This is for the following reason.

【００２４】ｎは１６を法として０と合同なので、ｎ＝
１６ｍ（ｍは整数）とおく。まず（１）について述べ
る。最初の条件である２ｎ＋１＝３２ｍ＋１が素数であ
ることは満たされたとする。（１）により正規基底を求
めるには、更に次の２条件［１−１］もしくは［１−
２］を満たさなければならない。Since n is congruent with 0 modulo 16, n =
16m (m is an integer). First, (1) will be described. It is assumed that the first condition, 2n + 1 = 32m + 1, is a prime number. In order to obtain the normal basis by (1), the following two conditions [1-1] or [1-
2] must be met.

【００２５】［１−１］２が有限体ＧＦ（２ｎ＋１）の
原始根である。 ［１−２］２ｎ＋１が４を法として３と合同で２が有限
体ＧＦ（２ｎ＋１）の平方剰余を生成する そこでこれらの条件を満たすかどうか考える。[1-1] 2 is a primitive root of the finite field GF (2n + 1). [1-2] 2n + 1 is modulo 4 and congruent with 3 to generate quadratic residue of finite field GF (2n + 1). Therefore, consider whether these conditions are satisfied.

【００２６】［１−１］は、２ｎ＋１＝３２ｍ＋１が８
を法として１と合同になるので満たされない。（ちなみ
に２が有限体ＧＦ（２ｎ＋１）の原始根になる必要条件
は、（２ｎ＋１）が８を法として３または５に合同にな
ることである。） ［１−２］は、２ｎ＋１＝３２ｍ＋１が４を法として１
と合同になるので満たされない。In [1-1], 2n + 1 = 32m + 1 is 8
It is not satisfied because it is congruent with 1 modulo. (By the way, the necessary condition for 2 to be a primitive root of the finite field GF (2n + 1) is that (2n + 1) is congruent to 3 or 5 modulo 8.) In [1-2], 2n + 1 = 32m + 1 1 modulo 4
I will not be satisfied because it will be combined with.

【００２７】次に（２）について述べる。最初の条件で
あるｎ＋１＝１６ｍ＋１が素数であることは満たされた
とする。（２）により正規基底を求めるには、更に次の
条件［２−１］を満たさなければならない。Next, (2) will be described. It is assumed that the first condition, n + 1 = 16m + 1, is a prime number. In order to obtain the normal basis according to (2), the following condition [2-1] must be further satisfied.

【００２８】［２−１］２が有限体ＧＦ（ｎ＋１）の原
始根である。 そこでこの条件を満たすかどうか考える。[2-1] 2 is a primitive root of the finite field GF (n + 1). Therefore, consider whether or not this condition is met.

【００２９】［２−１］は、ｎ＋１＝１６ｍ＋１が８を
法として１と合同なので満たされない。（ちなみに２が
有限体ＧＦ（ｎ＋１）の原始根になる必要条件は、（ｎ
＋１）が８を法として３または５に合同になることであ
る。） また上述の従来の方法（３）は、有限体ＧＦ（２ⁿ）に
対して条件を満たす整数ｋの存在する上界がないので、
有限体によっては乗法の実行速度をもっと速くできる正
規基底が存在する可能性がある。[2-1] is not satisfied because n + 1 = 16m + 1 is congruent with 1 modulo 8. (By the way, the necessary condition for 2 to be a primitive root of the finite field GF (n + 1) is (n
+1) is congruent with 3 or 5 modulo 8. ) Further, in the above-described conventional method (3), since there is no upper bound of an integer k that satisfies the condition for the finite field GF (2 ⁿ ),
Depending on the finite field, there may be a normal basis that can speed up the execution of multiplication.

【００３０】次に［問題２］について、従来考えられて
きた方法を述べる。ＧＦ（２ⁿ）の元ｘ，ｙが正規基底
Ф_a＝｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝により、（数３）と
表わされているとする。このとき、ｘ＊ｙは（数６）Next, with respect to [Problem 2], a method that has been considered in the past will be described. It is assumed that the elements x and y of GF (2 ⁿ ) are represented by (Equation 3) by the normal basis Φ _a = {a, a ² , ..., A ^{2 ^ (n-1)} }. At this time, x * y is (Equation 6)

【００３１】[0031]

【数６】 [Equation 6]

【００３２】となる。但し（数６）においてＣ_k,jは、
（数７）を満たすＧＦ（２）の元とする。It becomes However, in (Equation 6), C _{k, j} is
It is an element of GF (2) that satisfies (Equation 7).

【００３３】[0033]

【数７】 [Equation 7]

【００３４】ここで｛Ｃ_k,j｝はＧＦ（２ⁿ）の元ａ
^{1+2^k}（ｋ＝０，・・・,ｎ−１）の基底Ф_aによる表現
行列なので原理的には一意的に求められる。従来の方法
はこの表現行列｛Ｃ_k,j｝を手探りで求めていた。具体
的にＧＦ（２⁴）の場合について求める方法を以下に述
べる。Here, {C _{k, j} } is an element a of GF (2 ⁿ ).
Since it is an expression matrix based on the basis Φ _a of ^{1 + 2 ^ k} (k = 0, ..., N-1), it can be uniquely obtained in principle. In the conventional method, this expression matrix {C _{k, j} } was found by a fumbling. A specific method for obtaining the case of GF (2 ⁴ ) will be described below.

【００３５】ＧＦ（２）上の多項式φ_a（ｘ）＝ｘ⁴＋ｘ
³＋¹の根をａとする。このときФ_a＝｛ａ、ａ²、
ａ^{2^2}，ａ^{2^3}｝は、ＧＦ（２⁴）のＧＦ（２）上の正規
基底を与える。ＧＦ（２⁴）の元ｘ、ｙが正規基底Ф_aに
より、以下（数８）のように表わされているとする。Polynomial φ _a (x) = x ⁴ + x on GF (2)
Let the root of ³ + ¹ be a. Then Φ _a = {a, a ² ,
a ^{2 ^ 2} , a ^{2 ^ 3} } gives the normal basis of GF (2 ⁴ ) on GF (2). It is assumed that the elements x and y of GF (2 ⁴ ) are represented by the following (Equation 8) by the normal basis φ _a .

【００３６】[0036]

【数８】 [Equation 8]

【００３７】このとき上述のＧＦ（２ⁿ）の場合と同様
に、Ｃ_k,j（ｊ，ｋ＝０，１，２，３）を（数９）At this time, as in the case of GF (2 ⁿ ), C _{k, j} (j, k = 0,1,2,3) is given by (Equation 9).

【００３８】[0038]

【数９】 [Equation 9]

【００３９】となるＧＦ（２）の元とすると、ｘ＊ｙは
（数１０）Assuming that the element of GF (2) is, x * y is (Equation 10)

【００４０】[0040]

【数１０】 [Equation 10]

【００４１】となる。そこで、Ｃ_k,j（ｊ，ｋ＝０，
１，２，３）を求める。これはａ^{1+2^k}（ｋ＝０，１，
２，３）の正規基底Ф_aによる表現を求めることになり
以下のようになる。It becomes Therefore, C _{k, j} (j, k = 0,
1, 2, 3) is calculated. This is a ^{1 + 2 ^ k} (k = 0,1,
The expression based on the normal basis Ф _a of 2, 3) is obtained, and is as follows.

【００４２】 ａ^{1+2^0}＝ａ²＝［０、０、１、０］ ａ^{1+2^1}＝ａ³＝ａ⁴＋１＝ａ^{2^2}＋１ （何故ならばＧＦ（２）上で、ａ⁴＋ａ³＋１＝０である。） ＝ａ^{2^2}＋（ａ＋ａ²＋ａ^{2^2}＋ａ^{2^3}） （何故ならばＧＦ（２）上で、ａ＋ａ²＋ａ^{2^2}＋ａ^{2^3}＝１である。） ＝ａ＋ａ²＋ａ^{2^3} ＝［１、０、１、１］ ａ^{1+2^2}＝ａ⁵＝ａ⁴＊ａ＝（ａ³＋１）ａ＝ａ^{2^2}＋a＝［０、１、０、１］ ａ^{1+2^3}＝ａ⁹＝ａ⁸＊ａ＝（ａ³＋１）²＊a ＝ａ⁷＋a ＝ａ²＊ａ⁵＋ａ ＝ａ²＊（ａ^{2^2}＋a）＋ａ ＝ａ⁶＋ａ³＋ａ ＝ａ⁴＊ａ²＋ａ＋ａ²＋ａ^{2^3}＋ａ ＝（ａ³＋１）＊ａ²＋ａ²＋ａ^{2^3} ＝ａ⁵＋ａ²＋ａ²＋ａ^{2^3} ＝ａ^{2^2}＋a＋ａ^{2^3} ＝［１、１、０、１］ 上記のａ^{1+2^k}（ｋ＝０，１，２，３）の正規基底Ф_aに
よる表現の求め方を簡単に言うと次のようになる。ａが
最小既約多項式φ_a（ｘ）の根であることから、 ａ⁴＋ａ³＋¹＝０ …［１］ を満たし、またａが正規基底であることから、 ａ＋ａ²＋ａ^{2^2}＋ａ^{2^3}＝１ …［２］ を満たす。この式［１］、［２］だけの情報から順次ａ
^{1+2^k}（ｋ＝０，１，２，３）を求めていく。つまり例
えばａ⁹を正規基底Ф_aを用いて表わす場合のように、ａ
⁹をそれまでに求めたａ³、ａ⁵の結果及び上記の式
［１］、［２］が代入できるように分解して代入し、又
更にその結果を同様に分解して代入するという操作を正
規基底Ф_aによる表現になるまで不確定回数繰り返す。
上述の例では、偶然ａ⁹の表現がそれまでに求めたａ³、
ａ⁵の表現及び上記の式［１］、［２］により求められ
た。しかし有限体ＧＦ（２ⁿ）とその正規基底Φ_aの選び
方によっては、ａ^{1+2^k}（ｋ＝０，１，・・・，ｎ）の正規
基底による表現を求めるために、それら以外のａ^l（０
≦ｌ≦２ⁿ−１）の正規基底による表現を求めなければ
ならないこともおこる。しかも上述に述べた方法は、有
限体ＧＦ（２ⁿ）とその正規基底Φ_aに対してシステマテ
ィックに構成されてないため、どのａ^l（０≦ｌ≦２ⁿ−
１）を求めればよいかも有限体ＧＦ（２ⁿ）とその正規
基底Φ_aから決定することができない。A ^{1 + 2 ^ 0} = a ² = [0,0,1,0] a ^{1 + 2 ^ 1} = a ³ = a ⁴ + 1 = a ^{2 ^ 2} +1 (because of GF (2) Then, a ⁴ + a ³ + 1 = 0.) = A ^{2 ^ 2} + (a + a ² + a ^{2 ^ 2} + a ^{2 ^ 3} ) (Because on GF (2), a + a ² + a ^{2 ^ 2} + a ^{2 ^} is a 3 = 1.) = a + a 2 + a 2 ^ 3 = [1,0,1,1] a 1 + 2 ^ 2 = a 5 = a 4 * a = (a 3 +1) a = a 2 ^ ^{2 + a = [0,1,0,1] a} 1 + 2 ^ 3 = a 9 = a 8 * a = (a 3 +1) 2 * a = a 7 + a = a 2 * a 5 + a = a 2 * ^{(a 2 ^ 2 + a)} + a = a 6 + a 3 + a = a 4 * a 2 + a + a 2 + a 2 ^ 3 + a = (a 3 +1) * a 2 + a 2 + a 2 ^ 3 = a 5 + a 2 + a 2 + a ^{2 ^ 3 = a 2 ^ 2} + a + a 2 ^ 3 = [1,1,0,1] Determination of expression by normal basis .PHI _a of the above ^{a 1 + 2 ^ k (k} = 0,1,2,3) To put it simply It is as. Since a is a root of the minimum irreducible polynomial phi _a (x), since ^{a 4 + a 3 + 1 =} 0 ... met [1], also a is normal ^{basis, a + a 2 + a 2} ^ 2 + a ^{2 ^ 3} = 1 ... [2] is satisfied. From the information of equations [1] and [2] only, a
^{1 + 2 ^ k} (k = 0, 1, 2, 3) is calculated. That is, for example, as in the case of expressing a ⁹ using the normal basis Φ _a ,
The operation of decomposing ⁹ so that the results of a ³ and a ⁵ obtained up to that point and the above expressions [1] and [2] can be substituted, and further decomposing and substituting the results in the same manner. Is repeated an indeterminate number of times until it is expressed by the regular basis Ф _a .
In the example above, the expression a ⁹ happens to be a ³
It was obtained by the expression of a ⁵ and the above equations [1] and [2]. However, depending on how to select the finite field GF (2 ⁿ ) and its normal basis Φ _a , in order to obtain the expression by the normal basis of a ^{1 + 2 ^ k} (k = 0,1, ..., n), other than them A ^l (0
It also happens that an expression with a normal basis of ≦ l ≦ 2 ⁿ −1) must be obtained. Moreover, since the method described above is not systematically constructed with respect to the finite field GF (2 ⁿ ) and its normal basis Φ _a , which a ^l (0 ≦ l ≦ 2 ⁿ −
It may not be possible to determine 1) from the finite field GF (2 ⁿ ) and its normal basis Φ _a .

【００４３】従って、この従来の方法は拡大次数ｎが小
さければ問題ないが、暗号方式が実用可能になるような
１００ぐらいのｎについては不可能である。Therefore, this conventional method has no problem if the expansion degree n is small, but it is impossible for n of about 100 at which the encryption method becomes practical.

【００４４】[0044]

【発明が解決しようとする課題】有限体の演算をベース
にもつ暗号方式の実用化における検討事項である処理速
度の高速化を有限体ＧＦ（２ⁿ）により計るために、従
来考えられてきた技術には以下のような課題がある。It has been conventionally considered to measure the speedup of the processing speed by the finite field GF (2 ⁿ ), which is a consideration in the practical application of the cryptosystem based on the operation of the finite field. The technology has the following problems.

【００４５】まず、有限体ＧＦ（２ⁿ）の正規基底Ф_a＝
｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝を、Ф_aにより一意的に定
まるＧＦ（２）ⁿ×ＧＦ（２）ⁿからＧＦ（２）への乗法
関数ｆ_a（ｘ，ｙ）の項数ｈ_aが小さくなるように選ぶ前
記問題１に対する従来の３つの方法に関しては次の［課
題１］と［課題２］が存在する。 ［課題１］暗号方式構成のベースに用いる有限体ＧＦ
（２ⁿ）のｎに条件を付ける 方法であるため、暗号方
式の実用には適当であるが条件を満たさない１６を法
として０と合同であるようなｎに対して、有限体ＧＦ
（２ⁿ）には適当な正規基 底を見つけることができな
い。 ［課題２］有限体ＧＦ（２ⁿ）に対して条件を満たす整
数ｋの存在する上界がない ので、有限体によっては乗
法の実行速度をもっと速くできる正規基底が存在す る
可能性がある。First, the normal basis Φ _a = of the finite field GF (2 ⁿ ).
^{{A, a 2, ···,} a 2 ^ (n-1)} a, GF (2) uniquely determined by .PHI _a multiplicative function from ⁿ × GF (2) ⁿ to GF (2) f _a The following [Problem 1] and [Problem 2] are present with respect to the three conventional methods for the above-mentioned Problem 1 in which the number h _a of (x, y) is selected to be small. [Problem 1] Finite field GF used as the basis of cryptosystem construction
Since it is a method to condition n in (2 ⁿ ), 16 is suitable for practical use of cryptosystems but does not satisfy the condition.
For n that is congruent with 0 as
We cannot find a proper normal base in (2 ⁿ ). [Problem 2] Since there is no upper bound for the integer k that satisfies the condition for the finite field GF (2 ⁿ ), there is a possibility that there is a normal basis that can increase the execution speed of the multiplication depending on the finite field. ..

【００４６】次にＧＦ（２ⁿ）の正規基底Ф_a＝｛ａ、ａ
²、・・・、ａ^{2^(n-1)}｝が与えられたとき、Ф_aにより一意
的に定まるＧＦ（２）ⁿ×ＧＦ（２）ⁿからＧＦ（２）へ
の乗法関数ｆ_a（ｘ，ｙ）を構成する前記問題２に対す
る従来の方法に関しては次の［課題３］が存在する。 ［課題３］有限体ＧＦ（２ⁿ）の与えられた正規基底を
用いた乗法を実行するため に必要な乗法関数をシステ
マティックに構成することができない。Next, the normal basis of GF (2 ⁿ ) Φ _a = {a, a
^2, ..., when a ^{2 ^} is ^(n-1)} given, GF (2) uniquely determined by .PHI _a multiplicative function from ⁿ × GF (2) ⁿ to GF (2) f _a There is the following [Problem 3] regarding the conventional method for the above-mentioned Problem 2 that constitutes (x, y). [Problem 3] It is not possible to systematically construct a multiplicative function necessary for executing the multiplication using a given normal basis of the finite field GF (2 ⁿ ).

【００４７】本発明は上記従来における問題点を鑑みて
構成されたもので、以上の理由により従来構成できなか
った任意の有限体ＧＦ（２ⁿ）の正規基底を用いた乗法
関数を、システマティックに構成することにより、有限
体ＧＦ（２ⁿ）の乗法計算量が少ない正規基底を見つ
け、その正規基底を用いて乗算器を構成する正規基底を
用いた乗算器の構成法を提供することを目的とする。The present invention has been constructed in view of the above problems in the prior art, and systematically multiplies a multiplicative function using a normal basis of an arbitrary finite field GF (2 ⁿ ) which could not be conventionally configured for the above reasons. An object of the present invention is to provide a method of constructing a multiplier using a normal basis that finds a normal basis that has a small multiplicative calculation amount of a finite field GF (2 ⁿ ) and configures a multiplier using the normal basis. And

【００４８】[0048]

【課題を解決するための手段】本発明は上述の問題点を
解決するため、任意の有限体ＧＦ（２ⁿ）の正規基底を
Ф_a＝｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝とし、ａの有限体Ｇ
Ｆ（２）上の最小既約多項式をφ_a（ｘ）＝ｘⁿ＋ｐ₁ｘ
^n-1＋・・・＋ｐ_nとするときに、ａの最小既約多項式φ
_a（ｘ）により定まるＧＦ（２）上のｎ×ｎ行列Ｔ_aを最
初の行を第零行、最初の列を第零列として、第零行を
［ｐ₁・・・ｐ_n ］とし、第一行から第ｎ−１行までは
ｉを行番号として、第ｉ行を第ｉ−１番目のみが１で他
は０として、つまり、（数１１）According to the present invention, in order to solve the above-mentioned problems, a normal basis of an arbitrary finite field GF (2 ⁿ ) is defined as Φ _a = {a, a ² , ..., A ^{2 ^. (n-1)} }, and the finite field G of a
The smallest irreducible polynomial on F (2) is φ _a (x) = x ⁿ + p ₁ x
When the _{^{n-1 + ··· + p n}} , the minimum irreducible polynomial of a φ
_Let n × n matrix T _a on GF (2) determined by _a (x) be the first row as the zeroth row, the first column as the zeroth column, and the zeroth row as [p ₁ ... P _n ]. , I is the row number from the first row to the (n-1) th row, the i-th row is 1 only in the (i-1) th row, and 0 in the other rows, that is, (Equation 11).

【００４９】[0049]

【数１１】 [Equation 11]

【００５０】と構成し、次に行列Ｔ_aにより定まるＧＦ
（２）上のｎ×ｎ行列Ｓ_aを、各第ｉ行が前記行列Ｔ_aの
２^n-1-i乗の第ｎ−１行であるように、つまり、ｎ次元
単位ベクトルｅ₁を ｅ₁＝［0・・・・・・・・・・・・・・・・・・
01］として、（数１２）GF which is determined by the matrix T _a
(2) The above n × n matrix S _a is calculated such that each i-th row is the 2 ^n-1-i- th row n−1 of the matrix T _a , that is, the n-dimensional unit vector e ₁ is e ₁ = [0 ...
01]

【００５１】[0051]

【数１２】 [Equation 12]

【００５２】と構成し、上記で構成した行列Ｓ_a、Ｔ_aを
用いて、行列Ａ＝Ｓ_a＊Ｔ_a＊Ｓ_a ^-1（Ｓ_a ^-1は行列Ｓ_aの
逆行列とする）を求め、最初の行を第零行、最初の列を
第零列として前記行列Ａの第ｉ行第ｊ列の成分をａ_ijと
表わすとき、ＧＦ（２ⁿ）の元ｘ，ｙ（数３）に対し
て、ＧＦ（２）ⁿ×ＧＦ（２）ⁿからＧＦ（２）への写像
ｆ_a（ｘ，ｙ）＝ｆ_a（ｘ_n-1，・・・，ｘ₀，ｙ_n-1，・・・，
ｙ₀）を、（数１３）By using the matrices S _a and T _a configured as above, the matrix A = S _a * T _a * S _a ⁻¹ (S _a ⁻¹ is the inverse matrix of the matrix S _a ) When the first row is the zeroth row and the first column is the zeroth column and the component of the i-th row and the j-th column of the matrix A is represented by a _ij , the elements x and y of GF (2 ⁿ ) (Equation 3) ), The mapping from GF (2) ⁿ × GF (2) ⁿ to GF (2) f _a (x, y) = f _a (x _n-1 , ..., X ₀ , y _{n- 1} , ...
y ₀ ) is given by (Equation 13)

【００５３】[0053]

【数１３】 [Equation 13]

【００５４】として求める構成と、但し（数１３）はａ
_ij≠０なる全ての０以上ｎ−１以下のi,jに関する和
で、ｘ，ｙの添え字はｎを法にして考え、ＧＦ（２ⁿ）
上のｎ×ｎ行列Ｐを最初の行を第零行、最初の列を第零
列として、 各第ｉ行が［ａ^{(n-1-i)*2^0} ａ
^{(n-1-i)*2^1} ａ^{(n-1-i)*2^2} ・・・ ａ^{(n-1-i)*2^(n-1)}］
となるように構成し、ＧＦ（２ⁿ）上のｎ×ｎ行列Ｑを
前記行列Ｔ_aと前記行列Ｐ及び前記行列Ｐの逆行列Ｐ^-1
によりＰ^-1＊Ｔ_a＊Ｐとして構成し、ＧＦ（２ⁿ）上のｎ
×ｎ行列Ｑ_iを前記行列Ｑの対角線要素をｉ回上に巡回
シフトさせた行列として求め、上記行列Ｓ_aの各第ｉ行
を行列Ｐ＊Ｑ_n-1-i＊Ｐ^-1の第ｎ−１行として求める構
成を備える。And the equation (13) is a
_ij ≠ 0 is the sum of all i and j from 0 to n-1 inclusive, where the subscripts of x and y are modulo n, and GF (2 ⁿ )
With the n × n matrix P above as the first row being the zeroth row and the first column being the ^zeroth column, each i-th row is [a ^{(n-1-i) * 2 ^ 0} a
^{(n-1-i) * 2 ^ 1} a ^{(n-1-i) * 2 ^ 2} ... a ^{(n-1-i) * 2 ^ (n-1)} ]
And the n × n matrix Q on GF (2 ⁿ ) is the matrix T _a , the matrix P, and the inverse matrix P ^{−1 of the} matrix P.
As P ^-1 * T _a * P, and ⁿ on GF (2 ⁿ )
The × n matrix Q _i is obtained as a matrix in which the diagonal elements of the matrix Q are cyclically shifted up i times, and each i-th row of the matrix S _a is the matrix P * Q _n-1-i * P ⁻¹ . It is provided with a configuration for obtaining n-1 rows.

【００５５】[0055]

【作用】本発明は、ＧＦ（２ⁿ）の正規基底Ф_aに対して
上述の構成からＧＦ（２）ⁿ×ＧＦ（２）ⁿからＧＦ
（２）への写像ｆ_a（ｘ，ｙ）を求めると、ＧＦ（２ⁿ）
の正規基底Ф_aによる乗法を与える乗法関数が、上記写
像ｆ_a（ｘ，ｙ）により与えられ、正規基底Ф_aをＧＦ
（２ⁿ）の基底に用いた乗法計算量のオーダを表わす定
数ｈ_aが、上記写像ｆ_a（ｘ，ｙ）の項数により与えられ
るので、ＧＦ（２ⁿ）の正規基底に対して上記写像ｆ
_a（ｘ，ｙ）を求めると、乗法計算量が少ない正規基底
を見つけることができ、また正規基底Ф_aをＧＦ（２ⁿ）
の基底に用いた乗法関数を構成することができ、さら
に、上記写像ｆ_a（ｘ，ｙ）を求めるのに必要なＧＦ
（２）のｎ×ｎ行列Ｓ_aを、上述の構成からＧＦ（２ⁿ）
上のｎ×ｎ行列ＱとＰにより求めると、与えられた上記
正規基底Ф_aに対して上記写像ｆ_a（ｘ，ｙ）を高速に求
めることができる。According to the present invention, from the above configuration, GF (2) ⁿ × GF (2) ⁿ to GF with respect to the normal basis Φ _a of GF (2 ⁿ ).
When the mapping f _a (x, y) to (2) is obtained, GF (2 ⁿ )
A multiplicative function that gives a multiplication by the normal basis Φ _a is given by the above mapping f _a (x, y), and the normal basis Φ _a is GF
Constant h _a representative of the order of multiplication calculation amount used for the base of the (2 ⁿ⁾ is, the mapping f _a (x, y) because it is given by the number of terms, the relative normal basis of GF (2 ⁿ⁾ Map f
_{When a} (x, y) is obtained, a normal basis with a small multiplication calculation amount can be found, and the normal basis Φ _a is GF (2 ⁿ ).
It is possible to construct a multiplicative function used for the basis of, and further, the GF necessary for obtaining the above-mentioned mapping f _a (x, y)
The n × n matrix S _a of (2) is converted into GF (2 ⁿ ) from the above configuration.
When the above n × n matrix Q and P are obtained, the mapping f _a (x, y) can be obtained at high speed for the given normal basis Φ _a .

【００５６】[0056]

【実施例】拡大次数ｎ＝１０の場合 図１は本発明の拡大次数ｎ＝１０の実施例における正規
基底の乗法関数構成法を示すものである。以下同図を参
照しながら実施例の手順を説明する。 ［ステップ１］有限体ＧＦ（２¹⁰）の元ａをφ_a（ｘ）
＝ｘ¹⁰＋ｘ⁹＋ｘ⁸＋ｘ⁷＋ｘ⁶＋ｘ⁵＋ｘ⁴＋ｘ³＋ｘ²＋ｘ
＋１の根とすると、φ_a（ｘ）はａのＧＦ（２）上の最
小既約多項式となり、Ф_a＝｛ａ、ａ²、・・・、
ａ^{2^(9-1)}｝はＧＦ（２¹⁰）の正規基底を与える。 ［ステップ２］ＧＦ（２）上の１０×１０行列Ｔ_aを、
第零行を［ｐ₁・・・ｐ₁₀ ］とし、第一行から第九行ま
ではｉを行番号として、第ｉ行を第ｉ−１番目のみが１
で他は０として構成すると、（数１４）DETAILED DESCRIPTION OF THE PREFERRED EMBODIMENTS Case of Expansion Order n = 10 FIG. 1 shows a method of constructing a multiplication function of a normal basis in an embodiment of the expansion order n = 10 of the present invention. The procedure of the embodiment will be described below with reference to FIG. [Step 1] The element a of the finite field GF (2 ¹⁰ ) is φ _a (x)
^{= X 10 + x 9 + x} 8 + x 7 + x 6 + x 5 + x 4 + x 3 + x 2 + x
Assuming that it is the root of +1, φ _a (x) is the minimum irreducible polynomial on GF (2) of _a , and Φ _a = {a, a ² , ...
a ^{2 ^ (9-1)} } gives the normal basis of GF (2 ¹⁰ ). [Step 2] The 10 × 10 matrix T _a on GF (2) is
The first zero line and [p ₁ ··· p _10], a is from the first row to the ninth row i as a line number, only the i-1 th to the i-th row 1
If the others are configured as 0, (Equation 14)

【００５７】[0057]

【数１４】 [Equation 14]

【００５８】になる。 ［ステップ３］ＧＦ（２）上の１０×１０行列Ｓ_aを各
第ｉ行を前記行列Ｔ_aの２^10-1-i乗の第９行として構成
すると、（数１５）It becomes [Step 3] When each i-th row of the 10 × 10 matrix S _a on GF (2) is formed as the 9 ^- th row of the matrix T _{a to} the power of 2 ^10-1-i , (Equation 15)

【００５９】[0059]

【数１５】 [Equation 15]

【００６０】となる。 ［ステップ４］行列Ｔ_a，Ｓ_aを用いて、行列Ａ＝Ｓ_a＊
Ｔ_a＊Ｓ_a ^-1を求めると、（数１６）It becomes [Step 4] Using the matrices T _a and S _a , the matrix A = S _a *
Obtaining T _a * S _a ^-1 (Equation 16)

【００６１】[0061]

【数１６】 [Equation 16]

【００６２】となる。 ［ステップ５］行列Ａの第ｉ行第ｊ列の成分をａ_ijと表
わすとき、正規基底Ф_aをＧＦ（２¹⁰）の基底に用いた
乗法関数ｆ_a（ｘ，ｙ）は、ＧＦ（２ⁿ）の元ｘ，ｙ（数
１７）It becomes [Step 5] When the i-th row and j-th column component of the matrix A is represented by a _ij , the multiplicative function f _a (x, y) using the normal basis Φ _a as the basis of GF (2 ¹⁰ ) is GF ( ^Element x, y of 2 ⁿ ) (Equation 17)

【００６３】[0063]

【数１７】 [Equation 17]

【００６４】に対して、（数１８）On the other hand, (Equation 18)

【００６５】[0065]

【数１８】 [Equation 18]

【００６６】により与えられる。但し（数１８）はａ_ij
≠０なる全ての０以上９以下のi,jに関する和で、ｘ、
ｙの添え字は１０を法として考える。よって乗法関数ｆ
_a（ｘ，ｙ）は、ｆ_a（ｘ、ｙ）＝ｘ₀＊ｙ₅＋ｘ₁（ｙ₅＋
ｙ₆）＋ｘ₂（ｙ₃＋ｙ₇）＋ｘ₃（ｙ₂＋
ｙ₈）＋ｘ₄（ｙ₇＋ｙ₉）＋ｘ₅（ｙ₀＋ｙ₁）＋ｘ₆（ｙ
₁＋ｙ₈） ＋ｘ₇（ｙ₂＋ｙ₄）＋ｘ
₈（ｙ₃＋ｙ₆）＋ｘ₉（ｙ₄＋ｙ₉）となる。またこの乗法
関数ｆ_aの項数で乗法計算量のオーダを表わす定数ｈ
_aは、乗法関数ｆ_a（ｘ，ｙ）の積和の項数、つまり行列
Ａの１の個数で求められたので、 ｈ_a＝１９ となる。Is given by However, ( _Equation 18) is a _ij
The sum of all i and j from 0 to 9 that ≠ 0, x,
The index of y is modulo 10. Therefore, the multiplicative function f
_a (x, y) is f _a (x, y) = x ₀ * y ₅ + x ₁ (y ₅ +
y ₆ ) + x ₂ (y ₃ + y ₇ ) + x ₃ (y ₂ +
y ₈ ) + x ₄ (y ₇ + y ₉ ) + x ₅ (y ₀ + y ₁ ) + x ₆ (y
₁ + y ₈ ) + x ₇ (y ₂ + y ₄ ) + x
₈ (y ₃ + y ₆ ) + x ₉ (y ₄ + y ₉ ). Also, _a constant h representing the order of the multiplicative calculation amount by the number of terms of this multiplicative function f _{a
Since a} is obtained by the number of terms of the product sum of the multiplicative function f _a (x, y), that is, the number of 1's in the matrix A, h _a = 19.

【００６７】ここで、乗法計算量のオーダを表わす定数
ｈ_aは２＊１０−１＝１９以上１０²＝１００以下の整数
になるので、正規基底Ф_aがＧＦ（２¹⁰）の基底に適し
ていることがわかる。[0067] Here, since the constant h _a representative of the order of multiplication computation amount becomes an integer of 2 * 10-1 = 19 or 10 ² = 100 or less, normal basis .PHI _a is suitable for the base of GF (2 ¹⁰⁾ You can see that

【００６８】よって上記で求めた乗法関数を用いて、Ｇ
Ｆ（２¹⁰）の乗法は次のように実行される。Therefore, using the multiplicative function obtained above, G
The multiplication of F (2 ¹⁰ ) is performed as follows.

【００６９】ＧＦ（２¹⁰）の元ｘ，ｙの正規基底Ф_aに
よる表現を（数１７）とするとき、（数１９）が成り立
つ。When the expression by the normal basis Φ _a of the elements x and y of GF (2 ¹⁰ ) is represented by (Equation 17), (Equation 19) is established.

【００７０】[0070]

【数１９】 [Formula 19]

【００７１】但し（数１９）において、Ｒは右巡回シフ
トを表わす演算子で、 Ｒⁱｘ＝［ｘ_i-1，・・・・，ｘ_i+1，ｘ_i］である。 よって、ｘ＊ｙは ｘ＊ｙ＝｛ｘ₀＊ｙ₅＋ｘ₁（ｙ₅＋ｙ₆）＋ｘ₂（ｙ₃＋ｙ₇）＋ｘ₃（ｙ₂＋ｙ₈） ＋ｘ₄（ｙ₇＋ｙ₉）＋ｘ₅（ｙ₀＋ｙ₁）＋ｘ₆（ｙ₁＋ｙ₈）＋ｘ₇（ｙ₂＋ ｙ₄） ＋ｘ₈（ｙ₃＋ｙ₆）＋ｘ₉（ｙ₄＋ｙ₉）｝ａ^{2^0} ＋｛ｘ₁＊ｙ₆＋ｘ₂（ｙ₆＋ｙ₇）＋ｘ₃（ｙ₄＋ｙ₈）＋ｘ₄（ｙ₃＋ｙ₉） ＋ｘ₅（ｙ₈＋ｙ₀）＋ｘ₆（ｙ₁＋ｙ₂）＋ｘ₇（ｙ₂＋ｙ₉）＋ｘ₈（ｙ₃＋ ｙ₅） ＋ｘ₉（ｙ₄＋ｙ₇）＋ｘ₀（ｙ₅＋ｙ₀）｝ａ^{2^1} ＋・・・・・・ ・・・・・・・ ・・・・・・・ ＋｛ｘ₉＊ｙ₄＋ｘ₀（ｙ₄＋ｙ₅）＋ｘ₁（ｙ₂＋ｙ₆）＋ｘ₂（ｙ₁＋ｙ₇） ＋ｘ₃（ｙ₆＋ｙ₈）＋ｘ₄（ｙ₉＋ｙ₀）＋ｘ₅（ｙ₀＋ｙ₇）＋ｘ₆（ｙ₁＋ ｙ₃） ＋ｘ₇（ｙ₂＋ｙ₅）＋ｘ₈（ｙ₃＋ｙ₈）｝ａ^{2^9} で与えられる。However, in (Equation 19), R is an operator representing a right cyclic shift, and R ⁱ x = [x _i−1 , ..., X _{i + 1} , x _i ]. Therefore, x * y is x * y = {x ₀ * y ₅ + x ₁ (y ₅ + y ₆ ) + x ₂ (y ₃ + y ₇ ) + x ₃ (y ₂ + y ₈ ) + x ₄ (y ₇ + y ₉ ) + x ₅ (Y ₀ + y ₁ ) + x ₆ (y ₁ + y ₈ ) + x ₇ (y ₂ + y ₄ ) + x ₈ (y ₃ + y ₆ ) + x ₉ (y ₄ + y ₉ )} a ^{2 ^ 0} + {x ₁ * y ₆ + x ₂ (y ₆ + y ₇ ) + x ₃ (y ₄ + y ₈ ) + x ₄ (y ₃ + y ₉ ) + x ₅ (y ₈ + y ₀ ) + x ₆ (y ₁ + y ₂ ) + x ₇ (y ₂ + y ₉ ) + x ₈ (y ₃ + y ₅ ) + x ₉ (y ₄ + y ₇ ) + x ₀ (y ₅ + y ₀ )} a ^{2 ^ 1} + ... + {X ₉ * y ₄ + x ₀ (y ₄ + y ₅ ) + x ₁ (y ₂ + y ₆ ) + x ₂ (y ₁ + y ₇ ) + x ₃ (y ₆ + y ₈ ) + x ₄ (y ₉ + y ₀ ) + x ₅ ( y ₀ + y ₇ ) + x ₆ (y ₁ + y ₃ ) + x ₇ (y ₂ + y ₅ ) + x ₈ (y ₃ + y ₈ )} A ^{2 ^ 9} .

【００７２】従来の方法は実施例の有限体ＧＦ（２¹⁰）
とその正規基底Φ_aが与えられても、有限体とその正規
基底Φ_aに対してシステマティックに構成されてないた
め、どれだけの計算量によってまたどのようにして乗法
関数ｆ_aを構成するのに必要なａ^{1+2^k}（ｋ＝０，１，・・
・，１０）の正規基底による表現を求めることができる
のか、定量的に把握することができなかった。The conventional method is the finite field GF (2 ¹⁰ ) of the embodiment.
And its normal basis Φ _a are not systematically configured for _a finite field and its normal basis Φ _a , so how much and how to construct the multiplicative function f _a A ^{1 + 2 ^ k} (k = 0, 1, ...
・ It was not possible to quantitatively grasp whether the expression based on the normal basis of 10) could be obtained.

【００７３】しかし本発明により、実施例の有限体ＧＦ
（２¹⁰）とその正規基底Φ_aが与えられると、ａのＧＦ
（２）上の最小既約多項式φ_a（ｘ）により、システマ
ティックに構成されるＧＦ（２）上の１０×１０行列Ｔ
_a、Ｓ_a、Ａの乗法により正規基底Φ_aの乗法関数を求め
ることができる。However, according to the present invention, the finite field GF of the embodiment is
Given (2 ¹⁰ ) and its normal basis Φ _a , the GF of a
(2) 10 × 10 matrix T on GF (2) systematically constructed by the least irreducible polynomial φ _a (x) on
The multiplicative function of the normal basis Φ _a can be obtained by the multiplication of _a , S _a , and A.

【００７４】さらに本発明によって正規基底の乗法関数
を得る構成は上記の実施例に限らない。任意の有限体の
正規基底について可能である。Furthermore, the configuration for obtaining the multiplicative function of the normal basis according to the present invention is not limited to the above embodiment. It is possible for normal bases of any finite field.

【００７５】[0075]

【発明の効果】以上に説明したように本発明は有限体Ｇ
Ｆ（２ⁿ）の正規基底に作用し、従来の技術であれば、
暗号方式の実用に適当な拡大次数ｎで、乗法の高速化が
望める正規基底を見つけることができなかっ有限体の正
規基底を構成し、更に従来の技術であれば、与えられた
有限体ＧＦ（２ⁿ）の正規基底Ф_aを用いて乗法を実行す
るために必要な正規基底Ф_aの乗法関数をシステマティ
ックに構成することができなかったが、ａのＧＦ（２）
上の最小既約多項式φ_a（ｘ）の係数によりシステマテ
ィックに構成されるＧＦ（２）上のｎ×ｎ行列Ｔ_a、
Ｓ_a、Ａの乗法により正規基底Φ_aの乗法関数を構成する
ことができ、その実用的価値は大きい。As described above, the present invention is a finite field G
It acts on the normal basis of F (2 ⁿ ), and with the conventional technique,
A normal base of a finite field in which the normal base expected to speed up the multiplication cannot be found is formed with an extension degree n suitable for practical use of the cryptosystem. Further, in the conventional technique, a given finite field GF ( It was not possible to systematically construct the multiplicative function of the normal basis Ф _a necessary for executing the multiplication using the 2 ⁿ ) normal basis Ф _a , but GF (2) of a
N × n matrix T _a on GF (2) systematically constructed by the coefficients of the above least irreducible polynomial φ _a (x),
A multiplicative function of the normal basis Φ _a can be constructed by multiplication of S _a and A, and its practical value is great.

【図面の簡単な説明】[Brief description of drawings]

【図１】拡大次数ｎ＝１０の場合の実施例を示すフロー
チャートFIG. 1 is a flowchart showing an embodiment in the case of an expansion degree n = 10.

Claims (2)

【特許請求の範囲】[Claims] 【請求項１】有限体ＧＦ（２ⁿ）の元ａに対して、Ф_a＝
｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝が前記有限体ＧＦ（２ⁿ）
の正規基底を与えるとし、前記ａの有限体ＧＦ（２）上
の最小既約多項式をφ_a（ｘ）＝ｘⁿ＋ｐ₁ｘ^n-1＋・・・
＋ｐ_nとするとき、 前記ＧＦ（２）上のｎ×ｎ行列Ｔ_aを最初の行を第零
行、最初の列を第零列として、 第零行を［ｐ₁・・・ｐ_n ］とし、 第一行から第ｎ−１行まではｉを行番号として、 第ｉ行を第ｉ−１番目のみが１で他は０として構成し、 次に前記ＧＦ（２）上のｎ×ｎ行列Ｓ_aを最初の行を第
零行、最初の列を第零列として、 各第ｉ行を前記行列Ｔ_aの２^n-1-i乗の第ｎ−１行として
求め、 前記行列Ｔ_a，Ｓ_a，及びＳ_aの逆行列Ｓ_a ^-1を用いて行列
Ａ＝Ｓ_a＊Ｔ_a＊Ｓ_a ^-1を求め、前記行列Ａの最初の行を
第零行、最初の列を第零列として前記行列Ａの第ｉ行第
ｊ列の成分をａ_ijと表わすとき、前記有限体ＧＦ
（２ⁿ）の元ｘ，ｙ（数１）に対して、 【数１】 【数２】 と求め、但し（数２）はａ_ij≠０なる全ての０以上ｎ−
１以下のi,jに関する和で、ｘ、ｙの添え字はｎを法と
して考えるとし、これを乗法関数とすることを特徴とし
た正規基底を用いた乗算器の構成法。1. For an element a of a finite field GF (2 ⁿ ), Φ _a =
{A, a ² , ..., a ^{2 ^ (n-1)} } is the finite field GF (2 ⁿ ).
^Given the normal basis of φ _a (x) = x ⁿ + p ₁ x ^n-1 + ...
+ P _n , the n × n matrix T _a on GF (2) has the first row as the zeroth row, the first column as the zeroth column, and the zeroth row is [p ₁ ... P _n ]. Then, i is a row number from the first row to the (n-1) th row, the i-th row is 1 only at the (i-1) th row, and 0 at the other, and then n * on the GF (2) is set. The n matrix S _a is _defined as the first row is the zeroth row, the first column is the zeroth column, and each i ^- th row is obtained as the n−1th row of the matrix T _a raised to the power of 2 ^n-1-i. T _a, S _a, and S inverse matrix with S _a ^-1 calculated matrix _{a = S a * T a *} S a -1 of _a, the zero line of the first row of the matrix a, the first column When the component of the i-th row and the j-th column of the matrix A is represented by a _ij with the zeroth column as the zeroth column, the finite field GF
For the elements x and y of (2 ⁿ ) (Equation 1), [Equation 2] (2) is obtained for all 0 or more where a _ij ≠ 0.
A method of constructing a multiplier using a normal basis characterized in that the subscripts of x and y are modulo n, which are sums of i and j of 1 or less. 【請求項２】有限体ＧＦ（２ⁿ）の元ａに対して、Ф_a＝
｛ａ、ａ²、・・・、ａ^{2^(n-1)}｝が前記有限体ＧＦ（２ⁿ）
の正規基底を与えるとし、前記ａの有限体ＧＦ（２）上
の最小既約多項式をφ_a（ｘ）＝ｘⁿ＋ｐ₁ｘ^n-1＋・・・
＋ｐ_nとするとき、 前記ＧＦ（２）上のｎ×ｎ行列Ｔ_aを最初の行を第零
行、最初の列を第零列として、 第零行を［ｐ₁・・・ｐ_n ］とし、 第一行から第ｎ−１行まではｉを行番号として、 第ｉ行を第ｉ−１番目のみが１で他は０として構成し、 次に前記ＧＦ（２）上のｎ×ｎ行列Ｓ_aを最初の行を第
零行、最初の列を第零列として、 各第ｉ行を前記行列Ｔ_aの２^n-1-i乗の第ｎ−１行とし、 前記ＧＦ（２ⁿ）上のｎ×ｎ行列Ｐを最初の行を第零
行、最初の列を第零列として、 各第ｉ行が［ａ^{(n-1-i)*2^0} ａ^{(n-1-i)*2^1} ａ
^{(n-1-i)*2^2} ・・・ ａ^{(n-1-i)*2^(n-1)}］となるように構
成し、 前記ＧＦ（２ⁿ）上のｎ×ｎ行列Ｑを前記行列Ｔ_aと前記
行列Ｐ及び前記行列Ｐの逆行列Ｐ^-1によりＰ^-1＊Ｔ_a＊
Ｐとして求め、 ＧＦ（２ⁿ）上のｎ×ｎ行列Ｑ_iを前記行列Ｑの対角線要
素をｉ回上に巡回シフトさせた行列として求め、前記行
列Ｓ_aの各第ｉ行を行列Ｐ＊Ｑ_n-1-i＊Ｐ^-1の第ｎ−１行
として求めることを特徴とする請求項１記載の正規基底
を用いた乗算器の構成法。2. For an element a of a finite field GF (2 ⁿ ), Φ _a =
{A, a ² , ..., a ^{2 ^ (n-1)} } is the finite field GF (2 ⁿ ).
^Given the normal basis of φ _a (x) = x ⁿ + p ₁ x ^n-1 + ...
+ P _n , the n × n matrix T _a on GF (2) has the first row as the zeroth row, the first column as the zeroth column, and the zeroth row is [p ₁ ... P _n ]. Then, i is a row number from the first row to the (n-1) th row, the i-th row is 1 only at the (i-1) th row, and 0 at the other, and then n * on the GF (2) is set. The n matrix S _a has the first row as the zeroth row, the first column as the zeroth column, each i-th row as the ⁿ⁻ 1th row of the matrix T _a raised to the power of 2 ^n-1-i , and the GF ( 2 ⁿ ), with the n × n matrix P on the first row as the zeroth row and the first column as the ^zeroth column, each i-th row is [a ^{(n-1-i) * 2 ^ 0} a ^{(n- 1-i) * 2 ^ 1} a
^{(n-1-i) * 2 ^ 2} ... a ^{(n-1-i) * 2 ^ (n-1)} ], and the n × n matrix on the GF (2 ⁿ ) _Let Q be P ⁻¹ * T _a * by the matrix T _a , the matrix P, and the inverse matrix P ⁻¹ of the matrix P.
P, and an n × n matrix Q _i on GF (2 ⁿ ) is obtained as a matrix in which the diagonal elements of the matrix Q are cyclically shifted up i times, and each i-th row of the matrix S _a is a matrix P *. construction of the multiplier with a normal basis of claim 1, wherein the determination as the n-1 rows of _{Q n-1-i * P} -1.