JPH0619393A - 依頼計算装置 - Google Patents

Abstract

(57)【要約】 【目的】 安全性を確保し、かつ演算速度の早い依頼計
算装置を提供することを目的とする。 【構成】 Ｍ^d mod ｎを計算する際に、べき指数ｄに依
存しないべき指数ｂ（ｊ）を用いて上記の式を変形す
る。そして、べき指数ｂ（ｊ）をサーバ側に伝送して上
記の式の演算を行なう。 【効果】 ｂ（ｊ）はべき指数ｄに依存しないので、べ
き指数ｄに関する情報は外部に漏れることはない。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は安全性の高い計算依頼が
可能で秘密に依存しない演算のみを補助装置に依頼する
依頼計算装置に関する。

【０００２】

【従来の技術】一般に、通信情報処理システムの安全確
保の為に、公開鍵暗号が盛んに研究されている。ＲＳＡ
暗号をはじめ多くの公開鍵暗号は次の（１）式で示され
るようなべき乗剰余計算を基本演算として構成されてい
る。

【０００３】 Ｃ＝Ｍ^d mod ｎ …（１） ここで暗号としての強度を確保するために通常、各変数
Ｃ，Ｍ，ｎ，ｄは512 ビット程度以上の大きさの値を用
いる。そのため処理ステップ数が非常に大きくなり、処
理速度の比較的小さい装置でこれを演算しようとすると
多くの処理時間がかかるという問題が生じる。

【０００４】さらに、ＲＳＡ暗号の復号変換では（１）
式のべき指数ｄを秘密に保たなければならないので演算
を行うときのべき指数の扱いには特に注意が必要であ
る。暗号の鍵となるｄやｎをＩＣカードの様なアクセス
制御機能のある記憶媒体にいれておくと安全で携帯に便
利である。しかし、ＩＣカード以外の装置がべき乗を行
うのであれば、ＩＣカードからべき乗計算装置に鍵ｄ，
ｎを送らねばならず第３者にｄが漏れる可能性が生ず
る。また、ＩＣカード自身の持つ中央処理ユニット（Ｃ
ＰＵ）でべき乗計算を行うことも考えられるが、一般に
ＩＣカードのＣＰＵの数値計算能力はあまり大きくない
ので実用的な処理時間を達成するのは困難である。

【０００５】そこで、従来より、処理の高速化とべき指
数の秘密の確保をともに実現する方式として、安全に補
助装置に計算を依頼する方法が提案されており、これは
依頼計算法とよばれている。通常、依頼計算はクライア
ント、サーバおよび両者を結ぶ通信回線の３つの部分か
らなる装置によって実行される。この内、クライアント
は目的とする処理に関わる秘密情報を持つ装置でサーバ
と比べて演算能力が相対的に劣っている。また、サーバ
はクライアントから依頼された処理内容を実行し、結果
を通信回線を介してクライアントに返す。このような処
理において、第３者にクライアントの秘密情報を漏らさ
ずに、サーバの補助によって全体の処理時間を短縮する
のが依頼計算である。ちなみにＲＳＡ暗号の復号変換に
ついて依頼計算法を構成しようという場合、クライアン
トの秘密情報は（１）式のべき指数ｄである。

【０００６】そして、これまでに提案されている、べき
乗計算の為の依頼計算の具体的なプロトコルの例とし
て、松本らの方式（文献：松本他、”Speeding,up,secr
et,computations,with,insecure,auxiliary,devices",,
Proc.,of,Crypto'88,,Springer,Lecture,Notes,in,Comp
uter,Science,,403,,pp.497-506,(1988)）とその改良版
や変形版（文献：C.-S.,Laih, 他:"Two,efficient,serv
er-aided,secret,computation,protocols",,ASIACRYPT'
91アブストラクト集,,1991，９２年出版予定）がある。
しかしこの２つのプロトコルでは、サーバの演算が秘密
指数ｄの値と完全には独立でないのでクライアント単独
で計算を行う場合に比べて安全性が劣化している。これ
に対し、これらの方式で起こっていた安全性の低下を防
止できる方式として、Quisquaterらはサーバの処理を秘
密指数ｄの値に依存しない様に構成する方式を提案して
いる（文献：J.J.Quisquater, 他：”Speeding,up,smar
t,card,RSA,computations,with,insecure,coprocessor
s",,SMART,CARD,2000講演論文集，１９８９年１０
月）。しかしながら、Quisquaterらの方式は通信量やク
ライアント／サーバの処理量が大きく、より効率的な方
式の提案が望まれていた。

【０００７】なお、べき指数を秘密にするという前提を
置かない一般のべき乗計算を少ない乗算回数で実現する
方法については、これまで種々の方式が提案されてい
る。しかし、それらの方式は、依頼計算とは違って、べ
き乗をサーバとクライアントが分担し、しかもクライア
ント以外にはべき指数を漏らさないようにすることを目
的としていない。従ってそれらの方式をそのままの形で
依頼計算の目的を達成するために用いることは困難であ
る。

【０００８】

【発明が解決しようとする課題】このように、従来の依
頼計算装置では、前記松本らの方式では安全性に乏しく
第３者に解読される危険性があり、Quisquaterらの方式
では、処理量が多く演算に長時間を要するという欠点が
あった。

【０００９】この発明はこのような従来の課題を解決す
るためになされたもので、その目的とするところは、高
い安全性を確保し、かつ、演算に要する時間を短縮し得
る依頼計算装置を提供することにある。

【００１０】

【課題を解決するための手段】請求項１記載の本発明
は、演算手段を有する主装置と演算手段を有する１つな
いしは複数の補助装置から構成される依頼計算装置にお
いて、前記依頼計算装置はべき乗剰余計算： Ｍ^d mod n を実行するものであり、前記主装置は固有の秘密情報で
あるべき指数ｄを有し、前記主装置は前記べき指数ｄを
２より大きな正整数ｂを基数としたｂ進数表現： ｄ＝Σ ｄ_i ｂⁱ により展開した全ての係数ｄ_i を保持し、前記補助装置
は、所定の底であるＭと所定の法であるｎと、前記基数
ｂを割り切る所定の整数βに依存し、前記ｄ及び前記係
数ｄ_i のいずれにも依存しない変換として、Ｍに対しβ
乗を繰り返しｎで剰余をとった複数の値を計算し、これ
らの計算結果を主装置に送信し、主装置は補助装置から
受信した複数の計算値と、自装置内に保持する前記複数
の係数ｄ_iと前記ｎに依存した変換により、べき乗剰余
計算結果を主装置内に得ることを特徴とする。

【００１１】請求項２記載の本発明は、演算手段を有す
る主装置と演算手段を有する１つないしは複数の補助装
置から構成される依頼計算装置において、前記主装置は
固有の秘密情報を有し、前記秘密情報に依存した秘密計
算を実行するものであり、前記主装置は、乱数発生手段
を有し、前記秘密計算を実行していない時点において、
前記乱数発生手段により複数の乱数を発生し、前記複数
の乱数から所定の変換により得られる乱数依存データを
計算し、前記乱数と前記乱数依存データを保存し、秘密
計算実行時には、前記補助装置は前記秘密情報に依存し
ない所定の変換を実行して得られる第一の変換値を前記
主装置に送信し、前記主装置は前記第一の変換値に前記
乱数を作用させる所定の変換を実行して得られる第二の
変換値を前記補助装置に送信し、前記補助装置は所定の
変換により得られる第三の変換値を前記主装置に送信
し、前記主装置は第三の変換値と前記乱数依存データに
依存した所定の変換を実行して秘密計算の実行結果を自
装置内に得ることを特徴とする。

【００１２】請求項３記載の本発明は、第１項記載のべ
き指数ｄを２より大きな正整数ｂを基数としたｂ進数表
現： ｄ＝Σ ｄ_i ｂⁱ により展開した全ての係数ｄ_i に対し、複数の整数から
なる２つの集合が規定され、前記係数ｄ_i の全ては、前
記集合のうち第一の集合の一要素と前記集合のうち第二
の集合の一要素の積に対し基数ｂを法として合同な関係
を有し、主装置は個々の係数ｄ_i に対応する第一の集合
の要素と第二の集合の要素をそれぞれ対にして保持し、
補助装置は、所定の底であるＭと所定の法であるｎと、
前記基数ｂを割り切る所定の整数βと、前記第二の集合
の個々の要素に依存した複数のべき乗剰余計算を実行
し、該計算結果を前記主装置に送信し、前記主装置は、
前記補助装置から受信した計算値と、自装置内に保持す
る前記複数の係数ｄ_i に対応した第一の集合の各要素と
前記ｎに依存した変換により、べき乗剰余計算結果を主
装置内に得ることを特徴とする。

【００１３】

【作用】上述の如く構成すれば、補助装置が計算する値
は、主装置が保持する秘密情報ｄに依存していないので
これからｄに関する秘密が主装置外に漏れることはな
い。このことは本発明の全てに対して成立する。

【００１４】本願第一の発明では、補助装置が実行する
部分はＭ＜ｂⁱ mod n （i=0,1,2,…,1-1）（但し、１は
ｂ進数表現による指数ｄのサイズ）である。秘密情報ｄ
がどのような値であっても、補助装置が実行するこれら
の演算結果のほとんど全ては以降の主装置での計算に利
用される。すなわち、補助装置が計算し、送信するデー
タ数は必要最低限のものである。このことにより通信時
間および補助装置の計算時間が共に短縮され、べき乗剰
余結果を得るまでの時間が短縮される。

【００１５】本願第二の発明では、主装置の空き時間に
乱数生成を行う。秘密情報ｄに依存したデータであって
も予め生成した乱数を作用させることにより、ｄに依存
しないデータに変換できる。すなわち、乱数を作用させ
ることにより、ｄに依存した所定の計算を、秘密が漏れ
ないように補助装置に依頼できる。このことにより補助
装置に依頼できる計算部分が拡大し、全体として計算時
間が短縮される。

【００１６】本願第三の発明では、べき指数ｄをｂ進数
展開した個々の係数ｄ_i を２整数の積で表現する。但
し、２つの整数は予め定められた２つの集合に１つずつ
含まれる。一方の集合の全要素に依存して定まる計算を
補助装置が実行し、それ以外の部分を主装置が実行す
る。補助装置の計算するデータは、その全てが主装置の
演算に必要ではない。しかし、既知の２集合の積で表現
するため、例えば既知の集合の要素の和で表現する場合
に比べて、不要なデータの割合が少なくなり、補助装置
に必要な計算量と必要な通信量が減少する。

【００１７】

【実施例】以下、本発明の実施例を図面に基づいて説明
する。

【００１８】演算手順の説明の前にまず本発明の適用が
最も有効である場合として、ＩＣカードシステムを例に
とり、その典型的なハードウェア構成を図２を参照しな
がら説明する。

【００１９】同図において、ＩＣカード２０３とはＣＰ
Ｕとメモリ、外部との通信端子を持つ名刺大のプラステ
ィック・カードである。秘密指数ｄと法ｎはＩＣカード
２０３のメモリに記録されている。特に、ｄはカード外
に漏れることがないようにアクセス制御されている。

【００２０】ＩＣカード２０３は読み取り・書き込み用
のインタフェース装置すなわちリーダ・ライタ２０２を
介して端末２０１に接続される。端末２０１にはべき乗
を高速に行える演算能力の高いＣＰＵがあってＩＣカー
ド２０３のべき乗計算を補助する。ＩＣカード２０３が
以下の説明における「クライアント」に相当し、端末が
「サーバ」に相当する。またリーダ・ライタ２０２を含
むＩＣカード２０３と端末２０１が交換する情報の伝送
路が「通信回線」に相当する。

【００２１】図１は、本発明が適用された依頼計算装置
の典型的な構成を示すブロック図である。なお、同図は
必ずしもＩＣカードシステムに限定されない。クライア
ント１の代表的な機能ブロックとして、クライアントの
動作を制御する制御部１１と、２つの整数値を乗じて結
果を法の値で割った余りを求める剰余乗算処理部１２
と、秘密のべき指数を格納するべき指数レジスタ１３
と、中間結果等を格納するメモリ１４と、外部との通信
を行うための通信処理部１６と、これらの間のデータの
授受を実現する為の内部バス１５がある。クライアント
１は通信回線３を介してサーバ２とデータのやりとりが
できる。サーバの代表的な構成ブロックは、制御部２１
と、剰余乗算処理部２２と、メモリ２３と、内部バス２
４、および通信処理部２５で構成される。一般に、サー
バのべき乗処理能力はクライアントのべき乗処理能力に
比べて相当に高い。

【００２２】次に、本発明に基づく第１実施例を図３に
示すフローチャートに基づいて説明する。クライアント
の処理の目的はべき指数ｄの秘密を保ちつつ、最終的に
Ｃ＝Ｍ^d mod ｎを得ることである。なお、以下に示す各
フローチャートでは、図中の１点鎖線の右側がサーバ側
の処理を示し、左側がクラアント側の処理を示す。

【００２３】

【外１】 のビット数をｍとするとき、ｄのビット数も通常ｍ程度
である。

【００２４】

【数１】 但し、０≦ｄ_j ≦２^k −１。このべき指数ｄはクライア
ント以外には秘密である。なお、以下の説明で記号「ａ
←ｂ」は値ｂを変数ａに代入することを表す。また、
（２）式における２^kjが特許請求の範囲に示すｂ（ｊ）
である。そして、クライアントとサーバは以下の各ステ
ップに従って処理を進める。図中の処理ステップ番号は
以下の手続きのそれと対応している。

【００２５】ステップＳＴ１：クライアントはＭ，ｎを
サーバに送る。

【００２６】ステップＳＴ２：サーバは以下の（ａ）〜
（ｃ）の処理を行う。

【００２７】（ａ）初期設定。

【００２８】ｙ₀ ←Ｍ

【外２】 ｙ_j ←ｙ_j-1 ∧２^k mod ｎ（注意：記号ａ∧ｂはａのｂ
乗を表す）

【外３】 次に、クライアントはサーバから逐次送られてくる、ｙ
_j （ｊ＝１，２，…，

【外４】 乗算して行く。

【００２９】ステップＳＴ３：添え字ｉ＝１，２，…，
２^k −１について初期化する。

【００３０】ｚ（ｉ）←１

【外５】 但し、ｙ₀ ＝Ｍとし、ｄ_j ＝０についてはｙ_j は掛けな
い。

【００３１】ｚ（ｄ_j ）←｛ｚ（ｄ_j ）・ｙ_j ｝mod ｎ そして、クライアントは以下の処理を行う。

【００３２】ステップＳＴ５：添え字ｉ＝２^k −２，２
^k −３，…，２，１についてこの順に、 ｚ（ｉ）←｛ｚ（ｉ）・ｚ（ｉ＋１）｝mod ｎ を計算する。

【００３３】ステップＳＴ６：ステップＳＴ５をもう一
度繰り返す。

【００３４】ステップＳＴ７：メモリｚ（１）の内容が
求める結果である。

【００３５】以上の手順でｚ（１）にＣ＝Ｍ^d mod ｎが
得られる理由は以下の通りである。まず、ｙ_j は定義か
ら次のように表現される。

【００３６】 ｙ_j ＝｛Ｍ∧２^{k j} ｝mod ｎ …（３） ステップＳＴ３，ＳＴ４の結果、ｚ（ｉ）にはｄ_j ＝ｉ
を満たす任意の添え字ｊを持つｙ_j が累積されている。
式で表現すると、次の（４）式となる。

【００３７】

【数２】 ここで、

【数３】 に（４）を代入して項の順序を入れ換えて、Ｍのべき指
数を添え字ｊの大きい順に並べると（５）式のＭを底と
するべき指数はｄに等しくなることがわかる。すなわち
（４）式と（５）式によってＣ＝Ｍ^d mod ｎが計算でき
る。ところで、ス

【外６】 計算している。従って以上の手続きによってクライアン
トは目的の演算結果を得ることができる。

【００３８】さて、このような手順による依頼計算の性
能について考察する。

【００３９】べき指数の秘匿性：上記の手順によれば通
信回線を流れる情報や、サーバの処理は秘密のべき指数
ｄの値に依存していない。従ってｄに関する情報は以上
の手順によってクライアント外に漏れることはない。

【００４０】サーバの処理量0 サーバの処理の内、最も
手間のかかる部分は通常ステップＳＴ２（ｂ）のべき乗
剰余計算部分である。ステップＳＴ２（ｂ）では（ｍ−
ｋ）回の剰余乗算を必要とする。

【００４１】クライアントの処理量：クライアントの処
理の内、最も手間のかかるのは、ステップＳＴ４とステ
ップＳＴ５，ＳＴ６の剰余乗算である。それらのステッ
プで

【外７】 通信量：サーバとクライアントの間でやり取りされるメ
ッセージを、ｍビットのブロックを単位として数える。
ステップＳＴ１とステップＳＴ２（ｃ）の通信

【外８】 メモリ量：演算に関わるメモリ量をｍビットのブロック
を単位として概算すると、サーバはｙ_i とＭ，ｎの３ブ
ロック、クライアントはＭ，ｙ_j ，ｚ（ｉ）、ｎ、およ
びｄの（２^k ＋３）ブロックである。

【００４２】以上は他の方式の特性と共に表１にまとめ
る。また、暗号システムで用いられる典型的な法ｎのビ
ット数は５１２ビットなので、その場合の具体的性能を
表２にまとめる。他の方式との比較は後ほどまとめて行
う。

【００４３】なお、ＲＳＡ暗号のべき乗計算を行う場合
には、法ｎは桁数がｎの半分程度の２つの素数ｐ，ｑの
積であり、クライアントは通常その値を知っている。整
数論の性質からｎを法とする剰余乗算１回は、ｐ，ｑを
法とする剰余乗算を各１回行い結果を中国剰余定理で合
成することでも実現できる。このことを利用してクライ
アントが行う剰余乗算を法ｐ，法ｑに分けて実行するこ
とが可能である。その場合の利点としては、法ｐ，法ｑ
で考えると法ｎでべき乗を考える場合と比べてべき指数
の長さが約半分となるので、サーバがクライアントに送
るｙ_j の数が第１実施例で示した数の約半分ですむ点で
ある。そのため通信量の削減と、サーバの演算量の削減
を達成できる。以下の実施例においても、クライアント
の剰余乗算を法ｐと法ｑに分けて行うことによって、第
１実施例の場合と全く同様に通信量とサーバの演算量の
削減を達成できる。

【００４４】次に本発明に基づく第２実施例を図４に示
すフローチャートに基づいて説明する。まず、べき指数
ｄはｍビットの２進数であるとし、そのビット位置を最
下位ビットから順に、ビット位置０、その隣をビット位
置１、と定義する。そして、

【外９】 出されていてクライアントのみがそれを記憶している。

【００４５】ブロック切り出しは次の様に行う。２進表
現されたべき指数を最下位ビットから最上位ビットの方
向に走査し、ビット「１」が現れるまで走査を続ける。
ビット「１」が現れたら、そのビットから上位ビットに
むけて、そのビットを含むｋビットを第１のブロックｕ
₁ として切り出す。また、前記ビット「１」のビット位
置をｗ（１）と表す。以下同様にして、まだ切り出しの
行なわれていないビットを最上位ビットまで走査し、ビ
ット「１」が現れる度にブロックの切り出しを行う。こ
のときｄは次の（６）式の様に表される。

【００４６】

【数４】 ブロックの切り出し方から、ｕ_r は奇数かつ１≦ｕ_r ≦
２^k −１を満たす。以

【外１０】 ある。

【００４７】ステップＳＴ１１：クライアントはＭ，ｎ
をサーバに送る。

【００４８】ステップＳＴ１２：サーバは以下の（ａ）
〜（ｃ）処理を行う。

【００４９】（ａ）初期設定。

【００５０】ｙ₀ ←Ｍ （ｂ）添え字ｊ＝１，２，…，ｍについて２乗計算を繰
り返す。

【００５１】ｙ_j ←（ｙ_j-1 ∧２）mod ｎ （ｃ）ｙ₁ ，ｙ₂ ，…，ｙ_m をクライアントに送る。

【００５２】次に、クライアントはサーバから逐次送ら
れてくる、ｙ_j （ｊ＝１，２，…，

【外１１】 モリｚ（ｉ）（ｉ＝１，２，…，２^k-1 ）に以下の様に
累積乗算して行く。但し、ｙ₀ ＝Ｍとする。

【００５３】ステップＳＴ１３：添え字ｉ＝１，２，
…，２^k-1 について初期化を行う。

【００５４】ｚ（ｉ）←１

【外１２】 ｚ（（ｕ_r ＋１）／２）←｛ｚ（（ｕ_r ＋１）／２）・
ｙ_w(r)｝mod ｎ そして、クライアントは以下の処理を行う。

【００５５】ステップＳＴ１５：添え字ｉ＝２^k-1 −
１，２^k-1 −２，…，２，１についてこの順に、 ｚ（ｉ）←ｚ（ｉ）・ｚ（ｉ＋１）mod ｎ を計算する。

【００５６】ステップＳＴ１６：ｗ←ｚ（１） ステップＳＴ１７：ステップＳＴ１５の処理を繰り返
す。

【００５７】 ステップＳＴ１８：ｚ（１）←ｗ・ｚ（１）² mod ｎ ステップＳＴ１９：メモリｚ（１）の内容が求める結果
である。

【００５８】以上の手順でｚ（１）にＣ＝Ｍ^d mod ｎが
得られる理由は第１実施例の場合とほぼ同様に説明でき
るが、本実施例ではべき指数を分解したブロックｕ_r が
すべて奇数であることを利用してステップＳＴ１５〜Ｓ
Ｔ１８の処理を行うので、同じｋを用いた場合、必要な
ｚ（ｉ）の数が第１実施例に比べて半分で済むこと、ま
たステップＳＴ１５〜ＳＴ１８の手数もほぼ半分で済む
点が異なっている。第２実施例についても性能を表１，
２に示す。第２実施例の特徴は後に方式の比較の項で明
らかにする。

【００５９】次に本発明に基づく第３実施例を図５に示
すフローチャートに基づいて説明す

【外１３】 されていて、クライアントのみが各ブロックの値を知っ
ている。

【００６０】ステップＳＴ２１：クライアントはＭ，ｎ
をサーバに送る。

【００６１】次いで、サーバは次の処理を行う。

【００６２】ステップＳＴ２２：初期設定を行う。

【００６３】ｒ←１，ｙ₀ （１）←Ｍ，ｗ←Ｍ ステップＳＴ２３：添え字ｉ＝１，２，…，２^k −１に
ついて剰余乗算を行う。 ｙ_i （ｒ）←｛ｙ_i-1 （ｒ）・Ｍ｝mod ｎ ステップＳＴ２４：ｒ，ｙ₁ （ｒ），ｙ₂ （ｒ），…，
ｙ−（２^k −１）の内容をクライアントに送る。ここで
ｙ−_x は下付きの添字がx であることを表す。

【００６４】

【外１４】 ステップＳＴ２８：ｒ←ｒ＋１ ステップＳＴ２９：次のようにｙ₀ （ｒ）を再設定して
ステップＳＴ２３に戻る。

【００６５】ｗ←（ｗ∧２^k ）mod ｎ ｙ₀ （ｒ）←ｗ そして、クライアントの処理は以下である。

【００６６】ステップＳＴ２５：ステップステップＳＴ
２４でサーバから送られてくる、ｙ_i（ｒ）（ｉ＝０，
１，２，…，２^k −１）の値を、以下の規則で累積乗算
して行く。ただし、ｄ_r ＝０の場合には掛ける操作を行
なわない。

【００６７】ｚ←（ｚ・ｙｄ_r （ｒ））mod ｎ ステップＳＴ２６：ｒ＝１ならばステップＳＴ２７に進
む。

【００６８】ステップＳＴ２７：メモリｚの内容が求め
る結果である。

【００６９】この手順によってＣ＝Ｍ^d mod ｎが得られ
ることは明らかである。

【００７０】次に本発明に基づく第４実施例を図６、図
７に示すフローチャートに基づいて

【外１５】 れクライアントに記憶されているとする。

【００７１】まず、クライアントはべき乗計算に先だっ
て以下の前処理を行う。

【００７２】ステップＳＴ３１：ｎ未満の（２^k −１）
個の乱数ｒ_i （ｉ＝１，２，…，２^k−１）を生成す
る。

【００７３】ステップＳＴ３２：次の（７）式で定義さ
れるＲを計算する。

【００７４】

【数５】 ステップ３３：Ｒの法ｎにおける逆数Ｒ^-1を計算する。
定義からＲとＲ^-1は次の（８）式を満たす。

【００７５】 （Ｒ・Ｒ^-1）mod ｎ＝１ …（８） ステップＳＴ３４：クライアントはＭ，ｎをサーバに送
る。

【００７６】そして、サーバは以下の処理を行う。

【００７７】ステップＳＴ３５：初期設定。

【００７８】ｙ₀ ←Ｍ

【外１６】 ｙ_j ←ｙ_j-1 ∧２^k mod ｎ（注意：記号ａ∧ｂはａのｂ
乗を表す）

【外１７】 次いで、クライアントはサーバから逐次送られてくる、
ｙ_j （ｊ＝１，２，…

【外１８】 積乗算して行く。但し、ｙ₀ ＝Ｍとし、また、ｄ_j ＝０
に対してはｙ_j は掛けない。

【００７９】ステップＳＴ３８：添え字ｉ＝１，２，
…，２^k −１について初期化する。

【００８０】ｚ（ｉ）←ｒ_i

【外１９】 。

【００８１】ｚ（ｄ_j ）←｛ｚ（ｄ_j ）・ｙ_j ｝mod ｎ ステップＳＴ４０：ｚ（ｉ）（ｉ＝１，２，…，２^k −
１）をサーバに送る。

【００８２】その後、サーバは送られたｚ（ｉ）の値を
メモリｗ（ｉ）にコピーし以下の処理を行う。

【００８３】ステップＳＴ４１：添え字ｉ＝２^k −２，
２^k −３，…，２，１についてこの順に、 ｗ（ｉ）←｛ｗ（ｉ）・ｗ（ｉ＋１）｝mod ｎ を計算する。

【００８４】ステップＳＴ４２：ステップＳＴ４１のス
テップをもう一度繰り返す。

【００８５】ステップＳＴ４３：ｗ（１）の内容をクラ
イアントに送る。

【００８６】ステップＳＴ４４：クライアントはサーバ
から受け取ったｗ（１）の値をｚ（１）にコピーし、 ｚ（１）←｛ｚ（１）・Ｒ^-1｝mod ｎ を計算し最終結果をｚ（１）に得る（ステップＳＴ４
５）。

【００８７】この手順は第１実施例を基本形としてい
る。両者の相違点は第１実施例ではクライアントが行っ
ているステップＳＴ５，ＳＴ６の処理を、本実施例では
ステップＳＴ４１〜ＳＴ４３においてサーバに行わせて
いる点である。但し、ｚ（ｉ）の値からべき指数に関す
る情報がサーバに漏れないように、ステップＳＴ３８の
初期化に乱数を掛け込んでいる。またステップＳＴ４３
を終了した段階でクライアントが受け取った値は最終結
果のＲ倍である。これを補正する為にステップＳＴ４４
では受信結果にＲの逆数Ｒ^-1を掛けている。ステップＳ
Ｔ３３でＲの逆数Ｒ^-1を予め計算してあるのでステップ
ＳＴ４４の処理は剰余乗算１回の手間で完了する。

【００８８】なお、本実施例のステップＳＴ３１〜ＳＴ
３３はＭが定まる前に行えるので、クライアントのＣＰ
Ｕの空き時間を利用して予め計算しておける。そこで、
事前には行えないステップＳＴ３４以降にクライアント
が行う乗算回数を、第１実施例のクライアントの乗算回
数と比較すると、本実施例の計算量の方が減っている。
通信時間を無視し、サーバが十分高速であるという仮定
の下では、本実施例は第１実施例よりも処理時間を短縮
できる。

【００８９】さて、次に本発明に基づく第５実施例を図
８，図９に示すフローチャートに基づいて説明する。本
実施例は第２実施例を基本形としており、第４実施例と
同様の変形を加えている。本実施例によれば４つの実施
例の内最もクライアントの計算量を削減できる。ここで
ステップＳＴ５１〜ＳＴ５３の計算量は比較に含めてい
ないことに注意する必要がある。

【００９０】

【外２０】 出されていてクライアントのみがそれを記憶している。

【００９１】まず、クライアントはべき乗計算に先だっ
て以下の前処理を行う。

【００９２】ステップＳＴ５１：ｎ未満の２^k-1 個の乱
数ｒ_i （ｉ＝１，２，…，２^k-1 ）を生成する。

【００９３】ステップＳＴ５２：次式で定義されるＲを
計算する。

【００９４】

【数６】 ステップＳＴ５３：（Ｒ・Ｒ^-1）mod ｎ＝１を満たすＲ
^-1を求める。

【００９５】ステップＳＴ５４：クライアントはＭ，ｎ
をサーバに送る。

【００９６】次いで、サーバは以下の処理を行う。

【００９７】ステップＳＴ５５：初期設定。

【００９８】ｙ₀ ←Ｍ ステップＳＴ５６：添え字ｊ＝１，２，…，ｍについて
２乗計算を繰り返す。

【００９９】ｙ_j ←（ｙ_j-1 ∧２）mod ｎ ステップＳＴ５７：ｙ₁ ，ｙ₂ ，…，ｙ_m をクライアン
トに送る。

【０１００】そして、クライアントはサーバから逐次送
られてくる、ｙ_j （ｊ＝１，２，…

【外２１】 ｚ（ｉ）（ｉ＝１，２，…，２^k-1 ）に以下の様に累積
乗算して行く。但し、ｙ₀ ＝Ｍとする。

【０１０１】ステップＳＴ５８：添え字ｉ＝１，２，
…，２^k-1 についてｚ（ｉ）の初期化を行う。

【０１０２】ｚ（ｉ）←ｒ_i

【外２２】 ｚ（（ｕ_r ＋１）／２）←｛ｚ（（ｕ_r ＋１）／２）・
ｙ_w(r)｝mod ｎ ステップＳＴ６０：メモリｚ（ｉ）（ｉ＝１，２，…，
２^k-1 ）の値をサーバに送る。

【０１０３】その後、サーバは受け取った値をメモリｇ
（ｉ）（ｉ＝１，２，…，２^k-1 ）にコピーし、以下の
処理を行う。

【０１０４】ステップＳＴ６１：添え字ｉ＝２^k-1 −
１，２^k-1 −２，…，２，１についてこの順に、 ｇ（ｉ）←｛ｇ（ｉ）・ｇ（ｉ＋１）｝mod ｎ を計算する。

【０１０５】ステップＳＴ６２：ｖ←ｇ（１） ステップＳＴ６３：ステップＳＴ６１の処理を繰り返
す。

【０１０６】ステップＳＴ６４：ｇ（１）←（ｖ・ｇ
（１）² ）mod ｎ ステップＳＴ６５：ｇ（１）の値をクライアントに送
る。

【０１０７】ステップＳＴ６６：クライアントはサーバ
から受け取ったｇ（１）の値をＺ（１）にコピーし、 ｚ（１）←｛ｚ（１）・Ｒ^-1｝mod ｎ を計算し最終結果をｚ（１）に得る。

【０１０８】次に、第１実施例から第７実施例における
処理量及びメモリ量に関する比較を以下の表１に示す。
但し、実施例６と実施例７では、Ｈ＝｛１，−１，２，
−２｝，Ｋ＝［ｂ／３］の場合を取りあげた。

【０１０９】次に、本発明に基づく第６の実施例を図１
０に示すフローチャートに基づいて説明する。本実施例
においてはべき指数ｄの分解を以下のように行う。

【０１１０】

【数７】 但し、ｈ_j ∈Ｈ＝｛α₁ ，α₂ ，…，α_t ｝,0≦ｋ_j ≦
ｋなる整数。すなわち個々のｄ_j をｄ_j ＝ｈ_j ｋ_j mod
b なるｈ_j とｋ_j の積に分解して表す。このようなべき
指数の分解の一例は、文献：E.Brickell, 他："Fast Ex
ponentiation with Precomputation",Proc.of EUROCRIP
T'92, pp.193-201" にて述べられている。具体的には、 (1) Ｈ＝{1,-1}, Ｋ＝「(b-1)/2 」。尚、記号「ａ」は
ａ以上の最小整数を表わす。

【０１１１】(2) Ｈ＝{1,-1,2,-2},Ｋ＝[b/3] 、但し、
ｂは奇数。尚、記号［ａ］はａ以下の最大の整数を表わ
す。

【０１１２】はそのような分解の例である。

【０１１３】ステップＳＴ６１：Ｍ，n の送信 クライアントはＭ．n をサーバに送る。

【０１１４】ステップＳＴ６２：サーバの演算 サーバは以下の式により表現される全てのｙ_ij(0≦ i≦
1-1, 1≦ j≦t ）を計算し、結果をクライアントに送
る。

【０１１５】ｙ_ij＝｛Ｍ＞（α_j ｂⁱ ）｝mod n (0≦
i≦1-1, 1≦ j≦t ） ステップＳＴ６３：クライアントの演算 クライアントはサーバから逐次送られてくるｙ_ij(0≦ i
≦1-1,1 ≦ j≦t ）に対し、Ｍ＞（ｈ_i ｂⁱ ）mod n (0
≦ i≦1-1)の値を選択する。選択される値は、同じ第１
添え字 iをもつ t個のｙ_ijの中から高々１つであり、合
計でも高々１個である。第１添え字 iに対し、選択され
た値をｙ_i*と書くことにする。

【０１１６】次に、以下の計算を実行して所望の値Ｓを
求める。

【０１１７】

【数８】 但し、

【数９】 上記のｚ（ｕ）はｋ_i ＝j であるｙ_i*を全ての i(0≦ i
≦1-1)について累積した結果である。

【０１１８】ｚ（j)(1≦ j≦k)の値を個別にメモリに格
納した後、べき乗積を実行する場合には、ステップＳＴ
６３は以下のステップに分解される。

【０１１９】(a) メモリｚ(j)(j=1,2,…,k) への累積 クライアントは添え字j=1,2,…, ｋについてメモリｚ
(j) を１に設定し、さらに添え字i=0,1,2,…, ｌ-1につ
いて累積乗算を行う。

【０１２０】 ｚ( ｋ_i ）＝｛ｚ( ｋ_i ) ・ｙ_i*・mod n (b) クライアントは添え字j=Ｋ-1, Ｋ-2, …,2,1につい
てこの順に、以下の計算を行う。

【０１２１】ｚ(j) ＝｛ｚ(j) ・ｚ(j+1)}mod n (C) クライアントは(b) の計算をもう一度繰り返す。メ
モリｚ(1) の内容が求める結果である。

【０１２２】この第６の実施例では、サーバに依頼する
計算と通信量が第１の実施例および第２の実施例より多
く、第３の実施例よりも少ない。逆に、クライアントの
乗算回数は第１・第２の実施例よりも少なく、第３の実
施例よりも多い。このため、第１・第２の実施例と比較
して、サーバの処理能力と通信速度がより大きく、クラ
イアントの処理能力がより小さい場合に第６の実施例の
手順は有効となる。

【０１２３】次に、前記第６の実施例のうち、クライア
ントがステップＳＴ６３にて実行するべき乗積計算をサ
ーバに依頼する第７の実施例を説明する。図１１にフロ
ーチャートを示した。クライアントのべき指数の分解は
第６の実施例と同様に行われているものとする。

【０１２４】 ステップＳＴ７１：クライアントの事前処理 まず、クライアントはＫ個の乱数ｒ_j (1≦ j≦k)を発生
する。但し、乱数ｒ_jはｎ未満の整数である。さらに、
次式で定義される値ＲとＲ^-1を求める。

【０１２５】

【数１０】 Ｒ・Ｒ^-1＝１ mod n 以上の処理はべき乗計算Ｍ^d mod n を実行する以前に行
う。例えばクライアント内のCPU のアイドル時間を利用
してこの処理を行い、結果を幾つかクライアント内のメ
モリに保存しておく。

【０１２６】ステップＳＴ７２：Ｍ，n の送信 クライアントはＭ，n をサーバに送る。

【０１２７】ステップＳＴ７３：サーバの演算 サーバは以下の式により表現される全てのｙ_ij(0≦ i≦
1-1, 1≦ j≦t)を計算し、結果をクライアントに送る。

【０１２８】ｙ_ij＝｛Ｍ＞（α_j ｂⁱ ）｝mod n (0≦ i
≦1-1, 1≦ j≦t) (1＊t)個のデータであるｙ_ijの送信においては、クライ
アント側でデータの識別ができるように送信の順序を規
定しておく。

【０１２９】 ステップＳＴ７４：クライアントによる累積乗算 クライアントはサーバから逐次送られてくるｙ_ij(0≦ i
≦1-1, 1≦ j≦t)に対し、Ｍ＞（ｈ_i ｂⁱ ）mod n (0≦
i≦1-1)の値を抽出する。抽出される値は、同じ第１添
え字 iをもつ t個のｙ_ijの中から高々１つずつであり、
合計でも高々１個である。第１添え字 iに対し、選択さ
れた値をｙ_i*と書く事にする。

【０１３０】クライアントは添え字j=1,2,…, Ｋについ
てメモリｚ(j) をｒ_j に設定し、さらに添え字i=0,1,2,
…,1-1について以下の累積乗算を行う。

【０１３１】ｚ（ｋ_i ）＝ｚ（ｋ_i ）・ｙ_i* mod n 以上により得られたｚ(j) (1≦ j≦k)をサーバに送る。

【０１３２】 ステップＳＴ７５：サーバによるべき乗積計算 サーバは以下のｗを求め、クライアントに送る。

【０１３３】

【数１１】 ステップＳＴ７６：クライアントによる後処理 クライアントは以下の計算により所望の値Ｓを求める。

【０１３４】Ｓ＝（ｗＲ^-1）mod n

【表１】 ただし、表１において、以下のように定義する。

【０１３５】（前処理１）＝（２^k-1 個の乱数生成）＋
（剰余乗算（２^k+1 −４回）＋（逆数計算１回） （前処理２）＝（２^k-1 個の乱数生成）＋（剰余乗算
（２^k ）回）＋（逆数計算１回） （前処理３）＝（［ｂ／３］個の乱数生成）＋（剰余乗
算（２［ｂ／３］−２）回）＋（逆数計算１回） 記号［ａ］はａ以上で最小の整数を表す。

【０１３６】この表で使用されている記号の定義をまと
める。ｍはべき指数ｄのサイズである。すなわち、ｍ＝
[log₂ ｄ]+1 である。実施例１から５におけるｋは２進
表現のべき指数を分割したブロックサイズ（ビット数）
である。実施例６と７におけるｂはべき指数ｄを分割す
る基数（ｄをｂ進数表現する）であり、ｌはｂ進数表現
したときのｄの桁数である。すなわち、ｌ（エル）＝[l
og_b ｄ]+1 である。さらに、実施例６と７におけるExp
(b)はｂ乗剰余計算に必要な剰余乗算の回数を表し、Inv
は逆数計算に要する処理時間を剰余乗算１回に要する
処理時間で割った換算値を表す。

【０１３７】そして、表１において、乗算回数はｄのビ
ットパターンに応じて若干変動するが、ここでは最悪値
を示している。

【０１３８】表２にｍ＝５１２の場合の具体的演算量・
メモリ量の比較を示す。ここでは簡単の為にｋ＝５とし
て計算した。

【０１３９】ＲＳＡ暗号の秘密変換に提案の方式を利用
することを想定すると、ｍ＝５１２がよく用いられる。
各方式のパラメータｋ，ｂを最適に選ぶ必要があるが、
ここでは簡単のためにｋ＝５，ｂ＝３３とした場合の具
体値を表２に示す。但し、実施例６と７においてExp(b)
＝６， Inv＝１０とした。

【０１４０】

【表２】 ただし、表２において以下のように定義する。

【０１４１】（前処理１）＝（31個の乱数生成）＋（剰
余乗算60回）＋（逆数計算１回） （前処理２）＝（16個の乱数生成）＋（剰余乗算32回）
＋（逆数計算１回） （前処理３）＝（11個の乱数生成）＋（剰余乗算20回）
＋（逆数計算１回） 以上の実施例ではクライアントは演算結果Ｃ＝Ｍ^d mod
ｎを外部に出さないものとして説明してきた。そして、
そのとき以上の依頼計算手続きはクライアント以外には
ｄに関する情報を一切漏らしていない。ただし、以上述
べた手順だけではクライアントの得た結果が正しいか否
かのチェックはしていないので、不正なサーバが所定の
値以外をクライアントに返して演算を妨害する行為に対
しては無力である。何らかの手段で演算結果が正しいこ
とを確認できると好都合である。幸いＲＳＡ暗号の変換
についてはＣ＝Ｍ^d mod ｎの逆変換が簡単に行えるよう
にパラメータを選ぶことができるので、依頼計算を実行
した後に結果Ｃを逆変換して元のＭに戻ればＣが正しい
ことを確認できる。このような確認計算を検算と呼ぶ。
ＲＳＡ暗号で利用できる具体的な検算式として（１１）
式がある。

【０１４２】 Ｍ＝Ｃ^e mod ｎ …（１１） ここで重要なのは指数ｅをｄに比べて十分小さく設定で
きるので（１１）式は短時間で計算できる点である。

【０１４３】ところで、具体的な装置でクライアントが
ＩＣカードの場合には、演算結果ＣはＩＣカードから外
部に出力される場合が多いと考えられる。その場合にも
べき指数ｄの安全性を確保するには検算がかなり有効で
ある。しかし、ｄに関する情報をクライアント外部に漏
らさない目的に対しては、検算の効果は１００％でな
い。そこで、検算を行って正しい結果でない場合には、
その回数を数えて記憶しておき一定回数以上誤った場合
には警報を鳴らして所有者に知らせるといった方法を併
用することが望ましい。

【０１４４】これまで依頼計算についてＲＳＡ暗号の復
号変換を念頭に置いて説明してきたが、本発明の適用は
必ずしもＲＳＡ暗号に限定されず、べき指数をクライア
ント以外に秘匿したい様々な応用に対して適用可能であ
る。ＲＳＡ暗号以外の適用例としてDiffieとHelmanが提
案している鍵共有プロトコルが考えられる。なお、クラ
イアントの具体例としてはＩＣカードが挙げられるが、
本発明の適用は必ずしもＩＣカードに限定されるもので
もない。サーバや通信回線も本発明の主旨を越えない範
囲であれば、具体的実現法を限定するものではない。

【０１４５】

【発明の効果】以上説明したように、本発明では、べき
指数を秘密とするべき乗計算を、補助装置の助けを借り
つつ、しかもべき指数を補助装置など外部装置に漏らす
こと無く効率よく計算できるという効果が得られる。

【図面の簡単な説明】

【図１】本発明が適用される依頼計算装置の構成を示す
ブロック図である。

【図２】ＩＣカード利用システムを示す構成図である。

【図３】本発明の第１実施例の動作を示すフローチャー
トである。

【図４】本発明の第２実施例の動作を示すフローチャー
トである。

【図５】本発明の第３実施例の動作を示すフローチャー
トである。

【図６】本発明の第４実施例の動作を示すフローチャー
トの第１の分図である。

【図７】本発明の第４実施例の動作を示すフローチャー
トの第２の分図である。

【図８】本発明の第５実施例の動作を示すフローチャー
トの第１の分図である。

【図９】本発明の第５実施例の動作を示すフローチャー
トの第２の分図である。

【図１０】本発明の第６実施例の動作を示すフローチャ
ートである。

【図１１】本発明の第７実施例の動作を示すフローチャ
ートである。

【符号の説明】

１ クライアント ２ サーバ ３ 通信回路 ２０１ 端末 ２０２ リーダ・ライタ ２０３ ＩＣカード

Claims (3)

【特許請求の範囲】
1. 【請求項１】 演算手段を有する主装置と演算手段を有
   する１つないしは複数の補助装置から構成される依頼計
   算装置において、前記依頼計算装置はべき乗剰余計算： Ｍ^d mod n を実行するものであり、 前記主装置は固有の秘密情報であるべき指数ｄを有し、
   前記主装置は前記べき指数ｄを２より大きな正整数ｂを
   基数としたｂ進数表現： ｄ＝Σ ｄ_i ｂⁱ により展開した全ての係数ｄ_i を保持し、 前記補助装置は、所定の底であるＭと所定の法であるｎ
   と、前記基数ｂを割り切る所定の整数βに依存し、前記
   ｄ及び前記係数ｄ_i のいずれにも依存しない変換とし
   て、Ｍに対しβ乗を繰り返しｎで剰余をとった複数の値
   を計算し、これらの計算結果を主装置に送信し、 主装置は補助装置から受信した複数の計算値と、自装置
   内に保持する前記複数の係数ｄ_i と前記ｎに依存した変
   換により、べき乗剰余計算結果を主装置内に得ることを
   特徴とする依頼計算装置。
2. 【請求項２】 演算手段を有する主装置と演算手段を有
   する１つないしは複数の補助装置から構成される依頼計
   算装置において、前記主装置は固有の秘密情報を有し、
   前記秘密情報に依存した秘密計算を実行するものであ
   り、 前記主装置は、乱数発生手段を有し、前記秘密計算を実
   行していない時点において、前記乱数発生手段により複
   数の乱数を発生し、前記複数の乱数から所定の変換によ
   り得られる乱数依存データを計算し、前記乱数と前記乱
   数依存データを保存し、 秘密計算実行時には、前記補助装置は前記秘密情報に依
   存しない所定の変換を実行して得られる第一の変換値を
   前記主装置に送信し、前記主装置は前記第一の変換値に
   前記乱数を作用させる所定の変換を実行して得られる第
   二の変換値を前記補助装置に送信し、前記補助装置は所
   定の変換により得られる第三の変換値を前記主装置に送
   信し、前記主装置は第三の変換値と前記乱数依存データ
   に依存した所定の変換を実行して秘密計算の実行結果を
   自装置内に得ることを特徴とする依頼計算装置。
3. 【請求項３】 第１項記載のべき指数ｄを２より大きな
   正整数ｂを基数としたｂ進数表現： ｄ＝Σ ｄ_i ｂⁱ により展開した全ての係数ｄ_i に対し、 複数の整数からなる２つの集合が規定され、前記係数ｄ
   _i の全ては、前記集合のうち第一の集合の一要素と前記
   集合のうち第二の集合の一要素の積に対し基数ｂを法と
   して合同な関係を有し、 主装置は個々の係数ｄ_i に対応する第一の集合の要素と
   第二の集合の要素をそれぞれ対にして保持し、 補助装置は、所定の底であるＭと所定の法であるｎと、
   前記基数ｂを割り切る所定の整数βと、前記第二の集合
   の個々の要素に依存した複数のべき乗剰余計算を実行
   し、該計算結果を前記主装置に送信し、 前記主装置は、前記補助装置から受信した計算値と、自
   装置内に保持する前記複数の係数ｄ_i に対応した第一の
   集合の各要素と前記ｎに依存した変換により、べき乗剰
   余計算結果を主装置内に得ることを特徴とする依頼計算
   装置。