JPH11305660A

JPH11305660A - エルガマル・ライクなプロトコルのためのセッション・パラメータ生成方法

Info

Publication number: JPH11305660A
Application number: JP10197531A
Authority: JP
Inventors: Scott A Vanstone; スコット・エイ・ヴァンストーン; Donald B Johnson; ドナルド・ビー・ジョンソン; J Rambert Robert; ロバート・ジェイ・ランバート; Ronald C Mullin; ロナルド・シー・マリン
Original assignee: Certicom Corp
Current assignee: Certicom Corp
Priority date: 1997-10-10
Filing date: 1998-07-13
Publication date: 1999-11-05
Anticipated expiration: 2018-07-13
Also published as: JP4462511B2

Abstract

(57)【要約】【課題】暗号化システムにおいて、群の元から計算効
率よく安全なセッション・パラメータを計算すること。【解決手段】第１の成分は、累乗計算を容易にするた
めにベキとして比較的小さなハミング・ウェイトを有す
る整数（ｋ）から得られる。第２の成分は、要求される
ハミング・ウェイトを有する整数によって群の生成元の
累乗として得られる予め計算された秘密の値（γ）であ
る。これらの２つの値を数学的に合成して、求めるセッ
ション・パラメータを得る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、公開鍵暗号化シス
テムに関し、更に詳しくは、公開鍵プロトコルと共に用
いるセッション・パラメータの生成に関する。

【０００２】

【従来の技術】公開鍵データ暗号化システムは、広く知
られており、更に確実なものとして、有限群（finite g
roup）の離散対数問題（discrete log problem）の多項
式での表現不可能性（intractability）に基づくものが
ある。この公開鍵暗号化システムでは、群の元（要素、
element）と生成元（generator）とを用いる。生成元と
は、それ以外のすべての元が、この生成元に基礎となる
群演算を反復して行うことによって、すなわち、生成元
の反復的な合成（コンポジション）によって、得ること
ができるような元である。便宜的には、これは、生成元
の整数ベキの累乗計算として考えることができ、基礎と
なる群演算に応じて、生成元のｋ回の乗算として、又
は、生成元のｋ回の加算として見ることができる。この
ような公開鍵暗号化システムでは、整数ｋが、秘密鍵と
して用いられ、秘密とされる。対応する公開鍵は、生成
元αの整数ｋのベキの累乗を計算することによって得ら
れ、これにより、α^kの形式の公開鍵が得られる。整数
ｋの値は、α^kの値が知られている場合でも、導くこと
はできない。

【０００３】公開及び秘密鍵は、通話者（corresponden
ts）の一方が受信者の公開鍵α^kを用いてデータを暗号
化するようなメッセージの交換において、用いられる。
受信者は、暗号化されたメッセージを受け取り、自分の
秘密鍵を用いてそのメッセージを復号化して、内容を検
索する。メッセージが途中で捕捉されても、整数ｋを導
くことができないので、内容を得ることはできない。

【０００４】同様の技術を用いて、デジタル署名を用い
ることにより、メッセージの真正を確認することができ
る。この技術では、メッセージの送信者は、秘密鍵ｋを
用いてメッセージに署名を行い、受信者は、送信者の公
開鍵α^kを用いてメッセージを復号化することによっ
て、送信者からのメッセージを確認することができる。
平文のメッセージの関数と回復されたメッセージの関数
とを比較することによって、メッセージの真正が確認さ
れる。

【０００５】

【発明が解決しようとする課題】両方の技術において、
群の元αの累乗を計算することが必要となる。セキュリ
ティのために、ｋは、比較的大きな数であって、従っ
て、累乗の計算が、比較的長くなるようにしなければな
らない。指数ベキが長期的な公開鍵として用いられる場
合には、計算時間は、特に考慮すべきことではない。し
かし、デジタル署名方式では、短期的なセッション鍵
が、長期的な公開鍵と共に用いられる。それぞれのメッ
セージは、異なる秘密鍵ｋを用いて署名され、対応する
公開セッション鍵α^kが計算され、メッセージと共に送
信されなければならない。従って、累乗（exponentiati
on）の計算において、いくらかの効率化が必要となる。

【０００６】累乗の計算時間は、比較的小さなハミング
・ウェイト（Hamming weight）を有する整数ベキ（inte
ger exponent）ｋを用いることにより減少させることが
できる。ハミング・ウェイトが小さいとは、この整数の
２進表現における１の数が小さいということであり、す
なわち、別の基数においても同様に、ベキが非ゼロの係
数を有することである。しかし、ハミング・ウェイトの
小さな整数は、平方根攻撃（square root attack）を含
む様々な攻撃に対して脆弱であるために、暗号化プロト
コルにおいて用いることは推奨されていない。

【０００７】従って、本発明の目的は、上述の短所を解
消又は克服する、公開鍵交換プロトコルのためのセッシ
ョン・パラメータの計算方法を提供することである。

【０００８】

【課題を解決するための手段】一般的に表現すると、本
発明は、所定の値よりも小さなハミング・ウェイトを有
する整数ｋ'が選択されるような公開鍵交換プロトコル
において用いられるベキを計算する方法を提供する。生
成元αに対する累乗計算が実行され、結果として得られ
る中間的なセッション・パラメータであるα^k'が、秘密
の値γと数学的に組み合わ（合成）される。γは、前記
の所定の値よりも大きなハミング・ウェイトを有するラ
ンダムな整数ｉから導かれる。αと中間的なセッション
・パラメータとを数学的に組み合わせることにより、そ
のベキのハミング・ウェイトが前記の所定の値よりも大
きなセッション・パラメータが得られ、これは、計算の
観点から見て安全であると考えられる。

【０００９】秘密の値γは、リアルタイムの累乗計算が
整数ｋ'を用いたベキの生成に限定されるように、予め
計算しておくことができる。

【００１０】この方法は、乗法群（multiplicative gro
up）Ｚ＊_pと共に用いることができるし、又は、有限体
上の楕円曲線などのそれ以外の群と共に用いることもで
きる。

【００１１】

【発明の実施の形態】以下では、本発明の実施例を図面
を参照して説明する。

【００１２】図１を参照すると、データ通信システム１
０は、１対の通話者１２、１４を含む。通話者１２、１
４は、それぞれが、メッセージＭを生成し、そのメッセ
ージＭを、通信リンク１６を介して、他方の通話者に送
ることができ、それぞれが、暗号化モジュール１８を有
しており、送信の前と受信時とにメッセージＭを処理す
る。

【００１３】通話者１４があるメッセージが通話者１２
によって生成されたものであると確認するために、メッ
セージＭの署名とそのメッセージの受信時に送信者を確
認することを可能にする様々なプロトコルが作られてき
ている。説明の目的で、ここでは、メッセージＭに署名
する単純なエルガマル（El Gamal）型のプロトコルを用
いることにする。もちろん、これ以外のより複雑なプロ
トコルを用いても同様な効果を得ることができる。同様
に、このセッション・パラメータの生成は、デジタル署
名以外のディフィ・ヘルマン（Diffie Hellman）暗号化
方式にも用いることができる。

【００１４】図２に示されているように、メッセージに
署名するためには、通話者１２は、整数ｋ'を整数生成
器２０から選択してそれをコンパレータ２２でチェック
して、この整数が計算的に安全であると通常考えられる
所定のレベルよりも小さなハミング・ウェイトを有して
いることを確認する。例えば、１５５の体では、１５よ
りも小さなハミング・ウェイトを有する整数ｋ'を用い
ることができる。必要であれば、乱数を発生させて、ハ
ミング・ウェイトをコーム（comb）２４で調整し、それ
が計算を容易にする所定のレベルよりも小さいことを確
認する。

【００１５】生成元αのｋ'回の組合せ（合成）が次に
行われる。ｍｏｄｐ（ｐを法とする合同関係）の整数の
乗法群を用いる公開鍵システムでは、中間的なセッショ
ン鍵α^k'は、「平方及び加算」アルゴリズムなどの既知
の累乗アルゴリズムを用いて、累乗器（exponentiato
r）２６で計算される。２進数の桁の過半数はゼロであ
るから、累乗計算は比較的迅速に行われて、中間的なセ
ッション・パラメータが得られる。

【００１６】通話者１２は、次に、テーブル２８から、
αⁱの形式の元γの予め計算された値を検索する。整数
ｉは乱数であり、そのハミング・ウェイトは、５０％の
オーダーであると想定することができる。ｉの値とγの
対応する値とを含むテーブル２８は、安全に維持されて
いる。

【００１７】γの秘密の値と中間的なセッション・パラ
メータα^k'とは、算術プロセッサ３０において乗算さ
れ、セッション・パラメータα^k'^+I＝αを得る。２つの
成分の乗算は、比較的迅速に行われるので、セッション
・パラメータα^kは、リアルタイムで計算することがで
きる。

【００１８】同時に、ｉ＋ｋ'に等しい値ｋが、算術プ
ロセッサ３０において計算され、暗号化モジュール１８
においてメッセージＭを暗号化する、すなわち、メッセ
ージＭに署名するのに用いられる。メッセージＭと署名
とは、セッション・パラメータα^kと共に、通信チャネ
ル１６上を、受信者１４に送信される。受信者１４は、
次に、セッション・パラメータα^kを用いて署名された
メッセージを復号化し、復号化されたメッセージを、送
信されたメッセージと比較して、それらが同じであるこ
とを確認する。

【００１９】整数ｋ'に対して比較的小さなハミング・
ウェイトを用いることにより、セッション・パラメータ
α^kが脆弱になることはないが、これは、秘密の値γが
適切なハミング・ウェイトを有しているからである。従
って、整数ｋのハミング・ウェイトもまた、セキュリテ
ィの目的に関しては、適切である。

【００２０】この技術は、図３に示されているように、
楕円曲線暗号化システムにおいても用いることができ
る。図３では、同じ構成要素は、同じ参照番号に添え字
のａを付すことによって、識別している。楕円曲線暗号
化システムでは、公開鍵として用いられる群の元は、生
成元Ｐのｋ回の加算から得られる点ｋＰに対応する。基
礎となる体の演算は加算であるので、群の元ｋＰは、生
成元Ｐのｋ乗のベキの累乗を表す。公開鍵ｋＰのセキュ
リティは、曲線上の点の加算の結果として、又は、複数
回の加算と同等の整数による点の乗算の結果として、生
じる。

【００２１】曲線上の１対の点の加算は、比較的複雑で
あり、複数回の加算が要求されることによって、楕円曲
線暗号化システムの本来のより大きな強度から生じる長
所のいくらかは相殺されてしまう。

【００２２】そのような暗号化システムの使用を容易に
するために、これは通常は安全ではないと考えられるの
であるが、所定の値よりも小さなハミング・ウェイトを
有する整数ｋ'が、生成器２０ａによって、選択され
る。中間的なセッション・パラメータｋ'Ｐが、点Ｐの
ｋ'回の合成によって、すなわち、楕円点アキュムレー
タ２６ａにおける最初の点Ｐをｋ'回加算することによ
って、計算される。比較的小さなハミング・ウェイトの
ために、ｋ'Ｐの値の計算を容易にするのに必要な点の
加算が少なくなる。

【００２３】秘密の値γは、ランダムに生成され所定の
値よりも大きなハミング・ウェイトを有する整数ｉか
ら、予め計算される。γの値は、点Ｐのｉ回の加算か
ら、すなわち、α＝ｉＰから得られる。ここで、αとＩ
とは、テーブル２８ａに記憶されている。

【００２４】中間的なセッション・パラメータｋ'Ｐと
値ｉＰとは、算術プロセッサ３０ａに与えられ、新たな
値ｋＰが得られる。整数ｋは、ｋ'とｉとの加算と暗号
化モジュールにおいて準備される結果的な署名とから、
送信者１２によって、プロセッサ３０ａにおいて計算さ
れる。

【００２５】しかし、比較的小さなハミング・ウェイト
を有する最初のｋ'の選択は、やはり、中間的なセッシ
ョン・パラメータを得るための計算時間を短縮し、秘密
の値とのその後の数学的な合成により、その乗算値ｋが
要求されるハミング・ウェイトを有するセッション・パ
ラメータが得られる。

【００２６】それぞれの場合に、整数ｋ'に対して用い
られる比較的小さなハミング・ウェイトの使用は、所定
の値よりも大きなハミング・ウェイトを有するランダム
な整数との合成によって、マスクされる。

【００２７】楕円曲線暗号化システムが変則的（anomal
ous）な曲線を用いる場合には、累乗は、平方及び加算
のアルゴリズムによって、得られる。

【００２８】別の実施例が、図４に示されている。この
図では、同じ参照番号の前に１を付すことによって、同
じ構成要素を示している。図４の実施例では、追加的な
項が整数ｋの計算に導入され、セキュリティを強化して
いる。整数ｋは、整数生成器１２０によって生成された
小さなハミング・ウェイトの項ｋ'と追加的な整数ｋ_C、
ｋ_L、ｋ_Dから導かれる変動する項との組合せから得ら
れ、次の形式を有する。

【００２９】

【数１】ｋ＝ｋ'＋ｋ＊_C＋ｋ＊_L＋ｋ＊_D 同様に、次も成立する。

【００３０】

【数２】ｋＰ＝ｋ'Ｐ＋ｋ＊_CＰ＋ｋ＊_LＰ＋ｋ＊_DＰ整数ｋ_C、ｋ_L、ｋ_Dは、予め計算された対応する値ｋ
_CＰ、ｋ_LＰ、ｋ_DＰと共に、ルックアップ・テーブル１
２８に記憶されている。図４では、整数ｋ_C、ｋ_L、ｋ_D
は、別々の値の組であるとされているが、後に説明する
ように、１組の整数を用いることもできる。テーブル１
２８における整数の値は、典型的にはセッション鍵ｋの
それぞれの生成の際に増加するインクリメント・カウン
タ３２の出力である基準項ｔに対して、インデックスが
付けられている。

【００３１】好適実施例では、項ｋ＊_Cは、与えられた
値ｔに対してルックアップ・テーブル１２８から検索さ
れる整数に対応する定数項である。項ｋ＊_L、ｋ＊_Dは、
セッション鍵ｋのそれぞれの生成に対して変動するよう
に基準項ｔによって修正される整数ｋ_L及びｋ_Dによって
与えられる。

【００３２】項ｋ＊_Lは、ｔ・ｋ_Iの形式の線形項であ
り、項ｋ＊_Dは、２^t・ｋ_Dの形式を有する。ｔが変動す
ると、ｋ_C、ｋ_L、ｋ_Dは、ルックアップ・テーブルから
変動し、対応する値であるｋ＊_L及びｋ＊_Dが、基準項ｔ
の値と共に変動する。

【００３３】従って、この実施例では、値ｋは、次の形
式を有する。ただし、ｋ_Ct、ｋ_Lt、ｋ_Dtは、ｋ_C、ｋ_L、
ｋ_Dの時間ｔにおける値である。

【００３４】

【数３】ｋ＝ｋ'＋ｋ_Ct＋ｔｋ_Lt＋２^tｋ_Dt 従って、動作においては、図４に示されているように、
セッション鍵ｋの生成の開始時には、小さなハミング・
ウェイトを有するｋ'の値が、生成器１２８から選択さ
れ、対応する値ｋ'Ｐが累乗器１２６によって、計算さ
れる。カウンタ３２の出力は、ルックアップ・テーブル
１２８が対応する値ｋ_C、ｋ_L、ｋ_Dと関連する点である
ｋ_CＰ、ｋ_LＰ、ｋ_DＰとを検索する基準項として用いら
れる。

【００３５】項ｋ_CＰは、項ｋ＊_CＰに対応し、従って、
算術プロセッサ１３０において、ｋ'Ｐに加算される。
項ｋ＊Ｌは、テーブル１２８から検索された点ｋ_LＰの
ｔ回の加算から得られ、プロセッサ１３０において、値
ｋ'Ｐ＋ｋ_CＰに加算される。

【００３６】同様にして、項ｋ＊_DＰは、テーブル１２
８から検索されたｋ_DＰの２^t回の加算から得られ、先の
値に加算されて、セッション鍵ｋＰを与える。同じよう
に、ｋの値は、ｋ'、ｋ_C、ｋ＊_L、ｋ＊_Dの加算から得る
ことができる。

【００３７】それぞれの加算は、楕円曲線上の１対の点
の加算を含むことを理解すべきである。ｋ＊_LＰ及びｋ
＊_DＰの計算は、ｔの値の２進表現における点の連続的
な２倍化（doubling）又は置換（substitution）を用い
て、比較的容易に得られる。

【００３８】更に、ｋ＊_C、ｋ＊_L、ｋ＊_Dの使用は、連
続的な署名が計算され追加的な複雑さが導入されるにつ
れて、順序を交換される。

【００３９】値は、適切に小さなハミング・ウェイトを
有するように選択される。同様にして、ｋ_L又はｋ_Dの値
は、計算を容易にするために好ましい場合には、比較的
小さなハミング・ウェイトを有するように選択される
が、ｔ＝０において適切なセキュリティを与えるために
十分なハミング・ウェイトをｋ_Cが有していることが好
ましい。しかし、一般的には、ｋ_C、ｋ_L、ｋ_Dの値は、
計算的なセキュリティのために、適切なハミング・ウェ
イトを有していることが好ましい。後に述べるように、
署名の間で要求される計算は、減少させることができ、
それによって、ｋ_L及びｋ_Dの値を所定のレベルよりも上
に維持することが望ましくなる。上述の例では、ｋ_C、
ｋ_L、ｋ_Dの値は、異なる値の組から選択されることが想
定されていた。しかし、これらの値は、値を所定の態様
で順序を交換することによって、同じテーブルから選択
することもできるし、又は、計算を単純化するために、
それぞれの項において用いられる同じ整数でもよい。

【００４０】同様にして、ｋの形式は、追加的な及び／
又は異なる項を含み、上述の定数、線形、２倍の項以外
の非線形性や複雑さを導入することができる。更には、
適切な場合には、ｋの計算において、フロベニウス（Fr
obenius）作用素などの追加的な関数を含むこともでき
る。これらの追加的な項は、計算を容易にし、最終的な
ハミング・ウェイトが計算的に安全であると考えられて
いる所定の値よりも大きくなるように、選択される。

【００４１】図５には、ｋ及びｋＰの連続的な値を決定
する別のアルゴリズムが示されている。

【００４２】ｋが次のような形式を有していると仮定す
る。

【００４３】

【数４】ｋ＝ｋ'＋ｋ_C＋ｔｋ_L＋２^tｋ_D 及び

【数５】ｋＰ＝ｋ'Ｐ＋ｋ_CＰ＋ｔｋ_LＰ＋２^tｋ_DＰまず、ｋ_C、ｋ_L、ｋ_Dの値と、対応する値であるｋ_CＰ、
ｋ_LＰ、ｋ_DＰとが、レジスタ３４に記憶される。

【００４４】時間ｔにおける新たな値は、ｋ'（ｔ）＋
ｋ''（ｔ）である。ただし、ここで、ｋ''（ｔ）＝ｋ_C
＋ｔｋ_L＋２^tｋ_Dである。ｋ'（ｔ）は、生成器２００に
よって生成された小さなハミング・ウェイトを有する新
たな整数である。

【００４５】ｋの新たな値を計算するために、ｋ''
（ｔ）の値が、レジスタ３４に記憶された値を用いて、
算術プロセッサ２３０において計算される。ｋ''（ｔ）
の結果的な値は、ｋ'（ｔ）に加算され、ｋの新たな値
を得る。

【００４６】ｋの次の値、すなわち、ｋ（ｔ＋１）の計
算を容易にするために、ｋ''（ｔ）と２^tｋ_Dの計算され
た値が、ｋ_C及びｋ_Lと共に記憶される。

【００４７】ｋ（ｔ＋１）を得るためには、ｋ'（ｔ＋
１）を得て、ｋ''（ｔ＋１）を生成することが必要であ
る。これは、記憶された値をもちいることによって、次
のように、容易に達成される。

【００４８】

【数６】ｋ''（ｔ＋１）＝ｋ_C＋（ｔ＋１）ｋ_L＋２^(t+1)ｋ_D ＝（ｋ_C＋ｔｋ_L＋２^tｋ_D）＋２^tｋ_D＋ｋ_L ＝ｋ''（ｔ）＋２^tｋ_D＋ｋ_L これらの項は、それぞれが、レジスタ３４に記憶され、
容易に検索が可能であり、ｋ''（ｔ＋１）の値を与え、
この値が、ｋ'（ｔ＋１）と組み合わされて、時間（ｔ
＋１）における新たなｋを与える。

【００４９】レジスタ３４は、更新され、ｋ''（ｔ）の
値が、保持されているｋ_Lの値であるｋ''（ｔ＋１）と
交換され、２^tｋ_Dの値が２^(t+1)ｋ_Dと交換される。

【００５０】時間（ｔ＋２）におけるｋの次の値も、同
様にして得ることができる。

【００５１】類似の手順が、ｋ（ｔ＋１）＋Ｐの値を計
算する際にも利用できる。

【００５２】ｋ''（ｔ）Ｐ、ｋ_LＰ、２^tｋ_DＰの値は、
レジスタ３４に記憶されている。

【００５３】ｋ'（ｔ＋１）Ｐは、上述の場合と同じよ
うに、楕円点アキュムレータ２２６における複数回の点
の加算によって得ることができる。

【００５４】ｋ''（ｔ＋１）Ｐの値は、ｋ''（ｔ）Ｐ＋
ｔｋ_LＰ＋２^tｋ_DＰを計算することによって、得られ
る。

【００５５】これらの項は、それぞれが、レジスタ３４
に記憶され、容易に検索が可能である。

【００５６】これらの項は、時間（ｔ＋１）に対する項
に対応することによって更新されるが、これを容易にす
るために、点２^tｋ_DＰが最初に２倍されて、２^(t+1)ｋ_D
Ｐを得る。次に、これが、記憶され、ｋ_LＰ及びｋ''
（ｔ）に加算されて、ｋ''（ｔ＋１）Ｐを得る。これ
は、再び記憶され、ｋ'（ｔ＋１）Ｐに加算され、ｋ
（ｔ＋１）Ｐの新たな値を得る。

【００５７】従って、計算ｋ''（ｔ＋１）Ｐは、１つの
点の２倍と３つの点の加算とによって達成され、これ
は、ｋ'の小さなハミング・ウェイトと組み合わされ
て、システム・パラメータの非常に効果的な生成につな
がる。

【００５８】上述のように、セッション・パラメータｋ
及びα^kの連続的な生成のために、記憶された値の関連
するついを含むレジスタの順序を交換することによっ
て、追加的な複雑さを導入することができる。

【００５９】まとめると、セッション・パラメータの生
成は、計算の容易さのために、ハミング・ウェイトが小
さな整数を用い、その整数を、予め計算されている値又
は値の組と組み合わせて小さなハミング・ウェイトをマ
スクすることによって、容易になる。追加的な複雑さ
は、値の組に非線形項を提供することによって、又は、
署名の間で値の組の順序を交換することによって、導入
することができる。このようにして、連続的なセッショ
ン値が、攻撃に対して抵抗性を有しながら、計算は効率
的に行うことができる。

【００６０】上述の計算は、具体的な応用例に応じて、
集積回路において実行することができるし、又は、汎用
コンピュータ上のソフトウェアにおいて実行することが
できる。

【図面の簡単な説明】

【図１】データ通信システムの概略図である。

【図２】乗法群Ｚ＊_pにおけるセッション・パラメータ
の生成を示す流れ図である。

【図３】楕円曲線におけるセッション・パラメータの生
成を示す流れ図である。

【図４】セッション・パラメータの生成の別の実施例に
関する図３と類似の流れ図である。

【図５】セッション・パラメータの生成の更に別の実施
例を示す流れ図である。

フロントページの続き (72)発明者ロバート・ジェイ・ランバートカナダ国エヌ３シー・３エヌ３オンタリオ，ケンブリッジ，ホーム・ストリート 63 (72)発明者ロナルド・シー・マリンカナダ国エヌ２エル・４アール９オンタリオ，ウォータールー，ツイン・オークス・クレッセント 533

Claims

【特許請求の範囲】

【請求項１】群の生成元のｋ回の合成に対応する公開
鍵暗号化方式の公開要素として用いるために前記群の元
を得る方法であって、ｋは、所定の値よりも大きなハミ
ング・ウェイトを有する整数である、方法において、ｉ）所定の値よりも小さなハミング・ウェイトを有する
整数ｋ'を選択するステップと、ｉｉ）前記生成元のｋ'回の合成を実行して、中間的な
セッション・パラメータを提供するステップと、ｉｉｉ）前記中間的なセッション・パラメータを、前記
生成元のｉ回の合成から導かれる秘密の値γと合成し
て、前記群の元を得るステップであって、ここで、ｉ
は、前記所定の値よりも大きなハミング・ウェイトを有
する整数である、ステップと、ｉｖ）前記整数ｋ'とｉとを合成して、対応する秘密鍵
要素ｋを提供するステップと、を含むことを特徴とする
方法。
【請求項２】請求項１記載の方法において、前記安全
な値γは、予め計算され秘密にされていることを特徴と
する方法。
【請求項３】請求項１記載の方法において、前記群
は、ｍｏｄｐの整数から成る乗法群であることを特徴と
する方法。
【請求項４】請求項３記載の方法において、前記中間
的なセッション・パラメータと安全な値とは、乗法によ
って合成されることを特徴とする方法。
【請求項５】請求項１記載の方法において、前記群
は、有限体上の楕円曲線であることを特徴とする方法。
【請求項６】請求項５記載の方法において、前記安全
な値と前記中間的なセッション・パラメータとは、有限
体上の楕円曲線上の加算を実行することによって合成さ
れることを特徴とする方法。
【請求項７】請求項１記載の方法において、前記安全
な値は、乱数をベキとして生成することによって得られ
ることを特徴とする方法。
【請求項８】請求項７記載の方法において、前記乱数
と結果的に得られる安全な値とは、前記中間的なセッシ
ョン・パラメータと合成されるために、記憶され抽出さ
れることを特徴とする方法。
【請求項９】請求項１記載の方法において、前記安全
な値は、項の合成によって導かれ、これらの項のそれぞ
れは、前記群の元の整数的なコンポジションから導かれ
る値を有することを特徴とする方法。
【請求項１０】請求項９記載の方法において、前記項
の少なくとも１つは、連続的な秘密の値に非線形性を導
入することを特徴とする方法。
【請求項１１】請求項１０記載の方法において、前記
項の前記１つは、前記コンポジションにおける時間変動
する整数を含むことを特徴とする方法。
【請求項１２】請求項９記載の方法において、前記項
に対応する値は、連続的な署名の間で順序を交換される
ことを特徴とする方法。
【請求項１３】請求項１２記載の方法において、前記
項の少なくとも１つは、連続的な秘密の値に非線形性を
導入することを特徴とする方法。