(57)【要約】少なくとも１つの係数によって与えられ、第一の群内の有限体（Ｋ）上の任意の類数（ｇ）の少なくとも１つの超楕円曲線（Ｃ）によって与えられる少なくとも１つの超楕円曲線暗号系、とりわけ少なくとも１つの超楕円曲線公開鍵暗号系に対して、差動電力解析を用いて行なわれる、少なくとも１つの攻撃に対する防御のための方法を、この超楕円曲線系の効率的で、かつ、安全な実現に向けての本質的な寄与ができるように改善するために、前記超楕円曲線（Ｃ）及び／又は前記第一の群の少なくとも１つの元、とりわけ少なくとも１つのとりわけ既約因子及び／又はスカラ乗算の少なくとも１つの中間結果を、ランダム化することが提唱される。
2006527564.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１つの係数によって与えられ、第一の群内の有限体Ｋ上の任意の類数ｇの少なくとも１つの超楕円曲線Ｃによって与えられる少なくとも１つの超楕円曲線暗号系、とりわけ少なくとも１つの超楕円曲線公開鍵暗号系内において、差動電力解析を用いて行なわれる少なくとも１つの攻撃に対する防御のための方法であって、
前記超楕円曲線Ｃ及び/又は前記第一の群の少なくとも１つの元、とりわけ、少なくとも１つのとりわけ既約因子及び/又はあるスカラ乗算の少なくとも１つの中間結果がランダム化されることを特徴とする方法。
【請求項２】
前記超楕円曲線暗号系内において処理及び/又は符号化されるべきオペランドのこれらビットは、前記超楕円曲線Ｃによって、とりわけ、前記超楕円曲線Ｃの少なくとも１つの係数によって、及び/又は前記暗号系の少なくとも１つの基底元、例えば、少なくとも１つの、とりわけ既約因子及び/又はあるスカラ乗算の少なくとも１つの中間結果によって表されることを特徴とする請求項１記載の方法。
【請求項３】
前記超楕円曲線Ｃのヤコブ多様体Ｊ（Ｃ）（Ｋ）内の少なくとも１つのスカラ乗算は、前記第一の群とは異なる第二の群であって、前記第一の群とは同型写像の関係にある、とりわけランダムに選択された第二の群内で遂行されることを特徴とする請求項１又は２記載の方法。
【請求項４】
前記超楕円曲線Ｃの前記ヤコブ多様体Ｊ（Ｃ）（Ｋ）を少なくとも１つの表現φを用いて、とりわけ、少なくとも１つのＫ−同型写像を用いて変換された超楕円曲線〜Ｃ（＝φ（Ｃ））のヤコブ多様体Ｊ（〜Ｃ）（Ｋ）に変換するステップと、
前記変換された超楕円曲線〜Ｃの前記ヤコブ多様体Ｊ（〜Ｃ）（Ｋ）に少なくとも１つのスカラｎを乗じるステップと、
前記変換された超楕円曲線〜Ｃの前記スカラｎを乗じられた前記ヤコブ多様体Ｊ（〜Ｃ）（Ｋ）を逆表現（φ−１）を用いて前記超楕円曲線Ｃのスカラｎを乗じられたヤコブ多様体Ｊ（Ｃ）内での表現φに、変換し戻すステップと、
を含み、
ここで、
前記表現φは、前記第一の群から前記第二の群への推移に対応し、
前記逆表現φ−１は、前記第二の群から前記第一の群への推移に対応することを特徴とする請求項３記載の方法。
【請求項５】
関連する多項式の対を有する少なくとも１つの、とりわけ既約因子Ｄを、射影座標内の少なくとも１つの５重項の組［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ］として表現するステップであって、ここで、
Ｕ（ｔ）＝ｔ２＋Ｕ１ｔ／Ｚ＋Ｕ０／Ｚ  及び
Ｖ（ｔ）＝Ｖ１ｔ／Ｚ＋Ｖ０／Ｚ  
であるステップと、
前記体Ｋｘから、少なくとも１つの非ゼロの元ｓを選択、とりわけランダムに選択するステップと、
前記５重項の組［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ］を、ある選択された元ｓを用いて、その変換された５重項の組［ｓＵ１，ｓＵ０，ｓＶ１，ｓＶ０，ｓＺ］に変換するステップと、
を含むことを特徴とする請求項１乃至４の少なくとも１つに記載の方法。
【請求項６】
関連する多項式の対を有する少なくとも１つの、とりわけ既約因子Ｄを、射影座標内の少なくとも１つの６重項の組［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ１、Ｚ２］として表現するステップであって、ここで、
Ｕ（ｔ）＝ｔ２＋Ｕ１ｔ／Ｚ１２＋Ｕ０／Ｚ１２  及び
Ｖ（ｔ）＝Ｖ１ｔ／（Ｚ１３Ｚ２）＋Ｖ０／（Ｚ１３Ｚ２）  
であるステップと、
前記体（Ｋｘ）から少なくとも２つの非ゼロの元（ｓ１，ｓ２）を選択、とりわけランダムに選択するステップと、
前記６重項の組［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ１、Ｚ２］を、ある選択された元（ｓ１，ｓ２）を用いて、変換された６重項の組
［ｓ１２Ｕ１，ｓ１２Ｕ０，ｓ１３ｓ２Ｖ１，ｓ１３ｓ２Ｖ０，ｓ１Ｚ１、ｓ２Ｚ２］に変換するステップと、
を含むことを特徴とする請求項１乃至４の少なくとも１つに記載の方法。
【請求項７】
前記方法は、少なくとも１つの、とりわけ少なくとも１つのチップカード及び／又はとりわけ少なくとも１つのスマートカードに割当てられた、マイクロプロセッサ上に実行されることを特徴とする請求項１乃至６のいずれかの少なく１つに記載の方法。
【請求項８】
請求項１乃至７の少なくとも１つに記載の方法によって動作するマイクロプロセッサ。
【請求項９】
請求項８記載の少なくとも１つのマイクロプロセッサを備えるデバイス、とりわけ、チップカード及び／又はとりわけスマートカード。
【請求項１０】
請求項１乃至７の少なくとも１つに記載の方法及び／又は請求項８記載の少なくとも１つのマイクロプロセッサ及び／又は請求項９記載の少なくとも１つのデバイス、とりわけ、少なくとも１つのチップカード及び／又は少なくとも１つのスマートカードを、少なくとも１つの超楕円曲線暗号系、とりわけ少なくとも１つの公開鍵暗号系上での差動電力解析を用いて行なわれる少なくとも１つの攻撃に対して防御するための使用。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、少なくとも１つの係数（co-efficient）によって与えられる、第一の群内の有限体上の任意の類数（genus）の少なくとも１つの超楕円曲線によって与えられる少なくとも１つの超楕円曲線暗号系内、とりわけ少なくとも１つの超楕円曲線公開暗号系内で、差動電力解析（differential power analysis）を用いてなされる少なくとも１つの攻撃に対する防御ための方法に関する。
【背景技術】
【０００２】
最近まで、楕円曲線暗号系（＝ＥＣＣ(Elliptic Curve Cryptography)に基づく系）は、超楕円曲線暗号系（＝ＨＣＣ(Hyperelliptic Curve Cryptography)に基づく系）より高速であると考えられていたけれども、過去においてさえも、有限体（finite bodies）上の超楕円曲線のヤコブ多様体（Jacobian variations）の使用が、暗号法のための楕円曲線に対する、１つの代替として提唱されている（Neal Koblitz, "A family of Jacobians suitable for discrete log crytosystems（離散対数暗号系に適するヤコブ族）", in S. Goldwasser(Ed.), "Advances in Cryptology - CRYPTO '88" , Vol. 403 of " Lecture Notes in Computer Science" , Pages 94 to 99, 21st to 25th August 1988, Springer- Verlag, 1990; Neal Koblitz, "Hyperelliptic Cryptosystems（超楕円曲線暗号系）", Journal of Cryptology 1 (1989), Pages 139 to 150を参照されたい。
【０００３】
２つのより最近の進展は、しかしながら、今では、ＥＣＣ系は、ＨＣＣ系よりも高速であるという見解は、変更されるべきであることを示す。
【０００４】
2000年９月、Kim Nguyen (Philips Semiconductors）は、ECC 2002 "Workshop on elliptic curve cryptography（楕円曲線暗号系に関するワークショップ）" in Essenにおいて、実験的なハードウェアシミュレータ上での類数２におけるTanja Langeの射影方式 （projective formulae）の彼の実現の結果を発表した（ Tanja Lange, "Inversion - Free Arithmetic on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線に関する反転のない演算）", Cryptology ePrint Archive, Report 2002/ 147,2002,
http://eprint.iacr.org/)  を参照されたい）。これら結果は、ＨＣＣの競争力を示唆する。
【０００５】
その後間もなく、J. Pelzl, T. Wollinger, J. Guajardo及びC. Paarらは、類数３の曲線に対する高度に効率的な公式（J. Pelzl, T. Wollinger, J. Guajardo, C. Paar, "Hyperelliptic Curve Cryptosystems: Closing the Performance Gap to Elliptic Curves（超楕円曲線暗号系；楕円曲線に対する性能ギャップの閉鎖）"を参照）を、１つの重要なケースにおける速度の二倍化という劇的な改善と、“埋込み型マイクロプロセッサ（embedded microprocessor)”（ＡＲＭ７）上への実現と、を含めて、開示した。
【０００６】
ＨＣＣに基づく方式のハードウェア上、とりわけ、チップカード上への効率的な実現との関連で、差動電力解析との関連で、ＨＣＣの安全性に関する疑問がただちに生じる。差動電力解析は、P. Kocher, J. Jaffe 及びB. Junらによって二つの文献に紹介され（P. Kocher, J. Jaffe and B. Jun、 "Introduction to Differential Power Analysis and Related Attacks（差動電力解析および関連する攻撃についての入門）", http://www.cryptography.com/dpa/technical, 1998、及びP. Kocher, J. Jaffe and B. Jun、" Differential Power Analysis （差動電力解析)", Lecture Notes in Computer Science, Vol. 1666, Pages 388 to 397, Springer - Verlag, Berlin, Heidelberg, 1999を参照）、これら引用された文献において説明されている。
【０００７】
差動電力解析に関する簡単な説明は、
M. Joye and C. Tymenによる論文、"Protection against Differential Analysis for Elliptic Curve Cryptography - An Algebraic Approach（楕円曲線暗号系に対する差分解析に対する防御 - 代数的アプローチ）" in C. K. Koc, D. Naccache and C.  Paar(Ed.) : CHES 2001, " Lecture Notes in Computer Science", Vol. 2162, Pages 377 to 390, Springer - Verlag, Berlin, Heidelberg, 2001、のセクション3.2と3.3又は
J. S. Coron、"Resistance against Differentail Power Analysis for Elliptic Curve Cryptosystems（楕円曲線暗号系に対する差動電力解析に対する妨害）" in C. K. Koc and  C. Paar(Ed.) : CHES'99 , " Lecture Notes in Computer Science", Vol. 1717, Pages 292 to 302, Springer - Verlag, Berlin, Heidelberg, 1999、のセクション3と、
にも与えられている。
【０００８】
このようなＤＰＡ（Differential Power Analysis）攻撃は、様々な入力の処理の際の暗号装置の電力消費を測定し、これら測定値を、データの内部表現で定義されたビットのそれら値と相関させて設定する。この差動電力解析の概念は、しかし、非常に一般的なものであり、更なる物理的な物理値、例えば、電磁放射によっても機能する。
【０００９】
ＨＣＣに基づく暗号系の実現に対する以前の表現（depictions）は、主として、実現の効率に焦点を置き、差動電力解析を用いた攻撃に対する実現の防御については無視してきた。
【発明の開示】
【００１０】
上述の短所及び不十分さから始めて、概説された従来技術の評価に鑑み、本発明は、超楕円曲線暗号に基づくシステムの効率的で、かつ安全な実現に向けて、本質的な貢献がなされるように、最初に引き合いに出したタイプの方法を精緻化する目的に基づいている。
【００１１】
この目的は、請求項1に与えられている特徴を有する方法によって達成される。本発明の有利な実施形態と、適当な改善形態がサブクレーム内に記載されている。
【００１２】
本発明は、こうして、超楕円曲線暗号系の実現における差動電力解析に基づく攻撃に対する防御のための対抗措置を提供するという原理に、とりわけ、超楕円曲線のヤコブ多様体上のスカラ乗算（scalar multiplication）が、差動電力解析に対して、（M. Joye 及びC. Tymenによる上で引用された文献における曲線のランダム化の超楕円曲線の類似物（analogon）という意味において）曲線のランダム化によって、及び/又は（J.S. Coronによる上で引用された文献の第三の対抗措置、すなわち、ここでは因子のランダム化と呼ばれる、小数点のランダム化の超楕円曲線の類似物という意味において）因子のランダム化によって、防御できるようにされる、ことに基づく。
【００１３】
こうして、ここに説明される発明は、超楕円曲線暗号に基づくシステム（ＨＣＣ（hyperelliptic curve cryptography）- based system）の効率的で、かつ安全な実現に向けて、すなわち、ＨＣＣに基づく暗号系のこのようなＤＰＡ攻撃に対する頑丈さと安全性の方向への、本質的な貢献を行うが、ここでは、これら技法と実現可能性に加えて、このような方法の複雑さについても後に考察されることとなる。
【００１４】
曲線のランダム化（curve randomisation）の基本的な概念は、オペランド（operand）のビットを予測できないように修正することにある。この目的を達するために、要求される計算は与えられた第一の群内ではなく、ランダムに生成されしかし同型の第二の群内で遂行され、この結果が、次に、第一の群内に通じる。
【００１５】
因子のランダム化（divisor randomisation）の基本的な概念は、通常は、この暗号系の基底元（base element）、又は、スカラ乗算の中間結果である、縮約因子（reduced divisor）の表現（depication）のビットを修正することにある。この約数のランダム化の技法は、ある群の元（group element）が幾つかの異なるやり方にて表現できるようなときにはいつでも用いることができる。
【００１６】
本発明は、更に、上で説明されたようなタイプの方法に従って動作するマイクロプロセッサにも関する。
【００１７】
本発明は、更に、上で説明されたタイプに従う少なくとも１つのマイクロプロセッサを有する、デバイス、とりわけ、チップカード及び/又はとりわけスマートカードに関する。
【００１８】
本発明は、最後に、
上で説明されたタイプの方法及び/又は
上で説明されたタイプに従う少なくとも１つのマイクロプロセッサ及び/又は
上で説明されたタイプに従う、少なくとも１つのデバイス、とりわけ、少なくとも１つのチップカード及び/又はとりわけ少なくとも１つのスマートカードを、
少なくとも１つの超楕円曲線暗号系に対して、とりわけ、少なくとも１つの超楕円曲線公開鍵暗号系に対して、差動電力解析を用いて行なわれる、少なくとも１つの攻撃の防御において、用いることに関する。ここで、公開鍵暗号系は、通常は、非対称な暗号方法を用いる。
【００１９】
上で既に述べたように、本発明の教示を有利に構造化及び改善する様々な方法が存在する。これに関しては請求項１に続く様々な請求項を参照されたい。
【００２０】
以下では、本発明が、図面に示される実施形態の例を参照しながら更に説明されるが、しかし、本発明はこれに制限されるものではない。
【発明を実施するための最良の形態】
【００２１】
以下において曲線のランダム化の方法を第一の実施形態に基づいて説明する前に、超楕円曲線の理論に対する応用指向の導入として、"A. Menezes, Y.H. Wu and R. Zuccherato, "An Elementary Introduction to Hyperelliptic Curves（超楕円曲線への初歩的入門）”,  Appendix in Neal Koblitz, "Algebraic aspects of cryptography（暗号法の代数的局面）", Algorithms and Computations in Mathematics, Vol.3, pages 155 to 178, Springer - Verlag, 1998を参照されたい。 
以下で用いられる表記法は、この論文から、
Tanja Lange, "Inversion - Free Arithmetic on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線に関する逆のない算術）", Cryptology ePrint Archive, Report 2002/ 147,2002, http://eprint.iacr.org/ 、
Tanja Lange, "Weighted Co-ordinates on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線上の重み付き座標）", Cryptology ePrint Archive, Report 2002/153,2002, http://eprint.iacr.org/ 、及び
J. Pelzl, T. Wollinger, J. Guajardo, C. Paar, "Hyperelliptic Curve Cryptosystems: Closing the Performance Gap to Elliptic Curves（超楕円曲線に基づく暗号系；楕円曲線に関する性能ギャップの閉鎖）"、に従うことでずれる。
【００２２】
有限体Ｋ上のｇ≧１なる類数の２つの超楕円曲線Ｃ、〜Ｃ（Ｃの上に〜がついたものを表わす）から始めて、Ｋ−同型写像φ：Ｃ→〜Ｃは、ヤコブ多様体のＫ−同型写像φ：Ｊ（Ｃ）→Ｊ（〜Ｃ）に明らかに拡張されうる。ｎが自然数を表し、ＤがＪ（Ｃ）（Ｋ）の元を表すとき、Ｊ（Ｃ）（Ｋ）においてＱ＝ｎＤを計算する代わりに、この場合には、
Ｑ＝φ−１（ｎφ（Ｄ））              （１）
が実行される。
【００２３】
これは、換言すれば、図１内のダイアグラムが可換であること、そして、このダイアグラム内において、本発明によると、Ｊ（〜Ｃ）（Ｋ）を介しての長い方の経路が取られることを意味する（図１内の符号“ｘｎ”は、“ｎによる乗算”を意味する）。
【００２４】
これに関連して、差動電力解析に基づいて行なわれる攻撃に対して防御するために、ヤコブ多様体のＫ−同型写像によって実現される対抗措置は、曲線Ｃの係数とＪ（Ｃ）（Ｋ）の元の表現が、φの下でのこれら像の表現から大きく異なるときにとりわけ成功する。これは、例えば、全てのオペランドを乱数で乗算することで達成されうる。
【００２５】
以下の説明は、これが可能であることのみならず、このために僅かな現場作業（field operations）しか要求されないことも示す。
【００２６】
上で概説された、曲線の一般同型写像（general isomorphism）を用いて曲線のランダム化を行うという原理の１つの実際的な実現は、最初に、以下を仮定する
ｇ≧１は自然数である
Ｋは有限体である
Ｃ、〜Ｃは、類数ｇの超楕円曲線であり、これらは、体Ｋ上で、ワイエルシュトラスの等式
Ｃ  ：  ｙ２＋ｈ（ｘ）ｙ−ｆ（ｘ）＝０                  （２）
〜Ｃ  ：  ｙ２＋〜ｈ（ｘ）ｙ−〜ｆ（ｘ）＝０              （３）
によって定義され、
ここで、多項式ｆ、〜ｆ（ｆの上に〜をつけたものを表す）は、ｘにおいて次数２ｇ＋１によって標準化され、
ｈ（ｘ）、〜ｈ（ｘ）は、最大次数ｇを有する。
【００２７】
この超楕円曲線Ｃは（超楕円曲線〜Ｃと同様に）、特異アフィン点（singular affine points）は有さない。すなわち、この等式ｙ２＋ｈ（ｘ）ｙ−ｆ（ｘ）＝０と、この偏微分された等式２ｙ＋ｈ（ｘ）＝０と、ｈ′（ｘ）ｙ−ｆ′（ｘ）＝０と、を同時に満たすような組（ｘ，ｙ）∈Ｋ×Ｋは存在しない。等価な条件は、判別式（discriminant）４ｆ（ｘ）＋ｈ（ｘ）２がゼロにならないことである（ P. Lockhart, "On the discriminant of a hyperellipitic curve（超楕円曲線の判別式に関して）", Trans. Amer. Math. Soc. 342(1994), No.2, Pages 729 to 752, MR 94f: 11054からの公理1.7 を参照）。類似の条件が｛５−２7｝にも適用する。
【００２８】
Ｃ（又は〜Ｃ）の射影完備化（projective completion）の非アフィン点(non-affine point)が“無限（infinite）”であることが知られている。全てのＫ−曲線同型写像φ：Ｃ→〜Ｃは、次数がｇ以下の適当なｓ∈Ｋｘ、ｂ∈Ｋ及びＡ（ｘ）∈Ｋ［ｘ］に対して、
【数１】
2006527564.tif 000003
なる形式の変数変換（variable transformation）によって記述することができる。（P. Lockhart, "On the discriminant of a hyperellipitic curve（超楕円曲線の判別式に関して）", Trans. Amer. Math. Soc. 342(1994), No.2, Pages 729 to 752, MR 94f: 11054からの定理１．２を参照）。
【００２９】
もし、等式（３）内のｘ又はｙを、ｓ−２ｘ＋ｂ又はｓ−（２ｇ＋１）ｙ＋Ａ（ｘ）にて置換することができれば、等式（２）との比較から結論として、
【数２】
2006527564.tif 000004
が得られる。
【００３０】
この逆変換は
【数３】
2006527564.tif 000005
となる。ここで、
【数４】
2006527564.tif 000006
である。
【００３１】
この同型写像の特徴φ：Ｃ→〜Ｃは、群多様体（group variations）の同型写像φ：Ｊ（Ｃ）→Ｊ（〜Ｃ）を生じる。ある曲線Ｃのヤコブ多様体は、明示的な計算（explicit calculations）に対してより適するそのイデアル類群（ideal class group）Ｃｌ０（Ｃ）に対して正準的に同型（canonically isomorphic）であり、このため、φが関数Ｃｌ０（Ｃ）→Ｃｌ０（〜Ｃ）としてどのように作用するかを見付けることが必要となる。
【００３２】
ここで、D. Cantor, "Computing in the Jacobian of a hyperelliptic curve（超楕円曲線のヤコブ多様体内での計算）", Mathematics of Computation, 48(1987), Pages 95 to 101において、このイデアル類群内における計算を、D. Mumford, " Tata Lectures on Theta II", Birkhuser, 1984における表現（depiction）用いて行うための幾つかのアルゴリズムが展開されているために、これらについて以下に簡単に概説される。
【００３３】
Ｄは、Ｃに対するある与えられた因子類（divisor class）内の≦ｇなる次数の唯一の主因子（sole main divisor）、すなわち
【数５】
2006527564.tif 000007
であるものとする。
【００３４】
ここで、この有限点の集合Ｓは、Ｃ（Ｋ）の部分集合（part set）を表し、Ｄのキャリア（carrier）と呼ばれ、
これら乗数ｍiは、
ΣＰ∈ＳｍＰ≦ｇ
であるような正の整数を表す。
【００３５】
次に、主因子Ｄに属するこのイデアル類が、明確に定義された多項式Ｕ（ｔ）、Ｖ（ｔ）∈Ｋ［ｔ］の対によって与えられるが、これらは、以下のような特性を有する。
【００３６】
ｇ≧ｄｅｇｔＵ≧ｄｅｇｔＶであり、Ｕは標準化されており、次の式を満たす。
Ｕ（ｔ）＝ΠＰ∈Ｓ（ｔ−ｘＰ）ｍｐ 
Ｖ（ｘＰ）＝ｙＰ      全てのＰ∈Ｕ（ｔ）に対して      （７）
ここで、Ｕ（ｔ）はＶ（ｔ）２＋Ｖ（ｔ）ｈ（ｔ）−ｆ（ｔ）を割り切る。
【００３７】
以下の表記法によると、［Ｕ（ｔ），Ｖ（ｔ）］は、この既約因子Ｄを表現する。
【００３８】
目的は、類似する特性Ｕ（ｔ），Ｖ（ｔ）を有するが、しかし、Ｄに対するのではなく、Ｃに対する因子
【数６】
2006527564.tif 000008
に属する２つの多項式〜Ｕ（ｔ）、〜Ｖ（ｔ）∈Ｋ[ｔ]を見つけることにある。換言すれば、これは、全ての拡大体Ｌ／Ｋに対して、以下の関係を用いることを意味する。
【数７】
2006527564.tif 000009
【００３９】
これら所望の多項式がどのように構成されるべきかは明らかである。明らかに、
【数８】
2006527564.tif 000010
である。
【００４０】
更に、全てのＰ∈Ｓに対して、〜Ｖ（ｘφ（Ｐ））＝ｙφ（Ｐ）である。すなわち
【数９】
2006527564.tif 000011
である。
【００４１】
適当な候補は、
【数１０】
2006527564.tif 000012
である。
【００４２】
事実、等式（８）と等式（９）は、正しい解答を与える。これは、既約因子の表現（depication）の明瞭さ（unambiguity）による。すなわち、〜Ｕ（ｔ）と〜Ｖ（ｔ）は、Ｋ上で定義され、ｄｅｇ〜Ｖ＝ｄｅｇＶ＜ｄｅｇＵ＝ｄｅｇ〜Ｕで、かつ事実、〜Ｕ（ｔ）が〜Ｖ（ｔ）２＋〜Ｖ（ｔ）・〜ｈ（ｔ）−〜ｆ（ｔ）を割りきることを見つけることは容易である。
【００４３】
以下では、Ｋが奇数標数（uneven characteristic）の体であるようなケースについて考慮される。ｈ（ｘ）＝〜ｈ（ｘ）であるものと仮定すると、ｙ→ｙ−ｈ（ｘ）／２及びｙ→ｙ−〜ｈ（ｘ）／２に従う変数変換を有するこれら定義式は、常にこの形式に持ち込むことができる。この長所は、カントールの（Cantor）アルゴリズムは、より迅速に実行するという点であり、これと同じ理由により、上の仮定下においては、奇数標数内での明示的な等式が展開された。Ｃ、〜Ｃに対するこれら等式は以下のように表される。
Ｃ：  ｙ２−ｆ（ｘ）＝０            （１０）
〜Ｃ：  ｙ２−〜ｆ（ｘ）＝０          （１１）
これは、等式（６）においては、Ａ（ｘ）＝０であることを意味する。
【００４４】
もし、charＫ≠２ｇ＋１であるときは、更に、〜ｆ（ｘ）内のｘの二番目に高い冪（second highest power）に属する係数ｆ２ｇ（および〜ｆ（ｘ）内におけるそれは）、ｘ→ｘ−ｆ２ｇ／（２ｇ＋１）に従う変数変換を常に遂行することができるために、ゼロになるものと、仮定することができる。この場合においては、等式（６）から、必然的にｂ＝０となる。
【００４５】
こうして、φは、以下のようなタイプとなり、
【数１１】
2006527564.tif 000013
ここで、ｓ∈Ｋｘである。この奇数標数に関しては、たとえcharＫ＝２ｇ＋１の場合であっても、このタイプの同型写像を考慮することのみでよい。このため、〜ｆ（ｘ）に対する式は
〜ｆ（ｘ）＝ｓ−２（２ｇ＋１）ｆ（ｓ２ｘ）
によって与えられる。
【００４６】
このランダム化は、ワイエルシュトラスの式とこの既約因子を表すこれら２つの多項式の全ての係数を（１にハードワイヤされたそれらを除いて）変化させる。すなわち、
〜Ｕ（ｔ）＝ｓ−２ｄｅｇｔＵＵ（ｓ２ｔ）、
〜Ｖ（ｔ）＝ｓ−（２ｇ＋１）Ｖ（ｓ２ｔ）
となるように、変化させる。
【００４７】
このため、このランダム化は、奇数標数の体Ｋを用いての超楕円曲線暗号系の実現における差動電力解析に基づく攻撃に対する防御のための安全な対抗措置と見なすことができる。
【００４８】
ある実現上のトリック（implementatory trik）を用いて達成されるこの非常に迅速な曲線のランダム化の１つの明示的な記述においては、奇数標数の体Ｋが用られるときは、最初にランダムな元ｓ∈Ｋｘが選択され、次に、この乗法逆元（multiplicative inverse）が計算される。これは、φに対してはｓ−１が、そして、φ−１に対してはｓが必要とされるためである。
【００４９】
次に、φについて、以下に詳細に説明される。
【数１２】
2006527564.tif 000014
から、我々は
【数１３】
2006527564.tif 000015
を得ることができる。
【００５０】
一般のＵ（ｔ）及びＶ（ｔ）に対して、
【数１４】
2006527564.tif 000016
として表すことができ、こうして
【数１５】
2006527564.tif 000017
となる。
【００５１】
φをこの曲線と、基底因子（base divisor）［Ｕ（ｔ），Ｖ（ｔ）］と、に適用するためには、ｓ−ｋが、ｋ＝２，３，．．．，２ｇ＋１に対して、連続して、計算される。
もし、ｋが偶数であるときはＵｇ−ｋ／２が、そして（もしｋが２に等しくないときは）ｆ２ｇ＋１−ｋ／２が、ｓ−ｋで乗算され、
もし、ｋが奇数であるときは、Ｖｇ−（ｋ−１）／２がｓ−ｋで乗算される。
【００５２】
ｋ＝２ｇ＋２，２ｇ＋４，．．．，２（２ｇ＋１）に対しては、ｓ−ｋは、ｓ−２による乗算と、ｆ２ｇ＋１−ｋ／２のｓ−ｋによる乗算と、を反復することで計算される。全体として、これらは、７ｇ＋１回の乗算となり、φ−１は、Ｋ内における４ｇ回の乗算のみを必要とする。
【００５３】
もし、この曲線、すなわち少なくとも１つの基底体が確立されるときは、この暗号デバイスの個々の使用の際に、元ｓの逆数ｓ−１を計算することを回避するために用いることができる、実現上のトリックも存在する。
【００５４】
最初からこの暗号デバイスの初期化の段階の際に、体の元の対（ｓ０，ｓ０−１）がランダムに幾つかの更なるこのような対（Ｋｌ，Ｋｌ−１）とともに生成され、Ｅ２ＰＲＯＭ内に格納される。
【００５５】
次に、各暗号演算の前に、インデックスｉがランダムに選択され、こうして、（ｓ０，ｓ０−１）が、このＥ２ＰＲＯＭ内において（Ｋｉ・ｓ０，Ｋｌ−１ｓ０−１）によって置換される。次に、この後者の対が、この暗号デバイスの現在のランにおける曲線のランダム化のために、（ｓ０，ｓ０−１）の代わりに用いられる。
【００５６】
要約すると、奇数標数における曲線のランダム化は、差動電力解析の方法に基づく攻撃に対する、効果的でかつ効率的な保護措置であることがわかる。Ｋ内における必要な体の演算の総数は、１１ｇ＋１回となる。
【００５７】
実際のところ、これは、個々の群の演算に対する体の演算の数に匹敵し、しばしば、
Tanja Lange, "Inversion - Free Arithmetic on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線上での逆を必要としない演算）", Cryptology ePrint Archive, Report 2002/ 147,2002, http://eprint.iacr.org/ 、
Tanja Lange, "Weighted Co-ordinates on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線上の重み付き座標）", Cryptology ePrint Archive, Report 2002/153,2002, http://eprint.iacr.org/、及び 
J. Pelzl, T. Wollinger, J. Guajardo, C. Paar, "Hyperelliptic Curve Cryptosystems: Closing the Performance Gap to Elliptic Curves（超楕円曲線に基づく暗号系；楕円曲線に対する性能ギャップの閉鎖）"、
における公式によって示される、これらよりも、遥かに小さくなる。
【００５８】
上に与えられた曲線の一般同型写像に関する議論は、Ｋが偶数標数の体であるときの、以下で議論されるケースに対してもそのまま適用する。しかし、この場合は、ｈ（ｘ）・〜ｈ（ｘ）は、零であってはならない。換言すれば、これは、この一般同型写像の使用は奇数標数の場合よりも非効率的であることを意味する。
【００５９】
等式（４）に従う一般同型写像の代わりに、ｂ＝０及びＡ（ｘ）＝０であり、そして、奇数標数の場合と同様に作用するものと仮定される。一般のｓ∈Ｆ２ｄ／Ｆ２に対する
【数１６】
2006527564.tif 000018
なる形式の同型写像は、この等式の全ての係数を以下のようにランダム化する。
【数１７】
2006527564.tif 000019
【００６０】
上述の、奇数標数の体Ｋを用いて実現上のトリックを用いて達成される、非常に迅速な曲線のランダム化の明示的な記述と同様に、
【数１８】
2006527564.tif 000020
なる偶数標数の体Ｋを用いて実現上のトリックを用いて遂行される非常に迅速な曲線のランダム化の明示的な記述のときは、
【数１９】
2006527564.tif 000021
が得られ、そして、〜Ｕ，〜Ｖに対する式
【数２０】
2006527564.tif 000022
が読み出される。
【００６１】
等式（４）に従うタイプの一般同型写像は要求されず、内部表現（internal depictions）の全てのビットを効率的にランダム化するためには、等式（１２）に従うタイプのこれらのみで十分であることが推論することができる。
【００６２】
〜ｈ（ｘ）の係数は、ｈ（ｘ）の係数から〜Ｖ（ｔ）の係数と同様な方法で計算される。そして、この場合は、ｋ＝２、５，．．．，２ｇ＋１に対して、Ｖｇ−（ｋ−１）／２及びｈｇ−（ｋ−１）／２がｓ−ｋで乗算され、加えて、ｈｇも、ｓ−１で乗算される。このことは、奇数標数のケースよりも、最大でｇ＋１回だけ多くの体の演算が要求され、そして、ｓが選択され、ｓ−１が計算された後の、φの使用のための全コストは、８ｇ＋２回の乗算のみとなることを意味する。つまり、ここでは、上で説明された実現上のトリックは、二進体（binary bodies）においてはこの逆算（inversion）は十分に高速であるために必要とされない。
【００６３】
以下では、Ｆ２を用いて定義されるが、ｈが定数（constant）である場合と、ｈが非定数(non-constant)である場合との差異について調べられる。
【００６４】
偶数標数の場合は、もし、これら定義式の係数が、スループットの理由から制限されるときは、問題が発生することに注意すべきであり、そして、ここでは、式（６）内において、〜ｈ（ｘ）も定数で、ゼロでないために、ｈ（ｘ）がゼロでない定数である、最も単純な場合について考慮されるべきである。
【００６５】
しかしながら、代数幾何学の知られている結果として、非ゼロのｃと、ｄｅｇｆ＝５と、を有する方程式ｙ２＋ｃｙ＝ｆ（ｘ）を有する超特異曲線は、ここで興味ある暗号用途に対しては適当でないことが既に知られている（S.D. Galbraith, "Supersingular curves in crypography（暗号法における超特異曲線）", in C. Boyd(Ed.,), ASIACRYPT 2001, "Lecture Notes in Computer Science", Vol. 2248, Pages 495 to 513, Springer - Verlag, 2001、における定理９を参照）。
【００６６】
これとは対照的に、偶数標数においては、類数ｇ＝３の超楕円曲線は、どれも、超特異ではなく（J. Scholten and H. J. Zhu, "Hyperelliptic curves in characteristic 2（標数２内の超楕円曲線）", Inter. Math. Research Notices, 17(2002), Pages 905 to 917を参照）、このため、原理的には、非ゼロのｃと、ｄｅｇｆ＝７とを有する方程式ｙ２＋ｃｙ＝ｆ（ｘ）を有する曲線でも、拡大次数（expansion degree）と群位数（group order）とが適当に選択されるという条件で、用いることができる。
【００６７】
J. Pelzl, T. Wollinger, J. Guajardo, and C. Paarによって提出された論文 "Hyperelliptic Curve Cryptosystems: Closing the Performance Gap to Elliptic Curves（超楕円曲線暗号系；楕円曲線に対する性能ギャップの閉鎖）"は、ｈ（ｘ）＝１の場合に対する非常に迅速なダブリング公式（very rapid doubling formula）を与えるが、ダブリング因子（divisor doubling）の速度は、もし、ｈ（ｘ）を非ゼロの定数としたときは、大幅に加速することができる。もし、〜ｈ（ｘ）＝ｓ−（２ｇ＋１）ｃ＝ｓ−７ｃとしたときは、これは、類数ｇ＝２の曲線の場合を重要なものとする。
【００６８】
ｈが非定数のケースにおいては、ｈ（ｘ）の係数は、速度の理由から、しはしば、Ｆ２内で選択される（例えば、Tanja Lange, "Inversion - Free Arithmetic on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線上での逆演算を必要としない演算）", Cryptology ePrint Archive, Report 2002/ 147,2002, http://eprint.iacr.org/ 、又はTanja Lange, "Weighted Co-ordinates on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線上の重み付き座標）", Cryptology ePrint Archive, Report 2002/153,2002, http://eprint.iacr.org/を参照）。
【００６９】
ｈは非定数であるが、しかしＦ２上で定義されているこの場合においては、式（６）に基づいた場合、以下の問いと同値であるものが存在する。すなわち、  ｂ∈Ｋに対して、そしてｓ∈Ｋｘであるｈ（ｘ）∈Ｆ２［ｘ］は、
〜ｈ（ｘ）＝ｓ−（２ｇ＋１）ｈ（ｓ２（ｘ−ｂ））∈Ｆ２［ｘ］
であるか否か。
【００７０】
もしｒ＝（２ｇ＋１）−２ｄｅｇｈとしたときは、〜ｈ（ｘ）の最高次の係数（leading co-efficient）ｓ−ｒは、この最高次の係数がゼロでないために１に等しくなり、そして、数ｒは、奇数で、正で、かつ≦２ｇ−１となる。
【００７１】
この暗号系は、Gaudryによる指数計算攻撃（index calculus attack）（P. Gaudry, An algorithm for solving the discrete log problem on hyperellitic curves（超楕円曲線上の離散対数問題を解くためのアルゴリズム）", in "Advances in Cryptology - Eurocrypt 2000" Pages 19 to 34, "Lecture Notes" in Computer Science, Vol. 1807, Springer, Berlin, Heidelberg, 2000を参照）に抵抗できなければならない。すなわち、もし、ｇ≦４としたときは；このときは、ｒ≦７となり、ｒに対して、非常に少数の可能な値しか存在せず；このため、このランダム化は、不必要となる。
【００７２】
次に、拡大次数（extension degree）をｄ＝［Ｋ：Ｆ２］とする。
【００７３】
これに関連して、Weilの下降(Weil descent)（G. Frey , "How to disguise an elliptic curve (楕円曲線をいかにして装うか）(Weil descent)", Talk at ECC '98,Waterloo,1998  (http://www.cacr.math.uwaterloo.ca/conferences/1998/ecc98/ slides.htmlからスライドを入手可）、 G. Frey, "Applications of arithmetical geometry to cryptographic constructions（暗号法構成への算術幾何学の応用）", in "Finite fields and applications (Augsburg, 1999), Pages 128 to 161, Springer, Berlin, 200１を参照)による攻撃に対する防御のためには、拡大次数ｄに対しては、≧１６０／ｇなるオーダ内の素数ｐが選択されるか、又は、≧８０／ｇなるオーダ内の素数ｐの二倍が選択されることに注意すべきである。
【００７４】
ｓの可能な値は、Ｘｒ−１の既約因数（irreducible factors）の零デジット（zero digits）であり、この次数は、ｄで割り切れる。もし、ｄ＝ｐ≧１６０／ｇ≧４０とすると（これは好ましい場合であるが）、ｓ＝１となり、もし、ｄ＝２ｐとし、ここでｐ≧８０／ｇ≧２０とすると、ｓは次数１又は２のＸｒ−１のＦ２を用いた因数の零デジットのみとなる。このような因数の迅速な列挙（ｒは奇数、かつ、≧７であることに注意）は、ｓ＝１又はｒ＝３であるとき、ｓ２＋ｓ＋１＝０となることを示す。もし、ｈ（ｘ）の２つの係数がゼロでないときは、常にｓ＝１である。
【００７５】
ここで、もし、Ｋ／Ｆ２のフロベニウスの自己同型（Frobenius automorphism）としてのσ：α→α２から始めるものとすると、〜ｈ（ｘ）＝ｈ（ｘ−ｂ）∈Ｆ２[ｘ]であるために、全てのｊに対して、ｈ（−ｂσｊ）＝ｈ（−ｂ）σｊ＝ｈ（−ｂ）∈Ｆ２となる。これは、換言すれば、−ｂの全ての共役（conjugates）は、ｈ（ｘ）−ｈ（−ｂ）＝０のフロベニウスの解の下にあることを意味する。もしｂがＦ２の元ではないときは、少なくともｐ≧８０／ｇ個のこのような共役が存在することとなり、このときは、ｈ（ｘ）の次数は、高々ｇ≦４となる。この理由から、ｂは、Ｆ２の元でなければならず、このためｂに対しては、２つの可能性しか存在せず、このため、ｂのランダム化は無意味である。
【００７６】
こうして、適切な同型写像は
【数２１】
2006527564.tif 000023
であるタイプであり、
ここで、Ａ（ｘ）∈Ｋ［ｘ］は、ｇ以下の次数であると、結論付けることができる。
【００７７】
超楕円曲線類似物（hyperelliptic analogon）であるという意味においては、この状況は、２つの多項式の１つしか、又はこれら座標（co-ordinates）の半分しか、効率的にランダム化できないために、前述のM. Joye and C. Tymenによる文献において説明されている、楕円曲線のランダム化における状況と類似する。
【００７８】
実際には、この状況は、等式（６）によると、ｆの全ての係数を〜ｆにランダム化することはできず、このため、曲線のランダム化のみが用いられたときは、差動電力解析に基づく攻撃が成功する可能性が高くなるために、もっと悪くなる。
【００７９】
要約すると、曲線のランダム化の上述の方法に対しては、偶数標数における類数２の超楕円曲線に対するこの対抗措置は、
２つの少ない係数しかランダム化できないために不十分であるか、又は
この対抗措置は式（４）に従う一般同型写像を使用し、ｈの係数が（４）Ｆ２の外側に置かれたままに残されるために、この暗号系の威力を阻害する。
【００８０】
類数３の場合においては、方程式ｙ２＋ｃｙ＝ｆ（ｘ）に対する曲線と、一般同型写像を用いることができる。この場合においては、式（４）において、ｂ＝０と、Ａ（ｘ）＝０とを固定することで十分であり、その後、奇数標数の場合に対する前の説明の終わりの所に進むことで、全ての係数を無理なくランダム化することができる。
【００８１】
全ての更なる場合においては、他の技法が、例えば、約数のランダム化が推薦される。この約数のランダム化も、奇数標数において機能するが、これが、以下において、第二の実施形態として説明されるが、これは、
曲線のランダム化の第一の実施形態と組み合わせて実現することも、又は
曲線のランダム化の第一の実施形態とは独立的に実現する、
こともできる。
【００８２】
約数ランダム化の技法においては、通常はこの暗号系の基底元（base element）又はスカラ乗算の中間結果であるある既約因子の表現のビットが修正される。この因子のランダム化の技法は、群の元（group element）が幾つかの異なる方法で表現できるときに用いられる。
【００８３】
従来技術からの注目に値する例は、楕円曲線上の射影座標（projective co-ordinates）であるが、ここでは、３重項の２つの組（Ｘ、Ｙ、Ｚ）と（Ｘ′、Ｙ′、Ｚ′）とは、もし非ゼロの元ｓがその基底体（base field）内に存在するときは、同一の点を表し、このため、Ｘ＝ｓＸ′、Ｙ＝ｓＹ′、及びＺ＝ｓＺ′  となる。ヤコビアン座標（D.V. Chudnovsky and G.V. Chudnovsky, "Sequences of numbers generated by addition in formal groups and new primality and factoring tests（正則群内での加法によって生成される数列と新たな原始性と因数分解テスト）", Advances in Applied Mathematics, 7 (1987), Pages 385 to 434参照）においては、３重項の２つの組（Ｘ、Ｙ、Ｚ）と（Ｘ′、Ｙ′、Ｚ′）は、もし、Ｘ＝ｓ２Ｘ′、Ｙ＝ｓ３Ｙ′、及びＺ＝ｓＺ′であり、ｓ∈Ｋｘ、であるときは、同一のポイントを表す。
【００８４】
最近、類数２の超楕円曲線に対する幾つかの代替の座標系が提唱された。Miyamotoらによる逆演算を必要としないシステム（Y. Miyamoto, H.Doi, K.Matsuo, J. Chao and S. Tsuji, "A fast addition algorithm of genus tow hyperelliptic curve（類数２の超楕円曲線の高速加法アルゴリズム）", in Proceedings of SCIS 2002, IEICE Japan, Pages 497 to 502, 2002, in Japanes参照）は楕円曲線に対する射影座標の超楕円曲線対応物の上で機能し、Lange (Tanja Lange, "Inversion - Free Arithmetic on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線上での逆演算を必要としない演算）", Cryptology ePrint Archive, Report 2002/ 147,2002, http://eprint.iacr.org/ を参照）によって拡張及び改善され、Langeは加えて、重み付き座標と呼ばれる、ヤコビアン座標の対応物も開発した（Tanja Lange, "Weighted Co-ordinates on Genus 2 Hyperelliptic Curves（類数２の超楕円曲線上の重み付き座標）", Cryptology ePrint Archive, Report 2002/153,2002, http://eprint.iacr.org/を参照）。類数３に対しては、類似するシステムは知られていない。
【００８５】
曲線の類数が大きくなるほど、群の位数（group order）を同一とした場合、基底体（base body）は小さくなり、このため、逆演算（inversions）の、乗算（multiplications）に対する、速度比は小さくなる。このため、類数３に対しては、１つの逆演算が、多くの乗算と交換されるために、逆演算を必要としない公式（inversion-free formulae）の魅力は、少なくなる。しかし、既に、類数３の曲線に対して、奇数標数と偶数標数の両方について、効率的なビットランダム化過程が存在する。
【００８６】
射影座標（類数２）においては、関連する多項式の対を有する因子Ｄは、５重項の１組［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ］として示され、ここで、
Ｕ（ｔ）＝ｔ２＋Ｕ１ｔ／Ｚ＋Ｕ０／Ｚ  及び
Ｖ（ｔ）＝Ｖ１ｔ／Ｚ＋Ｖ０／Ｚ  
である。
【００８７】
因子のランダム化は、以下のように機能する。ある乱数ｓ∈Ｋｘが選択され、以下の変換が適用される
［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ］→［ｓＵ１，ｓＵ０，ｓＶ１，ｓＶ０，ｓＺ］
重みつけられた座標においては、因子Ｄは、６重項の組［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ１、Ｚ２］によって示され、ここで
Ｕ（ｔ）＝ｔ２＋Ｕ１ｔ／Ｚ１２＋Ｕ０／Ｚ１２  及び
Ｖ（ｔ）＝Ｖ１ｔ／（Ｚ１３Ｚ２）＋Ｖ０／（Ｚ１３Ｚ２）  
である。
【００８８】
基底因子又は中間計算を見えなくするためには、Ｋｘ内の２つの元ｓ１、ｓ２がランダムに選択され、以下の変換が遂行される
［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ１、Ｚ２］→
［ｓ１２Ｕ１，ｓ１２Ｕ０，ｓ１３ｓ２Ｖ１，ｓ１３ｓ２Ｖ０，ｓ１Ｚ１、ｓ２Ｚ２］    
もし、これら追加のオプションとしての座標
ｚ１＝Ｚ１２，ｚ２＝Ｚ２２，ｚ３＝Ｚ１・Ｚ２、及びｚ４＝ｚ１・ｚ２＝ｚ３２
が用いられた場合は、これら追加のオプションの座標も更新されなければならないが、この更新の最も迅速なやり方は、これらを、Ｚ１とＺ２の像から、３回の二乗（quadrations）と、１回の乗算（multiplication）で回復することである。
【００８９】
本発明によって提唱される２つの措置、すなわち、曲線のランダム化の措置（すなわち、第一の実施形態）と、因子のランダム化の措置（すなわち、第二の実施形態）とは、各々、個別に及び組合せにて、これら超楕円曲線暗号系を、差動電力解析に対して強化する。曲線のランダム化の技法と、因子のランダム化の技法とは、両方とも、簡単に導入でき、スループットに対しては僅かな影響しか有さない。
【００９０】
第一の実施形態による方法、すなわち曲線のランダム化は、ヤコブ多様体内でのスカラ乗算をランダムに選択された同型写像群へと運ぶ。この第二の群内でスカラ乗算が遂行され、このスカラ乗算の結果が、第一の群に戻される。この曲線のランダム化の方法は、任意の類数の曲線に適用することができる。
【００９１】
第二の実施形態による方法、すなわち因子のランダム化は、Coronの第三の対抗措置の超楕円変体である。約数のランダム化は、それらの座標系が関連するヤコブ多様体内での群演算に対して知られており、それらは楕円射影すなわちヤコビアンに対応する、曲線族（curve families）にしか適用することができない。
【００９２】
超楕円曲線暗号系の実現への、差動電力解析に基づく攻撃に対する防御のための、上で説明されたこれら２つの対抗措置は、互いに独立して用いることも、同時に用いることもできる。
【図面の簡単な説明】
【００９３】
【図１】曲線のランダム化の原理に基づく本発明による方法の１つの実施形態を簡略的に示す図である。
【符号の説明】
【００９４】
Ｃ  超楕円曲線
〜Ｃ  変換された超楕円曲線
Ｄ  因子、とりわけ既約因子
ｇ  類数
Ｊ  ヤコブ多様体
Ｋ  体、とりわけ有限体
ｎ  スカラ
ｓ  元、とりわけ非ゼロの元
s1  第一の元、とりわけ非ゼロの第一の元
s2  第二の元、とりわけ非ゼロの第二の元
ｔ  変数
φ  表現
φ-1  逆表現
［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ］  ５重項の組
［ｓＵ１，ｓＵ０，ｓＶ１，ｓＶ０，ｓＺ］  変換された５重項の組
［Ｕ１，Ｕ０，Ｖ１，Ｖ０，Ｚ１、Ｚ２］  ６重項の組
［ｓ１２Ｕ１，ｓ１２Ｕ０，ｓ１３ｓ２Ｖ１，ｓ１３ｓ２Ｖ０，ｓ１Ｚ１、ｓ２Ｚ２］  変換された６重項の組
【図１】
2006527564.tif 000024
【国際調査報告】
2006527564.tif 000025
2006527564.tif 000026
2006527564.tif 000027