特許 7402191 乗算装置、乗算方法及び乗算プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-12

(45)【発行日】2023-12-20

(54)【発明の名称】乗算装置、乗算方法及び乗算プログラム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20231213BHJP

   G06F 21/75 20130101ALI20231213BHJP

【ＦＩ】

G09C1/00 650A

G06F21/75

【請求項の数】 5

(21)【出願番号】P 2021033600

(22)【出願日】2021-03-03

(65)【公開番号】P2022134466

(43)【公開日】2022-09-15

【審査請求日】2023-03-06

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100106002

【弁理士】

【氏名又は名称】正林 真之

(74)【代理人】

【識別番号】100120891

【弁理士】

【氏名又は名称】林 一好

(72)【発明者】

【氏名】福島 和英

(72)【発明者】

【氏名】清本 晋作

【審査官】行田 悦資

(56)【参考文献】

【文献】特開２０１０－０９１９１３（ＪＰ，Ａ）

【文献】特開２００６－２０１６４１（ＪＰ，Ａ）

【文献】特表２０２０－５３７１９１（ＪＰ，Ａ）

【文献】特表２０１６－５１０９１４（ＪＰ，Ａ）

【文献】特開２００６－３０９０６８（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１４／０１６９５５３（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０１８／０２９４９５０（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０９Ｃ １／００

Ｇ０６Ｆ ２１／７５

(57)【特許請求の範囲】

【請求項1】

２つの整数を、それぞれ所定の法で分割して多項式で表現する多項式化部と、
前記多項式それぞれに対して、複数の標本点の値を算出する標本点算出部と、
前記標本点のそれぞれに対して、ランダムなマスク値を生成するマスク値生成部と、
前記マスク値を加算することによりマスクされた標本点を用いて、前記２つの整数の乗算値を表現する多項式の係数を決定し、前記法を代入することにより、マスクされた乗算値を算出する乗算処理部と、
前記標本点の値及び前記マスク値に基づいて、前記乗算処理部による演算結果に含まれる前記マスク値の累積値を算出する累積マスク演算部と、
前記乗算処理部による演算結果から前記累積値を減算することでマスクを解除し、前記２つの整数の乗算値を算出するマスク解除部と、を備える乗算装置。

【請求項2】

前記多項式化部は、前記２つの整数を、それぞれ変数ｘの１次式で表現し、
前記標本点算出部は、前記変数ｘが－１，０，１の場合の標本点の値をそれぞれ算出する請求項１に記載の乗算装置。

【請求項3】

前記乗算処理部は、処理途中の演算において、乗算対象の整数を１次式に分割するＴｏｏｍ－Ｃｏｏｋ法を再帰的に繰り返す請求項１又は請求項２に記載の乗算装置。

【請求項4】

２つの整数を、それぞれ所定の法で分割して多項式で表現する多項式化ステップと、
前記多項式それぞれに対して、複数の標本点の値を算出する標本点算出ステップと、
前記標本点のそれぞれに対して、ランダムなマスク値を生成するマスク値生成ステップと、
前記マスク値を加算することによりマスクされた標本点を用いて、前記２つの整数の乗算値を表現する多項式の係数を決定し、前記法を代入することにより、マスクされた乗算値を算出する乗算処理ステップと、
前記標本点の値及び前記マスク値に基づいて、前記乗算処理ステップにおける演算結果に含まれる前記マスク値の累積値を算出する累積マスク演算ステップと、
前記乗算処理ステップにおける演算結果から前記累積値を減算することでマスクを解除し、前記２つの整数の乗算値を算出するマスク解除ステップと、をコンピュータが実行する乗算方法。

【請求項5】

請求項１から請求項３のいずれかに記載の乗算装置としてコンピュータを機能させるための乗算プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、サイドチャネル攻撃への対策を施した演算装置に関する。

【背景技術】

【0002】

従来、多倍長乗算において、乗算の回数を４分の３にするアルゴリズムとして、Ｋａｒａｔｓｕｂａ法が知られている（例えば、非特許文献１参照）。Ｋａｒａｔｓｕｂａ法を再帰的に適用することで、従来はＯ（ｎ^２）であった乗算の計算量をＯ（ｎ＾ｌｏｇ_２３）に削減できる。

【0003】

また、Ｋａｒａｔｓｕｂａ法を一般化したＴｏｏｍ－Ｃｏｏｋ法も知られている（例えば、非特許文献２参照）。Ｔｏｏｍ－Ｃｏｏｋ法は、Ｋａｒａｔｓｕｂａ法の計算量をさらに削減し、乗算の計算量をＯ（ｎ＾ｌｏｇ_３５）とできる。Ｔｏｏｍ－Ｃｏｏｋ法を活用することで、耐量子公開鍵暗号方式及び現行の公開鍵暗号方式の暗号化及び復号化処理において大部分を占める乗算処理が高速化される。

【0004】

現行の公開鍵暗号方式及び耐量子公開鍵暗号方式のアルゴリズムにおいては、鍵値と既知の値との乗算が行われる。このため、暗号方式のハードウェア実装において、乗算処理の消費電力を測定して乗算結果を推定するサイドチャネル攻撃により、鍵値が漏洩する可能性がある。この対策として、Ｋａｒａｔｓｕｂａ法に対しては、乱数によるマスキングを行い、サイドチャネル攻撃を防止する手法が提案されている（例えば、非特許文献３参照）。

【先行技術文献】

【非特許文献】

【0005】

【文献】A. Karatsuba and Y. Ofman, “Multiplication of many-digital numbers by automatic computers,” Doklady Akad. Nauk SSSR, vol. 145, pp. 293-294, 1962. Translation in Physics-Doklady, no. 7, pp. 595-596, 1963.

【文献】M. Bodrato, and A. Zanoni, “Integer and Polynomial Multiplication: Towards Optimal Toom-Cook Matrices,” Proceedings of the ISSAC 2007 Conference. ACM press, New York (2007).

【文献】C. Rebeiro and D. Mukhopadhyay, “Hybrid Masked Karatsuba Multiplier for GF(2233),” Proceedings of the 11th IEEE VLSI Design And Test Symposium, pp 379-387, August 8-11, 2007.

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、Ｋａｒａｔｓｕｂａ法を一般化した、より高速な乗算アルゴリズムであるＴｏｏｍ－Ｃｏｏｋ法に対しては、従来のマスキングによる対策手法は適用できず、サイドチャネル攻撃への有効な対策手法がなかった。

【0007】

本発明は、サイドチャネル攻撃を防ぎつつ、高速に乗算を実行できる乗算装置、乗算方法及び乗算プログラムを提供することを目的とする。

【課題を解決するための手段】

【0008】

本発明に係る乗算装置は、２つの整数を、それぞれ所定の法で分割して多項式で表現する多項式化部と、前記多項式それぞれに対して、複数の標本点の値を算出する標本点算出部と、前記標本点のそれぞれに対して、ランダムなマスク値を生成するマスク値生成部と、前記マスク値を加算することによりマスクされた標本点を用いて、前記２つの整数の乗算値を表現する多項式の係数を決定し、前記法を代入することにより、マスクされた乗算値を算出する乗算処理部と、前記標本点の値及び前記マスク値に基づいて、前記乗算処理部による演算結果に含まれる前記マスク値の累積値を算出する累積マスク演算部と、前記乗算処理部による演算結果から前記累積値を減算することでマスクを解除し、前記２つの整数の乗算値を算出するマスク解除部と、を備える。

【0009】

前記多項式化部は、前記２つの整数を、それぞれ変数ｘの１次式で表現し、前記標本点算出部は、前記変数ｘが－１，０，１の場合の標本点の値をそれぞれ算出してもよい。

【0010】

前記乗算処理部は、処理途中の演算において、乗算対象の整数を１次式に分割するＴｏｏｍ－Ｃｏｏｋ法を再帰的に繰り返してもよい。

【0011】

本発明に係る乗算方法は、２つの整数を、それぞれ所定の法で分割して多項式で表現する多項式化ステップと、前記多項式それぞれに対して、複数の標本点の値を算出する標本点算出ステップと、前記標本点のそれぞれに対して、ランダムなマスク値を生成するマスク値生成ステップと、前記マスク値を加算することによりマスクされた標本点を用いて、前記２つの整数の乗算値を表現する多項式の係数を決定し、前記法を代入することにより、マスクされた乗算値を算出する乗算処理ステップと、前記標本点の値及び前記マスク値に基づいて、前記乗算処理ステップにおける演算結果に含まれる前記マスク値の累積値を算出する累積マスク演算ステップと、前記乗算処理ステップにおける演算結果から前記累積値を減算することでマスクを解除し、前記２つの整数の乗算値を算出するマスク解除ステップと、をコンピュータが実行する。

【0012】

本発明に係る乗算プログラムは、前記乗算装置としてコンピュータを機能させるためのものである。

【発明の効果】

【0013】

本発明によれば、サイドチャネル攻撃を防ぎつつ、高速に乗算を実行できる。

【図面の簡単な説明】

【0014】

【図1】実施形態における乗算装置の機能構成を示す図である。

【図2】通常のＴｏｏｍ－Ｃｏｏｋ法のアルゴリズムを示す図である。

【図3】実施形態における乗算装置により改良されたＴｏｏｍ－Ｃｏｏｋ法のアルゴリズムを示す図である。

【発明を実施するための形態】

【0015】

以下、本発明の実施形態の一例について説明する。
本実施形態の乗算方法では、Ｔｏｏｍ－Ｃｏｏｋ法において、乱数によるマスキングを適用した値の乗算を行うことで、サイドチャネル攻撃による乗算結果の推定を防ぐ。また、演算結果に対するマスク値を並行して計算し減算することで、正しい乗算結果が復元される。

【0016】

図１は、本実施形態における乗算装置１の機能構成を示す図である。
乗算装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

【0017】

制御部１０は、乗算装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

【0018】

記憶部２０は、ハードウェア群を乗算装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（乗算プログラム）の他、処理途中の各種データ等を記憶する。

【0019】

制御部１０は、多項式化部１１と、標本点算出部１２と、マスク値生成部１３と、乗算処理部１４と、累積マスク演算部１５と、マスク解除部１６とを備える。

【0020】

多項式化部１１は、乗算対象の２つの整数を、それぞれ所定の法で分割して多項式（例えば、１次式）で表現する。
例えば、法Ｑ＝１００とすると、整数１２３４は、「１２Ｑ＋３４」と変形でき、多項式表現は、「１２ｘ＋３４」となる。

【0021】

標本点算出部１２は、２つの整数を表す多項式それぞれに対して、複数の標本点の値を算出する。
例えば、多項式ａ（ｘ）＝１２ｘ＋３４に対して、ｘ＝－１，０，１の標本点の値は、それぞれ、ａ（－１）＝－１２＋３４＝２２，ａ（０）＝３４，ａ（１）＝１２＋３４＝４６となる。
なお、標本点の取り方は任意であるが、変数ｘの値として、絶対値の小さい整数が選択されることが好ましい。１次式に対しては、例えば、ｘ＝－１，０，１の３点が用いられる。

【0022】

マスク値生成部１３は、標本点のそれぞれに対して、ランダムなマスク値を生成する。
例えば、標本値ａ（－１）＝２２に対して、マスク値生成部１３は、マスク値として乱数（例えば、１２）を生成し、マスクされた標本値ａ’（－１）＝２２＋１２＝３４を提供する。

【0023】

乗算処理部１４は、マスク値を加算することによりマスクされた標本点を用いて、２つの整数の乗算値を表現する多項式Ｒ（例えば、２次式）の係数を、連立方程式の求解により決定し、法Ｑを代入することにより、マスクされた乗算値を算出する。

【0024】

累積マスク演算部１５は、標本点の値及びマスク値に基づいて、乗算処理部１４による演算結果に含まれるマスク値の累積値を算出する。
つまり、累積マスク演算部１５は、２つの整数による本来の正しい乗算結果に対して、マスク値に起因して累積される余剰な値のみを、前述の連立方程式から求まる理論式に基づいて算出する。

【0025】

マスク解除部１６は、乗算処理部１４による演算結果からマスク値の累積値を減算することでマスクを解除し、２つの整数による本来の正しい乗算値を算出する。

【0026】

次に、本実施形態における乗算方法の詳細な手順を示す。ここでは、法をＱとし、次の２つの整数ａ，ｂの乗算を行う場合の例を示す。
ａ＝ａ_１Ｑ＋ａ_０
ｂ＝ｂ_１Ｑ＋ｂ_０

【0027】

２つの整数の多項式表現は、それぞれ、
ａ（ｘ）＝ａ_１ｘ＋ａ_０
ｂ（ｘ）＝ｂ_１ｘ＋ｂ_０
となり、乗算結果Ｒの多項式表現は、
Ｒ（ｘ）＝ａ（ｘ）ｂ（ｘ）＝Ｒ_２ｘ^２＋Ｒ_１ｘ＋Ｒ_０
となる。

【0028】

ここで、例えば、ｘ＝－１，０，１に対する標本点の値（標本値）を計算すると、
ａ（－１）＝－ａ_１＋ａ_０
ａ（０）＝ａ_０
ａ（１）＝ａ_１＋ａ_０
ｂ（－１）＝－ｂ_１＋ｂ_０
ｂ（０）＝ｂ_０
ｂ（１）＝ｂ_１＋ｂ_０
である。
例えば、Ｑ＝１００とすると、整数１２３４は、「１２Ｑ＋３４」と変形でき、多項式表現は、「１２ｘ＋３４」となる。この場合、標本値として、ａ（－１）＝－ａ_１＋ａ_０＝－１２＋３４＝２２，ａ（０）＝ａ_０＝３４，ａ（１）＝ａ_１＋ａ_０＝４６が得られる。

【0029】

これら６つの標本値に対し、それぞれマスク値として、
ｍ_{ａ（－１）}，ｍ_ａ（０），ｍ_ａ（１），ｍ_{ａ（－１）}，ｍ_ａ（０），ｍ_ａ（１）
をランダムに生成して加算すると、マスクされた標本値として、
ａ’（－１）＝ａ（－１）＋ｍ_{ａ（－１）}
ａ’（０）＝ａ（０）＋ｍ_ａ（０）
ａ’（１）＝ａ（１）＋ｍ_ａ（１）
ｂ’（－１）＝ｂ（－１）＋ｍ_{ｂ（－１）}
ｂ’（０）＝ｂ（０）＋ｍ_ｂ（０）
ｂ’（１）＝ｂ（１）＋ｍ_ｂ（１）
が得られる。

【0030】

乗算装置１は、これらのマスクされた標本値ａ’（），ｂ’（）と、乗算結果を表す多項式の値Ｒ’（）とを用いて、通常のＴｏｏｍ－Ｃｏｏｋ法と同様に、次の連立方程式を解き、係数Ｒ’_２，Ｒ’_１，Ｒ’_０を求める。
Ｒ’（－１）＝Ｒ’_２－Ｒ’_１＋Ｒ’_０＝ａ’（－１）ｂ’（－１）
Ｒ’（０）＝Ｒ’_０＝ａ’（０）ｂ’（０）
Ｒ’（１）＝Ｒ’_２＋Ｒ’_１＋Ｒ’_０＝ａ’（１）ｂ’（１）
これにより、マスクされた乗算結果Ｒ’（Ｑ）＝Ｒ’_２Ｑ^２＋Ｒ’_１Ｑ＋Ｒ’_０が得られる。

【0031】

一方で、乗算結果に対するマスク値Ｍ＝Ｒ’（Ｑ）－Ｒ（Ｑ）は、上記の標本値及びマスク値に基づいて、

【数1】

と計算できる。ただし、

【数2】

である。
乗算装置１は、Ｔｏｏｍ－Ｃｏｏｋ法の出力Ｒ’（Ｑ）からマスク値Ｍを減算することにより、乗算結果Ｒ（Ｑ）＝（ａ_１Ｑ＋ａ_０）（ｂ_１Ｑ＋ｂ_０）を得る。

【0032】

図２は、通常のＴｏｏｍ－Ｃｏｏｋ法のアルゴリズムを示す図である。
ステップＳ１において、乗算の入力である２つの整数ａ，ｂは、分割多項式化され、多項式ａ（ｘ），ｂ（ｘ）が求められる。

【0033】

ステップＳ２において、多項式ａ（ｘ），ｂ（ｘ）は、それぞれ複数の標本点で評価され、標本値が取得される。

【0034】

ステップＳ３において、標本値毎の乗算により、乗算結果を表す多項式の値が算出される。

【0035】

ステップＳ４において、乗算結果を表す多項式の係数が、ステップＳ３の計算結果を用いた連立方程式により決定される。

【0036】

ステップＳ５において、ステップＳ４の多項式は、ステップＳ１における分割時の法を代入することにより評価され、２つの整数の乗算結果が出力される。

【0037】

図３は、本実施形態における乗算装置１により改良されたＴｏｏｍ－Ｃｏｏｋ法のアルゴリズムを示す図である。
なお、破線枠内が従来のアルゴリズム（図２）に対して新たに追加された部分であり、サイドチャネル攻撃へのマスキングによる対策が適用されている。

【0038】

ステップＳ１において、多項式化部１１は、従来と同様に、乗算の入力である２つの整数ａ，ｂを分割多項式化し、多項式ａ（ｘ），ｂ（ｘ）を求める。

【0039】

ステップＳ２において、標本点算出部１２は、従来と同様に、多項式ａ（ｘ），ｂ（ｘ）を、それぞれ複数の標本点で評価し、標本値を取得する。

【0040】

ステップＳ１１において、マスク値生成部１３は、標本値毎に、マスク値としての乱数を生成する。

【0041】

ステップＳ１２において、乗算処理部１４は、標本値それぞれにマスク値を加算することによりマスキングを行い、マスクされた標本値を得る。

【0042】

ステップＳ３において、乗算処理部１４は、従来と同様に、標本値毎の乗算により、乗算結果を表す多項式の値を算出する。標本値がマスクされていることにより、算出された多項式の値もマスクされている。

【0043】

ステップＳ４において、乗算処理部１４は、従来と同様に、乗算結果を表す多項式の係数を、ステップＳ３の計算結果を用いた連立方程式により決定する。これにより、マスクされた乗算結果が多項式表現される。

【0044】

ステップＳ５において、乗算処理部１４は、従来と同様に、ステップＳ４の多項式を、ステップＳ１における分割時の法を代入することにより評価し、マスクされた乗算結果を得る。

【0045】

ステップＳ１３において、累積マスク演算部１５は、標本値及びマスク値を用いて、乗算結果に対する累積マスク値を算出する。

【0046】

ステップＳ１４において、マスク解除部１６は、ステップＳ５の乗算結果から累積マスク値を減算してアンマスキングを行い、２つの整数ａ，ｂの乗算結果を出力する。

【0047】

本実施形態によれば、乗算装置１は、２つの整数値の乗算を行うにあたり、Ｔｏｏｍ－Ｃｏｏｋ法における乗算処理の対象となる標本値に対し、乱数によるマスク値を加算することでマスキングを行うとともに、標本値及びマスク値から乗算結果に対する累積マスク値を計算する。そして、乗算装置１は、Ｔｏｏｍ－Ｃｏｏｋ法による計算結果に含まれている累積マスク値を減算することで、本来の正しい乗算結果を復元する。
したがって、乗算装置１は、Ｔｏｏｍ－Ｃｏｏｋ法を用いた乗算処理において、マスキングによりサイドチャネル攻撃を防ぎつつ、高速に乗算を実行できる。
この結果、現行の公開鍵暗号、さらには耐量公開鍵暗号のハードウェア実装において、消費電力等の測定を行うことで鍵値を推測するサイドチャネル攻撃を防止することができる。

【0048】

乗算装置１は、２つの整数を、それぞれ変数ｘの１次式で表現し、変数ｘが－１，０，１の場合の標本点の値をそれぞれ算出する。
これにより、乗算装置１は、演算式を簡潔にして処理負荷を低減できる。

【0049】

なお、これにより、例えば、より安全な公開鍵暗号を用いたインターネット通信を実現できることから、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「レジリエントなインフラを整備し、持続可能な産業化を推進するとともに、イノベーションの拡大を図る」に貢献することが可能となる。

【0050】

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

【0051】

例えば、公開鍵暗号方式において、鍵長が長いことによる処理負荷を低減するために、乗算装置１は、分割多項式化を再帰的に実行してもよい。すなわち、乗算処理部１４は、処理途中の演算において、乗算対象の整数を１次式に分割するＴｏｏｍ－Ｃｏｏｋ法を再帰的に繰り返してもよい。

【0052】

また、整数の多項式表現は、１次式には限られず、２次以上であってもよい。この場合、乗算結果を表す多項式の次数も増加し、例えば、２次式×２次式の場合、乗算結果を表す多項式は４次式となり、５個の係数を決定するために標本点が１０個選択される。

【0053】

乗算装置１による乗算方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

【符号の説明】

【0054】

１ 乗算装置
１０ 制御部
１１ 多項式化部
１２ 標本点算出部
１３ マスク値生成部
１４ 乗算処理部
１５ 累積マスク演算部
１６ マスク解除部
２０ 記憶部

【図1】

【図2】

【図3】