知財求人 - 知財ポータルサイト「IP Force」
特表2024-502190サイドチャネル攻撃に対して複数の点の乗算演算をセキュアにするための方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-01-17
(54)【発明の名称】サイドチャネル攻撃に対して複数の点の乗算演算をセキュアにするための方法
(51)【国際特許分類】
G06F 21/75 20130101AFI20240110BHJP
G09C 1/00 20060101ALI20240110BHJP
【ＦＩ】
G06F21/75
G09C1/00 650A
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2023541751
(86)(22)【出願日】2022-01-11
(85)【翻訳文提出日】2023-09-08
(86)【国際出願番号】 EP2022050455
(87)【国際公開番号】W WO2022148884
(87)【国際公開日】2022-07-14
(31)【優先権主張番号】21305022.2
(32)【優先日】2021-01-11
(33)【優先権主張国・地域又は機関】EP
(81)【指定国・地域】
(71)【出願人】
【識別番号】521561673
【氏名又は名称】タレス・ディス・フランス・エス・ア・エス
(74)【代理人】
【識別番号】110001173
【氏名又は名称】弁理士法人川口國際特許事務所
(72)【発明者】
【氏名】ビジラン，ダビ
(72)【発明者】
【氏名】マデック，ストゥバン
(72)【発明者】
【氏名】ルスレ，ミレーヌ
(57)【要約】
本発明は、複数の点の乗算演算結果
を計算する複数の点の乗算演算を含む楕円曲線暗号プロセスの実行をサイドチャネル攻撃に対してセキュアにするための方法に関し、ｎは整数、ｎ＞＝１、ｄｉは所定のスカラー値、Ｐｉは点の加算法則と共にパラメータ（Ｆ、Ｅ、Ｇ、Ｎ）によって定義される、有限体上の楕円曲線の点であり、ここで、Ｆは曲線が定義される体、Ｅは曲線の方程式、ＧはＦ上のＥのベースポイント、ＮはベースポイントＧの位数であり、前記方法は暗号デバイスによって行われ： － マスキング値ｉＲａｎｄを生成すること（Ｓ１）、 － ｉが｛１，…，ｎ｝内にある、各所定のスカラー値ｄｉを前記生成されたマスキング値ｉＲａｎｄで乗法的にマスクして、マスクされたスカラーｄｉ’を取得すること（Ｓ２）、 － ｉが｛１，…，ｎ｝内にある、マスクされた複数の点の乗算演算結果
を計算すること（Ｓ３）、 － 前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除することにより、前記複数の点の乗算演算結果Ｒを取得すること（Ｓ４）を含む。
【特許請求の範囲】
【請求項1】
複数の点の乗算演算結果【数1】
前記方法は、暗号デバイス（１００）によって行われ、
マスキング値ｉＲａｎｄを生成すること（Ｓ１）、
ｉが｛１，…，ｎ｝内にある、各所定のスカラー値ｄｉを前記生成されたマスキング値ｉＲａｎｄで乗法的にマスクして、マスクされたスカラーｄｉ’を取得すること（Ｓ２）、
ｉが｛１，…，ｎ｝内にある、マスクされた複数の点の乗算演算結果
【数2】
前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除することにより、前記複数の点の乗算演算結果Ｒを取得すること（Ｓ４）
を含む、方法。
【請求項2】
マスキング値ｉＲａｎｄを生成することは、乱数値Ｒａｎｄを生成することと、乱数値Ｒａｎｄの逆数をとることによってマスキング値ｉＲａｎｄ（ｉＲａｎｄ＝１／Ｒａｎｄ ｍｏｄＮ）を計算することとを含み、前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除することは、前記マスクされた複数の点の乗算演算結果Ｒ’を前記生成された乱数値Ｒａｎｄと乗算することを含む、
請求項１に記載の方法。
【請求項3】
マスクされた複数の点の乗算演算結果Ｒ’を計算することは、ｗが所定の整数ｗ＞＝１である、［０，２ｗ－１］内のａｉに対して、すべての可能な合計
【数3】
中間値Ａを無限遠点において初期化すること（Ｓ３２）、
Ｂが所定のスカラー値のビット数であり、０から｜Ｂ｜－ｗまでの整数ｊについて、ｗおきに、
ａ．前記中間値Ａを２ｗで乗算すること、
ｂ．前記事前計算された可能な合計Ｒｋの中から合計Ｒｍを、次のように、すなわち、
ｄｉ’ｊがｄｉ’のｊ番目のビットであり、
【数4】
ｃ．前記選択された合計Ｒｍを前記中間値Ａに加算すること（Ｓ３３）
を含む、請求項１または２に記載の方法。
【請求項4】
前記乱数値のサイズが３２または６４ビットである、請求項２または３に記載の方法。
【請求項5】
少なくとも１つのコンピュータのメモリに直接ロード可能なコンピュータプログラム製品であって、前記製品がコンピュータ上で実行されたときに、請求項１から４のいずれか一項に記載のステップを行うためのソフトウェアコード命令を含む、コンピュータプログラム製品。
【請求項6】
少なくとも１つのハードウェアプロセッサを有する処理システムを備える暗号デバイス（１００）によって実行されたときに、請求項１から４のいずれか一項に記載のステップを行う実行可能なコンピュータコードを記憶する、非一時的なコンピュータ可読媒体。
【請求項7】
請求項１から４のいずれか一項に記載のステップを実行するように構成された少なくとも１つのハードウェアプロセッサ（１０１）を有する処理システム、少なくとも１つの不揮発性メモリ（１０５）および／または読み出し専用メモリ（１０４）
を含む、暗号デバイス（１００）。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、公開鍵暗号の分野に関し、より詳細には、楕円曲線暗号プロセスで行われる、点の乗算演算をサイドチャネル攻撃に対してセキュアにするための方法に関する。
【背景技術】
【0002】
暗号アルゴリズムは、暗号化による通信のプライバシーの保証、認証、または検証可能な署名の生成のために一般的に使用される。このようなアルゴリズムの例としては、ＡＥＳ、ＤＥＳ、またはＤＳＡがある。
【0003】
このような暗号アルゴリズムは、図１に示すような暗号化を行うデバイスの、消費電力または電磁シグネチャの分析に基づくサイドチャネル攻撃（ＳＣＡ）に対してセンシティブである。
【0004】
ＥＣＤＳＡなどの楕円曲線暗号（ＥＣＣ）プロトコルは、ＳＣＡに対して特に脆弱である。実際、そのようなプロトコルは、秘密鍵に加えて、暗号演算を行うためにノンスと呼ばれる他の値を使用する。例えば、ノンスをスカラー値として使用して、スカラーの点の乗算を行うことができる。そして、２０１２年のＪ．－． Ｆａｕｇｅｒｅらによる「Ａｔｔａｃｋｉｎｇ （ｅｃ） ｄｓａ ｇｉｖｅｎ ｏｎｌｙ ａｎ ｉｍｐｌｉｃｉｔ ｈｉｎｔ」において、さらに最近では、２０２０年のＪ．Ｊａｎｃａｒらによる「Ｍｉｎｅｒｖａ：ＴｈｅＣｕｒｓｅ ｏｆ ＥＣＤＳＡ ｎｏｎｃｅｓ」において、秘密鍵を操作する演算がＳＣＡから保護されているときでも、ＥＣＣプロトコルは依然としてそのような攻撃に対してセンシティブである：ＳＣＡによりノンスの数ビットを取得することで、攻撃者は格子基底縮小攻撃を行うことにより完全な秘密鍵を取得できる可能性があることが、実証されている。したがって、ＥＣＣプロトコルをＳＣＡからより適切に保護する必要がある。
【0005】
ノンスを使用するＥＣＣ演算をＳＣＡから保護するこのような問題は、単一の演算で複数のノンスを同時に使用する複数の点の乗算を行うときに特に重要である。
【0006】
その結果、サイドチャネル攻撃に対してＥＣＣプロセスをセキュアにするための方法が必要になる。このような方法は、そのようなプロセスが複数の点の乗算を行うときに適用でき、効率的でなければならない。
【先行技術文献】
【非特許文献】
【0007】
【非特許文献1】Ｊ．－． Ｆａｕｇｅｒｅ ｅｔ ａｌ、「Ａｔｔａｃｋｉｎｇ （ｅｃ） ｄｓａ ｇｉｖｅｎ ｏｎｌｙ ａｎ ｉｍｐｌｉｃｉｔ ｈｉｎｔ」、２０１２年
【非特許文献2】Ｊ．Ｊａｎｃａｒ ｅｔ ａｌ、「Ｍｉｎｅｒｖａ： Ｔｈｅ ｃｕｒｓｅ ｏｆ ＥＣＤＳＡ ｎｏｎｃｅｓ」、２０２０年
【発明の概要】
【課題を解決するための手段】
【0008】
したがって、この目的のために、第１の態様によれば、本発明は、複数の点の乗算演算結果
を計算する複数の点の乗算演算を含む楕円曲線暗号プロセスの実行をサイドチャネル攻撃に対してセキュアにするための方法に関し、ｎは整数、ｎ＞＝１、ｄｉは所定のスカラー値、Ｐｉは点の加算法則と共にパラメータ（Ｆ、Ｅ、Ｇ、Ｎ）によって定義される、有限体上の楕円曲線の点であり、ここで、Ｆは曲線が定義される体、Ｅは曲線の方程式、ＧはＦ上のＥのベースポイント、ＮはベースポイントＧの位数であり、前記方法は、暗号デバイスによって行われ：
－ マスキング値ｉＲａｎｄを生成すること、
－ ｉが｛１，…，ｎ｝内にある、各所定のスカラー値ｄｉを前記生成されたマスキング値ｉＲａｎｄで乗法的にマスクして、マスクされたスカラーｄｉ’を取得すること、
－ ｉが｛１，…，ｎ｝内にある、マスクされた複数の点の乗算演算結果
を計算すること、
－ 前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除（ｕｎｍａｓｋ）することによって、前記複数の点の乗算演算結果Ｒを取得すること
を含む。
【数1】
－ マスキング値ｉＲａｎｄを生成すること、
－ ｉが｛１，…，ｎ｝内にある、各所定のスカラー値ｄｉを前記生成されたマスキング値ｉＲａｎｄで乗法的にマスクして、マスクされたスカラーｄｉ’を取得すること、
－ ｉが｛１，…，ｎ｝内にある、マスクされた複数の点の乗算演算結果
【数2】
－ 前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除（ｕｎｍａｓｋ）することによって、前記複数の点の乗算演算結果Ｒを取得すること
を含む。
【0009】
このような方法により、点の乗算が合計された後、複数の点の乗算演算結果を簡単にマスク解除できる方法で、所定のスカラー値を保護することができる。
【0010】
一実施形態では、
－ マスキング値ｉＲａｎｄを生成するステップは、乱数値Ｒａｎｄを生成することと、乱数値Ｒａｎｄの逆数をとることによってマスキング値ｉＲａｎｄ（ｉＲａｎｄ＝１／Ｒａｎｄ ｍｏｄＮ）を計算することとを含む；および
－ 前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除するステップは、前記マスクされた複数の点の乗算演算結果Ｒ’を前記生成された乱数値Ｒａｎｄと乗算することを含む。
－ マスキング値ｉＲａｎｄを生成するステップは、乱数値Ｒａｎｄを生成することと、乱数値Ｒａｎｄの逆数をとることによってマスキング値ｉＲａｎｄ（ｉＲａｎｄ＝１／Ｒａｎｄ ｍｏｄＮ）を計算することとを含む；および
－ 前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除するステップは、前記マスクされた複数の点の乗算演算結果Ｒ’を前記生成された乱数値Ｒａｎｄと乗算することを含む。
【0011】
こうすることで、計算プロセス終了時に、単一の演算でマスキングをキャンセルすることができる。
【0012】
一実施形態では、マスクされた複数の点の乗算演算結果Ｒ’を計算するステップは：
－ ｗが所定の整数ｗ＞＝１である、［０，２ｗ－１］内のａｉに対して、すべての可能な合計
を事前計算すること、
－ 中間値Ａを無限遠点において初期化すること、
－ Ｂが所定のスカラー値のビット数であり、０から｜Ｂ｜－ｗまでの整数ｊについて、ｗおきに：
ａ．前記中間値Ａを２ｗで乗算すること、
ｂ．前記事前計算された可能な合計Ｒｋの中から合計Ｒｍを、次のように、すなわち：
ｄｉ ’ｊがｄｉ’のｊ番目のビットであり、
のように選択すること、
ｃ．前記選択された合計Ｒｍを前記中間値Ａに加算すること
を含む。
－ ｗが所定の整数ｗ＞＝１である、［０，２ｗ－１］内のａｉに対して、すべての可能な合計
【数3】
－ 中間値Ａを無限遠点において初期化すること、
－ Ｂが所定のスカラー値のビット数であり、０から｜Ｂ｜－ｗまでの整数ｊについて、ｗおきに：
ａ．前記中間値Ａを２ｗで乗算すること、
ｂ．前記事前計算された可能な合計Ｒｋの中から合計Ｒｍを、次のように、すなわち：
ｄｉ ’ｊがｄｉ’のｊ番目のビットであり、
【数4】
ｃ．前記選択された合計Ｒｍを前記中間値Ａに加算すること
を含む。
【0013】
このような方法は、事前計算された値に依存することにより、計算時間と労力を最小限に抑えながら、所定のスカラーｄｉをサイドチャネル攻撃から常に保護できる。
【0014】
前記乱数値のサイズは、３２または６４ビットであってもよい。このように縮小された乱数値のサイズは、マスキング値ｉＲａｎｄのサイズを縮小することなく、マスク解除のコストを制限する。
【0015】
第２の態様によれば、したがって、本発明は、少なくとも１つのコンピュータのメモリに直接ロード可能なコンピュータプログラム製品にも関し、このコンピュータプログラム製品は、前記製品がコンピュータ上で実行されたときに、第１の態様による方法のステップを行うためのソフトウェアコード命令を含む。
【0016】
第３の態様によれば、したがって、本発明は、少なくとも１つのハードウェアプロセッサを有する処理システムを備える暗号デバイスによって実行されたときに、第１の態様による方法のステップを行う実行可能なコンピュータコードを記憶する、非一時的なコンピュータ可読媒体にも関する。
【0017】
したがって、第４の態様によれば、本発明は：
－ 少なくとも１つの不揮発性メモリおよび／または読み出し専用メモリ、
－ 第１の態様による方法のステップを行うように構成された少なくとも１つのハードウェアプロセッサを有する処理システム
を備える暗号デバイスにも関する。
－ 少なくとも１つの不揮発性メモリおよび／または読み出し専用メモリ、
－ 第１の態様による方法のステップを行うように構成された少なくとも１つのハードウェアプロセッサを有する処理システム
を備える暗号デバイスにも関する。
【0018】
前述のおよび関連する目的を達成するために、１つ以上の実施形態は、以下に十分に説明され、特に特許請求の範囲で指摘される特徴を含む。
【0019】
以下の説明および添付の図面は、特定の例示的な態様を詳細に記載し、実施形態の原理を使用することができる様々な方法のうちのほんの数例を示すものである。他の利点および新規な特徴は、図面と併せて考慮すると以下の詳細な説明から明らかとなり、開示される実施形態はそのような態様およびそれらの等価物をすべて含むことが意図される。
【図面の簡単な説明】
【0020】
【図1】本発明の一実施形態による暗号デバイスを備えるシステムの概略図である。
【図2】本発明の一実施形態による、複数の点の乗算演算を含む楕円曲線暗号プロセスの実行をサイドチャネル攻撃に対してセキュアにするための方法を概略的に示す。
【図3】本発明の一実施形態による複数の点の乗算演算を含む楕円曲線暗号プロセスの実行をサイドチャネル攻撃に対してセキュアにするための方法の実行例を概略的に示す（ｎ＝２およびｗ＝１のとき）。
【発明を実施するための形態】
【0021】
本発明は、複数の点の乗算演算を含む楕円曲線暗号プロセスの実行をサイドチャネル攻撃に対してセキュアにすることを目的とする。
【0022】
このようなプロセスは、図１に概略図が示されている暗号デバイス１００によって行われることができる。暗号デバイス１００は、バス１０２を介して、ランダムアクセスメモリ（ＲＡＭ）１０３、読み出し専用メモリ（ＲＯＭ）１０４、および／または不揮発性メモリ（ＮＶＭ）１０５に接続されたプロセッサ１０１を含んでもよい。暗号デバイス１００は、暗号デバイス１００をネットワークに接続することができる通信インターフェース１０６をさらに含むことができる。このようなインターフェースは、アンテナに接続された無線インターフェースであってもよく、暗号デバイス１００を様々な形態の無線ネットワーク、例えば広域ネットワーク、ＷｉＦｉネットワーク、または携帯電話ネットワークに接続するために使用されてもよい。あるいは、このようなインターフェースは、イーサネットインターネットなどの有線インターフェースであってもよい。暗号デバイス１００はまた、１つ以上のスクリーン、ラウドスピーカー、マウス、タクタイル面（ｔａｃｔｉｌｅ ｓｕｒｆａｃｅ）、キーボードなどの、暗号デバイス１００のユーザにインターフェースを提供する入出力手段１０７を含んでもよい。
【0023】
このような暗号デバイスは、例えば、スマートカード、携帯電話、タブレット、またはパーソナルコンピュータであり得る。パスポートなどの身分証明書に埋め込まれたスマートチップやハードウェアセキュリティモジュール（ＨＳＭ）の場合もある。
【0024】
暗号デバイスによって行われる楕円曲線暗号プロセスは、例えば、プロトコル内で複数の点の乗算を行うＥＣＤＳＡプロトコルであってもよい。
【0025】
複数の点の乗算演算は、複数の点の乗算演算結果
を計算し、ｎは整数、ｎ＞＝１、ｄｉは所定のスカラー値、Ｐｉは点の加算法則と共にパラメータ（Ｆ、Ｅ、Ｇ、Ｎ）によって定義される、有限体上の楕円曲線の点であり、ここで、Ｆは曲線が定義される体、Ｅは曲線の方程式、ＧはＦ上のＥのベースポイント、ＮはベースポイントＧの位数である。
記号“．”は、点の乗算を表し、ｄ．Ｐが、ｄ回の点の加法群（ａｄｄｉｔｉｏｎ ｇｒｏｕｐ）法則Ｐ＋Ｐ＋…＋Ｐを算出することを意味するのに対して、記号「＊」は整数間の乗算を表す。整数によるユークリッド除算後の余りの算出は、モジュロとも呼ばれ、「ｍｏｄ」と記される。
【数5】
記号“．”は、点の乗算を表し、ｄ．Ｐが、ｄ回の点の加法群（ａｄｄｉｔｉｏｎ ｇｒｏｕｐ）法則Ｐ＋Ｐ＋…＋Ｐを算出することを意味するのに対して、記号「＊」は整数間の乗算を表す。整数によるユークリッド除算後の余りの算出は、モジュロとも呼ばれ、「ｍｏｄ」と記される。
【0026】
このような計算に使用される所定のスカラー値ｄｉはノンスと呼ばれる。上で紹介したように、暗号プロセスの秘密鍵を保護するために、そのようなノンスはサイドチャネル攻撃から保護されなければならない。
【0027】
本発明の主なアイデアは、複数の点の乗算演算を行う前にこれらのノンスに乗法的マスキングを適用することによって、ノンスを、ＳＣＡトレースから攻撃者によって推測されることから保護することである。この場合、問題は、マスクされていない複数の点の乗算演算結果
を取得するために、複数の点の乗算演算出力からマスキングを除去するのを可能にすることである。そうするために、本発明による方法は、同じ複数の点の乗算演算で使用されるすべてのノンスをマスクする単一のマスクを使用する。そうすることで、このマスクを複数の点の乗算演算の出力から因数分解することができ、マスキングを単一の演算で簡単に除去できる。
【数6】
【0028】
【0029】
第１のステップＳ１において、暗号デバイスはマスキング値ｉＲａｎｄを生成する。このような値は、例えば暗号デバイスに含まれる擬似乱数生成器ＰＲＮＧ１０８によってランダムに生成することができる。
【0030】
第２のステップＳ２において、暗号デバイスは、ｉが｛１，…，ｎ｝内にある、各所定のスカラー値ｄｉを前記生成されたマスキング値ｉＲａｎｄで乗法的にマスクして、マスクされたスカラーｄｉ’：ｄｉ’＝ｉＲａｎｄ＊ｄｉ ｍｏｄＮを取得する。
【0031】
第３のステップＳ３において、暗号デバイスは、ｉが｛１，…，ｎ｝内にある、マスクされた複数の点の乗算演算結果
を計算する。この結果Ｒ’の計算は、所定の各スカラー値ｄｉがそのマスクされた値ｄｉ’に置き換えられていることを除いて、計算されるべき結果
の計算である。
【数8】
【数9】
【0032】
第４のステップＳ４において、暗号デバイスは、前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除することによって、前記複数の点の乗算演算結果Ｒを取得する。すべての項ｄｉ，Ｐｉをマスクするために同じマスキング値ｉＲａｎｄが使用されるため、簡単に因数分解してキャンセルできる。
【0033】
一実施形態では、第１のステップＳ１において、マスキング値ｉＲａｎｄを生成することは、乱数値Ｒａｎｄを生成することと、乱数値Ｒａｎｄの逆数をとることによってマスキング値ｉＲａｎｄ：ｉＲａｎｄ＝１／Ｒａｎｄ ｍｏｄ Ｎを計算することとを含む。そのような乱数値は、例えば、３２ビットまたは６４ビットのサイズを有してもよい。
【0034】
このような実施形態では、第４のステップＳ４において、前記マスクされた複数の点の乗算演算結果Ｒ’をマスク解除することは、前記マスクされた複数の点の乗算演算結果Ｒ’を前記生成された乱数値Ｒａｎｄと乗算することを含む。実際、
である。
【数10】
【0035】
このような方法で、マスクされた複数の点の乗算演算結果Ｒ’をマスク解除し、制限されたサイズの乱数値Ｒａｎｄを使用することで、第４のステップで行われる演算のコストを最小限に抑え、良好な性能を保証する。
【0036】
以下の段落では、第３のステップＳ３においてマスクされた複数の点の乗算演算結果Ｒ’を計算するための例示的な実施形態について説明する。この実施形態の考え方は、マスクされた所定のスカラーｄｉ’の所定の長さｗビットのチャンクによる結果を計算し、複数の点の乗算計算が要求された時点でいかなる点の乗算も行うことを回避するために、可能なすべてのチャンクを事前計算することである。
【0037】
第１のサブステップＳ３１では、ｗがｗ≧１の所定の整数である、［０，２ｗ－１］内のａｉに対して、すべての可能な合計
が事前計算される。別の言い方をすると、合計Ｒｋは配列（ａ１，…，ａｉ，…，ａｎ）の各可能な値に対して計算され、ここで、ｉが｛１，…，ｎ｝内にある、各ａｉは、［０，２ｗ－１］内の任意の値と等しくなり得る。事前計算された合計Ｒｋの数は２ｎ＊ｗに等しい。
【数11】
【0038】
このような事前計算は、所定のスカラー値ｄｉに依存しないため、方法の他のステップを行う前に行うことができる。これは、暗号デバイス自体によって行われてもよく、またはサーバーなどの別のデバイスによって行われてもよく、計算された合計が暗号デバイスに転送されてもよい。
【0039】
第２のサブステップＳ３２では、暗号デバイスは中間値Ａを無限遠点において初期化する。
【0040】
第３のサブステップＳ３３では、暗号デバイスは：
・中間値Ａを２ｗで乗算する：
Ａ＝２ｗ．Ａ
・事前計算された可能な合計Ｒｋの中から合計Ｒｍを、次のように、すなわち：
ｄｉ’ｊがマスクされた所定のスカラーｄｉ’のｊ番目のビットであり、
のように選択する。この式では、（ｄｉ’ｊ｜…｜ｄｉ’ｊ＋ｗ－１）は、基数２で表現されたｄｉ’のビットｊからｊ＋ｗ－１までを連結することによって形成された文字列の、基数２での数学的評価を表す。このステップの一番目の実行において、インデックスｊは０に等しい。
・選択された合計Ｒｍを中間値Ａに加算する
Ａ＝Ａ＋Ｒｍ
・ｊをｗだけ増加させる。
・中間値Ａを２ｗで乗算する：
Ａ＝２ｗ．Ａ
・事前計算された可能な合計Ｒｋの中から合計Ｒｍを、次のように、すなわち：
ｄｉ’ｊがマスクされた所定のスカラーｄｉ’のｊ番目のビットであり、
【数12】
・選択された合計Ｒｍを中間値Ａに加算する
Ａ＝Ａ＋Ｒｍ
・ｊをｗだけ増加させる。
【0041】
このサブステップＳ３３は、ｊがサブステップが行われる最後のｊの値である｜Ｂ｜－ｗに達するまで、インデックスｊの新しい値に対して繰り返され、ここでＢはｄｉ’のビット数である。｜Ｂ｜がｗの倍数ではないとき、ｊが｜Ｂ｜－ｗより大きくなったとき、このサブステップは、ｗを｜Ｂ｜－ｊに置き換えた後、最後にもう一度繰り返される。これにより、考慮すべきビットがｗビット未満しか残っていないときに、所定のスカラーの最後のビットを考慮できる。
【0042】
図３は、ｎ＝２、ｗ＝１の場合の実行例を示している。
【0043】
この場合、得られるべき複数の点の乗算結果は、Ｒ＝ｄ１．Ｐ１＋ｄ２．Ｐ２である。
【0044】
第１のサブステップＳ３１では、［０，１］内のａｉに対するすべての可能な合計
が事前計算される。この場合、それは、（ａ１；ａ２）＝（０；０）；（０；１）、（１；０）、および（１；１）の合計を事前計算することを意味し、他の組み合わせの合計がすでにわかっているため、Ｐ１＋Ｐ２を計算するだけになる。
【数13】
【0045】
第１のステップＳ１において、暗号デバイスは、乱数値Ｒａｎｄを生成し、乱数値Ｒａｎｄの逆数をとることによりマスキング値ｉＲａｎｄを計算する。
【0046】
第２のステップＳ２において、暗号デバイスは、生成されたマスキング値ｉＲａｎｄで所定のスカラー値ｄ１およびｄ２を乗法的にマスクして、マスクされたスカラーｄ１’＝ｉＲａｎｄ＊ｄ１ ｍｏｄＮおよびｄ２’＝ｉＲａｎｄ＊ｄ２ ｍｏｄＮを取得する。
【0047】
第３のステップＳ３において、暗号デバイスは、｛０，…，Ｂ－１｝内のｊの各値に対して第３のサブステップＳ３３を繰り返し、ビットｄｉ’ｊの値に応じて、各反復において中間値Ａに加算される事前計算値を選択することにより、マスクされた複数の点の乗算演算結果
を計算する。
【数14】
【0048】
第４のステップＳ４において、暗号デバイスは、マスクされた複数の点の乗算演算結果Ｒ’を、生成した乱数値Ｒａｎｄと乗算して、複数の点の乗算演算結果Ｒを取得する。
【0049】
結果として、上記の方法は、点の乗算のスカラーとして使用されるノンスをサイドチャネル攻撃にさらすことなく、複数の点の乗算演算をセキュアに計算することを可能にする。
【図1】
【図2】
【図3】
【国際調査報告】