鍵が漏れることも想定せよ――クラウド時代における「楕円曲線暗号」の必然性：クラウド時代の暗号化技術論（3）（3/3 ページ）

楕円曲線でElGamal暗号を使う――「楕円ElGamal暗号」

　楕円曲線を使うと、第2回で紹介したElGamal暗号に対応する「楕円ElGamal暗号」を作れます。

• 鍵生成：楕円曲線上の点Pを一つ固定してみんなに公開し、ユーザーAさんは秘密鍵aをランダムに決めて公開鍵K_A=aPを作ります
• 暗号化：整数rをランダムに決め、楕円曲線上の点の平文Mに対して公開鍵K_Aを使って暗号文Enc(M)=(rP,M+rK_A)を作ります
• 復号：暗号文(C₁,C₂)=Enc(M)を受け取ったAさんは秘密鍵aを用いてDec(C₁,C₂)=C₂-aC₁で復号します

　ここで、

　Dec(Enc(M))=Dec(rP,M+rK_A)=(M+rK_A)-a(rP)=M+r(aP)-arP=M

なので、Mを暗号化して復号するとちゃんと元のMに戻ります。

　この公開鍵暗号はさまざまな暗号技術の中核を担います。ビットコインなどで使われている楕円曲線を使った電子書名ECDSAも、この式の応用です。

楕円曲線暗号の鍵長

　楕円曲線暗号は、前回紹介したRSA暗号やElGamal暗号と比べて鍵長（鍵の大きさ）がずっと小さくてよいのが特徴です。

　最近では、RSA暗号は2048ビット以上のものが推奨されています。楕円曲線を使うと同程度の安全性はその10分の1程度で済みます（評価方法によって数値は多少変わります）。今後安全性要求が高くなると、必要なビット長の差はますます大きくなり、楕円曲線暗号の重要度は増すでしょう。