行きはよいよい、
帰りはこわい。 楕円曲線暗号のしくみを、さわって体感する

青い線が楕円曲線です。名前に「楕円」とありますが、形は楕円ではありません。この曲線の上の2つの点 P と Q を「足す」ルールは、たった3手です。

P と Q をどこに動かしても、直線は曲線と必ずもう1か所でぶつかります。だからこの「足し算」はいつでもできます。P と P を足す（同じ点どうし）ときは、曲線にふれる線（接線）を使います。

ここで覚えておいてほしいのは、答えの点がどこに飛ぶかは、ぱっと見では予想しにくいこと。この性質が、あとで暗号の強さにつながります。

なめらかな曲線のままだと、コンピュータでは小数の誤差が出てしまいます。そこで暗号では、ある数で一周すると 0 に戻る「時計の数」だけを使います。

同じ曲線の式を、p で一周する時計の数で計算します。すると、なめらかな線は消えて、式を満たすマス目だけが点として残ります。p を大きくしていくと、どうなるでしょう。

点は上下でペアになっています（ピンクの線をはさんで鏡うつし）。第1章の「折り返し」は、この世界でも生きています。

一方で、p を大きくするほど点の並びは規則のない砂嵐のようになり、「次はどこに飛ぶか」の見当がつかなくなります。

点の雲の上で、スタート地点 P に P を足す。その答えに、また P を足す……。足すたびに点から点へ跳ぶので、これをジャンプと呼びます。

暗号では、何回跳んだかが誰にも教えない秘密の数（秘密鍵）になり、着地した点がみんなに見せる公開鍵になります。

跳ぶたびに、点は盤のあちこちへ飛びます。足あとを隠すと、スタートとゴールを見ても何回跳んだのか見当がつきません。

でも、ちょっと待ってください。本物の暗号では、秘密の数は78桁です。1回ずつ跳んでいたら、鍵を作る側だって永遠に終わらないのでは？

第1章の「P＋P」を思い出してください。今いる点を自分自身に足すと、一気に2倍の位置まで跳べます。この「2倍」と「+1」を組み合わせると、たとえば 13 回目の位置には

0 → 1 → 2 → 3 → 6 → 12 → 13

のたった6手で着きます（1回ずつなら13手）。数が大きいほど、この差はとんでもなく開きます。2チームを同じペースで競争させてみましょう。

これが「行きはよいよい」の正体です。秘密の数 k が分かっていれば、倍々ジャンプで一瞬でゴール（公開鍵）に着けます。

では逆に、ゴールだけを見せられて「何回跳んだ？」と聞かれたら？ 倍々ジャンプは「k を知っている人」しか使えない近道です。知らない人は……次の章で試してみましょう。

今度は立場が逆です。見えるのはスタート P とゴールだけ。P から何回跳んだらゴールに着くのかを当ててください。これが暗号を破る側の仕事です。

勘で答えてもいいし、「総当たり」で 1回、2回、3回……と順に跳んで、ゴールと同じ点になるまで試すこともできます。レベルが1つ上がるごとに、点の数は約10倍になります。

レベル5（点がおよそ100万個）までは、総当たりで1秒もかからずに見つかります。ところが「本物」では、何秒試しても全体のほんのわずかしか進みません。

これが「帰りはこわい」の正体です。正解を知っていれば一瞬で確かめられるのに、知らなければ1つずつ試すしかありません。そして試す数が78桁あります。

最後は、あなたの端末で本物の曲線に挑みます。CPU を全部使って、1回、2回、3回……と全力で試し続けます。

秘密の数（78桁）は、このページを開いたときにランダムに決めてあります。見つけられるでしょうか。