JP2000305453A

JP2000305453A - 暗号化装置，復号装置，および暗号化・復号装置

Info

Publication number: JP2000305453A
Application number: JP11114230A
Authority: JP
Inventors: Masaru Obana; 賢尾花
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 1999-04-21
Filing date: 1999-04-21
Publication date: 2000-11-02
Also published as: US6970561B1

Abstract

(57)【要約】【課題】電力解析や電力差分解析等の消費電力の測定
による暗号解析に対して耐性のある暗号化装置，復号装
置，および暗号化・復号装置を提供する。【解決手段】中間データ制御手段１２３は、乱数生成
装置１４０から出力される乱数を入力として、中間デー
タを乱数に依存して変化させる乱数依存中間データ変更
操作を中間データ変更要求の発生時点で行い、かつ当該
乱数依存中間データ変更操作を複数回適用することによ
って乱数の効果を相殺するように制御する。暗号化演算
手段１２１は、乱数依存中間データ変更操作に依存して
状態を変化させつつ、平文に対する暗号化処理を実行
し、乱数に依存しない暗号文を出力する。乱数依存性決
定手段１２２は、暗号化処理の現在の処理段階が乱数依
存中間データ変更操作を適用すべき処理段階であると判
断した場合に、中間データ変更要求を発行する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号化鍵を用いて
平文の暗号化を行い暗号文を生成する暗号化装置および
復号鍵を用いて暗号文の復号を行い平文を生成する復号
装置ならびに暗号化装置と復号装置との機能を併有する
暗号化・復号装置に関する。なお、暗号化装置と復号装
置とは、それぞれの入力は異なるが構成や演算の内容は
同様であるので、以下では主に暗号化装置で代表させて
説明を行う。

【０００２】

【従来の技術】従来の暗号化装置は、入力装置と記憶装
置と暗号化処理装置と出力装置とから構成されており、
次のように動作する。

【０００３】すなわち、入力装置より暗号化処理装置に
平文が入力され、平文を入力した暗号化処理装置は暗号
化処理の中間段階で必要となる中間データを記憶装置に
格納しつつ、常に予め定められた一定の処理順序に従っ
て暗号化処理を行い、生成した暗号文を出力装置を通じ
て出力する。このとき、暗号化処理の開始時から特定の
暗号化中間処理手続きが開始されるまでに要する時間
は、おおよそ一定になる。

【０００４】なお、暗号アルゴリズムの実装方法につい
ては、『「ＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈ
ｙ」（ＢｒｕｃｅＳｈｎｅｉｅｒ著）ＪｏｈｎＷ
ｉｅｌｅｙ＆Ｓｏｎｓ，Ｉｎｃ．，１９９６，ＩＳ
ＢＮ０−４７１−１１７０９−９，ｐｐ．６２３−６
７３』に詳しく述べられている。

【０００５】

【発明が解決しようとする課題】上述した従来の技術に
よる暗号化装置には、電力解析（シンプル・パワー・ア
ナリシス）や電力差分解析（ディファレンシャル・パワ
ー・アナリシス）と呼ばれる暗号解析法が有効であると
いう問題が存在する。

【０００６】電力解析および電力差分解析は、現在のメ
モリやレジスタ等の半導体デバイスにおいて、特定の時
刻に当該半導体デバイスの保持する値に変化があった場
合に、当該時刻における消費電力が保持する値に変化が
なかった場合と比較して大きくなるという特徴を利用し
て、暗号化装置が平文の暗号化を行っている複数の時点
で暗号化装置が消費する電力を測定することにより、暗
号化装置が保持している秘密鍵（暗号化鍵）等の秘密情
報を特定する暗号解析法である。

【０００７】電力解析や電力差分解析が有効に機能する
条件としては、第１に消費電力を測定している各時点で
行われている暗号化処理手続きが特定できること、第２
に各時刻で測定した消費電力の値が当該時刻において暗
号化装置内で行われている暗号化処理の演算結果を顕著
に反映していること、の２点が挙げられる。

【０００８】従来の暗号化装置（復号装置および暗号化
・復号装置も同様）においては、上記の２点の条件が満
たされてしまうために、先に述べたように、電力解析や
電力差分解析が有効に機能し、暗号の解読が可能になり
うるという問題点が存在した。

【０００９】本発明の目的は、上述の点に鑑み、暗号化
処理（復号処理も同様）の処理過程において乱数依存の
状態変化を起こすことにより、消費電力を測定している
各時点で行われている暗号化処理手続きを特定すること
を困難にすることで、電力解析および電力差分解析等の
消費電力の測定による暗号解析に対して耐性のある暗号
化装置（同様な復号装置および暗号化・復号装置を含
む）を提供することにある。

【００１０】また、本発明の他の目的は、暗号化処理
（復号処理も同様）の処理過程において乱数依存の状態
変化を起こすことにより、各時刻で測定した消費電力の
値と当該時刻に暗号化装置内で行われている暗号化処理
との関連性を少なくすることで、電力解析および電力差
分解析等の消費電力の測定による暗号解析に対して耐性
のある暗号化装置（同様な復号装置および暗号化・復号
装置を含む）を提供することにある。

【００１１】なお、本発明に対する従来技術に関する特
許公報としては、特開平９−２３０７８６号公報および
特開平８−５０４０６７号公報がある。

【００１２】上述の特開平９−２３０７８６号公報に記
載された技術（データの暗号化方法及び装置）は、差分
解読や線形解読を防止するための技術であり、暗号化の
中間結果（本願発明における中間データ）を乱数には依
存させずに変化させ、暗号化鍵を乱数に依存して変化さ
せるものである。

【００１３】また、上述の特開平８−５０４０６７号公
報に記載された技術（暗号化通信装置内の改善された機
密性に関する方法および装置）は、電力遮断時等に、暗
号化装置内の揮発性メモリに格納された鍵情報を能動的
に消去し、電力供給再開時に同鍵情報をリロードするた
めの技術である。

【００１４】これらの技術や当該両技術を組み合わせた
技術では、最終的に出力される暗号文を乱数に依存しな
いようにすることは非常に困難である。これに対して、
本発明の暗号化装置は、乱数生成装置によって出力され
る乱数に依存しない暗号文を出力するという性質を持っ
ている（乱数に依存するのは中間データのみで、最終的
な出力である暗号文は乱数に依存しない）。この点で、
本発明は、上記の公報に記載された従来技術とは明確に
異なっている。

【００１５】

【課題を解決するための手段】本発明の暗号化装置は、
乱数を出力する乱数生成装置と、前記乱数生成装置から
出力される乱数を入力として、暗号化処理実行中に必要
な中間データを乱数に依存して変化させる乱数依存中間
データ変更操作を中間データ変更要求の発生時点で行
い、かつ当該乱数依存中間データ変更操作を複数回適用
することによって乱数の効果を相殺するように制御する
中間データ制御手段と、平文を入力とし、前記中間デー
タ制御手段による乱数依存中間データ変更操作に依存し
て状態を変化させつつ当該平文に対する暗号化処理を実
行し、当該平文を暗号化した暗号文であって前記乱数生
成装置の出力に依存しない暗号文を出力する暗号化演算
手段と、前記暗号化演算手段による暗号化処理の現在の
処理段階が乱数依存中間データ変更操作を適用すべき処
理段階であると判断した場合に、前記中間データ制御手
段に対する中間データ変更要求を発行する乱数依存性決
定手段とを有する。

【００１６】また、本発明の暗号化装置は、乱数を出力
する乱数生成装置と、前記乱数生成装置から出力される
乱数を入力として、暗号化処理手続きの実行順序を決定
することや複数の処理手続きの選択肢の中から実際に実
行される処理手続きを選択することを乱数に依存して行
う乱数依存条件分岐決定操作を条件分岐決定要求の発生
時点で行い、かつ暗号化演算手段の出力が乱数に依存し
ないように当該乱数依存条件分岐決定操作を制御する条
件分岐制御手段と、平文を入力とし、前記条件分岐制御
手段による乱数依存条件分岐決定操作に依存して状態を
変化させつつ当該平文に対する暗号化処理を実行し、当
該平文を暗号化した暗号文であって前記乱数生成装置の
出力に依存しない暗号文を出力する暗号化演算手段と、
前記暗号化演算手段による暗号化処理の現在の処理段階
が乱数依存条件分岐決定操作を適用すべき処理段階であ
ると判断した場合に、前記条件分岐制御手段に対する条
件分岐決定要求を発行する乱数依存性決定手段とを有す
るように構成することも可能である。

【００１７】さらに、本発明の暗号化装置は、乱数を出
力する乱数生成装置と、前記乱数生成装置から出力され
る乱数を入力として、暗号化処理中に意図的に挿入する
実行遅延の遅延時間の決定を乱数に依存して行う乱数依
存遅延挿入操作を遅延時間決定要求の発生時点で行う遅
延制御手段と、平文を入力とし、前記遅延制御手段によ
る乱数依存遅延挿入操作に依存して状態を変化させつつ
当該平文に対する暗号化処理を実行し、当該平文を暗号
化した暗号文であって前記乱数生成装置の出力に依存し
ない暗号文を出力する暗号化演算手段と、前記暗号化演
算手段による暗号化処理の処理段階が乱数依存遅延挿入
操作を適用すべき処理段階であると判断した場合に、前
記遅延制御手段に対する遅延時間決定要求を発行する乱
数依存性決定手段とを有するように構成することも可能
である。

【００１８】本発明の復号装置は、乱数を出力する乱数
生成装置と、前記乱数生成装置から出力される乱数を入
力として、復号処理実行中に必要な中間データを乱数に
依存して変化させる乱数依存中間データ変更操作を中間
データ変更要求の発生時点で行い、かつ当該乱数依存中
間データ変更操作を複数回適用することによって乱数の
効果を相殺するように制御する中間データ制御手段と、
暗号文を入力とし、前記中間データ制御手段による乱数
依存中間データ変更操作に依存して状態を変化させつつ
当該暗号文に対する復号処理を実行し、当該暗号文を復
号した平文であって前記乱数生成装置の出力に依存しな
い平文を出力する復号演算手段と、前記復号演算手段に
よる復号処理の現在の処理段階が乱数依存中間データ変
更操作を適用すべき処理段階であると判断した場合に、
前記中間データ制御手段に対する中間データ変更要求を
発行する乱数依存性決定手段とを有する。

【００１９】また、本発明の復号装置は、乱数を出力す
る乱数生成装置と、前記乱数生成装置から出力される乱
数を入力として、復号処理手続きの実行順序を決定する
ことや複数の処理手続きの選択肢の中から実際に実行さ
れる処理手続きを選択することを乱数に依存して行う乱
数依存条件分岐決定操作を条件分岐決定要求の発生時点
で行い、かつ復号演算手段の出力が乱数に依存しないよ
うに当該乱数依存条件分岐決定操作を制御する条件分岐
制御手段と、暗号文を入力とし、前記条件分岐制御手段
による乱数依存条件分岐決定操作に依存して状態を変化
させつつ当該暗号文に対する復号処理を実行し、当該暗
号文を復号した平文であって前記乱数生成装置の出力に
依存しない平文を出力する復号演算手段と、前記復号演
算手段による復号処理の現在の処理段階が乱数依存条件
分岐決定操作を適用すべき処理段階であると判断した場
合に、前記条件分岐制御手段に対する条件分岐決定要求
を発行する乱数依存性決定手段とを有するように構成す
ることも可能である。

【００２０】さらに、本発明の復号装置は、乱数を出力
する乱数生成装置と、前記乱数生成装置から出力される
乱数を入力として、復号処理中に意図的に挿入する実行
遅延の遅延時間の決定を乱数に依存して行う乱数依存遅
延挿入操作を遅延時間決定要求の発生時点で行う遅延制
御手段と、暗号文を入力とし、前記遅延制御手段による
乱数依存遅延挿入操作に依存して状態を変化させつつ当
該暗号文に対する復号処理を実行し、当該暗号文を復号
した平文であって前記乱数生成装置の出力に依存しない
平文を出力する復号演算手段と、前記復号演算手段によ
る復号処理の処理段階が乱数依存遅延挿入操作を適用す
べき処理段階であると判断した場合に、前記遅延制御手
段に対する遅延時間決定要求を発行する乱数依存性決定
手段とを有するように構成することも可能である。

【００２１】本発明の暗号化・復号装置は、乱数を出力
する乱数生成装置と、前記乱数生成装置から出力される
乱数を入力として、暗号化処理実行中および復号処理実
行中に必要な中間データを乱数に依存して変化させる乱
数依存中間データ変更操作を中間データ変更要求の発生
時点で行い、かつ当該乱数依存中間データ変更操作を複
数回適用することによって乱数の効果を相殺するように
制御する中間データ制御手段と、処理データおよび処理
内容を入力とし、前記中間データ制御手段による乱数依
存中間データ変更操作に依存して状態を変化させつつ暗
号化処理および復号処理を実行し、当該処理内容が暗号
化処理であった場合には当該処理データである平文を暗
号化した暗号文であって前記乱数生成装置の出力に依存
しない暗号文を出力し、当該処理内容が復号処理であっ
た場合には当該処理データである暗号文を復号した平文
であって前記乱数生成装置の出力に依存しない平文を出
力する暗号化・復号演算手段と、前記暗号化・復号演算
手段による暗号化処理および復号処理の現在の処理段階
が乱数依存中間データ変更操作を適用すべき処理段階で
あると判断した場合に、前記中間データ制御手段に対す
る中間データ変更要求を発行する乱数依存性決定手段と
を有する。

【００２２】また、本発明の暗号化・復号装置は、乱数
を出力する乱数生成装置と、前記乱数生成装置から出力
される乱数を入力として、暗号化処理手続きおよび復号
処理手続きの実行順序を決定することや複数の処理手続
きの選択肢の中から実際に実行される処理手続きを選択
することを乱数に依存して行う乱数依存条件分岐決定操
作を条件分岐決定要求の発生時点で行い、かつ暗号化・
復号演算手段の出力が乱数に依存しないように当該乱数
依存条件分岐決定操作を制御する条件分岐制御手段と、
処理データおよび処理内容を入力とし、前記条件分岐制
御手段による乱数依存条件分岐決定操作に依存して状態
を変化させつつ暗号化処理および復号処理を実行し、当
該処理内容が暗号化処理であった場合には当該処理デー
タである平文を暗号化した暗号文であって前記乱数生成
装置の出力に依存しない暗号文を出力し、当該処理内容
が復号処理であった場合には当該処理データである暗号
文を復号した平文であって前記乱数生成装置の出力に依
存しない平文を出力する暗号化・復号演算手段と、前記
暗号化・復号演算手段による暗号化処理および復号処理
の現在の処理段階が乱数依存条件分岐決定操作を適用す
べき処理段階であると判断した場合に、前記条件分岐制
御手段に対する条件分岐決定要求を発行する乱数依存性
決定手段とを有するように構成することも可能である。

【００２３】さらに、本発明の暗号化・復号装置は、乱
数を出力する乱数生成装置と、前記乱数生成装置から出
力される乱数を入力として、暗号化処理および復号処理
中に意図的に挿入する実行遅延の遅延時間の決定を乱数
に依存して行う乱数依存遅延挿入操作を遅延時間決定要
求の発生時点で行う遅延制御手段と、処理データおよび
処理内容を入力とし、前記遅延制御手段による乱数依存
遅延挿入操作に依存して状態を変化させつつ暗号化処理
および復号処理を実行し、当該処理内容が暗号化処理で
あった場合には当該処理データである平文を暗号化した
暗号文であって前記乱数生成装置の出力に依存しない暗
号文を出力し、当該処理内容が復号処理であった場合に
は当該処理データである暗号文を復号した平文であって
前記乱数生成装置の出力に依存しない平文を出力する暗
号化・復号演算手段と、前記暗号化・復号演算手段によ
る暗号化処理および復号処理の現在の処理段階が乱数依
存遅延挿入操作を適用すべき処理段階であると判断した
場合に、前記遅延制御手段に対する遅延時間決定要求を
発行する乱数依存性決定手段とを有するように構成する
ことも可能である。

【００２４】

【発明の実施の形態】次に、本発明について図面を参照
して詳細に説明する。

【００２５】（１）第１の実施の形態図１は、本発明の第１の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【００２６】本実施の形態に係る暗号化装置は、入力装
置１１０と、暗号化処理装置１２０と、記憶装置１３０
と、乱数生成装置１４０と、出力装置１５０とを含んで
構成されている。

【００２７】これらの装置は、それぞれ、概略次のよう
に動作する。

【００２８】入力装置１１０は、暗号化処理の対象とな
る平文を暗号化処理装置１２０に対して供給する。

【００２９】暗号化処理装置１２０は、乱数生成装置１
４０から出力される乱数と入力装置１１０より入力され
る平文とを入力として、当該平文を暗号化処理装置１２
０内部に格納された鍵（暗号化鍵）で暗号化した暗号文
を出力装置１５０から出力する。

【００３０】ここで、暗号化処理装置１２０は、暗号化
演算手段１２１と、乱数依存性決定手段１２２と、中間
データ制御手段１２３とを備えている。

【００３１】暗号化演算手段１２１は、入力装置１１０
を通して供給される平文を入力とし、暗号化演算手段１
２１に格納されている暗号化鍵を用いて当該平文の暗号
化を行う。暗号化演算手段１２１は、「中間データ制御
手段１２３による中間データ（中間データ記憶部１３１
に格納されているデータ）の乱数に依存した変更」を受
けて状態を変化させつつ暗号化処理（複数の処理段階に
よって形成される暗号化処理）を実行し、最終的に当該
平文を暗号化した暗号文を出力する。なお、暗号化演算
手段１２１は、暗号化処理実行中の複数の時点で、暗号
化演算手段１２１による暗号化処理の現在の処理段階を
乱数依存性決定手段１２２に送る（これにより、適切な
処理段階で乱数に依存した状態の変化を生じさせること
ができる）。

【００３２】乱数依存性決定手段１２２は、暗号化演算
手段１２１が出力する暗号化演算手段１２１の現在の処
理段階を入力として、当該処理段階に基づいて中間デー
タ制御手段１２３に中間データ変更要求を出力すべきか
否かを判断し、「中間データ変更要求の出力」を決定し
た場合（現在の処理段階が乱数に依存した操作を適用す
べき処理段階であると判断した場合）には中間データ制
御手段１２３に中間データ変更要求を出力する。

【００３３】中間データ制御手段１２３は、乱数依存性
決定手段１２２より出力される中間データ変更要求を入
力した場合に、乱数生成装置１４０に乱数要求信号を送
ることによって乱数を取得し、取得した乱数に依存して
中間データ記憶部１３１に格納された中間データを変化
させる操作（乱数依存中間データ変更操作）を行う。

【００３４】なお、中間データ制御手段１２３は、乱数
依存中間データ変更操作を複数回適用することによっ
て、乱数の効果を相殺するように構成されている。した
がって、最終的に出力される暗号文は、乱数生成手段１
４０から出力される乱数に依存しない。

【００３５】記憶装置１３０は、中間データ記憶部１３
１を備えている。

【００３６】中間データ記憶部１３１は、暗号化処理装
置１２０が行う暗号化処理中に保持する必要のある中間
データを格納する。なお、上記に示す通り、乱数依存性
決定手段１２２から中間データ制御手段１２３に中間デ
ータ変更要求があった場合には、中間データ記憶部１３
１に格納されている中間データは中間データ制御手段１
２３によって操作される。

【００３７】乱数生成装置１４０は、暗号化処理装置１
２０より乱数要求信号を受け取り、当該乱数要求信号に
基づいて暗号化処理装置１２０に乱数を出力する。

【００３８】図２は、本実施の形態に係る暗号化装置の
処理を示す流れ図である。この処理は、平文入力ステッ
プＡ１と、中間データ変更要求有無判定ステップＡ２
と、乱数出力ステップＡ３と、乱数依存中間データ変更
操作ステップＡ４と、暗号化処理一段階実行ステップＡ
５と、暗号化処理終了判定ステップＡ６と、暗号文出力
ステップＡ７とからなる。

【００３９】次に、図１および図２を参照して、本実施
の形態に係る暗号化装置の全体の動作について詳細に説
明する。

【００４０】まず、暗号化を行いたい平文が、入力装置
１１０から暗号化処理装置１２０内の暗号化演算手段１
２１に入力される（図２のステップＡ１）。

【００４１】暗号化演算手段１２１は、暗号化演算手段
１２１による暗号化処理の現在の処理段階を乱数依存性
決定手段１２２に出力する。

【００４２】乱数依存性決定手段１２２は、暗号化演算
手段１２１より受け取った暗号化演算手段１２１の処理
段階に関する情報を基に、現在の処理段階が中間データ
記憶部１３１に格納された中間データを乱数に依存して
変更する処理段階であるか否かの判断を行い、「乱数に
依存して中間データを変更する処理段階である」と判断
した場合には中間データ制御手段１２３に中間データ変
更要求を出力する。

【００４３】中間データ制御手段１２３は、乱数依存性
決定手段１２２からの中間データ変更要求があるか否か
を判定する（ステップＡ２）。

【００４４】中間データ制御手段１２３は、ステップＡ
２で「中間データ変更要求がある」と判定した場合に
は、当該中間データ変更要求を受け取り、乱数要求（乱
数要求信号）を乱数生成装置１４０に送り、当該乱数要
求信号に基づいて乱数生成装置１４０から出力された乱
数を得る（ステップＡ３）。

【００４５】乱数を受け取った中間データ制御手段１２
３は、記憶装置１３０内の中間データ記憶部１３１に格
納されている中間データ（暗号化処理手段１２１が暗号
化処理の中間段階において必要とするデータ）を受け取
った乱数に依存して変更する乱数依存中間データ変更操
作を行う（ステップＡ４）。

【００４６】暗号化演算手段１２１は、ステップＡ４の
乱数依存中間データ変更操作が終了した後に、またはス
テップＡ２で「中間データ変更要求がない」と判定した
場合に、暗号化処理を一段階実行する（ステップＡ
５）。

【００４７】暗号化演算手段１２１は、暗号化処理を一
段階実行したことで暗号化処理が終了したか否かを判定
する（ステップＡ６）。

【００４８】暗号化演算手段１２１は、ステップＡ６で
「暗号化処理を一段階実行したことで暗号化処理が終了
した」と判定した場合には、出力装置１５０に暗号文を
出力し（ステップＡ７）、全体の処理を終了させる。

【００４９】一方、暗号化演算手段１２１は、ステップ
Ａ６で「暗号化処理が終了していない」と判定した場合
（暗号化処理がまだ残されている場合）には、ステップ
Ａ２に制御を戻して暗号化処理を継続させる。

【００５０】次に、本実施の形態における効果について
説明する。

【００５１】本実施の形態では、暗号化処理の中間段階
で必要なデータ（中間データ）が乱数に依存して変化し
ているために、中間データ間の演算を行っている時点の
電力を測定することによって格納されている中間データ
の情報を引き出そうとしても、中間データの値が乱数に
よる影響を受けているために消費電力の変化が生じてい
るのか、実際の暗号化処理に必要なデータの影響によっ
て消費電力の変化が生じているのかを判断することが困
難になる。したがって、暗号化装置を電力解析や電力差
分解析による暗号解析に対して耐性があるようにするこ
とができる。

【００５２】（２）第２の実施の形態図３は、本発明の第２の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【００５３】図３を参照すると、本実施の形態に係る暗
号化装置は、入力装置３１０と、暗号化処理装置３２０
と、記憶装置３３０と、乱数生成装置３４０と、出力装
置３５０とを含んで構成されている。

【００５４】これらの装置は、それぞれ、概略次のよう
に動作する。

【００５５】入力装置３１０は、暗号化処理の対象とな
る平文を暗号化処理装置３２０に対して供給する。

【００５６】暗号化処理装置３２０は、乱数生成装置３
４０から出力される乱数と入力装置３１０より入力され
る平文とを入力として、当該平文を暗号化処理装置３２
０の内部に格納された鍵（暗号化鍵）で暗号化した暗号
文を出力装置３５０から出力する。

【００５７】ここで、暗号化処理装置３２０は、暗号化
演算手段３２１と、乱数依存性決定手段３２２と、条件
分岐制御手段３２３とを備えている。

【００５８】暗号化演算手段３２１は、入力装置３１０
を通して供給される平文を入力とし、暗号化演算手段３
２１に格納されている暗号化鍵を用いて当該平文の暗号
化を行う。暗号化演算手段３２１は、「条件分岐制御手
段３２３による命令実行順序（暗号化処理手続きの実行
順序）の決定および実行命令の選択（複数の処理手続き
の選択肢の中から実際に実行される処理手続きを選択す
ること）の乱数に依存した変更」を受けて状態を変化さ
せつつ暗号化処理（複数の処理段階によって形成される
暗号化処理）を実行し、最終的に当該平文を暗号化した
暗号文を出力する。なお、暗号化演算手段３２１は、暗
号化処理実行中の複数の時点で、暗号化演算手段３２１
による暗号化処理の現在の処理段階を乱数依存性決定手
段３２２に送る（これにより、適切な処理段階で乱数に
依存した状態の変化を生じさせることができる）。

【００５９】乱数依存性決定手段３２２は、暗号化演算
手段３２１が出力する暗号化演算手段３２１の現在の処
理段階を入力として、当該処理段階に基づいて条件分岐
制御手段３２３に条件分岐決定要求を出力すべきか否か
を判断し、「条件分岐決定要求の出力」を決定した場合
（現在の処理段階が乱数に依存した操作を適用すべき処
理段階であると判断した場合）には条件分岐制御手段３
２４に条件分岐決定要求を出力する。

【００６０】条件分岐制御手段３２３は、乱数依存性決
定手段３２２より出力される条件分岐決定要求を入力し
た場合に、乱数生成装置３４０に乱数要求信号を送るこ
とによって乱数を取得し、取得した乱数に依存して「実
行順序を交換しても暗号化演算手段３２１の出力が変化
しないような複数の暗号化処理手続きの実行順序の決
定」および「どの処理手続きを実行しても暗号化演算手
段３２１の出力が変化しないような複数の処理手続きの
選択肢の中からの実行処理手続き（実際に実行する暗号
化処理手続き）の選択」を行う操作（乱数依存条件分岐
決定操作）を行う。

【００６１】なお、条件分岐制御手段３２３は、前述の
ように暗号化演算手段３２１の出力が乱数に依存しない
ように乱数依存条件分岐決定操作を制御するように構成
されている。したがって、最終的に出力される暗号文
は、乱数生成手段３４０から出力される乱数に依存しな
い。

【００６２】記憶装置３３０は、中間データ記憶部３３
１を備えている。

【００６３】中間データ記憶部３３１は、暗号化処理装
置３２０が行う暗号化処理中に保持する必要のある中間
データを格納する。

【００６４】乱数生成装置３４０は、暗号化処理装置３
２０より乱数要求信号を受け取り、当該乱数要求信号に
基づいて暗号化処理装置３２０に乱数を出力する。

【００６５】図４は、本実施の形態に係る暗号化装置の
処理を示す流れ図である。この処理は、平文入力ステッ
プＢ１と、条件分岐決定要求有無判定ステップＢ２と、
乱数出力ステップＢ３と、乱数依存条件分岐決定操作ス
テップＢ４と、暗号化処理一段階実行ステップＢ５と、
暗号化処理終了判定ステップＢ６と、暗号文出力ステッ
プＢ７とからなる。

【００６６】次に、図３および図４を参照して、本実施
の形態に係る暗号化装置の全体の動作について詳細に説
明する。

【００６７】まず、暗号化を行いたい平文が、入力装置
３１０から暗号化処理装置３２０内の暗号化演算手段３
２１に入力される（図４のステップＢ１）。

【００６８】暗号化演算手段３２１は、暗号化演算手段
３２１における暗号化処理の現在の処理段階を乱数依存
性決定手段３２２に出力する。

【００６９】乱数依存性決定手段３２２は、暗号化演算
手段３２１より受け取った暗号化演算手段３２１の処理
段階に関する情報を基に、現在の処理段階が乱数に依存
した条件分岐の決定を行う処理段階であるか否かの判断
を行い、「乱数に依存した条件分岐の決定を行う処理段
階である」と判断した場合には条件分岐制御手段３２３
に条件分岐決定要求を出力する。

【００７０】条件分岐制御手段３２３は、乱数依存性決
定手段３２２からの条件分岐決定要求があるか否かを判
定する（ステップＢ２）。

【００７１】条件分岐制御手段３２３は、ステップＢ２
で「条件分岐決定要求がある」と判定した場合には、当
該条件分岐決定要求を受け取り、乱数要求（乱数要求信
号）を乱数生成装置３４０に送り、当該乱数要求信号に
基づいて乱数生成装置３４０から出力された乱数を得る
（ステップＢ３）。

【００７２】乱数を受け取った条件分岐制御手段３２３
は、受け取った乱数に依存して出力結果が同一となる複
数の処理手続きの中から実際に行う処理手続きを選択等
する乱数依存条件分岐決定操作を行う（ステップＢ
４）。

【００７３】暗号化演算手段３２１は、ステップＢ４の
乱数依存条件分岐決定操作が終了した後に、またはステ
ップＢ２で「条件分岐決定要求がない」と判定した場合
には、暗号化処理を一段階実行する（ステップＢ５）。

【００７４】暗号化演算手段３２１は、暗号化を一段階
実行したことで暗号化処理が終了したか否かを判定する
（ステップＢ６）。

【００７５】暗号化演算手段３２１は、ステップＢ６で
「暗号化を一段階実行したことで暗号化処理が終了し
た」と判定した場合には、出力装置３５０に暗号文を出
力し（ステップＢ７）、全体の処理を終了させる。

【００７６】一方、暗号化演算手段３２１は、ステップ
Ｂ６で「暗号化処理が終了していない」と判定した場合
（暗号化処理がまだ残されている場合）には、ステップ
Ｂ２に制御を戻して暗号化処理を継続させる。

【００７７】次に、本実施の形態における効果について
説明する。

【００７８】本実施の形態では、乱数によって実行され
る暗号化処理の順序や種類が変化するために、特定の時
刻に着目しても当該時刻において暗号化処理装置３２０
の内部で行われている処理が乱数によって異なってお
り、消費電力の変化を観測しても当該消費電力の変化が
どの暗号化処理に対応しているのかを判断することが困
難になる。したがって、暗号化装置を電力解析や電力差
分解析による暗号解析に対して耐性があるようにするこ
とができる。

【００７９】（３）第３の実施の形態図５は、本発明の第３の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【００８０】図５を参照すると、本発明の実施の形態に
係る暗号化装置は、入力装置５１０と、暗号化処理装置
５２０と、記憶装置５３０と、乱数生成装置５４０と、
出力装置５５０とを含んで構成されている。

【００８１】これらの装置は、それぞれ、概略次のよう
に動作する。

【００８２】入力装置５１０は、暗号化処理の対象とな
る平文を暗号化処理装置５２０に対して供給する。

【００８３】暗号化処理装置５２０は、乱数生成装置５
４０から出力される乱数と入力装置５１０より入力され
る平文とを入力として、当該平文を暗号化処理装置５２
０の内部に格納された鍵（暗号化鍵）で暗号化した暗号
文を出力装置５５０から出力する。

【００８４】ここで、暗号化処理装置５２０は、暗号化
演算手段５２１と、乱数依存性決定手段５２２と、遅延
制御手段５２３とを備えている。

【００８５】暗号化演算手段５２１は、入力装置５１０
を通して供給される平文を入力とし、暗号化演算手段５
２１に格納されている暗号化鍵を用いて当該平文の暗号
化を行う。暗号化演算手段５２１は、「遅延制御手段５
２３による実行遅延時間の決定の乱数に依存した変更」
を受けて状態を変化させつつ暗号化処理（複数の処理段
階によって形成される暗号化処理）を実行し、最終的に
当該平文を暗号化した暗号文を出力する。なお、暗号化
演算手段５２１は、暗号化処理実行中の複数の時点で、
暗号化演算手段５２１による暗号化処理の現在の処理段
階を乱数依存性決定手段５２２に送る（これにより、適
切な処理段階で乱数に依存した状態の変化を生じさせる
ことができる）。

【００８６】乱数依存性決定手段５２２は、暗号化演算
手段５２１が出力する暗号化演算手段５２１の現在の処
理段階を入力として、当該処理段階に基づいて遅延制御
手段５２３に遅延時間決定要求を出力すべきか否かを判
断し、「遅延時間決定要求の出力」を決定した場合（現
在の処理段階が乱数に依存した操作を適用すべき処理段
階であると判断した場合）には遅延制御手段５２３に遅
延時間決定要求を出力する。

【００８７】遅延制御手段５２３は、乱数依存性決定手
段５２２より出力される遅延時間決定要求を入力した場
合に、乱数生成装置５４０に乱数要求信号を送ることに
よって乱数を取得し、取得した乱数に依存して暗号化処
理中に意図的に発生させる実行遅延の遅延時間を決定し
て当該遅延を挿入する操作（乱数依存遅延挿入操作）を
行う。

【００８８】なお、遅延制御手段５２３は、暗号化演算
手段５２１の処理に取得した乱数に応じた遅延を挿入す
る操作を行うように構成されており、遅延の挿入は暗号
化に必要なデータにまったく乱数の影響をおよぼさな
い。したがって、最終的に出力される暗号文は、乱数生
成手段５４０から出力される乱数に依存しない。

【００８９】記憶装置５３０は、中間データ記憶部５３
１を備えている。

【００９０】中間データ記憶部５３１は、暗号化処理装
置５２０が行う暗号化処理中に保持する必要のある中間
データを格納する。

【００９１】乱数生成装置５４０は、暗号化処理装置５
２０より乱数要求信号を受け取り、当該乱数要求信号に
基づいて暗号化処理装置５２０に乱数を出力する。

【００９２】図６は、本実施の形態に係る暗号化装置の
処理を示す流れ図である。この処理は、平文入力ステッ
プＣ１と、遅延時間決定要求有無判定ステップＣ２と、
乱数出力ステップＣ３と、乱数依存遅延挿入操作ステッ
プＣ４と、暗号化処理一段階実行ステップＣ５と、暗号
化処理終了判定ステップＣ６と、暗号文出力ステップＣ
７とからなる。。

【００９３】次に、図５および図６を参照して、本実施
の形態に係る暗号化装置の全体の動作について詳細に説
明する。

【００９４】まず、暗号化を行いたい平文が、入力装置
５１０から暗号化処理装置５２０内の暗号化演算手段５
２１に入力される（図６のステップＣ１）。

【００９５】暗号化演算手段５２１は、暗号化演算手段
５２１における暗号化処理の現在の処理段階を乱数依存
性決定手段５２２に出力する。

【００９６】乱数依存性決定手段５２２は、暗号化演算
手段５２１より受け取った暗号化演算手段５２１の処理
段階に関する情報を基に、現在の処理段階が乱数に依存
した遅延を挿入する処理段階（当該遅延の遅延時間を決
定する処理段階）であるか否かの判断を行い、「乱数に
依存した遅延を挿入する処理段階である」と判断した場
合には遅延制御手段５２３に遅延時間決定要求を出力す
る。

【００９７】遅延制御手段５２３は、乱数依存性決定手
段５２２からの遅延時間決定要求があるか否かを判定す
る（ステップＣ２）。

【００９８】遅延制御手段５２３は、ステップＣ２で
「遅延時間決定要求がある」と判定した場合には、当該
遅延時間決定要求を受け取り、乱数要求（乱数要求信
号）を乱数生成装置５４０に送り、当該乱数要求信号に
基づいて乱数生成装置５４０から出力された乱数を得る
（ステップＣ３）。

【００９９】乱数を受け取った遅延制御手段５２３は、
受け取った乱数に依存して遅延時間を決定し、決定した
遅延時間の実行遅延を暗号化処理中に意図的に挿入する
（ステップＣ４）。

【０１００】暗号化演算手段５２１は、ステップＣ４の
乱数依存遅延挿入操作が終了した後に、またはステップ
Ｂ２で「乱数依存遅延時間決定要求がない」と判定した
場合には、暗号化処理を一段階実行する（ステップＣ
５）。

【０１０１】暗号化演算手段５２１は、暗号化を一段階
実行したことで暗号化処理が終了したか否かを判定する
（ステップＣ６）。

【０１０２】暗号化演算手段５２１は、ステップＣ６で
「暗号化を一段階実行したことで暗号化処理が終了し
た」と判定した場合には、出力装置５５０に暗号文を出
力し（ステップＣ７）、全体の処理を終了させる。

【０１０３】一方、暗号化演算手段５２１は、ステップ
Ｃ６で「暗号化処理が終了していない」と判定した場合
（暗号化処理がまだ残されている場合）には、ステップ
Ｃ２に制御を戻して暗号化処理を継続させる。

【０１０４】次に、本実施の形態における効果について
説明する。

【０１０５】本実施の形態では、乱数に依存した遅延時
間の実行遅延が適宜挿入されるために、暗号解析に有用
となる処理が行われている時刻が絶えず変化し、どの時
刻の消費電力の変化に着目すれば効率的に暗号解析に必
要な情報を得ることができるのかを特定することが困難
になる。したがって、暗号化装置を電力解析や電力差分
解析による暗号解析に対して耐性があるようにすること
ができる。

【０１０６】なお、上述の第１，第２，および第３の実
施の形態に係る暗号化装置においては、暗号化鍵が予め
暗号化演算手段（図１中の暗号化演算手段１２１，図３
中の暗号化演算手段３２１，および図５中の暗号化演算
手段５２１）に格納されていた。

【０１０７】しかし、入力装置（図１中の入力装置１１
０，図３中の入力装置３１０，および図５中の入力装置
５１０）から暗号化演算手段に暗号化鍵を入力するよう
に、上記の暗号化装置を構成することも可能である。こ
の場合には、暗号化鍵を入力された暗号化演算手段は、
その後に入力される１つまたは複数の平文の暗号化を当
該暗号化鍵を用いて行い、暗号文を出力する。

【０１０８】上記のような構成を採用すると、暗号化鍵
を外部から入力するようにできるため、暗号化演算手段
自体を変更せずに暗号化鍵の更新を容易に行うことがで
きるようになる。

【０１０９】また、上述の第１，第２，および第３の実
施の形態に係る暗号化装置においては、乱数生成装置
（図１中の乱数生成装置１４０，図３中の乱数生成装置
３４０，および図５中の乱数生成装置５４０）から出力
される乱数を、入力装置から暗号化処理装置（図１中の
暗号化処理装置１２０，図３中の暗号化処理装置３２
０，および図５中の暗号化処理装置５２０）に入力され
るデータ（平文）そのものまたは当該データに依存した
データとすることも可能である。

【０１１０】このように平文を「乱数」として使用する
ことが可能かつ有効になるのは、現在提案されている電
力解析および電力差分解析では暗号文と消費電力とのみ
から暗号解析が行われており、平文のデータは暗号解析
に使用されていないため、平文を乱数として利用するこ
とができるからである。なお、乱数として「平文に依存
したデータ」を用いるということは、例えば入力装置に
入力される平文を暗号化鍵とは別の「乱数出力用鍵」で
暗号化し、その暗号化の出力を乱数として利用するとい
う暗号化装置も、本発明に含まれることになる。

【０１１１】（４）第４の実施の形態図７は、本発明の第４の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【０１１２】図７を参照すると、本発明の第４の実施の
形態に係る暗号化装置は、図１に示した第１の実施の形
態に係る暗号化装置に対して、暗号化処理プログラムを
記録した記録媒体７００を備える点が異なっている。こ
の記録媒体７００は、磁気ディスク，半導体メモリ，Ｃ
Ｄ−ＲＯＭ（ＣｏｍｐａｃｔＤｉｓｋ−ＲｅａｄＯｎ
ｌｙＭｅｍｏｒｙ），その他の記録媒体であってよ
い。

【０１１３】暗号化処理プログラムは、記録媒体７００
からコンピュータシステム（入力装置１１０，暗号化処
理装置１２０，記憶装置１３０，乱数生成装置１４０，
および出力装置１５０を備えるコンピュータシステム）
に読み込まれ、当該コンピュータシステムの動作を入力
装置１１０，暗号化処理装置１２０（暗号化演算手段１
２１，乱数依存性決定手段１２２，および中間データ制
御手段１２３），記憶装置１３０（中間データ記憶部１
３１），乱数生成装置１４０，および出力装置１５０と
して制御する。暗号化処理プログラムの制御による入力
装置１１０，暗号化処理装置１２０，記憶装置１３０，
乱数生成装置１４０，および出力装置１５０の動作は、
第１の実施の形態における入力装置１１０，暗号化処理
装置１２０，記憶装置１３０，乱数生成装置１４０，お
よび出力装置１５０の動作と全く同様になるので、その
詳しい説明を割愛する。

【０１１４】（５）第５の実施の形態図８は、本発明の第５の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【０１１５】図８を参照すると、本発明の第５の実施の
形態に係る暗号化装置は、図３に示した第２の実施の形
態に係る暗号化装置に対して、暗号化処理プログラムを
記録した記録媒体８００を備える点が異なっている。こ
の記録媒体８００は、磁気ディスク，半導体メモリ，Ｃ
Ｄ−ＲＯＭ，その他の記録媒体であってよい。

【０１１６】暗号化処理プログラムは、記録媒体８００
からコンピュータシステム（入力装置３１０，暗号化処
理装置３２０，記憶装置３３０，乱数生成装置３４０，
および出力装置３５０を備えるコンピュータシステム）
に読み込まれ、当該コンピュータシステムの動作を入力
装置３１０，暗号化処理装置３２０（暗号化演算手段３
２１，乱数依存性決定手段３２２，および条件分岐制御
手段３２３），記憶装置３３０（中間データ記憶部３３
１），乱数生成装置３４０，および出力装置３５０とし
て制御する。暗号化処理プログラムの制御による入力装
置３１０，暗号化処理装置３２０，記憶装置３３０，乱
数生成装置３４０，および出力装置３５０の動作は、第
２の実施の形態における入力装置３１０，暗号化処理装
置３２０，記憶装置３３０，乱数生成装置３４０，およ
び出力装置３５０の動作と全く同様になるので、その詳
しい説明を割愛する。

【０１１７】（６）第６の実施の形態図９は、本発明の第６の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【０１１８】図９を参照すると、本発明の第６の実施の
形態に係る暗号化装置は、図５に示した第３の実施の形
態に係る暗号化装置に対して、暗号化処理プログラムを
記録した記録媒体９００を備える点が異なっている。こ
の記録媒体９００は、磁気ディスク，半導体メモリ，Ｃ
Ｄ−ＲＯＭ，その他の記録媒体であってよい。

【０１１９】暗号化処理プログラムは、記録媒体９００
からコンピュータシステム（入力装置５１０，暗号化処
理装置５２０，記憶装置５３０，乱数生成装置５４０，
および出力装置５５０を備えるコンピュータシステム）
に読み込まれ、当該コンピュータシステムの動作を入力
装置５１０，暗号化処理装置５２０（暗号化演算手段５
２１，乱数依存性決定手段５２２，および遅延制御手段
５２３），記憶装置５３０（中間データ記憶部５３
１），乱数生成装置５４０，および出力装置５５０とし
て制御する。暗号化処理プログラムの制御による入力装
置５１０，暗号化処理装置５２０，記憶装置５３０，乱
数生成装置５４０，および出力装置５５０の動作は、第
３の実施の形態における入力装置５１０，暗号化処理装
置５２０，記憶装置５３０，乱数生成装置５４０，およ
び出力装置５５０の動作と全く同様になるので、その詳
しい説明を割愛する。

【０１２０】（７）第７の実施の形態図１０は、本発明の第７の実施の形態に係る復号装置の
構成を示すブロック図である。

【０１２１】図１０を参照すると、本実施の形態に係る
復号装置は、入力装置１０１０と、復号演算手段１０２
１，乱数依存性決定手段１０２２，および中間データ制
御手段１０２３を備える復号処理装置１０２０と、中間
データ記憶部１０３１を備える記憶装置１０３０と、乱
数生成装置１０４０と、出力装置１０５０とを含んで構
成されている。

【０１２２】本実施の形態に係る復号装置は、第１の実
施の形態に係る暗号化装置と同様に、入力装置，復号処
理装置（暗号化処理装置に該当する），記憶装置，乱数
生成装置，および出力装置を備えている。ここで、第１
の実施の形態では、入力装置１１０からは平文が入力さ
れ、暗号化処理装置１２０が暗号化鍵を用いて平文の暗
号化を行い、出力装置１５０から暗号文が出力されてい
た。これに対し、本実施の形態では、入力装置１０１０
からは暗号文が入力され、復号処理装置１０２０が復号
鍵を用いて暗号文の復号を行い、出力装置１０５０から
平文が出力される。上記の点で、本実施の形態に係る復
号装置は第１の実施の形態に係る暗号化装置と異なって
いる（それ以外の構成や動作は同様である）。

【０１２３】（８）第８の実施の形態図１１は、本発明の第８の実施の形態に係る復号装置の
構成を示すブロック図である。

【０１２４】図１１を参照すると、本実施の形態に係る
復号装置は、入力装置１１１０と、復号演算手段１１２
１，乱数依存性決定手段１１２２，および条件分岐制御
手段１１２３を備える復号処理装置１１２０と、中間デ
ータ記憶部１１３１を備える記憶装置１１３０と、乱数
生成装置１１４０と、出力装置１１５０とを含んで構成
されている。

【０１２５】本実施の形態に係る復号装置は、第２の実
施の形態に係る暗号化装置と同様に、入力装置，復号処
理装置（暗号化処理装置に該当する），記憶装置，乱数
生成装置，および出力装置を備えている。ここで、第２
の実施の形態では、入力装置３１０からは平文が入力さ
れ、暗号化処理装置３２０が暗号化鍵を用いて平文の暗
号化を行い、出力装置３５０から暗号文が出力されてい
た。これに対し、本実施の形態では、入力装置１１１０
からは暗号文が入力され、復号処理装置１１２０が復号
鍵を用いて暗号文の復号を行い、出力装置１１５０から
平文が出力される。上記の点で、本実施の形態に係る復
号装置は第２の実施の形態に係る暗号化装置と異なって
いる（それ以外の構成や動作は同様である）。

【０１２６】（９）第９の実施の形態図１２は、本発明の第９の実施の形態に係る復号装置の
構成を示すブロック図である。

【０１２７】図１２を参照すると、本実施の形態に係る
復号装置は、入力装置１２１０と、復号演算手段１２２
１，乱数依存性決定手段１２２２，および遅延制御手段
１２２３を備える復号処理装置１２２０と、中間データ
記憶部１２３１を備える記憶装置１２３０と、乱数生成
装置１２４０と、出力装置１２５０とを含んで構成され
ている。

【０１２８】本実施の形態に係る復号装置は、第３の実
施の形態に係る暗号化装置と同様に、入力装置，復号処
理装置（暗号化処理装置に該当する），記憶装置，乱数
生成装置，および出力装置を備えている。ここで、第３
の実施の形態では、入力装置５１０からは平文が入力さ
れ、暗号化処理装置５２０が暗号化鍵を用いて平文の暗
号化を行い、出力装置５５０から暗号文が出力されてい
た。これに対し、本実施の形態では、入力装置１２１０
からは暗号文が入力され、復号処理装置１２２０が復号
鍵を用いて暗号文の復号を行い、出力装置１２５０から
平文が出力される。上記の点で、本実施の形態に係る復
号装置は第３の実施の形態に係る暗号化装置と異なって
いる（それ以外の構成や動作は同様である）。

【０１２９】なお、上述の第７，第８，および第９の実
施の形態に係る復号装置においては、入力装置（図１０
中の入力装置１０１０，図１１中の入力装置１１１０，
および図１２中の入力装置１２１０）から復号演算手段
（図１０中の復号演算手段１０２１，図１１中の復号演
算手段１１２１，および図１２中の復号演算手段１２２
１）に復号鍵を入力するように構成することも可能であ
る。

【０１３０】また、上述の第７，第８，および第９の実
施の形態に係る復号装置においては、乱数生成装置（図
１０中の乱数生成装置１０４０，図１１中の乱数生成装
置１１４０，および図１２中の乱数生成装置１２４０）
から出力される乱数を、入力装置から復号処理装置（図
１０中の復号処理装置１０２０，図１１中の復号処理装
置１１２０，および図１２中の復号処理装置１２２０）
に入力されるデータ（暗号文）そのものまたは当該デー
タに依存したデータとすることも可能である。

【０１３１】（１０）第１０の実施の形態図１３は、本発明の第１０の実施の形態に係る復号装置
の構成を示すブロック図である。

【０１３２】図１３を参照すると、本発明の第１０の実
施の形態に係る復号装置は、図１０に示した第７の実施
の形態に係る復号装置に対して、復号処理プログラムを
記録した記録媒体１３００を備える点が異なっている。
この記録媒体１３００は、磁気ディスク，半導体メモ
リ，ＣＤ−ＲＯＭ，その他の記録媒体であってよい。

【０１３３】復号処理プログラムは、記録媒体１３００
からコンピュータシステム（入力装置１０１０，復号処
理装置１０２０，記憶装置１０３０，乱数生成装置１０
４０，および出力装置１０５０を備えるコンピュータシ
ステム）に読み込まれ、当該コンピュータシステムの動
作を入力装置１０１０，復号処理装置１０２０（復号演
算手段１０２１，乱数依存性決定手段１０２２，および
中間データ制御手段１０２３），記憶装置１０３０（中
間データ記憶部１０３１），乱数生成装置１０４０，お
よび出力装置１０５０として制御する。復号処理プログ
ラムの制御による入力装置１０１０，復号処理装置１０
２０，記憶装置１０３０，乱数生成装置１０４０，およ
び出力装置１０５０の動作は、第７の実施の形態におけ
る入力装置１０１０，復号処理装置１０２０，記憶装置
１０３０，乱数生成装置１０４０，および出力装置１０
５０の動作と全く同様になるので、その詳しい説明を割
愛する。

【０１３４】（１１）第１１の実施の形態図１４は、本発明の第１１の実施の形態に係る復号装置
の構成を示すブロック図である。

【０１３５】図１４を参照すると、本発明の第１１の実
施の形態に係る復号装置は、図１１に示した第８の実施
の形態に係る復号装置に対して、復号処理プログラムを
記録した記録媒体１４００を備える点が異なっている。
この記録媒体１４００は、磁気ディスク，半導体メモ
リ，ＣＤ−ＲＯＭ，その他の記録媒体であってよい。

【０１３６】復号処理プログラムは、記録媒体１４００
からコンピュータシステム（入力装置１１１０，復号処
理装置１１２０，記憶装置１１３０，乱数生成装置１１
４０，および出力装置１１５０を備えるコンピュータシ
ステム）に読み込まれ、当該コンピュータシステムの動
作を入力装置１１１０，復号処理装置１１２０（復号演
算手段１１２１，乱数依存性決定手段１１２２，および
条件分岐制御手段１１２３），記憶装置１１３０（中間
データ記憶部１１３１），乱数生成装置１１４０，およ
び出力装置１１５０として制御する。復号処理プログラ
ムの制御による入力装置１１１０，復号処理装置１１２
０，記憶装置１１３０，乱数生成装置１１４０，および
出力装置１１５０の動作は、第８の実施の形態における
入力装置１１１０，復号処理装置１１２０，記憶装置１
１３０，乱数生成装置１１４０，および出力装置１１５
０の動作と全く同様になるので、その詳しい説明を割愛
する。

【０１３７】（１２）第１２の実施の形態図１５は、本発明の第１２の実施の形態に係る復号装置
の構成を示すブロック図である。

【０１３８】図１５を参照すると、本発明の第１２の実
施の形態に係る復号装置は、図１２に示した第９の実施
の形態に係る復号装置に対して、復号処理プログラムを
記録した記録媒体１５００を備える点が異なっている。
この記録媒体１５００は、磁気ディスク，半導体メモ
リ，ＣＤ−ＲＯＭ，その他の記録媒体であってよい。

【０１３９】復号処理プログラムは、記録媒体１５００
からコンピュータシステム（入力装置１２１０，復号処
理装置１２２０，記憶装置１２３０，乱数生成装置１２
４０，および出力装置１２５０を備えるコンピュータシ
ステム）に読み込まれ、当該コンピュータシステムの動
作を入力装置１２１０，復号処理装置１２２０（復号演
算手段１２２１，乱数依存性決定手段１２２２，および
遅延制御手段１２２３），記憶装置１２３０（中間デー
タ記憶部１２３１），乱数生成装置１２４０，および出
力装置１２５０として制御する。復号処理プログラムの
制御による入力装置１２１０，復号処理装置１２２０，
記憶装置１２３０，乱数生成装置１２４０，および出力
装置１２５０の動作は、第９の実施の形態における入力
装置１２１０，復号処理装置１２２０，記憶装置１２３
０，乱数生成装置１２４０，および出力装置１２５０の
動作と全く同様になるので、その詳しい説明を割愛す
る。

【０１４０】（１３）第１３の実施の形態図１６は、本発明の第１３の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【０１４１】図１６を参照すると、本実施の形態に係る
暗号化・復号装置は、入力装置１６１０と、暗号化・復
号演算手段１６２１，乱数依存性決定手段１６２２，お
よび中間データ制御手段１６２３を備える暗号化・復号
処理装置１６２０と、中間データ記憶部１６３１を備え
る記憶装置１６３０と、乱数生成装置１６４０と、出力
装置１６５０とを含んで構成されている。

【０１４２】本実施の形態に係る暗号化・復号装置は、
第１の実施の形態に係る暗号化装置の機能と第７の実施
の形態に係る復号装置の機能とを併有している。ここ
で、入力装置１６１０，乱数依存性決定手段１６２２，
中間データ制御手段１６２３，記憶装置１６３０，乱数
生成装置１６４０，および出力装置１６５０は、第１の
実施の形態や第７の実施における同名の構成要素と同様
のものである。

【０１４３】暗号化・復号演算手段１６２１は、処理デ
ータおよび処理内容を入力とし、中間データ制御手段１
６２３による乱数依存中間データ変更操作に依存して状
態を変化させつつ暗号化処理および復号処理を実行し、
当該処理内容が暗号化処理であった場合には当該処理デ
ータである平文を暗号化した暗号文であって乱数生成装
置１６４０の出力に依存しない暗号文を出力し、当該処
理内容が復号処理であった場合には当該処理データであ
る暗号文を復号した平文であって乱数生成装置１６４０
の出力に依存しない平文を出力する。

【０１４４】（１４）第１４の実施の形態図１７は、本発明の第１４の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【０１４５】図１７を参照すると、本実施の形態に係る
暗号化・復号装置は、入力装置１７１０と、暗号化・復
号演算手段１７２１，乱数依存性決定手段１７２２，お
よび条件分岐制御手段１７２３を備える暗号化・復号処
理装置１７２０と、中間データ記憶部１７３１を備える
記憶装置１７３０と、乱数生成装置１７４０と、出力装
置１７５０とを含んで構成されている。

【０１４６】本実施の形態に係る暗号化・復号装置は、
第２の実施の形態に係る暗号化装置の機能と第８の実施
の形態に係る復号装置の機能とを併有している。ここ
で、入力装置１７１０，乱数依存性決定手段１７２２，
条件分岐制御手段１７２３，記憶装置１７３０，乱数生
成装置１７４０，および出力装置１７５０は、第２の実
施の形態や第８の実施における同名の構成要素と同様の
ものである。

【０１４７】暗号化・復号演算手段１７２１は、処理デ
ータおよび処理内容を入力とし、条件分岐制御手段１７
２３による乱数依存条件分岐決定操作に依存して状態を
変化させつつ暗号化処理および復号処理を実行し、当該
処理内容が暗号化処理であった場合には当該処理データ
である平文を暗号化した暗号文であって乱数生成装置１
７４０の出力に依存しない暗号文を出力し、当該処理内
容が復号処理であった場合には当該処理データである暗
号文を復号した平文であって乱数生成装置１７４０の出
力に依存しない平文を出力する。

【０１４８】（１５）第１５の実施の形態図１８は、本発明の第１５の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【０１４９】図１８を参照すると、本実施の形態に係る
暗号化・復号装置は、入力装置１８１０と、暗号化・復
号演算手段１８２１，乱数依存性決定手段１８２２，お
よび遅延制御手段１８２３を備える暗号化・復号処理装
置１８２０と、中間データ記憶部１８３１を備える記憶
装置１８３０と、乱数生成装置１８４０と、出力装置１
８５０とを含んで構成されている。

【０１５０】本実施の形態に係る暗号化・復号装置は、
第３の実施の形態に係る暗号化装置の機能と第９の実施
の形態に係る復号装置の機能とを併有している。ここ
で、入力装置１８１０，乱数依存性決定手段１８２２，
遅延制御手段１８２３，記憶装置１８３０，乱数生成装
置１８４０，および出力装置１８５０は、第３の実施の
形態や第９の実施における同名の構成要素と同様のもの
である。

【０１５１】暗号化・復号演算手段１８２１は、処理デ
ータおよび処理内容を入力とし、遅延制御手段１８２３
による乱数依存遅延挿入操作に依存して状態を変化させ
つつ暗号化処理および復号処理を実行し、当該処理内容
が暗号化処理であった場合には当該処理データである平
文を暗号化した暗号文であって乱数生成装置１８４０の
出力に依存しない暗号文を出力し、当該処理内容が復号
処理であった場合には当該処理データである暗号文を復
号した平文であって乱数生成装置１８４０の出力に依存
しない平文を出力する。

【０１５２】なお、上述の第１３，第１４，および第１
５の実施の形態に係る暗号化・復号装置においては、入
力装置（図１６中の入力装置１６１０，図１７中の入力
装置１７１０，および図１８中の入力装置１８１０）か
ら暗号化・復号演算手段（図１６中の暗号化・復号演算
手段１６２１，図１７中の暗号化・復号演算手段１７２
１，および図１８中の暗号化・復号演算手段１８２１）
に暗号化鍵および復号鍵を入力するように構成すること
も可能である。

【０１５３】また、上述の第１３，第１４，および第１
５の実施の形態に係る暗号化・復号装置においては、乱
数生成装置（図１６中の乱数生成装置１６４０，図１７
中の乱数生成装置１７４０，および図１８中の乱数生成
装置１８４０）から出力される乱数を、入力装置から暗
号化・復号処理装置（図１６中の暗号化・復号処理装置
１６２０，図１７中の暗号化・復号処理装置１７２０，
および図１８中の暗号化・復号処理装置１８２０）に入
力されるデータ（暗号文または平文）そのものまたは当
該データに依存したデータとすることも可能である。

【０１５４】（１６）第１６の実施の形態図１９は、本発明の第１６の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【０１５５】図１９を参照すると、本発明の第１６の実
施の形態に係る暗号化・復号装置は、図１６に示した第
１３の実施の形態に係る暗号化・復号装置に対して、暗
号化・復号処理プログラムを記録した記録媒体１９００
を備える点が異なっている。この記録媒体１９００は、
磁気ディスク，半導体メモリ，ＣＤ−ＲＯＭ，その他の
記録媒体であってよい。

【０１５６】暗号化・復号処理プログラムは、記録媒体
１９００からコンピュータシステム（入力装置１６１
０，暗号化・復号処理装置１６２０，記憶装置１６３
０，乱数生成装置１６４０，および出力装置１６５０を
備えるコンピュータシステム）に読み込まれ、当該コン
ピュータシステムの動作を入力装置１６１０，暗号化・
復号処理装置１６２０（暗号化・復号演算手段１６２
１，乱数依存性決定手段１６２２，および中間データ制
御手段１６２３），記憶装置１６３０（中間データ記憶
部１６３１），乱数生成装置１６４０，および出力装置
１６５０として制御する。暗号化・復号処理プログラム
の制御による入力装置１６１０，暗号化・復号処理装置
１６２０，記憶装置１６３０，乱数生成装置１６４０，
および出力装置１６５０の動作は、第１３の実施の形態
における入力装置１６１０，暗号化・復号処理装置１６
２０，記憶装置１６３０，乱数生成装置１６４０，およ
び出力装置１６５０の動作と全く同様になるので、その
詳しい説明を割愛する。

【０１５７】（１７）第１７の実施の形態図２０は、本発明の第１７の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【０１５８】図２０を参照すると、本発明の第１７の実
施の形態に係る暗号化・復号装置は、図１７に示した第
１４の実施の形態に係る暗号化・復号装置に対して、暗
号化・復号処理プログラムを記録した記録媒体２０００
を備える点が異なっている。この記録媒体２０００は、
磁気ディスク，半導体メモリ，ＣＤ−ＲＯＭ，その他の
記録媒体であってよい。

【０１５９】暗号化・復号処理プログラムは、記録媒体
２０００からコンピュータシステム（入力装置１７１
０，暗号化・復号処理装置１７２０，記憶装置１７３
０，乱数生成装置１７４０，および出力装置１７５０を
備えるコンピュータシステム）に読み込まれ、当該コン
ピュータシステムの動作を入力装置１７１０，暗号化・
復号処理装置１７２０（暗号化・復号演算手段１７２
１，乱数依存性決定手段１７２２，および条件分岐制御
手段１７２３），記憶装置１７３０（中間データ記憶部
１７３１），乱数生成装置１７４０，および出力装置１
７５０として制御する。暗号化・復号処理プログラムの
制御による入力装置１７１０，暗号化・復号処理装置１
７２０，記憶装置１７３０，乱数生成装置１７４０，お
よび出力装置１７５０の動作は、第１４の実施の形態に
おける入力装置１７１０，暗号化・復号処理装置１７２
０，記憶装置１７３０，乱数生成装置１７４０，および
出力装置１７５０の動作と全く同様になるので、その詳
しい説明を割愛する。

【０１６０】（１８）第１８の実施の形態図２１は、本発明の第１８の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【０１６１】図２１を参照すると、本発明の第１８の実
施の形態に係る暗号化・復号装置は、図１８に示した第
１５の実施の形態に係る暗号化・復号装置に対して、暗
号化・復号処理プログラムを記録した記録媒体２１００
を備える点が異なっている。この記録媒体２１００は、
磁気ディスク，半導体メモリ，ＣＤ−ＲＯＭ，その他の
記録媒体であってよい。

【０１６２】暗号化・復号処理プログラムは、記録媒体
２１００からコンピュータシステム（入力装置１８１
０，暗号化・復号処理装置１８２０，記憶装置１８３
０，乱数生成装置１８４０，および出力装置１８５０を
備えるコンピュータシステム）に読み込まれ、当該コン
ピュータシステムの動作を入力装置１８１０，暗号化・
復号処理装置１８２０（暗号化・復号演算手段１８２
１，乱数依存性決定手段１８２２，および遅延制御手段
１８２３），記憶装置１８３０（中間データ記憶部１８
３１），乱数生成装置１８４０，および出力装置１８５
０として制御する。暗号化・復号処理プログラムの制御
による入力装置１８１０，暗号化・復号処理装置１８２
０，記憶装置１８３０，乱数生成装置１８４０，および
出力装置１８５０の動作は、第１５の実施の形態におけ
る入力装置１８１０，暗号化・復号処理装置１８２０，
記憶装置１８３０，乱数生成装置１８４０，および出力
装置１８５０の動作と全く同様になるので、その詳しい
説明を割愛する。

【０１６３】

【実施例】次に、本発明の実施例を、図面を参照して説
明する。

【０１６４】（１）第１の実施例図２２および図２３は、本発明の第１の実施例を説明す
るための図である。

【０１６５】本実施例は、上述の第１の実施の形態に係
る暗号化装置を、共通鍵暗号ＤＥＳ（ＤａｔａＥｎｃ
ｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）対応とするもので
ある。

【０１６６】なお、ＤＥＳ暗号については、『「Ｈａｎ
ｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａ
ｐｈｙ」（Ａ．Ｍｅｎｅｚｅｓ，Ｐ．Ｏｏｒｓｃｈｏ
ｔ，Ｓ．Ｖａｎｓｔｏｎｅ著，ＣＲＣＰｒｅｓｓ，１
９９７，ＩＳＢＮ０−８４９３−８５２３−７）ｐ
ｐ．２５０−２５９』に詳しく述べられている。

【０１６７】ここでは、まず、図２２を用いてＤＥＳの
動作の概要を示す。

【０１６８】ＤＥＳは、鍵スケジューリング部２２１０
と、データ処理部２２２０とを備えている。鍵スケジュ
ーリング部２２１０は、６４ビットの暗号化鍵を入力と
し、１６個の４８ビット中間鍵Ｋ₁ 〜Ｋ₁₆を出力する。
データ処理部２２２０は、初期転置ＩＰと、最終転置Ｉ
Ｐ^-1と、１６個のＦ関数とを備えており、６４ビットの
平文と鍵スケジューリング部２２１０から出力される１
６個の４８ビットの中間鍵Ｋ₁ 〜Ｋ₁₆を入力とし、６４
ビットの暗号文を出力する。ここでＩＰおよびＩＰ^-1は
予め定められているビットの並び替えを行う関数であ
り、１６個のＦ関数は３２ビットのデータと４８ビット
のデータとを入力とし３２ビットのデータを出力する予
め定められた関数である。

【０１６９】平文の暗号化は次のように行われる。

【０１７０】まず、平文は、初期転置ＩＰが施された後
に、上位３２ビットＬ₀ と下位３２ビットＲ₀ とに分割
される。このＬ₀ およびＲ₀ から、次式に従ってＬ₁ ，
Ｒ₁，Ｌ₂ ，Ｒ₂ ，Ｌ₃ ，Ｒ₃ ，…，Ｌ₁₅，Ｒ₁₅，
Ｌ₁₆，Ｒ₁₆が生成される。なお、上記のＬ₀ ，Ｒ₀ ，Ｌ
₁ ，Ｒ₁ ，…が、図１中の中間データ記憶部１３１内の
中間データに該当する。

【０１７１】

【数１】

【０１７２】ここで、ｎ＝１，２，…，１６である。な
お、上式の記号Ｆは、ＤＥＳのＦ関数を表している。

【０１７３】ＤＥＳの１６個のＦ関数は、どれも同じ構
造を持ち、３２ビットのデータＲ_n- ₁ と鍵スケジューリ
ング部２２１０より出力される４８ビットの中間鍵Ｋ_n
とを入力とし、３２ビットのデータを出力する。上式を
１６回適用することによって得られたＬ₁₆を上位３２ビ
ットとし、Ｒ₁₆を下位３２ビットとする６４ビットのデ
ータに対して最終転置ＩＰ^-1を施すことによって、６４
ビットの暗号文が得られる。

【０１７４】図２３に、本実施例の概念を示す。

【０１７５】図２３において破線で囲まれた部分（図２
３中の２３１０〜２３８０）が、ＤＥＳの暗号化の過程
で必要になる中間データの変化に乱数依存性を持たせて
いる部分（乱数依存性付与部分）である。すなわち、当
該乱数依存性付与部分が、図１中の中間データ制御手段
１２３により行われる乱数依存中間データ変更操作を表
している。

【０１７６】以下に、図２２および図２３を基に、本実
施例の構成および動作について説明する。

【０１７７】まず初めに、入力装置であるＩＣカード・
リーダ・ライタより平文が入力される。平文は初期転置
ＩＰが施された後に、上位３２ビットと下位３２ビット
とに分けられる。この時点で中間データ制御手段が呼び
出される。中間データ制御手段は、乱数生成装置から２
つの乱数ｒ₀ およびｒ₁ を受け取り、上位３２ビットの
データと乱数ｒ₀ との排他的論理和をとった結果をＬ₀
に格納し（図２３の２３１０参照）、下位３２ビットの
データと乱数ｒ₁ との排他的論理和をとった結果をＲ₀
に格納する（図２３の２３２０参照）。

【０１７８】次に、ｎ＝１，２，…，１６に対し、以
下の操作が繰り返される。ただし、以下に現れるｒ^* の
値は次のように定義される。

【０１７９】

【数２】

【０１８０】まず、Ｒ_n-1 の値がＬ_n に複写される。続
いて、再び中間データ制御手段が呼び出され、Ｒ_n-1 と
ｒ^* との排他的論理和がとられる（図２３の２３４０，
２３６０，および２３８０参照）。この排他的論理和の
値とＫ_n とが、Ｆ関数への入力とされる。以上の手続き
により、Ｆ関数への入力はＲ_n-1 とＫ_n となり、乱数生
成装置から出力される乱数ｒ^* に依存していないことが
確かめられる。

【０１８１】Ｆ関数の値が出力されると、中間データ制
御手段が呼び出され、再びＦ関数の出力と乱数ｒ^* との
排他的論理和がとられる（図２３の２３３０，２３５
０，および２３７０参照）。さらに、その結果とＬ_n-1
との排他的論理和が計算され、計算結果がＬ_n に格納さ
れる。

【０１８２】上記操作を１６回繰り返すことによって得
られるＬ₁₆とｒ_１との排他的論理和をとった値を上位
３２ビットとし、Ｒ₁₆とｒ₀ とｒ₁ との排他的論理和を
とった値を下位３２ビットとする６４ビットのデータ
に、最終転置ＩＰ^-1が施された６４ビットのデータが、
暗号文としてＩＣカード・リーダ・ライタを通して出力
される。

【０１８３】このとき得られる暗号文は、中間データを
操作する乱数ｒ₀ およびｒ₁ ，遅延時間を制御する乱
数，ならびにＳ−ｂｏｘの実行順序を決定する乱数のい
ずれの乱数にも依存しないデータになっている。

【０１８４】（２）第２の実施例図２４，図２５，および図２６は、本発明の第２の実施
例を説明するための図である。

【０１８５】本実施例は、上述の第２の実施の形態に係
る暗号化装置を、共通鍵暗号ＲＣ５−３２／１２／１６
に適用したものである。

【０１８６】なお、ＲＣ５−３２／１２／１６のアルゴ
リズムの詳細に関しては、上記の「Ｈａｎｄｂｏｏｋ
ｏｆＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ」の
ｐｐ．２６９−２７０に述べられている。

【０１８７】ここでは、まず、図２４および図２５を参
照して、ＲＣ５−３２／１２／１６の動作を概説する。

【０１８８】ＲＣ５−３２／１２／１６は、図２４に示
すように、１２８ビットの暗号化鍵２４２０を用いて６
４ビットの平文２４１０を６４ビットの暗号文２４５０
に変換するアルゴリズムである。

【０１８９】ＲＣ５−３２／１２／１６は、データ処理
部２４３０と、拡大鍵生成部２４４０とを有している。

【０１９０】拡大鍵生成部２４４０は、１２８ビットの
暗号化鍵２４２０を入力とし、２６個の３２ビットの拡
大鍵Ｓ₀ ，Ｓ₁ ，…，Ｓ₂₅を出力する。

【０１９１】データ処理部２４３０は、６４ビットの平
文２４１０と、拡大鍵生成部２４４０の出力Ｓ₀ ，Ｓ
₁ ，…，Ｓ₂₅とを入力とし、６４ビットの暗号文２４５
０を出力する。

【０１９２】データ処理部２４３０は、次のように動作
する。

【０１９３】まず、入力された６４ビットの平文２４１
０は、上位３２ビットＡと下位３２ビットＢとに分割さ
れる。次に、ＡとＳ₀ との２³²を法とする和（加算）が
とられ、その結果が再びＡに代入される（図２４の２４
３１参照）。また、ＢとＳ₁との２³²を法とする和がと
られ、その結果が再びＢに代入される（図２４の２４３
２参照）。その後、ＡおよびＢは、ラウンド関数と呼ば
れる変換を１２回適用される。

【０１９４】暗号文２４５０は、ラウンド関数を１２回
適用した後のＡを上位３２ビットとして持ち、Ｂを下位
３２ビットとして持つ６４ビットのデータとなる。

【０１９５】第ｉ回目に適用されるラウンド関数は、
Ａ，Ｂ，Ｓ_2i，およびＳ_2i+1を入力としてＡおよびＢの
データの更新を行い、更新されたＡおよびＢを出力す
る。

【０１９６】次に、第ｉ回目に適用されるラウンド関数
の概要を説明する。

【０１９７】第ｉ回目に適用されるラウンド関数による
ＡおよびＢの更新は、次式に従って行われる。

【０１９８】

【数３】

【０１９９】ここで、「＋」は２³²を法とする和を表
し、「Ｘ＜＜＜Ｙ」はＸのＹビット回転を表している。

【０２００】図２５を参照すると、初めに、Ａの更新が
行われる。まず、入力ＡはＢとビット毎の排他的論理和
２５１０をとられ、その結果がＡに再び格納される。次
に、Ａは、Ｂビットの左ビット回転２５２０を施され、
その結果が再びＡに格納される。最後に、Ａと拡大鍵Ｓ
_2iとの２³²を法とする和２５３０がとられ、その結果が
更新後のＡの値となる。

【０２０１】続いて、Ｂの更新が行われる。まず、Ｂ
は、更新後のＡとビット毎の排他的論理和２５４０をと
られ、その結果がＢに再び格納される。次に、Ｂは、Ａ
ビットの左ビット回転２５５０を施され、その結果が再
びＢに格納される。最後に、Ｂと拡大鍵Ｓ_2i+1との２³²
を法とする和２５６０がとられ、その結果が更新後のＢ
の値となる。

【０２０２】本実施例は、入力装置および出力装置とし
てＩＣカード・リーダ・ライタを、データ記憶装置およ
びプログラムを格納した記憶媒体として半導体メモリ
を、暗号化処理装置としてＩＣカードに内蔵されたコン
ピュータを備えている。暗号化処理装置を実現するコン
ピュータは、汎用レジスタを５本以上有しており、また
当該コンピュータの命令セットは、２つのレジスタＲ
１，Ｒ２の算術和、ビット回転、ビット毎の排他的論理
和等を計算した結果を必ずＲ１またはＲ２に格納すると
いう特徴を有しているものとする。ちなみに、現在使用
されているコンピュータの多くは、上記のような特徴を
持つ命令セットを有している。

【０２０３】次に、図２６の流れ図と図２４および図２
５とを基に、本実施例の全体的な動作について詳細に説
明する。

【０２０４】図２６の流れ図において、Ｒ１，Ｒ２，Ｒ
３，Ｒ４およびＲ５はデータ幅３２ビットの汎用レジス
タを表しており、また表記「Ｒｉ←Ｒｉ＋Ｒｊ」は汎用
レジスタＲｉとＲｊとを加算した結果を新たに汎用レジ
スタＲｉに格納する操作を表している。図２６中の「Ｒ
ｉ←Ｒｉ＜＜＜Ｒｊ」等についても同様に解釈するもの
とする。

【０２０５】本実施例は、コンピュータが行う「Ｒｉ＋
Ｒｊ」および「Ｒｉ＜＜＜Ｒｊ」等のレジスタ間演算の
演算結果をＲｉおよびＲｊのどちらに格納するかを乱数
に依存して変化させることを特徴としている。

【０２０６】演算結果の格納先を乱数に依存して変化さ
せることで、電力を測定した場合の消費電力の変化が、
汎用レジスタＲｉの値の変化によるものなのか、汎用レ
ジスタＲｊの値の変化によるものなのかを検知すること
が困難になる。

【０２０７】次に、本実施例の動作の詳細な説明を行
う。

【０２０８】本実施例では、まず初めに、入力装置を通
じて暗号化処理装置に平文が格納される（図２６のステ
ップＤ１）。

【０２０９】平文が暗号化処理装置に入力されると、暗
号化処理装置は汎用レジスタＲ１に加算（２³²を法とす
る和）２４３１が終了した後のＡの値を格納し、汎用レ
ジスタＲ３に加算（２³²を法とする和）２４３２が終了
した後のＢの値を格納する。また、ラウンド関数の実行
回数をカウントする変数ｒに１を格納する（ステップＤ
２）。

【０２１０】次に、暗号化処理装置は、図２５に示され
るラウンド関数の２５１０および２５２０に対応する操
作を実行し、さらに汎用レジスタＲ２にＳ_2rを格納す
る。

【０２１１】この時点で、条件分岐制御手段が呼び出さ
れ、Ｒ２の保持するＳ_2rの値とＲ１の保持するＡの値と
の和（２³²を法とする和）２５３０をとった計算結果を
Ｒ１およびＲ２のどちらに格納するかを乱数の値の偶奇
数に応じて変化させる（ステップＤ３およびＤ４）。

【０２１２】図２６のステップＤ４において乱数の値が
奇数であった場合には、Ｒ２とＲ１との和の計算結果は
Ｒ１に格納される。引き続いて、暗号化演算手段はラウ
ンド関数中の排他的論理和（ビット毎の排他的論理和）
２５４０および左ビット回転２５５０を行い、左ビット
回転２５５０が終了した時点におけるＢの値をＲ３に格
納する。

【０２１３】さらに、Ｒ４にＳ_2r+1の値を格納し、Ｒ３
とＲ４との和をＲ３に格納する。以上の操作により、ラ
ウンド関数適用後のＡおよびＢの値がＲ１およびＲ３に
格納される（ステップＤ５）。

【０２１４】ステップＤ５の処理が終了したことによっ
て１回のラウンド関数の処理が終了する。この時点で、
現在までに暗号化処理装置が処理したラウンド関数の回
数を表す変数ｒの値を調べ（ステップＤ７）、ｒの値が
ＲＣ５−３２／１２／１６が処理すべきラウンド関数の
回数である１２と等しかった場合には、出力装置から暗
号文を出力して処理を終了する（ステップＤ９）。それ
以外の場合には、ｒに１を加え（ステップＤ８）、もう
一度ラウンド関数を処理するためにステップＤ３に戻
る。

【０２１５】ステップＤ４において乱数が偶数であった
場合には、Ｒ２とＲ１との和の計算結果はＲ２に格納さ
れる。

【０２１６】引き続いて、暗号化処理装置はラウンド関
数の排他的論理和（ビット毎の排他的論理和）２５４０
および左ビット回転２５５０を行い、左ビット回転２５
５０が終了した時点におけるＢの値をＲ３に格納する。

【０２１７】さらに、Ｒ４にＳ_2r+1の値を格納し、Ｒ３
とＲ４との和をＲ４に格納する。以上の操作により、ラ
ウンド関数適用後のＡおよびＢの値がＲ２およびＲ４に
格納される（ステップＤ６）。

【０２１８】次に、ステップＤ７の場合と同様に変数ｒ
の値が１２と等しいかどうかを調べ（ステップＤ１
４）、等しい場合には出力装置から暗号文を出力して処
理を終了する（ステップＤ１６）。それ以外の場合に
は、ｒに１を加え（ステップＤ１５）、もう一度ラウン
ド関数を処理するためにステップＤ１０に進む。

【０２１９】ステップＤ１０では、ラウンド関数への入
力ＡおよびＢの値がそれぞれＲ２およびＲ４に格納され
ている。暗号化処理装置は、図２５に示されるラウンド
関数の排他的論理和２５１０および左ビット回転２５２
０を実行し、さらに汎用レジスタＲ１にＳ_2rを格納す
る。この時点で、条件分岐制御手段が呼び出され、Ｒ１
の保持するＳ_2rの値とＲ２の保持するＡの値との和（２
³²を法とする和）２５３０をとった計算結果をＲ１およ
びＲ２のどちらに格納するかを乱数の値の偶奇に応じて
変化させる（ステップＤ１０およびＤ１１）。

【０２２０】図２６のステップＤ１１において乱数の値
が奇数であった場合には、Ｒ２とＲ１との和の計算結果
はＲ１に格納される。引き続いて、暗号化演算手段はラ
ウンド関数中の排他的論理和２５４０および左ビット回
転２５５０に対応する操作を行い、左ビット回転２５５
０が終了した時点におけるＢの値をＲ４に格納する。さ
らにＲ３にＳ_2r+1の値を格納し、Ｒ３とＲ４との和をＲ
３に格納する。以上の操作により、ラウンド関数適用後
のＡおよびＢの値がＲ１およびＲ３に格納される（ステ
ップＤ１２）。

【０２２１】ステップＤ１２の処理が終了したことによ
って１回のラウンド関数の処理が終了する。この時点
で、現在までに暗号化処理装置が処理したラウンド関数
の回数を表す変数ｒの値を調べ（ステップＤ７）、ｒの
値がＲＣ５−３２／１２／１６が処理すべきラウンド関
数の回数である１２と等しかった場合には、出力装置か
ら暗号文を出力して処理を終了する（ステップＤ９）。
それ以外の場合には、ｒに１を加え（ステップＤ８）、
もう一度ラウンド関数を処理するためにステップＤ３に
戻る。

【０２２２】ステップＤ１１において乱数が偶数であっ
た場合には、Ｒ２とＲ１との和の計算結果はＲ２に格納
される。引き続いて、暗号化処理装置はラウンド関数中
の排他的論理和２５４０および左ビット回転２５５０に
対応する操作を行い、左ビット回転２５５０が終了した
時点におけるＢの値をＲ４に格納する。さらに、Ｒ３に
Ｓ_2r+1の値を格納し、Ｒ３とＲ４との和をＲ４に格納す
る。以上の操作により、ラウンド関数適用後のＡおよび
Ｂの値がＲ２およびＲ４に格納される（ステップＤ１
３）。

【０２２３】次に、ステップＤ７の場合と同様に、変数
ｒの値が１２と等しいかどうかを調べ（ステップＤ１
４）、等しい場合には出力装置から暗号文を出力して処
理を終了する（ステップＤ１６）。それ以外の場合に
は、ｒに１を加え（ステップＤ１５）、もう一度ラウン
ド関数を処理するためにステップＤ１０に戻る。

【０２２４】上記のアルゴリズムにより、乱数生成装置
が出力した乱数の値に依存せずに、出力装置には入力平
文を暗号化した結果が出力される。

【０２２５】（３）第３の実施例図２７および図２８は、本発明の第３の実施例を説明す
るための図である。

【０２２６】本実施例は、上述の第１５の実施の形態に
係る暗号化・復号装置を、公開鍵暗号ＲＳＡに適用した
ものである。

【０２２７】なお、ＲＳＡのアルゴリズムに関しては、
上記の「ＨａｎｄｂｏｏｋｏｆＡｐｐｌｉｅｄＣｒ
ｙｐｔｏｇｒａｐｈｙ」のｐｐ．２８５−２９１に詳し
く述べられている。

【０２２８】ここでは、まず、ＲＳＡの動作の概要を説
明する。

【０２２９】ＲＳＡは５１２ビット程度の２つの素数
ｐ，ｑの積ｎと、ｌｃｍ（ｐ−１，ｑ−１）（ただし、
ｌｃｍ（ａ，ｂ）はａとｂとの最小公倍数を表す）と互
いに素である数ｅの組（ｎ，ｅ）とを公開鍵として持
ち、法ｌｃｍ（ｐ−１，ｑ−１）の下でｅｄ＝１となる
ようなｄを秘密鍵として持つ。

【０２３０】ＲＳＡの暗号化は、次のように行われる。

【０２３１】Ｍを暗号化したい平文とすると、Ｍを暗号
化した暗号文Ｃは次式に従って計算される。

【０２３２】Ｃ＝Ｍ^e ｍｏｄｎ

【０２３３】また、暗号文Ｃから平文Ｍを復号する計算
は、次式で表される。

【０２３４】Ｍ＝Ｃ^d ｍｏｄｎ

【０２３５】ＲＳＡでは、暗号化や復号を高速に行うた
めに、高速な冪乗剰余演算アルゴリズムが必要となる。
ここで冪乗剰余演算アルゴリズムとは、ｇ，ｅ，ｎを入
力としてｇ^e ｍｏｄｎを出力するアルゴリズムを指す。

【０２３６】ＲＳＡの実装では、高速な冪乗剰余演算ア
ルゴリズムとして図２７の流れ図で示されるアルゴリズ
ムまたはその改良アルゴリズムを用いることが標準的で
ある。ここでは、図２７の流れ図を基に、高速冪乗剰余
演算アルゴリズムの動作の流れを説明する。

【０２３７】冪乗剰余アルゴリズムでは、まず初めに、
ｇ，ｅ，ｎが入力される（図２７のステップＥ１）。

【０２３８】続いて、変数ＡおよびＳに初期値として１
およびｇをそれぞれ格納する（ステップＥ２）。

【０２３９】続いて、ｅが０であるかどうかを判定し
（ステップＥ３）、０の場合にはＡを出力して処理を終
了し、そうでない場合にはｅの偶奇を調べ、ｅが奇数で
あった場合にはＡとＳとの積を計算し、その結果を新た
に再びＡに格納する（ステップＥ４およびＥ５）。

【０２４０】次に、ｅの値を２で割ることにより、ｅの
１ビット右シフトを行う（ステップＥ６）。

【０２４１】この段階で再びｅが０であるかどうかを判
定し（ステップＥ７）、０である場合にはＡを出力して
処理を終了し、そうでない場合にはＳを二乗して（ステ
ップＥ８）、ステップＥ３に戻る。

【０２４２】ｅの二進数表現を（ｂ₁ ，ｂ₂ ，…，ｂ
_t ）とすると（ただし、ｂ₁ が最上位ビット、ｂ_t が最
下位ビット）、図２７の流れ図においてステップＥ７を
ｉ回通過した時点でのＡの値は、二進数表現が（ｂ₁ ，
ｂ₂ ，…，ｂ_i ）となるような数ｅｉに対してｇ^eiｍｏ
ｄｎとなっている。

【０２４３】アルゴリズムの構成法により、図２７で示
されるアルゴリズムではｅのビット長ｔに対してアルゴ
リズム終了時までにステップＥ７を通過する回数は必ず
ｔ回となるので、アルゴリズム終了時のＡの値はｇ^e ｍ
ｏｄｎとなり冪乗剰余演算が計算されていることが分か
る。

【０２４４】しかし、上記のようなアルゴリズムを用い
て冪乗剰余演算を実現する場合には、次のような問題が
生じる。図２７のステップＥ４をｉ回通過した後にステ
ップＥ５が実行される必要十分条件は、ｅの右からｉビ
ット目が１であることとなる。この時、上記のアルゴリ
ズムを実装した装置の実行中に当該装置が消費する電力
を測定することにより、当該装置内で実行されている命
令の特定が可能であるとすると、ＲＳＡ暗号文の復号時
における当該装置の消費電力を測定することによりＲＳ
Ａの秘密鍵ｄを特定することが可能になってしまう。

【０２４５】次に、図２７の流れ図および図２８を参照
して本実施例を詳細に説明する。

【０２４６】本実施例の暗号化・復号装置における暗号
化・復号処理装置２８２０は、暗号化・復号演算手段２
８２１と、乱数依存性決定手段２８２２と、遅延制御手
段２８２３とを備えており、次のように動作する。

【０２４７】暗号化・復号演算手段２８２１は、２つの
相異なる数ａ，ｂと法ｎとを入力とし、ａ・ｂｍｏｄｎ
を計算する乗算器２８２１１と、１つの数ａと法ｎとを
入力とし、ａ² ｍｏｄｎを計算する二乗演算器２８２１
２とを備えている。

【０２４８】暗号化・復号演算手段２８２１は、暗号化
と復号との２つの機能を有しており、暗号化を行う場合
には入力装置２８１０から通信相手の公開鍵ｅ，ｎ₁ と
送信したい平文Ｍとを入力し、図２７の流れ図と同様な
動作を行うことによって、暗号文Ｍ^e ｍｏｄｎ₁ を計算
し、その計算結果を出力装置２８５０より出力する。ま
た、復号を行う場合には、入力装置２８１０から本人の
秘密鍵ｄと本人の公開鍵ｎ₂ および受信した暗号文Ｃと
を入力し、図２７の流れ図と同様な動作を行うことによ
って、平文Ｃ^d ｍｏｄｎ₂ を計算し、その計算結果を出
力装置２８５０より出力する。

【０２４９】図２８中の暗号化・復号演算手段２８２１
の動作が図２７の流れ図と異なる点は、図２８中の暗号
化・復号演算手段２８２１は、図２７のステップＥ８か
らステップＥ３に戻る時点で乱数依存性決定手段２８２
２によって遅延時間決定要求が遅延制御手段２８２３に
出力される点にある。

【０２５０】遅延制御手段２８２３は、暗号化演算手段
２８２１と同様に、乗算器２８２３１と、二乗演算器２
８２３２とを備えており、乱数依存性決定手段２８２２
より遅延時間決定要求が出されると、乱数生成装置２８
４０に対して乱数要求信号を２度送り、２つの乱数ｒ
１，ｒ２を得る。

【０２５１】ｒ１とｒ２とを受け取った遅延制御手段２
８２３は、ｒ１の最下位ビットが０であるか否かを判定
し、０であった場合には遅延挿入のために、二乗演算器
２８２３２を用いてｒ２の二乗の計算を行い、再び暗号
化・復号演算手段２８２１に処理を移す。一方、ｒ１の
最下位ビットが１であった場合には、遅延挿入のため
に、遅延制御手段２８２３は、乗算器２８２３１を用い
てｒ１とｒ２との積を計算した後に、二乗演算器２８２
３２を用いて乗算器２８２３１の計算結果であるｒ１・
ｒ２の二乗を計算し、再び暗号化・復号演算手段２８２
１に処理を移す。

【０２５２】

【発明の効果】以上説明したように、本発明の暗号化装
置，復号装置，および暗号化・復号装置によると、デー
タの暗号化や復号を行う際に当該装置の消費電力を測定
することによって暗号化鍵や復号鍵等の秘密情報を得る
暗号解析法（電力解析や電力差分解析等の消費電力の測
定による暗号解析法）の適用が困難になるという効果が
生じる。

【０２５３】以上のような効果が生じる理由を、以下に
述べる。

【０２５４】電力解析や電力差分解析等の消費電力の測
定による暗号解析が成功するためには、第１に暗号化装
置や復号装置がデータの暗号化や復号を行っている際に
消費する電力と当該装置内で行われている暗号化操作や
復号操作との間に密接な関連があること、第２に暗号化
装置や復号装置が特定の暗号化操作や復号操作を行って
いる時刻が容易に検知できること、の２点が必要条件と
なる。

【０２５５】本発明では、中間データ制御手段によって
暗号化や復号を行う際に必要となる中間データが乱数に
依存して変化したまま暗号装置や復号装置内で暗号化操
作や復号操作が行われるため、当該装置が消費した電力
の変化が実際の暗号化操作や復号操作によって生じたも
のであるのか、乱数の影響によって生じたものであるの
かの判断が困難になっている。したがって、暗号化装置
や復号装置の消費電力と当該装置内で行われている暗号
化操作や復号操作との間の関連が検知しづらくなるた
め、電力解析や電力差分解析が成功するための第１の必
要条件が成立しなくなる。

【０２５６】さらに、本発明では、条件分岐制御手段に
よって、順序を入れ替えることが可能であるような操作
の順序（実行順序）の決定や、どの操作を実行しても暗
号化や復号の結果が変化しないような複数の操作の選択
肢の中から実際に実行される操作を選択することを、乱
数に依存して行っている。また、遅延制御手段によっ
て、暗号化や復号の操作の途中で、適宜乱数に依存した
時間の遅延が挿入される。それらのために、特定の暗号
化や復号の操作が実行される時刻が、乱数によって変化
することになる。したがって、電力解析や電力差分解析
が成功するための第２の必要条件が成立しなくなる。

【０２５７】以上により、電力解析や電力差分解析の成
功に必要な２つの条件が成立しなくなるため、暗号化装
置や復号装置の消費電力を測定することで秘密情報を得
るという暗号解析法が困難になる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【図２】図１に示す暗号化装置の処理を示す流れ図であ
る。

【図３】本発明の第２の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【図４】図３に示す暗号化装置の処理を示す流れ図であ
る。

【図５】本発明の第３の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【図６】図５に示す暗号化装置の処理を示す流れ図であ
る。

【図７】本発明の第４の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【図８】本発明の第５の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【図９】本発明の第６の実施の形態に係る暗号化装置の
構成を示すブロック図である。

【図１０】本発明の第７の実施の形態に係る復号装置の
構成を示すブロック図である。

【図１１】本発明の第８の実施の形態に係る復号装置の
構成を示すブロック図である。

【図１２】本発明の第９の実施の形態に係る復号装置の
構成を示すブロック図である。

【図１３】本発明の第１０の実施の形態に係る復号装置
の構成を示すブロック図である。

【図１４】本発明の第１１の実施の形態に係る復号装置
の構成を示すブロック図である。

【図１５】本発明の第１２の実施の形態に係る復号装置
の構成を示すブロック図である。

【図１６】本発明の第１３の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【図１７】本発明の第１４の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【図１８】本発明の第１５の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【図１９】本発明の第１６の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【図２０】本発明の第１７の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【図２１】本発明の第１８の実施の形態に係る暗号化・
復号装置の構成を示すブロック図である。

【図２２】本発明の第１の実施例を説明するための図
（ＤＥＳの構成を示すブロック図）である。

【図２３】本発明の第１の実施例を説明するための図
（当該実施例の構成を示すブロック図）である。

【図２４】本発明の第２の実施例を説明するための図
（ＲＣ５−３２/１２/１６の構成を示すブロック図）で
ある。

【図２５】本発明の第２の実施例を説明するための図
（ＲＣ５−３２/１２/１６のラウンド関数の構成を示す
ブロック図）である。

【図２６】本発明の第２の実施例を説明するための図
（当該実施例の動作を示す流れ図）である。

【図２７】本発明の第３の実施例を説明するための図
（高速冪乗剰余演算の動作を示す流れ図）である。

【図２８】本発明の第３の実施例を説明するための図
（当該実施例の構成を示すブロック図）である。

【符号の説明】

１１０，３１０，５１０，１０１０，１１１０，１２１
０，１６１０，１７１０，１８１０，２８１０入力装
置１２０，３２０，５２０暗号化処理装置１２１，３２１，５２１暗号化演算手段１２２，３２２，５２２，１０２２，１１２２，１２２
２，１６２２，１７２２，１８２２，２８２２乱数依
存性決定手段１２３，１０２３，１６２３中間データ制御手段１３０，３３０，５３０，１０３０，１１３０，１２３
０，１６３０，１７３０，１８３０，２８３０記憶装
置１３１，３３１，５３１，１０３１，１１３１，１２３
１，１６３１，１７３１，１８３１，２８３１中間デ
ータ記憶部１４０，３４０，５４０，１０４０，１１４０，１２４
０，１６４０，１７４０，１８４０，２８４０乱数生
成装置１５０，３５０，５５０，１０５０，１１５０，１２５
０，１６５０，１７５０，１８５０，２８５０出力装
置３２３，１１２３，１７２３条件分岐制御手段５２３，１２２３，１８２３，２８２３遅延制御手段７００，８００，９００，１３００，１４００，１５０
０，１９００，２０００，２１００記録媒体１０２０，１１２０，１２２０復号処理装置１０２１，１１２１，１２２１復号演算手段１６２０，１７２０，１８２０，２８２０暗号化・復
号処理装置１６２１，１７２１，１８２１，２８２１暗号化・復
号演算手段２２１０鍵スケジューリング部２２２０，２４３０データ処理部２３１０，２３２０，２３３０，２３４０，２３５０，
２３６０，２３７０，２３８０乱数依存性付与部分２４１０平文２４２０暗号化鍵２４３１，２４３２，２５３０，２５６０２³²を法と
する和２４４０拡大鍵生成部２４５０暗号文２５１０，２５４０ビット毎の排他的論理和２５２０，２５５０左ビット回転２８２１１，２８２３１乗算器２８２１２，２８２３２二乗演算器

Claims

【特許請求の範囲】

【請求項１】乱数を出力する乱数生成装置と、前記乱数生成装置から出力される乱数を入力として、暗
号化処理実行中に必要な中間データを乱数に依存して変
化させる乱数依存中間データ変更操作を中間データ変更
要求の発生時点で行い、かつ当該乱数依存中間データ変
更操作を複数回適用することによって乱数の効果を相殺
するように制御する中間データ制御手段と、平文を入力とし、前記中間データ制御手段による乱数依
存中間データ変更操作に依存して状態を変化させつつ当
該平文に対する暗号化処理を実行し、当該平文を暗号化
した暗号文であって前記乱数生成装置の出力に依存しな
い暗号文を出力する暗号化演算手段と、前記暗号化演算手段による暗号化処理の現在の処理段階
が乱数依存中間データ変更操作を適用すべき処理段階で
あると判断した場合に、前記中間データ制御手段に対す
る中間データ変更要求を発行する乱数依存性決定手段と
を備えたことを特徴とする暗号化装置。
【請求項２】乱数を出力する乱数生成装置と、前記乱
数生成装置から出力される乱数を入力として、暗号化処
理手続きの実行順序を決定することや複数の処理手続き
の選択肢の中から実際に実行される処理手続きを選択す
ることを乱数に依存して行う乱数依存条件分岐決定操作
を条件分岐決定要求の発生時点で行い、かつ暗号化演算
手段の出力が乱数に依存しないように当該乱数依存条件
分岐決定操作を制御する条件分岐制御手段と、平文を入力とし、前記条件分岐制御手段による乱数依存
条件分岐決定操作に依存して状態を変化させつつ当該平
文に対する暗号化処理を実行し、当該平文を暗号化した
暗号文であって前記乱数生成装置の出力に依存しない暗
号文を出力する暗号化演算手段と、前記暗号化演算手段による暗号化処理の現在の処理段階
が乱数依存条件分岐決定操作を適用すべき処理段階であ
ると判断した場合に、前記条件分岐制御手段に対する条
件分岐決定要求を発行する乱数依存性決定手段とを備え
たことを特徴とする暗号化装置。
【請求項３】乱数を出力する乱数生成装置と、前記乱数生成装置から出力される乱数を入力として、暗
号化処理中に意図的に挿入する実行遅延の遅延時間の決
定を乱数に依存して行う乱数依存遅延挿入操作を遅延時
間決定要求の発生時点で行う遅延制御手段と、平文を入力とし、前記遅延制御手段による乱数依存遅延
挿入操作に依存して状態を変化させつつ当該平文に対す
る暗号化処理を実行し、当該平文を暗号化した暗号文で
あって前記乱数生成装置の出力に依存しない暗号文を出
力する暗号化演算手段と、前記暗号化演算手段による暗号化処理の処理段階が乱数
依存遅延挿入操作を適用すべき処理段階であると判断し
た場合に、前記遅延制御手段に対する遅延時間決定要求
を発行する乱数依存性決定手段とを備えたことを特徴と
する暗号化装置。
【請求項４】コンピュータシステムを、乱数を出力す
る乱数生成装置，前記乱数生成装置から出力される乱数
を入力として、暗号化処理実行中に必要な中間データを
乱数に依存して変化させる乱数依存中間データ変更操作
を中間データ変更要求の発生時点で行い、かつ当該乱数
依存中間データ変更操作を複数回適用することによって
乱数の効果を相殺するように制御する中間データ制御手
段，平文を入力とし、前記中間データ制御手段による乱
数依存中間データ変更操作に依存して状態を変化させつ
つ当該平文に対する暗号化処理を実行し、当該平文を暗
号化した暗号文であって前記乱数生成装置の出力に依存
しない暗号文を出力する暗号化演算手段，および前記暗
号化演算手段による暗号化処理の現在の処理段階が乱数
依存中間データ変更操作を適用すべき処理段階であると
判断した場合に、前記中間データ制御手段に対する中間
データ変更要求を発行する乱数依存性決定手段として機
能させるための暗号化処理プログラムを記録した記録媒
体。
【請求項５】コンピュータシステムを、乱数を出力す
る乱数生成装置，前記乱数生成装置から出力される乱数
を入力として、暗号化処理手続きの実行順序を決定する
ことや複数の処理手続きの選択肢の中から実際に実行さ
れる処理手続きを選択することを乱数に依存して行う乱
数依存条件分岐決定操作を条件分岐決定要求の発生時点
で行い、かつ暗号化演算手段の出力が乱数に依存しない
ように当該乱数依存条件分岐決定操作を制御する条件分
岐制御手段，平文を入力とし、前記条件分岐制御手段に
よる乱数依存条件分岐決定操作に依存して状態を変化さ
せつつ当該平文に対する暗号化処理を実行し、当該平文
を暗号化した暗号文であって前記乱数生成装置の出力に
依存しない暗号文を出力する暗号化演算手段，および前
記暗号化演算手段による暗号化処理の現在の処理段階が
乱数依存条件分岐決定操作を適用すべき処理段階である
と判断した場合に、前記条件分岐制御手段に対する条件
分岐決定要求を発行する乱数依存性決定手段として機能
させるための暗号化処理プログラムを記録した記録媒
体。
【請求項６】コンピュータシステムを、乱数を出力す
る乱数生成装置，前記乱数生成装置から出力される乱数
を入力として、暗号化処理中に意図的に挿入する実行遅
延の遅延時間の決定を乱数に依存して行う乱数依存遅延
挿入操作を遅延時間決定要求の発生時点で行う遅延制御
手段，平文を入力とし、前記遅延制御手段による乱数依
存遅延挿入操作に依存して状態を変化させつつ当該平文
に対する暗号化処理を実行し、当該平文を暗号化した暗
号文であって前記乱数生成装置の出力に依存しない暗号
文を出力する暗号化演算手段，および前記暗号化演算手
段による暗号化処理の処理段階が乱数依存遅延挿入操作
を適用すべき処理段階であると判断した場合に、前記遅
延制御手段に対する遅延時間決定要求を発行する乱数依
存性決定手段として機能させるための暗号化処理プログ
ラムを記録した記録媒体。
【請求項７】出力するデータが暗号化を行う平文その
ものおよび平文に依存したデータのいずれかである乱数
生成装置を備えたことを特徴とする請求項１，請求項
２，または請求項３記載の暗号化装置。
【請求項８】出力するデータが暗号化を行う平文その
ものおよび平文に依存したデータのいずれかである乱数
生成装置の機能を有する暗号化処理プログラムを記録し
たことを特徴とする請求項４，請求項５，または請求項
６記載の記録媒体。
【請求項９】乱数を出力する乱数生成装置と、前記乱数生成装置から出力される乱数を入力として、復
号処理実行中に必要な中間データを乱数に依存して変化
させる乱数依存中間データ変更操作を中間データ変更要
求の発生時点で行い、かつ当該乱数依存中間データ変更
操作を複数回適用することによって乱数の効果を相殺す
るように制御する中間データ制御手段と、暗号文を入力とし、前記中間データ制御手段による乱数
依存中間データ変更操作に依存して状態を変化させつつ
当該暗号文に対する復号処理を実行し、当該暗号文を復
号した平文であって前記乱数生成装置の出力に依存しな
い平文を出力する復号演算手段と、前記復号演算手段による復号処理の現在の処理段階が乱
数依存中間データ変更操作を適用すべき処理段階である
と判断した場合に、前記中間データ制御手段に対する中
間データ変更要求を発行する乱数依存性決定手段とを備
えたことを特徴とする復号装置。
【請求項１０】乱数を出力する乱数生成装置と、前記乱数生成装置から出力される乱数を入力として、復
号処理手続きの実行順序を決定することや複数の処理手
続きの選択肢の中から実際に実行される処理手続きを選
択することを乱数に依存して行う乱数依存条件分岐決定
操作を条件分岐決定要求の発生時点で行い、かつ復号演
算手段の出力が乱数に依存しないように当該乱数依存条
件分岐決定操作を制御する条件分岐制御手段と、暗号文を入力とし、前記条件分岐制御手段による乱数依
存条件分岐決定操作に依存して状態を変化させつつ当該
暗号文に対する復号処理を実行し、当該暗号文を復号し
た平文であって前記乱数生成装置の出力に依存しない平
文を出力する復号演算手段と、前記復号演算手段による復号処理の現在の処理段階が乱
数依存条件分岐決定操作を適用すべき処理段階であると
判断した場合に、前記条件分岐制御手段に対する条件分
岐決定要求を発行する乱数依存性決定手段とを備えたこ
とを特徴とする復号装置。
【請求項１１】乱数を出力する乱数生成装置と、前記乱数生成装置から出力される乱数を入力として、復
号処理中に意図的に挿入する実行遅延の遅延時間の決定
を乱数に依存して行う乱数依存遅延挿入操作を遅延時間
決定要求の発生時点で行う遅延制御手段と、暗号文を入力とし、前記遅延制御手段による乱数依存遅
延挿入操作に依存して状態を変化させつつ当該暗号文に
対する復号処理を実行し、当該暗号文を復号した平文で
あって前記乱数生成装置の出力に依存しない平文を出力
する復号演算手段と、前記復号演算手段による復号処理の処理段階が乱数依存
遅延挿入操作を適用すべき処理段階であると判断した場
合に、前記遅延制御手段に対する遅延時間決定要求を発
行する乱数依存性決定手段とを備えたことを特徴とする
復号装置。
【請求項１２】コンピュータシステムを、乱数を出力
する乱数生成装置，前記乱数生成装置から出力される乱
数を入力として、復号処理実行中に必要な中間データを
乱数に依存して変化させる乱数依存中間データ変更操作
を中間データ変更要求の発生時点で行い、かつ当該乱数
依存中間データ変更操作を複数回適用することによって
乱数の効果を相殺するように制御する中間データ制御手
段，暗号文を入力とし、前記中間データ制御手段による
乱数依存中間データ変更操作に依存して状態を変化させ
つつ当該暗号文に対する復号処理を実行し、当該暗号文
を復号した平文であって前記乱数生成装置の出力に依存
しない平文を出力する復号演算手段，および前記復号演
算手段による復号処理の現在の処理段階が乱数依存中間
データ変更操作を適用すべき処理段階であると判断した
場合に、前記中間データ制御手段に対する中間データ変
更要求を発行する乱数依存性決定手段として機能させる
ための復号処理プログラムを記録した記録媒体。
【請求項１３】コンピュータシステムを、乱数を出力
する乱数生成装置，前記乱数生成装置から出力される乱
数を入力として、復号処理手続きの実行順序を決定する
ことや複数の処理手続きの選択肢の中から実際に実行さ
れる処理手続きを選択することを乱数に依存して行う乱
数依存条件分岐決定操作を条件分岐決定要求の発生時点
で行い、かつ復号演算手段の出力が乱数に依存しないよ
うに当該乱数依存条件分岐決定操作を制御する条件分岐
制御手段，暗号文を入力とし、前記条件分岐制御手段に
よる乱数依存条件分岐決定操作に依存して状態を変化さ
せつつ当該暗号文に対する復号処理を実行し、当該暗号
文を復号した平文であって前記乱数生成装置の出力に依
存しない平文を出力する復号演算手段，および前記復号
演算手段による復号処理の現在の処理段階が乱数依存条
件分岐決定操作を適用すべき処理段階であると判断した
場合に、前記条件分岐制御手段に対する条件分岐決定要
求を発行する乱数依存性決定手段として機能させるため
の復号処理プログラムを記録した記録媒体。
【請求項１４】コンピュータシステムを、乱数を出力
する乱数生成装置，前記乱数生成装置から出力される乱
数を入力として、復号処理中に意図的に挿入する実行遅
延の遅延時間の決定を乱数に依存して行う乱数依存遅延
挿入操作を遅延時間決定要求の発生時点で行う遅延制御
手段，暗号文を入力とし、前記遅延制御手段による乱数
依存遅延挿入操作に依存して状態を変化させつつ当該暗
号文に対する復号処理を実行し、当該暗号文を復号した
平文であって前記乱数生成装置の出力に依存しない平文
を出力する復号演算手段，および前記復号演算手段によ
る復号処理の処理段階が乱数依存遅延挿入操作を適用す
べき処理段階であると判断した場合に、前記遅延制御手
段に対する遅延時間決定要求を発行する乱数依存性決定
手段として機能させるための復号処理プログラムを記録
した記録媒体。
【請求項１５】出力するデータが復号を行う暗号文そ
のものおよび暗号文に依存したデータのいずれかである
乱数生成装置を備えたことを特徴とする請求項９，請求
項１０，または請求項１１記載の復号装置。
【請求項１６】出力するデータが復号を行う暗号文そ
のものおよび暗号文に依存したデータのいずれかである
乱数生成装置の機能を有する復号処理プログラムを記録
したことを特徴とする請求項１２，請求項１３，または
請求項１４記載の記録媒体。
【請求項１７】乱数を出力する乱数生成装置と、前記乱数生成装置から出力される乱数を入力として、暗
号化処理実行中および復号処理実行中に必要な中間デー
タを乱数に依存して変化させる乱数依存中間データ変更
操作を中間データ変更要求の発生時点で行い、かつ当該
乱数依存中間データ変更操作を複数回適用することによ
って乱数の効果を相殺するように制御する中間データ制
御手段と、処理データおよび処理内容を入力とし、前記中間データ
制御手段による乱数依存中間データ変更操作に依存して
状態を変化させつつ暗号化処理および復号処理を実行
し、当該処理内容が暗号化処理であった場合には当該処
理データである平文を暗号化した暗号文であって前記乱
数生成装置の出力に依存しない暗号文を出力し、当該処
理内容が復号処理であった場合には当該処理データであ
る暗号文を復号した平文であって前記乱数生成装置の出
力に依存しない平文を出力する暗号化・復号演算手段
と、前記暗号化・復号演算手段による暗号化処理および復号
処理の現在の処理段階が乱数依存中間データ変更操作を
適用すべき処理段階であると判断した場合に、前記中間
データ制御手段に対する中間データ変更要求を発行する
乱数依存性決定手段とを備えたことを特徴とする暗号化
・復号装置。
【請求項１８】乱数を出力する乱数生成装置と、前記乱数生成装置から出力される乱数を入力として、暗
号化処理手続きおよび復号処理手続きの実行順序を決定
することや複数の処理手続きの選択肢の中から実際に実
行される処理手続きを選択することを乱数に依存して行
う乱数依存条件分岐決定操作を条件分岐決定要求の発生
時点で行い、かつ暗号化・復号演算手段の出力が乱数に
依存しないように当該乱数依存条件分岐決定操作を制御
する条件分岐制御手段と、処理データおよび処理内容を入力とし、前記条件分岐制
御手段による乱数依存条件分岐決定操作に依存して状態
を変化させつつ暗号化処理および復号処理を実行し、当
該処理内容が暗号化処理であった場合には当該処理デー
タである平文を暗号化した暗号文であって前記乱数生成
装置の出力に依存しない暗号文を出力し、当該処理内容
が復号処理であった場合には当該処理データである暗号
文を復号した平文であって前記乱数生成装置の出力に依
存しない平文を出力する暗号化・復号演算手段と、前記暗号化・復号演算手段による暗号化処理および復号
処理の現在の処理段階が乱数依存条件分岐決定操作を適
用すべき処理段階であると判断した場合に、前記条件分
岐制御手段に対する条件分岐決定要求を発行する乱数依
存性決定手段とを備えたことを特徴とする暗号化・復号
装置。
【請求項１９】乱数を出力する乱数生成装置と、前記乱数生成装置から出力される乱数を入力として、暗
号化処理および復号処理中に意図的に挿入する実行遅延
の遅延時間の決定を乱数に依存して行う乱数依存遅延挿
入操作を遅延時間決定要求の発生時点で行う遅延制御手
段と、処理データおよび処理内容を入力とし、前記遅延制御手
段による乱数依存遅延挿入操作に依存して状態を変化さ
せつつ暗号化処理および復号処理を実行し、当該処理内
容が暗号化処理であった場合には当該処理データである
平文を暗号化した暗号文であって前記乱数生成装置の出
力に依存しない暗号文を出力し、当該処理内容が復号処
理であった場合には当該処理データである暗号文を復号
した平文であって前記乱数生成装置の出力に依存しない
平文を出力する暗号化・復号演算手段と、前記暗号化・復号演算手段による暗号化処理および復号
処理の現在の処理段階が乱数依存遅延挿入操作を適用す
べき処理段階であると判断した場合に、前記遅延制御手
段に対する遅延時間決定要求を発行する乱数依存性決定
手段とを備えたことを特徴とする暗号化・復号装置。
【請求項２０】コンピュータシステムを、乱数を出力
する乱数生成装置，前記乱数生成装置から出力される乱
数を入力として、暗号化処理実行中および復号処理実行
中に必要な中間データを乱数に依存して変化させる乱数
依存中間データ変更操作を中間データ変更要求の発生時
点で行い、かつ当該乱数依存中間データ変更操作を複数
回適用することによって乱数の効果を相殺するように制
御する中間データ制御手段，処理データおよび処理内容
を入力とし、前記中間データ制御手段による乱数依存中
間データ変更操作に依存して状態を変化させつつ暗号化
処理および復号処理を実行し、当該処理内容が暗号化処
理であった場合には当該処理データである平文を暗号化
した暗号文であって前記乱数生成装置の出力に依存しな
い暗号文を出力し、当該処理内容が復号処理であった場
合には当該処理データである暗号文を復号した平文であ
って前記乱数生成装置の出力に依存しない平文を出力す
る暗号化・復号演算手段，ならびに前記暗号化・復号演
算手段による暗号化処理および復号処理の現在の処理段
階が乱数依存中間データ変更操作を適用すべき処理段階
であると判断した場合に、前記中間データ制御手段に対
する中間データ変更要求を発行する乱数依存性決定手段
として機能させるための暗号化・復号処理プログラムを
記録した記録媒体。
【請求項２１】コンピュータシステムを、乱数を出力
する乱数生成装置，前記乱数生成装置から出力される乱
数を入力として、暗号化処理手続きおよび復号処理手続
きの実行順序を決定することや複数の処理手続きの選択
肢の中から実際に実行される処理手続きを選択すること
を乱数に依存して行う乱数依存条件分岐決定操作を条件
分岐決定要求の発生時点で行い、かつ暗号化・復号演算
手段の出力が乱数に依存しないように当該乱数依存条件
分岐決定操作を制御する条件分岐制御手段，処理データ
および処理内容を入力とし、前記条件分岐制御手段によ
る乱数依存条件分岐決定操作に依存して状態を変化させ
つつ暗号化処理および復号処理を実行し、当該処理内容
が暗号化処理であった場合には当該処理データである平
文を暗号化した暗号文であって前記乱数生成装置の出力
に依存しない暗号文を出力し、当該処理内容が復号処理
であった場合には当該処理データである暗号文を復号し
た平文であって前記乱数生成装置の出力に依存しない平
文を出力する暗号化・復号演算手段，ならびに前記暗号
化・復号演算手段による暗号化処理および復号処理の現
在の処理段階が乱数依存条件分岐決定操作を適用すべき
処理段階であると判断した場合に、前記条件分岐制御手
段に対する条件分岐決定要求を発行する乱数依存性決定
手段として機能させるための暗号化・復号処理プログラ
ムを記録した記録媒体。
【請求項２２】コンピュータシステムを、乱数を出力
する乱数生成装置，前記乱数生成装置から出力される乱
数を入力として、暗号化処理および復号処理中に意図的
に挿入する実行遅延の遅延時間の決定を乱数に依存して
行う乱数依存遅延挿入操作を遅延時間決定要求の発生時
点で行う遅延制御手段，処理データおよび処理内容を入
力とし、前記遅延制御手段による乱数依存遅延挿入操作
に依存して状態を変化させつつ暗号化処理および復号処
理を実行し、当該処理内容が暗号化処理であった場合に
は当該処理データである平文を暗号化した暗号文であっ
て前記乱数生成装置の出力に依存しない暗号文を出力
し、当該処理内容が復号処理であった場合には当該処理
データである暗号文を復号した平文であって前記乱数生
成装置の出力に依存しない平文を出力する暗号化・復号
演算手段，ならびに前記暗号化・復号演算手段による暗
号化処理および復号処理の現在の処理段階が乱数依存遅
延挿入操作を適用すべき処理段階であると判断した場合
に、前記遅延制御手段に対する遅延時間決定要求を発行
する乱数依存性決定手段として機能させるための暗号化
・復号処理プログラムを記録した記録媒体。
【請求項２３】暗号化処理の際に出力するデータが暗
号化を行う平文そのものおよび平文に依存したデータの
いずれかであり、復号処理の際に出力するデータが復号
を行う暗号文そのものおよび暗号文に依存したデータの
いずれかである乱数生成装置を備えたことを特徴とする
請求項１７，請求項１８，または請求項１９記載の暗号
化・復号装置。
【請求項２４】暗号化処理の際に出力するデータが暗
号化を行う平文そのものおよび平文に依存したデータの
いずれかであり、復号処理の際に出力するデータが復号
を行う暗号文そのものおよび暗号文に依存したデータの
いずれかである乱数生成装置の機能を有する暗号化・復
号処理プログラムを記録したことを特徴とする請求項２
０，請求項２１，または請求項２２記載の記録媒体。
【請求項２５】平文に加えて暗号化鍵を入力とする暗
号化演算手段を備えることを特徴とする請求項１，請求
項２，請求項３，または請求項７記載の暗号化装置。
【請求項２６】平文に加えて暗号化鍵を入力とする暗
号化演算手段の機能を有する暗号化処理プログラムを記
録したことを特徴とする請求項４，請求項５，請求項
６，または請求項８記載の記録媒体。
【請求項２７】暗号文に加えて復号鍵を入力とする復
号演算手段を備えることを特徴とする請求項９，請求項
１０，請求項１１，または請求項１５記載の復号装置。
【請求項２８】暗号文に加えて復号鍵を入力とする復
号演算手段の機能を有する復号処理プログラムを記録し
たことを特徴とする請求項１２，請求項１３，請求項１
４，または請求項１６記載の記録媒体。
【請求項２９】暗号化処理の際に処理データに加えて
暗号化鍵を入力とし復号処理の際に処理データに加えて
復号鍵を入力とする暗号化・復号演算手段を備えること
を特徴とする請求項１７，請求項１８，請求項１９，ま
たは請求項２３記載の暗号化・復号装置。
【請求項３０】暗号化処理の際に処理データに加えて
暗号化鍵を入力とし復号処理の際に処理データに加えて
復号鍵を入力とする暗号化・復号演算手段の機能を有す
る暗号化・復号処理プログラムを記録したことを特徴と
する請求項２０，請求項２１，請求項２２，または請求
項２４記載の記録媒体。