JP2003051821A

JP2003051821A - 認証のためにメッセージを処理する方法

Info

Publication number: JP2003051821A
Application number: JP2002136120A
Authority: JP
Inventors: Sarvar Patel; パテールシャールバール
Original assignee: Lucent Technologies Inc
Current assignee: Nokia of America Corp
Priority date: 2001-05-11
Filing date: 2002-05-10
Publication date: 2003-02-21
Also published as: TR200402260T4; DE60103737T2; EP1257084B1; EP1257084A1; KR20020086232A; JP2009159618A; DE60103737D1; ES2220679T3; ATE268963T1; US20030041242A1; KR100884488B1; EP1387524A1

Abstract

(57)【要約】【課題】安全性の証明をも提供しながら、長短両方の
メッセージがＨＭＡＣより効率的にメッセージ認証され
ることを可能にする。【解決手段】メッセージ認証コード（ＭＡＣ）を生成
するメッセージ認証システムは、メッセージが鍵つき圧
縮関数の１入力ブロック内に収まるときにその圧縮関数
の１回のみの実行を使用する。１ブロックより大きいメ
ッセージに対しては、このＭＡＣシステムは、ネスト化
ハッシュ関数を使用する。本発明のもう１つの特徴によ
れば、ＭＡＣシステムは、ネスト化ハッシュ関数への入
力として、メッセージの一部を使用する。例えば、メッ
セージ認証システムは、メッセージを第１部分と第２部
分に分割することができる。ハッシュ関数がメッセージ
の第１部分を入力として実行されて中間結果を得、鍵つ
きハッシュ関数がメッセージの第２部分および中間結果
を入力として使用して実行される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、通信に関し、特
に、メッセージの認証に関する。

【０００２】

【従来の技術】図１は、地理的領域１４および１６のそ
れぞれの内部に位置するワイヤレス（無線）装置（例え
ば、ワイヤレス装置１２ａ〜ｃ）にワイヤレス通信サー
ビスを提供する第１および第２のワイヤレス通信システ
ムの概略図である。移動通信交換局（ＭＳＣ）（例え
ば、ＭＳＣ２０および２４）は、とりわけ、ワイヤレス
装置間の呼、ワイヤレス装置とワイヤライン（有線）装
置（例えば、ワイヤライン装置２５）との間の呼、ある
いは、ワイヤレス装置とインターネットのようなパケッ
トデータネットワーク（ＰＤＮ：packet data networ
k）との間のコネクションを確立し維持する責任を負
う。このため、ＭＳＣは、その地理的領域内のワイヤレ
ス装置を公衆交換電話網（ＰＳＴＮ）２８あるいはパケ
ットデータネットワーク（ＰＤＮ）２９と相互接続す
る。ＭＳＣによってサービスされる地理的エリアは、
「セル」と呼ばれる空間的に相異なるエリアに分割され
る。図１に示されているように、各セルは、模式的に
は、蜂の巣パターンの１つの六角形によって表される。
しかし、実際には、各セルは、そのセルの周囲の地形に
依存する不規則な形状を有する。

【０００３】一般に、各セルは基地局（例えば、基地局
２２ａ〜ｅおよび２６ａ〜ｅ）を有する。基地局は、そ
のセル内のワイヤレス装置と通信するために使用する無
線機およびアンテナを有する。基地局はまた、その地理
的エリア内のＭＳＣと通信するために使用する伝送装置
も有する。例えば、ＭＳＣ２０は、地理的エリア１４内
の基地局２２ａ〜ｅに接続され、ＭＳＣ２４は、地理的
エリア１６内の基地局２６ａ〜ｅに接続される。１つの
地理的領域内で、ＭＳＣは、ワイヤレス装置がセル間を
移動していくのとともにリアルタイムで基地局間で呼を
交換する。これを呼ハンドオフという。具体的実現化に
依存して、基地局コントローラ（ＢＳＣ）は、いくつか
の基地局に接続された別個の基地局コントローラ（ＢＳ
Ｃ）（図示せず）であることも可能であり、あるいは、
各基地局に配置され、基地局のワイヤレス資源を管理し
情報をＭＳＣに中継することも可能である。

【０００４】ＭＳＣ２０および２４は、シグナリングネ
ットワーク（信号網）３２を使用する。シグナリングネ
ットワーク３２は、例えば、ＴＩＡ／ＥＩＡ−４１−Ｄ
として指定された、"Cellular Radiotelecommunication
s Intersystem Operations",December 1997（ＩＳ−４
１）という名称の標準に準拠するシグナリングネットワ
ークである。これは、それぞれの地理的エリア１４およ
び１６内をローミングしているワイヤレス装置に関する
情報の交換を可能にする。例えば、ワイヤレス装置１２
ａは、もともと割り当てられたＭＳＣ２０（ホームＭＳ
Ｃ）の地理的エリア１４を離れるとき、ローミングして
いる。ローミングワイヤレス装置が呼を受け取ることが
できることを保証するため、ローミングワイヤレス装置
１２ａは、現在位置のＭＳＣ２４（在圏ＭＳＣ）にその
存在を通知することによって、在圏ＭＳＣ２４に登録す
る。ローミングワイヤレス装置１２ａが在圏ＭＳＣ２４
によって識別されると、在圏ＭＳＣ２４は、シグナリン
グネットワーク３２を通じて、ホームＭＳＣ２０に登録
要求を送り、ホームＭＳＣ２０は、在圏ＭＳＣ２４の識
別によってデータベース３４（ホームロケーションレジ
スタ（ＨＬＲ）という）を更新することにより、ローミ
ングワイヤレス装置１２ａの位置をホームＭＳＣ２０に
提供する。ローミングワイヤレス装置が認証された後、
ホームＭＳＣ２０は、在圏ＭＳＣ２４に顧客プロファイ
ルを提供する。在圏ＭＳＣ２４は、顧客プロファイルを
受け取った後、ホームＭＳＣ２０と同じ機能を提供する
ために、データベース３６（在圏ロケーションレジスタ
（ＶＬＲ）という）を更新する。ＨＬＲ、ＶＬＲおよび
認証局（ＡＣ：authentication center）は、ＭＳＣと
コロケートされることも可能であり、リモートアクセス
されることも可能である。

【０００５】ＵＭＴＳ(Universal Mobile Telecommunic
ations System)および３ＧＩＳ−４１では、ワイヤレ
ス装置は、呼を発信し、または、受信するとき、認証さ
れなければ、呼設定に進むことができない。認証された
後、ある秘密鍵を用いて生成された１２８ビットの完全
性鍵（ＩＫ：integrity key）が有効化され、ワイヤレ
ス装置とシステムの間で送信されるメッセージの完全性
(integrity)のチェックすなわちメッセージ認証に使用
されることが可能となる。

【０００６】よいメッセージ認証方式の設計は、暗号技
術の重要な分野の１つである。メッセージ認証方式の目
標は、受信側が受信するメッセージに改竄があったかど
うかを受信側が判断することができるように、送信側が
受信側へメッセージを効率的に送信することである。図
２に、ワイヤレス通信システムにおいてワイヤレス装置
でどのようにメッセージ認証が実行されるかを示す。こ
の環境には、ワイヤレス装置およびワイヤレス通信シス
テムという二当事者が関与し、これらは秘密鍵ｋに関し
て合意している。使用されるアルゴリズムとして、署名
アルゴリズムＳ _ｋおよび検証アルゴリズムＶ_ｋの２つが
ある。ワイヤレス装置がメッセージＭをワイヤレス通信
システムへ送信したい場合、ワイヤレス装置は、まず、
ＭＡＣジェネレータ５０を用いて、タグすなわちメッセ
ージ認証コード（ＭＡＣ）μ＝Ｓ _ｋ（Ｍ）を計算する。
ワイヤレス装置は、メッセージとタグのペア（Ｍ，μ）
をワイヤレス通信システムへ送信する。ワイヤレス通信
システムは、ペア（Ｍ，μ）を受信すると、Ｖ_ｋ（Ｍ，
μ）を計算し、ＭＡＣが正当な場合には１を返し、そう
でない場合には０を返す。図２には、ワイヤレス通信シ
ステムがメッセージおよびｋをＭＡＣジェネレータ５２
に入力し、ＭＡＣジェネレータ５２がタグ′を出力し、
ワイヤレス装置から受信されたタグ（μ）とシステムで
生成されたタグ′の間の比較５４が行われることが示さ
れている。これらが同一である場合、メッセージは正当
であるとして受容され、そうでない場合、メッセージは
拒否される。秘密鍵ｋを知らなければ、検証アルゴリズ
ムが正当であるとして受容することになるメッセージお
よび対応するＭＡＣを、敵が構成することはほとんど不
可能である。

【０００７】同じメッセージ認証方式が、ワイヤレス通
信システムからワイヤレス装置へのメッセージの送信に
おいて実行される。例えば、図３に、ワイヤレス通信シ
ステムが、保護されたメッセージをどのようにしてワイ
ヤレス装置へ送信するかを示す。まず、ワイヤレス通信
システムは、メッセージおよび秘密鍵ｋを入力としてＭ
ＡＣジェネレータ５６でタグを生成する。ワイヤレス通
信システムは、メッセージをタグとともにワイヤレス装
置へ送信する。ワイヤレス装置は、メッセージおよび秘
密鍵ｋをＭＡＣジェネレータ５８に入力してタグ′を生
成する。ワイヤレス装置は、タグ′と、ワイヤレス通信
システムから受信されたタグとの間の比較６０を行う。
これらのタグが一致した場合、メッセージは正当である
として受容される。一致しない場合、メッセージは、変
更された、あるいは、不正であるとして、拒否される。

【０００８】メッセージ認証コードに対するセキュリテ
ィ要件は次のように説明することができる。ｋは秘密の
まま、選択されたメッセージに対するＭＡＣＳ_ｋ，Ｖ
_ｋを問い合わせることができるときに、Ｖ_ｋ（Ｍ^＊，μ
^＊）＝１であるがメッセージＭ^＊はＳ_ｋへの入力となっ
たことがないような正当なペア（Ｍ^＊，μ^＊）を敵が思
いつくことができる場合、敵がＭＡＣを偽造している。

【０００９】実際に広くみられるメッセージ認証への１
つの一般的なアプローチは、暗号ハッシュ関数を用いる
ものである。ハッシュ関数は、一般に、ある長さの入力
から、より短い長さの出力に写像する関数として特徴づ
けることができる。さらに、同じ出力に写像される２つ
の入力を見つけるのは困難である。暗号ハッシュ関数に
基づくこれらのＭＡＣ方式が良好であるのは、高速で安
全な暗号構成ブロックを使用するからである。一般に、
暗号ハッシュ関数Ｆ（ｘ）は、任意の長さの入力ｘを短
い出力に写像する、公開され、鍵なし（キーレス、すな
わち、鍵がかけられていない）、衝突を起こしにくい
（衝突耐性がある、耐衝突性）関数である。衝突を起こ
しにくいとは、Ｆ（ｘ_１）＝Ｆ（ｘ_２）であるような２
つのメッセージｘ_１およびｘ_２を見つけるのが計算量的
に実行不能であることを意味する。ＭＤ５、ＳＨＡ−
１、およびＲＩＰＥ−ＭＤは、広く用いられている暗号
ハッシュ関数である。耐衝突性とともに、ハッシュ関数
は通常、他の目的で使用するため、および、耐衝突性の
可能性を高めるために、他の性質も有するように設計さ
れる。

【００１０】ＭＤ５やＳＨＡ−１のようなほとんどの暗
号ハッシュ関数は、入力メッセージがブロックごとに処
理されるという反復構成を使用する。図４に示すよう
に、基本構成ブロックは、圧縮関数ｆと呼ばれ、これ
は、サイズｔおよびｂの２つの入力をとり、長さｔの、
より短い出力に写像するハッシュ関数である。ＭＤ５で
は、サイズｔの入力は長さ１２８ビットであり、サイズ
ｂの入力は長さ５１２ビットである。ＳＨＡ−１では、
サイズｔの入力は長さ１６０ビットであり、サイズｂの
入力は長さ５１２ビットである。サイズｔの入力は連鎖
変数と呼ばれ、サイズｂの入力（ペイロードあるいはブ
ロック）は、実際にメッセージｘを一度にｂビットずつ
処理するために使用される。図５に示すように、この場
合、ハッシュ関数Ｆ（ｘ）は、ｈ_ｉを連鎖変数とし、ｘ
_ｉをペイロードとして、以下のステップに従って、メッ
セージｍに対して圧縮関数ｆを反復して作用させること
によって形成される。１．適当な手続きを用いてメッセージ長を付加し、パデ
ィングして、入力をブロックサイズｂの倍数にする。入
力は、ブロックサイズの断片ｘ＝ｘ_１，...，ｘ_ｎに分
解することができる。２．ｈ_０＝ＩＶ（一定）３．Ｆｏｒｉ＝１ｔｏｎ４．ｈ_ｉ＝ｆ（ｈ_ｉ−１，ｘ_ｉ）５．ｈ_ｎをＦ（ｘ）として出力する。例えば、ＳＨＡ−１ハッシュ関数を使用する場合、ＳＨ
Ａ−１ハッシュ関数のそれぞれへの呼出しは、１６０ビ
ットの初期ベクトル（ＩＶ：initial vector）を有し、
５１２ビットの入力（ペイロード）をとり、これが１６
０ビットの出力に写像される。ＩＶは、ＳＨＡ−１ハッ
シュ関数に対する標準（National Institute of Standa
rds and Technology, NIST FIPS PUB 180, "Secure Has
h Standard", U. S. Department of Commerce, May 199
3）で規定されたＩＶとなるように設定される。

【００１１】暗号ハッシュ関数は、設計上、鍵なし（キ
ーレス）である。しかし、メッセージ認証は秘密鍵の使
用を必要とするため、ハッシュ関数に鍵をかける方法が
必要となる。ハッシュ関数に鍵をかける１つの方法は、
固定された既知のＩＶの代わりに秘密鍵を使用すること
である。図６に示すように、鍵ｋで、圧縮関数ｆ（連鎖
変数，ｘ１）における連鎖変数を置き換えて、ｆ_ｋ（ｘ
１）＝ｆ（ｋ，ｘ１）をつくる。ただし、ｘ１のブロッ
クサイズはｂである。反復されたハッシュ関数Ｆ（Ｉ
Ｖ，ｘ）は、固定のＩＶを秘密鍵ｋで置き換えてＦ
_ｋ（ｘ）＝Ｆ（ｋ，ｘ）を形成することによって修正さ
れる。鍵がかけられた（鍵つき）関数の耐衝突性は、鍵
なし関数のものとは異なる、その理由は、敵は、任意の
時点に、ユーザに問い合わせることなくＦ_ｋ（ｘ）を評
価することはできないからである。この要件は、標準的
な衝突要件より弱いため、関数Ｆ_ｋ（ｘ）を「弱耐衝突
性」であると呼ぶことにする。

【００１２】鍵つき暗号ハッシュ関数の安全性を改善す
るため、次のように定義されるネスト化ＭＡＣ関数（Ｎ
ＭＡＣ）が開発された。ＮＭＡＣ_ｋ（ｘ）＝Ｆ_ｋ１（Ｆ_ｋ２（ｘ））ただし、暗号ハッシュ関数Ｆは、まず、ＩＶの代わりに
秘密鍵ｋ_２で鍵がかけられ、メッセージｘが反復的にハ
ッシュされてＦ_ｋ２（ｘ）の出力となる。次に、図７に
示すように、この出力Ｆ_ｋ２（ｘ）が、Ｆのパディング
方式に従って、あるブロックサイズにパディングされた
後、Ｆ_ｋ２（ｘ）の結果は秘密鍵ｋ_１で鍵がかけられ、
外側ハッシュ関数Ｆでハッシュされる。このように、Ｎ
ＭＡＣ鍵ｋは２つの部分ｋ＝（ｋ_１，ｋ_２）を有する。
ＮＭＡＣの安全性を、基礎となる暗号ハッシュ関数の安
全性と関連づけることに関する次の定理が、M. Bellar
e, R.Canetti, and H. Krawczyk, "Keying Hash Functi
ons for Message Authentication", In Proc. CRYPTO 9
6, Lecture Notes in Computer Science, Springer-Ver
lag, 1996、に証明されている。

【００１３】定理１：ｔ回のステップおよびｑ回の問
合せで、鍵つき圧縮関数ｆがε_ｆ安全なＭＡＣであり、
かつ、鍵つき反復ハッシュＦがε_Ｆ弱耐衝突性であるな
らば、ＮＭＡＣ関数は（ε_ｆ＋ε_Ｆ）安全なＭＡＣであ
る。

【００１４】このＮＭＡＣの構成は、圧縮関数への少な
くとも２回の呼出しを行う。Ｆ_ｋ２（ｘ）への内側の呼
出しは、鍵なしハッシュ関数Ｆ（ｘ）と同じコストを有
する。このため、Ｆ_ｋ１への外側の呼出しは、鍵なしハ
ッシュ関数によって要求されるものを超える追加の呼出
しである。外側の関数呼出しは、基本的に、鍵つき圧縮
関数ｆ_ｋ１への呼出しである。その理由は、Ｆ
_ｋ２（ｘ）のサイズ１の出力は、圧縮関数へのサイズｂ
の入力にはめ込むことができるからである。多くのブロ
ックからなる大きいｘに対しては、追加の外側圧縮呼出
しのコストは重要ではない。しかし、サイズの小さいメ
ッセージｘの場合、追加の外側圧縮関数は、鍵なしハッ
シュ関数に比べたとき、割合でみると、相当高い程度の
非効率性を生じる。表１に、ＳＨＡ−１ハッシュ関数の
場合に、小さいｘに対する非効率性を示す。基礎となる
ハッシュ関数によって、および、ＮＭＡＣによって必要
とされる圧縮呼出しの回数が、３０バイトずつ増大する
さまざまな小さいｘに対して比較されている。基礎とな
るハッシュ関数に対するＮＭＡＣの非効率性も表中に記
載されている。

【００１５】

【表１】表１：さまざまなサイズの短いメッセージに対する圧
縮呼出し回数の比較

【００１６】表からわかるように、小さいメッセージに
対する不利益は大きくなる。特に、１ブロック内に収ま
るメッセージの場合、不利益は１００％である。その理
由は、ＮＭＡＣでは２回の圧縮関数呼出しが要求される
のに対して、基礎となる暗号ハッシュ関数により要求さ
れるのは１回の圧縮呼出しであるからである。

【００１７】圧縮関数ｆにはアクセスすることができ
ず、メッセージで暗号ハッシュ関数Ｆを呼び出すことだ
けができるような実装に対する、ＮＭＡＣの実用的変形
がＨＭＡＣである。このような実装の場合、鍵は、連鎖
変数とすることはできず、関数Ｆは、最初の圧縮関数で
用いられた固定の既知のＩＶで呼び出される。ＨＭＡＣ
関数は次のように定義される。

【数１】ただし、鍵ｋが使用され、バーｋは、反復されるハッシ
ュ関数のブロックサイズｂに達するようにｋをゼロでパ
ディングしたものである。バーｋの値はｏｐａｄとビッ
トごとの排他的論理和がとられ、その結果がメッセージ
Ｘに連結される、ハッシュ関数Ｆは、連結されたメッセ
ージ全体で呼び出される。図８に示すように、圧縮関数
ｆの最初の実行（イタレーション）の後、鍵ｋ２がｋ２
＝ｆ（バーｋ（＋）ｉｐａｄ）として生成される。（本
願の明細書および図面において、記号（＋）と、数１に
現れた排他的論理和の記号（円内に＋）とは、同一の記
号を表すものとする。）ハッシュ関数Ｆが完了した後、
結果の値Ｆ（バーｋ（＋）ｉｐａｄ，Ｘ）が生成され
る。次に、バーｋ（＋）ｏｐａｄ（すなわち、バーｋと
ｏｐａｄのビットごとの排他的論理和演算）の値からな
るメッセージで、ハッシュ関数Ｆが再び呼び出される。
ハッシュ関数Ｆの第２の呼出し内の最初の実行の後、圧
縮関数ｆ（ＩＶ，バーｋ（＋）ｏｐａｄ）から鍵ｋ１が
得られる。ｉｐａｄおよびｏｐａｄの値は、M. Bellar
e, R. Canetti, and H. Krawczyk, "KeyingHash Functi
ons for Message Authentication", In Proc. CRYPTO 9
6, LectureNotes in Computer Science, Springer-Verl
ag, 1996、に記載されているような固定された定数であ
る。ハッシュ関数への第２の呼出し内の第２の実行は、
圧縮関数ｆ（ｋ１，Ｆ（バーｋ（＋）ｉｐａｄ，Ｘ））
を用いて、ＨＭＡＣ関数Ｆ（バーｋ（＋）ｏｐａｄ，Ｆ
（バーｋ（＋）ｉｐａｄ，Ｘ））を生成する。

【００１８】ｋ_１＝ｆ（バーｋ（＋）ｏｐａｄ）および
ｋ_２＝ｆ（バーｋ（＋）ｉｐａｄ）と定義することにより、ＨＭＡＣ_ｋ（ｘ）はＮＭＡＣ
_{（ｋ１，ｋ２）}（ｘ）となる。ＨＭＡＣは、メッセージ
認証のためのインターネット標準である。示されるよう
に、ＨＭＡＣの安全性の証明は、ＮＭＡＣに関係してお
り、基礎となる暗号ハッシュが（弱）耐衝突性であるこ
と、および、基礎となる圧縮関数が、両方とも適切に鍵
がかけられた場合には安全なＭＡＣであること、を仮定
する。ＨＭＡＣは、長いメッセージに対しては効率的で
あるが、短いメッセージに対しては、ネスト化された構
成のために相当な非効率性が生じる。圧縮関数へのアク
セスが許可されない場合に１ブロックより短いメッセー
ジのＭＡＣを生成するため、ＨＭＡＣは、圧縮関数への
４回の呼出しを必要とする。圧縮関数へのアクセスが許
可されている場合、ｋ１およびｋ２を事前に計算し、圧
縮関数の連鎖変数に挿入することができるため、圧縮関
数への呼出しは２回でよい。この非効率性は、シグナリ
ングメッセージのメッセージ認証のようないくつかのア
プリケーションでは特に大きくなることがある。その場
合、個々のメッセージはすべて１個または２個のブロッ
ク内に収まるからである。ＴＣＰ／ＩＰトラフィックの
場合にも、多数のパケット（例えば、確認応答(acknowl
edgment)）が、ほとんどの暗号ハッシュの１ブロック内
に収まる４０バイト程度のサイズを有することがよく知
られている。

【００１９】

【発明が解決しようとする課題】本発明は、安全性の証
明をも提供しながら、長短両方のメッセージがＨＭＡＣ
より効率的にメッセージ認証されることを可能にする改
良を提案する。

【００２０】

【課題を解決するための手段】本発明の１つの特徴によ
れば、メッセージ認証コード（ＭＡＣ）を生成するメッ
セージ認証システムは、メッセージが鍵つき圧縮関数の
１入力ブロック内に収まるときにその圧縮関数の１回の
みの実行を使用することにより、効率を改善する。１ブ
ロックより大きいメッセージに対しては、このＭＡＣシ
ステムは、ネスト化ハッシュ関数を使用する。本発明の
もう１つの特徴によれば、ＭＡＣシステムおよび方法
は、ネスト化ハッシュ関数への入力として、メッセージ
の一部を使用する。例えば、メッセージ認証システム
は、メッセージを第１部分と第２部分に分割することが
できる。ハッシュ関数がメッセージの第１部分を入力と
して実行されて中間結果を得、鍵つきハッシュ関数がメ
ッセージの第２部分および中間結果を入力として使用し
て実行される。こうして、内側ハッシュ関数によって処
理されることを必要とするメッセージの部分を少なくす
ることにより、小さいメッセージの場合には特に、効率
が改善される。

【００２１】

【発明の実施の形態】任意長のメッセージを処理するた
めの、改善された効率を提供する、本発明の原理による
ＭＡＣ生成システムおよび方法の実施例について以下で
説明する。以下の説明では、ハッシュ関数という用語
は、圧縮関数ｆおよび反復ハッシュ関数Ｆを包含する。
ハッシュ関数は、鍵なしであることも鍵つきであること
も可能であり、Ｆ_ｋは鍵つき反復ハッシュ関数を表し、
ｆ_ｋは鍵つき圧縮関数を表す。想起すべき点であるが、
ｆ_ｋ（ｘ）は、鍵つき圧縮関数であり、その入力ブロッ
クサイズはｂビットであり、出力サイズはｔビットであ
り、連鎖変数のサイズ、したがって鍵サイズもまたｔビ
ットである。本発明の１つの特徴によれば、メッセージ
のサイズに依存して、ＭＡＣジェネレータは、異なるハ
ッシュ関数構成を用いてＭＡＣを生成する。例えば、Ｍ
ＡＣジェネレータは、メッセージｘ（および追加的に要
求されるビットがあればそれも）が圧縮関数ｆの１入力
ブロックに収まる場合には、ハッシュ関数として鍵つき
圧縮関数の１回のみの実行を行うことが可能である。入
力ブロック内に収まらないメッセージの場合、ＭＡＣジ
ェネレータは、ネスト化ハッシュ関数を使用する。図９
に示すように、メッセージｘは、必要なパディング、メ
ッセージ長フィールド、ブロックインジケータフィール
ドあるいはメッセージｘに付加されるその他のフィール
ドとともに、圧縮関数ｆに入力される。メッセージｘ
（および追加的に要求されるビットがあればそれも）が
圧縮関数の入力ブロック内に収まる場合、メッセージｘ
および鍵ｋを用いて鍵つき圧縮関数ｆ（９０）が１回の
み実行され、メッセージｘに対するＭＡＣｆ_ｋ（ｘ）が
生成される。

【００２２】これに対して、図１０に示すように、メッ
セージｘ（および追加的に要求されるビットがあればそ
れも）が圧縮関数ｆの１入力ブロック内に収まらない場
合、メッセージブロックｘは、部分１および部分２のよ
うに、複数の部分に分割される。メッセージブロックの
部分部分は、メッセージｘを構成するビットの重なり合
うセットであることも重なり合わないセットであること
も可能である。本発明のもう１つの特徴によれば、第１
部分は内側ハッシュ関数Ｆで使用され、第２部分は外側
ハッシュ関数（これは、圧縮関数ｆ_ＣＶ１として示され
ている）で使用される。例えば、部分２は、内側ハッシ
ュ関数Ｆに提供され、そこで、圧縮関数１００ａ〜１０
０ｎ（必要であれば）の呼出し（実行）が、部分２のブ
ロックである部分２_１〜部分２_ｎについて（付加された
パディングあるいはフィールドがあればそれも含む）行
われる（ここで、ｎ≧１である）。圧縮関数ｆの最初の
実行（呼出し）１００ａは、連鎖変数ＣＶ２を使用す
る。連鎖変数ＣＶ２は、実施例に依存して、鍵であるこ
とも、鍵から導出された鍵であることも、ハッシュ関数
Ｆの標準の初期値であることも可能である。内側ハッシ
ュ関数Ｆ_ＣＶ２（部分２）の結果は、メッセージｘの部
分１および連鎖変数ＣＶ１とともに、外側ハッシュ（圧
縮）関数ｆ（１０２）に提供される。連鎖変数ＣＶ１
は、実施例に依存して、鍵であることも、鍵から導出さ
れた鍵であることも、ハッシュ関数Ｆの標準の初期値Ｉ
Ｖであることも可能である。その結果の値ｆ_ＣＶ１（部
分１，Ｆ_Ｃ _Ｖ２（部分２））は、メッセージ認証で用い
られるＭＡＣを生成するために使用されることが可能と
なる。

【００２３】上記の一般的記述を用いて、従来技術のＭ
ＡＣ生成方式よりも改善された性能を提供することがで
きる。例えば、短いメッセージに対してＮＭＡＣよりも
改善された効率を可能にするとともに、より長いメッセ
ージに対しても多少の改善を可能にするため、以下のＭ
ＡＣ生成法が提供される。想起すべき点であるが、ｆ _ｋ
（ｘ）は、その入力ブロックサイズがｂビットであり、
出力サイズがｔビットであり、連鎖変数のサイズ、した
がって鍵サイズもまたｔビットであるような圧縮関数で
ある。図１１ａおよび図１１ｂに示すように、本発明の
原理によるＭＡＣの生成の具体的実施例は次の通りであ
る。

【数２】ただし、第１の場合、ブロック内の最初のｂ−２ビット
が、メッセージｘを入れるために使用される。メッセー
ジｘが最初のｂ−２ビットに満たない場合、パディング
が必要であり、ブロックの残りは、最終ビットが義務的
に１とされることを除いては、その後には０が続く（な
いこともある）。メッセージの長さがｂ−２ビットであ
る場合、ｂ−１番目のビットが１にセットされる。この
実施例では、ブロックの最終ビットが、ＥＮＭＡＣで単
一圧縮呼出しが使用されているかどうかを示す。ブロッ
クの最終ビットは、単一圧縮呼出しの場合には１にセッ
トされ、圧縮関数ｆの多重呼出し（実行）が必要とされ
るときには０にセットされる。１ブロックに収まらない
という第２の場合、ストリングｘは、次のような２つの
部分（セグメント）ｘ_ｐｒｅｆおよびｘ_ｓｕｆｆに分解
される。ｘ_ｐｒｅｆ＝ｘ_１...ｘ_{ｂ−ｔ−１} ｘ_ｓｕｆｆ＝ｘ_ｂ−ｔ...ｘ_｜ｘ｜まず、ｘ_ｓｕｆｆが鍵値ｋ２を用いてハッシュされ、Ｆ
_ｋ２（ｘ_ｓｕｆｆ）のｔビットの結果が生成される。次
に、外側圧縮呼出しが鍵値ｋ１を用いて実行される。こ
こで、最初のｂ−ｔ−１ビットにｘ_ｐｒｅｆがセットさ
れ、次のｔビットに結果Ｆ_ｋ２（ｘ_ｓｕｆｆ）がセット
され、最終ビットに０がセットされる。

【００２４】上記のＥＮＭＡＣ生成法は、具体的に図１
２を参照して以下で説明するように、基礎となる暗号ハ
ッシュ関数としてＳＨＡ−１ハッシュ関数を使用するこ
とができる。ブロック１１０に示されているように、Ｅ
ＮＭＡＣ生成法を実現する処理回路は、ｘの長さ｜ｘ｜
が５１０ビット以下であるかどうかを判断する。ｘの長
さ｜ｘ｜が５１０ビット以下である場合、処理回路はス
テップ１１２に進み、ｘを最初の５１０ビットにロード
することによって、ｆ_ｋ１（）の５１２ビットのペイロ
ードを形成する。次に、ブロック１１４で、「１」をｘ
に付加し、ステップ１１６で、必要な個数の０（ないこ
ともある）を用いて５１１ビットを満たす。｜ｘ｜が５
１０ビットより小さい場合、１の後にゼロがパディング
されるが、｜ｘ｜が５１０ビットである場合、ゼロはパ
ディングされず、ブロック１１４では、１個の１が５１
１番目のビット位置に付加されるだけである。ブロック
１１８で、メッセージが単一ブロックに収まることを示
すために、最後の５１２番目のビット（ブロックインジ
ケータビット）が１にセットされる。ブロック１２０
で、鍵ｋ１を１６０ビットの連鎖変数とし、メッセージ
ｘ、パディングビットおよびブロックインジケータビッ
トを５１２ビットのペイロード（入力ブロック）とし
て、鍵つき圧縮関数ｆ_ｋ１（ｘ，ｐａｄ，１）が実行さ
れる。その後、ブロック１２２で、結果ｆ_ｋ１（ｘ，ｐ
ａｄ，１）が出力され、ＭＡＣを生成するために使用さ
れる。

【００２５】ブロック１１０で、メッセージｘが５１０
ビットより長い場合、処理回路はブロック１２４に進
み、メッセージは２つの部分ｘ_ｐｒｅｆおよびｘ
_ｓｕｆｆに分割される。ただし、ｘ_ｐｒｅｆ＝ｘ_１...
ｘ_３５１およびｘ_ｓｕｆｆ＝ｘ_３５２...ｘ_｜ｘ｜であ
る。次に、ブロック１２６で、処理回路は、鍵ｋ２と、
メッセージ部分ｘ_ｓｕｆｆとを、追加のパディングビッ
トやビットフィールドがあればそれとともにペイロード
として、鍵つきハッシュ関数Ｆ_ｋ２を実行し、Ｆ
_ｋ２（ｘ _ｓｕｆｆ）の１６０ビットの結果を得る。ブロ
ック１２８で、外側圧縮関数ｆ_ｋ _１のペイロードの最初
の３５１ビットにｘ_ｐｒｅｆをセットし、ブロック１３
０で、ペイロードの次の１６０ビットに、ブロック１２
６で計算したＦ_ｋ２（ｘ_ｓ _ｕｆｆ）の結果をセットす
る。ブロック１３２で、ペイロードの最後の５１２番目
のビットを０にセットする。最後に、ブロック１３４
で、外側鍵つき圧縮関数ｆ_ｋ１が、ブロック１２８〜１
３２で形成された５１２ビットのペイロードに適用さ
れ、ブロック１３６で、その結果ｆ_ｋ１（ｘ_ｐｒｅｆ，
Ｆ_ｋ２（ｘ_ｓｕｆｆ），０）が、ＭＡＣを生成するため
に出力される。

【００２６】次の表２は、３０バイトずつ増大するさま
ざまなサイズの短いメッセージに対して、基礎となるハ
ッシュ関数ＳＨＡ−１によって、および、ＥＮＭＡＣに
よって必要とされる圧縮呼出しの個数を比較している。
表２と、ふつうのＮＭＡＣの比較をした前の表１との間
には重要な相違点が存在する。短いサイズの多くのもの
について、ＮＭＡＣは、基礎となるハッシュ関数と同じ
効率を有する。長いメッセージの場合、ＮＭＡＣ、ＥＮ
ＭＡＣおよび基礎となるハッシュ関数の効率は互いに相
当異なる。サイズが４８０ビットのメッセージの場合、
表２の記載事項が意外にも示しているように、ＥＮＭＡ
Ｃは基礎となるハッシュ関数より効率がよい。この例外
的なことが起こる理由は、基礎となるＳＨＡ−１関数が
サイズ情報のために６４ビットを確保するのに対して、
ＥＮＭＡＣは、５１０ビットより短いメッセージについ
ては２ビットしか確保しないためである。このため、Ｅ
ＮＭＡＣを使用する結果の節約は、１ないし数ブロック
に収まるメッセージについてはかなり大きい。

【００２７】

【表２】表２：さまざまなサイズの短いメッセージに対する圧
縮呼出し回数の比較

【００２８】１ブロックに収まるメッセージのＭＡＣを
生成するために異なる鍵ｋ_３を使用し、より長いメッセ
ージのＭＡＣを生成するためにＮＭＡＣを用いて鍵ｋ＝
（ｋ _１，ｋ_２）を使用すると仮定すると、システムが安
全であることを示すことができる。本質的には、これが
実際に行われていることであるが、異なる鍵を用いて異
なるＭＡＣを生成する代わりに、メッセージが１ブロッ
クに収まる場合にはトレーリングビットが１にセットさ
れ、その他の場合には０にセットされている。第２に、
ＮＭＡＣは、外側圧縮呼出しのペイロードをゼロでパデ
ィングするのに対して、ＥＮＭＡＣは、メッセージの一
部を外側呼出しに入れる。

【００２９】ＥＮＭＡＣ安全性の結果は、ＮＭＡＣと同
様であり、以下で、教育的目的で主張し証明する。

【００３０】定理２：ｔ回のステップおよびｑ回の問
合せで、鍵つき圧縮関数ｆがε_ｆ安全なＭＡＣであり、
かつ、鍵つき反復ハッシュＦがε_Ｆ弱耐衝突性であるな
らば、ＥＮＭＡＣ関数は（ε_ｆ＋ε_Ｆ）安全なＭＡＣで
ある。

【００３１】証明：敵Ａ_Ｅが、ｔ回のステップと、ｑ
回の適応的に選択されたＥＮＭＡＣ関数への問合せとを
仮定して、確率ε_ＥでＥＮＭＡＣに対して成功したとす
る。この敵は、以前に問い合わせていないメッセージに
関して、鍵つき圧縮関数に関連するＭＡＣを偽装する別
の敵Ａ_ｆを形成するために使用される。ＭＡＣを破るこ
の確率は、ε_Ｅと、ε_Ｆ、すなわち、敵が時間ｔおよび
ｑ回の問合せでハッシュ関数Ｆにおける衝突を見つける
最良の確率、に関して限界づけられる。Ａ_Ｅを用いて、
この特定の方法でＭＡＣを破る確率は、任意の方法でＭ
ＡＣを破る確率ε_ｆより小さくなければならない。これ
を用いて、ε_Ｅについての限界を得ることができる。鍵
つき圧縮ＭＡＣを偽造するために用いられるアルゴリズ
ムＡ_ｆを次に示す。

【００３２】ランダムなｋ_２を選ぶＦｏｒｉ...ｑＡ_Ｅ→ｘ_ｉＩｆｘ_ｉ＜ｂ−２Ａ_Ｅ←ｆ_ｋ１（ｘ_ｉ，ｐａｄ，１）ｅｌｓｅＡ_Ｅ←ｆ_ｋ１（１，ｘ_{ｉ，ｐｒｅｆ}，Ｆ_ｋ２（ｘ_{ｉ，ｓｕｆｆ}），０）Ａ_Ｅ→（ｘ，ｙ）Ｉｆｘ＜ｂ−２（ｘ，ｐａｄ，１），ｙを出力ｅｌｓｅ（ｘ_ｐｒｅｆ，Ｆ_ｋ２（ｘ_ｓｕｆｆ），０），ｙを出力

【００３３】ε_Ｅ＝ε_Ｅ１＋ε_Ｅ＋とおく。ここで、ε
_Ｅ１は、ＥＮＭＡＣが攻撃され、Ａ _Ｅによって偽造され
たＥＮＭＡＣメッセージがおよそ１ブロックサイズであ
る（正確にいえば、ｂ−２より小さい）確率である。ま
た、Ｅ_＋およびε_Ｅ＋はそれぞれ、ＥＮＭＡＣが攻撃さ
れ、Ａ_Ｅによって偽造されたＥＮＭＡＣメッセージが１
ブロックサイズより大きい事象および確率であるとす
る。さらに、ε_Ｅ＋＝ε _{Ｅ＋，ｐｒｅｆ≠}＋ε
_{Ｅ＋，ｐｒｅｆ＝}である。ここで、ε_{Ｅ＋，ｐｒｅｆ≠}
は、ＥＮＭＡＣが多重ブロックメッセージで偽造され、
メッセージのプレフィクスが、以前にＡ_Ｅによって問合
せされたいずれのメッセージのプレフィクスとも等しく
ない確率である。また、ε_{Ｅ＋，ｐｒｅｆ＝}は、ＥＮＭ
ＡＣが多重ブロックメッセージで偽造され、メッセージ
のプレフィクスが、以前にＡ_Ｅによって問合せされたい
ずれかのメッセージのプレフィクスに等しい確率であ
る。この場合、偽造メッセージのサフィクスは、同じプ
レフィクスを有するメッセージのサフィクスとは異なら
なければならない。

【００３４】Ｐ［ｆのＭＡＣを偽造］＝Ｐ［ｆのＭＡＣがＥ_１により偽造される］＋Ｐ［ｆのＭＡＣがＥ_＋により偽造される］（１）＝ε_Ｅ１＋Ｐ［ｆのＭＡＣがＥ_＋により偽造される］＝ε_Ｅ１＋Ｐ［ｆのＭＡＣがＥ_{＋，ｐｒｅｆ≠}により偽造される］＋Ｐ［ｆのＭＡＣがＥ_{＋，ｐｒｅｆ＝}により偽造される］（２）＝ε_Ｅ１＋ε_{Ｅ＋，ｐｒｅｆ≠}＋Ｐ［ｆのＭＡＣがＥ_{＋，ｐｒｅｆ＝}により偽造される］＝ε_Ｅ１＋ε_{Ｅ＋，ｐｒｅｆ≠}＋Ｐ［Ｅ_{＋，ｐｒｅｆ＝}∩同じプレフィクスの集合内にサフィクス衝突がない］（３）＝ε_Ｅ１＋ε_{Ｅ＋，ｐｒｅｆ≠}＋１−Ｐ［バーＥ_{＋，ｐｒｅｆ＝}∪同じプレフィクスの集合内にサフィクス衝突がある］（４）＝ε_Ｅ１＋ε_{Ｅ＋，ｐｒｅｆ≠}＋１−Ｐ［バーＥ_{＋，ｐｒｅｆ＝}］−Ｐ［集合内に衝突がある］＋Ｐ［バーＥ_{＋，ｐｒｅｆ＝}∩集合内に衝突がある］ ≧ε_Ｅ１＋ε_{Ｅ＋，ｐｒｅｆ≠}＋１−Ｐ［バーＥ_{＋，ｐｒｅｆ＝}］−Ｐ［集合内に衝突がある］（５） ≧ε_Ｅ１＋ε_{Ｅ＋，ｐｒｅｆ≠}＋１−１＋ε_{Ｅ＋，ｐｒｅｆ＝}−Ｐ［ｑ個の問合せ内に衝突がある］（６） ≧ε_Ｅ１＋ε_{Ｅ＋，ｐｒｅｆ≠}＋１−１＋ε_{Ｅ＋，ｐｒｅｆ＝}−ε_Ｆ ≧ε_Ｅ１＋ε_Ｅ＋−ε_Ｆ ≧ε_Ｅ−ε_Ｆ（７） ε_ｆ≧Ｐ［ＥＮＭＡＣを偽造することによりｆのＭＡＣを偽造］≧ε_Ｅ−ε_Ｆ（８） ε_ｆ≧ε_Ｅ−ε_Ｆゆえに、ε_Ｅ≦ε_ｆ＋ε_Ｆ（９）

【００３５】式１は、ｆの新しいＭＡＣを偽造する確率
を、単一ブロックまたは多重ブロックのいずれかの、Ｅ
ＮＭＡＣのＭＡＣを偽造することによりｆの新しいＭＡ
Ｃを偽造する確率に分解する。多重ブロックＥＮＭＡＣ
を破ることによりｆを破る確率は、式２において、どの
プレフィクスもすべての問合せされたメッセージの他の
いずれかのプレフィクスに等しくない場合と、問合せさ
れたメッセージのうちに等しいプレフィクスがある場合
とに分解される。式３では、ｆのＭＡＣがＥ_＋
_{，ｐｒｅｆ＝}により偽造される確率が、Ｅ
_{＋，ｐｒｅｆ＝}が起こり、かつ、同じプレフィクスを有
するメッセージのうちにサフィクスのハッシュの衝突が
起こらない確率と等値される。式４は、ドモルガンの法
則を用いた式３の書き換えである。式６では、同じプレ
フィクスを有する集合中での衝突の確率が、ｑ個のすべ
ての問合せでの衝突の確率で置き換えられる。式９は、
ＥＮＭＡＣを偽造する確率ε_Ｅが、ＭＡＣを偽造する確
率ε_ｆと、衝突を見つける確率ε_Ｆの和より小さいとい
う、われわれの求める結果である。

【００３６】実際には、データはバイト単位で処理され
ることが多いため、メッセージｘの長さが、上で指定し
たｂ−２ビットではなくｂ−８ビットより小さいとき
に、単一ブロックの場合を実行するほうが適当かもしれ
ない。多重ブロックＥＮＭＡＣの場合、非ワード境界か
ら開始してｘ_ｓｕｆｆを形成すると、ｘ_ｓｕｆｆにおけ
る全ワードの再配置（アラインメントのしなおし）を引
き起こすことがある。これは、次のように、実用的な目
的のために、ビットではなくバイトサイズを用いたＥＮ
ＭＡＣの変形を用いることにより回避することができ
る。

【数３】ここで、基礎となる暗号ハッシュ関数ｆとしてＳＨＡ−
１を用いた場合、ｘ_ｐｒｅｆ＝ｘ_１...ｘ_{｜ｘ｜−３４４} ｘ_ｓｕｆｆ＝ｘ_{｜ｘ｜−３４３}...ｘ_｜ｘ｜である。６３バイト（５０４ビット）までの長さのメッ
セージについては、メッセージを５０４ビットにパディ
ングするための１つの１とそれに続く０の追加的なパデ
ィングに加えて、最終バイトが、ブロックインジケータ
のために、すなわち「Ｘ００００００１」として予約さ
れる。ここで、１は単一ブロックメッセージを示し、Ｘ
は、５０４ビットのパディングなしメッセージにつづく
「１」であることが可能である。５０４ビットより短い
パディングなしメッセージの場合、Ｘは「０」である。
５０４ビットより長いメッセージの場合、メッセージは
部分ｘ_ｐｒｅｆおよびｘ_ｓｕｆｆに分割される。ここ
で、ｘ_ｓｕｆｆの長さは４３バイト（３４４ビット）で
あり、ｘ_ｐｒｅｆの長さ＝メッセージの長さ−３４４ビ
ット、である。

【００３７】上記の実施例に加えて、本発明の原理によ
るメッセージ認証システムは、入力パラメータや圧縮
（ハッシュ）関数あるいはその他の演算、鍵値の省略あ
るいは追加を行うことや、上記のシステムの変形あるい
は一部を使用することも可能である。例えば、図１３ａ
および図１３ｂは、次のような改良されたＨＭＡＣとし
て使用されるメッセージ認証システムの実施例を示す。

【数４】第１の図１３ａの場合、メッセージｘは単一ブロックに
収まる。これは、メッセージｘが、ｂ−１−他フィール
ド、より小さくなければならないことを意味する。ここ
で、他フィールドには、ハッシュ関数Ｆのパディングあ
るいは長さ付加方式によるいくつかのビットが含まれ
る。ｘが十分小さいと仮定すると、最初の部分がｋ
（＋）ｏｐａｄで、それにｘが続き、さらにそれに１に
セットされた１ビットが続くという、より長い入力が形
成される。このより長いメッセージは、基礎となるハッ
シュ関数Ｆに入力される。Ｆの内部を見ると、まず、鍵
ｋ１が、圧縮関数ｆ（ｋ（＋）ｏｐａｄ）を呼び出すこ
とによって生成される。ここで、ｋは、適当な長さにパ
ディングされなければならない可能性がある。その結果
は、圧縮関数への次の呼出しのための連鎖変数として使
用される。そのペイロードは、（ｘ，１）に、ハッシュ
関数Ｆの仕様に従ってパディングあるいは長さ付加した
ものである。

【００３８】図１３ｂは、メッセージｘが、必要な付加
フィールドとともに、１ブロックに収まらない場合であ
り、この場合、ストリングｘは、２つの部分（セグメン
ト）ｘ_ｐｒｅｆおよびｘ_ｓｕｆｆに分解される。ここ
で、ｘ_ｐｒｅｆ＝ｘ_１...ｘ_{ｂ−ｔ−１−ｏｔｈｅｒ} ｘ_ｓｕｆｆ＝ｘの残りの部分である。まず、内側ハッシュ関数１３０で、鍵ｋとｉｐ
ａｄの間のビットごとの排他的論理和を実行してｋ２を
生成する。このｋ２は、入力ブロックｘ_ｓｕｆｆ _１とと
もに連鎖変数として使用される。ブロックｘ_{ｓｕｆｆｎ}
が最後の圧縮関数に入力されるまで、圧縮関数ｆが、パ
ディング、付加長フィールドあるいはその他のフィール
ドとともに呼び出され、Ｆ（ｋ（＋）ｉｐａｄ，ｘ
_ｓｕｆｆ）のハッシュ関数の結果が生成される。ここ
で、ｋは、適当な長さにパディングされなければならな
いこともある。外側ハッシュ関数１３２では、値ＩＶを
連鎖変数とし、ｋ（＋）ｏｐａｄを入力として圧縮関数
１３４を呼び出すことによって、鍵ｋ１が決定される。
値ｋ１は、ｘ_ｐｒｅｆの後にＦ（ｋ（＋）ｉｐａｄ，ｘ
_ｓｕ _ｆｆ）を付加しその後にゼロを付加したものを入力
とする圧縮関数１３６のための連鎖変数として使用され
る。その結果のＦ（ｋ（＋）ｏｐａｄ，ｘ_ｐｒｅｆ，Ｆ
（ｋ（＋）ｉｐａｄ，ｘ_ｓｕｆｆ），０）は、ＭＡＣを
提供するために使用することができる。

【００３９】図１４ａおよび図１４ｂは、バイト単位で
の具体的実装例に関して以下で説明するようなＳＭＡＣ
システムとして使用される、メッセージ認証システムの
もう１つの実施例を示す。

【数５】ｘ_ｐｒｅｆ：バイトｘ_１...ｘ_{｜ｘ｜−４３} ｘ_ｓｕｆｆ：バイトｘ_{｜ｘ｜−４２}...ｘ_｜ｘ｜

【００４０】他の実施例と同様、ＳＭＡＣは２つの場合
からなる。すなわち、図１４ａの単一ブロック（≦６３
バイト）の場合、および、図１４ｂの多重ブロック（＞
６３バイト）の場合である。いずれの場合でも、ＳＨＡ
関数のような鍵つき圧縮関数ｆへの呼出しが行われる。
単一ブロックの場合、他の関数呼び出しは不要である。
しかし、多重ブロックの場合、標準のＳＨＡ１＿ＨＡＳ
Ｈのような鍵なしハッシュ関数Ｆ（１４０）が、メッセ
ージの最初の部分ｘ_ｐｒｅｆに適用される。次に、その
ハッシュ結果と、メッセージの残りの部分が入力すなわ
ちペイロードブロックに入れられ、鍵つき圧縮関数ｆ
（１４２）への呼出しが行われる。ＳＨＡ−１圧縮関数
ｆの引数の詳細を下記の表３および表４に示す。

【００４１】示されているように、ｓｈａ１圧縮関数の
５１２番目のビットは、「単一ブロックインジケータビ
ット」として使用され、単一ブロックの場合には１にセ
ットされ、多重ブロックの場合には０にセットされる。
この実施例ではメッセージはバイトの倍数で処理される
ため、最終バイト内の残りのビットはいずれも、メッセ
ージを処理するために使用することはできない。したが
って、圧縮関数の最終（６４番目の）バイト全体が予約
される。多重ブロックの場合、表４に示すように、ビッ
ト５０５〜５１１もまたゼロにセットされる。単一ブロ
ックの場合、ビット５０６〜５１１はゼロにセットされ
るが、５０５番目のビットは追加のパディングビットと
して使用される。その機能は、単一ブロックの場合に使
用されるパディング方式について説明した後には明らか
になるであろう。

【００４２】１ブロックを部分的に満たすメッセージは
パディング方法を必要とする。多重ブロックの場合は、
圧縮関数を満たすためにパディング方法を必要としな
い。その理由は、ブロックは表４に示すように完全に満
たされるからである。しかし、ＳＨＡ１＿ＨＡＳＨ関数
は、ｘ_ｐｒｅｆをハッシュするときに、その固有のパデ
ィングを使用する。単一ブロックの場合にメッセージを
パディングするため、１個の１をメッセージに付加した
後、ブロック内の残りのビット数が満たされるまで（よ
り正確には、５０５番目のビットが満たされるまで）の
個数のゼロ（ないこともある）を付加する。例として、
単一ブロックメッセージの長さが６３バイトすなわち５
０４ビットである特殊な場合には、１個の１が５０５番
目のビットに付加される。残りのビット５０６〜５１２
は前述のように満たされる。

【００４３】多重ブロックの場合、ハッシュ関数Ｆ（１
４０）は、ブロックｘ_{ｐｒｅｆ１}〜ｘ_{ｐｒｅｆｎ}におい
ては、メッセージの最後の４３バイト以外のすべてのバ
イトに適用され、２０バイトのダイジェストを出力す
る。最後の４３バイトは、圧縮関数ｆ（１４２）によっ
て処理されるようにするため、ハッシュ関数Ｆでは処理
されない。４３バイトである理由は、表４に示すよう
に、利用可能な６４バイトのうち、最初の２０バイトは
ダイジェストとして使用され、最終バイトは、ＳＨＡ−
１ハッシュ関数およびＳＨＡ−１圧縮関数のために特別
に予約されるからである。

【００４４】

【表３】表３：単一ブロックの場合：ｓｈａ１圧縮関数の引
数

【００４５】

【表４】表４：多重ブロックの場合：ｓｈａ１圧縮関数の引
数

【００４６】図１５に、ＳＭＡＣ関数の流れ図を示す。
最初に、ステップ１４８で、鍵がＩＶとＸＯＲされ、ｓ
ｈａ１圧縮関数の連鎖変数にロードされる。ブロック１
５０で、処理回路は、｜ｘ｜＞６３バイトであるかどう
かを判断する。｜ｘ｜＞６３バイトでない場合、処理回
路は単一ブロックの場合に進み、ブロック１５２で、メ
ッセージｘが圧縮関数ｆの５１２ビットブロックの左側
にロードされる。ブロック１５４で、処理回路は、次の
ビットに「１」を付加する。ブロック１５６で、最後の
５１２番目のビットまで、ブロックの残りの部分がゼロ
で満たされる。ブロック１５８で、最後の５１２番目の
ビットは１にセットされる。ブロック１６０で、連鎖変
数（ＫＸＯＲＩＶ）と、ブロック１５２〜１５８か
らのペイロードとを用いて圧縮関数ｆが呼び出される。
ブロック１６２で、２０バイトのＭＡＣが返される。

【００４７】ブロック１５０で、｜ｘ｜＞６３バイトで
ある場合、処理回路は多重ブロックの場合に進む。ブロ
ック１６４で、メッセージｘは２つの断片、すなわち、
ｘ_ｐ _ｒｅｆ：バイトｘ_１...ｘ_{｜ｘ｜−４３}と、ｘ
_ｓｕｆｆ：バイトｘ_{｜ｘ｜−４２}...ｘ_｜ｘ｜、に分割
される。ブロック１６６で、ＳＨＡ１＿ＨＡＳＨ関数が
ｘ_ｐ _ｒｅｆで呼び出され、２０バイトの結果が生成され
る。ブロック１６８で、この２０バイトの結果が、ｓｈ
ａ１圧縮関数の６４バイトブロックの左側にロードさ
れ、ｘ_ｓｕｆｆがバイト２１〜６３に付加される。ブロ
ック１７０で、最後の６４番目のバイトが０にセットさ
れる。最後に、ブロック１７２で、最初に計算された連
鎖変数（ＫＸＯＲＩＶ）と、ブロック１６８および
１７０からのペイロードとを用いて、ｓｈａ１圧縮関数
が呼び出される。ブロック１６２で、２０バイトのＭＡ
Ｃが返される。

【００４８】ＳＭＡＣはＨＭＡＣよりもＮＭＡＣに近い
ため、ＳＭＡＣをＨＭＡＣではなくＮＭＡＣと比較する
ことにする。ＮＭＡＣは、ハッシュ関数Ｆへの内側呼出
しと、圧縮関数ｆへの外側呼出しを有する。ＳＭＡＣ
は、６３バイトより長いメッセージに対しては同じこと
を行うが、それより短いメッセージに対してはハッシュ
呼出しをスキップする。長いメッセージの場合、ＳＭＡ
Ｃは、メッセージの一部を外側圧縮呼出しで処理するた
め、内側ハッシュ関数呼び出しにより処理されるテキス
トが少なくなる。ＮＭＡＣはこれを行わないが、代わり
に、外側圧縮呼出しのペイロードの残りをゼロで満た
す。ＮＭＡＣでは、内側ハッシュ関数は鍵つきであるの
に対して、ＳＭＡＣは、内側呼出しに鍵をかけない。Ｓ
ＭＡＣの内側呼出しに鍵をかけることも可能であるが、
効率性の目的のために、本実施例ではそのようにしなか
った。その安全性は基本的に影響を受けない。その理由
は、鍵なしＳＨＡ１＿ＨＡＳＨ関数であっても衝突を見
つけるのは実行不可能であると考えられているからであ
る。

【００４９】以下は、ＳＭＡＣを実装するために使用可
能なコードである。

【００５０】内側格納データへの出力： MAC 32 bits /* smacは次の関数を呼び出す */ sha1_comp(unsigned char cv[20], unsigned char temp[64], unsigned char adigest[20]) { /* sha1_compはｓｈａ１圧縮関数であり、cvは１６０ビットの連鎖変数であり、tempは５１２ビットのペイロードであり、結果は１６０ビットのadigestに出力される */ ... } SHA1_HASH(unsigned char *M, int textlen, unsigned char adigest[20]) { /* SHA1_HASHはハッシュ関数であり、Mはメッセージであり、textlenはメッセージ内のバイト数であり、結果は１６０ビットのadigestに出力される */ ... } smac(int keylen, unsigned char *K, int textlen, unsigned char *M, unsign ed char mac[20]) { int i, j; unsigned char cv[20], temp[64]; /* ２０バイトの連鎖変数cvをｆｉｐｓ１８０で定義されるようにセット */ cv[0]=0x67; cv[1]=0x45; cv[2]=0x23; cv[3]=0x01; cv[4]=0xef; cv[5]=0xcd; cv[6]=0xab; cv[7]=0x89; cv[8]=0x98; cv[9]=0xba; cv[10]=0xdc; cv[11]=0xfe; cv[12]=0x10; cv[13]=0x32; cv[14]=0x54; cv[15]=0x76; cv[16]=0xc3; cv[17]=0xd2; cv[18]=0xe1; cv[19]=0xf0; /* 鍵を連鎖変数とＸＯＲする */ for(i=0; i<keylen; i++) cv[i] = cv[i] ^ K[i]; /* temp圧縮ブロックをオールゼロにセット */ for(i=0; i<64; i++) temp[i] = 0; if ( textlen <= 63 ) { /* メッセージを最も左側にロード */ for(i=0; i<textlen; i++) temp[i] = M[i]; temp[i] = 0x80; /* '1'を付加。残りのビットは事前に０にセットされる */ temp[63] = temp[63] | 0x01; /* ５１２番目のビットを'1'にセット */ sha1_comp(cv, temp, mac); } else { /* textlen > 63 */ /* Mのプレフィクスに対するSHA1_HASH */ SHA1_HASH(M, textlen-43, mac); for(i=0; i<20; i++) temp[i] = mac[i]; /* ダイジェストを最も左側にコピー */ for(i=20; i<63; i++) temp[i] = M[textlen-43+(i-20)]; /* 次にMのサフィクスをコピー */ temp[63] = 0x00; /* 最終バイトをゼロにセット */ sha1_comp(cv, temp, mac); } }

【００５１】以上、ＭＡＣシステムについて、ＳＨＡ−
１のような特定のハッシュ（圧縮）関数とともに使用さ
れるものとして説明したが、他のハッシュ関数や関連す
る暗号関数、また、別のあるいは追加の関数を使用する
ことも可能である。さらに、メッセージ、ペイロード、
連鎖変数および鍵値について、特定のビットあるいはバ
イトが記載されているが、実施例に依存して、これらの
数は変更可能である。さらに、鍵値は、鍵またはその一
部から導出された鍵であることも可能である。理解され
るべき点であるが、さまざまな値、入力およびアーキテ
クチャブロックについて、異なる記法、用語および特徴
づけを使用することも可能である。例えば、圧縮関数ｆ
という用語が使用され、ハッシュ関数Ｆという用語が使
用され、反復ハッシュ関数Ｆは、圧縮関数ｆの反復（連
鎖）を用いて構成されている。理解されるべき点である
が、圧縮関数はハッシュ関数でもある。

【００５２】代替実施例では、メッセージ認証システム
について記載された関数は、ホーム認証センタ、ホーム
ロケーションレジスタ（ＨＬＲ）、ホームＭＳＣ、在圏
認証センタ、在圏ロケーションレジスタ（ＶＬＲ）ある
いは在圏ＭＳＣにある処理回路で実行されることが可能
である。さらに、メッセージ認証センタおよびその各部
分は、ワイヤレス装置、基地局、基地局コントローラ、
ＭＳＣ、ＶＬＲ、ＨＬＲあるいはその他のワイヤレス通
信システムのサブシステムで実行されることが可能であ
る。実施例に依存して、ＭＡＣは、メッセージとともに
送信されることが可能であり、その場合、ＭＡＣは、受
信端で生成されたＭＡＣと比較・検証される。ＭＡＣが
メッセージとともに送信される前に、追加機能がＭＡＣ
を変更あるいは変換することが可能であり、その場合、
同じ機能が、比較・検証（メッセージ認証）のために、
受信端で生成されるＭＡＣに対して実行されることが可
能である。最後に、ＭＡＣが送信され、追加機能が、受
信されたＭＡＣと受信端で生成されたＭＡＣを変更ある
いは変換してメッセージ認証を実行することも可能であ
る。追加機能の一例は、メッセージ認証を実行する際の
比較・検証機能のために、ＭＡＣの下位３２ビットを使
用するものである。こうして、ＭＡＣ、あるいは、変更
または変換されたＭＡＣは、ＭＡＣまたはタグと呼ぶこ
とが可能である。

【００５３】さらに、上記では、メッセージ認証システ
ムはワイヤレス通信システムに関連して説明されている
が、メッセージ認証システムは、送信側から受信側へ任
意のネットワークあるいは通信媒体を通じて送信される
通信メッセージを認証（その完全性を検証）するために
使用可能である。

【００５４】

【発明の効果】以上述べたごとく、本発明によれば、長
短両方のメッセージがＨＭＡＣより効率的にメッセージ
認証されることが可能となる。

【００５５】特許請求の範囲の発明の要件の後に括弧で
記載した番号がある場合は、本発明の一実施例の対応関
係を示すものであって、本発明の範囲を限定するものと
解釈すべきではない。

【図面の簡単な説明】

【図１】本発明の原理によるＭＡＣ生成システムを使用
可能なワイヤレス通信システムの概略図である。

【図２】ワイヤレス装置からワイヤレス通信システムへ
送信されるメッセージを認証するためにＭＡＣがどのよ
うに使用されるかを示す概略図である。

【図３】ワイヤレス通信システムからワイヤレス装置へ
送信されるメッセージを認証するためにＭＡＣがどのよ
うに使用されるかを示す概略図である。

【図４】圧縮関数ｆのブロック図である。

【図５】与えられた圧縮関数ｆに対するハッシュ関数Ｆ
の反復構成を示すブロック図である。

【図６】鍵つきハッシュ関数を示すブロック図である。

【図７】ネスト化ハッシュ関数（ＮＭＡＣ）を示すブロ
ック図である。

【図８】ＨＭＡＣとして知られるＮＭＡＣの変形を示す
ブロック図である。

【図９】本発明の原理によるメッセージ認証システムに
おける単一ブロックの場合のブロック図である。

【図１０】本発明の原理によるメッセージ認証システム
における多重ブロックの場合のブロック図である。

【図１１】本発明の原理によるメッセージ認証システム
のＥＮＭＡＣ実施例のブロック図である。

【図１２】本発明の原理によるメッセージ認証システム
のＥＮＭＡＣ実施例の流れ図である。

【図１３】本発明の原理によるメッセージ認証システム
のＥＨＭＡＣ実施例のブロック図である。

【図１４】本発明の原理によるメッセージ認証システム
のＳＭＡＣ実施例のブロック図である。

【図１５】本発明の原理によるメッセージ認証システム
のＳＭＡＣ実施例の流れ図である。

【符号の説明】

１２ワイヤレス装置１４，１６地理的領域（地理的エリア）２０，２４移動通信交換局（ＭＳＣ）２２，２６基地局２５ワイヤライン装置２８公衆交換電話網（ＰＳＴＮ）２９パケットデータネットワーク（ＰＤＮ）３２シグナリングネットワーク（信号網）３４ホームロケーションレジスタ（ＨＬＲ）３６在圏ロケーションレジスタ（ＶＬＲ）５０，５２，５６，５８ＭＡＣジェネレータ９０鍵つき圧縮関数ｆ１０２外側ハッシュ（圧縮）関数ｆ１３０内側ハッシュ関数１３２外側ハッシュ関数１３４，１３６圧縮関数１４０鍵なしハッシュ関数Ｆ１４２鍵つき圧縮関数ｆ

───────────────────────────────────────────────────── フロントページの続き (71)出願人 596077259 600 ＭｏｕｎｔａｉｎＡｖｅｎｕｅ, ＭｕｒｒａｙＨｉｌｌ，ＮｅｗＪｅｒｓｅｙ 07974−0636Ｕ．Ｓ．Ａ. (72)発明者シャールバールパテールアメリカ合衆国、07045 ニュージャージー州、モントヴィル、ミラーレーン 34 Ｆターム(参考） 5J104 AA08 JA01 JA21 LA01 LA03 LA05 NA12 PA01 5K067 AA30 DD51 EE02 EE10 EE16 GG01 GG11 HH24

Claims

【特許請求の範囲】

【請求項１】認証のためにメッセージを処理する方法
において、前記メッセージが圧縮関数の１入力ブロック内に収まる
ときに、鍵および前記メッセージを入力として使用し
て、前記圧縮関数の単一の適用を実行するステップと、前記メッセージが前記圧縮関数の１入力ブロック内に収
まらないときに、前記メッセージを処理するために、鍵
つきハッシュ関数内にネストされたハッシュ関数を使用
するステップとを有することを特徴とする、認証のため
にメッセージを処理する方法。
【請求項２】前記使用するステップは、前記メッセージの第１部分および第２部分を提供するス
テップと、前記第１部分を入力として使用してハッシュ関数を実行
して結果を得るステップと、前記第２部分および前記結果を入力として使用して鍵つ
きハッシュ関数を実行するステップとを有することを特
徴とする請求項１記載の方法。
【請求項３】前記ハッシュ関数は反復ハッシュ関数Ｆ
であり、前記鍵つきハッシュ関数は鍵つき圧縮関数ｆで
あることを特徴とする請求項２記載の方法。
【請求項４】前記ハッシュ関数は反復ハッシュ関数Ｆ
であり、前記鍵つきハッシュ関数は反復ハッシュ関数Ｆ
であることを特徴とする請求項２記載の方法。
【請求項５】前記圧縮関数の結果を用いてメッセージ
認証コードを生成するステップと、前記メッセージ認証コードを用いて前記メッセージを認
証するために、前記メッセージとともに前記メッセージ
認証コードを送信するステップとをさらに有することを
特徴とする請求項１記載の方法。
【請求項６】前記圧縮関数の結果を用いてメッセージ
認証コードを生成するステップと、前記メッセージ認証コードを、前記メッセージとともに
受信された受信メッセージ認証コードと比較するステッ
プとをさらに有し、前記メッセージ認証コードと前記受信メッセージ認証コ
ードが一致した場合に前記メッセージは真正であること
を特徴とする請求項１記載の方法。
【請求項７】認証のためにメッセージを処理する方法
において、前記メッセージの第１部分および第２部分を提供するス
テップと、結果を得るために、前記第１部分を入力として使用して
ハッシュ関数を実行するステップと、前記第２部分および前記結果を入力として使用して鍵つ
きハッシュ関数を実行するステップとを有することを特
徴とする、認証のためにメッセージを処理する方法。
【請求項８】前記メッセージが圧縮関数の１入力ブロ
ック内に収まるかどうかを判断するステップと、前記メッセージが圧縮関数の１入力ブロック内に収まら
ないときに、前記提供するステップ、前記ハッシュ関数
を実行するステップおよび前記鍵つきハッシュ関数を実
行するステップを実行するステップとを有することを特
徴とする請求項７記載の方法。
【請求項９】メッセージが圧縮関数の１入力ブロック
内に収まるときに、鍵および前記メッセージを入力とし
て使用して、前記圧縮関数の単一の適用を実行し、前記
メッセージが前記圧縮関数の１入力ブロック内に収まら
ないときに、前記メッセージを処理するために、鍵つき
ハッシュ関数内にネストされたハッシュ関数を使用する
ように構成された処理回路を有することを特徴とするメ
ッセージ認証システム。
【請求項１０】メッセージの第１部分および第２部分
を提供し、結果を得るために、前記第１部分を入力とし
て使用してハッシュ関数を実行し、前記第２部分および
前記結果を入力として使用して鍵つきハッシュ関数を実
行するように構成された処理回路を有することを特徴と
するメッセージ認証システム。