JP2003535362A - 暗号多項式の解読 - Google Patents

Abstract

(57)【要約】 秘密鍵ｆを使用して暗号多項式ｅを解読する方法であって、（ａ）試行多項式a=f*e(mod q)、ｑを整数として、計算すること、（ｂ）試行多項式ａに基づいて、多項式ｅが正しく復号されたか否か決定し、正しく復号をされていなければ、（ｉ）試行多項式のａのどの係数が、復号失敗の原因となったであろうかを決定し、（ｉｉ）前記係数を調整して新しい試行多項式を定義し、（ｉｉｉ）新しい試行多項式を使用して暗号多項式ｅの復号を試みることを備えた方法。この方法は、特に、公開鍵暗号システムに応用することができ、さらに、多項式ベースのシステムに応用することができる。

Description

【発明の詳細な説明】

【０００１】 本発明は、暗号多項式を解読する方法に関する。特に、これに限らないが、公
開鍵暗号システムに関する。

【０００２】 本発明は、様々な態様において、ＮＴＲＵ ＰＣＴ特許出願ＷＯ ９８／０８
３２３（「ＮＴＲＵ特許出願」）に開示されている各種暗号化および暗号解読ア
ルゴリズムとともに使用するのが好ましい。ただし、後述のまたは請求項に定義
された本発明の態様は、特定の文脈で使用することに制限されないことを理解す
べきである。

【０００３】 本発明は、様々な態様において、後述の方法を実行するコンピュータプログラ
ム、このようなコンピュータプログラムを表すデータストリーム、およびこのよ
うなコンピュータプログラムを伝送する物理的キャリアにまで拡張される。本発
明は、さらに、このような方法を実行するように適合され、または構成された装
置およびシステムにも拡張される。

【０００４】 本発明の一態様では、秘密鍵ｆを使用して暗号多項式ｅを解読する方法が提示
されており、これは、 （ａ）ｑを整数、a=f*e(mod q)として、試行多項式ａを計算すること、 （ｂ）試行多項式ａに基づいて、多項式ｅが正しく復号されたか否かを決定し
、正しく復号されていなければ、 （ｉ）試行多項式ａのどの係数が、復号の失敗の原因となったであろうかを
決定し、 （ｉｉ）係数を調整して新しい試行多項式を定義し、および、 （ｉｉｉ）新しい試行多項式を使用して暗号多項式ｅの復号を試みること を備えた。

【０００５】 このアプローチは、個々の誤りの識別を試み、できる限り訂正しようとするも
のであり、個々の誤りを追跡せずに、試行多項式ａ全体を一度に訂正しようとす
る従来技術のアプローチに比べて、効率の点で著しく向上する。

【０００６】 さらに効率を高めるために、アルゴリズムは、好ましくは、試行多項式ａのど
の係数が、復号の失敗の原因となったであろうかを、演繹的に決定すること試み
る（発生時に）。また、好ましくは、復号の失敗の原因であることの各々の期待
値に応じて、係数を並べ替える。次に、最大から最小への期待値の順序で係数を
取り出して、１つずつ調整する。調整の後で、新しい試行多項式（調整済み）に
基づいて、さらに暗号多項式の復号を試みる。それが失敗した場合、次の係数を
試みる。この作業を、暗号多項式が復号されるか、または復号の試行を放棄する
まで繰り返す。

【０００７】 代替の構成では、多項式のさらに複雑な順序付けを計算し、２以上の係数が正
しくない可能性を許容することができる。このアプローチでは、単独またはグル
ープで、復号の失敗の原因であることの各々の期待値に応じて、多項式内の係数
を並べ替える。最大の期待値を有する係数または係数のグループを調整して、新
しい試行多項式を生成する。それが失敗した場合、次の係数または係数のグルー
プを取り出して、適切な調整を行う。このプロセスを、暗号多項式が適切に復号
されるか、または復号の試行を放棄するまで繰り返す。

【０００８】 係数または係数のグループが復号失敗の原因であることの演繹的な期待値を、
各々の係数値に応じて決定することができる。より具体的には、期待値は、各々
の係数値と事前定義された係数値との近接、または事前定義された最大および最
小の要求された値に応じて決定することができる。試行多項式を、ｑを法として
正の最小剰余に還元するとき、事前定義された係数値は、ｑ／２を取ることがで
きる。あるいは、試行多項式を、ｑを法として絶対最小剰余に還元するとき、期
待値は、係数とｑ／２、および／または係数と−ｑ／２＋１との近接に基づくこ
とができる。あるいは、値ｑ／２−１と−ｑ／２の近接に基づくこともできる。

【０００９】 係数値と事前定義された値との近接を、期待値の順序を定義する、または定義
するのを補助する誤り訂正ルックアップテーブルへのエントリポイントとして使
用することができる。好ましい実施形態では、多項式ａは、０を中心としており
、期待値は係数の絶対値に基づく。

【００１０】 係数は、整数値を加算し、または整数値を減算して調整することができる。該
当する場合、係数を上下に動かす量を、元のメッセージを復号するのに使用した
パラメータに基づいてあらかじめ決定することができる。典型的には、正確な所
要移動量を、移動の方向に沿ってあらかじめ計算することができる。

【００１１】 本発明の他の態様により、暗号化されたメッセージの妥当性を確認する方法が
提示されており、これは、 （ａ）メッセージをメッセージ多項式として表すこと、 （ｂ）メッセージ多項式を暗号化して暗号多項式を形成すること、 （ｃ）メッセージ多項式と暗号多項式を表す入力をともにハッシングしてハッ
シュ出力を生成すること、および、 （ｄ）暗号多項式により定義されている暗号化メッセージとハッシュ出力に基
づく情報の両方を受信者に送信することを備えた。

【００１２】 ハッシュ関数の入力は、連結するのが好ましい。

【００１３】 好ましくは、ハッシュ出力は、暗号化されたメッセージと関連して受信者に平
文として送信されるが（例えば、メッセージと連結されて）、別法として、ハッ
シュ出力を、送信する前に何らかの方法で操作することもできる（例えば、セキ
ュリティが著しく向上するわけではないが、それ自体を暗号化することもできる
）。

【００１４】 メッセージを受け取ると、受信者は、受信した暗号多項式と復号されたメッセ
ージ多項式に基づいて、再計算された出力と突き合わせてハッシュ出力をチェッ
クすることにより、送信された暗号化メッセージの妥当性を確認することができ
る。２つの出力が一致した場合、復号されたメッセージを正しいものとして受け
入れることができる。一致しない場合、復号されたメッセージは、拒絶されなけ
ればならない。

【００１５】 暗号多項式は、送信の前に、およびハッシュ関数に入力する前に、複数のバイ
トにまとめられたビット列により表すことができる。同様に、暗号多項式を、ビ
ット列で表すことができ（好ましくは１つの係数につき２ビット）、これらを同
様にハッシュされる前に複数のバイトにまとめることができる。

【００１６】 この方法は、多項式ベースの暗号システムに制約されてはおらず、一般的には
暗号化されたメッセージの妥当性確認を行う方法にも拡張でき、これは、 （ａ）メッセージ文を暗号化して暗号文を形成すること、 （ｂ）メッセージ文と暗号文を表す入力をともにハッシングしてハッシュ出力
を生成すること、および、 （ｃ）暗号文により定義されている暗号化メッセージとハッシュ出力に基づく
情報の両方を受信者に送信することを備えた。

【００１７】 メッセージ文（平文メッセージ）と暗号文をともにハッシングすることと、ハ
ッシュ値を受信者に送信することにより、攻撃者がメッセージ文または暗号文の
いずれかを検出せずに変更することを実質的に不可能にする。いずれかが変更さ
れると、受信者によって生成された対応するハッシュが一致しなくなり、システ
ムは、好ましくはそのメッセージを拒絶する。この情報が攻撃者に渡るのを防ぐ
ために、好ましいシステムでは、受信された暗号文が有効か否かを送信者に知ら
せない。

【００１８】 平文メッセージは、好ましい実施形態では、バイト列からなる２進数表現でよ
く、各バイトは、安全に送信する必要のあるメッセージ内の英数字またはその他
の文字を表す。

【００１９】 本発明の他の態様では、複数の送信攻撃から暗号システムを防御する方法が提
示されており、これは、 （ａ）暗号化される平文メッセージに暗号鍵をｋとする保護暗号を適用して、
保護されたメッセージを出力すること、 （ｂ）保護されたメッセージと暗号鍵ｋから暗号化入力メッセージを生成する
こと、および、 （ｃ）入力メッセージを暗号化することを備えた。

【００２０】 この方法は、同一メッセージが複数回送信されたとしても、毎回予測できない
形で、暗号化される文が異なるようにする。

【００２１】 入力メッセージは、好ましくは、保護されたメッセージと暗号鍵とを連結する
ことにより生成される。暗号鍵は、入力メッセージの第１の部分、または入力メ
ッセージの最後の部分である。あるいは、暗号鍵を他の都合のよい方法で保護さ
れたメッセージと組み合わせ、暗号化入力メッセージを生成することもできる。
唯一必要なのは、受信されたメッセージが受信者によって復号されたときに、受
信者が暗号鍵を抽出して、保護されたメッセージから平文メッセージを復元でき
ることである。連結は、保護されたメッセージとともに暗号鍵を送信し、受信者
が簡単に利用できるようにする最も容易で最も便利な手段にすぎない。

【００２２】 好ましくは、新しい平文メッセージごとに、暗号鍵をランダムに、または少な
くとも実質的にランダムに再生成する。暗号鍵を、適当なシード値を与えた疑似
乱数発生器を使って生成するか、または別法として、例えば、キーストロークや
マウスの移動のタイミングから導くことができるような「真のランダム」エント
ロピにより生成することができる。

【００２３】 保護された暗号は、単純なストリーム暗号とすることができる。都合のよいア
プローチでは、暗号鍵を、疑似乱数の出力列を生成する疑似乱数発生器にシード
値を与えることに使用する。この数列の中の数を、平文メッセージの個々の要素
に適用して、保護されたメッセージを提供する。例えば、これは、平文メッセー
ジを表す数値に疑似乱数を加えたり引いたりして実行する。

【００２４】 最も好ましい実施形態では、平文メッセージは２進数列として表され、暗号鍵
をシード値として、疑似乱数ビット列を生成するように疑似乱数発生器を配列す
る。平文メッセージのビットを、疑似乱数ビットとＸＯＲをとり、保護されたメ
ッセージを出力する。このようなアプローチにおいて、受信者は、受信したメッ
セージを解読した後で、単に暗号鍵ｋを抽出し、その暗号鍵を使用して乱数発生
器の初期状態を設定する。乱数発生器を使用して、保護されたメッセージを生成
するために最初に使用したのと同じ乱数ビット列を生成することができる。次に
、単に疑似乱数ビット列と受信した保護されたメッセージのビットのＸＯＲをと
ることにより平文メッセージを復元することができる。

【００２５】 平文メッセージは、好ましい実施形態では、バイト列からなる２進数表現でよ
く、各バイトは、安全に送信する必要のあるメッセージ内の英数字またはその他
の文字を表す。

【００２６】 入力メッセージは、好ましくは、公開鍵暗号、例えば多項式ベースの暗号を使
用して暗号化する。ただし、他の暗号、例えば楕円曲線技術に基づく暗号を使用
することもできる。

【００２７】 本発明の他の態様によれば、疑似乱数発生器は、 （ａ）エントロピ入力を受け取り、各々のハッシュ出力を生成することができ
る複数の第１層ハッシング手段と、 （ｂ）各々の第１層ハッシュ出力を入力として受け取り、疑似乱数を出力とし
て生成する第２層ハッシング手段とを備えた。

【００２８】 第１層ハッシング手段の各々は、好ましくは、追加のエントロピ入力を必要に
応じて、必要なときに呼び出すことができる。あるいは、追加のエントロピ入力
を、ブロックで、一度に第１層ハッシング手段のすべてに供給することができる
。

【００２９】 さらに疑似乱数が必要な場合には、第１層ハッシング手段の１つは、好ましく
は、再ハッシュ（re-hash）を計算し、新しいハッシュ出力を生成する。前述の
新しいハッシュ出力を、第２層ハッシング手段に渡し、そこで、ハッシュ出力を
使用してさらに疑似乱数を生成する。好ましくは、第２層ハッシング手段は、他
の第１層ハッシング手段により、すでに供給されているハッシュ出力とともに新
しいハッシュ出力を取り込み、すべてのハッシュ出力をまとめてハッシングして
、さらに疑似乱数を生成する。

【００３０】 好ましくは、再ハッシュを実行する第１層ハッシング手段の１つは、再ハッシ
ュの一部として、すでに得られているハッシュ出力と関連するカウンタ手段から
の他の入力の両方を含む。これにより、再ハッシュした出力が、毎回異なること
になる。

【００３１】 好ましくは、第１層ハッシング手段は、さらなる疑似乱数を生成すると必ず、
例えば次々に疑似乱数を選択することにより、利用可能な複数の第１層ハッシン
グ手段から変わる。あるいは、第１層ハッシング手段をランダムに選択すること
もできる。

【００３２】 カウンタ手段を、第１層ハッシング手段の各々に用意することができ、あるい
は、単一のカウンタ手段を使用して、カウンタ入力を第１層ハッシング手段のす
べてに供給することもできる。

【００３３】 第１層および第２層ハッシング手段を、ソフトウェアによるハッシュ関数、好
ましくはソフトウェアのハッシュ関数オブジェクトとして実現することができる
。あるいは、ハッシング手段をハードウェアで実現することもできる。

【００３４】 本発明は、第１層ハッシング手段へエントロピを供給するエントロピプールを
含む疑似乱数発生器にも拡張する。エントロピプールが供給されると、これは、
サブプールに分割され、各々のサブプールは、各々の第１層ハッシング手段にエ
ントロピを供給するように配列される。

【００３５】 さらに疑似乱数を生成するとき、第２層ハッシング手段では、入力として新し
いハッシュ出力だけでなく、第１層ハッシング手段の１つとは別の第１層ハッシ
ング手段からの前回のハッシュ出力を受け取ることができる。前回のハッシュ出
力および新しいハッシュ出力を連結して、第２層ハッシング手段への入力として
使用することができる。

【００３６】 本発明は、より一般的には、多層システムにも拡張される。例えば、３層シス
テムにおいて、疑似乱数出力は、複数の第２層ハッシング手段によって供給され
る第３層ハッシング手段により提供される。これらのハッシング手段は、それ自
体、複数の第１層ハッシング手段によって供給される。第１層ハッシング手段は
、必要に応じてエントロピ入力を受け取る。他の類似の多層システムももちろん
考えられる。

【００３７】 本発明は、さらに、疑似乱数を生成する対応する方法にも拡張される。例えば
、疑似乱数を生成する方法であって、 （ａ）エントロピ入力を複数の第１層ハッシュ関数に供給し、各々の複数のハ
ッシュ出力を生成すること、および、 （ｂ）ハッシュ出力を入力として第２層ハッシュ関数に供給し、出力として疑
似乱数を生成することを備えた方法にも拡張される。

【００３８】 本発明の他の態様では、デジタルメッセージの終わりを識別する方法が提示さ
れており、これは、 （ａ）第１の種類の複数のメッセージ要素から第１の文字列を構成し、メッセ
ージの要素の１つは、メッセージの終わりの要素を定義し、その後に第１の種類
の０またはそれ以上の非メッセージ要素を続けること、 （ｂ）変換関数を第１の文字列に適用し、第２の種類の複数の要素を備えた第
２の文字列に変換し、変換関数は、すべての可能な第２の種類の要素の組合せに
より定義される領域よりも小さい出力領域に、可能なすべての文字列をマップす
るように配列されること、および、 （ｃ）組合せにより変換関数の出力空間の外に置かれる第２の種類の複数の要
素からメッセージの終わりの要素の位置を識別するメッセージマーカの終わりを
選択することを備えた。

【００３９】 第１および／または第２の文字列を、例えば、データストリームとして、要素
ごとに処理することができるが、必ずしもそうする必要はない。文字列は、あら
ゆる点で双方向なので、もちろん、第１の文字列がデータストリームとして送信
されるときに、「その後に続く」という表現は、必ずしも非メッセージ要素が必
ずメッセージ要素の後に一時的に続く必要があることを意味しないし、まったく
容易に、一時的にメッセージ要素の前に来ることがあることを理解されるであろ
う。

【００４０】 変換関数は、考えられるすべての第１の文字列を、考えられるすべての第２の
種類の要素の組合せにより定義されている空間よりも小さい出力空間にマップす
るように定められており、これにより変換関数でアクセスできない「使用不可能
」空間が定義される。メッセージマーカの終わりは、組み合により「アクセス不
可能」な空間内に収まる第２の種類の複数の要素から選択される。

【００４１】 好ましくは、第１の文字列は２進要素の列であり、第２の文字列は３進要素の
列である。最も好ましい実施形態では、変換関数は、１９個の２進要素を１２個
の３進要素に変換するように定められている。メッセージが１９個の２進要素よ
りも長い場合（通常はそうである）、まず１９個の要素からなるブロックに分け
、それぞれのブロックを互いに別々に処理する。最後のブロックは、メッセージ
が入っていなければ、非メッセージ要素で埋めることができる。

【００４２】 メッセージマーカの終わりは、好ましくは、第２の文字列の長さと同じ長さと
する。特に、好ましい実施形態では、メッセージマーカの終わりは、１２個の３
進要素を含む。

【００４３】 本発明のより一般的な態様では、変換関数は、一方の基底の要素から異なる基
底の要素に変換することができる。好ましくは、この関数への入力は、関数から
の出力（例えば、３進）に比べて低い基底（例えば、２進）を持つが、高い基底
を持つこともできる。

【００４４】 第２の文字列が作成されると、例えば、これをメッセージマーカの終わりと連
結して、第３の文字列を形成することができる。この方法を暗号化の文脈で使用
すると、第３の文字列を暗号化して、受信者に送信することができる。

【００４５】 変換関数の出力空間の外にある空間は、複数の部分に分割することができ、各
々の部分は第１の文字列内の位置を表し、メッセージの終わりの要素の位置を、
対応する部分に入るメッセージマーカの終わりを選択することにより識別するこ
とができる。好ましい実施形態では、この空間は、１９個の部分に分割され、各
々の部分は、第１の２進文字列内の位置の１つを表す。

【００４６】 このような配列において、メッセージマーカの終わりを、その部分に入る可能
なマーカのグループから実質的にランダムに選択することができる。

【００４７】 好ましくは、第１の文字列内で、メッセージの終わり要素は、もしあるとすれ
ば、非メッセージ要素のすぐ隣に配置する。しかし、これは本質的なことではな
く、例えば、非メッセージ要素を、非メッセージ要素から一定の要素数だけ常に
分離することを考えることもできる。この一定の要素数には、特定のアプリケー
ションでは、毎回送信する必要のあるヘッダまたはその他の情報を格納すること
もできる。必要なのは、メッセージの終わり要素の位置が、メッセージマーカの
終わりから一意に決定できるということだけである。

【００４８】 本発明は、そのような方法を実行するコンピュータプログラム、そのようなコ
ンピュータプログラムを伝送する物理的キャリア、およびそのようなキャリアを
表すデータストリームにまで拡張される。

【００４９】 本発明はさらに、上記の方法を使用して、メッセージの終わりを識別すること
を含むデジタルメッセージを暗号化する方法に拡張される。好ましくは、暗号化
は、暗号化された情報を受信者に渡す前に第３の文字列を暗号化するステップを
含む。

【００５０】 本発明の他の態様では、デジタルメッセージの終わりを判別する方法が提示さ
れており、これは、 （ａ）逆変換関数を、第２の種類の複数の要素を含む第３の文字列に適用し、
逆変換関数は、入力として第２の種類の複数の要素を受け取り、それを第１の種
類の複数の要素に変換し、関数の出力が所定の値よりも第１の種類のより有意な
要素を有するとき、関数への入力として受け取られた複数の要素が、ともにメッ
セージマーカの終わりを備えたことを決定し、および、 （ｂ）第１の文字列として、メッセージマーカの終わりを表していた出力の部
分を除く関数の出力を受け取り、メッセージマーカの終わりに従ってメッセージ
の終わり要素の第１の文字列内の位置を判別することを備えた。

【００５１】 これは、本質的に、メッセージの終わりを識別する上記の方法の逆を表す。こ
の方法は、受け取った情報からメッセージマーカの終わりを抽出し、それから、
メッセージの最後の要素の位置を判別する必要のある受信者が使用する。その情
報を使用して、メッセージの全範囲を判別して、送信されたメッセージを抽出す
ることができる。

【００５２】 好ましくは、逆変換関数は、入力として１２個の３進要素を受け取り、出力と
して１９個の２進要素を出力する。ただし、本発明のより一般的な形態では、こ
の関数は、一方の基底から異なる基底に単純に変換するだけでもよい。

【００５３】 好ましくは、メッセージの終わり要素の位置は、入力としてメッセージマーカ
の終わりが与えられたときに、関数の出力が所定の値を超えたときの値に基づい
て決定することが好ましい。

【００５４】 本発明は、そのような方法を実行するコンピュータプログラム、そのようなコ
ンピュータプログラムを伝送する物理的キャリア、およびそのようなコンピュー
タプログラムを表すデータストリームにまで拡張される。

【００５５】 本発明の他の態様により、暗号化された文字列からデジタルメッセージを解読
する方法が提示されており、これは、 （ａ）暗号化された文字列を解読して第３の文字列を生成すること、 （ｂ）逆変換関数を、第２の種類の複数の要素を含む第３の文字列に適用し、
逆変換関数は、入力として第２の種類の複数の要素を受け取り、それを第１の種
類の複数の要素に変換し、関数の出力が所定の値よりも第１の種類のより有意な
要素を有するとき、関数への入力として受け取られた複数の要素が、ともにメッ
セージマーカの終わりを備えたことを決定すること、 （ｃ）第１の文字列として、メッセージマーカの終わりを表していた出力の部
分を除く関数の出力を受け取り、メッセージマーカの終わりに従ってメッセージ
の終わり要素の第１の文字列内の位置を判別すること、および、 （ｄ）第１の文字列からメッセージを復元することを備えた。

【００５６】 本発明はさらに、上述の方法のいずれか１つまたは組合せを組み込んだ暗号シ
ステムに拡張される。

【００５７】 本発明の他の態様では、ビット単位の論理演算を実行するように適合されたデ
バイス上で並列モジュロ演算を実行する方法が提示されており、これは、 （ａ）各々のビット単位のベクトルによって演算が行われる数値列（ｘ）を表
すこと、 （ｂ）ベクトルの各々の１ビットから第１のワード（Ｘ_〜0）を形成し、ベク
トルの各々の他のビットから第２のワード（Ｘ₁）を形成すること、 （ｃ）ワードの一方または両方にビット単位の論理演算を実行することを備え
た。

【００５８】 好ましくは、上記の方法は、 （ｄ）各々のビット単位のベクトルによって演算が行われる他の数値列（ｙ）
を表すこと、 （ｅ）ベクトルの各々の１ビットから他の第１のワード（Ｙ_〜0）を形成し、
ベクトルの各々の他のビットから他の第２のワード（Ｙ₁）を形成すること、 （ｆ）各第１のワード（Ｘ_〜0，Ｙ_〜0）の両方または各第２のワード（Ｘ₁，
Ｙ₁）の両方にビット単位の演算を実行することを含む。

【００５９】 好ましくは、第１のワードまたは各第１のワードを、ともにある場所に格納し
、第２のワードまたは各第２のワードを、ともに他方の間隔をあけた別の場所に
格納することが好ましい。第１の格納手段および第２の格納手段を提供して、こ
れを達成することができる。

【００６０】 一実施形態では、演算対象の数値および／または他の数値は、３を法として演
算が行われ、例えば、３進数（terts）により表現できる。

【００６１】 計算は、ソフトウェアで実行することもできるが、あるいは、ＸＯＲ、ＡＮＤ
、ＯＲ、およびＮＯＴゲートを使用してハードウェアで実行することもできる。

【００６２】 本発明は、上記の方法を使用する暗号化および／または暗号解読の方法にも拡
張される。

【００６３】 暗号化の好ましい方法は、Ｎ（Ｎ≧３）を法とする係数を有する多項式の加算
、減算、または乗算を実行することにより鍵を生成することを含み、第１の多項
式の係数は、数値（ｘ）列であり、第２の多項式の係数は、他の数値（ｙ）列で
ある。

【００６４】 暗号解読の好ましい方法は、Ｎ（Ｎ≧３）を法とする係数を有する多項式の加
算、減算、または乗算を実行することを含み、第１の多項式の係数は、数値（ｘ
）列であり、第２の多項式の係数は、他の数値（ｙ）列である。

【００６５】 本発明は、上記の方法を実行するコンピュータプログラム、そのようなコンピ
ュータプログラムを伝送する物理的キャリア、およびそのようなコンピュータプ
ログラムを表すデータストリームにまで拡張される。

【００６６】 本発明の他の態様では、ビット単位の論理演算を使用して並列モジュロ演算を
実行するデジタルデバイスが提示されており、これは、 （ａ）各々のビット単位のベクトルによって演算が行われる数値列（ｘ）を表
す手段と、 （ｂ）ベクトルの各々の１ビットから第１のワード（Ｘ_〜0）を形成し、ベク
トルの各々の他のビットから第２のワード（Ｘ₁）を形成する手段と、 （ｃ）ワードの一方または両方にビット単位の論理演算を実行する手段を備え
た。

【００６７】 本発明は、さまざまな方法で実践することができるが、例示によって、付属の
図面を参照しながら１つの特定のかつ好ましい実施形態について説明することに
する。

【００６８】 （１．はじめに） Tumbler（登録商標）は、本発明の出願人の暗号開発者ツールキットのブラン
ド名である。これは、多数の異なる暗号アルゴリズムと非アルゴリズム固有ＡＰ
Ｉを含み、NTRU Corporationによって開発されたNTRU PKCSアルゴリズムを中心
として、ただしこれに限らないが、構築されている。詳細については、「Hoffst
ein, Pipher and Silverman, NTRU: A Ring-Based Public Key Cryptosystem, J
P Buhler (ed), Lecture Notes in Computer Science 1423, Spring-Verlag, B
erlin, 1998, 267-288と、NTRU Cryptosystems, Inc.名義のＰＣＴ特許出願第Ｗ
Ｏ９８／０８３２３号に記載されている。全体を通して後者の文書を「ＮＴＲＵ
特許出願」と呼ぶ。

【００６９】 このアルゴリズムにより暗号法の現状が打破されたのである。従来の「巨大整
数」をベースとした製品群から決別したこのアルゴリズムは、多項式混合法に基
づいてより効率的で安全なシステムを構築する。しかし、裸のアルゴリズムは、
暗号製品として使用するにはほど遠い。間に数多くの機械類が必要である。ＮＴ
ＲＵの場合、優れた特長の源でもあるその独特のスタイルは、この機械類を、こ
のアルゴリズムを扱うことができるように再発明すべきことを意味する。

【００７０】 本書では、Tumbler（登録商標）に含まれるＮＴＲＵ ＰＫＣＳ（Public Key
Cryptosystem）の独自の実装について説明する。ＮＴＲＵ ＰＫＣＳを実用的な
暗号ツールとして実装しようとして直面したいくつかの問題について概要を述べ
、これらの問題を解決するためにTumbler（登録商標）で革新的な手法を使用す
る方法について説明する。

【００７１】 Tumbler（登録商標）内で使用されているこれらの革新的手法の多くは、互い
に独立しており、単独でまたは選択した任意の組合せにより使用することもでき
ることは理解されるであろう。以下の手法はすべて、Tumbler（登録商標）の好
ましい実施形態に含まれている。例えば、誤り訂正、メッセージマーカの終わり
、チェックメカニズム、大規模な疑似乱数発生器、モジュロ演算の使用、および
複数の送信攻撃からの保護などが、単独でまたは組み合わせて使用することがき
る。また、Tumbler（登録商標）は、ＮＴＲＵ特許出願で述べているように、主
に、ＮＴＲＵ ＰＫＣＳアルゴリズムを中心として構築されるが、この革新的手
法のほとんどは応用範囲がかなり広い。

【００７２】 （１．１ 元のＮＴＲＵ ＰＫＣＳ特許出願） ＮＴＲＵ特許出願では、公開鍵と秘密鍵という２つの関連する多項式を作成す
る方法を説明している。次に、公開鍵を使用して多項式の形式において、メッセ
ージを暗号化形式に変換する方法について説明する。この暗号化されたメッセー
ジは安全である。暗号化されたメッセージと公開鍵のみの知識を与えられて、元
のメッセージを取り出す作業は、現在の技術により妥当な時間で実行するにはか
なり複雑だからである。秘密鍵を知ると、通常、元のメッセージを復元できるの
で、暗号化された形式は、メッセージを安全に転送（または格納）する手段を提
供することができる。

【００７３】 （１．２ 不完全解） 秘密鍵と暗号化形式を使用すると、通常、オリジナルメッセージを復元できる
。メッセージを復元できない場合、これは、ラッピング障害またはギャップ障害
と呼ばれるエラーのためである。ラッピング障害は、所定の方法で簡単に復旧で
き、またギャップ障害は、まれにしか発生しないため無視できると信じられてい
た（ＮＴＲＵ特許出願第1.3節, p.31）。しかし、ラッピング障害を修復する推
奨された方法では、しばしば誤りを訂正できず、ギャップ障害は、よく起こるた
め使い勝手に大きく影響することが明らかになった。また、誤り検出の問題もあ
った。メッセージを解読しようとする人は、通常オリジナルを所有していないた
め、そのメッセージが正しく解読されたかどうかを知ることは困難であった。

【００７４】 計算項では、任意のデータファイルは、２進数からなる任意の長さの文字列で
ある。元のＮＴＲＵ特許出願に記述されているように、暗号法により固定長の３
進多項式が暗号化される。したがって、データファイルを固定長の３進多項式列
に変換し、すなわち得られた多項式列を元のデータファイルに戻すことができる
方法を提供する必要がある。

【００７５】 暗号を普通に使用していると、攻撃者と呼ばれる多くの人々は、常にそれを破
ろうと試みる。ＮＴＲＵ ＰＫＣＳを使用する場合には、暗号化されたメッセー
ジと公開鍵のみを与えられ、元のメッセージを取り出す作業は、現在の技術では
妥当な時間内に実行するにはかなり複雑すぎる。攻撃者にとっての解決方法は、
暗号化されたメッセージと公開鍵だけでなく、それ以上の情報を取得することで
ある。

【００７６】 暗号を使用する方法によっては、攻撃者が暗号を破るために使用できる追加の
情報を取得する可能性が実際にあり得る。これに対する簡単な答えは、これを許
す形で暗号を使用しないことである。しかし、場合によっては、実用目的に対し
ては制限が強すぎることがある。まったく同じメッセージを複数回送信すること
が望ましい状況、または潜在的攻撃者によりアクセスされる可能性のある自動化
されたシステムをセットアップしたい状況を以下で取りあげる。

【００７７】 ＮＴＲＵ特許出願では、暗号法の理論的アルゴリズムについて開示しているが
、実際のマシンでこのアルゴリズムの実行をどのようにするかについては開示し
ていない。この理論的アルゴリズムは、ステップが比較的少なく、現代のコンピ
ュータであればすぐに実行できる、すなわち高速な数学理論を採用している。た
だし、本出願では、このアルゴリズムを劇的に高速化する手法を考案した。

【００７８】 （１．３ Tumbler（登録商標）での解決法） ＮＴＲＵ ＰＫＣＳのTumbler（登録商標）の実装により、理論と実用との間
のギャップに橋が架けられる。また、これは、ＮＴＲＵに含まれる進歩に基づく
多数の新しい手法も含み、暗号、データ信号処理、およびコンピューティングの
他の分野であっても使用できる。

【００７９】 誤りを検出し、ラッピング障害とギャップ障害の両方を訂正する方法について
以下で詳述する。暗号をデータ機密保護の実用的な手段として使用できるように
するために、暗号解読されたメッセージの完全性に依存できる必要がある。ＮＴ
ＲＵ特許出願で開示されている元の方法を、後述の検出および訂正システムとと
もに使用することにより、最終的な事例であると確信される。

【００８０】 首尾一貫した「２進３進（bit to tert）」変換方式は、元の「メッセージマ
ーカの終わり」によるシステムとともに機能し、標準のコンピュータデータファ
イルとＮＴＲＵ ＰＫＣＳ多項式との間をインタフェースする。

【００８１】 Tumbler（登録商標）は、ＮＴＲＵ ＰＫＣＳと同時に動作するプロセスを含
み、またこれにより、ユーザはまったく同じメッセージを複数回送信したり、暗
号法のセキュリティを低下させずに、潜在的攻撃者によるアクセスがあり得る自
動化されたシステムを使用することができる。

【００８２】 ＮＴＲＵ ＰＫＣＳを処理するための最適な解決法を見つけるために各種の標
準的な数学的ツールを分析するだけでなく、Tumbler（登録商標）のＮＴＲＵ
ＰＫＣＳの実装担当者は、一見して直観に反するような独創的な方法を生み出し
、これは、ＮＴＲＵ ＰＫＣＳデータの多くを非常な高速で処理する。

【００８３】 ＮＴＲＵ ＰＫＣＳを使用した商用暗号法を促進するために、この内部アルゴ
リズムを多数のメカニズムと組み合わせて、一般的な攻撃から暗号の使用を保護
し、暗号と通常のデジタルデータ処理とをインタフェースし、および暗号法に内
在する問題を克服する必要がある。本出願では、このすべてがTumbler（登録商
標）で実現されていると確信している。

【００８４】 （２．数学に関する用語） ＮＴＲＵ暗号システム、およびTumbler（登録商標）のバージョンは、３つの
整数パラメータ(N, p, q)と、整数の係数を有する次数N-1以下の４つの多項式の
集合(L_f, L_g, L_φ, L_m)とに依存する。ｐおよびｑは、素数である必要はないが
、GCD(p, q)=1で、ｑは常にｐよりもかなり大きいと仮定する必要があることに
注意されたい。Tumbler（登録商標）では、実装は通常３であり、ｑは通常Ｎの
サイズに応じて６４、１２８、または２５６である。他の実装では、他の値を使
用することもできる。

【００８５】 切り捨てられた整数多項式の環 R=Z[X]/(X^N-1)を使用する。要素F∈Rは、多項
式またはベクトルとして次のように示される。

【００８６】

【数１】

【００８７】 Ｒにおける加算および乗算は、通常の多項式の演算とまったく同じように実行
される。ただし、乗算は、法(X^N-1)による還元を必要とする。

【００８８】 記号＊は、Ｒにおける乗算を表す。この＊乗算は、巡回畳み込み積として明示
的に与えられる。 F*G=H ただし、

【００８９】

【数２】

【００９０】 これは、係数「循環」すなわちＸ^Nの係数は、定数係数と組み合わされ（追加
され）、Ｘ^N+1の係数はＸの係数と組み合わされることを除き、通常の多項式乗
算とまったく同じであることに注意されたい。

【００９１】 実際、ｐまたはｑを法とする多項式の係数の値に関心がある。実際、演算の多
くは、環 Zp[X]/(X^N-1)またはZq[X]/(X^N-1)で実行されると考えられるが、ｐと
ｑの両方を法として還元された単一多項式の剰余を考慮するのが望ましい。

【００９２】 モジュロ(つまり)ｑを法とする乗算を実行する場合、ｑを法として係数を還元
することになる。

【００９３】 整数ｐを法として還元を行うときに覚えておくべき２つの有用な規則がある。 a(mod p)+b(mod p)=(a+b)(mod p) (c(mod p) x a(mod p))(mod p)=(c x a)(mod p)

【００９４】 Ｒは体ではない。しかし、ＮＴＲＵパラメータは、適切に選択された多項式が
Ｒにおいて逆元を持つ確率が非常に高くなるように選択されている。Ｒは、一意
の因数分解領域であるため、そのような多項式が存在するならば、逆元は一意に
定まる。

【００９５】 Ｌ_mは、ｐを法とする係数を有するＲのすべての多項式からなる。Ｌ_f、Ｌ_g、
およびＬ_φの元も、ｐを法とする係数を有するが、予め定義された重みが付けら
れている。Ｌ_gとＬ_φの多項式は、それぞれ、値１であり正確にd_g(N)およびd_φ(
N)の係数、および値−１であり正確にd_g(N)およびd_φ(N)の係数を有し、残りの
係数はすべて値が０である。Ｌ_fの多項式は、値１であるd_f(N)の係数、および値
−１であるd_f(N)-1の係数を有し、残りの係数はすべて値が０である。Ｌ_fの多項
式は、値１である１少ない係数を有し、逆元を求めることができる。

【００９６】 （３．概要） Tumbler（登録商標）暗号システムは、鍵作成システム、暗号化システム、お
よび暗号解読システムの３つの独立したシステムで形成される。この章では、こ
れら３つのシステムのそれぞれについて簡単に調べ、多数の基本プロセスからそ
れぞれを構築する方法の概要を説明する。

【００９７】 ＮＴＲＵ特許出願では、符号化と復号を非常に単純な２または３つのステップ
処理として記述している。Tumbler（登録商標）の実装では、多数の追加機能を
導入しており、これらのプロセスをより複雑なものにしている。後述のプロセス
はそれぞれ、流れ図の助けを借りて説明する。これら３つの流れ図とＮＴＲＵ特
許出願からの等価物とを比較することは興味深い（図３、４および５）。

【００９８】 鍵作成システムの場合、このプロセスは比較的単純である。しかし、鍵作成で
は、効率が大幅に向上している。

【００９９】 （３．１ 鍵作成） ここで、図１に示すように、鍵作成システムを説明する（ＮＴＲＵ特許出願の
図３と比較）。

【０１００】 １０１．鍵作成システムは、このアルゴリズムではパラメータＮおよびｑを取
る。ＮＴＲＵ特許出願で使用するパラメータｐは、３に固定されている。ただし
、他の値も使用できる。

【０１０１】 １０２．ＮＴＲＵ特許出願（第1.2節, p.31）で説明しているように、秘密鍵
多項式ｆを、Ｎに依存する集合Ｌ_fからランダムに選択する。

【０１０２】 １０３．３を法としてｆの逆元を計算する。「ユークリッドアルゴリズム」を
使用する代わりに、もっと効率の良い「Almost Inverse Algorithm」を使用する
。このアルゴリズムは、論文「Fast Key Exchange with Elliptic Curve System
s」、Richard Schoeppel, et al (Advances in Cryptology-CRYPTO 95, Lecture
Notes in Computer Science 973, ed. D.Coppersmith, Springer-Verlag, New
York, 1995 pp.43-56)に示されている。逆元が存在しない可能性がある。この場
合には、１０２に戻り、新しいｆを選択する。このアルゴリズムを実装する際に
、ベクトル表現に上の並列ビット演算による高速モジュロ演算のプロセスを使用
する（詳細については、第１２節を参照）。

【０１０３】 １０４．２を法としてｆの逆元を計算することを除き、１０３の場合と同様で
ある。このアルゴリズムを実装する際に、ベクトル表現に対する並列ビット演算
による高速モジュロ演算のプロセスを使用する（第１２節を参照）。

【０１０４】 １０５．素数を法とする逆元が与えられた場合、ブートストラッピングと呼ば
れるよく知られている数学的手法を使用し、その素数のべき乗を法としてそれか
ら逆元を計算することができる。これにより、２を法とする逆元からｑ（常に２
のべき乗）を法とする逆元を計算することができる。ブートストラッピングでは
、次の原理を使用する。Ｆが素数のべき乗ｐ^mを法とするｆの逆元であるとする
と、2F-f*F² は、ｐ^2mを法とするｆの逆元となる。

【０１０５】 １０６．ｆと同様の方法で、ただし集合Ｌ_gから、ｇをランダムに選択する。

【０１０６】 １０７．これは、ＮＴＲＵ特許出願で実行する計算と同じであるが（図３、ス
テップ３５０）、使用しやすいように含まれている因数ｐ（ｐ＝３）は、除く。

【０１０７】 １０８．秘密鍵は、ペアｆ、Ｆ₃である。

【０１０８】 １０９．次に、公開鍵ｈを公開することができる。これは、ステップ１０７で
計算されたものである。

【０１０９】 （３．２ 暗号化） ここでは、図２に示されているようなTumbler（登録商標）暗号化システムを
説明する。これは、ＮＴＲＵ特許出願（図４）で開示されている元の暗号化シス
テムと比較対照すべきである。

【０１１０】 図２では、記号‖を使用して、いずれかの側へのオブジェクトの連結を示して
いる。

【０１１１】 ２０１．暗号化システムは、元のメッセージデータ（平文）Ｐ内で、不定長の
バイト（２進）列として、公開鍵多項式ｈ、アルゴリズムパラメータＮおよびｑ
、および必要ならば、Multiple Transmission Attack保護鍵長（ＭＴＡ鍵）ｋを
得る。このプロセスではさらに、ＳＨＡ−１ハッシュ関数Ｈ（）を使用する。Ｓ
ＨＡ−１は、米国政府の国立標準技術研究所のSecure Hash Standards(FIPS 180
-1)で定義されている。

【０１１２】 もちろん、平文Ｐは、都合のよい標準２進表現に従って暗号化される実際の英
数字（またはその他の）メッセージを表すことは理解されるであろう。

【０１１３】 ２０２．暗号がMultiple Transmission Attack保護を要求すると、これは、符
号化の前に平文に適用される（第７節を参照）。ゼロでないｋについて、ランダ
ムなデータ(K)からｋバイトを生成し、それらのバイトを使用して、シーケンス
ジェネレータのシード値とする（第１１節を参照）。ＭＴＡ保護を使用しない場
合、k=0、K=φとするが、シーケンスS(K)は、論理的にすべて０であるとみなさ
れる。実際、すべて０の列では何も生じない。これは、S(φ)と同じことではな
い。

【０１１４】 ２０３．ＭＴＡ鍵ｋは、暗号への入力として平文の最初のｋバイトを形成する
（第７節を参照）。次に、元の平文データバイトとシーケンスジェネレータの出
力とのＸＯＲが取られる（第１１節を参照）。ＸＯＲを取った平文を符号化する
には、２進データを３進データに変換し、暗号に使用される３進多項式(m)を埋
める必要がある（第８節を参照）。これら３進数、または「terts」（以下、タ
ートという）は、ＰＫＣＳ暗号により処理されるメッセージ多項式を形成する。
Ｎタートよりも少ない３進数が処理されないままである場合、残りの３進数は、
次のメッセージ多項式内に入れられ、２０７でメッセージマーカの終わりが作成
される。

【０１１５】 ２０４．十分な数の３進数が未処理のままであれば、メッセージ多項式は、次
のＮから構築され、暗号化される。平文データが尽きて、次のメッセージ多項式
を埋める３進数が不十分な場合、２０７でメッセージマーカの終わりが作成され
る。

【０１１６】 ２０５．ランダム多項式を選択し、公開鍵を掛ける。次に、積多項式をメッセ
ージ多項式に加える。この処理は、パラメータｐが公開鍵に組み込まれているこ
とを除いて、ＮＴＲＵ特許出願（図４、ステップ４５０）で開示されているのと
同じである。得られた暗号多項式は全てのバイトが埋められ、チェックハッシュ
関数に入力される。その後、係数ごとに２ビットを使用するメッセージ多項式が
続き、これも全てのバイトが埋められる。チェックハッシュを計算して、暗号多
項式の終わりに連結する（第６節を参照）。このハッシュからの出力がブロック
Ｂ_iを形成する。

【０１１７】 ２０６．メッセージ多項式を暗号化してから、平文の次のＮタートを使用して
次の多項式に進む。

【０１１８】 ２０７．平文データが、メッセージ多項式の正確な数を埋めたり、３進数に変
換するための１９ビットの倍数を埋めることはあり得ない。２０３、２０４、２
０５および２０６で説明したプロセスを使用して、完全に埋めることができるす
べての多項式が処理されたら、メッセージメカニズムの終わりを使用して最後の
メッセージ多項式を完了する（第９節を参照）。このメカニズムにより、１２タ
ートのメッセージマーカの終わりが作成される。このマーカは、平文に含まれ、
最後の不完全なメッセージ多項式には収まらないことがある。この場合、メッセ
ージマーカの終わりは、別のメッセージ多項式の中にあふれる。必要ならば、最
後の多項式をランダムタートで完了する。

【０１１９】 ２０８．最後の不完全平文メッセージ多項式とメッセージマーカの終わりを含
む最後のメッセージ多項式（または、場合によっては最後の２つのメッセージ多
項式）は、他のすべてのメッセージ多項式と同じようにして暗号化される。

【０１２０】 ２０９．全てのバイトが埋められているが、最後の不完全なバイト（もし存在
すれば）がゼロで埋められている各々の暗号化された多項式の連結は、関連する
チェックブロックがすぐ後に続き、暗号化されたメッセージ（暗号文）を形成す
る。

【０１２１】 （３．３ 暗号解読） ここでは、図３に示されているようなTumbler（登録商標）暗号解読システム
を説明する。これは、ＮＴＲＵ特許出願（図５）で開示されている元の暗号解読
システムと比較対照すべきである。

【０１２２】 ３０１．暗号解読システムは、アルゴリズムパラメータＮおよびｑにおいて、
暗号文Ｅ、秘密鍵多項式ｆおよびＦ₃、誤り訂正レベル、および必要ならばＭＴ
Ａ鍵ｋを得る。このプロセスではさらに、ＳＨＡ−１ハッシュ関数Ｈ（）を使用
する。図３では、記号‖を使用して、いずれかの側へのオブジェクトの連結を示
している。

【０１２３】 ３０２．ｉは、特定の暗号化された多項式を順番に参照するために使用するカ
ウンタである。Ｒは、ＭＴＡ保護がそのまま適用される暗号解読された平文デー
タを含む（第７節を参照）。

【０１２４】 ３０３．各々の暗号化された多項式および関連するチェックブロックを、単に
２０９で使用している埋め込み手順を逆転することにより、暗号文から再構成す
る。

【０１２５】 ３０４．メッセージに秘密鍵を乗算し、次に、秘密鍵の逆元を乗算する。これ
は、誤り訂正のために必要な場合に最初の乗算の結果を記録することを除き、Ｎ
ＴＲＵ特許出願（図５、ステップ５７０および５８０）で開示されている処理と
同じである。

【０１２６】 ３０５．ハッシュを、２０５（第６節を参照）のｅ_iおよびｍ_iと同じようにし
てｅ_iおよびｂ_iで構成し、暗号解読された多項式ｂ_iをメッセージ多項式ｍ_iとし
て取り扱う。このハッシュを、送信されたチェックブロックＢ_iと比較する。誤
り訂正を多項式上で使用する必要がある場合、このようなハッシュの多くを、同
じｅ_iで計算しなければならないことがある。したがって、ｅ_iの入力の後、ただ
しｂ_iの入力の前にハッシュ関数の状態を記録すると効率的な場合がある。

【０１２７】 ３０６．送信されたチェックブロックが３０５で作成されたハッシュと一致す
る場合、復号された多項式ｂ_iは、元のｉ番目のメッセージ多項式として受け取
られる。これらのメッセージ多項式の３進数を、ビットに戻す必要がある（第８
節を参照）。この変換は、１２タートの集合で実行される。

【０１２８】 ３０７．２進３進変換により、１９ビットの集合が１２タートの可能な集合の
部分集合に変換される。１２タートの集合が、この部分集合に属するとき、これ
はビットに戻す変換のために渡され、属さないとき、１９ビットの変換された集
合ではなく、メッセージマーカの終わりである（第９節を参照）。

【０１２９】 ３０８．３進数はビットに変換され（第８節を参照）、結果はＲに連結される
。Ｒは、もちろん２進文字列（バイト列を表す）である。

【０１３０】 ３０９．前の多項式を復号した後、暗号解読システムは、次の暗号化された多
項式に進む。

【０１３１】 ３１０．送信されたチェックブロックが３０５で作成されたハッシュと一致し
ない場合、復号された多項式ｂ_iは元のｉ番目のメッセージ多項式ではない。

【０１３２】 ３１１．オプションの誤り訂正がアクティブな場合、誤り訂正システムは、元
のメッセージ多項式の復元を試みる（第５節を参照）。

【０１３３】 ３１２．誤り訂正システムがその成功を報告する。成功した場合、結果のｂ_i
（３０４で計算されたのと異なるｂ_i）が次のメッセージ多項式として受け取ら
れ、暗号文が通常どおり続く。

【０１３４】 ３１３．誤りが発生し、訂正されなかった場合、ここに到達する。したがって
、元の平文は復元できない。ほとんどの場合、メッセージ全体がこの段階で破棄
される。これは、ほとんどのＰＫＣＳの用法では、手を加えていなメッセージ全
体が必要だからである。しかし、得られた平文のどのバイトが現在の不正なメッ
セージ多項式に関係しているかを単純に記録し、ステージ３０６にスキップし、
通常通り続けることもできる。正確でないメッセージ多項式から直接変換された
平文ビットのみが影響を受ける。

【０１３５】 ３１４．１２タートの範囲外の集合は、メッセージマーカの終わりを示す。３
進数の前のすべてのブロックが、ビットに変換され、Ｒに連結される。最後に、
このブロックは、メッセージの終わりメカニズムを使用して解釈される（第９節
を参照）。これは、Ｒに含まれるビットのいくつかを除去する必要がある場合が
ある。まだ変換されていなかった３進数は、破棄される。

【０１３６】 ３１５．この段階で、Ｒは、ＭＴＡ保護がそのまま適用される平文データであ
る。最初のｋバイトにより、ＭＴＡ鍵ｋが形成される。これらは、シーケンスジ
ェネレータS(K)のシード値を与えるために使用される。ＭＴＡ保護を使用しない
場合、k=0、K=φとするが、シーケンスS(K)は論理的にすべて０であるとみなさ
れる。実際、すべて０の列では何も生じない。これは、S(φ)と同じことではな
い。S(K)からの出力とＲとのＸＯＲを取って、Ｐを出力する（第７節を参照）。

【０１３７】 ３１６．復元された平文データは、実際のメッセージのバイトを表す２進文字
列Ｐである。

【０１３８】 （４．復号の失敗） 毎回ＮＴＲＵアルゴリズムを使用して暗号多項式を復号するごとに、元のメッ
セージ多項式に復号できないという事が生ずる確率が小さいながらもある。

【０１３９】 秘密鍵ｆを使用して暗号多項式ｅを解読するために、最初に、 a≡f*e(mod q) を計算する。このとき、-q/2+1からq/2の区間内のａの係数を選択する。ａを整
数係数の多項式として取り扱うと、メッセージ多項式は、通常、以下の式を計算
することにより復元できる。 F_p*a(mod p) ただし、F_pは、ｐを法とするｆの逆元である（F_p*f≡1(mod p)）。

【０１４０】 多項式ａは、以下を満たす。 a≡f*e≡f*φ*h+f*m(mod q) =f*pφ*F_q*g+f*m(mod q) =pφ*g+f*m(mod q) 最後の多項式 pφ*g+f*mを考察する。適切なパラメータを選択するために、ほ
とんどすべての場合に、係数はすべて-q/2+1からq/2の範囲に収まり、ｑを法と
して係数を還元しても変化しないようにすることができる。つまり、ｑを法とし
てf*eの係数を、-q/2+1からq/2の区間に還元すると、正確に以下の多項式が復元
される。 a=pφ*g+f*m

【０１４１】 「適切なパラメータを選択する」とは、主として、第２節で定義した値d_g(N)
、d_φ(N)およびd_f(N)のことを指している。これらの値が低いほど、多項式ｇ、
φ、およびｆの係数が０である割合が大きくなる。この結果、上記の多項式内の
係数が０に近くなる確率が大きくなる。しかし、これらの値は、様々な種類の可
能な多項式がいくつあるかを示し、暗号文のセキュリティがどれだけ効果的かを
示す。これらの値が十分に大きければ、ｇ、φおよびｆに対する可能な値が多す
ぎ、攻撃者が妥当な時間内に正確な値を推測できてしまう。これらの値が小さく
て、上記多項式の係数が-q/2+1からq/2の範囲を外れる可能性がない場合、暗号
文のセキュリティが折り合う。

【０１４２】 Tumbler（登録商標）で使用するパラメータの選択により、多項式 pφ*g+f*m が、-q/2+1からq/2の範囲外にある係数を有する確率は、おおよそ1/10000となる
。つまり、いくつかの係数の値は、復号の最初のステップで±ｑにより変換され
、３を法とする変更された値を有する。

【０１４３】 （例） 図５、６および７は、ラッピングエラーの視覚的な例である。

【０１４４】 図５は、ｑを法として正の最小剰余に還元された多項式f*eの例をグラフにし
たものである。５０個の係数が、その値（０からｑの範囲）に応じた高さに配置
されたドットで表される。これは、復号プロセスを通じて半分ほどデコーダが復
元する多項式である。多項式は、正の最小剰余類を使用して表示され、コンピュ
ータ内の２のべき乗を法とする最も単純な還元が、これら剰余類に数を残す。メ
ッセージを復元するために、多項式を最小絶対剰余類（-q/2+1からq/2の範囲）
にシフトする必要がある。しかし、多項式の現在の形式は、不正にラップする可
能性が最も高いすべての係数が、多項式の中心に集められるという利点を有する
。この領域は、グラフ上で強調表示されている（５０１と印されている領域）。

【０１４５】 図６は、ｑを法として最小絶対剰余類にシフトされていることを除き、図５と
同じ多項式を示している。図５で５０１と印されていた領域は、２つに分割され
ており、６０１および６０２と印されている。図５で５０２と印されていた係数
は、q/2の線分の真上にあり、ｑだけ下にシフトされ、グラフの下部にある（６
０３と印されている）。これは、元のメッセージ多項式を復元するためにＦ₃で
畳み込まれた多項式の形式である。

【０１４６】 図７は、多項式pφ*g+f*mのグラフであり、図５および６にグラフが示されて
いる多項式に関係している。この多項式は、ｑを法として還元されないが、その
係数はすべて-q/2+1からq/2の範囲内に収まり、図６の多項式が厳密な一致とな
ることが期待される。そうであるば、メッセージは誤りなしで復元される。これ
は、適切なパラメータを選択した場合、ごく一部の場合を除くすべての場合に生
じる。この例では、７０３と印されている係数は、指定された範囲を外れている
。つまり、図６に示されている多項式f*eは、ｑを法としてこの多項式と等価で
あるが、同じではなく、また３を法としては等価ではない。係数７０１は、図６
で６０３と印されている位置までラップされている。

【０１４７】 誤りが発生したかどうかを知ることができる何らかの手段が存在していること
が重要である。多項式φは、暗号化するものにしか認識されず、多項式ｇおよび
ｆは、デコーダにしか認識されないため、ラッピング障害が発生するかどうかを
予測することは不可能である。障害を検出するには、暗号化／暗号解読処理の間
、元のデータの完全性を確認するいくつかの種類のチェックハッシュを使用する
。このようなチェックは、ある種の形態の攻撃を防止するために必要である。

【０１４８】 復号障害を検出するためにTumbler（登録商標）で採用しているメカニズムに
ついては、第６節で詳述しており、これらの誤りを訂正する手段については第５
節に従う。

【０１４９】 （５．誤り訂正） ラッピングエラーは、ＮＴＲＵ暗号が提案されたときに認識されていた問題で
ある（ＮＴＲＵ特許出願、第1.3節, p.31）。しかし、これを解消するために提
案されたルーチンは弱点があり、ラッピング障害のいくつかの例を訂正できなか
った。この方法では、３の倍数により上から多項式ａをシフトする操作が必要だ
った。このため、不正にラップされている係数の値が変化してラップされず、３
を法として還元したときに係数の値を変えなかった。残念なことに、これにより
、範囲の他端に値がある係数は、先の場合に発生しないであろう、不正にラップ
されることがしばしばであった。

【０１５０】 提案されたラッピング誤り訂正も、ギャップ障害として知られている誤りを訂
正できなかった。これは、不正にラップされた係数の値が同じ符号の正しくラッ
プされた係数と少なくとも同じくらい０に近い場合に生ずる。これは、元々、問
題として考慮されておらず、これらの障害は非常にまれなものと思われていた。
ギャップ障害は、実際には、１千万の多項式に１つの割合で発生し、これは多く
のアプリケーションで十分に多いといえる。

【０１５１】 Tumbler（登録商標）の誤り訂正システムの原理は、単純である。誤りがあれ
ばそれを見つけて訂正するというものである。

【０１５２】 難しいのは、単純に見て、２つの可能な方法において間違っていると思われる
係数がＮ個あるという点である（３を法として取り扱ったとき）。また、複数の
同時誤りもありうる。したがって、考えられるすべての誤りをチェックすること
は、機能するまで考えられるすべての３進数多項式を試してみることと同等であ
る。暗号の性質上、これは考えられないほどの時間がかかる。さらに、誤りは、
復号障害が原因でない場合さえあり、送信のエラーや攻撃者による故意の改変が
原因の場合がある。

【０１５３】 Tumbler（登録商標）の解決法は、考えられるすべての誤りが元々等しいわけ
ではないという事実に基づく。誤りの考えられる原因を、最も可能性の高いもの
から最も可能性の低いものへと順序付けた場合、誤りの原因について極めて効率
の良い検索を実行できる。実際、復号障害の原因で最もよくあるのが、10000の
うちほぼ9999の誤りの原因である(Tumbler（登録商標）で現在使用しているパラ
メータの選択に対して)。

【０１５４】 第４節の復号障害の原因を思い起こすと、このアルゴリズムパラメータは、特
定の多項式の係数がほとんどいつでも-q/2+1からq/2の範囲の内側にあるように
選択されていた。この範囲内になければ、復号障害は発生したと言われる。実際
、係数がこの範囲を外れる確率は、多項式ごとに1/10000である。２つの係数が
この範囲を同時に外れる確率は、多項式ごとに1/100000000未満、さらに同時の
誤りについても同様である。また、係数がこの範囲を外れる場合、ほとんどいつ
でも、わずかだけ範囲を外れる。距離が大きいほど、係数がその範囲からその距
離だけ外れる可能性が低くなる。

【０１５５】 さらに、係数がこの範囲のすぐ上に入る場合、この範囲の下側にラップする。
係数がこの範囲のすぐ下に入る場合、上側にラップされる。最初のケースでは、
値はｑだけ小さすぎる、つまりｘが３を法とするｑの正の最小剰余とすると、３
を法としてｘだけ小さすぎるということである。後者のケースでは、ｘだけ大き
すぎる。

【０１５６】 これは、誤りを見つける単純な手段となっている。-q/2+1からq/2の範囲の上
側および下側に最も近い値がチェックされ、(値が範囲の下側にあるのか上側に
あるのかに応じて)ｘを加えたり引いたりして３を法として値を訂正することが
試みられる。

【０１５７】 図８は、図５と同じグラフを示している（第４節で説明している）。直線q/2
を囲む領域が強調表示されており、８０１と印されている。この領域内にある係
数は、誤りの原因となる可能性が最も高いものである。最初の５個の係数に、直
線q/2に近い順に８０２、８０３、８０４、８０５、８０６とラベルを付ける。
誤りの最も可能性の高い原因は、値がｘだけ小さすぎる８０２と印されている係
数である。これは正確には、第４節の例で説明した誤りであり、この係数の値に
ｘを加えると、誤りが訂正される。

【０１５８】 これらの誤りを訂正するために採用すべき正確な方法は、置換される暗号文の
使用と、実装されるプラットフォームに大きく依存する。アルゴリズムの例を以
下に示す。この方法の前提は、訂正の試行をできる限り速く何回も実行すること
により、効率化できることである。しかし、10000のうち9999の誤りは、最初の
試行で訂正される。速度の点で、可能な最も短い時間で最も可能性の高い誤りを
チェックし、その最初の試行が失敗した場合に、検索を続行するのに必要な作業
のみを行うことが最良であると思われる。

【０１５９】 誤りは、10000個の全多項式で１回のオーダーでしか発生しないので、速度差
は平均すると小さく、流れ速度が一定であることが問題になる場合にのみ重要で
ある。ここで説明した方法にはいくつかの利点がある。適切なＧの表（以下参照
）を用意すると、妥当な時間内にすべての復号誤りを修正する。最初の数ステッ
プで、元のデータを非常に効率の良い形式で格納することができ、元のｑを法と
するデータは、再度参照することはまったく必要ない。

【０１６０】 図４は、誤り訂正アルゴリズムの流れ図である。ＮＴＲＵ特許出願では同等の
アルゴリズムを提示していない。この流れ図は、復号システムを記述する流れ図
のもう片方として設計されている（図３を参照）。

【０１６１】 ４０１．誤り訂正ルーチンは、アルゴリズムパラメータＮおよびｑを使用する
。さらに、秘密鍵の逆元Ｆ₃を使用するが、秘密鍵自体ではない。

【０１６２】 訂正レベルにより、誤り訂正ルーチンをどれだけ続けるべきかどうかが決定さ
れる。誤り訂正は、ゼロ以外の値でなければならず、または、誤り訂正ルーチン
は、最初の場所で決して呼ばれることはない。ほとんどすべての誤りは、非常に
高速に訂正される。訂正レベルにより、誤りの中のいくつかが、復号障害以外の
原因により生ずる誤りとすることができるように制御する。誤りの原因が送信に
ある場合に、任意に高い訂正レベルだと、処理が任意に長い時間続くことになる
。既存の誤りは、最初の数回の試行で訂正される可能性が極めて高い。したがっ
て、未検出の誤りの確率が無視できるくらい小さいとき、および多項式で復号で
きない事態がメッセージの送信時に発生した問題による可能性が高いときに、非
常に迅速に結論することができる。

【０１６３】 訂正ルーチンは、半分復号されたｑを法とする多項式ａ_iと暗号多項式ｅ_iを得
る。これらは、復号システムによって使用される多項式に関係する（図３を参照
）。ｅ_iは、チェックブロックを作成するときにしか使用されない。ｅ_iを入力し
た後、および新しいチェックが必要になったとき、新しいハッシュインスタンス
の代わりに、この状態に戻るときに、ハッシュ関数の状態を記録することにより
、ハッシュインスタンスにｅ_iを繰り返し入力するのを避けることができる。

【０１６４】 表Ｇ_jkは、実験から構成され、様々な数の同時発生する誤りを、様々な深さで
訂正する順序を制御することができる。ほとんどすべての誤りは、即座に訂正さ
れるため、第１対のエントリを超えてこの表の理想的な値を決定することは難し
い。事実上、正確な値はほとんど重要でない。

【０１６５】 ４０２．訂正されたレベルは、訂正レベルと比較するために使用される単なる
カウンタである。

【０１６６】 値ｊは、表Ｇとともに使用される。これにより、現在Ｇのどの行が使用されて
いるかがわかる。

【０１６７】 値ｘからは、ｑを法として不正にラップされた値が３を法としてどれだけ変更
されているかがわかる。より一般的には、ＮＴＲＵ特許出願のｐの値が３以外の
値に選択された場合、ｘは次の式で計算される。 x=q rem p

【０１６８】 ｑを法とする多項式を中心は、最小絶対剰余類（０を中心とする）にシフトす
ることである。-q/2+1からq/2の範囲を使用する必要はないことに注意されたい
。代わりに、-q/2からq/2-1の範囲を使用することもできる。

【０１６９】 ４０３．この時点で、その値の-q/2とq/2との近さによりａ_iの係数の順序を決
めるリストを作成する。正確にq/2に等しい値がステップ４０２で下にラップさ
れた場合、負の値の係数は、同じ絶対値を持つ正の値の係数の前にリストされ、
-q/2に正確に等しい値が上にラップされた場合はその逆となる。図８で説明され
ている例では、このリストは、８０２、８０３、８０４、８０５および８０６と
いうラベルの付いている係数からこの順序で始まる。値自体ではなく範囲の端か
ら各々の係数の値の距離のみを記録することもできる。ここで値全体を使用して
、処理を簡単にたどれるようにしている。

【０１７０】 ４０４．３を法として還元した後、元のｑを法とする多項式ａ_iは、もはや使
用されない。

【０１７１】 ４０５．ｋは初期化される。これにより、チェックが行われる同時誤りの個数
が制御される。まず、不正にラップされている係数について、チェックが行われ
る。

【０１７２】 ４０６．ここで、表から行うべきチェックの現在の深さを得る。表の第１行に
ある場合、チェック手順は深さ０から始まる。値が前のｊの値以下の場合、４０
７でチェックされていないｋタプルはなく、アルゴリズムは次のｋの値にそのま
まスキップする。

【０１７３】 ４０７．アルゴリズムは、±q/2から一定距離以内にある値を有する係数のす
べてのｋタプルを検索する。このとき、まだチェックされていないｋタプルが残
されているかどうかを判別する。小さな深さで検索時にチェックされたｋタプル
は、再チェックする必要はない。

【０１７４】 ４０８．値すべてが所定の範囲内にある係数のｋタプルが選択される。このｋ
タプルは、アルゴリズムの前回の反復で選択されたｋタプルと区別されなければ
ならない。次に、選択されたｋタプルの値を変えて、ｑを法とする可能なミスラ
ッピングについて３を法として補正する。

【０１７５】 ４０９．変更されたａ_i’を使用して、復号プロセスを完了する。

【０１７６】 ４１０．復号された多項式および暗号多項式が、完全性のチェックに合格した
かどうかを確認するチェックを行う。

【０１７７】 ４１１．完全性のテストに合格した場合、ｂ_iは、次に暗号解読される多項式
として受け取られる。

【０１７８】 ４１２．可能なｋタプルが尽きた場合、検索は±q/2から可能なより大きな距
離に拡大される。

【０１７９】 ４１３．表Ｇの(j,k)の値は、kの現在の値についてkタプルでの誤りの検索を
停止する深さを与える。

【０１８０】 ４１４．検索の意図する範囲に関して、どこまで検索したかを記録するカウン
タをインクリメントする。専用カウンタを設置するよりも、この方法をとるほう
が明らかに経済的である。

【０１８１】 ４１５．このときに、訂正されたレベルが与えられた訂正レベルに達したかど
うかを確認するチェックを行う。

【０１８２】 ４１６．復号された多項式でステージ４１１において停止せずに指定された訂
正レベルに関する限りチェックを実行している場合、検索は放棄され、多項式は
訂正されない。現実的に、最低限の訂正レベルでは、誤りの原因が復号障害以外
の場合にのみ発生する。

【０１８３】 ４１７．訂正手順が実行される同時誤りの個数を増やす。

【０１８４】 ４１８．Ｇの行は、０に終端される。終わりに達すると、ｋはリセットされ、
単集合（singleton）の誤りの検索が再び開始される。

【０１８５】 ４１９．アルゴリズムは、Ｇの次の行に移動する。

【０１８６】 以下の例は、表Ｇの使用法を詳細に示している。

【０１８７】 （例） a_i=45-ll7x-127x²-45x³-117x⁴ q/2=128

【０１８８】

【表１】

【０１８９】 インデックス２は、最大絶対値を有する係数に対応する。インデックス１およ
び４の係数は、同じ絶対値と同じ符号を持ち、それら２つのうちいずれがリスト
上位に来るかはまったく任意である。例については、１がリストの最初に記述さ
れる。インデックス０および３は、絶対値は同じで、符号が異なるため、−１２
７から１２８の範囲を使用すると仮定すると、３が先である。

【０１９０】 したがって、その結果の順序は、{(2,-127), (1,-117), (4,-117), (3,-45),
(0,45)}となる。

【０１９１】 q=128=3*42+2 ∴x=2

【０１９２】 簡略化した次の表Ｇ_jkを考える。

【０１９３】

【表２】

【０１９４】 この表は、誤りをチェックする最適な順序を示している。任意の段階で、誤り
が発見され訂正される場合、チェック手順を停止する。

【０１９５】 手順は、−１２８または１２８に等しい単集合の誤りを訂正する試みから始ま
る。何もないため、−１２８から−１２７の範囲、または１２７から１２８の範
囲で単集合に進む。これらの範囲には、順序付けの例の最初のインデックス例え
ば、２により示されている。この係数は負であるため、アルゴリズムでは２を加
えて訂正しようとする。この例の目的として、これが失敗すると仮定する。

【０１９６】 G(1,1)=3なので、−１２８から−１２６または１２６から１２８の範囲内で全
ての単集合を試みるまで、単集合を訂正し続ける必要がある。その範囲にそれ以
上の単集合はない。

【０１９７】 このとき、対を訂正してみるのもよい。しかし、G(1,2)=4で指定される最大範
囲内に対はない。G(1,3)=0、したがって、Ｇの次の行に切り替えて、もう一度単
集合の誤りの検索を開始する必要がある。

【０１９８】 検索は、前の行で止めたところから深さ３で開始し、リストを下へ深さ１０ま
で単集合を探す。１０で、さらに２つの潜在的誤りが見つかる。もう一度、これ
らの誤りの訂正が失敗したと仮定する。

【０１９９】 そこで、深さ４で検索を止めたところから始めて、誤りの対について訂正をさ
らに試みる。深さ１０に達すると、その範囲に３つの係数が見つかり、したがっ
て、３つの潜在的対が見つかる。インデックス２がリスト内の最初にあるので、
これらのペアは、(2,1)、(2,4)、最後に(1,4)という順序で訂正される。

【０２００】 この例については、これらの対の１つが実際に誤りの原因であったと仮定する
。しかし、実際には誤りはほとんどいつでも、最初の数回の試行で訂正されるこ
とに注意されたい。

【０２０１】 （６．テキスト認識） 暗号システムが、暗号化されたデータが関連する平文の有効なエンコーディン
グであるかどうかを判別できれば、平文認識を有するという。これは、通常、あ
る種のチェックハッシュにより実現される。

【０２０２】 その使用にもよるが、平文認識を有しないシステムは攻撃を受けやすい場合が
ある。システムの認識の欠如につけ込む攻撃は、次のように行われる。

【０２０３】 攻撃者がエンコードされたメッセージを横取りする。攻撃者は、エンコードさ
れたメッセージを少し修正してから、元の意図された受信者に送信する。

【０２０４】 このわずかな修正により、メッセージを無効な暗号文、つまり平文のエンコー
ドされた形式でないものに変えられる可能性がある。このような場合、デコーダ
は、メッセージを解読できず、一般的には、メッセージの復号に失敗したという
通知を送信者（このシナリオでは攻撃者）に送る。

【０２０５】 あるいは、修正されたメッセージは、有効な暗号文である場合もあり得る。こ
のような場合、デコーダはメッセージを復号して解釈しようと試みる。エンコー
ド時に修正されていると、デコーダは、メッセージの意味を理解できない可能性
があるが、これは攻撃には無関係である。

【０２０６】 攻撃者は、このプロセスを数回繰り返し、各段階でどの修正により有効な暗号
文ができたかを記録する。この結果を分析することにより、攻撃者は、オリジナ
ルのメッセージの一部を判別することができる。

【０２０７】 Tumbler（登録商標）では、このアプローチをとり、平文と暗号文の両方に基
づいて自動的に通常のハッシュチェックを作成する。このため、Tumbler（登録
商標）は、一般的に、「テキスト認識を有する」と呼ぶことができる。

【０２０８】 Tumbler（登録商標）は、ＳＨＡ−１（Secure Hash Algorithm 1）を使用して
、それぞれのエンコードされた多項式のチェックハッシュを計算するのが好まし
い。ＳＨＡ−１は、米国政府の国立標準技術研究所のSecure Hash Standards (F
IPS 180-1)で定義されている。

【０２０９】 メッセージ多項式がエンコードされるごとに、元のメッセージ多項式と結果で
ある暗号文多項式の両方を、ＳＨＡ−１アルゴリズムのインスタンスへの入力と
して使用する。

【０２１０】 符号化中、最初に暗号文多項式を入力として得る。これにより、復号エラーに
イベントにおいて復号プロセスがスピードアップされる。暗号文多項式を、送信
のために、後述のようにバイトで埋める。最初の係数を表すのに必要なビットを
、最初のバイトの最下位端に置く、同様にして、最後のバイトを必要ならばアン
セットしたビットで終わらせる。

【０２１１】 次に、メッセージ多項式をバイトで埋め、このときに各係数は、２つのビット
で表される。対応する係数が０の場合は、両方のビットがアンセットされ、対応
する係数が−１の場合は、最初のビットがセットされ、かつ第２のビットがアン
セットされ、対応する係数が１の場合は、両方のビットがセットされる。最初の
ビットがアンセットされるときに、第２のビットがセットされることはない。

【０２１２】 埋められた暗号文およびメッセージ多項式が連結され、ＳＨＡ−１アルゴリズ
ムを使用して一緒にハッシュされる。ハッシュされた出力を、暗号文とともに受
信者に送信する（暗号化されていない）。典型的には、ハッシュを加えると、送
信されるテキストの量が２０バイト前後増える。使用される追加のバイトを減ら
すこともできるが、セキュリティが低下する。

【０２１３】 （例） メッセージ多項式{-1,0,1,1}は、バイト10001111としてエンコードされる。

【０２１４】 必要ならば、最後のバイトをアンセットされているビットで終了する。この符
号化された形式では、多項式は、埋められた暗号文の終わりに連結され、受信者
への送信のためハッシュされる。

【０２１５】 復号時、暗号文および復号されたメッセージ多項式は連結され、ＳＨＡ−１に
入力される。ＳＨＡ−１からの出力を、エンコード処理で計算された元のハッシ
ュ値と比較し、暗号文とともに受け取る。

【０２１６】 したがって、攻撃者がエンコードされたメッセージを修正した場合、修正され
たデータを復号できるとしても、復号されたメッセージのハッシュ値を元のメッ
セージのハッシュ値と一致させることは計算上不可能である。このため、暗号文
を改変し、このテストを通すことは、本質的に不可能である。

【０２１７】 次に、システムは、ハッシュ値が元のハッシュ値と一致しなかったすべてのメ
ッセージを拒絶し、そのとき、暗号文が有効であったかどうかを送信者に知らせ
ないよう注意する。

【０２１８】 ラッピング障害が、復号されたメッセージ多項式の誤りの原因となっている可
能性がある。誤り訂正をオンにした場合、暗号システムは、上述のアルゴリズム
を使用してその誤りを訂正しようとする。各段階で、チェックハッシュを再計算
して、誤りが是正されたかどうかを確認する必要がある。暗号文は同じままで、
取り出されたメッセージ多項式のみが、チェックごとに異なるので、暗号文を１
回だけハッシュ計算に入力し、メッセージ多項式を毎回入力することができる。

【０２１９】 暗号文と平文の両方に対してハッシングし、暗号文と平文の両方に完全性テス
トを行う一般的方法は、ＮＴＲＵ依存ではないが、他の暗号についても同様にう
まく機能する。

【０２２０】 （７．複数の送信） Tumbler（登録商標）には、複数送信攻撃（ＭＴＡ：Multiple Transmission A
ttacks）の保護機能を追加するオプションが含まれる。

【０２２１】 同じメッセージを、同じ公開鍵を使用し、ＭＴＡ保護機能を使用せずに、複数
回暗号化して送信すると、攻撃を受けやすい。

【０２２２】 ２つのメッセージの間に予測可能な類似性が存在する可能性のあることを知っ
ておくことが重要である。最も明白に識別可能なのは、電子メールで使用されて
いるようなメッセージのヘッダであり、これらは多くの場合予測可能である。い
くつかのメッセージの最初の数バイトが同一である場合、その最初のメッセージ
多項式も同一であり、したがってＭＴＡを受けやすい。

【０２２３】 価格表を定期的に送信するものとする。攻撃者がそれらの価格が変更されてい
ないと正しい仮定を行った場合、ＭＴＡを採用できることになる。

【０２２４】 単一のメッセージ多項式のセキュリティは、その多項式の暗号化で使用される
乱数に依存する。攻撃者がその乱数を判別し、公開鍵にアクセスできた場合、攻
撃者がオリジナルのメッセージを取り出すことは自明なことである。

【０２２５】 メッセージを送信するごとに、各多項式について「作動中に（on the fly）」
乱数を決定する。つまり、まったく同じメッセージを複数回送信するとしても、
そこには異なる乱数が含まれるということである。攻撃者が２つまたはそれ以上
の横取りしたメッセージにまったく同じ平文が含まれていることを確実に知って
いれば、何とか使用されている乱数を決定しようとこれらのメッセージを比較す
る。

【０２２６】 ＭＴＡ保護がない場合でも、一般に、２つのコピーだけから乱数を完全に決定
することはできない。しかし、複数のコピーを送信することで、攻撃者がメッセ
ージのほとんど（および最終的にはすべて）を判別できるときには、２つのコピ
ーを送信することでさえ、メッセージのセキュリティを著しく損なうおそれがあ
る。

【０２２７】 Tumbler（登録商標）ＭＴＡ保護システムでは、単純なストリーム暗号システ
ムをランダムに選択された鍵（例えば、疑似乱数発生器を使用する）とともに採
用して、平文メッセージが同じ鍵を使用して送信された他の同一のメッセージか
らランダムに異なるようにする。ストリーム暗号は、鍵でブロードキャストされ
るので、メッセージのセキュリティに直接加わらず、したがって、特にセキュリ
ティの高い暗号である必要はない。２つの同一の平文が予測できない方法で互い
に異なるようにすることだけが必要である。

【０２２８】 Tumbler（登録商標）ＭＴＡ保護オプションを使用したエンコーディングは、
ランダムな（または疑似ランダムな）ＭＴＡ鍵が平文の先頭に追加される。この
鍵を使用して、Tumbler（登録商標）シーケンスジェネレータの初期状態を設定
する（第１１節、および図２のステップ２０２を参照）。平文データの後続のバ
イトとシーケンスジェネレータからの出力とのＸＯＲを取り、それをＰＫＣＳ暗
号に入力する。図２のステップ２０３を参照のこと。

【０２２９】 復号時に（図３）、ＰＫＣＳ暗号システムから返されたデータの先頭ｋバイト
を使用して、シーケンスジェネレータの初期状態を設定する（第１１節を参照）
。後続のバイトとシーケンスジェネレータからの出力とのＸＯＲを取り、それを
復号された平文として出力する。図３のステップ３１５を参照のこと。

【０２３０】 （８．２進数から３進数へ） データが従来ビットとして格納されているが、好ましいＰＫＣＳアルゴリズム
では、係数が値０、１、または−１を取ることができる多項式としてメッセージ
を処理する。メッセージ多項式は、３進数の列にすぎない。２進数を３進数に変
換し、再び３進数を２進数に戻す方法が必要である。

【０２３１】 本発明では、メッセージの１９ビットからなるそれぞれの完全な集合を１２タ
ートに変換する。これにより、パッキング効率が９８．６５％になるが、変換に
使用される算術演算を３２ビット整数で実行することができる。６４ビットを超
える整数を使用する方法は、さらに効率的であるが、パッキングの問題と比較す
るとパッキング効率の向上は無視できるくらい小さいといえる。

【０２３２】 （８．１ ２進数から３進数への変換） ｘを整数とし、最下位１９ビットがメッセージからの１９ビットのブロックと
同じ構成で設定され、他のビットがすべて０に設定されている。ここで、３進数
は、値０、１、または−１を取る整数と仮定する。

【０２３３】 １．ｘを３で割り、余りを計算する。この値を使用して、次の３進数を決定す
る。０は、３進数の値が０であることを決定し、１は、３進数の値が１であるこ
とを決定し、２は３進数の値が−１であることを決定する。

【０２３４】 ２．ｘを３で割り、余りを破棄する。

【０２３５】 ３．ステップ１および２を合計１２回実行する。

【０２３６】 明らかに、このプロセスは、ステップ１でｘを３ではなく８１で割ったとして
加速され、その余りを３進数の８１個の可能な４タプル（４個の要素を持つ順序
付き集合）の表とともに使用して次の４タートの値を決定することができる。そ
の後、ステップ２でｘを８１で割る。このアプローチを使用した場合、プロセス
では１２回ではなく３回の反復のみが必要である。

【０２３７】 ｘを７２９で割り、余りを取って、３進数の７２９個の可能な６タプルの表を
使用して次の６タートの値を決定し、ｘを７２９で割る方法によりさらに高速化
できる。このオプションでは、１つの余りと１つの除算のみが必要である。しか
し、このようなスピードを向上する方法もまた、それぞれ、それに対応してコー
ドサイズの増加を生じる。速度に関する最終的方法では、５３１４４１個の可能
な１２タプルすべての表を直接検索する方法を取る。

【０２３８】 上記の方法のいずれを使用しても、変換プロセスにより、範囲{0,0,0,0,0,0,0
,0,0,0,0,0}から{-1,0,0,-1,1,0,-1,-1,1,-1,-l,-1}の値が得られる。したがっ
て、３進数の全ての可能な１２タプルを生成できるわけではない。これは、３¹² ＝５３１４４１は、２¹⁹＝５２４２８８よりも大きいためである。これは、この
範囲を外れる３進数の集合は、メッセージの終わりを示すのに使用されるため重
要である。

【０２３９】 最後の１９ビットからなる不完全集合は、もしあるならば、必要な数のランダ
ムビットで１９ビットにパッディングされる。パッディングを除く実際のメッセ
ージデータの長さは、記憶され、メッセージマーカの終わりの値を判別するのに
使用される。この詳細については、第９節を参照のこと。

【０２４０】 （例） この例の目的のために、１９ビットからなる列が、0101101101001100010であ
り、先頭および最下位ビットから最後および最上位ビットへ順序付けられている
。１０進整数と見なすと、このビット列は１４４０９０である。各３進数の値は
次のように計算できる。

【０２４１】

【表３】

【０２４２】 したがって、ビット列0101101101001100010は、３進数の列{0,0,-1,-1,-1,1,-
1,-1,0,1,-1,0}に変換される。

【０２４３】 （８．２ ３進数から２進数への変換） データが復号されている場合、再び、３進数多項式の形式を取り、２進数から
３進数への変換プロセスを次のように逆転する必要がある。

【０２４４】 １．ｙを前の１２タートの集合から計算で求めたｘの値をとる。これは明らか
に、最初のブロックについては関連性がなく、これに対し前の集合はない。最初
にｘを０に設定する必要がある。

【０２４５】 ２．この集合内の３進数に、０から１１まで順に番号を振る。ｉ番目の３進数
が０であれば０をｘに加え、１であれば３ⁱをｘに加え、−１であれば２×３ⁱを
ｘに加える。

【０２４６】 ３．ｘの有意なビットが１９個以下（したがって、２¹⁹よりも少ない）場合、
ｙの最初の１９ビットが元のメッセージの次の１９ビットである。ｘの有意なビ
ットが１９個よりも多い場合、元のメッセージデータの終わりに達している。

【０２４７】 ｘの値を使用して、元のメッセージの一部となるｙのビットの個数および破棄
される数を正確に求めることができる。詳細については、第９節を参照のこと。

【０２４８】 （例） 上で計算した１２タートの集合{0,0,-1,-1,-1,1,-1,-1,0,1,-1,0}を次のよう
にしてビットに変換して戻すことができる。

【０２４９】

【表４】

【０２５０】 ｘに１９個を超える有意なビットがなく（１４４０９０＜２¹⁹）、２進数にお
いて、ｘは１９ビット0101101101001100010で表される。これらは、前の例で３
進数に変換されたのと同じ１９ビットである。

【０２５１】 （９．メッセージマーカの終わり） ２進数メッセージは、エンコーディングのために３進数に変換される（第８節
を参照）。これは、１９ビットのブロックを使用して実行される。明らかに、す
べてのメッセージが、１９ビットの正確な倍数となる長さを持つわけではなく、
必要ならば、１９ビットの最後のブロックにランダムビットをパッディングする
。これらのランダムビットは、元のメッセージの一部ではなく、復号時に削除す
る必要がある。したがって、エンコーディングされたメッセージは、どのビット
がメッセージの一部であり、どれを破棄する必要があるかを正確に判別できる十
分な情報を含んでいなければならない。

【０２５２】 さらに、エンコーディングメカニズムは、Ｎ個の係数を有する３進多項式に作
用するが、ここで、Ｎは、鍵の強さによって決定される整数パラメータである。
メッセージは、いったん３進数に変換されると、多項式の正確な数を埋めること
は期待できない。そのため、最後の多項式を、ランダムな３進数でパディングす
る必要がある。メッセージが復号されたら、これらの３進数を無視することがで
きなければならない。

【０２５３】 そこで、メッセージマーカの終わりをメッセージに追加して、元のデータが終
了する位置を正確にデコーダに伝える。

【０２５４】 ２進数を３進数に変換する方法では、決して、{0,1,0,-1,1,0,-1,-1,1,-1,-1,
-1}から{-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1}の範囲内の３進数からなる１２
タプルを生成しないことに注意されたい。この範囲にある値はすべて、メッセー
ジマーカの終わりとして使用される。

【０２５５】 すでに述べたように、メッセージの最後のブロックは、１９ビットに合わせて
パディングされ、必要ならば１２タートに変換される。このブロックの直後に、
１２タートの別の集合に、終わりマーカとしてメッセージが追加される。この終
わりマーカは、次のようにして計算される。

【０２５６】 １．Ｂを０〜３７５の範囲のランダムな整数と仮定し、Ａを１９ビットの不完
全集合内の最後のメッセージビットの個数であると仮定する。

【０２５７】 ２．Ａ＋１９ｘＢ＋２¹⁹を、１９ビットの集合を前に変換したのとまったく同
じようにして１２タートに変換する。得られた３進数の集合は、{0,1,0,-1,1,0,
-l,-l,1,-1,-1,-1}から{-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1,-1}の範囲内にある
。これは、メッセージマーカの終わりである。多項式の余りは、ランダムな３進
数でパディングされる。

【０２５８】 もちろん、他の計算を使用して、メッセージマーカの終わりを作成する。もし
、結果がメッセージを表すために使用される可能な領域の外にある３進数の列で
あり、またメッセージマーカの終わりから、どれがメッセージの最後のビットで
あるかを判別できるとすればである。そのための１つの方法として、使用可能な
メッセージマーカの終わり領域を、１９個の部分に分割し、最後の１９ビットの
うちどれが実際のメッセージの終わりを表すかを示すマーカを適切な部分から選
択する（例えば、ランダムにあるいは実質的にランダムに）方法がある。

【０２５９】 メッセージブロックのパディングを、ブロックの先頭または終わりに配置し、
メッセージマーカの終わりを、得られた３進数のブロックの前または終わりに追
加することができる。ブロック内での方向は、任意であり、したがって、ブロッ
クを逆に考えたときに「後に．．．が続く」などの表現は、「の前に」という表
現を包含することができる。

【０２６０】 （コーディング例） この例の目的のために、最後のブロックに達したときに、元のメッセージの４
ビットのみが残されてエンコードすると想定する。この状況で、１５個のランダ
ムビットを選択し、４個のメッセージビットと連結する。つまり、１９のブロッ
クの０番目、１番目、２番目および３番目のビットは、元のメッセージに属して
おり、４番目、．．．、１８番目のビットは、ランダムなパディングにすぎない
。したがって、Ａは３に設定される。３番目のビットは、元のデータに属してい
る最後のビットだからである。１９ビットのパディングされた集合は、通常通り
３進数に変換される。

【０２６１】 この後、メッセージマーカの終わりが選択される。最初に、ランダムなＢを０
〜３７５の範囲から選択する。この例の目的のため、Ｂに１２２の値を与える。
そこで、次の計算を実行する。 A+l9xB+2¹⁹ = 3+19x122+2¹⁹ = 526609

【０２６２】 この整数の３進数への変換により、{1,0,0,1,0,1,-1,0,-1,-1,-1,-1}が得られ
る。

【０２６３】 これは、{0,1,0,-1,1,0,-1,-1,1,-1,-1,-1}よりも大きく、前の１２タプルに
おいて、先行する３進数（右にあるもの）のうち４つすべてが−１に設定され、
後の１２タプルにおいては、４番目の３進数が１であるという事実からはっきり
わかることに注意されたい。{1,0,0,1,0,1,-1,0,-1,-1,-1,-1}は、要求された終
わりマーカである。

【０２６４】 メッセージが復号されると、１２タートの各集合が、次々に変換され１９ビッ
トに戻される。通常の動作であれば、復号プロセスは、最終的に１２タートのブ
ロックが範囲を外れ、１９ビットに戻される。つまり、２進数に変換して戻す操
作を通じて得られた整数は、１９個よりも多い有意ビットを有する（第８節を参
照）。

【０２６５】 この整数は、メッセージマーカの終わりである。このメッセージマーカの終わ
りが変換され２進数に戻された後、２¹⁹がそこから引かれる。その結果を１９で
割り、余りを取る。Ａが返される。終わりマーカの直前にあるブロックの１９ビ
ットのうち、０番目のビットからＡ番目のビットまでのビット列は、元のメッセ
ージビットとして保持される。残りのビットは、ランダムパディングであり、残
りの３進数とともに破棄することができる。

【０２６６】 （復号の例） この例の目的のために、前の例で計算した１２タートのブロック{1,0,0,1,0,1
,-1,0,-1,-1,-1,-1}が、ちょうど復号プロセスで受信されたと想定する。これら
１２タートが変換されて２進数に戻された場合、値５２６６０９が求められる。
これは、少なくとも２¹⁹程度である（または、言い換えると、その２進数表現に
１９よりも多い有意ビットが含まれるということである）。２¹⁹を引いて、１９
で割った余りを取ると、値３が得られる。したがって、１９ビットの前のブロッ
クの０番目、１番目、２番目および３番目のビットは、有効なメッセージビット
であると結論される。他の１５ビットは破棄することができる。

【０２６７】 もちろん、メッセージ転送に使用できない領域内からメッセージマーカの終わ
りを使用することは、上述の２進数から３進数への変換例に制約されるわけでは
なく、また、１９ビットを１２タートに変換する特定の例に制限されるわけでも
ないことは理解されるであろう。何らかの適当なアクセス不可能な領域が存在す
れば、法の変更を伴う他の変換も使用できる。

【０２６８】 （１０．疑似乱数発生器） Tumbler（登録商標）は、２つの疑似乱数発生アルゴリズムを備えている（本
発明の出願者はそのうち第２のもののみ保護可能であると考えている）。両方の
アルゴリズムがＳＨＡ−１を使用して、入力されたシード値に基づいて予測不可
能なランダムに分散されたビットストリームを生成する。

【０２６９】 すべての疑似乱数発生器（ＲＰＮＧ）は本質的に決定論的であり、生成される
出力は、シード値と同程度に予測不可能でしかない。

【０２７０】 最初のTumbler（登録商標）アルゴリズムＴＳＲ（Tao SHA-1 Random）は、他
の多くの市販されているハッシュベース暗号ＲＰＮＧと似た動作をする。Counte
rpaneからRSAとYarrowによって提供されるSHA1RandomおよびMD5Randomは、この
カテゴリに分類される。初期入力のハッシュ値が計算され、カウンタでこのハッ
シュ出力について繰り返しハッシュ値を計算し、ランダムビットストリームを生
成する。どの段階でも、さらに入力を追加することができ、これと現在の状態と
ともにハッシュ値を計算する。

【０２７１】 図９は、このような汎用ＰＲＮＧが動作する方法を簡略化して示している。

【０２７２】 ９０１．ＰＲＮＧに「シード値」を与える、つまりすべての後続出力の基にな
る初期状態を与える。十分に予測できないデータを入力することでこれが達成さ
れるが、歪曲することがあり、したがって、疑似乱数データとしては使用できな
い。このようなデータは、通常、キーストロークやマウスの動きのタイミングな
どの現実世界のイベントを測定することにより得られる。このデータのことをエ
ントロピと呼ぶ。

【０２７３】 ９０２．ハッシュ関数を使用して、任意に大きなエントロピ量のハッシュ値を
一緒に計算する。これにより、このエントロピに基づくサイズの確定している内
部状態が与えられる。このようなエントロピの予測不可能性は、そのサイズと同
じではあり得ない。エントロピの１０ビットは、１６個の可能な集合的な値しか
なく、したがって、４ビットの予測不可能性を有する。このハッシュステップを
使用して、十分な予測不可能性を保証する十分なエントロピを入力できる。

【０２７４】 ９０３．９０２からの出力と、９０４のカウンタの値とを合わせて、ＰＲＮＧ
の内部状態が形成される。

【０２７５】 ９０４．内部カウンタを使用して、出力の各ブロックを変化させる。カウンタ
は、ランダム出力の各ブロックとともに変化する。出力の各ブロックは、カウン
タに基づくため、これにより、異なる出力が生成される。

【０２７６】 ９０５．他のハッシュインスタンスにより、第１のハッシュ９０３の結果とカ
ウンタ９０４とを組み合わせる。ランダムデータの新しいブロックが必要になる
ごとに、このハッシュを再び使用する。

【０２７７】 ９０６．９０５のハッシュの結果は、疑似ランダムデータである。アプリケー
ションによっては、これは疑似ランダムビット列であってよい（必要というわけ
ではない）。

【０２７８】 ＴＳＲの正確な説明は次のとおりである。 Ｈ（）をハッシュ関数、Ｘ‖ＹをＸとＹの連結、Ｃを整数カウンタ、Ｅ_iを乱
数発生器に加えるｉ番目のエントロピプール、Ｐ_ijをＥの入力以降に生成された
ランダムデータのｊ番目の１０６ビットプール、Ｓ_iをＰ_ijを生成する１６０ビ
ット内部状態と定義する。

【０２７９】 〜最初にアルゴリズムを初期化すると、カウンタＣ、ｉ、およびｊが０に設定
され、状態Ｓ₀₀は１６０ビットすべてがアンセットされる。

【０２８０】 〜ｉ番目のエントロピプールをＰＲＮＧに入力するとき、現在の状態がＳ_{(i-1 )} であるとすると、新しい状態Ｓ_iは、H(S_(i-1)‖E_i)となる。

【０２８１】 〜さらにデータが必要な場合、カウンタＣが１だけインクリメントされ、新し
いプールＰ_ijは、H(S_i‖C)となる。

【０２８２】 この方法は、エントロピ入力から暗号ビットストリームを限りなく生成するセ
キュリティの高いメカニズムとして機能するが、１つのハッシュ出力のサイズと
して内部状態を保持するだけであるという欠点がある。ＳＨＡ−１は、１６０ビ
ットを使用し、現在一般にサポートされているハッシュアルゴリズムの最大桁サ
イズである。つまり、エントロピ入力の量にかかわらず、入力操作の間に生成さ
れる２¹⁶⁰を超える異なるビットストリームはあり得ないということである。

【０２８３】 現代的な暗号法では、オブジェクト（秘密鍵など）を極めて大きな領域からラ
ンダムに選択することが望ましい。例えば、Ｎ＝５０３のとき、ＮＴＲＵ ＰＫ
ＣＳの秘密鍵は、２⁷²⁰個があり得る。２¹⁶⁰の内部状態でＰＲＮＧを使用した場
合、シード値設定操作が１回だけだと、可能な鍵のうち少なくとも２⁵²⁰個はま
ったく選択できない。

【０２８４】 オブジェクトの作成時にシード値設定操作を実行するのは、常にごく単純な作
業である。シード値設定操作は、エントロピを要求し、エントロピを得るには、
現実世界を測定する。したがって、暗号が使用されているプラットフォームと現
実世界とのやり取りを正確に知っている必要がある。

【０２８５】 そこで、プラットフォーム独立な方法で十分にランダムなデータを得るという
問題に２つの解決法を提案する。

【０２８６】 第１は、自身で再シード値を設定するＰＲＮＧである。この方法は、比較的説
明しやすいが、この方法を採用するシステムに対する余分な要求条件があり、そ
のため準プラットフォーム独立でしかない。

【０２８７】 ＰＲＮＧの基本的な内部メカニズムに変更はない。ＰＲＮＧが動作することが
期待されるプラットフォームごとに、ＰＲＮＧによって呼び出すことができる関
数が存在し、これによりＰＲＮＧにエントロピが供給される。

【０２８８】 ＰＲＮＧは、通常通りランダムデータを生成するが、生成されるデータの量を
記録する。これは、ＰＲＮＧの内部状態とさらに最後に供給されたエントロピの
予測不可能性と比較される。ＰＲＮＧが内部状態とエントロピの予測不可能性の
うち小さい方と同程度の量のデータを生成した場合、プラットフォーム固有の関
数を呼び出し、さらにエントロピを要求する。

【０２８９】 第２の解決法は、これより複雑ではあるが、完全にプラットフォーム独立であ
るという利点がある。

【０２９０】 この基本原理では、ＰＲＮＧを非常に大きな内部状態とともに使用する必要が
ある。このようなＰＲＮＧを生成する際の問題は、安全なハッシュが要求される
内部状態よりかなり小さい有限な出力を有するとき、暗号面の安全性を高めるこ
とにある。

【０２９１】 大規模ＰＲＮＧのTumbler（登録商標）の実装は、ＴＳＲ−ＬＳ（Tao SHA-1 R
andom-Large State）アルゴリズムである（上述の２つのTumbler（登録商標）ア
ルゴリズムのうちの第２のもの）。ＴＳＲ−ＬＳでは、複数の同時ハッシュ関数
を使用して、新しい生成操作ごとに元のシード値を再ハッシュする。これにより
、２０４８ビットの内部状態が得られ、２²⁰⁴⁸個の異なるビットストリームを２
つの入力操作の間に生成できる。ＴＳＲ−ＬＳは、ＴＳＲよりも遅いが、動的再
シード値設定ＰＲＮＧほどは遅くない。ＴＳＲ−ＬＳの動的再シード値設定ＰＲ
ＮＧに勝る他の利点としては、後者では、シードデータをバラバラに使用するた
め、初期出力はシード値に依存しないという点があげられる。ＴＳＲ−ＬＳでは
、出力はすべてが、シード値のすべてに依存しており、２０４８ビットの状態の
違いは、出力のすべてのビットを変更する可能性を有する。

【０２９２】 ＴＳＲ−ＬＳでは、複数階層ハッシュ関数のシステムを使用する。簡単なバー
ジョンを図１０に示す。ハッシュ関数はソフトウェアで実現できるが、あるいは
、ハードウェアによるハッシュ手段を備えることもできる。

【０２９３】 １００１．エントロピは、第１層のハッシュ関数のそれぞれに等しく分割する
。ハッシュ関数の個数は、必要とする内部状態のサイズに依存する。シード値設
定プロセスは、使用するハッシュ関数が多いほど低速になるが、操作が進むうち
に時間は、ハッシュの個数に依存しなくなる。

【０２９４】 １００２．まず、第１層のハッシュ関数の各々は、受け取るエントロピをハッ
シュする。

【０２９５】 １００４．第２層のハッシュは、第１層のハッシュ１００２のすべての出力を
取り込み、このすべてをまとめてハッシュする。このため、最終出力のすべての
ビットは、初期シード値のすべてのビットに基づく。

【０２９６】 １００５．第２層のハッシュ１００４からの出力により、ＰＲＮＧの疑似ラン
ダム出力を形成する。

【０２９７】 ＰＲＮＧを使用しているアプリケーションからさらにデータが要求されるごと
に、ハッシュ関数１００２のいずれかが（ローテーションに基づいて）、カウン
タ１００３を使用して再ハッシュ操作を実行する。この再ハッシュ操作は、上述
の通常状態のＰＲＮＧによって使用されているのと同じでもよい。

【０２９８】 １００３．このカウンタを使用して、すべての再ハッシュ操作で各ハッシュ関
数が新しい出力を生成するようにする。ここで、以下の例において、初期出力を
カウンタのインクリメントとして使用する。各ハッシュ関数１００２は、それ専
用のカウンタ１００３を保持することができる。

【０２９９】 特定の再ハッシュ関数の再ハッシュされた出力は、第２層関数１００４に供給
され、そこで他の関数１００２から事前に受け取っている出力でハッシュし、必
要な新しい出力データ１００５を生成する。このようにして、新しいデータの要
求が生じたときに、関数１００２のうち１つだけデータを再ハッシュし、そのデ
ータを第２層関数１００４に渡す。

【０３００】 ハッシュ関数１００２は、必要に応じてまた必要になったときに、プール１０
０１から追加エントロピを取得する。あるいは、追加エントロピは、ブロックで
一度にすべてを関数１００２に供給することができる。

【０３０１】 ＴＳＲ−ＬＳの正確な説明は次のとおりである。 ＴＳＲ−ＬＳは、ＳＨＡ−１ハッシュオブジェクトの５個の同時インスタンス
を使用する。Ｈ（）、Ｈ₀（）、Ｈ₁（）、Ｈ₂（）、Ｈ₃（）はこれらのハッシュ
関数として定義され、Ｘ‖Ｙは上述のＴＲＳとして定義され、Ｃ₀、Ｃ₁、Ｃ₂お
よびＣ₃は、４つの１６０ビットカウンタとして定義され、Ｉ₀、Ｉ₁、Ｉ₂および
Ｉ₃は、４つの１６０ビットインクリメントとして定義され、Ｅ_iは乱数発生器に
加えられるエントロピのｉ番目のプールとして定義され、Ｅ_i0、Ｅ_i1、Ｅ_i2、Ｅ_i3 は、各エントロピプールＥ_iに対するエントロピの４つのサブプールとして定
義され、Ｐ_ijは、Ｅ_iの入力以降に生成されたランダムデータのｊ番目の１０６
ビットプールとして定義され、Ｓ_kは、生成されたｋ番目の１６０ビット中間状
態として定義される。

【０３０２】 〜このアルゴリズムが最初に初期化されるときに、Ｃ₀、Ｃ₁、Ｃ₂、Ｃ₃、Ｉ₀
、Ｉ₁、Ｉ₂およびＩ₃は、すべての１６０ビットをアンセットし、i=0、k=-1とす
る。

【０３０３】 〜ｉ番目のエントロピプールがＰＲＮＧに入力されると、エントロピプールＥ_i は分割され、ｎ番目のバイトがエントロピのサブプールＥ_ia内に置かれ、ここ
で、ａは４を法とするｎの正の最小剰余である。バイトが、最後の、４の不完全
な集合の一部でないかぎり、バイトの最後の集合のビットは分割され、ｎ番目の
ビットがエントロピのサブプールＥ_iaに含まれ、ここで、ａは４を法とするｎの
正の最小剰余である。生成された最後の内部状態ブロックを、Ｓ_kと定義する。
ハッシュ関数Ｈ_a（）ごとに、エントロピのサブプールをそのハッシュに入力さ
れた前のデータのすべてと連結する。この連結のダイジェストを計算して、その
結果をＳ_k+a+1内におく。

【０３０４】 〜さらデータが必要な場合、ａは、４を法とするｊの正の最小剰余から得られ
る。Ｃ_aは、２¹⁶⁰を法としてこの値を加えることにより、インクリメントＩ_aで
インクリメントする。次に、この値を、Ｈ_a（）ですでにハッシュされている入
力に連結し、その結果を計算する。生成された最後の内部状態ブロックがＳ_kで
あったと仮定する。この場合、このハッシュの結果はＳ_k+1に入り、新しいプー
ルＰ_ijは、H(S₀‖S₁‖...‖S_k+1)となる。

【０３０５】 （１１．シーケンスジェネレータ） シーケンスジェネレータに、上で説明したＭＴＡ保護ハッシュにを使用する。
このジェネレータの目的は、入力シード値がわかっており、ストリームが決定論
的でなければならないことを除き、ＰＲＮＧと似た方法で疑似ランダムビットの
ストリームを際限なく供給することである。任意に選択されたシーケンスを生成
する入力シード値を見つけたり、出力の一部から入力を計算することが計算上不
可能でなければならない。

【０３０６】 ＰＲＮＧは決定論的であるため、シーケンスジェネレータは、指定されたＰＲ
ＮＧに既知のシード値を供給することにより実現できる。Tumbler（登録商標）
では、ＰＲＮＧと少し異なる動作をする単純なシーケンスジェネレータを用意し
ている（ＰＲＮＧを使用することもできるが）。

【０３０７】 ＳＨＡ−１のインスタンスを使用して初期シード値をハッシュし、このハッシ
ュ出力自体を使用可能なシーケンスデータの最初の２０バイトとして使用する。
その後、前の出力ブロックとハッシュ入力とを連結してハッシュを再計算するこ
とにより、新しいシーケンスデータを供給する。

【０３０８】 （１２．ベクトル表現上の並列ビット演算を使用した効率的なモジュロ演算） Tumbler（登録商標）では、ビットベースの技術を使用して小さな法でモジュ
ロ演算を実行する新しい方法を使用している。

【０３０９】 この方法では、ビット（つまり、２進数）ベースのデバイスを使用してモジュ
ロ演算を効率的に実行できる。これは、数値をベクトル形式で格納し、ビット単
位の論理演算の単純列を使用して、複数の数値に対し算術演算を並列実行するこ
とにより行う。この方法を使用すれば、どの基底でも効率のよいモジュロ演算を
実行できる。しかし、効率は、基底が小さいときに最大となる。Tumbler（登録
商標）は、この方法をＰＫＣＳの３進数演算の実行に使用する。

【０３１０】 （１２．１ モジュロ演算の詳細な説明） 正の整数基底ｒに対する、ｒを法とする算術演算は、整数ｒ「剰余類」の間の
演算に関する。「剰余類」は、ｒで除算したときの共通の余りを共有する整数か
ら成り立っている。

【０３１１】 例えば、法７に関して、６４と１５とは、両方とも同じ剰余類に属する。 64=9×7+1, 15=2×7+1

【０３１２】 ２つの整数の和または積を任意に与えられた整数で割った後の余りは、その同
じ整数でそれぞれの加数または因数を割った後の余りにのみに依存する。したが
って、剰余類の間の演算を考えることができる。

【０３１３】 剰余類の間の加算、減算および乗算は、剰余類から任意に選んだ代表元の間の
通常の整数算術演算と同じように行われる。通常、前者は、各剰余類から元を１
つ取り出して、代表元の集まりを選ぶ。これらは、通常、正の最小値からなる集
合（つまり、{0,1,...,r-1}）または最小絶対値からなる集合（{[-r/2]+1,...,0
,...,[r/2]}）のいずれかである。

【０３１４】 モジュロ演算は、理論的には、一般化された整数算術演算よりもかなり単純で
ある。しかし、現代のデジタルデバイスは、一般化された整数算術演算を取り扱
うように作成されており、モジュロ演算の実行が非常に不効率である。

【０３１５】 （１２．２ マシンに関する仮定） そこで、ｎビットのワードを使用し、以下のビット単位の論理演算を実行でき
るデバイスが存在していると仮定する。

【０３１６】 ２進演算ＸＯＲは、両方の入力ワードの対応するビットが両方ともセットされ
ていないか、または両方ともクリアされていない場合、およびその場合に限り、
各ビットがセットされたワードを返すように定義されている。

【０３１７】 ２進演算ＡＮＤは、両方の入力ワードの対応するビットがセットされている場
合、およびその場合に限り、各ビットがセットされたワードを返すように定義さ
れている。

【０３１８】 ２進演算ＯＲは、入力ワードのいずれかまたは両方の対応するビットがセット
されている場合、およびその場合に限り、各ビットがセットされたワードを返す
ように定義されている。

【０３１９】 単項演算ＮＯＴは、入力ワードの対応するビットがクリアされている場合、お
よびその場合に限り、各ビットがセットされたワードを返すように定義されてい
る。

【０３２０】 （１２．３ ベクトル表現） ここで説明している方法のポイントは、数値のベクトルビット単位の表現にあ
る。

【０３２１】 デジタルデバイスは、通常、あるワードの隣接するビットに２進形式の整数を
格納する。このため、「半加算器」などの、ビット間の桁上げが可能な回路を使
用する。ベクトル表現では、数の値は、異なるワード内の対応する位置にあるビ
ットにより表現される。これらのビットの値は、数の２進数形式に関係する必要
はない。後の例の３進数で示されているように、ビットを新しい方式で解釈する
ことで、効率が高まるだけでなく、その他の付随する利点が得られる。

【０３２２】 ２つの整数の間の単一モジュロ算術演算を実行することは、通常の整数方式を
使用するよりもベクトル表現を使用したときのほうがかなり効率が悪い。これは
、数値を表す2×[log₂ r]個のワードを組み合わせると、一般的に、O(log₃ r)回
の演算が必要になるためである。

【０３２３】 しかし、出願者は、ベクトル表現の利点が無限の並列安定性にあると理解して
いる。同時に実行可能な同じ演算の回数は、ワードのサイズでのみ制限される。

【０３２４】 （１２．４ ３進数表現） そこで、３進数の３つの可能な値（３進数の表現）が０、１および−１である
と仮定する。これは、任意の決定であり、システムはこれら３つの３進数の名前
とは独立に適用する。

【０３２５】 ３進数は、２つの異なるワード内の対応する場所を占有する２つのビットによ
り表される。第１のワード内にあるビットは、３進数の値が０でない場合、およ
びその場合にかぎセットされる。第２のワード内にあるビットは、３進数の値が
１の場合、およびその場合にかぎセットされる。したがって、３つの３進数０、
１および−１は、それぞれ、ベクトル<0,0>、<1,1>および<1,0>で表される。こ
のようにして、ｎタートは、２つのｎビットワードで表すことができる。

【０３２６】 （例） ４つの３進数０、０、−１および１のベクトルビット単位の表現を使用すると
仮定する。上で指定されたベクトルを使用すると、次の表が得られる。

【０３２７】

【表５】

【０３２８】 ここで、１番目のビットと２番目のビットを別々に取り出して格納すると、こ
の情報を２つの別々の４ビットワード、つまり００１１（１番目のビット）およ
び０００１（２番目のビット）として取り扱うことができる。次に、例えば、演
算ＸＯＲ、ＡＮＤ、ＯＲまたはＮＯＴを使用して、個々の３進数にではなく、ま
たベクトルにでもなく、ワード自体に対しモジュロ演算を実行することができる
。これにより、どんなにたくさんの３進数を同時に操作するとしても、オーバー
フローや桁上げを扱う状況を回避できる。

【０３２９】 モジュロ演算を実行する効率的な方法が提案されるほかに、このビットの解釈
により、第１の配列を調べることにより単に２を法として３進数の値を求めるこ
とができる。アルゴリズムは、０と０以外の３進数を区別することに注目するこ
とが多いため、これは、通常の２進形式に対し大きなメリットとなっている。

【０３３０】 対応するビットの対があり、第１のワード内のビットがクリアされている場合
、第２のワードにあるビットはセットされることはまったくない。しかし、シス
テムはこのことに依存する必要はない。

【０３３１】 同様な原理は、もちろん、３以外の基底に関するモジュロ演算に適用すること
、例えば、基底５で演算を実行することもでき、このアプローチは、３つの別々
のワードを操作し、ベクトル表現内のすべての第１ビットを表す第１、すべての
第２ビットを表す第２、およびすべての第３ビットを表す第３に対し行う。さら
に大きな基底についても機能する。

【０３３２】 （１２．５ ３を法とする演算） ３を法とする演算は、次のようにして計算される。

【０３３３】 Ｘ_〜0およびＸ₁は、ｎ個の３進数ｘ₀、．．．、ｘ_n-1を表す２つのｎビットワ
ードであり、対応する３進数が０でない場合に、ワードＸ_〜0はセットされたビ
ットを含み、対応する３進数が１の場合に、ワードＸ₁はセットされたビットを
含む。同様に、Ｙ_〜0およびＹ₁は、ｎ個の３進数ｙ₀、．．．、ｙ_n-1を表す２つ
のｎビットワードである。

【０３３４】 ｎ個の３進数の対(x_i,y_i)を、それぞれ３を法としてi=0から(n-1)について加
算すると、Ｚ_〜0およびＺ₁、つまり３進数x₀+y₀(mod 3)、...、x_n-1+y_n-1(mod 3
)が得られ、この結果は次のように計算される。 Z₁= (X_〜0 XOR Y₁) AND (X₁ XOR Y_〜0)、 Z_〜0= (X_〜0 XOR Y_〜0) OR (X₁ AND Y₁) OR Z₁

【０３３５】 ｘ_iからｙ_iの値を、それぞれ３を法としてi=0から(n-1)について減算すると、
Ｚ_〜0およびＺ₁、つまり３進数x₀-y₀(mod 3)、...、x_n-1-y_n-1(mod 3)が得られ
、この結果は次のように計算される。 Z_〜0= (X_〜0 XOR Y_〜0) OR (X₁ XOR Y₁) Z₁= (Y_〜0 XOR X₁) AND ((NOT Y₁) OR X_〜0) AND Z_〜0 ｎ個のタートペア(x_i,y_i)を、それぞれ３を法としてi=0から(n-1)について乗
算すると、Ｚ_〜0およびＺ₁、つまり３進数x₀×y₀(mod 3)、...、x_n-1×y_n-1(mod
3)が得られ、この結果は次のように計算される。 Z_〜0= (X_〜0 AND Y_〜0)、 Z₁= (NOT (X₁ XOR Y₁)) AND Z_〜0

【０３３６】 体Ｆ₃では、２つの非ゼロ元である１と−１のみが自己逆元となっている。し
たがって、除算は、乗算と区別できない。

【０３３７】 （１２．６ ハードウェアとソフトウェア） この方法は、ハードウェアでは実装が簡単であり、図１１、１２および１３に
示されている回路図からわかる。図１１は、３を法とする加算の回路図、図１２
は、３を法とする減算の回路図、図１３は、３を法とする乗算の回路図を示して
いる。

【０３３８】 ソフトウェアでは、この方法により、スケーラブルな並列化が可能であるが、
それは、任意長のワードの全幅を利用できるからである。

【０３３９】 （１２．７ Tumbler（登録商標）での使用） Tumbler（登録商標）ＰＫＣＳでは、３を法とする多項式を使用するが、これ
は、係数すべてが法３に関してのみ意味のある値を有する多項式である。アルゴ
リズムのさまざまな段階で、これらの多項式を互いに加減算する必要がある。特
に、現在の鍵生成システムの実装は、「Almost Inverse algorithm」（第３節を
参照）またはユークリッドアルゴリズムを使用し、３を法とする多項式で実行す
る。これらのアルゴリズムは、多項式同士の加減算が必要である。暗号解読シス
テムは、２つの３を法とする多項式の合成積（星型乗算（star-multiplication
））を必要とする。星型乗算アルゴリズムは、さらに、多項式同士の加減算が必
要である。

【０３４０】 ２つの多項式を加えるには、それぞれの多項式から対応する係数の値を加算す
る。第１の多項式からの第１係数の値を、第２の多項式の第１係数の値に加えて
、その合計の第１係数の値を出力する、というように続ける。

【０３４１】 第１の多項式が、上記のように２つのビット配列Ｘ₁およびＸ_〜0で表され、第
２の多項式が２つのビット配列Ｙ₁およびＹ_〜0で表される場合、２つの多項式の
多項式和は、４つの配列に対する次の３を法とする加算を実行することにより計
算できる。 Z₁= (X_〜0 XOR Y₁) AND (X₁ XOR Y_〜0)、 Z_〜0= (X_〜0 XOR Y_〜0) OR (X₁ AND Y₁) OR Z₁

【０３４２】 同じことが減算についても成り立つ。各多項式を２つのビット配列として格納
することにより、上記の減算方法を使用して２つの多項式の差を計算することが
できる。

【０３４３】 Tumbler（登録商標）の各多項式は、５０３個の係数を有することができ、こ
の方法をとると速度が著しく高まる。

【０３４４】 モジュロ演算に対するこのようなアプローチは、デジタルデータ処理の分野の
アプリケーションに一般的に見られ、暗号システム内の使用に限られない。

【図面の簡単な説明】

【図１】 Tumbler（登録商標）における鍵生成システムを示す図である。

【図２】 暗号システムを示す図である。

【図３】 暗号解読システムを示す図である。

【図４】 誤り訂正アルゴリズムを示す図である。

【図５】 ラッピングエラーの概念を示す図である。

【図６】 ラッピングエラーの概念を示す図である。

【図７】 ラッピングエラーの概念を示す図である。

【図８】 係数に関する誤りをチェックする順序を示す図である。

【図９】 典型的な従来技術の疑似乱数発生器（ＰＲＮＧ）を示す図である。

【図１０】 Tumbler（登録商標）内のＰＲＮＧを示す図である。

【図１１】 ３を法とする加算を示す回路図である。

【図１２】 ３を法とする減算を示す回路図である。

【図１３】 ３を法とする乗算を示す回路図である。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ，ＴＲ)，ＯＡ(ＢＦ ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ， ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，Ｇ Ｍ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ， ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ， ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，Ｂ Ｚ，ＣＡ，ＣＨ，ＣＮ，ＣＯ，ＣＲ，ＣＵ，ＣＺ，ＤＥ ，ＤＫ，ＤＭ，ＤＺ，ＥＣ，ＥＥ，ＥＳ，ＦＩ，ＧＢ， ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，Ｉ Ｎ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ， ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，Ｐ Ｌ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ， ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 ダニエル シェルトン イギリス アールジー１ ３キューエイ リーディング セント バーソロミューズ ロード 51 Ｆターム(参考） 5J104 JA21

Claims (22)

【特許請求の範囲】
1. 【請求項１】 秘密鍵ｆを使用して暗号多項式ｅを解読する方法であって、
   （ａ）ｑを整数、a=f*e(mod q)として、試行多項式ａを計算すること、 （ｂ）前記試行多項式ａに基づいて、多項式ｅが正しく復号されたか否かを決定
   し、正しく復号されていなければ、 （ｉ）前記試行多項式ａのどの係数が、復号の失敗の原因となったであろうか
   を決定し、 （ｉｉ）前記係数を調整して新しい試行多項式を定義し、および、 （ｉｉｉ）前記新しい試行多項式を使用して前記暗号多項式ｅの復号を試みる
   こと を備えたことを特徴とする方法。
2. 【請求項２】 前記試行多項式ａの少なくともいくつかの前記係数は、復号
   の失敗の原因であることの各々の期待値に応じて並べ替えられ、最大の期待値を
   有する係数は、前記新しい試行多項式を生成するように調整されることを特徴と
   する請求項１に記載の暗号多項式を解読する方法。
3. 【請求項３】 前記新しい試行多項式が復号に失敗する事象において、次に
   大きな期待値を有する係数は、他の新しい試行多項式を生成するように調整され
   ることを特徴とする請求項２に記載の暗号多項式を解読する方法。
4. 【請求項４】 新しい試行多項式は、ｅを適切に復号する試行多項式が見つ
   かるまで、または復号の試行が放棄されるまで、期待値の逆の順序で前記係数を
   調整することにより、繰り返し生成されることを特徴とする請求項３に記載の暗
   号多項式を解読する方法。
5. 【請求項５】 前記試行多項式ａの少なくともいくつかの前記係数は、単独
   でまたはグループで、復号の失敗の原因であることの各々の期待値に応じて並べ
   替えられ、最大の期待値を有する係数または係数のグループは、前記新しい試行
   多項式を生成するように調整されることを特徴とする請求項１に記載の暗号多項
   式を解読する方法。
6. 【請求項６】 前記新しい試行多項式が復号に失敗する事象において、次に
   大きな期待値を有する係数または係数のグループは、他の試行多項式を生成する
   ように調整されることを特徴とする請求項５に記載の暗号多項式を解読する方法
   。
7. 【請求項７】 新しい試行多項式は、ｅを適切に復号する試行多項式が見つ
   かるまで、または復号の試行が放棄されるまで、期待値の逆の順序で前記係数お
   よび係数のグループを調整することにより、繰り返し生成されることを特徴とす
   る請求項６に記載の暗号多項式を解読する方法。
8. 【請求項８】 係数または係数のグループの期待値は、前記各々の係数値に
   応じて決定されることを特徴とする請求項２ないし７のいずれかに記載の暗号多
   項式を解読する方法。
9. 【請求項９】 前記期待値は、前記各々の係数値と事前定義された係数値と
   の近接、または事前定義された最大および最小の要求された値に応じて決定され
   ることを特徴とする請求項８に記載の暗号多項式を解読する方法。
10. 【請求項１０】 前記期待値は、誤り訂正ルックアップテーブルに保持され
    た値を参照して決定されることを特徴とする請求項８または９に記載の暗号多項
    式を解読する方法。
11. 【請求項１１】 前記試行多項式ａの計算は、ｑを法とする正の最小剰余に
    還元することを含むことを特徴とする請求項１ないし１０のいずれかに記載の暗
    号多項式を解読する方法。
12. 【請求項１２】 前記事前定義された係数値は、ｑ／２であることを特徴と
    する請求項１０および１１に記載の暗号多項式を解読する方法。
13. 【請求項１３】 前記多項式ｅが正しく復号されたか否かの決定は、ｑを法
    として前記多項式ａを最小絶対剰余に還元することを含むことを特徴とする請求
    項１ないし１２のいずれかに記載の暗号多項式を解読する方法。
14. 【請求項１４】 前記多項式ｅが正しく復号されたか否かの決定は、前記多
    項式ａとｐを法とするｆの逆元Ｆ_pとの合成積を計算し、ｐを法として還元する
    ことを含むことを特徴とする請求項１３に記載の暗号多項式を解読する方法。
15. 【請求項１５】 前記係数は、整数値ｘを加算または減算することにより調
    整されることを特徴とする請求項１ないし１４のいずれかに記載の暗号多項式を
    解読する方法。
16. 【請求項１６】 ｘは、q rem pで定義されることを特徴とする請求項１４
    および１５に記載の暗号多項式を解読する方法。
17. 【請求項１７】 ｑは、２の因数であることを特徴とする請求項１ないし１
    ６のいずれかに記載の暗号多項式を解読する方法。
18. 【請求項１８】 ｑは、６４、１２８または２５６であることを特徴とする
    請求項１７に記載の暗号多項式を解読する方法。
19. 【請求項１９】 ｐは、３であることを特徴とする請求項１４に記載の暗号
    多項式を解読する方法。
20. 【請求項２０】 請求項１ないし１９のいずれかに記載されている方法を実
    行することを特徴とするコンピュータプログラム。
21. 【請求項２１】 請求項２０に記載されているコンピュータプログラムを実
    行することを特徴とする物理的キャリア。
22. 【請求項２２】 請求項２０に記載されているコンピュータプログラムを表
    すことを特徴とするデータストリーム。