JP2009116348A - データの非相関化方法 - Google Patents

Abstract

【課題】最適な機密性を提供し、大規模でない計算ソースのみを必要とする比較的単純な関数を用いて実施できるデータ暗号法を提供する。
【解決手段】計算機は、入力情報ｘを関数Ｆでコード化した情報Ｆ（ｘ）を出力するキーを用いて処理する。関数Ｆは非相関モジュールＭ_Kを使用し、Ｆ（ｘ）=［Ｆ'(Ｍ_K)］（ｘ）である（ここで、Ｋはランダムキーであり、Ｆ'は暗号関数である）。一般に、非相関モジュールは、キーを含む関数ＭKでメッセージｘを変換する役目を行い、ランダムな変数のキーを有する任意のｔ個の異なるメッセージから得た分散ＭK（ｘ1），...，ＭK（ｘt）が均一またはほぼ均一な分散を有するようにする。
【選択図】図１

Description

本発明は処理装置で利用可能な媒体に記録したデータを非相関化する方法に関する。

知られているデータの暗号化方法または暗号方法は多くある。これらはデータをコード化する役目をし、キーを所有する認定された受信者のみデータを読むことができる。暗号化の重要性は情報通信網と同時に高まっており、法律制定に伴いその利用が普及することは予想できる。

いくつかの暗号化方法により、無条件機密保護を提供することができるが、処理に手間がかかる技術手段を必要とするため、通信が遅くなったり、キーの交換管理の費用が高くなったりし、実際に使用できないものさえある。

例えば、暗号化されていないメッセージのフローを暗号化するために、バーナム暗号化方法（Vernam encryption method）では同じ長さのキーのフローを必要とし、送信者と受信者間の同期を達成するのが難しくなる。

無条件機密保護の条件は、1949年、シャノン（Shannon）によって形式化された。彼は情報理論を基に、無条件機密保護には、キーが、劣化することなく暗号化できるメッセージ全体の大きさと少なくとも同等でなくてはならないことを示した。

暗号化操作は、処理装置で利用可能な媒体に記録され、よく送信されるデータの保護を確実にするため実施する。一連の機密にすべきメッセージの暗号化には、少数のメッセージに対して独立にこれらの操作を実施しなければならない。

現在用いられる主な暗号化操作は米国政府が採用するデータ暗号化規格（DES: digital data encryption standard）である。この操作はいわゆるファイステル（Feistel）スキームに続く単純な関数の（16段の）反復に基づく。反復数が多いのは、暗号化されたメッセージ間の相関を弱めるためである。

DESについては多くの文献、特にダグラス スティンソン（Douglas STINSON）による「暗号化、理論と実践」（"Encryption, Theory and Practice"（International Thompson Publishing））という題名の出版物で説明されている。
Douglas STINSON "Encryption, Theory and Practice"（International Thompson Publishing）

暗号化の信頼性を改善し、徹底的な調査から保護するため、キーの長さを長くし、オーダー１の非相関の導入が提案されている。これは下記２つの文献の著者達が提案してきたことである。
Advances in Cryptology-CRYPTO 96, 16th Annual International Cryptology Conference, Santa Barbara, August 18-22 1996, Proceedings no. Conf. 16, August 18th 1996, Koblitz N (ED), pages 252-267 by KILIAN J. et al. Advances in Cryptology-ASIACRYPT, Fujiyoshida, November 11-14 1991, no. Conf. 1, November 11th 1991, Hideki Imai; Rivest R L; Tsutomu Matsumoto, pages 210-224 by EVEM S. et al.

しかし、この方法では近年開発された線形および微分暗号解読技術で可能になった攻撃から保護するのに十分ではない。

本発明の目的は、最適な機密性を提供し、大規模でない計算ソースのみを必要とする比較的単純な関数を用いて実施できるデータ暗号法を提供することにある。

この目的のため、本発明は計算機によって使用可能な媒体に格納されたデータの暗号方法に関し、この方法では、計算機が入力情報ｘを関数Ｆでコード化した情報Ｆ（ｘ）を出力するキーを用いて処理する。

本発明において、関数Ｆは少なくとも２に等しいランクの非相関モジュールＭ_Kを使用し、Ｆ（ｘ）=［Ｆ'（Ｍ_K）］（ｘ）である（ここで、Ｋはランダムキーであり、Ｆ'は暗号関数である）。
一般に、非相関モジュールは、キーを含む関数Ｍ_Kでメッセージｘを変換する役目を行い、ランダムな変数のキーを有する任意のｔ個の異なるメッセージから得た分散Ｍ_K（ｘ₁），...，Ｍ_K（ｘ_t）が均一またはほぼ均一な分散を有するようにする。

こうした非相関モジュールは、入力情報ｘに対して所定の長さのデータｘ₀を出力する情報分割装置（information dividing device）の後、データ暗号化装置内で使用できる。
本発明は、関数Ｆでコード化したメッセージｃ₁，...，ｃ_tのｔ個のブロックがその関数についてのいかなる統計的情報も与えないように実施できる。

それぞれが個々の利点を有する種々の実施例において、本発明は任意の技術的に実行可能な組み合わせによる下記特性を有する:
-入力情報ｘは所定の長さの要素ｘ₀に分割され、
-関数Ｆは、Ｆ（ｘ）=Ｆ'（Ｍ_K（ｘ））の形式であり、
-コード化関数Ｆ'は２つの関数Ｆ''およびＧ''に分割され、
Ｆ（ｘ）=Ｆ''（Ｍ_K（Ｇ''（ｘ）））、
-非相関モジュールＭ_Kは逆変換可能であり、
-非相関モジュールは、Ｍ_K（ｘ）=ａｘ＋ｂであり（ここで、Ｋ=（ａ，ｂ）、ａ≠０）、
-非相関モジュールは、Ｍ_K（ｘ）=ａ/（ｘ＋ｂ）＋ｃであり（ここで、Ｋ=（ａ，ｂ，ｃ）、ａ≠０）、
-関数Ｆは、関数Ｆ_iをｎ回の反復それぞれに適用するファイステル関数であり、
-非相関モジュールＭ_Kは逆変換可能であり、
-各反復で、Ｆ_i（ｘ）=Ｆ'_i（Ｍ_K（ｘ））であり、
-各反復で、Ｆ_i（ｘ）=Ｆ''_i（Ｍ_K（Ｇ''_i（ｘ）））であり、
-Ｍ_K（ｘ）=ｋ₁＋ｋ₂ｘ＋ｋ₃ｘ²＋...＋ｋ_tｘ^t-1
（ここで、Ｋ=ｋ₁，ｋ₂，ｋ₃，...，ｋ_t）である。

以下、本発明を図および実施例を用いてより詳細に説明する。
図１は、８段の反復のファイステルスキームに適用した本発明を示す。

記録データを暗号化する本発明の方法は、Ｆ（ｘ）=［Ｆ'（Ｍ_K）］（ｘ）（ここで、Ｋはランダムなキー、Ｆ'はコード化関数である）である非相関モジュールＭ_Kを用いた秘密キーを実施するのが有利である。

コード化関数Ｆ'は２つの関数Ｆ''およびＧ''に分割され、Ｆ（ｘ）=Ｆ''（Ｍ_K（Ｇ''（ｘ）））であるのが有利である。

このような非相関モジュールは、逆変換可能な関数Ｆおよび任意の関数Ｆに使用できる。

関数Ｆが逆変換可能である時、暗号方法は暗号化方法である。つまり、キーの保有者が入力情報を再生できる。関数Ｆが逆変換できない場合、暗号方法でデータを認証できる。

パラメータ値ｔ=２で、関数Ｍ_Kは:
Ｍ_K（ｘ）=ａｘ＋ｂ
であるのが有利である（ここで、Ｋ=（ａ，ｂ）、ａ≠０、記号＋はメッセージスペースの翻訳を表す）。

非相関はオーダー２で完全になる。逆変換操作は:
（Ｍ_K）^-1（ｙ）=ａ^-1ｙ-ａ^-1ｂ

パラメータ値ｔ=３の場合の他の実施例で、関数Ｍ_Kは:
Ｍ_K（ｘ）=ａ/（ｘ＋ｂ）＋ｃ
であるのが有利である。（ここで、Ｋ=（ａ，ｂ，ｃ）、ａ≠０。この演算では、１/０=０とする。）逆変換操作は下記のとおり:
（Ｍ_K）^-1（ｙ）=ａ/（ｙ-ｃ）-ｂ

非相関モジュールＭ_Kの使用は逆変換不可能な関数の場合でも同様に有利である。

加算および乗算を定義するメッセージのような代数構造を用いる。例えば、有限な集合における演算または素数の切り捨てモジュロ演算を用いる。

全てのパラメータ値ｔに、Ｍ_K（ｘ）=ｋ₁＋ｋ₂ｘ＋ｋ₃ｘ²＋...＋ｋ_tｘ^t-1ここで、Ｋ=（ｋ₁，ｋ₂，ｋ₃，...，ｋ_t）の形式の非相関関数を提案できる。

ファイステルl暗号化のスキームを図１に示す。
64ビットの平文ｘのブロックに対して、ｘ=Ｌ₀Ｒ₀を設定する（ここで、Ｌ₀は数列ｘの初めの32ビットを、Ｒ₀は残りの32ビットを有する）。

等しい関数ｆの４段の反復をｘに適用する。１≦ｉ≦４で、Ｌ_iＲ_iを下記の法則に従って計算する:
Ｌ_i=Ｒ_i-1
Ｒ_i=Ｌ_i-1＋ｆ（Ｒ_i-1＋Ｋ_i）
ここで、＋記号は２本の数列のビットごとのＥＯＲ（排他的ＯＲ）を表す。Ｋ₁，Ｋ₂，Ｋ₃，Ｋ₄はＫから計算された32ビットの数列である。

この結果は（Ｌ₄，Ｒ₄）となる。これは、例えば下記のように、非相関モジュールを適用する式Ｌ₄Ｒ₄に組み込まれる:
Ｋ₅Ｋ₆×Ｌ₄Ｒ₄＋Ｋ₇Ｋ₈
（Ｋ₅，Ｋ₆，Ｋ₇，Ｋ₈は各々32ビットの数列である）。

この結果は、ファイステルスキームによる２番目の関数に対する入力Ｌ'₀Ｒ'₀の役目をし、Ｌ'₄Ｒ'₄=Ｆ（ｘ）という結果を導く前記のものに類似する。
Ｋ'₁，Ｋ'₂，Ｋ'₃，Ｋ'₄もまた32ビットの数列である。
ここでキーはＫ₁，Ｋ₂，Ｋ₃，Ｋ₄，Ｋ'₁，Ｋ'₂，Ｋ'₃，Ｋ'₄，Ｋ₅，Ｋ₆，Ｋ₇，Ｋ₈である。
一般に、関数Ｆ''およびＧ''は任意の暗号化関数でよい。

ここで、２つの実施例を詳細に説明する:
これらの好ましい実施例の１番目では、８段の反復のファイステルスキームを用いる。Ｇ''は４つの関数ｆ₁，ｆ₂，ｆ₃，ｆ₄の連続処理、Ｆ''は４つの関数ｆ₅，ｆ₆，ｆ₇，ｆ₈の連続処理である（関数ｆ_iは関数ｆおよびランダムキーＫから定義する）。

関数ｆは下記の方法で定義する:
もしｘが32ビットワードであれば、まず下記φ（ｘ）を定義する:
φ（ｘ）=ｘ＋256.Ｓ（ｘｍｏｄ256）ｍｏｄ２³²
ここで、Ｓは例えば付録１の表に表した関数で、ｕは横軸に、ｖは縦軸に表し、各々が１６進数である。（ｕ，ｖ）=ｘを座標（ｕ，ｖ）に示す値を有する値Ｓ（ｘ）に対応させる。

ｆ（ｘ）を下記式で定義する:
ｆ（ｘ）=φ（Ｒ¹¹ _L（φ（ｘ））＋ｒｍｏｄ２³²）
（ここで、Ｒ¹¹ _Lは、11ビットの左への巡回置換であり、ｒは定数で、例えば下記のようにｓで定義される:

ｒ=ｂ７ｓ１５１６２および

キーＫは、各々64ビットの数列Ｋ_iを８個連結してできた256ビットの数列である:Ｋ=（Ｋ₁Ｋ₂Ｋ₃...Ｋ₈）。

ファイステルスキームは、関数ｆ_iを用いて実施する:

ここで、ｋ_iを下記のように定義し:

非相関モジュールは下記式となる:

２番目の好ましい実施例では、32段の反復のファイステルスキームを使用する:
最初の実施例に比べて、キーＫは2048ビットの数列、ｒはその値を保持し、関数ｆはｆ'に置換される:
ｆ'（ｘ）=Ｒ¹¹ _L（ｘ）＋ｒｍｏｄ２³²
関数ｆ_iは関数ｆ'_iに置換される:
ｆ'_i（ｘ）=ｆ'（ｘ.Ｋ_2i-1＋Ｋ_2iｍｏｄ２³²-５）。

８段の反復のファイステルスキームに適用した本発明を示す。

Claims (12)

1. 計算機によって使用可能な記録媒体に格納されたデータの暗号方法であって、計算機が入力情報ｘを関数Ｆでコード化した情報Ｆ（ｘ）を出力するキーを用いて処理する方法において、関数Ｆは少なくとも２に等しいランクの非相関モジュールＭ_Kを使用し、Ｆ（ｘ）=［Ｆ'（Ｍ_K）］（ｘ）である（ここで、Ｋはランダムキーであり、Ｆ'はコード化関数である）ことを特徴とするデータの暗号方法。
2. 前記入力情報ｘを所定の長さの要素ｘ₀に分割することを特徴とする請求項１に記載の暗号方法。
3. 前記関数Ｆが、Ｆ（ｘ）=Ｆ'（Ｍ_K（ｘ））の形式であることを特徴とする請求項１および２のいづれか１項に記載の暗号方法。
4. 前記コード化関数Ｆ'が、以下に示すよう２つの関数Ｆ''およびＧ''に分割されることを特徴とする請求項１および２のいづれか１項に記載の暗号方法：
   Ｆ（ｘ）=Ｆ''（Ｍ_K（Ｇ''（ｘ）））
5. 前記非相関モジュールＭ_Kが、逆変換可能であることを特徴とする請求項１から４のいづれか１項に記載の暗号方法。
6. 前記非相関モジュールが、Ｍ_K（ｘ）=ａｘ＋ｂ（ここで、Ｋ=（ａ，ｂ）、ａ≠０）であることを特徴とする請求項５に記載の暗号方法。
7. 前記非相関モジュールが、Ｍ_K（ｘ）=ａ/（ｘ＋ｂ）＋ｃ（ここで、Ｋ=（ａ，ｂ，ｃ）、ａ≠０）であることを特徴とする請求項５に記載の暗号方法。
8. 前記非相関モジュールＭ_Kが、逆変換不能であることを特徴とする請求項１から４のいづれか１項に記載の暗号方法。
9. 前記関数Ｆが、関数Ｆ_iをｎ回の反復処理するファイステル関数であることを特徴とする請求項５に記載の暗号方法。
10. 前記各反復において、Ｆ_i（ｘ）=Ｆ'_i（Ｍ_K（ｘ））であることを特徴とする請求項９に記載の暗号方法。
11. 前記各反復において、Ｆ_i（ｘ）=Ｆ''_i（Ｍ_K（Ｇ''_i（ｘ）））であることを特徴とする請求項９に記載の暗号方法。
12. Ｍ_K（ｘ）=ｋ₁＋ｋ₂ｘ＋ｋ₃ｘ²＋...＋ｋ_tｘ^t-1（ここで、Ｋ=（ｋ₁，ｋ₂，ｋ₃，...，ｋ_t））であることを特徴とする請求項１１に記載の暗号方法。

Images