JP2022541057A - 暗号置換のための暗号アーキテクチャ - Google Patents

暗号置換のための暗号アーキテクチャ Download PDF

Info

Publication number
JP2022541057A
JP2022541057A JP2022503796A JP2022503796A JP2022541057A JP 2022541057 A JP2022541057 A JP 2022541057A JP 2022503796 A JP2022503796 A JP 2022503796A JP 2022503796 A JP2022503796 A JP 2022503796A JP 2022541057 A JP2022541057 A JP 2022541057A
Authority
JP
Japan
Prior art keywords
cryptographic
permutation
register
processing unit
registers
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2022503796A
Other languages
English (en)
Inventor
マルック－ユハニ・オラヴィ・サーリネン
Original Assignee
ピーキューシールド・リミテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ピーキューシールド・リミテッド filed Critical ピーキューシールド・リミテッド
Publication of JP2022541057A publication Critical patent/JP2022541057A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/72—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in cryptographic circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • G06F7/582—Pseudo-random number generators
    • G06F7/584—Pseudo-random number generators using finite field arithmetic, e.g. using a linear feedback shift register
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/76—Arrangements for rearranging, permuting or selecting data according to predetermined rules, independently of the content of the data
    • G06F7/768—Data position reversal, e.g. bit reversal, byte swapping
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/30—Arrangements for executing machine instructions, e.g. instruction decode
    • G06F9/30003—Arrangements for executing specific machine instructions
    • G06F9/30007—Arrangements for executing specific machine instructions to perform operations on data operands
    • G06F9/30029—Logical and Boolean instructions, e.g. XOR, NOT
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/30—Arrangements for executing machine instructions, e.g. instruction decode
    • G06F9/30003—Arrangements for executing specific machine instructions
    • G06F9/30007—Arrangements for executing specific machine instructions to perform operations on data operands
    • G06F9/30032—Movement instructions, e.g. MOVE, SHIFT, ROTATE, SHUFFLE
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0637—Modes of operation, e.g. cipher block chaining [CBC], electronic codebook [ECB] or Galois/counter mode [GCM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/04—Masking or blinding
    • H04L2209/046—Masking or blinding of operations, operands or results of the operations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/24—Key scheduling, i.e. generating round keys or sub-keys for block encryption

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Power Engineering (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Storage Device Security (AREA)

Abstract

暗号方法とシステムについて説明する。特定の実施例は、暗号置換を含む暗号演算を実行することに関する。この方法及びシステムを使用して、ハッシュ、暗号化、復号、及び乱数生成などの暗号関数を提供することができる。一実施例では、暗号アーキテクチャが提供される。暗号アーキテクチャは、暗号レジスタのセットを含むプロセッサインタフェースを有し、プロセッサインタフェースは、少なくとも１つの処理ユニットによってアクセス可能である。暗号アーキテクチャはまた、暗号レジスタのセット内に格納されたデータを使用して暗号置換を実行する回路を含む暗号置換ユニットを有する。実施例において、少なくとも１つの処理ユニットは、暗号置換を指示し、プロセッサインタフェースを使用して暗号置換の結果にアクセスする。

Description

本発明は、暗号アーキテクチャ及び暗号演算を実行する方法に関する。特に、本発明は、暗号置換を含む暗号演算に関する。本明細書で説明される特定の実施例は、暗号演算を実行するためにコンピューティングデバイス内で使用され得る。
最近、コンピュータネットワークに接続されているデバイスの数が爆発的に増加している。例えば、インターネット接続は、デスクトップやラップトップコンピュータなどのコンピューティングデバイスを超えて、自動車、電球、冷蔵庫、医療機器、サーモスタット、監視システムなどの日常の対称内の組み込みシステムにまで拡大している。通信リンクにより、世界中で多くの低コストのコンピューティングデバイスがセンサデータを報告し、及び／または制御されることができるようになる。これらの接続されたデバイスの課題の１つは、攻撃や悪意のある制御に対して脆弱であることが多いことである。例えば、数百または数千の組み込みデバイスが悪意のある者によって侵害され、分散型サービス拒否攻撃を実行するために使用される可能性がある。多くの場合、暗号プロトコルの実装が不十分または限定されているため、これらのデバイスの制御は簡単に得られる。これらの接続されたデバイスの数と大衆性が高まるにつれ、それらを保護する方法について未解決の問題がある。
接続されたコンピューティングデバイスを保護する際のもう１つの考慮事項は、量子コンピューティングを使用した将来の攻撃の可能性である。長年の間、量子コンピュータは主に理論的な関心事であった。しかし、量子コンピュータの研究実装は急速に発展している。現在、５０キュービットと７２キュービットの量子コンピュータが利用可能であり、より高度のキュービットマシンに積極的に取り組んでいる多くの研究グループがある。量子コンピューティングの将来の現実性を考えると、最近の研究では、多くの有名な公開鍵暗号システムが十分に強力な量子コンピュータによって破られる可能性があることが示されている。
暗号関数、特に「ポスト量子」で安全な関数を実装する場合、これらの関数の多くがリソースを大量に消費するという課題がある。例えば、多くの暗号関数には、ビット長の長い値を使用する複雑な数学関数が含まれる。これらは通常、多数のプロセッササイクルを消費し、低リソースの組み込みデバイス内での実装に問題をもたらす。さらに、データと通信の両方のエンドツーエンド暗号化が一般的になるにつれて、これらの暗号関数も高速で繰り返し実行する必要がある。安全であるということは遅いということになる。
米国特許第９，７７２，８４５Ｂ２号は、ＫＥＣＣＡＫセキュアハッシュアルゴリズムを処理するための装置を記載している。米国特許第９，７７２，８４５Ｂ２号の装置では、命令デコーダは、ＫＥＣＣＡＫハッシュアルゴリズムのＫＥＣＣＡＫ状態を表すデータのＫＥＣＣＡＫ状態キューブを処理するための命令を受信する。この命令は、ＫＥＣＣＡＫ状態キューブを複数のサブキューブに分割し、サブキューブを複数のレジスタにそれぞれ格納するように指示する。命令デコーダに結合された実行ユニットは、ベクトル方式で複数のレジスタにそれぞれ格納された複数のサブキューブに対してＫＥＣＣＡＫハッシュアルゴリズムを実行する。米国特許第９，７７２，８４５Ｂ２号の装置は、複合命令セットコンピューティング（ＣＩＳＣ）または縮小命令セットコンピューティング（ＲＩＳＣ）プロセッサなどのプロセッサである。米国特許第９，７７２，８４５ Ｂ２号に記載されている方法は、プロセッサによって実装される。この方法は、ＫＥＣＣＡＫアルゴリズムのラウンドごとに８つの命令を使用して実装でき、この場合、各ラウンドは、全体データのスライス（サブキューブ）に対して実行される。
暗号演算の効率的な実装を提供することが望ましい。例えば、ポスト量子環境での攻撃に対する耐性を提供しながら、低リソースの組み込みシステム内及び／または高速データ処理演算において使用できる実装を提供することが望まれる。
本発明の態様は、添付の独立請求項に記載されている。次に、本発明の特定の変形例が、添付の従属請求項に記載されている。
ここで、添付の図面を参照しながら、本発明の実施例を例としてのみ説明する。
一実施例による、暗号アーキテクチャを示す概略図である。 一実施例による、プロセッサインタフェースのレジスタを示す概略図である。 一実施例による、プロセッサインタフェースのための暗号レジスタの第１のセットを示す概略図である。 一実施例による、プロセッサインタフェースのための暗号レジスタの第２のセットを示す概略図である。 一実施例による、暗号置換ユニットを示す概略図である。 一実施例による、プロセッサインタフェースのための制御レジスタのセットを示す概略図である。 一実施例による、暗号演算を実行する方法を示す流れ図である。 一実施例による、暗号アーキテクチャ及び処理ユニットによって実行される第１の演算シーケンスを示す流れ図である。 一実施例による暗号アーキテクチャ及び処理ユニットによって実行される第２の演算シーケンスを示す流れ図である。
本明細書で説明される特定の実施例は、処理ユニットが暗号置換を効率的に実行することを可能にする暗号アーキテクチャを提供する。暗号アーキテクチャは、処理ユニットが暗号置換ユニットと効果的に通信して暗号置換を実行できるようにするプロセッサインタフェースを提供する。したがって、処理ユニットは、置換の計算を専用モジュールに効果的にオフロードし、次に、プロセッサインタフェースを介して置換の結果にアクセスすることができる。暗号アーキテクチャは、「ポスト量子」での安全も含め、多くの高度な暗号関数を迅速に計算できるようにするアトミックな低レベルの演算を提供することができる。暗号アーキテクチャは、プロセッサまたはマイクロプロセッサに代わって高速暗号ベースの関数を実行することができ、そのため、低電力の組み込みデバイスと高スループットのサーバデバイスの両方にメリットがある。
図１は、暗号アーキテクチャ１１０の実施例１００を示している。図１では、暗号アーキテクチャ１１０は、暗号アーキテクチャ１１０が処理ユニット１３０と通信することを可能にするプロセッサインタフェース１２０を含む。処理ユニット１３０は、暗号アーキテクチャ１１０の一部を形成しない可能性があるため、一点鎖線の輪郭で示されている。暗号アーキテクチャ１１０はまた、暗号置換ユニット１４０を含む。暗号置換ユニット１４０は、暗号置換を実行するための回路を含む。図１に示されるように、使用中、処理ユニット１３０は、暗号置換を指示し、プロセッサインタフェース１２０を使用して暗号置換の結果にアクセスする。
一実施例では、プロセッサインタフェース１２０は、暗号レジスタのセットを含む。暗号レジスタは、処理ユニット１３０にアクセス可能であり得て、例えば、特定の暗号レジスタは、処理ユニット１３０によって読み取り可能及び／または書き込み可能であり得る。使用中、処理ユニット１３０は、暗号レジスタのセットを介して、すなわち暗号レジスタのセット内に格納されたデータを使用して、暗号置換ユニット１４０によって実行されるように暗号置換の結果にアクセスすることができる。暗号レジスタのセットは、暗号置換ユニット１４０と処理ユニット１３０との間でデータ及び制御情報を交換するために使用され得る。暗号レジスタは、１つまたは複数のメモリマッピングされたレジスタとしてアクセスすることができ、処理ユニット１３０の名前付き単一命令、複数データ（ＳＩＭＤ）またはベクトルレジスタセットの一部としてアクセスすることができる。
特定の実施例では、処理ユニット１３０は、１つまたは複数の処理コアを有するマイクロプロセッサを含み、例えば、処理ユニット１３０は、組み込みデバイス用の処理ユニットであってもよい。他の実施例では、処理ユニットは、１つまたは複数の処理コアを有するコンピューティングデバイスの中央処理ユニットを含むことができ、例えば、処理ユニット１３０は、モバイルコンピューティングデバイス、デスクトップコンピュータ及び／またはサーバコンピューティングデバイスのための処理ユニットであり得る。
暗号アーキテクチャ１１０は、いくつかの異なる方法で実装することができる（そしてアプローチの組み合わせが可能である）。１つの場合では、暗号アーキテクチャ１１０は、１つまたは複数の特定用途向け集積回路（ＡＳＩＣ）を使用して実装され得る。別の場合では、暗号アーキテクチャ１１０は、１つまたは複数のフィールドプログラマブルゲートアレイ（ＦＰＧＡ）を使用して実装され得る。さらに別の場合では、暗号アーキテクチャ１１０は、処理ユニット１３０のファームウェアを使用して実装され得る。特定の場合では、暗号アーキテクチャ１１０の異なるコンポーネントは、ＡＳＩＣ、ＦＰＧＡ、及びファームウェア命令のうちの２つ以上の組み合わせを使用して実装され得る。１つの場合では、暗号アーキテクチャ１１０の機能は、マイクロコード及びファームウェアアップデートの１つまたは複数を介して提供され得る。この場合、セキュリティを確保するためにコードの認証が必要になる場合がある。暗号置換ユニット１４０は、同様の方法で実装することができる。
一実施例では、暗号アーキテクチャ１１０及び暗号置換ユニット１４０の１つまたは複数は、個別のユニットとして提供され得る（例えば、パッケージ化され得る）。例えば、個別のユニットは、自己完結型のセキュリティマイクロコントローラ（例えば、スマートカード、ユニバーサルシリアルバス（ＵＳＢ）デバイス及び／または無線周波数識別（ＲＦＩＤ）デバイスとして提供される）、暗号化コプロセッサもしくはアクセラレータ、暗号トラステッドプラットフォームモジュール（ＴＰＭ）またはハードウェアセキュリティモジュール（ＨＳＭ）であり得る。個別のユニットは、１つまたは複数の通信バスもしくはインタフェースを介して処理ユニット１３０に結合されてもよく、及び／または同じ回路基板上にあってもよい。したがって、暗号アーキテクチャ１１０は、多種多様なコンピューティングデバイス用のコンピューティングボードに容易に追加される単一のチップとして提供され得る。
図２は、暗号レジスタがデータレジスタの第１のセット２１０及び制御レジスタの第２のセット２２０を含むプロセッサインタフェース１２０を示している。暗号置換ユニット１４０はレジスタ２１０、２２０の両方のセット読み取ることができ、及び／またはそれにデータを書き込むことができる。同様に、処理ユニット１３０もまた、暗号レジスタに通信可能に結合されており、第１及び第２のセット２１０、２２０の中のレジスタを読み取ることができ、及び／またはそれにデータを書き込むことができる。したがって、第１及び第２のセットのレジスタ２１０、２２０は、処理ユニット１３０と暗号置換ユニット１４０との間のインタフェースを提供する。
１つの場合では、プロセッサインタフェース１２０の暗号レジスタは、処理ユニット１３０のアドレス空間にメモリマッピングされたものであり得る。これは、直接、例えば、処理ユニット１３０のバスを介して、及び／またはメモリ管理ユニット（ＭＭＵ）を介して達成することができる。必要に応じて、様々な暗号レジスタに様々な方法でアクセスできる。所与の暗号レジスタがメモリマッピングされている場合、処理ユニット１３０によるメモリ内の特定のアドレスへの読み取りまたは書き込みは、所与の暗号レジスタ（または前記レジスタの一部）への読み取りまたは書き込みにマッピングされ得る。ＲＩＳＣ－Ｖなどの縮小命令セットコンピューティング（ＲＩＳＣ）命令セットアーキテクチャ（ＩＳＡ）では、プロセッサインタフェース１２０の暗号レジスタを１つまたは複数の制御及びステータスレジスタ（ＣＳＲ）、及び／または１つまたは複数のベクトル拡張として実装でき、例えば後者の場合、暗号レジスタは１つまたは複数のベクトルレジスタと見なすことができる。
特定の実施例では、プロセッサインタフェース１２０は、プロセッサ割り込み、ダイレクトメモリアクセス（ＤＭＡ）、及びＩＳＡ拡張などの１つまたは複数の補助プロセッサインタフェースメカニズムを使用して実装され得る。例えば、プロセッサインタフェース１２０は、暗号置換ユニット１４０が処理ユニット１３０上で割り込みを呼び出すこと、及び／または処理ユニット１３０に関連付けられたバス（例えば、処理ユニット１３０のバスまたは処理ユニット１３０が結合されているバス）に対してＤＭＡ動作を実行することを可能にし得る。代替的に、または追加的に、プロセッサインタフェース１２０を介して実行される制御インタラクションは、命令セットアーキテクチャ拡張として実装され得る。
特定の実施例では、特定の暗号置換演算を実行するコマンドは、単一のマシンコード命令としてエンコードすることができ、例えば、処理ユニット１３０によって実行される単一の命令は、暗号置換を実行するように機能する。例えば、単一のマシンコード命令は、プロセッサインタフェース１２０を介して、暗号置換ユニット１４０をアクティブ化することができ、これは、置換を実行し、プロセッサインタフェース１２０を介して結果を処理ユニット１３０に返す。１つの場合では、暗号置換ユニット１４０は、制御レジスタの第２のセット２２０内に制御フラグを設定することができ、これは、暗号置換がいつ完了するかを判定するために処理ユニット１３０によってチェックされ得、その時点で、暗号置換の結果はデータレジスタの第１のセット２１０から処理ユニット１３０によって読み取ることができる。１つの場合において、暗号置換ユニット１４０は、プロセッサインタフェース１２０を介して、暗号置換が完了したことを示すために処理ユニット１３０によって受信される割り込みをトリガーすることができる。割り込みを受信すると、処理ユニット１３０は、データレジスタの第１のセット２１０からの暗号置換の結果に再びアクセスすることができる。ＩＳＡ拡張を使用してプロセッサインタフェース１２０の制御インタラクションを実装することは、暗号置換が処理ユニット１３０のための単一のマシンコード命令として符号化されることを可能にする１つの方法を提供し得る。
特定の実施例では、暗号置換ユニット１４０は、暗号レジスタの少なくとも１つ、例えば、データレジスタの第１のセット２１０の１つに格納されたデータに対して暗号置換を実行する。１つの場合では、暗号置換ユニット１４０は、制御レジスタの第２のセット２２０内に格納された制御データに従って暗号置換を実行する。暗号置換には、暗号状態に実行される１つまたは複数の演算が含まれる場合がある。この暗号状態は、ビットの集合、例えば２５６、５１２、または１６００のバイナリ値のシーケンスを含むことができる。暗号置換は、暗号状態を更新するために使用できる。次に、暗号状態の更新により、ハッシュ、暗号化及び復号機能、数字ジェネレータなどの様々な暗号関数のフレームワークを提供することができる。サイズｂ（例えば、３００、５１２、または１６００）のビットのセットに対して暗号置換が実行される場合、プロセッサインタフェース１２０は、ｂビット長である複数の暗号レジスタを含み得る。特定の場合では、データは長さｗのワードで暗号レジスタにロードされたり、暗号レジスタからロードされたりすることができ（例えば、ここでｗ＜ｂ）、ここでｗは、処理ユニット１３０のワードサイズに対応し得る。
１つの場合では、暗号置換ユニット１４０は、データのブロックに「ランダム類似関数」を提供する暗号置換を実装する。暗号置換は、複数の「ラウンド」に対して実行することができ、各ラウンドまたはラウンドのセットはまた暗号置換を構成する。暗号置換は、キーレス置換とすることができ、例えば、暗号キーを含まない場合がある。例えば、暗号置換は、明示的な秘密暗号キーによって制御されないという点でブロック暗号とは異なり得る（ただし、置換状態の一部は秘密の「容量」として指定され得る）。また、ブロック暗号とは異なり、置換の逆を計算する必要はめったにない。各ラウンドは他のラウンドと同様であり得る。特定の場合では、ラウンド定数及び／またはドメインセパレータパラメータを使用してラウンドを区別することができる。ラウンド定数は、複数のラウンドにわたって値が変化する複数のビットであり得る。変化するラウンド定数を使用すると、ラウンドを暗号的に「分離」するのに役立ち得る。ドメイン分離パラメータは、複数のビットを含むこともでき、ラウンド定数と同様の方法で使用して、異なる使用ドメイン（例えば、暗号化と復号、またはハッシュと乱数の生成）を分離することができる。ラウンド定数は、分離パラメータと一緒に、または分離パラメータとは別に使用できる。例示的な暗号置換のさらなる詳細は、参照により本明細書に組み込まれる英国特許出願第１９０３６７４．８号に記載されている。
暗号置換ユニット１４０は、多くの異なる暗号置換を実行するように構成され得る。例えば、ＦＰＧＡのセットを特定のユースケースに対してプログラムすることができ、及び／または暗号置換は、更新可能なファームウェア内で定義できる。一例として、暗号置換ユニット１４０は、例えば、参照により本明細書に組み込まれる連邦情報処理標準（ＦＩＰＳ）２０２（またはセキュアハッシュアルゴリズム３－「ＳＨＡ－３」－標準）－「ＳＨＡ－３標準：置換ベースのハッシュ及び拡張可能出力関数」、ＦＩＰＳ ＰＵＢ２０２、米国国立標準技術研究所（ＮＩＳＴ）、２０１５年８月、に記載されている、ＫＥＣＣＡＫ－ｐ置換を実行するように構成することができる。ＦＩＰＳ２０２標準のセクション３で説明されているように、暗号置換の各ラウンドは、５つの個別の（置換）ステップの構成、ｔｈｅｔａ：θ（Ａ）、ｒｈｏ：ρ（Ａ）、ｐｉ：π（Ａ）、ｃｈｉ：χ（Ａ）、及びｉｏｔａι（Ａ，ｉｒ）を含み得る。最後のステップは、ラウンド定数パラメータｉｒを取る。したがって、この標準の複合ラウンド関数は次のように定義できる。
Ｒｎｄ（ａ，ｉｒ）＝ι(χ（π（ρ（θ（Ａ）））），ｉｒ）
この実施例では、暗号置換ユニット１４０は、この複合ラウンド関数－Ｒｎｄを、例えば、１ラウンドまたは複数ラウンドのいずれかに対して実行するように構成され得る。置換入力Ａのサイズが１６００ビットの場合、これらのラウンド関数の２４個の合成（特定のラウンド定数ｉｒを使用）は、ＫＥＣＣＡＫ－ｐ［１６００，２４］となる。これにより、ＦＩＰＳ２０２標準で説明されているＳＨＡ－３／ＳＨＡＫＥハッシュ関数の基本的なビルディングブロックが提供される。それはまた、他の多くの派生プリミティブの基本的なビルディングブロックも提供する。ＫＥＣＣＡＫ－ｐ以外の暗号置換の例としては、２０１９年３月の、ＮＩＳＴ ＬＷＣ標準化の取り組みに対する「Ａｓｃｏｎ ｖ１．２」提案で、Ｃｈｒｉｓｔｏｐｈ Ｄｏｂｒａｕｎｉｇ、Ｍａｒｉａ Ｅｉｃｈｌｓｅｄｅｒ、Ｆｌｏｒｉａｎ Ｍｅｎｄｅｌ、Ｍａｒｔｉｎ Ｓｃｈｌａｆｆｅｒによって記述された、ＡＳＣＯＮの３２０ビット置換、及び、２０１９年３月の、ＮＩＳＴ ＬＷＣ標準化の取り組みへの提案で、Ｍａｒｋｋｕ－Ｊｕｈａｎｉ Ｏ． Ｓａａｒｉｎｅｎによって記述された、「ＳＮＥＩＫＥＮ ａｎｄ ＳＮＥＩＫＨＡ：ＳＮＥＩＫ Ｆａｍｉｌｙ ｏｆ Ｌｉｇｈｔｗｅｉｇｈｔ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ａｌｇｏｒｉｔｈｍｓ」、５１２ビットのＳＮＥＩＫ置換があり、両方とも参照により本明細書に組み込まれる。
図３は、プロセッサインタフェース１２０の一部を形成し得る暗号レジスタのセット３００の一実施例を示している。この実施例では、暗号レジスタのセット３００は、図２に示されるデータレジスタの第１のセット２１０の一部を形成するが、他の場合では、単一の共通のデータ及び制御レジスタのセットの一部を形成してもよい。図３では、暗号レジスタのセット３００は、置換状態（Ｓ）を格納するための置換状態レジスタ３１０、置換入力データを格納するための置換入力レジスタ３２０（Ｘ）、及び、出力データ（Ｏ）を格納するための置換出力レジスタ３３０を含む。これらのレジスタはすべてｂビットの長さであり得る（またはｂビットを格納可能であり得る）。この実施例では、置換入力レジスタ３２０は、処理ユニット１３０によって書き込み可能であり、置換出力レジスタ３３０は、処理ユニット１３０によって読み取り可能である。したがって、処理ユニット１３０は、暗号置換のデータを置換入力レジスタ３２０にロードするように指示することができ、また、置換出力レジスタ３３０からの暗号置換の結果得られるデータのロードを指示することができる。
図３では、暗号置換ユニット１４０は、置換状態レジスタ３１０からデータを読み取り、データを書き込むことができる。例えば、暗号置換ユニット１４０は、暗号置換の前に置換状態レジスタ３１０から現在の置換状態値（例えば、ｂビット）を読み取り、次に、更新された置換状態値（例えば、状態の暗号置換に続く）を置換状態レジスタ３１０に書き戻すことができる。他の場合では、入力状態と出力状態の値が異なるレジスタから読み取られ、異なるレジスタに書き込まれ得る。置換状態レジスタ３１０は、処理ユニット１３０からは見えない（例えば、読み取り可能または書き込み可能でない）場合がある。置換状態レジスタ３１０が見えない場合、これは、セキュリティを向上させ（状態を処理ユニット１３０によって直接操作することができないため）、暗号置換の適用を単純化する方法で機能をカプセル化することができる（例えば、処理ユニット１３０の製造業者は、状態について置換がどのように実行されるかを知る必要はない）。
図３では、暗号置換ユニット１４０は、置換入力レジスタ３２０からデータを読み取ることができる。置換入力レジスタ３２０から読み取られたデータは、置換状態レジスタ３１０から読み取られた置換状態と組み合わせることができる。１つの場合では、置換入力レジスタ３２０からのデータは、ＸＯＲ演算を使用して、置換状態レジスタ３１０から読み取られた置換状態と組み合わせることができる。暗号置換ユニット１４０は、組み合わせの結果に対して暗号置換を実行することができる。図３では、暗号置換ユニット１４０は、置換出力レジスタ３３０にデータを書き込むことができる。このデータは、例えば上記のように実行される暗号置換の出力を含み得る。
図４は、暗号レジスタのセット４００の別の実施例を示している。図４の実施例は、図３の実施例を拡張したものであり、例えば、より多くの機能が必要な場合に提供できる。暗号レジスタのセット４００は、置換状態レジスタ３１０、置換入力レジスタ３２０、及び置換出力レジスタ３３０（それぞれ、Ｓ、Ｘ、及びＯ）を含む。これらは、図３の実施例と同様に動作することができる。
図４では、暗号レジスタのセット４００はまた、入力マスク（Ｍ）を格納するためのマスク入力レジスタ４１０と、置換状態レジスタ３１０内のデータと置換入力レジスタ３２０内のデータを組み合わせた結果（Ｙ）を格納するための組み合わせ出力レジスタ４２０とを含む。１つの場合では、組み合わせ出力レジスタ４２０は、例えば、組み合わせがＸＯＲ演算である場合、ＸＯＲ出力レジスタを備える。図４では、マスク入力レジスタ４１０は、処理ユニット１３０によって書き込み可能であり、組み合わせ出力レジスタ４２０は、処理ユニット１３０によって読み取り可能である。暗号置換ユニット１４０は、マスク入力レジスタ４１０からデータを読み取り、このデータを使用して、例えば、暗号置換の一部として、またはその前に、マスキング演算を実行することができる。暗号置換ユニット１４０はまた、組み合わせの出力を組み合わせ出力レジスタ４２０に書き込むことができ、処理ユニット１３０は、次いで、組み合わせ出力レジスタ４２０から組み合わせの出力を読み取ることができ、例えば、処理ユニット１３０は、組み合わせの出力ならびに置換出力レジスタ３３０をより高いレベルの暗号演算において使用することができる。
一実施例では、例えば、図３または図４の１つまたは複数に示されるようなコンポーネントを備えた暗号アーキテクチャ１１０は、入力ＸＯＲ演算を適用するための回路をさらに含む。例えば、この回路は、置換入力レジスタ３２０からの置換入力データから得られたデータと、置換状態レジスタ３１０からの置換状態から得られたデータを受け取り、このデータに入力ＸＯＲ演算を適用することができる。
１つの場合では、回路は、入力ＸＯＲ演算を置換入力データ及び置換状態に適用することができ、置換状態と入力ＸＯＲ演算の結果を組み合わせ出力レジスタ４２０に書き込むことができる。別の場合では、回路は、入力ＸＯＲ演算を置換入力データ及び置換状態の修正されたバージョンに適用することができ、この場合、入力ＸＯＲ演算を適用するための回路は、暗号置換ユニット１４０に通信可能に結合されるか、またはその一部を形成することができる。この後者の場合、回路は、入力ＸＯＲ演算の結果を暗号置換ユニット１４０に提供することができ、その結果、暗号置換がこの結果に対して実行され得る。特定の実施例では、２セットの回路を使用して各ユースケースを提供することができる。
一実施例では、例えば、図３または図４の１つまたは複数に示されるようなコンポーネントを有する暗号アーキテクチャ１１０は、例えば置換状態レジスタ３１０から読み取られる置換状態にマスキング演算を適用するための置換マスキング回路をさらに備える。これは、ＸＯＲ演算を適用するための上記の回路の１つの実装であり得る。置換マスキング回路は、マスク入力レジスタ４１０及び置換状態レジスタ３１０に通信可能に結合され得る。マスキング演算は、マスク入力レジスタ４１０からのマスクを置換状態に適用することができる。１つの場合では、マスクはＡＮＤ演算を使用して適用できる。
図５は、上記の回路の例示的な実装５００を示している。図５の実施例では、回路は、暗号置換ユニット１４０の一部として実装されており、他の実施例では、回路は、暗号置換ユニット１４０の外側、例えば、データレジスタ２１０と暗号置換ユニット１４０との間に実装されてもよい。同様の機能と接続性がどちらの場合にも適用される。図５は、暗号置換ユニット１４０への入力として通信可能に結合された、置換状態レジスタ３１０－Ａ、置換入力レジスタ３２０、及びマスク入力レジスタ４１０を示している。この実施例では、暗号置換ユニット１４０はまた、データを置換状態レジスタ３１０－Ｂ、置換出力レジスタ３３０、及び組み合わせ出力レジスタ４２０に出力する。置換状態レジスタは、コンポーネント３１０－Ｂとして破線で示されており、それはこれが３１０－Ａと同じコンポーネントであってもよいからであるが、これらを別々に示すことにより、暗号置換ユニット１４０の動作を理解するのがより容易となる。例えば、１つの場合では、暗号置換ユニット１４０は、置換状態レジスタに書き込まれ得る更新された置換状態を出力することができ、入力としてアクセスされる以前の置換状態を効果的に上書きする。他の場合では、異なるレジスタまたは共通レジスタの異なる部分を代わりに使用して、入力及び出力の置換状態を格納することができる。
暗号置換ユニット１４０は、第１のＸＯＲ回路５１０、ＡＮＤ回路５２０、第２のＸＯＲ回路５３０、及び置換回路５４０を含む。第１のＸＯＲ回路５１０は、上記のように入力ＸＯＲ演算を適用するための回路の１つのケースを実装することができ、ＡＮＤ回路５２０は、上記のように置換マスキング回路を実装することができ、そして、第２のＸＯＲ回路５３０は、上記のように、入力適用回路（または入力ＸＯＲ演算を適用するための他の場合の回路）を実装することができる。図５で、黒い円は通信結合を示しており、黒い円のない接続の交差は、通信可能に結合されていない。図５では、第１のＸＯＲ回路５１０は、置換状態レジスタ３１０－Ａ及び置換入力レジスタ３２０に通信可能に結合されている。第１のＸＯＲ回路５１０は、論理ＸＯＲ演算を適用し、組み合わせ出力レジスタ４２０に出力を提供する。ＡＮＤ回路５２０は、マスク入力レジスタ４１０から読み取られたデータ（すなわち、マスク）及び置換状態レジスタ３１０－Ａから読み取られたデータ（すなわち、置換状態）に論理ＡＮＤ演算を適用する。ＡＮＤ回路５２０は、第２のＸＯＲ回路５３０に通信可能に結合されている。第２のＸＯＲ回路５３０は、置換入力レジスタ３２０から読み取られたデータ（例えば、ＸＯＲ入力）及びＡＮＤ回路５２０の出力（例えば、修正またはマスクされた置換状態）に論理ＸＯＲ演算を適用する。第２のＸＯＲ回路５３０は、置換回路５４０に通信可能に結合されている。置換回路５４０は、暗号置換を第２のＸＯＲ回路５３０の出力に適用し、暗号置換の結果を置換状態レジスタ３１０－Ｂ及び置換出力レジスタ３３０に供給するように構成される。処理ユニット１３０は、置換出力レジスタ３３０から暗号置換の結果を読み取ることができる。置換状態レジスタ３１０－Ａに元々格納されていた置換状態は、結果によって上書きされ得る（例えば、置換状態レジスタ３１０－Ｂは、異なる時点で異なる値Ｓ’を格納する同じレジスタであり得る）。１つの場合では、暗号置換の結果は、置換状態レジスタ３１０－Ａ及び置換出力レジスタ３３０のそれぞれにコピーされ得る。
図５の例示的な実装５００は、ベクトル表記法を使用して記述され得るいくつかの演算を実行する。例えば、暗号置換の開始時の置換状態レジスタ３１０内のデータは、ベクトルＳ－開始状態と呼ぶことができる。暗号置換に続く置換状態レジスタ３１０内のデータは、ベクトルＳ’－更新された状態と呼ぶことができる。この状態は、上記のようにｂビットを有することができる。置換入力レジスタ３２０内のデータは、ベクトルＸと呼ぶことができ、マスク入力レジスタ４１０内のデータは、ベクトルＭと呼ぶことができる。論理ＡＮＤ及びＸＯＲ演算は、ｂビットのベクトル（例えば、置換状態の全幅に等しい幅を有する）に演算を行うことができる。これにより、暗号置換を実行するために状態をサブベクトルに分解する必要がないため、迅速な計算が可能になり得る。各レジスタのサイズ（例えば、使用可能なメモリ）がｂより大きい場合（例えば、暗号演算の大規模なファミリをカバーする値として選択された場合）、ｂビットのサブセット（例えば、最初または最後のｂビット）は、任意の１つの特定の演算でアクセスできる。ｂビットの各ベクトルは、それぞれが０または１の値を有するビットのシーケンスであり得る。
上記の表記法を与えられると、図５の暗号置換ユニット１４０の演算は、以下のように要約することができる。
Ｙ＝Ｓ ＸＯＲ Ｘ
Ｏ＝Ｓ’＝Ｐｅｒｍ（（Ｓ ＡＮＤ Ｍ） ＸＯＲ Ｘ）
したがって、更新演算では、Ｓ＝Ｓ’である。言い換えると、置換状態Ｓは最初に入力ＸとＸＯＲされ、出力はＹに書き込まれる。この実施例では、置換状態ＳもＭでマスクされ、結果も入力ＸとＸＯＲされ、暗号置換Ｐｅｒｍ（）が適用される。結果として得られる新しい置換状態Ｓ’は、置換出力Ｏに書き込まれる。次の演算のために、置換状態Ｓは、Ｓ＝Ｓ’として設定される。
特定の実施例では、置換状態は、内部で複数の部分に分割され得る。これらの部分は、事前定義された数のビットを含み得る。１つの場合では、置換状態は、「容量」として知られているｃビットの「秘密」セットと、「レート」として知られているｒビットの「公開」セットに分割され、ここで、ｂ＝ｒ＋ｃである。暗号演算中、処理ユニット１３０は、「レート」ビットにのみアクセス（例えば、インタラクト）することができる。例えば、「レート」ビットのみを読み取及び／または書き込みすることができ、容量ビットはそのまま変更されない。ｂ、ｒ、及びｃの値は、暗号化及び復号演算中のマスク選択に影響を与える可能性があり、実装仕様に従って構成することができる。「容量」ビットはスキームセキュリティに関連付けることができ、「レート」ビットは処理速度に関連付けることができる。例えば、ｃを大きくするとスキームのセキュリティが向上させることができ、ｒを小さくすると処理速度を向上させることができる。
処理ユニット１３０は、いくつかの異なる方法で暗号アーキテクチャ１１０を使用することができる。１つの場合では、処理ユニット１３０は、暗号アーキテクチャ１１０を使用して、以下の暗号演算のうちの１つまたは複数を実行することができ、その演算とは、入力データを置換状態と混合するための「吸収（ａｂｓｏｒｂ）」暗号演算、置換状態を使用して出力を取得するための「搾取（ｓｑｕｅｅｚｅ）」暗号演算、置換状態を使用して入力データを暗号化する「暗号化（ｅｎｃｒｙｐｔ）」暗号演算、及び、置換状態を使用して入力データを復号する「復号（ｄｅｃｒｙｐｔ）」暗号演算である。「吸収」及び「搾取」演算は、例えば、暗号ハッシュのために使用され得る。「暗号化」及び「復号」演算は、例えば、認証された暗号化及び復号モードの構築のために使用され得る。これらの暗号演算の実施例、及びそれらが暗号アーキテクチャ１１０をどのように使用することができるかを以下に示す。
「吸収」演算では、入力データは置換状態と混合される。入力データは、置換入力レジスタ３２０からのデータを含み得る。吸収演算は、置換状態を初期化するため、または置換を直接演算するために使用できる。吸収演算は、図５を参照して上述した暗号置換ユニット１４０の演算に続くことができる。
Ｓ’＝Ｐｅｒｍ（（Ｓ ＡＮＤ Ｍ） ＸＯＲ Ｘ）
Ｓ＝Ｓ’
この例示の演算では、置換状態Ｓは、最初にマスク入力Ｍ（例えば、マスク入力レジスタ４１０の内容）でマスクされる。次に、結果と置換入力Ｘ（例えば、置換入力レジスタ３２０の内容）との間でＸＯＲ演算が実行される。これは、暗号置換への入力を形成する。出力は、置換状態レジスタ３１０に書き戻される。１つの場合では、Ｐｅｒｍ（）関数は、アトミック演算として実行されるＫＥＣＣＡＫ－ｐ Ｒｎｄ演算を含み得る。この場合、ＫＥＣＣＡＫ－ｐ Ｒｎｄ演算の複数の反復は、暗号置換の一部として実行することができ、ここで、置換は、暗号置換ユニット１４０によって個別の単一演算として実行される。
１つの演算ケースでは、マスク入力Ｍをゼロ、すなわちＭ＝０ｂ（「ｂ」個のゼロのビットのベクトル）に設定することができ、これにより、次の演算が実行される。
Ｓ’＝Ｐｅｒｍ（Ｘ）
これは、他の関数の中でもとりわけ、システムの初期化や秘密鍵の設定に使用できる。別の演算ケースでは、マスク入力Ｍを１、すなわちＭ＝１ｂ（「ｂ」個の１のビットのベクトル）に設定することができ、これにより、「スポンジ」吸収演算が行われる。
Ｓ’＝Ｐｅｒｍ（Ｓ ＸＯＲ Ｘ）
マスク入力Ｍのビットを構成することにより、異なる上書きの組み合わせを規定することができる。これは、安全なハッシュを作成するためにも使用できる。
「搾取」演算では、出力は置換状態から抽出することができる。例えば、入力置換状態がＳで、出力置換状態がＳ’の場合、次のようになる。
Ｏ＝Ｓ’＝Ｐｅｒｍ（Ｓ）
Ｓ＝Ｓ’
「搾取」演算では、置換状態Ｓは直接暗号置換の対象となり、結果は置換状態レジスタ３１０に書き戻され、このレジスタは新しい値Ｓ’を有する。出力はまた、Ｏに書き込むことができ、そこで、それは、処理ユニット１３０によって読み取られ得る。ハッシュ演算では、ｒ個の「レート」ビットを含む出力Ｏの一部が、処理ユニット１３０によってハッシュ演算出力として使用され得る。また、どのように「搾取」演算がＭ＝１ｂかつＸ＝０ｂによって「吸収」と同等であるかを知ることができる。
「暗号化」演算は「吸収」と見なすことができ、Ｘは、処理ユニット１３０によって置換入力レジスタ３２０に書き込まれる暗号化するデータ（すなわち、平文データ）を表し、出力状態Ｏは、演算後に置換出力レジスタ３３０にコピーされ、ここで、「暗号文」は、処理ユニット１３０によって置換出力レジスタ３３０から読み取られる。
Ｏ＝Ｓ’＝Ｐｅｒｍ（（Ｓ ＡＮＤ Ｍ） ＸＯＲ Ｘ）
Ｓ＝Ｓ’
この演算では、ＭはＭ＝１ｂに設定することができ、Ｘは平文の役割を有し、Ｏは暗号文を表す。この場合も、ＸとＯの一部のみ、例えばｒ個の「レート」ビットを読み取ることができ、及び／または処理ユニット１３０によって使用することができる。ｃ個の「容量」は、処理ユニット１３０によって無視され得る。
「復号」演算は、「暗号化」演算の逆と見ることができる。この場合、Ｘ（例えば、置換入力レジスタ３２０の内容）は暗号文と見ることができ、Ｙは、復号された平文（例えば、組み合わせ出力レジスタ４２０から読み取られる）を形成する。この場合以下のとおりである：
Ｙ＝Ｓ ＸＯＲ Ｘ
Ｏ＝Ｓ’＝Ｐｅｒｍ（（Ｓ ＡＮＤ Ｍ） ＸＯＲ Ｘ）
Ｓ＝Ｓ’
例えば、ｒ個の「レート」ビットを置換状態Ｓの左側部分とし、ｃ個の「容量」ビットを置換状態Ｓの右側部分とする場合、ＭはＭ＝１ｒ０ｃと設定することができる。この場合、暗号文Ｘは、Ｘの左ｒビットがゼロであると見なされるので、置換状態Ｓを使用して上書きされる。対応する平文は、Ｙの右ｒビットをとることによって処理ユニット１３０によって読み取ることができる。
本明細書で説明される実施例では、暗号レジスタは、ｗビットのワードに配置することができ、ここで、ｗのサイズは、処理ユニット１３０のアーキテクチャによって決定される。例えば、３２ビットデータパスを備えるシステムの場合、ｗは３２とすることができ、または６４ビットデータパスを備えるシステムの場合、ｗ＝６４である。暗号置換の入力と出力がｂビットである場合、（例えばＫＥＣＣＡＫ－ｐ及びＳＨＡ－３に対して、ｂ＝１６００）、処理ユニット１３０は、ｎ＝ｂ／ｗワードのセットとしてレジスタにアクセスすることができる。例えば、置換出力レジスタ３３０に例えばコピーされた置換状態Ｓ’は、３２ビットシステム上で５０ワードとしてアクセスされ得る。しかしながら、暗号アーキテクチャ１１０は、完全なレジスタの内容が暗号置換ユニット１４０によって単一のサイクルでアクセスされ得るように構成される。この構成により、データ処理を大幅に高速化することができる。例えば、図３及び４に示されるものを含むデータレジスタ２１０は、それぞれ、ｂビットのサイズであり得る（つまりｂビットを格納することができる）。
図６は、暗号レジスタのセット６００の別の実施例を示している。この実施例では、制御レジスタのセット２２０が示されている。これらは、図３または４の１つに示されるデータレジスタ２１０と同様に提供され得る。図６は、７つの制御レジスタ２２０を有する実施例を示し、様々な実施例と実装では、要件に応じて、様々な数の制御レジスタ、または部分に分割された単一のレジスタを使用することができる。図６では、制御レジスタ２２０は、識別子（ＩＤ）レジスタ６１０、開始（ＧＯ）レジスタ６２０、準備完了（ＲＤＹ）レジスタ６３０、ラウンドレジスタ６４０、６５０、６６０のセット、及び割り込み（ＩＲＱ）制御レジスタ６７０を含む。
識別子レジスタ６１０は、処理ユニット１３０によって書き込み可能であり、実行される暗号演算の識別子を格納する。例えば、識別子レジスタ６１０は、上記のように、１つまたは複数のドメインセパレータパラメータを格納することができる。識別子の値は、例えば、識別子レジスタ６１０に書き込まれた異なる値が、例えば、置換出力レジスタ３３０から読み取られる、異なる出力を生成することを保証することによって、特定の暗号演算に従って暗号置換を構成するために使用され得る。
開始レジスタ６２０は、処理ユニット１３０によって書き込み可能であり、暗号演算のための開始（または再開）フラグを格納する。例えば、開始レジスタ６２０は、値０及び１を有するバイナリフラグを格納することができ、値１は、暗号置換ユニット１４０が（例えば、上記のように暗号置換を実行することによって）暗号演算を開始することを示す。開始レジスタ６２０は、デフォルトで０とすることができ、暗号アーキテクチャ１１０（及び／または暗号置換ユニット１４０）に処理ユニット１３０に代わって暗号演算を実行することを指示するために、処理ユニット１３０によって書き込まれ得る（例えば、１に設定され得る）。
準備完了レジスタ６３０は、処理ユニット１３０によって読み取り可能であり、暗号アーキテクチャ１１０（及び／または暗号置換ユニット１４０）が別の暗号演算を開始する準備ができており、及び／または暗号置換の結果は処理ユニット１３０によって読み取られる準備ができていることを示す、準備完了フラグを格納する。これは、開始フラグと同様に、０は暗号アーキテクチャ１１０が、準備ができていない（例えば、使用中またはビジーである）ことを示し、１は暗号アーキテクチャ１１０が暗号演算を開始する準備ができていることを示す、バイナリフラグであり得る。準備完了レジスタ６３０は、複数の処理ユニット（例えば、マルチコアプロセッサまたはマイクロプロセッサ）を備えたコンピューティングデバイスにおいて有用であり得、複数の処理ユニットのそれぞれは、例えば、それらがそれぞれプロセッサインタフェース１２０に通信可能に結合されている場合、暗号アーキテクチャ１１０にアクセスし得る。これは、プロセッサインタフェース１２０が、複数の処理ユニットも結合するシステムバスに結合されている場合であり得る。準備完了レジスタ６３０を使用して、暗号演算の結果がデータレジスタ２１０から読み取る準備ができていることを示す場合、値１は、暗号置換の結果が置換出力レジスタ３３０から利用可能であることを処理ユニット１３０に示すことができ、値０は、演算がまだ進行中であることを示すことができる。
ラウンドレジスタ６４０、６５０、６６０のセットは、処理ユニット１３０によって書き込み可能であり、暗号置換のラウンドに関連する１つまたは複数のフラグを格納する。図６には、３つのラウンドレジスタがあり、開始（ＢＥＧ）ラウンドレジスタ６４０、終了（ＥＮＤ）ラウンドレジスタ６５０、及びラウンドデータ（ＲＮＤ）レジスタ６６０である。開始ラウンドレジスタ６４０及び終了ラウンドレジスタ６５０は、処理ユニット１３０によって書き込み可能であり、それぞれ、開始ラウンド（処理される最初のラウンド）及び終了ラウンド（処理される最後のラウンド）を格納する。開始ラウンドと終了ラウンドは整数値で示すことができる。ラウンドデータレジスタ６６０は、処理ユニット１３０によって書き込み可能、またはアクセス可能であってもよく、そうでなくてもよい。ラウンドデータレジスタ６６０が現在のラウンドを追跡するために（例えば整数値として）ラウンドカウントを格納する場合、ラウンドデータレジスタ６６０は、処理ユニット１３０によってアクセスできない可能性がある。別の場合では、ラウンドデータレジスタ６６０は、実行するラウンドの数を示すラウンド定数を格納することができる。要件に応じて、様々な実装が可能である。
割り込み制御レジスタ６７０は、処理ユニット１３０によって書き込み可能であり、割り込みが有効であるか無効であるかを示すフラグを格納する。例えば、割り込み制御レジスタ６７０は、０は割り込みが無効であることを示し、１は割り込みが有効であることを示す、バイナリフラグを格納することができる。この実施例では、割り込みとは、処理ユニット１３０によって実行されている一連の命令を中断する、処理ユニット１３０に対する割り込みを指す。割り込みが有効になっている場合、割り込みは、暗号演算（暗号置換を含む）が完了したこと、及び／または暗号アーキテクチャ１１０が（例えば、それが別の処理ユニットによって使用されている場合）入力を処理する準備ができていること、を示すために使用できる。処理ユニット１３０は、現在のデバイス構成に基づいて、及び／または特定の暗号演算のために、割り込みが使用されるかどうかを設定することができる。割り込みが使用されない場合（例えば、フラグが０に設定される場合）、処理ユニット１３０は、代わりに、準備完了レジスタ６３０をポーリングして、イベントが発生したかどうかを判定することができる。
したがって、図６の暗号レジスタの例示的なセット６００は、処理ユニット（または複数の処理ユニット）が暗号アーキテクチャ１１０及び暗号置換ユニット１４０の演算を制御することを可能にする。制御及びデータのための統一された共通のプロセッサインタフェース１２０を有することは、暗号アーキテクチャ１１０の統合を単純化するのに役立ち得る。それはまた、より大きなコンピューティングデバイスへの単一の結合を可能にし、例えば、暗号アーキテクチャ１１０は、より大きなコンピューティングデバイスのためのマザーボードまたは制御ボードに容易に追加され得る。暗号レジスタのセット６００は、図６では別個のレジスタとして示されているが、これらのレジスタの内容の一部またはすべては、代替的に、１つまたは複数の制御レジスタのフィールドとしてグループ化され得る（例えば、上記のバイナリフラグは、８ビットレジスタのうちの様々なビットを含む）。
図７、８Ａ及び８Ｂは、図１から６に示されるような暗号アーキテクチャを制御する特定の方法を示す。暗号アーキテクチャは、暗号演算を実行するように制御することができ、例えば、少なくとも１つの処理ユニットは、プロセッサインタフェースを介して暗号アーキテクチャを制御する。特定の場合では、入力の準備を容易にする方法で暗号アーキテクチャを使用して、置換の計算と同時に出力のアンロードを実行できるようにすることができる。
図７は、一実施例による、暗号演算を実行する方法７００を示している。方法７００は、図１の暗号アーキテクチャ１１０などの暗号アーキテクチャによって実行され得る。１つの場合では、方法７００は、図１から６に示される暗号置換ユニット１４０などの暗号アーキテクチャ内の暗号置換ユニットによって実行され得る。
この方法は、ブロック７１０から始まり、これは、暗号演算を実行するための命令を処理ユニットから受信することを含む。これは、図１のプロセッサインタフェース１２０を介して処理ユニット１３０から信号を受信することを含み得る。１つの場合では、暗号置換ユニット１４０は、図６の開始レジスタ６２０を監視することができ、ブロック７１０は、開始レジスタ６２０から値をロードすることと、それが正の開始信号（例えば、値１）を示すかどうかを判定することと、を含み得る。
ブロック７２０で、置換状態は、暗号レジスタのセットの１つからロードされる。これは、暗号置換ユニット１４０が、図３から５に示される置換状態レジスタ３１０からデータをロードすることを含み得る。置換状態は、処理ユニットによってアクセス可能でなくてもよい。
ブロック７３０で、置換状態から得られたデータに対して暗号置換が実行される。データは、置換状態自体を含んでもよく、または、図５に示すように、暗号置換を実行する前に、いくつかの論理演算を置換状態に適用してもよい。ブロック７３０は、プロセッサインタフェース１２０の暗号レジスタに格納されたデータを使用して、図１から６の暗号置換ユニット１４０によって実行され得る。ブロック７３０は、図５に示されるように、プロセッサインタフェース１２０内の複数のデータレジスタ２１０からデータを読み取ることを含み得る。
ブロック７４０において、方法７００は、暗号置換の出力を暗号レジスタのセットの１つに格納することを含む。例えば、これは、暗号置換の出力を置換出力レジスタ３３０にコピーすることを含み得る。それはまた、置換状態レジスタ３１０に同じ出力を格納することを含み得る。データレジスタ２１０に対する読み取り／書き込み動作は、暗号置換ユニット１４０によって実行され得る。
ブロック７５０において、方法７００は、置換が完了したことを処理ユニットに示すことを含む。次に、処理ユニットは、例えば図１のプロセッサインタフェース１２０を介して、暗号レジスタのセットからの暗号置換の出力にアクセスすることができる。１つの場合では、ブロック７５０は、暗号置換ユニット１４０が、（例えば、割り込みモードが有効になっている場合）処理ユニットに割り込みを送信することを含み得る。代替的に、または追加的に、ブロック７５０は、フラグ値（例えば、値１）を準備完了レジスタ６３０に書き込むことを含み得る。処理ユニットは、暗号レジスタのセットから、例えば、置換出力レジスタ４２０から、暗号置換の出力を読み取ることができる。
１つの場合では、この方法は、制御レジスタのセットの１つを介して、暗号置換ユニットが処理を開始する準備ができていることを示すことを含み得る。例えば、これは、図６に示されるように、準備完了レジスタ６３０によって示され得る。実施例において、処理ユニット及び暗号置換ユニット１４０の演算は、割り込み及び、制御レジスタのセットの１つの状態のうちの１つまたは複数に基づいて同期することができ、例えばプロセスフローの開始は、これらの１つまたは複数に基づいて同期され得る。
１つの場合では、この方法は、暗号置換ユニットによって、ラウンドデータレジスタ６６０などのラウンド制御レジスタからのラウンドカウントをロードすることを含み得る。ラウンドカウントは、暗号置換で、例えばラウンド定数入力として使用できる。暗号置換に続いて、ラウンド制御レジスタのラウンドカウントをインクリメントすることができる。ロード、使用、及びインクリメント演算は、ラウンド制御レジスタと、図６の終了ラウンドレジスタ６５０などの終了制御レジスタとの比較に基づいて繰り返すことができる。
１つの場合では、方法は、置換入力レジスタ３２０などの置換入力レジスタから置換入力データをロードすることを含み得る。次に、マスク入力データは、マスク入力レジスタ４１０などのマスク入力レジスタからロードすることができる。この場合、ブロック７３０で暗号置換を実行することは、暗号置換ユニットによって、置換入力データと、マスク入力データ及び置換状態に実行されるＡＮＤ演算の結果との関数として、ＸＯＲ演算を実行することにより、置換レジスタ内の置換状態を更新することを含み得る。この場合、ブロック６４０は、更新された置換状態を置換状態レジスタ、例えば、図３及び４の置換状態レジスタ３１０にロードすることを含み得る。例えば、これは、図５に示されるような構成によって実行される演算を含み得る。
図８Ａ及び８Ｂは、図１の暗号アーキテクチャ１１０（例えば、暗号置換ユニット１４０によって実装される）などの暗号モジュールの２つの例示的な演算モード８００を示している。図８Ａ及び８Ｂの左側８０５は、図１～６の暗号置換ユニット１４０などの暗号モジュールによって実行される演算を示している。図８Ａ及び８Ｂの右側８１０は、図１の処理ユニット１３０などの処理ユニット上で制御プログラムを実行するときに実行され得る対応する演算を示している。図８Ａ及び８Ｂの両側は、暗号モジュール及び処理ユニットの演算がどのように同期され得るかを示す。
左側の演算８０５は、暗号モジュールが暗号演算を実行する準備ができていることを示すために、準備完了（ＲＤＹ）フラグがブロック８１５で設定されたときに開始する。これは、割り込みを介して、及び／または、暗号モジュールが準備完了レジスタ（準備完了レジスタ６３０など）を特定の値（例えば、１）に設定することを介して、実行できる。特定の場合では、準備完了フラグを１に設定すると、暗号モジュールの準備ができたことを処理ユニットに通知する処理ユニット割り込みをトリガーすることもできる。他の場合では、処理ユニットは、準備完了レジスタを定期的に読み取って、特定の値（例えば、１）または値の変化（例えば、０から１）を探すことができる。準備完了フラグ値に基づく同期は、例えば、８４５として示されるプロセッサインタフェース１２０によって提供されるインタフェースレジスタとともに、矢印８４０を介して示される。図８Ａのブロック８５５で、処理ユニットは、準備完了フラグ値（例えば、暗号モジュールは処理の準備ができていることを示す１の値を、準備完了フラグが有することを示す）に基づいて割り込みを受信する。図８Ａは、割り込みが有効になっている場合を示している。図８Ｂは、割り込みが有効になっていない別のケースを示しており、図８Ｂでは、ブロック８９０で、処理ユニットは、（例えば、準備完了レジスタを定期的にポーリングすることによって）準備完了フラグの値を監視し、この値が１に設定されると演算を開始する。
準備完了フラグが１に設定され、暗号モジュールがブロック８１５で処理を実行する準備ができると、暗号モジュールはブロック８２０に進み、ここで新しい暗号演算が実行されることを示す開始フラグが設定される（例えば、開始フラグが１に設定されていることで示される）のを待つ。ブロック８２０は、図６に示されるように、開始レジスタ６２０に格納された値を監視する暗号置換ユニット１４０を含み得る。
暗号モジュールが開始信号を待っている間、処理ユニットは、図８Ａのブロック８５５（例えば、準備完了を示す割り込み＝１）または、図８Ｂのブロック８９０（例えば、処理ユニットは、準備完了レジスタ６３０の値を読み取り、それが１であると判定する）の１つに続いて、ブロック８６０で暗号モジュールの古い出力の処理を開始する。例えば、準備完了フラグが１であると分かると、処理ユニットは、新しい演算を開始し、置換出力及び組み合わせ出力のうち１つまたは複数の内容を読み取ることができる。この後者の演算は、置換出力レジスタ３３０及び組み合わせ出力レジスタ４２０にそれぞれ格納された値を読み取ることを含み得る。
ブロック８６０に続いて、処理ユニットは、ブロック８６５でチェックを実行して、処理するデータがさらにあるかどうかを判定する。以下でより詳細に説明するように、新しい暗号演算の場合、ブロック８６０で読み取られた値は無視され得、処理されるべきより多くのデータが存在する。処理ユニットが以前に指示された暗号演算をフォローアップしている場合、例えば結果の準備ができている場合、処理するデータがそれ以上ない可能性がある。処理するデータがさらにある場合、方法はブロック８７０に進み、そこで新しい入力値が処理ユニットによって準備される。これには、置換入力（Ｘ）及び／またはマスク入力（Ｍ）の新しい値を、それぞれ、置換入力レジスタ３２０及びマスク入力レジスタ４１０に書き込むことが含まれ得る。新しい値が書き込まれると、開始フラグが１に設定され、新しい暗号置換が開始される。この場合も、開始レジスタ６２０への新しい値及び値１の書き込みは、例えば、１つの書き込みサイクルの一部として、同時に実行され得る。プロセッサインタフェース１２０の設計は、この演算を容易にする。
例えば、最初にブロック８７０で処理ユニットが開始フラグを設定する場合、暗号モジュールはブロック８２０からブロック８２５に進む。これは、処理ユニットのプログラムフロー内のブロック８６０、８６５、及び８７０のうちの１つまたは複数と並行して実行することができる。ブロック８２５で、暗号モジュールは初期化演算を実行する。これは、アトミック演算を含む場合があり、例えば、暗号モジュールの少なくとも１クロックサイクルで、単一の演算として複数の異なるイベントが同時に発生する場合がある。ブロック８２５は、以下の演算のうちの１つまたは複数を含むことができ、それらは、開始フラグを０に設定すること（処理が開始されたことを示すため）、準備完了フラグを０に設定すること（暗号モジュールが現時点でそれ以上の暗号要求を処理できないことを示すため）、置換出力（Ｏ）を現在の置換状態（Ｓ）として設定すること、置換入力（Ｘ）と置換状態（Ｓ）に対してＸＯＲ演算を実行して、組み合わせ出力（Ｙ）の値を設定すること、置換状態（Ｓ）をＳ＝（（Ｓ ＡＮＤ Ｍ） ＸＯＲ Ｘ）としてロードすること、及び、ラウンドカウントフラグをラウンド開始フラグに設定すること、である。したがって、ブロック８２５は、開始レジスタ６２０及び準備完了レジスタ６３０に値０を格納すること、置換状態レジスタ３１０の内容を置換出力レジスタ３３０にコピーすること、第１のＸＯＲ回路５１０の出力を組み合わせ出力レジスタ４２０に格納すること、置換状態の値を第２のＸＯＲ回路５３０の出力として一時メモリにロードすること、及び、ラウンド開始レジスタ６４０の値をラウンドデータレジスタ６６０にコピーすること、を含み得る。暗号アーキテクチャのこれらのコンポーネントは、ブロック８２５の演算が並行して実行され得るように構成される。これにより、それらをアトミック演算として実行できるようになり、暗号演算の速度が大幅に向上する。
ブロック８２５での初期化に続いて、暗号モジュールは、ブロック８３０で暗号置換の反復（すなわち、ラウンド）を実行する。これは、ブロック８２５で（一時メモリに）ロードされた初期化された置換状態（Ｓ）の値を使用して、置換回路５４０をアクティブ化することを含み得る。置換回路５４０はまた、ラウンドデータレジスタ６６０）とともに格納されたラウンドカウントまたは定数にアクセスすることができる（例えば、Ｓ＝Ｒｏｕｎｄ（Ｓ，ＲＮＤ）であり、ＫＥＣＣＡＫ－ｐの実装について説明するときに上記で参照したとおり）。特定の場合では、置換回路５４０はまた、識別子レジスタ６１０に格納されたドメイン分離パラメータにアクセスし得る。初期化された置換状態（Ｓ）、ラウンドカウントまたは定数、及びドメイン分離パラメータは、置換ラウンドへの入力として提供され得る（例えば、Ｓ＝Ｒｏｕｎｄ（Ｓ，ＲＮＤ，ＩＤ））。ブロック８３０の一部として、ラウンドカウントの値は、ラウンドデータレジスタ６６０内でインクリメントされ得る（例えば、ＲＮＤ＝ＲＮＤ＋１）。
ブロック８３５で、左側の処理ストリーム８０５において、ラウンドカウントが終了ラウンド値よりも小さいかどうか（例えば、ＲＮＤ＜ＥＮＤか）を判定するためにチェックが行われる。これは、ラウンドデータレジスタ６６０と終了ラウンドレジスタ６５０の整数値を比較することを含み得る。ラウンドカウントが終了ラウンド値よりも小さい場合、ブロック８３０を繰り返すことができる。ラウンドカウントが終了ラウンド値以上である場合（例えば、ブロック８３０での最後の増分に続く終了ラウンド値に等しい場合）、暗号置換は完了である。方法はブロック８１５に進み、ここで準備完了フラグが１に設定され、置換の結果が準備完了であり、暗号モジュールがさらなる暗号演算を実行する準備ができていることを示す。次に、方法は再びブロック８２０に進み、ここで暗号モジュールは、処理ユニットによって開始フラグが１に設定されるのを待つ。
図８Ａでは、ブロック８７０での入力の処理に続いて、処理ユニットのプロセスフローはブロック８７５で終了する。したがって、処理ユニットは、暗号演算の結果が、準備ができていることを示す割り込みが到着するのを待っている間に、異なる（例えば、無関係の）命令を実行することができる。このようにして、処理ユニットを効率的に利用することができる。暗号モジュールが例えば、準備完了レジスタ６３０に１を格納する暗号置換ユニット１４０を介してブロック８１５を実行するとき、それは、暗号演算の結果が準備完了であることを示し、処理ユニットは、ブロック８５５で別のプロセスフローを開始する。したがって、処理ユニットは、ブロック８６０で出力を処理し、これは、置換出力レジスタ３３０及び組み合わせ出力レジスタ４２０に格納された値を読み取ることを含み得る。組み合わせ出力レジスタ４２０の結果は、ブロック８２５の以前の実行によって設定されたものであり得て、置換出力レジスタ３３０の結果は、ブロック８３０での反復の一部として格納され得る（例えば、Ｏ＝Ｓ’＝Ｐｅｒｍ（（Ｓ ＡＮＤ Ｍ） ＸＯＲ Ｘ））。ブロック８６０で処理ユニットによって出力が読み取られると、ブロック８６５でのチェックが実行される。暗号演算が完了した場合（例えば、置換出力レジスタ３３０の結果が必要なすべてである場合）、処理ユニットは、ブロック８７５でその処理を終了する。実行すべき追加の暗号演算がある場合、ブロック８７０が再度実行され、プロセスが繰り返される。１つの場合では、新しい値が置換入力レジスタ３２０及びマスク入力レジスタ４１０に書き込まれ得るが、一方で以前の反復がブロック８３０でまだ実行されている。
図８Ｂは、割り込みが有効化または構成されていない場合の同様のプロセスを示している。この場合、ブロック８７０に続いて、処理ユニットはブロック８９０に戻り、暗号演算の結果が、準備ができていることを示す準備完了フラグの状態の変化を待つ。処理ユニットは、ブロック８９０を実行するだけでなく、監視またはポーリングプロセスの一部としてこのブロックを断続的に実行することができる。
本明細書で説明される特定の実施例は、暗号アーキテクチャ、及びそのようなアーキテクチャを動作させる方法を提供し、これは暗号置換ユニットをマイクロプロセッサなどの処理ユニットと効率的にインタフェース接続する。本明細書で説明する特定の実施例は、低リソースのマイクロコントローラや組み込みデバイスでの実装、ならびに高速で安全なデータ処理の実装に適したものであり得る暗号方法を提供する。説明されている暗号アーキテクチャは、使用される処理ユニットのタイプに依存せず、プロセッサインタフェースにより、様々な処理ユニットを暗号置換ユニットに結合でき、様々な制御手順のオプションを共通の制御レジスタのセットから利用できる。暗号アーキテクチャは、メモリマッピング及び／または他のアプローチを使用して実装でき、したがって様々なタイプの処理ユニットへの簡単または透過的なデータアクセスを提供する。説明されているアプローチは、メモリマッピングされたレジスタまたはベクトルレジスタと命令のいずれかを介して、キーレス暗号置換とプロセッサコアの緊密な結合を提供することができ、プロセッサインタフェースは、消費電力とアイドルサイクルを削減するバッファアーキテクチャを提供する。
本明細書で説明される特定の実施例は、ＩＳＡ拡張として、例えば、多種多様な処理ユニットに実装され得る。実施例は、量子耐性の対称及び非対称暗号の安全な実装を、直接及び／または間接的にサポートすることができる。本明細書で説明されるプロセッサインタフェースは、処理ユニットのバスアーキテクチャを介して、または他の入出力メカニズムを介して制御することができる。特定の実施例は、一定時間でエミッション保護されたバイナリ演算を提供するように構成できる。
本明細書に説明されている特定の実施例は、暗号置換を「ビルディングブロック」の高レベルアルゴリズムとして使用する、高レベルアルゴリズムの効率的なハードウェア及び／またはソフトウェア実装を可能にするために使用され得る。このような効率的なハードウェアとソフトウェアの共同設計の恩恵を受ける可能性のあるアルゴリズムの例には、以下のものが含まれている。暗号ハッシュ関数とメッセージダイジェスト（例えば、前述のＳＨＡ３及びＳＨＡＫＥ標準、前述のＳＮＥＩＫアプローチの一部を形成するＳＮＥＩＫＨＡ、及び前述のＡＳＣＯＮアプローチからのＡｓｃｏｎハッシュ）；メッセージ認証コード（ＭＡＣ）などのＳＨＡ３派生関数（例えば、Ｊｏｈｎ Ｋｅｌｓｅｙ、Ｓｈｕ－Ｊｅｎ Ｃｈａｎｇ、Ｒａｙ Ｐｅｒｌｎｅｒが「ＳＨＡ－３ Ｄｅｒｉｖｅｄ Ｆｕｎｃｔｉｏｎｓ： ｃＳＨＡＫＥ， ＫＭＡＣ， ＴｕｐｌｅＨａｓｈ ａｎｄ ＰａｒａｌｌｅｌＨａｓｈ」ＮＩＳＴ Ｓｐｅｃｉａｌ Ｐｕｂｌｉｃａｔｉｏｎ ８００－１８５、米国国立標準技術研究所－ＮＩＳＴ，２０１６年１２月、で説明しており、参照により本明細書に組み込まれる）；暗号置換に基づく関連データによる認証済み暗号化（ＡＥＡＤ）（例えば、以前に参照したＳＮＥＩＫ及びＡＳＣＯＮアプローチならびにＫＥＹＡＫアプローチで説明されているＳＮＥＩＫＥＮ及びＡｓｃｏｎ－ＡＥＡＤであり、Ｇｕｉｄｏ Ｂｅｒｔｏｎｉ、Ｊｏａｎ Ｄａｅｍｅｎ、Ｓｅｔｈ Ｈｏｆｆｅｒｔ、Ｍｉｃｈａｅｌ Ｐｅｅｔｅｒｓ、Ｇｉｌｌｅｓ Ｖａｎ Ａｓｓｃｈｅ、及びＲｏｎｎｙ Ｖａｎ Ｋｅｅｒが「ＣＡＥＳＡＲ ｓｕｂｍｉｓｓｉｏｎ：Ｋｅｙａｋ ｖ２」Ｋｅｃｃａｋ Ｔｅａｍ，２０１６年９月、において、記述しており、参照により本書に組み込まれる）；暗号置換に基づく疑似乱数生成（ＰＲＮＧ）及び鍵導出関数（ＫＤＦ）の構築；暗号プリミティブに基づく暗号モード、例えば、説明されているのは、Ｇｕｉｄｏ Ｂｅｒｔｏｎｉ、Ｊｏａｎ Ｄａｅｍｅｎ、Ｓｅｔｈ Ｈｏｆｆｅｒｔ、Ｍｉｃｈａｅｌ Ｐｅｅｔｅｒｓ、Ｇｉｌｌｅｓ Ｖａｎ Ａｓｓｃｈｅ、Ｒｏｎｎｙ Ｖａｎ Ｋｅｅｒによる、「Ｆａｒｆａｌｌｅ： ｐａｒａｌｌｅｌ ｐｅｒｍｕｔａｔｉｏｎ－ｂａｓｅｄ ｃｒｙｐｔｏｇｒａｐｈｙ」ＩＡＣＲ Ｃｒｙｐｔｏｌｏｇｙ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ：Ｒｅｐｏｒｔ２０１６／１１８８，２０１６年１２月、及び、Ｇｕｉｄｏ Ｂｅｒｔｏｎｉ、Ｊｏａｎ Ｄａｅｍｅｎ、Ｍｉｃｈａｅｌ Ｐｅｅｔｅｒｓ、Ｇｉｌｌｅｓ Ｖａｎ Ａｓｓｃｈｅ、Ｒｏｎｎｙ Ｖａｎ Ｋｅｅｒ、Ｂｅｎｏｉｔ Ｖｉｇｕｉｅｒによる、「ＫａｎｇａｒｏｏＴｗｅｌｖｅ： ｆａｓｔ ｈａｓｈｉｎｇ ｂａｓｅｄ ｏｎ Ｋｅｃｃａｋ－ｐ」Ｐｒｏｃ． ＡＣＮＳ ２０１８，ＬＮＣＳ １０８９２，ｐｐ．４００－４１８、Ｓｐｒｉｎｇｅｒ，２０１８年、であり、両方とも参照により本明細書に組み込まれるもの；Ｒｉｖｅｓｔ－Ｓｈａｍｉｒ－Ａｄｌｅｍａｎ（ＲＳＡ）及びＥｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ（ＥＣＤＳＡ）などの、（例えば、ＦＩＰＳ標準１８６－４に記述されているような）置換ベースのプリミティブをビルディングブロックとして使用する従来の公開鍵暗号アルゴリズム；そして、暗号置換をビルディングブロックとして使用する多数のポスト量子公開鍵暗号アルゴリズム（例えば、ＢＩＫＥ、「Ｃｌａｓｓｉｃ ＭｃＥｌｉｅｃｅ」、Ｄｉｌｉｔｈｉｕｍ、Ｆａｌｃｏｎ、ＦｒｏｄｏＫＥＭ、ＧｅＭＭＳ、Ｋｙｂｅｒ、Ｌｕｏｖ、ＭＱＤＳＳ、ＮｅｗＨｏｐｅ、ＮＴＲＵ、ＮＴＳ－ＫＥＭ、Ｐｉｃｎｉｃ、ｑＴＥＳＬＡ、Ｒｏｕｎｄ５、Ｓａｂｒｅ、Ｓｐｈｉｎｃｓ＋、及びＴｈｒｅｅＢｅａｒｓ－ ２０１９年３月にＮＩＳＴ情報技術研究所が発行した「Ｐｏｓｔ－Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ：Ｒｏｕｎｄ ２ Ｓｕｂｍｉｓｓｉｏｎｓ」に記載されており、これも参照により本書に組み込まれる）がある。
特定の実施例は、特定のレジスタ内のデータにアクセスし、そのようなレジスタからデータを読み取る、及び／または書き込むことに言及しているが、実際には中間データストレージ及び／またはデータ構造は特定の実装で使用することができ、「～のデータ」への言及は「～から得られるデータ」にも適用することができ、例えば、説明されているプロセスに加えて、１つまたは複数の中間プロセスから生じるデータであることが理解される。ＸＯＲ及びＡＮＤへの言及は、それぞれ論理「排他的論理和」及び論理「積（ａｎｄ）」演算を実行する論理演算を指す。また、特定のコンポーネントに結合された回路への言及は、実行されるファームウェアコード及び／または専用ハードウェア回路を介してかどうかにかかわらず、そのコンポーネント内の機能として代替的に実装され得ることも理解される。本明細書で説明される「回路」は、例えば、デジタル論理ゲートまたはＦＰＧＡのプログラム可能なゲートを使用して、ハードウェアに実装することができ、及び／またはメモリからロードされ、マイクロプロセッサなどのプロセッサによって実行されるコンピュータプログラムコードとして実装することができる。本明細書で説明する特定のシステムコンポーネント及び方法は、読み取り専用の更新可能なファームウェアメモリなどの非一時的な記憶媒体に格納可能な、ファームウェアまたは命令セットなどのコンピュータプログラムコードによって実装することができる。
上記の実施例は、例示的と理解されるべきである。さらなる実施例が想定される。例えば、ここで説明する特定の値はテスト実施例に基づいており、実装によって異なる場合がある（例えば、マイクロコントローラの仕様とタイプ、セキュリティ要件、及びその他の要因によって異なる）。各実施例の特定のコンポーネントは別々に説明されているが、ある実施例を参照して説明された機能は別の実施例で適切に実装することができ、実装によっては特定のコンポーネントが省略され得ることを理解されたい。任意の１つの実施例に関連して説明された任意の特徴は、単独でまたは説明した他の特徴と組み合わせて使用することができ、また、他の任意の実施例の１つまたは複数の特徴、または任意の他の実施例の任意の組み合わせと組み合わせて使用し得ることを理解されたい。例えば、システムコンポーネントに関して説明された特徴はまた、説明された方法の一部として実行されるように適合され得る。さらに、添付の特許請求の範囲で定義される本発明の範囲から逸脱することなく、上述されていない同等物及び修正が採用されてもよい。
120 プロセッサインタフェース
130 処理ユニット
140 暗号置換ユニット
210 データレジスタ
220 制御レジスタ

Claims (20)

  1. 暗号レジスタのセットを含むプロセッサインタフェースであって、少なくとも１つの処理ユニットによってアクセス可能である前記プロセッサインタフェースと、
    前記暗号レジスタのセット内に格納されたデータを使用して暗号置換を実行する回路を含む暗号置換ユニットと、を含み、
    前記少なくとも１つの処理ユニットは、前記暗号置換を指示し、プロセッサインタフェースを使用して前記暗号置換の結果にアクセスする、暗号アーキテクチャ。
  2. 前記暗号アーキテクチャが、前記少なくとも１つの処理ユニットによって実行される単一のマシンコード命令に基づいて暗号置換を実行するように構成されている、請求項１に記載の暗号アーキテクチャ。
  3. 前記単一のマシンコード命令が命令セットアーキテクチャ（ＩＳＡ）拡張として実装されている、請求項２に記載の暗号アーキテクチャ。
  4. 前記プロセッサインタフェースが、少なくともｂビットを格納するように構成された複数のレジスタを含み、ｂは置換入力のビットでのサイズである、請求項１～３のいずれか１項に記載の暗号アーキテクチャ。
  5. 前記暗号置換ユニットが、ＫＥＣＣＡＫ－ｐ置換を実行するように構成されている、請求項１～４のいずれか１項に記載の暗号アーキテクチャ。
  6. 前記暗号置換ユニットが、複数のラウンドを含むキーレス置換を実行するように構成されている、請求項１～５のいずれか１項に記載の暗号アーキテクチャ。
  7. 前記少なくとも１つの処理ユニットが、前記暗号アーキテクチャを使用して、
    入力データを置換状態と混合するための吸収暗号演算と、
    前記置換状態を使用して出力を取得するための搾取暗号演算と、
    前記置換状態を使用して入力データを暗号化するための暗号化暗号演算と、
    置換状態を使用して入力データを復号する復号暗号演算と、
    のうちの１つまたは複数を実行することができる、請求項１～６のいずれか１項に記載の暗号アーキテクチャ。
  8. 前記レジスタのセットが、
    置換状態を格納するための置換状態レジスタと、
    置換入力データを格納するための置換入力レジスタであって、前記少なくとも１つの処理ユニットによって書き込み可能である前記置換入力レジスタと、
    出力データを格納するための置換出力レジスタであって、前記少なくとも１つの処理ユニットによって読み取り可能である前記置換出力レジスタと、
    を含む、請求項１～６のいずれか１項に記載の暗号アーキテクチャ。
  9. 入力ＸＯＲ演算を適用するための回路であって、前記入力ＸＯＲ演算は、前記置換入力レジスタの前記置換入力データから得られたデータと、前記置換状態レジスタの前記置換状態から得られたデータとに適用される、前記回路を含み、
    入力ＸＯＲ演算を適用するための前記回路は前記暗号置換の実行のための前記暗号置換ユニットにデータを供給するために通信可能に結合されている、
    請求項８に記載の暗号アーキテクチャ。
  10. 入力ＸＯＲ演算を適用するための前記回路の出力を格納するためのＸＯＲ出力レジスタ
    を含む、請求項９に記載の暗号アーキテクチャ。
  11. 前記レジスタのセットが、
    入力マスクを格納するためのマスク入力レジスタであって、前記少なくとも１つの処理ユニットによって書き込み可能である、前記マスク入力レジスタと、
    前記マスク入力レジスタ及び前記置換状態レジスタに通信可能に結合されており、前記入力マスクから得られたデータ及び前記置換データから得られたデータにＡＮＤ演算を適用する、置換マスキング回路と、
    前記置換マスキング回路及び前記置換入力レジスタに通信可能に結合され、前記置換マスキング回路から得られたデータ及び前記置換入力データから得られたデータにＸＯＲ演算を適用する入力適用回路であって、出力データを前記暗号置換ユニットに供給するように構成されている前記入力適用回路と、
    をさらに含む、請求項８～１０のいずれか１項に記載の暗号アーキテクチャ。
  12. 暗号置換に続いて、前記暗号置換ユニットの出力が前記置換状態レジスタにコピーされる、請求項８～１１のいずれか１項に記載の暗号アーキテクチャ。
  13. 前記暗号レジスタのセットが、前記少なくとも１つの処理ユニットからアクセス可能な１つまたは複数の制御レジスタを含む、請求項１～１２のいずれか１項に記載の暗号アーキテクチャ。
  14. 前記１つまたは複数の制御レジスタが、
    前記少なくとも１つの処理ユニットによって書き込み可能であり、実行される暗号演算の識別子を格納する、識別子レジスタと、
    前記少なくとも１つの処理ユニットによって書き込み可能であり、前記暗号演算のための開始フラグを格納する、開始レジスタと、
    前記少なくとも１つの処理ユニットによって読み取り可能であり、前記暗号アーキテクチャが別の暗号演算を開始する準備ができていることを示す準備完了フラグを格納する、準備完了レジスタと、
    前記少なくとも１つの処理ユニットによって書き込み可能であり、暗号置換のラウンドに関連する１つまたは複数のフラグを格納する、１つまたは複数のラウンドレジスタと、
    前記少なくとも１つの処理ユニットによって書き込み可能であり、前記少なくとも１つの処理ユニットへの割り込みを制御する、割り込み制御レジスタ、
    のうちの１つまたは複数を含む、請求項１３に記載の暗号アーキテクチャ。
  15. 前記暗号アーキテクチャが、ＳＨＡ－３関数のための暗号置換を実行するために前記少なくとも１つの処理ユニットによって使用可能である、請求項１～１１のいずれか１項に記載の暗号アーキテクチャ。
  16. 暗号演算を実行する方法であって、
    暗号置換ユニットにおいて、処理ユニットから前記暗号演算を実行するための命令を受信することと、
    前記暗号置換ユニットによって、暗号レジスタのセットの１つから置換状態をロードすることと、
    前記暗号置換ユニットを使用して、前記置換状態から得られたデータに対して暗号置換を実行することと、
    前記暗号置換ユニットによって、前記暗号置換の出力を前記暗号レジスタのセットの１つに格納することと、
    前記暗号置換ユニットによって、前記置換が完了したことを前記処理ユニットに示すことであって、前記処理ユニットは、前記暗号レジスタのセットからの前記暗号置換の前記出力にアクセスする、前記示すことと、
    を含む、方法。
  17. 制御レジスタのセットのうちの１つを介して、前記暗号置換ユニットが処理を開始する準備ができていることを示すことを含み、
    前記処理ユニット及び前記暗号置換ユニットの前記演算は、割り込みと、前記制御レジスタのセットのうちの１つの状態とのうちの１つまたは複数に基づいて同期される、
    請求項１６に記載の方法。
  18. 前記処理ユニットによって、前記暗号レジスタのセットからの前記暗号置換の前記出力を読み取ること
    を含む、請求項１６または請求項１７に記載の方法。
  19. 前記暗号置換ユニットによって、ラウンド制御レジスタからラウンドカウントをロードすることと、
    前記暗号置換ユニットによって、前記暗号置換の前記ラウンドカウントを使用することと、
    前記ラウンド制御レジスタの前記ラウンドカウントをインクリメントすることと、を含み、
    前記ロード、使用、及びインクリメント演算は、前記ラウンド制御レジスタと終了制御レジスタの比較に基づいて繰り返される、
    請求項１６～１８のいずれか１項に記載の方法。
  20. 前記暗号置換を実行することが、
    前記暗号置換ユニットによって、置換入力レジスタから置換入力データをロードすることと、
    前記暗号置換ユニットによって、マスク入力レジスタからマスク入力データをロードすることと、を含み、
    前記暗号置換を実行することは、前記暗号置換ユニットによって、前記置換入力データと、前記マスク入力データ及び前記置換状態に実行されるＡＮＤ演算の結果との関数として、ＸＯＲ演算を実行することにより、前記置換レジスタ内の前記置換状態を更新することを含み、
    前記暗号置換の前記出力を前記暗号レジスタのセットの１つに格納することは、前記更新された置換状態を前記置換状態レジスタにロードすることを含む、
    請求項１６～１９のいずれか１項に記載の方法。
JP2022503796A 2019-03-18 2020-07-15 暗号置換のための暗号アーキテクチャ Pending JP2022541057A (ja)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
GB1903674.8A GB2582900A (en) 2019-03-18 2019-03-18 Cryptography using a cryptographic state
GB1910372.0 2019-07-19
GB1910372.0A GB2585885A (en) 2019-03-18 2019-07-19 Cryptographic architecture for cryptographic permutation
PCT/GB2020/051699 WO2021014125A1 (en) 2019-03-18 2020-07-15 Cryptographic architecture for cryptographic permutation

Publications (1)

Publication Number Publication Date
JP2022541057A true JP2022541057A (ja) 2022-09-21

Family

ID=66381181

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022503796A Pending JP2022541057A (ja) 2019-03-18 2020-07-15 暗号置換のための暗号アーキテクチャ

Country Status (7)

Country Link
US (2) US11822901B2 (ja)
EP (1) EP4000214A1 (ja)
JP (1) JP2022541057A (ja)
KR (1) KR20220028132A (ja)
CN (1) CN114258660A (ja)
GB (5) GB2582900A (ja)
WO (2) WO2020188269A1 (ja)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112217643B (zh) * 2019-07-09 2021-12-10 华为技术有限公司 运算方法、装置及设备
FR3118218B1 (fr) * 2020-12-21 2024-02-16 St Microelectronics Rousset Procédé pour valider un module logiciel externe en vue de son utilisation par un système sur une puce
US11985226B2 (en) * 2020-12-23 2024-05-14 Intel Corporation Efficient quantum-attack resistant functional-safe building block for key encapsulation and digital signature
WO2022146436A1 (en) * 2020-12-30 2022-07-07 Pqsecure Technologies, Llc A low footprint hardware architecture for kyber-kem
DE102021104867A1 (de) * 2021-03-01 2022-09-01 Infineon Technologies Ag Berechnung von hash-werten
US11522678B2 (en) 2021-06-08 2022-12-06 Intel Corporation Block cipher encryption for processor-accelerator memory mapped input/output communication
US20210297243A1 (en) * 2021-06-08 2021-09-23 Intel Corporation Permutation cipher encryption for processor-accelerator memory mapped input/output communication
US20220416998A1 (en) * 2021-06-23 2022-12-29 Intel Corporation Side channel protection for sha3 cryptographic functions
CN113472525B (zh) * 2021-06-24 2022-07-26 南京航空航天大学 基于后量子密码Saber算法的低内存占用密钥生成方法和加解密方法及其系统
GB2608999A (en) 2021-07-15 2023-01-25 Pqshield Ltd Cryptographic system for post-quantum cryptographic operations
US20220006645A1 (en) * 2021-09-21 2022-01-06 Intel Corporation Post-quantum secure lighteight integrity and replay protection for multi-die connections
WO2023091936A1 (en) * 2021-11-17 2023-05-25 D-Wave Systems Inc. Systems and methods for superconducting flux qubit readout
US11765604B2 (en) 2021-12-16 2023-09-19 T-Mobile Usa, Inc. Providing configuration updates to wireless telecommunication networks
WO2023119893A1 (ja) * 2021-12-23 2023-06-29 ソニーセミコンダクタソリューションズ株式会社 データ処理装置
KR20240018910A (ko) 2022-08-03 2024-02-14 경희대학교 산학협력단 양자 단대단 암호화 시스템 및 그 동작 방법
CN115118527B (zh) * 2022-08-26 2022-11-25 深圳市成为信息股份有限公司 超高频模组与pda的双向认证方法及相关设备

Family Cites Families (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3911330A (en) * 1974-08-27 1975-10-07 Nasa Nonlinear nonsingular feedback shift registers
US4589120A (en) * 1983-12-13 1986-05-13 Honeywell Inc. Unique start bit for data transmissions
JPH03251890A (ja) * 1990-03-01 1991-11-11 Kokusai Denshin Denwa Co Ltd <Kdd> 非線形フィードバック・シフトレジスタ装置
JP3012732B2 (ja) 1992-02-20 2000-02-28 富士通エフ・アイ・ピー株式会社 ブロック暗号処理装置
CA2173688C (en) * 1996-04-09 2000-01-18 Hideo Shimizu Encryption apparatus and method capable of controlling encryption process in accordance with an internal state
US7272703B2 (en) * 1997-08-01 2007-09-18 Micron Technology, Inc. Program controlled embedded-DRAM-DSP architecture and methods
IL128007A (en) 1999-01-11 2003-02-12 Milsys Ltd Enhancements on compact logic devices and also for accelerating and securing computations in modular arithmetic especially for use in public key cryptographic co-processors designed for elliptic curve and rsa type computations
CA2375749A1 (en) * 2000-03-31 2001-10-11 Motorola, Inc. Scalable cryptographic engine
WO2003021849A2 (en) * 2001-08-31 2003-03-13 Hamilton John W A non-algebraic cryptographic architecture
US8194855B2 (en) 2003-06-30 2012-06-05 Oracle America, Inc. Method and apparatus for implementing processor instructions for accelerating public-key cryptography
US8509427B2 (en) * 2005-08-01 2013-08-13 Eric Myron Smith Hybrid mode cryptographic method and system with message authentication
US20080019524A1 (en) * 2006-06-29 2008-01-24 Kim Moo S Apparatus and method for low power aes cryptographic circuit for embedded system
JP4960044B2 (ja) * 2006-09-01 2012-06-27 株式会社東芝 暗号処理回路及びｉｃカード
US8538012B2 (en) 2007-03-14 2013-09-17 Intel Corporation Performing AES encryption or decryption in multiple modes with a single instruction
US20080298583A1 (en) * 2007-05-31 2008-12-04 Lucent Technologies Inc. System and method of quantum encryption
US8151031B2 (en) * 2007-10-31 2012-04-03 Texas Instruments Incorporated Local memories with permutation functionality for digital signal processors
US8205066B2 (en) 2008-10-31 2012-06-19 Convey Computer Dynamically configured coprocessor for different extended instruction set personality specific to application program with shared memory storing instructions invisibly dispatched from host processor
US8208633B2 (en) * 2008-11-24 2012-06-26 Pitney Bowes Inc. Method and system for securing communications in a metering device
KR101210607B1 (ko) * 2008-12-08 2012-12-11 한국전자통신연구원 해시 암호 장치 및 방법
US8280040B2 (en) * 2009-02-04 2012-10-02 Globalfoundries Inc. Processor instructions for improved AES encryption and decryption
KR101566408B1 (ko) 2009-03-13 2015-11-05 삼성전자주식회사 불 마스크와 산술 마스크의 변환 회로 및 변환 방법
US8515059B2 (en) * 2010-03-30 2013-08-20 Daniel W. Engels Cryptographic processor with dynamic update of encryption state
WO2013089682A1 (en) * 2011-12-13 2013-06-20 Intel Corporation Method and apparatus to process keccak secure hashing algorithm
US8572410B1 (en) * 2012-07-18 2013-10-29 Freescale Semiconductor, Inc. Virtualized protected storage
US9128698B2 (en) 2012-09-28 2015-09-08 Intel Corporation Systems, apparatuses, and methods for performing rotate and XOR in response to a single instruction
US9251377B2 (en) * 2012-12-28 2016-02-02 Intel Corporation Instructions processors, methods, and systems to process secure hash algorithms
US8983068B2 (en) * 2013-03-06 2015-03-17 Infineon Technologies Ag Masked nonlinear feedback shift register
JP6113091B2 (ja) * 2013-03-07 2017-04-12 キヤノン株式会社 ハッシュ値生成装置
US10331450B2 (en) * 2013-06-26 2019-06-25 Intel Corporation Method and apparatus to process SHA-2 secure hashing algorithm
US10038550B2 (en) 2013-08-08 2018-07-31 Intel Corporation Instruction and logic to provide a secure cipher hash round functionality
US9274979B2 (en) * 2013-11-27 2016-03-01 Nvidia Corporation System, method, and computer program product for optimizing data encryption and decryption by implementing asymmetric AES-CBC channels
CN103812643A (zh) 2014-01-26 2014-05-21 厦门密安信息技术有限责任公司 基于arm的axi接口的sha3 ip核设计
US9515818B2 (en) * 2014-09-16 2016-12-06 Apple Inc. Multi-block cryptographic operation
US10313129B2 (en) * 2015-06-26 2019-06-04 Intel Corporation Keyed-hash message authentication code processors, methods, systems, and instructions
US10511581B2 (en) * 2015-11-17 2019-12-17 International Business Machines Corporation Parallelizable encryption using keyless random permutations and authentication using same
US20180212761A1 (en) 2017-01-23 2018-07-26 Cryptography Research, Inc. Hardware circuit to perform round computations of arx-based stream ciphers
KR102033351B1 (ko) 2017-08-22 2019-10-17 국민대학교산학협력단 컴퓨터 실행 가능한 경량 화이트박스 암호화 방법 및 장치
GB201802582D0 (en) * 2018-02-16 2018-04-04 Nordic Semiconductor Asa Protecting cryptographic key data

Also Published As

Publication number Publication date
GB2585885A (en) 2021-01-27
GB201903674D0 (en) 2019-05-01
GB2596763A (en) 2022-01-05
GB2601928B (en) 2023-10-04
KR20220028132A (ko) 2022-03-08
WO2020188269A1 (en) 2020-09-24
GB201910372D0 (en) 2019-09-04
EP4000214A1 (en) 2022-05-25
GB202114869D0 (en) 2021-12-01
WO2021014125A1 (en) 2021-01-28
GB2601928A (en) 2022-06-15
GB201911804D0 (en) 2019-10-02
GB2582900A (en) 2020-10-14
GB202202103D0 (en) 2022-04-06
CN114258660A (zh) 2022-03-29
US20220066741A1 (en) 2022-03-03
US11822901B2 (en) 2023-11-21
GB2596763B (en) 2023-02-15
US20220138349A1 (en) 2022-05-05

Similar Documents

Publication Publication Date Title
US20220138349A1 (en) Cryptographic architecture for cryptographic permutation
CN107924448B (zh) 硬件实施的单向密码术
JP7107670B2 (ja) ビットミキサにより暗号ラウンド鍵を生成するためのシステム及び方法
US20180122271A1 (en) Lightweight cryptographic engine
CN102138300B (zh) 消息认证码预计算在安全存储器中的应用
US7636858B2 (en) Management of a trusted cryptographic processor
US8036379B2 (en) Cryptographic processing
CN110830258A (zh) 从服务器接收安全的软件更新信息的器件
US9961057B2 (en) Securing a cryptographic device against implementation attacks
US11429751B2 (en) Method and apparatus for encrypting and decrypting data on an integrated circuit
EP3117558A1 (en) Dynamic encryption keys for use with xts encryption systems employing reduced-round ciphers
GB2532836A (en) Address-dependent key generation with substitution-permutation network
US10536264B2 (en) Efficient cryptographically secure control flow integrity protection
WO2019229192A1 (en) Memory-efficient hardware cryptographic engine
JP2022153639A (ja) 不揮発性メモリデバイス内部からの保護された通信
CN113839770A (zh) 用于tls分组加密和解密的高吞吐量后量子aes-gcm引擎
US9252943B1 (en) Parallelizable cipher construction
US6873707B1 (en) Hardware-based encryption/decryption employing cycle stealing
Hu et al. Taming energy cost of disk encryption software on data-intensive mobile devices
Ajmi et al. Efficient and lightweight in-memory computing architecture for hardware security
Conti et al. Design exploration of aes accelerators on fpgas and gpus
Ege et al. Memory encryption for smart cards
CN112487448B (zh) 一种加密信息处理装置、方法及计算机设备
Kolympianakis Securing access in embedded systems via DMA protection and light-weight cryptography.
Sousa HACC-V: hardware-assisted cryptographic coprocessor for RISC-V

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230628