JP3901959B2

JP3901959B2 - Arithmetic apparatus and arithmetic method combining Feistel structure and SPN structure

Info

Publication number: JP3901959B2
Application number: JP2001207327A
Authority: JP
Inventors: 武司下山; 孝一伊藤; 正彦武仲; 直哉鳥居; 純矢嶋; 仁史屋並; 和弘横山
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2000-07-13
Filing date: 2001-07-09
Publication date: 2007-04-04
Anticipated expiration: 2021-07-09
Also published as: JP2002091295A

Description

【０００１】
【発明の属する技術分野】
本発明は共通鍵ブロック暗号方式に係り、更に詳しくはFeistel 構造とＳＰＮ構造とを組み合わせ、かつＳＰＮ構造に特別の工夫を行ってデータの拡散性を向上させる暗号化装置、および暗号化方法に関する。
【０００２】
【従来の技術】
高度情報化社会を迎え、情報セキュリティの確保は緊急の課題となっている。情報セキュリティの基本となるのはデータの暗号化である。高度情報化社会において高速、かつ安全な通信を実現するために共通鍵ブロック暗号は不可欠の技術である。この共通鍵ブロック暗号のアルゴリズムとして従来様々な方式が提案されているが、それらは基本的にはFeistel 構造と呼ばれる構造の繰返しか、あるいはＳＰＮ構造と呼ばれる構造の繰返しのいずれかであった。
【０００３】
図１２はFeistel 構造の説明図である。同図において、例えば入力１２８ビットは右側６４ビットと左側６４ビットに分割され、右側６４ビットはＦ関数５１と呼ばれる非線形関数に入力され、その出力と左側６４ビットとがＸＯＲ５２によって排他的論理和がとられ、その結果が出力１２８ビットのうちの右側６４ビットとして出力され、左側６４ビットとしては入力１２８ビットのうちの右側６４ビットがそのまま出力される。このようなFeistel 構造が、例えば１６段繰り返されて、暗号化が行われる。
【０００４】
図１３はＳＰＮ構造の例である。この構造においては、Ｓボックスと呼ばれる非線形変換５３と、線形変換Ｐ５４とが組み合わされて用いられる。
ＳボックスのＳはサブスティテューション、すなわち換字を、関数Ｐはパーミュテーション、すなわち置換を意味するが、現在ではＳはより一般的に非線形写像を、またＰは置換だけではなく、ビット単位の線形変換を指すものとなっている。
【０００５】
いずれにせよ、このようなＳＰネットワーク（ＳＰＮ）構造が多段に繰り返されることによって暗号化が行われる。なお図１２のFeistel 構造内のＦ関数として後述するようにＳＰＮ構造が用いられるが、図１２は全体としてはFeistel 構造を示すものである。
【０００６】
【発明が解決しようとする課題】
以上のような共通鍵ブロック暗号方式においては、Feistel 構造、ＳＰＮ構造のいずれを用いるとしても、なるべく少ない段数でデータの安全性が保証されるような暗号化を行う必要がある。しかしながら、まずFeistel 構造を用いる場合には１段で入力データ長の半分しか攪拌されず、ワード内のデータ攪拌には効果があるが、ワードを越えたデータ攪拌能力が劣るという問題点がある。また入出力が対称の形式となっていることから、暗号としては繰返し型の差分近似式、または線形近似式が存在する可能性があり、差分攻撃や線形攻撃にさらされる危険性があるという問題点があった。
【０００７】
これに対してＳＰＮ構造を用いる場合には、ワード間のデータ攪拌性には効果があり、入出力が非対称の形式であるという長所を持つが、入力データ長全体を分割して複数のＳボックスに入力させる必要があり、Ｓボックスは一般にメモリ内にテーブルとして保持されるものを使用するため、Ｓボックスの数が増えることによってテーブル参照回数が増加し、ＳＰＮ構造だけを何段も組み合わせる場合には、処理に時間がかかるという問題点があった。
【０００８】
本発明の課題は、上述の問題点に鑑み、Feistel 構造とＳＰＮ構造とを組み合わせてそれぞれの欠点をできるだけ解消させる暗号化を行うと共に、ＳＰＮ構造内のＳボックスにおいてもデータ攪拌効果を更に向上させることによって、演算量をできるだけ削減し、かつデータ拡散性能に優れた暗号化装置、および暗号化方法を提供することである。
【０００９】
【課題を解決するための手段】
図１は本発明の演算装置の原理構成ブロック図である。同図はデータ入力を受け取り、そのデータ入力に対する演算結果をデータ出力とする演算装置を示す。この演算装置１では、Feistel 構造を用いてデータ変換を行う第１のデータ変換手段２の１つ以上と、ＳＰＮ構造を用いてデータ変換を行う第２のデータ変換手段３の１つ以上とが、データ入力とデータ出力との間で縦続的に組み合わされる。
【００１０】
図１（ａ）においては、データ入力に対して最初に第１データ変換手段２、次に第２のデータ変換手段３が用いられ、（ｂ）においては逆に最初に第２のデータ変換手段３が、次に第１のデータ変換手段２が用いられる。
【００１１】
（ｃ）においては先ず第１のデータ変換手段２が２段用いられた後に、第２のデータ変換手段３が用いられる。（ｄ）においては逆に第２のデータ変換手段３が用いられた後に、第１のデータ変換手段２が２段連続に用いられてデータ出力が行われる。
【００１２】
このように本発明においては第１のデータ変換手段２の１つ以上と、第２のデータ変換手段３の１つ以上とが組み合わされて用いられるが、Feistel 構造を用いる第１のデータ変換手段２については、１段ではデータの片側しか攪拌されないため、例えば２段連続的に用いられてデータの両側の攪拌が行われるような形式で組み合わせが行われる。なお、２つのデータ変換手段をさらに多数組み合わせることも当然可能である。
【００１３】
本発明の実施の形態においては、ＳＰＮ構造の中にデータ入力の１ブロックのブロック長、例えば１２８ビットをワード長３２ビットで割算した値、例えば４ビットの入・出力ビット数を持つ非線形変換手段、例えばＳボックスと、インタリーブ変換を用いる線形変換手段とを備えることもできる。
【００１４】
また発明の実施の形態においてはＳＰＮ構造を構成する非線形変換手段、例えばＳボックスとして入力ビット数、例えば４ビットのうちで、１つ以上、例えば右側２ビットにのみ差分が与えられた入力データの組に対して、同じ位置、すなわち右側２ビットにのみ出力データの組に差分が現われる確率が０となり、かつ例えば右側２ビットの入力ビットおよび右側２ビットの出力ビットにのみ関係する任意の線形関係式がすべての入出力データ間で成立する確率が１／２となる非線形変換手段を備えることもできる。
【００１５】
本発明の演算方法においては、データ入力に対する演算結果をデータ出力とする演算方法において、Feistel 構造を用いてデータ変換を行う第１のデータ変換ステップの１つ以上と、ＳＰＮ構造を用いてデータ変換を行う第２のデータ変換ステップの１つ以上とを、データ入力とデータ出力の間で組み合わせて実行する演算方法が用いられる。
【００１６】
発明の実施の形態においては、この演算方法内のＳＰＮ構造を用いた第１のデータ変換ステップにおいて、データ入力の１ブロックのブロック長をワード長で割った値を入出力ビット数とする非線形変換と、インタリーブ変換を用いる線形変換とを実行することもできる。
【００１７】
また本発明の実施の形態においては、このＳＰＮ構造内で実行されるべき非線形変換として、入力ビット数のうちで１つ以上、例えば右側半数の入力ビットにのみ差分が与えられた入力データの組に対して、同じ右側半数の出力ビットにのみ出力データの組に差分が現われる確率が０となり、かつ右側半数の入力ビット、および右側半数の出力ビットにのみ関係する任意の線形関係式がすべての入・出力データの間で成立する確率が１／２となる非線形変換を実行することもできる。
【００１８】
更に本発明においては、データ入力を受け取り、そのデータ入力に対する演算結果をデータ出力とする演算を実行する計算機によって使用される記憶媒体として、Feistel 構造を用いてデータ変換を行う第１のデータ変換ステップの１つ以上と、ＳＰＮ構造を用いてデータ変換を行う第２のデータ変換ステップの１つ以上とを、データ入力とデータ出力との間で組み合わせて実行させる機能を有するプログラムを格納した計算機読出し可能可搬型記憶媒体が用いられる。
【００１９】
更にまた本発明においては、データ入力を受け取り、そのデータ入力に対する演算結果をデータ出力とする演算を実行する計算機によって使用されるプログラムとして、Feistel 構造を用いてデータ変換を行う第１のデータ変換手順の１つ以上と、ＳＰＮ構造を用いてデータ変換を行う第２のデータ変換手順の１つ以上とを、データ入力とデータ出力との間で組み合わせて実行させる機能を有するプログラムが用いられる。
【００２０】
以上のように本発明によれば、Feistel 構造とＳＰＮ構造とがデータ入力とデータ出力との間で組み合わされて演算が実行され、更にＳＰＮ構造の内部で、例えば右側半数の入力ビットにのみ差分が入力データの組に現われた場合、右側半数の出力ビットには出力データの組に差分が現われないような非線形変換が用いられる。
【００２１】
【発明の実施の形態】
本発明においては、Feistel 構造とＳＰＮ構造とが組み合わされて、演算装置、または演算方法が構成されるが、そのような演算装置および演算方法として、入力された平文を暗号化して出力する暗号文生成装置、および生成方法を発明の実施形態として説明する。
【００２２】
図２はそのような暗号文生成装置のシステム構成ブロック図である。同図において、暗号文生成装置は処理装置１０、入力ファイル１１、出力ファイ１２、表示装置１３、および入出力装置１４によって構成されている。
【００２３】
処理装置１０の内部には、使用されるFeistel 構造を決定するFeistel 構造決定部１６、ＳＰＮ構造を決定するＳＰＮ構造決定部１７、Feistel 構造とＳＰＮ構造とを組み合わせた暗号化アルゴリズムを決定する暗号化アルゴリズム決定部１８、その暗号化アルゴリズムに従って平文を暗号化する暗号文生成部１９を備えている。
【００２４】
入力ファイル１１には暗号化されるべき入力データとしての平文、入力データ１ブロックのビット長ｎ、処理装置１０による演算に適当なワードのビット長ｗ、および後述するようにＳＰＮ構造の中で用いられる線形変換としてのインタリーブ変換の内容などが格納されている。
【００２５】
また出力ファイル１２には、Feistel 構造決定部１６によって決定されるFeistel 構造に用いられているＦ関数、ＳＰＮ構造決定部１７によって決定されるＳボックスの非線形関数に相当する写像Ｓ、および暗号化アドレス決定部１８によって決定されたFeistel 構造とＳＰＮ構造の組合せとしての暗号化アルゴリズムなどが格納される。
【００２６】
図３は本実施形態におけるFeistel 構造とＳＰＮ構造との組合せ、すなわち暗号化アルゴリズム決定部１８によって決定された暗号化アルゴリズムの例である。同図において、入力データに対してまずFeistel 構造２０ａ、２０ｂによる演算が２段行われる。その後ＳＰＮ構造２３による演算が行われ、その結果に対して更に２段のFeistel 構造２０ｃ，２０ｄによる演算が行われ、その結果が暗号文として出力されることになる。
【００２７】
図３においては、１段のFeistel 構造によっては入力データのうち片側半分しか攪拌されないため、Feistel 構造が２段重ねて用いられると共に、後述するようにＳＰＮ構造２３にワード内の攪拌効果を大きくする工夫が取り入れられる。すなわちＳボックスで用いられる非線形関数に対して、後述する図８、図９のような性質を持つ関数を用いてワード内の攪拌効果を大きくすると共に、更に線形変換としてインタリーブ変換を用いることによって、１つのブロックを構成する複数のワードの間での攪拌効果が大きくなるようにＳＰＮ構造が構成される。
【００２８】
なお、Feistel 構造を３段以上連続して用いるとＳＰＮ構造を組み合わせた効果が薄れてくるため、図３ではＳＰＮ構造が２段のFeistel 構造の間に挿入された組合せとなっている。
【００２９】
図４はそのＳＰＮ構造２３の概略の説明図である。同図において入力データ、例えば１２８ビットに対してまずインタリーブ変換２４が行われ、例えば３２ビットで構成される４つのワード間のデータの攪拌が行われる。その攪拌結果は複数のＳボックス２５に与えられ、Ｓボックス２５の出力に対してインタリーブ逆変換２６が行われて、ＳＰＮ構造の出力となる。
【００３０】
図５は本実施形態における暗号文生成処理の全体フローチャートである。同図において処理が開始されると、まずステップＳ１で平文、すなわち入力データブロックのビット長ｎが入力されて、ステップＳ２でFeistel 構造Ｒが定められる。本実施形態においては、このFeistel 構造内の非線形関数Ｆとして任意の関数を用いることができるものとするが、その例については図６で説明する。
【００３１】
続いてステップＳ３で演算器に適するワードのビット長ｗが入力され、ステップＳ４でＳＰＮ構造Ｂが定められる。このＳＰＮ構造Ｂについては、図４で説明したようにインタリーブ変換とＳボックスの非線形関数の内容が問題となるが、これらについては後述する。
【００３２】
そしてステップＳ５で、１段以上のFeistel 構造と１段以上のＳＰＮ構造とが組み合わされて、例えば図３で示したような暗号化アルゴリズムが定められ、ステップＳ６でその暗号化アルゴリズムに従って入力データとしての平文が暗号化されて暗号文が生成され、処理を終了する。
【００３３】
図６は本実施形態においてFeistel 構造の内部で用いられるＦ関数の例である。このＦ関数としては、前述のように任意の非線形関数を用いることができ、その意味でＦ関数として図６のものを用いなければならない理由はないが、その構成について特徴的な部分を中心に説明する。
【００３４】
図６において、入力データ６４ビットはそれぞれ右側、左側３２ビットずつに分割され、ＸＯＲ３０ａ，３０ｂによってｋｅｙ１とｋｅｙ２との排他的論理和がそれぞれとられ、６ビットまたは５ビットずつに分割されて、それぞれ６つのＳボックス３１に入力される。一般的にはＳボックスとして全てのＳボックスの入出力ビット数が等しいものを並べて使う場合が多い。ここでは６ビット入出力のＳボックスと５ビットの入出力のＳボックスとを混在させて用いているが、その詳細については説明を省略する。
【００３５】
それぞれ６個のＳボックス３１の出力はＭＤＳ変換部３２ａ，３２ｂに与えられる。ここでＭＤＳ変換部は、図１２で説明したＳＰＮ構造における関数Ｐに相当し、その意味ではFeistel 構造内のＦ関数はＳＰＮ構造を持つともいえるが、このＰ関数におけるデータの拡散性を定義する１つの概念としての分岐数を最大とする線形変換層がＭＤＳ変換部である。この分岐数は、暗号に対する差分攻撃や、線形攻撃に対する強度を評価するバロメータであり、その詳細については次の文献で説明されている。
文献）共通鍵ブロック暗号の選択／設計／評価に関するドキュメント、通信・放送機構
ＭＤＳ変換部３２ａ，３２ｂの出力は、それぞれＸＯＲ３３ａ，３３ｂに与えられ、排他的論理和がとられるが、例えばＭＤＳ変換部３２ａの出力３２ビットに対しては、Ｏｘ５５５５５５５５との論理積がとられた後にＥｘオア３３ｂに与えられる。このような論理積がとられるのは、ＭＤＳ変換部３２ａ，３２ｂの出力がそのまま与えられるのでは、Ｅｘオア３３ａ，３３ｂの出力は同じになってしまうためである。ここでＭＤＳ変換部３２ａの出力と論理積がとられるデータは２進数では０１０１０１・・・０１０１（３２ビット）であり、またＭＤＳ変換部３２ｂの出力と論理積がとられるデータは１０１０１０・・・１０１０（３２ビット）である。
【００３６】
図７は図５のステップＳ４、すなわちＳＰＮ構造Ｂの決定処理の詳細フローチャートである。同図において処理が開始されると、まずステップＳ９で入出力ビット数が求められた後に、ステップＳ１０でランダムな写像Ｓが新しく選択される。この写像Ｓは、図５のステップＳ１で入力されたブロックのビット長ｎを、ステップＳ３で入力されたワードのビット長ｗで割った結果としての、ｒビット入出力の１対１写像である。
【００３７】
例えば平文、すなわち入力データのブロックのビット長ｎが１２８ビットであり、ワード長ｗが３２ビットであるとすると、ｒは４ビットとなり、４ビット入出力のランダムな写像Ｓが選択される。
【００３８】
図７のステップＳ１１で、写像Ｓを対象として固定された半数の入力ビット、例えば４ビットのうち２ビットにのみ差分が与えられた入力データの組に対して、同じ位置にある固定された半数の出力ビットにのみ出力データの組に差分が現われる確率が０であるか否かが判定され、０でない場合にはステップＳ１０に戻り、新しいランダムな写像Ｓの選択以降の処理が繰り返される。
【００３９】
ステップＳ１１で確率が０と判定されると、ステップＳ１２で写像Ｓを対象として固定された半数の入力ビット、および例えば同じ位置にある固定された半数の出力ビットのみに関係する任意の線形関係式について、全ての入出力ビットデータ間でその線形関係式が成立する確率が１／２であるか否かが判定され、１／２でない場合にはステップＳ１０以降の処理が繰り返される。なおステップＳ１１、Ｓ１２における判定については図８、図９を用いて更に後述する。
【００４０】
ステップＳ１２で確率が１／２である場合には、ステップＳ１３でその写像Ｓとインタリーブ変換、例えば図１０で後述するインタリーブ変換であって、図２の入力ファイル１１に格納されているインタリーブ変換とが組み合わされてＳＰＮ構造Ｂが定められ、処理を終了する。
【００４１】
図８は図７のステップＳ１１で判定される確率の例である。この例は、４ビットを入出力ビット数とする非線形のＳ関数として
Ｓ：（０，１，２，３，４，５，６，７，８，９，10，11，12，13，14，15）→（１，９，６，12，７，２，15，11，14，０，５，10，４，３，８，13）
の関数を用いた場合の例であり、入力差分に対して出力差分が現われる確率としてのｘ／１６のｘを表わしたものである。なおこの非線形Ｓ関数の入出力関係において、例えば最後の10進１５に対して10進１３が出力されること、すなわち２進数１１１１に対して１１０１が出力されることが示されている。
【００４２】
図８において４ビットのうち右側半分に入力差分が表われている上の３行においては、対応する位置の片側半分に出力差分が現われる確率、すなわち左側３列の確率は０であることが、また左側半分に入力差分が現われている入力データの組、すなわち下側３行に対しては左側半分に出力差分が現われる確率、すなわち右側３列の確率が０であることが示されている。
【００４３】
図８において、例えば入力差分が（０００１）であり、かつ出力差分が（０１００）である入出力データ組は入力組（０１１０），（０１１１）に対する出力組（１１１１），（１０１１）と、入力組（０１１１），（０１１０）に対する出力組（１０１１），（１１１１）の２組だけであることが計算によって確認されている。
【００４４】
図９は図７のステップＳ１２で判定される確率の例を示す。この確率は前述の非線形Ｓ関数に対する確率を示すものである。すなわち、片側２入力ビットおよび片側２出力ビットのみに関係した任意の全ての線形関係式について、全入出力ビットデータ間でその線形関係式が成立する確率（８−ｘ）／１６を決めるｘを示すものである。
【００４５】
図９において、右側２入力ビットと右側２出力ビットとにそれぞれ差分が現われるのは上３行の左側３列であり、このような入出力ビットデータ間で線形関係式が成立する確率を示すｘの値が０であることから、その確率は８／１６，すなわち１／２となる。
【００４６】
同様に左側２入力ビット、左側２出力ビットに差分が現われるのは、下３行のうち右側３列であり、これらの入出力データ間においても線形関係式の成立確率は１／２となる。線形関係式の成立確率が１／２となるということは、その入出力データ間でその線形関係式が成立することもあり、また成立しないこともあることを示し、その線形関係式自体に意味がないことを示している。
【００４７】
入出力ビットに関するある線形式の値が常に０、または１となるとき、入出力の間にその線形式が成立することになる。暗号においては入出力が線形関係からできるだけ離れていることが望ましく、その意味で前述の成立確率１／２という状況が望ましい。
【００４８】
入力を（ｘ₀，ｘ₁，ｘ₂，ｘ₃）、出力を（ｙ₀、ｙ₁，ｙ₂，ｙ₃）とし、入力（０００１）、出力（０１００）に関係する線形式ｘ₃＋ｙ₁の値を調べることにする。前述の写像Ｓで入力１＝（０００１）に対する出力は９＝（１００１）であることから、ｘ₃＋ｙ₁＝１＋０＝１となる。同様にして、すべての入出力の間でｘ₃＋ｙ₁の値は次のように求められる。
【００４９】
Ｉｎ０，Ｏｕｔ１→０
Ｉｎ１，Ｏｕｔ９→１
Ｉｎ２，Ｏｕｔ６→１
Ｉｎ３，Ｏｕｔｃ→０
Ｉｎ４，Ｏｕｔ７→１
Ｉｎ５，Ｏｕｔ２→１
Ｉｎ６，Ｏｕｔｆ→１
Ｉｎ７，Ｏｕｔｂ→１
Ｉｎ８，Ｏｕｔｅ→１
Ｉｎ９，Ｏｕｔ０→１
Ｉｎａ，Ｏｕｔ５→１
Ｉｎｂ，Ｏｕｔａ→１
Ｉｎｃ，Ｏｕｔ４→１
Ｉｎｄ，Ｏｕｔ３→１
Ｉｎｅ，Ｏｕｔ８→０
Ｉｎｆ，Ｏｕｔｄ→０
この計算によって、ｘ₃＋ｙ₁＝１という線形式が成立する入出力関係は１２となり、確率が１２／１６となることから図９内で対応するｘの値は−４となる。
【００５０】
図１０は図４で説明したインタリーブ変換の例である。同図において、例えばＳＰＮ構造への入力データは、Ａ，Ｂ，Ｃ，Ｄの４つの部分に分割され、分割されたデータは４行で示されるような形式に変換される。更にＡ，Ｂ，Ｃ，Ｄのデータが列に並ぶように変換され、最終的にＡ，Ｂ，Ｃ，Ｄのデータのうちの最初の部分が１番目に並べられ、次の部分が２番目に、以下同様に並べられるような形式に変換されて、例えばＡ，Ｂ，Ｃ，Ｄの最初の部分、すなわち１番目に並べられたデータが、図４で最も左側にあるＳボックス２５に入力されることになる。
【００５１】
例えばＡを３２ビット変数Ｘ，ＢをＹ，ＣをＺ，ＤをＷ（それぞれ３２ビット変数）に割り当て、Ｘ＝（ｘ₀，ｘ₁，・・・ｘ₃₁），Ｙ＝（ｙ₀，ｙ₁，・・・ｙ₃₁），Ｚ＝（ｚ₀，ｚ₁，・・・ｚ₃₁），Ｗ＝（ｗ₀，ｗ₁，・・・ｗ₃₁）とすると、図１０のインタリーブ変換の出力は（ｘ₀，ｙ₀，ｚ₀，ｗ₀，ｘ₁，ｙ₁，ｚ₁，ｗ₁，・・・ｘ₃₁，ｙ₃₁，ｚ₃₁，ｗ₃₁）となる。
【００５２】
このように本実施形態においては、非線形Ｓ関数と、線形変換としてのインタリーブ変換とを組み合わせることによって、入力データの攪拌性能の向上が図られる。
【００５３】
図８、図９で説明したように、Ｓボックスの入力の片側２ビット、例えば右側２ビットに入力差分が与えられた時、右側２ビットに出力差分が現われる確率は０であり、左側２ビットに出力差分が現われる確率が０とならないことから、右側半分に差分が与えられた入力データの組に対しては左側にその影響が現われることになり、データの攪拌効果が得られる。
【００５４】
図９では右側２ビットの入力ビットと出力ビットのみに関係する線形関係式の成立確率が１／２となる。すなわちその線形関係式に意味がないのに対して、右側２ビットと左側２ビットのみに関係した線形関係式については、その成立確率が１／２より大きくなるものが明らかに存在することになる。右側２ビットと左側２ビットとを関係づける線形関係式によってデータの攪拌効果が得られることになる。
【００５５】
図１１は本実施形態におけるプログラムのコンピュータへのローディングの説明図である。本発明の実施形態としての暗号化装置、例えば図２に示したシステムなどは、当然一般的なコンピュータシステムによって構成することができる。図１１はそのようなシステムの構成を示し、コンピュータ４１は本体４２とメモリ４３とによって構成されている。メモリ４３はランダムアクセスメモリ（ＲＡＭ）、ハードディスク、磁気ディスクなどの記憶装置であり、本発明の特許請求の範囲第７項のプログラムや、図５、図７で説明したプログラムなどはメモリ４３に格納され、そのプログラムが本体４２によって実行されることによって、本発明の演算方法が実現され、入力データに対する暗号化が行われる。
【００５６】
本発明を実現するためのプログラムは、プログラム提供者側からネットワーク４４を介してコンピュータ４１にロードされることも、また市販され、流通している可搬型記憶媒体４５に格納され、そのプログラムがコンピュータ４１にロードされることによって実現されることも可能である。可搬型記憶媒体４５としてはフロッピィディスク、ＣＤ−ＲＯＭ、光ディスク、光磁気ディスクなど様々な形式の記憶媒体を使用することができ、前述のプログラムなどがこのような記憶媒体に格納され、コンピュータ４１にロードされることによって、本実施形態における暗号化アルゴリズムが出力され、その暗号化アルゴリズムを用いて入力データに対する暗号文を生成することが可能となる。
【００５７】
【発明の効果】
以上詳細に説明したように、本発明によればワード内でのデータの攪拌、および拡散性能に優れたFeistel 構造と、ワード間の攪拌性や、高速演算性、入出力についての非対称性などの性質を持つＳＰＮ構造とを組み合わせることによって、暗号化演算の高速性を図ると共に、暗号の安全性を向上させることができる。更にＳＰＮ構造におけるＳブロックの非線形関数として、データの攪拌がデータの片側に偏らないような写像を用いることによりデータ攪拌性を向上させると共に、インタリーブ変換を用いることによってワード間のデータの攪拌性を更に向上させることができ、共通鍵ブロック暗号の性能向上に寄与するところが大きい。
【図面の簡単な説明】
【図１】本発明の原理構成ブロック図である。
【図２】本発明における暗号化装置のシステム構成ブロック図である。
【図３】 Feistel 構造とＳＰＮ構造の組合せの例を示す図である。
【図４】ＳＰＮ構造の構成例を示す図である。
【図５】暗号化アルゴリズムの決定と入力データの暗号化処理の全体処理フローチャートである。
【図６】 Feistel 構造で用いられるＦ関数の例を示す図である。
【図７】ＳＰＮ構造決定処理の詳細フローチャートである。
【図８】Ｓ関数に与えられる入力差分に対して出力差分が現われる確率を説明する図である。
【図９】Ｓ関数における入出力ビットの間の線形関係式の成立確率を説明する図である。
【図１０】インタリーブ変換の例を説明する図である。
【図１１】プログラムのコンピュータへのローディングを説明する図である。
【図１２】 Feistel 構造の例を示す図である。
【図１３】ＳＰＮ構造の例を示す図である。
【符号の説明】
１演算装置
２第１のデータ変換手段
３第２のデータ変換手段
１０処理装置
１１入力ファイル
１２出力ファイル
１３表示装置[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a common key block encryption method, and more particularly to an encryption apparatus and an encryption method that combine a Feistel structure and an SPN structure and improve the data diffusibility by specially contriving the SPN structure.
[0002]
[Prior art]
With the arrival of an advanced information society, ensuring information security has become an urgent issue. The basis of information security is data encryption. The common key block cipher is an indispensable technology for realizing high-speed and secure communication in an advanced information society. Various schemes have been proposed in the past as algorithms for this common key block cipher, but they were basically either a repetition of a structure called a Feistel structure or a repetition of a structure called an SPN structure.
[0003]
FIG. 12 is an explanatory diagram of the Feistel structure. In the figure, for example, input 128 bits are divided into 64 bits on the right side and 64 bits on the left side, 64 bits on the right side are input to a non-linear function called F function 51, and the output and left 64 bits are XORed by XOR52. The result is output as the right 64 bits of the output 128 bits, and the right 64 bits of the input 128 bits are output as they are as the left 64 bits. Such a Feistel structure is repeated 16 times, for example, and encryption is performed.
[0004]
FIG. 13 shows an example of the SPN structure. In this structure, a nonlinear transformation 53 called an S box and a linear transformation P54 are used in combination.
S in the S box means substitutation, ie substitution, function P means permutation, ie permutation, but now S is more generally a non-linear mapping, and P is not just permutation, but bitwise Is a linear transformation.
[0005]
In any case, encryption is performed by repeating such an SP network (SPN) structure in multiple stages. Note that the SPN structure is used as an F function in the Feistel structure of FIG. 12 as described later, but FIG. 12 shows the Feistel structure as a whole.
[0006]
[Problems to be solved by the invention]
In the common key block encryption system as described above, it is necessary to perform encryption so that the security of data is ensured with as few steps as possible, regardless of whether the Feistel structure or the SPN structure is used. However, when the Feistel structure is used first, only half of the input data length is stirred in one stage, which is effective in stirring data within the word, but has a problem that the data stirring ability beyond the word is inferior. In addition, since the input and output are in a symmetric form, there is a possibility that there are repetitive differential approximation formulas or linear approximation formulas as ciphers, and there is a risk of exposure to differential attacks and linear attacks. There was a point.
[0007]
On the other hand, when the SPN structure is used, the data agitation between words is effective and has an advantage that the input and output are asymmetrical. However, the entire input data length is divided into a plurality of S boxes. When the S box is generally used as a table stored in the memory, the number of times the table is referred to increases as the number of S boxes increases, and when only a number of SPN structures are combined. However, there is a problem that processing takes time.
[0008]
In view of the above-mentioned problems, the object of the present invention is to combine the Feistel structure and the SPN structure to perform encryption to eliminate each drawback as much as possible, and to further improve the data agitation effect even in the S box in the SPN structure. Accordingly, it is an object of the present invention to provide an encryption device and an encryption method that reduce the amount of calculation as much as possible and have excellent data diffusion performance.
[0009]
[Means for Solving the Problems]
FIG. 1 is a block diagram showing the principle configuration of an arithmetic unit according to the present invention. The figure shows an arithmetic unit that receives a data input and outputs a calculation result for the data input as a data output. In the arithmetic device 1, one or more of the first data conversion means 2 that performs data conversion using the Feistel structure and one or more of the second data conversion means 3 that performs data conversion using the SPN structure are included. , Cascaded between data input and data output.
[0010]
In FIG. 1 (a), first data conversion means 2 and then second data conversion means 3 are used first for data input, and conversely in FIG. 1 (b), second data conversion means is first used. 3 and then the first data conversion means 2 is used.
[0011]
In (c), after the first data conversion means 2 is used in two stages, the second data conversion means 3 is used. In (d), on the contrary, after the second data conversion means 3 is used, the first data conversion means 2 is used in two successive stages for data output.
[0012]
Thus, in the present invention, one or more of the first data conversion means 2 and one or more of the second data conversion means 3 are used in combination, but the first data conversion means using the Feistel structure is used. As for 2, since only one side of the data is stirred in one stage, the combination is performed in such a manner that, for example, two stages are continuously used and stirring is performed on both sides of the data. Of course, a larger number of two data conversion means can be combined.
[0013]
In the embodiment of the present invention, the block length of one block of data input in the SPN structure, for example, a value obtained by dividing 128 bits by the word length of 32 bits, for example, non-linear conversion having 4 input / output bit numbers Means such as an S box and linear transformation means using interleave transformation may also be provided.
[0014]
Further, in the embodiment of the invention, the nonlinear conversion means constituting the SPN structure, for example, the input number of the input data in which the difference is given only to one or more, for example, the right 2 bits out of 4 bits as the S box, for example, 4 bits. Arbitrary linear relationship with the probability that a difference appears in the set of output data in the same position, that is, only in the right 2 bits, for example, and only related to the input bits of the right 2 bits and the output bits of the right 2 bits, for example It is also possible to provide a non-linear conversion means in which the probability that the formula is established between all input / output data is ½.
[0015]
In the calculation method of the present invention, in the calculation method in which a calculation result for data input is data output, one or more first data conversion steps for performing data conversion using the Feistel structure and data conversion using the SPN structure are performed. An arithmetic method is used in which one or more of the second data conversion steps are performed in combination between data input and data output.
[0016]
In an embodiment of the invention, in the first data conversion step using the SPN structure in this calculation method, a nonlinear conversion in which the value obtained by dividing the block length of one block of data input by the word length is the number of input / output bits And linear transformation using interleave transformation.
[0017]
In the embodiment of the present invention, as the nonlinear transformation to be executed in the SPN structure, a set of input data in which a difference is given only to one or more of the input bits, for example, the right half of the input bits. On the other hand, the probability that a difference appears in the output data set only in the same right half of the output bits is 0, and any linear relational expression related only to the right half of the input bits and the right half of the output bits is all It is also possible to execute non-linear transformation in which the probability of establishment between input / output data is ½.
[0018]
Furthermore, in the present invention, a first data conversion step of performing data conversion using a Feistel structure as a storage medium used by a computer that receives a data input and executes an operation that uses a calculation result for the data input as a data output. A computer stored with a program having a function of executing one or more of the above and one or more of the second data conversion steps for performing data conversion using the SPN structure in combination between data input and data output A portable storage medium is used.
[0019]
Furthermore, in the present invention, a first data conversion procedure for performing data conversion using a Feistel structure as a program used by a computer that receives a data input and executes an operation that outputs an operation result for the data input as a data output. And a program having a function of executing one or more of the second data conversion procedures for performing data conversion using the SPN structure in combination between data input and data output.
[0020]
As described above, according to the present invention, the operation is executed by combining the Feistel structure and the SPN structure between the data input and the data output, and further, for example, only the difference in only the right half of the input bits is performed inside the SPN structure. Appears in the set of input data, non-linear transformation is used for the right half of the output bits so that no difference appears in the set of output data.
[0021]
DETAILED DESCRIPTION OF THE INVENTION
In the present invention, the Feistel structure and the SPN structure are combined to form an arithmetic device or an arithmetic method. As such an arithmetic device and arithmetic method, a ciphertext that encrypts and outputs an input plaintext. A generation apparatus and a generation method will be described as embodiments of the invention.
[0022]
FIG. 2 is a system configuration block diagram of such a ciphertext generation apparatus. In the figure, the ciphertext generating apparatus includes a processing device 10, an input file 11, an output file 12, a display device 13, and an input / output device 14.
[0023]
The processing apparatus 10 includes a Feistel structure determining unit 16 that determines a Feistel structure to be used, an SPN structure determining unit 17 that determines an SPN structure, and an encryption that determines an encryption algorithm that combines the Feistel structure and the SPN structure. An algorithm determination unit 18 and a ciphertext generation unit 19 that encrypts plaintext according to the encryption algorithm are provided.
[0024]
The input file 11 uses plain text as input data to be encrypted, a bit length n of one block of input data, a bit length w of a word suitable for calculation by the processing device 10, and used in an SPN structure as will be described later. The contents of interleaved conversion as a linear conversion are stored.
[0025]
The output file 12 includes an F function used for the Feistel structure determined by the Feistel structure determining unit 16, a mapping S corresponding to a non-linear function of the S box determined by the SPN structure determining unit 17, and an encrypted address. An encryption algorithm as a combination of the Feistel structure and the SPN structure determined by the determination unit 18 is stored.
[0026]
FIG. 3 shows an example of the encryption algorithm determined by the combination of the Feistel structure and the SPN structure in this embodiment, that is, the encryption algorithm determination unit 18. In the figure, input data is first subjected to two stages of computation using the Feistel structures 20a and 20b. Thereafter, an operation is performed by the SPN structure 23, and further two-stage Feistel structures 20c and 20d are performed on the result, and the result is output as ciphertext.
[0027]
In FIG. 3, depending on the one-stage Feistel structure, only one half of the input data is agitated, so the Feistel structure is used in two stages, and the agitation effect in the word is increased in the SPN structure 23 as will be described later. Ingenuity is incorporated. That is, for the nonlinear function used in the S box, by using a function having properties as shown in FIGS. 8 and 9 to be described later, the agitation effect in the word is increased, and further, by using interleave conversion as linear conversion, The SPN structure is configured so that the stirring effect between a plurality of words constituting one block is increased.
[0028]
When the Feistel structure is used continuously for three or more stages, the effect of combining the SPN structure is diminished. In FIG. 3, the SPN structure is inserted between two stages of the Feistel structure.
[0029]
FIG. 4 is a schematic explanatory diagram of the SPN structure 23. In the figure, interleave conversion 24 is first performed on input data, for example, 128 bits, and data between four words composed of, for example, 32 bits is mixed. The stirring result is given to a plurality of S boxes 25, and an interleave inverse transformation 26 is performed on the output of the S box 25 to obtain an output of the SPN structure.
[0030]
FIG. 5 is an overall flowchart of the ciphertext generation process in the present embodiment. When the processing is started in the figure, first, plain text, that is, the bit length n of the input data block is input in step S1, and the Feistel structure R is determined in step S2. In the present embodiment, an arbitrary function can be used as the nonlinear function F in the Feistel structure, and an example thereof will be described with reference to FIG.
[0031]
Subsequently, in step S3, the bit length w of a word suitable for the computing unit is input, and in step S4, the SPN structure B is determined. Regarding the SPN structure B, as described with reference to FIG. 4, the contents of the interleave transform and the non-linear function of the S box are problematic, which will be described later.
[0032]
In step S5, one or more stages of Feistel structure and one or more stages of SPN structure are combined to define an encryption algorithm as shown in FIG. 3, for example. In step S6, input data is input according to the encryption algorithm. The plaintext is encrypted to generate a ciphertext, and the process ends.
[0033]
FIG. 6 shows an example of the F function used inside the Feistel structure in this embodiment. As the F function, any non-linear function can be used as described above. In this sense, there is no reason why the F function shown in FIG. 6 must be used. explain.
[0034]
In FIG. 6, 64 bits of input data are divided into 32 bits on the right side and 32 bits on the left side, respectively, XORs 30a and 30b take the exclusive OR of key1 and key2, and 6 bits or 5 bits respectively. Input to the six S boxes 31. In general, there are many cases in which the same number of input / output bits of all S boxes are used side by side as S boxes. Here, a 6-bit input / output S-box and a 5-bit input / output S-box are mixedly used, but the description thereof is omitted.
[0035]
The outputs of the six S boxes 31 are given to the MDS converters 32a and 32b. Here, the MDS conversion unit corresponds to the function P in the SPN structure described in FIG. 12, and in this sense, the F function in the Feistel structure can be said to have the SPN structure, but defines the diffusibility of data in this P function. The linear conversion layer that maximizes the number of branches as one concept is the MDS converter. The number of branches is a barometer that evaluates the strength against a differential attack against a cipher or a linear attack, and details thereof are described in the following document.
Reference) Document on selection / design / evaluation of common key block cipher, communication and broadcasting organization
The outputs of the MDS converters 32a and 32b are respectively given to the XORs 33a and 33b, and are subjected to exclusive OR. For example, the output 32 bits of the MDS converter 32a is ANDed with Ox5555 5555. After that, it is given to Ex or 33b. The reason why such a logical product is taken is that if the outputs of the MDS converters 32a and 32b are given as they are, the outputs of the Ex ORs 33a and 33b become the same. Here, the data logically ANDed with the output of the MDS converter 32a is 010101 ... 0101 (32 bits) in binary, and the data logically ANDed with the output of the MDS converter 32b is 101010 ... 1010 (32 bits).
[0036]
FIG. 7 is a detailed flowchart of step S4 in FIG. 5, that is, the SPN structure B determination process. When the processing is started in the figure, first, after the number of input / output bits is obtained in step S9, a random mapping S is newly selected in step S10. This mapping S is a one-to-one mapping of r-bit input / output as a result of dividing the bit length n of the block input at step S1 in FIG. 5 by the bit length w of the word input at step S3. .
[0037]
For example, if the bit length n of the plain text, ie, the block of input data is 128 bits and the word length w is 32 bits, r is 4 bits, and a random mapping S of 4 bits input / output is selected.
[0038]
In step S11 of FIG. 7, half of the input bits fixed for the mapping S, for example, the fixed half of the input data set in which the difference is given to only 2 bits out of 4 bits, are in the same position. It is determined whether or not the probability that a difference appears in the set of output data is 0 only for the output bits. If not, the process returns to step S10, and the processing after the selection of a new random mapping S is repeated.
[0039]
If the probability is determined to be 0 in step S11, an arbitrary linear relational expression relating only to half of the input bits fixed to the mapping S in step S12 and, for example, a fixed half of the output bits in the same position. Is determined whether or not the probability that the linear relational expression is established between all the input and output bit data is ½, and if not, the processes in and after step S10 are repeated. Note that the determination in steps S11 and S12 will be further described later with reference to FIGS.
[0040]
If the probability is ½ in step S12, the mapping S and the interleave transform in step S13, for example, the interleave transform described later in FIG. 10 and the interleave transform stored in the input file 11 in FIG. Are combined to define the SPN structure B, and the process ends.
[0041]
FIG. 8 is an example of the probability determined in step S11 of FIG. This example shows a nonlinear S function with 4 bits as the number of input / output bits.
S: (0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15) → (1, 9, 6, 12, 7, 2, 15 , 11, 14, 0, 5, 10, 4, 3, 8, 13)
In this example, x / 16 of x / 16 is expressed as a probability that an output difference appears with respect to an input difference. In the input / output relationship of this nonlinear S function, for example, decimal 13 is output for the last decimal 15, that is, 1101 is output for binary 1111.
[0042]
In the upper three rows in which the input difference appears in the right half of the 4 bits in FIG. 8, the probability that the output difference appears in one half of the corresponding position, that is, the probability of the left three columns is zero. Further, it is shown that the probability of the output difference appearing in the left half, that is, the probability of the right three columns is 0 for the set of input data where the input difference appears in the left half, that is, the lower three rows.
[0043]
In FIG. 8, for example, an input / output data set with an input difference of (0001) and an output difference of (0100) is an output set (1111), (1011) with respect to an input set (0110), (0111), and an input set. It is confirmed by calculation that there are only two sets of output sets (1011) and (1111) for the sets (0111) and (0110).
[0044]
FIG. 9 shows an example of the probability determined in step S12 of FIG. This probability indicates the probability for the above-described nonlinear S function. That is, for any arbitrary linear relational expression related only to one-side two input bits and one-side two output bits, x is determined to determine the probability (8−x) / 16 that the linear relational expression is established among all input / output bit data. It is shown.
[0045]
In FIG. 9, the difference appears between the right two input bits and the right two output bits in the left three columns of the upper three rows, and x indicates the probability that a linear relational expression is established between such input / output bit data. Since the value of is 0, the probability is 8/16, that is, 1/2.
[0046]
Similarly, the difference appears in the left two input bits and the left two output bits in the right three columns of the lower three rows, and the probability of establishment of the linear relational expression is ½ between these input / output data. That the probability of establishment of a linear relational expression is ½ means that the linear relational expression may or may not be established between the input and output data, meaning that the linear relational expression itself It shows that there is no.
[0047]
When the value of a certain line format regarding input / output bits is always 0 or 1, the line format is established during input / output. In cryptography, it is desirable that the input / output is as far as possible from the linear relationship, and in that sense, the above-described situation of establishment probability 1/2 is desirable.
[0048]
Input (x ₀ , X ₁ , X ₂ , X _Three ) And output (y ₀ , Y ₁ , Y ₂ , Y _Three ), And the line format x related to input (0001) and output (0100) _Three + Y ₁ Let's examine the value of. Since the output for the input 1 = (0001) in the mapping S is 9 = (1001), x _Three + Y ₁ = 1 + 0 = 1. Similarly, x between all inputs and outputs _Three + Y ₁ The value of is obtained as follows.
[0049]
In0, Out1 → 0
In1, Out9 → 1
In2, Out6 → 1
In3, Outc → 0
In4, Out7 → 1
In5, Out2 → 1
In6, Outf → 1
In7, Outb → 1
In8, Out → 1
In9, Out0 → 1
Ina, Out5 → 1
Inb, Outa → 1
Inc, Out4 → 1
Ind, Out3 → 1
Ine, Out8 → 0
Inf, Outd → 0
By this calculation, x _Three + Y ₁ The input / output relationship in which the linear format = 1 is established, and the probability is 12/16. Therefore, the corresponding value of x in FIG. 9 is −4.
[0050]
FIG. 10 shows an example of the interleave conversion described with reference to FIG. In the figure, for example, input data to the SPN structure is divided into four parts A, B, C, and D, and the divided data is converted into a format shown in four lines. Further, the A, B, C, and D data are converted so as to be arranged in a column, and finally the first portion of the A, B, C, and D data is arranged first, and the next portion is the second. In the same manner, for example, the first part of A, B, C, and D, that is, the data arranged first is input to the S box 25 on the leftmost side in FIG. Will be.
[0051]
For example, A is assigned to a 32-bit variable X, B is assigned to Y, C is assigned to Z, D is assigned to W (each a 32-bit variable), and X = (x ₀ , X ₁ , ... x ₃₁ ), Y = (y ₀ , Y ₁ , ... y ₃₁ ), Z = (z ₀ , Z ₁ , ... z ₃₁ ), W = (w ₀ , W ₁ , ... w ₃₁ ), The output of the interleaved transformation in FIG. ₀ , Y ₀ , Z ₀ , W ₀ , X ₁ , Y ₁ , Z ₁ , W ₁ , ... x ₃₁ , Y ₃₁ , Z ₃₁ , W ₃₁ )
[0052]
As described above, in the present embodiment, the mixing performance of input data can be improved by combining the nonlinear S function and the interleaved transformation as the linear transformation.
[0053]
As described with reference to FIGS. 8 and 9, when an input difference is given to 2 bits on one side of the input of the S box, for example, 2 bits on the right side, the probability that an output difference appears on the 2 bits on the right side is 0, and 2 bits on the left side Since the probability that an output difference appears in the input data set does not become 0, the effect appears on the left side of the input data set to which the difference is given in the right half, and the data agitation effect is obtained.
[0054]
In FIG. 9, the probability of establishment of the linear relational expression relating only to the two input bits and output bits on the right side is ½. In other words, the linear relational expression is meaningless, but there is clearly a linear relational expression related to only the right 2 bits and the left 2 bits whose probability of establishment is greater than 1/2. . The data mixing effect can be obtained by a linear relational expression relating the right 2 bits and the left 2 bits.
[0055]
FIG. 11 is an explanatory diagram of loading a program into a computer according to the present embodiment. The encryption apparatus according to the embodiment of the present invention, for example, the system shown in FIG. 2 can be configured by a general computer system. FIG. 11 shows the configuration of such a system, and the computer 41 includes a main body 42 and a memory 43. The memory 43 is a storage device such as a random access memory (RAM), a hard disk, or a magnetic disk. The program according to claim 7 of the present invention, the program described with reference to FIGS. When the program is executed by the main body 42, the calculation method of the present invention is realized and the input data is encrypted.
[0056]
A program for realizing the present invention is loaded into the computer 41 from the program provider side via the network 44, or is stored in a portable storage medium 45 that is commercially available and distributed, and the program is stored in the computer. It can also be realized by being loaded into 41. As the portable storage medium 45, various types of storage media such as floppy disks, CD-ROMs, optical disks, and magneto-optical disks can be used. The above-described programs and the like are stored in such a storage medium and stored in the computer 41. By being loaded, the encryption algorithm in the present embodiment is output, and it becomes possible to generate a ciphertext for the input data using the encryption algorithm.
[0057]
【The invention's effect】
As described above in detail, according to the present invention, the Feistel structure excellent in the agitation and diffusion performance of the data in the word, the agitation between the words, the high-speed arithmetic performance, the asymmetry in input / output, etc. By combining with the SPN structure having properties, it is possible to increase the speed of the encryption operation and improve the security of the encryption. Furthermore, as a non-linear function of the S block in the SPN structure, data agitation is improved by using a mapping in which data agitation is not biased to one side of the data. It can be further improved and greatly contributes to the performance improvement of the common key block cipher.
[Brief description of the drawings]
FIG. 1 is a block diagram showing the principle configuration of the present invention.
FIG. 2 is a system configuration block diagram of an encryption apparatus according to the present invention.
FIG. 3 is a diagram illustrating an example of a combination of a Feistel structure and an SPN structure.
FIG. 4 is a diagram illustrating a configuration example of an SPN structure.
FIG. 5 is an overall processing flowchart of encryption algorithm determination and input data encryption processing;
FIG. 6 is a diagram illustrating an example of an F function used in a Feistel structure.
FIG. 7 is a detailed flowchart of an SPN structure determination process.
FIG. 8 is a diagram illustrating a probability that an output difference appears with respect to an input difference given to an S function.
FIG. 9 is a diagram illustrating the probability of establishment of a linear relational expression between input and output bits in the S function.
FIG. 10 is a diagram illustrating an example of interleave conversion.
FIG. 11 is a diagram illustrating loading of a program into a computer.
FIG. 12 is a diagram illustrating an example of a Feistel structure.
FIG. 13 is a diagram illustrating an example of an SPN structure.
[Explanation of symbols]
1 arithmetic unit
2 First data conversion means
3 Second data conversion means
10 Processing device
11 Input file
12 Output file
13 Display device

Claims

In an arithmetic unit that receives data input and uses the operation result for the data input as data output,
One or more first data conversion means for performing data conversion using a Feistel structure;
One or more second data conversion means for performing data conversion using the SPN structure are cascaded between the data input and the data output ,
As a nonlinear conversion means constituting the SPN structure,
A set of input data in which a difference is given only to one or more fixed input bits among the input bits to the nonlinear conversion means is in the same position as the one or more fixed input bits. The probability that a difference appears in the set of output data only in one or more fixed output bits is 0,
In addition, the probability that one or more fixed input bits and any linear relational expression related only to the fixed one or more output bits is established between all input / output data is ½. An arithmetic unit combining a Feistel structure and an SPN structure, characterized by comprising a nonlinear conversion means .

In an arithmetic unit that receives data input and uses the operation result for the data input as data output,
One or more first data conversion means for performing data conversion using a Feistel structure;
One or more second data conversion means for performing data conversion using the SPN structure are cascaded between the data input and the data output,
The SPN structure is
Nonlinear conversion means having the number of input / output bits of a value obtained by dividing the block length of one block of the data input by a word length;
Linear conversion means using interleave conversion ,
As a nonlinear conversion means constituting the SPN structure,
A set of input data in which a difference is given only to one or more fixed input bits among the input bits to the nonlinear conversion means is in the same position as the one or more fixed input bits. The probability that a difference appears in the set of output data only in one or more fixed output bits is 0 ,
In addition, the probability that one or more fixed input bits and any linear relational expression related only to the fixed one or more output bits is established between all input / output data is ½. An arithmetic unit combining a Feistel structure and an SPN structure, characterized by comprising a nonlinear conversion means .

In a calculation method by a computer that receives a data input and executes a calculation that uses a calculation result for the data input as a data output,
One or more first data conversion steps for performing data conversion using a Feistel structure;
Performing one or more second data conversion steps for performing data conversion using the SPN structure in combination between the data input and the data output ;
As a nonlinear transformation to be performed within the SPN structure:
A set of input data in which a difference is given only to one or more fixed input bits out of the number of input bits in the nonlinear conversion is in the same position as the one or more fixed input bits. The probability that a difference appears in the set of output data only in one or more fixed output bits is 0,
In addition, the probability that one or more fixed input bits and any linear relational expression related only to the fixed one or more output bits is established between all input / output data is ½. An arithmetic method combining a Feistel structure and an SPN structure, characterized by performing nonlinear transformation .

In a calculation method by a computer that receives a data input and executes a calculation that uses a calculation result for the data input as a data output,
One or more first data conversion steps for performing data conversion using a Feistel structure;
Performing one or more second data conversion steps for performing data conversion using the SPN structure in combination between the data input and the data output;
In the first data conversion step using the SPN structure,
Non-linear transformation in which the value obtained by dividing the block length of one block of the data input by the word length is the number of input / output bits;
Perform linear transformation using interleave transformation ,
As a nonlinear transformation to be performed within the SPN structure:
A set of input data in which a difference is given only to one or more fixed input bits out of the number of input bits in the nonlinear conversion is in the same position as the one or more fixed input bits. The probability that a difference appears in the set of output data only in one or more fixed output bits is 0,
In addition, the probability that one or more fixed input bits and any linear relational expression related only to the fixed one or more output bits is established between all input / output data is ½. calculation method combining the Feistel structure and SPN structure, characterized by performing non-linear transformation.

In a storage medium used by a computer that receives a data input and executes a calculation that uses a calculation result for the input data as a data output,
One or more first data conversion steps for performing data conversion using a Feistel structure;
A function of executing one or more second data conversion steps for performing data conversion using an SPN structure in combination between the data input and the data output ;
As a nonlinear transformation to be performed within the SPN structure:
A set of input data in which a difference is given only to one or more fixed input bits out of the number of input bits in the nonlinear conversion is in the same position as the one or more fixed input bits. The probability that a difference appears in the set of output data only in one or more fixed output bits is 0,
In addition, the probability that one or more fixed input bits and any linear relational expression related only to the fixed one or more output bits is established between all input / output data is ½. computer readable portable storage medium storing a program which Ru is performing non-linear transformation.

In a storage medium used by a computer that receives a data input and executes an operation that uses a calculation result for the input data as a data output,
Feistel One or more first data conversion steps for performing data conversion using the structure;
A function of executing one or more second data conversion steps for performing data conversion using an SPN structure in combination between the data input and the data output;
In the first data conversion step using the SPN structure,
Non-linear transformation in which the value obtained by dividing the block length of one block of the data input by the word length is the number of input / output bits;
Execute linear transformation using interleave transformation,
As a nonlinear transformation to be performed within the SPN structure:
A set of input data in which a difference is given only to one or more fixed input bits out of the number of input bits in the nonlinear transformation is in the same position as the one or more fixed input bits. The probability that a difference appears in the output data set only in one or more fixed output bits is 0,
In addition, the probability that an arbitrary linear relational expression related only to the fixed one or more input bits and the fixed one or more output bits is established between all the input / output data is ½. A computer-readable portable storage medium storing a program for executing non-linear transformation.

In a program used by a computer that receives a data input and executes an operation that uses a calculation result for the input data as a data output,
One or more first data conversion procedures for performing data conversion using a Feistel structure;
A function of executing one or more second data conversion procedures for performing data conversion using the SPN structure in combination between the data input and the data output ;
As a non-linear transformation procedure to be performed within the SPN structure:
In a set of input data in which a difference is given only to one or more fixed input bits among the number of input bits in the nonlinear conversion procedure, the same position as the one or more fixed input bits is set. The probability that a difference appears in the output data set only for one fixed output bit or more is 0,
In addition, the probability that one or more fixed input bits and any linear relational expression related only to the fixed one or more output bits is established between all input / output data is ½. A program that executes a nonlinear conversion procedure .

In a program used by a computer that receives a data input and executes an operation that uses a calculation result for the input data as a data output,
One or more first data conversion procedures for performing data conversion using a Feistel structure;
A function of executing one or more second data conversion procedures for performing data conversion using the SPN structure in combination between the data input and the data output;
In the first data conversion procedure using the SPN structure,
A nonlinear conversion procedure in which the value obtained by dividing the block length of one block of the data input by the word length is the number of input / output bits;
Performing a linear transformation procedure using interleave transformation ,
As a non-linear transformation procedure to be performed within the SPN structure:
In a set of input data in which a difference is given only to one or more fixed input bits among the number of input bits in the nonlinear conversion procedure, the same position as the one or more fixed input bits is set. The probability that a difference appears in the output data set only for one fixed output bit or more is 0,
In addition, the probability that one or more fixed input bits and any linear relational expression related only to the fixed one or more output bits is established between all input / output data is ½. A program that executes a nonlinear conversion procedure.