JP4909018B2 - 共通鍵暗号のための暗号化装置 - Google Patents

共通鍵暗号のための暗号化装置 Download PDF

Info

Publication number
JP4909018B2
JP4909018B2 JP2006310716A JP2006310716A JP4909018B2 JP 4909018 B2 JP4909018 B2 JP 4909018B2 JP 2006310716 A JP2006310716 A JP 2006310716A JP 2006310716 A JP2006310716 A JP 2006310716A JP 4909018 B2 JP4909018 B2 JP 4909018B2
Authority
JP
Japan
Prior art keywords
output
input
data
unit
circuit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2006310716A
Other languages
English (en)
Other versions
JP2008131108A (ja
Inventor
孝一 伊藤
壮一 岡田
正彦 武仲
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2006310716A priority Critical patent/JP4909018B2/ja
Priority to EP07120575.1A priority patent/EP1924023A3/en
Priority to US11/941,663 priority patent/US8218762B2/en
Publication of JP2008131108A publication Critical patent/JP2008131108A/ja
Application granted granted Critical
Publication of JP4909018B2 publication Critical patent/JP4909018B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/002—Countermeasures against attacks on cryptographic mechanisms
    • H04L9/003—Countermeasures against attacks on cryptographic mechanisms for power analysis, e.g. differential power analysis [DPA] or simple power analysis [SPA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/04—Masking or blinding
    • H04L2209/046—Masking or blinding of operations, operands or results of the operations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Description

本発明は、共通鍵暗号処理に係り、電力解析攻撃と呼ばれる方法による解読を防止する対策を施した暗号化装置に関する。
暗号方式は、公開鍵暗号方式と共通鍵暗号方式に大別される。公開鍵暗号方式とは、暗号化と復号で異なる鍵を用いる方式であり、暗号化を行うための鍵（公開鍵）を一般に公開する代わりに、暗号文を復号するための鍵（秘密鍵）を受信者のみの秘密情報とすることで安全性を保つ方式である。これに対して、共通鍵暗号方式とは、暗号化と復号で同一の鍵（秘密鍵）を用いる方式であり、この秘密鍵を送信者と受信者以外の第三者にわからない情報とすることで安全性を保つ方式である。
暗号の分野における技術の１つに、解読技術と呼ばれるものがある。解読技術とは、秘密鍵等の秘密情報を暗号文等の入手可能な情報から推定する技術のことであり、様々な方法が存在する。その中で最近注目されている技術に、電力解析攻撃と呼ばれる方法がある。
電力解析攻撃とは、１９９８年にPaul Kocherによって考案された方法で、スマートカード等の組み込み機器に搭載された暗号プロセッサに様々な入力データを与えたときの電力消費データを収集・解析することで、暗号プロセッサ内部の鍵情報を推定する方法である。電力解析攻撃を用いることで、公開鍵暗号、秘密鍵暗号共に暗号プロセッサから秘密鍵を推定できることが知られている。
電力解析攻撃には、単純電力解析（Single Power Analysis，以下ではＳＰＡと記す）および電力差分攻撃（Differential Power Analysis，以下ではＤＰＡと記す）の２種類が存在する。
ＳＰＡは、暗号プロセッサにおける単一の電力消費データの特徴から秘密鍵の推定を行う方式であり、ＤＰＡは、多数の電力消費データの差分を解析することで秘密鍵の推定を行う方式である。一般に、ＤＰＡの方がＳＰＡより強力であるといわれている。
ＳＰＡまたはＤＰＡを用いた代表的な解読技術としては、次のような論文が発表されている。ＲＳＡ等の公開鍵暗号に対するＤＰＡを用いた解読法については、下記の非特許文献１にて述べられている。また、共通鍵暗号方式において、現在標準として利用されているＤＥＳ（Data Encryption Standards ）に対するＳＰＡおよびＤＰＡを用いた解読法については、非特許文献２にて述べられている。ＤＥＳの他に、次世代で標準として利用されると思われる共通鍵暗号方式であるRijndaelについても、非特許文献３にてＤＰＡを用いた解読の可能性が指摘されている。
以上から、電力解析攻撃の中でもＤＰＡを用いた解読技術は特に有効な方法として注目されており、様々な解読法が研究されている。また、解読技術のみならずＤＰＡによる解読を防ぐための対策技術も発展しており、解読技術と同様に重要な技術として注目されている。
図１５は、共通鍵暗号処理の一般的な構成を示している。一般的に、共通鍵暗号処理は拡大鍵生成１５０１とラウンド処理１５０２の２つの処理から構成される。拡大鍵生成１５０１では、入力された秘密鍵から複数の拡大鍵と呼ばれるデータ（拡大鍵０，拡大鍵１
，．．．，拡大鍵Ｎ）が生成され、ラウンド処理１５０２に対して出力される。これらの拡大鍵と平文をラウンド処理１５０２に入力することで、暗号化のための変換が行われ、暗号文が出力される。
代表的な共通鍵暗号のアルゴリズムとして、ＡＥＳ（Advanced Encryption Standards ）が知られており、米国のＮＩＳＴ（National Institute of Standards and Technology）の標準ＦＩＰＳ１９７（Federal Information Processing Standards Publication 197）として公開されている（例えば、下記の非特許文献４を参照）。
図１６は、ＡＥＳの構成を示している。ＡＥＳは、１２８ビットを暗号化の単位とするアルゴリズムである。すなわち、１２８ビットの平文から１２８ビットの暗号文を生成する。秘密鍵は、１２８ビット、１９２ビット、または２５６ビットの３種類から選択することができる。
まず、拡大鍵生成１６０１を実行することで、秘密鍵からＮ＋１個の１２８ビット拡大鍵が生成される。ＡＥＳのラウンド処理１６０２は、ＲｏｕｎｄＫｅｙ（ラウンドキー）１６１１、Ｓｕｂｂｙｔｅ（サブバイト）１６１２、ＳｈｉｆｔＲｏｗ（シフトロウ）１６１３、およびＭｉｘＣｏｌｕｍｎ（ミクスコラム）１６１４の４種類の処理から構成され、これらのうち、ＲｏｕｎｄＫｅｙ１６１１において拡大鍵が使用される。ラウンド処理１６０２に平文が入力されると、ＲｏｕｎｄＫｅｙ１６１１、Ｓｕｂｂｙｔｅ１６１２、ＳｈｉｆｔＲｏｗ１６１３、およびＭｉｘＣｏｌｕｍｎ１６１４の処理が、この順序でＮ−１回繰り返される。
次に、ＲｏｕｎｄＫｅｙ１６１５、Ｓｕｂｂｙｔｅ１６１６、ＳｈｉｆｔＲｏｗ１６１７、およびＲｏｕｎｄＫｅｙ１６１８の処理が実行され、暗号文が出力される。繰り返し回数Ｎは、秘密鍵のビット長によって異なり、１２８ビットの場合はＮ＝１０、１９２ビットの場合はＮ＝１２、２５６ビットの場合はＮ＝１４である。
ＲｏｕｎｄＫｅｙ処理では、図１７に示すように、１２８ビットの入力データと１２８ビットの拡大鍵の排他的論理和（ＸＯＲ）が計算され、出力データとして出力される。Ｓｕｂｂｙｔｅ処理では、図１８に示すように、１６個の同じ非線形変換テーブル（Ｓｂｏｘ）１８０１−１〜１８０１−１６により、１２８ビットの入力データが１２８ビットの出力データに変換される。
ＳｈｉｆｔＲｏｗ処理では、図１９に示すように、１６個の８ビットデータｘj （ｊ＝０，１，．．．，１５）からなる入力データＸが、次式により、１６個の８ビットデータｙi （ｉ＝０，１，．．．，１５）からなる出力データＹに変換される。

ｙi ＝ｘj ，ｊ＝１３ｉ−４（ｍｏｄ １６） （１）

（１）式において、（ｍｏｄ １６）は、１６を法とする剰余演算を表している。
ＭｉｘＣｏｌｕｍｎ処理では、図２０に示すように、１６個の８ビットデータｘj （ｊ＝０，１，．．．，１５）からなる入力データから、１６個の８ビットデータｙj からなる出力データが生成される。このとき、４個の乗算器２００１−１〜２００１−４を用いて次式のような乗算が実行される。
（２）式は、図２０のＭｉｘｃｏｌｕｍｎ処理に含まれる４つの乗算器２００１−１〜２００１−４のそれぞれが演算する計算処理を表している。
次に、ＤＰＡによる秘密鍵解読方法について説明する。ＤＰＡは、図１５のラウンド処理１５０２に関する消費電力を測定することで、秘密鍵を解読する方法である。以下では、ＤＰＡを用いて解読を行うことができる共通鍵暗号処理の構成について、ＡＥＳに限定せずに説明を行う。
一般的な共通鍵暗号処理では、図２１の拡大鍵ＸＯＲ処理、図２２の線形変換処理、図２３の非線形変換処理の３つを組み合わせてラウンド処理を構成し、ラウンド処理が複数回繰り返し実行される。
拡大鍵ＸＯＲ処理は、図２１に示すように、入力データＸと拡大鍵ＫのＸＯＲの演算結果Ｚを出力する処理である。線形変換処理は、図２２に示すように、入力データＸに対して、Ｚ＝Ｌ（Ｘ）を満たすＺを出力する処理である。ＸＯＲ演算を
と記すことにすると、Ｌは、任意のＸおよびＹに関して次式を満たすような線形変換を表している。
具体的には、図１９のＳｈｉｆｔＲｏｗ処理のようなビット置換処理や、図２０のＭｉｘＣｏｌｕｍｎ処理のような行列演算等がＬに該当する。
非線形変換処理は、図２３に示すように、入力データＸに対してＺ＝Ｗ（Ｘ）を満たすＺを出力する処理である。このとき、Ｗは、任意のＸおよびＹに関して次式を満たさない非線形変換を表している。
具体的には、Ｓｂｏｘと呼ばれる非線型変換テーブル索引でＷを実現する場合が多い。この場合、入力データＸをＸ＝ｘ0 x1 ．．．xu-1 のようにｕ個に分割し、Ｓｂｏｘを表すｗj （ｊ＝０，１，．．．，ｕ−１）を用いてｚj ＝ｗj （ｘj ）で表されるｚj を計算し、再びＺ＝ｚ0 ｚ1 ．．．ｚu-1 のように結合して、得られたデータＺを出力する。
次に、上記処理を組み合わせた共通鍵暗号処理に対する、ＤＰＡを用いた解読法につい
て説明する。ここでは、最も簡単な例として、図２１と図２３の処理を組み合わせた図２４のような処理に対して、ＤＰＡを用いることで拡大鍵Ｋを解読できることを示す。なお、図２４の処理は、ＡＥＳにおけるＲｏｕｎｄＫｅｙ処理（図１７）とＳｕｂｂｙｔｅ処理（図１８）を組み合わせた処理と等価である。
図２４の構成において、ｗj の入出力に関係するビットのみを取り出した構成を図２５に示す。図２５において、ｍj は平文等の既知の値、ｋj は未知の値、ｗj は既知のＳｂｏｘを表すものと仮定する。この仮定の下で、ＤＰＡにより拡大鍵ｋj を推定できることを示す。
ＤＰＡは、電力消費データの測定と、電力差分データを用いた拡大鍵の解析という２段階から構成される。電力消費データの測定において、ある平文を与えたときに暗号プロセッサが消費する電力消費データは、オシロスコープ等を用いれば、図２６示すような電力消費曲線として測定される。平文の値を様々に変えながらこのような測定を繰り返し、十分な回数の測定データが得られた時点で測定を終了する。この一連の測定で得られた電力消費曲線の集合をＧとする。
次に、電力消費曲線を用いた拡大鍵の解析について説明する。まず、暗号処理内部で用いられている拡大鍵ｋj について、ｋj ＝ｋ’j であるという仮定を立てる。ｍj とｗj は既知のため、このｋ’j の仮定に基づき、集合Ｇは、以下のＧ0 （ｋ’ j ）およびＧ1
（ｋ’ j ）の２種類の集合に分類できる。
そして、以下に示す電力差分曲線ＤＧ（ｋ’ j ）を作成する。

ＤＧ（ｋ’ j ）＝（集合Ｇ1 に属する電力消費曲線の平均）
−（集合Ｇ0 に属する電力消費曲線の平均） （７）

もしこの仮定が正しい、すなわち、ｋ’j ＝ｋj であるとすると、電力差分曲線ＤＧ（ｋ’ j ）には、図２７に示すようなスパイクが現われる。もしこの仮定が誤り、すなわちｋ’j ≠ｋj であるとすると、図２８に示すように、ＤＧ（ｋ’ j ）はスパイクが現れない平坦な曲線となる。よって、仮定したｋ’j から図２７のような電力差分曲線が得られれば、拡大鍵ｋj を解読できたことになる。
このようなｋj の解読を各ｊについて行えば、最終的に、図２４における拡大鍵Ｋを解読することができる。この解読を、拡大鍵０，拡大鍵１，．．．，拡大鍵Ｎについて繰り返すことで、秘密鍵を解読することができる。なお、ＡＥＳの場合、アルゴリズムの性質上、拡大鍵の先頭の値がそのまま秘密鍵の値であるため、秘密鍵が１２８ビットならば拡大鍵０を、秘密鍵が１９２ビットもしくは２５６ビットならば拡大鍵０と拡大鍵１を解読すれば、秘密鍵全体を解読することができる。
次に、ｋ’j ＝ｋj のときに電力差分曲線ＤＧ（ｋ’ j ）にスパイクが現れる理由について説明する。ｋ’j ＝ｋj の場合、（５）式および（６）式に従ってＧ0 （ｋ’ j ）およびＧ1 （ｋ’ j ）の分類を行うことで、ｚj に関して次式が成立する。

（Ｇ1 に属するｚj の平均ハミングウェイト）
−（Ｇ0 に属するｚj の平均ハミングウェイト）＝１ （８）
一方、ｋ’j ≠ｋj の場合、（８）式は成立せず、ランダムな分類を行うことになるので、次式が成立する。

（Ｇ1 に属するｚj の平均ハミングウェイト）
−（Ｇ0 に属するｚj の平均ハミングウェイト）＝０ （９）

ここで、ハミングウェイトとは、ある値をビット列で表現したときに、そのビット列に含まれるビット値‘１’の個数のことであり、例えば、ビット値（１１０１）2 のハミングウェイトは３である。
（８）式が成立する場合は、Ｇ1 （ｋ’ j ）とＧ0 （ｋ’ j ）の間でのロード値ｚj の平均ハミングウェイトに差が生じるが、（９）式が成立する場合は、Ｇ1 （ｋ’ j ）とＧ0 （ｋ’ j ）の間でのロード値ｚj の平均ハミングウェイトに差が生じない。
一般的に、消費電力はデータ値のハミングウェイトに比例すると考えられており、このことが正しいことを示した実験結果が、下記の非特許文献５にて示されている。したがって、ｋ’j ＝ｋj である場合、（８）式が満たされることで消費電力の差が電力差分曲線上のスパイクという形になって現れるが、（９）式の場合はスパイクが現れず、平坦な曲線となる。
以上では、最も簡単な図２４の構成に対するＤＰＡについて述べたが、このような解読法は、図２２のような線形変換を挿入しても有効であることが判明している。
図２９は、図２４を一般化した構成を示しており、拡大鍵ＸＯＲ処理の前後に２つの線形変換処理Ｌ1 およびＬ2 が挿入されている。例えば、入力をそのまま出力する関数をＬ1 とし、ビット転置置換関数をＬ2 とし、ＳＣ２０００のＢ関数と呼ばれるＳｂｏｘをｗj とすると、図２９はＳＣ２０００と等価な構成を表している。
なお、ＳＣ２０００の仕様については、下記の非特許文献６に示されている。Ｌ2 はビット置換関数であるので、図２９の処理は、ｗj の入出力に関係するビットのみを取り出した構成を考えることで、図２５と同一の処理に変換できる。したがって、前述と同様のＤＰＡを用いることで、拡大鍵Ｋを解読することができる。
以上の方法では、非線形処理中のＳｂｏｘ出力に注目してＤＰＡを適用しているが、その他にも、入力ｍj と鍵ｋj のＸＯＲ演算直後の値（拡大鍵ＸＯＲ処理の出力値）やＳｂｏｘへの入力値ｘj の値に注目してＤＰＡを適用する方法が知られている（例えば、下記の非特許文献７を参照）。
以上の記述を整理すると、次の条件を満たす場合にＤＰＡにより秘密鍵Ｋが推定される。
ＤＰＡ−１：入力Ｍが既知かつ制御可能、鍵Ｋが未知で固定、Ｓｂｏｘのｗj の変換が既知の場合、図３０のＡの部分（Ｓｂｏｘのｗj の出力）の電力消費曲線を測定することで、秘密鍵Ｋを推定可能である。
ＤＰＡ−２：入力Ｍが既知かつ制御可能、鍵Ｋが未知で固定の場合、図３０のＢの部分（拡大鍵ＸＯＲ処理の出力値の書き出し）の電力消費曲線を測定することで、秘密鍵Ｋを推定可能である。
ＤＰＡ−３：入力Ｍが既知かつ制御可能、鍵Ｋが未知で固定の場合、図１５のＣの部分（Ｓｂｏｘのｗj を索引するための入力値のロード）の電力消費曲線を測定することで、秘密鍵Ｋを推定可能である。
これらのＤＰＡ攻撃条件については、下記の特許文献１にも記載されている。
ＤＰＡを行うための消費電力測定法としては、２種類の方法が知られている。１つは、図３１に示すように、スマートカード３１０１の表面に抵抗３１０２を接続し、オシロスコープ３１０３により、抵抗３１０２の両端の電圧を測定する方法である。もう１つは、図３２に示すように、スマートカード３１０１の表面に、オシロスコープ３１０３に接続された電磁波プローブ３２０１を設置し、スマートカード３１０１から漏洩する電磁波を測定することで、消費電力を測定する方法である。
図３１の方法は、カード表面に抵抗を取り付けるだけでよいため、攻撃者の手間が少ないというメリットがある。ただし、カード全体の消費電力を測定するため、暗号処理とは関係のない消費電力も測定されてしまうというデメリットがある。
図３２の方法は、カードの消費電力を部分的に測定することができるため、測定精度が高いというメリットがある。例えば、スマートカード３１０１がＣＰＵ（中央処理装置）、ＲＡＭ（random access memory）、ＲＯＭ（read only memory）、演算器、および暗号プロセッサから構成される場合、電磁波プローブ３２０１を暗号プロセッサの近くに設置することで、ＣＰＵ、ＲＡＭ、ＲＯＭ、および演算器の消費電力成分を低く抑えながら、暗号処理に関する消費電力を重点的に測定することができる。電磁波の強度は、電流発生源からの距離の２乗に反比例するため、電磁波プローブ３２０１を電流発生源に近づけるほど電磁波が強くなるためである。
電磁波プローブ３２０１を設置する場所を慎重に選択することで、例えば、図１５における拡大鍵生成１５０１の消費電力を測定することなく、ラウンド処理１５０２のみの消費電力を測定することも可能であり、非常に精度の高いＤＰＡを実行することができる。デメリットは、電磁波プローブ３２０１の最適な設置場所を発見するために、電力測定実験を何回も繰り返すため、時間的なコストが大きいという点である。
次に、図３３から図３５までを参照しながら、従来のＤＰＡ対策法について説明する。ＤＰＡ対策法としては、スマートカード内にノイズ発生器を置く等の、電力消費量の測定精度を落とす方法と、暗号処理に対策を施し消費電力をランダム化する方法が存在する。前者は容易に実施可能であるが、例えば、図３２に示した電力測定法を用いることで解読が可能になるため、根本的な対策とはならない。これに対して、後者は、実施は容易でないが根本的な対策となる。
消費電力をランダム化する方法の代表的なものとして、マスク法（以下では、「従来例１」と記す）と呼ばれる方法が知られている（例えば、下記の非特許文献８を参照）。ＤＰＡ対策なしの暗号処理において計算されるデータをＭとすると、従来例１のＤＰＡ対策法では、データＭを計算する代わりに、次式で表されるデータＭ’およびＲを計算することで、暗号処理が行われる。
ただし、Ｒは乱数であり、暗号処理を実行する度に発生させる値である。この方法によれば、暗号処理のデータＭにランダムな値ＲをＸＯＲ演算することで、データＭがマスク
される。データがランダム化されることで消費電力もランダム化されるため、ＤＰＡに対して安全な処理を実現することができる。以下では、Ｒのように、ＤＰＡ対策なしのデータに対してＸＯＲ演算される値を、マスク値と呼ぶ。
この方法では、乱数Ｒの値に応じて、ラウンド処理の各段階でＭ’およびＲの２つのデータに対する演算をそれぞれ実行する必要があるため、データＭを直接計算する場合と比較して、処理時間が２倍以上になるという問題がある。
問題１：暗号処理の計算を２重化して行う必要があるため、処理時間が２倍以上となる。
この問題を解消するための方法が、上述した特許文献１に開示されている（以下では、「従来例２」と記す）。従来例１ではマスク値をランダムに生成しているのに対して、従来例２では、事前に計算された複数の固定値の中から、乱数によって１つを選択し、その値をマスク値として用いる。選択されたマスク値をＲx と表記すると、従来例２では、次式を満たすデータＭ’ x およびＲx が計算される。
Ｒx は事前に計算された値であるため、Ｍ’ x およびＲx の両方を計算する必要はなく、Ｍ’ x のみを計算すればよい。したがって、従来例２は、従来例１のように計算を２重化する必要はなく、高速な処理を実現することができる。
従来例２のＤＰＡ対策法を用いることで、図２４に示したＤＰＡ対策なしの暗号処理は、図３３に示すような暗号処理に置き換えられる。図３３は、図２４の処理を、ＡＥＳにおけるＲｏｕｎｄＫｅｙ処理とＳｕｂｂｙｔｅ処理の組み合わせとみなした場合の構成を示している。
図３３において、セレクタ３３０１−ｊおよび３３０６−ｊ（ｊ＝０，１，．．．，１５）（ｑ−１ ＭＵＸ）は、ｑ個の入力データの中から乱数ｊに応じて１つを選択し、出力する。デマルチプレクサ３３０４−ｊ（ｊ＝０，１，．．．，１５）（ｑ−１ ＤＥＭＵＸ）は、ｑ個の出力先の中から乱数ｊに応じて選択した出力先に、入力されたデータを出力する。
ＸＯＲ演算器３３０２−ｊは、８ビットごとに分割された拡大鍵Ｋ0 〜Ｋ15のうちＫj と、セレクタ３３０１−ｊにより定数ｃ0 〜ｃq-1 から選択された値のＸＯＲを計算することで、Ｋj をマスクする。ＸＯＲ演算器３３０３−ｊは、マスクされた拡大鍵と入力データのＸＯＲを計算する。
次に、ＸＯＲ演算器３３０３−ｊの演算結果に対して、Ｓｂｏｘ回路３３０５−ｊによる非線形変換処理が行われる。この処理では、乱数ｊに応じてｑ個のＳｂｏｘ（Ｓ’0 ［ｘ］〜Ｓ’q-1 ［ｘ］）の中から１つが選択され、そのＳｂｏｘを用いて入力データが変換される。この選択に使用される乱数ｊは、拡大鍵Ｋj のマスク値の選択に使用された乱数ｊと同じである。
Ｓ’0 ［ｘ］〜Ｓ’q-1 ［ｘ］は、それぞれ異なる定数ｄ0 〜ｄq-1 でマスクされている。すなわち、ＤＰＡ対策なしのＳｂｏｘをＳ［ｘ］とすると、Ｓ’i ［ｘ］（ｉ＝０，１，．．．，ｑ−１）は、次式のように表される。
Ｓｂｏｘ回路３３０５−ｊの入力側にデマルチプレクサ３３０４−ｊがあり、出力側にセレクタ３３０６−ｊがあるため、ｑ個のＳｂｏｘのうち拡大鍵ＸＯＲ演算の信号が伝達するのは１つだけである。ｑ個のＳｂｏｘの論理はそれぞれ異なるため、電力特性もそれぞれ異なる。このため、乱数によりこれらのうちの１つを選択することで、消費電力がランダム化され、ＤＰＡに対して安全な処理を実現することができる。
また、この方法は、図１５におけるラウンド処理１５０２に関する消費電力を直接的にランダム化するため、図３１および図３２に示した電力測定法の両方に対して安全な処理を実現することができる。ただし、図３３の構成は、ＤＰＡ対策なしのｑ倍のＳｂｏｘを必要とする。一般的に、Ｓｂｏｘの回路面積は非常に大きいため、図３３のＤＰＡ対策法には次のような問題がある。
問題２：ＤＰＡ対策なしのｑ倍のＳｂｏｘを必要とするため、回路面積が大きくなる。
この問題を解消する方法として、下記の特許文献２に記されたＤＰＡ対策法が知られている（以下では、「従来例３」と記す）。この方法は、図１５における拡大鍵生成１５０１の消費電力をランダム化する方法である。このメカニズムを説明するために、ＤＰＡ対策なしのＡＥＳにおける拡大鍵生成について説明する。
ＡＥＳにおける拡大鍵生成では、ラウンド処理と同様にＳｕｂｂｙｔｅ処理が実行されるが、この場合は、図３４に示すように、３２ビット単位によるＳｕｂｂｙｔｅ処理が実行される。従来例３では、図３４のＳｕｂｂｙｔｅ処理の消費電力をランダム化するために、図３５に示すような回路を用いる。
図３５の回路は、４つのＳｂｏｘ（Ｓ0 〜Ｓ3 ）と、乱数に応じて入力データＸの経路を選択する経路選択回路３５０１および３５０２から構成される。経路選択回路３５０１には、乱数とともに、３２ビットデータＸが４つの８ビットデータｘ0 〜ｘ3 に分割されて入力される。経路選択回路３５０１への入力時には、データがｘ0 ，ｘ1 ，ｘ2 ，ｘ3 の順番に並んでいるが、出力時にはこの順番が乱数に応じてランダムに並べ替えられる。図３５の例では、最上位ビットから見て、ｘ1 ，ｘ3 ，ｘ0 ，ｘ2 の順番に並べ替えられる。
データの順序が入れ替えられた後は、これらのデータに対してそれぞれＳ0 〜Ｓ3 で表されるＳｂｏｘ処理が行われる。これらのＳｂｏｘは、論理的にはＤＰＡ対策なしのＳｂｏｘと同じであるが、物理的に異なる形態で実装されるため、消費電力特性はそれぞれ異なる。例えば、Ｓ0 は論理回路で実装され、Ｓ1 はＳＲＡＭ（Static Random Access Memory ）で実装され、Ｓ2 はＭａｓｋ ＲＯＭで実装され、Ｓ3 はＦＬＡＳＨ ＲＯＭで実装される。
つまり、データｘj （ｊ＝０，１，２，３）を処理するＳｂｏｘがＳ0 〜Ｓ3 の中からランダムに選択されることで、消費電力がランダムに変化するため、ＤＰＡに対する安全性を向上させることができる。Ｓｂｏｘによる計算が終わった後は、経路選択回路３５０２によるデータ順序の入れ替えを行い、Ｓｂｏｘへの入力時にランダム化されたデータの順序を元に戻す。
この構成のメリットは、図３４のＤＰＡ対策なしの構成と比較してＳｂｏｘの個数が増えないため、回路面積の利用効率に優れていることである。図３３に示した従来例２の方
法では、ｑ個のＳｂｏｘのうちの１つしか暗号処理に使用されないのに対して、従来例３の方法では、経路選択回路の作用により、すべてのＳｂｏｘが暗号処理に使用されることになる。したがって、従来例３は従来例２が有している問題２を解決することができる。
特開２００２−３６６０２９号公報 特表２００５−５２７８５３号公報 Thomas S. Messerges, Ezzy A. Dabbish and Robert H. Sloan, "Power Analysis Attacks of Modular Exponentiation in Smartcards," Cryptographic Hardware and Embedded Systems (CHES’99), Springer-Verlag, pp. 144-157, 1999. Paul Kocher, Joshua Jaffe, and Benjamin Jun, "Differential Power Analysis," in proceedings of Advances in Cryptology-CRYPTO’99, Springer-Verlag, pp. 388-397, 1999. S. Chari, C. Jutla, J. R. Rao, P. Rohatgi, "An Cautionary Note Regarding Evaluation of AES Candidates on Smart-Cards," Second Advanced Encryption Standard Candidate Conference, February 1999. "Federal Information Processing Standards Publication 197"、［online］、［平成１８年１０月２日検索］、インターネット＜ＵＲＬ： http://csrc.nist.gov/publications/fips/fips197/fips-197.pdf＞ T. S. Messerges, Ezzy A. Dabbish and Robert H. Sloan, "Investigations of Power Attacks on Smartcards," Proceedings of USENIX Workshop on Smartcard Technology, May 1999. Takeshi Shimoyama, Hitoshi Yanami, Kazuhiro Yokoyama, Masahiko Takenaka, Kouichi Itoh, Jun Yajima, Naoya Torii and Hidema Tanaka, "The Block Cipher SC2000," Fast Software Encryption (FSE 2001), pp. 312-327, LNCS vol. 2355, 2002. M. Akkar, R. Bevan, P. Dischamp and D. Moyart, "Power Analysis, What Is Now Possible...," ASIACRYPT 2000, pp. 489-502, 2000. Thomas S. Messerges, "Securing the AES Finalists Against Power Analysis Attacks," in proceedings of Fast Software Encryption Workshop 2000, Springer-Verlag, pp. 150-164, 2001.
上述した従来例３のＤＰＡ対策法は、以下で述べる２つの新たな問題を有している。最初の問題は、次の通りである。
問題３：従来例３は、拡大鍵生成の消費電力のみをランダム化する方法であるため、ＤＰＡに対する安全性が低い。すなわち、図３１に示した方法により、スマートカード全体の消費電力を測定するＤＰＡを防ぐことはできるが、図３２に示した方法により、スマートカードの一部の回路の消費電力を測定するＤＰＡに対しては、安全ではない。
前述した通り、ＤＰＡは、図１５におけるラウンド処理１５０２の消費電力を測定することで、秘密鍵の解読を行う方法である。これに対して、従来例３は、拡大鍵生成１５０１の消費電力をランダム化できるが、ラウンド処理１５０２の消費電力をランダム化することはできない。
したがって、スマートカード全体の消費電力を測定するＤＰＡに対しては安全である。しかし、スマートカードの一部の回路の消費電力を測定するＤＰＡの場合、ラウンド処理１５０２の消費電力のみを測定することが可能であるため、安全ではない。
従来例３は、さらに次のような問題を有する。
問題４：従来例３の経路選択回路は、セレクタ回路やデマルチプレクサ回路の他に、入
力された乱数から選択信号を生成する回路を必要とするため、回路規模が大きくなる。
この問題を説明するために、従来例３の経路選択回路の構成例を図３６に示す。図３６は、上述した特許文献２の図１１に示された構成を示している。この構成は、選択信号生成回路３６０１および経路選択回路３６０２、３６０３からなる。選択信号生成回路３６０１は、乱数デコーダ３６１１およびインバータ回路３６１２を含み、経路選択回路３６０２は、セレクタ（４−１ ＭＵＸ）３６２１−１〜３６２１−４を含み、経路選択回路３６０３は、４入力１出力のセレクタ３６２２−１〜３６２２−４を含む。
不図示の乱数発生回路により９ビットの乱数が生成され、この乱数が乱数デコーダ３６１１に入力されると、乱数デコーダ３６１１から８ビットの信号が出力される。この８ビット信号は、経路選択回路３６０２に選択信号として入力される。経路選択回路３６０２のセレクタ３６２１−１〜３６２１−４のそれぞれに対して、２ビットの選択信号が割り当てられ、各セレクタ３６２１−ｊ（ｊ＝０，１，２，３）は、この選択信号に応じて入力信号ｘ0 〜ｘ3 の中から１つを選択し、出力する。
図３６の例では、セレクタ３６２１−１、３６２１−２、３６２１−３、および３６２１−４が、それぞれｘ1 、ｘ3 、ｘ0 、およびｘ2 を選択する。この選択動作は、４つのセレクタの間で出力信号が重複しないように行われる。なぜなら、出力信号が重複して、例えば、セレクタ３６２１−１、３６２１−２、３６２１−３、および３６２１−４が、それぞれｘ0 、ｘ3 、ｘ0 、およびｘ2 を選択した場合、ｘ1 に関するＳｂｏｘ処理が実行されないため、正常な暗号化結果を得ることができないからである。
例えば、図３６の４つのセレクタのうち、セレクタ３６２１−１によって入力信号ｘ1 が選択されているが、その他のセレクタ３６２１−２〜３６２１−４が入力信号ｘ1 を選択することはない。
乱数に応じてランダムな選択信号を生成しながら、ｘ0 〜ｘ3 に関する重複を避けることができるのは、乱数デコーダ３６１１が果たす機能によるものである。さらに、乱数デコーダ３６１１は、ランダムな選択信号に関する統計的な偏りを防ぐ役割も果たす。すなわち、ｘj を処理するＳｂｏｘが、Ｓ0 〜Ｓ3 の中からそれぞれ等しい確率１／４で選択されるようにすることで、統計的な偏りが抑えられ、ＤＰＡに対して安全な処理が実現される。
ｘ1 、ｘ3 、ｘ0 、およびｘ2 に対してそれぞれＳ1 、Ｓ2 、Ｓ3 、およびＳ4 によるＳｂｏｘ処理が行われた結果、信号ｚ1 、ｚ3 、ｚ0 、およびｚ2 が生成され、経路選択回路３６０３に入力される。
インバータ回路３６１２は、乱数デコーダ３６１１から出力された８ビット信号を反転し、得られた信号を選択信号として経路選択回路３６０３に出力する。この選択信号は、経路選択回路３６０２によってランダムに順序が入れ替えられた信号を元の順序に戻すための選択信号である。すなわち、信号ｚ1 、ｚ3 、ｚ0 、ｚ2 をｚ0 、ｚ1 、ｚ2 、ｚ3 の順番に戻すような選択信号が生成される。
インバータ回路３６１２により生成された８ビットの選択信号は、経路選択回路３６０３のセレクタ３６２２−１〜３６２２−４に２ビットずつ入力される。これにより、セレクタ３６２２−１、３６２２−２、３６２２−３、および３６２２−４は、それぞれｚ0 、ｚ1 、ｚ2 、およびｚ3 を選択する。
図３６の構成を用いることで、Ｓｂｏｘの個数を増やさずに消費電力をランダム化する
ことができる。一方で、ＤＰＡに対して安全な処理を実現するために、乱数を直接経路選択回路３６０２および３６０３に入力することができず、乱数デコーダ３６１１とインバータ回路３６１２からなる選択信号生成回路３６０１を必要とする。その結果、上述した問題４が生じる。
問題１によれば、従来例１は処理時間が２倍となること、問題２によれば、従来例２はＳｂｏｘがｑ倍必要であること、問題３によれば、従来例３はラウンド処理の消費電力をランダム化できないため、図３２に示したＤＰＡに対して弱いこと、問題４によれば、従来例３は選択信号生成回路を必要とする、ということが明らかになった。そこで、以下では、これらの問題を同時に解消する方法について考察する。
図３７は、３２ビットデータを対象として、従来例２と従来例３を単純に組み合わせた暗号化回路の構成を示している。この暗号化回路は、ＸＯＲ演算器３７０１−０〜３７０１−３、３７０２−０〜３７０２−３、セレクタ３７０３−０〜３７０３−３、選択信号生成回路３７０４、経路選択回路３７０５、３７０６、および４つのＳｂｏｘ（Ｓ0 〜Ｓ3 ）を備える。選択信号生成回路３７０４は、インバータ回路３７１１および乱数デコーダ３７１２を含む。
ＸＯＲ演算器３７０１−ｊ、３７０２−ｊおよびセレクタ３７０３−ｊ（ｊ＝０，１，２，３）の動作は、図３３のＸＯＲ演算器３３０２−ｊ、３３０３−ｊおよびセレクタ３３０１−ｊの動作と同様であり、選択信号生成回路３７０４、経路選択回路３７０５、３７０６、およびＳ0 〜Ｓ3 の動作は、図３６の選択信号生成回路３６０１、経路選択回路３６０２、３６０３、およびＳ0 〜Ｓ3 の動作と同様である。
この暗号化回路には、３２ビットデータＭが４つの８ビットデータｍ0 〜ｍ3 に分割されて入力され、８ビットの拡大鍵Ｋ0 〜Ｋ3 と乱数ｒ0 〜ｒ3 、ｒも入力される。ｘj はｍj とＫj のＸＯＲを表し、ＤＰＡ対策なしのＳｂｏｘをＳとすると、Ｓj ［ｘ］＝Ｓ［ｘ］である。また、ｃrjは、定数ｃ0 〜ｃ3 の中から乱数ｒj により選択されたマスク値を表している。
この構成では、問題３を解決するために、ＡＥＳのラウンド処理におけるＲｏｕｎｄＫｅｙ処理とＳｕｂｂｙｔｅ処理に対してそれぞれ消費電力のランダム化を行っている。ＲｏｕｎｄＫｅｙ処理に対する消費電力のランダム化は、従来例２の方法を用いており、Ｓｕｂｂｙｔｅ処理に対する消費電力のランダム化は、従来例３の方法を用いている。ＡＥＳのＳｕｂｂｙｔｅ処理に対して従来例３の方法を用いることで、問題２も解決される。
ただし、この構成には、マスク法のデータ処理条件を満たさないという問題がある。図３３に示した従来例２の説明で既に述べた通り、マスク法のデータ処理条件は、計算されるデータＴ’が、乱数によって選択されるマスク値Ｒx を用いて、次式で表されることである。
このＲx がＴおよびＴ’に依存せず、乱数によってのみ決定される値であれば、すべてのＡＥＳ暗号処理が終了した後に、次式により簡単にＴ’を元の値Ｔに戻すことができる。
Ｒx がＴおよびＴ’に依存する場合は、ＲｘをＴ’に応じて動的に計算する必要がある。この計算を実行するには計算の２重化が必要となるため、従来例２が本来解消するはずであった問題１を解決することができない。
図３７の構成がマスク法のデータ処理条件を満たさない理由は、ＲｏｕｎｄＫｅｙ処理においては、乱数で選択した定数によるマスク処理を行っているにもかかわらず、Ｓｕｂｂｙｔｅ処理では、マスクされていないＳｂｏｘを用いているためである。例えば、入力データの最上位８ビットｍ0 に対してＲｏｕｎｄＫｅｙ処理が行われることで、
が出力される。ただし、
である。
この後、乱数ｒに応じてデータ順序を入れ替える経路選択回路３７０５を経由して、データ
に対してＳ2 によるＳｂｏｘ処理が行われ、
が出力される。その後、経路選択回路３７０６により、
は再び最上位８ビットの位置に戻され、データが出力される。このとき、
は、マスク法のデータ処理条件を満たさない。なぜなら、
において、
であるが、Ｓは非線形変換関数であるため、
の関係は満たされず、Ｒx ＝Ｓ［ｃr0］が成立しないからである。つまり、Ｒx は乱数ｒ0 のみによって決定される値ではなく、データ値ｘ0 の影響を受けて変化する値であるということになる。
この問題を解決するための構成を図３８に示す。図３８は、従来例３をＡＥＳのラウンド処理におけるＳｕｂｂｙｔｅ処理に対して適用した構成を示している。ＲｏｕｎｄＫｅｙ処理は、ＤＰＡ対策なしの場合と同じ処理である。
図３７の構成とは異なり、ＲｏｕｎｄＫｅｙ処理においてｃrjによるマスクが付かないため、入力データｍ0 〜ｍ3 に対してそれぞれ出力データＳ［ｘ0 ］〜Ｓ［ｘ3 ］が得られる。したがって、
におけるＲx＝０の場合と等価な処理を実現できる。
ただし、この構成の場合、Ｓｕｂｂｙｔｅ処理の消費電力をランダム化することはできるが、ＲｏｕｎｄＫｅｙ処理の消費電力をランダム化することはできない。すなわち、図３０のＣおよびＡで示されるＳｂｏｘの入力および出力の消費電力をランダム化することはできるが、Ｂで示されるＸＯＲ演算の出力の消費電力をランダム化することはできない。したがって、ＤＰＡ−２として述べたような脆弱性があるため、ＤＰＡに対する安全性を実現することができない。
このように、従来例２および従来例３をＡＥＳのラウンド処理に単純に適用しただけでは、上記問題１〜問題４をすべて解決したＤＰＡ対策を実現することができない。
本発明の課題は、共通鍵暗号処理において、ＤＰＡのような電力解析攻撃に対する対策を施し、問題１〜問題４をできる限り解決可能な暗号化装置を提供することである。
図１は、本発明の暗号化装置の原理図である。図１の暗号化装置は、乱数発生手段１０１、第１の経路選択手段１０２−１、第２の経路選択手段１０２−２、第３の経路選択手段１０２−３、拡大鍵演算手段１０３、および非線形変換手段１０４を備え、共通鍵暗号の暗号処理を行う。
乱数発生手段１０１は、乱数を発生する。第１の経路選択手段１０２−１は、乱数の値に応じて、拡大鍵をマスクするための複数の拡大鍵マスク値からなるデータ列をランダムに並べ替えて出力する。拡大鍵演算手段１０３は、第１の経路選択手段１０２−１から出力される複数の拡大鍵マスク値と、拡大鍵を表すデータ列と、入力データ列との排他的論理和を生成する。
第２の経路選択手段１０２−２は、乱数の値に応じて第１の経路選択手段１０２−１とは逆の並べ替えを行うことで、排他的論理和のデータ列を並べ替えて出力する。非線形変換手段１０４は、第２の経路選択手段１０２−２から出力されるデータ列の非線形変換を行って、複数の非線形変換マスク値によりマスクされたデータ列を出力する。第３の経路選択手段１０２−３は、乱数の値に応じて第１の経路選択手段１０２−１と同じ並べ替えを行うことで、非線形変換手段１０４から出力されるデータ列を並べ替えて出力する。
第２の経路選択手段１０２−２が第１の経路選択手段１０２−１とは逆の並べ替えを行うため、非線形変換手段１０４に入力されるデータ列においては、第１の経路選択手段１０２−１に入力された複数の拡大鍵マスク値の順序が保存されている。したがって、これらの拡大鍵マスク値の影響をあらかじめ考慮に入れた、マスク付き非線形変換テーブルを非線形変換手段１０４に設定しておくことが可能になる。
このとき、（１３）式のＲx がＴおよびＴ’に依存せず、乱数によってのみ決定される値になるように、マスク付き非線形変換テーブルを調整すれば、マスク法のデータ処理条件が満たされ、問題１を解決することができる。
このようなマスク付き非線形変換テーブルを用いた場合、非線形変換手段１０４から出力されるデータ列は、第２の経路選択手段１０２−２から出力されるデータ列と上記複数の拡大鍵マスク値の排他的論理和を、マスクなしの非線形変換テーブルにより変換した結果と、上記複数の非線形変換マスク値との排他的論理和を表すデータ列になる。
また、第３の経路選択手段１０２−２が第１の経路選択手段１０２−１と同じ並べ替え、すなわち、第２の経路選択手段１０２−１とは逆の並べ替えを行うため、第３の経路選択手段１０２−２から出力されるデータ列においては、拡大鍵演算手段１０３に入力された入力データ列の順序が保存されている。このため、図３３に示したような大規模なＳｂｏｘ回路を用いる必要がなく、問題２を解決することができる。
また、拡大鍵演算手段１０３の出力と非線形変換手段１０４の出力が共にマスク値によりマスクされているため、問題３を解決することができる。さらに、第１の経路選択手段１０２−１、第２の経路選択手段１０２−２、および第３の経路選択手段１０２−３は、乱数発生手段１０１からの乱数により直接制御されるため、選択信号生成回路が不要となり、問題４を解決することができる。
乱数発生手段１０１は、例えば、後述する図９の乱数発生器９０１に対応し、第１の経路選択手段１０２−１、第２の経路選択手段１０２−２、および第３の経路選択手段１０２−３は、例えば、後述する図２の経路選択回路２０３、２０４、および２０５にそれぞれ対応する。拡大鍵演算手段１０３は、例えば、ＸＯＲ演算器２０１および２０２に対応し、非線形変換手段１０４は、例えば、４つのマスク付きＳｂｏｘ（Ｓ’0 〜Ｓ’3 ）に対応する。
本発明によれば、代表的な共通鍵暗号アルゴリズムであるＡＥＳを始めとした暗号処理における秘密鍵の解読が困難になり、スマートカード等の組み込み機器の安全性を高めることができる。
以下、図面を参照しながら、本発明を実施するための最良の形態を詳細に説明する。
図２は、ＡＥＳのラウンド処理におけるＲｏｕｎｄＫｅｙ処理およびＳｕｂｂｙｔｅ処
理に対して、本発明のＤＰＡ対策を適用した暗号化回路の構成例を示している。この暗号化回路は、ＸＯＲ演算器２０１、２０２、経路選択回路２０３、２０４、２０５、および４つのマスク付きＳｂｏｘ（Ｓ’0 〜Ｓ’3 ）を備える。
Ｓ’0 〜Ｓ’3 は、従来例１と同様に、ＤＰＡ対策なしのＳｂｏｘ（Ｓ）、それぞれ異なる定数ｃj 、ｄj （ｊ＝０，１，２，３）に対して、次式を満たす。
（１５）式より、次式が成り立つ。
それぞれ異なる定数ｃj 、ｄj をマスク値として用いることで、４個のマスク付きＳｂｏｘの論理をそれぞれ異ならせることができ、消費電力のランダム化が実現される。
経路選択回路２０３は、ＲｏｕｎｄＫｅｙ処理の消費電力をランダム化するために用いられ、経路選択回路２０４および経路選択回路２０５は、Ｓｕｂｂｙｔｅ処理におけるＳｂｏｘ処理の消費電力をランダム化するために用いられる。３つの経路選択回路２０３〜２０５にはそれぞれ同一の乱数が入力され、入力された乱数がそのまま選択信号として用いられる。この乱数は、４ビットもしくは６ビットであるが、乱数のビット長は構成によって異なる。
次に、図２の暗号化回路の動作について説明する。この暗号化回路には、３２ビットデータＭおよび３２ビットの拡大鍵Ｋが入力される。３２ビットデータＭを４つの８ビットデータｍ0 〜ｍ3 で表し、拡大鍵Ｋを４つの８ビット拡大鍵Ｋ0 〜Ｋ3 で表すと、ｘj はｍj とＫj のＸＯＲを表している。
まず、経路選択回路２０３に乱数と４つの８ビットマスク値ｃ0 〜ｃ3 が入力されると、乱数に応じてマスク値の順序がランダムに入れ替えられる。図２の例では、ｃ0 ，ｃ1 ，ｃ2 ，ｃ3 がｃ2 ，ｃ0 ，ｃ3 ，ｃ1 の順番に並べ替えられて、ＸＯＲ演算器２０１に出力される。ＸＯＲ演算器２０１は、これらのマスク値と拡大鍵ＫのＸＯＲをＸＯＲ演算器２０２に出力し、ＸＯＲ演算器２０２は、ＸＯＲ演算器２０１の出力とデータＭのＸＯＲを出力する。
次に、ＸＯＲ演算器２０２の出力データに対して、経路選択回路２０４によりデータ順序の入れ替えが行われる。経路選択回路２０４は、入力された乱数に応じてデータの順序をランダムに入れ替え、Ｓ’0 〜Ｓ’3 に出力する。ただし、Ｓ’0 〜Ｓ’3 には、それぞれマスク値ｃ0 〜ｃ3 によりマスクされたデータが入力される。図２の例では、ＸＯＲ演算器２０２の出力データ
が
の順番に並べ替えられて、Ｓ’0 ，Ｓ’1 ，Ｓ’2 ，Ｓ’3 にそれぞれ入力される。
この順番が保証されるのは、経路選択回路２０４が経路選択回路２０３の逆変換を実行する回路になっているためである。経路選択回路２０４がこのような変換を行うことで、経路選択回路２０３により入れ替えられたマスク値ｃ0 〜ｃ3 に関するデータ順序が、Ｓｂｏｘへのデータ入力時にはｃ0 ，ｃ1 ，ｃ2 ，ｃ3 の順序に戻ることになる。
次に、Ｓ’0 ，Ｓ’1 ，Ｓ’2 ，Ｓ’3 によるＳｂｏｘ処理の結果、それぞれマスク値ｄ0 ，ｄ1 ，ｄ2 ，ｄ3 によりマスクされたデータが出力される。図２の例では、Ｓ’0 ，Ｓ’1 ，Ｓ’2 ，Ｓ’3 から、それぞれデータ
が出力される。
これらのデータに対して、経路選択回路２０５を用いた順序のランダム化を行うことで、ｘ0 〜ｘ3 に関するデータ順序が本来の順序であるｘ0 ，ｘ1 ，ｘ2 ，ｘ3 の順序に戻され、代わりにこれらのデータに付加されるマスク値の順序がランダム化される。図２の例では、経路選択回路２０５から、並べ替えられたデータ
が出力される。
これらの一連の処理は、マスク法のデータ処理条件を満たすため、上記問題１を解決することができる。また、必要なＳｂｏｘの個数がＤＰＡ対策なしの場合と同じ４個でよく、従来例１のようにｑ倍のＳｂｏｘが必要ではないため、問題２を解決することができる。また、ラウンド処理におけるＲｏｕｎｄＫｅｙ処理とＳｕｂｂｙｔｅ処理の両方の消費電力がランダム化されるため、問題３を解決することができる。さらに、乱数を直接経路選択回路２０３〜２０５に入力することができ、選択信号生成回路を用いる必要がないため、問題４を解決することができる。
以上により、図２に示した暗号化回路の構成は、従来の問題１〜問題４をすべて解決することができる。なお、問題４を解決するための経路選択回路２０３〜２０５の構成としては、複数の構成が考えられる。そこで、それぞれの構成について、図３から図８までを参照しながら説明する。
図３は、図２の経路選択回路２０４および２０５の第１の構成を示している。経路選択回路３０１および３０２は、経路選択回路２０４および２０５にそれぞれ対応している。なお、経路選択回路２０３は、経路選択回路２０５と同じ構成である。経路選択回路３０１は、２入力２出力の切替回路（２−２ ＭＵＸ）３１１〜３１４から構成され、経路選択回路３０２は、２入力２出力の切替回路３２１〜３２４から構成される。
切替回路３１１〜３１４および３２１〜３２４は、図４に示すように、２つの８ビット入力部Ｉ0 およびＩ1 と、２つの８ビット出力部Ｏ0 およびＯ1 を有し、選択信号ｒに応じて、２種類のスイッチングを行う。
１つはｒ＝０の場合であり、Ｏ0 ＝Ｉ0 ，Ｏ1 ＝Ｉ1 のスイッチングを行う。もう１つはｒ＝１の場合であり、Ｏ0 ＝Ｉ1 ，Ｏ1 ＝Ｉ0 のスイッチングを行う。すなわち、選択信号ｒが０か１かに応じて、入力データをそのまま出力するか、交差させてから出力するかを選択する。このような切替回路を用いて経路選択回路３０１および３０２を構成することで、外部から入力された乱数をそのまま選択信号として用いることができる。
図４の切替回路を用いた経路選択回路３０１および３０２の動作について説明する。経路選択回路３０１には、４つの８ビットデータｘ0 ，ｘ1 ，ｘ2 ，ｘ3 が入力され、経路選択回路３０２からは、４つの８ビットデータｚ0 ，ｚ1 ，ｚ2 ，ｚ3 が出力される。
経路選択回路３０１は、図３に示す通り、切替回路３１１および３１２を並列に並べた１段目の回路と、切替回路３１３および３１４を並列に並べた２段目の回路からなる。入力データは最上位からｘ0 ，ｘ1 ，ｘ2 ，ｘ3 の順に並んでおり、ｘ0 およびｘ1 はそれぞれ切替回路３１１のＩ0 およびＩ1 に入力され、ｘ2 およびｘ3 はそれぞれ切替回路３１２のＩ0 およびＩ1 に入力される。
切替回路３１１のＯ0 およびＯ1 は、それぞれ切替回路３１３のＩ0 および切替回路３１４のＩ0 に接続され、切替回路３１２のＯ0 およびＯ1 は、それぞれ切替回路３１３のＩ1 および切替回路３１４のＩ1 に接続されている。出力データは、最上位から切替回路３１３のＯ0 、Ｏ1 および切替回路３１４のＯ0 、Ｏ1 の順に出力される。
経路選択回路３０２の構成についても、経路選択回路３０１と同様である。経路選択回路３０２の出力データは、最上位からｚ0 ，ｚ1 ，ｚ2 ，ｚ3 の順に並んでおり、ｚ0 およびｚ1 はそれぞれ切替回路３２３のＯ0 およびＯ1 から出力され、ｚ2 およびｚ3 はそれぞれ切替回路３２４のＯ0 およびＯ1 から出力される。
経路選択回路３０１および３０２に対しては、外部から４つの１ビット乱数ｒ0 ，ｒ1 ，ｒ2 ，ｒ3 が入力され、それぞれの切替回路に対して乱数が１ビットずつ選択信号として入力される。ただし、経路選択回路３０２に対しては、経路選択回路３０１に入力される乱数が、１段目と２段目の間で逆転して入力される。
したがって、切替回路３１１、３１２、３１３、および３１４には、それぞれ乱数ｒ0 ，ｒ1 ，ｒ2 ，ｒ3 が入力され、切替回路３２１、３２２、３２３、および３２４には、それぞれ乱数ｒ1 ，ｒ3 ，ｒ0 ，ｒ2 が入力される。
経路選択回路３０１は、乱数ｒ0 〜ｒ3 に応じてデータｘ0 〜ｘ3 の順序をランダム化し、Ｓ’0 〜Ｓ’3 に出力する。Ｓ’0 〜Ｓ’3 は、ランダム化されたデータの非線形変換処理を行い、経路選択回路３０２は、乱数ｒ0 〜ｒ3 に応じて変換後のデータの順序をランダム化される前の状態に戻す。
このとき、経路選択回路３０１に入力された各データｘj の出力先は、乱数ｒ0 〜ｒ3 の中の２ビットの値に応じて、Ｓ’0 〜Ｓ’3 の中からランダムに選択される。
例えば、ｘ0 については、まず、乱数ｒ0 の値に応じて切替回路３１１のＯ0 またはＯ1 から出力される。Ｏ0 から出力された場合、ｘ0 はＳ’0 およびＳ’1 に接続されている切替回路３１３に入力され、さらに乱数ｒ1 の値に応じてＳ’0 またはＳ’1 に出力される。ｘ0 が切替回路３１１のＯ1 から出力された場合、ｘ0 はＳ’2 およびＳ’3 に接続されている切替回路３１４に入力され、さらに乱数ｒ3 の値に応じてＳ’2 またはＳ’3 に出力される。
つまり、最初の１ビット乱数ｒ0 によって、ｘ0 の出力先がＳ’0 〜Ｓ’3 の左半分（Ｓ’0 およびＳ’1 ）もしくは右半分（Ｓ’2 およびＳ’3 ）からランダムに選択され、次の１ビット乱数ｒ1 によって、さらに左半分（Ｓ’0 またはＳ’2 ）もしくは右半分（Ｓ’1 またはＳ’3 ）からランダムに選択される。
Ｓｂｏｘ処理が完了した後は、経路選択回路３０１とは、１段目と２段目が逆転した構
成の経路選択回路３０２による変換を行うことで、データがランダム化される前の順序に戻され、ｚ0 〜ｚ3 が出力される。
図３の構成を用いることで、４つの出力先Ｓ’0 〜Ｓ’3 を２ビットの乱数に応じて選択することができるため、乱数に偏りがない限り、ｘ0 の出力先がＳ’0 〜Ｓ’3 の中から均等に選択され、ＤＰＡに対して高い安全性を実現できる。
また、図３６に示した従来例３の構成では、４つの切替回路が同じデータを選択することがないように、入力された乱数から選択信号生成回路を介して選択信号を生成する必要があるのに対して、図３の構成では、２入力２出力の切替回路を用いているため、いかなる選択信号に対しても切替回路の出力データが重複することがない。したがって、乱数から選択信号を生成するための回路が不要となる。
さらに、図３の構成は、図３６と比較すると、経路選択回路の面積を２／３に削減することができる。図３６の経路選択回路３６０２および３６０３は、４個のセレクタ（４−１ ＭＵＸ）から構成されており、各セレクタは、図５に示すように、３個の２入力マルチプレクサ回路（２−１ ＭＵＸ）から構成される。これに対して、図３の経路選択回路３０１および３０２は、４個の切替回路（２−２ ＭＵＸ）から構成されており、各切替回路は、図６に示すように、２個の２入力マルチプレクサ回路から構成される。
したがって、図３６の経路選択回路３６０２および３６０３を構成するには、１２個の２入力マルチプレクサ回路が必要となるのに対して、図３の経路選択回路３０１および３０２を構成するには、８個の２入力マルチプレクサ回路で済むことになる。
以上のように、２入力２出力の切替回路を基本単位として経路選択回路を構成することで、入力データがＳ’0 〜Ｓ’3 に対して均等に配分されるため、ＤＰＡに対して安全な暗号処理を実現することができ、かつ、選択信号生成回路が不要になるため、問題４を解決することができる。
ところで、図３の経路選択回路３０１および３０２は、４ビットの乱数ｒ0 〜ｒ3 に応じてデータ順序のランダム化を行うため、２4 ＝１６通りの並べ替えを行うことができる。この数は、４つのデータの並べ替えの総当りパターン数である４！＝１×２×３×４＝２４通りより少ない。並べ替えの総数が多いほど消費電力がランダムに変化するパターンが多くなるので、変化パターンの予測が困難になり、より一層安全性を高めることができる。そこで、乱数に応じて２４通りの全パターンの並べ替えを行うことが望ましい。
図７は、２４通りの並べ替えを行うことが可能な、図２の経路選択回路２０４および２０５の第２の構成を示している。経路選択回路７０１および７０２は、経路選択回路２０４および２０５にそれぞれ対応している。なお、経路選択回路２０３は、経路選択回路２０５と同じ構成である。経路選択回路７０１は、２入力２出力の切替回路（２−２ ＭＵＸ）７１１〜７１６から構成され、経路選択回路７０２は、２入力２出力の切替回路７２１〜７２６から構成される。切替回路７１１〜７１６および７２１〜７２６の動作は、図４と同様である。
経路選択回路７０１には、４つの８ビットデータｘ0 ，ｘ1 ，ｘ2 ，ｘ3 が入力され、経路選択回路７０２からは、４つの８ビットデータｚ0 ，ｚ1 ，ｚ2 ，ｚ3 が出力される。
経路選択回路７０１は、図７に示す通り、切替回路７１１および７１２を並列に並べた１段目の回路と、切替回路７１３および７１４を並列に並べた２段目の回路と、切替回路
７１５および７１６を並列に並べた３段目の回路からなる。入力データは最上位からｘ0 ，ｘ1 ，ｘ2 ，ｘ3 の順に並んでおり、ｘ0 およびｘ1 はそれぞれ切替回路７１１のＩ0 およびＩ1 に入力され、ｘ2 およびｘ3 はそれぞれ切替回路７１２のＩ0 およびＩ1 に入力される。
切替回路７１１のＯ0 およびＯ1 は、それぞれ切替回路７１３のＩ0 および切替回路７１４のＩ0 に接続され、切替回路７１２のＯ0 およびＯ1 は、それぞれ切替回路７１３のＩ1 および切替回路７１４のＩ1 に接続されている。切替回路７１３のＯ0 およびＯ1 は、それぞれ切替回路７１６のＩ1 および切替回路７１５のＩ0 に接続され、切替回路７１４のＯ0 およびＯ1 は、それぞれ切替回路７１５のＩ1 および切替回路７１６のＩ0 に接続されている。出力データは、最上位から切替回路７１５のＯ0 、Ｏ1 および切替回路７１６のＯ0 、Ｏ1 の順に出力される。
経路選択回路７０２は、切替回路７２１および７２２を並列に並べた１段目の回路と、切替回路７２３および７２４を並列に並べた２段目の回路と、切替回路７２５および７２６を並列に並べた３段目の回路からなる。Ｓ’0 およびＳ’1 から出力されたデータは、それぞれ切替回路７２１のＩ0 およびＩ1 に入力され、Ｓ’2 およびＳ’3 から出力されたデータは、それぞれ切替回路７２２のＩ0 およびＩ1 に入力される。
切替回路７２１のＯ0 およびＯ1 は、それぞれ切替回路７２３のＩ1 および切替回路７２４のＩ0 に接続され、切替回路７２２のＯ0 およびＯ1 は、それぞれ切替回路７２４のＩ1 および切替回路７２３のＩ0 に接続されている。切替回路７２３のＯ0 およびＯ1 は、それぞれ切替回路７２５のＩ0 および切替回路７２６のＩ0 に接続され、切替回路７２４のＯ0 およびＯ1 は、それぞれ切替回路７２５のＩ1 および切替回路７２６のＩ1 に接続されている。
出力データは、最上位からｚ0 ，ｚ1 ，ｚ2 ，ｚ3 の順に並んでおり、ｚ0 およびｚ1 はそれぞれ切替回路７２５のＯ0 およびＯ1 から出力され、ｚ2 およびｚ3 はそれぞれ切替回路７２６のＯ0 およびＯ1 から出力される。
経路選択回路７０１および７０２に対しては、外部から４つの１ビット乱数ｒ0 ，ｒ1 ，ｒ2 ，ｒ3 ，ｒ4 ，ｒ5 が入力され、それぞれの切替回路に対して乱数が１ビットずつ選択信号として入力される。ただし、経路選択回路７０２に対しては、経路選択回路７０１に入力される乱数が、１段目と３段目の間で逆転して入力される。
したがって、切替回路７１１、７１２、７１３、７１４、７１５、および７１６には、それぞれ乱数ｒ0 ，ｒ1 ，ｒ2 ，ｒ3 ，ｒ4 ，ｒ5 が入力され、切替回路７２１、７２２、７２３、７２４、７２５、および７２６には、それぞれ乱数ｒ2 ，ｒ5 ，ｒ1 ，ｒ4 ，ｒ0 ，ｒ3 が入力される。
経路選択回路７０１は、乱数ｒ0 〜ｒ5 に応じてデータｘ0 〜ｘ3 の順序をランダム化し、Ｓ’0 〜Ｓ’3 に出力する。Ｓ’0 〜Ｓ’3 は、ランダム化されたデータの非線形変換処理を行い、経路選択回路７０２は、乱数ｒ0 〜ｒ5 に応じて変換後のデータの順序をランダム化される前の状態に戻す。
この過程において、乱数ｒ0 〜ｒ5 と、経路選択回路７０１の出力データ順序の対応関係を、図８に示す。例えば、ｒ0 ｜ｒ1 ｜ｒ2 ｜ｒ3 ｜ｒ4 ｜ｒ5 ＝００００００の場合、データｘ0 ，ｘ1 ，ｘ2 ，ｘ3 が並べ替えられた結果、Ｓ’0 ，Ｓ’1 ，Ｓ’2 ，Ｓ’3 に対してそれぞれｘ2 ，ｘ1 ，ｘ3 ，ｘ0 が出力される。
図８の対応関係より、ｘj はＳ’0 〜Ｓ’3 に対してそれぞれ確率１／４で出力されるため、乱数に対して均等な分布が得られ、ＤＰＡに対して安全な処理を実現することができる。また、データｘ0 〜ｘ3 の並べ替えのパターンは２４通り存在するため、図３に示した構成よりさらに高い安全性を実現することができる。
回路規模については、図３６の従来例３と図７の構成を比較した場合、図７の構成では選択信号生成回路が不要になる。ただし、図３の構成とは異なり、経路選択回路７０１および７０２の回路規模は、従来例３と同一である。図３６の経路選択回路３６０２および３６０３には４個のセレクタが含まれており、図７の経路選択回路７０１および７０２には６個の切替回路が含まれている。ここで、セレクタと切替回路の回路規模の比率は、図５と図６より３：２であることから、経路選択回路全体の比率は、４×３：６×２＝１２：１２となり、両者の回路規模は同一であるとの結論が導かれる。
次に、図９から図１３までを参照しながら、図２の暗号化回路を利用したＡＥＳのラウンド処理回路について説明する。
図９は、このようなラウンド処理回路の構成例を示している。このラウンド処理回路は、乱数発生器９０１、分割回路９０２〜９０５、結合回路９０６、ＸＯＲ演算器９０７、９０９、９１０、９２１、９２３、９２４、９３０、９３１、９３５、経路選択回路９０８、９１１、９１２、９１４、９１５、９１８、９２２、９２５、９２７、９２９、９３３、９３４、Ｓｂｏｘ回路９１３、９２６、ＳｈｉｆｔＲｏｗ回路９１６、９１９、９２８、９３２、およびＭｉｘＣｏｌｕｍｎ回路９１７、９２０を備え、１２８ビットの平文Ｍと、Ｎ＋１個の１２８ビット拡大鍵ＥＫi （ｉ＝０，１，．．，Ｎ）を入力として、１２８ビットの暗号文Ｅを出力する。
ＡＥＳのラウンド処理は、アルゴリズム的には１２８ビット単位の処理を実行するが、実装上では１２８ビットをｂビットごとに分割して処理することにより、必要な回路面積を削減した形態が一般的に用いられる。ｂ＝３２，６４，１２８がよく用いられる値である。
このようなビット分割は、分割回路９０２〜９０５により行われ、これらの回路により、１２８ビットの平文Ｍと１２８ビットの拡大鍵ＥＫi がｂビット単位に分割された上で、ラウンド処理が実行される。そして、ラウンド処理が完了した後は、結合回路９０６により、データが１２８ビットに戻され、暗号文Ｅとして出力される。
このラウンド処理においては、それぞれ異なる定数マスク値ＦＭｉｎh 、ＦＭi,h 、ｃh 、ｄh （ｉ＝０，１，．．．，Ｎ，ｈ＝０，１，．．．，ｑ−１）と、次式で表されるマスクされたＳｂｏｘ（Ｓ’h ）と、複数の経路選択回路を用いた処理が行われる。
Ｎは、ラウンド処理における繰り返し回数、ｑは、定数マスク値およびＳｂｏｘの個数を表す。Ｓｂｏｘ回路９１３および９２６は、それぞれｑ個のＳｂｏｘ（Ｓ’0 〜Ｓ’q-1 ）から構成される。ｂ＝３２の場合ｑ＝４、ｂ＝６４の場合ｑ＝８、ｂ＝１２８の場合ｑ＝１６である。また、マスク値は、次式の条件を満たすものとする。
ｂ＝３２の場合、経路選択回路９０８、９１１、９１２、９１４、９１５、９１８、９２２、９２５、９２７、９２９、９３３、および９３４は、図３または図７に示した構成により実現できる。この場合、経路選択回路９１２および９２５の構成は、図３の経路選択回路３０１または図７の経路選択回路７０２と同じであり、経路選択回路９１４および９２７の構成は、図３の経路選択回路３０２または図７の経路選択回路７０２と同じである。なお、経路選択回路９０８、９１１、９１５、９１８、９２２、９２９、９３３、および９３４の構成は、経路選択回路９１４と同じである。
ｂ＝６４，１２８の場合、図３または図７に示した構成を複数組み合わせた構成が必要となる。この場合の構成については、後述することにする。
以下では、図９のラウンド処理回路の動作について説明する。乱数発生器９０１は、４×（ｂ／３２）ビットもしくは６×（ｂ／３２）ビットの乱数を生成し、すべての経路選択回路９０８、９１１、９１２、９１４、９１５、９１８、９２２、９２５、９２７、９２９、９３３、および９３４に出力する。経路選択回路９０８、９１１、９１５、９１８、９２２、９２９、９３３、および９３４は、この乱数を選択信号として用いて、ランダムなマスク値を生成する。
分割回路９０２は、入力された平文Ｍをｂビット単位で分割し、ＸＯＲ演算器９０７に出力する。経路選択回路９０８は、乱数に応じてマスク値ＦＭｉｎ0 〜ＦＭｉｎq-1 の順序をランダム化し、ＸＯＲ演算器９０７に出力する。ＸＯＲ演算器９０７は、分割回路９０２の出力と経路選択回路９０８の出力のＸＯＲを出力することで、ＦＭｉｎ0 〜ＦＭｉｎq-1 によるマスク処理を行う。
次に、ＲｏｕｎｄＫｅｙ処理が行われる。この処理では、分割回路９０３は、拡大鍵ＥＫi をｂビット単位で分割し、ＸＯＲ演算器９０９に出力する。経路選択回路９１１は、乱数に応じてマスク値ＦＭi,0 〜ＦＭi,q-1 の順序をランダム化し、ＸＯＲ演算器９０９に出力する。ＸＯＲ演算器９０９は、分割回路９０３の出力と経路選択回路９１１の出力のＸＯＲを出力することで、ＦＭi,0 〜ＦＭi,q-1 によるマスク処理を行う。そして、ＸＯＲ演算器９１０は、ＸＯＲ演算器９０７の出力とＸＯＲ演算器９０９の出力のＸＯＲを出力する。
得られたＲｏｕｎｄＫｅｙ処理の結果に対して、次に、Ｓｕｂｂｙｔｅ処理が行われる。この処理では、経路選択回路９１２は、乱数に応じてデータの順序をランダム化し、Ｓｂｏｘ回路９１３に出力する。Ｓ’0 〜Ｓ’q-1 は、マスクされたＳｂｏｘ処理により得られたデータを出力し、経路選択回路９１４は、乱数に応じてそのデータの順序を入れ替えて出力する。
得られたＳｕｂｂｙｔｅ処理の結果に対して、ＳｈｉｆｔＲｏｗ回路９１９がＳｈｉｆｔＲｏｗ処理を行い、さらに、ＭｉｘＣｏｌｕｍｎ回路９２０がＭｉｘＣｏｌｕｍｎ処理を行って、得られたデータをＸＯＲ演算器９２１に出力する。
経路選択回路９１５は、乱数に応じてマスク値ｄ0 〜ｄq-1 の順序をランダム化し、ＳｈｉｆｔＲｏｗ回路９１６に出力する。この出力に対して、ＳｈｉｆｔＲｏｗ回路９１６がＳｈｉｆｔＲｏｗ処理を行い、さらに、ＭｉｘＣｏｌｕｍｎ回路９１７がＭｉｘＣｏｌｕｍｎ処理を行って、得られたデータをＸＯＲ演算器９２１に出力する。経路選択回路９１８は、乱数に応じてマスク値ＦＭｉｎ0 〜ＦＭｉｎq-1 の順序をランダム化し、ＸＯＲ演算器９２１に出力する。
３入力のＸＯＲ演算器９２１は、ＭｉｘＣｏｌｕｍｎ回路９１７の出力、ＭｉｘＣｏｌｕｍｎ回路９２０の出力、および経路選択回路９１８の出力のＸＯＲを出力する。このＸ
ＯＲ演算が必要な理由は、Ｓｂｏｘ回路９１３におけるマスク値の制約によるものである。つまり、Ｓ’0 〜Ｓ’q-1 の入力に対するマスク値は、定数ｃ0 〜ｃq-1 の順序をランダム化した値であり、出力に対するマスク値は、定数ｄ0 〜ｄq-1 の順序をランダム化した値である、という制約である。
ＭｉｘＣｏｌｕｍｎ回路９１７の出力は、Ｓ’0 〜Ｓ’q-1 の出力に対するマスクを一時的に無効化し、経路選択回路９１８の出力は、新しいマスク値を与える機能を果たす。したがって、ＸＯＲ演算器９２１の出力に対するマスク値は、ＦＭｉｎ0 〜ＦＭｉｎq-1 の順序をランダム化した値である。
ＸＯＲ演算器９２１の出力は、不図示の切替回路により、ＸＯＲ演算器９１０の入力にフィードバックされ、ＸＯＲ演算器９１０の出力においては、マスク値が
の順序をランダム化した値となる。（１８）式より、これはｃ0 〜ｃq-1 の順序をランダム化した値と等しいことになる。また、（１８）式は、ＸＯＲ演算器９２１からＸＯＲ演算器９１０へのフィードバック後のマスク値のみならず、ＸＯＲ演算器９０７からＸＯＲ演算器９１０に出力されたデータのマスク値（ｉ＝０）も同様に、ｃ0 〜ｃq-1 の順序をランダム化した値と等しくなることを示している。
こうして、ＲｏｕｎｄＫｅｙ、Ｓｕｂｂｙｔｅ、ＳｈｉｆｔＲｏｗ、およびＭｉｘＣｏｌｕｍｎからなる一連のループ処理が、ｉ＝０〜Ｎ−２についてＮ−１回繰り返された後、最終処理としてＲｏｕｎｄＫｅｙ、Ｓｕｂｂｙｔｅ、ＳｈｉｆｔＲｏｗ、およびＲｏｕｎｄＫｅｙの順に処理が行われる。
最初のＲｏｕｎｄＫｅｙ処理では、分割回路９０４は、拡大鍵ＥＫN-1 をｂビット単位で分割し、ＸＯＲ演算器９２３に出力する。経路選択回路９２２は、乱数に応じてマスク値ＦＭN-1,0 〜ＦＭN-1,q-1 の順序をランダム化し、ＸＯＲ演算器９２３に出力する。ＸＯＲ演算器９２３は、分割回路９０４の出力と経路選択回路９２２の出力のＸＯＲを出力することで、ＦＭN-1,0 〜ＦＭN-1,q-1 によるマスク処理を行う。そして、ＸＯＲ演算器９２４は、ｉ＝Ｎ−２のループにおけるＸＯＲ演算器９２１の出力と、ＸＯＲ演算器９２３の出力のＸＯＲを出力する。
得られたＲｏｕｎｄＫｅｙ処理の結果に対して、次に、Ｓｕｂｂｙｔｅ処理が行われる。この処理では、経路選択回路９２５は、乱数に応じてデータの順序をランダム化し、Ｓｂｏｘ回路９２６に出力する。Ｓ’0 〜Ｓ’q-1 は、マスクされたＳｂｏｘ処理により得られたデータを出力し、経路選択回路９２７は、乱数に応じてそのデータの順序を入れ替えて出力する。
得られたＳｕｂｂｙｔｅ処理の結果に対して、ＳｈｉｆｔＲｏｗ回路９２８がＳｈｉｆｔＲｏｗ処理を行い、得られたデータをＸＯＲ演算器９３１に出力する。
次のＲｏｕｎｄＫｅｙ処理では、分割回路９０５は、拡大鍵ＥＫN をｂビット単位で分割し、ＸＯＲ演算器９３０に出力する。経路選択回路９２９は、乱数に応じてマスク値ＦＭN,0 〜ＦＭN,q-1 の順序をランダム化し、ＸＯＲ演算器９３０に出力する。ＸＯＲ演算器９３０は、分割回路９０５の出力と経路選択回路９２９の出力のＸＯＲを出力することで、ＦＭN,0 〜ＦＭN,q-1 によるマスク処理を行う。そして、ＸＯＲ演算器９３１は、ＳｈｉｆｔＲｏｗ回路９２８の出力とＸＯＲ演算器９３０の出力のＸＯＲを出力する。
経路選択回路９３３は、乱数に応じてマスク値ｄ0 〜ｄq-1 の順序をランダム化し、Ｓ
ｈｉｆｔＲｏｗ回路９３２に出力する。この出力に対して、ＳｈｉｆｔＲｏｗ回路９３２がＳｈｉｆｔＲｏｗ処理を行って、得られたデータをＸＯＲ演算器９３５に出力する。経路選択回路９３４は、乱数に応じてマスク値ＦＭN,0 〜ＦＭN,q-1 の順序をランダム化し、ＸＯＲ演算器９３５に出力する。
３入力のＸＯＲ演算器９３５は、ＸＯＲ演算器９３１の出力、ＳｈｉｆｔＲｏｗ回路９３２の出力、および経路選択回路９３４の出力のＸＯＲを出力する。ＳｈｉｆｔＲｏｗ回路９３２の出力は、Ｓ’0 〜Ｓ’q-1 の出力に対するマスクを無効化するために用いられ、経路選択回路９３４の出力は、経路選択回路９２９によるマスクを無効化するために用いられる。ＸＯＲ演算器９３５によりこれらのマスクが無効化されることで、データに対するマスクが解除され、ＤＰＡ対策なしの場合と同じ処理結果が得られる。
結合回路９０６は、ｂビット単位で得られた１２８／ｂ個の処理結果を結合して、１２８ビットの暗号文Ｅを出力する。
以上が図９のラウンド処理回路の基本的な動作であるが、経路選択回路の具体的な構成は、処理単位であるビット数ｂの値によって異なる。ｂ＝３２の場合は、上述したように、図３または図７に示した構成を用いることができる。ｂ＝６４またはｂ＝１２８の場合は、例えば、図１０に示すような構成を用いることができる。
図１０は、ｂ＝３２の場合の経路選択回路をＰ個並列に並べた構成を示している。この場合、Ｐ＝ｂ／３２であり、３２ビット経路選択回路１００１−１〜１００１−Ｐは、ｂビットのデータを乱数に応じてランダムに並べ替えることができる。必要な乱数のビット長は、図３の３２ビット経路選択回路を用いた場合は４×（ｂ／３２）ビットとなり、図７の３２ビット経路選択回路を用いた場合は６×（ｂ／３２）ビットとなる。
図１０の構成において消費電力がランダム化されるパターンの数は、３２ビット経路選択回路として図３の回路を用いた場合は１６(b/32)通りである。すなわち、ｂ＝６４の場合、１６2 ＝２５６通りとなり、ｂ＝１２８の場合、１６4 ＝６５５３６通りとなる。このパターン数は、２入力２出力の切替回路を追加することでさらに増加させることができ、より一層安全性を高めることができる。
例えば、ｂ＝６４，１２８の場合は、図１１および１２に示すように、切替回路を１個追加することでパターン数が２倍となる。ただし、切替回路用の選択信号として、乱数を１ビット余分に入力する必要がある。
ｂ＝６４の経路選択回路は、図１１に示すように、２入力２出力の切替回路１１０１と３２ビット経路選択回路１１０２−１および１１０２−２からなる。切替回路１１０１は、２つの３２ビット入力部Ｉ0 およびＩ1 と、２つの３２ビット出力部Ｏ0 およびＯ1 を有し、１ビットの乱数が０の場合、Ｏ0 ＝Ｉ0 ，Ｏ1 ＝Ｉ1 のスイッチングを行い、その乱数が１の場合、Ｏ0 ＝Ｉ1 ，Ｏ1 ＝Ｉ0 のスイッチングを行う。Ｏ0 およびＯ1 からの出力データは、それぞれ経路選択回路１１０２−１および１１０２−２に出力される。これにより、パターン数は、２５６×２＝５１２通りとなる。
ｂ＝１２８の経路選択回路は、図１２に示すように、２入力２出力の切替回路１２０１と３２ビット経路選択回路１１０２−１〜１１０２−４からなる。切替回路１２０１は、２つの６４ビット入力部Ｉ0 およびＩ1 と、２つの６４ビット出力部Ｏ0 およびＯ1 を有し、１ビットの乱数が０の場合、Ｏ0 ＝Ｉ0 ，Ｏ1 ＝Ｉ1 のスイッチングを行い、その乱数が１の場合、Ｏ0 ＝Ｉ1 ，Ｏ1 ＝Ｉ0 のスイッチングを行う。
Ｏ0 からの出力データは、経路選択回路１２０２−１および１２０２−２に出力され、
Ｏ1 からの出力データは、経路選択回路１２０２−３および１２０２−４に出力される。これにより、パターン数は、６５５３６×２＝１３１０７２通りとなる。
さらに、ｂ＝１２８の場合は、図１３に示すように、切替回路を４個追加することでパターン数が１６倍となる。ただし、切替回路用の選択信号として、乱数を４ビット余分に入力する必要がある。
図１３の経路選択回路は、２入力２出力の切替回路１３０１−１〜１３０１−４と、３２ビット経路選択回路１３０２−１〜１３０２−４からなる。切替回路１３０１−１〜１３０１−４の動作は、図１１の切替回路１１０１と同様である。１段目に並列に並んだ切替回路１３０１−１および１３０１−２は、１２８ビットの入力データを受け取り、２段目に並列に並んだ切替回路１３０１−３および１３０１−４は、１２８ビットのデータを経路選択回路１３０２−１〜１３０２−４に出力する。
入力データは最上位から切替回路１３０１−１のＩ0 、Ｉ1 および切替回路１３０１−２のＩ0 、Ｉ1 の順に並んでいる。切替回路１３０１−１のＯ0 およびＯ1 は、それぞれ切替回路１３０１−３のＩ0 および切替回路１３０１−４のＩ0 に接続され、切替回路１３０１−２のＯ0 およびＯ1 は、それぞれ切替回路１３０１−３のＩ1 および切替回路１３０１−４のＩ1 に接続されている。出力データは、最上位から切替回路１３０１−３のＯ0 、Ｏ1 および切替回路１３０１−４のＯ0 、Ｏ1 の順に出力される。
切替回路１３０１−３のＯ0 およびＯ1 からの出力データは、それぞれ経路選択回路１３０２−１および１３０２−２に出力され、切替回路１３０１−４のＯ0 およびＯ1 からの出力データは、それぞれ経路選択回路１３０２−３および１３０２−４に出力される。これにより、パターン数は、６５５３６×１６＝１０４８５７６通りとなる。
以上がＡＥＳのラウンド処理回路に関する説明であるが、本発明の技術はＡＥＳに限定されずに、その他の共通鍵ブロック暗号アルゴリズムに応用可能である。対象となる共通鍵ブロック暗号アルゴリズムは、ＤＰＡ対策なしの場合に、図２４または図２９に示したような構成を有し、かつ、すべての非線形変換テーブルｗ0 〜ｗu-1 が同一の非線形変換を行うようなアルゴリズムである。
この条件に該当するアルゴリズムとしては、ＡＥＳの他に、ＳＣ２０００が挙げられる。なぜなら、ＳＣ２０００の暗号処理の最初の部分において、Ｉ関数とＢ関数が連続する構成が、図２９の構成においてすべての非線形変換テーブルｗ0 〜ｗu-1 が同一である場合と等価な構成であるからである。
図１４は、前述した従来例１〜３と、図３、７、および１０〜１３に示した本発明の構成の効果を比較した結果を示している。図３、７、および１０〜１３に示した経路選択回路を用いることで、従来例１〜３が解決することができなかった問題１〜４のすべてを解決することができる。
（付記１）共通鍵暗号の暗号処理を行う暗号化装置であって、
乱数を発生する乱数発生手段と、
前記乱数の値に応じて、拡大鍵をマスクするための複数の拡大鍵マスク値からなるデータ列をランダムに並べ替えて出力する第１の経路選択手段と、
前記第１の経路選択手段から出力される複数の拡大鍵マスク値と、前記拡大鍵を表すデータ列と、入力データ列との排他的論理和を生成する拡大鍵演算手段と、
前記乱数の値に応じて前記第１の経路選択手段とは逆の並べ替えを行うことで、前記排他的論理和のデータ列を並べ替えて出力する第２の経路選択手段と、
前記第２の経路選択手段から出力されるデータ列の非線形変換を行って、複数の非線形変換マスク値によりマスクされたデータ列を出力する非線形変換手段と、
前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、前記非線形変換手段から出力されるデータ列を並べ替えて出力する第３の経路選択手段と
を備えることを特徴とする暗号化装置。
（付記２）前記非線形変換手段から出力されるデータ列は、前記第２の経路選択手段から出力されるデータ列と前記複数の拡大鍵マスク値の排他的論理和をマスクなし非線形変換テーブルにより変換した結果と、前記複数の非線形変換マスク値との排他的論理和を表すことを特徴とする付記１記載の暗号化装置。
（付記３）前記複数の拡大鍵マスク値はそれぞれ異なる値であり、前記複数の非線形変換マスク値はそれぞれ異なる値であることを特徴とする付記２記載の暗号化装置。
（付記４）前記第１の経路選択手段、第２の経路選択手段、および第３の経路選択手段の各々は複数の切替手段を含み、各切替手段は、第１および第２の入力部と第１および第２の出力部を有し、前記乱数の値に応じて、該第１の入力部に入力されたデータを該第１の出力部から出力し、該第２の入力部に入力されたデータを該第２の出力部から出力する第１の切替動作と、該第１の入力部に入力されたデータを該第２の出力部から出力し、該第２の入力部に入力されたデータを該第１の出力部から出力する第２の切替動作の一方を行うことを特徴とする付記１、２、または３記載の暗号化装置。
（付記５）前記乱数は４個の値からなり、前記複数の切替手段は、該乱数の４個の値のそれぞれに応じて動作する第１、第２、第３、および第４の切替手段からなり、該第１の切替手段の第１および第２の出力部は、該第３の切替手段の第１の入力部および該第４の切替手段の第１の入力部にそれぞれ接続され、該第２の切替手段の第１および第２の出力部は、該第３の切替手段の第２の入力部および該第４の切替手段の第２の入力部にそれぞれ接続され、該第１の切替手段の第１および第２の入力部と該第２の切替手段の第１および第２の入力部に４個のデータがそれぞれ入力され、該第３の切替手段の第１および第２の出力部と該第４の切替手段の第１および第２の出力部から４個のデータがそれぞれ出力されることを特徴とする付記４記載の暗号化装置。
（付記６）前記乱数は６個の値からなり、
前記第１および第３の経路選択手段に含まれる複数の切替手段は、前記乱数の６個の値のそれぞれに応じて動作する第１、第２、第３、第４、第５、および第６の切替手段からなり、該第１の切替手段の第１および第２の出力部は、該第３の切替手段の第１の入力部および該第４の切替手段の第１の入力部にそれぞれ接続され、該第２の切替手段の第１および第２の出力部は、該第３の切替手段の第２の入力部および該第４の切替手段の第２の入力部にそれぞれ接続され、該第３の切替手段の第１および第２の出力部は、該第６の切替手段の第２の入力部および該第５の切替手段の第１の入力部にそれぞれ接続され、該第４の切替手段の第１および第２の出力部は、該第５の切替手段の第２の入力部および該第６の切替手段の第１の入力部にそれぞれ接続され、該第１の切替手段の第１および第２の入力部と該第２の切替手段の第１および第２の入力部に４個のデータがそれぞれ入力され、該第５の切替手段の第１および第２の出力部と該第６の切替手段の第１および第２の出力部から４個のデータがそれぞれ出力され、
前記第２の経路選択手段に含まれる複数の切替手段は、前記乱数の６個の値のそれぞれに応じて動作する第７、第８、第９、第１０、第１１、および第１２の切替手段からなり、該第７の切替手段の第１および第２の出力部は、該第９の切替手段の第２の入力部および該第１０の切替手段の第１の入力部にそれぞれ接続され、該第８の切替手段の第１および第２の出力部は、該第１０の切替手段の第２の入力部および該第９の切替手段の第１の入力部にそれぞれ接続され、該第９の切替手段の第１および第２の出力部は、該第１１の切替手段の第１の入力部および該第１２の切替手段の第１の入力部にそれぞれ接続され、該第１０の切替手段の第１および第２の出力部は、該第１１の切替手段の第２の入力部および該第１２の切替手段の第２の入力部にそれぞれ接続され、該第７の切替手段の第１および第２の入力部と該第８の切替手段の第１および第２の入力部に４個のデータがそれぞ
れ入力され、該第１１の切替手段の第１および第２の出力部と該第１２の切替手段の第１および第２の出力部から４個のデータがそれぞれ出力されることを特徴とする付記４記載の暗号化装置。
（付記７）前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、平文をマスクするための複数の平文マスク値からなるデータ列を並べ替えて出力する第４の経路選択手段と、
前記第４の経路選択手段から出力される複数の平文マスク値と、前記平文を表すデータ列との排他的論理和を生成し、前記入力データ列として前記拡大鍵演算手段に出力する平文演算手段と、
前記第３の経路選択手段から出力されるデータ列に対して、シフトロウ処理およびミクスコラム処理を行う第１の処理手段と、
前記第１の処理手段の処理結果と、該第１の処理手段の処理結果に対するマスクを解除するためのデータ列と、複数の新たなマスク値との排他的論理和を生成するマスク演算手段とをさらに備え、
前記非線形変換手段から出力されるデータ列は、前記第２の経路選択手段から出力されるデータ列と前記複数の拡大鍵マスク値と前記複数の平文マスク値の排他的論理和をマスクなし非線形変換テーブルにより変換した結果と、前記複数の非線形変換マスク値との排他的論理和を表し、前記マスク演算手段から出力される排他的論理和のデータ列が前記入力データ列として前記拡大鍵演算手段にフィードバックされ、０番目からＮ−２番目までのＮ−１個の拡大鍵のそれぞれについて、前記第１の経路選択手段、拡大鍵演算手段、第２の経路選択手段、非線形変換手段、第３の経路選択手段、第１の処理手段、およびマスク演算手段によるループ処理が繰り返されることを特徴とする付記１記載の暗号化装置。（付記８）前記複数の拡大鍵マスク値はそれぞれ異なる値であり、前記複数の平文マスク値はそれぞれ異なる値であり、前記複数の非線形変換マスク値はそれぞれ異なる値であることを特徴とする付記７記載の暗号化装置。
（付記９）前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、前記複数の平文マスク値からなるデータ列を並べ替え、得られたデータ列を前記複数の新たなマスク値として、前記マスク演算手段に出力する第５の経路選択手段をさらに備えることを特徴とする付記７または８記載の暗号化装置。
（付記１０）前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、前記複数の非線形変換マスク値からなるデータ列を並べ替えて出力する第６の経路選択手段と、
前記第６の経路選択手段から出力されるデータ列に対して、シフトロウ処理およびミクスコラム処理を行い、得られた処理結果を前記マスクを解除するためのデータ列として、前記マスク演算手段に出力する第２の処理手段とをさらに備えることを特徴とする付記７、８、または９記載の暗号化装置。
（付記１１）前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、Ｎ−１番目の拡大鍵をマスクするための複数の拡大鍵マスク値からなるデータ列を並べ替えて出力する第７の経路選択手段と、
前記第７の経路選択手段から出力される複数の拡大鍵マスク値と、前記Ｎ−１番目の拡大鍵を表すデータ列と、前記Ｎ−２番目の拡大鍵を用いたループ処理において前記マスク演算手段から出力される排他的論理和のデータ列との排他的論理和を生成する第１の演算手段と、
前記乱数の値に応じて前記第１の経路選択手段とは逆の並べ替えを行うことで、前記第１の演算手段から出力される排他的論理和のデータ列を並べ替えて出力する第８の経路選択手段と、
前記第８の経路選択手段から出力されるデータ列の非線形変換を行って、前記複数の非線形変換マスク値によりマスクされたデータ列を出力する後段の非線形変換手段と、
前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、前記後段の非線形変換手段から出力されるデータ列を並べ替えて出力する第９の経路選択手段と、
前記第９の経路選択手段から出力されるデータ列に対してシフトロウ処理を行う第３の処理手段と、
前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、Ｎ番目の拡大鍵をマスクするための複数の拡大鍵マスク値からなるデータ列を並べ替えて出力する第１０の経路選択手段と、
前記第１０の経路選択手段から出力される複数の拡大鍵マスク値と、前記Ｎ番目の拡大鍵を表すデータ列と、前記第３の処理手段の処理結果との排他的論理和を生成する第２の演算手段と、
前記第２の演算手段から出力される排他的論理和のデータ列と、前記第３の処理手段の処理結果に対するマスクを解除するためのデータ列と、前記Ｎ番目の拡大鍵に対するマスクを解除するためのデータ列との排他的論理和を生成し、暗号文として出力する第３の演算手段とをさらに備え、
前記後段の非線形変換手段から出力されるデータ列は、前記第８の経路選択手段から出力されるデータ列と、前記Ｎ−１番目の拡大鍵をマスクするための複数の拡大鍵マスク値と、前記複数の平文マスク値の排他的論理和を前記マスクなし非線形変換テーブルにより変換した結果と、前記複数の非線形変換マスク値との排他的論理和を表すことを特徴とする付記７、８、９、または１０記載の暗号化装置。
（付記１２）前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、前記Ｎ番目の拡大鍵をマスクするための複数の拡大鍵マスク値からなるデータ列を並べ替え、得られたデータ列を前記Ｎ番目の拡大鍵に対するマスクを解除するためのデータ列として、前記第３の演算手段に出力する第１１の経路選択手段をさらに備えることを特徴とする付記１１記載の暗号化装置。
（付記１３）前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、前記複数の非線形変換マスク値からなるデータ列を並べ替えて出力する第１２の経路選択手段と、
前記第１２の経路選択手段から出力されるデータ列に対してシフトロウ処理を行い、得られた処理結果を前記第３の処理手段の処理結果に対するマスクを解除するためのデータ列として、前記第３の演算手段に出力する第４の処理手段とをさらに備えることを特徴とする付記１１または１２記載の暗号化装置。
（付記１４）前記第１の経路選択手段、第２の経路選択手段、第３の経路選択手段、第４の経路選択手段、第７の経路選択手段、第８の経路選択手段、第９の経路選択手段、および第１０の経路選択手段の各々は１つ以上の単位データ列経路選択手段を含み、該単位データ列経路選択手段は複数の切替手段を含み、各切替手段は、第１および第２の入力部と第１および第２の出力部を有し、前記乱数の値に応じて、該第１の入力部に入力されたデータを該第１の出力部から出力し、該第２の入力部に入力されたデータを該第２の出力部から出力する第１の切替動作と、該第１の入力部に入力されたデータを該第２の出力部から出力し、該第２の入力部に入力されたデータを該第１の出力部から出力する第２の切替動作の一方を行うことを特徴とする付記１１記載の暗号化装置。
（付記１５）前記１つ以上の単位データ列経路選択手段のそれぞれに対して、前記乱数を構成する複数の値のうち異なる４個の値が入力され、前記複数の切替手段は、該乱数の４個の値のそれぞれに応じて動作する第１、第２、第３、および第４の切替手段からなり、該第１の切替手段の第１および第２の出力部は、該第３の切替手段の第１の入力部および該第４の切替手段の第１の入力部にそれぞれ接続され、該第２の切替手段の第１および第２の出力部は、該第３の切替手段の第２の入力部および該第４の切替手段の第２の入力部にそれぞれ接続され、該第１の切替手段の第１および第２の入力部と該第２の切替手段の第１および第２の入力部に４個のデータがそれぞれ入力され、該第３の切替手段の第１および第２の出力部と該第４の切替手段の第１および第２の出力部から４個のデータがそれぞれ出力されることを特徴とする付記１４記載の暗号化装置。
（付記１６）前記１つ以上の単位データ列経路選択手段のそれぞれに対して、前記乱数を構成する複数の値のうち異なる６個の値が入力され、
前記第１、第３、第４、第７、第９、および第１０の経路選択手段に含まれる複数の切替手段は、前記乱数の６個の値のそれぞれに応じて動作する第１、第２、第３、第４、第５、および第６の切替手段からなり、該第１の切替手段の第１および第２の出力部は、該第３の切替手段の第１の入力部および該第４の切替手段の第１の入力部にそれぞれ接続され、該第２の切替手段の第１および第２の出力部は、該第３の切替手段の第２の入力部および該第４の切替手段の第２の入力部にそれぞれ接続され、該第３の切替手段の第１および第２の出力部は、該第６の切替手段の第２の入力部および該第５の切替手段の第１の入力部にそれぞれ接続され、該第４の切替手段の第１および第２の出力部は、該第５の切替手段の第２の入力部および該第６の切替手段の第１の入力部にそれぞれ接続され、該第１の切替手段の第１および第２の入力部と該第２の切替手段の第１および第２の入力部に４個のデータがそれぞれ入力され、該第５の切替手段の第１および第２の出力部と該第６の切替手段の第１および第２の出力部から４個のデータがそれぞれ出力され、
前記第２および第８の経路選択手段に含まれる複数の切替手段は、前記乱数の６個の値のそれぞれに応じて動作する第７、第８、第９、第１０、第１１、および第１２の切替手段からなり、該第７の切替手段の第１および第２の出力部は、該第９の切替手段の第２の入力部および該第１０の切替手段の第１の入力部にそれぞれ接続され、該第８の切替手段の第１および第２の出力部は、該第１０の切替手段の第２の入力部および該第９の切替手段の第１の入力部にそれぞれ接続され、該第９の切替手段の第１および第２の出力部は、該第１１の切替手段の第１の入力部および該第１２の切替手段の第１の入力部にそれぞれ接続され、該第１０の切替手段の第１および第２の出力部は、該第１１の切替手段の第２の入力部および該第１２の切替手段の第２の入力部にそれぞれ接続され、該第７の切替手段の第１および第２の入力部と該第８の切替手段の第１および第２の入力部に４個のデータがそれぞれ入力され、該第１１の切替手段の第１および第２の出力部と該第１２の切替手段の第１および第２の出力部から４個のデータがそれぞれ出力されることを特徴とする付記１４記載の暗号化装置。
（付記１７）前記第１の経路選択手段、第２の経路選択手段、第３の経路選択手段、第４の経路選択手段、第７の経路選択手段、第８の経路選択手段、第９の経路選択手段、および第１０の経路選択手段の各々は、複数の単位データ列経路選択手段と、該複数の単位データ列経路選択手段に入力されるデータ列を、１つ以上の単位データ列からなる２つの部分に分割し、前記乱数を構成する複数の値のうちの１つに応じて該２つの部分の順序を入れ替えて、該複数の単位データ列経路選択手段に出力する切替手段とからなることを特徴とする付記１４、１５、または１６記載の暗号化装置。
（付記１８）前記第１の経路選択手段、第２の経路選択手段、第３の経路選択手段、第４の経路選択手段、第７の経路選択手段、第８の経路選択手段、第９の経路選択手段、および第１０の経路選択手段の各々は、４つの単位データ列経路選択手段と、該４つの単位データ列経路選択手段に入力されるデータ列を４つの単位データ列に分割し、前記乱数を構成する複数の値のうちの一部に応じて該４つの単位データ列の順序を入れ替えて、該４つの単位データ列経路選択手段に出力する切替手段とからなることを特徴とする付記１４、１５、または１６記載の暗号化装置。
（付記１９）共通鍵暗号の暗号処理を行う暗号化方法であって、
乱数を発生し、
前記乱数の値に応じて、拡大鍵をマスクするための複数の拡大鍵マスク値からなるデータ列をランダムに並べ替え、
並べ替えられた複数の拡大鍵マスク値と、前記拡大鍵を表すデータ列と、入力データ列との排他的論理和を生成し、
前記乱数の値に応じて前記複数の拡大鍵マスク値とは逆の並べ替えを行うことで、前記排他的論理和のデータ列を並べ替え、
並べ替えられたデータ列の非線形変換を行って、複数の非線形変換マスク値によりマスクされたデータ列を生成し、
前記乱数の値に応じて前記複数の拡大鍵マスク値と同じ並べ替えを行うことで、前記マ
スクされたデータ列を並べ替える
ことを特徴とする暗号化方法。
本発明の暗号化装置の原理図である。 本発明の暗号化回路の構成図である。 経路選択回路の第一の構成を表す図である。 切り替え回路を表す図である。 セレクタの構成図である。 切替回路の構成図である。 経路選択回路の第２の構成を示す図である。 経路選択回路の第２の構成の出力データ順序を示す図である。 本発明のＡＥＳラウンド処理回路の構成図である。 経路選択回路の第３の構成を示す図である。 経路選択回路の第４の構成を示す図である。 経路選択回路の第５の構成を示す図である。 経路選択回路の第６の構成を示す図である。 本発明の効果を示す図である。 共通鍵暗号処理の一般的な構成を示す図である。 ＡＥＳの構成を示す図である。 ＡＥＳにおけるＲｏｕｎｄＫｅｙ処理を示す図である。 ＡＥＳにおけるＳｕｂｂｙｔｅ処理を示す図である。 ＡＥＳにおけるＳｈｉｆｔＲｏｗ処理を示す図である。 ＡＥＳにおけるＭｉｘＣｏｌｕｍｎ処理を示す図である。 拡大鍵ＸＯＲ処理を示す図である。 線形変換処理を示す図である。 非線形変換処理を示す図である。 拡大鍵ＸＯＲ処理と非線形変換処理を組み合わせた処理を示す図である。 ｗj に関する処理を示す図である。 電力消費曲線を示す図である。 第１の電力差分曲線を示す図である。 第２の電力差分曲線を示す図である。 拡大鍵ＸＯＲ処理と線形変換処理と非線形変換処理を組み合わせた処理を示す図である。 電力測定の測定箇所を示す図である。 第１の電力測定法を示す図である。 第２の電力測定法を示す図である。 マスク値をランダムに選択する構成を示す図である。 拡大鍵生成におけるＳｕｂｂｙｔｅ処理を示す図である。 Ｓｕｂｂｙｔｅ処理の消費電力をランダム化する方法を示す図である。 従来の経路選択回路を示す図である。 第１の仮想的な暗号化回路の構成図である。 第２の仮想的な暗号化回路の構成図である。
符号の説明
１０１ 乱数発生手段
１０２−１ 第１の経路選択手段
１０２−２ 第２の経路選択手段
１０２−３ 第３の経路選択手段
１０３ 拡大鍵演算手段
１０４ 非線形変換手段
２０１、２０２、９０７、９０９、９１０、９２１、９２３、９２４、９３０、９３１、９３５、３３０２−０、３３０２−１５、３３０３−０、３３０３−１５、３７０１−０、３７０１−１、３７０１−２、３７０１−３、３７０２−０、３７０２−１、３７０２−２、３７０２−３ ＸＯＲ演算器
２０３、２０４、２０５、３０１、３０２、７０１、７０２、９０８、９１１、９１２、９１４、９１５、９１８、９２２、９２５、９２７、９２９、９３３、９３４、１００１−１、１００１−２、１００１−Ｐ、１１０２−１、１１０２−２、１２０２−１、１２０２−２、１２０２−３、１２０２−４、１３０２−１、１３０２−２、１３０２−３、１３０２−４、３５０１、３５０２、３６０２、３６０３、３７０５、３７０６ 経路選択回路
３１１、３１２、３１３、３１４、３２１、３２２、３２３、３２４、７１１、７１２、７１３、７１４、７１５、７１６、７２１、７２２、７２３、７２４、７２５、７２６、１１０１、１２０１、１３０１−１、１３０１−２、１３０１−３、１３０１−４ 切替回路
９０１ 乱数発生器
９０２、９０３、９０４、９０５ 分割回路
９０６ 結合回路
９１３、９２６、３３０５−０、３３０５−１５ Ｓｂｏｘ回路
９１６、９１９、９２８、９３２ ＳｈｉｆｔＲｏｗ回路
９１７、９２０ ＭｉｘＣｏｌｕｍｎ回路
１５０１、１６０１ 拡大鍵生成
１５０２、１６０２ ラウンド処理
１６１１ ＲｏｕｎｄＫｅｙ
１６１２ Ｓｕｂｂｙｔｅ
１６１３ ＳｈｉｆｔＲｏｗ
１６１４ ＭｉｘＣｏｌｕｍｎ
１８０１−１、１８０１−２、１８０１−１６、Ｓ、Ｓ0 、Ｓ1 、Ｓ2 、Ｓ3 、Ｓ’0 、Ｓ’1 、Ｓ’2 、Ｓ’3 、Ｓ’q-1 、ｗ0 、ｗ1 、ｗu-1 、ｗj Ｓｂｏｘ
２００１−１、２００１−４
３１０１ スマートカード
３１０２ 抵抗
３１０３ オシロスコープ
３２０１ 電磁波プローブ
３３０１−０、３３０１−１５、３３０６−０、３３０６−１５、３６２１−１、３６２１−２、３６２１−３、３６２１−４、３６２２−１、３６２２−２、３６２２−３、３６２２−４、３７０３−０、３７０３−１、３７０３−２、３７０３−３ セレクタ
３３０４−０、３３０４−１５ デマルチプレクサ
３６０１、３７０４ 選択信号生成回路
３６１１、３７１２ 乱数デコーダ
３６１２、３７１１ インバータ回路

Claims (5)

  1. 共通鍵暗号の暗号処理を行う暗号化装置であって、
    乱数を発生する乱数発生手段と、
    前記乱数の値に応じて、拡大鍵をマスクするための複数の拡大鍵マスク値からなるデータ列をランダムに並べ替えて出力する第１の経路選択手段と、
    前記第１の経路選択手段から出力される複数の拡大鍵マスク値と、前記拡大鍵を表すデータ列と、入力データ列との排他的論理和を生成する拡大鍵演算手段と、
    前記乱数の値に応じて前記第１の経路選択手段とは逆の並べ替えを行うことで、前記排他的論理和のデータ列を並べ替えて出力する第２の経路選択手段と、
    前記第２の経路選択手段から出力されるデータ列の非線形変換を行って、複数の非線形変換マスク値によりマスクされたデータ列を出力する非線形変換手段と、
    前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、前記非線形変換手段から出力されるデータ列を並べ替えて出力する第３の経路選択手段と
    を備えることを特徴とする暗号化装置。
  2. 前記非線形変換手段から出力されるデータ列は、前記第２の経路選択手段から出力されるデータ列と前記複数の拡大鍵マスク値の排他的論理和をマスクなし非線形変換テーブルにより変換した結果と、前記複数の非線形変換マスク値との排他的論理和を表すことを特徴とする請求項１記載の暗号化装置。
  3. 前記第１の経路選択手段、第２の経路選択手段、および第３の経路選択手段の各々は複数の切替手段を含み、各切替手段は、第１および第２の入力部と第１および第２の出力部を有し、前記乱数の値に応じて、該第１の入力部に入力されたデータを該第１の出力部から出力し、該第２の入力部に入力されたデータを該第２の出力部から出力する第１の切替動作と、該第１の入力部に入力されたデータを該第２の出力部から出力し、該第２の入力部に入力されたデータを該第１の出力部から出力する第２の切替動作の一方を行うことを特徴とする請求項１または２記載の暗号化装置。
  4. 前記乱数の値に応じて前記第１の経路選択手段と同じ並べ替えを行うことで、平文をマスクするための複数の平文マスク値からなるデータ列を並べ替えて出力する第４の経路選択手段と、
    前記第４の経路選択手段から出力される複数の平文マスク値と、前記平文を表すデータ列との排他的論理和を生成し、前記入力データ列として前記拡大鍵演算手段に出力する平文演算手段と、
    前記第３の経路選択手段から出力されるデータ列に対して、シフトロウ処理およびミクスコラム処理を行う第１の処理手段と、
    前記第１の処理手段の処理結果と、該第１の処理手段の処理結果に対するマスクを解除するためのデータ列と、複数の新たなマスク値との排他的論理和を生成するマスク演算手段とをさらに備え、
    前記非線形変換手段から出力されるデータ列は、前記第２の経路選択手段から出力されるデータ列と前記複数の拡大鍵マスク値と前記複数の平文マスク値の排他的論理和をマスクなし非線形変換テーブルにより変換した結果と、前記複数の非線形変換マスク値との排他的論理和を表し、前記マスク演算手段から出力される排他的論理和のデータ列が前記入力データ列として前記拡大鍵演算手段にフィードバックされ、０番目からＮ−２番目までのＮ−１個の拡大鍵のそれぞれについて、前記第１の経路選択手段、拡大鍵演算手段、第２の経路選択手段、非線形変換手段、第３の経路選択手段、第１の処理手段、およびマスク演算手段によるループ処理が繰り返されることを特徴とする請求項１記載の暗号化装置。
  5. 共通鍵暗号の暗号処理を行う暗号化装置によって実行される暗号化方法であって、
    乱数発生手段が、乱数を発生し、
    第１の経路選択手段が、前記乱数の値に応じて、拡大鍵をマスクするための複数の拡大鍵マスク値からなるデータ列をランダムに並べ替え、
    拡大鍵演算手段が、並べ替えられた複数の拡大鍵マスク値と、前記拡大鍵を表すデータ列と、入力データ列との排他的論理和を生成し、
    第２の経路選択手段が、前記乱数の値に応じて前記複数の拡大鍵マスク値とは逆の並べ替えを行うことで、前記排他的論理和のデータ列を並べ替え、
    非線形変換手段が、並べ替えられたデータ列の非線形変換を行って、複数の非線形変換マスク値によりマスクされたデータ列を生成し、
    第３の経路選択手段が、前記乱数の値に応じて前記複数の拡大鍵マスク値と同じ並べ替えを行うことで、前記マスクされたデータ列を並べ替える
    ことを特徴とする暗号化方法。
JP2006310716A 2006-11-16 2006-11-16 共通鍵暗号のための暗号化装置 Expired - Fee Related JP4909018B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2006310716A JP4909018B2 (ja) 2006-11-16 2006-11-16 共通鍵暗号のための暗号化装置
EP07120575.1A EP1924023A3 (en) 2006-11-16 2007-11-13 Encrypting apparatus for symmetric key cipher
US11/941,663 US8218762B2 (en) 2006-11-16 2007-11-16 Encrypting apparatus for common key cipher

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2006310716A JP4909018B2 (ja) 2006-11-16 2006-11-16 共通鍵暗号のための暗号化装置

Publications (2)

Publication Number Publication Date
JP2008131108A JP2008131108A (ja) 2008-06-05
JP4909018B2 true JP4909018B2 (ja) 2012-04-04

Family

ID=39135170

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006310716A Expired - Fee Related JP4909018B2 (ja) 2006-11-16 2006-11-16 共通鍵暗号のための暗号化装置

Country Status (3)

Country Link
US (1) US8218762B2 (ja)
EP (1) EP1924023A3 (ja)
JP (1) JP4909018B2 (ja)

Families Citing this family (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090245510A1 (en) * 2008-03-25 2009-10-01 Mathieu Ciet Block cipher with security intrinsic aspects
JP4687775B2 (ja) * 2008-11-20 2011-05-25 ソニー株式会社 暗号処理装置
JP5202350B2 (ja) * 2009-01-16 2013-06-05 三菱電機株式会社 暗号処理装置及び暗号処理方法及び暗号処理プログラム
KR101715027B1 (ko) * 2009-03-10 2017-03-22 이르데토 비.브이. 입력 의존형 인코딩들을 이용한 화이트-박스 암호화 시스템
JP5060570B2 (ja) * 2010-02-23 2012-10-31 株式会社東芝 暗号化装置および復号装置
US8707053B2 (en) * 2011-02-09 2014-04-22 Apple Inc. Performing boolean logic operations using arithmetic operations by code obfuscation
WO2012131926A1 (ja) * 2011-03-29 2012-10-04 富士通株式会社 暗号処理装置、認証方法およびプログラム
JP5481455B2 (ja) * 2011-09-27 2014-04-23 株式会社東芝 暗号処理装置
FR2995111B1 (fr) * 2012-09-04 2015-07-24 Morpho Protection contre canaux auxiliaires
CN103684748B (zh) * 2012-09-26 2017-02-08 上海复旦微电子集团股份有限公司 对称式加解密方法、对称式加解密系统
JP6089668B2 (ja) * 2012-12-13 2017-03-08 日本電気株式会社 暗号化処理回路及び復号処理回路とその方法並びにそのプログラム
US9118441B2 (en) 2013-01-25 2015-08-25 Freescale Semiconductor, Inc. Layout-optimized random mask distribution system and method
CN104601321B (zh) * 2013-10-31 2017-09-29 上海复旦微电子集团股份有限公司 密钥扩展方法和装置
US20150222421A1 (en) * 2014-02-03 2015-08-06 Qualcomm Incorporated Countermeasures against side-channel attacks on cryptographic algorithms
US9425961B2 (en) * 2014-03-24 2016-08-23 Stmicroelectronics S.R.L. Method for performing an encryption of an AES type, and corresponding system and computer program product
US9654111B1 (en) * 2014-11-12 2017-05-16 Maxim Integrated Products, Inc. Systems and methods for protecting data using reconfigurable logic paths
US10210350B2 (en) * 2015-08-10 2019-02-19 Samsung Electronics Co., Ltd. Electronic device against side channel attacks
US10027640B2 (en) * 2015-09-22 2018-07-17 Qualcomm Incorporated Secure data re-encryption
JP6187624B1 (ja) * 2016-03-17 2017-08-30 富士電機株式会社 情報処理装置、情報処理方法及びプログラム
JP6222285B1 (ja) * 2016-06-01 2017-11-01 富士電機株式会社 データ処理装置、データ処理方法及びプログラム
US11023632B2 (en) 2016-06-29 2021-06-01 Bar-Iian University Pseudo-asynchronous digital circuit design
US10521530B2 (en) 2016-07-28 2019-12-31 Bar-Ilan University Data-dependent delay circuits
CN106788974B (zh) * 2016-12-22 2020-04-28 深圳国微技术有限公司 掩码s盒、分组密钥计算单元、装置及对应的构造方法
US11218291B2 (en) * 2018-02-26 2022-01-04 Stmicroelectronics (Rousset) Sas Method and circuit for performing a substitution operation
WO2019167050A1 (en) 2018-02-28 2019-09-06 Bar-Ilan University Information redistribution to reduce side channel leakage
JP7383985B2 (ja) * 2019-10-30 2023-11-21 富士電機株式会社 情報処理装置、情報処理方法及びプログラム
US11328042B2 (en) 2019-12-10 2022-05-10 Winkk, Inc. Automated transparent login without saved credentials or passwords
US11936787B2 (en) 2019-12-10 2024-03-19 Winkk, Inc. User identification proofing using a combination of user responses to system turing tests using biometric methods
US11928193B2 (en) 2019-12-10 2024-03-12 Winkk, Inc. Multi-factor authentication using behavior and machine learning
US11574045B2 (en) 2019-12-10 2023-02-07 Winkk, Inc. Automated ID proofing using a random multitude of real-time behavioral biometric samplings
US11553337B2 (en) 2019-12-10 2023-01-10 Winkk, Inc. Method and apparatus for encryption key exchange with enhanced security through opti-encryption channel
US11843943B2 (en) 2021-06-04 2023-12-12 Winkk, Inc. Dynamic key exchange for moving target
US11824999B2 (en) * 2021-08-13 2023-11-21 Winkk, Inc. Chosen-plaintext secure cryptosystem and authentication

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3600454B2 (ja) * 1998-08-20 2004-12-15 株式会社東芝 暗号化・復号装置、暗号化・復号方法、およびそのプログラム記憶媒体
US6295606B1 (en) * 1999-07-26 2001-09-25 Motorola, Inc. Method and apparatus for preventing information leakage attacks on a microelectronic assembly
JP3942073B2 (ja) * 2000-07-13 2007-07-11 富士通株式会社 拡大鍵生成装置、拡大鍵生成プログラムおよび記録媒体
US6956951B2 (en) * 2000-07-13 2005-10-18 Fujitsu Limited Extended key preparing apparatus, extended key preparing method, recording medium and computer program
JP4596686B2 (ja) * 2001-06-13 2010-12-08 富士通株式会社 Ｄｐａに対して安全な暗号化
EP1510028A4 (en) 2002-05-23 2008-01-23 Atmel Corp CRYPTOGRAPHIC MOTOR OF TECHNICAL EQUIPMENT BASED ON ADVANCED ENCRYPTION STANDARD (AES)
CN1826753B (zh) * 2003-09-05 2010-12-08 意大利电信股份公司 保密密钥控制的可逆电路和相应的数据处理方法
JP2005134477A (ja) * 2003-10-28 2005-05-26 Sony Corp 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
ATE372619T1 (de) * 2005-05-10 2007-09-15 Research In Motion Ltd Schlüsselmaskierung für kryptographische prozesse
JP4783104B2 (ja) * 2005-09-29 2011-09-28 株式会社東芝 暗号化／復号装置
JP2007189659A (ja) * 2005-12-15 2007-07-26 Toshiba Corp 暗号化装置、暗号化方法及び暗号化プログラム
JP4614135B2 (ja) * 2006-01-16 2011-01-19 株式会社石垣 ポンプゲート

Also Published As

Publication number Publication date
US8218762B2 (en) 2012-07-10
US20090003598A1 (en) 2009-01-01
EP1924023A2 (en) 2008-05-21
EP1924023A3 (en) 2014-12-17
JP2008131108A (ja) 2008-06-05

Similar Documents

Publication Publication Date Title
JP4909018B2 (ja) 共通鍵暗号のための暗号化装置
JP5229315B2 (ja) 共通鍵暗号機能を搭載した暗号化装置及び組込装置
JP4596686B2 (ja) Ｄｐａに対して安全な暗号化
EP1820295B1 (en) Substitution boxes
Moradi et al. Pushing the limits: A very compact and a threshold implementation of AES
US7567668B2 (en) Calculating unit and method for performing an arithmetic operation with encrypted operands
Schneider et al. Arithmetic Addition over Boolean Masking: Towards First-and Second-Order Resistance in Hardware
JP5364840B2 (ja) 暗号化装置
KR100800468B1 (ko) 저전력 고속 동작을 위한 하드웨어 암호화/복호화 장치 및그 방법
Abdulgadir et al. Side-channel resistant implementations of three finalists of the nist lightweight cryptography standardization process: Elephant, tinyjambu, and xoodyak
Rao et al. FPGA implementation of combined AES-128
Ha et al. Differential power analysis on block cipher ARIA
JP2008151829A (ja) 暗号演算装置
Saqib et al. A compact and efficient FPGA implementation of the DES algorithm
Yang et al. A new block cipher based on chaotic map and group theory
Yli-Mäyry et al. Chosen-input side-channel analysis on unrolled light-weight cryptographic hardware
JP5500277B2 (ja) 共通鍵暗号機能を搭載した暗号化装置及び組込装置
JPWO2008117804A1 (ja) ストリーム暗号向け擬似乱数生成装置とプログラムと方法
Kang et al. Secure hardware implementation of ARIA based on adaptive random masking technique
Ou et al. Enhanced correlation power analysis by biasing power traces
Wang et al. Improved method to increase AES system speed
AU2007100156A4 (en) Substitution Boxes
Anashin et al. Security and Implementation Properties of ABC v. 2
Khan et al. Pipelining in Embedded Cryptosystems-A Throughput Optimization Approach
Sengar et al. FPGA Implementations of the Hummingbird Cryptographic Algorithm

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20090810

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20110928

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20111004

RD12 Notification of acceptance of power of sub attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7432

Effective date: 20111125

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20111130

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20111128

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20120110

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20120113

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150120

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees