JP7314108B2 - 暗号処理装置、暗号処理方法およびプログラム - Google Patents

Description

本発明の実施形態は、暗号処理装置、暗号処理方法およびプログラムに関する。

暗号モジュールが動作する際の処理時間、消費電力、および電磁波などの物理的な情報を利用して暗号鍵を解析するサイドチャネル攻撃が各種考案されている。消費電力情報を用いた解析手法として、単純電力解析（Simple Power Analysis、ＳＰＡ）、差分電力解析（Differential Power Analysis、ＤＰＡ）、および相関電力解析（Correlation Power Analysis、ＣＰＡ）が知られている。これらは、暗号処理中の消費電力を統計分析することにより内部情報を取り出す攻撃方法である。また、ディープラーニングに基づく電力解析（Deep Learning－based Power Analysis、ＤＬＰＡ）は、暗号処理中の消費電力をディープラーニングの学習用データとして用いて内部情報を取り出す攻撃方法である。

特許第３６００４５４号公報 特許第５３６４８４０号公報

Benjamin Timon, "Non-Profiled Deep Learning-based Side-Channel attacks with Sensitivity Analysis", International Conference on Cryptographic Hardware and Embedded Systems, CHES2019． Shivam Bhasin, et al.，"Analysis and Improvements of the DPA Contest v4 Implementation", SPACE '14, LNCS 8804, Spｒｉnger, Pune, India, October 18-22, 2014． L. Goubin， et al., "DES and Differential Power Analysis The "Duplication" Method"， Cryptographic Hardware and Embedded Systems、 Lecture Notes in Computer Science vol．1717、 Spｒｉnger－Verlag、 pp．158-172、 1999．

本発明が解決しようとする課題は、上記のようなサイドチャネル攻撃をより困難とすることができる暗号処理装置、暗号処理方法およびプログラムを提供することである。

実施形態の暗号処理装置は、マスク記憶部と、生成部と、演算部と、を備える。マスク記憶部は、暗号処理の対象とするデータを複数に分割したデータのサイズに相当する予め定められたサイズの処理単位でマスク処理される入力文に適用するマスクであって、処理単位のデータをさらに分割したデータと同じサイズの複数の分割マスクを記憶する。生成部は、マスク記憶部から、複数の分割マスクそれぞれを相互に異なるタイミングで読み出し、読み出した複数の分割マスクそれぞれを相互に異なるタイミングで用いて、複数の第１マスクを生成する。演算部は、暗号処理の中間データに対して、複数の第１マスクそれぞれを相互に異なるタイミングで用いた演算処理を実行する。

暗号化装置のブロック図。 復号装置のブロック図。 第１の実施形態の暗号化装置のブロック図。 第１の実施形態の暗号化装置のブロック図。 マスク付きＳｂｏｘのブロック図。 第１の実施形態における暗号化処理のフローチャート。 第１の実施形態の復号装置のブロック図。 第１の実施形態の復号装置のブロック図。 マスク付きＳｂｏｘのブロック図。 第１の実施形態における復号処理のフローチャート。 第２の実施形態の暗号化装置のブロック図。 第２の実施形態の暗号化装置のブロック図。 第２の実施形態の暗号化装置のブロック図。 マスク付きＳｂｏｘのブロック図。 第２の実施形態における暗号化処理のフローチャート。 変形例の暗号化装置の一例を示すブロック図。 変形例の暗号化装置の一例を示すブロック図。 第２の本実施形態の復号装置のブロック図。 第２の実施形態の復号装置のブロック図。 第２の実施形態における復号処理のフローチャート。 第３の実施形態の暗号化装置のブロック図。 第３の実施形態の暗号化装置のブロック図。 マスク付きＳｂｏｘのブロック図。 マスク付きＳｂｏｘの入出力の関係を示す図。 第３の実施形態における暗号化処理のフローチャート。 第３の実施形態の復号装置のブロック図。 第３の実施形態の復号装置のブロック図。 第３の実施形態における復号処理のフローチャート。 第１から第３の実施形態にかかる暗号処理装置のハードウェア構成例を示す説明図。

以下に添付図面を参照して、この発明にかかる暗号処理装置の好適な実施形態を詳細に説明する。

ＤＰＡおよびＣＰＡの対策としては、マスク法が知られている。マスク法は、暗号処理中のデータに対してマスクと呼ばれる乱数または固定値に対して加算および乗算などの処理を実行して暗号処理を続けることで、消費電力と暗号処理中のデータとの相関をなくす。なお、暗号処理とは、平文を暗号化して暗号文を出力する暗号化処理、および、暗号文を復号して平文を出力する復号処理を含む。平文および暗号文は、暗号処理装置に入力される入力文の一例である。

２次ＤＰＡおよび２次ＣＰＡ、並びに、これらの拡張である高次ＤＰＡおよび高次ＣＰＡを用いると、マスク法を施した暗号回路からも暗号鍵を解析することができる。２次ＤＰＡとは、消費電力波形上の２点の電力を利用して、マスクの影響を考慮した上で、消費電力と暗号処理中のデータとの相関の有無を判定する攻撃手法である。消費電力波形上の２点としては、例えば、暗号処理の中間データに対するマスク付きデータを処理する点と、マスク付きデータに付されるマスクを処理する点の消費電力を用いる場合、および、同一のマスクが付いた２つのデータを処理する点の消費電力を用いる場合がある。ｎ次の攻撃は（ｎ－１）次対策を無効にする。

ＤＬＰＡは、高次のマスク対策を無効化する。ｎ次ＤＰＡおよびｎ次ＣＰＡは、ｎ点の電力を選択して攻撃するが、ＤＬＰＡでは電力の複数点（ｎ以上）をニューラルネットワークの入力ノードに入力する。なお、１点の電力値が入力ノードの１つに対応する。ニューラルネットワークの学習で、攻撃に用いる重みの大きい入力ノードが決定される。ニューラルネットワークのハイパーパラメータとして、層数、層のノード数、活性化関数、および、最適化関数等を与える必要がある。入力ノードの個数が大きいほど、鍵の導出を可能にするハイパーパラメータの探索が困難になる。

そこで、以下の実施形態では、入力ノードの個数が大きくなるようにするため、マスクを適用する処理単位となるデータが時間的に分散して出現するように構成する。例えば各実施形態の暗号処理装置は、処理単位のデータをさらに分割したデータと同じサイズの複数の分割マスクが、相互に異なるタイミングで演算に用いられるように構成される。（ｎ＋１）点以上の電力が必要になるようにマスクを分割すれば、ｎ次ＤＰＡおよびｎ次ＣＰＡの対策にもなりうる。

（ＡＥＳの説明）
以下では、鍵長を１２８ビットとしたＡＥＳ（Advanced Encryption Standard）方式の暗号処理装置（暗号化装置、復号装置）に適用した例について説明する。鍵長は１２８ビットに限られず、１９６ビットおよび２５６ビットの鍵長でも同様に適用できる。また、ＤＥＳ（Data Encryption Standard）およびＨｉｅｒｏｃｒｙｐｔなど、他の非線形変換を用いる暗号アルゴリズムを処理する装置にも適用できる。

鍵長を１２８ビットとしたＡＥＳでは、１２８ビットの固定長のデータ（ブロックと呼ばれる場合もある）を単位として暗号処理が実行される。例えば、１２８ビットのブロックに対して、ラウンド関数を用いたラウンド処理が規定ラウンド数繰り返される。ＡＥＳのラウンド関数は、ＳｕｂＢｙｔｅ、ＳｈｉｆｔＲｏｗ、ＭｉｘＣｏｌｕｍｎ、および、ＡｄｄＲｏｕｎｄＫｅｙを含む。例えばＡＥＳでは、１ラウンドから１０ラウンドまでの１０個のラウンドが実行される。１０ラウンドが最終ラウンドとなる。１０ラウンド目のラウンド関数はＳｕｂＢｙｔｅ、ＳｈｉｆｔＲｏｗ、および、ＡｄｄＲｏｕｎｄＫｅｙを含む。

ＡＥＳに対してマスクを用いる場合、固定長のデータ（例えば１２８ビット）を分割したデータのサイズに相当する予め定められたサイズの処理単位でマスクが適用される。処理単位のサイズは、例えば（８×Ｌ）ビット（Ｌは１以上の整数）とすることができるが、これに限られるものではない。以下では、処理単位のサイズが８ビットである場合を例に説明する。

ここで、ＡＥＳ方式の暗号化装置および復号装置の構成例について説明する。図１は、暗号化装置１００の構成の一例を示すブロック図である。図１に示すように、暗号化装置１００は、入力部１０１ａと、出力部１０１ｂと、鍵記憶部１０２と、ラウンド鍵生成部１０３と、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａ～１０４ｋと、ＳｕｂＢｙｔｅ１０５ｂ～１０５ｋと、ＳｈｉｆｔＲｏｗ１０６ｂ～１０６ｋと、ＭｉｘＣｏｌｕｍｎ１０７ｂ～１０７ｊと、を備える。

入力部１０１ａは、外部から平文の入力を受け付ける。出力部１０１ｂは、処理結果である暗号文を外部に出力する。なお暗号化装置１００は、入力部１０１ａと出力部１０１ｂの機能を共に有する入出力部を備えるように構成してもよい。

鍵記憶部１０２は、１２８ビットの秘密鍵を記憶する。鍵記憶部１０２は、ＨＤＤ（Hard Disk Dｒｉve）、光ディスク、メモリカード、ＲＡＭ（Random Access Memory）などの一般的に利用されているあらゆる記憶媒体により構成することができる。

ラウンド鍵生成部１０３は、鍵記憶部１０２が記憶する秘密鍵から１１個の１２８ビットのラウンド鍵ｄ１０３ａ～ｄ１０３ｋを計算し、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａ～１０４ｋに供給する。ラウンド鍵ｄ１０３ａ～ｄ１０３ｋは、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａが実行される以前に予め計算されてもよいし、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａ～１０４ｋと並行に計算されてもよい。

ＡｄｄＲｏｕｎｄＫｅｙ１０４ａに入力されるデータｄ１０１ａは、入力された平文と同一である。ＡｄｄＲｏｕｎｄＫｅｙ１０４ａ～１０４ｋは、データｄ１０１ａ、ｄ１０７ｂ～ｄ１０７ｊ、ｄ１０６ｋに対してＡＥＳ暗号で定められているＡｄｄＲｏｕｎｄＫｅｙ変換処理を行い、データｄ１０４ａ～ｄ１０４ｋを出力する。データｄ１０４ａ～ｄ１０４ｊは、ＳｕｂＢｙｔｅ１０５ｂ～１０５ｊに入力される。データｄ１０４ｋは、暗号文と同一である。

ＳｕｂＢｙｔｅ１０５ｂ～１０５ｋは、データｄ１０４ａ～ｄ１０４ｊを、８ビットごとに非線形変換し、データｄ１０５ｂ～ｄ１０５ｋを出力する。データｄ１０５ｂ～ｄ１０５ｋは、ＳｈｉｆｔＲｏｗ１０６ｂ～１０６ｋに入力される。

ＳｈｉｆｔＲｏｗ１０６ｂ～１０６ｋは、データｄ１０５ｂ～ｄ１０５ｋを、８ビットを処理単位として並べ替え、データｄ１０６ｂ～ｄ１０６ｋを出力する。データｄ１０６ｂ～ｄ１０６ｊは、ＭｉｘＣｏｌｍｕｎ１０７ｂ～１０７ｊに入力される。データｄ１０６ｋは、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｋに入力される。

ＭｉｘＣｏｌｍｕｎ１０７ｂ～１０７ｊは、データｄ１０７ｂ～ｄ１０７ｊを３２ビットごとに線形変換し、データｄ１０７ｂ～ｄ１０７ｊを出力する。データｄ１０７ｂ～ｄ１０７ｊは、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｂ～１０４ｊに入力される。

図２は、復号装置２００の構成の一例を示すブロック図である。図２に示すように、復号装置２００は、入力部２０１ａと、出力部２０１ｂと、鍵記憶部２０２と、ラウンド鍵生成部２０３と、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａ～２０４ｋと、ＩｎｖＳｈｉｆｔＲｏｗ２０５ａ～２０５ｊと、ＩｎｖＳｕｂＢｙｔｅ２０６ａ～２０６ｊと、ＩｎｖＭｉｘＣｏｌｕｍｎ２０７ｂ～２０７ｊと、を備える。

入力部２０１ａは、外部から暗号文の入力を受け付ける。出力部２０１ｂは、処理結果である平文を外部に出力する。なお復号装置２００は、入力部２０１ａと出力部２０１ｂの機能を共に有する入出力部を備えるように構成してもよい。

鍵記憶部２０２は、１２８ビットの秘密鍵を記憶する。鍵記憶部２０２は、ＨＤＤ、光ディスク、メモリカード、ＲＡＭなどの一般的に利用されているあらゆる記憶媒体により構成することができる。

ラウンド鍵生成部２０３は、鍵記憶部２０２が記憶する秘密鍵から１１個の１２８ビットのラウンド鍵ｄ２０３ａ～ｄ２０３ｋを計算し、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａ～２０４ｋに供給する。ラウンド鍵ｄ２０３ａ～ｄ２０３ｋは、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａが実行される以前に予め計算されてもよいし、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａ～２０４ｋと並行に計算されてもよい。

ＡｄｄＲｏｕｎｄＫｅｙ２０４ａに入力されるデータｄ２０１ａは、入力された暗号文と同一である。

ＡｄｄＲｏｕｎｄＫｅｙ２０４ａ～２０４ｋは、データｄ２０１ａ、ｄ２０６ａ～ｄ２０６ｊに対してＡＥＳ暗号で定められているＡｄｄＲｏｕｎｄＫｅｙ変換処理を行い、データｄ２０４ａ～２０４ｋを出力する。データｄ２０４ａは、ＩｎｖＳｈｉｆｔＲｏｗ２０５ａに入力される。データｄ２０４ｂ～２０４ｊは、ＩｎｖＭｉｘＣｏｌｍｕｎ２０７ｂ～２０７ｊに入力される。データｄ２０４ｋは、出力される平文と同一である。

ＩｎｖＳｈｉｆｔＲｏｗ２０５ａ～２０５ｊは、データｄ２０４ａ、ｄ２０７ｂ～ｄ２０７ｊを、８ビットを処理単位として並べ替え、データｄ２０５ａ～ｄ２０５ｊを出力する。データｄ２０５ａ～ｄ２０５ｊは、ＩｎｖＳｕｂＢｙｔｅ２０６ａ～２０６ｊに入力される。

ＩｎｖＳｕｂＢｙｔｅ２０６ａ～２０６ｊは、データｄ２０５ａ～ｄ２０５ｊを８ビットごとに非線形変換し、データｄ２０６ａ～ｄ２０６ｊを出力する。データｄ２０６ａ～ｄ２０６ｊは、ＡｄｄＲｏｕｎｄＫｅｙ２０４ｂ～２０４ｊに入力される。

ＩｎｖＭｉｘＣｏｌｍｕｎ２０７ｂ～２０７ｊは、データｄ２０４ｂ～ｄ２０４ｊを３２ビットごとに線形変換し、データｄ２０７ｂ～ｄ２０７ｊを出力する。データｄ２０７ｂ～ｄ２０７ｊは、ＩｎｖＳｈｉｆｔＲｏｗ２０５ｂ～２０５ｊに入力される。

なお、図１および図２では、各ラウンドの処理を実行する処理部を分けて記載しているが、同一番号の処理部はそれぞれ共通の機能および構成を備えている。アルファベットが異なる同一番号の処理部を共通化し、共通化した１つの処理部が各ラウンドの処理を実行するように構成してもよい。例えば、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａ～２０４ｋを１つのＡｄｄＲｏｕｎｄＫｅｙ２０４として構成してもよい。

以下の各実施形態は、図１および図２の構成に対して、さらにマスクを分割して適用する機能が備えられる。以下、各実施形態で追加される機能について詳細に説明する。

（用語定義）
最初に、各実施形態で用いられる用語を定義する。

暗号処理の中間データとは、暗号アルゴリズムで定められた処理中に計算されるデータである。ＡＥＳの暗号化処理の場合には、ＡｄｄＲｏｕｎｄＫｅｙ、ＳｕｂＢｙｔｅ、ＳｈｉｆｔＲｏｗ、および、ＭｉｘＣｏｌｕｍｎに入出力されるデータおよび内部で取り扱われるデータが中間データに相当する。

マスクとは、暗号処理の中間データと消費電力との相関を取り除くため、暗号処理の中間データに対する排他的論理和などの演算で処理されるデータである。ＳｕｂＢｙｔｅに入力される入力データにかかるマスクを入力マスクとし、ＳｕｂＢｙｔｅから出力される出力データにかかるマスクを出力マスクとする。実施形態の説明では、排他的論理和で処理されるマスクを例に説明する。

暗号処理は１６バイト（１２８ビット）単位で行われる。ＳｕｂＢｙｔｅ入力の中間データ、ＳｕｂＢｙｔｅ出力の中間データ、入力マスク、および、出力マスクはそれぞれ１６バイトである。実施形態では、入力マスクと出力マスクは各バイトで異なり、各ラウンドで同一として説明する。入力マスクと出力マスクとは、各バイトで同一でもよい。各ラウンドで、同一のマスク（１６バイト）の少なくとも一部のバイトを入れ替えた値を、入力マスクおよび出力マスクとして用いてもよい。各ラウンドで、それぞれ異なる入力マスクを用いてもよい。同様に、各ラウンドで、それぞれ異なる出力マスクを用いてもよい。

実施形態では、１バイトすなわち８ビットの中間データにかかる８ビットのマスクを、４ビット単位で２つに分割して扱う。２つに分割されたマスクが分割マスクに相当する。分割方法はこれに限らず、例えば２ビット単位で４つに分割してもよいし、１ビット単位で８つに分割してもよい。

ｉｍ０Ｌは、０バイト目の入力マスクの左４ビットを意味する。ｉｍ０Ｒは、０バイト目の入力マスクの右４ビットを意味する。ｏｍ０Ｌは、０バイト目の出力マスクの左４ビットを意味する。ｏｍ０Ｒは、０バイト目の出力マスクの右４ビットを意味する。実施形態では、ある１バイトのデータの左を上位ビット、右を下位ビットとして扱う。これに限らず逆でもよい。

各マスクは、０バイト目から１５バイト目までの各１６バイトを含む。ｉｍＬは、入力マスクの０バイト目から１５バイト目の左４ビットをまとめて表す場合の表記である。ｉｍＲは、入力マスクの０バイト目から１５バイト目の右４ビットをまとめて表す場合の表記である。ｏｍＬは、出力マスクの０バイト目から１５バイト目の左４ビットをまとめて表す場合の表記である。ｏｍＲは、出力マスクの０バイト目から１５バイト目の右４ビットをまとめて表す場合の表記である。

（第１の実施形態）
以下、第１の実施形態の暗号化装置および復号装置の構成例について説明する。図１および図２と重複する機能については同一の符号を付し、説明は省略する。

図３Ａおよび図３Ｂは、本実施形態の暗号化装置の構成の一例を示すブロック図である。本実施形態の暗号化装置は、入力部１０１ａと、出力部１０１ｂと、鍵記憶部１０２と、ラウンド鍵生成部１０３と、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａ～１０４ｋと、ＳｕｂＢｙｔｅ１０５ｂ～１０５ｋと、ＳｈｉｆｔＲｏｗ１０６ｂ～１０６ｋと、ＭｉｘＣｏｌｕｍｎ１０７ｂ～１０７ｊと、マスク記憶部１３１と、マスク処理部１２１ａと、アンマスク処理部１２５ｋ（演算部の一例）と、マスク変換部１２３ｂ～１２３ｊ（演算部の一例）と、マスク変換用データ生成部１２２ｂ～１２２ｊ（生成部の一例）と、アンマスク用データ生成部１２４ｋ（生成部の一例）と、を備える。

マスク記憶部１３１は、入力マスクの１バイトすなわち８ビットを左４ビットと右４ビットの２つに分割して分割マスクとして記憶する。同様にマスク記憶部１３１は、出力マスクの左４ビットと右４ビットの２つに分割して分割マスクとして記憶する。各バイトの入力マスクおよび出力マスクは、同一としてもよいし、相互に異なる値としてもよい。

マスク処理部１２１ａは、入力マスクの各バイトの左４ビットと、入力部１０１ａから受けとった平文の各バイトの左４ビットとの排他的論理和を計算する。また、マスク処理部１２１ａは、左４ビットの排他的論理和とは異なるタイミングで、入力マスクの各バイトの右４ビットと、入力部１０１ａから受けとった平文の各バイトの右４ビットとの排他的論理和を計算する。左側の計算と右側の計算は、順序が入れ替わってもよいし、バイトごとおよびラウンドごとの少なくとも一方で、順序が変わってもよい。

ＳｕｂＢｙｔｅ１０５ｂは、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａの出力である１６バイトのマスク付きの中間データを入力される。ＳｕｂＢｙｔｅ１０５ｂは、例えば中間データの０バイト目については、マスク付きＳｂｏｘの０バイト目（ＭＳＢ０）のルックアップテーブルを用いることにより、マスク付きＳｂｏｘの出力の０バイト目を計算する。ＳｕｂＢｙｔｅ１０５ｂは、１５バイト目まで同様にして、マスク付きＳｂｏｘの出力を計算する。

図４は、ＳｕｂＢｙｔｅ１０５ｂ～１０５ｋ内で用いられるマスク付きＳｂｏｘの構成の一例を示すブロック図である。マスク付きＳｂｏｘは、１バイトを入力して１バイトを出力するルックアップテーブルとして機能する。入出力値は、ともに０から２５５の値をとる。図４の記号「＾」は、排他的論理和を表す。ｊは、０～１５の値をとる。ｉｍｊは、ｊバイト目（０≦ｊ≦１５）の入力マスク（８ビット）を表す。ｏｍｊは、ｊバイト目の出力マスク（８ビット）を表す。ｘは、マスク付きＳｂｏｘの入力を表し、ｓ（ｘ）はマスク付きｂｏｘの出力を表す。

マスク付きＳｂｏｘの０バイト目であるＭＳＢ０のルックアップテーブルは、入力値と入力マスクｉｍ０の排他的論理和をＳｂｏｘに入力し、Ｓｂｏｘの出力と出力マスクｏｍ０の排他的論理和を出力値とする。他の１５バイト（ＭＳＢ１～ＭＳＢ１５）も同様である。

実施形態では、１６個のマスク付きＳｂｏｘの入出力マスクは相互に異なる。また、各バイトのマスク付きＳｂｏｘは、複数回の暗号処理を実行する場合であっても毎回同一であり、各ラウンドでも同一である。マスク付きＳｂｏｘの構成はこれに限られず、例えば、暗号処理の実行ごと、または、ラウンドごとに、用意した１６個のマスク付きＳｂｏｘをシャッフルして用いてもよい。また、１６個より少ないマスク付きＳｂｏｘを用意して、バイト間で重複して用いてもよい。１個のマスク付きＳｂｏｘを用意してすべてのバイトで同一のマスク付きＳｂｏｘを用いてもよい。１６個より多いマスク付きＳｂｏｘを用意して、各ラウンドで異なるマスク付きＳｂｏｘを用いてもよい。

図３に戻り、ＳｈｉｆｔＲｏｗ１０６ｂは、マスク付きＳｂｏｘ出力に対してＳｈｉｆｔＲｏｗ処理を行う。

ＭｉｘＣｏｌｕｍｎ１０７ｂは、ＳｈｉｆｔＲｏｗ１０６ｂの出力に対してＭｉｘＣｏｌｕｍｎ処理を行う。

マスク変換用データ生成部１２２ｂは、マスク記憶部１３１から１６個の出力マスクの左４ビットｏｍ０Ｌ～ｏｍ１５Ｌを読み出し、それぞれ４ビットを上位４ビットとし下位４ビットは０として１個のマスクを８ビットとして扱う。マスク変換用データ生成部１２２ｂは、１６個の出力マスクに対してＳｈｉｆｔＲｏｗ処理を行う。マスク変換用データ生成部１２２ｂは、ＳｈｉｆｔＲｏｗ出力値に対して、ＭｉｘＣｏｌｕｍｎ処理を行う。

さらにマスク変換用データ生成部１２２ｂは、ＭｉｘＣｏｌｕｍｎ出力値の０バイト目と、次のラウンドのマスク付きＳｂｏｘの入力マスクの左４ビットｉｍ０Ｌを上位４ビットとして下位４ビットを０とした１バイトの値と、の排他的論理和を計算する。なお、各ラウンドで同一のマスクを用いる場合は、次のラウンドのマスク付きＳｂｏｘの入力マスクは、現在のラウンドの入力マスクと同一である。各ラウンドで異なるマスクを用いる場合は、次のラウンドのマスク付きＳｂｏｘの入力マスクは、現在のラウンドの入力マスクと異なる。以下同様である。マスク変換用データ生成部１２２ｂは、１５バイト目まで同様に計算し、１６個のマスク変換用データＭＤＬ（第１マスクの一例）を出力する。

同様に、マスク変換用データ生成部１２２ｂは、マスク記憶部１３１から１６個の出力マスクの右４ビットｏｍ０Ｒ～ｏｍ１５Ｒを読み出し、その４ビットを下位４ビットとして上位４ビットは０として１個のマスクを８ビットとして扱う。マスク変換用データ生成部１２２ｂは、１６個の出力マスクに対してＳｈｉｆｔＲｏｗ処理を行う。マスク変換用データ生成部１２２ｂは、ＳｈｉｆｔＲｏｗ出力値に対して、ＭｉｘＣｏｌｕｍｎ処理を行う。

さらにマスク変換用データ生成部１２２ｂは、ＭｉｘＣｏｌｕｍｎ出力値の０バイト目と、次のラウンドのマスク付きＳｂｏｘの入力マスク右４ビットｉｍ０Ｒを下位４ビットとして排他的論理和を計算する。マスク変換用データ生成部１２２ｂは、１５バイト目まで同様に計算し、１６個のマスク変換用データＭＤＲ（第１マスクの一例）を出力する。

マスク変換用データ生成部１２２ｂは、マスク変換用データＭＤＬとマスク変換用データＭＤＲとを、それぞれ異なるタイミングで計算する。

マスク変換用データ生成部１２２ｂは、マスク変換用データＭＤＬのＭｉｘＣｏｌｕｍｎ出力値を以下の方法で生成してもよい。すなわち、マスク変換用データ生成部１２２ｂは、マスク記憶部１３１から１６個の出力マスクの左４ビットｏｍ０Ｌ～ｏｍ１５Ｌを読み出し、それぞれ４ビットを下位４ビットとし上位４ビットは０として１個のマスクを８ビットとして扱う。マスク変換用データ生成部１２２ｂは、１６個の出力マスクに対してＳｈｉｆｔＲｏｗ処理を行う。マスク変換用データ生成部１２２ｂは、ＳｈｉｆｔＲｏｗ出力値に対して、ＭｉｘＣｏｌｕｍｎ処理を行い、その処理結果を１６倍する。計算結果が同一であれば、実装上０でパディングしたビットのデータが無くてもよい。

マスク変換部１２３ｂは、マスク変換用データを用いたマスク変換処理（演算処理の一例）を実行する。例えばマスク変換部１２３ｂは、それぞれ１６バイトである、ＭｉｘＣｏｌｕｍｎ１０７ｂの出力値とマスク変換用データＭＤＬとマスク変換用データＭＤＲとが入力される。マスク変換部１２３ｂは、ＭｉｘＣｏｌｕｍｎ１０７ｂの出力値とマスク変換用データＭＤＬとの排他的論理和を計算し、その結果とマスク変換用データＭＤＲとの排他的論理和を計算して出力する。マスク変換用データＭＤＬと、マスク変換用データＭＤＲの計算順序が入れ替わってもよい。マスク変換部１２３ｂによる処理の前にＡｄｄＲｏｕｎｄＫｅｙ処理が行なわれてもよい。

マスク変換用データＭＤＬとマスク変換用データＭＤＲとは、異なるタイミングで入力され、排他的論理和の計算が実行される。一方の計算が完了した後に、他方のマスク変換用データが入力され、排他的論理和の計算が実行される。

ＡＥＳの最終ラウンド以外は、上記と同様の処理が実行される。マスク変換用データ生成部１２２ｂ～１２２ｊは、ｉラウンド（１≦ｉ≦規定ラウンド数、規定ラウンド数は例えば１０）のラウンド処理の中間データに対するマスク処理で用いられた複数のマスクを変換するための複数のマスク変換用データを生成すると解釈することができる。また、マスク変換部１２３ｂ～１２３ｊは、ｉラウンドのラウンド処理の中間データに対して、生成されたマスク変換用データそれぞれを相互に異なるタイミングで用いたマスク変換処理を実行すると解釈することができる。

ＡＥＳの最終ラウンドでは、ＭｉｘＣｏｌｕｍｎ処理は実行されない。すなわち、ＳｕｂＢｙｔｅ１０５ｋ、ＳｈｉｆｔＲｏｗ１０６ｋ、および、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｋの処理のみが実行される。

アンマスク用データ生成部１２４ｋは、マスク記憶部１３１から１６個の出力マスクの左４ビットｏｍ０Ｌ～ｏｍ１５Ｌを読み出し、それぞれ４ビットを上位４ビットとし下位４ビットは０として１個のマスクを８ビットとして扱う。アンマスク用データ生成部１２４ｋは、１６個の出力マスクに対してＳｈｉｆｔＲｏｗ処理を行う。アンマスク用データ生成部１２４ｋは、ＳｈｉｆｔＲｏｗ出力値をアンマスク用データＵＭＤＬ（第１マスクの一例）として出力する。

同様に、アンマスク用データ生成部１２４ｋは、マスク記憶部１３１から１６個の出力マスクの右４ビットｏｍ０Ｒ～ｏｍ１５Ｒを読み出し、その４ビットを下位４ビットとして上位４ビットは０として１個のマスクを８ビットとして扱う。アンマスク用データ生成部１２４ｋは、１６個の出力マスクに対してＳｈｉｆｔＲｏｗ処理を行う。アンマスク用データ生成部１２４ｋは、ＳｈｉｆｔＲｏｗ出力値をアンマスク用データＵＭＤＲ（第１マスクの一例）として出力する。アンマスク用データ生成部１２４ｋは、アンマスク用データＵＭＤＬとアンマスク用データＵＭＤＲを、それぞれ異なるタイミングで計算する。

アンマスク処理部１２５ｋは、アンマスク用データを用いたアンマスク処理（演算処理の一例）を実行する。例えばアンマスク処理部１２５ｋは、それぞれ１６バイトのＳｈｉｆｔＲｏｗ１０６ｋの出力値とアンマスク用データＵＭＤＬとアンマスク用データＵＭＤＲを入力される。アンマスク処理部１２５ｋは、ＳｈｉｆｔＲｏｗ１０６ｋの出力値とアンマスク用データＵＭＤＬとの排他的論理和を計算し、その結果とアンマスク用データＵＭＤＲとの排他的論理和を計算して出力する。アンマスク用データＵＭＤＬと、アンマスク用データＵＭＤＲの計算順序が入れ替わってもよい。バイトごとおよびラウンドごとの少なくとも一方で、順序が変わってもよい。アンマスク処理部１２５ｋによる処理の前にＡｄｄＲｏｕｎｄＫｅｙ処理が行われてもよい。

各マスクは、予め用意された値でもよい。暗号化装置が乱数生成部を備え、乱数生成部が生成した乱数をマスクとして用いるように構成してもよい。

次に、このように構成された第１の実施形態にかかる暗号化装置による暗号化処理について説明する。図５は、第１の実施形態における暗号化処理の一例を示すフローチャートである。

まず、入力部１０１ａは平文を受け付ける（ステップＳ１０１）。次に、ラウンド鍵生成部１０３は、鍵記憶部１０２に記憶される秘密鍵を用いて１１個の１２８ビットのラウンド鍵ｄ１０３ａ～ｄ１０３ｋを計算する（ステップＳ１０２）。

マスク処理部１２１ａは、左４ビットおよび右４ビットに分割されたマスク（分割マスク）を用いて、相互に異なるタイミングで、左右のビットそれぞれの排他的論理和を算出する（ステップＳ１０３）。例えばマスク処理部１２１ａは、入力マスクの各バイトの左４ビットｉｍＬと、平文の各バイトの左４ビットとの排他的論理和を計算する。また、マスク処理部１２１ａは、左４ビットの排他的論理和とは異なるタイミングで、入力マスクの各バイトの右４ビットｉｍＲと、平文の各バイトの右４ビットとの排他的論理和を計算する。

ＡｄｄＲｏｕｎｄＫｅｙ１０４ａは、マスク処理部１２１ａによりマスク処理が行われた平文に対してＡｄｄＲｏｕｎｄＫｅｙ変換処理を行う（ステップＳ１０４）。ＳｕｂＢｙｔｅ１０５ｂは、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａの出力である１６バイトのマスク付きの中間データを入力とし、マスク付きＳｂｏｘの出力値を出力する（ステップＳ１０５）。ＳｈｉｆｔＲｏｗ１０６ｂは、マスク付きＳｂｏｘ出力に対してＳｈｉｆｔＲｏｗ処理を行う（ステップＳ１０６）。

暗号化装置１００は、ラウンドが最終ラウンドか否かを判定する（ステップＳ１０７）。ラウンドが最終ラウンドでない場合（ステップＳ１０７：Ｎｏ）、ＭｉｘＣｏｌｕｍｎ１０７ｂによる処理が実行される（ステップＳ１０８）。

マスク変換用データ生成部１２２ｂは、左４ビットおよび右４ビットに分割されたマスク（分割マスク）を用いて、相互に異なるタイミングで、左右のビットに対応するマスク変換用データＭＤＬおよびマスク変換用データＭＤＲを生成する（ステップＳ１０９）。

マスク変換部１２３ｂは、マスク変換用データＭＤＬおよびマスク変換用データＭＤＲを用いたマスク変換処理を、それぞれ異なるタイミングで実行する（ステップＳ１１０）。

なお、ステップＳ１０９、ステップＳ１１０は、以下の（Ａ１）、（Ａ２）、（Ａ３）、（Ａ４）の順序で実行するように処理順序を変更してもよい。さらに、左右を入れ替えた順序、すなわち、（Ａ３）、（Ａ４）、（Ａ１）、（Ａ２）の順序で実行するように構成されてもよい。
（Ａ１）マスク変換用データＭＤＬを生成
（Ａ２）マスク変換用データＭＤＬを用いたマスク変換処理を実行
（Ａ３）マスク変換用データＭＤＲを生成
（Ａ４）マスク変換用データＭＤＲを用いたマスク変換処理を実行

ＡｄｄＲｏｕｎｄＫｅｙ１０４ａは、マスク変換処理の結果に対してＡｄｄＲｏｕｎｄＫｅｙの処理を実行する（ステップＳ１１１）。この後、ステップＳ１０５に戻り、次のラウンドについて同様の処理が繰り返される。

ステップＳ１０７でラウンドが最終ラウンドであると判定された場合（ステップＳ１０７：Ｙｅｓ）、以下のように最終ラウンドの処理が実行される。

まず、アンマスク用データ生成部１２４ｋは、左４ビットおよび右４ビットに分割されたマスク（分割マスク）を用いて、相互に異なるタイミングで、左右のビットに対応するアンマスク用データＵＭＤＬおよびアンマスク用データＵＭＤＲを生成する（ステップＳ１１２）。

アンマスク処理部１２５ｋは、アンマスク用データＵＭＤＬおよびアンマスク用データＵＭＤＲを用いたアンマスク処理を、それぞれ異なるタイミングで実行する（ステップＳ１１３）。ＡｄｄＲｏｕｎｄＫｅｙ１０４ｋは、アンマスク処理の結果に対してＡｄｄＲｏｕｎｄＫｅｙの処理を実行する（ステップＳ１１４）。出力部１０１ｂは、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｋの処理結果であるデータを出力し（ステップＳ１１５）、暗号化処理を終了する。

次に、第１の実施形態の復号装置について説明する。図６Ａおよび図６Ｂは、本実施形態の復号装置の構成の一例を示すブロック図である。復号装置は、入力部２０１ａと、出力部２０１ｂと、鍵記憶部２０２と、ラウンド鍵生成部２０３と、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａ～２０４ｋと、ＩｎｖＳｈｉｆｔＲｏｗ２０５ａ～２０５ｊと、ＩｎｖＳｕｂＢｙｔｅ２０６ａ～２０６ｊと、ＩｎｖＭｉｘＣｏｌｕｍｎ２０７ｂ～２０７ｊと、マスク記憶部２３１と、マスク処理部２２１ａと、アンマスク処理部２２５ｋと、マスク変換部２２３ｂ～２２３ｊと、マスク変換用データ生成部２２２ｂ～２２２ｊと、を備える。

マスク記憶部２３１、マスク処理部２２１ａ、および、マスク変換部２２３ｂ～２２３ｊは、暗号化装置のマスク記憶部１３１、マスク処理部１２１ａ、および、マスク変換部１２３ｂ～１２３ｊと同様の構成とすることができる。

アンマスク処理部２２５ｋは、アンマスク用データＵＭＤＬおよびＵＭＤＲの代わりに、マスク記憶部２３１から読み出した１６個の出力マスクの左４ビットｏｍＬ、および、右４ビットｏｍＲを用いる点が、暗号化装置のアンマスク処理部１２５ｋと異なっている。

マスク変換用データ生成部２２２ｂ～２２２ｊは、マスク変換用データ生成部１２２ｂ～１２２ｊ内のＳｈｉｆｔＲｏｗおよびＭｉｘＣｏｌｕｍｎの代わりに、それぞれＩｎｖＭｉｘＣｏｌｕｍｎおよびＩｎｖＳｈｉｆｔＲｏｗを備える。

図７は、復号装置のＩｎｖＳｕｂＢｙｔｅ２０６ａ～２０６ｊ内で用いられるマスク付きＳｂｏｘ（ＩｎｖＭＳＢｉ、ｉは０～１５）の構成の一例を示すブロック図である。ＩｎｖＭＳＢｉでは、図４のＳｂｏｘの代わりに、ＩｎｖＳｂｏｘが用いられる。

次に、このように構成された第１の実施形態にかかる復号装置による復号処理について説明する。図８は、第１の実施形態における復号処理の一例を示すフローチャートである。

まず、入力部２０１ａは暗号文を受け付ける（ステップＳ２０１）。次に、ラウンド鍵生成部２０３は、鍵記憶部２０２に記憶される秘密鍵を用いて１１個の１２８ビットのラウンド鍵ｄ２０３ａ～ｄ２０３ｋを計算する（ステップＳ２０２）。

暗号文に対して、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａによる処理、および、ＩｎｖＳｈｉｆｔＲｏｗ２０５ａによる処理が実行される（ステップＳ２０３）。

マスク処理部２２１ａは、左４ビットおよび右４ビットに分割されたマスク（分割マスク）を用いて、相互に異なるタイミングで、左右のビットそれぞれの排他的論理和を算出する（ステップＳ２０４）。

ＩｎｖＳｕｂＢｙｔｅ２０６ａは、マスク処理部２２１ａの出力である１６バイトのマスク付きの中間データを入力とし、マスク付きのＩｎｖＳｂｏｘの出力値を出力する（ステップＳ２０５）。

復号装置２００は、ラウンドが最終ラウンドか否かを判定する（ステップＳ２０６）。ラウンドが最終ラウンドでない場合（ステップＳ２０６：Ｎｏ）、ＡｄｄＲｏｕｎｄＫｅｙ２０４ｂ、ＩｎｖＭｉｘＣｏｌｕｍｎ２０７ｂ、および、ＩｎｖＳｈｉｆｔＲｏｗ２０５ｂによる処理、が順に実行される（ステップＳ２０７）。

マスク変換用データ生成部２２２ｂは、左４ビットおよび右４ビットに分割されたマスク（分割マスク）を用いて、相互に異なるタイミングで、左右のビットに対応するマスク変換用データＭＤＬおよびマスク変換用データＭＤＲを生成する（ステップＳ２０８）。

マスク変換部２２３ｂは、マスク変換用データＭＤＬおよびマスク変換用データＭＤＲを用いたマスク変換処理を、それぞれ異なるタイミングで実行する（ステップＳ２０９）。

暗号化処理（図５）と同様に、ステップＳ２０８、ステップＳ２０９は、上記の（Ａ１）、（Ａ２）、（Ａ３）、（Ａ４）の順序、または、（Ａ３）、（Ａ４）、（Ａ１）、（Ａ２）の順序で実行されるように構成してもよい。

ＩｎｖＳｕｂＢｙｔｅ２０６ｂは、マスク変換処理の出力である１６バイトのマスク付きの中間データを入力とし、マスク付きのＩｎｖＳｂｏｘの出力値を出力する（ステップＳ２１０）。この後、ステップＳ２０６に戻り、次のラウンドについて同様の処理が繰り返される。

ステップＳ２０６でラウンドが最終ラウンドであると判定された場合（ステップＳ２０６：Ｙｅｓ）、以下のように最終ラウンドの処理が実行される。

まず、ＡｄｄＲｏｕｎｄＫｅｙ２０４ｋによる処理が実行される（ステップＳ２１１）。アンマスク処理部２２５ｋは、出力マスクの左４ビットｏｍＬ、および、右４ビットｏｍＲを用いたアンマスク処理を、それぞれ異なるタイミングで実行する（ステップＳ２１２）。出力部２１０ｂは、アンマスク処理の結果であるデータを出力し（ステップＳ２１３）、復号処理を終了する。

（第２の実施形態）
第２の実施形態は、第１の実施形態と異なるマスク対策を行う。本実施形態でも、マスクを分割した分割マスクが、相互に異なるタイミングで演算に用いられる。本実施形態で用いられる用語は、特に記載がない限り第１の実施形態と同じである。

本実施形態では、ＳｕｂＢｙｔｅに入力される入力データにかかるマスクが２種類存在する。２種類の入力マスクの一方を入力マスクＡ（ｉｍａ）とし、他方を入力マスクＢ（ｉｍｂ）とする。入力データが１６バイトであるため、各入力マスクも１６バイトである。入力マスクＡの各バイトを、ｉｍａ０～ｉｍａ１５と表す。入力マスクＢの各バイトを、ｉｍｂ０～ｉｍｂ１５と表す。

同様に、ＳｕｂＢｙｔｅから出力される出力データにかかるマスクが２種類存在する。２種類の出力マスクの一方を出力マスクＡ（ｏｍａ）とし、他方を出力マスクＢ（ｏｍｂ）とする。出力マスクも１６バイトである。出力マスクＡの各バイトを、ｏｍａ０～ｏｍａ１５と表す。出力マスクＢの各バイトを、ｏｍｂ０～ｏｍｂ１５と表す。

入力マスクｉｍａ０をビット反転した値がｉｍｂ０である。出力マスクｏｍａ０をビット反転した値がｏｍｂ０である。他の１５バイトについても同様である。

０バイト目の入力マスクＡ（ｉｍａ０）の左４ビットをｉｍａ０Ｌと表し、右４ビットをｉｍａ０Ｒと表す。０バイト目の入力マスクＢ（ｉｍｂ０）の左４ビットをｉｍｂ０Ｌと表し、右４ビットをｉｍｂ０Ｒと表す。

０バイト目の出力マスクＡ（ｏｍａ０）の左４ビットをｏｍａ０Ｌと表し、右４ビットをｏｍａ０Ｒと表す。０バイト目の出力マスクＢ（ｏｍｂ０）の左４ビットをｏｍｂ０Ｌと表し、右４ビットをｏｍｂ０Ｒと表す。

選択部（後述）は、入力マスクｉｍａ０Ｌと入力マスクｉｍｂ０Ｌのいずれかを選択する。選択された入力マスクをｉｍｓ０Ｌと表す。選択部は、入力マスクｉｍａ０Ｒと入力マスクｉｍｂ０Ｒのいずれかを選択する。選択された入力マスクをｉｍｓ０Ｒと表す。選択部は、出力マスクｏｍａ０Ｌと出力マスクｏｍｂ０Ｌのいずれかを選択する。選択された出力マスクをｏｍｓ０Ｌと表す。選択部は、出力マスクｏｍａ０Ｒと出力マスクｏｍｂ０Ｒのいずれかを選択する。選択された出力マスクをｏｍｓ０Ｒと表す。他の１５バイトについても同様である。

各マスクのバイトをまとめる場合、それぞれ以下のように表される。
・入力マスクＡの０から１５バイト目の左４ビット：ｉｍａＬ
・入力マスクＡの０から１５バイト目の右４ビット：ｉｍａＲ
・入力マスクＢの０から１５バイト目の左４ビット：ｉｍｂＬ
・入力マスクＢの０から１５バイト目の右４ビット：ｉｍｂＲ
・出力マスクＡの０から１５バイト目の左４ビット：ｏｍａＬ
・出力マスクＡの０から１５バイト目の右４ビット：ｏｍａＲ
・出力マスクＢの０から１５バイト目の左４ビット：ｏｍｂＬ
・出力マスクＢの０から１５バイト目の右４ビット：ｏｍｂＲ
・選択された入力マスクの０から１５バイト目の左４ビット：ｉｍｓＬ
・選択された入力マスクの０から１５バイト目の右４ビット：ｉｍｓＲ
・選択された出力マスクの０から１５バイト目の左４ビット：ｏｍｓＬ
・選択された出力マスクの０から１５バイト目の右４ビット：ｏｍｓＲ

各ラウンドのＳｂｏｘ以外の処理には、各ラウンドおよび各バイトで異なるマスクがかかる。このマスクは、ランダムマスクとする。ｉラウンド目のｊバイト目のＳｕｂＢｙｔｅ出力にかかるランダムマスクを、ｒｉ＿ｊと表記する。このランダムマスクは（ｉ＋１）ラウンド目のｊバイト目のＳｕｂＢｙｔｅに入力する前に除去する必要がある。ランダムマスクｒｉ＿ｊを除去するためのデータをｒ’ｉ＿ｊと表記する。ｒｉ＿０～ｒｉ＿１５をまとめてｒｉと表記する。

ランダムマスクｒｉ＿ｊの左４ビットをｒｉ＿ｊＬと表し、ランダムマスクｒｉ＿ｊの右４ビットをｒｉ＿ｊＲと表す。ランダムマスクｒｉ＿０Ｌ～ｒｉ＿１５ＬをまとめてｒｉＬと表す。ランダムマスクｒｉ＿０Ｒ～ｒｉ＿１５ＲをまとめてｒｉＲと表す。

本実施形態も第１の実施形態と同様に、１バイトすなわち８ビットの中間データにかかる８ビットのマスクを、４ビット単位で２つに分割して扱う。分割方法はこれに限らず、例えば２ビット単位で４つ、１ビット単位で８つに分割してもよい。

以下、本実施形態の暗号化装置および復号装置の構成例について説明する。図１、図２、および、第１の実施形態と重複する機能については同一の符号を付し、説明は省略する。

図９、図１０Ａ、および、図１０Ｂは、本実施形態の暗号化装置の構成の一例を示すブロック図である。図９、図１０Ａ、および、図１０Ｂは、一部共通する要素があるが、本実施形態の暗号化装置は、各図に記載された要素を備えるように構成される。

図９に示すように、本実施形態の暗号化装置は、マスク記憶部１３１－２と、選択部１４２－２Ｌ－０、１４２－２Ｒ－０、１４３－２Ｌ－０、１４３－２Ｒ－０と、ＳｕｂＢｙｔｅ１０５－２と、入力マスク変換部１２６－２と、出力マスク変換部１２７－２と、を備えている。

なお、図９では説明の便宜のため、０バイト目の処理に関連する構成のみを記載しているが、１バイト目から１５バイト目の処理に対する構成も同様に備えられる。例えば、選択部１４２－２Ｌ－０、１４２－２Ｒ－０、１４３－２Ｌ－０、１４３－２Ｒ－０の「０」を１～１５に置き換えた符号で識別される１５個の選択部が、それぞれ暗号化装置内に備えられる。以下では、各バイトで区別する必要がない場合は、選択部１４２－２Ｌ、１４２－２Ｒ、１４３－２Ｌ、１４３－２Ｒとして説明する。

また、図９では、図１０Ａ、図１０Ｂに記載されたＳｕｂＢｙｔｅ１０５－２ｂ～１０５－２ｋが共通化されてＳｕｂＢｙｔｅ１０５－２として記載されている。同様に、入力マスク変換部１２６－２ｂ～１２６－２ｋが共通化されて入力マスク変換部１２６－２として記載されている。また、出力マスク変換部１２７－２ｂ～１２７－２ｋが共通化されて出力マスク変換部１２７－２として記載されている。以下では、各ラウンドで区別する必要がない場合は、ＳｕｂＢｙｔｅ１０５－２、入力マスク変換部１２６－２、および、出力マスク変換部１２７－２として説明する。

なお、図１０Ａ、図１０Ｂ内の各部で用いられる入力マスク（ｉｍｓＬ、ｉｍｓＲ）、出力マスク（ｏｍｓＬ、ｏｍｓＲ）、および、ランダムマスク（ｒｉＬ、ｒｉＲ）は、図９で示す機能によりマスク記憶部１３１－２から読み出され、各部に入力される。

図１０Ａ、図１０Ｂに示すように、本実施形態の暗号化装置は、入力部１０１－２ａと、出力部１０１ｂと、鍵記憶部１０２と、ラウンド鍵生成部１０３と、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａ～１０４ｋと、ＳｕｂＢｙｔｅ１０５－２ｂ～１０５－２ｋと、ＳｈｉｆｔＲｏｗ１０６ｂ～１０６ｋと、ＭｉｘＣｏｌｕｍｎ１０７ｂ～１０７ｊと、マスク処理部１２１－２ａと、アンマスク処理部１２５－２ｋ（演算部の一例）と、入力マスク変換部１２６－２ｂ～１２６－２ｋ（演算部の一例）と、出力マスク変換部１２７－２ｂ～１２７－２ｋ（演算部の一例）と、マスク変換用データ生成部１２２－２ｂ～１２２－２ｊ（生成部の一例）と、アンマスク用データ生成部１２４－２ｋ（生成部の一例）と、を備える。以下では、各ラウンドで区別する必要がない場合は、マスク変換用データ生成部１２２－２ｂ～１２２－２ｊをマスク変換用データ生成部１２２－２として説明する。

マスク記憶部１３１－２（図９）は、１バイトすなわち８ビットのマスクを、以下のように分割して記憶する。以下では０バイト目のマスクの例を記載するが、他の１５バイトも同様である。
・入力マスクｉｍａ０：左４ビットｉｍａ０Ｌ、および、右４ビットｉｍａ０Ｒ
・入力マスクｉｍｂ０：左４ビットｉｍｂ０Ｌ、および、右４ビットｉｍｂ０Ｒ
・出力マスクｏｍａ０：左４ビットｏｍａ０Ｌ、および、右４ビットｏｍａ０Ｒ
・出力マスクｏｍｂ０：左４ビットｏｍｂ０Ｌ、および、右４ビットｏｍｂ０Ｒ
・ランダムマスクｒｉ＿０：左４ビットｒｉ＿０Ｌ、および、右４ビットｒｉ＿０Ｒ

なお、マスク付きＳｂｏｘが１６個より少ないｋ個（１≦ｋ≦１５）の場合は、マスク記憶部１３１－２は、対応する入力マスクと出力マスクもそれぞれｋ個記憶する。

マスク記憶部１３１－２は、暗号処理のすべての時間ですべてのマスクを記憶しなくてもよい。例えばマスク記憶部１３１－２は、暗号処理のうち一部の時間のみ、必要なマスクを記憶し、使用したマスクを削除してもよい。マスク記憶部１３１－２は、例えば、ラウンド１用のランダムマスクは、ラウンド１の処理時とラウンド２の処理時のみ記憶してもよい。

入力部１０１－２ａ（図１０Ａ）は、外部から平文を受け付ける。入力部１０１－２ａは、ランダムマスクを受け付けてマスク記憶部１３１－２に記憶してもよい。入力部１０１－２ａは、選択用データを受け付けてもよい。選択用データは、選択部１４２－２Ｌ、１４２－２Ｒ、１４３－２Ｌ、１４３－２Ｒが、２種類のマスクのいずれを選択するかを指定するためのデータである。選択用データは、２種類のマスクそれぞれに対応する２種類のマスク付きＳｂｏｘ（マスクＡ付きＳｂｏｘ、マスクＢ付きＳｂｏｘ）のいずれか一方の出力値（Ｓｂｏｘ出力値）を選択するためにも用いられる。

マスク処理部１２１－２ａ（図１０Ａ）は、ランダムマスクｒ０と、平文の各バイトとの排他的論理和を計算する。マスク処理部１２１－２ａは、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａの後にあってもよい。

選択部１４２－２Ｌ、１４２－２Ｒ（図９）は、入力マスク変換部１２６－２に入力するためのマスクを選択する。例えば選択部１４２－２Ｌは、選択用データｓｅｌを入力され、選択用データｓｅｌの値に応じて、ｉｍａＬおよびｉｍｂＬのいずれかを入力マスクｉｍｓＬとして選択する。選択部１４２－２Ｒは、選択用データｓｅｌを入力され、選択用データｓｅｌの値に応じて、ｉｍａＲおよびｉｍｂＲのいずれかを入力マスクｉｍｓＲとして選択する。

選択部１４３－２Ｌ、１４３－２Ｒ（図９）は、出力マスク変換部１２７－２に入力するためのマスクを選択する。例えば選択部１４３－２Ｌは、選択用データｓｅｌを入力され、選択用データｓｅｌの値に応じて、ｏｍａＬおよびｏｍｂＬのいずれかを出力マスクｏｍｓＬとして選択する。選択部１４３－２Ｒは、選択用データｓｅｌを入力され、選択用データｓｅｌの値に応じて、ｏｍａＲおよびｏｍｂＲのいずれかを出力マスクｏｍｓＲとして選択する。

選択用データｓｅｌはどのような値が指定されてもよいが、例えば、選択用データｓｅｌが０の場合に、入力マスクＡ（ｉｍａ）および出力マスクＡ（ｏｍａ）が選択され、ｓｅｌが１の場合に、入力マスクＢ（ｉｍｂ）および出力マスクＢ（ｏｍｂ）が選択されるように構成することができる。

各選択部は、マスクの左４ビットの選択、および、右４ビットの選択を、異なるタイミングで行う。例えば、選択部１４２－２Ｌが入力マスクｉｍａＬとｉｍｂＬのいずれかを選択して選択した入力マスクｉｍｓＬを出力する処理と、選択部１４２－２Ｒが入力マスクｉｍａＲとｉｍｂＲのいずれかを選択して選択した入力マスクｉｍｓＲを出力する処理とは、相互に異なるタイミングで実行される。

選択用データｓｅｌの値は、バイトごと、ラウンドごと、および、暗号処理ごとに変更されてもよい。選択用データｓｅｌの値は、上述のように入力部１０１－２ａから入力されてもよい。暗号化装置が乱数生成部を備え、乱数生成部が生成した乱数に応じた選択用データを用いるように構成してもよい。

入力マスク変換部１２６－２は、暗号処理の中間データと、選択された入力マスクｉｍｓ０Ｌおよびｉｍｓ０Ｒと、ランダムマスク除去用データｒ’ｉ＿０Ｌおよびｒ’ｉ＿０Ｒ（ｉ＝１～１０の場合。ｉ＝０のときはｒｉ＿０Ｌおよびｒｉ＿０Ｒ）と、が入力される。なお、ランダムマスク除去用データは、マスク変換用データ（第１マスク）の一例である。

入力マスク変換部１２６－２は、暗号処理の中間データと入力マスクｉｍｓ０Ｌの排他的論理和を計算し、その結果と入力マスクｉｍｓ０Ｒの排他的論理和を計算し、その結果とランダムマスク除去用データｒｉ＿０Ｌの排他的論理和を計算し、その結果とマスク除去用データｒｉ＿０Ｒの排他的論理和を計算して出力する。他の１５バイトも同様である。

入力マスク変換部１２６－２は、入力マスクｉｍｓ０Ｌの入力および計算と、入力マスクｉｍｓ０Ｒの入力および計算とを、それぞれ異なるタイミングで行う。同様に入力マスク変換部１２６－２は、ランダムマスク除去用データｒｉ＿０Ｌの入力および計算と、ｒｉ＿０の入力および計算とを、それぞれ異なるタイミングで行う。

入力マスクｉｍｓ０Ｌとｉｍｓ０Ｒの計算順序は入れ替わってもよい。ランダムマスク除去用データｒ’ｉ＿０Ｌとランダムマスク除去用データｒ’ｉ＿０Ｒの計算順序は入れ替わってもよい。バイトごとおよびラウンドごとの少なくとも一方で、計算順序が変わってもよい。

ＳｕｂＢｙｔｅ１０５－２は、バイトごとに２種類のマスク付きＳｂｏｘ（ＭＳＢａ０～ＭＳＢａ１５、ＭＳＢｂ０～ＭＳＢｂ１５）を備えること、および、２種類のマスク付きＳｂｏｘの出力値のいずれかを選択するための選択部１４１－２－０～１４１－２－１５を備えることが、第１の実施形態のＳｕｂＢｙｔｅ１０５ｂ～１０５ｋと異なっている。

ＳｕｂＢｙｔｅ１０５－２は、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａ～１０４ｊの出力である１６バイトのマスク付き中間データが入力される。中間データの０バイト目は、０バイト目のマスク付きＳｂｏｘであるＭＳＢａ０に入力され、ルックアップテーブルからＭＳＢａ０の出力値の０バイト目が出力される。中間データの０バイト目は、０バイト目のマスク付きＳｂｏｘであるＭＳＢｂ０に入力され、ルックアップテーブルからＭＳＢｂ０の出力値の０バイト目が出力される。

選択部１４１－２－０は、選択用データｓｅｌに基づいてＭＳＢａ０の出力値とＭＳＢｂ０の出力値の一方を選択して出力する。選択用データｓｅｌはどのような値が指定されてもよいが、入力マスクおよび出力マスクの選択と連動する値とすることができる。例えば、選択用データｓｅｌが０の場合に、入力マスクＡ（ｉｍａ）、出力マスクＡ（ｏｍａ）、および、ＭＳＢａ０の出力値が選択され、ｓｅｌが１の場合に、入力マスクＢ（ｉｍｂ）、出力マスクＢ（ｏｍｂ）、および、ＭＳＢｂ０の出力値が選択されるように構成することができる。

ＳｕｂＢｙｔｅ１０５－２は、他の１５バイトについても同様に計算し、マスク付きＳｂｏｘの出力値を出力する。

図１１は、ＳｕｂＢｙｔｅ１０５－２内で用いられるマスク付きＳｂｏｘ（ＭＳＢａ０、ＭＳＢｂ０）の構成の一例を示すブロック図である。マスク付きＳｂｏｘは、１バイト入力１バイト出力のルックアップテーブルとして機能する。入出力値はともに０から２５５をとる。

マスク付きＳｂｏｘの０バイト目であるＭＳＢａ０のルックアップテーブルは、入力値と入力マスクｉｍａ０の排他的論理和をＳｂｏｘに入力し、Ｓｂｏｘの出力と出力マスクｏｍａ０の排他的論理和を出力値とする。

マスク付きＳｂｏｘの０バイト目であるＭＳＢｂ０のルックアップテーブルは、入力値と入力マスクｉｍｂ０の排他的論理和をＳｂｏｘに入力し、Ｓｂｏｘの出力と出力マスクｏｍｂ０の排他的論理和を出力値とする。他の１５バイト（ＭＳＢａ１～ＭＳＢａ１５、ＭＳＢｂ１～ＭＳＢｂ１５）も同様である。

実施形態では、１６個のマスク付きＳｂｏｘの入出力マスクは相互に異なる。また、各バイトのマスク付きＳｂｏｘは、複数回の暗号処理を実行する場合であっても毎回同一であり、各ラウンドでも同一である。マスク付きＳｂｏｘの構成はこれに限られず、例えば、暗号処理の実行ごと、または、ラウンドごとに、用意した１６個のマスク付きＳｂｏｘをシャッフルして用いてもよい。また、１６個より少ないマスク付きＳｂｏｘを用意して、バイト間で重複して用いてもよい。１個のマスク付きＳｂｏｘを用意してすべてのバイトで同一のマスク付きＳｂｏｘを用いてもよい。

図１０Ａ、図１０Ｂに戻り、出力マスク変換部１２７－２は、暗号処理の中間データ（ＳｕｂＢｙｔｅ１０５－２の出力値）と、選択された出力マスクｏｍｓ０Ｌとｏｍｓ０Ｒと、ランダムマスクｒｉ＿０Ｌとｒｉ＿０Ｒ（ｉ＝１～１０）とが入力される。

出力マスク変換部１２７－２は、暗号処理の中間データとランダムマスクｒｉ＿０Ｌの排他的論理和を計算し、その結果とランダムマスクｒｉ＿０Ｒの排他的論理和を計算して出力し、その結果と出力マスクｏｍｓ０Ｌの排他的論理和を計算し、その結果と出力マスクｏｍｓ０Ｒの排他的論理和を計算する。他の１５バイトも同様である。

出力マスク変換部１２７－２は、出力マスクｏｍｓ０Ｌの入力および計算と、出力マスクｏｍｓ０Ｒの入力および計算とを、それぞれ異なるタイミングで行う。また出力マスク変換部１２７－２は、ランダムマスクｒｉ＿０Ｌの入力および計算と、ランダムマスクｒｉ＿０Ｒの入力および計算とを、それぞれ異なるタイミングで行う。異なるタイミングで行うことの意味は、入力マスク変換部１２６－２と同様である。

入力マスクｉｍｓ０Ｌとｉｍｓ０Ｒの計算順序は入れ替わってもよい。ランダムマスクｒｉ＿０Ｌとランダムマスクｒｉ＿０の計算順序は入れ替わってもよい。バイトごとおよびラウンドごとの少なくとも一方で、計算順序が変わってもよい。

マスク変換用データ生成部１２２－２は、マスク記憶部１３１－２から１６個のランダムマスクの左４ビットｒｉ＿０Ｌ～ｒｉ＿１５Ｌを読み出し、それぞれ４ビットを上位４ビットとし下位４ビットは０として１個のマスクを８ビットとして、１６バイトのデータにする。マスク変換用データ生成部１２２－２は、その１６バイトのデータに対してＳｈｉｆｔＲｏｗ処理を行う。マスク変換用データ生成部１２２－２は、ＳｈｉｆｔＲｏｗ出力値に対して、ＭｉｘＣｏｌｕｍｎ処理を行う。マスク変換用データ生成部１２２－２は、ＭｉｘＣｏｌｕｍｎ出力値をランダムマスク除去用データｒ’ｉ＿０Ｌ～ｒ’ｉ＿１５Ｌとする。

同様に、マスク変換用データ生成部１２２－２は、マスク記憶部１３１－２から１６個のランダムマスク右４ビットｒｉ＿０Ｒ～ｒｉ＿１５Ｒを読み出し、その４ビットを下位４ビットとして上位４ビットは０として１個のマスクを８ビットとして、１６バイトのデータにする。マスク変換用データ生成部１２２－２は、その１６バイトのデータに対してＳｈｉｆｔＲｏｗ処理を行う。マスク変換用データ生成部１２２－２は、ＳｈｉｆｔＲｏｗ出力値に対して、ＭｉｘＣｏｌｕｍｎ処理を行う。マスク変換用データ生成部１２２－２は、ＭｉｘＣｏｌｕｍｎ出力値をランダムマスク除去用データｒ’ｉ＿０Ｒ～ｒ’ｉ＿１５Ｒとする。

マスク変換用データ生成部１２２－２は、ランダムマスク除去用データｒ’ｉ＿０Ｌ～ｒ’ｉ＿１５Ｌとランダムマスク除去用データｒ’ｉ＿０Ｒ～ｒ’ｉ＿１５Ｒとを、それぞれ異なるタイミングで計算および出力する。

マスク変換用データ生成部１２２－２は、ランダムマスク除去用データｒ’ｉ＿０Ｌ～ｒ’ｉ＿１５ＬのＭｉｘＣｏｌｕｍｎ出力値を、以下の方法で生成してもよい。まずマスク変換用データ生成部１２２－２は、マスク記憶部１３１－２から１６個の出力マスクの左４ビットｒｉ＿０Ｌ～ｒｉ＿１５Ｌを読み出し、それぞれ４ビットを下位４ビットとし上位４ビットは０として１個のマスクを８ビットとして扱う。マスク変換用データ生成部１２２－２は、１６個の出力マスクに対してＳｈｉｆｔＲｏｗ処理を行う。マスク変換用データ生成部１２２－２は、ＳｈｉｆｔＲｏｗ出力値に対して、ＭｉｘＣｏｌｕｍｎ処理を行い、その結果を１６倍する。

ＡＥＳの最終ラウンド以外は、上記と同様の処理が実行される。ＡＥＳの最終ラウンドでは、ＭｉｘＣｏｌｕｍｎ処理は実行されない。すなわち、ＳｕｂＢｙｔｅ１０５－２ｋ、ＳｈｉｆｔＲｏｗ１０６ｋ、および、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｋの処理のみが実行される。

アンマスク用データ生成部１２４－２ｋは、マスク記憶部１３１－２から１６個のランダムマスクの左４ビットｒ１０＿０Ｌ～ｒ１０＿１５Ｌを読み出し、それぞれ４ビットを上位４ビットとし下位４ビットは０として１個のマスクを８ビットとして、１６バイトのデータにする。アンマスク用データ生成部１２４－２ｋは、その１６バイトのデータに対してＳｈｉｆｔＲｏｗ処理を行う。アンマスク用データ生成部１２４－２ｋは、ＳｈｉｆｔＲｏｗ出力値をアンマスク用データｒ’１０＿０Ｌ～ｒ’１０＿１５Ｌとする。

同様に、アンマスク用データ生成部１２４－２ｋは、マスク記憶部１３１－２から１６個のランダムマスクの右４ビットｒ１０＿０Ｒ～ｒ１０＿１５Ｒを読み出し、その４ビットを下位４ビットとして上位４ビットは０として１個のマスクを８ビットとして１６バイトのデータにする。アンマスク用データ生成部１２４－２ｋは、その１６バイトのデータに対してＳｈｉｆｔＲｏｗ処理を行う。アンマスク用データ生成部１２４－２ｋは、ＳｈｉｆｔＲｏｗ出力値をアンマスク用データｒ’１０＿０Ｒ～ｒ’１０＿１５Ｒとする。

アンマスク用データ生成部１２４－２ｋは、アンマスク用データｒ’１０＿０Ｌ～ｒ’１０＿１５Ｌと、アンマスク用データｒ’１０＿０Ｒ～ｒ’１０＿１５Ｒとを、それぞれ異なるタイミングで計算および出力する。

アンマスク処理部１２５－２ｋは、１６バイトのマスク付き暗号文とアンマスク用データｒ’１０＿０Ｌ～ｒ’１０＿１５Ｌとアンマスク用データｒ’１０＿０Ｒ～ｒ’１０＿１５Ｒとが入力される。アンマスク処理部１２５－２ｋは、マスク付き暗号文とアンマスク用データｒ’１０＿０Ｌ～ｒ’１０＿１５Ｌとの排他的論理和を計算し、その結果とアンマスク用データｒ’１０＿０Ｒ～ｒ’１０＿１５Ｒとの排他的論理和を計算し、その結果である暗号文を出力部１０１ｂに入力する。

アンマスク用データｒ’１０＿０Ｌ～ｒ’１０＿１５Ｌと、アンマスク用データｒ’１０＿０Ｒ～ｒ’１０＿１５Ｒの計算順序は入れ替わってもよい。アンマスク処理部１２５－２ｋの後にＡｄｄＲｏｕｎｄＫｅｙ処理が実行されてもよい。

次に、このように構成された第２の実施形態にかかる暗号化装置による暗号化処理について説明する。図１２は、第２の実施形態における暗号化処理の一例を示すフローチャートである。

ステップＳ３０１、ステップＳ３０２は、第１の実施形態の暗号化処理を示す図５のステップＳ１０１、ステップＳ１０２と同様である。

マスク処理部１２１－２ａは、ランダムマスクｒ０と、平文の各バイトとの排他的論理和を計算する（ステップＳ３０３）。

ＡｄｄＲｏｕｎｄＫｅｙ１０４ａは、マスク処理部１２１－２ａによりマスク処理が行われた平文に対してＡｄｄＲｏｕｎｄＫｅｙ変換処理を行う（ステップＳ３０４）。

入力マスク変換部１２６－２ｂは、分割マスク（入力マスクｉｍｓＬ、ｉｍｓＲ）それぞれの変換を、相互に異なるタイミングで実行する（ステップＳ３０５）。なお、この処理の前までに、選択用データｓｅｌの値に応じてｉｍａＬおよびｉｍｂＬのいずれかが入力マスクｉｍｓＬとして選択される。同様に、選択用データｓｅｌの値に応じてｉｍａＲおよびｉｍｂＲのいずれかが入力マスクｉｍｓＲとして選択される。

ＳｕｂＢｙｔｅ１０５－２ｂは、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａの出力である１６バイトのマスク付きの中間データを入力とし、マスク付きＳｂｏｘの出力値を出力する。このとき、ＳｕｂＢｙｔｅ１０５－２ｂ内の選択部１４１－２は、選択用データｓｅｌに基づいてＭＳＢａ０の出力値とＭＳＢｂ０の出力値の一方を選択して出力する（ステップＳ３０６）。

出力マスク変換部１２７－２ｂは、分割マスク（出力マスクｏｍｓＬ、ｏｍｓＲ）それぞれの変換を、相互に異なるタイミングで実行する（ステップＳ３０７）。なお、この処理の前までに、選択用データｓｅｌの値に応じてｏｍａＬおよびｏｍｂＬのいずれかが入力マスクｏｍｓＬとして選択される。同様に、選択用データｓｅｌの値に応じてｏｍａＲおよびｏｍｂＲのいずれかが入力マスクｏｍｓＲとして選択される。入力マスクの選択と、出力マスクの選択とは、異なるタイミングで実行される。

暗号化装置は、ラウンドが最終ラウンドか否かを判定する（ステップＳ３０８）。ラウンドが最終ラウンドでない場合（ステップＳ３０８：Ｎｏ）、ＳｈｉｆｔＲｏｗ１０６ｂによる処理、ＭｉｘＣｏｌｕｍｎ１０７ｂによる処理、および、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｂによる処理が順に実行される（ステップＳ３０９）。

マスク変換用データ生成部１２２－２ｂは、分割マスク（ランダムマスクの左４ビット、ランダムマスクの右４ビット）を用いて、ランダムマスク除去用データｒ’ｉ＿０Ｌ～ｒ’ｉ＿１５Ｌとランダムマスク除去用データｒ’ｉ＿０Ｒ～ｒ’ｉ＿１５Ｒとを、それぞれ異なるタイミングで計算および出力する（ステップＳ３１０）。この後、ステップＳ３０５に戻り、次のラウンドについて同様の処理が繰り返される。

ステップＳ３０８でラウンドが最終ラウンドであると判定された場合（ステップＳ３０８：Ｙｅｓ）、以下のように最終ラウンドの処理が実行される。

まず、ＳｈｉｆｔＲｏｗ１０６ｋによる処理、および、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｋによる処理が順に実行される（ステップＳ３１１）。アンマスク用データ生成部１２４－２ｋは、分割マスクを用いて、アンマスク用データｒ’１０＿０Ｌ～ｒ’１０＿１５Ｌと、アンマスク用データｒ’１０＿０Ｒ～ｒ’１０＿１５Ｒとを、それぞれ異なるタイミングで計算および出力する（ステップＳ３１２）。

アンマスク処理部１２５－２ｋは、アンマスク用データｒ’１０＿０Ｌ～ｒ’１０＿１５Ｌを用いたアンマスク処理と、アンマスク用データｒ’１０＿０Ｒ～ｒ’１０＿１５Ｒを用いたアンマスク処理とを、それぞれ異なるタイミングで実行する（ステップＳ３１３）。出力部１１０ｂは、アンマスク処理部１２５－２ｋの処理結果であるデータを出力し（ステップＳ３１４）、暗号化処理を終了する。

暗号化装置は、ランダムマスクｒ０＿０Ｒ～ｒ０＿１５Ｒと、ｒ１０＿０Ｒ～ｒ１０＿１５Ｒとを用いないように構成してもよい。図１３Ａ、図１３Ｂは、このように構成される変形例の暗号化装置の一例を示すブロック図である。変形例の暗号化装置は、マスク処理部１２１－２ａ、アンマスク用データ生成部１２４－２ｋ、および、アンマスク処理部１２５－２ｋが削除されること、並びに、入力マスク変換部１２６－２’ｂおよび出力マスク変換部１２７－２’ｋの機能が、第２の実施形態と異なっている。

入力マスク変換部１２６－２’ｂは、ランダムマスクｒ０＿０Ｒ～ｒ０＿１５Ｒを用いた排他的論理和を実行しない点が、第２の実施形態の入力マスク変換部１２６－２ｂと異なる。

出力マスク変換部１２７－２’ｋは、ランダムマスクｒ１０＿０Ｒ～ｒ１０＿１５Ｒを用いた排他的論理和を実行しない点が、第２の実施形態の出力マスク変換部１２７－２ｋと異なる。

次に、第２の実施形態の復号装置について説明する。図１４Ａおよび図１４Ｂは、本実施形態の復号装置の構成の一例を示すブロック図である。第１の実施形態の復号装置と同様の構成については同一の符号を付し、説明を省略する。

第２の実施形態の復号装置は、入力部２０１ａと、出力部２０１ｂと、鍵記憶部２０２と、ラウンド鍵生成部２０３と、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａ～２０４ｋと、ＩｎｖＳｈｉｆｔＲｏｗ２０５ａ～２０５ｊと、ＩｎｖＳｕｂＢｙｔｅ２０６－２ｂ～２０６－２ｋと、ＩｎｖＭｉｘＣｏｌｕｍｎ２０７ｂ～２０７ｊと、マスク記憶部２３１－２と、マスク処理部２２１－２ａと、アンマスク処理部２２５－２ｋと、入力マスク変換部２２６－２ｂ～２２６－２ｋと、出力マスク変換部２２７－２ｂ～２２７－２ｋと、マスク変換用データ生成部２２２－２ｂ～２２２－２ｊと、を備える。

ＩｎｖＳｕｂＢｙｔｅ２０６－２ｂ～２０６－２ｋ、マスク記憶部２３１－２、マスク処理部２２１－２ａ、入力マスク変換部２２６－２ｂ～２２６－２ｋ、および、出力マスク変換部２２７－２ｂ～２２７－２ｋは、暗号化装置のＳｕｂＢｙｔｅ１０５－２ｂ～１０５－２ｋ、マスク記憶部１３１－２、マスク処理部１２１－２ａ、入力マスク変換部１２６－２ｂ～１２６－２ｋ、および、出力マスク変換部１２７－２ｂ～１２７－２ｋと同様の構成とすることができる。

アンマスク処理部２２５－２ｋは、アンマスク用データｒ’１０＿０Ｌ～ｒ’１０＿１５Ｌとアンマスク用データｒ’１０＿０Ｒ～ｒ’１０＿１５Ｒの代わりに、マスク記憶部２３１から読み出したランダムマスクの左４ビットｒ１０＿０Ｌ～ｒ１０＿１５Ｌと、ランダムマスクの右４ビットｒ１０＿０Ｒ～ｒ１０＿１５Ｒと、を用いる点が、暗号化装置のアンマスク処理部１２５－２ｋと異なっている。

マスク変換用データ生成部２２２－２ｂ～２２２－２ｊは、マスク変換用データ生成部１２２－２ｂ～１２２－２ｊ内のＳｈｉｆｔＲｏｗおよびＭｉｘＣｏｌｕｍｎの代わりに、それぞれＩｎｖＭｉｘＣｏｌｕｍｎおよびＩｎｖＳｈｉｆｔＲｏｗを備える。

次に、このように構成された第２の実施形態にかかる復号装置による復号処理について説明する。図１５は、第２の実施形態における復号処理の一例を示すフローチャートである。

まず、入力部２０１ａは暗号文を受け付ける（ステップＳ４０１）。次に、ラウンド鍵生成部２０３は、鍵記憶部２０２に記憶される秘密鍵を用いて１１個の１２８ビットのラウンド鍵ｄ２０３ａ～ｄ２０３ｋを計算する（ステップＳ４０２）。

マスク処理部２２１－２ａは、ランダムマスクｒ０と、暗号文の各バイトとの排他的論理和を計算する（ステップＳ４０３）。

暗号文に対して、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａによる処理、および、ＩｎｖＳｈｉｆｔＲｏｗ２０５ａによる処理が実行される（ステップＳ４０４）。

入力マスク変換部２２６－２ｂは、分割マスク（入力マスクｉｍｓＬ、ｉｍｓＲ）それぞれの変換を、相互に異なるタイミングで実行する（ステップＳ４０５）。なお、この処理の前までに、選択用データｓｅｌの値に応じてｉｍａＬおよびｉｍｂＬのいずれかが入力マスクｉｍｓＬとして選択される。同様に、選択用データｓｅｌの値に応じてｉｍａＲおよびｉｍｂＲのいずれかが入力マスクｉｍｓＲとして選択される。

ＩｎｖＳｕｂＢｙｔｅ２０６－２ｂは、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａの出力である１６バイトのマスク付きの中間データを入力とし、マスク付きＳｂｏｘの出力値を出力する。このとき、ＩｎｖＳｕｂＢｙｔｅ２０６－２ｂ内の選択部は、選択用データｓｅｌに基づいてＭＳＢａ０の出力値とＭＳＢｂ０の出力値の一方を選択して出力する（ステップＳ４０６）。

出力マスク変換部２２７－２ｂは、分割マスク（出力マスクｏｍｓＬ、ｏｍｓＲ）それぞれの変換を、相互に異なるタイミングで実行する（ステップＳ４０７）。なお、この処理の前までに、選択用データｓｅｌの値に応じてｏｍａＬおよびｏｍｂＬのいずれかが入力マスクｏｍｓＬとして選択される。同様に、選択用データｓｅｌの値に応じてｏｍａＲおよびｏｍｂＲのいずれかが入力マスクｏｍｓＲとして選択される。入力マスクの選択と、出力マスクの選択とは、異なるタイミングで実行される。

復号装置は、ラウンドが最終ラウンドか否かを判定する（ステップＳ４０８）。ラウンドが最終ラウンドでない場合（ステップＳ４０８：Ｎｏ）、ＡｄｄＲｏｕｎｄＫｅｙ２０４ｂによる処理、ＩｎｖＭｉｘＣｏｌｕｍｎ２０７ｂによる処理、および、ＩｎｖＳｈｉｆｔＲｏｗ２０５ｂによる処理が順に実行される（ステップＳ４０９）。

マスク変換用データ生成部２２２－２ｂは、分割マスク（ランダムマスクの左４ビット、ランダムマスクの右４ビット）を用いて、ランダムマスク除去用データｒ’ｉ＿０Ｌ～ｒ’ｉ＿１５Ｌとランダムマスク除去用データｒ’ｉ＿０Ｒ～ｒ’ｉ＿１５Ｒとを、それぞれ異なるタイミングで計算および出力する（ステップＳ４１０）。この後、ステップＳ４０５に戻り、次のラウンドについて同様の処理が繰り返される。

ステップＳ４０８でラウンドが最終ラウンドであると判定された場合（ステップＳ４０８：Ｙｅｓ）、以下のように最終ラウンドの処理が実行される。

まず、ＡｄｄＲｏｕｎｄＫｅｙ２０４ｋによる処理が実行される（ステップＳ４１１）。アンマスク処理部２２５－２ｋは、ランダムマスクの左４ビットｒ１０＿０Ｌ～ｒ１０＿１５Ｌを用いたアンマスク処理と、ランダムマスクの右４ビットｒ１０＿０Ｒ～ｒ１０＿１５Ｒを用いたアンマスク処理とを、それぞれ異なるタイミングで実行する（ステップＳ４１２）。出力部１１０ｂは、アンマスク処理の結果であるデータを出力し（ステップＳ４１３）、復号処理を終了する。

（第３の実施形態）
第３の実施形態は、さらに、第１の実施形態および第２の実施形態と異なるマスク対策を行う。本実施形態では、前のラウンドでマスク変換部により生成されたマスクを用いて、次のラウンドのマスク変換用データが生成される。本実施形態でも、マスクを分割した分割マスクが、相互に異なるタイミングで演算に用いられる。本実施形態で用いられる用語は、特に記載がない限り第１の実施形態と同じである。

１バイト入出力の線形変換をΦと表す。Φの逆変換をΦ^－１と表す。Φ（ａ）＋Φ（ｂ）＝Φ（ａ＋ｂ）が成立し、Φ^－１（Φ（ａ））＝ａが成立する。暗号処理の中間データ１６バイトに対して、線形変換Φ０～Φ１５が定められる。線形変換Φ０～Φ１５は、相互に異なる線形変換でもよいし、一部または全部に重複があってもよい。以下では、線形変換Φ０～Φ１５は、相互に異なる線形変換であるものとして説明する。線形変換Φ０に対して、マスク付きＳｂｏｘが定められる。このマスク付きＳｂｏｘを、ＭＳＢ０と表す。ｆ０Ｌ、ｆ０Ｒは、４ビット入出力の任意の関数である。ｆ０Ｌ、ｆ０Ｒは、４ビット入力、８ビット出力の関数であってもよい。他の１５バイトについても同様である。

１６バイトのランダムマスクをｒ０＿０～ｒ０＿１５と表す。また、これらをまとめてｒ０と表す。ｉラウンド目のｊバイト目のランダムマスクをｒｉ＿ｊと表す。ｒｉ＿０～ｒｉ＿１５をまとめてｒｉと表記する。

ランダムマスクｒｉ＿ｊの左４ビットをｒｉ＿ｊＬと表し、ランダムマスクｒｉ＿ｊの右４ビットをｒｉ＿ｊＲと表す。ランダムマスクｒｉ＿０Ｌ～ｒｉ＿１５ＬをまとめてｒｉＬと表す。ランダムマスクｒｉ＿０Ｒ～ｒｉ＿１５ＲをまとめてｒｉＲと表す。

本実施形態も第１の実施形態と同様に、１バイトすなわち８ビットの中間データにかかる８ビットのマスクを、４ビット単位で２つに分割して扱う。分割方法はこれに限らず、例えば２ビット単位で４つ、１ビット単位で８つに分割してもよい。

以下、本実施形態の暗号化装置および復号装置の構成例について説明する。図１、図２、第１の実施形態、第２の実施形態と重複する機能については同一の符号を付し、説明は省略する。

図１６Ａおよび図１６Ｂは、本実施形態の暗号化装置の構成の一例を示すブロック図である。本実施形態の暗号化装置は、入力部１０１－２ａと、出力部１０１ｂと、鍵記憶部１０２と、ラウンド鍵生成部１０３と、ＡｄｄＲｏｕｎｄＫｅｙ１０４ａ～１０４ｋと、ＳｕｂＢｙｔｅ１０５－３ｂ～１０５－３ｋと、ＳｈｉｆｔＲｏｗ１０６ｂ～１０６ｋと、ＭｉｘＣｏｌｕｍｎ１０７ｂ～１０７ｊと、マスク記憶部１３１－３と、マスク処理部１２１－２ａと、アンマスク処理部１２５－３ｋ（演算部の一例）と、マスク変換部１２８－３ｂ～１２８－３ｊ（演算部の一例）と、マスク変換用データ生成部１２２－３ｂ～１２２－３ｊ（生成部の一例）と、アンマスク用データ生成部１２４－３ｋ（生成部の一例）と、を備える。

以下では、各ラウンドで区別する必要がない場合は、ＳｕｂＢｙｔｅ１０５－３ｂ～１０５－３ｋをＳｕｂＢｙｔｅ１０５－３と記載し、マスク変換部１２８－３ｂ～１２８－３ｊをマスク変換部１２８－３と記載し、マスク変換用データ生成部１２２－３ｂ～１２２－３ｊをマスク変換用データ生成部１２２－３と記載する。

マスク記憶部１３１－３は、１バイトすなわち８ビットのマスクｒ０＿０を左４ビットｒ０＿０Ｌと右４ビットｒ０＿０Ｒに分割して記憶する。他の１５バイトも同様である。マスク記憶部１３１－３は、マスクの計算途中のデータを記憶してもよい。

マスク記憶部１３１－３は、暗号処理のすべての時間ですべてのマスクを記憶しなくてもよい。例えばマスク記憶部１３１－３は、暗号処理のうち一部の時間のみ、必要なマスクを記憶し、使用したマスクを削除してもよい。マスク記憶部１３１－３は、例えば、マスクｒ０＿０をラウンド２の処理後に削除してもよい。

マスク変換部１２８－３は、暗号処理の中間データを線形変換Φ０で変換する。マスク変換部１２８－３は、その結果と入力されたマスクｒ０＿０Ｌを線形変換Φ０で変換した結果の排他的論理和を計算する。マスク変換部１２８－３は、その結果と入力されたマスクｒ０＿０Ｒを線形変換Φ０で変換した結果の排他的論理和を計算する。以下では、その結果をΦ０（ｘ）と表す。

マスク変換部１２８－３は、Φ０（ｘ）をＳｕｂＢｙｔｅ１０５－３に入力する。以下では、Φ０（ｘ）の左４ビットをΦ０（ｘ）Ｌと表し、右４ビットをΦ０（ｘ）Ｒと表す。マスク変換部１２８－３は、Φ０（ｘ）ＬとΦ０（ｘ）Ｒをそれぞれ区別してマスク記憶部１３１－３に記憶する。マスク変換部１２８－３の計算結果であるΦ０（ｘ）ＬとΦ０（ｘ）Ｒは、次のラウンドで用いられる分割マスクに相当すると解釈することができる。マスク変換部１２８－３は、マスクｒ０＿０Ｌとマスクｒ０＿０Ｒの読み出しおよび計算を、それぞれ異なるタイミングで行う。他の１５バイトも同様である。

マスクｒ０＿０Ｌ～ｒ０＿１５Ｌの読み出しおよび計算は、同一のタイミングで行われてもよい。マスクｒ０＿０Ｒ～ｒ０＿１５Ｒの読み出しおよび計算は、同一のタイミングで行われてもよい。

ＳｕｂＢｙｔｅ１０５－３は、線形変換された暗号処理の中間データが入力される。中間データの０バイト目は、０バイト目のマスク付きＳｂｏｘであるＭＳＢ０に入力され、ルックアップテーブルからＭＳＢ０の出力値の０バイト目が出力される。

図１７は、ＳｕｂＢｙｔｅ１０５－３内で用いられるマスク付きＳｂｏｘ（ＭＳＢ０）の構成の一例を示すブロック図である。図１８は、マスク付きＳｂｏｘの入出力の関係を示す図である。マスク付きＳｂｏｘは、１バイト入力１バイト出力のルックアップテーブルとして機能する。入出力値はともに０から２５５をとる。

マスク付きＳｂｏｘの０バイト目であるＭＳＢ０のルックアップテーブルは以下のように機能する。線形変換Φ０の逆変換により入力値を計算した結果がマスク付きＳｂｏｘに入力される。Ｓｂｏｘ出力と、入力値を関数ｆ０Ｌで計算した結果の排他的論理和が計算される。その結果と、入力値を関数ｆ０Ｒで計算した結果の排他的論理和が計算される。その結果が入力値に対するＭＳＢ０の出力値とされる。他の１５バイトも同様である。

実施形態では、１６個のマスク付きＳｂｏｘの入出力マスクは相互に異なる。また、各バイトのマスク付きＳｂｏｘは、複数回の暗号処理を実行する場合であっても毎回同一であり、各ラウンドでも同一である。マスク付きＳｂｏｘの構成はこれに限られず、例えば、暗号処理の実行ごと、または、ラウンドごとに、用意した１６個のマスク付きＳｂｏｘをシャッフルして用いてもよい。また、１６個より少ないマスク付きＳｂｏｘを用意して、バイト間で重複して用いてもよい。１個のマスク付きＳｂｏｘを用意してすべてのバイトで同一のマスク付きＳｂｏｘを用いてもよい。

マスク変換用データ生成部１２２－３は、次のラウンドのマスク変換部１２８－３に入力するマスク変換用データ（第１マスクの一例）を生成する。例えばマスク変換用データ生成部１２２－３は、マスク記憶部１３１－３からΦ０（ｘ）Ｌ～Φ１５（ｘ）Ｌを読み出し、読み出した１６個の４ビットのデータごとに関数ｆ０Ｌの計算を行う。マスク変換用データ生成部１２２－３は、関数ｆ０Ｌの結果をそれぞれ上位４ビットにし、下位４ビットを０とした１６バイトのデータを生成し、そのデータに対してＳｈｉｆｔＲｏｗ処理を行う。ｆ０Ｌが４ビット入力、８ビット出力の関数の場合、マスク変換用データ生成部１２２－３は、１６個のｆ０Ｌの出力を含む１６バイトのデータに対して、ＳｈｉｆｔＲｏｗ処理を行うことができる。マスク変換用データ生成部１２２－３は、ＳｈｉｆｔＲｏｗ出力値に対して、ＭｉｘＣｏｌｕｍｎ処理を行う。マスク変換用データ生成部１２２－３は、ＭｉｘＣｏｌｕｍｎ出力値を次のマスク変換部１２８－３の入力ｒ１＿０Ｌ～ｒ１＿１５Ｌとする。

マスク変換用データ生成部１２２－３は、マスク記憶部１３１－３からΦ０（ｘ）Ｒ～Φ１５（ｘ）Ｒを読み出し、読み出した１６個の４ビットのデータごとに関数ｆ０Ｒの計算を行う。マスク変換用データ生成部１２２－３は、関数ｆ０Ｒの結果をそれぞれ下位４ビットにし上位４ビットを０とした１６バイトのデータを生成し、そのデータに対してＳｈｉｆｔＲｏｗ処理を行う。ｆ０Ｒが４ビット入力、８ビット出力の関数の場合、マスク変換用データ生成部１２２－３は、１６個のｆ０Ｒの出力を含む１６バイトのデータに対して、ＳｈｉｆｔＲｏｗ処理を行うことができる。マスク変換用データ生成部１２２－３は、ＳｈｉｆｔＲｏｗ出力値に対して、ＭｉｘＣｏｌｕｍｎ処理を行う。マスク変換用データ生成部１２２－３は、ＭｉｘＣｏｌｕｍｎ出力値を次のマスク変換部１２８－３の入力ｒ１＿０Ｒ～ｒ１＿１５Ｒとする。

マスク変換用データ生成部１２２－３は、ｒ１＿０Ｌ～ｒ１＿１５Ｌの計算と、ｒ１＿０Ｒ～ｒ１＿１５Ｒの計算とを、それぞれ異なるタイミングで行う。

ＡＥＳの最終ラウンド以外は、上記と同様の処理が実行される。ＡＥＳの最終ラウンドでは、ＭｉｘＣｏｌｕｍｎ処理は実行されない。すなわち、ＳｕｂＢｙｔｅ１０５－３ｋ、ＳｈｉｆｔＲｏｗ１０６ｋ、および、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｋの処理のみが実行される。

アンマスク用データ生成部１２４－３ｋは、アンマスク処理部１２５－３ｋに入力するアンマスク用データ（第１マスクの一例）を生成する。例えばアンマスク用データ生成部１２４－３ｋは、マスク記憶部１３１－３からΦ０（ｘ）Ｌ～Φ１５（ｘ）Ｌを読み出し、読み出した１６個の４ビットのデータごとに関数ｆ０Ｌの計算を行う。マスク変換用データ生成部１２２－３ｋは、関数ｆ０Ｌの結果をそれぞれ上位４ビットにし、下位４ビットを０とした１６バイトのデータを生成し、そのデータに対してＳｈｉｆｔＲｏｗ処理を行う。ｆ０Ｌが４ビット入力、８ビット出力の関数の場合、アンマスク用データ生成部１２４－３ｋは、１６個のｆ０Ｌの出力を含む１６バイトのデータに対して、ＳｈｉｆｔＲｏｗ処理を行うことができる。アンマスク用データ生成部１２４－３ｋは、ＳｈｉｆｔＲｏｗ出力値をアンマスク処理部１２５－３ｋへの入力ｒ１０＿０Ｌ～ｒ１０＿１５Ｌとして出力する。

アンマスク用データ生成部１２４－３ｋは、マスク記憶部１３１－３からΦ０（ｘ）Ｒ～Φ１５（ｘ）Ｒを読み出し、読み出した１６個の４ビットのデータごとに関数ｆ０Ｒの計算を行う。マスク変換用データ生成部１２２－３ｋは、関数ｆ０Ｒの結果をそれぞれ下位４ビットにし上位４ビットを０とした１６バイトのデータを生成し、そのデータに対してＳｈｉｆｔＲｏｗ処理を行う。ｆ０Ｒが４ビット入力、８ビット出力の関数の場合、アンマスク用データ生成部１２４－３ｋは、１６個のｆ０Ｒの出力を含む１６バイトのデータに対して、ＳｈｉｆｔＲｏｗ処理を行うことができる。アンマスク用データ生成部１２４－３ｋは、ＳｈｉｆｔＲｏｗ出力値を次のマスク変換部１２８－３の入力ｒ１０＿０Ｒ～ｒ１０＿１５Ｒとして出力する。

アンマスク用データ生成部１２４－３ｋは、ｒ１０＿０Ｌ～ｒ１０＿１５Ｌの計算と、ｒ１０＿０Ｒ～ｒ１０＿１５Ｒの計算とを、それぞれ異なるタイミングで行う。

アンマスク処理部１２５－３ｋは、１６バイトのマスク付き暗号文とアンマスク用データｒ１０＿０Ｌ～ｒ１０＿１５Ｌとアンマスク用データｒ１０＿０Ｒ～ｒ１０＿１５Ｒと、を入力される。アンマスク処理部１２５－３ｋは、マスク付き暗号文とアンマスク用データｒ１０＿０Ｌ～ｒ１０＿１５Ｌとの排他的論理和を計算し、その結果とアンマスク用データｒ１０＿０Ｒ～ｒ１０＿１５Ｒとの排他的論理和を計算し、その結果である暗号文を出力部１０１ｂに入力する。

アンマスク用データｒ１０＿０Ｌ～ｒ１０＿１５Ｌと、アンマスク用データｒ１０＿０Ｒ～ｒ１０＿１５Ｒの計算順序が入れ替わってもよい。アンマスク処理部１２５－３ｋの後にＡｄｄＲｏｕｎｄＫｅｙ処理が実行されてもよい。

アンマスク処理部１２５－３ｋは、アンマスク用データｒ１０＿０Ｌ～ｒ１０＿１５Ｌの計算と、アンマスク用データｒ１０＿０Ｒ～ｒ１０＿１５Ｒの計算とを、異なるタイミングで行わなくてもよい。また、アンマスク処理部１２５－３ｋの前に、各バイトのアンマスク用データｒ１０＿０Ｌ～ｒ１０＿１５Ｌと、アンマスク用データｒ１０＿０Ｒ～ｒ１０＿１５Ｒとの排他的論理和が計算されてもよい。この場合、アンマスク処理部１２５－３ｋは、この排他的論理和の結果と、マスク付き暗号文との排他的論理和を計算し、その結果を暗号文としてもよい。

次に、このように構成された第３の実施形態にかかる暗号化装置による暗号化処理について説明する。図１９は、第３の実施形態における暗号化処理の一例を示すフローチャートである。

ステップＳ５０１～ステップＳ５０４は、第２の実施形態の暗号化処理を示す図１２のステップＳ３０１～ステップＳ３０４と同様である。

マスク変換部１２８－３ｂは、分割マスク（マスクｒ０＿０Ｌ～ｒ０＿１５Ｌ、マスクｒ０＿０Ｒ～ｒ０＿１５Ｒ）それぞれの変換を、相互に異なるタイミングで実行する（ステップＳ５０５）。

ＳｕｂＢｙｔｅ１０５－３ｂは、マスク変換部１２８－３ｂの出力である１６バイトのマスク付きの中間データを入力とし、マスク付きＳｂｏｘの出力値を出力する（ステップＳ５０６）。

暗号化装置は、ラウンドが最終ラウンドか否かを判定する（ステップＳ５０７）。ラウンドが最終ラウンドでない場合（ステップＳ５０７：Ｎｏ）、ＳｈｉｆｔＲｏｗ１０６ｂによる処理、ＭｉｘＣｏｌｕｍｎ１０７ｂによる処理、および、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｂによる処理が順に実行される（ステップＳ５０８）。

マスク変換用データ生成部１２２－３ｂは、分割マスク（Φ０（ｘ）Ｌ～Φ１５（ｘ）Ｌ、Φ０（ｘ）Ｒ～Φ１５（ｘ）Ｒ）を用いて、次のマスク変換処理で用いられるマスクｒ１＿０Ｌ～ｒ１＿１５Ｌと、ｒ１＿０Ｒ～ｒ１＿１５Ｒとを、それぞれ異なるタイミングで計算および出力する（ステップＳ５０９）。この後、ステップＳ５０５に戻り、次のラウンドについて同様の処理が繰り返される。

ステップＳ５０７でラウンドが最終ラウンドであると判定された場合（ステップＳ５０７：Ｙｅｓ）、以下のように最終ラウンドの処理が実行される。

まず、ＳｈｉｆｔＲｏｗ１０６ｋによる処理、および、ＡｄｄＲｏｕｎｄＫｅｙ１０４ｋによる処理が順に実行される（ステップＳ５１０）。アンマスク用データ生成部１２４－３ｋは、分割マスクを用いて、アンマスク用データｒ１０＿０Ｌ～ｒ１０＿１５Ｌと、アンマスク用データｒ１０＿０Ｒ～ｒ１０＿１５Ｒとを、それぞれ異なるタイミングで計算および出力する（ステップＳ５１１）。

アンマスク処理部１２５－３ｋは、アンマスク用データｒ１０＿０Ｌ～ｒ１０＿１５Ｌを用いたアンマスク処理と、アンマスク用データｒ１０＿０Ｒ～ｒ１０＿１５Ｒを用いたアンマスク処理とを、それぞれ異なるタイミングで実行する（ステップＳ５１２）。出力部１１０ｂは、アンマスク処理部１２５－３ｋの処理結果であるデータを出力し（ステップＳ５１３）、暗号化処理を終了する。

次に、第３の実施形態の復号装置について説明する。図２０Ａおよび図２０Ｂは、本実施形態の復号装置の構成の一例を示すブロック図である。第１の実施形態および第２の実施形態の復号装置と同様の構成については同一の符号を付し、説明を省略する。

第３の実施形態の復号装置は、入力部２０１ａと、出力部２０１ｂと、鍵記憶部２０２と、ラウンド鍵生成部２０３と、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａ～２０４ｋと、ＩｎｖＳｈｉｆｔＲｏｗ２０５ａ～２０５ｊと、ＩｎｖＳｕｂＢｙｔｅ２０６－３ｂ～２０６－３ｋと、ＩｎｖＭｉｘＣｏｌｕｍｎ２０７ｂ～２０７ｊと、マスク記憶部２３１－３と、マスク処理部２２１－２ａと、アンマスク処理部２２５－３ｋと、マスク変換部２２８－３ｂ～２２８－３ｋと、マスク変換用データ生成部２２２－３ｂ～２２２－３ｊと、を備える。

マスク記憶部２３１－２、マスク処理部２２１－２ａ、および、マスク変換部２２８－３ｂ～２２８－３ｋは、暗号化装置のマスク記憶部１３１－３、マスク処理部１２１－２ａ、および、マスク変換部１２８－３ｂ～１２８－３ｋと同様の構成とすることができる。

アンマスク処理部２２５－３ｋは、アンマスク用データｒ１０＿０Ｌ～ｒ１０＿１５Ｌとアンマスク用データｒ１０＿０Ｒ～ｒ１０＿１５Ｒの代わりに、これらのデータに基づいてマスク変換用データ生成部２２２－３により計算されたアンマスク用データを用いる点が、暗号化装置のアンマスク処理部１２５－３ｋと異なっている。

マスク変換用データ生成部２２２－３ｂ～２２２－３ｊは、マスク変換用データ生成部１２２－３ｂ～１２２－３ｊ内のＳｈｉｆｔＲｏｗおよびＭｉｘＣｏｌｕｍｎの代わりに、それぞれＩｎｖＭｉｘＣｏｌｕｍｎおよびＩｎｖＳｈｉｆｔＲｏｗを備える。

なお、ＳｕｂＢｙｔｅ２０５－３内で用いられるマスク付きＳｂｏｘの構成は、Ｓｂｏｘの代わりにＩｎｖＳｂｏｘが用いられる以外は、暗号化装置のＳｕｂＢｙｔｅ１０５－３内で用いられるマスク付きＳｂｏｘと同様である。

次に、このように構成された第３の実施形態にかかる復号装置による復号処理について説明する。図２１は、第３の実施形態における復号処理の一例を示すフローチャートである。

ステップＳ６０１～ステップＳ６０４は、第２の実施形態の復号処理を示す図１５のステップＳ４０１～ステップＳ４０４と同様である。

マスク変換部２２８－３ｂは、分割マスク（マスクｒ１＿０Ｌ～ｒ１＿１５Ｌ、マスクｒ１＿０Ｒ～ｒ１＿１５Ｒ）それぞれの変換を、相互に異なるタイミングで実行する（ステップＳ６０５）。

ＩｎｖＳｕｂＢｙｔｅ２０６－３ｂは、ＡｄｄＲｏｕｎｄＫｅｙ２０４ａの出力である１６バイトのマスク付きの中間データを入力とし、マスク付きＳｂｏｘの出力値を出力する（ステップＳ６０６）。

復号装置は、ラウンドが最終ラウンドか否かを判定する（ステップＳ６０７）。ラウンドが最終ラウンドでない場合（ステップＳ６０７：Ｎｏ）、ＡｄｄＲｏｕｎｄＫｅｙ２０４ｂによる処理、ＩｎｖＭｉｘＣｏｌｕｍｎ２０７ｂによる処理、および、ＩｎｖＳｈｉｆｔＲｏｗ２０５ｂによる処理が順に実行される（ステップＳ６０８）。

マスク変換用データ生成部２２２－３ｂは、分割マスク（Φ０（ｘ）Ｌ～Φ１５（ｘ）Ｌ、Φ０（ｘ）Ｒ～Φ１５（ｘ）Ｒ）を用いて、次のマスク変換処理で用いられるマスクｒ２＿０Ｌ～ｒ２＿１５Ｌと、ｒ２＿０Ｒ～ｒ２＿１５Ｒとを、それぞれ異なるタイミングで計算および出力する（ステップＳ６０９）。この後、ステップＳ６０５に戻り、次のラウンドについて同様の処理が繰り返される。

ステップＳ６０７でラウンドが最終ラウンドであると判定された場合（ステップＳ６０７：Ｙｅｓ）、以下のように最終ラウンドの処理が実行される。

まず、ＡｄｄＲｏｕｎｄＫｅｙ２０４ｋによる処理が実行される（ステップＳ６１０）。アンマスク用データ生成部２２４－３ｋは、分割マスクを用いて、左４ビット用のアンマスク用データと、右４ビット用のアンマスク用データとを、それぞれ異なるタイミングで計算および出力する（ステップＳ６１１）。

アンマスク処理部２２５－３ｋは、左４ビット用のアンマスク用データを用いたアンマスク処理と、右４ビット用のアンマスク用データを用いたアンマスク処理とを、それぞれ異なるタイミングで実行する（ステップＳ６１２）。出力部１１０ｂは、アンマスク処理の結果であるデータを出力し（ステップＳ６１３）、復号処理を終了する。

（変形例）
異なるタイミングで実行する複数の処理の実行順序は、固定である必要はなく、例えば暗号処理の実行ごとにランダムに入れ替えてもよい。例えば、左４ビットと右４ビットとに２分割する構成の場合、いずれを先に実行するかがランダムに決定されてもよい。マスク変換用データ生成部の内部に含まれる複数のＭｉｘＣｏｌｕｍｎ（複数のＩｎｖＭｉｘＣｏｌｕｍｎ）の処理順序がランダムに決定されてもよい。

（ハードウェア構成）
暗号処理装置の各部は、例えば、１または複数のプロセッサにより実現される。例えば上記各部は、ＣＰＵ（Central Processing Unit）などのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＩＣ（Integrated Circuit）などのプロセッサ、すなわちハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。

各部をハードウェアにより実現する場合、異なるタイミングでの処理は、異なるクロックで行うように構成すればよい。

次に、第１から第３の実施形態にかかる暗号処理装置のハードウェア構成について図２２を用いて説明する。図２２は、第１から第３の実施形態にかかる暗号処理装置のハードウェア構成例を示す説明図である。

第１から第３の実施形態にかかる暗号処理装置は、ＣＰＵ（Central Processing Unit）５１などの制御装置と、ＲＯＭ（Read Only Memory）５２およびＲＡＭ（Random Access Memory）５３などの記憶装置と、ネットワークに接続して通信を行う通信Ｉ／Ｆ５４と、各部を接続するバス６１を備えている。

第１から第３の実施形態にかかる暗号処理装置で実行されるプログラムは、ＲＯＭ５２等に予め組み込まれて提供される。

第１から第３の実施形態にかかる暗号処理装置で実行されるプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ（Compact Disk Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ－Ｒ（Compact Disk Recordable）、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録してコンピュータプログラムプロダクトとして提供されるように構成してもよい。

さらに、第１から第３の実施形態にかかる暗号処理装置で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、第１から第３の実施形態にかかる暗号処理装置で実行されるプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。

第１から第３の実施形態にかかる暗号処理装置で実行されるプログラムは、コンピュータを上述した暗号処理装置の各部として機能させうる。このコンピュータは、ＣＰＵ５１がコンピュータ読取可能な記憶媒体からプログラムを主記憶装置上に読み出して実行することができる。

以上説明したとおり、第１から第３の実施形態によれば、高次ＤＰＡ、ＣＰＡ、および、ＤＬＰＡを含む電力解析に耐性を持つ暗号処理装置を提供することができる。上記実施形態によれば、１バイトのマスク付き中間データにかかる１バイトのマスクは、分割されて記憶および処理される。これにより、電力解析でマスク１バイト分の情報を得るためには、複数点の電力値が必要となる。ＤＰＡおよびＣＰＡでは、攻撃の次数を上げる必要があり、攻撃へのコストが増す。ＤＬＰＡでは、入力ノード数が増加するため、ハイパーパラメータの探索が困難になり、攻撃へのコストが増す。分割マスクの演算順序を暗号処理の各実行で入れ替えた場合、ある１ビットに着目した攻撃で１ビット分の情報を得たいときに複数点の電力値が必要となり攻撃コストが増す。またその場合、ある１点の電力にリークする情報は各暗号処理の実行で異なり、例えば１回目の暗号処理では分割マスクＭ１の情報がリークして２回目の暗号処理では分割マスクＭ２の情報がリークし、ある１点の電力から分割マスクＭ１の情報が得たい場合に分割マスクＭ２の情報がノイズとなり、ノイズの多い電力を用いると攻撃が困難になる。また、メモリ領域の大きいマスク付きＳｂｏｘを増やさず、コストのかかる乱数量を増大させずに、ＳｈｉｆｔＲｏｗ処理およびＭｉｘＣｏｌｕｍｎ処理等の増加のみで対策が可能である。このため、高次ＤＰＡ対策およびＣＰＡ対策より効率的に、サイドチャネル攻撃への対策を実現することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１００ 暗号化装置
２００ 復号装置
１０１ａ、２０１ａ 入力部
１０１ｂ、２０１ｂ 出力部
１０２、２０２ 鍵記憶部
１０３、２０３ ラウンド鍵生成部
１２１ａ、２２１ａ マスク処理部
１２２、１２２－２、１２２－３、２２２、２２２－２、２２２－３ マスク変換用データ生成部
１２３、１２８－３、２２３、２２８－３ マスク変換部
１２４、２２４ アンマスク用データ生成部
１２５ｋ、１２５－２ｋ、１２５－３ｋ、２２５ｋ、２２５－２ｋ、２２５－３ｋ アンマスク処理部
１２６－２、２２６－２ 入力マスク変換部
１２７－２、２２７－２ 出力マスク変換部
１３１、２３１ マスク記憶部

Claims (9)

1. 暗号処理の対象とするデータを複数に分割したデータのサイズに相当する予め定められたサイズの処理単位でマスク処理される入力文に適用するマスクであって、前記処理単位のデータをさらに分割したデータと同じサイズの複数の分割マスクを記憶するマスク記憶部と、
   前記マスク記憶部から、複数の前記分割マスクそれぞれを相互に異なるタイミングで読み出し、読み出した複数の前記分割マスクそれぞれを相互に異なるタイミングで用いて、複数の第１マスクを生成する生成部と、
   前記暗号処理の中間データに対して、複数の前記第１マスクそれぞれを相互に異なるタイミングで用いた演算処理を実行する演算部と、
   を備える暗号処理装置。
2. 前記暗号処理は、ラウンド関数に基づくラウンド処理を規定ラウンド数繰り返し、
   前記生成部は、ｉラウンド（ｉは１以上の整数）のラウンド処理の前記中間データに対するマスク処理で用いられた複数のマスクを変換するための複数の前記第１マスクを生成し、
   前記演算部は、（ｉ＋１）ラウンドのラウンド処理の前記中間データに対して、複数の前記第１マスクそれぞれを相互に異なるタイミングで用いた演算処理を実行する、
   請求項１に記載の暗号処理装置。
3. 前記暗号処理は、ラウンド関数に基づくラウンド処理を規定ラウンド数繰り返し、
   前記演算部は、ｉラウンド（ｉは１以上の整数）のラウンド処理の前記中間データに対する前記演算処理で用いた複数の前記第１マスクに基づく複数の計算結果それぞれを前記分割マスクとして前記マスク記憶部に記憶し、
   前記生成部は、前記マスク記憶部から、ｉラウンドのラウンド処理で前記演算部により記憶された複数の前記分割マスクそれぞれを相互に異なるタイミングで読み出し、読み出した複数の前記分割マスクそれぞれを相互に異なるタイミングで用いて、（ｉ＋１）ラウンドのラウンド処理で用いられる複数の前記第１マスクを生成する、
   請求項１に記載の暗号処理装置。
4. 前記処理単位のサイズは、（８×Ｌ）ビット（Ｌは１以上の整数）であり、
   前記分割マスクは、前記処理単位のサイズを２分割、４分割、または、８分割したサイズである、
   請求項１に記載の暗号処理装置。
5. 前記暗号処理および前記入力文は、それぞれ
   暗号化処理および平文である、または、
   復号処理および暗号文である、
   請求項１に記載の暗号処理装置。
6. 前記生成部は、前記暗号処理の実行ごとに異なる順序で複数の前記分割マスクを用いて、複数の前記第１マスクを生成する、
   請求項１に記載の暗号処理装置。
7. 前記演算部は、前記暗号処理の実行ごとに異なる順序で複数の前記第１マスクを用いた演算処理を実行する、
   請求項１に記載の暗号処理装置。
8. 暗号処理の対象とするデータを複数に分割したデータのサイズに相当する予め定められたサイズの処理単位でマスク処理される入力文に適用するマスクであって、前記処理単位のデータをさらに分割したデータと同じサイズの複数の分割マスクを記憶するマスク記憶部から、複数の前記分割マスクそれぞれを相互に異なるタイミングで読み出し、読み出した複数の前記分割マスクそれぞれを相互に異なるタイミングで用いて、複数の第１マスクを生成する生成ステップと、
   前記暗号処理の中間データに対して、複数の前記第１マスクそれぞれを相互に異なるタイミングで用いた演算処理を実行する演算ステップと、
   を含む暗号処理方法。
9. コンピュータに、
   暗号処理の対象とするデータを複数に分割したデータのサイズに相当する予め定められたサイズの処理単位でマスク処理される入力文に適用するマスクであって、前記処理単位のデータをさらに分割したデータと同じサイズの複数の分割マスクを記憶するマスク記憶部から、複数の前記分割マスクそれぞれを相互に異なるタイミングで読み出し、読み出した複数の前記分割マスクそれぞれを相互に異なるタイミングで用いて、複数の第１マスクを生成する生成ステップと、
   前記暗号処理の中間データに対して、複数の前記第１マスクそれぞれを相互に異なるタイミングで用いた演算処理を実行する演算ステップと、
   を実行させるためのプログラム。

Images