JPH02101491A - 検証装置及び検証方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 Ａ、産業上の利用分野 本発明は広くいえばデータ処理技術に関するものであり
、詳細にいえばデータ処理における暗号化の適用に関す
るものである。

Ｂ、従来技術及びその課題 電子データ安全保護を支援する各種の方法が存在してい
る。暗号化とは理解可能な情報を、見かけ上理解不能な
形態に変換し、この情報を許可を受けていない者に対し
て隠蔽することである。暗号化は地上回線、通信衛星、
及びマイクロ波施設を使用する通信ネットワークによっ
て伝送される情報を保護する、唯一の周知の実用的な方
法である。記憶されているデータを保護する最も経済的
な方法でもある。暗号プロシージャをデータのブライバ
シを保護するためだけでなく、データの保全性を保護す
るためにも使用できる。

データの暗号変換は通常、キーの制御下で選択されたア
ルゴリズムまたはプロシージャによって定義される。ア
ルゴリズムは通常公知の知識なので、変換または暗号化
されたデータが保護できるかどうかはキーを秘密に保て
るかどうかにかかっている。すなわち、不正使用者が周
知のアルゴリズムとキーを使用して簡単に暗号化データ
を回復するのを防止するため、キーを秘密にしなければ
ならない。したがって、データを保護するにはプライバ
シ・キーの保護が必要となる。

キー管理の新しい手法が、本発明と同時出願のＳ、Ｍ、
マティアス（Ｍａｔｙａｓ　）他の特許出願に記載され
ており、これは本発明の良好な背景をも提供する。本発
明は暗号キー及び方法を、暗号によってデータの機密性
及び保全性の保護に適用することを目的とするものであ
り、これに対しマティアス他の特許出願はキー自体の生
成、分配（配送）、及び管理を対象とするものである。

データの暗号化及び非暗号化（復号化ともいう）を行な
う従来方法は、盗聴者の攻撃を防止するためのキー及び
データ操作の複雑なシーケンスへと発展してきた。これ
らのシーケンスが複雑となったので、安全システムの安
全保護管理が困難となった。処理装置または処理装置の
システムの変更には、費用がかかる。必要なことは、キ
ー及びこれらのキーによって暗号化されたデータの使用
を管理する優れた方法である。重要なのは、システム管
理者がある種のデータと対応するキーの分離を維持する
機能を含め、システムの安全保護機能を指定できること
である。システムの安全保護を最大限のものとするには
、管理者が動的に、公表せずに、これを簡単に行なえな
ければならない。システム管理者はシステムに対して安
全保護方針を強制し、ユーザ、データ、キー、及び実行
できる暗号操作に制限を課すことができなければならな
い。この強制は管理者が容易に行なえ、しかも攻撃者に
よる破壊に対し安全でなければならない。

融通性及び安全保護という機能は、従来技術では達成が
困難であった。

したがって、本発明の目的は、データの暗号化の改善さ
れた方法を提供することである。

本発明の他の目的は、従来技術よりも柔軟性の高いデー
タの暗号化の改善された方法を提供することである。

本発明の他の目的は、システム管理者が設定した安全保
護方針にしたがって、データの暗号化、非暗号化（復号
化）または確証を行なうユーザの権限を管理する改善さ
れたデータ暗号方法を提供することである。

本発明の他の目的は、キーの記憶機構に、発送者ないし
は創作者が許可した態様で、このキーを使用する権限を
組み込む、データ暗号化方法を提供することである。

本発明の目的は、データ・ファイルを暗号化する機能を
提供し、一部が完全に暗号化され、他の部分を許可を受
けた受容者が非暗号化（復号化）できるようにして、フ
ァイルの安全保護を改善することである。

Ｃ３課題を解決するための手段 上記及びその他の目的、特徴及び利点は、本明細書に記
載された発明によって実現される。データの暗号化は、
データ暗号化キー、キーの発送者（創作者）が意図して
いるキーの使用に対する許可を与える制御ベクトルを組
み合わせることにより、改善された態様で実現される。

制御ベクトルによって指定される用途には、暗号化、非
暗号化（復号化）、確認コードの生成及び検査、ならび
にユーザのデータの変換に関する制限がある。本発明に
より、制御ベクトルを使用して、データ処理機能の複雑
な組合せが可能である。システム管理者は本発明による
適切な制御ベクトルを選択することによって、安全保護
方針の実施態様の変更を柔軟に行なえる。

暗号メール・ボックス、セツション保護、ファイル保護
、暗号テキスト変換センタ、対等通信暗号テキスト変換
、メツセージ確認、拒否不行使メツセージ確認などの複
雑なシナリオを、本発明により、制御ベクトルを使用し
て、システム設計者が容易に実施できる。

Ｄ、実施例 本明細書記載の発明の基礎となる暗号アーキテクチャ（
ＣＡ）の原理に関する総括的な説明については、上述の
本発明と同時出願のＳ、Ｍ、マティアス他の特許出願を
参照されたい。暗号アーキテクチャは、キーの発送者（
創作者）の意図と整合する態様で、キーの受領者または
ユーザにキーを使用させる制御ベクトルを採用すること
によって、構内暗号機構内、およびシステム間での厳密
なキー分離を実施する。

以下の暗号データ管理機能が本明細書記載の発明によっ
て提供される。

１、データの機密性。データの機密性はメツセージまた
はファイルの内容を、無許可の開示から保護する。

データの機密性の用途には、次のものが含まれる。

ａ、セツション保護。２つの通信装置間の機密性すいし
セツション・レベルのデータ伝送を保護するためのデー
タの暗号化。各エンド・ユーザ（装置またはアプリケー
ジジン）は共通データ暗号化／非暗号化（復号化）キー
を共用し、各エンド・ユーザが暗号データの送受信を行
なえるようにする。

ｂ、ファイル保護。データ・ファイルの機密性を保護す
るためのデータの暗号化。単一のエンド・ユーザ（装置
またはアプリケーション）はデータ暗号化／非暗号化（
復号化）キーを所有し、データを記憶のために暗号化し
、また後で、回復またはファイルへのアクセスのために
非暗号化（復号化）することを可能とする。

Ｃ０暗号メール・ボックス。暗号メール・ボックスは各
ユーザが、２つの形式でデータ／プライバラ・キーを有
しているマルチ・ユーザＯ境を記述する。最初の形式は
データの暗号化を可能とし、２番目の形式はデータの非
暗号化（復号化）を可能とする。最初の形式のキーはシ
ステムのすべてのユーザがアクセス可能な公開ディレク
トリまたは中央レジストリに置かれる。このように登録
された各キーは、キーを登録したユーザに属するユーザ
識別子に基づいて記録される。２番目の形式のキーは、
これが属するユーザによって内密のものとされる。それ
故、暗号化されたメツセージをユーザｊに送信しようと
考えるユーザｉは、まず公開ディレクトリに対して、ユ
ーザｊの暗号を要求する。このキーによって暗号化され
たデータは次いで、ユーザｊに送られ、ユーザｊのメー
ル・ボックスに入れられる。ユーザｊは自分の私用非暗
号化（復号化）キーを使用して、まず非暗号化（復号化
）を行なって、受け取ったメールを読むことができる。

しかしながら、他のユーザがユーザｊの非暗号化（復号
化）キーにアクセスできないのであるから、この環境は
ユーザが他の各ユーザに対するメールの暗号化はできる
が、許可を受けている指定された受信ユーザだけが自分
のメールを非暗号化（復号化）シ、読むことができると
いうものである。

ｄ、暗号テキスト変換センタ（ＣＴＣ）。暗号テキスト
変換センタは暗号データを、第１のデータ・キーによる
暗号から第２のデータ・キーによる暗号へ、安全に変換
できるネットワーク・ノードまたは装置である。要する
に、ＣＴＣは暗号データを受け取ることのできる１つま
たは複数のデータ・キーと、受け取った暗号データを再
暗号化することのできる１つまたは複数のデータ・キー
を有している。それ故、これらのキーは、ＣＴＣが暗号
テキストをあるキーから他のものに変換できるが、暗号
テキストを非暗号化することができない、安全なチャネ
ルを確立する。ＣＴＣはさらに、安全チャネルへデータ
を導入するために、１つまたは複数のこれらのデータ／
プライバラ・キーを使用してデータを暗号化することが
禁止される。

ｅ、対等通信暗号テキスト変換。この環境は２つまたは
それ以上のＣＴＣの連鎖で構成されており、これらのＣ
ＴＣはネットワーク装置の１つのセットから、ネットワ
ーク装置の他のセットへの安全なチャネルを確立する。

連鎖内の最初のＣＴＣは、暗号データを第１のセットの
ネットワーク装置から受け取れる１つまたは複数のデー
タ・キーををしている。連鎖内の各ＣＴＣは、暗号デー
タを再暗号化できるが、非暗号化（復号化）を行なえな
い１つまたは複数のデータ・キーを有している。ＣＴＣ
はさらに、安全チャネルへデータを導入するために、１
つまたは複数のこれらのキーを使用してデータを暗号化
することが禁止される。連鎖内の最後のＣＴＣは、第２
のセットのネットワーク装置のメンバーと共用している
１つまたは複数のデータ・キーに基づいて、暗号データ
を再暗号化する。

ｆ、暗号化ファイルの一部の変換。これは暗号化ファイ
ルの一部を、目的とする受信者と適宜共用できるキーに
変換できるアプリケーシヨンである。この方法はファイ
ルを暗号化するのに使用された元のデータ／プライバラ
・キーの共用を防止するものであるが、これは共用を行
なうと、共用を意図していないデータの機密性を危険に
さらす可能性があるからである。

２、データの保全性。データの保全性はメツセージまた
はファイルの内容を、無許可の修正から保護する。これ
はデータの変更、追加及び削除を含んでいる。暗号はデ
ータに対する無許可の変更を検出する方法を提供するだ
けである。データに対する無許可の変更を防ぐことはで
きない。

３、メツセージの確認。メツセージの確認は２つの通信
当事者の間で確立されるプロシージャであって、受け取
ったメツセージが真正なものであることを、各通信当事
者が検査することを可能とする。

通信当事者は人間、装置、あるいは処理機能である。メ
ツセージの確認によって、メツセージの受信者が次のこ
とを判断することを可能とする。

ａ、メツセージが疑わしい発送者によって発送された。

ｂ、メツセージの内容が偶然、または意図的に変更され
た。

Ｃ，メツセージがこれが伝送されたのと同じシーケンス
で受け取られた。

ｄ、メツセージが目的とする受信者に渡された。

換言すれば、メツセージの確認は受信者が、メツセージ
の発信元、内容、タイムリー性、及び目的とする宛先を
検証することを可能とする。メツセージ確認のアプリケ
ーションとしては、次のものが含まれる。

ａ、直接的なメツセージ確認 す、ＭＡＣＧＥＮ及びＭＡＣｖＥＲによる拒否不行使 第１図は、暗号機構を含むデータ処理システムの構成図
を示す。第１図で、データ処理システム２は、暗号機能
アクセス・プログラムや第２図に示すアプリケーション
・プログラムなどのプログラムを実行する。これらのプ
ログラム出力暗号サービスは、制御ベクトルに関連する
データを使用してデータ暗号操作を要求する。制御ベク
トルの一般形式を第１表に示す。制御ベクトルは、関連
するキーがその発送者（創作者）によって実行を許され
た機能を定義する。本明細書に記載する暗号アーキテク
チャの発明は、プログラムがデータ・セットに要求する
データ暗号機能が、キーの発送者（創作者）によって許
可されたことを妥当性検査する装置及び方法である。

第１図に示すように、暗号機構４がデータ処理システム
２内に含まれ、または関連付けられている。暗号機構４
は、安全保護境界６で特徴付けられる。入出力経路８は
、プログラムから暗号サービス要求、暗号キー及びそれ
らに関連する制御ベクトルを受け取るために安全境界６
を通過する。

入出力経路８は、暗号機構がらの暗号要求に対する応答
を出力する。安全境界６内には、バス・ユニット１２に
よって入出力経路８に接続された暗号命令記憶機構１０
が含まれている。制御ベクトル検査機構１４が、記憶機
構ｌｏ内の命令に結合されており、暗号処理機構１６も
命令記憶機構１０に接続されている。マスタ・キー記憶
機構１８は暗号処理装置１６に接続されている。暗号機
構４は、受け取ったサービス要求に応答してデータ暗号
機能を実行するための安全な場所をもたらす。

暗号命令記憶機構１０は、入出力経路８を介して、暗号
キーを用いてデータ暗号機能を実行することを求める暗
号サービス要求を受け取る。制御ベクトル検査機構１４
は、入出力経路８に接続された、暗号キーに関連する制
御ベクトルを受け取るための入力線を有する。制御ベク
トル検査機構１４はまた、暗号命令記憶機構１０に接続
された、制御ベクトルが暗号サービス要求から要求され
たデータ暗号機能を許可するかどうか検査を開始する制
御信号を受け取るための入力線も有する。

制御ベクトル検査装置１４は、暗号処理機構１６の入力
線に接続された、暗号処理機構１６が許可信号を受け取
ると、暗号キーを用いて要求されたデータ暗号機能の実
行を開始する、データ暗号機能が許可されたことを示す
信号を送るための許可出力線２０を有する。暗号キー記
憶機構２２は、入出力経路８を介して暗号機構１４に接
続される。

暗号キー記憶機構２２は、暗号キーを暗号化された形で
記憶する。暗号キーは、関連制御ベクトルとマスタ・キ
ー記憶機構１８に記憶されたマスタ・キーの論理積であ
る記憶キーのもとで暗号化される。

暗号キー記憶機構２２から暗号キーを回復する例は、暗
号命令記憶機構１０が入出力経路８を介して、暗号キー
記憶機構２２から暗号キーを回復することを求める暗号
サービス要求を受け取るときに見られる。制御ベクトル
検査機構１４は、それに応答して、暗号キーを回復する
機能が許可されたことを示す許可信号を、線２ｏを介し
て暗号処理機構１６に出方する。次いで、暗号処理機構
１６は、線２０で許可キーに応答して、暗号キー記憶機
構２２から暗号化された形の暗号キーを受け取り、関連
制御ベクトルとマスタ・キー記憶機構１８に記憶された
マスタ・キーの論理積である記憶キーのもとて暗号化さ
れた形の暗号キーを非暗号化（復号化）するよう動作す
る。

記憶キーは、関連制御ベクトルとマスタ・キー記憶機構
１８に記憶されたマスタ・キーの排他的論理和である。

この論理積は好ましい実施例では排他的論理和演算であ
るが、他の形の論理演算でもよい。

関連制御ベクトルは、第１表にその一般書式を示すが、
それに関連する暗号化された形の暗号キーを用いて暗号
キー記憶機構２２に記憶される。暗号記憶機構に記憶さ
れたすべてのキーはマスタ・キーのもとて暗号化されて
いるので、そこで暗号キーを暗号化及び非暗号化する均
一な方法が実施できる。

第１表にその一般書式を示した関連制御ベクトルは、デ
ータ暗号機能、データ暗号化／非暗号化機能及び個人識
別番号（ＰＩＮ）処理機能を含む許可されたタイプの暗
号機能を定義するフィールドを含む。データ暗号の応用
分野では、データ暗号機能のタイプはタイプ・フィール
ドで指定される。関連制御ベクトルは、キー及び関連す
る暗号化された情報の搬出制御及び使用を定義できる、
追加のフィールドをも含む。

以下に、本発明の構成要素と動作のより詳細な説明を示
す。

第２図は、暗号サブシステムの主要構成要素を示す。暗
号サブシステムは、暗号機構（ＣＦ）、暗号機構アクセ
ス・プログラム（ＣＥＡＰ）及びアプリケーション・プ
ログラム（ＡＰ）から構成される。通常、ＣＦは、物理
的に安全なボックス内でハードウェアによって実施され
る。その実施態様に応じて、ＣＦ、ＣＦＡＰ及びＡＰを
すべて物理的に安全なボックスに納めることができる。

暗号機構４は次のものから構成される。

キー・レジスタ レジスタとそれらの用途を以下に説明する。

マスタ・キー・レジスタ１８ マスタ・キー・レジスタは１２８ビット幅で、マスタ・
キーを含む。

新マスタ・キー（ＮＭＫ）レジスタ 新マスタ・キー・レジスタは１２８ピット幅で、現マス
タ・キーになる新マスタ・キーを含む。新マスタ・キー
は、特殊命令の後でだけ現マスタ・キーになり、新マス
ク・キーの値をマスタ・キー・レジスタにロードするた
めＳＭＫ命令が発行される。

旧マスタ・キー・レジスタ 旧マスタ・キー・レジスタは１２８ビット幅で、現マス
タ・キーで置換されたマスタ・キーを含む。マスタ・キ
ー更新機構は、現マスタ・キーが旧マスタ・キーになっ
た後で新マスタ・キーが現マスタ・キーになるようにな
っている。

キ一部分レジスタ キ一部分レジスタは１２８ビット幅で、任意選択の安全
保護された物理インターフェースを介してＣＦに接続さ
れたキー・パッドやキー・ボードなどのキー・ローディ
ング装置を介して導入されるキ一部分（構成要素）また
は完全なキーの値を含む。

作業用キー・レジスタ 性能上の理由で、システムは、それぞれ１２８ビット幅
で、迅速なアクセス用の即時作業用キーを含む作業用レ
ジスタを有する。

たとえば、データを暗号化するのに使用されるキーは、
最初の使用時に暗号化された形でＣＦに入れられる。次
に、それが非暗号化（復号化）されて、平文値が作業用
キー・レジスタの１つに記憶できる。その後、データの
暗号化または非暗号化（復号化）に使用する際には、こ
の平文値が特定の作業用キー・レジスタから迅速にアク
セスでき、したがってそれを使用する前にキーを繰り返
し非暗号化（復号化）するステップは不用になる。

プログラムＭＤＣレジスタ（ＰＭＤＣレジスタ） プログラムＭＤＣレジスタは６４ピント幅で、ＣＦ内の
プログラム・メモリにロードされるプログラムのＭＤＣ
を含む。

−データ・セットＭＤＣレジスタ（ＤＭＤＣレジスタ） データ・セットＭＤＣレジスタは６４ビット幅で、その
保全性がＣＦＡＰによって妥当性検査されるデータ・セ
ットのＭＤＣを含む。これは普通は少なくともキー記憶
データ・セットである。

暗号命令及び制御ベクトル検査アルゴリズム命令セット
及び制御ベクトル検査アルゴリズムは安全保護された暗
号機構で実施され、ランダム・アクセス・メモリである
暗号命令記憶機構１０に記憶される。それらのアルゴリ
ズムは、暗号処理機構１６として動作できるインテル８
０２８８などのマイクロプロセッサで実行される。制御
ベクトル検査機構１４も暗号処理機構１６で実施でき、
あるいは、制御、ベクトル検査機溝１４として働くイン
テル８０２８６など第２のマイクロプロセッサによって
実施できる。

プログラム・メモリ及び処理エンジン このシステムは、ＣＦ内のメモリを利用してユーザのプ
ログラムを記憶することも、処理エンジンを利用してプ
ログラムを実行することもできる。

この例は、新しいＰＩＮ形式に対するＰＩＮ検査のため
の新しいアルゴリズムを実行するプログラムまたはマク
ロである。

乱数生成機構２６ 乱数生成機構は、６４ビツト擬似乱数を作成するアルゴ
リズム手順である。アルゴリズム自体は秘密ではないが
、１２８ビツトのプライバシ・キー２個と６４ビツトの
秘密でない増分カウンタ１個を使用する。秘密でないに
もかかわらず、カウンタの保全性及び適切な管理が安全
保護にとって不可欠である。

暗号機構（ＣＦ）は、暗号命令記憶機構１０内にデータ
暗号アルゴリズム及び少数のキー及びデータ・パラメー
タ用の記憶機構を含む安全な実施態様である。この機構
には、処理要求、キー及びデータ・パラメータを提示し
、変換された出力を受け取ることができる不可侵の（侵
入、詐欺に対して安全な）インターフェースを介してし
かアクセスできない。

ＡＮＳＩデータ暗号アルゴリズム（ＤＥＡ）は、商用デ
ータ安全保護製品用の標準的暗号アルゴリズムである。

ＤＥＡは、５６ビツトのブライバシ・キーを使って６４
ビツトの平文テキストを暗号化し６４ビツトの暗号テキ
ストを形成する、対称ブロック暗号アルゴリズムである
。ＤＥＡキーは、通常１バイトごとに１パリテイ・ビッ
トつきで記憶され、６４ビツトのキーを形成する。ＤＥ
Ａは、米国標準局許可の連邦データ暗号化標準の基礎を
なし、したがってＤＥＳとも呼ばれる。

暗号機構は、暗号ハードウェアに対して限られたアクセ
スしかできない内部の不正使用者による探索に耐えなけ
ればならない。「限られた」とは日や週ではなく分また
は時間単位のものである。

不正使用者は、複雑な電子機械機器を用いて不正使用者
の制御下にある場所から研究所を攻撃することができず
、限られた電子装置を用いてシステムが設置された位置
で探索攻撃を行なうしかない。

暗号機構は、物理的な探索または侵入の試みを検出しな
ければならない。これは、様々な電子機械式感知装置を
用いて行なわれる。

暗号機構は、内部に記憶されたすべての平文キーの自動
的ゼロ化を実行しなければならない。こうしたゼロ化は
、探索や侵入の試みが検出されたとき、自動的に実行さ
れなければならない。暗号機構は、フロント・パネル・
インターフェースヲ介してキー記憶機構をゼロ化する手
動能力も備えていなければならない。

暗号機構は、１つのマスタ・キーＫＭを含む。

他ツキ−はすべて、マスタ・キーと有効制御ベクトルの
排他的論理和を取ることによって形成されるキーのもと
て暗号化された大全記憶機構中に常駐できる。暗号機構
の例の説明は、「端末を用いる暗号通信及びファイル安
全保Ｎ　（ＣｒｙｐｔｏｇｒａｐｈｉｃＣｏｎ＋ｍｕｎ
ｉｃａｔｉｏｎｓ　ａｎｄ　Ｆｉｌｅ　５ｅｃｕｒｉｔ
ｙ　［ＪｓｉｎｇＴｅｒ＋５ｉｎａｌｓ　）　Ｊという
名称のＥｈｒｓａｍの米国特許第４３８８２３４号明細
書に出ている。

ＣＦＡＰは、ＣＦとアプリケーション・プログラムの間
のプログラミング・インターフェースである。ユーザは
暗号機構に直接アクセスできないので、ＣＦＡＰは、ユ
ーザがＣＦに特定の動作を実行することを要求する際に
使われるプログラミング・インターフェースである。

ＣＦＡＰに、暗号キーが記憶されるＣＦ外のキー記憶機
構が関連付けられている。平文キーはＣＦ外では記憶さ
れない。キー記憶機構２２を本明細書では「暗号キー・
データ・セットＪ　　（ＣＫＤＳ）とも呼ぶ。

ＣＦＡＰは通常下記のものから構成される。

−上記のキー記憶機構に記憶されたキーを管理するキー
記憶マネージャ ーユーザが暗号機能を実行するためにＣＦにアクセスす
るのに使用するＣＦＡＰマクロアプリケーション・プロ
グラムには、ユーザのアプリケーション・プログラム、
キー導入ユーティリティなどのユーティリティ、及びＩ
ＢＭ　　ＶＴＡＭなどの通信プログラムが含まれる。

ユーザのアプリケーション・プログラムは、特定のタス
クを実行するためにあるＣＦＡＰマクロを呼び出すステ
ートメントから構成される。上記のように、ＣＦＡＰは
、アプリケーション・プログラムがＣＦに暗号動作を実
行するよう要求するために使える唯一のインターフェー
スである。たとえば、ユーザがファイルをネットワーク
上の他のノードに送る前にそれを暗号化しようとしてい
る。ユーザのアプリケーション・プログラムは、キーを
生成するためにＣＦＡＰマクロを呼び出す１つのステー
トメント、及び所与のキーでファイルのデータを暗号化
するために他のＣＦＡＰマクロを呼び出すもう１つのス
テートメントを有する。

ユーザのアプリケーション・プログラムのもう１つの例
は、上記の導入プログラムと類似の、システム上でキー
の手動導入が可能なものである。

表記法−以下の表記法を本明細書で使用する。

ＥＣＢ　　　　　電子コード・ブック ＣＢＣ暗号ブロック連鎖 ＫＭ　　　　　　１２８ビツト・マスタ・キーＫＥＫ　
　　　　１２８ビツト・キー暗号キー■〈　　　　　　
　６４ビツト・キー ＊Ｋ　　　　　　１２ｇビット・キー （＊）Ｋ　　　　６４または１２８ビツト・キーＫＤ　
　　　　　６４ビツト・データ暗号化キーＫＫ　　　　
　　６４ビツト・キー暗号キー＊ＫＫ　　　　　１２８
ビツト・キー暗号キーｔ（Ｋ　ｏ　　　　　オフセット
６４ビツト・キー暗号キー ＊ＫＫｏ　　　　オフセット１２８ビツト・キー暗号キ
ー （＊）ＫＫｏ　　オフセット６４または１２８ビツト・
キー暗号キー ＊ＫＫＮＩ　　　１２８ビツト部分認証キー暗号キー＊
ＫＮ　　　　　　１２８ビツト認証キー、＊ＫＫＮＩＯ
と等価 ｃｘ　　　　　　Ｅ３４ビット制御ベクトルＣｘＬ　　
　　　８４ビツト左制御ベクトルＣｘＲ６４ビツト右制
御ベクトル ＸＯＲまたはｘｏｒ 排他的論理和演算 Ｏｒ　　　　　論理和演算 Ｘ’Ｏ’　　　　１６進表記 １１　　　　　連結演算 ［Ｘコ　　　　　任意選択パラメータＸｎｏｔ：　　　
　　　不等号 Ｅまたは８　１重暗号化 りまたはｄ　　１重非暗号化（復号化）ＥＤＥまたはｅ
ｄｅ ３重暗号化 ＤＥＤまたはｄｅｄ ３ｍ非暗号化（復号化） 式　　　　　　各命令の機能は１１．Ｉ２．Ｉ３．Ｉ４
．、、。

−−−０１，０２，０３，、、、の形で数学的に示され
る。

ただし、ＩＩ、　Ｉ２．　Ｉ３は関数への入力であり、
０１．０２．０３．、、、は関数がらの出力である。

ＫＭ、Ｃｘ　　　　　（ＫＭＬ　ＸＯＲＣｘ）　１１　
（ＫＭＲＸＯＲＣｘ）　＝Ｋ１４Ｙ　ＩＩＫＭＸ。

ただし、ＫＭＬ　＝マスタ・キーＫ１４の左６４　ビッ
ト ＫＭＲ＝マスタ・キーＫＭ の右６４　ビット ＫＭＹ　＝ＫＭＬ　ＸＯＲＣｘ ＫＭＸ　＝ＫＭＲＸＯＲＣｘ ｅ＊ＫＭ、ｃｘ（ｋｅｙ）　　ｅ：ＫＭ、ｃｘ（ｋｅｙ
）　　；ｅＫＭＹ（ｄＫＭＸ（ＥＫＩ（Ｙ（ｋｅｙ）） ただし、ＫＭＹ　；ＫＭＩ−ＸＯＲＣｘＫＭＸ　＝ＫＭ
ＲＸＯＲＣｘ ｅ：ＫＥＫｎ、ｃＸ（ｋｅｙ） ｅ：ＫＥＫｎ、ｃｘ（ｋｅｙ）　　＝ｅＫＥＫＹ（ｄＫ
ＥＫＸ（ｅＫＥＫＹ（ｋｅｙ））） ただし、ＫＥＫＹ　＝ＫＥＫｎＬ　ＸＯＲＣｘＬＫＥＫ
Ｘ　＝　ＫＥＫｎＲＸＯＲＣｘＲｋｅｙ＝６４ビット・
キー ｅ：ＫＭ、ｃｘＬ（ＫＥＫｎｌ、） ｅ：ＫＭ、ＣｘＬ（ＫＥＫＬ） （ＫＥＫｎＬ））） ただし、ＫＥＫＬ　＝ ＫＭＹ　　　＝ Ｋ）ＩＸ　　　＝ ｅ：’ＫＭ、ＣｘＲ（ＫＥＫｎＲ） ｅ：ＫＭ、ＣｘＲ（ＫＥＫＲ） （ＫＥＫｎＲ））） ただし、にＥＫＲ＝ ＫＥＫの右６４　ピッ ト ＝ＫＮＬＸＯＲＣｘＲ ＝ＫＭＲＸＯＲＣｘＲ ｅＫＥＫＬｏ　（ｄＫＥＫＲ。

ｅ：ＫＥＫｏ（ｋｅｙ） ＫＭＹ ＭＸ ｅ：ＫＥＫｏ（ｋｅｙ）＝ （ｅＫＥＫＬｏ（ｋｅｙ） ただし、ＫＥＫＬ。

ＫＥＫＲ。

ｃｎｔｒ ＝　ｅＫＭＹ）ｄＫＭＸ（ｅＫＭＹ ＫＥＫの左６４　ピッ ト ＫＭＬＸＯＲＣｘＬ ＸＪＩＲＸＯＲＣｘＬ ＝　ｅＫＭＹ（ｄＫＭＸ（ｅＫＭＹ ＝　　ＫＥＫＬ　　ＸＯＲｃｎｔｒ ：　にＥＫＲＸＯＲｃｎｔｒ ＝　ＫＥＫの暗黙６４ ビット・キー・ メツセージ・カ ウンタ ｋｅｙ　　＝６４　　ビット・キー キーの暗号分離 本発明では、キーは、キー形式とキー使用属性に応じて
次のように暗号分離される。

１、このアーキテクチャは、暗号キーが規定された所期
の方法でしか使用できないことを保証する。

２、内部分離とオン・ザ・リンク分離。内部（すなわち
、暗号機構内）では、キーは制御ベクトルまたは他の適
切なまたは等価な機構によって分離される。

３、ハードウェア実施とソフトウェア実施。ある暗号分
離はハードウェアで実施される。他の暗号分離はソフト
ウェアを用いて実施できる。

４、制御ベクトル・キー・タイプと互換性モード・キー
・タイプ。互換性モード・キー・タイプで安全保護が低
下しないように、これら２つのクラスのキー・タイプの
生成、分配、使用を支配する数種の規則が課される。

５、本発明によってもたらされる必要なキー分離のリス
トを以下に列挙する。

ａ）データのプライバシ：　ＭＡＣＶＥＲとＭＡＣＧＥ
Ｈの分離。メールボックス、投票などの公開キー・プロ
トコルを可能にする。

ｂ）データＭＡＣ：　ＭＡＣＶＥＲとＭＡＣＧＥＮの分
離。拒絶不行使（電子署名と等価）を可能にする。

Ｃ）データＸＬＡＴＥ　：中間装置が暗号化データを非
暗号化（復号化）できない、安全な変換チャネルを確立
できる。

ｄ）データＣＯＭＰＡＴ　：他のデータ・キーの安全保
護を弱めずに互換性モードを可能にする。

ｅ）データＡＮＳＩ：どちらの手法の安全保護も喪失さ
せずにＡＮＳＩ　　Ｘ９．１７デ一タ暗号を非ＡＮＳＩ
　　Ｘ９．１７デ一タ暗号と共存可能にする。

ｆ）キー暗号キー：　ＫＥＫ受信側とＫＥＫ送信側の分
離。

ｇ）ＰＩＮキー：ＰＩＮ暗号化キーとＰＩＮ生成キーの
分離。

以下に示す表記法が第３図ないし第４図で使用される。

表記法： 分離文字と優先順位番号は、ボックス外の各線の付近に
置く。

分離文字は以下の記述に対応する。

優先順位番号の範囲（工ないし４）は以下のように解釈
するものとする。

１、絶対に必要 ２、強く推奨される ３、推奨される ４、望ましい 基本キーの分離 第４図に、基本的暗号キーの分離を示す。分離の説明は
下記に示す。

１、Ａ、データ・キーとＫＥＫ及びＰＩＮキーＫＤ（デ
ータ・キー）がＫＥＫ及びＰＩＮから分離されない場合
、データ・キーと共に使用されるデータ非暗号機能を悪
用してＫＥＫとＰＩＮを非暗号化することができる。

２、Ｂ、キー暗号キーとＰＩＮキー ＫＥＫ　（キー暗号キー）がＰＩＮキーから分離されな
い場合、外部者が暗号化されたＰＩＮブロックを電話で
盗聴して、暗号化されたＫＤの代わりにそれを再試行す
ることが可能になる。前もって、内部の共犯者が、暗号
化され記憶されたＫＥＫを受信側ノードの暗号キー・デ
ータ・セット内の暗号化され記憶されたＰＩＮキーで置
換することができる。次いでＰＩＮブロックを回復し、
受信側ノードでデータ・キーとして使用する。その後、
このＰＩＮブロックをデータ・キーとして使って暗号化
されたデータは、ＰＩＮの可変性（通常、１０進法で４
ないし６桁）がランダム５６ビツト・データ・キーより
ずっと少ないので、キーの徹底的攻撃をずっと受けやす
くなる。

データ・キーの分離 第１表は、データ・キー分離の流れ図を示す。

この分離の理由は下記に示す。

１、Ａ−確認とプライバシ 平文とＭＡＣキーで暗号化された当該の暗号テキストと
を収集できる内部者は、ＭＡＣ処理手順に対して攻撃を
行なうことができる。たとえば、ＭＡＣアルゴリズムに
よって確認され受け入れられる不正なメツセージ及びＭ
ＡＣを構成することが可能となる。したがって、暗号化
／非暗号化（復号化）に使用するデータ・キーは、デー
タの確認に使用するべきではない。

リンク上では、傍受されたデータ・キーをＭＡＣキーの
代わりに使用できる場合、（そのデータ・キーによる）
伝送された暗号テキストを使って、不正なメツセージと
ＭＡＣを構成することができる。

Ｂ−Ｘｌａｔｅ暗号テキストとブライバシ定義によりＮ
　Ｘ　ｌ　ａ　ｔ　ｅ暗号テキストは、データ・キーの
対ＫＤＩとＫＤ２の使用を暗示する。

その場合、ＫＤｌのもとて暗号化された暗号テキストが
ＫＤｌのもとて非暗号化され、次いで呼出し側アプリケ
ーション・プログラムにデータをさらすことなくＫＤ２
のもとて再暗号化される。そうでないと、既存の非暗号
化機能及び暗号化機能を使ってＸ１ａｔｅ暗号テキスト
が実行できることになる。

Ｃ−ＡＮＳＩとその他すべて ＡＮＳＩキーは、キー分配用のそれ自体のプロトコルと
、ＡＮＳＩ　　ＣＯＭＢＩＮＥ　　ＫＥＹと呼ばれる追
加の可能な用途をもつ。これらの相違により、すべての
ＡＮＳＩＮＳ用に別のプールが必要となる。

Ｄ−データ互換性とその他すべて データ互換性キーは、ＩＢＭ　　ＣＵＳＰ／３８４８、
ＩＢＭ　　ＰＣＦＭ、１８Ｍ４７００など以前のシステ
ムと互換性をもたせるという要件のために存在する。こ
れらのシステムで実施された内部分離は、ブライバシ・
キーからＭＡＣを分離するレベルまでは及ばないので、
これらのキーをこうした改良された分離レベルを支援す
るＣｖキーから区別する必要がある。

２．８−ＭＣＧＥＮとＭＡＣＶＥＲ メソセージとＭＡＣ（拒絶不行使と呼ばれる）を誰が発
信したかを「証明」するための監査証跡をもたらす。こ
の方法は、ＣＦと同様に安全ではなく、ＣＦに記憶され
たキーの保全性と安全保護に対する相互信頼を前提とし
ている。

３．０−暗号化と非暗号化（復号化） 暗号化機能と非暗号化機能の真の分離を行ない、したが
って同じデータ・キーのもとて非暗号化（復号化）する
権利を扱わずに、データをそのデータ・キーのもとて暗
号化できる。たとえば、暗号化のみのデータ・キーは、
「秘密投票」方式で使用できる。非暗号化（復号化）の
みのデータ・キーは、ユーザがあるデータを読み取るこ
とは許可されているか舎き込むことは許可されていない
環境で使用できる。

制御ベクトル 制御ベクトルの概念 制御ベクトルとは、キーの使用の制御用の６４ビツトの
秘密でない暗号変数である。暗号システムに対して定義
された各キーには、関連制御ベクトルＣを有し、すなわ
ち、キーと制御ベクトルで集合（Ｋ、Ｃ’）を定義する
。

各制御ベクトルは、Ｃｖタイプを指定する。ＣＶタイプ
は、キーの使用方法とキーのリンク上での通信方法を支
配する規則とを広く定義する。キーは、データ・キー、
送信側のキー暗号キー、受信側のキー暗号キー、ＰＩＮ
暗号化キー、ＰＩＮ生成キー、中間ＩＣＶ、キ一部分ま
たはトークンでよい。制御ベクトル中の追加ビットは、
どの暗号命令とパラメータ入力でキーが動作するかを正
確に指定する。他のビットは、キーの搬出、すなわち、
キーが搬出されるかどうかを制御する。

制御ベクトルは、特殊な暗号機能を介してキーに暗号方
式で結合される。たとえば、Ｋがキー記憶機溝に記憶さ
れるとき、Ｋは制御ベクトルをマスタ・キーと排他的論
理和を取ることによって形成されるキーのもとて暗号化
される。すなわち、Ｋは集合（ｅＫＭ、Ｃ（Ｋ）　、Ｃ
）として記憶される。ただし、ＫＭ、ＣはＫＭ　ｘｏｒ
　Ｃを示す。Ｋがリンク上で（装置間を）伝送されると
き、類似の暗号化された形が使用される。この場合は、
マスタ・キーＫＭの代わりにキー暗号キーＫＥＫが使用
される。

ただし、ＫＥＫは送信側と受信側の間で共用されるキー
である。すなわち、Ｋは集合（ｅＫＥＫ、Ｃ（Ｋ）　、
Ｃ）として伝送される。このアーキテクチャでは、その
値が文脈から暗黙に定義され、あるいは利用可能なキー
関連情報から再構成可能である状況で制御ベクトルをキ
ーと共に記憶または伝送する必要がない。

制御ベクトル（Ｃ）は、暗号化された形ｅＫＭ、ｃ（Ｋ
）　　またはｅＫＥＫ、Ｃ（Ｋ）　を介してキー（Ｋ）
に緊密に結合されているので、Ｃが正しく指定されない
かぎり、Ｋをその暗号化された形から回復できないこと
は明らかである。すなわち、要求された暗号命令に対す
る入力として集合（ＥＫ１４．Ｃ（Ｋ）、Ｃ）が供給さ
れる場合、暗号機構はまずＣの供給値を検査して、キー
の要求された使用が許可されていると判定する。その後
で始めて、Ｃを使ってｅにＨｏＣ（Ｋ）　を非暗号化（
復号化）して、暗号機構の内部のＫの平文値が回復され
る。偽りの値Ｃ＊が指定された場合、暗号機構は一時的
にだまされてＣ＊を受け入れるが、Ｋは適切に回復され
ない。すなわち、Ｃの正しい値も指定されないかぎり、
ユーザがＫの正しい値を回復することはできない。した
がって、この暗号原理は、アーキテクチャ全体の組立て
の基礎である。必要に応じてまた適切な場合、追加の安
全保護が設けられる。

制御ベクトルは、暗号キーの使用属性を定義するための
コンパクトなデータ構造である。制御ベクトルは、暗号
処理を介してキーに暗号方式で結合されている。この処
理は、制御ベクトルが正しく指定された場合だけ、キー
が適切に非暗号化（復号化）できるようになっている。

（制御ベクトルのビットが変わっても全く異なるキーが
回復されてしまう。） ＣＶ検査 制御ベクトルは、Ｃｖ検査が最小限ですむように設計さ
れている。制御ベクトル使用ビットは、各使用属性自体
が特定の使用を許可または否定するように定義され構成
されている。すなわち、データ暗号命令によってデータ
を暗号化する能力が、制御ベクトル内の単一「暗号化」
ビットによって制御される。そのタイプ／サブタイプは
「データ／プライハシ」である。

すなわち、各使用属性が他のすべての使用属性から独立
して定義される。このため、各命令が要求された機能に
よって呼び出された使用属性だけを検査するようなＣＶ
検査処理が保証される。他の何らかの属性が使用可能ま
たは使用不可能になるときだけ使用属性が使用可能にな
るような設計は、Ｃｖ検査を増加させるので特に回避さ
れる。

２つ以上の制御ベクトルの間での属性の相互検査が必要
であるが、最小限に抑えられる。

Ｃｖ検査を容易にし単純にするために、各暗号命令に、
必要な場合、その命令に対するパラメータとして渡され
るキーの特定の使用を宣言する「モード」パラメータが
渡される。すなわち、ＣＶ検査処理で、指定された「モ
ード」に従って各制御ベクトルが検査される。このため
、整合性を確保するために制御ベクトル属性の間でコス
トのかかる相互検査を行なう必要がなくなる。

この設計はまた、どんな暗号命令も制御ベクトルを生成
しないという原理にも従っている。すべての制御ベクト
ルは、パラメータ入力として暗号命令に供給される。

可能な場合、ＣＶタイプに関わらず、同じ使用属性とフ
ィールド定義が、制御ベクトル中の同じビット位置に配
置される。そのため、Ｃｖ検査が容易になる。たとえば
、データ／ブライバクＣｖに対する使用ビットがＥ″及
びＤ″で、データ／ｘｌａｔｅ　　ＣＶに対する使用ビ
ットがＸ０ＵＴ″とＸＩＮ″であるとしても、暗号テキ
スト変換命令は、データ／プライハシ制御ベクトル及び
データ／　ｘ　ｌ　ａ　ｔ　ｅ制御ベクトル中の同じビ
ット位置を照会する。

ＣＶ構造 一般に、（形式、フィールド及びビット指定を含めて）
制御ベクトルの構造は、Ｃ■検査を最小に抑え容易にし
、同時に、暗号安全保護をもたらすように定義されてい
る。Ｃｖ構造は、いわば、設計過程における自由度が最
大の変数である。

以下に示す設計任意選択が制御ベクトルで使用される。

１、垂直分離。制御ベクトルは、バリアントによって行
なわれる分離と同様に、制御ベクトル構造内での垂直分
離をもたらす「Ｃｖタイプ」フィールドををする。制御
ベクトルのタイプは直感によって定義され、既存のキー
用語とデータ暗号に従う。

しかし、垂直分離は、ＣＡのもとて必要な場合にしか実
施されず、したがってＣｖ検査規則のアーキテクチャが
簡単になり、かつ理解しやすくなる。

まず、Ｃｖ主タイプ（たとえば、データ・キーキー暗号
キー　ＰＩＮキー）の広いクラスを定義し、次に、ＣＶ
タイプ内のＣｖサブタイプと使用属性を定義することに
より、Ｃｖ検査規則を、ｒ分割統治」式探索が力づくの
方法より効果的なのき同様に最適化できる。

２、水平分離。制御ベクトルは、キーに関連する使用属
性（またはその他の暗号変数）を記録するだめのデータ
構造として理想的である。ＣＡ内では、これは、キーが
入力として使用されるあらゆる暗号命令に対する制御ベ
クトルのビット（あるいは複数のキー・パラメータが関
与する場合、命令内のキー・パラメータ）を指定するこ
とによって行なう。′１″のビット値は、キーの使用が
ＣＦによって「使用可能」にされることを示し、０“の
ビット値は、キーの使用がＣＦによって「使用不可能」
にされることを示す。この形の制御ベクトル構造化は水
平分離と呼ばれる。

３、コード化フィールド。複数ビットのフィールドはし
ばしば安全保護上の理由でコード化される。

コード化されたフィールドは、個々のビットがそれ自体
は重要でないが、ビット全体で可能な１組の値を定義す
るという特徴をもつ。コード化フィールドは、−時に１
つの値しか取れないので、相互に排他的な事象を定義す
るという利点をもつ。コード化フィールドは、Ｃｖ検査
が性能の点から必ずしも最適化されないという潜在的欠
点をもつ。しかし、暗号攻撃を起こしあるいは何らかの
暗号の弱点を導入する、不適切な組合せで使用属性を混
合できないようにするために、コード化フィールドが必
要となることが多い。

４、非システム生成キーからの保護。制御ベクトルとキ
ーを結合するこの方法は、Ｃｖ検査で非システム生成キ
ーから（ＫＧＥＮまたはＧＫＳを用いて）システム生成
キーを検出できないようになっている。このため、この
アーキテクチャ内に、キーと制御ベクトルを生成する「
バック・ドア」法がある。この方法は、「好みの」制御
ベクトルと乱数を定義するものである。乱数は、選択さ
れた制御ベクトルを用いるアーキテクチャのもとで記述
された方式で暗号化されたキーとして表される。

（ただし、この方法は、暗号機構内で実際に回復された
キーを制御する能力はない。） いわゆる「バック・ドア」キー生成法は、追加の防御手
段をアーキテクチャ内で講じなかった場合に暗号攻撃が
可能になることもあるが、主として面倒である。この「
バック・ドア」キー生成を（−度だけ）除去するアーキ
テクチャを定義するのは簡単なことであるが、そうすれ
ば、保証されない追加の複雑さと処理が導入されること
になる。

ＣＡは、より実際的な方法に従う。すなわち、安全保護
」二の理由で必要な場合にだけ「バック・ドア」キー生
成の問題が防止される。すなわち、安全保護、複雑さ及
び性能の間でうまく均衡がとられる。「バック・ドア」
キー生成法によって導入される暗号上の弱点を回避する
技術は以下の通りである。

ａ）必要な場合、単一制御ベクトル内の競合する使用属
性が２つの制御ベクトル間で分割される。

ＧＫＳ命令は、キ一対のいわゆる不良組合せが生成され
ないよう検査する。

ｂ）必要な場合、単一制御ベクトル内の競合する使用属
性が、単一コード化フィールドにまとめられる。

Ｃ）最後の手段として、余分の冗長性を使ってＣＦがそ
れ自体のシステム生成キーの妥当性検査を行なえるよう
にする。

５、制御ベクトルの偶数パリティ。制御ベクトルに対し
て偶数パリティが実施される。このため、奇数パリティ
・キーを制御ベクトルと排他的論理和を取ると、内部キ
ーが奇数パリティとなる。そのために、（こうした検査
が実施される場合）こうした内部誘導キーが奇数パリテ
ィかどうか検査するハードウェアとの互換性が確保され
る。別の言い方をすると、ＣＡは、ハードウェアが内部
キーでこの奇数パリティを実施しないようにすることが
できない。

０ないし６３の番号をつけた６４個のビットからなる制
御ベクトル。規約により、最上位ビットはビット０であ
る。６４ビツトのうち、８つのパリティ・ビットがある
。

６、反バリアント・ビット。これは、ノード内部での一
部の実施態様では混合することが避けられないバリアン
トと制御ベクトルの間の暗号分離を保証する。

７、上へのマツピングの回避。この制御ベクトルの設計
と、暗号命令セットによる制御ベクトルの操作により、
複数の値をもつＣｖフィールドが単一値にマツプされる
インスタンスが回避される。

こうした」二へのマツピングの特定のインスタンスは、
安全保護が損なわれる危険がない場合（たとえば、ＬＣ
ＶＡ、ＲＦＭＫ及びＲＴＭＫ命令）に認められる。

ＣＦＡＰ制御 制御ベクトルのいくつかのビットは、ＣＦＡＰ用に予約
されている。これらのビットは、今後のデータ暗号制御
のためにＣＦＡＰが使用できる。

これらのビットは、ＣＦによって検査されず、ＣＦＡＰ
によって完全に管理される。

制御ベクトルの一般形式 第１表は、制御ベクトルの一般形式を示す。第１表の第
１行は、制御ベクトルの大半に共通なフィールドを示す
。それらのフィールドを、以下に要約して説明する。（
詳細は以後の小項目に示す。） 零ＣＶタイプ このフィールドは、制御ベクトルのタイプを示し、この
制御ベクトルが関連するキーのキー・タイプでもある。

ＣＶタイプ・フィールドは主タイプとサブタイプから構
成される。

制御ベクトルの主タイプは以下の通りである。

データ・キー データ・キーはデータを暗号化／非暗号化（復号化）し
データを確認するのに使用される。

ＰＩＮキー ＰＩＮキーは、ＰＩＮを暗号化しＰＩＮを生成するのに
使用される。

キー暗号キー キー暗号キーはキーを暗号化するのに使用される。

キ一部分 キ一部分はキーの一部または構成要素であり、キーと同
じ長さをもつ。たとえば、キーには、ＫａＸＯＲＫｂ　
＝にとなる２つのキ一部分Ｋａ　とにｂをもつことがで
きる。

中間ＩＣＶ 中間ＩＣＶは、ＭＡＣ処理中にデータまたはメツセージ
のセグメントの中間出力連鎖値を暗号化するために使用
される。このＯＣＶは、次いでデータの次のセグメント
に送られてＩＣＶとして使用される。それが行なわれる
のは、それに対するＭＡＣが生成または検査されるメツ
セージまたはデータが長すぎて、短いセグメントに分割
しなければならない場合である。

トークン トークンは、データ・キー・データ・セット（データ・
キー用のキー記憶機構）に記憶されたデータ・キーの保
全性を保護するために使用される変数である。これは、
無許可のユーザがデータにアクセスするのを防止するの
に役立つ。

サブタイプは、同じ主タイプのキーのクラスを区別する
ためのものである。たとえば、データ・キーという主キ
ー・タイプのキーは、プライパシ（暗号化と非暗号化を
行なうことができる）、ＭＡＣ（データ確認を実行する
ことができる）、データＸＬＡＴＥ　（暗号テキストを
変換することができる）、などのサブタイプをもっこと
ができる。

サブタイプが区分されないとき、キーは通常主タイプの
名前（たとえば、データ・キー、ＰＩＮキーなど）で呼
ばれる。

＊搬出制御 このフィールドは、この制御ベクトルに関連するキーの
搬出がどのように制御されるか、及びキーの搬出が許可
されるかどうかを示す。

本ＣＦ強制使用 このフィールドは、キーがどのＣＡ機能に使用できるか
、及びそれが使用される方法を示す。たとえば、データ
・ブライバシ・キーは、そのキーがデータの暗号化及び
非暗号化（復号化）を行なうための暗号化機能及び非暗
号化機能で使用できることを示す使用属性Ｅ＝１とＤ＝
１を有する。

＊ＡＶ　（反バリアント） このフィールドは、バリアントに基づく暗号システムで
使用される、６４個の事前定義されたバリアントから任
意の有効制御ベクトルを区別する。

６４個の事前定義バリアントのうちのどのバリアントの
８バイトもすべて同じなので、制御ベクトルの少なくと
も２バイトが同一でないようにＡＶフィールドの値を設
定すると、有効制御ベクトルが事前定義バリアントから
区別される。

＊ソフトウェア・ビット このフィールドは、ＣＦＡＰによって完全に制御／管理
される制御ベクトル・ビットを表す。ソフトウェア・フ
ィールドはハードウェア（ＣＦ）によって検査／実施さ
れない。制御ベクトルがないときは、ＣＦＡＰは（通常
マクロ中のパラメータを介して）ＣＦＡＰに供給される
情報から制御ベクトルを作成する。制御ベクトルがすで
に存在しているときは、ＣＦＡＰは（ソフトウェア・フ
ィールドを含む）制御ベクトルを検査して、そのキーが
指定／要求された方式で動作できるかどうか判定する。

ソフトウェア（ＣＦＡＰ）とは異なり、ハードウェア（
ＣＦ）は、ＣＡ命令に関連するビットだけを検査する（
他の使用ビットは検査されない）。

＊拡張 このフィールドは、制御ベクトルが６４ビツトの制御ベ
クトルかそれとも１２８ビツトの拡張制御ベクトルかを
示す。現在のＣＡでは、すべての制御ベクトルは長さ６
４ビツトである。制御ベクトルを指定するのに必要なビ
ットの数がｂ４ビット長を超えるとき、将来制御ベクト
ルを拡張しやすくするため、このフィールドが定義され
る。

＊予、約ビット このフィールドは将来の使用のためにシステムに予約さ
れている。

＊パリティ・ベクトル すべてのパリティ・ビットは、バイトの先行する７ビツ
トの偶数パリティである。

キー暗号キー制御ベクトルでは、上記の共通のフィール
ドの他に、２つの追加フィールド、ＫＥＹ　ＦＯＲ）４
及びＬＩＮＫ　Ｃ０ＮＴＲ０Ｉ、がある。

＊キー形式 このフィールドは、キーの長さ（単長または倍長）及び
制御ベクトル・キーに関連するキーの半分がキーの右半
分か左半分かを示す。単長キーでは、右半分は左半分と
同じで、キー自体であることに留意されたい。

＊リンク制御 このフィールドは、この制御ベクトルに関連するキー暗
号キーを使ってリンク上で他のキーがどのように伝送さ
れるか、及びこのキー暗号キーのもとで、どのタイプの
システム（たとえば、Ｃｖシステムまたは非Ｃｖシステ
ム）との間でキーが送受できるかを示す。

本節の表及び参照する他の表の第２行及び第３行の記述
は、制御ベクトルの一部ではないことに留意されたい。

それらの記述は、制御ベクトルの各フィールドに次のよ
うな情報を示すためにそこに置かれている。

第２行は、フィールドのビット長を示す。略語ｒｂＪは
「ビット」を表す。たとえば、１ｂは１ビツトを表し、
３ｂは３ビツトを表し、以下同様である。

第３行は、そのフィールドがハードウェア（ＣＦ）によ
って検査されるかそれともソフトウェア（ＣＦＡＰ）に
よって検査されるかを示す。

データ・キー用制御ベクトルの形式 データ・キーは以下のサブタイプに分かれる。

データ互換性キー。これは、ＩＢＭ３８４８／ＣＵＳＰ
またはＩＢＭ４７００ＦＣ８などの既存システムとの互
換性を維持するために使用されるデータ・キーである。

これらの既存システムはプライバシと確認の間の暗号分
離を行なわないので、このキーは、ＭＡＣの暗号化、非
暗号化（復号化）、生成及び検査などの機能のいずれか
またはすべてを実行するのに使用できる。この制御ベク
トルは、それが（ＲＦＭＫ命令を用いて）他のシステム
に搬出されるとき除去できる（すなわち、オン・ザ・リ
ンクでＣＶ＝Ｏと置換できる）が、ＡＮＳ　Ｉデータ・
キーを除（他のすべてのデータ・キー用の制御ベクトル
は除去できない。

プライバシ・キー。これは、暗号化または非暗号化（復
号化）のためにだけ使用されるキーである。

ＭＡＣキー。これは、データ確認のためにだけ使用され
るキーである。すなわち、これはＭＡＣの生成または検
査にしか使用できない。

データ変換キー（データ互換性キー）。これは暗号テキ
ストの変換で使用されるキーである。

ＡＮＳＩキー。これは、ＡＮＳＩアプリケーションで使
用されるキーである。これは、データの暗号化及び非暗
号化（復号化）またはＭＡＣの生成及び検査に使用でき
る。また、他のＡＮＳＩキーと組み合わせてＡＮＳＩ　
　ＭＡＣキー（すなわち、ＭＡＣ生成／検査機能をもつ
データ互換性キー）を形成することもできる。この制御
ベクトルは、ＡＲＦＭＫ命令を用いて他のシステムに搬
出されるとき除去できる（すなわち、オン・ザ・リンク
でＣＶ＝Ｏと置換できる）が、互換性キーを除く他のす
べてのデータ・キーの制御ベクトルは除去できない。

制御ベクトルのＣＶサブタイプに応じて、ＵＳＡＧＥフ
ィールドの各ビットは以後に記載する特定の意味をもつ
。

ブライバシ・キー用制御ベクトル 第２表を参照して、この図の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。

＊ＣＶタイプ プライバシ・キー用のＣｖタイプ（主タイプ＝″ＤＡＴ
Ａ　　ＫＥＹ″、サブタイプ＝″ＰＲＩＶＡＣＹ″） ＊搬出制御（このキーの搬出を制御する）：このフィー
ルドは１ビツトを占める。

ＥＸＰＯＲＴ　Ｃ０ＨＴＲＯＬ　＝１　：　コ（７）　
＋−はＲＦＭＫによって搬出できる。また、ＲＦＭＫ、
ＲＴＭＫ及びＬＣＶＡ命令でこのビットをＯにリセット
できる。

−ＥＸＰＯＲＴ　Ｃ０ＮＴＲ０Ｌ　−０：　コノキーハ
ＲＦＭＫによって搬出できない。また、どの命令によっ
ても１に変更できない。

例として、ノードＸがキーにと制御ベクトルＣを生成し
、それらをノードＹに送るものと仮定する。

水使用 ａ）Ｅ Ｅ：１：このキーは、データを暗号化するための暗号化
命令中で使用できる。

−Ｅ＝Ｏ：このキーは、データを暗号化するための暗号
化命令中で使用できない。

ｂ）Ｄ Ｄ＝１：このキーは、データを非暗号化するための非暗
号化命令中で使用できる。

Ｄ＝０：このキーは、データを非暗号化するための非暗
号化命令中で使用できない。

＊ＡＶ　（反バリアント） このフィールドは２ビツトを占め、バリアントに基づく
暗号システムで使用される６４個の事前設定バリアント
から制御ベクトルを区別するのに使用される。６４個の
事前定義バリアントのうちのどのバリアントの８バイト
もすべて同じなので、制御ベクトルの少なくとも２バイ
トが同じでないようにＡＶフィールドの値を設定すると
、有効制御ベクトルが事前設定バリアントから区別され
る。

＊ソフトウェア・ビット このフィールドは１２ビツトを占める。

ａ）ＣＶバージョン このフィールドは、長さ６ビツトで、現在の制御ベクト
ルの定義を将来の定義から区別するためにＣＦＡＰによ
って使用される。

ｂ）ソフトウェア強制使用 ＣＦＡＰの節も参照のこと。

ＣＶＤＰ　ＩＭ　（制御ベクトル・データ・プライバシ
Ｉｃｖ必須） ＣＶＤＰＣＵ　（制御ベクトル・データ・プライバシＣ
Ｕｓｐ） ＣＶＤＰ４７　（制御ベクトル・データ・プライバシ４
７００） ＣＶＤＰＭ８　（制御ベクトル・データ・ブライバシ８
の倍数） ＊拡張 このフィールドは、制御ベクトルが６４ビツトの制御ベ
クトルかそれとも６４ビツトを超える拡張制御ベクトル
かを示す。

＊予約ビット このフィールドは、将来の使用のためにシステムに予約
されている。

＊パリティ このフィールドは、制御ベクトルのすべてのバイトの最
後のビットから構成される。各バイトのパリティ・ビッ
トは、そのバイトに対する偶数パリティをもたらすよう
に設定される。

ＭＡＣキー用制御ベクトル 第３表を参照する。この図の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。

＊Ｃｖタイプ： ＭＡＣ−ｔ−一用のＣｖタイプ（主タイプ＝：ＤＡＴＡ
　　ＫＥＹ″、サブタイプ二″ＭＡＣ″）＊搬出制御（
このキーの搬出を制御する）プライバシ・キーの説明と
同じ。

水使用 ａ）ＭＧ ＭＧ＝１：このキーは、データに対するＭＡＣを生成す
るためのＧＭＡＣ命令中で使用することができる。

ＭＧ＝Ｏ：このキーは、データに対するＭＡＣを生成す
るためのＧＭＡＣ命令中で使用することができない。

ｂ）ＭＶ ＭＶ＝１：このキーは、データに対するＭＡＣを検査す
るためのＶＭＡＣ命令中で使用することができる。

ＭＶ＝Ｏ：このキーは、データに対するＭＡＣを検査す
るためのＶＭＡＣ命令中で使用することができない。

＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。

＊ソフトウェア・ビット このフィールドは１２ビツトを占める。

ａ）ＣＶバージョン−同じ説明 ｂ）ソフトウェア強制使用 ＣＦＡＰの節も参照のこと。

ＣＶＤＭＬ４　（制御ベクトル・デー９　ＭＡＣＩＥＮ
＝４　）ＣＶＤＭ９９　（制御ベクトル・テータＨＡＣ
ＭＯＤＥ＝ＡＩ（ＳＩ　　Ｘ　　９．９） ＣＶＤＭ１９　（制御ベクトル・データ１４Ａｃ　）４
０ＤＥ　＝へＮＳＩ　　Ｘ　　９．１９） ＣＶＤＭＯＯ（制御ヘクトルーデータＭＡＣＨＣＤＥ　
”ＩＢＭ　４７００） ＣＶＤＭ３０　（制御ベクトル・データＭＡＣＭＯＤＥ
　＝ＩＢＭ　４７３０） ＊拡張 プライバシ・キーの説明と同じ。

＊予約ビット プライバシ・キー９説明と同じ。

＊パリティ・ビット プライバシ・キーの説明と同じ。

データ互換性キー用制御ベクトル 第４表を参照する。この図の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。

零ＣＶタイプ ＣＶタイプ＝データ互換性キー用（主タイプ＝”ＤＡＴ
Ａ　　ＫＥＹ”１サブタイプ＝″ＣＯＭＰＡＴＩＢＩＬ
ＩＴＹ”） ＊搬出制御 ブライバシ・キーの説明と同じ。

本使用 ａ）Ｅ Ｅ＝１：このキーは、データを暗号化するための暗号化
命令中で使用できる。

Ｅ＝０：このキーは、データを暗号化するための暗号化
命令中で使用できない。

ｂ）Ｄ Ｄ＝１：このキーは、データを非暗号化するための非暗
号化命令中で使用できる。

Ｄ＝０：このキーは、データを非暗号化するための非暗
号化命令中で使用できない。

ｃ）ＭＧ ＭＧ＝１：このキーは、データに対するＭＡＣを生成す
るためのＧＭＡＣ命令中で使用できる。

ＭＧ＝Ｏ：このキーは、データに対するＭＡＣを生成す
るためのＧＭＡＣ命令中で使用できない。

ｄ）ＭＶ ＭＶ＝１：このキーは、データに対するＭＡＣを検査す
るためのＶＭＡＣ命令中で使用できる。

ＭＶ＝０：このキーは、データに対するＭＡＣを検査す
るためのＶＡＭＣ命令中で使用できない。

＊ＡＶ　（反バリアント） ブライバシ・キーの説明と同じ。

＊ソフトウェア・ビット このフィールドは１２ビツトを占める。

ａ）ＣＶバージョン プライバシ・キーの説明と同じ。

ｂ）ソフトウェア強制使用 ＊拡張 プライバシ・キーの説明と同じ。

＊予約ビット プライバシ・キーの説明と同じ。

＊パリティ・ビット プライバシ・キーの説明と同じ。

データＸＬＡＴＥキー用制御ベクトル 第５表を参照する。この図の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。

＊ＣＶタイプ データＸＬＴＡＥキー用のＣＶタイプ（主タイプ＝″Ｄ
ＡＴＡ　　ＫＥＹ”、サブタイプ＝　”　Ｘ　ＬＡＴＥ
”） ＊搬出制御（このキーの搬出を制御する）プライバシ・
キーの説明と同じ。

本使用 ａ）ＸＤｏｕｔ ＸＤｏｕｔ＝１：このキーは、暗号テキスト変換命令中
で出力データ・キーとして使用することができる。

ＸＤｏｕｔ＝Ｏ：このキーは、暗号テキスト変換命令中
で出力データ・キーとして使用することができない。

ｂ）ＸＤｉｎ ＸＤｉｎ−１：このキーは、暗号テキスト変換命令中で
入力データ・キーとして使用することができる。

ＸＤ　ｉ　ｎ＝ｏ　：このキーは、暗号テキスト変換命
令中で入力データ・キーとして使用することができない
。

＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。

＊ソフトウェア・ビット このフィールドは、１２ビツトを占める。

ａ）ＣＶバージョン ｂ）ソフトウェア強制使用 なし。

＊拡張 ブライバシ・キーの説明と同じ。

＊予約ビット プライバシ・キーの説明と同じ。

＊パリティ・ビット プライバシ・キーの説明と同じ。

ＡＮＳ　Ｉデータ・キー用制御ベクトル第６表を参照す
る。この図の各フィールドとサブフィールドの詳細な説
明を以下に示す。

零ＣＶタイプ データＡＮＳＩキー用のＣｖタイプ（主タイプ＝″ＤＡ
ＴＡ　　ＫＥＹ″、サブタイプ＝″ＡＮＳＩ″） ＊搬出制御 プライバシ・キーの説明と同じ。

水使用 ａ）Ｅ Ｅ＝１＝このキーはデータを暗号化するための暗号化命
令中で使用できる。

Ｅ＝０：このキーはデータを暗号化するための暗号化命
令中で使用できない。

ｂ）Ｄ Ｄ＝１：このキーは、データを非暗号化するための非暗
号化命令中で使用できる。

Ｄ＝Ｏ：このキーは、データを非暗号化するための非暗
号化命令中で使用できない。

ｃ）ＭＧ ＭＧ＝１：このキーは、データに対するＭＡＣを生成す
るためのＧＭＡＣ命令中で使用できる。

ＭＧ＝Ｏ：このキーは、データに対するＭＡＣを生成す
るためのＧＭＡＣ命令中で使用できない。

ｄ）ＭＶ ＭＶ＝１：このキーは、データに対するＭＡＣを検査す
るためのＶＭＡＣ命令中で使用できる。

ＭＶ＝Ｏ：このキーは、データに対するＭＡＣを検査す
るためのＶＭＡＣ命令中で使用できない。

ｅ）ＡＣＭＢ このビットは、データ・キーをＡＣＯＭＢＫＤ属性をも
つ他のデータ・キーと排他的論理和を取ることができる
ことを示す。排他的論理和処理は、後で”ＡＮＳＩ　　
ＫＤ結合（ＡＣＯＭＢＫＤ）″の節で述べるように、Ａ
ＣＯＭＢＫＤ命令によって実行される。その結果得られ
るキーは、ＡＮＳＩ　　Ｘ９．１７プロトコルを用いて
通信されるメツセージのＭＡＣを検査し生成するために
使用される。

ＡＣＭＢ＝　１　：このデータ・キーは、ＡＣＭＢ命令
中で結合できる。

ＡＣＭＢ＝Ｏ：このデータ・キーは、ＡＣＭＢ命令中で
結合できない。

＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。

＊ソフトウェア・ビット ａ）ＣＶバージョン ブライバシ・キーの説明と同じ。

ｂ）ソフトウェア強制使用 なし。

＊拡張 ブライバシ・キーの説明と同じ。

＊予約ビット プライバシ・キーの説明と同じ。

＊パリティ・ビット ブライバシ・キーの説明と同じ。

中間ＩＣＶ用制御ベクトルの形式 第７表を参照する。この図の各フィールドとすブフィー
ルドの詳細な説明を以下に示す。

零Ｃｖタイプ Ｃｖタイプの最後の３ビツトＸＸＸがゼロに設定される
が、命令によって検査されないＣＶタイプ。（主タイプ
＝”中間ＩＣＶ″、サブタイプ＝適用されない） ＊搬出制御 ブライバシ・キーの説明と同じ。ＩＣＶキーは通常は他
のノードに搬入されない。ただしホット・バックアップ
の場合を除く。すなわち、通常、このフィールドはＩＣ
Ｖ制御に対する値Ｂ°００゜をとる。

＊ＡＶ　（反バリアント） ブライバシ・キーの説明と同じ。

＊ソフトウェア・ビット このフィールドは１２ビツトを占める。

ａ）ＣＶバージョン プライバシ・キーの説明と同じ。

ｂ）ソフトウェア強制使用 なし。

＊拡張 プライバシ・キーの説明と同じ。

＊予約ビット プライバシ・キーの説明と同じ。

＊パリティ・ビット プライバシ・キーの説明と同じ。

トークン用制御ベクトルの形式 第８表を参照する。この図の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。

零Ｃｖタイプ ＣＶタイプの最後の３ビツトＸＸＸがゼロに設定される
が、命令によって検査されないＣｖタイプ。（主タイプ
＝”トークン”、サブタイプ＝適用されない） トークンは、データ・キー・データ・セット（ＤＫＤＳ
）に記憶されたデータ・キーの保全性を保護するために
使用される秘密の量である。データ・キーはトークン＋
ｅ：ＫＭ、ｃｌ（Ｋ）、ｅ：にＭ、Ｃ２（ｔｏｋｅｎ）
の形でＤＫＤＳに記憶される。トークン制御ベクトル・
タイプは、ＥＭＫ、ＲＴＮＭＫ、ＲＴＣＭＫなどの様々
な命令中で許可される。

＊搬出制御 プライバシ・キーの説明と同じ。ＩＣＶキーは通常は他
のノードに搬入されない、ただしホット・バックアップ
の場合を除く。すなわち、通常、このフィールドはＩＣ
Ｖ制御に対する値Ｂ“００゜をとる。

＊ＡＶ　（反バリアント） ブライバシ・キーの説明と同じ。

＊ソフトウェア・ビット このフィールドは１２ビツトを占める。

ａ）ＧＶバージョン ブライバシ・キーの説明と同じ。

ｂ）ソフトウェア強制使用 なし。

＊拡張 プライバシ・キーの説明と同じ。

＊予約ビット プライバシ・キーの説明と同じ。

＊パリティ・ビット プライバシ・キーの説明と同じ。

命令セット 本明細書で説明する命令セットは、ＣＦ内で実施される
共通の暗号機能セットである。この要件には例外がある
。たとえば、ＭＤＣはＣＦＡＰレベルで実施できる。命
令セットの実施における他の逸脱は、安全保護要件と製
品環境に基づいて注、α深く考慮するべきである。

命令セットは、制御ベクトル手法に基づくものである。

制御ベクトル中には様々なフィールドがあり、特定のシ
ステムで実施されるものも実施されないものもある。し
かし、本明細書で説明する最小限の制御ベクトル検査は
、ＣＦ内の各システムで実行しなければならない。完全
な暗号分離が不必要であったり、命令セットのサブセッ
トだけで所与のアプリケーションには十分である場合に
は、所与の設計で実施されていない機能については制御
ベクトル検査を省略できる。（コード化されたフィール
ドである制御ベクトルのサブタイプ・フィールドの検査
により、制御ベクトルを無効な組合せを用いて暗号命令
中で混合し突き合わせることができなくなる。この検査
は安全保護にとって重要である。） 命令セットの式は、説明中の暗号機能に関係する機能及
びその機能からの期待される出力に必要な入力を表す。

実際のデータを機能に渡す代わりに、この実施態様では
、データのアドレスを機能に渡すことができる。このア
ドレッシングは、所与のシステムの実施態様によって変
わるので、本明細書では説明しない。

この式は、所与の機能を実行するのに必要なすべてのパ
ラメータとデータをすべて記述する。動作のモードに応
じて、パラメータのすべてまたはいくつかがその機能で
使用されるが、式中の各フィールドは、所与の実施態様
で機能に渡される入力及び出力の実際の値ではなくて、
入力及び出力として処理しなければならない。たとえば
、式の″Ａ″フィールドは、機能に渡されるデータを表
し、その物理形式は、命令によってメモリから取り出さ
れ、あるいはメモリに記憶されるデータを指す３２ビツ
ト・アドレスである。メモリからのデータ・バスの幅も
実施態様によって変わるが、暗号機能の動作によって暗
号化または非暗号化（復号化）される入力データは常に
８バイトの倍数である。

ＣＶ検査を行なうための基本的な方式には、次の２つが
ある。

、１．制御ベクトル中のビットのテスト二制御ベクトル
の各ビットをそれぞれのとるべき値と比べて検査する。

それが一致しない場合、条件コードを設定して動作を打
ち切る。たとえば、暗号化命令中でＣＶのＥ”ビットが
１″であるかどうか検査され、そうでない場合は、動作
が打ち切られる。より複雑な命令では、検査はそれほど
単純ではない。入出力動作の意図と制御ベクトルの使用
を指定するいくつかのパラメータを渡す必要がある。た
とえば、生成キー・セット（ＧＫＳ）中で、出力の特定
の形式を生成するため、命令に対して「モード」が指定
され、制御ベクトル検査は、その「モード」指定に応じ
て実行しなければならない。

２、制御ペクト、ル中のビットの設定二制御ベクトル中
で適切なビットを設定して、動作を実行する。

これは、制御ベクトルの検査が不必要である。たとえば
、暗号化命令中で、″Ｅ″ビットが制御ベクトル中で設
定され、動作が実行される。この場合、各命令は、どん
なビットをどんな条件下で設定すべきかを知らなければ
ならない。この戦略はどんな場合でもうまく動作はしな
い。たとえば、命令は、「目標制御」のためのビット設
定がなんであるかをどのようにして知るのか。これは、
制御ベクトル中で特定の設定を選ぶことを指示するパラ
メータを命令に対して指定しなければならないことを意
味する。この手法は、制御ベクトル指定の柔軟性をすべ
てなくしてしまう。

上記２つの技術のどちらでも制御ベクトル検査の暗号要
件は満足される。以下の理由で、「制御ベクトルのビッ
ト検査」法（制御ベクトル中のビットが命令によって設
定されない）を選んだ。

１、命令が、どのビットがいつ設定されるかを知る必要
はない。

２、「モード」などのパラメータを渡して、出力の可能
な組合せを得て、入力の組合せを命令に供給する点で非
常に柔軟性がある。

３、設定がＣＦ中でハードコード化されている場合、ア
ーキテクチャを拡張することが非常に難しく、また前も
って可能なすべての組合せを知ることも非常に難しい。

４、ハードウェア実施態様が簡単になり、ソフトウェア
がより柔軟になる。

５、制御ベクトルの意図を保存する。制御ベクトルは（
現在）暗号分離、特に安全保護のために使用されている
。制御ベクトルが、「命令に対して動作または機能を指
定する」ためにＣＡ中で使用されることはない。言い替
えれば、制御ベクトルは、その命令の「拡張命令コード
」のようなものではない。

コード化（ＥＮＣ） 式：　　　　ＫＤ、Δ−ｅＫＤ（Ａ） 入カニ ＫＤ　　　　　　６４ビット平文キー Ａ　　　　　　　６４ビット平文テキスト出カニ ｅＫＤ（Ａ）　　６４ビット暗号化データ説明：コード
化機能は、６４ビット平文キーを用いてＥＣＭモードで
８バイトの平文テキスト・データを暗号化するのに使用
される。この命令には制御ベクトルは渡されない。

第５図は、この命令の構成図である。

ＣＣ： １、動作成功 ２、動作失敗 注：動作失敗は、所与の実施態様に特有のどのハードウ
ェア・エラーでもよい。本明細書に記載する条件コード
（ＣＣ）は、命令に対する条件コードの案にすぎず、所
与のシステム中で実施される条件コードは他にも多数あ
る。さらに、Ｃｃコードは、所定の実施態様中で機能が
渡さなければならない実際の条−件コードではない。本
明細書で使用する番号付けは、暗号アーキテクチャの説
明の便宜上設けたものである。

制御ベクトル検査：なし 復号（ＤＥＣ） 式：　　　　ＫＤ、　ｅＫＤ（Ａ）−Ａ入カニ ＫＤ　　　　　　６４ビット平文キー ｅＫＤ（Ａ）　　６４ビット暗号化データ出カニ Ａ　　　　　　　６４ビット暗号化データ説明：復号機
能は、６４ビット平文キーを使用してＥＣＢモードで８
バイト平文テキスト・データを暗号化するのに使用され
る。この命令には制御ベクトルは渡されない。

第６図は、この命令の構成図である。

ＣＣ： １、動作成功 ２、動作失敗（エラー） 制御ベクトル検査：なし ＩＣＶ 暗号化（ＥＮＣＩ　） 式：　　　　ｅ’ＫＭ、ｃｌ（ＫＤＩ）、　ＩＣＶ、　
Ａ、　ｎ、　ＣＩ　−−−ｅＫＤｌ（ＩＣＶ、Δ） 入カニ ｅ”Ｋ）４．Ｃ１（ＫＤＩ） 制御ベクトルＣ１を用いてマスク・ キー（ＫＭ）のもとて３重暗号化 された６４ビツト・データ・キー （ＫＤＩ）。

６４ビット平文人力連鎖値 注：暗号化ＩＣｖは、「ＩＣＶ１ ０ＣＶ管理」及び「ソフトウェア・ インターフェース」で説明するよ うにＣＦＡＰによって管理される。

出力連鎖値（ＯＣＶ）が必要な 場合、最後の８バイト出力（Ｅ　ｎ） をＯＣｖとして使用しなければな らないが、これは標準的手法では ない。各システム実施態様では、 最終ブロックの暗号化と非暗号化 を別のやり方で処理する。最終ブ ロック処理及びＯＣｖ生成技術に ついての詳細は、「ソフトウェア・ インターフェース」を参照のこと。

ＣＦＡＰは、可能なすべての最終 ブロック暗号化と非暗号化（復号 化）及びＯＣＶ管理を処理する。

８倍数のバイト・ブロックで暗号 化されるデータ。８バイト・ブロッ クはＡｆ、Ａ２１．、、Ａｎであ る。最終ブロックＡｎが８バイト の倍数ではない場合、この命令を 呼び出す前にＣＦＡＰによって埋 込みを行なう必要がある。ＣＦ命 令は常に、入出力として８バイト の倍数のデータを取る。

暗号化する８バイト・ブロックの 数。ｎはできるだけ大きくすべき であるが、システムによって変わ る。ＣＡはｎに対する上限を定義 しない。

例：８バイト・ブロックの数＝１ ００００かつｎ　　ｍａｘ＝４００ ０の場合、暗号命令は次のように して呼び出される。

一暗号化ｎ＝４０００ 一暗号化ｎ＝４０００ 一暗号化ｎ＝２０００ 注：暗号化の呼出しごとに、その 後で、最後の８バイト暗号化デー タＥｎ　（ＯＣＶ）をＩＣＶ入力と して次の暗号化呼出しに戻さなけ ればならない。

ｃｌ　　　　　　データ・キー（ＫＤＩ）に対する６４
ピツトの制御ベクトル 出カニ ｅＫＤｌ（ＩＣＶ、Ａ）　　暗号化データ、ｎ個のブロ
ック、各ブロックは８バイト（Ｅｌ。

Ｅ２９．、＋　Ｅｎ）である。

説明二人力データはＤＥＡ暗号化のＣＢＣモードを用い
て暗号化される。８バイトの倍数のブロックが、ｎ個の
ブロックがすべて暗号化されるまでこの命令によって暗
号化される。

このアーキテクチャは、機能に対する平文ＩＣＶ入力だ
けを定義する。暗号化されたＩＣＶが必要な場合、暗号
化命令を使ってデータ・キー（ＫＭ２）でＩＣＶを暗号
化することができる。暗号化ＩＣＶは非暗号化命令を用
いて非暗号化（復号化）できる。暗号化されたＩＣＶと
ＯＣＶはすべてＣＦＡＰプログラムによって管理される
。

入力データが８バイトの倍数のブロックでない場合は、
埋込みを実行しなければならない。この埋込みは、暗号
化機能を呼び出す前にＣＦＡＰによって実行しなければ
ならない。

第７図は、この命令の構成図である。

ＣＣ： １、動作成功 ２、Ｃ’ｌ無効 ３、動作失敗（エラー） 制御ベクトル検査 １．０１の検査 −ＣＶタイプ　＝　「データ／互換性」または「データ
／ブライバラ」ま たは「データ／ＡＮＳＩＪ −Ｅ使用ビット　＝　１ 一予約（４８：６３）　＝　　Ｘ　’　０゜注二本明細
書で説明するすべての命令では、制御ベクトル検査は、
検査に合格しない場合は、命令を打ち切らなければなら
ず、対応する制御ベクトル無効条件コード（ＣＣ）がオ
ンになることを暗示している。制御ベクトルに対して１
つまたは複数の検査が行なわれる場合、すべての検査が
実行され、すべての検査に合格しないと動作が実行され
ない。いずれかの検査に失格すると、動作を打ち切らな
ければならない。

非暗号化（ＤＥＣＩ） 式：８６にＭ、Ｃ１（ＫＤＩ）、　ＩＣＶ、　ｅＫＤｌ
（ＩＣＶ、Ａ）。

ｎ、　Ｃ１−−Ａ 入カニ ｅ”ＫＭ、ｃｌ　（Ｋｄｌ） ＩＣＶ 制御ベクトルＣ１を用いてマスク・ キー（ＫＭ）のもとて３重暗号化 された６４ビツト・データ・キー （ＫＤＩ）。

６４ビット平文人力連鎖値 注：暗号化されたＩＣＶは、「Ｉ ＣＶ１０ＣＶ管理」及び「ソフト ウェア・インターフェース」で説 明するようにＣＦＡＰによって管 理される。

出力連鎖値（ＯＣＶ）が必要な 場合、最後の８バイト入力（Ｅ　ｎ） をＯＣｖとして使用しなければな らないが、これは標準的手法では ない。各システム実施態様では、 最終ブロックの暗号化及び非暗号 化（復号化）を別のやり方で処理 する。最終ブロック処理及びＯＣ Ｖ生成技術の詳細は、「ソフトウェ ｅ”Ｋｄｌ（ＩＣＶ、Δ） ｎ ア・インターフェース」を参照の こと。ＣＦＡＰは、可能なすべて の最終ブロック暗号化及び非暗号 化（復号化）ならびにＯＣ■Ｃｖ を処理する。

暗号化データ）ｎブロック１各ブ ロックは８バイト（Ｅｌ、Ｅ２．、、、、Ｅｎ）である
。

暗号化する８バイト・ブロックの 数。ｎはできるだけ大きくすべき であるが、システムによって変わ る。ＣＡはｎの上限を定義しない。

注：非暗号化（復号化）の呼出し ごとに、その後で、最後の８バイ トの暗号化データＥｎ　（ＯＣＶ） を次の非暗号化呼出しに入力ＩＣ Ｖとして供給しなければならない。

これはＣＦＡＰによって管理され る。

例＝８バイト・ブロックの数＝１ ｏｏｏｏ及びｎ　　ｍａｘ＝４００ ０の場合、非暗号化命令は次のよ うにして呼び出される。

非暗号化　ｎ＝４０００ 非暗号化　ｎ＝４０００ 非暗号化　ｎ＝２０００ データ・キー用の６４ビツト制御 ベクトル（ＫＤＩ） 出カニ Ａ　　　　　　８バイトの倍数のブロックの平文データ
。８バイト・ブロックはＡ Ｌ　Ａ２．、、＋　Ａｎである。

説明：入力データはＣＢＣのＤＥＡ暗号化モードを用い
て非暗号化（復号化）される。８バイトの倍数のブロッ
クは、ｎ個のブロックがすべて非暗号化（復号化）され
るまでこの命令によって非暗号化（復号化）される。

このアーキテクチャは、機能に対する平文ＩＣ■Ｃｖだ
けを定義する。暗号化されたＩＣＶが必要な場合、Ｃｖ
は暗号化命令を用いてデータ・キー（ＫＭ２）を暗号化
することできる。暗号化されたＩＣＶは非暗号化命令を
用いて非暗号化（復号化）できる。暗号化ＩＣＶとＯＣ
Ｖ、＝’ｓはすべてＣＦＡＰによって管理される。

第８図はこの命令の構成図である。

ＣＣ： １、動作成功 ２．０１無効 ３、動作失敗 制御ベクトル検査 １．０１の検査 −ｃｙ　ｔｙｐｅ　：　ｒデータ／互換性」または「デ
ータ／プライハシ」または「データ／ＡＮＳＩ」 Ｄ使用ビット　＝　１ −　予約（４８：６３）＝Ｘ’Ｏ” ＭＡＣ生成（ＧＭＡＣ） 式：　　　　ｅ”ＫＭ、ｃｌ（ＫＤ２＝１）、　［ｅ’
ＫＭ、Ｃ２（ＫＭ２）］。

ＩＣＶ［ｅ”ＫＭ、Ｃ３（ＯＣＶ）］ Δ、　ｎ、　１ｃｙ−ｔｙｐｅ、　ｏｕｔｐｕｔ−ｔｙ
ｐｅ。

ｍａｃ−ｅｎｃ、　　ＣＩ、　　［Ｃ２］、　　［Ｃ３
］−−−−−ＭＭＣ（６４ビツト） または ｅ”ＫＭ、ｃ３　（ＯＣＶ） 入カニ ｅ”ＫＭ、ｃｌ　（ＫＤＩ） ＫＤＩは制御ベクトルｃ１を用い てＫＭのもとて３重暗号化された ＭＡＣを単一暗号化するためのＭ ＡＣ生成キーである。

ｅ”ＫＭ、ｃ２（ＫＭ２）　　Ｋ　Ｄ　２は、制御ベク
トルｃ２を用いてＫＭのもとて３重暗号化され たＭＡＣを３重暗号化するための 任意選択のＭＡＣ生成キーである。

これは１ｓ＋ａｃ−ｅｎｃ＝１　の場合にＮ　ｍａＣを
３重暗号化するために必要な任 意選択入力である。

ゼロに等しいＩＣＶは、省略時初 期連鎖値であり、ｃＡアーキテク チャ、ＡＮＳＩ　　Ｘ９．９及びＡ ＮＳＩ　　Ｘ９．１９にとって標準 ＣＶ ｅ”ＫＭ、Ｃ３（ＯＣＶ） 的である。非ゼロの平文ＩＣＶも、 平文ＩＣＶ入力が必要なシステム との互換性をもつために使用でき る。暗号化されたＩＣＶ入力は、 機能の安全保護を高めないことが 判明しているので、ＣＡによって 支援されない。暗号化された中間 ＩＣＶは、ＣＡによって支援され る。

注：必要な場合、暗号化ＩＣＶは、 ｒＩＣＶ１０ＣＶ管理」及び「ソ フトウェア・インターフェース」 に記載されているようにＣＦＡＰ によって管理される。

これは特殊制御ベクトルＣ３を用 いてマスタ・キーのもとて暗号化 された６４ビツトの中間ＩＣＶで ある。これは、ＭＡＣを生成する ために大きなデータ・ブロック （／ｎ）が使用される場合に提供し なければならない任意選択入力で ある。ＩＣＶの非暗号化（復号化） は、機能内部で行なわれる。中間 ＯＣｖは、制御ベクトルを用いて マスタ・キーのもとでローカル使 用専用の形で記憶されているので、 ローカル・ノードから送ることは できない。

８バイトの倍数のブロック（ＡＩ。

Ａ２．、、Δｎ）中で、ＭＡＣされるデータ。

ＭＡＣされる８バイト・ブロック の数。ｎはできるだけ大きくすべ きであるが、システムによって変 わる。ＯＣＡはＨの上限を定義し ない。多数のブロワ′りをＭＡＣＬ なければならない場合、すべての ブロックが完了するまで、ＧＭＡ Ｃが何回も呼び出される。

例： ＧＭＡＣ １４ＡＣ ＧＭＡＣ ｉｃｖ−ｔｙｐｅ システムに対するｎ　　ｍａｘが４ ０００で、ＭＡＣされるデータが １００００個の８バイト・ブロワ クである場合、ＧＭＡＣは次のよ うにして呼び出される。

ｎ＝４０００．ｏｕｔｐｕｔ−ｔｙｐｅ＝１．１ｃｙ−
ｔｙｐｅ＝Ｏｎ＝４０００　、　ｏｕｔｐｕｔ−ｔｙｐ
ｅ＝１　、１ｃｙ−ｔｙｐｅ＝２ｎ＝２０００．ｏｕｔ
ｐｕｔ−ｔｙｐｅ＝２＋　１ｃｙ−ｔｙｐｅ＝２注：　
ＧＭＡＣの呼出しごとに、そ の後で中間Ｉ　ＣＶ　（１）　ｅ”ＫＭ、Ｃ３（ＯＣＶ
）をＩＣＶ入力として次のＧＭＡＣ 呼出しに戻さなければならない。

この中間ＩＣＶの非暗号化（復号 化）はＣＦの内部で行なわなけれ ばならない。

１ｃｙ−ｔｙｐｅ　は、機能に渡された工Ｃｖがゼロか
、平文か、それとも 中間ＩＣｖかを示す。中間ＩＣＶ は、制御ベクトルＣ３を用いてマ スフ・キーのもとで３重暗号化さ ｏｕｔｐｕｔ−ｔｙｐｅ Ｃ１，Ｃ２，Ｃ３ れる。ゼロのＩＣＶが省略時の値 である。

０：ゼロＩＣＶ（省略時） １：平文ＩＣＶ ２：中間Ｉ　ＣＶ　（ＯＣＶ） この命令に対するＭＡＣ生成処理 の段階を示す。

０：ＭＡＣ出力 １：中間ＩＣＶ出力（ＯＣＶ） １重または３重暗号化ＭＡＣ出力 を示す。

０：１重暗号化ＭＡＣ出力 １：３重暗号化ＭＡＣ出力（ＡＮ ＳＩ９．１重要件） それぞれＫＤｌ、ＫＭ２及びＯＣ Ｖ用の６４ビツトの制御ベクトル。

Ｃ２及びＣ３は命令に対する任意 選択入力であり、Ｃ２はｍａｃ−ｅｎｃ＝１の場合に入
力しなければなら ず、Ｃ３は１ｃｙ−ｔｙｐｅ＝２またはｏｕｔｐｕｔ＝
ｔｙｐｅ＝１の場合に入力しなければならない。

出カニ Ｍ　Ａ　Ｃｍａｃ−ｅｎｃパラメータに応じて最終入力
データ・ブロックの１重暗号 化または３重暗号化によって生じ る６４ビツト出力である。

ｅ”ＫＭ、Ｃ３（ＯＣＶ）　　ＯＣＶハ、制御ペクト／
ｌ／　Ｃ３を用いてＫＭのもとて３重暗号化され た６４ビツト中間ＩＣＶである。

この出力は、ｏｕｔｐｕｔ−ｔｙｐｅ＝１の場合に限り
有効である。ＭＡＣ出力 と中間ＯＣｖ出力は、安全保護上 の理由から両方同時に出力しては ならない。

説明：入力データはＣＢＣのＤＥＡ暗号化モードで暗号
化され、暗号化されたデータの最終ブロックが出力され
る。１重暗号化モードと３重暗号化モードの２つのモー
ドがある。１重暗号化モードでは、単一キーＫＤ１を使
ってＭＡＣが作成される。３重暗号化モードでは、１重
暗号化モードを使ってＫＤＩを用いてＭＡＣを作成する
。ただし、次いでＫＭ２を用いてＭＡＣを非暗号化し、
再びＫＤＩを用いて再暗号化して、最終的に６４ビツト
ＭＡＣを作成する。

この命令は６４ビツトのＭＡＣを出力するが、Ｘ９．９
では、６４ビツトＭＡＣ出力の左側の３２ビツトである
３２ビツトＭＡＣが指定されている。ＣＦＡＰは６４ビ
ツトＭＡＣ出力から適切なＭＡＣビットを抽出しなけれ
ばならない。

ＩＣＶは標準としてゼロであり、任意選択としてＧＭＡ
Ｃ命令に対する平文ＩＣＶまたは中間ＩＣＶでもよい。

暗号化されたＩＣＶが必要な場合、ＣＦＡＰは（ＫＤＳ
）（７）もとてＩＣｖを暗号化しなければならず、平文
ＩＣＶをＧＭＡＣ命令に渡さなければならない。ＡＮＳ
Ｉ　　Ｘ９．９ＭＡＣ基準では、第１ブロツクに対して
ゼロのＩＣＶが指定されているので、ここではそれを標
準入力として定義する。しかし、このアーキテクチャは
、ＭＡＣ生成の可能なあらゆる必要性を満足させるため
に平文人力及び中間入力を提供する。

ｎ個より多くのブロックに対してＭＡＣ生成が必要な場
合、中間ＩＣＶのオプションを使ってＭＡＣを生成しな
ければならない。この要件は、平文の中間ＩＣＶをさら
さないことによって安全保護を高める。

データ・ブロックが８バイトの倍数のブロックではない
場合、埋込みを行なわなければならない。

埋込みは、この機能を呼び出す前にＣＦＡＰによって実
行しなければならない。ＭＡＣ計算は、ＡＮＳＩ　　Ｘ
９．９−１９８Ｅ３第５．０節で指定されているように
２進データに対して行なわなければならず、必要に応じ
てコード化文字セットをＣＦＡＰによって実施しなけれ
ばならない。

第９図は、この命令の構成図である。

ＣＣ： １、動作成功 ２．０１無効 ３、Ｃ２またはＣ３無効 ４、動作失敗（エラー） 制御ベクトル検査 １．０１の検査 ＣＶタイプ＝「データ／互換性」または「データ／ＭＡ
ＣＪまたは「データ／ＡＮＩＪ ＭＧ使用ビット＝１ 予約（４８：　６３）＝Ｘ　’　０゜ ２、　　（ｍａｃ−ｅｎｃ：１）の場合に０２の検査Ｃ
Ｖタイプ＝「データ／互換性」または「データ／ＭＡＣ
Ｊまたは「データ／ＡＮＩＪ ＭＧ使用ビット＝１ 予約（４８：　６３）＝Ｘ“０゛ ３、　　（ｉｃｙ−ｔｙｐｅ＝２またはｏｕｔｐｕｔ−
ｔｙｐｅ＝１　）の場合に０３の検査 ＣＶタイプ＝”中間ＩＣＶ″ ＭＡＣ検査（ＶＭＡＣ） 式：　　　　　ｅ’ＫＭ、ｃｌ（ＫＤＩ）、　［ｅ”Ｋ
Ｍ、Ｃ２（ＫＭ２）］。

ＩＣＶ［ｅ”ＫＭ、Ｃ３（ＯＣＶ）］。

Ａ、　ＭＡＣ，ｎ、　１ｃｙ−ｔｙｐｅ。

入カニ ｅ”ＫＭ、ｃｌ　（ＫＤＩ） ｅ”ＫＭ、ｃ２（ＫＭ２） ＩＣＶ ｏｕｔｐｕｔ−ｔｙｐｅ、ｍａｅ−ｅｎｅ＋　　ｍａｃ
−１ｅｎ。

ＣＩ、　　［Ｃ２］、　　［Ｃ３］ −−−−−−イエス／ノー または ｅ”ＫＭ、ｃ３（ＯＣＶ） ＫＤＩは、制御ベクトルＣ１を用 いてＫＭのもとて３重暗号化され た、ＭＡＣを１重暗号化するため のＭＡＣ検査キーである。

ＫＭ２は、制御ベクトルＣ２を用 いてＫＭのもとで３重暗号化され た、ＭＡＣを３重暗号化するため のＭＡＣ検査キーである。これは、 ｍａｃ−ｅｎｃ＝１の場合にＭＡＣを３重暗号化するた
めに必要な任意選択 入力である。

ゼロに等しいＩＣＶは、省略持切 期連鎖値であり、ＣＡアーキテク チャ、ＡＮＳＩ　　Ｘ９．９及びＡ ＮＳＩ　　Ｘ９．１９にとって標準 的である。非ゼロの平文ＩＣＶも、 平文ＩＣＶ入力が必要なシステム と互換性をもつために使用できる。

暗号化ＩＣＶ入力は、機能の安全 保護を高めないことが判明してい るので、ＣＡによって支援されな い。暗号化された中間ＩＣＶはＣ Ａによって支援される。

注：必要な場合、暗号化ＩＣＶは、 ｒＩＣＶ１０ＣＶ管理」及び「ソ フトウェア・インターフェース」 に記載されているようにＣＦＡＰ によって管理される。

ｅ”ＫＭ、ｃ３　（ＯＣＶ）　　これは、特殊な制御ベ
クトルＣ３を用いてマスタ・キーのもとて暗 帰化された６４ビット中間ＩＣＶ である。これは、′大きなデータ・ ブロックＯｎ）を使ってＭＡＣを 生成する場合に提供しなければな ＭＡＣ らない任意選択入力である。ＩＣ Ｖの非暗号化（復号化）は、機能 の内部で行なわれる。中間ＯＣｖ は、制御ベクトルを用いてマスク・ キーのもとてローカル使用専用の 形で記憶されているので、ローカ ル・ノードから送ることはできな い。中間ＩＣＶは、攻撃から保護 するためにＭＡＣ検査処理中秘密 にしなければならない。

８バイトの倍数のブロック（Ａ１゜ Δ２．９．Δｎ）で、ＭＡＣ中で使用されるデータ。

１重または３重暗号化された命令 に対する６４ビットＭＡＣ入力。

省略時には、このＭＡＣの左側３ ２ビツトだけがＭＡＣ比較のため に使用される。ｍａｃ−１ｅｎを使って、他の比較長を
明示的に指定するこ とができる。

ＶＭＡＣ ＭＡＣされる８バイト・ブロック の数。ｎはできるだけ大きくすべ きであるが、システムによって変 わる。多数のブロックをＭＡＣ検 査しなければならない場合、すべ てのブロックが完了するまで、Ｖ ＭＡＣが何回も呼び出される。

例ニ システムに対するｎ　　ｍａｘが４ ０００で、検査されるデータは１ ００００個の８バイト・ブロック である場合、ＶＭＡＣは次のよう にして呼び出される。

注：ＶＭＡＣの呼出しごとに、そ の後で中間Ｉ　ＣＶ　ｅ’ＫＭ、ｃ３（ＯＣＶ）をＩＣ
Ｖ入力として次のＶＭＡＣ 呼出しに戻さなければならない。

この中間ＩＣＶの非暗号化はＣＦ の内部で行なわなければならない。

ｎ＝４０００．　ｏｕｔｐｕｔ−ｔｙｐｅ＝１＋　ｉｃ
ｙ−ｔｙｐｅ＝０ＶＡＭＣｎ”４０００＋　　ｏｕｔｐ
ｕｔ−ｔｙｐｅ＝１．　　ｉｃｙ−ｔｙｐｅ＝２ＶＭΔ
Ｃｎ＝２０００．ｏｕｔｐｕｔ−ｔｙｐｅ＝０．　１ｃ
ｙ−ｔｙｐｅ＝２ｉｃｙ−ｔｙｐｅはその機能に渡され
る工Ｃｖがゼロか、平文か、それとも 中間ＩＣＶかを示す。中間ＩＣＶ は制御ベクトルＣ３を用いてマス ク・キーのもとて３重暗号化され る。

０：ゼロＩＣＶ（省略時） １：平文ＩＣＶ ２：中間ＩＣＶ　（ＯＣＶ） ｏｕｔｐｕｔ−ｔｙｐｅ　　この命令に対するＭＡＣ＠
査処理膜処理段階。

０：ＭＡＣ検査出力 １：中間ＩＣＶ出力（ＯＣＶ） ｍａｃ−ｅｎｃは１重または３重暗号化ＭＡＣ入力であ
る。

０：１重暗号化ＭＡＣ人力 １：３重暗号化ＭＡＣ入力（ＡＮ ＳＩ９．１重要件） ｍａｃ−ｅｎｃ ｉｃｙ−ｔｙｐｅ ｍａｃ−ｆｅｎ Ｃ１，Ｃ２，Ｃ３ ｍａｃ−ｆｅｎは比較すべきＭＡＣのバイト数を指定す
る。省略時には左 側４バイトが比較される。

Ｏ：左側４バイト １：左側５バイト ２：左側６バイト ３：左側７バイト ４：８バイト 注＝４．５．６．７．８バイトの ＭＡＣ検査を行なうと、８バイト ＭＡＣのＭＡＣ生成処理が覆える ことがある。暗号機構でこの問題 を解決する解決方法はないが、Ｃ ＦＡＰでは異なる長さのＭＡＣ検 査のための何らかの検査を考慮で きる。この問題についてはさらに 調査が必要である。

それぞれＭＤＩ、ＫＤ２及びＯＣ Ｖ用の６４ビツト制御ベクトル。

Ｃ２及びＣ３はこの命令に対する 任意選択入力であるｏ　ｍａｃ−ｅｎｃ＝１の場合はＣ
２が必要であり、ＬＣＶ− ｔｙｐｅ＝２　またはｏｕｔｐｕｔ−ｔｙｐｅ＝１の場
合は、Ｃ３が必要である。

出カニ ｙｅｓ／ｎｏ　　　　　ＭＡ　Ｃが検査される／されな
い。

ｃ”ＫＭ、Ｃ３（ＯＣＶ）　　ＯＣＶは、制御ベクトル
Ｃ３を用いてＫＭのもとて３重暗号化され た６４ビツトの中間ＩＣＶである。

これは、ｏｕｔｐｕｔ−ｔｙｐｅ＝１　に対して有効な
任意選択出力である。

説明二人カデータは、データ・キーＫＤＩを用いてＣＢ
ＣのＤＥＡ暗号化モードで暗号化され、最終的に暗号化
されたブロックの左側３２ビツトが供給されるＭＡＣと
等しいかどうか比較される。

３２ビツトのＭＡＣ比較対象値が省略時の値である。他
の比較は５ａｃ−１ｅｎパラメータで指定されるように
行なわなければならない。ＣＣ＝１はＭＡＣが等しい場
合に設定され、ＣＣ＝２はＭＡＣが等しくない場合に設
定される。２つの暗号化モードがある。１重暗号化モー
ドでは、単一キーＫＤ１を使ってＭＡＣが作成される。

３重暗号化モードでは、単一暗号化モードを使ってＫＤ
Ｉを用いてＭＡＣを作成する。ただし、次いでＭＡＣを
ＫＤ２を用いて非暗号化（復号化）シ、再びＫＤＩを用
いて再暗号化し、最終的に６４ピツ）ＭＡＣを作成する
。ＭＡＣはｍａｃ−ｅｎｃ入力で指定されるように生成
され、次いで機能に供給されるＭ、ＡＣと比較される。

最初のＩＣＶは標準としてゼロであり、任、α選択で平
文とすることである。中間ＩＣＶは、ＭＡＣされたデー
タが長さｎブロックより大きい場合に使用しなければな
らない。

データ・ブロックが８バイトの倍数のブロックではない
場合、埋込みを行なわなければならない。

埋込みは、この命令を呼び出す前にＣＦＡＰによって実
行しなければならない。

第１０図はこの命令の構成図である。

ＣＣ： １、ＭＡＣが等しい ２、ＭＡＣが等しくない ３．０１無効 ４、Ｃ２またはＣ３無効 ５、動作失敗（エラー） 制御ベクトル検査 １．０１の検査 ＣＶタイプ＝「データ／互換性」または「データ／ＭＡ
ＣＪまたは「データ／ＡＮＩＪ ＭＶ使用ビット＝１ 予約（４８：６３）＝Ｘ’Ｏ。

２、　（ｍａｃ−ｅｎｃ＝１）の場合に０２の検査ＣＶ
タイプ＝「データ／互換性」または「データ／ＭＡＣＪ
または「データ／ＡＮＩＪ ＭＧ使用ビット＝１ 予約（４８：　６３）＝Ｘ″Ｏ“ ３、　（ｉｃｙ−ｔｙｐｅ＝２　またはｏｕｔｐｕｔ−
ｔｙｐｅ＝１）の場合に０３の検査 ＣＶタイプ＝「中間ＩＣＶＪ 暗号テキスト変換（ＴＣＴＸＴ） 式：　　　　ｅ”ＫＭ、ｃｌ（ＫＤＩ）、　ＩＣＶｌ、
　ｅＫＤｌ（ＩＣＶＩ。

Ａ）。

ｅ”ＫＭ、Ｃ２（ＫＭ２）、　ＩＣＶ２．　ｎ、　ＣＩ
、　Ｃ２−−−−ｅＫＤ２　（ＩＣＶ２．　Ａ）入カニ ｅ’ＫＭ、ｃｌ　（ＫＤＩ） ＩＣＶｌ ｅＫＤｌ（ＩＣＶＩ、Δ） 　　ＣＶ２ Ｃ１，Ｃ２ ＫＤＩは、制御ベクトルＣ１を用 いてＫＭのもとで３重暗号化され た入力データ・キーである。

６４ビツトの平文ＩＣＶ ＫＭ２は、制御ベクトルＣ２を用 いてＫＭのもとて３重暗号化され た出力データ・キーである。

６４ビツトの平文ＩＣＶ 変換される８バイトのデータ・ブ ロック数 それぞれＫＤＩ、ＫＭ２用の制御 ベクトル 出カニ ｅＫＤ２（ＩＣＶ２．八） ＩＣＶ２を使ってデータ・キーＫ Ｄ２のもとて暗号化されたデータ Ａを出力する。

説明：暗号化テキスト変換命令は、あるデータ・キー及
びＩＣＶから他のデータ・キーとＩＣＶにデータを変換
する。この命令は、データ／変換キー及びデータ／互換
性キーで動作する。ＣＶキーまたはＣＶ＝Ｏキーがデー
タを変換するのに使用できるが、これらのキー・タイプ
の混合と突合せは、この命令によって許されない。デー
タは最高ｎ個の８バイト・ブロックまで可能であり、変
換は暗号機構内で行なわれ、暗号機能の外部で平文デー
タがさらされることはない。

ＩＣＶ入力ＩＣＶＩ及びＩＣＶ２は命令に対する平文Ｉ
ＣＶ入力しかとれない。中間ＩＣＶはこの命令によって
供給されない。ｎ個を超えるデータ・ブロックを変換し
なければならず、データを連鎖しなければならない場合
、ＣＦＡＰは最後の８バイトの暗号化ブロック（Ｅ　ｎ
）をＩＣＶに対する入力として渡さなければならない。

暗号化■ＣＶが使用される場合、ＩＣｖを命令に渡す前
にＩＣＶを非暗号化（復号化）しなければならない。

２Ｆ：暗号化テキスト変換命令は、ＣＶ専用キー（すな
わち、データ変換キー）で動作するように特に設計され
ている。互換性モード暗号テキスト変換のオプションは
提供されない。それを克服するため、暗号テキスト変換
命令は、ＤとＥ属性及びＸＤｉｎとＸＤｏｕｔ属性をも
つデータ・キーを受け入れる。しかしこれは、平文デー
タが偶然にさらされるのを減らすためのサービスとして
提供される。というのは、内部の不正使用者が、非暗号
命令を使って平文でないデータを回復できるからである
。互換性モードで暗号テキスト変換キーを分離すること
はできず、そのための制御ベクトルを作成しても、安全
保護は幻想でしかない。実際、（Ｃｖ＝０チャネルを介
して送られた）所期の変換キーを搬入することにより、
ＲＴＭＫ命令を用いて攻撃を行なうことが可能である。

したがって、暗号テキスト変換データ・チャネルは、そ
のチャネルを介して送られたデータを非暗号化すること
によって覆えされる。

第１１図はこの命令の構成図である。

ＣＣ： １、動作成功 ２、Ｃ１またはＣ２無効 ３、動作失敗 制御ベクトル検査 １．０１の検査 −ＣＶタイプ＝「データ／変換」または「データ／互換
性」 （ＣＶタイプ＝「データ／変換」）の場合、ＸＤ　ｉ　
ｎ＝　１ 予約（４８：６３）＝Ｘ’０” ２　、　　（ｍａｃ−ｅｎｃ＝１　）の場合に０２の検
査Ｃｖタイプ＝「データ／変換」または「データ／互換
性」 （ＣＶタイプ＝「データ／変換」）の場合、ＸＤｏｕｔ
＝１ 予約（４８：　８３）＝Ｘ’　Ｏ’ ３．０１と０２の検査 Ｃｖタイプ（Ｃ１）＝　ｒｃＶタイ７”　（Ｃ２）ＪＭ
ＤＣＯＰ　（ＭＤＣ動作） 説明：１９８７年８月２３日付けの米国特許出願第９０
６３３号に記載されているように、修正検出コード（Ｍ
ＤＣ）を計算する命令を提供することは、当該技術の範
囲内にある。この特許出願を引用により本明細書に組み
込む。

ＩＣＶｌｏＣＶの管理 初期連鎖値（ＩＣＶ）とは、ＤＥＡの暗号ブロック連鎖
（ＣＢＣ）暗号化モード及びメツセージ確認コード（Ｍ
ＡＣ）を計算する一部のアルゴリズムと共に使用される
、６４ビツトの乱数、疑似乱数、または、場合によって
は、非反復値である。

ＩＣＶ管理には、平文及び暗号化されたＩＣＶの電子伝
送及びローカル記憶のためのオプションが含まれる。し
かし、暗号化されたＩＣＶは、いずれかの暗号機構への
入力パラメータとして使用する前に、まず非暗号化（復
号化）しなければならない。

出力連鎖値（ＯＣＶ）とは、ＧＥＮＭＡＣ及びＶＥＲＭ
ＡＣ暗号命令によって、ある種の条件のもとで戻される
６４ビツト値である。同じ暗号命令が再び呼び出され、
ＯＣｖがＩＣＶとして渡さレル。ＯＣｖは常ニｅＫＭ、
ｃＶ　（ＯＣＶ）の形で暗号化される。ただし、ＣＶは
中間ＩＣＶ用の制御ベクトルである。ＶＥＲＭＡＣ命令
にとって、暗号化さるたＯＣＶが安全保護のために不可
欠である。平文ＯＣ■は、この場合は、ＭＡＣを露出さ
せるために使用できる。これは、ＶＥＲＭＡＣ命令では
できないと思われる。暗号化ＯＣＶもＧＥＮＭＡＣ命令
に対して定義される。これは、ＧＥＮＭＡＣ及びＶＥＲ
ＭＡＣ命令をできるだけ同じにして、ハードウェア面で
可能な機能上のオーバーラツプを許すためである。

暗号機構外部でのＩＣＶ管理 この通信アーキテクチャでは、ＩＣＶの次の３つの電子
伝送モードが可能である。

１、平文ＩＣＶ：平文で送られる。

２、暗号化ＩＣＶ：送信側と受信側の間で共用されるデ
ータ・キー（ＫＤ）を用いて暗号化される。

３、私用プロトコルＩＣＶ：送信側と受信側の間の私用
プロトコルによって確立されるＩＣＶ。

ＣＡのもとで、ＣＦＡＰは平文及び暗号化されたＩＣＶ
の両方を処理しなければならない。しかし、アプリケー
ションはそれ自体の暗号化ＩＣＶを管理することを選ぶ
ことができ、平文ＩＣＶをＣＦＡＰに渡して、伝送のた
めＩＣＶを暗号化し、他の７−ドから受信したすべての
暗号化ＩＤＶを非暗号化（復号化）する。任意選択とし
て、暗号支援プログラムも私用プロトコルを使ってＩＣ
Ｖを確立することができる。

暗号機構内部での■ＣＶ管理 制御ベクトルは、ＩＤＶの電子的配布には使用されず、
またＩＣＶの配布を制御するために暗号機構（ハードウ
ェア）が使用できるビットも制御ベクトル中にない。Ｉ
ＣＶ配布モードの暗号機構による検査や実施はない。す
なわち、ＩＣＶ管理は、厳密に暗号支援プログラム（す
なわち、暗号機構の外部のソフトウェア）の役割である
。

暗号機構に暗号機構入力パラメータとして渡されるすべ
てのＩＣＶは、平文ＩＣＶでなければならない。Ｇ　Ｅ
　ＮＭＡ　Ｃ及びＶＥＲＭＡＣ命令で必要とされるＩＣ
Ｖ＝０は、平文ＩＣＶのサブケースである。影響を受け
る暗号命令には次のものがある。

１、暗号化 ２、非暗号化 ３、ＭＡＣ生成 ４、ＭＡＣ検査 ５、暗号テキスト変換 頭字語と略語 ＣＣ条件コード ＣＡまたはＯＣＡ 暗号アーキテクチャ ＣＶ　　　　　制御ベクトル（ＩＣＶまたはＯＣＶとは
無関係） ＣＢＣ暗号ブロック連鎖。データ暗号化標準の暗号化モ
ード ＤＥＤ　　　　非暗号化（復号化）、暗号化及び非暗号
化（復号化） りＥ　Ａ ＤＥＳ ＥＣＢ ＤＥ ＩＣＶ Ｄｘ ＥＫｘ Ｍ ＭＮ ＭＯ ＰＥｘ ＰＧｘ ＰＶｘ Ｋ　　Ｋ　　Ｎ　　Ｉ ＫＫＮ　Ｉ　　Ｌ ＫＫＮ　Ｉ　Ｒ Ｋ　　Ｄ　　ｍ　　ａ　　ｃ データ暗号化アルゴリズム データ暗号化標準 電子コード・ブック、ＤＥＳの暗号 化モード 暗号化、非暗号（復号化）化及び暗 号化 入力連鎖値（ＣＶとは無関係） データ・キー（ｘ＝整数） キー暗号キー（ｘ＝整数） マスタ・キー 新マスタ・キー 旧マスタ・キー ＰＩＮ暗号化キー（ｘ＝整数） ＰＩＮ生成キー（ｘ＝整数） ＰＩＮ妥当性検査キー（ｘ＝整数） 中間認証キー　１２８ピツト ＫＫＮＩの左６４ビツト ＫＫＮＩの右６４ビツト ＡＮＳＩＮＳ上−ジ用の一時ＭＡＣ キー ＭＡＣメツセージ確認コード ＭＤＣ修正検出コード ＯＣｖ　　　出力連鎖値 ＰＩＮ　　　　個人識別番号（ＡＴＭと共に使用）コー
ド化及び復号命令は、ＤＥＳのＥＣＢ　（電子コード・
ブック）を使用する。このモードでは連鎖やフィードバ
ックはない。第１２図は、ＥＣＢの暗号化及び非暗号化
モードの動作を示す。

暗号アルゴリズム 暗号化／非暗号化アルゴリズムは、米国標準局データ暗
号化標準（ＤＥＳ）局または、それと等価な米国規格協
会データ暗号化アルゴリズム（ＡＮＳＩ　　ＤＥＡ）Ｘ
９．９２−１９８１である。

暗号化ブロックの連鎖（Ｃ：ＢＣ）は、ＡＮＳＩ暗号動
作モードＸ９．１０６−１９８３で指定されているよう
に行なわれる。第１３図及び第１４図は、それぞれＣＢ
Ｃの暗号化及び非暗号化モードの動作を示す。

メツセージ確認（ＭＡＣ） 参考文献（６）で参照されている金融機関メツセージ確
認標準（卸売り）（ＡＮＳＩ　　Ｘ９．９）は、発送者
から受信者へのメツセージを確認するための処理を定義
する。この処理は、通信媒体及び支払いシステムから独
立している。

この確認処理には、メツセージ確認コード（ＭＡＣ）の
計算、伝送及び検査が含まれる。ＭＡＳ＝Ｃは、完全な
メツセージ・テキストまたはテキストの選択されたメツ
セージ要素に基づく。ＭＡＣは、発送者の手でメツセー
ジに追加されて、受領者に送信される。メツセージまた
はメツセージ要素は、同じアルゴリズム及びブライバシ
・キーで、受け取ったＭＡＣと同じＭＡＣが生成される
場合、受領者によって本物として受け入れられる。

確認処理の安全保護は、プライバシ・キーに対して与え
られる安全保護に直接依存する。

ＭＡＣは、第１５図に示すように生成される。

この標準に記載されている確認アルゴリズムは、ＡＮＳ
Ｉ　　Ｘ３．１０８−１９８３に記載されているように
、６４ビツトＣＢＣまたはＣＦＢ動作モードを使って実
施できる。両方のモードが、等価なＭＡＣを生成するよ
うに初期設定される。ＫＥＹは６４ビツト・キーであり
、ＡＩないしＡｎは６４ビツトのデータ・ブロックであ
る。初１…連鎖値はこの標準ではＯ“であり、ＣＢＣ動
作モードは第１５図に示すように実施すべきである。Ａ
ｎが６４ビツト未満の場合、残りのビットの右側に′Ｏ
“が付加される（埋め込まれる）。（ＯＮ）の一番左側
の３２ビツトがＭＡＣとみなされる。

注：４８ビツト及び６４ビツトのＭＡＣを生成及び処理
するための互換性が、存在しなければならない。これら
の場合、一番左側の４８ビツトまたは最終出力全体（Ｏ
ｎ）がＭＡＣとみなされる。

このアルゴリズムは２進データのＭＡＣ生成を記述する
。「コード化文字セット」のメツセージ確認は、ＡＮＳ
Ｉ　　Ｘ９．９−１９８６に記載されているように実施
すべきであり、文字が２進データで表された後にＭＡＣ
アルゴリズムが呼び出される。

ＭＤＣアルゴリズム 変更検出コードの原理は１９８７年８月２８日付けの米
国特許願第０９０Ｅ３３３号に記載されている。

２つのＭＤＣアルゴリズムが存在する。

１、ＭＤＣ２−８バイトの入力データ・ブロックごとに
２回の暗号化 ２、ＭＤＣ４−８バイトの入力データ・ブロックごとに
４回の暗号化 異なる２つのアルゴリズムを用いると、呼出し側は、そ
のアプリケーションに依存する安全保護のわずかな低下
と引き換えに５０％の性能改善を得ることができる。

−ＭＤＣ２（テキスト） １、入力テキストにＸ’ＦＦ’を埋め込んで８バイトの
倍数にする。

２、人力テキストを［ｎ１個の８バイト・ブロックＴ８
［１コないしＴ８　［ｎ＝に区分する。

３、ｎ＝１の場合、ｎ＝２及びＴ８［２コ＝８バイトの
Ｘｏｏｏｏと設定する。

４、ＫＤｌとＫＤ２の初期値を設定する（下記参照）。

５、　　［１１＝ｌ、　２＋　、−−１ｎについて、ａ
、ＭＤＣＯＰ　（ＫＤＩ、ＫＤ２、Ｔ８［ｉｌ　　、　
Ｔ８　　［ｉ　　コ　）ｂ、　ＫＤ　１　：　＝ＯＵＴ
　１ ｃ、ＫＤ２：＝ＯＩＪＴ２ ｄ、ＦＯＲループの終わり ８、ＭＤＣ２の出力は、１６バイトＭＤＣ：＝　（ＫＤ
　１／／ＫＤ２）である。

−ＭＤＣ４（テキスト） １、入力テキストにＸ″ＦＦ’を埋め込んで８バイトの
倍数にする。

２、入力テキストを［ｎ１個の８バイト・ブロックＴ８
［エコないしＴ８　［ｎ＝に区分する。

３、ｎ＝１の場合、ｎ＝２及びＴ８［２コ＝８バイトの
Ｘ“００′に設定する。

４、ＫＤｌとＫＤ２の初期値を設定する（下記参照）。

５、［１ｌ＝１．２．、、、ｎについて、ａ、　　ＭＤ
ＣＯＰ　　（ＫＤＩ、ＫＤ２、Ｔ８［ｉｌ　　、Ｔ８　
　［ｉｌ　　） ｂ、　　ＫＤＩ　　ｉｎｔ　　：＝ＯＵＴ１ｃ、　　Ｋ
Ｄ２　　ｉ　　ｎ　　ｔ　　：　　＝ＯＵＴ２ｄ、　　
ＭＤＣＯＰ　　（ＫＤ　１　　ｉ　　ｎ　ｔ、ＫＤ２　
　ｉ　　ｎｔ、ＫＤ２、ＫＤＩ） ｅ、　　ＫＤ　　１　　：　　＝ＯＵＴ　　１ｆ、　　
ＫＤ２：＝ＯＵＴ２ ｇ、ＦＯＲループの終わり ６、ＭＤＣ：４の出力は、１６バイトＭＤＣ：＝　（Ｋ
Ｄ　１／／ＫＤ２）である。

ＫＤｌとＫＤ２の初期値は以下の通りである。

１　、　ＫＤＩ：：Ｘ’５２５２５２５２５２５２５２
５２゜２　、　ＫＤ２：二Ｘ’２５２５２５２５２５２
５５２５２’認証アルゴリズム ＫＫ使用 認証キーを計算するために使用されるキーをＫＩくとす
る。そうすると、 ＫＫＲ＝ＫＫ＋ＦＭ１　（＋は排他的論理和演算、ＦＭ
ＩはＩＤからの最初の８バイト） ＫＫＬ＝ＫＫ＋ＴＯ１（ＴＯＩはＩＤへの最初の８バイ
ト） ＮＳ　１＝ｅＫＫＲ（Ｔｏ２）（Ｔｏ２はＩＤへの第２
の８バイト ＮＳ　ｒ＝ｅＫＫＬ　（ＦＭ２）（ＦＭ２はＩＤからの
第２の８バイト ＮＳ＝　　（ＮＳＩの左側３２ビツト）　／／ＮＳ　ｒ
の右側３２ビツト）＋ＣＴ　（ＣＴはＫＫに関連する６
４ビツトのカウンタ） Ｋ　　Ｎ　　＝　　　　　Ｋ　　Ｋ　　＋　　Ｎ　　Ｓ
ＫＮはＫＤまたはＫＫを暗号化するのに使用される認証
キー ’ＫＫ使用 認証キーを計算するために使用されるキーを室ＫＫとす
る。そうすると、 ”ＫＫ　　＝ＫＫ　ｌ／／ＫＫ　ｒ ＫＫＲ＝ＫＫｒ＋ＦＭ１　（＋は排他的論理和演算、Ｆ
ＭＩはＩＤからの最初の８バイト） ＫＫＬ＝ＫＫ　ｌ＋Ｔｏ　１　（Ｔｏ　１はＩＤへの最
初の８バイト） ＮＳ　１−ｅＫＫＲ（Ｔｏ２）＋ＣＴ　（Ｔｏ２はより
への第２の８バイト、ＣＴは”ＫＫに関連する６４バイ
トのカウンタ） ＮＳｒ＝ｅＫＫＬ　（ＦＭ２）＋ＣＴ　（ＦＭ２はＩＤ
からの第２の８バイト） ”ＫＮ＝　（ＫＫ　ｌ＋Ｎｓ　ｌ）／／　（ＫＫ　ｒ＋
Ｎ５ｒ） ”ＫＮはＫＤまたは（”）ＫＫを暗号化するのに使用さ
れる認証キー 標準及び定義 塁至 ＡＮＳＩ　　Ｘ２．９２−１９８１　　ｒデータ暗号化
アルゴリズム」 ＡＮＳＩ　　Ｘ９．１０６−１９８３　　ｒＤＥＡ動作
モード」 ＡＮＳＩ　　Ｘ９．２−１９８Ｘ　　ｒ金融機関同士の
デビット及びクレジット・カード・メツセージ交換用の
交換メツセージの指定」この標準は、金融トランザクシ
ロンに関係するバンク・カードから発されるメツセージ
を私用システム間で交換するのに使われる共通インター
フェースを指定する。これは、メツセージの構造、形式
、内容、データ要素とデータ要素の値を指定したもので
ある。

ＡＮＳＩ　　Ｘ９．８−１９８２　　ｒ個人識別番号（
ＰＩＮ）管理及び安全保護に関する米国標準」　この標
準は、個人識別番号 （ＰＩＮ）のライフ・サイクルの管理及び安全保護に関
する標準及び指針を確立したものである。

ＡＮＳＩ　　Ｘ９．９−１９８６　　ｒ金融機関メツセ
ージ確認（卸売り）に関する米国標準」この標準は、振
替（たとえば、電信振 替）、信用状、仔価証券書換え、借款協定、外国為替予
約などの金融メツセージ（卸売り）を確認する方法を確
立したものである。

Ｘ９．１７−１９８５　　ｒ金融機関キー管理（卸売り
）」　この標準は、暗号キーＮＳ　　Ｉ の生成、交換、及び確認及び暗号化のための使用の（プ
ロｌコルを含む）方法を確立したものである。

ＡＮＳＩ　　Ｘ９．１９−１９８Ｘ　　ｒ金融機関小売
メツセージ確認」　この標準は、小売取引の金融メツセ
ージを確認する方法を確立したものである。

ＡＮＳＩ　　Ｘ９．２３−１９８Ｘ　　ｒ卸売り金融メ
ツセージ暗号化」　この標準は、機密（たとえば、電信
振替、信用状など）を保持するために卸売り金融メツセ
ージを暗号化する方法を確立したものである。

ＩＳＯＤＩＳ　　８５８３　　ｒバンク・カードから発
するメツセージ−メツセージ交換指定−金融トランザク
ジョン用の内容」 この国際標準は、金融トランザクシロンに関係するバン
ク・カードから発するメツセージを私用システム間で交
換するのに使用する共通インターフェースを指定したも
のである。

５Ｏ ＩＳＯ ＩＳＯ ５Ｏ ＤＩ８　８７２０ｒメツセージ確認」 ＤＰ　　８７３０ｒ金融業務−標準メツセージ確認（卸
売り）要件」　この国際標準は、メツセージ確認コード
（ＭＡＣ）を用いて金融機関間でパスするメツセージの
真正さを保護するための技術を指定したものであ。

ＤＰ　　８７３１ｒ金融業務−メツセージ確認用の公認
アルゴリズム−パート１：ＤＥＳ−１アルゴリズムＪ　
　ｌ５Ｏ８７３１のこの部分は、メツセージ確認コード
（ＭＡ　Ｃ）の計算に使用するための方法としてのデー
タ暗号化アルゴリズム （ＤＥＡ−１）を扱っている。パート−２はその他の非
ＤＥＡアルゴリズム。

Ｉ）Ｐ　　８７３２　ｒ金融業務−キー管理卸売り」　
この国際標準は、卸売金融トランザクション中に交換さ
れるメツセージの暗号化及び確認のために使用されるキ
ー作成資料の管理方法を指定したものである。

ＩＳＯＤＰ　　９５４８　　ｒ個人識別番号の管理及び
安全保護バー）１−ＰＩＮ保護の原理と技術」この標準
は、効果的なＰＩＮ管理に必要な最小限の安全保護措置
を指定したものである。ＰＩＮデータ交換の標準的手段
が規定されている。

命令及びマクロ要約図 第９表には、データ命令のそれぞれの式を要約する。

本発明の作動 本発明の作動を、いくつかの暗号データ管理機能を実行
しながら説明する。

これらのデータ管理機能は暗号手段を利用し、非暗号化
（復号化）を行ない、ＭＡＣを生成し、ＭＡＣを検査し
、暗号テキスト命令を変換する。

操作上、これらの命令はデータの他に、キー及び制御ベ
クトル・パラメータ、初期連鎖値（ＩＣＶ）を必要とす
る。しかしながら、ＩＣＶの重要性がデータ管理機能の
説明にあたり２次的なものであるから、便宜上、ＩＣＶ
については検討から省く。

しかしながら、暗号テキスト及びＭＡＣの発送者がＩＣ
ｖを生成し、使用し、他の通信者に通信して、暗号命令
が定義され、構成されたインターフェースと矛盾なく、
かつ−貫して作動するようにすることも必要であること
が理解されよう。たとえば、Ｃ，Ｈ，メイヤ（Ｍｅｙｅ
ｒ）及びＳ、Ｍ。

マティアス（Ｍａｔｙａｓ　）の「暗号：コンピュータ
・データ安全保護の新次元（Ｃｒｙｐｔｏｇｒａｐｈｙ
：　Ａ　ＮｅｗＤｉｍｅｎｓｉｏｎ　ｉｎ　Ｃｏｍｐｕ
ｔｅｒ　Ｄａｔａ　５ｅｃｕｒｉｔｙ）　Ｊ　１ジ日ン
・ワイリー・アンド・サンズ（Ｊｏｈｎ　Ｗｉｌｅｙ　
＆５ｏｎｓ　）、１９８２年を参照されたい。

１、データの機密性。データの機密性はメツセージまた
はファイルを、無許可の開示に対して保護する。

データの機密性のアプリケーションは、次のものを含ん
でいる。

ａ、セツション保護。データの暗号化を使用して、２つ
の通信装置の間の機密性ないしセツション・レベルのデ
ータ伝送を保護する。各エンド・ユーザ（装置またはア
プリケーション）は共通データ暗号化／非暗号化キーを
共用し、各エンド・ユーザが暗号データの送受信を行な
えるようにする。

本発明によれば、第１６図に示すように、セツション保
護は２つのエンド・ユーザの間で共用されるデータ／ブ
ライバフ・キーによって与えられる。各キーは作動形式
で、すなわちそれぞれの装置のマスタ・キーによって暗
号化されて記憶される。各キーの制御ベクトルの使用属
性はそれぞれ、暗号化（Ｅ）及び非暗号化（Ｄ）であり
、これらは各キーを暗号化命令による暗号化、及び非暗
号化命令による非暗号化（復号化）の両方に使用するこ
とを可能とする。

ｂ、ファイル保護。データ・ファイルの機密性を保護す
るためのデータの暗号化。単一のエンド・ユーザ（装置
またはアプリケーション）はデータ暗号化／非暗号化キ
ーＫＤを所有し、データを記憶のために暗号化し、また
後で、回復またはファイルへのアクセスのために非暗号
化（復号化）す　ることを可能とする。

本発明によれば、第１７図に示すように、ファイル保護
は単一のエンド・ユーザに属する、またはこれが所有し
ているデータ／プライハシ・キーＫ　Ｄによって与えら
れる。キーは搬入形式で、すなわちＫ　Ｅ　Ｋ　／受信
者属性を有するキー暗号キーによって暗号化されて記憶
される。暗号化されたデータ／プライハシ・キーは、暗
号化されたデータとともにデータ記憶域に、すなわちフ
ァイル・ヘッダ・レコードに記憶される。

キーＫ　Ｄが搬入形式のＫＥＫによって暗号化されるの
で、マスタ・キーに対する再暗号化（ＲＴＭＫ）命令が
、ＫＥＫに対する制御ベクトルによって許可され、この
命令がマスタ・キーＫＭのもとてデータ／プライハシ・
キーを再暗号化することが可能となる。作動形式になる
と、キーＫＤを使用して、データの暗号化及び非暗号化
（復号化）を行なうことができる。搬入形式のＫ　Ｅ　
Ｋのもとて暗号化された記憶域にキーＫＤを記憶するこ
とは、データ／プライハシ・キーＫＤをファイルの回復
に無効ないし使用不能とすることなく、マスタ・キーＫ
Ｍを変更できることを意味する。データ／プライハシ・
キーＫＤの制御ベクトル使用属性は、暗号化（Ｅ）及び
非暗号化ＣＤ）である。これによって、データ・ファイ
ルを暗号化命令を使用して暗号化すること、及び同じキ
ーとともに非暗号化命令を使用して非暗号化（復号化）
することの両方が行なえるようになる。

Ｃ１暗号メール・ボックス。暗号メール・ボックスは各
ユーザが、２つの暗号化された形式の、すなわちマスタ
・キーの排他的論理和として形成された記憶キー及び関
連するデータ／ブライバラ・キーの制御ベクトルによっ
て暗号化されたデータ／プライハシ・キーを有している
マルチ・ユーザ環境を記述する。最初の形式はデータの
暗号化を可能とし、２番目の形式はデータの非暗号化（
復号化）を可能とする。最初の形式のキーはシステムの
すべてのユーザがアクセス可能な公開ディレクトリまた
は中央レジストリに置かれる。このように登録された各
キーは、キーを登録したユーザに属するユーザ識別子に
基づいて記録される。各発信ユーザｉは中央ディレクト
リからコピーを得ることができる。このユーザは次いで
、自分のマスタ・キーＫＭｉによって、暗号化キーを記
憶する。２番目の形式のキーは、これが属する受信ユー
ザｊによって、ｊのマスタ・キーＫＭｊに基づいて、内
密のものとされる。それ故、暗号化されたメツセージを
ユーザｊに送信しようと考えるユーザｉは、まず公共デ
ィレクトリに対して、ユーザｊの暗号を要求する。この
キーにより暗号化命令を使用してユーザｉが暗号化した
データは次いで、ユーザｊに送られ、ユーザｊのメール
・ボックスに入れられる。ユーザｊは非暗号化命令を使
用する、自分の私用非暗号化キーによって、まず非暗号
化（復号化）を行なって、受け取ったメールを読むこと
ができる。しかしながら、他のユーザがユーザｊの非暗
号化キーにアクセスできないのであるから、この環境は
ユーザが他の各ユーザに行くメールの暗号化はできるが
、許可を受けている指定さ　れた受信ユーザだけが自分
のメールを読むこと　ができるというものである。

本発明によれば、第１８図に示すように、暗号メール・
ボックス環境が、２つの形式で生成されたデータ／プラ
イハシ・キーによって与えられる。第１の形式は暗号化
（Ｅ）だけを可能とし、第２の形式は非暗号化（Ｄ）を
可能とする（必ずしも、非暗号化だけである必要がない
のは、受信者が暗号化及び非暗号化両方を属性を所有し
ていることで、充分だからである）。

第１の形式のデータ／プライハシ・キーの制御ベクトル
使用属性は暗号化（Ｅ）だけであり、第２の形式のキー
の属性は非暗号化（Ｄ）（またはＥ、！：Ｄの両方）で
ある。

ｄ、暗号テキスト変換センタ（ＣＴＣ）。暗号テキスト
変換センタは暗号データを、暗号テキスト変換命令を使
用して、第１のデータ・キーによる暗号から第２のデー
タ・キーによる暗号へ、安全に変換できるネットワーク
・ノードまたは装置である。要するに、ＣＴＣは暗号デ
ータを受け取ることのできる１つまたは複数のデータ・
キーと、受け取った暗号データを再暗号化することので
きる１つまたは複数のデータ・キーを有している。それ
故、これらのキーは、ＣＴＣが暗号テキストをあるキー
から他のものに変換できるが、暗号テキストを非暗号化
（復号化）することができない、安全なチャネルを確立
する。ＣＴＣはさらに、安全チャネルへデータを導入す
るために、１つまたは複数のこれらのデータ／ブライバ
フ・キーを使用してデータを暗号化することが禁止され
る。

本発明によれば、第１９図に示すように、暗号テキスト
変換センタがデータ／プライハシ・キーと関連して使用
されるデータ／Ｘ１ａｔｅキーによって与えられる。単
一の暗号テキスト変換センタ（ＣＴＣ）に接続されたｎ
台の装置のネットワークを想定する。各装置は２つの暗
号形式でデータ・キーを生成する。第１の形式は作動形
式で記憶されたデータ／プライハシ・キーであって、こ
の場合、記憶キーはデータ／プライハシ・キーの制御ベ
クトルによって排他的論理和の取られたマスタ・キーＫ
Ｍである。

このキーに対する制御ベクトルは、双方向通信に対する
暗号化（Ｅ）及び非暗号化（Ｄ）の属性を有している。

第２の形式はＣＴＣに対する搬出に適した搬出形式のデ
ータ／Ｘ１ａｔｅキーであり、この場合、記憶キーはデ
ータ／Ｘ１ａｔｅキーの制御ベクトルによって排他的論
理和の取られたキー暗号キーである。ＣＴＣにおいて、
受け取られたデータ／Ｘ　１　ａ　ｔ　ｅキーはＲＴＭ
Ｋ命令を使用して搬入されるが、これは受け取られたデ
ータ／　Ｘ　１　ａ　ｔ　ｅキーを作動形式に変換する
。このキーに対する制御ベクトルは、双方向通信に対す
るＸ１ａｔｅ−ｉｎ及びＸ１ａｔｅ−ｏｕｔの属性を有
している。それ故、装置「ｉ」で暗号化されたデータを
、ＣＴＣにおける暗号テキスト変換命令によって変換し
、他の装置のいずれにもわかっているキーに基づく暗号
にすることができる。しかしながら、ＣＴＣは受け取っ
たインバウンド暗号データを非暗号化することも、また
データをアウトバウンド暗号データに匹敵する形式で暗
号化することもできないが、これはデータ／　Ｘ　ｌ　
ａ　ｔ　ｅキーに関連した制御ベクトルに、暗号または
非暗号命令を実行できるようにする使用属性を有してい
ないからである。

システムＡからシステムＢへの単方向暗号テキスト変換
のみを行なうために、それぞれの制御ベクトルは、次の
ことを確立する。第１データ・キーの第１形式が暗号化
のみの使用属性ををするデータ／プライハシ・キーとな
る。第１データ・キーの第２形式がＸ１ａｔｅ−ｉｎの
使用属性を有するデータ／Ｘ１ａｔｅキーとなる。第２
データ・キーの第１形式が非暗号化（復号化）のみ（ま
たは暗号化及び非暗号化）の使用属性を有するデータ／
プライハシ・キーとなる。第２データ・キーの第２形式
がＸ１ａｔｅ−ｏｕｔの使用属性を有するデータ／Ｘ１
ａｔｅキーとなる。

ｅ、対等通信暗号テキスト変換。第２９図に示すように
、この環境は２つまたはそれ以上のＣＴＣの連鎖で構成
されており、これらのＣＴＣはネットワーク装置の１つ
のセットから、ネットワーク装置の他のセットへの安全
なチャネルを確立する。第２０図は単方向対等通信暗号
テキスト変換の例である。連鎖内の最初のＣＴＣは、暗
号データを第１のセットのネットワーク装置から受け取
れる１つまたは複数のデータ・キーを有している。連鎖
内の各ＣＴＣは、暗号データを再暗号化できるが、非暗
号化（復号化）を行なえない１つまたは複数のデータ・
キーををしている。ＣＴＣはさらに、安全チャネルへデ
ータを導入するために、１つまたは複数のこれらのキー
を使用してデータを暗号化することが禁止される。連鎖
内の最後のＣＴＣは、第２のセットの値とワーク装置の
メンバーと共用している１つまたは複数のデータ・キー
に基づいて、暗号データを再暗号化する。

本発明によれば、暗号テキスト変換センタが、データ／
プライハシ・キーまたは他のデータ／ブライバク・キー
にいずれかと組み合わせて使用されるデータ／　Ｘ　ｌ
　ａ　ｔ　ｅキーによって提供される。ＣＴＣ１、ＣＴ
Ｃ２１，、、ＣＴＣｋという順でラベルの付けられたに
個のＣＴＣの連鎖を介して、装置のネットワークＢのノ
ードｊに接続された装置のネットワークＡのノードｉを
想定する。ノードｉは２つの形式でデータ・キーを生成
する。第１の形式は作動形式のデータ／プライハシ・キ
ーである。このキーに対する制御ベクトルは、ＥＪｉｌ
ｉ性を有している。第２の形式は、連鎖の最初のＣＴＣ
，ＣＴＣＩへの搬出に適する搬出形式のデータ／Ｘ１ａ
ｔｅキーである。ＣＴＣ１において、受け取られたデー
タ／Ｘ１ａｔｅキーはＲＴＭＫ命令を使用して搬入され
、この命令は受け取られたデータ／Ｘ１ａｔｅキーを作
動形式に変換する。このキーに対する制御ベクトルはＸ
１ａｔｅ−ｉｎ属性を何している。

ノードｊは同じ２つの形式でキーを生成する。

作動データ／プライバラ・キー及び搬出可能なデータ／
　Ｘ　ｌ　ａ　ｔ　ｅキーである。ｊのデータ／ブライ
バク・キーの制御ベクトルは非暗号化属性を有している
。データ／　Ｘ　ｌ　ａ　ｔ　ｅキーは、連鎖の最後の
ＣＴＣ，ＣＴＣｋに転送される。

ＣＴＣｋにおいて、受け取られたデータ／Ｘ１ａｔｅキ
ーはＲＴＭＫを介して搬入され、作動形式になる。この
キーに対する制御ベクトルはＸ１ａｔｅ−ｏｕｔ属性を
有している。

連鎖内の各ＣＴＣ（ＣＴＣｋを除く）は２つの形式、す
なわち作動及び搬出可能形式でデータ／Ｘ１ａｔｅキー
を生成する。作動データ／Ｘ１ａｔｅキーはＸ１ａｔｅ
−ｏｕｔ属性の制御ベクトルを有している。搬出可能な
形式は連鎖の次のＣＴＣに転送される。すなわち、ｃＴ
ＣｘはＣＴＣ（Ｘ＋１）（ただし、Ｘ＝１〜（ｋ−１）
）となる。受信ＣＴＣは受け取ったデータ／Ｘ　１　ａ
　ｔ　ｅキーを搬入し、これをＲＴＭＫ命令によって作
動形式に変換する。データ／Ｘ　ｌ　ａ　ｔ　ｅキーに
対する制御ベクトルは、Ｘ１ａｔｅ−ｉｎ属性を有して
いる。

あるいは、第３者のノードはノードＸ及びＸ＋１に対し
て２つの形式、すなわちノードＸに対するＸ１ａｔｅ−
Ｏｕｊｌ及びノードｘ＋１に対するＸ１ａｔｅ−ｉｎの
形式でデータ／Ｘ１ａｔｅキー及びその関連する制御ベ
クトルを生成し、転送することができる。

それ故、暗号命令によってネットワークＡのノードｉに
おいて暗号化されたデータを、暗号テキスト変換命令に
よって、ＣＴＣｌからＣＴＣｋまでのＣＴＣの連鎖に沿
って、かつ最後にネットワークＢのノードｊに対して変
換し、かつ再変換することができる。しかしながら、連
鎖内のＣＴＣはいずれも、受け取ったインバウンド・デ
ータを非暗号化（復号化）することも、あるいは任意の
データを、アウトバウンドの暗号化されたデータに匹敵
する形式で暗号化することもできない。それ故、ＣＴＣ
の連鎖及び上記で定義したキーは、ＣＴＣがグループと
して、ノードｉが保持している１つのキーに基づいて暗
号化されたデータを、ノードｊが保持している他のキー
に基づく暗号に変換することを可能とする安全なチャネ
ルを形成する。第２０図は単方向対等通信を示している
が、制御ベクトルを変更し、双方向通信を可能とするこ
とができる。

ｆ、暗号ファイルの一部の変換。これは暗号ファイルの
一部を、目的とする受信者と適宜共用できるキーに変換
できるアプリケ−シロンである。

この方法はファイルを暗号化するのに使用された元のデ
ータ／プライハシ・キーの共用を防止するものであるが
、これは共用を行なうと、共用を意図していないデータ
の機密性を危険にさらす可能性があるからである。

ユーザまたはアプリケージジン・プログラムがこの機能
を適宜利用するには、ユーザがデータ・キーを２つの暗
号化された形式で生成する必要がある。データ・キーの
第１の形式は、作動形式で記憶された、すなわちマスタ
・キーと、第１形式のデータ・キーに関連した制御ベク
トルの排他的論理和演算として形成された記憶キーに基
づいて暗号化されたデータ／ブライバラ・キーである。

第２の形式のデータ・キーは、搬入形式で記憶された、
すなわちキー暗号キーＫＥＫＩと、第２形式のデータ・
キーと関連した排他的論理和演算として形成された記憶
キーに基づいて暗号化されたデータ／Ｘ１ａｔｅキーで
あって、この場合ＫＥＫＩの制御ベクトルはＫＥＫＩを
、搬入キー暗号キーとして定義する。

（注：搬入キー暗号キーとしてＫＥＫｌを定義すること
は、このように暗号化されたデータ／Ｘ１ａｔｅキーを
、マスタ・キーへの再変換命令（ＲＴＭＫ）によって、
ＫＥＫＩに基づく暗号からマスタ・キーに基づく暗号へ
再変換することを可能とする。）第１形式のデータ・キ
ーに対する制御ベクトルは、暗号化（Ｅ）という使用属
性を有するデータ／プライバラ制御ベクトルであって、
それ故、データを暗号化命令によりデータ・キーに基づ
いて暗号化することを可能とする。第２形式のデータ・
キーに対する制御ベクトルは、Ｘ１ａｔｅ−ｉｎ　（Ｘ
ｉｎ）という使用属性を存するデータ／変換制御ベクト
ルであって、それ故、データ・キーに基づいて暗号化さ
れたデータを、データ・キーに基づく暗号から、暗号テ
キスト命令によって、何か他のデータ・キーに基づく暗
号に変換することを可能とする。

実際には、第２１図に示すように、データ・ファイルは
まず、第１形式のデータ・キー、すなわち制御ベクトル
が暗号化（Ｅ）という使用属性を有するデータ／プライ
バラ制御ベクトルである作動形式のキーを使用して、暗
号化命令によりデータ・キーに１によって暗号化される
。

搬入形式で記憶されている第２形式のデータ・キーは、
暗号化されたデータ・ファイルのヘッダ・レコードに書
き込まれる。それ故、後で暗号化されたデータ・ファイ
ルの一部を、現在のデータ・キー（第１データ・キーと
称する）に基づく暗号から、第２データ・キーに基づく
暗号へ変換することを希望する場合に、次のプロシージ
ャが行なわれる。搬入形式で記憶され、暗号化されたデ
ータ・ファイルのヘッダ・レコードに書き込まれた第２
形式の第１データ・キーがアクセスされ、ＫＥＫＩに基
づく暗号から、マスタ・キーに基づ（暗号に、ＲＴＭＫ
命令を使用して再暗号化される。これは第２形式のデー
タ・キー（すなわち、使用属性がＸｉｎであるデータ／
Ｘ　ｌ　ａ　ｔ　ｅキー）を、暗号テキスト変換命令で
使用するのに適する作動キーに変換する。

ここで、第２のデータ・キーに２が２つの暗号化された
形式で生成される。このキーの第１の暗号化された形式
は作動形式で記憶された、すなわちマスタ・キーと、デ
ータ／Ｘ　ｌ　ａ　ｔ　ｅキーに関連した制御ベクトル
の排他的論理和演算として形成された記憶キーに基づい
て暗号化されたデータ／Ｘ１ａｔｅキーである。キーの
第２の暗号化された形式は、搬出形式で記憶された、す
なわち目的とする受信者と共用しているキー暗号キーＫ
ＥＫ２に基づいて暗号化されたデータ／プライハシ・キ
ーである。（目的とする受信者が、このように生成され
たデータ／プライハシ・キーをマスタ・キーへの再暗号
命令（ＲＴＭＫ）によって搬入し、これによってサポー
ト装置のマスタ・キーと、データ／プライハシ・キーに
関連した制御ベクトルとの排他的論理和演算として形成
された記憶キーに基づいて暗号化されたデータ／プライ
ハシ・キーを、記憶できるものと想定する。）第１形式
の第２データ・キー（すなわち、データ／　Ｘ　１　ａ
　ｔ　ｅキー）に対する制御ベクトルの使用属性は、Ｘ
１ａｔｅ−ｏｕｔ　（Ｘｏｕｔ）であり、第２形式の第
２データ・キー（すなわち、データ／プライハシ・キー
）に対する属性は、非暗号化（Ｄ）のみ（または、非暗
号化及び暗号化）である。ここで、暗号化されたデータ
・ファイルの一部が、暗号テキスト変換命令によって、
第１データ・キーに基づく暗号から、第２データ・キー
に基づく暗号へ、搬入形式から作動形式（その制御ベク
トルはキーを、使用属性Ｘｉｎを有するデータ／　Ｘ　
ｌ　ａ　ｔ　ｅキーとして指定する）へと再暗号化され
た第１データ・キーの第２の暗号形式と、既に作動形式
（その制御ベクトルはキーを、使用属性Ｘｏｕｔを有す
るデータ／Ｘ１ａｔｅキーとして指定する）になってい
る第２データ・キーの第１の暗号形式を使用して再暗号
化される。このように変換された暗号テキストは次いで
、システムｉから目的とする受信システムｊへ送られ、
ここで暗号化されたデータは非暗号命令によって、第２
データ・キーの第２の形式（その制御ベクトルはキーを
、使用属性りををするデータ／プライバフ・キーとして
指定する）を使用して非暗号化（復号化）される。

例かられかるように、暗号化されたファイルＡの一部Ａ
“を、第１のユーザｌの装置において平文形式に非暗号
化する必要なしに、また第１のユーザｉがファイルＡ全
体を暗号化したデータ・キーに１を共用する必要なしに
、他のユーザｊに与えることができる。

２、データの保全性。データの保全性はメツセージまた
はファイルの内容を、無許可の修正から保護する。これ
はデータの変更、追加及び削除を含んでいる。暗号はデ
ータに対する無許可の変更を検出する方法を提供するだ
けである。データに対する無許可の変更を防ぐことはで
きない。

ａ、メツセージの保全性。マルチ・ユーザ環境の各エン
ド・ユーザ（装置またはアプリケーション・プログラム
）は、共通データＭＡＣ生成／検査キーを共用し、これ
により各エンド・ユーザが他の任意のエンド・ユーザに
伝送されるメツセージに対してＭＡＣ（メツセージ確認
コード）を生成することが可能となり、また各エンド・
ユーザが他のエンド・ユーザから受け取ったメツセージ
のＭＡＣを検査することが可能となる。

本発明によれば、第２２図に示すように、メツセージの
保全性は２つのエンド・ユーザが共用するデータ／ＭＡ
Ｃキーによって与えられる。

各キーは作動形式で、すなわちそれぞれのエンド・ユー
ザに役立つ装置のマスタ・キーと、データ／ＭＡＣキー
に関連した制御ベクトルの排他的論理和演算として形成
された記憶キーに基づいて暗号化された形式で記憶され
る。各キーの制御ベクトルの使用属性は、それぞれＭＡ
Ｃ生成（ＭＧ）及びＭＡＣ検査（ＭＶ）であって、これ
は各エンド・ユーザのキーをＭＡＣ生成及びＭＡＣ検査
の両方に使用できるようにする。

それ故、それぞれのエンド・ユーザの間で通信されるメ
ツセージの保全性を確保できる。それ故、たとえば、第
１のエンド・ユーザはデータ／ＭＡＣキーの自分のコピ
ーを使用して、ＭＡＣ生成命令によって、第２のエンド
・ユーザに送られるメツセージに対してＭＡＣを生成す
る。

メツセージとＭＡＣは次いで、第２のエンド・ユーザに
伝えられる。第２のエンド・ユーザはデータ／ＭＡＣキ
ーの自分のコピーを使用して、ＭＡＣ検査命令によって
、ＭＡＣを検査する。

キーの各コピーに対する制御ベクトルが使用属性ＭＧ及
びＭＶを有しているので、各エンド・ユーザはこのキー
によってＭＡＣを生成し、検査することができ、またメ
ツセージとＭＡＣを第１のエンド・ユーザから第２のエ
フＦ・ユーザへ、あるいは第２のエンド・ユーザから第
１のエンド・ユーザへ通信することができる。

ｂ、拒否不行使によるメツセージの保全性。マルチ・ユ
ーザ環境の各エンド・ユーザ（装置またはアプリケ−シ
ロン・プログラム）は、２つの暗号形式の、すなわちそ
れぞれの装置のマスタ・キーと、データ／ＭＡＣキーに
関連した制御ベクトルの排他的論理和演算として形成さ
れた記憶キーに基づいて暗号化されたデータ／ＭＡＣキ
ーを有している。第１の形式はＭＡＣの検査を可能とし
、第２の形式はＭＡＣの生成を可能とする。第１形式の
キーは、システムのすべてのユーザがアクセスできる公
共ディレクトリまたは中央レジストリに入れられる。こ
のように登録された各キーは、キーを登録したユーザに
属するユーザ識別子に基づいて記録される。

第２形式のキーはこれが属するユーザによって内密のも
のとされる。それ故、メツセージとＭＡＣをユーザｉに
送信することを希望するユーザｊは、ニー°ザｊに属す
る私用ＭＡＣ生成キーを使用して、ＧＥＮＭＡＣ命令に
よって、希望するメツセージにＭＡＣを生成する。メツ
セージ及びＭＡＣは次いで、ユーザｉに伝えられる。

受け取ったメツセージ及びＭＡＣを検査するために、ユ
ーザｉはまず、公共ディレクトリにユーザｊのＭＡＣ検
査キーを要求する。（注：公開ディレクトリがユーザｉ
をサポートしている装置とは異なる装置に置かれている
場合には、ＲＦＭＫ及びＲＴＭＫ命令を使用して、希望
するキーの搬出及び搬入を行なう必要がある。これはＭ
ＡＣ検査キーを、キーを搬出するために、ＲＦＭＫ命令
によって、２つの装置の間で共用されているキー暗号キ
ーに基づいて再暗号化させ、かつＲＴＭＫ命令によって
、ユーザ！をサホートシている装置におけるマスタ・キ
ーに基づいて再暗号化させる。）次いで、ユーザｉはｊ
のＭＡＣ検査キーを使用して、ＭＡＣ検査命令によって
受け取ったメツセージ及びＭＡＣを検査する。しかしな
がら、他のユーザがユーザｊのＭＡＣ生成キーにアクセ
スできないのであるから、この環境は他の任意のユーザ
（たとえば、ユーザＶ）から受け取ったＭＡＣ及びメツ
セージを検査できるが、他のユーザのＭＡＣ生成キーを
使用して、メツセージにＭＡＣを生成することはできな
いというものである。それ故、あるユーザが他のユーザ
のふりをして、他のユーザＭＡＣ生成キーを使用してメ
ツセージにＭＡＣを生成することはできない。逆に、あ
るユーザ（たとえば、ユーザｊ）は、メツセージ及びＭ
ＡＣの検査がＭＡＣ検査命令によって、そのユーザのＭ
ＡＣ検査キーで成功した場合に、そのユーザが発送した
有効なメツセージ及びＭＡＣを拒絶または拒否できない
。これを拒否不行使（ｎｏｎ−ｒｅｐｕｄ　ｉａｔ　ｉ
ｏｎ　）と呼ぶ◎本発明によれば、第２３図に示すよう
に、拒否不行使によるメツセージの保全性は、２つの暗
号形式で生成されたデータ／ＭＡＣキーによって与えら
れる。第１の形式ではＭＡＣの検査のみが可能であり、
第２の形式ではＭＡＣの生成が可能である（ＭＡＣ生成
及びＭＡＣ検査の両方を所有していることで充分なので
あるから、必ずしも、ＭＡＣの生成のみである必要はな
い）。第１形式のデータ／ＭＡＣキーに対する制御ベク
トルの使用属性は、ＭＡＣ検査（ＭＶ）のみであり、第
２形式のキーに対する属性は、ＭＡＣ生成（ＭＧ）のみ
（または、ＭＧ及びＭＶの両方）である。

３、メツセージの確認。メツセージの確認は２つの通信
当事者の間で確立されるプロシージャであって、受け取
ったメツセージが真正なものであることを、各通信当事
者が検査することを可能とする。

通信当事者は人間、装置、あるいは処理機能である。メ
ツセージの確認によって、メツセージの受信者が次のこ
とを判断することを可能とする。

ａ、メツセージが疑わしい発送者によって発送された。

ｂ、メツセージの内容が偶然、または意図的に変更され
た。

Ｃ，メツセージがこれが伝送されたのと同じシーケンス
で受け取られた。

ｄ、メツセージが目的とする受信者に渡された。

上記よりわかるように、メツセージの確認はメツセージ
の保全性に対する要件を含んでいるが、それよりも範囲
の広い概念のものである。

本明細吉で定義するメツセージの確認は、受信者がメツ
セージの発信元、内容、タイムリー性、及び目的とする
宛先をさらに妥当性検査することを可能とする。これら
の付加的な特徴を達成するために、発信者識別子フィー
ルド、受信者識別子フィールド、及びシーケンス番号識
別子フィールドを、第２４図に示すように、メツセージ
に含める。それ故、メツセージ及びＭＡＣの受け取り時
に、メツセージの内容がまず、ＭＡＣ確認命令、及び２
つのユーザが共用している（すなわち、キー管理処理に
よって既に確立されている）ＭＡＣ確認キーを使用して
、ＭＡＣによって確認される。メツセージの内容が確認
されたら、単純なチエツクを行なって、発信者識別子が
メツセージの予想される、あるいは意図する発信者に属
するＭＡＣ検査キーの識別子に等しいこと、シーケンス
番号フィールドの値が、同じ発信者から以前に受け取づ
たメツセージのシーケンス番号よりも１大きいこと、な
らびに受信者識別子が実際の受信者の識別子に等しいこ
とを検査する。すべてのチエツクをバスしたら、受け取
ったメツセージは有効なものとして受け入れられ、そう
でない場合には、拒絶される。メツセージの確認及び拒
否不行使によるメツセージの確認は、概略を述べたよう
にして、付加的なフィールドを定義し、チエツクするこ
とを除き、データの保全性及び拒否不行使によるデータ
の保全性を達成するのと同じ方法で達成される（それぞ
れ、第２ａ項及び第２ｂ項で説明したアプリケージジン
参照）。

本発明の他の実施例においては、クリア・キーを暗号機
構に記憶し、暗号化操作に直ちに利用できる。これらの
クリア・キーは、たとえば、暗号機構４の第１図の作業
用記憶機構２４に記憶できる。あるいは、これらのキー
を第２図に示すような、暗号機構の作業用キー・レジス
タに記憶することができる。

第１の方法において、各キー及び関連する制御ベクトル
は、暗号機構内のＲＡＭに、対となった式として記憶で
きる。このような各キー及び制御ベクトルは、その目的
とする使用の前に、許可を受けたシステム要員（たとえ
ば、安全保護担当員）だけがアクセスできる特別な許可
を受けたプロシージャによって、初期化される。マスタ
・キーを初期化するのと同様なプロシージャ（たとえば
、フロント・パネル・インターフェースに接続されてお
り、物理キー活動化キー・スイッチによって使用可能と
されるハンド・ベルト・キー人力装置による）を、暗号
機構内のキー及び制御ベクトルの初期化に容易に適合さ
せることができる。暗号機構内のパラメータを初期化す
る方法は、当技術分野において周知である。ルーチンの
操作中に、特定のキーにアクセスするために、関連する
制御ベクトルがまずアクセスされ、制御ベクトル・チエ
ツク操作が上述のように遂行され、提案されているキー
の使用が許可されていることを確認する。許可が確認さ
れると、対応するキーがＲＡＭからアクセスされ、暗号
機構内の意図する操作に使用される。

第２の方法においては、キー及び関連する制御ベクトル
の排他的論理和の結果が、暗号機構内のＲＡＭに記憶さ
れる。すなわち、キー及び制御ベクトルの対となった式
を記憶する（第１の方法の場合のように）代りに、キー
と制御ベクトルの排他的論理和が取られ、排他的論理和
演算の結果が暗号機構内のＲＡＭに記憶される。暗号機
構を初期化するプロシージャは、暗号機構外でキーと制
御ベクトルの排他的論理和演算を行ない、次いで第１の
方法について説明したような、キー及び制御ベクトルを
入力するプロシージャに類似したプロシージャを使用し
て、演算結果をパラメータとして入力することに基づい
ている。あるいは、キーと制御ベクトルの排他的論理和
を暗号機構内で取り、次いで結果を前と同じに記憶する
ことができる。その後、キーにアクセスするステップが
次のように行なわれる。特定のキーの使用を指定する命
令も、このキーに関連した制御ベクトルをパラメータと
して与えなければならない。前と同じように、制御ベク
トル・チエツク操作を使用して、制御ベクトルがまずチ
エツクされ、提案されたキーの使用が許可されているこ
とを確認する。許可が確認されると、暗号機構に記憶さ
れている、キーと制御ベクトルの排他的論理和の結果が
アクセスされ、命令に対するパラメータとして供給され
た制御ベクトルと排他的論理和が取られ、目的とする暗
号化操作でこの場合に使用されるクリア・キーを回復す
る。不正が試みられた場合、すなわち偽の制御ベクトル
を命令に指定した場合、回復されたキーのクリア値が正
しくなくなる（すなわち、正しいキー値でなくなる）。

暗号命令は、このような制御ベクトルの詐欺の結果とし
て、正しくないキー値が生じた場合に、を用な出力が得
られないように構成されている。

第１表 第２表 第５表 第６表 第３表 第４表 第７表 第８表 Ｅ８発明の詳細 な説明したように本発明によれば、データについての融
通性の高い安全保護管理が提供される。

【図面の簡単な説明】

第１図は、本発明を適用しうる暗号機構（ＣＦ）の主要
構成要素を示すシステム図である。 第２図は、ＣＦ、ソフトウェア・ドライバＣＦＡＰ及び
暗号アプリケーション・プログラムの構成要素を示すシ
ステム図である。 第３図は、基本的暗号キーの分離を示す説明図である。 第４図は、データ・キーの分離を示す説明図である。 第５図は、コード化命令の構成図である。 第６図は、復号命令の構成図である。 第７図は、暗号化命令の構成図である。 第８図は、非暗号化命令の構成図である。 第９図は、メツセージ確認コード生成（Ｇｅｎｍａｃ）
命令の構成図である。 第１０図は、メツセージ確認コード検査（Ｖｅｒｍａｃ
）命令の構成図である。 第１１図は、暗号テキスト変換命令の構成図である。 第１２図は、ＤＥＳ暗号化の電子コード・ブック（ＥＣ
Ｂ）モードを示す図である。 第１３図は、ＤＥＳ暗号化の暗号ブロック連鎖（ＣＢＣ
）モードを示す図である。 第１４図は、ＤＥＳ非暗号化のＣＢＣモードを示す図で
ある。 第１５図は、メツセージ確認（ＭＡＣ）アルゴリズムを
示す図である。 第１６図は、セラシロン保護の作動を示す図である。 第１７図は、ファイル保護の作動を示す図である。 第１８図は、暗号メール・ボックスの作動を示す図であ
る。 第１９図は、暗号テキスト変換センタの作動を示す図で
ある。 第２０図は、対等通信暗号化変換を示す図である。 第２１図は、暗号ファイルの一部の変換を示す図である
。 第２２図は、制御ベクトルを使用したメツセージの保全
性を示す図である。 第２３図は、制御ベクトルを使用した拒否不行使による
メツセージの保全性を示す図である。 第２４図は、メツセージのフォーマットを示す図である
。 出願人　　インターナショナル・ビジネス・マシーンズ
・コーポレーション 代理人　　弁理士　　頓　　宮　　孝 （外１名） 第１２図 第１３図

Claims (2)

【特許請求の範囲】
1. （１）制御ベクトルに関連する暗号キーを用いてデータ
   についてデータ暗号機能を遂行するための暗号サービス
   要求を出力するプログラムを実行するデータ処理システ
   ムにおいて、上記プログラムによって暗号キーについて
   要求されたデータ暗号機能が上記暗号キーの創作者によ
   って許可されたことを検証する装置であって、 上記暗号サービス要求、データ、暗号キー及び暗号キー
   に関連する制御ベクトルを受け取るための入力経路と、
   これらの入力に対する応答を供給する出力経路とが通る
   安全保護境界によって特徴付けられ、該安全保護境界内
   に上記入力経路に接続された暗号命令記憶装置と、上記
   暗号命令記憶装置に接続された制御ベクトル検査手段及
   び暗号処理手段と、上記暗号処理手段に接続されたマス
   タ・キー記憶装置とを有し、上記受け取られた暗号サー
   ビス要求に応答してデータ暗号機能を実行するための安
   全保護区域を提供する暗号機構を有し、 上記暗号命令記憶装置は上記入力経路を介して暗号サー
   ビス要求を受け取って暗号キーでデータ暗号機能を遂行
   し、 上記制御ベクトル検査手段は上記暗号キーに関連する制
   御ベクトルを受け取るため上記入力経路に接続された入
   力と、上記暗号サービス要求によって要求されたデータ
   暗号機能が上記制御ベクトルによって許可されることの
   検査を開始するための制御信号を受け取るため上記暗号
   命令記憶装置に接続された入力とを有し、 上記制御ベクトル検査手段は上記暗号機能が許可された
   ことを知らせるため上記暗号処理手段の入力に接続され
   た許可出力を有し、該許可出力からの信号を上記暗号処
   理手段が受け取ったことにより上記暗号キーで要求され
   たデータ暗号機能の遂行を開始するようにしたことを特
   徴とする検証装置。
2. （２）制御ベクトルに関連する暗号キーを用いてデータ
   についてデータ暗号機能を遂行するための暗号サービス
   要求を出力するプログラムを実行するデータ処理システ
   ムにおいて、上記プログラムによって暗号キーについて
   要求されたデータ暗号機能が上記暗号キーの創作者によ
   って許可されたことを検証する方法であって、 （ａ）入力経路及び出力経路が通る安全保護境界によっ
   て特徴付けられた暗号機構内で暗号キーを用いてデータ
   についてデータ暗号機能を遂行するため暗号サービス要
   求を受け取るステップと、 （ｂ）上記暗号キーに関連する制御ベクトルを受け取っ
   て、上記暗号サービス要求によって要求されたデータ暗
   号機能を上記制御ベクトルが許可することを検査するス
   テップと、（ｃ）上記データ暗号機能が許可されること
   を知らせて、上記暗号キーで要求されたデータ暗号機能
   を遂行することを開始するステップと、を有する検証方
   法。