JPH11511305A - 隠しワーク・ファクタを有する暗号装置 - Google Patents

Abstract

(57)【要約】 暗号装置における暗号キーを生成するための方法及び装置。最初に，キーは暗号キー(320)の分配空間を減縮することによって生成される。次に，キーは減縮空間キー(330)の分配空間を増加することによって生成される。この減縮-増加-空間キーは情報(340)を暗号化するために使用される。空間分配減縮及び拡張手続きを知る者には，これらのキーによって暗号化された情報を解読するのに非常に減少したワーク・ファクタが要求される。この方法及び装置によって生成された暗号キーは，暗号の適用及び技術に応用される際にキーに関する米国輸出制限に合致する。

Description

【発明の詳細な説明】 隠しワーク・ファクタを有する暗号装置 技術分野 本発明は暗号に関し，特に，隠しワーク・ファクタを有する暗号キーを生成す るための方法及び装置に関する。当該装置は攻撃者に対する高レベルのセキュリ ティを維持する高い見掛ワーク・ファクタを与える。同時に，秘密分配キーの知 識を用いて，政府機関はより低いワークファクタが与えられる。 背景技術 暗号装置はデータを保護するために暗号キーを使用する。明快文(clear text) は，送信機において認識される少なくとも一つの暗号キーの使用によって暗号文 に変換され，該暗号文の解読用の受信機へ分配される。暗号キーのサイズ（例え ば，長さ）は，暗号装置によって与えられるセキュリティのレベルの一つの尺度 である。例えば，通常使用されるデータ暗号規格(ＤＥＳ)に対して，キー長は56 ビットである。したがって，各ビットは２つの可能な値（例えば，０または１） のひとつを仮定するので，与えられた暗号キーを発見するのに２５６回の試行錯 誤が要求される。 キー生成シーケンスの発見は，装置における他の形式の攻撃である。概して， 典型的に暗号キーは試行錯誤の攻撃を妨害するためにしばしば変更される。キー 生成の速度は暗号のすばやさの尺度である。暗号の変更は，当該キーが長時間使 用されないため，その発見をしばしばより困難にする。例えば，セキュリティ侵 害が決定的でないところの２時間ビデオ番組に対してたった一つのキーを与える ことが許容され得る。他に，有効レベルのセキュリティが要求されるとき，いく つか（例えば，１０個）の新しいキーが毎秒生成され得る。いずれの場合におい ても，暗号装置の通常動作中に攻撃者は暗号キーのあるシーケンスにアクセスす ることができる。例えば，攻撃者は情報サービスの合法的加入者となることによ って，連続キーへのアクセスを得ることが可能である。じきに，攻撃者は非常に 多くの有効暗号キーを観察しかつ集めることができる。その後，該攻撃者はキー 生成の方法を推定しかつ予測するためにこれらのキーを使用することができる。 可能キーの数はビット長とともに増加するので，暗号キーのビット長が長くな ればなるほど，キーシーケンスを発見する仕事はより困難になる。したがって， より長いビット長を有する暗号キーは，他のすべてのファクタが同一でも概して より安全なシステムを与えるため，より所望される。 しかし，暗号セキュリティ装置は政府機関によって厳重な規制に支配されてい る。法律は国ごとに異なるが，ほとんどすべての産業国は国境を越える保護関連 産品の強度を規制する。米国のようないくつかの国家は，輸出品のみを規制し， フランスのような他の国家は輸出及び輸入の両方を規制する。暗号を使用する製 品を製造する会社は，自分たちの製品を外国へ輸出入するためにさまざまな政府 規制に一致するように，それらの製品を設計しなければならない。さらに，しば しば，製造者は異なる国に対して異なるバージョンの製品を製造しなければなら ない。これは付加的な開発費用及び複雑性を導入する。 典型的に，暗号強度はキー内のビット数及び結果的に可能な独立キーの数を制 限することによって制御される。例えば，もし56ビットキーが16ビットを定数（ 例えば，ゼロ）に固定することによって40ビットに短縮されれば，ＤＥＳアルゴ リズムは衛星テレビ条件のアクセス応用に対し輸出され得る。同様に，ＤＶＢ通 常スクランブルアルゴリズムにおいて，64ビットキーは 16ビットを固定することによって48ビットキーへ短縮され得る。しかし，暗号キ ービット長の短縮は政府機関を満足させるが，従来の装置の暗号強度を弱めもす る。したがって，政府要求を満たすよう単純に弱められるが，敵攻撃者に対する 防御の目的に対して弱められない暗号装置を与えることが所望される。したがっ て該装置は，政府機関に与えられるレベルよりも高い保護レベルを攻撃者に対し 与えるべきである。さらにまた，装置は，製造時の単純な再プログラミングによ って異なるキービット長要求に適応可能な共通暗号エンジンを含む。本発明は上 記及び他の利点を有する。 発明の概要 本発明において，可能暗号キーの組み合わせ数は攻撃者に未知の方法で減少す る。該キーは，高いセキュリティレベルを与えかつ将来の攻撃者に対し厄介な解 析作業を維持する長いビット長を有する。しかし，秘密分配キーの知識を用いて ，可能キーの組み合わせ数（例えば，キー空間サイズ）は政府要求を満足するよ り低いセキュリティレベルを与えるべく減縮される。特に，例えば，Ｂ＝56ビッ トのより長いキー長が使用される。秘密分配キーの知識を用いて，Ｓ＝２５６個 の 有効キーの組み合わせは，キー組み合わせのサブセット（例えば，Ｗ＝２４０） へ減縮される。キーのより大きいセットのサブセットが使用されているという事 実を隠すために，選択されたサブセットがランダムプロセスまたは攻撃者に未知 の他のプロセスを使ってキーのより大きいセットを通じて配分される。２４０個 の５６ビットキーは明快文のメッセージを暗号的に処理するためにこの方法で生 成される。 政府機関は使用される全可能２５６キーの内の２４０キーを知らされる。一方 ，攻撃者はキーのサブセットのみが使用されていることを知らない。たとえ攻撃 者が２５６キーのサブセットのみが使用されたことを知ったとしても，彼が該サ ブセットを識別することはさらに不可能である。しかし，政府機関は，２４０個 の５６ビットキーの総合リストを通じて，または秘密キー若しくはそのようなリ ストの製造を許す他のアルゴリズムを通じて，与えられた時間にどのキーが使用 中であるかを決定することができる。政府機関は，同一量のワーク，または“ワ ークファクタ”（例えば，Ｗ＝２４０試行を実行する）_---該ワークファクタは 可能な異なるキーの数によって決定されるためそれらのリスト上のキーのビット 長には無関係である_---に直面している ことに注意すべきである。しかし，攻撃者はこのリストを作成することができず ，したがってすべての可能な５６ビットキーの組み合わせをチェックしなければ ならない。上記例において，攻撃者は２５６個の５６ビットキーをすべてチェッ クする必要があり，それは政府機関が直面するものより非常に多くの労力である 。したがって，ワークファクタは，暗号装置のキーを決定するために実行されな ければならない試行の平均回数としてみなされ得る。該ワークファクターは例え ば，キーが特定の順序（例えば，非ランダム）で，特定の開始点を有し，特定の シーケンス内で生成されることを知っている人に対してはより低い。 攻撃者は５６ビットキーによって与えられるレベルと同一レベルの困難性（ワ ークファクタ）に直面するが，政府機関は４０ビットキーにより与えられるレベ ルの困難性に直面する。したがって，暗号強度を維持しながら政府規制に一致す る装置を設計するという矛盾したゴールが達成される。 本発明の他の態様において，より大きいセットから暗号キーのサブセットを生 成するためのキーシーケンスジェネレータが開示されている。特に，可能２Ｂ暗 号キーから２Ｂ−Ｆ暗号キーを生成するためのキージェネ レータは，２Ｂビットキーに対応するより大きなキー空間にわたって２Ｂ−Ｆビ ットキーに対応するキー空間をランダムに配分するために，ハッシングアルゴリ ズムで秘密の二重または三重ＤＥＳキーを使用する。この方法において，２Ｂ− Ｆの異なるキーは政府機関により要求されるように生成され，それによって大き なメモリ内にキーを保存する必要性を避けている。 図面の簡単な説明 図１は，本発明に従う暗号装置のブロック図である。 図２は，本発明に従う解読装置のブロック図である。 図３は，本発明に従うキーシーケンス生成方法のブロック図である。 図４は，本発明に従うキーシーケンスジェネレータのブロック図である。 発明の詳細な説明 本発明は，潜在的な敵攻撃者に対し高いワークファクタを与え，また政府規制 に一致するようなより低いワークファクタも与える暗号キーを生成するための方 法及び装置をもたらす。 サイズＢビットのキーを有する暗号装置はＳ＝２Ｂ個 の可能独立キーを与える。有用なキーの数（例えば，キー空間）は典型的に装置 の有効寿命にわたって必要な量より非常に多い。このことは，キーが繰り返され てはならず，また大量の未使用キーがいつも残存しなければならないため，所望 される。暗号装置は毎秒Ｒキーの速度(kps)で新しいキーに変わる。装置の有効 寿命がＺ秒であるとき，或る場合には数年の期間に対応するが，装置寿命にわた って使用されるキーの総数はＲＺである。ＲＺは，大量の未使用キーを維持する ために有効キーの総数Ｓよりも非常に小さくなければならない（例えば，ＲＺ≪ Ｓ）。装置の寿命ＲＺが経過した後，該装置は時代遅れであると考えられ，付加 的なキーは製造されない。 こうして攻撃者または装置キーの攻撃者は速度Ｒkpsで新しいキーを得ること ができる。時間間隔ｔ（ｔ＜Ｚ）が経過した後，観察者はＲｔ＜Ｒｚ≪Ｓである ところのＲｔキーのほとんどを見てしまっているであろう。装置の強度は，これ らのＲｔキーを観察する攻撃者によってもたらされる利点に直接関係している。 もし，Ｒｔキーがすべてのキーを生成するための方法をいくらか推測しまたは予 想するのに使用されれば，攻撃者は装置の残り寿命の間すべての後続キーを決定 することができ，装置は弱められるであろう。 概して，長さＢビットで２Ｂ個の可能暗号キー組み合わせを有する暗号キーを 伴う暗号装置に対して，本発明は，秘密分配キーの知識によって２Ｎ＝２Ｂ−Ｆ キー組み合わせから成る数の減少した暗号キー組み合わせが引き出されるところ の装置を与える。数の減少したキー組み合わせはＢビットのＦ個を各キーに固定 することによって引き出される。概して，装置が既知の値に固定されたあるＦ個 のキービットを有するという事実を隠すことは困難である。すなわち，Ｆ個の固 定ビットの発見は非常に可能性が高い。例えば，各キーが同一の場所に同一のＦ ビットを有するかどうかを２，３個のキーについて観測した後，Ｎ＝４０ビット （Ｆ＝１６）に縮小されたＢ＝５６ビットを有するＤＥＳキーが明白となる。各 ワードの最後のＦ＝１６ビットがゼロに固定される場合に連続のＢ＝５６ビット ワードが観測されるということは，極端にありそうにない。特に，観測回数Ｍに 関して，同一のＦ個のビットが一致する確率Ｐは２−ＭＦであり，Ｍ＝３回観測 の４０ビットＤＥＳキーに対してＰ＝3.55×10-¹⁵である。逆に，同一のＦ個の ビットが一致しない確率はＰ＝99.9999999999996％である。したがって，攻撃者 は 非常に少ない観察の後，固定ビットの数及び位置を知り，彼のワークファクタを 減少させるべく攻撃戦略を調節することができる。 上記ケースにおいて，非常に小さい値ｔの間にすベてのキーがたった４０ビッ ト長であることを攻撃者が知るにはＲｔキーで十分である。ひとたびこれが知ら れると，攻撃者は確かなキーを決定するために必要な予測回数が２Ｂから２Ｂ− Ｆに減少されることを知る。４０ビットＤＥＳの例では，これは攻撃者に対して 99.9984741％の努力削減のかたちで与えられる。 上記したように，多くの政府機関は最大４０ビットキー装置に対応するワーク ファクタを要求する。しかし，攻撃者はそれがたとえ公衆の知識であっても４０ ビットキーワークファクタが存在するという事実を利用できてはならない。すな わち，たとえ攻撃者が，暗号キーのキー空間が減縮されることを知っても，該攻 撃者はこの減縮を得るための知識を所有しない。しかし，政府機関には４０ビッ トキーに対応するワークファクタのみを有する装置に対する付加的情報が与えら れ，一方攻撃者は５６または６４ビットのような非常により大きいキーに対応す るワークファクタを有する装置に直面する。 時間ｔで観測され得るキーの総数はＲｔであるため，ある適当な保護ファクタ ＰによってワークファクタをＷ＞Ｒｔにすることが所望される。暗号装置の有効 寿命の間にこのことが真実であることを保証するために，Ｗ＞ＲＺでなければな らない（ここでＺは寿命）。Ｚ＝１０年または3.15×10⁸秒（8.75×10⁴日）と仮 定すると，Ｗに対する制限はＷ≧Ｐ×Ｒ×3.15×10⁸となり，以下の表１に示さ れるような逆の関係Ｐ＝Ｗ／（Ｒ×3.15×10⁸）を与える。 １０年の寿命Ｚを仮定した表１は，キー交換速度Ｒに対する，及び政府機関に よって命令されたワークファクタＷに対する保護ファクタＰを示す。示されるよ うに，キーの変換速度Ｒは与えられた数の有効キーに対する保護ファクタＰに逆 比例する。ＷまたはＳのような有効キーの数は，それがキー決定に必要なワーク の量を示すため，ワークファクタに対応する。例えば，ワークファクタＷに関し て，各キーはＷ個の可能バリエーションの一つを仮定することができる。ワーク ファクタＳに関して，Ｓ個の可能キーバリエーションが存在し得る。Ｐは暗号装 置の寿命にわたって観察可能なキーの数に対する有効キーの数の比（例えば，Ｐ ＝Ｗ／ＲＺ）である。例えば，Ｗ＝２４０個の有効 キーを有する４０ビットＤＥＳ装置に対して，キー変更速度Ｒ＝0.01kbp，寿命 Ｚ＝１０年，保護ファクタＰ＝3.5×10⁴である。 装置の寿命を通じて多数の未使用キーを維持するためにかつキーを繰り返す必 要性を避けるために大きな保護ファクタ（例えば，Ｐ≫１）を有することが所望 される。より小さいＲは攻撃者が使用するより少ないキーをもたらし，またより 短い寿命Ｚは攻撃者が装置を弱めるのに有効な時間を短縮するため，与えられた Ｗに対しより小さい変更速度Ｒまたは寿命Ｚによってより大きな保護が与えられ る。変形的に，より大きなＷもまたより大きな保護ファクタＰを与える。 政府機関にとって比較的小さい値のＷ（例えば，Ｗ＝３２）を要求することは 可能である点に注意すべきである。この場合，Ｓ個の可能キーからの２３２個の 別個の暗号キーが有効である。小さいＷについて，装置は比較的簡単に弱められ ，また装置は縮退されていると呼ばれる。したがって，たとえ大きな保護ファク タであっても，もしＷが十分に小さいなら装置はさらに弱められることに注意す べきである。 本発明は，有効キーの数を制限することによって政府規制に一致しながら十分 に大きな保護ファクタＰを維持する。たった２Ｎ個の異なるキーが有効であるた め実長はＢだが有効長Ｎを有するキーが与えられる。政府機関には，２Ｎキーの このリストを決定可能な秘密分配またはハッシュキーのような情報が与えられる 。したがって，本発明は，ＢビットキーがＢビットキーではなくＮビットキーに 付随するワークファクタを有するという事実を隠すための方法及び装置を与える 。Ｆビットを固定すれば，Ｓ＝２Ｂの代わりにたったＷ＝２Ｂ−Ｆ＝２Ｎ個の異 なるキーが可能である。手法の検出 を妨げるために，同一のＦビットは各キー内に固定されない。政府機関は，装置 がまるでＳ個の可能キーから選択されたＷ個のキーのリストを与えることによっ てＷ個の可能キーを有するように，さらに装置を復合化することができる。暗号 装置内で使用中のすべてのキーがリスト上にあることが知られている限り，Ｗ回 以上の試行はキーを復合化するのに要求されない。 しかし，４０ビットを有するＤＥＳキーに対してＷ＝２４０＝１×１０¹²ビッ トであり，それは約８百万メガバイトの記憶装置を必要とするため，簡単にＷ個 のキーを保存することは問題である。したがって，実際にキーを保存することな くＷ個のキーの全リストを知るための方法を与えることが要求される。 図１は本発明に従う暗号装置のブロック図である。情報源110は暗号器115によ る暗号化のためにライン112を通じて明快文情報シーケンスを与える。情報シー ケンスは例えばバイナリデータのストリームから成る。キーシーケンスジェネレ ータ125は暗号器115で使用するためにライン127及び129を通じて複数の暗号キー （プログラムキー）を与える。該プログラムキー自身は，ライン137を通じてア クセス制御キージェネレータ135により与えられるアクセス制御キーの制御のも と で，暗号器130によって暗号化される。その後，暗号化されたプログラムキーは ライン132を通じてマルチプレクサ120へ送られ，そこで暗号文及び暗号化された プログラムキーがレシーバまたは記憶媒体上の記憶装置へ送信する暗号化された データストリームを与えるべく多重化される。 動作中，キーシーケンスジェネレータ125は，プログラム材料110を暗号化する のに使用される一連の暗号キーを生成する。該キーは独立であり，Ｓ＝２Ｂまで のワークファクタを有するＢビットを有する。例えば，Ｂ＝５６について，２５ ６個までの異なるキーが生成される。ジェネレータ135からのアクセス制御キー は周期的に変更され，加入者に分配される。例えば，アクセス制御キーは毎月変 更されるキーでありまた金を払った加入者に分配されるが，プログラムキーは毎 秒変化し（Ｒ＝１kps）また情報源に従った暗号形式で分配される。本発明は， キーシーケンスジェネレータ125またはアクセス制御キージェネレータ135を実現 するために使用されるようなキージェネレーション装置において部分的に実施さ れる。 図２は本発明に従う暗号装置のブロック図である。暗号文及び暗号化されたプ ログラムキーを含む暗号化 データストリームは，デマルチプレクサ210により受信される。該デマルチプレ クサ210はライン214を通じて解読器220へ暗号文を与え，暗号化されたプログラ ムキーはライン212を通じて解読器230へ与えられる。該解読器230はプログラム キーを解読しかつそれをライン232を通じて解読器220へ与える。その後，該解読 器220は明快文情報シーケンスを回復するために暗号文を解読する。解読器230は ライン242を通じてアクセス制御キージェネレータ240によって与えられるアクセ ス制御キーの制御の下で動作す。該アクセス制御キージェネレータは端子250を 通じて受信される入力信号に応答する。該信号は暗号化されたデータストリーム 内（帯域内または帯域外）でまたは独立のキー分配装置（図示せず）を通じて送 信機から受信機へ分配される。 図３は本発明に従うキーシーケンス生成方法のブロック図である。ブロック31 0において，最初に，Ｓ＝２Ｂまでのワークファクタを有するＢビットキーが例 えばランダムまたは非ランダムなキージェネレータを使って生成される。次にブ ロック320においてキー空間は，Ｓビットキーのキー空間からＷ＝２Ｎ（ここで ，Ｎ＜ＢかつＷ＜Ｓ）までの付随するワークファクタを有するＮビットキーのキ ー空間へ減縮される。例えば， Ｂ＝５６，Ｓ＝２５６，Ｎ＝４０，及びＷ＝２４０である。ブロック320は，減 少したキー空間を与えるべく例えば，ＡＮＤ関数，ＯＲ関数，ハッシング，公衆 キー暗号，累乗法，リスト配列，ブール演算，算術演算，モジューロ演算，及び テーブル・ルックアップ演算を採用する。機能320はワークファクタＷに応答し ，それはキーを復合化するのに実行されなければならないワークの量の指標であ る。必要なワークファクタＷは典型的に政府規制によって決定される。 次に，ブロック330において，Ｎビットキーのキー空間は２Ｎ個までの異なる Ｂビットキーを与えるべくＢビットキー空間のキー空間にわたって分配される（ 例えば，ばらまかれる）。Ｂビットキー空間はすべてキーを構成するＢビットの ２Ｂ個の可能シーケンスから成る。分配は多くの技術を使って達成され，例えば ，Ｂビット暗号キーを与えるための，ＡＮＤ関数，ＯＲ関数，ハッシング，公衆 キー暗号，累乗法，リスト配列，ブール演算，算術演算，モジューロ演算，及び テーブル・ルックアップ演算などが含まれる。図示された実施例において，ブロ ック330はハッシングキーＫを使用する。 ブロック340において，Ｂビットキーは情報を暗号化 するために使用される。本発明にしたがって，各キーはＢビットを有するので， 装置を復合化するためのワークファクタは，攻撃者がハッシングキーを知らない ため彼にとってＳ＝２Ｂとして現れる。しかし，ハッシングキーの知識によって ，政府機関はたったＷ＝２Ｎのワークファクタに直面する。したがって，保護フ ァクタを減縮することなくワークファクタを減少させる表面上は矛盾するゴール が実現させる。 Ｋでハッシングした後に出力されたキーを観察する攻撃者は，Ｗ個の独立キー のみが存在することをＫを知らずに決定することはできない。さらにまた，もし 分配ハッシュ関数が一方向関数であれば，独立キーＷの数を決定することはＫが 知られても全く不可能である。このことは攻撃者に対しキー及びハッシュの数を 予測させ彼の観測と比較することを強いる。該攻撃者は観測したキーに基づいて キーの数を予測することができず，その結果彼はＷよりも非常に大きい量のワー クＳを費やさねばならない。キー内に固定ビットを使用したことによる装置の強 度の減少は攻撃者にとって見ることはできない。 図３はＳキーのサブセットとしてＷキーを与えるための方法を与えるが，実際 は暗号化に使用されるＷ キーを与えるのにすべてのＳキーを生成する必要はない。すなわち，手続きはキ ー・バイ・キー方式で成し遂げられる。例えば，単一のＢビットキーがブロック 310で生成される。その後，キー空間はブロック320でＮビットに減縮される。そ の後，ブロック330において，ハッシングキーの制御の下で該ＮビットキーはＢ ビットキーへマッピングされ，それによって見かけ上サイズはＢビットで有効サ イズはＮビットを有するＢビットキーがもたらされる。ブロック340において， 新しいＢビットキーが情報を暗号化するのに使用される。 図４は本発明に従うキーシーケンスジェネレータのブロック図である。該キー シーケンスジェネレータはキージェネレータ，キー空間減縮器，及びキー値ハッ シュ関数から成る。初期化ベクトル(ＩＶ)が端子402に入力され，その後スイッ チ410の端子405及び415を通じてＤＥＳキージェネレータ420へ与えられる。ＤＥ Ｓキージェネレータ420及び425は端子422及び424を通じてそれぞれキー１及びキ ー２を受信する。ＩＶ，キー１及びキー２は既知であり，例えば，政府機関によ って供給される。ＤＥＳジェネレータ420はＩＶを使用してキーを生成し，それ が他のキーを生成するためにＤＥＳジェネレー タ425によって使用され，それがライン427を通じてＡＮＤ関数435に与えられる 。ＩＶがＤＥＳジェネレータ420によって使用された後に，スイッチ410が端子41 5及び417を結合しかつ端子405及び415を分離するように作用する。ＤＥＳジェネ レータ420はその後ＤＥＳジェネレータ425の出力をライン428及び端子415を通じ たフィードバック信号として受信し，付加的なキーを生成し続ける。 キー空間サイズ入力変数（例えば，ビットのシーケンス）が端子430及びライ ン432を通じてＡＮＤゲート435へ与えられる。Ｎは入力変数の与えられたシーケ ンス内のビット数を示す。ライン432上の入力変数ビットが１であれば，ライン4 27上のビットは変化せずにＡＮＤゲート435を通過する。しかし，入力変数がゼ ロのときは，ライン427上のビットはＡＮＤゲート435によってゼロに設定される 。ＤＥＳジェネレータ420及び425を含む図４のキーシーケンスジェネレータのキ ージェネレータ部分は２Ｂまでの別個のプログラム可能キーを生成できる。例え ば，Ｂは６４と等しいかそれ以下の整数である。特に，Ｂ＝６４の場合，キージ ェネレータは，固定された既知のＩＶ及びキー１及び２の制御の下に，約２６３ までのランダムな６４ビット値を供給すること ができる。キー空間減縮器ＡＮＤゲート435はジェネレータから出力された可能 値を｛0:2⁶⁴-1｝から｛0:2^N-1｝へ減少させ，ここでＮ＝Ｂ−Ｆはキー空間サイ ズ入力変数におけるビット数である。例えば，Ｆ＝１６固定ビットの場合，Ｎ＝ ６４−１６＝４８ビットである。 ２つのＤＥＳジェネレータ420及び425が存在するため，図示されたキージェネ レータ部分は二重ＤＥＳ動作を実行する点に注意すべきである。この装置はいわ ゆる中央攻撃(meet-in-the-middle attacks)に対して害を被りやすい。しかし， このタイプの攻撃は２６８または２．９５×１０２０バイトのメモリを必要とし ，その結果非常にかけ離れたものである。この抽象関係を避けるために，三重動 作を与えるべく付加的なＤＥＳジェネレータが与えられる。 ＡＮＤゲート435から出力された減少キーは，ライン437を通じてキー値ハッシ ュ部分へ与えられる。特に，キーはＤＥＳジェネレータ450によって受信され， それは端子440を通じて与えられるキー３に応答する。ＤＥＳジェネレータ450は キーをＤＥＳジェネレータ455へ与え，それは端子445を通じて与えられるキー４ に応答する。キー３及び４は関連する政府機関に知らされる。その後キーはライ ン456を通じて加算機460に与えられ る。加算機460はまたライン457を通じてフィードフォワード信号を受信し，ライ ン465を通じて最終Ｂビット暗号キーを出力する。Ｂ＝６４の場合，６４ビット キーがライン465を通じて与えられる。付加的に，ドロップバイト関数470はライ ン467を通じて６４ビットキーを受信し，ライン475を通じて５６ビットキーを与 えるためにその内の８バイトを落とす。この方法において，同一の暗号エンジン が政府規制により要求されるような異なるキーサイズを与えることもできる。そ の際暗号キーは図１の暗号器115のような暗号器により使用される。 固定され知られたキー３及び４の下での二重ＤＥＳキー値ハッシュは，攻撃者 による予測が極めて難解になるように，縮小セットの２Ｎキーを２Ｂ値にわたっ てランダムに分配する。あらゆるサイズのキーが，６４ビット以下の単一出力を 使うか，または６４ビットより長いキーを組み立てる多重出力を使って，この方 法で生成される。 承知の通り，本発明はワークファクタを政府機関により要求されるレベルに減 少させながら，暗号装置の保護ファクタを維持するための方法及び装置を与える 。本発明は，装置の作成時におけるプログラミング 修正が唯一の差である国内及び外国適用の両方で使用可能な暗号エンジンを有す る暗号装置を与える。これは，Ｓ個の可能ＢビットキーからランダムにＮビット キーを選択する暗号分配関数を使って達成される（ここでＮ＜Ｂである）。その 後，Ｎビットキーのキー空間はＢビットキーに対応するキー空間にわたってラン ダムに分配され，その結果固定ビットの存在は分配関数内で使用された暗号キー を知ることなしに確認されることはない。選択及び分配はランダムでなくてもよ い。さらにまた，分配関数自身の知識はそれと一緒に使用されるキーの知識無し では使用できない。 発明はさまざまな特定の実施例との関係で説明されてきたが，請求の範囲に記 載された発明の思想及び態様から離れることなくさまざまな付加及び修正が可能 であることは当業者の知るところである。例えば，各キー内のビット数は変化し てもよい。さらに，対応する数の秘密分配キーを与えることによって２つ以上の 異なるワークファクタを有するキーを与えるよう，発明の概念を拡張することも 可能である。さらにまた，発明は主にＤＥＳタイプのプライベートキー暗号装置 との関係で議論されてきたが，公衆キー装置を含む他の暗号装置に対しても応用 可能である。公衆キー装置の 場合，ビットサイズとキー空間の間の関係は幾分より複雑である。概して，ＤＥ Ｓ装置のような対称ブロック暗号に比べ，公衆キーのビット長は同一のキー空間 サイズをもたらすのに数倍長くなければならない。

【手続補正書】特許法第１８４条の８第１項 【提出日】１９９７年１０月２４日 【補正内容】 請求の範囲 １．情報を暗号化して処理するための暗号キーを与える方法であって， キー生成手法に従って，第１キーを生成する工程と， キー空間減縮手法に従って，前記第１キーのキー空間を減縮する工程と， 前記暗号キーを与えるべく，一方向キー空間分配関数に従って，より大きいキ ー空間にわたって前記減縮されたキー空間を分配する工程と， から成り， 前記暗号キーは，前記キー空間分配関数の知識の無い人間に対して付随第１ワ ークファクタを有し， 前記暗号キーは，前記キー空間分配関数の知識を有する人間に対して，前記第 １ワークファクタより少ない付随第２ワークファクタを有する， ことを特徴とする方法。 ２．請求項１に記載の方法であって，前記より大きいキー空間は前記第１ワーク ファクタを示し，また前記減縮されたキー空間は前記第２ワークファクタを示す ， ところの方法。 ３．請求項１に記載の方法であって，前記第２ワークファクタは前記減縮された キー空間のワークファクタと実質的に同一である， ところの方法。 ４．請求項１に記載の方法であって，前記キー生成手法は前記第１キーをランダ ムに生成する， ところの方法。 ５．請求項１に記載の方法であって，前記キー空間減縮手法は，前記減縮された キー空間を与えるべく前記第１キーに対してデジタル論理関数を実行する工程か ら成る， ところの方法。 ６．請求項１に記載の方法であって，前記キー空間分配関数は， 第２キーを与える工程と， 前記暗号キーを与えるべく前記第２キーに従って前記減縮されたキー空間を前 記より大きいキー空間にわたって分配する工程と， によって実行されるところの方法。 ７．請求項１に記載の方法であって，前記キー空間分配手法は， 前記暗号キーを与えるべく前記減縮されたキー空間を前記より大きいキー空間 にわたって実質的にランダムに分配する工程， から成るところの方法。 ８．請求項１に記載の方法であって，前記キー空間分配手法は，前記暗号キーを 与えるべく前記減縮されたキーに対してデジタル論理関数を実行する工程から成 る，ところの方法。 ９．請求項１に記載の方法であって，さらに 短縮したビット長の暗号キーを与えるべく前記暗号キーからビットを落とす工 程， から成る方法。 １０．請求項１に記載の方法であって，さらに キー空間サイズ入力変数を与える工程と， 前記入力変数に従って前記減縮されたキー空間のサイズを制御する工程と， から成る方法。 １１．請求項１０に記載の方法であって，前記キー空間減縮手法は， (a)前記減縮されたキー空間を与えるべく前記入力変数を前記第１キーとＡＮ Ｄ演算する工程と， (b)前記減縮されたキー空間を与えるべく前記入力変 数を前記第１キーとＯＲ演算する工程，の少なくとも一つから成る， ところの方法。 １２．請求項１に記載の方法であって，前記暗号キーはＢビットキーであり，ま た前記第１ワークファクタはＳ＝２Ｂよりも大きくはない， ところの方法。 １３．請求項１２に記載の方法であって，前記減縮されたキー空間は（Ｂ−Ｆ） ビットキーのキー空間に対応し，前記第２ワークファクタはＷ＝２Ｂ−Ｆより大 きくはない， ところの方法。 １４．情報を暗号化して処理するための暗号キーを与える装置であって， キー生成手法に従って，第１キーを生成するためのキージェネレータと， キー空間減縮手法に従って，前記第１キーのキー空間を減縮するための，前記 キージェネレータに動作上付随するキー空間減縮器と， 前記暗号キーを与えるべく，一方向キー空間分配関数に従って，より大きいキ ー空間にわたって前記減縮されたキー空間を分配するための，前記キー空間減縮 器に動作上付随するキー分配器と， から成り， 前記暗号キーは，前記キー空間分配関数の知識の無い人間に対して付随第１ワ ークファクタを有し， 前記暗号キーは，前記キー空間分配関数の知識を有する人間に対して，前記第 １ワークファクタより少ない付随第２ワークファクタを有する， ことを特徴とする装置。 １５．請求項１４に記載の装置であって，前記より大きいキー空間は前記第１ワ ークファクタを示し，また前記減縮されたキー空間は前記第２ワークファクタを 示す， ところの装置。 １６．請求項１４に記載の装置であって，前記第２ワークファクタは前記減縮さ れたキー空間のワークファクタと実質的に同一である， ところの装置。 １７．請求項１４に記載の装置であって，前記キー空間減縮器は，前記減縮され たキー空間を与えるべく前記第１キーに対して，デジタル論理関数を実行する手 段から成る， ところの装置。 １８．請求項１４に記載の装置であって，前記キー空間分配器は，前記暗号キー を与えるべく前記減縮されたキーに対して，デジタル論理関数を実行する手段， から成るところの装置。 １９．請求項１４に記載の装置であって，さらに 前記キー空間減縮器へキー空間サイズ入力変数を与える手段， から成り， 前記キー空間減縮器は，前記入力変数に従って前記減縮されたキー空間のサイ ズを制御する， ことを特徴とする装置。 ２０．請求項１９に記載の装置であって，前記キー空間減縮器は， (a)前記減縮されたキー空間を与えるべく前記入力変数を前記第１キーとＡＮ Ｄ演算するＡＮＤゲートと， (b)前記減縮されたキー空間を与えるべく前記入力変数を前記第１キーとＯＲ 演算するＯＲゲート，の少なくとも一つから成る， ところの装置。 ２１．情報を暗号化して処理するための暗号キーを与える装置であって， 第１暗号信号を受信するための手段と， 前記第１暗号信号に応答し，前記暗号キーを生成するための手段と， から成り， 前記暗号キーは，前記第１暗号信号の知識の無い人間に対して付随第１ワーク ファクタを有し， 前記暗号キーは，前記第１暗号信号の知識を有する人間に対して，前記第１ワ ークファクタより少ない付随第２ワークファクタを有する， ことを特徴とする装置。 ２２．情報を暗号化して処理するための暗号キーを与える方法であって， 第１暗号信号を受信する工程と， 前記第１暗号信号に応答し，前記暗号キーを生成する工程と， から成り， 前記暗号キーは，前記第１暗号信号の知識の無い人間に対して付随第１ワーク ファクタを有し， 前記暗号キーは，前記第１暗号信号の知識を有する人間に対して，前記第１ワ ークファクタより少ない付随第２ワークファクタを有する， ことを特徴とする方法。 ２３．請求項１に記載の方法であって，前記分配する 工程が， 暗号化された減縮キーを与えるべく，前記減縮されたキー空間を有するキーを 暗号化する工程と， 前記暗号キーを与えるべく前記減縮されたキー空間を有する前記キーを前記暗 号化された減縮キーと結合させる工程と， から成るところの方法。 ２４．請求項１に記載の方法であって，さらに 前記暗号キーを使ってデータを暗号化する工程と， 前記暗号化データを解読する際に使用するために，通信チャネルを通じて前記 暗号キーを通信する工程と， から成る方法。 ２５．請求項１４に記載の装置であって，前記キー分配器が， 暗号化された減縮キーを与えるべく，前記減縮されたキー空間を有するキーを 暗号化する手段と， 前記暗号キーを与えるべく前記減縮されたキー空間を有する前記キーを前記暗 号化された減縮キーと結合させる手段と， から成る装置。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＡＵ，ＢＲ，ＣＡ，Ｃ Ｎ，ＪＰ，ＫＲ，ＭＸ，ＮＯ

Claims (1)

1. 【特許請求の範囲】 １．情報を暗号化して処理するための暗号キーを与える方法であって， キー生成手法に従って，第１キーを生成する工程と， キー空間減縮手法に従って，前記第１キーのキー空間を減縮する工程と， 前記暗号キーを与えるべく，キー空間分配手法に従って，より大きいキー空間 にわたって前記減縮されたキー空間を分配する工程と， から成り， 前記暗号キーは，前記キー空間分配手法の知識の無い人間に対して付随第１ワ ークファクタを有し， 前記暗号キーは，前記キー空間分配手法の知識を有する人間に対して，前記第 １ワークファクタより少ない付随第２ワークファクタを有する， ことを特徴とする方法。 ２．請求項１に記載の方法であって，前記より大きいキー空間は前記第１ワーク ファクタを示し，また前記減縮されたキー空間は前記第２ワークファクタを示す ， ところの方法。 ３．請求項１に記載の方法であって，前記第２ワークファクタは前記減縮された キー空間のワークファクタと実質的に同一である， ところの方法。 ４．請求項１に記載の方法であって，前記キー生成手法は前記第１キーをランダ ムに生成する， ところの方法。 ５．請求項１に記載の方法であって，前記キー空間減縮手法は，減縮されたキー 空間を与えるべく前記第１キーに対して，ＡＮＤ演算，ＯＲ演算，ハッシング， 公衆キー暗号化，累乗法，リスト配列，ブール演算，算術演算，モジューロ演算 ，及びテーブル・ルックアップ演算の少なくとも一つを実行する工程から成る， ところの方法。 ６．請求項１に記載の方法であって，前記キー空間分配手法は， ハッシングキーを与える工程と， 前記暗号キーを与えるべく前記ハッシングキーに従って前記減縮キーを前記よ り大きいキー空間にわたって分配する工程と， から成るところの方法。 ７．請求項１に記載の方法であって，前記キー空間分配手法は， 前記暗号キーを与えるべく前記減縮されたキー空間を前記より大きいキー空間 にわたって実質的にランダムに分配する工程， から成るところの方法。 ８．請求項１に記載の方法であって，前記キー空間分配手法は， 前記暗号キーを与えるべく前記減縮されたキーに対して，ＡＮＤ演算，ＯＲ演 算，ハッシング，公衆キー暗号化，累乗法，リスト配列，ブール演算，算術演算 ，モジューロ演算，及びテーブル・ルックアップ演算の少なくとも一つを実行す る工程， から成るところの方法。 ９．請求項１に記載の方法であって，さらに 短縮したビット長の暗号キーを与えるべく前記暗号キーからビットを落とす工 程， から成る方法。 １０．請求項１に記載の方法であって，さらに キー空間サイズ入力変数を与える工程と， 前記入力変数に従って前記減縮されたキー空間のサ イズを制御する工程と， から成る方法。 １１．請求項１０に記載の方法であって，前記キー空間減縮手法は，前記減縮さ れたキー空間を与えるべく前記入力変数を前記第１キーとＡＮＤ演算及びＯＲ演 算する工程の少なくとも一つから成る， ところの方法。 １２．請求項１に記載の方法であって，前記暗号キーはＢビットキーであり，ま た前記第１ワークファクタはＳ＝２Ｂよりも大きくはない， ところの方法。 １３．請求項１２に記載の方法であって，前記減縮されたキー空間は（Ｂ−Ｆ） ビットキーのキー空間に対応し，前記第２ワークファクタはＷ＝２Ｂ−Ｆより大 きくはない， ところの方法。 １４．情報を暗号化して処理するための暗号キーを与える装置であって， キー生成手法に従って，第１キーを生成するためのキージェネレータと， キー空間減縮手法に従って，前記第１キーのキー空間を減縮するための，前記 キージェネレータに動作上 付随するキー空間減縮器と， 前記暗号キーを与えるべく，キー空間分配手法に従って，より大きいキー空間 にわたって前記減縮されたキー空間を分配するための，前記キー空間減縮器に動 作上付随するキー分配器と， から成り， 前記暗号キーは，前記キー空間分配手法の知識の無い人間に対して付随第１ワ ークファクタを有し， 前記暗号キーは，前記キー空間分配手法の知識を有する人間に対して，前記第 １ワークファクタより少ない付随第２ワークファクタを有する， ことを特徴とする装置。 １５．請求項１４に記載の装置であって，前記より大きいキー空間は前記第１ワ ークファクタを示し，また前記減縮されたキー空間は前記第２ワークファクタを 示す， ところの装置。 １６．請求項１４に記載の装置であって，前記第２ワークファクタは前記減縮さ れたキー空間のワークファクタと実質的に同一である， ところの装置。 １７．請求項１４に記載の装置であって，前記キー空 間減縮器は，前記減縮されたキー空間を与えるべく前記第１キーに対して，ＡＮ Ｄ演算，ＯＲ演算，ハッシング，公衆キー暗号化，累乗法，リスト配列，ブール 演算，算術演算，モジューロ演算，及びテーブル・ルックアップ演算の少なくと も一つを実行する手段から成る， ところの装置。 １８．請求項１４に記載の装置であって，前記キー空間分配器は， 前記暗号キーを与えるべく前記減縮されたキーに対して，ＡＮＤ演算，ＯＲ演 算，ハッシング，公衆キー暗号化，累乗法，リスト配列，ブール演算，算術演算 ，モジューロ演算，及びテーブル・ルックアップ演算の少なくとも一つを実行す る手段， から成るところの装置。 １９．請求項１４に記載の装置であって，さらに 前記キー空間減縮器へキー空間サイズ入力変数を与える手段， から成り， 前記キー空間減縮器は，前記入力変数に従って前記減縮されたキー空間のサイ ズを制御する， ことを特徴とする装置。 ２０．請求項１９に記載の装置であって，前記キー空間減縮器は，前記減縮され たキー空間を与えるべく前記入力変数を前記第１キーとＡＮＤ演算及びＯＲ演算 するためのＡＮＤゲート及びＯＲゲートの少なくとも一つから成る， ところの装置。 ２１．情報を暗号化して処理するための暗号キーを与える装置であって， 第１暗号信号を受信するための手段と， 前記第１暗号信号に応答し，前記暗号キーを生成するための手段と， から成り， 前記暗号キーは，前記第１暗号信号の知識の無い人間に対して付随第１ワーク ファクタを有し， 前記暗号キーは，前記第１暗号信号の知識を有する人間に対して，前記第１ワ ークファクタより少ない付随第２ワークファクタを有する， ことを特徴とする装置。 ２２．情報を暗号化して処理するための暗号キーを与える方法であって， 第１暗号信号を受信する工程と， 前記第１暗号信号に応答し，前記暗号キーを生成す る工程と， から成り， 前記暗号キーは，前記第１暗号信号の知識の無い人間に対して付随第１ワーク ファクタを有し， 前記暗号キーは，前記第１暗号信号の知識を有する人間に対して，前記第１ワ ークファクタより少ない付随第２ワークファクタを有する， ことを特徴とする方法。