JP2000514934A - 無線電話メッセージのセキュリティを改善するためのルックアップテーブルへの秘密鍵の強化されたセキュリティ拡張の方法および装置 - Google Patents

Abstract

(57)【要約】 ＣＭＥＡ暗号化のためのｔｂｏｘ関数の使用が強化される。秘密値および前に暗号化されたメッセージオクテットを用いて、ｔｂｏｘ関数にメッセージを入力するためのオフセットを生成する。オフセットを用いて、ｔｂｏｘ関数に入力するメッセージを置換する。呼の最初のメッセージに対しては、前に暗号化されたメッセージオクテットは初期値によって置換される。１回のみのＣＭＥＡ暗号化を使用するシステムでは、第１および第２のオフセットを生成する。２回のＣＭＥＡ暗号化を使用するシステムでは、第１、第２、第３および第４のオフセットを生成し、第１および第２のオフセットは１回目のＣＭＥＡ暗号化で用いられ、第３および第４のオフセットは２回目のＣＭＥＡ暗号化で用いられる。

Description

【発明の詳細な説明】 無線電話メッセージのセキュリティを改善するためのルックアップテーブルへの 秘密鍵の強化されたセキュリティ拡張の方法および装置発明の属する技術分野 本発明は、無線（ワイヤレス）電話暗号法に関し、特に、大量のシステム資源 を追加することを必要とせずに、無線電話システムにおける高速でセキュリティ の高い暗号化のための改善されたセキュリティ暗号方式に関する。従来の技術 無線電話は、例えば、ステータス情報の伝送、動作モードの再設定、呼着信処 理、ならびに、加入者の電子シリアル番号および電話番号のようなシステムおよ びユーザのデータや、ユーザによって送信される会話およびその他のデータの伝 送を含む、いくつかの目的のためにメッセージングを使用する。中央サービス局 が電話線によって各加入者に接続され、権限のない者（攻撃者）による盗聴や傍 受からのかなりの程度の保護を保証する通常の有線電話とは異なり、無線電話サ ービス局（すなわち基地局）は、加入者の物理的位置に関わらず、メッセージを 無線信号で送受信しなければならない。 基地局はどこにいる加入者ともメッセージを送受信することができなければな らないため、メッセージングプロセスは、加入者機器との間で送受信される信号 に完全に依存する。信号は、無線伝送されるため、適当な機器を有する盗聴者あ るいは侵入者によって傍受される可能性がある。 信号が無線電話機によって平文で送信される場合、盗聴者が信号を傍受してそ れを用いて加入者になりすますこと、あるいは、ユーザによって送信された秘密 データを傍受することの危険が存在する。このような秘密データには、会話の内 容も含まれることがある。秘密データはまた、例えば、無線電話機に接続された モデムを通じて送信されるコンピュータデータのような、ユーザによって送信さ れる非音声データを含むこともあり、また、一般にキー押下によって送信される 銀行口座やその他の秘密のユーザ情報を含むこともある。会話を聞き、あるいは 、 非音声データを傍受する盗聴者は、ユーザから秘密情報を取得する可能性がある 。暗号化されていない電話信号（すなわち平文信号）のメッセージ内容は、適当 に調整した受信機によって比較的容易に傍受される。 あるいは、傍受者は、より高い送信電力を用いることによって、確立されてい る接続に侵入し、基地局へ信号を送信し、会話の当事者になりすますことも可能 である。 無線信号によって伝送されているメッセージに暗号方式を適用することがない 場合、電話資源の無権限使用、メッセージの盗聴、および会話中の発呼者または 被呼者になりすますことが可能である。このような無権限の傍受や盗聴は実際に 重大な問題であることが分かっており、極めて好ましくない。 無線電話アプリケーションへの暗号方式の応用は、上記のセキュリティ問題へ の解決法を提供するが、標準的な暗号方法を無線電話に適用することは、それら の方法が大きい計算量を要するという性質により、大きい困難に遭遇している。 特に、これらの方法は、小さい無線ハンドセットを供給するという要求によって 課される制約と、ハンドセットの小さいサイズによって課される処理電力に対す る制約を受ける。一般的な無線ハンドセットにある処理電力は、ＤＥＳ(Data En cryption Standard)のような周知の暗号アルゴリズムの処理要求を扱うには不十 分である。一般的な無線電話システムにおいてこのような周知の暗号アルゴリズ ムを実装することは、信号を処理（すなわち、暗号化および復号）するのに要す る時間を増大させ、それにより、加入者にとって受け入れられない遅延を引き起 こす可能性がある。 無線電話のための暗号方式の１つが、米国特許第５，１５９，６３４号（発明 者：Reeds）に記載されている。この米国特許には、ＣＭＥＡ(Cellular Message Encryption Algorithm)として知られる暗号プロセスが記載されてい。ＣＭＥＡ の動作の中心にｔｂｏｘ関数がある。これは、秘密鍵を秘密ルックアップテーブ ルに拡張する。初期インデックスから開始して、鍵データとテーブルデータを複 数回組み合わせて秘密ルックアップテーブルを生成する。テーブルが生成される と、後述のアルゴリズムに従って鍵のオクテットがメッセージのオクテットに適 用され、その結果として得られた値がルックアップテーブルへのイ ンデックスとして用いられる。ｔｂｏｘ関数は、関数呼出し（ファンクションコ ール）として、または、静的メモリにあるテーブルとして実装可能である。この テーブルの目的は、後者の場合のように実装されるときには、与えられたセキュ リティレベルでの暗号化の速度を大幅に速めることである。 従来のＣＭＥＡアルゴリズムは、以下で詳細に説明するように大幅に改善され る。このような改善により、セキュリティの程度が高くなり、非常に有効である 。発明の概要 本発明は、ｔｂｏｘ関数の使用法を修正することによりＣＭＥＡのような暗号 アルゴリズムのセキュリティの程度を高くする。ｔｂｏｘ関数の使用法の改善は ＣＭＥＡを改善し、移動無線トランシーバで一般に用いられるような小さいコン ピュータにおいて高速かつ効率的に動作するように実装可能である。 本発明によるｔｂｏｘ関数の改善された使用法は、オフセットを用いてｔｂｏ ｘ関数への入力を置換する。各オフセットは、２つの秘密値および外部暗号同期 (cryptosync)値を用いて生成される。秘密値は、いくつかの当業者に周知の技術 のうちのいずれによって生成することも可能である。一部のアプリケーションで は、呼の最初のメッセージを暗号化するために用いられる外部暗号同期値は初期 化ベクトルである。後続のメッセージに対しては、外部暗号同期値は、前に暗号 化されたメッセージの最初の２オクテットの暗号文である。 本発明によるｔｂｏｘ関数の改善された使用は、好ましくは、少なくとも２回 のＣＭＥＡを用いる強化されたＣＭＥＡプロセスにより達成される。強化ＣＭＥ Ａプロセスの場合、第１から第４までのオフセットが生成される。各オフセット は、好ましくは、１５ビットの秘密値、１６ビットの秘密値、および外部暗号同 期値を使用する。各オフセットは、相異なる秘密値対を使用する。秘密値は、い くつかの当業者に周知の技術のうちのいずれによって生成することも可能である 。第１および第２のオフセットは、第１回のＣＭＥＡプロセス中にｔｂｏｘ関数 に入力され、第３および第４のオフセットは第２回のＣＭＥＡプロセス中にｔｂ ｏｘ関数に入力される。 暗号化された文（テキスト）は、本発明によれば、暗号文を導入し、平文を暗 号化するために適用されたステップを逆順に逆に作用させることによって復号さ れる。 本発明のもう１つの特徴によれば、本発明による装置は、テキストを生成し、 それをＩ／Ｏインタフェースに供給する。Ｉ／Ｏインタフェースは、そのテキス トを生成されたテキストとして識別し、そのテキストおよびその識別を暗号化／ 復号プロセッサに供給する。続いて暗号化／復号プロセッサは、そのテキストを 暗号化して、送信するためにトランシーバに供給する。本発明の装置がトランシ ーバを通じて通信を受信すると、その通信は入力暗号文として識別され、その暗 号文およびその識別は暗号化／復号プロセッサに供給される。暗号化／復号プロ セッサは、その暗号文を復号して、宛先へ転送するためにＩ／Ｏプロセッサに供 給する。 本発明のさらに完全な理解と、本発明のその他の特徴および利点は、いかの詳 細な説明および関連する図面から明らかとなる。図面の簡単な説明 図１は、従来技術のＣＭＥＡ鍵生成プロセスと、ＣＭＥＡに基づく暗号化の実 装におけるその利用法の特徴を説明する流れ図である。 図２は、ｔｂｏｘ関数を用いるＣＭＥＡ暗号化法を説明する流れ図である。ｔ ｂｏｘ関数は、本発明に従って第１および第２のオフセットによって置換された ｔｂｏｘ関数への入力を有するｔｂｏｘルックアップを含む。 図３は、複数回のＣＭＥＡを用いる強化ＣＭＥＡ暗号化法を説明する流れ図で ある。各ＣＭＥＡ実行はｔｂｏｘ関数を使用する。ｔｂｏｘ関数はｔｂｏｘルッ クアップを含み、ｔｂｏｘ関数への入力は、本発明に従って、１回目のＣＭＥＡ 実行中は第１および第２のオフセットによって置換され、２回目の実行中は第３ および第４のオフセットによって置換される。 図４は、強化ＣＭＥＡプロセスによって暗号化された暗号文を本発明に従って 復号する方法を説明する流れ図である。 図５は、本発明による強化ＣＭＥＡ暗号化を用いた暗号化／復号電話機を説明 する流れ図である。詳細な説明 図１は、通話中に送信される可能性のあるいくつかの重要なユーザデータの暗 号化のためにＣＭＥＡ鍵を用いる従来の方法１００を説明する流れ図である。Ｃ ＭＥＡ鍵は、２５６バイトの秘密配列ｔｂｏｘ（ｚ）を作成するために用いられ る。あるいは、ｔｂｏｘ関数は、関数呼出しとして実装されることも可能である 。これによりＲＡＭの使用量は減少するが、処理時間は約１桁増大する。 ステップ１０２で、未処理のテキストが導入される。ステップ１０４で、ｔｂ ｏｘを関数呼出しとしてではなく静的テーブルとして実装するシステムでは、静 的ｔｂｏｘテーブルが導出される。ｔｂｏｘテーブルは次のように導出される。 ０≦ｚ＜２５６の範囲の各ｚに対して、 tbox(z)=Ｃ(((Ｃ(((Ｃ(((Ｃ((zＸＯＲ ｋ0)＋k1)＋ｚ)ＸＯＲ k2)＋k3)＋ ｚ)ＸＯＲk4)＋k5)＋z)XOR k6)＋k7)＋z ただし「＋」は２５６を法とする加算を表し、「ＸＯＲ」はビットごとの排他的 論理和演算子であり、「ｚ」は関数の引数であり、ｋ０，…，ｋ７はＣＭＥＡ鍵 の８個のオクテットであり、Ｃ（）はＣＡＶＥ(CellularAuthentication,Voice Privacy and Encryption)８ビットテーブルルックアップの結果である。以下で 説明する強化がない場合、ｔｂｏｘ関数は当業者に周知である。しかし、図２〜 図５に関して以下で説明する強化により、ｔｂｏｘ関数のセキュリティの程度が 大幅に増大する。 ＣＭＥＡは、連続する３つのステージからなり、各ステージは、データバッフ ァ内の各バイト列を変更する。ステップ１０６、１０８および１１０で、ＣＭＥ Ａプロセスの第１、第２および第３のステージが、以下で説明するようにそれぞ れ実行される。長さｄバイトのデータバッファ（各バイトをｂ（ｉ）で表す。ｉ は０≦ｉ＜ｄの範囲の整数である。）は３ステージで暗号化される。ＣＭＥＡの 第１ステージ（Ｉ）は以下の通りである。 １．変数ｚを０に初期化する。 ２．０≦ｉ＜ｄの範囲の連続する整数値ｉに対して、 はビットごとの排他的論理和演算子である。 ｂ．ｋ＝ＴＢＯＸ(ｑ)、によって変数ｋを形成する。 ｃ．ｂ（ｉ）＝ｂ（ｉ）＋ｋ ｍｏｄ ２５６、によりｂ（ｉ）を更新する 。 ｄ．ｚ＝ｂ（ｉ）＋ｚ ｍｏｄ ２５６、によりｚを更新する。 ＣＭＥＡの第２ステージ（ＩＩ）は次の通りである。 １．０≦ｉ＜（ｄ−１）／２の範囲のｉのすべての値に対して、ｂ（ｉ）＝ｂ 和演算子である。 ＣＭＥＡの最後すなわち第３のステージ（ＩＩＩ）は、第１ステージの逆であ る復号である。 １．変数ｚを０に初期化する。 ２．０≦ｉ＜ｄの範囲の連続する整数値ｉに対して、 ｂ．ｋ＝ＴＢＯＸ(ｑ)、によって変数ｋを形成する。 ｃ．ｚ＝ｂ（ｉ）＋ｚ ｍｏｄ ２５６。 ｄ．ｂ（ｉ）＝ｂ（ｉ）−ｋ ｍｏｄ ２５６、によりｂ（ｉ）を更新する 。 ステップ１１２で、最後の処理結果が出力される。 上記のＣＭＥＡプロセスは自己反転的である。すなわち、同じ順序で適用され る同じステップが、平文を暗号化するためおよび暗号文を復号するための両方に 使用される。従って、暗号化または復号のいずれが実行されているかを判定する 必要がない。残念ながら、上記のＣＭＥＡプロセスは、呼に対して用いられるＣ ＭＥＡ鍵の回復を可能にする攻撃を受ける可能性がある。 顧客情報に対する追加セキュリティを提供するために、本発明による暗号化方 式は、ｔｂｏｘ関数への入力を秘密オフセットによって置換することによりｔｂ ｏｘ関数の使用を改善する。ｔｂｏｘ関数の改善された使用法は、好ましくは、 強化ＣＭＥＡ（ＥＣＭＥＡ(enhanced CMEA)）プロセスの一部として使用される 。この場合、メッセージは２回のＣＭＥＡプロセスを受ける。 図２は、本発明の１つの特徴によるｔｂｏｘ関数の改善された使用を含む暗号 化プロセス２００を示す流れ図である。図２に示される暗号化プロセスにおいて 、 ｔｂｏｘ関数の各使用は、秘密オフセットを用いたｔｂｏｘ関数入力の置換を受 ける。ステップ２０２で、平文が暗号化プロセスに導入される。ステップ２０４ で、ｔｂｏｘを関数呼出しとしてではなく静的テーブルとして実装するシステム では、静的ｔｂｏｘテーブルが導出される。ステップ２０６で、秘密オフセット を生成する際に用いるための秘密値のセットＫ₁〜Ｋ₄が生成される。Ｋ_i（ｉは 奇数）は１５ビット値であり、Ｋ_i（ｉは偶数）は１６ビット値である。この秘 密値セットは、いくつかの当業者に周知の技術のうちのいずれによって生成する ことも可能である。すべての秘密値Ｋ₁〜Ｋ₄は、好ましくは、各無線電話呼ごと に生成され、また、その呼を通じて一定であることが好ましい。ステップ２０８ で、平文は、ＣＭＥＡ鍵を用いて、ＣＭＥＡ関数が１回適用される。ＣＭＥＡ関 数はｔｂｏｘ関数を含む。ただし、ｔｂｏｘ関数への入力は、前のメッセージの 暗号化されたテキストを用いて生成された秘密オフセットを用いて置換されてい る。各ｔｂｏｘ関数入力は、置換を受け、置換結果を生成する。ｔｂｏｘ関数 ２５６）の値である。ｔｂｏｘ入力の置換結果はｔｂｏｘ関数の適用を受ける。 すなわち、各ｔｂｏｘ入力ｘに対して、使用される関数はtbox（((ｘ ましくは、秘密の８ビット値である。新たな秘密オフセット値のセットは、好ま しくは、無線呼の各メッセージごとに作成される。 ｔｂｏｘ入力のｔｂｏｘ置換のための秘密オフセット値は、呼のｎ番目のメッ セージに対して以下の公式を用いて作成される。 offset1_n＝（((２Ｋ₁＋１)＊ＣＴ_n-1＋Ｋ₂）ｍｏｄ ６４Ｋ）＞＞８ offset2_n＝（((２Ｋ₃＋１)＊ＣＴ_n-1＋Ｋ₄）ｍｏｄ ６４Ｋ）＞＞８ ただし、Ｋ₁〜Ｋ₄は上で定義した通りである。ＣＴ_n-1の値は、（ｎ−１）番目 の暗号文メッセージの最初の２オクテットであり、ＣＴ₀は、好ましくは、呼の 最初のメッセージに対する秘密の１６ビット初期化値で置換される。この説明で は、ｍｏｄ ６４Ｋは、通常の計算機科学用語に従って、ｍｏｄ（６５，５３６ ）を意味すると理解すべきである。offset1_nおよびoffset2_nはそれぞれ８ビット 値である。ｔｂｏｘ入力の置換は実質的にｔｂｏｘエントリの位置を各メッ セージごとにシフトさせ、攻撃の困難性を大幅に増大させる。ステップ２１０で 、最終的な暗号文が生成される。 図３は、本発明のもう１つの特徴によるｔｂｏｘ関数の改善された使用を含む 暗号化プロセス３００を示す流れ図である。メッセージに対する追加セキュリテ ィを達成するためには、第１および第２の鍵を用いて、ＣＭＥＡ関数を２回使用 することが好ましい。ＣＭＥＡ関数の各実行は、本発明によるｔｂｏｘ関数の改 善された使用法を用いる。ＣＭＥＡ関数の各実行は、ｔｂｏｘ関数への入力の置 換のために相異なる秘密オフセットの対を用いる。 ステップ３０２で、平文が暗号化プロセスに導入される。ステップ３０４で、 ｔｂｏｘを関数呼出しとしてではなく静的テーブルとして実装するシステムでは 、静的ｔｂｏｘテーブルが導出される。ステップ３０６で、秘密オフセットを生 成する際に用いるための秘密値のセットＫ₁〜Ｋ₈が生成される。Ｋ_i（ｉは奇数 ）は１５ビット値であり、Ｋ_i（ｉは偶数）は１６ビット値である。この秘密値 セットは、いくつかの当業者に周知の技術のうちのいずれによって生成すること も可能である。すべての秘密値Ｋ₁〜Ｋ₈は、好ましくは、各無線電話呼ごとに生 成され、また、その呼を通じて一定であることが好ましい。ステップ３０８で、 平文は、第１のＣＭＥＡ鍵を用いて、修正されたＣＭＥＡプロセスの１回目が適 用される。１回目のＣＭＥＡプロセスで用いられるｔｂｏｘ関数の使用法は、第 １および第２の秘密オフセットによりｔｂｏｘ入力を置換することによって強化 される。各ｔｂｏｘ関数入力がまず置換されて置換結果を生成する。ｔｂｏｘ関 ２５６）の値である。置換結果はｔｂｏｘ関数の適用を受ける。すなわち、各ｔ ｏｄ ２５６）である。 ステップ３１０で、１回目が完了し、中間暗号文が生成される。ステップ３１ ２で、中間暗号文は、第２のＣＭＥＡ鍵を用いて、修正されたＣＭＥＡプロセス の２回目が適用される。２回目のプロセスで用いられるｔｂｏｘ関数の使用法は 、第３および第４の秘密オフセットによりｔｂｏｘ入力を置換することによって 強化される。各ｔｂｏｘ関数入力がまず置換されて置換結果を生成する。ｔｂｏ ｘ ｄ ２５６）の値である。置換結果はｔｂｏｘ関数の適用を受ける。すなわち、 offset4)ｍｏｄ ２５６）である。ステップ３１４で、２回目が完了し、最終暗 号文が生成される。offset１、offset2、offset3、およびoffset4は、好ましく は、それぞれ８ビット値である。新たな秘密オフセット値のセットは、好ましく は、無線呼の各メッセージごとに作成される。 ｔｂｏｘ置換のための４個の秘密オフセット値は、呼のｎ番目のメッセージに 対して以下の公式を用いて作成される。 offset1_n＝（((２Ｋ₁＋１)＊ＣＴ_n-1＋Ｋ₂）ｍｏｄ ６４Ｋ）＞＞８ offset2_n＝（((２Ｋ₃＋１)＊ＣＴ_n-1＋Ｋ₄）ｍｏｄ ６４Ｋ）＞＞８ offset3_n＝（((２Ｋ₅＋１)＊ＣＴ_n-1＋Ｋ₆）ｍｏｄ ６４Ｋ）＞＞８ offset4_n＝（((２Ｋ₇＋１)＊ＣＴ_n-1＋Ｋ₈）ｍｏｄ ６４Ｋ）＞＞８ ただし、Ｋ₁〜Ｋ₈は上で定義した通りである。ＣＴ_n-1の値は、（ｎ−１）番目 の暗号文メッセージの最初の２オクテットであり、ＣＴ₀は、好ましくは、呼の 最初のメッセージに対する秘密の１６ビット初期化値で置換される。上記の説明 でも、ｍｏｄ ６４Ｋは、通常の計算機科学用語に従って、ｍｏｄ（６５，５３ ６）を意味すると理解すべきである。１回目のＣＭＥＡ関数の適用に第１および 第２のオフセット値を使用し、２回目のＣＭＥＡ関数の適用に第３および第４の オフセットを使用することにより、ｔｂｏｘエントリの位置は単に各メッセージ ごとにだけでなく、単一のメッセージの暗号化の各実行ごとにシフトする。ステ ップ３１４で、最終暗号文が生成される。 本発明によるｔｂｏｘ関数の改善された使用法は、ＣＭＥＡプロセスの任意の アプリケーションで用いることが可能であるが、図３の説明に関連して記述した 強化ＣＭＥＡプロセスは、さらにセキュリティを追加し、好ましい。図３に示さ れる暗号化方式は、２つの鍵の連続適用を要求するため、自己反転的ではない。 すなわち、同じ順序で適用される同じ作用は、平文の暗号化でも暗号文の復号で もない。従って、以下で説明するように、別個の復号プロセスが必要である。 図４は、本発明のもう１つの特徴による復号プロセス４００を説明する流れ図 である。本質的に、図４に示されるステップは、逆順であることを除いて、図３ と同様である。ステップ４０２で、暗号文が復号プロセスに導入される。ステッ プ４０４で、暗号文は、図３の説明に関して上記で述べたように、ｔｂｏｘ関数 への入力がoffset3およびoffset4によって置換された１回目のＣＭＥＡプロセス の適用を受ける。この１回目の実行に用いられる鍵は第２のＣＭＥＡ鍵である。 ステップ４０６で、中間暗号文が生成される。次に、ステップ４０８で、中間暗 号文は、図３の説明に関して上記で述べたように、ｔｂｏｘ関数への入力がoffs et1およびoffset2によって置換された２回目のＣＭＥＡプロセスの適用を受ける 。この２回目の実行に用いられる鍵は第１のＣＭＥＡ鍵である。最後に、ステッ プ４１０で、平文が出力される。第１から第４までのオフセットは、図３に関し て上記で説明した通りである。 図５は、メッセージが暗号化または復号を必要とするかどうかを認識するため の設備、および、適当な暗号化または復号を実行する設備を備えた、本発明によ るメッセージ伝送および暗号化／復号を実行するための無線電話機５００を示す 図である。電話機５００は、トランシーバ５０２、入出力（Ｉ／Ｏ）インタフェ ース５０４、暗号化／復号プロセッサ５０６、および鍵ジェネレータ５０８を有 する。鍵ジェネレータ５０８は、鍵生成のために記憶されている秘密データを受 け取り使用する。記憶されている秘密データは、好ましくは、ＥＥＰＲＯＭやフ ラッシュメモリのような不揮発性メモリ５１０に記憶される。鍵ジェネレータは また、オフセットを生成するために用いられる秘密値Ｋ₁〜Ｋ₈も生成する。Ｋ_i （ｉは奇数）は１５ビット値であり、Ｋ_i（ｉは偶数）は１６ビット値である。 鍵ジェネレータは、いくつかの当業者に周知の技術のうちのいずれを用いて秘密 値Ｋ₁〜Ｋ₈を生成するように設計されることも可能である。秘密値のセットＫ₁ 〜Ｋ₈は、好ましくは、各無線電話呼ごとに生成され、その値Ｋ₁〜Ｋ₈は、その 呼を通じて一定であることが好ましい。鍵ジェネレータ５０８は、生成された鍵 および秘密値Ｋ₁〜Ｋ₈をメモリ５１２に格納する。暗号化／復号プロセッサはま た、鍵ジェネレータ５０８から受け取った鍵、オフセットの生成に用いる初期化 値、オフセットを生成するために用いられる暗号文メッセージオクテット、およ び、ｔｂｏｘ関数を静的テーブルとして実装したい場合に生成され用いられる 静的ｔｂｏｘテーブルを記憶するためのメモリ５１４を有する。電話機５００は また、メッセージジェネレータ５１６を有する。メッセージジェネレータ５１６ は、暗号化／復号プロセッサ５０６によって暗号化されトランシーバ５０２によ って送信されるメッセージを生成する。 内部で生成されたメッセージが電話機５００によって暗号化され送信される場 合、メッセージは、メッセージジェネレータ５１６からＩ／Ｏインタフェース５ ０４へ送られる。Ｉ／Ｏインタフェース５０４は、そのメッセージを、暗号化さ れるべき内部生成メッセージとして識別し、その識別とともに、暗号化／復号プ ロセッサ５０６へ送る。暗号化／復号プロセッサ５０６は、鍵ジェネレータ５０ ８から１つ以上の鍵を受け取り、それを用いてメッセージを暗号化する。好まし くは、暗号化／復号プロセッサ５０６は、鍵ジェネレータ５０８から２個の鍵を 受け取り、それを用いて、図２および図３に関して上記で説明したようなｔｂｏ ｘ関数の改善された使用法を用いて２回のＣＭＥＡ暗号化を実行する。 暗号化／復号プロセッサ５０６がメッセージジェネレータ５１６から平文メッ セージを受け取ると、メッセージは、鍵ジェネレータ５０８から受け取った第１ ＣＭＥＡ鍵を用いた修正ＣＭＥＡプロセスの１回目の適用を受ける。１回目のプ ロセスにおけるｔｂｏｘ関数への入力は置換を受ける。使用される関数はtbox中間暗号文が生成されメモリ５１４に格納される。次に、中間暗号文は、第２Ｃ ＭＥＡ鍵を用いた修正ＣＭＥＡプロセスの２回目の適用を受ける。２回目のプロ セスにおけるｔｂｏｘ関数への入力は、同様の置換を受ける。すなわち、使用さ offset1、offset2、offset3、およびoffset4は、好ましくは、それぞれ８ビット 値である。オフセット値のセットは、好ましくは、無線呼の各メッセージごとに 作成される。 ｔｂｏｘ置換のための４個の秘密オフセット値は、呼のｎ番目のメッセージに 対して以下の公式を用いて作成される。 offset1_n＝（((２Ｋ₁＋１)＊ＣＴ_n-1＋Ｋ₂）ｍｏｄ ６４Ｋ）＞＞８ offset2_n＝（((２Ｋ₃＋１)＊ＣＴ_n-1＋Ｋ₄）ｍｏｄ ６４Ｋ）＞＞８ offset3_n＝（((２Ｋ₅＋１)＊ＣＴ_n-1＋Ｋ₆）ｍｏｄ ６４Ｋ）＞＞８ offset4_n＝（((２Ｋ₇＋１)＊ＣＴ_n-1＋Ｋ₈）ｍｏｄ ６４Ｋ）＞＞８ ただし、Ｋ_i（ｉは奇数）は１５ビットの秘密値であり、Ｋ_i（ｉは偶数）は１６ ビットの秘密値であり、すべてこの呼に対して一定である。ＣＴ_n-1の値は、 （ｎ−１）番目の暗号文メッセージの最初の２オクテットであり、ＣＴ₀は、好 ましくは、呼の最初のメッセージに対する秘密の１６ビット初期化値で置換され る。上記の説明でも、ｍｏｄ ６４Ｋは、通常の計算機科学用語に従って、ｍｏ ｄ（６５，５３６）を意味すると理解すべきである。１回目のＣＭＥＡ関数の適 用に第１および第２のオフセット値を使用し、２回目のＣＭＥＡ関数の適用に第 ３および第４のオフセットを使用することにより、ｔｂｏｘエントリの位置は単 に各メッセージごとにだけでなく、単一のメッセージの暗号化の各実行ごとにシ フトする。 ２回目が完了すると、最終暗号文が生成されてメモリ５１４に格納され、また 、送信のためにＩ／Ｏインタフェース５０４へ、および、トランシーバ５０２へ 転送される。 暗号化されたメッセージが復号のために電話機５００によって受信されると、 トランシーバ５０２はそれをＩ／Ｏインタフェース５０４に送る。Ｉ／Ｏインタ フェースはそのメッジセージを暗号化されたメッセージとして識別し、その識別 を、メッセージととともに、暗号化／復号プロセッサ５０６へ送る。暗号化／復 号プロセッサ５０６は、鍵ジェネレータ５０８から１つ以上の鍵を受け取り、好 ましくは図４に関して上記で説明したような２回のＣＭＥＡ復号プロセスを用い て、メッセージを復号する。暗号化／復号プロセッサ５０６がＩ／Ｏインタフェ ース５０４から暗号文を受け取ると、暗号文は、修正ＣＭＥＡプロセスの１回目 の適用を受ける。ｔｂｏｘ関数への入力は、offset3およびoffset4を用いた置換 を受ける。この１回目に用いられる鍵は第２ＣＭＥＡ鍵である。中間暗号文が生 成されメモリ５１４に格納される。次に、中間暗号文は修正ＣＭＥＡプロセスの ２回目の適用を受ける。ｔｂｏｘ関数への入力は、offset1およびoffset2を用い た置換を受ける。この２回目に用いられる鍵は第１ＣＭＥＡ鍵である。最後に、 暗号化／復号プロセッサ５０６は平文を出力し、平文メッセージをＩ／Ｏインタ フェース５０４へ送る。Ｉ／Ｏインタフェース５０４はそれを最終的な使用のた めに転送する。 速度要求およびメモリ制約に応じて、電話機は、ｔｂｏｘを、関数として、あ るいは、静的テーブルとして実装するように設計されることが可能である。静的 テーブルとしてのｔｂｏｘの実装によりメモリの増大が必要となるが速度も増大 する。また、電話機５００を、ｔｂｏｘ関数への入力がoffset1およびoffset2を 用いた置換を受ける１個のｔｂｏｘ関数を使用する１回だけのＣＭＥＡプロセス を実装するように設計することも可能である。 ＣＭＥＡプロセスの上記の強化は、大幅にセキュリティを向上させるが、処理 あるいはシステムの資源をあまり増大させないため、無線電話システムのような 環境での使用に適している。このようなシステムにおける移動機は、処理電力が 制限されることが多い。 本発明について、現在好ましい環境に関して説明したが、当業者には認識され るように、上記の説明および請求の範囲に従って、さまざまな実装が使用可能で ある。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ヒーア，ダニエル ネルソン アメリカ合衆国 03858 ニューハンプシ ャー，ニュートン，ソーネル ロード 29 (72)発明者 マクネリス，ロバート ジョン アメリカ合衆国 21046 メリーランド, コロンビア，クワントレル ロー 10075 (72)発明者 ミジコフスキー，セミヨン ビー. アメリカ合衆国 07751 ニュージャージ ー，モーガニヴィル，イエローナイフ ロ ード 227 (72)発明者 ランス，ロバート ジョン アメリカ合衆国 01810 マサチューセッ ツ，アンドーヴァー，ウィンターグリーン サークル (72)発明者 シップ，アール．デール アメリカ合衆国 21044 メリーランド, コロンビア，ヘスペルス ドライヴ 5351

Claims (1)

1. 【特許請求の範囲】 １．無線電話システムで用いられるＣＭＥＡ暗号化方式で使用するための、呼 の各メッセージに対する強化されたｔｂｏｘ処理の方法において、 第１および第２オフセットをそれぞれ生成するオフセット生成ステップと、 ｔｂｏｘ関数への各入力に第１および第２オフセットを用いた置換を適用して 置換結果を生成するステップと、 置換結果に対してｔｂｏｘ関数を実行するステップとからなることを特徴とす るｔｂｏｘ処理方法。 ２．前記オフセット生成ステップは、各呼ごとに複数の秘密値を生成すること を含むことを特徴とする請求項１に記載の方法。 ３．前記オフセット生成ステップは、各オフセットに対して、前記複数の秘密 値のうちのいくつかを、前に暗号化されたメッセージオクテットの対と組み合わ せることを含み、呼の最初のメッセージに対しては、該対は初期化値で置換され ることを特徴とする請求項２に記載の方法。 ４．前記秘密値は各オフセットに対して１５ビット値および１６ビット値であ ることを特徴とする請求項３に記載の方法。 ５．前記初期化値は１６ビット値であることを特徴とする請求項４に記載の方 法。 ６．呼のｎ番目のメッセージに対する第１オフセットは式offset1_n＝（((２Ｋ₁ ＋１)＊ＣＴ_n-1＋Ｋ₂)ｍｏｄ ６４Ｋ）＞＞８で表され、ｉが奇数の場合にＫ_i は１５ビット値であり、ｉが偶数の場合にＫ_iは１６ビット値であり、Ｋ_iは呼ご とにすべて一定であり、ＣＴ_n-1は（ｎ−１）番目の暗号文メッセージの最初の ２オクテットであり、呼のｎ番目のメッセージに対する第２オフセットは式offs et2_n＝（((２Ｋ₃＋１)＊ＣＴ_n-1＋Ｋ₄)ｍｏｄ ６４Ｋ）＞＞８で表され、ｉが 奇数の場合にＫ_iは１５ビット値であり、ｉが偶数の場合にＫ_iは１６ビット値で あり、Ｋ_iは呼ごとにすべて一定であり、ＣＴ_n-1は（ｎ−１）番目の暗号文メッ セージの最初の２オクテットであり、ｍｏｄ ６４Ｋはｍｏｄ ６５，５３６で あることを特徴とする請求項５に記載の方法。 ７．無線電話システムで用いられる２回ＣＭＥＡ暗号化方式の各回で使用する ための、呼の各メッセージに対する強化されたｔｂｏｘ処理の方法において、 ＣＭＥＡプロセスの１回目に対する第１および第２オフセットをそれぞれ生成 する第１オフセット生成ステップと、 ＣＭＥＡプロセスの２回目に対する第３および第４オフセットをそれぞれ生成 する第２オフセット生成ステップと、 ＣＭＥＡプロセスの１回目において、第１および第２オフセットを用いてメッ セージの各オクテットに対して置換を実行して第１置換結果を生成し、該第１置 換結果に対してｔｂｏｘ関数を実行するステップと、 ＣＭＥＡプロセスの２回目において、第３および第４オフセットを用いてメッ セージの各オクテットに対して置換を実行して第２置換結果を生成し、該第２置 換結果に対してｔｂｏｘ関数を実行するステップとからなることを特徴とするｔ ｂｏｘ処理方法。 ８．前記オフセット生成ステップは、各呼ごとに複数の秘密値を生成すること を含むことを特徴とする請求項７に記載の方法。 ９．前記オフセット生成ステップは、各オフセットに対して、前記複数の秘密 値のうちのいくつかを、前に暗号化されたメッセージオクテットの対と組み合わ せることを含み、呼の最初のメッセージに対しては、該対は初期化値で置換され ることを特徴とする請求項８に記載の方法。 １０．前記秘密値は各オフセットに対して１５ビット値および１６ビット値で あることを特徴とする請求項９に記載の方法。 １１．前記初期化値は１６ビット値であることを特徴とする請求項１０に記載 の方法。 １２．呼のｎ番目のメッセージに対する第１オフセットは式offset1_n＝（((２ Ｋ₁＋１)＊ＣＴ_n-1＋Ｋ₂)ｍｏｄ ６４Ｋ）＞＞８で表され、ｉが奇数の場合に Ｋ_iは１５ビット値であり、ｉが偶数の場合にＫ_iは１６ビット値であり、Ｋ_iは 呼ごとにすべて一定であり、ＣＴ_n-1は（ｎ−１）番目の暗号文メッセージの最 初の２オクテットであり、呼のｎ番目のメッセージに対する第２オフセットは式 offset2_n＝（((２Ｋ₃＋１)＊ＣＴ_n-1＋Ｋ₄)ｍｏｄ ６４Ｋ）＞＞ ８で表され、ｉが奇数の場合にＫ_iは１５ビット値であり、ｉが偶数の場合にＫ_i は１６ビット値であり、Ｋ_iは呼ごとにすべて一定であり、ＣＴ_n-1は（ｎ−１） 番目の暗号文メッセージの最初の２オクテットであり、呼のｎ番目のメッセージ に対する第３オフセットは式offset3_n＝（((２Ｋ₅＋１)＊ＣＴ_n-1＋Ｋ₆)ｍｏｄ ６４Ｋ）＞＞８で表され、ｉが奇数の場合にＫ_iは１５ビット値であり、ｉが 偶数の場合にＫ_iは１６ビット値であり、Ｋ_iは呼ごとにすべて一定であり、ＣＴ_n-1 は（ｎ−１）番目の暗号文メッセージの最初の２オクテットであり、呼のｎ 番目のメッセージに対する第４オフセットは式offset4_n＝（((２Ｋ₇＋１)＊ＣＴ_n-1 ＋Ｋ₈)ｍｏｄ ６４Ｋ）＞＞８で表され、ｉが奇数の場合にＫ_iは１５ビット 値であり、ｉが偶数の場合にＫ_iは１６ビット値であり、Ｋ_iは呼ごとにすべて一 定であり、ＣＴ_n-1は（ｎ−１）番目の暗号文メッセージの最初の２オクテット であり、ｍｏｄ ６４Ｋはｍｏｄ ６５，５３６であることを特徴とする請求項 １１に記載の方法。 １３．無線電話システムで用いられる２回ＣＭＥＡ復号方式の各回で使用する ための、呼の各メッセージに対する強化されたｔｂｏｘ処理の方法において、 第１、第２、第３および第４オフセットを生成するステップと、 ＣＭＥＡプロセスの１回目において、第３および第４オフセットを用いてメッ セージの各オクテットに対して置換を実行して第１置換結果を生成し、該第１置 換結果に対してｔｂｏｘ関数を実行するステップと、 ＣＭＥＡプロセスの２回目において、第１および第２オフセットを用いてメッ セージの各オクテットに対して置換を実行して第２置換結果を生成し、該第２置 換結果に対してｔｂｏｘ関数を実行するステップとからなることを特徴とするｔ ｂｏｘ処理方法。 １４．メッセージを安全に送信するための無線電話機において、 トランシーバと、 入出力インタフェースと、 呼接続中に用いられる１つ以上の鍵を生成する鍵ジェネレータと、 前記入出力インタフェースから、暗号化または復号されるべきメッセージを、 該メッセージの識別とともに、暗号化されるべき平文として、または、復号され るべき暗号文として受け取り、１個以上の秘密オフセットによって置換されたｔ ｂｏｘ関数を含むＣＭＥＡプロセスを用いて該メッセージを暗号化または復号し 、暗号化または復号されたメッセージをさらに転送するために前記入出力インタ フェースへ返す暗号化／復号プロセッサとからなることを特徴とする無線電話機 。 １５．前記暗号化／復号プロセッサは、 第１ＣＭＥＡ鍵および第２ＣＭＥＡ鍵を受け取るステップと、 第１、第２、第３および第４オフセットを生成するステップと、 第１ＣＭＥＡ鍵を用いてＣＭＥＡプロセスの１回目を平文メッセージに適用す るステップと、 中間暗号文メッセージを生成し記憶するステップと、 第２ＣＭＥＡ鍵を用いてＣＭＥＡプロセスの２回目を前記中間暗号文メッセー ジに適用するステップと、 最終暗号文メッセージを生成するステップとによって平文メッセージを暗号化 し、 前記ＣＭＥＡプロセスの１回目は、強化されたｔｂｏｘ関数を含み、該強化さ れたｔｂｏｘ関数は、第１および第２オフセットによってｔｂｏｘアドレスを置 換して置換結果を生成し、該置換結果に対してｔｂｏｘ関数を実行し、 前記ＣＭＥＡプロセスの２回目は、強化されたｔｂｏｘ関数を含み、該強化さ れたｔｂｏｘ関数は、第３および第４オフセットによってｔｂｏｘアドレスを置 換して置換結果を生成し、該置換結果に対してｔｂｏｘ関数を実行することを特 徴とする請求項１４に記載の無線電話機。 １６．前記暗号化／復号プロセッサは、 第２ＣＭＥＡ鍵を用いてＣＭＥＡプロセスの１回目を暗号文メッセージに適用 して中間暗号文メッセージを生成するステップと、 第１ＣＭＥＡ鍵を用いてＣＭＥＡプロセスの２回目を前記中間暗号文メッセー ジに適用して最終平文メッセージを生成するステップとによって暗号文メッセー ジを復号し、 前記ＣＭＥＡプロセスの１回目は、強化されたｔｂｏｘ関数を含み、該強化さ れたｔｂｏｘ関数は、第３および第４オフセットによってｔｂｏｘアドレスを置 換して置換結果を生成し、該置換結果に対してｔｂｏｘ関数を実行し、 前記ＣＭＥＡプロセスの２回目は、強化されたｔｂｏｘ関数を含み、該強化さ れたｔｂｏｘ関数は、第１および第２オフセットによってｔｂｏｘアドレスを置 換して置換結果を生成し、該置換結果に対してｔｂｏｘ関数を実行することを特 徴とする請求項１４に記載の無線電話機。