JP2001034162A - 暗号アルゴリズムの強度評価に用いるデータ変化探索装置及び方法、この方法を記録した記録媒体 - Google Patents

Abstract

(57)【要約】 （修正有） 【課題】 小さなメモリで実現できる繰り返し構造をも
つブロック暗号に対して差分を用いて暗号の強度評価を
行なう差分パス探索法。 【解決手段】 平文をブロックごとに第１、第２入力と
して２部し、その第１入力をｆ関数処理部で処理し、そ
の処理結果と第２入力との排他的論理和をとって、次段
の第１入力とし、第１入力を次段の第２入力として繰り
返し処理を行う暗号装置に対し、入力・出力差分をそれ
ぞれｔビット（但し、ｔは２以上の整数）単位として、
変化の有無で強度を評価する暗号強度評価装置で、ｆ関
数処理部の入力差分と出力差分の発生確率を全て記憶し
た記憶手段と、排他的論理和の出力の発生確率を計算す
る手段と、各段ごとに、ｆ関数処理部の入力差分と出力
差分の発生確率と排他的論理和の出力の発生確率と前段
の出力差分の発生確率との積によりその段の出力差分発
生確率を求める手段とを備え、メモリを小さくする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、暗号装置などへ
入力するデータを変化させることによって出力されるデ
ータにどのような変化が生じるかという入力差分と出力
差分の関係を導出することにより、この装置または組み
込まれている暗号アルゴリズム等の差分解読法に対する
強度を評価する手段を備えた暗号アルゴリズムの強度評
価に用いるデータ変化探索装置及び方法、この方法を記
録した記録媒体に関するものである。

【０００２】

【従来の技術】データを秘匿するために暗号化の技術が
重要な役目を担っている。暗号化の方法には共通鍵暗号
方式と公開鍵暗号方式とがある。共通鍵暗号方式におけ
る暗号化処理とは暗号化する対象となるデータ（入力デ
ータ、すなわち、平文）と秘密データ（共通鍵）とから
暗号文と呼ばれるデータを出力するものである。この発
明において用いる解読とは、鍵を知らない第三者が平文
と暗号文のデータのみから鍵を推定導出することを示
す。

【０００３】共通鍵暗号方式の代表的な解読法の中に差
分解読法が文献１〔Ｅ．Ｂｉｈａｍ，Ａ．Ｓｈａｍｉｒ
「Ｄｉｆｆｅｒｅｎｔｉａｌ Ｃｒｙｐｔａｎａｌｙ
ｓｉｓ ｏｆ ＤＥＳ−ｌｉｋｅ ｃｒｙｐｔｏｓｙｓ
ｔｅｍｅｓ」 Ｊｏｕｒｎａｒｌ ｏｆ Ｃｒｙｐｔｏ
ｌｏｇｙ，Ｖｏｌ．４，ｎｏ．１，ｐｐ３−７２，Ｓｐ
ｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９１〕に示されてい
る。

【０００４】この解読法は入力するデータを変化させる
ことによって出力されるデータがどのように変化するか
という入力差分と出力差分の関係を利用して鍵情報を導
出するとともに、高い確率である入力差分からある出力
差分が生じる入出力差分の関係が存在すれば、差分解読
法により解読されることが分かり、このような関係がな
いことが差分解読法に対して高い強度を有する条件であ
る。

【０００５】上記文献１における差分とは、入出力デー
タのビット単位での変化の有無に着目していたが、その
後、この差分の概念を拡張した拡張差分が文献２〔Ｌ．
Ｒ．Ｋｎｕｄｓｅｎ：「Ｔｒｕｎｃａｔｅｄ ａｎｄ
Ｈｉｇｈｅｒ ＯｒｄｅｒＤｉｆｆｅｒｅｎｔｉａｌ
ｓ，Ｆａｓｔ Ｓｏｆｔｗａｒｅ Ｅｎｃｒｙｐｔｉｏ
ｎ−Ｓｅｃｏｎｄ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏ
ｒｋｓｈｏｐ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃ
ｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ １００８，ｐｐ．１
９６−２１１，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９
９５」〕で提案された。上記文献２における拡張差分と
はｔ ｂｉｔを１単位と決めた場合の入出力差分につい
て、その１単位ごとの変化の有無に着目した概念であ
る。このｔは解読者が任意に決定することができる。拡
張差分の例を図１に示す。図１において、４ｂｉｔの差
分のデータ列｛００００ ０１０１ ００１１ ０００
０｝とすると、拡張差分のデータ列は、差分のデータ４
ｂｉｔに対して１ｂｉｔを対応させ、差分のデータに１
が含まれる場合を拡張差分のデータを１とし、差分のデ
ータに１が含まれない場合は拡張差分のデータを０とし
たものである。

【０００６】差分は、通常、排他的論理和で定義される
ことが多いがこの発明ではこれに限らない。また、以後
差分は拡張差分を含むものとする。上記文献２で提案さ
れた拡張差分の概念を用いると解読の可能性が広がるこ
となどが記載されており、共通鍵暗号の設計時において
拡張差分を用いた解読法に対する強度についても評価す
る必要が出てきた。

【０００７】差分解読を行うために、入出力差分につい
て、ある入力差分からある出力差分へと変換される過程
とその発生確率を求めることは大変重要であり、この探
索を差分パス探索と呼ぶ。この差分パス探索を行うの
に、グラフ理論の分野で研究がなされている最短経路探
索方法の技術を利用した探索方法が文献３｛Ｓ．Ｖａｕ
ｄｅｎａｙ，「Ｏｎｔｈｅ Ｓｅｃｕｒｉｔｙ ｏｆ
ＣＳ−Ｃｉｐｈｅｒｅ，」ｉｎ Ｐｒｅ−ｐｒｏｃｅｅ
ｄｉｎｇｓ ｏｆ ＦＳＥ９９，ｐｐ２５９−２７４，
１９９９」｝に記載されている。上記文献３では、暗号
アルゴリズムＣＳ−Ｃｉｐｈｅｒに対して８ビットを１
単位と見なした場合の差分パス探索を行っている。

【０００８】グラフ理論における最短経路探索方法と
は、頂点の集合Ｖと弧の集合Ａとから構成される有向グ
ラフにおいて全ての頂点から全ての頂点への最短経路を
求める方法である。有向グラフにおける弧とは、２つの
頂点ｖ、ｗの順序ついて（ｖ、ｗ）であり、ｖ→ｗで表
現する。また、有向グラフの頂点や弧に何らかの情報が
ついたグラフはラベル付き有向グラフと呼ばれる。

【０００９】このグラフ理論における最短経路探索方法
を利用した従来の差分パス探索方法を述べる。図３に示
すようなラウンド関数ＦをＲ段繰り返すブロック暗号を
対象とする。ブロック暗号とは、暗号化対象のデータを
適当な長さのブロックに分割し、そのブロック単位で暗
号化を行う方法である。通常、ブロック暗号は暗号学的
にあまり強くない関数を複数回繰り返し適用することに
より安全性を高めている。この繰り返し回数を段数、一
回ごとに用いる関数をラウンド関数と呼ぶ。

【００１０】グラフ理論における最短経路探索方法を適
用するために以下のような対応付けを行なう。ｒ段目の
ラウンド関数Ｆの入力差分の集合をＶｒとする。ｒ段目
の入力差分ｖ_r ∈Ｖ_r とｒ＋１段目における入力差分ｖ
_r+1∈Ｖ_r+1 をそれぞれグラフの頂点と見なし、弧ｖ_r
→ｖ_r+1 をラウンド関数Ｆの差分とする。また、その発
生確率ｐ（ｖ_r ，ｖ_r+1 ）を弧ｖ_r →ｖ_r+1 のラベルと
する。これを頂点ｖ_rから頂点ｖ_r+1 へのコストとして
Ｃ＝｛Ｃ_ij｝、Ｃ_ij＝ｐ（ｖ_r ⁽ⁱ⁾ ，ｖ_r+1 ^{(j )} ）をコ
スト行列とする。差分解読法における差分について、１
単位と見なすｂｉｔ数をｔとし、サブブロックｎ＝（ブ
ロック長／ｔ）とすると、コスト行列の大きさは２ⁿ ×
２ⁿ となる。どの段も同じラウンド関数を用いていれば
どの段についても同じコスト行列を利用できる。

【００１１】入力差分を表す頂点ｖ₁ から出力差分を表
すｖ_R+1 への経路を構成する弧のコストの積を経路の長
さとした時の最短経路問題を解くことで、最大差分確率
を持つ差分パス探索を行なうことができる。グラフ理論
における最短経路探索方法として、Ｄｉｊｋｓｔｒａ法
やＷａｒｓｈａｌｌ−Ｆｌｏｙｄ法が知られており、参
考文献３記載の差分パス探索法においてはＷａｒｓｈａ
ｌｌ−Ｆｌｏｙｄ法が利用されている。

【００１２】

【発明が解決しようとする課題】差分パス探索に用いる
コスト行列はサブブロックｎによってその大きさが決ま
るため、サブブロックｎが小さい場合はコスト行列を小
さくすることができ、比較的容易な探索を行なえるが、
サブブロックｎが大きな場合に探索を行なうためには、
より大きなコスト行列が必要となり、大容量のメモリを
保持する計算機でなければ適用することが困難となる。

【００１３】この発明は繰り返し構造を持つブロック暗
号に対して差分を用いて暗号の強度評価を行なうために
用いられる差分パス探索方法にグラフ理論における最短
経路探索方法の技術を取り入れた探索方法で、より小さ
なコスト行列を活用する方法を示す。したがって、探索
に用いるコスト行列が小さなメモリで実現でき、メモリ
の乏しい環境下でもグラフ理論を用いた探索方法を実現
できる。

【００１４】

【発明の実施の形態】この発明は、Ｆｅｉｓｔｅｌ構造
を持つブロック暗号、特に、一般のＦｅｉｓｔｅｌ構造
を持つブロック暗号に対して有効な方法である。一般の
Ｆｅｉｓｔｅｌ暗号とは、図４に示されているようなＦ
ｅｉｓｔｅｌ暗号を一般化したもので、Ｆｅｉｓｔｅｌ
暗号でブロックを２等分割してデータの撹拌を行なうと
ころを図９に示すようにｕ等分割して処理を行なう暗号
を総称して一般化されたＦｅｉｓｔｅｌ暗号と呼ぶ。な
お、図９に示されたものはある入力差分（例えば、
ｘ_r1）のｆ関数の出力（例えば、ｙ_r1）と他の入力差分
（例えば、ｘ_(r-1)1）との排他的論理和をとり、上記ｆ
関数とは異なるｆ関数の入力差分（例えば、ｘ_r2）とし
ているが、複数のｆ関数の出力差分（例えば、ｙ_r1、ｙ
_r2、・・・）と上記複数のｆ関数の入力差分（例えば、
ｘ_r1、ｘ_r2、・・・）とは異なる入力差分（例えば、ｘ
_(r-1)(u-1)）との排他的論理和をとり上記複数のｆ関数
とは異なるｆ関数の入力差分としてもよい。

【００１５】注目する差分を図３に示す従来の方法のよ
うに、ｒ段目とｒ−１段目のラウンド関数Ｆの入力差分
ｖ_r 、ｖ_r-1 とする代わりに、図４に示すようなｒ段目
とｒ＋１段目のラウンド関数内のｆ関数への入力差分ｘ
_r 、ｘ_r+1 に注目する。Ｗａｒｓｈａｌｌ−Ｆｌｏｙｄ
のアルゴリズムを用いてｔｒｕｎｃａｔｅｄｄｉｆｆｅ
ｒｅｎｔｉａｉ探索を行う場合、探索に２ⁿ ×２ⁿ の行
列を利用するため、ｎが大きくなると、探索が困難とな
る。そこで、Ｆｅｉｓｔｅｌ構造を持つ暗号に対して、
２^n/2 ×２^n/2 の小さな行列を利用する探索方法を検討
した。２ⁿ ×２ⁿ の大きさの行列を用いて探索を行う方
法を探索方法Ａとし、２^n/2×２^n/2 の大きさの行列を
用いて探索を行う方法を探索方法Ｂとする。

【００１６】探索方法Ａにおけるコスト行列はどの段も
同一のものとなり、その要素はすべて定数で表現する事
ができる。しかし、探索方法Ｂにおけるｘ_r からｘ_r+1
への経路は、一つの弧で構成されているわけではない。
Ｆ関数の出力差分値をｙ_r （ｙ_r ∈Ｙ_r ただし、Ｙ
_r は、ラウンド関数内のＦ関数の出力差分値の集合）と
した場合、ｘ_r+1 はｙ_r ∈Ｙ_r とｘ_r-1 ∈Ｘ_r-1 を用い
て計算される。探索方法Ｂで用いる行列を以下のように
定義する。定義３ ｒ段ｔｒｕｎｃａｔｅｄ ｄｉｆｆ
ｅｒｅｎｔｉａｌの確率を配列Ｃ^{(r )} で示し、１段目の
入力差分値が（ｘ_{0 ,} ｘ₁ ）の時にｒ段目の出力差分値
が（ｘ_r+1 ，ｘ_r ）となる最大差分確率をＣ^(r) ［ｘ
_{r ,} ｘ_r+1 ］で表す。これを最短経路行列とする。

【００１７】最短経路行列の要素は全て段数ｒによって
変化するため、暗号アルゴリズムの段数ｒに依存した変
数として表現できる。具体的に、最短経路行列の要素の
求め方を示す。ｘ_r からｘ_r+1 への経路は、弧ｘ_r →ｙ
_r と弧（ｘ_r-1 ，ｙ_r ）→ｘ _r+1 とで構成されている。
それぞれの弧の生じる確率を求める。まず、弧ｘ_r →ｙ
_r の生じる確率を求める。ｒ段目のＦ関数への入力差分
値から出力差分値の生じる確率は、段に依存せずどの段
も等しい。Ｆ関数の入力差分値ｘから出力差分値ｙへの
コストについて以下のように定義する。定義４ Ｆ関数
の入力差分値から出力差分値へのコストを２次元配列Ｃ
Ｆで示し、Ｆ関数の入力差分値ｘから出力差分値ｙの生
じる確率をＣＦ［ｘ，ｙ］＝ｐ（ｘ，ｙ）で表す。これ
をコスト行列とする。

【００１８】次に弧（ｘ_r-1,ｙ_r ）→ｘ_r+1 の生じる確
率を求める。ｙ_r とｘ_r-1 からｘ_{r+ 1} を求める場合に同
じ位置のサブブロックの差分値が“１”であったとして
も、そのサブブロックをｂｉｔ単位で見た場合にも差分
値が同一になる場合と、異なる場合とがあり、それぞれ
の事象が生じる確率は異なることを考慮しなくてはなら
ない。サブブロックをｂｉｔ単位で見た場合にも差分値
が同一になる場合ｘ_{r+ 1} のそのサブブロックにおける差
分は０となる。これを差分の打ち消しあいと呼ぶ。この
打ち消しあいの起こる確率は、２^-D［但し、Ｄ＝ｔ×
（（Ｈｗ（ｘ_r-1）∪Ｈｗ（ｙ_r ））−Ｈｗ
（ｘ_r+1 ））］である。（ただし、Ｈｗ（ａ）は、ａの
ハミング重みを示す。） 最短経路行列の要素Ｃ^(r)［ｘ_r-1 ，ｘ_r ］は１段目の
入力差分値が（ｘ₀ ，ｘ₁）の時にｒ段目の出力差分値
が（ｘ_r+1 ，ｘ_r ）となる最大差分確率であるから、Ｃ
^(r-1)［ｘ_r-1 ，ｘ_r ］にｒ段における弧ｘ_r →ｙ_r と
弧（ｘ_r-1 ，ｙ_r ）→ｘ_r+1 の生じる確率を乗じたもの
である。よって、１段目の入力差分値が（ｘ₀ ，ｘ ₁）
であった時にｒ段目の出力差分値が（ｘ_r+1 ，ｘ_r ）と
なる最大差分確率は、Ｃ^(r) ［ｘ_r ，ｘ_r+1 ］＝Ｃ
^(r-1) ［ｘ_r-1 ，ｘ_r ］×ＣＦ［ｘ_r ，ｙ_r ］×２
^-D［但し、Ｄ＝ｔ×（（Ｈｗ（ｘ_r-1 ）∪Ｈｗ
（ｙ_r））−Ｈｗ（ｘ_r+1））］で求まる。以上のように
すれば、最短経路行列Ｃ^(r) の要素はすべて求める事が
できる。

【００１９】この最短経路行列を利用し、Ｗａｒｓｈａ
ｌｌ−Ｆｌｏｙｄのアルゴリズムを適用する事で、すべ
ての入力差分値とすべての出力差分値の組み合わせに対
して、入力差分値から出力差分値への経路の生じる最大
差分確率が求められる。この探索アルゴリズムを示す。
排他的論理演算における差分の打ち消しあいについて図
２を参照して説明する。図２において、左側に示された
差分データ列｛００００ ０１０１ ００１１０００
０｝、｛００００ ０１０１ ００００ ００００｝は
図１拡張差分の概念によれば、拡張差分（０１１０）、
（０１００）となり、右側に示された差分データ列｛０
０００ ０１０１ ００１１ ００００｝、｛００００
１１１０ ００００ ００００｝は拡張差分（０１１
０）、（０１００）となり、一致した拡張差分データ列
となる。左側に示された差分データ列｛００００ ０１
０１ ００１１ ００００｝と｛００００ ０１０１
００００ ００００｝の排他的論理和は｛００００ ０
０００ ００１１ ００００｝となり、ビットレベルで
見た拡張差分が一致した場合、差分が０、すなわち、打
ち消しあう。しかしながら、右側に示された差分データ
列の場合には打ち消しあいは発生しない。言い換えれ
ば、ビットレベルで見た拡張差分が一致した場合におい
て、排他的論理和をとった時にｔビットを１単位とした
場合、０となる確率（すなわち、差分が一致する確
率。）は１／２^t ＝２^-t、排他的論理和に入力する拡張
差分が１で一致する確率はＨｗ（ｘ_r-1 ⁽ⁱ⁾∪
ｙ_r ^(k) ）、排他的論理和の拡張差分の１をとる確率は
Ｈｗ（ｘ_t+1 ^(d) ）となり、打ち消しあいの起きる確率
は２^+D（但し、Ｄ＝−ｔ×｛Ｈｗ（ｘ_r-1 ⁽ⁱ⁾ ∪ｙ_r
^(k) ）−Ｈｗ（ｘ_r+1 ^(d) ）｝）となる。

【００２０】以上のようにして求めたコスト行列を用い
れば、従来の方法で２ⁿ ×２ⁿ の大きさを必要としたコ
スト行列を２^n/2 ×２^n/2 に小さくできる。大きさが２
^n/2 ×２^n/2 のコスト行列ＣＦとＣ^(r) を利用して、グ
ラフ理論の最短経路探索法としてよく知られているＤｉ
ｊｋｓｔｒａ法やＷａｒｓｈａｌｌ−Ｆｌｏｙｄ法を使
うことで探索を実現できる。

【００２１】次に、一般のＦｅｉｓｔｅｌ暗号について
示す。ｕ列に等分割してデータの撹拌を行なう際、例え
ば、図９に示すような構造の場合、ｆ関数の入出力差分
に着目して、コスト行列を作る。図９に示すようなｕ列
に等分割された構造を持つ暗号の場合、右から数えてｑ
列目からｑ＋１列目へのコスト行列（１≦ｑ≦ｕ−１）
を求めるために、一段目の右から数えてｑ列目のｆ関数
への入力差分をｘ_1q、ｒ段目における右から数えてｑ列
目のｆ関数への入力差分をｘ_rq、出力差分をｙ _rqとし
て、ｑ列目とｑ＋１列目の間のｆ関数をｆ_q とした場合
にｒ段目のｑ列とｑ＋１列目の入力差分についての弧ｘ
_rq→ｘ_r(q+1)についてのコスト行列をＣ^{(r )q}＝｛Ｃ_ij
^(r)q｝、Ｃ_ij ^(t)q＝ｐ（ｘ_rq ⁽ⁱ⁾，ｘ_r ^(q+1)j）とする。
このコスト行列の大きさは２^n/2 ×２^n/2 であり、この
大きさのコスト行列をｕ−１個とＣＦのコスト行列を用
意する。Ｆｅｓｉｔｅｌ暗号の場合と同じ要領で、これ
らのコスト行列を利用して、グラフ理論の最短経路探索
法としてよく知られているＤｉｊｋｓｔｒａ法やＷａｒ
ｓｈａｌｌ−Ｆｌｏｙｄ法を使うことで探索を実現でき
る。 実施例（１） 図４に示すようなＦｅｉｓｔｅｌ構造を持つブロック暗
号を対象に全ての入力差分と出力差分に関して、ある入
力差分からある出力差分の生ずる確率（差分確率Π_r=1
^R ｐ（ｖ_r ，ｖ_r+1 ））が最も高い確率で起こる場合の
入力差分と出力差分の組とその確率（最大差分確率）を
求める手順を示す。

【００２２】図５及び図６にその手順のフローチャート
を示す。ｔ ｂｉｔを１単位と見なし、ｎ＝ブロック長
／ｔとし、暗号アルゴリズムの段数をＲ段とする。ま
た、ｍ＝２^n/2 とおく。一段目右半分入力差分をｘ₁ 、
左半分入力差分をｘ₀ 、ｒ段目におけるｆ関数への入力
差分をｘ_r 、出力差分をｙ_r とする。 （Ｓｔｅｐ１）あらかじめ、ｆ関数に関して入力差分ｘ
_r と出力差分ｙ_r についてのコスト行列ＣＦ＝｛ｃ
ｆ_ij｝、ｃｆ_ij＝ｐ（ｘ_r ⁽ⁱ⁾ 、ｙ_r ^(j) ）を求めてお
く。

【００２３】コスト行列Ｃ^(r) を初期化しておく。すな
わち、全ての要素に対してｃ_ij ^(r)＝０としておく。 （Ｓｔｅｐ２）ｒ＝１とする。 （Ｓｔｅｐ３）入力差分の左半分ｘ₀ を０からｍ−１ま
での値から順に一つ選ぶ。

【００２４】選んだ値を変数ｄで表す。 （Ｓｔｅｐ４）一段目のｆ関数への入力差分ｘ₁ を０か
らｍ−１までの値から順に一つ選ぶ。選んだ値を変数ｅ
で表す。 （Ｓｔｅｐ５）入力差分ｘ₁ に対してｆ関数の出力差分
ｙ₁ を０からｍ−１までの値から順に一つ選ぶ。

【００２５】選んだ値を変数ｊで表す。 （Ｓｔｅｐ６）ｘ₂ の値ｗをｄとｊの排他的論理和から
求める（図２参照）。この時、ｄとｊについて、ｔビッ
トを１単位と見なした時の同じサブブロック内に差分が
あり、ビットレベルで見た差分が一致した場合には、ｘ
₂ のそのサブブロックにおける差分は０となる。これを
差分の打ち消しあいと呼ぶ。ｄとｊの同じサブブロック
内に差分があり、ビットレベルでも差分が一致しない場
合はｘ ₂ のそのサブブロックの差分は１となる。よっ
て、一つのｄとｊから起こり得るｘ₂ の値ｗは１種類と
は限らない。起こり得る全ての場合のｗを検討する。

【００２６】確率は、以下のようにして求める。但し、
Ｈｗ（ａ）と書いた場合には、値ａを０と１の二進数で
表現した場合の１の立っている個数を示すものとする。
排他的論理和演算によって差分の打ち消しあいの起きて
いる確率は、２^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ（ｄ∪
ｊ））−Ｈｗ（ｗ））〕である。

【００２７】したがって、ｘ₁ がｅという値をとった時
に、ｘ₂ がｗという値をとる確率は、ｐ（ｘ₁ ^(e) 、ｘ
₂ ^(w) ）＝ｃｆ_ej×２^D と求まる。ｃ_ew ⁽¹⁾ にｐ（ｘ₁
^(e) 、ｘ₂ ^(w) ）を入れる。 （Ｓｔｅｐ７）ｒ＝ｒ＋１とする。 （Ｓｔｅｐ８）ｆ関数の入力差分ｘ_r を０からｍ−１ま
での値から順に一つ選ぶ。

【００２８】選んだ値を変数ｉで表す。 （Ｓｔｅｐ９）ｆ関数の出力差分ｙ_r を０からｍ−１ま
での値から順に一つ選ぶ。選んだ値を変数ｊで表す。 （Ｓｔｅｐ１０）ｘ_r-1 を０からｍ−１までの値から順
に一つ選ぶ。

【００２９】選んだ値を変数ｓで表す。 （Ｓｔｅｐ１１）Ｓｔｅｐ６と同様に、ｘ_r+1 の値とし
て起こり得る全てのｗとその確率をｓとｊから求める。
ｐ（ｘ_r ⁽ⁱ⁾ 、ｘ_r+1 ^(w) ）＝ｃｆ_ij×ｃ_si ^(r-1) ×２
^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ（ｓ∪ｊ））−Ｈｗ
（ｗ））〕を求める。 （Ｓｔｅｐ１２）もし、ｃ_iw ^(r) ≦ｐ（ｘ_r ⁽ⁱ⁾ 、ｘ
_r+1 ^(w) ）であれば、ｃ_iw ^(r) にｐ（ｘ_r ^{( i)} 、ｘ_r+1
^(w) ）を入れる。 （Ｓｔｅｐ１３）Ｓｔｅｐ９〜Ｓｔｅｐ１２までｙ_r を
ｍ−１まで、ｘ_r-1 をｍ−１まで行なう。 （Ｓｔｅｐ１４）Ｓｔｅｐ８〜Ｓｔｅｐ１３までを繰り
かえして、ｘ_r についてｍ−１まで行なう。 （Ｓｔｅｐ１５）Ｓｔｅｐ７〜Ｓｔｅｐ１４までを繰り
返して、ｒ＝Ｒ段になるまで続ける。 （Ｓｔｅｐ１６）ｒ＝Ｒであれば、ｉとｗがランダムに
生ずる確率２^G 〔但し、Ｇ＝ｔ×(（Ｈｗ（ｉ）＋Ｈｗ
（ｗ））−ｎ)〕とｃ_iw ^(R) を比較し、２^G ≦ｃ_iw ^(R)
であればその入力差分（ｘ₀ 、ｘ₁ ）と出力差分（ｗ、
ｉ）及びその確率ｃ_iw ^(R) を出力する。ｘ_R+1 とｘ_R に
ついてｍ−１まで全ての場合を探索すれば、入力差分が
（ｘ₀、ｘ₁ ）の場合の全ての出力差分との組について
の最大差分確率が求まる。以上Ｓｔｅｐ３およびＳｔｅ
ｐ４について、各々ｍ−１までをＳｔｅｐ５〜Ｓｔｅｐ
１５を行なえば、全ての入力差分に対する全ての出力差
分への探索が行なえる。 実施例（２） 図４に示すようなＦｅｉｓｔｅｌ構造を持つブロック暗
号を対象に、ある入力差分からある出力差分が生ずる場
合を全て探索し、その入力差分から出力差分の生ずる最
大平均差分確率Σ_(v2、…、_vR)Π_r=1 ^R ｐ（ｖ_r 、ｖ
_r+1 ）を求める手順を示す。図７と図８にそのフローチ
ャートを示す。

【００３０】ｔ ｂｉｔを１単位と見なし、ｎ＝ブロッ
ク長／ｔとし、暗号アルゴリズムの段数をＲ段とする。
また、ｍ＝２^n/2 とおく。一段目右半分入力差分値をｘ
₁ 、左半分入力差分値をｘ₀ 、ｒ段目におけるｆ関数へ
の入力差分をｘ_r 、出力差分をｙ_r とする。 （Ｓｔｅｐ１）あらかじめ、ｆ関数に関して入力差分ｘ
_r と出力差分ｙ_r についてのコスト行列ＣＦ＝｛ｃ
ｆ_ij｝、ｃｆ_ij＝ｐ（ｘ_r ⁽ⁱ⁾ 、ｙ_r ^(j) ）を求めてお
く。

【００３１】コスト行列Ｃ^(r) を初期化しておく。すな
わち、全ての要素に対してｃ_ij ^{(r )}＝０としておく。 （Ｓｔｅｐ２）ｒ＝１とする。 （Ｓｔｅｐ３）入力差分の左半分のｘ₀ を０からｍ−１
までの値から順に一つ選ぶ。

【００３２】選んだ値を変数ｄで表す。 （Ｓｔｅｐ４）一段目のｆ関数への入力差分ｘ₁ を０か
らｍ−１までの値から順に一つ選ぶ。選んだ値を変数ｅ
で表す。 （Ｓｔｅｐ５）入力差分ｘ₁ に対してｆ関数の出力差分
ｙ₁ を順に０からｍ−１までの値から順に選ぶ。

【００３３】選んだ値を変数ｊで表す。 （Ｓｔｅｐ６）ｘ₂ の値としてとり得る全てのｗをｄと
ｊの排他的論理和から求める（図２参照）。この時、ｄ
とｊについて、ｔビットを１単位と見なした時の同じサ
ブブロック内に差分があり、ビットレベルで見た差分が
一致した場合には、ｘ₂ のそのサブブロックにおける差
分は０となる。これを差分の打ち消しあいと呼ぶ。ｄと
ｊの同じサブブロック内に差分があり、ビットレベルで
も差分が一致しない場合はｘ ₂ のそのサブブロックの差
分は１となる。よって、一つのｄとｊから起こり得るｘ
₂ の値ｗは１種類とは限らない。起こり得る全ての場合
のｗを検討する。

【００３４】確率は、以下のようにして求める。但し、
Ｈｗ（ａ）と書いた場合には、値ａを０と１の二進数で
表現した場合の１の立っている個数を示すものとする。
排他的論理和演算（＋）によって差分の打ち消しあいの
起きている確率は、２ ^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ
（ｄ∪ｊ））−Ｈｗ（ｗ））〕である。

【００３５】したがって、ｘ₁ がｅという値をとった時
に、ｘ₂ がｗという値をとる確率は、ｐ（ｘ₁ ^(e) 、ｘ
₂ ^(w) ）＝ｃｆ_ej×２^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ
（ｄ∪ｊ））−Ｈｗ（ｗ））〕と求まる。ｃ_ew ⁽¹⁾ にｃ
_ew ⁽¹⁾ ＋ｐ（ｘ₁ ^(e) 、ｘ₂ ^(w) ）を入れる。 （Ｓｔｅｐ７）ｒ＝ｒ＋１とする。 （Ｓｔｅｐ８）ｆ関数の入力差分ｘ_r を０からｍ−１ま
での値から順に一つ選ぶ。

【００３６】選んだ値を変数ｉで表す。 （Ｓｔｅｐ９）ｆ関数の出力差分ｙ_r を０からｍ−１ま
での値から順に一つ選ぶ。選んだ値を変数ｊを用いて表
す。 （Ｓｔｅｐ１０）ｘ_r-1 を０からｍ−１までの値から順
に一つ選ぶ。

【００３７】選んだ値を変数ｓで表す。 （Ｓｔｅｐ１１）Ｓｔｅｐ６と同様に、ｘ_r+1 の値とし
て起こり得る全てのｗとその確率をｓとｊから求める。
ｐ（ｘ_r ⁽ⁱ⁾ ，ｘ_r+1 ^(w) ）＝ｃｆ_ij×ｃ_si ^(r-1) ×２
^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ（ｓ∪ｊ））−Ｈｗ
（ｗ））〕を求める。 （Ｓｔｅｐ１２）ｃ_iw ^(r) にｃ_iw ^(r) ＋ｐ（ｘ_r ⁽ⁱ⁾ 、
ｘ_r+1 ^(w) ）を入れる。 （Ｓｔｅｐ１３）Ｓｔｅｐ９〜Ｓｔｅｐ１２までｙ_r を
ｍ−１まで、ｘ_r-1 をｍ−１まで行なう。 （Ｓｔｅｐ１４）Ｓｔｅｐ８〜Ｓｔｅｐ１３までを繰り
かえして、ｘ_r についてｍ−１まで行なう。 （Ｓｔｅｐ１５）Ｓｔｅｐ７〜Ｓｔｅｐ１４までを繰り
返して、ｒ＝Ｒ段になるまで続ける。 （Ｓｔｅｐ１６）ｒ＝Ｒであればｃ_iw ^(r) を出力する。
ｃ_iw ^(r) によって、入力差分が（ｘ₀ 、ｘ₁ ）の場合に
出力差分が（ｗ、ｉ）となる最大平均差分確率が求ま
る。

【００３８】ｘ_R+1 とｘ_R についてｍ−１まで全て求め
ると、入力差分が（ｘ₀ 、ｘ₁ ）の場合の全ての出力差
分との組についての最大平均差分確率が求まる。以上Ｓ
ｔｅｐ３およびＳｔｅｐ４について、各々ｍ−１までを
Ｓｔｅｐ５〜Ｓｔｅｐ１５を行なえば、全ての入力差分
と全ての出力差分の組について最大平均差分確率が求ま
る。 実施例（３） 図９に示すようなｕ列にデータを等分割してデータ撹拌
を行なうＦｅｉｓｔｅｌ暗号を対象に全ての入力差分と
出力差分のうち、ある入力差分からある出力差分の生ず
る確率（差分確率Π_r=1 ^R ｐ（ｖ_r 、ｖ_r+1 ））が最も
高い確率で起こる場合の入力差分と出力差分の組とその
確率（最大差分確率）を求める手順を示す。図１０〜１
５にその手順についてのフローチャートを示す。

【００３９】ｔ ｂｉｔを１単位と見なし、ｎ＝ブロッ
ク長／ｔとし、暗号アルゴリズムの段数をＲ段とする。
また、ｇ＝２^n/u とおく。ｑ列目とｑ＋１列目の間のｆ
関数をｆ_q とする。暗号アルゴリズムへの入力時の一番
右の入力差分値をｘ_0u、右からｑ列目の入力差分をｘ
_0(q-1)（２≦ｑ≦ｕ）、ｒ（ｒ＝１−Ｒ）段目における
右からｑ列目のｆ関数への入力差分をｘ_rq、出力差分を
ｙ_rqとする。また、ｘ_ru＝ｘ_(r+1)1とする。また、Ｃ
^(r)q＝｛ｃ_ij ^(r)q｝、ｃ_ij ^(r)q＝ｐ（ｘ_rq ⁽ⁱ⁾ 、ｘ
_r(q+1) ^(j) ）とする。

【００４０】また、行列Ｓ^(r)q＝｛ｓ_ij ^(r)q｝をｕ−１
個用意しておく。必要となるコスト行列の大きさは２
^n/u ×２^n/u であり、この大きさのコスト行列を２（ｕ
−１）個と、ｆ関数についての入力差分ｘ_r と出力差分
ｙ_r の関係についてのコスト行列ＣＦ＝｛ｃｆ_ij｝、ｃ
ｆ_ij＝ｐ（ｘ_r ⁽ⁱ⁾ 、ｙ_r ^(j) ）のためのメモリが必
要。 （Ｓｔｅｐ１）あらかじめ、ｆ関数に関して入力差分ｘ
_r と出力差分ｙ_r についてのコスト行列ＣＦ＝｛ｃ
ｆ_ij｝、ｃｆ_ij＝ｐ（ｘ_r ⁽ⁱ⁾ 、ｙ_r ^(j) ）を求めてお
く。

【００４１】また、Ｃ^(r)qを全て初期化しておく。すな
わち、全ての要素に対してｃ_ij ^(r)q＝０としておく。 （Ｓｔｅｐ２）一段目の入力差分のｘ₀₁からｘ_0uまでそ
れぞれについて０からｇ−１までの値から順に一つ選
ぶ。

【００４２】選んだ値を変数ｅ１からｅｕで表す。 （Ｓｔｅｐ３）ｒ＝１とする。 （Ｓｔｅｐ４）入力差分ｘ_0uに対してｆ関数の出力差分
ｙ₁₁を０からｇ−１までの値から順に選ぶ。

【００４３】選んだ値を変数ｊで表す。 （Ｓｔｅｐ５）ｘ₁₂の値をｅ１とｊの排他的論理和から
求める（図２参照）。この時、ｅ１とｊについて、ｔビ
ットを１単位と見なした時の同じサブブロック内に差分
があり、ビットレベルで見た差分が一致した場合には、
ｘ₁₂のそのサブブロックにおける差分は０となる。これ
を差分の打ち消しあいと呼ぶ。ｅ１とｊの同じサブブロ
ック内に差分がありビットレベルでも差分が一致しない
場合はｘ₁₂のそのサブブロックの差分は１となる。よっ
て、あるｅ１とあるｊから起こり得るｘ₁₂の値ｗは１種
類とは限らない。起こり得る全ての場合のｗを検討す
る。

【００４４】確率は、以下のようにして求める。但し、
Ｈｗ（ａ）と書いた場合には、値ａを０と１の二進数で
表現した場合の１の立っている個数を示すものとする。
排他的論理和演算（＋）によって差分の打ち消しあいの
起きている確率は、２ ^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ
（ｅ１∪ｊ））−Ｈｗ（ｗ））〕である。

【００４５】したがってｘ_0uがｅｕという値をとった時
にｘ₁₂がｗという値をとる確率は、ｐ（ｘ_0u ^(eu)、ｘ₁₂
^(w) ）＝ｃｆ_euj ×２^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ
（ｅ１∪ｊ））−Ｈｗ（ｗ））〕と求まる。ｃ_euw ⁽¹⁾¹
にｐ（ｘ_0u ^(eu)、ｘ₁₂ ^(w) ）を入れる。 （Ｓｔｅｐ６）ｋ＝２からｕ−１まで以下の処理を行な
う（図１３参照）。 （Ｓｔｅｐ６−１）一段目のｑ列目の入力差分のｘ_1qを
０からｇ−１までの値から順に一つ選ぶ。

【００４６】選んだ値を変数ｉで表す。 （Ｓｔｅｐ６−２）一段目のｑ列目の出力差分のｙ_1qを
０からｇ−１までの値から順に一つ選ぶ。選んだ値を変
数ｊで表す。 （Ｓｔｅｐ６−３）それぞれ選んだｘ_1q、ｙ_1q、および
初期段階で選んだｘ_0eq について以下の計算を行なう。

【００４７】Ｓｔｅｐ５と同様に、ｘ_1(q+1)の値として
起こり得る全てのｗとその確率を求める。 ｐ（ｘ_1q ⁽ⁱ⁾ 、ｘ_1(q+1) ^(w) ）＝ｃｆ_ij×２^D 〔但し、
Ｄ＝−ｔ×（（Ｈｗ（ｅｑ∪ｊ））−Ｈｗ（ｗ））〕 もしｃ_iw ^(1)q≦ｐ（ｘ_1q ⁽ⁱ⁾ 、ｘ_1(q+1) ^(w) ）であれ
ば、ｃ_iw ^(1)qにｐ（ｘ_1q ⁽ⁱ⁾ 、ｘ_1(q+1) ^(w) ）を入れ
る。

【００４８】Ｓ_iw ^(1)qにｓの値を入れておく。 （Ｓｔｅｐ７）ｒ＝２とする。 （Ｓｔｅｐ８）（図１１参照）ｑ＝１とする。 （Ｓｔｅｐ９−１−１）ｆ₁ 関数の入力差分ｘ₂₁（＝ｘ
_1u）を０からｇ−１までの値から順に一つ選ぶ。

【００４９】選んだ値を変数ｉで表す。 （Ｓｔｅｐ９−１−２）ｆ₁ 関数の出力差分ｙ₂₁を０か
らｇ−１までの値から順に一つ選ぶ。選んだ値を変数ｊ
で表す。 （Ｓｔｅｐ９−１−３）Ｓｔｅｐ５と同様に、ｘ₂₂の値
として起こり得る全てのｗとその確率を求める。

【００５０】ｐ（ｘ₂₁ ⁽ⁱ⁾ 、ｘ₂₂ ^(w) ）＝ｃｆ_ij×２^D
〔但し、Ｄ＝−ｔ×（（Ｈｗ（ｅｕ∪ｊ））−Ｈｗ
（ｗ））〕 もし、ｃ_iw ⁽²⁾¹≦ｐ（ｘ₂₁ ⁽ⁱ⁾ 、ｘ₂₂ ^(w) ）であれば、
ｃ_iw ⁽²⁾¹にｐ（ｘ₂₁ ^{(i )} 、ｘ₂₂ ^(w) ）を入れる。Ｓ_ij
⁽²⁾¹にはすべて、ｅｕの値を入れておく。

【００５１】ｉ、ｊについて全てｇ−１まで探索し終え
たら次へ進む。 （Ｓｔｅｐ９−２）以下の処理をｑ＝２からｕ−１まで
行なう（図１４参照）。 （Ｓｔｅｐ９−２−１）ｆ_q-1 関数の入力差分ｘ_2(q-1)
を０からｇ−１までの値から順に一つ選ぶ。

【００５２】選んだ値を変数ｄで表す。 （Ｓｔｅｐ９−２−２）ｆ_q 関数の入力差分ｘ_2qを０か
らｇ−１までの値から順に一つ選ぶ。選んだ値を変数ｉ
で表す。 （Ｓｔｅｐ９−２−３）ｆ_q 関数の出力差分ｙ_2qを０か
らｇ−１までの値から順に一つ選ぶ。

【００５３】選んだ値を変数ｊで表す。 （Ｓｔｅｐ９−２−４）ｘ_1qを０からｇ−１までの値か
ら順に一つ選ぶ。選んだ値を変数ｓで表す。 （Ｓｔｅｐ９−２−５）Ｓ_di ^(2)(q-1)に記憶されてい
る、ｘ_1(q-1)の値ｈを求める。

【００５４】Ｓｔｅｐ５と同様に、ｘ_2(q+1)の値として
起こり得る全てのｗとその確率を求める。 ｐ（ｘ_2q ⁽ⁱ⁾ 、ｘ_2(q+1) ^(w) ）＝ｃｆ_ij×ｃ_hi ^(1)(q-1)
×２^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ（ｓ∪ｊ））−Ｈｗ
（ｗ））〕 もし、ｃ_iw ^(2)q≦ｐ（ｘ_2q ⁽ⁱ⁾ 、ｘ_2(q+1) ^(w) ）であれ
ば、ｃ_iw ^(2)qにｐ（ｘ _2q ⁽ⁱ⁾ 、ｘ_2(q+1) ^(w) ）を入れ
る。

【００５５】その時の、ｓの値をＳ_iw ^(2)qに記録する。 （Ｓｔｅｐ１０）ｒ＝ｒ＋１ （Ｓｔｅｐ１１−１−１）（図１２参照） ｒ−１段目のｆ_(it-1)関数の入力差分ｘ_(r-1)(u-1)を０
からｇ−１までの値から順に一つ選ぶ。

【００５６】選んだ値を変数ｄで表す。 （Ｓｔｅｐ１１−１−２）ｆ₁ 関数の入力差分ｘ_r1（＝
ｘ_(r-1)u）を０からｇ−１までの値から順に一つ選ぶ。
選んだ値を変数ｉで表す。 （Ｓｔｅｐ１１−１−３）ｆ₁ 関数の出力差分ｙ_r1を０
からｇ−１までの値から順に選ぶ。

【００５７】選んだ値を変数ｊで表す。 （Ｓｔｅｐ１１−１−４）ｘ_(r-1)1（＝ｘ_(r-2)u）を０
からｇ−１までの値から順に一つ選ぶ。選んだ値を変数
ｓで表す。 （Ｓｔｅｐ１１−１−５）Ｓ_di ^(r-1)(u-1)に記憶されて
いる、ｘ_(r-2)(u-1)の値ｈを求める。

【００５８】Ｓｔｅｐ５と同様に、ｘ_r2の値として起こ
り得る全てのｗ１とその確率を求める。 ｐ（ｘ_r1 ⁽ⁱ⁾ 、ｘ_r2 ^(w1)）＝ｃｆ_ij×ｃ_hs ^(r-2)(u-1)×
２^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ（ｓ∪ｊ））−Ｈｗ
（ｗ１））〕 もし、ｃ_iw1 ^(r)1≦ｐ（ｘ_r1 ⁽ⁱ⁾ 、ｘ_r2 ^(w1)）であれ
ば、ｃ_iw1 ^(r)1にｐ（ｘ _r1 ⁽ⁱ⁾ 、ｘ_r2 ^(w1)）を入れる。

【００５９】その時の、ｓの値をＳ_iw1 ^(r)1に記録す
る。 （Ｓｔｅｐ１１−２）以下の処理をｑ＝２からｕ−１ま
で行なう（図１５参照）。 （Ｓｔｅｐ１１−２−１）ｆ_q-1 関数の入力差分ｘ
_r(q-1)を０からｇ−１までの値から順に一つ選ぶ。

【００６０】選んだ値を変数ｄで表す。 （Ｓｔｅｐ１１−２−２）ｆ_q 関数の入力差分ｘ_rqを０
からｇ−１までの値から順に一つ選ぶ。選んだ値を変数
ｉで表す。 （Ｓｔｅｐ１１−２−３）ｆ_q 関数の出力差分ｙ_rqを０
からｇ−１までの値から順に一つ選ぶ。

【００６１】選んだ値を変数ｊで表す。 （Ｓｔｅｐ１１−２−４）ｘ_(r-1)qを０からｇ−１まで
の値から順に一つ選ぶ。選んだ値を変数ｓで表す。 （Ｓｔｅｐ１１−２−５）Ｓ_d1i ^(r)q-1に記憶されてい
る、ｘ_(r-1)(q-1)の値ｈを求める。

【００６２】Ｓｔｅｐ５と同様に、ｘ_r(q-1)の値として
起こり得る全てのｗｑとその確率をｊとｓから求める。 ｐ（ｘ_rq ⁽ⁱ⁾ 、ｘ_r(q+1) ^(wq)）＝ｃｆ_ij×ｃ_hs
^(r-1)(q-1)×２^D 〔但し、Ｄ＝−ｔ×（（Ｈｗ（ｓ∪
ｊ））−Ｈｗ（ｗｑ））〕 もし、ｃ_iwq ^(r)q≦ｐ（ｘ_rq ⁽ⁱ⁾ 、ｘ_r(q+1) ^(wq)）であ
れば、ｃ_iwq ^(r)qにｐ（ｘ_rq ⁽ⁱ⁾ 、ｘ_r(q+1) ^(wq)）を入
れる。

【００６３】その時の、ｓの値をＳ_iwq ^(r)qに記録す
る。 （Ｓｔｅｐ１２）ｒ＝Ｒであれば、ｉ、ｗ１〜ｗ（ｕ−
１）がランダムに生ずる確率２^Y 〔但し、Ｙ＝ｔ×（Ｈ
ｗ（ｉ）＋Ｈｗ（ｗ１）＋Ｈｗ（ｗ２）…Ｈｗ（ｗ（ｕ
−１））−ｎ）〕とｃ_iw1 ^(R)1×ｃ_w1W2 ^(R)2…×ｃ
_w(u-2)w(u-1) ^(R)(u-1)を比較し、ｃ_iw1 ^(R)1×ｃ_w1W2
^(R)2…×ｃ_w(u-2)w(u-1) ^(R)(u-1)≧２^Y であれば、入力
差分（ｅ１〜ｅｕ）と出力差分（ｉ、ｗ１〜ｗ（ｕ−
１））およびその確率ｃ_iw1 ^{( R)1}×ｃ_w1W2 ^(R)2…×ｃ
_w(u-2)w(u-1) ^(R)(u-1)を出力する。

【００６４】ある入力差分（ｅ１〜ｅｕ）に対する全て
の起こり得る出力差分への最大差分確率が求まる。ｅ１
〜ｅｕについてそれぞれｇ−１まで探索を行なえば、全
ての入力差分と出力差分の組についての探索が行なえ
る。

【００６５】

【発明の効果】以上により、本発明によれば、暗号強度
評価装置において、暗号装置等へ入力するデータを変化
させる事により出力されるデータがどのように変化する
かという入力差分と出力差分の関係を効率よく導出する
手段を加える事でこの装置またはそこに組み込まれる暗
号アルゴリズム等の差分解読法に対する強度評価が可能
となる。また、本発明による方法を用いれば、従来の方
法では探索が困難であるようなメモリの乏しい環境下に
おいてもグラフ理論を用いた探索方法を行なう事ができ
る。一例としてある差分パス探索における計算量を比較
してみると、以下に示すように従来法に基づいた探索に
比べて計算量を減らす事もできる。 具体例）暗号の段数をＲ、ｎ＝ブロック長／ｔとした場
合、例えばグラフ理論の最短経路探索法の中の一つであ
るＷａｒｓｈａｌｌ−Ｆｌｏｙｄ法を適用した場合、従
来法に基づく適用方法では、Ｏ（２²ⁿ×Ｒ）であり、本
発明における適用方法を用いれば、Ｏ（（２^n/2 ）³ ×
Ｒ）にまで減らす事ができる。

【図面の簡単な説明】

【図１】拡張差分の概念を示す図。

【図２】排他的論理和演算における差分の打ち消しあい
の説明図。

【図３】グラフ理論における最短経路探索方法を利用し
た従来法による差分パス探索を示す図。

【図４】Ｆｅｉｓｔｅｌ構造をもつ暗号のアルゴリズム
の構成図。

【図５】この発明の実施例（１）の適応方法による探索
法のフローチャートを示す図。

【図６】図５における部分図。

【図７】この発明の実施例（２）の適応方法による探索
法のフローチャートを示す図。

【図８】図７における部分図。

【図９】この発明の実施例（３）の暗号アルゴリズムの
構成図。

【図１０】この発明の実施例（３）の適応方法による探
索法のフローチャートを示す図。

【図１１】図１０における部分図1。

【図１２】図１０における部分図２。

【図１３】図１０の詳細図。

【図１４】図１１の詳細図。

【図１５】図１２の詳細図。

【図１６】この発明の暗号強度評価装置の構成図。

Claims (6)

【特許請求の範囲】
1. 【請求項１】 平文をブロックごとに第１、第２入力と
   して２部し、その第１入力をｆ関数処理部で処理し、そ
   の処理結果と第２入力との排他的論理和をとって、次段
   の第１入力とし、上記第１入力を次段の第２入力として
   繰り返し処理を行う暗号装置に対し、入力差分と出力差
   分をそれぞれｔビット（但し、ｔは２以上の整数）を１
   単位として、変化の有無に着目して強度を評価する暗号
   アルゴリズムの強度評価に用いるデータ変化探索装置で
   あって、 上記ｆ関数処理部の入力差分と出力差分との発生確率を
   全て記憶した記憶手段と、排他的論理和の出力の発生確
   率を計算する手段と、 各段ごとに、上記ｆ関数処理部の入力差分と出力差分と
   の発生確率と上記排他的論理和の出力の発生確率と前段
   の出力差分の発生確率との積によりその段の出力差分発
   生確率を求める手段とを有することを特徴とする暗号ア
   ルゴリズムの強度評価に用いるデータ変化探索装置。
2. 【請求項２】 平文をブロックごとに第１、第２入力と
   して２部し、その第１入力をｆ関数処理部で処理し、そ
   の処理結果と第２入力との排他的論理和をとって、次段
   の第１入力とし、上記第１入力を次段の第２入力として
   繰り返し処理を行う暗号装置に対し、入力差分と出力差
   分をそれぞれｔビット（但し、ｔは２以上の整数）を１
   単位として、変化の有無に着目して暗号アルゴリズムの
   強度評価に用いるデータ変化探索方法であって、 上記ｆ関数処理部の入力差分と出力差分との発生確率を
   全て記憶した記憶手段と、排他的論理和の出力の発生確
   率を計算する手段と、 各段ごとに、上記ｆ関数処理部の入力差分と出力差分と
   の発生確率と上記排他的論理和の出力の発生確率と前段
   の出力差分の発生確率との積によりその段の出力差分発
   生確率を求める手段とを有することを特徴とする暗号ア
   ルゴリズムの強度評価に用いるデータ変化探索方法。
3. 【請求項３】 平文をブロックごとに第１、第２入力と
   して２部し、その第１入力をｆ関数処理部で処理し、そ
   の処理結果と第２入力との排他的論理和をとって、次段
   の第１入力とし、上記第１入力を次段の第２入力として
   繰り返し処理を行う暗号装置に対し、入力差分と出力差
   分をそれぞれｔビット（但し、ｔは２以上の整数）を１
   単位として、変化の有無に着目して暗号アルゴリズムの
   強度評価に用いるデータ変化探索方法をプログラムとし
   て記録した記録媒体であって、 上記ｆ関数処理部の入力差分と出力差分との発生確率を
   全て記憶した記憶手段と、排他的論理和の出力の発生確
   率を計算する手段と、 各段ごとに、上記ｆ関数処理部の入力差分と出力差分と
   の発生確率と上記排他的論理和の出力の発生確率と前段
   の出力差分の発生確率との積によりその段の出力差分発
   生確率を求める手段とを有することを特徴とする暗号ア
   ルゴリズムの強度評価に用いるデータ変化探索方法をプ
   ログラムとして記録した記録媒体。
4. 【請求項４】 それぞれｍビット幅のｕ個の入力系列が
   少なくとも１個のｆ関数処理部と、１個の排他的論理和
   回路とにより相互に結合されて次段のｍビット幅のｕ個
   の入力系列と接続される処理段が複数縦続接続されてい
   る暗号装置に対し、入力差分と出力差分をそれぞれｔビ
   ット（但し、ｔは２以上の整数）を１単位として、変化
   の有無に着目して、暗号アルゴリズムの強度評価に用い
   るデータ変化探索装置であって、 上記ｆ関数処理部の入力差分と出力差分との発生確率
   と、そのｆ関数処理部の出力と１つの入力系列が入力さ
   れる排他的論理和回路の出力の発生確率と、その排他的
   論理和回路の入力の発生確率とからｆ関数処理部の入力
   差分と、排他的論理和回路の出力差分との発生確率を求
   める手段を用いて暗号装置の入力差分とし出力差分の発
   生確率を求めることを特徴とする暗号アルゴリズムの強
   度評価に用いるデータ変化探索装置。
5. 【請求項５】 それぞれｍビット幅のｕ個の入力系列が
   少なくとも１個のｆ関数処理部と、１個の排他的論理和
   回路とにより相互に結合されて次段のｍビット幅のｕ個
   の入力系列と接続される処理段が複数縦続接続されてい
   る暗号装置に対し、入力差分と出力差分をそれぞれｔビ
   ット（但し、ｔは２以上の整数）を１単位として、変化
   の有無に着目して、暗号アルゴリズムの強度評価に用い
   るデータ変化探索方法であって、 上記ｆ関数処理部の入力差分と出力差分との発生確率
   と、そのｆ関数処理部の出力と１つの入力系列が入力さ
   れる排他的論理和回路の出力の発生確率と、その排他的
   論理和回路の入力の発生確率とからｆ関数処理部の入力
   差分と、排他的論理和回路の出力差分との発生確率を求
   める手段を用いて暗号装置の入力差分と出力差分の発生
   確率を求めることを特徴とする暗号アルゴリズムの強度
   評価に用いるデータ変化探索方法。
6. 【請求項６】 それぞれｍビット幅のｕ個の入力系列が
   少なくとも１個のｆ関数処理部と、１個の排他的論理和
   回路とにより相互に結合されて次段のｍビット幅のｕ個
   の入力系列と接続される処理段が複数縦続接続されてい
   る暗号装置に対し、入力差分と出力差分をそれぞれｔビ
   ット（但し、ｔは２以上の整数）を１単位として、変化
   の有無に着目して、暗号アルゴリズムの強度評価に用い
   るデータ変化探索方法のプログラムを記録した記録媒体
   であって、 上記ｆ関数処理部の入力差分と出力差分との発生確率
   と、そのｆ関数処理部の出力と１つの入力系列が入力さ
   れる排他的論理和回路の出力の発生確率と、その排他的
   論理和回路の入力の発生確率とからｆ関数処理部の入力
   差分と、排他的論理和回路の出力差分との発生確率を求
   める手段を用いて暗号装置の入力差分と出力差分の発生
   確率を求めることを特徴とする暗号アルゴリズムの強度
   評価に用いるデータ変化探索方法のプログラムを記録し
   た記録媒体。