JP2001324924A - 暗号化装置及び暗号化方法、復号装置及び復号方法並びに演算装置 - Google Patents

Abstract

(57)【要約】 【課題】 計算コストを抑えたまま高く均一な拡散を可
能とする暗号化装置を提供すること。 【解決手段】 各段において複数並列に並んだ非線形変
換モジュール２の各々により局所的な小拡散を行い、次
いで拡散モジュール３によりブロック幅に渡る大拡散を
行い、また非線形変換モジュール２により局所的な小拡
散を行い、ということを所定段数繰り返す。さらに、非
線形変換モジュール２は、非線形変換モジュール４と拡
散モジュール５とを交互に配列して構成される。すなわ
ち、通常のＳＰＮ構造のＳ−ｂｏｘの部分に小型のＳＰ
Ｎ構造を再帰的に埋め込んだこの入れ子型ＳＰＮ構造と
する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ブロック暗号方式
による暗号化装置及び暗号化方法、復号装置及び復号方
法並びに演算装置に関する。

【０００２】

【従来の技術】共通鍵ブロック暗号の代表的な基本構造
にＳＰＮ型とＦｅｉｓｔｅｌ型があり、各々について差
分／線形解読法に対する強度評価と耐性を高める設計法
が研究されている（文献[１]V.Rijmen, J.Daemen, B.Pr
eneel, A.Bosselaers, E.DcWin,“The Cipher SHARK,”
Fast Software Encryption, LNCS 1039,1996.、文献
[２]青木和麻呂,太田和夫,“最大平均差分確率および最
大平均線形確率のより厳密な評価,”SCIS 96-4A,1996.
文献[３]松井充,“フ゛ロック暗号MISTY,”ISEC 96-11,199
6.、）。ＳＰＮ構造では、活性Ｓ−ｂｏｘ数の保証が出
来るので、設定した強度を達成するための段数決定がし
やすい（文献[１] ）。しかし、ブロック・サイズが大
きくなりＳ−ｂｏｘの並列度が上がると、拡散層の処理
が複雑になり、速度が低下する傾向がある。

【０００３】この点を改善したのが、ＳＱＵＡＲＥ／Ｒ
ｉｊｎｄａｅｌ型の暗号である（文献[４]J.Daemen, L.
R.Knudsen, V.Rijmen,“The Block Cipher Square,” F
astSoftware Encryption, LNCS 1267,1997. 、文献[５]
J.Daemen, V.Rijmen,“AES Proposal: Rijndael,”htt
p://www.east.kuleuven.ac.be/^〜rijmen/rijdael/rijnd
aeldocV2.zip ）。この型の暗号では、１６個の並列Ｓ
−ｂｏｘを４×４の行列状に並べて線形拡散を同一列内
に制限することで処理を軽減している。また、線形拡散
にバイト位置の並べ替えを組み合わせることで、ある段
の１バイトの影響は２段後に全バイトに広がり、４段で
活性Ｓ−ｂｏｘ数は２５以上を達成している。

【０００４】しかしながら、同一列内のバイトが次の段
で混合しないという性質があるため、ＳＱＵＡＲＥ攻撃
という専用の攻撃法が存在する（文献[１]、文献
[５]）。これは、拡散層が１種類という制約下で、強度
と効率の両立を目指した結果と考えることが出来る。

【０００５】

【発明が解決しようとする課題】ＳＰＮ型構造は、活性
Ｓ−ｂｏｘ数の下限の見積もりが容易で、差分／線形解
読法に対する強度を保証した設計が可能である。しかし
ながら、平文／暗号文のブロック・サイズの増加に従
い、Ｓ−ｂｏｘの並列度が高くなると、拡散層の結合部
の計算コストも高くなるという欠点があった。また、拡
散層の設計によってデータ攪拌が均一でなくなる可能性
があった。

【０００６】本発明は、上記事情を考慮してなされたも
ので、計算コストを抑えたまま高く均一な拡散を可能と
する暗号化装置及び暗号化方法、復号装置及び復号方法
並びに演算装置を提供することを目的とする。

【０００７】

【課題を解決するための手段】本発明は、ブロック暗号
方式による暗号化装置であって、ブロックデータに対し
てそれを複数に分割した部分ごとに局所的な拡散を行う
機能を含む第１の処理手段と、ブロックデータに対して
そのブロック幅にわたる拡散を行う機能を含む第２の処
理手段とを備えたことを特徴とする。

【０００８】本発明は、ブロック暗号方式による暗号化
装置であって、ブロックデータを複数に分割した各部分
データに対してそれぞれ非線形変換処理を施す並列させ
た複数の第１の非線形変換処理手段の一群と、ブロック
データのブロック幅にわたる線形拡散処理を施す第１の
線形拡散処理手段とを備え、前記第１の非線形変換処理
手段の全部または一部は、それぞれ、前記部分データの
データ幅をさらに複数に分割した各部分に対してそれぞ
れ非線形変換処理を施す並列させた複数の第２の非線形
変換処理手段の一群と、前記部分データのデータ幅にわ
たる線形拡散処理を施す第２の線形拡散処理手段とを含
むものであることを特徴とする。

【０００９】なお、好ましくは、前記第２の非線形変換
処理手段は予め選択された入出力変換表を用いて前記非
線形変換を行うものであるようにしてもよい。好ましく
は、前記第２の非線形変換処理手段の各々の入力側に、
前記ブロック幅と同じ鍵長を持つ鍵データのうちの対応
する部分を加算する手段が直列的に結合されているよう
にしてもよい。好ましくは、前記暗号化装置の前記第１
の非線形変換処理手段の一群と前記第１の線形拡散処理
手段との繰り返し構造は前記第１の非線形変換処理手段
の一群で始まり前記第１の非線形変換処理手段の一群で
終わるものであるとともに、最後の前記第１の非線形変
換処理手段の一群のさらに後段に前記ブロック幅と同じ
鍵長を持つ鍵データを加算する手段が直列的に結合され
ているようにしてもよい。

【００１０】好ましくは、前記暗号化装置はさらに段数
に依存する鍵データを生成するための鍵生成手段を備
え、前記鍵生成手段は、前段の出力に非線形変換処理を
施したものと、前々段の出力に非線形変換処理を施した
ものに線形拡散処理を施したものとの排他的論理和を取
ったものを当該段の出力とする処理を、必要段数分繰り
返し行う手段を含むものであるようにしてもよい。好ま
しくは、前記排他的論理和の出力データに、段数に依存
する定数を剰余加算したものを、当該段の鍵データ出力
とするようにしてもよい。

【００１１】本発明は、共通鍵ブロック暗号方式による
暗号化装置であって、初段では入力された１２８ビット
の平文ブロックデータを、２段目以降では前段での処理
が施された１２８ビットのブロックデータを入力とし、
該ブロックデータを４分割した４組の３２ビット・デー
タに対してそれぞれ局所的な線形拡散処理および非線形
変換処理を施し出力する４つの第１の非線形変換処理部
と、これら４つの第１の非線形変換処理部からそれぞれ
出力された４組の３２ビット・データを連結した１２８
ビットのブロックデータに対して最大距離分離行列を用
いて線形拡散処理を施し次段へ出力する第１の拡散処理
部とを、１段分の段構成として、該段構成を所定段数分
接続し、最後の前記第１の拡散処理部の後段に、この第
１の拡散処理部から出力される１２８ビットのブロック
データを入力とする前記４つの第１の非線形変換処理部
を接続し、この４つの第１の非線形変換処理部の後段
に、これら４つの第１の非線形変換処理部からそれぞれ
出力された４組の３２ビット・データを連結した１２８
ビットのブロックデータに対して１２８ビットの鍵デー
タを加算して１２８ビットの暗号化されたブロックデー
タとして出力する第１の鍵加算部を接続して構成される
とともに、前記第１の非線形変換処理部の各々は、与え
られた１組の前記３２ビット・データをさらに４分割し
た４組の８ビット・データに対してそれぞれ８ビットの
鍵データを加算する４つの第２の鍵加算部と、各第２の
鍵加算部の出力に対してそれぞれ８ビットの入出力変換
表を用いて非線形変換を行う４つの第２の非線形変換処
理部と、これら４つの第２の非線形変換処理部からそれ
ぞれ出力された４組の８ビット・データを連結した３２
ビット・データに対して最大距離分離行列を用いて線形
拡散処理を施す第２の拡散処理部と、この第２の拡散処
理部の後段にさらに接続された４組の前記第２の鍵加算
部および第２の非線形変換処理部とを含むものであるこ
とを特徴とする。

【００１２】本発明は、共通鍵ブロック暗号方式による
暗号化装置であって、初段では入力された６４ビットの
平文ブロックデータを、２段目以降では前段での処理が
施された６４ビットのブロックデータを入力とし、該ブ
ロックデータを２分割した２組の３２ビット・データに
対してそれぞれ局所的な線形拡散処理および非線形変換
処理を施し出力する２つの第１の非線形変換処理部と、
これら２つの第１の非線形変換処理部からそれぞれ出力
された２組の３２ビット・データを連結した６４ビット
のブロックデータに対して最大距離分離行列を用いて線
形拡散処理を施し次段へ出力する第１の拡散処理部と
を、１段分の段構成として、該段構成を所定段数分接続
し、最後の前記第１の拡散処理部の後段に、この第１の
拡散処理部から出力される６４ビットのブロックデータ
を入力とする前記２つの第１の非線形変換処理部を接続
し、この２つの第１の非線形変換処理部の後段に、これ
ら２つの第１の非線形変換処理部からそれぞれ出力され
た２組の３２ビット・データを連結した６４ビットのブ
ロックデータに対して６４ビットの鍵データを加算して
６４ビットの暗号化されたブロックデータとして出力す
る第１の鍵加算部を接続して構成されるとともに、前記
第１の非線形変換処理部の各々は、与えられた１組の前
記３２ビット・データをさらに４分割した４組の８ビッ
ト・データに対してそれぞれ８ビットの鍵データを加算
する４つの第２の鍵加算部と、各第２の鍵加算部の出力
に対してそれぞれ８ビットの入出力変換表を用いて非線
形変換を行う４つの第２の非線形変換処理部と、これら
４つの第２の非線形変換処理部からそれぞれ出力された
４組の８ビット・データを連結した３２ビット・データ
に対して最大距離分離行列を用いて線形拡散処理を施す
第２の拡散処理部と、この第２の拡散処理部の後段にさ
らに接続された４組の前記第２の鍵加算部および第２の
非線形変換処理部とを含むものであることを特徴とす
る。

【００１３】本発明は、ブロック暗号方式による暗号化
プログラムを記録したコンピュータ読取り可能な記録媒
体であって、ブロックデータに対してそれを複数に分割
した部分ごとに局所的な拡散を行う機能を含む第１の処
理機能と、ブロックデータに対してそのブロック幅にわ
たる拡散を行う機能を含む第２の処理機能とを、コンピ
ュータに実現させるためのプログラムを記録したコンピ
ュータ読取り可能な記録媒体である。

【００１４】本発明は、ブロック暗号方式による暗号化
方法であって、ブロックデータに対してそれを複数に分
割した部分ごとに局所的な拡散を行う機能を含む第１の
処理と、ブロックデータに対してそのブロック幅にわた
る拡散を行う機能を含む第２の処理とを実行するステッ
プを含むことを特徴とする。

【００１５】本発明は、ブロック暗号方式による復号装
置であって、ブロックデータに対してそれを複数に分割
した部分ごとに局所的な拡散を行う機能を含む第１の処
理手段と、ブロックデータに対してそのブロック幅にわ
たる拡散を行う機能を含む第２の処理手段と備えたこと
を特徴とする。

【００１６】本発明は、ブロック暗号方式による復号装
置であって、ブロックデータを複数に分割した各部分デ
ータに対してそれぞれ非線形変換処理を施す並列させた
複数の第１の非線形変換処理手段の一群と、ブロックデ
ータのブロック幅にわたる線形拡散処理を施す第１の線
形拡散処理手段とを備え、前記第１の非線形変換処理手
段の全部または一部は、それぞれ、前記部分データのデ
ータ幅をさらに複数に分割した各部分に対してそれぞれ
非線形変換処理を施す並列させた複数の第２の非線形変
換処理手段の一群と、前記部分データのデータ幅にわた
る線形拡散処理を施す第２の線形拡散処理手段とを含む
ものであることを特徴とする。

【００１７】本発明は、共通鍵ブロック暗号方式による
復号装置であって、入力された１２８ビットの暗号化さ
れたブロックデータに対して１２８ビットの鍵データを
加算し出力する第１の鍵加算部と、この第１の鍵加算部
の後段に接続された、この第１の鍵加算部から出力され
た１２８ビットのブロックデータを入力とし、該ブロッ
クデータを４分割した４組の３２ビット・データに対し
てそれぞれ局所的な線形拡散処理および非線形変換処理
を施し出力する４つの第１の非線形変換処理部と、前段
の４つの第１の非線形変換処理部からそれぞれ出力され
た４組の３２ビット・データを連結した１２８ビットの
ブロックデータに対して最大距離分離行列を用いて線形
拡散処理を施し出力する第１の拡散処理部と、この第１
の拡散処理部から出力された１２８ビットのブロックデ
ータを４分割した４組の３２ビット・データに対してそ
れぞれ局所的な線形拡散処理および非線形変換処理を施
して、最終段より前の段では１２８ビットのブロックデ
ータを次段へ出力し、最終段では１２８ビットの平文ブ
ロックデータとして出力する４つの第１の非線形変換処
理部とを、１段分の段構成として、該段構成を所定段数
分接続したものとを備え、前記第１の非線形変換処理部
の各々は、与えられた１組の前記３２ビット・データを
さらに４分割した４組の８ビット・データに対してそれ
ぞれ８ビットの入出力変換表を用いて非線形変換を行う
４つの第２の非線形変換処理部と、各第２の非線形変換
処理部の出力に対してそれぞれ８ビットの鍵データを加
算する４つの第２の鍵加算部と、これら４つの第２の鍵
加算部からそれぞれ出力された４組の８ビット・データ
を連結した３２ビット・データに対して最大距離分離行
列を用いて線形拡散処理を施す第２の拡散処理部と、こ
の第２の拡散処理部の後段にさらに接続された４組の第
２の非線形変換処理部および前記第２の鍵加算部とを含
むものであることを特徴とする。

【００１８】本発明は、ブロック暗号方式による復号プ
ログラムを記録したコンピュータ読取り可能な記録媒体
であって、ブロックデータに対してそれを複数に分割し
た部分ごとに局所的な拡散を行う機能を含む第１の処理
機能と、ブロックデータに対してそのブロック幅にわた
る拡散を行う機能を含む第２の処理機能とを、コンピュ
ータに実現させるためのプログラムを記録したコンピュ
ータ読取り可能な記録媒体である。

【００１９】本発明は、ブロック暗号方式による復号方
法であって、ブロックデータに対してそれを複数に分割
した部分ごとに局所的な拡散を行う機能を含む第１の処
理と、ブロックデータに対してそのブロック幅にわたる
拡散を行う機能を含む第２の処理とを実行するステップ
を含むことを特徴とする。

【００２０】本発明は、ブロック暗号方式における最大
距離分離行列を利用したデータ拡散処理のために、相対
応する入力ワードと最大距離分離行列の要素との乗算を
求めるための演算装置であって、前記入力ワードと前記
最大距離分離行列の対応する要素とを、桁溢れを考慮せ
ずに乗算する乗算手段と、前記入力ワードの上位所定ビ
ットをキーとして、桁溢れを調整するための帰還ワード
を検索する検索手段と、前記乗算手段による乗算結果
と、検索された前記帰還ワードとの排他和をとって、桁
溢れを帰還した乗算結果を求める排他和手段とを備えた
ことを特徴とする。

【００２１】なお、装置に係る本発明は方法に係る発明
としても成立し、方法に係る本発明は装置に係る発明と
しても成立する。暗号化装置に係る従属項は、暗号化方
法、復号装置、復号方法に係る従属項としても成立す
る。

【００２２】また、装置または方法に係る本発明は、コ
ンピュータに当該発明に相当する手順を実行させるため
の（あるいはコンピュータを当該発明に相当する手段と
して機能させるための、あるいはコンピュータに当該発
明に相当する機能を実現させるための）プログラムを記
録したコンピュータ読取り可能な記録媒体としても成立
する。

【００２３】本発明では、局所的なデータ拡散を行う小
型の拡散層とブロック幅に及ぶ拡散を行う大型の拡散層
を交互に重ねて運用する。本発明によれば、複数種類の
異なる拡散（例えば、大小２段階の拡散）によって、計
算コストを抑えたまま高く均一な拡散を実現した。ま
た、階層的にブランチ数が保証でき（ブランチ数の階層
性）、活性Ｓ−ｂｏｘ数の下限を容易に保証できる。ま
た、強度評価がしやすいという特性がある。

【００２４】ＳＱＵＡＲＥ暗号やＲｉｊｎｄａｅｌ暗号
では、小型の拡散とバイト単位の並べ方によって同等の
効果を実現している。しかし、それらの暗号では拡散層
が１種類であるため、ＳＱＵＡＲＥ攻撃と呼ばれる解読
法が存在する。本発明では、大小２種類の拡散層の組み
合わせ方によって、ＳＱＵＡＲＥ攻撃に対する耐性の向
上が可能である。

【００２５】

【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。

【００２６】本実施形態では、局所的な拡散（小拡散）
と、ブロック幅に渡る拡散（大拡散）との組み合わせに
よる、入れ子型（再帰的）ＳＰＮ構造の暗号方式につい
て説明する。

【００２７】以下では、暗号化を中心に説明し、その後
で復号について説明する。なお、復号アルゴリズムは、
暗号アルゴリズムの逆変換であり、鍵は暗号化と復号で
共通の、秘密の鍵である。

【００２８】また、本暗号方式は、ハードウェアによっ
てもソフトウェアによっても実現可能であり、以下に示
す構成例は、暗号化装置（復号装置）の機能ブロック図
としても成立し、また暗号アルゴリズム（復号アルゴリ
ズム）の機能モジュール図としても成立する。

【００２９】図１に、入れ子型（再帰的）ＳＰＮ構造の
暗号方式（暗号化装置（もしくは復号装置）または暗号
アルゴリズム（もしくは復号アルゴリズム）、暗号処理
装置）の基本的な構成例を示す。

【００３０】図１に示されるように、入れ子型ＳＰＮ構
造では、各段において複数並列に並んだ非線形変換モジ
ュール（後述の例では拡大Ｓ−ｂｏｘ）２の各々により
局所的な小拡散を行い、次いで拡散モジュール（後述の
例では大ＭＤＳ）３によりブロック幅に渡る大拡散を行
い、また非線形変換モジュール２により局所的な小拡散
を行い、ということを所定段数繰り返す。さらに、非線
形変換モジュール２は、非線形変換モジュール（後述の
例ではＳ−ｂｏｘ）４と拡散モジュール（後述の例では
小ＭＤＳ）５とを交互に配列して構成される。

【００３１】すなわち、本実施形態の入れ子型ＳＰＮ構
造は、通常のＳＰＮ構造のＳ−ｂｏｘの部分に小型のＳ
ＰＮ構造（後述の例では２段のＳＰＮ構造）を再帰的に
埋め込んだものである。

【００３２】このような入れ子型ＳＰＮ構造によれば、
ブランチ数が階層的に保証でき（ブランチ数の階層
性）、活性Ｓ−ｂｏｘ数の下限を容易に保証できる、と
いう優れた特質が得られる。また、入れ子型ＳＰＮ構造
には、この他に、単純明快な構造のため、強度評価がし
やすいという特性がある。

【００３３】なお、図１では、局所的な小拡散を４並列
で表しているが、これに限定されるものではなく、それ
以外の並列数も可能である。また、図１では、全ブロッ
ク長を均等に分割した複数の小拡散を並列されている
が、これに限定されるものではなく、異なるビット長の
小拡散を複数組み合わせることも可能である。また、こ
の場合に、全ての小拡散のビット長を異なるようにして
もよいし、一部の小拡散のビット長は同じであってもよ
い。また、図１では、１種類の局所的な小拡散を用いて
いるが、２種類以上の局所的な小拡散を用いることも可
能である（例えば、図１において、ブロック幅に渡る拡
散モジュール３を、１つおきに、２つの非線形変換モジ
ュール２に渡る拡散モジュールに替えた構成）。また、
同一構成の繰り返し構造にする方法の他に、一部のみ構
成を替えることも可能である。また、例えば、全ての非
線形変換モジュール２の構成を同一構成にすることも、
非線形変換モジュール２について、異なる構成を混在さ
せることも可能である。この点は、拡散モジュール３、
非線形変換モジュール４、拡散モジュール５のそれぞれ
についても同様である。また、例えば、最初の入力段
と、最後の出力段だけ、他の中間段とは異なる内部構成
にしてもよい。また、図１では、２階層の入れ子構造で
あるが、３階層以上の入れ子構造も可能である（３階層
の場合、例えば、非線形変換モジュール４をさらにＳＰ
Ｎ構造にする）。また、例えば、非線形変換モジュール
２によって階層構造を異ならせることも可能である。こ
の他にも、種々のバリエーションが考えられる。

【００３４】以下では、８ビットＳ−ｂｏｘを利用した
ＡＥＳ相当の１２８ビット・ブロック暗号の具体例を用
いつつ本実施形態について説明する。

【００３５】ここで、ブロック暗号の強度評価に関して
説明する。

【００３６】与えられた関数ｆの暗号強度を見積もる重
要な指標として最大差分確率／最大線形確率がある。

【００３７】［最大差分確率、最大線形確率の定義］関
数ｆ（ｘ）に対し、最大差分確率ｄｐ^ｆと最大線形確率
ｌｐ^ｆはそれぞれ次式で表される。

【００３８】

【数１】

【００３９】ここで、Δｘはｘの入力差分、Γｘはｘの
マスク値を表す。

【００４０】一般には、最大差分確率ｄｐ^ｆや最大線形
確率ｌｐ^ｆを求めることが困難な場合が多い。ここで、
その近似値として最大差分特性確率ＤＰ^ｆおよび最大線
形特性確率ＬＰ^ｆで安全性を評価する。

【００４１】本実施形態では、入れ子型ＳＰＮ構造を暗
号化関数として用いる。ここでは、その基本構造である
ＳＰＳ構造の特性について述べる。ここで、ＳＰＳと
は、Ｓ−ｂｏｘ層と拡散層ＰをＳ−Ｐ−Ｓのように３層
重ねた構造を指す。

【００４２】［ブランチ数］ＳＰＳ構造において入力ｘ
に対する拡散層の出力がθ（ｘ）のとき、差分解読に対
するブランチ数Ｂは次式で定義する（文献[１]、文献
[６]清水秀夫,金子敏信,“共通鍵暗号のdiffusion層に
ついて,”SCIS 99-72,1999.）。

【００４３】

【数２】

【００４４】ここで、ｗ（）はＳ−ｂｏｘのビット幅を
符号長としたハミング距離である。非零の入出力差分に
接続するＳ−ｂｏｘを活性Ｓ−ｂｏｘと呼ぶ。

【００４５】この拡散層の入出力にＳ−ｂｏｘを接続し
た構造をＳＰＳ構造と呼ぶ。Ｓ−ｂｏｘが全単射のと
き、ＳＰＳ構造への入力ビットに非零の差分を持つもの
が１個でもあれば、ブランチ数の定義により、活性Ｓ−
ｂｏｘはブランチ数以上（すなわちＢ以上）になる。ま
た、Ｓ−ｂｏｘの最大差分確率をｐ_s とすると、ＳＰＳ
構造の最大差分特性確率は、上界値ｐ_s ^Ｂを越えない。

【００４６】［ＭＤＳ（Ｍａｘｉｍｕｍ Ｄｉｓｔａｎ
ｃｅ Ｓｅｐａｒａｂｌｅ）行列］ＳＰＳ構造のＳ層と
してＭ並列のＳ−ｂｏｘを用いた場合、それらを結合す
る拡散層のブランチ数は（Ｍ＋１）以下であり、ブラン
チ数が（Ｍ＋１）を満たす線形変換をＭＤＳ（Ｍａｘｉ
ｍｕｍ Ｄｉｓｔａｎｃｅ Ｓｅｐａｒａｂｌｅ；最大
距離分離）行列と呼ぶ。

【００４７】拡散層がＭＤＳ行列であるとき、ＳＰＳ構
造の最大差分特性確率は上界値ｐ_s ^M+1 を越えない
［１］。同様に、Ｓ−ｂｏｘの最大線形確率をｑ_s とす
ると、ＳＰＳ構造の最大線形特性確率はｑ_ｓ ^M+1 を越
えない。

【００４８】［入れ子型ＳＰＳ構造のブランチ数］２段
ＳＰＮ構造をそれより大きなＳＰＮ構造のＳ−ｂｏｘと
して利用するとき、拡大Ｓ−ｂｏｘ（小構造）と呼ぶこ
とにする。ここで、Ｓ−ｂｏｘはＭ₁ 並列であり、拡大
Ｓ−ｂｏｘ内の拡散層のブランチ数をＢ₁ とする。拡大
Ｓ−ｂｏｘに対するＭ₂ 並列の２段ＳＰＮ構造（大構
造）を考え、その拡散層のブランチ数をＢ₂ とする。こ
のとき、大構造中の活性Ｓ−ｂｏｘ数は下界値Ｂ_{1 ・}Ｂ
₂ を下回らない。この性質がブランチ数の階層性であ
る。

【００４９】また、大小２種類の拡散層の両方がＭＤＳ
行列であるとき、活性Ｓ−ｂｏｘ数は（Ｍ₁ ＋１）（Ｍ
₂ ＋１）を下回らない。これにより、入れ子型ＳＰＮ構
造のＤＰ^ｆ、ＬＰ^ｆの上限を抑えることが可能になる。

【００５０】図２に、Ｍ₁ ＝Ｍ₂ ＝４の場合の例を示
す。１５が後述する大ＭＤＳ行列による拡散部を示し、
１１〜１４がその入力側の拡大Ｓ−ｂｏｘを示し、１６
〜１９がその出力側の拡大Ｓ−ｂｏｘを示し、各々の拡
大Ｓ−ｂｏｘ内において、２０が後述する小ＭＤＳによ
る拡散部を示し、図中で最も小さく示した矩形（２１，
２２）が入力側および出力側のＳ−ｂｏｘを示す。

【００５１】図２において、Ｓ−ｂｏｘのうちハッチン
グしたものは活性を表し（図中の２１参照）、白抜きで
示したものは差分零を表す（図中の２２参照）。また、
太線で示した拡大Ｓ−ｂｏｘ（１１，１３，１６，１
７，１９）は活性を表し、その他の拡大Ｓ−ｂｏｘ（１
２，１４，１８）は差分零を表す。４段で活性Ｓ−ｂｏ
ｘが２５個以上であることが分かる。

【００５２】このように、本例の暗号では、２段で５×
５＝２５個以上の活性Ｓ−ｂｏｘ数を保証できる。Ｓ−
ｂｏｘの最大差分確率は、 ｐ_s ＝６／２５６、 ２段での差分特性確率は、 ｐ_s ²⁵＝２^-135.4＜＜２^-128、 となり、差分解読法が有効でないことが分かる。

【００５３】同様に、線形特性確率についても、 ｑ_s ＝２２／２５６、 ｑ_s ²⁵＝２^-88.5 ＜＜２^-64 、 となり、線形解読法が有効でないことが分かる。

【００５４】なお、従来のＳＱＵＡＲＥ／Ｒｉｊｎｄａ
ｅｌ型暗号に適用されるＳＱＵＡＲＥ攻撃は、段内の１
バイトに対して、他の入力を固定したまま、２⁸ 通りの
すべてのパターンを入力したとき、２段通過後の出力バ
イトの各々に対して２⁸ 通りのすべてのパターンが出現
する特性を利用するものであるが、本例の暗号では、例
えば後述する大ＭＤＳの取り方によってＳ−ｂｏｘ間の
攪拌性を向上させることで、その単純な適用を困難にし
ている。

【００５５】以下では、入れ子型暗号方式の具体例を用
いながら本実施形態についてより詳しく説明する。

【００５６】本実施形態の具体例の構成について説明す
る。

【００５７】図３に、本実施形態の入れ子型暗号方式の
データ攪拌部の階層構造の例を示す。

【００５８】ブロック長は、１２８ビットを例にとる
（もちろん、他のブロック長でも本発明は実施可能であ
る）。鍵長は、２５６ビットを例にとる（もちろん、他
の鍵長でも本発明は実施可能である）。なお、本実施形
態で、ブロック長を１２８ビットとしたときに、鍵長を
１２８ビットや１９２ビットとした場合について後述す
る。

【００５９】複数並列された拡大Ｓ−ｂｏｘと大ＭＤＳ
との対（ただし、後述するように最終段は大ＭＤＳを含
まない）を１段と数えるものとした場合に、段数をＲ段
として表し、具体例を用いる場合にはＲ＝８を用いる。
なお、基本的には段数は何段でも実施可能であるが、実
際の段数は、例えば安全性や計算機資源等を想定して適
宜設定することができ、好ましくは６段以上、より好ま
しくは８段以上とすると、より効果的である。

【００６０】なお、本例の暗号では、段関数がＳ−ｂｏ
ｘ層を２層含んでいるので、１段が通常の２段に相当す
る。段構造内の大ＭＤＳについては、異なるガロア体に
基づくいくつかの実装を示す（強度優先や速度優先の例
を挙げる）。

【００６１】図４に、本実施形態に係る暗号化装置の構
成例を示す。

【００６２】１０１が各段であり、１０４は大ＭＤＳ拡
散層、１０２は拡大Ｓ−ｂｏｘ層、１０３は各々の拡大
Ｓ−ｂｏｘである。１０５は、排他的論理和部である。
１２１〜１２４は、詳しくは後述する鍵スケジュール部
の構成部分である。Ｐは入力となる１２８ビットの平文
データ、Ｃは出力となる１２８ビットの暗号文データで
ある。

【００６３】段関数は、以下に述べるように、２段ＳＰ
Ｎ構造からなる３２ビット処理サブ・ブロック（拡大Ｓ
−ｂｏｘ）１０３を４個並列に並べ、ＭＤＳ拡散層１０
４で繋いだ構造である。全体の基本構造は、この段関数
の繰り返しにする。

【００６４】なお、図４の例では、暗号化と復号の処理
を対称的にするため、最終段は拡大Ｓ−ｂｏｘ層１０２
とその後の鍵加算１０５だけで構成することにしてい
る。

【００６５】段関数１段に２段ＳＰＮ構造が埋め込ま
れ、最後に鍵加算が行われるので、拡大鍵のビット長
は、２×１２８×Ｒ＋１２８＝１２８（２Ｒ＋１）とな
る。Ｒ＝８の場合には、１２８×１７ビットとなる。

【００６６】次に、Ｓ−ｂｏｘについて説明する。

【００６７】本例の暗号では、入出力表で定義する８ビ
ットＳ−ｂｏｘを利用する。

【００６８】図５に、８ビットＳ−ｂｏｘの入出力表の
一例を示す。図５において、配列要素は１６進数で表現
してある。

【００６９】図５の表は、最左上の値（７２）がｓ
［０］に対応し、その１つ右の値（ＡＡ）がｓ［１］に
対応し、その行の右端の値（９Ｆ）がｓ［１５］に対応
し、次の行に移って、その左端の値（６９）がｓ［１
６］に対応し、その１つ右の値（６Ａ）がｓ［１７］に
対応し、以下同様の要領である。そして、最下右の値
（５７）がｓ［２５５］に対応する。

【００７０】図５に例示したＳ−ｂｏｘの特性は、次の
通りである。 ・最大差分確率：６／２５６（理論的最小値は４／２５
６） ・最大線形確率：２２／２５６（理論的最小値は１６／
２５６） ・代数次数：７次（全単射関数の最大値） なお、Ｓ−ｂｏｘには、入出力表を用いる代わりに、演
算処理を用いても良い。

【００７１】次に、各々の拡大Ｓ−ｂｏｘ（または小構
造とも呼ぶ）の部分について説明する。

【００７２】図６に、拡大Ｓ−ｂｏｘ１０３の内部構成
例を示す。この例では、４並列の８ビットＳ−ｂｏｘ１
１２（図５参照）を２組用意し、拡散層１１３を挟んだ
２段ＳＰＮ構造になっている。この構造は、ＳＰＳ構造
と呼ぶべきものでもあるが、２段目の拡散層が省略され
た特殊な２段ＳＰＮ構造とみなす。Ｓ−ｂｏｘ１１２の
入力直前では、必ず鍵加算１１１を行う。拡大Ｓ−ｂｏ
ｘ内の拡散層１１３には、ＭＤＳ行列を使用し、これを
小ＭＤＳと呼び、ＭＤＳ_Ｓと表記する。小ＭＤＳのブラ
ンチ数は５である。

【００７３】図７に、本例の暗号で利用するＭＤＳ_Ｓ行
列の一例を示す。図７において、行列要素は１６進数で
表現してある。ここで、Ｓ−ｂｏｘ入出力と行列要素
は、乗算の際、ガロア体ＧＦ（２⁸ ）の元とみなす。こ
の例の場合の原始多項式は、ｘ ⁸ ＋ｘ⁶ ＋ｘ⁵ ＋ｘ＋１
である。

【００７４】次に、本例の暗号の段関数である大構造に
ついて説明する。

【００７５】図８に、１段の部分の構成例を示す。本例
の暗号の段関数である大構造は、４並列の３２ビット拡
大Ｓ−ｂｏｘ１０３（図６参照）をＭＤＳ行列の拡散層
１０４で結合して構成する。この段関数である大構造に
おける拡散層１０４にも、ＭＤＳ行列を使用し、これを
大ＭＤＳと呼び、ＭＤＳ_Ｌと表記する。ただし、ここで
のＭＤＳ行列とは、拡大Ｓ−ｂｏｘに着目したブランチ
数が５であることを意味する。

【００７６】大ＭＤＳの最も単純な構成は、拡大Ｓ−ｂ
ｏｘの３２ビット幅の出力をＧＦ（２³²）の元として実
現する方法である。この方法は高い強度が実現しやすい
が、一般的な実行は困難もしくは高速化はしにくい。そ
こで、この場合には、大ＭＤＳ行列に制約を課すのが好
ましい。

【００７７】また、４並列のＭＤＳを構成するには、４
ビット幅で十分であり、ＧＦ（２⁴）上の演算を利用し
て実現できる。さらに、ＭＤＳを巡回的なものにするこ
とで、効率的な計算が可能になる。

【００７８】また、実際には、これ以外のＧＦ（２⁸ ）
やＧＦ（２¹⁶）を利用する中間の型も可能である。

【００７９】ＧＦ（２³²）を利用した大ＭＤＳについて
説明する。

【００８０】この場合、拡大Ｓ−ｂｏｘの入出力をＧＦ
（２³²）の元とみなして、大構造ＭＤＳを設計する。こ
れは、ＳＰＮ構造での自然な設計法である。しかし、３
２ビット幅では乗算表による実装は現実的ではない。計
算による場合も一般のＭＤＳ行列では計算量が掛かり高
速化が困難である。計算量が増加する原因は、ガロア体
上の乗算における桁上がり時の処理が重いためである。
計算量を抑えるためには、大ＭＤＳ行列を、ビット表現
で３２ビット中の下位５ビットにのみ１が現れる（下位
５ビット以外は０のものに限定した）要素で構成する方
法がある。このような条件を満たす行列を使用すること
で、桁上がり処理を上位４ビットを入力とする表引きで
処理可能となる。

【００８１】図９に、大ＭＤＳ行列の一例を示す。この
例の場合の原始多項式は、ｘ³²＋ｘ ²⁸＋ｘ²⁷＋ｘ＋１で
ある。

【００８２】ＧＦ（２⁴ ）を利用した大ＭＤＳについて
説明する。

【００８３】図１０に、この場合のＭＤＳ行列の一例を
示す。この例の場合の原始多項式は、ｘ⁴ ＋ｘ＋１とす
る。

【００８４】ここでは、１つの拡大Ｓ−ｂｏｘ１０３に
おいて４つのＳ−ｂｏｘの各々の出力すなわち８ビット
・データの同じ位置（例えば図１０では最上位ビットを
例にとって示している）の１ビットを集めて、これを１
組４ビットのデータとし、４つの拡大Ｓ−ｂｏｘ１０３
からの４組の４ビット・データを、ＧＦ（２⁴ ）の元と
みなす。

【００８５】そして、８ビット・データの同じ位置につ
いて、２段の４並列拡大Ｓ−ｂｏｘ層の間の拡散層１０
４に４行４列のＭＤＳ行列（例えば図１０では最上位ビ
ットの場合、１０４−１）を用いる。

【００８６】出力となった４組の４ビット・データは、
それぞれ対応するもとの８ビット・データの同じ位置に
結線される。

【００８７】Ｓ−ｂｏｘのビット幅に対応して、８個の
ＭＤＳ行列（１０４−１〜１０４−８）を用意して、大
ＭＤＳとする。

【００８８】これらの４行４列のＭＤＳ行列は、それぞ
れ、ブランチ数５を保証する。各ＭＤＳ行列は、Ｓ−ｂ
ｏｘ中の異なるビット位置に接続するので、全体として
もブランチ数５を保証する。

【００８９】各拡大Ｓ−ｂｏｘの同じ位置のＳ−ｂｏｘ
出力を単位とした表引きによって（なお、演算によって
もよい）、８個のＭＤＳ行列を同時に処理する効率的な
実行が可能である。

【００９０】さらに、ＭＤＳ行列が巡回的な場合、３２
ビットごとの排他的論理和と８ビット単位のビット回転
を組み合わせた効率的な処理が可能となる。

【００９１】なお、上記と同様の考え方により、８ビッ
ト・データのうちの同じ位置の２ビットごとに処理を行
うこととして、各要素が８ビットの４行４列のＭＤＳ行
列（ＧＦ（２⁸ ））を、４個用意して、大ＭＤＳとする
ことも可能である。また、８ビット・データのうちの同
じ位置の４ビットごとに処理を行うこととして、各要素
が１６ビットの４行４列のＭＤＳ行列（ＧＦ（２¹⁶））
を、２個用意して、大ＭＤＳとすることも可能である。

【００９２】なお、上記では、同じ位置のビットを取り
出して処理を行うものとして説明したが、異なる位置の
ビットを（排他的に）取り出して処理を行うことも可能
である。

【００９３】なお、図４では、拡大Ｓ−ｂｏｘを４並列
で表しているが、これに限定されるものではなく、それ
以外の並列数も可能である。また、拡大Ｓ−ｂｏｘの内
部構成を、全て同一とせずに、異なるものを混在させる
ことも可能である。また、全ての大ＭＤＳ行列を同一に
せずに、異なるものを混在させることも可能である。こ
の点は、小ＭＤＳ行列、Ｓ−ｂｏｘの入出力表について
も同様である。また、例えば、最初の入力段と、最後の
出力段だけ、他の中間段とは異なる内部構成にしてもよ
い。この他にも、種々のバリエーションが考えられる。

【００９４】次に、鍵スケジュール部（鍵生成部）につ
いて説明する。

【００９５】図１１に、鍵スケジュール部の構成例を示
す。１２１は、データ攪拌部の段関数の１段分に対応す
る部分であり、１３１は線形拡散層（本例では、大ＭＤ
Ｓによる拡散層とする）であり、１３２は非線形変換層
（本例では、４並列のＳＰ層（Ｓ−ｂｏｘ層・拡散層）
１３３とする）であり、１３４は排他的論理和部であ
り、１３５は剰余加算部である。図１１では省略してい
るが、１２１の部分の構成が必要に応じて繰り返される
ことになる。なお、１２８ビットの鍵を出力する構成単
位を鍵スケジュール部の１つの段とすると、鍵スケジュ
ール部の段数は（２Ｒ＋１）段となる（Ｒ＝８の場合、
１７段である）。

【００９６】図１１の例では、２５６ビットの変形Ｆｅ
ｉｓｔｅｌ型繰り返し処理の各段の出力左半分１２８ビ
ットを取り出し、段数依存定数Ｃ_i を剰余加算して拡大
鍵とする。

【００９７】なお、鍵長を２５６ビットとする場合に
は、例えば、上位１２８ビットを初段の線形拡散層１３
１に与え、下位１２８ビットを非線形変換層１３２に与
えればよい。また、鍵長を１２８ビットとする場合に
は、例えば、その１２８ビットを初段の線形拡散層１３
１に与えるとともに、非線形変換層１３２に与えればよ
い。また、鍵長を１９２ビットとする場合には、例え
ば、上位１２８ビットを初段の線形拡散層１３１に与
え、下位側６４ビットと上位側６４ビットとを結合した
１２８ビットを非線形変換層１３２に与えればよい。

【００９８】なお、図１２のように、段数依存定数Ｃ_i
を剰余加算する箇所について、種々のバリエーションが
考えられる。

【００９９】図１３に、図１１や図１２における非線形
変換層１３２の各々の非線形変換層１３３の構成例を示
す。１４１はＳ−ｂｏｘであり、１４２は４並列のＳ−
ｂｏｘを入力とする小ＭＤＳである。

【０１００】なお、このＳ−ｂｏｘは、図４の暗号処理
側のＳ−ｂｏｘと同じものでもよいし、異なるものでも
よい。小ＭＤＳについても同様である。また、鍵スケジ
ュール部の各段によってＳ−ｂｏｘや小ＭＤＳの構成を
変えることも可能である。

【０１０１】図１４に、図１１や図１２における非線形
変換層１３２の各々の非線形変換層１３３の他の構成例
を示す。この例は、図１３の構成に対して、排他的論理
和部１４３を付加したものである。

【０１０２】さらに、図１４において、Ｓ−ｂｏｘに対
する入力と排他的論理和をとる定数を、段数依存定数と
する構成も可能である。

【０１０３】次に、各段で異なる定数Ｃ_i を作る方法の
一例について説明する。

【０１０４】図１１や図１２の鍵スケジュール部の１２
８ビットの加算定数Ｃ_i は、４つのビット定数（Ｈ₀ ，
Ｈ₁ ，Ｈ₂ ，Ｈ₃ ）の組み合わせで記述することができ
る。３２ビットの定数Ｈ_i の一例を次に示す。 Ｈ₀ ＝（５ａ８２７９９９）_H＝２^1/2 ／４ Ｈ₁ ＝（６ｅｄ９ｅｂａ１）_H＝３^1/2 ／４ Ｈ₂ ＝（８ｆ１ｂｂｃｄｃ）_H＝５^1/2 ／４ Ｈ₃ ＝（ｃａ６２ｃ１ｄ６）_H＝１０^1/2 ／４ 加算定数Ｃ_i の組み合わせを、Ｃ_i ＝（Ｃ_i0，Ｃ_i1，Ｃ
_i2，Ｃ_i3）と記述する。各段で異なる１２８ビットの定
数Ｃ_i を容易に生成するため、Ｃ_i を構成するＨ_i の組
み合わせの決定に８ビットＬＦＳＲを用いる。例えば、
ＬＦＳＲの原始多項式には（１Ｄ）_H を、ＬＦＳＲの初
期状態には（８Ｂ）_H を用いる。このＬＦＳＲを用いて
生成されたビット列を２ビットづつ読み出し、定数とし
て使用する３２ビット定数Ｈ_i を決定する。

【０１０５】図１５に、上記のような方法によりＬＦＳ
Ｒを用いて決定した加算定数表の例を示す。

【０１０６】なお、ＬＦＳＲの初期状態は、可変として
もよいし、固定としてもよい。前者の場合には、ＬＦＳ
Ｒの初期状態も鍵の一部を構成することになる。後者の
場合には、暗号側と同じＬＦＳＲの初期状態を持つ復号
側のみ、暗号文を復号することができる。

【０１０７】以上説明したような鍵スケジュール部によ
れば、非線形変換層については、入力の１ビットが変化
すると、Ｓ−ｂｏｘ（１４１）により、８ビットに変化
を波及させ、さらに、小ＭＤＳ（１４２）により、３２
ビットに変化を波及させることができる。さらにまた、
線形拡散層については、大ＭＤＳ（１３１）が前段の非
線形変換層の出力をより大きく攪拌するので、１ビット
の違いも、１２８ビットの幅に広がる利点がある。

【０１０８】従って、このような鍵スケジュール部によ
れば、各段でバラバラな鍵が出やすい、攪拌しやすい、
という効果を得ることができる。また、段ごとに異なる
定数により、段にわたる鍵の一致が少ない（鍵がほぼ一
致しない）、という効果を得ることができる。

【０１０９】なお、鍵スケジュール部として他の構成を
とることも可能である。

【０１１０】さて、以下では、大きなブロック長を持つ
ブロック暗号のデータの攪拌部に用いられる効率的な線
形拡散装置について説明する。

【０１１１】図１６に、本実施形態の線形拡散装置の基
本的な構成要素である有限体乗算装置の構成例を示す。
前述したＧＦ（２³²）あるいはＧＦ（２¹⁶）を利用した
大ＭＤＳ（図９、図４の１０４、図１１や図１２の１３
１参照）における、１つの入力と大ＭＤＳ行列の１つの
要素との積の計算に、この線形拡散装置を用いることが
できる。

【０１１２】図１６に示されるように、この有限体乗算
装置は、係数格納部２０２、乗算部２０３、桁溢れ帰還
部２０１、排他的論理和分（排他和部）２０４を用いて
構成される。

【０１１３】係数格納部２０２は、係数すなわち乗算の
乗数（例えば、図９の大ＭＤＳ行列の１つの要素）を格
納する部分である。

【０１１４】乗算部２０３は、入力ワードと係数を２進
数とみなした場合の乗算を行う部分である。

【０１１５】なお、係数格納部２０２の係数が１、２、
４、…、のように２のべき乗の場合には、通常の乗算器
を用いた計算が行える。また、この乗算器がキャリーを
伝播させない特殊な乗算器である場合には、係数格納部
２０２の係数が任意の値のときに計算が行える。

【０１１６】桁溢れ帰還部２０１は、乗算の結果として
生ずる桁溢れを有限体上の乗算に戻すため排他的論理和
分２０４で足される数（帰還ワード）を検索する部分で
ある。

【０１１７】排他的論理和分２０４は、乗算部２０３の
出力と桁溢れ帰還部２０１の出力ビット的な排他和を行
う部分である。

【０１１８】有限体乗算装置２００の機能は、有限体Ｇ
Ｆ（２）の拡大体ＧＦ（２^k ）の元である入力ワードａ
と同じ有限体の別の元である係数ｂの積ａ×ｂを出力ワ
ードとして計算することである。

【０１１９】まず、有限体における積について説明す
る。

【０１２０】なお、以下の記述において、Σａ_i ｘⁱ に
おいて総和を取るｉの範囲やΣｂ_jｘ^j において総和を
取るｊの範囲を０〜ｋ−１とし、それらの範囲について
の記述を省略する。

【０１２１】ＧＦ（２^k ）の元は、多項式表現によっ
て、ある変数ｘの（ｋ−１）次の多項式Σａ_i ｘⁱ とし
て表現できる。元ａを表現するのに、その係数を並べて
ｃ_k-1ｃ_k-2 …ｃ₀ として表現することもある。

【０１２２】２つの元ａ＝Σａ_i ｘⁱ とｂ＝Σｂ_i ｘⁱ
の積は、 ａ×ｂ＝（Σａ_i ｘⁱ ）×（Σｂ_i ｘⁱ ） ｍｏｄ ｐ
（ｘ） で定義される。

【０１２３】ここで、ｐ（ｘ）はＧＦ（２^k ）の原始多
項式と呼ばれ、周期（２^k −１）を持つｋ次の既約なモ
ニック多項式である。また、ｍｏｄの意味は、例えば、
ｋ＝３２の場合、原始多項式としてｐ（ｘ）＝ｘ³²＋ｘ
²⁸＋ｘ²⁷＋ｘ＋１を選んだ場合、多項式の積によってｘ
³²の項や因子が現れた場合には、それを（ｘ²⁸＋ｘ²⁷＋
ｘ＋１）と見なすということを表す。従って、積もまた
ｋ次未満の多項式となる。

【０１２４】一般に、このような操作を行う場合、高速
な処理を行うため、乗数と被乗数をタグとして積を検索
する乗算表を用いた乗算装置を用いることがある。しか
し、乗数と被乗数はともに２^k 個の値を取り得るので、
乗算表は、２^2k個のエントリを持ち、各エントリはｋビ
ットのサイズを持つので、ｋがある程度大きくなると、
乗算表のサイズは非常に大きなものとなる。

【０１２５】本実施形態も、基本的には、乗算表を用い
る方式に類似するが、係数がある制約条件を満足する場
合には、はるかに小さな記憶容量によって実現すること
ができる。

【０１２６】その制約条件とは、係数ｂは、定数であっ
て、非零の係数を持つのは、ある次数ｔ以下の下位の係
数のみであるということである（ｔ次を越える次数の係
数は０であり、ｔ次以下の係数は０または１である）。
ある元ａが任意の元を取る場合には、桁溢れは、最大３
２ビットであるが、この制約条件を満足する場合には、
桁溢れは、高々、ｔビットである。このｔビットの桁溢
れの値を決定するのは、被乗数ａの上位ｔビットまでの
ＭＳＢ（Ｍｏｓｔ ＳｉｇｎｉｆｉｃａｎｔＢｉｔｓ）
である。

【０１２７】有限体上の乗算と通常の多項式と見なした
場合の乗算との違いは、２進数の積の結果、３２次以上
の係数への桁溢れが起こった場合に、原始多項式によっ
て、３２次未満の係数へその寄与を還元する必要がある
が、本実施形態では、桁溢れ帰還部２０１が、還元すべ
きワードを表として持っている。

【０１２８】この帰還ワードは、高々（ｔ＋１）ビット
の係数ｂと乗数ａの上位ｔビットと原始多項式から決定
できる。つまり、（ａ［（ｋ−ｔ）...（ｋ−１）］×
ｂ）［（ｔ＋１）...２ｔ］ ｍｏｄ ｐ（ｘ）によっ
て与えられる。ここで、ａ［（ｋ−ｔ）...（ｋ−
１）］とは、ａの中から、（ｋ−１）次から（ｋ−ｔ）
次までの項を取り出したものである。

【０１２９】すなわち、桁溢れ帰還部２０１が持つ帰還
ワードの表の内容は、対応するＭＤＳ行列（図９参照）
の要素に応じて決まる。

【０１３０】桁溢れ帰還部２０１が持つ帰還ワードの表
は、２^t 個のエントリからなり、各エントリはｋビット
のサイズを持つ。

【０１３１】次に、上述した有限体乗算装置を利用する
ことで実現される、ブロック暗号のデータ・ブロックに
線形変換を施す線形変換装置について説明する。

【０１３２】線形変換の１種にＭＤＳ行列による線形変
換がある。ＭＤＳ行列とは、データ・ブロックが、複数
（ｎ）のワードから構成され、各ワードがｋビットの長
さを持つ場合、各ワードを有限体ＧＦ（２^k ）の元と見
なし、ｎ個の元の組をｎ個の元の組に線形写像するｎ行
ｎ列の行列であって、すべての小行列が非零のものであ
る。ＭＤＳ行列による線形変換は、非零の入出力のワー
ドの数の下限が保証されているという性質を持つ。

【０１３３】しかし、一般に、有限体ＧＦ（２^k ）上の
行列演算は、ＧＦ（２^k ）上の複数回の乗算と加算から
構成され、計算コストが大きい。

【０１３４】図１７に、本実施形態の線形変換装置の構
成例を示す。前述したＧＦ（２³²）あるいはＧＦ
（２¹⁶）を利用した大ＭＤＳ（図９、図４の１０４、図
１１や図１２の１３１）に、この線形変換装置を用いる
ことができる。

【０１３５】図１７の構成では、まず、図１６の有限体
乗算装置をＭＤＳ行列に対応してマトリクス状に用意す
る。

【０１３６】図１７においてｍ＝ｎとすると、ｎ² 個の
有限体乗算装置２００の各々の係数は、ｎ行ｎ列のＭＤ
Ｓ行列の対応する要素と同じ値をとる。係数ａ_ijを持つ
装置には、第ｉ入力ワードが入力される。

【０１３７】各々の出力ワードに対する排他的論理和分
２０５は、それぞれ、あるｊに対応する係数ａ_ijを持つ
すべての有限体乗算装置２００の出力ビット的な排他的
論理和を計算し、第ｊ出力ワードとして出力する。

【０１３８】本実施形態における線形変換装置は、線形
変換を表現するＭＤＳ行列を（ａ_ij）で表現するとき、
各要素ａ_ijは高々ｔ次までの項しか非零の係数を持たな
いことを特徴とする。ここで、ｉ，ｊは、０からｎ−１
までの整数値を取りうるとする。また、ｔは、有限体Ｇ
Ｆ（２^k ）の拡大次数ｋよりも小さな正数であるとす
る。

【０１３９】これによって、図１８のような乗算が実現
できる。

【０１４０】なお、桁溢れ帰還部２０１が持つ帰還ワー
ドの表の内容は、対応するＭＤＳ行列の要素に応じて決
まるので、例えば、図９の大ＭＤＳ行列の例では、４種
類の帰還ワード表だけ持てばよいことになる。

【０１４１】次に、本暗号方式に用いるＭＤＳ行列（特
に大ＭＤＳ）を生成するためのＭＤＳ行列生成装置（も
しくはランダム生成アルゴリズム）について説明する。

【０１４２】図１９に、ＭＤＳ行列生成装置の構成例を
示す。図１９に示されるように、このＭＤＳ行列生成装
置は、要素生成部２３１、小行列式計算部２３２、判定
部２３３を用いて構成される。

【０１４３】図２０に、この場合の手順の一例を示す。

【０１４４】要素生成部２３１は、ランダムに、ｎ行ｎ
列のＭＤＳ行列の各行列要素を生成する（ステップＳ
１）。なお、先の有限体乗算装置を適用可能とする場合
には、このときに、下位ｔビットのみ非零の要素（ｔ次
以下の要素）からなるＭＤＳ行列を生成しておく（すな
わち、この場合には、要素生成部２３１内で、下位ｔビ
ットのみ非零かどうかのチェックを行うことになる）。

【０１４５】なお、行列要素を生成するためには、乱数
を発生して用いる方法や、多重ループの制御変数の値を
用いる方法など種々の方法が考えられる。

【０１４６】次に、小行列式計算部２３２は、要素生成
部２３１の生成した行列の１次小行列を計算し（ステッ
プＳ２）、判定部２３３は、小行列式計算部２３２が計
算した小行列が非零か否かを判定する（ステップＳ
３）。１つでも零の１次小行列式があれば、ステップＳ
１からやり直す。

【０１４７】すべての１次小行列式が非零ならば、同じ
要領で、２次小行列について同様にチェックする（ステ
ップＳ４，Ｓ５）。

【０１４８】以上を、ｎ次小行列式まで、同じ要領で行
い（ステップＳ６，Ｓ７）、１次からｎ次まですべての
小行列式が非零であることが確認されたならば、そのＭ
ＤＳ行列を出力する（ステップＳ８）。

【０１４９】なお、ステップＳ８で得たＭＤＳ行列を暗
号化に用いるＭＤＳ行列とした場合、復号に用いるＭＤ
Ｓ行列は、ステップＳ８で得たＭＤＳ行列の逆行列によ
って与えられる（逆に、ステップＳ８で得たＭＤＳ行列
を復号に用いる場合には、その逆行列が、暗号化に用い
るＭＤＳ行列となる）。

【０１５０】ただし、ステップＳ８で得られたＭＤＳ行
列の全ての要素が下位ｔビットのみ非零であっても、そ
の逆行列の全ての要素が下位ｔビットのみ非零であると
は限らない。

【０１５１】なお、図２０の手順おいて、小行列式の判
定を１次からｎ次まで順番に行っているが、他の順番で
もよく、また、それらの全部または一部を並列して行っ
てもよい。

【０１５２】次に、暗号化に用いるＭＤＳ行列と、その
逆行列である、復号に用いるＭＤＳ行列との両方とも、
下位ｔビットのみ非零という条件を満たすように、ＭＤ
Ｓ行列を求める方法について説明する。

【０１５３】図２１に、この場合のＭＤＳ行列生成装置
の構成例を示す。図２１に示されるように、このＭＤＳ
行列生成装置は、要素生成部２３１、小行列式計算部２
３２、判定部２３３、逆行列生成部２３４、逆行列判定
部２３５を用いて構成される。要素生成部２３１、小行
列式計算部２３２、判定部２３３の部分は、図１９と同
様である。

【０１５４】図２２に、この場合の手順の一例を示す。

【０１５５】まず、先の例と同様にして、要素生成部２
３１、小行列式計算部２３２、判定部２３３により、下
位ｔビットのみ非零の要素からなるＭＤＳ行列を生成す
る（ステップＳ１１）。

【０１５６】次に、逆行列生成部２３４により、生成さ
れたＭＤＳ行列の逆行列を求める（ステップＳ１２）。

【０１５７】次に、逆行列判定部２３５は、求められた
逆行列の各々の要素が、下位ｔビットのみ非零かどうか
調べる。

【０１５８】全ての要素が下位ｔビットのみ非零であれ
ば（ステップＳ１３）、そのＭＤＳ行列および逆行列を
出力する（ステップＳ１４）。

【０１５９】１つでも下位ｔビットのみ非零ではない要
素があれば（ステップＳ１３）、Ｓ１１からやり直す。

【０１６０】なお、ステップＳ１１で生成されたＭＤＳ
行列を暗号化に用いる場合、ステップＳ１２で生成され
た逆行列を復号に用いることになる（逆に、ステップＳ
１１で生成されたＭＤＳ行列を復号に用いる場合、ステ
ップＳ１２で生成された逆行列を暗号化に用いることに
なる）。

【０１６１】なお、ＭＤＳ行列を生成するにあたって
は、同一行内に同じ値の要素が存在しないようなＭＤＳ
行列（ｎ行ｎ列のＭＤＳ行列において第ｉ１要素から第
ｉｎ要素までの中に同一の値を持つ２個以上の要素がな
いもの）を生成するようにしてもよい。例えば、図２０
や図２２の手順例の場合、ＭＤＳ行列の生成時に、同一
行内に同じ値の要素が存在するかどうかチェックし、同
一行内に１つでも同じ値の要素が存在すれば、ＭＤＳ行
列を生成し直すようにすればよい。なお、同一列内に同
じ値の要素が存在しても構わない。

【０１６２】ブロック暗号のデータの線形変換装置とし
て、同一行内に同じ値の要素が存在しないようなＭＤＳ
行列を選択した線形変換装置を用いることによって、入
力ワードの差分値が相殺する確率を小さくすることがで
きる。

【０１６３】また、同一行内の要素の和が１または０に
ならないようにＭＤＳ行列を生成するようにしてもよ
い。この場合も、同様の効果が得られる。

【０１６４】次に、Ｓ−ｂｏｘと小ＭＤＳの組み合わせ
を選択する（あるいは最適化する）ことによって、より
安全性を高める方法、より具体的には、最大差分特性確
率が理論的最悪例よりも良くなることを保証するＳ−ｂ
ｏｘとＭＤＳの組み合わせの設計方法について説明す
る。

【０１６５】ＭＤＳはブランチ数Ｂしか保証しないの
で、Ｓ−ｂｏｘの最大差分確率がｐとすると、最大差分
特性確率は、ｐ^B になる。例えば、ｍ行ｍ列のＭＤＳは
Ｂ＝ｍ＋１となる。しかし、Ｓ−ｂｏｘと小ＭＤＳの組
み合わせを選択する（あるいは最適化する）ことによ
り、ブランチ数Ｂで、最大差分特性確率がｐ^B 未満を保
証することができる。この結果、通常のＭＤＳよりも最
大差分確率が小さいＭＤＳとＳ−ｂｏｘを組み合わせる
ことにより、相乗効果が望め、安全性をより向上させる
ことができる。

【０１６６】さて、暗号アルゴリズムの安全性評価の一
手法として、差分解読法あるいは線形解読法があり、両
者は双対な関係にある。差分解読法に着目すると、Ｓ−
ｂｏｘの安全性は入出力の差分相関を持つ確率で規定さ
れ、この確率が小さいほど安全性が高い。暗号アルゴリ
ズムでは、差分確率の小さいＳ−ｂｏｘが多数組み合わ
せられるほど安全性が向上する。効率的なＳ−ｂｏｘの
連結方法として、線形変換装置が従来から提案されてい
る。線形変換装置は、あるブロック長のデータに対して
線形変換を施す装置で、暗号化装置（や復号装置）の構
成要素として利用されることがある。線形変換の一種に
ＭＤＳ行列による線形変換がある。

【０１６７】ＭＤＳ行列とは、データブロックがｎ個の
複数のワードから構成される場合、ｎ個のワードへの線
形変換を定義する行列であり、非零の入出力ワードはｎ
＋１個以上が保証されているという性質を持つ。しか
し、Ｓ−ｂｏｘは、差分確率として、６／２５６、４／
２５６、２／２５６など複数の値の候補を持つため、Ｍ
ＤＳであっても、ｎ＋１個の確率がそれぞれ６／２５６
のＭＤＳと、それぞれ４／２５６であるＭＤＳとでは、
後者の方が安全性が高い。

【０１６８】従来、Ｓ−ｂｏｘとＭＤＳは単体の構成要
素としてそれぞれ独立に安全性を評価されたが、ここで
は、Ｓ−ｂｏｘとＭＤＳの相乗効果を検証する装置の例
を示す。

【０１６９】図２３に、この場合の処理手順の一例を示
す。この例は、差分解読法に着目して、Ｓ−ｂｏｘとの
相乗効果が望めるＭＤＳ決定処理を示している。差分解
読法と線形解読法は双対な関係にあるため、この処理を
線形確率に着目して行うことにより、線形解読法に対し
ても同じ効果が得られる。

【０１７０】まず、複数のＳ−ｂｏｘの候補と複数の小
ＭＤＳの候補を生成する（ステップＳ２１、ステップＳ
２２）。なお、ステップＳ２１とステップＳ２２は逆の
順番で行ってもよいし、並列して行ってもよい。

【０１７１】次に、Ｓ−ｂｏｘ候補のなかからＳ−ｂｏ
ｘを１つ選択するとともに（ステップＳ２３）、小ＭＤ
Ｓ候補のなかから小ＭＤＳを１つ選択する（ステップＳ
２４）。なお、ステップＳ２３とステップＳ２４を逆の
順番で行ってもよいし、並列して行ってもよい。

【０１７２】次に、後述するように、有効な（活性にし
た）Ｓ−ｂｏｘの差分値の最大を計算し（ステップＳ２
５）、上限（例えば、６／２５６）を下回る差分値（例
えば、４／２５６）が含まれているかどうか調べる。

【０１７３】そして、含まれていれば（ステップＳ２
６）、そのときのＳ−ｂｏｘと小ＭＤＳの組み合わせを
出力する（ステップＳ２７）。

【０１７４】一方、含まれていなければ（ステップＳ２
６）、Ｓ−ｂｏｘと小ＭＤＳの一方または両方を選択し
直して、以下、同様に、処理を繰り返す。

【０１７５】なお、図２３では、最初に複数のＳ−ｂｏ
ｘの候補と複数の小ＭＤＳの候補を生成しておいたが、
その代わりに、最初の１組以外は、ステップＳ２６で条
件を満たさずに、他のＳ−ｂｏｘおよびまたはＭＤＳを
選択することになったときに、生成するようにしてもよ
い。

【０１７６】ステップＳ２５およびステップＳ２６の処
理は、実際には、次のようになる。

【０１７７】例えば、図６の例の場合、Ｓ−ｂｏｘと小
ＭＤＳの組について、次の４種類、計２０通りの検証を
行い、すべての条件を満たした場合に、ステップＳ２７
でそのときのＳ−ｂｏｘと小ＭＤＳの組が出力される。 小ＭＤＳ１１３の入力側の１つのＳ−ｂｏｘ１１２の
み活性にした場合に、小ＭＤＳ１１３の出力側の４つの
Ｓ−ｂｏｘ１１２が全て活性になり、かつ、そのうちの
１つでも上限を下回る差分値になれば、この検証を合格
とする。この検証を、入力側の４つのＳ−ｂｏｘ１１２
の各々について行う（４通りある）。 小ＭＤＳ１１３の入力側の２つのＳ−ｂｏｘ１１２の
み活性にした場合に、小ＭＤＳ１１３の出力側の４つの
Ｓ−ｂｏｘ１１２が全て活性になれば、この検証を合格
とし、小ＭＤＳ１１３の出力側の３つのＳ−ｂｏｘ１１
２が活性になり、かつ、そのうちの１つでも上限を下回
る差分値になれば、この検証を合格とする。この検証
を、入力側の２つのＳ−ｂｏｘ１１２の組み合わせの各
々について行う（６通りある）。 小ＭＤＳ１１３の出力側の２つのＳ−ｂｏｘ１１２の
み活性にした場合に、小ＭＤＳ１１３の入力側の４つの
Ｓ−ｂｏｘ１１２が全て活性になれば、この検証を合格
とし、小ＭＤＳ１１３の入力側の３つのＳ−ｂｏｘ１１
２が活性になり、かつ、そのうちの１つでも上限を下回
る差分値になれば、この検証を合格とする。この検証
を、出力側の２つのＳ−ｂｏｘ１１２の組み合わせの各
々について行う（６通りある）。 小ＭＤＳ１１３の出力側の１つのＳ−ｂｏｘ１１２の
み活性にした場合に、小ＭＤＳ１１３の入力側の４つの
Ｓ−ｂｏｘ１１２が全て活性になり、かつ、そのうちの
１つでも上限を下回る差分値になれば、この検証を合格
とする。この検証を、出力側の４つのＳ−ｂｏｘ１１２
の各々について行う（４通りある）。

【０１７８】上記の複数の検証処理は、逐次行ってもよ
いし、全部または一部を並列的に行ってもよい。上記の
複数の検証処理のうち、１つでも合格しないものがあれ
ば、そのＳ−ｂｏｘと小ＭＤＳの組み合わせについて
は、以降の全ての検証処理をうち切って、不合格として
構わない。

【０１７９】なお、図２３の手順の例では、最初に条件
を満たしたＳ−ｂｏｘと小ＭＤＳの組み合わせが得られ
た時点で、処理をうち切るものであったが、条件を満た
したＳ−ｂｏｘと小ＭＤＳの組み合わせを複数求め、そ
れらのうちで最も良いと評価されるものを選択するよう
にしてもよい。

【０１８０】以下では、復号側について説明する。

【０１８１】復号側は、基本的には、暗号側を逆にした
構造である（鍵は同一である）。

【０１８２】図２４に、図４の暗号化装置に対応する復
号装置の構成例を示す。

【０１８３】図２５に、図６の小構造に対応する構成例
を示す。

【０１８４】図２６に、図８の大構造に対応する構成例
を示す。

【０１８５】なお、図２４では、復号装置の鍵スケジュ
ール部は、図４の暗号化装置の鍵スケジュール部と同一
の構成としてある。

【０１８６】復号装置における、Ｓ−ｂｏｘ１１１２の
入出力表、小ＭＤＳ１１１３の小ＭＤＳ行列、大ＭＤＳ
１１０４の大ＭＤＳ行列は、それぞれ、暗号化装置にお
ける、Ｓ−ｂｏｘ１１２の入出力表（例えば図５）、小
ＭＤＳ１１３の小ＭＤＳ行列（例えば図７）、大ＭＤＳ
１０４の大ＭＤＳ行列（例えば、図９、図１０）と逆関
数（逆行列）の関係になっている。

【０１８７】なお、図２４では、鍵については、図４と
同様の順番で生成しているが、図４とは逆の順番で生成
するように構成することも可能である。

【０１８８】図２７に、この場合の鍵スケジュール部の
構成例を示す。

【０１８９】１１３２は、図１１の非線形変換層１３２
の逆変換を示している（例えば各々のＳＰ層１３３の逆
変換（例えば図１３あるいは図１４の入出力を逆方向に
したもの）を４並列にしたものである）。

【０１９０】図２７の鍵スケジュール部で用いる、Ｓ−
ｂｏｘの入出力表、小ＭＤＳ行列、大ＭＤＳ行列は、そ
れぞれ、図１１の鍵スケジュール部で用いる、Ｓ−ｂｏ
ｘの入出力表、小ＭＤＳ行列、大ＭＤＳ行列と逆関数
（逆行列）の関係になっている。

【０１９１】また、図２７の復号の鍵入力Ｋ’は、図４
において（暗号側で）最後の鍵加算に用いられた鍵とす
る。

【０１９２】なお、この場合においても、段数依存定数
Ｃ_i を剰余加算する箇所について、図１２の場合と同様
の方法をはじめとして、種々のバリエーションが考えら
れる。

【０１９３】以上では、局所的な拡散（小拡散）と、ブ
ロック幅に渡る拡散（大拡散）との組み合わせによる、
入れ子型（再帰的）ＳＰＮ構造の暗号方式を適用した例
として８ビットＳ−ｂｏｘを利用したＡＥＳ相当の１２
８ビット・ブロック暗号の具体例を用いたが、以下で
は、同６４ビット・ブロック暗号の具体例を用いつつ本
実施形態について説明する（１２８ビットを６４ビット
にしたことに応じて相違することになる部分を中心に説
明する）。

【０１９４】以下で説明する６４ビット・ブロック暗号
の暗号化装置／復号装置もしくは暗号アルゴリズム／復
号アルゴリズムの構成例は、図１に例示した基本構成に
おいて、非線形変換モジュール２すなわち具体例では拡
大Ｓ−ｂｏｘを、２並列にした場合に相当する。

【０１９５】６４ビット・ブロック暗号の場合について
も、もちろん、前述の１２８ビット・ブロック暗号の場
合と同様に、攻撃に対する耐性の向上が可能である。

【０１９６】この場合の入れ子型暗号方式のデータ攪拌
部の階層構造の例は図３と同様である。ブロック長は、
６４ビットである。鍵長は、１２８ビットを例にとる
（もちろん、他の鍵長でも本発明は実施可能である）。
なお、本実施形態で、ブロック長を６４ビットとしたと
きに、鍵長を６４ビットや９６ビットとした場合につい
て後述する。

【０１９７】段数（複数並列された拡大Ｓ−ｂｏｘと大
ＭＤＳとの対（ただし、後述するように最終段は大ＭＤ
Ｓを含まない）を１段と数えるものとしている）の具体
例を用いる場合にはＲ＝６を用いる。なお、基本的には
段数は何段でも実施可能であるが、実際の段数は、例え
ば安全性や計算機資源等を想定して適宜設定することが
でき、好ましくは６段以上とすると、より効果的であ
る。

【０１９８】本例の暗号では、段関数がＳ−ｂｏｘ層を
２層含んでいるので、１段が通常の２段に相当する。段
構造内の大ＭＤＳについては、ガロア体に基づく実装例
を示す。

【０１９９】図２８に、本実施形態に係る暗号化装置の
構成例を示す。

【０２００】２１０１が各段であり、２１０４は大ＭＤ
Ｓ拡散層、２１０２は拡大Ｓ−ｂｏｘ層、２１０３は各
々の拡大Ｓ−ｂｏｘである。２１０５は、排他的論理和
部である。２１２１〜２１２４は、詳しくは後述する鍵
スケジュール部の構成部分である。Ｐは入力となる６４
ビットの平文データ、Ｃは出力となる６４ビットの暗号
文データである。なお、拡大Ｓ−ｂｏｘ２１０３は、図
４の拡大Ｓ−ｂｏｘ１０３と同様のもので構わない。

【０２０１】段関数は、２段ＳＰＮ構造からなる３２ビ
ット処理サブ・ブロック（拡大Ｓ−ｂｏｘ）２１０３を
２個並列に並べ、ＭＤＳ拡散層２１０４で繋いだ構造で
ある。全体の基本構造は、この段関数の繰り返しにす
る。

【０２０２】なお、図２８の例では、暗号化と復号の処
理を対称的にするため、最終段は拡大Ｓ−ｂｏｘ層２１
０２とその後の鍵加算２１０５だけで構成することにし
ている。

【０２０３】段関数１段に２段ＳＰＮ構造が埋め込ま
れ、最後に鍵加算が行われるので、拡大鍵のビット長
は、２×６４×Ｒ＋６４＝６４（２Ｒ＋１）となる。Ｒ
＝６の場合には、１２８×１３ビットとなる。

【０２０４】Ｓ−ｂｏｘは、前述したように、入出力表
を用いることもできるし、演算処理を用いることもでき
る。８ビットＳ−ｂｏｘの入出力表の一例は、図５に示
したものと同様のもので構わない。

【０２０５】拡大Ｓ−ｂｏｘ１０３の内部構成例は、図
６と同様とする。拡大Ｓ−ｂｏｘ内の拡散層１１３につ
いても同様に、例えば、図７に例示したＭＤＳ_Ｓ行列を
使用し、Ｓ−ｂｏｘ入出力と行列要素をガロア体ＧＦ
（２⁸ ）の元とみなして乗算を行うものとする。

【０２０６】次に、本例の暗号の段関数である大構造に
ついて説明する。

【０２０７】図２９に、１段の部分の構成例を示す。本
例の暗号の段関数である大構造は、２並列の３２ビット
拡大Ｓ−ｂｏｘ２１０３（図６参照）をＭＤＳ行列の拡
散層２１０４で結合して構成する。この段関数である大
構造における拡散層２１０４にも、ＭＤＳ行列を使用す
る。

【０２０８】大ＭＤＳの構成についても、前述と同様、
ＧＦ（２³²）やＧＦ（２⁴ ）やＧＦ（２⁸ ）やＧＦ（２
¹⁶）を利用する方法がある。

【０２０９】ＧＦ（２⁴ ）を利用した大ＭＤＳについて
説明する。

【０２１０】図３０に、この場合のＭＤＳ行列の一例を
示す。

【０２１１】ここでは、１つの拡大Ｓ−ｂｏｘ２１０３
において４つのＳ−ｂｏｘの各々の出力すなわち８ビッ
ト・データの同じ位置（例えば図３０では最上位ビット
を例にとって示している）の１ビットを集めて、これを
１組４ビットのデータとし、２つの拡大Ｓ−ｂｏｘ２１
０３からの２組の４ビット・データを、ＧＦ（２⁴ ）の
元とみなす。

【０２１２】そして、８ビット・データの同じ位置につ
いて、２段の２並列拡大Ｓ−ｂｏｘ層の間の拡散層２１
０４に２行２列のＭＤＳ行列（例えば図３０では最上位
ビットの場合、２１０４−１）を用いる。

【０２１３】出力となった２組の４ビット・データは、
それぞれ対応するもとの８ビット・データの同じ位置に
結線される。

【０２１４】Ｓ−ｂｏｘのビット幅に対応して、８個の
ＭＤＳ行列（２１０４−１〜２１０４−８）を用意し
て、大ＭＤＳとする。

【０２１５】各拡大Ｓ−ｂｏｘの同じ位置のＳ−ｂｏｘ
出力を単位とした表引きによって（なお、演算によって
もよい）、８個のＭＤＳ行列を同時に処理する効率的な
実行が可能である。

【０２１６】さらに、ＭＤＳ行列が巡回的な場合、３２
ビットごとの排他的論理和と８ビット単位のビット回転
を組み合わせた効率的な処理が可能となる。

【０２１７】なお、図３０では、暗号側の大ＭＤＳ行列
の一例として、 １行１列＝５、１行２列＝７ １行１列＝Ａ、１行２列＝Ｂ を示したが、これに対応する復号側での大ＭＤＳ行列
は、 １行１列＝Ｃ、１行２列＝Ａ １行１列＝５、１行２列＝Ｂ となる。なお、前者を復号側に用い、後者を暗号側に用
いるようにしてもよい。また、任意のＭＤＳ行列につい
て、行の入れ替え、列の入れ替え、転置を任意に行って
得た行列を用いることも可能である。また、この他の大
ＭＤＳ行列を用いることも可能である。

【０２１８】ところで、この大ＭＤＳ拡散層は、上記の
ように行列演算または入出力変換表による変換を実行す
るためのソフトウェアによって実現可能であるが、ハー
ドウェア（例えば半導体基板上等に形成した実回路）に
よっても実現可能である。

【０２１９】大ＭＤＳを実回路で実現する場合には、例
えば、ＭＤＳ行列と等価な結線パターンを用いればよ
い。

【０２２０】図３１に、ＧＦ（２⁴ ）上の乗算の結線表
現（結線パターン）を、ＧＦ（２⁴）の１〜Ｆの元の各
々について示す。なお、結合部分では、排他的論理和が
なされる。

【０２２１】すなわち、図３０の各々の拡散層２１０４
−１〜２１０４−８において、ＭＤＳ行列の１行１列要
素をｘ₁ に作用させる部分、１行２列要素をｘ₂ に作用
させる部分、２行１列要素をｘ₁ に作用させる部分、２
行２列要素をｘ₂ に作用させる部分の結線パターンに、
当該行列要素の図３１において該当する結線パターンを
用いればよい。

【０２２２】図３２に、図３０に例示した行列に基づい
て大ＭＤＳを実回路で構成した例を示す。図中、２１４
１が１行１列要素“５”に対応する結線パターン、２１
４２が１行２列要素“７”に対応する結線パターン、２
１４３が２行１列要素“Ａ”に対応する結線パターン、
２１４４が２行２列要素“Ｂ”に対応する結線パターン
である。ただし、複数ビットが結合される部分では、排
他的論理和がなされる。

【０２２３】なお、行列の積に相当する部分の排他的論
理和による結合の後に、行列積の和に相当する部分の排
他的論理和による結合を行ったように示しているが、そ
れらすべての排他的論理和による結合を一括して行って
もよいし、適宜複数に分けて行ってもよい。

【０２２４】また、先に図３１の結線パターン群のうち
から所望の結線パターンを選択して暗号側の大ＭＤＳの
実回路構成の候補を作り、次に、これに対応するＭＤＳ
行列の逆行列（ＭＤＳ行列）が存在することを検証す
る、という手順を取ることも可能である。もちろん、復
号側を先に決めてもよい。

【０２２５】また、ＧＦ（２⁴ ）上の乗算の結線表現
（結線パターン）以外のものを用いることも可能であ
る。

【０２２６】もちろん、この方法は、前述した１２８ビ
ットブロック暗号にも適用可能である。

【０２２７】次に、繰り込みについて説明する。

【０２２８】ここで、ＭＤＳ拡散層のファン・インにつ
いて説明する。図３１の結線パターンにおいて、データ
の出力側の各ビットにおいて、当該ビットに結線される
ビット数（結線数）を、ファン・インと呼ぶものとす
る。例えば、“１”に対応する結線パターンでは、いず
れのビットも、ファン・イン＝１である。また、“５”
に対応する結線パターンでは、左側のビットから右側の
ビットへ順番に、ファン・イン＝２，３，３，２であ
る。

【０２２９】次に、このＭＤＳ拡散層の結線パターンに
ついてのファン・インの総計Ｓを考える。図３２の例を
見ると、２１４１〜２１４４の点線内の１６ビットのフ
ァン・インの総計Ｓは、４５となる。このＭＤＳ拡散層
の結線パターンについてのファン・インの総計Ｓは、配
線の増加につながるので（行列計算を行う場合にも、排
他的論理和演算などの増加につながるので）、Ｓの値が
小さい方が好ましい。なお、ＧＦ（２⁴ ）の元を要素と
する２行２列のＭＤＳの場合には、Ｓの最小値は１８と
なる。

【０２３０】このＳを削減する方法に、繰り込み手法が
ある。これによって、回路量（行列計算を行う場合には
計算量）を削減することができる。

【０２３１】繰り込みを行う場合、図３３に示すよう
に、各々のＭＤＳ拡散層（２１０４−１〜２１０４−
８）について、当該ＭＤＳ拡散層と前段の個々のＳ−ｂ
ｏｘとの間にそれぞれ、繰り込みのための前処理回路
（２１８０−１，２１８０−２）を挿入する。

【０２３２】この前処理回路の各々には、例えば、図３
１の結線パターンのいずれかが設けられる。あるいは、
等価な計算処理が行われる。

【０２３３】図３３は、いずれのＳ−ｂｏｘについても
共通因子５による繰り込みによる実装を行った場合を示
している。また、図３４に、このときの大ＭＤＳの一例
を示す。この場合、大ＭＤＳ行列は、 １行１列＝１、１行２列＝４ １行１列＝２、１行２列＝９ となる。図中、２１４５が１行１列要素“１”に対応す
る結線パターン、２１４６が１行２列要素“４”に対応
する結線パターン、２１４７が２行１列要素“２”に対
応する結線パターン、２１４８が２行２列要素“９”に
対応する結線パターンである。複数ビットが結合される
部分が排他的論理和に対応する点は前述の通りである。
この場合、Ｓの値は、２０となっている。

【０２３４】図３２による大拡散と、図３３／図３４に
よる大拡散とは、等価である。

【０２３５】繰り込みを行う場合に、共通因子およびそ
のときの行列を求める方法としては、例えば、図３１の
ように繰り込みを行わない場合に求めた行列に対して、
共通因子をパラメータとして、等価な大拡散になるよう
な行列を求め、それらについてファン・インを評価し
て、採用するものを選択する方法がある。

【０２３６】なお、各Ｓ−ｂｏｘについての共通因子を
同一にするという制約を課してもよいし、そのような制
約を課さなくてもよい。

【０２３７】なお、 １行１列＝Ｃ、１行２列＝Ａ １行１列＝５、１行２列＝Ｂ の行列について、いずれのＳ−ｂｏｘについても共通因
子Ｂによる繰り込みによる実装を行うと、大ＭＤＳ行列
は、 １行１列＝９、１行２列＝４ １行１列＝２、１行２列＝１ となる。

【０２３８】もちろん、この方法も、前述した１２８ビ
ットブロック暗号にも適用可能である。

【０２３９】なお、以上で例示した配線やレイアウトは
論理的な関係を示すものであり、実配線や実レイアウト
にはもちろん設計の自由度がある。また、大ＭＤＳ層の
各部分１０４−１〜１０４−８の８つを実装してもよい
し、ＭＤＳ部分１０４−１〜１０４−８のうちの一部
（例えば、１つ、２つ、あるいは４つ）のみを実装し、
それを時分割的に共用するように構成してもよい。

【０２４０】暗号側と復号側で構成の仕方は同様である
（逆変換の関係になるだけである）。

【０２４１】なお、上記と同様の考え方により、８ビッ
ト・データのうちの同じ位置の２ビットごとに処理を行
うこととして、各要素が８ビットの２行２列のＭＤＳ行
列（ＧＦ（２⁸ ））を、４個用意して、大ＭＤＳを構成
することも可能である。また、８ビット・データのうち
の同じ位置の４ビットごとに処理を行うこととして、各
要素が１６ビットの２行２列のＭＤＳ行列（ＧＦ
（２¹⁶））を、２個用意して、大ＭＤＳを構成すること
も可能である。

【０２４２】また、上記では、同じ位置のビットを取り
出して処理を行うものとして説明したが、前述と同様、
異なる位置のビットを（排他的に）取り出して処理を行
うことも可能である。

【０２４３】また、図９の例と同様に、ＧＦ（２³²）を
利用した大ＭＤＳ行列による構成も可能である。

【０２４４】以上の構成例は、前述した１２８ビットブ
ロック暗号にも適用可能である。

【０２４５】なお、前述と同様、図２８では、拡大Ｓ−
ｂｏｘの内部構成を、全て同一とせずに、異なるものを
混在させることも可能である。また、全ての大ＭＤＳ行
列を同一にせずに、異なるものを混在させることも可能
である。この点は、小ＭＤＳ行列、Ｓ−ｂｏｘの入出力
表についても同様である。また、例えば、最初の入力段
と、最後の出力段だけ、他の中間段とは異なる内部構成
にしてもよい。なお、各々の大ＭＤＳの前段及び又は後
段に、同一の拡大Ｓ−ｂｏｘに属する複数のＳ−ｂｏｘ
についてのビットの位置を入れ替える処理を行う（ある
いはそのような回路を挿入する）構成も可能である。

【０２４６】この他にも、種々のバリエーションが考え
られる。

【０２４７】もちろん、ここで説明した大ＭＤＳの構成
は、これまで説明してきた種々のバリエーションを持つ
暗号化装置や復号装置に適用可能である。

【０２４８】次に、鍵スケジュール部（鍵生成部）につ
いて説明する。

【０２４９】図３５に、鍵スケジュール部の構成例を示
す。２１２１は、データ攪拌部の段関数の１段分に対応
する部分であり、２１３１は線形拡散層（本例では、大
ＭＤＳによる拡散層とする）であり、２１３３は非線形
変換層（本例では、２並列のＳＰ層（Ｓ−ｂｏｘ層・拡
散層）とする）であり、２１３４は排他的論理和部であ
り、２１３５は剰余加算部である。図３５では省略して
いるが、２１２１の部分の構成が必要に応じて繰り返さ
れることになる。なお、６４ビットの鍵を出力する構成
単位を鍵スケジュール部の１つの段とすると、鍵スケジ
ュール部の段数は（２Ｒ＋１）段となる（Ｒ＝６の場
合、１３段である）。

【０２５０】図３５の例では、１２８ビットの変形Ｆｅ
ｉｓｔｅｌ型繰り返し処理の各段の出力左半分６４ビッ
トを取り出し、段数依存定数Ｃ_i を剰余加算して拡大鍵
とする。

【０２５１】なお、鍵長を１２８ビットとする場合に
は、例えば、上位６４ビットを初段の線形拡散層２１３
１に与え、下位６４ビットを非線形変換層２１３３に与
えればよい。また、鍵長を６４ビットとする場合には、
例えば、その６４ビットを初段の線形拡散層２１３１に
与えるとともに、非線形変換層２１３３に与えればよ
い。また、鍵長を９６ビットとする場合には、例えば、
上位６４ビットを初段の線形拡散層２１３１に与え、下
位側３２ビットと上位側３２ビットとを結合した６４ビ
ットを非線形変換層２１３３に与えればよい。

【０２５２】なお、図３６のように、段数依存定数Ｃ_i
を剰余加算する箇所について、種々のバリエーションが
考えられる。

【０２５３】図３５や図３６における各々の非線形変換
層２１３３の構成例は、図１３や図１４と同様とする
（図１４において、Ｓ−ｂｏｘに対する入力と排他的論
理和をとる定数を、段数依存定数とする構成も可能であ
る点も、同様である）。このＳ−ｂｏｘが、図２８の暗
号処理側のＳ−ｂｏｘと同じものでもよいし、異なるも
のでもよい点も、同様である。小ＭＤＳについても同様
である。また、鍵スケジュール部の各段によってＳ−ｂ
ｏｘや小ＭＤＳの構成を変えることも可能である。

【０２５４】次に、各段で異なる定数Ｃ_i を作る方法の
一例について説明する。

【０２５５】図３５や図３６の鍵スケジュール部の６４
ビットの加算定数Ｃ_i は、２つのビット定数（Ｈ₀ ，Ｈ
₁ ）の組み合わせで記述することができる。３２ビット
の定数Ｈ_i の一例を次に示す。 Ｈ₀ ＝（５ａ８２７９９９）_H＝２^1/2 ／４ Ｈ₁ ＝（６ｅｄ９ｅｂａ１）_H＝３^1/2 ／４ Ｈ₂ ＝（８ｆ１ｂｂｃｄｃ）_H＝５^1/2 ／４ Ｈ₃ ＝（ｃａ６２ｃ１ｄ６）_H＝１０^1/2 ／４ 加算定数Ｃ_i の組み合わせを、Ｃ_i ＝（Ｃ_i0，Ｃ_i1）と
記述する。各段で異なる６４ビットの定数Ｃ_i を容易に
生成するため、Ｃ_i を構成するＨ_i の組み合わせの決定
に８ビットＬＦＳＲを用いる。例えば、ＬＦＳＲの原始
多項式には（１Ｄ）_H を、ＬＦＳＲの初期状態には（８
Ｂ）_H を用いる。このＬＦＳＲを用いて生成されたビッ
ト列を２ビットづつ読み出し、定数として使用する３２
ビット定数Ｈ_i を決定する。

【０２５６】図３７に、上記のような方法によりＬＦＳ
Ｒを用いて決定した加算定数表の例を示す。

【０２５７】なお、ＬＦＳＲの初期状態は、可変として
もよいし、固定としてもよい。前者の場合には、ＬＦＳ
Ｒの初期状態も鍵の一部を構成することになる。後者の
場合には、暗号側と同じＬＦＳＲの初期状態を持つ復号
側のみ、暗号文を復号することができる。

【０２５８】以上説明したような鍵スケジュール部によ
れば、非線形変換層については、入力の１ビットが変化
すると、Ｓ−ｂｏｘにより、８ビットに変化を波及さ
せ、さらに、小ＭＤＳにより、３２ビットに変化を波及
させることができる。さらにまた、線形拡散層について
は、大ＭＤＳが前段の非線形変換層の出力をより大きく
攪拌するので、１ビットの違いも、６４ビットの幅に広
がる利点がある。

【０２５９】従って、このような鍵スケジュール部によ
れば、各段でバラバラな鍵が出やすい、攪拌しやすい、
という効果を得ることができる。また、段ごとに異なる
定数により、段にわたる鍵の一致が少ない（鍵がほぼ一
致しない）、という効果を得ることができる。

【０２６０】なお、鍵スケジュール部として他の構成を
とることも可能である。

【０２６１】なお、図１６〜図１８を参照しながら説明
した線形拡散装置や有限体乗算装置は、この場合につい
ても適用可能である。また、図１９〜図２２を参照しな
がら説明したＭＤＳ行列生成装置（もしくはランダム生
成アルゴリズム）は、この場合についても適用可能であ
る。もちろん、図２３を参照しながら説明したＳ−ｂｏ
ｘとＭＤＳの組み合わせの設計方法は、この場合につい
ても適用可能である。

【０２６２】以下では、復号側について説明する。

【０２６３】復号側は、基本的には、暗号側を逆にした
構造である（鍵は同一である）。

【０２６４】図３８に、図２８の暗号化装置に対応する
復号装置の構成例を示す。

【０２６５】図３９に、図２８の大構造（図２９参照）
に対応する構成例を示す。

【０２６６】図２８の小構造（図６参照）に対応する構
成例は、図２５と同様である。

【０２６７】なお、図３８では、復号装置の鍵スケジュ
ール部は、図２８の暗号化装置の鍵スケジュール部と同
一の構成としてある。

【０２６８】復号装置における、Ｓ−ｂｏｘ（図２５の
１１１２参照）の入出力表、小ＭＤＳ（図２５の１１１
３参照）の小ＭＤＳ行列、大ＭＤＳ３１０４の大ＭＤＳ
行列は、それぞれ、暗号化装置における、Ｓ−ｂｏｘ
（図６の１１１２参照）の入出力表、小ＭＤＳ（図６の
１１３参照）の小ＭＤＳ行列、大ＭＤＳ３１０４の大Ｍ
ＤＳ行列と逆関数（逆行列）の関係になっている。

【０２６９】なお、図３８では、鍵については、図２８
と同様の順番で生成しているが、図２８とは逆の順番で
生成するように構成することも可能である。

【０２７０】図４０に、この場合の鍵スケジュール部の
構成例を示す。

【０２７１】３１３２は、図３５の非線形変換層２１３
２の逆変換を示している（例えば各々のＳＰ層２１３３
の逆変換（例えば図１３あるいは図１４の入出力を逆方
向にしたもの）を４並列にしたものである）。

【０２７２】図４０の鍵スケジュール部で用いる、Ｓ−
ｂｏｘの入出力表、小ＭＤＳ行列、大ＭＤＳ行列は、そ
れぞれ、図３５の鍵スケジュール部で用いる、Ｓ−ｂｏ
ｘの入出力表、小ＭＤＳ行列、大ＭＤＳ行列と逆関数
（逆行列）の関係になっている。

【０２７３】また、図４０の復号の鍵入力Ｋ’は、図２
８において（暗号側で）最後の鍵加算に用いられた鍵と
する。

【０２７４】なお、この場合においても、段数依存定数
Ｃ_i を剰余加算する箇所について、図３６の場合と同様
の方法をはじめとして、種々のバリエーションが考えら
れる。

【０２７５】以上では、１２８ビット・ブロック暗号や
６４ビット・ブロック暗号を例にとって説明したが、他
のビット長のブロック暗号にももちろん本発明は適用可
能である。

【０２７６】以下では、本実施形態のハードウェア構
成、ソフトウェア構成について説明する。

【０２７７】本実施形態の暗号化装置や復号装置は、ハ
ードウェアとしても、ソフトウェアとしても、実現可能
である。

【０２７８】本実施形態は、ソフトウェアで実現する場
合に、暗号化装置や復号装置を実現するプログラムであ
って、コンピュータに所定の手段を実行させるための
（あるいはコンピュータを所定の手段として機能させる
ための、あるいはコンピュータに所定の機能を実現させ
るための）プログラムを記録したコンピュータ読取り可
能な記録媒体としても実施することもできる。

【０２７９】また、ハードウェアとして構成する場合、
半導体装置として形成することができる。

【０２８０】また、本発明を適用した暗号化装置や復号
装置を構成する場合、あるいは暗号化プログラムや復号
プログラムを作成する場合に、図４や図２４で例示した
ようなブロックもしくはモジュールをすべて個別に作成
することも可能であるが、同一構成を有するブロックも
しくはモジュールについては１または適当数のみ用意し
ておいて、それをアルゴリズムの各部分で共有する（使
い回す）ことも可能である。

【０２８１】また、ソフトウェアの場合には、マルチプ
ロセッサを利用し、並列処理を行って、処理を高速化す
ることも可能である。

【０２８２】なお、暗号化機能を持ち、復号機能を持た
ない装置として構成することも、復号機能を持ち、暗号
化機能を持たない装置として構成することも、暗号化機
能と復号機能の両方を持つ装置として構成することも、
可能である。同様に、暗号化機能を持ち、復号機能を持
たないプログラムとして構成することも、復号機能を持
ち、暗号化機能を持たないプログラムとして構成するこ
とも、暗号化機能と復号機能の両方を持つプログラムと
して構成することも、可能である。

【０２８３】次に、本実施形態のシステムへの応用につ
いて説明する。

【０２８４】本実施形態の暗号方式は、基本的にはどの
ようなシステムにも適用可能である。

【０２８５】例えば、図４１に示すように、送信側装置
３０１と、受信側装置３０３との間で、所定の方法もし
くは手続により、鍵を安全に共有しておき、送信側装置
３０１は送信データをブロック長ごとに本実施形態の暗
号方式で暗号化し、所定のプロトコルに従って、通信ネ
ットワーク３０２を介して、暗号文を受信側装置３０３
へ送信し、暗号文を受信した受信側装置３０３では、受
信した暗号文をブロック長ごとに本実施形態の暗号方式
で復号し、もとの平文を得ることができる。なお、各々
の装置が、暗号化機能と復号機能を両方持っていれば、
双方向に暗号通信を行うことができる。

【０２８６】また、例えば、図４２に示すように、計算
機３１１では、所定の方法で鍵を生成し、保存したいデ
ータをブロック長ごとに本実施形態の暗号方式で暗号化
し、所定のネットワーク（例えば、ＬＡＮ、インターネ
ット等）３１４を介して、暗号化データとして、データ
・サーバ３１３に保存しておく。計算機３１１では、こ
のデータを読みたいときは、データ・サーバ３１３から
所望の暗号化データを読み込み、これをブロック長ごと
に本実施形態の暗号方式で復号し、もとの平文を得るこ
とができる。また、他の計算機３１２が、この鍵を知っ
ていれば、同様に復号してもとの平文を得ることができ
るが、鍵の分からない他の計算機は、該暗号データを復
号することはできず、情報のセキュリティ・コントロー
ルが可能になる。

【０２８７】また、例えば、図４３に示すように、コン
テンツ提供側では、暗号化装置３２１により、あるコン
テンツを、ある鍵で、ブロック長ごとに本実施形態の暗
号方式で暗号化し、これを暗号化コンテンツとして、記
録媒体３２２に記録し、これを頒布等する。記録媒体３
２２を取得したユーザ側では、所定の方法で該ある鍵を
入手することにより、復号装置３２３により、該コンテ
ンツを、ブロック長ごとに本実施形態の暗号方式で復号
し、コンテンツの閲覧もしくは再生等を行うことができ
る。

【０２８８】もちろん、上記以外にも種々のシステムに
適用可能である。

【０２８９】なお、本実施形態で示した構成は一例であ
って、それ以外の構成を排除する趣旨のものではなく、
例示した構成の一部を他のもので置き換えたり、例示し
た構成の一部を省いたり、例示した構成に別の機能を付
加したり、それらを組み合わせたりすることなどによっ
て得られる別の構成も可能である。また、例示した構成
と論理的に等価な別の構成、例示した構成と論理的に等
価な部分を含む別の構成、例示した構成の要部と論理的
に等価な別の構成なども可能である。また、例示した構
成と同一もしくは類似の目的を達成する別の構成、例示
した構成と同一もしくは類似の効果を奏する別の構成な
ども可能である。また、各種構成部分についての各種バ
リエーションは、適宜組み合わせて実施することが可能
である。また、本実施形態は、暗号化装置としての発
明、復号化装置としての発明、システム全体としての発
明、個別装置内部の構成部分についての発明、またはそ
れらに対応する方法の発明等、種々の観点、段階、概念
またはカテゴリに係る発明を包含・内在するものであ
る。従って、この発明の実施の形態に開示した内容から
は、例示した構成に限定されることなく発明を抽出する
ことができるものである。

【０２９０】本発明は、上述した実施の形態に限定され
るものではなく、その技術的範囲において種々変形して
実施することができる。

【０２９１】

【発明の効果】本発明によれば、局所的なデータ拡散を
行う小型の拡散層とブロック幅に及ぶ拡散を行う大型の
拡散層を交互に重ねて運用することにより、計算コスト
を抑えたまま高く均一な拡散を実現することができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る暗号方式の基本的な
構成について説明するための図

【図２】同実施形態の暗号強度に関して説明するための
図

【図３】同実施形態の入れ子型暗号方式のデータ攪拌部
の階層構造の例を示す図

【図４】同実施形態の暗号化装置の構成例を示す図

【図５】同実施形態のＳ−ｂｏｘの一例を示す図

【図６】同実施形態の拡大Ｓ−ｂｏｘの内部構成例を示
す図

【図７】同実施形態の小ＭＤＳの一例を示す図

【図８】同実施形態の大ＭＤＳおよび拡大Ｓ−ｂｏｘの
構造例を示す図

【図９】同実施形態の大ＭＤＳの一例を示す図

【図１０】同実施形態の大ＭＤＳの他の例を示す図

【図１１】同実施形態の鍵スケジュール部の構成例を示
す図

【図１２】同実施形態の鍵スケジュール部の他の構成例
を示す図

【図１３】同実施形態の非線形変換層の内部構成の一例
を示す図

【図１４】同実施形態の非線形変換層の内部構成の他の
例を示す図

【図１５】同実施形態の加算定数表の一例を示す図

【図１６】同実施形態の有限体乗算装置の構成例を示す
図

【図１７】同実施形態の線形変換装置の構成例を示す図

【図１８】同実施形態の線形変換装置の構成例を示す図

【図１９】同実施形態のＭＤＳ行列生成装置の構成例を
示す図

【図２０】同実施形態のＭＤＳ行列生成処理手順の一例
を示すフローチャート

【図２１】同実施形態のＭＤＳ行列生成装置の他の構成
例を示す図

【図２２】同実施形態のＭＤＳ行列生成処理手順の他の
例を示すフローチャート

【図２３】同実施形態のＳ−ｂｏｘと小ＭＤＳの組み合
わせを選択するための処理手順の一例を示すフローチャ
ート

【図２４】同実施形態の復号装置の構成例を示す図

【図２５】同実施形態の拡大Ｓ−ｂｏｘの内部構成例を
示す図

【図２６】同実施形態の大ＭＤＳおよび拡大Ｓ−ｂｏｘ
の構造例を示す図

【図２７】同実施形態の鍵スケジュール部の構成例を示
す図

【図２８】同実施形態の暗号化装置の他の構成例を示す
図

【図２９】同実施形態の大ＭＤＳおよび拡大Ｓ−ｂｏｘ
の他の構造例を示す図

【図３０】同実施形態の大ＭＤＳのさらに他の例を示す
図

【図３１】ＧＦ（２⁴ ）上の乗算の結線表現を示す図

【図３２】同実施形態の大ＭＤＳのさらに他の例を示す
図

【図３３】同実施形態に大ＭＤＳおける繰り込みについ
て説明するための図

【図３４】同実施形態の大ＭＤＳのさらに他の例を示す
図

【図３５】同実施形態の鍵スケジュール部のさらに他の
構成例を示す図

【図３６】同実施形態の鍵スケジュール部のさらに他の
構成例を示す図

【図３７】同実施形態の加算定数表の他の例を示す図

【図３８】同実施形態の復号装置の他の構成例を示す図

【図３９】同実施形態の大ＭＤＳおよび拡大Ｓ−ｂｏｘ
の他の構造例を示す図

【図４０】同実施形態の鍵スケジュール部の他の構成例
を示す図

【図４１】同実施形態の暗号方式を利用したシステムの
一例を示す図

【図４２】同実施形態の暗号方式を利用したシステムの
他の例を示す図

【図４３】同実施形態の暗号方式を利用したシステムの
さらに他の例を示す図

【符号の説明】

１…暗号処理装置 ２…最上位の階層の非線形変換モジュール ３…データ幅に渡る拡散モジュール ４…階層構造内部の非線形変換モジュール ５…局所的な拡散モジュール １０２，２１０２，３１０２…拡大Ｓ−ｂｏｘ層 １０３，１１０３，２１０３，３１０３…拡大Ｓ−ｂｏ
ｘ １０４，１３１，１１０４，２１０４，２１３１，３１
０４…大ＭＤＳ １０５，１１０５，２１０５，３１０５…（暗号文直前
の）鍵加算部 １１１，１１１１…鍵加算部 １１２，１４１，１１１２…Ｓ−ｂｏｘ １１３，１４２，１１１３…小ＭＤＳ １２１〜１２４，２１２１〜２１２４，３１２１〜３１
２４…鍵スケジュール部 １３４，１４３，２１３４…排他的論理和部 １３５，１３６，２１３５，２１３６…剰余加算部 ２００…有限体乗算装置 ２０１…桁溢れ帰還部 ２０２…係数格納部 ２０３…乗算部 ２０４…排他的論理和分 ２３１…要素生成部 ２３２…小行列式計算部 ２３３…判定部 ２３４…逆行列生成部 ２３５…逆行列判定部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 佐野 文彦 東京都府中市東芝町１番地 株式会社東芝 府中事業所内 (72)発明者 川村 信一 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内 Ｆターム(参考） 5J104 JA09 NA09 NA10

Claims (16)

【特許請求の範囲】
1. 【請求項１】ブロック暗号方式による暗号化装置であっ
   て、 ブロックデータに対してそれを複数に分割した部分ごと
   に局所的な拡散を行う機能を含む第１の処理手段と、ブ
   ロックデータに対してそのブロック幅にわたる拡散を行
   う機能を含む第２の処理手段とを備えたことを特徴とす
   る暗号化装置。
2. 【請求項２】ブロック暗号方式による暗号化装置であっ
   て、 ブロックデータを複数に分割した各部分データに対して
   それぞれ非線形変換処理を施す並列させた複数の第１の
   非線形変換処理手段の一群と、ブロックデータのブロッ
   ク幅にわたる線形拡散処理を施す第１の線形拡散処理手
   段とを備え、 前記第１の非線形変換処理手段の全部または一部は、そ
   れぞれ、前記部分データのデータ幅をさらに複数に分割
   した各部分に対してそれぞれ非線形変換処理を施す並列
   させた複数の第２の非線形変換処理手段の一群と、前記
   部分データのデータ幅にわたる線形拡散処理を施す第２
   の線形拡散処理手段とを含むものであることを特徴とす
   る暗号化装置。
3. 【請求項３】前記第１の線形拡散処理手段は予め選択さ
   れた最大距離分離行列を用いて入力ブロックデータから
   出力ブロックデータを求めるものであることを特徴とす
   る請求項２に記載の暗号化装置。
4. 【請求項４】前記最大距離分離行列として全行列要素に
   ついて下位所定ビットのみ非零であるものを選択するこ
   とを特徴とする請求項３に記載の暗号化装置。
5. 【請求項５】前記最大距離分離行列として同一行に属す
   る全行列要素が相異なる値を持つものを選択することを
   特徴とする請求項３または４に記載の暗号化装置。
6. 【請求項６】前記第１の線形拡散処理手段は、前記ブロ
   ック幅から所定数個おきに１ビットを取りだして連結し
   たデータを入力として最大距離分離行列を用いて出力を
   求める処理を、該１ビットを取り出す位置を変えたもの
   についてそれぞれ行うものであることを特徴とする請求
   項３に記載の暗号化装置。
7. 【請求項７】前記第２の線形拡散処理手段は予め選択さ
   れた最大距離分離行列を用いて入力部分データから出力
   部分データを求めるものであることを特徴とする請求項
   ２ないし６のいずれか１項に記載の暗号化装置。
8. 【請求項８】前記暗号化装置はさらに段数に依存する鍵
   データを生成するための鍵生成手段を備え、 前記鍵生成手段は、前段の出力に非線形変換処理を施し
   たものと、前々段の出力に非線形変換処理を施したもの
   に線形拡散処理を施したものとの排他的論理和を取った
   ものを当該段の出力とする処理を、必要段数分繰り返し
   行う手段を含むものであることを特徴とする請求項２に
   記載の暗号化装置。
9. 【請求項９】共通鍵ブロック暗号方式による暗号化装置
   であって、 初段では入力された１２８ビットの平文ブロックデータ
   を、２段目以降では前段での処理が施された１２８ビッ
   トのブロックデータを入力とし、該ブロックデータを４
   分割した４組の３２ビット・データに対してそれぞれ局
   所的な線形拡散処理および非線形変換処理を施し出力す
   る４つの第１の非線形変換処理部と、これら４つの第１
   の非線形変換処理部からそれぞれ出力された４組の３２
   ビット・データを連結した１２８ビットのブロックデー
   タに対して最大距離分離行列を用いて線形拡散処理を施
   し次段へ出力する第１の拡散処理部とを、１段分の段構
   成として、該段構成を所定段数分接続し、 最後の前記第１の拡散処理部の後段に、この第１の拡散
   処理部から出力される１２８ビットのブロックデータを
   入力とする前記４つの第１の非線形変換処理部を接続
   し、 この４つの第１の非線形変換処理部の後段に、これら４
   つの第１の非線形変換処理部からそれぞれ出力された４
   組の３２ビット・データを連結した１２８ビットのブロ
   ックデータに対して１２８ビットの鍵データを加算して
   １２８ビットの暗号化されたブロックデータとして出力
   する第１の鍵加算部を接続して構成されるとともに、 前記第１の非線形変換処理部の各々は、与えられた１組
   の前記３２ビット・データをさらに４分割した４組の８
   ビット・データに対してそれぞれ８ビットの鍵データを
   加算する４つの第２の鍵加算部と、各第２の鍵加算部の
   出力に対してそれぞれ８ビットの入出力変換表を用いて
   非線形変換を行う４つの第２の非線形変換処理部と、こ
   れら４つの第２の非線形変換処理部からそれぞれ出力さ
   れた４組の８ビット・データを連結した３２ビット・デ
   ータに対して最大距離分離行列を用いて線形拡散処理を
   施す第２の拡散処理部と、この第２の拡散処理部の後段
   にさらに接続された４組の前記第２の鍵加算部および第
   ２の非線形変換処理部とを含むものであることを特徴と
   する暗号化装置。
10. 【請求項１０】共通鍵ブロック暗号方式による暗号化装
    置であって、 初段では入力された６４ビットの平文ブロックデータ
    を、２段目以降では前段での処理が施された６４ビット
    のブロックデータを入力とし、該ブロックデータを２分
    割した２組の３２ビット・データに対してそれぞれ局所
    的な線形拡散処理および非線形変換処理を施し出力する
    ２つの第１の非線形変換処理部と、これら２つの第１の
    非線形変換処理部からそれぞれ出力された２組の３２ビ
    ット・データを連結した６４ビットのブロックデータに
    対して最大距離分離行列を用いて線形拡散処理を施し次
    段へ出力する第１の拡散処理部とを、１段分の段構成と
    して、該段構成を所定段数分接続し、 最後の前記第１の拡散処理部の後段に、この第１の拡散
    処理部から出力される６４ビットのブロックデータを入
    力とする前記２つの第１の非線形変換処理部を接続し、 この２つの第１の非線形変換処理部の後段に、これら２
    つの第１の非線形変換処理部からそれぞれ出力された２
    組の３２ビット・データを連結した６４ビットのブロッ
    クデータに対して６４ビットの鍵データを加算して６４
    ビットの暗号化されたブロックデータとして出力する第
    １の鍵加算部を接続して構成されるとともに、 前記第１の非線形変換処理部の各々は、与えられた１組
    の前記３２ビット・データをさらに４分割した４組の８
    ビット・データに対してそれぞれ８ビットの鍵データを
    加算する４つの第２の鍵加算部と、各第２の鍵加算部の
    出力に対してそれぞれ８ビットの入出力変換表を用いて
    非線形変換を行う４つの第２の非線形変換処理部と、こ
    れら４つの第２の非線形変換処理部からそれぞれ出力さ
    れた４組の８ビット・データを連結した３２ビット・デ
    ータに対して最大距離分離行列を用いて線形拡散処理を
    施す第２の拡散処理部と、この第２の拡散処理部の後段
    にさらに接続された４組の前記第２の鍵加算部および第
    ２の非線形変換処理部とを含むものであることを特徴と
    する暗号化装置。
11. 【請求項１１】ブロック暗号方式による暗号化プログラ
    ムを記録したコンピュータ読取り可能な記録媒体であっ
    て、 ブロックデータに対してそれを複数に分割した部分ごと
    に局所的な拡散を行う機能を含む第１の処理機能と、ブ
    ロックデータに対してそのブロック幅にわたる拡散を行
    う機能を含む第２の処理機能とを、コンピュータに実現
    させるためのプログラムを記録したコンピュータ読取り
    可能な記録媒体。
12. 【請求項１２】ブロック暗号方式による暗号化方法であ
    って、 ブロックデータに対してそれを複数に分割した部分ごと
    に局所的な拡散を行う機能を含む第１の処理と、ブロッ
    クデータに対してそのブロック幅にわたる拡散を行う機
    能を含む第２の処理とを実行するステップを含むことを
    特徴とする暗号化方法。
13. 【請求項１３】ブロック暗号方式による復号装置であっ
    て、 ブロックデータに対してそれを複数に分割した部分ごと
    に局所的な拡散を行う機能を含む第１の処理手段と、ブ
    ロックデータに対してそのブロック幅にわたる拡散を行
    う機能を含む第２の処理手段と備えたことを特徴とする
    復号装置。
14. 【請求項１４】ブロック暗号方式による復号プログラム
    を記録したコンピュータ読取り可能な記録媒体であっ
    て、 ブロックデータに対してそれを複数に分割した部分ごと
    に局所的な拡散を行う機能を含む第１の処理機能と、ブ
    ロックデータに対してそのブロック幅にわたる拡散を行
    う機能を含む第２の処理機能とを、コンピュータに実現
    させるためのプログラムを記録したコンピュータ読取り
    可能な記録媒体。
15. 【請求項１５】ブロック暗号方式による復号方法であっ
    て、 ブロックデータに対してそれを複数に分割した部分ごと
    に局所的な拡散を行う機能を含む第１の処理と、ブロッ
    クデータに対してそのブロック幅にわたる拡散を行う機
    能を含む第２の処理とを実行するステップを含むことを
    特徴とする復号方法。
16. 【請求項１６】ブロック暗号方式における最大距離分離
    行列を利用したデータ拡散処理のために、相対応する入
    力ワードと最大距離分離行列の要素との乗算を求めるた
    めの演算装置であって、 前記入力ワードと前記最大距離分離行列の対応する要素
    とを、桁溢れを考慮せずに乗算する乗算手段と、 前記入力ワードの上位所定ビットをキーとして、桁溢れ
    を調整するための帰還ワードを検索する検索手段と、 前記乗算手段による乗算結果と、検索された前記帰還ワ
    ードとの排他和をとって、桁溢れを帰還した乗算結果を
    求める排他和手段とを備えたことを特徴とする演算装
    置。