JP2001514769A - 送信信号を暗号化するための方法と装置 - Google Patents

Abstract

(57)【要約】 通信システムにおいて、メッセージを表している一組のメッセージ信号を変換させる方法。該方法は下記の工程を具備する。第一の鍵付き変換に従ってメッセージ信号の該組の一つを第一に符号化する工程、少なくとも一つの付加鍵付き変換に従って該組のメッセージ信号の一つを第二に符号化する、該組のメッセージ信号の少なくとも一つが変換される自己反転変換に従って、該組のメッセージ信号の該一つを第三に符号化する、少なくとも一つの付加逆鍵付き変換に従って該組のメッセージ信号の該一つを第四に符号化する、ここにおいて、少なくとも一つの付加逆鍵付き変換の各々は、少なくとも一つの付加鍵付き変換の対応している反転である、及び第一の逆鍵付き変換に従って該組のメッセージ信号の該一つを第五に符号化する、ここにおいて、該第一の鍵付き変換は、第一の鍵付き変換の反転である。

Description

【発明の詳細な説明】 送信信号を暗号化するための方法と装置 発明の背景。 I.発明の技術分野。 本発明は、送信信号を暗号化するための方法と装置を関する。 II.関連技術の説明。 無線通信システムにおいて、サービス提供者が遠隔局からのサービス要求が正 当なユーザからのものであることを確認できることが望ましい。例えばAMPSアナ ログ技術を使っているような、いくつかの現在のセルラー電話システムにおいて 、いかなる設備も、システムへの許可されていないアクセスを妨げるようにはさ れていない。従って、不正行為がこれらのシステムにおいて起こる。サービスを 得るためのひとつの不正の手段が、クローニング(cloning)として知られている 。それは、許可されていないユーザが通話を始めるために必要な情報を横取りす る(intercepts)。その後、許可されていないユーザは横取りした情報を使用して 移動電話をプログラムすることができ、及びその電話を使用して不正に電話サー ビスを受信することができる。 これら及び他の困難を克服するために、多くのセルラー電話システムは、例え ば、それはEIA/TIA/IS-54-Bの通信工業会（TIA）によって、標準化されたような 、認証スキーム(authentication schemes)を実行した。この認証スキームのひと つの側面は、サービスを受信することを要求される大気上を送信される情報の暗 号化である。この情報は、移動電話メッセージ暗号化アルゴリズム(CMEA)を使用 して暗号化される。CMEAアルゴリズムは、「移動電話のための暗号化システム」と いうタイトルのアメリカ特許No.5,159,634に開示されている。この特許はここに 引用されて、取り込まれる。 CMEAにおいて，いくつかの主な欠点が発見された。それは、比較的短期間に現 在の標準の計算装置を使用して暗号化された情報が解読されることである。これ らの欠点は、それらの欠点を克服する本発明の明細書 において、以下に全体的に概説される。CMEAは、インターネット上で公表された 。それゆえに、これらの欠点はオープンにされ、そうすることに関心を持つ誰で も発見することができる。このように、暗号化のための新しいアルゴリズムは、 CMEAとの置き換え、セルラー・サービスを始めるのに必要な認証情報の横取り及 び不正使用、を避けるために望まれる。 発明の概要 本発明の一態様に従って、通信システムの送信ためのメッセージを表示する一 組のメッセージ信号を送信する方法が提供される。該方法は下記を具備する：第 一の鍵付き(keyed)変換に従って前記組のメッセージ信号の一つを第一に符号化 する、少なくとも一つの付加鍵付き(additional keyed)変換に従って前記組の前 記一つを第二に符号化する、前記組のメッセージ信号の少なくとも一つが変更さ れている自己反転(self- inverting)変換に従って前記組のメッセージ信号の前 記一つを第三に符号化する、少なくとも一つの付加反転鍵付き(additional inve rse keyed)変換に従って前記組のメッセージ信号の前記一つを第四に符号化する 、ここにおいて、前記少なくとも一つの付加反転鍵付き変換の各々は、前記少な くとも一つの付加鍵付き変換の反転(inverse)に対応し、及び第一の反転鍵付き( inverse keyed)変換に従って前記組のメッセージ信号の前記一つを第５に符号化 する、ここにおいて、前記の第一の反転鍵付き変換は、前記第一の鍵付き変換の 反転である。 本発明の別の観点に従って、送信信号を暗号化する方法が提供される。該方法 は、鍵付き、自己反転、及び又は反転鍵付き変換の所定の組み合わせである複数 の変換を、それに対して適用することによって、前記信号を符号化することを具 備する。 本発明の更なる態様に従って、送信信号を暗号化する装置が提供される。該装 置は、対応する多数の変換を適用することによって、送信信号のために調整され た複数の符号化段を具備している。その変換は、鍵付 き、自己反転および／または反転鍵付き変換の予め定められた組合せである。 本発明を具体化する、及びここで記述される、ブロック暗号可変長（BEVL）符 号化(Block Encryption Variable Length encoding)は、CMEAアルゴリズムの同 じ欠点を克服する。本発明の好適な実施例は、以下の特徴を有する： ・暗号可変長ブロック、好ましくは長さにおいて少なくとも２バイト、 ・自己反転、 ・非常に小さいダイナミックメモリ、及び512バイトの静止テーブルのみの使 用、 ・８ビット・マイクロプロセッサ上で評価するのに効率的、及び ・より長いかより短い鍵を使用するために単に修正されることができる、64ビ ット・鍵を使用する。 CMEAにおいて、関係する第一の欠点は、テーブルルックアップする(table loo kups)ために使用されるCAVE(セルラー証明音声プライバシー及び暗号（Cellular Authentication Voice Privacy and Encryption））が不完全であることである 。それは、256の代わりに164の別個の値のみを産する。多数の不可能な値の存在 は、tbox()または鍵・バイトのリターン値を推測すること、及び該推測値を確認 することを可能にする。この第一の欠点は、CAVEテーブルの利用可能統計指標を 排除するために選択された二つの異なるテーブルでCAVEテーブルを置き換えるこ とによって、本発明において、緩和される。これらのテーブル(t1box及びt2box と呼ばれる)は256の８ビット整数の厳格な順列(permutation)である。ここで、 いずれのエントリ(entry)もそれ自身のインデックス位置では出現しない。それ に加えて、ｉの全ての値に関して、t1box[i]はt2box[i]に等しくない。これらの ２つのテーブルは、上記基準を満たしていないところの破棄されている(discard ed)候補でランダムに形成された。 CMEAの第二の欠点は、ゼロで評価される、tbox()と呼ばれる関数値の反覆した 使用である。値tbox(O)は、第一のバイトの暗号化において、二回使用される。 これは、tbox(O)を推測することを可能とし、及び暗号で書く(ciphering)プロセ スに関する他の情報、特に最終バイトのためのCMEAの第一の手順の結果と第二バ イトを暗号化するのに使用されたtbox()の２つの値に関する論旨(arguments)、 を決定する際に該推測値を使用することを可能とする。それはまた、選ばれた平 文攻撃(a chosen-plaintext attack)を通して、公認のパターンが暗号文に出現 するまでに種々の平文の値(plaintext values)を試みることによりtbox()を決定 することを可能とする。この第二の欠点は、CMEAにおいて、使用される自己反転 手順を、選ばれた組のより良い混合を提供する手順に変えることにより緩和され る。これは、異なるテーブル（t2box）を使用する第二のパス(pass)を導入する ことによって行われる。この状況において、お互いにマスクするのに役立つ等し い有意性を持つ異なるテーブルから引き出された２つの値のtbox()が存在する。 CMEAにおける関連した欠点は、異なる長さの分析文から集められた情報は一般 に結合され得るということである。BEVLで第２の臨界の(critical)tbox()エント リを使用することは、メッセージの長さに依存し、より実行可能でない異なる長 さのテキストの分析を結合することになる。 CMEAにおいて、発見される第三の欠点は、より上位のバッファエントリ(upper buffer entriesis)の不完全な混合である。平文の最後のn/2バイトは、ひとつ のtbox()値を単に加えること、それから他の値を取り去ること、第一の半分のバ イトのみに影響する中間ステップ、によって暗号化される。暗号文と平文との間 の相違は、二つの値のtbox()間の相違である。BEVLは、データ上で３の代わりに ５のパスを実行することによりこの第三の欠点に取り組む。中間のパスにおいて のみCMEAにより実行される混合は、バッファバックの終端から開始端の方へデー タを混合する第二及び第四のパスにおいて行われる。CMEAの中間のパスはまた、 第三のパスが暗号復元しないことを確実にするために、少なくともいくつかのバ イトの変更を保証する。改良された方法において、BEVLは、最高でも１バイトが 変化しないまま残るというような方法で、バッファの変換に依存して鍵を作るこ とにより中間のパスにおけるこの目標を達成する。 CMEAの第四の欠点は、第一のバイトの最小桁のビット（LSB）の暗号化の欠如 である。tbox(O)の繰り返される使用とCMEAの第二手順でのLSBの固定された反転 は、平文の第一のバイトのLSBの単なる反転である暗号文の第一のバイトのLSBの 結果となる。BEVLは、中間のパスの期間中のバッファの修正に依存している鍵を 介してこの第四の欠点を避ける。この中間のパスは、長さにおいて、２バイト以 上のバッファ上で予測できない第一のバイトのLSBを作る。 CMEAの第５の欠点は、効果的な鍵・サイズが64のビットよりむしろ60であると いうことである。このように、各鍵は、15の他に等しい。BEVLは、テーブルルッ クアップする数を増加すると同時に、数値演算の数を減らし、及び鍵の全ての64 のビットが有意であることの保証を確保する。 最後に、CMEAのtbox()関数は、中間−遭遇攻撃(meet-in-the-middle attack) により効率的に危険にさらされる(compromised)。一度、４つのtbox()値が引き 出されると、中間−遭遇攻撃は、CAVEテーブルの構成に依存せずに、2^∧30のオ ーダー上の空間と時間の要件で成し遂げられる。BEVLは、多くの方法でこれに取 り組む(address)。tbox()関数の構造は、該鍵の２つの未使用ビットを回復する( recover)。tbox（）の始めと終わりでの暗号鍵の最小桁８ビットとの組合せの繰 り返しは、最小値計算と空間が８ビット増加されるべきであることを意味する。 各テーブルの二つのサイドと、２つの異なるテーブルがあるので、最小の複雑さ (the minimum complexity)は、2^∧42のオーダー上の最小値空 間と時間要件に導く(Leading)、他の２つのビットにより増加されなければなら ない。さらに、CMEAへの中間-遭遇攻撃は、少なくともいくつかのtbox()エント リ(entries)の回復を要求する。これは、BEVLを使用して作られたさらなる難し さであり、tbox()値の二つの別々の組上での同時の攻撃を要求し、お互いに隠す 傾向がある。 図面の簡単な説明。 本発明の特徴、目的及び利点は、同様の引用符号が全体を通して対応して特定 されている図面と連携した後述の本発明の詳細に説明された好適な実施例の説明 からより明らかになる： 図１は、本発明を具体化している暗号化システムのブロック線図である。 図２は、本発明において、文字ブロックを暗号化する方法の例示的な実施態様 の系統図である。 図３は、文字ブロックを暗号化する方法の例示的な実施態様を実行している「 C」プログラムである。 図４は、t1boxの例示的な実施態様である。及び 図５は、t2boxの例示的な実施態様である。 実施例の詳細な説明。 本発明の例示的な実施態様は、図１に示されるように、第二受信局2000への無 線送信のためのデータを暗号化する第一局1000から構成されている。第一局1000 は、基地局でよい第二局2000に送信している遠隔局でよい。あるいは、第一局10 00は、遠隔局でよい第二局2000に送信している基地局でよい。同様に、遠隔局及 び基地局は、送受信手段と同様に、暗号化及び暗号解読の手段を有するが、図１ 示される簡略化されたシステムは、本発明を可能にするために要求される要素を 明確に示めしている。さらに、この発明の特徴は無線通信に限定されず、安全な データが横取りされやすい媒体上で送信されなければならない、いずれの状況に おいても容易に適用されることができる。これは、関連した技術の 当業者によく理解される。 図１において、本発明を具体化するBEVLアルゴリズムに従って暗号化のための 必要なデータを含んでいるメモリ10は、プロセッサ20に接続される。例示的な実 施態様において、プロセッサー20は、BEVL符号19に格納されている指示を実行で きる比較的単純な８ビット・マイクロプロセッサである。プロセッサ20は、例え ばビットごとの(bitwise) 加、及び引算、などのような、単純な８ビット指示を実行できる演算論理ユニッ ト（ALU。図示せず）を含む。プロセッサ20は、また、全般的なプログラムフロ ー命令をすることができ、及びメモリ（例えばメモリ10）からの値を装填し記憶 する能力がある。それらの当業者は、これらの要件が全く最小であること、本発 明をサイズ及び/または費用要件が単純なマイクロプロセッサを可搬式の装置の ようにシンプルにする応用に全く適しているようにすること、を承認するであろ う。明らかに、本発明は、同様により強力なマイクロプロセッサを使用して、容 易に実行されることができる。 メモリ10は、テーブルt1box12及びt2box14、暗号鍵16、及び実行されるべき符 号（BEVL符号）19を含む。暗号化されるデータはプロセッサ20に入力され、それ はデータ18と称される位置のメモリ10中にそのデータを格納する。図１は一つの メモリ中の全てのこれらの要素を表すが、複数の記憶装置が使用されてもよいと ことが理解される。好適な実施例において、BEVIL符号19と同様にテーブル12及 び14は、不揮発性メモリ（例えばEEPROMまたはFLASHメモリ）に格納される。メ モリのこれらの部分は書き込みを必要としない。 暗号化鍵16は、公知技術である多くの手段により形成されることができる。単 純な実施態様は、該局がサービスのために起動させられる時に一度プログラムさ れる不揮発性メモリー中に鍵16を有することができる。例示的な実施態様におい て、鍵16は、上記のEIA/TLA/IS-54-B にて説明されたプロトコルに従って形成され、変更される。 暗号化されるデータ（データ18）は、ランダムアクセスメモリ（RAM）中に格 納される。暗号化は「正しい位置で(in place)」実行される。それは、手順の初 めにおいて暗号化されていないデータを保持しているメモリ位置は、最終的に暗 号化されたデータと同様に中間値(intermediate values)をまた保持することを 意味する。 データ18は、t1box12、t2box14、及び暗号化鍵16を使用して、BEVL符号19に従 ってプロセッサ20において、暗号化される。暗号化プロセスは以下に詳細に説明 される。 暗号化データ18は、プロセッサ20により引き出され送信器30に送られる。そこ で、それは変調され、増幅され、アンテナ40上での送信のためにアップコンバー トされる。アンテナ50は、データを受信し、受信器60にそれを渡す。そこで、該 データはダウンコンバートされ、増幅され、復調され、そしてプロセッサ70に引 き渡される。例示的な実施態様において、図１に表される２つの局間の無線通信 のためのフォーマットは、「デュアル モード ワイド バンドペクトラム拡散セ ルラシステムのための移動局-基地局互換性標準、TIA/EIA/IS-95-A」に記載され ている。無線電話システムのような多重アクセス通信システムにおけるCDMA技術 の使用は、「衛星又は地上中継器を使用するスペクトル拡散多重アクセスシステ ム(SPREAD SPECTRUM MULTIPLE ACCESS COMMUNICATIONシステムUSING SATELLITE OR TERRESTIAL REPEATERS)」とタイトル付けられた、米国特許第4,901,307号に 開示されている。これは、本発明の譲受人に譲渡され、及び引用されることによ って、ここに組み入れられる。多重アクセス通信システムにおけるCDMA技術の使 用は、CDMAセルラ電話システムにおいて、信号波形を形成するためのシステムと 方法(SYSTEM AND METHOD FOR GENERATING SIGNAL WAVEFORMS IN A CDMA CELLULA R TLEPHONE SYSTEM)」とタイトル付けられた米国特許第5,103,459号において、 さらに開示されている。これは、本発明の譲受 人に譲渡され、及び引用されることによって、ここに組み入れられる。 プロセッサ70(これはプロセッサ20と同じ要件を有する）は、メモリ80に接続 される。メモリ80は、それぞれ、メモリ12、14、16、18及び19に類似しているメ モリ82、84、86、88及び89を具備する。プロセッサ70は、暗号化されたデータを データ・メモリ88に格納する。鍵86は、前に記述されているように、鍵16と同様 の形式で決定される。テーブル82及び84は、テーブル12及び14と同一である。本 発明のデータ処理が自己反転であることから、BEVL符号89（BEVL符号19と同一） は、データ18の暗号化プロセスにおいて行われたように、暗号化されたデータ88 上で、ｔ1box 82,t2box 84及び鍵86と連動してプロセッサ70において実行される 。前述のように、データ処理は「正しい位置において」実行され、データ88の結 果は、解読されたデータで存在する。プロセッサ70は、メモリ80から復号された データを読み出し、次の使用ためにデータ出力を介してそれを渡す。例示的な実 施態様において、結果としてのデータは、EIA/TIA/IS-54-Bに開示されるような 認証手続において使用される。 図２は、それぞれ、プロセッサ20及び70によって、先に述べたメモリ素子10及 び80と連動して使用される方法のフローチャートを示す。前に述べように、暗号 化プロセスは自己反転であり、復号プロセスは暗号化プロセスと同じであること を意味する。それゆえに、暗号化プロセスだけが詳細に説明されている。前に説 明されるように、復号プロセスは、図１に類似している復号ブロックで図１の暗 号化ブロックを置き換えることによって、明らかになるであろう。 ブロック99は、暗号化プロセスの始めを記す。buf[]と名付けられた文字列は 、データ・メモリ18に格納されたような暗号化される文字を記述するために使用 される。変数ｎは、文字の数に関して暗号化されるメッセージの長さを表示する 。前に述べたように、BEVLプロセスに存在する一つの改善は、発生する５パス暗 号化である。５パスの各々は、 一点鎖線で輪郭を描かれ、それらを容易に区別するために符合1-5を付した。各 パスは、著しい類似性と、相違を有している。パス１、３及び５は、テーブルt1 box12を使用し、バッファの開始端から終端の方へ動く。パス２及び４は、テー ブルt2box14を使用し、開始に至るまでバッファの終端から動く。BEVLの自己反 転特性は、パス１がパス５の反転であり、パス２はパス４の反転であるが、パス ３は自己反転であるという事実に由来する。 本発明の好適な実施例において、この複数のパスは反対方向に作られる。別の 実施例において、複数のパスは、同じか異なるテーブルを使用するパスを交互に する(alternating)ことで同じ方向に進んでもよい(多数のパス中で同じテーブル を再利用することは、より強い暗号化をなすが、異なるテーブルが使用される時 と同程度には強くはない)。付加パスを挿入することは他の二者択一であり、い ずれかのアプローチと連携して使用されることができる。パスが同じ方向に作ら れる状況において、第一のバッファ・エントリに対する修正は、バッファのさら に下への修正を減少させる予測性で、より予測可能である。交互に反対のパス方 向が使用されるときに、バッファ中の第一のバイトに対する修正はかなり予測で きる。しかし、第二パス中のそのバイトに対する修正は、バッファ中の全てのバ イトに依存し、ほとんどそれを予測できない。同様の形態で、より予測可能な変 化が第二においてなされるが、該バッファ中の最終バイトに対する修正は、第一 パス間の該バッファ中の全てのバイトに依存する。変化の予測性が、反対方向に 複数のパスを使用して、より均一に分配されるので、そうすることは、同じ方向 に多数のパスを使用することより、好ましい。作られる変化は同一のいずれかの 方向であることから、パス３は一つの方向を実際に有さないことに留意する。 各パスにおいて、関数(function)tbox()が使用される。鍵16が組み入れられる ことは、この関数の中である。関数tbox()に渡されるパラメータは、256バイト ・テーブルから構成されており、それは、t1box12 またはt2box14に渡され、インデックスがtvと付けられる。例示的な実施態様に おいて、tbox()は次のように定義される。： ここで、k0からk7は、連接された時に64-ビット鍵16を形成する８つの８ビッ トセグメントを表す、 B[x]は、列Bのx番目の８ビット要素である、 +は、モジュロ256の付加を表わす。 ある長さの鍵が、あまりに強いとみなされる暗号化を提供する別の実施例にお いて、鍵の強さは、tbox()関数を変更することによって、鍵の長さを変えること なく人為的に規制されることができる。例えば、64ビット鍵は、それが2^∧24他 と等しいクラスにあるような方法で64ビット鍵を使用することによって、人為的 に40ビットに規制されることができる。しかし、該鍵に対するいずれか一つのビ ットの変化が異なる結果を作り出すことを依然として確実にする。tbox()に関す る下記の定義は、64ビット・鍵を効果的に40ビット・鍵にするための推奨される 変化を示している： ここで、k0からk7は、連接された(concatenated)時に64-ビット鍵16を形成す る８つの８ビットセグメントを表す、 B[x]は、列Bのx番目の８ビット要素である、 +は、モジュロ256の付加を表す。 tbox()関数は、中間操作の各々が順列(permutations)であるように設計され、 各入力は、出力に対して１対１の写像(mapping)を有すること を意味する。例示的な実施態様において、使用される操作は、モジュロ256の付 加、及び排他的論理和ORである。tbox()に渡される入力値が順列であリ、そして ルックアップが同様である(as well)場合、これらの関数の使用は、tbox()の出 力がまた一対一関数(a one-to-one function)であることを保証する。換言すれ ば、tbox()関数は全体として、それに渡されるテーブルがまたそうである場合、 順列であることを保証される。これは、CMEAに関するケースではない。ここでは 、tbox()関数中の該手順は１対１でない。したがって、CMEAにおいて、たとえCA V13テーブル(それは順列ではない)が、順列であるテーブルにより置き換えられ るべきであっても、tbox()の出力はまだ順列ではない。BEVLに関して逆に、最終 の順列を形成するために鍵材料を結合するための複数の一対一関数の中のいずれ の選択も、受け入れ可能(acceptable)である。例示的な実施態様は、そのような 方法の一つである。この順列原理になお順応する当業者は、代替の方法を容易に 置き換えることができる。出力について１対１の性質(the one-to-one nature) を維持しない中間関数は、BEVL tbox()関数において、代わって使用されること ができるが、結果は準最適状態であろう。 tbox()の定義において、含まれるさらなる改善は、いくつかの鍵ビットが始め と終わりの両方で使用されることである。例示的な実施態様においては、鍵バイ トk0が使用されるが、別の実施例はいずれの鍵ビットも使用することができ、そ して同じ改善をなしとげることができる。同じ値の使用は、中間−遭遇攻撃を砕 く。始めと終わりの両方で少なくいくつかの鍵情報の再使用に失敗することは、 計算機的に複雑であるが、tbox()関数の少数の値から該鍵の率直な導出(derivat ion)を可能とする。この再使用で、暗号化を攻撃する努力において、使用される テーブルは、非常により多くの空間を必要とし、解答を見いだすために必要とす る計算は、ずっと大規模である。 BEVLの例示的な実施態様は２つのテーブルt1boxとt2boxboxに関連 して、tbox()関数の使用を詳細に説明する。結果として生じる出力は、可能な入 力の鍵-依存の順列である。しかし、関数の値は鍵のみに依存し、該データには 依存しないことから、該関数は、256の可能な入力と、メモリに格納された結果 を持つ２つの可能なテーブルとに関して、代わって事前計算される(pre-compute d)ことができる。このように、テーブル ルックアップは、関数の再評価の代わ りをすることができる。当業者は、本発明の実施態様を使用する時に、これらの ２つの方法は機能的に等価であり、そして時間対空間をトレードオフにすること ができることを認識するであろう。等価な代替は、256の可能な入力の順列で初 期化された複数のテーブルを持って開始すべきであり、鍵が初期化されるときは それらのテーブルの鍵-依存シャフリング(a key-dependent shuffling)を実行す べきである。それから、次の暗号化の間、テーブルインデックス操作が、tbox() への現在の電話に代わって、等しい影響を持つて使用される。 テーブルt1box及びt2boxは厳格な順列である。ここで、テーブル中のいずれの エントリもそのインデックスに等しくない。この厳格さは、tbox()計算中の中間 値が変化しないままでいることを可能とすることにより他のどの鍵よりも弱い鍵 は存在しないこと、を保証する。テーブルが順列であるという事実は、関数tbox ()の説明で前に記載したように、重要である。テーブルが順列ではなく、それか らtbox()関数中の該テーブル ルックアップ後ではない場合、結果として存在す ることはありえないいくつかの値が存在するであろう。これらの不可能な値は、 64ビット鍵をかなり予測する仕事を減じて、tbox()からのリターン値と、削除さ れる該鍵の部分を予想することを可能とする。別の実施例は、順列ではないが、 暗号化が準最適状態であるテーブルを使用してもよい。 CMEAの暗号解析のいずれの形も、tbox()関数の値を引き出すことにより開始し なければならない。完全な解析は(ここにおいて、256の可能な入力のための全て の出力が既知である)、CMEAが初めの鍵を知らな くても、適用されることを可能とする。しかし、鍵の回復(recovery)は、該関数 の４つの別個の値と同様に少数として知られていないとは限らない。このように 、BEVLは、他の出力でtbox()からの出力、特にtbox(O)の値を隠す(disguising) ことに力点を置く。多くの代替が、この隠すことを達成するために想像される。 好適な実施例は、第二の異なるテーブル、t2boxと追加された一対のパスを使用 する。その各々は反対方向に実行される。これらの三つの修正のいずれか、また はそれのサブコンビネーションは、ある程度まで該問題に取り組む。しかし、全 ての三つの組合せは、最高の安全を提供する。 好適な実施例において、前と後のパスは、tbox()関数と関連して異なるテーブ ルt1box及びt2boxを使用する。これは、暗号の解読が、ちょうどひとつの組より はむしろ、２つの補集合(complementary sets)の関数値の発見を必要とするよう に行われる。パスはお互いを隠す(disguise)傾向があるので、２つのテーブルは 最良の安全を提供する。一つのテーブルだけを使用する別の実施例が想像される 。これらの方法は安全ではあるが、それらは、２つのテーブルが使用されるもの より低い安全である。 ブロック99からブロック102まで進むことによって、パス１を開始する。ここ で、変数ｖ及びバッファーインデックスｉはゼロに初期化される。それから、ブ ロック104において、各文字buf[i]は、関数呼出 る。変数ｖは、その後それ自身を新しい値のbuf[i]とXORすることによりアップ デートされる。バッファーインデックスｉは、それから増加される。ブロック10 6において、ｉ<ｎである場合、パスは完全でなく、フローはブロック104にリタ ーンする。全部の文字がブロック104に従って修正された時、ｉはｎに等しくな り、パス１は完全である。文字は、buf[O]で開始して終端buf[n-1]の方に向かっ て修正される点に留意する。 ブロック106からブロック202に進むことによって、パス２を開始する。ここで 、変数ｖは値ｎに初期化され、バッファーインデックスｉは値n-1に初期化され る。それから、ブロック204において、各文字buf[i] り修正される。変数ｖは、その後それ自身を新しい値buf[i]でXORすることによ って、アップデートされる。バッファーインデックスｉは、それから減らされる 。ブロック206において、i≧0である場合、パスは完全でなく、フローはブロッ ク204に戻る。全ての文字がブロック204に従って修正されたときに、ｉは-1に等 しく、パス２は完全である。パス１とは違って、文字は、buf[n-1]で開始し、開 始端buf[O]に向かって修正されること、及びテーブルt2box14は、テーブルt1box 12の代わりに使用されたことに留意する。 パス３はブロック302で開始する。バッファーインデックスｉはゼロに初期化 される。変数ｖは、このパスにおいて使用されない。それから、ブロック304に おいて、各文字buf[i]は、関数呼出しtbox(t1box、i+1)の結果をそれ自身でXOR することにより修正される。バッファーインデックスｉは、それから増加される 。ブロック306において、ｉ<ｎである場合、パスは完全でなく、フローはブロッ ク304に戻る。全ての文字がブロック304に従って修正されたときに、ｉはｎに等 しく、パス３は完全である。パス１と同様に、文字はbuf[O]で開始し、終端buf[ n-1]に向かって修正され、そしてテーブルt1box12が使用されたことに留意する 。前に述べたように、しかし、パス３の方向は重要でない。なぜならば、同一の 結果がどちらの方向でも達成されるから。 パス３において、tbox()と異なる出力が、各buf[]エントリと結合される。tbo x()からの出力は順列を形成するので、最高でも、ただ一つのそのような値がゼ ロでありえる。ゼロであるかどうかは、鍵に依存する。BEVLにおいて、バッファ における変化は、鍵−依存(key-iependent)であり、予測するのが非常に難しい 。平均して、値のうちの１つがゼロで あるチャンスはn/256である。ここで、ｎはバッファの長さである。バッファの 値が変更されることを保証するいずれの自己反転鍵-依存、又はデータ-依存変化 も、十分に暗号化を確実にする。CMEAにおいて、変化しないままである値はアル ゴリズムが全く暗号化に失敗するケースに導くので、これはBEVLのために重要な 改善である。 ブロック306からブロック402に進むことによりパス４を開始する。ここで、変 数ｖはｎに初期化され、バッファーインデックスｉは値n-1に初期化される。そ れから、ブロック404において、一時変数(a temporary 当てられる。変数ｖは、その後それ自身をbuf[i]の現在の値でXORすることによ りアップデートされる。各文字buf[i]は、それから、それ自身から一時変数ｔの 値を引き去ることにより修正される。バッファーインデックスｉは、それから減 らされる。ブロック406において、i≧ 0である場合、パスは完全でなく、フロ ーはブロック404に戻る。全ての文字がブロック404に従って修正されたときに、 ｉは-1に等しく、パス４は完全である。パス２と同様に、文字はbuf[n-1]で開始 し、開始端buf[O]に向かって修正され、及び、テーブルt2box14が使用されたこ と留意する。 ブロック406からブロック502へ進むことによって、パス５を開始する。ここで 、変数ｖとバッファーインデックスｉは値ゼロに初期化される。それから、ブロ ック504において、一時変数ｔは、関数呼出し の後それ自身をbuf[i]の現在の値でXORすることによりアップデートされる。各 文字buf[i]は、それから一時変数ｔの値をそれ自身から引き去ることにより修正 される。バッファーインデックスｉはそれから増加される。ブロック506におい て、ｉ<ｎである場合、パスは完全でなくて、フローはブロック504に戻る。全て の文字がブロック504に従って修正されたときに、ｉはｎに等しく、パス５は完 全である。パス１及 び３の同様に、文字は、buf[n-1]で開始し，開始端buf[O]に向かってを修正され 、テーブルt1box12が使用されたことに留意する。 今、ブロック600に進む。暗号化は、現在完全である。Buf[]は、安全な送信の ための暗号化された文字を現在有する。 上記に記された操作を実行するプログラム「C」が、図３に供される。テーブ ルt1box12は、図４中の「C」に供給される。テーブルt2box14は、図５中の「C」 に供給される。 好適な実施例に関する前記の説明は、当業者が本発明を作り、利用できるよう にするために行われた。これらの実施態様に対する種々の修正は、容易に当業者 にとって明らかであり、及び、ここで定義される一般的な原理は、他の実施態様 に発明の才を使わずに、適用されることができる。このように、本発明は、ここ で示される実施態様に限定されることを意図しておらず、ここで開示した原理と 新しい特徴に合致した最も広い範囲を与えられる。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ， ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，Ｍ Ｗ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ， ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，Ｅ Ｓ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＧＭ，ＧＷ，ＨＵ，ＩＤ ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ， ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，Ｍ Ｇ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ， ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，Ｙ Ｕ，ＺＷ

Claims (1)

1. 【特許請求の範囲】 1. 通信システムにおいて、送信メッセージを表わしている一組のメッセ ージ信号を変換するための方法であって、 第一の鍵付き変換に従って前記組のメッセージ信号の一つを第一に符号化 する工程、 少なくとも一つの付加鍵付き変換に従って前記組のメッセージ信号の前記 一つを第二に符号化する工程、 前記組のメッセージ信号の少なくとも一つが変換される自己反転変換に従 って、前記組のメッセージ信号の前記一つを第三に符号化する工程、 少なくとも一つの付加逆鍵付き変換に従って、前記組のメッセージ信号の 前記一つを第四に符号化する工程、ここで、前記少なくとも一つの付加逆鍵付き 変換の各々は、前記少なくとも一つの付加鍵付き変換の対応する反転である、及 び 第一の逆鍵付き変換に従って、前記組のメッセージ信号の前記一つを第五 に符号化する工程、ここで、前記第一の逆鍵付き変換は、前記第一の鍵付き変換 の反転である、工程を具備する該方法。 2.前記第一の符号化の工程は、第一のテーブルに従って及び第一の方向に おいて実施され、前記第二の符号化の工程は、前記第一のテーブルに従って及び 前記第一の方向において実施される、請求項１の方法。 3.前記第一の符号化の工程は、第一のテーブルに従って及び第一の方向に おいて実施され、前記第二の符号化の工程は、前記第一のテーブルに従って実施 され、そして、前記付加鍵付き変換の各々は交互の方向において実行される、請 求項１の方法。 4.前記第一の符号化の工程は、第一のテーブルに従って及び第一の方向に おいて実施され、前記第二の符号化の工程は、少なくとも一つの付加テーブルに 従って及び前記第一の方向において実施される、請求 項１の方法。 5.前記第一の符号化の工程は、第一のテーブルに従って及び第一の方向に おいて実施され、そして、前記第二の符号化の工程は少なくとも一つの付加テー ブルに従って実施され、そして、前記付加鍵付き変換の各々は交互の方向におい て実施される、請求項１の方法。 6.前記第一の符号化の工程は、第一のテーブルに従って実施され、そして 、前記第二の符号化の工程は、少なくとも一つの付加テーブルに従って実施され る、請求項１の方法。 7.前記第一の符号化の工程は、第一のテーブルに従って実施され、そして 、前記第二の符号化の工程は前記第一のテーブルに従って実施される、請求項１ の方法。 8.前記第一の符号化の工程は、第一の方向に従って実施され、そして、前 記第二の符号化の工程は、少なくとも一つの付加方向に従って実施される、請求 項１の方法。 9.前記第一の符号化の工程は、第一の方向に従って実施され、そして、前 記第二の符号化の工程は、前記第一の方向に従って実施される、請求項１の方法 。 10.前記第一の符号化の工程は、第一のテーブルに従って実施され、そし て、前記第一のテーブルは順列である、請求項１の方法。 11.前記第一の符号化の工程は、第一のテーブルに従って実施され、そし て、前記第一のテーブルは順列ではない、請求項１の方法。 12.前記第二の符号化の工程は、少なくとも一つの付加テーブルに従って 実施され、そして、前記少なくとも一つの付加テーブルは順列である、請求項１ の方法。 13.前記第二の符号化の工程は、少なくとも一つの付加テーブルに従って 実施され、そして、前記少なくとも一つの付加テーブルは順列ではない、請求項 １の方法。 14.前記第三の符号化の工程は、鍵付き変換に従って実施される、 請求項１の方法。 15.前記第三の符号化の工程は、鍵付きではない変換に従って実施される 、請求項１の方法。 16.前記第一の鍵付き変換は、指標値を受信する工程、テーブルを受信す る工程、及び前記指標値及び前記テーブルに従ってテーブル ルックアップを実 施する工程、を具備する請求項１の方法。 17.更に前記指標値を処理する工程を具備し、及びテーブル ルックアップ を実施する前記工程は、前記指標値の前記処理する工程の結果に従って実施され る、請求項16の方法。 18.前記テーブル ルックアップした結果上での付加処理をさらに具備する 、請求項17の方法。 19.前記テーブルルックアップした結果上でのに前記付加処理は、前記結 果に従った付加テーブル ルックアップの実施を具備する請求項18の方法。 20.前記テーブル ルックアップした結果上での前記付加処理は、前記結果 上でのブール演算の実施を具備する、請求項18の方法。 21.送信信号を暗号化する方法であって、鍵付き，自己反転及び/又は反転 鍵付き変換の所定の組み合わせである複数の変換をそれに対して適用することに より前記信号を符号化する工程、を具備する方法。 22.送信信号を暗号化するための装置であって、鍵付き，自己反転及び／ 又は逆鍵付き変換の所定の組合せである、対応する多数の変換を適用することに よって、送信信号に対して調整された複数の符号化段を具備している、装置。 23.複数の暗号化段として役立つプロセッサを具備する、請求項22に記載 された装置。