JP2001514834A

JP2001514834A - 安全決定性暗号鍵発生システムおよび方法

Info

Publication number: JP2001514834A
Application number: JP54276898A
Authority: JP
Inventors: ガイ・エル・フィールダー; ポール・エヌ・アリト
Original assignee: ガイ・エル・フィールダー; ポール・エヌ・アリト
Priority date: 1997-03-10
Filing date: 1998-03-09
Publication date: 2001-09-11
Also published as: CA2293684A1; WO1998045980A3; US5963646A; EP0966810A2; WO1998045980A2

Abstract

(57)【要約】暗号分析または総当たり攻撃に対して高い抵抗力を有する暗号鍵発生器を開示する。また、鍵一覧やその他の暗号鍵格納プロセスを必要とせずに鍵の再作成を可能にすることによって、暗号鍵を使用する毎に破壊することを可能にした。定数値および秘密Ｅ−鍵シードを、ビット・シャフリング・アルゴリズムへの入力として印加し、第１の多数対少数ビット・マッピングを行い、第１の擬似乱数を生成する。次に、第１の擬似乱数を、一方向セキュア・ハッシュ・アルゴリズムに入力として印加し、第２の多数対少数ビット・マッピングを行い、第２の擬似乱数即ちメッセージ・ダイジェストを生成する。これを所望のビット長に短縮し、予測不可能であるが確定的な暗号鍵として用いることができる。同じ定数値およびＥ−鍵シードを鍵発生器に入力すると、同じメッセージ・ダイジェストが得られるので、したがって同じ鍵が得られる。

Description

【発明の詳細な説明】安全決定性暗号鍵発生システムおよび方法発明の分野本発明は、一般的に、暗号鍵発生装置に関し、更に特定すれば、発生器に対する秘密シード(secret seed)を発見するための暗号分析や総当たり（力任せ）的攻撃（アタック）に対して非常に強い抵抗力を有し、予測不可能であるが決定性の暗号鍵を生成する発生器に関するものである。関連出願に対する引用同日付で出願した同一発明者の同時係属中の出願として、米国特許出願番号第号"Bilateral Authentication And Information Encryp tion Token System And Method"(双方向認証および情報暗号化トークン・システムおよび方法)、米国特許出願番号第号"Bilateral Authentication And Encryption System"（双方向認証および暗号化システム）、および米国特許出願番号第号、"File Encryption Method And System"（ファイル暗号化方法およびシステム）がある。発明の背景メインフレームの中央演算装置を含み、ダム端末(dumb terminal)端末を通じてユーザのアクセスを与えていた初期のコンピュータ・システムにおいて用いられていた情報のセキュリティは、ＣＰＵへのアクセスを制限することによって得られていた。ＣＰＵは、機密情報に関与する全ての計算機資源の調停役であった。パーソナル・コンピュータ（ＰＣ）の導入は、集中処理から局部処理に向かう流れの起源を意味し、クライアント／サーバの出現を迎えた。この場合も、最初の頃は、ＰＣまたはクライアント・サーバへのアクセスを制限することによって機密情報の保護が可能であると、従来の知識は教示していた。今日の通信の世界とは、ギガバイトのメモリを有する分散型計算機の携帯ＰＣや、ＬＡＮ、ＷＡＮ、インターネットおよびセルラ通信の内の１つである。中央のＣＰＵ、クライアント／サーバ、およびＰＣセキュリティは、もはや機密性が非常に高い情報を保護するには十分ではない。コンピュータ・システム内に格納されている情報またはネットワークを通じて伝達される情報を保護する方法で、最も広く受け入れられているのは、データの暗号化の使用である。データ暗号化技術は、基本的に、対称型または非対称型の２種類の技術に分類される。対称鍵暗号化の一例は、データ暗号化規格(Data En cryption Standard)、FIPS PUB 46-2;DATA ENCRYPTION STANDARD(DES)，（１９９３年１２月３０日）である。発明者の名前Rivest（リベスト），Shamir（シャミア）およびAdleman（アドルマン）にちなんで名付けられたＲＳＡ暗号化技術は、非対称型または公開鍵暗号化の一例である。対称型暗号化は、情報ファイルの暗号化および解読双方に同じ鍵を用いる。非対称型暗号化は、２つの鍵を用い、一方の鍵で暗号化した情報が、第２の鍵を用いてのみ解読できるような関係を共有する。対称型暗号化は、非対称型暗号化よりも格段に高速であり、そのためにデータ・ファイルの一括暗号化(bulk encryp tion)にはこちらの方が適している。また、対称型および非対称型暗号化アルゴリズムは、可逆性または非可逆性として特徴付けることも可能である。可逆性アルゴリズムとは、データがその暗号化状態からそのタリアテキスト(cleartext)状態に復元可能な場合を言う。非可逆性アルゴリズムの一例は、FIPS PUB 180-1,SECURE HASH STANDARD(SHS)、（１９９５年４月１７日）において定義されているセキュア・ハッシュ・アルゴリズム(secure hash algorithm)である。セキュア・ハッシュ・アルゴリズムは、元来、情報ファイルへの改変が故意によるものかまたは故意によるものでないのかを検出するために用いられていた。したがって、このアルゴリズムの出力を、メッセージ完全性コード（ＭＩＣ：message integrity code）またはメッセージ・ダイジェスト(ＭＤ：message digest)と呼ぶことは、驚きではない。ハッシュ・アルゴリズムの別の特徴として、出力は、入力のサイズには無関係に、常に同じ２進長となることが上げられる。したがって、大きな２進長を有する入力を、より短い２進長を有する出力にマップすることができる。更に、メッセージまたはファイル内の１ビットのみを変更しても、出力においては約５０％のビットが変化する。ハッシュ・アルゴリズムの入力および出力間には、出力から入力を復元するために用いることができる公知の関係がない。したがって、総当たり試行錯誤攻撃は、時間およびコストの面で不可能(prohibitive)である。また、鍵発生器によって生成される暗号鍵は、決定性(deterministic)または非決定性として分類することができる。決定性暗号鍵とは、特定の入力を暗号化鍵発生器に印加する毎に繰り返し可能なものを言う。異なる入力は異なる出力を生成する。非決定性暗号鍵とは、鍵発生器に対して同じ入力を用いても、繰り返すことができないものを言う。例えば、乱数発生器は、非決定性の値を与える。情報セキュリティ業界全体では、決定性暗号鍵は、暗号分析(cryptographic a nalysis)が行われる可能性が高いので、不十分であるとの認識を持っている。かかる分析によって、暗号鍵を発生するために必要な、暗号アルゴリズムへの入力が明らかにされてしまう可能性がある。より高度な非可逆性を導入するために、"Secure Hash Standard"(セキュア・ハッシュ規格)，FIPS PUB 180-1（１９９５年４月１７日）において定義されているような、一方向セキュア・ハッシュ関数が、鍵発生プロセスに導入された。セキュア・ハッシュ・アルゴリズムの出力のビット長は、入力のビット長には関係なく一定を維持するので、更に入力の１ビットのみを変化させても出力に劇的な影響が出るので、セキュア・ハッシュ関数の出力は、総当たり試行錯誤方法によって入力を突き止めるのに必要な時間およびコストの投資のために、ほぼ非可逆的であると見なされている。従来のシステムにおいて用いられている典型的な暗号鍵発生器は、米国特許第５，０６０，２６３号、第５，０６８，８９４号、第５，１５３，９１９号、第５，２３３，６５５号、第５，３０９，５１６号、第５，３５５，４１３号、第５，３６１，０６２号、および第５，３６７，５７２号に開示されているものである。これらのシステムには、多数対少数ビット・マッピング（many-to-few bi t mapping）を採用して、使用する暗号化アルゴリズムの非可逆性を高めたものはなく、おそらく’５１６号および’９１９号の特許を除いて、非可逆性アルゴリズムを採用したものもない。’５１６号および’９１９号特許は、使用するアルゴリズムを開示していない。更に、’２６３号、’８９４号、’６５５号、’ ０６２号および’５７２号特許が発生する暗号鍵は、繰り返し可能でも、決定性でもない。加えて、’２６３号、’８９４号、’９１９号、’６５５号、’４１３号、’０６２号、および’５７２号特許に開示されている鍵発生器への秘密入力は、暗号分析による発見の機先を制するには十分に長くない。最後に、’６５５号、’０６２号、および’５７２号特許において発生する暗号鍵は、対称型暗号鍵として機能しない。前述の特許の内、米国特許第５，１５３，９１９号は、開示された暗号鍵発生器が、定数値（ＥＳＮ）、秘密鍵（Ａ−鍵）およびランダム・シーケンスの入力を必要とし、これらはハッシュされる前に単に連結され、共用秘密データ・フィールド（ＳＳＤ）を与えるという点において、従来技術としては近い方に思われる。しかしながら、この発生方法は、十分なビット長のＡ−鍵や、ハッシュ処理に先立って、本発明によって考え出されたような、ビット・シャフリング(bit-s haming)処理を採用していない。したがって、連結関数への入力を突き止めることに対して意味のあるバリアは与えられない。更に、開示された方法およびシステムは、多数対少数ビット・マッピングを採用しておらず、暗号鍵発生関数の秘密鍵(secret)を突き止めるための総当たり試行錯誤攻撃や暗号分析に対する抵抗力は高められていない。本発明では、予測不可能であるが決定性かつ対称性の暗号鍵を発生する方法およびシステムを開示する。これは、多数対少数ビット・マッピングおよびビット・シャフルとセキュア・ハッシュとの組み合わせを採用し、暗号分析や総当たり試行錯誤攻撃に対する抵抗力を一段と高めている。更に、本方法およびシステムは、鍵発生器の入力の知識から暗号鍵を突き止めようとする試行に対しても非常に抵抗力があり、暗号分析による突き止めに対して非常に抵抗力のある、十分なビット長の秘密Ｅ−鍵シード(secret E-Key Seed)を採用する。また、本発明の方法およびシステムは、鍵一覧やその他の鍵記録簿を必要とせずに鍵を再度作成することにより、暗号鍵を使用する毎にこれを破壊することを可能とし、情報セキュリティ・システムの効率を著しく向上させる。発明の概要暗号鍵発生器のＥ−鍵シードを突き止めるための暗号分析または総当たり攻撃に対して高い抵抗力を有する、確定的（決定性）であるが予測不可能な対称型暗号鍵を発生する方法およびシステムを開示する。即ち、定数値またはメッセージのビットを論理的におよび／または代数的に秘密複数ビット・シーケンス（Ｅ− 鍵シード）と組み合わせ、ビット・シャフリングを行う。その結果、大きなビット数から、これよりも小さいビットを有する第１の擬似乱数へのマッピングが行われる。結果的に得られたビット・シーケンスを、セキュア・ハッシュ関数に適用し、非可逆性を高める。一方、メッセージ・ダイジェストを所望のビット長に短縮し、繰り返し可能かつ予測不可能であるが決定性の擬似ランダム対称型暗号鍵を供給する。本発明の一態様では、暗号鍵発生器が生成する暗号鍵は、同じ入力を発生器に印加することによって、再度生成することができる。これによって、鍵一覧や鍵記録簿の必要性をなくした。本発明の別の態様では、１つの入力、即ち、秘密Ｅ−鍵シードを秘密に保ち、少なくとも２２４ビットの複数ビット・シーケンスで構成し、Ｅ−鍵シードのビットを定数値と代数的に組み合わせて、セキュア・ハッシュ・アルゴリズムへの擬似ランダム入力として、多数対少数ビット・マッピングの結果を与え、更に先の組み合わせをセキュア・ハッシュ関数に適用し、擬似ランダム暗号鍵出力の非可逆性を高めることによって、暗号分析または総当たり攻撃によって暗号鍵発生器のＥ−鍵シードを突き止めようとする試行を妨げる。本発明の更に別の態様では、Ｅ−鍵シードおよび定数値を、一連の論理、代数、および／または暗号ステップによって組み合わせ、セキュア・ハッシュ関数に入力を与えることができる。本発明の他の態様では、Ｅ−鍵シードおよび定数値を暗号化し、セキュア・ハッシュ関数に入力を与えることができる。図面の簡単な説明本発明の付加的な目的、特徴および利点は、以下の詳細な説明を添付図面と共に読むことによって明らかとなろう。図１は、暗号鍵発生器を用いて暗号化データを保護する、従来のコンピュータ・ネットワーク・システムの機能ブロック図である。図２は、本発明の暗号鍵発生器によって行われる機能の図である。図３は、本発明による暗号鍵発生器を有するシステムの機能ブロック図である。図４は、図３のシステムのＥＥＰＲＯＭ１１０に格納されているＥ−鍵シード表の図である。図５ａは、ホスト・システムから本発明による暗号鍵発生器への活性化コマンド・シーケンスの図である。図５ｂは、ホスト・システムから本発明による暗号鍵発生器への送信コマンド・シーケンスの図である。図６は、対称性で決定性であるが予測不可能な暗号鍵を発生するための、本発明による暗号鍵発生プロセスの論理フロー図である。詳細な説明これより、本発明の好適な実施形態について、添付図面を参照しながら説明する。従来の暗号システムに共通する弱点は、鍵（キー）管理システムであり、暗号鍵を突き止めるためは、暗号化自体を打ち破るよりも、これを標的とする方が容易であることに暗号分析者(cryptoanalyst)は気が付いた。近年の暗号鍵管理システムは、手動（ユーザがファイルの暗号化または解読を行うために必要になる毎に、鍵管理者が暗号鍵をユーザに与える）、半自動（コンピュータのメモリに格納されている暗号化ファイルにアクセスするには、暗号鍵によって、フロッピ・ディスクまたはハード・ディスク上に格納されている鍵一覧へのアクセスを必要とする）、または以下で図１と関連付けて説明するような自動化に分類することができる。図１を参照すると、ローカル記憶装置１１を有するユーザ・コンピュータ１０が、通信リンク１３を通じて、ファイル・サーバ１２にアクセスする。コンピュータ１０において、ユーザはユーザ認証プロセスによってサーバ１２およびサーバの記憶装置１４へのアクセスを得ることができるが、通信リンク１６を通じてサーバ１２によってアクセスされる鍵サーバ・システム１７に格納されている機密ファイルへのアクセスを得ることはできない。ユーザは、鍵発生器１８、鍵一覧（ディレクトリ）１９、および暗号化記憶装置２０へのアクセスを得るためには、鍵サーバ１７を用いて追加の認証プロセスを実行しなければならない。一旦鍵サーバ・システム１７によって認証されたならば、ユーザは鍵発生器１８、鍵一覧１９、および暗号化データ記憶装置２０にアクセスすることができる。鍵一覧１９から特定のファイルに対する暗号鍵を得ると、ユーザは、暗号化記憶装置２０内において、その暗号鍵に関連付けられているファイルを解読することができる。従来の手動、半自動、および自動システムでは、鍵一覧を作成し維持する必要があった。かかるシステムの多くは、バックアップ鍵一覧を有することにより、セキュリティ機構の強化を図っているが、バックアップ鍵一覧も維持されるため、突き止められる虞れがあった。鍵管理システムの必要性をなくす暗号鍵発生器を図２に示す。この発生器は、暗号鍵を再度作成可能とするために必要な秘密シード（secret seed)を突き止めようとする総当たり試行錯誤暗号分析試行に対して、高い抵抗力を有するように設計されている。図２を参照すると、代数方程式を実行するビット・シャフリング発生器５２によって、Ｅ−鍵シード(E-Key Seed)５０および定数値５１を組とすることができ、ここでＡはＥ−鍵シード５０、Ｂは定数値５１である。これによって、Ｅ−鍵シードおよび定数値のビットはランダムに混合され、Ｅ−鍵シードと定数値との組み合わせよりも全ビット数が少ない結果Ｃにマップされる。結果Ｃは、擬似ランダム・ビット・シーケンスであり、セキュア・ハッシュ関数発生器５３への入力として印加される。一方、セキュア・ハッシュ発生器５３は、第２の擬似ランダム・ビット・シーケンスを生成する。これをメッセージ・ダイジェスト５４と呼ぶ。先に述べたように、ハッシュ関数発生器５３の出力のビット長は、入力のビット長には無関係に一定を維持する。ここに記載する好適な実施形態では、入力のビット長は、出力よりもかなり大きく、多数対少数ビット・マッピングを行って、発生する暗号鍵の非可逆性を高めている。メッセージ・ダイジェストは、所望のビット長５５に短縮し、求める対象である決定性暗号鍵とすることも可能である。「擬似ランダム」という用語は、本明細書において用いる場合、繰り返し可能であり、しかも対応する出力が、出力を生成する関数へのＥ−鍵シード入力を知っている者であれば誰にでも予測可能であることを意味する。かかる知識がなければ、出力は完全にランダムであるように見える。関数発生器５３が実行するハッシュ・アルゴリズムは、決定性で繰り返し可能な結果を与える。即ち、同じ入力を用いれば、同じ出力が得られる。したがって、秘密Ｅ−鍵シード５０および定数値５１を知っている限り、暗号鍵は再度作成可能である。しかしながら、入力が１ビットでも変化した場合、出力は大きく変化する。ハッシュ関数自体は、以下の表１に明記したものを含む、周知のハッシュ関数のいずれでもよい。好適な実施形態では、ＳＨＡ即ちセキュア・ハッシュ・アルゴリズムを用い、短縮ビット長５５は、メッセージ・ダイジェスト５４のビット長以下とするとよい。関数発生器５２が実行する代数関数は、大きなビット数で集合的に構成される２つの関数にビット・シャフリング・マッピングを行い、より少ないビットから成る出力を形成する場合、Ｅ−鍵シードが突き止められることから保護する多数の別の論理関数または代数関数のいずれでもよいことは理解されよう。コンピュータによる徹底した総当たり攻撃に対して、この多数のビットを著しく少ないビットにマップするという特性が、出力から入力を突き止めようとする分析的攻撃をはるかに困難にする。好適な実施形態において用いるＥ−鍵シードのサイズを決定するにあたって、情報は人の寿命、即ち、７４．５年にわたって保護すべきであること、暗号鍵に対する総当たり攻撃を仕掛けるために使用可能なコンピュータ・パワーが毎秒１０億回の速さで鍵を試験できること、コンピュータの処理能力が約１．５年毎に２倍になること（これは、寿命の間に暗号鍵のサイズが５０ビット大きくなることに相当する）、および統計的平均に基づき、鍵の範囲を２倍にするためには１ビットを鍵ビット長に追加しなければならないこと（これは、可能な値の半分だけ試験すれば恐らく鍵を発見することができるという理論を支持する）を考慮した。したがって、暗号鍵の下限を１１２ビットに決定したのは、ほぼ一人の寿命の間暗号攻撃に耐えなければならないからである。暗号鍵の２倍のビット長、即ち、２２４ビットを有するＥ−鍵シードは、したがって、暗号の強さと安全なメモリの経済性との間の正当な折衷案であると思われる。暗号鍵の非可逆性は、入力の内１ビットを変更しただけで、平均してその出力ビットの約５０パーセントが変化する特性を有する、セキュア・ハッシュ・アルゴリズムを用いることによって、更に一層厳しくなった。ここに記載する好適な実施形態では、ＳＨＡ即ちセキュア・ハッシュ・アルゴリズムを用いる。これは、入力の長さが２⁰ビットないし２⁶⁴ビットの間のいずれであっても、長さが１６０ビットのメッセージ・ダイジェストを生成するという特性を有する。また、好適な実施形態では、アタッカは、定数値５１、発生器５２、およびセキュア・ハッシュ発生器５３の知識を有する可能性がある。彼は、Ｅ−鍵シードも、Ｅ−鍵シードのビット長も、定数値５１を図２の鍵発生器３０に供給した場合の暗号鍵の結果も知ることはない。更に、セキュア・ハッシュ・アルゴリズムの出力の暗号分析は、極度に困難であり、しかも時間およびコンピュータ資源を大量に必要とする。何故なら、アルゴリズムの入力と出力との間には、既知の相関関係がないからである。総当たり試行錯誤攻撃を仕掛けたとしても、時間およびコスト的に増々困難となろう。数学的には如何に確率が低くても、万一アルゴリズムへの入力が突き止められた場合、アタッカはなおもビット・シャフリング・アルゴリズムを逆に辿る作業に直面する。この場合、少数の出力ビットを、未知でしかもより多い数の入力ビットに、逆にマッピングしなければならない。Ｅ−鍵シードのビット長がわかっても、２．７ｘ１０⁶⁷通りの可能性がある。これは、秒単位で考えた宇宙の寿命（２⁶¹）と地球における原子数（２¹⁷⁰）との間の数である。本発明によれば、定数５１および秘密Ｅ−鍵シード５０から得られる一意の決定性暗号鍵が生成される。これは真の乱数であり、暗号鍵発生器への秘密Ｅ−鍵シード入力を突き止めるための総当たり攻撃や暗号分析に対して非常に抵抗力がある。しかしながら、アルゴリズムへの入力が同じであれば、同じ出力が与えられる。したがって、暗号鍵を再度発生することができ、鍵一覧の必要性が回避される。図３の機能ブロック図を参照すると、暗号鍵発生システム１００が、Ｉ／Ｏインターフェース・ユニット１０２に電気的に接続されている通信バス１０１と共に示されている。一方、ユニット１０２は、導通線１０３を通じて、割り込み制御ユニット１０４に、更に１５ビット・バス１０５を通じて、８ビットのアドレス、データおよび制御バス１０６に電気的に接続されている。割り込み制御ユニット１０４は、８ビット、４．０ＭＨｚのＣＰＵ１０７に電気的に接続されており、一方、ＣＰＵ１０７は、２３ビット・バス１０８を通じてバス１０６に電気的に接続されている。更に、バス１０６は、２３ビット・バス１０９を通じて不揮発性８１６０バイトの電気的消去可能プログラマブル・リード・オンリ・メモリ（ＥＥＰＲＯＭ）１１０に電気的に接続されている。ＥＥＰＲＯＭ１１０には、Ｅ−鍵シード表１１８が格納されている。更に、バス１０６は、２３ビット・バス１１１を通じて、２４６バイトの揮発性ＲＡＭ１１２に、更に２３ビット・バス１１３を通じて１２８００バイトのＲＯＭ１１４に電気的に接続されている。ＣＰＵ１０７の動作を定義し、ビット・シャッフル・プログラム１１５およびセキュア・ハッシュ・プログラム１１６を含むファームウエアが、ＲＯＭ１１４に格納されている。動作において、ホスト・システム（図示せず）がコマンドおよびデータを鍵発生システム１００に入力し、通信バス１０１を通じて、ＣＰＵ１０７からステータス情報および処理結果を受信する。ホスト・システムからの情報がＩ／Ｏインターフェース・ユニット１０２に書き込まれると、割り込み制御ユニット１０４が割り込みを発生する。この割り込みに応答して、ＣＰＵ１０７は待ち状態から出て、ＲＯＭ１１４に格納されているコマンド解釈プログラムを実行する。その結果、Ｉ／Ｏインターフェース・ユニット１０２に書き込まれた情報は、動作状態にあるＲＡＭ１１２に格納される。ホスト・システム（図示せず）によって送られＲＡＭ１１２に格納された定数値５１およびコマンドに応答して暗号鍵の発生を指揮するために、ＣＰＵ１０７はＥＥＰＲＯＭ１１０に格納されているＥ−鍵シード表１１８にアタセスする。これによってＥ−鍵シードＩＤに対応するＥ−鍵シードが引き出され、ＲＯＭ１１４に格納されているビット・シャッフル・プログラム１１５が実行される。その後、ビット・シャフル・プログラムの出力がＲＡＭ１１２に格納される。ＣＰＵは次にＲＯＭ１１４に格納されているセキュア・ハッシュ・プログラムおよびＲＡＭ１１２に格納されているビット・シャッフル出力を獲得し、セキュア・ハッシュ・プログラムを実行してメッセージ・ダイジェストを生成する。次に、通信バス１０１を通じたホスト・システムによるアクセスのために、メッセージ・ダイジェストをＩ／Ｏインターフェース・ユニット１０２に書き込む。ホスト・システムはメッセージ・ダイジェストを短縮し、暗号鍵を生成することも可能である。ここに記載する好適な実施形態では、図３のシステムは、3102 North 56th St reet，Phoenix，Arizona 85018に所在のMotorola Semiconductor Product Secto r Headquarters（モトローラ半導体製品部門本部）から、部品番号MC68HC05SC28 として購入することができる。本システムのためのタイミング・パラメータおよび送信プロトコルは、ＩＳＯ／ＩＥＣ７８１６−３に準拠する。図３のＥＥＰＲＯＭに格納されているＥ−鍵シード表を、図４に詳細に示す。ここでは、情報の最初の列の最初の情報セクタは、長さパラメータＬＰ１２０であり、後続のデータ・フィールドのサイズを指定する。ＬＰ１２０が必要なのは、表の各エントリのデータ・フィールドは長さが可変であるからである。セキュリティ向上の必要性が生じた際に、長さを変更することができる。表の情報の最初の列のデータ・フィールドは、活性化コード１２１から成る。活性化コード１２１は、暗号鍵を発生可能になる前に、暗号鍵発生器１００に入力しなければならない。表情報の第２列以降では、ＬＰ１２２は２つのデータ・フィールドの各々の前にある。最初のデータ・フィールドは、列２におけるＥ−鍵シードＩＤ₀から始まり、ｎ番目の列におけるＥ−鍵シードＩＤ_n-1で終了する、Ｅ−鍵シードＩＤである。２番目のデータ・フィールドは、２番目の列におけるＥ−鍵シード₀から始まり、ｎ番目の列におけるＥ−鍵シード_n-1で終了するＥ−鍵シードである。Ｅ−鍵シードＩＤは、参照表（ルックアップ・テーブル）のタグであり、表情報の各列における対応するＥ−鍵シードと対をなす。図５ａは、ホスト・システムが発行し、暗号鍵発生システム１００を活性化するコマンド・シーケンス１２５を示す。このコマンド・シーケンスは、通信リンク１０１を通じて、Ｉ／Ｏインターフェース・ユニット１０２によって受信され、ＲＯＭ１１４に格納されているコマンド解釈プログラムがコマンド１２６を認識する。ＣＰＵ１０７は、長さパラメータ（ＬＰ）１２７および活性化コード１２８を引き出し、暗号鍵発生システム１００をイネーブルする。図５ｂは、ホスト・システムが通信リンタ１０１を通じてＩ／Ｏインターフェース・ユニット１０２に送信する送信シーケンスを図示する。コマンド１３０は、ＲＯＭ１１４内に格納されているコマンド解釈プログラムによって認識され、ＣＰＵ１０７によって実行される。コマンドが暗号鍵を発生するためのものである場合、コマンドの後には、Ｅ−鍵シードＩＤデータ・フィールドの長さを示すＬＰ１３１、Ｅ−鍵ＩＤデータ・フィールド１３２、定数値データ・フィールドの長さを示すＬＰ１３３、および定数値データ・フィールド１３４が続く。ＣＰＵ１０７は、前述のように更に処理を行うために、ＬＰ１３１、Ｅ−鍵シードＩＤデータ・フィールド１３２、ＬＰ１３３、および定数値データ・フィールド１３４をＲＡＭ１１２に格納する。図６を参照すると、図３のＣＰＵ１０７が割り込み制御ユニット１０４によって割り込まれた場合、ＣＰＵは待ち状態から出て、図６の論理ステップ１５０に入り、暗号鍵発生プロセスを開始する。論理ステップ１５０から、論理フロー・プロセスは論理ステップ１５１に移り、図５ａおよび図５ｂの活性化シーケンスおよび送信シーケンスにおけるコマンドを読み出し、これら２つのシーケンスの残りのフィールドをＲＡＭ１１２に格納する。その後、論理プロセスは論理ステップ１５２に移り、ＲＡＭ１１２の活性化ビットが真状態または偽状態のどちらを示しているのかについて判定を行う。論理ステップ１５２において偽状態が示された場合、論理プロセスは論理ステップ１５３に移行し、メッセージ「デバイスが活性化されていない」を出力バッファ１１７に書き込む。鍵発生器が活性化されていることを示す真状態が論理ステップ１５２において検出された場合、論理プロセスは論理ステップ１５４に移り、ＣＰＵ１０７は、ＲＡＭ１１２に格納されているＥ−鍵シードＩＤも、図３のＥＥＰＲＯＭ１１０に格納されているＥ−鍵シード表１１８内に存在するか否かについて判定を行う。存在しない場合、論理プロセスは論理ステップ１５６に移行し、メッセージ「ＩＤ発見できず」を出力バッファ１１７に格納する。しかしながら、Ｅ−鍵シードＩＤが表内で見つかった場合、論理フロー・プロセスは論理ステップ１５５から論理ステップ１５７に移り、Ｅ−鍵シードＩＤに対応する、表内のＥ−鍵シードにアクセスする。次に、論理ステップ１５８において、ビット・シャッフル処理によりＥ−鍵シードおよびＲＡＭ１１２に格納されている定数値を組み合わせ、論理ステップ１５９においてその結果を入力としてセキュア・ハッシュ処理に印加し、メッセージ・ダイジェストを生成する。論理ステップ１５９から、論理プロセスは論理ステップ１６０に移り、状態「処理完了」を報告し、メッセージ・ダイジェストを出力する。また、暗号鍵およびメッセージ「処理完了」は、ＲＡＭ１１２の出力バッファ１１７にも書き込まれる。論理ステップ１５３、１５６または１６０から、論理フロー・プロセスは論理ステップ１６１に移り、ホスト・システムに出力するために、出力バッファ１１７の内容を図３のＩ／Ｏインターフェース１０２に書き込む。暗号鍵発生システムが取り付けられた計算機システムは、次にメッセージ・ダイジェストを短縮し、対称型かつ確定的であるが予測不可能な暗号化鍵を供給する。その後、論理フロー・プロセスは、論理ステップ１６２において待ち状態に入る。以上、ここでは本発明の特定の実施形態について説明しかつ図示したが、当業者には変更や変形も容易に想起されることが認められ、結果的に、請求の範囲はかかる変更、変形および等価物にも及ぶように解釈することを意図するものである。例えば、Ｅ−鍵シード５０のビット長を様々に変更することが可能であり、ビット・シャフリング発生器５２によって、あらゆる代数、論理または暗号オペランドを実行することが可能であり、更に暗号鍵発生器３０によって実行されるプロセス全体を通して、複数のビット・シャフリング処理を行うことも可能である。

Claims

【特許請求の範囲】１．逆分析に対して非常に抵抗力がある、決定性であるが予測不可能な擬似ランダム対称型暗号鍵を発生する方法であって、代数関数にしたがって定数値と秘密複数ビット・シーケンスとを組み合わせ、前記定数値および前記秘密複数ビット・シーケンスにおける全体ビット数よりもビット数が少ない、シャフル・ビット結果を形成するステップと、前記シャフル・ビット結果に対してセキュア・ハッシュ処理を実行し、メッセージ・ダイジェストを形成するステップと、前記メッセージ・ダイジェストから前記決定性であるが予測不可能な擬似ランダム対称型暗号鍵を抽出するステップと、を含む方法。２．請求項１記載の方法において、前記秘密複数ビット・シーケンスが、少なくとも２２４ビットの２進長を有し、前記対称型かつ決定性であるが予測不可能な暗号鍵が少なくとも１１２ビットの２進長を有する方法。３．請求項１記載の方法において、前記定数値および前記秘密複数ビット・シーケンスを、複数の代数関数によって組み合わせ、前記シャフル・ビット結果を形成する方法。４．請求項１記載の方法において、前記代数方程式によって前記定数値および前記秘密複数ビット・シーケンスを結合し、前記シャフル・ビット結果を形成する前に、暗号化する方法。５．請求項１記載の方法において、前記メッセージ・ダイジェストが、前記シャッフル・ビット結果よりも短い２進長を有する方法。６．請求項１記載の方法において、前記複数ビット・シーケンスが、前記定数値よりも大きい２進長を有する方法。７．コンピュータ・ネットワーク・システムにおいて用いる決定性であるが予測不可能な擬似ランダム対称型暗号鍵を発生するシステムであって、定数値を１つの入力として、更に秘密複数ビット・シーケンスを第２の入力として有し、代数方程式にしたがって前記定数値および前記秘密複数ビット・シーケンスを組み合わせて、前記定数値および前記秘密複数ビット・シーケンスにおける全体ビット数よりも少ないビット数を有する擬似ランダム出力を形成する第１関数発生手段と、前記第１関数発生手段と電気的に通信状態にあり、前記擬似ランダム出力を、擬似ランダム・メッセージ・ダイジェストを発生するための入力とし有するセキュア・ハッシュ関数発生手段と、前記セキュア・ハッシュ関数発生手段と電気的に通信状態にあり、前記擬似ランダム・メッセージ・ダイジェストを受信し、前記擬似ランダム・メッセージ・ダイジェストを短縮して前記決定性であるが予測不可能な擬似ランダム対称型暗号鍵を供給する短縮手段と、を備えるシステム。８．請求項７記載のシステムにおいて、前記複数ビット・シーケンスが、前記定数値よりも大きな第１の２進長を有し、前記擬似ランダム出力が、前記擬似ランダム・メッセージ・ダイジェストよりも大きな第２の２進長を有するシステム。９．請求項７記載のシステムにおいて、前記代数方程式が、複数の代数方程式から成るシステム。１０．請求項７記載のシステムにおいて、前記代数方程式を論理関数で置換するシステム。１１．請求項７記載のシステムにおいて、前記秘密複数ビット・シーケンスおよび前記定数値を組み合わせる前に、暗号化するシステム。１２．ホスト・システムと電気的に通信状態にある暗号鍵発生器であって、前記ホスト・システムと電気的に通信状態にあり、前記ホスト・システムからコマンド・シーケンスを受信するＩ／Ｏインターフェース手段と、前記Ｉ／Ｏインターフェース手段と電気的に通信状態にあり、前記コマンド・シーケンスの受信時に、割り込み信号を発行する割り込み制御手段と、前記Ｉ／Ｏインターフェース手段と電気的に通信状態にあり、動作用ファームウエアと、ビット・シャッフル・コンピュータ・プログラムと、セキュア・ハッシュ・コンピュータ・プログラムとを内部に格納してあるＲＯＭと、前記Ｉ／Ｏインターフェース手段および前記ＲＯＭと電気的に通信状態にあり、現Ｅ−鍵シードおよび定数値を格納するＲＡＭと、前記Ｉ／Ｏインターフェース手段と、前記ＲＯＭと、前記ＲＡＭと電気的に通信状態にあり、前記Ｅ−鍵シードおよび前記定数値を格納するＥＥＰＲＯＭと、前記割り込み手段と、前記Ｉ／Ｏインターフェース手段と、前記ＲＯＭと、前記ＲＡＭと、前記ＥＥＰＲＯＭと電気的に通信状態にあり、前記ビット・シャフル・コンピュータ・プログラムを実行して前記定数値および前記Ｅ−鍵シードを第１の多数対少数ビット・マッピングにおいて結合し、前記セキュア・ハッシュ・アルゴリズムを実行して第２の多数対少数ビット・マッピングにおいてメッセージ・ダイジェストを生成し、該メッセージ・ダイジェストから対称型かつ決定性であるが予測不可能な暗号鍵を抽出し、前記暗号鍵を前記ＥＥＰＲＯＭに格納するＣＰＵと、を備える暗号鍵発生器。