JP2002091297A - Ｆ関数内部にｓｐｎ構造を用いた演算装置および演算方法 - Google Patents

Abstract

(57)【要約】 【課題】 Ｆ関数内部のＳＰＮ構造中の複数のＳボック
スの間で入出力ビット数が同一でない場合に、ＳＰＮ構
造内の線形変換部としてデータ拡散性能に優れたものを
用いて演算を行う。 【解決手段】 演算装置１に与えられる入力データの全
ビット数を非均等に分割したビット数集合Ｔの入力を受
け取る手段１と、分割されたビット数をそれぞれ入・出
力ビット数とする複数のＳボックスに対応する適切な線
形変換部の存在可能性を示す値Ａ_T を出力する手段３を
備える。さらにＡ_T の値が正のとき適切な線形変換部が
存在すると判定する手段４と、そのような線形変換部と
しての擬似ＭＤＳ行列を生成する手段５を備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は共通鍵ブロック暗号
化方式に係り、さらに詳しくはFeistel 構造と呼ばれる
構造内のＦ関数の内部で用いられる複数のＳボックスに
対する入出力ビット数が、複数のＳボックスの間で同一
でない場合に、複数のＳボックスの後に備えられる線形
変換部として、データ拡散性のよい線形変換部を生成
し、その線形変換部を用いて入力データに対する暗号化
を行う暗号化装置、および暗号化方法に関する。

【０００２】

【従来の技術】高度情報化社会を迎え、情報セキュリテ
ィの確保は緊急の課題となっている。情報セキュリティ
の基本となるのはデータの暗号化である。高度情報化社
会において高速、かつ安全な通信を実現するために、共
通鍵ブロック暗号は不可欠の技術である。この共通鍵ブ
ロック暗号のアルゴリズムとして、例えば応用分野に応
じて様々な方式が提案されているが、その１つとしてFe
istel 構造と呼ばれる単純な繰返し構造のアルゴリズム
がある。

【０００３】図１５はこのFeistel 構造が１６段繰り返
されたＤＥＳ暗号方式の説明図である。同図において入
力Ｐ、例えば６４ビットは右側３２ビットと左側３２ビ
ットとに分割され、右側３２ビットはＦ関数５１と呼ば
れる非線形関数に入力され、その出力と左側３２ビット
とがＸＯＲ５２によって排他的論理和がとられ、その結
果は右側３２ビットとして次の段に与えられ、次の段へ
の左側３２ビットとしては入力６４ビットのうち右側３
２ビットがそのまま与えられる。

【０００４】図１６は図１５内のＦ関数５１の構成例で
ある。入力、例えば３２ビットはビット拡張部Ｅ６１に
よって４８ビットに拡張され、ＸＯＲ６２によってその
４８ビットと鍵Ｋ_i ４８ビットとの排他的論理和がとら
れ、その出力は６ビットずつに分割されてＳボックスと
呼ばれる非線形関数にそれぞれ入力される。各Ｓボック
ス６３の出力は、例えば４ビットとされ、合計３２ビッ
トが線形関数Ｐ６４に入力され、データの拡散が行われ
る。このような構造は一般にＳＰＮ（サブスティテュー
ションパーミュテーションネットワーク）構造と呼ばれ
る。

【０００５】Ｓボックスは暗号装置の非線形の撹拌出力
を得るため、またＳボックスに続いて行われる線形関数
Ｐは、Ｓボックスによる局所的な非線形出力をデータ全
体に拡散させるために用いられるが、暗号装置に組み込
まれる上で拡散性のよい線形変換とは何か、具体的にど
う求めるか、という研究が従来より行われている。一般
に、暗号に用いられる線形変換としては、一つのＳボッ
クスの出力が次のラウンドにおいて、出来る限り多くの
Ｓボックスの入力に関係することが望ましいが、現在で
はより拡張された線形関数として、次のような性質を満
たすものがよいとされている。すなわち、Ｓボックスの
入出力ビット数ｓに対して、線形変換Ｐの入力Ｘおよび
出力Ｙをｓビット単位、ｔ個のブロックＸ＝（ｘ₁ ，・
・・，ｘ _t ），Ｙ＝（ｙ₁ ，・・・，ｙ_t ），（各
ｘ_i ，ｙ_j はｓビット）に分割した場合、 Ｙ＝Ｐ（Ｘ） の入出力間で成立する任意の線形関係式 ｆ（ｘ₁ ，・・・，ｘ_t ，ｙ₁ ，・・・，ｙ_t ）＝０ には、入出力ｘ_i ，ｙ_j 合わせて２ｔ個の変数のうち、
ｔ＋１個以上の変数が含まれている（＝係数が０ではな
い）というものである。

【０００６】このような性質を満たす線形変換Ｐとして
ＭＤＳ変換が知られている。この変換は線形変換Ｐにお
けるデータの拡散性を定義する１つの概念としての分岐
数を最大とする線形変換である。この分岐数は暗号に対
する差分攻撃や、線形攻撃に対する強度を評価するパラ
メータであり、その詳細については次の文献で説明され
ている。

【０００７】文献） 共通鍵ブロック暗号の選択／設計
／評価に関するドキュメント、通信・放送機構 図１７はそのようなＭＤＳ変換を実現する線形関数Ｐの
説明図である。同図においては、４つのＳボックス７１
へのそれぞれの入力、および出力は８ビットであり、合
計３２ビットが入力ｘとして線形関数Ｐに与えられるも
のとする。線形関数Ｐへの入力ｘ、および出力ｙを、そ
れぞれＳボックスに対応させて、８ビットずつに分割し
た変数ｘ_i （ｉ＝１〜４）、ｙ_j （ｊ＝１〜４）とす
る。

【０００８】ここでｘ_i に入力差分Δｘ_i が与えられた
時、そのｉの集合を次のように書き、これを入力アクテ
ィブＳボックスと名付ける。 ｛ｉ｜Δｘ_i ≠０｝ 例えばｘ₁ ，ｘ₂ に入力差分が与えられた時、この集合
は｛１，２｝となる。

【０００９】この入力アクティブＳボックスに対応し
て、出力差分Δｙ_j が生じるｙ_j に対応して、次の集合
を出力アクティブＳボックスと名付ける。 ｛ｊ｜Δｙ_j ≠０｝ これら２つの集合の和集合 ｛ｉ｜Δｘ_i ≠０｝Ｕ｛ｊ｜Δｙ_j ≠０｝ をアクティブＳボックスと名付ける。

【００１０】そしてこの集合アクティブＳボックスの要
素の数ａｃｔＳ（Ｐ）の最小値は、線形変換Ｐによって
決定される。アクティブＳボックスの要素の数の最小値 min （ａｃｔＳ（Ｐ）） をアクティブＳボックスの数と呼ぶことにする。このア
クティブＳボックスの数の最大値は、前述の線形関係式
に含まれる変数の数（ｔ＋１）に一致するとされてい
る。このアクティブＳボックスの数の最大値が、例えば
５となる線形変換Ｐが存在するとすれば、入力ｘ_i （ｉ
＝１〜４）の１個が変化すると、出力ｙ_j （ｊ＝１〜
４）の４個が変化することになり、また出力の１個は入
力の５個から影響されることになる。

【００１１】図１８はこのようなＭＤＳ変換に相当する
ＭＤＳ行列の説明図である。同図においてＭＤＳ行列
は、それぞれ例えば０、または１の要素からなる８行、
８列の部分的な行列ａ_ij（ｉ＝１〜４，ｊ＝１〜４）か
ら構成されている。このａ_ijの行数と列数は、図１７で
説明したＳボックス７１の入出力ビット数に対応する。

【００１２】このようなＭＤＳ行列が持つべき性質を説
明する。図１８の行列が、ＭＤＳ行列として図１７で説
明した線形関数Ｐに望まれる高い拡散性を有するために
は、部分的な行列ａ_ijを要素として考えた場合の４行、
４列の全体から、行数と列数が等しい任意の小行列を選
択した時に、その全ての小行列が正則であることが必要
とされている。

【００１３】すなわち例えば１行と１列を指定した
（１，１）小行列、２行と２列を指定した（２，２）小
行列、３行と３列を指定した（３，３）小行列、および
行列全体と一致する（４，４）小行列の全てが、逆行列
を持ち、同じ配置の行列式が０でなく、ランク（階数）
がフルであるという性質を持つものとされている。

【００１４】

【発明が解決しようとする課題】このように共通鍵ブロ
ック暗号化方式におけるFeistel 構造内のＦ関数の中
で、データの拡散に重要な役割を果たす線形変換Ｐとし
てのＭＤＳ行列の設計は、従来は複数のＳボックスの入
出力サイズが等しいことを前提として行われていたが、
複数のＳボックスの間で入出力サイズが異なる場合につ
いては、適切な線形変換Ｐが存在するか否か、存在する
とすればその変換をどのように構成すればよいかについ
ては、従来全く知られていないという問題点があった。

【００１５】本発明の課題は、上述の問題点に鑑み、複
数のＳボックスの間で入出力サイズが異なる場合に、デ
ータの拡散性に優れた線形変換が存在するか否かを判定
し、そのような線形変換が存在する場合に、そのような
線形変換に相当する擬似ＭＤＳ行列を生成し、それを用
いて入力データに対応する暗号文を生成する暗号文生成
装置、および生成方法を提供することである。

【００１６】

【課題を解決するための手段】図１は本発明の演算装置
の原理構成ブロック図である。同図は、Feistel 構造の
Ｆ関数の内部に、複数のＳボックスと線形変換部とを備
える演算装置１の原理構成ブロック図である。

【００１７】図１においてビット数集合入力手段２は、
演算装置１に与えられる入力データの全ビット数を非均
等に分割したビット数の集合Ｔ＝｛ｔ₁ ，ｔ₂ ，ｔ₃ ，
・・・，ｔ_r ｝の入力を受け取るものである。

【００１８】また線形変換部存在可能性指示数値出力手
段３は、分割されたビット数をそれぞれ入・出力ビット
数とする複数のＳボックスに対応して、データ拡散性に
優れた線形変換部の存在可能性を示す値、例えばアクテ
ィブＳボックスの数の最大値Ａ_T を出力するものであ
る。

【００１９】本発明の実施の形態においては、このＡ_T
の値が正である時、適切な線形変換部が存在すると判定
する線形変換部存在判定手段４を更に備えることも、ま
たそのような線形変換部として、ビット数分割が均等に
行われた場合のＭＤＳ行列に対応する擬似ＭＤＳ行列を
生成する擬似ＭＤＳ行列生成手段５を更に備えることも
できる。

【００２０】また発明の実施の形態においては、線形変
換部存在可能性指示数値出力手段３が、前述のビット数
集合の要素から任意のｋ個を選んで生成した集合の要素
の和の最小値ｕ_k （ｋ＝１，２，・・・，ｒ）を求める
最小値決定手段と、同様にｋ個を選んで生成した集合の
要素の和の最大値ｖ_k を求める最大値決定手段とを更に
備え、数値ｋに対してｕ_k ≧ｖ_k'（ｋ′＝０，１，・・
・ｒ，ｖ₀ ＝０）を満たすｋ′の最大値をｋから減算し
た値をｗ_k とし、ｗ_k の最大値を（ｒ＋１）の値から減
算してＡ_T の値を求めることもできる。

【００２１】更に本発明の実施の形態においては、擬似
ＭＤＳ行列生成手段５は、要素が０、または１のｔ
_i 行、ｔ_j 列の部分行列Ｍ_ijを要素としてｒ行、ｒ列に
並べた行列をＭ＝（Ｍ_ij）（ｉ，ｊ＝１，２，・・・，
ｒ）とし、ｅ−１から（Ａ_T −１）までの各正数に対し
て、ｃ（ｅ）＝ｅ＋ｒ−Ａ_T ＋１求め、集合Ｔの要素を
ｅ個任意に選んだ集合Ｔ₁ と、要素をｃ（ｅ）個任意に
選んだ集合Ｔ₂ を求め、その集合（Ｔ₁ ，Ｔ₂ ）に対応
する任意のあらゆるＭの小行列、および集合（Ｔ₂，Ｔ
₁ ）に対応する任意のあらゆるＭの小行列の階数の値が
それぞれ小行列の行数、または列数のいずれかに等しい
行列Ｍを求めることもできる。

【００２２】この時、例えば集合（Ｔ₁ ，Ｔ₂ ）に対応
する小行列は、前述の部分行列Ｍ_ijのうちで、集合Ｔ₁
の各要素にそれぞれ対応する行と、集合Ｔ₂ の各要素に
対応する列によって指定される部分行列によって構成さ
れることもできる。

【００２３】本発明の演算方法として、複数のＳボック
スと線形変換部とを備えるＳＰＮ構造をＦ関数の内部に
用いる演算方法において、与えられる入力データのビッ
ト数を非均等に分割したビット数の集合Ｔの入力を受け
取り、分割されたビット数をそれぞれ入・出力ビット数
とする複数のＳボックスに対応する適切な線形変換部の
存在可能性を示す値、例ばアクティブＳボックスの数の
最大値Ａ_T を出力する方法が用いらる。

【００２４】この方法においては、発明の実施形態で
は、Ａ_T の値が正である時、適切な線形変換部が存在す
ると判定することもでき、またそのような線形変換部と
して、ビット数分割が均等に行われた場合のＭＤＳ行列
に対応する擬似ＭＤＳ行列を生成することもできる。

【００２５】更に本発明においては、複数のＳボックス
と線形変換部とを備えるＳＰＮ構造を、Ｆ関数の内部に
用いた演算を実行する計算機によって使用される記憶媒
体として、与えられる入力データの全ビット数を非均等
に分割したビット数集合Ｔの入力を受け取るステップ
と、分割されたビット数をそれぞれ入・出力ビット数と
する複数のＳボックスに対応する適切な線形変換部の存
在可能性を示す値、例えばアクティブＳボックスの数の
最大値Ａ_T を出力するステップとを計算機に実行させる
ためのプログラムを格納した計算機読出し可能可搬型記
憶媒体が用いられる。

【００２６】また更に本発明においては、複数のＳボッ
クスと線形変換部とを備えるＳＰＮ構造を、Ｆ関数の内
部に用いた演算を実行する計算機によって使用されるプ
ログラムとして、与えられる入力データの全ビット数を
非均等に分割したビット数集合Ｔの入力を受け取る手順
と、分割されたビット数をそれぞれ入・出力ビット数と
する複数のＳボックスに対応する適切な線形変換部の存
在可能性を示す値、例えばアクティブＳボックスの数の
最大値Ａ_T を出力する手順とを計算機に実行させるため
のプログラムが用いられる。

【００２７】以上説明したように、本発明によればFeis
tel 構造の内部のＦ関数を構成するＳＰＮ構造内で、複
数のＳボックスの入出力ビット数が非均等の場合に対し
て、データの拡散性に優れた線形変換部の生成が可能と
なる。

【００２８】

【発明の実施の形態】本発明においては、Feistel 構造
の内部に備えられるＦ関数を構成するＳＰＮ構造内で、
複数のＳボックスの間で入出力ビット数が全て同じでは
ない場合の暗号化アルゴリズム、およびそのアルゴリズ
ムを用いた暗号化装置を本発明の実施形態として説明す
る。

【００２９】図２はそのような暗号化装置の構成ブロッ
ク図である。同図において暗号化装置は処理装置１０、
入力ファイル１１、出力ファイル１２、表示装置１３、
および入出力装置１４によって構成されている。

【００３０】入力ファイル１１には、例えば暗号化の対
象としての平文、Feistel 構造内のＦ関数への入力デー
タのビット数ｎ、ビット数ｎが複数のＳボックスに入力
される場合の各Ｓボックスへの入力ビット数ｔ₁ ，
ｔ₂ ，・・・ｔ_r を要素とする集合Ｔなどが格納されて
いる。

【００３１】処理装置１０の内部には、入力ファイル１
１に格納されている集合Ｔの内容を用いて、複数のＳボ
ックスに対するそれぞれの入出力ビット数が同じでない
場合に、その複数のＳボックスの出力に対応する適切な
線形変換部の存在可能性を示す数値Ａ_T を計算するＡ_T
計算部１５、計算されたＡ_T の値を用いてそのような線
形変換部が存在するか否かを判定する線形変換部存在判
定部１６、そのような線形変換部が存在すると判定され
た時に、そのような変換部としての擬似ＭＤＳ行列を計
算する擬似ＭＤＳ行列生成部１７、生成された擬似ＭＤ
Ｓ行列を用いて、入力ファイル１１に格納されている平
文に対する暗号文を生成する暗号文生成部１８などを備
えている。

【００３２】出力ファイル１２には、Ａ_T 計算部１５に
よって計算されたＡ_T の値、擬似ＭＤＳ行列、およびそ
の擬似ＭＤＳ行列を用いた暗号化アルゴリズムなどが格
納される。

【００３３】図３は本実施形態において用いられるＦ関
数の内部のＳＰＮ構造の例である。入力データ３２ビッ
トは、例えば６，５，５，５，５、および６ビットに分
割され、非線形変換部としてのそれぞれのＳボックス２
１に入力される。各Ｓボックスは入力ビット数と同じ出
力ビット数を持ち、各Ｓボックスの出力は合成されて３
２ビットとして線形変換部Ｐ２２に与えられ、その変換
結果がＦ関数の出力となる。

【００３４】本実施形態においては、このように複数の
Ｓボックスへの入出力ビット数が同じでない場合に、そ
のビット分割の仕方によって適切な線形変換部Ｐが存在
するか否か、また存在する場合にはその線形変換部をど
のように求めるかが発明のポイントとなる。

【００３５】ここで入力データのビット数ｎを非均等に
分割する理由について説明する。例えば従来技術で説明
した図１７では、入力３２ビットを４つに分割した８ビ
ットずつが、４つのＳボックス７１に入力されている。
このようなＳボックスは 一般的には演算の高速化のた
めに計算機の一次キャッシュメモリにテーブルとして格
納され、そのテーブルにアクセスすることによって演算
が行われる。図１７ではテーブルは４つであり、４回の
テーブルアクセスが必要となる。

【００３６】これに対して本実施形態では、図３に示す
ように例えば、入力３２ビットが６，５，５，５，５、
および６ビットの６つに分割され、６個のＳボックスに
それぞれ入力される。このようにビット数の少ない６個
のＳボックスに分割すると、それぞれのＳボックスに対
応するテーブルのサイズは小さくなり、一次キャッシュ
メモリ量の少ない計算機を使用しても、演算を実行する
ことが可能となる。

【００３７】最近の計算機の一次キャッシュメモリ量の
増大の傾向につれて、１つのテーブルサイズを大きくし
てテーブルアクセスの回数を減らし、演算を高速化する
可能性が開かれている。そこで本実施形態においては、
計算機の一次キャッシュメモリ量に対応して、ビット数
分割を変更できるようなビット数分割法を用いることに
する。

【００３８】前述のように３２ビットを８ビット×４に
分割している場合には、テーブルの数を３つにするため
には８，１６，８ビットというような分割に変換するし
か方法がなく、１６ビット入力のＳボックスに対しては
２¹⁶個の領域を持つテーブルが必要となってしまうこと
になる。それに対して図３の分割方法では、例えば２個
ずつまとめて１１，１０，１１ビットの３つに分割する
こともでき、２¹¹個の領域を持つテーブルを計算機の一
次キャッシュメモリに格納することができれば、演算の
高速化が可能となる。

【００３９】図４は本実施形態における暗号文生成処理
の全体フローチャートである。同図において処理が開始
されると、まずステップＳ１で図２で説明した線形変換
部が存在するか否かを判定するための数値Ａ_T が求めら
れる。この数値Ａ_T としては、前述のアクティブＳボッ
クスの要素の数の最小値の最大値が用いられる。以後こ
のＡ_T を“アクティブＳボックス数の最大値”と呼ぶ。

【００４０】そしてステップＳ２で、求められたＡ_T の
値に応じて、適切な線形変換Ｐが存在するか否かが判定
される。具体的にはＡ_T の値が正の数である時にはその
ような線形変換が存在すると判定され、０、または負の
数である時にはそのような線形変換は存在しないと判定
される。

【００４１】線形変換が存在すると判定されると、ステ
ップＳ３でその線形変換を実現する行列、すなわち擬似
ＭＤＳ行列が生成され、ステップＳ４でその擬似ＭＤＳ
行列を用いた暗号化アルゴリズム、すなわちFeistel 構
造が生成され、ステップＳ５でその暗号化アルゴリズム
を用いて平文が暗号化されて、処理を終了する。

【００４２】ステップＳ２でＡ_T の値が０、または負の
数となり、適切な線形変換が存在しないと判定される
と、ステップＳ６でエラーが発生したことを示すメッセ
ージが出力されて、処理を終了する。

【００４３】図５は図４のステップＳ１、すなわちアク
ティブＳボックス数の最大値Ａ_T の計算処理の詳細フロ
ーチャートである。同図において処理が開始されると、
まずステップＳ１０で集合Ｔの内容が入力され、ステッ
プＳ１１で集合Ｔを構成するｒ個の要素のうちからｋ個
を選んで生成された集合の要素の和の最小値ｕ_k がｋ＝
０，１，２，・・・，ｒに対して求められる。

【００４４】続いてステップＳ１２で、同様に集合Ｔの
要素から任意のｋ個を選んで生成された集合の要素の和
の最大値ｖ_k が求められる。続いてステップＳ１３でｋ
（＝１，２，・・・，ｒ）とｋ′（＝０，１，２，・・
・，ｒ）に対して次の不等式 ｕ_k ≧ｖ_k ′（ただしｖ₀ ＝０） を満たすｋ′の最大値をｋから減算した値がｗ_k （ｋ＝
１，２，・・・，ｒ）として求められる。

【００４５】最後にステップＳ１４でｗ_k の最大値がｒ
＋１から減算され、Ａ_T の値として求められ、処理を終
了する。図６は図４のステップＳ３の処理、すなわち擬
似ＭＤＳ行列生成処理の詳細フローチャートである。同
図において処理が開始されると、まずステップＳ２０で
分割ビット数の集合Ｔの内容に応じて、ｔ_i 行、ｔ_j 列
であり、要素が０、または１となっている行列Ｍ
_ij（ｉ，ｊ＝１〜ｒ）を作り、そのようなｒ×ｒ個の行
列Ｍ_ijを要素としてｒ行、ｒ列に並べた行列Ｍがランダ
ムに新しく選択される。図３で説明したＦ関数の例では
この行列Ｍは全体としては３２行、３２列の行列とな
る。ここでＭ_ijを行列Ｍの部分行列と呼ぶことにする。

【００４６】続いてステップＳ２１でｅの値が１に初期
化され、ステップＳ２２でｅの値がアクティブＳボック
ス数の最大値Ａ_T から１を引いた値を越えたか否かが判
定され、越えていない場合にはステップＳ２３で次式に
よってｃ（ｅ）の値が求められる。

【００４７】ｃ（ｅ）＝ｅ＋ｒ−Ａ_T ＋１ ステップＳ２４で集合Ｔからｅ個の要素を任意に選び、
集合Ｔ₁ が新しく求められ、ステップＳ２５で新しい集
合Ｔ₁ が選択できたか否かが判定され、選択できた場合
にはステップＳ２６で同様に集合Ｔからｃ（ｅ）個の要
素が任意に新しく選ばれ、集合Ｔ₂ が求められ、ステッ
プＳ２７でそのような新しい集合Ｔ₂ が選択できたか否
かが判定される。なおステップＳ２４、およびＳ２６で
新しく選択された集合Ｔ₁ 、およびＴ₂ を以下のように
記述するものとする。

【００４８】Ｔ₁ ＝｛ｔ_i1，ｔ_i2，・・・，ｔ_ie｝ Ｔ₂ ＝｛ｔ_j1，ｔ_j2，・・・，ｔ_jc(e) ｝ ステップＳ２７で新しく集合Ｔ₂ が選択できたと判定さ
れると、ステップＳ２８で行列Ｍの小行列のうちで集合
Ｔ₁ ，Ｔ₂ に対応する小行列のランク（階数）が求めら
れる。このＴ₁ ，Ｔ₂ に対応する小行列の意味について
は後述する。そしてステップＳ２９で求められたランク
の値が 外１ または 外２ のどちら

【００４９】

【外１】

【００５０】

【外２】

【００５１】か、すなわち行数と列数のいずれかに等し
いか否かが判定される。等しい場合には、ステップＳ３
０で行列Ｍの小行列のうちで集合Ｔ₂ ，Ｔ₁ に対応する
小行列のランクが求められ、ステップＳ３１でそのラン
クの値が 外３

【００５２】

【外３】

【００５３】または 外４ のいずれかに等しいか否か
が判定される。

【００５４】

【外４】

【００５５】ステップＳ３１でランクの値が２つの総和
（行数、列数）のいずれかに等しいと判定されると、ス
テップＳ２６に戻りｃ（ｅ）個の要素が新たに選択さ
れ、新しい集合Ｔ₂ が求められ、ステップＳ２７の判定
以降の処理が繰り返される。

【００５６】そしてステップＳ２７でｃ（ｅ）個の集合
Ｔ₂ が新しく選択できなかったと判定されると、以前に
ステップＳ２４で選択された集合、すなわちｅ個の要素
からなる集合Ｔ₁ に対応する処理が終了したことになる
ため、ステップＳ２４でｅ個の要素からなる集合Ｔ₁ と
して新しい集合が求められ、ステップＳ２５以降の処理
が繰り返される。

【００５７】ステップＳ２５で新しい集合Ｔ₁ が選択で
きなかったと判定されると、ステップＳ２１で初期化さ
れたｅ＝１の値に対応する処理が終了したことになるの
で、ステップＳ３２でｅの値がインクリメントされ、ス
テップＳ２２以降の処理が繰り返される。

【００５８】このような処理の間に、ステップＳ２９で
ランクの値が２つの総和の値のいずれにも等しくないと
判定された時、およびステップＳ３１で同様にランクの
値が２つの総和のいずれにも等しくないと判定された時
には、ステップＳ２０でランダムに選択された行列Ｍが
擬似ＭＤＳ行列としては不適当なものであるものとし
て、ステップＳ２０で新しい行列Ｍをランダムに選択す
る処理以降の処理が繰り返され、ステップＳ２２でｅの
値がＡ_T −１の値を越えたと判定されると、行列Ｍの内
容が擬似ＭＤＳ行列として出力され、処理を終了する。

【００５９】図５、および図６で説明した処理につい
て、具体例を用いて更に説明する。図３で説明した全部
で３２ビットの入力ビットに対する６個のＳボックスに
対応して、分割される入出力ビット数の集合は次式で与
えられる。

【００６０】Ｔ＝｛６，５，５，５，５，６｝ このような集合Ｔに対応して前述の最小値ｕ_k 、および
最大値ｖ_k （ｖ_k'）は次のようになる。

【００６１】（ｕ₁ ，ｕ₂ ，ｕ₃ ，ｕ₄ ，ｕ₅ ，ｕ₆ ）
＝（５，１０，１５，２０，２６，３２） （ｖ₀ ，ｖ₁ ，ｖ₂ ，ｖ₃ ，ｖ₄ ，ｖ₅ ，ｖ₆ ）＝
（０，６，１２，１７，２２，２７，３２） その結果ｗ_k は次式となり、その最大値は１となる。

【００６２】（ｗ₁ ，ｗ₂ ，ｗ₃ ，ｗ₄ ，ｗ₅ ，ｗ₆ ）
＝（１，１，１，１，１，０） 最終的にアクティブＳボックス数の最大値Ａ_T は、この
ｗ_k の最大値を用いて次式によって求められる。

【００６３】Ａ_T ＝（６＋１）−１＝６ このＡ_T の値が６、すなわち正の数であることから、こ
のように入出力ビット数が分割された６個のＳボックス
による非線形変換に適切な線形変換が存在するというこ
とが判定される。前述のようにこの行列Ｍは全体として
３２行、３２列であり、その要素が０、または１のうち
からランダムに選択され、選択された行列が図６のフロ
ーチャートによって擬似ＭＤＳ行列の性質を満たすか否
かが判定される。

【００６４】従ってそのような行列Ｍを生成するために
は、原理的には３２行、３２列の行列の全ての要素を
０、または１とした場合について図６のフローチャート
の処理を繰り返して、擬似ＭＤＳ行列を求めればよいこ
とになるが、その計算量は膨大となる。

【００６５】本実施形態では計算量を削減するための擬
似ＭＤＳ行列生成法を用いることにするが、その方法に
ついては後述することとし、その方法によって求められ
た行列Ｍの例を図７に示す。この例の行列が図６のフロ
ーチャートの処理において、最終的にステップＳ３３で
出力されるまでの過程の最初の部分について具体的に説
明する。なお図７において、行列内の実線で区切られた
部分は、図６のステップＳ２０で説明した行列Ｍ内の部
分行列Ｍ_ijに相当する。

【００６６】図６に対応する処理の具体例を説明する前
に、まず例えばステップＳ２８で説明したＴ₁ ，Ｔ₂ に
対応する小行列の意味について、図８を用いて説明す
る。図８において、例えば集合Ｔ₁ ＝｛ｔ₂ ，ｔ₃ ，ｔ
₆ ｝，Ｔ₂ ＝｛ｔ₂ ，ｔ₃ ，ｔ ₅ ，ｔ₆ ｝とした場合に
は、Ｔ₁ ，Ｔ₂ に対応する小行列として図８（ａ）に示
される行列が生成され、そのランクが求められる。すな
わちそれぞれが行列であるＭ_ijを部分行列とする行列Ｍ
から計３行と４列とが指定されて小行列が構成される。
この小行列はビット単位、すなわち０、または１の要素
単位では１６行、２１列の行列となる。

【００６７】また図６のステップＳ３０で説明した
Ｔ₂ ，Ｔ₁ に対応する小行列としては行として集合Ｔ₂
の要素であるｔ₂ ，ｔ₃ ，ｔ₅ 、およびｔ₆ に相当する
行と、集合Ｔ₁ の要素としてのｔ₂ ，ｔ₃ 、およびｔ₆
に対応する列が選択されて小行列が構成される。この小
行列を図８（ｂ）に示す。この行列は２１行、１６列の
行列である。

【００６８】ここで本実施形態におけるＭＤＳ変換とし
ての擬似ＭＤＳ行列が持つべき性質について説明する。
ｎ＝３２ビットを６個に非均等に分割した集合の例とし
ての前述のＴに対して、アクティブＳボックスの数の最
大値はＡ_T ＝６となる。これに対してビット数の分割を
均等に行う場合にＡ_T に相当する値は７であり、その差
は１となる。

【００６９】前述のようにビット分割が均等な場合のＭ
ＤＳ変換としてのＭＤＳ行列では、図８で説明したよう
なＭ_ij（全ての行数、および全ての列数は等しい）を要
素とする行列から、任意の１行と１列を指定した（１，
１）小行列、２行と２列を指定した（２，２）小行列、
３行と３列を指定した（３，３）小行列、・・・を考
え、そのような任意の小行列が全て正則であることがＭ
ＤＳ行列の性質として成立する。

【００７０】これに対して擬似ＭＤＳ行列では、前述の
差が１であることから、ビット分割が均等な場合に選択
される小行列の行、または列のいずれかに１を加えた行
列が小行列として選択され、任意の小行列のランクがフ
ル、すなわち小行列のランクがその行数、または列数に
等しくなるという性質がある。

【００７１】すなわち任意の（１，２），（２，１），
（２，３），（３，２），（３，４），（４，３），
（４，５），（５，４），（５，６）、および（６，
５）の１０種類の小行列のランクが、それぞれの小行列
の行数、または列数に等しい行列を、擬似ＭＤＳ行列と
して図６のフローチャートにおいて選択すべきことにな
る。これが本実施形態における擬似ＭＤＳ行列が持つべ
き性質であるが、その詳細な数学的説明（証明など）に
ついては省略する。

【００７２】ここで前述の例に戻り、図６のフローチャ
ートに対応して、そのような性質を持つ行列Ｍの選択の
過程の最初の部分の説明を続ける。まず図６のステップ
Ｓ２１でｅの値が１とされ、ステップＳ２３でｃ（ｅ）
の値として２が求められる。そしてステップＳ２４で集
合Ｔ₁ として１個だけの要素を持つ｛ｔ₁ ｝＝｛６｝が
選択されたとする。またステップＳ２６でｃ（ｅ）、す
なわち２個の要素を持つ集合Ｔ₂ として｛ｔ₁ ，ｔ₂ ｝
＝｛６，５｝が選択されたものとする。

【００７３】図９はこの場合にそのランクが計算される
べき、ステップＳ２８におけるＴ₁，Ｔ₂ に対応する行
列である。すなわち図８において行としては１行目、列
としては１列目と２列目とが指定されることになり、小
行列はＭ₁₁とＭ₁₂を成分とする行列であり、その実際の
内容は図７から図９のようになる。この小行列のランク
は６である。

【００７４】このランクの値、すなわち６はステップＳ
２９で 外５ または 外６ のい

【００７５】

【外５】

【００７６】

【外６】

【００７７】ずれかの値と等しいか否かが判定される。
これらの２つの値は図９の小行列の行数と列数を示し、
この場合は行数、すなわち 外７ がランクの値と等し
くなり

【００７８】

【外７】

【００７９】、この小行列はフルランクであることが判
定される。図１０はステップＳ３０でそのランクが計算
されるべきＴ₂ ，Ｔ₁ に対応する小行列の例である。前
述と同様に、ここでは図８のＭ_ijのうち、行としては１
行目と２行目、例としては１列目が指定されることによ
り、Ｍ₁₁とＭ₂₁とによって図１０に示す小行列が構成さ
れる。そのランクは６であり、ステップＳ３１でステッ
プＳ２９におけると同様に２つの総和と比較され、 外
８ の値と等しいこ

【００８０】

【外８】

【００８１】とが判定されて、以後の処理が続けられ
る。そして図６のフローチャートに従って、前述の１０
種類の小行列の任意のものについて、各小行列のランク
がフルであることが図７の３２行、３２列の行列に対し
て確認され、最終的にステップＳ３３でこの行列Ｍが擬
似ＭＤＳ行列として出力されることになる。

【００８２】次に図７に示した擬似ＭＤＳ行列の生成法
について説明する。この行列を生成するためには、原理
的には前述のように３２行×３２列の行列の全ての要素
を０、または１にランダムに変化させて、図６のフロー
チャートを満足する行列Ｍを探すことになるが、その計
算量は膨大となる。

【００８３】そこでより能率的な方法として、本実施形
態においてはまず全ビット数を３０ビットとし、３０ビ
ットを６個に分割した集合Ｔ＝｛５，５，５，５，５，
５｝に対するＭＤＳ行列を従来技術によって求め、求め
られた３０行、３０列の行列に対して図７に示すように
最も上の行のＭ_1j（ｊ＝１〜６）、最も下の行のＭ
_6j（ｊ＝１〜６）、最も左の列のＭ_i1（ｉ＝１〜６）、
および最も右の列のＭ_i6（ｉ＝１〜６）に対応してそれ
ぞれ１行、１列の要素を追加することで、擬似ＭＳＤ行
列を作成することにする。

【００８４】図１１、図１２はそのような３０行、３０
列のＭＳＤ行列を構成するための５行、５列の部分行列
３２個を示している。この３２個の部分行列はそれぞれ
５行、５列の行列であり、各行列には０〜３１の番号が
付けられている。０番の行列は図１１の左上の行列であ
り、５行、５列の行列の要素は全て０である。５行、５
列の下の“０”はこの行列に対応する（同じ配置の）行
列式の値を示している。０番目の行列に対しては、当然
対応する行列式の値は０である。

【００８５】例えばその下の番号１の行列に対する行列
式の値は１であり、以降図１２の右下の３１番までの全
ての行列に対する行列式の値も１となっている。従来技
術の方法を用いることによって図１１，図１２に示した
番号の５行、５列の部分行列を６行、６列に並べること
によって、３０ビットを６個に均等分割した場合に対応
するＭＤＳ行列の例として図１３の行列が得られる。行
列内の数字は図１１，図１２で説明した各行列の番号を
表わす。

【００８６】図１３に示した行列は３０行、３０列の行
列であり、最も上、下の部分行列に対して１行、最も
左、右の部分行列に対して１列の要素をランダムに追加
し、その行列に対して図６で示したフローチャートの処
理を実行することによって、図７に示した擬似ＭＤＳ行
列を比較的容易に生成することができる。

【００８７】図１４は本発明を実現するためのプログラ
ムのコンピュータへのローディングの説明図である。本
発明の実施形態としての暗号化装置、例えば図２に示し
たシステムなどは、当然一般的なコンピュータシステム
として構成することができる。

【００８８】図１４はそのようなシステムの構成を示
し、コンピュータ３１は本体３２と、メモリ３３とによ
って構成されている。メモリ３３はランダムアクセスメ
モリ（ＲＡＭ）、ハードディスク、磁気ディスクなどの
記憶装置であり、本発明の特許請求の範囲第１０項のプ
ログラムや、図４〜図６で説明したプログラムなどはメ
モリ３３に格納され、そのプログラムが本体３２によっ
て実行されることにより、本発明の擬似ＭＳＤ行列が求
められ、入力データに対する暗号化が行われる。

【００８９】本発明を実現するためのプログラムは、プ
ログラム提供者側からネットワーク３４を介してコンピ
ュータ３１にロードされることも、また市販され、流通
している可搬型記憶媒体３５に格納され、そのプログラ
ムがコンピュータ３１にロードされることによって実現
されることも可能である。可搬型記憶媒体３５としては
フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭ、光デ
ィスク、光磁気ディスクなど、様々な形式の記憶媒体を
使用することができる。前述のプログラムなどは、この
ような記憶媒体に格納され、コンピュータ３１にロード
されることによって、本実施形態における擬似ＭＳＤ行
列が生成され、その行列を用いて入力データに対する暗
号文を生成することが可能となる。

【００９０】

【発明の効果】以上詳細に説明したように、本発明によ
れば、Ｆ関数の内部の複数のＳボックスの入出力サイズ
が同一でない場合において、適切な線形変換としての擬
似ＳＭＤ行列の存在の有無を判定することができ、その
ような行列が存在する場合にはその擬似ＭＳＤ行列を生
成し、その行列を使用した暗号化を行うことによって、
拡散性能に優れた暗号を生成することができ、暗号化装
置の性能向上に寄与するところが大きい。

【図面の簡単な説明】

【図１】本発明の原理構成ブロック図である。

【図２】本発明の実施形態としての暗号化装置のシステ
ム構成を示すブロック図である。

【図３】本実施形態におけるＦ関数の構成例を示す図で
ある。

【図４】暗号文生成の全体処理フローチャートである。

【図５】アクティブＳボックスの数の最大値Ａ_T を求め
る処理の詳細フローチャートである。

【図６】擬似ＭＤＳ行列を求める処理の詳細フローチャ
ートである。

【図７】求められた擬似ＭＤＳ行列の例を示す図であ
る。

【図８】２つの集合に対応する小行列を説明する図であ
る。

【図９】擬似ＭＤＳ行列の小行列の例（その１）を示す
図である。

【図１０】擬似ＭＤＳ行列の小行列の例（その２）を示
す図である。

【図１１】３０行×３０列のＭＤＳ行列を求めるための
部分行列を示す図（その１）である。

【図１２】３０行×３０列のＭＤＳ行列を求めるための
部分行列を示す図（その２）である。

【図１３】図１１，図１２の部分行列を用いたＭＤＳ行
列の例を示す図である。

【図１４】本発明におけるプログラムのコンピュータへ
のローディングを説明する図である。

【図１５】ＤＥＳ暗号の基本構造を示す図である。

【図１６】図１５におけるＦ関数の構成例の説明図であ
る。

【図１７】Ｆ関数内の線形変換ＰとしてのＭＤＳ変換の
説明図である。

【図１８】ＭＤＳ変換としてのＭＤＳ行列の説明図であ
る。

【符号の説明】

１ 演算装置 ２ ビット数集合入力手段 ３ 線形変換部存在可能性指示数値出力手段 ４ 線形変換部存在判定手段 ５ 擬似ＭＤＳ行列生成手段 １０ 処理装置 １１ 入力ファイル １２ 出力ファイル １３ 表示装置 １４ 入出力装置 １５ Ａ_T 計算部 １６ 線形変換部存在判定部 １７ 擬似ＭＤＳ行列生成部 １８ 暗号文生成部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 武仲 正彦 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 鳥居 直哉 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 矢嶋 純 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 屋並 仁史 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 横山 和弘 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 5J104 AA19 JA13 JA17 NA02

Claims (11)

【特許請求の範囲】
1. 【請求項１】 複数のＳボックスと線形変換部とを備え
   るＳＰＮ構造をＦ関数の内部に用いた演算装置におい
   て、 該演算装置に与えられる入力データの全ビット数を非均
   等に分割したビット数の集合Ｔ＝｛ｔ₁ ，ｔ₂ ，ｔ₃ ，
   ・・・，ｔ_r ｝の入力を受け取るビット数集合入力手段
   と、 該分割されたビット数をそれぞれ入・出力ビット数とす
   る複数のＳボックスに対応する適切な線形変換部の存在
   可能性を示す値Ａ_T を出力する線形変換部存在可能性指
   示数値出力手段とを備えることを特徴とするＦ関数内部
   にＳＰＮ構造を用いた演算装置。
2. 【請求項２】 前記線形変換部存在可能性指示数値出力
   手段が、 前記集合Ｔの要素から任意のｋ個を選んで生成した集合
   の要素の和の最小値ｕ _k （ｋ＝１，２，・・・，ｒ）を
   求める最小値決定手段と、 集合Ｔの要素から任意のｋ個を選んで生成した集合の要
   素の和の最大値ｖ_k （ｋ＝１，２，・・・，ｒ）を求め
   る最大値決定手段とを更に備え、 数値ｋに対してｕ_k ≧ｖ_k'（ｋ′＝０，１，・・・，
   ｒ，ｖ₀ ＝０）を満たすｋ′の最大値をｋから減算した
   値をｗ_k （ｋ＝１，２，・・・，ｒ）とし、ｗ_kの最大
   値を（ｒ＋１）の値から減算して前記Ａ_T の値を求める
   ことを特徴とする請求項１記載のＦ関数内部にＳＰＮ構
   造を用いた演算装置。
3. 【請求項３】 前記演算装置において、 前記Ａ_T の値が正か正でないかを判定し、正である時前
   記適切な線形変換部が存在すると判定する線形変換部存
   在判定手段を更に備えることを特徴とする請求項１、ま
   たは２記載のＦ関数内部にＳＰＮ構造を用いた演算装
   置。
4. 【請求項４】 前記演算装置において、 前記線形変換部が存在すると判定された時、該線形変換
   部として、前記ビット数分割が均等に行われた場合のＭ
   ＤＳ行列に対応する擬似ＭＤＳ行列を生成する擬似ＭＤ
   Ｓ行列生成手段を更に備えることを特徴とする請求項３
   記載のＦ関数内部にＳＰＮ構造を用いた演算装置。
5. 【請求項５】 前記擬似ＭＤＳ行列生成手段が、要素が
   ０、または１のｔ_i行、ｔ_j 列の部分行列Ｍ_ijを要素と
   して、ｒ行、ｒ列に並べた行列をＭ＝（Ｍ_ij）（ｉ＝
   １，２，・・・，ｒ，ｊ＝１，２，・・・，ｒ）とし
   て、ｅ＝１から（Ａ_T −１）までの各正数に対してｃ
   （ｅ）＝ｅ＋ｒ−Ａ_T ＋１を求め、集合Ｔの要素をｅ個
   任意に選んだ集合Ｔ₁ ＝｛ｔ_i1，ｔ_i2，・・・ｔ_ie｝
   と、要素をｃ（ｅ）個任意に選んだ集合Ｔ₂ ＝｛ｔ_j1，
   ｔ_j2，・・・，ｔ_jc(e) ｝を求め、該集合（Ｔ₁ ，
   Ｔ₂ ）に対応する任意のあらゆるＭの小行列、および集
   合（Ｔ₂ ，Ｔ ₁ ）に対応する任意のあらゆるＭの小行列
   の階数の値が、それぞれ自小行列の行数、または列数の
   いずれかに等しい行列Ｍを求めることを特徴とする請求
   項４記載のＦ関数内部にＳＰＮ構造を用いた演算装置。
6. 【請求項６】 前記集合（Ｔ₁ ，Ｔ₂ ）に対応する小行
   列は、前記行列Ｍ＝（Ｍ_ij）を構成する前記ｒ行、ｒ列
   の要素としての部分行列Ｍ_ijのうちで、前記ｔ_i1，
   ｔ_i2，・・・，ｔ_ieにそれぞれ対応する行と、ｔ_j1，ｔ
   _j2，・・・，ｔ_{jc (e)} にそれぞれ対応する列とによって
   指定される部分行列によって構成されることを特徴とす
   る請求項５記載のＦ関数内部にＳＰＮ構造を用いた演算
   装置。
7. 【請求項７】 複数のＳボックスと線形変換部とを備え
   るＳＰＮ構造をＦ関数内部に用いる演算方法において、 与えられる入力データの全ビット数を非均等に分割した
   ビット数の集合Ｔ＝｛ｔ₁ ，ｔ₂ ，ｔ₃ ，・・・，
   ｔ_r ｝の入力を受け取り、 該分割されたビット数をそれぞれ入・出力ビット数とす
   る複数のＳボックスに対応する適切な線形変換部の存在
   可能性を示す値Ａ_T を出力することを特徴とするＦ関数
   内部にＳＰＮ構造を用いた演算方法。
8. 【請求項８】 前記演算方法において、 前記Ａ_T の値が正か正でないかを判定し、 正である時前記適切な線形変換部が存在すると判定する
   ことを特徴とする請求項７記載のＦ関数内部にＳＰＮ構
   造を用いた演算方法。
9. 【請求項９】 前記線形変換部が存在すると判定された
   時、該線形変換部として、前記ビット数分割が均等に行
   われた場合のＭＤＳ行列に対応する擬似ＭＤＳ行列を生
   成することを特徴とする請求項８記載のＦ関数内部にＳ
   ＰＮ構造を用いた演算方法。
10. 【請求項１０】 複数のＳボックスと線形変換部とを備
    えるＳＰＮ構造をＦ関数内部に用いた演算を実行する計
    算機によって使用される記憶媒体において、与えられる
    入力データの全ビット数を非均等に分割したビット数の
    集合Ｔ＝｛ｔ₁ ，ｔ₂ ，ｔ₃ ，・・・，ｔ_r ｝の入力を
    受け取るステップと、 該分割されたビット数をそれぞれ入・出力ビット数とす
    る複数のＳボックスに対応する適切な線形変換部の存在
    可能性を示す値Ａ_T を出力するステップとを計算機に実
    行させるためのプログラムを格納した計算機読出し可能
    可搬型記憶媒体。
11. 【請求項１１】 複数のＳボックスと線形変換部とを備
    えるＳＰＮ構造をＦ関数内部に用いた演算を実行する計
    算機によって使用されるプログラムにおいて、 与えられる入力データの全ビット数を非均等に分割した
    ビット数の集合Ｔ＝｛ｔ₁ ，ｔ₂ ，ｔ₃ ，・・・，
    ｔ_r ｝の入力を受け取る手順と、 該分割されたビット数をそれぞれ入・出力ビット数とす
    る複数のＳボックスに対応する適切な線形変換部の存在
    可能性を示す値Ａ_T を出力する手順とを計算機に実行さ
    せるためのプログラム。