JP2002366029A

JP2002366029A - Ｄｐａに対して安全な暗号化

Info

Publication number: JP2002366029A
Application number: JP2001178407A
Authority: JP
Inventors: Koichi Ito; 孝一伊藤; Masahiko Takenaka; 正彦武仲; Naoya Torii; 直哉鳥居
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2001-06-13
Filing date: 2001-06-13
Publication date: 2002-12-20
Anticipated expiration: 2021-06-13
Also published as: US7386130B2; DE60222052T2; DE60222052D1; EP1267514B1; JP4596686B2; EP1267514A3; US20030048903A1; EP1772985A1; EP1267514A9; EP1267514A2

Abstract

(57)【要約】【課題】固定値を用いてマスクを行うことによって処
理速度の向上と必要なＲＡＭ領域の削減を実現する。【解決手段】暗号化装置（３００）は、乱数を発生す
る乱数発生器手段と、乱数に従ってｑ個の固定値の中の
１つを選択する第１の選択器（３２９）と、乱数に従っ
てｑ組の固定テーブルの中の１組を選択する選択器（３
３９）と、を具えている。排他的論理和手段（３３３）
は、固定値と鍵の排他的論理和と入力の排他的論理和を
とる。非線形変換手段（３３４）は、１組の固定テーブ
ルに従って非線形変換を行う。別の暗号化装置（５０
０）は、並列に結合された複数の暗号化部（５１１、５
１３）と、乱数に従ってその複数の暗号化部の中の１つ
を選択する選択器（５０２）と、を具えている。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報の暗号化の分
野に関し、特に電力解析攻撃と呼ばれる暗号解読法に対
する暗号のセキュリティ（安全）のための技術に関す
る。

【０００２】

【発明の背景】暗号方式には一般的に公開鍵暗号方式と
共通鍵暗号方式が含まれる。いわゆる共通鍵暗号方式
は、暗号化と復号で同一の秘密鍵（キー）を用いる。こ
の秘密鍵を送信機側のユーザと受信機側のユーザの間で
共有しその他の者に対して秘密にすることによって、暗
号文が安全に送信できる。図１はスマートカードにおけ
る共通秘密鍵を用いた暗号化の例を示している。図１に
おいて、スマートカードは、周知の形態で入力の平文
（プレインテキスト）をその内部の暗号化処理部におい
て共通秘密鍵を用いて暗号化して出力の暗号文を供給す
る。

【０００３】暗号解読は、秘密鍵を含めた秘密情報を、
暗号文等入手可能な情報から推定する。暗号解読の１つ
である電力解析攻撃が、Paul Kocher, Joshua Jaffe, a
nd Benjamin Jun,“Differential Power Analysis”in
proceedings of Advances inCryptology−CRYPTO’９
９, Springer-Verlag, １９９９, pp. ３８８−３９７
に記載されている。この電力解析攻撃は、スマートカー
ド等に搭載された暗号化プロセッサに様々な入力データ
を与えた時の電力消費データを収集および解析して、暗
号プロセッサ内部の鍵情報を推定する。これは、公開鍵
暗号と秘密鍵暗号の双方に適用できる。

【０００４】電力解析攻撃には、単純電力解析（以下、
ＳＰＡという）（Single Power Analysis）および電力
差分攻撃（以下、ＤＰＡという）（Differential Power
Analysis）が含まれる。ＳＰＡは暗号プロセッサにお
ける単一の電力消費データの特徴から秘密鍵の推定を行
う。ＤＰＡは相異なる多数の電力消費データの差分を解
析することによって秘密鍵の推定を行い、一般的にはＤ
ＰＡの方が強力である。

【０００５】例えばＲＳＡ等の公開鍵暗号に対するＤＰ
Ａが、例えば、Thomas S. Messerges, Ezzy A. Dabbish
and Robert H. Sloan“Power Analysis Attacks of Mo
dular Exponentitiation in Smartcards”Cryptographi
c Hardware and Embedded Systems（CHES’９９）, Spr
inger-Verlag, pp.１４４−１５７に記載されている。
共通鍵暗号方式の現在の標準のＤＥＳ（Data Encryptio
n Standards）に対するＳＰＡおよびＤＰＡが、Paul Ko
cher, Joshua Jaffe, and Benjamin Jun,”Differentia
l Power Analysis,”in proceedings of Advances in C
ryptology−CRYPTO’９９, Springer-Verlag, １９９
９, pp. ３８８−３９7 に記載されている。共通鍵暗号
方式の次世代標準となりうるラインデール（Rijndael）
法に対するＤＰＡが、例えば、S. Chari, C. Jutla, J.
R. Rao, P. Rohatgi, “An Cautionary Note Regardin
g Evaluation of AES Candidates on Smart-Cards,” S
econd Advanced Encryption Standard Candidate Confe
rence, March１９９９に記載されている。

【０００６】このように、電力解析攻撃の中でもＤＰＡ
は特に有効な方法として注目されており、様々なＤＰＡ
暗号解読法が研究されている。一方、ＤＰＡ暗号解読を
防止するための技術も開発されている。

【０００７】ＤＰＡを適用可能な共通鍵暗号の通常の典
型的な構成を説明する。図２、３および４は、典型的な
共通鍵暗号で用いられる処理（operations）である鍵Ｘ
ＯＲ（排他的論理和）、線形変換および非線形変換をそ
れぞれ示している。

【０００８】図２において、鍵ＸＯＲは入力データＸｉ
の鍵情報Ｋｉとの排他的論理和（ＸＯＲ）の出力Ｚｉを
供給する。（但し、演算ＸＯＲは図面および式では、○
と＋を合成したシンボルで示されている。）図３におい
て、線形変換Ｌは入力データＸｉに対する線形変換され
た出力Ｚｉ＝Ｌ（Ｘｉ）を供給する。ここで、任意のｘ
およびｙについてＬ（ｘＸＯＲｙ）＝L（ｘ）ＸＯＲＬ
（ｙ）である。線形変換には、ビット転置（permutatio
n）および行列演算等がある。図４において、非線形変
換Ｗは、入力データＸｉを非線形変換して出力Ｚｉ＝Ｗ
（Ｘｉ）を供給する。ここで、任意のｘよびｙについて
Ｗ（ｘＸＯＲｙ）≠Ｗ（ｘ）ＸＯＲＷ（ｙ）である。非
線形変換は、典型的には非線型変換テーブルＳｂｏｘを
しばしば用い、入力ＸをＸ=｛ｘ_ｕ−１，．．．，
ｘ_１，ｘ_０｝（ｕは自然数）とｕ個に分割し、Ｓｂｏｘ
であるｗ_ｉ（ｉ＝０〜ｕ）を用いてｚ_ｉ＝ｗ_ｉ（ｘ_ｉ）
を演算し、Ｚ＝（ｚ_ｕ−１．．．ｚ_１ｚ_０）として結合
して出力Ｚを生成する。

【０００９】典型的な共通鍵暗号では、これらの鍵ＸＯ
Ｒ演算、線形変換および非線形変換の３つを適当に組み
合わせて各ラウンド関数を構成し、そのようなラウンド
関数を順に複数回（ラウンド）繰り返す。

【００１０】ＤＰＡによる暗号解読技術を説明する。Ｄ
ＰＡは、電力消費データの測定の段階と、その電力消費
データの差分に基づく鍵の解析の段階とを含んでいる。
電力消費データの測定において、相異なる複数の符号の
シーケンスを含んだ入力平文をスマートカード等の暗号
化器にシリアルに供給して、その暗号化プロセッサによ
ってその入力平文に応答して消費される電力消費の時間
変化を例えばオシロスコープ等を用いて測定して、電力
消費曲線を得る。図７（Ａ）はそのような電力消費曲線
を例示している。相異なる入力平文に対してその測定を
行って統計的に充分な数の電力消費曲線を収集する。そ
の測定で得られた複数の電力消費曲線の集合（セット）
をＧとする。

【００１１】次に電力消費曲線を用いた鍵の解析を説明
する。図５は、従属接続の形の鍵ＸＯＲ演算（図２）と
非線形変換（図４）の組合せである暗号化の例を示して
いる。この暗号化に対するＤＰＡを説明する。図６は、
図５における任意の非線形変換要素ｗｉに関係する構成
要素を取り出したものである。図６において、任意の入
力平文における既知の数ビット値をｍ_ｉとし、未知の鍵
Ｋにおける要素値をｋ _ｉ（Ｋ＝｛ｋ_ｕ−１，．．．，ｋ
_１，ｋ_０｝の中の１つの要素）とし、既知のＳｂｏｘテ
ーブルにおける変換関数をｗ_ｉとし、出力をｚ_ｉ（＝ｗ
_ｉ（ｍ_ｉＸＯＲｋ_ｉ））とする。ＤＰＡのために、プロ
セッサ内部で用いられている鍵の要素値を任意のｋ_ｉ’
であると仮定する。既知のｍ_ｉおよびｗ_ｉとその仮定さ
れたｋ_ｉ’とからｚ_ｉ’＝ｗ_ｉ（ｍ_ｉＸＯＲｋ_ｉ’）を
演算して、仮定されたｋ_ｉ’に対する集合Ｇ（ｋ_ｉ’）
を次の部分集合Ｇ_０（ｋ_ｉ’）およびＧ_１（ｋ_ｉ’）に
分ける。

【００１２】

【数１】

【数２】ここで、ｅは、自然数であり、ｅ番目のＬＳＢを表して
いる。

【００１３】次いで、仮定されたｋ_ｉ’に対する次の電
力消費曲線の差分ＤＧ（ｋ_ｉ’）を作成する。

【数３】

【００１４】図７（Ａ）はＧ₁に属する電力消費曲線の
平均電力消費曲線を例示している。図７（Ｂ）はＧ_０に
属する電力消費曲線の平均電力消費曲線を例示してい
る。仮定された鍵の要素値が真の鍵の要素値と等しく、
即ちｋ_ｉ’＝ｋ_ｉである場合には、図７（Ａ）と（Ｂ）
の差を表す図７（Ｃ）に例示された差分電力消費曲線中
にスパイクが現われる。仮定された鍵の要素値が真の鍵
の要素値と等しくなく、即ちｋ_ｉ’≠ｋ_ｉである場合に
は、図７（Ａ）と（Ｂ）の差を表す図７（Ｄ）に例示さ
れた差分電力消費曲線は概ね平坦な曲線となる。従っ
て、仮定したｋ_ｉ’に基づいて生成されたスパイクを有
する差分電力消費曲線から、鍵ｋ_ｉが推定できる。全て
のｉに対するｋ_ｉについて差分電力消費曲線を生成する
ことによって、最終的に鍵Ｋを解読または確定（determ
ine）することができる。

【００１５】次に、ｋ_ｉ’＝ｋ_ｉである場合に、電力差
分曲線ＤＧ（ｋ_ｉ’）にスパイクが現れることを説明す
る。ｋ_ｉ’＝ｋ_ｉである場合、集合Ｇ（ｋ_ｉ’）を式
（１）および式（２）に従って部分集合Ｇ_０（ｋ_ｉ’）
およびＧ_１（ｋ_ｉ’）に分けると、仮定したｚ_ｉ’＝ｗ
_ｉ（ｍ_ｉＸＯＲｋ_ｉ’）とこれに対応するプロセッサ内
における実際のｚ_ｉ＝ｗ_ｉ（ｍ_ｉＸＯＲｋ_ｉ）とが全て
のｍ_ｉに対して一致するので、ｚ_ｉのハミング・ウェイ
トＨＷ（Hamming weight）に関して次の式（４）が得ら
れる。ハミング・ウェイトとは或る値をビット値で表現
したときのビット値＝１の個数である。例えば２進４ビ
ット値（１１０１）_２のハミングウェイトＨＷは３であ
る。

【数４】

【００１６】一方、ｋ_ｉ’≠ｋ_ｉの場合は、仮定された
ｚ_ｉ’＝ｗ_ｉ（ｍ_ｉＸＯＲｋ_ｉ’）とそれに対応するプ
ロセッサ内における実際のそれぞれのｚ_ｉ＝ｗ_ｉ（ｍ_ｉ
ＸＯＲｋ_ｉ）とが無関係なので、仮定されたｚ_ｉ’に対
する式（１）および式（２）に従って全てのｍ_ｉに対す
る集合Ｇ（ｋ_ｉ’）を部分集合Ｇ_０（ｋ_ｉ’）およびＧ
_１（ｋ_ｉ’）に分けても、実際のそれぞれのｚ_ｉ（即ち
ｚ_ｉ’と仮定された実際のｚ_ｉ）に対しては２つの部分
集合にランダムに分けたことになるので、次の式（５）
が成立する。

【数５】

【００１７】式（４）が成立する場合はＧ_０（ｋ_ｉ’）
とＧ_１（ｋ_ｉ’）の間でのロード値ｚ_ｉの平均ハミング
・ウェイトに大きな差が生じるが、式（５）が成立する
場合はＧ_０（ｋ_ｉ’）とＧ_１（ｋ’）の間でのロード値
ｚ_ｉの平均ハミングウェイトに大きな差が生じない。

【００１８】ｚ_ｉ＝ｗ_ｉ（ｘ_ｉ）で示される変換ｗ
_ｉは、暗号化器内のＲＯＭやＲＡＭなどのメモリ上から
変換テーブルＳｂｏｘの出力値ｚ_ｉがロード命令によっ
て読み込まれることによって行われる。ロード命令が実
行されるとき、ロード値のハミングウェイトに比例した
電力が消費されるものと考えられている。その考えの妥
当性を示す実験結果が、T. S. Messerge, Ezzy A. Dabb
ish and Robert H.Sloan,“Investigations of Power A
ttacks on Smartcards”Proceedings of USENIX Worksh
op on Smartcard Technology, Mar. １９９９に記載さ
れている。

【００１９】従って、ｋ_ｉ’＝ｋ_ｉである場合、式
（４）が満たされることで消費電力の差が電力差分曲線
上のスパイクという形になって現れるが、式（５）の場
合はスパイクが現れず、概ね平坦な曲線となる。ＤＰＡ
は、図４に図３の線形変換Ｌを挿入した暗号化器にも適
用できることが判明している。

【００２０】図８は、図４の暗号化器の前後に2つの線
形変換を追加した構成を有する暗号化器を示している。
Ｌ₁およびＬ₂をビット転置関数とし、ｗ_ｉをＤＥＳのＳ
ｂｏｘとすると、図８の構成はＤＥＳのＦ関数と等価に
なる。ＤＥＳの仕様については、FIPS ４６,“Data enc
ryption standard”Federal Information ProcessingSt
andards Publication ４６, U.S. Department of Comme
rce/ National Bureau of Standards, National Techni
cal Information Service, Springfield, Virginia,１
９７７を参照されたい。図８の処理も、図６と同様の処
理に変換でき、同様にＤＰＡを適用して鍵Ｋを推定でき
る。

【００２１】以上の手法では、非線形変換中のＳｂｏｘ
出力に注目してＤＰＡを適用している。さらに、入力ｍ
_ｉと鍵ｋ_ｉのＸＯＲの値（鍵ＸＯＲ演算の出力）やＳｂ
ｏｘへの入力値ｘ_ｉに対してＤＰＡを適用する手法もあ
る。また、或るプロセッサにおいては、隣接ビットモデ
ルによって次の式（６）で表される電力消費がロード値
のビットの関数で表現でき、それによってより有効な解
析が可能になる場合がM. Akkar, R. Bevan, P. Discham
p, and D. Moyart,“Power Analysis, What IsNow Poss
ible...”Asiacrypt ２０００において報告されてい
る。

【数６】

【００２２】これらの手法によれば、次の場合にＤＰＡ
によって秘密鍵Ｋが解読される。図９は、図４の暗号化
器における電力消費曲線の測定対象点Ａ、ＢおよびＣを
示している。

【００２３】１．入力Ｍが既知かつ攻撃者が自由に選択
可能即ち制御可能であり、鍵Ｋが未知の固定値であり、
Ｓｂｏｘのｗ_ｉの変換が既知の場合。この場合、図９の
測定対象点Ａの所定タイミングにおける（Ｓｂｏｘｗ_ｉ
の出力の）電力消費曲線が測定される。

【００２４】２．入力Mが既知かつ制御可能であり、鍵
Ｋが未知の固定値である場合。この場合、図９の測定対
象点Ｂの所定タイミングにおける（鍵ＸＯＲ演算の出力
の）電力消費曲線が測定される。

【００２５】３．入力Mが既知かつ制御可能であり、鍵
Ｋが未知の固定値である場合。この場合、図９の測定対
象点Ｃの所定タイミングにおける（Ｓｂｏｘのｗ_ｉをイ
ンデックスするためのロード入力の）電力消費曲線が測
定される。

【００２６】従来のＤＰＡ対策従来のＤＰＡ対策法としては、例えばスマートカード内
にノイズ発生器を置くことによって電力消費量の測定精
度を落とす手法と、暗号アルゴリズムに対策を施す手法
が存在する。その測定精度を落とす手法は容易に行える
が、測定回数を増加するなどの方法で解析が可能になる
ので根本的な対策とはならない。それに対して、暗号ア
ルゴリズムへの対策は、容易でないが根本的な対策とな
りうる。暗号アルゴリズムに対策を施す手法の代表的な
ものとして、マスキング法と呼ばれているThomas S. Me
sserges,“Securing the AES Finalists Against Power
Analysis Attacks,”in proceedings of Fast Softwar
e Encryption Workshop 2０００, Springer-Verlag, Ap
ril ２０００が知られている。マスキング法とは、入力
値Ｍそのものを用いて暗号化の各処理を行う代わりに、
乱数ＲをマスクとしてＭ’＝ＭＸＯＲＲで表される値
Ｍ’を用いて暗号化を行う方法である。乱数Ｒは暗号化
の各処理ごとに発生させるので、ここでは“乱数マスク
値法”と呼ぶ。

【００２７】次に、乱数マスク値法について説明する。
図１０は、乱数マスク値法による処理の概要図を示して
いる。この処理は、図示のような上側の暗号化処理部と
下側のマスク値生成部と乱数発生とで構成される。

【００２８】図２、３および４に示されている通常の鍵
ＸＯＲ関数、線形関数および非線形関数が用いられる通
常の暗号化処理を図１０の暗号化処理に変更する場合
は、それらは図１０の暗号化において図１１、１２およ
び１３に示されているような乱数マスク値法による鍵Ｘ
ＯＲ関数、線形関数および非線形関数に置換される。

【００２９】乱数マスク値法では、暗号化における通常
の中間データＸ_ｉを計算する代わりに排他的論理和Ｘ_ｉ
＝Ｘ_ｉ’ＸＯＲＲ_ｉを満たすＸ_ｉ’および乱数Ｒ_ｉが計
算される。暗号化処理部においてＸ_ｉ’が計算され、マ
スク値生成処理部においてＲ _ｉが計算される。図２と図
１１、図３と図１２、および図４と図１３に示されてい
る処理（operation）におけるＸ_ｉ、Ｘ_ｉ’、Ｚ_ｉ、Ｚ
_ｉ’、Ｒ_ｉおよびＲＯ _ｉに関して、次の式（７）が成立
する。

【数７】

【００３０】図２では入力値Ｘ_ｉと鍵Ｋ_ｉに対してＺ_ｉ
＝Ｘ_ｉＸＯＲＫ_ｉが演算されるのに対して、図１１では
暗号化処理内部で乱数発生器によって乱数ＲＫ_ｉを発生
させた後、入力値Ｘ_ｉ’と鍵Ｋ_ｉに対してＺ_ｉ’＝
Ｘ_ｉ’ＸＯＲＫ_ｉＸＯＲＲＫ_ｉが演算される。また、マ
スク値生成においてＲ_ｉとＲＫ_ｉからＲＯ_ｉ＝Ｒ_ｉＸＯ
ＲＲＫ_ｉが演算される。

【００３１】図３ではＺ_ｉ＝Ｌ（Ｘ_ｉ）の線形変換が行
われるのに対して、図１２の暗号化処理ではＺ_ｉ’＝Ｌ
（Ｘ_ｉ’）の変換が行われ、マスク値生成ではＲＯ_ｉ＝
Ｌ（Ｒ_ｉ）の変換が行われる。

【００３２】図４ではｗ_１、ｗ_２、・・・、ｗ_ｕ−１で
表されるｕ個のＳｂｏｘを用いた非線型変換が行われる
のに対して、図１３（Ａ）の暗号化処理では、図のＮｅ
ｗＳｂｏｘを用いた処理によってＲＡＭ領域上にｗｉ’
_１、ｗｉ’_２、・・・、ｗｉ’_ｕ−１で表される新しい
Ｓｂｏｘが作成されて、これを用いて非線型変換が行わ
れる。また、図１３（Ａ）のマスク値生成ではそのＮｅ
ｗＳｂｏｘを用いた処理が行われ、Ｒ_ｉと内部で生成さ
れた乱数ＲＯ_ｉからｗ’_１、ｗ’_２、・・・、ｗ’
_ｕ−１が生成され、ｗ’_１、ｗ’_２、・・・、ｗ’
_ｕ−１とＲＯ_ｉが出力される。図１３（Ｂ）はＮｅｗＳ
ｂｏｘの詳細構成を示している。ＮｅｗＳｂｏｘは、内
部の乱数発生器を用いてＲＯ_ｉを生成し、また、Ｒ_ｉ＝
ｒｉ_ｕ−１・・・ｒｉ_１ｒｉ_０と、ＲＯ_ｉ＝ｒｏｉ
_ｕ−１・・・ｒｏｉ_１ｒｏｉ_０と、図１２（Ｂ）内で用
いられるＳｂｏｘ、ｗ_１、ｗ_２、・・・、ｗ_ｕ−１とか
ら、ｗｉ’_ｊ（ｘ）＝ｗ（ｘＸＯＲｒｉ_ｊ）ＸＯＲｒｏ
ｉ_ｊを満たすｗｉ’_ｊをｊ＝０、１、・・・、ｕ−１に
ついて作成し、そしてそのＲＯｉとｗｉ’_ｊを出力す
る。

【００３３】次に、乱数マスク値法の安全性について簡
単に説明する。乱数マスク値法においては、図１０およ
び後で説明する図１９中の各ラウンド（段）における図
１３（Ａ）および（Ｂ）のＳｂｏｘのｗｉ’が乱数に従
って変化するので、ＤＰＡにおいてＳｂｏｘの内容を知
ることができない。即ち、前述の条件１におけるＳｂｏ
ｘが既知であるという条件が成立しないので、図８の測
定対象点Ａの所定のタイミングにおいて測定された電力
消費曲線を式（１）および（２）に従ってＧ_０とＧ_１に
分けることができない。従って、乱数値マスク法を用い
た暗号処理装置はＤＰＡに対して安全である。同様に、
前述の条件２および３における鍵ＸＯＲ関数の出力にお
ける測定対象点ＢおよびＳｂｏｘへの入力における測定
対象点Ｃについても、測定毎に変化する乱数要素が加算
されるので、鍵Ｋが固定であるという条件が成立しない
ので、ＤＰＡに対して安全である。

【００３４】次に、乱数マスク値法を用いた暗号化の例
として、ラインデール法を説明する。図１４は、ＤＰＡ
対策のない通常のＮ段ラインデール処理の全体的構成を
示している。Ｎ段ラインデール処理の各段は、ＸＯＲ演
算、サブバイト処理Ｓｕｂｂｙｔｅ（Substitute Byt
e）、シフト処理Ｓｈｉｆｔ、およびミクストコラム処
理Ｍｉｘｅｄｃｏｌｕｍｎを含んでいる。但し、最後の
段は、別のＸＯＲ演算を含んでおり、ミクストコラム処
理を含んでいない。図１４において、Ｎは、秘密鍵Ｋｓ
ｅｃのビット数によって決定され、Ｋｓｅｃが１２８ビ
ットの場合はＮ＝１０とし、１９２ビットの場合はＮ＝
１２とし、および２５６ビットの場合はＮ＝１４とす
る。Ｋ_ｉは拡大鍵（sub-key）と呼ばれる鍵である。図
１５は、ラインデール法の１２８／１９２／２５６ビッ
ト秘密鍵ＫｓｅｃからＮ＋１個の１２８ビット拡大鍵Ｋ
_０、Ｋ_１、・・・、Ｋ_Ｎを生成する拡大鍵生成器を示し
ている。秘密鍵から拡大鍵を生成する方法は、http://w
ww.nist.gov/aes/に示されているRijndaelの仕様書に記
載されている。

【００３５】図１６はサブバイト処理Ｓｕｂｂｙｔｅを
示しており、この処理は、８ビット−８ビット変換Ｓｂ
ｏｘであるＳを用いて、１２８ビット−１２８ビット非
線形変換を行う。図１７はシフト処理Ｓｈｉｆｔを示し
ており、この処理は、バイト単位の並べ替えを行う処理
である。図１８はミクストコラム処理Ｍｉｘｅｄｃｏｌ
ｕｍｎを示しており、この処理は、行列を用いた体ＧＦ
（２^８）上の演算を行う。

【００３６】図１９は、図１４の通常のＮ段ラインデー
ル法に対して、乱数マスク値法を適用したＮ段ラインデ
ール法を示している。図１９のＮ段ラインデール法は、
図示のような上側のＮ段の暗号化処理部と下側のＮ段の
マスク値生成部と乱数発生とで構成される。Ｋ_ｉはライ
ンデール法の第ｉ段の拡大鍵を表す。ＲＫ_ｉはそれぞれ
の拡大鍵に対するランダムなマスク値を表す。サブバイ
ト処理Ｓｕｂｂｙｔｅは、図１６に示されているような
形態で１６個のＳｂｏｘ：Ｓ_ｉ，０、Ｓ_ｉ， _１、・・
・、Ｓ_ｉ，１５を用いて１２８ビット−１２８ビット非
線形変換を行う。Ｓ_ｉ，０、Ｓ_ｉ，１、・・・、Ｓ
_ｉ，１５は第ｉ段の新しいＳｂｏｘ“ＮｅｗＳｂｏｘ”
によって生成されたＳｂｏｘである。図２０は、Ｎｅｗ
Ｓｂｏｘを示しており、入力値Ｒｉｎ_ｉから、内部で発
生した乱数Ｒｏｕｔ_ｉに従って相異なる１６個のＳｂｏ
ｘ、Ｓ_ｉ，０（ｘ）、Ｓ_ｉ，１（ｘ）、・・・、Ｓ
_ｉ， _１５（ｘ）を生成し、乱数Ｒｏｕｔ_ｉを供給する。
Ｓｈｉｆｔ処理およびＭｉｘｅｄｃｏｌｕｍｎ処理は、
通常のラインデール法の処理と同様に、図１７および図
１８に示す線形変換である。

【００３７】図１９の処理のフローをステップ［１１０
１］〜［１１０９］およびステップ［１２０１］〜［１
２０９］で示す。［１１０１］ｉ＝０とセットする。［１１０２］乱数マスク値Ｒｉｎを生成し、平文に対
してＲｉｎとのＸＯＲ演算を行う（ＸＯＲする）。［１１０３］平文に対してＫ_ｉＸＯＲＫ_ｉとのＸＯＲ
演算を行う。マスク処理にマスク値ＲＫ_ｉを入力して１
６個のＳｂｏｘ、Ｓ_ｉ，ｊ（ｘ）（ｊ＝０、１、・・
・、１５）を生成する。［１１０４］ステップ［１１０３］で生成したＳ
_ｉ，ｊ（ｘ）を用いたＳｕｂｂｙｔｅ処理を行う。［１１０５］Ｓｈｉｆｔ処理およびＭｉｘｅｄｃｏｌ
ｕｍｎ処理を行う。［１１０６］ｉ：＝ｉ+１とする。［１１０７］ｉ＜ N−１である場合はステップ［１
１０３］に戻る。それ以外は次のステップに進む。［１１０８］Ｋ_Ｎ−１とのＸＯＲ処理を行い、ＲＫ
_Ｎ−１をマスク値処理部に供給して１６個のＳｂｏｘ、
Ｓ_{Ｎ−１，ｊ}（ｘ）（ｊ＝０，１，・・・，１５）を
生成する。［１１０９］Ｓ_{Ｎ−１，ｊ}（ｘ）によるＳｕｂｂｙｔ
ｅ処理、Ｓｈｉｆｔ処理、およびＫ_ＮとのＸＯＲ演算を
行う。［１１１０］ステップ［１１０９］の演算出力に対し
て、マスク値生成の出力結果ＲｏｕｔとのＸＯＲ演算を
行い、その結果の暗号文を出力として供給する。

【００３８】マスク値生成処理のフロー：［１２０１］ｉ＝０、Ｍａｓｋ＝Rｉnとセットする。
但し、Rｉnは［１１０２］で生成された乱数マスク値で
ある。［１２０２］暗号化処理部より受け取ったＲＫ_ｉか
ら、ＭａｓｋＸＯＲＲＫ_ｉを演算して、新しいＭａｓｋ
を生成する。［１２０３］ステップ［１２０２］で生成した新しい
ＭａｓｋをＮｅｗＳｂｏｘに入力することによって、１
６個のＳｂｏｘ、Ｓ_ｉ，ｊ（ｘ）（ｊ＝０，１，・・
・，１５）と乱数Ｒｏｕｔ_ｉを得て、Ｒｏｕｔ_ｉを新し
いＭａｓｋとする。Ｓ_ｉ，ｊ（ｘ）は暗号化処理部の第
ｉ段のＳｕｂｂｙｔｅにおいて用いられる。［１２０４］ＭａｓｋをＳｈｉｆｔ処理およびＭｉｘ
ｅｄｃｏｌｕｍｎ処理に供給し、その処理からの出力を
新しいＭａｓｋとする。［１２０５］ｉ：＝ｉ+１とセットする。ｉ＜ N−１
である場合はステップ［１２０２］に戻る。［１２０６］暗号化処理部から入力されたＲＫ_Ｎ−１
からＭａｓｋＸＯＲＲＫ _Ｎ−１を演算して、その演算結
果を新しいＭａｓｋとする。［１２０７］ Rｉn_Ｎ−１をＮｅｗＳｂｏｘに供給する
ことによって、１６個のＳｂｏｘ、Ｓ
_{Ｎ−１，ｊ}（ｘ）（ｊ＝０，１，・・・，１５）と乱数
Ｒｏｕｔ _Ｎ−１を得て、Ｒｏｕｔ_Ｎ−１を新しいＭａｓ
ｋとする。Ｓ_{Ｎ−１，ｊ}（ｘ）は暗号化処理部の第Ｎ−
１段のＳｕｂｂｙｔｅにおいて用いられる。［１２０８］ＭａｓｋをＳｈｉｆｔ処理に供給し、そ
の処理結果を新しいＭａｓｋとする。［１２０９］暗号化処理部より入力されたＲＫ_Nか
ら、ＭａｓｋＸＯＲＲＫ_Nを演算し、それを出力して処
理を終了する。

【００３９】

【発明が解決しようとする課題】乱数マスク値法はＤＰ
Ａに対する安全性（セキュリティ）が高いことが知られ
ているが、乱数マスク値法を採用した暗号化は、その暗
号化の速度が通常の暗号化と比べて数分の１と低く、非
常に大きいＲＡＭ領域を必要とするという欠点がある。

【００４０】暗号化の速度が低い理由は、例えば暗号化
処理におけるＸＯＲ演算では、通常の実装では２つの中
間値ｘおよびｙからｚ＝ｘＸＯＲｙを演算するのに対し
て、乱数マスク値法ではｘ’＝ｘＸＯＲｒ_ｘ、ｙ’＝ｙ
ＸＯＲｒ_ｙを満たす中間値ｘ’、ｙ’からｚ’＝ｘ’Ｘ
ＯＲｙ’を演算する他に、ｚ’に関する新しいマスク値
の生成処理ｒ_ｚ＝ｒ_ｘＸＯＲｒ_ｙを演算する必要がある
からである。さらに、非線変換において、通常Ｓｂｏｘ
という非線形変換テーブルをＲＯＭに保持するのに対し
て、乱数マスク値法では、新しいマスク値から非線形変
換テーブルを毎回生成しなければならないので大量の計
算が要求される。

【００４１】大きいＲＡＭ領域を必要とする理由は、そ
の非線形変換において、通常はその非線形変換テーブル
をＲＯＭに保持するのに対して、乱数マスク値法では暗
号化のたびに新しいＳｂｏｘをＲＡＭに格納するからで
ある。例えば８ビット−８ビットの変換を行うＳｂｏｘ
を用いるラインデール法において、ＤＰＡ対策として乱
数マスク値法を実装するには最低２^８＝２５６バイト分
のＲＡＭ領域が必要である。しかし、例えばＳＴ１６
（ＳＴマイクロエレクトロン社製）等の低コストのスマ
ートカード用チップはＲＡＭ領域が１２８バイト程度し
か持っていないので、乱数マスク値法を実装することは
実際上不可能である。

【００４２】乱数マスク値法の実装のために、マスク値
を共有すること、および或る暗号化から次の暗号化まで
の間にマスク値を生成することなどによって、見かけの
処理速度の向上および必要なＲＡＭ領域の削減等が考え
られているが、最初に乱数値でマスクするので全体的な
処理速度の向上および大幅な必要ＲＡＭ領域の削減は不
可能である。

【００４３】発明者は、暗号化において、乱数値を用い
てマスクするのではなくて、固定値を用いてマスクする
ことによって処理速度の向上と必要なＲＡＭ領域の削減
を実現すると有利であると認識した。ここで、この固定
値を用いてマスクを行う方法を、固定マスク値法と呼
ぶ。

【００４４】本発明の１つの目的は、共通鍵暗号を行う
暗号プロセッサに対する効率的な暗号解読防止を実現す
ることである。本発明の別の目的は、秘密鍵の推定を困
難にし、暗号プロセッサの安全性を高めることである。

【００４５】

【発明の概要】本発明の１つの特徴（側面）によれば、
暗号化装置は排他的論理和手段および非線形変換手段を
有する。その暗号化装置は、さらに、乱数を発生する乱
数発生手段と、ｑ個（ｑは整数）の固定値と、その乱数
に従ってそのｑ個の固定値の中の１つを選択する第１の
選択器と、を具えている。その排他的論理和手段は、そ
の選択された固定値と鍵の排他的論理和とその排他的論
理和手段の入力の排他的論理和をとる。

【００４６】本発明の別の特徴によれば、暗号化装置は
排他的論理和手段および非線形変換手段を有する。その
暗号化装置は、さらに、乱数を発生する乱数発生手段
と、ｑ組（ｑは整数）のマスクされた固定テーブルと、
その乱数に従ってそのｑ組の固定テーブルの中の１組を
選択する選択器と、を具えている。その非線形変換手段
は、その選択された１組の固定テーブルに従って入力を
非線形変換する。

【００４７】本発明のさらに別の特徴によれば、暗号化
装置は、乱数を発生する乱数発生手段と、並列に結合さ
れた複数の暗号化部と、その乱数に従ってその複数の暗
号化部の中の１つを選択する選択器と、を具えている。
その複数の暗号化部の各々は、排他的論理和手段および
非線形変換手段を含んでいる。

【００４８】本発明のさらに別の特徴によれば、暗号化
装置は、乱数を発生する乱数発生手段と複数の暗号化段
とを具えている。その複数の暗号化段の各々は、入力を
非線形変換する非線形変換手段と、第１の入力と第２の
入力の排他的論理和をとる排他的論理和手段と、を含ん
でいる。その排他的論理和手段の第２の入力はその非線
形変換手段の出力に結合されている。その非線形変換手
段は、ｑ個（ｑは整数）の固定値と、その乱数に従って
そのｑ個の固定値の中の１つを選択する選択器と、その
選択された固定値と鍵の排他的論理和と入力の排他的論
理和をとる別の排他的論理和手段と、を有する。

【００４９】本発明のさらに別の特徴によれば、暗号化
装置は、乱数を発生する乱数発生手段と、並列に結合さ
れた複数の暗号化部と、その乱数に従ってその複数の暗
号化部の中の１つを選択する選択器と、を具えている。
その複数の暗号化部の各々は複数の暗号化段を有する。
その複数の暗号化段の各々は、入力を非線形変換する非
線形変換手段と、第１の入力と第２の入力の排他的論理
和をとる排他的論理和手段と、を含んでいる。その排他
的論理和手段の第２の入力はその非線形変換手段の出力
に結合されている。

【００５０】本発明のさらに別の特徴によれば、暗号化
装置において用いられるプログラムは、乱数に従って複
数の暗号化手順の中の１つを選択するステップと、その
選択された暗号化手順に従って、入力値を暗号化して出
力するステップと、を含んでいる。その暗号化するステ
ップは、固定値と鍵の排他的論理和と入力値の排他的論
理和をとるステップと、１組の固定テーブルに従って入
力値を非線形変換するステップと、を含んでいる。

【００５１】本発明によれば、共通鍵暗号を行う暗号プ
ロセッサに対する効率的なＤＰＡ対策を実現でき、ＤＰ
Ａを用いた秘密鍵の解読（analyze）を困難にし、暗号
プロセッサの安全性を高めることができる。

【００５２】実施形態においては、通常は乱数値で入力
や鍵をマスクする乱数マスク値法に対して、本発明の固
定マスク値法に従って、複数個の固定値を用意し、それ
を乱数によって切換えることによって、乱数マスク値法
と同様の効果を得る。固定マスク値法では、マスク値が
特定の固定値に限定されるので、新しいマスク値を予め
求めておくことによって処理速度を高くできる。また、
予め固定マスク値の集合（セット）を用意し、それぞれ
の固定マスク値に対応した非線形変換テーブルをＲＯＭ
に用意することによって、小さいＲＡＭ領域を有するプ
ラットフォーム上でも実装が可能になる。例えばＳＴ１
６等の低コストのスマートカード用のＬＳＩチップでも
６Ｋバイト程度の大きなＲＯＭ領域を備えているので、
固定値マスク法は低コストのスマートカードに適してい
る。

【００５３】

【発明の好ましい実施形態】次に、本発明の実施形態を
説明する。実施形態において、暗号化における全てまた
は一部の諸要素および諸処理は、集積回路等によってハ
ードウェアの形態で実装してもよいし、またはプロセッ
サによって実行されるプログラムの形態で実装してもよ
い。

【００５４】図２１は本発明による第１のタイプの暗号
化装置１００の概略的構成を示している。図２２および
２３は、暗号化装置１００の鍵ＸＯＲ演算および非線形
変換の構成をそれぞれ示している。線形変換は図２に示
されているものを用いればよい。

【００５５】図２１において、暗号化装置１００は、乱
数Ｒ（Ｒ＝０，１，・・・，ｑ−１）を発生する乱数発
生器１０３と、その乱数に従って固定マスク値ＦＭ
_０，Ｒの中の１つを選択して供給する切換部または選択
器１０４と、入力の平文と選択された固定マスク値ＦＭ
_０，Ｒとの排他的論理和を演算する（ＸＯＲする）（Ｘ
ｉｎ’＝平文ＸＯＲＦＭ_０，Ｒ）排他的論理和１０６
と、入力Ｘｉｎ’を受取り乱数Ｒに従って入力Ｘｉｎ’
を暗号化して出力Ｘｏｕｔ’を生成する暗号化処理部１
０１と、その乱数に従って固定マスク値ＦＭ_{Ｎ＋１，Ｒ}
の中の１つを選択して供給する切換部１０５と、その出
力Ｘｏｕｔ’と選択された固定マスク値ＦＭ_Ｎ _＋１，Ｒ
との排他的論理和を演算して（ＸＯＲして）暗号文（Ｘ
ｏｕｔ’ＸＯＲＦＭ_{Ｎ＋１，Ｒ}）を生成する排他的論理
和１０７と、を含んでいる。ここで、Ｎは暗号化処理部
１０１で使用される固定マスク値のセットの数を表す。

【００５６】暗号化装置１００は、さらに、作業メモリ
用のＲＡＭ１６２と、固定マスク値と、固定非線形変換
テーブルＳｂｏｘと、線形変換関数Ｌ等を格納するＲＯ
Ｍ１６４と、ＲＯＭ等のプログラム・メモリ１６０に格
納されているプログラムに従ってこれらの諸処理要素１
０３〜１０７を制御するプロセッサ１５０とを含んでい
る。代替構成として、プロセッサ１５０は、諸処理要素
１０３〜１０７に対応する機能を実装したメモリ１６０
中のプログラムを実行することによって諸処理要素１０
３〜１０７を実現してもよい。この場合、図２１はフロ
ー図として見ることができる。

【００５７】暗号化処理部１０１において、図２２の鍵
ＸＯＲ、図２の線形変換および図２３の非線形変換の組
み合わせによって規定されるラウンド関数が繰返し実行
され、または縦続接続されたそのような複数のラウンド
関数回路によってそのラウンド関数が実行される。

【００５８】図２２の鍵ＸＯＲは、切換部１０９によっ
て乱数Ｒに従って選択された固定マスク値ＦＭ_ｉ，Ｒと
鍵Ｋ_ｉとをＸＯＲして或る値を供給し、その値と入力Ｘ
ｉ’とをＸＯＲして出力Ｚｉ’を供給する。図２３の非
線形変換は、切換部１１１〜１１９によって乱数Ｒに従
ってＳｂｏｘの要素ｗｉ_ｊ，Ｒ’（ｊ＝０，・・・，ｕ
−１）を選択し、その選択された要素ｗｉ_ｊ，Ｒ’を用
いて非線形変換する。

【００５９】乱数マスク値法において示した式（７）の
関係を用いると、図２２の鍵ＸＯＲにおいて図１１のＲ
ｉとＲＯｉに対応して次の式（８）が得られる。

【数８】

【００６０】図２３の非線形変換において用いられる図
１３（Ｂ）のＮｅｗＳｂｏｘのｒｉとｒｏｉに対応して
次の式（９）が得られる。

【数９】

【００６１】図２４は本発明による第２のタイプの暗号
化装置２００の概略的構成を示している。図２５および
２６はその鍵ＸＯＲおよび非線形変換の構成をそれぞれ
示している。線形変換はいずれの暗号化処理部において
も図２に示されているものを用いればよい。

【００６２】図２４において、暗号化装置２００は、乱
数Ｒを発生する乱数発生器２０３と、その乱数に従って
固定マスク値ＦＭ_０，Ｒの中の１つを選択して供給する
切換部２０４と、入力の平文と切換部２０４によって選
択された固定マスク値ＦＭ_０ _，ＲとをＸＯＲする（Ｘｉ
ｎ’＝平文ＸＯＲＦＭ_０，Ｒ）ＸＯＲ（排他的論理和）
２０６と、入力Ｘｉｎ’を受取りその入力Ｘｉｎ’を暗
号化して出力Ｘｏｕｔ’を生成する複数の暗号化処理部
２０８〜２０９と、入力Ｘｉｎ’を受取り乱数Ｒに従っ
て互いに並列に結合された暗号化処理部２０８〜２０９
の中の１つを選択してその選択された暗号化処理部に入
力Ｘｉｎ’を供給する切換部２１１と、同じ乱数Ｒに従
って暗号化処理部２０８〜２０９の中の同じ１つを選択
してその選択された暗号化処理部からの出力Ｘｏｕｔ’
を供給する切換器２１３と、その乱数に従って固定マス
ク値ＦＭ_{Ｎ＋１，Ｒ}の中の１つを選択して供給する切換
部２０５と、その出力Ｘｏｕｔ’と選択された固定マス
ク値ＦＭ_{Ｎ＋１，Ｒ}とをＸＯＲして暗号文（＝Ｘｏｕ
ｔ’ＸＯＲＦＭ_{Ｎ＋１，Ｒ}）を生成するＸＯＲ２０７
と、を含んでいる。ここで、Ｎは使用される固定マスク
値の数を表す。図２４において、２つの切換部２１１お
よび２１３のうちの一方だけで選択してもよく、その他
方の切換部を省いてもよい。

【００６３】暗号化装置２００は、さらに、作業メモリ
用のＲＡＭ２６２と、固定マスク値、固定非線形変換テ
ーブルＳｂｏｘと、線形変換関数Ｌ等を格納するＲＯＭ
２６４と、ＲＯＭ等のプログラム・メモリ２６０に格納
されているプログラムに従ってこれらの諸処理要素２０
３〜２１１を制御するプロセッサ２５０とを含んでい
る。代替構成として、プロセッサ２５０は、諸処理要素
２０３〜２１１に対応する機能を実装したメモリ２６０
中のプログラムを実行することによって諸処理要素２０
３〜２１１を実現してもよい。この場合、図２４はフロ
ー図として見ることができる。

【００６４】暗号化処理部２０８〜２０９は、固定マス
ク値FM_ｉ，ｊおよびＳｂｏｘのセットwｉ_ｉ，ｊが異な
ること以外は構成が共に同じである。各暗号化処理部２
０８〜２０９において、図２５の鍵ＸＯＲ演算、図２の
線形変換処理および図２６の非線形変換の組み合わせに
よって規定されるラウンド関数が繰返し実行され、また
は縦続に結合されたそのような複数のラウンド関数回路
によってそのラウンド関数が実行される。

【００６５】図２５の鍵ＸＯＲは、暗号化処理部２０８
〜２０９の各々に固有の固定マスク値ＦＭ_ｉ，Ｒと鍵Ｋ
ｉをＸＯＲして或る値を供給し、その値と入力Ｘｉ’と
をＸＯＲして出力Ｚｉ’を供給する。図２６の非線形変
換は、その暗号化処理部に固有のＳｂｏｘのセットｗｉ
_ｊ，Ｒ’（ｊ＝０，・・・，ｕ−１）を用いて非線形変
換する。ここで、乱数マスク値法における式（７）の関
係を用いると、図２５の鍵ＸＯＲにおいて図１１のＲｉ
とＲＯｉに対応してＲＯｉ＝ＲｉＸＯＲＦＭ _ｉ，Ｒが
得られ、図２６の非線形変換において図１２（Ｂ）のｒ
ｉとｒｏｉに対応してｗｉ_ｊ，Ｒ’（ｘｉ’）＝ｗｉ
（ｒｉＸＯＲｘｉ’）ＸＯＲｒｏｉが得られる。

【００６６】本発明による上述の固定マスク値法は、低
コストのスマートカードに実装するのに適した方法と考
えられる。ここでは、次のような問題点を検討すること
によってより好ましい実装形態を実現する。

【００６７】（Ａ）ＤＰＡ対策としての有効性の問題乱数マスク値法はＤＰＡに対して安全であることが知ら
れているが、固定マスク値法はＤＰＡに対してどの程度
安全であるかが不明であり、実装法および固定マスク値
の条件しだいではＤＰＡに対して弱い可能性がある。

【００６８】（Ｂ）ＲＯＭ領域が膨大になる可能性の問
題固定マスク値法は、非線形変換テーブルをＲＯＭに用意
することで、乱数マスク値法より必要なＲＡＭ領域を小
さく抑えることができるという利点がある。しかし、用
意されるマスク固定値の数に応じて使用ＲＯＭ量が決ま
る。安全性を確保するために必要なＲＯＭの容量が膨大
になる可能性がある。

【００６９】（Ａ）の問題に関連して、本発明を適用す
る或る暗号化では、或る条件の固定マスク値を使用すれ
ばその数ｑが２でも充分に安全であることが分かってい
る。本発明による暗号化法としてラインデール法を適用
した場合の安全性を後で説明する。同様に（Ｂ）の問題
に関連して、相異なる固定マスク値の数ｑを２程度にし
て、同じラウンドやラウンド毎のＳｂｏｘを共通にする
ことで、Ｓｂｏｘのデータ量を、本発明が適用されない
通常の実装の約２〜数倍に抑えて、使用ＲＯＭ量を小さ
く抑える。実施形態において暗号化法としてラインデー
ル法を適用した場合の使用ＲＯＭ量について後で述べ
る。

【００７０】図２７は、図２１の第１のタイプの暗号化
装置１００の一例を示しており、ラインデール（Rijnda
el）暗号化法に固定マスク値法を適用した暗号化装置３
００を示している。但し、図２７において、図２１にお
けるプロセッサ１５０、メモリ１６０、１６２および１
６４は簡単化のために省略されている。図２７におい
て、暗号化装置３００は、乱数ｈ（ｈ＝０，１，・・
・，ｑ−１）を発生する乱数発生器３０３と、その乱数
ｈに従って固定マスク値ＦＭｉｎ_ｈの中の１つを選択し
て供給する選択器３０５と、入力の平文と選択された固
定マスク値ＦＭｉｎ _ｈとをＸＯＲするＸＯＲ３０２と、
入力Ｘｉｎ’を受取って乱数ｈに従って入力Ｘｉｎ’を
暗号化して出力Ｘｏｕｔ’を生成する複数段の暗号化処
理段３１０（各段ｉは０≦ｉ≦Ｎ−２）と、第Ｎ−２段
の暗号化処理段３１０の出力Ｘｏｕｔ’を入力Ｘｉｎ’
として受取り乱数Ｒに従ってその入力を暗号化して暗号
文Ｘｏｕｔ’を生成する第Ｎ−１段の暗号化処理段３１
１と、を含んでいる。

【００７１】複数段の暗号化処理段３１０の各段ｉは、
乱数ｈに従って選択された固定マスク値ＦＭ_ｉ，ｈを供
給する選択器３２９と、鍵Ｋ_ｉと固定マスク値ＦＭ
_ｉ，ｈをＸＯＲして出力を供給するＸＯＲ３３１、その
出力の値と入力Ｘｉ’とをＸＯＲするＸＯＲ３３３と、
その乱数ｈに従ってＳｂｏｘである固定値Ｓ_{ｉ，ｊ，ｈ}
（ｊ＝０，１，・・・，１５）の中の１つを選択してマ
スクされた鍵Ｋ_０，ｈを供給する切換器または選択器３
３９と、その選択されたＳ_{ｉ，ｊ，ｈ}に従ってＸＯＲ３
３３からの出力をサブバイトするＳｕｂｂｙｔｅ３３４
と、Ｓｕｂｂｙｔｅ３３４の出力をシフトするＳｈｉｆ
ｔ３３５と、Ｓｈｉｆｔ３３５の出力をミクストコラム
するＭｉｘｅｄＣｏｌｕｍｎ３３６とを含んでいる。

【００７２】第Ｎ−１段の暗号化処理段３１１は、第ｉ
段の暗号化処理段３１０と同様の切換器３２９および３
３９と、ＸＯＲ３３１および３３３と、Ｓｕｂｂｙｔｅ
３３４と、Ｓｈｉｆｔ３３５とを有し、ＭｉｘｅｄＣｏ
ｌｕｍｎは有せず、切換器３７９によって選択された固
定マスク値ＦＭ_Ｎ，ｈとＫ_ＮとをＸＯＲ３７１によって
ＸＯＲしてマスクされた鍵Ｋ_Ｎ，ｈを生成し、Ｋ_Ｎ，ｈ
とＳｈｉｆｔ３３５の出力とをＸＯＲ３７３によってＸ
ＯＲし、切換器３９９によって選択された固定マスク値
ＦＭｏｕｔ_ｈとＸＯＲ３７３の出力とをＸＯＲ３８３に
よってＸＯＲして暗号文を生成する。

【００７３】ここで、ＦＭ_ｉ，ｈ、ＦＭｉｎ_ｈ、および
ＦＭｏｕｔ_ｈは、固定マスク値である。Ｓ
_{ｉ，ｊ，ｈ}は、固定のＳｂｏｘである。これらの固定マ
スク値およびＳｂｏｘ値は予め求められる。従って、固
定マスク値法では通常の乱数マスク値法における逐次計
算が不要なので、処理が高速化される。さらに、予め求
めた固定マスク値およびＳｂｏｘの変換テーブルを、例
えば図２１のＲＡＭ１６２および図２４のＲＡＭ２６２
のようなＲＡＭにではなくて、図２１のＲＯＭ１６４お
よび図２４のＲＯＭ２６４のようなＲＯＭに格納するこ
とによって、実装に必要なＲＡＭ領域を大幅に節約でき
る。このような必要なＲＡＭ量の節約は、ほんの１２８
バイトのＲＡＭ領域しか持っていない低コストのスマー
トカードへの実装に有利である。

【００７４】図２７の暗号化装置３００に入力平文が供
給されると、内部の乱数発生器３０３によって０≦ｈ≦
ｑ−1を満たす乱数ｈが生成される。その生成された乱
数ｈに従って、図２７に示す全ての切換器３０５、３２
９、３３９、３７９および３９９において、ｑ個の入力
値の中からｈ番目のものが選択されて供給される。図２
８は図２７におけるＳｕｂｂｙｔｅ３３４の構成を例示
している。Ｓｈｉｆｔ３３５は図１６に例示されている
ものを、Ｍｉｘｅｄｃｏｌｕｍｎ３３６は図１７に例
示されているものを用いる。図２８のＳｕｂｂｙｔｅに
おいて用いられるＳｂｏｘＳ_{ｉ，ｊ，ｈ}は、図１６に
示されている通常のラインデール法のＳｕｂｂｙｔｅの
ＳｂｏｘであるＳを用いて次の式（１０）で表される。

【数１０】

【００７５】式（１０）におけるａ_{ｉ，ｊ，ｈ}およびｂ
_{ｉ，ｊ，ｈ}は、式（９）のｒｉ_ｉ， _ｊおよびｒｏｉ
_ｉ，ｊにそれぞれ対応し、それぞれｉ番目のラウンドの
Ｓｕｂｂｙｔｅの入力および出力のマスク値に対応す
る。ａ_{ｉ，ｊ，ｈ}は、入力マスク値なので、そのＳｕｂ
ｂｙｔｅより前のマスク値および処理等によって一意的
に決まる。一方、ｂ_{ｉ，ｊ，ｈ}は任意に設定可能であ
る。

【００７６】図２７の暗号化装置３００処理のフローを
ステップ［１３０１］〜［１３１４］に示す。ステップ
［１３０３］〜［１３０９］は図２８の第ｉ段における
処理である。ステップ［１３１０］〜［１３１４］は図
２７の第Ｎ−１段における処理である。［１３０１］ｉ＝０とセットする。［１３０２］入力平文を受け取り、次いで乱数発生器
３０３によって乱数ｈ（０≦ｈ≦ｑ−1）が発生され
る。この乱数ｈは後のステップで使用される。［１３０３］入力平文に対して、固定マスク値の集合
｛ＦＭｉｎ_０，・・・，ＦＭｉｎ_ｑ−1｝の中からＦＭ
ｉｎ_ｈを切換器３０５によって選択した後、ＸＯＲ３０
２によって入力平文とＦＭｉｎ_ｈをＸＯＲする。ＸＯＲ
３０２の出力を中間データＸとする。［１３０４］固定マスク値の集合｛ＦＭ_ｉ，０，・・
・，ＦＭ_{ｉ，ｑ−1}｝の中からＦＭ_ｉ，ｈを切換器３２
９によって選択して、拡大鍵Ｋ_ｉ、中間データＸおよび
ＦＭ_ｉ，ｈに対してＸＸＯＲＫ_ｉＸＯＲＦＭ_ｉ，ｈを演
算し、その演算結果を新しい中間データＸとする。［１３０５］Ｓｕｂｂｙｔｅ３３４において、中間デ
ータＸに対して、切換器３３９によって乱数ｈに従って
選択された非線形変換テーブルＳ_{ｉ，ｊ，ｈ}（ｘ）に従
ってサブバイト処理する。その演算結果を新しい中間デ
ータＸとする。［１３０６］Ｓｈｉｆｔ３３５において中間データＸ
をシフトする。そのシフトされたデータを新しい中間デ
ータＸとする。［１３０７］Ｍｉｘｅｄｃｏｌｕｍｎ３３６において
中間データＸをミクストコラム処理する。その処理結果
を新しい中間データＸとする。［１３０８］ｉ：＝ｉ＋１とセットする。［１３０９］ｉ＜ N−１の場合は［１３０３］に戻
る。それ以外は次のステップに進む。［１３１０］乱数ｈに従って固定マスク値の集合｛Ｆ
Ｍ_{Ｎ−１，０}，・・・，ＦＭ_{Ｎ−１，ｑ−1}｝の中から
ＦＭ_{Ｎ−１，ｈ}を切換器３２９によって選択して、拡大
鍵Ｋ_Ｎ−１、中間データＸおよびＦＭ_{Ｎ−１，ｈ}に対し
て、ＸＸＯＲＫ_Ｎ _−１ＸＯＲＦＭ_{Ｎ−１,ｈ}を演算す
る。その演算結果を新しい中間データＸとする。［１３１１］切換器３３９によって選択された非線形
変換テーブルＳ_Ｎ−１, _ｊ，ｈ（ｘ）に従ってサブバイ
ト処理を行う。その処理結果を新しい中間データＸとす
る。［１３１２］Ｓｈｉｆｔ３３５において中間データＸ
をシフトする。そのシフトされたデータを新しい中間デ
ータＸとする。［１３１３］乱数ｈに従って固定マスク値の集合｛Ｆ
Ｍ_Ｎ，０，・・・，ＦＭ _{Ｎ，ｑ−1}｝の中から切換器３
７９によってＦＭ_Ｎ，ｈを選択して、その中間データ
Ｘ、拡大鍵Ｋ_NおよびＦＭ_Ｎ，ｈに対して、ＸＸＯＲＫ_N
ＸＯＲＦＭ_Ｎ,ｈを演算する。その演算結果を新しい中
間データＸとする。［１３１４］乱数ｈに従って固定マスク値の集合｛Ｆ
Ｍｏｕｔ_０，・・・，ＦＭｏｕｔ_ｑ−1｝の中からＦＭ
ｏｕｔ_ｈを切換器３９９によって選択して、中間データ
ＸとＦＭｏｕｔ_ｈをＸＯＲし、その演算結果を出力暗号
文Ｘｏｕｔ’として供給する。

【００７７】図２９は、ラインデール法に固定マスク値
法を適用した別の暗号化装置４００を例示している。但
し、図２９において、図２１におけるプロセッサ１５
０、メモリ１６０、１６２および１６４は簡単化のため
に省略されている。図２９の構成は、その各ラウンド関
数における各Ｓｕｂｂｙｔｅ３３４に結合された切換器
３３９に供給されるＳｂｏｘが互いに同じである以外
は、図２７と同じであり、同じ構成要素については再び
説明はしない。図３０は図２９におけるＳｕｂｂｙｔｅ
３３４の構成を例示している。マスク値ＦＭ_ｉ，ｈは、
任意のｈ＝０，１，・・・，ｑ−1について次の式（１
１）を満たす。

【数１１】

【００７８】ここで、C_ｈおよび D_ｈは、１６バイトの
定数であり、1バイト定数ｃ_ｈ，ｊおよびｄ_ｈ，ｊ（ｊ
＝０，１，・・・，１５）をそれぞれ用いて、次の式
（１２）のように記述される。

【数１２】

【００７９】図２９の暗号化装置４００において、サブ
バイト処理Ｓｕｂｂｙｔｅ３３４は、切換器３３９によ
って選択された１６個のＳｂｏｘ、Ｓ_０，ｈ、Ｓ
_１，ｈ、・・・、Ｓ_１５，ｈを用いて、図３０に示す非
線形変換処理を行う。1６個のＳ _ｊ，ｈはＤＰＡ対策な
しの通常のラインデール法におけるＳであり、および式
（１２）におけるｃ_ｈ，ｊ、ｄ_ｈ，ｊを用いて、Ｓ
_ｊ，ｈ（ｘ）＝Ｓ（ｘＸＯＲｃ _ｈ,ｊ）ＸＯＲｄ_ｈ，ｊ
と表される。

【００８０】図２９の暗号化装置４００の処理フローに
おいては、図２７の暗号化装置４００の処理フローにお
けるステップ［１３０５］および［１３１１］におい
て、切換器３３９によって乱数ｈに従って1６個のＳｂ
ｏｘ、Ｓ_0,ｈ、Ｓ_1,ｈ、・・・、Ｓ_１５,ｈの中から選
択された非線形変換テーブルＳ_ｊ，ｈに従ってサブバイ
ト処理する。

【００８１】図２７の暗号化装置３００ではＳｕｂｂｙ
ｔｅ３３４のテーブルが各ラウンドで異なるのに対し
て、図２９の暗号化装置４００では全てのラウンドで共
通のテーブルが使用される。これが可能な理由を説明す
る。まず、通常のラインデール処理におけるＳｕｂｂｙ
ｔｅ（図１６）への入力値をＸと表す。これに対し、図
３０のＳｕｂｂｙｔｅ処理の入力値はＸＸＯＲＣ_ｈと表
すことができる。これは、マスク値の間に式（１１）の
関係が成立するからである。Ｃ_ｈは段数ｉとは関係ない
定数なので、式（１０）におけるＳ_{ｉ，ｊ，ｈ}（ｘ）＝
Ｓ（ｘＸＯＲａ_ｉ _，ｊ，ｈ）ＸＯＲｂ_{ｉ，ｊ，ｈ}に対し
て、ａ_{ｉ，ｊ，ｈ}を段番号ｉに関係ない定数に設定でき
る。また、ｂ_{ｉ，ｊ，ｈ}は、任意の定数なので、ｉに関
係ない定数に設定できる。よって、図３０に示すように
Ｓ_ｊ，ｈ（ｘ）＝Ｓ（ｘＸＯＲｃ_ｈ _，ｊ）ＸＯＲｄ
_ｈ，ｊで表される段数ｉに無関係なＳｂｏｘを用いたサ
ブバイト処理が可能となる。従って、図２９の暗号化装
置４００で用いられるＳｂｏｘに必要な使用ＲＯＭ量
は、図２７の暗号化装置３００の場合の１／Ｎとするこ
とができる。

【００８２】さらに、図２９の暗号化装置４００におい
て、マスク値C_ｈおよびD_ｈに関する条件式（１２）に、
次の式（１３）に示す条件を加えることによって、使用
するＳｂｏｘの数（種類の数）を相異なる１６セットか
らほんの１セットに減らすことができる。

【数１３】

【００８３】即ち、図２９の暗号化装置４００で用いら
れるＳｂｏｘに必要な使用ＲＯＭ量は、図２７の暗号化
装置３００の場合の１／１６とすることができる。以上
から、式（１３）を満たす図２９の暗号化装置４００を
用いることによって、Ｓｂｏｘに必要なＲＯＭ領域を図
２７の暗号化装置３００を用いた場合の1／（１６Ｎ）
とすることができる。

【００８４】また、図２９の暗号化装置４００では入力
側および出力側においてＦＭｉｎ_ｈおよびＦＭｏｕｔ_ｈ
をそれぞれＸＯＲしているが、この処理は安全性に寄与
しないことが判明しているので、省略できる。さらに、
マスク済みの鍵Ｋ_ｉＸＯＲＦＭ_ｉ，ｈの値を用いること
によって、鍵Ｋ_ｉと固定マスク値ＦＭ_ｉ,ｈとのＸＯＲ
演算を省略できる。これらの省略によって、切換器によ
る処理が少し増加するだけなので、ＤＰＡ対策のないラ
インデール法の場合とほぼ同じ計算量で固定マスク値法
を適用したラインデール法が実現できる。

【００８５】図３１は、図２４の第２のタイプの暗号化
装置２００の一例を示しており、ラインデール法に固定
マスク値法を適用した別の暗号化装置５００を例示して
いる。但し、図３１において、図２４におけるプロセッ
サ２５０、メモリ２６０、２６２および２６４は簡単化
のために省略されている。図３１において、暗号化装置
５００は、乱数ｈを発生する乱数発生器５０３と、乱数
ｈに従って切換えを行う切換器５０２および５０４と、
切換器５０２および５０４によって乱数ｈに従って選択
される互いに並列に結合された第０〜第ｑ−１のｑ個の
暗号処理部５１１〜５１３と、を含んでいる。

【００８６】暗号処理部５１１〜５１３の各々は、入力
Ｘｉｎ’を受け取って出力Ｘｏｕｔ’を生成する複数段
の暗号化処理段５３０（段ｉは０≦ｉ≦Ｎ−２）と、前
段の出力を入力として受取りその入力を暗号化して出力
Ｘｏｕｔ’を生成する第Ｎ−１段の暗号化処理段と５３
１、を含んでいる。第０段〜第Ｎ−２段の暗号化処理段
５３０は、固定マスク値、ＸＯＲ５２３、それぞれのＳ
ｕｂｂｙｔｅ５２５、Ｓｈｉｆｔ５２６およびＭｉｘｅ
ｄｃｏｌｕｍｎ５２７を有し、それぞれの固定マスク値
および固定Ｓｂｏｘに従って暗号化を行う。第０段の暗
号化処理段５３０の前にはＸＯＲ５２１が結合されてい
る。第Ｎ−１段の暗号化処理段５３１は、固定マスク
値、ＸＯＲ５２３、５２８および５２９、Ｓｕｂｂｙｔ
ｅ５２５およびＳｈｉｆｔ５２６を有し、それぞれの固
定マスク値および固定Ｓｂｏｘに従って暗号化を行う。
図３１では、鍵Ｋ_ｉとＦＭ_ｊ，ｈとがＸＯＲされたＫ_ｉ
ＸＯＲＦＭ_ｊ，ｈの値が直接供給されるように示されて
いるが、図２９の場合と同様に鍵Ｋ_ｉとＦＭ_ｊ，ｈとが
ＸＯＲによってＸＯＲされてＸＯＲ５２３〜５５３の入
力に供給されるようにしてもよい。図３１においては、
図２９の場合と同様にＦＭｉｎ_ｈとＦＭｏｕｔ_ｈとを省
略できる。

【００８７】図３１の暗号化装置５００においても、図
２９の暗号化装置４００の場合と同様に全てのラウンド
で同じＳｂｏｘを使用しており、式（１３）の条件を満
たすようにすれば、図２９の暗号化装置４００の場合と
同様のＲＯＭの削減が可能となる。暗号化装置５００の
計算量は、暗号化装置４００の場合より切換器が少ない
だけ有利であり、ＤＰＡ対策のないラインデール法とほ
ぼ同じ計算量となる。但し、図３１の暗号化装置５００
は、図２９の暗号化装置４００の場合よりもシフトおよ
びミクストコラム処理の数が増えるので、暗号化装置５
００の方が回路のサイズが大きくなる。なお、暗号化装
置５００には２つの選択器５０２および５０４が存在す
るが、左右の切換器５０２および５０４のうち一方だけ
で切換えてもよい。そのような場合、他方の選択器は省
略できる。

【００８８】図２９および図３１の暗号処理装置におい
ては同じ処理が異なる構成で行われるだけなので、安全
性は共に同じである。

【００８９】次に、固定マスク値法の安全性について説
明する。図２７の暗号化装置では、固定マスクの数ｑが
充分大きい場合は、乱数マスク値法と実質的に同じ動作
になるので、同様に高い安全性を有する。乱数マスク値
法におけるほんの１ラウンドに簡略化された暗号関数に
ついて安全性が証明できるので、各ラウンドに同じＳｂ
ｏｘを使用する図２９および３１の暗号化装置４００お
よび５００についても同様に安全性が証明できる。

【００９０】次に、ｑが小さい場合の固定マスク値法の
安全性を説明する。ｑ＝１では安全でないことが分かっ
ている。次に小さいｑ＝２の場合の安全性を評価する。
図２９および３１の暗号化装置４００および５００にお
いて、ｑ＝２とし、式（１３）に従ってＳｕｂｂｙｔｅ
において１セット（種類）だけのＳｂｏｘを用い、かつ
ＦＭｉｎ_ｈおよびＦＭｏｕｔ_ｈを省略した最も単純な場
合においても、ｃ_０， _ｊ、ｃ_１，ｊ、・・・、ｃ
_{ｑ−２，ｊ}に関して次の式（１４）または式（１５）の
条件を設定し、ｄ_０，ｊ、ｄ_１，ｊ、・・・、ｄ
_{ｑ−２，ｊ}に関して次の式（１６）の条件に設定するこ
とによって、ＤＰＡに対する安全性を高めることができ
る。

【００９１】ｑ＝２、Ｓｂｏｘのセット（種類）の数が
１、全てのｊ＝０、１、・・・、１５について

【数１４】ｑ≧２、Ｓｂｏｘのセットの数が１、全てのｊ＝０、
１、・・・、１５について

【数１５】ｑ≧２、Ｓｂｏｘ数が１、全てのｊ＝０、１、・・・、
１５について

【数１６】ここで、（）_２は２進法の値を表す。

【００９２】ＤＰＡは、図９の測定対象点Ａにおける所
定タイミングで行われる場合と、測定対象点ＢおよびＣ
における所定タイミングで行われる場合とがある。図２
９および３１の暗号化装置４００および５００が安全で
あることを説明する。ビット（ｘ，ｅ）はｘの第ｅ桁の
ビット値を表す。

【００９３】攻撃者は、鍵の推定のために以下の（ｉ）
および（ｉｉ）の処理を行う。（ｉ）ＤＰＡを用いて、チェックする仮の鍵（可能な
鍵）の数を限定する。（ｉｉ）（ｉ）で限定された数の仮の鍵について、プロ
セッサ内部で用いられている真の鍵と値が一致するかど
うかをチェックすることによって鍵を推定する。１つの
仮の鍵すなわち１つのパターンの鍵をチェックするため
の計算の量を１単位（サイクル）とする。

【００９４】上述の鍵の値のチェックは、暗号プロセッ
サの平文と暗号文の関係を調べることによって実現でき
る。即ち、暗号化プロセッサにより平文を暗号化した場
合と、ソフトウェアなどの別の手段によって、そのチェ
ックされる仮の鍵の値を用いてその平文を暗号化した場
合とを比較する。平文と暗号文の関係が両方の暗号化で
一致した場合は、その仮の鍵の値が暗号プロセッサ内部
で用いられていると判定する。両者が一致しない場合は
その仮の鍵は用いられていないと判定する。

【００９５】ＤＰＡを用いて１２８ビットの鍵を推定す
るのに必要な計算量の例を示す。例えば、ＤＰＡを行っ
ても１２８ビット鍵に関する有益な情報を得られなかっ
た場合は、１２８ビット鍵の全ての可能なパターンをチ
ェックする必要があるので、必要な計算量は２^１２８単
位である。例えば、ＤＰＡによって１２８ビット鍵の最
下位ビット（ＬＳＢ）が０であることが分かった場合
は、その鍵の残りの１２７上位ビット（ＭＳＢｓ）の全
ての可能なパターンをチェックすればよいので、必要な
計算量は２^１２７単位である。

【００９６】次に、Ｓｂｏｘの出力のＤＰＡに対する安
全性について、図９の測定対象点ＡにおけるＤＰＡを図
２９および３１の暗号化装置４００および５００に対し
て適用した場合について説明する。図２９および３１の
第０段のＳｕｂｂｙｔｅにおいて、それぞれのＳｂｏｘ
の出力値がロードされるタイミングにおいてＤＰＡを適
用すると、鍵Ｋ_ｉは２^{８（１６−F）}＝２^{１２８−８Ｆ}
に比例した計算量で解読できることが分かっている。こ
こで、F＝ｆ₀＋ｆ₁＋・・・＋ｆ_１５である。ｆ_ｊは、
次のように定義される。ｊ（ｊ＝０，１，・・・，1
５）番目のＳｂｏｘの出力マスク値をｄ_０，ｊ、ｄ
_１，ｊ、・・・、ｄ_{ｑ−１，ｊ}としたときに、

【数１７】

【００９７】よって、ｊ＝０，１，・・・，１５の全て
についてｆ_ｊ＝０の場合に、暗号化装置はＤＰＡに対し
て最も安全である。そのためには、全てのｊ＝０，１，
・・・，１５について、ＷＤ_ｊ＝（１１１１１１１１）
_２でなければならない。このとき、ＤＰＡを用いて鍵を
求めるのに必要な計算量は最大の２^１２８となる。

【００９８】次に、鍵ＸＯＲの出力（図９の測定対象点
Ｂ）またはＳｂｏｘへの入力（図９の測定対象点Ｃ）に
おけるＤＰＡに対する安全性を説明する。図９の測定対
象点ＢおよびＣにおける所定タイミングにおけるＤＰＡ
に対する安全性は、暗号プロセッサでＲＡＭへのロード
が行われた時の測定電圧とロード値との関係がどのよう
なモデルを用いて近似できるかによって異なる。まず、
任意モデルの場合のＤＰＡを考え、その後で式（６）で
表される隣接ビット・モデルの場合のＤＰＡを考える。

【００９９】任意モデルの場合について、図９の測定対
象点BおよびCにおける所定タイミングにおけるＤＰＡ
を、式（１３）によってサブバイト処理で用いられるＳ
ｂｏｘの数を１つ（１セット）だけとした図２９および
３１の暗号化装置４００および５００に対して適用した
場合について説明する。第０段のＳｕｂｂｙｔｅ処理に
おいて、それぞれの鍵ＸＯＲの出力値がロードされるタ
イミングにおいてＤＰＡを適用すれば、鍵Ｋ_ｉは２
^{１２８−（１５／１６）Ｈ}に比例した計算量で解読でき
ることが分かっている。ここで、Ｈ＝ｈ₀＋ｈ_１＋・・
・＋ｈ_１５である。ｈ _ｊは次のように定義される。ｊ
（ｊ＝０，１，・・・，１５）番目のＳｂｏｘの入力
マスク値をｃ_0,ｊ、ｃ_１，ｊ、・・・、ｃ_{ｑ−１，ｊ}と
したときに、

【数１８】

【０１００】即ち、ｊ＝０，１，・・・，１５について
ｈ_ｊ＝０の場合がＤＰＡに対して最も安全である。その
ためには、全てのｊ＝０，１，・・・，１５についてＷ
Ｃ_ｊ＝（１１１１１１１１）_２でなければならない。こ
のとき、ＤＰＡを用いて鍵を求めるのに必要な計算量は
最大の２^１２８になる。

【０１０１】次に、隣接ビット・モデルの場合につい
て、ｑ＝２かつ式（１３）によりサブバイト処理で用い
るＳｂｏｘのセット（種類）の数を１に限定し、式
（６）で表される隣接ビット・モデルを適用した場合に
ついて説明する。隣接ビット・モデルは、低コストのス
マートカードにおける電圧を近似するのに適したモデル
として知られており、このモデルが適用できる場合は、
上述の任意モデルでは解読できない鍵情報を解読でき
る。図２９および３１の暗号化装置４００および５００
における第０段のＳｕｂｂｙｔｅ処理において、それぞ
れのＳｂｏｘの入力値がロードされるタイミング（図９
の測定対象点Cにおける所定タイミング）にＤＰＡを適
用することによって、鍵Ｋ_ｉを２
^{１２８−（１５／１６）Ｈ}に比例した計算量で解読でき
る。ここで、Ｈ＝ｈ₀＋_１＋・・・＋ｈ_１５である。
ｈ_ｊは、次のように定義される。ｊ番目のＳｂｏｘの入
力マスク値をｃ_０，ｊおよび c_１ _，ｊとしたときに、

【数１９】ここで、ｗｃ_ｊ，ｅ＝０または１である。ｊはＳｂｏｘ
の序数（番号）を表す。ｅはビット位置を表す。

【０１０２】Ｓｂｏｘの数は１なので、条件式（１４）
がｃ_０，ｊＸＯＲｃ_１，ｊ＝（０１０１０１０１）_２ま
たは（１０１０１０１０）_２である場合は、Ｈは最小値
６４となり、ＤＰＡを用いて鍵を求めるのに必要な計算
量は最大でも２^６８である。

【０１０３】以上のように、ｃ_0，ｊ、ｃ_１，ｊ、・・
・、ｃ_{ｑ−１，ｊ}に関して条件式（１４）または式（１
５）を満たし、かつｄ_0，ｊ、ｄ_１，ｊ、・・・、ｄ
_ｑ−１ _，ｊについて式（１６）の条件を満たすことによ
って、本発明による固定マスク値法を適用した暗号化装
置に対してＤＰＡを用いて１２８ビットのラインデール
法の秘密鍵を求める場合、表１および表２に示すように
２^１２８または２^６８に比例した計算量が必要となる。
但し、ＤＰＡに対する計算量についての安全性の閾値は
２^６４である。なお、計算量２^６８は鍵の全てのビット
・パターンを計算する場合の計算量２^１２８と比較する
と小さいが、そのような鍵は実際の制限された時間内で
解読することは実際上不可能である。従って、本発明に
よる固定マスク値法を適用した暗号プロセッサに対して
ＤＰＡを用いた場合も秘密鍵の解読は実際上不可能であ
る。

【０１０４】

【表１】

【０１０５】

【表２】

【０１０６】従って、固定マスク値法の安全性は次の通
りである。１．２以上のｑについて、固定マスク値法は、Ｓｂｏｘ
出力値のロードに対するＤＰＡに対して、式（１６）の
条件を満たせば、鍵の推定に計算量２^１２８が必要なの
で、安全である。この計算量は鍵の全ての可能なパター
ンをチェックする場合の計算量と同じである。

【０１０７】２．２以上のｑについて、式（１３）の条
件を満たす場合、固定マスク値法は、Ｓｂｏｘ入力値ロ
ードに対するＤＰＡに対して、隣接ビット・モデルでな
い任意のモデルについて式（１５）の条件を満たせば、
鍵の推定に計算量２^１２８が必要なので、安全である。

【０１０８】３．ｑ＝２について、式（１３）の条件を
満たす場合、固定マスク値法は、Ｓｂｏｘ入力値ロード
に対するＤＰＡに対して、隣接ビットモデルについて条
件式（１４）のｃ_０，ｊＸＯＲｃ_１，ｊ＝（０１０１０
１０１）_２または（１０１０１０１０）_２を満たせば、
鍵の推定に計算量２^６８が必要なので、有限時間内での
推定は実際上不可能であり、従って安全である。

【０１０９】４．ｑ≧３について、必要なＲＯＭ容量は
増加するが、固定マスク値法は、ｑ＝２と同じ解析方法
が適用できないため、上述の２の場合と同様に式（１
５）の条件を満たせば、、隣接ビット・モデルと任意モ
デル鍵の双方とも鍵の推定に計算量２^１２８が必要なの
で、安全である。

【０１１０】５．上述の３の場合において、条件式（１
４）はＳｂｏｘのセットの数を１つに限定している（ｑ
＝２なので出力値の数は２個）が、Ｓｂｏｘのセットの
数を相異なるｎ個とするとＲＯＭ容量はｎ倍となるが、
計算量は２^{８（ｎ−１）}×n^１ ^６倍必要となる。

【０１１１】本発明による固定マスク値法は、上述のラ
インデール法のようなＳＰＮ型の暗号以外に、ＤＥＳの
ようなフェイステル（Feistel）型の暗号にも適用でき
る。図３２（Ａ）は通常のＤＥＳによる暗号化の構成を
示している。図３２（Ｂ）は図３２（Ａ）におけるＦ関
数のより詳細な構成を示している。図３２（Ｂ）におい
て、Ｆ関数は、線形変換ＥおよびＰと、非線形変換テー
ブルＳ_１〜Ｓ_８を有する非線形変換Ｓ_１〜Ｓ_８とを有す
る。

【０１１２】図３３（Ａ）は、図２１の第１のタイプの
暗号化装置１００の一例を示しており、図２９の暗号化
装置４００に類似した形態で固定マスク値法を図３２の
ＤＥＳによる暗号化に適用した暗号化装置７００を示し
ている。図３３（Ｂ）は図３３（Ａ）におけるＦ関数の
より詳細な構成を示している。但し、図３３（Ａ）にお
いて、図２１におけるプロセッサ１５０、メモリ１６
０、１６２および１６４は簡単化のために省略されてい
る。

【０１１３】暗号化装置７００は、乱数ｈを発生する乱
数発生器７０１と、その乱数ｈ従って固定マスク値ＦＭ
ｉｎ_ｈの中の１つを選択して供給する選択器７０２と、
入力平文と選択された固定マスク値ＦＭｉｎ_ｈとをＸＯ
ＲするＸＯＲ７１２と、入力を受取って乱数ｈおよび拡
大鍵Ｋｉに従って入力を暗号化して出力を生成する複数
（例えば１６段）のＦ関数暗号化処理段７１０〜７２０
と、その乱数ｈ従って固定マスク値ＦＭｏｕｔ_ｈの中の
１つを選択して供給する選択器７０４と、Ｆ関数暗号化
処理段７２０の出力と選択された固定マスク値ＦＭｏｕ
ｔ_ｈとをＸＯＲして暗号文を生成するＸＯＲ７１４と、
を含んでいる。Ｆ関数暗号化処理段７１０〜７２０の各
々は、前段のＸＯＲ出力を受け取って図３３（Ｂ）に示
されたＦ関数を実行し、その出力と前段の出力をＸＯＲ
（７２２〜７２３）によってＸＯＲして出力を供給す
る。

【０１１４】図３３（Ｂ）のＦ関数は、乱数ｈに従って
選択された固定マスク値ＦＭ_ｉ，ｈを供給する選択器７
５９と、拡大鍵Ｋ_ｉと固定マスク値ＦＭ_ｉ，ｈをＸＯＲ
して出力を供給するＸＯＲ７６２、その出力の値と線形
変換Ｅによって線形変換された入力Ｘｉ’とをＸＯＲす
るＸＯＲ７６３と、その乱数ｈに従ってサブバイト処理
ＳｕｂｂｙｔｅＳ_ｉ，ｈ中の１つを選択してＸＯＲ７６
３の出力を供給する選択器７５２および７５６と、非線
形テーブルＳｂｏｘＳ_ｉ，ｈに従ってサブバイト処理す
るＳｕｂｂｙｔｅＳ_ｉ，ｈと、その乱数ｈに従ってサブ
バイト処理Ｓ_ｉ _，ｈ中の１つを選択してその出力を供給
する選択器７５４および７５７と、選択器７５４および
７５７の出力を線形変換して出力Ｚｉ’を供給する線形
変換Ｐとを含んでいる。

【０１１５】図２１におけるプロセッサ１５０は、メモ
リ１６０に格納されているプログラムに従って図３３の
暗号化装置７００の諸処理要素７０１〜７６３等を制御
する。代替構成として、プロセッサ１５０は、諸処理要
素７０１〜７６３等に対応する機能を実装したメモリ１
６０中のプログラムを実行することによって諸処理要素
７０１〜７６３等を実現してもよい。この場合、図３３
はフロー図として見ることができる。

【０１１６】図３４（Ａ）は、図２４の第２のタイプの
暗号化装置２００の一例を示しており、図３１の暗号化
装置５００に類似した形態で固定マスク値法を図３２の
ＤＥＳによる暗号化に適用した暗号化装置８００を示し
ている。図３４（Ｂ）は図３４（Ａ）におけるＦ関数の
より詳細な構成を示している。但し、図３４（Ａ）にお
いて、図２４におけるプロセッサ２５０、メモリ２６
０、２６２および２６４は簡単化のために省略されてい
る。

【０１１７】図３４（Ａ）において、暗号化装置８００
は、乱数ｈを発生する乱数発生器８０１と、乱数ｈに従
って切換えを行う切換器８０２および８０４と、切換器
８０２および８０４によって乱数ｈに従って選択される
複数の暗号処理部８２０〜８３０と、を含んでいる。

【０１１８】図２４におけるプロセッサ２５０は、メモ
リ２６０に格納されているプログラムに従って図３４の
暗号化装置８００の諸処理要素８０１〜８６２等を制御
する。代替構成として、プロセッサ１５０は、諸処理要
素８０１〜８６２等に対応する機能を実装したメモリ１
６０中のプログラムを実行することによって諸処理要素
８０１〜８６２等を実現してもよい。この場合、図３４
はフロー図として見ることができる。

【０１１９】暗号処理部８２０〜８３０の各々は、入力
を受け取って出力を生成する複数段（例えば１６段）の
Ｆ関数暗号化処理段８４０〜８５０を含んでいる。Ｆ関
数暗号化処理段８４０〜８５０の各々は、前段のＸＯＲ
出力を受け取ってＫｉＸＯＲＦＭ_ｉ，ｈに従って図３４
（Ｂ）に示されたＦ関数を実行し、そのＦ関数の出力と
前段の出力をＸＯＲ（８２２〜８２３）によってＸＯＲ
して出力を供給する。

【０１２０】図３４（Ｂ）のＦ関数は、拡大鍵Ｋ_ｉと固
定マスク値ＦＭ_ｉ，ｈのＸＯＲ値と線形変換Ｅによって
線形変換された入力Ｘｉ’とをＸＯＲするＸＯＲ８６２
と、非線形テーブルＳｂｏｘＳ_ｉ，ｈによるサブバイト
処理ＳｕｂｂｙｔｅＳ_ｉ，ｈ（ｉ＝１，２，・・・，
８）と、サブバイト処理Ｓ_ｉ，ｈの出力を線形変換して
出力Ｚｉ’を供給する線形変換Ｐとを含んでいる。

【０１２１】図３３および３４において、ラインデール
法の場合と同様に入力マスクＦＭｉｎは省略できるが、
ラインデール法と同様な手法ではＦＭｏｕｔは省略でき
ない。図３５は、フェイステル型暗号化装置における複
数の段の間のマスクの影響の伝播を示している。図３５
において太線はマスクされている経路を示している。Ｆ
Ｍｏｕｔが省略できない理由は、図３５に示されている
ように、フェイステル型の暗号では或る段でマスクされ
たデータ（Ａ）が、次段（Ｂ）だけでなくそれ以降の段
（Ｃ）へも影響するからである。

【０１２２】従って、フェイステル型暗号では、前段の
マスク値を次段で完全にキャンセルできない。図３６
は、フェイステル型暗号化装置におけるマスク発生から
マスク値キャンセルまでの経路を示している。図３６に
おいて、太線はマスクされている経路を示している。フ
ェイステル型暗号ではマスクを行ってからマスク値をキ
ャンセルするまでには図３６に示されているように４段
以上必要であり、４段以上にわたってマスク値をキャン
セルできる。このマスク値キャンセルの手法は、ＳＰＮ
型暗号化におけるように非線形変換の出力マスクが任意
選択可能であることを利用するのでなくて、図３６に示
されているように前段からのマスクと等しい出力マスク
を生成して、フェイステル型暗号化におけるＸＯＲによ
ってキャンセルするものである。

【０１２３】この方法を用いれば暗号化処理最後のマス
クＦＭｏｕｔが不要になる。この手法をＤＥＳ等の４ラ
ウンド以上の暗号に適用する場合は、４ラウンドでキャ
ンセルするような固定マスク値の構成を繰り返してもよ
いし、または全ラウンドの最後でキャンセルするような
固定マスク値を用いてもよい。

【０１２４】上述の実施形態においては、全てのラウン
ドに対して固定マスク値法を適用する場合について説明
した。しかし、ＤＰＡが可能となる条件で述べたよう
に、ＤＰＡが成功するためには入力値が既知でかつ攻撃
者がその値を制御可能でなければならない。従って、暗
号化処理の最初の数ラウンドに対して固定値マスク法を
適用すれば、その後のラウンドはその入力が未知でかつ
制御不可能なのでＤＰＡ対策は不要となる。それによっ
て暗号化対策に必要な処理を削減できる。

【０１２５】表３は、ラインデール法の実装における固
定マスク値法を用いた暗号化の結果と、ＤＰＡ対策なし
の通常の暗号化、および従来の乱数マスク値法を用いた
暗号化との比較を示している。表３において、Ｓは対策
なしの場合の処理時間を表し、Ｒは対策なしの場合の必
要なＲＡＭ量を表し、Ｍは対策なしの場合の必要なＲＯ
Ｍ量を表す。但し、Ｒ≪Ｍである。安全性は攻撃者が鍵
を推定するのに必要なチェックすべき可能な鍵の数で表
される。

【表３】

【０１２６】表４は、ＤＥＳの実装における固定マスク
値法を用いた暗号化の結果と、ＤＰＡ対策なしの通常の
暗号化、および従来の乱数マスク値法を用いた暗号化と
の比較を示している。

【表４】

【０１２７】表３および表４より、乱数マスク値法では
処理時間が長く大きいＲＡＭ量を必要とするのに対し
て、固定マスク値法では、２〜３倍のＲＯＭ量を必要と
するが大きいＲＡＭ領域を必要とせずに、対策なしの場
合とほぼ同じ程度の処理時間で充分な安全性が確保でき
る。

【０１２８】上述の実施形態では主にラインデール法お
よびＤＥＳについて説明したが、固定マスク値法は、ラ
インデール法以外のＳＰＮ型暗号化、ＤＥＳ以外のフェ
イステル型暗号化、およびそれを組合せた型の暗号にも
適用でき同様の有効性を示す。

【０１２９】以上説明した実施形態は典型例として挙げ
たに過ぎず、その変形およびバリエーションは当業者に
とって明らかであり、当業者であれば本発明の原理およ
び請求の範囲に記載した発明の範囲を逸脱することなく
上述の実施形態の種々の変形を行えることは明らかであ
る。

【０１３０】（付記１）排他的論理和手段および非線
形変換手段を有する暗号化装置であって、乱数を発生す
る乱数発生器手段と、ｑ個の固定値（ここでｑは整数で
ある）と、前記乱数に従って前記ｑ個の固定値の中の１
つを選択する第１の選択器と、を具え、前記排他的論理
和手段は、前記選択された固定値と鍵の排他的論理和と
前記排他的論理和手段の入力の排他的論理和をとるもの
である、暗号化装置。（付記２）さらに、ｑ組（セット）のマスクされた固
定テーブルと、前記乱数に従って前記ｑ組の固定テーブ
ルの中の１組を選択する第２の選択器と、を具え、前記
非線形変換手段は前記選択された１組の固定テーブルに
従って入力を非線形変換するものである、付記１に記載
の暗号化装置。（付記３）前記第１の排他的論理和手段および前記非
線形変換手段を有する暗号化部と、前記暗号化装置への
入力と前記乱数に従って選択された或る固定値の排他的
論理和をとる第２の排他的論理和手段と、前記乱数に従
って選択された或る固定値と前記暗号化部の出力の排他
的論理和をとる第３の排他的論理和手段とを具える、付
記１に記載の暗号化装置。（付記４）排他的論理和手段および非線形変換手段を
有する暗号化装置であって、乱数を発生する乱数発生器
手段と、ｑ組のマスクされた固定テーブル（ここでｑは
整数である）と、前記乱数に従って前記ｑ組の固定テー
ブルの中の１組を選択する選択器と、を具え、前記非線
形変換手段は、前記選択された１組の固定テーブルに従
って入力を非線形変換するものである、暗号化装置。（付記５）複数の暗号化段を具え、この複数の暗号化
段の各々は、その段の、前記排他的論理和手段と、前記
固定テーブルと、前記選択器と、を有するものであり、
前記複数の暗号化段のそれぞれの前記固定テーブルは同
じものである、付記４に記載の暗号化装置。（付記６）マスクされる前の固定テーブルをＳ［ｘ］
とし、マスクされたｊ番目のテーブルをＳ_ｊ［ｘＸＯＲ
ｃ_ｉ，ｊ］ＸＯＲｄ_ｉ，ｊ（ｊ＝０，１，・・・，１
５）としたときに、（ｃ_０，ｊＸＯＲｃ_１，ｊ）∨ＸＯ
Ｒ（ｃ_１，ｊＸＯＲｃ_２，ｊ）∨・・・∨（ｃ
_{ｑ−２，ｊ}ＸＯＲｃ_{ｑ−２，ｊ}）＝（１１１１１１１
１）_２である、付記４に記載の暗号化装置。（付記７）テーブルの組の数ｑ＝２とする場合に、マ
スクされる前の固定テーブルをＳ［ｘ］とし、マスクさ
れたｊ番目のテーブルをＳ_ｊ［ｘＸＯＲｃ_ｉ，ｊ］ＸＯ
Ｒｄ_ｉ，ｊ（ｊ＝０，１，・・・，１５）としたとき
に、ｃ_０，ｊＸＯＲｃ_１，ｊ＝（１０１１０１０１
０）_２または（０１１０１０１０１）_２である、付記４
に記載の暗号化装置。（付記８）マスクされる前の固定テーブルをＳ［ｘ］
とし、マスクされたｊ番目のテーブルをＳ_ｊ［ｘＸＯＲ
ｃ_ｉ，ｊ］ＸＯＲｄ_ｉ，ｊ（ｊ＝０，１，・・・，１
５）としたときに、（ｄ_０，ｊＸＯＲｄ_１，ｊ）∨（ｄ
_１，ｊＸＯＲｄ_２， _ｊ）∨・・・∨（ｄ_{ｑ−２，ｊ}ＸＯ
Ｒｄ_{ｑ−２，ｊ}）＝（１１１１１１１１）_２である、付
記４に記載の暗号化装置。（付記９）前記非線形変換手段はサブバイト手段であ
り、さらに、入力をシフトする手段と、入力をミクスト
コラムする手段とを具える、付記４に記載の暗号化装
置。（付記１０）乱数を発生する乱数発生器手段と、並列
に結合された複数の暗号化部と、前記乱数に従って前記
複数の暗号化部の中の１つを選択する選択器と、を具
え、前記複数の暗号化部の各々は、排他的論理和手段お
よび非線形変換手段を含むものである、暗号化装置。（付記１１）前記選択された暗号化部の前記排他的論
理和手段は、固定値と鍵の排他的論理和と前記排他的論
理和手段の入力の排他的論理和をとるものである、付記
１０に記載の暗号化装置。（付記１２）前記非線形変換手段は、固定テーブルに
従って前記非線形変換手段の入力を非線形変換するもの
である、付記１０に記載の暗号化装置。（付記１３）前記複数の暗号化部の各々は、その暗号
化部への入力と固定値の排他的論理和をとる第２の排他
的論理和手段と、入力と固定値の排他的論理和をその暗
号化部の出力として生成する第３の排他的論理和手段
と、を具えるものである、付記１０に記載の暗号化装
置。（付記１４）前記選択された暗号化部の前記非線形変
換手段は、固定テーブルに従って前記非線形変換手段の
入力を非線形変換するものである、付記１０に記載の暗
号化装置。（付記１５）前記複数の暗号化部の各々は複数の暗号
化段を含んでおり、前記複数の暗号化段の各々は、その
段の、鍵と固定値の排他的論理和と入力の排他的論理和
をとる排他的論理和手段と、固定テーブルに従って入力
を非線形変換する非線形変換手段とを含むものである、
付記１０に記載の暗号化装置。（付記１６）乱数を発生する乱数発生器手段と複数の
暗号化段とを具えた暗号化装置であって、前記複数の暗
号化段の各々は、入力を非線形変換する非線形変換手段
と、第１の入力と第２の入力の排他的論理和をとる排他
的論理和手段と、を含み、前記排他的論理和手段の第２
の入力は前記非線形変換手段の出力に結合されており、
前記非線形変換手段は、ｑ個の固定値（ここでｑは整数
である）と、前記乱数に従って前記ｑ個の固定値の中の
１つを選択する選択器と、前記選択された固定値と鍵の
排他的論理和と入力の排他的論理和をとる別の排他的論
理和手段と、を有するものである、暗号化装置。（付記１７）前記非線形変換手段は、さらに、前記非
線形変換手段の内部に、固定テーブルに従って入力を非
線形変換する複数の非線形変換手段と、前記複数の非線
形変換手段の中の１つのを選択する選択器とを有するも
のである、付記１６に記載の暗号化装置。（付記１８）前記複数の暗号化段のそれぞれの前記非
線形変換手段の固定テーブルは同じである、付記１７に
記載の暗号化装置。（付記１９）前記複数の暗号化段における連続する複
数の段においてマスクをキャンセルする、付記１６に記
載の暗号化装置。（付記２０）前記複数の暗号化段において前記複数の
暗号化段の数より少ない数の暗号化段においてマスクが
行われる、付記１６に記載の暗号化装置。（付記２１）乱数を発生する乱数発生器手段と複数の
暗号化段とを具えた暗号化装置であって、前記複数の暗
号化段の各々は、入力を非線形変換する非線形変換手段
と、第１の入力と第２の入力の排他的論理和をとる排他
的論理和手段と、を含み、前記排他的論理和手段の第２
の入力は前記非線形変換手段の出力に結合されており、
前記非線形変換手段は、内部に、前記乱数に従って、固
定テーブルに従って入力を非線形変換する非線形変換手
段を有するものである、暗号化装置。（付記２２）乱数を発生する乱数発生器手段と、並列
に結合された複数の暗号化部と、前記乱数に従って前記
複数の暗号化部の中の１つを選択する選択器と、を具
え、前記複数の暗号化部の各々は複数の暗号化段を有
し、前記複数の暗号化段の各々は、入力を非線形変換す
る非線形変換手段と、第１の入力と第２の入力の排他的
論理和をとる排他的論理和手段と、を含み、前記排他的
論理和手段の第２の入力は前記非線形変換手段の出力に
結合されているものである、暗号化装置。（付記２３）前記非線形変換手段は、固定値と鍵の排
他的論理和と入力の排他的論理和をとる別の排他的論理
和手段と、前記非線形変換手段の内部に、固定テーブル
に従って入力を非線形変換する非線形変換手段と、を有
するものである、付記２２に記載の暗号化装置。（付記２４）マスクされる前の固定テーブルをＳ
_ｊ［ｘ］とし、マスクされたｊ番目のテーブルをＳ_ｊ’
［ｘＸＯＲｃ_ｉ，ｊ］ＸＯＲｄ_ｉ，ｊ（ｊ＝０，１，・
・・，７）としたときに、（ｄ_０，ｊＸＯＲｄ_１，ｊ）
∨（ｄ_１，ｊＸＯＲｄ _２，ｊ）∨・・・∨（ｄ
_{ｑ−２，ｊ}ＸＯＲｄ_{ｑ−２，ｊ}）＝（１１１１）_２であ
る、付記２２に記載の暗号化装置。（付記２５）暗号化装置において用いるための記憶媒
体に格納されたプログラムであって、乱数に従ってｑ個
の固定値の中の１つを選択するステップ（ここでｑは整
数である）と、前記選択された固定値と鍵の排他的論理
和と入力値の排他的論理和をとるステップと、前記乱数
に従ってｑ組のマスクされた固定テーブルの中の１組を
選択するステップと、前記選択された１組の固定テーブ
ルに従って入力値を非線形変換するステップと、を実行
させる、プログラム。（付記２６）暗号化装置において用いるための記憶媒
体に格納されたプログラムであって、乱数に従って複数
の暗号化手順の中の１つを選択するステップと、前記選
択された暗号化手順に従って、入力値を暗号化して出力
するステップと、を実行させ、前記暗号化するステップ
は、固定値と鍵の排他的論理和と入力値の排他的論理和
をとるステップと、１組の固定テーブルに従って入力値
を非線形変換するステップと、を含むものである、プロ
グラム。（付記２７）暗号化装置において用いるための記憶媒
体に格納されたプログラムであって、入力値を非線形変
換して出力を供給するステップと、第１の入力値と前記
出力である第２の入力値の排他的論理和をとるステップ
と、を実行させ、前記非線形変換するステップは、乱数
に従ってｑ個の固定値の中の１つを選択するステップ
（ここでｑは整数である）と、前記選択された固定値と
鍵の排他的論理和と入力値の排他的論理和をとるステッ
プと、前記乱数に関連付けられた固定テーブルに従って
入力値を非線形変換するステップと、を含むものであ
る、プログラム。（付記２８）暗号化装置において用いるための記憶媒
体に格納されたプログラムであって、乱数に従って複数
の暗号化手順の中の１つを選択するステップと、前記選
択された暗号化手順に従って、入力値を暗号化して出力
を供給するステップと、を実行させ、前記暗号化するス
テップは、入力値を非線形変換して出力を供給するステ
ップと、第１の入力値と前記出力である第２の入力値の
排他的論理和をとるステップと、を含むものである、プ
ログラム。

【０１３１】

【発明の効果】本発明は、上述の特徴によって、共通鍵
暗号を行う暗号プロセッサに対する効率的な暗号解読防
止を実現でき、秘密鍵の推定を困難にし、暗号プロセッ
サの安全性を高めることができるという効果を奏する。

【図面の簡単な説明】

【図１】図１は、図１はスマートカードにおける共通秘
密鍵を用いた暗号化の例を示している。

【図２】図２は、典型的な共通鍵暗号で用いられる鍵Ｘ
ＯＲを示している。

【図３】図３は、典型的な共通鍵暗号で用いられる線形
変換を示している。

【図４】図４は、典型的な共通鍵暗号で用いられる非線
形変換を示している。

【図５】図５は、縦続接続の形の鍵ＸＯＲ演算（図２）
と非線形変換（図４）の組合せである暗号化の例を示し
ている。

【図６】図６は、図５における任意の非線形変換要素ｗ
ｉに関係する構成要素を示している。

【図７】図７（Ａ）および（Ｂ）は、暗号化プロセッサ
がその入力平文に応答して消費する電力消費の時間変化
を表す電力消費曲線を示している。図７（Ｃ）はスパイ
クを有する電力消費曲線の差分を示している。図７
（Ｄ）はスパイクのない電力消費曲線の差分を示してい
る。

【図８】図８は、図４の暗号化器の前後に２つの線形変
換を追加した構成を有する暗号化器を示している。

【図９】図９は、図４の暗号化器における電力消費曲線
の測定対象点Ａ、ＢおよびＣを示している。

【図１０】図１０は、乱数マスク値法による処理の概要
図を示している。

【図１１】図１１は、乱数マスク値法による鍵ＸＯＲを
示している。

【図１２】図１２は、乱数マスク値法による線形関数を
示している。

【図１３】図１３は、乱数マスク値法による非線形関数
を示している。

【図１４】図１４は、ＤＰＡ対策のない通常のＮ段ライ
ンデール処理の全体的構成を示している。

【図１５】図１５は、ラインデール法の秘密鍵Ｋｓｅｃ
から拡大鍵Ｋ_０、Ｋ_１、・・・、Ｋ_Ｎを生成する拡大鍵
生成器を示している。

【図１６】図１６は、サブバイト処理Ｓｕｂｂｙｔｅの
構成を示している。

【図１７】図１７は、シフトＳｈｉｆｔの構成を示して
いる。

【図１８】図１８は、ミクストコラム処理Ｍｉｘｅｄｃ
ｏｌｕｍｎの構成を示している。

【図１９】図１９は、図１４の通常のＮ段ラインデール
法に対して、乱数マスク値法を適用したＮ段ラインデー
ル法を示している。

【図２０】図２０は、図１９の１６個のＳｂｏｘで使用
されるＮｅｗＳｂｏｘを示している。

【図２１】図２１は、本発明による第１のタイプの暗号
化装置の概略的構成を示している。

【図２２】図２２は、図２１における鍵ＸＯＲの構成を
示している。

【図２３】図２３は、図２１における非線形変換の構成
を示している。

【図２４】図２４は、本発明による第２のタイプの暗号
化装置の概略的構成を示している。

【図２５】図２５は、図２４における鍵ＸＯＲの構成を
示している。

【図２６】図２６は、図２４における非線形変換の構成
を示している。

【図２７】図２７は、図２１の第１のタイプの暗号化装
置の一例を示している。

【図２８】図２８は、図２７におけるＳｕｂｂｙｔｅの
構成を示している。

【図２９】図２９は、図２１の第１のタイプの暗号化装
置の別の例を示している。

【図３０】図３０は、図２９におけるＳｕｂｂｙｔｅの
構成を示している。

【図３１】図３１は、図２４の第２のタイプの暗号化装
置の一例を示している。

【図３２】図３２は、通常のＤＥＳの構成を示してい
る。

【図３３】図３３は、図２９の固定マスク値法をフェイ
ステル型のＤＥＳに適用した構成を示している。

【図３４】図３４は、図３１の固定マスク値法をフェイ
ステル型のＤＥＳに適用した構成を示している。

【図３５】図３５は、フェイステル型暗号化装置におけ
る暗号における段の間のマスクの伝播を示している。

【図３６】図３６は、フェイステル型暗号化装置におけ
るマスク発生からマスク値キャンセルまでの経路を示し
ている。

【符号の説明】

１００暗号化措置１０１暗号化処理部１０３乱数発生器１０４、１０５切換器１０６、１０７論理ＸＯＲ２００暗号化装置２０３乱数発生器２０８〜２０９暗号化処理部２０４、２０５論理ＸＯＲ２１１、２１３切換器３００暗号化装置３１０第ｉ段の処理３１１第Ｎ−１段の処理３０３乱数発生器３０５、３２９、３３９、３７９、３９９切換器３０２、３３１、３３３、３７１、３７３、３８３Ｏ
ＸＲ（排他的論理和）３３４Ｓｕｂｂｙｔｅ３３５Ｓｈｉｆｔ３３６Ｍｉｘｅｄｃｏｌｕｍｎ

───────────────────────────────────────────────────── フロントページの続き (72)発明者鳥居直哉神奈川県川崎市中原区上小田中４丁目１番１号富士通株式会社内Ｆターム(参考） 5J104 AA41 AA47 FA00 JA03 NA02

Claims

【特許請求の範囲】

【請求項１】排他的論理和手段および非線形変換手段
を有する暗号化装置であって、乱数を発生する乱数発生手段と、ｑ個（ｑは整数）の固
定値と、前記乱数に従って前記ｑ個の固定値の中の１つ
を選択する第１の選択器と、を具え、前記排他的論理和手段は、前記選択された固定値と鍵の
排他的論理和と前記排他的論理和手段の入力の排他的論
理和をとるものであること、を特徴とする、暗号化装
置。
【請求項２】排他的論理和手段および非線形変換手段
を有する暗号化装置であって、乱数を発生する乱数発生手段と、ｑ組（ｑは整数）のマ
スクされた固定テーブルと、前記乱数に従って前記ｑ組
の固定テーブルの中の１組を選択する選択器と、を具
え、前記非線形変換手段は、前記選択された１組の固定テー
ブルに従って入力を非線形変換するものであること、を
特徴とする、暗号化装置。
【請求項３】乱数を発生する乱数発生手段と、並列に
結合された複数の暗号化部と、前記乱数に従って前記複
数の暗号化部の中の１つを選択する選択器と、を具え、前記複数の暗号化部の各々は、排他的論理和手段および
非線形変換手段を含むものであること、を特徴とする、
暗号化装置。
【請求項４】乱数を発生する乱数発生手段と複数の暗
号化段とを具えた暗号化装置であって、前記複数の暗号化段の各々は、入力を非線形変換する非
線形変換手段と、第１の入力と第２の入力の排他的論理
和をとる排他的論理和手段と、を含み、前記排他的論理和手段の第２の入力は前記非線形変換手
段の出力に結合されており、前記非線形変換手段は、ｑ個（ｑは整数）の固定値と、
前記乱数に従って前記ｑ個の固定値の中の１つを選択す
る選択器と、前記選択された固定値と鍵の排他的論理和
と入力の排他的論理和をとる別の排他的論理和手段と、
を有するものであること、を特徴とする、暗号化装置。
【請求項５】乱数を発生する乱数発生手段と、並列に
結合された複数の暗号化部と、前記乱数に従って前記複
数の暗号化部の中の１つを選択する選択器と、を具え、前記複数の暗号化部の各々は複数の暗号化段を有し、前記複数の暗号化段の各々は、入力を非線形変換する非
線形変換手段と、第１の入力と第２の入力の排他的論理
和をとる排他的論理和手段と、を含み、前記排他的論理和手段の第２の入力は前記非線形変換手
段の出力に結合されているものであること、特徴とす
る、暗号化装置。
【請求項６】暗号化装置において用いられるプログラ
ムであって、乱数に従って複数の暗号化手順の中の１つを選択するス
テップと、前記選択された暗号化手順に従って、入力値
を暗号化して出力するステップと、を実行させ、前記暗号化するステップは、固定値と鍵の排他的論理和
と入力値の排他的論理和をとるステップと、１組の固定
テーブルに従って入力値を非線形変換するステップと、
を含むものであること、を特徴とする、プログラム。