JP2002510058A - ２進データ・ブロックの暗号変換のための方法 - Google Patents

Abstract

(57)【要約】 本発明は、電気通信およびコンピュータ技術の分野に関し、更に特定すれば、デジタル・データの暗号化のための暗号化方法および装置に関する。この方法は、データ・ブロックをＮ≧２サブブロックに分割するステップと、ｉ番目（ｉ≦Ｎ）のサブブロックに、ｊ番目（ｊ≦Ｎ）のサブブロックの値に依存する少なくとも１つの変換演算を適用することによって、前記ブロックを連続的に変換するステップとを備える。この方法は、ｊ番目のサブブロックの値に依存する演算が、ｉ番目のサブブロックのビットの入れ替え演算であることを特徴とする。この方法は、更に、ｊ番目のサブブロックの値に依存するｉ番目のサブブロックのビットの入れ替え演算が、ｉ番目のサブブロック変換の開始前に秘密キーに従って実行されることを特徴とする。この方法は、更に、ｊ番目のサブブロックに依存するｉ番目のサブブロックのビットの現在の入れ替え演算に先立って、２進ベクトルＶを決定し、ｉ番目のサブブロックのビットの前記入れ替え演算をＶの値に従って実行することを特徴とする。サブブロックの１つに対する以前の変換ステップの実行時の値およびｊ番目のサブブロックの値に従って、２進ベクトルを決定する。

Description

【発明の詳細な説明】

【０００１】 本発明は、電気通信およびコンピュータ技術の分野に関し、更に特定すれば、
メッセージ（情報）の暗号化のための暗号化方法および装置に関する。

【０００２】 （従来の技術） 請求される方法の特徴全体は、次の語を用いる。

【０００３】 −秘密キーは、合法の所有者にのみ既知の２進情報である。

【０００４】 −暗号変換は、デジタル・データ変換であり、これによって、例えば、情報の
不正な読み出しからの保護、デジタル署名の発生、変更検出コードの発生のため
に、複数の出力データ・ビットに対してソース・データ・ビットの作用を及ぼす
ことを可能とする。いくつかの重要なタイプの暗号変換として、単方向変換、ハ
ッシングおよび暗号化がある。

【０００５】 −情報ハッシングは、いずれかのサイズのメッセージに対して、固定サイズ（
典型的に１２８ビット）のいわゆるハッシュ・コードを形成する、ある一定の方
法である。ハッシング方法は、広く用いられており、情報暗号化方法のブロック
機構を用いた繰り返しハッシュ関数に基づいている（Ｌａｉ Ｘ．Ｍａｓｓｅｙ
Ｊ．Ｌ．の、Ｈａｓｈ Ｆｕｎｃｔｉｏｎｓ Ｂａｓｅｄ ｏｎ Ｂｌｏｃｋ
Ｃｉｐｈｅｒｓ（ブロック暗号に基づいたハッシュ関数）／Ｗｏｒｋｓｈｏｐ
ｏｎ ｔｈｅ Ｔｈｅｏｒｙ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ ｏｆ Ｃ
ｒｙｐｔｏｇｒａｐｈｉｃ Ｔｅｃｈｎｉｑｕｅｓ ＥＵＲＯＣＲＹＰＴ’９２
、ハンガリー、１９９２年５月２４〜２８日、議事録、５３〜６６ページ）。

【０００６】 −暗号化は、秘密キーに依存する情報変換プロセスであり、ソース・テキスト
を、疑似ランダム文字シーケンスを表す暗号化テキストに変換する。この暗号化
テキストから、秘密キーの知識なしに情報を得ることは、実質的に不可能である
。

【０００７】 −暗号解読は、暗号化手順の逆の手順である。暗号解読は、秘密キーが既知で
ある場合に、暗号文に従った情報の復元を保証する。

【０００８】 −暗号は、秘密キーを用いた入力データ変換の基本ステップ全体である。暗号
は、コンピュータ・プログラムの形態で、または別個のデバイスとして実施する
ことができる。

【０００９】 −２進ベクトルは、１０１１０１００１１のような、オフ・ビットおよびオン
・ビットのある一定のシーケンスである。２進ベクトルの特定の構造について、
各ビットの位置が２進ビットに対応すると仮定される場合、すなわち、２進ベク
トルを、２進ベクトル構造によって一義的に決定される数値と比較することがで
きる場合、これを２進数として解釈することができる。

【００１０】 −暗号解析は、暗号化情報に対する不正アクセスを得るための秘密キーの計算
方法、または、秘密キーを計算することなく暗号化情報に対するアクセスを提供
する方法の開発である。

【００１１】 −単方向変換は、Ｌビット入力データ・ブロックのＬビット出力データ・ブロ
ックへの変換であり、入力ブロックに従った出力データ・ブロックの計算を容易
に可能とする一方で、ランダムに選択された出力ブロックに変換される入力ブロ
ックの計算は、本質的に実施不可能な作業である。

【００１２】 −単方向関数は、所与の引数に従って計算される値を有する関数であるが、所
与の関数値に従って引数を計算することは、計算上、難しい問題である。単方向
関数は、ある入力ブロック（引数）の単方向変換の手順シーケンスとして実施さ
れ、その出力値は、関数値として想定される。

【００１３】 −暗号耐性は、暗号化情報保護の安全性の尺度であり、変換アルゴリズムが既
知であるが秘密キーの知識がない場合に、暗号文に従って情報を復元するために
実行される基本演算数で測定した労働強度を表す。単方向変換の場合、暗号耐性
によって、その出力値に従った入力ブロック値の計算の複雑さを意味する。

【００１４】 変換されたサブブロックまたは２進ベクトルに依存する循環桁送り演算は、サ
ブブロック値または２進ベクトル値によって設定されるビット数に対する循環桁
送り演算である。左（右）への循環桁送りの演算は、例えば、符号「＜＜＜」（
「＞＞＞」）によって示され、表記Ｂ_１＜＜＜Ｂ_２は、２進ベクトルＢ_２の値に
等しいビット数に対するサブブロックＢ_１の左への循環桁送り演算を意味する。
同様の演算が、ＲＣ５暗号に対する基礎である。

【００１５】 −単一位置演算は、１つのオペランド（データ・ブロックまたは２進ベクトル
）に実行される演算である。ある所与の単一位置演算を実行した後のサブブロッ
ク値は、初期値のみに依存する。単一位置演算の例は、加算、減算、乗算等の演
算である。

【００１６】 データのブロック暗号化の方法は既知であり、例えば、米国規格ＤＥＳ（標準
局。データ暗号化規格。連邦情報処理規格出版４６、１９７７年１月）を参照さ
れたい。このデータ・ブロック暗号化方法は、秘密キーを発生させるステップと
、変換対象のデータ・ブロックをＬおよびＲの２つのサブブロックに分割し、サ
ブブロックＬおよび、サブブロックＲの値に従ってある関数Ｆの出力値として発
生する２進ベクトルに、ビット・フォー・ビット・モジューロ２加算を実行する
ことによって、後者を交互に変更するステップとを備える。その後、ブロックを
交換する。この方法における関数Ｆは、サブブロックＲに対して実行する入れ替
えおよびスタッフ演算を実行することによって、実施する。この方法は、特別な
電子回路の形態で実現された場合、高い変換率を有する。

【００１７】 しかしながら、既知の最新の従来技術の方法は、小さいサイズ（５６ビット）
の秘密キーを用いるので、これに適合するキーを見出すことに基づく暗号解析に
対して弱くなる。後者は、最新の大量使用されるコンピュータの高いコンピュー
タ・パワーに関連する。

【００１８】 その技術的本質によって、請求対象の２進データ・ブロックの暗号変換方法に
最も近いのは、暗号ＲＣ５において実施され、文献（Ｒ．Ｒｉｖｅｓｔ、Ｔｈｅ
ＲＣ５ Ｅｎｃｒｙｐｔｉｏｎ Ａｌｇｏｒｉｔｈｍ（ＲＣ５暗号化アルゴリ
ズム）／Ｆａｓｔ Ｓｏｆｔｗａｒｅ Ｅｎｃｒｙｐｔｉｏｎ、ｓｅｃｏｎｄ
ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ Ｐｒｏｃｅｅｄｉｎｇｓ（Ｌ
ｅｕｖｅｎ、Ｂｅｌｇｉｕｍ、１９９４年１２月１４〜１６日）、Ｌｅｃｔｕｒ
ｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ、ｖ．１００８、Ｓ
ｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９９５年、８６〜９６ページ）に記載された
方法である。最新の従来技術の方法は、サブキー全体の形態で秘密キーを発生す
るステップと、入力データ・ブロックをサブブロックＡおよびＢに分割するステ
ップと、交互サブブロック変換とを備える。サブブロックは、それらに単一位置
および二重位置演算を実行することによって変換する。二重位置演算として、モ
ジューロ２^ｎ加算演算を用いる。ここで、ｎ＝８、１６、３２、６４であり、モ
ジューロ２ビット・フォー・ビット加算演算である。単一位置演算として、左へ
の循環桁送り演算を用い、これによって、変換対象のサブブロックをシフトする
ビット数は、別のサブブロック値に依存し、これは、入力データ・ブロックの初
期値に対する現在のサブブロック変換ステップにおける循環桁送り演算の依存性
を決定する。二重位置演算は、２つのサブブロックのみならず、１つのサブブロ
ックおよびサブキーに実行する。最新の従来技術の方法の特徴は、別のサブブロ
ックの値に応じて、サブブロックのうち１つの循環桁送りシフト演算を用いるこ
とである。

【００１９】

【００２０】

【００２１】 Ｂ←Ｂ＜＜＜Ａ 次いで、サブブロックおよびサブキーＳの１つに、モジューロ２^ｎ加算演算を
実行する。Ｂ←（Ｂ＋Ｓ）ｍｏｄ２^ｎ、ここで、ｎはビット単位のサブブロック
長である。この後、サブブロックＡを同様に変換する。かかるいくつかの変換ス
テップを、双方のサブブロックに対して実行する。

【００２２】 この方法は、コンピュータ・プログラムの形態または電子暗号化デバイスの形
態で実施する場合、高い暗号化率を提供する。しかしながら、最新の従来技術は
、いくつかの欠点を有する。すなわち、差動および線形の暗号解析に対し、暗号
データ変換の高い耐性を保証しないことである（Ｋａｌｉｓｋｉ Ｂ．Ｓ．Ｙｉ
ｎ Ｙ．Ｌ．Ｏｎ Ｄｉｆｆｅｒｅｎｔｉａｌ ａｎｄ Ｌｉｎｅａｒ Ｃｒｙ
ｐｔａｎａｌｙｓｉｓ ｏｆ ｔｈｅ ＲＣ５ Ｅｎｃｒｙｐｔｉｏｎ Ａｌｇ
ｏｒｉｔｈｍ（ＲＣ５暗号化アルゴリズムの差動および線形の暗号解析）、Ａｄ
ｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ’９５ Ｐｒｏｃｅ
ｅｄｉｎｇｓ、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ、１９５５年、１７１〜１８４
ページ）。この欠点の原因となるのは、既知の暗号解析方法に対する暗号化耐性
を高める目的の、変換対象データに依存する演算使用の効果が、循環桁送り演算
の潜在的に実現可能なバージョンの数がサブブロックの二進ビット数ｎに等しく
６４を超えないという事実によって、低減されるということである。

【００２３】 本発明の基本は、２進データ・ブロック暗号変換方法を開発するタスクによっ
て形成される。入力データ変換は、差動および線形暗号解析に対するどの耐性を
増大させるかにより、変換対象のブロックに依存する演算の様々なバージョンの
数を増大させるような方法で、実行される。

【００２４】 （発明の開示） この課題は、２進ブロックの暗号化変換方法において達成される。この方法は
、データ・ブロックをＮ≧２サブブロックに分割するステップと、ｉ番目（ｉ≦
Ｎ）のサブブロックに、ｊ番目（ｊ＜Ｎ）のサブブロックの値に依存する少なく
とも１つの変換演算を実行することによって、サブブロックに交互変換を行うス
テップとを備える。本発明による新規の特徴は、ｊ番目のサブブロックの値に依
存する演算として、ｉ番目のサブブロックのビットの入れ替え演算を用いるとい
うことである。

【００２５】 かかる解決策により、ｊ番目のサブブロック値に依存する演算の可能なバージ
ョン数が増大し、差動および線形の暗号解析に対する暗号変換耐性を高めること
が可能となる。

【００２６】 また、新規の特徴は、ｊ番目のサブブロックの値に依存するｉ番目のサブブロ
ックのビットの入れ替え演算を、ｉ番目のサブブロック変換の開始前に秘密キー
に依存して形成することである。

【００２７】 かかる解決策により、ｊ番目のサブブロックの値に依存するｉ番目のサブブロ
ックのビットの入れ替え演算の変更は、予め決定されておらず、差動および線形
の暗号解析に対する暗号変換耐性の更なる向上を提供すると共に、変換演算数を
減らすことによって暗号化率を低下させることが可能である。

【００２８】 また、新規の特徴は、ｊ番目のサブブロックに依存するｉ番目のサブブロック
のビットの現在の入れ替え演算を実行する前に、２進ベクトルＶを追加的に発生
させる一方、ｉ番目のサブブロックのビットの入れ替え演算をＶの値に依存して
実行し、これによって、サブブロックの１つに対する以前の変換ステップの実行
時点の値およびｊ番目のサブブロックの値に依存して、２進ベクトルを発生する
ことである。

【００２９】 かかる解決策により、暗号化デバイスの破壊に基づく攻撃に対する暗号耐性の
更なる向上を提供する。

【００３０】 以下で、本発明の本質は、添付図面を参照して、その実施形態によって、更に
詳細に明確になろう。

【００３１】 （本発明の最良の実施形態） 図１に示す、請求された方法に基づくデータ・ブロック変換の一般化した図を
用いて、本発明を説明する。

【００３２】

【００３３】 図１は、１回の変換を示す。制御入れ替えブロックの特定の実施および必要な
変換率に依存して、２から１６およびそれ以上の回数を設定することができる。
この暗号変換手順のスキームは、暗号化および単方向変換に用いることができる
。後者の場合、秘密キーを用いず、サブキー信号の代わりに、ブロックＰの制御
入力に、中間変換ステップで変換対象のサブブロック値に依存して発生した２進
ベクトルＶの信号を供給する。暗号化する場合、各回の暗号化を実行する際に、
同一の４つのｎビット・サブキーＫ_４、Ｋ_３、Ｋ_２およびＫ_１を用いることがで
きる。この場合、典型的なサブブロック・サイズはｎ＝３２であると、秘密キー
長は１２８ビットである。これより大きなサイズの秘密キーを用いる場合、各回
は、Ｋ_４ｒ、Ｋ_４ｒ−１、Ｋ_４ｒ−２およびＫ_４ｒ−３を用いることができる。
例えば、回数がｒ＝３である場合、第１回はサブキーＫ_４、Ｋ_３、Ｋ_２およびＫ _１ を用いる。第２回はサブキーＫ_８、Ｋ_７、Ｋ_６およびＫ_５を用い、第３回は、
サブキーＫ_１２、Ｋ_１１、Ｋ_１０およびＫ_９を用いる。

【００３４】 請求された方法の技術的な実施の可能性を、以下に示す特定の実施形態によっ
て説明する。

【００３５】

【００３６】

【００３７】 図２は、基本スイッチしたＳ全体を用いた制御入れ替えブロックの可能な実施
形態を示す。この実施形態は、データ信号用の８ビット入力および図１の指示と
同様に点線で示した制御信号用の８ビット入力を有するブロックＰに対応する。

【００３８】 入れ替え演算の様々なバージョン数は、制御入力における可能なコード組み合
わせの数に等しく、図２に示す構造ではブロックＰについて２^８＝２５６である
。これは、最新の従来技術の方法において用いられる循環桁送り演算の数よりも
多い。同様の方法を用いて、任意のサイズのデータ入力および制御信号入力を有
するブロックＰのため、特に、３２ビット・データ入力および３２ビット制御信
号入力を有するブロックＰのための方法を構成することができる。後者の場合、
２^３２＞１０^９に等しい入れ替え演算の異なるバリエーションの数が達成される
。

【００３９】 図３は、３２ビット・データ入力および７９ビット制御入力を有する制御入れ
替えブロックの構造を示す。この制御入れ替えブロックは、制御入力におけるコ
ード組み合わせの各可能な値ごとに、入力２進ビットの一意の入れ替えを実施し
、その数は２^７９である。制御入れ替えブロックの外部情報入力は、ｉ１、ｉ２
、．．．ｉ３２と示され、外部出力は、ｏ１、ｏ２、．．．ｏ３２と示され、制
御入力は、ｃ１、ｃ２、．．．ｃ７９と示されている。基本スイッチＳは、３１
本のラインから成る行列を形成するように接続される。第１のラインでは、３１
の基本スイッチを接続し、第２のラインでは３０、第３のラインでは２９、等で
ある。各連続ラインでは、基本スイッチの数は１だけ減る。最低のライン３１で
は、１つの基本スイッチを接続する。

【００４０】 数ｊ≠３１ラインは、３３−ｊ入力、３３−ｊ出力および３２−ｊ入力を有す
る。ｊ番目のラインの最後（最も右）の出力は、制御入れ替えブロックの外部出
力であり、ｊラインの残りの３２−ｊ出力は、（ｊ＋１）番目のラインの対応す
る入力に接続されている。最後の３１ラインは、２つの出力を有し、それらは双
方とも、制御入れ替えブロックの外部出力である。単位（ｕ＝１）制御信号を、
多くとも各ラインの制御入力に供給する。２進３２オーダの暗号解読装置Ｆ_１、
Ｆ_２、．．．、Ｆ_１５および２進１６オーダの暗号解読装置Ｆ_１６が、この要件
を満たすよう機能する。暗号解読装置Ｆ_１、Ｆ_２、．．．、Ｆ_１５は、任意の５
ビットの２進コードが供給される５個の外部制御入力を有し、３２の出力を有す
る。暗号解読装置は、１つの出力のみで単位信号を発生する。残りの３１の入力
には、ゼロ信号を設定する。暗号装置Ｆ_１６は、任意の４ビットの２進コードが
供給される４個の出力と、１６個の出力とを有し、この１６個の出力のうち１つ
のみで単位信号を設定する。全ての暗号解読装置Ｆ_１、Ｆ_２、．．．、Ｆ_１５お
よびＦ_１６について、各入力２進コード値が、単位信号（ｕ＝１）が設定される
一意に可能な出力数を規定する。

【００４１】 暗号解読装置Ｆ_ｈ（ｈ≦１５）の出力の一部は、ｈ番目のライン（３２−ｈ入
力）の制御入力に接続されており、入力の一部は、（３２−ｈ）番目のライン（
残りのｈ暗号解読装置出力）の制御入力に接続されている。制御信号ｕ＝１は、
２つ以下の基本スイッチ上の各ラインに設定される。単位制御信号が供給される
基本スイッチの右の入力に接続されたライン入力は、このラインに対応する制御
入れ替えブロックの外部出力に替えられている。単位制御信号を最も左の基本ス
イッチに供給すると、制御入れ替えブロック（ブロックＰ）の外部出力は、最も
左のライン入力に替えられる。第１のラインは、ブロックＰの外部入力ｉ１、ｉ
２、．．．ｉ３２の１つを外部出力ｏ１と替え、残りの３１の外部入力は、第２
のラインの入力と替えられる。第２のラインは、外部入力の残り３１を外部入力
ｏ２と替え、残りの３０の外部入力は、第３のラインの入力と替えられる等とす
る。かかるブロックＰの構造によって、ブロックＰの７９ビット制御入力に供給
される２進コードの各値ごとに、入力ビットの一意の入れ替えを実施する。

【００４２】 例えば、図１に示す暗号変換方法における制御７９ビット入力使用には、以下
のバージョンが可能である。３２ビットを、例えばサブブロックＢの制御信号と
して用い、４７ビットを秘密キーとして用いる。後者として、例えば３２ビット
のサブキーＫ_４ｒ−１および１５ビットのサブキーＫ_４ｒ−２を用いることがで
きる。この場合、秘密キーを暗号化デバイスに入力すると、これらの秘密キー４
７ビットに依存して、入力ブロック値に依存するビット入れ替え演算の２^４７の
異なる変更の１つを発生する。ここで、この演算の各変更は、サブブロックＢの
値によって選択が決定されるサブブロックＡの入れ替えビットの２^３２の異なる
演算を含む。変更選択は、予め決められていない。なぜなら、これは秘密キーに
よって決定されるからである。これによって、更に暗号変換の耐性を高める。暗
号化デバイスが、図３に示す構造を有する４個のブロックＰを用いる場合、秘密
キーに依存するブロックＰに設定される入れ替え演算の変更の可能な組み合わせ
数は、１８８ビット以上の長さの秘密キーを用いて、（２^４７）^４＝２^１８８に
設定することができる。

【００４３】 図４は、ｕが制御信号であり、ａおよびｂが入力データ信号であり、ｃおよび
ｄが出力データ信号である場合の、基本スイッチの動作を明確化する。

【００４４】 図５および６に示す表は、入力および制御信号に対する出力信号の依存性を示
す。これらの表から、ｕ＝１である場合、ラインａはラインｃと替えられ、ライ
ンｂはラインｄと替えられ、ｕ＝０である場合、ラインａはラインｄと替えられ
、ラインｂはラインｄと替えられることが明らかである。

【００４５】 単純な構造のために、集積回路を製造する最新の平面技術によって、３２およ
び６４ビットの入力サイズを有する制御入れ替えブロックを備えた暗号マイクロ
プロセッサを容易に製造することが可能となる。

【００４６】 上述の例は、２進データ・ブロックの暗号変換のための提案した方法が、技術
的に実行可能であり、先に示した問題を解決可能であることを示す。

【００４７】 （産業上の適用性） 請求した方法は、例えば、高速光ファイバ通信チャネル上で送信されるリアル
タイム・データにおける暗号化のために十分な、１Ｇｂｉｔ／ｓのオーダの暗号
化率を提供する特殊暗号マイクロプロセッサにおいて実現することができる。

【図面の簡単な説明】

【図１】 請求した方法による暗号変換の一般化した図を表す。

【図２】 制御された入れ替えブロックの構造を概略的に表す。

【図３】 ３２ビット情報入力を有する制御入れ替えブロックの構造を表す。

【図４】 基本スイッチのブロック図を表す。

【図５】 ｕ＝１が制御信号である場合の基本スイッチの入力および出力信号の表を表す
。

【図６】 制御信号の値がｕ＝０である場合の基本制御スイッチの入力および出力信号の
表を表す。

───────────────────────────────────────────────────── フロントページの続き (71)出願人 モルドヴィアン ニコライ アンドレヴィ ッチ ロシア連邦 188710 ジー ヴセヴォロゼ スク ケーヴイ 58 ユーエル アレクサ ンドロフスカヤ ディー 88／２ (72)発明者 モルドヴィアン アレクサンドル アンド レヴィッチ ロシア連邦 188710 ジー ヴセヴォロゼ スク ケーヴイ 62 ユーエル アレクサ ンドロフスカヤ ディー 88／２ (72)発明者 モルドヴィアン ニコライ アンドレヴィ ッチ ロシア連邦 188710 ジー ヴセヴォロゼ スク ケーヴイ 58 ユーエル アレクサ ンドロフスカヤ ディー 88／２ Ｆターム(参考） 5J104 AA01 AA16 AA41 JA08 NA02 【要約の続き】 値およびｊ番目のサブブロックの値に従って、２進ベク トルを決定する。

Claims (3)

【特許請求の範囲】
1. 【請求項１】 ２進データ・ブロックの暗号化変換方法であって、前記デー
   タ・ブロックをＮ≧２サブブロックに分割するステップと、ｉ番目（ｉ≦Ｎ）の
   サブブロックに、ｊ番目（ｊ≦Ｎ）のサブブロックの値に依存する少なくとも１
   つの変換演算を実行することによって、前記ブロックに交互変換を行うステップ
   とを備え、ｉ番目のサブブロックのビットの入れ替え演算を、ｊ番目（ｊ＜Ｎ）
   のサブブロックの値に依存する演算として用いることを特徴とする方法。
2. 【請求項２】 請求項１に記載の方法において、前記ｊ番目のサブブロック
   の値に依存する前記ｉ番目のサブブロックのビットの入れ替え演算を、ｉ番目の
   サブブロック変換の開始前に秘密キーに依存して発生することを特徴とする方法
   。
3. 【請求項３】 請求項１に記載の方法において、前記ｊ番目のサブブロック
   の値に依存する前記ｉ番目のサブブロックのビットの現在の入れ替え演算を実行
   する前に、２進ベクトルＶを追加的に発生させ、前記ｉ番目のサブブロックのビ
   ットの入れ替え演算を前記Ｖの値に依存して実行し、これによって、前記サブブ
   ロックの１つに対する以前の変換ステップの実行時点の値および前記ｊ番目のサ
   ブブロックの値に依存して、前記２進ベクトルを発生することを特徴とする方法
   。