JP2002518713A

JP2002518713A - データ依存性ローテーションを用いる強化型ブロック暗号

Info

Publication number: JP2002518713A
Application number: JP2000555387A
Authority: JP
Inventors: ロナルドエル．リベスト，; マシュージョンバートンロブシャウ，; レイモンドマークシドニー，; イグンリサイン，
Original assignee: アールエスエイセキュリティインコーポレイテッド
Priority date: 1998-06-15
Filing date: 1999-06-15
Publication date: 2002-06-25
Also published as: CA2335143A1; EP1090477A2; WO1999066669A2; AU5542099A; NO20006385D0; US6269163B1; NO20006385L; WO1999066669A9; IL140269A0; US20020025035A1; AU761436B2; WO1999066669A3

Abstract

(57)【要約】暗号化されるべき平文メッセージを多数のワード（例えば、レジスタＡ、Ｂ、ＣおよびＤに格納された４つのワード）にセグメント化し、そして整数乗算関数（１４、２０）をそのワードのサブセット（例えば、レジスタＢおよびＤにおける２つのワードに）に適用する。そのような整数乗算を使用すると、暗号化の１回ごとに得られる拡散が大きく増加される。整数乗算関数（１４、２０）は、ｆ（ｘ）＝ｘ（ａｘ＋ｂ）の形態の２次関数（ここでａは偶数であり、かつｂは奇数である）であるか、またはより高次の多項式などの他の適切な関数であり得る。整数乗算関数の結果は、ｌｇｗビット分ローテーションされ（ここでｌｇは底２の対数を示し、そしてｗは所定ワードのビット数である）、１組の中間結果ｔおよびｕを生成する。別のワード（例えば、レジスタＡにおけるワード）および中間結果のうちの１つ（例えば、ｔ）の排他的論理和（１８）は、他方の中間結果ｕによって決定される量だけローテーションされる（２６）。同様に、結果ｕは、他方の中間結果ｔによって決定される量だけローテーションされる（３０）。選択キーアレイの１エレメントは、これらのローテーション結果の各々に適用され（２８、３２）、そして次にレジスタ内容が転置される。このプロセスは、指定された回数繰り返され、暗号文メッセージを生成する。プレホワイトニング（１０、１２）およびポストホワイトニング（３４、３６）動作は、入力または出力がいずれの暗号化回についてもいずれの内部情報をも明らかにしないことを確実にするために含まれ得る。対応する復号化動作を使用して、暗号文メッセージが復号化され得る。

Description

【発明の詳細な説明】

【０００１】（発明の分野）本発明は概して暗号技術に関し、具体的には、暗号技術の適用例において暗号
化および復号化動作を実現するためのブロック暗号に関する。

【０００２】（発明の背景）慣用ブロック暗号型暗号システムでは、平文メッセージは、秘密キーを用いて
暗号化され、暗号化された形で送信される。受信器は、同じ秘密キーを用いて暗
号化メッセージを復号化し、平文メッセージを復元する。慣用ブロック暗号の一
例は、データ暗号化規格（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ
）（ＤＥＳ）の暗号である。ＤＥＳおよびその他の慣用ブロック暗号は、Ｂ．Ｓ
ｃｈｎｅｉｅｒ，ＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙ，ｐｐ．１５４−
１８５およびｐｐ．２１９−２７２，ＪｏｈｎＷｉｌｅｙ＆Ｓｏｎｓ，Ｎ
ｅｗＹｏｒｋ，１９９４に記載されている。本明細書において、上記文献を参
考として援用する。データ依存性ローテーションを用いる改良されたブロック暗
号は、発明者Ｒ．Ｌ．Ｒｉｖｅｓｔの名前で１９９８年３月３日に発行された米
国特許第５，７２４，４２８号に記載されている。本明細書において、上記米国
特許を参考として援用する。この改良された暗号は、ＲＣ５^TMと呼ばれる。これ
は、米国特許第５，７２４，４２８号の譲受人であるカリフォルニア州レッドウ
ッドシティ（ＲｅｄｗｏｏｄＣｉｔｙ）のＲＳＡＤａｔａＳｅｃｕｒｉｔ
ｙ，Ｉｎｃ．の商標である。例示的実施形態におけるＲＣ５^TMブロック暗号は、
性能の向上を提供している。この性能の向上は、一部には、データ依存性ローテ
ーションの使用によるものである。このデータ依存性ローテーションでは、中間
暗号化結果の所与のワードは、別の中間結果の下位ビットにより決定される量だ
け循環的にローテーションされる。

【０００３】ＲＣ５^TMブロック暗号のセキュリティは、例えば以下の文献において分析され
ている。Ｂ．Ｓ．ＫａｌｉｓｋｉＪｒ．およびＹ．Ｌ．Ｙｉｎ、「ＯｎＤｉ
ｆｆｅｒｅｎｔｉａｌａｎｄＬｉｎｅａｒＣｒｙｐｔａｎａｌｙｓｉｓ
ｏｆｔｈｅＲＣ５^TM ＥｎｃｒｙｐｔｉｏｎＡｌｇｏｒｉｔｈｍ」、Ｄ．
Ｃｏｐｐｅｒｓｍｉｔｈ，ｅｄ．，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏ
ｇｙ−Ｃｒｙｐｔｏ ’９５，Ｖｏｌ．９６３ｏｆＬｅｃｔｕｒｅＮｏｔ
ｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ｐｐ．１７１−１８４，Ｓｐ
ｒｉｎｇｅｒＶｅｒｌａｇ，１９９５；Ｌ．Ｒ．ＫｎｕｄｓｅｎおよびＷ．
Ｍｅｉｅｒ，「ＩｍｐｒｏｖｅｄＤｉｆｆｅｒｅｎｔｉａｌＡｔｔａｃｋｓ
ｏｎＲＣ５^TM」，Ｎ．Ｋｏｂｌｉｔｚ，ｅｄ．，Ａｄｖａｎｃｅｓｉｎ
Ｃｒｙｐｔｏｌｏｇｙ−Ｃｒｙｐｔｏ ’９６，Ｖｏｌ．１１０９ｏｆＬｅ
ｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ｐｐ．２
１６−２２８，ＳｐｒｉｎｇｅｒＶｅｒｌａｇ，１９９６；Ａ．Ａ．Ｓｅｌｃ
ｕｋ，「ＮｅｗＲｅｓｕｌｔｓｉｎＬｉｎｅａｒＣｒｙｐｔａｎａｌｙ
ｓｉｓｏｆＲＣ５^TM」，Ｓ．Ｖａｕｄｅｎａｙ，ｅｄ．，ＦａｓｔＳｏｆ
ｔｗａｒｅＥｎｃｒｙｐｔｉｏｎ，Ｖｏｌ．１３７２ｏｆＬｅｃｔｕｒｅ
ＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ｐｐ．１−１６，Ｓ
ｐｒｉｎｇｅｒＶｅｒｌａｇ，１９９８；ならびにＡ．Ｂｉｒｙｕｋｏｖおよ
びＥ．Ｋｕｓｈｅｌｅｖｉｔｚ，「ＩｍｐｒｏｖｅｄＣｒｙｐｔａｎａｌｙｓ
ｉｓｏｆＲＣ５^TM」，ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ−Ｅ
ｕｒｏｃｒｙｐｔ ’９８，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔ
ｅｒＳｃｉｅｎｃｅ，ＳｐｒｉｎｇｅｒＶｅｒｌａｇ，１９９８。本明細書
において、上記文献のすべてを参考として援用する。これらの分析は、ＲＣ５^TM の構造および動作がそのセキュリティにどのように寄与するかについて、より多
くの理解を与えている。ＲＣ５^TMへの実際的なアタックは見られないものの、上
記の引用文献は、多数の興味深い理論的アタックを示している。

【０００４】故に、本発明の目的は、上記の理論的アタックの１つ以上を阻止することによ
り追加のセキュリティを示すだけでなく、暗号技術の幅広い様々な適用例におい
て、より高い実現性をも示す、さらに改良されたブロック暗号を提供することで
ある。

【０００５】（発明の要旨）本発明は、データ依存性ローテーションが、整数乗算の形である追加の基本的
演算の影響を受ける、改良されたブロック暗号を提供する。そのような整数乗算
の使用は、暗号化の１ラウンドあたりに達成される拡散を大きく増加し、１ラウ
ンドあたりのより高いセキュリティと、スループットの増加とを可能にする。整
数乗算は、データ依存性ローテーションに関するローテーション量を計算するた
めに使用され、ローテーション量は、ＲＣ５^TMブロック暗号の上記実施形態の場
合のように下位ビットだけに依存するのではなく、所与のレジスタのビットの実
質的にすべてに依存する。

【０００６】本発明の例示的実施形態では、暗号化される平文メッセージは、レジスタＡ、
Ｂ、ＣおよびＤに格納される４ワードにセグメント化され、これらのワードのう
ちレジスタＢおよびＤの２ワードに対して、整数乗算関数が適用される。整数乗
算関数は、ｆ（ｘ）＝ｘ（ａｘ＋ｂ）の形の二次関数であってもよく、ここで、
ａは偶数の整数であり、ｂは奇数の整数である。二次よりも大きい多項式などの
その他の種類の関数は、別の実施形態で使用され得る。上記例示的実施形態にお
ける整数乗算関数の結果が、ｌｇｗビットだけローテーションされ、中間結果
の対ｔおよびｕを生成する。ここで、ｌｇは、底が２である対数を示し、ｗは、
所与のワードのビット数である。別のレジスタ、例えばＡの内容と、中間結果の
一方、例えばｔとの排他的論理和が、他方の中間結果ｕにより決定される量だけ
ローテーションされる。同様に、残りのレジスタＤの内容と、中間結果ｕとの排
他的論理和が、他方の中間結果ｔにより決定される量だけローテーションされる
。これらのローテーション結果の各々に対して秘密キーアレイの要素が適用され
、次いで、レジスタ内容が転置される。このプロセスが指定ラウンド数について
繰り返され、暗号文メッセージを生成する。入力または出力がいかなる暗号化ラ
ウンドに関するいかなる内部情報も明かさないことを確実にするために、プレホ
ワイトニングおよびポストホワイトニング動作が含まれてもよい。例えば、レジ
スタＢおよびＤの値は、これらの値に秘密キーアレイの要素を適用することによ
り、最初のラウンドの開始前にプレホワイトニングされ得る。同様に、レジスタ
ＡおよびＣの値は、これらの値に秘密キーアレイの要素を適用することにより、
指定ラウンド数の終了後、ポストホワイトニングされ得る。元の平文メッセージ
を復元するために、対応する復号化動作が使用され得る。

【０００７】（発明の詳細な説明）以下に説明される本発明の例示的実施形態は、米国標準技術協会（Ｎａｔｉｏ
ｎａｌＩｎｓｔｉｔｕｔｅｏｆＳｔａｎｄａｒｄｓａｎｄＴｅｃｈｎ
ｏｌｏｇｙ）（ＮＩＳＴ）によって示される次世代暗号標準（Ａｄｖａｎｃｅｄ
ＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）（ＡＥＳ）の要件を満たすように
設計される。ＡＥＳの要件を満たすためには、ブロック暗号は、１２８ビットの
入力および出力ブロックを扱わなければならない。ＡＥＳ用の特定のターゲット
アーキテクチャおよび言語はまだ、効率的かつ完全な態様で６４ビット動作をサ
ポートしていない。以下に説明される例示的実施形態は、４つの３２ビットレジ
スタを使用する。このように、本発明は、現代のプロセッサ上で効率的に実現さ
れる、整数乗算などの３２ビット動作を利用する。

【０００８】本発明による例示的なブロック暗号は、ＲＣ６^TMと呼ばれる。これは、本願の
譲受人である、カリフォルニア州レッドウッドシティ（ＲｅｄｗｏｏｄＣｉｔ
ｙ）のＲＳＡＤａｔａＳｅｃｕｒｉｔｙ，Ｉｎｃ．の商標である。上記のＲ
Ｃ５^TMブロック暗号と同様に、本発明によるＲＣ６^TMブロック暗号は、暗号化ア
ルゴリズムのパラメータ化されたファミリーであるとみなされ得る。ＲＣ６^TMの
所与のバージョンは、ＲＣ６^TM−ｗ／ｒ／ｂとして特定することができる。ここ
で、ワードサイズは、ｗビットであり、暗号化プロセスは、負でないラウンド数
ｒを含み、ｂは、暗号化キー長をバイト長で示す。ＡＥＳに特に関連するのは、
ＲＣ６^TMの、１６、２４および３２バイトのキーを用いるバージョンである。例
示的実施形態の変形例のすべてについて、ＲＣ６^TM−ｗ／ｒ／ｂは、以下の６つ
の基本演算を用いて４つのｗビットワードに対して作用する。ｗの底２の対数は
、ｌｇｗで示される。

【０００９】

【数１】なお、以下のＲＣ６^TMの説明において、「ラウンド」という用語は、ラウンド
の、より確立したＤＥＳ同様の概念に従うものである。即ち、データの半分が他
方の半分により更新され、次いで、これらの２つが交換される。所与のＲＣ５^TM ラウンドが２つのハーフラウンドを含むというように、ＲＣ５^TMブロック暗号の
様々な説明は、「ハーフラウンド」という用語を用いて、このタイプのアクショ
ンを説明している。本発明の説明は、「ラウンド」の、より確立した意味を用い
る。

【００１０】図１は、本発明の例示的実施形態による暗号化プロセスを示す。上記のように
、例示的実施形態は、４つのｗビット入力レジスタを使用する。これらのレジス
タはＡ、Ｂ、ＣおよびＤとして示され、暗号化される初期平文メッセージを含む
とともに、暗号化終了時には、出力暗号文メッセージを含む。Ａ、Ｂ、Ｃおよび
Ｄの記号はまた、ここでは、レジスタの内容を指すためにも使用される。平文ま
たは暗号文の最初のバイトは、Ａの最下位バイトに入れられ、平文または暗号文
の最後のバイトは、Ｄの最上位バイトに入れられる。演算（Ａ，Ｂ，Ｃ，Ｄ）＝
（Ｂ，Ｃ，Ｄ，Ａ）は、右側の値の、左側のレジスタへの並列割り当てを示す。
図１の暗号化プロセスにおいて、ユーザは、ｂバイトのキーを供給する。必要で
あれば、余分のゼロバイトがキーに付加され、キー長を、４バイトのゼロでない
倍数にする。これから、２ｒ＋４ｗビットのワードが得られ、アレイＳ［０，．
．．，２ｒ＋３］に格納される。このアレイは、暗号化および復号化の両方にお
いて用いられる。キースケジュールの追加の局面は、図５に関して以下に説明さ
れる。

【００１１】図１の暗号化プロセスへの入力は、レジスタＡ、Ｂ、ＣおよびＤに格納された
平文メッセージと、指定のラウンド数ｒと、上記のアレイＳ［０，．．．，２ｒ
＋３］の形のｗビット秘密キーと、を含む。出力暗号文は、レジスタＡ、Ｂ、Ｃ
およびＤに格納される。暗号化プロセスのステップは、図１において擬似コード
として示され、図２のプロセス図で示される。図２を参照して、水平方向の破線
間の演算は、ｒラウンドの各ラウンドについて、擬似コードのｆｏｒループにお
いて繰り返される。ループに入る前に、秘密キーアレイからのＳ［０］を用いた
演算１０で、レジスタＢの内容の和が求められ、そして、アレイからのＳ［１］
を用いた演算１２で、レジスタＤの内容の和が求められる。これらの演算は、平
文が暗号化の最初のラウンドへの入力の部分を明らかにするのを防ぐ「プレホワ
イトニング」を提供する。

【００１２】Ｂのプレホワイトニング値は、関数ｆ（ｘ）＝ｘ（２ｘ＋１）を生成する演算
１４に供給される。ここで、ｘは、関数の入力である。即ち、演算１４における
Ｂのプレホワイトニング値である。以下の形の一般関数は、以下の特性を有する
。ｆ（ｘ）＝ｘ（ａｘ＋ｂ）（ｍｏｄ２^W）（ｉ）ａが偶数であり、かつ、ｂが奇数であるとき、ｆ（ｘ）は、それ自体に｛
０，１，．．．，２^W−１｝を写像する。即ち、ｆ（ｘ）は、各入力ｘが異なる
結果を与えるような転置である。そして、（ｉｉ）ａ＝２かつｂ＝１であるとき
、入力ｘのすべてのビットは、ほとんどの入力ｘについて、ｆ（ｘ）の上位ｌｇｗビットへの何らかの影響を有する。上記関数ｆ（ｘ）＝ｘ（２ｘ＋１）は、
特性（ｉ）および（ｉｉ）を与える整数乗算関数の例である。より高次の多項式
を含む、上記のまたは同様の特性を与えるその他の関数は、本発明の別の実施形
態において使用され得る。そのような代替例の１つは、ａがゼロであり、かつ、
ｂがラウンドごとに変わる奇数の整数である関数である。なお、上に示された形
の一般関数の出力に、ｍｏｄ２^Wを取っているが、これは、本発明による整数
乗算関数の必要条件ではない。本明細書において用いられる「整数乗算関数」と
いう用語は、整数乗算自体を含む、整数乗算を伴ういかなる関数をも含むものと
して理解されるべきである。

【００１３】演算１４の出力は、（Ｂｘ（２Ｂ＋１））に相当し、次いで、演算１６におい
てｌｇｗビットだけ左にローテーションされる。その結果得られたｔについて
、演算１８において、ｔの排他的論理和演算がＡを用いて行われる。演算２０に
おいて、同じ関数ｆ（ｘ）＝ｘ（２ｘ＋１）がＤのプレホワイトニングされた値
に与えられる。演算２０の出力は、（Ｄｘ（２Ｄ＋１））に相当し、演算２２に
おいてｌｇｗビットだけ左にローテーションされる。その結果得られたｕにつ
いて、演算２４において、ｕの排他的論理和演算がＣを用いて行われる。演算２
６において、Ａおよびｔの排他的論理和演算の結果は、ｕの最下位ビットｌｇ
ｗビットにより与えられる量だけローテーションされ、工程２８において、その
ローテーション結果に対して、秘密キーアレイのエレメントＳ［２ｉ］が加算さ
れる。演算３０において、Ｃおよびｕの排他的論理和演算の結果は、ｔの最下位
ビットｌｇｗビットにより与えられる量だけ左にローテーションされ、工程３
２において、そのローテーション結果に対して、秘密キーアレイのエレメントＳ
［２ｉ＋１］が加算される。次に、演算（Ａ、Ｂ、Ｃ、Ｄ）＝（Ｂ、Ｃ、Ｄ、Ａ
）が与えられ、これにより、ＡはＢのプレホワイトニングされた値を受け取り、
レジスタＢは演算３２の出力を受取り、レジスタＣはＤのプレホワイトニングさ
れた値を受け取り、レジスタＤは演算２８の出力を受け取る。上述したように、
図２中の横方向の点線間の演算をｒラウンド繰り返す。ｒラウンドの演算が終了
する際、ＡおよびＣの値はそれぞれ「ポストホワイトニング」演算３４および３
６を受け、これにより、結果として生じた暗号文の入力のあらゆる部分が、暗号
化の最終ラウンドまで外部に漏れないことが保証される。演算３４および３６で
は、ＡおよびＤの値それぞれにエレメントＳ［２ｒ＋２］およびＳ［２ｒ＋３］
が加算され、これにより、ＡおよびＤのポストホワイトニングされた値が生成さ
れる。こうすることにより、レジスタＡ、Ｂ、ＣおよびＤは、オリジナルの平文
に対応する暗号文を含む。

【００１４】上記に付随する復号化工程が、図３に擬似コードとして示され、図４にプロセ
ス図として示されている。復号化プロセスに入力されるのは、４つのｗビットの
レジスタＡ、Ｂ、ＣおよびＤ中に格納されている暗号文、ラウンドの数ｒ、およ
び秘密ラウンドキーアレイＳ［０，．．．，２ｒ＋３］である。復号化プロセス
から出力されるのは、オリジナルの平文である。演算４０および４２では、Ａお
よびＣの値を更新して、図２のポストホワイトニング演算３４および３６をそれ
ぞれ反転する。次いで、図４中の横方向の点線間の演算が、それぞれｒラウンド
繰り返され、図３の擬似コード中のｆｏｒループ中の演算に一致する。このルー
プ中において、演算（Ａ、Ｂ、Ｃ、Ｄ）＝（Ｄ、Ａ、Ｂ、Ｃ）が与えられ、これ
により、ＡはＤの値を受け取り、レジスタＢは演算４０で生成されたＡの修正値
を受取り、レジスタＣはＢの値を受け取り、レジスタＤは演算４２で生成された
Ｃの修正値を受取る。

【００１５】演算４４において、関数ｆ（ｘ）＝ｘ（２ｘ＋１）がＤに与えられ、その結果
は、（Ｄｘ（２Ｄ＋１））に相当し、演算４６においてｌｇｗビットだけ左に
ローテーションされ、これによりｕが生成される。同様に、演算５０において、
関数ｆ（ｘ）＝ｘ（２ｘ＋１）がＢに与えられ、その結果は、（Ｂｘ（２Ｂ＋１
））に相当し、演算５２においてｌｇｗビットだけ左にローテーションされ、
これによりｔが生成される。演算５４において、秘密キーアレイのエレメントＳ
［２ｉ＋１］がＣから減算され、その結果は、演算５６において、ｔの最下位ビ
ットｌｇｗビットだけ右にローテーションされる。演算５８において、Ｃはｕ
の排他的論理和演算の結果と、ローテーション演算５６の出力とをとる。同様に
、演算６０において、秘密キーアレイのエレメントＳ［２ｉ］がＡから減算され
、その結果は、演算６２において、ｕの最下位ビットｌｇｗビットだけ右にロ
ーテーションされる。演算６４において、ローテーション演算６２の出力を用い
て、Ａはｔの排他的論理和演算の結果をとる。ｒラウンドの演算が終了した後、
演算６６および６８により、ＤおよびＢの値が更新され、これにより図２のプレ
ホワイトニング演算１２および１０が反転する。

【００１６】上述した例示的実施形態は、従来のＲＣ５^TMブロック暗号に対して、少なくと
も２つの有意な相違点を含む。これらの相違点とは、２次関数ｆ（ｘ）＝ｘ（２
ｘ＋１）の導入と、ｌｇｗビットだけ固定ローテーションする点である。２次
関数を用いる点は、拡散速度を大幅に高速化することにより、ＲＣ５^TMの場合よ
りもずっと早く、簡単な微分がローテーション量をスポイルする機会を改善する
ことを意図している。ＢおよびＤを２次式で変換した値は、ＢおよびＤの代わり
にレジスタＡおよびＣへの加算物として用いられ、これにより、（この変換は転
置であるため、）エントロピーを失うことなく暗号の非線形性が増加する。この
固定されたローテーションは、線形暗号の復号化および微分暗号の復号化の両方
を妨げる意味で、簡単ではあるが重要な役割を果たす。

【００１７】図５は、図１〜４の例示的実施形態において用いられる秘密キーアレイＳ［０
，．．．，２ｒ＋３］を生成する際に用いるのに適したキースケジュールの一例
を示す。図５のキースケジュールは、ＲＣ５^TMで用いられるキースケジュールと
類似し、上記の米国特許第５，７２４，４２８号にその詳細が記載されているが
、暗号化および復号化の間、ユーザに供給されたキーからより多くのワードを導
出する。このキースケジュールは、変数ｉ、ｊ、ｖおよびｓと共に、２つのｗビ
ットのレジスタＡおよびＢを用いる。キースケジュールに入力されるのは、ユー
ザに供給されたｂバイトのキーと、ラウンドの数ｒである。出力されるのは、ｗ
ビットのラウンドキーのアレイＳ［０，．．．，２ｒ＋３］である。必要な場合
は、さらなる０バイトがユーザに供給されたキーに追加され、これにより、キー
の長さは、ゼロ以外のｗ／８バイトの倍数となる。これは、ｃｗビットのワー
ドのシーケンス（Ｌ［０］，．．．，Ｌ［ｃ−１］）として格納され、キーの第
１のバイトは下位バイトＬ［０］などとして格納され、必要ならばＬ［ｃ−１］
は上位ゼロバイトでパディングされる。ｂ＝０の場合、ｃ＝１かつＬ［０］＝０
である点に留意されたい。

【００１８】図５に示すキー生成において、エレメントＳ［０］は、指定された定数Ｐｗに
初期化される。第１の「ｆｏｒ」ループにおいて、エレメントＳ［ｉ］は定数Ｑ _w を用いて初期化され、値Ａ、Ｂ、ｉおよびｊはゼロに設定される。第２の「ｆ
ｏｒ」ループは、秘密キーアレイに対して、ｗビットのワードを生成する。ラウ
ンドキーに対して生成されるｗビットのワード数は２ｒ＋４であり、これらは、
アレイＳ［０，．．．，２ｒ＋３］に格納される。図５中の定数Ｐ_wおよびＱ_wは
、例えば、Ｐ₃₂＝Ｂ７Ｅ１５１６３およびＱ₃₂＝９Ｅ３７７９Ｂ９（１６進法）
、すなわち、米国特許第５，７２４，４２８号中のＲＣ５^TMキースケジュールに
関して用いられたいわゆる「マジック定数」である。Ｐ₃₂の値は、ｅ−２の２進
数展開から導出される（ｅは、自然対数関数の底）。Ｑ₃₂の値は、Φ−１の２進
数展開から導出される（Φは、黄金比）。ワードサイズの異なるＲＣ^6TMのバー
ジョンの場合、Ｐ₆₄、Ｑ₆₄などについて同様の定義を用いることができる。これ
らの値はある程度まで任意のものであり、本発明の別の実施形態において他の値
を用いることが可能である点に留意されたい。他の適切なキースケジュールもま
た、図５のキースケジュールの代わりに用いることができる。

【００１９】図６は、本発明の実行可能なインプリメンテーションの１つを示す。セキュア
な通信システム１００は、チャンネル１１６を通じて通信するトランスミッタ１
１２とレシーバ１１４とを含む。平文メッセージは、トランスミッタ１１２の入
力部１１８に与えられ、図１および２に関連して説明した暗号化技術を用いて処
理され、これにより、生成された暗号メッセージは、チャンネル１１６を通じて
レシーバ１１４へと送信される。レシーバ１１４は、図３および４に関連して説
明した復号化技術を用いてこの暗号メッセージを処理し、これにより、出力部１
２０において対応する平文メッセージが生成される。この実施形態において、こ
の暗号技術は、前述したレジスタＡ、Ｂ、Ｃ、およびＤを含むプロセッサ１３０
により実行されるソフトウェア中にインプリメントされ得る。暗号化を行うため
のソフトウェア命令は、メモリ１３２中に格納され得、プロセッサ１３０はメモ
リ１３２からこれらのソフトウェア命令を取り出し、実行する。同様に、復号化
命令は、やはりレジスタＡ、Ｂ、Ｃ、およびＤを含むプロセッサ１４０により実
行されるソフトウェア中にインプリメントされ得る。復号化を行うためのソフト
ウェア命令は、メモリ１４２中に格納され得、プロセッサ１４０はメモリ１４２
からこれらのソフトウェア命令を取り出し、実行する。レジスタＡ、Ｂ、Ｃ、お
よびＤは、プロセッサ１３０および１４０の内部に設ける必要はなく、別の実施
形態においては、例えば各メモリ１３２および１４２の一部であり得る。本発明
のソフトウェアインプリメンテーションは、この本発明の例示的実施形態におい
て、利用可能なマイクロプロセッサにより適切にサポートされている基本的演算
（例えば、加算、減算、乗法、排他的論理和演算、およびローテーション演算な
ど）を用いている点において非常に効率が良い。

【００２０】トランスミッタ１１２およびレシーバ１１４は、例えば、コンピュータ、また
はローカルエリアネットワーク、広域ネットワーク、イントラネット、インター
ネットもしくは他のあらゆる適切なネットワークで接続された他のデジタルデー
タ処理デバイスであり得る。あるいは、トランスミッタ１１２はスマートカード
であり得、レシーバ１１４はカード読み取り装置であり得る。このような実施形
態において、通信チャンネル１１６は、カードが読み取り装置に挿入される際、
カードと読み取り装置との間で設定される接続部となる。本発明の上記および他
の実施形態において、暗号化および復号化プロセスは、ハードワイヤード演算回
路を用いてプロセッサ１３０および１４０内に直接的にインプリメントされ得る
。さらに別の実施形態において、暗号化および復号化をインプリメントするため
に、ハードウェアとソフトウェアとの組み合せが用いられ得る。本発明はまた、
コンピュータで読み取り可能な媒体（例えば、磁気ディスク、光学的コンパクト
ディスク、または電子メモリなど）に格納されるソフトウェアの形態でインプリ
メントすることもできる。本明細書中で用いられる「プロセッサ」という用語は
、マイクロプロセッサ、中央演算処理装置（ＣＰＵ）、マイクロコントローラも
しくは他のコンピュータの処理ユニット、セットトップボックス、スマートカー
ド、カード読み取り装置、無線端末、私用デジタル補助装置もしくは他の通信デ
バイス、特定用途向け集積回路（ＡＳＩＣ）、プログラム可能なゲートアレイ（
ＦＰＧＡ）デバイスもしくは図１〜４に関連して述べた演算を１つ以上提供する
よう設定された他の種類のハードウェア、またはハードウェア、ソフトウェアも
しくはこれらの組み合せを用いて本発明による暗号化演算もしくは復号化演算の
少なくとも一部をインプリメントすることが可能なあらゆる他の種類のデバイス
を含むものと理解されるべきである。「メモリ」という用語は、電子的ランダム
アクセスメモリ（ＲＡＭ）もしくは上記で定義したプロセッサの外部にある他の
種類のメモリ（例えば、図６のメモリ１３２または１４２など）、またはプロセ
ッサの内部にあるメモリ（例えば、図６中のレジスタＡ、Ｂ、Ｃ、およびＤを含
むプロセッサメモリなど）を含むものとして理解されるべきである。

【００２１】以下の表１は、上述した暗号化および復号化プロセスについての例示的パフォ
ーマンス測定結果を示す。表中のパフォーマンス値は、キーセットアップを含ん
でいないため、任意のキーサイズｂに適用可能である。ＲＣ６^TM−３２／２０／
ｂの最適化ＡＮＳＩＣインプリメンテーションについての表中のパフォーマン
ス値は、ＡＥＳ提出要求に規定されているような、Ｂｏｒｌａｎｄ社のＣ＋＋開
発スイート５．０中のコンパイラを用いて得られた。パフォーマンス測定は、Ｒ
ＡＭが３２ＭＢｙｔｅで２６６ＭＨｚのＰｅｎｔｉｕｍＩＩコンピュータをＷ
ｉｎｄｏｗｓ９５を稼動させて行った。タイミング測定の精度を上げるため、
タイミング試験を行っている間、プロセッサ上のマスカブルインターラプトをデ
ィセーブルした。ＲＣ６^TM−３２／２０／１６のアセンブリ言語によるインプリ
メンテーションについて示されている値は、同様の条件下のもと、同じコンピュ
ータで得られた。ＲＣ６^TM−３２／２０／ｂの最適化Ｊａｖａインプリメンテー
ションについてのパフォーマンス測定は、ＲＡＭが６４ＭＢｙｔｅで１８０ＭＨ
ｚのＰｅｎｔｉｕｍＩＩコンピュータをＷｉｎｄｏｗｓＮＴ４．０を稼動さ
せて行った。このインプリメンテーションは、ＪａｖａｓｏｆｔのＪＤＫ１．１
．６コンパイラ上でコンパイルされ、その結果得られたバイトコードのパフォー
マンスは、（ＪＩＴのコンパイルをディセーブルした状態の）Ｊａｖａｓｏｆｔ
のＪＤＫ１．１．６インタープリタおよびＳｙｍａｎｔｅｃ社のＪａｖａ！Ｊ
ｕｓｔＩｎＴｉｍｅＣｏｍｐｉｌｅｒＶｅｒｓｉｏｎ２１０．０５４のＪ
ＤＫ１．１．２の両方で測定された。表中の値は、２００ＭＨｚに縮尺され、
ＡＥＳにより規定された基準プラットフォームは、同等またはわずかに改善され
た値を生成することが予想される。表２は、比較目的のため、類似の方法を用い
て生成された、ＡＮＳＩＣ、Ｊａｖａ（ＪＩＴ）およびアセンブリインプリメ
ンテーションについてのＲＣ５^TM−３２／１６／１６の対応する値を示す。表１
および２は、上述した演算を１０回以上実行して生成された値の平均値である。

【００２２】

【表１】

【００２３】

【表２】ＲＣ６^TM−３２／２０／ｂ暗号化処理が、表２のソフトウェアインプリメンテ
ーションの３つの例の各々について、２００ＭＨｚでのＭビット／秒において、
対応するＲＣ５^TM−３２／１６／１６暗号化処理よりも、大きいスループットを
提供することが明らかである。上述したように、表１および２に示した暗号化に
かかる時間は、キー設定を含まず、ユーザが供給するキーの長さと関係がない。
ＲＣ６^TM−３２／２０／ｂおよびＲＣ５^TM−３２／１６／ｂの両方に必要なキー
設定は、ほぼ同じであると予想される。ＡＮＳＩＣの場合のタイミングは、単
一の、３０００ブロックからなるデータのピースを、暗号化または復号化するこ
とによって得られた。ＪＡＶＡおよびアセンブリにおけるタイミングは、単一の
ブロックを１０，０００回暗号化または復号化することによって得られた。より
速いインプリメンテーションが、充分可能であり得る。

【００２４】スマートカードおよび他の同様のデバイスにおいて見受けられるような、８ビ
ットプラットフォームにおけるＲＣ６^TM−３２／２０／１６の性能について、評
価が与えられる。具体的には、評価は、ＩｎｔｅｌＭＳＣ−５１マイクロコン
トローラ系について考慮される。この評価は、同様の命令セットおよびタイミン
グを有する、Ｐｈｉｌｉｐｓ８０Ｃ５１系等の他のタイプのプロセッサに対し
て適用されると考慮され得ることが予想される。ＲＣ６^TM−３２／２０／１６暗
号化の所与のラウンドは、６つの加算、２つの排他的ＯＲ、２つの二乗化、ｌｇ３２＝５ビットによる２つの左ローテーション、可変的な量ｒによる２つの左
ローテーションを含む。これは、（Ｂｘ（２Ｂ＋１））＝２Ｂ²＋Ｂを１つの二
乗化、および２つの加算とみなしていることに留意しなければならない。これら
の基本的な動作は、アドレッシング命令を無視して、以下の様式で、８ビットプ
ロセッサにおいて実現され得る。

【００２５】１．３２ビット加算が、桁上げする４つの８ビット加算を用いて計算され得る
（ＡＤＤＣ）。

【００２６】２．３２ビットの排他的ＯＲは、４つの８ビットの排他的ＯＲを用いて計算さ
れ得る（ＸＲＬ）。

【００２７】３．３２ビット二乗化は、６つの８ビット掛ける８ビットの乗算（ＭＵＬ）お
よび１１個のＡＤＤＣを用いて計算され得る。６４ビットプロダクトの低い方の
３２ビットのみが必要とされるで、６つの乗算で十分であることに留意しなけれ
ばならない。

【００２８】４．３２ビットのワードを左に５つだけローテーションすることは、ワードを
右に１ビット位置だけ３回ローテーションし、その後、４バイトの順列を計算す
ることによって計算され得る。１ビット位置だけワードを右にローテーションす
ることは、桁上げする４バイトローテーションを用いて行われ得ることに留意し
なければならない（ＲＲＣ）。

【００２９】５．３２ビットのワードを左にｒだけローテーションすることは、ワードを左
または右に１ビット位置だけ、ｒ’回（ｒ’≦４、平均は２）ローテーションし
、その後、適切に４バイトの順列を計算することによって計算され得る。ｒの５
ビットを用いて、ｒ’および、ジャンプを用いて制御され得る順列を決定する（
ＪＢ）。

【００３０】６．ほとんどの命令は、１つのサイクルをとるが、４つのサイクルをとるＭＵ
Ｌ、および２つのサイクルをとるＪＢは除く。

【００３１】上記の結果を用いて、８ビットマイクロコントローラ、または他の同様のプラ
ットフォームにおけるＲＣ６^TM−３２／２０／１６の１つのラウンドを実現する
ために必要とされるプロセッサクロックサイクルの総数が、以下の表３にまとめ
られている。

【００３２】

【表３】アドレシング命令、プレホワイトニング、ポストホワイトニング、および任意
のさらなるオーバーヘッドを慎重に考慮すると、ＲＣ６^TM−３２／２０／１６で
１ブロックのデータを暗号化するために、約（１７４×２０）×４＝１３，９２
０サイクルが必要であると、本発明者らは推定する。ＩｎｔｅｌＭＣＳ−５１
マイクロコントローラ上での１サイクルに１マイクロ秒かかると仮定すると、こ
の特定のプロセッサ上での、ＲＣ６^TM−３２／２０／１６の暗号化速度について
の推定値は、約（１，０００，０００／１３，９２０）×１２８＝９．２キロビ
ット／秒である。キーセットアップについて、図５のプロセスにおける主なトル
ープは、「セカンドフォーループ（ｓｅｃｏｎｄｆｏｒｌｏｏｐ）」である
。ｂ＝１６、２４、３２およびｒ＝２０について、このループにおける繰り返し
の回数は、ｒ＝ｍａｘ｛２０×２＋４，ｂ／４｝＝１３２であり、これはｂとは
関係がない。「セカンドフォーループ」における各繰り返しは、４回の３２ビッ
トの加算、左へ３だけ１回のローテーション、および左へｒだけ１変数回のロー
テーションを用いる。さらに、オーバーヘッドとして含まれる、数回の８ビット
演算が行われる。暗号化プロセスについて上で分析したのと同様の分析に従うと
、各繰り返しについて推定される合計サイクル数は、アドレシング命令を無視す
ると、５２である。再び、さらなるオーバーヘッドについて慎重に推定を行なう
と、１２８ビットのキー、１９２ビットのキー、または２５６ビットのキーをセ
ットアップするために、約（５２×１３２）×４＝２７，４５６サイクルが必要
である（これは、ＩｎｔｅｌＭＣＳ−５１マイクロコントローラ上では、約２
７ミリ秒が必要である）と、本発明者らは推定する。

【００３３】次に、本発明のカスタムまたはセミカスタムハードウェアインプリメンテーシ
ョンのためのハードウェア要求の推定を提供する。最も関係のあるパラメータは
シリコン面積、スピード、および３２×３２整数乗算の消費電力である。この乗
算は、標準的な０．２５ミクロンＣＭＯＳプロセスの場合１２０×１００ミクロ
ン（０．０１２ｍｍ²）の面積、各乗算動作につき約３ｎｓ、および約５ミリワ
ットの消費電力を要求し得ると推定される。３２ビット可変ローテーション、す
なわち「バレルシフタ」は、少なく見積もっても乗算器の面積の半分（０．００
６ｍｍ²）を占め、各動作につき１ｎｓを要すると推定される。また、３２ビッ
トフル加算器は、フル乗算器面積の４分の１および約１ｎｓを要すると推定され
る。さらに、関数ｆ（ｘ）＝ｘ（２ｘ＋１）（ｍｏｄ２^w）は、３２×３２のフ
ル乗算器を実現する代わりに、６４ビットの積の下位３２ビットを返す乗算器の
みを用いて演算することができる。そのような「部分的」乗算器はフル乗算器の
面積の約６０％を占め、約３ｎｓの演算時間を要すると推定される。３２ビット
排他的ＯＲについては面積ゼロかつ演算時間ゼロと推定し、３２ビット搬送−伝
播加算については０．００３ｍｍ²の面積および１ｎｓの演算時間と見積もれば
、総要求面積は約０．０１６ｍｍ²であり総要求演算時間は５ｎｓである。効率
的なインプリメンテーションのためには、２つのそのような回路群を１つのチッ
プ上に含めてもよい。その結果、総面積はＲＣ６^TM−３２／２０／１６に直接関
連する部分について約０．０３２ｍｍ²であり、制御、入力／出力およびその他
のオーバーヘッド動作についてさらに０．０１８ｍｍ²である。このハードウェ
アインプリメンテーション例において必要となる総演算面積は従って、０．０５
ｍｍ²のオーダーである。消費電力は面積に比例すると仮定すれば、総電力予算
は約２１ミリワットである。ブロック毎につき２０ラウンドとすれば、各ブロッ
クについて総暗号化時間は約５×２０＝１００ｎｓであり、約１．３Ｇｂｉｔｓ
／秒というデータレートの推定が得られる。復号化時間は暗号化に必要な時間と
同様であると考えられ、暗号化時間および復号化時間の両方とも、ユーザが供給
するキーの長さに対して独立であると考えられる。上記推定はやや概算であるが
、少なめに推定していることに留意されたい。例えば、３２×３２ビットのフル
乗算器を実現する代わりに、下位３２ビットを返す乗算器のみを用いること、あ
るいは自乗用の回路を実現することにより、節約が可能であり得る。また、メイ
ン暗号化ループ２０を使用モードによっては２０回「戻す（ｕｎｗｉｎｄ）」こ
とにより、追加的な面積および消費電力を代償とするが大きく改善された性能が
可能になる。

【００３４】セキュリティに関して、ＲＣ６^TMに対する最良のアタックは、ユーザによって
提供された暗号キーを徹底的にサーチすることであると考えられる。微分および
線形暗号解読などのより高度なアタックをマウントするためのデータに対する要
件は、入手可能なデータを超えることが示され得る。さらに、いわゆる「弱い」
キーの公知例はない。

【００３５】本明細書に記載する暗号化および復号化技術は一例であり、本発明をいずれか
の特定の実施形態または実施形態群に限定すると解釈されるべきではないことが
再び強調されるべきである。別の実施形態は、２より大きい次数を有する多項式
を含む、上述した例としての２次の多項式以外の関数を用い得る。加えて、関数
のアウトプットを、ｍｏｄ２^wと考える必要はない。さらに、一実施形態で３２
ビットワードおよび対応する１２８ビットのブロックサイズを用いて説明したが
、本発明の適用範囲は、必要に応じて他のブロックサイズに容易に広げられ得る
。例えば、本発明は、次世代システムアーキテクチャによって提供される性能を
利用するために、６４ビットワードサイズおよび対応する２５６ビットのブロッ
クサイズによって構成され得る。さらに、図１〜図４に示す実施形態は、暗号化
および復号化ルーチンにおいて、ある度合いの並行処理を利用することを可能に
する。例えば、各ラウンドでのｔおよびｕの演算は、ＡおよびＣなどの値の更新
と同様、並行して実行され得る。そのため、本発明の実施形態は、プロセッサが
増加する内部並行処理量を含むようになるに従って向上するスループットを示す
と予想される。添付の請求の範囲に含まれる、これらおよび他の多くの別の実施
形態は、当業者にとって十分明らかである。

【図面の簡単な説明】

【図１】本発明の例示的実施形態による例示的な暗号化プロセスを示す。

【図２】本発明の例示的実施形態による例示的な複号化プロセスを示す。

【図３】図１の暗号化プロセスに関わる計算を説明する図である。

【図４】図２の復号化プロセスに関わる計算を説明する図である。

【図５】本発明による例示的なキー生成プロセスを示す。

【図６】本発明による暗号化および復号化プロセスを組み込む例示的システムを示す。

【手続補正書】特許協力条約第３４条補正の翻訳文提出書

【提出日】平成１２年６月１日（２０００．６．１）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】発明の名称

【補正方法】変更

【補正内容】

【発明の名称】データ依存性ローテーションを用いる強化型ブロック暗号

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者ロブシャウ，マシュージョンバートンアメリカ合衆国カリフォルニア 94117，サンフランシスコ，クレイトンストリートナンバー４ 711 (72)発明者シドニー，レイモンドマークアメリカ合衆国カリフォルニア 94404，フォスターシティー，ディアズレーン 952 (72)発明者イン，イグンリサアメリカ合衆国カリフォルニア 94403，サンマテオ，ロシリーストリート 327 Ｆターム(参考） 5J104 JA03 NA09 【要約の続き】ーアレイの１エレメントは、これらのローテーション結果の各々に適用され（２８、３２）、そして次にレジスタ内容が転置される。このプロセスは、指定された回数繰り返され、暗号文メッセージを生成する。プレホワイトニング（１０、１２）およびポストホワイトニング（３４、３６）動作は、入力または出力がいずれの暗号化回についてもいずれの内部情報をも明らかにしないことを確実にするために含まれ得る。対応する復号化動作を使用して、暗号文メッセージが復号化され得る。

Claims

【特許請求の範囲】

【請求項１】平文メッセージを暗号化する方法であって、（ａ）該平文メッセージを複数のワードにセグメント化するステップと、（ｂ）整数乗算を該ワードのうちの少なくとも１つに適用するステップと、（ｃ）該適用ステップ（ｂ）の結果に基づいた値を第１のビット数だけローテ
ーションするステップと、（ｄ）該ローテーションステップ（ｃ）の適用の結果に基づいた値を、該ワー
ドのうちの別の１つから得られた第２のビット数だけローテーションするステッ
プと、（ｅ）該ステップ（ｄ）の結果に基づいた値に秘密キーを適用するステップと
、（ｆ）該ステップ（ｂ）、（ｃ）、（ｄ）および（ｅ）を指定回数繰り返すス
テップとを含む方法。
【請求項２】前記適用ステップ（ｂ）、前記ローテーションステップ（ｃ
）および前記ローテーションステップ（ｄ）の結果に基づいた値のうちの少なく
とも１つが該対応の結果そのものである、請求項１に記載の方法。
【請求項３】前記整数乗算関数が形式ｆ（ｘ）＝ｘ（ａｘ＋ｂ）の２次関
数（ａおよびｂは、整数）である、請求項１に記載の方法。
【請求項４】前記ａが偶数かつ前記ｂが奇数である、請求項３に記載の方
法。
【請求項５】前記ａが０かつ前記ｂが回ごとに異なる奇数である、請求項
３に記載の方法。
【請求項６】前記整数乗算関数が形式ｆ（ｘ）＝ｘ（ａｘ＋ｂ）（ｍｏｄ
２^w）の２次関数であり、ここでｗが前記ワードのうちの所定の１つにおけるビ
ット数である、請求項３に記載の方法。
【請求項７】前記ローテーションステップ（ｃ）が、ｌｇｗによって与え
られる所定のビット数だけ前記適用ステップ（ｂ）の結果をローテーションする
ステップを含み、ここでｌｇは底２の対数を示し、かつｗは前記ワードのうちの
所定の１つにおけるビット数である、請求項１に記載の方法。
【請求項８】前記ステップ（ａ）が、前記平文メッセージを４つのワード
にセグメント化するステップを含み、前記ステップ（ｂ）が、整数乗算を該４つ
のワードのうちの２つに適用するステップを含み、前記ステップ（ｃ）が、該ス
テップ（ｂ）の２つの結果の各々を所定のビット数だけローテーションして２つ
の対応の中間結果を生成するステップを含む、請求項１に記載の方法。
【請求項９】前記ステップ（ｂ）および（ｃ）によって処理された前記２
つのワードのうちの所定の１つに対して、前記ステップ（ｄ）および（ｅ）は、（ｉ）前記ワードのうちのその他のワードのうちの１つおよび前記２つの中間
結果のうちの１つの排他的論理和を計算するステップと、（ｉｉ）該中間結果のうちの他方の中間結果によって与えられる量だけ該ステ
ップ（ｉ）の結果をローテーションするステップと、（ｉｉｉ）選択キーアレイのうちのエレメントを該ステップ（ｉｉ）の結果に
適用するステップとを含む、請求項８に記載の方法。
【請求項１０】前記セグメント化ステップ（ａ）の一部として、前記複数
のワードを対応する複数のレジスタに格納するステップと、前記適用ステップ（
ｅ）を実行した後、該レジスタの内容を転置するステップとをさらに含む、請求
項１に記載の方法。
【請求項１１】前記ステップ（ａ）を実行する前に、前記複数のワードの
少なくともサブセットを、秘密キーアレイの１つのエレメントを該サブセットに
適用することによって、プレホワイトニングするステップをさらに含む、請求項
１に記載の方法。
【請求項１２】前記ステップ（ｆ）を実行した後に、前記複数のワードの
少なくともサブセットを、秘密キーアレイの１つのエレメントを該サブセットに
適用することによって、ポストホワイトニングするステップをさらに含む、請求
項１に記載の方法。
【請求項１３】平文メッセージを暗号化するための装置であって、秘密キーの少なくとも一部を格納するためのメモリと、該メモリに関連するプロセッサであって、ここで該プロセッサは、（ａ）該平文を複数のワードにセグメント化し、（ｂ）整数乗算を該ワードのうちの少なくとも１つに適用し、（ｃ）該適用動作（ｂ）の結果に基づいた値を第１のビット数だけローテー
ションするステップと、（ｄ）該ローテーション動作（ｃ）の適用の結果に基づいた値を、該ワード
のうちの別の１つから得られた第２のビット数だけローテーションし、（ｅ）該動作（ｄ）の結果に基づいた値に秘密キーを適用し、そして（ｆ）該動作（ｂ）、（ｃ）、（ｄ）および（ｅ）を指定回数繰り返すよう
に動作する、プロセッサとを含む、装置。
【請求項１４】前記適用動作（ｂ）、前記ローテーション動作（ｃ）およ
び前記ローテーション動作（ｄ）の結果に基づいた値のうちの少なくとも１つが
該対応の結果そのものである、請求項１３に記載の装置。
【請求項１５】前記整数乗算関数が形式ｆ（ｘ）＝ｘ（ａｘ＋ｂ）の２次
関数（ａおよびｂは、整数）である、請求項１３に記載の装置。
【請求項１６】前記ａが偶数かつ前記ｂが奇数である、請求項１５に記載
の装置。
【請求項１７】前記ａが０かつ前記ｂが回ごとに異なる奇数である、請求
項１５に記載の装置。
【請求項１８】前記整数乗算関数が形式ｆ（ｘ）＝ｘ（ａｘ＋ｂ）（ｍｏ
ｄ２^w）の２次関数であり、ここでｗが前記ワードのうちの所定の１つにおける
ビット数である、請求項１５に記載の装置。
【請求項１９】前記回線動作（ｃ）が、ｌｇｗによって与えられる所定の
ビット数だけ前記適用動作（ｂ）の結果をローテーションする動作を含み、ここ
でｌｇは底２の対数を示し、かつｗは前記ワードのうちの所定の１つにおけるビ
ット数である、請求項１３に記載の装置。
【請求項２０】前記動作（ａ）が、前記平文メッセージを４つのワードに
セグメント化する動作を含み、前記動作（ｂ）が、整数乗算を該ワードのうちの
２つに適用する動作を含み、前記動作（ｃ）が、該動作（ｂ）の２つの結果の各
々を所定のビット数だけローテーションして２つの対応の中間結果を生成する動
作を含む、請求項１３に記載の装置。
【請求項２１】前記動作（ｂ）および（ｃ）によって処理された前記２つ
のワードのうちの所定の１つに対して、前記プロセッサがさらに：（ｉ）前記ワードのうちのその他のワードのうちの１つおよび前記２つの中間
結果のうちの１つの排他的論理和を計算する動作と、（ｉｉ）該中間結果のうちの他方の中間結果によって与えられる量だけ該動作
（ｉ）の結果をローテーションする動作と、（ｉｉｉ）選択キーアレイのうちのエレメントを該動作（ｉｉ）の結果に適用
する動作とによって前記動作（ｄ）および（ｅ）を実施する、請求項２０に記載
の装置。
【請求項２２】前記プロセッサがさらに、前記セグメント化動作（ａ）の
一部として、前記複数のワードを対応する複数のレジスタに格納し、かつ、前記
適用動作（ｅ）を実行した後、該レジスタの内容を転置するように動作する、請
求項１３に記載の装置。
【請求項２３】前記プロセッサがさらに、前記動作（ａ）を実行する前に
、前記複数のワードの少なくともサブセットを、秘密キーアレイの１つのエレメ
ントを該サブセットに適用することによって、プレホワイトニングするように動
作する、請求項１３に記載の装置。
【請求項２４】前記プロセッサがさらに、前記動作（ｆ）を実行した後に
、前記複数のワードの少なくともサブセットを、秘密キーアレイの１つのエレメ
ントを該サブセットに適用することによって、ポストホワイトニングするように
動作する、請求項１３に記載の装置。
【請求項２５】平文メッセージを暗号化するための１つ以上のプログラム
を格納するためのコンピュータ読み取り可能媒体であって、該１つ以上のプログ
ラムが、実行時に、（ａ）該平文メッセージを複数のワードにセグメント化するステップと、（ｂ）整数乗算を該ワードのうちの少なくとも１つに適用するステップと、（ｃ）該適用ステップ（ｂ）の結果に基づいた値を第１のビット数だけローテ
ーションするステップと、（ｄ）該ローテーションステップ（ｃ）の適用の結果に基づいた値を、該ワー
ドのうちの別の１つから得られた第２のビット数だけローテーションするステッ
プと、（ｅ）該ステップ（ｄ）の結果に基づいた値に秘密キーを適用するステップと
、（ｆ）該ステップ（ｂ）、（ｃ）、（ｄ）および（ｅ）を指定回数繰り返すス
テップとを実施する、コンピュータ読み取り可能媒体。
【請求項２６】暗号メッセージを復号化する方法であって、（ａ）該暗号メッセージを複数のワードにセグメント化するステップと、（ｂ）整数乗算を該ワードのうちの少なくとも１つに適用するステップと、（ｃ）該適用ステップ（ｂ）の結果に基づいた値を第１のビット数だけローテ
ーションするステップと、（ｄ）該ローテーションステップ（ｃ）の適用の結果に基づいた値を、該ワー
ドのうちの別の１つから得られた第２のビット数だけローテーションするステッ
プと、（ｅ）該ステップ（ｄ）の結果に基づいた値に秘密キーを適用するステップと
、（ｆ）該ステップ（ｂ）、（ｃ）、（ｄ）および（ｅ）を指定回数繰り返すス
テップとを含む方法。
【請求項２７】暗号メッセージを復号化するための装置であって、秘密キーの少なくとも一部を格納するためのメモリと、該メモリに関連するプロセッサであって、ここで該プロセッサは、（ａ）該暗号文を複数のワードにセグメント化し、（ｂ）整数乗算を該ワードのうちの少なくとも１つに適用し、（ｃ）該適用動作（ｂ）の結果に基づいた値を第１のビット数だけローテー
ションする動作と、（ｄ）該ローテーション動作（ｃ）の適用の結果に基づいた値を、該ワードの
うちの別の１つから得られた第２のビット数だけローテーションし、（ｅ）該動作（ｄ）の結果に基づいた値に該秘密キーの一部を適用し、そして（ｆ）該ステップ（ｂ）、（ｃ）、（ｄ）および（ｅ）を指定回数繰り返すよ
うに動作する、プロセッサとを含む、装置。