JP2002543667A - 効果的なキー長制御方法及び装置 - Google Patents

Abstract

(57)【要約】 本発明は、暗号化アルゴリズムの初期化の使用に対し、暗号化キー暗号化キーＫ'_cを計算する方法及び装置を含んでいる。本発明は、通信を行う２つの装置の条件に基づいて、暗号キーＫ_c（ｘ）を取得し、最大暗号キー長Ｌを判定し、かつ最大使用可能暗号化キー長Ｌ_maxを判定することによって、暗号化キーＫ'_c（ｘ）を計算する方法を開示する。次に、暗号キーＫ_c（ｘ）が、加算機能あるいは排他機能を介して多項式ｇ₁（ｘ）で演算される。その結果は多項式ｇ₂（ｘ）で演算され、これは、暗号化キーＫ'_c（ｘ）の開始点間を拡散する。つまり、暗号化キーは、Ｋ'_c（ｘ）＝ｇ₂ ^(L)（ｘ）［Ｋ_c（ｘ） ｍｏｄ ｇ₁ ^{(L )}（ｘ）］に従って判定される。暗号化キーＫ'_cを計算する方法は、最大暗号キー長を越えないことを補償する。加えて、この方法は、新規な暗号化キーＫ'_cが生成される毎に新規な取り得る開始点を生成する。

Description

【発明の詳細な説明】

【０００１】 背景 本発明は暗号化に関するものであり、特に、暗号化アルゴリズムで使用する暗
号化キーを安全確保して判定し、かつ制御可能にする方法及び装置に関するもの
である。 通信システムでは、プライバシ及びデータ完全性を保証するために送
信前にデータは通常暗号化される。データの暗号化は、暗号化アルゴリズムで行
われる。暗号化アルゴリズムは、他のデータ、演算処理及び／あるいは暗号化を
実行する他の手段を使用して送信データを処理するあるいは符号化する。例えば
、暗号化アルゴリズムは、暗号化キーとして知られるデータ変数を利用し、この
暗号化キーは、本明細書では、その初期化処理では変数Ｋ'_cとして参照する。暗
号化キーは、暗号キーあるいは秘密キーの一部から生成され、本明細書では、こ
の暗号キーあるいは秘密キーをＫ_cとして参照し、Ｋ_cはデータの暗号化及び解読
のために受信装置及び送信装置の両方で既知である。

【０００２】 各国は、暗号化ソフトウェア及びハードウェアに制限されない、データ暗号化
及びデータ送信で使用される通信部品及び装置の輸出を規制している。このよう
な輸出の規制は、各国によって様々である。特に、輸出する装置で利用可能な暗
号キー長の最大許容キー長は各国で規制している。暗号化データを送受信するユ
ーザは、最大限、つまり、セキュリティを最大限にするために、最長暗号キーを
使用できることを望んでいる、しかしながら、これらのユーザは、暗号キーの国
の規制による制限を受けている。

【０００３】 現在の技術では、暗号キーＫ_cのキー長が１から１６０バイト（８ビットから
１２８０ビット）の間となるように想定している。各国は、典型的には、最大許
容暗号キー長を、例えば、７バイト（５６ビット）に制限している。これ以上の
暗号キー長にすると、製造者は輸出許可書を適用しなければならない。通信装置
、例えば、セルラー電話は、典型的には、適用可能な輸出規制の下で特定装置に
対して許容される最大暗号キー長を利用している。この最大暗号キー長は、国の
規制を完全に補償するためにユーザが変数を容易に操作することを防止するよう
に記憶されなければならない。例えば、この変数は、リードオンリメモリ（ＲＯ
Ｍ）に記憶することができる。しかしながら、製造の観点からは、多くの国で動
作することが可能な通信装置を製造することが望ましく、これによって、カスタ
ム化を回避し、かつ様々な地域で同一の通信装置をユーザに使用させることが可
能になる。製造者は、様々な国で設定される異なる規制を満足する標準暗号化方
法を有する国際製品を製造することが好ましく、かつハイレベルなデータセキュ
リティを提供することが好ましい。

【０００４】 現状では、暗号化キーＫ'_cは、マスタクロックのような他の汎用変数とともに
、暗号化アルゴリズムの初期化において使用される。暗号化キーＫ'_cは、以下の
式に従って、暗号キーＫ_cと、ＲＡＮＤで示される汎用乱数を利用する。

【０００５】

【０００６】 ここで、Ｌは１≦Ｌ≦ｍｉｎ｛Ｌ^A _max｝，Ｌ^B _min｝バイトであり、 また、ＲＡＮＤ［Ｌ．．．１５］はＲＡＮＤがＬから１５バイトであることを
示している。

【０００７】 説明上、Ｌ_maxバイト中の最大使用可能暗号化キー長は１６バイトであると仮
定するが、別の暗号化キー長も使用することができる。

【０００８】 上述の式から示されるように、暗号化キーＫ'_cは、乱数を暗号キーＫ_cの末尾
に付加することによって生成され、暗号化キー長、即ち、本例の場合、１６バイ
トに対して利用可能なすべてのバイト量が得られる。変数Ｌは、それぞれが異な
る国の規制によって製造された第１通信装置Ａの暗号キー長Ｌ^A _maxと第２通信装
置Ｂの暗号キー長Ｌ^B _maxの両方で許容される最小暗号キー長を示している。換言
すれば、暗号化キーＫ'_cの計算で使用される暗号キー長は、第１通信装置Ａ及び
第２通信装置Ｂによって使用できる２つの暗号キー長の小さい方である。両装置
は、最小キー長の暗号化通信を使用することができるばかりか、一方の装置は最
大キー長の暗号化通信を使用することができる。

【０００９】 暗号化キーＫ'_cを生成する上述の式での１つの問題は、暗号化アルゴリズムを
実現するハードウェアが、Ｌ_maxのプリセット値を無効にするソフトウェアによ
って変更されないことを補償することが難しいことである。また、汎用のＲＡＮ
Ｄ変数は、有効キー長が完全に制限されないこと、即ち、Ｋ'_cは最大有効キービ
ットを有することを達成するために、誤って使用される可能性がある、 別の解決策は、ソフトウェアによる暗号化キー長の変更を防止するために通信
装置のメモリ内の暗号化キーＫ'_cに対して提供される空間をＬバイトに削減する
ことである。これは、利用可能総バイト量から、ＲＡＮＤを無視した暗号キーＫ
'_cのＬバイト分を差し引いて「マスクアウト」することによって達成することが
できる。例えば、この場合、最大暗号化キー長は１６と想定されるので、１６−
Ｌバイトが「マスクアウト」される、換言すれば、１６−Ｌバイトは０あるいは
別の固定ストリングに置換される。その結果、暗号化キーＫ'_cは、最初のＬバイ
トに対しＫ_cと、次の１６−Ｌバイト（１２８−８Ｌビット）に対し０あるいは
いくつかの固定ストリングから構成されることになる。

【００１０】 しかしながら、Ｌバイト値に対しては、この解決策では、少なくとも２つの好
ましくない問題が生じる。１つ目は、暗号化アルゴリズムの初期化中に、暗号化
アルゴリズムは暗号化キーＫ'_cをシャッフルし、かつ暗号化アルゴリズムの開始
点を判定する。強力な暗号化を達成するためには、シャッフリング期間は長くす
る必要がある、これは、１６−Ｌバイト中の長い固定ストリングの「非乱数化」
のためであり、ここでＬは小さい。そのため、暗号化キーの「乱数」部分の長さ
は短くなるので、良好な暗号化を達成するために短い「乱数」ビット長を保証す
る暗号化キーの開始点の判定においては、暗号化アルゴリズムは理想的にシャッ
フリング期間、あるいは反復数が増える。しかしながら、実行可能な反復数は、
送信／受信のスイッチングの厳格なタイミング条件設定によって制限されている
。つまり、これは、暗号化の解読が容易となるリスクが発生する。

【００１１】 ２つ目は、未認可の人間の暗号化データの解読の試行あるいは「暗号アタック
」の実行は、Ｌバイトの暗号キーＫ_cの検討あるいは解析だけで済むということ
である。換言すれば、未認可の人間は、小さい値のＬに対して使用可能な最大暗
号化キー長、この場合、１６バイトよりもより小さな値Ｌに対し、Ｌバイト中の
データの取り得る組み合わせを解析するだけで済むことである。これは、未認可
の解読のリスクが発生する。

【００１２】 一般的には、好適な暗号化アルゴリズムは、その入力として、例えば、バイナ
リ環境で２^8L種類の開始点の１つを受信する。ここで、Ｌが１６バイトであると
、好適な暗号化アルゴリズムはバイナリ環境で２¹²⁸種類の開始点を受信する。
８Ｌの組み合わせのそれぞれのＫ'_cビットは、２^8L開始点の１つを定義する。暗
号化データの解読を試行する未認可の人間は、２^8Lの組み合わせ以上の試行を行
わなければならない。いくつかの開始点は、国の規制で制限しているキー長が利
用可能である。例えば、ある国が暗号キー長を最大５バイト（４０ビット）に制
限している場合は、暗号化アルゴリズムの開始点を削減し、ここでは、２⁴⁰の開
始点となる。また、２^8L種類の開始点を記憶するために利用可能な空間あるいは
メモリを考慮する場合、現在の技術は、通常、利用可能な全メモリ領域を、その
数を減らした開始点を記憶するメモリの特定領域に制限し、メモリの残りの領域
は使用しないようにしている。残りのメモリ位置は一定となる。つまり、暗号化
データの解読を試行する未認可の人間は、２⁴⁰の開始点の解析だけで済み、未認
可の人間は、メモリ内に位置している開始点がどこにあるかを把握することがで
きる。 要約 従って、上述の問題を解決するために、本発明は、暗号化キーＫ'_cが生成され
る場合に、取り得る全開始点を２^8Lの開始点のサブセットに制限する方法を説明
し、ここで、サブセットは、利用可能な全メモリあるいは空間を用いて新規なＫ _c が生成される毎に異なるものとなっている。つまり、新規な暗号化キーＫ'_cの
生成毎に同一位置に開始点が記憶されることは決してない。

【００１３】 加えて、本発明は、暗号化データに暗号キーを使用する通信システム及び暗号
装置において、暗号キーＫ_cの生成器間のインタフェースを提供する。このイン
タフェースは、暗号化キーＫ'_cの計算に加算あるいはモジューロ機能を含ませる
ことによって国内規格で設定される有効キー長に適合する制御可能でかつ安全に
キー長を制限する方法を提供する。

【００１４】 また、本発明は、異なる最大暗号キー長を設定する異なる国で規定される２つ
の装置間の通信を提供する。

【００１５】 更に、本発明は、暗号化キーＫ'_cを提供し、ここで、暗号装置の暗号化アルゴ
リズムへの入力に対する開始点の取り得る組み合わせのすべてにわたって「乱数
性」が及んでいる。

【００１６】 本発明の上述及び他の効果は、暗号化アルゴリズムの使用において暗号化キー
を判定する通信装置によって１つの形態で実行される。通信装置は、１つ以上の
多項式、それぞれが第１入力、第２入力及び出力を有する複数のスイッチング素
子と、このスイッチング素子の第１入力はメモリ素子に接続されており、更に、
それぞれが入力及び出力を有する複数の遅延素子と、複数の遅延素子の１つの出
力は複数のスイッチング素子の第２入力に接続されており、それぞれが第１入力
、第２入力及び出力を有する複数の加算あるいはモジューロ機能とを備え、モジ
ューロ機能の第１入力は１つの遅延素子の出力以外のすべての出力に接続され、
モジューロ機能の第２入力は１つのスイッチング素子の出力以外のすべての出力
に接続されており、モジューロ機能の出力は１つの遅延素子の入力以外のすべて
の入力に接続されている。複数の遅延素子は、シフトレジスタの形態であっても
良い。

【００１７】 本発明の上述及び他の効果は、暗号化アルゴリズムの使用に対する暗号化キー
Ｋ'_c（ｘ）の別の形態の計算方法で実現される。この方法は、暗号キーＫ_c（ｘ
）を取得する工程と、最大暗号キー長Ｌを判定する工程と、最大利用可能暗号化
キー長Ｌ_maxを判定する工程と、その最高次数がＬ_maxである多項式ｇ₁（ｘ）を
取得する工程と、暗号化キーＫ'_c（ｘ）の開始点を拡散するための多項式ｇ₂（
ｘ）を取得する工程と、暗号化キーＫ'_c（ｘ）を計算する工程とを備え、ここで
、Ｋ'_c（ｘ）＝ｇ₂ ^(L)（ｘ）［Ｋ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）］である。 詳細説明 以下の説明では、説明の目的のためで、かつ限定の目的ではなく、本発明の全
体を理解するために、特定回路、回路構成要素、技術等で特定詳細を説明する。
しかしながら、本発明がこれらの特定詳細とは異なる別の実施形態で実施されて
も良いことが当業者に明らかであろう。他の例では、周知の方法、装置及び回路
の詳細説明は、本発明の説明をあいまいにしないために省略する。

【００１８】 規格キー長への適合を補償し、かつ２つ以上の装置間のデータ送信の暗号化を
改善するために、以下の式に従う本発明によって、暗号化キーＫ'_cを判定あるい
は計算し、暗号化アルゴリズムに入力する。

【００１９】 Ｋ'_c（ｘ）＝ｇ₂ ^(L)（ｘ）［Ｋ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）］ （式
２） ここで、Ｌはバイト当たりの最大制限暗号キー長であり、かつ１≦Ｌ≦ｍｉｎ
｛Ｌ^A _max，Ｌ^B _max｝であり、更に、すべてのＬバイトに対しｄｅｇ（ｇ₁（ｘ）
）＋ｄｅｇ（ｇ₂（ｘ））≦ｗであり、ここで、ｗはワード長ビットである。

【００２０】 暗号化キーＫ'_cは、説明上、上述のような多項式表現で記述している。

【００２１】 式２で示されるように、暗号化キーＫ'_cは、暗号キーＫ_cの一部に基づいてい
る。暗号キーＫ_cは、任意の周知の方法あるいは後述の方法で取得することがで
きる。例えば、暗号キーＫ_cは、暗号化及び解読を容易にするために第３の装置
から装置Ａ及び装置Ｂへ別々に通信することができる。選択的には、装置Ａは暗
号キーＫ_cを有し、記憶することができ、更に、装置Ｂへこれを通信することが
できる。現在の技術では、暗号キー長を１から１６０バイト（８から１２８０ビ
ット）長の間に想定している。しかしながら、装置Ａ及び装置Ｂを輸出する各国
は、最大暗号キー長にある制限を設定している。例えば、装置Ａは最大キー長が
５バイト（４０ビット）で通信でき、装置Ｂは最大キー長が７バイト（５６ビッ
ト）で通信できる。装置Ａが装置Ｂへとデータを送信したいことが一旦判定され
ると、装置Ａ及び装置Ｂは両者が通信可能な最大キー長Ｌの「取り決め」を行う
。具体的には、装置Ａ及び装置Ｂは互いにデータを送受信し、各装置の最大キー
長を特定する。この例では、Ｌ^A _maxは４０ビットであり、Ｌ^B _maxは５６ビットで
あるので、装置同士は４０ビット未満のキー長を最大暗号キー長Ｌとして通信す
ることに「合意」する。

【００２２】 つまり、本発明に従えば、最大許容キー長は、装置Ａ及び装置Ｂ間の最大キー
長の最小値に制限される。このキー長の制限は、加算あるいはモジューロ機能及
び多項式ｇ₁（ｘ）の選択を介する暗号化において実行される。

【００２３】 本実施形態では、ｇ₁（ｘ）は、以下の多項式として表現することもできる。

【００２４】

【００２５】 ここで、ｗはワード長であり、Ｌは暗号キーのワード数である。

【００２６】 多項式ｇ₁（ｘ）は、多項式の最高次数が最大許容キー長ビットとなるように
生成される。例えば、ワード長が８ビットで、ワード数が５である場合は、ｇ₁
（ｘ）の最高次数は４０となる。つまり、多項式ｇ₁（ｘ）は、例えば、以下の
ように表現することができる。

【００２７】 ｇ₁（ｘ）＝Ａｘ⁴⁰＋Ｂｘ³⁹＋．．．＋Ｄｘ＋Ｅ Ａ≠０ （式４） 加算あるいはモジューロ演算は、キー長がｗＬビットになることを補償し、こ
れは、モジューロの最高次数が分母の最大次数を越えることができないからであ
る。この例では、演算Ｋ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）は、４０未満、即ち、
３９未満となり得る最大次数となる結果となる。この結果は、最大許容ビット長
を満たす４０ビットを有している。

【００２８】 多項式ｇ₁（ｘ）は、例えば、与えられたＬに対し適切なｇ₁（ｘ）を識別する
テーブルから得ることができる。このテーブルは、利用可能なｇ₁（ｘ）多項式
の安全が確保されるようにハードウェア内に配置されていることが好ましい。つ
まり、ｇ₁（ｘ）多項式は、国の規制を確保するために不正使用からプロテクト
されている。テーブルはｇ₁（ｘ）多項式を記憶するあるいは取得する形式であ
るが、当業者に周知の他の形式で使用されても良いことが認識されるであろう。

【００２９】 上述したように、好適な暗号化アルゴリズムは、その入力として、バイナリ環
境で２^8L種類の開始点を受信する、ここで、Ｌはバイト単位の最大暗号キー長で
ある。８Ｌ Ｋ'_cビットの取り得る組み合わせのそれぞれは、２^8Lの開始点の内
の１つの開始点を定義する。暗号化データを解読する未認可の人間は、２^8Lの組
み合わせ以上を試行しなければならない。

【００３０】 例えば、Ｌが１６バイトである場合、好適な暗号化アルゴリズムは、その入力
として、バイナリ環境で２¹²⁸種類の開始点の内の１つを受信する。１２８Ｋ'_c
ビットの取り得る組み合わせのそれぞれは、２¹²⁸の開始点の内の１つを定義す
る。暗号化データを解読する未認可の人間は、２¹²⁸以上の組み合わせを試行し
なければならない。

【００３１】 上述の装置Ａ及び装置Ｂの例では、暗号化アルゴリズムは開始点数を削減する
、これは、Ｌの値が２⁴⁰の開始点とより小さくなるからである。現在の技術は、
典型的には、利用可能な全メモリ容量（この場合、２⁴⁰種類の開始点）を、その
数が削減された開始点を記憶するためのメモリの特定領域に制限し、メモリの残
りの部分は使用しない。残りのメモリ位置は一定になっている。つまり、現在の
技術下の例では、暗号化データを解読する未認可の人間は、２⁴⁰の開始点を解析
するだけで済み、未認可の人間はメモリにそのような開始点がどこに位置してい
るかを把握することになる。

【００３２】 換言すれば、Ｋ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）から単独で暗号キーＫ'_c（ｘ
）が得られる場合、Ｋ'_c（ｘ）は現在の技術に従うメモリの特定領域に記憶され
る。他のビットは、ゼロあるいはいくつか固定ストリングとなる。次に、開始点
は取り得る開始点のすべての特定サブセットに配置される。しかしながら、暗号
化の強度を向上するために、取り得るビットすべてにわたって開始点を持たすこ
とが有効である。

【００３３】 ハミング距離は、２つのデータストリング中の異なるビット数を反映する値で
ある。取り得る開始点にわたるハミング距離が大きくなると、暗号化は良好にな
る。開始点が常に特定サブセット位置に配置される場合、ハミング距離、つまり
、暗号化は貧弱になる。本発明は、開始点間の最小距離が大きくなるように、特
定サブセットビットを制限しないで、より効果的な方法で開始点を拡散させる方
法及び装置を提供する。

【００３４】 この距離あるいは「拡散」を大きくする概念は、周知の技術である。例えば、
誤り訂正符号化は、異なるアプリケーションに対してこの概念を使用している。
つまり、取り得るビットレンジにわたって開始点を拡散するために、Ｋ_c（ｘ）
ｍｏｄ ｇ₁ ^(L)（ｘ）の演算結果は、多項式ｇ₂（ｘ）と乗算され、ここで、
ｇ₂（ｘ）多項式は、以下のようになる。

【００３５】

【００３６】 ここで、ｗはワード長であり、Ｌは暗号キーのワード数であり、Ｌ_maxは暗号
化キーで使用可能な最大ワード数である。

【００３７】 ｇ₂（ｘ）とＫ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）の演算結果との乗算は、全ビッ
ト領域にわたってＫ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）の演算結果を「拡散する」
ことになる。適切なｇ₂（ｘ）多項式は、従来より周知のＬに基づいて選択され
る。つまり、異なるキー長Ｌに対して、ｇ₂（ｘ）多項式の異なる係数が、より
有効な所望のハミング距離を達成するために選択される。値が小さいＬに対して
は、係数群の１つが所望のハミング距離を達成する一方で、値が大きいＬに対し
ては、異なる係数群はより好適な所望のハミング距離を達成する。バイナリ環境
では、ｇ₂（ｘ）はＢＣＨ誤り訂正符号の多項式生成器として扱ってもよい。ｇ₂ （ｘ）多項式は、与えられるＬに対して適切なｇ₂（ｘ）多項式に関連するテー
ブルのいずれかに記憶することもできる。このテーブルは、ｇ₁（ｘ）が記憶さ
れるテーブルと同じテーブルあるいは他のテーブル内にあっても良い。ｇ₂（ｘ
）多項式は、暗号装置のハードウェアあるいはソフトウェアのどちらかに記憶す
ることもできる。テーブルは検索するｇ₂（ｘ）多項式を記憶する形式であるが
、当業者に周知の別の方法で使用されても良いことが認識されるであろう。選択
的には、ｇ₂（ｘ）多項式は、別の位置、即ち、暗号装置内に配置されていない
位置でのメモリから取得されても良い。

【００３８】 Ｋ'_c（ｘ）はこの乗算から得られる。Ｋ'_c（ｘ）は、暗号化データを使用する
ために暗号化アルゴリズムに入力される。

【００３９】 図１は本発明に従って互いにデータを送信及び受信する移動通信装置１００、
１０２を示している。装置１００、１０２は、セルラー電話あるいはコンピュー
タに限定されるものではなく、有線ハードあるいは無線装置の類であり得る。

【００４０】 図２は通信装置２００の詳細を示している。

【００４１】 通信装置２００は、メモリ素子２０２、ＡＮＤゲート２０４のような複数のス
イッチング素子、複数の遅延素子２０６及び複数の加算あるいはモジューロ機能
２０８を含んでいる。

【００４２】 メモリ素子２０２は多項式ｇ₁（ｘ）を記憶している。メモリ素子２０２は、
ルックアップテーブルあるいは他の構成の記憶情報であっても良い。また、メモ
リ素子２０２は、多項式ｇ₂（ｘ）を記憶しても良い。選択的には、ｇ₂（ｘ）は
、通信装置２００の別の位置に記憶されても良く、あるいは通信装置２００へア
クセス可能な外部の他の位置から取得されても良い。例示の目的のために、本明
細書では、メモリ素子２０２は、ｇ₁（ｘ）及びｇ₂（ｘ）の両方を記憶している
ものとして説明する。関数ｇ₁（ｘ）及びｇ₂（ｘ）は、特定係数、例えば、上述
したような係数を有する多項式である。

【００４３】 スイッチング素子あるいはＡＮＤゲート２０４はそれぞれ、第１入力、第２入
力及び１つの出力を有する。メモリ素子２０２はＡＮＤゲート２０４の第１入力
に接続されている。各遅延素子２０６は、１つの入力と１つの出力を有している
。遅延素子２０６は、シフトレジスタとして実現することができる。ＡＮＤゲー
ト２０４ａの１つの出力は、第１遅延素子２０６ａの入力に接続されている。モ
ジューロ機能２０８はそれぞれ、第１入力、第２入力及び１つの出力を有してい
る。残りのＡＮＤゲート２０８の出力は、モジューロ機能２０８の第１入力に接
続されている。すべての遅延素子２０６の出力は、最終遅延素子２０６ｂ以外は
、モジューロ関数２０８の第２入力に接続されている。最終遅延素子２０６ｂの
出力は、ＡＮＤゲート２０４の第２入力に接続されている。モジューロ機能２０
８の出力は、第１遅延素子２０６ａ以外のすべての遅延素子２０６の入力に接続
されている。

【００４４】 例示の説明のために、バイナリ環境を想定するが、本発明が別の符号表現に等
価的に適用可能であることが当業者には明らかであろう。

【００４５】 まず、図１に示される通信装置１００、１０２は、上述したように、装置１０
０、１０２の両方が通信に使用できる最大暗号キー長Ｌを判定するための「取り
決め」あるいは通信を両者間で行う。装置１００、１０２は、例えば、装置自身
の最大暗号キー長を互いに交換する。次に、装置１００、１０２は、暗号キー長
Ｌが異なる場合に、各装置で要求される２つの暗号キー長の内小さい方を選択す
ることによって、最大暗号キー長Ｌに「合意」する。

【００４６】 図２を再度参照すると、ＡＮＤゲート２０４の第１入力は、メモリ素子２０２
からのｇ₁（ｘ）２次多項式となる。第１ｗ（Ｌ_max−Ｌ）係数はゼロであり、最
終ｗＬ係数は非ゼロの値となる。この場合は、ｗ≧１に対して、ｗはワード長で
あり、Ｌ_max≧１に対して、Ｌは「取り決められた」暗号キーのワード数である
。ＡＮＤゲート２０４の第２入力はゼロに初期化される。つまり、ＡＮＤゲート
２０４の出力は、第１ｗ（Ｌ_max−Ｌ）係数に対応する各ゲートに対してゼロで
ある。最終ｗＬビットに対しては、ＡＮＤゲート２０４の出力は、最終ｗＬ係数
に対応する各ゲートに対するｇ₁（ｘ）多項式の係数の関数である。ｇ₁（ｘ）に
対する係数が０である場合、ＡＮＤゲート２０４は開放となる。逆に、ｇ₁（ｘ
）に対する係数が１である場合、ＡＮＤゲート２０４は閉じられる。

【００４７】 遅延素子２０６は、（図３のシフトレジスタ３０６ａに示されるように）暗号
キーＫ_ｃ（ｘ）の係数で初期化される。これらの係数及びＡＮＤゲート２０４の
出力は、排他機能２０８に入力される。（これは、バイナリ環境の場合である。
バイナリ環境以外の場合、これらの係数は、別の適切な加算機能に入力される。
）ＡＮＤゲート２０４の初期入力はゼロと上述のｇ₁（ｘ）係数のストリングで
ある。排他機能２０８の出力は、第１ＡＮＤゲート２０６ａ以外のすべてのＡＮ
Ｄゲート２０６に入力される。最終遅延素子２０６ｂの出力は、すべてのＡＮＤ
ゲート２０４の第２入力にフィードバックされる。次に、この処理は、利用可能
な周期、クロックパルスあるいは他のタイミング機構に従って、データがシフト
される毎に繰り返される。

【００４８】 暗号キーＫ_c（ｘ）は、まず、遅延素子２０６（あるいは図３で３０６ａで示
されるシフトレジスタ）に入力される。上述のように、計算は、暗号キーＫ_c（
ｘ）を利用して実行される。暗号キーＫ_c（ｘ）は、遅延素子２０６からシフト
される。最終遅延素子２０６ｂの出力は、ＡＮＤゲート２０４が閉じられている
位置のＡＮＤゲート２０４に入力される。ｗ（Ｌ_max−Ｌ）シフトの完了後、（
図３のシフトレジスタ３０６ｂで示されるような）遅延素子２０６は、最終的な
ｗＬの間隔でＫ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）の排他機能の結果を含むことに
なる。上述したように、この計算は、暗号キーＫ_c（ｘ）の最大キー長が、国が
規制する最大許容キー長を越えないことを補償している。

【００４９】 ｗ（Ｌ_max−Ｌ）シフトの完了後、ｇ₂（ｘ）はＡＮＤゲート２０４に入力され
る。ｇ₁（ｘ）に対して、ｇ₂（ｘ）は、第１ｗ（Ｌ_max−Ｌ）が非ゼロの数にな
り得り、かつ最終ｗＬがゼロである多項式である。上述の処理は、ｗＬ以上のシ
フトに対して継続する。排他機能から得られるｗＬビットは、全範囲にわたって
拡散されている。遅延素子２０６の結果は（図３のシフトレジスタ２１０ｃに示
されるように）、暗号キーＫ'_c（ｘ）であり、これは、暗号化データに対する最
適な暗号アルゴリズムに入力することができる。

【００５０】 例示のために、ｗは８、Ｌは５、Ｌ_maxは１６であるとする。簡略化のために
、ここでは、バイナリ環境とする。

【００５１】 図２を再度参照すると、ＡＮＤゲート２０４の第１入力は、メモリ素子２０２
からのｇ₁（ｘ）２次多項式となる。第１ｗ（Ｌ_max−Ｌ）あるいは８８個の係数
はゼロであり、かつ最終ｗＬあるいは４０個の係数は非ゼロの数である。ＡＮＤ
ゲート２０４の第２入力はゼロに初期化される。つまり、ＡＮＤゲート２０４の
出力は、最初の８８ビットに対応する各ゲートに対してゼロとなる。残りの４０
ビットに対しては、ＡＮＤゲート２０４の出力は、その残りの４０ビットに対応
する各ゲートに対するｇ₁（ｘ）多項式の係数となる。ｇ₁（ｘ）に対する係数が
０である場合、ＡＮＤゲートは開放される。逆に、ｇ₁（ｘ）に対する係数が１
である場合、ＡＮＤゲートは閉じられる。

【００５２】 遅延素子２０６は、暗号キーＫ_c（ｘ）の係数で初期化される。これらの係数
及びＡＮＤゲート２０４の出力は、排他機能２０８に入力される。（ＡＮＤゲー
ト２０４の初期入力は、上述のゼロ及びｇ₁（ｘ）のストリングである。）排他
機能２０８の出力は、第１ＡＮＤゲート２０６ａ以外のすべてのＡＮＤゲート２
０６に入力される。最終遅延素子２０６ｂの出力は、ＡＮＤゲート２０４が閉じ
られている位置のＡＮＤゲート２０４に入力される。そして、この処理は、デー
タがシフトされる毎に繰り返される。

【００５３】 暗号キーＫ_c（ｘ）は、まず１２８個の遅延素子２０６に入力される（あるい
は図３の３０６ａで示される１２８ビットシフトレジスタに入力される）。上述
の計算は、暗号キーＫ_c（ｘ）を利用して実行される。暗号キーＫ_c（ｘ）は、遅
延素子２０６からシフトされる。最終遅延素子２０６ｂの出力は、ＡＮＤゲート
２０４に入力される。１２８〜４０あるいは８８のシフトの完了後、遅延素子２
０６は最終的に４０の間隔でＫ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）の排他機能の結
果を含むことになる。

【００５４】 次に、ｇ₂（ｘ）の係数が、ＡＮＤゲート２０４に入力される。上述の処理は
、４０以上のシフトあるいはトータルで１２８のシフトに対して継続する。排他
機能から得られる４０ビットは、全範囲にわたって「拡散」されることになる。
遅延素子２０６の結果（あるいは図３に示されるシフトレジスタ３０６ｃの結果
）は暗号化キーＫ'_c（ｘ）であり、これは、暗号化データに対して最適な暗号化
アルゴリズムに入力される。

【００５５】 図４は本発明に従ってデータを暗号化するために暗号化キーＫ'_cを計算する方
法４００のブロック図を示している。方法４００は、暗号キーＫ_c（ｘ）を取得
する工程４０２を含んでいる。上述したように、暗号キーＫ_c（ｘ）は、従来よ
り周知の方法で取得することができる。次に、最大暗号キー長Ｌを判定する工程
４０４が実行される。最大キー長は、典型的には、バイト値である。通信を行う
装置は、各装置で通信できる最大暗号キー長に関する情報の交換あるいは「取り
決め」を行う。典型的には、最大キー長は、両装置が通信できる取り決められた
最大利用可能キー長に設定される。次に、多項式ｇ₁（ｘ）が、工程４０６に従
って取得される。次に、多項式ｇ₁（ｘ）は、第１の結果を得るために、関数Ｋ_c （ｘ） ｍｏｄ ｇ₁（ｘ）に従う暗号キーＫ_c（ｘ）と乗算される。次に、多項
式ｇ₂（ｘ）が工程４０８に従って取得される。工程４０８は開始点を拡散ある
いは暗号化キーＫ'_c（ｘ）のハミング距離を広げる。適切な多項式ｇ₂（ｘ）が
、工程４０４の結果に基づいて選択される。そして、暗号化キーＫ'_c（ｘ）が、
Ｋ'_c（ｘ）＝ｇ₂ ^(L)（ｘ）［Ｋ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）］を行う工程４
１０に従って計算される。

【００５６】 本発明は、上述の実施形態を参照して説明されている。しかしながら、本発明
の範囲から逸脱しないで変更及び変形が可能であることが当業者には認識される
であろう。例えば、本発明は、最大暗号キー長Ｌが５バイト、最大使用可能暗号
化キー長Ｌ_maxが１６バイトの方法及び装置を説明しているが、本発明がこれら
の長さに限定されないことは明らかであろう。加えて、送信及び受信対象のデー
タが任意の特定タイプのデータに限定されないことも明らかであろう。音声、手
書きあるいは他のデータで構成されていても良い。バイナリ、ＡＳＣＩＩあるい
は任意の他の形式のデータであっても良い。更に、データは、無線あるいは搬送
波あるいは後に知られる周知の任意の媒体を介して送信されても良い。

【図面の簡単な説明】

【図１】 本発明に従ってデータを送受信する２つの移動通信装置を示す図である。

【図２】 本発明に従う暗号化キーＫ'_cを計算する概要図である。

【図３】 本発明に従う様々な時間間隔での図２の概要図に従うシフトレジスタを示す図
である。

【図４】 本発明に従う暗号化キーＫ'_cを計算する方法を示すブロック図である。

【手続補正書】特許協力条約第３４条補正の翻訳文提出書

【提出日】平成１３年５月４日（２００１．５．４）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】特許請求の範囲

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【手続補正２】

【補正対象書類名】明細書

【補正対象項目名】００１１

【補正方法】変更

【補正の内容】

【００１１】 ２つ目は、未認可の人間の暗号化データの解読の試行あるいは「暗号アタック
」の実行は、Ｌバイトの暗号キーＫ_cの検討あるいは解析だけで済むということ
である。換言すれば、未認可の人間は、小さい値のＬに対して使用可能な最大暗
号化キー長、この場合、１６バイトよりもより小さな値Ｌに対し、Ｌバイト中の
データの取り得る組み合わせを解析するだけで済むことである。これは、未認可
の解読のリスクが発生する。 その他の多くの文献では、暗号化技術に関係するキーシーケンスを演算する技
術を記載している。例えば、McNairによる米国特許第５，２７８，９０５号は、
例えば、暗号化処理自身でキーシーケンスの生成及び記憶を時間多重することに
よって、プロセッサの利用に適合するキーシーケンス生成のための技術を記載し
ている。同様に、ＷＯ９７／０５７２０号は、キーを生成する技術を記載し、こ
れは、暗号作成キーの空間を最初に削除して、その削除された空間のキーの空間
を増やすことによってキーを生成する。そして、削減されることで増やされた空
間のキーは、情報の暗号化のために使用される。特定空間の削減処理及び処理の
増大がある暗号化情報を受信する人間は、キーを生成する方法によって、作業要
素を大幅に削減して受信情報を解読することができることになる。しかしながら
、これらの文献はいずれも、暗号化アルゴリズムでの開始点に関係する上述の問
題を解決しない。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ， ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ，ＡＴ，ＡＵ， ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，Ｃ Ｎ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＤＺ，ＥＥ ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ， ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，Ｋ Ｐ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ， ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，Ｓ Ｇ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 ハンソン， マティアス スウェーデン国 ルント エス−224 74， ヴァルデマルス ヴェグ 94 Ｆターム(参考） 5J104 AA35 JA03 NA02 NA04

Claims (28)

【特許請求の範囲】
1. 【請求項１】 暗号化アルゴリズムの使用において、暗号キーＫ_cを演算す
   ることによって暗号化キーＫ'_cを計算する通信装置であって、 １つ以上の多項式を記憶するメモリ素子と、 それぞれが第１入力、第２入力及び出力を有する複数のスイッチング素子と、
   前記スイッチング素子の第１入力は前記メモリ素子に接続され、 それぞれが入力及び出力とを有する複数の遅延素子と、前記複数の遅延素子の
   １つの出力は、前記スイッチング素子の第２入力に接続され、 それぞれが第１入力と、第２入力及び出力とを有する複数の加算機能とを備え
   、 前記複数の加算機能の第１入力は、前記複数の遅延素子の１つ以外のすべての
   出力に接続され、 前記複数の加算機能の第２入力は、前記複数のスイッチング素子の１つ以外の
   すべての出力に接続され、 前記複数の加算機能の出力は、前記複数の遅延素子の１つ以外のすべての入力
   に接続されている ことを特徴とする通信装置。
2. 【請求項２】 前記複数のスイッチング素子は、ＡＮＤゲートである ことを特徴とする請求項１に記載の通信装置。
3. 【請求項３】 前記メモリ素子は、多項式ｇ₁（ｘ）を記憶し、 ここで、ｗはワード長であり、Ｌは前記暗号キーのワード数である ことを特徴とする請求項１に記載の通信装置。
4. 【請求項４】 前記メモリ素子は、多項式ｇ₂（ｘ）を記憶し、 ここで、ｗはワード長であり、Ｌは前記暗号キーのワード数であり、Ｌ_maxは
   前記暗号化キーＫ'_cで使用可能な最大ワード数である ことを特徴とする請求項３に記載の通信装置。
5. 【請求項５】 前記複数の遅延素子は、最初に前記暗号キーＫ_c（ｘ）がロ
   ードされる ことを特徴とする請求項４に記載の通信装置。
6. 【請求項６】 前記多項式ｇ₁（ｘ）は、固定ストリングの第１ｗ（Ｌ_max−
   Ｌ）係数を有している ことを特徴とする請求項５に記載の通信装置。
7. 【請求項７】 前記多項式ｇ₂（ｘ）は、固定ストリングの最終ｗＬ係数を
   有している ことを特徴とする請求項５に記載の通信装置。
8. 【請求項８】 前記複数の遅延素子の最終ｗＬビットは、ｗ（Ｌ_max−Ｌ）
   シフト後のＫ_c（ｘ） ｍｏｄ ｇ₁（ｘ）との結果を記憶する ことを特徴とする請求項７に記載の通信装置。
9. 【請求項９】 前記複数の遅延素子は、加算的ｗＬシフト後の前記暗号化キ
   ーＫ'_cを記憶する ことを特徴とする請求項８に記載の通信装置。
10. 【請求項１０】 前記複数の遅延素子は、シフトレジスタである ことを特徴とする請求項１に記載の通信装置。
11. 【請求項１１】 データを暗号化するための暗号化キーＫ'_c（ｘ）を計算す
    る方法であって、 暗号キーＫ_c（ｘ）を取得する工程と、 最大暗号キー長Ｌを判定する工程と、 最大使用可能暗号キー長Ｌ_maxを判定する工程と、 多項式ｇ₁（ｘ）を取得する工程と、 前記暗号化キーＫ'_c（ｘ）の開始点を拡散させるための多項式ｇ₂（ｘ）を取
    得する工程と、 前記暗号化キーＫ'_c（ｘ）を計算する工程とを備え、 ここで、Ｋ'_c（ｘ）＝ｇ₂ ^(L)（ｘ）［Ｋ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）］で
    ある ことを特徴とする方法。
12. 【請求項１２】 Ｌに基づいて、前記多項式ｇ₂（ｘ）を選択する工程と を更に備えることを特徴とする請求項１１に記載の方法。
13. 【請求項１３】 かつ、前記多項式ｇ₁（ｘ）の最高次数はｗＬである ことを特徴とする請求項１２に記載の方法。
14. 【請求項１４】 であることを特徴とする請求項１３に記載の方法。
15. 【請求項１５】 ｇ₁（ｘ）の第１ｗ（Ｌ_max−Ｌ）は、固定ストリングであ
    る ことを特徴とする請求項１４に記載の方法。
16. 【請求項１６】 ｇ₂（ｘ）の最終ｗＬ係数は、固定ストリングである ことを特徴とする請求項１５に記載の方法。
17. 【請求項１７】 前記計算する工程は、それぞれが第１入力、第２入力及び
    出力を有する複数のＡＮＤゲート、複数の遅延素子、複数の加算機能を使用して
    実行される ことを特徴とする請求項１２に記載の方法。
18. 【請求項１８】 前記暗号キーＫ_c（ｘ）で前記遅延素子を初期化する工程
    を更に備え、 前記複数のＡＮＤゲートの前記第１入力を前記ｇ₁（ｘ）多項式の係数に初期
    化し、 前記ＡＮＤゲートの前記第２入力をゼロに初期化する ことを特徴とする請求項１７に記載の方法。
19. 【請求項１９】 前記複数の遅延素子は、シフトレジスタである ことを特徴とする請求項１７に記載の方法。
20. 【請求項２０】 ２つの通信装置間で暗号化データを通信するシステムであ
    って、 第１暗号キー長Ｌ^A _maxを有する第１通信装置と、 第２暗号キー長Ｌ^B _maxを有する第２通信装置と、 最大暗号キー長Ｌを判定する手段とを備え、Ｌは、１≦Ｌ≦ｍｉｎ｛Ｌ^A _max，
    Ｌ^B _min｝であり、 前記第１通信装置は、 多項式ｇ₁（ｘ）とｇ₂（ｘ）を取得する手段と、 暗号関数Ｋ_c（ｘ）を取得する手段と、 暗号化キーＫ'_c（ｘ）を計算する手段とを備え、 ここで、Ｋ'_c（ｘ）＝ｇ₂ ^(L)（ｘ）［Ｋ_c（ｘ） ｍｏｄ ｇ₁ ^(L)（ｘ）］で
    ある ことを特徴とするシステム。
21. 【請求項２１】 前記暗号化キーＫ'_c（ｘ）を計算する手段は、 それぞれが第１入力、第２入力及び出力を有する複数のＡＮＤゲートと、前記
    複数のＡＮＤゲートの第１入力は、前記メモリ素子に接続されており、 それぞれが入力及び出力を有する複数の遅延素子と、前記複数の遅延素子の１
    つの前記出力は前記複数のＡＮＤゲートの第２入力に接続され、それぞれが第１
    入力、第２入力及び出力を有する複数の加算機能とを備え、前記加算機能の第１
    入力は、前記複数の遅延素子の１つ以外のすべての出力に接続され、前記加算機
    能の第２入力は前記複数のＡＮＤゲートの１つ以外のすべての出力に接続され、
    前記加算機能の出力は前記複数の遅延素子の１つ以外のすべての入力に接続され
    る ことを特徴とする請求項２０に記載のシステム。
22. 【請求項２２】 前記複数の遅延素子は、前記暗号キーＫ_c（ｘ）が最初に
    ロードされる ことを特徴とする請求項２１に記載のシステム。
23. 【請求項２３】 前記多項式ｇ₁（ｘ）とｇ₂（ｘ）を取得する手段は、前記
    第１通信装置内に含まれるメモリ素子から前記多項式を検索する ことを特徴とする請求項２１に記載のシステム。
24. 【請求項２４】 であることを特徴とする請求項２３に記載のシステム。
25. 【請求項２５】 であることを特徴とする請求項２４に記載のシステム。
26. 【請求項２６】 前記遅延素子の最終ｗＬビットは、ｗ（Ｌ_max−Ｌ）シフ
    ト後のＫ_c（ｘ） ｍｏｄ ｇ₁（ｘ）の結果を記憶する ことを特徴とする請求項２５に記載のシステム。
27. 【請求項２７】 前記複数の遅延素子は、加算的ｗＬシフト後の前記暗号化
    キーＫ'_c（ｘ）を記憶する ことを特徴とする請求項２６に記載のシステム。
28. 【請求項２８】 前記複数の遅延素子は、シフトレジスタである ことを特徴とする請求項２１に記載のシステム。