JP2003501698A - 基本的なレジスタ演算を用いたパラメータの生成 - Google Patents

Abstract

(57)【要約】 例えばチェックサムを計算するために、プリミティブをインプリメントする技術。具体的には、このプリミティブは、ｍｏｄ（Ｍ）演算を一連の単純な基本的レジスタ演算（２０）で置き換える。これらの演算は、ｍｏｄ２^ｎ乗算、順序操作（例えばバイトスワップやワードスワップ）、および加算を含み、これらはすべて実施が非常に単純であり、実行するのにごくわずかな処理サイクルしか必要としない。したがって、我々の発明的技術を用いれば、様々な暗号パラメータ、例えばメッセージ認証コード（ＭＡＣ）（４００）を計算するため、またはストリーム暗号（２３）を実装するための処理時間を、従来必要とされていた処理時間に打ち勝って大きく短縮することができる。この技術は、可逆と非可逆の両方の変形を有する。

Description

【発明の詳細な説明】

【０００１】 （開示の背景） （１．発明の分野） 本発明は、例えばチェックサムを計算するためにプリミティブ（primitive）
を実施する技術に関する。有利なことに、この技術は比較的単純であり、かなり
基本的なレジスタ演算を用いる。したがって、例えばメッセージ認証コード（Ｍ
ＡＣ、ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ）を計算する
ため、またはストリーム暗号を実施するための処理時間が、従来必要とされてい
た処理時間に打ち勝って大きく節約される。

【０００２】 （２．従来技術の説明） 現在使用されている多くの様々な暗号技術は、今日、モジュラー計算法を含め
た数学関数を採用しており、モジュラー算法は通常、比較的大きな素数（Ｍ）、
例えば２^32-１やそれ以上の素数などについて、数の剰余を計算するものである
。このような関数の一例、ｆ（ｘ）は、２ⁿを超えるガロア体（ＧＦ）において
ｆ（ｘ）＝ａｘ＋ｂｍｏｄ（Ｍ）の形となり、この場合、ｎ＝２ｍ＋１であり、
ｎおよびｍは、体Ｚ（ｍｏｄＭ）における事前定義済みの整数である。関数自体
は技術間で大きく異なるが、これらは共通して、何らかの形の、かつ通常は著し
く反復的なｍｏｄ（Ｍ）演算の計算が必要である。

【０００３】 このようなモジュラー演算は、メッセージ中の平文の各々かつ全てのブロック
を暗号化して対応する暗号文ブロックを生み出し、暗号文ブロックを復号して関
連する平文ブロックを回復するのに用いられるだけでなく、メッセージ認証コー
ド（ＭＡＣ）やストリーム暗号など、この技術の中間部分を計算する際にも用い
られる。

【０００４】 単一のｍｏｄ（Ｍ）演算を行うには、これより多くはならないとしても１０〜
１５サイクルもの処理サイクルが必要となる可能性がある（法の値Ｍに基づく）
。暗号技術にはこのような演算が多数必要なので、この技術を採用することに伴
い、単にｍｏｄ（Ｍ）演算を計算することだけにかなりの量の処理時間が消費さ
れる可能性がある。

【０００５】 暗号技術は、幅広く拡大しつつある非常に多岐にわたる用途において、ならび
に、例えばパーソナルコンピュータやワークステーションなどの高度に複雑な汎
用目的の機器から、例えば「スマートカード」、リモートコントロール、電子器
具などの比較的単純な専用機器までの、拡大しつつある多くの機器において、情
報を保護するためにますます利用されている。

【０００６】 例えば、電子メールによる通信の容易さおよび低コストから、インターネット
は（ネットワークモダリティの中でもとりわけ）、好適な通信媒体として爆発的
かつ急激な成長を遂げている。しかし、インターネットは公衆のアクセスが可能
なネットワークなのでセキュア（secure）ではなく、事実、盗聴、傍受、および
／あるいはさもなければインターネットメッセージトラフィックに障害を生じさ
せるかさらには崩壊させること、または不正にインターネットサイトを通り抜け
ることを意図した、様々な個人および組織からの多様な攻撃の標的になっており
、ますますそうなり続けている。好適な通信媒体としてのインターネット使用に
ますます信頼が置かれるようになっていることに鑑みて、こうしたセキュリティ
の脅威は、第三者による盗聴、傍受、および可能性ある改ざんから、メールメッ
セージやデータおよびコンピュータファイルなどの電子通信を守るセキュリティ
のレベルの改善をもたらす、ますます強力な暗号技術を開発するための当技術分
野における努力を激化させる。したがって、セキュアなインターネットの接続性
を提供するために、ますます多くのパーソナルコンピュータソフトウェア、特に
ウェブブラウザおよびその他のオペレーティングシステムコンポーネントと、電
子メールプログラムおよびその他のアプリケーションプログラムに、暗号処理が
組み込まれている。

【０００７】 これとは全く異なる暗号適用例は、いわゆる「スマートカード」に関係するも
のである。この場合、いくぶん複雑でなく安価なマイクロプロセッサを採用した
クレジットカードサイズの専用デバイス、すなわち「スマートカード」が、対応
する個人についての銀行および／または他の金銭残高を記憶する。マイクロプロ
セッサは、カード内部に記憶されたプログラムを使用し、取引の妥当性を検査し
て、そのような各残高を取引に基づいて適切に変更することができる。具体的に
は、その個人は、カードに記憶された残高の全部または一部を借方記入（debit
）および／または貸方記入（credit）するために、単にカードを適切なデータ端
末に挿入して端末に結合されたキーボードに取引データを入力するだけで、ベン
ダや銀行などの別の当事者との電子取引を実施することができる。この方式の取
引によれば、即座に金銭振替ができ、紙幣を、または小切手などの紙ベースの通
貨手段を、処理する必要およびそれに関連するコストはどれも不要になる。記憶
されたプログラムは、非常に強力な暗号技術を利用して、カードに記憶された情
報、特に残高を第三者による不正なアクセスおよび改ざんから守る。

【０００８】 しかし前述のように、暗号は処理オーバーヘッドを招く。ＰＣやワークステー
ションなど、大きな処理能力を有する複雑な機器では、このオーバーヘッドによ
ってシステムスループット全体が低下し、スマートカード、リモートコントロー
ル、およびその他の「ローエンド」デバイスなど、やや限られた処理能力を有す
る他のデバイスでは、オーバーヘッドに耐えられず、十分に強力な暗号技術をそ
のようなデバイス中で使用することが阻まれる場合がある。

【０００９】 したがって、多様なデバイス、特に限られた処理力を有するデバイスに、暗号
技術を組み込むことへの当技術分野における要望は急速であり、かつ絶えず増え
続けるように見受けられるので、現在、暗号技術を実施するのに必要な処理時間
を短縮する必要性が、当技術分野に存在する。

【００１０】 具体的には、等価だが処理集中性のより低い演算で、ｍｏｄ（Ｍ）演算を置き
換えられれば、いくつかの暗号技術に関連する処理オーバーヘッドは、特にチェ
ックサムの計算において、急激に減少する可能性がある。この結果が達成できれ
ば、様々な暗号技術を採用したパーソナルコンピュータやワークステーションな
ど、複雑度の高い機器のスループット全体を有利に向上させることができる。さ
らに、このようなオーバーヘッドを削減することができれば、従来このような技
術をうまくサポートする十分な処理力を有しなかった多数のコンピュータ関連デ
バイスにも、強力な暗号技術を組み込むことができる。

【００１１】 （発明の概要） 有利なことに我々の本発明は、チェックサムを計算するためのプリミティブを
実施することによってこの必要性を満足するが、有利にもｍｏｄ（Ｍ）演算は必
要ない。

【００１２】 我々の広範な発明の教示によれば、このプリミティブは、ｍｏｄ（Ｍ）演算を
単純な一連の基本的レジスタ演算で置き換える。これらの演算は、ｍｏｄ２ⁿ乗
算、順序操作（例えばバイトスワップやワードスワップ）、および加算を含み、
これらはすべて実施が非常に単純であり、実行するのにごくわずかな処理サイク
ルしか必要としない。我々の発明の教示を用いれば、様々な暗号パラメータ、例
えばメッセージ認証コード（ＭＡＣ）を計算するため、またはストリーム暗号を
実装するために必要な処理時間を、従来必要とされていた処理時間に打ち勝って
大きく短縮することができる。

【００１３】 具体的には、我々の技術の基本的、例示的、かつ非可逆的なバージョンは、以
下の一連の式を通してプリミティブを計算することを基にする。 ｘ^S←ｗｏｒｄｓｗａｐ（ｘ） ｙ←Ａｘ＋Ｂｘ^Sｍｏｄ（２ⁿ） ｙ^S←ｗｏｒｄｓｗａｐ（ｙ） ｚ←Ｃｙ^S＋ｙＤｍｏｄ（２ⁿ） θ←ｚ＋ｙ^SＥｍｏｄ（２ⁿ） 上式で、係数Ａ、Ｂ、Ｃ、Ｄ、Ｅは、それぞれ２ⁿ以下のランダムな奇数の整数
であり、θはｎビットストリングである。

【００１４】 ＭＡＣまたは他の暗号パラメータを生成する際に使用する場合は、これらの係
数は「秘密」である。しかしチェックサムの生成に使用するときは、これらの係
数は公開される。

【００１５】 有利にも我々の発明的技術は、その特徴として、可逆と非可逆の両方の変形を
有する。

【００１６】 （詳細な説明） 以下の説明を考察した後には、チェックサムの計算を含む幅広い暗号技術のい
ずれにおいても、我々の本発明の教示が利用できることを、当業者ならはっきり
と理解するであろう。このような技術とは、例えばメッセージ認証コード（ＭＡ
Ｃ）を計算する技術やストリーム暗号を実装する技術である。

【００１７】 読者が容易に理解できるように、我々はインターネットなどの、セキュアでな
い通信ネットワークを介して、トランザクションメッセージが通信されるクライ
アントサーバトランザクション処理環境で、採用できるような技術（かなり一般
化されるが）における使用の面において我々の発明を論じ、特に、その技術にお
いて採用されるＭＡＣを計算する面において論じる。

【００１８】 Ａ．概観 図１は、我々の本発明を用いることによって、ＭＡＣを生成する端末相互間の
暗号プロセス５全体のブロック図を示す。

【００１９】 図示されるように、到来した平文情報はいわゆる「メッセージ」に構成されて
いる。Ｐとして示す、このような各メッセージ７をＮ個のブロック（Ｐ₁，Ｐ₂，
．．．，Ｐ_N）として構成するが、各ブロックはｎビット幅であり、ここでは例
示的にｎは３２ビットである。このような各平文ブロックを、線１０で表すよう
に暗号化プロセス２０に適用する。このプロセスは例示的に、メッセージ暗号化
プロセス２３および発明のＭＡＣ生成プロセス４００を含む。プロセス４００（
図４および５に関連して後で詳細に述べる）は、平文メッセージＰまたは適した
その暗号操作が入力として与えられれば、我々の発明により、このメッセージに
固有かつ通常６４ビット長であるＭＡＣを生成する。メッセージ暗号化プロセス
２３は、平文メッセージを暗号文に暗号化し、２つの最上位ブロック（Ｃ_N-1，
Ｃ_N）として例示するように、６４ビットＭＡＣをそのメッセージに適切に挿入
して、暗号文メッセージＣを生み出す（以下、括弧内の連続した値を分離するカ
ンマを、これらの値の連鎖を示す演算子として用いる）。この２つの最上位ブロ
ックは、集合的にＭＡＣ４２を形成する。プロセス２３内で採用される具体的な
暗号化プロセスに応じて、ＭＡＣ４２は、周知のＤＥＳ（データ暗号化規格）暗
号化や別の従来の擬似ランダム置換などを通して、それ自体で暗号化してもよく
、そうしなくてもよい。暗号文メッセージは、連続するＮ個のｎビット暗号文ブ
ロックで形成される。

【００２０】 得られた暗号文メッセージＣは、次いで記憶されるか、所与のモダリティ、例
えば破線４５で表されインターネット接続に代表されるセキュアでない通信チャ
ネルを介して、受信側の場所に転送される。ここで、受信済みバージョンの暗号
文メッセージを

【００２１】

【数７】

【００２２】 として示すが、（メッセージ４０´としても符号付けする）、これを復号プロセ
ス５０によって復号して、回復された平文メッセージ７０を生み出す。 これは平文メッセージ

【００２３】

【数８】

【００２４】 としても示すが、有効でありしたがってダウンストリーム使用に適するものであ
るためには、すべての面において元の平文メッセージＰと同一でなければならな
い。復号プロセス５０は、メッセージ復号プロセス６０、ＭＡＣ生成プロセス４
００、および識別コンパレータ９０を含む。

【００２５】 回復された平文メッセージが有効であるかどうか、例えば改変されていないか
どうかを判定するために、メッセージ復号プロセス６０は、回復された平文を作
成するだけでなく、暗号文メッセージ

【００２６】

【数９】

【００２７】 からＭＡＣを抽出する（かつ必要なら復号する）。得られる回復されたＭＡＣを
、線６７で表すように、コンパレータ９０の入力の一方に加える。回復された平
文もまた、線７７で表すように、ＭＡＣ生成プロセス４００に加える。プロセス
４００は、回復された平文メッセージ

【００２８】

【数１０】

【００２９】 からＭＡＣを再計算し、線８０で表すように、得られた再計算済みＭＡＣをコン
パレータ９０の入力の他方に加える。コンパレータ９０の対応する入力にこのと
き加えたこれらのＭＡＣが両方とも等しく一致する場合、コンパレータ９０は、
出力リード７３上にこの時現れる。回復された平文メッセージ

【００３０】

【数１１】

【００３１】 が、後続の使用に有効であることを示す適切なＩＤ（identification）を、出力
９３上に生成する。そうではなく、回復したＭＡＣと再計算したＭＡＣが一致し
ない場合は、コンパレータ９０は、 出力７３上にこのとき現れる、回復された平文メッセージ

【００３２】

【数１２】

【００３３】 が、無効であり無視すべきであることを示す適切なＩＤを、出力９７上に生成す
る。ＭＡＣの生成は別として、暗号化プロセス２３およびメッセージ復号プロセ
ス６０で、それぞれ用いる暗号化技術および復号技術の具体的な性質は、本発明
に無関係であり、このような様々な技術のいずれでもうまく用いることができる
ので、これらの態様についてはこれ以上詳細に論じない。しかし我々の、１９９
８年４月２０日出願の「Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｔｅｃｈｎｉｑｕｅ Ｔ
ｈａｔ Ｐｒｏｖｉｄｅｓ Ｆａｓｔ Ｅｎｃｒｙｐｔｉｏｎ ａｎｄ Ｄｅｃ
ｒｙｐｔｉｏｎ ａｎｄ Ａｓｓｕｒｅｓ Ｉｎｔｅｇｒｉｔｙ ｏｆ ａ Ｃ
ｉｐｈｅｒｔｅｘｔ Ｍｅｓｓａｇｅ」という名称の係属中の米国特許出願、出
願番号０９／０６２、８３６と、１９９８年４月２０日出願の「Ｍｅｔｈｏｄ
ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｐｒｏｄｕｃｉｎｇ Ａ Ｍｅｓｓａｇ
ｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ」という名称の同時係属中の米国
特許出願、出願整理番号０９／０６２、８３７（読者は参照されたい）の中で、
このような暗号技術の一例を述べ、特許請求している。これらを両方とも参照に
より本明細書に組み込み、またこれらは本明細書と同一の譲受人に譲渡されてい
る。

【００３４】 Ｂ．例示的な処理環境 以上のことを念頭に置いて、図２を考察されたい。図２には、本発明を利用す
るクライアントサーバ処理環境２００の高レベルのブロック図が示してある。

【００３５】 図示の通り、この環境は、サーバ２１０を実装するコンピュータ２０５を含み
、サーバ２１０は例示的にウェブサーバとする。リモートに位置するいくつかの
個別クライアントコンピュータを、それぞれ例示的にパーソナルコンピュータ（
ＰＣ）とし、このようなクライアントのうちの１つだけ、すなわちクライアント
コンピュータ１００だけを具体的に示すが、これは、チャネル１４０や１６０な
どの適切な通信チャネルを使用して、セキュアでない通信ネットワークを介して
コンピュータ２０５に接続されており、通信ネットワークはここでは例示的にイ
ンターネット１５０として示す。クライアントコンピュータ１００に配置され、
サーバから情報を得たいと思っているユーザ（具体的には図示せず）は、クライ
アントコンピュータ１００にある対応するクライアントプログラム１３０を呼び
出すことができる。クライアントプログラムは、クライアントコンピュータ１０
０内に集合的にあってクライアントコンピュータ１００によって実行される、い
くつかのアプリケーションプログラム１２０のうちの１つを形成する。クライア
ントプログラムは、アプリケーションプログラム内にあるものとして具体的に示
してあるが、クライアントプログラムはまた、ウェブブラウザやオペレーティン
グシステム（Ｏ／Ｓ）、例えば図３に示すＯ／Ｓ３３７などのコンポーネントと
して実装してもよい。図２に示すサーバ２１０は、例えば、コマースサーバ、バ
ンキングサーバ、電子メールサーバまたはファイルサーバを含めた様々なアプリ
ケーション機能のいずれを実装していてもよい。電子商取引に関しては、ユーザ
は、クライアントコンピュータ１００およびサーバ２１０を介して、商業取引を
行いたいと思う場合があり、これは、金融機関におけるユーザの口座番号や、受
取人に資金を振り替えるための支払い指示などの情報を、サーバに提供すること
（線１１０で表す）、またはユーザの利用可能な口座残高またはクレジット残高
などの情報をサーバから得ること（線１３５で表す）を含み、いずれの場合でも
それはそのユーザの秘密である。あるいは、サーバ２１０は、リポジトリに記憶
された様々なファイルへのアクセス権をユーザに与えるファイルサーバとするこ
ともでき、ユーザは任意のファイルをダウンロードすることができる。このよう
なファイルをダウンロードすると、そこでローカル利用するためにそれをクライ
アントコンピュータ１００内にあるメモリ３３０（図３参照）内に記憶すること
ができる。しかしこのようなファイルは、その所有者がユーザアクセスを制御し
たいと思うプロプラエタリ情報および／または機密の情報を含む場合がある。例
えば、このようなファイルは、所与のプログラムに対する更新の自己インストー
ル実行可能ファイルとすることができ、このプログラムに対して、その所有者例
えばソフトウェア製造者は、不正な公衆アクセスを防止すること、すなわち、そ
れに対して適切な支払いを送金していない個人によってその更新が使用されるの
を防止することを望む。図２に示すように、サーバ２１０自体がまた、ユーザか
ら発せられた（かつネットワーク（ここではインターネット）１５０を介してサ
ーバに送信された）機密のまたはプロプラエタリ情報を、後続の処理のためにダ
ウンストリーム機器（具体的には図示せず）に提供する（線２１５で表す）か、
あるいは最終的に、ネットワークを介して、ユーザに送信するために、機密のま
たはプロプラエタリ情報をダウンストリーム機器から受け取る（線２１８で表す
）場合もある。

【００３６】 例示的にインターネットとするネットワーク１５０は、第三者によって障害が
引き起こされやすい。これに関して、従来通り暗号化された後でネットワークを
介して搬送されているメッセージであって、例えばクライアントコンピュータ１
００に位置するユーザに関係する進行中の金融取引のために、例えばクライアン
トコンピュータ１００から発せられたメッセージを、第三者が傍受する可能性も
ある。第三者は、利用可能な処理能力または時間からみて、メッセージを暗号化
するのに使用された従来型の暗号を破って、送信メッセージに内在する平文を回
復するのに、十分な資源を有しない場合もあるが、それでもこの当事者は、その
暗号文メッセージに関する十分な知識、具体的にはその構造上の構成と、そのメ
ッセージをユーザの損害になるように首尾よく変更するのに必要な手段とを有す
る可能性がある。これに関して、この第三者は、１つまたは複数の事前定義済み
暗号文ブロックで対応する元の暗号文ブロックを置き換え、次いで、得られた修
正済み暗号文メッセージを、コンピュータ２０５に搬送されてそこで処理される
ようにネットワーク上に返送することにより、暗号文メッセージを不正に改ざん
する可能性がある。

【００３７】 クライアントコンピュータ１００とコンピュータ２０５との間で、ネットワー
ク１５０上を通過する機密のまたはプロプラエタリな性質の情報を、第三者アク
セスから保護するために、クライアントプログラム１３０とサーバ２１０は両方
とも、それぞれ、暗号化プロセス２０および復号プロセス５０を組み込むことに
よって、暗号通信を利用する。したがって、ネットワークで搬送されることにな
っておりクライアントプログラム１３０とサーバ２１０のいずれかのネットワー
クアプリケーションピア（peer）によって生成されたメッセージは、それぞれそ
の中で暗号化プロセス２０によって暗号化されて、ＭＡＣが埋め込まれた対応す
る暗号文メッセージが生み出され、これらの暗号文メッセージは、順に、それぞ
れネットワーク１５０を介して、他方のネットワークアプリケーションピアに送
信される。同様に、各ピアによってネットワークから受け取られた暗号文メッセ
ージは、各ピアの中で復号プロセス５０によって復号されて、適切な回復済み平
文メッセージおよびその妥当性に関してＩＤが生み出される。暗号化プロシージ
ャ２０と復号プロシージャ５０とは、相互の逆のプロシージャである。

【００３８】 Ｃ．クライアントコンピュータ１００ 図３に、クライアントコンピュータ（ＰＣ）１００のブロック図を示す。

【００３９】 図示のように、クライアントコンピュータ１００は、入力インタフェース（Ｉ
／Ｆ）３２０、プロセッサ３４０、通信インタフェース３５０、メモリ３３０、
および出力インタフェース３６０を備え、これらはすべて従来通りバス３７０に
よって相互接続される。メモリ３３０は一般に、データおよび命令を一時的に記
憶するためのランダムアクセスメモリ（ＲＡＭ）３３２と、ユーザコマンドによ
り、フロッピー（登録商標）ディスケットで情報を交換するためのディスケット
ドライブ３３４と、通常は磁気性質であるハードディスクによって実装される不
揮発性大容量記憶装置３３５とを例示的に含めた、異なるモダリティを含む。大
容量記憶装置３３５はまた、適した光学記憶媒体から情報を読み取る（かつそれ
に情報を書き込む）ための、ＣＤ−ＲＯＭまたは他の光学媒体リーダ（具体的に
は図示せず）（またはライタ）も含むことができる。大容量記憶装置は、オペレ
ーティングシステム（Ｏ／Ｓ）３３７およびアプリケーションプログラム１２０
を記憶する。後者は例示的に、我々の発明的技術を組み込んだクライアントプロ
グラム１３０（図２参照）を含む。図３に示すＯ／Ｓ３３７は、ＷＩＮＤＯＷＳ
（登録商標） ＮＴオペレーティングシステム（「ＷＩＮＤＯＷＳ（登録商標）
ＮＴ」はワシントン州ＲｅｄｍｏｎｄにあるＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏ
ｒａｔｉｏｎの登録商標）など、従来のオペレーティングシステムのいずれによ
っても実装することができる。このことから、Ｏ／Ｓ３３７のコンポーネントは
すべて関係がないので、そのいずれについても論じない。アプリケーションプロ
グラム１２０のうちの１つであるクライアントプログラムがＯ／Ｓの制御下で実
行される、と言えば十分であろう。

【００４０】 有利なことに、我々のこの発明の技術は、暗号法による暗号化モジュールおよ
び復号モジュール内で用いられるように組み込まれたとき、有利に処理時間を節
約し、それによりクライアントコンピュータ１００とサーバ２１０（図２参照）
の両方のスループットを向上させる。

【００４１】 図３に示すように、例示的な２つの外部ソースからの到来情報が発生する可能
性がある。すなわち、例えばネットワーク接続１４０を介してインターネットお
よび／または他のネットワーク化された機能から、通信インタフェース３５０に
供給されるか、あるいはパス３１０を介して、専用入力ソースから入力インタフ
ェース３２０に供給される、ネットワーク供給情報である。専用入力は幅広い、
様々なソース、例えば外部データベースから発することができる。さらに、入力
情報は、その情報を含むディスケットをディスケットドライブ３３４に挿入する
ことによって、ファイルまたはその中の具体的な内容の形で、提供することもで
き、コンピュータ１００は、ユーザの命令下で、ディスケットからその情報にア
クセスして読み取る。入力インタフェース３２０は、入力情報に対する異なる専
用ソースそれぞれを、コンピュータシステム１００に物理的に接続およびインタ
フェースするのに必要とされる、必要かつ対応した電気的接続を提供するのに、
適した回路を備える。アプリケーションプログラム１２０は、オペレーティング
システムの制御下で、ネットワーク接続１４０またはパス３１０を介して、外部
ソースとコマンドおよびデータを交換して、プログラム実行中に通常はユーザか
ら要求される情報を送受信する。

【００４２】 入力インタフェース３２０はまた、キーボードやマウスなどのユーザ入力装置
３９５を、コンピュータシステム１００に電気的に接続およびインタフェースす
る。従来のカラーモニタなどのディスプレイ３８０、および従来のレーザプリン
タなどのプリンタ３８５は、それぞれリード３６３および３６７を介して、出力
インタフェース３６０に接続される。出力インタフェースは、ディスプレイおよ
びプリンタをコンピュータシステムに電気的に接続およびインタフェースするの
に、必要な回路を備える。理解できるように、我々のこの発明の暗号技術は、ク
ライアントコンピュータ１００が情報を入手し、記憶し、および／または通信す
るモダリティに関係なく、どんなタイプのディジタル情報でも動作することがで
きる。

【００４３】 さらに、コンピュータシステム１００の具体的なハードウェアコンポーネント
ならびにメモリ３３５内に記憶されるソフトウェアのすべての態様は、本発明を
実装するモジュールは別として、従来型かつ周知であるので、これ以上詳細には
論じない。概して言えば、コンピュータ２０５は、クライアントコンピュータ１
００と非常に類似するアーキテクチャを有する。

【００４４】 Ｄ．従来の暗号技術におけるモジュロ算法によって生じる制限 従来の暗号技術は、ｍｏｄ（Ｍ）の計算を必要とするチェックサムを、プリミ
ティブとして頻繁に採用し、Ｍは例えば２³¹−１やそれ以上などの、大きな素数
である。

【００４５】 残念なことに、ｍｏｄ（Ｍ）演算は、これより多くはならないとしても、少な
くとも約１０〜１５マシンサイクルが計算に必要である（法の値Ｍに基づく）。
この関数は、従来の暗号化演算中と復号演算中の両方で繰り返し計算される。し
たがって、ＰＣやワークステーションなど、大きな処理能力を有する機器上にこ
のような技術を実装した場合、ｍｏｄ（Ｍ）計算は、スループット全体をおそら
く顕著に低下させるであろう。しかし、やや限られた処理能力しか有さない機器
内では、この計算オーバーヘッドは耐えられない場合があり、したがって、この
暗号技術の使用が非常に有益となる可能性のあるこれらの機器内で、この暗号技
術を使用することが阻まれる。

【００４６】 Ｅ．我々の発明的技術およびその実施 当技術分野におけるこの欠陥を認識し、有利にもｍｏｄ（Ｍ）演算を必要とし
ないチェックサム実施技術を開発した。

【００４７】 我々の技術は、チェックサムを比較的単純な一連の基本的レジスタ演算として
実施する。これらの演算は、ｍｏｄ２ⁿ乗算、順序操作（ブロック中のビット順
序付けを変更する演算、例えばバイトスワップやワードスワップなど）、および
加算を含み、これらはすべて実施が非常に単純であり、実行するのにごくわずか
な処理サイクルしか必要としない。プリミティブ中で用いる演算はまた、いくぶ
ん効果的にパイプライン化することもできる。したがって、我々の発明に基づく
プリミティブを使用すると、特にパイプライン化されている場合には、様々な暗
号パラメータ、例えばメッセージ認証コード（ＭＡＣ）を計算するため、および
ストリーム暗号を実装するために必要な処理時間を、従来必要とされていた処理
時間に打ち勝って、大きく短縮することができる。我々の発明的技術はまた、有
利にも、ある暗号に組み込んで、何らかの平文−暗号文の攻撃に対して、それら
の暗号のセキュリティを高めることもできる、と考えられる。

【００４８】 以下の数学定義Ｆ（ｘ）＝θから始めるが、添字「Ｓ」、すなわちｘ^Sにおけ
るＳは、適切なバイトスワップ演算またはワードスワップ演算のいずれかを示す
。

【００４９】 やや本題から外れるが、図６Ａおよび６Ｂに、ワードスワップ演算およびバイ
トスワップ演算をそれぞれ示す。２つの１６ビットワード（例えばワード６１３
および６１７。それぞれ「左」および「右」にあたるＬおよびＲの符号も付けて
ある）を有するｎビットのブロック６１０（例示的に３２ビット長）を仮定した
場合、線６２０で表すワードスワップ演算により、場所が入れ替わったこれらの
ワード（すなわちワード６１７および６１３とそれぞれ同一のワード６３３およ
び６３７）を有するｎビットのブロック６３０が生み出される。このような演算
は、矢印６２５で示すように単に個々のワードを交換するだけで、１つの処理サ
イクルで実施することができる。個別の８ビットバイト６５２、６５４、６５６
、６５８（やはりそれぞれバイトＡ、Ｂ、Ｃ、Ｄとして符号をつける）を有する
ｎビットのブロック６５０（やはり例示的に３２ビット長）を仮定した場合、線
６６０で表すバイトスワップ演算により、順番に反転されたこの４つのバイト（
すなわちバイト６５８、６５６、６５４、６５２とそれぞれ同一のバイト６７２
、６７４、６７６、６７８）を有するｎビットのブロック６７０が生み出される
。このバイトスワップ演算は、矢印６６５で示すように個々のバイトを並列に交
換することにより、１つの処理サイクルで実施することができる。

【００５０】 これらの定義を念頭に置いた場合、非可逆バージョンのプリミティブＦ（ｘ）
は、我々の発明的な教示により、以下の式（１）〜（５）を順番に計算すること
によってチェックサム、具体的にはｆ（ｘ）＝ａｘ＋ｂｍｏｄ（Ｍ）を実施する
。 ｘ^S←ｗｏｒｄｓｗａｐ（ｘ） （１） ｙ←Ａｘ＋Ｂｘ^Sｍｏｄ（２ⁿ） （２） ｙ^S←ｗｏｒｄｓｗａｐ（ｙ） （３） ｚ←Ｃｙ^S＋ｙＤｍｏｄ（２ⁿ） （４） θ←ｚ＋ｙ^SＥｍｏｄ（２ⁿ） （５） 上式で、係数Ａ、Ｂ、Ｃ、Ｄ、Ｅは、それぞれ２ⁿ以下のランダムな奇数の整数
であり、θはｎビットのストリングである。

【００５１】 見れば分かるように、これらの式は、基本的なレジスタ演算すなわち順序操作
（例えばワードスワップおよびバイトスワップ、加算、ｍｏｄ（２ⁿ）乗算）を
用いて実施される。したがって、これらの演算は比較的わずかな処理サイクルを
用いて実施することができ、これはｍｏｄ（Ｍ）演算を行うのに必要な１０〜１
５サイクルよりも確実にかなり少ない。式（１）および（３）はワードスワップ
演算を用いて示したが、代わりにバイトスワップ演算（または場合によっては、
ビット順序付けを変更する他の操作）を用いることもできる。係数の値Ａ、Ｂ、
Ｃ、Ｄ、Ｅは、ＭＡＣまたは他の様々な暗号タームを生成する際に使用する場合
は、「秘密の」値すなわち非公開の値である。

【００５２】 可逆バージョンのプリミティブＦ（ｘ）は、やはり我々の発明的教示により、
以下の式（６）〜（１５）を通してｆ（ｘ）を実施する。 ｙ←Ａｘｍｏｄ（２ⁿ） （６） ｙ^S←ｗｏｒｄｓｗａｐ（ｙ） （７） ｚ←Ｂｙ^Sｍｏｄ（２ⁿ） （８） ｚ^S←ｗｏｒｄｓｗａｐ（ｚ） （９） ｖ←Ｃｚ^Sｍｏｄ（２ⁿ） （１０） ｖ^S←ｗｏｒｄｓｗａｐ（ｖ） （１１） ｗ←Ｄｖ^Sｍｏｄ（２ⁿ） （１２） ｗ^S←ｗｏｒｄｓｗａｐ（ｗ） （１３） ｔ←Ｅｗ^Sｍｏｄ（２ⁿ） （１４） θ←ｔ＋Ｌｙ^Sｍｏｄ（２ⁿ） （１５） 上式で、係数Ａ、Ｂ、Ｃ、Ｄ、Ｅは、それぞれ２ⁿ以下のランダムな奇数の整数
であり、Ｌは２ⁿ以下のランダムな整数である。

【００５３】 ここでもまた、ＭＡＣまたは他の様々な暗号タームを生成するときは、係数の
値Ａ、Ｂ、Ｃ、Ｄ、Ｅ、Ｇはすべて「秘密の」値である。別法として、式（６）
〜（１２）を使用してＦ（ｘ）＝ｗでプリミティブを実施することもできる。さ
らに、別のタイプの順序操作である「反転」演算（ブロック中のすべてのビット
が順番に完全に反転される）をバイトスワップまたはワードスワップの代わりに
用いることもできる。例えば、我々の発明により、以下の式（１６）〜（１９）
を通して可逆形式のｆ（ｘ）に対する、プリミティブＦ（ｘ）を実施することも
できる。 ｙ←Ｈｘｍｏｄ（２ⁿ） （１６） ｚ←ｒｅｖｅｒｓｅ（ｙ） （１７） ｓ←Ｊｚｍｏｄ（２ⁿ） （１８） θ←ｓ＋Ｋｍｏｄ（２ⁿ） （１９） 上式で、係数Ｈ、Ｊ、Ｋはそれぞれ２ⁿ以下のランダムな整数である。

【００５４】 ＭＡＣまたは他の暗号タームを生成するのにこのプリミティブを使用する場合
は、係数Ｈ、Ｊ、Ｋは「秘密の」値となる。反転演算はバイトスワップまたはワ
ードスワップ演算と比較して相対的に遅いので、式（１６）〜（１９）によって
得られるプリミティブよりも、上記の式（６）〜（１２）または（６）〜（１５
）によって得られるプリミティブを使用する方が好ましい。

【００５５】 以上の記述に基づけば、ｆ（ｘ）＝ａｘ＋ｂｍｏｄ（Ｍ）に対して等価な暗号
特徴を備え、ｍｏｄ２ⁿ乗算、順序操作、および加算を本発明により利用するが
ｍｏｄ（Ｍ）演算は利用せず、したがって前述の具体的なプリミティブの代わり
とすることのできる、他の様々なプリミティブＦ（ｘ）を、当業者なら容易に案
出することができることは明らかである。

【００５６】 先に論じたように、我々の発明的技術に基づく一般化されたプリミティブを使
用して、ＭＡＣを生成することができる。そうするためには、非可逆であり前述
と同じ形（Ｆ（ｘ））の、関数ｆ（ｘ）に対する一連のプリミティブＦ₁（ｘ）
，Ｆ₂（ｘ），．．．，Ｆ_p（ｘ）が選択されるが、これらは対応する「秘密の」
係数の値が異なる。すなわち、Ｆ₁（ｘ）が「秘密の」係数Ａ、Ｂ、Ｃ、Ｄ、Ｅ
を有する場合は、Ｆ₂（ｘ）は「秘密の」係数ａ、ｂ、ｃ、ｄ、ｅを有する等で
ある。その後、ｎビットのストリングの入力シーケンスＸ＝ｘ₁，ｘ₂，．．．，
ｘ_Nが与えられた場合、これらのｐ個のプリミティブ（ただしｐ＜ｎ）のうちの
連続したプリミティブを、対応する連続した入力値ｘ_iに使用して、対応する出
力値（中間結果）Ｙ＝ｙ₁，ｙ₂，．．．，ｙ_Nが以下の式（２０）〜（２５）に
従って計算される。 ｙ₁＝Ｆ₁（ｘ₁） （２０） ｙ₂＝Ｆ₂（ｘ₂＋ｙ₁） （２１） ｙ₃＝Ｆ₃（ｘ₃＋ｙ₂） （２２） ｙ_p＝Ｆ_p（ｘ_p＋ｙ_p-1） （２３） ． ． ． ｙ_p+1＝Ｆ₁（ｙ_p＋ｘ_p+1） （２４） ｙ_p+2＝Ｆ₂（ｙ_p+1＋ｘ_p+2） （２５） ． ． ． この中間結果の関数として、以下の式（２６）に従って、ＭＡＣを形成するこ
とができる。

【００５７】

【数１３】

【００５８】 追加のセキュリティのために、以下の式（２７）によって示すように、合計の
中の各ｙ_i項に対して秘密またはランダムの置換（γ_i）を導入することにより、
式（２５）を修正することができる。

【００５９】

【数１４】

【００６０】 上式で、γ_iは、ｋを含めた±ｋの範囲内すなわちγ_i∈｛ｋ，ｋ−１，ｋ−２，
．．．，０，−１，−２，．．．，−ｋ｝で、ランダムにまたは「秘密の」事前
定義値として選択され、ｋは事前定義済みの整数である。簡単にするために、各
γ_iは値＋１または−１に設定してもよく、そのようなすべてのγ_iのうちでラン
ダムな、擬似ランダムな、または「秘密の」事前定義済みの変動を伴う。

【００６１】 式（２０）〜（２５）は同じｐ個のプリミティブを繰り返した連続を利用して
いるが、代わりに、このような連続で異なるものを使用してもよい。関数の各連
続は別々の出力ハッシュ値ｙを生成し、次いでこれを共に連結させてＭＡＣ形成
することができ、あるいは式（２６）を用いて各プリミティブの個別の出力ｙを
合計してＭＡＣ値を生み出すことができる。さらに、例えば式（２０）〜（２３
）によって示すように、ある連続を前向き連鎖で実行することもできる。例えば
式（２４）および（２５）によって示すものなど、同じ連続の次の実行を、また
は異なる連続の次の実行を「逆方向」連鎖で実行することもできる。逆方向連鎖
を使用する場合、関連する入力値は、前向き連鎖で使用した入力値に対して、逆
の順番で、その連続の中にある個々のプリミティブに加えることができる。

【００６２】 我々の発明的技術を使用してチェックサムを計算する場合、この計算は、ＭＡ
Ｃの計算に用いられる計算と同一とは言わないまでも非常に類似するが、すべて
の係数の値、ならびに、使用するならば、すべてのγ_iの値は、公開される。

【００６３】 以上を念頭に置きながら、次に、暗号化プロセス２０によって使用される、か
つ、我々の発明的技術を実装したプリミティブに従って、ＭＡＣを生成するのに
必要なソフトウェアの説明に移る。

【００６４】 図４に、図１に示したプロセス５でＭＡＣの生成に用いるＭＡＣ生成プロセス
４００の高レベルのフローチャートを示す。このルーチンは、プリミティブＦ（
ｘ）およびＧ（ｘ）が完全に選択されていると仮定して、先に論じた式（２０）
〜（２５）を実施する。

【００６５】 具体的には、暗号化プロセス２０と復号プロセス５０のいずれかの実行中にル
ーチン４１０に入ると、図４に示すようにまずブロック４１０に進む。このブロ
ックは、ポインタ（ｉ）を１に、かつ合計変数（ｙ_s）を０に初期化する。その
後、ブロック４２０、４３０、４４０、および４５０で形成されるループに入っ
て、入力された入力平文ブロック（Ｐ_i）ごとに連続する出力値ｙ_iを計算し、こ
れらの出力値を合計変数ｙ_sに累積する。

【００６６】 具体的には、このループに入るとまずブロック４２０に進んで、Ｆ（Ｐ₁）に
等しい出力値ｙ₁を計算する。これを行った後で、合計計算プロシージャ４３０
に進み、そこでブロック４３５を介して単純に出力値ｙ_iを合計変数ｙ_sに加算す
る。これを行った後で、判断ブロック４４０に進んで、入力平文メッセージＰの
Ｎ個のブロックをすべて処理したかどうか、すなわちポインタｉの現在の値がこ
のときＮに等しいかどうかを判定する。このようなブロックが残っている場合、
すなわちｉの現在の値がＮ未満の場合は、判断ブロック４４０はＮＯパス４４３
を介してブロック４５０に実行をルーティングする。この後者のブロックは、ポ
インタｉの値を１つインクリメントし、次いでフィードバックパス４５５を介し
てブロック４２０に実行が戻されて、次の連続する出力値が計算され、以下同様
である。この時点では、ブロック４２０によって実施される計算は、ブロック４
２０を介する所与の反復について、ｉの値がその場合に偶数か奇数かによって決
まる。したがって、連続するｉに対してプリミティブＦ（ｘ）とＧ（ｘ）が交互
になる。

【００６７】 すべての出力値を計算して合計した後で、判断ブロック４４０はＹＥＳパス４
４７を介してブロック４６０に実行をルーティングする。この後者のブロックは
、値ｙ_Nを合計変数の現在の値と連結させて、得られたＭＡＣとしての６４ビッ
ト値を出力として供給することにより、単純にＭＡＣを形成する。これを行った
後で、ルーチン４００を終了する。

【００６８】 図５に、ＭＡＣ生成プロセス４００の一部をなす合計計算プロシージャ４３０
の代わりに用いることのできる代替の合計計算プロシージャ５００の、高レベル
のフローチャートを示す。プロシージャ５００は、上記の式（２６）を実施する
。

【００６９】 具体的には、プロシージャ５００に入るとまずブロック５１０に進み、ここで
γ_iの値を適切に設定する。前述のようにこの値は、±ｋ（ただし通常は±１の
値を使用する）の範囲内でランダム、擬似ランダム、または事前定義済みとする
ことができる。この値を設定した後で、ブロック５２０に進み、ここで現在の出
力値ｙ_iに、対応するγ_iの値を掛け、得られた値を合計変数ｙ_sに加算する。こ
れを行った後で、プロシージャ５００を終了する。

【００７０】 ＭＡＣ（またはチェックサム）を６４ビット長すなわち２つの３２ビットブロ
ックとして述べたが、この代わりに、単一の３２ビットブロックや６４ビットよ
りも長いもの（ただし整数ブロックのサイズのもの）など、他のビット（および
ブロック）サイズのＭＡＣ（またはチェックサム）を使用することもできること
を、明らかに当業者なら理解するだろう。ＭＡＣを生成するためと、必要な場合
に、それを暗号化および復号するために、増加した処理時間がかかることが見込
まれるものの、ＭＡＣが大きいほど、保証される限度までの、より高いレベルの
セキュリティがもたらされる。

【００７１】 本発明の教示を組み込んだ詳細な実施形態について、いくつかの変形と共に本
明細書に詳細に示し、説明したが、これらの教示をやはり利用した本発明の他の
多くの実施形態および適用例を、当業者なら容易に案出することができる。

【図面の簡単な説明】

本発明の教示は、添付の図面とともに詳細な説明を考察することによって容易
に理解することができる。

【図１】 本発明の教示を利用して、例示的にメッセージ認証コード（ＭＡＣ）を生成す
る、端末相互間の暗号プロセス５全体のブロック図である。

【図２】 例示的に本発明を利用する、典型的なインターネットベースのクライアントサ
ーバ処理環境の、高レベルのブロック図である。

【図３】 図２に示したクライアントコンピュータ１００のブロック図である。

【図４】 我々の本発明の教示によってＭＡＣを生成するために、図１に示したプロセス
５で用いられる、ＭＡＣ生成プロセス４００の高レベルのフローチャートである
。

【図５】 図４に示したＭＡＣ生成プロセス４００の一部をなす、合計計算プロシージャ
４３０の代わりに用いることのできる、代替の合計計算プロシージャ５００の、
高レベルのフローチャートである。

【図６Ａ】 我々の本発明によって採用できる典型的なワードスワップ演算を示す図である
。

【図６Ｂ】 我々の本発明によって採用できる典型的なバイトスワップ演算を示す図である
。 理解を容易にするために、各図に共通の同一要素を指すためには、可能な限り
、同一の参照番号を使用している。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ， ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ， ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，Ｃ Ｎ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＥＥ，ＥＳ ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ， ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，Ｋ Ｒ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ， ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，Ｓ Ｉ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ (72)発明者 マリウス エイチ．ジャクボウスキー アメリカ合衆国 98007 ワシントン州 ベルビュー 154 アベニュー ノースイ ースト 1840 アパートメント シー− 222 Ｆターム(参考） 5J104 AA18 AA21 NA17

Claims (27)

【特許請求の範囲】
1. 【請求項１】 入力ディジタル平文の連続する複数（Ｎ個）のブロック（ｘ ₁ ，ｘ₂，．．．，ｘ_n）からパラメータを生み出すための、機器で用いる方法に
   おいて、該方法は、事前定義済みの関数ｆ（ｘ）＝ａｘ＋ｂｍｏｄ（Ｍ）の特性
   と等価な暗号特徴を備える、プリミティブＦ（ｘ）を実施し、ａおよびｂは事前
   定義済みの整数であり、Ｍは事前定義済みの整数の素数であり、前記機器は、 プロセッサと、 前記プロセッサに接続されたメモリであって、コンピュータ実行可能命令で形
   成されたコンピュータプログラムを記憶したメモリとを有し、 前記方法は、前記プロセッサによって実行され前記実行可能命令を通して実施
   されるステップであって、順序操作、加算、およびｍｏｄ（２ⁿ）乗算の演算（
   ｎは事前定義済みの整数）の、事前定義済みシーケンスを、前記プリミティブと
   して含む所定のプロシージャを通して、前記平文のブロックを処理することによ
   って、前記パラメータを生成するステップを備え、前記演算は集合的に前記プリ
   ミティブを実施するがｍｏｄ（Ｍ）の値を計算することはなく、前記プリミティ
   ブは短縮された処理時間を呈することを特徴とする方法。
2. 【請求項２】 前記各順序操作は、実行対象であるデータブロックのビット
   順序を変更する、事前定義済みの演算であることを特徴とする請求項１に記載の
   方法。
3. 【請求項３】 以下の式、 ｙ₁＝Ｆ₁（ｘ₁） ｙ₂＝Ｆ₂（ｘ₂＋ｙ₁） ｙ₃＝Ｆ₃（ｘ₃＋ｙ₂） ｙ_p＝Ｆ_p（ｘ_p＋ｙ_p-1） ． ． ． ｙ_p+1＝Ｆ₁（ｙ_p＋ｘ_p+1） ｙ_p+2＝Ｆ₂（ｙ_p+1＋ｘ_p+2） ． ． ． に従って、複数の中間結果ｙ_i（Ｎ≧ｉ≧１）を生成するステップであって、Ｆ₁ （ｘ），Ｆ₂（ｘ），．．．，Ｆ_p（ｘ）は同じ形のプリミティブでありｐ＜ｎで
   あるステップと、 前記中間結果の事前定義済み関数に応答して、前記パラメータを生成するステ
   ップと から成り、前記プロセッサによって実行され前記実行可能命令に応答したステ
   ップをさらに備えたことを特徴とする請求項２に記載の方法。
4. 【請求項４】 前記パラメータ生成ステップは、ｙ_Nの値と前記中間結果の
   合計の値との連結として、前記パラメータを生み出すステップをさらに備えたこ
   とを特徴とする請求項３に記載の方法。
5. 【請求項５】 前記パラメータ生成ステップは、ｙ_Nの値と 【数１】 の値との連結として、前記パラメータを生み出すステップをさらに備え、各ｉに
   つき、γ_iはｋを含めた±ｋの範囲内で、事前定義済みまたはランダムな値を有
   し、ｋは事前定義済みの整数であることを特徴とする請求項３に記載の方法。
6. 【請求項６】 前記各順序操作は、バイトスワップもしくはワードスワップ
   、または反転演算であることを特徴とする請求項３に記載の方法。
7. 【請求項７】 以下の式、 ｘ^S←ｗｏｒｄｓｗａｐ（ｘ） ｙ←Ａｘ＋Ｂｘ^Sｍｏｄ（２ⁿ） ｙ^S←ｗｏｒｄｓｗａｐ（ｙ） ｚ←Ｃｙ^S＋ｙＤｍｏｄ（２ⁿ） θ←ｚ＋ｙ^SＥｍｏｄ（２ⁿ） に従って、前記プリミティブＦ₁（ｘ）を実施するステップであって、係数Ａ、
   Ｂ、Ｃ、ＤおよびＥは、それぞれ２ⁿ以下のランダムな奇数の整数であり、θは
   出力ストリングであるステップと、 以下の式、 ｘ^S←ｗｏｒｄｓｗａｐ（ｘ） ｙ←ａｘ＋ｂｘ^Sｍｏｄ（２ⁿ） ｙ^S←ｗｏｒｄｓｗａｐ（ｙ） ｚ←ｃｙ^S＋ｙｄｍｏｄ（２ⁿ） θ←ｚ＋ｙ^Sｅｍｏｄ（２ⁿ） に従って、前記プリミティブＦ₂（ｘ）を実施するステップであって、係数ａ、
   ｂ、ｃ、ｄおよびｅは、係数Ａ、Ｂ、Ｃ、ＤおよびＥに対応するが、それらとは
   異なるそれぞれの値を有するステップと から成り、前記プロセッサによって実行され前記実行可能命令に応答したステ
   ップをさらに備えたことを特徴とする請求項４に記載の方法。
8. 【請求項８】 プリミティブＦ₁（ｘ），Ｆ₂（ｘ），．．．，Ｆ_p（ｘ）に
   対する前記係数は秘密であり、前記パラメータからメッセージ認証コードが形成
   されることを特徴とする請求項７に記載の方法。
9. 【請求項９】 前記パラメータ生成ステップは、ｙ_Nの値と前記中間結果の
   合計の値との連結として、前記パラメータを生み出すステップをさらに備えたこ
   とを特徴とする請求項８に記載の方法。
10. 【請求項１０】 前記パラメータ生成ステップは、ｙ_Nの値と 【数２】 の値との連結として、前記パラメータを生み出すステップをさらに備え、各ｉに
    つき、γ_iはｋを含めた±ｋの範囲内で、事前定義済みまたはランダムな値を有
    し、ｋは事前定義済みの整数であることを特徴とする請求項８に記載の方法。
11. 【請求項１１】 プリミティブＦ₁（ｘ），Ｆ₂（ｘ），．．．，Ｆ_p（ｘ）
    に対する前記係数は公開されており、前記パラメータはチェックサムであること
    を特徴とする請求項７に記載の方法。
12. 【請求項１２】 前記パラメータ生成ステップは、ｙ_Nの値と前記中間結果
    の合計の値との連結として、前記パラメータを生み出すステップをさらに備えた
    ことを特徴とする請求項１１に記載の方法。
13. 【請求項１３】 前記パラメータ生成ステップは、ｙ_Nの値と 【数３】 の値との連結として、前記パラメータを生み出すステップをさらに備え、各ｉに
    つき、γ_iはｋを含めた±ｋの範囲内で、事前定義済みまたはランダムな値を有
    し、ｋは事前定義済みの整数であることを特徴とする請求項１１に記載の方法。
14. 【請求項１４】 請求項１のステップを実行するためのコンピュータ実行可
    能命令を記憶したことを特徴とするコンピュータ可読媒体。
15. 【請求項１５】 入力ディジタル平文の連続する複数（Ｎ個）のブロック（
    ｘ₁，ｘ₂，．．．，ｘ_n）からパラメータを生み出すための装置において、プロ
    セスは、事前定義済みの関数ｆ（ｘ）＝ａｘ＋ｂｍｏｄ（Ｍ）の特性と等価な暗
    号特徴を備える、プリミティブＦ（ｘ）を実施し、ａおよびｂは事前定義済みの
    整数であり、Ｍは事前定義済みの整数の素数であり、前記装置は、 プロセッサと、 前記プロセッサに接続されたメモリであって、コンピュータ実行可能命令で形
    成されたコンピュータプログラムを記憶したメモリとを備え、 前記プロセッサは、前記実行可能命令に応答して、順序操作、加算、およびｍ
    ｏｄ（２ⁿ）乗算の演算（ｎは事前定義済みの整数）の、事前定義済みシーケン
    スを、前記プリミティブとして含む所定のプロシージャを通して、前記平文のブ
    ロックを処理することによって、前記パラメータを生成し、前記演算は集合的に
    前記プリミティブを実施するがｍｏｄ（Ｍ）の値を計算することはなく、前記プ
    リミティブは短縮された処理時間を呈することを特徴とする装置。
16. 【請求項１６】 前記各順序操作は、実行対象であるデータブロックのビッ
    ト順序を変更する、事前定義済みの演算であることを特徴とする請求項１５に記
    載の装置。
17. 【請求項１７】 前記プロセッサは、前記実行可能命令に応答して、 以下の式、 ｙ₁＝Ｆ₁（ｘ₁） ｙ₂＝Ｆ₂（ｘ₂＋ｙ₁） ｙ₃＝Ｆ₃（ｘ₃＋ｙ₂） ｙ_p＝Ｆ_p（ｘ_p＋ｙ_p-1） ． ． ． ｙ_p+1＝Ｆ₁（ｙ_p＋ｘ_p+1） ｙ_p+2＝Ｆ₂（ｙ_p+1＋ｘ_p+2） ． ． ． に従って、複数の中間結果ｙ_i（Ｎ≧ｉ≧１）を生成し、Ｆ₁（ｘ），Ｆ₂（ｘ）
    ，．．．，Ｆ_p（ｘ）は同じ形のプリミティブであってｐ＜ｎであり、 前記中間結果の事前定義済み関数に応答して、前記パラメータを生成する ことを特徴とする請求項１６に記載の装置。
18. 【請求項１８】 前記パラメータ生成ステップは、ｙ_Nの値と前記中間結果
    の合計の値との連結として、前記パラメータを生み出すステップをさらに備えた
    ことを特徴とする請求項１７に記載の装置。
19. 【請求項１９】 前記プロセッサは、前記実行可能命令に応答して、ｙ_Nの
    値と 【数４】 の値との連結として、前記パラメータを生み出し、各ｉにつき、γ_iはｋを含め
    た±ｋの範囲内で、事前定義済みまたはランダムな値を有し、ｋは事前定義済み
    の整数であることを特徴とする請求項１７に記載の装置。
20. 【請求項２０】 前記各順序操作は、バイトスワップもしくはワードスワッ
    プ、または反転演算であることを特徴とする請求項１７に記載の装置。
21. 【請求項２１】 前記プロセッサは、前記実行可能命令に応答して、 以下の式、 ｘ^S←ｗｏｒｄｓｗａｐ（ｘ） ｙ←Ａｘ＋Ｂｘ^Sｍｏｄ（２ⁿ） ｙ^S←ｗｏｒｄｓｗａｐ（ｙ） ｚ←Ｃｙ^S＋ｙＤｍｏｄ（２ⁿ） θ←ｚ＋ｙ^SＥｍｏｄ（２ⁿ） に従って、前記プリミティブＦ₁（ｘ）を実施し、係数Ａ、Ｂ、Ｃ、ＤおよびＥ
    は、それぞれ２ⁿ以下のランダムな奇数の整数であり、θは出力ストリングであ
    り、 以下の式、 ｘ^S←ｗｏｒｄｓｗａｐ（ｘ） ｙ←ａｘ＋ｂｘ^Sｍｏｄ（２ⁿ） ｙ^S←ｗｏｒｄｓｗａｐ（ｙ） ｚ←ｃｙ^S＋ｙｄｍｏｄ（２ⁿ） θ←ｚ＋ｙ^Sｅｍｏｄ（２ⁿ） に従って、前記プリミティブＦ₂（ｘ）を実施し、係数ａ、ｂ、ｃ、ｄおよびｅ
    は、係数Ａ、Ｂ、Ｃ、ＤおよびＥに対応するが、それらとは異なるそれぞれの値
    を有する ことを特徴とする請求項２０に記載の装置。
22. 【請求項２２】 プリミティブＦ₁（ｘ），Ｆ₂（ｘ），．．．，Ｆ_p（ｘ）
    に対する前記係数は秘密であり、前記パラメータからメッセージ認証コードが形
    成されることを特徴とする請求項２１に記載の装置。
23. 【請求項２３】 前記パラメータ生成ステップは、ｙ_Nの値と前記中間結果
    の合計の値との連結として、前記パラメータを生み出すステップをさらに備えた
    ことを特徴とする請求項２２に記載の装置。
24. 【請求項２４】 前記プロセッサは、前記実行可能命令に応答して、ｙ_Nの
    値と 【数５】 の値との連結として、前記パラメータを生み出し、各ｉにつき、γ_iはｋを含め
    た±ｋの範囲内で、事前定義済みまたはランダムな値を有し、ｋは事前定義済み
    の整数であることを特徴とする請求項２２に記載の装置。
25. 【請求項２５】 プリミティブＦ₁（ｘ），Ｆ₂（ｘ），．．．，Ｆ_p（ｘ）
    に対する前記係数は公開されており、前記パラメータはチェックサムであること
    を特徴とする請求項２１に記載の装置。
26. 【請求項２６】 前記パラメータ生成ステップは、ｙ_Nの値と前記中間結果
    の合計の値との連結として、前記パラメータを生み出すステップをさらに備えた
    ことを特徴とする請求項２５に記載の装置。
27. 【請求項２７】 前記プロセッサは、前記実行可能命令に応答して、ｙ_Nの
    値と 【数６】 の値との連結として、前記パラメータを生み出し、各ｉにつき、γ_iはｋを含め
    た±ｋの範囲内で、事前定義済みまたはランダムな値を有し、ｋは事前定義済み
    の整数であることを特徴とする請求項２５に記載の装置。