JP2003506750A

JP2003506750A - メッセージ認証コードを発生するための方法および装置

Info

Publication number: JP2003506750A
Application number: JP2001515574A
Authority: JP
Inventors: ローズ、グレゴリー・ジー; ベンダー、ポール・イー; クイック、ロイ・フランクリン・ジュニア; ウォルフ、ジャック・ケー
Original assignee: Qualcomm Inc
Current assignee: Qualcomm Inc
Priority date: 1999-08-09
Filing date: 2000-08-07
Publication date: 2003-02-18
Also published as: WO2001011818A3; HK1046795A1; KR20020026370A; EP1210790A2; WO2001011818A2; HK1046795B; CN1369157A; AU6625000A; CN1163018C

Abstract

(57)【要約】【課題】保証された変造検出特性を有したメッセージ認証コードを発生すること。【解決手段】メッセージ認証コード（ＭＡＣ）を発生するための方法は、擬似乱数分配フォーマットに従ってより大きなメッセージにメッセージのビットを分配するステップを含む。より大きなメッセージの巡回冗長検査（ＣＲＣ）ビットが計算され、メッセージのためのＭＡＣとして使用される。より大きなメッセージは作られる必要がない。多項式ｘ^ｉ（ｉはより大きなメッセージの意図されたビット位置）のＣＲＣ多項式の剰余モジュロが計算される。ＣＲＣと計算された剰余のイクスクルーシブＯＲ演算がビットごとに行なわれ新しいＣＲＣが引き出される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】

本発明は、一般に通信の分野に関し、特にメッセージ認証コードの発生に関す
る。

【０００２】

【従来の技術】

メッセージ認証コード（ＭＡＣ）はメッセージが特定のパーティから由来され
その他のパーティにより変更されなかったことを検証するために特定のメッセー
ジに付加可能な暗号的に得られるアイテムである。ＭＡＣが電気通信の多くの分
野で使用を発見するのは当然のことである。例示的分野は無線通信である。

【０００３】無線通信の分野は、コードレス電話、ページング、無線ローカルループ、パー
ソナルデジタルアシスタンス（ＰＤＡ）のような無線データアプリケーション、
セルラおよびＰＣＳ電話システムのような無線電話、モバイルインターネットプ
ロトコル（ＩＰ）電話および衛星通信システムを含む多くのアプリケーションを
有する。特に重要なアプリケーションは移動加入者の無線電話である。

【０００４】例えば、周波数分割多重アクセス（ＦＤＭＡ）、時分割多重アクセス（ＴＤＭ
Ａ）および符号分割多重アクセス（ＣＤＭＡ）を含む無線通信システムのために
種々の放送インターフェースが開発されてきた。それらに関連して、例えばアド
バンストモバイルフォーンサービス(Advanced Mobile Phone Service)（ＡＭＰ
Ｓ）、モバイル通信のためのグローバルシステム（ＧＳＭ）および暫定規格９５
（ＩＳ−９５）を含む種々の国内および国際規格が確立された。

【０００５】例示的な無線電話通信システムは符号分割多重アクセス（ＣＤＭＡ）システム
である。ＩＳ−９５規格およびその派生物であるＩＳ−９５Ａ、ＡＮＳＩＪ−
ＳＴＤ−００８、ＩＳ−９５Ｂ、提案された第３世代規格ＩＳ−９５ＣおよびＩ
Ｓ−２０００、データ専用の提案された高データレートＣＤＭＡ規格等（以下集
合的にＩＳ−９５と呼ぶ）は電気通信産業協会（ＴＩＡ）により、公布され、セ
ルラまたはＰＣＳ電話通信システムのためのＣＤＭＡ放送インターフェースの使
用を指定する他の公知の規格団体がある。実質的にＩＳ−９５規格の使用に従っ
て構成された例示無線通信システムは、本発明の譲受人に譲渡され、参照するこ
とにより本明細書にそのすべてが組み込まれる米国特許第５，１０３，４５９号
および第４，９０１，３０７号に記載されている。

【０００６】典型的な通信において、ＭＡＣｍは（長さＬ_Ｍの）メッセージＭおよび関数の
入力としてメッセージ創作者および受取人のみにより知られている共有秘密鍵Ｋ
を用いて計算された関数の出力である。選択された特定の関数が安全であるなら
ば、送られたメッセージを妨害し、潜在的に変更することのできる積極的な攻撃
者は鍵Ｋを発見することができず、また、妥当な確率で正当なものとして受取人
により受け取られるであろうメッセージを作成することができない。ＭＡＣが長
さＬ_ｍ（ビット）を有する場合、攻撃者は常に所望のメッセージのｍの値を単に
推測することができるかも知れない、そして１／２^Ｌｍの確率でその推測は正し
いであろう。それゆえ、ＭＡＣのための安全の保障は、本質的に確率的である。
ＭＡＣは、意図的にあるいはランダムに導入した場合であろうとも、この確率よ
り良いエラー検出の補償を与えない。特にメッセージの単一ビットエラーは他の
置換えをしたとしてもそのメッセージに付加されたＭＡＣと一致する同じ確率を
有する。この確率は小さいけれども、依然として重要である。

【０００７】巡回冗長検査（ＣＲＣ）は公知のエラー検出および訂正コード（ＥＣＣ）の一
例である。ＥＣＣはデータ送信を変造でき、受信機が最も一般的な変造を検出し
、その変造を訂正することができることを望む多くのアプリケーションに使用さ
れる。ＣＲＣは計算するのに効果的であり、有用なエラー特性検出を有する。受
信したメッセージＭ’が少数ビットにエラーを有する場合、ＣＲＣは、エラーが
あることを検出することを保証し、そして事実（そのエラーができるだけ少数で
あると仮定して）どのビットがエラーであるかを示すであろう。これはエラーの
訂正を可能にする。ＣＲＣは、メッセージのビットが多項式の係数であると考え
、多項式が次数Ｌの多項式Ｐにより分割されるとき剰余を計算することにより計
算される。多項式Ｐを注意深く選択することにより、所望のエラー検出および訂
正の性質が得られる。ＣＲＣは送信中に導入されたランダムエラーの種類を検出
するのにはよいが、積極的な攻撃の類には役に立たない。なぜなら攻撃者はメッ
セージの変更のＣＲＣ上の効果を容易に計算することができるからである。それ
に応じて攻撃者はまたＣＲＣを変更することができる。これは、ある秘密の情報
がＣＲＣの計算に組み込まれ、メッセージとともに送信されない場合であっても
成立する。

【０００８】結合されたＭＡＣ／ＣＲＣ、すなわちＣＲＣにより検出されたであろう小さな
ランダムエラーがメッセージとそのＭＡＣとの不一致により検出されるであろう
保証を含むコードを供給することが望ましい。さらに、秘密情報Ｋを知らない積
極的な攻撃者はＫを発見することができない、あるいは１／（２^ｋ−１）よりも
よい確率を持ったメッセージを偽造できないであろうことをコードが同時に保証
することは都合が良い。（当業者には理解されるように、確率値における付加的
な「−１」は、攻撃者が変更しようとしているメッセージとほとんど同じメッセ
ージに対してオリジナルのＭＡＣは作用せず、従ってそのかわりに他の可能性の
あるＭＡＣをランダムに選択するであろうことを攻撃者が知っているという事実
に基づく。従って、保証された変造検出性質を有したＭＡＣを発生する方法の必
要がある。

【０００９】

【課題を解決するための手段】

本発明は、保証された変造検出特性を有したＭＡＣを発生する方法に向けられ
ている。従って、本発明の一観点において、メッセージ認証コードを発生する方
法は、鍵に依存する態様で第１の複数のメッセージビットを第２の複数のビット
に擬似乱数的に配付するステップと、第２の複数のビットの巡回冗長検査から構
成される第３の複数のビットを発生するステップと、第１の複数のメッセージビ
ットと第３の複数のビットから構成されるメッセージ認証コードを送信するステ
ップを有利に含む。

【００１０】本発明の他の観点において、メッセージ認証コードを発生するように構成され
た発生器は、鍵に依存する態様で第１の複数のメッセージビットを第２の複数の
ビットに擬似乱数的に配布する手段と、第２の複数のビットの巡回冗長検査を構
成する第３の複数のビットを発生する手段と、第１の複数のメッセージビットと
、第３の複数のビットを構成するメッセージ認証コードを送信する手段とを有利
に含む。

【００１１】本発明の他の観点において、メッセージ認証コードを発生するように構成され
た発生器は、鍵に依存する態様で第１の複数のメッセージビットを第２の複数の
ビットに擬似乱数的に配付するように構成されたプロセッサと、分配器と接続さ
れ、第２の複数のビットの巡回冗長検査を構成する第３の複数のビットを発生す
るように構成された発生器と、前記発生器と接続され第１の複数のメッセージビ
ットと、第３の複数のビットを構成するメッセージ認証コードを送信するように
構成された送信機を有利に含む。

【００１２】本発明の実施形態において、メッセージのビットを擬似乱数的に配布する方法
は、多項式ｘｉ（但しｉは意図されたメッセージビットロケーションであり、Ｐ
は巡回冗長検査多項式）の剰余モジュロ(remainder modulo)Ｐを計算するステッ
プと、１に等しいメッセージの各ビットに対してビット毎に、ＣＲＣビットと計
算された剰余のイクスクルーシブＯＲ演算を行なうステップを有利に含む。

【００１３】

【発明の実施の形態】

以下に記載された例示実施形態は、ＣＤＭＡ放送インタフェースを採用するよ
うに構成された無線電話通信システムに存在する。しかしながら、当業者には、
この発明の特徴を具現化するＭＡＣ発生方法および装置は、当業者に知られてい
る広範囲の技術を採用した種々の通信システムのいずれにも存在することができ
ることが理解されるであろう。

【００１４】図１に示すように、ＣＤＭＡ無線電話システムは一般に複数の移動加入者装置
１０、複数の基地局１２、基地局コントローラ（ＢＳＣ）１４、および移動交換
センタ（ＭＳＣ）１６を含む。ＭＳＣ１６はまたＢＳＣ１４とインタフェースす
るように構成される。ＢＳＣ１４は迂回中継線を介して基地局１２に接続される
。迂回中継線は、例えばＥ１／Ｔ１、ＡＴＭ、ＩＰ、ＰＰＰ、フレームリレイ、
ＨＤＳＬ、ＡＤＳＬまたはｘＤＳＬを含む幾つかの公知のインターフェースのい
ずれかを支持するように構成可能である。システムには２以上のＢＳＣ１４があ
り得ることが理解される。各基地局１２は少なくとも１つのセクタ（図示せず）
を有利に含む。各セクタは全方向アンテナまたは基地局１２から放射状に特定の
方向に向けられたアンテナで構成される。あるいは各セクタはダイバーシチ受信
のための２つのアンテナから構成するようにしてもよい。各基地局１２は複数の
周波数割当てを支持するように有利に設計可能である。セクタの交さおよび周波
数割当てはＣＤＭＡチャネルと呼ぶことができる。基地局１２はまた、基地局ト
ランシーバサブシステム（ＢＴＳ）１２としても知られている。あるいは、「基
地局」はこの産業では、ＢＳＣ１４および１つ以上のＢＴＳ１２に言及するのに
使用可能である。ＢＴＳ１２はまた「セルサイト」１２としても知られている。
あるいは、与えられたＢＴＳ１２の個々のセクタをセルサイトと呼ぶこともでき
る。移動加入者装置１０は一般にセルラまたはＰＣＳ電話１０である。このシス
テムはＩＳ−９５規格に従って使用されるように有利に構成される。

【００１５】セルラ電話システムの一般的な動作中に基地局１２は移動装置１０群から逆方
向リンク信号群を受信する。移動装置１０は電話呼または他の通信を行なってい
る。所定の基地局１２により受信された各逆方向リンク信号はその基地局１２内
で処理される。その結果得られたデータはＢＳＣ１４に送られる。ＢＳＣ１４は
基地局１２間のソフトハンドオフの統合を含む呼リソース割当ておよび移動管理
機能を提供する。ＢＳＣ１４はまた受信したデータをＭＳＣ１６に送り、ＭＳＣ
１６は、ＰＳＴＮ１８とインタフェースするためのさらなるルーチングサービス
を提供する。同様に、ＰＳＴＮ１８はＭＳＣ１６とインタフェースし、ＭＳＣ１
６はＢＳＣ１４とインタフェースし、ＢＳＣ１４は次に基地局１２を制御して順
方向リンク信号群を移動装置群１０に送信する。

【００１６】図２に示すように一実施形態によれば、ＭＡＣを含むメッセージを発生するた
めの機構１００はプロセッサ１０２、ソフトウエアモジュール１０４、および記
憶媒体１０６を含む。プロセッサ１０２は便宜的には、マイクロプロセッサまた
はデジタルシグナルプロセッサ（ＤＳＰ）のような特殊目的のプロセッサである
が、一般的な形態のプロセッサ、コントローラ、マイクロコントローラまたはス
テートマシンであってもよい。プロセッサ１０２はソフトウエアモジュール１０
４に接続される。ソフトウエアモジュール１０４はプロセッサ１０２の動作を指
示するソフトウエア命令を保持するＲＡＭメモリとして便宜的に実現される。ソ
フトウエア命令はソフトウエアプログラムまたはマイクロコード群から構成し得
る。ＲＡＭメモリ１０４は基板上のＲＡＭであり、あるいはプロセッサ１０２と
ＲＡＭメモリ１０４をＡＳＩＣに存在させることもできる。他の実施形態におい
て、ソフトウエアモジュール１０４の代わりにファームウエア命令が使われる。
記憶媒体１０６はプロセッサ１０２に接続され、便宜的にＲＡＭメモリと、例え
ばＲＯＭメモリのようななんらかの形態の一般的不揮発性メモリの組合せとして
実現される。記憶媒体１０６は以下に述べるようにＭＡＣを発生するためにリニ
アフィードバックシフトレジスタ（ＬＦＳＲ）を実現し、あらかじめ計算された
テーブルおよび命令を記憶するのに使用される。例えば、命令およびテーブルは
ＲＯＭメモリコンポーネントに記憶され、レジスタはＲＡＭメモリコンポーネン
トに記憶される。あるいは、記憶媒体１０６はプロセッサ１０２によりアクセス
可能なディスクメモリまたはフラッシュメモリとして実現可能である。あるいは
、記憶媒体１０６はレジスタとして実現可能である。機構１００は図１のＣＤＭ
Ａ無線電話システムの移動加入者装置１０または基地局１２に存在することがで
きる。

【００１７】図３に示すように、一実施形態において、メッセージおよび相関するＭＡＣを
発生するための発生器２００は鍵入力擬似乱数（ＰＲＮ）分配器２０２、巡回冗
長検査（ＣＲＣ）発生器２０４、変調器２０６、および送信機２０８を含む。メ
ッセージＭのメッセージビットは鍵入力ＰＲＮ分配器２０２に供給される。鍵入
力ＰＲＮ分配器２０２は以下に詳細に述べるように、鍵に依存した態様で擬似乱
数的にメッセージビットをビットシーケンスに分配する。分配されたメッセージ
ビットを含むビットシーケンスはＣＲＣ発生器２０４に供給される。ＣＲＣ発生
器２０４は、当業者に知られているなんらかの一般的なＣＲＣ計算のための方法
に従って、分配されたビットを含むビットシーケンスのＣＲＣを計算する。

【００１８】ＣＲＣ発生器２０４はＣＲＣビットを発生する。発生されたＣＲＣビットはメ
ッセージビットのためのＭＡＣとして使用される。ＭＡＣビットとメッセージビ
ットは変調器２０６に供給される。変調器２０６は、受信したビットを通信チャ
ネル上に送信するために変調する。変調機構は使用される通信システムおよび通
信チャネルの種類により変化する。一実施形態において、変調機構はＣＤＭＡ機
構であり、通信システムは図１の無線電話システムである。変調器２０６は変調
されたメッセージおよびＭＡＣ信号を送信機２０８に供給する。送信機２０８は
変調されたメッセージとＭＡＣ信号を通信チャネルに送信する。

【００１９】図３を参照して記載した実施形態に従って、攻撃者により予測できない鍵に依
存した態様でオリジナルメッセージＭのビットが分配されたＭＡＣとして、より
大きな「メッセージ」（ビットシーケンス）のＣＲＣが計算され、送信される。
従って、小さな乱数エラーは通常のＣＲＣ機構により検出および修正でき、有効
な攻撃（すなわち有効な攻撃でなかったら合法的なメッセージの意図的変更）は
成功の確率が低い。

【００２０】便宜的に、より大きなメッセージを介してオリジナルメッセージＭのビットを
分配する方法はメッセージごとに変化する。分配方法を変えることにより、攻撃
者がメッセージを収集するのを防止し、それにより、成功する攻撃の確率を徐々
に増大する。ＭＡＣは小さなエラーを検出することを保証しなければならないの
で、（当然異なるＭＡＣを有した）２つの似通ったメッセージが送信されると、
この２つの類似したメッセージの両方に類似するが異なる別のメッセージのＭＡ
Ｃも異なる。従って攻撃者は２^Ｌ−２の可能性のあるＭＡＣからしか選択するこ
とができない。「salt」を示す情報Ｓは、例えばメッセージが送信される時間あ
るいはシーケンス番号のような特別のメッセージについての情報を、メッセージ
ビットが分配される態様と相関させるのに使用されると都合がよい。これは、ス
トリーム暗号は２つの異なるメッセージあるいは単一メッセージの２つの異なる
セグメントに対して同じストリームの出力を発生しないという事実に類似してい
る。

【００２１】従って、攻撃者に予測不可能であり、共有秘密鍵Ｋについて攻撃者が情報を発
見するのを手助けしない態様で、より大きなメッセージにオリジナルメッセージ
Ｍからのビットを分配する必要がある。従って、図３を用いて記載した実施形態
において、より大きなメッセージ内のメッセージビットの配布を制御するために
均一に分配されたＰＲＮが発生される。均一に分配されたＰＲＮは、攻撃者に予
測不可能な態様で、共有秘密鍵Ｋおよびsalt（Ｓ）から得ることが都合がよい。

【００２２】例示実施形態において、ＳＯＢＥＲと呼ばれるストリーム暗号の出力はＰＲＮ
の源として使用される。ＳＯＢＥＲストリーム暗号は、この発明の譲受人に譲渡
され、１９９９年２月８日に出願された米国出願第０９／２４６，３６６（発明
の名称：「暗号化ストリーム暗号を発生するための方法および装置」）に記載さ
れている。ストリーム暗号は、送信されるべきメッセージの各ビットとビットご
とにイクスクルーシブＯＲ（ＸＯＲ）され、それにより暗号化メッセージを発生
する擬似乱数的に発生されるビットストリームである。暗号化されたメッセージ
が受信されると、オリジナルメッセージを生成するために同じストリーム暗号と
ＸＯＲされる。他の実施形態において、他の形態のＰＲＮ発生器をストリーム暗
号の代わりに使用することができる。特に、ストリーム暗号よりも少ない安全性
を提供するＰＲＮ発生器をストリーム暗号の代わりに使用することができる。

【００２３】一実施形態において、図４に示すように、メッセージＭ３００のビットは、キ
ーＰＲＮ発生器（図示せず）の制御により、より大きなメッセージ３０２のある
オフセットで開始し、ビット間でより大きなメッセージ３０２の予測できない数
の位置をスキップしながら、シーケンシャルにビットを載置することにより分配
される。より大きなメッセージ３０２の終端に遭遇したときまたはしたならば、
分配位置はより大きなメッセージの始めで再び開始する。より大きなメッセージ
３０２のビット間でスキップされる位置の最大数は、分配位置が完全にラップア
ラウンドしないように、すなわちより大きなメッセージの最初の位置に到達しな
いようにあるいは通過しないように決定されることが都合がよい。これは、メッ
セージＭ３００の２ビットより大きなメッセージ３０２の同一位置に分配されな
いようにすることを保証する。２ビットがより大きなメッセージ３０２の同一位
置に分配された場合には、これらのビットの双方への同時変化はキャンセルされ
、検出されず、目標を得ることはできないであろう。最悪の場合を考慮するため
に、分配されたビット間の各ギャップが最大長であり、最大ギャップ長は制限さ
れなければならない。しかしながら、平均ギャップ長は最大ギャップ長のわずか
に１／２である。それゆえ、平均してメッセージビットはより大きなメッセージ
のわずか１／２以内に分配される。この分配技術は十分な安全性と相対的な実現
の容易性を提供することが都合がよい。

【００２４】他の実施形態において、メッセージビット３００は、より大きなメッセージ３
０２をおおよそ等しいサイズのブロックに分割して、ランダムオフセットで開始
し、ラップアラウンドし、１ビットを各ブロック内のランダム位置に載置するこ
とにより分配される。この分配技術は、ビットがより大きなメッセージの全体に
よく分配されるので、望ましい性質を有する。

【００２５】より大きなメッセージ３０２のビットはＣＲＣ発生器３０４に供給される。Ｃ
ＲＣ発生器３０４は受信したビットのＣＲＣを計算する。ＣＲＣビット３０６は
メッセージＭ３００のＭＡＣ３０６として使用される。図６を参照して以下に記
載される他の実施形態に関連して示されるように、所望の効果を得るためにより
大きなメッセージ３０２を実際に作る必要がないことを指摘しなければならない
。

【００２６】例示実施形態において、ＣＲＣ／ＭＡＣの長さＬ_ｍは１６ビットである。エラ
ー検出のための保証が適用される最大メッセージはＣＲＣ自体を含めて２^１６ビ
ットである。（（１＋ｘ）と原始多項式の乗算がＣＲＣのための発生器として使
用されるなら、最大メッセージ長は２^１５−１ビットである。）入力メッセージ
Ｍ３００の長さＬ_Ｍは２^１５−１６ビットより極めて小さく維持することが都合
がよい。上述した第２実施形態に従ってより大きなメッセージ３０２をほぼ等し
いサイズのブロックに分割するならば、入力メッセージＭ３００の長さＬ_Ｍは２ ^１５ −１６ビットの１／２より小さく制限されることが都合がよい。上述した第
１の実施形態に従ってより大きなメッセージ３０２内でビット位置がスキップさ
れるなら、入力メッセージＭ３００の長さＬ_Ｍは２^１５−１６ビットの１／４よ
り小さく制限されることが都合がよい。

【００２７】メッセージＭ３００の最初のビットが載置された後、残りのＬ_Ｍ−１ビットは
残りの２^１５−１７位置に載置される。入力メッセージＭの長さＬＭが１５２０
ビットならば、最大分配間隔あるいはブロックサイズは３２７５１／１５１９、
すなわち２１ビットより小さい最大整数となるであろう。しかしながら、ＰＲＮ
発生器はビットのストリームを生成するように見ることができる。従って、２１
ビットを使用する代わりに２の累乗である数を使用することがより効率的であり
都合がよい。２の累乗が最大分配間隔あるいはブロックサイズとして使用される
なら、０乃至１５の範囲のランダム数はＰＲＮ発生器からの出力の４ビットを取
ることにより発生可能である。次に、乱数は５乃至２０の範囲に入るように調節
することが都合がよい。ビット間の平均間隔あるいはブロックのサイズは少なく
とも２でなければならないことは当業者には理解できるであろう。それゆえ、間
隔またはブロックサイズのための最適値は、２^２および２^４との間の２の累乗で
ある。それゆえ、メッセージＭ３００の各ビットの載置はＰＲＮ出力の２乃至４
ビットを必要とする。

【００２８】以下にさらに述べるように、ＰＲＮ発生器からの出力の受取り量を少なくする
ことによりビット位置の不確かさが制限されたとしてもビットをさらに広げるこ
とは都合がよい。最小拡散サイズまたは最小ブロックサイズは定数または変数に
かかわらず使用することができる。

【００２９】他の実施形態において、メッセージビットは、オリジナルビット位置から新し
いビット位置を得るためにブロック暗号のような鍵置換関数を使用することによ
り分配される。特定の実施形態において、１４ビットのブロックサイズを有する
ブロック暗号は、より大きなメッセージ３０２のランダムオフセット位置と共に
採用される。各メッセージに対して異なる置換を使用する必要性は、ブロック暗
号が各メッセージ３００に対して異なる鍵を使用することを必要とすることに注
意しなければならない。これは理論的に可能であるが、実用面で非能率的である
。

【００３０】図５に示す一実施形態において、ＣＲＣ発生器４００は１６個の１ビット記憶
素子４０２ａ−ｇ（簡単化のために記憶素子４０２のみ示されている）、３個の
モジュロ−２加算器４０４、４０６、４０８および３個のスイッチ４１０、４１
２、４１４を含むレジスタとして実現される。他の実施形態において、ＣＲＣ発
生器は、図２を参照して上述したように、便宜的にＲＡＭメモリに含まれるソフ
トウエア命令群を実行するマイクロプロセッサと、ＲＯＭメモリまたはフラッシ
ュメモリに便宜的に含まれる参照テーブル（ＬＵＴｓ）をアクセスすることによ
り実現される。

【００３１】ＣＲＣ発生器４００において、入力メッセージビットはスイッチ４１０に供給
される。スイッチ４１０は入力メッセージビットを受信するかあるいは１のデジ
タル値を受信するように設定される。スイッチ４１２は零のデジタル値を受信す
るかあるいはモジュロ−２加算器４０８からの値を受信するように設定可能であ
る。スイッチ４１４はスイッチ４１０からの値を受信するか、あるいはスイッチ
４１２からの値およびモジュロ−２加算器４０８からの値を受信するように設定
可能である。出力ＣＲＣはスイッチ４１４から得られる。モジュロ−２加算器４
０４は５番目の１ビット記憶素子４０２ｃおよび６番目の１ビット記憶素子４０
２ｄとの間に配置される。モジュロ−２加算器４０６は１２番目の１ビット記憶
素子４０２ｅおよび１３番目の記憶素子４０２ｆとの間に配置される。モジュロ
−２加算器４０８は１６番目の１ビット記憶素子４０２ｈの後に配置されスイッ
チ４１０からの値を受信するように構成される。ＣＲＣの発生器多項式は、モジ
ュロ−２加算器４０４、４０６、４０８の配置により定義されるようにｘ^１６＋
ｘ^１２＋ｘ^５＋１に等しい。

【００３２】作動中、スイッチ４１０、４１２、４１４は（図に示すように）始めに「アッ
プ」位置に設定される。レジスタはｋ回クロックされる。ｋは、入力メッセージ
の長さ＋８ビットとして定義される。（図に示すように）レジスタはシフトレジ
スタであり、各クロックサイクルで各ビットは１つの記憶素子を右方向に移動す
る。次に、スイッチ４１０、４１２、４１４は（図に示すように）「ダウン」位
置に設定される。次に、レジスタはさらに１６回クロックされる。１６の付加的
出力ビットはそのメッセージのＣＲＣフィールドを構成する。ビットは、ＣＲＣ
発生器４００の出力に現われる順に送信される。

【００３３】入力メッセージビットは「より大きなメッセージ」を構成する。より大きなメ
ッセージのためのＣＲＣフィールドはメッセージＭのＭＡＣとして作用する。従
って、ＭＡＣはＣＲＣの固有の安全利益を含むことが都合がよい。計算されたＭ
ＡＣは実際にはＣＲＣなので、「バーストエラー」に適用する保証を除いて、Ｃ
ＲＣに適用するエラー検出および訂正についての保証はＭＡＣに適用する。バー
ストエラー保証は、計算中に連続するビットが分離されるので、もはや「バース
ト」を形成しないので、破られる。

【００３４】本質的にＭＡＣに対して２種類の攻撃がある。ＭＡＣに対する第１の種類の攻
撃はサービスの窃盗である。攻撃者は、他の正当なメッセージを観察しながら、
正当なＭＡＣを有したメッセージを作成しようと試みる。あるいは攻撃者が思い
のままに、偽造したメッセージを作成することを可能にする秘密鍵Ｋを推論しよ
うと試みる。ＭＡＣに対する第２の種類の攻撃は選択されたメッセージである。
攻撃者は、秘密鍵Ｋの発見を目的として特別のメッセージを作成しようと試みそ
してどうにかしてシステムが正当なＭＡＣを計算するように工夫する。

【００３５】正当なＭＡＣを有したメッセージに単一のビット変更をしたいと思う攻撃者は
ＣＲＣに対して対応する変更を計算できる必要があるであろう。これは、拡張さ
れたメッセージ内のビットの位置を予測することができることを必要とする。ビ
ットの可能な位置は２^Ｌ−１以下なので、攻撃者はＭＡＣを推量するよりもほん
のわずか良くできるに過ぎない。

【００３６】何らかのＭＡＣに対する１つの可能な攻撃はいわゆる選択された平文攻撃であ
る。この種の攻撃において、メッセージが攻撃者により選択された特定の内容を
有するように、攻撃者は、正当なＭＡＣを付随してメッセージを送信させるよう
に何とかして配列可能である。例えば、攻撃者は電子メールを受取人に送ること
が出来るかもしれない。これは結局送信チャネルを介して導かれ、計算され付加
された正しいＭＡＣを有するであろう。攻撃者は、単一の「１」ビットから構成
されその後にすべての「０」ビットが続くようなメッセージ作るかもしれない。
計算されたＣＲＣを観察することにより、攻撃者は最初の位置を推測することが
でき、それゆえＰＲＮ発生器の出力のいくつかを推測することができるであろう
。これは、将来の出力を予測する方法に導くかもしれないので望ましくない。従
って、一実施形態において、より大きなメッセージの他の１ビットが１に設定さ
れる。この他のビットはランダムな位置において選択される。

【００３７】攻撃者は、すべて零から構成されるメッセージを送信する他の方法を有する。
観察されたＣＲＣは攻撃者にＰＲＮ発生器からの出力のＬ_ｍビットを与える。こ
れはＰＲＮ発生器からの出力のＬｍビットを与えたとしても、秘密鍵情報Ｋの回
復を防止するように十分安全である必要がある。

【００３８】攻撃者がビットの開始位置を予測することに加えてメッセージに対する複数ビ
ットの変更を行なうことを試みるならば、攻撃者は、ビットの分散も決定しなけ
ればならない。これは１ビットのみに対して行なった場合よりも成功の確率を小
さくするであろう。

【００３９】適用可能な１つの変形攻撃が残存する。攻撃者がＣＲＣ多項式の倍数のパター
ンに展開される変更を行なうことができた場合、計算されたＭＡＣに影響はない
であろう。これはビットの初期位置の予測不能性を有効に無効にする。少数のス
トリーム暗号ビットを使用することが望ましい場合には、多項式の小さな倍数に
対してこの種の攻撃を不可能にし、多項式の大きな倍数に対して統計的に困難に
させるように特定のＣＲＣ多項式を考慮してビットを展開する方法を選択するこ
とは利点がある。

【００４０】一実施形態において、実際により大きなメッセージを作らずに入力メッセージ
ＭのためのＭＡＣを発生するためにＣＲＣ計算をより大きなメッセージに行う。
架空の「より大きなメッセージ」に分配される入力メッセージＭの各ビットに対
して、多項式ｘ^ｉ（但し、ｉはより大きなメッセージのメッセージビットの意図
された位置である）の剰余モジュロＰを計算する必要がある。ＣＲＣは線形なの
で、剰余計算は、メッセージの特定ビットが１であるならば、既存のＣＲＣに、
多項式加算すなわちイクスクルーシブＯＲ（ＸＯＲ）により付加することができ
る。オール零メッセージのＣＲＣは零なので、入力メッセージＭの各ビットにＸ
ＯＲ多項式加算技術を適用することにより、ＣＲＣはより大きなメッセージを作
らずに、かつＬ_Ｍ計算を行うのみで計算できる。同様に零でないビットを有した
入力メッセージＭの初期シーディング(seeding)はその計算のランダム開始ＣＲ
Ｃを選択することと等価である。

【００４１】ｘ^ｉｍｏｄＰ（但しｉは（Ｌ_ｍが１６であると仮定すると）０乃至３２７６７
の範囲である）を計算することは種々の方法で行なうことができる。特定の実施
形態において、１対の参照テーブル（ＬＵＴｓ）が使用される。上述した式のｉ
の各可能な値に対応するＣＲＣを与える単一ＬＵＴで十分であるが、２^１６の１
６−ビットテーブルエントリが必要となる。その代わりｉは２５６hi+loの形で
表される。この場合、hiおよびloはそれぞれｉの上位８ビットおよび下位８ビッ
トである。それぞれＣＲＣ計算ｘ^２５６hiｍｏｄＰおよびｘ^loｍｏｄＰの結果を
与えるように２つのＬＵＴがあらかじめ計算されるので、第２のＬＵＴの対応す
るエントリを有する第１ＬＵＴの各入力にＸＯＲ演算を行なうことはＣＲＣを計
算することに等しい。従って、２つのＬＵＴが必要であり、各ＬＵＴは２５６の
１６−ビットエントリを有し、ＣＲＣを計算するために、入力メッセージＭのノ
ンゼロビットごとに２つのテーブルルックアップが行なわれる。

【００４２】ビットはより大きなメッセージを介して分配されているので、hiは迅速には変
わらない。従って同じ値を繰り返し参照することは互いを相殺するということに
言及することは、ソフトウエア実現において、都合がよい。最終結果において実
際に重要になってくるであろう全ては、hiの各値が奇数回使用されたかどうかで
ある。

【００４３】一実施形態において、ＰＲＮ発生器は、図６のフローチャートに図示されるア
ルゴリズムステップに従ってより大きなメッセージを作ることなく、架空の「よ
り大きなメッセージ」のＣＲＣとして、入力メッセージＭのＭＡＣを発生する。
この特定の実施形態において、Ｌ_ｍは１６ビットであり、Ｌ_Ｍは１５２０ビット
である。ＣＲＣ多項式Ｐは１６ビットＣＲＣ−ＣＣＩＴＴ多項式P(x)=x¹⁶+x¹²+x ⁵ +1である。ＣＲＣ値を参照するための特定のＬＵＴｓは当業者に理解されるよ
うに容易に計算できる。表示Ｒ_ｎ（但しｎは整数）は、ＰＲＮ発生器（図示せず
）から次のｎビットを取り込まなければならないことを示すために以下で使用さ
れる。この特定の実施形態において、５ビットの一定の最小スペースが採用され
、そしてＰＲＮ出力の３ビットが使用され、５ビット乃至１２ビットからなるビ
ットを均一に分配したビット間にスペースを与える。変数Ｃは最終的な出力ＭＡ
Ｃのアキュムレータを示す。変数Ｋは「より大きなメッセージ」に載置されるべ
き次のビットの位置を示す。変数ｉは入力メッセージＭのビットの位置を示す。

【００４４】ステップ５００において、発生器はＣをＲ_１６と等しく設定する。これは、１
に設定されるランダムビット位置を選択することと等価である。発生器出力の次
の１６ビットはＣＲＣを形成する。次に、発生器はステップ５０２に進む。ステ
ップ５０２において、発生器はＫをＲ_１５モジュロ３２７５１に等しくなるよう
に設定する。これは事実上分配されるべき入力メッセージＭの第１ビットの位置
である。次に、発生器はステップ５０４に進む。ステップ５０４において、発生
器はｉを零に等しく設定する。発生器は次にステップ５０６に進む。

【００４５】ステップ５０６において、発生器はビットＭ［ｉ］（現在分配されている入力
メッセージビット）が１に設定されているかどうか判断する。ビットＭ［ｉ］が
１に設定されていないなら、発生器はステップ５０８に進む。一方ビットＭ［ｉ
］が１に設定されている場合、発生器はステップ５１０に進む。ステップ５１０
において、発生器は、上述した多項式加算技術に従って、ｘ^ｋモジュロＰを計算
し、Ｃとｘ^ｋモジュロＰのＸＯＲ演算をビット毎に行なう。Ｃの新しい値は、Ｘ
ＯＲ計算から得られたビットに等価に設定される。発生器は次にステップ５０８
に進む。

【００４６】ステップ５０８において、発生器は３２７５１を法としてＫ、５、およびＲ_３（発生器出力の次の３ビット）の和を計算する。この結果はＫに等しく設定され
るので、Ｋは入力メッセージの次のビットが分配されるロケーションになるよう
に更新される。この計算は、ステップ５１０において、現在のビットＭ［Ｉ］の
分配後に実行される。発生器は次にステップ５１２に進む。ステップ５１２にお
いて、発生器はｉを１だけインクリメントする。次に、発生器はステップ５１４
に進む。ステップ５１４において、発生器はｉが１５１９より大きいか否か判断
する。ｉが１５１９より大きくない場合には、発生器はステップ５０６に戻り、
次の入力メッセージビットＭ［ｉ］を処理する。一方、ｉが１５１９よりも大き
い場合には、発生器はステップ５１６に進む。ステップ５１６において、発生器
は入力メッセージのＭＡＣとしてＣの値に戻る。

【００４７】他の実施形態において、ステップ５０８において実行される計算は６５５２１
を法として、Ｋ、１０、Ｒ_４（発生器出力の次の４ビット）の和を計算する。再
度その結果はＫに等しく設定される。この実施形態に従って、発生器はステップ
５０２において、ＫをＲ１６モジュロ６５５２１に等しく設定する。この実施形
態に従って使用できる原始多項式はｘ^１６＋ｘ^１４＋ｘ^１２＋ｘ^７＋ｘ^６＋ｘ^５＋ｘ^２＋ｘ＋１である。

【００４８】他の実施形態において、ＰＲＮ発生器は、図７のフローチャートに示されるア
ルゴリズムステップに従って、より大きなメッセージを作ることなしに架空の「
より大きなメッセージ」のＣＲＣとして入力メッセージＭのためのＭＡＣを発生
する。この特定の実施形態において、Ｌ_ｍは１６ビットであり、Ｌ_Ｍは１５２０
ビットである。ＣＲＣ多項式Ｐは１６−ビットＣＲＣ−ＣＣＩＴＴ多項式Ｐ（ｘ
）＝ｘ^１６＋ｘ^１２＋ｘ^５＋１である。ＣＲＣ値を参照するための特定のＬＵＴ
ｓは当業者に理解されるように容易に計算可能である。表示Ｒ_ｎ（ｎは整数）Ｐ
ＲＮ発生器（図示せず）からの出力の次のｎビットを取り込まなければならない
ことを示すために以下に使用される。この特定の実施形態において、５ビットの
一定の最小スペースが採用され、そしてＰＲＮ出力の３ビットが使用され、５ビ
ット乃至１２ビットからなるビットを均一に分配したビット間にスペースを与え
る。変数Ｃは最終的な出力ＭＡＣのアキュムレータを示す。変数Ｋは「より大き
なメッセージ」に載置されるべき次のビットの位置を示す。変数ｉは入力メッセ
ージＭのビットの位置を示す。

【００４９】ステップ６００において、発生器はＣをＲ_１６と等しく設定する。これは、１
に設定されるランダムビット位置を選択することと等価である。発生器出力の次
の１６ビットはＣＲＣを形成する。次に、発生器はステップ６０２に進む。ステ
ップ６０２において、発生器はＫをＲ_１５モジュロ３２７５１に等しくなるよう
に設定する。これは事実上分配されるべき入力メッセージＭの第１ビットの位置
である。次に、発生器はステップ６０４に進む。ステップ６０４において、発生
器はｉを零に等しく設定する。発生器は次にステップ６０６に進む。

【００５０】ステップ６０６において、発生器はビットＭ［ｉ］（現在分配されている入力
メッセージビット）が１に設定されているかどうか判断する。ビットＭ［ｉ］が
１に設定されていないなら、発生器はステップ６０８に進む。一方ビットＭ［ｉ
］が１に設定されている場合、発生器はステップ６１０に進む。ステップ６１０
において、発生器は、上述した多項式加算技術に従って、ｘ^ｋモジュロＰを計算
し、Ｃとｘ^ｋモジュロＰのＸＯＲ演算をビット毎に行なう。Ｃの新しい値は、Ｘ
ＯＲ計算から得られたビットに等価に設定される。発生器は次にステップ６０８
に進む。

【００５１】ステップ６０８において発生器はｉを１だけインクリメントする。次に発生器
はステップ６１２に進む。ステップ６１２において、発生器はｉが１５１９より
大きいか否か判断する。ｉが１５１９より大きくないなら発生器はステップ６１
４に進む。一方、ｉが１５１９より大きいなら、発生器はステップ６１６に進む
。ステップ６１６において、発生器は入力メッセージのためのＭＡＣとしてＣの
値に戻る。ステップ６１４において、発生器は３２７５１を法としてＫ，５、お
よびＲ_３（発生器出力の次の３ビット）の和を計算する。この結果はＫに等しく
設定されるので、Ｋは入力メッセージの次のビットが分配されるロケーションに
なるように更新される。新しいビットロケーションの計算は新しいビットが分配
されようとするとき実行される。ステップ６１４の計算を実行後、発生器はステ
ップ６０６に戻り、次の入力メッセージビットＭ［ｉ］を処理する。

【００５２】他の実施形態において、ステップ６１４において実行される計算は６５５２１
を法として、Ｋ、１０、Ｒ_４（発生器出力の次の４ビット）の和を計算する。再
度その結果はＫに等しく設定される。この実施形態に従って、発生器はステップ
６０２において、ＫをＲ１６モジュロ６５５２１に等しく設定する。この実施形
態に従って使用できる原始多項式はｘ^１６＋ｘ^１４＋ｘ^１２＋ｘ^７＋ｘ^６＋ｘ^５＋ｘ^２＋ｘ＋１である。

【００５３】以上ＭＡＣを発生するための新規な方法および装置について述べた。当業者に
は、ここに開示した実施形態に関連して記載した種々の図示論理ブロックおよび
アルゴリズムステップは、デジタルシグナルプロセッサ（ＤＳＰ）、特定用途向
け集積回路（ＡＳＩＣ）、ディスクリートゲートまたはトランジスタロジック、
例えばレジスタやＦＩＦＯのようなディスクリートハードウエアコンポーネント
、一連のファームウエア命令を実行するプロセッサ、あるいはいかなる一般的な
プログラマブルソフトウエアモジュールおよびプロセッサを用いて実現または実
行可能であることが理解されよう。プロセッサはマイクロプロセッサであること
が都合がよいが、一般的なプロセッサ、コントローラ、マイクロコントローラあ
るいはステートマシンであってもよい。ソフトウエアモジュールは、ＲＡＭメモ
リ、フラッシュメモリ、レジスタあるいは従来知られている他の形態の書き込み
可能な記憶媒体に常駐させることができる。さらに当業者には、上記記載を通し
て参照し得るデータ、命令、コマンド、情報、信号、ビット、シンボル、および
チップは、電圧、電流、電磁波、磁界または磁性粒子、光学フィールドまたは光
学粒子あるいはそれらの組合せによって表されると都合がよいことが理解されよ
う。

【００５４】以上、この発明の好適実施形態について図示および説明した。しかしながら、
この発明の精神または範囲を逸脱することなく、ここに開示された実施形態に対
して種々の変更を加えることができることは当業者には明らかである。それゆえ
、この発明は以下のクレームに従う場合を除いて制限されない。

【図面の簡単な説明】

【図１】セルラ電話システムのブロック図である。

【図２】メッセージおよび相関するメッセージ認証コード（ＭＡＣ）を発生するために
使用されるプロセッサおよび相関するメモリエレメントのブロック図である。

【図３】メッセージおよび相関するＭＡＣを発生するための発生器のブロック図である
。

【図４】鍵に合わせた擬似乱数（ＰＲＮ）メッセージビット配布技術を採用するために
図３の発生器において使用可能なレジスタの概略図である。

【図５】図３の発生器において使用可能な巡回冗長検査（ＣＲＣ）発生器の概略図であ
る。

【図６】メッセージのためのＭＡＣを発生するために図３の発生器のような発生器によ
り実行される方法ステップを示すフローチャートである。

【図７】メッセージのためのＭＡＣを発生するために図３の発生器のような発生器によ
り実行される方法ステップを示すフローチャートである。

【符号の説明】

１０・・・移動加入者装置１２・・・基地局１４・・・基地局コントローラ１６・・・移動交換センタ１８・・・ＰＳＴＮ１００・・・ＭＡＣを含むメッセージを発生するための機構１０２・・・プロセッサ１０４・・・ソフトウエアモジュール１０６・・・記憶媒体２００・・・メッセージおよび相関するＭＡＣを発生するための発生器２０２・・・鍵入力擬似乱数分配器２０４・・・巡回冗長検査発生器２０６・・・変調器２０８・・・送信機３００・・・メッセージＭ３０２・・・より大きなメッセージ４００・・・ＣＲＣ発生器４０２・・・記憶素子４０４、４０６、４０８・・・加算器４１０、４１２、４１４・・・スイッチ

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＢＺ，ＣＡ，ＣＨ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＤＺ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者ベンダー、ポール・イーアメリカ合衆国、カリフォルニア州 92122 サン・ディエゴ、エンジェル・アベニュー 2879 (72)発明者クイック、ロイ・フランクリン・ジュニアアメリカ合衆国、カリフォルニア州 92107 サン・ディエゴ、デル・モンテ・アベニュー 4502 (72)発明者ウォルフ、ジャック・ケーアメリカ合衆国、カリフォルニア州 92037 ラ・ジョラ、プレストウィック・ドライブ 8529 Ｆターム(参考） 5J104 AA08 FA01 NA07 NA09 NA23 5K067 AA30 BB02 EE02 EE10 EE16 GG01 GG11 HH22 HH23 HH24 HH25 HH36 KK13 KK15

Claims

【特許請求の範囲】

【請求項１】下記工程を具備するメッセージ認証コードを発生する方法：鍵に依存した態様で、第１の複数のメッセージビットを第２の複数のビットに
擬似ランダム的に分配する；前記第２複数ビットの巡回冗長検査を構成する第３の複数のビットを発生する
；および前記第１の複数のメッセージビットおよび前記第３の複数のビットから構成さ
れるメッセージ認証コードを送信する。
【請求項２】前記発生ステップは、マイクロプロセッサ、前記マイクロプ
ロセッサによりアクセス可能な参照テーブルおよび前記マイクロプロセッサによ
り実行可能なソフトウエア命令群を用いて実行される、請求項１記載の方法。
【請求項３】前記発生ステップはシフトレジスタを用いて実行される、請
求項１記載の方法。
【請求項４】前記擬似ランダム的に分配する工程が下記工程から構成され
る、請求項１記載の方法：前記第１の複数のビットの第１ビットを前記第２の複数のビットのオフセット
ビットロケーションに載置する；および前記第２の複数のビットのオフセットビットロケーションから予測できない数
のビットロケーションをスキップする。
【請求項５】前記第１の複数のビットの次のビットを前記第２の複数のビ
ットのイニシャルビットロケーションを加える工程をさらに具備する、請求項４
記載の方法。
【請求項６】前記第２の複数のビットのイニシャルビットロケーションが
到達あるいは通過されないように、前記スキップ工程でスキップされたビットロ
ケーションの最大数を決定する工程をさらに具備する、請求項４記載の方法。
【請求項７】前記スキップ工程においてスキップされたビットロケーショ
ンの数は４乃至１６までの２の累乗である、請求項４記載の方法。
【請求項８】前記擬似ランダム的に分配する工程が下記工程から構成され
る、請求項１記載の方法：前記第２の複数のビットをほぼ均一ブロックサイズのブロックに分割する；お
よび前記第１の複数のビットを各ブロック内のランダムビットロケーションに載置
し、各ブロックに１ビットが載置されるようにする。
【請求項９】前記均一ブロックサイズは４乃至１６の２の累乗である、請
求項８記載の方法。
【請求項１０】鍵入力された順列関数を用いて前記第２の複数のビット内
の前記第１の複数のビットの元のビットロケーションから新しいビットロケーシ
ョンを引き出す工程から構成される、請求項１記載の方法。
【請求項１１】前記擬似ランダム的に分配する工程が下記工程から構成さ
れる、請求項１記載の方法：多項式ｘ^ｉの剰余モジュロＰを計算する（但し、ｉは前記第２の複数のビット
の意図されたビットロケーションであり、Ｐは前記第３の複数のビットから引き
出された巡回冗長検査多項式である）；および１に等しい前記第１の複数のビットの各ビットに対して、前記第３の複数のビ
ットと前記計算された剰余のイクスクルーシブＯＲ演算をビット毎に行なう。
【請求項１２】下記手段を具備する、メッセージ認証コードを発生するよ
うに構成された発生器：鍵に依存した態様で第１の複数のメッセージビットを第２の複数のビットに擬
似ランダム的に分配する手段；前記第２の複数のビットの巡回冗長検査を構成する第３の複数のビットを発生
する手段；および前記第１の複数のメッセージビットと、前記第３の複数のビットを構成するメ
ッセージ認証コードを送信する手段。
【請求項１３】前記発生手段はマイクロプロセッサ、前記マイクロプロセ
ッサによりアクセス可能な参照テーブル、および前記マイクロプロセッサにより
実行可能なソフトウエア命令群から構成される、請求項１２記載の発生器。
【請求項１４】前記発生手段はシフトレジスタで構成される、請求項１２
記載の発生器。
【請求項１５】前記擬似ランダム的に分配する手段が下記手段から構成さ
れる、請求項１２記載の発生器：前記複数の第１のビットの第１ビットを前記第２の複数のビットのオフセット
ビットロケーションに載置する手段；および前記第２の複数のビットのオフセットビットロケーションから予測できない数
のビットロケーションをスキップする手段。
【請求項１６】前記第１の複数のビットの次のビットを前記第２の複数の
ビットのイニシャルビットロケーションに加える手段をさらに具備する請求項１
５記載の発生器。
【請求項１７】前記第２の複数のビットのイニシャルビットロケーション
が到達されないまたは通過されないように、スキップされるビットロケーション
の最大数を決定する手段をさらに具備する、請求項１５記載の発生器。
【請求項１８】前記スキップされるビットロケーションの数は４乃至１６
の２の累乗である、請求項１５記載の発生器。
【請求項１９】前記擬似ランダム的に分配する手段が下記手段から構成さ
れる、請求項１２記載の発生器：前記第２の複数のビットをほぼ均一ブロックサイズのブロックに分割する手段
；および前記第１の複数のビットを各ブロック内のランダムビットロケーションに載置
し、各ブロックに１ビットが載置されるようにする手段。
【請求項２０】前記均一ブロックサイズは４乃至１６の２の累乗である、
請求項１９記載の発生器。
【請求項２１】鍵入力された順列関数を用いて前記第２の複数のビット内
の前記第１の複数のビットの元のビットロケーションから新しいビットロケーシ
ョンを引き出す手段から構成される、請求項１２記載の発生器。
【請求項２２】前記擬似ランダム的に分配する手段が下記手段から構成さ
れる、請求項１２記載の発生器：多項式ｘ^ｉの剰余モジュロＰを計算する手段（但し、ｉは前記第２の複数のビ
ットの意図されたビットロケーションであり、Ｐは前記第３の複数のビットから
引き出された巡回冗長検査多項式である）；および１に等しい前記第１の複数のビットの各ビットに対して、前記第３の複数のビ
ットと前記計算された剰余のイクスクルーシブＯＲ演算をビット毎に行なう手段
。
【請求項２３】下記手段を具備するメッセージ認証コードを発生するよう
に構成された発生器：鍵に依存した態様で第１の複数のメッセージビットを第２の複数のビットに擬
似ランダム的に分配するように構成されたプロセッサ；前記分配器に接続され、前記第２の複数のビットの巡回冗長検査を構成する第
３の複数のビットを発生するように構成された発生器；および前記発生器と接続され、前記第１の複数のメッセージビットと、前記第３の複
数のビットを構成するメッセージ認証コードを送信する送信機。
【請求項２４】前記発生器は、前記マイクロプロセッサによりアクセス可
能な参照テーブルと、前記マイクロプロセッサにより実行可能であり、メモリエ
レメントに記憶されたソフトウエア命令群から構成される、請求項２３記載の発
生器。
【請求項２５】前記発生器はシフトレジスタから構成される、請求項２３
記載の発生器。
【請求項２６】前記プロセッサは前記第１の複数のビットの第１ビットを
前記第２の複数のビットのオフセットビットロケーションに載置し、前記第２の
複数のビットのオフセットビットロケーションから予測できない数のビットロケ
ーションをスキップする、請求項２３記載の発生器。
【請求項２７】前記プロセッサは前記第１の複数のビットの次のビットを
前記第２の複数のビットのイニシャルビットロケーションに加えるように構成さ
れる、請求項２６記載の発生器。
【請求項２８】前記プロセッサは、前記第２の複数のビットをほぼ均一な
ブロックサイズのブロックに分割し、前記第１の複数のビットを各ブロック内の
ランダムビットロケーションに載置し、各ブロックに１ビットが載置されるよう
にする、請求項２３記載の発生器。
【請求項２９】前記プロセッサは、多項式ｘ^ｉの剰余モジュロＰを計算す
るように構成された計算機（但し、ｉは前記第２の複数のビットの意図されたビ
ットロケーションであり、Ｐは前記第３の複数のビットから引き出された巡回冗
長検査多項式である）と；および１に等しい前記第１の複数のビットの各ビット
に対して、前記第３の複数のビットと前記計算された剰余のイクスクルーシブＯ
Ｒ演算をビット毎に行なう多項式加算器から構成される、請求項２３記載の発生
器。