JP2003516659A

JP2003516659A - １の補数暗号コンバイナ

Info

Publication number: JP2003516659A
Application number: JP2001542927A
Authority: JP
Inventors: ドリスコール，ケヴィン・アール
Original assignee: ハネウェル・インコーポレーテッド
Priority date: 1999-12-11
Filing date: 2000-12-11
Publication date: 2003-05-13
Also published as: EP1236304B1; EP1236304A1; CA2394435A1; DE60038042T2; ATE386381T1; WO2001043340A1; US6760440B1; AU2084201A; DE60038042D1

Abstract

(57)【要約】ストリーム暗号の暗号システムは鍵を受信し、キーストリームを提供する擬似乱数発生器を含む。暗号コンバイナは第１のバイナリ・データ・シーケンスとキーストリームとを１の補数の演算を用いて組み合わせ、第２のバイナリ・データ・シーケンスを提供する。暗号化演算において、暗号コンバイナは暗号化コンバイナであり、第１のバイナリ・データ・シーケンスは平文バイナリ・データ・シーケンスであり、第２のバイナリ・データ・シーケンスは暗号文バイナリ・データ・シーケンスである。解読演算において、暗号コンバイナは解読コンバイナであり、第１のバイナリ・データ・シーケンスは暗号文バイナリ・データ・シーケンスであり、第２のバイナリ・データ・シーケンスは平文データ・シーケンスである。

Description

【発明の詳細な説明】

【０００１】発明の分野本発明は、一般に、暗号システムに関連し、より特定的には、平文を暗号文に
暗号化するためにキーストリームを平文と組み合わせ、暗号文を平文に解読する
ために暗号文をキーストリームと組み合わせる、秘密鍵ストリーム暗号暗号シス
テムに関連する。

【０００２】発明の背景暗号システムは、許可された受信側だけが暗号文を変換して元の平文に戻すこ
とができるように、平文を暗号文に変換する暗号法を実施する。暗号化（encryp
tion）または暗号化（enciphering）は、平文を暗号文に変換するプロセスであ
る。解読（decryption）または解読（deciphering）は、暗号文を平文に変換す
るプロセスである。

【０００３】許可されない人物によって平文が容易に暴露されないようにするために、暗号
化鍵と呼ばれるパラメータが暗号システムによって採用される。送信側は所与の
平文を、特定の暗号化鍵によって選択される可能な種々の暗号文に変換する。暗
号文の受信側は、解読（デクリプション）鍵と呼ばれるパラメータを採用して暗
号文を解読する。公開鍵暗号システムでは、暗号化鍵は公開され、解読鍵は秘密
にされる。従って公開鍵暗号システムでは、解読鍵は、暗号化鍵から推定するこ
とが計算上不可能でなければならない。秘密鍵暗号システムでは、通常、送信側
と受信側とが、暗号化と解読の両方に使用される共通の鍵を共有する。このよう
な秘密鍵暗号システムでは、共通鍵は改変可能であり、秘密にしておかなければ
ならない。

【０００４】秘密鍵暗号システムは、通常、ブロック暗号法暗号システムまたはストリーム
暗号法暗号システムとして実施される。ブロック暗号法暗号システムは、平文を
ブロックに分割し、ステートレスの（状態を持たない）変換を用いて各ブロック
を別個に暗号化する。ブロック暗号法暗号システムでは、特定の平文ブロックの
異なるオカレンス（発生セグメント）を暗号化するために１つの固定した共通の
秘密鍵が採用される場合、これらのオカレンスはすべて、対応する同一の暗号文
ブロックに暗号化される。従って、暗号文ブロックのうちの様々なパターンの発
生頻度を分析する暗号分析者からの攻撃を失敗させるために、ブロック・サイズ
を十分に大きく選択することが好ましい。例示的なブロック・サイズは６４ビッ
トおよび１２８ビットである。

【０００５】ストリーム暗号法暗号システムでは、平文は、通常、暗号化が進行するのに伴
って発展するステートフルの（状態を持つ）変換を用いて、ビット単位またはワ
ード単位で暗号化される。平文バイナリ・データ・シーケンスを暗号文バイナリ
・データ・シーケンスとして送信するために暗号化するときに、共通の秘密鍵は
、擬似乱数ジェネレータ（発生器）を制御してキーストリームと呼ばれる長い２
進データ・シーケンスを生み出すパラメータである。ストリーム暗号法暗号シス
テムは、キーストリームを平文シーケンスと組み合わせる暗号コンバイナを含む
。暗号コンバイナは、通常、ビットに関するモジュロ２加算を行う排他的ＯＲ（
ＸＯＲ）ビットワイズ（bit-wise）論理ゲートを使用して実装される。暗号コン
バイナは暗号文を生成する。受信側では、共通の秘密鍵が受信側擬似乱数ジェネ
レータを制御して解読キーストリームを生成する。解読キーストリームは、解読
コンバイナと組み合わされて暗号文を解読し、平文を受信側へ提供する。

【０００６】ストリーム暗号法暗号システムに伴う問題の１つは、短いランダムな鍵から、
長く、統計的に一様であり、予測不能な２進データ・シーケンスをキーストリー
ム中に生成するのが難しいことである。暗号技術におけるキーストリームでは、
このようなシーケンスが望ましく、それは、そのデータの妥当なセグメントが与
えられ且つ十分なコンピュータ・リソースが与えられる場合に、シーケンスにつ
いて多くのことが知られるのを不可能にするためである。

【０００７】暗号的に安全なキーストリーム擬似乱数ジェネレータ（発生器）には、４つの
一般的要件がある。第１に、キーストリームの期間は、送信メッセージの長さに
対応するように十分に大きくなければならない。第２に、キーストリームの出力
ビットは、良好な統計的特性を持たなければならない（例えば、値が均質に分散
しているなど）。第３に、キーストリームの出力ビットは生成が容易でなければ
ならない。第４に、キーストリームの出力ビットは予測が困難でなければならな
い。例えば、擬似乱数ジェネレータと、第１のＮ個の出力ビットａ（０）、ａ（
１）、．．．、ａ（Ｎ−１）を与えられた場合に、シーケンス中の第（Ｎ＋１）
番目のビットａ（Ｎ）を五分五分よりも高い可能性で予測するのが計算上不可能
であるべきである。言い換えれば、暗号分析者は、キーストリーム出力シーケン
スの所与の部分を提示されても、他の前方ビットまたは後方ビットを生成するこ
とが不可能であるべきである。

【０００８】同一のキーストリームを、暗号文を作るために送信側で平文を暗号化するため
と、平文を作るために受信側で暗号文を解読するために用いることができるよう
に、受信側の解読コンバイナの動作は、送信側の暗号化コンバイナの動作の逆に
なるはずである。最もよくみられるコンバイナの動作は、ビットごとのＸＯＲで
ある。ＸＯＲコンバイナ動作の１つの問題は、偶発的な２重暗号化が平文の全て
を可読にしてしまうことである。ＸＯＲコンバイナ動作のもう１つの問題は、同
一のキーを用いた２つの暗号文が、キーストリームを排除するために暗号分析者
によってＸＯＲでき、２つの平文のＸＯＲを残すことである。英語のような言語
の低いエントロピーは、２つの平文のＸＯＲによって、それらの２つの元の平文
のメッセージを分析することを可能にする。更に、もしキーストリームの期間が
メッセージよりも短いと、この種の暗号分析者は、暗号文をキーストリームの大
きさのユニットに分割して、キーストリームを排除するためにそれらのユニット
を相互にＸＯＲすることによって、平文のユニットのＸＯＲを残すこともできる
。

【０００９】２の補数加算コンバイナ処理を用いる暗号化コンバイナは、ＸＯＲコンバイナ
処理と同様の問題を有する。偶発的な２重暗号化が平文ユニットの各々の最下位
ビットを可読にしてしまう。多くの場合暗号分析者は、平文の最下位ビットが読
めるだけで、暗号を破ることができる。更に、同一のキーストリームで暗号化さ
れた２^N個の暗号文を加算すると、文の各ユニットの下位Ｎビットからキーを除
去し、これらのビットに対する２^N個の平文の和を残す。英語のような言語の低
いエントロピーは、これらのＮビットがしばしばそれらのＮ個の元の平文のメッ
セージを分析することを可能にし、多くの場合暗号分析者によって暗号を破るた
めに用いられる。例えば、暗号分析者は暗号文をＮ個のユニットに分割し、それ
らのＮ個のユニットを加算することによって処理できる。

【００１０】ＸＯＲコンバイナ動作のもう１つの問題は、その構造に関する自明な情報だけ
でメッセージの内容を敵対者が扱うことを許すことである。敵対者が受信された
平文の或るビット（１又は複数）を変えることを望む場合、すべきことは、暗号
文メッセージを傍受し、その敵対者が変更することを望む平文のビットに対応す
る暗号文のビットを反転し、そのメッセージを受信者に送るだけである。敵対者
の必要な知識は、変更すべきビットのメッセージ内での位置だけである。２の補
数コンバイナは、敵対者が変更すべきビットより上（より上位）の全ビットの平
文を知ることを必要とするため、この扱いを少し困難にする。この知識は、敵対
者が変更することを望まないメッセージの他のビットを変化させる繰り上がりや
繰り下がり無しに、希望する変更をできるために必要とされる。

【００１１】幾つかの非常に複雑な暗号化コンバイナが、ＸＯＲコンバイナ動作の上述の問
題の幾つかを解決する。しかしながら、これらの非常に複雑な暗号化コンバイナ
は、時間及び／又はハードウエア資源的にかなり高価である。この非常に複雑な
種類の暗号化コンバイナの１例は、組み合わせ表（permutation table）コンバ
イナである。組み合わせ表は、平文のアルファベット（全字母）の大きさの表を
持つことを必要とする。例えば、平文のユニットの大きさが３２ビットとすると
、組み合わせ表は１６ギガバイト必要である。一方、もし平文のユニットの大き
さが８ビットなら、組み合わせ表の大きさは２５６バイト必要なだけであるが、
８ビット平文ユニットの暗号化は、３２ビット平文ユニットを用いるより一般的
に４倍遅い。加えて、より小さな平文ユニットの大きさは、平文拡散量を制限す
る。平文拡散とは、平文ビットが他の平文ビットの暗号化に影響できることを意
味する。例えば、ＸＯＲコンバイナ動作は、平文拡散を持たない。

【００１２】大抵、暗号化によって生成された暗号文は、文字列の終わりや、メッセージの
終わりや、ファイルの終わりの意味を保存する値を含んではならない。例えば、
Ｃプログラミング言語内の文字列は、文字列の最後を意味する値として予約され
ているので、ゼロバイトを含むことはできない。単純なＸＯＲ及び２の補数コン
バイナは、任意の暗号文の値を生成できる。これは、暗号文内に予約された値が
出現することを防止するために、特別の効果を適用することが必要であることを
意味する。

【００１３】前述の理由で、かつ本明細書の好ましい実施形態の説明の章でより詳細に提示
する他の理由で、偶発的な２重暗号化が組み合わせられた出力ビットからキース
トリームを除去しない、ストリーム暗号暗号化システム用の暗号化コンバイナが
望まれている。加えて、キーストリームを除去するために２つの暗号文を組み合
わせ、それらの２つの元の平文メッセージの組み合わせ処理を残すように、同一
のキーストリームを用いることができない、暗号化コンバイナが必要である。加
えて、何らの予約値も含まないことが知られている暗号文を生成する暗号化コン
バイナが必要である。その様な望ましい暗号化コンバイナは、時間及びハードウ
エア資源的に比較的安価であるべきである。

【００１４】発明の概要本発明は、鍵（キー）を受信し、キーストリームを提供する擬似乱数発生器を
含む、ストリーム暗号の暗号システムを提供する。ストリーム暗号の暗号システ
ムは、第１のバイナリ・データ・シーケンスおよびキーストリームを受信する暗
号コンバイナをさらに含んでいる。暗号コンバイナは、第１のバイナリ・データ
・シーケンス及びキーストリームに１の補数のオペレーション（演算）を実行し
て第２のバイナリ・データを提供する。

【００１５】暗号化オペレーションにおいては、暗号コンバイナは暗号化コンバイナであり
、第１のバイナリ・データ・シーケンスは平文バイナリ・データ・シーケンスで
あり、第２のバイナリ・データ・シーケンスは暗号文バイナリ・データ・シーケ
ンスである。解読オペレーションにおいて、暗号コンバイナは解読コンバイナで
あり、第１のバイナリ・データ・シーケンスは暗号文バイナリ・データ・シーケ
ンスであり、第２のバイナリ・データ・シーケンスは平文データ・シーケンスで
ある。

【００１６】一つの実施の形態においては、１の補数のオペレーションは１の補数の加算オ
ペレーションである。別の実施の形態においては、１の補数のオペレーションは
１の補数の減算のオペレーションである。一つの実施の形態において、ストリー
ム暗号の暗号システムは、１の補数のオペレーションを加算オペレーションおよ
び減算オペレーションから選択するために暗号コンバイナを制御するためのコン
トローラを含んでいる。一つの実施の形態においては、コントローラは加算オペ
レーションと減算オペレーションとの間で擬似ランダム的に選択するように暗号
コンバイナを制御する。一つの実施の形態においては、コントローラは現在処理
されているテキストの量に基づいて加算オペレーションと減算オペレーションと
の間で選択を行うように暗号コンバイナを制御する。

【００１７】一つの実施の形態においては、暗号コンバイナはソフトウエアで実現され、１
の補数のオペレーションは、２の補数の加算により実行される加算オペレーショ
ンである。この実施形態においては、２の補数の解を１の補数の解に変換するた
めにＡＤＤＷＩＴＨＣＡＲＲＹ（桁上げを伴う加算）命令を用いて定数が加
算される。一つの実施の形態においては、ＡＤＤＷＩＴＨＣＡＲＲＹ命令と
共に使用される定数は、暗号文が予約値（reserved value）を含まないように選
択される。暗号コンバイナがソフトウエアで実現される別の実施の形態において
は、１の補数のオペレーションは、２の補数の減算により実行される減算オペレ
ーションである。この実施形態においては、定数は、２の補数の解を１の補数の
解に変換するためにＳＵＢＳＴＲＡＣＴＷＩＴＨＢＯＲＲＯＷ（借りを伴う
減算）命令で減算される。一実施形態においては、ＳＵＢＳＴＲＡＣＴＷＩＴ
ＨＢＯＲＲＯＷ命令と共に使用される定数は、暗号文が予約値を含まないよう
に選択される。

【００１８】本発明の一つの形態においては、ストリーム暗号の暗号システムはキーを受信
し、暗号化キーストリームを提供する暗号化擬似乱数発生器を含んでいる。暗号
化コンバイナは、第１の平文バイナリ・データ・シーケンス及び暗号化キースト
リームを受信する。暗号化コンバイナは、暗号文バイナリ・データ・シーケンス
を提供するために、第１の平文バイナリ・データ・シーケンスおよび暗号化キー
ストリームに第１の１の補数オペレーションを実行する。解読擬似乱数発生器は
キーを受信し、解読キーストリームを提供する。解読コンバイナは、暗号文バイ
ナリ・データ・シーケンスおよび解読キーストリームを受信する。解読コンバイ
ナは、実質的に第１の平文バイナリ・データ・シーケンスと同じである第２の平
文バイナリ・データ・シーケンスを提供するために、暗号文バイナリ・データ・
シーケンス及び解読キーストリームに第２の１の補数オペレーションを実行する
。本発明のこの形態においては、第２の１の補数オペレーションは、好ましくは
、第１の１の補数オペレーションの逆である。

【００１９】本発明に従ったストリーム暗号の暗号システムは１の補数の暗号コンバイナを
含むものであり、偶然の二重の暗号化が、合成した出力ビットからキーストリー
ムを除去しないようにする。本発明に従った１の補数の暗号コンバイナにおいて
、同じキーストリームは、キーストリームを除去し、２の元々の平文メッセージ
のコンバイナ・オペレーションを残すために、二つの暗号文を組み合わせるため
に使用され得ない。それにも関わらず、本発明に従った１の補数の暗号コンバイ
ナのオペレーションは、従来のＸＯＲコンバイナのオペレーションよりもごく僅
かのリソースの増加を必要とするのみである。

【００２０】好適な実施形態の説明好適な実施形態に関する以下の詳細な説明では、その一部を形成する添付の図
面を参照する。これらの図面には、本発明が実現されうる特定の実施例が図によ
って示されている。本発明の範囲から逸脱することなく、これ以外の実施例を用
いること、又は、論理的な変更を行うことができることを理解すべきである。従
って、以下の詳細な説明は、制限的な意味を有するものではなく、本発明の範囲
は冒頭の特許請求の範囲によって定義される。

【００２１】本発明による秘密鍵ストリーム暗号による暗号システムが、図１の２０によっ
てブロック図の形式で一般的に図解されている。ストリーム暗号による暗号シス
テム２０は、コンピュータ・システムなどのような送信側２２とコンピュータ・
システムなどのような受信側４２とを含む。

【００２２】送信側２２は、擬似乱数発生器２４と暗号化コンバイナ２６とを含む。擬似乱
数発生器２４は、その擬似乱数発生器２４を制御する秘密鍵３２を受け取り、暗
号化コンバイナ２６に提供される暗号化キーストリーム２８を生じる。図１に図
解されている実施例では、初期設定ベクトル３４もまた擬似乱数発生器２４に提
供されることにより、複数のメッセージに対して擬似乱数発生器２４を制御する
のに同じ秘密鍵３２が用いられる場合であっても暗号化キーストリーム２８が同
一にはならないことが保証される。初期設定ベクトル３４は、シーケンス番号と
して実現され、それによって、暗号化されるすべてのメッセージがいくらか異な
るようになることを保証することができる。

【００２３】平文３０も、暗号化コンバイナ２６に提供される。平文３０は、バイナリ・デ
ータのシーケンスである。暗号化シーケンス２６は、平文３０と暗号化キースト
リーム２８とを合成して暗号文３６を形成する。この暗号文３６もまた、バイナ
リ・データ・シーケンスである。

【００２４】受信側４２は、擬似乱数発生器４４と解読コンバイナ４６とを含む。擬似乱数
発生器４４は秘密鍵３２’を受け取るが、これは、秘密鍵３２と同じ秘密鍵であ
る。擬似乱数発生器４４は、秘密鍵３２’によって制御されてキーストリーム４
８を生じ、このキーストリーム４８は解読コンバイナ４６に提供される。図１に
図解されている実施例では、初期設定ベクトル３４と同一の初期設定ベクトルで
ある初期設定ベクトル３４’が擬似乱数発生器４４に提供され、与えられた秘密
鍵３２／３２’と初期設定ベクトル３４／３４’とに対して、解読キーストリー
ム４８が暗号化キーストリーム２８と同一となることが保証される。

【００２５】解読コンバイナ４６は、暗号文３６を受け取り、暗号文３６と解読キーストリ
ーム４８とを組み合わせて、平文３０’を生じる。この平文３０’は、実質的に
平文３０と一致するバイナリ・データ・シーケンスである。

【００２６】擬似乱数発生器２４と擬似乱数発生器４４とに適した擬似乱数発生器は、多く
知られている。この明細書の発明の背景の部分で述べたように、擬似乱数発生器
２４及び４４は、暗号学的に安全なキーストリーム２８及び４８を生じさせる以
下のような一般的な特性を有していなければならない。第１に、キーストリーム
の期間は、送信されるメッセージの長さに十分対応できる長さを有していなけれ
ばならない。第２に、キーストリーム出力ビットは、発生が容易でなければなら
ない。第３に、キーストリーム出力ビットは、予測が困難でなければならない。

【００２７】本発明による暗号システムの一部の一実施例が、図２の１２０として一般的に
図解されている。暗号システム１２０は、１対の１の補数暗号化コンバイナ１２
６及び１４６を含む。この実施例では、１の補数暗号化コンバイナ１２６は、１
の補数加算器として実現されている。これに対応し、この実施例では、１の補数
解読コンバイナ１４６は、１の補数減算器として実現されている。即ち、１の補
数暗号化コンバイナ１２６は、暗号化キーストリーム１２８を平文１３０に加算
して暗号文１３６を提供する。１の補数解読コンバイナ１４６は、解読キースト
リーム１４８を暗号文１３６から減算して平文１３０’を提供する。解読キース
トリーム１４８は、キーストリーム１２８と同一である。平文１３０’は、平文
１３０と実質的に類似している。

【００２８】本発明による暗号システムの一部の一実施例が、図３の２２０として一般的に
図解されている。暗号システム２２０は、１対の１の補数暗号化コンバイナ２２
６及び２４６を含む。この実施例では、１の補数暗号化コンバイナ２２６は、１
の補数減算器として実現されている。これに対応し、この実施例では、１の補数
解読コンバイナ２４６は、１の補数加算器として実現されている。即ち、１の補
数暗号化コンバイナ２２６は、解読キーストリーム２２８を平文２３０から減算
して暗号文２３６を提供する。１の補数暗号化コンバイナ２４６は、解読キース
トリーム２４８を暗号文２３６から減算して平文２３０’を提供する。解読キー
ストリーム２４８は、キーストリーム２２８と同一である。平文２３０’は、平
文２３０と実質的に類似している。

【００２９】このように、図２のストリーム暗号の暗号システム１２０では、１の補数加算
を用いて擬似乱数暗号化キーストリーム１２８を平文１３０と組み合わせて暗号
文１３６を作成し、逆の１の補数減算演算を用いて解読キーストリーム１４８を
暗号文１３６と組み合わせて平文１３０’を作成する。これに対して、ストリー
ム暗号の暗号システム２２０では、１の補数減算を用いて擬似乱数暗号化キース
トリーム２２８を平文２３０と組み合わせて暗号文２３６を作成し、逆の１の補
数加算演算を用いて解読キーストリーム２４８を暗号文２３６と組み合わせて平
文２３０’を作成する。

【００３０】暗号化のために１の補数加算と１の補数減算とのどちらを用いるかという選択
は、入ってくる平文１３０／２３０の特性に依存しうる。平文のビットの中の１
つが固定ゼロ・ビットであることが知られている場合には、暗号システム２２０
のように、１の補数減算が選択される。固定ゼロ・ビットを有する平文の例は、
Ｍノー・パリティ（no-parity）ＡＳＣＩＩバイトと共にパックされたＮビット
・ワードである。ここで、Ｍノー・パリティＡＳＣＩＩバイトは、各バイトの最
上位ビット（ＭＳｂ）として常に０を有している。平文に固定ゼロ・ビットが存
在するときに、１の補数減算を用いるという選択がなされるが、それは、その平
文の固定ゼロ・ビットに対応するキーストリーム２２８におけるゼロ・ビットが
１の補数減算演算によりそのビット位置からのボロー（借り、borrow）を生じさ
せるからである。対照的に、１の補数加算演算による平文の固定ゼロ・ビットに
対応するキーストリームにおけるゼロ・ビットは、そのビット位置からのキャリ
ー（桁上げ、carry）を生じさせない。それぞれのビット位置に対してキャリー
又はボローが可能であることが望ましいのであるが、それは、キャリー又はボロ
ーが、平文ビットの間に拡散を生じさせるためである。平文の拡散とは、平文ビ
ットが他の平文ビットの暗号化に影響を与えうることを意味する。

【００３１】同様に、平文ユニット・ビットの中の１つが固定１ビットであることが知られ
ている場合には、１の補数加算が、暗号システム１２０におけるように暗号化コ
ンバイナ演算に用いられる。平文の固定１ビットに対応する１ビットが暗号化キ
ーストリームに存在する場合には、１の補数加算は、そのビット位置からのキャ
リーを生じる。対照的に、平文の固定１ビットに対応する１ビットがキーストリ
ームに存在する場合には、１の補数減算はそのビット位置からのボローを生じな
い。

【００３２】本発明による暗号システムの一部の別の実施例は、図４に参照符号３２０で概
略的に示されている。ストリーム・サイファー（ストリーム暗号）の暗号システ
ム３２０は、１の補数加算器暗号化コンバイナ３２６を含み、このコンバイナは
、平文３３０と暗号化キーストリーム３２８とを受け取り、そして、サイファー
・テキスト（暗号文）３３６ａを与えるために１の補数の加算オペレーションを
実行する。ストリーム暗号の暗号システム３２０はまた、１の補数減算器暗号化
コンバイナ３２５を含み、このコンバイナは、平文３３０と暗号化キーストリー
ム３２８とを受け取り、そして、暗号文３３６ｂを与えるために１の補数の減算
オペレーションを実行する。暗号文３３６ａおよび暗号文３３６ｂは、マルチプ
レクサ３２９へのデータ入力として与えられる。擬似ランダム・ビット発生器３
２５は、マルチプレクサ３２９への選択入力として与えられる擬似乱数シーケン
ス３２７を生成する。このように、擬似乱数シーケンス３２７によって制御され
て、擬似ランダム切換えが使用され、暗号文３３６ａまたは暗号文３３６ｂがマ
ルチプレクサ３２９から暗号文３３６として与えられるかを決定し、それによっ
て、キーストリーム３２８が、暗号文３３６を生成するために平文３３０から減
算されるか又は平文３３０に加算されるかを制御する。

【００３３】ストリーム暗号の暗号システム３２０は、１の補数加算器暗号解読コンバイナ
３４６を含み、このコンバイナは、暗号文３３６と暗号解読キーストリーム３４
８とを受け取り、平文３３０’ａを提供するために１の補数の加算オペレーショ
ンを実行する。ストリーム暗号の暗号システム３２０はまた、１の補数減算器暗
号解読コンバイナ３４５を含み、このコンバイナは、暗号文３３６と暗号解読キ
ーストリーム３４８とを受け取り、そして、平文３３０’ｂを提供するために１
の補数の減算オペレーションを実行する。平文３３０’ａおよび平文３３０’ｂ
は、マルチプレクサ３４９へのデータ入力として与えられる。擬似乱数発生器３
４５は擬似乱数シーケンス３４７を生成し、この擬似乱数シーケンスは、擬似乱
数シーケンス３２７と同一であり、マルチプレクサ３４９への選択入力として与
えられる。このように、擬似乱数シーケンス３４７によって制御される擬似ラン
ダム切換えが使用されて、平文３３０’ａまたは平文３３０’ｂがマルチプレク
サ３４９から平文３３０’として出力されるかを決定し、それによって、キー・
ストリーム３４８が、平文３３０’を生成するために暗号文３３６から減算され
るか又は暗号文３３６に加算されるかを制御する。

【００３４】図４に示されるように、擬似乱数発生器３２５からの出力シーケンス３２７は
、擬似乱数発生器３４５からの出力シーケンス３４７と同一であるが、１の補数
加算器暗号化コンバイナ３２６がマルチプレクサ３２９の「ａ」入力に与えられ
、１の補数加算器暗号解読コンバイナ３４６がマルチプレクサ３４９の「ｂ」入
力に与えられ、そして、１の補数減算器暗号化コンバイナ３２５が、マルチプレ
クサ３２９の「ｂ」入力に与えられ、１の補数減算器暗号解読コンバイナ３４５
がマルチプレクサ３４９の「ａ」入力に与えられる。これによって、暗号文３３
６を平文３３０’に解読するために実行される暗号解読コンバイナのオペレーシ
ョンは、平文３３０を暗号文３３６に暗号化するために実行される暗号化コンバ
イナのオペレーションの逆変換である、ということが保証される。

【００３５】図４に示された暗号化システム３２０の実施例は、既知の固定１ビットと固定
０ビットの双方が平文で生じるという状況で使用される。各平文ユニットに対し
て、暗号化システム１２０、２２０、３２０によって示される前述の実施例の何
れにおいても、１の補数暗号解読コンバイナのオペレーションは１の補数暗号化
コンバイナのオペレーションの逆でなければならない。

【００３６】暗号システム３２０の別の実施例において、コントローラ（図示せず）は、マ
ルチプレクサ３２９およびマルチプレクサ３４９を制御し、現在処理されている
テキストの量に基づいて、１の補数加算オペレーションと１の補数減算オペレー
ションとの間での選択を行う。

【００３７】本発明による１の補数コンバイナのオペレーションは１の補数の加算および減
算を実行し、これは、排他的ＯＲ（ＸＯＲ）または２の補数加算オペレーション
と実質的に同じ複雑さである。２の補数コンピュータ上のソフトウエアにおいて
さえ、１の補数オペレーションは、ＸＯＲオペレーションまたは２の補数オペレ
ーションのための一つの命令に対して、二つの命令を必要とするのに過ぎず、こ
れは、より複雑なコンバイナに必要とされる幾つかの命令および大きなテーブル
よりも遙かに優れている。１の補数コンバイナのハードウエア・インプリメンテ
ーションに関して、１の補数および２の補数のハードウエア加算器は、殆ど同じ
サイズである。図２、３、４の前述のブロック図は、単に説明の目的のためのも
のであり、本発明による１の補数コンバイナは、ハードウエアまたはソフトウエ
アの何れにおいても実施可能である。

【００３８】ソフトウエアの実施例に関して、今日の大抵のコンピュータ・システムは、２
の補数の計算（演算）を使用している。このようなタイプの２の補数計算のコン
ピュータ・システムにおいて、１の補数オペレーションによる加算および減算の
ためのオペランドは、１の補数形式に変換されなければならない。それにもかか
わらず、今日の大抵のコンピュータ・システムは、拡張された正確な数学的処理
を実行するために、「ＡＤＤＷＩＴＨＣＡＲＲＹ」命令および「ＳＵＢＴＲ
ＡＣＴＷＩＴＨＢＯＲＲＯＷ」命令を実行する。「ＡＤＤＷＩＴＨＣＡ
ＲＲＹ」命令および「ＳＵＢＴＲＡＣＴＷＩＴＨＢＯＲＲＯＷ」命令は、１
の補数オペレーションへの変換のために使用できる。例えば、ソフトウエアにお
いて、２の補数の加算を実行した後に、「ＡＤＤＷＩＴＨＣＡＲＲＹ」命令
により定数を加算することは、２の補数の解を１の補数の解に変換する。一つの
実施例において、「ＡＤＤＷＩＴＨＣＡＲＲＹ」命令と共に使用される定数
は、暗号文が予約値を含まないように選択される。同様に、２の補数の減算を実
行した後に、「ＳＵＢＴＲＡＣＴＷＩＴＨＢＯＲＲＯＷ」命令により定数を
減算することは、２の補数の解を１の補数の解に変換する。一つの実施例におい
て、「ＳＵＢＴＲＡＣＴＷＩＴＨＢＯＲＲＯＷ」命令と共に使用される定数
は、暗号文が予約値を含まないように選択される。

【００３９】暗号システム２０、１２０、２２０及び３２０のような本発明に従った暗号シ
ステムは、本明細書の発明の背景の節で説明したようなＸＯＲ（排他的論理和演
算）及び２の補数の加算コンバイナにかかわる問題を克服する１の補数暗号化コ
ンバイナを用いる。例えば、偶発的な二重暗号化（ｄｏｕｂｌｅｅｎｃｒｙｐ
ｔｉｏｎ）は、何れのビットからもキーストリームを除去しない。更に、暗号解
読家は、一重暗号化メッセージと二重暗号化メッセージとの両方が共に入手可能
でない場合には、偶発的な二重暗号化の後に追加の情報を与えられない。この状
況においてさえ、１の補数コンバイナのオペレーションは、ＸＯＲ又は２の補数
コンバイナのオペレーションよりも少ない直接情報を生成する。同様に、１の補
数コンバイナのオペレーションと共に複数の同一の鍵をかけたメッセージを加算
することによっても、何れの鍵も除去されない。更に、平文ユニットの上位ビッ
トからの平文拡散（ｐｌａｉｎｔｅｘｔｄｉｆｆｕｓｉｏｎ）は下位ビットに
伝搬し、本発明に従った１の補数コンバイナのオペレーションによる一層良好な
平文拡散をもたらす。実際、１の補数コンバイナのオペレーションの１つの利点
は、そのオペレーションにおいてラップアラウンド桁上げがある確率が５０％で
あることである。１の補数コンバイナのオペレーションのこの特徴ゆえに、暗号
解読家は、たとえ偶発的に二重暗号化が生じたとしても、暗号文データ・ストリ
ームの最下位ビット（ＬＳＢ）を解読できない。１の補数コンバイナのオペレー
ションが実質的にＸＯＲ及び２の補数加算コンバイナのオペレーションと同じ複
雑さであるので、従来の非常に複雑なコンバイナのオペレーションの時間、ハー
ドウエア及び／又はソフトウエア資源において多くの費用はかからない。

【００４０】１の補数コンバイナのオペレーションの１つの問題は、１の補数形式に２種類
のゼロがあることである。＋０は、ビット・パターン「００．．．００」により
表され、一方、−０、はビット・パターン「１１．．．１１」により表される。
＋０と−０の両方は同一物として振る舞う。この状況は、どのゼロを用いるかを
判断するためのコンバイナの関数の逆関数に関する問題を生じる。即ち、本発明
に従った１の補数暗号化コンバイナは、入力平文から２種類のゼロのうちの１つ
を排除する１の補数形式を利用する。大部分の平文アルファベットに対して、こ
れは問題ではないが、その理由は、大部分の平文アルファベットが両方の種類の
ゼロを表すビット・パターンを持たないからである。例えば、Ｃ言語は、テキス
ト・ストリームの中に＋０を持つことができない。別の例として、ＡＳＣＩＩ及
び大部分のＩＳＯ文字セットにおいて、−０は、前の文字を削除するための制御
文字であり、そのため、−０はテキストを表すためには用いられない。１つの例
示的な問題は、＋０と−０の両方が平文入力で正当であるところの符号化されて
ないバイナリ平文を用いた場合に生じる。従って、１の補数コンバイナのオペレ
ーションは、＋０と−０の両方が平文入力において正当テキスト・ストリームで
ある符号化されてないバイナリ平文に対しては、適切でない。しかしながら、何
れかの平文入力が、−０か＋０の平文入力ストリームの何れかの排除を可能にす
るならば、本発明に従った１の補数コンバイナのオペレーションを、本発明に従
った暗号システムに用いることができる。

【００４１】特定の実施形態が本明細書で好適な実施形態の説明の目的のため図示され説明
されたが、同じ目的を達成するため適合された広範囲の様々な代替及び／又は等
価な具体化が本発明の範囲から逸脱することなしに、図示され説明された特定の
実施形態にとって代わり得ることが当業者に認められるであろう。機械、電子機
械、電気及びコンピュータ技術の当業者は、本発明が非常に広範囲の様々な実施
形態で実行され得ることを容易に認めるであろう。本出願は、本明細書で説明し
た好適な実施形態の何れの適応構造又は変形をカバーすることを意図している。
従って、本発明は、特許請求の範囲及びその均等物によってのみ制限されること
を明瞭に意図するものである。

【図面の簡単な説明】

【図１】図１は、本発明に従った暗号システムのブロック図である。

【図２】図２は、１の補数の加算器暗号化コンバイナのオペレーションおよび１の補数
減算器解読オペレーションを有する本発明に従った暗号システムの一実施形態で
ある。

【図３】図３は、１の補数の減算器暗号化コンバイナのオペレーションおよび１の補数
加算器解読コンバイナのオペレーションを有する本発明に従った暗号システムの
ブロック図である。

【図４】図４は、１の補数の加算オペレーション又は１の補数の減算オペレーションを
提供するように擬似乱数発生器によって制御される１の補数のコンバイのナオペ
レーションを含む本発明に従った暗号システムの一実施形態である。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ，ＴＲ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ

Claims

【特許請求の範囲】

【請求項１】ストリーム暗号の暗号システムであって、鍵を受け取り、暗号化キーストリームを提供する暗号化擬似乱数発生器と、第１の平文バイナリ・データ・シーケンスおよび前記暗号化キーストリームを
受け取り、暗号文バイナリ・データ・シーケンスを提供するために、前記第１の
平文バイナリ・データ・シーケンスおよび前記暗号化キーストリームに第１の１
の補数の演算を行う暗号化コンバイナと、前記鍵を受け取り、解読キーストリームを提供する解読擬似乱数発生器と、前記暗号文バイナリ・データ・シーケンスおよび前記解読キーストリームを受
け取り、前記第１の平文バイナリ・データ・シーケンスと実質的に類似の第２の
平文バイナリ・データ・シーケンスを提供するために、前記暗号文バイナリ・デ
ータ・シーケンスおよび前記解読キーストリームに第２の１の補数の演算を行う
解読コンバイナとを備えるストリーム暗号の暗号システム。
【請求項２】請求項１に記載のストリーム暗号の暗号システムであって、
前記第２の１の補数の演算は、前記第１の１の補数の演算の逆である、ストリー
ム暗号の暗号システム。
【請求項３】請求項１に記載のストリーム暗号の暗号システムであって、
前記第１の１の補数の演算は、１の補数の加算演算であり、前記第２の１の補数
の演算は、１の補数の減算演算である、ストリーム暗号の暗号システム。
【請求項４】請求項１に記載のストリーム暗号の暗号システムであって、
前記第１の１の補数の演算は、１の補数の減算演算であり、前記第２の１の補数
の演算は、１の補数の加算演算である、ストリーム暗号の暗号システム。
【請求項５】請求項１に記載のストリーム暗号の暗号システムであって、加算演算および減算演算から前記第１の１の補数の演算を選択するように前記
暗号化コンバイナを制御する手段と、選択された前記第１の１の補数の演算の逆となるように前記第２の１の補数の
演算を選択するように前記解読コンバイナを制御する手段と、更に備えるストリーム暗号の暗号システム。
【請求項６】請求項５に記載のストリーム暗号の暗号システムであって、
前記暗号化コンバイナを制御する前記手段は、前記加算演算と前記減算演算との
間で擬似ランダム的選択を行う、ストリーム暗号の暗号システム。
【請求項７】請求項６に記載のストリーム暗号の暗号システムであって、
前記暗号化コンバイナの前記擬似ランダム的選択は、前記暗号化擬似乱数発生器
からの出力の変換に基づく、ストリーム暗号の暗号システム。
【請求項８】請求項５に記載のストリーム暗号の暗号システムであって、
前記暗号化コンバイナを制御する前記手段は、現在処理されているテキストの量
に従って前記加算演算と前記減算演算との間で選択を行う、ストリーム暗号の暗
号システム。
【請求項９】請求項５に記載のストリーム暗号の暗号システムであって、
前記解読コンバイナを制御する前記手段は、前記加算演算と前記減算演算との間
で擬似ランダム的選択を行う、ストリーム暗号の暗号システム。
【請求項１０】請求項６に記載のストリーム暗号の暗号システムであって
、前記解読コンバイナの前記擬似ランダム的選択は、前記暗号化擬似乱数発生器
からの出力の変換に基づく、ストリーム暗号の暗号システム。
【請求項１１】請求項５に記載のストリーム暗号の暗号システムであって
、前記解読コンバイナを制御する前記手段は、現在処理されているテキストの量
に従って前記加算演算と前記減算演算との間で選択を行う、ストリーム暗号の暗
号システム。
【請求項１２】請求項１に記載のストリーム暗号の暗号システムであって
、前記暗号化コンバイナおよび前記解読コンバイナはソフトウエアで実現され、
前記第１の１の補数の演算および前記第２の１の補数の演算は、２の補数の演算
を用いて行われるものであり、前記１の補数の演算が加算である場合、その加算は、２の補数の加算により行
われ、次に、ＡＤＤＷＩＴＨＣＡＲＲＹ（桁上げを伴っての加算）命令を用
いて定数を加算して、前記２の補数の解を１の補数の解へと変換し、前記１の補数の演算が減算である場合、その減算は、２の補数の減算により行
われ、次に、ＳＵＢＴＲＡＣＴＷＩＴＨＢＯＲＲＯＷ（借りを伴っての減算
）命令を用いて定数を減算して、前記２の補数の解を１の補数の解へと変換する
、ストリーム暗号の暗号システム。
【請求項１３】ストリーム暗号の暗号システムであって、鍵を受け取り、キーストリームを提供する擬似乱数発生器と、第１のバイナリ・データ・シーケンスおよび前記キーストリームを受け取り、
第２のバイナリ・データ・シーケンスを提供するために、前記第１のバイナリ・
データ・シーケンスおよび前記キーストリームに１の補数の演算を行う暗号コン
バイナとを備えるストリーム暗号の暗号システム。
【請求項１４】請求項１３に記載のストリーム暗号の暗号システムであっ
て、前記暗号コンバイナは暗号化コンバイナであり、前記第１のバイナリ・デー
タ・シーケンスは平文バイナリ・データ・シーケンスであり、前記第２のバイナ
リ・データ・シーケンスは暗号文バイナリ・データ・シーケンスである、ストリ
ーム暗号の暗号システム。
【請求項１５】請求項１３に記載のストリーム暗号の暗号システムであっ
て、前記暗号コンバイナは解読コンバイナであり、前記第１のバイナリ・データ
・シーケンスは暗号文バイナリ・データ・シーケンスであり、前記第２のバイナ
リ・データ・シーケンスは平文バイナリ・データ・シーケンスである、ストリー
ム暗号の暗号システム。
【請求項１６】請求項１３に記載のストリーム暗号の暗号システムであっ
て、前記１の補数の演算は１の補数の加算演算である、ストリーム暗号の暗号シ
ステム。
【請求項１７】請求項１３に記載のストリーム暗号の暗号システムであっ
て、前記１の補数の演算は１の補数の減算演算である、ストリーム暗号の暗号シ
ステム。
【請求項１８】請求項１３に記載のストリーム暗号の暗号システムであっ
て、加算演算および減算演算から前記１の補数の演算を選択するように前記暗号
コンバイナを制御する手段を更に備えるストリーム暗号の暗号システム。
【請求項１９】請求項１８に記載のストリーム暗号の暗号システムであっ
て、前記暗号コンバイナを制御する前記手段は、前記加算演算と前記減算演算と
の間で擬似ランダム的選択を行う、ストリーム暗号の暗号システム。
【請求項２０】請求項６に記載のストリーム暗号の暗号システムであって
、前記暗号コンバイナの前記擬似ランダム的選択は、前記擬似乱数発生器からの
出力の変換に基づく、ストリーム暗号の暗号システム。
【請求項２１】請求項１９に記載のストリーム暗号の暗号システムであっ
て、前記暗号コンバイナを制御する前記手段は、現在処理されているテキストの
量に従って前記加算演算と前記減算演算との間で選択を行う、ストリーム暗号の
暗号システム。
【請求項２２】請求項１３に記載のストリーム暗号の暗号システムであっ
て、前記暗号コンバイナはソフトウエアで実現され、前記１の補数の演算は加算
演算であり、それは、２の補数の加算を行い、次に、ＡＤＤＷＩＴＨＣＡＲ
ＲＹ（桁上げを伴っての加算）命令を用いて定数を加算して、前記２の補数の解
を１の補数の解へと変換するものである、ストリーム暗号の暗号システム。
【請求項２３】請求項１３に記載のストリーム暗号の暗号システムであっ
て、前記暗号コンバイナはソフトウエアで実現され、前記１の補数の演算は減算
演算であり、それは、２の補数の減算を行い、次に、ＳＵＢＴＲＡＣＴＷＩＴ
ＨＢＯＲＲＯＷ（借りを伴っての減算）命令を用いて定数を減算して、前記２
の補数の解を１の補数の解へと変換するものである、ストリーム暗号の暗号シス
テム。
【請求項２４】平文バイナリ・データ・シーケンスを暗号化する方法であ
って、鍵の関数として擬似ランダム・ビット暗号化キーストリームを生成するステッ
プと、暗号文バイナリ・データ・シーケンスを提供するように１の補数の演算を用い
て前記平文バイナリ・データ・シーケンスと前記暗号化キーストリームとを組み
合わせるステップとを備える方法。
【請求項２５】請求項２４に記載の方法であって、前記１の補数の演算は
１の補数の加算演算である、方法。
【請求項２６】請求項２４に記載の方法であって、前記１の補数の演算は
１の補数の減算演算である、方法。
【請求項２７】請求項２４に記載の方法であって、加算演算および減算演
算から前記１の補数の演算を選択するステップを更に備える方法。
【請求項２８】請求項２７に記載の方法であって、前記選択するステップ
は、前記加算演算と前記減算演算との間で擬似ランダム的選択を行う、方法。
【請求項２９】請求項２４に記載の方法であって、前記組み合わせるステ
ップはソフトウエアで実現され、前記１の補数の演算は加算演算であり、該加算
演算は、２の補数の加算を行うステップと、ＡＤＤＷＩＴＨＣＡＲＲＹ（桁上げを伴っての加算）命令を用いて定数を
加算して、前記２の補数の解を１の補数の解へと変換するステップとにより行われる、方法。
【請求項３０】請求項２４に記載の方法であって、前記組み合わせるステ
ップはソフトウエアで実現され、前記１の補数の演算は減算演算であり、該減算
演算は、２の補数の減算を行うステップと、ＳＵＢＴＲＡＣＴＷＩＴＨＢＯＲＲＯＷ（借りを伴っての減算）命令を用
いて定数を減算して、前記２の補数の解を１の補数の解へと変換するステップと
により行われる、方法。
【請求項３１】暗号文バイナリ・データ・シーケンスを解読する方法であ
って、鍵の関数として擬似ランダム・ビット解読キーストリームを生成するステップ
と、平文バイナリ・データ・シーケンスを提供するように１の補数の演算を用いて
前記暗号文バイナリ・データ・シーケンスと前記解読キーストリームとを組み合
わせるステップとを備える方法。
【請求項３２】請求項３１に記載の方法であって、前記１の補数の演算は
１の補数の加算演算である、方法。
【請求項３３】請求項３１に記載の方法であって、前記１の補数の演算は
１の補数の減算演算である、方法。
【請求項３４】請求項３１に記載の方法であって、加算演算および減算演
算から前記１の補数の演算を選択するステップを更に備える方法。
【請求項３５】請求項３４に記載の方法であって、前記選択するステップ
は、前記加算演算と前記減算演算との間で擬似ランダム的選択を行う、方法。
【請求項３６】請求項３１に記載の方法であって、前記組み合わせるステ
ップはソフトウエアで実現され、前記１の補数の演算は加算演算であり、該加算
演算は、２の補数の加算を行うステップと、ＡＤＤＷＩＴＨＣＡＲＲＹ（桁上げを伴っての加算）命令を用いて定数を
加算して、前記２の補数の解を１の補数の解へと変換するステップとにより行われる、方法。
【請求項３７】請求項３１に記載の方法であって、前記組み合わせるステ
ップはソフトウエアで実現され、前記１の補数の演算は減算演算であり、該減算
演算は、２の補数の減算を行うステップと、ＳＵＢＴＲＡＣＴＷＩＴＨＢＯＲＲＯＷ（借りを伴っての減算）命令を用
いて定数を減算して、前記２の補数の解を１の補数の解へと変換するステップと
により行われる、方法。