JP2004004603A - Extension key generation apparatus, enciphering apparatus and enciphering system - Google Patents

Abstract

<P>PROBLEM TO BE SOLVED: To provide an enciphering system by which a difference in processing time between encoding time and decoding time is reduced and a random and safety extension key is generated. <P>SOLUTION: The system comprises: an extension key calculation part 210 which receives first to fourth input data X0 to X3, performs data replacement and data merge processing to the first to fourth input data X0 to X3 and calculates the extension key SK; and an output calculation part 230 which performs prescribed circulation bit shift processing to each of the first to fourth input data X0 to X3, replaces data positions and thereafter calculates first to fourth output data Y0 to Y3 which become input to a key conversion part at a next stage or a final key conversion part. <P>COPYRIGHT: (C)2004,JPO

Description

【００１７】
データ連結部６０８は、次式（６）で表される関係を有する拡大鍵ＳＫを求める。演算子「‖」は、データの連結を表す。すなわち、次式（６）は、各３２ビットの第１〜第４出力データＹ０〜Ｙ３を連結することにより、１２８ビットの拡大鍵ＳＫが得られることを示している。
【００１８】
ＳＫ＝Ｙ０‖Ｙ１‖Ｙ２‖Ｙ３　　　　　　　　　　　　　　　…（６）
鍵変換部６０〜６９の各々は、上述の処理の結果得られる拡大鍵ＳＫおよび第１〜第４出力データＹ０〜Ｙ３を出力する。
【００１９】
図１８は、Ｒｉｊｎｄａｅｌ暗号方式を用いた復号装置の内部構成を示す図である。復号装置１４００は、１２８ビットの暗号鍵ＥＫから、暗号化時とは逆の順序で各１２８ビットの拡大鍵ＳＫ１０〜ＳＫ０を生成する拡大鍵逆生成部８と、拡大鍵逆生成部８に接続され、拡大鍵逆生成部８より拡大鍵ＳＫ１０〜ＳＫ０を受け、拡大鍵ＳＫ１０〜ＳＫ０を用いて１２８ビットの暗号文ＣＴに対し、所定の逆データ撹乱処理を実行し、復号文ＤＴを出力する逆データ撹乱部７とを含む。
【００２０】
拡大鍵逆生成部８は、暗号鍵ＥＫを受け、上位から３２ビットずつ、４つのデータブロックに分割するデータ分割部８００と、データ分割部８００に接続され、４つのブロックを受け、それらに所定の演算を施し、４つの３２ビットのデータブロックを出力する鍵変換部８０と、各々、前段の鍵変換部に接続され、前段の鍵変換部より４つの３２ビットのデータブロックを受け、それらに所定の演算を施し、後段の鍵変換部に４つの３２ビットのデータブロックを生成し、出力する鍵変換部８１〜８８と、鍵変換部８８に接続され、鍵変換部８８より４つの３２ビットのデータブロックを受け、それらに所定の演算を施し、拡大鍵ＳＫ１０と４つの３２ビットのデータブロックとを生成し、出力する鍵変換部８９とを含む。
【００２１】
鍵変換部８０〜８９で実行される所定の演算は、鍵変換部６０〜６９で実行される所定の演算とそれぞれ同様であるため、鍵変換部８０〜８９の各々は、図１７に示される鍵変換部と同様の構成を有する。このため、その詳細な説明はここでは繰返さない。
【００２２】
ただし、鍵変換部８０〜８８は、鍵変換部６０〜６８とは異なり、拡大鍵ＳＫ１〜ＳＫ９を出力しない。このため、鍵変換部８０〜８８の各々の構成は、図１７に示す鍵変換部の構成からデータ連結部６０８を除いた構成であってもよい。
【００２３】
拡大鍵逆生成部８は、鍵変換部８９に接続され、鍵変換部８９より出力される４つの３２ビットのデータブロックを受け、それらに後述する逆鍵変換処理を施し、拡大鍵ＳＫ９と４つの３２ビットのデータブロックとを生成し、出力する逆鍵変換部９０と、各々、前段の逆鍵変換部に接続され、前段の逆鍵変換部より４つの３２ビットのデータブロックを受け、それらに後述する逆鍵変換処理を施し、拡大鍵と４つの３２ビットのデータブロックとを生成し、出力する逆鍵変換部９１〜９９とをさらに含む。
【００２４】
逆鍵変換部９０〜９９より出力される拡大鍵は、それぞれ拡大鍵ＳＫ９〜ＳＫ０である。逆鍵変換部９９は、４つのデータブロックを出力するが、それらは、他の処理には利用されない。
【００２５】
逆データ撹乱部７は、鍵変換部８９に接続され、鍵変換部８９より拡大鍵ＳＫ１０を受け、暗号文ＣＴと拡大鍵ＳＫ１０とを用い、最終データ変換部５９で実行される変換処理の逆変換処理を実行し、処理結果を出力する最終逆データ変換部７０と、最終逆データ変換部７０および逆鍵変換部９０に接続され、最終逆データ変換部７０および逆鍵変換部９０から処理結果および拡大鍵ＳＫ９をそれぞれ受け、データ変換部５８で実行される変換処理の逆変換処理を実行し、処理結果を出力する逆データ変換部７１とを含む。
【００２６】
逆データ撹乱部７は、各々前段の逆データ変換部に接続されるとともに、逆鍵変換部９１〜９８にそれぞれ接続され、逆鍵変換部９１〜９８より拡大鍵ＳＫ８〜ＳＫ１をそれぞれ受け、データ変換部５７〜５０で実行される変換処理の逆変換処理をそれぞれ実行し、処理結果を出力する逆データ変換部７２〜７９と、逆データ変換部７９および逆鍵変換部９９に接続され、逆データ変換部７９および逆鍵変換部９９から処理結果および拡大鍵ＳＫ０をそれぞれ受け、鍵加算部５００で実行される変換処理の逆変換処理を実行し、復号文ＤＴを出力する鍵加算部７００とをさらに含む。
【００２７】
図１９は、逆鍵変換部９０〜９９の各々の内部構成を示す図である。逆鍵変換部９０〜９９の各々は、各３２ビットの第１〜第４入力データＹ０〜Ｙ３に基づいて、鍵変換部６０〜６９および８０〜８９の各々で実行される鍵変換処理の逆変換に相当する逆鍵変換処理を実行し、第１〜第４出力データＺ０〜Ｚ３および１２８ビットの拡大鍵ＳＫを出力する。
【００２８】
逆鍵変換部９０〜９９の各々は、第３入力データＹ２と第４入力データＹ３との間でビットごとの排他的論理和演算を実行し、第４出力データＺ３を出力する排他的論理和演算部９０１と、第２入力データＹ１と第３入力データＹ２との間でビットごとの排他的論理和演算を実行し、第３出力データＺ２を出力する排他的論理和演算部９０２と、第１入力データＹ０と第２入力データＹ１との間でビットごとの排他的論理和演算を実行し、第２出力データＺ１を出力する排他的論理和演算部９０３とを含む。
【００２９】
逆鍵変換部９０〜９９の各々は、排他的論理和演算部９０１に接続され、排他的論理和演算部９０１の出力を受け、当該出力を上位ビット方向（左方向）に８ビットだけ巡回ビットシフトし、結果を出力するデータ回転部９０５と、データ回転部９０５に接続され、データ回転部９０５より演算結果を受け、当該演算結果に所定の置換処理を施し、結果を出力するデータ置換部９０６とをさらに含む。
【００３０】
逆鍵変換部９０〜９９の各々は、データ置換部９０６に接続され、データ置換部９０６より置換結果を受け、当該置換結果と逆鍵変換部９０〜９９の各々であらかじめ定められた３２ビットの定数Ｒｃｏｎとの間でビットごとの排他的論理和演算を実行し、データＴを出力する排他的論理和演算部９０７と、排他的論理和演算部９０７に接続され、排他的論理和演算部９０７よりデータＴを受け、第１入力データＹ０とデータＴとの間でビットごとの排他的論理和演算を実行し、第１出力データＺ０を出力する排他的論理和演算部９０４と、排他的論理和演算部９０４〜９０１に接続され、第１〜第４出力データＺ０〜Ｚ３を連結して拡大鍵ＳＫを出力するデータ連結部９０８とをさらに含む。各部で実行される処理の詳細については、以下に示す復号処理の説明中で行なう。
【００３１】
以下、復号装置１４００により実行されるＲｉｊｎｄａｅｌ暗号方式の復号処理について簡単に説明する。図１８に示されるように、データ分割部８００は、１２８ビットの暗号鍵ＥＫを上位ビットから３２ビットずつ４つのデータブロックに分割する。これら４つのデータブロックに基づいて、鍵変換部８０〜８９において鍵変換処理が順次実行される。上述したように、鍵変換部８０〜８９で実行される鍵変換処理は、図１６に示す鍵変換部６０〜６９実行される鍵変換処理と同様である。ただし、鍵変換部８０〜８８でそれぞれ生成される拡大鍵ＳＫ１〜ＳＫ９は、その後の処理には利用されない。
【００３２】
鍵変換部８９は、生成された拡大鍵ＳＫを拡大鍵ＳＫ１０として最終逆データ変換部７０に出力する。その後、逆鍵変換部９０〜９９は、拡大鍵ＳＫ９〜ＳＫ０をそれぞれ順次生成する。鍵変換部８９および逆鍵変換部９０〜９９で実行される処理と並行して、最終逆データ変換部７０、逆データ変換部７１〜７９および鍵加算部７００は、拡大鍵ＳＫ１０〜ＳＫ０にそれぞれ基づいて、所定の処理を実行する。鍵加算部７００は最終的に復号文ＤＴを生成し、出力する。
【００３３】
次に、逆データ撹乱部７で実行される処理についてより詳細に説明する。逆データ撹乱部７で実行される処理は、図１６に示す暗号化装置１３００のデータ撹乱部５で実行される処理の逆変換に相当する。即ち、はじめに、最終逆データ変換部７０が、拡大鍵ＳＫ１０を用いて最終データ変換部５９で実行される処理の逆変換処理を実行する。その後、逆データ変換部７１〜７９は、拡大鍵ＳＫ９〜ＳＫ１をそれぞれ用いて、データ変換部５８〜５０で実行される処理の逆変換処理をそれぞれ実行する。最後に、鍵加算部７００は、拡大鍵ＳＫ０を用いて、鍵加算部５００で実行される処理の逆変換処理を実行し、復号文ＤＴを生成し、出力する。このように、復号時には、暗号化時とは逆の順序で拡大鍵を生成する必要がある。
【００３４】
図１９に示される逆鍵変換部９０〜９９の各々で実行される逆鍵変換処理について説明する。
排他的論理和演算部９０１〜９０３は、次式（７）〜（９）で表される演算をそれぞれ実行することにより、第２〜第４出力データＺ１〜Ｚ３をそれぞれ求める。

【００３５】
データ回転部９０５、データ置換部９０６および排他的論理和演算部９０７は、第４出力データＺ３に対して次式（１０）で表される演算を実行することにより、データＴを計算する。
Ｔ＝Ｒｃｏｎ（＋）Ｐｅｒｍ（ＲＯＴＬ８（Ｚ３））　　　　…（１０）
【００３６】
排他的論理和演算部９０４は、データＴと第１入力データＹ０とのビットごとの排他的論理和である第１出力データＺ０を次式（１１）に従い求める。
Ｚ０＝Ｔ（＋）Ｙ０　　　　　　　　　　　　　　　　　　　…（１１）
【００３７】
データ連結部９０８は、次式（１２）に従い、第１〜第４出力データＺ０〜Ｚ３を結合し、１２８ビットの拡大鍵ＳＫを生成する。
ＳＫ＝Ｚ０‖Ｚ１‖Ｚ２‖Ｚ３　　　　　　　　　　　　　　…（１２）
【００３８】
逆鍵変換部９０〜９９の各々は、上述の処理の結果得られる拡大鍵ＳＫおよび第１〜第４出力データＺ０〜Ｚ３を出力する。
【００３９】
図１７に示されるように、本方式によれば、暗号化時に、データ置換部６０２が非線形処理を実行する。非線形処理されたデータの影響は、排他的論理和演算部６０４〜６０７を介して、拡大鍵ＳＫおよびすべての出力データにおよぶ。このため、本方式は簡易な鍵変換処理でありながら、ランダム性の高い拡大鍵生成を実現することができる。
【００４０】
（第２の従来例）
第２の従来例として米国標準暗号であるＤＥＳ（Ｄａｔａ　Ｅｎｃｒｙｐｔｉｏｎ　Ｓｔａｎｄａｒｄ）がある。図２０はＤＥＳ方式による暗号化装置で用いられる鍵変換部１０の構成を示す図である。鍵変換部１０は、巡回シフト部１０１および１０２と、巡回シフト部１０１および１０２に接続されたデータ連結部１０３と、データ連結部１０３に接続されたデータ縮約部１０４とを含む。
【００４１】
次に、鍵変換部１０の動作について簡単に説明する。巡回シフト部１０１は、２８ビットの第１入力データに対して所定ビット数の巡回ビットシフト処理を実行し第１巡回シフトデータを生成する。巡回シフト部１０２は、２８ビットの第２入力データに対して所定ビット数の巡回ビットシフト処理を実行し第２巡回シフトデータを生成する。第１巡回シフトデータおよび第２巡回シフトデータは、それぞれ第１出力データおよび第２出力データとして鍵変換部１０から出力される。一方、データ連結部１０３は、第１巡回シフトデータと第２巡回シフトデータとを連結して５６ビットデータとし、当該データをデータ縮約部１０４に出力する。データ縮約部１０４は、入力されたデータからあらかじめ定められたビット位置の４８ビット分のデータを抽出し、拡大鍵を出力する。
【００４２】
ＤＥＳ方式による暗号化装置によれば、拡大鍵の生成は、基本的にデータシフト処理およびデータ抽出処理により実現されているため、暗号化時と復号時とで、拡大鍵を生成する際に、同じ拡大鍵生成処理を適用可能である。このため、第１の従来例のように、暗号化時と復号時とで、拡大鍵の生成に必要な処理量が異なるということがない。
【００４３】
しかしながら、これらの従来例では、以下のような問題点がある。第１の従来例の暗号方式においては、暗号化時と比べて、復号時の拡大鍵生成処理に時間がかかるという問題がある。その理由について以下に説明する。図１６に示されるように、暗号化装置１３００のデータ撹乱部５において、最初に処理を実行する鍵加算部５００には、暗号鍵ＥＫがそのまま使用される。このため、データ撹乱部５と拡大鍵生成部６は、並行してそれぞれの処理を実行することが可能である。
【００４４】
一方、図１８に示されるように、復号装置１４００の逆データ撹乱部７において、最初に処理を実行する最終逆データ変換部７０は、拡大鍵逆生成部８より供給される拡大鍵ＳＫ１０を使用しなければならない。拡大鍵ＳＫ１０を求めるためには、鍵変換部８０〜８９において鍵変換処理を実行する必要がある。すなわち、最終逆データ変換部７０は、１０回の鍵変換処理が実行された後でなければ処理を開始することができない。このため、復号処理は、これらの鍵変換処理の待ち時間だけ、暗号化処理と比べて時間がかかることになる。
【００４５】
このように、暗号化処理と復号処理との間で処理時間の極端に処理時間の差が生じる場合には、次のような問題が生じる。例えば、送信機と受信機との間でリアルタイムにデータをやり取りするような通信システムについて考える。このような通信システムに第１の従来例で説明した暗号化装置１３００および復号装置１４００を用いた場合には、送信機がリアルタイムでデータを暗号化して送信できたとしても、受信機は復号に時間がかかるためリアルタイムで暗号文を復号することができない。このため、受信機には受信した暗号化データを一時的に蓄積するためのバッファが必要となり、受信機のコストアップにつながってしまうという問題がある。
【００４６】
また、図２１のように、高速道路の料金所に取り付けられるＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ　Ｔｏｌｌ　Ｃｏｌｌｅｃｔｉｏｎ）システム１８００では、自動車１８０１に取り付けられた車載器１８０２と料金所アンテナ１８０４との間でのデータ通信を行ない、相互認証を行なう。自動車１８０１は、通常、ＥＴＣシステム１８００のゲートを停止することなく通過するため、ＥＴＣシステム１８００では、高速の応答速度が要求される。このため、ＥＴＣシステム１８００に従来の暗号化装置１３００および復号装置１４００を用いる場合には、高速なハードウェアが必要になるという問題がある。
【００４７】
一方、第２の従来例では、第１の従来例のような「復号時の拡大鍵生成に要する時間が暗号化時に比べて大きい」という問題は解消される。しかし、拡大鍵のランダム性が不十分であるという問題がある。
【００４８】
第２の従来例では、巡回ビットシフトされたデータを連結したものから所定位置のビットを抜き出したデータを拡大鍵としている。即ち、拡大鍵を生成する処理に、データ融合処理や置換処理などが使用されていないため、拡大鍵に十分なランダム性がない。これにより、第２の従来例の拡大鍵生成処理では、弱鍵と呼ばれる安全性の低い鍵が存在するという問題がある（ＤＥＳ方式による弱鍵については、たとえば、非特許文献１参照。）。
【００４９】
【非特許文献１】
Ａｌｆｒｅｄ　Ｊ．　Ｍｅｎｅｚｅｓ，　Ｐａｕｌ　Ｃ．　ｖａｎ　Ｏｏｒｓｃｈｏｔ，　Ｓｃｏｔｔ　Ａ．　Ｖａｎｓｔｏｎｅ，　”Ｈａｎｄｂｏｏｋ　ｏｆ　Ａｐｐｌｉｅｄ　Ｃｒｙｐｔｏｇｒａｐｈｙ”，　ＣＲＣ　Ｐｒｅｓｓ，　１９９７，　ｐｐ．２５６−ｐｐ．２５９
【００５０】
そこで、本発明は、このような状況に鑑みてなされたものであり、暗号化時と復号時とで処理時間の差を少なくすることができる暗号化システムを提供することを目的とする。
【００５１】
また、ランダム性が高く、安全性の高い拡大鍵を生成可能な暗号化システムを提供することも目的とする。
【００５２】
【課題を解決するための手段】
上記目的を達成するために、本発明に係る拡大鍵生成装置は、暗号鍵データを入力とし、複数の拡大鍵データを出力する拡大鍵生成装置であって、前記暗号鍵データを複数の部分鍵データに分割するデータ分割手段と、前記複数の部分鍵データを入力とし、前記複数の拡大鍵データを出力する一列に接続された複数の鍵変換手段とを備え、前記複数の鍵変換手段の各々は、前記複数の部分鍵データまたは前段の鍵変換手段からの複数の出力データを複数の入力データとして受け、前記複数の入力データの各々について、各ビットの値が相互に干渉しない固定的な変換処理を実行し、後段の鍵変換手段への複数の出力データを算出する出力算出部と、前記複数の入力データを融合して、前記拡大鍵データを算出する拡大鍵算出部とを有することを特徴とする。
【００５３】
このように、出力算出部と拡大鍵算出部とを分離可能とし、出力算出部での処理が入力データに対し各ビットの値が相互に干渉しない固定的な変換処理とすることにより、所定段数の出力算出部の処理と等価な処理部を生成することができる。従って、復号時には、一端、上記した等価な処理部でデータを生成した後、鍵変換手段で実行される処理の逆変換処理を順次実行することにより、暗号文データの復号に利用される拡大鍵データを順次生成することが可能となる。よって、復号時には所定段数の出力算出部の処理を実行する必要がなくなり、暗号化時と復号時とで処理時間の差を少なくすることができる。
【００５４】
また、拡大鍵算出部は、複数の部分データを融合して拡大鍵データを算出していることより、ランダム性が高く、安全性の高い拡大鍵を提供することができる。
【００５５】
例えば、前記出力算出部は、前記複数の入力データのうちの少なくとも１つに対し、所定のビット数だけ巡回シフト操作を実行し、前記所定のビット数は、前記巡回シフト操作が施される前記入力データのビット数の約数ではない。
【００５６】
このように巡回シフト操作のビット数を巡回シフト操作が施される入力データの約数ではなくすることにより、入力データに複数回の巡回シフト操作を施したとしても、元の入力データと同一の入力データは生成されにくくなる。このため、ランダム性が高く、安全性の高い拡大鍵を提供することができる。
【００５７】
また、前記拡大鍵算出部は、前記複数の入力データの融合における途中過程および前記複数の入力データのうちの少なくとも１つのデータに対し、所定の置換テーブルに基づいた置換処理を実行する。
【００５８】
置換処理のような非線形な処理を挿入することにより、ランダム性が高く、安全性の高い拡大鍵を提供することができる。
本発明は、このような拡大鍵生成装置として実現することができるだけでなく、このような拡大鍵生成装置を備える暗号化装置として実現したり、このような拡大鍵生成装置を用いて暗号化された暗号文データを復号する復号装置として実現することもできる。また、暗号化装置と復号装置とからなる暗号化システムとして実現することもできるし、拡大鍵生成方法や、コンピュータを拡大鍵生成装置として機能させるためのプログラムとしても実現することができる。このようなプログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ　Ｄｉｓｋ−Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）などの記録媒体やインターネット等の伝送媒体を介して広く流通させることができるのは言うまでもない。
【００５９】
【発明の実施の形態】
以下、本発明に係る暗号化システムの実施の形態について図面を用いて詳細に説明する。暗号化システムは、後述する暗号化装置と復号装置とから構成される。
【００６０】
図１は、本発明の実施の形態に係る暗号化装置の構成の一例を示すブロック図である。
データ暗号化装置１１００は、１２８ビットの暗号鍵ＥＫを元に、各６４ビットの８個の拡大鍵ＳＫ０〜ＳＫ７を生成する拡大鍵生成部２と、拡大鍵生成部２に接続され、拡大鍵生成部２より拡大鍵ＳＫ０〜ＳＫ７を受け、拡大鍵ＳＫ０〜ＳＫ７を用いて平文ＰＴに対して所定のデータ変換処理を繰り返し実行することによりデータ撹乱を行ない、６４ビットの暗号文ＣＴを生成するデータ撹乱部１とを含む。
【００６１】
データ撹乱部１は、８個のデータ変換部１１〜１８を縦列に連結したものから構成される。拡大鍵生成部２は、データ分割部２０と、７個の鍵変換部２１〜２７と、１個の最終鍵変換部２８とを縦列に連結したものから構成される。
【００６２】
図２は、データ変換部１１〜１８の内部構成を示すブロック図である。データ変換部１１〜１８の各々は、鍵変換部２１〜２７および最終鍵変換部２８のいずれかに接続され、そのいずれかより拡大鍵ＳＫ（ＳＫ０〜ＳＫ７のいずれか）を受け、拡大鍵ＳＫと入力データＸとの間でビットごとの排他的論理和演算を実行し、データＡを出力する排他的論理和演算部１１１と、排他的論理和演算部１１１に接続され、排他的論理和演算部１１１よりデータＡを受け、データＡを４つのデータブロックＢ０〜Ｂ３に分割するデータ分割部１１２とを含む。
【００６３】
データ変換部１１〜１８の各々は、データ分割部１１２に接続され、データ分割部１１２よりデータブロックＢ０〜Ｂ３を受け、データブロックＢ０〜Ｂ３を後述する方法によりデータブロックＣ０〜Ｃ３にそれぞれ置換するデータ置換部１１３〜１１６と、データ置換部１１３〜１１６に接続され、データ置換部１１３〜１１６よりデータブロックＣ０〜Ｃ３を受け、データブロックＣ０〜Ｃ３を後述する方法により連結し、データＹを出力するデータ連結部１１７とをさらに含む。
【００６４】
図３は、鍵変換部２１〜２７の内部構成を示すブロック図である。鍵変換部２１〜２７の各々は、データ分割部２０または前段の鍵変換部より各３２ビットの第１〜第４入力データＸ０〜Ｘ３を受け、第１〜第４入力データＸ０〜Ｘ３より６４ビットの拡大鍵ＳＫを算出する拡大鍵算出部２１０と、第１〜第４入力データＸ０〜Ｘ３より次段の鍵変換部または最終鍵変換部２８への入力となる第１〜第４出力データＹ０〜Ｙ３を算出する出力算出部２３０とを含む。
【００６５】
拡大鍵算出部２１０は、第２入力データＸ１と第４入力データＸ３との間でビットごとの排他的論理和演算を実行し、３２ビットのデータＡを算出する排他的論理和演算部２１１と、排他的論理和演算部２１１に接続され、排他的論理和演算部２１１よりデータＡを受け、データＡを後述する方法によりデータＢに置換するデータ置換部２１２と、データ置換部２１２に接続され、データ置換部２１２よりデータＢを受け、データＢと第３入力データＸ２との間でビットごとの排他的論理和演算を実行し、データＣを算出する排他的論理和演算部２１３とを含む。
【００６６】
拡大鍵算出部２１０は、排他的論理和演算部２１３に接続され、排他的論理和演算部２１３よりデータＣを受け、データＣと第２入力データＸ１との間でビットごとの排他的論理和演算を実行し、データＤを算出する排他的論理和演算部２１４と、排他的論理和演算部２１４に接続され、排他的論理和演算部２１４よりデータＤを受け、データＤと第１入力データＸ０との間でビットごとの排他的論理和演算を実行し、データＥを算出する排他的論理和演算部２１５と、排他的論理和演算部２１３および２１５に接続され、排他的論理和演算部２１３および２１５よりデータＣおよびデータＥをそれぞれ受け、データＣおよびデータＥを連結して６４ビットの拡大鍵ＳＫとして出力するデータ連結部２１６とをさらに含む。
【００６７】
出力算出部２３０は、第１入力データＸ０を下位ビット方向（右方向）に１ビットだけ巡回ビットシフトし、第４出力データＹ３として出力するデータ回転部２１７と、第２入力データＸ１を下位ビット方向（右方向）に５ビットだけ巡回ビットシフトし、第１出力データＹ０として出力するデータ回転部２１８と、第３入力データＸ２を下位ビット方向（右方向）に９ビットだけ巡回ビットシフトし、第２出力データＹ１として出力するデータ回転部２１９と、第４入力データＸ３を下位ビット方向（右方向）に１３ビットだけ巡回ビットシフトし、第３出力データＹ２として出力するデータ回転部２２０とを含む。
【００６８】
図４は、最終鍵変換部２８の内部構成を示すブロック図である。最終鍵変換部２８は、図３に示される鍵変換部の構成から出力算出部２３０を取り除いた構成になっている。最終鍵変換部２８は、拡大鍵算出部２８０を含む。
【００６９】
拡大鍵算出部２８０は、排他的論理和演算部２８１と、排他的論理和演算部２８１に接続されたデータ置換部２８２と、データ置換部２８２に接続された排他的論理和演算部２８３と、排他的論理和演算部２８３に接続された排他的論理和演算部２８４と、排他的論理和演算部２８４に接続された排他的論理和演算部２８５と、排他的論理和演算部２８３および２８５に接続されたデータ連結部２８６とを含む。
【００７０】
排他的論理和演算部２８１，２８３〜２８５、データ置換部２８２およびデータ連結部２８６の構成は、図３に示される拡大鍵算出部２１０の排他的論理和演算部２１１，２１３〜２１５、データ置換部２１２およびデータ連結部２１６の構成とそれぞれ同様である。このため、その詳細な説明はここでは繰返さない。
【００７１】
以下、図１〜図５を用いて、暗号化装置１１００の動作について説明する。
図１に示される暗号化装置１１００の全体的な処理の流れについて説明する。拡大鍵生成部２内部のデータ分割部２０は、１２８ビットの暗号鍵ＥＫを上位から３２ビットずつの４つのデータブロックに分割し、鍵変換部２１に出力する。鍵変換部２１は、入力された４つのブロックに対して後述する鍵変換処理を実行し、６４ビットの拡大鍵ＳＫ０及び４つの３２ビットのデータブロックを算出する。鍵変換部２１は、拡大鍵ＳＫ０をデータ変換部１１に出力し、算出された４つのデータブロックを次段の鍵変換部２２に出力する。
【００７２】
データ変換部１１は、入力された拡大鍵ＳＫ０を元に、６４ビットの平文ＰＴに対して後述するデータ変換処理を施し、６４ビットのデータを算出する。データ変換部１１は、算出されたデータを次段のデータ変換部１２に出力する。
【００７３】
鍵変換部２２は、前段の鍵変換部２１から入力された４つの３２ビットのデータブロックに対して鍵変換部２１と同様の鍵変換処理を実行し、拡大鍵ＳＫ１および４つの３２ビットのデータブロックを算出する。鍵変換部２２は、拡大鍵ＳＫ１をデータ変換部１２に出力し、算出された４つのデータブロックを次段の鍵変換部２３に出力する。
【００７４】
データ変換部１２は、入力された拡大鍵ＳＫ１を元に、前段のデータ変換部１１から入力されたデータに対してデータ変換部１１と同様のデータ変換処理を実行し、６４ビットのデータを算出する。データ変換部１２は、算出されたデータを次段のデータ変換部１３へ出力する。
【００７５】
以下、同様の処理が鍵変換部２３〜２７およびデータ変換部１３〜１７において実行される。最終鍵変換部２８は、鍵変換部２７より入力された４つのデータブロックに対して後述する最終鍵変換処理を施し、拡大鍵ＳＫ７を求め、データ変換部１８に出力する。
【００７６】
データ変換部１８は、拡大鍵ＳＫ７を元にデータ変換部１７からの入力データに対してデータ変換部１１と同様のデータ変換処理を実行し、６４ビットの暗号文ＣＴを算出し、出力する。
【００７７】
図２に示されるデータ変換部１１〜１８の各々で実行されるデータ変換処理について説明する。データ変換部１１〜１８の各々は、６４ビットの入力データＸに対して６４ビットの拡大鍵ＳＫに基づくデータ変換処理を施して、６４ビットの出力データＹを出力する。入力データＸは、平文ＰＴまたは前段のデータ変換部より出力されるデータのいずれかである。拡大鍵ＳＫは、鍵変換部２１〜２８よりそれぞれ出力されるＳＫ０〜ＳＫ７のいずれかである。
【００７８】
排他的論理和演算部１１１は、次式（１３）で示される入力データＸと拡大鍵ＳＫとのビットごとの排他的論理和演算を実行し、６４ビットのデータＡを求める。
Ａ＝Ｘ（＋）ＳＫ　　　　　　　　　　　　　　　　　　　　…（１３）
【００７９】
データ分割部１１２は、排他的論理和演算部１１１よりデータＡを受け、データＡを４つの上位ビットから１６ビットずつ４つのデータブロックＢ０，Ｂ１，Ｂ２およびＢ３に分割する。即ち、データＡとデータブロックＢ０〜Ｂ３との間には、次式（１４）に示される関係が成立する。
Ａ＝Ｂ０‖Ｂ１‖Ｂ２‖Ｂ３　　　　　　　　　　　　　　　…（１４）
【００８０】
データ分割部１１２は、４つのデータブロックＢ０〜Ｂ３をデータ置換部１１３〜１１６にそれぞれ出力する。
【００８１】
データ置換部１１３は、データ分割部１１２より入力された１６ビットデータＢ０を元に、次式（１５）に従い１６ビットのデータＣ０を求める。
Ｃ０＝Ｓｂｏｘ［Ｂ０ｈ］‖Ｓｂｏｘ［Ｂ０ｌ］　　　　　　…（１５）
【００８２】
ここで、Ｓｂｏｘは置換テーブルを表している。置換テーブルＳｂｏｘは、図５に示すような２５６個の要素を有する配列から構成され、各要素は８ビットのデータからなる。Ｂ０ｈはデータＢ０の上位８ビット、Ｂ０ｌはデータＢ０の下位８ビットのデータを表す。
【００８３】
すなわち、Ｓｂｏｘ［Ｂ０ｈ］は、置換テーブルＳｂｏｘのＢ０ｈ番目の要素を表しており、Ｓｂｏｘ［Ｂ０ｌ］は、置換テーブルＳｂｏｘのＢ０ｌ番目の要素を表している。データＣ０は、これら２つの要素を連結して作成されたデータである。
【００８４】
ここで用いられる置換テーブルＳｂｏｘは、「盛合志帆，青木和麻呂，神田雅透，高嶋洋一，松本勉著『既知のブロック暗号攻撃に対する安全性を考慮したＳ−ｂｏｘの構成法』（電子情報通信学会技術研究報告，ＩＳＥＣ９８−１３）」（訳語：Ｓｈｉｈｏ　Ｍｏｒｉａｉ，　Ｋａｚｕｍａｒｏ　Ａｏｋｉ，　Ｍａｓａｙｕｋｉ　Ｋａｎｄａ，　Ｙｏｕｉｃｈｉ　Ｔａｋａｓｈｉｍａ，　Ｋａｚｕｏ　Ｏｈｔａ　｀｀Ｓ−ｂｏｘ　ｄｅｓｉｇｎ　ｃｏｎｓｉｄｅｒｉｎｇ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　ａｇａｉｎｓｔ　ｋｎｏｗｎ　ａｔｔａｃｋｓｏｎ　ｂｌｏｃｋ　ｃｉｐｈｅｒｓ’’，　Ｔｅｃｈｎｉｃａｌ　Ｒｅｐｏｒｔ　ｏｆ　ＩＥＩＣＥ，　Ｖｏｌ．９８　Ｎｏ．４８，　ＩＳＥＣ９８−１３，（ｉｎ　Ｊａｐａｎｅｓｅ），　（Ｊｕｌｙ，　１９９８）．）に記載されたものを用いる。ただし、置換テーブルＳｂｏｘは、これ以外のものであってもよく、これに限定されるものではない。
【００８５】
データ置換部１１４〜１１６は、データ分割部１１２よりデータブロックＢ１〜Ｂ３をそれぞれ受け、データブロックＣ１〜Ｃ３をそれぞれ求め、出力する。データ置換部１１４〜１１６の各々で実行される処理は、データ置換部１１３で実行される処理と同様であるため、その詳細な説明はここでは繰返さない。
【００８６】
データ連結部１１７は、データ置換部１１３〜１１６よりデータブロックＣ０〜Ｃ３をそれぞれ受け、次式（１６）に従い、データブロックＣ０〜Ｃ３を連結し、６４ビットのデータＹを求め、出力する。
Ｙ＝Ｃ０‖Ｃ１‖Ｃ２‖Ｃ３　　　　　　　　　　　　　　　…（１６）
【００８７】
図３に示される鍵変換部２１〜２７の各々で実行される鍵変換処理について説明する。鍵変換部２１〜２７の各々は、第１〜第４入力データＸ０〜Ｘ３に対して、後述する拡大鍵算出処理と出力算出処理とを実行し、拡大鍵ＳＫと第１〜第４出力データＹ０〜Ｙ３とを算出し、出力する。第１〜第４入力データＸ０〜Ｘ３は、データ分割部２０または前段の鍵変換部より出力される４つの３２ビットのデータブロックである。拡大鍵ＳＫは、データ変換部１１〜１７にそれぞれ入力されるＳＫ０〜ＳＫ６のいずれかである。
【００８８】
拡大鍵算出部２１０において実行される拡大鍵算出処理に説明する。
排他的論理和演算部２１１は、次式（１７）に従い、第２入力データＸ１と第４入力データＸ３との間でビットごとの排他的論理和演算を実行し、３２ビットのデータＡを求める。
Ａ＝Ｘ１（＋）Ｘ３　　　　　　　　　　　　　　　　　　　…（１７）
【００８９】
データ置換部２１２は、排他的論理和演算部２１１よりデータＡを受け、データ変換部１１〜１８で用いた置換テーブルと同一の置換テーブルＳｂｏｘを用いて、次式（１８）で示される３２ビットデータＢを求める。

【００９０】
但し、データＡを上位から８ビットずつに分割したデータの値をそれぞれＡ０，Ａ１，Ａ２，Ａ３とする。
【００９１】
排他的論理和演算部２１３は、データ置換部２１２よりデータＢを受け、次式（１９）に従い、データＢと第３入力データＸ２との間でビットごとの排他的論理和演算を実行し、３２ビットのデータＣを求める。
Ｃ＝Ｂ（＋）Ｘ２　　　　　　　　　　　　　　　　　　　　…（１９）
【００９２】
排他的論理和演算部２１４は、排他的論理和演算部２１３よりデータＣを受け、次式（２０）に従い、データＣと第２入力データＸ１との間でビットごとの排他的論理和演算を実行し、３２ビットのデータＤを求める。
Ｄ＝Ｃ（＋）Ｘ１　　　　　　　　　　　　　　　　　　　　…（２０）
【００９３】
排他的論理和演算部２１５は、排他的論理和演算部２１４よりデータＤを受け、次式（２１）に従い、データＤと第１入力データＸ０との間でビットごとの排他的論理和演算を実行し、３２ビットのデータＥを求める。
Ｅ＝Ｄ（＋）Ｘ０　　　　　　　　　　　　　　　　　　　　…（２１）
【００９４】
データ連結部２１６は、排他的論理和演算部２１３および２１５よりデータＣおよびＥをそれぞれ受け、次式（２２）に従い、データＣおよびＥを連結し、６４ビットの拡大鍵ＳＫとして出力する。
ＳＫ＝Ｃ‖Ｅ　　　　　　　　　　　　　　　　　　　　　　…（２２）
【００９５】
次に、出力算出部２３０において第１〜第４出力データＹ０〜Ｙ３を算出する処理（出力算出処理）について説明する。
【００９６】
データ回転部２１７〜２２０は、次式（２３）〜（２６）にそれぞれ従い、第４出力データＹ３、第１出力データＹ０、第２出力データＹ１および第３出力データＹ２をそれぞれ算出する。

【００９７】
ここで、ＲＯＴＲ１（Ｘ）、ＲＯＴＲ５（Ｘ）、ＲＯＴＲ９（Ｘ）およびＲＯＴＲ１３（Ｘ）は、データＸを下位ビット方向（右方向）にそれぞれ１ビット、５ビット、９ビットおよび１３ビットずつ巡回ビットシフトした結果を表す。
【００９８】
図４に示される最終鍵変換部２８で実行される最終鍵変換処理について説明する。最終鍵変換部２８の拡大鍵算出部２８０は、図３に示される拡大鍵算出部２１０と同様の動作をして拡大鍵ＳＫ７を算出する。このため、その詳細な説明はここでは繰返さない。
【００９９】
図６は、本発明の実施の形態に係る復号装置の構成の一例を示すブロック図である。
データ復号装置１２００は、１２８ビットの暗号鍵ＥＫを元に、暗号化時とは逆の順番で、各６４ビットの８個の拡大鍵ＳＫ７〜ＳＫ０を生成する拡大鍵逆生成部４と、拡大鍵逆生成部４に接続され、拡大鍵逆生成部４より拡大鍵ＳＫ７〜ＳＫ０を受け、拡大鍵ＳＫ７〜ＳＫ０を用いて暗号文ＣＴに対して後述する逆データ変換処理を繰り返し実行することにより復号文ＤＴを生成する逆データ撹乱部３とを含む。
【０１００】
逆データ撹乱部３は、８個の逆データ変換部３１〜３８を縦列に連結したものから構成される。拡大鍵逆生成部４は、鍵補正部４０と７個の逆鍵変換部４１〜４７と１個の最終鍵変換部４８とを縦列に連結したものから構成される。
【０１０１】
図７は、逆データ変換部３１〜３８の内部構成を示すブロック図である。逆データ変換部３１〜３８の各々は、６４ビットの入力データＹ（暗号文ＣＴまたは前段の逆データ変換部の出力データ）を受け、データＹを４つのデータブロックＡ０〜Ａ３に分割するデータ分割部３１１と、データ分割部３１１に接続され、データ分割部３１１よりデータブロックＡ０〜Ａ３を受け、データブロックＡ０〜Ａ３を後述する方法によりデータブロックＢ０〜Ｂ３にそれぞれ置換する逆データ置換部３１２〜３１５とを含む。
【０１０２】
逆データ変換部３１〜３８の各々は、逆データ置換部３１２〜３１５に接続され、逆データ置換部３１２〜３１５よりデータブロックＢ０〜Ｂ３を受け、データブロックＢ０〜Ｂ３を連結して出力するデータ連結部３１６と、データ連結部３１６に接続され、データ連結部３１６より出力される連結結果を受け、当該連結結果と拡大鍵ＳＫとの間でビットごとの排他的論理和演算を実行し、データＺを出力する排他的論理和演算部３１７とをさらに含む。
【０１０３】
図８は、鍵補正部４０の内部構成を示すブロック図である。鍵補正部４０は、各３２ビットの第１〜第４入力データＩ０〜Ｉ３を受け、後述する処理を実行し、第１〜第４出力データＪ０〜Ｊ３を算出する。鍵補正部４０は、第１入力データＩ０を下位ビット方向（右方向）に５１ビットだけ巡回ビットシフトし、第２出力データＪ１として出力するデータ回転部４０１と、第２入力データＩ１を下位ビット方向（右方向）に４７ビットだけ巡回ビットシフトし、第３出力データＪ２として出力するデータ回転部４０２と、第３入力データＩ２を下位ビット方向（右方向）に４３ビットだけ巡回ビットシフトし、第４出力データＪ３として出力するデータ回転部４０３と、第４入力データＩ３を下位ビット方向（右方向）に５５ビットだけ巡回ビットシフトし、第１出力データＪ０として出力するデータ回転部４０４とを含む。
【０１０４】
図９は、逆鍵変換部４１〜４７の内部構成を示すブロック図である。逆鍵変換部４１〜４７の各々は、鍵補正部４０または前段の逆鍵変換部より各３２ビットの第１〜第４入力データＹ０〜Ｙ３を受け、第１〜第４入力データＹ０〜Ｙ３より６４ビットの拡大鍵ＳＫを算出する拡大鍵算出部４１０と、第１〜第４入力データＹ０〜Ｙ３より次段の逆鍵変換部または最終鍵変換部４８への入力となる第１〜第４出力データＺ０〜Ｚ３を算出する出力逆算出部４３０とを含む。
【０１０５】
拡大鍵算出部４１０は、第２入力データＹ１と第４入力データＹ３との間でビットごとの排他的論理和演算を実行し、３２ビットのデータＡを算出する排他的論理和演算部４１１と、排他的論理和演算部４１１に接続され、排他的論理和演算部４１１よりデータＡを受け、データＡを後述する方法によりデータＢに置換するデータ置換部４１２と、データ置換部４１２に接続され、データ置換部４１２よりデータＢを受け、データＢと第３入力データＹ２との間でビットごとの排他的論理和演算を実行し、データＣを算出する排他的論理和演算部４１３とを含む。
【０１０６】
拡大鍵算出部４１０は、排他的論理和演算部４１３に接続され、排他的論理和演算部４１３よりデータＣを受け、データＣと第２入力データＹ１との間でビットごとの排他的論理和演算を実行し、データＤを算出する排他的論理和演算部４１４と、排他的論理和演算部４１４に接続され、排他的論理和演算部４１４よりデータＤを受け、データＤと第１入力データＹ０との間でビットごとの排他的論理和演算を実行し、データＥを算出する排他的論理和演算部４１５と、排他的論理和演算部４１３および４１５に接続され、排他的論理和演算部４１３および４１５よりデータＣおよびデータＥをそれぞれ受け、データＣおよびデータＥを連結して６４ビットの拡大鍵ＳＫとして出力するデータ連結部４１６とをさらに含む。
【０１０７】
出力逆算出部４３０は、第１入力データＹ０を上位ビット方向（左方向）に５ビットだけ巡回ビットシフトし、第２出力データＺ１として出力するデータ回転部４１７と、第２入力データＹ１を上位ビット方向（左方向）に９ビットだけ巡回ビットシフトし、第３出力データＺ２として出力するデータ回転部４１８と、第３入力データＹ２を上位ビット方向（左方向）に１３ビットだけ巡回ビットシフトし、第４出力データＺ３として出力するデータ回転部４１９と、第４入力データＹ３を上位ビット方向（左方向）に１ビットだけ巡回ビットシフトし、第１出力データＺ０として出力するデータ回転部４２０とを含む。
【０１０８】
図６に示す最終鍵変換部４８は、図４に示される最終鍵変換部２８と同様の構成を有する。このため、その詳細な説明はここでは繰返さない。
以下、図６〜図１２を用いて、復号装置１２００の動作について説明する。
【０１０９】
図６に示される復号装置１２００の全体的な処理の流れについて説明する。
拡大鍵逆生成部４内部の鍵補正部４０は、１２８ビットの暗号鍵ＥＫを内部で４つの３２ビットのデータブロックに分割した後、後述する鍵補正処理を実行し、４つの３２ビットのデータブロックを算出する。鍵補正部４０は、算出された４つのデータブロックを逆鍵変換部４１に出力する。
【０１１０】
逆鍵変換部４１は、入力された４つのデータブロックを元に後述する逆鍵変換処理を実行し、６４ビットの拡大鍵ＳＫ７と、４つの３２ビットのデータブロックとを算出する。逆鍵変換部４１は、拡大鍵ＳＫ７を逆データ変換部３１に出力し、４つのデータブロックを次段の逆鍵変換部４２に出力する。
【０１１１】
逆データ変換部３１は、入力された拡大鍵ＳＫ７を元に６４ビットの暗号文ＣＴに対して後述する逆データ変換処理を実行し、６４ビットのデータを算出して次段の逆データ変換部３２に出力する。
【０１１２】
逆鍵変換部４２は、前段の逆鍵変換部４１から入力された４つのデータブロックを元に、逆鍵変換部４１と同様の処理を実行して拡大鍵ＳＫ６と、４つのデータブロックとを算出する。逆鍵変換部４２は、拡大鍵ＳＫ６を逆データ変換部３２に出力し、算出された４つのデータブロックを逆鍵変換部４３に出力する。
【０１１３】
逆データ変換部３２は、拡大鍵ＳＫ６を元に前段の逆データ変換部３１から入力されたデータに対して、逆データ変換部３１と同様の逆データ変換処理を施し、６４ビットのデータを算出し、次段の逆データ変換部３３に出力する。
【０１１４】
以下、同様の操作が逆鍵変換部４３〜４７および逆データ変換部３３〜３７において実行される。最終鍵変換部４８は、逆鍵変換部４７より入力された４つのデータブロックに対して、図４に示される最終鍵変換部２８で用いた最終鍵変換処理と同様の処理を施し、拡大鍵ＳＫ０を求め、逆データ変換部３８に出力する。
【０１１５】
逆データ変換部３８は、拡大鍵ＳＫ０を元に逆データ変換部３７からの入力データに対して逆データ変換部３１と同様の逆データ変換処理を施し、６４ビットの復号文ＤＴを算出し、出力する。
【０１１６】
図７に示される逆データ変換部３１〜３８の各々で実行される逆データ変換処理について説明する。
データ分割部３１１は、６４ビットのデータＹ（暗号文ＣＴまたは前段の逆データ変換部より出力されるデータＺ）を上位から１６ビットずつ４つのデータブロックＡ０，Ａ１，Ａ２，Ａ３に分割する。即ち、データＹとデータブロックＡ０〜Ａ３との間には、次式（２７）に示される関係が成立する。
Ｙ＝Ａ０‖Ａ１‖Ａ２‖Ａ３　　　　　　　　　　　　　　　　…（２７）
【０１１７】
データ分割部３１１は、データブロックＡ０〜Ａ３を逆データ置換部３１２〜３１５にそれぞれ出力する。
【０１１８】
逆データ置換部３１２は、データ分割部３１１より入力された１６ビットデータＡ０を元に、次式（２８）に従い１６ビットのデータブロックＢ０を求める。

【０１１９】
ここで、ＩｎｖＳｂｏｘは上述した置換テーブルＳｂｏｘの逆置換を実行する逆置換テーブルを表している。逆置換テーブルは、図１０に示すような２５６個の要素を有する配列から構成され、各要素は８ビットのデータからなる。Ａ０ｈはデータブロックＡ０の上位８ビット、Ａ０ｌはデータブロックＡ０の下位８ビットのデータを表す。
【０１２０】
すなわち、ＩｎｖＳｂｏｘ［Ａ０ｈ］は、逆置換テーブルＩｎｖＳｂｏｘのＡ０ｈ番目の要素を表しており、ＩｎｖＳｂｏｘ［Ａ０ｌ］は、逆置換テーブルＩｎｖＳｂｏｘのＡ０ｌ番目の要素を表している。データブロックＢ０は、これら２つの要素を連結して作成されたデータである。
【０１２１】
ここで用いられる逆置換テーブルＩｎｖＳｂｏｘは、暗号化時に、図２に示すデータ置換部１１３〜１１６で用いられる置換テーブルＳｂｏｘを元にして作成されたものである。
【０１２２】
すなわち、置換テーブルＳｂｏｘと逆置換テーブルＩｎｖＳｂｏｘとの間には次式（２９）に示される関係が成立する。

【０１２３】
図１１は、置換テーブルＳｂｏｘと逆置換テーブルＩｎｖＳｂｏｘとの関係を説明するための具体例を示す図である。例えば、Ｓｂｏｘ［７９］の値が２進数表現で「００１１０１００」であったとする。「００１１０１００」を１０進数表現すると「５２」になる。また、１０進数「７９」を２進数表現すると「０１００１１１１」となる。したがって、ＩｎｖＳｂｏｘ［５２］の値は２進数表現で「０１００１１１１」となる。
【０１２４】
逆データ置換部３１３〜３１５は、データ分割部３１１よりデータブロックＡ１〜Ａ３をそれぞれ受け、データブロックＢ１〜Ｂ３をそれぞれ求め、出力する。逆データ置換部３１３〜３１５の各々で実行される処理は、逆データ置換部３１２で実行される処理と同様であるため、その詳細な説明はここでは繰返さない。
【０１２５】
データ連結部３１６は、逆データ置換部３１２〜３１５よりデータブロックＢ０〜Ｂ３を受け、次式（３０）に従い、データブロックＢ０〜Ｂ３を連結し、６４ビットのデータＺを求め、出力する。
Ｚ＝Ｂ０‖Ｂ１‖Ｂ２‖Ｂ３　　　　　　　　　　　　　　　…（３０）
【０１２６】
図８に示される鍵補正部４０で実行される鍵補正処理について説明する。鍵補正部４０は、１２８ビットの暗号鍵ＥＫを入力として処理を実行するが、暗号鍵ＥＫの上位ビットから３２ビットずつを第１〜第４入力データＩ０〜Ｉ３とする。
【０１２７】
データ回転部４０１〜４０４は、次式（３１）〜（３４）にそれぞれ従い、第２出力データＪ１、第３出力データＪ２、第４出力データＪ３および第１出力データＪ０をそれぞれ算出する。

【０１２８】
ここで、ＲＯＴＲ５１（Ｉ），ＲＯＴＲ４７（Ｉ），ＲＯＴＲ４３（Ｉ），ＲＯＴＲ５５（Ｉ）は、データＩを下位ビット方向（右方向）にそれぞれ５１ビット，４７ビット，４３ビットおよび５５ビットずつ巡回ビットシフトした結果を表す。
【０１２９】
最終的に、鍵補正部４０は、第１〜第４出力データＪ０〜Ｊ３を出力する。
次に、鍵補正部４０のデータ回転部４０１におけるシフト量の意味について説明する。鍵変換部２１に入力された第１〜第４入力データＸ０〜Ｘ３は、図３の出力算出部２３０においてデータ回転処理され、表１に示されるように第１〜第４出力データＹ０〜Ｙ３としてＲＯＴＲ５（Ｘ１）、ＲＯＴＲ９（Ｘ２）、ＲＯＴＲ１３（Ｘ３）およびＲＯＴＲ１（Ｘ０）がそれぞれ得られる。
【０１３０】
鍵変換部２１で得られた第１〜第４出力データＹ０〜Ｙ３を、鍵変換部２２の第１〜第４入力データＸ０〜Ｘ３とすると、同様のデータ回転処理が行なわれ、表１に示されるように、鍵変換部２２の第１〜第４出力データＹ０〜Ｙ３としてＲＯＴＲ１４（Ｘ２）、ＲＯＴＲ２２（Ｘ３）、ＲＯＴＲ１４（Ｘ０）およびＲＯＴＲ６（Ｘ１）がそれぞれ得られる。
【０１３１】
同様の処理を鍵変換部２３〜２７についても実行すると、表１に示されるような結果が得られる。したがって、鍵補正部４０を図８に示すような構成にすることにより、鍵変換部２１〜２７までの処理を実行したのと等価な結果が得られる。
【０１３２】
【表１】

【０１３３】
なお、図８は、鍵変換部が７段の場合の鍵補正部４０の例を示したが、鍵変換部の段数に関わらず、鍵補正部を作成することは可能である。たとえば、鍵変換部が６段の場合には、鍵補正部４０の代わりに、図１２に示すような鍵補正部１６０を用いることができる。鍵補正部１６０は、表１を元にして作られたものである。なお、鍵補正部１６０のデータ回転部１６０１〜１６０４は、入力データを下位ビット方向（右方向）にそれぞれ４２ビット、３４ビット、４２ビットおよび５０ビットずつ巡回ビットシフトする処理を実行する。しかし、３２ビットの巡回ビットシフトは０ビットの巡回ビットシフト（すなわち、何も処理をしないこと）と等価である。このため、データ回転部１６０１〜１６０４における巡回ビットシフト数をそれぞれ１０ビット、２ビット、１０ビットおよび１８ビットとし、巡回ビットシフト数を削減することも可能である。
【０１３４】
また、図８に示される鍵補正部４０のデータ回転部４０１〜４０４における巡回ビットシフト数も同様に、それぞれ１９ビット、１５ビット、１１ビットおよび２３ビットとそれぞれ削減することも可能である。
【０１３５】
図９に示される逆鍵変換部４１〜４７で実行される逆鍵変換処理について説明する。逆鍵変換部４１〜４７の各々は、第１〜第４入力データＹ０〜Ｙ３に対して、後述する拡大鍵算出処理とデータ変換処理とを実行し、拡大鍵ＳＫと第１〜第４出力データＺ０〜Ｚ３とを算出し、出力する。第１〜第４入力データＹ０〜Ｙ３は、鍵補正部４０または前段の逆鍵変換部より出力される４つの３２ビットのデータブロックである。拡大鍵ＳＫは、逆データ変換部３１〜３７にそれぞれ入力されるＳＫ７〜ＳＫ１のいずれかである。
【０１３６】
拡大鍵算出部４１０で実行される拡大鍵算出処理について説明する。
排他的論理和演算部４１１は、次式（３５）に従い、第２入力データＹ１と第４入力データＹ３との間でビットごとの排他的論理和演算を実行し、３２ビットのデータＡを求める。
Ａ＝Ｙ１（＋）Ｙ３　　　　　　　　　　　　　　　　　　　…（３５）
【０１３７】
データ置換部４１２は、排他的論理和演算部４１１よりデータＡを受け、暗号化時にデータ変換部１１〜１８で用いた置換テーブルと同一の置換テーブルＳｂｏｘを用いて、次式（３６）で示される関係を有する３２ビットデータＢを求める。
Ｂ＝Ｓｂｏｘ［Ａ０］‖Ｓｂｏｘ［Ａ１］‖Ｓｂｏｘ［Ａ２］‖Ｓｂｏｘ［Ａ３］　　　　　　　　　　　　　　　　　　　　　　　　　　　…（３６）
【０１３８】
但し、データＡを上位から８ビットずつに分割したデータをそれぞれＡ０，Ａ１，Ａ２，Ａ３とする。
【０１３９】
排他的論理和演算部４１３は、データ置換部４１２よりデータＢを受け、次式（３７）に従い、データＢと第３入力データＹ２との間でビットごとの排他的論理和演算を実行し、３２ビットデータＣを求める。
Ｃ＝Ｂ（＋）Ｙ２　　　　　　　　　　　　　　　　　　　　…（３７）
【０１４０】
排他的論理和演算部４１４は、排他的論理和演算部４１３よりデータＣを受け、次式（３８）に従い、データＣと第２入力データＹ１との間でビットごとの排他的論理和演算を実行し、３２ビットデータＤを求める。
Ｄ＝Ｃ（＋）Ｙ１　　　　　　　　　　　　　　　　　　　　…（３８）
【０１４１】
排他的論理和演算部４１５は、排他的論理和演算部４１４よりデータＤを受け、次式（３９）に従い、データＤと第１入力データＹ０との間でビットごとの排他的論理和演算を実行し、３２ビットデータＥを求める。
Ｅ＝Ｄ（＋）Ｙ０　　　　　　　　　　　　　　　　　　　　　…（３９）
【０１４２】
データ連結部４１６は、排他的論理和演算部４１３および４１５よりデータＣおよびＥをそれぞれ受け、次式（４０）に従い、データＣおよびＥを連結し、６４ビットの拡大鍵ＳＫとして出力する。
ＳＫ＝Ｃ‖Ｅ　　　　　　　　　　　　　　　　　　　　　　　…（４０）
【０１４３】
次に、出力逆算出部４３０において第１〜第４出力データＺ０〜Ｚ３を算出する処理（データ変換処理）について説明する。
【０１４４】
データ回転部４１７〜４２０は、次式（４１）〜（４４）にそれぞれ従い、第２出力データＺ１、第３出力データＺ２、第４出力データＺ３および第１出力データＺ０をそれぞれ算出する。

【０１４５】
ここで、ＲＯＴＬ５（Ｙ），ＲＯＴＬ９（Ｙ），ＲＯＴＬ１３（Ｙ），ＲＯＴＬ１（Ｙ）は、データＹを上位ビット方向（左方向）にそれぞれ５ビット、９ビット、１３ビットおよび１ビットずつ巡回ビットシフトした結果を表す。
【０１４６】
以下、上述した本実施の形態における暗号化システムの効果について、従来の技術と対比しながら説明する。
図１７に示されるように、第１の従来例では、復号装置１４００において、最終逆データ変換部７０で用いられる拡大鍵ＳＫ１０を求めるために、９回分の鍵変換部の処理をオーバーヘッドとして実行する必要があった。これによって、第１の従来例の復号処理は暗号化処理と比べて大幅に処理時間がかかるという問題点がある。
【０１４７】
しかし、図６に示されるように、本実施の形態に係る復号装置１２００においては、上記オーバーヘッドに相当する処理は、鍵補正部４０における処理だけである。これは、図３に示す鍵変換部の出力算出部２３０における処理を７回繰り返し実行することに相当するが、データ回転処理の場合、ｒビット（ｒは整数）のデータ回転処理を７回繰り返す処理は、（７×ｒ）ビットのデータ回転処理を１回行うことと等価である。これにより、出力算出部２３０の処理を７回繰り返すことは、鍵補正部４０に示すように、データ回転処理を４回実行することと等価である。このとき、両者のオーバーヘッドの処理量を比較すると以下のようになる。
【０１４８】
第１の従来例では、１回の鍵変換部の処理に、５回の排他的論理和演算と、１回の置換処理と、１回のデータ回転処理とが必要である。このため、これを９回行なうと、４５回の排他的論理和演算と、９回の置換処理と、９回のデータ回転処理とがオーバーヘッドとして必要である。一方、本実施の形態に係る復号装置１２００においては、オーバーヘッドとして必要な処理は、４回のデータ回転処理のみである。
【０１４９】
即ち、第１の従来例と比べて本発明の方が上記オーバーヘッドははるかに少ないことがわかる。これは、図３に示される鍵変換部において、拡大鍵を算出する拡大鍵算出部２１０と、次段の鍵変換部への入力となる出力算出部２３０とを分離し、出力算出部２３０をデータ回転処理のみにより構成したことによる。
【０１５０】
また、データ回転処理を、ハードウェアで実装する場合には信号線の配線パターンをアレンジすることで実現できるためにデータ遅延は生じない。このため、図６に示す復号装置１２００をハードウェアで実現する場合、実質的にはオーバーヘッドはゼロとみなすことができる。また、復号装置１２００をソフトウェアで実現する場合でも、巡回ビットシフト操作は大抵のプロセッサでは高速処理可能であるため、オーバーヘッドは無視できるくらい小さなものになるといえる。
【０１５１】
次に、システムにおいて生成される拡大鍵のランダム性について検討する。暗号化時において、図３に示される鍵変換部２１〜２７内部のデータ置換部２１２の出力は、排他的論理和演算部２１３〜２１５によるデータ融合処理によって拡大鍵の全てに影響を与えるようになっている。すなわち、データ置換部２１２の置換テーブルを用いた非線形な処理の影響は、排他的論理和演算部２１３〜２１５によるデータ融合処理によって拡大鍵の全範囲に及ぶようになっている。このことは、第１の従来例の鍵変換部６０〜６９と同等の効果を奏している。また、排他的論理和部演算部２１１および２１３〜２１５で実行されるデータ融合処理には、第１〜第４入力データＸ０〜Ｘ３のすべてが入力データとして使用されている。このため、暗号鍵ＥＫの値が１ビットでも変化すると、それによって生成される拡大鍵ＳＫ０〜ＳＫ７は全て変化することがいえる。以上のことから、生成される拡大鍵には十分なランダム性が得られているといえる。
【０１５２】
さらに、出力算出部２３０内部のデータ回転部２１７〜２２０では、データ回転数として１，５，９および１３ビットがそれぞれ用いられている。これらのビット数は、データ回転部２１７の各々に入力されるビット数（３２ビット）の約数ではない。これに対して、第２の従来例では、図１７に示されるようにビット回転部６０１においてビット数８という３２の約数がデータ回転のビット数として用いられている。この違いにより、本実施の形態におけるデータ回転部では、以下に説明するような効果がある。例えば、１６進数表記で、３３３３３３３３の３２ビットデータの場合、８ビットのデータ回転を行った結果も、３３３３３３３３となりデータ回転によるデータの変化はない。１１１１１１１１や５５５５５５５５といったデータに対しても同様である。しかし、本実施の形態のように３２の約数ではないビット数によるデータ回転では、上記のようなことが起こるのは、１６進数表記でＦＦＦＦＦＦＦＦ及び００００００００のデータの場合のみであり、それ以外の入力データに対しては、出力データは入力データと異なる値になる。即ち、本実施の形態のデータ回転部の方が高いデータ撹乱性能を実現していることになる。本実施の形態では鍵変換部２１〜２７内部の出力算出部２３０に、入力データのビット数の約数ではない回転数を有するデータ回転部を用いることによって、出力算出部２３０においても、高いデータ撹乱性能を実現している。
【０１５３】
なお、出力算出部２３０では、全ての３２ビットデータブロックに対してデータ回転処理を行っているが、これは、この構成に限られるものではなく、４つのデータブロックのうち少なくとも１つに対してデータ回転処理を行えばよい。また、データ回転数も本実施の形態に示す数値に限られるものではなく、データブロックサイズの約数でなければ、その他の回転数であってもよい。
【０１５４】
さらにまた、出力算出部２３０は、データ回転処理でなくても、第１〜第４入力データＸ０〜Ｘ３に対して、各ビットの値が相互に干渉しないような固定的な変換処理を実行してもよい。例えば、データ回転部２１７の代わりに図１３に示すようなビット入れ替え部１５００を用いてもよい。ビット入れ替え部１５００は、３２ビットの第１入力データＸ０を受け、各ビットの値が相互に干渉しないようにビット位置を入れ替え、第４出力データＹ３として出力するものである。
【０１５５】
このような変換であっても、各ビットの値が相互に干渉しないため、図８に示すような鍵補正部を作成することは可能である。
また、データ回転部２１７の代わりに図１４（ａ）に示すような特定のビット値のみを反転させる、ビット反転部１５２０を用いてもよい。なお、図１４（ａ）に示すビット反転部１５２０は、図１４（ｂ）に示す排他的論理和演算部１５４０と等価である。
【０１５６】
このような変換であっても、ビット入れ替え部１５００と同様に、各ビットの値が相互に干渉しないため、図８に示すような鍵補正部を作成することは可能である。
【０１５７】
また、本実施の形態では、データ変換部として図２に示すような構成のものを用いているが、この構成に限られるものではない。
さらに、本実施の形態では、平文および暗号文のサイズを６４ビット、暗号鍵のサイズを１２８ビット、拡大鍵のサイズを６４ビットとそれぞれしているが、このデータサイズに限られるものではない。また、図１に示すデータ撹乱部１におけるデータ変換処理の段数を８段としているが、この段数に限られるものでもない。
【０１５８】
さらにまた、図３に示される鍵変換部の排他的論理和演算部２１１は、４つの３２ビットのデータのうち２つのデータに対して排他的論理和演算を行っているが、この構成に限られるものではない。排他的論理和演算部２１１は、第１〜第４入力データＸ０〜Ｘ３を連結した１２８ビットのデータから得られる少なくとも２つの任意の部分データに対して排他的論理和演算を行う構成であれば、どのような構成であってもよい。
【０１５９】
さらに、排他的論理和演算部２１３は、データ置換部２１２によって置換変換されたデータＢと第１〜第４入力データＸ０〜Ｘ３のうちのいずれかのデータとの間で排他的論理和演算を行っているが、この構成に限られるものではない。排他的論理和演算部２１３は、データＢと第１〜第４入力データＸ０〜Ｘ３を連結した１２８ビットのデータから得られる少なくとも１つの任意の部分データとの間で排他的論理和演算を実行するような構成であってもよい。
【０１６０】
さらにまた、排他的論理和演算部２１１，２１３〜２１５は、データ融合方法として排他的論理和演算を用いているが、これは加算、減算、乗算のような２つ以上の入力データから１つの出力データを算出するような処理であれば何でも良い。
【０１６１】
図１５は、本実施の形態に係る暗号化システムを応用したＤＶＤプレーヤーの外観図である。ＤＶＤプレーヤー１７００は、挿入されたＤＶＤ１７０２のコンテンツの内容の認証を行なう際に、図６に示される復号装置１２００を有することが可能であるが、この際の認証処理を高速に実行することが可能となるため、ＤＶＤ１７０２を挿入してから実際にＤＶＤ１７０２のコンテンツが再生されるまでの時間を早くすることができる。
【０１６２】
【発明の効果】
以上の説明から明らかなように、本発明に係る暗号化システムによると、第１の従来例のように拡大鍵生成処理と次段の拡大鍵生成処理の入力を求める処理とを一部分に同一の処理回路を用いて実行するのではなく、拡大鍵算出部と出力算出部とに分離し、実行する。
【０１６３】
拡大鍵算出部は、複数のデータを融合して、拡大鍵を算出する。出力算出部は、ｎ回（ｎは自然数）繰り返した処理が等価な簡易処理に変換できるようなデータ回転処理を用いる。これにより、第１の従来例のように暗号時と比べて復号時のオーバーヘッド処理が極端に大きくなることがない。よって、暗号化処理時間と復号処理時間とがほとんど変わらないようにすることができる。
【０１６４】
また第２の従来例のように、拡大鍵算出部は、単純なビット入れ替え処理ではなく、置換テーブルによる非線形な置換処理とデータ融合処理とを組み合わせた複雑な処理を用いている。このため、置換テーブルを用いた非線形処理の影響がすべての拡大鍵におよび、かつ、暗号鍵が変化すると、その変化が生成されるすべての拡大鍵におよぶという特徴を有する。このため、ランダム性の高い拡大鍵生成処理を実現することができる。
【０１６５】
以上のように、本発明に係る暗号化システムによれば、第１の従来例と第２の従来例との課題を同時に解決することができる。
以上のように本発明に係る暗号化システムにより、高速かつ安全性の高い暗号処理、認証処理などが可能になる。このため、実行速度と安全性との両面で厳しい仕様が求められるシステムなどに使用されることにより、その実用的価値は極めて高い。
【図面の簡単な説明】
【図１】本発明の実施の形態に係る暗号化装置１１００の構成の一例を示すブロック図である。
【図２】本発明の実施の形態に係るデータ変換部１１〜１８の構成の一例を示すブロック図である。
【図３】本発明の実施の形態に係る鍵変換部２１〜２７の構成の一例を示すブロック図である。
【図４】本発明の実施の形態に係る最終鍵変換部２８の構成の一例を示すブロック図である。
【図５】置換テーブルＳｂｏｘを説明するための図である。
【図６】本発明の実施の形態に係る復号装置１２００の構成の一例を示すブロック図である。
【図７】本発明の実施の形態に係る逆データ変換部３１〜３８の構成の一例を示すブロック図である。
【図８】本発明の実施の形態に係る鍵補正部４０の構成の一例を示すブロック図である。
【図９】本発明の実施の形態に係る逆鍵変換部４１〜４７の構成の一例を示すブロック図である。
【図１０】逆置換テーブルＩｎｖＳｂｏｘを説明するための図である。
【図１１】置換テーブルＳｂｏｘと逆置換テーブルＩｎｖＳｂｏｘとの関係を説明するための具体例を示す図である。
【図１２】鍵補正部１６０の構成の一例を示すブロック図である。
【図１３】ビット入れ替え部１５００を説明するための図である。
【図１４】ビット反転部１５２０とそれと等価な排他的論理和演算部１５４０とを説明するための図である。
【図１５】本実施の形態に係る暗号化システムを応用したＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｋ）プレーヤーの外観図である。
【図１６】第１の従来例に係る暗号化装置１３００の構成を示すブロック図である。
【図１７】第１の従来例に係る鍵変換部６０〜６９の構成を示すブロック図である。
【図１８】第１の従来例に係る復号装置１４００の構成を示すブロック図である。
【図１９】第１の従来例に係る逆鍵変換部９０〜９９の構成を示すブロック図である。
【図２０】第２の従来例に係る鍵変換部１０の構成を示すブロック図である。
【図２１】ＥＴＣシステムを説明するための図である。
【符号の説明】
１，５　データ撹乱部
２，６　拡大鍵生成部
３，７　逆データ撹乱部
４，８　拡大鍵逆生成部
１０，２１〜２７，６０〜６９，８０〜８９　鍵変換部
１１〜１８，５０〜５８　データ変換部
２０，１１２，３１１，６００，８００　データ分割部
２８，４８　最終鍵変換部
３１〜３８，７１〜７９　逆データ変換部
４０　鍵補正部
４１〜４７，９０〜９９　逆鍵変換部
５９　最終データ変換部
７０　最終逆データ変換部
１０１〜１０２　巡回シフト部
１０３，１１７，２１６，２８６，３１６，４１６，６０８，９０８　データ連結部
１０４　データ縮約部
１１１，２１１，２１３〜２１５，２８１，２８３〜２８５，３１７，４１１，４１３〜４１５，６０３〜６０７，９０１〜９０４，９０７，１５４０　排他的論理和演算部
１１３〜１１６，２１２，２８２，４１２，６０２，９０６　データ置換部
２１０，２８０，４１０　拡大鍵算出部
２１７〜２２０，４０１〜４０４，４１７〜４２０，６０１，９０５，１６０１〜１６０４　データ回転部
２３０　出力算出部
３１２〜３１５　逆データ置換部
４３０　出力逆算出部
５００，７００　鍵加算部
１１００，１３００　　暗号化装置
１２００，１４００　復号装置
１５００　ビット入れ替え部
１５２０　ビット反転部
１７００　ＤＶＤプレーヤー１７００
１７０２　ＤＶＤ
１８００　ＥＴＣシステム
１８０１　自動車
１８０２　車載器
１８０４　料金所アンテナ[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an encryption system, and more particularly, to an encryption system that has a small difference in processing time between encryption and decryption and can generate an extended key with high randomness.
[0002]
[Prior art]
2. Description of the Related Art In recent years, digital communication has rapidly become widespread, but a data encryption method for ensuring data confidentiality in communication is demanded from the viewpoints of healthy industrial development and protection of privacy. In addition, realization of the encryption method requires not only security but also high-speed encryption processing and easy implementation. In a general configuration of such an encryption method, data to be encrypted is divided into fixed-size blocks, and each block is subjected to data disruption processing based on a predetermined encryption key to generate a ciphertext. .
[0003]
(First conventional example)
One of such cryptosystems is the Rijndael cipher established as AES (Advanced Encryption Standard), which is a next-generation standard cipher in the United States. FIG. 16 is a diagram showing the internal configuration of an encryption device using the Rijndael encryption method. The encryption device 1300 is connected to the extended key generation unit 6 for generating and outputting the 128-bit extended keys SK0 to SK10 from the 128-bit encryption key EK, and is connected to the extended key generation unit 6. Data is disturbed by receiving keys SK0 to SK10 and repeatedly performing a predetermined data conversion process on plaintext PT of 128-bit data using extended keys SK0 to SK10 to generate 128-bit ciphertext CT. Unit 5.
[0004]
The expanded key generation unit 6 is connected to the data division unit 600 that receives the encryption key EK, divides the encryption key EK into four 32-bit data blocks D0, D1, D2, and D3 and outputs the data block. And a key conversion unit 60 that receives the data blocks D0 to D3 from the data division unit 600, performs a predetermined operation described later, generates an expanded key SK1 and four 32-bit data blocks, and outputs It is connected to the key conversion unit of the preceding stage, receives four 32-bit data blocks from the key conversion unit of the preceding stage, performs a predetermined operation to be described later, and generates an expanded key and four 32-bit data blocks. And output key conversion units 61 to 69.
[0005]
The expanded keys output from the key conversion units 61 to 69 are defined as expanded keys SK2 to SK10, respectively. Further, the key conversion unit 69 outputs four data blocks, but they are not used for other processing. Further, the expanded key generator 6 outputs the encryption key EK as the expanded key SK0.
[0006]
The data disturbing unit 5 is connected to the expanded key generation unit 6, receives the expanded key SK0, performs an exclusive OR operation for each bit between the plaintext PT and the expanded key SK0, and outputs the result. , A data conversion unit 50 connected to the key addition unit 500 and the key conversion unit 60 for converting data output from the key addition unit 500 based on the expanded key SK1, and key conversion units 61 to 68, respectively. Are connected to the data converters 51 to 58 for respectively converting the data output from the data converters based on the expanded keys SK2 to SK9, the data converter 58 and the key converter 69, and output from the data converter 58. A final data conversion unit 59 that converts data based on the expanded key SK10 and outputs a ciphertext CT.
[0007]
FIG. 17 is a diagram showing the internal configuration of each of the key conversion units 60 to 69. Each of the key conversion units 60 to 69 executes a key conversion process to be described later based on each of the 32-bit first to fourth input data X0 to X3, and outputs the first to fourth output data Y0 to Y3 and 128 bits. Is output.
[0008]
Each of the key conversion units 60 to 69 receives the fourth input data X3, cyclically shifts the input data X3 by 8 bits in the upper bit direction (left direction), and outputs a result. A data replacement unit 602 that is connected to the rotation unit 601 and receives a calculation result from the data rotation unit 601, performs a predetermined replacement process on the calculation result, and outputs the result; and a data replacement unit 602 that is connected to the data replacement unit 602. An exclusive OR operation unit 603 that receives the replacement result, performs an exclusive OR operation for each bit between the replacement result and a predetermined 32-bit constant Rcon, and outputs data T. .
[0009]
Each of the key conversion units 60 to 69 is connected to the exclusive OR operation unit 603, receives the first input data X0 and the data T output from the exclusive OR operation unit 603, and receives the first input data X0 and An exclusive-OR operation unit 604 that performs an exclusive-OR operation for each bit with the data T and outputs first output data Y0, and is connected to the exclusive-OR operation unit 604, and outputs the second input data. Upon receiving X1 and the result of the operation performed by the exclusive OR operation unit 604, an exclusive OR operation is performed for each bit between the second input data X1 and the operation result, and the second output data Y1 is output. An exclusive OR operation unit 605 is further included.
[0010]
Each of the key conversion units 60 to 69 is connected to the exclusive OR operation unit 605, receives the third input data X2 and the operation result of the exclusive OR operation unit 605, and receives the third input data X2 and the operation result. An exclusive OR operation is performed for each bit with the result, and an exclusive OR operation unit 606 that outputs the third output data Y2 is connected to the exclusive OR operation unit 606, and the fourth input data X3 And the operation result of the exclusive OR operation unit 606, perform an exclusive OR operation for each bit between the fourth input data X3 and the operation result, and output the fourth output data Y3 And a data connection unit 608 connected to the exclusive OR operation units 607 and 604 to 607 and connecting the first to fourth output data Y0 to Y3 to output the expanded key SK. The details of the processing executed by each unit will be described later in the description of the encryption processing.
[0011]
Hereinafter, the encryption processing of the Rijndael encryption method performed by the encryption device 1300 will be briefly described. As shown in FIG. 16, the expanded key generation unit 6 outputs the encryption key EK as it is to the key addition unit 500 inside the data disturbance unit 5 as the expanded key SK0. Key addition section 500 executes an exclusive OR operation for each bit between plaintext PT and expanded key SK0, and outputs the result to data conversion section 50. The data dividing unit 600 divides the encryption key EK into four data blocks D0, D1, D2, and D3 in 32-bit units from the upper bits, and outputs the data blocks to the key conversion unit 60.
[0012]
The data input to the data conversion unit 50 is sequentially subjected to data conversion processing in each data conversion unit in the order from the data conversion unit 50 to the data conversion unit 58, and finally the result processed by the final data conversion unit 59 is encrypted. Output as sentence CT.
[0013]
Data conversion units 50 to 58 perform data conversion processing based on expanded keys SK1 to SK9, respectively. Further, final data conversion section 59 performs data conversion processing based on expanded key SK10. The expanded keys SK1 to SK10 are generated in the key converters 60 to 69 inside the expanded key generator 6 and supplied to the data converters 50 to 58 and the final data converter 59 of the data disturbance unit 5, respectively. That is, the data disturbing unit 5 executes the following one-stage processing group for ten stages to generate a ciphertext CT.
[0014]
Each of the key conversion units 60 to 69 receives the first to fourth input data X0 to X3 (each of 32 bits), executes a key conversion process, expands the key SK (128 bits), and outputs the first to fourth output data. The data Y0 to Y3 are output. The data rotation unit 601, the data replacement unit 602, and the exclusive OR operation unit 603 calculate the data T by executing an operation represented by the following equation (1) on the fourth input data X3.
T = Rcon (+) Perm (ROTL8 (X3)) (1)
[0015]
Here, ROTL8 (X) represents the result of cyclically shifting data X by 8 bits in the upper bit direction (leftward). Perm (X) indicates a result of performing a predetermined replacement process on the data X. The operator “(+)” represents an exclusive OR operation for each bit. The constant Rcon is 32-bit fixed value data different in each of the key conversion units 60 to 69.
[0016]
The exclusive OR operation units 604 to 607 execute the operations represented by the following equations (2) to (5) using the data T thus obtained, thereby obtaining the first to fourth output data. Y0 to Y3 are obtained respectively.

[0017]
The data linking unit 608 obtains an expanded key SK having a relationship represented by the following equation (6). The operator “$” represents data concatenation. That is, the following equation (6) indicates that a 128-bit expanded key SK can be obtained by connecting the first to fourth output data Y0 to Y3 each having 32 bits.
[0018]
SK = Y0‖Y1‖Y2‖Y3 (6)
Each of the key conversion units 60 to 69 outputs the expanded key SK obtained as a result of the above processing and the first to fourth output data Y0 to Y3.
[0019]
FIG. 18 is a diagram showing the internal configuration of a decryption device using the Rijndael encryption method. The decryption device 1400 is connected to the extended key inverse generation unit 8 that generates the extended keys SK10 to SK0 of 128 bits in the reverse order from the encryption key EK from the 128-bit encryption key EK, and the extended key inverse generation unit 8 The extended keys SK10 to SK0 are received from the extended key inverse generation unit 8, and a predetermined inverse data disturbance process is performed on the 128-bit cipher text CT using the extended keys SK10 to SK0 to output a decrypted text DT. And an inverse data disturbance unit 7.
[0020]
The extended key inverse generation unit 8 receives the encryption key EK, and divides the data into four data blocks by the upper 32 bits at a time. The data division unit 800 is connected to the data division unit 800 and receives the four blocks. And a key conversion unit 80 that outputs four 32-bit data blocks, and each is connected to the preceding key conversion unit, receives four 32-bit data blocks from the previous key conversion unit, and receives them. A predetermined operation is performed to generate four 32-bit data blocks in a subsequent key conversion unit, which are connected to the key conversion units 81 to 88 for output and the key conversion unit 88, and are output from the key conversion unit 88 to the four 32-bit data blocks. And a key conversion unit 89 for generating and outputting an expanded key SK10 and four 32-bit data blocks.
[0021]
The predetermined operations executed by key conversion units 80 to 89 are the same as the predetermined operations executed by key conversion units 60 to 69, respectively. Therefore, each of key conversion units 80 to 89 is shown in FIG. It has the same configuration as the key conversion unit. Therefore, detailed description thereof will not be repeated here.
[0022]
However, unlike the key conversion units 60 to 68, the key conversion units 80 to 88 do not output the expanded keys SK1 to SK9. Therefore, each of the key conversion units 80 to 88 may have a configuration in which the data connection unit 608 is removed from the configuration of the key conversion unit shown in FIG.
[0023]
The expanded key inverse generation unit 8 is connected to the key conversion unit 89, receives the four 32-bit data blocks output from the key conversion unit 89, performs an inverse key conversion process (described later) on them, and expands the expanded keys SK9 and SK4. And a reverse key converter 90 for generating and outputting two 32-bit data blocks, each of which is connected to the preceding reverse key converter and receives four 32-bit data blocks from the preceding reverse key converter. And an inverse key conversion section 91 to 99 for generating an expanded key and four 32-bit data blocks and outputting the same.
[0024]
The expanded keys output from the reverse key converters 90 to 99 are expanded keys SK9 to SK0, respectively. The reverse key converter 99 outputs four data blocks, which are not used for other processing.
[0025]
The inverse data disturber 7 is connected to the key converter 89, receives the expanded key SK10 from the key converter 89, and uses the ciphertext CT and the expanded key SK10 to perform the reverse of the conversion process performed by the final data converter 59. It is connected to a final inverse data converter 70 and an inverse key converter 90, which performs a conversion process and outputs a processing result, and outputs the processing result from the final inverse data converter 70 and the inverse key converter 90. And an extended key SK9, respectively, and performs an inverse conversion process of the conversion process executed by the data conversion unit 58, and outputs a processing result.
[0026]
The inverse data disturber 7 is connected to the inverse data converters at the preceding stage and connected to the inverse key converters 91 to 98, respectively, and receives the expanded keys SK8 to SK1 from the inverse key converters 91 to 98, respectively. The inverse data conversion units 72 to 79, which execute the inverse conversion processes of the conversion processes executed by the conversion units 57 to 50 and output the processing results, are connected to the inverse data conversion unit 79 and the inverse key conversion unit 99, respectively. The key addition unit 700 receives the processing result and the expanded key SK0 from the data conversion unit 79 and the inverse key conversion unit 99, respectively, performs a reverse conversion process of the conversion process performed by the key addition unit 500, and outputs a decrypted text DT. Further included.
[0027]
FIG. 19 is a diagram showing the internal configuration of each of the reverse key conversion units 90 to 99. Each of the reverse key conversion units 90 to 99 performs the reverse of the key conversion process performed by each of the key conversion units 60 to 69 and 80 to 89 based on the 32-bit first to fourth input data Y0 to Y3. The reverse key conversion process corresponding to the conversion is executed, and the first to fourth output data Z0 to Z3 and the 128-bit expanded key SK are output.
[0028]
Each of the reverse key conversion units 90 to 99 performs an exclusive OR operation for each bit between the third input data Y2 and the fourth input data Y3, and outputs the fourth output data Z3. An operation unit 901, an exclusive OR operation unit 902 that performs an exclusive OR operation for each bit between the second input data Y1 and the third input data Y2 and outputs third output data Z2, An exclusive OR operation unit 903 that performs an exclusive OR operation for each bit between the one input data Y0 and the second input data Y1 and outputs the second output data Z1.
[0029]
Each of the inverse key conversion units 90 to 99 is connected to the exclusive OR operation unit 901, receives the output of the exclusive OR operation unit 901, and converts the output by 8 bits in the upper bit direction (left direction). A data rotator 905 that shifts and outputs a result, and is connected to the data rotator 905, receives a calculation result from the data rotator 905, performs a predetermined replacement process on the calculation result, and outputs a result. And further.
[0030]
Each of the reverse key conversion units 90 to 99 is connected to the data replacement unit 906, receives a replacement result from the data replacement unit 906, and receives the replacement result and a 32-bit predetermined by each of the reverse key conversion units 90 to 99. An exclusive-OR operation unit 907 that executes an exclusive-OR operation for each bit with the constant Rcon and outputs data T, and is connected to the exclusive-OR operation unit 907 and is connected to the exclusive-OR operation unit 907. An exclusive OR operation unit 904 that receives the data T, performs an exclusive OR operation for each bit between the first input data Y0 and the data T, and outputs the first output data Z0; And a data linking unit 908 connected to the sum calculating units 904 to 901 to link the first to fourth output data Z0 to Z3 and output the expanded key SK. Details of the processing executed by each unit will be described in the following description of the decoding processing.
[0031]
Hereinafter, the decryption process of the Rijndael encryption method performed by the decryption device 1400 will be briefly described. As shown in FIG. 18, the data dividing unit 800 divides the 128-bit encryption key EK into four data blocks, each of which includes 32 bits from the upper bits. Based on these four data blocks, key conversion processing is sequentially performed in key conversion units 80 to 89. As described above, the key conversion process executed by the key conversion units 80 to 89 is the same as the key conversion process executed by the key conversion units 60 to 69 shown in FIG. However, the expanded keys SK1 to SK9 generated by the key conversion units 80 to 88 are not used for the subsequent processing.
[0032]
The key conversion unit 89 outputs the generated expanded key SK to the final inverse data conversion unit 70 as the expanded key SK10. Thereafter, the reverse key conversion units 90 to 99 sequentially generate the expanded keys SK9 to SK0, respectively. In parallel with the processing executed by the key conversion unit 89 and the reverse key conversion units 90 to 99, the final reverse data conversion unit 70, the reverse data conversion units 71 to 79, and the key addition unit 700 transmit the expanded keys SK10 to SK0 respectively. Based on this, a predetermined process is executed. Key addition section 700 finally generates and outputs decrypted text DT.
[0033]
Next, the processing executed by the inverse data disturbance unit 7 will be described in more detail. The process executed by the inverse data disturbing unit 7 corresponds to the inverse conversion of the process executed by the data disturbing unit 5 of the encryption device 1300 shown in FIG. That is, first, the final inverse data conversion unit 70 performs an inverse conversion process of the process executed by the final data conversion unit 59 using the expanded key SK10. Thereafter, the inverse data conversion units 71 to 79 execute the inverse conversion processes of the processes executed by the data conversion units 58 to 50, respectively, using the expanded keys SK9 to SK1. Finally, the key adding unit 700 performs an inverse conversion process of the process performed by the key adding unit 500 using the expanded key SK0, and generates and outputs a decrypted text DT. As described above, at the time of decryption, it is necessary to generate an expanded key in the reverse order of the encryption.
[0034]
The reverse key conversion processing executed by each of the reverse key conversion units 90 to 99 shown in FIG. 19 will be described.
The exclusive OR operation units 901 to 903 obtain the second to fourth output data Z1 to Z3 by executing the operations represented by the following equations (7) to (9), respectively.

[0035]
The data rotation unit 905, the data replacement unit 906, and the exclusive OR operation unit 907 calculate the data T by executing the operation represented by the following equation (10) on the fourth output data Z3.
T = Rcon (+) Perm (ROTL8 (Z3)) (10)
[0036]
The exclusive OR operation unit 904 obtains first output data Z0, which is an exclusive OR for each bit of the data T and the first input data Y0, according to the following equation (11).
Z0 = T (+) Y0 (11)
[0037]
The data linking unit 908 combines the first to fourth output data Z0 to Z3 according to the following equation (12) to generate a 128-bit expanded key SK.
SK = Z0‖Z1‖Z2‖Z3 (12)
[0038]
Each of the reverse key conversion units 90 to 99 outputs the expanded key SK obtained as a result of the above processing and the first to fourth output data Z0 to Z3.
[0039]
As shown in FIG. 17, according to the present method, the data replacement unit 602 executes a non-linear process at the time of encryption. The influence of the data subjected to the non-linear processing affects the extended key SK and all output data via the exclusive OR operation units 604 to 607. For this reason, this method can realize the generation of an extended key with high randomness, while performing a simple key conversion process.
[0040]
(Second conventional example)
As a second conventional example, there is a DES (Data Encryption Standard) which is a US standard encryption. FIG. 20 is a diagram showing a configuration of the key conversion unit 10 used in the encryption device based on the DES system. Key conversion section 10 includes cyclic shift sections 101 and 102, data link section 103 connected to cyclic shift sections 101 and 102, and data reduction section 104 connected to data link section 103.
[0041]
Next, the operation of the key conversion unit 10 will be briefly described. The cyclic shift unit 101 performs a cyclic bit shift process of a predetermined number of bits on the 28-bit first input data to generate first cyclic shift data. The cyclic shift unit 102 performs a cyclic bit shift process of a predetermined number of bits on the 28-bit second input data to generate second cyclic shift data. The first cyclic shift data and the second cyclic shift data are output from the key conversion unit 10 as first output data and second output data, respectively. On the other hand, data linking section 103 links the first cyclic shift data and the second cyclic shift data into 56-bit data, and outputs the data to data reduction section 104. Data reduction section 104 extracts 48-bit data at a predetermined bit position from the input data, and outputs an expanded key.
[0042]
According to the encryption device based on the DES system, since the generation of the expanded key is basically realized by the data shift process and the data extraction process, when the expanded key is generated at the time of encryption and decryption, The same extended key generation processing can be applied. For this reason, unlike the first conventional example, the amount of processing required to generate an expanded key does not differ between encryption and decryption.
[0043]
However, these conventional examples have the following problems. In the first conventional encryption method, there is a problem that it takes more time to generate an expanded key at the time of decryption than at the time of encryption. The reason will be described below. As shown in FIG. 16, in the data disturbing unit 5 of the encryption device 1300, the encryption key EK is used as it is in the key adding unit 500 that executes the processing first. Therefore, the data disturbance unit 5 and the expanded key generation unit 6 can execute their respective processes in parallel.
[0044]
On the other hand, as shown in FIG. 18, in the inverse data disturbing unit 7 of the decryption device 1400, the final inverse data conversion unit 70 that executes processing first uses the expanded key SK10 supplied from the expanded key inverse generation unit 8. Must. In order to obtain the expanded key SK10, it is necessary to execute a key conversion process in the key conversion units 80 to 89. That is, the final reverse data conversion unit 70 can start the process only after the key conversion process has been performed ten times. For this reason, the decryption process takes longer than the encryption process by the waiting time of the key conversion process.
[0045]
As described above, when the processing time is extremely different between the encryption processing and the decryption processing, the following problem occurs. For example, consider a communication system in which data is exchanged between a transmitter and a receiver in real time. In the case where the encryption device 1300 and the decryption device 1400 described in the first conventional example are used in such a communication system, even if the transmitter can encrypt and transmit data in real time, the receiver performs decryption. Since it takes time, the cipher text cannot be decrypted in real time. For this reason, the receiver needs a buffer for temporarily storing the received encrypted data, which leads to an increase in the cost of the receiver.
[0046]
Also, as shown in FIG. 21, in an ETC (Electronic Toll Collection) system 1800 attached to a tollgate on a highway, data communication is performed between an onboard unit 1802 attached to an automobile 1801 and a tollgate antenna 1804, Perform mutual authentication. Since the automobile 1801 normally passes through the gate of the ETC system 1800 without stopping, the ETC system 1800 requires a high response speed. Therefore, when the conventional encryption device 1300 and conventional decryption device 1400 are used in the ETC system 1800, there is a problem that high-speed hardware is required.
[0047]
On the other hand, the second conventional example solves the problem that "the time required for generating an expanded key at the time of decryption is longer than that at the time of encryption" as in the first conventional example. However, there is a problem that the randomness of the expanded key is insufficient.
[0048]
In the second conventional example, data obtained by extracting a bit at a predetermined position from a concatenation of cyclically bit-shifted data is used as an extended key. That is, since data fusion processing, replacement processing, and the like are not used in the processing for generating an expanded key, the expanded key does not have sufficient randomness. As a result, in the extended key generation process of the second conventional example, there is a problem that a low security key called a weak key exists (for a weak key based on the DES method, see Non-Patent Document 1, for example).
[0049]
[Non-patent document 1]
Alfred J. et al. Menezes, Paul C.M. van Oorschot, Scott A. Vanstone, "Handbook of Applied Cryptography", CRC Press, 1997, pp. 256-pp. 259
[0050]
Therefore, the present invention has been made in view of such a situation, and an object of the present invention is to provide an encryption system capable of reducing a difference in processing time between encryption and decryption.
[0051]
It is another object of the present invention to provide an encryption system that can generate an extended key with high randomness and high security.
[0052]
[Means for Solving the Problems]
In order to achieve the above object, an extended key generation device according to the present invention is an extended key generation device that receives encryption key data as input, and outputs a plurality of expansion key data, wherein the encryption key data includes a plurality of partial keys. A data dividing unit that divides the data into a plurality of pieces of partial key data, and a plurality of key converting units that are connected in a row to output the plurality of expanded key data. Receives the plurality of partial key data or the plurality of output data from the key conversion means at the preceding stage as a plurality of input data, and for each of the plurality of input data, a fixed conversion in which the value of each bit does not interfere with each other. An output calculation unit that executes processing and calculates a plurality of output data to a subsequent key conversion unit, and an expanded key calculation unit that calculates the expanded key data by fusing the plurality of input data. And it features.
[0053]
As described above, the output calculation unit and the extended key calculation unit can be separated from each other, and the processing in the output calculation unit is a fixed conversion process in which the value of each bit does not interfere with the input data. And a processing unit equivalent to the processing of the output calculation unit. Therefore, at the time of decryption, after the data is generated by the equivalent processing unit described above, the inverse conversion process of the process performed by the key conversion unit is sequentially performed, whereby the expanded key used for decryption of the ciphertext data is obtained. Data can be sequentially generated. Therefore, it is not necessary to execute the processes of the output calculation units of a predetermined number of stages at the time of decryption, and it is possible to reduce the difference in processing time between the time of encryption and the time of decryption.
[0054]
Further, since the expanded key calculation unit calculates expanded key data by fusing a plurality of partial data, it is possible to provide an expanded key with high randomness and high security.
[0055]
For example, the output calculation unit performs a cyclic shift operation on at least one of the plurality of input data by a predetermined number of bits, and the predetermined number of bits is subjected to the cyclic shift operation. It is not a divisor of the number of bits of the input data.
[0056]
By making the number of bits of the cyclic shift operation not a divisor of the input data to be subjected to the cyclic shift operation in this manner, even if the input data is subjected to the cyclic shift operation a plurality of times, the same as the original input data is obtained. Input data is less likely to be generated. Therefore, it is possible to provide an extended key having high randomness and high security.
[0057]
Further, the expanded key calculation unit executes a replacement process based on a predetermined replacement table with respect to an intermediate process in the fusion of the plurality of input data and at least one of the plurality of input data.
[0058]
By inserting a non-linear process such as a replacement process, an extended key with high randomness and high security can be provided.
The present invention can be implemented not only as such an extended key generation device, but also as an encryption device including such an extended key generation device, or encrypted using such an extended key generation device. It can also be realized as a decryption device that decrypts ciphertext data. Further, the present invention can be realized as an encryption system including an encryption device and a decryption device, and can also be realized as an extended key generation method or a program for causing a computer to function as an extended key generation device. Needless to say, such a program can be widely distributed via a recording medium such as a CD-ROM (Compact Disk-Read Only Memory) or a transmission medium such as the Internet.
[0059]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of an encryption system according to the present invention will be described in detail with reference to the drawings. The encryption system includes an encryption device and a decryption device described below.
[0060]
FIG. 1 is a block diagram illustrating an example of a configuration of an encryption device according to an embodiment of the present invention.
The data encryption device 1100 is based on the 128-bit encryption key EK, and generates an expanded key generation unit 2 that generates eight expanded keys SK0 to SK7 each having 64 bits. Receiving the expanded keys SK0 to SK7 from the generating unit 2, the data is disturbed by repeatedly executing a predetermined data conversion process on the plaintext PT using the expanded keys SK0 to SK7, thereby generating a 64-bit ciphertext CT. And a data disturbance unit 1.
[0061]
The data disturbance unit 1 is configured by connecting eight data conversion units 11 to 18 in cascade. The expanded key generation unit 2 is configured by connecting a data division unit 20, seven key conversion units 21 to 27, and one final key conversion unit 28 in a column.
[0062]
FIG. 2 is a block diagram illustrating an internal configuration of the data conversion units 11 to 18. Each of the data conversion units 11 to 18 is connected to one of the key conversion units 21 to 27 and the final key conversion unit 28, receives the expanded key SK (one of SK0 to SK7) from any of them, and receives the expanded key SK. An exclusive-OR operation for executing a bit-by-bit exclusive-OR operation between the input data X and the input data X, and an exclusive-OR operation unit 111 connected to the exclusive-OR operation unit 111 for outputting data A; A data division unit 112 that receives the data A from the unit 111 and divides the data A into four data blocks B0 to B3.
[0063]
Each of the data conversion units 11 to 18 is connected to the data division unit 112, receives the data blocks B0 to B3 from the data division unit 112, and replaces the data blocks B0 to B3 with the data blocks C0 to C3 by a method described later. The data replacement units 113 to 116 are connected to the data replacement units 113 to 116, receive the data blocks C0 to C3 from the data replacement units 113 to 116, connect the data blocks C0 to C3 by a method described later, and output the data Y. And a data connection unit 117.
[0064]
FIG. 3 is a block diagram showing the internal configuration of the key conversion units 21 to 27. Each of the key conversion units 21 to 27 receives the first to fourth input data X0 to X3 of 32 bits from the data division unit 20 or the preceding key conversion unit, and receives 64 bits from the first to fourth input data X0 to X3. An expanded key calculation unit 210 for calculating a bit expansion key SK, and first to fourth output data to be input to the next-stage key conversion unit or the final key conversion unit 28 based on the first to fourth input data X0 to X3 An output calculation unit 230 for calculating Y0 to Y3.
[0065]
The expanded key calculation unit 210 performs an exclusive OR operation for each bit between the second input data X1 and the fourth input data X3, and performs an exclusive OR operation unit 211 for calculating data A of 32 bits. Are connected to the exclusive OR operation unit 211, receive the data A from the exclusive OR operation unit 211, and are connected to the data replacement unit 212 that replaces the data A with the data B by a method described later. , An exclusive OR operation unit 213 that receives data B from the data replacement unit 212, performs an exclusive OR operation for each bit between the data B and the third input data X2, and calculates data C. .
[0066]
The expanded key calculation unit 210 is connected to the exclusive OR operation unit 213, receives the data C from the exclusive OR operation unit 213, and performs an exclusive OR operation for each bit between the data C and the second input data X1. An exclusive-OR operation unit 214 for executing an operation and calculating data D, and connected to the exclusive-OR operation unit 214, receiving the data D from the exclusive-OR operation unit 214, receiving the data D and the first input data An exclusive OR operation unit 215 that performs an exclusive OR operation for each bit with X0 to calculate data E, and is connected to the exclusive OR operation units 213 and 215, and is connected to the exclusive OR operation unit. And a data linking unit 216 for receiving data C and data E from 213 and 215, respectively, and linking the data C and data E to output a 64-bit expanded key SK.
[0067]
The output calculation unit 230 cyclically shifts the first input data X0 by one bit in the lower bit direction (right direction) and outputs the fourth input data X3 as a fourth output data Y3. A data rotator 218 that cyclically shifts by 5 bits in the direction (rightward) and outputs the first output data Y0, and cyclically shifts the third input data X2 by 9 bits in the lower bit direction (rightward), A data rotator 219 that outputs the second output data Y1 and a data rotator 220 that cyclically shifts the fourth input data X3 by 13 bits in the lower bit direction (rightward) and outputs the third output data Y2. Including.
[0068]
FIG. 4 is a block diagram showing the internal configuration of the final key conversion unit 28. The final key conversion unit 28 has a configuration in which the output calculation unit 230 is removed from the configuration of the key conversion unit shown in FIG. The final key conversion unit 28 includes an expanded key calculation unit 280.
[0069]
The expanded key calculation unit 280 includes an exclusive OR operation unit 281, a data replacement unit 282 connected to the exclusive OR operation unit 281, an exclusive OR operation unit 283 connected to the data replacement unit 282, The exclusive OR operation unit 284 connected to the exclusive OR operation unit 283, the exclusive OR operation unit 285 connected to the exclusive OR operation unit 284, and the exclusive OR operation units 283 and 285 And a data connection unit 286 connected thereto.
[0070]
The exclusive OR operation units 281, 283 to 285, the data replacement unit 282, and the data concatenation unit 286 are configured by the exclusive OR operation units 211, 213 to 215 of the expanded key calculation unit 210 shown in FIG. The configurations of the unit 212 and the data connection unit 216 are the same. Therefore, detailed description thereof will not be repeated here.
[0071]
Hereinafter, the operation of the encryption device 1100 will be described with reference to FIGS.
The overall processing flow of the encryption device 1100 shown in FIG. 1 will be described. The data division unit 20 inside the expanded key generation unit 2 divides the 128-bit encryption key EK into four data blocks of 32 bits each from the higher order, and outputs the data block to the key conversion unit 21. The key conversion unit 21 performs a key conversion process described later on the four input blocks, and calculates a 64-bit expanded key SK0 and four 32-bit data blocks. The key conversion unit 21 outputs the expanded key SK0 to the data conversion unit 11, and outputs the calculated four data blocks to the key conversion unit 22 in the next stage.
[0072]
The data conversion unit 11 performs a data conversion process described later on the 64-bit plaintext PT based on the input expanded key SK0, and calculates 64-bit data. The data converter 11 outputs the calculated data to the data converter 12 at the next stage.
[0073]
The key conversion unit 22 performs the same key conversion processing as that performed by the key conversion unit 21 on the four 32-bit data blocks input from the key conversion unit 21 at the preceding stage, and expands the expanded key SK1 and the four 32-bit data. Calculate the block. The key conversion unit 22 outputs the expanded key SK1 to the data conversion unit 12, and outputs the calculated four data blocks to the key conversion unit 23 at the next stage.
[0074]
The data conversion unit 12 performs the same data conversion processing as that performed by the data conversion unit 11 on the data input from the data conversion unit 11 at the preceding stage based on the input expanded key SK1, and calculates 64-bit data. I do. The data converter 12 outputs the calculated data to the data converter 13 at the next stage.
[0075]
Hereinafter, similar processing is executed in the key conversion units 23 to 27 and the data conversion units 13 to 17. The final key conversion unit 28 performs a later-described final key conversion process on the four data blocks input from the key conversion unit 27, obtains an expanded key SK7, and outputs it to the data conversion unit 18.
[0076]
The data conversion unit 18 performs the same data conversion processing as that of the data conversion unit 11 on the input data from the data conversion unit 17 based on the expanded key SK7, calculates and outputs a 64-bit cipher text CT.
[0077]
The data conversion processing executed by each of the data conversion units 11 to 18 shown in FIG. 2 will be described. Each of the data converters 11 to 18 performs a data conversion process on the 64-bit input data X based on the 64-bit expanded key SK, and outputs 64-bit output data Y. The input data X is either the plaintext PT or data output from the preceding data conversion unit. The expanded key SK is one of SK0 to SK7 output from the key conversion units 21 to 28, respectively.
[0078]
The exclusive OR operation unit 111 performs an exclusive OR operation for each bit of the input data X and the expanded key SK represented by the following equation (13) to obtain 64-bit data A.
A = X (+) SK (13)
[0079]
The data division unit 112 receives the data A from the exclusive OR operation unit 111, and divides the data A into four data blocks B0, B1, B2, and B3 each of 16 bits from the four upper bits. That is, a relationship represented by the following equation (14) is established between the data A and the data blocks B0 to B3.
A = B0‖B1‖B2‖B3 (14)
[0080]
The data division unit 112 outputs the four data blocks B0 to B3 to the data replacement units 113 to 116, respectively.
[0081]
The data replacing unit 113 obtains 16-bit data C0 based on the 16-bit data B0 input from the data dividing unit 112 according to the following equation (15).
C0 = Sbox [B0h] ‖Sbox [B0l] (15)
[0082]
Here, Sbox represents a replacement table. The replacement table Sbox is composed of an array having 256 elements as shown in FIG. 5, and each element is composed of 8-bit data. B0h represents upper 8 bits of data B0, and B01 represents lower 8 bits of data B0.
[0083]
That is, Sbox [B0h] represents the B0h-th element of the replacement table Sbox, and Sbox [B0l] represents the B01-th element of the replacement table Sbox. Data C0 is data created by connecting these two elements.
[0084]
The replacement table Sbox used here is described in “S-box construction method considering security against known block cipher attacks” by Shiho Morai, Kazuma Aoki, Masatoshi Kanda, Yoichi Takashima, Tsutomu Matsumoto (electronic information communication Engineers technical report, ISEC98-13) "(translation: Shiho Moriai, Kazumaro Aoki, Masayuki Kanda, Youichi Takashima, Kazuo Ohta` `S-box design considering the security against known attackson block ciphers '', technical report of IEICE, Vol.98 No.48, ISEC98-13, (in Japan), (Jully, 1998). Is used. However, the replacement table Sbox may be something other than this, and is not limited to this.
[0085]
The data replacement units 114 to 116 receive the data blocks B1 to B3 from the data division unit 112, find and output the data blocks C1 to C3, respectively. The processing executed in each of data replacement sections 114 to 116 is the same as the processing executed in data replacement section 113, and thus detailed description thereof will not be repeated here.
[0086]
The data connection unit 117 receives the data blocks C0 to C3 from the data replacement units 113 to 116, connects the data blocks C0 to C3 according to the following equation (16), obtains 64-bit data Y, and outputs the data.
Y = C0‖C1‖C2‖C3 (16)
[0087]
A key conversion process executed by each of the key conversion units 21 to 27 shown in FIG. 3 will be described. Each of the key conversion units 21 to 27 executes an expanded key calculation process and an output calculation process, which will be described later, on the first to fourth input data X0 to X3, and outputs the expanded key SK and the first to fourth output data. Y0 to Y3 are calculated and output. The first to fourth input data X0 to X3 are four 32-bit data blocks output from the data division unit 20 or the key conversion unit at the preceding stage. The expanded key SK is one of SK0 to SK6 input to the data conversion units 11 to 17, respectively.
[0088]
The expanded key calculation process executed by the expanded key calculator 210 will be described.
The exclusive OR operation unit 211 performs an exclusive OR operation for each bit between the second input data X1 and the fourth input data X3 according to the following equation (17), and obtains 32-bit data A. .
A = X1 (+) X3 (17)
[0089]
The data replacement unit 212 receives the data A from the exclusive-OR operation unit 211 and uses the same replacement table Sbox as the replacement table used in the data conversion units 11 to 18 to generate a 32-bit data represented by the following equation (18). Find data B.

[0090]
However, the values of the data obtained by dividing the data A into 8 bits at a time from the high order are A0, A1, A2, and A3, respectively.
[0091]
The exclusive OR operation unit 213 receives the data B from the data replacement unit 212, and performs an exclusive OR operation for each bit between the data B and the third input data X2 according to the following equation (19): Find 32-bit data C.
C = B (+) X2 (19)
[0092]
The exclusive OR operation unit 214 receives the data C from the exclusive OR operation unit 213, and performs an exclusive OR operation for each bit between the data C and the second input data X1 according to the following equation (20). Execute to obtain 32-bit data D.
D = C (+) X1 (20)
[0093]
The exclusive OR operation unit 215 receives the data D from the exclusive OR operation unit 214, and performs an exclusive OR operation for each bit between the data D and the first input data X0 according to the following equation (21). Execute to obtain 32-bit data E.
E = D (+) X0 (21)
[0094]
The data linking unit 216 receives the data C and E from the exclusive OR operation units 213 and 215, respectively, links the data C and E according to the following equation (22), and outputs it as a 64-bit expanded key SK.
SK = C‖E (22)
[0095]
Next, a process (output calculation process) of calculating the first to fourth output data Y0 to Y3 in the output calculation unit 230 will be described.
[0096]
The data rotation units 217 to 220 calculate the fourth output data Y3, the first output data Y0, the second output data Y1, and the third output data Y2, respectively, according to the following equations (23) to (26).

[0097]
Here, ROTR1 (X), ROTR5 (X), ROTR9 (X), and ROTR13 (X) indicate that data X is a cyclic bit of 1 bit, 5 bits, 9 bits, and 13 bits each in the lower bit direction (right direction). Indicates the shifted result.
[0098]
The final key conversion processing executed by the final key conversion unit 28 shown in FIG. 4 will be described. The expanded key calculation unit 280 of the final key conversion unit 28 calculates the expanded key SK7 by performing the same operation as that of the expanded key calculation unit 210 shown in FIG. Therefore, detailed description thereof will not be repeated here.
[0099]
FIG. 6 is a block diagram illustrating an example of a configuration of the decoding device according to the embodiment of the present invention.
The data decryption apparatus 1200 includes, based on the 128-bit encryption key EK, an extended key inverse generation unit 4 that generates eight extended keys SK7 to SK0 each having 64 bits in the reverse order of the encryption, and It is connected to the key inverse generation unit 4, receives the extended keys SK7 to SK0 from the extended key inverse generation unit 4, and repeatedly executes an inverse data conversion process (described later) on the ciphertext CT using the extended keys SK7 to SK0. And an inverse data disturbance unit 3 for generating a decrypted text DT.
[0100]
The reverse data disturbance unit 3 is configured by connecting eight reverse data conversion units 31 to 38 in cascade. The expanded key reverse generation unit 4 is configured by connecting a key correction unit 40, seven reverse key conversion units 41 to 47, and one final key conversion unit 48 in a cascade.
[0101]
FIG. 7 is a block diagram showing the internal configuration of the inverse data converters 31 to 38. Each of the inverse data converters 31 to 38 receives 64-bit input data Y (ciphertext CT or output data of the preceding inverse data converter) and divides the data Y into four data blocks A0 to A3. And an inverse data replacement unit 312 connected to the unit 311 and the data division unit 311 to receive the data blocks A0 to A3 from the data division unit 311 and replace the data blocks A0 to A3 with the data blocks B0 to B3 by a method described later. 315.
[0102]
Each of the inverse data conversion units 31 to 38 is connected to the inverse data replacement units 312 to 315, receives the data blocks B0 to B3 from the inverse data replacement units 312 to 315, and connects and outputs the data blocks B0 to B3. The connection unit 316 is connected to the data connection unit 316, receives the connection result output from the data connection unit 316, performs an exclusive OR operation on each bit between the connection result and the expanded key SK, An exclusive OR operation unit 317 for outputting Z.
[0103]
FIG. 8 is a block diagram showing the internal configuration of the key correction unit 40. The key correction unit 40 receives the 32-bit first to fourth input data I0 to I3, executes a process described later, and calculates first to fourth output data J0 to J3. The key correction unit 40 cyclically shifts the first input data I0 by 51 bits in the lower bit direction (rightward) and outputs the second input data I1 as lower output bits. A data rotator 402 that performs a cyclic bit shift by 47 bits in the direction (right direction) and outputs the result as the third output data J2; and a cyclic bit shift of the third input data I2 by 43 bits in the lower bit direction (right direction). A data rotator 403 that outputs the fourth output data J3 as a fourth output data J3 and a data rotator 404 that cyclically shifts the fourth input data I3 by 55 bits in the lower bit direction (rightward) and outputs the same as the first output data J0. Including.
[0104]
FIG. 9 is a block diagram showing the internal configuration of the reverse key converters 41 to 47. Each of the reverse key conversion units 41 to 47 receives the first to fourth input data Y0 to Y3 of 32 bits from the key correction unit 40 or the preceding reverse key conversion unit, and receives the first to fourth input data Y0 to Y3. An expanded key calculation unit 410 for calculating a 64-bit expanded key SK, and first to fourth input data to be input to the next-stage inverse key conversion unit or final key conversion unit 48 based on the first to fourth input data Y0 to Y3. And an output inverse calculation unit 430 for calculating four output data Z0 to Z3.
[0105]
The expanded key calculation unit 410 performs an exclusive OR operation for each bit between the second input data Y1 and the fourth input data Y3, and calculates an exclusive OR operation unit 411 that calculates 32-bit data A. Are connected to the exclusive OR operation unit 411, receive the data A from the exclusive OR operation unit 411, and are connected to the data replacement unit 412 that replaces the data A with the data B by a method described later. , An exclusive OR operation unit 413 that receives data B from the data replacement unit 412, performs an exclusive OR operation for each bit between the data B and the third input data Y2, and calculates data C. .
[0106]
The extended key calculation unit 410 is connected to the exclusive OR operation unit 413, receives the data C from the exclusive OR operation unit 413, and performs an exclusive OR operation for each bit between the data C and the second input data Y1. An exclusive-OR operation unit 414 that executes an operation to calculate data D, and is connected to the exclusive-OR operation unit 414, receives the data D from the exclusive-OR operation unit 414, and receives the data D and the first input data. An exclusive-OR operation unit 415 that performs an exclusive-OR operation for each bit with Y0 to calculate data E, and is connected to exclusive-OR operation units 413 and 415, and is connected to the exclusive-OR operation unit. And a data linking unit 416 for receiving data C and data E from 413 and 415, respectively, and linking the data C and data E to output a 64-bit expanded key SK.
[0107]
The output inverse calculation unit 430 cyclically shifts the first input data Y0 by 5 bits in the upper bit direction (left direction) and outputs the second input data Y1 as the second output data Z1. A data rotator 418 that cyclically shifts by 9 bits in the bit direction (left direction) and outputs it as the third output data Z2, and cyclically shifts the third input data Y2 by 13 bits in the upper bit direction (left direction). , A data rotator 419 that outputs the fourth output data Z3 as a fourth bit, and a data rotator 420 that cyclically shifts the fourth input data Y3 by one bit in the upper bit direction (leftward) and outputs the same as the first output data Z0. including.
[0108]
The final key conversion unit 48 shown in FIG. 6 has the same configuration as the final key conversion unit 28 shown in FIG. Therefore, detailed description thereof will not be repeated here.
Hereinafter, the operation of the decoding device 1200 will be described with reference to FIGS.
[0109]
The overall processing flow of the decoding device 1200 shown in FIG. 6 will be described.
The key correction unit 40 inside the expanded key inverse generation unit 4 internally divides the 128-bit encryption key EK into four 32-bit data blocks, executes a key correction process described later, and executes the four 32-bit data Calculate the block. The key correction unit 40 outputs the calculated four data blocks to the reverse key conversion unit 41.
[0110]
The reverse key conversion unit 41 performs a reverse key conversion process described later based on the four input data blocks, and calculates a 64-bit expanded key SK7 and four 32-bit data blocks. The reverse key conversion unit 41 outputs the expanded key SK7 to the reverse data conversion unit 31, and outputs four data blocks to the next-stage reverse key conversion unit 42.
[0111]
The inverse data conversion unit 31 performs an inverse data conversion process (described later) on the 64-bit cipher text CT based on the input expanded key SK7, calculates 64-bit data, and performs the next-stage inverse data conversion unit. 32.
[0112]
The reverse key conversion unit 42 performs processing similar to that performed by the reverse key conversion unit 41 based on the four data blocks input from the reverse key conversion unit 41 at the preceding stage to convert the expanded key SK6 and the four data blocks. calculate. The reverse key conversion unit 42 outputs the expanded key SK6 to the reverse data conversion unit 32, and outputs the calculated four data blocks to the reverse key conversion unit 43.
[0113]
The inverse data conversion unit 32 performs the same inverse data conversion processing as that performed by the inverse data conversion unit 31 on the data input from the inverse data conversion unit 31 in the preceding stage based on the expanded key SK6 to calculate 64-bit data. Then, the data is output to the next-stage inverse data converter 33.
[0114]
Hereinafter, the same operation is performed in the reverse key conversion units 43 to 47 and the reverse data conversion units 33 to 37. The final key conversion unit 48 performs the same process as the final key conversion process used in the final key conversion unit 28 shown in FIG. 4 on the four data blocks input from the inverse key conversion unit 47, SK0 is obtained and output to the inverse data converter 38.
[0115]
The inverse data conversion unit 38 performs the same inverse data conversion process as the inverse data conversion unit 31 on the input data from the inverse data conversion unit 37 based on the expanded key SK0, and calculates a 64-bit decrypted text DT, Output.
[0116]
An inverse data conversion process performed by each of the inverse data conversion units 31 to 38 shown in FIG. 7 will be described.
The data division unit 311 divides the 64-bit data Y (the ciphertext CT or the data Z output from the previous-stage inverse data conversion unit) into four data blocks A0, A1, A2, and A3 in 16-bit units from the higher order. That is, the relationship represented by the following equation (27) is established between the data Y and the data blocks A0 to A3.
Y = A0‖A1‖A2‖A3 (27)
[0117]
The data division unit 311 outputs the data blocks A0 to A3 to the inverse data replacement units 312 to 315, respectively.
[0118]
The inverse data replacement unit 312 obtains a 16-bit data block B0 based on the 16-bit data A0 input from the data division unit 311 according to the following equation (28).

[0119]
Here, InvSbox represents a reverse replacement table for performing reverse replacement of the above-described replacement table Sbox. The reverse replacement table is composed of an array having 256 elements as shown in FIG. 10, and each element is composed of 8-bit data. A0h represents the upper 8 bits of the data block A0, and A01 represents the lower 8 bits of the data block A0.
[0120]
That is, InvSbox [A0h] represents the A0h-th element of the reverse replacement table InvSbox, and InvSbox [A01] represents the A01-th element of the reverse replacement table InvSbox. The data block B0 is data created by connecting these two elements.
[0121]
The reverse replacement table InvSbox used here is created at the time of encryption based on the replacement table Sbox used in the data replacement units 113 to 116 shown in FIG.
[0122]
That is, a relationship expressed by the following equation (29) is established between the replacement table Sbox and the reverse replacement table InvSbox.

[0123]
FIG. 11 is a diagram illustrating a specific example for describing the relationship between the replacement table Sbox and the reverse replacement table InvSbox. For example, suppose that the value of Sbox [79] is “00110100” in binary notation. "00110100" is represented as a decimal number "52". When the decimal number "79" is represented in binary, it becomes "01001111". Therefore, the value of InvSbox [52] is “01001111” in binary notation.
[0124]
The inverse data replacement units 313 to 315 receive the data blocks A1 to A3 from the data division unit 311 respectively, obtain and output the data blocks B1 to B3, respectively. The processing executed in each of inverse data replacement sections 313 to 315 is the same as the processing executed in inverse data replacement section 312, and therefore, detailed description thereof will not be repeated here.
[0125]
The data connection unit 316 receives the data blocks B0 to B3 from the inverse data replacement units 312 to 315, connects the data blocks B0 to B3 according to the following equation (30), obtains 64-bit data Z, and outputs the data Z.
Z = B0‖B1‖B2‖B3 (30)
[0126]
A key correction process performed by the key correction unit 40 shown in FIG. 8 will be described. The key correction unit 40 executes the process using the 128-bit encryption key EK as an input, and sets 32 bits from the upper bits of the encryption key EK as the first to fourth input data I0 to I3.
[0127]
The data rotation units 401 to 404 respectively calculate the second output data J1, the third output data J2, the fourth output data J3, and the first output data J0 according to the following equations (31) to (34).

[0128]
Here, ROTR51 (I), ROTR47 (I), ROTR43 (I), and ROTR55 (I) are data bits each having a cyclic bit of 51 bits, 47 bits, 43 bits, and 55 bits in the lower bit direction (right direction). Indicates the shifted result.
[0129]
Finally, the key correction unit 40 outputs the first to fourth output data J0 to J3.
Next, the meaning of the shift amount in the data rotation unit 401 of the key correction unit 40 will be described. The first to fourth input data X0 to X3 input to the key conversion unit 21 are subjected to data rotation processing in the output calculation unit 230 in FIG. 3, and as shown in Table 1, the first to fourth output data Y0 to Y3 ROTR5 (X1), ROTR9 (X2), ROTR13 (X3) and ROTR1 (X0) are obtained.
[0130]
Assuming that the first to fourth output data Y0 to Y3 obtained by the key conversion unit 21 are the first to fourth input data X0 to X3 of the key conversion unit 22, a similar data rotation process is performed. As shown, ROTR14 (X2), ROTR22 (X3), ROTR14 (X0) and ROTR6 (X1) are obtained as the first to fourth output data Y0 to Y3 of the key conversion unit 22, respectively.
[0131]
When the same processing is executed for the key conversion units 23 to 27, the result shown in Table 1 is obtained. Therefore, by configuring the key correction unit 40 as shown in FIG. 8, a result equivalent to executing the processing of the key conversion units 21 to 27 can be obtained.
[0132]
[Table 1]

[0133]
Although FIG. 8 shows an example of the key correction unit 40 in the case where the number of key conversion units is seven, the key correction unit can be created regardless of the number of key conversion units. For example, when the number of key conversion units is six, a key correction unit 160 as shown in FIG. 12 can be used instead of the key correction unit 40. The key correction unit 160 is made based on Table 1. The data rotation units 1601 to 1604 of the key correction unit 160 execute a process of cyclically shifting input data by 42 bits, 34 bits, 42 bits, and 50 bits in the lower bit direction (rightward), respectively. However, a cyclic bit shift of 32 bits is equivalent to a cyclic bit shift of 0 bits (that is, no processing is performed). Therefore, the number of cyclic bit shifts in data rotators 1601 to 1604 can be 10 bits, 2 bits, 10 bits, and 18 bits, respectively, to reduce the number of cyclic bit shifts.
[0134]
Similarly, the number of cyclic bit shifts in the data rotation units 401 to 404 of the key correction unit 40 shown in FIG. 8 can be similarly reduced to 19 bits, 15 bits, 11 bits, and 23 bits, respectively.
[0135]
The reverse key conversion process executed by the reverse key conversion units 41 to 47 shown in FIG. 9 will be described. Each of the reverse key conversion units 41 to 47 executes an expanded key calculation process and a data conversion process, which will be described later, on the first to fourth input data Y0 to Y3, and outputs the expanded key SK and the first to fourth output data. Data Z0 to Z3 are calculated and output. The first to fourth input data Y0 to Y3 are four 32-bit data blocks output from the key correction unit 40 or the inverse key conversion unit at the preceding stage. The expanded key SK is one of SK7 to SK1 input to the inverse data converters 31 to 37, respectively.
[0136]
The expanded key calculation process executed by the expanded key calculator 410 will be described.
The exclusive OR operation unit 411 performs an exclusive OR operation for each bit between the second input data Y1 and the fourth input data Y3 according to the following equation (35), and obtains 32-bit data A. .
A = Y1 (+) Y3 (35)
[0137]
The data replacement unit 412 receives the data A from the exclusive OR operation unit 411, and uses the same replacement table Sbox as the replacement table used in the data conversion units 11 to 18 at the time of encryption, and is represented by the following equation (36). 32-bit data B having the relationship shown in FIG.
B = Sbox [A0] ‖Sbox [A1] ‖Sbox [A2] ‖Sbox [A3] (36)
[0138]
However, data obtained by dividing the data A into 8 bits at a time from the high order are A0, A1, A2, and A3, respectively.
[0139]
The exclusive OR operation unit 413 receives the data B from the data replacement unit 412, and performs an exclusive OR operation for each bit between the data B and the third input data Y2 according to the following equation (37): Find 32-bit data C.
C = B (+) Y2 (37)
[0140]
The exclusive OR operation unit 414 receives the data C from the exclusive OR operation unit 413, and performs an exclusive OR operation for each bit between the data C and the second input data Y1 according to the following equation (38). Execute to obtain 32-bit data D.
D = C (+) Y1 (38)
[0141]
The exclusive OR operation unit 415 receives the data D from the exclusive OR operation unit 414, and performs an exclusive OR operation for each bit between the data D and the first input data Y0 according to the following equation (39). Execute to obtain 32-bit data E.
E = D (+) Y0 (39)
[0142]
Data linking section 416 receives data C and E from exclusive OR operation sections 413 and 415, respectively, links data C and E according to the following equation (40), and outputs the result as 64-bit expanded key SK.
SK = C‖E (40)
[0143]
Next, a process (data conversion process) of calculating the first to fourth output data Z0 to Z3 in the output reverse calculation unit 430 will be described.
[0144]
The data rotation units 417 to 420 calculate the second output data Z1, the third output data Z2, the fourth output data Z3, and the first output data Z0, respectively, according to the following equations (41) to (44).

[0145]
Here, ROTL5 (Y), ROTL9 (Y), ROTL13 (Y), and ROTL1 (Y) indicate that data Y is a cyclic bit for each of 5 bits, 9 bits, 13 bits, and 1 bit in the upper bit direction (left direction). Indicates the shifted result.
[0146]
Hereinafter, the effect of the above-described encryption system according to the present embodiment will be described in comparison with the related art.
As shown in FIG. 17, in the first conventional example, in order to obtain the expanded key SK10 used in the final inverse data conversion unit 70, the decryption device 1400 executes the processing of the key conversion unit nine times as overhead. Needed. As a result, there is a problem in that the decryption processing of the first conventional example takes much longer processing time than the encryption processing.
[0147]
However, as shown in FIG. 6, in decryption apparatus 1200 according to the present embodiment, the processing corresponding to the overhead is only processing in key correction section 40. This is equivalent to repeatedly executing the processing in the output calculation section 230 of the key conversion section shown in FIG. 3 seven times. In the case of the data rotation processing, the data rotation processing of r bits (r is an integer) is repeated seven times. The processing is equivalent to performing (7 × r) bit data rotation processing once. Thus, repeating the process of the output calculation unit 230 seven times is equivalent to executing the data rotation process four times as shown in the key correction unit 40. At this time, the processing amounts of the overheads are compared as follows.
[0148]
In the first conventional example, one process of the key conversion unit requires five exclusive OR operations, one replacement process, and one data rotation process. Therefore, if this operation is performed nine times, 45 exclusive OR operations, nine replacement processes, and nine data rotation processes are required as overhead. On the other hand, in decoding apparatus 1200 according to the present embodiment, the processing required as overhead is only four data rotation processings.
[0149]
That is, it is understood that the overhead is much smaller in the present invention than in the first conventional example. In the key conversion unit shown in FIG. 3, the expanded key calculation unit 210 that calculates the expanded key and the output calculation unit 230 that is an input to the next key conversion unit are separated from each other. This is due to the configuration using only data rotation processing.
[0150]
Further, when the data rotation processing is implemented by hardware, it can be realized by arranging the wiring patterns of the signal lines, so that no data delay occurs. Therefore, when the decoding device 1200 illustrated in FIG. 6 is realized by hardware, the overhead can be substantially regarded as zero. Even when the decoding device 1200 is implemented by software, the cyclic bit shift operation can be performed at high speed by most processors, so that the overhead is negligibly small.
[0151]
Next, the randomness of the expanded key generated in the system will be examined. At the time of encryption, the output of the data replacement unit 212 inside the key conversion units 21 to 27 shown in FIG. 3 is made to affect all the expanded keys by the data fusion processing by the exclusive OR operation units 213 to 215. Has become. In other words, the influence of the non-linear processing using the replacement table of the data replacement unit 212 is applied to the entire range of the expanded key by the data fusion processing by the exclusive OR operation units 213 to 215. This has the same effect as the key conversion units 60 to 69 of the first conventional example. In addition, in the data fusion processing executed by the exclusive OR operation units 211 and 213 to 215, all of the first to fourth input data X0 to X3 are used as input data. Therefore, if the value of the encryption key EK changes even by one bit, it can be said that all of the extended keys SK0 to SK7 generated thereby change. From the above, it can be said that the generated expanded key has sufficient randomness.
[0152]
Further, in the data rotation units 217 to 220 inside the output calculation unit 230, 1, 5, 9 and 13 bits are used as the data rotation speed, respectively. These bit numbers are not divisors of the bit number (32 bits) input to each of the data rotation units 217. On the other hand, in the second conventional example, as shown in FIG. 17, the bit rotation unit 601 uses a divisor of 32, which is the number of bits 8, as the number of bits for data rotation. Due to this difference, the data rotator according to the present embodiment has the following effects. For example, in the case of 32-bit data of 3333333 in hexadecimal notation, the result of performing 8-bit data rotation is 3333333, and there is no change in data due to the data rotation. The same applies to data such as 11111111 and 55555555. However, in the data rotation using the number of bits that is not a divisor of 32 as in the present embodiment, the above-described phenomenon occurs only in the case of the data of FFFFFFFF and 00000000 in hexadecimal notation, and other than that. For the input data, the output data has a different value from the input data. That is, the data rotator of the present embodiment realizes higher data disturbance performance. In the present embodiment, by using a data rotator having a rotation speed that is not a divisor of the number of bits of the input data as the output calculation unit 230 inside the key conversion units 21 to 27, even in the output calculation unit 230, high data Realizes disturbance performance.
[0153]
Note that the output calculation unit 230 performs data rotation processing on all 32-bit data blocks, but this is not limited to this configuration, and at least one of the four data blocks Data rotation processing may be performed. Further, the data rotation speed is not limited to the numerical value shown in the present embodiment, but may be another rotation speed as long as it is not a divisor of the data block size.
[0154]
Furthermore, the output calculation unit 230 performs a fixed conversion process on the first to fourth input data X0 to X3 such that the values of the bits do not interfere with each other, even if the data rotation process is not performed. You may. For example, a bit swap unit 1500 as shown in FIG. 13 may be used instead of the data rotation unit 217. The bit swapping unit 1500 receives the 32-bit first input data X0, swaps the bit positions so that the values of the bits do not interfere with each other, and outputs the result as the fourth output data Y3.
[0155]
Even with such conversion, since the values of the bits do not interfere with each other, it is possible to create a key correction unit as shown in FIG.
Further, instead of the data rotation unit 217, a bit inversion unit 1520 for inverting only a specific bit value as shown in FIG. The bit inversion unit 1520 shown in FIG. 14A is equivalent to the exclusive OR operation unit 1540 shown in FIG.
[0156]
Even with such conversion, similar to the bit exchange unit 1500, the values of the bits do not interfere with each other, so that it is possible to create a key correction unit as shown in FIG.
[0157]
Further, in the present embodiment, a data converter having a configuration as shown in FIG. 2 is used, but the present invention is not limited to this configuration.
Further, in the present embodiment, the size of the plaintext and the ciphertext is 64 bits, the size of the encryption key is 128 bits, and the size of the expanded key is 64 bits. However, the present invention is not limited to this data size. Further, although the number of stages of the data conversion process in the data disturbance unit 1 shown in FIG. 1 is set to eight, the number is not limited to eight.
[0158]
Furthermore, the exclusive OR operation unit 211 of the key conversion unit shown in FIG. 3 performs an exclusive OR operation on two of the four 32-bit data. It is not something that can be done. The exclusive OR operation unit 211 is configured to perform an exclusive OR operation on at least two arbitrary partial data obtained from 128-bit data obtained by connecting the first to fourth input data X0 to X3. Any configuration may be used.
[0159]
Furthermore, the exclusive OR operation unit 213 performs an exclusive OR operation between the data B replaced and converted by the data replacement unit 212 and any one of the first to fourth input data X0 to X3. It does, but it is not limited to this configuration. An exclusive OR operation unit 213 executes an exclusive OR operation between the data B and at least one arbitrary partial data obtained from 128-bit data obtained by connecting the first to fourth input data X0 to X3. The configuration may be as follows.
[0160]
Furthermore, the exclusive OR operation units 211, 213 to 215 use an exclusive OR operation as a data fusion method, which is one of two or more input data such as addition, subtraction, and multiplication. Any process may be used as long as it calculates output data.
[0161]
FIG. 15 is an external view of a DVD player to which the encryption system according to the present embodiment is applied. When authenticating the content of the inserted DVD 1702, the DVD player 1700 can have the decryption device 1200 shown in FIG. 6, but can perform the authentication process at this time at high speed. Therefore, the time from insertion of the DVD 1702 to actual reproduction of the content of the DVD 1702 can be shortened.
[0162]
【The invention's effect】
As is apparent from the above description, according to the encryption system of the present invention, as in the first conventional example, the extended key generation process and the process of requesting the input of the next-stage extended key generation process are partially the same. Instead of using a processing circuit, it is separated into an expanded key calculation unit and an output calculation unit and executed.
[0163]
The expanded key calculation unit calculates an expanded key by fusing a plurality of data. The output calculation unit uses a data rotation process that can convert a process repeated n times (n is a natural number) into an equivalent simple process. This prevents the overhead processing at the time of decryption from becoming extremely large as compared with the time of encryption as in the first conventional example. Therefore, the encryption processing time and the decryption processing time can be hardly changed.
[0164]
Further, as in the second conventional example, the expanded key calculation unit uses not a simple bit replacement process but a complicated process combining a nonlinear replacement process using a replacement table and a data fusion process. For this reason, there is a feature that the effect of the non-linear processing using the replacement table affects all extended keys, and when the encryption key changes, the change affects all generated extended keys. For this reason, an extended key generation process with high randomness can be realized.
[0165]
As described above, according to the encryption system of the present invention, it is possible to simultaneously solve the problems of the first conventional example and the second conventional example.
As described above, the encryption system according to the present invention enables high-speed and highly secure encryption processing, authentication processing, and the like. Therefore, when used in a system or the like that requires strict specifications in terms of both execution speed and safety, its practical value is extremely high.
[Brief description of the drawings]
FIG. 1 is a block diagram showing an example of a configuration of an encryption device 1100 according to an embodiment of the present invention.
FIG. 2 is a block diagram illustrating an example of a configuration of data conversion units 11 to 18 according to the embodiment of the present invention.
FIG. 3 is a block diagram illustrating an example of a configuration of key conversion units 21 to 27 according to the embodiment of the present invention.
FIG. 4 is a block diagram illustrating an example of a configuration of a final key conversion unit 28 according to the embodiment of the present invention.
FIG. 5 is a diagram for explaining a replacement table Sbox.
FIG. 6 is a block diagram illustrating an example of a configuration of a decoding device 1200 according to an embodiment of the present invention.
FIG. 7 is a block diagram illustrating an example of a configuration of inverse data conversion units 31 to 38 according to the embodiment of the present invention.
FIG. 8 is a block diagram illustrating an example of a configuration of a key correction unit 40 according to the embodiment of the present invention.
FIG. 9 is a block diagram illustrating an example of a configuration of reverse key conversion units 41 to 47 according to the embodiment of the present invention.
FIG. 10 is a diagram for explaining a reverse replacement table InvSbox.
FIG. 11 is a diagram illustrating a specific example for explaining a relationship between a replacement table Sbox and an inverse replacement table InvSbox.
FIG. 12 is a block diagram illustrating an example of a configuration of a key correction unit 160.
FIG. 13 is a diagram for explaining a bit replacement unit 1500.
FIG. 14 is a diagram for explaining a bit inversion unit 1520 and an exclusive OR operation unit 1540 equivalent thereto.
FIG. 15 is an external view of a DVD (Digital Versatile Disk) player to which the encryption system according to the present embodiment is applied.
FIG. 16 is a block diagram showing a configuration of an encryption device 1300 according to a first conventional example.
FIG. 17 is a block diagram showing a configuration of key conversion units 60 to 69 according to the first conventional example.
FIG. 18 is a block diagram illustrating a configuration of a decoding device 1400 according to a first conventional example.
FIG. 19 is a block diagram showing a configuration of reverse key conversion units 90 to 99 according to the first conventional example.
FIG. 20 is a block diagram showing a configuration of a key conversion unit 10 according to a second conventional example.
FIG. 21 is a diagram illustrating an ETC system.
[Explanation of symbols]
1,5 Data disturbance unit
2,6 Extended key generator
3,7 Reverse data disturber
4,8 Extended key reverse generator
10, 21-27, 60-69, 80-89 Key conversion unit
11-18, 50-58 Data converter
20,112,311,600,800 Data division unit
28, 48 Final key conversion unit
31-38, 71-79 Inverse data converter
40 key correction unit
41-47, 90-99 Reverse key conversion unit
59 Final data converter
70 Final inverse data converter
101-102 cyclic shift unit
103,117,216,286,316,416,608,908 Data connection part
104 Data Reduction Unit
1111, 211, 213 to 215, 281, 283 to 285, 317, 411, 413 to 415, 603 to 607, 901 to 904, 907, 1540 Exclusive OR operation unit
113 to 116, 212, 282, 412, 602, 906 Data replacement unit
210, 280, 410 Extended key calculation unit
217 to 220, 401 to 404, 417 to 420, 601, 905, 1601 to 1604 Data rotation unit
230 output calculator
312-315 reverse data replacement unit
430 Output inverse calculation unit
500,700 key adder
1100,1300 Encryption device
1200,1400 decoding device
1500 bit replacement part
1520 bit inversion unit
1700 DVD Player 1700
1702 DVD
1800 ETC system
1801 car
1802 On-board unit
1804 Tollgate antenna

Claims (21)

An extended key generation device that receives encryption key data as input and outputs a plurality of extended key data,
Data dividing means for dividing the encryption key data into a plurality of partial key data,
A plurality of key conversion means connected to a row for inputting the plurality of partial key data and outputting the plurality of expanded key data,
Each of the plurality of key conversion means,
The plurality of partial key data or the plurality of output data from the key conversion means at the preceding stage is received as a plurality of input data, and for each of the plurality of input data, a fixed conversion process in which the value of each bit does not interfere with each other is performed. An output calculation unit that executes and calculates a plurality of output data to a subsequent key conversion unit;
An expanded key generation unit, comprising: an expanded key calculation unit that calculates the expanded key data by fusing the plurality of input data. The expanded key generation device according to claim 1, wherein the output calculation unit changes a bit position of at least one of the plurality of input data according to a predetermined rule. The expanded key generation device according to claim 1, wherein the conversion process executed by the output calculation unit is a process of inverting a value of a predetermined bit position of the input data. The expanded key generation device according to claim 1, wherein the output calculation unit performs a cyclic shift operation on at least one of the plurality of input data by a predetermined number of bits. The expanded key generation apparatus according to claim 4, wherein the predetermined number of bits is not a divisor of the number of bits of the input data on which the cyclic shift operation is performed. 5. The output calculation unit according to claim 4, wherein after performing the cyclic shift operation, the output calculation unit replaces positions of the plurality of input data according to a predetermined rule, and calculates the plurality of output data. 6. Extended key generator. The expanded key calculation unit performs a replacement process based on a predetermined replacement table on an intermediate process in the fusion of the plurality of input data and on at least one of the plurality of input data. The expanded key generation device according to claim 4. The expanded key calculation unit performs a replacement process based on a predetermined replacement table on an intermediate process in the fusion of the plurality of input data and on at least one of the plurality of input data. The expanded key generation device according to claim 1. The expanded key calculation unit,
A first fusion unit that fuses at least two input data from the plurality of input data to generate first fusion data;
A data replacement unit that performs a replacement process on the first fusion data based on the predetermined replacement table and outputs replacement data;
A second fusion unit that fuses the replacement data and at least one input data obtained from the plurality of input data to generate second fusion data;
The expanded key generation device according to claim 8, further comprising: an expanded key generation unit that receives data including at least the second fusion data and generates the expanded key data. 9. The expanded key generation apparatus according to claim 8, wherein the expanded key calculation unit generates the expanded key data by linking an intermediate result and a final result of the fusion of the plurality of input data. An encryption device for encrypting plaintext data using encryption key data,
An extended key generation device according to claim 1,
Means for encrypting the plaintext data based on a plurality of pieces of expanded key data generated by the expanded key generation apparatus to generate ciphertext data. An encryption device for encrypting plaintext data using encryption key data,
An extended key generation device according to claim 4,
Means for encrypting the plaintext data based on a plurality of pieces of expanded key data generated by the expanded key generation apparatus to generate ciphertext data. An encryption device for encrypting plaintext data using encryption key data,
An extended key generation device according to claim 5,
Means for encrypting the plaintext data based on a plurality of pieces of expanded key data generated by the expanded key generation apparatus to generate ciphertext data. An encryption device for encrypting plaintext data using encryption key data,
An extended key generation device according to claim 8,
Means for encrypting the plaintext data based on a plurality of pieces of expanded key data generated by the expanded key generation apparatus to generate ciphertext data. A decryption device for decrypting ciphertext data using encryption key data,
An extended key inverse generating means for receiving the encryption key data and generating a plurality of extended key data in the reverse order to the extended key generation device according to claim 1;
On the basis of the plurality of expanded key data, comprising an inverse data disturbance means for decrypting the ciphertext data,
The expanded key inverse generation means,
A key correction unit that executes the processing of the key conversion unit of a predetermined number of stages in the expanded key generation device according to claim 1 in one-stage processing;
A plurality of reverse key conversion units connected in a row,
The plurality of inverse key conversion units each receive output data from the key correction unit or output data from a preceding inverse key conversion unit as input data, and receive the expanded key data and a subsequent inverse key conversion from the input data. 2. A decryption device for generating output data to a unit, wherein the generated expanded key data is in the reverse order of generation by the expanded key generation device according to claim 1. A decryption device for decrypting ciphertext data using encryption key data,
An extended key reverse generating means for receiving the encryption key data and generating a plurality of expanded key data in the reverse order of the expanded key generating apparatus according to claim 4;
On the basis of the plurality of expanded key data, comprising an inverse data disturbance means for decrypting the ciphertext data,
The expanded key inverse generation means,
A key correction unit that executes the processing of the key conversion unit of a predetermined number of stages in the expanded key generation device according to claim 4 in one-stage processing;
A plurality of reverse key conversion units connected in a row,
The plurality of inverse key conversion units each receive output data from the key correction unit or output data from a preceding inverse key conversion unit as input data, and receive the expanded key data and a subsequent inverse key conversion from the input data. 5. A decryption apparatus, wherein output data to a unit is generated, and the generated expanded key data is in the reverse order of the generation order in the expanded key generation apparatus according to claim 4. A decryption device for decrypting ciphertext data using encryption key data,
An extended key inverse generation unit that receives the encryption key data and generates a plurality of extended key data in the reverse order to the extended key generation device according to claim 5,
On the basis of the plurality of expanded key data, comprising an inverse data disturbance means for decrypting the ciphertext data,
The expanded key inverse generation means,
A key correction unit that executes processing of a key conversion unit of a predetermined number of stages in the expanded key generation device according to claim 5 in one-stage processing,
A plurality of reverse key conversion units connected in a row,
The plurality of inverse key conversion units each receive output data from the key correction unit or output data from a preceding inverse key conversion unit as input data, and receive the expanded key data and a subsequent inverse key conversion from the input data. 6. A decryption device, wherein output data to a unit is created, and the created expanded key data is in the reverse order of creation by the expanded key generation device according to claim 5. A decryption device for decrypting ciphertext data using encryption key data,
An extended key reverse generation means for receiving the encryption key data and generating a plurality of expanded key data in the reverse order to the expanded key generation device according to claim 8,
On the basis of the plurality of expanded key data, comprising an inverse data disturbance means for decrypting the ciphertext data,
The expanded key inverse generation means,
9. A key correction unit that executes processing of a key conversion unit of a predetermined number of stages in the expanded key generation device according to claim 8 in one-stage processing;
A plurality of reverse key conversion units connected in a row,
The plurality of inverse key conversion units each receive output data from the key correction unit or output data from a preceding inverse key conversion unit as input data, and receive the expanded key data and a subsequent inverse key conversion from the input data. 9. A decrypting device, wherein output data to a unit is created, and the created expanded key data is in the reverse order of creation by the expanded key generating device according to claim 8. An encryption device that encrypts plaintext data using the encryption key data and generates encrypted data;
A decryption device that decrypts the ciphertext data using the encryption key data,
The encryption device,
An expanded key generation unit that receives the encryption key data as input and outputs a plurality of expanded key data;
Based on the plurality of expanded key data, having a data disturbance means to encrypt the plaintext data,
The expanded key generation means includes:
A data dividing unit that divides the encryption key data into a plurality of partial key data,
A plurality of key conversion units connected to a row that receives the plurality of partial key data as input and outputs the plurality of expanded key data,
Each of the plurality of key conversion units,
The plurality of partial key data or the plurality of output data from the key conversion unit at the preceding stage is received as a plurality of input data, and for each of the plurality of input data, a fixed conversion process in which each bit value does not interfere with each other is performed. An output calculation unit that executes and calculates a plurality of output data to a key conversion unit in a subsequent stage;
An encryption key calculation unit for calculating the expansion key data by fusing the plurality of input data. An extended key generation method for inputting encryption key data and outputting a plurality of extended key data,
Dividing the encryption key data into a plurality of partial key data;
A plurality of key conversion steps of inputting the plurality of partial key data and outputting a plurality of expanded key data,
Each of the plurality of key conversion steps includes:
A fixed conversion process in which the plurality of partial key data or the plurality of output data output in the preceding key conversion step is used as a plurality of input data, and for each of the plurality of input data, the value of each bit does not interfere with each other. And calculating a plurality of output data used in the subsequent key conversion step,
Fusing the plurality of input data to calculate the expanded key data. A program for causing a computer to function as an encryption device that performs encryption processing on plaintext data using encryption key data,
The encryption device,
An expanded key generation unit that receives the encryption key data as input and outputs a plurality of expanded key data;
Means for encrypting the plaintext data based on the plurality of expanded key data, and generating ciphertext data,
The expanded key generation means includes:
A data dividing unit that divides the encryption key data into a plurality of partial key data,
A plurality of key conversion units connected to a line that receives the plurality of partial key data as input and outputs the plurality of expanded key data,
Each of the plurality of key conversion units,
The plurality of partial key data or the plurality of output data from the key conversion unit at the preceding stage is received as a plurality of input data, and for each of the plurality of input data, a fixed conversion process in which each bit value does not interfere with each other is performed. An output calculation unit that executes and calculates a plurality of output data to a key conversion unit in a subsequent stage;
A program, comprising: an expanded key calculation unit that calculates the expanded key data by fusing the plurality of input data.

Images