JP2004361969A - 暗号化方法 - Google Patents

Abstract

【課題】 ハッシュ関数を用いた暗号化を効率化する。
【解決手段】 相異なる擬似ランダム関数を使用するのではなく同じ擬似ランダム関数を２回使用する暗号化方法により、暗号化を効率化する。さらに、本発明は、非常に効率的なハッシュ関数を使用する。本発明のハッシュ関数は、乗算を使用するのではなくキーａとデータストリングｍの和を２乗する２乗ハッシュ関数h(m)=(m+a)² mod nである（データストリングのビット数は2n）。その結果、ハッシュ演算は、従来技術で使用される非効率的なハッシュ関数によって要求されるw²回の演算ではなく、(w²+w)/2回の演算しか必要としない。さらに、本発明は、従来技術の排他的OR演算を、ｎを法とする加算で置き換える。擬似ランダム関数ｆは、好ましくは、周知の標準であるSHA擬似ランダム関数である。
【選択図】 図３

Description

本発明は、データ操作に関し、特に、データ暗号化に関する。

ブロックデータ暗号化とは、データのブロックあるいはストリングを入力し、対応する暗号化されたデータのブロックあるいはストリングを生成するものである。ブロック暗号化は、セルラ通信のような容易に傍受可能な通信を使用する際にデータセキュリティを提供するために用いられる。

以前は、データのブロックを暗号化するために、Luby-Rackoff法を用いた。この方法を図１に例示する。ステップ１００で、２ｎビットを含む暗号化されるべきデータのブロックを入力する。ステップ１０２で、２ｎビットの入力データのブロックあるいはストリングを、それぞれＬ₀およびＲ₀とラベルされたｎビットの２個のブロックに分割する。ステップ１０４で、Ｒ₀データブロックは、擬似ランダム関数ｆ₁のオペランドとして使用される。擬似ランダム関数ｆ₁は、ＲＩＰＥ−ＭＤ擬似ランダム関数、ＧＧＭ擬似ランダム関数、あるいはＭＤ５擬似ランダム関数のような関数とすることが可能である。ステップ１０４からの出力と、ステップ１０２からのＬ₀ビットストリングとの排他的ＯＲをとる。ステップ１０６の出力はステップ１０８に渡される。ステップ１０８で、ステップ１０６の出力をｎビットのＲ₁として用い、Ｌ₁は、同じくｎビットのＲ₀に等しいとセットされる。ステップ１１０で、Ｒ₁は第２の擬似ランダム関数ｆ₂のオペランドとして使用される。擬似ランダム関数ｆ₂は、擬似ランダム関数ｆ₁とは異なる。ステップ１１２で、ステップ１１０によって得られる結果と、Ｌ₁との排他的ＯＲをとる。ステップ１１４で、ステップ１１２の出力をｎビットストリングＲ₂として記憶し、ストリングＬ₂は、ｎビットストリングＲ₁に等しいとセットされる。ステップ１１６で、ストリングＲ₂は、擬似ランダム関数ｆ₃のオペランドとして使用される。擬似ランダム関数ｆ₃は、擬似ランダム関数ｆ₁およびｆ₂とは異なる。ステップ１１８で、擬似ランダム関数ｆ₃の出力と、値Ｌ₂の排他的ＯＲをとる。ステップ１２０で、ステップ１１８の出力をｎビットストリングＲ₃として記憶し、ストリングＬ₃は、ｎビットストリングＲ₂に等しいとセットされる。ステップ１２２で、擬似ランダム関数ｆ₄は、ストリングＲ₃をオペランドとして使用して、ステップ１２４によって使用される出力を生成する。擬似ランダム関数ｆ₄は、擬似ランダム関数ｆ₁〜ｆ₃とは異なる。ステップ１２４で、擬似ランダム関数ｆ₄の出力と、ストリングＬ₃の排他的ＯＲをとる。ステップ１２６で、ステップ１２４からの出力をｎビットストリングＲ₄として記憶し、ストリングＬ₄は、ｎビットストリングＲ₃に等しいとセットされる。ステップ１２８で、ストリングＬ₄およびＲ₄は、図示された暗号化方法の２ｎビット出力として出力される。

図１の方法は、４個の相異なる擬似ランダム関数を使用し、その結果、計算量の大きい方法である。

図２に、データのブロックあるいはストリングを暗号化する第２の従来技術の方法を示す。この方法は、Naor-Reingold暗号化法として知られている。ステップ１４０で、暗号化されるべき２ｎビットのデータブロックを入力する。ステップ１４２で、この２ｎビットのデータは、式（１）のハッシュ関数のようなハッシュ関数のオペランドとして使用され、２ｎビットが出力される。

ｈ（ｍ）＝（ｍａ＋ｂ）ｍｏｄ ｎ （１）

ステップ１４４で、ステップ１４２により生成された２ｎビットを、それぞれｎビットからなるブロックＬ₀およびＲ₀に分解する。ステップ１４６で、擬似ランダム関数ｆ₁は、データブロックＲ₀をオペランドとして用いて、ステップ１４８によって使用される出力を生成する。擬似ランダム関数ｆ₁は、例えば、図１に関して説明した擬似ランダム関数のうちの１つである。ステップ１４８で、ステップ１４６からの出力と、データブロックあるいはストリングＬ₀の排他的ＯＲをとる。ステップ１５０で、ステップ１４８の出力を、ｎビットストリングＲ₁として記憶し、ｎビットストリングＬ₁は、ｎビットストリングＲ₀に等しいとセットされる。ステップ１５２で、擬似ランダム関数ｆ₂は、データストリングＲ₁をオペランドとして用いて、ステップ１５４のための出力を生成する。擬似ランダム関数ｆ₂は、擬似ランダム関数ｆ₁とは異なる。ステップ１５４で、ｎを法として、ステップ１５２の出力と、データストリングＬ₁の排他的ＯＲをとる。ステップ１５６で、ステップ１５４の出力をｎビットストリングＲ₂として記憶し、ストリングＬ₂は、ｎビットストリングＲ₁に等しいとセットされる。ステップ１５８で、第２のハッシュ関数は、ｎビットストリングＬ₂およびｎビットストリングＲ₂の両方からの２ｎビットをオペランドとして用いて、ステップ１６０で出力される２ｎビット出力を生成する。

図２に示される従来技術の暗号化法も計算量が大きい。これは、２個の擬似ランダム関数および２個の非効率的なハッシュ関数を使用する。式（１）のハッシュ関数のようなハッシュ関数は、キー（ａ）とデータストリングの乗算を含む。このような乗算は計算量が大きく、ｗ²回の乗算を含む。ただし、ｗは、データストリング内のワード数である。例えば、データブロックの長さが１６０ビットであり、この方法を実行するプロセッサが３２ビットワードを使用する場合、５ワードでストリングを構成し、その結果、この乗算を実行するには５²すなわち２５回の演算が必要である。

本発明は、相異なる擬似ランダム関数を使用するのではなく同じ擬似ランダム関数を２回使用する暗号化方法を提供することによって、上記の非効率性を解決する。さらに、本発明は、非常に効率的なハッシュ関数を使用する。本発明のハッシュ関数は、乗算を使用するのではなくキーとデータストリングの和を２乗する２乗ハッシュ関数である。その結果、ハッシュ演算は、従来技術で使用される非効率的なハッシュ関数によって要求されるｗ²回の演算ではなく、（ｗ²＋ｗ）／２回の演算しか必要としない。さらに、本発明は、従来技術の排他的ＯＲ演算を、ｎを法とする加算で置き換える。

本発明によれば、ハッシュ関数を用いた暗号化において、相異なる擬似ランダム関数を使用するのではなく同じ擬似ランダム関数を２回使用する暗号化方法を提供することによって、従来技術の非効率性を解決することができる。

図３に、２乗ハッシュ関数と１種類の擬似ランダム関数を用いる効率的な暗号化法を示す。ステップ２００で、データのブロックあるいはストリングを暗号化のために入力する。ステップ２０２で、２ｎビットのストリングを、それぞれｎビットからなるストリングＬとＲに分解する。ステップ２０４で、式（２）の２乗ハッシュ関数のような２乗ハッシュ関数を使用する。

ｈ（ｍ）＝（ｍ＋ａ）² ｍｏｄ ｎ （２）

このハッシュ関数は、キーＫ₁と、データブロックＲをオペランドとして用いてｎビットの出力を生成する。ステップ２０６で、ステップ２０４からのｎビット出力を、ｎを法として、データブロックＬと加算する。ステップ２０８で、ステップ２０６からの出力をｎビットストリングＳとして記憶し、ストリングＲを、再びｎビットストリングブロックＲとして記憶する。ステップ２１０で、ｎビットブロックＳを、Ｋ₂をキーとする擬似ランダム関数ｆのオペランドとして用いて、ステップ２１２で使用されるｎビット出力を生成する。擬似ランダム関数ｆは、図１および図２に関して説明した擬似ランダム関数のうちの１つとすることが可能であるが、好ましくは、周知の標準であるＳＨＡ擬似ランダム関数である。ステップ２１２で、ステップ２１０からの出力を、ｎを法として、データストリングＲと加算して、ｎビット出力を生成する。ステップ２１４で、ステップ２１２からのｎビット出力をｎビットストリングＴとして記憶し、ステップ２０８からのｎビットストリングを再びｎビットブロックＳとして記憶する。ステップ２１６で、ステップ２１０で使用したのと同じ擬似ランダム関数を、同じキーＫ₂で再び使用して、データストリングＴに作用してｎビットストリングを生成する。ステップ２１８で、ステップ２１６からのｎビット出力を、ｎを法として、ｎビットストリングＳと加算する。ステップ２２０で、ステップ２１８からのｎビット出力をｎビットストリングＶとして記憶し、ｎビットストリングＴを再びストリングＴとして記憶する。ステップ２２２で、ステップ２０４で使用したのと同じ２乗ハッシュ関数を、Ｋ₃をキーとして使用して、データストリングＶに作用してｎビット出力を生成する。ステップ２２６で、ステップ２２４の出力をｎビットストリングＷとして記憶し、ｎビットストリングＶを再びｎビットストリングＶとして記憶する。ステップ２２８で、データストリングＶおよびＷを使用して、入力ブロックあるいはストリングの暗号化表現である２ｎビット出力とする。

図４に、図３に示した暗号化法に対応する復号法を示す。ステップ２４０で、復号されるべき２ｎビット入力を入力する。ステップ２４２で、２ｎビット入力を、それぞれｎビットからなるストリングあるいはブロックＶとＷに分解する。ステップ２４４で、ｎビットストリングＶを、Ｋ₃をキーとする式（２）によって記述される２乗ハッシュ関数のオペランドとして使用する。ステップ２４４は、ステップ２４６によって使用されるｎビット出力を生成する。ステップ２４６で、ステップ２４４の出力を、ｎを法とする演算を用いて、ストリングＷから減算する。ステップ２４８で、ステップ２４６の出力をｎビットストリングＴとして記憶し、ｎビットストリングＶを再びストリングＶとして記憶する。ステップ２５０で、暗号化プロセスで使用したのと同じ擬似ランダム関数を、Ｋ₂をキーとして使用して、ストリングＴに作用してｎビット出力を生成する。ステップ２５２で、ステップ２５０からの出力を、ｎを法とする演算を用いてデータストリングＶから減算してｎビット出力を生成する。ステップ２５４で、ステップ２５２の出力をｎビットストリングＳとして記憶し、ｎビットストリングＴを再びストリングＴとして記憶する。ステップ２５６で、ステップ２５０と同じキーで同じ擬似ランダム関数がストリングＳに作用してｎビット出力を生成する。ステップ２５８で、ステップ２５６の出力を、ｎを法とする演算を用いてストリングＴから減算してｎビットストリングを生成する。ステップ２６０で、ステップ２５８からのｎビットストリングをｎビットストリングＲとして記憶し、ｎビットストリングＳを再びストリングＳとして記憶する。ステップ２６２で、式（２）によって記述される２乗ハッシュ関数を、Ｋ₁をキーとして使用してデータストリングＲに作用してｎビット出力を生成する。ステップ２６４で、ステップ２６２からのｎビット出力を、ｎを法とする演算を用いてデータストリングＳから減算する。ステップ２６６で、ステップ２６４からのｎビット出力をｎビットストリングＬとして記憶し、ｎビットストリングＲを再びストリングＲとして記憶する。ステップ２６８で、ｎビットストリングＬおよびＲを、入力されたブロックあるいはストリングを復号したものに対応する２ｎビットブロックとして出力する。注意すべき点であるが、図３のステップ２０４および２２２、ならびに図４のステップ２４４および２６２のハッシュ関数を、他のハッシュ関数で置き換えることも可能である。また、注意すべき点であるが、ステップ２０４および２６２で使用されるハッシュ関数は同じでなければならず、ステップ２２２および２４４で使用されるハッシュ関数は同じでなければならない。また、図３のステップ２１０および２１６の擬似ランダム関数に対して、異なるキーまたは擬似ランダム関数を使用することも可能であり、図４のステップ２５０および２５６の擬似ランダム関数に対して、異なるキーまたは擬似ランダム関数を使用することも可能である。また、注意すべき点であるが、ステップ２１６および２５０で使用されるキーおよび擬似ランダム関数は同じでなければならず、ステップ２１０および２５６で使用されるキーおよび擬似ランダム関数は同じでなければならない。

本発明の一実施例では、ビット数ｎは１６０に等しい。その結果、２乗ハッシュ関数によって使用されるキーＫ₁およびＫ₃の長さはそれぞれ１６０ビットである。さらに、擬似ランダムＳＨＡ関数は２個のキーを使用する。第１のキーの長さは１６０ビットであり、第２のキーの長さは３５２ビットである。ＳＨＡ関数は、５１２ビットを１６０ビットに短縮する暗号化ハッシュ関数である。ＳＨＡ関数のオペランドは、式（３）に示すように、キーＫ₂とデータブロックＢの連接である。ただし、ブロックＢは、図３および図４で説明した擬似ランダム関数のオペランドとして使用したｎビットのブロックあるいはストリングである。

ｆ_K2＝ＳＨＡ（Ｋ₄，（Ｋ₂，Ｂ）） （３）

キーＫ₄の長さは１６０ビットであり、データを暗号化するユーザとデータを復号するユーザによって共有される秘密値である。

これらのキーは、データを暗号化するユーザとデータを復号するユーザの両方に既知の初期擬似乱数を用いて生成される。図５〜図８に、初期シードＳ₀を用いてキーＫ₁〜Ｋ₄を生成するために使用されるプロセスを示す。図５に、キーを生成するプロセスの概略を示す。シードＳ₀、公開定数ＰＣおよび公開キーＰＫを擬似ランダム関数ＳＨＡ（安全ハッシュ関数）に与える。

Ｓ_i＝ＳＨＡ（ＰＫ，（ＰＣ′，Ｓ_i-1）） （ｉ＝１，...，１１） （４）

ステップ３０２で、式（４）によって例示されるＳＨＡ関数を繰り返し実行して値Ｓ₁〜Ｓ₁₁を生成する。値Ｓ₁〜Ｓ₁₁のそれぞれの長さは１６０ビットである。ステップ３０４で、値Ｓ₁〜Ｓ₁₁を多項式計算３０６に与える。

Ｘ_i＝（ＡＳ_i＋Ｂ）ｍｏｄ Ｑ （ｉ＝１，...，１１） （５）
ただし、Ｑは、次数１６０の既約多項式である。

ステップ３０６で、式（５）を実行して、値Ｘ₁〜Ｘ₁₁を生成する。ただし、それぞれの値は１６０ビットを含む。式（５）は、多項式乗算の後に多項式加算を行うことを示している。ただし、オペランドＳ_iは、式（４）の出力Ｓ_iに対応する。多項式ＡおよびＢは、１６０ビットの１変数の任意の２個のランダム２元多項式である。式（５）を、Ｓ_iのそれぞれの値に対して実行して、値Ｘ₁〜Ｘ₁₁を生成する。それぞれの値Ｘ_iの長さは最初３２０ビットであり、２元既約多項式を用いて１６０ビットに短縮される。多項式算術および既約多項式は当業者に周知であり、Maurice Mignotte, "Mathematics for Computer Algebra", 1991, Springer-Verlag, New York、のような文献に記載されている。ステップ３１０で、ストリングＸ₁〜Ｘ₁₀の７６個の下位ビット（ＬＳＢ）およびＸ₁₁の７２個のＬＳＢを用いて８３２ビットの集まりを作成する。ステップ３１０で生成されるこの８３２ビットは、キーＫ₁〜Ｋ₄に対応する。

図６および図７に、ＳＨＡ関数のオペランドが生成される方法を示す。想起すべき点であるが、ＳＨＡ関数は、１６０ビットのキーと５１２ビットのオペランドを用いて、１６０ビットの出力を生成する。図６に、ＳＨＡ関数に対するキーとして１６０ビットの公開キーＰＫを使用し、ＳＨＡ関数のオペランドとしてシードＳ₀と、公開定数ＰＣの一部とを使用することによって、ストリングＳ_iが生成されることを示す。一般に、シードＳ₀は、４０〜５１２ビットのどのビット数を含むことも可能であり、ＳＨＡ関数のオペランドは５１２ビットを必要とする。その結果、Ｓ₀が５１２ビットより少ないときに、公開定数ＰＣのＬＳＢを使用して必要なビットを提供して、ＳＨＡ関数に対する５１２ビットのオペランドを生成する。例えば、シードＳ₀のビット数がｘビットである場合、公開定数ＰＣの５１２−ｘ個の下位ビットをＳ₀のビットと連接する。Ｓ₀のビットは、ＳＨＡ関数に対する５１２ビットのオペランドの下位ビットとして使用される。図６に示す動作は、１６０ビットのストリングＳ₁を生成する。図７は、残りのＳ_i（ここでｉ＝２、...、１１）を生成するプロセスを例示する。この場合も、ＳＨＡ関数は、１６０ビットのキーと、短縮されることになる５１２ビットのストリングとを必要とする。公開キーＰＫは、図７のＳＨＡ関数に対する１６０ビットキーとして使用され、短縮される５１２ビットのストリングは、前の１６０ビットストリングＳ_i-1と、公開定数ＰＣの３５２個のＬＳＢとの連接である。注意すべき点であるが、Ｓ_i-1は１６０ビットを提供するため、ＳＨＡ関数に対する全部で５１２ビットを生成するには、公開定数ＰＣから下位３５２ビットが必要である。Ｓ_i-1に対応する１６０ビットは、ハッシュされるべきストリングのＬＳＢとして使用され、公開定数ＰＣからの３５２個のＬＳＢは、ハッシュされるべきストリングの上位ビットとして使用される。

図５を想起すると、ストリングＳ₁〜Ｓ₁₁を生成した後、これらをそれぞれ、式（５）によって定義される多項式演算へのオペランドとして使用して、ストリングＸ₁〜Ｘ₁₁を生成する。ただし、各ストリングの長さは１６０ビットである。図８に、ストリングＸ₁〜Ｘ₁₁の集まりをどのようにして使用して、キーＫ₁〜Ｋ₄に対応する８３２ビットのストリングを生成するかを示す。ストリングＸ₁〜Ｘ₁₀の下位７６ビットと、ストリングＸ₁₁の下位７２ビットを連接して、キーＫ₁〜Ｋ₄を生成するために使用される８３２ビットを生成する。この８３２ビットの下位ビットは、ストリングＸ₁の下位７６ビットであり、その後は、ストリングＸ₂の下位７６ビットであり、以下同様に続き、最後は、ストリングＸ₁₁の下位７２ビットである。得られた８３２ビットストリングをキーＫ₁〜Ｋ₄に分解する。ただし、下位１６０ビットはキーＫ₁に対応し、次の３５２ビットはキーＫ₂に対応し、次の１６０ビットはキーＫ₃に対応し、最後の１６０ビットはキーＫ₄に対応する。

従来のLuby-Rackoff暗号化法の図である。 従来のNaor-Reingold暗号化法の図である。 ２乗ハッシュ関数を使用する効率的な暗号化法の図である。 ２乗ハッシュ関数を使用する効率的な復号法の図である。 キーＫ₁〜Ｋ₄を生成するために用いられる方法の概略図である。 Ｓ₁を生成するためにＳＨＡ関数に対するオペランドをどのように選択するかを説明する図である。 Ｓ₂〜Ｓ₁₁を生成するためにＳＨＡ関数に対するオペランドをどのように選択するかを説明する図である。 ストリングＸ₁〜Ｘ₁₁の下位ビットを用いてキーＫ₁〜Ｋ₄として使用される８３２ビットをどのようにして生成するかを説明する図である。

Claims (7)

1. 容易に傍受できるセルラー通信において使用されるデータにデータセキュリティを提供するために電気的ビット系列にあるデータを暗号化する方法において、該方法は、コンピュータ内のプロセッサにおいてプログラムを通して実行されており、該プログラムは、
   前記電気的ビット系列にあるデータのブロックを入力して、該入力したブロックを第１のｎビットストリング（Ｒ）と第２のｎビットストリング（Ｌ）に分割するステップと、
   第１のキーを用いて前記第１のｎビットストリングの２乗ハッシュを実行して第１のハッシュ結果を生成するステップと、
   前記第１のハッシュ結果と前記第２のｎビットストリングをｎを法として加算して第１の和（Ｓ）を生成するステップと、
   前記第１の和を第２のキーによる擬似ランダム関数のオペランドとして使用して第１の擬似ランダム結果を生成するステップと、
   前記第１の擬似ランダム結果と前記第１のｎビットストリングをｎを法として加算して第２の和（Ｔ）を生成するステップと、
   前記第２の和を第３のキーによる前記擬似ランダム関数のオペランドとして使用して第２の擬似ランダム結果を生成するステップと、
   前記第２の擬似ランダム結果と前記第１の和をｎを法として加算して第３の和（Ｖ）を生成するステップと、
   第４のキーを用いて前記第３の和の２乗ハッシュを実行して第２のハッシュ結果を生成するステップと、
   前記第２の和と前記第２のハッシュ結果をｎを法として加算して第４の和（Ｗ）を生成するステップと、
   前記入力したデータの暗号化表現として、前記第３の和と前記第４の和を電気的ビット系列として出力するステップとからなる方法。
2. 前記第２のキーと前記第３のキーは等しいことを特徴とする請求項１に記載の方法。
3. 前記擬似ランダム関数はＳＨＡ擬似ランダム関数であることを特徴とする請求項１に記載の方法。
4. 前記第２のキーと前記第３のキーは等しいことを特徴とする請求項３に記載の方法。
5. 容易に傍受できるセルラー通信において使用されるデータにデータセキュリティを提供するために電気的ビット系列にあるデータを暗号化する方法において、該方法は、コンピュータ内のプロセッサにおいてプログラムを通して実行されており、該プログラムは、
   前記電気的ビット系列にあるデータのブロックを入力して、該入力した通信データのブロックを第１のｎビットストリング（Ｒ）と第２のｎビットストリング（Ｌ）に分割するステップと、
   第１のハッシュ関数を用いて、第１のキーによる前記第１のｎビットストリングのハッシュを実行して第１のハッシュ結果を生成するステップと、
   前記第１のハッシュ結果と前記第２のｎビットストリングをｎを法として加算して第１の和（Ｓ）を生成するステップと、
   前記第１の和を第２のキーによる擬似ランダム関数のオペランドとして使用して第１の擬似ランダム結果を生成するステップと、
   前記第１の擬似ランダム結果と前記第１のｎビットストリングをｎを法として加算して第２の和（Ｔ）を生成するステップと、
   前記第２の和を第３のキーによる前記擬似ランダム関数のオペランドとして使用して第２の擬似ランダム結果を生成するステップと、
   前記第２の擬似ランダム結果と前記第１の和をｎを法として加算して第３の和（Ｖ）を生成するステップと、
   第２のハッシュ関数を用いて、第４のキーによる第３の和のハッシュを実行して第２のハッシュ結果を生成するステップと、
   前記第２の和と前記第２のハッシュ結果をｎを法として加算して第４の和（Ｗ）を生成するステップと、
   前記入力したデータの暗号化表現として、前記第３の和と前記第４の和を電気的ビット系列として出力するステップとからなる方法。
6. 前記第１のハッシュ関数と前記第２のハッシュ関数は同じであることを特徴とする請求項５に記載の方法。
7. 前記擬似ランダム関数はＳＨＡ擬似ランダム関数であることを特徴とする請求項５に記載の方法。
   

Images