JP2004511812A - メッセージ認証コードのためのキーの整数の置換の生成 - Google Patents

Abstract

Ｎがｐおよびｑへ因数分解されるか、またはＮが素数であるときに、組Ｚ_Ｎに対してキーによる整数置換を構成する方法。Ｎビットは、代表的な指数のキーによる置換を求めることによって置換される。Ｎがｐおよびｑへ因数分解できるときは、指数の組は２つの部分へ分割される。この部分は“ラウンド”と呼ばれる反復的な処理を行なわれ、各ラウンドでは、第１の２分の１ラウンドの関数は第１の部分について演算して、第１の２分の１ラウンドの値を形成し、第１の２分の１ラウンドの値と第２の部分とはモジューロｐの加算器によって一緒に加算され、第１の出力値を形成し、第２の２分の１ラウンドの関数は第２の部分について演算して、第２の２分の１ラウンドの値を形成し、第２の２分の１ラウンドの値と第１の部分とが、モジューロｑの加算器によって一緒に加算され、第２の出力値を形成する。このやり方では、ラウンドの出力は再び順序付けられる。Ｎが１３以上の素数であるときは、Ｎは合成数の値ｓとｔとに分割され、２つの組はｓおよびｔの要素でそれぞれ形成される。次に各組は、Ｎが素数でないときの方法を使用して置換される。各ラウンドの最後に、２つのブロックは混合演算を使用してを合成される。

Description

【０００１】
発明の背景
Ｉ．発明の分野
本発明は、概ね通信の分野、とくにメッセージ認証コードにおいて使用するためのＮを法とする整数の組に対してキーによる置換を構成することに関する。
【０００２】
ＩＩ．背景
メッセージ認証コード（ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ， ＭＡＣ）は、暗号によって求められる項目（ｉｔｅｍ）であり、これは、特定の当事者から発信され、かつ他の当事者によって変更されていないメッセージを確認（ｖｅｒｉｆｙ）するために、特定のメッセージに添付される。このために、ＭＡＣは遠隔通信の多数の分野で使用することができる。ＭＡＣは、例えば、無線通信の分野で使用されている。
【０００３】
無線通信の分野には、多くの応用があり、例えば、コードレス電話、ページング、無線ローカルループ、パーソナルディジタルアシスタント（ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ， ＰＤＡ）のような無線データアプリケーション、セルラおよびＰＣＳ電話システムのような無線電話、移動インターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ， ＩＰ）電話、並びに衛星通信システムが含まれる。特定の重要なアプリケーションは、移動加入者のための無線電話である。
【０００４】
種々の空中インターフェイスは、無線通信システム、例えば周波数分割多重アクセス（ｆｒｅｑｕｅｎｃｙ ｄｉｖｉｓｉｏｎ ｍｕｌｔｉｐｌｅ ａｃｃｅｓｓ， ＦＤＭＡ）、時分割多重アクセス（ｔｉｍｅ ｄｉｖｉｓｉｏｎ ｍｕｌｔｉｐｌｅ ａｃｃｅｓｓ， ＴＤＭＡ）、および符号分割多重アクセス（ｃｏｄｅ ｄｉｖｉｓｉｏｎ ｍｕｌｔｉｐｌｅ ａｃｃｅｓｓ， ＣＤＭＡ）のために開発された。これと関連して、種々の国内および国際的な標準規格、例えばＡｄｖａｎｃｅｄ Ｍｏｂｉｌｅ Ｐｈｏｎｅ Ｓｅｒｖｉｃｅ （ＡＭＰＳ）、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ （ＧＳＭ）、Ｉｎｔｅｒｉｍ Ｓｔａｎｄａｒｄ ９５ （ＩＳ−９５）が設定された。
【０００５】
無線電話通信システムの例には、符号分割多重アクセス（ｃｏｄｅ ｄｉｖｉｓｉｏｎ ｍｕｌｔｉｐｌｅ ａｃｃｅｓｓ， ＣＤＭＡ）システムがある。ＩＳ−９５の標準規格、および派生の標準規格、すなわちＩＳ−９５Ａ、ＡＮＳＩ Ｊ−ＳＴＤ−００８、ＩＳ−９５Ｂ、提案された第三世代の標準規格であるＩＳ−９５ＣおよびＩＳ−２０００、データに限定して提案された高データレートのＣＤＭＡの標準規格、など（ここでは、まとめてＩＳ−９５と呼ぶ）は、米国電気通信工業会（Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｉｎｄｕｓｔｒｙ Ａｓｓｏｃｉａｔｉｏｎ， ＴＩＡ）および他の周知の標準規格制定機関によって公布され、セルラまたはＰＣＳの電話通信システムのためのＣＤＭＡの空中インターフェイスの使用を指定している。ＩＳ−９５の標準規格の使用に実質的にしたがって構成された無線通信システムの例は、米国特許第５，１０３，４５９号および第４，９０１，３０７号に記載されており、これらは本発明の譲受人に譲渡され、ここでは参考文献として十分に取り上げている。
【０００６】
無線通信システム上で送られたデータを暗号化するための１つの方法には、国立標準技術研究所（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ）によってＦＩＰＳ ＰＵＢ ４６−２において（１９９３年１２月３０日に）公布されたデータ暗号化規格（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ， ＤＥＳ）があり、これはフェイステルネットワーク（Ｆｅｉｓｔｅｌ Ｎｅｔｗｏｒｋ）を使用して、二値コード情報を暗号へ変換する。フェイステルネットワークは、ＤＥＳにおいて６４ビット長のデータブロックを変換するのに使用される。最初に、６４ビットのデータブロックに対して最初の置換（ｐｅｒｍｕｔａｔｉｏｎ）ステップを行なう。置換されたデータブロックは、３２ビットの長さをもつ両半分のブロックに分割され、一方のブロックはＬに分類され、他方のブロックはＲに分類される。これらのブロックは、次に示す関係式を使用して反復的な手順で処理される。
【０００７】
【数１】

【０００８】
各反復ステップをラウンド（ｒｏｕｎｄ）と呼ぶので、関数ｆを“ラウンド”関数とも呼ぶ。ＤＳＮのアルゴリズムでは、ラウンド関数ｆは４つの演算から成る。最初に、５６ビットのキーから４８ビットのサブキーを選択する。次にラウンド関数ｆは、拡張置換（ｅｘｐａｎｓｉｏｎ ｐｅｒｍｕｔａｔｉｏｎ）を介して右半分のデータブロックを３２ビットから４８ビットへ拡張するステップと、ＸＯＲ演算を介してこの拡張の結果を４８ビットのサブキーと合成するステップと、この合成の結果を８つの代入ボックス（ｓｕｂｓｔｉｔｕｔｉｏｎ ｂｏｘ）へ送って、追加の３２ビットを生成するステップと、この生成の結果を置換するステップとを含む。関数ｆの出力は別のＸＯＲ演算によって左半分のブロックと合成され、この合成の結果は新しい右半分のブロックとして使用され、一方で古い右半分のブロックは、次のラウンドの新しい左半分のブロックとして使用される。各ラウンドごとにｆを再構成して、次の関係式を満足させることができるので、ＤＥＳのラウンドは可逆性（ｒｅｖｅｒｓｉｂｌｅ）である。
【０００９】
【数２】

【００１０】
データブロックは二値形式であるので、ＤＥＳのような従来技術の方法では、プレーンテキストメッセージ（その要素はｎの項のカルテシアン積Ｚ_２×Ｚ_２×．．．×Ｚ_２の組のメンバーである）を暗号文メッセージ（同様にその要素はｎの項のカルテシアン積Ｚ_２×Ｚ_２×．．．×Ｚ_２の組のメンバーである）へ暗号化する。ここで使用されているように、Ｚ_ｍは、加法のモジューロｍにしたがう巡回群｛０，１，．．．，ｍ−１｝である。したがって、ＤＥＳの目的は、プレーンテキスト（例えば、元のデータ）のメッセージ内のビットの順序を変更することではない。むしろ、ＤＥＳの目的は、暗号文の各ビットがプレーンテキストの全ビットに依存するような暗号文を生成することである。
【００１１】
ＤＥＳは可逆性であり、キーの制御のもとで２^６４の入力を２^６４の出力へ変換するので、ＤＥＳは、キーが整数の組｛０，１，．．．，２^６４−１｝の置換を選択する方法であると考えることもでき、したがってキーによって選択される置換は、許可されていない当事者から隠され続けなければならない。
【００１２】
通常の通信では、ＭＡＣは、メッセージと、メッセージの発信者および受信者のみが知っている共有の秘密キーＫとが入力された関数の出力である。選択された特定の関数が保護されているときは、送られたメッセージを傍受し、かつそれを変更する可能性のあるアクティブなアタッカー（ａｃｔｉｖｅ ａｔｔａｃｋｅｒ）は、キーＫを発見することも、受信者が合理的な確率で妥当（ｖａｌｉｄ）として受信することになるメッセージを生成することもできない。
【００１３】
新しいタイプのＭＡＣは、１９９９年８月９日に出願された米国特許出願第０９／３７１，１４７号（“ＭＥＴＨＯＤ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＧＥＮＥＲＡＴＩＮＧ Ａ ＭＥＳＳＡＧＥ ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＣＯＤＥ”）において提案され、本発明の譲受人によって譲渡され、ここでは参考文献として十分に取り入れており、このＭＡＣは、幾つかのキーの影響のもとでｍビットのデータブロックのビットを再び順序付け、再び順序付けられたｍビットブロックの線形関数であるｘビットの巡回冗長検査（ｃｙｃｌｉｃ ｒｅｄｕｎｄａｎｃｙ ｃｈｅｃｋ， ＣＲＣ）を構成することに依存している。このＭＡＣは、ＣＲＣ−ＭＡＣと呼ぶ。送信者は元のｍ−ビットのデータブロックをＣＲＣ−ＭＡＣと一緒に受信者へ送る。受信者は共有のキーを使用して、受信したデータメッセージのビットを再び順序付ける。次に受信者は生成されたブロックからＣＲＣを計算する。この方法を使用すると、受信者は、データが転送中に変更されたかどうかを検出することと、伝送中に発生した少数のエラーを訂正することができ、一方でアクティブなアタッカーには、メッセージを偽造または変更するのがさらに困難になる。
【００１４】
ｍ＋ｘ＝２^ｘ−１−１であるとき、ｍおよびｘが最適であることは、よく知られている。ｘビットのＣＲＣ−ＭＡＣの構成は、米国特許出願第０９／３７１，１４７号により詳しく記載されている。この技術において普通の技能をもつ者には、１６ビットのＣＲＣは無線通信の分野において特定用途をもつことが知られている。上述の関係式において数ｘ＝１６を使用すると、ＣＲＣ−ＭＡＣの構成のためのデータブロックの最適な大きさは、ｍ＝（２^１５−１）−１６＝３２，７５１ビットである。
【００１５】
ｍおよびｘの最適値について既に記載したように、ＣＲＣ−ＭＡＣには、元のｍビットのデータブロックのビットを再び順序付けることによって、キーを使用してｍビットの中間ブロック、ここではｍ＝（２^ｘ−１−１）を構成する方法が必要である。米国特許出願第０９／３７１，１４７号に記載されているように、ｍビットの中間ブロックの構成は２つのアルゴリズムを使用して実行することができる。第１のアルゴリズムで、各指数（ｉｎｄｉｃｅｓ）をｍビットのデータブロック内のビットへ処理する。第１のアルゴリズムは、ｍビットのデータブロックの各ビット位置と関係する各指数ｘについて、ｘと同じ範囲内のユニークな指数ｙを判断する（なお、ｙはｘおよび共有の秘密キーから判断される）ため第２のアルゴリズムに要求する。次に第１のアルゴリズムで、中間のブロックのビット位置ｙの値を、データブロックの位置ｘにおけるビットの値に設定する。
【００１６】
第１のアルゴリズムが範囲｛０，１，．．．，ｍ−１｝内の指数ｘの各々についてこれらのステップを実行すると、中間のブロックはｍビットのブロックになり、ここにはデータブロックのビットが異なる順序で含まれている。ＣＲＣ−ＭＡＣを保護するために、所与のキーについて、第１のアルゴリズムが中間のブロックの同じ位置に同じブロックからの２ビットを置かないことが必要である。第２のアルゴリズムが、各キーごとに組｛０，１，．．．，ｍ−１｝から各キー自体への１対１のマッピングを定義するときのみ、この条件は満たされる。１対１のマッピングは、この技術では一般的に置換（ｐｅｒｍｕｔａｔｉｏｎ）と呼ばれている。したがって、ＣＲＣ−ＭＡＣには、キーを使用して、組｛０，１，．．．，ｍ−１｝における置換を定義する方法が必要である。さらに、キーによって選択される置換は、許可されていない当事者からは隠され続けなければならない。
【００１７】
ＤＥＳは、キーを使用して整数の組｛０，１，．．．，２^６４−１｝における置換を判断する方法であるとすると、キーによって選択される置換は許可されていない当事者から隠され続けなければならない。ｍの値が２^６４であるときは、ＤＥＳは第２のアルゴリズムに対する条件を満たしていることになる。しかしながら、ＤＥＳおよび他のブロックの暗号は順序（ｏｒｄｅｒ）２^Ｍの組間の１対１の関係を生成するためにのみ構成されていて、他の順序の組間の１対１の関係を定義していないので、このような暗号を第２のアルゴリズムとして使用することはできない。さもなければ、ブロックの暗号の特性は、第２のアルゴリズムに必要な条件を満たし、第２のアルゴリズムは同じ保護の概念で構成されていたであろう。
【００１８】
ＲＳＡアルゴリズムおよびＥｌ−Ｇａｍａｌアルゴリズムのようないくつかの公開鍵暗号化アルゴリズムは、キーがＺ_Ｎ（Ｎは２の累乗以外の一定の値）における置換を定義するための方法を開示している。しかしながら、これらの公開鍵アルゴリズムは３２，７５１のような小さい値のＮに対しては保護されていないので、これらの方法はＣＲＣ−ＭＡＣで使用されるべきではない。キーによって選択される置換は、ＣＲＣ−ＭＡＣに必要なＮの値について、許可されていない当事者から隠されなければならない。
【００１９】
したがって、現在はＣＲＣ−ＭＡＣにおいて大きい数（ｌａｒｇｅ ｎｕｍｂｅｒ）のＮのデータビットを置換することが求められている。上述の最適の場合は、データブロックには３２，７５１ビットが含まれているべきである。既に記載したように、Ｎビットを置換するには、キーによって選択される置換が許可されていない当事者から隠され続けるように、キーが組｛０，１，．．．，Ｎ−１｝＝Ｚ_Ｎに対する置換を定義する方法が必要である。このような方法に求められることは、Ｎが合成数（ｃｏｍｐｏｓｉｔｅ）であっても、素数（ｐｒｉｍｅ）であっても、いかなるＮの値にも適用できることである。素数は１よりも大きい整数であって、１と自分自身のみを因数とする整数である。合成数は１よりも大きく、素数でない整数である。このような方法は、遠隔通信システムにおけるメッセージの認証およびエラー訂正の他に、種々の幅広い応用に適用できる。
【００２０】
要約
本発明では、Ｎの値が２の累乗でないとき、キーによって選択される置換が許可されていない当事者から隠され続けるように、キーが組Ｚ_Ｎに対する置換を定義する方法が求められていることに対処した。本発明は、１３以上のすべての整数に応用可能である。Ｎが素数であるか、合成数であるかにしたがって、異なる方法を使用する。
【００２１】
本発明は、Ｎビットのデータブロックを置換するための方法に関し、Ｎビットのデータブロックの各ビットは、複数のＮの指数の中の指数と関係している。Ｎが合成数であり、かつＮが１よりも大きい整数値ｐと１よりも大きい整数値ｑとへ因数分解されるときは、本発明は、幾つかのラウンドを行なうことによって入力値から出力値を求める方法であって、各ラウンドは、第２の部分と整数値ｑによって乗算された第１の部分との合成として表わすことができる入力値を、グループＺ_ｐについて構成されている第１の部分と、グループＺ_ｑについて構成されている第２の部分とへ分割するステップと、第１の２分の１ラウンドのキーと第２の２分の１ラウンドのキーとを構成するステップと、第２の部分および第１の２分の１ラウンドのキーとから、第２の部分と第１の２分の１ラウンドのキーとについて演算する第１の非線形関数の出力である第１の２分の１ラウンドの値を求めるステップと、モジューロｐの加算器を使用して、第１の２分の１ラウンドの値を第１の部分と合成して、第３の部分を生成するステップと、第３の部分と第２の２分の１のラウンドのキーとから、第３の部分と第２の２分の１ラウンドのキーとについて演算する第２の非線形関数の出力である第２の２分の１のラウンドの値を求めるステップと、モジューロｑの加算器を使用して、第２の２分の１ラウンドの値と第２の部分とを合成するステップと、第３の部分を整数値ｑによって乗算して、第２の２分の１ラウンドの値を加算することによって、第２の２分の１ラウンドからの出力値を構成するステップとが含まれている方法に関する。
【００２２】
Ｎが１３よりも大きい素数であるときは、Ｎは２つの合成数ＳとＴとの和として書き表わすことができ、組Ｚ_Ｎを、Ｓに等しい要素数をもつ組Ａと、Ｔに等しい要素数をもつ組Ｂとの２つの組へ分割することができる。合成数Ｎについての上述の方法は、組Ａにおける置換と、組Ｂにおける置換とを定義するのに適用でき、幾つかのラウンドを実行することによって入力値から出力値を求めることができ、各ラウンドは素数のラウンドと混合のラウンドとから構成されていて、かつ最終のラウンドは素数のラウンドのみである。素数のラウンドでは、ラウンドの入力値が組Ａに含まれているか、または組Ｂに含まれているかを判断し、値が組Ａに含まれているときは、既に記載したようにラウンドのキーによって定義されている組Ａにおける置換を使用して入力値から第１の値を判断し、値が組Ｂに含まれているときは、既に記載したようにラウンドのキーによって定義される組Ｂにおける置換を使用して入力値から第１の値を判断するステップを含み、混合のラウンドでは、全組Ｚ_Ｎについて、Ａ内の値の約Ｓ／ＮをＡ内の値にマップする特性をもつ簡単な置換へ、第１の値を入力して、ラウンドの出力を生成するステップを含む。
【００２３】
好ましい実施形態の詳細な説明
図１は、ＦＩＰＳ ＰＵＢ４６−２において（１９９３年１２月３０日に）発行されたデータ暗号化標準規格（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ， ＤＥＳ）によって指定されている従来技術の暗号化計算のブロック図である。６４ビットブロックの入力１００は、最初の置換ステップ１０１にしたがって置換される。最初の置換ステップ１０１の結果は、ブロックＬ_０１０２およびＲ_０１０３である。
【００２４】
第１のラウンドでは、ブロックＲ_０１０３およびブロックのキービットＫ_１１０４は、関数ｆ１０５によって演算される。ブロックｆ１０５およびブロックＬ_０１０２の出力は、モジューロ２の加算器１０６を使用して合成され、ブロックＲ_１１１３を形成する。ブロックＬ_１１１２は、ブロックＲ_０１０３に等しく設定される。
【００２５】
第２のラウンドでは、ブロックＲ_１１１３およびブロックのキービットＫ_２１１４は、関数ｆ１１５によって演算される。関数ｆ１１５およびブロックＬ_１１１２の出力は、モジューロ２の加算器１１６を使用して合成され、ブロックＲ_２１２３を形成する。ブロックＬ_２１２２は、ブロックＲ_１１１３に等しく設定される。
【００２６】
第１のラウンドおよび第２のラウンドについて記載されている手続きは、１６ラウンドが完了するまで繰返される。ｎ番目のラウンド中に、ブロックのキービットＫ_ｎ１２４およびブロックＲ_ｎは、関数ｆ１２５によって演算され、この演算の出力は、モジューロ２の加算器１２６を使用してブロックＬ_ｎと合成される。最終のラウンドでは、ブロックＲ_１６１４２およびブロックＬ_１６１４３が逆の最初の置換ステップ１４４へ入力され、出力１４５を形成する。
【００２７】
ＤＥＳ方法では、ブロックのビットを演算し、他のブロックの暗号もブロックのビットについて演算する。したがって、現在の最新技術では、大きさ２^ｎ（ｎは全体的にブロック内のビット数）のブロックの暗号化に焦点を当てている。本発明は、任意の大きさの組からの値の暗号化を向上した改良である。
【００２８】
図２は、本発明の１つのラウンドの例示的な実施形態のブロック図であり、キーによる整数置換（ｋｅｙｅｄ ｉｎｔｅｇｅｒ ｐｅｒｍｕｔａｔｉｏｎ， ＫＩＰ）はＺ_Ｎ（Ｎは素数ではない）について構成されている。Ｎ＝ｐｑ（整数ｐ＞１およびｑ＞１）とする。入力Ｃ_ｉ２００は２つの部分、すなわち部分Ｌ_ｉ２１０およびＲ_ｉ２１１へ分割され、Ｃ_ｉ＝Ｌ_ｉ−ｑ＋Ｒ_ｉ，Ｌ_ｉ∈Ｚ_ｐおよびＲ_ｉ∈Ｚ_ｑとなる。部分Ｒ_ｉ２１１および２分の１のラウンド値Ｋ１_ｉ２１２は非線形関数ｆ_１２１３によって演算され、２分の１のラウンドの値ｖ_ｉを形成する。２分の１のラウンドの値ｖ_ｉは、モジューロｐの加算器２１５を使用して部分Ｌ_ｉへ加算され、部分Ｌ’_ｉ２２０を形成する。部分Ｌ’_ｉ２２０および２分の１のラウンドキーＫ２_ｉ２２２は、非線形関数ｆ_２２２３によって演算され、２分の１のラウンド値ｖ’_ｉを形成する。２分の１のラウンド値ｖ’_ｉおよび部分Ｒ_ｉ２１１をモジューロｑの加算器２２５を使用して一緒に加算して、部分Ｒ’_ｉ２２１を求める。出力部分Ｃ_ｉ＋１２３０は、式Ｃ_ｉ＋１＝Ｌ’_ｉ−ｑ＋Ｒ’_ｉによって形成される。その代わりに、Ｌ’_ｉ２２０およびＲ’_ｉ２２１を次の反復ラウンドで使用してもよい。
【００２９】
図２に記載した方法は可逆であり、したがってＣ_ｉはＣ_ｉ＋１から判断することができる。最初に、Ｃ_ｉ＋１は部分Ｌ’_ｉおよびＲ’_ｉへ分割され、関係式Ｃ_ｉ＋１＝Ｌ’_ｉ−ｑ＋Ｒ’_ｉを満足させる。Ｒ_ｉを導き出すには、ｖ’_ｉ＝ｆ_２（Ｌ’_ｉ，Ｋ２_ｉ）を求めて、Ｒ’_ｉ（モジューロｑ）から２分の１のラウンドの値ｖ’_ｉを減算する。結果の値はＲ_ｉである。Ｒ_ｉが分かると、ｖ_ｉ＝ｆ_１（Ｒ_ｉ，Ｋ１_ｉ）を評価し、Ｌ’_ｉ（モジューロｐ）から２分の１ラウンドの値ｖ_ｉを減算することによって、Ｌ_ｉを求める。結果の値はＬ_ｉである。Ｃ_ｉの値はＣ_ｉ＝Ｌ’_ｉ−ｑ＋Ｒ_ｉとして判断される。
【００３０】
図３は、プロセッサを使用した整数置換デバイスのブロック図である。制御装置３２０はプロセッサ３２２に接続されていて、プロセッサ３２２の動作を指示する命令の組を含んでいる。制御装置３２０はソフトウエアプログラムまたは１組のマイクロコードを含むことができる。プロセッサ３２２は、置換デバイスによって要求される操作を実行するハードウエアである。プロセッサ３２２はマイクロ制御装置、マイクロプロセッサ、または本明細書に記載した機能を実行するように設計されたディジタル信号プロセッサとして構成することができる。プロセッサ３２２にはメモリ素子３２４が接続されていて、メモリ素子３２４は値および命令を記憶するのに使用される。メモリ素子３２４はランダムアクセスメモリか、または本明細書に記載した機能を実行するように設計されている他のメモリデバイスと共に構成されていてもよい。命令および値は、読み出し専用メモリ、ランダムアクセスメモリ、または他のメモリデバイス内に記憶することができる。
【００３１】
図２に概ね示されているように、Ｚ_Ｎに対するキーによる整数置換を生成する方法は、ｐおよびｑに対する種々の選択に適応するように変更することができる。図４は、キーによる整数置換方法の１ラウンドの実施形態のブロック図であり、なおｐ＝１７８、ｑ＝１８４であり、したがってＮ＝３２７５２である。さらに加えて、数値３２７５２は８９×２３×２^４へ因数分解でき、なお８９×２＝１７８、２３×２^３＝１８４である。入力Ｃ_ｉ４００は２つの部分、すなわち部分Ｌ_ｉ４１０および部分Ｒ_ｉ４１１へ分割され、したがってＣ_ｉ＝１８４　Ｌ_ｉ＋Ｒ_ｉである。部分Ｌ_ｉ４００はＬ_ｉ＝Ｃ_ｉ ｄｉｖ １８４から求めることができる（なお、Ａ ｄｉｖ Ｂは（Ａ÷Ｂ）の整数部分である）。部分Ｒ_ｉ４１１は、Ｒ_ｉ＝Ｃ_ｉ ｍｏｄ １８４から求めることができる。
【００３２】
部分Ｒ_ｉ４１１および定数α４１３は、モジューロ３５６の乗算器４１４によって一緒に乗算され、乗算結果ｕを生成する。乗算結果ｕおよび２分の１のラウンドキー値Ｋ１_ｉ４１２はモジューロ３５６の加算器４１６によって一緒に加算され、合成結果ｗを生成する。整数値３５６＝２^＊１７８であることに注意すべきである。ステップ４１９では、合成結果ｗは、関係式ｗ＝ｘ^＊ｍ＋ｙによって代入表示値（ｓｕｂｓｔｉｔｕｔｉｏｎ ｉｎｄｉｃａｔｏｒ ｖａｌｕｅ）ｘおよび代入入力値（ｓｕｂｓｔｉｔｕｔｉｏｎ ｉｎｐｕｔ ｖａｌｕｅ）ｙへ分解され、なお代入表示値ｘは組Ｚ_２の要素であり、代入入力値ｙは組Ｚ_ｍの要素であり、ｍはｐに等しく設定され、この特定の実施形態ではｐ＝１７８である。代入表示値ｘを使用して、各々がＺ_１７８における置換である２つの代入ボックスＳ_０４２０およびＳ_１４２１の一方を選択する。代入表示値ｘを使用して、代入ボックスＳ_ｘを選択した後で、代入ボックスＳ_ｘによって代入入力値ｙを演算して、２分の１ラウンドの値ｖ_ｉを求める。モジューロ１７８の加算器４２３によって２分の１ラウンドの値ｖ_ｉおよび部分Ｌ_ｉ４１０を演算して、部分Ｌ’_ｉ４２４を求める。
【００３３】
モジューロ３６８の加算器４２６によって部分Ｌ’_ｉ４２４および定数β４２５を一緒に乗算して、乗算結果ｕ’を生成する。整数値３６８＝２^＊１８４であることに注意すべきである。モジューロ３６８の加算器４２９によって乗算値ｕ’および２分の１ラウンドのキーの値Ｋ２_ｉ４２８を一緒に加算して、合成結果ｗ’を生成する。ステップ４３０では、関係式ｗ’＝ｘ’^＊ｎ＋ｙ’によって合成結果ｗ’を代入表示値ｘ’および代入入力値ｙ’へ分解する（なお、代入表示値ｘ’は組Ｚ_２の要素であり、代入入力値ｙ’は組Ｚ_ｎの要素であり、ｎはｑに等しく設定され、この特定の実施形態ではｑ＝１８４である）。代入表示値ｘ’を使用して、各々がＺ_１８６に対する置換である２つの代入ボックスＴ_０４３３およびＴ_１４３４の一方を選択する。代入表示値ｘ’を使用して、代入ボックスＴ_ｘ’を選択した後で、代入ボックスＴ_ｘ’によって代入入力値ｙ’を演算して、２分の１ラウンドの値ｖ’_ｉを求める。モジューロ１７８の加算器４３６によって２分の１ラウンドの値ｖ’_ｉおよび部分Ｒ_ｉ４１１を演算して、部分Ｒ’_ｉ４３７を求める。
【００３４】
キーによる整数置換のために選択された２つの関数ｆ_１４８０およびｆ_２４９０は、構造において互いに類似している。関数ｆ_１４８０は定数によって入力を乗算し、結果のモジューロ２ｐを低減し、値ｕを求める。本発明の上述の実施形態では、２ｐ＝３５６である。関数ｆ_２４９０では、定数β＝３６８によって入力を乗算して、結果のモジューロ２ｑ（２ｑ＝３６８）を低減して、値ｕ’を求める。定数αおよびβは、αと３５６とが互いに素であり、βと３６８とが互いに素であるように選択される。例えば、３３と３５６とは互いに素であるので、定数αは整数値３３に等しく設定できる。乗算の後で、２分の１ラウンドのキーをモジューロ３５６に加算して、ｗ＝ｘ^＊ｍ＋ｙ（ｘ∈Ｚ_２、ｙ∈Ｚ_ｊ、ｊはそれぞれ値ｐまたはｑをもつ）として表わすことができる出力値ｗを求める。ｘの値を使用して、２つの代入ボックスの一方を選択する。関数ｆ_１４８０では、これらの２つの代入ボックスはＳ_０、Ｓ_１で示され、各代入ボックスＺ_１７８における置換である。関数ｆ_２４９０では、これらの２つの代入ボックスはＴ_０、Ｔ_１で示され、各代入ボックスはＺ_１８４における置換である。ｆ_１の出力はｖ_ｉ＝Ｓ_ｘ（ｙ）であり、ｆ_２の出力はｖ’_ｉ＝Ｔ_ｘ（ｙ）の出力である。
【００３５】
２分の１ラウンドのキー値Ｋ１ _ｉ およびＫ２ _ｉ の判断
本発明の実施形態における２分の１ラウンドのキー値はＳＯＢＥＲＩＩのストリーム暗号によって生成でき、なおＳＯＢＥＲＩＩのストリーム暗号は、１９９７年９月２２日に出願された米国特許出願第０８／９３４，５８２号（“ＭＥＴＨＯＤ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＧＥＮＥＲＡＴＩＮＧ ＥＮＣＲＹＰＴＩＯＮ ＳＴＲＥＡＭ ＣＩＰＥＲＳ”）、１９９７年１０月２４日に出願された米国特許出願第０８／９５７，５７１号（“ＭＥＴＨＯＤ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＧＥＮＥＲＡＴＩＮＧ ＥＮＣＲＹＰＴＩＯＮ ＳＴＲＥＡＭ ＣＩＰＥＲＳ”）、１９９８年８月２８日に出願された米国特許出願第０９／１４３／４４１号（“ＭＥＴＨＯＤ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＧＥＮＥＲＡＴＩＮＧ ＥＮＣＲＹＰＴＩＯＮ ＳＴＲＥＡＭ ＣＩＰＥＲＳ”）、および１９９９年９月８日に出願された米国特許出願第０９／２４６，３６６号（“ＭＥＴＨＯＤ ＡＮＤ ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＧＥＮＥＲＡＴＩＮＧ ＥＮＣＲＹＰＴＩＯＮ ＳＴＲＥＡＭ ＣＩＰＥＲＳ”）に記載されている。上述の特許出願は本発明の譲受人に譲渡されており、本明細書では別途記載しない。しかしながら、ストリーム暗号が、均等に分配されているバイトを生成するときは、このようなストリーム暗号を使用して、２分の１ラウンドのキーの値を生成できることに注意すべきである。このようなストリーム暗号がｓ_０，ｓ_１，．．．，ｓ_ｔ，．．．で表わされる出力バイトを生成するとき、２つの連続しているバイトの整数値ｚ_ｔ＝２５６ｓ_２ｔ＋ｓ_２ｔ＋１はＺ_{６５５３６}において均等に分配されることに注意すべきである。本発明の例示的な実施形態では、ＳＯＢＥＲＩＩは、セッションキーおよび恐らくは若干の追加のデータを使用して初期設定され、ｓ_０，ｓ_１，．．．，ｓ_ｔ，．．．で表わされる十分なバイトの出力を生成する。２分の１のラウンドのキーは、均等に分配されるように設計されている。均等に分配された２分の１のラウンドのキーを生成する１つの方法では、ｚ_ｔが６５５０４未満であるときのみ、２つの連続している整数値バイトｚ_ｔ＝２５６ｓ_２ｔ＋ｓ_２ｔ＋１を使用する。６５５０４は整数値３５６（２ｐ＝３５６）および３６８（２ｑ＝３６８）によって因数分解できるので、低減されたモジューロ３５６またはモジューロ３６８で
ある０ないし６５５０３の均等に分配された数ｚ_ｔも、それぞれＺ_３５６およびＺ_３６８において均等に分配されることになる。
【００３６】
ｚ_ｔの値を、ｔ＝０から計算する。ｚ_ｔが６５５０４以上であるときは、ｔはインクリメントされ、ｚ_ｔの値はｔの新しい値において計算される。このプロセスは、ｚ_ｔの値が６５５０４未満であることが分かるまで繰返される。次に６５５０４未満のｚ_ｔの値は、Ｋ１_１を求めるための低減されたモジューロ３５６である。Ｋ１_ｉを判断した後で、ｔの値はインクリメントされ、ｔの新しい値においてｚ_ｔの値を計算する。ｚ_ｔが６５５０４以上であるときは、ｔはインクリメントされ、ｔの新しい値においてｚ_ｔの値を計算する。このプロセスは、ｚ_ｔの新しい値が６５５０４未満であることが分かるまで繰返される。６５５０４未満のこのｚ_ｔの値は、Ｋ２_１を求めるための低減されたモジューロ３６８である。Ｋ１_１をおよびＫ２_１を判断すると、ｔはインクリメントされ、ｔから０へ設定しなくても、プロセスはこの方法の始めに戻る。全ての２分の１のラウンドキーが求められるまで、この方法を繰返して、Ｋ１_２、Ｋ２_２、Ｋ１_３、Ｋ２_３などを判断する。図５は、この反復プロセスを詳しく示したフローチャートである。
【００３７】
ステップ５００では、指数（ｉｎｄｅｘ）ｔは０に等しく設定され、ラウンド数ｉは１に設定される。ステップ５１０では、中間値ｚ_ｔは関係式ｚ_ｔ＝２５６ｓ_２ｔ＋ｓ_２ｔ＋１によって判断される。ｚ_ｔが６５５０４未満であるときは、ステップ５２０へ進む。ｚ_ｔが６５５０４以上であるときは、ステップ５３０へ進む。ステップ５２０では、Ｋ１_ｉはｚ_ｔ ｍｏｄ ３５６に等しく設定され、指数ｔはインクリメントされ、プロセスのフローチャートはステップ５４０へ進む。ステップ５３０では、指数ｔはインクリメントされ、プロセスのフローチャートはステッ５１０へ進む。ステップ５４０では、値ｚ_ｔを関係式ｚ_ｔ＝２５６ｓ_２ｔ＋ｓ_２ｔ＋１（指数ｔはステップ５２０においてインクリメントされている）によって判断する。ｚ_ｔが６５５０４未満であるときは、ステップ５５０へ進み、ｚ_ｔが６５５０４以上であるときは、ステップ５６０へ進む。ステップ５５０では、、Ｋ２_ｉはｚ_ｔ ｍｏｄ ３６８に等しく設定され、指数ｔおよびｉはインクリメントされる。ｉ＜ｒであるときは、ステップ５１０へ戻る。ステップ５６０では、指数ｔはインクリメントされ、プログラムのフローチャートはステップ５４０へ進む。
【００３８】
本発明の別の実施形態では、図２に概ね示したキーによる整数置換はＺ_{３２７５１}についてｐ＝３^３およびｑ＝１２１３として実行される。（３２７５１＝３^３×１２１３であることに注意すべきである。）図６は、ｐ＝３^３およびｑ＝１２１３を使用して、この方法の１ラウンドを示すブロック図である。入力Ｃ_ｉ６００はＣ_ｉ＝Ｌ_ｉ ^＊１２１３＋Ｒ_ｉとなるように、２つの部分、部分Ｌ_ｉ６０１および部分Ｒ_ｉ６０２へ分割される。部分Ｌ_ｉ６０１は関係式Ｌ_ｉ＝Ｃ_ｉ ｄｉｖ （１２１３）によって判断でき、部分Ｒ_ｉは関係式Ｒ_ｉ＝Ｃ_ｉ ｍｏｄ （１２１３）によって判断できる。部分Ｒ_ｉ６０２および定数α６０３をモジューロ２７^３の乗算器６０４によって一緒に乗算され、乗算結果ｕが求められる。定数α６０３および数２７^３（２７^３＝１９６８３）が互いに素であるように組Ｚ_{１９６８３}から選択する。ステップ６０９では、ｕを関係式ｕ＝２７^２ｕ_１＋２７ｕ_２＋ｕ_３によって因数分解して、項ｕ_１、ｕ_２、ｕ_３を求める。
【００３９】
モジューロ２７の加算器６１３を使用して、項ｕ_１およびサブキーの値Ｋ１Ａ_ｉ６１０を一緒に加算し、代入入力値ｇ_１を求める。モジューロ２７の加算器６１４を使用して、項ｕ_２およびサブキーの値Ｋ１Ｂ_ｉ６１１を一緒に加算し、代入入力値ｇ_２を求める。モジューロ２７の加算器６１５を使用して、項ｕ_３およびサブキーの値Ｋ１Ｃ_ｉ６１２を一緒に加算し、代入入力値ｇ_３を求める。本明細書に記載した方法には、ｐおよびｑ、またはｕの適切な選択値に依存して、多数の可能な実行形態があることに注意すべきである。例えば、ｕが、ステップ６０９において使用されている３つの項ではなく、４以上の項（例えば、ｕ＝２７^３ｕ_１＋２７^２ｕ_２＋２７ｕ_３＋ｕ_４）へ因数分解されるときは、加算器の数は増加することになる。加算器の数が増加すると、適切な数のサブキーの値も必要となる。サブキーの値Ｋ１Ａ_ｉ６１０、Ｋ１Ｂ_ｉ６１１、およびＫ１Ｃ_ｉ６１２は、組Ｚ_２７の要素から選択され、別途記載する方法で判断される。例えば、ｕが４以上の項に因数分解される場合は、過多に実験をしなくても、より多くのサブキー値を生成し、本発明の他の実施形態を満足させるような方法にすることができる。
【００４０】
代入入力値ｇ_１を代入ボックスＳ_１６１９によって演算して、代入された値ｈ_１を求める。代入入力値ｇ_２を代入ボックスＳ_２６２０によって演算して、代入された値ｈ_２を求める。代入入力値ｇ_３を代入ボックスＳ_３６２０によって演算して、代入された値ｈ_３を求める。代入された値ｈ_１、代入された値ｈ_２、および代入された値ｈ_３をモジューロ２７の加算器６２５によって一緒に加算して、２分の１のラウンド値ｖ_ｉを判断する。２分の１のラウンド値ｖ_ｉおよび部分Ｌ_ｉ６０１をモジューロ２７の加算器６２７を使用して一緒に加算して、部分Ｌ’_ｉ６２８を求める。
【００４１】
部分Ｌ’_ｉ６２８および定数β６５０をモジューロ１２１３の乗算器６５５によって乗算して、乗算結果をｕ’_ｉを求める。定数β６５０は、組Ｚ_１２１３のゼロ以外の要素から選択される。乗算結果ｕ’_ｉおよび２分の１ラウンドのキー値Ｋ２_ｉ６５３をモジューロ１２１３の加算器６５６を使用して一緒に加算して、代入入力値ｇ’を求める。代入入力値ｇ’を代入ボックスＴ６５７へ送って、２分の１ラウンドの値ｖ’_ｉを求める。２分の１ラウンドの値ｖ’_ｉおよび部分Ｒ_ｉ６０２をモジューロ１２１３加算器６５８を使用して一緒に加算し、部分Ｒ’_ｉ６５９を求める。部分Ｌ’_ｉ６２８および部分Ｒ’_ｉ６５９は、次の反復ラウンドにおいて使用される。代わりのやり方では、部分Ｌ’_ｉ６２８を数値＝１２１３によって乗算し、部分Ｒ’_ｉ６５９へ加算し、部分Ｃ_ｉ＋１６６０を形成する。
【００４２】
２分の１ラウンドのキー値Ｋ１ _ｉ ＝ ｛ Ｋ１Ａ _ｉ ，Ｋ１Ｂ _ｉ ，Ｋ１Ｃ _ｉ ｝ およびＫ２ _ｉ の判断
本発明のこの実施形態において２分の１ラウンドのキーの値はＳＯＢＥＲＩＩのストリーム暗号によって生成される。しかしながら、ストリーム暗号が均等に分配されたバイトを生成するときは、ストリーム暗号を使用して、２分の１ラウンドのキーの値を生成することができる。このようなストリーム暗号がｓ_０，ｓ_１，．．．，ｓ_ｔ，．．．で表わされる出力バイトを生成するときは、２つの連続しているバイトの整数値、ｚ_ｔ＝２５６ｓ_２ｔ＋ｓ_２ｔ＋１はＺ_{６５５３６}について均等に分配されることになることに注意すべきである。
【００４３】
サブキーの値の組Ｋ１_ｉ＝｛Ｋ１Ａ_ｉ，Ｋ１Ｂ_ｉ，Ｋ１Ｃ_ｉ｝は、数が０ないし５９０４８（５９０４９＝３×２７^３）の間で均等に分配され、かつ低減されたモジューロ２７^３であるときは、数はＺ_２７×Ｚ_２７×Ｚ_２７について均等に分配されているという解析（ｏｂｓｅｒｖａｔｉｏｎ）によって判断される。２分の１ラウンドのキー値Ｋ２_ｉは、数が０ないし６５５０１（６５５０２＝５４×１２１３）の間で均等に分配され、かつ低減されたモジューロ１２１３であるときは、数はＺ_１２１３についても均等に分配されているという解析によって判断される。これらの解析を使用すると、Ｋ１_ｉ＝｛Ｋ１Ａ_ｉ，Ｋ１Ｂ_ｉ，Ｋ１Ｃ_ｉ｝およびＫ２_ｉの値（１≦ｉ≦ｒ）を判断するための例示的な方法には、図７に詳しく示したステップが含まれる。
【００４４】
ステップ７００では、指数ｔは０に等しく設定され、ラウンド数ｉは１に等しく設定される。ステップ７１０では、中間値ｚ_ｔは、関係式ｚ_ｔ＝２５６ｓ_２ｔ＋ｓ_２ｔ＋１によって判断される。ｚ_ｔが５９０４９であるときは、ステップ７２０へ進む。ｚ_ｔが５９０４９以上であるときは、ステップ７３０へ進む。ステップ７３０では、指数ｔはインクリメントされ、プロセスのフローチャートはステップ７１０へ進む。ステップ７２０では、Ｋ１_ｉがｚ_ｔ ｍｏｄ １９６８３に等しく設定され、指数ｔはインクリメントされる。ステップ７２５では、Ｋ１_ｉ＝２７^２Ｋ１Ａ_ｉ＋２７Ｋ１Ｂ_ｉ＋Ｋ１Ｃ_ｉとなるように、Ｋ１Ａ_ｉ，Ｋ１Ｂ_ｉ，Ｋ１Ｃ_ｉの値を判断する。ステップ７２５の次は、プログラムのフローチャートはステップ７４０へ進む。ステップ７４０では、値ｚ_ｔは関係式ｚ_ｔ＝２５６ｓ_２ｔ＋ｓ_２ｔ＋１（指数ｔはステップ７２０においてインクリメントされている）によって判断される。ｚ_ｔが６５５０２未満であるときは、ステップ７５０へ進み、ｚ_ｔが６５５０２以上であるときは、ステップ７６０へ進む。ステップ７５０では、Ｋ２_ｉがｚ_ｔ ｍｏｄ １２１３に等しく設定され、指数ｔおよびｉはインクリメントされる。ｉ＜ｒであるときは、ステップ７１０へ戻る。ステップ７６０では、指数ｔはインクリメントされ、プログラムのフローチャートはステップ７４０へ進む。
【００４５】
上述の方法を使用するとき、サブキーＫ１Ａ_ｉ，Ｋ１Ｂ_ｉ，Ｋ１Ｃ_ｉ（１≦ｉ≦ｒ）の各々は、Ｚ_２７について均等に分配され、第２の２分の１のラウンドのキーＫ２_ｉは（１≦ｉ≦ｒ）、Ｚ_１２１３について均等に分配される。代入ボックスは、非線形性およびランダム性のような、十分な暗号特性をもつように選択される。２分の１のラウンドキーが均等に分配されていないときは、代入ボックスへの入力は均等に分配されず、独立する。
【００４６】
本明細書に記載したキーによる整数置換方法は、メッセージ認証コードで使用することを意図されているが、１組の整数のキーによる置換が要求される場合に使用してもよい。例えば、本明細書に記載した本発明の実施形態を使用して、ＤＥＳが組｛０，１，．．．，２^６４−１｝内の整数を組｛０，１，．．．，２^６４−１｝内の他の整数へ暗号化するやり方と類似したやり方で、組｛０，１，．．．，Ｎ−１｝内の整数を組｛０，１，．．．，Ｎ−１｝内の他の整数へ暗号化することができる。
【００４７】
本明細書に記載したキーによる整数置換の暗号化プロセスと暗号化プロセスとは、各ラウンド内の２つの２分の１ラウンドの関数の順序が逆にされていること、出力ｖ_ｉがＬ_ｉから減算されたモジューロｐであること、および出力ｖ’_ｉがＲ_ｉからの減算されたモジューロｑであることを除いて暗号プロセスと同じである。
【００４８】
図８は、本発明の別の例示的な実施形態のブロック図であり、キーによる整数の置換はＺ_Ｎ（Ｎは素数）について構成されている。Ｎ＝Ｓ＋Ｔとする。Ｎ≧１３の各値には、Ｎ＝Ｓ＋Ｔとなるような２つの構成要素ＳおよびＴが存在することに注意すべきである。したがって、ステップ８００では、Ｎの指数のグループは、Ｓの指数から構成されているセクションＡ８０１と、Ｔの指数から構成されているセクションＢ８０２とへ分割される。セクションＡ８０１の指数は｛ａ_０，ａ_１，．．．，ａ_Ｓ−１｝へ再び分類され、セクションＢ８０２の指数は｛ｂ_０，ｂ_１，．．．，ｂ_Ｔ−１｝へ再び分類される。セクションＡ８０１の指数は、キーによる整数置換ＫＩＰ_Ｓ８１０にしたがって置換される。キーによる整数置換ＫＩＰ_Ｓ８１０は、既に記載した本発明の実施形態にしたがって実行することができる。セクションＢ８０２の指数は、キーによる整数置換ＫＩＰ_Ｔ８１１にしたがって置換される。キーによる整数置換ＫＩＰ_Ｔ８１１は、既に記載した本発明の実施形態にしたがって実行することができる。
【００４９】
したがって、ＫＩＰ_Ｎの素数のラウンドは次のように定義することができる：
ｘ∈｛ａ_０，ａ_１，．．．，ａ_Ｓ−１｝であるときは、
ＫＩＰ_Ａ，Ｂ（ｘ）＝ＫＩＰ_Ｓ（ｘ）、または、
ｘ∈｛ｂ_０，ｂ_１，．．．，ｂ_Ｔ−１｝であるときは、
ＫＩＰ_Ｔ（ｘ）。
【００５０】
ステップ８２０では、ＫＩＰ_Ａ，Ｂ（ｘ）の出力に“混合（ｍｉｘｉｎｇ）”演算、例えばアフィン演算Ａｆｆ_Ｓ（ｘ）＝Ｕ^＊ｘ＋Ｖ（ｍｏｄ Ｎ）（１≦Ｕ≦Ｎ−１、ＵおよびＶの値は保護キー（ｓｅｃｕｒｅ ｋｅｙ）に依存する）を行なう。数学的に、演算子Ｂ：Ｃ　ＤはＢｒ＝Ａｒ＋ｂ（Ｃ，Ｄ⊆Ｒ、ｂはＤの固定要素、ｒはＣの要素、ＡはＣをＤへマップする線形演算子）によって定義されるとき、Ｂはアフィン演算子である。
【００５１】
図８の一般的な方法では、素数の要素をもつ組を、各組が素数の要素以外から構成されている２以上の組へ分割し、次に図２および本発明の他の種々の実施形態に記載したキーによる整数置換を合成数の組について行なう。１つの組の要素の置換は、この１つの組によって定義される出力になるので、各ラウンドの後で１つの組の要素を別の組に挿入する混合演算を行なう。
【００５２】
図８に概ね記載されているように、本発明の１つの実施形態では、Ｎ＝Ｓ＋Ｔとする（Ｎは素数であり、ＳおよびＴは合成数である）。Ａ＝｛０，１，Ｓ−１｝およびＢ＝｛Ｓ，．．．，Ｎ−１｝と定義すると、組Ａ内の要素数は｜Ａ｜＝Ｓであり、組Ｂ内の要素数は｜Ｂ｜＝Ｔである。素数のラウンドは、０≦ｘ≦Ｓ−１であるときは、ＫＩＰ_Ａ，Ｂ（ｘ）＝ＫＩＰ_Ｓ（ｘ）であり、Ｓ≦ｘ≦Ｎ−１であるときは、ＫＩＰ_Ａ，Ｂ（ｘ）＝Ｓ＋ＫＩＰ_Ｔ（ｘ―Ｓ）であると定めることができる。
【００５３】
図８に概ね記載されているように、本発明の別の実施形態では、Ｎは素数であり、Ｎ＝２Ｔ＋１とする（ＴおよびＴ＋１は合成数である）。Ａ＝｛０，２，４，．．．，２Ｔ｝＝｛２ｙ：ｙ∈Ｚ_Ｔ＋１｝およびＢ＝｛１，３，５，．．．，２Ｔ−１｝＝｛２ｙ＋１：ｙ∈Ｚ_Ｔ｝と定義する。したがって、組Ａは偶数の値を含み、組Ｂは奇数の値を含んでいる。したがって素数のラウンドはｘ＝２ｙであるときは、ＫＩＰ_Ａ，Ｂ（ｘ）＝２ＫＩＰ_Ｔ＋１（ｙ）であり、ｘ＝２ｙ＋１であるときは、ＫＩＰ_Ａ，Ｂ（ｘ）＝１＋ＫＩＰ_Ｔ（ｙ））であると定義することができる。
【００５４】
図８に記載されているように、本発明のさらに別の実施形態では、ステップ８２０のアフィンマッピング演算において使用されているように、固定定数を使用することができる。Ｐｒｏｂ（Ａｆｆ_Ｕ，Ｖ（ｘ） ｉｎ Ａ：× ｉｎ Ａ）がほぼ｜Ａ｜／Ｎとなるように、ＵおよびＶの値を選択する。ＵおよびＶの値は、組ＡおよびＢ内の要素の区分に依存する。組ＡおよびＢは、｜Ａ｜〜｜Ｂ｜〜（Ｎ／２）になるように選択される。置換Ｙ_３＝ＫＩＰ_Ｎ（Ｘ_０）は、４つの素数のラウンドおよび３つのアフィンラウンドをもち、置換は次に示すものによって定義される：
Ｙ_０＝ＫＩＰ_Ａ，Ｂ（Ｘ_０），
Ｘ_１＝Ａｆｆ_Ｕ，Ｖ（Ｙ_０），
Ｙ_１＝ＫＩＰ_Ａ，Ｂ（Ｘ_１），
Ｘ_２＝Ａｆｆ_Ｕ，Ｖ（Ｙ_１），
Ｙ_２＝ＫＩＰ_Ａ，Ｂ（Ｘ_２），
Ｘ_３＝Ａｆｆ_Ｕ，Ｖ（Ｙ_２），
Ｙ_３＝ＫＩＰ_Ａ，Ｂ（Ｘ_３）。
【００５５】
ＫＩＰ_ＡおよびＫＩＰ_Ｂは、ＫＩＰ_Ｎのキーの長さに等しいキーの長さで保護されると仮定する。４つの素数のラウンド内のＫＩＰ_ＡおよびＫＩＰ_Ｂに必要な８つの２分の１ラウンドのキーを求めるのに、ＫＩＰ_ＮはＳＯＢＥＲＩＩのようなキースケジュールをもたなければならない。この構成は、保護されている置換になると考えられている。
【００５６】
大きい数の素数のラウンドまたはキーに依存するアフィンラウンド、あるいはこの両者を使用するために、他の実施形態を構成してもよい。使用される素数のラウンドの数が増加すると、素数のラウンドの関数を、より弱いキーによる整数置換から構成して、速度を増すことができる。
【００５７】
Ｚ_Ｎになるキーによる整数置換を構成する方法を記載してきた。発明の詳細な記述（ｄｅｓｃｒｉｐｔｉｏｎ）は、当業者が本発明を実行または使用できるようにするために与えられている。これらの実施形態に対する種々の変形は、当業者には容易に明らかであり、本明細書において定義されている一般的な原理は、発明的な能力（ｉｎｖｅｎｔｉｖｅ ｆａｃｕｌｔｙ）を使用せずに他の実施形態に応用することができる。したがって、本発明は、本明細書に開示した実施形態に制限されることを意図されるのではなく、本明細書に記載した原理および新規な特徴と一致する最も幅広い技術的範囲にしたがうことを意図されている。
【図面の簡単な説明】
【図１】
ＤＥＳという名前の従来技術の暗号化計算のフローチャート。
【図２】
モジューロｐの加算器とモジューロｑの加算器とを使用する暗号化計算の本発明の実施形態のブロック図。
【図３】
プロセッサを使用する整数置換デバイスのブロック図。
【図４】
Ｚ_{３２７５２}における暗号化計算のブロック図。
【図５】
図４の暗号化計算において実行されているように、２分の１ラウンドのキーＫ１_ｉおよびＫ２_ｉの偏差を示すフローチャート。
【図６】
Ｚ_{３２７５１}に対する別の暗号化計算のブロック図。
【図７】
図６の暗号化計算において実行されている２分の１ラウンドのキーＫ１_ｉおよびＫ２_ｉの偏差を示すフローチャート。
【図８】
Ｚ_Ｎ（Ｎは素数）に対して実行される本発明の実施形態の暗号化計算のブロック図。

Claims (22)

1. ｐ＞１およびｑ＞１として、Ｎ＝ｐｑである場合に、Ｚ_Ｎの入力値からＺ_Ｎの出力値を求めるための、複数のラウンドから成る方法であって、各ラウンドが、
   第１のキーおよび第２のキーを生成するステップと、
   ラウンドの入力を、Ｚ_ｐの要素である第１の部分と、Ｚ_ｑの要素である第２の部分とに分割するステップと、
   第１のキーを第２の部分に適用し、Ｚ_ｐの要素である第３の部分を生成するステップと、
   モジューロｐの加算器を使用して第１の部分および第２の部分を加算して、第４の部分を生成するステップと、
   第２のキーを第４の部分へ適用し、Ｚ_ｑの要素である第５の部分を生成するステップと、
   モジューロｑの加算器を使用して第５の部分を第２の部分へ加算して、第６の部分を生成するステップと、
   第４の部分と第６の部分を合成して、ラウンドの出力を形成するステップとを含み、
   ラウンドが最終のラウンドであるとき、ラウンドの出力が本方法の出力値であるか、さもなければラウンドの出力が次のラウンドへの入力になる方法。
2. Ｎビットのデータブロックを置換するための方法であって、Ｎビットのデータブロックの各ビットを複数のＮの指数の中からの指数と関係付け、Ｎを２以上の整数値ｐおよび２以上の整数値ｑへ因数分解し、
   複数のＮの指数を、グループＺ_ｐについて構成されている第１の部分とグループＺ_ｑについて構成されている第２の部分とへ分割して、複数のＮの指数を第２の部分と、整数値ｑによって定義される多価の第１の部分との合成として表わすステップと、
   第１の２分の１ラウンドのキーと第２の２分の１ラウンドのキーとを構成するステップと、
   第２の部分と第１の２分の１ラウンドのキーとから、第２の部分と第１の２分の１ラウンドのキーとについて演算する第１の非線形関数の出力である第１の２分の１ラウンドの値を求めるステップと、
   モジューロｐの加算器を使用して、第１の２分の１ラウンドの値を第１の部分と合成して、第３の部分を生成するステップと、
   第３の部分と第２の２分の１ラウンドのキーとから、第３の部分と第２の２分の１ラウンドのキーとについて演算する第２の非線形関数の出力である第２の２分の１ラウンドの値を求めるステップと、
   モジューロｑの加算器を使用して、第２の２分の１ラウンドの値と第２の部分とを合成して、第４の部分を生成するステップとを含む方法。
3. 複数のラウンドの各ラウンドごとにステップが反復し、各ラウンドにおいて生成される第３の部分および第４の部分を、次のラウンドへの入力として使用する請求項２記載の方法。
4. 次のラウンドが最終のラウンドであり、
   最終のラウンドにおいて生成される第３の部分を整数値ｑと乗算するステップと、
   乗算された第３の部分と、最終ラウンドにおいて生成された第４の部分とを合成して、最終結果を生成するステップと、
   最終結果にしたがってＮビットのデータブロックを置換するステップとを含む請求項３記載の方法。
5. 第１の２分の１ラウンドのキーおよび第２の２分の１ラウンドのキーをストリーム暗号によって生成する請求項２記載の方法。
6. 第１の２分の１ラウンドのキーおよび第２の２分の１ラウンドのキーをキー生成方法によって生成する方法であって、
   複数の均等に分配されたバイトを生成するステップと、
   先ず複数の均等に分配されているバイトの連続している要素の第１の対の一方を乗数によって乗算し、連続している要素の第１の対を一緒に加算して、中間値を生成するステップと、
   第１の中間値を検査して、第１の中間値が第１の所定量よりも小さいかどうかを判断するステップと、
   第１の中間値が第１の所定量よりも大きいときは、複数の均等に分配されているバイトの連続している要素の第１の対を一緒に加算するステップへ戻るステップと、
   第１の中間値を第１の整数値だけモジュールによって低減して、第１の２分の１ラウンドのキーを生成するステップと、
   先ず複数の均等に分配されているバイトの連続している要素の第２の対の一方を乗数によって乗算し、連続している要素の第２の対を一緒に加算して、中間値を生成するステップと、
   第２の中間値を検査して、第２の中間値が第２の所定量よりも小さいかどうかを判断するステップと、
   第２の中間値が第１の所定量よりも大きいときは、複数の均等に分配されているバイトの連続している要素の第２の対を一緒に加算するステップへ戻るステップと、
   第２の中間値を第２の整数値だけモジュールによって低減して、第２の２分の１ラウンドのキーを生成するステップと、
   第１の２分の１ラウンドのキーと第２の２分の１ラウンドのキーとの複数の対の各々が複数のラウンドの各々と関係しているように、第１の２分の１ラウンドのキーと第２の２分の１ラウンドのキーとの複数の対を生成するために、キー生成方法のステップを繰返すステップとを含む請求項２記載の方法。
7. 第１の所定量が第２の所定量に等しい請求項６記載のキー生成方法。
8. ｎ≧２であり、ｘが第１の所定量の因数であり、かつｉが反復ラウンドを識別するときに、キー生成方法が複数のサブキー｛ａ_１，ｉ，ａ_２，ｉ．．，ａ_ｎ，ｉ｝について値を判断し、第１の２分の１ラウンドのキーはＫ１_ｉ＝ｘ^ｎ−１ａ_１，ｉ＋ｘ^ｎ−２ａ_２，ｉ＋．．．＋ａ_ｎ，ｉであるステップをさらに含む請求項６記載のキー生成方法。
9. 第１の非線形関数が、
   第２の部分を第１の定数値によって乗算して、第１の乗算結果を生成するステップと、
   第１の乗算結果を第１の２分の１ラウンドのキーと合成して、第１の合成結果を生成するステップと、
   第１の合成結果を代入して、第１の合成結果を置換して、第１の２分の１ラウンドの値を生成するステップを含む方法である請求項２記載の方法。
10. 第１の合成結果を代入するステップであって、
    第１の合成値を代入表示値および代入入力値へ分解するステップと、
    代入表示値を使用して、第１の複数の置換ボックスの１つを選択するステップと、
    第１の複数の代入ボックスからの選択された代入ボックスへ代入入力値を入力して、第１の２分の１ラウンドの値を生成するステップを含む請求項９記載の方法。
11. 第２の非線形関数が、
    第２の定数値によって第３の部分を乗算して、第２の乗算結果を生成するステップと、
    第２の乗算結果を第２の２分の１ラウンドのキーと合成して、第２の合成結果を生成するステップと、
    第２の合成結果を代入して、第２の合成結果を置換して、第２の２分の１ラウンドの値を生成するステップとを含む方法である請求項２記載の方法。
12. 第１の合成結果を代入するステップが、
    第１の合成結果を代入表示値および代入入力値へ分解するステップと、
    代入表示値を使用して、第２の複数の代入ボックスの１つを選択するステップと、
    第２の複数の代入ボックスからの選択された代入ボックスへ代入入力値を入力し、第２の２分の１ラウンドの値を生成するステップとを含む請求項１１記載の方法。
13. 第１の非線形関数が、
    第１の定数値によって第２の部分を乗算して、第１の乗算結果を生成するステップと、
    第１の乗算結果がｘ^ｎ−１ｕ_１＋ｘ^ｎ−２ｕ_２＋．．．＋ｕ_ｎに等しくなるように、第１の乗算結果をｕ_ｎで表わした複数の項へ分解するステップと、
    複数の項の各々を複数のサブキーａ_１，ｉ，ａ_２，ｉ．．，ａ_ｎ，ｉの関係するものとモジュールによって加算して、複数の代入入力値を生成するステップと、
    複数の代入入力値の各々を複数の代入ボックスの関係するものへ入力して、複数の代入値を生成するステップと、
    複数の代入された値の中の少なくとも２つをモジュールによって加算して、第１の２分の１ラウンドの値を生成するステップとを含む方法である請求項８記載の方法。
14. Ｎが１３以上の素数であり、ＳおよびＴが、Ｎ＝Ｓ＋Ｔとなるような合成数の値であるときに、Ｚ_Ｎの入力値からＺ_Ｎの出力値を求めるための、複数のラウンドから成る方法であって、この方法の各ラウンドが、
    第１のキーおよび第２のキーを生成するステップと、
    第１の組のＳの入力値内の各要素を組｛０，．．．，Ｓ−１｝内のユニークな指数へ割り当てるステップと、
    Ｔの入力値の第２の組内の各要素を組｛０，．．．，Ｔ−１｝内のユニークな指数へ割り当てるステップと、
    複数の入力指数が組｛０，．．．，Ｓ−１｝の要素であるときに、第１のキーを使用する第１のキーによる整数置換を複数の入力指数に行って、第１の複数の出力指数を生成するステップと、
    複数の入力指数が組｛０，．．．，Ｔ−１｝の要素であるときに、第２のキーを使用する第２のキーによる整数置換を複数の入力指数に行って、第２の複数の出力指数を生成するステップと、
    第１の複数の出力指数を第２の複数の出力指数と混合するステップとを含む方法。
15. 第１の複数の出力指数を第２の複数の出力指数と混合するステップからの出力が、次のラウンドのための入力として使用される請求項１４記載の方法。
16. 次のラウンドが最終ラウンドである方法であって、第１の複数の出力指数を第２の複数の出力指数と混合するステップからの出力にしたがって、入力ビット配置を出力ビット配置へ再配置するステップをさらに含む請求項１５記載の方法。
17. プロセッサと、
    記憶媒体とを含む無線通信デバイスであって、
    記憶媒体がプロセッサによって実行可能な命令を記憶し、プロセッサがＮビットのデータブロックを置換し、各ビットが複数のＮの指数の中からの指数と関係付けられ、複数のＮの指数が、
    複数のＮの指数の各々を、グループＺｐについて構成されている第１の部分と、グループＺｑについて構成されている第２の部分とに分割し、複数のＮの指数の各々が、第２の部分と、整数値ｑによって定義される多価の第１の部分との合成として表わすことができるステップと、
    第１の２分の１ラウンドのキーと第２の２分の１ラウンドのキーとを構成するステップと、
    第２の部分と第１の２分の１ラウンドのキーとから、第２の部分と第１の２分の１ラウンドのキーとについて演算する第１の非線形関数の出力である第１の２分の１ラウンドの値を求めるステップと、
    モジューロｐの加算器を使用して、第１の２分の１ラウンドの値を第１の部分と合成して、第３の部分を生成するステップと、
    第３の部分と第２の２分の１ラウンドのキーとから、第３の部分と第２の２分の１ラウンドのキーとに対して演算する第２の非線形関数の出力である第２の２分の１ラウンドの値を求めるステップと、
    モジューロｑの加算器を使用して、第２の２分の１ラウンドの値を第２の部分と合成して、第４の部分を生成するステップとを含む方法によって置換される無線通信デバイス。
18. プロセッサと、
    記憶媒体とを含む無線通信デバイスであって、
    記憶媒体がプロセッサによって実行可能な１組の命令を記憶し、プロセッサがＮビットのデータブロックを置換し、Ｎが合成数または素数であり、Ｎが合成数であるときは、プロセッサはＮビットのデータブロックに対してキーによる整数置換を行なうための１組の命令を実行するが、Ｎが素数であるときは、プロセッサはＮビットのデータブロックを第１の組と第２の組とに分割して、第１の組に対して第１のキーによる整数置換を、第２の組に対して第２のキーによる整数置換を行なう１組の命令を実行する無線通信デバイス。
19. ｐ＞１およびｑ＞１として、Ｎ＝ｐｑであるときに、Ｚ_Ｎの入力値からＺ_Ｎの出力値を求めるための装置であって、
    第１のキーおよび第２のキーを生成するための手段と、
    １ラウンドの入力を、Ｚ_ｐの要素である第１の部分と、Ｚ_ｑの要素である第２の部分とに分割するための手段と、
    第１のキーを第２の部分に適用し、Ｚ_ｐの要素である第３の部分を生成するための手段と、
    モジューロｐの加算器を使用して第１の部分と第３の部分とを加算して、第４の部分を生成するための手段と、
    第２のキーを第４の部分へ適用し、Ｚ_ｑの要素である第５の部分を生成するための手段と、
    モジューロｑの加算器を使用して第５の部分を第２の部分へ加算して、第６の部分を生成する手段と、
    第４の部分と第６の部分とを合成して、ラウンドの出力を形成する手段とを含む装置。
20. Ｎが１３以上の素数であり、ＳおよびＴが、Ｎ＝Ｓ＋Ｔとなるような合成数の値であるときに、Ｚ_Ｎの入力値からＺ_Ｎの出力値を求める装置であって、複数のラウンドを含み、各ラウンドが、
    第１のキーおよび第２のキーを生成するための手段と、
    第１の組のＳの入力値を組｛０，．．．，Ｓ−１｝内のユニークな指数へ割り当てるための手段と、
    Ｔの入力値の第２の組内の各要素を組｛０，．．．，Ｔ−１｝内のユニークな指数へ割り当てるための手段と、
    複数の入力指数が組｛０，．．．，Ｓ−１｝の要素であるとき、第１のキーを使用する第１のキーによる整数置換を複数の入力指数に対して行って、第１の複数の出力指数を生成するための手段と、
    複数の入力指数が組｛０，．．．，Ｔ−１｝の要素であるとき、第２のキーを使用する第２のキーによる整数置換を複数の入力指数に対して行って、第２の複数の出力指数を生成するための手段と、
    第１の複数の出力指数を第２の複数の出力指数と混合する手段とを含む装置。
21. 第１のステーションと第２のステーションとの間で送られるＮビットのデータメッセージを認証するための方法であって、
    第１のステーションにおいてグループＺ_Ｎの複数の要素に対してキーによる整数置換を使用して、置換順序を生成するステップと、
    置換順序にしたがってＮビットのデータメッセージ内の複数のビットを再び順序付けて、置換されたＮビットのメッセージを形成するステップと、
    置換されたＮビットのメッセージに基づいて第１の巡回冗長検査（ｃｙｃｌｉｃ ｒｅｄｕｎｄａｎｃｙ ｃｈｅｃｋ， ＣＲＣ）メッセージを生成するステップと、
    Ｎビットのデータメッセージおよび第１の巡回冗長検査メッセージを第１のステーションから第２のステーションへ送るステップと、
    第２のステーションにおいて受信したＮビットのデータメッセージおよび受信した巡回冗長検査メッセージを検出するステップと、
    受信したＮビットのデータメッセージに対してキーによる整数の置換を使用して、第２のステーションにおける第２の置換順序を求めるステップと、
    第２の置換順序に基づいて第２の巡回冗長検査メッセージを生成するステップと、
    受信した巡回冗長検査メッセージと第２の巡回冗長検査メッセージとを比較して、受信した巡回冗長検査メッセージおよび第２の巡回冗長検査メッセージが整合するとき、受信したＮビットのデータメッセージが認証されるステップとを含む方法。
22. エラーを訂正するのに使用できる方法であって、
    受信した巡回冗長検査メッセージおよび第２の巡回冗長検査メッセージとを比較するステップの結果が、所定の閾値以下のエラー量になるかどうかを判断するステップと、
    比較するステップの結果が所定の閾値以下のエラー量になるときは、受信した巡回冗長検査メッセージを使用して、受信したＮビットのデータメッセージを訂正するステップと、
    比較するステップの結果が所定の閾値よりも多いエラー量になるときは、Ｎビットのデータメッセージの再伝送を要求するステップをさらに含む請求項２１記載の方法。

Images