JP2006517036A - マスクされたデータを操作する装置及び方法 - Google Patents

Abstract

本発明の実施形態は、有限体における第１表現のマスクされたデータを該有限体における第２表現の変換済みデータに変換し、該変換済みデータを操作してマスクされた操作済みデータを取得することによって、データを操作するための方法及び装置を提供する。

Description

本発明は、一般に、有限体における計算に関し、より具体的には、有限体におけるマスクされたデータの操作に関する。

データ操作アルゴリズムは、有限体のデータ要素に逆演算を行うことを含む場合がある。例えば、次世代暗号化標準（ＡＥＳ）は、ラインダール・ブロック暗号アルゴリズム（「ラインダール・アルゴリズム」）を提供するが、これは、例えばバイト、ｘといったベクトルを含む入力データに関するＢｙｔｅＳｕｂビット・レベル演算を含む。ＢｙｔｅＳｕｂ演算は、暗号化モード及び復号化モードを含む。暗号化モードは、逆演算及びアフィン変換を含み、例えば、Ａ及びｂを所定のパラメータとすると、ｘはＡｘ^-1＋ｂに変換される。復号化モードは、アフィン変換と、それに続く逆演算とを含み、例えば、ｘは（Ａ^-1（ｘ＋ｂ））^-1に変換される。ＡＥＳによれば、逆演算はガロア体ＧＦ（２⁸）全体にわたって行われる。ガロア体は、簡約多項式ｐ（ｔ）＝ｔ⁸＋ｔ⁴＋ｔ³＋１を用いて、多項式形式で表現される。

ＧＦ（２⁸）において逆演算を実装する他の既知のブロック暗号アルゴリズムが存在する。これらのアルゴリズムは、例えば、Ｋ．Ａｏｋｉらによって「Ｓｐｅｃｉｆｉｃａｔｉｏｎ ｏｆ Ｃａｍｅｌｌｉａ−ａ １２８−ｂｉｔ Ｂｌｏｃｋ Ｃｉｐｈｅｒ」、ｈｔｔｐ：／／ｉｎｆｏ．ｉｓｌ．ｎｔｔ．ｃｏ．ｊｐ／ｃａｍｅｌｌｉａ／において説明されるＣａｍｅｌｉａ暗号アルゴリズムと、Ｃ．Ｈ．Ｌｅｅによって「Ｚｏｄｉａｃ： Ｂｌｏｃｋ Ｃｉｐｈｅｒ Ｐｒｏｐｏｓａｌ」、ｈｔｔｐ：／／ｗｗｗ．ｓａｆｅｄｉｇｍ．ｃｏｍ／ｐｒｏｄｕｃｔｐｄｓ／ｄｏｗｎｌｏａｄ／Ｓａｆｅｄｉｇｍ＿Ｚｏｄｉａｃ．ｐｄｆにおいて説明されるＺｏｄｉａｃ暗号アルゴリズムとを含む。

電力差分解析（ＤＰＡ）攻撃は、データ操作アルゴリズムの入力と出力との間の関係を用いて、そのアルゴリズムによって実装される秘密鍵を解明することができる。例えばＡＥＳアルゴリズムといった操作アルゴリズムをＤＰＡ攻撃から保護するために、アルゴリズムを実行する前に、Ｒで表されるランダム入力マスクを、例えばＧＦ（２）全体にわたって入力ベクトル（例えばバイト）ｘに加えて、マスクされたデータを取得することができる。ランダム・マスクは、ｘの長さと等しいビット長を有するランダム・ベクトルを含むことができる。したがって、アルゴリズムは、ｘではなく和の値ｘ＋Ｒに関して実行され、その結果、攻撃者は、アルゴリズムへの実際の入力値を知ることができない。

アルゴリズムのマスクされていない出力を使用できるようにするために、例えばマスクされたデータに関してアルゴリズムを実行した後で、該マスクを除去することが必要な場合がある。

Ｔｒｉｃｈｉｎａ， Ｅ．らによる「Ｓｉｍｐｌｉｆｉｅｄ Ａｄａｐｔｉｖｅ Ｍｕｌｔｉｐｌｉｃａｔｉｖｅ Ｍａｓｋｉｎｇ ｆｏｒ ＡＥＳ ａｎｄ ｉｔｓ Ｓｅｃｕｒｉｚｅｄ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ」、ＣＨＥＳ２００２、において説明される方法は、マスクされた入力ベクトルｘ＋ＲにＲを乗じてｘＲ＋Ｒ²を取得するステップと、Ｒ²をその結果に加えてＸＲを取得するステップと、ＸＲを逆数にしてＸ^-1Ｒ^-1を取得するステップと、１をＸ^-1Ｒ^-1に加えてＸ^-1Ｒ^-1＋１を取得するステップと、Ｒをその結果に乗じてＸ^-1＋Ｒを取得するステップとを含む。

Ｔｒｉｃｈｉｎａ， Ｅ．らによって説明される方法を用いてＡＥＳデータのマスクされた逆演算を行うには、ＧＦ（２⁸）全体にわたって、２回の乗算と、１回の平方と、２回の加算とが必要である。こうした逆演算のハードウェア実装は、相対的に複雑であり、及び／又は、電力消費が大きいものとなる場合がある。例えば、ハードウェア実装は、２５６バイトの大きさを持つ平方ルックアップテーブル（ＬＵＴ）と、ＧＦ（２⁸）における乗算のための２つの乗算回路とを用いることが必要な場合がある。

本発明の実施形態は、マスクされた入力データを第２表現に変換し、第１表現の演算と等価の演算を第２表現で実行して、マスクされた操作済みデータを取得することによって、有限体の第１表現で与えられるマスクされたデータを効率的に操作するための、例えば第１表現で与えられるマスクされた入力データの反転を実行するための方法及び装置を提供する。

本発明の実施形態によれば、マスクされたデータを操作する方法は、第１表現のマスクされた入力データを有限体における第２表現の変換済みデータに変換し、該変換済みデータを操作して、マスクされた操作済みデータを取得するステップを含むことができる。

幾つかの実施形態によれば、本方法はまた、マスクされた入力データの入力マスクを、第２表現の更新済みマスクに変換するステップを含むことができる。変換済みデータを操作するステップは、更新済みマスクを用いて該変換済みデータを操作するステップを含むことができる。

本発明の実施形態によれば、入力データを変換することにより、更新済みマスクによってマスクされた状態の変換済みデータを得ることができる。変換済みデータを操作することにより、更新済みマスクによってマスクされた状態の操作済みデータを得ることができる。

本発明の幾つかの実施形態によれば、変換済みデータを操作するステップは、第１表現の少なくとも１つの所望の演算と等価の少なくとも１つの演算を行うステップを含むことができる。

幾つかの例示的な実施形態によれば、変換済みデータを操作するステップは、該変換済みデータに更新済みマスクを乗じて第１中間データを取得し、該第１中間データに該更新済みマスクの平方を加えて第２中間データを取得し、該第２中間データを反転して第３中間データを取得し、該第３中間データに単位データ・ビットを加えて第４中間データを取得し、該第４中間データに該更新済みマスクを乗じて第２表現のマスクされた反転データを取得するステップを含むことができる。

本発明の幾つかの実施形態によれば、本方法は、操作済みデータを逆変換して、第１表現の逆変換済みデータを取得するステップを含むことができる。操作済みデータを逆変換することにより、入力マスクの線形変換によってマスクされた状態の逆変換済みデータを得ることができる。

本発明の幾つかの実施形態によれば、有限体はガロア体（ＧＦ）を含むことができる。

幾つかの例示的な実施形態によれば、第１表現はＧＦ（２^2s）を含むことができ、第２表現はＧＦ（（２^s）²）を含むことができる。これらの実施形態の幾つかによれば、ｓは４と等しいものとすることができ、すなわち、第１表現はＧＦ（２⁸）を含むことができ、第２表現はＧＦ（（２⁴）²）を含むことができる。

本発明の幾つかの実施形態によれば、マスクされた入力データを操作するための装置は、第１表現のマスクされた入力データを第２表現の変換済みデータに変換する変換ブロックを含むことができる。変換ブロックは、マスクされた入力データの入力マスクを更新済みマスクに変換することもできる。この装置はまた、第２表現の変換済みデータを操作する操作ブロックと、操作済みデータを変換して第１表現の逆変換済みデータにする逆変換ブロックとを含む。操作ブロックは、第２表現の変換済みデータを反転する反転ブロックを含むことができる。逆変換済みデータは、入力マスクのアフィン変換によってマスクすることができる。

本発明の例示的な実施形態によれば、変換ブロックは、第１表現のマスクされた入力データを変換して、対応する第２表現の変換済みデータにする入力変換モジュールを含むことができる。変換ブロックは、入力マスクを変換して更新済みマスクにするマスク変換モジュールを含むこともできる。幾つかの実施形態によれば、マスク変換モジュールによって行われる入力マスクの変換は、入力変換モジュールによって行われる変換と関連させることができる。

例示的な実施形態によれば、反転ブロックは、入力変換モジュールの出力とマスク変換モジュールの出力とを乗算する第１乗算器と、該マスク変換モジュールの出力の平方を与える平方モジュールとを含むことができる。反転ブロックはまた、平方モジュールの出力を第１乗算器の出力に加える第１加算器と、該第１加算器の出力がゼロでない場合にはゼロ出力値を与えるゼロ検出器と、該ゼロ検出器の出力とマスク変換モジュールの出力との論理ＡＮＤに対応する出力を与えるＡＮＤゲートとを含むことができる。反転ブロックはさらに、ＡＮＤゲートの出力を第１加算器の出力に加える第２加算器と、該第２加算器の出力を反転する反転モジュールと、該反転モジュールの出力に単位値を加える第３加算器と、該第２加算器の出力を用いてマスク変換モジュールの出力を乗算する第２乗算器と、該第２乗算器の出力をＡＮＤゲートの出力に加える第４加算器とを含むことができる。

本発明の例示的な実施形態によれば、逆変換ブロックは、第２表現の操作済みデータを逆変換して、対応する第１表現の逆変換済みデータにする出力逆変換モジュールを含むことができる。逆変換ブロックは、更新済みマスクを逆変換するマスク逆変換モジュールを含むこともできる。幾つかの実施形態によれば、マスク逆変換モジュールによって行われる更新済みマスクの逆変換は、出力逆変換モジュールによって行われる変換と関連させることができる。

発明と考えられる対象は、特許請求の範囲において具体的に指摘され、厳密に請求される。しかしながら、本発明は、作動の機構及び方法のいずれに関しても、その目的、特徴、及び利点と併せて、添付図面と共に読んだときに以下の詳細な説明を参照することによって最も良く理解されることになる。

図に示される要素は、説明を簡単かつ明確にするために、必ずしも正確に又は縮尺通りに描かれていないことが分かるであろう。例えば、要素の幾つかの寸法は、明確にするために他の要素に対して強調される場合があるか、又は、幾つかの物理コンポーネントが、１つの要素に含まれる場合がある。さらに、適切であると考えられる場合には、対応する要素又は類似の要素を示すために、参照番号が図面間で繰り返されることがある。これらの図面は、本発明の実施形態の例を提示するものであり、本発明の範囲を制限することを意図していないことが分かるであろう。

以下の詳細な説明においては、本発明が完全に理解されるように、多くの具体的な詳細が記載される。しかしながら、当業者であれば、本発明は、それらの具体的な詳細なしに実施できることが分かるであろう。他の場合においては、本発明を分かり難くしないように、周知の方法、手順、及び要素を詳細に説明していない。

以下の詳細な説明においては、ＧＦ（２^2s）という表記は、モジュロｐ（ｔ）を取るＧＦ（２）上の複数の多項式で構成されるＧＦ（２）の拡大体としての位数２^2sのガロア体（ＧＦ）表現を指し、ここでｐ（ｔ）は、ＧＦ（２）上の２ｓ次既約多項式である。多項式は、２ｓビットの文字列によって、ＧＦ（２^2s）表現で表すこともできる。ＧＦ（２^2s）表現の要素ｕは、２ｓ桁の２進数ｕ＝［ｕ_2s-1ｕ_2s-2．．．ｕ₁ｕ₀］によって定めることができ、ここでｕ_iは、対応する多項式、例えばｕ_2s-1ｔ^2s-1＋ｕ_2s-2ｔ^2s-2＋．．．ｕ₁ｔ＋ｕ₀におけるｔⁱの係数である。

ＧＦ（（２^s）²）という表記は、モジュロｒ（ｔ）を取るＧＦ（２^s）上の複数の多項式で構成されるＧＦ（２^s）の拡大体としての位数２^2sのＧＦ表現を指し、ここでｒ（ｔ）は、ＧＦ（２^s）上の２次既約多項式、すなわち、α及びβがＧＦ（２^s）の要素である場合のｒ（ｔ）＝ｔ²＋αｔ＋βである。ＧＦ（２^s）は、モジュロｑ（ｔ）を取るＧＦ（２）上の複数の多項式で構成されるＧＦ（２）の拡大体として表現され、ここでｑ（ｔ）は、ＧＦ（２）上の２次既約多項式である。ＧＦ（（２^s）²）表現の要素ｚは、線形多項式ｚ_<m>ｔ＋ｚ_<l>を表す２ｓ桁の二進数ｚ＝［ｚ_2s-1ｚ_2s-2．．．ｚ₁ｚ₀］によって定めることができ、ここでｚ_<m>＝［ｚ_2s-1．．．ｚ_s+1ｚ_s］及びｚ_<l>＝［ｚ_s-1．．．ｚ₁ｚ₀］は、モジュロｑ（ｔ）を取る多項式によって表されるＧＦ（２^s）の要素である。

ここで説明される本発明の幾つかの例示的な実施形態は、データを、有限体、例えばＧＦの２元体表現、例えばＧＦ（２^2s）表現で参照することができる。しかしながら、当業者であれば、本発明の実施形態は、他のいずれかの表現のデータ、例えばｇ及びｈがいずれかの所望の値を有するＧＦ（ｇ^h）表現のデータについて、実施できることが分かるであろう。

所定の有限体のベクトルｘを含む入力データをマスクすることは、該所定の有限体からランダムに選択される要素であるＲで示される入力ランダム・マスクをｘに加えること、すなわち、マスクされた入力データ、例えばｘ＋Ｒを取得することを含む。

本発明の幾つかの実施形態にしたがってマスクされたデータを操作する方法のフローチャートを概略的に示す図１を参照する。

ブロック１０２に示されるように、本方法は、例えば入力データ及び入力ランダム・マスクの組み合わせを含む、例えばＧＦといった所定の有限体における第１表現のマスクされた入力データを、例えば詳細に後述されるように該第１表現のマスクされた入力データに変換演算子を適用することによって変換し、所定の有限体における第２表現のマスクされた変換済みデータにすることを含むことができる。

ブロック１０４に示されるように、本方法は、第１表現の入力ランダム・マスクを、詳細に後述されるように第２表現の更新済みマスクに変換することを含むことができる。

ブロック１０６に示されるように、本方法はまた、例えば更新済みマスクを用いて変換済みデータを操作し、詳細に後述されるように第２表現のマスクされた操作済みデータを取得することを含むことができる。

ブロック１０８に示されるように、本方法はさらに、逆変換演算子を適用することによって操作済みデータを逆変換して第１表現に戻し、詳細に後述されるように第１表現のマスクされた逆変換済みデータを取得することを含むことができる。

ブロック１０９に示されるように、本方法はまた、例えば後述のように、マスクされた逆変換済みデータのマスクを取ることを含むことができる。

ブロック１０１に示されるように、本方法はまた、例えば後述のように、入力ランダム・マスクを生成することを含むことができる。

ブロック１０３に示されるように、本方法はまた、例えば当該技術分野で知られるように入力マスクを入力データに加えることによって、例えば入力マスクを用いて入力データをマスクし、マスクされた入力データを取得することを含むことができる。

本発明の幾つかの実施形態によれば、変換演算子は、第１表現のデータを対応する第２表現のデータに変換するためのいずれかの適切な演算子を含むことができる。幾つかの例示的な実施形態によれば、変換演算子は、例えば、２００３年８月６日に出願され、本発明の出願人に譲渡され、開示が引用によりここに組み入れられる「Ｍｅｔｈｏｄ ａｎｄ ｄｅｖｉｃｅ ｏｆ ｍａｎｉｐｕｌａｔｉｎｇ ｄａｔａ ｉｎ Ｆｉｎｉｔｅ Ｆｉｅｌｄ」という名称の国際特許出願ＰＣＴ／ＩＬ０３／００６４７号において説明されるように、所望の変換に対応する表現変換行列を含むことができる。本発明の幾つかの例示的な実施形態によれば、変換演算子は、後述のように、表現変換行列と、例えば復号化アフィン変換又は暗号化アフィン変換といったアフィン変換との組み合わせを含むことができる。

当該技術分野において知られているように、同じ大きさのいずれか２つの有限体は同型であるため、所定の有限体、例えばＧＦ（２ⁿ）の、それぞれＲｅｐ₁及びＲｅｐ₂と表される２つの表現の間に、同型が存在することになる。２つの表現の各々はＧＦ（２）上のｎ次元の線形空間とすることができ、各々の同型は該表現間の線形変換とすることができる。したがって、本発明の幾つかの実施形態の一部として、例えば行列乗算によりＲｅｐ₁の要素をＲｅｐ₂の対応する要素に変換するために、ｎ×ｎ二進表現変換行列Ｍを計算することができる。２つの体表現の間の変換は可逆的であるため、各々の表現変換について、表現変換逆行列Ｍ^-1が存在することができる。根ｎを持つ既約多項式ｐ₀がＲｅｐ₁を表すものとすることができる。ｐ₀の各々の根は、ＧＦ（２ⁿ）の生成器であり、体の同型の下でも不変である。したがって、各々の体の拡大について、ｎ個の対応する表現変換行列が存在する。ＧＦ（２ⁿ）の乗法群は巡回群であるため、表現Ｒｅｐ₁及びＲｅｐ₂の対応するそれぞれの生成器の組は、Ｒｅｐ₁とＲｅｐ₂との間の同型を独自のものとして定めることができる。したがって、Ｒｅｐ₁の生成器ベクトルｒ₁及びＲｅｐ₂の生成器ベクトルｒ₂について、対応する表現変換行列Ｍは、Ｍｒ₁＝ｒ₂を満足しなければならない。（ｒ_i）^kは、表現Ｒｅｐ_iの要素（ｒ₁）^kを生成するために、表現Ｒｅｐ_iの体生成器ｒ_iをｋ乗することを示し、表現Ｒｅｐ₁の体要素（ｒ₁）^kは、ＧＦ（２）上のｎ次元線形空間におけるベクトルとして扱うことができ、表現変換行列Ｍを乗じてＭ（ｒ₁）^kを与えることができるものとすると、２つの体表現が同型であり、ｒ₁及びｒ₂がＧＦ（２ⁿ）の生成器であるため、Ｍはあらゆるｋ（ｋ＝１．．．２ⁿ）について以下の方程式系、
Ｍ（ｒ₁）^k＝（ｒ₂）^k （１）
を満足しなければならない。

方程式系１は２ⁿ線形方程式を含み、それを解いて、生成器ｒ₁及びｒ₂の組に対応する表現変換行列Ｍを求めることができる。方程式系１は、計算数を減らすために無視することができる冗長方程式を含むことがある。例えば、最初のｎ個の方程式のみを用いて、１つの表現変換行列を与えることができる。生成器ｒ₁及びｒ₂の異なる組を用いる方程式系１の解によって、別の表現変換行列を与えることができる。したがって、各々がｒ₁の「像」を定めるＲｅｐ₂のｎ個の異なる生成器に対応するｎ個の異なる方程式系が存在し、それによって、Ｒｅｐ₁からＲｅｐ₂へのｎ個の異なる表現変換行列が与えられることになる。

本発明の例示的な実施形態においては、ＧＦ（２⁸）上の既約多項式、例えばｐ（ｔ）＝ｔ⁸＋ｔ⁴＋ｔ³＋ｔ＋１の各々の根は、ＧＦ（２⁸）体の生成器とすることができる。したがって、既約多項式の８つの根にそれぞれ対応する８つの可能な表現変換行列を、ＧＦ（２⁸）の各々の拡大体について計算することができる。ＧＦ（２）上のＧＦ（２⁴）の多項式表現は、ＧＦ（２⁴）上の３つの既約簡約多項式、例えば１＋ｔ＋ｔ⁴、１＋ｔ³＋ｔ⁴、１＋ｔ＋ｔ²＋ｔ³＋ｔ⁴の各々によって定めることができる。ＧＦ（２⁸）におけるＧＦ（２⁴）の１つ又はそれ以上の多項式表現の体拡大は、既約拡大多項式、例えばβ及びαがＧＦ（２⁴）の要素でありＧＦ（２⁴）上で既約であるようなｔ²＋αｔ＋β型の多項式を用いて、計算することができる。本発明の例示的な実施形態によれば、ｔ²＋αｔ＋β形式の１２０個の可能な既約拡大多項式を与える１５個の異なるβ値及び８個の異なるα値が存在する。３個の異なる簡約多項式及び１２０個の既約拡大多項式によって、ＧＦ（２）の拡大体としてＧＦ（２⁸）の３６０個の異なるＧＦ（（２⁴）²）表現が得られる。したがって、これらの例示的な実施形態によれば、３６０個の体拡大に対応して、２８８０個の可能な表現変換行列が存在することになる。本発明の幾つかの実施形態によれば、可能な表現変換行列の各々は、標準的なＡＥＳ表現から、ＧＦ（２⁴）の異なる拡大に対応するＧＦ（２⁸）の異なるＧＦ（（２⁴）²）表現への変換を可能にする。したがって、表現変換行列Ｍは、例えば選択されたＭに対応するハードウェア実装の複雑性といったいずれかの所望の基準に従って、あらかじめ選択することができる。

第１表現のベクトルｘを含む入力データは、表現変換、例えば表現変換行列Ｍを適用することによって、第２表現に変換することができる。第２表現のＴ（ｘ）で表される演算ｘ＞ｘ^-1を、変換済みデータ、例えばＭ・ｘに対して実行することができる。表現変換の逆数、例えばＭ^-1を適用することによって、操作済みデータを第１表現に戻す逆変換Ｆ（ｘ）を取得することができる。したがって、本発明の例示的な実施形態によれば、以下の非線形方程式、
Ｆ（ｘ）＝Ｍ^-1・Ｔ（Ｍ・ｘ） （２）
によって、Ｆ（ｘ）及びＴ（Ｍ・ｘ）を与えることができる。

本発明の例示的な実施形態によれば、第１表現のマスクされた入力データｘ＋Ｒは、第２表現の変換済みデータＭｘ＋ＭＲに変換することができる。上述のように、第１表現と第２表現との間の変換は反転可能な変換であるため、表現変換行列Ｍは正則行列である。したがって、ＭＲは、Ｒに対応して、有限体のいずれかの非ゼロ値を取ることができる。したがってまた、変換済みデータＭｘ＋ＭＲは、マスクが更新済みマスク、例えばＭＲを含むものとした場合、マスクされた変換済みデータを含むことができる。

本発明の例示的な実施形態によれば、入力マスクＲは非ゼロ値を取ることができる。非ゼロのランダム・マスクを取得するために、例えば後述するようないずれかの適切な非ゼロのランダム・マスク生成器を実装することができる。

本発明の幾つかの例示的な実施形態によれば、変換済みデータを操作することは、例えば後述するように変換済みデータを反転することを含むことができる。変換済みデータを反転することは、例えば後述するように、更新済みマスクを用いることを含むことができる。

本発明の例示的な実施形態によれば、マスクされた変換済みデータを反転することは、変換済みデータ、例えばＭｘ＋ＭＲに更新済みマスクＭＲを乗じて、第１中間データ、例えばＭｘＭＲ＋（ＭＲ）²を取得することを含むことができる。マスクされた変換済みデータを反転することはまた、更新済みマスクの平方、例えば（ＭＲ）²を第１中間データに加えて、第２中間データ、例えばＭｘＭＲを取得することを含むことができる。変換済みデータを反転することはさらに、第２中間データＭｘ＋ＭＲを反転して、第３中間データ、例えば（ＭｘＭＲ）^-1を取得することを含むことができる。変換済みデータを反転することはさらに、単位データ・ビットすなわち１を第３中間データに加えて、第４中間データ、例えば（ＭｘＭＲ）^-1＋１を取得することを含むことができる。変換済みデータを反転することはさらに、第４中間データに更新済みマスクＭＲを乗じて、第２表現のマスクされた反転済みデータ、例えば（Ｍｘ）^-1＋ＭＲを取得することを含むことができる。加算、乗算、及び／又は反転といった演算の少なくとも幾つかは、第２表現で行うことができる。第２表現の演算は、例えば後述のように、いずれかの適切な回路及び／又はルックアップテーブル（ＬＵＴ）によって実装することができる。

本発明の幾つかの実施形態によれば、逆変換演算子は、第２表現のデータを逆変換して、対応する第１表現のデータに戻すためのいずれかの適切な演算子を含むことができる。本発明の例示的な実施形態によれば、逆変換演算子は、上述のように、行列Ｍ^-1による乗算を含むことができる。逆変換演算子を適用した結果は、方程式２、例えばＭ^-1［（Ｍｘ）^-1］＝ｘ^-1に従って計算できることが分かるであろう。したがって、第１表現のマスクされた反転済みデータ、例えばｘ^-1＋Ｒは、第２表現のマスクされた反転済みデータ、例えば（Ｍｘ）^-1＋ＭＲに逆変換演算子を適用することによって取得することができる。本発明の幾つかの例示的な実施形態によれば、逆変換演算子は、行列Ｍ^-1と、例えば後述のようなアフィン変換、例えば復号化アフィン変換又は暗号化アフィン変換との組み合わせを含むことができる。

図２を参照すると、本発明の幾つかの例示的な実施形態にしたがって、マスクされたデータを操作するための装置２００の回路実装が概略的に示される。

本発明の例示的な実施形態によれば、装置２００は、第１表現のマスクされた入力データを対応する第２表現のマスクされたデータに変換する変換ブロック２０２を含むことができる。ブロック２０２は、マスクＲを第２表現の更新済みマスクに変換するように構成することもできる。装置２００はまた、第２表現の変換済みデータを操作、例えば反転する操作ブロック、例えば反転ブロック２０４と、操作済みデータを逆変換して第１表現の逆変換済みデータにする逆変換ブロック２０６とを含むことができる。

本発明の例示的な実施形態によれば、ブロック２０２は、第１表現のマスクされた入力データｘ＋Ｒを対応する第２表現の変換済みデータに変換する入力変換モジュール２０８を含むことができる。ブロック２０２はまた、入力マスクＲを更新済みマスクに変換するマスク変換モジュール２１０を含むことができる。変換済みのマスクされたデータに関連する更新済みマスクを取得するために、モジュール２１０によって行われるマスクの変換を、例えば後述のように、モジュール２０８によって行われる変換と関連させることができる。モジュール２０８及び／又はモジュール２１０は、例えば後述のように、第１表現のデータを変換して対応する第２表現のデータにするいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。当業者であれば、本発明の幾つかの他の実施形態にしたがって、モジュール２０８及び２１０を、例えばマスクされた入力データ及び入力マスクを逐次的に変換する１つの複合変換モジュールの形で実装できることが分かるであろう。

本発明の例示的な実施形態によれば、ブロック２０４は、モジュール２０８の出力２２６及びモジュール２１０の出力２２８と関連する第１乗算器２１２を含むことができる。ブロック２０４はまた、出力２２８と関連する平方モジュール２１４と、該モジュール２１４の出力２３０及び乗算器２１２の出力２３２と関連する第１加算器２１６とを含むことができる。ブロック２０４はさらに、加算器２１６の出力２３４と関連する反転モジュール２１８と、モジュール２１８の出力２３６と関連し、単位値すなわち値１を持つ信号を受信する入力２４０を有する第２加算器２２０とを含むことができる。ブロック２０４はさらに、出力２２８及び加算器２２０の出力２４２と関連する第２乗算器２２２を含むことができる。乗算器２１２及び／又は乗算器２２２は、例えば後述のように、第２表現を用いて第１表現の２つの要素を乗じるいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。ユニット２１４は、例えば後述のように、第２表現を用いて第１表現の１つの要素の平方を与えるいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。反転モジュール２１８は、例えば後述のように、第２表現を用いて第１表現のデータを反転するいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。加算器２１６及び２２０は、２つの要素の加算を実施するいずれかのソフトウェア及び／又はハードウェアを含むことができる。例えば、加算器２１６及び／又は加算器２２０は、当該技術分野において知られているように、ＸＯＲゲートを含むことができる。

本発明の例示的な実施形態によれば、ブロック２０６は、ブロック２０４の出力２４３と関連する逆変換モジュール２２４を含むことができる。モジュール２２４は、例えば後述のように、第２表現のデータを逆変換して対応する第１表現の逆変換済みデータにするいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。

本発明の例示的な実施形態によれば、モジュール２０８、２１０、及び／又は２２４は、それぞれ、Ｍによる乗算、Ｍによる乗算、及びＭ^-1による乗算を実行する、例えば後述のような乗算器を含むことができる。したがって、出力２２６はＭｘ＋ＭＲに対応する値を取ることができ、出力２２８はＭＲに対応する値を取ることができる。したがって、出力２４３は（Ｍｘ）^-1＋ＭＲに対応する値を取ることができ、ブロック２０６の出力２４４は、ｘ^-1＋Ｒに対応する値を取ることができる。この実施形態によれば、ブロック２０２及び２０４の出力は、更新済みマスクＭＲによってマスクすることができ、ブロック２０６の出力は、入力マスクＲによってマスクすることができる。このように、ブロック２０２、２０４、及び２０６の出力は、入力マスク又は更新済みマスクのいずれかによってマスクできることが分かるであろう。

例示的な実施形態によれば、装置２００は、少なくとも２つのＸＯＲゲート２１６及び２２０と、第２表現の２つの乗算回路２１２及び２２２と、第２表現の１つの平方回路又はＬＵＴ２１４と、例えば後述のように、ｎ×ｎビット行列、例えばＭにベクトルを乗じるための３つの乗算回路２０８、２１０、及び２２４とを含むことができる。

当業者であれば、本発明の実施形態にしたがってマスクされたデータを操作するための装置、例えば装置２００のハードウェア実装を、従来型のマスク反転装置と比べてより単純なものにし、したがってより小型にできることが分かるであろう。例えば、第１表現がＧＦ（２^2s）表現を含み、第２表現がＧＦ（（２^s）²）表現を含む場合には、第２表現の平方ＬＵＴは、２^sｓビットを含むことができる。本発明の実施形態によれば、平方ＬＵＴのビットサイズは、第１表現の平方ＬＵＴのビットサイズ、例えば２^2s+1ｓと比べて、より小さなものとすることができる。さらに、従来型のマスク反転装置は、第１表現の乗算を行う乗算回路を実装することが必要な場合がある。これらの回路は、本発明の実施形態によって実装される乗算器と比べてより複雑な場合がある。

幾つかの例示的な実施形態によれば、上述の方法及び／又は装置は、後述のように、例えばマスクされたＡＥＳ Ｓ−ｂｏｘ暗号化／復号化演算を行うことによって、マスクされた入力データｘ＋Ｒを暗号化及び／又は復号化するために、実装することができる。

分かりやすくするために、本発明の幾つかの実施形態の説明の一部として、データを暗号化する装置及び／又は方法に対して言及する場合があるが、本発明の範囲はこの点に限定されるものではない。本発明のさらなる実施形態は、データを復号化する装置及び／又は方法を参照して説明することができる。しかしながら、当業者であれば、暗号化装置、復号化装置、及び／又は、暗号化と復号化の両方を組み合わせた装置を実装するために、ここで説明される本発明の方法及び／又は装置をどのように修正し、及び／又は、適用すべきかが明らかであろう。特に指定のない限り、ここで説明される方法及び装置の原理は、いずれかのこうした修正及び／又は適用と併せて実装されるように意図される。

本発明の幾つかの例示的な実施形態においては、ｓは４に等しい。これらの実施形態は、ＧＦ（２⁸）表現のデータをＧＦ（（２⁴）²）表現に変換するのに有用である。

分かりやすくするために、本発明の幾つかの実施形態の説明は、ｓが４に等しい、すなわちＧＦ（２⁸）表現のデータをＧＦ（（２⁴）²）表現に変換するための方法及び／又は装置に関するものであるが、本発明の範囲はこの点に限定されるものではない。しかしながら、当業者であれば、他のいずれかの適切なｓの値について、ここで説明される方法及び／又は装置をどのように適宜に修正すべきかが明らかであろう。

本発明の幾つかの実施形態の説明の一部として、本方法及び／又は装置は、様々な組み合わせ及び形態で実装することができる。本発明の例示的な実施形態によれば、暗号化を行う暗号化ブロック、及び／又は、復号化を行う復号化ブロックは、例えばスマートカードに用いることができるタイプの組み込み電気回路に実装することができる。ＡＥＳ ＧＦ（２⁸）表現からＧＦ（（２⁴）²）に、及びＧＦ（（２⁴）²）からＧＦ（２⁸）に、データを変換するために用いることができる変換演算子は、例えばスマートカードに事前プログラムすることができる。付加的又は代替的に、他の構成を用いることができる。

従来型のＡＥＳ Ｓ−ｂｏｘは、以下の方程式、

に従ってアフィン変換を行うことができ、ここで、当該技術分野において知られているように、ｓｂｏｘ［ｘ］は暗号化に関する変換を表し、ｓｂｏｘ^-1［ｘ］は復号化に関する変換を表し、Ａ及びｂはＡＥＳ Ｓ−ｂｏｘパラメータ行列である。

したがって、本発明の実施形態によれば、方程式２をそれぞれ方程式３及び４に代入し、両方程式においてｘを（ｘ＋Ｒ）と置き換えることによって、マスクされたデータｘ＋Ｒを第２表現に変換し、第２表現で演算を行い、得られたデータを対応する第１表現、例えばＡＥＳ表現に逆変換するための以下の修正方程式を取得することができる。

本発明の幾つかの実施形態に従って、変換回路又はソフトウェアは、表現変換行列Ｍを実装する回路を含むことができる。こうした実施形態の幾つかによれば、表現変換行列Ｍを実装する回路又はソフトウェアは、線形変換例えばＡを実装する回路又はソフトウェアと組み合わせことができる。本発明のさらなる実施形態によれば、変換回路又はソフトウェアは、それぞれＡＭ^-1、ＭＡ^-1、Ｍ、及びＭ^-1によって乗算するための、例えば後述のような４つの乗算モジュールを含むことができる。このように、変換回路は、アフィン変換、例えばＡによる乗算及び／又はｂの加算の適用と、所定の表現変換、例えばＭによる乗算の適用との組み合わせで構成することができる。こうした演算モジュールの使用により、変換回路の効率を向上させることができる。

行列乗算のハードウェア実装は、当該技術分野において知られているように、いずれかの行列乗算のハードウェア実装を含むことができる。例えば、ｉ＝１．．．ｎであり、Ｄが固定されたｎ×ｎの二値行列であるとすると、ｙ＝Ｄｘによって定められるブロックｙの値ｙ_iは、以下の方程式、

を用いて計算することができる。

このように、ｙの値は、方程式７を用いて計算することができる。これは、行Ｄ_iのどの要素が非ゼロであるかを求め、対応するｘ_jの値のＸＯＲ演算を行うことによって、達成することができる。

本発明の例示的な実施形態によれば、ＡＥＳ演算と等価の演算、例えば、逆演算、加算演算、及び／又は乗算演算は、後述のように、第２表現、例えばＧＦ（（２⁴）²）表現で定めることができる。

ＧＦ（２⁸）の要素ｘは、八桁の二進数ｘ＝［ｘ₇ｘ₆ｘ₅ｘ₄ｘ₃ｘ₂ｘ₁ｘ₀］によって定めることができ、ＧＦ（２⁴）の要素ｚは、四桁の二進数ｚ＝［ｚ₃ｚ₂ｚ₁ｚ₀］によって定めることができる。

当該技術分野において知られているように、ＧＦ（２⁴）は、ＧＦ（２）上の簡約多項式によって定められる多項式表現を持つことができ、例えばｚ＝［ｚ₃ｚ₂ｚ₁ｚ₀］は、多項式ｚ₀＋ｚ₁ｔ＋ｚ₂ｔ²＋ｚ₃ｔ³によって表すことができる。ＧＦにおける要素の乗算は、該要素を表す多項式を乗算し、その結果のモジュロを簡約多項式に約分することによって定めることができる。

本発明の実施形態によれば、ＧＦ（２⁸）のビット・オクテットｚ＝［ｚ₇ｚ₆ｚ₅ｚ₄ｚ₃ｚ₂ｚ₁ｚ₀］は、線形多項式ｚ_<m>ｔ＋ｚ_<l>と相似のものとすることができ、ここで、ｚ_<m>＝［ｚ₇ｚ₆ｚ₅ｚ₄］及びｚ_<l>＝［ｚ₃ｚ₂ｚ₁ｚ₀］はＧＦ（２⁴）の要素である。したがって、第２表現は、ＧＦ（２⁴）の要素ｚ_<m>及びｚ_<l>を含むことができる。

本発明の幾つかの実施形態の一部として、第２表現の乗算演算及び加算演算は、ＧＦ（２⁴）における演算に関して定めることができる。以下に与えられるのは、ＧＦ（２⁴）上の演算に関する、第２表現の乗算及び加算の１つの可能な定義である。本発明の幾つかの実施形態の一部として、他の定義を用いることもできることが分かるであろう。

第１表現の２つの要素、例えばａ，ｄ∈ＧＦ（２⁸）の、第２表現での加算及び減算は、当該技術分野において知られているように、該２つの要素のビット単位のＸＯＲとして定めることができる。２つの要素ａ及びｄの積は、多項式の積（ａ_<m>ｔ＋ａ_<l>）×（ｄ_<m>ｔ＋ｄ_<l>）ｍｏｄ（ｔ²＋αｔ＋β）として定めることができ、ここで多項式の係数の乗算及び加算は、所与の表現を用いるＧＦ（２⁴）上の演算によって定めることができる。したがって、要素ａ及びｄの積は、以下の方程式、
（ａ_<m>ｔ＋ａ_<l>）×（ｄ_<m>ｔ＋ｄ_<l>）（ｍｏｄ ｔ²＋αｔ＋β）＝
（ａ_<l>ｄ_<m>−ａ_<m>ｄ_<m>α＋ａ_<m>ｄ_<l>）ｔ−ａ_<m>ｄ_<m>β＋ａ_<l>ｄ_<l>≡ｒ_<m>ｔ＋ｒ_<l> （８）
を用いて計算することができ、ここで、
（ａ_<l>ｄ_<m>−ａ_<m>ｄ_<m>α＋ａ_<m>ｄ_<l>）≡ｒ_<m>≡［ｒ₇ｒ₆ｒ₅ｒ₄］
ａ_<m>ｄ_<m>β＋ａ_<l>ｄ_<l>≡ｒ_<l>≡［ｒ₃ｒ₂ｒ₁ｒ₀］ （９）
である。

したがって、ＡＥＳ表現すなわちＧＦ（２⁸）表現の要素ａ及びｄの積は、ｒ＝［ｒ₇ｒ₆ｒ₅ｒ₄ｒ₃ｒ₂ｒ₁ｒ₀］と定めることができる。このように、ＡＥＳ表現の要素ａ及びｄの積は、例えば方程式の組９に従い、ＧＦ（２⁴）上の一連の加算演算及び乗算演算を用いて計算することができる。当業者であれば、ＧＦ（２⁴）においてマイナス記号とプラス記号とは置換可能であることが分かるであろう。したがって、方程式の組９の第１式のマイナス記号は、例えば後述のように、プラス記号と置き換えることができる。

図３Ａを参照すると、本発明の幾つかの例示的な実施形態にしたがって、乗算器３０２の回路実装が概略的に示される。

乗算器３０２は、２つのＧＦ（２⁴）要素を乗じるための乗算ユニット３０４、３０６、及び３１６と、２つのＧＦ（２⁴）要素を乗じ、該２つの要素の積にβを乗じるためのβ乗算ユニット３０８とを含むことができる。ユニット３０４、３０６、３０８、及び３１６は、例えば後述のように、２つのＧＦ（２⁴）要素の乗算を行うためのいずれかの適切なＬＵＴ及び／又は回路を含むことができる。当該技術分野において知られているように、乗算器３０２はまた、ＸＯＲゲート３１０、３１２、及び３１４を含むことができる。

ＡＥＳ表現の要素ａの平方は、方程式の組９にａ＝ｄを代入することによって計算することができる。例えば上述のように方程式の組９の第１式のマイナス記号をプラス記号で置き換えた場合には、以下の方程式の組、
２ａ_<l>ａ_<m>＋ａ_<m> ²α≡ｒ_<m>≡［ｒ₇ｒ₆ｒ₅ｒ₄］
ａ_<m> ²β＋ａ_<l> ²≡ｒ_<l>≡［ｒ₃ｒ₂ｒ₁ｒ₀］ （１０）
を用いることができる。

図３Ｂを参照すると、本発明の幾つかの例示的な実施形態にしたがって、平方ユニット３２０の回路実装が概略的に示される。

平方ユニット３２０は、ＧＦ（２⁴）要素の平方に対応する値をそれぞれが含むＬＵＴ３２２及び３２４と、ＧＦ（２⁴）要素の平方にβを乗じたものに対応する値を含むＬＵＴ３２６とを含むことができる。ＬＵＴ３２２、３２４、及び３２６は、例えば後述のように、いずれかの適切なＬＵＴを含むことができる。平方ユニット３２０はまた、当該技術分野において知られているＸＯＲゲート３２８を含むことができる。

データ要素（ｘ_<m>ｘ＋ｘ_<l>）ｘ＝（ａ_<m>ｔ＋ａ_<l>）の逆数ｘ^-1＝（ｃ_<m>ｔ＋ｃ_<l>）を求めるには、以下の方程式の組、
０ｘ＋１＝（ｃ_<m>ｔ＋ｃ_<l>）×（ａ_<m>ｔ＋ａ_<l>）＝
０ｘ＋１＝（ｃ_<m>ｔ＋ｃ_<l>）×（ａ_<m>ｔ＋ａ_<l>）ｍｏｄ（ｔ²＋αｔ＋β）＝
０ｘ＋１＝（ｃ_<m>ａ_<m>α＋ｃ_<m>ａ_<l>＋ｃ_<l>ａ_<m>）ｔ＋ｃ_<l>ａ_<l>＋ｃ_<m>ａ_<m>β （１１）
を解くことが必要になる。

方程式の組１１は、ＧＦ（２）上の以下の線形方程式系、
ｃ_<m>＝ａ_<m>（ａ² _<m>β＋ａ² _<l>＋ａ_<l>ａ_<m>α）^-1
ｃ_<l>＝（ａ_<l>＋ａ_<m>α）（ａ² _<m>β＋ａ² _<l>＋ａ_<l>ａ_<m>α）^-1 （１２）
に変換することができる。

したがって、データ要素ｘの逆数ｘ^-1を計算するために、上述のように、Ｃ_<m>及びＣ_<l>の値を計算することができる。このように、ＡＥＳ表現の要素ｘの逆数は、方程式の組１２に従って、ＧＦ（２⁴）上の一連の加算演算、乗算演算、平方演算、及び逆演算を用いて計算することができる。

図３Ｃを参照すると、本発明の幾つかの例示的な実施形態にしたがって、反転モジュール３３０の回路実装が概略的に示される。

反転モジュール３３０は、例えば後述のように、２つのＧＦ（２⁴）要素を乗じるための乗算ユニット３３４、３４２、及び３４６を含むことができる。モジュール３３０はまた、例えば後述のように、ＧＦ（２⁴）要素の平方に対応する値を含む平方ＬＵＴ３３１と、ＧＦ（２⁴）要素の平方にβを乗じたもの対応する値を含むβ平方ＬＵＴ３３２とを含むことができる。モジュール３３０はさらに、例えば後述のように、ＧＦ（２⁴）要素の逆数に対応する値を含む反転ＬＵＴ３４４を含むことができる。モジュール３３０はまた、当該技術分野において知られているように、ＸＯＲゲート３４０及び３３８を含むことができる。

本発明の実施形態によれば、ＧＦ（２⁴）上の乗算は、後述のように、ＧＦ（２⁴）乗算器を定め、各々の場合について適切な乗算器を選択することによって、より効率的に行うことができる。

これらの例示的な実施形態によれば、ＧＦ（２⁴）の２つの要素、例えばａ＝［ａ₃，ａ₂，ａ₁，ａ₀］及びｄ＝［ｄ₃，ｄ₂，ｄ₁，ｄ₀］の、ＧＦ（２⁴）上の乗算ａ×ｄ＝［ａ₃，ａ₂，ａ₁，ａ₀］×［ｄ₃，ｄ₂，ｄ₁，ｄ₀］は、例えば上述のように、所与の簡約多項式について、一連のビット単位の演算、例えば加算（ＸＯＲ）及び乗算（ＡＮＤ）として定めることができる。したがって、例えば、２つの要素の乗算の解は、以下のようになる。
簡約多項式：ｔ⁴＋ｔ＋１
［ａ₃，ａ₂，ａ₁，ａ₀］＊［ｄ₃，ｄ₂，ｄ₁，ｄ₀］＝
［ａ₁ｄ₂＋ａ₃ｄ₃＋ａ₃ｄ₀＋ａ₂ｄ₁＋ａ₀ｄ₃，ａ₂ｄ₃＋ａ₀ｄ₂＋ａ₃ｄ₃＋ａ₂ｄ₀＋ａ₁ｄ₁＋ｄ₂ａ₃，ａ₁ｄ₃＋ｄ₂ａ₃＋ａ₀ｄ₁＋ａ₂ｄ₂＋ａ₂ｄ₃＋ａ₁ｄ₀＋ａ₃ｄ₁，ａ₀ｄ₀＋ａ₁ｄ₃＋ａ₂ｄ₂＋ａ₃ｄ₁］

簡約多項式：ｔ⁴＋ｔ³＋１
［ａ₃，ａ₂，ａ₁，ａ₀］＊［ｄ₃，ｄ₂，ｄ₁，ｄ₀］＝
［ａ₀ｄ₃＋ａ₁ｄ₃＋ａ₃ｄ₂＋ａ₂ｄ₃＋ａ₃ｄ₁＋ａ₂ｄ₁＋ａ₁ｄ₂＋ａ₃ｄ₃＋ａ₃ｄ₀＋ａ₂ｄ₂，ａ₀ｄ₂＋ａ₃ｄ₃＋ａ₁ｄ₁＋ａ₂ｄ₀，ａ₀ｄ₁＋ａ₃ｄ₂＋ａ₃ｄ₃＋ａ₁ｄ₀＋ａ₂ｄ₃，ａ₁ｄ₃＋ａ₀ｄ₀＋ａ₂ｄ₃＋ａ₃ｄ₂＋ａ₂ｄ₂＋ａ₃ｄ₁＋ａ₃ｄ₃］

簡約多項式：ｔ⁴＋ｔ³＋ｔ²＋ｔ＋１
［ａ₃，ａ₂，ａ₁，ａ₀］＊［ｄ₃，ｄ₂，ｄ₁，ｄ₀］＝
［ａ₂ｄ₁＋ａ₃ｄ₀＋ａ₃ｄ₁＋ａ₁ｄ₂＋ａ₁ｄ₃＋ａ₂ｄ₂＋ａ₀ｄ₃，ａ₃ｄ₁＋ａ₂ｄ₂＋ａ₁ｄ₁＋ａ₂ｄ₀＋ａ₀ｄ₂＋ａ₁ｄ₃，ａ₀ｄ₁＋ａ₁ｄ₃＋ａ₁ｄ₀＋ａ₃ｄ₁＋ａ₃ｄ₃＋ａ₂ｄ₂，ａ₃ｄ₂＋ａ₁ｄ₃＋ａ₀ｄ₀＋ａ₂ｄ₃＋ａ₂ｄ₂＋ａ₃ｄ₁］

解の各々における要素の乗算の幾つかは、２つ又はそれ以上の出力ビットについて類似となる場合があることに注意されたい。例えば、上に挙げた解の中に二度現れる式ａ₁ｄ₃＋ａ₂ｄ₂＋ａ₃ｄ₁は、ハードウェア要件を最小にするために、例えばＸＯＲゲート及びＡＮＤゲートを用いて一度だけ計算することができる。当業者であれば、上述の３つの二次簡約多項式の各々を使用する、ＧＦ（２⁴）における２つの要素の乗算の解を用いて、二次簡約多項式の各々についてＧＦ（２⁴）乗算器を構成できることが分かるであろう。こうした乗算器は、当該技術分野において知られているハードウェア及び／又はソフトウェアに実装することができる。所与の表現変換行列について、適切なＧＦ（２⁴）乗算器を構成することができる。上述のように、各々の表現変換行列は、拡大多項式と組み合わせて、ＧＦ（２⁴）上の３つの既約簡約多項式のうちの１つによって定めることができるため、ＧＦ（２⁴）乗算器はあらかじめ決定することができる。当業者であれば、本発明の例示的な実施形態にしたがって、付加的に又は代替的にＧＦ（２⁴）乗算器の他の適切な実装を使用できることが分かるであろう。

ＧＦ（２⁴）において、ＩＮＶと表示される反転と、ＳＱＲと表示される平方とは、例えば、１６ニブルといった８バイトのサイズを各々が持つ比較的小さな２つの個別のルックアップテーブル（ＬＵＴ）によって実装することができる。本発明の幾つかの実施形態によれば、係数βはあらかじめ決定することができる。したがって、要素ｇ∈ＧＦ（２⁴）についての値β×ｇ²を、βＳＱＲと表示することができる８バイトＬＵＴに格納し、方程式の組１２を計算するのに必要な計算の組から１つの乗算をなくすようにすることができる。代替的な実施形態によれば、ＧＦ（２⁴）のＳＱＲ、ＩＮＶ、及び／又はβＳＱＲは、当該技術分野において知られているように、いずれかの適切な回路によって実装することができる。例えば、上述のように、２つの要素の乗算の解にａ＝ｄを代入することによって、ＳＱＲ回路を実装することができる。したがって、例えば、ＳＱＲ回路は、α＝１について以下の解を実装することができる。
簡約多項式：ｔ⁴＋ｔ＋１
［ａ₃，ａ₂，ａ₁，ａ₀］²＝［ａ₃，ａ₁＋ａ₃，ａ₂，ａ₀＋ａ₂］

簡約多項式：ｔ⁴＋ｔ³＋１
［ａ₃，ａ₂，ａ₁，ａ₀］²＝［ａ₂＋ａ₃，ａ₁＋ａ₃，ａ₃，ａ₀＋ａ₂＋ａ₃］

簡約多項式：ｔ⁴＋ｔ³＋ｔ²＋ｔ＋１
［ａ₃，ａ₂，ａ₁，ａ₀］²＝［ａ₂，ａ₁＋ａ₂，ａ₂＋ａ₃，ａ₀＋ａ₂］

本発明の実施形態の回路実装は、対応するＬＵＴ実装よりコンパクトにできることに留意されたい。しかしながら、幾つかのＳ−ｂｏｘ実装において、ＬＵＴがより効率的なデータ処理を提供することができる。

図４を参照すると、本発明の幾つかの例示的な実施形態にしたがって、マスクされたデータを暗号化／復号化するのためのＡＥＳ互換装置４００の回路実装を概略的に示す。

本発明の例示的な実施形態によれば、装置４００は、入力変換ブロック４１２と、操作ブロック、例えば反転ブロック４１４と、出力逆変換ブロック４１６とを含むことができる。装置４００は、後述のように、暗号化演算モード及び／又は復号化演算モードを持つことができる。

本発明の例示的な実施形態によれば、ブロック４１２は、ＧＦ（２⁸）表現などのＡＥＳ表現の、例えばｘ＋Ｒの３２ビット列ベクトルに対応するマスクされた入力データ信号４３８を受信し、このデータをＧＦ（（２⁴）²）表現のデータに変換するための入力変換モジュール４１８を含むことができる。復号化演算モードにおいては、変換モジュール４１８は、例えば上記の方程式６に従って、ｘ＋Ｒに復号化アフィン変換を適用することもできる。したがって、例えば、モジュール４１８の出力信号４４０は、ｘ_t＋Ｒ_tの値に対応する値を持つことができ、ここで、暗号化演算モードではｘ_t＝Ｍｘ及びＲ_t＝ＭＲであり、復号化演算モードではｘ_t＝ＭＡ^-1ｘ＋ＭＡ^-1ｂ及びＲ_t＝ＭＡ^-1Ｒである。

ブロック４１２はまた、入力マスクＲを更新済みマスクに変換するマスク変換モジュール４２０を含むことができる。マスクされた変換済みデータに対応する更新済みマスクを取得するために、モジュール４２０によって行われるマスクの変換は、モジュール４１８によって行われる線形変換に対応する線形変換を含むことができる。例えば、暗号化演算モードにおいては、変換モジュール４２０は、ＲにＭを乗じてＭＲを取得することができる。復号化演算モードにおいては、変換モジュール４２０は、ＲにＭＡ^-1を乗じてＭＡ^-1Ｒを取得することができる。

モジュール４１８及び／又はモジュール４２０は、第１表現のデータを対応する第２表現のデータに変換し、及び／又は、例えば後述のようにアフィン変換を行うためのいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。

図５Ａを参照すると、本発明の幾つかの例示的な実施形態にしたがって、入力変換モジュール５００の回路実装が概略的に示される。

例示的な実施形態によれば、モジュール５００は、ｘ＋ＲとＭとの乗算を実施する乗算器５０６を含むことができる。モジュール５００はまた、ｘ＋ＲとｂとのＸＯＲ演算を実施するＸＯＲゲート５０８と、ＸＯＲゲート５０８の出力５１８とＭＡ^-1との乗算を実施する乗算器５１０とを含むことができる。乗算器５０６及び／又は５１０は、例えば上述のように、ｎ×ｎ行列にベクトルを乗じるためのいずれかの適切な乗算器を含むことができる。モジュール５００はまた、例えば乗算器５０６の出力信号５１４と乗算器５１０の出力信号５１６とを選択することによって、暗号化演算モードと復号化演算モードとの間で選択を行う、当該技術分野で既知のマルチプレクサ５１２を含むことができる。

図５Ｂを参照すると、本発明の幾つかの例示的な実施形態にしたがって、マスク変換モジュール５３０の回路実装が概略的に示される。

例示的な実施形態によれば、モジュール５３０は、ＲとＭとの乗算を実施する乗算器５３２を含むことができる。モジュール５３０はまた、ＲとＭＡ^-1との乗算を実施する乗算器５３４を含むことができる。乗算器５３２及び／又は５３４は、例えば上述のように、ｎ×ｎ行列にベクトルを乗じるためのいずれかの適切な乗算器を含むことができる。モジュール５３０はまた、例えば乗算器５３２の出力信号５３３と乗算器５３４の出力信号５３５とを選択することによって、暗号化演算モードと復号化演算モードとの間で選択を行う、当該技術分野で既知のマルチプレクサ５３６を含むことができる。

再び図４を参照すると、反転ブロック４１４は、第２表現の変換済みデータを反転するいずれかの回路及び／又はＬＵＴ、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。

本発明の例示的な実施形態によれば、ブロック４１４は、信号４４０及び信号４４２を受信し、例えば値（ｘ_t＋Ｒ_t）Ｒ_tに対応する信号４７１を与えるための第１乗算器４７０を含むことができる。ブロック４１４はまた、信号４４２を受信し、例えばＲ_t ²の値に対応する信号４７３を与える平方ユニット４７２と、信号４７１及び信号４７３を受信し、例えばｘ_tＲ_tの値に対応する信号４７５を与える第１加算器４７４とを含むことができる。ブロック４１４はさらに、信号４７５を受信して、例えば、ｘ_tＲ_t？０の場合にはゼロ値を持ち、ｘ_tＲ_t＝０の場合には非ゼロ値、例えば１を持つ信号を与えるためのゼロ検出（ＺＤ）モジュール４８０を含むことができる。ブロック４１４はまた、信号４４２及び信号４８１を受信して信号４８３を与えるための、例えば当該技術分野で既知のＡＮＤゲート４８２を含むことができる。例えば、信号４８３は、ｘ_tＲ_t？０の場合にはゼロ値を持ち、ｘ_tＲ_t＝０の場合には非ゼロ値、例えばＲ_tを持つことができる。ブロック４１４はさらに、信号４７５及び信号４８３を受信して、例えば、ｘ_tＲ_t？０の場合にはｘ_tＲ_tの値に対応し、ｘ_tＲ_t＝０の場合にはＲ_tの値に対応する信号４８５を与えるための第２加算器４７６を含むことができる。ブロック４１４はさらに、信号４８５を受信して、例えば、ｘ_tＲ_t？０の場合には（ｘ_tＲ_t）^-1の値に対応し、ｘ_tＲ_t＝０の場合にはＲ_t ^-1の値に対応する信号４８７を与えるための反転モジュール４７８と、信号４８７及び単位値すなわち値１を持つ信号を受信して、例えば、ｘ_tＲ_t？０の場合は（ｘ_tＲ_t）^-1＋１の値に対応し、ｘ_tＲ_t＝０の場合にはＲ_t ^-1＋１の値に対応する信号４８９を与えるための第３加算器４７９とを含むことができる。ブロック４１４はさらに、信号４４２及び信号４８９を受信し、例えば、ｘ_tＲ_t？０の場合にはｘ_t ^-1＋Ｒ_tの値に対応し、ｘ_tＲ_t＝０の場合には１＋Ｒ_tの値に対応する信号４９１を与えるための第２乗算器４８６を含むことができる。ブロック４１４はさらに、信号４９１及び４８３を受信し、例えば、ｘ_tＲ_t？０の場合にはｘ_t ^-1＋Ｒ_tの値に対応し、ｘ_tＲ_t＝０の場合にはＲ_tの値に対応する信号４４４を与えるための第４加算器４８４を含むことができる。乗算器４７０及び／又は乗算器４８６は、例えば上述のように、第２表現を用いて第１表現の２つの要素を乗じるいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。ユニット４７２は、例えば上述のように、第２表現を用いて第１表現の２つの要素を平方するいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。反転モジュール４７８は、例えば上述のように、第２表現を用いて第１表現のデータを反転するいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。加算器４７４、加算器４７６、加算器４７９、及び／又は加算器４８４は、２つの要素の加算を実行するいずれかのソフトウェア及び／又はハードウェアを含むことができる。例えば、加算器４７４、加算器４７６、加算器４７９、及び／又は加算器４８４は、当該技術分野で既知のＸＯＲゲートを含むことができる。モジュール４８０は、例えば、信号４８１の論理ＮＯＴと、それに続く論理ＡＮＤとを実行するいずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。

これらの例示的な実施形態によれば、反転モジュール４７８への入力すなわち信号４８５は、例えばｘ_tＲ_t＝０であってもＲ_t？０であるため、非ゼロ値を持つ。したがって、ゼロ入力、すなわちｘ_t＝０は、例えば反転モジュールへの入力がゼロではないマスク値、例えばＲ_tを持つように、ブロック４１４によってマスクされる。

したがって、当業者であれば、反転ブロック４１４を実装して、ＡＥＳ装置上での、例えばゼロ入力を用いるＤＰＡ攻撃を阻止できることが分かるであろう。

本発明の他の実施形態によれば、ブロック４１４は、他のいずれかの適切な構成、例えば図２を参照して上述したような反転ブロック２０４の構成に類似の構成を含むことができる。

上述の例示的な実施形態によれば、信号４４４は、例えば、上述のように、暗号化演算モードにおける（ＭＸ）^-1＋ＭＲ）に対応する値と、復号化演算モートにおける（（ＭＡ）^-1（ｘ＋ｂ）^-1＋ＭＡ^-1Ｒ）に対応する値とを持つことができる。

本発明の例示的な実施形態によれば、ブロック４１６は、第２表現、例えばＧＦ（（２⁴）²）表現のブロック４１４の出力、例えば信号４４４を受信し、このデータを逆変換して、例えばＧＦ（２⁸）といった第１表現の逆変換済みデータにするための出力逆変換モジュール４２４を含むことができる。暗号化演算モードにおいては、変換モジュール４２４は、例えば上記の方程式７に従って暗号化アフィン変換を適用することもできる。したがって、例えば、モジュール４２４の出力信号４３４はｘ’＋Ｒ’に対応する値を持つことができ、ここで、暗号化演算モードにおいてはｘ’＝Ａｘ^-1＋ｂ及びＲ’＝ＡＲであり、復号化演算モードにおいてはｘ’＝Ａ^-1（ｘ＋ｂ）^-1及びＲ’＝Ａ^-1Ｒである。これらの実施形態によれば、Ｒ’はマスクＲの標準的な線形変換に対応するものとすることができるため、Ｒ’をマスクとして用いることができる。

ブロック４１６はまた、更新済みマスクを逆変換するマスク逆変換モジュール４２２を含むことができる。データの逆変換に対応して更新済みマスクを逆変換するために、モジュール４２２によって行われる逆変換は、モジュール４２０によって行われる線形変換に対応する線形変換を含むことができる。例えば、復号化演算モードにおいては、逆変換モジュール４２２は、Ａ^-1ＭＲにＭ^-1を乗じてＡ^-1Ｒを取得することができる。暗号化演算モードにおいては、逆変換モジュール４２２は、ＭＲにＡＭ^-1を乗じてＡＲを取得することができる。したがって、出力マスク信号４３２は、Ｒ’に対応する値を含むことができる。モジュール４２２及び／又は４２４は、第１表現のデータを対応する第２表現のデータに変換し、及び／又は、例えば後述のようなアフィン変換を行うための、いずれかの回路、ルックアップテーブル（ＬＵＴ）、及び／又は、いずれかの適切なハードウェア及び／又はソフトウェアを含むことができる。

図６Ａを参照すると、本発明の幾つかの例示的な実施形態にしたがって、出力逆変換モジュール６００の回路実装が概略的に示される。

例示的な実施形態によれば、モジュール６００は、操作済みデータ、例えば信号４４４とＭ^-1との乗算を実行する乗算器６０２を含むことができる。モジュール６００はまた、操作済みデータとＡＭ^-1との乗算を実行する乗算器６０４と、乗算器６０４の出力とｂとのＸＯＲ演算を実行するＸＯＲゲート６０６とを含むことができる。乗算器６０２及び／又は６０４は、例えば上述のように、ｎ×ｎ行列にベクトルを乗じるためのいずれかの適切な乗算器を含むことができる。モジュール６００はまた、例えば乗算器６０２の出力信号６１４と乗算器６０６の出力信号６１６とを選択することによって、暗号化演算モードと復号化演算モードとの間で選択を行う、当該技術分野で既知のマルチプレクサ６０８を含むことができる。

図６Ｂを参照すると、本発明の幾つかの例示的な実施形態にしたがって、マスク逆変換モジュール６３０の回路実装が概略的に示される。

例示的な実施形態によれば、モジュール６３０は、更新済みマスク、例えば信号４４２とＡＭ^-1との乗算を実行する乗算器６３２を含むことができる。モジュール６３０はまた、更新済みマスクとＭ^-1との乗算を実行する乗算器６３４を含むことができる。乗算器６３２及び／又は６３４は、例えば上述のように、ｎ×ｎ行列にベクトルを乗じるためのいずれかの適切な乗算器を含むことができる。モジュール６３０はまた、乗算器６３２の出力信号６３３と乗算器６３４の出力信号６３５とを選択することによって、暗号化演算モードと復号化演算モードとの間で選択を行う、当該技術分野で既知のマルチプレクサ６３６を含むことができる。

再び図４を参照すると、装置４００はまた、信号４３４に関する列混合演算に対応する信号４５６を与える列混合モジュール４５５を含むことができる。列混合演算は、当該技術分野において知られているように、例えば３２ビット列ベクトルｘ’＋Ｒ’を含む信号４３４とラインダール列混合行列とを乗じることを含むことができる。例えば、列混合演算は、以下のように、すなわち、

として計算することができ、ここで、ｘ’₁＋Ｒ’₁，ｘ’₂＋Ｒ’₂，ｘ’₃＋Ｒ’₃，及びｘ’₄＋Ｒ’₄は、列ベクトルｘ’＋Ｒ’のマスクされたデータ要素である。

当業者であれば、Ｒ’₁、Ｒ’₂、Ｒ’₃、及びＲ’₄は、Ｒのそれぞれの要素、例えばＲ₁、Ｒ₂、Ｒ₃、及びＲ₄の線形変換に対応するため、ベクトル（Ｒ’₁、Ｒ’₂、Ｒ’₃、Ｒ’₄）の全ての要素は、非ゼロの値、すなわちＲ’₁？０、Ｒ’₂？０、Ｒ’₃？０、及びＲ’₄？０であることが分かるであろう。しかしながら、ベクトル（Ｒ’₁、Ｒ’₂、Ｒ’₃、Ｒ’₄）とラインダール列混合行列との積は、ゼロ値を持つこともある。このことは、後のＡＥＳラウンドのマスクを歪めるという望ましくない結果をもたらすことがある。本発明の幾つかの例示的な実施形態によれば、この潜在的な問題を防止するために、ＲのＲ₁、Ｒ₂、Ｒ₃、及びＲ₄は、あらかじめ設定された等しい値、すなわちＲ₁＝Ｒ₂＝Ｒ₃＝Ｒ₄を持つものとすることができる。当業者であれば、あらかじめ設定された等しい値Ｒ₁＝Ｒ₂＝Ｒ₃＝Ｒ₄によって、ベクトル（Ｒ’₁、Ｒ’₂、Ｒ’₃、Ｒ’₄）とラインダール列混合行列との積が常に非ゼロであることを保証できることが分かるであろう。本発明の実施形態にしたがって、あらかじめ設定された他の値を用いて、ラインダール列混合乗算の結果が非ゼロになることを保証することもできる。

ＡＥＳラウンドはまた、当該技術分野において知られているように、行シフト演算の実行を含むことができる。行シフト演算は、当該技術分野において知られているように、マスクされたデータの４つの列を表す４×４データ行列の各行の要素間におけるシフトを含むことができる。データ行列は、ｋ＝１．．．１６としたときの和Ｘ’_k＋Ｒ’_kに各々が対応する１６個の要素を含むことができる。本発明の幾つかの例示的な実施形態によれば、Ｒの１６個の要素全ては、後に続くラウンドのマスクが歪まないことを保証するために、あらかじめ設定された等しい値、すなわちＲ₁＝Ｒ₂＝．．．＝Ｒ₁₆を持つものとすることができる。本発明の実施形態にしたがって、あらかじめ設定された他の値を用いて、ラインダール行混合乗算の結果が非ゼロであることを保証することもできる。当業者であれば、上述のようにマスクＲの１６個の要素全てをあらかじめ設定しても、ＤＰＡ攻撃に必要な総当りに対して比較的軽微な影響しか与えないことが分かるであろう。

当業者であれば、ベクトル（１，１，１，１）は、ラインダール列混合行列の固有ベクトルであること、すなわち、以下の式、

で表されることが分かるであろう。

したがって、本発明の例示的な実施形態によれば、信号４３２の値は、信号４３２に関して行われる列混合演算に応じて更新されることはない。

本発明の幾つかの例示的な実施形態によれば、装置４００はさらに、例えば最終ＡＥＳラウンド後に、マスクされた逆変換済みデータのマスクを取るためのマスク除去モジュール４６０を含むことができる。例示的な実施形態によれば、モジュール４６０は、信号４５６に対応する第１入力と第２入力との和に対応する出力信号４６４を与えるＸＯＲゲート４６２を含むことができる。最終ＡＥＳラウンド後に、ゲート４６２の第２入力を信号４３２と関連させることができる。したがって、更新済みマスクの値は、最後のラウンド後に、マスクされた逆変換済みデータとＸＯＲを取ることができ、その結果、操作済みデータからマスクが除去される。

本発明の幾つかの例示的な実施形態によれば、出力信号４６４はＲ’によってマスクされるため、マスクＲ’は、後述のように、後続のＡＥＳラウンドにおける入力マスクとして用いることができる。

本発明の幾つかの例示的な実施形態によれば、装置４００はさらに、後述のように、後続のＡＥＳラウンドにおける新たなマスクを用いることが可能なマスク入力モジュール４５０を含むことができる。モジュールは、以前のＡＥＳラウンドの信号４６５の値、例えばｘ’’＋Ｒ’に対応する第１入力と、ランダム・マスク信号４５２の値、例えばＲに対応する第２入力との和を与える第１ＸＯＲゲート４２８を含むことができる。したがって、例えば、ＸＯＲゲート４２８の出力信号４５４は、ｘ’’＋Ｒ’＋Ｒの値に対応するものとすることができる。構成４５０はまた、信号４５４と信号４３２との和に対応する信号４３８をブロック４１２に与える第２ＸＯＲゲート４２６を含むことができる。したがって、信号４３８は、ｘ’’＋Ｒに対応する値を持つことができる。

当業者であれば、構成４５０の各ＸＯＲゲートの入力及び出力は、マスク、すなわちＲ及び／又はＲ’を含むことができることが分かるであろう。

本発明の例示的な実施形態によれば、装置４００によって実装される表現変換行列Ｍは、後述のように、例えば装置４００を実装するための最小回路面積といった所望の最適化基準に基づいて、あらかじめ決定することができる。

本発明の例示的な実施形態によれば、１組の回路、例えばα＝１のときの１９２個の可能な変換行列に対応する１９２個の回路を作成して、装置４００を実装することができる。例えば、回路の各々は、シノプシス社から入手可能なＤＣ Ｓｈｅｌｌ ２００１．０８−ｓｐ１（ＤＣ Ｅｘｐｅｒｔ）を用いて合成することができる。ターゲット・ライブラリＴＳＭＣ ０．１８μ（ＳＡＡＧ−Ｘ Ａｒｔｉｓａｎｅ）を用いることができる。例えば１２ｎＳｅｃから６ｎＳｅｃまでの範囲の伝搬遅延時間といった様々なタイミングについて、合成を行うことができる。これらのパラメータにより、例えば３ナノ秒のマージンといったマージンを加えることによって、例えば６６．７ＭＨｚから１１１ＭＨｚまでの範囲の、それぞれ異なる周波数を用いることが可能になる。合成の結果に応じて、表現変換行列［０１ ０ｃ ５０ ｅｄ ４２ ３５ ６７ ９２］が実装される場合には、従来のＡＥＳ装置の回路面積と比較して約４５％の回路面積削減を達成することができる。

本発明の例示的な実施形態によれば、例えば後述のように、ランダム・ビット生成器を実装して、非ゼロのマスクＲを生成することができる。しかしながら、当業者であれば、他のいずれかの適切な装置及び／又は方法を実装して、非ゼロのマスクＲを生成できることが分かるであろう。

本発明の例示的な実施形態によれば、ランダム・ビット生成器を用いて、ｖビットを有する非ゼロのマスクＲを生成することができ、ここで、ｖは２のべき乗、例えばｖ＝８である。この生成器は、ｌｏｇ（ｖ）＋ｖ−１ビットを生成することができる。初めのｌｏｇ（ｖ）ビットは、０？ｗ＜ｖである第１の数ｗを定めるのに用いることができる。残りのｖ−１ビットは、第２の数ｐを定めるのに用いることができる。ｖビット・マスクは、Ｒのｗ番目のビットの値を１に設定し、Ｒの他のｖ−１ビットをｐのｖ−１ビットと置き換えることによって、生成することができる。例えば、ｖ＝８の場合には、ランダム・ビット生成器は、ｌｏｇ８＋８−１＝１０のランダム・ビット、例えば１０１１１００１０１を生成することができる。したがって、ｗ＝１０１₂＝５、ｐ＝１１００１０１、Ｒ＝１１１００１０１である。

当業者であれば、マスクのｗ番目のビットにおいて１の値は常に置き換えられるため、上述の方法は非ゼロのマスクを提供できることが分かるであろう。さらに、上述の方法を実施して、可能な非ゼロｖビット・マスクのいずれか１つを提供することができる。さらに、上述の方法を実装するマスク生成器によって、等しいハミング重みを持つマスクを等しい確率で生成することができる。以前にマスクが生成された場合に特定のマスクを生成することに対応する条件付きエントロピー値は、例えば以下のように、

として計算することができる。

したがって、上述の方法を実施して、例えばｖ＝８の場合には約７．９０２４４といった比較的高いエントロピー値を与えることができる。

当業者であれば、本発明は、添付図面を参照して本明細書で示され、説明された本発明の例示的な実施形態に限定されるものではないことが分かるであろう。本発明の幾つかの特徴が示され、説明されたが、当業者であれば、多くの修正、置換、変更、及び均等物を想定できるであろう。したがって、特許請求の範囲は、本発明の真の精神内にあるものとして、そうした修正及び変更の全てに及ぶことが意図されているものと理解すべきである。

本発明の実施形態に係る、マスクされたデータを操作する方法のフローチャート図である。 本発明の幾つかの例示的な実施形態に係る、マスクされたデータを操作する装置の回路実装の概略図である。 本発明の幾つかの例示的な実施形態に係る、乗算器の回路実装の概略図である。 本発明の幾つかの例示的な実施形態に係る、平方モジュールの回路実装の概略図である。 本発明の幾つかの例示的な実施形態に係る、反転モジュールの回路実装の概略図である。 本発明の幾つかの例示的な実施形態に係る、マスクされたデータを暗号化／復号化するＡＥＳ互換装置の回路実装の概略図である。 本発明の幾つかの例示的な実施形態に係る、データ変換モジュールの回路実装の概略図である。 本発明の幾つかの例示的な実施形態に係る、マスク変換モジュールの回路実装の概略図である。 本発明の幾つかの例示的な実施形態に係る、出力逆変換モジュールの回路実装の概略図である。 本発明の幾つかの例示的な実施形態に係る、マスク逆変換モジュールの回路実装の概略図である。

Claims (46)

1. データを操作する方法であって、
   有限体における第１表現のマスクされた入力データを、前記有限体における第２表現の変換済みデータに変換し、
   前記変換済みデータを操作して、マスクされた操作済みデータを取得する、
   ステップを含むことを特徴とする方法。
2. 前記マスクされた入力データの入力マスクを、前記第２表現の更新済みマスクに変換するステップを含むことを特徴とする、請求項１に記載の方法。
3. 前記マスクされた入力データを変換するステップが、アフィン変換を行うステップを含むことを特徴とする、請求項２に記載の方法。
4. 前記アフィン変換が線形変換からなり、前記入力マスクを変換するステップが、前記線形変換を行うステップを含むことを特徴とする、請求項３に記載の方法。
5. 前記変換済みデータを操作するステップが、前記更新済みマスクを用いて該変換済みデータを操作するステップを含むことを特徴とする、請求項２から請求項４までのいずれか１つの請求項に記載の方法。
6. 前記マスクされた入力データを変換するステップにより、前記更新済みマスクによってマスクされた状態の前記変換済みデータを得ることを特徴とする、請求項２から請求項５までのいずれか１つの請求項に記載の方法。
7. 前記変換済みデータを操作するステップにより、前記更新済みマスクによってマスクされた状態の前記操作済みデータを得ることを特徴とする、請求項２から請求項６までのいずれか１つの請求項に記載の方法。
8. 前記変換済みデータを操作するステップが、
   前記変換済みデータに前記更新済みマスクを乗じて第１中間データを取得し、
   前記第１中間データに前記更新済みマスクの平方を加えて第２中間データを取得し、
   前記第２中間データを反転して第３中間データを取得し、
   前記第３中間データに単位データ・ビットを加えて第４中間データを取得し、
   前記第４中間データに前記更新済みマスクを乗じて前記第２表現のマスクされた反転済みデータを取得する、
   ステップを含むことを特徴とする、請求項２から請求項７までのいずれか１つの請求項に記載の方法。
9. 前記操作済みデータを逆変換して、前記第１表現のマスクされた逆変換済みデータを取得するステップを含むことを特徴とする、請求項１から請求項８までのいずれか１つの請求項に記載の方法。
10. 前記操作済みデータを逆変換することにより、前記入力マスクの線形変換によってマスクされた状態の前記逆変換済みデータを得ることを特徴とする、請求項９に記載の方法。
11. 前記マスクされた逆変換済みデータのマスクを取るステップを含むことを特徴とする、請求項９又は請求項１０に記載の方法。
12. 前記更新済みマスクを逆変換するステップを含むことを特徴とする、請求項９から請求項１１までのいずれか１つの請求項に記載の方法。
13. 前記操作済みデータを逆変換するステップが、アフィン変換を行うステップを含むことを特徴とする、請求項９から請求項１２までのいずれか１つの請求項に記載の方法。
14. 前記更新済みマスクを逆変換するステップを含み、前記アフィン変換が線形変換からなり、該更新済みマスクを逆変換するステップが、前記線形変換を行うステップを含むことを特徴とする、請求項１３に記載の方法。
15. 前記変換済みデータを操作するステップが、前記第１表現の少なくとも１つの所望の演算と等価の少なくとも１つの演算を行うステップを含むことを特徴とする、請求項１から請求項１４までのいずれか１つの請求項に記載の方法。
16. 前記少なくとも１つの演算が逆演算であることを特徴とする、請求項１５に記載の方法。
17. 前記有限体がガロア体であることを特徴とする、請求項１から請求項１６までのいずれか１つの請求項に記載の方法。
18. 前記有限体がＧＦ（ｇ^h）であることを特徴とする、請求項１７に記載の方法。
19. ｇが２に等しいことを特徴とする、請求項１８に記載の方法。
20. 前記第１表現がＧＦ（２^2s）であり、第２表現がＧＦ（（２^s）²）であることを特徴とする、請求項１９に記載の方法。
21. ｓが４に等しいことを特徴とする、請求項２０に記載の方法。
22. 前記マスクされた入力データを与えるために、前記入力マスクを用いて入力データをマスクするステップを含むことを特徴とする、請求項２から請求項２１までのいずれか１つの請求項に記載の方法。
23. 前記入力マスクを生成するステップを含むことを特徴とする、請求項２から請求項２２までのいずれか１つの請求項に記載の方法。
24. ｌｏｇ（ｖ）ビットの第１の組とｖ−１ビットの第２の組とを生成し、
    前記ビットの第１の組に基づいて数ｗを定め、
    前記入力マスクのｗ番目のビットの値を１に設定し、
    前記入力マスクのｖ−１ビットを前記第２の組のｖ−１ビットとそれぞれ置き換える、
    ステップを含むことを特徴とする、請求項２３に記載の方法。
25. 前記入力マスクの少なくとも幾つかのビットが、あらかじめ設定された値を持つことを特徴とする、請求項２から請求項２４までのいずれか１つの請求項に記載の方法。
26. データを操作するための装置であって、
    有限体における第１表現のマスクされた入力データを、前記有限体における第２表現の変換済みデータに変換する変換ブロックと、
    前記変換済みデータを操作して、マスクされた操作済みデータを取得する操作ブロックと、
    を含むことを特徴とする装置。
27. 前記変換ブロックが、前記マスクされた入力データの入力マスクを前記第２表現の更新済みマスクに変換することを特徴とする、請求項２６に記載の装置。
28. 前記変換ブロックが、
    前記第１表現の前記マスクされた入力データを前記変換済みデータに変換する入力変換モジュールと、
    前記入力マスクを前記更新済みマスクに変換するマスク変換モジュールと、
    を含むことを特徴とする、請求項２７に記載の装置。
29. 前記入力変換モジュールが、前記マスクされた入力データに表現変換行列を乗じる乗算器を含み、前記マスク変換モジュールが、前記入力マスクに前記表現変換行列を乗じる乗算器を含むことを特徴とする、請求項２８に記載の装置。
30. 前記入力変換モジュールが、前記マスクされた入力データにアフィン変換を行うようになったことを特徴とする、請求項２９に記載の装置。
31. 前記マスク変換モジュールが、前記アフィン変換に対応する線形変換を前記マスクに行うようになったことを特徴とする、請求項３０に記載の装置。
32. 前記操作ブロックが、前記第１表現の少なくとも１つの所望の演算と等価の少なくとも１つの演算を行うことを特徴とする、請求項２６から請求項３１までのいずれか１つの請求項に記載の装置。
33. 前記操作ブロックが、前記第２表現の前記変換済みデータを反転して、マスクされた反転済みデータを与える反転ブロックを含むことを特徴とする、請求項３２に記載の装置。
34. 前記操作ブロックが、
    前記入力変換モジュールの出力と前記マスク変換モジュールの出力とを乗算する第１乗算器と、
    前記マスク変換モジュールの出力の平方を与える平方モジュールと、
    前記第１乗算器の出力に前記平方モジュールの出力を加える第１加算器と、
    前記第１加算器の出力がゼロでない場合にはゼロ出力値を与えるゼロ検出器と、
    前記ゼロ検出器の出力と前記マスク変換モジュールの出力との論理ＡＮＤに対応する出力を与えるＡＮＤゲートと
    前記ＡＮＤゲートの出力を前記第１加算器の出力に加える第２加算器と、
    前記第２加算器の出力を反転する反転モジュールと、
    前記反転モジュールの出力に単位値を加える第３加算器と、
    前記マスク変換モジュールの出力と前記第２加算器の出力とを乗算する第２乗算器と、
    前記ＡＮＤゲートの出力に前記第２乗算器の出力を加える第４加算器と、
    を含むことを特徴とする、請求項２８から請求項３３までのいずれか１つの請求項に記載の装置。
35. 前記操作ブロックが、
    前記入力変換モジュールの出力と前記マスク変換モジュールの出力とを乗算する第１乗算器と、
    前記マスク変換モジュールの出力の平方を与える平方モジュールと、
    前記第１乗算器の出力に前記平方モジュールの出力を加える第１加算器と、
    前記第１加算器の出力を反転する反転モジュールと、
    前記反転モジュールの出力に単位値を加える第２加算器と、
    前記マスク変換モジュールの出力と前記第２加算器の出力とを乗算する第２乗算器と、
    を含むことを特徴とする、請求項２８から請求項３３までのいずれか１つの請求項に記載の装置。
36. 前記操作済みデータを逆変換して、前記第１表現のマスクされた逆変換済みデータを取得する逆変換ブロックを含むことを特徴とする、請求項２６から請求項３５までのいずれか１つの請求項に記載の装置。
37. 前記操作済みデータを逆変換して、前記第１表現のマスクされた逆変換済みデータを取得する逆変換ブロックを含み、前記逆変換ブロックが、
    前記操作済みデータを前記第１表現に逆変換する出力逆変換モジュールと、
    前記更新済みマスクを逆変換するマスク逆変換モジュールと、
    を含むことを特徴とする、請求項２７から請求項３５までのいずれか１つの請求項に記載の装置。
38. 前記出力逆変換モジュールが、前記操作済みデータにアフィン変換を行うようになったことを特徴とする、請求項３７に記載の装置。
39. 前記マスク逆変換モジュールが、前記アフィン変換に対応する線形変換を前記更新済みマスクに行うようになったことを特徴とする、請求項３８に記載の装置。
40. 前記マスクされた逆変換済みデータのマスクを取るマスク除去モジュールを含むことを特徴とする、請求項３６から請求項３９までのいずれか１つの請求項に記載の装置。
41. 前記入力マスクを生成するマスク生成器を含むことを特徴とする、請求項２７から請求項４０までのいずれか１つの請求項に記載の装置。
42. 前記マスク生成器が、ｌｏｇ（ｖ）ビットの第１の組とｖ−１ビットの第２の組とを生成し、前記ビットの第１の組に基づいて数ｗを定め、前記入力マスクのｗ番目のビットの値を１に設定し、該入力マスクのｖ−１ビットを前記第２の組のｖ−１ビットとそれぞれ置き換えることができることを特徴とする、請求項４１に記載の装置。
43. 前記入力マスクの少なくとも幾つかのビットが、あらかじめ設定された値を持つことを特徴とする、請求項２７から請求項４２までのいずれか１つの請求項に記載の装置。
44. ｖビットを持つ非ゼロマスクを生成する方法であって、
    ｌｏｇ（ｖ）ビットの第１の組とｖ−１ビットの第２の組とを生成し、
    前記ビットの第１の組に基づいて数ｗを定め、
    前記マスクのｗ番目のビットの値を１に設定し、
    前記マスクのｖ−１ビットを前記第２の組のｖ−１ビットとそれぞれ置き換える、
    ステップを含むことを特徴とする方法。
45. データを暗号化する方法であって、
    有限体における第１表現のマスクされた入力データを、前記有限体における第２表現の変換済みデータに変換し、
    前記マスクされた入力データの入力マスクを、前記第２表現の更新済みマスクに変換し、
    前記第１表現の所望の暗号化演算と等価の少なくとも１つの演算を行うことにより、前記更新済みマスクを用いて前記変換済みデータを操作して、操作済みデータを取得し、
    前記操作済みデータを逆変換して、前記第１表現の操作済みデータを取得する、
    ステップを含むことを特徴とする方法。
46. データを復号化する方法であって、
    有限体における第１表現のマスクされた入力データを、前記有限体における第２表現の変換済みデータに変換し、
    前記マスクされた入力データの入力マスクを、前記第２表現の更新済みマスクに変換し、
    前記第１表現の所望の復号化演算と等価の少なくとも１つの演算を行うことにより、前記更新済みマスクを用いて前記変換済みデータを操作して、操作済みデータを取得し、
    前記操作済みデータを逆変換して、前記第１表現の操作済みデータを取得する、
    ステップを含むことを特徴とする方法。

Images