JP2008011084A - 暗号強度評価装置及び暗号強度評価方法 - Google Patents

Abstract

【課題】攻撃方程式を解くことによって共通鍵ブロック暗号の暗号強度を評価する場合において、演算量を低減することができる暗号強度評価装置及び暗号強度評価方法を提供する。
【解決手段】本発明に係る暗号強度評価装置１００は、共通鍵ブロック暗号にしたがって暗号化された暗号文、及び平文を暗号化する際に用いた秘密の鍵を入力とする関数を含む攻撃方程式を解いて秘密の鍵の値を求めるために必要となる演算量を算出する、または攻撃方程式を解いて秘密の鍵の値を求めることによって共通鍵ブロック暗号の暗号強度を評価する。暗号強度評価装置１００は、入力において秘密の鍵の単項を検出する単項検出部１０１と、検出された複数の単項を纏めた単項群を等価な等価鍵に置き換える等価鍵置換部１０３と、等価鍵と暗号文とを当該関数に入力し、攻撃方程式を展開する式展開部１０５と、攻撃方程式を用いて暗号強度を評価する暗号強度評価部１０７とを備える。
【選択図】図１

Description

本発明は、攻撃方程式を解くことによって共通鍵ブロック暗号の暗号強度を評価する暗号強度評価装置及び暗号強度評価方法に関する。

ＭＩＳＴＹ１をベースとして開発された共通鍵ブロック暗号として、ＫＡＳＵＭＩが知られている。ＫＡＳＵＭＩは、第３世代移動通信システムの国際標準暗号として採用されている（例えば、非特許文献１）。

また、ＫＡＳＵＭＩなどの共通鍵ブロック暗号に対する暗号強度の評価に関して、当該共通鍵ブロック暗号にしたがって暗号化された暗号文を正しく平文に復号することができる正規な復号鍵（以下、正規復号鍵）の決定に用いられる攻撃方程式を、線形化手法を用いて解く方法が知られている。

線形化手法とは、攻撃方程式に含まれる鍵（秘密鍵や拡大鍵）に関する高次項を新たに独立な一次項と見なすことによって攻撃方程式を線形化し、線形化した攻撃方程式を解くことによって正規復号鍵を決定する手法である。

さらに、近年では、ＫＡＳＵＭＩに対して高階差分（例えば、１６階差分）を用いて攻撃する高階差分攻撃に関して、攻撃方程式の線形化手法による処理を高速化する方法が開示されている（例えば、非特許文献２）。
3GPP、"3GPP TS 35.202 V3.1.1 (KASUMI Specification)"、２００１年７月 南部俊一、杉尾信行、金子敏信、「ＫＡＳＵＭＩに対する攻撃方程式の効率的な解法」、２００５年暗号とその応用シンポジウム（SCIS2005）、pp1951-1956、２００５年１月

しかしながら、上述した攻撃方程式の線形化手法による処理を高速化する方法には、次のような問題があった。すなわち、当該攻撃方程式は、処理負荷が過大となり、数式処理ソフトウェア（例えば、ＲＥＤＵＣＥ）で展開することが困難であった。

このため、当該攻撃方程式の展開の過程では、鍵に関する未知項数などに見積り値（上限値）を適用していた。このような見積り値は最適なパラメータとはなっておらず、暗号強度を評価するために必要な演算量が増大するといった問題があった。

そこで、本発明は、このような状況に鑑みてなされたものであり、攻撃方程式を解くことによって共通鍵ブロック暗号の暗号強度を評価する場合において、必要な演算量を低減することができる暗号強度評価装置及び暗号強度評価方法を提供することを目的とする。

上述した問題を解決するため、本発明は、次のような特徴を有している。まず、本発明の第１の特徴は、共通鍵ブロック暗号（例えば、ＫＡＳＵＭＩ）にしたがって暗号化された暗号文（例えば、暗号文ｘ）、及び平文を暗号化する際に用いた秘密の鍵（例えば、鍵ｋ_１，ｋ_２）を入力とする関数（例えば、ＦＯ関数）を含む攻撃方程式を解いて前記秘密の鍵の値を求めるために少なくとも必要となる演算量を少なくとも算出する、または前記攻撃方程式を解いて前記秘密の鍵の値を求めることによって前記共通鍵ブロック暗号の暗号強度を評価する暗号強度評価装置（暗号強度評価装置１００）であって、前記入力において前記秘密の鍵の単項（例えば、鍵ｋ_１，ｋ_２）を検出する単項検出部（単項検出部１０１）と、前記単項検出部によって検出された複数の前記単項を纏めた単項群（ｋ_１+ｋ_２）群を、前記単項群と等価な等価鍵（等価鍵ＥＫ）に置き換える等価鍵置換部（等価鍵置換部１０３）と、前記等価鍵置換部によって置き換えられた前記等価鍵と、前記暗号文とを前記関数に入力し、前記攻撃方程式を展開する式展開部（式展開部１０５）と、前記式展開部によって展開された前記攻撃方程式を用いて、前記暗号文を平文に復号することができる正規復号鍵の値を求めるために少なくとも必要となる演算量を算出する、または前記正規復号鍵の値を求めることによって、前記暗号強度を評価する暗号強度評価部（暗号強度評価部１０７）とを備えることを要旨とする。

このような暗号強度評価装置によれば、攻撃方程式に入力において検出された単項を纏めた単項群が、当該単項群と等価な等価鍵に置き換えられる。また、攻撃方程式には、当該等価鍵と暗号文とが入力される。

つまり、攻撃方程式に入力される鍵に関する項数が低減するため、攻撃方程式を解くことによって共通鍵ブロック暗号の暗号強度を評価する場合において、必要な演算量を低減することができる。

本発明の第２の特徴は、共通鍵ブロック暗号にしたがって暗号化された暗号文、及び平文を暗号化する際に用いた秘密の鍵を入力とする関数を含む攻撃方程式を解いて前記秘密の鍵の値を求めるために少なくとも必要となる演算量を算出する、または前記攻撃方程式を解いて前記秘密の鍵の値を求めることによって前記共通鍵ブロック暗号の暗号強度を評価する暗号強度評価方法であって、前記入力において前記秘密の鍵の単項を検出するステップと、検出された複数の前記単項を纏めた単項群群を、前記単項群と等価な等価鍵に置き換えるステップと、前記等価鍵に置き換えるステップにおいて置き換えられた前記等価鍵と、前記暗号文とを前記関数に入力し、前記攻撃方程式を展開するステップと、展開された前記攻撃方程式を用いて、前記暗号文を平文に復号することができる正規復号鍵の値を求めるために少なくとも必要となる演算量を算出する、または前記正規復号鍵の値を求めることによって前記暗号強度を評価するステップとを備えることを要旨とする。

本発明の特徴によれば、攻撃方程式を解くことによって共通鍵ブロック暗号の暗号強度を評価する場合において、必要な演算量を低減することができる暗号強度評価装置及び暗号強度評価方法を提供することができる。

次に、本発明の実施形態について説明する。なお、以下の図面の記載において、同一または類似の部分には、同一または類似の符号を付している。ただし、図面は模式的なものであり、各寸法の比率などは現実のものとは異なることに留意すべきである。

したがって、具体的な寸法などは以下の説明を参酌して判断すべきものである。また、図面相互間においても互いの寸法の関係や比率が異なる部分が含まれていることは勿論である。

（暗号強度評価装置の構成）
まず、図１〜図３を参照して、本実施形態に係る暗号強度評価装置１００の構成について説明する。なお、以下、本発明との関連がある部分について主に説明する。したがって、暗号強度評価装置１００は、暗号強度評価装置１００としての機能を実現する上で必須な、図示しない或いは説明を省略した機能ブロック（電源部など）を備える場合があることに留意されたい。

図１は、暗号強度評価装置１００の機能ブロック構成図である。暗号強度評価装置１００は、“ＫＡＳＵＭＩ”（共通鍵ブロック暗号）にしたがって暗号化された暗号文、及び平文を暗号化する際に用いた秘密の鍵を入力とする関数（具体的には、ＦＯ関数）を含む攻撃方程式を解いて当該秘密の鍵の値を求めるために、少なくとも必要となる演算量を算出することによって、ＫＡＳＵＭＩの暗号強度を評価することができる。

また、暗号強度評価装置１００は、攻撃方程式を解いて当該秘密の鍵の値を求めることによって、ＫＡＳＵＭＩの暗号強度を評価することもできる。

図２（ａ）〜（ｄ）は、本実施形態において用いられるＫＡＳＵＭＩの構造を示す。図２（ａ）は、ＫＡＳＵＭＩの全体構造を示す。図２（ｂ）〜（ｄ）は、ＦＯ関数、ＦＩ関数及びＦＬ関数の構造をそれぞれ示す。

ＫＡＳＵＭＩは、ＭＩＳＴＹ１をベースとして開発された共通鍵ブロック暗号である。ＫＡＳＵＭＩの入出力長は６４ビット、秘密鍵長は１２８ビットである。図２（ａ）〜（ｄ）に示すように、ＫＡＳＵＭＩは、非線形関数（ＦＯ関数）と、鍵依存線形関数（ＦＬ関数）を段関数とする８段のＦｅｉｓｔｅｌ構造となっている。

図２（ｂ）に示すように、ＦＯ関数は、３段の変形Ｆｅｉｓｔｅｌ構造であり、各段にはＦＩ関数が挿入される。

図２（ｃ）に示すように、ＦＩ関数は、４段の変形Ｆｅｉｓｔｅｌ構造であり、各段にはＳ−ｂｏｘ（Ｓ９，Ｓ７）が挿入される。Ｓ７の代数次数は３次、Ｓ９の代数次数は２次である。

なお、図２（ａ）〜（ｄ）に示すＫＡＳＵＭＩは、３ＧＰＰの規格（TS 35.202 V3.1.1 (KASUMI Specification)）において規定される構造から一部変更されている。また、添え字に関して、ｉ段目のＦＩ関数をＦＩ_ｉ１〜ＦＩ_ｉ３とし、各ＦＩ関数内において用いられる鍵を、ｋ_ｉｊ１〜ｋ_ｉｊ４とする。さらに、ＦＯ関数出力３２ビットをＳ−ｂｏｘの出力サイズに合わせて分割して、それぞれＬ７‖Ｌ９‖Ｒ７‖Ｒ９とし、以下のように表記する。

図１に示すように、暗号強度評価装置１００は、単項検出部１０１、等価鍵置換部１０３、式展開部１０５及び暗号強度評価部１０７を備える。

単項検出部１０１は、上述した関数（例えば、ＦＯ関数やＦＬ関数）などへの暗号文及び秘密の鍵の入力において、鍵の単項を検出する。また、単項検出部１０１は、検出した単項を等価鍵置換部１０３に出力する。

等価鍵置換部１０３は、単項検出部１０１によって検出された複数の単項を単項群として纏める。さらに、等価鍵置換部１０３は、当該単項群と等価な等価鍵に置き換える。

式展開部１０５は、等価鍵置換部１０３によって置き換えられた等価鍵と、暗号文とをＦＯ関数に入力し、攻撃方程式を展開する。

ここで、まず、等価鍵置換部１０３の機能について、簡略化したモデルを用いて説明する。例として、入力１次項に対し、１次項から３次項を出力する非線形関数Ｆがあるとする。当該非線形関数Ｆに、暗号文ｘ、及び鍵ｋ_１，ｋ_２が入力されると、出力は、（１式）に示すようになる。

（１式）に示すように、鍵ｋ_１，ｋ_２に関する項数は９である。ここで、暗号文ｘ及び鍵ｋ_１，ｋ_２に関する複数の単項を単項群として纏め、等価鍵ＥＫを（２式）のように定義すると、出力は、（３式）に示すようになる。

（３式）に示すように、ｋ_１+ｋ_２（単項群）を等価鍵ＥＫに置き換えることによって、鍵ｋ_１，ｋ_２に関する項数は３となる。このように、等価鍵に置き換えるによって、非線形関数（ＦＯ関数）に入力される鍵に関する項数を減少することができる。

本実施形態では、複数の単項を単項群として纏め、当該単項群と等価な等価鍵に置き換え、線形化手法を用いて攻撃方程式を解くことによってＫＡＳＵＭＩの暗号強度を評価する場合に必要となる演算量を低減する。

以下、より具体的に等価鍵置換部１０３及び式展開部１０５の機能について説明する。ＫＡＳＵＭＩ（にしたがって生成された暗号文）に対する攻撃コスト（平文組数及び演算量）を低減する効果的な選択平文を探索し、（４式）によって示される選択を用いて、５段構成のＫＡＳＵＭＩが攻撃可能なことが知られている（“A study on Higher Order Differential Attack of KASUMI”、proceedings of International Symposium on Information Theory and its Applications、pp.755-758, 2002参照）。

ｉ段目の出力をＨ_ｉとする。また、Ｓ−ｂｏｘの出力サイズに合わせて、Ｈ_ｉを（５式）のように定義し、（４式）に示した選択平文を用いた場合、（６式）が成立する。

このような高階差分特性を用いて、攻撃方程式（７式）を導出する。

（７式）には、ＫＯ_５＝（ｋ_５１１，ｋ_５１２，ｋ_５１３，ｋ_５２１，ｋ_５２２，ｋ_５２３）：５０ビット、ＫＬ_５＝（ＫＬ_５１，ＫＬ_５２）：３２ビットの合計８２ビットが存在する。このようなＫＡＳＵＭＩは、全数探索法と線形化手法とを併用することによって、２^６３の（ＦＯ＋ＦＬ）関数演算量で攻撃可能である。

さらに、線形化手法の適用範囲を拡張し、攻撃方程式中に存在する８２ビットの鍵すべてを線形化手法で推定すると、未知項数Ｌは２６，６９３個となり、２^４２．２の（ＦＯ＋ＦＬ）関数演算量が必要となる。

線形化手法を用いて攻撃方程式を解くことによって暗号強度を評価する処理を高速化するためには、上述した非特許文献２（「ＫＡＳＵＭＩに対する攻撃方程式の効率的な解法」、２００５年暗号とその応用シンポジウム（SCIS2005）、pp1951-1956）において記載されている要素数Ｄ（係数暗号文項数）、要素数Ｄ’及び未知項数Ｌ”を求める必要がある。

すなわち、当該処理を高速化するためには、要素数Ｄ、要素数Ｄ’及び未知項数Ｌ”（未知項数Ｌ−未知項数Ｌ’）を決定する必要がある。消去する未知項数Ｌ’によって要素数Ｄ’及び未知項数Ｌ”の値が変化するため、攻撃に必要となる演算量が変化する。

本実施形態では、式展開部１０５は、攻撃方程式（７式）を展開することによって、未知項数と、その係数暗号文項数とを解析し、当該演算量を低減することができる要素数Ｄ、要素数Ｄ’及び未知項数Ｌ”を決定する。

ここで、図３は、上述したｈ_３３（６式参照）に係る内部経路を示す。式展開部１０５は、攻撃方程式（７式）において、暗号文Ｃ_Ｌを、ＦＬ_５の入力サイズに合わせて、以下のように変更する。

また、ＦＯ_５の入力をＸ_Ｌ，Ｘ_Ｒとする。ここで、Ｘ_Ｌ，Ｘ_Ｒは、ＦＬ関数内の鍵とのＡＮＤ演算、ＯＲ演算、及び１ビットのシフトローテーションを考慮すると、（８式）のように表すことができる。

ここで、（ｉ）は、ビット位置を表す。ＦＯ_５には、ＦＬ_５内に存在する鍵の２次項が入力されるため、攻撃方程式には、最大８次項の鍵の未知項が存在する。そこで、本実施形態では、（９式）に示すように、鍵の２次項を含む部分を新たな変数（等価鍵ＥＫＬ^（ｉ））に置き換える。

等価鍵ＥＫＬ^（ｉ）を用いることによって、ＦＯ_５入力時の鍵の次数が１次となり、ＦＯ_５出力後における鍵の未知項の次数は、最大４次となる。このように、ＦＯ関数（非線形関数）出力後の次数増加を抑制することによって、実際の未知項数に近い暗号強度の評価を行うことができる。

さらに、本実施形態では、Ｘ_Ｌ ^（ｉ）に存在する鍵の単項ＫＬ_５２ ^{（ｉ−１）}を、次段の鍵ｋ_５１１，ｋ_５１２，ｋ_５１３と合わせることによって、非線形関数出力後における鍵の未知項数の増加を抑制する。

暗号強度評価部１０７は、式展開部１０５によって展開された攻撃方程式を用いて、暗号文を平文に復号することができる鍵（正規復号鍵）を決定することによって、本実施形態に係るＫＡＳＵＭＩの暗号強度を評価する。

具体的には、暗号強度評価部１０７は、展開された攻撃方程式に基づいて、未知項数Ｌ及び要素数Ｄの値を演算する。表１は、暗号強度評価部１０７による演算結果を示す。

表２は、未知項数Ｌのうち、鍵のｎ次（ｎ＝１，２，３，４）以上からなる未知項を消去する未知項数Ｌ’とした際の要素数Ｄ’及び未知項数Ｌ”の詳細を示す。

暗号強度評価部１０７は、要素数Ｄ、要素数Ｄ’及び未知項数Ｌ”を用いて、攻撃方程式を解く際に必要となる選択平文組数Ｍ及び演算量Ｔ（（ＦＯ＋ＦＬ）関数演算量）を見積もる。ただし、すべての未知項数を消去してしまうと鍵が決定できないため、暗号強度評価部１０７は、表２において、未知項の次数が２次〜４次項までを対象として見積りを行う。

表３は、当該見積りの結果を示す。なお、選択平文組数Ｍ及び演算量Ｔの具体的な見積りは、非特許文献２に記載されている方法にしたがって行われる。

表３に示すように、攻撃方程式中に存在する未知項数Ｌ（２６，６９３個）のうち、３次項と４次項とからなる未知項２４，７７７個を消去すると演算量Ｔを最も低減することができる。

すなわち、表３に示すように、本実施形態に係るＫＡＳＵＭＩを、２^{２８．８６}の選択平文組数Ｍと、２^{３３．５１}の演算量Ｔによって攻撃可能となる。

さらに、暗号強度評価部１０７は、攻撃方程式を解いて、平文の暗号化に用いられる秘密の鍵（正規復号鍵）の値を求め、本実施形態に係るＫＡＳＵＭＩの暗号強度を評価することもできる。

（暗号強度評価装置の動作）
次に、暗号強度評価装置１００の動作について説明する。具体的には、暗号強度評価装置１００が、攻撃方程式を解いて、平文の暗号化に用いられる秘密の鍵の値を求め、本実施形態に係るＫＡＳＵＭＩの暗号強度を評価する動作フローについて説明する。

図４に示すように、ステップＳ１０において、暗号強度評価装置１００は、暗号文（例えば、Ｃ_Ｌ）及び鍵（例えば、ＫＬ_５１，ＫＬ_５２）の攻撃方程式への入力において、鍵の単項を検出する（（８式）及び（９式）参照）。

ステップＳ２０において、暗号強度評価装置１００は、検出した単項を纏めた単項群と等価な等価鍵（等価鍵ＥＫＬ^（ｉ））に置き換える。

ステップＳ３０において、暗号強度評価装置１００は、等価鍵及び暗号文をＦＯ／ＦＬ関数に入力する。

ステップＳ４０において、暗号強度評価装置１００は、等価鍵及び暗号文をＦＯ／ＦＬ関数に入力することによって、攻撃方程式（（７式）参照）を展開する。

ステップＳ５０において、暗号強度評価装置１００は、展開した攻撃方程式を用いて、暗号文を平文に復号することができる鍵（正規復号鍵）を決定することによって、本実施形態に係るＫＡＳＵＭＩの暗号強度を評価する。

具体的には、暗号強度評価装置１００は、展開した攻撃方程式を解いて平文の暗号化に用いられる秘密の鍵（正規復号鍵）を求めるために必要となる選択平文組数Ｍ及び演算量Ｔを算出することによりＫＡＳＵＭＩの暗号強度を評価したり、平文の暗号化に用いられる秘密の鍵（正規復号鍵）を求めることによりＫＡＳＵＭＩの暗号強度を評価したりする。

（変更例）
図４に示した動作フローでは、等価鍵及び暗号文をＦＯ／ＦＬ関数に１度だけ入力されるが、図２や図３に示したように、ＦＯ／ＦＬ関数の出力を繰り返しＦＯ／ＦＬ関数に入力するようにしてもよい。

この場合、図５に示すように、当該動作フローには、ステップＳ１４５の処理が追加される。ステップＳ１４５において、暗号強度評価装置１００は、ＦＯ／ＦＬ関数の出力を繰り返しＦＯ／ＦＬ関数に入力するか否かを判定する。なお、図５の動作フローにおいて、ステップＳ１１０〜Ｓ１５０の処理は、図４の動作フローにおけるステップＳ１０〜Ｓ５０の処理とそれぞれ同様である。

具体的には、図２や図３に示したＫＡＳＵＭＩの構造に基づいて、所定回数までＦＯ／ＦＬ関数の出力を繰り返しＦＯ／ＦＬ関数に入力するか否かを判定する。

ＦＯ／ＦＬ関数の出力を繰り返しＦＯ／ＦＬ関数に入力する場合（ステップＳ１４５のＹＥＳ）、暗号強度評価装置１００は、ステップＳ１１０からの処理を繰り返す。

一方、所定回数まで繰り返しを完了し、ＦＯ／ＦＬ関数の出力を繰り返しＦＯ／ＦＬ関数に入力しない場合（ステップＳ１４５のＮＯ）、暗号強度評価装置１００は、ステップＳ１５０の処理（図４のステップＳ５０と同様）を実行する。

（作用・効果）
上述した暗号強度評価装置１００によれば、攻撃方程式において検出された単項を纏めた単項群が、当該単項群と等価な等価鍵ＥＫＬ^（ｉ）に置き換えられる。また、攻撃方程式には、等価鍵ＥＫＬ^（ｉ）と暗号文（例えば、Ｃ_Ｌ）とが入力される。

つまり、攻撃方程式に入力される鍵に関する項数が低減するため、攻撃方程式を解くことによってＫＡＳＵＭＩの暗号強度を評価する場合において、必要な演算量Ｔ（（ＦＯ＋ＦＬ）関数演算量）を低減することができる。

具体的には、上述したように、線形化手法のみを用いた場合、２^４２．２の（ＦＯ＋ＦＬ）関数演算量が必要であった。本実施形態によれば、表３に示すように、２^{３３．５１}の（ＦＯ＋ＦＬ）関数演算量に低減される。

（その他の実施形態）
上述したように、本発明の一実施形態を通じて本発明の内容を開示したが、この開示の一部をなす論述及び図面は、本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態が明らかとなろう。

例えば、上述した実施形態では、ＫＡＳＵＭＩを例として説明したが、本発明は、他の共通鍵ブロック暗号、例えば、ＡＥＳ（Advanced Encryption Standard）やＣａｍｅｌｌｉａにも適用することができる。

上述した実施形態では、秘密の鍵を対象として処理を実行する形態としたが、当該秘密の鍵を鍵スケジューラに入力することによって得られる共通鍵ブロック暗号の拡大鍵を対象として、同様の処理を実行してもよい。

上述した実施形態では、ステップＳ２０において、暗号強度評価装置１００が、単項群を等価鍵ＥＫＬ^（ｉ）に置き換える形態としたが、暗号強度評価装置１００が、表示装置（不図示）などを用いて、当該単項群をユーザに対して表示し、当該ユーザが等価鍵ＥＫＬ^（ｉ）に置き換える形態としてもよい。さらに、上述した実施形態では、非線形関数であるＦＯ関数などに暗号文及び秘密の鍵を入力する形態としたが、用いる関数は、非線形関数に限らず、線形関数或いは両関数としてもよい。

また、上述した暗号強度評価装置１００は、コンピュータにおいて実行可能なプログラムとしても勿論提供することができる。

このように、本発明は、ここでは記載していない様々な実施の形態などを含むことは勿論である。したがって、本発明の技術的範囲は、上述の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

本発明の実施形態に係る暗号強度評価装置の機能ブロック図である。 本発明の実施形態に係る暗号強度評価装置において用いられるＫＡＳＵＭＩの構造を示す図である。 本発明の実施形態に係る暗号強度評価装置において用いられるＫＡＳＵＭＩのさらに具体的な構造（一部）を示す図である。 本発明の実施形態に係る暗号強度評価装置の動作フロー図である。 本発明の実施形態に係る暗号強度評価装置の動作フロー図である。

符号の説明

１００…暗号強度評価装置、１０１…単項検出部、１０３…等価鍵置換部、１０５…式展開部、１０７…暗号強度評価部

Claims (2)

1. 共通鍵ブロック暗号にしたがって暗号化された暗号文、及び平文を暗号化する際に用いた秘密の鍵を入力とする関数を含む攻撃方程式を解いて前記秘密の鍵の値を求めるために少なくとも必要となる演算量を算出する、または前記攻撃方程式を解いて前記秘密の鍵の値を求めることによって前記共通鍵ブロック暗号の暗号強度を評価する暗号強度評価装置であって、
   前記入力において前記秘密の鍵の単項を検出する単項検出部と、
   前記単項検出部によって検出された複数の前記単項を纏めた単項群を、前記単項群と等価な等価鍵に置き換える等価鍵置換部と、
   前記等価鍵置換部によって置き換えられた前記等価鍵と、前記暗号文とを前記関数に入力し、前記攻撃方程式を展開する式展開部と、
   前記式展開部によって展開された前記攻撃方程式を用いて、前記暗号文を平文に復号することができる正規復号鍵の値を求めるために少なくとも必要となる演算量を算出する、または前記正規復号鍵の値を求めることによって、前記暗号強度を評価する暗号強度評価部と
   を備える暗号強度評価装置。
2. 共通鍵ブロック暗号にしたがって暗号化された暗号文、及び平文を暗号化する際に用いた秘密の鍵を入力とする関数を含む攻撃方程式を解いて前記秘密の鍵の値を求めるために少なくとも必要となる演算量を算出する、または前記攻撃方程式を解いて前記秘密の鍵の値を求めることによって前記共通鍵ブロック暗号の暗号強度を評価する暗号強度評価方法であって、
   前記入力において前記秘密の鍵の単項を検出するステップと、
   検出された複数の前記単項を纏めた単項群を、前記単項群と等価な等価鍵に置き換えるステップと、
   前記等価鍵に置き換えるステップにおいて置き換えられた前記等価鍵と、前記暗号文とを前記関数に入力し、前記攻撃方程式を展開するステップと、
   展開された前記攻撃方程式を用いて、前記暗号文を平文に復号することができる正規復号鍵の値を求めるために少なくとも必要となる演算量を算出する、または前記正規復号鍵の値を求めることによって前記暗号強度を評価するステップと
   を備える暗号強度評価方法。
   
   

Images