JP2013029835A - サイドチャネル攻撃に対抗する方法 - Google Patents

Abstract

【課題】
本発明は、サイドチャネル攻撃に対抗する方法に関する。当該方法は、中間変数をマスクするためのブロック暗号アルゴリズムを実行することから成り、このブロック暗号アルゴリズムは、１つ以上の非線形関数を有する。
【解決手段】
この課題は、前記１つ以上の非線形関数のうちの少なくとも１つの非線形関数が、マッチ・イン・プレース関数を使用して実行されることによって解決される。
【選択図】 図１

Description

本発明は、ブロック暗号に対するサイドチャネル攻撃に対抗する方法及び限定的でないものの、特にマッチ・イン・プレース（登録商標）関数を使用する対抗の方法に関する。

最も広く使用されるアルゴリズム「新暗号規格（ＡＥＳ）」のような、今日使用される多くの存在する暗号アルゴリズムは、差分電力解析（ＤＰＡ）に対して脆弱である。この差分電力解析は、サイドチャネル攻撃である。このサイドチャネル攻撃は、暗号化用の暗号化アルゴリズムで使用される秘密鍵をリカバーするために最初に暗号化アルゴリズムを実行するときのマイクロプロセッサの電力消費を測定し、次いで統計解析を実行する。秘密鍵が特定されると、暗号化された情報を復号することが可能である。

マイクロプロセッサの電磁放射が、暗号化用の暗号化アルゴリズムで使用される秘密鍵を特定するために測定されて利用されてもよい。

差分電力解析に対して秘密鍵アルゴリズムを保護するための通常技術は、全ての中間変数をランダムマスクでマスクすることから成る。このとき、当該マスクされたデータ及びランダムデータが、別々に処理され、結局は当該秘密鍵アルゴリズムの最後で再結合される。単一地点でマイクロプロセッサの電力消費を解析することを試みる攻撃者が、ランダム値（ランダムデータ値及びランダムマスク値）を取得する。したがって、このようなマスキングは、１次差分電力解析に対して安全である。

マスキング対抗手段は、付与された攻撃されやすい変数を保護するために使用されるランダムマスクの数を特徴とする。ｄ個のランダムマスクを有するランダム処理は、ｄ次マスキングと呼ばれる。ｄ次マスキングは、（ｄ＋１）次のサイドチャネル解析、つまりｄ＋１個の変数の処理を同時に要求する攻撃によってだけ破壊され得る。当該対抗手段を破壊するために要求される実行数は、次数ｄと共に指数関数的に増大する。したがって、この次数ｄは、良好な安全規準である。しかしながら、実際には、最も効率のいい対抗手段は、次数ｄ＝１だけである。

マスクされたデータを復号するための２次差分電力解析攻撃が可能であることが分かっている。したがって、完全に安全なデータ暗号化を得るためには、より良好な対抗手段が要求される。

対抗手段が、さらに発展されている。サイドチャネル攻撃に対する最近の対抗手段のうちの１つの対抗手段は、次数ｄ＝２による対抗手段である。

あらゆるマスキング対抗手段にとって、その主な困難性は、アルゴリズムの非線形部分を保護することである。新暗号規格（ＡＥＳ）にとって、当該アルゴリズムの非線形部分は、本質的にＳＢＯＸ関数である。使用される技術は、サブルーチンとして実行される比較アルゴリズムを使用して全体のＳＢＯＸ関数をＳＢＯＸのルックアップごとに繰り返すことにある。この比較アルゴリズムは、ＳＢＯＸ入力ごとに呼び出される。当該対抗手段が、あらゆる２次サイドチャネル攻撃に耐え得ることを示すことが可能である。

しかしながら、このようなマスキング対抗手段は、効率が著しく良くない。何故なら、このマスキング手段は、実行中に多数の演算を要求し、実行中にマイクロプロセッサの多くのメモリをも使用するからである。

本発明の課題は、上述した欠点のうちの少なくとも幾つかの欠点を解消又は緩和することにある。

この課題は、本発明により、サイドチャネル攻撃に対する対抗手段の方法によって解決される。この方法は、中間変数をマスクするためのブロック暗号アルゴリズムを実行することから成る。この場合、１つ以上の非線形関数を有する当該ブロック暗号アルゴリズムは、当該非線形関数のうちの少なくとも１つの非線形関数が、マッチ・イン・プレース関数を使用して実行される。

本発明の方法は、この方法の効率を向上させるためにマッチ・イン・プレース関数を使用する。マッチ・イン・プレース関数を使用すると、サイドチャネル攻撃に対して有効な対抗手段を提供するために要求される演算回数が削減される。さらに、本発明の方法を実施するために要求されるメモリが、既知の方法に比べて少ない。

当該マッチ・イン・プレース関数は、ビットをランダム化したマッチ・イン・プレース関数でもよい（ＭＩＰ^Ｉ（ｄａｔａ； ａｄｒ，ｂ））。

当該ビットをランダム化したマッチ・イン・プレース関数は：

として定義されてもよい。
この場合、ａｄｒは、メモリ内の１つのアドレスである。ｄａｔａは、メモリ内の１つのアドレスに記憶される１つの変数である。ｂは、このｄａｔａの変数がメモリ内のこのアドレスに存在する実際のデータに等しいときに戻される１つの値である。このｄａｔａの変数がメモリ内のこのアドレスに存在する実際のデータに等しくないときは、ｂの補数が戻される。ｂは、１ビットの値でもよい。

以下の関係が、存在してもよい：

この場合、

は、ｂの補数である。

非線形関数のうちの少なくとも１つの関数は：

によって定義されるcompare_b関数でもよい。
この場合、ｘは、compare_b関数の第１入力変数である。ｙは、compare_b関数の第２入力変数である。ｂは、ｘがｙに等しいときに戻される１つの値である。その結果：
変数ｘをメモリ内の１つのアドレスａｄｒに書き込み、

によって定義されたビットをランダム化したマッチ・イン・プレース関数を実行し、そしてＭＩＰ^Ｉ（ｙ； ａｄｒ，ｂ）を戻すことによって、compare_b関数が実行され得る。

当該非線形関数は、SubByte演算部内に含まれてもよい。この非線形関数は、ＡＥＳ暗号アルゴリズムのSubByte演算部内に含まれてもよい。

さらに、本発明のブロック暗号アルゴリズムは、１つ以上の線形関数を有してもよい。当該１つ以上の線形関数のうちの少なくとも１つの線形関数が、この線形関数のＸＯＲをとる変数によってマスクされてもよい。

当該ブロック暗号アルゴリズムは、新暗号規格（ＡＥＳ）のアルゴリズムでもよい。

本発明のさらなる側面によれば、上述した方法のうちの任意の１つの方法による方法を実行するために構成されているコンピュータプログラムから成るコンピュータ読み取り可能媒体が提供される。

本発明のさらなる側面によれば：

のステップから成る、２次マスクされた入力から２次マスクされたＳボックス関数を計算する方法が提供される。
この場合、ｂは、１つのレジスタを指し示す１つのランダムビットを示す１つの変数である。ａは、ステップ（ａ）−（ｃ）が実行されなければならない回数を定義する１つのインデックスを示す１つの変数である。ｒ_１，ｒ_２は、一対の入力マスクである。

は、マスクされた１つの値である。
この場合、

である。
ｓ_１，ｓ_２は、一対の出力マスクである。ａｄｒは、自由なメモリアドレスである。ｃｍｐは、１つのレジスタを指し示す１つのビット変数であり且つ関数ＭＩＰ^Ｉ（ｒ_２； ａｄｒ； ｂ）の１つの出力である。Ｒ_ｃｍｐは、マイクロプロセッサの１つのレジスタの１つのレジスタアドレスである。一般に、このマイクロプロセッサ内の少なくとも２つのレジスタＲ_０及びＲ_１が使用される（つまり、ｃｍｐは、０又は１であり得る。ｃｍｐ＝０のときに、第１レジスタＲ_０が指し示される／アドレス付けされる。ｃｍｐ＝１のときに、第２レジスタＲ_１が指し示される／アドレス付けされる。）。Ｒ_ｂは、マイクロプロセッサの１つのレジスタの１つのレジスタアドレスである。一般に、このマイクロプロセッサ内の少なくとも２つのレジスタＲ_０及びＲ_１が使用される（つまり、ｂは、０又は１であり得る。ｂ＝０のときに、レジスタＲ_０が指し示される／アドレス付けされる。ｂ＝１のときに、レジスタＲ_１が指し示される／アドレス付けされる。）。ＭＩＰ^Ｉ（ｒ_２； ａｄｒ； ｂ）は：

として定義されるビットをランダム化したマッチ・イン・プレース関数である。

本発明のさらなる側面によれば、２次マスクされたＳボックス関数を計算する上述した方法を実行するために構成されているコンピュータプログラムから成るコンピュータ読み取り可能媒体が提供される。

本発明は、例示され且つ図面によって示された１つの実施の形態の説明によってより良好に理解される。

ＡＥＳ暗号用の疑似コードを示す。 ＡＥＳ暗号用の疑似コードを示す。 メモリ転送（プリプロセッサフェーズ）の数、ＸＯＲの数、メモリ転送（メインフェーズ）の数、及びcompare_b関数を最初に実行するために要求されるメモリとcompare_b関数を実行するために要求されるメモリとの数から成る本発明のテーブルを示す。 ＸＯＲの数、メモリ転送の数、及びcompare_b関数を実行するための本発明の方法を使用する完全な第２Rivain-Dottax-Prouff（ＲＤＰ２）アルゴリズムに対して要求されるメモリから成るテーブルを示す。

ＡＥＳ暗号アルゴリズムにおける本発明の方法の用途を詳しく説明する。しかしながら、本発明の方法は、ＡＥＳ暗号アルゴリズムで使用することに限定されないことが理解される。本発明の方法は、ブロック暗号アルゴリズムで使用され得る。

ＡＥＳ暗号アルゴリズムは、「ステート」と呼ばれるバイトｓ_ｉ，ｊの４ｘ４アレイで動作する。暗号化のため、（最後のサブパート以外の）ＡＥＳ暗号アルゴリズムの各サブパートが、以下の４つのステージから成る：
１．AddRoundKey:ステートの各バイトが、鍵スケジュール：

から導かれるラウンド鍵ｋ_ｉ，ｊでＸＯＲをとられる。
２．SubBytes:ステートの各バイトが、８ビットのＳボックス関数：

を使用して更新される。
Ｓボックス関数は：

として定義される。
この場合、Ａｆｆは、ＧＦ（２^８）上のアフィン関数であり、

は、（０→０による）ＧＦ（２^８）上の逆関数である。
３．ShiftRows:ステートのバイトが、特定のオフセットによって行ごとに周期的にシフトされる。最初の行が変更されないままである。
４．MixColumns:ステートのバイトが、以下のコラム：

による変更されるコラムである。

１２８ビットキーによるＡＥＳ暗号用の疑似コードが、図１中に示されている。ワードアレイ「Ｗ」が、鍵スケジュールアルゴリズムによって生成されるラウンド鍵（ｋ_ｉ，ｊ）を有する。

暗号化のため、（最後の鍵以外の）いずれのラウンド鍵が、以下の演算から成る：
１．InvShiftRowsは、ShiftRows演算（暗号化のステージ３）の逆である。ステートのバイト（段落［００２６］中で定義されているような、ＡＥＳ暗号で使用される一組の中間変数）が、特定のオフセットによって行ごとに周期的にシフトされる。当該バイトの最初の行が変更されないままである。
２．InvSubBytesは、SubBytes演算（暗号化のステージ２）の逆である。Ｓボックスの逆関数（Ｓ^−１）：

が、このステートの各バイトに適用される。
３．AddRoundKey:この演算は、この演算自体の逆に等しい。
４．InvMixColumnsは、MixColumns演算（暗号化のステージ４）の逆である。このステートのバイトが、以下のコラム：

による変更されたコラムである。
逆暗号用の疑似コードが、図２中に示されている。

最後に、ラウンド鍵スケジュール（ｋ_ｉ，ｊ）が、以下の演算に基づく：
１．SubWordが、１つの４バイト入力ワードをとり、Ｓボックス（Ｓ（ｘ））を４バイトの各々に対して適応させる。
２．RotWordは、入力として１ワード［ａ_０；ａ_１；ａ_２；ａ_３］をとり、［ａ_１；ａ_２；ａ_３；ａ_０］を戻すための周期的な置換を実行する。
３．Xor with Rconは、入力として３２ビットの１ワード及びｘｏｒをとり、このｘｏｒは、ラウンド定数ワードアレイＲｃｏｎ［ｉ］＝［（０２）^ｉ−１；００；００；００］、ラウンド１≦ｉ≦１０を伴う。我々は、鍵スケジュールの全ての記術に対して［５］を引用する。

冒頭で説明したように、マスキング対抗手段の原理は、あらゆる中間変数を１つ以上のランダムマスクでマスクすることである。次数ｄ＝２によるマスキング対抗手段の場合、２つのマスクが使用される。これらのマスクは、全体で３つのシェアを与える。さらに詳しく言うと、（ＡＥＳでは１バイトとして示される）任意の状態変数ｐが、３つのシェア（ｐ_０；ｐ_１；ｐ_２）に分割される：

この場合、シェアｐ_１及びｐ_２は、マスクと呼ばれる。

先の関係が、暗号化アルゴリズムの実行にわたって保持されるように、３つのシェアｐ_０、ｐ_１及びｐ_２が処理されなければならない。留意すべきは、

のように、ラウンド鍵のあらゆるバイトｋが、同様に３つのシェア（ｋ_０；ｋ_１；ｋ_２）に分割されなければならない点である。

ブロック暗号の線形部分は処理しやすい。以下の方程式（１）が成立する場合、関数ｆが線形であると言える：

このとき、このような線形関数に対して：

のような、３つのシェア（ｐ_０；ｐ_１；ｐ_２）が入力として与えられた場合、ｆ（ｐ_０）、ｆ（ｐ_１）及びｆ（ｐ_２）を別々に計算し、方程式（１）を立てて：

を得ることで十分である。
したがって、３つの出力シェアｆ（ｐ_０）、ｆ（ｐ_１）及びｆ（ｐ_２）が、出力ｆ（ｐ）の有効な分割である。ＡＥＳ暗号に対しては、AddRoundKey、ShiftRows及びMixColumnsの演算が、線形関数であり、したがって当該方法で処理され得る。しかしながら、（ＡＥＳの場合のＳボックス関数のような）SubByte演算は、非線形であり、異なって処理されなければならない。

ＡＥＳの場合のＳボックス関数のような非線形演算を処理するため、アルゴリズムが、以下のように定義され得る：

留意すべきは、ＡＥＳに対してはｎ＝ｍ＝８である点である。このアルゴリズムは、好ましくは以下のように定義されたマスクされた関数compare_bを有する：

この場合、ｘ及びｙは、compare_b関数の入力変数である。

２次のマスクされた入力から２次のマスクされたＳボックス関数を計算することは、以下のように実行されてもよい：
入力： マスクされた１つの値は、

である。この場合、ｒ_１；ｒ_２は、一対の入力マスクである。

は、一対の出力マスクである。
出力： 当該マスクされたＳボックス関数が、

を出力する。

この場合、

は、compare_b関数の入力変数である。

の場合、

である。このｃｍｐは、

を要求されたものとして与える。

この特別な実施の形態では、当該compare_b関数を実行するときは中止しなければならない。すなわち、compare_b（ｘ；ｙ）関数は、好ましくは

を直接計算することによって実行されてはならない。何故なら、上記アルゴリズムでは、当該計算は、

を計算することに等しいからである。

と組み合わせられた

は、２次を漏洩させる。

に関する任意の１次サイドチャネル漏洩を阻止するためのcompare_b関数を実行する方法を説明する。

compare_b関数を再度示すと：

として定義される。

当該compare_b関数を実行する方法は、ランダムアクセスメモリ内の２^ｎ個のビットのテーブルＴを要求する。このテーブルＴは、以下のように予備処理される：

この予備処理が、予備処理ステップを完了させる。

この予備処理の最後に、テーブルＴが：

を満たす。
このとき、compare_b関数は：

のように実行される。
この場合、計算中の全ての中間変数が、

から独立している。このことは、

に関する任意の１次サイドチャネル漏洩を阻止する。

compare_b関数の上述した実行は、従来の技術において知られている。不都合にも、このcompare_b関数の上述した実行は、非効率である。このcompare_b関数のアルゴリズムは、ランダムアクセスメモリの２^ｎ個のビットを要求する。しかしながら、実際には、ランダムアクセスメモリの２^ｎ個のバイトを使用することが、より便利である。何故なら、さもなければ、ビットアクセス技術が使用される必要があり、このビットアクセス技術は、安全に実行するためには煩わしいからである。予備処理が、２^ｎ＋１個のメモリ転送を要求する。このような予備処理は、ＲＤＰ２アルゴリズムに対する全ての呼び出し前に実行されなければならない。このとき、compare_b関数に対する全ての呼び出しが、２つのＸＯＲ演算及び１つのメモリ転送を要求する。したがって、ｎ＝８によるＡＥＳに対しては、このcompare_b関数が、予備処理中にランダムアクセスメモリの２５６バイト及び２５７回のメモリ転送を要求する。全体では、このときに、ＲＤＰ２アルゴリズムは、６・２^ｎ個のＸＯＲ演算と、３・２^ｎ＋１個のメモリ転送と、ｎ＋１個のランダムビットの生成とを要求する。

本発明による方法は、compare_b関数の異なる実行に基づき、特にマッチ・イン・プレース関数を使用する実行に基づく。

あらゆるプロセッサが、メモリ内の或るアドレスａｄｒの或るデータを読み書きする通常の命令data←read(adr)及びwrite(data; adr)を有する。マッチ・イン・プレース技術では、プロセッサが、以下のように作用する追加の関数ＭＩＰ（ｄａｔａ； ａｄｒ）を有する：

換言すれば、データが、当該メモリ位置ａｄｒで適合され、このアドレスａｄｒの値が、このメモリ位置から決して離れない。

本発明では、以下のように定義された、ＭＩＰ関数のビットをランダム化したバージョンである追加の関数ＭＩＰ^Ｉが提供される：

好ましくは、以下の関係が存在する：

当該ＭＩＰ^Ｉ関数を使用すると、compare_b関数が、以下のように簡単に実行され得る。この場合、ａｄｒは、メモリ内の自由な１つのアドレスである。

ｘが、メモリ内のアドレスａｄｒに書き込まれると、compare_b関数によって要求されるように、ＭＩＰ^Ｉ（ｙ； ａｄｒ； ｂ）関数が、ｘ＝ｙのときにｂを戻し、ｘ≠ｙのときに

を戻す。

当該ＭＩＰ^Ｉ関数を使用すると、２次のマスクされた入力から２次のマスクされたＳボックス関数を計算することが以下のようになる：
入力： マスクされた値

、一対の出力マスクｓ_１、

、自由な１つのメモリアドレスａｄｒ。
出力： マスクされたＳボックス関数の出力

ＭＩＰ^Ｉ関数に基づく当該ＭＩＰ^Ｉ関数の実行が、当初のcompare_b関数と同じ特性を満たす。すなわち、全ての中間変数が、

に依存しない。

留意すべきは、ランダム化された関数ＭＩＰ^Ｉ（ｙ； ａｄｒ； ｂ）が好ましい点である。この代わりに、関数ＭＩＰ（ｙ; ａｄｒ）が、（最初にＭＩＰ（ｙ； ａｄｒ）を計算し、次いで）

を戻すことによって）使用される場合は、当該実行は不安定である。何故なら、中間変数ＭＩＰ（ｙ; ａｄｒ）が、

から独立していないからである。

図３は、compare_b関数の当初の実行の効率と本発明による（つまり、ＭＩＰ^Ｉ関数を使用する）compare_b関数の実行の効率とを比較するテーブルを示す。本発明によるcompare_b関数を実行するためには、より少ない演算及びより少ないランダムアクセスメモリで済むことが明らかである。

図４は、実行される当初のマスキングアルゴリズムの効率と本発明にしたがって実行される（つまり、ＭＩＰ^Ｉ関数を使用する）マスキングアルゴリズムの効率とを比較するテーブルを示す。ｎ＝８によるＡＥＳに対しては、本発明は、（２^ｎの代わりに）ランダムアクセスメモリの１バイト、（１５３６の代わりに）１０２４回のＸＯＲ及び（７６９の代わりに）５１２回のメモリ転送を要求する。ＸＯＲ及びメモリ転送が、同じコストを有する場合、本発明のバリエーションは、当初の実行より３３％速い。したがって、同じ水準の安全性に対しては、本発明は、より少ないランダムアクセスメモリで済むより速い対抗手段を提供する。

特許請求の範囲で規定されたような本発明の範囲から離れることなしに、本発明の説明された実施の形態に対する様々な変更及びバリエーションが、当業者にとって明白である。本発明は、特定の好適な実施の形態に関連して説明されているものの、請求項に規定された本発明は、このような特定の実施の形態に不当に限定されるべきではないことが分かる。

Claims (11)

1. サイドチャネル攻撃に対抗する方法であって、当該方法は、中間変数をマスクするためのブロック暗号アルゴリズムを実行することから成り、このブロック暗号アルゴリズムは、１つ以上の非線形関数を有する当該方法において、
   前記１つ以上の非線形関数のうちの少なくとも１つの非線形関数が、マッチ・イン・プレース関数を使用して実行される、ことを特徴とする方法。
2. 前記マッチ・イン・プレース関数は、ビットをランダム化したマッチ・イン・プレース関数（ＭＩＰ^Ｉ（ｄａｔａ； ａｄｒ，ｂ））である、ことを特徴とする請求項１に記載の方法。
3. 前記ビットをランダム化したマッチ・イン・プレース関数は：
   

   

   として定義され、
   ａｄｒは、１つのメモリ内の１つのアドレスであり、ｄａｔａは、１つのメモリ内の１つのアドレスに記憶され得る１つの変数であり、ｂは、１つの値であり、この値は、前記ｄａｔａがメモリ内の前記アドレスａｄｒに存在する実際のデータに等しいときは戻され、前記ｄａｔａがメモリ内の前記アドレスａｄｒに存在する実際のデータに等しくないときは、ｂの補数が戻される、ことを特徴とする請求項２に記載の方法。
4. 

   

   は、ｂの補数である、ことを特徴とする請求項３に記載の方法。
5. 前記少なくとも１つの非線形関数は：
   

   

   によって定義されたcompare_b関数から成り、
   ｘは、前記compare_b関数の第１入力変数であり、ｙは、前記compare_b関数の第２入力変数であり、ｂは、ｘがｙに等しいときに戻される１つの値であり、
   

   

   は、ｘがｙに等しくないときに戻される１つの値である結果、
   メモリ内の１つのアドレスａｄｒに前記変数ｘを書き込むことによって、
   

   

   として定義されたビットをランダム化したマッチ・イン・プレース関数を実行することによって、そしてＭＩＰ^Ｉ（ｙ； ａｄｒ，ｂ）を戻すことによって、前記compare_b関数が実行され得る、請求項２に記載の方法。
6. 前記非線形関数は、SubByte演算中に構成される、請求項１に記載の方法。
7. 前記ブロック暗号アルゴリズムは、１つ以上の線形関数をさらに有し、前記１つ以上の線形関数のうちの少なくとも１つの線形関数が、当該関数の変数のＸＯＲをとることによって暗号化される、請求項１に記載の方法。
8. 前記ブロック暗号アルゴリズムは、新暗号規格（ＡＥＳ）のアルゴリズムである、請求項１に記載の方法。
9. コンピュータプログラムから成るコンピュータ読み取り可能媒体において、
   前記コンピュータプログラムは、請求項１に記載の方法を実行するために構成されている、当該コンピュータ読み取り可能媒体。
10. 

    のステップから成る、２次のマスクされた入力から２次のマスクされたＳボックス関数を計算する方法において、
    ｂは、１つのレジスタを指し示す１つのランダムビットを示す１つの変数であり、ａは、ステップ（ａ）−（ｃ）が実行されなければならない回数を規定する１つのインデックスを示す１つの変数であり、ｒ_１，ｒ_２は、一対の入力マスクであり、
    

    

    は、マスクされた１つの値であり、
    

    

    であり、ｓ_１，ｓ_２は、一対の出力マスクであり、ａｄｒは、自由な１つのメモリアドレスであり、ｃｍｐは、１つのレジスタを示し且つ関数ＭＩＰ^Ｉ（ｒ_２； ａｄｒ； ｂ）の１つの出力である１つのビット変数であり、Ｒ_ｃｍｐ及びＲ_ｂはそれぞれ、１つのマイクロプロセッサの１つのレジスタのレジスタアドレスであり、
    前記ＭＩＰ^Ｉ（ｒ_２； ａｄｒ； ｂ）は：
    

    

    として定義されたビットをランダム化したマッチ・イン・プレース関数である、当該方法。
11. コンピュータプログラムから成るコンピュータ読み取り可能媒体において、
    前記コンピュータプログラムは、請求項１０に記載の方法を実行するために構成されている、当該コンピュータ読み取り可能媒体。

Images