JP2014002351A - 低電力暗号化装置および方法 - Google Patents

Abstract

【課題】本発明は、低電力暗号化を支援するモバイル用高速ブロック暗号アルゴリズムを提供することができる暗号化装置および方法に関する。
【解決手段】このために、本発明にかかる暗号化装置は、ユーザから暗号化しようとする平文（Ｐｌａｉｎｔｅｘｔ）とマスターキー（Ｍａｓｔｅｒ Ｋｅｙ）の入力を受けるユーザインタフェース部と、マスターキーからラウンドキー（Ｒｏｕｎｄ Ｋｅｙ）を生成するキースケジューラ部と、平文から初期ラウンド関数値を生成する初期変換部と、ラウンドキーと初期ラウンド関数値を用いてラウンド関数を繰り返し処理するラウンド関数処理部と、ラウンド関数処理部によって処理された最後のラウンドでのラウンド関数の結果値から暗号文を生成する最終変換部とを含む。
【選択図】図１

Description

本発明は、低電力暗号化装置および方法に関し、より詳細には、低電力暗号化を支援するモバイル用高速ブロック暗号アルゴリズムを提供することができる暗号化装置および方法に関する。

ブロック暗号は、各種機器の通信および格納資料セキュリティのための暗号アプリケーションにおいて最も多く用いられる核心要素であり、特定の長さ単位（６４ビット、１２８ビット）でデータを暗号化して機密性（ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ）を提供することが主な役割である。また、ハッシュ関数、メッセージ認証コード、乱数生成器などにも活用される。このような用途に合わせて、ブロック暗号は、機器および暗号アプリケーション特性に適した性質を有するように設計されなければならず、機器に特化したチップまたは機器のＣＰＵで駆動されるソフトウェアで実現される。

ハードウェアで実現されるチップの場合、市場性、開発費用、機器との連動性などによって開発が制限されるのに対し、ソフトウェアの実現は、ＣＰＵの性能の進化などで適用が拡大している。しかし、ソフトウェアの実現においても、リソースの制限を受ける環境が多い。特に、最近、多くの人気を集めているスマートフォンのようにバッテリを有する移動機器は、ソフトウェアの駆動による電力消耗という問題を抱えている。現在、最も優れた性能の国際標準ブロック暗号の場合にも、持続的な暗号化時のバッテリの消耗が未暗号化時より７０％以上増加することが知られている。

一方、超軽量および低電力環境におけるＨ／Ｗ暗号演算を目的として開発されたブロック暗号手法が、２００６年のＷｏｒｋｓｈｏｐ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｈａｒｄｗａｒｅ ａｎｄ Ｅｍｂｅｄｄｅｄ Ｓｙｓｔｅｍｓでの「ＨＩＧＨＴ：Ａ Ｎｅｗ Ｂｌｏｃｋ Ｃｉｐｈｅｒ Ｓｕｉｔａｂｌｅ ｆｏｒ Ｌｏｗ−Ｒｅｓｏｕｒｃｅ Ｄｅｖｉｃｅ」論文に公開されているが、前記論文に公開されたブロック暗号手法は、安全性に対する脆弱点が存在し、ソフトウェア環境では、データ暗号化のために、ＣＰＵに比較的多いサイクル（ｃｙｃｌｅ）が要求される問題があった。

本発明は、低電力暗号化を支援するブロック暗号アルゴリズムを用いる暗号化装置および方法を提供することを目的とする。

上記の目的を達成するための、本発明にかかる暗号化装置は、ユーザから暗号化しようとする平文（Ｐｌａｉｎｔｅｘｔ）とマスターキー（Ｍａｓｔｅｒ Ｋｅｙ）の入力を受けるユーザインタフェース部と、前記マスターキーからラウンドキー（Ｒｏｕｎｄ Ｋｅｙ）を生成するキースケジューラ部と、前記平文から初期ラウンド関数値を生成する初期変換部と、前記ラウンドキーと前記初期ラウンド関数値を用いてラウンド関数を繰り返し処理するラウンド関数処理部と、前記ラウンド関数処理部によって処理された最後のラウンドでのラウンド関数の結果値から暗号文を生成する最終変換部とを含むことを特徴とする。

この時、前記キースケジューラ部は、前記ユーザインタフェース部から前記マスターキーを受信するマスターキー入力部と、前記マスターキーを構成するサブマスターキー値それぞれから初期キースケジュールラウンド関数値を生成するキースケジュールラウンド関数値生成部と、前記初期キースケジュールラウンド関数値と固定された定数値を用いてキースケジュールラウンド関数値を生成し、前記キースケジュールラウンド関数値を連接して前記ラウンドキーを生成するラウンドキー生成部とを含むことができる。

この時、前記ラウンドキーは、１９２ビットの長さを有し、それぞれ３２ビットの長さを有するサブラウンドキーＲＫ_ｉ［０］、ＲＫ_ｉ［１］、ＲＫ_ｉ［２］、ＲＫ_ｉ［３］、ＲＫ_ｉ［４］、ＲＫ_ｉ［５］が連接して構成できる。

この時、前記初期変換部は、１２８ビットの長さを有する前記平文からそれぞれ３２ビットの長さを有するサブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］を抽出し、前記サブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］それぞれから初期ラウンド関数値Ｘ_０［０］、Ｘ_０［１］、Ｘ_０［２］、Ｘ_０［３］を生成することができる。

この時、前記ラウンド関数処理部は、前記ラウンドキーと前記初期ラウンド関数値に基づいてラウンド関数を処理し、ｉ番目ラウンドでのラウンド関数の結果値Ｘ_ｉ＋１［０］、Ｘ_ｉ＋１［１］、Ｘ_ｉ＋１［２］、Ｘ_ｉ＋１［３］を算出することができる。

この時、前記ラウンド関数処理部は、数式

によってＸ_ｉ＋１［０］を算出し、数式

によってＸ_ｉ＋１［１］を算出し、数式

によってＸ_ｉ＋１［２］を算出し、数式

によってＸ_ｉ＋１［３］を算出することができる。ここで、Ｘ_ｉ［０］、Ｘ_ｉ［１］、Ｘ_ｉ［２］、Ｘ_ｉ［３］は、ｉ−１番目ラウンドでのラウンド関数の結果値、

は、論理的排他和演算、＋は、法２^３２足し算演算、ＲＯＬ_ａ（ｘ）は、３２ビットの長さを有するｘ値を左にａビットだけ循環シフト（ｒｏｔａｔｉｏｎ）した後出力する関数、ＲＯＲ_ａ（ｘ）は、３２ビットの長さを有するｘ値を右にａビットだけ循環シフトした後出力する関数を意味する。

この時、前記最終変換部は、前記最後のラウンドでのラウンド関数の結果値を連接して暗号文を生成することができる。

この時、本発明にかかる暗号化装置は、前記最終変換部によって生成された暗号文を出力する暗号文出力部をさらに含むことができる。

また、上記の目的を達成するための、本発明にかかる暗号化方法は、ユーザインタフェース部がユーザから暗号化しようとする平文とマスターキーの入力を受けるステップと、キースケジューラ部が前記マスターキーからラウンドキーを生成するステップと、初期変換部が前記平文から初期ラウンド関数値を生成するステップと、ラウンド関数処理部が前記ラウンドキーと前記初期ラウンド関数値を用いてラウンド関数を繰り返し処理するステップと、最終変換部が最後のラウンドでのラウンド関数の結果値から暗号文を生成するステップとを含むことを特徴とする。

この時、前記マスターキーからラウンドキーを生成するステップは、マスターキー入力部が前記ユーザインタフェース部から前記マスターキーを受信するステップと、キースケジュールラウンド関数値生成部が前記マスターキーを構成するサブマスターキー値それぞれから初期キースケジュールラウンド関数値を生成するステップと、ラウンドキー生成部が前記初期キースケジュールラウンド関数値と固定された定数値を用いてキースケジュールラウンド関数値を生成し、前記キースケジュールラウンド関数値を連接して前記ラウンドキーを生成するステップとを含むことができる。

この時、前記ラウンドキーは、１９２ビットの長さを有し、それぞれ３２ビットの長さを有するサブラウンドキーＲＫ_ｉ［０］、ＲＫ_ｉ［１］、ＲＫ_ｉ［２］、ＲＫ_ｉ［３］、ＲＫ_ｉ［４］、ＲＫ_ｉ［５］が連接して構成できる。

この時、前記平文から初期ラウンド関数値を生成するステップは、１２８ビットの長さを有する前記平文からそれぞれ３２ビットの長さを有するサブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］を抽出し、前記サブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］それぞれから初期ラウンド関数値Ｘ_０［０］、Ｘ_０［１］、Ｘ_０［２］、Ｘ_０［３］を生成することができる。

この時、前記ラウンドキーと前記初期ラウンド関数値を用いてラウンド関数を繰り返し処理するステップは、前記ラウンドキーと前記初期ラウンド関数値に基づいてラウンド関数を処理し、ｉ番目ラウンドでのラウンド関数の結果値Ｘ_ｉ＋１［０］、Ｘ_ｉ＋１［１］、Ｘ_ｉ＋１［２］、Ｘ_ｉ＋１［３］を算出することができる。

この時、前記ラウンドキーと前記初期ラウンド関数値を用いてラウンド関数を繰り返し処理するステップは、数式

によってＸ_ｉ＋１［０］を算出し、数式

によってＸ_ｉ＋１［１］を算出し、数式

によってＸ_ｉ＋１［２］を算出し、数式

によってＸ_ｉ＋１［３］を算出することができる。ここで、Ｘ_ｉ［０］、Ｘ_ｉ［１］、Ｘ_ｉ［２］、Ｘ_ｉ［３］は、ｉ−１番目ラウンドでのラウンド関数の結果値、

は、論理的排他和演算、＋は、法２^３２足し算演算、ＲＯＬ_ａ（ｘ）は、３２ビットの長さを有するｘ値を左にａビットだけ循環シフトした後出力する関数、ＲＯＲ_ａ（ｘ）は、３２ビットの長さを有するｘ値を右にａビットだけ循環シフトした後出力する関数を意味する。

この時、前記最後のラウンドでのラウンド関数の結果値から暗号文を生成するステップは、前記最後のラウンドでのラウンド関数の結果値を連接して暗号文を生成することができる。

この時、本発明にかかる暗号化方法は、暗号文出力部が前記最終変換部によって生成された暗号文を出力するステップをさらに含むことができる。

本発明によれば、既存のＣＰＵで普遍的に用いられ、採用が容易なＡＲＸ（Ａｄｄｉｔｉｏｎ、Ｒｏｔａｔｉｏｎ、ＸＯＲ）演算のみで構成される暗号化手法を提供できる効果がある。

また、本発明によれば、臨時変数を活用して並列演算を可能にする演算の組合せで暗号化過程を行うため、ＣＰＵ内でより少ないサイクル（ｃｙｃｌｅ）で暗号化を行うことができる効果がある。

さらに、本発明によれば、従来のすべてのブロック暗号攻撃に対する安全性を保障できる効果がある。

本発明にかかる暗号化装置の構成を示すブロック図である。 図１に示されたキースケジューラ部の構成を示すブロック図である。 図１に示されたラウンド関数処理部のｉ番目ラウンドでのラウンド関数の処理過程を説明するための図である。 本発明にかかる暗号化方法を説明するためのフローチャートである。 本発明にかかる暗号化方法を説明するためのフローチャートである。

以下、本発明を添付した図面を参照して詳細に説明する。ここで、繰り返される説明、本発明の要旨をあいまいにする可能性がある公知の機能、および構成に関する詳細な説明は省略する。本発明の実施形態は、当業界において平均的な知識を有する者に本発明をより完全に説明するために提供されるものである。したがって、図面における要素の形状および大きさなどは、より明確な説明のために誇張され得る。

以下では、図１ないし図３を参照して、本発明にかかる暗号化装置の構成およびその動作について説明する。

図１は、本発明にかかる暗号化装置の構成を示すブロック図である。

図１を参照すれば、本発明にかかる暗号化装置１０は、ユーザインタフェース部１００と、キースケジューラ部２００と、初期変換部３００と、ラウンド関数処理部４００と、最終変換部５００と、暗号文出力部６００とから構成される。

ユーザインタフェース部１００は、ユーザから平文（Ｐｌａｉｎｔｅｘｔ、以下、「Ｐ」と表示する。）という暗号化しようとする対象、例えば、特定のテキスト（ｔｅｘｔ）または音声（ｖｏｉｃｅ）の入力を受ける。また、ユーザインタフェース部１００は、平文の入力を受ける時点で、同時にユーザからマスターキー（Ｍａｓｔｅｒ Ｋｅｙ、以下、「ＭＫ」と表示する。）の入力を受ける。この時、ユーザインタフェース部１００に入力されるマスターキーは、１２８ビット、１９２ビットまたは２５６ビットの長さで構成され、それぞれ３２ビットの長さを有するサブマスターキーで構成される。つまり、マスターキーＭＫは、複数のサブマスターキーの連接によって構成され、１２８ビット、１９２ビットおよび２５６ビットの長さを有するマスターキーは、それぞれ下記の数式１ないし数式３のように表現できる。

この時、Ｋ［０］ないしＫ［７］は、マスターキーＭＫを構成する、それぞれ３２ビットの長さを有するサブマスターキーを意味する。

一方、ユーザインタフェース部１００に入力される平文は、１２８ビットの長さで構成され、それぞれ３２ビットの長さを有するサブ平文で構成される。つまり、平文Ｐは、複数のサブ平文の連接によって構成され、１２８ビットの長さを有する平文は、下記の数式４のように表現できる。

この時、Ｐ［０］ないしＰ［３］は、平文Ｐを構成する、それぞれ３２ビットの長さを有するサブ平文を意味する。

ユーザインタフェース部１００は、ユーザから入力されたマスターキーＭＫと平文Ｐをそれぞれキースケジューラ部２００と初期変換部３００に伝送する。

キースケジューラ部２００は、ユーザインタフェース部１００からマスターキーを受信し、前記マスターキーからラウンドキー（Ｒｏｕｎｄ Ｋｅｙ、以下、「ＲＫ」と表示する。）を生成する。より具体的には、キースケジューラ部２００は、図２に示されているように、マスターキー入力部２２０と、キースケジュールラウンド関数値生成部２４０と、ラウンドキー生成部２６０とから構成される。

マスターキー入力部２２０は、ユーザインタフェース部１００からマスターキーを受信し、これをキースケジュールラウンド関数値生成部２４０に伝送する。

キースケジュールラウンド関数値生成部２４０は、マスターキー入力部２２０から伝送されたマスターキーからサブマスターキー値を抽出し、前記抽出されたサブマスターキー値それぞれから初期キースケジュールラウンド関数値を生成する。

この時、キースケジュールラウンド関数値生成部２４０は、伝送されたマスターキーが１２８ビットの長さを有する場合、下記の数式５によって初期キースケジュールラウンド関数値Ｔ_０［１］ないしＴ_０［３］を決定し、

伝送されたマスターキーが１９２ビットの長さを有する場合、下記の数式６によって初期キースケジュールラウンド関数値Ｔ_０［１］ないしＴ_０［５］を決定し、

伝送されたマスターキーが２５６ビットの長さを有する場合、下記の数式７によって初期キースケジュールラウンド関数値Ｔ_０［１］ないしＴ_０［７］を決定する。

ラウンドキー生成部２６０は、キースケジュールラウンド関数値生成部２４０によって生成された初期キースケジュールラウンド関数値と固定された定数値を用いてキースケジュールラウンド関数値を生成し、キースケジュールラウンド関数値を連接してラウンドキーを生成する。この時、ラウンドキー生成部２６０は、キースケジュールラウンド関数値を生成するために、例えば、下記の数式８のように１６進数で表現される、固定された定数値δ［０］ないしδ［７］を用いることができる。

ラウンドキー生成部２６０は、ユーザインタフェース部１００から伝送されたマスターキーが１２８ビットの長さを有する場合、下記の数式９によってそれぞれ３２ビットの長さを有するキースケジュールラウンド関数値を決定し、下記の数式１０によってキースケジュールラウンド関数値を連接してラウンドキーを生成する。

また、ラウンドキー生成部２６０は、ユーザインタフェース部１００から伝送されたマスターキーが１９２ビットの長さを有する場合、下記の数式１１によってそれぞれ３２ビットの長さを有するキースケジュールラウンド関数値を決定し、下記の数式１２によってキースケジュールラウンド関数値を連接してラウンドキーを生成する。

また、ラウンドキー生成部２６０は、ユーザインタフェース部１００から伝送されたマスターキーが２５６ビットの長さを有する場合、下記の数式１３によってそれぞれ３２ビットの長さを有するキースケジュールラウンド関数値を決定し、下記の数式１４によってキースケジュールラウンド関数値を連接してラウンドキーを生成する。

この時、ｘ ｍｏｄ ４演算は、ｘ値を４で割った余りを算出する演算を意味し、ｘ ｍｏｄ ６演算は、ｘ値を６で割った余りを算出する演算を意味し、ｘ ｍｏｄ ８演算は、ｘ値を８で割った余りを算出する演算を意味する。

一方、ラウンドキー生成部２６０によって生成されるラウンドキーＲＫ_ｉは、マスターキーＭＫが１２８ビット、１９２ビットまたは２５６ビットのうちいずれか１つの長さを有しても、前記数式１０、数式１２または数式１４によって常に同一に１２８ビットの長さを有するようになる。この時、１２８ビットの長さを有するラウンドキーＲＫ_ｉは、下記の数式１５のように、それぞれ３２ビットの長さを有するサブラウンドキーＲＫ_ｉ［０］ないしＲＫ_ｉ［５］の連接によって構成できる。

初期変換部３００は、ユーザインタフェース部１００から平文を受信し、前記平文から初期ラウンド関数値を生成する。つまり、初期変換部３００は、数式４で表現される１２８ビットの長さを有する平文Ｐに対し、それぞれ３２ビットの長さを有するサブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］を抽出し、下記の数式１６に基づいて、前記サブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］それぞれから初期ラウンド関数値Ｘ_０［０］、Ｘ_０［１］、Ｘ_０［２］、Ｘ_０［３］を生成する。

ラウンド関数処理部４００は、キースケジューラ部２００によって生成されたラウンドキーと初期変換部３００によって生成された初期ラウンド関数値を用いてラウンド関数を繰り返し処理する。この時、ラウンド関数処理部４００がラウンド関数を繰り返し処理する回数は、マスターキーが１２８ビットの長さを有する場合には２４回、マスターキーが１９２ビットの長さを有する場合には２８回、マスターキーが２５６ビットの長さを有する場合には３２回である。ラウンド関数処理部４００は、ｉ番目ラウンドで下記の数式１７のようなラウンド関数を処理する。

ここで、Ｘ_ｉ［０］、Ｘ_ｉ［１］、Ｘ_ｉ［２］、Ｘ_ｉ［３］は、ｉ−１番目ラウンドでのラウンド関数の結果値を意味し、

は、論理的排他和（ＸＯＲ、ｅＸｃｌｕｓｉｖｅ ＯＲ）演算を意味し、＋は、法２^３２足し算演算を意味し、ＲＯＬ_ａ（ｘ）は、３２ビットの長さを有するｘ値を左にａビットだけ循環シフトした後出力する関数を意味し、ＲＯＲ_ａ（ｘ）は、３２ビットの長さを有するｘ値を右にａビットだけ循環シフトした後出力する関数を意味する。

このような、ラウンド関数処理部４００のｉ番目ラウンドでのラウンド関数の処理過程を図式化すると、図３のように示すことができる。この時、３２ビットのワードにおいて最も右側のビットが最下位ビット（ＬＳＢ）に該当する。

最終変換部５００は、ラウンド関数処理部４００によって処理された最後のラウンドでのラウンド関数の結果値を連接して暗号文（Ｃｉｐｈｅｒｔｅｘｔ、以下、「Ｃ」と表示する。）を生成する。最終変換部５００は、最後のラウンドであるｒ番目ラウンド（マスターキーが１２８ビットの長さを有する場合にｒ＝２４、マスターキーが１９２ビットの長さを有する場合にｒ＝２８、マスターキーが２５６ビットの長さを有する場合にｒ＝３２）での結果値Ｘ_ｒ［０］ないしＸ_ｒ［３］を連接して暗号文Ｃを生成する。つまり、ｒ番目ラウンドでの出力結果Ｘ_ｒ（＝Ｘ_ｒ［０］｜｜Ｘ_ｒ［１］｜｜Ｘ_ｒ［２］｜｜Ｘ_ｒ［３］）から、下記の数式１８を用いて暗号文Ｃ（＝Ｃ［０］｜｜Ｃ［１］｜｜Ｃ［２］｜｜Ｃ［３］）に変換する。

最後に、暗号文出力部６００は、最終変換部５００によって生成された暗号文をユーザに出力する。

本発明によって出力される暗号文を平文に復号化する方法は、本発明にかかる暗号化装置１０においてキースケジューラ部２００の動作を除いた暗号化過程を逆に行うことによって達成できる。この時、復号化過程では、法２^３２足し算演算の代わりに法２^３２引き算演算が行われなければならない。

以下では、本発明にかかる暗号化方法について説明する。上述した図１ないし図３を参照した、本発明にかかる暗号化装置の動作に関する説明と一部重複する部分は省略して説明する。

図４は、本発明にかかる暗号化方法を説明するためのフローチャートである。

図４を参照すれば、本発明にかかる暗号化方法は、まず、ユーザインタフェース部がユーザから暗号化しようとする平文とマスターキーの入力を受ける（Ｓ１００）。この時、前記平文とマスターキーは、ユーザによって同時にユーザインタフェース部に入力できる。

次に、キースケジューラ部は、ユーザインタフェース部から伝送されたマスターキーを用いてラウンドキーを生成する（Ｓ２００）。この時、前記ステップＳ２００で生成されるラウンドキーは、１９２ビットの長さを有し、それぞれ３２ビットの長さを有するサブラウンドキーＲＫ_ｉ［０］、ＲＫ_ｉ［１］、ＲＫ_ｉ［２］、ＲＫ_ｉ［３］、ＲＫ_ｉ［４］、ＲＫ_ｉ［５］が連接して構成できる。

そして、初期変換部は、ユーザインタフェース部から伝送された平文から初期ラウンド関数値を生成する（Ｓ３００）。この時、前記ステップＳ３００では、１２８ビットの長さを有する平文からそれぞれ３２ビットの長さを有するサブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］を抽出し、サブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］それぞれから初期ラウンド関数値Ｘ_０［０］、Ｘ_０［１］、Ｘ_０［２］、Ｘ_０［３］を生成することができる。

次に、ラウンド関数処理部は、前記ステップＳ２００で生成されたラウンドキーと前記ステップＳ３００で生成された初期ラウンド関数値を用いてラウンド関数を繰り返し処理する（Ｓ４００）。この時、前記ステップＳ４００では、ラウンドキーと初期ラウンド関数値に基づいてラウンド関数を処理し、ｉ番目ラウンドでのラウンド関数の結果値Ｘ_ｉ＋１［０］、Ｘ_ｉ＋１［１］、Ｘ_ｉ＋１［２］、Ｘ_ｉ＋１［３］を算出することができる。また、前記ステップＳ４００では、数式

によってＸ_ｉ＋１［０］を算出し、数式

によってＸ_ｉ＋１［１］を算出し、数式

によってＸ_ｉ＋１［２］を算出し、数式

によってＸ_ｉ＋１［３］を算出することができる。ここで、Ｘ_ｉ［０］、Ｘ_ｉ［１］、Ｘ_ｉ［２］、Ｘ_ｉ［３］は、ｉ−１番目ラウンドでのラウンド関数の結果値、

は、論理的排他和演算、＋は、法２^３２足し算演算、ＲＯＬ_ａ（ｘ）は、３２ビットの長さを有するｘ値を左にａビットだけ循環シフトした後出力する関数、ＲＯＲ_ａ（ｘ）は、３２ビットの長さを有するｘ値を右にａビットだけ循環シフトした後出力する関数を意味する。

そして、最終変換部は、前記ステップＳ４００で処理される最後のラウンドでのラウンド関数の結果値から暗号文を生成する（Ｓ５００）。この時、前記ステップＳ５００では、最後のラウンドでのラウンド関数の結果値を連接して暗号文を生成する。

最後に、暗号文出力部が前記ステップＳ５００で生成された暗号文をユーザに出力する（Ｓ６００）。

図５は、図４に示されたラウンドキー生成ステップであるステップＳ２００をより具体的に説明するためのフローチャートである。

図５を参照すれば、ステップＳ２００は、まず、マスターキー入力部がユーザインタフェース部からマスターキーを受信し（Ｓ２２０）、キースケジュールラウンド関数値生成部がマスターキーを構成するサブマスターキー値それぞれから初期キースケジュールラウンド関数値を生成する（Ｓ２４０）。

そして、ラウンドキー生成部が前記ステップＳ２４０で生成された初期キースケジュールラウンド関数値と固定された定数値を用いてキースケジュールラウンド関数値を生成し（Ｓ２６０）、キースケジュールラウンド関数値を連接してラウンドキーを生成する（Ｓ２８０）。

上述したような、本発明にかかる暗号化方法は、プログラムで実現され、コンピュータで読み取り可能な形態で記録媒体（例えば、ＣＤ−ＲＯＭ、ＲＡＭ、フロッピー（登録商標）ディスク、ハードディスク、光磁気ディスク、フラッシュメモリなど）に格納できる。

以上、図面と明細書で最適な実施形態が開示された。ここで特定の用語が使われたが、これは単に本発明を説明するための目的で使われたものであって、意味の限定や特許請求の範囲に記載された本発明の範囲を制限するために使われたものではない。そのため、本技術分野における通常の知識を有する者であれば、これより多様な変形および均等の他の実施形態が可能であることを理解するはずである。したがって、本発明の真の技術的保護範囲は、添付した特許請求の範囲の技術的思想によって定められなければならない。

１０；暗号化装置
１００；ユーザインタフェース部
２００；キースケジューラ部
２２０；マスターキー入力部
２４０；キースケジュールラウンド関数値生成部
２６０；ラウンドキー生成部
３００；初期変換部
４００；ラウンド関数処理部
５００；最終変換部
６００；暗号文出力部

Claims (16)

1. ユーザから暗号化しようとする平文（Ｐｌａｉｎｔｅｘｔ）とマスターキー（Ｍａｓｔｅｒ Ｋｅｙ）の入力を受けるユーザインタフェース部と、
   前記マスターキーからラウンドキー（Ｒｏｕｎｄ Ｋｅｙ）を生成するキースケジューラ部と、
   前記平文から初期ラウンド関数値を生成する初期変換部と、
   前記ラウンドキーと前記初期ラウンド関数値を用いてラウンド関数を繰り返し処理するラウンド関数処理部と、
   前記ラウンド関数処理部によって処理された最後のラウンドでのラウンド関数の結果値から暗号文を生成する最終変換部とを含むことを特徴とする、暗号化装置。
2. 前記キースケジューラ部は、
   前記ユーザインタフェース部から前記マスターキーを受信するマスターキー入力部と、
   前記マスターキーを構成するサブマスターキー値それぞれから初期キースケジュールラウンド関数値を生成するキースケジュールラウンド関数値生成部と、
   前記初期キースケジュールラウンド関数値と固定された定数値を用いてキースケジュールラウンド関数値を生成し、前記キースケジュールラウンド関数値を連接して前記ラウンドキーを生成するラウンドキー生成部とを含むことを特徴とする、請求項１に記載の暗号化装置。
3. 前記ラウンドキーは、１９２ビットの長さを有し、それぞれ３２ビットの長さを有するサブラウンドキーＲＫ_ｉ［０］、ＲＫ_ｉ［１］、ＲＫ_ｉ［２］、ＲＫ_ｉ［３］、ＲＫ_ｉ［４］、ＲＫ_ｉ［５］が連接して構成されることを特徴とする、請求項２に記載の暗号化装置。
4. 前記初期変換部は、１２８ビットの長さを有する前記平文からそれぞれ３２ビットの長さを有するサブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］を抽出し、前記サブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］それぞれから初期ラウンド関数値Ｘ_０［０］、Ｘ_０［１］、Ｘ_０［２］、Ｘ_０［３］を生成することを特徴とする、請求項３に記載の暗号化装置。
5. 前記ラウンド関数処理部は、前記ラウンドキーと前記初期ラウンド関数値に基づいてラウンド関数を処理し、ｉ番目ラウンドでのラウンド関数の結果値Ｘ_ｉ＋１［０］、Ｘ_ｉ＋１［１］、Ｘ_ｉ＋１［２］、Ｘ_ｉ＋１［３］を算出することを特徴とする、請求項４に記載の暗号化装置。
6. 前記ラウンド関数処理部は、数式
   

   

   によってＸ_ｉ＋１［０］を算出し、数式
   

   

   によってＸ_ｉ＋１［１］を算出し、数式
   

   

   によってＸ_ｉ＋１［２］を算出し、数式
   

   

   によってＸ_ｉ＋１［３］を算出することを特徴とする、請求項５に記載の暗号化装置。
   （ここで、Ｘ_ｉ［０］、Ｘ_ｉ［１］、Ｘ_ｉ［２］、Ｘ_ｉ［３］は、ｉ−１番目ラウンドでのラウンド関数の結果値、
   

   

   は、論理的排他和演算、＋は、法２^３２足し算演算、ＲＯＬ_ａ（ｘ）は、３２ビットの長さを有するｘ値を左にａビットだけ循環シフトした後出力する関数、ＲＯＲ_ａ（ｘ）は、３２ビットの長さを有するｘ値を右にａビットだけ循環シフトした後出力する関数を意味する。）
7. 前記最終変換部は、前記最後のラウンドでのラウンド関数の結果値を連接して暗号文を生成することを特徴とする、請求項１乃至６のいずれか一項に記載の暗号化装置。
8. 前記最終変換部によって生成された暗号文を出力する暗号文出力部をさらに含むことを特徴とする、請求項１乃至７のいずれか一項に記載の暗号化装置。
9. ユーザインタフェース部がユーザから暗号化しようとする平文とマスターキーの入力を受けるステップと、
   キースケジューラ部が前記マスターキーからラウンドキーを生成するステップと、
   初期変換部が前記平文から初期ラウンド関数値を生成するステップと、
   ラウンド関数処理部が前記ラウンドキーと前記初期ラウンド関数値を用いてラウンド関数を繰り返し処理するステップと、
   最終変換部が最後のラウンドでのラウンド関数の結果値から暗号文を生成するステップとを含むことを特徴とする、暗号化方法。
10. 前記マスターキーからラウンドキーを生成するステップは、
    マスターキー入力部が前記ユーザインタフェース部から前記マスターキーを受信するステップと、
    キースケジュールラウンド関数値生成部が前記マスターキーを構成するサブマスターキー値それぞれから初期キースケジュールラウンド関数値を生成するステップと、
    ラウンドキー生成部が前記初期キースケジュールラウンド関数値と固定された定数値を用いてキースケジュールラウンド関数値を生成し、前記キースケジュールラウンド関数値を連接して前記ラウンドキーを生成するステップとを含むことを特徴とする、請求項９に記載の暗号化方法。
11. 前記ラウンドキーは、１９２ビットの長さを有し、それぞれ３２ビットの長さを有するサブラウンドキーＲＫ_ｉ［０］、ＲＫ_ｉ［１］、ＲＫ_ｉ［２］、ＲＫ_ｉ［３］、ＲＫ_ｉ［４］、ＲＫ_ｉ［５］が連接して構成されることを特徴とする、請求項１０に記載の暗号化方法。
12. 前記平文から初期ラウンド関数値を生成するステップは、
    １２８ビットの長さを有する前記平文からそれぞれ３２ビットの長さを有するサブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］を抽出し、前記サブ平文Ｐ［０］、Ｐ［１］、Ｐ［２］、Ｐ［３］それぞれから初期ラウンド関数値Ｘ_０［０］、Ｘ_０［１］、Ｘ_０［２］、Ｘ_０［３］を生成することを特徴とする、請求項１１に記載の暗号化方法。
13. 前記ラウンドキーと前記初期ラウンド関数値を用いてラウンド関数を繰り返し処理するステップは、
    前記ラウンドキーと前記初期ラウンド関数値に基づいてラウンド関数を処理し、ｉ番目ラウンドでのラウンド関数の結果値Ｘ_ｉ＋１［０］、Ｘ_ｉ＋１［１］、Ｘ_ｉ＋１［２］、Ｘ_ｉ＋１［３］を算出することを特徴とする、請求項１２に記載の暗号化方法。
14. 前記ラウンドキーと前記初期ラウンド関数値を用いてラウンド関数を繰り返し処理するステップは、
    数式
    

    

    によってＸ_ｉ＋１［０］を算出し、数式
    

    

    によってＸ_ｉ＋１［１］を算出し、数式
    

    

    によってＸ_ｉ＋１［２］を算出し、数式
    

    

    によってＸ_ｉ＋１［３］を算出することを特徴とする、請求項１３に記載の暗号化方法。
    （ここで、Ｘ_ｉ［０］、Ｘ_ｉ［１］、Ｘ_ｉ［２］、Ｘ_ｉ［３］は、ｉ−１番目ラウンドでのラウンド関数の結果値、
    

    

    は、論理的排他和演算、＋は、法２^３２足し算演算、ＲＯＬ_ａ（ｘ）は、３２ビットの長さを有するｘ値を左にａビットだけ循環シフトした後出力する関数、ＲＯＲ_ａ（ｘ）は、３２ビットの長さを有するｘ値を右にａビットだけ循環シフトした後出力する関数を意味する。）
15. 前記最後のラウンドでのラウンド関数の結果値から暗号文を生成するステップは、
    前記最後のラウンドでのラウンド関数の結果値を連接して暗号文を生成することを特徴とする、請求項９乃至１４のいずれか一項に記載の暗号化方法。
16. 暗号文出力部が前記最終変換部によって生成された暗号文を出力するステップをさらに含むことを特徴とする、請求項９乃至１５のいずれか一項に記載の暗号化方法。

Images