JP2016540266A - 可変入力長調整可能暗号の構造および使用 - Google Patents

Abstract

可変入力長調整可能暗号（「ＶＩＬＴＣ」）の構造および使用における新技術。ある場合には、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、効率的な処理能力で安全性強化を図るために、暗号化／復号システム外部への露出から保護された初期化ベクトルを使用する。例えば、暗号化および／または復号システムは、２つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）と、可変入力長調整可能暗号（「ＶＩＬＴＣ」）とを含む。第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、固定長初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、固定長初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成されている。第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、固定長出力文字列を生成するように構成されている。このように、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、固定長初期化ベクトルを、システム外部への露出から保護する。他の場合では、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、関連データ付き認証付暗号化／復号の信頼性があり効率的な実装のために使用される。【選択図】 図３Ａ

Description

関連出願情報
[001] 本願は、２０１３年１１月２９日に出願された米国仮特許出願第６１／９１０，２９２号、および２０１４年１１月２０日に出願された米国特許出願第１４／５４９，５３１号に対する優先権を主張する。これらの出願の開示内容は、ここで引用したことにより、本願にも含まれるものとする。
分野
[002] 初期化ベクトルが保護された可変入力長調整可能暗号の構造および使用。
政府援助の承認
[003] 本発明は、全米科学財団(National Science Foundation)によって供与された CNS-0845610およびCNS-1319061の下で、政府支援によって行われた。政府は、本発明において一定の権利を保有する。

従来技術

[004] 一般に、暗号化は、許可された関係者のみが情報を読むことができ、第三者は読むことができないように、情報を符号化するプロセスである。ある暗号化方式では、暗号化アルゴリズムを使用して情報（平文と呼ぶ）を暗号化し、それを読み取り不可能な暗号文に変換する。許可された関係者は、復号アルゴリズムを使用して、この暗号文をデコードすることができる。コンピュータ・システムでは、暗号化アルゴリズムは情報の二進値（即ち、ビット）を暗号化する。

[005] ブロック暗号は、固定長ブロックのビットに対して動作する暗号化アルゴリズムである。ｎ−ビット・ブロック暗号は、ｎ−ビットのブロックを暗号化して、ｎ−ビットの暗号文を生成する。ブロック暗号は広く使用されており、ブロック暗号には多くの効率的な実施態様がある。ブロック暗号は暗号化鍵を使用する。ブロック暗号の安全性は、特定の鍵の下で暗号化されるブロックの数が増えるに連れて低下することが分かっている。ブロック暗号に対して鍵を変更することは、それ自体困難ではないが、様々な重要な用途では、新たなブロック暗号鍵の頻繁な生成および配布は実現可能ではない。

[006] 調整可能ブロック暗号（「ＴＢＣ」：tweakable block cypher）は、ブロック暗号の一般化である。ｎ個のキャラクタから成る調整可能ブロック暗号（「ＴＢＣ」）

は、Σ^ｎにわたる置換の一群であり(a family of permutations over Σⁿ)、調整可能ブロック暗号（「ＴＢＣ」）における各置換は、鍵およびトウィーク(tweak)に関連付けられる。多くの場合、Σ＝｛０，１｝であり、この場合、調整可能ブロック暗号（「ＴＢＣ」）をｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）

と呼ぶことができる。入力文字列について、鍵およびトウィーク双方によって、調整可能ブロック暗号（「ＴＢＣ」）によって生成された入力文字列の置換を指定する。典型的な使用では、鍵は調整可能ブロック暗号（「ＴＢＣ」）に対する多くのコールにわたって秘密でありそして固定であるが、トウィークは秘密ではなくコール毎に変化することができる。これにより、鍵が固定であってもトウィークの値を変化させることによって、調整可能ブロック暗号（「ＴＢＣ」）の挙動における可変性をサポートする。変化するトウィークの値が十分に単純である場合（鍵設定および更新のプロセスと比較して）、調整可能ブロック暗号（「ＴＢＣ」）を使用することは、ブロック暗号によって安全に暗号化されるデータの分量を拡充する効率的な方法となることができる。調整可能ブロック暗号（「ＴＢＣ」）を使用すると、アルゴリズムの設計および分析を単純化することができる（例えば、大量のデータを安全に処理することができるアルゴリズム）。調整可能ブロック暗号（「ＴＢＣ」）は、暗号化されようとするデータの分量が、利用可能な鍵素材(key material)と比較して、非常に大きいときに有用であると考えられ、ブロック暗号鍵を変更することは望ましくなく、更に実現可能でもない。処理すべきデータの分量が過剰に大きくない用途においてであっても、トウィーク入力は、様々な暗号の使用にわたって、または多数のユーザにわたって固定の鍵と共に調整可能ブロック暗号（「ＴＢＣ」）を使用するというような、実際の用途においても有用な特徴を付与することができる。

[007] 調整可能暗号は、調整可能暗号化方式または大型ブロック暗号と呼ばれることもあり、調整可能ブロック暗号（「ＴＢＣ」）の可変入力長（「ＶＩＬ」）設定に対する拡張である。一般に、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、長さ保存置換(length-preserving permutations)の一群であり、平文入力と同じ長さの暗号文出力を生成する。可変入力長調整可能暗号（「ＶＩＬＴＣ」）を実現する一般的な１つの手法は、基礎となるｎ−ビット・ブロック暗号から、ときには１つ以上のハッシング動作と合わせて、可変入力長調整可能暗号（「ＶＩＬＴＣ」）プリミティブを組み立てることであった。この手法にしたがって組み立てられた可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、ある重要な使用事例シナリオに対して、特に、ｎが小さいとき（例えば、６４）、または１つの鍵によって処理されるべきデータ量が非常に大きいときには、十分な安全性保証を提供できないことがある。

[008] 要約すると、詳細な説明では、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の構造および使用における新技術について紹介する。場合によっては、これらの可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、効率的な処理遂行(performance)と共に安全性強化を提供するために、暗号／復号システム外部への露出から保護された初期化ベクトルを使用する。他の場合では、関連データ付き認証付暗号化／復号を信頼性高くしかも効率的に実現するために、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する。

[009] 本明細書において説明する新技術の一態様によれば、暗号化および／または復号システムは、２つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）と可変入力長調整可能暗号（「ＶＩＬＴＣ」）とを含む。通例、２つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、１つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する２回のコールによって供給される。しかしながら、代わりに、２つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントによって２つの異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）を供給することもできる。

[010] 第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（例えば、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネント、または第１の異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントへの第１コール）は、固定長初期化ベクトルを生成するように構成されている(adapted to)。例えば、第１コールにおいて、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントは、固定長入力文字列を所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１入力として受け入れ、システムに対するトウィークおよび可変長入力文字列の組み合わせを、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１トウィークとして受け入れる。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、固定長初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成されている。第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（例えば、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネント、または第２の異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２コール）は、固定長出力文字列を生成するように構成されている。例えば、第２コールにおいて、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントは、固定長初期化ベクトルを所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２入力として受け入れ、システム・トウィークおよび可変長出力文字列の組み合わせを、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２トウィークとして受け入れる。第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、固定長初期化ベクトルを、システム外部への露出から保護する。システム・トウィークは、システムの環境的特徴に基づくことができる。

[011] 本明細書において説明する新技術の他の態様によれば、暗号化および／または復号システムは、２つのＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）と可変入力長調整可能暗号（「ＶＩＬＴＣ」）とを含む。第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（例えば、所与のＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントまたは第１の異なるＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する第１コール）は、Ｎ−キャラクタ初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、Ｎ−キャラクタ初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成されている。第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（例えば、所与のＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントまたは第２の異なるＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する第２コール）は、Ｎ−キャラクタ出力文字列を生成するように構成されている。このように、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）は、システム外部への露出からＮ−キャラクタ初期化ベクトルを保護する。

[012] 本システムは多数のバッファを含むことができる。例えば、第１バッファがＮ−キャラクタ入力文字列および可変長入力文字列を格納し、第２バッファがＮ−キャラクタ出力文字列および可変長出力文字列を格納する。Ｎ−キャラクタ入力文字列、可変長入力文字列、Ｎ−キャラクタ出力文字列、および可変長出力文字列のキャラクタは、所定の有限な１組のシンボル（例えば、数値０から９、文字ＺからＺおよび数値０から９）から選択される。また、本システムの入力は、１つ以上の鍵およびトウィーク値も含む。第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）、可変入力長調整可能暗号（「ＶＩＬＴＣ」）、および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）は、ランダムに生成された置換参照表から組み立てることができる。更に一般的には、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）、第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、特殊目的ハードウェアを使用して実装することができ、または汎用ハードウェア上で実行するソフトウェアを使用して実装することができる。

[013] 実施態様例では、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）は、Ｎ−キャラクタ入力文字列を第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、システムに対するトウィークおよび可変長入力文字列の組み合わせを第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−キャラクタ初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、Ｎ−ビット初期化ベクトルを可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、更に可変長入力文字列を可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、可変長出力文字列を生成するように構成されている。 第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）は、Ｎ−キャラクタ初期化ベクトルを第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、システムに対するトウィークおよび可変長出力文字列の組み合わせを第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−キャラクタ出力文字列を生成するように構成されている。

[014] 本明細書において説明する新技術の他の態様によれば、暗号化および／または復号システムは、２つのＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）および可変入力長調整可能暗号（「ＶＩＬＴＣ」）を含む。第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（例えば、所与のＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントまたは第１の異なるＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する第１コール）は、Ｎ−ビット初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、Ｎ−ビット初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成されている。第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（例えば、所与のＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントまたは第２の異なるＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する第２コール）は、Ｎ−ビット出力文字列を生成するように構成されている。このように、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、システム外部への露出からＮ−ビット初期化ベクトルを保護する。

[015] 本システムは多数のバッファを含むことができる。例えば、第１バッファがＮ−ビット入力文字列および可変長入力文字列を格納し、第２バッファがＮ−ビット出力文字列および可変長出力文字列を格納する。また、本システムの入力は１つ以上の鍵およびトウィーク値も含む。また、本システムは、安全性および実装効率のトレードオフを得るためにＮを調節するように構成されたコントローラも含むことができる。Ｎの値が小さい程、安全性が悪化するが、安全性制約に伴い効率的な実装が簡素化する。他方で、Ｎの値が大きい程高い安全性が得られるが、安全性制約に伴い効率的な実装が複雑化する。

[016] 実施態様例では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、Ｎ−ビット入力文字列を第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、システムに対するトウィークおよび可変長入力文字列の組み合わせを第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−ビット初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、Ｎ−ビット初期化ベクトルを可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、可変長入力文字列を可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、可変長出力文字列を生成するように構成されている。第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、Ｎ−ビット初期化ベクトルを第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、システムに対するトウィークおよび可変長出力文字列の組み合わせを第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−ビット出力文字列を生成するように構成されている。例えば、トウィークＴおよびＢビット入力Ｘ（Ｂ＞Ｎ）を仮定すると、入力Ｘの最初のＮ−ビット（Ｘ_Ｌ）は、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（例えば、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するコール）に対する入力として役割を果たし、残りの（Ｂ−Ｎ）入力−ビット（Ｘ_Ｒ）およびＴの組み合わせは、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして役割を果たす。この調整可能ブロック暗号（「ＴＢＣ」）のＮ−ビット出力は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）コールに対する初期化ベクトルとして役割を果たし、（Ｂ−Ｎ）−ビット出力（Ｙ_Ｒ）を生成する。最後に、Ｙ_ＲおよびＴの組み合わせは、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（例えば、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するコール）に対するトウィークとして役割を果たす。第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、初期化ベクトルを入力として取り込み、Ｎ−ビット出力（Ｙ_Ｌ）を生成する。Ｙ_ＬとＹ_Ｒとの連結(concatenation)が、結果的に得られる出力となる。この連結の長さは正確にＢビットであるので、処理全体は入力から出力まで長さを保存することになる。

[017] 第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、同一の構造または異なる構造(structure)を有することができる。注記したように、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、同じＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する２回のコールによって、異なる入力および出力を用いて、供給することができる。一実施態様では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）の内少なくとも１つはＬＲＷ２ ＴＢＣ構造(construction)（以下で定義する）であり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は反復ＬＲＷ２ ＴＢＣ構造（以下で定義する）である。他の実施態様では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）の内少なくとも１つはドメイン拡張ＣＬＲＷ２構造（以下で定義する）であり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は反復ＣＬＲＷ２構造（以下で定義する）である。更に一般的には、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、特殊目的ハードウェアを使用して実装することができ、または汎用ハードウェア上で実行するソフトウェアを使用して実装することができる。

[018] 本明細書において説明する新技術の他の態様によれば、暗号化システムまたは復号システムのようなシステムが、固定長入力文字列、システムに対するトウィーク、および可変長入力文字列を処理して、固定長出力文字列および可変長出力文字列を生成する。システムに対するトウィークは、環境的特徴に基づいて設定することができる。この処理の一部として、本システムは、固定長初期化ベクトルを生成し、この固定長初期化ベクトルをトウィークとして使用して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって可変長出力文字列を生成し、次いで固定長初期化ベクトルを曖昧にする。本システムは、固定長出力文字列および可変長出力文字列を出力する。

[019] 本明細書において説明する新技術の他の態様によれば、暗号化システムまたは復号システムのようなシステムが、Ｎ−キャラクタ入力文字列、システムに対するトウィーク、および可変長入力文字列を処理して、Ｎ−キャラクタ出力文字列および可変長出力文字列を生成する。この処理の一部として、本システムは、Ｎ−キャラクタ初期化ベクトルを生成し、このＮ−キャラクタ初期化ベクトルをトウィークとして使用して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって可変長出力文字列を生成し、次いでＮ−キャラクタ初期化ベクトルを曖昧にする。本システムは、Ｎ−キャラクタ出力文字列および可変長出力文字列を出力する。

[020] この処理は、例えば、（１）フォーマット保存暗号化、（２）フォーマット保存復号、または（３）何らかの他の暗号化または復号動作(activity)の一部にすることができる。暗号化では、Ｎ−キャラクタ入力文字列および可変長入力文字列は平文であり、Ｎ−キャラクタ出力文字列および可変長出力文字列は暗号文である。復号では、Ｎ−キャラクタ入力文字列および可変長入力文字列は暗号文であり、Ｎ−キャラクタ出力文字列および可変長出力文字列は平文である。

[021] 実施態様例では、Ｎ−キャラクタ初期化ベクトルは、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって生成され、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって曖昧にされて、Ｎ−キャラクタ出力文字列を生成する。Ｎ−キャラクタ初期化ベクトルは、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対する入力であるＮ−キャラクタ入力文字列に基づいて、そして第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長入力文字列の組み合わせに基づいて、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって生成される。可変長出力文字列は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークであるＮ−キャラクタ初期化ベクトルに基づいて、そして可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力である可変長入力文字列に基づいて、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって生成される。Ｎ−キャラクタ出力文字列は、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対する入力であるＮ−キャラクタ初期化ベクトルに基づいて、そして第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長出力文字列の組み合わせに基づいて、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって生成される。システム・トウィークは、環境的特徴に基づいて設定することができる。

[022] 本明細書において説明する新技術の他の態様によれば、暗号化システムまたは復号システムのようなシステムは、N−ビット入力文字列、システムに対するトウィークおよび可変長入力文字列を処理して、N−ビット出力文字列および可変長出力文字列を生成する。この処理の一部として、本システムは、N−ビット初期化ベクトルを生成し、Ｎ−ビット初期化ベクトルをトウィークとして使用して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって可変長出力文字列を生成し、次いでＮ−ビット初期化ベクトルを曖昧にする。本システムは、Ｎ−ビット出力文字列および可変長出力文字列を出力する。

[023] この処理は、例えば、（１）ディスク全体の暗号化、（２）ディスク全体の復号、（３）関連データ付き認証付暗号化、（４）関連データによる認証復号、あるいは（５）他の何らかの暗号化または復号動作の一部にすることができる。暗号化では、Ｎ−ビット入力文字列および可変長入力文字列は平文であり、Ｎ−ビット出力文字列および可変長出力は暗号文である。復号では、Ｎ−ビット入力文字列および可変長入力文字列は暗号文であり、Ｎ−ビット出力文字列および可変長出力文字列は平文である。

[024] 実施態様例では、Ｎ−ビット初期化ベクトルは、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成され、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって曖昧にされて、Ｎ−ビット出力文字列を生成する。Ｎ−ビット初期化ベクトルは、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力であるＮ−ビット入力文字列に基づいて、そして第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長入力文字列の組み合わせに基づいて、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成される。可変長出力文字列は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークであるＮ−ビット初期化ベクトルに基づいて、そして可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力である可変長入力文字列に基づいて、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって生成される。Ｎ−ビット出力文字列は、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力であるＮ−ビット初期化ベクトルに基づいて、そして第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長出力文字列の組み合わせに基づいて、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成される。システム・トウィークは、環境的特徴に基づいて設定することができる。

[025] 本明細書において説明する新技術の他の態様によれば、暗号化システムは、ヘッダおよびメッセージを受ける。この暗号化システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用してこのメッセージを処理し、関連データ付き認証付暗号化を行う。可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークは、少なくとも部分的にヘッダに基づく。暗号化システムは、ヘッダおよび暗号化メッセージ(encrypted message)を出力する。

[026] 実施態様例では、メッセージを処理するとき、暗号化システムは、ヘッダおよび再現情報(reconstruction information)を使用して修正ヘッダを決定し、メッセージおよび修正ヘッダを使用して修正メッセージを決定し、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を、この可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークである修正ヘッダと共に使用して修正メッセージを暗号化する。暗号化システムは、再現情報を出力する。

[027] 対応する復号システムは、ヘッダおよび暗号化メッセージを受ける（任意の再現情報と共に）。復号システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して暗号化メッセージを処理して、関連データによる認証復号を行う。可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークは、少なくとも部分的にヘッダに基づく。復号システムはメッセージを出力する。

[028] 実施態様例では、暗号化メッセージを処理するとき、復号システムは、ヘッダおよび再現情報を使用して修正ヘッダを決定し、修正ヘッダを可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して、暗号化メッセージを復号し、修正メッセージおよび修正ヘッダを使用してメッセージを決定する。

[029] 任意に、認証ステップのため、復号システムはメッセージが有効であるか否か確認するチェックを行う。例えば、所定数の「０」ビットが暗号化の間にメッセージに添付された場合、復号では、これらのビットの存在をチェックすることができる。このチェックが失敗した場合、復号はエラーを出力する。メッセージを通すためには多数の異なるチェックがあってもよく、出力されるエラー（１つまたは複数）は、どのチェック（の組み合わせ）が失敗したのかに応じて、異なってもよい。（これは、認証付暗号化の「認証」部分である。攻撃者が暗号化メッセージを改竄した場合、一旦復号されたなら、恐らくもはや有効ではなくなるであろう。）
[030] 可変入力長調整可能暗号（「ＶＩＬＴＣ」）を組み立てて使用する新技術は、方法の一部として、この方法を実行するように構成された計算システムの一部として、または計算システムにこの方法を実行させるコンピュータ実行可能命令を格納する有形コンピュータ読み取り可能媒体の一部として実現することができる。種々の新技術は、組み合わせてまたは別個に使用することができる。

[031] 本発明の以上のおよびその他の目的、特徴、ならびに利点は、以下の詳細な説明から一層明らかになるであろう。詳細な説明は、添付図面を参照しながら進められる。

図１は、本明細書において説明する、ある実施形態を実現することができる計算システムを一般化して示す図である。 図２は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立ておよび使用のためのアーキテクチャ例を示す図である。 図３Ａ〜図３Ｃは、初期化ベクトルの保護を伴う、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立てを一般化して示す図である。 図３Ａ〜図３Ｃは、初期化ベクトルの保護を伴う、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立てを一般化して示す図である。 図３Ａ〜図３Ｃは、初期化ベクトルの保護を伴う、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立てを一般化して示す図である。 図４は、初期化ベクトルを保護して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用するための技法を一般化して示すフローチャートである。 図５Ａ〜図５Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第１実施例を示す図である。 図５Ａ〜図５Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第１実施例を示す図である。 図５Ａ〜図５Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第１実施例を示す図である。 図６Ａ〜図６Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第２実施例を示す図である。 図６Ａ〜図６Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第２実施例を示す図である。 図６Ａ〜図６Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第２実施例を示す図である。 図７は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する、関連データ付き認証付暗号化の技法を一般化して示すフローチャートである。 図８は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する、関連データによる認証復号の技法を一般化して示すフローチャートである。 図９は、本明細書において説明する新技術の一部について理論的正当化の態様を示す擬似コード・リストである。 図１０は、本明細書において説明する新技術の一部について理論的正当化の態様を示す擬似コード・リストである。 図１１は、本明細書において説明する新技術の一部について理論的正当化の態様を示す擬似コード・リストである。

[040] 詳細な説明では、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の構造および使用における新技術を紹介する。場合によっては、これらの可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、効率的な処理遂行(performance)で安全性強化を提供するために、暗号化／復号システム外部への露出から保護された初期化ベクトルを使用する。他の場合では、関連データ付き認証付暗号化／復号を信頼性高くしかも効率的に実現するために、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する。

[041] 本明細書において説明する新技術の一態様によれば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、保護された初期化ベクトル（「ＩＶ」）を使用する。ある例では、保護された初期化ベクトル（「ＩＶ」）によって可変入力長調整可能暗号（「ＶＩＬＴＣ」）を組み立てることによって、長さを保存する調整可能暗号を構築するための簡素なモジュール型手法を提供する。この調整可能暗号は、（１）本質的に任意の長さの平文入力を取り込むことができ、（２）このタイプのプリミティブに対してできるだけ強い安全性プロパティ（強調整可能擬似ランダム置換（「ＳＴＰＲＰ」：strong, tweakable-pseudorandom permutation）であること）を達成し、（３）保護された初期化ベクトル（「ＩＶ」）による（以下「ＩＶ保護」と称する）可変入力長調整可能暗号（「ＶＩＬＴＣ」）の２^ｎ／２回の呼び出し(invocation)という「誕生日限界」(birthday-bound)をはるかに超えて、初期化ベクトル（「ＩＶ」）・強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）を強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）−安全にするために、ｎ−ビット・プリミティブによって実現することができる（誕生日限界という用語は、攻撃に対抗する安全性のレベルを意味する。誕生日限界の安全性を有する可変入力長調整可能暗号（「ＶＩＬＴＣ」）構造では、２^ｎ／２ビットが暗号化された(enciphered)時間によって安全性保証が劇的に弱化される。誕生日限界を超えた(beyond-birthday-bound)安全性を有する可変入力長調整可能暗号（「ＶＩＬＴＣ」）構造は、２^ｎ／２個のビットが暗号化された後も長く安全なままであり続けることができる）。ある効率の尺度によって、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）の誕生日を超えて安全なインスタンス化(beyond-birthday secure instantiation)は、誕生日限界までしか安全でない既存の構造に負けない。

[042] 初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）には多くの暗号関連用途がある。具体的には、大規模な保存データのシナリオでは、１つの鍵によって保護されるべきデータ量が、通例、鍵を容易に再交渉することができるシナリオにおけるよりも多く、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）は適したレベルの安全性を効率的に提供することができる。例えば、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、完全ディスク暗号化（「ＦＤＥ」：full-disk encryption）および復号、フォーマット保存暗号化（「ＦＰＥ」）および復号、または関連データ付き認証付暗号化（「ＡＥＡＤ」）および復号に使用することができる。あるいは、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、他の暗号化／復号の用途にも使用することができる。

[043] 本明細書において説明する新技術の他の態様によれば、調整可能暗号が関連データ付き認証付暗号化（「ＡＥＡＤ」）および対応する復号に使用される。関連データ付き認証付暗号化（「ＡＥＡＤ」）に使用される可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、保護された初期化ベクトル（「ＩＶ」）構造または何らかの他の可変入力長調整可能暗号（「ＶＩＬＴＣ」）構造を使用してインスタンス化することができる。調整可能暗号を関連データ付き認証付暗号化（「ＡＥＡＤ」）に使用することにより、多くの利点を得ることができる。例えば、調整可能暗号を関連データ付き認証付暗号化（「ＡＥＡＤ」）に使用することにより、多数のタイプの復号エラーの報告を安全に扱うのに役立てることができる。更に、平文または関連するデータ入力のいずれかに現れる既存のノンス（nonces）、ランダム性、または冗長性の内任意のものを利用することによって、暗号文の膨張(expansion)を排除することができる。初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）を（そのパラメータをしかるべく設定して）使用することにより、誕生日限界を超えた安全性を有する関連データ付き認証付暗号化（「ＡＥＡＤ」）方式が可能になる。

[044] 本明細書において説明した例には、種々の代替物が可能である。開示した技術の種々の態様は、組み合わせてまたは別個に使用することができる。異なる実施形態は、説明した新技術の内１つ以上を使用する。本明細書において説明する新技術の一部は、背景において注記した問題の内１つ以上に取り組む。通例、所与の技法／ツールはこのような問題の全てを解決するのではない。

Ｉ．計算システム例
[045] 図１は、説明する新技術の内いくつかを実現することができる、適した計算システム（１００）を一般化した例を示す。計算システム（１００）は、使用範囲や機能に関して何ら限定を示唆することを意図するのではない。何故なら、本願の新技術は多様な汎用または特殊目的計算システムにおいて実現できるからである。

[046] 図１を参照すると、計算システム（１００）は、１つ以上の処理ユニット（１１０、１１５）およびメモリ（１２０、１２５）を含む。処理ユニット（１１０、１１５）は、コンピュータ実行可能命令を実行する。処理ユニットは、汎用中央処理ユニット（「ＣＰＵ」）、特定用途集積回路（「ＡＳＩＣ」）におけるプロセッサ、または任意の他のタイプのプロセッサとすることができる。多重処理システムでは、処理パワーを増大するために、多数の処理ユニットがコンピュータ実行可能命令を実行する。例えば、図１は、中央処理ユニット（１１０）、およびグラフィクス処理ユニットまたは補助処理ユニット（１１５）も示す。有形メモリ（１２０、１２５）は、揮発性メモリ（例えば、レジスタ、キャッシュ、ＲＡＭ）、不揮発性メモリ（例えば、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュ・メモリ等）、または処理ユニット（１つまたは複数）によってアクセス可能な、これら２つの何らかの組み合わせであってもよい。メモリ（１２０、１２５）は、処理ユニット（１つまたは複数）による実行に適したコンピュータ実行可能命令の形態で、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を組み立てるまたは使用するための１つ以上の新技術を実現するソフトウェア（１８０）を格納する。

[047] 計算システムは、追加の機構を有することもできる。例えば、計算システム（１００）は、ストレージ（１４０）、１つ以上の入力デバイス（１５０）、１つ以上の出力デバイス（１６０）、および１つ以上の通信接続（１７０）を含む。バス、コントローラ、またはネットワークのような相互接続メカニズム（図示せず）が、計算システム（１００）のコンポーネントを相互接続する。通例、オペレーティング・システム・ソフトウェア（図示せず）が、計算システム（１００）において実行する他のソフトウェアのために動作環境を提供し、計算システム（１００）のコンポーネントの動作(activity)を調整する。

[048] 有形ストレージ（１４０）（コンピュータ読み取り可能ストレージとも呼ぶ）は、リムーバブルまたは非リムーバブルでもよく、磁気ディスク、磁気テープまたはカセット、ＣＤ−ＲＯＭ、ＤＶＤ、または情報を格納するために使用することができ更に計算システム（１００）内においてアクセスすることができる任意の他の媒体を含む。ストレージ（１４０）は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を組み立てるまたは使用するための１つ以上の新技術を実現するソフトウェア（１８０）の命令を格納する。

[049] 入力デバイス（１つまたは複数）（１５０）は、キーボード、マウス、ペンまたはトラックボール、音声入力デバイス、ジェスチャ入力を受けるためのタッチスクリーン、スキャン・デバイス、あるいは計算システム（１１０）に入力を供給するその他のデバイスというようなタッチ入力デバイスであってもよい。出力デバイス（１つまたは複数）（１６０）は、ディスプレイ（例えば、タッチスクリーン）、プリンタ、スピーカ、ＣＤ−ライタ、または計算システム（１００）からの出力を供給する他のデバイスであってもよい。

[050] 通信接続（１つまたは複数）（１７０）は、通信媒体を通じての他の計算エンティティへの通信を可能にする。通信媒体は、コンピュータ実行可能命令のような情報、オーディオまたはビデオ入力または出力、あるいは変調データ信号における他のデータを伝達する。変調データ信号とは、この信号内に情報をエンコードするようなやり方で、その特性の内１つ以上が設定されたまたは変化させられた信号である。一例として、そして限定ではなく、通信媒体は電気、光、ＲＦ、または他のキャリアを使用することができる。

[051] 本願の新技術については、コンピュータ読み取り可能媒体という一般的なコンテキストで説明することができる。コンピュータ読み取り可能媒体は、計算環境内においてアクセスすることができる、任意の入手可能な有形媒体である。一例として、そして限定ではなく、計算システム（１００）では、コンピュータ読み取り可能媒体はメモリ（１２０、１２５）、ストレージ（１４０）、および以上の内任意のものの組み合わせを含む。

[052] 本願の新技術については、計算システムにおいて目標の実プロセッサまたは仮想プロセッサ上で実行されるプログラム・モジュール（コンピュータ・プログラム製品とも呼ぶ）に含まれるような、コンピュータ実行可能命令（マシン読み取り可能命令とも呼ぶ）という一般的なコンテキストで説明することができる。一般に、プログラム・モジュールは、ルーチン、プログラム、ライブラリ、オブジェクト、クラス、コンポーネント、データ構造等を含み、特定のタスクを実行するか、または特定の抽象データ型を実装する。プログラム・モジュールの機能は、種々の実施形態において望まれる通りに組み合わされてもよく、またはプログラム・モジュール間で分割されてもよい。プログラム・モジュールのコンピュータ実行可能命令は、ローカルまたは分散型計算システム内において実行されてもよい。

[053] 「システム」および「デバイス」という用語は、本明細書では相互交換可能に使用される。コンテキストが明らかに別のことを示さなければ、いずれの用語も計算システムや計算デバイスのタイプについて何の限定も暗示しない。一般に、計算システムまたは計算デバイスは、ローカルまたは分散型であることができ、特殊目的ハードウェアおよび／または汎用ハードウェアの任意の組み合わせを含むことができ、本明細書において説明する機能をソフトウェアが実現する。

[054] また、開示する方法は、開示する方法の内任意のものを実行するように構成された特殊計算ハードウェアを使用して実現することもできる。例えば、開示する方法は、開示する方法の内任意のものを実現するように特別に設計または構成された集積回路によって実現することができる（例えば、ＡＳＩＣディジタル信号処理ユニットのようなＡＳＩＣ、グラフィクス処理ユニット、またはフィールド・プログラマブル・ゲート・アレイのようなプログラマブル・ロジック・デバイス）。

[055] 提示の目的上、詳細な説明では、計算システムにおけるコンピュータ動作を説明するために、「判定する」、「供給する」、および「使用する」というような用語を使用する。これらの用語は、コンピュータによって実行される動作に対する上位抽象化であり、人間によって行われる行為と混同されるべきでない。これらの用語に対応する実際のコンピュータ動作は、実施態様に応じて様々に変化する。

ＩＩ．可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立てまたは使用のためのアーキテクチャ例
[056] 図２は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立ておよび使用のためのアーキテクチャ例（２００）を示す。具体的には、このアーキテクチャは可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する暗号化／復号サービス（２２２）を含む。

[057] 図２において、アプリケーション（２１０、２１２）は、オペレーティング・システム（２２０）と相互作用するソフトウェアを表す。アプリケーション（２１０、２１２）は、データベース・トランザクション処理または分析アプリケーション、ウェブ・ブラウザ、ワード・プロセッサまたはその他の生産性ソフトウェア（ファイル探索機能付き）、メッセージ・サービスあるいは暗号化または復号を使用する任意の他のタイプのアプリケーションを含むことができる。図２は２つのアプリケーションを示すが、アーキテクチャ（２００）はそれよりも多いまたは少ないアプリケーションを含むことができる。

[058] アプリケーション（２１０、２１２）は、暗号化／復号サービス（２２２）を使用するために、オペレーティング・システム（２２０）と相互作用する。アプリケーション（２１０、２１２）またはオペレーティング・システム（２２０）の内１つによって要求されると、暗号化／復号サービス（２２２）は、ディスク・ストレージ（２３０）または主メモリ（２４０）に格納されているデータ（例えば、データベース用）を暗号化することができる。逆に、暗号化／復号サービス（２２２）は、アプリケーション（２１０、２１２）またはオペレーティング・システム（２２０）の内１つによって要求されたデータを復号することができる。例えば、完全ディスク暗号化（「ＦＤＥ」）では、暗号化／復号サービス（２２２）は、透過的に、ディスク・ストレージ（２３０）に格納されているデータを暗号化し、ディスク・ストレージ（２３０）から戻されたデータを復号する。また、フォーマット保存暗号化（「ＦＰＥ」）では、暗号化／復号サービス（２２２）は、暗号化されないデータと同じフォーマットを有するように、ディスク・ストレージ（２３０）または主メモリ（２４０）に格納されているデータを暗号化する。例えば、クレジット・カード番号のようなデータは、暗号化された値もクレジット・カード番号としてフォーマットされたままとなるように暗号化される。他の例として、関連データ付き認証付暗号化（「ＡＥＡＤ」）では、暗号化／復号サービス（２２２）は、アプリケーション（２１０、２１２）の内１つに対するヘッダを有するメッセージを暗号化し、アプリケーション（２１０、２１２）の１つのために暗号化メッセージを復号する。

ＩＩＩ．表記法および原理
[059] この章では、詳細な説明の残りの部分において使用される表記法について説明する。また、本明細書において説明する暗号化／復号システムのある種の態様について、動作原理も説明する。

[060] 一般に、

は、負でない整数の集合を表す。

（集合

のメンバである数ｎ）について、｛０，１｝^ｎは、全てのｎ−ビット二進文字列の集合を示し、｛０，１｝^＊は、全ての（有限）二進文字列の集合を示す。記号εは空文字列を示す。

[061] 文字列ｓおよびｔは有限二進文字列（即ち、ｓ、ｔ∈｛０，１｝^＊）であると仮定する。値|ｓ|は、ビットを単位としたｓの長さである。値

であり、ここで、ｓ||ｔは、文字列ｓおよびｔを連結することによって形成される文字列を示す。ｓ∈｛０，１｝^ｎｍの場合、ある

について、式

は、各ｓ_ｉが、長さ｜ｓ_ｉ｜＝ｎ、ｓ＝ｓ_１，ｓ_２，．．．ｓ_ｍとなるように定義されることを意味する。コンテキストからｎが暗黙的である場合、この表記から省略されてもよい。ｓ＝ｂ_１，ｂ_２，．．．ｂ_ｎがｎ−ビット文字列（各ｂ_ｉ∈｛０，１｝）である場合、文字列sの一部は以下のように表される。

[062] 文字列

は、文字列ｓおよびｔのビット毎の排他的論理和（「ＸＯＲ」）である。例えば、｜ｓ｜＜｜ｔ｜の場合、

はｓおよび

のビット毎のＸＯＲである。
[063] ｎ≦ｍｉｎ（Ｒ）として、

および

と仮定すると、文字列

が得られ、記号の濫用により、

となる。有限集合

を仮定すると、式

は、ランダム変数Ｘが

からランダムに均一にサンプリングされることを意味する。全域にわたり、区別される記号⊥は、｛⊥｝を除いていずれの集合の一部でもないと仮定する。ある範囲内にあることが分かっている整数ｎを仮定すると、＜ｎ＞は、ｎのある固定長（例えば、６４ビット）のエンコード処理(encoding)を示す。例えば、＜０＞は値０の６４−ビット・エンコード処理を示すことができる。

[064] 関数

その第１引数を添え字付き鍵として書くと、

の全ての別個の値について確率が、

（ここで、確率は、

を超える）である場合、関数Ｈは∈−殆ど不偏的(∈-almost universal)（∈−ＡＵ））となる。同様に、全ての別個のＸ，

および

について確率が、

である場合、 関数Ｈは∈−殆ど２−ＸＯＲ不偏的(∈-almost 2-XOR universal)となる。
[065] アドバーサリー(adversary)とは、０個以上のオラクル(oracle)を入力として取り込むアルゴリズムのことである。アドバーサリーは、何らかの出力を戻す前に、ブラックボックス的に質問する。アドバーサリーはランダムであってもよい。表記Ａ^ｆ⇒ｂは、アドバーサリーＡが、オラクルｆをその入力として実行した後に、ｂを出力するというイベントを示す。

[066] ときには、アドバーサリーが相互作用することができるオラクルの擬似コード記述、およびこのような相互作用を設定するまたそうでなければ関係付ける手順を与えると便利である。これらの記述をゲームと呼ぶ。ゲームは、１組の手順を含み、アドバーサリーＡを入力として取り込む特殊な「主」手順を含む。

は、ゲームＧの主手順が、アドバーサリーＡが入力として与えられたときにｙを出力する確率である。主手順が明示的に与えられない場合、Ｍａｉｎ（Ａ）は単にＡを実行し、（コンテキストから明確になるある順序で）残りの手順をオラクルとしてそれに供給し、次いでＡの出力を戻す。
[067]

は、非空集合であり、そして文字列

である。調整可能暗号は、マッピング

であり、全ての

について、調整可能暗号

は

上の置換であるというプロパティを有する。鍵は、通例、添え字として示されるので、

となる。調整可能暗号

は、反転可能であり、

で示される。

は、鍵空間を示し、

はトウィーク空間を示し、

はメッセージ空間を示す。調整可能暗号

は、全ての

について、

である場合、長さを保存する。調整可能暗号のトウィークまたはメッセージ空間を制限すると他のオブジェクトが生ずる。あるｎ＞０についてメッセージ空間

であるとき、

はブロック・サイズがｎの調整可能ブロック暗号（「ＴＢＣ」）である。更に一般化すると、ｎーキャラクタ

は、メッセージ空間

にわたる置換の一群であり、調整可能ブロック暗号（「ＴＢＣ」）における各置換は、鍵およびトウィークに関連付けられる。

のとき、トウィークは暗示的であり、暗号

を与える。ここでＥ_Ｋ（・）は、

上の（長さ保存）置換であり、Ｅ_Ｋ ^−１はその逆である。最後に、メッセージ空間

および

のとき、従来のブロック暗号は、

となる。
[068] 値Ｎ（大文字）は、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）またはＮキャラクタ調整可能ブロック暗号（「ＴＢＣ」）について入力文字列の長さ、または可変入力長調整可能暗号（「ＶＩＬＴＣ」）について初期化ベクトル（「ＩＶ」）の長さを示す。Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、ｎ−ビット・ブロック暗号から組み立てることができ、ここでｎ（小文字）はブロック暗号のブロック・サイズを示す。ある例では、Ｎ＝ｎとなる。他の例では、Ｎ＝２ｎとなる。

[069]

は、

上における全ての置換の集合を示す。

は、鍵空間

およびメッセージ空間

を有する全ての暗号の集合である。

が集合であるとき、

は、全ての関数

の集合である。調整可能暗号は次の通りである

調整可能擬似ランダム置換（「ＴＰＲＰ」）および強いＴＰＲＰ（強調整可能擬似ランダム置換（「ＳＴＰＲＰ」））の利点尺度(advantage measure)は、次のようになる。

ここで、各場合において、アドバーサリーＡは、指示された数のオラクルを取り込む。調整可能擬似ランダム置換（「ＴＰＲＰ」）および強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）実験双方に対して、アドバーサリーＡは決してオラクルに対する質問を繰り返さない。また、強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）利点尺度について、これは、アドバーサリーＡがその最も左側のオラクルに（Ｔ，Ｘ）を質問し、見返りにＹを受けた場合、アドバーサリーＡは決してその最も右のオラクルに（Ｔ，Ｙ）を質問しないこと、そしてその逆も意味する。

[070] 関連尺度、ＳＲＮＤ利点は、次のように定義される。

ここで、

オラクルは、全てのＴおよびＸに対して、その第２入力｜＄（Ｔ，Ｘ）｜＝｜Ｘ｜と長さが等しいランダム文字列を出力する。以上の３つの利点に対するアドバーサリーは、それらのオラクル・質問（Ｔ_１，Ｘ_１）、．．．（Ｔ_ｑ，Ｘ_ｑ）のトランスクリプト(transcript)が任意のｉ≠ｊに対してＴ_ｉ＝Ｔ_ｊを含まない場合、ノンス制約付き(nonce-respecting)である。

[071] 暗号

について、擬似ランダム置換（「ＰＲＰ」）および強擬似ランダム置換（「ＳＰＲＰ」）の利点尺度は、次のように定義される。

ここで、各場合において、アドバーサリーＡは、示された数のオラクルを取り込む。
[072] ３つのアドバーサリー・リソース(adversarial resource)を追跡する。時間複雑性ｔ、オラクルの質問数ｑ、およびこれらの質問の全長μとする。アドバーサリーＡの時間複雑性は、その包絡確率実験（鍵のサンプリング、オラクルの計算等を含む）の複雑性を含むと定義され、パラメータｔは、利点尺度において双方の実験に要した、アドバーサリーＡの最大時間複雑性であると定義される。

ＩＶ．初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）の一般化された構造および使用
[073] 図３ａから図３ｃは、初期化ベクトルが保護された可変入力長調整可能暗号（「ＶＩＬＴＣ」）の構造（３００、３０１、３０２）を一般化して示す。一般化された構造（３００、３０１、３０２）は、暗号化に使用することができ、平文の固定長入力文字列Ｘ_Ｌおよび可変長入力文字列Ｘ_Ｒが、暗号文の固定長出力文字列Ｙ_Ｌおよび可変長出力文字列Ｙ_Ｒに変換される。また、一般化された構造（３００、３０１、３０２）は、復号にも使用することができ、暗号文の固定長入力文字列Ｙ_Ｌおよび可変長入力文字列Ｙ_Ｒが、平文の固定長出力文字列Ｘ_Ｌおよび可変長出力文字列Ｘ_Ｒに変換される。

[074] 図３ａの構造（３００）では、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ）が、固定長初期化ベクトル（３２８ａ）をシステム外部への露出から保護する。バッファ（３１０）が、固定長入力文字列（３１１ａ）および可変長入力文字列（３１２）を格納する。第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）は、固定長初期化ベクトル（３２８ａ）を生成するように構成されている。例えば、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）は、固定長入力文字列（３１１ａ）が入力される毎にこれを使用して固定長初期化ベクトル（３２８ａ）を生成し、更にシステムに対するトウィーク（３１８）および可変長入力文字列（３１２）の組み合わせ（例えば、連結(concatenation)または他の調節）をそのトウィークとして生成するように構成されている。図３ａでは、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）（および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ））の網掛け部分(filled-in portion)は、トウィーク入力を表す。トウィーク（３１８）の値は、システムの環境的特徴（例えば、完全ディスク暗号化（「ＦＤＥ」）では論理ハード・ディスク・セクタＩＤ、メモリ・アドレス、フォーマット保存暗号化（「ＦＰＥ」）ではクレジット・カード番号の下４桁）に基づくことができる。

[075] 図３ａでは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、固定長初期化ベクトル（３２８ａ）をトウィークとして使用して、可変長出力文字列（３５２）を生成するように構成されている。例えば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、固定長初期化ベクトル（３２８ａ）をそのトウィークとして使用し、可変長入力文字列（３１２）をその入力として使用し、可変長出力文字列（３５２）を生成するように構成されている。

[076] 図３ａでは、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ）は、固定長出力文字列（３５１ａ）を生成するように構成されている。例えば、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ）は、固定長初期化ベクトル（３２８ａ）をその入力として使用し、トウィーク（３１８）および可変長出力文字列（３５２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、固定長出力文字列（３５１ａ）を生成するように構成されている。通例、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ）は、トウィーク（３１８）に対して同じ値を使用する。他のバッファ（３５０）が、固定長出力文字列（３５１ａ）および可変長出力文字列（３５２）を格納する。

[077] 図３ｂは、フォーマット保存暗号化および復号に適応する構成とした構造（３００）の変種を示す。図３ｂの構造（３０１）では、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）が、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）をシステム外部への露出から保護する。バッファ（３１０）が、Ｎ−キャラクタ入力文字列（３１１ｂ）および可変長入力文字列（３１２）を格納する。第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）は、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）を生成するように構成されている。例えば、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）は、Ｎ−キャラクタ入力文字列（３１１ｂ）をその入力として使用し、システムに対するトウィーク（３１８）および可変長入力文字列（３１２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）を生成するように構成されている。トウィーク（３１８）の値は、システムの環境的特徴（例えば、フォーマット保存暗号化（「ＦＰＥ」）では、クレジット・カード番号の下４桁）に基づくことができる。

[078] 図３ｂでは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）をトウィークとして使用して、可変長出力文字列（３５２）を生成するように構成されている。例えば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）をそのトウィークとして使用し、可変長入力文字列（３１２）をその入力として使用して、可変長出力文字列（３５２）を生成するように構成されている。

[079] 図３ｂでは、第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）は、Ｎ−キャラクタ出力文字列（３５１ｂ）を生成するように構成されている。例えば、第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）は、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）をその入力として使用し、トウィーク（３１８）および可変長出力文字列（３５２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、Ｎ−キャラクタ出力文字列（３５１ｂ）を生成するように構成されている。通例、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）は、システムに対するトウィーク（３１８）に同じ値を使用する。他のバッファ（３５０）が、Ｎ−キャラクタ出力文字列（３５１ｂ）および可変長出力文字列（３５２）を格納する。

[080] Ｎ−キャラクタ入力文字列（３１１ｂ）、可変長入力文字列（３１２）、Ｎ−キャラクタ出力文字列（３５１ｂ）、および可変長出力文字列（３５２）のキャラクタ は、所定の有限な１組の記号（例えば、数値０．．．９、文字Ａ．．．Ｚおよび数値０．．．９）から選択される。Ｎ−キャラクタ入力文字列（３１１ｂ）、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）、およびＮ−キャラクタ出力文字列（３５１ｂ）のＮの数値例は、Ｎ＝１またはＮ＝２である。更に一般的には、Ｎは任意の正の整数とすることができる。

[081] 一般化された構造（３０１）は、種々の方法で実現することができる。例えば、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）、および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）は、ランダム生成置換参照表から組み立てることができる。一般に、調整可能ブロック暗号（「ＴＢＣ」）における各置換にはトウィークおよび鍵が関連付けられることを思い出すこと。トウィークおよび鍵は、調整可能ブロック暗号（「ＴＢＣ」）への入力として、調整可能ブロック暗号（「ＴＢＣ」）に対する特定の置換を指定する。ある実施態様では（例えば、規制圧力が強いクレジット・カード支払い業界におけるフォーマット保存暗号化（「ＦＰＥ」）の応用）、ユーザは明示的な鍵を避ける方を好む場合がある。このような場合、トウィークが、ランダム生成置換参照表の一群から選択するために使用される。

[082] 更に一般的には、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）、第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、特殊目的ハードウェアを使用して実現することができ、または汎用ハードウェア上で実行するソフトウェアを使用して実現することができる。通例、２つのＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ、３４０ｂ）は、前述のように、１つのＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する、異なる入力および出力を用いた、２回のコールによって供給される。代わりに、しかしながら、Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ、３４０ｂ）に２つの異なるＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントを供給することもできる。

[083] 図３ｃは、完全ディスク暗号化および復号に適応する構成とした構造（３００）の変種を示す。図３ｃの構造（３０２）では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）が、Ｎ−ビット初期化ベクトル（３２８ｃ）をシステム外部への露出から保護する。バッファ（３１０）が、Ｎ−ビット入力文字列（３１１ｃ）および可変長入力文字列（３１２）を格納する。Ｎの数値例は、１２８および２５６ビットである。可変長入力文字列（３１２）の長さの値の例は、４０９６バイトおよび８１９２バイトである。

[084] 図３ｃでは、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）は、Ｎ−ビット初期化ベクトル（３２８ｃ）を生成するように構成されている。例えば、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）は、Ｎ−ビット入力文字列（３１１ｃ）をその入力として使用し、システムに対するトウィーク（３１８）および可変長入力文字列（３１２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、Ｎ−ビット初期化ベクトル（３２８ｃ）を生成するように構成されている。トウィーク（３１８）の値は、システムの環境的特徴（例えば、完全ディスク暗号化（「ＦＤＥ」）では、論理的ハード・ディスク・セクタＩＤ）に基づくことができる。

[085] 図３ｃでは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、Ｎ−ビット初期化ベクトル（３２８ｃ）をトウィークとして使用して、可変長出力文字列（３５２）を生成するように構成されている。例えば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、Ｎ−ビット初期化ベクトル（３２８ｃ）をそのトウィークとして使用し、可変長入力文字列（３１２）をその入力として使用して、可変長出力文字列（３５２）を生成するように構成されている。

[086] 図３ｃでは、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、Ｎ−ビット出力文字列（３５１ｃ）を生成するように構成されている。例えば、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、Ｎ−ビット初期化ベクトル（３２８ｃ）をその入力として使用し、トウィーク（３１８）および可変長出力文字列（３５２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、Ｎ−ビット出力文字列（３５１ｃ）を生成するように構成されている。通例、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、システムに対するトウィーク（３１８）に同じ値を使用する。他のバッファ（３５０）が、Ｎ−ビット出力文字列（３５１ｃ）および可変長出力文字列（３５２）を格納する。

[087] 一般化された構造（３０２）は、以下で詳述するように、多くの方法で実現することができる。第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、同じ構造を有する。あるいは、これらは異なる構造を有する。

[088] 例えば、一実施態様では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）および／または第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、ＬＲＷ２ ＴＢＣ構造（以下で詳述する。章Ｖ．Ａ．を参照のこと）であり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、反復ＬＲＷ２ ＴＢＣ構造である。以下で更に詳述するが、ＬＲＷ２ ＴＢＣ構造は、（１）（ａ）ｎ−ビットＬＲＷ２入力文字列と（ｂ）トウィーク入力のｎ−ビット・ハッシュとの間のＸＯＲの暗号化バージョンと、（２）トウィーク入力のｎ−ビット・ハッシュとの間のＸＯＲを計算することによって、ｎ−ビットＬＲＷ２出力文字列を生成するように構成されている。他の例として、他の実施態様では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）および／または第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、ドメイン拡張ＣＬＲＷ２構造（以下で定義する。章Ｖ．Ａ．を参照のこと）であり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は反復ＣＬＲＷ２構造である。

[089] 構造（３０２）は、安全性と実装効率とのトレードオフを得るためにＮ（固定長入力文字列および固定長出力文字列のビット数）を調節するように構成されたコントローラ（図示せず）も含むことができる。Ｎの値が小さい程（例えば、１２８）、安全性が悪化するが、安全性制約に伴い効率的な実装が簡素化する。他方で、Ｎの値が大きい程（例えば、２５６）高い安全性が得られるが、安全性制約に伴い効率的な実装が複雑化する。

[090] 一般に、Ｎは任意の正の整数とすることができる。保護された初期化ベクトル（「ＩＶ」）の構造の固定入力長（「ＦＩＬ」）および可変入力長（「ＶＩＬ」）コンポーネントが基礎の１２８−ビット・ブロック暗号（例えば、ＡＥＳ）から組み立てられるとき、Ｎ＝１２８およびＮ＝２５６という数値が相応しい。ＰＩＶ構造が、他のサイズのブロック暗号（ブロック・サイズが６４ビットのＤＥＳのような）を使用して実現される場合、Ｎには他の値が適していることもある（例えば、６４または１２８ビット）。

[091] 第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、特殊目的ハードウェアを使用して実装することができる。また、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、汎用ハードウェア上で実行するソフトウェアを使用して実装することもできる。通例、２つのＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ、３４０ｃ）は、前述のように、１つのＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する２回のコールによって、異なる入力および出力を用いて、供給される。代わりに、しかしながら、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ、３４０ｃ）に２つの異なるＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントを供給することもできる。

[092] 構造（３０２）は、一種の３ラウンド、不均衡ファイステル・ネットワーク(three-round, unbalanced Feistel network)として解釈することができ、入力の左部が固定ビット長Ｎであり、右部が可変長を有する。１回目および３回目のラウンド関数が、Ｎ−ビット

（３２０ｃ、３４０ｃ）となる。実施態様例では、ビット長Ｎは、この構造の調整可能な（tunable)パラメータであり、Ｎ＝１２８またはＮ−２５６というような値を有することができる。可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、中間ラウンド関数

を提供し、そのトウィークは、最初のラウンドの出力、即ち、初期化ベクトルＩＶ（３２８ｃ）となる。
[093] 初期化ベクトル（「ＩＶ」）が保護されない従来の

と比較すると、初期化ベクトル（「ＩＶ」）が保護される可変入力長調整可能暗号（「ＶＩＬＴＣ」）

における可変入力長調整可能暗号（「ＶＩＬＴＣ」）モジュール

は、安全性要件を低く抑えることができる。

に対する目標安全性プロパティは、強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全(STPRP-secure)であるということである。非公式には、強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全であるとは、攻撃者も全ての入力にわたって完全な制御を有する、選択暗号文攻撃に耐えることを意味する。攻撃者は、例えば、トウィークを任意の回数繰り返すことができる。章ＶＩＩにおいて詳述するが、

が、Ｎ−ビット文字列のドメインにわたって強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全であり、調整可能暗号

が、トウィークを決して繰り返さない攻撃に対して安全である場合、

は強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全となる。定性的に、初期化ベクトル（「ＩＶ」）保護構造は、制限された種類の攻撃者に対する安全性を、任意の選択暗号文攻撃に対する安全性に高める（大きなドメインにわたって）。定量的に、

に対する安全性限界(security bound)は、加算項ｑ^２／２^Ｎを有し、ｑは、

が質問される回数である。Ｎは、ある基礎のブロック暗号のブロック・サイズｎとすることができる。この場合、

は、既存の構造によって得られるものに比肩し得る限界(bound)を達成する。Ｎ＝２ｎの場合、ｎ−ビット・プリミティブを使用して

および

をインスタンス化することができ、なおも

は、２^ｎ／２回の質問という誕生日超え(beyond-birthday)を遙かに超える安全性を有する調整可能暗号を提供する。
[094] 公式的には、実施形態例では、

は、以下に基づいて組み立てられる。 あるｔ≧０について、トウィーク空間

とする。

である場合、

となるように、

とする。

Ｎ＞０の整数について、

および

これらから、

ここで、

[095]

のＰＩＶ組成(composition)は、３ラウンド・ファイステル構造であり、以下のように動作する。入力（Ｔ、Ｘ）上において、平文入力文字列Ｘ＝Ｘ_Ｌ||Ｘ_Ｒ、ここで固定長部の長さは｜Ｘ_Ｌ｜＝Ｎである。第１

は、鍵Ｋ’を使用して、初期化ベクトル

に対してＮ−ビット文字列を作成する。次に、

はこの初期化ベクトル（「ＩＶ」）を使用して、鍵Ｋを用いて可変長入力文字列Ｘ_Ｒを暗号化し、可変長出力文字列

を作成する。第２

は、Ｎ−ビット出力文字列

を作成する。暗号文出力文字列Ｙ_Ｌ||Ｙ_Ｒは、

の値として戻される。
[096] 逆に、反転構造(inverse construction)

は、次のように動作する。入力（Ｔ，Ｙ）上において、暗号文入力文字列はＹ＝Ｙ_Ｌ||Ｙ_Ｒであり、ここで固定長部の長さは｜Ｙ_Ｌ｜＝Ｎである。第１

は、鍵Ｋ’を使用して、初期化ベクトル

に対してＮ−ビット文字列を作成する。次に、

はこの初期化ベクトル（「ＩＶ」）を使用して、鍵Ｋを用いて可変長入力文字列Ｙ_Ｒを復号し、可変長出力文字列

を作成する。第２

は、Ｎ−ビット出力文字列

を作成する。平文出力文字列Ｘ_Ｌ||Ｘ_Ｒは、

の値として戻される。
[097] 図３ｃでは、構造は３つのラウンドを含む。あるいは、構造はもっと多くのラウンド（例えば、５ラウンドまたは７ラウンド）を含むことができ、Ｎ−ビット

がこの構造を開始および終了し、多数の

コンポーネントがＮ−ビット

の間で交互に現れる。
[098] 図４は、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用するための技法（４００）を一般化して示す。暗号化システムまたは復号システムは、技法（４００）を実行する。

[099] 本システムは、固定長入力文字列（例えば、Ｎ−ビット入力文字列、Ｎ−キャラクタ入力文字列）、および可変長入力文字列を受ける（４１０）。暗号化では（例えば、完全ディスク暗号化（「ＦＤＥ」）、フォーマット保存暗号化（「ＦＰＥ」）、関連データ付き認証付暗号化（「ＡＥＡＤ」）、または他の暗号化のシナリオの間）、固定長入力文字列および可変長入力文字列は平文である。対応する復号では、固定長入力文字列および可変長入力文字列は暗号文である。

[0100] 本システムは、固定長初期化ベクトル（例えば、Ｎ−ビット初期化ベクトル、Ｎ−キャラクタ初期化ベクトル）を生成する（４２０）。例えば、固定長初期化ベクトルは、固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対する入力である固定長入力文字列に基づき、更に固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長入力文字列の組み合わせに基づいて、固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって生成される。固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、例えば、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）またはＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）とすることができる。固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対して、本システムは、システムの環境的特徴（例えば、ディスク・セクタ、メモリ・アドレス）に基づいてトウィークの値を設定するか、または何らかの他の方法でトウィークの値を設定することができる。あるいは、固定長初期化ベクトルは、何らかの他の方法で生成される。

[0101] また、本システムは、固定長初期化ベクトルをトウィークとして使用する可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって、可変長出力文字列を生成する（４３０）。例えば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、固定長初期化ベクトル（可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして）および可変長入力文字列（可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として）に基づいて、可変長出力文字列を生成する。あるいは、可変長出力文字列は、何らかの他の方法で生成される。

[0102] 本システムは、固定長初期化ベクトルを曖昧にする（４４０）。例えば、固定長初期化ベクトルは、固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって曖昧にされ、固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対する入力である固定長初期化ベクトル、および固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対するトウィークである、システム・トウィークおよび可変長出力文字列の組み合わせに基づいて、固定長出力ストリング（例えば、Ｎ−ビット出力文字列、Ｎ−キャラクタ出力文字列）を生成する。固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、例えば、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）またはＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）とすることができる。あるいは、固定長初期化ベクトルは、何らかの他の方法で曖昧にされる。

[0103] 最後に、本システムは、固定長出力文字列および可変長出力文字列を出力する（４５０）。暗号化では（例えば、完全ディスク暗号化（「ＦＤＥ」）、フォーマット保存暗号化（「ＦＰＥ」）、関連データ付き認証付暗号化（「ＡＥＡＤ」）、または他の暗号化のシナリオの間）、固定長出力文字列および可変長出力文字列は暗号文である。対応する復号では、固定長出力文字列および可変長出力文字列は平文である。

Ｖ．初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）の実施態様例
[0104] 初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する一般的なフレームワーク内において、固定入力長（「ＦＩＬ」）部

および可変入力長（「ＶＩＬ」）部

を独立して組み立てることができる。このモジュール型手法は、トウィークが繰り返さないと仮定できるときには、可変入力長（「ＶＩＬ」）部

の効率的で安全なインスタンス化を組み立てることが容易であるのが通例なので、有効である。トウィークが繰り返されるかもしれないときに安全であり続ける

を組み立てることは、固定ビット長Ｎ（即ち、Ｎ−ビット・ブロック・サイズ）の平文入力をそれに処理させることによって、簡略化される。実際には、N=１２８または２５６のとき、

によって生ずる非効率は、

における効率利得によって相殺することができる。
[0105] ブロック・サイズＮをできるだけ大きく設定することには、安全性上の利点があるが、大きなＮに対してドメイン｛０，１｝^Nを有し、

がｑ^２／２^Ｎに接近する

を構築すると、複雑になる。具体的には、現在では、ｎ−ビット・ブロック暗号を開始点として使用するとき、

が、

よりも小さくなることを可能にする効率的な構造がない。しかしながら、以下ではＮ＝２ｎである構造について説明する。
[0106] しがたって、この章は、Ｎが比較的小さい（例えば、１２８、２５６）

を組み立てることを中心に据える。具体的には、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）を、ブロック暗号から組み立てる。ｎをブロック暗号のブロック・サイズ、Ｎ＝ｎ、およびＮ＝２ｎとする。この章では、各々ｎ−ビット・ブロック暗号を使用し、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）の２つの実施態様について説明する。

[0107] 第１の実施態様例（ＴＣＴ_１）は、誕生日限界の安全性を提供する。Ｎ＝ｎのとき、この実施態様は、大まかに、ブロック暗号に関する誕生日限界であるｑ＝２^ｎ／２回まで安全である。この安全性限界を念頭に入れ、この実施態様は、

および

双方の簡単で効率的な構造を使用する。第１の実施態様例（ＴＣＴ_１）は、入力のｎ−ビット・ブロック毎に、１回だけのブロック暗号呼び出し(invocation)、および２のべき乗を法とする(modulo powers of two)ある算術演算を使用する。対照的に、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を実装する以前の手法は、ｎ−ビット・ブロック毎に２回のブロック暗号呼び出しを使用するか、またはブロック毎に有限界動作を使用する。

[0108] 第２の実施態様例（ＴＣＴ_２）は、誕生日限界を超えた安全性を提供する。Ｎ＝２ｎのとき、この実施態様は大まかにｑ＝２^ｎ回の質問まで安全である。この厳格化した安全性限界を念頭に入れて、なおもそれなりに効率的な構造がある。以前の可変入力長調整可能暗号（「ＶＩＬＴＣ」）が誕生日限界の安全性だけであるのと比較すると、第２の実施態様例（ＴＣＴ_２）は、入力のｎ−ビット・ブロック毎に、単純な算術演算の僅かな追加を招くに過ぎない。この場合も、この算術演算は、有限界においてではなく、２のべき乗を法として実行される。

[0109] 第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）では、可変入力長（「ＶＩＬ」）コンポーネント

は、調整可能ブロック暗号（「ＴＢＣ」）に対するカウンタ・モード暗号化(counter-mode encryption)を使用してインスタンス化される。調整可能ブロック暗号（「ＴＢＣ」）の追加のトウィーク入力は、種々の「トウィーク・スケジューリング」手法を可能にする。例えば、全てのブロックにわたって１つのメッセージ毎にトウィークを固定する、またはメッセージ・ブロック毎にトウィークを変化させる。（調整可能ブロック暗号（「ＴＢＣ」）のトウィークを変化させることとブロック暗号の鍵を変化させることの間には、自然な繋がりがある。双方共、安全性を高めるために使用することができるが、トウィークは秘密にする必要がないので、トウィークを変化させる方が影響が少ない(clean)。）ブロック毎に再調整すると、少なくともＮの任意の長さの文字列を受け入れ、初期化ベクトル（「ＩＶ」）が保護され、誕生日限界を超えて安全な可変入力長調整可能暗号（「ＶＩＬＴＣ」）構造が得られる。

[0110] 手順ＴＣＴＲは、ｎ−ビット

にカウンタ・モード暗号化を提供する。ＴＣＴＲへのコール内において、入力Ｘの各ｎ−ビット・ブロックＸ_ｉが、ブロック毎のトウィークＴ_ｉを使用して処理され、以下のように、入力トウィークＴの関数

およびブロック・インデックスｉによって決定される。

[0111] 反転ＴＣＴＲの手順では、入力Ｙの各ｎ−ビット・ブロックＹ_ｉが、以下のように、ブロック毎のトウィークＴ_ｉを使用して処理される。

[0112] 初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）では、

は長いトウィークを扱う。これらのトウィークは、∈−ＡＵハッシュ関数を使用して、ｑ^２∈項を調整可能暗号の調整可能擬似ランダム置換（「ＴＰＲＰ」）安全性限界に追加することを犠牲にして圧縮することができる。具体的には、ある実施態様例では、ＮＨハッシュの変種を使用する。関数ＮＨ［ｒ，ｓ］_Ｌは、ｒビットの鍵（｜Ｌ｜＝ｒ）を取り込み、ｒ−ビット文字列をｓ−ビット文字列にマッピングし、２^Ｓ／２−ＡＵである。

が与えられると、

は、結果的に得られる調整可能ブロック暗号（「ＴＢＣ」）を示し、ここでは、そのトウィーク空間は、それの範囲ではなく、ＮＨのドメインとなる。

Ａ．第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）のコンポーネント
[0113] 第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）は、以下のコンポーネントを使用する。

[0114] コンポーネントＬＲＷ２は、ブロック暗号Ｅおよび∈−ＡＸＵ_２関数Ｈを使用する誕生日限界調整可能ブロック暗号（「ＴＢＣ」）を示す。

[0115] コンポーネントＣＬＲＷ２は、誕生日限界を超える安全性を有する調整可能ブロック暗号（「ＴＢＣ」）であり、ブロック暗号Ｅおよび∈−ＡＸＵ_２関数Ｈを使用する。

[0116] コンポーネントｐｏｌｙＨ^ｍｎは、ドメイン（｛０，１｝^ｎ）^ｍおよび∈＝ｍ／２^ｎを有する∈−ＡＸＵ_２関数である。全ての動作は、Ｆ_２ｎ内にある。

[0117] コンポーネントＮＨ（ｖｗ、２ｔｗ）は、∈＝１／２^ｔｗである∈−ＡＸＵ_２関数である。入力はｖｗビットであり、ｖは偶数、ｗ＞０に固定される。

ここで、

[0118] コンポーネントＣＤＭＳは、

に対するファイステル型ドメイン・エクステンダ(domain extender)である。

ここで、

および

Ｂ．第１の実施態様例（ＴＣＴ_１）
[0119] 第１の実施態様例（ＴＣＴ_１）は、平文メッセージが小さな用途のための誕生日型安全性を備えた効率的な実施態様である（例えば、完全ディスク暗号化（「ＦＤＥ」））。この実施態様では、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）のサイズはＮ＝ｎ、そしてｎ−ビット

はコンポーネントＬＲＷ２を使用する。ブロック暗号Ｅに加えて、ＬＲＷ２［Ｈ，Ｅ］は、∈−ＡＸＵ_２ハッシュ関数Ｈを使用する。理論上、コンポーネントＬＲＷ２は大きなトウィークに対応することができる。しかしながら、実用的な目的では、小さなトウィーク空間のＬＲＷ２を実装し、次いで高速∈−ＡＵハッシュ関数を使用してこの小さなトウィーク空間を拡張する方が効率的である。∈−ＡＸＵ_２ハッシュ関数自体に対しては、第１実施態様例は多項数ハッシュｐｏｌｙＨを使用する。

[0120] 図５ａから図５ｃは、トウィークＴおよびメッセージＸを入力として取り込む第１の実施態様例（ＴＣＴ_１）（５００）のコンポーネントを示す。メッセージＸは、ブロックＸ_１、Ｘ_２、．．．、Ｘ_Ｖに分割され、最後のブロックＸｖを除く全てのブロックの長さはｎであり、最後のブロックＸ_Ｖの長さはｎ以下である。第１の実施態様例（ＴＣＴ_１）は、出力文字列Ｙ＝Ｙ_１、Ｙ_２、．．．Ｙ_Ｖを生成する。固定入力長（「ＦＩＬ」）コンポーネントのブロック・サイズはＮ＝ｎである。ｋ、ｎ＞０に対して、

がブロック暗号である。

ここで、τｎビットのトウィーク空間およびドメイン

を得るために、ｎ−ビット

および

を次のように設定する。
[0121] ｎ−ビット

即ち、ｎ−ビット

は、ＮＨを使用してそのトウィーク空間が拡張されたコンポーネントＬＲＷ２である。

の鍵空間は、

であり、鍵Ｋ’は、Ｅの鍵ＰｏｌｙＨ^２ｎ、および

に区分される。ＮＨは固定長入力しかサポートしないので、ＮＨ入力には暗黙的に１がパディングされ、次いで十分な０がパディングされて、

ビットの全長になる。

のトウィーク空間は、

となる。
[0122] 図５ａは、トウィーク入力（５１０）およびメッセージ入力を受け入れる第１ｎ−ビット

（５２０）を示す。メッセージ入力は、第１ｎ−ビット・ブロックＸ_１である。トウィーク入力（５１０）は、メッセージＸの残りのブロックのパディング・バージョンと連結されたトウィーク値Ｔである。関数Ｐａｄ（）は、ｓを、

にマッピングする。第１ｎ−ビット

（５２０）は、ｎ−ビット初期化ベクトル（「ＩＶ」）（５３８）を生成する。
[0123] また、図５ａは、トウィーク入力（５６０）およびメッセージ入力を受け入れる第２ｎ−ビット

（５２０）も示す。メッセージ入力は、ｎ−ビット初期化ベクトル（「ＩＶ」）（５３８）である。トウィーク入力（５６０）は、可変長出力文字列ＹのブロックＹ_２．．．Ｙ_Ｖのパディング・バージョンと連結されたトウィーク値Ｔである。第２ｎ−ビット

（５２０）は、可変長出力文字列Ｙの第１ブロックＹ_１を生成する。
[0124] 図５ｂは、ｎ−ビット

（５２０）の詳細を示す。ＮＨ関数（５２１）は、（ｌ＋ｒ）×ｎビットのトウィーク値を受け入れ、２ｎビットのトウィーク値を生成する。ＰｏｌｙＨ^２ｎ関数（５２２）は、２ｎ−ビット・トウィーク値からｎ−ビット・トウィーク値を生成する。ブロック暗号（５２３）は、ｎ−ビット入力値とのＸＯＲを取ったｎ−ビット・トウィーク値（これは、第１ｎ−ビット

と第２ｎ−ビット

（ｎ−ビット初期化ベクトル（「ＩＶ」））との間で変化する）を暗号化する。次いで、ブロック暗号（５２３）の出力は、ｎ−ビット・トウィーク値とのＸＯＲが取られ、ｎ−ビット出力を生成する。

[0125]

ＴＣＴＲ手順では、ｇ（Ｔ，ｉ）＝Ｔであるので、

の鍵空間は、｛０，１｝^ｋ×｛０，１｝^ｎであり、鍵ＫはＥの鍵およびＰｏｌｙＨ^ｎに区分される。

のトウィーク空間は、｛０，１｝^ｎであり、そのドメインは、

である。
[0126] 図５ａに示すように、

に対するＴＣＴＲは、一連のコンポーネント

（５４０）として実装される。各

（５４０）は、トウィーク入力として、ｎ−ビット初期化ベクトル（「ＩＶ」）（５３８）を受け入れる。また、各

（５４０）は、メッセージ入力として、０≦ｉ≦ｖ−２に対して、パディング・カウンタ値＜ｉ＞も受け入れる。各

（５４０）の出力は、メッセージＸのｎ−ビット・ブロックＸ_ｉ＋２とＸＯＲが取られ、可変長出力文字列YのブロックＹ_ｉ＋２を生成する。
[0127] 図５ｃは、ｎ−ビット

（５４０）の詳細を示す。ｐｏｌｙＨ^ｎ関数（５４２）は、入力ｎ−ビット・トウィーク値から結果的に得られるｎ−ビット・トウィーク値を生成する。ブロック暗号（５４３）は、結果的に得られたｎ−ビット・トウィーク値とｎ−ビット入力値（パディング・カウンタ値）とのＸＯＲを取って暗号化する。次いで、ブロック暗号（５４３）の出力は、結果的に得られたｎ−ビット・トウィーク値とＸＯＲが取られ、ｎ−ビット出力を生成する。

ｃ．第２の実施態様例（ＴＣＴ_２）
[0128] 第２の実施態様例（ＴＣＴ_２）は、誕生日限界を超えた安全性を提供する。この実施態様では、Ｎ−ビット

のサイズは、Ｎ＝２ｎである。この２ｎ−ビット

は、ＣＤＭＳコンポーネントの変種を使用し、これは誕生日限界を超える安全性を提供するために、数個のｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）をＣコンポーネントＬＲＷ２の一部として含む。トウィーク空間は、ＮＨを使用して拡張され、ＮＨの範囲は｛０，１｝^２ｎに設定される。最終的に、設定

は、約２^２ｎ／３回までの質問に対して安全である。また、ＣコンポーネントＬＲＷ２は、誕生日限界を超えて安全な可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネントにおいても使用される。即ち、少なくとも、

に対して、

となる。第２の実施態様例（ＴＣＴ_２）は、τｎビットのトウィークをサポートし、ドメイン

を有する。
[0129] 図６ａから図６ｃは、トウィークＴおよびメッセージＸを入力として取り込む第２の実施態様例（ＴＣＴ_２）（６００）のコンポーネントを示す。メッセージＸは、ブロックＸ_１、Ｘ_２、．．．、Ｘ_Ｖに分割され、最後のブロックＸ_ｖを除く全てのブロックの長さはｎであり、最後のブロックＸ_Ｖの長さはｎ以下である。メッセージＸの長さは、２ｎビットと

ビットとの間である。第２の実施態様例（ＴＣＴ_２）は、出力文字列Ｙ＝Ｙ_１、Ｙ_２、．．．Ｙ_Ｖを生成する。固定入力長（「ＦＩＬ」）コンポーネントのブロック・サイズはＮ＝２ｎである。

に対して、

がブロック暗号となる。

ここで、２ｎ−ビット

および

は、次のように設定される。
[0130] ｎ−ビット

即ち、２ｎ−ビット

は、そのトウィーク空間がＮＨを使用して拡張された、

コンポーネントである。

の鍵空間は、

であり、鍵Ｋ’は、Ｅに対する２つの鍵、ｐｏｌｙＨ^６ｎに対する２つの鍵、および

に対する鍵に区分される。

のトウィーク空間は、｛０，１｝^τｎである。
[0131] 図６ａは、トウィーク入力（６１０）およびメッセージ入力を受け入れる第２ｎ−ビット

（６２０）を示す。メッセージ入力は、２つの第１ｎ−ビット・ブロックＸ_１およびＸ_２である。トウィーク入力（６１０）は、メッセージＸの残りのブロックのパディング・バージョンと連結されたトウィーク値Ｔである。第１の２ｎ−ビット

（６２０）は、２ｎ−ビット初期化ベクトル（「ＩＶ」）（６３８）を生成する。
[0132] また、図６ａは、トウィーク入力（６６０）およびメッセージ入力を受け入れる第２ｎ−ビット

（６２０）も示す。メッセージ入力は、は、２ｎ−ビット初期化ベクトル（「ＩＶ」）（６３８）である。トウィーク入力（６６０）は、可変長出力文字列ＹのブロックＹ_３．．．Ｙ_Ｖのパディング・バージョンと連結されたトウィーク値Ｔである。第２の２ｎ−ビット

（５２０）は、可変長出力文字列Ｙの２つの第１ブロックＹ_１およびＹ_２を生成する。
[0133] 図６ｂは、２ｎ−ビット

（６２０）の詳細を示す。ＨＮ関数（６２１）は、（ｌ＋ｒ−１）×ｎビットのトウィーク値を受け入れ、４ｎビットのトウィーク値Ｔ’を生成する。２ｎ−ビット入力は、第１の２ｎ−ビット

（Ｘ_１およびＸ_２）と第２の２ｎ−ビット

（２ｎ−ビット初期化ベクトル（「ＩＶ」））との間で変化し、２つのｎ−ビット入力に分割される。第１ｎ−ビット入力は、第１

コンポーネント（６２２）に供給される。このコンポーネント（６２２）は、６ｎビットのトウィーク値も受け入れる。６ｎ−ビット・トウィーク値は、４ｎ−ビット・トウィーク値Ｔ’のパディング・バージョン（ｎ個のゼロ・ビットがパディングされ、５ｎビットの長さになる）および第２ｎ−ビット入力を連結することによって決定される。第１

コンポーネント（６２２）は、ｎ−ビット出力値を生成し、４ｎ−ビット・トウィーク値Ｔ’のパディング・バージョン（ｎ個のゼロ・ビットがパディングされて５ｎビットの長さになる）の後ろに連結され、第２

コンポーネント（６２２）のために６ｎ−ビット・トウィーク値を形成する。また、第２

コンポーネント（６２２）は、第２ｎ−ビット入力も受け入れ、ｎ−ビット出力を生成する。同様に、第３

コンポーネント（６２２）も第１ＣコンポーネントＬＲＷ２（６２２）からのｎ−ビット出力値、および６ｎ−ビット・トウィーク値（図６ｂに示すように形成される）を処理して、他のｎ−ビット出力を生成する。第２および第３ＣコンポーネントＬＲＷ２（６２２）からのｎ−ビット出力は、ＣＤＭＳコンポーネント（６２０）の２ｎ−ビット出力に連結される。

[0134] 図６ｃは、

コンポーネントの詳細を示し、ここでｒは６（図６ｂのコンポーネント（６２２）におけるように）、または２（図６ａのコンポーネント（６４０）におけるように）とすることができる。第１ｐｏｌｙＨ^ｒｎ関数（６４２）は、入力ｒ・ｎ−ビット・トウィーク値からｎ−ビット・トウィーク値を生成する。第１ブロック暗号（６４３）（鍵Ｋ１を有する）は、ｎ−ビット入力値とＸＯＲが取られたｎ−ビット・トウィーク値を暗号化する。次いで、ブロック暗号（６４３）の出力は、ｎ−ビット・トウィーク値とＸＯＲが取られ、ｎ−ビット中間値を生成する。第２ｐｏｌｙＨ^ｒｎ関数（６４２）は、入力ｒ・ｎ−ビット・トウィーク値からｎ−ビット・トウィーク値を生成する。第２ブロック暗号（６４３）（鍵Ｋ２を有する）は、ｎ−ビット中間値とＸＯＲが取られたｎ−ビット・トウィーク値を暗号化する。次いで、第２ブロック暗号（６４３）の出力は、ｎ−ビット・トウィーク値とＸＯＲが取られ、ｎ−ビット出力値を生成する。

[0135]

ＴＣＴＲ関数では、ｇ（Ｔ，ｉ）＝Ｔであるので、

の鍵空間は、｛０，１｝^２ｋ×｛０，１｝^４ｎであり、鍵ＫはＥの２つの鍵およびＰｏｌｙＨ^２ｎの２つの鍵に区分される。

のトウィーク空間は、｛０，１｝^２ｎであり、そのドメインは、

である。第２の実施態様例（ＴＣＴ_２）は、鍵素材の

ビットを使用する。
[0136] 図６ａに示すように、

に対するＴＣＴＲは、一連のコンポーネント

（６４０）として実装される。各

（６４０）は、

コンポーネントとして実装される。また、各

（６４０）は、トウィーク入力として、２ｎ−ビット初期化ベクトル（「ＩＶ」）（６３８）を受け入れる。また、各

（６４０）は、メッセージ入力として、０≦ｉ≦ｖ−３に対して、ｎビットのパディング・カウンタ値＜ｉ＞も受け入れる。各

（６４０）のｎ−ビット出力は、メッセージＸのｎ−ビット・ブロックＸ_ｉ＋３とＸＯＲが取られ、可変長出力文字列ＹのブロックＹ_ｉ＋３を生成する。図６ｃは、

（６４０）に対する

コンポーネントの詳細を示す。ここでは、ｒ＝２である。

Ｄ．変種および実用上の考慮点
[0137] この章では、第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）の様々な変種について説明する。これらの変更はいずれも、別段注記されなければ、これらの実施態様に対する安全性限界に著しい影響を及ぼすことはない。

[0138] ブロック暗号鍵の数量削減 第１の実施態様例（ＴＣＴ_１）の場合、トウィークによってドメイン分離が実施されることを条件に、１つの鍵を双方のＬＲＷ２インスタンスに使用することができる。これによって、基礎のブロック暗号に対して１つの鍵の使用が可能となり、状況によっては、著しい実施の効果が見込まれる（例えば、１つのＡＥＳパイプラインを可能にすることによって）。これを遂行する１つの方法は、

を、

と交換し、更に、

を、

と交換することである。ここで、ｆは、鍵空間

を有する２^−ｎ−ＡＵ関数であり、形式（Ｘ，ε）（あるＸ∈｛０，１｝^ｎに対して）または（ε，Ｙ）（ある

に対して）の入力を取り込み、３ｎ−ビット文字列を出力する。

とする。ここで説明する関数ｆは、２つのＬＲＷ２インスタンスのシグネチャー(signature)を統一するための数学的な便宜であり、これによってトウィーク・ベースのドメイン分離を範囲内に持ち込む。実際には、２つのインスタンスは、共有ブロック暗号鍵を除いて、独立に実装することができる。第２の実施態様例（ＴＣＴ_２）は、２つのブロック暗号鍵だけを必要とするように同様に変更することができる。

[0139] 処理能力向上 固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）では、パディング方式をしかるべく調節することによって、

の代わりに、

を使用することができる。また、第２の実施態様例（ＴＣＴ_２）のＴＣＴＲ部分では、各ＬＲＷ２呼び出しが同じトウィークを使用するので、ＣコンポーネントＬＲＷ２毎にｐｏｌｙＨ関数を１回計算することができる。

[0140] 第２の実施態様例（ＴＣＴ_２）の１つの可能な実施態様では、２回の固定入力長（「ＦＩＬ」）フェーズ（ｐｏｌｙＨ^６ｎを１２回評価する結果）の間に７２回の有限界乗算を使用する。あるいは、ある実施態様では、ＣＤＭＳの内部で使用されるｐｏｌｙＨ^６ｎハッシュの中間値をキャッシュし（呼び出し毎に、４つのｎ−ビット・トウィーク・ブロックが一定である）、３２回の有限界乗算をしないで済む。ドメイン分離定数に対応する多項式ハッシュの項を予め計算することによって、更に１２回の乗算をなくし、合計で２８回だけが残る。可変入力長（「ＶＩＬ」）フェーズ中において４つ更に使用するので、数量は３２となる。

[0141] 大きなメッセージ空間の処理(handling) 第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）の双方は、完全ディスク暗号化（「ＦＤＥ」）への応用を念頭に入れて設計される。具体的には、これらは、時間に先立って(ahead of time)固定される値

を使用し、

ビットより多くの鍵素材(key material)を使用する。これらの制限は、ＮＨハッシュ関数を使用することの結果である。しかしながら、単純なＮＨへの拡張が、任意に長い文字列を収容する。正の整数ｒに対して、

ここで、ｉ＜ｖに対して｜Ｍ_ｉ｜＝ｒｎ、｜Ｍ_ｖ｜≦ｒｎ、そしてＮＨ_ＬはＮＨ_Ｌ［ｒｎ，２Ｎ］の省略である。このように定義すると、ＮＨ^＊は２^−Ｎ−殆ど普遍であり(-almost universal)、ドメイン｛０，１｝^＊を有し、ｒｎビットの鍵素材を必要とする。この変更は、ｐｏｌｙＨハッシュに対する重みの一部を移転させる。入力の追加のｒｎビット毎に、８回の余分な有限長乗算が使用される。

[0142] これらの変更によって、第１の実施態様例（ＴＣＴ_１）の安全性限界における最終的な２つの項（第７章参照）は、

となる。ここで、

は、ここでは、アドバーサリーの最も長い質問の長さであり、

、そして残りの項は、基礎のブロック暗号の（Ｓ）擬似ランダム置換（「ＰＲＰ」）安全性を測定する(measure)。２^ｎ≧ｒｎと仮定すると、|M| mod rnを１つのｎ−ビット・ブロック内でエンコードすることができる。６００という定数は大きいが、例えば、ｒ＝１６と設定すると、もっと快適なサイズに、この場合では３未満に縮小することができる。同様に、第２の実施態様例（ＴＣＴ_２）に対する限界も変化する。（また、２^ｎ−２≧ｒｎである場合、トウィーク・ドメイン分離定数および＜|M| mod rn＞の双方に１つのｎ−ビット・ブロックを使用することができる。）
[0143] 長いメッセージに対する誕生日限界を超える安全性

が何らかの小さい値または中位の値に制限されない(bound)場合、第２の実施態様例（ＴＣＴ_２）はもはや誕生日限界を超える安全性を提供しない。安全性限界において問題となる項は、

である。これに取り組むために、ＴＣＴＲ手順において、異なるブロック毎トウィーク関数を使用することができる。具体的には、

となる。ノンス制約付きの場合では、基礎の

が、次に、各メッセージ・ブロック上でこれまで見られなかった値によって、再調整される。

が理想的な暗号Πと交換されようとする場合、ノンス制約付きの場合では、平文の各ブロックが、新鮮なランダム置換の出力によってマスクされる。言い換えると、戻される各ブロックは、均一にランダムとなる。つまり、きつい制限(tight bound)がこの場合には予期される。あるいは、

を使用することができ、同じことが当てはまる。

Ｅ．従来の暗号化を使用して、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）をインスタンス化する
[0144] あるいは、

は、直接従来のブロック暗号に基づく暗号化を使用して実現することもできる。以下の

および

の実施態様について検討する。

[0145] この

の実施態様は、カウンタ・モード暗号化を使用するが、初期値Ｔが入力として表出され、それを調整可能暗号にする。生憎、この

の実施態様は、ノンス制約付きアドバーサリーに対抗するＳＲＮＤ安全性に欠ける。しかしながら、以下のように安全に変更することができる。

トウィーク空間

およびメッセージ空間

を有する

を想定すると、オラクル

は質問

を取り込み、（１）

をサンプルし、
（２）Ｅ_Ｋ（Ｔ，Ｘ）を戻す。オラクル

は、入力

上でも同様に振る舞い、サンプリング

を行い、

を戻す。

ＶＩ．可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用した、関連データ付き認証付暗号化／復号
[0146] 関連データ付き認証付暗号化（「ＡＥＡＤ」）は、ヘッダと共に送られるメッセージを認証する方法を提供する。例えば、平文メッセージが、その守秘性および真正性を保護する方法で暗号文に変換されるとき、このメッセージに付随し、メッセージと共に認証されなければならないパッカ・ヘッダ(packer header)または他の補助情報がある場合もある。メッセージがノンスおよび冗長性によって補強される場合、符号化メッセージを直接、十分に広いドメインを有する強擬似ランダム置換いＰＲＰ（「ＳＰＲＰ」）−安全ブロック暗号に通すことによって、認証付暗号化を得ることができる。

[0147] この章では、可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネントを使用して関連データ付き認証付暗号化（「ＡＥＡＤ」）を実現する方法について説明する。可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネントは、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネント、または初期化ベクトル（「ＩＶ」）が保護されない可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネントを含むことができる。具体的には、この章では、ヘッダ−メッセージ対（Ｈ、Ｍ）から調整可能暗号入力（Ｔ、Ｘ）へのマッピングの傑出したプロパティを特定する。その簡素さに加えて、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって関連データ付き認証付暗号化（「ＡＥＡＤ」）を実現することには、様々な実用的な利点がある。

[0148] 可変入力長調整可能暗号（「ＶＩＬＴＣ」）による認証付暗号化は、関連データを受け入れ、ノンス誤用(nonce-misuse)に耐えることができる。メッセージ・ヘッダを暗号文に結び付ける(bind)ために、トウィークを効果的に使用することができる。

[0149] 加えて、メッセージおよびヘッダ入力内にあるランダム性、状態、または冗長性の効果を探ることができる。例えば、安全性の損失なくランダム性および状態をヘッダに移すことができ、暗号的に処理しなければならないビット数を削減できる潜在的可能性がある。具体的には、これは、平文入力内に既に存在するノンス、ランダム性、および冗長性を利用することによって、帯域幅オーバーヘッドを削減することができる。シーケンス番号、人間読み取り可能フィールド、または詰め物(padding)を含むプロトコルのメッセージは、有用なノンスおよび冗長性を含むことが多い。

[0150] また、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）は、サイド・チャネル攻撃に対してロバストであり続けながら、多数の復号エラー・メッセージに対処する。サイド・チャネル攻撃は、これらを利用しようとする（例えば、オラクルを詰まらせる）。多数の記述式エラー・メッセージの使用は、実用上非常に有用であり得るが、多くの場合有害な攻撃を強めることになる(empower)。これらの攻撃は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）方式に対しては失敗する。何故なら、暗号文の任意のビットを緩やかに変化させると、復号された平文文字列のあらゆるビットをランダム化するからである。つまり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）は、ある種のサイド・チャネルおよび共通の実装誤りに直面しても、ロバスト性を提供する。記述式エラー・メッセージ（例えば、bad_paddingまたはbad_seq_number）は、有用な今後の暗号文を形作るために利用することはできない。更に、ノンスの繰り返しは平文の等しいこと(equality)を漏らすに過ぎない。

[0151] この関連データ付き認証付暗号化（「ＡＥＡＤ」）手法は、フォーマット保存暗号化（「ＦＰＥ」）にも有効に作用する。変更を最小限に抑えて、透過的に暗号レイヤを旧来のシステムに挿入するために（例えば、データベース方式またはプロトコル仕様）、フォーマット保存暗号化（「ＦＰＥ」）は、平文と同じフォーマットを有する暗号文を使用する。例えば、ある（多くの場合非二進）アルファベットΣに対して、双方共集合Σ^ｎに制限される可能性がある。これは、専用初期化ベクトル（「ＩＶ」）を暗号文に挿入することを除外する。暗号化を調整するために関連データを使用することによって補償することができ、調整可能暗号およびそれらの安全性定義を自然に調和させる。一意の関連データは、更に標準的な意味で守秘性を保証し、冗長性（クレジット・カード発行者識別番号およびチェックサムのような）をチェックすることによって、認証付暗号化を提供する。

[0152] 一般に、ヘッダＨおよびメッセージＭを想定すると、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）方式は、（Ｈ，Ｍ）を調整可能暗号入力（Ｔ，Ｘ）にエンコードする。ある固定長のノンスについて、Ｔ＝ノンス||Ｈ、およびＸ＝ノンス||Ｍと仮定する。ヘッダＨは送信される。しかしながら、ノンス値も復号には必要とされるので、暗号文を単純に、

とすることはできない。したがって、暗号文は（ノンス，Ｃ）でなければならない。この例では、Ｔ＝ノンス||Ｈはエンコードされたヘッダであり、Ｘ＝ノンス||Ｍはエンコードされたメッセージであった。記号ＴおよびＸは、それぞれ、

および

と置き換えられる。Ｈから

へのマッピングは非決定論的であるが、ノンスを知っていれば、完全に再生することができる。ノンスは再現情報として役立つ。メッセージ・エンコード機能は、この再現情報を使用し、したがってヘッダ・エンコード機能とは異なるシグネチャーを有する。また、再現情報はＭに依存してはならない。受信側は、

を計算し、ノンスが

におけるＭのプレフィクスであることを確認する。
[0153] 更に形式的には、関連データ付き認証付暗号化（「ＡＥＡＤ」）方式は、鍵生成アルゴリズム

、暗号化アルゴリズム

、および復号アルゴリズム

を含むタプル

である。簡略化のために、鍵生成アルゴリズム

は、同じ名称の空でない集合からの鍵をサンプリングすると仮定する。暗号化アルゴリズムは、ランダム化されてもステートフルでもよく、マッピング

である。つまり、暗号化は、鍵

ヘッダ

およびメッセージ、

を取り込み、ある再現情報

を、暗号文Ｃと共に戻す。

は、
（Ｈ，Ｍ）上で実行中の

を表し、（Ｒ，Ｃ）を戻す。決定論的復号アルゴリズムは、マッピング、

であり、Errorsは、

となるような集合である。（｜Errors｜は１に等しい必要はない。）適正な動作のためには、全ての

について、

となる。

がステートフルである場合、これは全ての状態に該当する。
[0154] 実際には、ヘッダＨは、通例、暗号文と共に安全に(in the clear)送信される（例えば、ヘッダがルーティングに必要とされるとき）が、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）方式は、Ｈを内部の使用のための何らかの関係する

にエンコードすることもできる。このエンコード処理が非決定論的である場合、再現情報Ｒは、この

をＨから適正に再生するために復号によって使用されるあらゆるものを提供する。例えば、Ｒは、カウンタ、いくつかのランダム・ビット、または何らかの冗長性を含むことができる。また、これは空文字列であってもよい。

[0155] メッセージまたは鍵ビットをＲに書き込むことのために自動的に(trivially)危険になる構造を避けるために、以下の条件を適用する。任意の入力のシーケンス｛（Ｈ_ｉ，Ｍ_ｉ）｝_ｉ≦ｑ、および任意の２つの可能な成果のシーケンス｛（Ｒ_ｉ，Ｃ_ｉ）｝_ｉ≦ｑおよび｛（Ｒ’_ｉ，Ｃ’_ｉ）｝_ｉ≦ｑを仮定し、次いで、任意の

について、

ここで、

および

状態

および

は、それぞれ、２つのトランスクリプト(transcript)が条件とされている。即ち、Ｒ（したがって、Ｒ’）は、Ｈ、ｑ、およびＲを生成する質問上で

によって投げられたコインのみに依存することができる。
[0156] |Errors|>1を許すことによって、関連データ付き認証付暗号化（「ＡＥＡＤ」）方式は、多数の全く異なるエラー・メッセージを戻すことができる。これは、実際には、例えば、プロトコル・セッション内部における診断に有用となることができる。

[0157] 理想的には、暗号文はランダム・ビットから区別不可能である。再現情報は、ランダムでないかもしれない（例えば、Ｒがカウンタであるかもしれない）。しかしながら、そのためにＩＮＤ＄−ＣＰＡ観念(notion)が修正される。具体的には、関連データ付き認証付暗号化（「ＡＥＡＤ」）方式Ψの守秘性は、以下のアドバンテージによって測定される。

は、オラクルであり、入力（Ｈ，Ｍ）上で、

を計算し、

をサンプリングし、（Ｒ，Ｙ）を戻す。真正性の目標は暗号文の完全性である。即ち、

ここで、ブール事象Ｆｏｒｇｅｓは、
（１）

および、（２）

に対する以前の質問がいずれも（Ｈ，Ｒ，Ｃ）を戻さないように、Ａが質問（Ｈ，Ｒ，Ｃ）をその

オラクルに尋ねた場合にのみに限って、真となる。汎用性を失うことなく、Ｆｏｒｇｅｓが真になると直ぐに、Ａは停止する。

Ａ．エンコードおよびデコード方式
[0158] 非公式的には、エンコード・アルゴリズムはその入力をフォーマットし直し、ランダム性、状態、または冗長性を注入する。一方、デコード・アルゴリズムは元の入力データの有効性を判断して抜き出す。

[0159] 更に形式的には、実施態様例において、関連データ付き認証付暗号化（「ＡＥＡＤ」）方式（および対応する復号）は、メッセージ空間

、ヘッダ・スペース

、エンコード・メッセージ空間

およびエンコード・ヘッダ

を使用する。これらの集合は、空ではないが、

に等しい可能性がある。集合Ｅrrorsについて、

である。
[0160] ヘッダ・エンコード関数

は、ヘッダをエンコードされたヘッダに、恐らくは何らかのランダムなまたはステートフルな様式でマッピングする。非空集合

および全単射

があり、全てのＨに対して、ある

に対して、

というプロパティを有する。言い換えると、ＨはEncode_H(H)から復元することができ、Encode_H(H)の任意の特定の出力は、対応するＲが与えられると、Ｈから再生することができる。Encode_Hは、

−エンコーダである（

を暗示的のままにしておく）。
[0161] メッセージ・エンコード方式EncodeMsg=(Encode_M, Decode_M)は、メッセージ・エンコード機能

およびメッセージ・デコード機能

から構成されている。Encode_Mは、ランダム化することができ、またはステートフルにすることができる。Encode_Mのある状態に対して、

となる場合にのみに限って、

となる。それ以外の場合は、

となる。例えば、

となることが可能である。Decode_Mアルゴリズムは決定論的であり、全てのアルゴリズムは線形時間で実行しなければならない。EncodeMsgは、

−エンコード方式である。
[0162] エンコード機能は、最大ストレッチ(maximal stretch)が関連付けられている。これは、

の全てに対して、

および

となるような、最も小さい

であると定義される。
[0163] エンコード・メカニズムの鍵となる１つのプロパティは、エンコード方式が出力を繰り返すように作ることができる尤度に関係する。Ａを、ｑ回の質問（必ずしも別個でなくてもよい）をオラクルｆに尋ね、

を応答で受け、これらの値を出力することによって停止するアドバーサリーであるとする。（ｆはメッセージ−またはヘッダ−エンコード関数とすることができる）。Ａは決定論的であると仮定することができる。

は関数である。ｆは、

である場合、（ｄ、δ）−衝突(-colliding)となる。この観念は、ｄ≧２に対してのみ定義される。（ｄ、δ）−衝突オラクルを想定すると、δ（０）＝δ（１）＝０であると仮定することができる。

[0164] 第２の鍵となるプロパティは、ランダムな文字列（所与の長さの）が有効なエンコード処理である確率を捕らえる。本質的に、これは、エンコード処理の密度の尺度である。

は実数である。全ての正の整数ｎ、および全ての

に対して、

である場合、

エンコード方式EncodeMsg=(Encode_M, Decode_M)は、∈−疎(∈-sparse)となる。

Ｂ．エンコード−次いで−暗号化、対応する復号−次いで−デコードによる関連データ付き認証付暗号化（「ＡＥＡＤ」）
[0165] 図７は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する、関連データ付き認証付暗号化のための技法（７００）を一般化して示す。暗号化システムは技法（７００）を実行する。

[0166] 暗号化システムは、ヘッダおよびメッセージを受ける（７１０）。暗号化システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用してこのメッセージを処理し（７２０）、関連データ付き認証付暗号化を行う。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、保護された初期化ベクトル（「ＩＶ」）を使用する。あるいは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は従来の可変入力長調整可能暗号（「ＶＩＬＴＣ」）である。可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークは、少なくとも部分的にヘッダに基づく。この処理により、暗号化メッセージが生成される。暗号化システムは、ヘッダおよび暗号化メッセージを出力する（７３０）。

[0167] 例えば、メッセージの処理（７２０）の一部として、暗号化システムは、ヘッダおよび再現情報を使用して修正ヘッダを決定し、次いでメッセージおよび修正ヘッダを使用して修正メッセージを決定する。暗号化システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して修正メッセージを暗号化し、修正ヘッダは可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークを供給する。暗号化システムは、再現情報を、ヘッダおよび暗号化メッセージと共に出力する（７３０）。

[0168] 暗号化システムは、１つ以上の他のメッセージのために技法（７００）を繰り返すことができる。
[0169] 図８は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用した、関連データによる認証復号のための技法（８００）を一般化して示す。復号システムは技法（８００）を実行する。

[0170] 復号システムは、ヘッダおよび暗号化メッセージを受ける（８１０）。復号システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して、暗号化メッセージを処理し（８２０）、関連データによる認証復号を行う。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、保護された初期化ベクトル（「ＩＶ」）を使用する。あるいは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は従来の可変入力長調整可能暗号（「ＶＩＬＴＣ」）である。可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークは、少なくとも部分的にヘッダに基づく。この処理により復号メッセージが生成され、復号システムはこれを出力する（８３０）。

[0171] 復号システムは、再現情報も受けることができる。暗号化メッセージの処理（８２０）の一部として、例えば、復号システムは、ヘッダおよび再現情報を使用して修正ヘッダを決定し、次いで可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して、暗号化メッセージを復号し、修正ヘッダが可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークを供給することによって、修正メッセージを生成する。復号システムは、修正メッセージおよび修正ヘッダを使用して、メッセージを決定する。

[0172] 任意に、認証ステップの間に、復号システムはメッセージが有効であるか否か確認するためにチェックを行う。例えば、所定数の「０」ビットが暗号化の間にメッセージに添付されていた場合、復号はこれらのビットの存在をチェックすることができる。このチェックに失敗した場合、復号はエラーを出力する。メッセージを通すためには多数の異なるチェックがあってもよく、出力されるエラー（１つまたは複数）は、どのチェック（の組み合わせ）が失敗したのかに応じて、異なってもよい。（これは、認証付暗号化の「認証」部分である。攻撃者が暗号化メッセージを改竄した場合、一旦復号されたなら、恐らくもはや有効ではなくなるであろう。）
[0173] 復号システムは、１つ以上の他のメッセージのために技法（８００）を繰り返すことができる。

[0174] 更に形式的には、実施態様例において、

は、調整可能暗号である。ある非空集合

に対して、Encode_Ｈは、

エンコーダであり、EncodeMsg=(Encode_M, Decode_M)は、

エンコード方式である。これらから、エンコード−次いで−暗号化関連データ付き認証付暗号化（「ＡＥＡＤ」）方式

を次のように定義する。

[0175] 再現情報Ｒは、復号がヘッダから

を再生することを可能にする（

を暗号文の一部として送る代わりに、またはコール側アプリケーションに、Ｈを

と交換させる代わりに）。
[0176] 単純な例として、Encode_Ｈは６４−ビット・カウンタRをヘッダＨに予め添付し、

はM||0^８０を戻す。次いで、Encode_Ｈは（２，０）−衝突となり、Encode_Mは２^−８０−疎（しかし（２，１）−衝突）となる。真正性チェックは、Decode_M関数内部で暗示的に行われる。

ＶＩＩ．結果の説明
[0177] この章では、以上で提示した結果に対する詳細な正当とする理由を示す。

[0178] 定理１−初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する安全性
初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）はなおもその内部に可変入力長調整可能暗号（「ＶＩＬＴＣ」）モジュールを含む。初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、より大きなドメインを有し、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は安全性に関して利点が得られる。

[0179] ＩＶ章において定義したトウィーク空間およびメッセージ空間

について、そして調整可能ブロック暗号（「ＴＢＣ」）長Ｎについて、

は、調整可能ブロック暗号であり、

は可変入力長調整可能暗号（「ＶＩＬＴＣ」）である。

Ａは、ｑ＜２^Ｎ／４回の質問を行い、合計してμビットとなり、時間ｔにおいて実行するアドバーサリーである。それぞれｑ回および２ｑ回の質問を行い、双方共Ｏ（ｔ）時間において実行するアドバーサリーＢおよびＣについて、

ここで、Ｂはノンス制約付きであり、その質問の長さは合計してμ−ｑＮビットになる。
[0180] ＰＩＶ組成の可変入力長（「ＶＩＬ」）部分

は、ノンス制約付きアドバーサリーのみに対してＳＲＮＤ−安全である必要がある。この要件を満たす効率的な方式を構築することは容易である。固定入力長（「ＦＩＬ」）部分

だけが、任意の質問戦略を使用することができる強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）アドバーサリーに対して安全であればよい。つまり、ＰＩＶ組成は、大きなドメインに渡るノンス制約付きの安全性を、それよりも多少大きなドメインに渡る完全な強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全性に昇級させる。

が相応しい強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）である場合、ＴまたはＸの任意の部分が「新鮮」であるなら、初期化ベクトル（「ＩＶ」）に対する文字列はランダムなはずである。したがって、初期化ベクトル（「ＩＶ」）値は繰り返されそうもなく、したがって可変入力長（「ＶＩＬ」）組成のノンス制約付きの安全性は十分である。同じことは、Ｔ、Ｙの任意の部分が「新鮮」である場合、復号のときにも当てはまる。

[0181] 項４_ｑ ^２／２^Ｎは、初期化ベクトル（「ＩＶ」）における衝突、および

とランダム関数との間の差を考慮する。これは、Ｎにおける誕生日限界項、

のブロック・サイズである。殆どの調整可能ブロック暗号（「ＴＢＣ」）設計は（１つ以上の）基礎のブロック暗号を採用するので、

のブロック・サイズＮは、それを構築するかもしれないいずれかの基礎のブロック暗号のブロック・サイズｎよりも大きくすることができる。実際、ｎ−ビット・ブロック暗号（およびハッシュ関数）を想定すると、

をＮ＝２ｎで構築することができる。
[0182] 下位

呼び出し(lower F invocation)を除去し（

の後）、

を戻す場合、結果的に得られる組成は、一般に安全な強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）を提供しない。一方で、これは調整可能擬似ランダム置換（「ＴＰＲＰ」）としては安全である（単に強い調整可能擬似ランダム置換（「ＴＰＲＰ」）ではない）。メッセージ空間

トウィーク空間

、および負でない整数ｎ≦ｍｉｎ（Ｓ）に対して、Ａはせいぜいｑ回の質問を行い時間ｔにおいて実行するアドバーサリーとする。

この結果は、本質的に、調整可能ブロック暗号（「ＴＢＣ」）に対するＰＲＦ−擬似ランダム置換（「ＰＲＰ」）切り替え命題であり、問題を境界(bounding)

のそれに縮減する。
[0183]

について検討する。ここで、

は理想的な暗号である。ゲーム１（「Ｇ１」）（図９に示す）におけるオラクルは、Πを定義するために、レイジー・サンプリング(lazy sampling)を使用して、

および

をシミュレーションする。したがって、

となる。図９において、ゲーム１はボックス状ステートメント(boxed statements)を含む。
[0184] ゲーム２（「Ｇ２」）（これも図９に示す）において、Πを定義するとき、「違法な」値はもはや再サンプリングされない。図９において、ゲーム２はボックス状ステートメントを含まない。コードにおける唯一の変化が起こるのは、ブール「悪い」フラグが真に設定された後である。ゲーム−プレーイングの基礎命題によって、

ゲーム２において、

は、決して同じトウィークを２回使用して質問されず、ゲームにおけるオラクルはランダムなｎ−ビット・プレフィックスを有する値を戻す。ゲーム１および２において、ブール変数は偽に初期化される。

[0185] 第３ゲーム（「Ｇ３」）（図９には示されていない）では、

はオラクル

によって交換される。このオラクルは、常に、その第２入力と長さが等しいランダム文字列を返す。標準的な引数によって、

となるように、ｑ回の質問を行い、

時間において実行する何らかのノンス制約付きアドバーサリーＢが存在する。これから次の式が得られる。

各オラクル出力（Ｚ’_ｉに対応する）の各最初のＮビットは、常にゲーム２では均一にランダムである。ゲーム３において

が

に切り替わるとき、残りのビットも均一にランダムになる。したがって、

となる。
[0186] 最後のタスクは、Ａがゲーム２において悪いフラグを設定する確率を制限することである。ｂａｄ_１が質問ｊの間に設定される確率は、ｊ／（２^Ｎ−２ｊ）未満である。同様に、ｂａｄ_２およびｂａｄ_３が設定される確率も、それぞれ、高々２ｊ／（２^Ｎ−２ｊ）および２^ｊ／２^Ｎである。したがって、少なくとも１つのフラグが質問ｊの間に設定される確率は、高々３ｊ／（２^Ｎ−２ｊ）＋２ｊ／２^Ｎである。

[0187] ｊ∈１，２，．．．、ｑに対して結合限界(union bound)を取ると、

となる。ｑ＜２^Ｎ／４であるので、１．５／（２^Ｎ−２ｑ）＜３／２^Ｎとなる。直前の結果により、標準的な引数を使用して、計算設定に戻ると、証明が完成する。

ここで、Ｃは２ｑ回の質問を行い、Ｂは、トウィークを繰り返さずに、合計で長さμ−ｑＮビットとなるｑ回の質問を行い、双方共

時間において実行する。
[0188] 定理２−ＴＣＴＲ ｇ（Ｔ，ｉ）＝Ｔのときの手順ＴＣＴＲの挙動について検討する。Ｖ章のＴＣＴＲ疑似コードの一覧におけるように、

として、

ならびに

および

を定義する。Ａは、時間ｔにおいて実行し、ｑ回の質問を尋ねるノンス制約付きアドバーサリーであり、各質問の長さは高々

ビットである（したがって、

。次いで、高々

回の質問を行い時間

において実行するあるアドバーサリーＢについて、

となる。

であるとき、限界は誕生日型挙動を呈し、

が小さな定数であるときに最も厳しくなる。定数

が小さい重要な用途に、完全ディスク暗号化がある。ここでは、平文Ｘは通例長さが４０９６バイトであり、したがって基礎の調整可能ブロック暗号（「ＴＢＣ」）がサイズｎ＝１２８のブロック・サイズを有する場合、大まかに

ブロックがある。
[0189] 定理３−第１の実施態様例（ＴＣＴ _１ ）の強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全性 Ｖ．Ｂ章において定義したＴＣＴ₁について、Ａは、ｑ＜２^ｎ／４回の質問を行い時間ｔにおいて実行するアドバーサリーである。アドバーサリーＢおよびＣは、双方共

となるように、時間

において実行し、

回および２ｑ回の質問をそれぞれ行う。したがって、以下の式が得られる。

[0190] このアルゴリズムは、

の２つの鍵を含む、

ビットの鍵素材を必要とする。安全性限界に重大な損傷がなければ、Ｅには１つの鍵で十分であろうが、しかしながら、この改善は主に処理能力の問題から関心が寄せられている。つまり、第１の実施態様例（ＴＣＴ_１）は、以前の構造の安全性を保持し、有限界におけるのではなく、法に対する２の冪(powers-of-two moduli)を有するリング(ring)における算術演算を使用する。これは、潜在的に、あるアーキテクチャにおいて処理能力を高めることができる。

[0191] 定理４−第２の実施態様例（ＴＣＴ _２ ）の強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全性 Ｖ．Ｃ章において定義したＴＣＴ_２について、Ａは、ｑ回の質問を行い時間ｔにおいて実行するアドバーサリーであり、ここで、

である。アドバーサリーＢおよびＣは、双方共、

となるように、

時間において実行し、それぞれ、

および６ｑ回質問を行う。したがって、以下の式が得られる。

[0192] この限界における定数の一部が重要である。しかしながら、第２の実施態様例（ＴＣＴ_２）は、第１の実施態様例（ＴＣＴ_１）および以前の構造よりもはるかに優れた安全性限界を提供する。

[0193] 定理５−長いメッセージに対する誕生日限界を超える安全性

は調整可能ブロック暗号（「ＴＢＣ」）であり、

および

もＶ．Ｄ章におけるように定義し、

は、任意の注入マッピング(injective mapping)である。Ａは、時間ｔにおいて実行し、全長が高々μ＝σｎビットであるｑ回の質問を尋ねるノンス制約付きアドバーサリーである。あるアドバーサリーＢは、

となるように、高々σ回の質問を行い時間

において実行する。第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）に対する安全性証明のためにＴＣＴＲのこの変種を使用すると、限界から

項が除去され、これによってメッセージ長の問題が持ち上がる。この変更が行われる場合、単に１回だけではなく、呼び出し毎に

回までｇ（Ｔ，ｉ）が計算される。この問題は、ＬＲＷ２の代わりに、他の調整可能ブロック暗号（「ＴＢＣ」）を使用することによって軽減することができる（Rogaway, "Efficient Instantiations of Tweakable Blockciphers and Refinements to Modes OCB and PMAC"（調整可能ブロック暗号の効率的なインスタンス化およびモードＯＣＢおよびＰＭＡＣに対する精緻化）(2004)に記載されているように）。これは、安全性限界を著しく変化させることなく、トウィークを非常に速く増分させる。以上の変更がなされるとき、第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）は、有界でない領域において効率的な調整可能暗号を提供し、

ビット（それぞれ、

）が暗号化された後でなければ安全性保証を失わない。
[0194] 定理６および命題−従来の暗号化による、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）

、整数Ｎを仮定する。

および調整可能暗号

については定理１において説明した。Ａは、ｑ＜２^Ｎ／４回の質問を行い時間ｔにおいて実行するアドバーサリーである。アドバーサリーＢおよびＣは、

となるように、それぞれｑ回および２ｑ回の質問を行い、時間

において実行する。ここでＢはノンス制約付きである。標準的な証明では、Ｅが擬似ランダム置換（「ＰＲＰ」）のように安全である場合、Ｖ．Ｅ章における擬似コード一覧における調整可能ブロック暗号（「ＴＢＣ」）が、誕生日限界までＳＲＮＤ＄−安全であることを示す。

[0195]

はブロック暗号であると仮定し、

および

はＶ．Ｅ章における擬似コード一覧におけるように定義する。Ａは、時間ｔにおいて実行しｑ回の質問を尋ねるアドバーサリーであるとし、これらは合計で高々μ＝σｎビットである。次いで、

ここで、Ｂは、高々ａ回質問を尋ね、時間

において実行する。
[0196] このように、効率的な誕生日限界−安全な強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）を構築するために、ＬＲＷ２に基づいて

によってカウンタ・モード暗号化を構成する(compose)ことができる。

を特殊な種類のＰＲＦ（逆転可能性プロパティを有するもの）として見ることができ、入力（Ｔ，Ｘ）を取り込み、カウンタ・モードにおける使用のために「合成初期化ベクトル（「ＩＶ」）」を戻す。次いで、

の２回目の適用は、鍵Ｋ’を有する者には復元可能なまま残すようにこの合成初期化ベクトル（「ＩＶ」）を隠す役割を果たす。
[0197] このカウンタ−モード構造の安全性は、章Ｖ．Ｅ．の擬似コード一覧における

の構造において示すように、基礎のブロック暗号を「リキーイング」(re-keying)し、

を使用してメッセージ毎の鍵を生成することによって高めることができる。

を、（１）

として計算し、（２）

を戻すようにして計算できる。任意の関数

について、ｆに対するアドバーサリーＡの擬似乱数関数（ＰＲＦ）の利点は、

と定義されることを思い出すこと。次に、定理理論６に進む。
[0198] 定理６

はブロック暗号であり、

および

はＶ．Ｅ章における擬似コード一覧におけるように定義する。

は関数であり、

および

は、Ｖ．Ｅ章の擬似コード一覧におけるように定義する。Ａは、時間ｔにおいて実行し、ｑ回の質問を尋ねるノンス制約付きアドバーサリーであり、質問は、各々、高々ｍｎビットの長さである（したがって、μ≦ｑｍｎ）。

ここで、（１）Ｂは高々ｍ回の質問を尋ね、時間

において実行し、（２）Ｃはｑ回の質問を尋ね、高々時間

において実行する。
[0199] メッセージｍにおけるブロックの最大数が小さい場合、このリキーイング手法は、ノンス制約付きアドバーサリーに対して、誕生日限界を超えるＳＲＮＤ−安全性を与える潜在的可能性がある。完全ディスク暗号化（「ＦＤＥ」）の場合、例えば、

は、ｎ＝１２８のとき非常に小さく見えるので、ｑ＞＞２^６４に対する安全性が可能に思われる。この実施態様は、このようなｑのいずれに対しても安全であり続けるＰＲＦｆを使用する。

[0200] いずれの場合でも、

の構造は、調整可能プリミティブ抽象化の中核原理を破る。即ち、トウィークの変更は速くなければならず、鍵を変更するよりも遙かに速くなければならない。
[0201] 定理７−関連データ付き認証付暗号化（「ＡＥＡＤ」）に対する守秘性 ＶＩ．Ｂ章における擬似コード一覧において定義したように、

ｓはEncodeMsgの最大ストレッチであり、ｓ’はEncode_Ｈの最大ストレッチであり、ｍは、ある

に対して、

を満たす、最も短い

の長さである。Ａは、合計でμビットとなるｑ回の質問を行い、時間ｔにおいて実行するアドバーサリーである。δ_Mが増大しつつあり、｛０，１，．．．，ｑ｝上で凸であるとき、このδ_Mに対してEncode_Hが（ｄ，δ_H)−衝突であり、Encode_Mが（２，δ_M)−衝突である場合、

となるようなアドバーサリーＢがある。ここで、Ｂは全長が高々μ＋ｑ（ｓ＋ｓ’）ビットであるｑ回の質問を行い、時間

において実行する。
[0202] 定理８-関連データ付き認証付暗号化（「ＡＥＡＤ」）に対する真正性 ＶＩ．Ｂ章の擬似コード一覧において定義したように、

ｓはEncodeMsgのストレッチであり、ｓ’はEncode_Hの最大ストレッチであり、ｍは、ある

について

を満たす最も短い

の長さである。Ａは、その暗号化（それぞれ、復号）オラクルに、合計でμ_ε（それぞれ、

）ビットとなるｑ_ε（それぞれ、

）回の質問を行い、時間ｔにおいて実行するアドバーサリーである。Encode_Mが ∈−疎で、

である場合、

となるようなアドバーサリーＢがあり、ここで、Ｂは、全長（μ_ε＋ｑ_εｓ）ビットのｑ_ε回の順方向質問(forward-query)、全長

ビットのｑ_Ｄ回の逆方向−質問を行い、

時間において実行する。
[0203] Encode_Hが（２，０）−衝突である場合について検討する。この場合、守秘性限界（定理７）は、

に簡略化する。これは直観的である。何故なら、トウィーク

が決して繰り返さない場合、出力

は（Ｈ，Ｍ）の任意の有効な

へのエンコードに対して、均一なランダム文字列となるからであり、Encode_H（Ｈ，Ｍ）＝Ｍで十分である。つまり、ヘッダＨを正しくエンコードすると、（Ｈ，Ｍ）の

へのエンコードにかかる負担を大幅に低減することができる。
[0204] 更に一般的には、ある小さな定数ｄ＜＜ｑに対して、Encode_Hが任意の

をｄ回よりも多く生成する確率は、無視し得ると仮定する。すると、限界における最終項を事実上無視することができる。第２項は、大まかに、

となる。ここで、δ_Mはｑではなくｄにおいて評価され、したがってｑδ_Ｍ（ｄ）は、適度な量のランダム性を

にエンコードすることによって（例えば、ｌｏｇ（ｑ）ビット）無視可能にできることに注意すること。次いで、ある自然なEncodeMsgの選択では、ｑ／２^ｍ＋１が優勢項となり、ここでｍは

の最も短い長さである。しかし、正しい真正性限界を達成するために、ｍがｑ／２^ｍ＋１に限界を破壊させる(ruin)ことはありそうもない。
[0205] トウィークが存在することによって、ランダム性または状態のための「余分な」ビットを、ヘッダのエンコードに移すことが可能になり、潜在的に、暗号的に処理しなければならないビット数が減少する。

[0206] これより真正性限界（定理８）に移り、Encode_Mがｂ冗長ビット（したがって、∈≒２^−ｂ）およびｑ_ε＋ｑ_D＜＜２^ｍを挿入する場合、真正性限界の第２項は、近似的にｑ_Ｄ／２^ｂとなることを注記しておく。つまり、調整可能暗号

が、例えば、２^８０回の質問まで強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）−安全性を有する場合（例えば、ＰＩＶをＮ＝２５６でしかるべくインスタンス化する）、ノンスによってヘッダをエンコードし、８０ビットの冗長性でメッセージをエンコードすると、大凡８０ビットの守秘性および真正性保証がある関連データ付き認証付暗号化（「ＡＥＡＤ」）方式、およびノンス−誤用に耐えることができるものが得られる。

[0207] 定理８の証明は、アドバーサリーがEncode_MおよびEncode_Hのコインおよび状態を制御するのであっても、先に述べた限界がそのままである(hold)ことを示すために容易に修正することができる。加えて、復号オラクルの質問のみが冗長でないと仮定し、アドバーサリーは、ヘッダまたはメッセージにエンコードされるいずれのノンスにも配慮しないと仮定する。

[0208] 定理７の証明

はランダム暗号である。Ψ[Π]は、

のアルゴリズムにおけるいずれかの場所で、

および

をΠおよびΠ^−１でぞれぞれ置き換えることによって得られた関連データ付き認証付暗号化（「ＡＥＡＤ」）方式である。ε_Πは、対応する暗号化アルゴリズムである。それ自体のオラクルに応じてε_Ｋまたはε_Πをシミュレーションする標準的なアドバーサリーＢに対して、

これは、

を残す。
[0209] 図１０における３つのゲームのシーケンスは、証明を例示するのに役立つ。図１０において、四角く囲ったコマンドは、ゲーム１には含まれるがゲーム２からは省略され、ε_Πオラクルに常にランダム文字列を返させる。ゲーム３は、この変化をアドバーサリーが検出することができる確率を制限する(bound)（「悪い」値が設定される確率によって測定されるように）。

[0210] ｓは、Encode_Mのストレッチである。ゲーム１（図１０における）は、Πを定義するためにレイジー・サンプリングを使用してε_Πを実装する。具体的には、ｉ番目の質問（Ｈ_ｉ，Ｍ_ｉ）において、ゲーム１はエンコード

を計算し、次いで、

に割り当てるための潜在的な値Ｓ_ｉをサンプリングする。この値は、

が未だ設定されていない限り、そして以前にＳ_ｉが

と共に使用されていない限り有効である。そうでない場合、ゲーム１はｂａｄ_１またはｂａｄ_２を設定し、次いでＳｉにしかるべき値を割り当て直す。
[0211] ゲーム２（図１０における）は、ｂａｄ_１またはｂａｄ_２が設定されるまで、ゲーム１と同一であるので、

ここで、最終ライン(final line)は、ゲーム−プレーイングの基本的命題の代替定式化(formulation)を使用する。ゲーム２では、Ｓ_ｉの値は

において常に均一にランダムであり、ε_Πの出力は、各Ｍ_ｉとは独立である。その結果、Ａが停止した後まで、各Ｍ_ｉへの値の割り当てを遅らせることができる。一方、このために、ｂａｄ_１またはｂａｄ_２を設定すべきか確認するためのチェックを、これらがそうなる確率を変えることなく、遅らせることが可能になる。これらの変更双方を行うことによって、ゲーム３（図１０における）が求められるので、

となる。つまり、

ここで、最後の式は、ゲーム３において、各Ｓ_ｉが独立して、そして均一にランダムに、しかるべき大きさにされた文字列の集合からサンプリングされるという事実から得られる。要点を纏めると、この時点において、

となる。
[0212]

に対して上界を確立するために、ゲーム３において実行した後に、Ａがその出力を丁度生成したところであると仮定する。ｂａｄ_１が設定される確率を制限する(bound)ために、

はゲームの間に生成された別個のトウィーク・エンコード(tweak encodings)の数である。

は、

である場合のみに限ってｉおよびｊが同じクラス内にあるというプロパティによって特徴付けられる等価クラス(equivalence class)である。ｂａｄ_１が設定される確率は、高々

である。上界は、時点

において増加凸関数δ_Ｍの値を総和することによって得られ、ここで、

である。したがって、Ｎ＝１およびＲ_１＝（１，２，．．．，ｑ｝であるときに、限界は最も大きくなる（固定のｑに対して）。しかし、各｜Ｒ_Ｋ｜＜ｄとなる、Ｃａｐｐｅｄと称されるイベントを仮定する。この場合、

Ｃａｐｐｅｄが発生したと想定すると、

および、ｋ＝１，２，．．．、Ｎ−１について、

であるときに、

は最大になる。これから、次の式が得られる。

同様に、

標準(standard)

であるので、誕生日限界（｛０，１｝^ｍから均一にサンプリングされたｉ個の独立したランダム変数間における衝突の確率に対する）は、増加凸関数の判断基準を満たす。
[0213] 定理８の証明 Ｂは、ＡについてのＩＮＴ−ＣＴＸＴ実験をシミュレーションし、ＡがＦｏｒｇｅｓを真に設定する場合に１を出力する強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）アドバーサリーであるとする。すると、

となり、ここで、Ψ [Π]は、Ψのアルゴリズムにおけるいずれかの場所で、

および

をΠおよびΠ^−１でぞれぞれ置き換えることによって得られた方式であり、

は、自然な方法で定義される（Ｋではなく、Πのランダム選択に対する確率で）。
[0214] ゲーム４（図１１）は、

に対するＩＮＤ−ＣＴＸＴ実験をシミュレーションする。レイジー・サンプリングによってΠを定義することによって、

となる。

オラクルに対するコードにおいて、

が既に定義されているか否かチェックする必要はない。この可能性は、Ａが

への質問を繰り返さず、ε_Πによって以前に戻された値を

に送らないという事実によって除外される（一方、ヘッダは保存される）。

へのある質問に対して、Ａがこの質問上で偽造する(forge)確率は、対応してランダムに選択された

の値が有効なエンコードである確率に等しい。正しい長さの有効なエンコードは、高々２^｜Ｙ｜∈個であり、

は、サイズが少なくとも

である集合からサンプリングされる。その結果、Ａがこの質問上で偽装する確率は、高々

である。結合限界が証明を完成させる。
[0215] 開示した発明の原理を適用することができる多くの可能な実施形態があることに鑑み、例示した実施形態は、単に発明の好ましい例に過ぎず、発明の範囲を限定するように捕らえてはならないことは認められてしかるべきである。むしろ、本発明の範囲は以下の請求項によって定められるものとする。したがって、これらの請求項の範囲および主旨に該当する全てを、本発明者の発明として特許請求する。

Claims (46)

1. 暗号化および／または復号のためのコンピュータに実装されるシステムであって、
   固定長初期化ベクトルを生成するように構成された第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）と、
   前記固定長初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成された可変入力長調整可能暗号（「ＶＩＬＴＣ」）と、
   固定長出力文字列を生成するように構成された第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）と、
   を含む、システム。
2. 請求項１に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントへの第１コールによって供給され、前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントへの第２コールによって供給される、システム。
3. 請求項２に記載のシステムにおいて、前記第１コールにおいて、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントが、固定長入力文字列を、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１入力として受け入れ、更にトウィークおよび可変長入力文字列の組み合わせを前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１トウィークとして受け入れ、前記第２コールにおいて、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントが、前記固定長初期化ベクトルを、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２入力として受け入れ、前記トウィークおよび前記可変長出力文字列の組み合わせを前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２トウィークとして受け入れる、システム。
4. 請求項１に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントを介して供給される、システム。
5. 請求項１に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）および前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記固定長初期化ベクトルを、前記システム外部への露出から保護する、システム。
6. 請求項１に記載のシステムにおいて、前記システムが、当該システムに対するトウィークとして、当該システムの環境的特徴に基づく値を受け入れる、システム。
7. 請求項１に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）、前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、特殊目的ハードウェアを使用して実装される、システム。
8. 請求項１に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）、前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、汎用ハードウェア上で実行するソフトウェアを使用して実装される、システム。
9. 請求項１に記載のシステムにおいて、前記固定長初期化ベクトルが、Ｎ−キャラクタ初期化ベクトルであり、前記固定長出力文字列が、Ｎ−キャラクタ出力文字列であり、
   前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−キャラクタ初期化ベクトルを生成するように構成された第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）であり、
   前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−キャラクタ初期化ベクトルをトウィークとして使用して、前記可変長出力文字列を生成するように構成され、
   前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−キャラクタ出力文字列を生成するように構成された第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）である、システム。
10. 請求項９に記載のシステムであって、更に、
    Ｎ−キャラクタ入力文字列および可変長入力文字列を格納する第１バッファと、
    前記Ｎ−キャラクタ出力文字列および前記可変長出力文字列を格納する第２バッファと、
    を含む、システム。
11. 請求項１０に記載のシステムにおいて、前記Ｎ−キャラクタ入力文字列、前記可変長入力文字列、前記Ｎ−キャラクタ出力文字列、および前記可変長出力文字列のキャラクタが、所定の有限の１組の記号から選択される、システム。
12. 請求項９に記載のシステムにおいて、前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）、前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）、および前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）が、ランダム生成置換参照表から組み立てられる、システム。
13. 請求項９に記載のシステムにおいて、
    前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）が、Ｎ−キャラクタ入力文字列を前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび可変長入力文字列の組み合わせを前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−キャラクタ初期化ベクトルを生成するように構成され、
    前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−ビット初期化ベクトルを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、前記可変長入力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、前記可変長出力文字列を生成するように構成され、
    前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）が、前記Ｎ−キャラクタ初期化ベクトルを前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−キャラクタ出力文字列を生成するように構成される、システム。
14. 請求項１に記載のシステムにおいて、前記固定長初期化ベクトルがＮ−ビット初期化ベクトルであり、前記固定長出力文字列がＮ−ビット出力文字列であり、
    更に、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−ビット初期化ベクトルを生成するように構成された第１Ｎ−ビット調整ブロック暗号（「ＴＢＣ」）であり、
    前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−ビット初期化ベクトルをトウィークとして使用して、前記可変長出力文字列を生成するように構成され、
    前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−ビット出力文字列を生成するように構成された第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）である、システム。
15. 請求項１４に記載のシステムであって、更に、
    Ｎ−ビット入力文字列および可変長入力文字列を格納する第１バッファと、
    前記Ｎ−ビット出力文字列および前記可変長出力文字列を格納する第２バッファと、
    を含む、システム。
16. 請求項１４に記載のシステムにおいて、
    前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）が、Ｎ−ビット入力文字列を前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび可変長入力文字列の組み合わせを前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−ビット初期化ベクトルを生成するように構成され、
    前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−ビット初期化ベクトルを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、前記可変長入力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、前記可変長出力文字列を生成するように構成され、
    前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）が、前記Ｎ−ビット初期化ベクトルを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−ビット出力文字列を生成するように構成される、システム。
17. 請求項１４に記載のシステムであって、更に、
    安全性および実装効率のトレードオフを得るためにＮを調節するように構成されたコントローラを含み、Ｎの値が小さい程、安全性が悪化するが、安全性制約に応じた効率的な実装が簡素化し、Ｎの値が大きい程高い安全性が得られるが、安全性制約に応じた効率的な実装が複雑化する、システム。
18. 請求項１４に記載のシステムにおいて、前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）が同一構造を有する、システム。
19. 請求項１４に記載のシステムにおいて、前記第１Ｎ−ビットＴＣＢおよび前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）の内少なくとも１つが、ＬＲＷ２ ＴＢＣ構造であり、
    前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、反復ＬＲＷ２ ＴＢＣ構造である、システム。
20. 請求項１９に記載のシステムにおいて、前記ＬＲＷ２ ＴＢＣが、（１）（ａ）ｎ−ビットＬＲＷ２入力文字列と（ｂ）トウィーク入力のｎ−ビット・ハッシュとの間の排他的ＯＲの暗号化バージョンと、（２）前記トウィーク入力のｎ−ビット・ハッシュとの間の排他的ＯＲを計算することによって、ｎ−ビットＬＲＷ２出力文字列を生成するように構成される、システム。
21. 請求項１４に記載のシステムにおいて、
    前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）の内少なくとも１つが、ドメイン拡張ＣＬＲＷ２構造であり、
    前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、反復ＣＬＲＷ２構造である、システム。
22. 請求項１４に記載のシステムにおいて、Ｎが１２８である、システム。
23. 請求項１４に記載のシステムにおいて、Ｎが２５６である、システム。
24. コンピュータに実装される方法であって、
    固定長入力文字列および可変長入力文字列を処理して、固定長出力文字列および可変長出力文字列を生成するステップであって、
    固定長初期化ベクトルを生成するステップと、
    前記固定長初期化ベクトルをトウィークとして使用して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって、前記可変長出力文字列を生成するステップと、
    前記固定長初期化ベクトルを曖昧にするステップと、
    を含む、ステップと、
    前記固定長出力文字列および可変長出力文字列を出力するステップと、
    を含む、方法。
25. 請求項２４に記載の方法において、前記処理が、更に、
    環境的特徴に基づいてシステム・レベルのトウィークを設定するステップを含む、方法。
26. 請求項２４記載の方法において、前記固定長入力文字列がＮ−キャラクタ入力文字列であり、前記固定長出力文字列がＮ−キャラクタ出力文字列であり、前記固定長初期化ベクトルがＮ−キャラクタ初期化ベクトルである、方法。
27. 請求項２６に記載の方法において、前記Ｎ−キャラクタ初期化ベクトルが、
    第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）によって生成され、
    前記Ｎ−キャラクタ出力文字列を生成する第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）によって曖昧にされる、方法。
28. 請求項２６に記載の方法において、前記処理が、フォーマット保存暗号化の一部であり、前記Ｎ−キャラクタ入力文字列および前記可変長入力文字列が平文であり、前記Ｎ−キャラクタ出力文字列および可変長出力文字列が暗号文である、方法。
29. 請求項２６に記載の方法において、前記処理が、フォーマット保存復号の一部であり、前記Ｎ−キャラクタ入力文字列および前記可変長入力文字列が暗号文であり、前記Ｎ−キャラクタ出力文字列および可変長出力文字列が平文である、方法。
30. 請求項２４に記載の方法において、前記固定長入力文字列がＮ−ビット入力文字列であり、前記固定長出力文字列がＮ−ビット出力文字列であり、前記固定長初期化ベクトルがＮ−ビット初期化ベクトルである、方法。
31. 請求項３０に記載の方法において、前記Ｎ−ビット初期化ベクトルが、
    第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成され、
    前記Ｎ−ビット出力文字列を生成する第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって曖昧にされる、方法。
32. 請求項３０に記載の方法において、
    前記Ｎ−ビット初期化ベクトルを前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成するステップが、前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力である前記Ｎ−ビット入力文字列と、前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークである、前記システムに対するトウィークおよび前記可変長入力文字列の組み合わせとに基づき、
    前記可変長出力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって生成するステップが、前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークである前記Ｎ−ビット初期化ベクトルと、前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力である前記可変長入力文字列とに基づき、
    前記Ｎ−ビット出力文字列を前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成するステップが、前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力である前記Ｎ−ビット初期化ベクトルと、前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークである、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせとに基づく、方法。
33. 請求項３０に記載の方法において、前記処理が完全ディスク暗号化の一部であり、前記Ｎ−ビット入力文字列および前記可変長入力文字列が平文であり、前記Ｎ−ビット出力文字列および前記可変長出力文字列が暗号文である、方法。
34. 請求項３０に記載の方法において、前記処理が完全ディスク復号の一部であり、前記Ｎ−ビット入力文字列および前記可変長入力文字列が暗号文であり、前記Ｎ−ビット出力文字列および前記可変長出力文字列が平文である、方法。
35. 請求項３０に記載の方法において、前記処理が、関連データ付き認証付暗号化の一部であり、前記Ｎ−ビット入力文字列および前記可変長入力文字列が平文であり、前記Ｎ−ビット出力文字列および前記可変長出力文字列が暗号文である、方法。
36. 請求項３０に記載の方法において、前記処理が、関連データによる認証復号の一部であり、前記Ｎ−ビット入力文字列および前記可変長入力文字列が暗号文であり、前記Ｎ−ビット出力文字列および前記可変長出力文字列が平文である、方法。
37. 請求項３０に記載の方法であって、更に、安全性および実装効率のトレードオフを得るためにＮを調節するステップを含み、Ｎの値が小さい程、安全性が悪化するが、安全性制約に応じた効率的な実装が簡素化し、Ｎの値が大きい程高い安全性が得られるが、安全性制約に応じた効率的な実装が複雑化する、方法。
38. 暗号化および／または復号のためのコンピュータに実装されるシステムであって、
    Ｎ−ビット入力文字列および可変長入力文字列を格納する第１バッファと、
    第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）であって、前記Ｎ−ビット入力文字列を前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長入力文字列の組み合わせを前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−ビット初期化ベクトルを生成するように構成された、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）と、
    可変入力長調整可能暗号（「ＶＩＬＴＣ」）であって、前記Ｎ−ビット初期化ベクトルを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、前記可変長入力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、可変長出力文字列を生成するように構成された、可変入力長調整可能暗号（「ＶＩＬＴＣ」）と、
    第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）であって、前記Ｎ−ビット初期化ベクトルを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−ビット出力文字列を生成するように構成された、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）と、
    前記Ｎ−ビット出力文字列および前記可変長出力文字列を格納する第２バッファと、
    を含む、システム。
39. 請求項３８に記載のシステムにおいて、前記システムに対するトウィークが、前記システムの環境的特徴に基づく値である、システム。
40. 請求項３８に記載のシステムであって、更に、
    安全性および実装効率のトレードオフを得るためにＮを調節するように構成されたコントローラを含み、Ｎの値が小さい程、安全性が悪化するが、安全性制約に伴う効率的な実装が簡素化し、Ｎの値が大きい程高い安全性が得られるが、安全性制約に伴う効率的な実装が複雑化する、システム。
41. コンピュータに実装される方法であって、
    ヘッダおよびメッセージを受けるステップと、
    可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して前記メッセージを処理して、関連データ付き認証付暗号化を行うステップであって、前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークが、少なくとも部分的に前記ヘッダに基づき、前記処理が、暗号化メッセージを生成する、ステップと、
    前記ヘッダおよび前記暗号化メッセージを出力するステップと、
    を含む、方法。
42. 請求項４１に記載の方法において、前記メッセージを処理するステップが、
    前記ヘッダおよび再現情報を使用して修正ヘッダを決定するステップと、
    前記メッセージおよび前記修正ヘッダを使用して修正メッセージを決定するステップと、
    前記修正ヘッダを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして、前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して前記修正メッセージを暗号化するステップと、
    を含む、方法。
43. 請求項４２に記載の方法であって、更に、
    前記再現情報を出力するステップを含む、方法。
44. コンピュータに実装される方法であって、
    ヘッダおよび暗号化メッセージを受けるステップと、
    可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して前記暗号化メッセージを処理して、関連データ付き認証付復号を行うステップであって、前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークが少なくとも部分的に前記ヘッダに基づき、前記処理がメッセージを生成するステップと、
    前記メッセージを出力するステップと、
    を含む、方法。
45. 請求項４４に記載の方法であって、更に、
    再現情報を受けるステップを含む、方法。
46. 請求項４５記載の方法において、前記暗号化メッセージを処理するステップが、
    前記ヘッダおよび前記再現情報を使用して修正ヘッダを決定するステップと、
    前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して、前記修正ヘッダを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして、前記暗号化メッセージを復号することによって、修正メッセージを生成するステップと、
    前記修正メッセージおよび前記修正ヘッダを使用して、前記メッセージを決定するステップと、
    を含む、方法。

Images