JP2024053189A - 暗号処理装置、暗号処理装置の暗号処理方法およびプログラム - Google Patents

暗号処理装置、暗号処理装置の暗号処理方法およびプログラム Download PDF

Info

Publication number
JP2024053189A
JP2024053189A JP2022159284A JP2022159284A JP2024053189A JP 2024053189 A JP2024053189 A JP 2024053189A JP 2022159284 A JP2022159284 A JP 2022159284A JP 2022159284 A JP2022159284 A JP 2022159284A JP 2024053189 A JP2024053189 A JP 2024053189A
Authority
JP
Japan
Prior art keywords
masked
nonlinear conversion
mask value
round
conversion table
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2022159284A
Other languages
English (en)
Inventor
慶久 下川
昭好 桃井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Canon Inc
Original Assignee
Canon Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Canon Inc filed Critical Canon Inc
Priority to JP2022159284A priority Critical patent/JP2024053189A/ja
Priority to KR1020230130156A priority patent/KR20240046850A/ko
Priority to US18/478,819 priority patent/US20240113871A1/en
Priority to EP23200808.6A priority patent/EP4351080A1/en
Priority to CN202311294939.9A priority patent/CN117834119A/zh
Publication of JP2024053189A publication Critical patent/JP2024053189A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/002—Countermeasures against attacks on cryptographic mechanisms
    • H04L9/003—Countermeasures against attacks on cryptographic mechanisms for power analysis, e.g. differential power analysis [DPA] or simple power analysis [SPA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

【課題】回路規模の増加を抑え、処理速度を低下させることなく、サイドチャネル攻撃耐性を向上できるようにする。【解決手段】暗号処理装置は、乱数を生成する乱数生成手段と、前記乱数をマスク値として、マスク付き非線形変換テーブルを生成するテーブル生成手段と、前記マスク値および前記マスク付き非線形変換テーブルを記憶する記憶手段と、前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの書き換える一組を選択する第一の選択手段と、前記マスク値および前記マスク付き変換テーブルを用いて演算を行う演算手段と、前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの前記演算手段が必要とする前記マスク値および前記マスク付き非線形変換テーブルを選択する第二の選択手段とを有する。【選択図】図４

Description

本開示は、暗号処理装置、暗号処理装置の暗号処理方法およびプログラムに関する。
暗号技術において、暗号鍵は重要な情報である。ＡＥＳ（Advanced Encryption Standard）（非特許文献１）などの共通鍵暗号においては、共通の暗号鍵が暗号化時と復号化時の両方に使われる。万一、暗号鍵が漏洩してしまうと、漏洩した暗号鍵によって、第三者が、暗号文を復号化することが可能になり、暗号化して第三者から秘匿したかった平文の情報を入手することができてしまう。そのため、暗号はその安全性を保つために、暗号鍵などの秘密情報を容易に推定できないようにする必要がある。
しかしながら、暗号鍵を盗み出す手法としてサイドチャネル攻撃（非特許文献２）という攻撃手法が提案されている。該攻撃では、暗号演算中に暗号モジュールが発生する消費電力や電磁波といったサイドチャネル情報を観測し、統計学を用いて処理することで、暗号処理で使用している暗号鍵を推定する。その中でも、ＤＰＡ（Differential Power Analysis）と呼ばれる差分電力解析手法が強力な攻撃手法として知られている。ＤＰＡでは、推定した鍵である推定鍵と、暗号処理装置への入出力、測定で得られるサイドチャネル情報との相関に着目し、取得した複数のデータを用いて統計処理をすることで鍵を特定するものである。
ＤＰＡを含むサイドチャネル攻撃への対策手法の一つとして、マスキング手法が提案されている（非特許文献３）。マスキング手法は、乱数をマスク値として平文と排他的論理和をとることで、中間値をマスク値がかかったランダムな値とし、暗号演算を行う。暗号演算の際、マスクされた中間値の非線形変換は計算が困難であるため、マスクを考慮した変換テーブルであるマスク付き非線形変換テーブルを用いて行われることが多い。マスク付き非線形変換テーブルは、マスクされた中間値を入力とし、元の中間値を非線形変換した値にマスクをかけた値を出力とするテーブルであり、マスク値ごとに異なるものとなる。マスキング手法は、常に中間値にマスクがかかった状態となるため、データとサイドチャネル情報の相関が隠蔽され、サイドチャネル攻撃耐性を持つ手法となる。
しかしながら、マスキング手法においては、新しいマスク値からマスク付き非線形変換テーブルを動的に生成する大量の演算が要求されるため、処理速度が低下するという課題があった。この課題を解決するために、いくつかの手法が提案されている。
各ラウンドのデータの各ｂｙｔｅ部分に同じマスク値を用いる手法が特許文献１で開示されている。本手法では、各ラウンドで用いるマスク値を一つに限定することで、複数のマスク値を用いる場合に比べて、必要となるマスク付き非線形変換テーブルの数を減らし、処理速度を向上している。
データ値生成命令が入力された時のみ、マスク付き非線形変換テーブルを生成する手法が特許文献２で開示されている。本手法では、暗号化処理を行うごとにマスク付き非線形変換テーブルを生成する場合に比べて、処理速度を向上している。
選択手段を持ち、乱数に応じてあらかじめ用意した複数の固定マスク値をランダムに並び替えマスクする手法が特許文献３で開示されている。本手法では、テーブル生成および暗号演算に使用しないマスク付き非線形変換テーブルを無くすことで、処理速度の向上と回路規模の削減をしている。
国際公開第２００６／１１２１１４号 特開２００７－６１８４号公報 特許第６３６５０７６号公報
FIPS 197, Advanced Encryption Standard (AES) Paul Kocher, Joshua Jaffe, Benjamin Jun, "Introduction to Differential Power Analysis", Journal of Cryptographic Engineering April 2011, Volume 1, Issue 1, pp 5-27 Thomas S. Messerges, "Securing the AES Finalists Against Power Analysis Attacks," in proceedings of Fast Software Encryption Workshop 2000, Springer-Verlag, pp. 150-164, 2001
しかしながら、従来の手法には、いくつかの課題が存在する。特許文献１および２の手法では、暗号演算とマスク付き非線形変換テーブル生成をシーケンシャルに処理する必要があり、ある一定の処理速度の向上が図れるが、サイドチャネル攻撃対策していない場合と比べると、処理速度が低下するという課題がある。また、特許文献１の手法は、同一ラウンドではデータの各ｂｙｔｅ部分に同じマスク値が用いられるため、サイドチャネル攻撃耐性が低下するという課題がある。
特許文献３の手法では、ラウンドごとにデータの各部分にかかるマスク値が変化したとしてもなお、使用するマスク値およびマスク付き非線形変換テーブルの種類が限定されるため、サイドチャネル攻撃耐性が低下する課題がある。
本開示の目的は、回路規模の増加を抑え、処理速度を低下させることなく、サイドチャネル攻撃耐性を向上できるようにすることである。
暗号処理装置は、乱数を生成する乱数生成手段と、前記乱数をマスク値として、マスク付き非線形変換テーブルを生成するテーブル生成手段と、前記マスク値および前記マスク付き非線形変換テーブルを記憶する記憶手段と、前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの書き換える一組を選択する第一の選択手段と、前記マスク値および前記マスク付き変換テーブルを用いて演算を行う演算手段と、前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの前記演算手段が必要とする前記マスク値および前記マスク付き非線形変換テーブルを選択する第二の選択手段とを有し、前記記憶手段は、前記演算手段が必要とする前記マスク値および前記マスク付き非線形変換テーブルの数に加えて、１つ以上の前記マスク値および前記マスク付き非線形変換テーブルを記憶し、前記第一の選択手段と前記第二の選択手段は、異なる前記マスク値および前記マスク付き変換テーブルを選択し、前記テーブル生成手段による前記マスク付き非線形変換テーブル生成と前記演算手段による演算は、並行して処理され、前記第一の選択手段および前記第二の選択手段は、前記記憶手段の書き換え完了後、書き換えた前記マスク値および前記マスク付き非線形変換テーブルと異なる前記マスク値および前記マスク付き非線形変換テーブルを選択する。
本開示によれば、回路規模の増加を抑え、処理速度を低下させることなく、サイドチャネル攻撃耐性を向上させることができる。
ＦＩＰＳで定義されているＡＥＳの暗号化処理手順を説明する図である。 ＳｕｂＢｙｔｅｓを説明する図である。 テーブル実装を行ったＳｕｂＢｙｔｅｓを説明する図である。 暗号処理装置の構成例を示す図である。 第二の選択手段の構成例を示す図である。 順列並び替え手段の構成例を示す図である。 ４入力順列並び替え手段の構成例を示す図である。 各ラウンドのマスク値の並び替え例を示す図である。 演算手段の構成例を示す図である。 暗号処理方法の暗号化のフローチャートである。 暗号処理装置のタイミングチャートである。 ＦＩＰＳで定義されているＡＥＳの復号化処理手順を説明する図である。 演算手段の構成例を示す図である。 暗号処理方法の復号化のフローチャートである。
以下に、図面を参照して、実施形態を説明する。なお、以下の実施形態はあくまで例示であり、適用可能な暗号処理装置はＡＥＳを用いる暗号処理装置に限定されるものではない。例えば、暗号アルゴリズムのうちのＤＥＳやＳＭ４などのブロック暗号処理においてテーブルを参照して非線形変換を行う暗号処理装置に対して広く適用可能である。
（第一の実施形態）
以下に、図面を参照して、第一の実施形態を説明する。まず、ＡＥＳの暗号化処理の概要について説明する。ここでは、ＡＥＳの鍵長は１２８ｂｉｔであるものとして説明を行うが、ＡＥＳがサポートしている鍵長１２８ｂｉｔ、１９２ｂｉｔ、２５６ｂｉｔであればいずれでも構わない。
図１は、ＦＩＰＳで定義されているＡＥＳの暗号化処理手順を説明するためのフローチャートである。ただし、図１におけるAddRoundKey処理と、SubBytes処理と、ShiftRows処理と、MixColumns処理は、「ＦＩＰＳ １９７」にてサブブロック演算として規定される同名の処理である。AddRoundKey処理は、暗号鍵より生成する１２８ｂｉｔのラウンド鍵と１２８ｂｉｔの入力データとのｂｉｔごとの排他的論理和を計算する。SubBytes処理は、図２に示すように、AddRoundKey処理の結果を８ｂｉｔずつに分割し、非線形変換である逆元計算と、線形変換であるAffine変換を行う。一般的に、SubBytes処理は、図３のように、非線形変換テーブルを用いてテーブル変換で行われることが多い。非線形変換テーブルは、入力８ｂｉｔと出力８ｂｉｔの対応関係を示すテーブルであり、８ｂｉｔ×２５６要素で構成される。ShiftRows処理は、１２８ｂｉｔのSubBytes処理の結果を８ｂｉｔずつに分割してバイト転置を行う。MixColumns処理は、ShiftRows処理の結果を３２ｂｉｔに分割して行列演算を行う。
暗号化を開始すると、まず、ステップＳ１０において、AddRoundKey処理が行われる。続いて、ステップＳ１１において、AddRoundKey処理の結果を基に、SubBytes処理が行われる。次に、ステップＳ１２において、ShiftRows処理が行われる。続いて、ステップＳ１３において、ＡＥＳのラウンドが判断される。判断の結果、ＡＥＳのラウンドが１から９ラウンドの場合は、ステップＳ１４において、MixColumns処理が行われ、再び、ステップＳ１０へ戻る。一方、ステップＳ１３において、ＡＥＳのラウンドが１０ラウンドの場合は、ステップＳ１５において、AddRoundKey処理が行われ、その結果を暗号文として暗号化を終了とする。
図４は、第一の実施形態に係る暗号処理装置１の構成例を示す図である。暗号処理装置１は、乱数生成手段１０と、テーブル生成手段２０と、第一の選択手段３０と、記憶手段４０と、第二の選択手段５０と、演算手段６０を有する。暗号処理装置１は、入力された平文Ｐと暗号鍵Ｋを基に、暗号文Ｃを出力する。ただし、平文Ｐは、暗号処理装置１から入力受付可能信号が出力されたときのみ入力される。
暗号処理装置１における典型的な暗号化処理の流れを説明する。暗号化処理は、暗号処理装置１の起動時に行う前処理と、暗号化処理と、マスク付き非線形変換テーブル生成処理の３つの処理で構成される。暗号化処理とマスク付き非線形変換テーブル生成処理は、前処理の完了後に、二つが並行して処理される。
＜前処理＞
暗号処理装置１における前処理の流れを説明する。前処理では、演算手段６０が必要とする数のマスク値およびマスク付き非線形変換テーブルを生成し、記憶手段４０に記憶する。例えば、ＡＥＳでは１６個のマスク値およびマスク付き非線形変換テーブルを生成すればよい。
初めに、乱数生成手段１０は、８ｂｉｔの乱数ｒを生成し、マスク値としてテーブル生成手段２０に入力する。テーブル生成手段２０は、「ＦＩＰＳ １９７」で規定されたSubBytesの入出力結果をテーブル化した初期非線形変換テーブルを保持している。テーブル生成手段２０は、マスク値と初期非線形変換テーブルの配列データＳ［０］，・・・，Ｓ［２５５］を基に、以下のようなマスク付き非線形変換テーブルの配列データＳｍ［０］，・・・，Ｓｍ［２５５］を生成する。ここで、＋はＸＯＲを示す。
Ｓｍ［ｘ］＝Ｓ［ｘ＋ｒ］＋r
（ｘ＝０，１，・・・，２５５）
マスク値および生成したマスク付き非線形変換テーブルは、第一の選択手段３０へ出力され、第一の選択手段３０を介し、記憶手段４０に記憶される。テーブル生成手段２０は、記憶手段４０に記憶するマスク値およびマスク付き非線形変換テーブルの番号を示すインデックス値ｉを生成し、第一の選択手段３０と第二の選択手段５０に出力する。図４に示すように、第一の選択手段３０は、記憶手段４０が持つ１７個のマスク値ｍｉ（ｉ＝０，・・・，１６）およびマスク付き非線形変換テーブルＳｍｉのいずれか一組を選択する。第一の選択手段３０は、テーブル生成手段２０が出力するインデックス値ｉを受け、ｉ番目のマスク値およびマスク付き非線形変換テーブルを選択する。前処理開始時は、テーブル生成手段２０は、インデックス値としてｉ＝０を出力するため、第一の選択手段３０によって、ｍ0およびＳｍ0が選択される。選択したマスク値ｍ0およびマスク付き非線形変換テーブルＳｍ0の書き換えが完了後、テーブル生成手段２０は、インデックス値をｉ＝ｉ＋１＝０＋１＝１として第一の選択手段３０に出力し、次のマスク付き非線形変換テーブルの生成を開始する。続いて、第一の選択手段３０は、インデックス値ｉ＝１を受信すると、１番目のマスク値ｍ1およびマスク付き非線形変換テーブルＳｍ1を選択する。テーブル生成手段２０は、乱数生成手段１０が生成した８ｂｉｔの乱数ｒをマスク値として、同様の手順でマスク付き非線形変換テーブルを生成し、第一の選択手段３０が選択するマスク値およびマスク付き非線形変換テーブルを書き換える。以上の操作を繰り返し、演算手段６０がＡＥＳの暗号演算を行うために必要な１６個のマスク値およびマスク付き非線形変換テーブルを記憶手段４０に記憶する。その後、テーブル生成手段２０は、ｉ＝ｉ＋１＝１６とした後、前処理完了信号を演算手段６０に出力し、前処理を完了する。具体的には、ｍ0，・・・，ｍ15およびＳｍ0，・・・，Ｓｍ15が順番に記憶手段４０に記憶され、前処理が完了する。
＜マスク付き非線形変換テーブル生成処理＞
暗号処理装置１におけるマスク付き非線形変換テーブル生成処理の流れを説明する。マスク付き非線形変換テーブル生成処理は、前処理完了後に行われ、暗号化処理と並行して処理する。
テーブル生成手段２０は、前処理完了後、前処理と同様に、乱数生成手段１０が生成した８ｂｉｔの乱数ｒをマスク値として、新しいマスク付き非線形変換テーブルを生成する。前処理完了直後は、インデックス値がｉ＝１６となるため、第一の選択手段３０は、１６番目のマスク値ｍ16およびマスク付き非線形変換テーブルＳｍ16を選択する。テーブル生成手段２０は、マスク値およびマスク付き非線形変換テーブルの書き換えが完了し、かつ演算手段６０から演算完了信号を受信した場合、ｉ＝（ｉ＋１） ｍｏｄ １７（ただし、ａ ｍｏｄ ｂはａをｂで割った時の余りを示す）に変更して出力する。
続いて、新しいマスク値およびマスク付き非線形変換テーブルの生成を開始する。テーブル生成手段２０は、乱数生成手段１０が生成した８ｂｉｔの乱数ｒをマスク値として、マスク付き非線形変換テーブルを生成する。第一の選択手段３０は、テーブル生成手段２０が出力するインデックス値ｉを基に、マスク値ｍiおよびマスク付き非線形変換テーブルＳｍiを選択する。テーブル生成手段２０は、マスク値およびマスク付き非線形変換テーブルの書き換えが完了し、かつ演算手段６０からの演算完了信号を受信した場合、インデックス値をｉ＝（ｉ＋１） ｍｏｄ １７とする。
具体的には、前処理完了直後は、インデックス値はｉ＝１６であるため、第一の選択手段３０は、ｍ16およびＳｍ16を選択する。マスク付き非線形変換テーブルの書き換え完了後、インデックス値ｉは０となるため、第一の選択手段３０は、ｍ0およびＳｍ0を選択し、テーブル生成手段２０はマスク付き非線形変換テーブルを生成し始める。以上の操作を繰り返すことで、マスク値およびマスク付き非線形変換テーブルは順番に書き換えられ、暗号化処理を行うほど、演算手段６０が使用するマスク値とマスク付き非線形変換テーブルの種類が増加する。
＜暗号化処理＞
次に、暗号処理装置１における暗号化処理の流れを説明する。暗号化処理は、前処理完了後に行われ、マスク付き非線形変換テーブル生成処理と並行して処理する。暗号化処理では、演算手段６０は、入力された平文Ｐと、暗号鍵Ｋと、記憶手段４０に記憶するマスク値およびマスク付き非線形変換テーブルから、暗号文Ｃを出力する。マスク値およびマスク付き非線形変換テーブルは、第二の選択手段５０を介して、記憶手段４０から演算手段６０に入力される。
図５に示すように、第二の選択手段５０は、要素選択手段５０１と、順列並び替え手段５０２を有する。要素選択手段５０１は、記憶手段４０から入力される１７組のマスク値およびマスク付き非線形変換テーブルのうち、テーブル生成手段２０のインデックス値ｉに従い、書き換え中のｉ番目のマスク値およびマスク付き非線形変換テーブル以外の１６組を選択する。前処理完了直後は、ｉ＝１６であるため、１６組のマスク値ｍ0，・・・，ｍ15およびマスク付き非線形変換テーブルＳｍ0，・・・，Ｓｍ15を選択する。
続いて、順列並び替え手段５０２が、乱数生成手段１０から入力された４８ｂｉｔの乱数に応じて、マスク値およびマスク付き非線形変換テーブルをラウンドごとにランダムに並び替え、演算手段６０に出力する。順列並び替え手段５０２は、図６に示すように、１２個の４入力順列並び替え手段５０２０を有する。また、４入力順列並び替え手段５０２０は、図７に示すように構成される。４入力順列並び替え手段５０２０は、８つの２入力ＭＵＸを有し、１ｂｉｔの乱数ｒ０，ｒ１，ｒ２，ｒ３の計４ｂｉｔによって順列並び替えを行う。乱数ｒ０からｒ３は、それぞれ、異なる２つの２入力ＭＵＸに選択信号として入力される。この時、２つの２入力ＭＵＸのうちの一方には乱数がそのまま入力され、もう一方には乱数をｂｉｔ反転した値が入力される。２入力ＭＵＸは、乱数に従って、２入力のうちのどちらか一方を選択し出力するが、選択信号として、お互いにｂｉｔ反転した値が入力されるため、２つの２入力ＭＵＸは異なるマスク値を出力する。
以上の操作によって、４入力順列並び替え手段５０２０は、４入力を順列並び替えする。順列並び替え手段５０２に入力された１６ｂｙｔｅのマスク値は、４ｂｙｔｅごとに４つの４入力順列並び替え手段５０２０に入力される。４つの４入力順列並び替え手段５０２０は、それぞれが４ｂｉｔの乱数によってランダムに順列並び替えを行い、図６のように、４つの４入力順列並び替え手段５０２０に出力する。同様に、４つの４入力順列並び替え手段５０２０による並び替えを計３回行い、順列並び替え手段５０２はマスク値をランダムに順列並び替えしている。この際、各４入力順列並び替え手段５０２０が４ｂｉｔの乱数を必要とするため、順列並び替え手段５０２は計４８ｂｉｔの乱数を必要とする。
演算手段６０は、並び替えられた１６個のマスク値を用いて、演算手段６０で処理されるデータの各ｂｙｔｅ部分をそれぞれマスクする。マスク値は、図８に示すように、ラウンドごとに異なる並び順で並び替えられる。第二の選択手段５０は、テーブル生成が完了し、テーブル生成手段２０が出力するインデックス値ｉの値が変化するまで同じ１６組のマスク値およびマスク付き非線形変換テーブルを選択する。続いて、テーブル生成手段２０が、インデックス値をｉ＝（ｉ＋１） ｍｏｄ １７として出力すると、第二の選択手段５０は、ｉ番目以外の１６組のマスク値およびマスク付き非線形変換テーブルを選択する。例えば、前処理完了直後は、マスク値ｍ0，・・・，ｍ15およびマスク付き非線形変換テーブルＳｍ0，・・・，Ｓｍ15を選択し、暗号化処理を行う。暗号化処理は、次のマスク付き非線形変換テーブル生成完了まで行われる。テーブル生成手段２０が書き換えを完了し、インデックス値をｉ＝０とすると、第二の選択手段５０は、マスク値ｍ1，・・・，ｍ16およびマスク付き非線形変換テーブルＳｍ1，・・・，Ｓｍ16を選択し、演算手段６０に出力する。暗号化処理が続く限り同様の操作を繰り返し、記憶手段４０に記憶するマスク値およびマスク付き非線形変換テーブルが組み合わせを増やしていく。
続いて、演算手段６０における処理を説明する。図９に第一の実施形態における演算手段６０の構成例を示す。演算手段６０は、制御手段６０１と、鍵拡張手段６０２と、第一の排他的論理和手段６０３と、第一の鍵演算手段６０４と、非線形変換手段６０５と、第一の線形変換手段６０６と、第二の鍵演算手段６０７と、第二の線形変換手段６０８を有する。さらに、演算手段６０は、第二の排他的論理和手段６０９と、マスク値保持手段６１０を有する。
制御手段６０１は、前処理完了信号が入力されると、暗号処理装置１の外部からの入力を受け付ける入力受付可能信号を出力する。演算手段６０は、平文Ｐが入力されると、暗号化処理を開始する。制御手段６０１は、暗号化処理が開始すると、入力受付可能信号の出力を止め、現在のラウンドを、非線形変換手段６０５と、第一の線形変換手段６０６と、第二の線形変換手段６０８と、第二の排他的論理和手段６０９に出力する。また、制御手段６０１は、最終ラウンドまで処理が完了したら、暗号処理装置１の外部およびテーブル生成手段２０に演算完了信号を出力する。制御手段６０１は、演算完了信号を出力し、かつ暗号処理装置１の外部から暗号文の入力を受け付けることを示す出力受付可能信号が入力された場合、暗号文Ｃを暗号処理装置１の外部に出力する。また、暗号文Ｃを暗号処理装置１の外部に出力したら、入力受付可能信号を暗号処理装置１の外部に出力する。また、再び平文Ｐが入力され、暗号化処理が行われている間は、演算完了信号および入力受付可能信号の出力を止める。
鍵拡張手段６０２は、暗号鍵Ｋを基にラウンド鍵を生成し、第一の鍵演算手段６０４と、第二の鍵演算手段６０７に出力する。第一の排他的論理和手段６０３は、平文Ｐと第二の選択手段５０が選択するマスク値との排他的論理和を計算することでマスク値による隠蔽を行い、第一の鍵演算手段６０４に出力する。次に、第一の鍵演算手段６０４は、第一の排他的論理和手段６０３の出力をAddRoundKey処理し、非線形変換手段６０５に出力する。
非線形変換手段６０５は、第二の選択手段５０が選択するマスク付き非線形変換テーブルを参照し、入力値をSubBytes処理する。このとき、第二の選択手段５０が選択するマスク付き非線形変換テーブルは、第一の排他的論理和手段６０３でデータの各ｂｙｔｅ部分に付加されたマスク値にそれぞれ対応するテーブルが選択され、入力値を非線形変換し、再びマスク値が付加された値を出力する。非線形変換手段６０５は、ラウンドが開始ラウンドの場合は第一の鍵演算手段６０４の結果を入力値とし、開始ラウンドの一つ後のラウンド以降の場合は第二の排他的論理和手段６０９の結果を入力値とする。
第一の線形変換手段６０６は、非線形変換手段６０５の結果を基に、開始ラウンドから最終ラウンドの一つ前のラウンドではShiftRows処理およびMixColumns処理を行い、最終ラウンドではShiftRows処理を行う。そして、第一の線形変換手段６０６は、その処理結果を第二の鍵演算手段６０７に出力する。マスク値保持手段６１０は、第二の選択手段５０で選ぶマスク値を１ラウンドの間保持し、次のラウンドになると第二の線形変換手段６０８へ出力するとともに新たなマスク値を保持する。第二の線形変換手段６０８は、マスク値保持手段６１０の出力を基に、開始ラウンドから最終ラウンドの一つ前のラウンドではShiftRows処理およびMixColumns処理を行い、最終ラウンドではShiftRows処理を行う。そして、第二の線形変換手段６０８は、その処理結果を第二の排他的論理和手段６０９に出力する。
第二の鍵演算手段６０７は、第一の線形変換手段６０６の結果をAddRoundKey処理し、第二の排他的論理和手段６０９に出力する。第二の排他的論理和手段６０９は、第二の鍵演算手段６０７の結果とマスク値と第二の線形変換手段６０８の結果とを排他的論理和する。そして、第二の排他的論理和手段６０９は、その排他的論理和を結果を、ラウンドが最終ラウンドの一つ前のラウンドまでは非線形変換手段６０５に出力し、最終ラウンドの場合は暗号文Ｃとして外部に出力する。第二の排他的論理和手段６０９は、第二の線形変換手段６０８の結果を排他的論理和することでマスク値を除去しつつ、次のマスク値を排他的論理和することで中間値をマスクしている。ただし、最終ラウンドでは、第二の排他的論理和手段６０９は、第二の線形変換手段６０８の結果だけ排他的論理和し、マスク値を除去し、暗号文Ｃとすればよい。
次に、図１０を用いて、第一の実施形態における暗号処理装置１の暗号処理方法の暗号化処理フローを説明する。第一の実施形態における暗号化処理は、暗号処理開始時に行う前処理、暗号化処理、およびマスク付き非線形変換テーブル生成処理の３つの処理で構成される。
＜前処理＞
暗号化を開始すると、ステップＳ２０１において、テーブル生成手段２０は、ｎ＝０と設定する。続いて、ステップＳ２０２において、第一の選択手段３０は、ｎ番目（ｎ＝０，・・・，１６）のマスク値およびマスク付き非線形変換テーブルを選択する。次に、ステップＳ２０３において、乱数生成手段１０は、マスク値となる８ｂｉｔの乱数ｒを生成する。
ステップＳ２０４において、テーブル生成手段２０は、生成したマスク値を基にマスク付き非線形変換テーブルを生成し、ｎ番目のマスク値およびマスク付き非線形変換テーブルを書き換える。マスク付き非線形変換テーブルの書き換えが完了したら、ステップＳ２０５において、テーブル生成手段２０は、ｎ＝ｎ＋１とする。ステップＳ２０６において、暗号処理装置１は、ｎ＜１６の場合は再びステップＳ２０２へと戻り、同様に、マスク値およびマスク付き非線形変換テーブルを生成する。一方、ステップＳ２０２からＳ２０５のステップを１６回繰り返し、ステップＳ２０５において、ｎ＝１６となった場合には、前処理を完了とし、続いて以下の暗号化処理とマスク付き非線形変換テーブル生成処理を並行動作する。
＜マスク付き非線形変換テーブル生成処理＞
ステップＳ２２０において、テーブル生成手段２０は、マスク付き非線形変換テーブル生成が完了していないことを示すために、ｍ＝０とする。続いて、ステップＳ２２１において、第一の選択手段３０は、ｎ番目のマスク値およびマスク付き非線形変換テーブルを選択する。ステップＳ２２２において、乱数生成手段１０は、マスク値として８ｂｉｔの乱数ｒを生成する。ステップＳ２２３において、テーブル生成手段２０は、前処理と同様にマスク付き非線形変換テーブルを生成し、ｎ番目のマスク値およびマスク付き非線形変換テーブルを書き換える。マスク値およびマスク付き非線形変換テーブルの書き換えが完了したら、ステップＳ２２４において、テーブル生成手段２０は、ｍ＝１とし、マスク付き非線形変換テーブル生成処理を完了とする。
＜暗号化処理＞
ステップＳ２１０において、要素選択手段５０１は、ｎ番目以外のマスク値およびマスク付き非線形変換テーブルを選択する。ステップＳ２１１では、演算手段６０は、平文Ｐが入力されるまで待機する。平文Ｐが入力されたら、ステップＳ２１２において、演算手段６０は、ステップＳ２１０で選択したｎ番目以外のマスク値およびマスク付き非線形変換テーブルを用いて、平文Ｐを暗号化する。暗号化完了後、ステップＳ２１３において、演算手段６０は、ｍ＝０、つまりマスク付き非線形変換テーブル生成が完了していない場合は、再びステップＳ２１１において平文Ｐの入力を待つ。一方、ｍ＝１となり、マスク付き非線形変換テーブル生成が完了している場合は、演算手段６０は、暗号化処理を完了とする。
暗号化処理および、マスク付き非線形変換テーブル生成処理がどちらも完了した場合、ステップＳ２０７において、テーブル生成手段２０は、ｎ＝（ｎ＋１） ｍｏｄ １７とし、暗号処理装置１は、再び暗号化処理とマスク付き非線形変換テーブル生成を行う。
次に、第一の実施形態の効果を説明する。図１１に特許文献１、特許文献２、特許文献３および本実施形態における暗号化処理のタイミングチャートを示し、処理速度に与える効果を説明する。一般的にＡＥＳにおける平文Ｐの暗号化は１２８ｂｉｔ（１ブロック）を１１サイクルで処理され、特許文献１～３および本実施形態ともに１１サイクルで暗号化する。
特許文献１および２は、暗号化処理とマスク付き非線形変換テーブル生成処理をシーケンシャルに行うため、処理速度が低下してしまっていた。図１１に示す例では、特許文献１は、１ブロックの暗号化処理を行った後、２５６サイクルのマスク付き非線形変換テーブル生成処理を行う。従って、処理速度は大幅に低下し、例えば２４ブロック処理する場合は、６７５７３サイクルが必要となる。
また、特許文献２は、２４ブロックの暗号化ごとにデータ生成命令が入力され、マスク付き非線形変換テーブルを生成する場合は、本実施形態と同一の頻度でマスク付き非線形変換テーブルが更新される。２４ブロックの暗号化処理を２６４サイクルかけ行った後、データ生成命令を受け、新たなマスク付き非線形変換テーブルを２５６サイクルかけて生成するため、計５２０サイクルかかる。
一方、特許文献３では、マスク付き非線形変換テーブル生成処理を行わないため、２６４サイクルで２４ブロックの暗号化を行うことができ、サイドチャネル攻撃対策を行わない場合に２４ブロックの暗号化に必要な２６４サイクルと同等の処理速度となる。
本実施形態も特許文献１および２と同様に、テーブル生成手段２０が、２５６サイクルかけ一つの新しいマスク付き非線形変換テーブルを生成する。しかし、記憶手段４０が、演算手段６０が参照するマスク付き非線形変換テーブルと、テーブル生成手段２０が書き換えるマスク付き非線形変換テーブルを持つため、暗号化処理とマスク付き非線形変換テーブル生成処理を並行して処理できる。図１１に示す例では、２４ブロックの暗号化を行う２６４サイクルの間に、マスク付き非線形変換テーブルを書き換える。従って、本実施形態は、２４ブロックの暗号化を２６４サイクルで行うことができ、サイドチャネル攻撃対策を行わない場合に２４ブロックの暗号化に必要な２６４サイクルと同等の処理速度となる。
また、前処理は、暗号処理装置１の起動時などに１回のみ行えば良く、多数の平文Ｐを暗号化する場合には、処理速度に対する前処理の影響はほとんど無視できる。従って、サイドチャネル攻撃対策をしない場合と比べて、処理速度をほとんど低下させることなく、マスキング手法を適用することができる。
次に、回路規模に与える効果を説明する。サイドチャネル攻撃対策をしない場合、非線形変換テーブルは、４ｋｂｙｔｅのＲＯＭが必要となる。一方、本実施形態は、記憶手段４０に必要な４ｋｂｙｔｅ＋２５６ｂｙｔｅのＲＡＭおよび、初期非線形変換テーブルに必要な２５６ｂｙｔｅのＲＯＭで実装することが可能であり、それほど回路規模を増加させることなく、マスキング手法を適用することができる。
次に、サイドチャネル攻撃耐性に与える効果を説明する。特許文献３においては、マスク値が固定値であったため、マスク値が変化する場合に比べて、サイドチャネル攻撃耐性が低下していた。一方、本実施形態は、２４ブロックの暗号化ごとに使用するマスク値の一つが変化するため、暗号化処理を行うほど、使用するマスク値の種類が増加する。サイドチャネル攻撃は、多数の暗号化処理の消費電力波形や電磁波波形を必要とする。本実施形態では、サイドチャネル攻撃をするために暗号化処理を行うほど、マスク値の種類が増加し、サイドチャネル攻撃耐性を向上させることができる。
以上のように、図４の乱数生成手段１０は、乱数を生成する。テーブル生成手段２０は、上記の乱数をマスク値として、マスク付き非線形変換テーブルを生成する。記憶手段４０は、上記のマスク値およびマスク付き非線形変換テーブルを記憶する。第一の選択手段３０は、記憶手段４０に記憶されているマスク値およびマスク付き非線形変換テーブルのうちの書き換える一組を選択する。演算手段６０は、上記のマスク値およびマスク付き変換テーブルを用いて演算を行う。第二の選択手段５０は、記憶手段４０に記憶されているマスク値およびマスク付き非線形変換テーブルのうちの演算手段６０が必要とするマスク値およびマスク付き非線形変換テーブルを選択する。
記憶手段４０は、演算手段６０が必要とするマスク値およびマスク付き非線形変換テーブルの数に加えて、１つ以上のマスク値およびマスク付き非線形変換テーブルを記憶する。第一の選択手段３０と第二の選択手段５０は、異なるマスク値およびマスク付き変換テーブルを選択する。図１０のように、テーブル生成手段２０によるマスク付き非線形変換テーブル生成と演算手段６０による演算は、並行して処理される。第一の選択手段３０および第二の選択手段５０は、記憶手段４０の書き換え完了後、書き換えたマスク値およびマスク付き非線形変換テーブルと異なるマスク値およびマスク付き非線形変換テーブルを選択する。
図４の暗号処理装置１は、ブロック暗号を処理する。暗号処理装置１が処理するアルゴリズムは、例えば、ＡＥＳまたはＤＥＳまたはＳＭ４である。演算手段６０が必要とするマスク付き非線形変換テーブルの数は、ＡＥＳでは１６個である。演算手段６０が必要とするマスク付き非線形変換テーブルの数は、ＤＥＳでは８個である。演算手段６０が必要とするマスク付き非線形変換テーブルの数は、ＳＭ４では４個である。
図９では、演算手段６０は、マスク値およびマスク付き変換テーブルを用いて、平文を暗号化し、暗号文を生成する。図９の暗号化では、制御手段６０１は、制御を行う。鍵拡張手段６０２は、暗号鍵を基にラウンド鍵を生成する。マスク値保持手段６１０は、マスク値を保持する。第一の排他的論理和手段６０３は、記憶手段４０に記憶されたマスク値と平文を排他的論理和する。第一の鍵演算手段６０４は、第一の排他的論理和手段６０３の出力とラウンド鍵を用いて演算する。
非線形変換手段６０５は、入力をマスク付き非線形変換テーブルを参照して非線形変換する。第一の線形変換手段６０６は、非線形変換手段６０５の出力を線形変換する。第二の鍵演算手段６０７は、第一の線形変換手段６０６の出力とラウンド鍵を用いて演算する。第二の線形変換手段６０８は、マスク値保持手段６１０に保持されたマスク値を線形変換する。第二の排他的論理和手段６０９は、第二の鍵演算手段６０７の出力と第二の線形変換手段６０８の出力と記憶手段４０に記憶されたマスク値を排他的論理和する。
次に、ＡＥＳの暗号化の場合を説明する。第一の線形変換手段６０６は、開始ラウンドから最終ラウンドの一つ前のラウンドではShiftRows処理およびMixColumns処理を行い、最終ラウンドではShiftRows処理を行う。第二の線形変換手段６０８は、開始ラウンドから最終ラウンドの一つ前のラウンドではShiftRows処理およびMixColumns処理を行い、最終ラウンドではShiftRows処理を行う。第一の鍵演算手段６０４は、AddRoundKey処理を行う。第二の鍵演算手段６０７は、AddRoundKey処理を行う。非線形変換手段６０５は、開始ラウンドでは第一の鍵演算手段６０４の出力を入力とし、開始ラウンドの一つ後のラウンド以降では第二の排他的論理和手段６０９の出力を入力とし、SubBytes処理を行う。
以上、本実施形態によれば、暗号処理装置１は、暗号化処理と並行してマスク付き非線形変換テーブルを生成する。これにより、回路規模の増加を抑え、処理速度を低下させることなく、使用されるマスク値およびマスク付き非線形変換テーブルの種類を増加させ、サイドチャネル攻撃耐性を向上させることができる。
（第二の実施形態）
以下に、図面を参照して、第二の実施形態を説明する。なお、本実施形態の説明に用いる図面に関し、同じ機能を持つものについては同じ参照符号をつけ、説明を省く。
まず、ＡＥＳの復号化処理の概要について説明する。ここでは、ＡＥＳの鍵長は１２８ｂｉｔであるものとして説明を行うが、ＡＥＳがサポートしている鍵長１２８ｂｉｔ、１９２ｂｉｔ、２５６ｂｉｔであればいずれでも構わない。
ＡＥＳの復号化処理手順を図１２に示す。ただし、図１２におけるInvSubBytes処理と、InvShiftRows処理と、InvMixColumns処理は、「ＦＩＰＳ １９７」にてサブブロック演算として規定される同名の処理である。それぞれの処理は、第一の実施形態で説明したSubBytes処理と、ShiftRows処理と、MixColumns処理の逆変換を行う処理である。また、InvSubBytes処理は、SubBytes処理と同様に、非線形変換テーブルを用いてテーブル変換で行われることが多い。非線形変換テーブルは、入力８ｂｉｔと出力８ｂｉｔの対応関係を示すテーブルであり、８ｂｉｔ×２５６要素で構成される。
復号化を開始すると、まずステップＳ３０において、AddRoundKey処理が行われる。続いて、ステップＳ３１において、AddRoundKey処理の結果を基にInvShiftRows処理が行われる。次に、ステップＳ３２において、InvSubBytes処理が行われる。次に、ステップＳ３３において、InvSubBytes処理の結果をAddRoundKey処理する。続いて、ステップＳ３４において、ＡＥＳのラウンドが判断される。判断の結果、ＡＥＳのラウンドが１から９ラウンドの場合は、ステップＳ３５において、InvMixColumns処理が行われ、再びステップＳ３２に戻る。一方で、ステップＳ３４において、ＡＥＳのラウンドが１０ラウンドの場合は、AddRoundKey処理の結果を平文として出力し、復号化を終了とする。
第二の実施形態の暗号処理装置１の構成は、第一の実施形態と同一であり、図４に示される。暗号処理装置１は、乱数生成手段１０と、テーブル生成手段２０と、第一の選択手段３０と、記憶手段４０と、第二の選択手段５０と、演算手段６０を有する。暗号処理装置１は、入力された暗号文Ｃと、暗号鍵Ｋを基に、平文Ｐを出力する。ただし、暗号文Ｃは、暗号処理装置１から入力受付可能信号が出力された時のみ入力される。第二の実施形態の暗号処理装置１は、第一の実施形態の暗号処理装置１の構成に対し、テーブル生成手段２０および演算手段６０の機能が異なる。以下、機能の異なる手段および追加された手段について説明する。
暗号処理装置１における典型的な復号化処理の流れを説明する。復号化処理は、暗号処理装置１が起動時に行う前処理と、復号化処理と、マスク付き非線形変換テーブル生成処理の３つの処理で構成される。復号化処理とマスク付き非線形変換テーブル生成処理は、前処理完了後に、二つが並行して処理される。
＜前処理＞
暗号処理装置１における前処理の流れを説明する。前処理では、テーブル生成手段２０は、演算手段６０が必要とする数のマスク値およびマスク付き非線形変換テーブルを生成し、記憶手段４０に記憶する。例えば、ＡＥＳでは１６個のマスク値およびマスク付き非線形変換テーブルを生成すればよい。
初めに、乱数生成手段１０が、８ｂｉｔの乱数ｒを生成し、マスク値としてテーブル生成手段２０に入力する。テーブル生成手段２０は、「ＦＩＰＳ １９７」で規定されたInvSubBytesの入出力結果をテーブル化した初期非線形変換テーブルを保持している。テーブル生成手段２０は、マスク値と初期非線形変換テーブルの配列データＩＳ［０］，・・・，ＩＳ［２５５］を基に、以下のようなマスク付き非線形変換テーブルの配列データＩＳｍ［０］，・・・，ＩＳｍ［２５５］を生成する。
ＩＳｍ［ｘ］＝ＩＳ［ｘ＋ｒ］＋ｒ
（ｘ＝０，１，・・・，２５５）
上記で生成したマスク値およびマスク付き非線形変換テーブルは、第一の選択手段３０へ出力され、第一の選択手段３０を介し、記憶手段４０に記憶される。テーブル生成手段２０は、記憶手段４０に記憶するマスク値およびマスク付き非線形変換テーブルの番号を示すインデックス値ｉを生成し、第一の選択手段３０と、第二の選択手段５０に出力する。その後、テーブル生成手段２０は、第一の選択手段３０によって選択される記憶手段４０のマスク値およびマスク付き非線形変換テーブルを書き換える。前処理開始時は、テーブル生成手段２０は、インデックス値としてｉ＝０を出力するため、第一の選択手段３０によってマスク値ｍ0およびマスク付き非線形変換テーブルＩＳｍ0が選択される。選択したマスク値ｍ0およびマスク付き非線形変換テーブルＩＳｍ0の書き換えが完了後、テーブル生成手段２０は、インデックス値をｉ＝ｉ＋１として第一の選択手段３０に出力し、次のマスク付き非線形変換テーブルの生成を開始する。
以降、テーブル生成手段２０は、同様の手順でマスク付き非線形変換テーブルを生成し、インデックス値ｉに従って第一の選択手段３０が選択するマスク値およびマスク付き非線形変換テーブルを書き換える。テーブル生成手段２０は、以上の操作を繰り返し、演算手段６０がＡＥＳの演算を行うために必要な１６個のマスク値およびマスク付き非線形変換テーブルを記憶手段４０に記憶する。その後、テーブル生成手段２０は、ｉ＝ｉ＋１＝１６とした後、前処理完了信号を演算手段６０に出力し、前処理を完了する。具体的には、マスク値ｍ0，・・・，ｍ15およびマスク付き非線形変換テーブルＩＳｍ0，・・・，ＩＳｍ15が順番に記憶手段４０に記憶され、前処理が完了する。
＜マスク付き非線形変換テーブル生成処理＞
暗号処理装置１におけるマスク付き非線形変換テーブル生成処理の流れを説明する。マスク付き非線形変換テーブル生成処理は、前処理完了後に行われ、復号化処理と並行して処理する。
テーブル生成手段２０は、前処理完了後、前処理と同様に、乱数生成手段１０が生成した８ｂｉｔの乱数ｒをマスク値として、新しいマスク付き非線形変換テーブルを生成する。前処理完了直後は、インデックス値がｉ＝１６となるため、第一の選択手段３０は、１６番目のマスク値ｍ16およびマスク付き非線形変換テーブルＩＳｍ16を選択する。テーブル生成手段２０は、マスク値およびマスク付き非線形変換テーブルの書き換えが完了し、かつ演算手段６０が復号化処理を完了した場合、ｉ＝（ｉ＋１） ｍｏｄ １７とする。
続いて、テーブル生成手段２０は、新しいマスク値およびマスク付き非線形変換テーブルの生成を開始する。テーブル生成手段２０は、乱数生成手段１０が生成した８ｂｉｔの乱数ｒをマスク値として、マスク付き非線形変換テーブルを生成する。第一の選択手段３０は、テーブル生成手段２０が出力するインデックス値ｉを基に、マスク値ｍiおよびマスク付き非線形変換テーブルＩＳｍiを選択する。テーブル生成手段２０は、マスク値およびマスク付き非線形変換テーブルの書き換えが完了し、かつ演算手段６０から演算完了信号を受信した場合、インデックス値をｉ＝（ｉ＋１） ｍｏｄ １７とする。
具体的には、前処理完了直後は、インデックス値はｉ＝１６であるため、第一の選択手段３０は、マスク値ｍ16およびマスク付き非線形変換テーブルＩＳｍ16を選択する。マスク付き非線形変換テーブルの書き換え完了後、インデックス値ｉは０となるため、第一の選択手段３０は、マスク値ｍ0およびマスク付き非線形変換テーブルＩＳｍ0を選択し、テーブル生成手段２０はマスク付き非線形変換テーブルを生成し始める。以上の操作を繰り返すことで、マスク値およびマスク付き非線形変換テーブルは順番に書き換えられ、復号化処理を行うほど、演算手段６０が使用するマスク値とマスク付き非線形変換テーブルの種類が増加する。
＜復号化処理＞
次に、暗号処理装置１における復号化処理の流れを説明する。復号化処理は、前処理完了後に行われ、マスク付き非線形変換テーブル生成処理と並行して処理する。復号化処理において、演算手段６０は、入力された暗号文Ｃと、暗号鍵Ｋと、記憶手段４０に記憶するマスク値およびマスク付き非線形変換テーブルから、平文Ｐを出力する。
演算手段６０における処理を説明する。図１３に第二の実施形態における演算手段６０の構成例を示す。演算手段６０は、制御手段６０１と、鍵拡張手段６０２と、第一の排他的論理和手段６０３と、第一の鍵演算手段６０４と、非線形変換手段６０５と、第一の線形変換手段６０６と、第二の鍵演算手段６０７を有する。さらに、演算手段６０は、第二の線形変換手段６０８と、第二の排他的論理和手段６０９と、マスク値保持手段６１０を有する。第二の実施形態における演算手段６０は、第一の実施形態における演算手段６０とは、処理をする流れと、非線形変換手段６０５と、第一の線形変換手段６０６と、第二の線形変換手段６０８で行う処理と、マスク値保持手段６１０の位置が異なる。
制御手段６０１は、前処理完了信号が入力されると、入力受付可能信号を暗号処理装置１の外部に出力する。演算手段６０は、暗号文Ｃが入力された場合に、復号化処理を開始する。制御手段６０１は、復号化処理が開始すると、入力受付可能信号の出力を止め、現在のラウンドを、非線形変換手段６０５と、第一の線形変換手段６０６と、第二の線形変換手段６０８と、第二の排他的論理和手段６０９に出力する。また、制御手段６０１は、最終ラウンドまで処理が完了したら、テーブル生成手段２０および暗号処理装置１の外部に演算完了信号を出力する。制御手段６０１は、演算完了信号を出力し、かつ暗号処理装置１の外部から平文の入力を受け付けることを示す出力受付可能信号が入力された場合、平文Ｐを暗号処理装置１の外部に出力する。制御手段６０１は、平文Ｐを暗号処理装置１の外部に出力したら、入力受付可能信号を暗号処理装置１の外部に出力する。また、制御手段６０１は、再び平文Ｐが入力され、復号化処理が行われている間は、入力受付可能信号および演算完了信号を出力しない。
鍵拡張手段６０２は、暗号鍵Ｋを基にラウンド鍵を生成し、第一の鍵演算手段６０４と、第二の鍵演算手段６０７に出力する。第二の線形変換手段６０８は、第二の選択手段５０で選択するマスク値に対し、開始ラウンドの場合はInvShiftRows処理を行い、２ラウンドから最終ラウンドまでの場合はInvShiftRows処理、およびInvMixColumns処理を行う。
マスク値保持手段６１０は、第二の選択手段５０で選択するマスク値を１ラウンドの間保持し、次ラウンドで第一の排他的論理和手段６０３と第二の排他的論理和手段６０９へ出力する。第二の排他的論理和手段６０９は、入力と第二の線形変換手段６０８とマスク値保持手段６１０で保持されるマスク値の排他的論理和を計算し、第二の鍵演算手段６０７に出力する。第二の排他的論理和手段６０９は、制御手段６０１から現在のラウンドを受け取り、開始ラウンドの場合は暗号文Ｃを入力とし、２ラウンドから最終ラウンドまでの場合は非線形変換手段６０５の出力を入力として選択する。
第二の鍵演算手段６０７は、第二の排他的論理和手段６０９の出力をAddRoundKey処理し、第一の線形変換手段６０６に出力する。第一の線形変換手段６０６は、第二の鍵演算手段６０７の出力に対し、開始ラウンドではInvShiftRows処理を行い、２ラウンドから最終ラウンドまでではInvShiftRows処理、およびInvMixColumns処理を行ったものを出力する。
非線形変換手段６０５は、第二の選択手段５０が選択するマスク付き非線形変換テーブルを参照し、入力値をInvSubBytes処理する。このとき、第二の選択手段５０が選択するマスク付き非線形変換テーブルは、第二の排他的論理和手段６０９でデータの各ｂｙｔｅ部分に付加されたマスク値に対応するテーブルが選択され、入力値を非線形変換し、再びマスク値が付加された値を出力する。非線形変換手段６０５は、最初から最後の一つ前のラウンドの場合は、第二の排他的論理和手段６０９に出力し、最後のラウンドの場合は、第一の鍵演算手段６０４に結果を出力する。
第一の鍵演算手段６０４は、非線形変換手段６０５の出力をAddRoundKey処理し、第一の排他的論理和手段６０３に出力する。第一の排他的論理和手段６０３は、第一の鍵演算手段６０４とマスク値保持手段６１０に保持されるマスク値の排他的論理和を計算し、平文Ｐとして暗号処理装置１の外部に出力する。
次に、図１４を用いて、第二の実施形態における暗号処理装置１の暗号処理方法の復号化処理フローを説明する。第二の実施形態における復号化処理は、復号化処理開始時に行う前処理と、復号化処理と、マスク付き非線形変換テーブル生成処理の３つの処理で構成される。第一の実施形態の暗号化処理に対して、前処理では、ステップＳ２０２とＳ２０４が、復号化処理では、ステップＳ２１０とＳ２１１とＳ２１２が、マスク付き非線形変換テーブル生成処理では、ステップＳ２２１とＳ２２３の処理が異なるものとなっている。以下、図１４が図１０と異なる点を説明する。
＜前処理＞
前処理では、ステップＳ２０２において、第一の選択手段３０は、ｎ番目のマスク値およびマスク付き非線形変換テーブルを選択する。次に、ステップＳ２０３において、乱数生成手段１０は、マスク値となる８ｂｉｔの乱数ｒを生成する。次に、ステップＳ２０４において、テーブル生成手段２０は、生成したマスク値を基にマスク付き非線形変換テーブルを生成し、ｎ番目のマスク値およびマスク付き非線形変換テーブルを書き換える。以降は、第一の実施形態と同様に、テーブル生成手段２０は、ステップＳ２０２からＳ２０５のステップを１６回繰り返し、ステップＳ２０５において、ｎ＝１６となった場合には、前処理を完了とする。続いて、以下の復号化処理とマスク付き非線形変換テーブル生成処理を並行動作する。
＜マスク付き非線形変換テーブル生成処理＞
ステップＳ２２０において、テーブル生成手段２０は、マスク付き非線形変換テーブル生成が完了していないことを示すために、ｍ＝０とする。続いて、ステップＳ２２１において、第一の選択手段３０は、ｎ番目のマスク付き非線形変換テーブルを選択する。ステップＳ２２２において、乱数生成手段１０は、マスク値として８ｂｉｔの乱数ｒを生成する。ステップＳ２２３において、テーブル生成手段２０は、前処理と同様に、マスク付き非線形変換テーブルを生成し、ｎ番目のマスク値およびマスク付き非線形変換テーブルを書き換える。マスク値およびマスク付き非線形変換テーブルの書き換えが完了したら、ステップＳ２２４において、テーブル生成手段２０は、ｍ＝１とし、マスク付き非線形変換テーブル生成処理を完了とする。
＜復号化処理＞
ステップＳ２１０において、要素選択手段５０１は、ｎ番目以外のマスク付き非線形変換テーブルを選択する。ステップＳ２１１では、演算手段６０は、暗号文Ｃが入力されるまで待機する。暗号文Ｃが入力されたら、ステップＳ２１２において、演算手段６０は、ステップＳ２１０で選択したｎ番目以外のマスク付き非線形変換テーブルを用いて、暗号文Ｃを復号化する。復号化完了後、ステップＳ２１３において、演算手段６０は、ｍ＝０、つまりマスク付き非線形変換テーブル生成が完了していない場合は、再びステップＳ２１１において暗号文Ｃの入力を待つ。一方、ｍ＝１となり、マスク付き非線形変換テーブル生成が完了している場合は、演算手段６０は、復号化処理を完了とする。
復号化処理および、マスク付き非線形変換テーブル生成処理がどちらも完了した場合、ステップＳ２０７において、テーブル生成手段２０は、ｎ＝（ｎ＋１） ｍｏｄ １７とし、再び復号化処理とマスク付き非線形変換テーブル生成を行う。
第二の実施形態による復号化処理の効果は、第一の実施形態で説明した暗号化処理の効果と同様であるため、説明を省略する。
以上のように、図１３では、演算手段６０は、マスク値およびマスク付き変換テーブルを用いて、暗号文を復号化し、平文を生成する。図１３の復号化では、制御手段６０１は、制御を行う。鍵拡張手段６０２は、暗号鍵を基にラウンド鍵を生成する。第二の線形変換手段６０８は、マスク値を線形変換する。マスク値保持手段６１０は、マスク値を保持する。第二の排他的論理和手段６０９は、入力とマスク値保持手段６１０に保持されているマスク値と第二の線形変換手段６０８の出力を排他的論理和する。第二の鍵演算手段６０７は、第二の排他的論理和手段６０９の出力とラウンド鍵を用いて演算する。第一の線形変換手段６０６は、第二の鍵演算手段６０７の出力を線形変換する。
非線形変換手段６０５は、第一の線形変換手段６０６の出力をマスク付き非線形変換テーブルを参照して非線形変換する。第一の鍵演算手段６０４は、非線形変換手段６０５の出力とラウンド鍵を用いて演算する。第一の排他的論理和手段６０３は、第一の鍵演算手段６０４の出力とマスク値保持手段６１０に保持されているマスク値を排他的論理和する。
次に、ＡＥＳの復号化の場合を説明する。第二の排他的論理和手段６０９は、開始ラウンドでは暗号文を入力とし、開始ラウンドの一つ後のラウンド以降では非線形変換手段６０５の出力を入力とする。第一の線形変換手段６０６は、開始ラウンドではInvShiftRows処理を行い、開始ラウンドの一つ後のラウンド以降ではInvShiftRows処理およびInvMixColumns処理を行う。第二の線形変換手段６０８は、開始ラウンドではInvShiftRows処理を行い、開始ラウンドの一つ後のラウンド以降ではInvShiftRows処理およびInvMixColumns処理を行う。第二の鍵演算手段６０７は、AddRoundKey処理を行う。第一の鍵演算手段６０４は、AddRoundKey処理を行う。非線形変換手段６０５は、InvSubBytes処理を行う。
以上、本実施形態によれば、暗号処理装置１は、復号化処理と並行してマスク付き非線形変換テーブルを生成する。これにより、回路規模の増加を抑え、処理速度を低下させることなく、使用されるマスク値およびマスク付き非線形変換テーブルの種類を増加させ、サイドチャネル攻撃耐性を向上させることができる。
（その他の実施形態）
本開示は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
なお、上述の実施形態は、何れも本開示を実施するにあたっての具体例を示したものに過ぎず、これらによって本開示の技術的範囲が限定的に解釈されない。すなわち、本開示はその技術思想、又はその主要な特徴から逸脱することなく、様々な形で実施することができる。
本実施形態の開示は、以下の構成、方法およびプログラムを含む。
（構成１）
乱数を生成する乱数生成手段と、
前記乱数をマスク値として、マスク付き非線形変換テーブルを生成するテーブル生成手段と、
前記マスク値および前記マスク付き非線形変換テーブルを記憶する記憶手段と、
前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの書き換える一組を選択する第一の選択手段と、
前記マスク値および前記マスク付き変換テーブルを用いて演算を行う演算手段と、
前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの前記演算手段が必要とする前記マスク値および前記マスク付き非線形変換テーブルを選択する第二の選択手段とを有し、
前記記憶手段は、前記演算手段が必要とする前記マスク値および前記マスク付き非線形変換テーブルの数に加えて、１つ以上の前記マスク値および前記マスク付き非線形変換テーブルを記憶し、
前記第一の選択手段と前記第二の選択手段は、異なる前記マスク値および前記マスク付き変換テーブルを選択し、
前記テーブル生成手段による前記マスク付き非線形変換テーブル生成と前記演算手段による演算は、並行して処理され、
前記第一の選択手段および前記第二の選択手段は、前記記憶手段の書き換え完了後、書き換えた前記マスク値および前記マスク付き非線形変換テーブルと異なる前記マスク値および前記マスク付き非線形変換テーブルを選択することを特徴とする暗号処理装置。
（構成２）
前記演算手段は、前記マスク値および前記マスク付き変換テーブルを用いて、平文を暗号化し、暗号文を生成することを特徴とする構成１に記載の暗号処理装置。
（構成３）
前記演算手段は、前記マスク値および前記マスク付き変換テーブルを用いて、暗号文を復号化し、平文を生成することを特徴とする構成１または２に記載の暗号処理装置。
（構成４）
前記暗号処理装置は、ブロック暗号を処理することを特徴とする構成１～３のいずれか１項に記載の暗号処理装置。
（構成５）
前記暗号処理装置が処理するアルゴリズムは、ＡＥＳまたはＤＥＳまたはＳＭ４であることを特徴とする構成４に記載の暗号処理装置。
（構成６）
暗号化では、
前記演算手段は、
制御する制御手段と、
暗号鍵を基にラウンド鍵を生成する鍵拡張手段と、
マスク値を保持するマスク値保持手段と、
前記記憶手段に記憶された前記マスク値と平文を排他的論理和する第一の排他的論理和手段と、
前記第一の排他的論理和手段の出力と前記ラウンド鍵を用いて演算する第一の鍵演算手段と、
入力を前記マスク付き非線形変換テーブルを参照して非線形変換する非線形変換手段と、
前記非線形変換手段の出力を線形変換する第一の線形変換手段と、
前記第一の線形変換手段の出力と前記ラウンド鍵を用いて演算する第二の鍵演算手段と、
前記マスク値保持手段に保持されたマスク値を線形変換する第二の線形変換手段と、
前記第二の鍵演算手段の出力と前記第二の線形変換手段の出力と前記記憶手段に記憶された前記マスク値を排他的論理和する第二の排他的論理和手段と
を有することを特徴とする構成５に記載の暗号処理装置。
（構成７）
前記演算手段が必要とするマスク付き非線形変換テーブルの数は、ＡＥＳでは１６個であることを特徴とする構成５または６に記載の暗号処理装置。
（構成８）
ＡＥＳの暗号化では、
前記第一の線形変換手段は、開始ラウンドから最終ラウンドの一つ前のラウンドではShiftRows処理およびMixColumns処理を行い、最終ラウンドではShiftRows処理を行い、
前記第二の線形変換手段は、開始ラウンドから最終ラウンドの一つ前のラウンドではShiftRows処理およびMixColumns処理を行い、最終ラウンドではShiftRows処理を行い、
前記第一の鍵演算手段は、AddRoundKey処理を行い、
前記第二の鍵演算手段は、AddRoundKey処理を行い、
前記非線形変換手段は、開始ラウンドでは前記第一の鍵演算手段の出力を入力とし、開始ラウンドの一つ後のラウンド以降では前記第二の排他的論理和手段の出力を入力とし、SubBytes処理を行うことを特徴とする構成６に記載の暗号処理装置。
（構成９）
復号化では、
前記演算手段は、
制御する制御手段と、
暗号鍵を基にラウンド鍵を生成する鍵拡張手段と、
マスク値を線形変換する第二の線形変換手段と、
前記マスク値を保持するマスク値保持手段と、
入力と前記マスク値保持手段に保持されているマスク値と前記第二の線形変換手段の出力を排他的論理和する第二の排他的論理和手段と、
前記第二の排他的論理和手段の出力と前記ラウンド鍵を用いて演算する第二の鍵演算手段と、
前記第二の鍵演算手段の出力を線形変換する第一の線形変換手段と、
前記第一の線形変換手段の出力を前記マスク付き非線形変換テーブルを参照して非線形変換する非線形変換手段と、
前記非線形変換手段の出力と前記ラウンド鍵を用いて演算する第一の鍵演算手段と、
前記第一の鍵演算手段の出力と前記マスク値保持手段に保持されているマスク値を排他的論理和する第一の排他的論理和手段と
を有することを特徴とする構成５に記載の暗号処理装置。
（構成１０）
ＡＥＳの復号化では、
前記第二の排他的論理和手段は、開始ラウンドでは暗号文を入力とし、開始ラウンドの一つ後のラウンド以降では前記非線形変換手段の出力を入力とし、
前記第一の線形変換手段は、開始ラウンドではInvShiftRows処理を行い、開始ラウンドの一つ後のラウンド以降ではInvShiftRows処理およびInvMixColumns処理を行い、
前記第二の線形変換手段は、開始ラウンドではInvShiftRows処理を行い、開始ラウンドの一つ後のラウンド以降ではInvShiftRows処理およびInvMixColumns処理を行い、
前記第二の鍵演算手段は、AddRoundKey処理を行い、
前記第一の鍵演算手段は、AddRoundKey処理を行い、
前記非線形変換手段は、InvSubBytes処理を行うことを特徴とする構成９に記載の暗号処理装置。
（構成１１）
前記演算手段が必要とするマスク付き非線形変換テーブルの数は、ＤＥＳでは８個であることを特徴とする構成５に記載の暗号処理装置。
（構成１２）
前記演算手段が必要とするマスク付き非線形変換テーブルの数は、ＳＭ４では４個であることを特徴とする構成５に記載の暗号処理装置。
（方法１）
乱数を生成する乱数生成ステップと、
前記乱数をマスク値として、マスク付き非線形変換テーブルを生成するテーブル生成ステップと、
前記マスク値および前記マスク付き非線形変換テーブルを記憶手段に記憶する記憶ステップと、
前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの書き換える一組を選択する第一の選択ステップと、
前記マスク値および前記マスク付き変換テーブルを用いて演算を行う演算ステップと、
前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの前記演算ステップで必要とする前記マスク値および前記マスク付き非線形変換テーブルを選択する第二の選択ステップとを有し、
前記記憶ステップでは、前記演算ステップで必要とする前記マスク値および前記マスク付き非線形変換テーブルの数に加えて、１つ以上の前記マスク値および前記マスク付き非線形変換テーブルを前記記憶手段に記憶し、
前記第一の選択ステップと前記第二の選択ステップでは、異なる前記マスク値および前記マスク付き変換テーブルを選択し、
前記テーブル生成ステップと前記演算ステップは、並行して処理され、
前記第一の選択ステップおよび前記第二の選択ステップでは、前記記憶手段の書き換え完了後、書き換えた前記マスク値および前記マスク付き非線形変換テーブルと異なる前記マスク値および前記マスク付き非線形変換テーブルを選択することを特徴とする暗号処理装置の暗号処理方法。
（プログラム１）
コンピュータを、構成１～１２のいずれか１項に記載された暗号処理装置の各手段として機能させるためのプログラム。
１ 暗号処理装置、１０ 乱数生成手段、２０ テーブル生成手段、３０ 第一の選択手段、４０ 記憶手段、５０ 第二の選択手段、５０１ 要素選択手段、５０２ 順列並び替え手段、５０２０ ４入力順番並び替え手段、６０ 演算手段、６０１ 制御手段、６０２ 鍵拡張手段、６０３ 第一の排他的論理和手段、６０４ 第一の鍵演算手段、６０５ 非線形変換手段、６０６ 第一の線形変換手段、６０７ 第二の鍵演算手段、６０８ 第二の線形変換手段、６０９ 第二の排他的論理和手段、６１０ マスク値保持手段

Claims (14)

  1. 乱数を生成する乱数生成手段と、
    前記乱数をマスク値として、マスク付き非線形変換テーブルを生成するテーブル生成手段と、
    前記マスク値および前記マスク付き非線形変換テーブルを記憶する記憶手段と、
    前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの書き換える一組を選択する第一の選択手段と、
    前記マスク値および前記マスク付き変換テーブルを用いて演算を行う演算手段と、
    前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの前記演算手段が必要とする前記マスク値および前記マスク付き非線形変換テーブルを選択する第二の選択手段とを有し、
    前記記憶手段は、前記演算手段が必要とする前記マスク値および前記マスク付き非線形変換テーブルの数に加えて、１つ以上の前記マスク値および前記マスク付き非線形変換テーブルを記憶し、
    前記第一の選択手段と前記第二の選択手段は、異なる前記マスク値および前記マスク付き変換テーブルを選択し、
    前記テーブル生成手段による前記マスク付き非線形変換テーブル生成と前記演算手段による演算は、並行して処理され、
    前記第一の選択手段および前記第二の選択手段は、前記記憶手段の書き換え完了後、書き換えた前記マスク値および前記マスク付き非線形変換テーブルと異なる前記マスク値および前記マスク付き非線形変換テーブルを選択することを特徴とする暗号処理装置。
  2. 前記演算手段は、前記マスク値および前記マスク付き変換テーブルを用いて、平文を暗号化し、暗号文を生成することを特徴とする請求項１に記載の暗号処理装置。
  3. 前記演算手段は、前記マスク値および前記マスク付き変換テーブルを用いて、暗号文を復号化し、平文を生成することを特徴とする請求項１に記載の暗号処理装置。
  4. 前記暗号処理装置は、ブロック暗号を処理することを特徴とする請求項１に記載の暗号処理装置。
  5. 前記暗号処理装置が処理するアルゴリズムは、ＡＥＳまたはＤＥＳまたはＳＭ４であることを特徴とする請求項４に記載の暗号処理装置。
  6. 暗号化では、
    前記演算手段は、
    制御する制御手段と、
    暗号鍵を基にラウンド鍵を生成する鍵拡張手段と、
    マスク値を保持するマスク値保持手段と、
    前記記憶手段に記憶された前記マスク値と平文を排他的論理和する第一の排他的論理和手段と、
    前記第一の排他的論理和手段の出力と前記ラウンド鍵を用いて演算する第一の鍵演算手段と、
    入力を前記マスク付き非線形変換テーブルを参照して非線形変換する非線形変換手段と、
    前記非線形変換手段の出力を線形変換する第一の線形変換手段と、
    前記第一の線形変換手段の出力と前記ラウンド鍵を用いて演算する第二の鍵演算手段と、
    前記マスク値保持手段に保持されたマスク値を線形変換する第二の線形変換手段と、
    前記第二の鍵演算手段の出力と前記第二の線形変換手段の出力と前記記憶手段に記憶された前記マスク値を排他的論理和する第二の排他的論理和手段と
    を有することを特徴とする請求項５に記載の暗号処理装置。
  7. 前記演算手段が必要とするマスク付き非線形変換テーブルの数は、ＡＥＳでは１６個であることを特徴とする請求項５に記載の暗号処理装置。
  8. ＡＥＳの暗号化では、
    前記第一の線形変換手段は、開始ラウンドから最終ラウンドの一つ前のラウンドではShiftRows処理およびMixColumns処理を行い、最終ラウンドではShiftRows処理を行い、
    前記第二の線形変換手段は、開始ラウンドから最終ラウンドの一つ前のラウンドではShiftRows処理およびMixColumns処理を行い、最終ラウンドではShiftRows処理を行い、
    前記第一の鍵演算手段は、AddRoundKey処理を行い、
    前記第二の鍵演算手段は、AddRoundKey処理を行い、
    前記非線形変換手段は、開始ラウンドでは前記第一の鍵演算手段の出力を入力とし、開始ラウンドの一つ後のラウンド以降では前記第二の排他的論理和手段の出力を入力とし、SubBytes処理を行うことを特徴とする請求項６に記載の暗号処理装置。
  9. 復号化では、
    前記演算手段は、
    制御する制御手段と、
    暗号鍵を基にラウンド鍵を生成する鍵拡張手段と、
    マスク値を線形変換する第二の線形変換手段と、
    前記マスク値を保持するマスク値保持手段と、
    入力と前記マスク値保持手段に保持されているマスク値と前記第二の線形変換手段の出力を排他的論理和する第二の排他的論理和手段と、
    前記第二の排他的論理和手段の出力と前記ラウンド鍵を用いて演算する第二の鍵演算手段と、
    前記第二の鍵演算手段の出力を線形変換する第一の線形変換手段と、
    前記第一の線形変換手段の出力を前記マスク付き非線形変換テーブルを参照して非線形変換する非線形変換手段と、
    前記非線形変換手段の出力と前記ラウンド鍵を用いて演算する第一の鍵演算手段と、
    前記第一の鍵演算手段の出力と前記マスク値保持手段に保持されているマスク値を排他的論理和する第一の排他的論理和手段と
    を有することを特徴とする請求項５に記載の暗号処理装置。
  10. ＡＥＳの復号化では、
    前記第二の排他的論理和手段は、開始ラウンドでは暗号文を入力とし、開始ラウンドの一つ後のラウンド以降では前記非線形変換手段の出力を入力とし、
    前記第一の線形変換手段は、開始ラウンドではInvShiftRows処理を行い、開始ラウンドの一つ後のラウンド以降ではInvShiftRows処理およびInvMixColumns処理を行い、
    前記第二の線形変換手段は、開始ラウンドではInvShiftRows処理を行い、開始ラウンドの一つ後のラウンド以降ではInvShiftRows処理およびInvMixColumns処理を行い、
    前記第二の鍵演算手段は、AddRoundKey処理を行い、
    前記第一の鍵演算手段は、AddRoundKey処理を行い、
    前記非線形変換手段は、InvSubBytes処理を行うことを特徴とする請求項９に記載の暗号処理装置。
  11. 前記演算手段が必要とするマスク付き非線形変換テーブルの数は、ＤＥＳでは８個であることを特徴とする請求項５に記載の暗号処理装置。
  12. 前記演算手段が必要とするマスク付き非線形変換テーブルの数は、ＳＭ４では４個であることを特徴とする請求項５に記載の暗号処理装置。
  13. 乱数を生成する乱数生成ステップと、
    前記乱数をマスク値として、マスク付き非線形変換テーブルを生成するテーブル生成ステップと、
    前記マスク値および前記マスク付き非線形変換テーブルを記憶手段に記憶する記憶ステップと、
    前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの書き換える一組を選択する第一の選択ステップと、
    前記マスク値および前記マスク付き変換テーブルを用いて演算を行う演算ステップと、
    前記記憶手段に記憶されている前記マスク値および前記マスク付き非線形変換テーブルのうちの前記演算ステップで必要とする前記マスク値および前記マスク付き非線形変換テーブルを選択する第二の選択ステップとを有し、
    前記記憶ステップでは、前記演算ステップで必要とする前記マスク値および前記マスク付き非線形変換テーブルの数に加えて、１つ以上の前記マスク値および前記マスク付き非線形変換テーブルを前記記憶手段に記憶し、
    前記第一の選択ステップと前記第二の選択ステップでは、異なる前記マスク値および前記マスク付き変換テーブルを選択し、
    前記テーブル生成ステップと前記演算ステップは、並行して処理され、
    前記第一の選択ステップおよび前記第二の選択ステップでは、前記記憶手段の書き換え完了後、書き換えた前記マスク値および前記マスク付き非線形変換テーブルと異なる前記マスク値および前記マスク付き非線形変換テーブルを選択することを特徴とする暗号処理装置の暗号処理方法。
  14. コンピュータを、請求項１～１２のいずれか１項に記載された暗号処理装置の各手段として機能させるためのプログラム。
JP2022159284A 2022-10-03 2022-10-03 暗号処理装置、暗号処理装置の暗号処理方法およびプログラム Pending JP2024053189A (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2022159284A JP2024053189A (ja) 2022-10-03 2022-10-03 暗号処理装置、暗号処理装置の暗号処理方法およびプログラム
KR1020230130156A KR20240046850A (ko) 2022-10-03 2023-09-27 암호화 처리 장치, 암호화 처리 장치의 암호화 처리 방법, 및 저장 매체
US18/478,819 US20240113871A1 (en) 2022-10-03 2023-09-29 Encryption processing apparatus, encryption processing method for encryption processing apparatus, and storage medium
EP23200808.6A EP4351080A1 (en) 2022-10-03 2023-09-29 Encryption processing apparatus, encryption processing method for encryption processing apparatus, and storage medium
CN202311294939.9A CN117834119A (zh) 2022-10-03 2023-10-09 加密处理设备及其加密处理方法和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2022159284A JP2024053189A (ja) 2022-10-03 2022-10-03 暗号処理装置、暗号処理装置の暗号処理方法およびプログラム

Publications (1)

Publication Number Publication Date
JP2024053189A true JP2024053189A (ja) 2024-04-15

Family

ID=88237477

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022159284A Pending JP2024053189A (ja) 2022-10-03 2022-10-03 暗号処理装置、暗号処理装置の暗号処理方法およびプログラム

Country Status (5)

Country Link
US (1) US20240113871A1 (ja)
EP (1) EP4351080A1 (ja)
JP (1) JP2024053189A (ja)
KR (1) KR20240046850A (ja)
CN (1) CN117834119A (ja)

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101147182B (zh) 2005-03-31 2010-09-01 松下电器产业株式会社 数据加密装置及数据加密方法
JP2007006184A (ja) 2005-06-24 2007-01-11 Nippon Telegr & Teleph Corp <Ntt> 暗号処理装置及び認証アプリケーションプログラム
JP4783104B2 (ja) * 2005-09-29 2011-09-28 株式会社東芝 暗号化／復号装置
DE602006015902D1 (de) * 2006-03-07 2010-09-16 Research In Motion Ltd Tabellenteilung für kryptografische Verfahren
JP6365076B2 (ja) 2014-07-31 2018-08-01 大日本印刷株式会社 データ変換装置
US10771235B2 (en) * 2016-09-01 2020-09-08 Cryptography Research Inc. Protecting block cipher computation operations from external monitoring attacks

Also Published As

Publication number Publication date
US20240113871A1 (en) 2024-04-04
CN117834119A (zh) 2024-04-05
KR20240046850A (ko) 2024-04-11
EP4351080A1 (en) 2024-04-10

Similar Documents

Publication Publication Date Title
KR100296958B1 (ko) 블록 데이터 암호화 장치
EP0839418B1 (en) Cryptographic method and apparatus for non-linearly merging a data block and a key
US8290148B2 (en) Encryption processing apparatus, encryption processing method, and computer program
US11546135B2 (en) Key sequence generation for cryptographic operations
US8577032B2 (en) Common key block encryption device, common key block encryption method, and program
JP2002366029A (ja) Ｄｐａに対して安全な暗号化
EP1302022A2 (en) Authentication method and schemes for data integrity protection
US7190791B2 (en) Method of encryption using multi-key process to create a variable-length key
JP2005527853A (ja) 高度暗号化規格（ａｅｓ）のハードウェア暗号法エンジン
JPH0863097A (ja) データを暗号化するための対称暗号化方法およびシステム
EP2137856A1 (en) A simple and efficient one-pass authenticated encryyption scheme
JPWO2008053650A1 (ja) 共通鍵ブロック暗号化装置、その方法、そのプログラム、及び記録媒体
Elgeldawi et al. A comparative analysis of symmetric algorithms in cloud computing: a survey
CN109714154B (zh) 一种代码体积困难白盒安全模型下的白盒密码算法的实现方法
Miroshnik et al. Uses of programmable logic integrated circuits for implementations of data encryption standard and its experimental linear cryptanalysis
KR20100079060A (ko) 마스킹이 적용된 ｓｅｅｄ를 이용한 암호화 방법
RU2141729C1 (ru) Способ криптографического преобразования блоков двоичных данных
EP3996321A1 (en) Method for processing encrypted data
JP2024053189A (ja) 暗号処理装置、暗号処理装置の暗号処理方法およびプログラム
JPH0738558A (ja) 暗号化装置、及びそれを用いた通信システム及びその方法
Landge et al. VHDL based Blowfish implementation for secured embedded system design
JP2001016197A (ja) 自己同期型ストリーム暗号システム及びこれを用いたｍａｃ生成方法
Putra et al. Performance Analysis Of The Combination Of Advanced Encryption Standard Cryptography Algorithms With Luc For Text Security
Salman New method for encryption using mixing advanced encryption standard and blowfish algorithms
KR20040045517A (ko) Ｒｉｊｎｄａｅｌ암호를 이용한 블록 데이터 실시간암호복호화 장치 및 방법