JP2870532B2 - 暗号変換装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号変換装置に関
する。

【０００２】

【従来の技術】従来の代表的な暗号アルゴリズムとして
は、ＤＥＳ（Data Encryption Standard）とＦＥＡＬ
（Fast Encryption Standard）が知られており、ＤＥＳ
に関しては例えば、（１）小山他、「現代暗号理論」、
電子通信学会、ｐｐ．４１〜４９、昭和６１年９月にお
いて、また、ＦＥＡＬに関しては、（２）清水他、「高
速データ暗号アルゴリズムＦＥＡＬ」、電子通信学会論
文誌Ｄ、Ｖｏｌ．Ｊ７０−Ｄ．Ｎｏ．７、ｐｐ．１４１
３〜１４２３、１９８７年７月において、それぞれ詳細
に述べられている。

【０００３】先ず、ＤＥＳの処理における非線形の計算
部分、つまりＳボックスといわれる処理について説明す
る（上記（１）のｐ．４５、図３−２とｐ４６、図３−
３参照）。３２ビットのＲは、まず、表１に示す拡大型
転置表によって置き換えられると共に、一部のビットは
重複されて48ビットに拡大されている。

【０００４】

【表１】

【０００５】このようにして得られた４８ビットのＲ
は、頭から４ビットごとにその後の２ビットを加えた次
のような６ビットずつの８組のブロックを形成してい
る。

【０００６】 ｒ３１ ｒ１ ｒ２ ｒ３ ｒ４ ｒ５， ｒ４ ｒ５ ｒ６ ｒ７ ｒ８ ｒ９， ｒ８ ｒ９ ｒ１０ ｒ１１ ｒ１２ ｒ１３， ｒ１２ ｒ１３ ……， ……、ｒ２８ ｒ２９， ｒ２８ ｒ２９ ｒ３０ ｒ３１ ｒ３２ ｒ１， この４８ビットのＲ’は、同じく４８ビットの鍵Ｋと排
他的論理和の演算を行ない、６ビットずつ８組に分割し
て、Ｓ１からＳ８までの８つのＳボックスに入力する。
Ｓ１〜Ｓ８を選択関数と呼ぶ。これらのＳボックスは、
６ビットを入力して４ビットを出力する。

【０００７】例として、表２に一つのＳボックスＳ１を
取り上げてその換字表を示す。

【０００８】表２ 拡大型転置表 Ｅ 32 1 2 3 4 5 4 5 6 7 8 9 8 9 10 11 12 13 12 13 14 15 16 17 16 17 18 19 20 21 20 21 22 23 24 25 24 25 26 27 28 29 28 29 30 31 32 1 一つのＳボックスには、４種類（行番号０，１，２，
３）が用意され、この４種類の換字表のどれを用いるか
は、入力した６ビットのうち最初と最後のビットを用い
て換字表を選ぶ。そして選ばれた換字表にしたがって入
力した６ビットの中央の４ビットが換字される。具体的
な例として、Ｓ１に対して２進数の入力パターンが０１
１０１１となっている場合、最初の０と最後の１で表わ
されている０１、つまり行１（２進数０１は１０進数１
であるから）の換字表が選ばれる。次に中央の４ビット
のパターン１１０１（１０進数１３）で表わされる列１
３で指定され、この結果行１、列１３で指定される値
５、つまり０１０１が出力されて４ビットの換字パター
ンとなる。ＤＥＳではこのような処理ｆ（Ｒ，Ｋ）を用
い一段の処理を構成し、これを１６段繰り返す。

【０００９】上記の処理例に見られるように、ＤＥＳは
１ビット単位の処理が基本になっている。

【００１０】次にＦＥＡＬの処理における非線形の計算
部分、つまり、関数Ｓを含んでいる部分について説明す
る（上記（２）のｐ．１４１６，図４及び図５参照）。
ＦＥＡＬの非線形部はＤＥＳの非線形部に比べ、数学的
な記述が簡単である。３２ビットデータαは８ビットの
データα⁰，α¹，α²，α³にそれぞれ分割された後、８
ビットの単位として、鍵データと排他的論理和がとられ
る。その後、所定の関数Ｓによる処理が実行される。

【００１１】 関数Ｓ：Ｓ（ｘ１＋ｘ２＋δ）＝Ｒｏｔ２（ｗ） ただし、ｗ＝（ｘ１＋ｘ２＋δ）ｍｏｄ２５６ δ＝０または１（定数） この処理ｆ（α，β）を用い、一段の処理を構成し、こ
れが８段繰り返される。上記の処理に見られるように、
ＦＥＡＬは８ビット単位の処理が基本になっている。

【００１２】

【発明が解決しようとする課題】情報処理と通信技術の
進歩によるコンピュータ・ネットワークの普及化、大衆
化に伴い、データの不正使用や奪取等に対する情報セキ
ュリティを確保するため、伝送路上のデータやコンピュ
ータに蓄積されたデータを暗号化することは有効な対策
であると考えられる。

【００１３】昭和５２年に、米国商務省標準局が暗号ア
ルゴリズムの標準として制定したＤＥＳは、データの暗
号化を行う一つの手段である。

【００１４】ところが、ＤＥＳはビット単位での処理が
たいへん多いため、バイト単位の処理を基調とするマイ
クロコンピュータのソフトで実現しようとすると、処理
に時間がかかり、実用的な速度が得られなかった。

【００１５】この問題に対し、上記ＦＥＡＬは、１バイ
ト（８ビット）単位の処理を基調とするため、８ビット
マイクロコンピュータで実現する場合、ＤＥＳに比べ数
倍以上の高速化を達成することができた。ＦＥＡＬによ
り、８ビットマイクロコンピュータのソフトを用いてあ
る程度実用的な速度が得られるようになったと考えられ
る。

【００１６】しかし、最近のマイクロエレクトロニクス
の技術の進歩によって、８ビットマイクロコンピュータ
よりも１６ビットマイクロコンピュータ、さらに、１６
ビットマイクロコンピュータよりも３２ビットマイクロ
コンピュータが使われ出している。近い将来、３２ビッ
トマイクロコンピュータが使われる割合がたいへん大き
くなると予想されている。３２ビットマイクロコンピュ
ータの時代になると、さらに高速の暗号処理が要求され
るものと予想される。ところが、３２ビットマイクロコ
ンピュータは４バイト基調の処理を行うため、１バイト
基調の８ビットマイクロコンピュータ用に設計されたＦ
ＥＡＬを３２ビットマイクロコンピュータで実現しよう
とすると非効率であった。

【００１７】そこで、３２ビットマイクロコンピュータ
向けの４バイト基調の処理を行う暗号アルゴリズムが望
まれていた。

【００１８】本発明の目的は、３２ビットマイクロコン
ピュータ向けの４バイト基調の処理を行う暗号アルゴリ
ズムを実行する暗号変換装置を提供することにある。特
に、本発明の暗号変換装置は、暗号化対象のデータを提
供する手段と、暗号化変換するための暗号化装置とを備
え、暗号化装置は、換字処理と循環シフト処理を交互に
行ない、第１回目と第２回目の循環シフトのビット数が
異なることを特徴とする。

【００１９】

【課題を解決するための手段】上記の問題点を解決する
ため、次の手段を用いる。

【００２０】すなわち、本発明の暗号変換装置は、暗号
化対象のｎビット長のデータＭを提供する提供手段と、
前記提供手段から提供された前記データＭを各々がｎビ
ット長の鍵データＫ１及びＫ２を用いてｎビット長のデ
ータＣに暗号変換するための暗号化装置とを備え、前記
暗号化装置は、π（Ａ）をＡに鍵データＫ１を用いて換
字処理を行い、第１のビット数で循環シフト処理を行な
い、鍵データＫ２を用いて換字処理を行ない、第１と異
なる第２のビット数で循環シフト処理を行なった結果を
出力する関数とし、前記２つの鍵データＫ１及びＫ２を
保持する第１の保持手段と、前記第１の提供手段が提供
する前記データＭに対して、前記第１の保持手段が保持
する前記鍵データＫ１及びＫ２を用いて関数πで規定さ
れる演算を含む処理を実行することにより前記データＣ
を生成する手段と、生成した暗号文Ｃを保持する第２の
保持手段とを有する。

【００２１】これにより、３２ビットマイクロコンピュ
ータを用いて、１回の基本命令で３２ビットのデータが
換字または転置されるので、暗号変換を高速に行うこと
ができる。

【００２２】

【発明の実施の形態】

（１）第１の実施例 図１は、本発明の一実施例である。

【００２３】図１において、６４ビットの平文１０１と
６４ビット×４＝２５６ビットの鍵データ１００が３２
ビットマイクロコンピュータに入力され、その後、プロ
グラム１０３内の命令の順に３２ビットマイクロコンピ
ュータ１０２において暗号変換され、その結果として６
４ビットの暗号文１０４が出力される。

【００２４】図２は、図１の３２ビットマイクロコンピ
ュータ１０２とプログラム１０３において実行される暗
号変換処理のフローを示している。

【００２５】２０１：入力されたデータＭは上位３２ビ
ットＭ１と下位３２ビットＭ２に分割される。

【００２６】２０２：Ｍ１とＭ２のビット対応の排他的
論和がとられる。

【００２７】ＷＯＲＫ２ ← Ｍ１ （＋） Ｍ２ 以下、（＋）は同様の処理を示すものとする。なお、図
中では、排他的論理和は、○と＋とを重ね合わせた記号
で示している。

【００２８】２０３：ＷＯＲＫ２と鍵データＫ１のモジ
ュロ加算が行われる。

【００２９】ｘ ← ＷＯＲＫ２ ＋ Ｋ１ ここに、ｘ＋Ｋ１はｘとＫ１の和を２³²で割った余りを
とるという、２³²を法としたモジュロ加算を示してい
る。

【００３０】以下、＋は同様の処理を示すものとする。

【００３１】２０４：ｘを左へ２ビット循環シフトした
後、そのデータとｘと１のモジュロ加算をとる。

【００３２】ｘ ← Ｒｏｔ２（ｘ）＋ｘ＋１ 以下、Ｒｏｔ２は同様の処理を示すものとする。

【００３３】１０５：ｘを左へ４ビット循環シフトした
後、そのデータとｘとの排他的論理和をとる。

【００３４】ｘ←Ｒｏｔ４（ｘ）（＋）ｘ 以下、Ｒｏｔ４は同様の処理を示すものとする。

【００３５】２０６：ＷＯＲＫ１←ｘ（＋）Ｍ１ ２０７：ｘ←ｘ＋Ｋ２ ２０８：ｘ←Ｒｏｔ２（ｘ）＋ｘ＋１ ｙ←ｘ ２０９：ｘ←Ｒｏｔ３（ｘ）（＋）ｘ ここに、Ｒｏｔ３（ｘ）はｘを左へ８ビット循環シフト
させることを示す。

【００３６】２１０：ｘ←ｘ＋Ｋ３ ２１１：ｘ←Ｒｏｔ２（ｘ）＋ｘ＋１ ２１２：ｘ←Ｒｏｔ１６（ｘ）＋（ｘ∧ｙ） ここに、Ｒｏｔ１６（ｘ）はｘを左へ１６ビット循環シ
フトすることを示す。また、ｘ∧ｙはｘとｙとのビット
対応の論理積をとることを示す。

【００３７】２１３：ＷＯＲＫ２←ｘ（＋）ＷＯＲＫ２ ２１４：ｘ←ＷＯＲＫ２＋Ｋ４ ２１５：ｘ←Ｒｏｔ２（ｘ）＋ｘ ２１６：ＷＯＲＫ１←ＷＯＲＫ１（＋）ｘ ２１７：ＷＯＲＫ２←ＷＯＲＫ２（＋）ＷＯＲＫ１ ２１８：ＷＯＲＫ１を出力データの上位３２ビット、Ｗ
ＯＲＫ２を出力データの下位３２ビットとして出力す
る。

【００３８】以上、図２に示すように関数π１〜π４を
定義すると、本実施例は、 Ｃ＝π１・π４・π３・π２・π１（Ｍ） というように合成関数で表すことができる。

【００３９】関数πｉ・πｉ（ｉ＝１〜４）はすべて、 πｉ・πｉ（ｘ）＝ｘ というように同じ関数変換を２回繰り返すとともに戻る
という性質がある。

【００４０】したがって、復号関数として、 Ｍ＝π１・π２・π３・π４・π１（Ｃ） を用いれば、暗号文Ｃをもとの平文Ｍに戻すことができ
る。

【００４１】（２）実施例の変形例１ 上記実施例における変換関数π１からπ４までにあたる
処理を２回繰り返したものを暗号変換として用いてもよ
い、すなわち、暗号変換を、 Ｃ＝π１・π４・π３・π２・π１・π４・π３・π２
・π１（Ｍ） としてもよい。

【００４２】このとき、復号変換の式は Ｍ＝π１・π２・π３・π４・π１・π２・π３・π４
・π１（Ｃ） である。

【００４３】同様に、一般に本実施例をｎ回繰り返した
ものを暗号変換としてもよい。

【００４４】（３）実施例の変形例２ 図４は、本発明の他の実施例である。

【００４５】４０１：入力されたデータＭは上位１６ビ
ットＭ１と下位１６ビットＭ２に分割される。

【００４６】４０２：Ｍ１とＭ２のビット対応の排他的
論理和がとられる。

【００４７】ＷＯＲＫ２←Ｍ１＋Ｍ２ 以下、＋は同様の処理を示すものとする。

【００４８】４０３：ｘと鍵データＫ１のモジュロ減算
が行われる。

【００４９】ｘ←ｘ−Ｋ１ ここに、ｘ−Ｋ１はｘとＫ１の差を２¹⁶で割った余りを
とるという、２¹⁶を法としたモジュロ減算を示してい
る。

【００５０】以下、−は同様の処理を示すものとする。

【００５１】４０４：ｘを左へ２ビット循環シフトした
後、そのデータと１のモジュロ減算を行う。

【００５２】ｘ←Ｒｏｔ（ｘ）−ｘ−１ 以下、Ｒｏｔ２は同様の処理を示すものとする。

【００５３】４０５：ｘを左４ビット循環シフトした
後、そのデータとｘとの排他的論理和をとる。

【００５４】ｘ←Ｒｏｔ４（ｘ）（＋）ｘ 以下、Ｒｏｔ４は同様の処理を示すものとする。

【００５５】４０６：ＷＯＲＫ１←ｘ（＋）Ｍ１ ４０７：ｘ←ｘ−Ｋ２ ｙ←ｘ ４０８：ｘ←Ｒｏｔ２（ｘ）−ｘ−１ ４０９：Ｒｏｔ８（ｘ）−（ｘ∧ｙ） ここに、Ｒｏｔ８（ｘ）はｘを左へ８ビット循環シフト
することを示す。また、ｘ∧ｙはｘとｙとのビット対応
の論理積をとることを示す。

【００５６】４１０：ＷＯＲＫ２←ｘ（＋）ＷＯＲＫ２ ４１１：ｘ←ＷＯＲＫ２−Ｋ３ ４１２：ｘ←Ｒｏｔ２（ｘ）−ｘ−１ ４１３：ＷＯＲＫ１←ＷＯＲＫ１（＋）ｘ ４１４：ＷＯＲＫ２←ＷＯＲＫ２（＋）ＷＯＲＫ１ ４１５：ＷＯＲＫ１を出力データの上位１６ビット、Ｗ
ＯＲＫ２を出力データの下位１６ビットとして出力す
る。

【００５７】（４）実施例の変形例３ 図５は、本発明の他の実施例である。

【００５８】５０１：入力されたデータＭは上位８ビッ
トＭ１と下位８ビットＭ２に分割される。

【００５９】５０２：Ｍ１とＭ２のビット対応の排他的
論和がとられる。

【００６０】ＷＯＲＫ２←Ｍ１（＋）Ｍ２ 以下、＋は同様の処理を示すものとする。

【００６１】５０３：ｘと鍵データＫ１のモジュロ加算
が行われる。

【００６２】ｘ←ＷＯＲＫ２＋Ｋ１ ｙ←ｘ ここに、ｘ＋Ｋ１はｘとＫ１の差を２⁸で割った余りを
とるという、２⁸を法としたモジュロ加算を示してい
る。

【００６３】以下、＋は同様の処理を示すものとする。

【００６４】５０４：ｘを左へ２ビット循環シフトした
後、そのデータとｘと１のモジュロ加算を行う。

【００６５】ｘ←Ｒｏｔ２（ｘ）＋ｘ＋１ 以下、Ｒｏｔ２は同様の処理を示すものとする。

【００６６】５０５：ｘ←Ｒｏｔ４（ｘ）＋（ｘ∧ｙ） ここに、Ｒｏｔ４（ｘ）はｘを左へ４ビット循環シフト
することを示す。また、ｘ∧ｙはｘとｙとのビット対応
の論理積をとることを示す。

【００６７】５０６：ＷＯＲＫ１←ＷＯＲＫ１（＋）ｘ ５０７：ｘ←ＷＯＲＫ１＋Ｋ２ ５０８：ｘ←Ｒｏｔ４（ｘ）＋ｘ＋１ ５０９：ＷＯＲＫ２←ＷＯＲＫ２（＋）ｘ ５１０：ＷＯＲＫ１←ＷＯＲＫ１（＋）ＷＯＲＫ２ ５１１：ＷＯＲＫ１を出力データの上位８ビット、ＷＯ
ＲＫ２を出力データの下位８ビットとして出力する。

【００６８】（５）実施例の変形例４ 図６は本発明の他の一実施例である。

【００６９】（１）認証を行うメッセージ６２を鍵デー
タとして、任意の初期値６１を本発明によるアルゴリズ
ム６３を用いて暗号化する。

【００７０】（２）暗号結果６４を、（１）において用
いたメッセージの続きのデータにより再び暗号化し、メ
ッセージの終わりまでこの操作を繰り返す。

【００７１】（３）最終的な暗号結果をメッセージ認証
コード６５として出力する。

【００７２】（６）実施例の変形例５ 図７は本発明の他の実施例である。本ＩＣカードは、メ
ッセージの認証コードを生成する。

【００７３】（１）メッセージの認証を行うために必要
な初期値７６をＩ／Ｏ７４を通して、ＩＣカード７１内
のマイクロコンピュータ７２に送信する。

【００７４】（２）認証を行うメッセージ７７を（１）
と同様にマイクロコンピュータ７２に順次送信し、マイ
クロコンピュータ７２は、メモリ７３に記憶されている
暗号ソフト７５により認証コード７８を生成する。

【００７５】

【発明の効果】本実施例は、図３に示すような換字、転
置の繰返しを行っている。

【００７６】つまり、図２に示す実施例、（２０３、２
０４）、（２０７、２０８）、（２１０、２１１）、
（２１４、２１５）の処理は、 ｘ←ｘ＋Ｋｉ ｘ←Ｒｏｔ２（ｘ）＋（ｘ）＋１ の形となっており、これは、それぞれ、３２ビットのデ
ータを４ビットずつのブロックに分割したとき、各ブロ
ック単位の換字処理を、上記２回のデータ変換により８
ブロック分一斉に行っていると見ることができる。

【００７７】 ここに、４ビットのブロックデータ Ａ＝（ａ１，ａ２，ａ３，ａ４）、ただし、 ａｉ＝１ ｏｒ ０（ｉ＝１〜４） が、 Ｂ＝（ｂ１，ｂ２，ｂ３，ｂ４）、ただし、 ｂｉ＝１ ｏｒ ０（ｉ＝１〜４） に換字変換されるということは、ブール代数の演算ｆ
１、ｆ２、ｆ３、ｆ４が存在して、 ｂ１＝ｆ１（ａ１，ａ２，ａ３，ａ４） ｂ２＝ｆ２（ａ１，ａ２，ａ３，ａ４） ｂ３＝ｆ３（ａ１，ａ２，ａ３，ａ４） ｂ４＝ｆ４（ａ１，ａ２，ａ３，ａ４） となることを示す。

【００７８】また、図２の２０５、２０９、２１２はそ
れぞれ、 （１）ｘ←Ｒｏｔ４（ｘ）（＋）ｘ （２）ｘ←Ｒｏｔ８（ｘ）（＋）ｘ （３）ｘ←Ｒｏｔ１６（ｘ）＋（ｘ∧ｙ） の処理を行っており、これらは、それぞれ、（１）４ビ
ット左循環シフトを行うという転置を行った後、さらに
換字を行うという処理、（２）８ビット左循環シフトを
行うという転置を行った後、さらに換字を行うという処
理、（３）１６ビット左循環シフトを行うという処理を
示している。

【００７９】図３から明らかなように、最初の３２ビッ
トのデータのうち、いかなるビットの変化も最後の３２
ビットのデータすべてに影響を与えることが分かる。

【００８０】これにより、本実施例は、高度なランダム
性を持つ暗号変換を効率良く行うという効果が得られる
ことが分かる。

【図面の簡単な説明】

【図１】本発明を実施する暗号変換装置の一実施例。

【図２】図１における暗号変換の詳細を示すフローチャ
ート。

【図３】本発明の実施例が効率的に換字変換、転置変換
を繰り返していることを示す説明図。

【図４】１６ビットマイクロコンピュータを用いた場合
の暗号変換の詳細を示すフローチャート。

【図５】８ビットマイクロコンピュータを用いた場合の
暗号変換の詳細を示すフローチャート。

【図６】本発明による暗号アルゴリズムを用いてメッセ
ージ認証コードを生成する方法を示すフローチャート。

【図７】本発明による暗号アルゴリズムを用いてメッセ
ージ認証コードを生成するＩＣカードの構成図である。

【符号の説明】

１００：鍵データ、１０１：平文、１０２：３２ビット
マイクロコンピュータ、１０３：プログラム、１０４：
暗号文。

フロントページの続き (56)参考文献 特開 昭63−58538（ＪＰ，Ａ) Ｄ．Ｗ．Ｄａｖｉｅｓ，Ｗ．Ｌ．Ｐｒ ｉｃｅ著，上園忠宏監訳「ネットワー ク・セキュリティ」日経マグロウヒル, （昭和60年），ｐ．57−58 Ｈ．Ｆｅｉｓｔｅｌ，“Ｃｒｙｐｔｏ ｇｒａｐｈｙ ａｎｄ Ｃｏｍｐｕｔｅ ｒ Ｐｒｉｖａｃｙ，”Ｓｃｉｅｎｔｉ ｆｉｃ Ａｍｅｒｉｃａｎ，Ｖｏｌ. 228，Ｎｏ．５，（1973），ｐ．15−23 (58)調査した分野(Int.Cl.⁶，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 - 9/38 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (4)

(57)【特許請求の範囲】
1. 【請求項１】ｎビット長のデータＭ１およびＭ２を提供
   する提供手段と、 前記提供手段から提供された前記データＭ１およびＭ２
   を各々がｎビット長の鍵データＫ２、Ｋ３を用いてｎビ
   ット長のデータＣ２に暗号変換するための暗号化装置と
   を備えた暗号変換装置であって、 前記暗号化装置は、 π３（Ａ，Ｂ）をＡと、Ａと鍵データＫ２との加法演算
   と、第１のビット数での循環シフトと、鍵データＫ３と
   の加法演算と、第１と異なる第２のビット数での循環シ
   フトとを含む処理を行ない、さらにＢとの加法演算を行
   なったデータとの組を出力する関数とするとき、 前記鍵データＫ２、Ｋ３を保持する保持手段と、 前記提供手段が提供する前記データの組（Ｍ１，Ｍ２）
   に対して、前記保持手段が保持する前記鍵データＫ２、
   Ｋ３を用いて関数π３で規定される演算を含む処理を実
   行することによりデータの組（ Ｍ１，Ｃ２）を生成す
   る手段とを有することを特徴とする暗号変換装置。
2. 【請求項２】π３（Ａ，Ｂ）をＡと、Ａと鍵データＫ２
   との加法演算と、第１のビット数での循環シフトと、鍵
   データＫ３との加法演算と、第１と異なる第２のビット
   数での循環シフトとを含む処理を行ない、さらにＢとの
   加法演算を行なったデータとの組を出力する関数とし、
   ｎビット長のデータの組（Ｍ１，Ｍ２）に対して各々が
   ｎビット長の鍵データＫ２、Ｋ３を用いて関数π３で規
   定される演算を含む処理を実行することにより生成した
   データの組（ Ｍ１，Ｃ２）を前記鍵データＫ２、Ｋ３
   を用いて復号変換するための復号化装置と、 ｎビット長のデータＭ１およびＣ２を提供する提供手段
   とを備えた暗号変換装置であって、 前記復号化装置は、 π３（Ａ，Ｂ）の‘Ｂとの加法演算’における当該加法
   演算の逆演算を所定演算と呼び、 π４（Ａ，Ｂ）をＡと、Ａと鍵データＫ２との加法演算
   と、第１のビット数での循環シフトと、鍵データＫ３と
   の加法演算と、第１と異なる第２のビット数での循環シ
   フトとを含む処理を行ない、さらにＢとの前記所定演算
   を行なったデータとの組を出力する関数とするとき、 前記鍵データＫ２およびＫ３を保持する保持手段と、 前記提供手段が提供するデータの組（Ｍ１，Ｃ２）に対
   して、前記保持手段が保持する前記鍵データＫ２及びＫ
   ３を用いて関数π４で規定される演算を含む処理を実行
   することにより前記データの組（Ｍ１，Ｍ２）を生成す
   る手段とを有することを特徴とする暗号変換装置。
3. 【請求項３】前記所定演算は、加法演算であることを特
   徴とする請求項２に記載の暗号変換装置。
4. 【請求項４】前記所定演算である加法演算は、排他的論
   理和であることを特徴とする請求項３に記載の暗号変換
   装置。