JP2934431B1 - 暗号鍵スケジュール装置、およびそのプログラム記録媒体 - Google Patents

Abstract

【要約】 【課題】 副鍵がかなり知られても、他の副鍵、主鍵が
簡単には求まらない。 【解決手段】 中間鍵生成部１００中のｊ段目のＧ関数
手段でＹ_j-1 ，ｖ_j-1 を入力し、Ｙ_j を拡散してＬ_j ，
Ｙ_j ，ｖ_j を出力し、各中間鍵Ｌ_j を記憶部２００に記
憶し、副鍵生成部３００でＨ関数ｋ_i ＝Ｈ（ｉ，Ｌ₁ ，
Ｌ₂ ，…，Ｌ_M ）処理により副鍵ｋ_i を生成する。つま
り、ｉによって決められたビット位置の情報を、Ｌ₁ ，
Ｌ₂ ，…，Ｌ_M から抽出してｋ_i を得る。またＬ_j が得
られるごとに、ｉと、ｋ_i のビット位置ｑとにより決ま
るＬ_j の位置の情報を、ｋ_i のビット位置ｑの情報とす
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、例えば入力デー
タに対し複数段（目）攪乱を行う暗号装置に用いられ、
主鍵を複数段攪乱処理して、各暗号攪乱段に用いる複数
の副鍵を生成する鍵スケジュール装置、およびその記録
媒体に関するものである。

【０００２】

【従来の技術】データを秘匿するためには暗号化技術が
有効である。暗号化の方法は秘密鍵暗号と公開鍵暗号が
ある。秘密鍵暗号では、暗号作成側と暗号復号側で同一
の鍵を用い、この鍵は秘密に管理されている。一方、公
開鍵暗号では暗号作成の鍵と復号の鍵は異なっており、
一方の鍵は公開しても、他の鍵は現実的な時間内に求ま
らないと広く信じられている。暗号化の処理速度の観点
からは、秘密鍵暗号方式が有利である。

【０００３】高速かつ安全な秘密鍵暗号を構成するため
に、暗号化対象のデータを適当な長さのブロックに分割
し、そのブロック毎に暗号化する方法をブロック暗号と
呼ぶ。通常ブロック暗号は、暗号化の対象である入力デ
ータを攪乱するためのデータ拡散部、暗号装置に入力さ
れた秘密の鍵（以降ではこの鍵を主鍵とよぶ）を入力と
してデータ拡散部が利用する副鍵を生成するための鍵ス
ケジュール部から、構成されている。

【０００４】この様な暗号方式として代表的なＤＥＳの
構成は、例えば「池野，小山：“現代暗号理論”電子通
信学会，ｐｐ．４１−６２，（１９８６）」に示されて
いる。データ拡散部では暗号学的にあまり強くない関数
を、このＤＥＳは図７に示すように入力データに複数回
繰り返して適用することにより安全性を高めている方式
が現在主流となっている。ここで、入力データは、暗号
化あるいは復号化の対象となるデータであって、それぞ
れ平文、暗号文とよばれる。この、あまり強くない関数
をＦ関数と呼ぶことにする。Ｆ関数の１回実行を１段と
呼ぶ。Ｆ関数で使用される鍵を副鍵とよび、鍵スケジュ
ール部で主鍵から副鍵を生成する。

【０００５】ところで、ブロック暗号に対する攻撃法と
して差分解読法と線形解読法が強力であり、多くのブロ
ック暗号がこれらの解読法により解読できることがわか
ってきた。差分解読法は文献「Ｅ．Ｂｉｈａｍ，Ａ．Ｓ
ｈａｍｉｒ：“Ｄｉｆｆｅｒｅｎｔｉａｌ Ｃｒｙｐｔ
ａｎａｌｙｓｉｓ ｏｆ ＤＥＳ−ｌｉｋｅ Ｃｒｙｐ
ｔｏｓｙｓｔｅｍｓ，”Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙ
ｐｔｏｌｏｇｙ，Ｖｏｌ．４，Ｎｏ．１，ｐｐ．３−７
２」で、線形解読法は文献「Ｍ．Ｍａｔｓｕｉ：“Ｌｉ
ｎｅａｒ Ｃｒｙｐｔａｎａｌｙｓｉｓ Ｍｅｔｈｏｄ
ｆｏｒ ＤＥＳＣｉｐｈｅｒ，”Ａｄｖａｎｃｅｓ
ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ '９
３（Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔ
ｅｒ Ｓｃｉｅｎｃｅ ７６５），ｐｐ．３８６−３９
７，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９４」に詳
しく説明されている。

【０００６】上記の文献によれば、これらの攻撃法を適
用すると、通常、データ拡散部がＮ回Ｆ関数が繰り返さ
れて構成されている場合、まず、第Ｎ段目のＦ関数で用
いられる副鍵（以降ではｋ_N と記す）が求まることが報
告されている。ところで、先に述べたＤＥＳ暗号の場
合、鍵スケジュール部は、副鍵であるｋ ₁ からｋ₁₆をそ
れぞれ４８ビットの値とし、６４ビットの主鍵から８ビ
ット分のパリティビットを除いた５６ビットをもとに、
その並べ替えを行ないつつ、部分情報を抽出することで
生成される（図７Ｂ参照）。したがって、ｋ₁₆が求まっ
てしまえば、残りの８（＝５６−４８）ビットは総当た
りでも簡単に求まってしまう問題がある。

【０００７】この問題に対して、鍵スケジュール部の副
鍵と主鍵の対応関係をさらに複雑にすることで、安全性
を向上する方法が、文献「宮口、栗原、太田、森田：Ｆ
ＥＡＬ暗号の拡張、ＮＴＴ研究実用化報告、ｖｏｌ．３
９，Ｎｏ．１０，ｐｐ．１４３９−１４５０（１９９
０）」に示されている（図８参照）。この論文では、デ
ータ拡散手段（ｆ_k ）を用いて主鍵から副鍵を生成する
ことで、たとえ副鍵が求まったとしても簡単には主鍵が
求まらないことを期待している。

【０００８】上記文献で示されている鍵スケジュール部
の概要を図８に示す。図８で用いているデータ拡散手段
（ｆ_k ）は、２つの入力、１つの出力をもった関数であ
り、２つの入力と１つの出力のうち２つが判明すれば、
残りの値を知ることができる性質を備えている。今、仮
にＰ_2i+1，Ｐ_2i+2，Ｐ_2i+3，Ｐ_2i+4，Ｐ_2i+5，Ｐ_2i+6が
判明した場合、最終段（第ｉ＋８段）の拡散処理におい
て、出力のＰ_2i+5，Ｐ_2i+6と一方の入力Ｐ_2i+1，Ｐ_2i+2
が分かるので、他の入力値とＰ_2i+3，Ｐ_2i+4を用いて第
ｉ＋２段目のデータ拡散手段（ｆ_k ）に対する入力が求
まる。従って、その入力と、Ｐ_{2i +3}，Ｐ_2i+4が知られて
いるため、前記データ拡散手段（ｆ_k ）の入力を出力す
る排他的論理和回路も、その出力と一方の入力Ｐ_2i+3，
Ｐ_2i+4が知られているため他方の入力Ｐ_2i，Ｐ_2i-1が求
まる。このような操作を順次適用することで、データ拡
散部を解析することなしに、鍵スケジュール部だけを解
析することですべての副鍵（中間鍵）を決定できてしま
う。ここでは、連続した３段分の副鍵が求まるとすべて
の副鍵が決まることを指摘したが、２段分の副鍵を知っ
ている状況で、残り一段分の副鍵（図８の例では３２ビ
ット）を推定することでも、攻撃に成功する。

【０００９】差分解読法および線形解読法では、副鍵ｋ
_N ，ｋ_N-1 が求まりやすい。一方、従来の鍵スケジュー
ルではその出力結果であるＰ₁ ，Ｐ₂ ，…，Ｐ_N を用い
てｋ ₁ ＝Ｐ₁ ，ｋ₂ ＝Ｐ₂ ，…，ｋ_N ＝Ｐ_N と設定して
いるので、ここで示した手順によって、まず、差分解読
法や線形解読法によって副鍵ｋ_N を求めたあと、鍵スケ
ジュールを解析することですべての副鍵が求まる恐れが
ある。

【００１０】以上示したように、鍵スケジュール部の構
成法は暗号システムの安全性に大きな影響を与えるの
で、注意しなければならない。

【００１１】

【発明が解決しようとする課題】この発明では、一部の
副鍵（例えば最終段（Ｎ段）と（Ｎ−１）段で使用する
２つの副鍵ｋ_N ，ｋ_N-1 ）が知られた場合においても、
鍵スケジュール部を解析するだけでは他の副鍵および主
鍵が簡単には求まらないような、鍵スケジュール装置を
実現することを目標とする。

【００１２】

【課題を解決するための手段】従来では、データ拡散部
でｋ_i とｋ_i+1 として使用する副鍵が、鍵スケジュール
部中のデータ拡散手段の出力Ｐ_i とＰ_i+1 になってい
た。一方、差分解読法や線形解読法で求まる可能性の高
い副鍵はｋ_N とｋ_N-1 であるから、これらの情報を用い
てデータ拡散手段を組み合わせることで、他の副鍵を求
めやすくなっていた。

【００１３】そこで、この発明では副鍵をスケジュール
する方法を、より複雑にすることでこの問題を解決す
る。この発明では少なくとも、ｋ₁ ＝Ｐ₁ ，ｋ₂ ＝
Ｐ₂ ，…ｋ _N ＝Ｐ_N の関係は避けて、副鍵ｋ_N とｋ_N-1
が求まっても、データ拡散手段の出力Ｐ_N とＰ_N-1 に関
する多くの情報が洩れないようにするために、従来のデ
ータ拡散手段（図８中の関数ｆ_k ）と同様の働きをする
Ｇ関数手段を用いるが、この発明の第１の観点によれ
ば、Ｇ関数手段の出力であるＬ成分が記憶部に一旦記憶
され、必要な個数だけＬ成分を求めた後に、それぞれの
Ｌ成分から出来るだけ均一に必要となる情報を抽出して
副鍵を生成するデータ抽出機能を備えたＨ関数手段が設
けられる。この発明の第２の観点によれば、Ｇ関数手段
の出力であるＬ成分からそれぞれの副鍵として使用され
る部分情報がＨ関数手段で抽出され、記憶部に記憶さ
れ、必要な個数のＬ成分から部分情報を抽出することで
副鍵が生成される。

【００１４】作用 ＤＥＳの場合、主鍵のビット位置を入れ換えるだけで副
鍵を生成していたので、鍵スケジュール処理は高速であ
った。しかし、副鍵の部分情報が知られると、直ちに主
鍵の対応する情報が分かってしまう問題があった。主鍵
と副鍵の関係を複雑にするために、鍵スケジュールの処
理量が大幅には増加しないように、かつ鍵スケジュール
部のプログラム規模が増加しないようにするために、デ
ータ拡散部で使用するＦ関数あるいはＦ関数を構成する
サブルーチン（以下ではこれらの関数をｆと書く）を利
用することでデータ拡散関数Ｇ関数を構成して、Ｇ関数
を繰り返し呼び出す、つまり繰り返し用いることで、複
数個の中間値Ｌを生成する。

【００１５】Ｇ関数は、２つの入力成分（Ｙ，ｖ）によ
って動作し、３つの出力成分（Ｌ，Ｙ，ｖ）を生成する
こととする。Ｘ成分のビット数は主鍵Ｋのビット数と一
致するか、それよりも大きいものとする。Ｇ関数は、デ
ータ拡散部に副鍵を供給するために、必要な回数（Ｍ
回）繰り返し呼び出されて、Ｍ個のＬ成分を生成する
（１＜ｊ＜Ｍ）。ｊ回目に呼び出されたＧ関数の出力を
（Ｌ_j ，Ｙ_j ，ｖ_j ）と表すと、この値の一部は（ｊ＋
１）回目に呼び出されたＧ関数の入力（Ｙ_j+1 ＝Ｙ_j ，
ｖ_j+1 ＝ｖ_j ）として利用される。ここで、Ｙ₀ はその
一部にＫを含んだ値であり、ｖ₀ は予め定められた値
（例えば０）とする。

【００１６】与えられた主鍵Ｋに対し、副鍵ｋ_i （ｉ＝
１，２，…，Ｎ）を以下のように定める。 （Ｌ₁ ，（Ｙ₁ ，ｖ₁ ））：＝Ｇ（Ｙ₀ ，ｖ₀ ） （Ｌ_j+1 ，（Ｙ_j+1 ，ｖ_j+1 ））：＝Ｇ（Ｙ_j ，ｖ_j ）
（ｊ＝１，２，…，Ｍ−１） ｋ_i ＝Ｈ（ｉ，Ｌ₁ ，Ｌ₂ ，…，Ｌ_M ）（ｉ＝１，２，
…，Ｎ） ここで、Ｈ関数は、副鍵の添字ｉおよび関数Ｇの出力で
あるＭ個のＬ成分を入力して、それぞれのＬ_j から必要
に応じてｉによって決められたビット位置の情報を抽出
するものである。

【００１７】

【発明の実施の形態】以下ではこの発明の実施例につい
て説明する。第１の実施例 図１Ａに第１の実施例の原理構成を示す。主鍵Ｋは中間
鍵生成部１００に入力され、中間鍵生成部１００は縦続
的に動作する複数（Ｍ段）のＧ関数手段を有し、中間鍵
Ｌ₁ 〜Ｌ_M を生成し、これら中間鍵は記憶部２００に記
憶される。記憶部２００に記憶された中間鍵Ｌ₁ 〜Ｌ_M
は副鍵生成部３００でＨ関数手段にもとづき副鍵ｋ_i が
生成される。各部の構成作用を以下に具体的に説明す
る。

【００１８】この例では、先に指摘した宮口らの論文で
示されているデータランダム化部を利用することを想定
して、先に示した図８の鍵スケジュール部の安全性を高
める装置である。宮口らの論文で示されている鍵スケジ
ュール部（図８）でＮ＝１６の場合にこの発明を適用す
る場合について説明する。図８では８段のデータ拡散手
段によって１６個のＰ成分を入手する。ここでは、それ
ぞれのＰ成分をＰ_j と表わす。各Ｐ_j は１６ビットであ
る。副鍵生成部３００ではそれぞれのＰ_j 成分の第１ビ
ット目の値から副鍵ｋ₁ を構成し、それぞれのＰ_j 成分
の第２ビット目の値から副鍵ｋ₂ を構成し、一般にそれ
ぞれのＰ_j成分の第ｉビット目の値から副鍵ｋ_i を構成
する。すなわち、Ｐ_j 成分の第ｉビット目をＰ_j [i] と
表すと、副鍵ｋ_i は次式で示される。

【００１９】ｋ_i ：＝（Ｐ₁[i]，Ｐ₂[i]，…，Ｐ_j [i]
，…，Ｐ₁₆[i] ） ここで、１＜ｉ，ｊ＜１６に注意。先に示したＧ関数、
Ｈ関数の枠組で、ここに述べた処理方法を見直すと以下
のとおり。ここで、Ｙ_j は６４ビットの値であり、Ｙ_j
^L はＹ_j の上位３２ビットの値、Ｙ_j ^R はＹ_j の下位３
２ビットの値を表している。

【００２０】(Ｌ_j+1,（Ｙ_j+1,ｖ_j+1)) ：＝Ｇ（Ｙ_j ，
ｖ_j ） （０＜ｊ＜７） において、出力結果（Ｌ_j+1,（Ｙ_j+1,ｖ_j+1 ））は次式
により得る。 Ｙ_j+1 ^L ＝Ｙ_j ^R Ｙ_j+1 ^R ＝Ｌ_j+1 ＝ｆ_k （Ｙ_j ^L ，Ｙ_j ^R （＋）ｖ_j ） ｖ_j+1 ＝Ｙ_j ^L ここで、ａ（＋）ｂはａとｂの排他的論理和を示す。副
鍵ｋ_i はｉとＬ₁ 〜Ｌ_M の関数として次式で示される。

【００２１】ｋ_i ＝Ｈ（ｉ，Ｌ₁ ，Ｌ₂ ，…，Ｌ_M ） このＨ関数は、各Ｌ_j をビットごとに分割して（ｔ_j
⁽¹⁾ ，ｔ_j ⁽²⁾ ，…，ｔ_j ⁽³²⁾）と表したとき、副鍵ｋ
_i は ｋ_i ：＝（ｔ₁ ⁽ⁱ⁾ ，ｔ₁ ⁽¹⁶⁺ⁱ⁾，ｔ₂ ⁽ⁱ⁾ ，ｔ₂
⁽¹⁶⁺ⁱ⁾，…，ｔ₈ ⁽ⁱ⁾ ，ｔ₈ ⁽¹⁶⁺ⁱ⁾）（１＜ｉ＜１６） で構成される。

【００２２】なおこの方法では、最大１６個の副鍵が得
られるので、宮口らの論文で示されている暗号アルゴリ
ズムでは、８段のＦ関数から構成した場合にまで対応で
きる。図１中の中間鍵生成部１００の構成を図２を用い
て説明する。Ｇ関数手段１０−１〜１０−Ｍが縦続的に
構成され、その初段のＧ関数手段１０−１に主鍵ＫがＹ
₀ として、また定数ｖ₀ が入力され、各ｉ段目のＧ関数
手段１０−ｊは、Ｙ_{j- 1} とｖ_j-1 が入力され、Ｙ_i-1 が
攪乱されて、出力Ｌ_j ，Ｙ_j ，ｖ_j を出力し、Ｌ_j が中
間鍵として出力され、Ｙ_j ，ｖ_j が次段のＧ関数手段１
０−（ｊ＋１）へ供給される。つまりＹ₀ ＝Ｋ、ｖ₀ ＝
０と設定した後にＧ関数手段１０を８回呼び出す。Ｇ関
数手段の構成を図３に示す。この構成に対し、以下の処
理をｊ＝０からｊ＝７まで繰り返す。

【００２３】段階１：Ｙ_j とｖ_j をＧ関数手段１０−ｊ
＋１に入力すると、図３中のデータ分割装置１１１を用
いてＹ_j を２つのブロック（Ｙ_j ^L ，Ｙ_j ^R ）に分割す
る。 段階２：Ｙ_j ^L をｖ_j+1 として出力する。また、Ｙ_j ^L
をデータ拡散手段ｆ_K１１２に入力する。 段階３：Ｙ_j ^R をデータ入換器１１４に入力する。ま
た、Ｙ_j ^R とｖ_j を排他的論理和回路１１３に入力して
Ｙ_j ^R （＋）ｖ_j を演算し、その結果をデータ拡散手段
ｆ_K １１２に入力する。

【００２４】段階４：Ｙ_j ^L とＹ_j ^R （＋）ｖ_j を入力
として受けとるとデータ拡散手段ｆ _K １１２は、その計
算結果をＬ_j+1 として出力すると同時に、データ入換器
１１４に入力する。 段階５：データ入換器１１４は、Ｙ_j ^R とデータ拡散手
段ｆ_K １１２の計算結果Ｌ_j+1 を入力として受けとる
と、Ｙ_j ^R をＹ_j+1 ^L 、Ｌ_j+1 をＹ_j+1 ^R とし、Ｙ_j+1
＝（Ｙ_j+1 ^L ，Ｙ_j+1 ^R ）と連結して出力する。

【００２５】Ｇ関数手段１０−１〜１０−Ｍが出力した
８個のＬ_j を、一旦、記憶部２００（図１Ａ）に記憶す
る。次に、副鍵生成部３００としてのＨ関数手段の構成
を図４を用いて説明する。Ｈ関数手段３００は、記憶部
２００から８個のＬ成分Ｌ₁ 〜Ｌ₈ を読みだしたのちに
以下を実行する。

【００２６】段階１：記憶部２００から各Ｌ_j を読みだ
してビット分割器３１０に入力してそれぞれ、各１ビッ
トずつ （ｔ_j ⁽¹⁾ ，ｔ_j ⁽²⁾ ，…，ｔ_j ⁽³²⁾）＝Ｌ_j （ｊ＝
１，２，…，８） に分割する。 段階２：ｔ₁ ⁽ⁱ⁾ ，ｔ₁ ⁽¹⁶⁺ⁱ⁾，ｔ₂ ⁽ⁱ⁾ ，
ｔ₂ ⁽¹⁶⁺ⁱ⁾，…，ｔ₈ ⁽ⁱ⁾ ，ｔ₈ ⁽¹⁶⁺ⁱ⁾をビット結合器
３２０に入力して副鍵 ｋ_i ＝（t₁ ⁽ⁱ⁾，t₁ ⁽¹⁶⁺ⁱ⁾，t₂ ⁽ⁱ⁾，t₂ ⁽¹⁶⁺ⁱ⁾ ，…，
t₈ ⁽ⁱ⁾ ，t₈ ⁽¹⁶⁺ⁱ⁾ ）（ｉ＝１，２，…，１６） を得る。第２の実施例 第１の実施例と同じ副鍵を出力する別の実施例を図１
Ｂ、図２、図３、図５を参照して説明する。

【００２７】図１Ｂに示すように、中間鍵生成部１００
で複数の中間鍵Ｌ_j が生成される。中間鍵生成部１００
は図１Ａのそれと同様であり、つまり図２に示したよう
に複数のＧ関数手段１０よりなる。このＧ関数手段１０
で中間鍵Ｌ_j が生成されるごとに、その中間鍵Ｌ_j は、
副鍵生成部４００で、副鍵ｋ_i のｉとｋ_i のビット位置
ｑとにより決まるビット位置の情報が、ｋ_i のビット位
置ｑの情報ｋ_iqとして選出され、記憶部５００に記憶さ
れる。

【００２８】つまり中間鍵生成部１００と副鍵生成部４
００とにより以下の処理の段階１から段階７までを、ｊ
＝０からｊ＝７まで繰り返すことになる。 段階１：Ｙ_j とｖ_j をＧ関数手段１０−ｊ＋１に入力す
ると、データ分割装置１１１を用いてＹ_j を２つのブロ
ック（Ｙ_j ^L ，Ｙ_j ^R ）に分割する。 段階２：Ｙ_j ^L をｖ_j+1 として出力する。また、Ｙ_j ^L
をデータ拡散手段ｆ_K１１２に入力する。

【００２９】段階３：Ｙ_j ^R をデータ入換器１１４に入
力する。また、Ｙ_j ^R とｖ_j を排他的論理和回路１１３
に入力してＹ_j ^R （＋）ｖ_j を入手後にデータ拡散手段
ｆ_K１１２に入力する。 段階４：Ｙ_j ^L とＹ_j ^R （＋）ｖ_j を入力として受けと
るとデータ拡散手段ｆ _K １１２は、その計算結果をＬ
_j+1 として副鍵生成部４００（図１Ｂ）に入力すると同
時に、データ入換器１１４に入力する。

【００３０】段階５：データ入換器１１４は、Ｙ_j ^R と
データ拡散手段ｆ_K １１２の計算結果Ｌ_j+1 を入力とし
て受けとると、Ｙ_j ^R をＹ_j+1 ^L 、Ｌ_j+1 をＹ_j+1 ^R と
しＹ _j+1 ＝（Ｙ_j+1 ^L ，Ｙ_j+1 ^R ）と連結して出力す
る。 段階６：副鍵生成部４００は図５に示すようにＬ_j をビ
ット分割器４１０に入力して下記のように１ビットごと
に （ｔ_j ⁽¹⁾ ，ｔ_j ⁽²⁾ ，…，ｔ_j ⁽³²⁾）＝Ｌ_j （ｊ＝
１，２，…，８） に分割して、情報分配器４２０に入力する。

【００３１】段階７：情報分配器４２０に入力されたビ
ット列（ｔ_j ⁽¹⁾ ，ｔ_j ⁽²⁾ ，…，ｔ_j ⁽³²⁾）はパラメ
ータｉに対してｋ_i のビット位置ｑにより決まるＬ_j の
ビット位置の情報が、ｋ_i のビット位置ｑの情報とさ
れ、 ｋ_i ：＝（t₁ ⁽ⁱ⁾，t₁ ⁽¹⁶⁺ⁱ⁾ ，t₂ ⁽ⁱ⁾，t₂ ⁽¹⁶⁺ⁱ⁾ ，
…，t₈ ⁽ⁱ⁾，t₈ ⁽¹⁶⁺ⁱ⁾ ） となるように、副鍵ｋ_i ごとに１６個に分割された記憶
部５００にＬ_j ごとに記憶する。

【００３２】段階８：それぞれのｋ_i に１６ビットの情
報が設定されると、つまり副鍵ｋ_iが生成されるとその
値を出力する（ｉ＝１，２，…，１６）。第３の実施例 この実施例では鍵スケジュールを構成する際に、装置規
模またはプログラムステップ数削減のため、暗号化で用
いられている関数ｆを用いる方法を説明する。

【００３３】この例でも先に示したＧ関数、Ｈ関数の枠
組で、説明する。 （Ｌ_j+1 ，（Ｙ_j+1 ，ｖ_j+1 ））：＝Ｇ（Ｙ_j ，ｖ_j ）
（０＜ｊ＜Ｍ−１） において、出力結果を

【００３４】

【数１】 と定める。また、 ｋ_i ：＝Ｈ（ｉ，Ｌ₁ ，Ｌ₂ ，…，Ｌ_M ） においては、

【００３５】

【数２】 と定める。この手順を図６及び図４を使って説明する。 準備 段階１：ｆのビット幅だけ、０１２３４５６７８９ａｂ
ｃｄｅｆ１０１１１２．．．_(hex) の上位から同一ビッ
ト数取りだした値をｖ₀ として設定する。

【００３６】段階２：主鍵ＫをＹ₀ に設定する。 中間鍵生成 以下の手順をｊ＝０，１，…，Ｍ−１につ
いて繰り返す。 段階１：入力Ｙ_j を４つに等分割し（Ｙ_j ⁽¹⁾ ，Ｙ_j
⁽²⁾ ，Ｙ_j ⁽³⁾ ，Ｙ_j ^{(4 )} ）とする。 段階２：データ拡散器６１１〜６１４を用いｉ＝１，
２，３，４に対して、Ｙ _j+1 ⁽ⁱ⁾ ＝ｆ（Ｙ_j ⁽ⁱ⁾ ）をそ
れぞれ算出する。

【００３７】段階３：ｖ_j とＬ_j+1 ⁽⁰⁾ を同一視する。 段階４：データ拡散器６２１〜６２４を用いｉ＝１，
２，３，４に対して、ｆ（Ｌ_j+1 ^(i-1) ）を演算し、そ
の演算結果を排他的論理和回路６３ｉに入力してＹ_j+1
⁽ⁱ⁾ との排他的論理和演算を行ってＬ_j+1 ⁽ⁱ⁾ ＝ｆ（Ｌ
_j+1 ^(i-1) ）（＋）Ｙ_j+1 ⁽ⁱ⁾ を得る。

【００３８】段階５：Ｙ_j+1 と（Ｙ_j+1 ⁽¹⁾ ，Ｙ_j+1
⁽²⁾ ，Ｙ_j+1 ⁽³⁾ ，Ｙ_j+1 ⁽⁴⁾ ）を同一視する。 段階６：Ｌ_j+1 と（Ｌ_j+1 ⁽¹⁾ ，Ｌ_j+1 ⁽²⁾ ，Ｌ_j+1
⁽³⁾ ，Ｌ_j+1 ⁽⁴⁾ ）を同一視する。 段階７：ｖ_j+1 ＝Ｌ_j+1 ⁽⁴⁾ とおく。 副鍵生成 実施例１と同様にして、式（１）を実現し、
ｋ₁ ，ｋ₂ ，…，ｋ_N （Ｎ＜１６）を得る。

【００３９】なお、上記実施例は上記例に囚われること
なく １．Ｙ₀ のサイズが、Ｋより大きい場合は、Ｙ₀ の一部
をＫとし、残りを定数で埋める。 ２．ｖ₀ として、任意の定数とする。 ３．それぞれの文字のビット幅を整合性が取れる範囲で
任意に設定する。

【００４０】４．ｆを暗号化に用いるのに利用した関数
以外のものを使う。 ５．Ｈを計算する際にＬ_i の一部を使わない、つまり副
鍵ｋ_i の数が少なく、Ｌ_j のビット数が多い場合は、そ
のような状態になる。 ６．Ｈを計算する際に、実施例１と同様のものを使う。 ７．Ｇを計算する際に実施例１と同様のものを使う。

【００４１】８．実施例２と同様にして、中間鍵の全て
を生成することなく１つの中間鍵が生成されるごとに記
憶部５００のｋ_i の対応ビット位置に計算結果を格納す
るなどとしても実行可能である。 中間鍵生成部１００、副鍵生成部３００、４００はコン
ピュータによりプログラムを読出し解読実行するように
してもよい。

【００４２】

【発明の効果】この発明は、ＤＥＳおよび宮口らの論文
で示されている鍵スケジュール部に比べて以下の点が改
善されている。第１および第２の実施例では、ｋ₆ ，ｋ
₇ ，ｋ₈ ，ｋ₉ ，ｋ₁₀，ｋ₁₁が判明した場合でも、それ
ぞれのＬ_j 成分の１２ビット分（例えば、第６，７，
８，９，１０，１１，２２，２３，２４，２５，２６，
２７ビット目）が求まっただけであるから、従来の技術
の項で指摘した安全性に関する問題は解決されている。

【図面の簡単な説明】

【図１】この発明の原理機能構成を示すブロック図。

【図２】図１中の中間鍵生成部１００の機能構成例を示
すブロック図。

【図３】この発明を宮口らの論文の鍵スケジュール部に
適用した場合の図２中のＧ関数手段１０の機能的構成を
示すブロック図。

【図４】この発明を宮口らの論文の鍵スケジュール部に
適用した場合の図１Ａ中の副鍵生成部３００の機能的構
成を示すブロック図。

【図５】この発明を宮口らの論文の鍵スケジュール部に
適用した場合の図１Ｂ中の副鍵生成部４００の機能的構
成例を示すブロック図（この実施例では副鍵生成部がビ
ット抽出機能をそなえたＨ関数手段をその一部に含む）

【図６】この発明を１２８ビットを１つのブロックとす
るＦｅｉｓｔｅｌ型暗号に適用できるように応用した場
合のＧ関数手段１０の機能的構成を示すブロック図。

【図７】ＤＥＳ暗号の機能的概略を示すブロック図。

【図８】宮口らの論文の鍵スケジュール部の機能的構成
を示すブロック図。

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 神田他“128ビットブロック暗号Ｅ２ の提案”電子情報通信学会技術研究報告 ＩＳＥＣ98−12，（1998年７月30日) (58)調査した分野(Int.Cl.⁶，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 - 9/38 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (4)

(57)【特許請求の範囲】
1. 【請求項１】 主鍵から副鍵をスケジュールする装置で
   あって、 主鍵が入力され、縦続的に動作するＭ段からなり、各段
   より中間値Ｌ_j （ｊ＝０，１，…，Ｍ−１）成分を生成
   するＧ関数手段と、 そのＧ関数の出力である各中間値Ｌ_j 成分を一旦記憶し
   ておくための記憶部と、 複数個のＬ_j 成分からＮ個の副鍵を生成する部分情報抽
   出機能を備えたＨ関数手段とから構成され、 上記Ｇ関数手段は、ｊ＋１段目が（ｊ＝０，１，…，Ｍ
   −１）ｊ段目の出力（Ｌ_j ，Ｙ_j ，ｖ_j ）中のＹ_j とｖ
   _j を入力し、その入力を拡散して、Ｌ_j+1 ，Ｙ _j+1 ，ｖ
   _j+1 を出力し、上記主鍵Ｋに対し、Ｙ₀ の一部をＫとす
   る手段であり、 上記Ｈ関数手段は、ｉ（ｉ＝１，２，…，Ｎ）と上記記
   憶部のＬ₁ ，Ｌ₂ ，…，Ｌ_M とを入力とし、ｉによって
   決められたビット位置の情報をＬ₁ ，…，Ｌ_Mより抽出
   する副鍵ｋ_i を出力する手段であることを特徴とする暗
   号鍵スケジュール装置。
2. 【請求項２】 主鍵から副鍵をスケジュールする装置で
   あって、 主鍵が入力され、縦続的に動作するＭ段からなり、各段
   より中間値Ｌ_j （ｊ＝０，１，…，Ｍ−１）成分を生成
   するＧ関数手段と、 そのＧ関数手段で生成された複数個のＬ_j 成分から副鍵
   を生成する部分情報抽出機能を備えたＨ関数手段と、 そのＨ関数手段の出力を副鍵ｋ_i に対応する値として記
   憶しておくための記憶部とから構成され、 上記Ｇ関数手段は、ｊ＋１段目がｊ段目の出力（Ｌ_j ，
   Ｙ_j ，ｖ_j ）中のＹ_j，ｖ_j を入力し、その入力を拡散
   してＬ_j+1 ，Ｙ_j+1 ，ｖ_j+1 を出力し、主鍵Ｋに対し、
   Ｙ₀ の一部をＫとする手段であり、 上記Ｈ関数手段は、ｉ，ｑ，Ｌ_j （１≦ｉ≦Ｎ，１≦ｊ
   ≦Ｍ，１≦ｑ≦ｋ_i のビット数）を入力として、Ｌ_j か
   ら、ｉとｑによって決められたビット位置情報を抽出し
   て、副鍵ｋ_i のビット位置ｑの情報とする手段であるこ
   とを特徴とする暗号鍵スケジュール装置。
3. 【請求項３】 主鍵Ｋを入力して複数の副鍵ｋ_i （ｉ＝
   １，…，Ｎ）を生成する暗号鍵スケジュール装置をコン
   ピュータにより実行させるためのプログラムを記録した
   記録媒体であって、 上記プログラムは、Ｙ₀ としての主鍵Ｋと定数ｖ₀ とを
   入力として入力を拡散処理することを縦続的に複数回繰
   返し、各拡散処理ごとに中間鍵Ｌ_j （ｊ＝１，…，Ｍ）
   を出力する中間鍵生成処理と、 上記各生成された中間鍵Ｌ_j を記憶部に記憶する処理
   と、 上記記憶部に所定数の中間鍵Ｌ₁ 〜Ｌ_M が記憶される
   と、副鍵ｋ_i のｉによって決まる各ビット位置のＬ₁ 〜
   Ｌ_M における情報を抽出して副鍵ｋ_i を生成する副鍵生
   成処理と、 を上記コンピュータにより実行させることを特徴とする
   記録媒体。
4. 【請求項４】 主鍵Ｋを入力して複数の副鍵ｋ_i （ｉ＝
   １，…，Ｎ）を生成する暗号鍵スケジュール装置をコン
   ピュータにより実行させるためのプログラムを記録した
   記録媒体であって、 上記プログラムは、 Ｙ₀ としての主鍵Ｋと定数ｖ₀ とを入力として、入力を
   拡散処理することを縦続的に複数回繰返し、各拡散処理
   ごとに中間鍵Ｌ_j （ｊ＝１，…，Ｍ）を出力する中間鍵
   生成処理と、 上記各中間鍵Ｌ_j が生成されるごとに、副鍵ｋ_i のｉ
   と、ｋ_i のビット位置ｑとにより決まるＬ_j のビット位
   置の情報をｋ_i のビット位置の情報として抽出して、記
   憶部に記憶する処理と、 上記記憶部内の各副鍵ｋ_i の各ビット位置の情報が決ま
   ると、その副鍵ｋ_i を出力する処理と、 を処理コンピュータにより実行させることを特徴とする
   記録媒体。