JP2983541B1 - ハッシュ関数方式 - Google Patents

Abstract

【要約】 【課題】 ハッシュ関数装置への入力メッセージを増や
して、ハッシュ率を高める。 【解決手段】 ｍビットブロック暗号を用いてメッセー
ジを圧縮してハッシュ値を得るハッシュ関数方式におい
て、多重デービスマイヤーのハッシュ関数器に入力すべ
き２ｎ個のブロックのうち、ｎ個のｍビットブロックは
１単位時間前のハッシュ値を入力する。残りのｎ個のｍ
ビットブロックを２元の誤り訂正符号語に符号化して入
力する。多重デービスマイヤーのハッシュ関数器で演算
して、ｎ個のハッシュ値を得る。フィードバックされて
くる１単位時刻前だけのブロックから構成される１列は
符号化せず、２列目だけを２元符号で符号化するので、
新しいメッセージをその分多く入力できて、より効率的
になる。また、１個の２元符号器を繰り返し使用するこ
とで、回路構成が簡単になる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ハッシュ関数方式
に関し、特に、暗号化通信システムにおいてメッセージ
を圧縮して署名するためのハッシュ関数方式に関する。

【０００２】

【従来の技術】文書を暗号化して送信する場合に、文書
が改ざんされたものでない真正なものであることを証明
する必要がある。そのために、文書にデジタル署名を付
加することが行われている。しかし、もとの文書に直接
デジタル署名を付加するとデータ長が長くなり過ぎるた
めに、文書を圧縮してからデジタル署名を付加する。任
意の長さの文書を、ある決められた長さに圧縮するため
に、暗号化手段を利用したハッシュ(hash)関数が用いら
れる。その一例は、ＤＳＳ(Digital Signature Standar
d)を使って署名をするものである。任意の長さの文書
を、ハッシュ関数を使って、例えば一旦160ビットのブ
ロックのハッシュ値に変換する。この160ビットのブロ
ックに署名を施す。例えば、160ビットのハッシュ値に
対して320ビットの署名を付加する。

【０００３】ハッシュ関数は衝突のないように工夫する
必要がある。衝突とは、ｘ'≠ｘの場合にｈ(ｘ)＝ｈ
(ｘ')となることである。衝突に対するハッシュ関数の
耐性の定義には、弱い衝突耐性と強い衝突耐性の２つが
ある。弱い耐性(weak collisonresist)とは、プレイメ
ージ耐性（pre-image resistance）またはセカンドプレ
イメージ耐性（２nd-preimage resistance）と呼ばれる
ものである。いかなる特定のｘに対しても、ｈ(ｘ)＝ｈ
(ｘ')となるいかなるｘ'(≠ｘ)をも見つけることがどの
程度困難かということである。つまり、文書ｘとそのハ
ッシュ値ｈ(ｘ)があったとき、同じハッシュ値ｈ(ｘ)に
なる別の文書ｘ'を見つけることが、いかなる文書ｘに
対しても困難であり、平均Ｎ回の試行を必要とすれば、
そのハッシュ関数ｈのプレイメージ耐性はＮであるとい
う。

【０００４】強い耐性（strong collision resist）と
は、衝突耐性（collison resistance）またはバースデ
ーアタックに対する耐性と呼ばれるものである。ｈ(ｘ)
＝ｈ(ｘ')となるいかなる入力ペアー（ｘ，ｘ'；ｘ≠
ｘ'）を見つけることがどの程度困難かということであ
る。すなわち、ハッシュ値が同じになる異なる文書の組
を見つけるために、平均Ｎ回の試行を必要とするなら
ば、そのハッシュ関数のバースデーアタックに対する耐
性はＮであるという。

【０００５】ｍ−ビットブロック暗号に基くハッシュ関
数のハッシュレート（hash rate）とは、１回の暗号化
または復号化で処理されるｍ−ビットメッセージブロッ
クの数で定義される。

【０００６】図２に、ｍ−ビットブロック暗号を用いた
ハッシュ関数を示す。これはDavies-Meyerの方法と呼ば
れる。Ｅk(・)をｍ−ビット暗号の暗号アルゴリズムと
し、そのｍ−ビット鍵をＫとする。圧縮関数ｈをDavies
-Meyer関数と呼ぶ。ｈに対するコリジョン（collisio
n）を見つけるには、安全なブロック暗号を用いている
限り（ｍ−ビットブロックの）約２^m／２回の暗号化が
必要であり、またｈに対するプレイメージ（preimage）
を見つけるには、約２^m回の暗号化が必要である。

【０００７】メッセージＭ_i、ハッシュ値Ｈ_iおよびひと
つ前のハッシュ値Ｈ_i-1の間には ｈ(Ｍ_i，Ｈ_i-1)＝Ｅ_Mi(Ｈ_i-1)＋Ｈ_i-1 が成り立つ。ここで＋は法２加算である。

【０００８】定義（多重デービスマイヤー（multiple D
avies-Meyer）法） Ｅ_K(・)を、ｔ＞０なるｔ×ｍ−ビット鍵Ｋを使うｍ−
ビットブロック暗号とする。ｈ₁，ｈ₂，・・・，ｈ
_mを、鍵を互いに異なる値を取ることにより互いに異な
るDavies-Meyer関数であり、多重デービスマイヤー関数
は、ｒ個のｍ−ビットメッセージ入力をアフィン変換し
てｎ個のペアー（Ｘ_i，Ｙ_i）へ写像して入力する。出力
はｈ₁，ｈ₂，・・・，ｈ_nの連接となる。コリジョン（c
ollision）またはプレイメージ（preimage）アタックに
おいて入力ブロックを構成する（Ｘ_i，Ｙ_i）が元のペア
ーと異なるならｈ(Ｘ_i，Y_i)は積極的（active）と呼ば
れる。又、２つの関数ｈ_i(Ｘ_i，Ｙ_i)とｈ_j(Ｘ_j，Ｙ_j)は
独立に攻撃可能という時は、関数ｈ_iの変数パラメータ
（Ｘ_i，Ｙ_i）が変わっても、関数ｈ_jの変数パラメータ
（Ｘ_j，Ｙ_j）は変わらないような関数をいう。図３に、
多重デービスマイヤー法を用いたハッシュ関数を示す。

【０００９】仮定Ａ：多重デービスマイヤーの圧縮関数
に対するコリジョンあるいはプレイメージが見つかった
とする。Ｎをactiveな関数の数とし、（Ｎ−ｖ）を独立
に攻撃可能なＮ関数の最大数とする。このコリジョンあ
るいはプレイメージが起こるためには少なくとも
２^vm/2，あるいは２^vm回の暗号化がそれぞれ必要であ
る。

【００１０】ここで従来例として、Knudsen L. and Pre
neel B.による誤り訂正符号を用いた構成法を説明す
る。図４に、Knudsen L. and Preneel B.によるハッシ
ュ関数を示す。長さｎ、情報シンボル数ｋ、最小距離
ｄ、（ｔ＋１）ｋ＞ｎ、但し、ｔ≧１且つｍ≫log₂ｎな
るＧＦ(２^t+1)上の（ｎ，ｋ，ｄ）符号で入力ブロック
を符号化したとする。すると、仮定Ａが成り立つ限り、
圧縮関数に対するコリジョンを見つけることは、少なく
とも２^(d-1)m/2回の暗号化が必要であり、あるいはプレ
イメージを見つけるには、少なくとも２^(d-1)m回の暗号
化が必要であることが、文献（１）Knudsen L. and Pre
neel B.“Fast and secure hashing based on codes",
Crypt'97, LNCS1294, PP.485-498,1997．に明らかにさ
れている。このハッシュ関数は、ｎ・ｍビットの内部メ
モリーが必要で、ハッシュ率は、（ｔ＋１）（ｋ／ｎ）
−1である。

【００１１】例として、ＧＦ(２²)上の（８，５，３）H
amming符号を使った構成例を示す。生成マトリクスＧ
は、

【数１】 である。ここで、０＝［00］，１＝［01］，α＝［1
0］，β＝［11］である。連鎖値（chaining value）の
順序は、Ｈ_i-1 ¹，Ｍ_i ¹，Ｈ_i-1 ³，Ｈ_i-1 ⁴，Ｈ_i-1 ⁵，Ｈ
_i-1 ⁶，Ｈ_i-1 ⁷，Ｈ_i-1 ⁸，Ｈ_i-1 ²，Ｍ_i ²で、以下のように
選ばれる。 Ｈ_i ¹＝ｆ₁（Ｈ_i-1 ¹，Ｍ_i ¹） Ｈ_i ²＝ｆ₂（Ｈ_i-1 ³，Ｈ_i-1 ⁴） Ｈ_i ³＝ｆ₃（Ｈ_i-1 ⁵，Ｈ_i-1 ⁶） Ｈ_i ⁴＝ｆ₄（Ｈ_i-1 ⁷，Ｈ_i-1 ⁸） Ｈ_i ⁵＝ｆ₅（Ｈ_i-1 ²，Ｍ_i ²） Ｈ_i ⁶＝ｆ₆（Ｈ_i-1 ³＋Ｈ_i-1 ⁵＋Ｈ_i-1 ⁷＋Ｈ_i-1 ²，Ｈ_i-1 ⁴
＋Ｈ_i-1 ⁶＋Ｈ_i-1 ⁸＋Ｍ_i ²） Ｈ_i ⁷＝ｆ₇（Ｈ_i-1 ¹＋Ｈ_i-1 ²，Ｍ_i ¹＋Ｍ_i ²） Ｈ_i ⁸＝ｆ₈（Ｈ_i-1 ¹＋Ｈ_i-1 ³＋Ｈ_i-1 ⁴＋Ｈ_i-1 ⁶＋
Ｈ_i-1 ⁷，Ｍ_i-1 ³＋Ｈ_i-1 ³＋Ｈ_i-1 ⁵＋Ｈ_i-1 ⁶＋Ｈ_i-1 ⁸） ここで、＋は法２加算である。Ｈ_i ⁸を得るにはガロア体
の演算が必要である。ガロア体の演算は、具体的には次
のように計算する。今、ＧＦ(２²)上の既約多項式（ｘ²
＋ｘ＋１）の根をαとすると、α²＝α＋1となる。Ｈ_i ⁸
を多項式表現すると、次のようになる。 Ｈ_i ⁸＝（Ｈ_i-1 ¹α＋Ｍ_i ¹）・１＋（Ｈ_i-1 ³α＋Ｈ_i-1 ⁴）・α ＋（Ｈ_i-1 ⁵α＋Ｈ_i-1 ⁶）・（α＋1）＋（Ｈ_i-1 ⁷α＋Ｈ_i-1 ⁸）・１ ＋（Ｈ_i-1 ²α＋Ｍ_i ²）・０ ＝Ｈ_i-1 ¹α＋Ｈ_i-1 ³α＋Ｈ_i-1 ⁴α＋Ｈ_i-1 ⁶α＋Ｈ_i-1 ⁷α ＋Ｍ_i ¹＋Ｈ_i-1 ³＋Ｈ_i-1 ⁵＋Ｈ_i-1 ⁶＋Ｈ_i-1 ⁸ このようにして、誤り訂正符号を使うことによって、コ
リジョンを２^m/2から２^mに改善し、あるいはプレイメー
ジを２^mから２^2mに改善し、安全なハッシュ関数を簡単
に構成できる。

【００１２】また、ＢＣＨ符号などの２元符号を用いる
方式も提案されている。その方式は、デビスマイヤーの
基本構成である２つのｍビット入力からガロア体のシン
ボルエレメントを割り当てることをせず、１つの入力に
２元符号の２つの符号語を割り当てる構成にして、２元
符号を使えるようにしたものである。

【００１３】

【発明が解決しようとする課題】しかし、１単位時間前
のハッシュ値だけからなるｎ個のｍビットブロックから
構成される１列目のＢＣＨ符号語は、前の時刻のハッシ
ュ値だけを符号化したものであり、ここには新しいメッ
セージの情報は入力されていない。この列が攻撃（アタ
ック）されることはなく、攻撃に対する符号化をする必
要もない。したがって、不必要な符号化を行っており、
効率が悪いという問題があった。

【００１４】本発明は、上記従来の問題点を解決し、２
列目のｎ個のｍビットブロックだけを符号化して攻撃か
ら守ることにより、効率を改善することを目的とする。

【００１５】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、複数個のｍビットブロックからなる
メッセージをｍビットブロック暗号を用いて圧縮して多
重に連接したハッシュ値を得るハッシュ関数方式を、ｋ
個のｍビットブロックのメッセージを入力してｎ個（ｎ
＞ｋ）のｍビット２元誤り訂正符号語に符号化する
（ｎ，ｋ）２元符号器と、ｎ個のｍビット２元誤り訂正
符号語とｎ個のｍビットブロックの１単位時間前のハッ
シュ値を入力してｎ個のｍビットブロックのハッシュ値
を出力する多重デービス−マイヤのハッシュ関数器と、
多重デービス−マイヤのハッシュ関数器から出力された
ｎ個のｍビットブロックのハッシュ値を入力として用い
るためフィードバックさせる手段とを具備する構成とし
た。

【００１６】このように構成したことにより、フィード
バックされてくる１単位時刻前だけのブロックから構成
される１列は符号化せず、２列目だけを２元符号で符号
化するので、新しいメッセージをその分多く入力でき、
効率が改善される。

【００１７】また、ｋ個のｍビットブロックのメッセー
ジを入力してｍ回符号化を繰り返してｍ個のｎビット２
元誤り訂正符号語に符号化する１個の（ｎ，ｋ）２元符
号器と、２元符号器の符号化結果を蓄えるｎ×ｍビット
の容量を持つメモリーと、メモリーのデータをｎ個のｍ
ビットブロックのデータとしてハッシュ関数器に入力す
る手段とを備える構成とした。

【００１８】このように構成したことにより、１個の
（ｎ，ｋ）２元符号器をｍ回繰り返し使用して符号化す
ることで、回路構成を簡単化することができる。

【００１９】

【発明の実施の形態】本発明の請求項１記載の発明は、
複数個のｍビットブロックからなるメッセージをｍビッ
トブロック暗号を用いて圧縮して多重に連接したハッシ
ュ値を得るハッシュ関数方式において、ｋ個のｍビット
ブロックのメッセージを入力してｎ個（ｎ＞ｋ）のｍビ
ット２元誤り訂正符号語に符号化する（ｎ，ｋ）２元符
号器と、ｎ個のｍビット２元誤り訂正符号語とｎ個のｍ
ビットブロックの１単位時間前のハッシュ値を入力して
ｎ個のｍビットブロックのハッシュ値を出力する多重デ
ービス−マイヤのハッシュ関数器と、前記ハッシュ関数
器から出力されたｎ個のｍビットブロックのハッシュ値
を入力として用いるためフィードバックさせる手段とを
具備するハッシュ関数方式であり、フィードバックする
ハッシュ値を符号化しないことで効率を改善し、衝突を
起こす割合を減少せしめるという作用を有する。

【００２０】本発明の請求項２記載の発明は、請求項１
記載のハッシュ関数方式において、ｋ個のｍビットブロ
ックのメッセージを入力してｍ回符号化を繰り返してｍ
個のｎビット２元誤り訂正符号語に符号化する１個の
（ｎ，ｋ）２元符号器と、前記２元符号器の符号化結果
を蓄えるｎ×ｍビットの容量を持つメモリーと、前記メ
モリーのデータをｎ個のｍビットブロックのデータとし
て前記ハッシュ関数器に入力する手段とを備えるもので
あり、１個の２元符号器でｍ回符号化を繰り返してｎ個
のｍビットブロックを得るという作用を有する。

【００２１】以下、本発明の実施の形態について、図１
を参照しながら詳細に説明する。

【００２２】（第１の実施の形態）本発明の第１の実施
の形態は、２元符号器により、複数個のｍビットブロッ
クのメッセージを入力してｎ個のｍビット２元誤り訂正
符号語に符号化し、多重デービス−マイヤのハッシュ関
数器で、ｎ個のｍビット２元誤り訂正符号語とｎ個のｍ
ビットブロックの１単位時間前のハッシュ値を入力して
ｎ個のｍビットブロックのハッシュ値を出力するハッシ
ュ関数方式である。

【００２３】図１は、本発明の第１の実施の形態のハッ
シュ関数方式の構成図である。図１において、２元符号
器１は、ＢＣＨ符号器である。ハッシュ関数器２は、多
重デービス−マイヤのハッシュ関数器である。遅延メモ
リ３は、ハッシュ関数器２から出力されたハッシュ値を
１ステップ遅延させる遅延メモリである。この遅延メモ
リは不要の場合もある。すなわち、デービスマイヤー関
数器がＤラッチ入力タイプで構成されておれば、入力と
出力とは単位時間の遅延が生じるので遅延メモリは不要
となる。制御回路４は、ハッシュ関数器２などを制御す
る回路である。２元符号器１は、ｍ個の（ｎ，ｋ）符号
器を並列に動作させて、ｎ個のｍビットブロックを多重
デービスマイヤ関数器に入力するものである。

【００２４】上記のように構成された本発明の第１の実
施の形態のハッシュ関数方式の動作を説明する。符号長
ｎ、情報記号数ｋ、最小距離ｄの２元符号を考える。デ
ービスマイヤーの段数をｎとする。時刻をｉと仮定する
と、前の時刻（ｉ−１）のｎ個のハッシュ値は、すべて
１列目のｍ−ブロックに戻されるから、メッセージブロ
ックのため使われるブロック数はｋとなる。ハッシュ率
はｋ／ｎとなる。これは、元々誤り訂正符号の持ってい
る符号化率に等しい。すなわち、効率が大幅に改善され
ている。

【００２５】２元符号の１つの符号語によってｎ個のペ
アーの片側入力であるｎ個のｍビットブロックをカバー
することを除いては、Knudsen L. and Preneel B.の構
成法とほとんど同じである。説明の便宜上、簡単な（1
5，11，3）Hamming符号を短縮した（14，10，3）Hammin
g符号で説明する。

【００２６】パリティマトリクスは次のようになる。

【数２】 原始多項式は、ｘ⁴＋ｘ＋1である。 Ｈ¹＝ｆ₁（Ｇ¹，Ｍ¹） Ｈ²＝ｆ₂（Ｇ²，Ｍ²） Ｈ³＝ｆ₃（Ｇ³，Ｍ³） Ｈ⁴＝ｆ₄（Ｇ⁴，Ｍ⁴） Ｈ⁵＝ｆ₅（Ｇ⁵，Ｍ⁵） Ｈ⁶＝ｆ₆（Ｇ⁶，Ｍ⁶） Ｈ⁷＝ｆ₇（Ｇ⁷，Ｍ⁷） Ｈ⁸＝ｆ₈（Ｇ⁸，Ｍ⁸） Ｈ⁹＝ｆ₉（Ｇ⁹，Ｍ⁹） Ｈ^1O＝ｆ_1O（Ｇ^1O，Ｍ^1O） Ｈ¹¹＝ｆ₁₁（Ｇ¹¹，ｒ_4R） Ｈ¹²＝ｆ₁₂（Ｇ¹²，ｒ_3R） Ｈ¹³＝ｆ₁₃（Ｇ¹³，ｒ_2R） Ｈ¹⁴＝ｆ₁₄（Ｇ¹⁴，ｒ_1R） ここで、ｒ_4R，ｒ_3R，ｒ_2R，ｒ_1Rは、Hamming符号のチ
ェックビットのブロックである。

【００２７】これらは次式で与えられる。 ｒ_4R＝Ｍ¹＋Ｍ²＋Ｍ³＋Ｍ⁵＋Ｍ⁷＋Ｍ⁸ ｒ_3R＝Ｍ¹＋Ｍ²＋Ｍ³＋Ｍ⁴＋Ｍ⁶＋Ｍ⁸＋Ｍ⁹ ｒ_2R＝Ｍ²＋Ｍ³＋Ｍ⁴＋Ｍ⁵＋Ｍ⁷＋Ｍ⁹＋Ｍ^1O ｒ_1R＝Ｍ¹＋Ｍ²＋Ｍ⁴＋Ｍ⁶＋Ｍ⁷＋Ｍ^1O

【００２８】シンボルＧⁱ，Ｍⁱ，ｒ_iRは、ｍビットブロ
ックを表す。Ｇⁱは、ひとつ前の時刻のハッシュ値を表
す。Ｍⁱは、メッセージブロックを表し、ｒ_iRは、Hammi
ng符号のチェックビットをそれぞれ表す。

【００２９】なお、上では説明の便宜上Ｈamming符号で
示したが、以下、２重誤り訂正ＢＣＨ符号で説明する。

【００３０】ＢＣＨ符号は、Hamming符号より最小距離
を大きく取れるので、より安全性の高いハッシュ関数を
構成できる。（31，21，5）ＢＣＨ符号を（30，20，5）
ＢＣＨ符号に短縮する。すると、ｋ＝20となる。ハッシ
ュ率は、20／30＝２／３となる。

【００３１】２元符号を使った例と、従来のKnudsenら
の結果とを、比較のため表で示す。 ［表１］ ２元の符号による方法と従来法との比較 −−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−− field ｔ code rate collision memory −−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−− ＧＦ（２） １ （７,４,３） ４／７＝0.571 ２^m ７ｍ ＧＦ（２） ２ （15,７,５） ７／15＝0.467 ２^2m 15ｍ ＧＦ（２） ２ （25,15,５） 15／25＝0.602 ２^2m 25ｍ ＧＦ（２） ２ （30,20,５） 20／30＝0.666 ２^2m 30ｍ ＧＦ（２） ２ （62,54,５） 54／62＝0.871 ２^2m 62ｍ ＧＦ（２²） １ （５,３,３） １／５＝0.20 ２^m ５ｍ ＧＦ（２⁴） １ （６,４,３） １／４＝0.25 ２^m ６ｍ ＧＦ（２²） １ （８,５,３） １／４＝0.25 ２^m ８ｍ −−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−− Non-binaryの符号は、Knudsen L. and Preneel B.らの
結果による。

【００３２】上記のように、本発明の第１の実施の形態
では、ハッシュ関数方式を、２元符号器により、複数個
のｍビットブロックのメッセージを入力してｎ個のｍビ
ット２元誤り訂正符号語に符号化し、多重デービス−マ
イヤのハッシュ関数器で、ｎ個のｍビット２元誤り訂正
符号語とｎ個のｍビットブロックの１単位時間前のハッ
シュ値を入力してｎ個のｍビットブロックのハッシュ値
を出力する構成としたので、新しいメッセージを多く符
号化器に入力することができ、効率が改善される。

【００３３】（第２の実施の形態）本発明の第２の実施
の形態は、１個の２元符号器をｍ回繰り返し使用して、
ｋ個のｍビットブロックのメッセージを入力してｎ個の
ｍビット２元誤り訂正符号語に符号化し、多重デービス
−マイヤのハッシュ関数器で、ｎ個のｍビット２元誤り
訂正符号語とｎ個のｍビットブロックの１単位時間前の
ハッシュ値を入力してｎ個のｍビットブロックのハッシ
ュ値を出力するハッシュ関数方式である。

【００３４】本発明の第２の実施の形態のハッシュ関数
方式の基本的な構成は、図１に示した第１の実施の形態
と同じである。ｎ×ｍビット容量のメモリー５を用意
し、１個の（ｎ，ｋ）２元符号器をｍ回繰り返し使用し
て符号化し、結果をメモリー５に蓄積した後、多重デー
ビスマイヤ関数器に入力する。このようにすれば、符号
器は１個で済む。

【００３５】上記のように構成された本発明の第２の実
施の形態のハッシュ関数方式の動作を説明する。入力メ
ッセージのｍビットブロックをｋ個入力する。例えば、
ｋ＝20とし、ｎ＝30とする。短縮ＢＣＨ符号（30,20,
５）の符号器を１つ用いて、これをｍ回繰り返して使用
する。各ブロックの１ビットをとり、20ビットの入力と
する。これを符号化して30ビットの符号語を得る。符号
化の結果をメモリー５に蓄積する。これをｍ回繰り返
す。

【００３６】メモリー５に蓄積されたｍ個の30ビットデ
ータを、30個のｍビットデータとして読み出し、多重デ
ービス−マイヤのハッシュ関数器に、30個のｍビットブ
ロックの１単位時間前のハッシュ値とともに入力して、
30個のｍビットブロックのハッシュ値を出力する。

【００３７】上記のように、本発明の第２の実施の形態
では、ハッシュ関数方式を、１個の２元符号器により、
複数個のｍビットブロックのメッセージを入力してｎ個
のｍビット２元誤り訂正符号語に符号化し、多重デービ
ス−マイヤのハッシュ関数器で、ｎ個のｍビット２元誤
り訂正符号語とｎ個のｍビットブロックの１単位時間前
のハッシュ値を入力してｎ個のｍビットブロックのハッ
シュ値を出力する構成としたので、１個の符号器で済
み、簡単な構成で実現できる。

【００３８】

【発明の効果】以上の説明から明らかなように、本発明
では、複数個のｍビットブロックからなるメッセージを
ｍビットブロック暗号を用いて圧縮して多重に連接した
ハッシュ値を得るハッシュ関数方式を、ｋ個のｍビット
ブロックのメッセージを入力してｎ個（ｎ＞ｋ）のｍビ
ット２元誤り訂正符号語に符号化する（ｎ，ｋ）２元符
号器と、ｎ個のｍビット２元誤り訂正符号語とｎ個のｍ
ビットブロックの１単位時間前のハッシュ値を入力して
ｎ個のｍビットブロックのハッシュ値を出力する多重デ
ービス−マイヤのハッシュ関数器と、ハッシュ関数器か
ら出力されたｎ個のｍビットブロックのハッシュ値を入
力として用いるためフィードバックさせる手段とを具備
する構成としたので、ガロア拡大体の演算をせずに、よ
り安全性の高いハッシュ値を得ることができるととも
に、フィードバックするハッシュ値をそのまま戻すた
め、新しいメッセージを多く符号化器に入力することが
できて、効率がよくなるという効果が得られる。

【００３９】また、ｋ個のｍビットブロックのメッセー
ジを入力してｍ回符号化を繰り返してｍ個のｎビット２
元誤り訂正符号語に符号化する１個の（ｎ，ｋ）２元符
号器と、２元符号器の符号化結果を蓄えるｎ×ｍビット
の容量を持つメモリーと、メモリーのデータをｎ個のｍ
ビットブロックのデータとしてハッシュ関数器に入力す
る手段とを備える構成としたので、符号化器を１個とす
ることができ、簡単な構成でハッシュ関数方式が実現で
きるという効果が得られる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態のハッシュ関数方式
の構成図、

【図２】従来のデービスマイヤーのハッシュ関数の構成
図、

【図３】従来の多重デービスマイヤーのハッシュ関数の
構成図、

【図４】従来のKnudsen & Preneelのハッシュ関数の構
成図である。

【符号の説明】

１ ２元符号器 ２ 多重デービスマイヤーのハッシュ関数器 ３ 遅延メモリー ４ 制御回路 ５ メモリー

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 Ｌ．Ｋｎｕｄｓｅｎ，Ｂ．Ｐｒｅｎｅ ｅｌ，“Ｈａｓｈ Ｆｕｎｃｔｉｏｎ Ｂａｓｅｄ ｏｎ Ｂｌｏｃｋ Ｃｉｐ ｈｅｒｓ ａｎｄ Ｑｕａｔｅｒｎａｒ ｙ Ｃｏｄｅｓ，”Ｌｅｃｔｕｒｅ Ｎ ｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓ ｃｉｅｎｃｅ，Ｖｏｌ．1163, （1996），ｐ．77−90 Ｌ．Ｋｎｕｄｓｅｎ，Ｂ．Ｐｒｅｎｅ ｅｌ，“Ｆａｓｔ ａｎｄ Ｓｅｃｕｒ ｅ Ｈａｓｈｉｎｇ Ｂａｓｅｄ ｏｎ Ｃｏｄｅｓ，”Ｌｅｃｔｕｒｅ Ｎｏ ｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃ ｉｅｎｃｅ，Ｖｏｌ．1294，（1997）, ｐ．485−498 井上徹“畳み込み符号を用いたハッシ ュ関数の一構成法”電子情報通信学会技 術研究報告，Ｖｏｌ．98，Ｎｏ．512, （1999年１月20日），ｐ．１−６（ＩＴ 98−55) (58)調査した分野(Int.Cl.⁶，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 - 9/38 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 複数個のｍビットブロックからなるメッ
   セージをｍビットブロック暗号を用いて圧縮して多重に
   連接したハッシュ値を得るハッシュ関数方式において、
   ｋ個のｍビットブロックのメッセージを入力してｎ個
   （ｎ＞ｋ）のｍビット２元誤り訂正符号語に符号化する
   （ｎ，ｋ）２元符号器と、ｎ個のｍビット２元誤り訂正
   符号語とｎ個のｍビットブロックの１単位時間前のハッ
   シュ値を入力してｎ個のｍビットブロックのハッシュ値
   を出力する多重デービス−マイヤのハッシュ関数器と、
   前記ハッシュ関数器から出力されたｎ個のｍビットブロ
   ックのハッシュ値を入力として用いるためフィードバッ
   クさせる手段とを具備することを特徴とするハッシュ関
   数方式。
2. 【請求項２】 ｋ個のｍビットブロックのメッセージを
   入力してｍ回符号化を繰り返してｍ個のｎビット２元誤
   り訂正符号語に符号化する１個の（ｎ，ｋ）２元符号器
   と、前記２元符号器の符号化結果を蓄えるｎ×ｍビット
   の容量を持つメモリーと、前記メモリーのデータをｎ個
   のｍビットブロックのデータとして前記ハッシュ関数器
   に入力する手段とを備えることを特徴とする請求項１記
   載のハッシュ関数方式。