JP3017725B2 - データ変換装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明が属する技術分野】この発明は、データの通信又
は蓄積において、データを秘匿するための暗号化装置に
用いられるデータ変換装置、特に、秘密鍵の制御のもと
でデータをブロック単位で暗号化又は復号を行う共通鍵
暗号方式による暗号化装置に適するデータ変換装置に関
する。

【０００２】

【従来の技術】高速かつ安全な共通鍵暗号を構成するた
めに、暗号化対象のデータを適当な長さのブロックに分
割し、そのデータブロック毎に暗号化する方法をブロッ
ク暗号と呼ぶ。通常、ブロック暗号は、暗号化の対象で
ある入力データを撹乱するためのデータ拡散部と、暗号
装置に入力された秘密の共通鍵（以降ではこの鍵を主鍵
と呼ぶ）を入力としてデータ拡散部が利用する一連の副
鍵を生成するための鍵スケジュール部とから構成されて
いる。データを秘匿するためのこのようなデータ変換装
置に使用される代表的な共通鍵暗号方式には、米国連邦
標準暗号であるＤＥＳ（Data Encryption Standard）暗
号がある。

【０００３】図１は、ＤＥＳ暗号の機能構成を示す。Ｄ
ＥＳ暗号では、６４ビットの秘密鍵（うち８ビットはパ
リティに用いられる）を用い、６４ビットのデータブロ
ック単位に暗号化又は復号を行う。図１において、暗号
化処理は、データ拡散部１０において平文Ｍの６４ビッ
トを初期転置部１１において初期転置で変換した後、３
２ビットごとのブロックデータL₀，R₀に分割される。次
に、ブロックデータR₀は図２の第ｉラウンド処理部１４
_i (i=0,1,…,15)に示すデータ変換部である関数演算部
（ラウンド関数とも呼ばれる）１２へ入力され、４８ビ
ットの副鍵k₀の制御のもとにf(R₀, k₀) に変換される。
この変換データf(R₀, k₀) とブロックデータL₀との排他
的論理和をＸＯＲ回路１３でとり、更に、その出力値と
ブロックデータR₀とを入れ替えて、次のブロックデータ
L₁，R₁とする。即ち、 R₁ ＝L₀(+)f(R₀, k₀) L₁ ＝R₀ である。ここで丸内に＋の記号は排他的論理和を表わす
ものとするが文章中においてこれを（＋）とも表記する
ことにする。このように２つのブロックデータL₀，R₀を
入力として演算部１２と排他的論理和回路１３とデータ
の入れ替え（スワップ）とによりL₁，R₁を出力する第０
段ラウンド処理部１４₀ が構成され、同じようなラウン
ド処理部14₁〜14₁₅ が縦続的に設けられる。第ｉ段ラ
ウンド処理部１４_i による処理を第ｉ段のラウンド処
理と呼ぶことにする。ただし、i=0,1,…,15 である。つ
まり各ラウンド処理部１４_i （０≦ｉ≦１５）では、 R_i+1 ＝L_i(+)ｆ(R_i，k_i) L_i+1 ＝R_i の処理が行われ、最後にR₁₆，L₁₆を統合して６４ビット
にした後、最終転置部１５において最終転置で変換して
暗号文６４ビットを出力する。なお、最終転置１５は初
期転置１１の逆変換に相当する。

【０００４】復号処理においては、関数ｆ（関数演算部
１２）に入力する副鍵k₀，k₁,…,k_{1 4}，k₁₅の順序だけを
逆転させて、k₁₅，k₁₄，…，k₁，k₀の順に入力するよう
にする点を除けば、暗号化処理と同じ手順で実行でき
る。その場合、最終段ラウンド処理部14₁₅のスワップ出
力L₁₆, R₁₆を、図に示すように更にスワップするように
構成すれば、復号処理において暗号文を初期転置１１に
入力して図１の処理を実行することにより、最終転置１
５の出力に平文がそのまま得られる。鍵スケジュール部
２０は、拡大鍵生成ルーチン１６で６４ビットの主鍵か
ら８ビット分のパリティビットを除いた５６ビットを左
右２８ビットずつの鍵データに分割し、それら各２８ビ
ットの左右鍵データに対し１６段の並び替え処理を行
い、各段の並び替え処理結果の左右鍵データ（計５６ビ
ット）を縮約転置によりデータ拡散部１０の対応するラ
ウンドに与える１６個の４８ビットの副鍵K₀，k₁，…，
k_14,k_{1 5}として生成する。

【０００５】関数演算内部１２の処理は、図２に示すよ
うに行われる。まず、３２ビット_ノブロックデータR_iは
拡大転置部１７で４８ビットデータE(R_i) に変換され
る。これに副鍵k_iとで排他的論理和を XOR回路１８で取
り、４８ビットデータE(R_i)ρk _i に変換した後、８個
の６ビットごとのサブブロックデータに分割する。この
８個のサブブロックデータはそれぞれ異なるS-box S₀〜
S₇に入力され、各々が４ビットの出力を得る。なお、こ
のS-box S_j（j=0,1,…,7）は６ビットの入力データから
４ビットの出力データに変換する非線形変換テーブルで
あり、ＤＥＳ暗号の本質的な安全性を担っている部分で
ある。S-box S₀〜S₇の８つの出力データは、再び連結さ
れて３２ビットデータになった後、転置変換部１９を経
て、図２に示されるように関数演算部１２の出力f(R_i，
k_i) となる。この出力は、図１に示されるように、L_iと
排他的論理和されてR_i+1となる。

【０００６】次に、暗号解読法について述べる。ＤＥＳ
暗号を始めとする従来の共通鍵暗号方式についてはさま
ざまな方面から暗号解読が試みられており、そのなかで
も、極めて効果的な解読法は、E. Biham及びA. Shamir
によって“Differential Cryptanalysis of DES-like C
ryptosystems,"Journal of Cryptology, Vol.4, No.1,p
p.3-72に提案された差分解読法と、松井によって“Line
ar Cryptanalysis Method for DES cipher,"Advances i
n Cryptology-EUROCRYPT'93(Lecture Notes inComputer
Science 765), pp.386-397に提案された線形解読法で
ある。

【０００７】ＤＥＳ暗号に対する差分解読法は、２つの
データX，X^*の差分を ΔX＝X(+)X^* としたとき、解読者が入手している平文・暗号文の２組
を以下の式に適用して^、最終ラウンド１４₁₅における副
鍵k₁₅ を求めることを目的としている。図１の暗号化
処理において、第１及び第２平文を入力したときの各ラ
ウンド処理部１４ _i での入力ブロックデータを(L_i,
R_i），(L^* _i, R^* _c ）とする。上記差分の定義により次式 ΔL_i＝L_i(+)L^* _i ΔRｉ＝R_i(+)R^* _i が成立する。図１において、L₁₅=R₁₄, L^* ₁₅=R^* ₁₄, L₁₆=
R₁₅, L^* ₁₆=R^* ₁₅なので次式 R₁₆＝L₁₅(+)f(R₁₅, k₁₅) R^* ₁₆＝L^* ₁₅(+)f(R^* ₁₅, k₁₅) が成立し、これら２つの式の両辺の排他的論理和をとる
と次式 ΔR₁₆＝ΔL₁₅(+)f(L₁₆, k₁₅)(+)f(L₁₆(+)ΔL₁₆, k₁₅)が
得られ、その両辺とΔR₁₄=ΔL₁₅との排他的論理和をと
ることにより次の式が 得られる： f(L₁₆，k₁₅)(+)f(L₁₆ΔL₁₆), k₁₅)＝ΔR₁₆(+)ΔR₁₄ このとき、L₁₆，ΔL₁₆，ΔR₁₆ は暗号文から得られる
データであるので入手済の情報である。このため、解読
者がΔR₁₄ を正しく求めることができるならば、上式
はk₁₅ のみが未知定数となり、入手済の平文・暗号文
の組を用いてk₁₅に関する全数探索を行うことで、解読
者は正しいk₁₅を見つけだすことができる。従って、副
鍵k₁₅が求まってしまえば、残り８(即ち56-48)ビットは
総当たりでも簡単に求まってしまう。

【０００８】一方、ΔR₁₄ についてみてみると、この
値は中間差分値であるため、一般には求めることが困難
である。そこで、第０段ラウンドから最終ラウンドの一
つ前までの第１４段ラウンドまでにおいて、各ラウンド
（段）が確率p_iで次式 ΔR_i+1 ＝ΔL_i(+)Δ｛f(ΔR_i)｝ ΔL_i+1 ＝ΔR_i+1 のように近似されるとおく。ここでのポイントは、ある
ΔR_iが入力されたとき、副鍵kｉの値に関わらず、確率p
_iでΔ｛f(ΔR_i)｝を予測できるということにある。この
ように近似できるのは、非線形な変換であるS-box にお
いて、入力差分によっては差分出力の分布に極めて大き
な偏りが生じるためである。例えば、S-box S₀では、入
力差分"110100₍₂₎"のとき、1/4 の確率で出力差分"0010
₍₂₎"に変換されるためである。そこで、各々のS-box が
確率p_si で入力差分と出力差分との関係が予測できる
とおき、これらを組み合わせることで各ラウンドの近似
を求める。更に、各ラウンドでの近似を連結していくこ
とで、ΔR₁₄ は確率P=Π_i=0 ¹³p_i でΔL₀，ΔR₀（Δ
L₀，ΔR₀は平文から得られるデータであるので入手済の
情報である）から求められることになる。なお、この確
率Ｐが大きいほど、暗号解読が容易である。このように
して、副鍵k₁₅が求められると、今度は１段少ない１５
段ＤＥＳ暗号とみなして、同様の手法で、副鍵k₁₄を求
めていくということを繰り返して、最終的に副鍵k₀まで
求めていく。

【０００９】この解読法による暗号解読が成功するかど
うかは確率Ｐに依存し、この値が大きいほど成功しやす
い。Biham らによると、この解読法では、２⁴⁷組の解読
者が選択した平文・暗号文の組を入手できればＤＥＳ暗
号を解読できるとしている。また、ＤＥＳ暗号に対する
線形解読法は、次の線形近似式 (L₀，R₀)Γ(L₀，R₀)(+)(L₁₆, R₁₆)Γ(L₁₆, R₁₆) ＝(k₀，k₁，…，k₁₅)Γ(k₀，k₁，…，k₁₅) を構成し、解読者が入手している平文・暗号文の組によ
る最尤法を用いて副鍵を求めることを目的としている。
ただし、Γ(X) はＸの特定のビット位置を選択するベク
トルを表し、マスク値という。

【００１０】線形近似式の役割は、暗号アルゴリズム内
部を線形表現で近似的に置き換え、平文・暗号文の組に
関する部分と副鍵に関する部分とに分離することにあ
る。つまり、平文・暗号文の組に関して、平文の特定の
ビット位置の値と暗号文の特定のビット位置の値との全
ての排他的論理和が一定値となり、その値は副鍵の特定
のビット位置の値の排他的論理和に等しくなることを表
している。従って、解読者は (L₀，R₀)Γ(L₀，R₀)(+)(L₁₆, R₁₆)Γ(L₁₆, R₁₆) の情報から (k₀，k₁，…，k₁₅)Γ(k₀，k₁，…，k₁₅)（１ビット） の情報が得られるということになる。このとき、(L₀，R
₀)，(L₁₆，R₁₆)はそれぞれ平文・暗号文のデータである
ので入手済の情報である。このため、解読者がΓ(L₀，R
₀)，Γ(L₁₆，R₁₆)，Γ(k₀，k₁，…，k₁₅) を正しく求め
ることができるならば、(k₀，k₁，…，k₁₅)Γ(k₀，k₁，
…，k₁₅)（１ビット）を求めることができる。

【００１１】ＤＥＳ暗号では、非線形な変換が起きる部
分はS-box しかないため、S-box についてのみ線形表現
ができれば、容易に線形近似式が構成できる。そこで、
各々のS-box が確率p_si で線形表現できるとおく。こ
こでのポイントは、S-box に対する入力マスク値が与え
られたとき、確率p_si でその出力マスク値を予測でき
るということにある。これは、非線形変換テーブルであ
るS-box において、入力マスク値によっては差分マスク
値の分布に極めて大きな偏りが生じるためにおこる。例
えば、S-box S₄では、入力マスク値"010000₍₂₎"のと
き、3/16の確率で出力マスク値"1111₍₂₎"が予測される
ためである。これらS-box におけるマスク値を組み合わ
せることによって、各ラウンドが確率p_iで入力マスク値
と出力マスク値との線形表ができ、各ラウンドでの線形
表現を連結していくことで、Γ(L₀，R₀)，Γ(L₁₆，
R₁₆)，Γ(k₀，k₁，…，k₁₅) は確率 P ＝1/2＋２¹⁵Π_i=0 ¹⁵｜p_i−1/2｜ で求められることになる。なお、この確率Ｐが大きいほ
ど、暗号解読が容易である。

【００１２】松井によると、この解読法で、２⁴³組の既
知平文・暗号文の組を用いて、ＤＥＳ暗号の解読に成功
している。さて、上記の解読法に対抗するためには、確
率Ｐが十分に小さくなればよい。このため、確率Ｐを小
さくするための提案がさまざま行われており、なかでも
従来の暗号方式において、もっとも簡単に安全性を高め
るための方法がラウンド数（段数）を増やすことであっ
た。例えば、ＤＥＳ暗号を３つつなげたTriple-DES暗号
は、実質的にＤＥＳのラウンド数を１６段から４８段に
増やした暗号方式であり、確率Ｐは、ＤＥＳ暗号よりも
はるかに小さい。

【００１３】

【発明が解決しようとする課題】しかし、上記の解読法
に対抗するための対策として、ラウンド数（段数）を増
加させることは、暗号化速度を犠牲にすることになる。
例えば、ラウンド数を３倍に増やせば、暗号化速度は1/
3 になる。つまり、現在のＤＥＳ暗号の暗号化速度はPe
ntium PCクラスで約１０Mbpsであるため、Triple−DES
暗号ともなると約3.5Mbps まで暗号化速度が低下する。
一方で、ネットワークやコンピュータなどは年々高速化
しており、データ変換装置もそれらの高速化に対応した
ものが望まれている。このため、従来のデータ変換装置
では、それらの高速化の要求に対して、安全性と高速性
を同時に満たすことはきわめて困難な状況になってい
る。

【００１４】この発明の目的は、ラウンド関数ｆ（関数
演算部）を安全性と高速性を同時に満たすような構造に
することによって、ラウンド数（段数）を大幅に増加さ
せることなく安全性を確保し、かつ高速な暗号化処理が
可能となるようなデータ変換装置を提供することにあ
る。

【００１５】

【課題を解決するための手段】この発明によれば、複数
の鍵データを保持する鍵記憶手段と、上記複数の鍵デー
タが与えられ、それぞれ鍵依存の非線形変換を行う非線
形関数部をそれぞれ含む縦続接続された複数のラウンド
処理部とを含み、入力データを鍵データに依存して別の
データに変換するデータ変換装置であり、各上記ラウン
ド処理部の上記非線形関数部は：上記ラウンド処理部へ
の入力データを、上記鍵記憶手段に蓄積された第１鍵デ
ータに基づいて線形変換を行う第１鍵依存線形変換手段
と、上記第１鍵依存線形変換手段の出力データを４個の
サブデータに分割する分割手段と、上記４つのサブデー
タのそれぞれに非線形変換を行う第１非線形変換手段
と、上記鍵記憶手段に蓄積された第２鍵データと、上記
第１非線形変換手段の各々の出力サブデータとで線形変
換を行う第２鍵依存線形変換手段と、上記第２鍵依存線
形変換手段の４つの出力サブデータのそれぞれに非線形
変換を行う第２非線形変換手段と、及び上記第２非線形
変換手段の４つの出力サブデータを結合して上記非線形
関数手段の出力とする結合手段、とを含み、上記第２鍵
依存線形変換手段は、その入力に対し４×４行列で規定
される排他的論理和を行う線形変換層を含んでいる。

【００１６】また、第２鍵依存線形変換部が、第１非線
形変換部の出力である４つのサブデータA1，A2，A3，A4
に対し、A1とA2とA3と第二の鍵データK2＝[k2₁ k2₂ k
2₃k2₄]中のk2₁ との排他的論理和、A1とA2とA4とk2₂
との排他的論理和、A1とA3とA4とk2₃ との排他的論理
和、A2とA3とA4とk2₄ との排他的論理和により、前記
第２鍵依存線形変換部の４つの出力サブデータに鍵依存
線形変換を行うことを特徴とする。

【００１７】また、第１及び第２非線形変換部におい
て、その非線形変換部への各入力サブデータＡを２つの
サブブロックA0，A1に分割し、それぞれのサブブロック
について、線形変換ならびに非線形変換を縦続的に行
い、その出力サブブロックB0，B1を統合して、その非線
形変換部の出力サブデータＢとすることを特徴とする。作用 この発明によれば、第１及び第２非線形変換部における
差分確率・線形確率がｐ（＜１）であるとき、各段を近
似するときの差分確率・線形確率はp_i≦p²（ただし、差
分解読法では関数ｆ（非線形関数部）への入力差分が０
でないとき、線形解読法では関数ｆでの出力マスク値が
０でないとき）となることが保証される。また、関数ｆ
が全単射であるとき、暗号装置の段数を３ｒとすると、
暗号装置としての確率はP≦p_i ^2r≦p^4rとなる。更に、特
に第２鍵依存線形変換部が４つのサブデータから選んだ
３つと鍵データの４分割の１つの排他的論理和の全ての
組合せを演算する構造を有するならば、各段を近似する
ときの確率はp_i≦p⁴、暗号装置としての確率はP≦p_i ^2r
≦p^8rとなる。

【００１８】また、第１及び第２非線形変換部はそれぞ
れの手段が完全に並列処理できるような配置となってい
るため、高速化に寄与する。ゆえに、差分解読法や線形
解読法に対する安全性を有した高速な非線形関数を構成
でき、安全性と高速性を両立させたデータ変換装置を提
供することが可能になる。

【００１９】また、第１及び第２非線形変換部におい
て、その非線形変換部への入力サブデータＡを２つのサ
ブブロックA0，A1に分割し、それぞれのサブブロックに
ついて、線形変換ならびに非線形変換を行い、出力サブ
ブロックB0，B1を統合して、その非線形変換部の出力サ
ブデータＢとすることにより、非線形関数が処理するこ
とができる入力ビット長を２倍に延ばすことができる。
これにより、６４ビット長の非線形関数であっても、差
分解読法や線形解読法に対する安全性を有した、非線形
変換部にs-b表を用いた構成が実現できる。

【００２０】

【発明の実施の形態】第１実施例 以下、この発明の一実施例を図面を用いて説明する。図
３は、この発明の一実施例を示すデータ変換装置におけ
る、暗号化処理手順の機能構成を示したものである。こ
の発明によるデータ変換装置においても、入力データを
左、右ブロックデータL₀, R₀に分割し、それらを順次ラ
ウンド処理するＮ段に縦続接続されたラウンド処理部38
₀〜38_N-1が設けられている。各ラウンド処理部38_i(i=0,
1,…,N-1)は図１のラウンド関数部１２に対応する非線
形関数部304 と、図１の XOR回路１３に対応する線形演
算部305 と、交換部306 とから構成されている。

【００２１】平文に相当する入力データＭを入力部301
から暗号装置内に入力する。予め、鍵入力部320 から入
力されたデータに基づいて鍵データ生成部321 により鍵
データ ｛fk; k₀₀,k₀₁,k₀₂; k₁₀,k₁₁,k₁₂; …; k_(N-1)0,k
_(N-1)1,k_(N-1)2; ek｝ が生成され、鍵記憶部322 に保持される。入力平文デー
タＭは、鍵記憶部322 に蓄積されている鍵データfkによ
る初期鍵依存変換部302 で変換された後、初期分割部30
3 で左、右ブロックデータL₀，R₀に分割される。例えば
６４ビットのデータが３２ビットずつのブロックデータ
L₀，R₀にビット分割される。初期鍵依存変換部302 で
は、例えば鍵データfkと入力データＭとの排他的論理和
や鍵データfkによる入力データＭのビットローテーショ
ン（ビット回転）などの線形変換もしくは乗算などを組
み合わせた非線形変換などが行われる。

【００２２】右ブロックデータR₀は、鍵記憶部322 に蓄
積されている鍵データk₀₀，k₀₁，k_{0 2}と共にこの発明に
より特徴的に構成された非線形関数部304 に入力され、
非線形関数部304 で非線形変換処理によりデータY₀に変
換される。データY₀と左ブロックデータL₀は線形演算部
305 で線形演算されてデータL₀ ^*に変換される。データL
₀ ^*とR₀は交換部306 でデータ位置の交換（スワップ）が
行われ、L₁←R₀，R₁←L₀ ^* とされ、L₁, R₁が次の第１
段ラウンド処理部38₁ に入力される。

【００２３】以下、第ｉ段ラウンド処理部38_i (i=0,1,
…,N-1)において、２つの入力ブロックデータL_i, R_iに
ついて上記と同様の処理を繰り返し行う。即ち、左、右
ブロックデータL_i，R_iについて、データR_iは、鍵記憶部
322 に蓄積されている鍵データk_i0,k_i1,k_i2 と共に非
線形関数部304 に入力され、非線形関数部304 で非線形
変換処理が行われて、データY_iに変換される。データY_i
とデータL_iは線形演算部305 で演算されてデータL_i ^*
に変換される。データL_i ^* とデータR_iは交換部306 で
データ位置の交換が行われ、L_i+1←R_i，R_i+1←L_i ^* の
ように交換される。線形演算部305 は例えば排他的論理
和演算を行うものである。

【００２４】暗号化を行うためのデータ変換装置として
の安全性を確保するための適切な繰り返し回数（ラウン
ド回数）をＮとすると、ラウンド処理部38₀〜38_N-1によ
る繰り返し処理の結果、左、右ブロックデータL_N，R_Nが
得られる。このデータL_N，R_Nを最終結合部307 で結合
し、つまり例えば３２ビットの各L_N，R_Nをビット結合し
て６４ビットのデータとし、その後、鍵記憶部322 に蓄
積されている鍵データekによる最終鍵依存変換部308 で
変換し、出力部309 から暗号文として出力データＣを出
力する。復号については、暗号化処理手順と逆の手順を
たどることによって、暗号文Ｃから平文Ｍが得られる。
特に、最終鍵依存変換部308が、初期鍵依存変換部302の
逆変換になっているならば、図３において入力データの
代りに暗号文データを入力し、鍵データを図３とは逆
に、ek，k_(N-1)0，k_(N-1)1，k_(N-1)2，…，k₁₀，k_{1 1}，k
₁₂，k₀₀，k₀₁，k₀₂，fkを順次与えればよい。

【００２５】次に、非線形関数部304 の内部を詳細に説
明する。図４は、非線形関数部304の内部の機能構成を
抜き出して示したものである。第ｉ段ラウンド処理部38
_i の入力ブロックデータR_iは、鍵記憶部322 に蓄積され
ている鍵データk_i0，k_i1，k_i2 と共に非線形関数部304
への入力データとなる。ブロックデータR_iは、鍵デー
タk_i0 による第１鍵依存線形変換部341 により例えば
排他的論理和がとられてデータR_i ^*＝R_i(k_i0 に線形変
換される。次に、データR_i ^* は分割部342 において例
えば８ビットづつの４つのデータin₀，in ₁，in₂，in₃に
ビット分割される。４つのデータin₀，in₁，in₂，in
₃は、それぞれ非線形変換部343₀，343₁，343₂，343₃に
おいて、データmid₀₀，mid₀₁，mid₀₂，mid₀₃に非線形変
換された後、第２鍵依存線形変換部344 に入力される。

【００２６】第２鍵依存線形変換部344 では、４つのデ
ータ系統から入力されたデータmid_{0 0}，mid₀₁，mid₀₂，m
id₀₃を系統間で互いに線形処理（排他的論理和）して新
たな４つの系統のデータとし、更にそれらの系列のデー
タを鍵データk_i1の４つの部分によりそれぞれ線形処理
（排他的論理和）して４つの系統のデータmid₁₀，mi
d ₁₁，mid₁₂，mid₁₃を出力する。これら４つのデータは
非線形変換部345₀, 345₁,345₂, 345₃に入力され、それ
ぞれデータout₀, out₁, out₂, out₃とされる。これら４
つの出力データは結合部346 で結合されてデータY_i ^* と
され、更に第３鍵依存線形変換部347 においてデータY_i
^{* ト}鍵データk_i2との線形処理によりデータY_iを生成して
出力する。

【００２７】上述の第２鍵依存線形変換部344 は、デー
タmid₀₀，mid₀₁，mid₀₂，mid₀₃に対応して設けられたデ
ータ処理系統３０₀,３０₁,３０₂,３０₃ 間でこの発明に
よるアルゴリズムに従ってデータの排他的論理和をとる
ことにより、図３のデータ変換装置のラウンド数を増や
さずに安全性を高めるよう構成される。図３のデータ拡
散装置の差分解読及び線形解読に対する安全性は、各ラ
ウンドの非線形関数部304 の構成に依存し、特に図４に
示す非線形関数部304 が図５に示すような基本構成のｍ
ビットの入力データがそれぞれ与えられるｎ個の非線形
変換部（S-box）から成る第１非線形変換部343 と、そ
れらのｎ個の出力を線形変換する線形変換部344Aと、そ
のｎ個のｍビット出力をそれぞれ非線形変換するｎ個の
非線形変換部（S-box）から成る第２非線形変換部345
とによって安全性が決まる。特に、いかにして差分解読
及び線形解読に対する耐性が強い最適な線形変換部344A
を構成するかが重要である。この発明によれば、線形変
換部344Aを{0, 1}上のｎ×ｎ行列Ｐとして表現し、その
行列Ｐの要素を最大差分確率・線形確率ｐ、ｑが最小と
なるように決定していくことにより、最適な線形変換部
344Aを構成する。ただし、第２鍵依存線形変換部344 に
含まれる副鍵k_i1による変換部は行列Ｐにより決定した
線形変換部層344Aに対し図６に示すように鍵依存変換部
344Bとして付加することとする。なお、"最適である"と
は、上記の構造を有する線形変換部344Aの中で差分解読
・線形解読に対する耐性が最も強くなるということであ
り、必ずしも他の指標、例えばアバランシュ性などにつ
いても最適であることを意味するわけではない。しか
し、経験的にいえば、一般に段数（ラウンド数）を増や
すだけでも差分解読・線形解読以外の攻撃を容易に回避
できる一方、差分解読・線形解読については注意深くラ
ウンド関数の特性を検討しなければ段数を多少増やした
だけで攻撃を回避できるかどうかはわからない。そこ
で、この発明では、ラウンド関数の差分解読・線形解読
に対する耐性を最も重視し、最適な線形変換部344Aを求
める。

【００２８】この発明によれば、図５において上述のよ
うに線形変換部344Aを｛0, 1｝上のｎ×ｎ行列Ｐとして
表現する。この行列Ｐは、ｍビット単位での線形変換で
あり、その線形変換部344Aが排他的論理和XOR だけで構
成できることを意味する。即ち、この変換を次式

【００２９】

【数１】 で表すことができる。特に、ｍ＝８の場合はバイト単位
での線形変換となり、ワード幅が８ビット以上のいずれ
のプラットフォームにおいても効率的な実装が可能とな
る。

【００３０】例えばｎ＝４の場合の具体例として、次式

【００３１】

【数２】 で表される４×４行列Ｐ_E を説明する。行列Ｐ_E を用い
て構成したラウンド関数は以下の性質を有する。ただし
S-box は全単射であると仮定する。上記行列式により規
定されるz'₀, z'₁, z'₂, z'₃ はそれぞれ以下の演算を
表している。

【００３２】 z'₀＝0・z₀(+)1・z₁(+)1・z₂(+)1・z₃＝z₁(+)z₂(+) (3-1) z'₁＝1・z₀(+)0・z₁(+)1・z₂(+)1・z₃＝z₀(+)z₂(+) (3-2) z'₂＝1・z₀(+)1・z₁(+)1・z₂(+)0・z₃＝z₀(+)z₁(+) (3-3) z'₃＝1・z₀(+)1・z₁(+)1・z₂(+)1・z₃＝z₀(+)z₁(+)z₂(+)ｚ₃ (3-4) 差分解読及び線形解読に対するラウンド関数の耐性は、
active s-boxの最少個数n_d, n_l から決めることがで
き、これらの値は行列Ｐを決定した時点で決まる値であ
る（付録参照）。差分解読法では入力差分値Δxが非零
であるs-box をactive s-boxと呼び、線形解読法では出
力マスク値Γyが非零であるs-box をactives-boxと呼
ぶ。

【００３３】一般に、ある行列Ｐが与えられたととき、
それに対応する線形変換部344Aの構成は複数存在する。
なぜなら、行列Ｐは線形変換部344Aの入力データと出力
データとの関係を表しているだけであり、線形変換部の
具体的構成を規定しているわけではない。線形変換部34
4Aの構成が異なっても、線形変換部344Aの入力データと
出力データとの関係を表す行列Ｐが同じであるならば、
それらは同じ特性を持つものと判断できる。従って、以
下では差分解読及び線形解読に対する耐性が高く、かつ
アバランシュ性がよくなるような行列Ｐを決めた後に線
形変換部344Aの構成を決めることにする。その方が、線
形変換部344Aの個々の構成について最適な特性を有する
かどうかを調べて選択していくより効率よく、最適な特
性を有する線形変換部344Aを見つけることができるため
である。

【００３４】ｎ×ｎ行列Ｐの要素は、差分特性に注目し
て以下の探索アルゴリズムによって決定される。 Step 1：安全性閾値Ｔ（Tは2≦T≦nなる整数）を設定す
る。 Step 2：ハミング重みがT-1 以上となる列ベクトルの集
合Ｃを用意する。具体的には要素"1"の数がT-1 以上の
ｎ次元列ベクトルをｎ個以上用意する。

【００３５】Step 3：集合Ｃからｎ個の列ベクトルの組
P_cを選択する。全ての組の検査を完了するまで以下の処
理を繰り返す。 Step 3-1：列ベクトルの組P_cについて、n_dを求める。こ
のことをn_d(P_c)と表す。 Step 3-2：n_d(P_c)≧T ならば、そのｎ個の列ベクトルで
構成される行列P _cを候補行列として採用する。

【００３６】Step 4：全ての候補行列の中で、最大のn_d
の値を与えた行列Ｐとn_d(P)の値を出力する。 上記探索アルゴリズムによる候補行列を採用するなら
ば、n_dがＴ以上の値を持つことが保証される。n_dが最大
となるような行列Ｐを求めるには上記探索アルゴリズム
を実行する毎にＴをT=n, n-1, …, 3, 2の順に１ずつ減
らしていくことで、効率よく行列Ｐを発見できる。

【００３７】上記探索アルゴリズムにおいて、差分解読
及び線形解読に対しある程度満足いく耐性が得られるの
であれば、Step 3-2まで実行してn_d(P_c)≧Tとなる行列
を目的とする行列Ｐとして使用してもよい。あるいは、
Step 1を実行し、Step 2でハミング重みがT-1以上とな
るベクトルをｎ個選択し、それにより構成した行列Pcを
目的とする行列Ｐとして使用してもよい。

【００３８】線形変換部344Aの入力マスク値は、線形変
換部344Aの出力マスク値の排他的論理和によって表現可
能であるので、差分特性の場合と同様に、ある行列とし
て表現できる。幾つかの線形変換部344Aの構成につい
て、差分特性に注目した行列と線形表現に注目した行列
との関係を調べた結果、以下の２つの予測ができた。 予測１：線形変換部344Aが｛0, 1｝上のｎ×ｎ行列Ｐで
与えられたとする。このとき、線形変換部344A層の入力
差分値Δｚと出力差分値Δz'との関係（差分値パス）は
行列Ｐで与えられ、入力マスク値Γz と出力マスク値Γ
z'との関係（マスク値パス）は転置行列^TPで与えられ
る。即ち、 Δz'＝ PΔz (4) Γz ＝^TPΓz' (5) と表すことができる。

【００３９】予測２：行列Ｐを用いた差分値パスにおけ
るactive s-boxの最少個数n_dと行列Ｐの転置行列^TPを用
いたマスク値パスにおけるactive s-boxの最少個数n_lは
同じである。上記予想２から、前述の探索アルゴリズム
による候補行列を採用するならば、n_lもＴ以上の値を持
つ。例えば先の行列P_Eの場合、差分値パスに対する行列
P_Eと、マスク値パスに対する行列^TP_E は以下のようにな
る。

【００４０】

【数３】 この２つの行列について、それぞれn_d=3, n_l=3であるこ
とを証明することができる（付録参照）。行列Ｐが与え
られたとき、それに対応する線形変換部344Aの構成を決
めるアルゴリズムを以下に示す。ここでは、(1) 排他的
論理和(XOR) の個数を最少にする、又は(2) 同じような
副構成が繰り返し現れる、を満たすようにする。

【００４１】Step 1：行列Ｐにおいて、２つの行を選択
し、一方の行（ａ行）にもう一方の行（ｂ行）を加える
（基本演算と呼ぶ）。 Step 2：基本演算のみを用いて、行列Ｐが単位行列Ｉに
なるまで行を選択し、基本演算を行うことを繰り返し、
そのときに行った基本演算の回数を数え、基本演算の回
数が最少となるような行列変形手順を求める。

【００４２】Step 3：線形変換部344A層を構成するため
に、Step 2で求めた変形手順の逆順に、そのときの基本
演算で選択したａ行、ｂ行に相当するＡライン、Ｂライ
ンとのXOR 結線を行う。この様にして決められた線形変
換部344Aを有する第２鍵依存形線形変換部344の具体例
を図６に示す。線形変換部344Aにおいて、データmi
d₀₀，mid₀₁，mid₀₂，mid₀₃はそれぞれ処理系30₀ 〜30₃
に入力され、処理系30₀ でmid₀₀とmid₀₁との排他的論理
和が XOR回路31₀ でとられ、また処理系30₂ でmid₀₂とX
OR回路31₀の出力との排他的論理和が XOR回路31₂ でと
られ、更にその回路31₂の出力は処理系30₁ のXOR回路31
₁でmid₀₁との排他的論理和がとられる。処理系30₃ でXO
R回路31₀ の出力とmid₀₃との排他的論理和が XOR回路31
₃でとられ、処理系30₁ でXOR回路31₁ の出力とXOR回路3
1₃の出力との排他的論理和が XOR回路32₁ でとられ、処
理系30₀でXOR回路32₁の出力とXOR回路31₀の出力との排
他的論理和が XOR回路32₀ でとられる。XOR₀で回路3
2₀，32₁，31₂，31₃の各出力と副鍵データk_i10,k_i11, k
_i12, k_i13との各排他的論理和が鍵依存変換部344BのXOR
回路35₀〜35₃でそれぞれとられて、それぞれmid₁₀，mid
₁₁，mid₁₂，mid₁₃を出力する。つまりデータmid₀₀，mid
₀₁，mid₀₂，mid₀₃は相互に関連づけられた後、それぞれ
各８ビットの副鍵データk_1i0, k_1i1, k_1i2, k_1i3 に依
存した線形変換が行われる。論理式で示すと下記の論理
演算がなされる。

【００４３】 mid₁₀＝mid₀₀(+)mid₀₂(+)mid₀₃(+)k_i10 (7-1) mid₁₁＝mid₀₁(+)mid₀₂(+)mid₀₃(+)k_i11 (7-2) mid₁₂＝mid₀₀(+)mid₀₁(+)mid₀₂(+)k_i12 (7-3) mid₁₃＝mid₀₀(+)mid₀₁(+)mid₀₃(+)k_i13 (7-4) なお、副鍵k_i1は４つのデータk_i10，k_i11 ，k_i12 ，k
_i13で構成されている。

【００４４】図４に示したように、次に、これらデータ
mid₁₀，mid₁₁，mid₁₂，mid₁₃は、それぞれ非線形変換部
345₀，345₁，345₂，345₃において、データout₀，out₁，
out₂，out₃に非線形変換された後、結合部346 におい
て、一つのデータY_i ^* に結合される。つまり例えば４
つの８ビットのデータが１つの３２ビットデータにビッ
ト結合される。最後に、データY_i ^* は、鍵データk_i2に
よる第３鍵依存線形変換部347 において、例えばデータ
Y_i ^* をk_i2ビット左ローテーションによりデータY_iに線
形変換され、非線形関数部304 からの出力データY_iが生
成される。非線形変換部343₀〜343₃，345₀ 〜345₃ のそ
れぞれは、例えばＤＥＳ暗号のS-box のようなものであ
り、例えばＲＯＭにより構成され、それぞれ入力データ
をアドレスとして入力し、対応するデータを読み出すも
のである。

【００４５】ここで、非線形変換部343₀〜343₃は４つ並
列に配置されており、その変換処理は相互に関連してい
ないため、これらは並列実行が可能である。また、非線
形変換部345₀〜345₃についても同様のことがいえる。こ
のため、これら両非線形変換はそれぞれ１ステップ（非
線形関数部304 としては合計２ステップ）で実行するこ
とができる。また、非線形変換部343₀〜343₃，345₀〜34
5₃の差分確率・線形確率がｐとすると、第２鍵依存線形
変換部344 に図６に示したものを用いた場合、非線形関
数部304 全体における差分確率・線形確率はｐ⁴ とな
る。従って、データ変換装置全体では段数（ラウンド
数）を3rとして確率P≦p^8rで近似表現でき、例えばｒ＝
４（段数１２段）とするとP≦p³²である。これはＤＥＳ
暗号に換算すると４８段以上に相当し、差分解読法及び
線形解読法に対して十分安全なデータ変換装置となる。

【００４６】なお、鍵データfk，k₀₀，k₀₁，k₀₂，k₁₀，
k₁₁，k₁₂，…，k_(N-1)0，k_(N-1)1，k_(N-1)2，ekは図３
において鍵生成スケジュール部２０の鍵入力部320 から
入力された主鍵情報Key から鍵データ生成部321 によっ
て変換され、鍵記憶部322 に蓄積されたデータである。
鍵データ生成部321 による鍵データの生成は、図１に示
したＤＥＳ暗号の拡大鍵生成ルーチン部２１と同様に構
成してもよいし、あるいは米国特許No.4,850,019に示さ
れている拡大鍵生成部と同様に構成してもよい。

【００４７】図３に示した初期鍵依存変換部302 、最終
鍵依存変換部308 、及び図４に示した各非線形関数部30
4 内の鍵依存線形変換部341，344，347 は鍵に依存する
線形変換部であるため、差分解読法及び線形解読法以外
の解読法に対しても十分な安全性を兼ね備え、最も安全
性を重視した暗号装置である。なお、この発明はこの例
に特定されるだけでなく、例えば高速性を望むのであれ
ば、これら初期鍵依存変換部302 、最終鍵依存変換部30
8 、鍵依存線形変換部341，344，347 については、その
いずれかを削除する、又は鍵に依存しない変換手段に変
更することが可能である。この場合、差分解読法及び線
形解読法に対する安全性をそれほど低下させることな
く、暗号化処理速度の向上が望める。第２実施例 図３に示した第１実施例と同様の構成を有するデータ変
換装置において、図４に示す非線形関数部304 として他
の機能構成を用いた別の実施例を説明する。この実施例
は、図４における非線形変換部343₀, 343₁, 343₂, 343₃
の代わりに、それぞれ例えば８ビットの入力in₀〜in₃
に対して３２ビットの拡大データMID₀₀,MID₀₁, MID₀₂,
MID₀₃を非線形変換により出力する等価的に図７Ａ〜７
Ｄで示す非線形変換部343₀'〜343₃'を使用し、鍵依存線
形変換部344 として図８に示すものを使用する。

【００４８】図４に示したのと同様にデータR_iは、鍵記
憶部322 に蓄積されている鍵データk_i0，k_i1，k_i2と共
に非線形関数部304 への入力データとなる。データR
_iは、鍵データk_i0による第１鍵依存線形変換部341 で、
例えば排他的論理和によりデータR_i ^*＝R_i(k_i0に線形変
換される。次に、データR_i ^*５ は分割部342 において
４つのデータin₀，in₁，in₂，in₃ に分割される。４つ
のデータin₀，in₁，in₂，in₃ は、それぞれ図７Ａ〜７
Ｄに示す非線形変換部343₀'，343₁'，343₂'，343₃'にお
いて、拡大データMID₀₀，MID₀₁，MID₀₂，MID₀₃に非線形
変換される。第１実施例では、非線形変換部343₀がｍビ
ット入力in₀ に対し、ｍビットのデータmid₀₀を出力し
たのに対し、ここでは、非線形変換部343₀'は、第１実
施例の図４における非線形変換部343₀ と同じｍビット
のデータmid₀₀を上位ｍビットとして出力すると共に、
下位ｍビットに固定データ"00…0₍₂₎"を出力するよう構
成されたS-box を有し、その上位ｍビットデータmid₀₀
を布線により３系統に出力すると共にｍビットの"00…0
0₍₂₎"を出力するよう構成されている。即ち、非線形変
換部343₀'はｍビットのデータin₀ を4mビットのデータ MID₀₀＝[mid₀₀，00…0₍₂₎，mid₀₀，mid₀₀] (8-1) に変換する手段である。同様に、非線形変換部343₁'，3
43₂'，343₃' はそれぞれin₁, in₂, in₃ から MID₀₁＝[00...0₍₂₎，mid₀₁，mid₀₁，mid₀₁] (8-2) MID₀₂＝[mid₀₂，mid₀₂，mid₀₂，00…0₍₂₎] (8-3) MID₀₃＝[mid₀₃，mid₀₃，00…0，mid₀₃] (8-4) に変換する手段である。式(8-1)で表される拡大データM
ID₀₀の決め方は、予め図６の線形変換部344Aにおいてデ
ータmid₀₀以外の全てのデータmid₀₁, mid₀₂, mid₀₃をそ
れぞれ"00…0"とおいた場合に線形変換部344Aの出力４
系統に得られるデータ全体をMID₀₀とすればよい。以下
同様にして式(8-1), (8-2), (8-3) で表される拡大デー
タMID₀₁, MID₀₂, MID₀₃についてもそれぞれ容易に決め
ることができる。これら非線形変換部343₀'〜343₃'はそ
れぞれデータin₀, in₁, in₂, in₃をアドレスとし、デー
タMID₀₀, MID₀₁, MID₀₂, MID₀₃を直接読み出す変換テー
ブルとしてメモリにより構成してもよい。

【００４９】次いで、これら拡大データMID₀₀〜MID₀₃は
図８に示す鍵データk_i1による第２鍵依存線形変換部344
に入力される。MID₀₀とMID₀₁はXOR回路４１で排他的論
理和がとられ、MID₀₂とMID₀₃は XOR回路４２で排他的論
理和がとられ、XOR回路４１，４２の両出力の排他的論
理和がXOR回路４３でとられ、XOR回路４３の出力と鍵デ
ータk_i1との排他的論理和がXOR回路４４でとられる。XO
R回路４４の出力MID ₁は各ｍビットの出力mid₁₀，mi
d₁₁，mid₁₂，mid₁₃にビット分割されて出力される。結
局、この第２鍵依存線形変換部344 は次式 MID₁＝MID₀₀(+)MID₀₁(+)MID₀₂(+)MID₀₃(+)k_i1 (9) の演算で入力を線形変換する。

【００５０】この線形変換演算による出力MID₁＝[mi
d₁₀，mid₁₁，mid₁₂，mid₁₃]の成分はそれぞれ次式で表
される： mid₁₀＝mid₀₀(+)mid₀₂(+)mid₀₃(+)k_i10 (10-1) mid₁₁＝mid₀₁(+)mid₀₂(+)mid₀₃(+)k_i11 (10-2) mid₁₂＝mid₀₀(+)mid₀₁(+)mid₀₂(+)k_i12 (10-3) mid₁₃＝mid₀₀(+)mid₀₁(+)mid₀₃(+)k_i13 (10-4) これは、図６における線形変換式(7-1)〜(7-4)と等価な
線形変換である。このようにして第１実施例と同じデー
タmid₁₀，mid₁₁，mid₁₂，mid₁₃が生成される。なお、k
_i1は４つのデータk_i10，k_i11，k_i12，k_i13で構成されて
いる。

【００５１】次いで、データmid₁₀，mid₁₁，mid₁₂，mid
₁₃は、図４に示したのと同様にそれぞれ非線形変換部34
5₀，345₁，345₂，345₃ において、データout₀，out₁，o
ut₂，out₃ に非線形変換された後、結合部346 におい
て、４つのデータout₀，out₁，out₂，out₃ が１つのデ
ータY_i ^* に結合される。最後に、データY_i ^* は、鍵デ
ータk_i2による第３鍵依存線形変換部347 において、例
えばk_i2ビット左ローテーションによりデータY_iに線形
変換され、非線形関数部304 からの出力データY_iが生成
される。

【００５２】図７Ａ〜７Ｄ、図８に示した第２実施例に
おいて、図７Ａ〜７Ｄの非線形変換部343₀〜343₃ は第
１実施例と同様にそれぞれ各８ビットのデータmid₀₀〜m
id₀₃を出力するS-box のみで構成し、図７Ａ〜７Ｄで示
した布線と８ビットの"00…0"を出力するレジスタを図
８の鍵依存線形変換部344 内に設け、その中で拡大デー
タMID₀₀〜MID₀₃を生成するようにしてもよい。

【００５３】この第２実施例における第２鍵依存線形変
換部344 では、図８に示したように４つ排他的論理和に
より図６と等価な線形変換（図６では排他的論理和の個
数は１０個）を実現しているため、第１実施例より高速
な変換が可能になる。また、第１実施例と同様に、非線
形変換部343₀〜343₃ と345₀〜345₃ は４つずつ並列に配
置されており、その非線形変換処理は相互に関連してい
ないため、これらはすべて並列実行が可能である。更
に、非線形変換部343₀〜343₃，345₀〜345₃ の差分確率
・線形確率がｐとすると、非線形関数部304 全体におけ
る差分確率・線形確率はｐ⁴ となる。第３実施例 第１実施例と同様に、図３に示す機能構成を有するデー
タ変換装置において、その非線形関数部304 の内部の機
能構成として更に別のものを用いた実施例を説明する。

【００５４】図４に示したように例えば３２ビットのデ
ータR_iは、鍵記憶部322 に蓄積されている鍵データ
k_i0，k_i1，k_i2と共に非線形関数部304 へ入力される。
データR_iは、鍵データk_i0 による第１鍵依存線形変換
部341 で、例えば排他的論理和によりデータR_i ^*＝R_i(k
_i0に線形変換される。次に、データR_i ^* は分割部342
において例えば８ビットの４つのデータin₀，in₁，i
n₂，in₃ に分割される。

【００５５】非線形変換部343₀ において、例えば図９
に示すように、in₀は更に例えば４ビットの２つのサブ
ブロックin₀₀とin₀₁に分割された後、in₀₀はサブ非線形
変換部５１によりデータmid₀₀₀ に変換され、またin₀₁
との排他的論理和がXOR回路５２でとられ、その出力in
₀₀(in₀₁はサブ非線形変換部５３によりデータmid₀₀₁に
変換される。ついで、これら出力mid₀₀₀とmid₀₀₁の排他
的論理和がXOR回路５４でとられ、そのXOR回路５４の出
力とmid₀₀₁を統合してmid₀₀に変換する。つまり、非線
形変換部343₀は入力in₀を２つのサブブロックに分割
し、これら２つのサブブロックについて、それぞれ線形
変換と非線形変換を行い、その２つの出力サブブロック
を統合して非線形変換部の出力とする。同様に、in₁ in
₂ in₃についても、それぞれ２つの非線形変換部と２つ
の排他的論理和回路とよりなる図９に示した機能構成の
非線形変換部343₁，343₂，343₃ を用いて、データmi
d₀₁，mid₀₂，mid₀₃に変換する。

【００５６】変換されたデータmid₀₀，mid₀₁，mid₀₂，m
id₀₃は、図６に示した鍵データk_i1による第２鍵依存線
形変換部344 に入力される。この変換部344 によりそれ
ぞれ前述の式(7-1)〜(7-4)の演算が行われる。次いで、
データmid₁₀は、非線形変換部345₀ においても、例えば
図９に示したのと同様の機能構成により、更に２つのサ
ブブロックmid₁₀₀とmid₁₀₁ に分割され、mid₁₀₀ はサブ
非線形変換部５１によりデータout₀₀に変換され、一
方、データmid₁₀₀とmid₁₀₁はXOR回路５２により排他的
論理和がとられ、その出力mid₁₀₀(mid₁₀₁は非線形変換
部５３によりデータout₀₁に変換される。ついで、デー
タout ₀₀とout₀₁の排他的論理和がXOR回路５４によりと
られ、その出力out₀₀(out₀₁とout₀₁を統合してout₀に変
換する。同様に、mid₁₁，mid₁₂，mid₁₃についても、そ
れぞれ２つのサブ非線形変換部５１，５３と２つの排他
的論理和回路５２，５４とよりなる図９に示したのと同
様の機能構成の非線形変換部345₁，345₂，345₃によりデ
ータout₁，out₂，out₃ に変換される。

【００５７】これら非線形変換された４つのデータou
t₀，out₁，out₂，out₃ は、結合部346において一つのデ
ータY_i ^* に結合される。最後に、データY_i ^* は、鍵デ
ータk _i2による第３鍵依存線形変換部347 において、例
えばk_i2ビット左ローテーションによりデータY_iに線形
変換され、非線形関数部304 からの出力データY_iが生成
される。

【００５８】この様に、この第３実施例においては、非
線形変換部343₀〜343₃，345₀〜345₃では、それぞれその
内部で入力データが２つのデータに分割されて２つのサ
ブ非線形変換部（図９では５１，５３）により非線形変
換される。このため、これら１６個の各非線形変換部が
それぞれ扱うことのできる２倍のビット長を、非線形変
換部343₀〜343₃，345₀〜345₃ への入力データとするこ
とができる。例えば、サブ非線形変換部５１，５３を８
ビット長のs-boxとすると、非線形変換部343₀〜343₃，3
45₀〜345₃ への各入力データは１６ビット長となり、非
線形変換関数304 への入力データは６４ビット長とな
る。これにより、図３の構成を有するデータ変換装置と
して、ブロック長を128 ビットとすることができる。

【００５９】また、サブ非線形変換部５１，５３対応の
ものは８つずつ並列に配置されており、その非線形変換
処理は相互に関連していないため、これらはすべて並列
実行が可能である。更に、サブ非線形変換部５１，５３
の差分確率・線形確率がｐとすると、非線形関数部304
全体における差分確率・線形確率はｐ４ となる。上述
において第１鍵依存線形変換部341、第２鍵依存線形変
換部344 、第３鍵依存線形変換部347は必ずしも鍵依存
とすることなく、つまり鍵データを入力することなく、
サブデータ内での線形変換を行ってもよい。

【００６０】前述の各実施例ではハードウェア構成とし
て説明したが、そのデータ処理をプログラムに従ってコ
ンピュータにより実行するソフトウェアとして実現して
もよい。例えば、その処理手順の要部をフローチャート
として図１０に示す。図１０は図３の処理全体に対応す
る処理手順を表している。 ステップＳ１：処理繰り返し回数を表す変数ｉを０に初
期化する。

【００６１】ステップＳ２：入力平文を初期変換してか
ら左右ブロックデータL_i, R_i に分割する。 ステップＳ３：副鍵k_iを使って非線形関数により右ブロ
ックデータR_iを処理してブロックデータY_iを生成する。 ステップＳ４：左ブロックデータL_iをブロックデータY_i
で線形処理してブロックデータL^* _i を生成する。

【００６２】ステップＳ５：右ブロックデータR_iを新し
い左ブロックデータL_iとし、ブロックデータL^* _i を新し
い右ブロックデータR_iとする。 ステップＳ６：ｉを１だけインクリメントする。 ステップＳ７：ｉがＮに達したか判定し、達してなけれ
ばステップＳ３に戻り、前述と同様の処理ステップＳ３
〜Ｓ７を繰り返す。

【００６３】ステップＳ８：前ステップＳ７でｉがＮに
達していると判定されると、左右データL_i, R_i を結合
し、更に最終変換した結果を拡散データＣとして出力す
る。図１０のステップＳ３の処理の詳細は図４の非線形
関数部304 による処理に対応し、その処理手順を図１１
に示す。 ステップＳ３１：右データR_iに対し第１の鍵依存線形変
換を行いデータR^* _iとする。

【００６４】ステップＳ３２：データR^* _iをｍビットず
つｎ分割してデータin₀, in₁,…, in _n-1 を生成する
（例えばm=8, n=4である）。 ステップＳ３３：データin₀, in₁, …, in_n-1 をそれぞ
れアドレスとしてｎ個の第１のS-box からそれぞれデー
タmid₀₀, mid₀₁, …, mid_0(n-1)を読み出す。 ステップＳ３４：データmid₀₀〜mid_0(n-1)に対し副鍵k
_i1を使った鍵依存線形変換を行い、データmid₁₀〜mid
_1(n-1)を生成する。

【００６５】ステップＳ３５：データmid₁₀〜mid_1(n-1)
をそれぞれアドレスとしてｎ個の第２のS-box からデー
タout₀〜out_n-1 を読み出す。 ステップＳ３６：データout₀〜out_n-1 を結合してデー
タY^* _i を得る。 ステップＳ３７：データY^* _i に対し第３の鍵依存線形変
換を行いデータY_iを生成し、出力する。 上記ステップＳ３４の演算は、式(7-1)〜(7-4)による演
算でもよいし、又は式(8-1)〜(8-4)の定義を使った式
(9) による演算でもよい。更に、図１２ではステップＳ
３〜Ｓ７をラウンド数だけ繰り返し実行する処理手順の
場合を示したが、図３に示したＮ段のラウンド処理部38
₀〜38_N-1のそれぞれの処理をそのままプログラム化して
この発明のデータ拡散を実施してもよい。

【００６６】図１２は、第１及び第２実施例で説明した
データ拡散処理手順を表すプログラムを予め記録媒体に
記録しておき、そのプログラムを読み出してこの発明の
データ拡散を実施する構成例を示す。中央演算装置（Ｃ
ＰＵ）110 、リードオンリーメモリ（ＲＯＭ）120,ラン
ダムアクセスメモリ（ＲＡＭ）130,記憶装置（例えばハ
ードディスクＨＤ）140, I/Oインタフェース150,及びこ
れらを互いに接続するバス160 は一般的なコンピュータ
100 を構成している。この発明によるデータ拡散処理を
実施するプログラムは、例えば記録媒体としてのハード
ディスク140 に格納されている。ＲＯＭ120 にはそれぞ
れのS-box が表として格納されている。データ拡散処理
を実行する際に、ＲＡＭ130 にそのプログラムをハード
ディスク140 から読み込み、インタフェース150 を介し
て平文Ｍが入力されるとＣＰＵ110 の制御のもとにプロ
グラムが実行され、生成された拡散データＣがインタフ
ェース150 を介して出力される。

【００６７】データ拡散処理を実行するプログラムは記
録媒体としての任意の外部記憶装置180 に格納したもの
を使用してもよい。その場合、ドライバ170 を介して外
部記憶装置180 からプログラムをハードディスク140 に
一旦移して使用するか、ＲＡＭ130 に転送して使用する
ことができる。出力された拡散データＣは、図示してな
いが、例えば通信回線やインターネットを介して送出さ
れると、共通鍵を有している者のみがこの拡散データＣ
を復号することができる。この発明により拡散されたデ
ータＣは差分解読法及び線形解読法に対し強い耐性を有
しているので、より安全な情報の送信が実現できる。

【００６８】

【発明の効果】以上、詳細に説明したように、この発明
によれば、データを秘匿するための暗号化装置に好適な
データ変換装置について、安全性と高速性を同時に満た
すような構造にすることによって、段数を大幅に増加さ
せることなく安全性を確保し、かつ高速な暗号化処理が
可能となるようなデータ変換装置を提供することができ
る。これにより、秘密鍵の制御のもとでデータをブロッ
ク単位で暗号化又は復号を行う共通鍵暗号方式による暗
号化装置に有用である。

【００６９】

【付録】表記 #[a|cond]：条件condを満たす集合ａの個数。 Δx,Γx：ｘの差分値、ｘのマスク値。 a(b：ａとｂのビット毎の論理積に対する偶数パリティ
値。

【００７０】線形変換部：Ｐ＝[t_ij], t_ij∈{0, 1}, 0
＜ i,j ＜ n-1 線形変換部の入力：z＝^T[z₀,…,z_n-1], z_i∈GF(2^m), 0
＜i＜n-1 線形変換部の出力：z'＝^T[z'₀,…,z'_n-1]＝P_z, z'_i∈GF
(2^m), 0＜i＜n-1定義 [定義１] Δx,Δy,Γx,Γy が与えられたとき、s-box
の差分確率DP^s(Δx(Δy)と線形確率LP^s(Γy→Γx)を以
下のように定める： DP^s(Δx→Δy)＝#｛x∈GF(2^m)|s(x)+s(x+Δx)＝Δy｝/2
^m LP^s(Γy→Γx)＝(2×#｛x∈GF(2^m)|x・Γx＝s(x)・Γy｝/
2^m−1)² [定義２] s-boxの最大差分確率p_sと最大線形確率q_sを
以下のように定める。

【００７１】

【数４】

【００７２】

【数５】 [定義３] 差分解読法では入力差分値Δx が非零であるs
-box 、線形解読法では出力マスク値Γy が非零であるs
-box のことをactive s-boxと呼ぶ。 [定義４] 2-round SPN構造で構成されるラウンド関数
において、Δx,Δy,Γx,Γy が与えられたとき、差分確
率p(Δx→Δy)と線形確率q(Γy→Γx)を以下のように定
める。

【００７３】

【数６】

【００７４】

【数７】 ここで、Δx＝(Δx₀,…,Δx_n-1)であり、Δy,Γx,Γy
も同様である。更に、p(Δz→Δz'_i)は、各ｉに対し
て、Δz が線形変換部によってΔz'_iに変換されること
を表しているものとする。即ち、全てのｉに対して、∃
Δz'_i s.t.p(Δz→Δz'_i)＝１である。p(Γz'→Γz_i)も
同様である。

【００７５】[定義５] 2-round SPN構造で構成される
ラウンド関数の最大差分確率ｐと最大線形確率ｑを以下
のように定める。

【００７６】

【数８】

【００７７】

【数９】 [定義６] 2-round SPN構造に対して、全てのs-box が
全単射である時、差分解読法と線形解読法におけるacti
ve s-boxの最少個数n_d, n_lは以下のように与えられる。

【００７８】

【数１０】

【００７９】

【数１１】 ここで、

【００８０】

【数１２】 とする。また、Δz,Γz は線形変換部の入力差分値と入
力マスク値を表し、Δz', Γz'は線形変換部の出力差分
値と出力マスク値を表す。 [定理１] 2-round SPN構造のラウンド関数における最
大差分確率ｐと最大線形確率ｑは以下の関係式を満た
す。

【００８１】

【数１３】 [Proof sketch]差分解読法の場合について考える。定義
２と定義３より、active s-boxにおける差分確率はp_s以
下である。従って、あるΔx,Δy におけるactive s-box
の個数をn_dzとすると、そのときのラウンド関数の差分
確率は、定義４より、p_s ^ndz以下となる。一方、n_dをact
ive s-boxの最少個数とすると、全てのΔx,Δy に対し
てn_d≦ｎ_dz, p_s≦1であるから、

【００８２】

【数１４】 となる。従って、このラウンド関数における最大差分確
率ｐは、p≦p_s ^ndである。同様のことが、線形解読法の
場合についてもいえ、q≦q_s ^nlが導かれる。 [定理２] Concatenation Rules X→(Y, Z)を、データＸがデータＹとデータＺの２つの
データに同じく複製されることを表すとする。即ち、X
＝Y＝Z が成立する。このとき、以下の関係が成立す
る： X＝Y(+)Z ⇒ΔX＝ΔY(+)ΔZ,ΓX＝ΓY＝ΓZ (XOR oper
ation) X→(Y, Z)⇒ΔX＝ΔY＝ΔZ,ΓX＝ΓY(+)ΓZ (Branch o
peration) [差分解読法及び線形解読法に対する耐性]定理１の式で
示したように、差分解読法及び線形解読法に対するラウ
ンド関数の耐性は、active s-boxの最少個数n_d, n_lから
決めることができる。例えば、行列P_Eが表す線形変換は
全単射であるので、H_w(Δz)≦2ならばH_w(Δz')≦1であ
り、またH_w(Δz)=1ならばH_w(Δz')＞3であることから、
active s-boxの個数が２になることはあり得ないので、
n _d＞3となる。ところで、例えば、Δz₀=Δz₂≠0,Δz₁=
Δz₃=0の時、Δz'₀=Δz₂≠0，Δz'₁=Δz'₂=Δz'₃=0 (H_w
(Δz')=1)となり、active s-boxの個数は、H_w(Δz)+H
_w(Δz')=3である。従って、n_d=3となるので、定理１よ
りこのラウンド関数の耐性はp＜p_s ³である。またn_lにつ
いても同様の議論ができ、n_l=3, q≦q_s ³であることが示
せる。

【図面の簡単な説明】

【図１】従来のＤＥＳ暗号装置の機能構成を示す図。

【図２】図１中のｆ関数演算部１２の機能構成を示す
図。

【図３】この発明の第１実施例の機能構成を示す図。

【図４】第１実施例における非線形関数部304 の機能構
成を示す図。

【図５】線形変換部344Aの変換処理を表す行列を説明す
るための基本構成を示す図。

【図６】探索アルゴリズムにより決定した線形変換部34
4Aを有する第２鍵依存線形変換部344 の構成例を示す
図。

【図７】Ａは第２実施例における非線形変換部343₀'の
機能構成例を示す図、Ｂは非線形変換部343₁'の機能構
成例を示す図、Ｃは非線形変換部343₂'の機能構成例を
示す図、Ｄは非線形変換部343₃'の機能構成例を示す
図。

【図８】第２実施例における図４中の第２鍵依存線形変
換部344 の機能構成を示す図。

【図９】第３実施例における図４中の非線形変換部343
又は345 の機能構成を示す図。

【図１０】データ変換処理をコンピュータで実施する処
理手順を示すフローチャート。

【図１１】図１０におけるステップＳ３の詳細な処理手
順を示すフローチャート。

【図１２】記録媒体に記録されたデータ処理手順プログ
ラムを実行する構成を示す図。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 松本 勉 神奈川県横浜市青葉区柿の木台13−45 (56)参考文献 神田雅透他“少数のｓ−ｂｏｘを用い たラウンド関数の構成法について（その ２）”1998年暗号と情報セキュリティシ ンポジウム（ＳＣＩＳ’98），２．２. Ｄ，（1998年１月28日) 神田雅透他“少数のｓ−ｂｏｘを用い たラウンド関数の構成法について（その ３）”電子情報通信学会技術研究報告, Ｖｏｌ．98，Ｎｏ．48（1998年５月15 日），Ｐ．21−30（ＩＳＥＣ98−３) 神田雅透他“128ビットブロック暗号 Ｅ２の提案”電子情報通信学会技術研究 報告，ｌＶｏ．98，Ｎｏ．227，（1998 年７月30日），ｐ．13−24（ＩＳＥＣ98 −12) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (14)

(57)【特許請求の範囲】
1. 【請求項１】 複数の鍵データを保持する鍵記憶手段
   と、上記複数の鍵データが与えられ、それぞれ鍵依存の
   非線形変換を行う非線形関数部をそれぞれ含む縦続接続
   された複数のラウンド処理部とを含み、入力データを鍵
   データに依存して別のデータに変換するデータ変換装置
   であり、各上記ラウンド処理部の上記非線形関数部は： 上記ラウンド処理部への入力データを、上記鍵記憶手段
   に蓄積された第１鍵データに基づいて線形変換を行う第
   １鍵依存線形変換手段と、 上記第１鍵依存線形変換手段の出力データを４個のサブ
   データに分割する分割手段と、 上記４つのサブデータのそれぞれに非線形変換を行う第
   １非線形変換手段と、 上記鍵記憶手段に蓄積された第２鍵データと、上記第１
   非線形変換手段の各々の出力サブデータとで線形変換を
   行う第２鍵依存線形変換手段と、 上記第２鍵依存線形変換手段の４つの出力サブデータの
   それぞれに非線形変換を行う第２非線形変換手段と、及
   び上記第２非線形変換手段の４つの出力サブデータを結
   合して上記非線形関数手段の出力とする結合手段、 とを含み、上記第２鍵依存線形変換手段は、その入力に
   対し４×４行列で規定される排他的論理和を行う線形変
   換部を含んでいることを特徴とするデータ変換装置。
2. 【請求項２】 請求項１記載のデータ変換装置におい
   て、 上記入力データを二つの部分データに分割する初期分割
   手段と、 上記部分データの一つを入力とする上記非線形関数手段
   と、 上記非線形関数手段の出力データを残りの部分データの
   一つに作用させる線形演算手段と、 二つの部分データを一つの出力データに結合する最終結
   合手段、 とを備えることを特徴とするデータ変換装置。
3. 【請求項３】 請求項２に記載のデータ変換装置におい
   て、 上記入力データに変換を行って上記初期分割手段へ供給
   する初期変換手段を備えることを特徴とするデータ変換
   装置。
4. 【請求項４】 請求項２又は請求項３に記載のデータ変
   換装置において、上記最終結合手段の出力データに変換
   を行って上記データ変換装置の出力データとする最終変
   換手段を備えることを特徴とするデータ変換装置。
5. 【請求項５】 請求項３又は請求項４に記載のデータ変
   換装置において、上記初期変換手段及び上記最終変換手
   段の少くとも一方は、上記鍵記憶手段に蓄積された鍵デ
   ータに基づいて変換を行う鍵依存変換手段であることを
   特徴とするデータ変換装置。
6. 【請求項６】 請求項１から請求項５のいずれかに記載
   のデータ変換装置において、 上記非線形関数手段は、上記鍵記憶手段に蓄積された第
   ３鍵データにより上記結合手段の出力データを線形変換
   して上記非線形関数手段の出力とする第３鍵依存線形変
   換手段を備えることを特徴とするデータ変換装置。
7. 【請求項７】 請求項１から請求項６のいずれかに記載
   のデータ変換装置において、 上記第１鍵依存線形変換手段、上記第２鍵依存線形変換
   手段、上記第３鍵依存線形変換手段のいずれかは、固定
   された線形変換を行う線形変換手段であることを特徴と
   するデータ変換装置。
8. 【請求項８】 請求項１から請求項７のいずれかに記載
   のデータ変換装置において、 上記第２線形変換手段は、上記第１非線形変換手段より
   の４つの出力A1，A2，A3，A4を入力して、 B1＝A1(+)A3(+)A4 B2＝A2(+)A3(+)A4 B3＝A1(+)A2(+)A3 B4＝A1(+)A2(+)A4 をそれぞれ演算して、データB1，B2，B3，B4を出力する
   手段であることを特徴とするデータ変換装置。
9. 【請求項９】 請求項８記載のデータ変換装置におい
   て、 上記第２線形変換手段は鍵依存線形変換手段であって、
   上記鍵記憶手段よりの鍵データk2＝[k21，k22，k23，k2
   4]も入力され、上記B1，B2，B3，B4を得る演算に、それ
   ぞれk21，k22，k23，k24も排他的論理和算されることを
   特徴とするデータ変換装置。
10. 【請求項１０】 請求項１から請求項９のいずれかに記
    載のデータ変換装置において、 上記第１非線形変換手段は上記分割手段よりの４個の各
    ｍビットのサブデータin1，in2，in3，in4についてin1
    を4mビットのMI1＝[A1, 00…0₍₂₎, A1, A1]に変換する
    手段と、in2を4mビットのMI2＝[00…0₍₂₎, A2, A2, A2]
    に変換する手段と、in3を4mビットのMI3＝[A3, A3, A3,
    00…0₍₂₎]に変換する手段と、in4を4mビットのMI4＝[A
    4, A4, 00…0₍₂₎, A4]に変換する手段とよりなり、 上記第２線形変換手段は、上記第１非線形変換手段より
    のデータMI1, MI2, MI3, MI4を入力して、B＝MI1(+)MI2
    (+)MI3(+)MI4を演算し、B＝[B1, B2, B3, B4]を出力す
    る手段であることを特徴とするデータ変換装置。
11. 【請求項１１】 請求項１０記載のデータ変換装置にお
    いて、 上記第２線形変換手段は鍵依存線形変換手段であって、
    上記鍵記憶手段よりの4mビットの鍵データk2も入力さ
    れ、上記Ｂの演算にk2も排他的論理和算されることを特
    徴とするデータ変換装置。
12. 【請求項１２】 請求項１から請求項１１のいずれかに
    記載のデータ変換装置において、 上記第１非線形変換手段及び上記第２非線形変換手段
    は、その各入力サブデータを、二つのサブブロックに分
    割する手段と、その分割された二つのサブブロックに対
    し、それぞれ線形変換を行う手段と、非線形変換を行う
    手段とを縦続的に行う手段と、その縦続的に行う手段の
    各変換出力サブブロックを統合して対応入力サブデータ
    に対する非線形変換出力サブデータとする手段を備えて
    いることを特徴とするデータ変換装置。
13. 【請求項１３】 請求項１から１２のいずれかに記載の
    データ変換装置において、上記４×４行列は、予め決定
    した安全性閾値Ｔに対し、それぞれがハミング重みT-1
    以上となる４個の列ベクトルから構成されていることを
    特徴とするデ ータ変換装置。
14. 【請求項１４】 請求項１３記載のデータ変換装置にお
    いて、上記行列は、上記ハミング重みがT-1 以上となる
    列ベクトルから構成された複数の行列の候補から、最大
    のndを与えるものとして選択されたものであり、上記nd
    はactive s-boxの最少個数であることを特徴とするデー
    タ変換装置。