JP3039334B2

JP3039334B2 - 暗号装置

Info

Publication number: JP3039334B2
Application number: JP7206372A
Authority: JP
Inventors: 浩宮野
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 1995-08-14
Filing date: 1995-08-14
Publication date: 2000-05-08
Anticipated expiration: 2015-08-14
Also published as: JPH0954547A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、データの通信や蓄積の
際にデータを秘匿するための暗号装置に関する。

【０００２】

【従来の技術】ＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏ
ｎＳｔａｎｄａｒｄ）と呼ばれる暗号方式（特開昭５
１−１０８７０１号公報「暗号装置」）に代表される共
通鍵暗号の多くは、比較的簡単な変換操作を繰り返し行
うことによって複雑な暗号化変換を実現することを特徴
としている。図１は、多くの共通鍵暗号方式に採用され
ている暗号化手順の代表的な例を示したブロック図であ
る。

【０００３】入力されたテキスト１０１は、分割手段１
０２において第１のテキスト１０３と第２のテキスト１
０４に分割される。この例においては、入力１０１が直
ちに分割手段１０２の入力となっているが、入力に線形
置換を施したり、あるいは暗号鍵に基づいて生成された
ビット列とのビット毎の排他的論理和をとるなど、入力
１０１に何らかの可逆な処理をほどこしたものを分割手
段１０２の入力とするような構成をとるような暗号方式
もある。第１のテキスト１０４および第２のテキスト１
０４は攪拌手段１０５の入力となる。攪拌手段１０５に
よる処理を繰り返された後、統合手段１０６は攪拌手段
によって攪拌された第１の攪拌済みテキスト１０９と第
２の攪拌済みテキスト１１０とを統合して出力１１１と
する。前記攪拌手段１０５はデータ変換手段１０７を内
蔵し、該変換手段１０７の出力と前記第２のテキストと
のビット毎の排他的論理和をとった値で第２のテキスト
が置き換えられる。

【０００４】このような構成をとる暗号方式としては、
ＤＥＳ以外には、ＦＥＡＬ（宮口庄司ら“Ｆａｓｔｄ
ａｔａｅｎｃｒｙｐｔｉｏｎａｌｇｏｒｉｔｈｍ
ＦＥＡＬ−８”，Ｒｅｖｉｅｗｏｆｅｌｅｃｔｒｉ
ｃａｌｃｏｍｍｕｎｉｃａｔｉｏｎｓｌａｂｏｒａ
ｔｏｒｉｅｓ，Ｖｏｌ．３６Ｎｏ．４，１９８８）な
どが提案されている。

【０００５】これらの暗号方式は、データ変換手段１０
７の内部構造によって特徴づけられる。

【０００６】図２はＤＥＳのデータ変換手段１０７の構
成を示したものである。図２を用いてＤＥＳのデータ変
換手段の構成を説明する。

【０００７】３２ビットからなるデータ変換手段の入力
２０１は、拡大転置Ｅ２０２によって４８ビットに拡張
される。この４８ビットと、鍵記憶手段２０２に記憶さ
れている４８ビットの鍵との間でビット毎の排他的論理
和２０４が計算される。非線形関数部２０５はＳ₁から
Ｓ₈までの８つの非線形関数からなる。それぞれの非線
形関数はいずれも入力ビット長が６ビット、出力ビット
長が４ビットである。排他的論理和２０４の出力４８ビ
ットは、先頭から順に６ビット毎、８つの部分に区切ら
れ、それぞれ順にＳ₁，Ｓ₂，・・・，Ｓ₈の入力とな
る。８つの非線形変換の出力の合計３２ビットは、転置
Ｐ２０６によって転置され、その結果が出力２０７とな
る。

【０００８】図３は拡大転置Ｅ２０２の機能を表した表
である。拡大転置Ｅ２０２は入力長３２ビット、出力長
４８ビットの関数である。この表は、たとえばこの表の
先頭の「３２」という数字は拡大転置Ｅ２０２の出力の
最初のビットは入力の３２番目と一致することを表して
おり、この表の２番目の「１」という数字は拡大転置Ｅ
２０２の出力の２番目のビットは入力の１番目と一致す
ることを表しているというように、拡大転置Ｅ２０２の
出力の４８ビットと入力の３２ビットの関係を表してい
る。

【０００９】図４は図３の非線形関数部２０５の８つの
非線形関数Ｓ₁，Ｓ₂，・・・，Ｓ₈のうち、Ｓ₁の機
能を表した表である。他の７つの非線形関数も、Ｓ₁と
同様にあらかじめ定められた表によって機能が規定され
ているが、ここではＳ₁の機能を規定した表の説明をす
ることによって、非線形関数部の概要の説明とする。各
々の非線形変換２０５は入力長６ビット、出力長４ビッ
トの関数である。４つの行はそれぞれ、入力の先頭のビ
ットと最後のビットの組がそれぞれ（０，０）、（０，
１）、（１，０）、（１，１）である場合に対応してい
る。１６個の列はそれぞれ、入力の第２ビットから第５
ビットまでの４つのビットを４桁の二進数とみなしたと
きに、この二進数が表している数字が０，１，２，・・
・である場合に対応している。表の各数字は、出力の４
ビットを４桁の二進数とみなしたときの値を表してい
る。たとえば、入力が（００００００）であるとする
と、先頭のビットと最後のビットの組が（０，０）であ
るからこれは表の一番上の行に対応し、第２ビットから
第５ビットまでの４つのビットの組は（００００）であ
りこれを４桁の二進数と見ると０に対応するので該当す
る行の先頭の列が対応するから、その部分に書かれてい
る数字「１４」に対応する４桁の二進数（１１１０）が
入力（００００００）に対応する出力である。このよう
に、入力に対応する出力が表によって定められているの
がＤＥＳのデータ変換手段１０７の非線形関数Ｓ₁，Ｓ
₂，・・・，Ｓ₈の特徴である。

【００１０】図５は転置Ｐ２０６の機能を表した図であ
る。転置Ｐ２０６は入力長３２ビット、出力長３２ビッ
トの関数である。表の見方は図３の拡大転置Ｅ２０２の
機能を表した表と同様で、たとえばこの表の先頭の「１
６」という数字は転置Ｐ２０６の出力の最初のビットは
入力の１６番目と一致することを表しており、この表の
２番目の「７」という数字は転置Ｐ２０６の出力の２番
目のビットとは入力の７番目と一致することを表してい
るというように、転置Ｐ２０６の出力の３２ビットと入
力の３２ビットの関係を表している。

【００１１】図６はＦＥＡＬのデータ変換手段１０７の
構成を示したものである。図６を用いてＦＥＡＬのデー
タ変換手段の構成を説明する。

【００１２】３２ビットからなるデータ変換手段の入力
６０１は、８ビットずつの４つの部分に分割される。こ
れらのうちの２番目の８ビットと３番目の８ビットは、
これら自身と鍵記憶手段６０２に記憶されている１６ビ
ットの鍵とのビット毎の排他的論理和で置き換えられ、
さらに１番目の８ビットは自身と新たに置き換えられた
２番目の８ビットとのビット毎の排他的論理和で置き換
えられ、４番目の８ビットは自身と新たに置き換えられ
た３番目の８ビットとのビット毎の排他的論理和で置き
換えられる。さらに、２番目の８ビットは自身と３番目
の８ビットを入力とする非線形関数Ｓ₁６０３の出力で
置き換えられ、３番目の８ビットは自身と２番目の８ビ
ットとを入力とする非線形関数Ｓ₀６０４の出力で置き
換えられ、１番目の８ビットは自身と２番目の８ビット
とを入力とする非線形関数Ｓ₀６０５の出力で置き換え
られ、４番目の８ビットは自身と３番目の８ビットとを
入力とする非線形関数Ｓ₁６０６の出力で置き換えら
れ、これらの４つの８ビットが統合されて３２ビットの
出力６０７となる。

【００１３】図６の非線形関数Ｓ₀，Ｓ₁は、いずれも
８ビットからなる２つの入力と１つの出力をそれぞれ８
桁の二進数とみなすと、それぞれ以下の式で表すことの
できる関数である。

【００１４】Ｓ₀（ｘ，ｙ）＝ｒｏｔ₂（ｘ＋１ｍｏｄ２５６）Ｓ₁（ｘ，ｙ）＝ｒｏｔ₂（ｘ＋ｙ＋１ｍｏｄ２５６）ただし、上の式でｒｏｔ₂は２ビット分のビットのロー
テーションを表す。

【００１５】また、これらの既存の暗号方式に対して改
良を施すことによって安全性を高めようとする研究も行
われている。たとえば小山謙二ら“ＨｏｗｔｏＳｔ
ｒｅｎｇｔｈｅｎＤＥＳ−ｌｉｋｅＣｒｙｐｔｏｓ
ｙｓｔｍｓａｇａｉｎｓｔＤｉｆｆｅｒｅｎｔｉａｌ
Ｃｒｙｐｔａｎａｌｙｓｉｓ”，ＩＥＩＣＥＴｒａ
ｎｓ．Ｖｏｌ．Ｅ７６−ＡＮｏ．１Ｊａｎ１９９
３などがこうした研究の一例である。

【００１６】図７を用いて、前記小山らによって提案さ
れた方式を説明する。

【００１７】図７の攪拌手段７０１および攪拌手段７０
２は、図１における攪拌手段１０５に対応する。この方
式は、それぞれの攪拌手段７０１，７０２同士の間に、
データの内容に応じて右半分と左半分を交換する機能を
有する交換手段を挿入することを特徴としている。図７
では、ふたつの攪拌手段しか描かれていないが、通常は
それぞれの攪拌手段の間が図７に示した構成をとる。

【００１８】攪拌手段７０１は、データ変換手段７０３
と、該データ変換手段の出力とデータの右半分とのビッ
ト毎の排他的論理和をとる手段７０４からなることは、
図１の構成と同様である。データ変換手段７０３は、た
とえば図２や図６で説明したような構成をとることがで
きる。交換制御手段７０５はデータの左半分７０６とデ
ータの右半分７０７とを参照し、たとえば‘０’である
ビットが偶数個のときには左右を交換し奇数個の時には
交換しないというようなあらかじめ定められた規則によ
ってデータの左右を交換するかどうかを決定する。この
決定に応じて、交換手段７０８はデータの左右を交換
し、あるいは交換しない。交換する場合にはデータの左
半分７０６は右半分７１０となり、右半分７０７は左半
分７０９となる。交換しない場合にはデータの左半分７
０６はそのまま左半分７０９となり、右半分７０７はそ
のまま右半分７１０となる。こうして交換手段７０８に
よって交換され、あるいは交換されないデータは次の段
の攪拌手段７０２の入力となる。

【００１９】図７に示した方式の他にも、既存の暗号を
改良することによって安全性を高める方式が提案されて
いる。たとえば、鍵記憶装置（図２の２０２や図６の６
０２）に記憶された鍵を、１ブロック（６４ビット）暗
号化する毎に更新することによって安全性を高める方式
（特開平０６−２６６２８４号公報（特願平０５−０５
０２７６号）「暗号化装置」）などである。

【００２０】

【発明が解決しようとする課題】前記ＤＥＳなどの従来
の暗号技術に対していくつかの解読法（暗号を破る手
法）が提案されている。代表的なものに差分解読法（Ｅ
ｌｉＢｉｈａｍら“ＤｉｆｆｅｒｅｎｔｉａｌＣｒ
ｙｐｔａｎａｌｙｓｉｓｏｆＤＥＳ−ｌｉｋｅＣｒ
ｙｐｔｏｓｙｓｔｅｍｓ”，ｐｒｏｃｅｅｄｉｎｇｓ
ｏｆＣＲＹＰＴＯ’９０）や線形解読法（松井充「Ｄ
ＥＳ暗号の線形解読法（Ｉ）」、１９９３年暗号と情報
セキュリティシンポジウムＳＣＩＳ９３−３Ｃ）などが
ある。

【００２１】ＤＥＳは、図２に示したデータ変換手段の
各々の出力ビットがいずれも入力の６ビットと鍵の６ビ
ットからしか影響を受けていないことが線形解読法によ
る攻撃が効果的であるひとつの理由であることが報告さ
れている（宮野浩「線形解読法に対して有利なＦ関数の
構成法」、１９９５年暗号と情報セキュリティシンポジ
ウムＳＣＩＳ９５−Ａ４．３，１９９５．）。ＦＥＡＬ
の場合には、非線形関数６０３，６０４，６０５，６０
６に加法を用いているため、出力ビットは多くの入力ビ
ットから影響を受けるが、一部のビットから受ける影響
は加算の際に連続して繰り上がりが起こった時のみに受
ける影響であるためきわめて小さい影響となっている。
そのため、ＦＥＡＬについても線形解読法に対してあま
り安全性が高くなっていない。

【００２２】このように、線形解読法に対する安全性が
高くない暗号方式に対して、図７を用いて説明したよう
な方法などで安全性を高くした場合でも、データ変換手
段１０７を改良することによってさらに安全性を高くす
ることは可能である。

【００２３】以上、説明したような理由によって、図１
のような構成を持つ暗号方式において高い安全性を実現
するようなデータ変換手段１０７を構成することが要請
されている。

【００２４】

【課題を解決するための手段】本発明の暗号装置は、入
力データを鍵に依存して暗号化する暗号装置であって、
入力データを複数の同一データ長の部分データ（１０
３、１０４）に分割する第１の分割手段（１０２）と、
複数個のデータ攪拌手段（１０５）と、複数個の同一デ
ータ長の部分データを統合する第１の統合手段（１０
６）を有し、前記各々のデータ攪拌手段（１０５）は、
前記部分データの少なくとも１つ（１０３）を入力と
し、該部分データと同一のデータ長のデータを出力と
し、内部に有する鍵記憶手段内に記憶された鍵に依存し
たデータ変換処理を行うデータ変換手段（１０７）を少
なくとも１つ有し、該データ変換手段の出力を複数の部
分データ（１０４）の１つに作用（１０８）させること
を特徴とする暗号装置において、前記データ変換手段
（１０７）が、鍵を記憶する鍵記憶手段（８０６）と、
前記データ攪拌手段（１０７）の入力に対して入力と出
力が同一ビット長を持ち、出力ビットが入力ビットの一
次関数で表現できる変換である線形変換を施す第１の線
形変換手段（８０２）と、該第１の線形変換手段（８０
２）の出力をそれぞれ同一の長さの第１のビット列（８
０５）と第２のビット列（８０４）に分割する第２の分
割手段（８０３）と、該第１のビット列（８０５）に前
記鍵記憶手段（８０６）に記憶された鍵を作用させて出
力ビットが入力ビットの一次関数で表現できない演算で
ある非線形演算を行う第１の非線形演算手段（８０７）
と、該第１の非線形演算（８０７）の出力に対して１対
１対応であるような線形変換である線形置換を施す第１
の線形置換手段（８０９）と、前記第２のビット列（８
０４）に該第１の線形置換手段（８０９）の出力を作用
させて非線形演算を行う第２の非線形演算手段（８１
０）と、前記第１の非線形演算手段（８０７）の出力と
該第２の非線形演算手段（８１０）の出力とを連結して
ひとつのビット列とする第２の統合手段（８１１）と、
該第２の統合手段（８１１）の出力に線形変換を施す第
２の線形変換手段（８１２）と、該第２の線形変換手段
（８１２）の出力をそれぞれ同一の長さの第３のビット
列（８１５）と第４のビット列（８１４）に分割する第
３の分割手段（８１３）と、該第４のビット列（８１
４）に線形置換を施す第２の線形置換手段（８１６）
と、前記第３のビット列（８１５）に該第２の線形置換
手段（８１６）の出力を作用させて非線形演算を行う第
３の非線形演算手段（８１７）と、該第３の非線形演算
手段（８１７）の出力と前記第４のビット列（８１４）
とを連結してひとつのビット列として出力する第３の統
合手段（８１８）とを備えることを特徴とする。

【００２５】また本発明の暗号装置は、前記データ変換
手段（１０７）が、第３の統合手段（９１８）の出力と
前記鍵記憶手段（９０６）に記憶された鍵とを入力とし
て該鍵と同一のビット長のデータを生成し該生成された
データを前記鍵記憶手段（９０６）に記憶させる鍵更新
手段（９２０）を備えることを特徴とする。

【００２６】また本発明の暗号装置は、データ変換手段
（１０７）の有する線形変換手段（８０２、８１２、９
０２、９１２）の少なくとも１つが、該線形変換手段の
入力（４０１、５０１）を入力とする線形置換手段（４
０２、４０３、５０２）と、該線形置換手段（４０２、
４０３、５０２）の出力と前記線形変換手段の入力（４
０１、５０１）とを入力とする演算手段（４０５、５０
４）とを備えることを特徴とする。

【００２７】

【実施例】前記のように、図１のような構成を持つ暗号
方式において高い安全性を実現するようなデータ変換手
段１０７を構成することは重要な問題である。そのよう
なデータ変換手段を実現するためには、非線形関数の非
線形効果がなるべく効率良くデータ全体に広がっていく
ように構成することが効果的である。本発明は、データ
変換手段がこのような効果を持つように、データ変換手
段内部に線形変換手段を組み込んでいる。以下、実施例
に従って本発明を詳細に説明する。

【００２８】図８は、本発明の第１の実施例におけるデ
ータ変換手段１０７の構成を表した図である。まず、全
体の構成について説明し、線形変換８０２，８１２、非
線形演算８０７，８１０，８１７、線形置換８０９，８
１６の機能については後で述べる。

【００２９】該データ変換手段の入力８０１は線形変換
手段８０２による処理を受けた後、分割手段８０３にお
いて第１のビット列８０４と第２のビット列８０５とに
分割される。第１のビット列８０５は、鍵記憶手段８０
６とともに第１の非線形演算手段８０７の入力となる。
第１の線形置換８０９は該非線形演算８０７の出力８０
８を入力とし、第２の非線形演算８１０は該第１の線形
置換８０９の出力と前記２のビット列８０４とを入力と
する。前記第１の非線形演算８０７の出力８０８と前記
第２の非線形演算８１０の出力とは統合手段８１１で統
合され、該統合手段８１１の出力は線形変換手段８１２
において線形変換を受け、該線形変換手段８１２の出力
は分割手段８１３において第３のビット列８１４と第４
のビット列２１５とに分割される。第２の線形置換８１
６は該第４のビット列８１５を入力とし、第３の非線形
演算８１７は該第２の線形置換８１６の出力と前記第３
のビット列８１４とを入力とする。該第３の非線形演算
８１７の出力と前記第４のビット列８１５とは統合手段
８１８で統合され、８１８の出力が該データ変換手段１
０７の出力８１９となる。なお、一般に線形変換とは、
入力と出力のビット長の等しい変換であって、出力の各
ビットが入力ビットの一次関数として表現することので
きる変換のことである。（たとえば、岩波数学事典第３
版（岩波書店刊、日本数学会編集）５７０頁２１０Ｂ
「線形写像」項、線形代数学序説（学術図書出版社刊、
笹尾靖也著）２０頁３．１「一次写像の定義」の項など
を参照。）

【００３０】線形変換８０２は、入力データをＸとした
ときに、たとえばｒｏｔ₁₂（Ｘ）とＸ自身とのビット毎
の排他的論理和を出力する装置として構成することがで
きる。ここでｒｏｔ₁₂とは、既に説明したように、１２
ビット分のビットのローテーションを表す。

【００３１】図１０は図８の線形変換８１２の一構成例
を示した図である。この例では、線形置換手段の一例と
して巡回置換手段を、演算手段としてビット毎の排他的
論理和を用いている。巡回置換手段５０２にて入力５０
１を入力しｒｏｔ₁₂の演算を行い、この演算結果と入力
５０１のビット毎の排他的論理和５０３を出力としてい
る。この構成例の特徴は、出力から入力が一意に定まら
ないため、解析されにくという点である。

【００３２】線形変換８１２は、入力データをＸとした
ときに、たとえばｒｏｔ₁₁とｒｏｔ₂₂（Ｘ）とＸ自身と
のビット毎の排他的論理和を出力する装置として構成す
ることができる。

【００３３】図１１は図８の線形変換８０２の一構成例
を示した図である。この例では線形置換手段の一例とし
て巡回置換手段を、演算手段としてビット毎の排他的論
理和を用いている。ここで、巡回置換手段４０２，４０
３にてそれぞれｒｏｔ₁₁，ｒｏｔ₂₂の演算を行い、これ
らの演算結果と入力４０１のビット毎の排他的論理和４
０４を出力としている。この構成例の特徴は、出力がち
ょうど３つの入力ビットの影響を受けるため、この線形
変換手段をデータ変換手段内に組み込んだ場合、データ
変換手段の各出力ビットに影響を与える入力ビットの数
が大きくなることである。なお、一般に非線形演算と
は、線形変換ではない変換、すなわち、出力が入力の一
次変換関数として表現することのできない変換のことで
ある。

【００３４】非線形演算８０７，８１０，８１７は、ふ
たつの入力をＸ，Ｙとして、たとえばＸｘｏｒＹｘ
ｏｒｒｏｔ1 （ＸａｎｄＹ）を出力する装置として
構成することができる。ここで、ｘｏｒとはビット毎の
排他的論理和を表し、ａｎｄとはビット毎の論理積を表
す。なお、一般に線形置換とは、１対１対応であるよう
な線形変換のことである。（たとえば、岩波数学事典第
３版（前出）の２８１頁１０４Ｂ「（群の）例」の項を
参照。）

【００３５】線形置換８０９は、たとえば入力を７ビッ
トローテーションする装置として構成することができ
る。

【００３６】該実施例において、データ変換手段の出力
８１９の３２番目とデータ変換手段の入力８０１と鍵記
憶手段８０６に記憶されている鍵との関係を式に表した
のが次の式である。この式において、Ｙ32はデータ変換
手段の出力８１９の３２番目のビット、Ｘi はデータ変
換手段の入力８０１のｉ番目のビット、Ｋi は鍵記憶手
段８０６に記憶されている鍵のｉ番目のビットをそれぞ
れ表し、＋は排他的論理和、＊は論理積を表すものとす
る。Ｙ₃₂＝Ｋ₂ ＋Ｋ₄ ＋Ｋ₁₃＋Ｋ₁₆＋Ｘ₁₀＋Ｘ₁₉＋Ｘ₂₀＋Ｘ
₂₁＋Ｘ₂₈＋Ｘ₂₉＋Ｘ₃₂＋Ｋ₁₅＊（Ｘ₉ ＋Ｘ₂₀＋Ｘ₃₁）＋
Ｋ₃ ＊（Ｘ₈ ＋Ｘ₁₉＋Ｘ₂₉）＋Ｋ₁ ＊（Ｘ₆ ＋Ｘ₁₇＋Ｘ
₂₇）＋Ｋ₁₂＊（Ｘ₆ ＋Ｘ₁₇＋Ｘ₂₈）＋（Ｋ₁ ＋Ｘ₆ ＋Ｘ
₁₇＋Ｘ₂₇＋Ｋ₁₆＊（Ｘ₁₀＋Ｘ₂₁＋Ｘ₃₂））＊（Ｘ₈ ＋Ｘ
₁₈＋Ｘ₂₉）＋（Ｋ₁ ＋Ｋ₁₂＋Ｘ₈ ＋Ｘ₁₈＋Ｘ₂₇＋Ｘ₂₈＋
Ｘ₂₉＋Ｘ₁₆＊（Ｘ₁₀＋Ｘ₂₁＋Ｘ₃₂）＋（Ｘ₁₆＋Ｘ₁₀＋Ｘ
₂₁＋Ｘ₃₂＋Ｘ₁₅＊（Ｘ₉ ＋Ｘ₂₀＋Ｘ₃₁））＊（Ｘ₇ ＋Ｘ
₁₇＋Ｘ₂₆）＋Ｋ₁₁＊（Ｘ₅ ＋Ｘ₁₁＋Ｘ₃₂））＊（Ｋ₃ ＋
Ｋ₁₅＋Ｘ₈ ＋Ｘ₉ ＋Ｘ₁₉＋Ｘ₂₀＋Ｘ₂₉＋Ｘ₃₁＋Ｋ₁₄＊
（Ｘ₈ ＋Ｘ₁₉＋Ｘ₃₀）＋Ｋ₂ ＊（Ｘ₇ ＋Ｘ₁₈＋Ｘ₂₈））
論理積は非線形な演算であり、出力ビットが非線形な演
算による影響を多く受けることによって暗号方式の安全
性が高まる。前記の式から、本発明のデータ変換手段の
出力８１９のビットが多くの非線形な演算による影響を
受けていることがわかる。このことは、線形変換手段８
０２，８１２が、これらの線形変換手段の入力とこの入
力に対して線形置換（この実施例においてはビットのロ
ーテーション）を施した結果とで演算（この実施例にお
いてはビット毎の排他的論理和）を施す構成であるた
め、非線形演算８０７，８１０，８１７による非線形な
演算の効果が効率よく拡散していることによる。

【００３７】図９は本発明の第２の実施例におけるデー
タ変換手段１０７の構成を表した図である。本実施例に
おいては、該データ変換手段１０７の出力を得るに至る
手順は図８に示した例と全く同じである。図８との差異
は、本実施例においては鍵更新手段９２０が統合手段９
１８の出力と鍵記憶手段９０６に記憶されている鍵とを
入力として該鍵と同一のビット長のビット列を出力し、
該出力を鍵記憶手段９０６に記憶するというものであ
る。鍵更新手段９２０は、たとえば非線形演算９０７と
同じ構成にし、鍵記憶手段９０６に記憶されている鍵と
統合手段９１８の出力の上位１６ビットとを入力とする
ように構成することができる。

【００３８】

【発明の効果】以上詳細に説明したように、本発明によ
れば、データの通信や蓄積の際にデータを秘匿するため
の安全性の高い暗号装置を得ることができる。

【図面の簡単な説明】

【図１】多くの共通鍵暗号方式において採用されている
暗号化手順の構成図である。

【図２】ＤＥＳのデータ変換手段の構成図である。

【図３】ＤＥＳのデータ変換手段における拡大転置Ｅの
機能を示した図である。

【図４】ＤＥＳのデータ変換手段における非線形変換の
うちのひとつの機能を示した図である。

【図５】ＤＥＳのデータ変換手段における転置Ｐの機能
を示した図である。

【図６】ＦＥＡＬのデータ変換手段の構成図である。

【図７】既存の暗号方式の安全性を高める従来方式の特
徴的部分を示した図である。

【図８】本発明の第１の実施例におけるデータ変換手段
の構成図である。

【図９】本発明の第２の実施例におけるデータ変換手段
の構成図である。

【図１０】本発明の線形変換８１２の構成図である。

【図１１】本発明の線形変換８０２の構成図である。

【符号の説明】

１０１暗号装置の入力１０２第１のデータ分割手段１０３第１のテキスト１０４第２のテキスト１０５データ攪拌手段１０６第１のデータ統合手段１０７データ変換手段１０８ビット毎の排他的論理和１０９第１の攪拌済みテキスト１１０第２の攪拌済みテキスト１１１暗号装置の出力２０１データ変換手段の入力２０２拡大転置Ｅ２０３鍵記憶手段２０４ビット毎の排他的論理和２０５非線形関数部２０６転置Ｐ２０７データ変換手段の出力４０１入力４０２巡回置換手段１４０３巡回置換手段２４０４演算手段４０５出力５０１入力５０２巡回置換手段５０３演算手段５０４出力６０１データ変換手段の入力６０２鍵記憶手段６０３非線形関数Ｓ₁ ６０４非線形関数Ｓ₀ ６０５非線形関数Ｓ₀ ６０６非線形関数Ｓ₁ ６０７データ変換手段の出力７０１データ攪拌手段７０２データ攪拌手段７０３データ攪拌手段７０４ビット毎の排他的論理和７０５交換制御手段７０６データの左半分７０７データの右半分７０８交換手段７０９データの左半分７１０データの右半分８０１データの変換手段の入力８０２第１の線形変換８０３第２のデータ分割手段８０４第２のビット列８０５第１のビット列８０６鍵記憶手段８０７第１の非線形演算８０８第１の非線形演算２０７の出力８０９第１の線形置換８１０第２の非線形演算８１１第２のデータ統合手段８１２第２の線形変換８１３第３のデータ分割手段８１４第４のビット列８１５第３のビット列８１６第２の線形置換８１７第３の非線形演算８１８第３のデータ統合手段８１９データ変換手段の出力９０１データ変換手段の入力９０２線形変換９０３データ分割手段９０４ビット列９０５ビット列９０６鍵記憶手段９０７非線形演算９０８非線形演算３０７の出力９０９線形置換９１０非線形演算９１１データ統合手段９１２線形変換９１３データ分割手段９１４ビット列９１５ビット列９１６線形置換９１７非線形演算９１８データ統合手段９１９データ変換手段の出力９２０鍵更新手段

Claims

(57)【特許請求の範囲】

【請求項１】入力データを鍵に依存して暗号化する暗号
装置であり、入力データを複数の同一データ長の部分データ（１０
３、１０４）に分割する第１の分割手段（１０２）と、
複数個のデータ攪拌手段（１０５）と、複数個の同一デ
ータ長の部分データを統合する第１の統合手段（１０
６）を有し、前記各々のデータ攪拌手段（１０５）は、前記部分デー
タの少なくとも１つ（１０３）を入力とし、該部分デー
タと同一のデータ長のデータを出力とし、内部に有する
鍵記憶手段内に記憶された鍵に依存したデータ変換処理
を行うデータ変換手段（１０７）を少なくとも１つ有
し、該データ変換手段の出力を複数の部分データ（１０
４）の１つに作用（１０８）させる暗号装置であって、前記データ変換手段（１０７）が、鍵を記憶する鍵記憶
手段（８０６）と、前記データ攪拌手段（１０７）の入
力に対して入力と出力が同一ビット長を持ち、出力ビッ
トが入力ビットの一次関数で表現できる変換である線形
変換を施す第１の線形変換手段（８０２）と、該第１の
線形変換手段（８０２）の出力をそれぞれ同一の長さの
第１のビット列（８０５）と第２のビット列（８０４）
に分割する第２の分割手段（８０３）と、該第１のビッ
ト列（８０５）に前記鍵記憶手段（８０６）に記憶され
た鍵を作用させて出力ビットが入力ビットの一次関数で
表現できない演算である非線形演算を行う第１の非線形
演算手段（８０７）と、該第１の非線形演算（８０７）
の出力に対して１対１対応であるような線形変換である
線形置換を施す第１の線形置換手段（８０９）と、前記
第２のビット列（８０４）に該第１の線形置換手段（８
０９）の出力を作用させて非線形演算を行う第２の非線
形演算手段（８１０）と、前記第１の非線形演算手段
（８０７）の出力と該第２の非線形演算手段（８１０）
の出力とを連結してひとつのビット列とする第２の統合
手段（８１１）と、該第２の統合手段（８１１）の出
力に線形変換を施す第２の線形変換手段（８１２）と、
該第２の線形変換手段（８１２）の出力をそれぞれ同
一の長さの第３のビット列（８１５）と第４のビット列
（８１４）に分割する第３の分割手段（８１３）と、
該第４のビット列（８１４）に線形置換を施す第２の線
形置換手段（８１６）と、前記第３のビット列（８１
５）に該第２の線形置換手段（８１６）の出力を作用さ
せて非線形演算を行う第３の非線形演算手段（８１７）
と、該第３の非線形演算手段（８１７）の出力と前記第
４のビット列（８１４）とを連結してひとつのビット列
として出力する第３の統合手段（８１８）とを備えた暗
号装置において、前記データ変換手段（１０７）の有する線形変換手段
（８０２、８１２、９０２、９１２）の少なくとも１つ
が、該線形変換手段の入力（４０１、５０１）に巡回置
換を施す巡回置換手段（４０２、４０３、５０２）と、
該巡回置換手段出力と前記線形変換手段の入力（４０
１、５０１）とを入力とする演算手段（４０５、５０
４）とからなることを特徴とする暗号装置。
【請求項２】請求項１に記載の暗号装置において、前記
データ変換手段（１０７）が、第３の統合手段（９１
８）と前記鍵記憶手段（９０６）に記憶された鍵とを入
力として該鍵と同一ビット長のデータを生成し該生成さ
れたデータを前記鍵記憶手段（９０６）に記憶させる鍵
更新手段（９２０）を備えることを特徴とする暗号装
置。