JP3339688B2 - 非決定論的ミクスチャー発生器ストリーム暗号化システム - Google Patents

Description

【発明の詳細な説明】 技術分野 本発明は暗号システムに関し、特に計算上安全な公開
キー暗号化システムおよびデジタルサイン（認証）シス
テムを実現するための方法および手段に関するが、これ
らに限定されるものではない。

背景技術 最近の通信システムの設計において、データの安全性
（セキュリティ）は次第に重要な事柄となっている。オ
ブザーバー（すなわち侵入者）に対して通信中のメッセ
ージが無意味に見えるよう、メッセージをスクランブル
またはコード化する試みとして、これまで暗号化システ
ムが考案されている。暗号化システムの多くはキーのア
イデアを利用しており、まず通信しようとするメッセー
ジを発信者がこのキーでコード化し、メッセージの受信
者がこのキーを用いてこれをデコードするようになって
いる。このタイプの従来の暗号化システムでは、メッセ
ージの予定する受取人がメッセージを解読する前に、メ
ッセージの発信者が予定する受信者にまず暗号解読キー
を送らなければならないという欠点がある。更に暗号化
キーを変えるにはこれに対応して暗号解読キーも変えな
ければならず、この暗号解読キーを予定する受信者に送
信しなければならない。受信者へのキーの送信時にはオ
ブサーバーすなわち侵入者がこのキーを見つけるという
危険が常にある。

このように、キーを交換し合わなければならないとい
う問題を克服するため、公開キー暗号化システムが開発
された。このタイプのシステムは、1976年にジフィエお
よびヘルマン両氏によって提案されたものであり、この
システムでは通信システムへの各加入者は２つのキー、
すなわち通信システムのすべての加入者が公に利用でき
るようにされている公開キーと、各加入者自らが維持す
るプライベートキーを有する。各加入者のプライベート
キーは（選択またはランダム選択）のいずれかにより決
定され、プライベートキーから公開キーが発生されるよ
うになっている。プライベートキーは符号化キー（Ｅ）
と考えることができるが、プライベートキーは暗号解読
キー（Ｄ）と考えることができる。

公開キー暗号化システムはキーの間に存在する数学的
関係が、一方向関数となっていることが多い。すなわち
公開キーはプライベートキーより比較的容易に発生でき
るが、公開キーからプライベートキーを決定することは
計算的に不可能である（すなわち計算的リソースの数が
多数である場合に、プライベートキーの決定は恐らく一
生かかってもできないことであろう）。

加入者Ａが公開キー暗号化システム内の加入者Ｂへメ
ッセージＭを送信できるようにするため、ユーザーＡ
は、まず公開利用可能なレジスタすなわちファイルから
ユーザーＢの公開キーを得て、これを利用してメッセー
ジＭを暗号化する。暗号文ＣはメッセージＭを暗号化し
た結果であり、ユーザーＢへ送信され、ユーザーＢは自
分のプライベートキーを用いて暗号文Ｃを変換し、メッ
セージＭを得る。

メッセージＭの発見を望み、公開キーを知っており、
恐らく暗号システムに完全な知識をも有するオブザーバ
ーすなわち侵入者にとって、公知のキーからプライベー
トキー（暗号解読キー）を決定しなければならない。先
に述べたように、このシステムはこのような演算が極端
に実行困難であるという事実に基づいている。他方、侵
入者は何も得ることができず、侵入した暗号化メッセー
ジとメッセージ言語の統計的性質の限られた知識しか有
することができない。

リベスト外に付与された米国特許第4,405,829号に
は、公開キー暗号化システムの一例が開示されている。
ここに開示されている一方向関数は極めて大きい数の因
数分解は極めて困難であるという事実を活用するもので
ある。しかしながらこのシステムは、大きな（例えば51
2ビットの）整数の広範な乗算が必要であり、これは極
めて低速なプロセスとなるという欠点がある。このシス
テムの別の欠点としては、使用される暗号化方法は完全
に決定論的であるということである。すなわち、同一の
受信者に同一のメッセージを後で送信した場合、同一の
暗号文が発生され、これにより侵入者すなわち盗聴者が
送信中のメッセージトラフィックから重要な情報を得る
ことが可能である。別の欠点としては、工学上の妥協、
すなわち速度と安全性の妥協を図ることができず、一
方、種々のタイプの暗号システム、例えば極端に高速で
適度な安全性を備えた暗号システム、または適度に高速
で安全性の高いシステムを設計できるという利点があ
る。更に別の欠点としては、汎用デジタルコンピュータ
と異なり極めて高速の特殊用電子デバイスを使って実現
すると、このシステムは大きくなって扱いにくいことが
挙げられる。

安全な通信システムの別の好ましい性質としては、メ
ッセージの発信者として表示された加入者がメッセージ
の真の発信者であるということを最終的に証明できるこ
とが挙げられる。これがいわゆるサインおよび認証の問
題である。

ヘルマン外に付与された米国特許第4,200,770号に
は、提案された公開キー発送システムの従来の例が開示
されている。しかしながら、この提案されたシステムは
真の公開キー暗号化システムというよりも、むしろキー
交換システムである。ヘルマンおよびジフィエは、1979
年３月のIEEEの議事録の第67巻第３号、第401頁に公開
された論文「プライバシーおよび認証：暗号化技術入
門」において、デジタルサイン方式も提案している。こ
こに開示されたサインシステムでは、メッセージＭを加
入者Ｂへ送りたいと望む加入者Ａは、まず自分のプライ
ベートキーを用いてメッセージ文Ｍを暗号化し、この結
果をユーザーＢの公開キーを用いて、この結果を暗号化
し、ユーザーＢへ送信する暗号文Ｃを発生する。次にユ
ーザーＢは、自分のプライベートキーを利用してユーザ
ーＢの公開キーによる更なる変換によってメッセージ文
Ｍが発生されるようなフォームへ暗号文を変換する。一
連のステップ後、メッセージが再現される場合、メッセ
ージはユーザーＡから来たものに違いないことが判る。

このシステムの１つの欠点は、発信者および受信者の
双方が暗号化プロセスを２回実行しなければならず、プ
ロセスの速度に悪影響が及ぶ。別の欠点としては、メッ
セージの暗号解読をするため発信者の公開キーを知る必
要があり、このことは公開キーファイルへのアクセスの
需要が大きくなることが挙げられる。更に別の欠点とし
ては、古いキーを無効とした後でも古い公開キーを維持
し、識別する必要があり得ることによって、公開キーフ
ァイルの管理の問題が複雑となることが挙げられる。更
に別の欠点としては、プライバシーおよび認証の双方で
の役割を果たすのに公開キーファイルが必要であるとい
うことが挙げられるが、一方、これら全く異なる機能を
達成するのに必要な情報を別々に管理できるという利点
もある。

発明の開示 従って、本発明の目的は上記欠点を克服するか、また
は少なくとも業界に有効な選択案を提供する、完全な暗
号化システムを提供することにある。

従って１つの特徴によれば、本発明は、メッセージ発
信者がメッセージ受信者に固有の公知のキーを使って平
文メッセージＰを暗号化し、メッセージ受信者が公開キ
ーを発生した秘密のプライベートキーを使用して暗号化
メッセージを暗号解読する公開キー暗号システムにおい
て、 （１）複数の二進数Ｄ_１〜ｎを含むプライベートキー
（Ｄ）を選択し、 （２）前記数Ｄ_１〜ｎの各々に対してプライベートキー
Ｄ_１〜ｎによって得られた対応する数に等しい数のクロ
ックパルスまたはステート変化の後に所定の公知の初期
ステートから疑似ランダム二進数発生器のステートを発
生し、公開キー（Ｅ）の成分として計算された二進ステ
ートＥ_１〜ｎの各々を提供することによりプライベート
キーを用いて（先に記載した）累乗により公開キー
（Ｅ）を計算し、 （３）メッセージ発信者が、 （ａ）一組の二進数Ｒ_１〜ｎを含むランダム初期化キ
ー（Ｒ）を発生し、数Ｒ_１〜ｎの各々に対してランダム
初期化キーＲ_１〜ｎによって示された対応する数に等し
い数のクロックパルスまたはステート変化の後に、所定
の公知の初期ステートから疑似ランダム二進数発生器の
ステートを計算し、オープンキーＱの成分として計算さ
れた二進数ステートＱ_１〜ｎを提供することにより、累
乗によりオープンキーＱを計算し、 （ｂ）公開キーＥの成分をランダム初期化キーＲの成
分により累乗し、前記数Ｅ_１〜ｎおよびＲ_１〜ｎの各々
に対し、工程（２）に記載の方法を対応する二進数Ｒ
_１〜ｎに等しい回数だけ適用することによって生じた疑
似ランダム二進数発生器のステートを計算することによ
り、発生器初期化ステートＫ_１〜ｎを発生し、 （ｃ）第１ミクスチャー発生器を形成するように出力
が組み合わされている一組（ｎ）の疑似ランダム二進数
発生器に初期値Ｋ_１〜ｎをロードし、 （ｄ）キーストリームシリアル出力を得るように、ミ
クスチャー発生器をクロックし、その出力と二進平文メ
ッセージとを組み合わせ、暗号化されたビットストリー
ムを発生し、 （ｅ）オープンキーＱと共に暗号化されたビットスト
リームをメッセージ受信者に送信し、 （４）メッセージ受信者が、 （ａ）メッセージストリームからオープンキーＱを抽
出し、 （ｂ）ステップ（３）（ａ）に記載の方法を対応する
二進数Ｄ_１〜ｎに等しい回数だけ適用することにより得
られる疑似ランダム二進数発生器のステートを、前記数
Ｑ_１〜ｎおよびＤ_１〜ｎの各々に対して計算することに
より、発生器初期化ステートＫ_１〜ｎを発生するように
オープンキーＱをプライベートキーＤで累乗し、 （ｃ）ミクスチャー発生器を形成するように出力が組
み合わされた第２の組（ｎ）の疑似ランダム二進数発生
器に発生器初期化ステートＫ_１〜ｎをロードし、 （ｄ）キーストリームシリアル出力を得るようにミク
スチャー発生器をクロック制御し、この出力と受信した
暗号化ビットストリームとを組み合わせて発信者の平文
メッセージを発生することを特徴とする、公開キー暗号
システムから成る。

第２の特徴によれば、本発明は、複数の二進数Ｄ
_１〜ｎを含むプライベートキー（Ｄ）を選択し、前記数
Ｄ_１〜ｎの各々に対しプライベートキーＤ_１〜ｎによっ
て示された対応する数に等しい数のクロックパルスまた
はステート変化の後に、所定の初期ステートから疑似ラ
ンダム二進数発生器のステートを計算し、計算された二
進ステートＥ_１〜ｎの各々を公開キーＥの成分として提
供することにより、プライベートキーを使用して公開キ
ー（Ｅ）を累乗する、公開キー暗号システム用の暗号化
装置であって、 一組の二進数_１〜ｎを備えたランダム初期化キー
（Ｒ）を発生するための手段と、 前記数Ｒ_１〜ｎの各々に対しランダム初期化キーＲ
_１〜ｎによって示された対応する数に等しい数のクロッ
クパルスまたはステート変換の後に、所定の初期ステー
トから疑似ランダム二進数発生器のステートを計算し、
計算された二進ステートＱ_１〜ｎの各々をオープンキー
Ｑの成分として提供することにより、各番号を使って初
期値を累乗するための手段と、 前記数Ｅ_１〜ｎおよびＲ_１〜ｎの各々に対し、公開キ
ーＥを累乗するのに使用される方法を対応する二進数Ｒ
_１〜ｎに等しい回数だけ適用することによって生じる疑
似ランダム二進数発生器のステートを計算することによ
り、発生器の初期化ステートＫ_１〜ｎを発生するよう、
公開キーＥの成分をランダム初期化キーＲの成分で累乗
するための手段と、 ミクスチャー発生器の出力を形成するように出力が組
み合わされた一組（ｎ）の疑似ランダム二進数発生器を
含むミクスチャー発生器と、 前記組（ｎ）の疑似ランダム二進数発生器にＫ_１〜ｎ
に等しい初期値をロードする手段と、 キーストリームシリアル出力を得るようにミクスチャ
ー発生器をクロック化する手段と、 平文メッセージを受信し、ミクスチャー発生器の出力
と二進平文メッセージとを組み合わせ、暗号化されたビ
ットストリームを発生する手段と、 オープンキーＱと共に暗号化されたビットストリーム
をメッセージ受信者に送信するための手段とを備えた、
公開キー暗号システムのための暗号化装置から成る。

第３の特徴によれば、本発明は、複数の二進数Ｄ
_１〜ｎを含むプライベートキー（Ｄ）を選択し、前記数
Ｄ_１〜ｎの各々に対しプライベートキーＤ_１〜ｎによっ
て示された対応する数に等しい数のクロックパルスまた
はステート変化の後に、所定の初期ステートから疑似ラ
ンダム二進数発生器のステートを計算し、計算した二進
ステートＥ_１〜ｎの各々を公開キー（Ｅ）の成分として
提供することにより、プライベートキーを使用して公開
キー（Ｅ）を累乗し、 メッセージ発信者が、 （１）一組の二進数Ｒ_１〜ｎを含むランダム初期化キー
（Ｒ）を選択し、前記数Ｒ_１〜ｎの各々に対しランダム
初期化キーＲ_１〜ｎによって示された対応する数に等し
い数のクロックパルスまたはステート変化の後に、所定
の公知の初期ステートから疑似ランダム二進数発生器の
ステートを計算し、オープンキーＱの成分として計算さ
れた二進数ステートＱ_１〜ｎを提供することにより、各
数を使って初期化ステートを累乗し、 （２）公開キーＥの成分をランダム初期化キーＲの成分
により累乗し、プライベートキーを用いて公開キーを累
乗すると先に定義した方法を、対応する二進数Ｒ_１〜ｎ
に等しい回数だけ適用することによって生じる疑似ラン
ダム二進数発生器のステートを前記数Ｅ_１〜ｎおよびＲ
_１〜ｎの各々に対して計算することにより、発生器初期
化ステートＫ_１〜ｎを発生し、 （３）第１ミクスチャー発生器を形成するように出力が
組み合わされている疑似ランダム二進数発生器の組
（ｎ）に初期値Ｋ_１〜ｎをロードし、 （４）キーストリームシリアル出力を得るように、第１
ミクスチャー発生器をクロックし、この出力と二進平文
メッセージとを組み合わせて暗号化されたビットストリ
ーム暗号文Ｃを発生し、 （５）オープンキーＱとともに、暗号化されたビットス
トリームをメッセージ受信者に送信するような方法に従
って平文メッセージを暗号化し、 暗号解読装置が、 暗号化されたビットストリームからオープンキーＱを
抽出するための手段と、 前記数Ｑ_１〜ｎおよびＤ_１〜ｎの各々に対し、オープ
ンキー（Ｑ）を発生するよう上記記載の方法を対応する
二進数Ｄ_１〜ｎに等しい回数だけ適用することにより生
じた疑似ランダム二進数発生器のステートを計算するこ
とにより、発生器の初期化ステートＫ_１〜ｎを発生する
ようプライベートキーＤの成分によりオープンキーＱの
成分を累乗するための手段と、 ミクスチャー発生器を形成するよう出力が組み合わさ
れた一組（ｎ）の疑似ランダム二進数発生器と、 前記組（ｎ）の疑似ランダム二進数発生器にＫ_１〜ｎ
に等しい初期値をロードする手段と、 キーストリームシリアル出力を得るよう、ミクスチャ
ー発生器をクロック制御するための手段と、 この出力と受信された暗号文とを組み合わせて平文メ
ッセージを発生するための手段とを備えた、公開キー暗
号システムのための暗号解読装置から成る。

図面の簡単な説明 第１図は、本発明を実施するのに利用できるMLSRG成
分発生器を備えたミクスチャー発生器の図である。

第２図は、第１図のミクスチャー発生器、すなわちジ
ェフ（Geffe）タイプの発生器の好ましい実現例の図で
ある。

第３図は、第２図に示されたシフトレジスタの構成例
の図である。

第４図は、暗号化装置のハードウェアの実現例のブロ
ック図である。

第５図は、暗号解読器のハードウェアの実現例のブロ
ック図である。

発明を実施するための最良の態様 次の説明は、本発明の好ましい実施例を開示するもの
であり、そのいくつかの変形例も述べている。本文献に
おける記載は、デジタルコンピュータにおいてソフトウ
ェアで本発明を実現するという観点からのものである
が、特殊用の電子ハードウェア構成部品を用いて全シス
テムのすべてまたは一部を実現することも可能であると
理解すべきである。かかる成分構成部品としては論理素
子、例えばLSIメモリ、シフトレジスタ、フィールドプ
ログラマブルゲートアレイ（FPGA）およびディスクリー
トロジックがあるが、これらのみに限定されるものでは
ない。

1.本発明の分類 時々、非対称キーシステムと称される公開キー暗号シ
ステムの分類方法は、プライベートキー／公開キーのペ
アに関連する一方向関数のタイプに従うものであり、特
に一方向関数を反転するため、（すなわち公開キーから
プライベートキーを推定するため）解くことが必要な数
学的問題に従っている。かかる３つの問題は、これまで
提案された実質的にすべての公開キーシステムから生じ
るものである。すなわち素因数分解、離散的対数および
ナップサック（knapsacks）の問題が生じている。例え
ば、最も知られている公開キーアルゴリズム、すなわち
RSAは、大きな整数の素因数分解が困難なことに基づく
方法である。真の公開キー暗号システムというよりもむ
しろ、公開キー配送システムであるジフィエ−ヘルマン
方法は、エルガマル（El Gamal）公開キー暗号システ
ムのような離散的対数問題に基づくものである。

本システムは数学的な用語では、離散的対数問題に基
づくものである。このことは、本システムでは有限体に
おける累乗法に数学的に等価的な演算を用いてプライベ
ートキーから公開キーを計算することを意味する。従っ
て、公開キーからプライベートキーを計算する意図でこ
のシステムを破壊するには、侵入者は有限体に対する対
数を計算しなければならない。計算上の効率、簡潔性お
よびスピードのみならず、安全性の理由から、本システ
ムの基礎となる有限体はガロア体GF［2^p］であり、更に
ｐは2^p−１が大きな素数（メルセンヌ素数）となるよう
に選択したものである。後に理解できるように、このシ
ステムは２つ以上のかかる体に対する累乗を実施するも
のである。

暗号化システムを分類する別の方法は、決定論的であ
るかまたは非決定論的であるかどうかに関連する。非決
定論的暗号システムに最初に言及したものは、カールニ
コライによると考えられる。名称は多数の方法で多少正
確に記載できるが、非決定論的暗号システムの性質の１
つは、同じキーを２回以上、所定の平文を暗号化するの
に用いた場合でも、これから得られる暗号文は非システ
マティックに、理想的には真にランダムに異なるという
のが、非決定論的暗号システムの特徴の１つである。本
システムは非決定論的暗号システムである。

平文を暗号文に変換する際、暗号システムは元の平文
の長さを増減したり、またはそのままにしておくことが
できる。本システムは暗号文に短いヘッダーブロックを
添えることを除き、平文と全く同じ長さの暗号文を発生
する。このヘッダーブロックの長さは特定の実現例に体
して選択されたパラメータに応じて決まるが、一般に64
〜256バイトの長さとなる。そのフォーマットは重要で
はない。

2.ミクスチャー発生器 本発明の中心となる構成要素は、独立した同一分布ラ
ンダム変数のミクスチャー（混合数）の確立理論から得
られる概念との類似により、ここでミクスチャー発生器
と称する新しいタイプの疑似ランダム二進キーストリー
ム発生器である。混合数発生器は単一の疑似ランダム二
進数発生器、例えば最大期間リニアシフトレジスタ発生
器（MLSRG）または最大期間乗算的合同発生器（MCG）か
ら成り、これら発生器の出力すなわちステートは他の成
分疑似ランダム二進数発生器の組のうちの１つの構成要
素（項）をメモリレス状に連続的に選択するのに使用さ
れる。第１図はミクスチャー発生器を示し、ここではミ
キサー発生器G_mは最大期間リニアシフトレジスタとなっ
ており、このレジスタの時間Ｔにおける最後の３つのス
テージは時間Ｔにおいて出力を使用すべき他の８つのML
SRG（G₀、....、G_i、....、G₇）の１つを選択するのに
使用される。ミキサー発生器G_mのクロックレートは成分
発生器G_iのクロックレートの３倍とみなすことができ
る。図２に示されるより簡単な例は、この特殊なケース
であり、ジェフ発生器として知られるものである。第２
図において、ミキサー発生器G_mの最後のステージは時間
Ｔにおけるミキサー出力が１である場合には、頂部の発
生器G_iの出力を選択し、Ｔにおけるミキサー出力が０で
ある場合には、底部の発生器G_bの出力を選択する。より
詳細には、このような構成の具体例としては、ミキサー
発生器が（原始）生成三項式１＋x³⁸＋x⁸⁹を備えた89の
ステージを有し、頂部の発生器が（原始）生成三項式１
＋x³⁰＋x¹²⁷を備えた127のステージを有し、底部の発生
器が（原始）生成三項式１＋x¹⁶⁸＋x⁵²¹を備えた521の
ステージを有するような場合である。より小さい（およ
び安全性の低い）場合は３つの発生器がそれぞれの三項
式１＋x¹³＋x⁸⁷、１＋x³⁸＋x⁸⁹および１＋x³⁰＋x¹²⁷に
対応する例である。成分発生器としてMLSRGを使用する
場合、生成多項式が原始多項式となるような発生器を使
用することが重要である。更に、かかる発生器は素数の
数のステージを有し、それらの時間長さがメルセンヌ素
数となるような性質を有することができる。

本明細書の残りの部分では、記号ｐ（ｘ）をMLSRGに
対応する生成多項式を表示するのに使用する。

本明細書で定義するミクスチャー発生器は必ずしもML
SRGまたはMCG成分から成る成分発生器に限定する必要は
ない。むしろ、ミキサーを含む構成部品はミクスチャー
発生器自体でもよいし、または好ましい統計的、すなわ
ち暗号特性を備えた他のタイプの非線形発生器でもよ
い。

ミクスチャー発生器はディスクリート論理回路または
カスタム集積回路のいずれかを使用する極めて高速の特
殊用ハードウェアで実現するか、または汎用コンピュー
タでソフトウェアによりシミュレートすることができ
る。

ミキサー発生器は、ミキサーおよび他の成分発生器の
特殊ステートから開始する有限ステートデバイスである
ので、このミキサー発生器は周期的二進シーケンス（す
なわち永続的に繰り返される０と１のシーケンス）を発
生するのに使用できる。発生器のステートはその成分の
各々の各ステージのステートを特定する二進値の組によ
り記述される。

ミキサー発生器の構造の利点としては、それらの期間
が極めて長く、極めて複雑であり、０と１の分布のバラ
ンスが良好にとれており、連続する出力に実質的に相関
性がないということが挙げられる。これらの出力はＮ個
の要素の分散および実行上の統計の点で優れた統計的性
質を有する。数学的に実証できるこれら性質もあれば、
（例えばχ二乗分布または実行テストを使用することに
より）既に実証されている性質もある。

周期的二進シーケンスはある種のMLSRGによって発生
でき、暗号用のシーケンスの適性を評価する際の臨界フ
ァクターの１つは、このシーケンスを発生するのに必要
な最短線形フィードバックシフトレジスタの長さにあ
る。ミクスチャー発生器の構成の大きな利点としては、
ミキサーおよび成分発生器の長さに応じてその長さを正
しく特徴づけることが容易となることが多いこと、およ
び発生器の複雑さの良好な目安となる長さ、従って暗号
用の有効性が極めて高いということが挙げられる。

次に、図２に示されたジェフタイプのミクスチャー発
生器を参照して本発明の暗号システムにおけるミクスチ
ャー発生器の使用法について説明する。まず、ミキサ
ー、頂部発生器および底部発生器を形成するMLSRGにお
けるステージの数をn_m、n_tおよびn_bとそれぞれ表示し、
それぞれの発生器の初期ステート（時間Ｔ＝０におけ
る）をそれぞれa_m0、a_t0およびa_b0と表示する。ここ
で、便宜上これら初期ステートの各々は固定されてお
り、公知であるとする。本発明の変形例としてはユーザ
ーの特定グループのメンバー間で安全かつ認証されたメ
ッセージ送信を可能にするように、この特定グループだ
けにしか知られていないキーの一部として初期ステート
を使用することが考えられる。

n_m＝87、n_t＝89およびn_b＝127を備えたこのタイプの
ミクスチャー発生器を使用するパソコンでのファイル暗
号化により適性な安全レベルを備えた極端に高速のシス
テムが得られる。n_m＝89、n_t＝127およびn_b＝521と選択
することにより、パソコンでもより安全性の高いシステ
ムが得られる。後者の３つの数はいずれもメルセンヌ素
数を生じるものである。

ジェフタイプの発生器の時間（すなわち発生器の出力
が繰り返した後のクロックサイクル数）は、成分発生器
の時間の積、すなわち となることを数学的に証明できる。同じ出力シーケンス
を発生できる最も短い等価的線形シフトレジスタにおけ
るステージ数で示される発生器の複雑度は、n_mn_t＋（１
＋n_m）n_bで計算できる。類似の結果により、より複雑な
ミクスチャー発生器を分析することもできる。

3.一方向関数を実現するためのミクスチャー発生器の使
用 ミクスチャー発生器によって発生される極めて長い二
進シーケンスは多くの有効な性質を有する。出力ストリ
ームおよびその内部ステートのシーケンスを得るのに、
実際に発生器を作動させる、すなわちクロック制御する
ことが可能である。発生器の時間はかなり長いので、ど
れだけ速く発生器をクロック制御しても、妥当な時間内
にすべての出力ストリームのうちの一部のセグメントし
か発生できない。上記例の発生器より小さい発生器で
も、時間長さは2³⁰³の大きさとなる。

ミクスチャー発生器を使用すれば公知の開始ステート
から開始して特定の回数（どれだけの多くの回数でも）
だけ、個々の成分をクロック制御した場合の最終内部ス
テートがどのステートになるかを高速かつ効率的に計算
することが可能である。

しかしながら、逆の問いに対して計算で答えることは
できない。すなわち、各成分に対し最終ステートが判っ
ていても公知の開始ステートから初めてかかる最終ステ
ートに達するのに、各成分に対しどれだけの回数クロッ
ク制御することが必要であるかを決定するのは極めて困
難である。この問いへの解答は、いわゆる離散的対数問
題の解答方法にほとんど等しい。かかる問題を解くため
の公知の最良のアルゴリズムはＤ・コッパースミスによ
る方法であり、この方法は極めて効率的である。想像可
能なコンピュータでこのアルゴリズムを実行するのに要
する時間は極めて正確に予想できる。最も長い成分発生
器が長さ127である場合、極めて高速のコンピュータで
最も適度な時間長さで必要な計算を実施することが実際
的であるが、最も長い成分発生器長さが500以上の場合
には当てはまらない。利用可能な計算能力に関する最も
最適な予想のもとでも、かかる問題を解くことは計算的
に不可能なままになっている。更に、発生器の長さを適
当に選択することによる解答を得るうえの困難さを正確
に処理できる。500よりもかなり長い長さを備えた成分
を含むミクスチャー発生器は実現するのに効率的であ
り、実際的である。

4.プライベートキーおよび公開キー 本システムではプライベートキーはミキサー発生器の
成分をクロック制御すると仮定される任意の回数を指定
する（二進）数の組に等価的である。これらの数は、各
成分の周期的出力ストリーム内での（クロック数を単位
として測定される）距離として解釈できる。

プライベートキーに対応する公開キーは、プライベー
トキーの対応する部分によって示される回数だけ各成分
をクロック制御すべき場合に生じるミクスチャー発生器
の最終ステートである。

このシステムにおいて使用されるプライベートキーと
公開キーのペアと、他のほとんどのシステムで使用され
るプライベートキーと公開キーのペアとの間には大きな
違いがある。他の多くのシステムでは、特定の条件と制
限に従ってキーのペアを同時に自動的に発生しなければ
ならない。RPKシステムではプライベートキーの選択は
完全に自由で制限されていない。このプライベートキー
は、所望すれば指定されるよりもユーザーによって任意
に選択できる。このことは、大きな実用的な利点である
ばかりでなく、RPKシステムと他の特許された技術との
間の主要な違いも構成する。

図示されているジェフ発生器と関連させてプライベー
トキーの選択のためにユーザーＡは３つの数D_m、D_t、D_b
（ここでD_mは の範囲内にあり、D_tは の範囲内にあり、D_bは の範囲内にある）を選択するものとする。ここで、これ
ら範囲の各各は上記限界値を含むが、厳密には範囲の大
きい端部（二進ですべて１の値）は周期に等しいので、
排除しなければならないことに留意されたい。ユーザー
Ａに対する公開キーは、D_m、D_tおよびD_bクロックサイク
ル（シフト）の後にそれぞれ３つの成分発生器のステー
トE_m、E_t、E_bを含む。ミクスチャー発生器、すなわちＮ
個の成分発生器に対してプライベートキーおよび公開キ
ーは３個でなくＮ個の成分ステートを有する。

プライベートキーまたは公開キーを形成するのに必要
なビット数はn_m＋n_t＋n_bとなり、この値は１つの例に対
して使用される、より小さいほうのジェフ構造の場合に
は303であり、大きいほうの例に対する構造の場合では7
37であることに留意されたい。これらのビット数と広く
使用されているDESの従来の暗号化アルゴリズムで使用
される56キービットとを比較することができる。

本発明の理解を完全にし、かつその理解を助けるた
め、所定のプライベートキーから公開キーを計算するた
めの効率的な方法について次のとおり説明するが、この
ような説明は当業者には明らかであろう。これら方法の
基礎となる数学上の理由から、所定のプライベートキー
から公開キーを決定する方法を累乗法と称することが適
当である。

ミクスチャー発生器の将来のステートを計算するため
の方法が必要であることは明らかである。この理由は、
かかる発生器の時間が極めて長いことを考慮すれば、必
要なステート数の一部より多くを発生するのに充分長く
これら発生器を実際に作動させることは不可能であるか
らである。線形フィードバックシフト（MLSRG）レジス
タ発生器の将来のステートを計算するための極めてコン
パクトで効率的な方法が存在しており、この方法は、レ
ジスタのステージの内容（すなわちそのステート）を１
つの中間的ｘ内の多項式の係数として解釈することに基
づいている。レジスタはｎ個のステージを有するので、
ステージの内容はｘの級数の係数、すなわち1,x,
x²,....x^n-1を表すことができる。かかる多項式は次数
がｎである先に述べた生成多項式ｐ（ｘ）と異なること
に留意されたい。発生器のステージに０からｎ−１まで
の番号をつけ直すと便利である。ここで、ステージ０は
中間発生器のタップの直後のステージに対応するので、
ステージ（ｎ−１）は発生器の中間にあるフィードバッ
クタップを備えたステージを示す。次に発生器の最終
（出力）ステージには（ｎ−ｍ−１）の番号が付けら
れ、先と同じようにｍは生成多項式ｐ（ｘ）の中間項の
指数を示す。

このような解釈を用いることにより、発生器のクロッ
ク制御から得られるステートが単一項ｘから成る多項式
とそのステートを表示する多項式とを乗算した値に等し
いことを証明できる。このような証明は、まずモジュロ
２（すなわち１＋１＝０等）で係数に対するすべての演
算を実行し、次に次数がｎ以上である場合の多項式の積
が生成多項式ｐ（ｘ）の積モジュロを意味すると理解す
ることにより行うべきである。この最終の説明はｎ以上
の次数の多項式は、この多項式をｐ（ｘ）で除算した後
の結果となるような残りと置換すべきであることを意味
している。多項式の加算、乗算および除算は、通常の代
数の規則に従うが、この場合における係数に対する演算
をモジュロ２（XORに等価的）で行うことは例外とす
る。

多項式をモジュロｐ（ｘ）で乗算するこのようなアイ
デアを１つのステップと考え、発生器の初期ステートa₀
を０番号のついたステージにおける単一の１を備えたス
テートであるとみなせば、発生器を時間Ｄだけ進める
（すなわち発生器をＤ回クロック制御する）方法は、積
１・ｘ・ｘ・ｘ・....・ｘを計算することに等しい。こ
こで、因数ｘはＤ回を示す。この結果得られる積は、x^D
モジュロｐ（ｘ）と表示できる。このようにＤを指数と
して使用することはx^Dモジュロｐ（ｘ）を計算する効率
的な方法では二進級数1,x,x²,x⁴,x⁸,……−、x^2k、…
…、x^2n-1（すべてモジュロｐ（ｘ）である）を示す
（ｎ−１）個の多項式をあらかじめ計算し、作表し、次
にＤの二進表示内の１のビットに対応する多項式を共に
乗算（再び各時間ごとにモジュロｐ（ｘ）を行う）する
ことが行われる。

多項式をモジュロｐ（ｘ）で乗算するこのような概念
的方法は、実際にはシフトレジスタ自体を使って極めて
簡単かつ効率的に実行できる。実際にはめんどうな乗算
は不要である。

これを説明するため、発生器を１回クロック制御する
ことは、その内容に対応する多項式をｘで乗算すること
に等しいので、すなわち発生器をｊ回クロック制御する
ことによりx¹だけ乗算することができると考える。かか
る中間的倍数に対応するステートを（例えばレジスタ
に）セーブし、対応する係数モジュロ２（すなわちXOR
演算）するだけで任意の多項式の乗算を行う。このよう
な方法により、モジュロｐ（ｘ）の積を小さくする際の
多項式の除算をする別個の方法が不要となる。すべての
方法を極めて短時間で行うための特殊な回路またはチッ
プを設計することは、簡単なことであり、所望する場合
にはソフトウェアで容易にエミュレートできる。

5.暗号化 上記のようにユーザーＡのためのプライベートキーＤ
は３つの番号（D_m、D_t、D_b）から成るが、ユーザーＡの
公開キーＥは３つの番号（E_m、E_t、E_b）から成り、これ
ら番号は公知であり、おそらく公共の住所録ファイルに
記載されており、時間０における所定の公知の初期ステ
ートa₀＝（a_m0、a_t0、a_b0）からスタートした時間D_m、D
_tおよびD_bにおける対応する発生器のステーとを示す。
多項式の表示における包括的なMLSRGに対する時間およ
びステートを表示するのにＤおよびＥを等価的に使用す
ることにより、初期ステートが０次の多項式１に対応す
ると仮定したＥ＝x^Dmod ｐ（ｘ）を有する。

暗号化すべき平文メッセージＰは、まずデータ圧縮す
ることが好ましい。このデータ圧縮は、周知の技術であ
り、データ送信コストおよび／または記憶スペースを低
減するのに有効であるのみならず、基礎となるメッセー
ジの冗長性も低下する。これにより、暗号解読に失敗す
る可能性が増し、更に送信の誤りまたは暗号文の故意の
変更（だまし）のいずれかから生じる誤りの伝搬も増や
す。

（Ａのプライベートキーを使用する）ユーザーＡにし
か解読できないよう、平文メッセージＰを暗号化するた
め、別のユーザーＢは、まずＰの暗号化中に限り使用す
べきランダム初期化キーＲ＝（R_m、R_t、R_b）を発生す
る。Ｒは成分発生器に対する指数を表示するという点で
Ｄに類似しており、Ｒの３つの成分はＤと同じ範囲内に
なければならない。ユーザーＢはプライベートキーＤか
ら公開キーＥを計算するのと同じように、ＲからＱ＝
（Q_m、Q_t、Q_b）を計算する。すなわちＱは初期ステート
a₀からスタートし、時間Ｒにおける成分発生器のステー
トを示す。

ユーザーＢは次に、送信すべき、すなわちクリアに記
憶すべき（すなわち暗号化すべき）暗号文のメッセージ
ヘッダー内のＱを含める。このＱには通信用に有効な他
の情報も含むことができる。例えば、特定のアプリケー
ションではメッセージヘッダー内にアドレス指定情報、
周期的冗長性チェック（CRC）バイトまたは他の誤り訂
正データを含むことができる。

実際の暗号化方法を続けるには、ユーザーＢは次に成
分発生器にＥ（ユーザーＡの公開キー）から成る初期ス
テートをロードし、次に、Ｒの指数とみなすＡの公開キ
ーＡを累乗することにより、同じランダム初期化キーＲ
＝（R_m、R_t、R_b）を使って最終ステートＫ＝（K_m、K_t、
K_b）を計算する。多項式表示ではこれを と記載することができる。ここでｊ＝ｎ、ｔ、ｂであ
る。ユーザーＢはプライベートキーから公開キーを計算
したのと同じようにミクスチャー発生器の成分シフトレ
ジスタを使用しＡの公開キーの乗算により二進の級数E
^2k（ｋ＝０、１、....、ｎ−１）の積を計算する。

ここで、ユーザーＢはＫを計算するにあたりランダム
初期化キーＲおよびユーザーＡの公開キーＥの双方を使
用するだけでなく、初期ステートa₀の公に利用可能な知
識および基礎となるミクスチャー発生器の構造も使用す
ることに留意されたい。総合的な計算は、成分発生器の
ステートを２回（すなわちＱの計算に１回、更にＫの計
算に１回）進めるのに必要な単なる多項式を累乗するこ
ととなる。ユーザーＢはＤを知ることなくＫを計算でき
たという事実にかかわらず、現在の暗号化システムの目
的のためのＫの本質的な性質は、Ｋが発生器をまずＤだ
け進め、次にこの結果をＲで累乗することによって得ら
れるステート（すなわちＲに等しい時間をＤで乗算した
値だけ発生器を進めた場合の結果となる）を示すという
ことである。

ステートＫは暗号文を発生し始める際に使用される最
終発生器初期ステートとして使用される。ユーザーＢは
ステートＫから開始したミクスチャー発生器をクロック
制御（作動）することによって得られたキーストリーム
を使用し、これを演算し、これと平文ビットストリーム
Ｐとを組み合わせることにより暗号文Ｃの本文を発生す
る。このような組み合わせ方法は、反転可能でなければ
ならず（すなわちＫおよびＣが示された場合、平文Ｐを
再現できなければならず）、種々の方法で実行できる。
最も簡単な想像できる組み合わせ方法は、平文とキース
トリームをビットごとに単にXOR（排他的OR）演算する
ことであるが、この方法は、使用した場合、深刻な暗号
の欠陥を有する。

単純な組み合わせ方法は多数可能である。例えば２つ
のブロックのビットを０〜2^L−１の範囲内にある整数と
して解釈し、対応する暗号文ブロックをそれらの積と定
義することにより、固定された数Ｌのキーストリームビ
ットをＬ個の平分ビットと組み合わせるようなブロック
暗号化システムを考えることができる。このシステムに
よって、周知のエルガマルの公開キー暗号システムに多
少類似した暗号化システムが得られる。不幸なことに、
この方法は平文の長さの２倍の暗号文を発生する。

本システムにおける好ましい組み合わせ方法は、準ブ
ロック状の暗号を発生する方法である。古典的な暗号用
語では、このアルゴリズムのこの部分は疑似ランダム転
置暗号と組み合わされた実行キー暗号とを比較できる。
このアイデアは、キーストリームの一部（すなわち発生
器の出力）を平文ブロックのバイト（または個々のビッ
ト）の疑似ランダム順列を発生する手段として利用する
ことにより、まず中間暗号文ブロックを作成することで
ある。次に中間暗号文ブロックとキーストリームのその
後の部分とをOR演算によりビットごとに、またはルック
アップテーブルを用いた置換を実行することによりバイ
トごとに組み合わせる。このような方法は、平文の長さ
と同じ長さの暗号文本文を発生する。（最終部分ブロッ
クに合わせるため、平文長さがブロックサイズの整数倍
になっていない場合には若干異なる取り扱いが必要であ
る。） 明らかな改良方法として、上記疑似ランダム転置方法
（順列）と置換方法とを交互に実施することにより、こ
の組み合わせ方法をカスケード状に実行する方法があ
る。

好ましい組み合わせ方法に関連する性能上の欠点は、
必要な発生器の出力の量が増すことにすぎない。しかし
ながら、ミクスチャー発生器は極めて高速に作動するの
で、極端に早い暗号化ビットレートを必要とするような
アプリケーションを除けば、大きな問題は生じにくい。
更に、最大の可能な安全度を得るためには、重要なこと
ではないが、単一のランダム初期化キーＲで暗号化され
た平文の最大長さを制限することをアドバイスできる。
極めて長い平文は受け入れ可能なサイズの一連のセグメ
ントに単に分解できるので、このことは大きな制約とは
ならない。

種々の目的を達成するため、キーストリームと平文と
を組み合わせるより複雑な方法として、暗号ブロックチ
ェイン接続のような公知の技術の変形例がある。１つの
変形例では、まず平文を固定サイズのブロックに分解
し、このブロックに付加的タイミング、認証または誤り
訂正情報を加えることができる。次に、各平文ブロック
をキーストリームの次のブロックと組み合わせる前に、
先の暗号文ブロックとXOR演算する。

RPKシステムをソフトウェアで実現する際には一度に
ミクスチャー発生器の８ビット（またはそれ以上）をク
ロックすることは困難なことではなく、したがって全組
み合わせ方法を実行できることに注目することは有効で
ある。この方法は、受け入れ不能な複雑でないハードウ
ェアでも実行できる。

要約すれば、暗号化方法は次のステップを実行する。
すなわち、これらステップのすべてはミクスチャー発生
器およびその成分を用いて実行される。

まず、ランダム初期化キーＲを発生し、それを使って
基底ステートを累乗し、よって暗号文の本文に先行する
ヘッダー内に含まれる公開キーＱを発生する。

再びＲを使用して公開キーＥを累乗し、最終（内部）
発生器の初期化ステートＫを発生する。

ステートＫから開始し、ミクスチャー発生器を作動さ
せ、キーストリーム出力を得て、このキーストリーム出
力と平文Ｐとを組み合わせ、暗号文Ｃの本文を得る。

ここで、Ｒは同じ公開キーを用いて再び同一の平文を
暗号化する場合でもＲはランダムに選択されるので、第
２暗号文は第１暗号文とランダムに異なることとなり、
公開キーＱおよび暗号文本体の双方でも最終（内部）発
生器の初期化ステートは異なることとなる。

6.キーストリームと平文との組み合わせ 次に、上記進歩した多数の方法を含む新規な好ましい
組み合わせ方法について説明する。次に、平文が８ビッ
トバイトのシーケンスとして表示されるものとし、用語
「現在のCRC値」は開始点から始まり、平文内の特定バ
イト位置まで続く平文部分に対応する32ビットのCCITT
周期的冗長性チェック値を意味するものとする。しかし
ながら、この用語は他のタイプのCRCまたはメッセージ
ダイジェスト計算または本明細書で後に述べるタイプの
一般化されたCRCも等しく意味すると解すべきである。
更に、バッファの内容として表示される適度に大きい
「チャンク」内で組み合わせのために平文を処理するこ
とが好ましいと考える。かかる一般的なチャンクのサイ
ズは、2000〜4000バイトの大きさである。最後に、用語
「休止を繰り返しながら進むキーストリーム」とは、１
つ以上の成分発生器のクロック制御がステートに従属す
るように改善されたミクスチャー発生器の出力を意味す
るものとする。これを行う簡単な方法は、発生器のステ
ージの特定の組みのステートを検出し、ステートがある
基準に従う場合、発生器の出力を廃棄する（すなわち別
の時間で発生器をクロック制御する）ここである。例え
ば成分の４つのステージの特定の組がすべて１を含む稼
働かを検出し、この場合、この成分を余分な時間でクロ
ック制御することができる。この方法は、キーストリー
ム発生器の非線形性、従って複雑さを更に増すことがよ
く知られている。

一般的な組み合わせ方法は次のとおりである。まず現
在のチャンクの端部をとおして平文の現在のCRC値を計
算する。次に、休止を繰り返しながら進むキーストリー
ムの一部を使用して現在のチャンク内のバイトの疑似ラ
ンダム順列を発生し、順列データと、休止を繰り返しな
がら進むキーストリームのその後に続くバイトとをXOR
演算する。最後に休止を繰り返しながら進むキーストリ
ームを現在のCRC値に応じたバイト数だけクロック制御
し、こうして発生したバイトを廃棄する。廃棄するバイ
ト数は、例えば、現在のCRC値の単なる低次のバイトの
数値で示すことができる。このような最終工程によりチ
ャンクと組み合わせるのに使用されるキーストリーム部
分がチャンク前の初期発生器のステートおよび全平文の
双方に応じ、よって、あるタイプの暗号ブロックチェイ
ン接続として見ることができるようになる。また、この
最終工程は暗号文内の単一ビットの変化、すなわち送信
エラーにより、解読された文のうちのその後のチャンク
内に平均50％のエラーのカスケードを生じさせることも
できる。

チャンク内でデータを疑似ランダム状に順列する方法
は、効率上の要因によって決まることができるように変
えることができる。１つの経済的な方法として、チャン
クサイズが256の倍数でない場合、256バイトのブロック
より短い端部ブロックが続く可能性のあるチャンクを25
6バイトブロックのシーケンスと見る方法がある。証明
するように、127の休止を繰り返しながら進むキースト
リームバイトを用いてすべての256バイトブロックに対
して使用すべき１つの疑似ランダムスワップテーブルを
発生し、更に、より少ない付加的な数の休止を繰り返し
ながら進むキーストリームバイトを使用して、必要な場
合により短い端部ブロックに対して使用すべき１つのよ
り小さい疑似ランダムスワップテーブルを発生すること
ができる。256バイトのブロックのケースに対しては、
かかる疑似ランダムスワップテーブルは０〜255の範囲
内の異なる整数の128の対（ｉ、ｊ）の組を発生する。
スワップテーブルを使用するには、テーブル内の各
（ｉ、ｊ）に対しブロック内のバイトｉとｊの位置とを
交換するだけでよい。この方法の重要な特徴は、本質的
に自己反転可能であること、すなわち同じ順列を２回目
に実行すると、元のバイトの順序が再現できるというこ
とである。ブロックサイズｎが偶数である場合、かかる
スワップテーブルの可能な総数は次の式によって示され
ると指摘することは興味のあることである。

サイズｎのスワップテーブルを発生するための、特に
簡単なアルゴリズムは、Ｃプログラム言語で書かれた次
の一部の文で簡単に記載できる。

上記コードにおいて、関数STUT_clock8（）は、休止
を繰り返しながら進むキーストリームの次のバイトを戻
す。これが実行された後、table［］アレイは０〜ｎ−
１の整数の連続する疑似ランダムペアのシーケンスを含
む。（ｎが奇数である場合、最終テーブルエントリーは
スワップされないバイト位置を示す。） 計算上のオーバーヘッドの最適な増加量が受け入れ可
能であれば、256バイトブロックごとに異なる疑似ラン
ダムスワップテーブルを使用する上記方法の、多少複雑
な変形例が可能である。いずれのケースでも、各メッセ
ージに対しキーストリームの異なる（更にランダムに選
択された）部分が使用されるので、各暗号化されたメッ
セージに対して使用される実際の順列は異なることを強
調することには意味がある。

最後に、この方法は上記組み合わせ方法の一部を構成
するものではないので、有効化および認証化の問題を強
調するこの方法の別の特徴について指摘する。暗号方法
の終了時には全平文に対するCRCの値を利用できるの
で、この値を平文に添え、これを暗号化するか、または
この値の暗号化された変形例を所望する場合、メッセー
ジのヘッダーに挿入することは比較的簡単なことであ
る。送信中にこのメッセージが変わったかどうかを検出
するよう、この結果生じた情報を暗号解読中に使用でき
る。CRCまたは一般化されたCRC以外の概略的対策をここ
で使用することができ、特定の安全条件はリベストMD4
アルゴリズムまたはNIST安全ハッシュアルゴリズムのよ
うな別の方法を使用できることを示唆できる。

次は、チャンクサイズを（簡略化のため４バイトしか
ないと考えた好ましい組み合わせ技術の一例である。

平文チャンク「ABCD」（この16進表示は41 42 43
44）である。

休止を繰り返しながら進むキーストリーム出力（16
進）:37 04 FF B0 55である。

暗号化： 1.平文チャンクに対するCCITT CRC32の値を計算する。
この値はDB 17 20 A5（16進表示）に変わる。

2.休止を繰り返しながら進むキーストリームの第１バイ
トを使用して、疑似ランダムスワップテーブルを発生す
る（文内のＣ言語フラグメントによって示された方法を
適用する）。

ａ）テーブルを0123に初期化する。

ｂ）第１の休止を繰り返しながら進むキーストリーム
バイト37、モジュロ３は１であるので、テーブル内の要
素１および２を順列し、0213のテーブルを発生する。

ｃ）この結果生じるスワップテーブルはペア（０、
２）および（１、３）を含む。

3. 0番目と２番目のバイトをスワップし、次に１番目と
３番目のバイトをスワップすることにより、バイトABCD
を順列し、CDABを発生する。この16進表示は43 44 41
42である。これが順列されたチャンクとなる。

4.順列されたチャンクは、その後に続く休止を繰り返な
がら進むキーストリームバイトとバイトごとにXOR演算
する。43と04のXOR演算は47であり、44とFFのXOR演算は
BBであり、41とB0のXOR演算はF1であり、42と55のXOR演
算は37であるので、暗号文は（16進の）バイトシーケン
ス47 BB F1 37から成る。

5.CCITT CRC32の値の最終バイトはA5となり、これは10
進の165に等しいので、次に次のチャンクを暗号化する
前に休止を繰り返しながら進むキーストリームのうちの
165バイトを発生し、廃棄する。

7.暗号解読 受信した暗号文を解読するため、ユーザーＡは、まず
Q^D（ここで、その指数は受信者のプライベートキーＤで
ある）に対応する発生器のステートを計算するため、メ
ッセージヘッダー内に含まれるオーブンキーＱによって
示されたステートを使用する。ＱをＤで累乗するこの方
法は、暗号化中にＥをＲで累乗するのに使用される同じ
種類の方法を使用して行われる。この結果生じる発生器
のステートはＫであると考えられる。その理由は、Ｑは
基底ステートa₀からスタートした時間Ｒ後の発生器のス
テートを示し、時間Ｒ・Ｄ後のステートは先に述べたよ
うにちょうどＫであるからである。多項式表示では、こ
の事実は次のように表示できる。

E^R＝（x^D）^Ｒ＝Ｋ＝（x^R）^Ｄ＝Q^D このことは、受信者が暗号化のため発生されたランダ
ム初期化キーＲを知る必要なくＫを計算できたことを意
味している。次にユーザーＡは、最終初期化ステートＫ
からスタートしてミクスチャー発生器を作動し（すなわ
ち連続ステートを通過するように発生器をクロック制御
し）、暗号化中に実行された組み合わせプロセスを反転
（すなわちアンドゥー）するのに必要なキーストリーム
ビットを得る。ミクスチャー発生器は暗号化および暗号
解読の双方のためにステートＫからスタートされるの
で、キーストリーム出力は双方のケースで同一となる。

暗号化のために使用される組み合わせ方法が、単なる
平文とキーストリームとのXOR演算を実行するとした場
合、この結果生じる暗号文と同じキーストリームを再び
XOR演算すれば平文が再現されることになる。先に述べ
た好ましい組み合わせ方法では、各連続するブロックに
対し逆の順序で疑似ランダム転置および置換演算を反転
し、平文から暗号文を再現することが容易である。

先に述べた好ましい組み合わせ方法に関する、暗号解
読に必要な特定のステップは次のとおりである。

1.プライベートキーを使用し、平文のヘッダーに含まれ
る公開キーＱを累乗し、最終初期化キーＫを計算する。
これを行うための方法は、暗号化中に公開キーをランダ
ム初期化キーで累乗するのに使用した方法と同じであ
る。次に、ミクスチャー発生器のステートはＫで与えら
れる。

2.暗号文本体の各ブロックに対し、ミクスチャー発生器
を作動させ、キーストリーム出力の一部を得てこれを使
用し、疑似ランダム順列テーブルを発生する。

3.次にミクスチャージェネレータを作動し、別のキー出
力を得てこれと暗号文ブロックとをビットごとにXOR演
算するか、またはルックアップテーブルを使用してバイ
トごとにこれらを組み合わせ、中間文ブロックを発生す
る。このステップは暗号化中に実行された置換プロセス
を逆に進むものである。

4.先に作成された順列テーブルによって定義された疑似
ランダム順列を適用する。このステップは暗号化中に実
行された転置方法を逆に進むもので、元の平文のブロッ
クを発生する。

先に述べた好ましい組み合わせ方法では、反転の若干
より複雑な方法が必要である。発生器を初期化するのに
とられるステップは、単に組み合わされた暗号文の解読
のためのステップと同じである。しかしながら、組み合
わせ方法をアンドゥーする方法では、まずチャンクごと
に休止を繰り返しながら進むキーストリームの等価的部
分を使用し暗号化方法において平文に対して適用される
順列を反転するのに必要な方法に対応する代表的チャン
クの代表的疑似ランダム順列を発生するステップを実行
する。次に、現在の暗号文チャンクと休止を繰り返しな
がら進むキーストリームのその後の連続するバイトとを
XOR演算する。これにより、平文の、解読されているが
疑似ランダム順列バージョンが発生する。第３に、代表
的チャンクに適用された同じ順列を平文の順列バージョ
ンに適用し、平文を再現する。最後に、現在のチャンク
の終了部までの解読文の現在のCRC値を計算し、現在のC
RC値に応じたバイト数だけ休止を繰り返しながら進むキ
ーストリームをクロック制御する。チャンクの各256バ
イトブロックのバイトの順序を再び決めるのに、疑似ラ
ンダムスワップテーブルを用いて疑似ランダム順列を適
用した先の例では、キーストリームと暗号文とをXOR演
算する前に同じスワップテーブルが発生される。次に、
その結果生じる、解読されているがまだ順列状態にある
平文に対して、自己反転性であるスワップテーブルを使
用し、平文を再現する。

次は、好ましい組み合わせ技術の先の例に対応する好
ましい分離技術の一例である。

暗号文47 BB F1 37の暗号解読 1.正しい暗号解読キー（プライベートキー）が入手可能
であると仮定すれば、休止を繰り返しながら進むキース
トリームバイトのシーケンスは、暗号化に使用されたシ
ーケンス37 04 FF B0 55と同一となる。

2.第１の休止を繰り返しながら進むキーストリームバイ
トを用いて暗号化方法と同じように疑似ランダムスワッ
プテーブルを発生する。

3.スワッピング前に暗号文と休止を繰り返しながら進む
キーストリームの連続するバイトとをXOR演算する。47
XOR 04＝43、BB XOR FF＝44、F1 XOR B0＝41、3
7 XOR 55＝42となる。従って、中間暗号文は43 44
41 42となる。

4.まず中間暗号文の０番目のバイトと２番目のバイトを
スワッピングし、次に１番目のバイトと３番目のバイト
をスワッピングする（41 42 43 44）ことによりスワ
ップテーブルを適用する。

5.この結果は41 42 43 44となり、これはASCIIスト
リングABCD、すなわち正確に暗号解読された平文の16進
表示である。

6.この点までの平文に対するCRC321を計算する。以前と
同じように、最終バイトはA5であり、以前と同じように
次のチャンクを暗号解読する前に休止を繰り返しながら
進むキーストリームの次の165バイトを発生し、廃棄す
る。

8.ハードウェアの実現 本システムは、ソフトウェアでの実現が容易である
が、顕著な利点の１つとして、極めて高速の特殊用ハー
ドウェアでも実現できるということが挙げられる。超大
規模集積回路技術は極めて急速に進歩しているので、特
定の実現例の詳細はすぐに時代遅れとなってしまう。し
かしながら、かかる実現の相対的な容易性または困難性
および達成可能な速度に展望を与えるような既製の構成
部品が存在してる。例えばカナダの会社であるニューブ
リッジマイクロシステムズ社によって製造されているCA
34C168キー管理プロセッサのようなGF［2ⁿ］のような累
乗を実行する特殊チップも存在している。このチップは
16メガまで作動し、フィールドGF［2⁵⁹³］のような累乗
を行うTTLコンパチCMOSデバイスである。このチップの
スループットは毎秒300Kビットである。このフィールド
は、本システムに対しては必ずしも理想的でないが、こ
れらの仕様は、公開キー、オープンキーおよび最終発生
器初期化キーを計算できるレートのあるアイデアを提供
するものである。上記会社は20Kビット／秒で真のラン
ダムビットストリームを発生するRBG1210ランダムビッ
ト発生器を製造しており、かかるデバイスは本発明で必
要なランダム初期化キーＲを発生するのに適している。
極めて高速で作動できる極長シフトレジスタおよびディ
スクリートのロジックゲートも既製品として入手でき、
カスタムチップとなるように容易に集積化でき、または
フィールドプログラマブルゲートアレイとして実現でき
る。

第４図は、暗号化装置のハードウェアによる実現例を
示しており、一方、第５図は暗号解読方法のハードウェ
アによる実現例を示しており、いずれもハードウェアで
先に述べた機能を実行している。

9.サインおよび認証 先の方法の主要で、かつ重要な変形例は、受信し、解
読した平文が特定のソース（すなわちユーザーＢ）から
発信されたものであり、偽造されたものでないことを暗
号メッセージの受信者（本明細書の用語例ではユーザー
Ａ）が確認できるようにすることにある。この条件は、
オリジナルなものを証明し、他の誰かがサインを偽造で
きないように、何人もサインと公に入手可能な情報とを
比較できるような性質を備えたサインをメッセージに添
えることができるようにすることである。この条件は、
新しいメッセージまたは偽のメッセージのためのサイン
を発生するよう、先のメッセージのサインを使用するこ
とができないようにしなければならないことも意味して
いると解すべきである。従って、かかるデジタルサイン
はメッセージに依存したものであることが重要である。

ここで、公開キー暗号システムの基礎となる、まだ明
瞭に述べられていない仮定とは、（アドレスおよびそれ
らの公開キーのリストを含む）公開ファイルが不正な変
更に対して安全でなければならないことを明示すること
である。このようなケースでない場合、侵入者は他人の
公開キーを自分のキーとを交換し、不正が発覚するまで
犠牲者の安全性を危うくすることができる。かかる不正
な扱いに対するかかる公開ファイルの安全性は、通常は
パスワードシステムまたはコールバック方法およびとき
どきは物理的手段によって得られている。

ここで、サインコミュニケーションを望む個人が登録
した適当な情報を保持する安全な公共のサインアーカイ
ブ（文書館）が存在し、このアーカイブは誰でも調査の
ために利用できるが、正当な加入者以外の者が変える恐
れがないように、安全になっていると仮定する。更に、
このアーカイブの安全性は、加入者が自分のファイルに
付加的サイン情報を添付できるが、システム管理者が変
更の記録と追跡をできるようにする適当な監査トレール
から離れることなく、現在の情報を変更したり削除する
ことができないと仮定する。また、かかる予防手段は従
来の種々のサンプルサインの周りにめぐらした予防手段
から過度に異なるものではないことに言及したい。

公共サインアーカイブは暗号システム用の公開キー情
報を含むアーカイブと同じようにできるが、２つのファ
イルは異なるファンクションおよび恐らく異なる法的ス
テータスを有することに留意したい。変更およびアクセ
スのコストと頻度も異なる構造と異なる管理条件を有す
ることができ、これら２つの公にアクセス可能なファイ
ルを分離することが望ましいことが示唆される。

バックグラウンドとして、メッセージのためのCRC
（周期冗長性チェック）の値の概念を要約する。CRC値
はファイルおよび通信の完全性のインディケータとして
共通に使用されており、種々の国際的規格（例えばCCIT
T規格）が存在している。１つのメッセージのCRC値は、
一般に16または32ビット長であり、メッセージ文内のわ
ずかな変化、ひずみまたは誤りが完全に異なるCRC値を
生じさせるようにメッセージから計算される。この計算
方法は、本質的には特定CRC生成多項式によりメッセー
ジ多項式（その係数はメッセージのビットである）を分
割するのに（ハードウェアまたはソフトウェアで実現さ
れた）シフトレジスタ発生器を使用するものである。こ
のCRC値は、CRC生成多項式の剰余モジュロの係数を示
す。32ビットのCCITT規格の場合では生成多項式は次の
とおりである。

x³²＋x²⁶＋x²³＋x²²＋x¹⁶＋x¹²＋x¹¹＋x¹⁰＋x⁸＋x⁷＋x⁵ ＋x⁴＋x²＋ｘ＋１ 本認証方法はCRC概念を利用するものである。特に、
本明細書に述べた例のミクスチャー（ジェフ）発生器の
場合、メッセージＭに対しC_M＝（C_Mm、C_Mt、C_Mb）を定
義でき、これら３つの成分の各々はメッセージ文を対応
する生成多項式ｐ（ｘ）で割ることにより得られた発生
器のステートを示す。割り算を実行するのにシフトレジ
スタを利用する方法は他の文献に良好に記載されている
ので、この方法については本明細書では説明しない。C_M
はｐ（ｘ）の倍数までのメッセージ自体にほぼ等価的な
値を示す。

このようなバックグラウンドにおいて、安全な認証方
法は次のとおりである。通信システムへの各加入者は、
加入者に固有で、かつ公共サインアーカイブまたは他の
メッセージ認証機関に登録された認証パスワードＰの排
他的知識を有すると仮定する。公共サインアーカイブす
なわち認証機関は、本発明の要旨である公開キー暗号シ
ステムを参照しながら先に定義された対応する公開キー
E_Sと共に、自分のプライベートキーD_Sを所有する。ユー
ザーＢはユーザーＡに送信するメッセージＭにサインし
たい場合、ユーザーＢは一般化されたCRC値C_Mを計算
し、自分の認証パスワードP_BにC_Mを添え、公共サインア
ーカイブの公開キーE_Sを使用してペア（P_B、C_M）を暗号
化することにより、サインS_Mを形成する。加入者は次に
メッセージにこのサインS_Mを添える。

メッセージの受信者または第三者がサインS_Mの正当性
を証明したい場合、受信者は実際のメッセージに対する
一般化されたCRC値▲Ｃ^′ _Ｍ▼を計算し、これをサインS
_MおよびユーザーＢを識別する名前または他の情報と共
にこれを認証のための公共サインアーカイブすなわち認
証機関へ送る。公共サインアーカイブまたは認証機関は
プライベートキーD_Sを使用してそのサインを解読し、そ
の内部に含まれる一般化されたCRC値と▲Ｃ^′ _Ｍ▼の値
とを比較し、含まれていたパスワードとユーザーＢに対
し登録された認証パスワードとを比較する。これらの双
方が一致すれば、公共サインアーカイブはサインをユー
ザーＢによるメッセージＭの正当なサインとしてサイン
を有効にする。

メッセージの真のサイン者しかサインS_Mを発生できな
いことは、上記記載より理解できよう。そのようにサイ
ンをするには、ユーザーＢの認証パスワードとメッセー
ジの一般化されたCRC値の双方の知識が必要であるから
である。暗号化された一般的CRC値は、これに対応する
メッセージの１つの一致するので、別のメッセージにサ
インしようとするため有効なサインを偽造する試みは成
功しない。この方法の利点は、メッセージをサインする
たびに公共認証アーカイブに付加的情報を挿入する必要
がないことである。

次に、公開キー認証システムの別の好ましい実施例に
ついて説明する。ユーザーＢがユーザーＡへ送るメッセ
ージＭにサインしたい場合、乱数S_Mm、S_MtおよびS_Mbを
発生し、成分発生器ごとにC_M＋S_Mおよび を計算する。次にユーザーＢは公共サインアーカイブに
自分の名前でペア（C_M＋S_M、V_M）を登録し、メッセージ
ヘッダーにS_Mを添えることによりメッセージにサインを
する。既に公共サインアーカイブにV_mが登録済みであれ
ば、ユーザーＢは固有のV_mが決定されるまで新しいS_mお
よび対応するV_mを計算してこのプロセスを繰り返す。
（すなわち公共サインアーカイブには、まだ未登録であ
る。） 上記方法が正当なサインを保証するため、最初にメッ
セージを所有し、公共サインアーカイブに検査を依頼で
きる者が真のメッセージに対するCRC値▲Ｃ^′ _Ｍ▼を計
算し、S_Mを加え、その結果が公共サインアーカイブ内に
集められた値と一致するかどうか証明することができる
ように監視する。更に誰もが を計算し、これが公共サインアーカイブ内の値と一致す
るかどうか実証することも可能である。しかしながら、
本発明の基礎となる暗号化方法は（後述するように）適
度に安全であると仮定すれば、ユーザー以外の者がこれ
ら条件に合致するサインS_Mを判断することはできない。
他の認証方法で共通するように、同じCRC値と共に偽の
メッセージを発生する可能性は、特定のメッセージ構
造、すなわちプロトコルを主張することによって妨げる
ことができるが、本方法が３つ以上の異なる多項式を利
用することにより、かかる予防策はほとんと不要とな
る。

10.成分発生器としての乗法的合同発生器 いわゆる乗法的合同発生器（MCG）、すなわちレーマ
ー発生器は、疑似乱数発生器としてコンピュータシステ
ムで広く使用されている。このタイプの発生器の最も簡
単な変形例では、式x_n＝cx_n-1（mod ｑ）を使用して番
号のシーケンスを発生する。ここで、ｑは素数であり、
ｃは２とｃが単位の素原子根（primitive noot of u
nity）となるように選択された（ｑ−１）との間の一定
の整数である。開始値すなわちシードx₀は任意に選択さ
れる。例えば、ｑは2³¹−１となるように選択されるこ
とが多く、この2³¹−１は適当なメルセンヌ素数であ
り、ｃは整数524287として選択できる。この結果生じる
１と（ｑ−１）との間の整数のシーケンスは、２者の二
進表示が全部０または全部１となる場合を除き、すべて
31ビットの整数の順列となる期間（ｑ−１）を有する。

これらシーケンスは計算が迅速かつ容易であり、妥当
な長さとなるという魅力的な性質を有するが、（非線形
にシャッフルされていない場合）疑似乱数発生器として
使用した場合、統計的な性質がよくないということが長
く知られており、Ｄ・ヌース（D.Knuth）は暗号化技術
においてキーストリーム発生器としての不適性に関する
詳細な分析を発表している。しかしながら、これらの弱
点は、これまで述べ、高度な非線形の構造を有するタイ
プのミクスチャー発生器における成分発生器としての有
効性を必ずしも損なうものではない。

法ｑが2ⁿ−１の形態をしたメルセンヌ素数となるよう
にMCGを選択すると仮定すれば、発生器の出力はｎビッ
トのブロックで発生する。これらブロックは下位ビット
でスタートするビットストリームとして見ることができ
る。MCGを特定ビット数だけクロック制御すること、す
なわち進めることは、必要なブロックを得るのに適当な
数の整数の累乗と乗算モジュロｑを実施し、次にブロッ
ク内の正しいビット位置を選択することによって達成さ
れる。従って、このタイプの成分発生器に対しては、整
数の乗算モジュロ2ⁿ−１は多項式の乗算モジュロｐ
（ｘ）と置き換わる。この方法は、これと共に大きな整
数に対する演算を実行しなければならないが、特にｑが
メルセンヌ素数である場合、このように演算を適当に効
率的に実行する方法が存在している。

ミキサー発生器としてMCGを使用することは、発生器
内のいくつかの固定されたビット位置の内容によって示
された二進ステートを使用し、残りを廃棄することによ
り（すなわち出力が選択される発生器とｎ倍のレートで
MCGをクロック制御することにより）、またはMCGビット
ストリーム出力内の連続するビットのグループを使用す
ることにより、達成できる。後者の方法の一例は、MCG
をミキサーとして使用し、他の８個の発生器（それらの
構造はここでは無関係である）のうちから選択する図１
に示された例に類似している。この選択を行うのにMCG
から生じるビットの全ストリームを一度に３ビットずつ
使用できる。

11.暗号化技術の安全性（セキュリティ） 次にプライベートキーから公開キーへの変換によって
得られる安全レベルおよび発生器のキーストリーム出力
と平文との単純なXOR組み合わせから得られる暗号文の
性質の双方について一般的に説明する。

プライベートキーに対する、いわゆる「選択された平
文への侵入」の条件に関して、ここに提案するシステム
の安全レベルは、対応する公開キーが知られ、侵入者が
暗号システムの完全な知識を有し、この知識を用いて、
選択されたプライベートキーに対応する公開キーを発生
できる場合のプライベートキーを発見する上での計算上
の困難性に直接対応している。例えば第２図に示すよう
な発生器の構造を仮定した場合、３つの成分MLSRGの各
々の出力をGF（2^P）として知られる次数2^Pの有限場の要
素として数学的に見ることができる。各メッセージに対
し、異なるランダム初期化キーＲが選択されるので、与
えられたプライベートキーに対応する公開キーを発生す
るのに発生器を進める作動は、GF（2^P）を累乗すること
に数学的に等価的であるとみなすことができ、公開キー
からプライベートキーを探す反転問題はGF（2^P）に対す
る対数を計算することに数学的に等価的である。従っ
て、ここに提案されたシステムのこの部分の計算上の安
全性のレベルは、GF（2^P）に対する対数を計算する困難
性に匹敵する。1970年の終わりに、これを行うための最
良の公知のアルゴリズムは、次数２^P/2での演算を必要
としていたが、この分野のより最近の進歩により、現在
知の最良の方法を使用するには次数 での演算しか必要でないことが判っている（ここで、ｃ
は約1.4または1.5に経験的に概算された小さい定数であ
る）。ｐ＝127となるように（１、30、127）MLSRGを使
用する場合、これら２つの量を比較すると、第１の場合
の約63の指数と第２の場合の約26または27との差異が判
る。このことは、最初は不可能であったGF（2¹²⁷）の対
数を計算することは、現在では適度に困難なことにすぎ
ず、最新のメインフレームコンピュータで数時間を要す
るにすぎないことを意味している。第２図に示されたジ
ェフ構造で長さ87、89および127の３つのMLSRGを使用し
た、本明細書の最初で示した小さい例に関して、これら
数字は計算上の適度なレベルが得られることを意味して
いる。

89、127および521のMLSRG長さを備え、同じジェフ発
生器構造を使用する示唆されたより大きい例では、ここ
に提案する公開キーシステムはパソコンでも容易に実現
できるが、その計算上の安全性の例はより高いものであ
る。長さ521の最長の発生器だけを検討すると、上記数
字はGF（2⁵²¹）に対する対数を計算するのに必要な演算
数は、最近に近いと考えられる現在知られている最良の
アルゴリズムを使用した場合、約2⁵⁰の大きさとなる。
現在のコンピュータの大きさが数桁改善されると仮定し
ても、これら状況では提案された公開キーシステムは計
算上安全である。すなわち計算リソースと無関係に、す
べての利用可能な情報から未知のプライベートキーを計
算することは不可能である。更に、暗号化および解読に
必要な計算力を最適に増加し、付加的キー長さの結果と
して公開キーファイルに過度の負担をかけることなく、
更に大きい成分発生器を使用することができ、この結
果、システムの安全性を任意のレベルまで高めることが
できる。

シフトレジスタ発生器の代わりに乗法的合同発生器を
使用することにより、離散的対数の問題の計算上の困難
性が増し、よって暗号化方法の安全性が高まる傾向があ
る。これはGP（2^P）に対してでなく、ｑが素数である場
合GF（ｑ）に対して対数を計算しなければならないから
であり、この場合に対する現在知られている最良のアル
ゴリズムは効率が悪く、法ｑがメルセンヌ素数2^P−１で
ある場合、次数 の演算が必要である。例えばこの演算は、ｑ＝127であ
る場合、大まかに言って約2⁴⁰〜10¹²回の演算となり、
これはGF（2^p）の場合よりも数千倍多い。

次に、キーストリーム発生器および先に述べた組み合
わせ方法に対する選択された平文の侵入への観点から、
システムの安全性について検討する。このタイプの侵入
は、暗号解読者がすべての公開キーにアクセスし、解読
者が平文と暗号文のメッセージの対応する対を発生する
のに使用できるキーストリーム発生器（本例ではミクス
チャー発生器）へ直接アクセスすることを含む完全な暗
号システムを入手している場合の侵入である。このよう
な状況は、暗号解読者が発生器の任意の初期ステートか
ら開始してキーストリーム出力から選択した長さの任意
の数のサブシーケンスを検討できることを意味してい
る。ここで、ミクスチャー発生器の長さは極めて長い
（説明したジェフ構造の最初のものに対してでも2³⁰³）
ことに留意されたい。

キーストリームのうちの多数のかかる部分（サーチフ
ラグメント）を発生し、これらの各々と未知の暗号文と
のスライド相関化を実行することにより、暗号解読者は
統計的解析により検出できるオーバーラップを発見しよ
うとする。検出可能なオーバーラップの可能性はメッセ
ージの長さと発生器が作動できる速度に依存するが、確
率論的解析はオーバーラップする可能性は極めて小さい
と示す。例えば発生器が毎秒1000ギガビット（毎秒2⁴⁰
ビット）でクロック制御でき、平文長さが平均１ギガビ
ット（2³⁰ビット）であり、わずか2¹⁰ビット（１キロビ
ット）長さのサーチフラグメントを使用するスライド相
関器により、サーチフラグメントとのオーバーラップを
瞬間的（すなわち０時間ないに）有効に検出できると仮
定しても、より小さいジェフタイプの発生器の場合、特
定の暗号文を探すのに予想される時間は2²⁴⁰秒もの大き
さとなる。

確率論的解析も同じ仮定をした場合、ランダムに選択
された初期化キーに対応するメッセージに対するオーバ
ーラップの可能性は無視できるものであり、よってこの
方法（いわゆる共通誕生日問題）に基づく公知の平文へ
の侵入も徒労に終わることを示している。更に、未知の
暗号文に対応する平文の部分が暗号解読者により知られ
ている（または推定できる）と仮定した場合でも、かか
る既知の部分の長さが発生器の複雑さすなわち図示され
たジェフタイプの発生器よりも小型のものでも58193の
複雑さを越えない限り、（実行キー暗号化器の解答と同
じように）キーストリームを拡張し、平文の残りの部分
を解くことができない。このような離間した偶然性は単
一ランダム初期化キーにより暗号化すべき平部分の最大
長さを制限し、必要な場合、より長いメッセージをセグ
メント状に分けることによって解決できるが、その結果
生じる性能上の欠点に鑑み、安全性の向上を評価すべき
である。

解読者が出力キーストリームと成分発生器との間の相
関性を発見しようとする、より簡単な形態の相関性への
侵入は、数学的な文献に記載されいるが、成分発生器の
時間が極めて長く、その自動相関化およびクロス相関化
の性質が優れているので、本システムでは効率的でな
い。

12.小さい例 暗号化用には有効ではないが、明確にするため、ここ
に提案するシステムの作動を示すため、小さい例を含め
る。この例は、第２図に示されたジェフ構造のMLSRG成
分を使用するものである。第３図には個々の発生器が示
されており、そのステージ数は所定ステージに対応する
ｘの級数を示す。

これら３つの発生器のための生成多項式ｐ（ｘ）はそ
れぞれ次のとおりである。

１＋ｘ＋x²,1＋ｘ＋x³,1＋x³＋x⁵ これら３つの発生器の全出力ストリーム（すなわちフ
ル時間）は、次のとおりである。

ミキサー:101 頂部:100101 底部:00100001011101100011111001101 上記表１は、これら発生器に対するステートの全シー
ケンスおよびそれに対応する多項式の定数（すなわちｘ
の適当な級数に合わせるよう番号をつけ直したステージ
を備えたステート）を示している。しかしながら、関係
する発生器の大きさは実際的な意味で表１の計算を不可
能にするものであり、ここには単なる図解のために含め
たものであることを強調したい。表の列をソートする
と、対数モジュロ生成多項式の表が有効に得られる。

ここで、初期ステートは次のように示される。

第３図に示されたステージ番号を検討すると、これら
ステートの各々は次の多項式に対応することが判る。

これら３つの成分発生器の各々に対し、ｘの二進級数
に対応する多項式係数は、下記の表２に示されるように
容易に計算される（モジュロｐ（ｘ））。これら級数に
対応するステートはこれらビットを適当に回転するだけ
で（すなわち番号をつけ直すだけで）得られることを強
調したい。

Ｄ＝（３、６、24）なるプライベートキーを選択する
と、表２を広範に使用することにより、次のように対応
する公開キーを計算する。

ａ）D_m＝３（二進で11）であるので、まず多項式x²に対
応するステート11をミキサー発生器にロードし、次にこ
のミキサー発生器を１回クロックし、ｘを乗算すること
によりx³＝x²x¹を計算すると、ステート01が得られる。
これは次の式を与える。

ｂ）D_t＝６（二進で110）であるので、まず多項式x⁴に
対応するステート110（多項式の係数011）を頂部発生器
にロードし、次にこれを２回クロックし、x²を乗算する
ことによりx⁶＝x⁴x²を計算すると、ステート011が得ら
れる。すなわちこれにより次の式が得られる。

ｃ）D_b＝24（二進で11000）であるので、x²⁴＝x¹⁶・x⁸
を計算すればよい。これは第２の因数x⁸が２つ以上の０
でない係数を備えた多項式に対応するので、先のケース
よりも若干複雑である。表２からx⁸＝0.1＋1.x＋0x²＋
1.x³＋1.x⁴（すなわち多項式係数は01011）であるの
で、x¹⁶に対応するステート10001を３回発生器にロード
し、このクロックを１回、３回および４回それぞれクロ
ックし、x,x³およびx⁴を乗算し（その理由は、これらは
x⁸における０でない係数を備えたｘの係数であるからで
ある）、次に対応する係数モジュロ２を加える。この結
果生じるこれら３つのステートは次のとおりとなる。

11000,11110,11111 これら対応する係数モジュロ２を加えると、11001の
最終ステートが得られる。すなわち、これにより次の式
が得られる。

他のあるユーザーが文字AA（その二進数によるASCII
表示は01000001 01000001である）の平文を暗号化する
ことによりメッセージを送りたいと仮定する。発信者
は、まずランダム初期化キーＲを発生する。これを行う
種々の手段は可能であり、例えば雑音ダイオードを利用
する方法がある。

ここで、ＲはＲ＝（２、３、７）として発生されたも
のと仮定する。

発信者の最初の作業はＱを計算することである。この
作業はＤからＥを計算するように行われ、以前と同じよ
うに表２を活用する。

ｄ）Q_mはステート11として表のx²ラインから直接呼び出
すことができる。

ｅ）x³＝x²xを計算することによりQ_tを得る。x²に対応
する頂部発生器のステートは010であり、これら内容を
発生器にロードし、発生器を１回クロックしてｘを乗算
すると、ステート101が得られる。

ｆ）Q_bを計算するため、表２を使用して底部発生器に対
するx⁷＝x⁴x²xを計算する。これら級数の最後の２つ
は、１つの０でない係数しか含んでいないので、底部発
生器に01000（x⁴に対応するステート）をロードし、発
生器を２回クロックし、最後に１回クロックすることは
容易である。この結果得られるステートは10101とな
る。

よって、メッセージヘッダーは次のようにＱを含む
（付加的メッセージ固有の情報も含むことができる）。

次のステップはＫを計算することである。これは、同
様な乗算方法により行うが、今回は公開キーＥの成分に
対応する多項式をＲで示される級数で累乗することによ
り行う。

ｇ）まずE_mに対応する多項式を級数R_m＝２で累乗するこ
とによってK_mを得る。本例ではE_mは０次の多項式 であるので、任意の級数に累乗される１は１となるのと
同じように、計算は不要である。従って、K_mはE_mと同じ
であり、ステート01に対応する。このような状況は実際
には決して予想できないものである。このような状況
は、D_mをミキサー発生器の時間長さに等しい３と選択す
ることによって生じる。システムを実現する際、Ｄまた
はＲに対する明らかに良好でない選択をすることは、簡
単に拒否される。

ｈ）次に、E_tを級数R_t＝３で累乗する。これを計算する
にはｘでなくてE_tの二進級数をリストアップする表２に
類似する表を作成する必要がある。本例のためには であるので、E² _tを計算するだけでよい。E_tは多項式１
＋x²に対応するステート011であるので、頂部発生器に
このステートをロードし、これを２回クロックし、100
を得て、次にこれら値のモジュロ２の対応する係数を加
え、E² _tに対応するステート111を得る。次に、発生器を
再び使用してこの値にE_tを乗算する。この乗算が発生器
に111をロードし、これを２回クロックして001を得て、
これらのモジュロ２の係数を加え、最後にK_tに対する11
0を得ることによって行う。

ｉ）K_bを計算するため、E_bを級数R_b＝７で累乗する。ま
た、E⁴ _bおよびE² _bを得るには表２に類似する表を作成す
る必要があるので、 を計算する。E_b＝11001＝x²＋x³＋x⁴を得るので、E_bx²
＝10110、E_bx³＝01011およびE_bx⁴＝00101（これらは発
生器をクロックすることによって得られる）のモジュロ
２の合計としてE² _bを得るので、これによりx³＋x⁴に対
応する11000が得られる。これを２乗すると、10000とし
てのE⁴ _bが得られ、最後に01101としてのK_bが得られる。

従って、ステートＫは次の式で示される。

ｊ）これらステートからスタートする３つの発生器から
の出力ストリームは次のとおりとなる。

ミキサー:101101101101101101.... 頂部 :011100101110010111001.... 底部 :1011000111110011010010000101011.. ｋ）この結果得られるミクスチャー（キーストリーム）
の最初の16ビットは次のようになる。

0011001111100001.... ｌ）このストリームと平文との排他的ORを計算すると次
の暗号文が得られる。

0111001010100000 ｍ）この暗号化方法はＱの成分をプライベートキーＤに
よって示される級数で累乗することによってＫを計算す
ることに始まる。この累乗方法は既に上記ステップ
ｇ）、ｈ）およびｉ）で示された方法に完全に類似する
方法である。簡単に述べれば、 およびステート111および011にそれぞれ対応する最後の
２つの因数を得るので、 となる。最後に、 を計算し、それぞれのステート11110および01100に対応
する後者の２つの因数を計算する。これにより次の結果
が得られる。

ｎ）（予想するように）ステートＫはメッセージの発信
者によって計算されるステートと同じであるので、この
ステートからミクスチャー発生器をスタートすることに
より、上記ステップｊ）およびｋ）に示されているのと
同じキーストリーム出力が発生し、このキーストリーム
出力は暗号文とXOR演算され、平文を再現できる。

13.ランダム化およびキー管理の問題 本方法は、現在のシステムと比較するとかなり多い総
数のキービットを使用する。例えば米国データ暗号化規
格（DES）は、キーのために56ビットを使用している
が、上記例で使用したジェフタイプの発生器は、成分発
生器の長さの合計に等しい87＋89＋127＝303のキービッ
ト、または89＋127＋521＝737のキービットを使用す
る。これら長いキーは高いレベルの安全性を提供する
が、特殊なキー管理技術の利点が得られるようにするに
は、これらの長さは充分に長い。

まず、より素朴な形態の暗号分析侵入から保護するた
め、容易に思い出すか、またはシステム的に発生される
パターンよりもすべての暗号化キーを最良にランダムに
選択する。真のランダムビットストリームを発生するた
めの周知のハードウェア手段、例えばノイズ発生ダイオ
ードが存在している。別の方法としては、生物学的測定
方法を使用することである。今日では、実質的にすべて
のパソコンでマイクロ秒分解能のハードウェアが存在し
ているので、この例は連続する非同期的な、人により発
生される事象、例えばキーストロークの間の時間間隔を
広くすることである。かかる期間の長さの下位の桁は許
容可能なランダムな性質を有する。いずれの場合でも、
かかるキーをシステマティックに、または繰り返して使
用することは、システムの安全性にシビアに妥協するこ
ととなるので、できるだけ真にランダムに、本発明にお
けるランダム初期化キーＲを選択する試みが重要であ
る。本発明は、多次元（例えば２次元）のコンピュータ
入力装置、例えばペン、描画パッド、マウスまたは他の
ポインティングデバイスまたはタッチスクリーンととも
に、別の生物学的測定技術を使用することが考えられ
る。ユーザーにランダムなパターンを描くことが求めら
れ、一方発生されたパターンの種々の可能性のある属性
を使用して適度にランダムな入力を得ることができる。
例えば、マウスが利用できる場合、マウスの特定時間に
おけるマウスの座標を表示する数字の下位ビットを適当
なものとすることができる。これと異なり、特定時間に
おけるマウスの速度または特定タイプのマウスの事象、
またはマウスがトレースするパラメータ曲線の空間的性
質（例えば曲率）を使用することができる。

好ましい実施例としては、この目的のためにコンピュ
ータディスプレイスクリーンにディスプレイされるウィ
ンドーのエリア内で多少ランダムにマウスポインタを動
かす（すなわちそれを振ったり、それで描く）ことをユ
ーザーに要求できる。連続する時間におけるコンピュー
タの作動環境によって検出されるマウスポインタの位置
のｘおよびｙ座標を適当な下図のマウスの運動が生じる
まで16ビットの２進数の連続するペアとして記録でき
る。これらポイントの、例えば最初の25％と最後の25％
を十分にランダムでないものとして廃棄でき、他の残り
のすべての16ビット座標値の下位の４ビットを抽出し、
連結し、所望の乱数を形成できる。

ハードウェアおよびソフトウェアの急な変化により測
定中の属性のランダム性が破壊されないように保証する
ための注意が必要である。例えばマイクロソフトのウィ
ンドウズが作動する環境では、外部事情、例えばマウス
またはキーボードの事象に利用できるタイミング分解能
はわずか50ミリ秒であるので、第２事象のタイミングは
極めて非ランダムとなり得る。更に、かかる侵入は安全
性への深刻な脅威となり得るので、システムのタイミン
グ情報またはマウス事象処理とインターフェースする試
みを保護しなければならない。

コンピュータシステムで一般に使用されているほとん
どの疑似乱数発生器はこれらのニーズには適当ではない
が、本明細書に述べたミクスチャー発生器のキーストリ
ーム出力は優れたランダムな性質を有し、ここで検討し
ている妥協方法を提供するものである。特に、真にラン
ダムなソースから各成分発生器内に適当な数のステート
を初期化し、発生器を短い（すなわち1000クロックサイ
クルの）間、作動または進める場合、その結果生じる最
終発生器のステートは真にランダムなステートからは統
計学的に区別できないものとなる。この方法をキーハッ
シング（混信）方法と称す。ここに説明した発生器の複
雑性が高いことより、このことはこれまで説明した他の
手段、例えばいわゆるカウンターモードでDESチップま
たはアルゴリズムを使用するようなことに対する妥当な
代替案が提供される。

暗号化キーの記憶および管理は解決しなければならな
いが、公開キーシステムは従来のプライベートキーシス
テムよりもその安全性に対する要因に依存する率は本来
的に低い。コンピュータまたはデータ記憶システム内の
何らかの場所にプライベートキーを記憶する場合、物理
的安全性が重要な問題となる。あるアプリケーションで
は暗号化機器またはコンピュータの電磁気放射を考慮し
なければならない。ポータブルなメディア、例えば磁気
的または光学的にエンコードされたカードにコンパクト
に記憶することは可能であるが、人の記憶だけにしか存
在しないようなデータ（例えばパスワード）からキーを
構成するか、またはこれより容易に発生できるようにコ
ストまたは他の要因が支配できる従来のアルファニュー
メリック記号は１つの文字につきわずか５〜６ビットの
情報しか提供せず、代表的なパスワードは８〜10文字以
下に制限されているので、このようにわずか50〜60のキ
ービットしか供給できない。

本発明は、パスワードから得られるキービットにより
ミクスチャー発生器の成分発生器の限られた数のステー
ジを初期化し、上記方法をまね、ランダムキーをシミュ
レートするように何時間もの間発生器を作動または進め
ることを考えるものである。かかるシステムは、暗号解
読によるキークラスターの攻撃を受け易いが、初期化、
すなわちハッシング段階において使用されるクロックサ
イクルの数を拡張し、（発生器の急速な進行を禁止し、
よってトライアルキーを発生できるレートを制限するよ
う）中断を繰り返しながら進むような非線形を導入する
ことにより、安全性を高めることができる。

産業上の利用性 本発明の暗号化システムは、真の公開キーシステムか
ら得られる利点を備えた安全な通信が求められるような
ほとんどの領域で用途がある。非制限的例としては次の
ものがある。

（１）インターネットのような公共的ネットワークを通
してクレジットカードの番号すなわち認証を含む個人ま
たは財務情報を安全に転送すること。

（２）インターネットを含む現在のコンピュータネット
ワークまたは交換回線を通して安全な音声通信の送信を
し、かかる通信のプライバシーを保証すること。

この用途では、シークレットキーに先に接触または予
めアレンジする必要なく、リアルタイムでデジタル化さ
れた、および／または圧縮された音声データを暗号化で
きる。

（３）インターネットを含むコンピュータネットワーク
または公衆交換回線のいずれかを通した電子メールまた
はファクシミリ通信のプライバシーを保証すること。

利点 ・公知の暗号解析が困難なこと 本アルゴリズムの暗号解析に成功することの困難度を
定量的に評価できる。アプリケーションの予定する分野
に応じてシステムパラメータを直接的に選択することに
より、この困難度を任意のレベルに合わせることが可能
である。

・高速性 本アルゴリズムは、ソフトウェアで実現するにせよ、
またはハードウェアで実現するにせよ、次の作業をでき
るだけ迅速に達成可能とするものである。

ａ）任意に選択されたプライベートキーから公開キーを
発生すること。

ｂ）任意の平文ビットストリーム暗号化すること。

ｃ）暗号化された暗号文を解読すること。

・高い安全性 本システムは最新の暗号規格および方法に関し、高度
に複雑な最新の暗号解読のおそれに対し、極めて高い安
全性を提供できる。

・暗号文の最小長さ 送信時の非効率性を防止するため、本システムは長さ
が平文の長さにほぼ等しい暗号文を発生する。

・非決定論的であること 同じ公開キーを用いて２回以上同じ平文を暗号化する
ことがシステムに求められている場合でも、この結果生
じる各暗号文は、コードブックの収集を防止し、他の暗
号解読の攻撃を失敗させるため、非システマティックな
態様で、他の暗号文と異なる。

・実現が簡単で、かつ効率的であること このシステムを実現するのに必要な不可欠な計算は、
計算機器に対する要求を最小にしながらハードウェアま
たはソフトウェアで達成することができる。これによ
り、埋め込みシステム、注文すなわち専用ハードウェ
ア、またはスマートカードのみならず、広範に入手でき
るプロセッサ上で走るソフトウェアでの実現を容易にす
るものである。

フロントページの続き (31)優先権主張番号 ２６０７１２ (32)優先日 平成６年６月９日(1994．6．9) (33)優先権主張国 ニュー・ジーランド（ＮＺ） (56)参考文献 池野信一，小山謙二，“現代暗号理 論”，日本，社団法人電子情報通信学 会，1989年 ５月20日，３版，Ｐ．67− 76，175−186 Ｗｉｌｌｉ Ｍｅｉｅｒ，“Ｃｏｒｒ ｅｌａｔｉｏｎ Ｐｒｏｐｅｒｔｉｅｓ ｏｆ Ｃｏｍｂｉｎｅｒｓ ｗｉｔｈ Ｍｅｍｏｒｙ ｉｎ Ｓｔｒｅａｍ Ｃｉｐｈｅｒｓ”，Ｊｏｕｒｎａｌ ｏ ｆ ＣＲＹＰＴＯＬＯＧＹ，1992年 ５ 月，ｐ．67−86 (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 9/08 H04L 9/24 H04L 9/32 G09C 1/00

Claims (7)

(57)【特許請求の範囲】
1. 【請求項１】暗号化装置と暗号解読装置とを有する暗号
   化システムにおいて、前記暗号化装置は前記暗号解読装
   置に固有の公開キーを使って平文メッセージＰを暗号化
   し、前記解読装置は公開キーが引き出された秘密のプラ
   イベートキーを使用して暗号化メッセージを暗号解読す
   る、該暗号化システムは更に、 （１）複数の二進数Ｄ_１〜ｎを含むプライベートキー
   （Ｄ）を選択する手段、 （２）前記数Ｄ_１〜ｎの各々に対してプライベートキー
   Ｄ_１〜ｎによって得られた対応する数に等しい数のクロ
   ックルスまたはステート変化の後に所定の既知の初期ス
   テートから疑似ランダム二進数発生器のステートを計算
   し、公開キー（Ｅ）の成分として計算された二進ステー
   トＥ_１〜ｎの各々を提供することによりプライベートキ
   ーを用いて累乗により公開キー（Ｅ）を計算する手段、
   を含み （３）前記暗号化装置は、 （ａ）一組の二進数Ｒ_１〜ｎを含むランダム初期化キー
   （Ｒ）を発生する手段、数Ｒ_１〜ｎの各々に対してラン
   ダム初期化キーＲ_１〜ｎによって示された対応する数に
   等しい数のクロックパルスまたはステート変化の後に、
   所定の既知の初期ステートから疑似ランダム二進数発生
   器のステートを計算し、オープンキーＱの成分として計
   算された二進ステートＱ_１〜ｎを提供することにより、
   累乗によりオープンキーＱを計算する手段、 （ｂ）公開キーＥ_１〜ｎの成分をランダム初期化キーＲ
   _１〜ｎの成分により累乗し、前記数Ｅ_１〜ｎおよびＲ
   _１〜ｎの各々に対し、前記計算手段（２）の演算から生
   じる疑似ランダム二進数発生器のステートを対応する二
   進数Ｒ_１〜ｎに等しい回数だけ計算することにより、発
   生器初期化ステートＫ_１〜ｎを発生する手段、 （ｃ）第１ミクスチャー発生器を形成するように出力が
   組み合わされている一組（ｎ）の疑似ランダム二進数発
   生器に初期値Ｋ_１〜ｎをロードする手段、 （ｄ）キーストリームシリアル出力を得るように、第１
   ミクスチャー発生器をクロックする手段、 （ｅ）前記キーストリーム出力と二進平文メッセージＰ
   とを組み合わせて暗号化されたビットストリーム暗号文
   Ｃを発生する手段 （ｆ）暗号文ＣをオープンキーＱに加え、メッセージス
   トリームを発生する手段、 （ｇ）該メッセージを前記暗号解読装置に送信する手
   段、を含み （４）前記暗号解読装置は、 （ａ）メッセージストリームからオープンキーＱを抽出
   する手段、 （ｂ）前記暗号化装置の計算する手段と同様のプロセス
   を対応する二進数Ｄ_１〜ｎに等しい回数だけ適用するこ
   とにより得られる疑似ランダム二進数発生器のステート
   を、前記数Ｑ_１〜ｎおよびＤ_１〜ｎの各々に対して計算
   することにより、発生器初期化ステートＫ_１〜ｎを引き
   出すようにオープンキーＱをプライベートキーＤで累乗
   する手段、 （ｃ）ミクスチャー発生器を形成するように出力が組み
   合わされた第２の組（ｎ）の疑似ランダム二進数発生器
   に発生器初期化ステートＫ_１〜ｎをロードする手段、 （ｄ）キーストリームシリアル出力を得るように前記ミ
   クスチャー発生器をクロック制御し、この出力と受信し
   た暗号化ビットストリームとを組み合わせて前記平文メ
   ッセージを発生する手段、を含んで成る、 前記暗号化システム。
2. 【請求項２】前記ミクスチャー発生器が一組（ｎ）の最
   大期間線形シフトレジスタ又は乗法合同数発生ルーチン
   発生器を備え、該一組の内の１つの発生器がクロック制
   御されて前記キーストリームシリアル出力を発生するた
   めに該組内の他（ｎ−１）の発生器の出力を疑似ランダ
   ムに選択するようになっている、請求項１記載の暗号化
   システム。
3. 【請求項３】前記ランダム初期化キーＲを発生する手段
   が、 （１）任意時間ｔにおけるステートが複数の座標
   （X_t1、X_t2、....、X_tn）によって示された点X_tとして
   表示できる電子ポインタデバイスを操作する手段と、 （２）複数の時間ｔ＝１、２、....、ｎにおける前記入
   力デバイスのステートを表示する点X_tを測定する手段
   と、 （３）前記複数の時間のサブセットに対応する前記測定
   された点のサブセットを選択する手段と、 （４）このように選択された点すべての座標の数値関数
   を計算する手段と、 （５）このように計算された数値関数の値を表す複数の
   二進数として、所望の乱数を発生する手段とを備えた、
   請求項１記載の暗号化システム。
4. 【請求項４】前記暗号文Ｃを発生するように前記キース
   トリームと二進平文Ｐの各成分とを組み合わせる前記手
   段が、 （１）シリアルキーストリームの出力の複数のバイトを
   使用して、バイト１、...、n_iの疑似ランダム順列Ｔを
   発生する手段と、 （２）中間部分I_iを形成するために順列Ｔに従って部分
   P_i内にバイトn_iの相対位置を順列する手段と、 （３）中間部分I_iの各バイトＢに対し、 （ａ）シリアルキーストリーム出力の１つ以上のバイト
   を発生し、 （ｂ）バイトＢおよびシリアルキー出力の前記発生され
   た少なくとも１つのバイトに応じた値で該バイトＢを置
   換することにより暗号化されたビットストリームのｉ番
   目の部分C_iを形成する手段とを備える、請求項１〜３の
   いずれかに記載の暗号化システム。
5. 【請求項５】連続する各部分P_iに対して、開始点からP_i
   までの二進情報Ｐのすべての部分に対する累算的な現在
   メッセージダイジェスト値D_iを計算する手段と、現在の
   メッセージダイジェスト値D_iに依存する数の付加的バイ
   トのシリアルキーストリーム出力を得てこれを廃棄する
   手段を更に含む、請求項４記載の暗号化システム。
6. 【請求項６】複数の二進数Ｄ_１〜ｎを含むプライベート
   キー（Ｄ）を選択し、前記数Ｄ_１〜ｎの各々に対しプラ
   イベートキーＤ_１〜ｎによって示された対応する数に等
   しい数のクロックパルスまたはステート変化の後に、所
   定の初期ステートから疑似ランダム二進数発生器のステ
   ートを計算し、計算された二進ステートＥ_１〜ｎの各々
   を公開キーＥの成分として提供することにより、プライ
   ベートキーを使用して公開キー（Ｅ）が累乗される、暗
   号化システム用の暗号化装置であって、 一組の二進数Ｒ_１〜ｎを備えるランダム初期化キー
   （Ｒ）を発生するための手段と、 前記数Ｒ_１〜ｎの各々に対しランダム初期化キーＲ
   _１〜ｎによって示された対応する数に等しい数のクロッ
   クパルスまたはステート変換の後に、所定の既知の初期
   ステートから疑似ランダム二進数発生器のステートを計
   算してオープンキーＱの成分として計算された二進ステ
   ートＱ_１〜ｎの各々を提供することにより、累乗により
   オープンキーＱを計算するための手段と、 前記数Ｅ_１〜ｎおよびＲ_１〜ｎの各々に対し、公開キー
   Ｅを累乗するのに使用される方法を対応する二進数Ｒ
   _１〜ｎに等しい回数だけ適用することによって生じる疑
   似ランダム二進数発生器のステートを計算することによ
   り、発生器の初期化ステートＫ_１〜ｎを発生するよう、
   公開キーＥの成分をランダム初期化キーＲの成分で累乗
   するための手段と、 ミクスチャー発生器の出力を形成するように出力が組み
   合わされる一組（ｎ）の疑似ランダム二進数発生器を含
   む該ミクスチャー発生器と、 前記組（ｎ）の疑似ランダム二進数発生器にＫ_１〜ｎに
   等しい初期値をロードする手段と、 キーストリームシリアル出力を得るようにミクスチャー
   発生器をクロックする手段と、 平文メッセージを受信し、ミクスチャー発生器の出力と
   二進平文メッセージとを組み合わせ、暗号化されたビッ
   トストリームを発生する手段と、 暗号文ＣをオープンキーＱに加え、メッセージストリー
   ムを発生する手段と、 メッセージストリームをメッセージ受信器に送信するた
   めの手段とを備える、暗号化装置。
7. 【請求項７】複数の二進数Ｄ_１〜ｎを含むプライベート
   キー（Ｄ）を選択し、前記数Ｄ_１〜ｎの各々に対し該プ
   ライベートキーＤ_１〜ｎによって示された対応する数に
   等しい数のクロックパルスまたはステート変化の後に、
   所定の初期ステートから疑似ランダム二進数発生器のス
   テートを計算し、計算した二進ステートＥ_１〜ｎの各々
   を公開キー（Ｅ）の成分として提供することにより、前
   記プライベートキーを使用して公開キー（Ｅ）が累乗さ
   れ、平文メッセージが暗号化装置により暗号化され、該
   暗号化装置は、 （１）一組の二進数Ｒ_１〜ｎを含むランダム初期化キー
   （Ｒ）を発生し、前記数Ｒ_１〜ｎの各々に対しランダム
   初期化キーＲ_１〜ｎによって示された対応する数に等し
   い数のクロックパルスまたはステート変化の後に、所定
   の既知の初期ステートから疑似ランダム二進数発生器の
   ステートを計算し、オープンキーＱの成分として計算さ
   れた二進数ステートＱ_１〜ｎを提供することにより、累
   乗によりオープンキーＱを計算する手段、 （２）公開キーＥの成分をランダム初期化キーＲの成分
   により累乗し、プライベートキーを用いて公開キーを累
   乗すると先に定義したプロセスを、対応する二進数Ｒ
   _１〜ｎに等しい回数だけ適用することによって生じる疑
   似ランダム二進数発生器のステートを前記数Ｅ_１〜ｎお
   よびＲ_１〜ｎの各々に対して計算することにより、発生
   器初期化ステートＫ_１〜ｎを発生する手段、 （３）第１ミクスチャー発生器を形成するように出力が
   組み合わされている疑似ランダム二進数発生器の組
   （ｎ）に初期値Ｋ_１〜ｎをロードする手段、 （４）キーストリームシリアル出力を得るために、前記
   ミクスチャー発生器をクロックし、この出力と二進平文
   メッセージとを組み合わせて暗号化されたビットストリ
   ーム暗号文Ｃを発生する手段、 （５）オープンキーＱとともに、暗号化されたビットス
   トリームを暗号解読装置に送信する手段を含み、 該暗号解読装置が、 暗号化されたビットストリームからオープンキーＱを抽
   出する手段と、 オープンキーＱを得るための、上記記載のプロセスを対
   応する二進数Ｄ_１〜ｎに等しい回数だけ適用することに
   より生じる疑似ランダム二進数発生器のステートを前記
   数Ｑ_１〜ｎ及びＤ_１〜ｎの各々に対して計算することに
   より、発生器の初期化ステートＫ_１〜ｎを発生するよう
   プライベートキーＤの成分によりオープンキーＱの成分
   を累乗する手段と、 ミクスチャー発生器を形成するよう出力が組み合わされ
   る一組（ｎ）の疑似ランダム二進数発生器と、 前記組（ｎ）の疑似ランダム二進数発生器にＫ_１〜ｎに
   等しい初期値をロードする手段と、 キーストリームシリアル出力を得るために、ミクスチャ
   ー発生器をクロックする手段と、 この出力と受信された暗号文Ｃとを組み合わせて平文メ
   ッセージＰを発生する手段とを備える、暗号化システム
   のための前記暗号解読装置。