JP3371981B2

JP3371981B2 - ブロック暗号作成装置

Info

Publication number: JP3371981B2
Application number: JP13187793A
Authority: JP
Inventors: 充子宮地; 誠館林
Original assignee: Panasonic Corp; Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Corp; Panasonic Holdings Corp
Priority date: 1993-06-02
Filing date: 1993-06-02
Publication date: 2003-01-27
Anticipated expiration: 2018-01-27
Also published as: JPH06342258A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は秘密通信技術に関し、特
にディジタル化された情報用のブロック暗号作成及び復
号装置に関する。

【０００２】

【従来の技術】

（ディジタル通信における通信情報の暗号化と復号につ
いて）近年、ディジタル計算機及びその理論や集積回路
等の発達に伴い、Ｓ／Ｎ比が高くとれる上に送信量が増
大するためディジタル通信技術が急速に普及してきてい
る。さて、このディジタル通信においては、通例一般公
衆に開放されたディジタル通信回線網が使用される。こ
のため、通信に際して、第三者による盗聴、盗聴後の改
変や詐称あるいは発信者による第三者への誤送信を完全
に防止することは困難である。そこで、発信者は通信情
報を所定の手順で秘密化（特許請求の範囲にいう各種の
関数による演算を施す。）した上で送信し、受信者はい
わば秘密化と逆の手順で、受信した情報を複号（解読）
した上で本来の情報を入手することが広く採用されてい
る。そして、この際の秘密化や複号にはディジタル通信
技術の特性を失わず、かつ秘密性、実行速度、経済性に
優れる以下のような手段が採用されている。送信すべ
き０と１から構成される情報を１定の個数づつ一まとめ
にした上で２進数で表現された数値（特許請求の範囲に
いう入力値Ａに相応する。）とみなし、その上で秘密鍵
や共有鍵といわれる送信者、受信者のみが知ることがで
きる一定の数値（特許請求の範囲にいう鍵Ｋに相応す
る。）と足し算（非線形演算）や引き算をしたり排他的
論理和をとったりする（線形演算）等の所定の演算をな
した上で送信し、受信者は逆の演算をほどこすことによ
り数値化された本来の情報を得る。送信すべき０と１
から構成されるビット情報を２進数で表現された秘密鍵
や共有鍵の各桁の値（０又は１）に応じての一定の手順
で入れ換え（置換演算、行列演算）た上で送信し、受信
者は受信した情報を逆の手順で入れ換えて本来の送信情
報を得る等種々のものが採用されている。そして、これ
らの場合には、単に秘密性が高いだけでなく鍵の極く一
部でも不明であるならば全情報が復号されないこと、具
体的には意味のある情報（文章や映像）とならないこ
と、という要請も充たすものとされている。次にまた、
これらの秘密通信技術は、人工衛星を利用した有料放送
等にも流用されだしている。この場合には、受信料を支
払った受信者にのみいわば秘密化と逆の手順をなす回路
を組み込んだ鍵が渡され、この鍵がテレビジョン受信機
に組み込まれることとなる。そして、放送者の放送内容
の秘密化と鍵は一定期間毎に変換され、これにより一定
期間の通信料を払い込んだ受信者のみがその期間だけ有
料放送を聴取しえることとなる。更にまた、送信者の認
署（署名通信）にもこの技術は応用されている。但し、
これらの具体的、一般的な内容については、例えば池野
信一、小山謙二共著電子通信学会刊（１９８６年）
「現代暗号理論」等に記載され、また関連の技術や秘密
化や複号の具体的手法については本願出願人が別途例え
ば、特願平３−３１８８１６号、特願平３−１９９１４
８号、特願平４−１４５９６４号、特願平４−２６３９
１４号、特願平４−１６８００７号等にて公開している
技術であるため、それらの説明は省略する。

【０００３】次に、本発明はこれらのディジタル通信に
おける秘密化及び複号に関する技術のうち、ブロック暗
号といわれているものに関するため、このブロック暗号
について説明する。なお、このブロック暗号について
も、一般的な理論や実際の回路構成（特許請求の範囲に
いう各種の関数の内容に相応する。）は、例えば前掲の
「現代暗号理論」の第３章及び第４章を初めとして多数
の文献（前掲「現代暗号理論」の２７０頁から２７２頁
にそのリストが掲載されている）に記載されており、ま
た米国等ではＤＥＳという名称で銀行間通信等に実際に
採用されている技術であるため、本明細書での説明は必
要最小限度にとどめる。

【０００４】さて、上述のごとくデジタル化された情報
を送信するとき、送信側は第三者が容易にその情報を得
たり、得た上でこれを悪意に改ざんして送信したりでき
ないように、情報を撹拌することにより秘密化して送信
し、受信側ではこの撹拌された情報を元に戻すことが行
なわれる。そして、この際用いられるのが、秘密鍵通信
方式の一つであるブロック暗号といわれているものであ
る。（暗号化及び復号の基本例）以下、このブロック暗号装
置の基本について説明する。

【０００５】図３は、この基本的な構成を示すものであ
る。本図において、（ａ）は４ビットの巡回器である。
本巡回器に、４ビット毎に区切られた入力信号を流すこ
とにより、４ビットを単位として１ビットづつ右に巡回
した出力信号が得られる。ちなみに（ａ）では、入力信
号Ａ（１０１１）が出力信号Ｂ（１１０１）になってい
る。そして複号は、出力信号を逆にこの巡回器の出力側
から入力した上で入力側から取り出すことによりなされ
る。（このため、本巡回器による信号の秘密化及び複号
は各々、１ビットづつ右にずらす演算を施すこと、その
逆の演算を施すことによりなされ、そして巡回器そのも
のが置換という若しくは置換をなす一種の関数とみなせ
る。）ただし、単に巡回器を通したままであると、この
信号を盗聴した第三者により容易に解読（複号）されて
しまうため、これに数値情報たる鍵との演算をなして秘
密化した上で送信がなされる。図３の（ｂ）に、この様
子を示す。本（ｂ）において、Ｋは鍵といわれる４ビッ
トの数値であり、この各ビットと４ビットに区切られた
入力信号の対応するビットとが桁上げなしの足し算とい
う演算をなされた上で、１ビットづつ右に巡回されるこ
とにより秘密化されている。すなわち、（ｂ）では入力
信号Ａ（１０１１）が鍵Ｋ（１１０１）の各ビットと桁
上げなしの足し算をされた上で（１＋１、１＋０、０＋
１、１＋１）＝（０、１、１、０）となり、更に１ビッ
トづつ右に巡回され出力信号Ｂ（０、０、１、１）とな
っている。この場合の複合は、出力信号ＢからＫに対応
するビット毎に桁の繰り下げなしに引き算をなした上
で、先の（ａ）と同じく巡回器を逆に通すことによりな
される。ここでビット情報の攪乱に巡回器が用いられる
のは、秘密化と復号を同じハードで高速でなしえる上に
両方の処理速度がほぼ同じ、しかも構造、原理が簡単な
ためである。また、桁の上げ下げなしの足し算、引き算
をするのは、そのためのビットを省略したことによる。

【０００６】以上は、あくまでも暗号化の基本的操作及
びその基本的操作の中心たる演算、この場合には置換、
桁上げなしの足し算及び桁繰り下げなしの引き算の回路
構成、あるいは言葉を換えていうならば関数の具体的内
容を説明したものであり、実際にはこのような単純な操
作のみではやはり容易に解読されてしまう。このため、
秘密鍵や入力信号の一区切りの単位たるビット数を６４
ビット、１２８ビット等もっと大きくし、秘密鍵と入力
信号との演算内容（特許請求の範囲に記載した分割の仕
方をも含めての各関数の内容）はずっと複雑なもの、例
えば秘密鍵を複雑に分割した上で幾度か使用するとされ
るだけでなく、更にこの送信すべきディジタル情報を一
つの若しくは同一のデータ撹乱部に何回か繰り返し通
し、複号は逆方向に同じ回数繰り返し通すという操作が
なされる。なお、ここにデータ撹乱部とは、先の巡回器
や鍵を回路的に複雑に組み合わせたものであり、場合に
よっては大型計算機で直接数学的な演算をなすようにし
てもよいものである。さて、この繰り返し回数は多いほ
ど安全性は向上するが、その一方何回も繰り返すため暗
号化、復号の速度が遅くなる。更にまた、桁を増したり
演算内容を高度、複雑なものとしたりするのも通信効
率、通信速度の面から一定の限度がある。このため、高
速安全なブロック暗号とするには、これらの要素を考慮
しつつデータ撹乱部を如何に強固につくるか、あるいは
秘密性を向上させたものとするかが要点となる。

【０００７】次に、従来このブロック暗号で秘密通信用
として実際に我が国で考えられていた技術を説明する。（本願発明が関係するブロック暗号についての従来例）
従来例として有名なものでは、さる国内大手通信網メー
カーにより開発されたデータ高速秘密化用算法（Fast D
ate Encipherment Algorithm、以下、略称のＦＥＡＬを
使用する。）のブロック暗号がある。図２は、このデー
タ撹乱部を示す。

【０００８】これは、６４ビット入出力のブロック暗号
で、入力６４ビットの右半分の３２ビットをデータ撹乱
部に入力して暗号化した結果と入力の左半分とのビット
毎の排他的論理和を出力の左半分とし、入力の左半分を
出力の右半分とするという構成で、この操作を何回か繰
り返して用いる。なお、ここに入力ビットを左右均等に
分けるのは、暗号化と復号にハード的に同一の構成を採
用しえるだけでなく、ハードの手配の面からも暗号化と
復号に要する時間がほぼ同じとなる面からも好ましいか
らである。

【０００９】以下、このデータ撹乱部について説明す
る。［１．鍵と入力の分割］１６ビットの鍵をＫ、３２ビッ
トの入力をＡとする。Ｋを８ビットづつの２ブロックＫ
₁、Ｋ₂に分け、Ａを８ビットづつの４ブロックＡ₁、
Ａ₂、Ａ₃、Ａ ₄に分ける。［２．鍵と入力の関与］Ｋ₁とＡ₂のビット毎の排他的
論理和をとったものをＢ₁とし、Ｋ₂とＡ₃のビット毎
の排他的論理和をとったものをＢ₂とする。［３．入力の撹乱部］Ｂ₁とＡ₁とのビット毎の排他的
論理和を取ったものをＤ₁とし、Ｂ₂とＡ₄とのビット
毎の排他的論理和をとったものをＤ₂とし、３２ビット
の出力Ｃを４ブロックＣ₁、Ｃ₂、Ｃ₃、Ｃ₄に分け
て、Ｄ₁とＤ₂と１を２５６（＝２⁸）を法として（ｍ
ｏｄ２５６）加えたものを出力Ｃ₃とし、Ｃ₃とＤ₁と
を２５６を法として加えたものを出力Ｃ₂とし、Ｃ₂と
Ａ₁と１を２５６を法として加えたものを出力Ｃ₁と
し、Ｃ₃とＡ₄を２５６を法として加えたものを出力Ｃ
₄とする。

【００１０】以上の操作により、比較的簡単な構成によ
り、すなわち比較的少ないビット数、排他的論理和とい
う比較的簡単な論理及び回路構成で済む演算若しくは演
算器により、６４ビットを単位とする情報の送受信に高
度の秘密性が得られる。なお、ここに２５６（＝６４×
２²)を法とする演算としたのは、ビット攪乱が生じ易い
からである。

【００１１】

【発明が解決しようとする課題】しかしながら、このブ
ロック暗号は高速ブロック暗号として４段の繰り返しで
充分な安全性が保たれる、すなわち解読困難として開発
されたが、近年提出された差分攻撃といわれる解読の手
法により、安全性を保つには３２段以上の繰り返しが必
要となった。差分攻撃については、イ．ビハ、エイ．シ
ャミル共著 “ＤＥＳ類似の秘密通信における秘密の差
分的解析”９０年の秘密通信研究会議における進歩、計
算機科学における講議冊子５３７（１９９０年）２〜２
１頁（以上は意訳）｛E. Biham and A. Shamir, “Diff
erential Cryptanalysis of DES-likeCryptosysytems
”, Advances in Cryptology - Proceedings of CRYPT
O'90, Lecture Notes in Computer Science, 537(199
0), p2-21｝に詳しい。差分攻撃は（繰り返し段数−
２）段目の出力差分（入力信号と出力信号との一種の相
関）がわかることを用いる攻撃であるため、これに強く
なるには（解読され難くするには）、少なくとも（繰り
返し段数−２）段目で実行ビット数の飽和及びコンプリ
ート性を満たす必要がある。ところで、このためには、
差分攻撃は最終の３段がないものとみなされるため、ｎ
−３段でも安全、ひいては充分に実行ビット数が飽和し
かつコンプリート性が充たされなければならない。何と
なれば、実行ビットの数の飽和とコンプリート性を満た
す場合には、何等かの手段により入力信号と出力信号双
方の若しくは撹拌部をブラックボックスとした形でのブ
ロック暗号装置を入手した第三者が、この内部の構造
（ブロック分割、ビットの巡回、鍵の具体的な様子、内
容、値）を入力信号と出力信号の差分の関係により知ろ
うとしても、第１に関係するビットの桁数が増大するこ
と、第２に差分があらわれ難くなることのためそれが困
難となるからである。しかしながら、ＦＥＡＬの場合、
実行ビット数が飽和しかつコンプリート性を満たすため
には繰り返し回数を増やす必要があり、ひいては実行
（秘密化、復号）速度の低下をもたらす。その一方、４
段のままでは最終の３段をのぞいた１段のみではこの要
請を充たせないため差分攻撃により解読される危険性が
ある。

【００１２】なお、実行ビット数の飽和及びコンプリー
ト性とは、以下のことを言う。実行ビットの数飽和出力平文の差分に影響を与える鍵のビット数を実行ビッ
ト数という。出力の各ビットの実行ビット数が鍵のビッ
ト数に一致するとき実行ビット数は飽和しているとい
う。（この場合、出力平文の差分に影響を与えるのは鍵
の全ビットとなるため、鍵を平文の秘密化に最も有効に
利用しえ、また出力平文に影響する鍵の桁数が多いこと
となる。）コンプリート性入力の全ビットが出力の各ビット生成に関与していると
き、コンプリート性をもつという。（この場合、出力平
文と入力との関係に関連するビット数が増大し、両者の
関係をもとめるのが困難となる。）以上説明してきたように、従来考えられてきたブロック
暗号では差分攻撃を受け易いため、デジタル化された情
報を第三者が容易にその情報を得たり改ざんしたりする
ことができないようにするためには、繰り返し回数を多
くする必要がある。ひいては、公開通信網を利用しての
高速通信に際しての秘密化と複号が困難である。具体的
には、ディジタル公開通信網を使用しての通信の安全性
が損なわれ、また料金を納付した者のみへ鍵を組み込ん
だ復号装置を貸与しての有料秘密放送等は、事業そのも
のが成り立たなくなるおそれさえ生じる。

【００１３】本発明は、以上の問題点に鑑み安全、高速
なブロック暗号を提供することを目的としてなされたも
のである。

【００１４】

【課題を解決するための手段】上記目的を達成するた
め、請求項１の発明においては、外部入力をｎビット毎
に区切って入力値Ａとする信号入力部と、前記信号入力
部により得られた各入力値Ａを最上桁から順に各ｌ₁ビ
ット、ｌ₂ビット、…、ｌ_sビット（ここに、ｌ ₁＋ｌ
₂＋…＋ｌ_s＝ｎ）のｓ個のブロックＡ₁、Ａ₂、…、
Ａ_sに分割する入力値分割部と、あらかじめ定められた
値であるｎビットの鍵Ｋを最上桁から順に各ｌ₁ビッ
ト、ｌ₂ビット、…、ｌ_sビットのｓ個のブロック
Ｋ₁、Ｋ₂、…、Ｋ_sに分割する鍵分割部と、前記入力
値分割部からの出力たる各Ａ_i（ここに、ｉ＝１，…，
ｓ）をφ_i（Ａ_i）に移すｓ個のｌ_iビットからｌ_iビ
ットへの関数φ_iを有するφ関数部と、第一中間値Ｂと
してその各構成要素Ｂ_i（ここに、Ｂ₁＋…＋Ｂ_s＝
Ｂ）をＢ_i＝Φ_i（φ_i（Ａ_i）、Ｋ_i）の演算により
もとめるｓ個のｌ_i×ｌ_iビットからｌ_iビットへの関
数Φ_iを有するΦ関数部と、あらかじめ定められた値で
あるｎビットの鍵Ｋをｇ（Ｋ）に移すｎビットからｎビ
ットへの関数ｇを有するｇ関数部と、第一中間値Ｂを各
ｍ₁ビット、ｍ₂ビット…、ｍ_tビット（ここに、ｍ₁
＋ｍ₂…＋ｍ_t＝ｎ、かつｔはｓとは独立に設定され
る。）のｔ個のブロックＢ₁、Ｂ₂、…、Ｂ_tに分割す
る第一中間値分割部と、前記ｇ関数部の出力結果ｇ
（Ｋ）を各ｍ₁ビット、ｍ₂ビット、…、ｍ_tビットの
ｔ個のブロックｇ（Ｋ）₁、ｇ（Ｋ）₂、…、ｇ（Ｋ）
_tに分割するｇ（Ｋ）分割部と、ｔ個のｎビットからｎ
ビットへの関数ｆ_i（ｉ＝１，…，ｔ）を有し、ｆ
_i（ｇ（Ｋ））と第一中間値Ｂの各Ｂ_iとのビット毎の
論理積を求め、その結果の全ビットの排他的論理和を取
った値ｚ_iを求めるｚ演算部と、第二中間値Ｃとして、
その各構成要素Ｃ_i（ｉ＝１，…，ｔ）を、前記ｚ_iと
前記ｇ（Ｋ）_iの反転との各ビット毎の論理積を求めこ
れらと前記Ｂ_iとのビット毎の排他的論理和を取ったも
のをＣ_iとすることによりもとめるＣ計算部と、第三中
間値ＤをＤ＝φ（Ｃ）の演算によりもとめるｌビットか
らｌビットへの関数φを有するＤ計算部と、あらかじめ
定められた値であるｎビットの鍵Ｋをｈ（Ｋ）（ここに
ｈ（Ｋ）＝ｇ（Ｋ））に移すｎビットからｎビットへの
関数ｈを有するｈ関数部と、第三中間値Ｄを各ｌ₁ビッ
ト、ｌ₂ビット、…、ｌ_sビットのｓ個のブロック
Ｄ₁、Ｄ₂、…、Ｄ_s（ここに、Ｄ₁＋…＋Ｄ_s＝Ｄ）
に分割する第三中間値分割部と、前記ｈ関数部の出力結
果ｈ（Ｋ）を各ｌ₁ビット、ｌ₂ビット、…、ｌ_sビッ
トのｓ個のブロックｈ（Ｋ）₁、ｈ（Ｋ）₂…、ｈ
（Ｋ）_s（ここに、ｈ（Ｋ）₁＋…＋ｈ（Ｋ）_s＝ｈ
（Ｋ））に分割するｈ（Ｋ）分割部と、第四中間値Ｅと
して、その各構成要素Ｅ_i（ここに、Ｅ₁＋…＋Ｅ_s＝
Ｅ）をＥ_i＝Φ_i（ｈ（Ｋ）_i、Ｄ_i）の演算によりも
とめるｌ_i×ｌ_iビットからｌ_iビットへの関数Φ_iを
有するＥ計算部と、ｓ個のｎビットからｎビットへの関
数ｆ _i（ｉ＝１，…，ｓ）を有し、各ｆ_i（Ｅ_i）を出
力信号として出力する暗号出力部とを有することを特徴
とするブロック暗号装置としている。

【００１５】請求項２の発明においては、前記Φ関数部
及び前記Ｅ計算部におけるｌ_i×ｌ _iビットからｌ_iビ
ットへの関数Φ_i，…，Φ_sは、Φ_iがｌ_iビットの入
力に関する値Ａ_i＝［ａ₀, …，ａ_li-1］とＫ_i＝［ｋ
₀,…, ｋ_li-1］を最上位ビットの繰り上がりは考えない
で加えた値を出力する関数であることを特徴とする請求
項１記載のブロック暗号作成装置としている。

【００１６】請求項３の発明においては、前記φ関数部
におけるｌ_iビットからｌ_iビットへの関数φ_i，…，
φ_sは、φ_iがｌ_iビットの入力に関する値Ａ_i＝
［a₀, …,a_li-1］をｉビット左若しくは右巡回シフトさ
せた値を出力する関数、 φ_i（Ａ）＝［ａ_i，…，ａ_i-1］であることを特徴とする請求項１記載のブロック暗号作
成装置としている。

【００１７】請求項４の発明においては、前記φ関数部
におけるｌ_iビットからｌ_iビットへの関数φ₁，…，
φ_sは、ｌ_iビットの前記鍵Ｋ_i＝［ｋ₀,…, ｋ_li-1］
に依存して求められることを特徴とする請求項１記載の
ブロック暗号作成装置としている。請求項５の発明にお
いては、前記ｚ演算部におけるｎビットからｎビットへ
の関数ｆ₁，…，ｆ_tは、ｆ_iがｎビットの入力に関す
る値Ａ＝［ａ₀，…，ａ_n- ₁］をｉビット前記各関数φ
_iと同じ向きで左若しくは右巡回シフトさせた値を出力
する関数、ｆ_i（Ａ）＝［ａ_i，…，ａ_i-1］であることを特徴とする請求項１記載のブロック暗号作
成装置としている請求項６の発明においては、前記ｚ演
算部におけるｎビットからｎビットへの関数ｆ₁，…，
ｆ_tは、ｎビットの入力に関する値Ａ＝［ａ₀，…，ａ
_n-1］に依存して求められることを特徴とする請求項１
記載のブロック暗号作成装置としている。

【００１８】請求項７の発明においては、前記ｇ関数部
におけるｎビットからｎビットへの関数ｇは、ｇがｎビ
ットの入力に関する値Ａ＝［ａ₀，…，ａ_n-1］をｉビ
ット前記φ_iと逆向きで右若しくは左巡回シフトさせた
値を出力する関数、ｇ（Ａ）＝［ａ_n-i，…，ａ_n-i-1］であることを特徴とする請求項１記載のブロック暗号作
成装置としている。

【００１９】請求項８の発明においては、前記ｈ関数部
におけるｎビットからｎビットへの関数ｈは、ｈがｎビ
ットの入力に関する値Ａ＝［ａ₀，…，ａ_n-1］を前記
φ_iと逆向きでｉビット右若しくは左巡回シフトさせた
値を出力する関数、ｈ（Ａ）＝［ａ_n-i，…，ａ_n-i-1］であることを特徴とする請求項１記載のブロック暗号作
成装置としている。

【００２０】請求項９の発明においては、前記Ｄ計算部
におけるｎビットからｎビットへの関数ψは、ψがｎビ
ットの入力に関する値Ｃ＝［ｃ₀，…，ｃ_n-1］を置換
させた後前記φ_iと同じ向きにｉビット左若しくは右巡
回シフトさせた値とＣとをビット毎の排他的論理和をと
った値を出力する関数であることを特徴とする請求項１
記載のブロック暗号作成装置としている。

【００２１】

【作用】上記構成により、請求項１の発明においては、
信号入力部は、外部からブロック信号装置へ入力されて
いる信号をｎビットを一区切りとして区切った上で入力
値Ａとする。入力値分割部は、入力値Ａを最上桁から順
に各ｌ₁ビット、ｌ₂ビット…、l _sビットのｓ個のブ
ロックＡ₁、Ａ₂、…Ａ_sに分割する（ここに、ｌ₁＋
ｌ₂＋…＋ｌ_s＝ｎである）。

【００２２】鍵分割部は、ｎビットの鍵Ｋを最上桁から
順に各ｌ₁ビット、ｌ₂ビット、…、ｌ_sビットのｓ個
のブロックＫ₁、Ｋ₂、…、Ｋ_sに分割する。φ関数部
は、前記各Ａ_iをｌ_iビットからｌ_iビットへ移す関数
φ_iにより各ｌ_iビットからなるｓ個のブロックφ
_i（Ａ_i）に移す（ここに、ｉ＝１、２、…、ｓであ
る）。

【００２３】Φ関数部は、第一中間値Ｂの各構成要素た
るＢ_iを前記φ_i（Ａ_i）とＫ_iをｌ_i×ｌ_iビットか
らｌ_iビットへ移すｓ個の関数Φ_iを作用させることに
よりもとめる。ここに、Ｂ₁＋Ｂ₂＋…＋Ｂ_s＝Ｂとな
る。ｇ関数部は、前記ｎビットの鍵Ｋにｎビットからｎ
ビットへ移す関数ｇを作用させることにより、ｇ（Ｋ）
もとめる。

【００２４】第一中間値分割部は、前記第一中間値Ｂ
を、各ｍ₁ビット、ｍ₂ビット、…ｍ _tビットのｔ個の
ブロックＢ₁、Ｂ₂…、Ｂ_tに分割する。なお、ここに
ｔは前記ｓとは独立に任意に選定され、また、Ｂ₁＋…
＋Ｂ_s＝Ｂである。ｇ（Ｋ）分割部は、前記ｇ関数部の
出力ｇ（Ｋ）を各ｍ₁ビット、ｍ₂ビット…、ｍ_tビッ
トのｔ個のブロックｇ（Ｋ）₁、ｇ（Ｋ）₂、…、ｇ
（Ｋ）_tに分割する。

【００２５】ｚ演算部は、ｔ個のｎビットからｎビット
への関数ｆ_i（ここに、ｉ＝１、２、…、ｔ）を有し、
合計ｔ個のｆ_i（ｇ（Ｋ））をもとめた上でこれらと前
記第一中間値Ｂの各Ｂ_iとのビット毎の論理積を求め、
その結果の全ビットの排他的論理和を取った値ｚ_iを求
める。Ｃ計算部は、第二中間値Ｃの各構成要素たるＣ_i
を前記ｚ_iと前記ｇ（Ｋ）_iの反転との各ビット毎の論
理積を求め、これらと前記第一中間値Ｂの各Ｂ_iとのビ
ット毎の排他的論理和を取ることによりもとめる。ここ
に、Ｃ₁＋Ｃ₂＋…＋Ｃ_t＝Ｃとなる。

【００２６】Ｄ計算部は、演算ψ（Ｃ）により第三中間
値Ｄをもとめる。ｈ関数部は、ｎビットからｎビットへ
の関数ｈを作用させることにより前記Ｋをｈ（Ｋ）に移
す。第三中間値分割部は、第三中間値Ｄを各ｌ₁ビッ
ト、ｌ₂ビット…ｌ_sビットのｓ個のブロックＤ₁、Ｄ
₂、…、Ｄ_sに分割する（ここに、Ｄ＝Ｄ₁＋Ｄ₂＋…
＋Ｄ_sである）。

【００２７】ｈ（Ｋ）分割部は、前記ｈ関数部の出力ｈ
（ｎ）を各ｌ₁ビット、ｌ₂ビット…、ｌ_sビットのｓ
個のブロックｈ（Ｋ）₁、ｈ（Ｋ）₂…、ｈ（Ｋ）_sに
分割する。Ｅ計算部は、第四中間値Ｅの各構成要素Ｅ_i
を前記ｈ（Ｋ）_iと元気Ｄ_iに前記関数Φ_iを作用させ
Ｅ_i＝Φ_i（ｈ（Ｋ）_i、Ｄ_i）の演算をなすことによ
り求める。

【００２８】ここに、ｉ＝１、２、…ｓ、Ｅ₁＋Ｅ₂＋
…＋Ｅ_s＝Ｅとなる。暗号出力部は、前記各Ｅ_iに前記
各関数ｆ_iを作用させて、ｆ_i（Ｅ_i）を出力信号とし
て出力する。請求項２の発明においては、前記ｌ_i×ｌ
_iビットからｌ_iビットへの関数Φ ₁，…，Φ_sについ
ての操作は、ｉを添え字として、Φ_iがｌ_iビットの入
力に関する値（ここにいう入力に関する値とは、入力値
Ａを分割、撹乱あるいは鍵との演算をなしているため厳
密には入力値そのものとはいいがたいからである。）Ａ
_i＝［a₀, …,a_li-1］とＫ_i＝［ｋ₀,…, ｋ_li-1］を最
上位ビットの繰り上がりは考えないで加えた値を出力す
る関数となる。その上で請求項１記載のブロック暗号作
成がなされる。

【００２９】請求項３の発明においては、前記ｌ_iビッ
トからｌ_iビットへの関数φ₁，…，φ_sは、φ_iがｌ
_iビット入力値Ａ_i＝［a₀, …,a_li-1］をｉビット左若
しくは右巡回シフトさせた値を出力する関数、 φ_i（Ａ）＝［ａ_i，…，ａ_i-1］となる。その上で請求項１記載のブロック暗号作成がな
される。

【００３０】請求項４に係るブロック暗号においては、
前記ｌ_iビットからｌ_iビットへの関数φ₁，…，φ_s
は、ｌ_iビットの前記鍵Ｋ_i＝［ｋ₀,…, ｋ_li-1］に依
存して（Ｋの値如何によって内容が変化して）求められ
る、その上で請求項１記載のブロック暗号作成がなされ
る。請求項５の発明においては、前記ｎビットからｎビ
ットへの関数ｆ₁，…，ｆ _tについての操作は、前記ｆ
_iがｎビットの入力に関する値Ａ＝［ａ₀，…，
ａ _n-1］をｉビット前記φ_iと同じ方向で左若しくは右
巡回シフトさせた値を出力する、ｆ_i（Ａ）＝［ａ_i，…，ａ_i-1］となる。その上で請求項１記載のブロック暗号作成がな
される。

【００３１】請求項６の発明においては、前記ｎビット
からｎビットへの関数ｆ₁，…，ｆ _tは、前記ｎビット
の入力に関する値Ａ＝［ａ₀，…，ａ_n-1］に依存して
求められる。この上で請求項１記載のブロック暗号作成
がなされる。請求項７の発明においては、前記ｎビット
からｎビットへの関数ｇは、ｇがｎビットの入力に関す
る値Ａ＝［ａ₀，…，ａ_n-1］をｉビット前記φ_iと逆
向きで右若しくは左巡回シフトさせた値を出力する関
数、ｇ（Ａ）＝［ａ_n-1，…，ａ_n-i-1］となる。その上で請求項１記載のブロック暗号作成がな
される。

【００３２】請求項８の発明においては、前記ｎビット
からｎビットへの関数ｈは、ｈがｎビットの入力に関す
る値Ａ＝［ａ₀，…，ａ_n-1］をｉビット前記φ_iと逆
向きで右若しくは左巡回シフトさせた値を出力する関
数、ｈ（Ａ）＝［ａ_n-i，…，ａ_n-i-1］となる。その上で請求項１記載のブロック暗号作成がな
される。

【００３３】請求項９の発明においては、前記ｎビット
からｎビットへの関数ψは、ψがｎビットの入力に関す
る値Ｃ＝［ｃ₀，…，ｃ_n-1］を置換させた後ｉビット
前記φ_iと同じ向きに左若しくは右巡回シフトさせた値
とＣとをビット毎の排他的論理和を取った値を出力する
関数となる。その上で請求項１記載のブロック暗号作成
がなされる。

【００３４】

【実施例】以下、本発明を実施例にもとづき説明する。
本発明の基本は請求項１の発明にあり、各請求項の発明
はその必要不可欠の事項（構成要素）を具体的な関数に
限定した上でその関数による技術的効果を得んとするも
のである。このため、実施例では各請求項の発明を一体
に組み込んだブロック暗号装置とする。

【００３５】図１は、本発明に係る６４ビット入出力の
ブロック暗号の実施例の基本構成図である。以下、本図
を参照しながら実施例の手順を説明する。本図において
１は、入力ビットの左３２ビットＬであり、２は右３２
ビットＲであり、３は３２ビットの鍵Ｋである。実際に
データ撹乱部に入力されるのは、入力の右３２ビットＲ
であり、以下、これをＡと表す。次に、データ撹乱の内
容を６つのステップにわけて説明する。［１．第一の中間値Ｂを求める。］３２ビットを８ビッ
ト毎の４個のブロックに分割し、１から８までの各分割
ｉに対して、前記８ビットに対応する鍵Ｋの第ｉブロッ
クをＫ_i、８ビットに対応する入力値Ａの第ｉブロック
をＡ_i、第一中間値Ｂの第ｉブロックをＢ_iとして、ま
ず、前記Ｋ_iの左２ビットの値だけ前記Ａ_iを左に巡回
した結果の対応するブロックと前記Ｋ_iとを２５６を法
として加えた値を第一の中間値Ｂ_iとする。なお、ここ
に法として２５６を採るのは、従来技術と同じ理由であ
る。［２．第二の中間値Ｃを求める］３２ビットをｋ₁＝３
０ビット，ｋ₂＝２ビットの２個のブロックに分割し、
ｇを右に１回巡回させる関数とし、ｊを非負整数（０で
もよい）とし、右にｊ回巡回させる関数をｇ^jで表し、
Ｋ’＝ｇ（Ｋ）とするとき、１から２までの各分割ｉに
対して、前記ｋ_iビットに対応する前記鍵Ｋ’の第ｉブ
ロックをＫ’_i、前記ｋ_iビットに対応する前記Ｂの第
ｉブロックをＢ_i、前記ｋ_iビットに対応する前記第二
中間値Ｃの第ｉブロックをＣ_iとして、前記鍵Ｋ’の前
記関数ｇ^i-1による出力値ｇⁱ( Ｋ’) と前記Ｂとのビ
ット毎の論理積を求め、その結果の全ビットの排他的論
理和を取った値ｚ_iを求め、前記ｚ_iと前記Ｋ’_iの反
転との各ビット毎の論理積を求め、これらと前記Ｂ_iと
のビット毎の排他的論理和を取ったものを第二の中間値
Ｃ_iとする。なお、ここでｇⁱ( Ｋ’）とＢとのビット
毎の演算を論理積とするのは行列演算を行うためであ
り、ｚ_iを求めるのに全ビットの排他的論理和をとって
いるのはビット攪拌をおこすためである。［３．第三の中間値Ｄを求める］前記Ｃの３２ビットを
８ビット毎の４個のブロックＣ₁、Ｃ₂、Ｃ₃、Ｃ₄に
分割し、各ブロックに対してブロック内のビット置換を
行う。なお、各ブロック内においてそのビット情報を右
から１ビット目、２ビット目と呼ぶことにするとその置
換の内容は以下のようになる。

【００３６】１ビット目→３ビット目２ビット目→７ビット目３ビット目→５ビット目４ビット目→１ビット目５ビット目→２ビット目６ビット目→６ビット目７ビット目→４ビット目８ビット目→８ビット目次に、各ブロックにおける上記置換の結果得られたビッ
ト情報をＣ’とし、これを４ビット毎の８つのブロック
ブロックＣ’₁，Ｃ’₂，Ｃ’₃，Ｃ’₄、Ｃ’ ₅，
Ｃ’₆，Ｃ’₇，Ｃ’₈に分割し、Ｃ’の８ビット毎の
４ブロックを図１のブロック置換に示すように並べ換え
たものをＣ”、Ｃ”＝Ｃ’４, Ｃ’１, Ｃ’８, Ｃ’５, Ｃ’２, Ｃ’
３, Ｃ’６, Ｃ’７とし（ただし、明細書では図１とは逆に、左から順に記
載している。）、このＣ”を左３回巡回したものと前記
Ｃ”を左７回巡回したものとの加法をとったものをＤ’
とする。更にこのＤ’の３２ビットを４ビット毎のブロ
ックＤ’₁，Ｄ’ ₂，Ｄ’₃，Ｄ’₄、Ｄ’₅，
Ｄ’₆，Ｄ’₇，Ｄ’₈に分割し、このブロック単位の
置換を次のように行った結果をＤとする（これを、図１
に示す。）。なお、ここにＤ₁，Ｄ₂，Ｄ₃，Ｄ₄、Ｄ
₅，Ｄ₆，Ｄ₇，Ｄ₈は、ＤをＤ’同様に４ビット毎の
ブロックに分割したものである。

【００３７】Ｄ１＝Ｄ’４Ｄ２＝Ｄ’１Ｄ３＝Ｄ’８Ｄ４＝Ｄ’５Ｄ５＝Ｄ’２Ｄ６＝Ｄ’３Ｄ７＝Ｄ’６Ｄ８＝Ｄ’７この結果を第三中間値Ｄとする。［５．第四の中間値Ｅを求める］前記Ｄの３２ビットを
８ビット毎の４ブロックＤ₁，Ｄ₂，Ｄ₃，Ｄ₄に分割
し、同様に前記鍵Ｋ、第４中間値Ｅも８ビット毎の４ブ
ロックＫ₁，Ｋ₂，Ｋ₃，Ｋ₄，Ｅ₁，Ｅ₂，Ｅ₃，Ｅ
₄に分割し、前記Ｋ₁を１を２５６を法として加えた結
果に変えたものをＫ”として同様に４分割し、各第ｉブ
ロックに対して、前記Ｋ”_iと前記Ｄ_iを２５６を法と
して加えた前記第５中間値をＥ_iとしする。［６．出力値を求める］前記Ｅの左１回巡回を出力とす
る。

【００３８】上記操作により求められた結果と入力の左
半分とのビット毎の排他的論理和を取ったものを１段の
ブロック暗号の出力の左半分とし、もとのＡをブロック
暗号の出力の右半分とする。この操作を８回繰り返す。
このとき、実行ビット数は及びコンプリート性は２段で
飽和し、この結果ブロック暗号の強力な解法である差分
攻撃に対して８段で強くなり、安全で高速なブロック暗
号を構成できることとなる。すなわち、最終の３段を除
外した５段で、実行ビット数及びコンプリート性は２回
以上飽和したこととなる。

【００３９】以上、本発明を実施例にもとづき説明して
きたが、本発明は何も上記実施例に限定されないのは勿
論である。すなわち、例えば、ブロック暗号の繰り返し回数は８回に限らず、それ以
上なら何回でもよい。これは、何等かの事情でディジタ
ル情報の一区切りや鍵の桁数が小さい場合及び通信情報
の秘密保持の重要性が高い場合に極めて有効である。ディジタル通信に限らず、ディジタル計算等ディジタ
ル的な信号の処理、演算は通例の２のべき乗を単位とし
てなされるため、本実施例でも入力信号、鍵、分割数等
を２のべき乗としているが、これらは何も２のべき乗に
限定されないのは勿論である。本実施例では、各演算、分割はいわば電気回路的にな
すものとしてあるが、これは大型計算機による演算によ
りなすものとしてもよい。この場合、特に各関数（φ、
ｆ等）が単なる巡回でなく複雑なものであるときに便利
であろう。製造の都合で、各構成要素が物理的に複数の物とされ
たり、複数の構成要素が物理的に一体のものとされても
よい。

【００４０】

【発明の効果】以上に説明したように、本発明はブロッ
ク暗号を安価、高い安全性、かつ高速で構成することが
可能となる。請求項２の発明においては、最上位ビット
の繰り上がりは考えていない足し算であるため、高速演
算が可能でありその上論理的、回路的に簡単かつハード
も増えないため、請求項１の発明の効果が増大する。

【００４１】特に請求項３、請求項５、請求項７、請求
項８及び請求項９の発明においては、攪拌に巡回シフト
を採用しているため、論理回路の構成が簡単、安価なも
のとなり、また請求項１の発明における暗号化と復号を
高速になしえる。請求項４及び請求項６の発明において
は、関数φは鍵Ｋに、関数ｆは入力値Ａに依存して求め
られることとなりるため、実行ビット数の飽和とコンプ
リート性を充たすのに少ない実行段数でよいこととな
り、請求項１の発明の効果が増大する。

【図面の簡単な説明】

【図１】本発明の一実施例のブロック暗号のアルゴリズ
ムの構成図である。

【図２】従来技術に係るブロック暗号のアルゴリズムの
構成図である。

【図３】ビット情報の巡回器による巡回及び鍵と巡回の
ための回路構成の概念図である。

【符号の説明】

１入力ビットの左３２ビット２入力ビットの右３２ビット３鍵

───────────────────────────────────────────────────── フロントページの続き (56)参考文献特開平６−120942（ＪＰ，Ａ) 森田光，青山政夫，宮口庄司，“秘密鍵ブロック暗号の安全性について”，電子情報通信学会技術研究報告（ＩＳＥＣ 93 23−31），日本，1993年８月30 日，Ｖｏｌ．93，Ｎｏ．208，ｐ．77− 82 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00

Claims

(57)【特許請求の範囲】

【請求項１】外部入力をｎビット毎に区切って入力値
Ａとする信号入力部と、前記信号入力部により得られた
各入力値Ａを最上桁から順に各ｌ₁ビット、ｌ ₂ビッ
ト、…、ｌ_sビット（ここに、ｌ₁＋ｌ₂＋…＋ｌ_s＝
ｎ）のｓ個のブロックＡ₁、Ａ₂、…、Ａ_sに分割する
入力値分割部と、あらかじめ定められた値であるｎビッ
トの鍵Ｋを最上桁から順に各ｌ₁ビット、ｌ₂ビット、
…、ｌ_sビットのｓ個のブロックＫ₁、Ｋ₂、…、Ｋ_s
に分割する鍵分割部と、前記入力値分割部からの出力た
る各Ａ_i（ここに、ｉ＝１，…，ｓ）をφ_i（Ａ _i）に
移すｓ個のｌ_iビットからｌ_iビットへの関数φ_iを有
するφ関数部と、第一中間値Ｂとしてその各構成要素Ｂ
_i（ここに、Ｂ₁＋…＋Ｂ_s＝Ｂ）をＢ_i＝Φ_i（φ_i
（Ａ_i）、Ｋ_i）の演算によりもとめるｓ個のｌ_i×ｌ
_iビットからｌ_iビットへの関数Φ_iを有するΦ関数部
と、あらかじめ定められた値であるｎビットの鍵Ｋをｇ
（Ｋ）に移すｎビットからｎビットへの関数ｇを有する
ｇ関数部と、第一中間値Ｂを各ｍ₁ビット、ｍ₂ビット
…、ｍ_tビット（ここに、ｍ₁＋ｍ₂…＋ｍ_t＝ｎ、か
つｔはｓとは独立に設定される。）のｔ個のブロックＢ
₁、Ｂ ₂、…、Ｂ_tに分割する第一中間値分割部と、前
記ｇ関数部の出力結果ｇ（Ｋ）を各ｍ₁ビット、ｍ₂ビ
ット、…、ｍ_tビットのｔ個のブロックｇ（Ｋ）₁、ｇ
（Ｋ）₂、…、ｇ（Ｋ）_tに分割するｇ（Ｋ）分割部
と、ｔ個のｎビットからｎビットへの関数ｆ_i（ｉ＝
１，…，ｔ）を有し、ｆ_i（ｇ（Ｋ））と第一中間値Ｂ
の各Ｂ_iとのビット毎の論理積を求め、その結果の全ビ
ットの排他的論理和を取った値ｚ_iを求めるｚ演算部
と、第二中間値Ｃとして、その各構成要素Ｃ_i（ｉ＝
１，…，ｔ）を、前記ｚ_iと前記ｇ（Ｋ）_iの反転との
各ビット毎の論理積を求めこれらと前記Ｂ_iとのビット
毎の排他的論理和を取ったものをＣ_iとすることにより
もとめるＣ計算部と、第三中間値ＤをＤ＝φ（Ｃ）の演
算によりもとめるｌビットからｌビットへの関数φを有
するＤ計算部と、あらかじめ定められた値であるｎビッ
トの鍵Ｋをｈ（Ｋ）（ここにｈ（Ｋ）＝ｇ（Ｋ））に移
すｎビットからｎビットへの関数ｈを有するｈ関数部
と、第三中間値Ｄを各ｌ₁ビット、ｌ₂ビット、…、ｌ
_sビットのｓ個のブロックＤ ₁、Ｄ₂、…、Ｄ_s（ここ
に、Ｄ₁＋…＋Ｄ_s＝Ｄ）に分割する第三中間値分割部
と、前記ｈ関数部の出力結果ｈ（Ｋ）を各ｌ₁ビット、
ｌ₂ビット、…、ｌ_sビットのｓ個のブロックｈ（Ｋ）
₁、ｈ（Ｋ）₂…、ｈ（Ｋ）_s（ここに、ｈ（Ｋ）₁＋
…＋ｈ（Ｋ）_s＝ｈ（Ｋ））に分割するｈ（Ｋ）分割部
と、第四中間値Ｅとして、その各構成要素Ｅ_i（ここ
に、Ｅ₁＋…＋Ｅ_s＝Ｅ）をＥ _i＝Φ_i（ｈ（Ｋ）_i、
Ｄ_i）の演算によりもとめるｌ_i×ｌ_iビットからｌ_i
ビットへの関数Φ_iを有するＥ計算部と、ｓ個のｎビッ
トからｎビットへの関数ｆ_i（ｉ＝１，…，ｓ）を有
し、各ｆ_i（Ｅ_i）を出力信号として出力する暗号出力
部とを有することを特徴とするブロック暗号装置。
【請求項２】前記Φ関数部及び前記Ｅ計算部における
ｌ_i×ｌ_iビットからｌ_iビットへの関数Φ_i，…，Φ
_sは、Φ_iがｌ_iビットの入力に関する値Ａ_i＝
［ａ₀, …，ａ_li-1］とＫ_i＝［ｋ₀,…, ｋ_li-1］を最
上位ビットの繰り上がりは考えないで加えた値を出力す
る関数であることを特徴とする請求項１記載のブロック
暗号作成装置。
【請求項３】前記φ関数部におけるｌ_iビットからｌ
_iビットへの関数φ_i，…，φ_sは、φ_iがｌ_iビット
の入力に関する値Ａ_i＝［a₀, …,a_li-1］をｉビット左
若しくは右巡回シフトさせた値を出力する関数、 φ_i（Ａ）＝［ａ_i，…，ａ_i-1］であることを特徴とする請求項１記載のブロック暗号作
成装置。
【請求項４】前記φ関数部におけるｌ_iビットからｌ
_iビットへの関数φ₁，…，φ_sは、ｌ_iビットの前記
鍵Ｋ_i＝［ｋ₀,…, ｋ_li-1］に依存して求められること
を特徴とする請求項１記載のブロック暗号作成装置。
【請求項５】前記ｚ演算部におけるｎビットからｎビ
ットへの関数ｆ₁，…，ｆ_tは、ｆ_iがｎビットの入力
に関する値Ａ＝［ａ₀，…，ａ_n-1］をｉビット前記各
関数φ_iと同じ向きで左若しくは右巡回シフトさせた値
を出力する関数、ｆ_i（Ａ）＝［ａ_i，…，ａ_i-1］であることを特徴とする請求項１記載のブロック暗号作
成装置。
【請求項６】前記ｚ演算部におけるｎビットからｎビ
ットへの関数ｆ₁，…，ｆ_tは、ｎビットの入力に関す
る値Ａ＝［ａ₀，…，ａ_n-1］に依存して求められるこ
とを特徴とする請求項１記載のブロック暗号作成装置。
【請求項７】前記ｇ関数部におけるｎビットからｎビ
ットへの関数ｇは、ｇがｎビットの入力に関する値Ａ＝
［ａ₀，…，ａ_n-1］をｉビット前記φ_iと逆向きで右
若しくは左巡回シフトさせた値を出力する関数、ｇ（Ａ）＝［ａ_n-i，…，ａ_n-i-1］であることを特徴とする請求項１記載のブロック暗号作
成装置。
【請求項８】前記ｈ関数部におけるｎビットからｎビッ
トへの関数ｈは、ｈがｎビットの入力に関する値Ａ＝
［ａ₀，…，ａ_n-1］を前記φ_iと逆向きでｉビット右
若しくは左巡回シフトさせた値を出力する関数、ｈ（Ａ）＝［ａ_n-i，…，ａ_n-i-1］であることを特徴とする請求項１記載のブロック暗号作
成装置。
【請求項９】前記Ｄ計算部におけるｎビットからｎビ
ットへの関数ψは、ψがｎビットの入力に関する値Ｃ＝
［ｃ₀，…，ｃ_n-1］を置換させた後前記φ _iと同じ向
きにｉビット左若しくは右巡回シフトさせた値とＣとを
ビット毎の排他的論理和をとった値を出力する関数であ
ることを特徴とする請求項１記載のブロック暗号作成装
置。