JP3435473B2 - 暗号化・復号化方法及び装置 - Google Patents
暗号化・復号化方法及び装置Info
- Publication number
- JP3435473B2 JP3435473B2 JP01574197A JP1574197A JP3435473B2 JP 3435473 B2 JP3435473 B2 JP 3435473B2 JP 01574197 A JP01574197 A JP 01574197A JP 1574197 A JP1574197 A JP 1574197A JP 3435473 B2 JP3435473 B2 JP 3435473B2
- Authority
- JP
- Japan
- Prior art keywords
- bit
- input
- bit string
- exclusive
- calculated
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Description
【０００１】
【発明の属する技術分野】本発明は、暗号化・復号化装
置に係り、特に、データを秘匿するための暗号化・復号
化装置に関する。
置に係り、特に、データを秘匿するための暗号化・復号
化装置に関する。
【０００２】
【従来の技術】データを秘匿するためには暗号化技術が
有効である。暗号化の方法は大きく分けて秘密鍵暗号と
公開鍵暗号がある。一般に公開鍵暗号技術の方が鍵配送
の面などで有利な点が多いが、速度の面で難点がある。
従って、現状ではそれぞれの暗号化技法のよい点を採り
入れ、組み合わせて使うことが多い。そこで、高速な秘
密鍵暗号の開発が望まれている。
有効である。暗号化の方法は大きく分けて秘密鍵暗号と
公開鍵暗号がある。一般に公開鍵暗号技術の方が鍵配送
の面などで有利な点が多いが、速度の面で難点がある。
従って、現状ではそれぞれの暗号化技法のよい点を採り
入れ、組み合わせて使うことが多い。そこで、高速な秘
密鍵暗号の開発が望まれている。
【０００３】高速かつ安全な秘密鍵暗号を構成するため
に、暗号化するデータを適当な長さのブロックに分割
し、そのブロック毎に暗号化する方法をブロック暗号と
呼ぶ。通常ブロック暗号は暗号学的にあまり強くない関
数を平文に複数回繰り返して適用することにより安全性
を高めている。この、あまり強くない関数をＦ関数と呼
ぶ。
に、暗号化するデータを適当な長さのブロックに分割
し、そのブロック毎に暗号化する方法をブロック暗号と
呼ぶ。通常ブロック暗号は暗号学的にあまり強くない関
数を平文に複数回繰り返して適用することにより安全性
を高めている。この、あまり強くない関数をＦ関数と呼
ぶ。
【０００４】従来、Ｆ関数を構成する際に、安全性の根
拠としては、暗号化したデータの各ビットの０，１の出
現確率が統計的に１／２となる程度のことしか考えられ
ておらず、ブロック暗号の理論的な安全性の定式化とし
て不十分であった。事実、上記の基準を満たすブロック
暗号に対する攻撃法として差分解読法が文献「E.Biham,
A.Shamir: "Differential Cryptanalysis of DES-like
Cryptosystems", Journal of Cryptology, Vol.4, No.
1, pp.3-72，1991」で、線形解読法が文献「M.Matsui:"
Linear Cryptanalysis Method for DES Cipher," Advan
ces in Cryptology-EUROCRYPT'93 (Lecture Notes in C
omputer Science 765), pp.386-397 Springer-Verlag,
1994」で提案され、多くのブロック暗号がこれらの解読
法により解読できることがわかり、安全性の基準の見直
しが必要となった。
拠としては、暗号化したデータの各ビットの０，１の出
現確率が統計的に１／２となる程度のことしか考えられ
ておらず、ブロック暗号の理論的な安全性の定式化とし
て不十分であった。事実、上記の基準を満たすブロック
暗号に対する攻撃法として差分解読法が文献「E.Biham,
A.Shamir: "Differential Cryptanalysis of DES-like
Cryptosystems", Journal of Cryptology, Vol.4, No.
1, pp.3-72，1991」で、線形解読法が文献「M.Matsui:"
Linear Cryptanalysis Method for DES Cipher," Advan
ces in Cryptology-EUROCRYPT'93 (Lecture Notes in C
omputer Science 765), pp.386-397 Springer-Verlag,
1994」で提案され、多くのブロック暗号がこれらの解読
法により解読できることがわかり、安全性の基準の見直
しが必要となった。
【０００５】差分解読法や線形解読法が提案されてから
ブロック暗号にはこれらの解読法に対して強いことが要
求されるようになった。そこで、これらの解読法に対し
て耐性があることを示す指標としてそれぞれ最大平均差
分確率や最大平均線形確率が文献「松井 充：『ブロッ
ク暗号の差分解読法と線形解読法に対する証明可能安全
性について』第１８回情報理論とその応用シンポジウム
予稿集（Ｃ−２−５）、ｐｐ．１７５−１７８,1995 」
（以下「ＳＩＴＡ９５−Ｃ−２−５」と略す）で、提案
された。
ブロック暗号にはこれらの解読法に対して強いことが要
求されるようになった。そこで、これらの解読法に対し
て耐性があることを示す指標としてそれぞれ最大平均差
分確率や最大平均線形確率が文献「松井 充：『ブロッ
ク暗号の差分解読法と線形解読法に対する証明可能安全
性について』第１８回情報理論とその応用シンポジウム
予稿集（Ｃ−２−５）、ｐｐ．１７５−１７８,1995 」
（以下「ＳＩＴＡ９５−Ｃ−２−５」と略す）で、提案
された。
【０００６】これらの指標は小さいほどそれぞれの解読
法に対する耐性があることを示すが、一般のブロック暗
号に対してこの指標を求めることは現在のところ有効な
算法が発見されておらず、困難である。本発明ではこれ
らの指標が十分に小さいことを理論的に保証できる暗号
化および復号化装置の構成法を与える。
法に対する耐性があることを示すが、一般のブロック暗
号に対してこの指標を求めることは現在のところ有効な
算法が発見されておらず、困難である。本発明ではこれ
らの指標が十分に小さいことを理論的に保証できる暗号
化および復号化装置の構成法を与える。
【０００７】ところで、最大平均差分確率および最大平
均線形確率の上限値が理論的に小さいことが保証される
暗号化装置の構成例はＳＩＴＡ９５−Ｃ−２−５で発表
されている。そこで示されている方法は、 １．従来から知られているFeistel 構造ではなく、独自
構造を採用している： ２．暗号化装置中の並列処理が可能である： ３．暗号化装置を実現する算法が再帰的に構成されてお
り、最終的に呼び出される装置を表参照で実現している
（このことは再帰の深さを深くすることにより記憶領域
の必要量が少ない暗号化装置を構成できることを意味す
る）： ４．最大平均差分確率および最大平均線形確率の上限値
が小さいことを保証できる： ことを特徴としている。
均線形確率の上限値が理論的に小さいことが保証される
暗号化装置の構成例はＳＩＴＡ９５−Ｃ−２−５で発表
されている。そこで示されている方法は、 １．従来から知られているFeistel 構造ではなく、独自
構造を採用している： ２．暗号化装置中の並列処理が可能である： ３．暗号化装置を実現する算法が再帰的に構成されてお
り、最終的に呼び出される装置を表参照で実現している
（このことは再帰の深さを深くすることにより記憶領域
の必要量が少ない暗号化装置を構成できることを意味す
る）： ４．最大平均差分確率および最大平均線形確率の上限値
が小さいことを保証できる： ことを特徴としている。
【０００８】
【発明が解決しようとする課題】ＳＩＴＡ−Ｃ−２−５
の方法では上記の特徴があるが、以下の問題点がある。 １．暗号化処理と復号化処理が大きく異なるので、復号
化装置を暗号化装置と別に構成する必要がある。
の方法では上記の特徴があるが、以下の問題点がある。 １．暗号化処理と復号化処理が大きく異なるので、復号
化装置を暗号化装置と別に構成する必要がある。
【０００９】２．復号化算法の性質上、復号化装置は暗
号化装置のように並列処理ができない。 ３．暗号化および復号化処理で再帰の深さを深くする
と、暗号化および復号化速度の低下を代償として、暗号
化および復号化装置で必要な記憶領域の大きさを削減す
ることができる。しかしながら、再帰の深さが異なる暗
号化装置で暗号化処理を行うと同一の平文、鍵の組から
同一の暗号文が生成されない現象が生ずる。つまり暗号
化算法そのものが変わってしまう。
号化装置のように並列処理ができない。 ３．暗号化および復号化処理で再帰の深さを深くする
と、暗号化および復号化速度の低下を代償として、暗号
化および復号化装置で必要な記憶領域の大きさを削減す
ることができる。しかしながら、再帰の深さが異なる暗
号化装置で暗号化処理を行うと同一の平文、鍵の組から
同一の暗号文が生成されない現象が生ずる。つまり暗号
化算法そのものが変わってしまう。
【００１０】このことは暗号文を交換する際には暗号化
装置と復号化装置で同じ再帰の入れ子数の装置を使う必
要があることを意味している。つまり利用可能な記憶領
域の最も少ない暗号化および復号化装置に暗号文を交換
する系全体で再帰の深さを合わせる必要があり、装置に
よっては最大限の性能が発揮できないことになる。
装置と復号化装置で同じ再帰の入れ子数の装置を使う必
要があることを意味している。つまり利用可能な記憶領
域の最も少ない暗号化および復号化装置に暗号文を交換
する系全体で再帰の深さを合わせる必要があり、装置に
よっては最大限の性能が発揮できないことになる。
【００１１】４．暗号化及び復号化装置で用いる算法の
再帰を深くすればするほど保証できる安全性は低下す
る。本発明は、上記の点に鑑みなされたもので、上記従
来の問題点を解決し、安全性が高く、より高速化が可能
な暗号化・復号化装置を提供することを目的とする。
再帰を深くすればするほど保証できる安全性は低下す
る。本発明は、上記の点に鑑みなされたもので、上記従
来の問題点を解決し、安全性が高く、より高速化が可能
な暗号化・復号化装置を提供することを目的とする。
【００１２】
【００１３】
【００１４】
【００１５】
【００１６】
【００１７】図２は、本発明の原理構成図である。本発
明は、秘密鍵を用いて、秘密保持されるべき平文から、
暗号文を作成するための暗号化装置と、該暗号化装置と
同じ構造を用いて、当該秘密鍵を用いて暗号文から平文
に復号化する、復号化装置とを組み合わせた、暗号化・
復号化装置であって、平文Ｐに対しては、拡大鍵生成装
置９０００により鍵Ｋから、拡大鍵Ｋｒ（１≦ｒ≦Ｎ）
を生成し、ビット列分割装置を用いて該平文Ｐのビット
列を上位Ｘ０，下位Ｘ１と半分に分け、２≦ｒ≦Ｎ＋１
に対して、有限体上の冪乗演算を実現する装置を含む装
置Ｆ６０００と、入力が２つあり、出力が１つで該入力
の片方の値を固定した時に置換になるような写像を実現
する装置Ｇ５０００とを有し、 Ｘｒ＝Ｇ（Ｘｒ−２，Ｆ（Ｘｒ−１，Ｋｒ−１）） を求め、ビット列結合装置１０００を用いて、暗号文Ｃ
の上位半分をＸＮ＋１、下位半分をＸＮとし、該暗号文
Ｃに対しては、拡大鍵生成装置９０００により、鍵Ｋか
ら、拡大鍵Ｋｒ（１≦ｒ≦Ｎ）を生成し、ビット列分割
装置８０００を用いて該暗号文Ｃのビット列を上位Ｘ
Ｎ＋１，下位ＸＮと半分に分け、２≦ｒ≦Ｎ＋１に対し
て、ｙを定数としたときにＧ（ｘ，ｙ）のｘに関する逆
関数であるＧ −１ （但し、（∀ｘ，ｙ［Ｇ −１ （Ｇ
（ｘ，ｙ），ｙ）＝ｘ］）を満たす関数）を求める装置
を用いて、 Ｘｒ−２＝Ｇ−１（Ｘｒ，Ｆ（Ｘｒ−１，Ｋｒ−１）） を求め、ビット列結合装置１０００を用い、平文Ｐの上
位半分をＸ０、下位半分をＸ１とし、暗号化装置の装置
Ｆ６０００に含まれる有限体Ｆ’２ ｆ上の冪乗演算装置
６１００を、乗算装置が、 ｆ＝２ｇｈ（ｈは奇数） とおいた時、ｆビットの乗算を２ｇビット乗算装置を用
いて求め、２ｇビットの乗算を２ｇ−１ビット乗算装置
を用いて求め、ｉを１ずつ小さくするのに対応し、２ｉ
ビットの乗算を該２ｉ−１ビット乗算装置を用いて求
め、ｉが十分小さくなったら、記憶装置に記憶された値
を用いて直接
明は、秘密鍵を用いて、秘密保持されるべき平文から、
暗号文を作成するための暗号化装置と、該暗号化装置と
同じ構造を用いて、当該秘密鍵を用いて暗号文から平文
に復号化する、復号化装置とを組み合わせた、暗号化・
復号化装置であって、平文Ｐに対しては、拡大鍵生成装
置９０００により鍵Ｋから、拡大鍵Ｋｒ（１≦ｒ≦Ｎ）
を生成し、ビット列分割装置を用いて該平文Ｐのビット
列を上位Ｘ０，下位Ｘ１と半分に分け、２≦ｒ≦Ｎ＋１
に対して、有限体上の冪乗演算を実現する装置を含む装
置Ｆ６０００と、入力が２つあり、出力が１つで該入力
の片方の値を固定した時に置換になるような写像を実現
する装置Ｇ５０００とを有し、 Ｘｒ＝Ｇ（Ｘｒ−２，Ｆ（Ｘｒ−１，Ｋｒ−１）） を求め、ビット列結合装置１０００を用いて、暗号文Ｃ
の上位半分をＸＮ＋１、下位半分をＸＮとし、該暗号文
Ｃに対しては、拡大鍵生成装置９０００により、鍵Ｋか
ら、拡大鍵Ｋｒ（１≦ｒ≦Ｎ）を生成し、ビット列分割
装置８０００を用いて該暗号文Ｃのビット列を上位Ｘ
Ｎ＋１，下位ＸＮと半分に分け、２≦ｒ≦Ｎ＋１に対し
て、ｙを定数としたときにＧ（ｘ，ｙ）のｘに関する逆
関数であるＧ −１ （但し、（∀ｘ，ｙ［Ｇ −１ （Ｇ
（ｘ，ｙ），ｙ）＝ｘ］）を満たす関数）を求める装置
を用いて、 Ｘｒ−２＝Ｇ−１（Ｘｒ，Ｆ（Ｘｒ−１，Ｋｒ−１）） を求め、ビット列結合装置１０００を用い、平文Ｐの上
位半分をＸ０、下位半分をＸ１とし、暗号化装置の装置
Ｆ６０００に含まれる有限体Ｆ’２ ｆ上の冪乗演算装置
６１００を、乗算装置が、 ｆ＝２ｇｈ（ｈは奇数） とおいた時、ｆビットの乗算を２ｇビット乗算装置を用
いて求め、２ｇビットの乗算を２ｇ−１ビット乗算装置
を用いて求め、ｉを１ずつ小さくするのに対応し、２ｉ
ビットの乗算を該２ｉ−１ビット乗算装置を用いて求
め、ｉが十分小さくなったら、記憶装置に記憶された値
を用いて直接
【数２】
の値を求めることにより、装置Ｆの記憶領域の大きさに
応じて適切なｉの値を選んで、冪乗演算で実現できる。
応じて適切なｉの値を選んで、冪乗演算で実現できる。
【００１８】
【００１９】
【００２０】本発明は、有限体Ｆ’2 2n 上の乗算を装置
Ｆ’2 n 上の乗算装置で求める乗算装置が、該装置Ｆ’
2 n 上の既約多項式、 Ｘ2 ＋Ｘ＋ａ＝０ の根αを用いて、被乗数ｍ1 ，ｍ2 が、 ｍ1 ＝ｘ1 α＋ｙ1 （α＋１） ｍ2 ＝ｘ2 α＋ｙ2 （α＋１） （但し、ｘi , ｙi ∈Ｆ’2 n ，ｉ＝１，２） と表されるとき、ｍ1 ，ｍ2 の積が式、 ｍ0 ＝ｍ1 ｍ2 ＝（ｘ1 ｘ2 ＋ａ（ｘ1 ＋ｙ1 ）（ｘ2 ＋ｙ2 ））α ＋（ｙ1 ｙ2 ＋ａ（ｘ1 ＋ｙ1 ）（ｘ2 ＋ｙ2 ））（α＋１） となるので、ｍ1 をビット列分割装置を用いて、ｘ1 と
ｙ1 に分け、ｍ2 をビット列分割により、ｘ2 とｙ2 に
分け、ビット列複製装置を用いて入力ｘ1 を複製し、ｔ
1 とｔ2 とし、ビット列複製装置を用いて、入力ｙ1 を
複製し、ｔ3 とｔ4 とし、ビット列複製装置を用いて、
入力ｙ2 を複製し、ｔ5 とｔ6 とし、ビット列複製装置
を用いて、入力ｘ2 を複製し、ｔ7 とｔ8 とし、ｎビッ
ト排他的論理和装置を用いてｔ5 とｔ7 の排他的論理和
値ｔ9 を計算し、ｎビット排他的論理和装置を用いてｔ
2 とｔ3 の排他的論理和値ｔ10を計算し、ｎビット乗算
装置を用いて、ｔ9 とｔ10の積ｔ11を計算し、ｎビット
乗算装置を用いて、ａとｔ11の積ｔ12を計算し、ｎビッ
ト乗算装置を用いて、ｔ1 とｔ8 の積ｔ13を計算し、ｎ
ビット乗算装置を用いて、ｔ4 とｔ6 の積ｔ14を計算
し、ビット列複製装置を用いて、ｔ12をビット列複製
し、ｔ15とｔ16とし、ｎビット排他的論理和装置を用い
て、ｔ13とｔ15の排他的論理和値ｔ17を計算し、ｎビッ
ト排他的論理和装置を用いて、ｔ14とｔ16の排他的論理
和値ｔ18を計算し、ビット列結合装置を用いて、ｔ17と
ｔ18のビット列を結合して、乗算装置の出力ｍ0 とし、
有限体Ｆ’2 2n 上の１回の乗算を装置Ｆ’2 n 上の４回
の乗算を用いて実現するものとし、冪乗演算装置が３乗
演算を実行する時に、 有限体Ｆ’ 2 2n 上の演算の場合、
装置Ｆ’ 2 n 上の既約多項式 Ｘ 2 ＋Ｘ＋ａ＝０ の根αを用いて、式 （ｘα＋ｙ（α＋１）） 3 ＝（ｘ 3 ＋ａｙ（ｘ 2 ＋ｙ 2 ））α ＋（ｙ 3 ＋ａｘ（ｘ 2 ＋ｙ 2 ））（α＋１） が成立することを利用して、ビット列分割装置を用いて
入力をｘとｙに分割し、 ビット列複製装置を用いて、ｘ
を複製し、ｔ 1 とｔ 2 とし、 ビット列複製装置を用い
て、ｙを複製し、ｔ 3 とｔ 4 とし、 ビット列複製装置を
用いて、入力ｔ 2 を複製し、ｔ 5 とｔ 6 とし、 ビット列
複製装置を用いて、入力ｔ 4 を複製し、ｔ 7 とｔ 8 と
し、 ビット列複製装置を用いて、入力ｔ 1 を複製し、ｔ
9 とｔ 10 とし、 ビット列複製装置を用いて、入力ｔ 3 を
複製し、ｔ 11 とｔ 12 とし、 ｎビット乗算装置を用いて、
入力ｔ 5 とｔ 9 の積ｔ 13 を計算し、 ｎビット乗算装置を
用いて、入力ｔ 7 とｔ 11 の積ｔ 14 を計算し、 ビット列複
製装置を用いて、入力ｔ 13 を複製し、ｔ 15 とｔ 16 とし、
ビット列複製装置を用いて、入力ｔ 14 を複製し、ｔ 17 と
ｔ 18 とし、 ｎビット排他的論理和装置を用いて、入力ｔ
16 と入力ｔ 18 の排他的論理和値ｔ 19 を計算し、 ｎビット
乗算装置を用いて、入力ｔ 10 と入力ｔ 15 の積ｔ 20 を計算
し、 ｎビット乗算装置を用いて、入力ｔ 12 と入力ｔ 17 の
積ｔ 21 を計算し、 ｎビット乗算装置を用いて、ａと入力
ｔ 19 の積ｔ 22 を計算し、 ｎビット複製装置を用いて、入
力ｔ 22 を複製し、ｔ 23 とｔ 24 とし、 ｎビット乗算装置を
用いて、入力ｔ 6 と入力ｔ 23 の積ｔ 25 を計算し、 ｎビッ
ト乗算装置を用いて、入力ｔ 8 と入力ｔ 24 の積ｔ 26 を計
算し、 ｎビット排他的論理和装置を用いて、入力ｔ 20 と
入力ｔ 26 の排他的論理和値ｔ 27 を計算し、 ｎビット排他
的論理和装置を用いて、入力ｔ 21 と入力ｔ 25 の排他的論
理和値ｔ 28 を計算し、 ビット列結合装置を用いて、入力
ｔ 27 と入力ｔ 26 を結合し、 有限体Ｆ’ 2 2n 上の３乗演算
を装置Ｆ’ 2 n 上の７回の乗算を用いて実現する。
Ｆ’2 n 上の乗算装置で求める乗算装置が、該装置Ｆ’
2 n 上の既約多項式、 Ｘ2 ＋Ｘ＋ａ＝０ の根αを用いて、被乗数ｍ1 ，ｍ2 が、 ｍ1 ＝ｘ1 α＋ｙ1 （α＋１） ｍ2 ＝ｘ2 α＋ｙ2 （α＋１） （但し、ｘi , ｙi ∈Ｆ’2 n ，ｉ＝１，２） と表されるとき、ｍ1 ，ｍ2 の積が式、 ｍ0 ＝ｍ1 ｍ2 ＝（ｘ1 ｘ2 ＋ａ（ｘ1 ＋ｙ1 ）（ｘ2 ＋ｙ2 ））α ＋（ｙ1 ｙ2 ＋ａ（ｘ1 ＋ｙ1 ）（ｘ2 ＋ｙ2 ））（α＋１） となるので、ｍ1 をビット列分割装置を用いて、ｘ1 と
ｙ1 に分け、ｍ2 をビット列分割により、ｘ2 とｙ2 に
分け、ビット列複製装置を用いて入力ｘ1 を複製し、ｔ
1 とｔ2 とし、ビット列複製装置を用いて、入力ｙ1 を
複製し、ｔ3 とｔ4 とし、ビット列複製装置を用いて、
入力ｙ2 を複製し、ｔ5 とｔ6 とし、ビット列複製装置
を用いて、入力ｘ2 を複製し、ｔ7 とｔ8 とし、ｎビッ
ト排他的論理和装置を用いてｔ5 とｔ7 の排他的論理和
値ｔ9 を計算し、ｎビット排他的論理和装置を用いてｔ
2 とｔ3 の排他的論理和値ｔ10を計算し、ｎビット乗算
装置を用いて、ｔ9 とｔ10の積ｔ11を計算し、ｎビット
乗算装置を用いて、ａとｔ11の積ｔ12を計算し、ｎビッ
ト乗算装置を用いて、ｔ1 とｔ8 の積ｔ13を計算し、ｎ
ビット乗算装置を用いて、ｔ4 とｔ6 の積ｔ14を計算
し、ビット列複製装置を用いて、ｔ12をビット列複製
し、ｔ15とｔ16とし、ｎビット排他的論理和装置を用い
て、ｔ13とｔ15の排他的論理和値ｔ17を計算し、ｎビッ
ト排他的論理和装置を用いて、ｔ14とｔ16の排他的論理
和値ｔ18を計算し、ビット列結合装置を用いて、ｔ17と
ｔ18のビット列を結合して、乗算装置の出力ｍ0 とし、
有限体Ｆ’2 2n 上の１回の乗算を装置Ｆ’2 n 上の４回
の乗算を用いて実現するものとし、冪乗演算装置が３乗
演算を実行する時に、 有限体Ｆ’ 2 2n 上の演算の場合、
装置Ｆ’ 2 n 上の既約多項式 Ｘ 2 ＋Ｘ＋ａ＝０ の根αを用いて、式 （ｘα＋ｙ（α＋１）） 3 ＝（ｘ 3 ＋ａｙ（ｘ 2 ＋ｙ 2 ））α ＋（ｙ 3 ＋ａｘ（ｘ 2 ＋ｙ 2 ））（α＋１） が成立することを利用して、ビット列分割装置を用いて
入力をｘとｙに分割し、 ビット列複製装置を用いて、ｘ
を複製し、ｔ 1 とｔ 2 とし、 ビット列複製装置を用い
て、ｙを複製し、ｔ 3 とｔ 4 とし、 ビット列複製装置を
用いて、入力ｔ 2 を複製し、ｔ 5 とｔ 6 とし、 ビット列
複製装置を用いて、入力ｔ 4 を複製し、ｔ 7 とｔ 8 と
し、 ビット列複製装置を用いて、入力ｔ 1 を複製し、ｔ
9 とｔ 10 とし、 ビット列複製装置を用いて、入力ｔ 3 を
複製し、ｔ 11 とｔ 12 とし、 ｎビット乗算装置を用いて、
入力ｔ 5 とｔ 9 の積ｔ 13 を計算し、 ｎビット乗算装置を
用いて、入力ｔ 7 とｔ 11 の積ｔ 14 を計算し、 ビット列複
製装置を用いて、入力ｔ 13 を複製し、ｔ 15 とｔ 16 とし、
ビット列複製装置を用いて、入力ｔ 14 を複製し、ｔ 17 と
ｔ 18 とし、 ｎビット排他的論理和装置を用いて、入力ｔ
16 と入力ｔ 18 の排他的論理和値ｔ 19 を計算し、 ｎビット
乗算装置を用いて、入力ｔ 10 と入力ｔ 15 の積ｔ 20 を計算
し、 ｎビット乗算装置を用いて、入力ｔ 12 と入力ｔ 17 の
積ｔ 21 を計算し、 ｎビット乗算装置を用いて、ａと入力
ｔ 19 の積ｔ 22 を計算し、 ｎビット複製装置を用いて、入
力ｔ 22 を複製し、ｔ 23 とｔ 24 とし、 ｎビット乗算装置を
用いて、入力ｔ 6 と入力ｔ 23 の積ｔ 25 を計算し、 ｎビッ
ト乗算装置を用いて、入力ｔ 8 と入力ｔ 24 の積ｔ 26 を計
算し、 ｎビット排他的論理和装置を用いて、入力ｔ 20 と
入力ｔ 26 の排他的論理和値ｔ 27 を計算し、 ｎビット排他
的論理和装置を用いて、入力ｔ 21 と入力ｔ 25 の排他的論
理和値ｔ 28 を計算し、 ビット列結合装置を用いて、入力
ｔ 27 と入力ｔ 26 を結合し、 有限体Ｆ’ 2 2n 上の３乗演算
を装置Ｆ’ 2 n 上の７回の乗算を用いて実現する。
【００２１】
【００２２】上記のように、本発明は、従来から知られ
ている"Feistel" 構造の構成要素のＦ関数に新たに、有
限体上の冪乗演算を利用することにより、秘密鍵方式の
暗号化・復号化装置の安全性の向上を望むことができ
る。また、構成によっては、理論的に安全であるという
証明が可能である。
ている"Feistel" 構造の構成要素のＦ関数に新たに、有
限体上の冪乗演算を利用することにより、秘密鍵方式の
暗号化・復号化装置の安全性の向上を望むことができ
る。また、構成によっては、理論的に安全であるという
証明が可能である。
【００２３】また、本発明は、上記の発明において用い
られる有限体上の冪乗演算で部分体を用いて、小さな計
算単位に演算を帰着させることにより、小さな単位で演
算を実行することが可能であるため、並列計算可能とな
る。また、コストに応じた装置構成が可能である。
られる有限体上の冪乗演算で部分体を用いて、小さな計
算単位に演算を帰着させることにより、小さな単位で演
算を実行することが可能であるため、並列計算可能とな
る。また、コストに応じた装置構成が可能である。
【００２４】また、本発明は、上記の発明において用い
られる部分体を用いた有限体上の冪乗演算で３乗演算を
利用するときに、新たに開発した計算法を用いて計算量
を削減される。また、上記の発明は、上記の発明におい
て用いる有限体上の冪乗演算で３乗演算を利用するとき
に、新たに開発した計算法により計算量が削減される。
られる部分体を用いた有限体上の冪乗演算で３乗演算を
利用するときに、新たに開発した計算法を用いて計算量
を削減される。また、上記の発明は、上記の発明におい
て用いる有限体上の冪乗演算で３乗演算を利用するとき
に、新たに開発した計算法により計算量が削減される。
【００２５】
【発明の実施の形態】本発明は、以下に示すような特徴
を有する。 １．本発明は、暗号化装置に入力する鍵の順序を入れ換
えることで、暗号化装置で復号化できるFeistel 構造を
採用する。これにより、復号化装置を暗号化装置とは別
に構成する必要がなくなる。
を有する。 １．本発明は、暗号化装置に入力する鍵の順序を入れ換
えることで、暗号化装置で復号化できるFeistel 構造を
採用する。これにより、復号化装置を暗号化装置とは別
に構成する必要がなくなる。
【００２６】２．Ｆ関数に有限体上の冪乗演算を採用す
る。Ｆ関数に冪乗演算を利用すると、文献「K.Nyberg:
"Differentially uniform mappings for cryptograph
y," Advances in Cryptology-EUROCRYPT'93 (Lecture N
otes in Computer Science 765),pp.55-64,Springer-Ve
rlag,1994 」と、文献「K.Nyberg, L.R.Knudsen: "Prov
able Security Against a Differential Attack," Jour
nal of Cryptology, Vol.8,27-37, Springer-Internati
onal, 1995」により最大平均差分確率が小さいことを保
証できる。
る。Ｆ関数に冪乗演算を利用すると、文献「K.Nyberg:
"Differentially uniform mappings for cryptograph
y," Advances in Cryptology-EUROCRYPT'93 (Lecture N
otes in Computer Science 765),pp.55-64,Springer-Ve
rlag,1994 」と、文献「K.Nyberg, L.R.Knudsen: "Prov
able Security Against a Differential Attack," Jour
nal of Cryptology, Vol.8,27-37, Springer-Internati
onal, 1995」により最大平均差分確率が小さいことを保
証できる。
【００２７】また、文献「K.Nyberg:"On the construct
ion of highly nonlinear permutation,"Advances in C
ryptology-EUROCRYPT'92 (Lecture Notes in Computer
Science 658), pp.92-98, Springer-Verlag, 1994 」
と、文献「K.Nyberg: "LinearApproximation of Block
Ciphers," Advances in Cryptology-EUROCRYPT'94 (Lec
ture Notes in Computer Science 950), pp.439-444, S
pringer-Verlag, 1995」により、最大平均線形確率が小
さいことを保証できる。これらの文献で、冪乗演算の一
種である逆元演算を用いても最大平均差分確率および最
大平均線形確率を小さくできることが示されている。
ion of highly nonlinear permutation,"Advances in C
ryptology-EUROCRYPT'92 (Lecture Notes in Computer
Science 658), pp.92-98, Springer-Verlag, 1994 」
と、文献「K.Nyberg: "LinearApproximation of Block
Ciphers," Advances in Cryptology-EUROCRYPT'94 (Lec
ture Notes in Computer Science 950), pp.439-444, S
pringer-Verlag, 1995」により、最大平均線形確率が小
さいことを保証できる。これらの文献で、冪乗演算の一
種である逆元演算を用いても最大平均差分確率および最
大平均線形確率を小さくできることが示されている。
【００２８】３．本発明は、冪乗演算装置の構成要素と
なる乗算装置には部分体を用いた計算法（A.Pincin:"A
New Algorithm for Multiplication in Finite Fields,
"IEEE Transactions on computers, Vol.38, No.7, p
p.1045-1049, July, 1989、以下「ＩＥＥＥ−Ｐｉｎｃ
ｉｎ」と略す）の考え方をもとにした高速実装法を用い
る。逆元演算については逆元計算法（伊東利哉，辻井重
男：「正規規定を用いた有限体における高速逆元算出ア
ルゴリズム」電子情報通信学会論文誌A, Vol.J70-A, N
o.11, pp.1637-1635, 1987 年11月、以下「ＩＥＩＣＥ
−Ｉｔｏｈ」と略す）により、冪乗演算を利用すること
で高速な実装が可能であることが示されているのでその
高速実装法を用いる。
なる乗算装置には部分体を用いた計算法（A.Pincin:"A
New Algorithm for Multiplication in Finite Fields,
"IEEE Transactions on computers, Vol.38, No.7, p
p.1045-1049, July, 1989、以下「ＩＥＥＥ−Ｐｉｎｃ
ｉｎ」と略す）の考え方をもとにした高速実装法を用い
る。逆元演算については逆元計算法（伊東利哉，辻井重
男：「正規規定を用いた有限体における高速逆元算出ア
ルゴリズム」電子情報通信学会論文誌A, Vol.J70-A, N
o.11, pp.1637-1635, 1987 年11月、以下「ＩＥＩＣＥ
−Ｉｔｏｈ」と略す）により、冪乗演算を利用すること
で高速な実装が可能であることが示されているのでその
高速実装法を用いる。
【００２９】上記により、本発明において、
１．部分体を用いた乗算法は、再帰的に適用することが
できる。再帰の深さを深くすればするほど、暗号化およ
び復号化速度は遅くなるが、最終的な演算単位が小さく
できる。これにより、暗号化および復号化装置で必要な
記憶装置の容量を小さくすることが可能となる。ここ
で、このような再帰的な構成でも、暗号化算法そのもの
は変化しない。これにより、暗号化および復号化装置の
性能に応じた暗号化および復号化速度が期待できる。こ
れにより、ＳＩＴＡ９５−Ｃ−２−５の問題点を解決す
る。
できる。再帰の深さを深くすればするほど、暗号化およ
び復号化速度は遅くなるが、最終的な演算単位が小さく
できる。これにより、暗号化および復号化装置で必要な
記憶装置の容量を小さくすることが可能となる。ここ
で、このような再帰的な構成でも、暗号化算法そのもの
は変化しない。これにより、暗号化および復号化装置の
性能に応じた暗号化および復号化速度が期待できる。こ
れにより、ＳＩＴＡ９５−Ｃ−２−５の問題点を解決す
る。
【００３０】２．暗号化算法が変わらないので、最大平
均差分確率と最大平均線形確率とが小さいことが保証で
きるため、再帰構造を導入しても、保証されている安全
性についてその低下はない。
均差分確率と最大平均線形確率とが小さいことが保証で
きるため、再帰構造を導入しても、保証されている安全
性についてその低下はない。
【００３１】
【実施例】以下に、本発明の実施例を図面と共に説明す
る。最初に、以下の説明で用いる用語及び記号等の説明
を行う。暗号化算法Ｅを実現する暗号化装置Ｅの処理を Ｃ＝ＥN （Ｋ，Ｐ） と書く。ここでＰ，Ｃ，Ｋはそれぞれ平文、暗号文、鍵
を表すものとする。またＮは段数と呼ばれる媒介変数で
ある。
る。最初に、以下の説明で用いる用語及び記号等の説明
を行う。暗号化算法Ｅを実現する暗号化装置Ｅの処理を Ｃ＝ＥN （Ｋ，Ｐ） と書く。ここでＰ，Ｃ，Ｋはそれぞれ平文、暗号文、鍵
を表すものとする。またＮは段数と呼ばれる媒介変数で
ある。
【００３２】以下では本発明の一実施例について説明す
る。 〈暗号化装置Ｅ〉図３は、本発明の一実施例の暗号化装
置Ｅの構成を示す。同図は、暗号化装置の大域的な構成
（Ｆｅｉｓｔｅｌ構造）を示すものである。同図に示す
暗号化装置Ｅは、ビット列結合装置１０００、排他的論
理和演算装置２０００、装置Ｆ３０００、ビット列複製
装置４０００、排他的論理和演算装置５０００、装置Ｆ
６０００、ビット列複製装置７０００、ビット列分割装
置８０００及び拡大鍵生成装置９０００より構成され
る。
る。 〈暗号化装置Ｅ〉図３は、本発明の一実施例の暗号化装
置Ｅの構成を示す。同図は、暗号化装置の大域的な構成
（Ｆｅｉｓｔｅｌ構造）を示すものである。同図に示す
暗号化装置Ｅは、ビット列結合装置１０００、排他的論
理和演算装置２０００、装置Ｆ３０００、ビット列複製
装置４０００、排他的論理和演算装置５０００、装置Ｆ
６０００、ビット列複製装置７０００、ビット列分割装
置８０００及び拡大鍵生成装置９０００より構成され
る。
【００３３】以下に、暗号化処理の動作を説明する。
ステップ１０１）： 拡大鍵生成装置９０００により鍵
Ｋから、拡大鍵Ｋr （１≦ｒ≦Ｎ）を生成する。 ステップ１０２）： ビット列分割装置８０００を用い
て平文Ｐのビット列を上位Ｘ0 、下位Ｘ1 と半分に分け
る。
Ｋから、拡大鍵Ｋr （１≦ｒ≦Ｎ）を生成する。 ステップ１０２）： ビット列分割装置８０００を用い
て平文Ｐのビット列を上位Ｘ0 、下位Ｘ1 と半分に分け
る。
【００３４】ステップ１０３）： ２≦ｒ≦Ｎ＋１に対
して、装置Ｆ３０００，６０００と排他的論理和演算装
置２０００，５０００を用い、 Ｘr ＝Ｘr-2 ＋Ｆ（Ｘr-1 ，Ｋr-1 ） を求める。ここで算法Ｆを実現する装置Ｆの構成は後述
する。
して、装置Ｆ３０００，６０００と排他的論理和演算装
置２０００，５０００を用い、 Ｘr ＝Ｘr-2 ＋Ｆ（Ｘr-1 ，Ｋr-1 ） を求める。ここで算法Ｆを実現する装置Ｆの構成は後述
する。
【００３５】ステップ１０４）： ビット列結合装置１
０００を用い、暗号文Ｃの上位半分をＸN+1 、下位半分
をＸN とする。暗号化装置Ｅ中で、排他的論理和演算装
置２０００，５０００は、装置Ｆ３０００，６０００の
出力を固定したとき、もう一方の入力とそれに対する出
力が全単射となる算法Ｇを実現する装置に置き換えて
も、復号化が可能となる暗号化装置となる。
０００を用い、暗号文Ｃの上位半分をＸN+1 、下位半分
をＸN とする。暗号化装置Ｅ中で、排他的論理和演算装
置２０００，５０００は、装置Ｆ３０００，６０００の
出力を固定したとき、もう一方の入力とそれに対する出
力が全単射となる算法Ｇを実現する装置に置き換えて
も、復号化が可能となる暗号化装置となる。
【００３６】復号化処理は暗号化装置に平文Ｐを入力す
る代わりに暗号文Ｃを入力し、暗号化処理の場合に装置
Ｆの拡大鍵の入力がＫr である場合に、代わりにＫ
N-r+1 を入力とすることにより、暗号化処理の場合の出
力Ｃの代わりに平文Ｐが得られる。
る代わりに暗号文Ｃを入力し、暗号化処理の場合に装置
Ｆの拡大鍵の入力がＫr である場合に、代わりにＫ
N-r+1 を入力とすることにより、暗号化処理の場合の出
力Ｃの代わりに平文Ｐが得られる。
【００３７】〈装置Ｆ〉図４は、本発明の一実施例の装
置Ｆ構成を示す。同図に示す装置Ｆ３０００及び６００
０は、冪乗演算装置３１００、排他的論理和演算装置３
２００、ビット置換装置Ｌ３３００より構成される。
置Ｆ構成を示す。同図に示す装置Ｆ３０００及び６００
０は、冪乗演算装置３１００、排他的論理和演算装置３
２００、ビット置換装置Ｌ３３００より構成される。
【００３８】装置Ｆ３０００、６０００の処理を
Ｙ＝Ｆ（Ｘ，Ｋ）
と書く。
ステップ２０１）： ビット置換装置Ｌ３３００と排他
的論理和演算装置３２００を用い、Ｚ＝Ｌ（Ｘ）＋Ｋを
求める。
的論理和演算装置３２００を用い、Ｚ＝Ｌ（Ｘ）＋Ｋを
求める。
【００３９】ステップ２０２）： 冪乗演算装置３１０
０を用いることによりＹ＝Ｚe を求める。ここでｅは定
数である。装置Ｆ３０００，６０００中で、ビット置換
装置Ｌ３３００は任意の関数を実現する装置に置き換え
ても復号化が可能となる暗号化装置となる。また、同様
に排他的論理和演算装置３２００も任意の関数を実現す
る装置に置き換えても復号化が可能となる暗号化装置と
なる。
０を用いることによりＹ＝Ｚe を求める。ここでｅは定
数である。装置Ｆ３０００，６０００中で、ビット置換
装置Ｌ３３００は任意の関数を実現する装置に置き換え
ても復号化が可能となる暗号化装置となる。また、同様
に排他的論理和演算装置３２００も任意の関数を実現す
る装置に置き換えても復号化が可能となる暗号化装置と
なる。
【００４０】また暗号化装置Ｅ中に含まれる装置Ｆ３０
００、６０００は全て同一である必要はない。例えば、
Ｙ＝Ｚe1，Ｙ＝Ｚe2と段数毎に異なる寡指数を用いても
よい。 〈冪乗演算装置〉次に、上記の冪乗演算装置３１００に
ついて説明する。
００、６０００は全て同一である必要はない。例えば、
Ｙ＝Ｚe1，Ｙ＝Ｚe2と段数毎に異なる寡指数を用いても
よい。 〈冪乗演算装置〉次に、上記の冪乗演算装置３１００に
ついて説明する。
【００４１】図５は、本発明の一実施例の冪乗演算装置
の構成を示す。冪乗演算装置３１００は、乗算装置３１
１０を複数回呼び出すことにより実現される既知の算法
（例えば２進計算法）を利用することにより構成され
る。特に逆数演算のときは、ＩＥＩＣＥ−Ｉｔｏｈの方
法を用いると効率がよい。また、冪指数ｅが３の場合
も、次節で説明する乗算装置の構成法を応用した方法で
効率的に構成される。詳しくは２ｎビット乗算装置３１
２０の構成の説明において後述する。
の構成を示す。冪乗演算装置３１００は、乗算装置３１
１０を複数回呼び出すことにより実現される既知の算法
（例えば２進計算法）を利用することにより構成され
る。特に逆数演算のときは、ＩＥＩＣＥ−Ｉｔｏｈの方
法を用いると効率がよい。また、冪指数ｅが３の場合
も、次節で説明する乗算装置の構成法を応用した方法で
効率的に構成される。詳しくは２ｎビット乗算装置３１
２０の構成の説明において後述する。
【００４２】次に、冪乗演算装置３１００内に乗算装置
３１１０について説明する。 〈乗算装置〉図６は、本発明の一実施例の乗算装置の構
成を示す。要素２f 個の有限体（以下では要素ｎ個の有
限体をＦ' n と表す）上の乗算装置は以下のように構成
される。
３１１０について説明する。 〈乗算装置〉図６は、本発明の一実施例の乗算装置の構
成を示す。要素２f 個の有限体（以下では要素ｎ個の有
限体をＦ' n と表す）上の乗算装置は以下のように構成
される。
【００４３】ｆ＝２g ｈ（ｈは奇数）とし、Ｆ’2 f の
乗算を部分体
乗算を部分体
【００４４】
【数５】
【００４５】上の乗算を用いて求める。例えば、ＩＥＥ
Ｅ−Ｐｉｎｃｉｎの方法で実現できる。
Ｅ−Ｐｉｎｃｉｎの方法で実現できる。
【００４６】
【数６】
【００４７】上の乗算は、２ｎビット乗算装置３１２０
を用いて、
を用いて、
【００４８】
【数７】
【００４９】上の乗算を使い求める。以下同様にしてそ
れを繰り返す。具体的な手順の一例は以下の通り。 ステップ３０１）： ｆビットの乗算を２g ビット乗算
装置３１１１を用いて求める。
れを繰り返す。具体的な手順の一例は以下の通り。 ステップ３０１）： ｆビットの乗算を２g ビット乗算
装置３１１１を用いて求める。
【００５０】ステップ３０２）： ２g ビットの乗算を
２g-1 ビット乗算装置３１１２を用いて求める。 ステップ３０３）： ステップ３０２と同様にして、２
i ビットの乗算を２i- 1 ビット乗算装置３１２０（ｎ＝
２i-1 とする）を用いて求める。
２g-1 ビット乗算装置３１１２を用いて求める。 ステップ３０３）： ステップ３０２と同様にして、２
i ビットの乗算を２i- 1 ビット乗算装置３１２０（ｎ＝
２i-1 とする）を用いて求める。
【００５１】ステップ３０４）： ステップ３０３のｉ
が十分小さくなったら、
が十分小さくなったら、
【００５２】
【数８】
【００５３】の要素同士の乗算を予め計算して記憶して
おいた値を記憶装置３１１３から読み出す。乗算の帰着
させる部分体はどのような順序で取ってもよい。 〈２ｎビット情報装置〉図７は、本発明の一実施例の２
ｎビット乗算装置３１２０の構成を示す。
おいた値を記憶装置３１１３から読み出す。乗算の帰着
させる部分体はどのような順序で取ってもよい。 〈２ｎビット情報装置〉図７は、本発明の一実施例の２
ｎビット乗算装置３１２０の構成を示す。
【００５４】有限体Ｆ’2 2n 上の乗算をＦ'2 n 上の乗算
を用いて、計算する算法を示す。有限体Ｆ’2 2n は、
Ｆ'2 n 上２次元のベクトル空間であるので、 α∈Ｆ’2 2n ＼Ｆ’2 n ，α2 ＋α＋ａ＝０，ａ∈Ｆ2
n を用いて（ここで「＼」は差集合を表す）、要素ｍ∈
Ｆ’2 2n は、 ｍ＝ｘα＋ｙ（α＋１）（ｘ，ｙ∈Ｆ’2 n ） と表すことができる。
を用いて、計算する算法を示す。有限体Ｆ’2 2n は、
Ｆ'2 n 上２次元のベクトル空間であるので、 α∈Ｆ’2 2n ＼Ｆ’2 n ，α2 ＋α＋ａ＝０，ａ∈Ｆ2
n を用いて（ここで「＼」は差集合を表す）、要素ｍ∈
Ｆ’2 2n は、 ｍ＝ｘα＋ｙ（α＋１）（ｘ，ｙ∈Ｆ’2 n ） と表すことができる。
【００５５】ここで、
ｍ1 ＝ｘ1 α＋ｙ1(α＋１），
ｍ2 ＝ｘ2 α＋ｙ2(α＋１），（ｘi ，ｙi ∈
Ｆ’2 n ，ｉ＝１，２） と表すと、ｍ1 ，ｍ2 ∈Ｆ’2 2n 積ｍ0 は、 ｍ0 ＝ｍ1 ｍ2 ＝（ｘ1 ｘ2 ＋ａ（ｘ1 ＋ｙ1)（ｘ2 ＋
ｙ2)) α＋（ｙ1 ｙ2 ＋ａ（ｘ1 ＋ｙ1)（ｘ2 ＋ｙ2))
(α＋１） と表すことができる。このことからＦ’2 2n 要素の積は
Ｆ’2 n 上の乗算４回と加算４回で、計算できる。その
計算方法は図７に従う。ここで、記号“×”はｎビット
乗算装置、記号“＋”はｎビット排他的論理和装置、記
号“Ｄ”はビット列複製装置を表す。
Ｆ’2 n ，ｉ＝１，２） と表すと、ｍ1 ，ｍ2 ∈Ｆ’2 2n 積ｍ0 は、 ｍ0 ＝ｍ1 ｍ2 ＝（ｘ1 ｘ2 ＋ａ（ｘ1 ＋ｙ1)（ｘ2 ＋
ｙ2)) α＋（ｙ1 ｙ2 ＋ａ（ｘ1 ＋ｙ1)（ｘ2 ＋ｙ2))
(α＋１） と表すことができる。このことからＦ’2 2n 要素の積は
Ｆ’2 n 上の乗算４回と加算４回で、計算できる。その
計算方法は図７に従う。ここで、記号“×”はｎビット
乗算装置、記号“＋”はｎビット排他的論理和装置、記
号“Ｄ”はビット列複製装置を表す。
【００５６】ステップ４０１）： ｍ1 をビット列分割
装置３１３４を用いて、ｘ1 とｙ1に分ける。 ステップ４０２）： ｍ2 をビット列分割装置３１３５
を用いて、ｘ2 とｙ2に分ける。
装置３１３４を用いて、ｘ1 とｙ1に分ける。 ステップ４０２）： ｍ2 をビット列分割装置３１３５
を用いて、ｘ2 とｙ2に分ける。
【００５７】ステップ４０３）： ビット列複製装置３
１３３を用いて、入力ｘ1 を複製し、ｎビット乗算装置
３１２５と、ｎビット排他的論理和装置３１３１の入力
とする。 ステップ４０４）： ビット列複製装置３１３２を用い
て、入力ｙ1 を複製し、ｎビット排他的論理和装置３１
３１と、ｎビット乗算装置３１２３の入力とする。
１３３を用いて、入力ｘ1 を複製し、ｎビット乗算装置
３１２５と、ｎビット排他的論理和装置３１３１の入力
とする。 ステップ４０４）： ビット列複製装置３１３２を用い
て、入力ｙ1 を複製し、ｎビット排他的論理和装置３１
３１と、ｎビット乗算装置３１２３の入力とする。
【００５８】ステップ４０５）： ビット列複製装置３
１３０を用いて、入力ｙ2 を複製し、ｎビット排他的論
理和装置３１２９と、ｎビット乗算装置３１２３の入力
とする。 ステップ４０６）： ビット列複製装置３１２８を用い
て、入力ｘ2 を複製し、ｎビット排他的論理和装置３１
２９と、ｎビット乗算装置３１２５の入力とする。
１３０を用いて、入力ｙ2 を複製し、ｎビット排他的論
理和装置３１２９と、ｎビット乗算装置３１２３の入力
とする。 ステップ４０６）： ビット列複製装置３１２８を用い
て、入力ｘ2 を複製し、ｎビット排他的論理和装置３１
２９と、ｎビット乗算装置３１２５の入力とする。
【００５９】ステップ４０７）： ｎビット排他的論理
和装置３１２９を用いて、ｎビットの排他的論理和値を
計算し、ｎビット乗算装置３１２７の入力とする。 ステップ４０８）： ｎビット排他的論理和装置３１３
１を用いて、ｎビットの排他的論理和値を計算し、ｎビ
ット乗算装置３１２７の入力とする。
和装置３１２９を用いて、ｎビットの排他的論理和値を
計算し、ｎビット乗算装置３１２７の入力とする。 ステップ４０８）： ｎビット排他的論理和装置３１３
１を用いて、ｎビットの排他的論理和値を計算し、ｎビ
ット乗算装置３１２７の入力とする。
【００６０】ステップ４０９）： ｎビット乗算装置３
１２７を用いて、入力の積を計算し、ｎビット乗算装置
３１２６の入力とする。 ステップ４１０）： ｎビット乗算装置３１２６を用い
て、ａとｎビット乗算装置３１２７の出力の積を計算
し、ビット列複製装置３１２４の入力とする。
１２７を用いて、入力の積を計算し、ｎビット乗算装置
３１２６の入力とする。 ステップ４１０）： ｎビット乗算装置３１２６を用い
て、ａとｎビット乗算装置３１２７の出力の積を計算
し、ビット列複製装置３１２４の入力とする。
【００６１】ステップ４１１）： ｎビット乗算装置３
１２５を用いて、入力の積を求め、ｎビット排他的論理
和装置３１２２の入力とする。 ステップ４１２）： ｎビット乗算装置３１２３を用い
て、入力の積を求め、ｎビット排他的論理和装置３１２
１の入力とする。
１２５を用いて、入力の積を求め、ｎビット排他的論理
和装置３１２２の入力とする。 ステップ４１２）： ｎビット乗算装置３１２３を用い
て、入力の積を求め、ｎビット排他的論理和装置３１２
１の入力とする。
【００６２】ステップ４１３）： ビット列複製装置３
１２４を用いて、入力を複製し、ｎビット排他的論理和
装置３１２２とｎビット排他的論理和装置３１２１の入
力とする。 ステップ４１４）： ｎビット排他的論理和装置３１２
２を用いて、入力の排他的論理和値を計算し、ビット列
結合装置３１３６の入力とする。
１２４を用いて、入力を複製し、ｎビット排他的論理和
装置３１２２とｎビット排他的論理和装置３１２１の入
力とする。 ステップ４１４）： ｎビット排他的論理和装置３１２
２を用いて、入力の排他的論理和値を計算し、ビット列
結合装置３１３６の入力とする。
【００６３】ステップ４１５）： ｎビット排他的論理
和装置３１２１を用いて、入力の排他的論理和値を計算
し、ビット列結合装置３１３６の入力とする。 ステップ４１６）： ビット列結合装置３１３６を用い
て、入力ビットを結合し、２ｎビット乗算装置３１２０
の出力ｍ0 とする。
和装置３１２１を用いて、入力の排他的論理和値を計算
し、ビット列結合装置３１３６の入力とする。 ステップ４１６）： ビット列結合装置３１３６を用い
て、入力ビットを結合し、２ｎビット乗算装置３１２０
の出力ｍ0 とする。
【００６４】この方法は、ＩＥＥＥ−Ｐｉｎｃｉｎの考
え方を用いているが、本発明で標数２の体の２次拡大に
計算対象を特化した結果、さらに演算回数の削減が可能
となった。例えばＦ’2 32 上の乗算に関しては従来法
（ＩＥＥＥ−Ｐｉｎｃｉｎ）の約１／３の演算回数なの
で３倍の高速化が可能となる。
え方を用いているが、本発明で標数２の体の２次拡大に
計算対象を特化した結果、さらに演算回数の削減が可能
となった。例えばＦ’2 32 上の乗算に関しては従来法
（ＩＥＥＥ−Ｐｉｎｃｉｎ）の約１／３の演算回数なの
で３倍の高速化が可能となる。
【００６５】またｅの値を特定した場合はさらに演算回
数を減らすことも可能である。例えばｅ＝３の場合は以
下の式を実現する装置により、高速化が可能となる。 （ｘα＋ｙ（α＋１))3 ＝（ｘ3 ＋ａｙ（ｘ2 ＋ｙ2))
α＋（ｙ3 ＋ａｘ（ｘ2 ＋ｙ2))(α＋１） 実際の装置の構成を図８に示す。図８は、本発明の一実
施例の２ｎビット３乗演算装置の構成を示す。
数を減らすことも可能である。例えばｅ＝３の場合は以
下の式を実現する装置により、高速化が可能となる。 （ｘα＋ｙ（α＋１))3 ＝（ｘ3 ＋ａｙ（ｘ2 ＋ｙ2))
α＋（ｙ3 ＋ａｘ（ｘ2 ＋ｙ2))(α＋１） 実際の装置の構成を図８に示す。図８は、本発明の一実
施例の２ｎビット３乗演算装置の構成を示す。
【００６６】ステップ５０１）： ビット列分割装置３
４２１を用いて、入力をｘとｙに分割する。 ステップ５０２）： ビット列複製装置３１４８を用い
て、入力ｘを複製し、ビット列複製装置３４１２と、ビ
ット列複製装置３４１６の入力とする。
４２１を用いて、入力をｘとｙに分割する。 ステップ５０２）： ビット列複製装置３１４８を用い
て、入力ｘを複製し、ビット列複製装置３４１２と、ビ
ット列複製装置３４１６の入力とする。
【００６７】ステップ５０３）： ビット列複製装置３
４１９を用いて、入力ｙを複製し、ビット列複製装置３
４１３と、ビット列複製装置３４１７の入力とする。 ステップ５０４）： ビット列複製装置３４１６を用い
て、入力を複製し、ｎビット乗算装置３４１４と、ｎビ
ット乗算装置３４０３の入力とする。
４１９を用いて、入力ｙを複製し、ビット列複製装置３
４１３と、ビット列複製装置３４１７の入力とする。 ステップ５０４）： ビット列複製装置３４１６を用い
て、入力を複製し、ｎビット乗算装置３４１４と、ｎビ
ット乗算装置３４０３の入力とする。
【００６８】ステップ５０５）： ビット列複製装置３
４１７を用いて、入力を複製し、ｎビット乗算装置３４
１５と、ｎビット乗算装置３４０４の入力とする。 ステップ５０６）： ビット列複製装置３４１２を用い
て、入力を複製し、ｎビット乗算装置３４１４と、ｎビ
ット乗算装置３４０６の入力とする。
４１７を用いて、入力を複製し、ｎビット乗算装置３４
１５と、ｎビット乗算装置３４０４の入力とする。 ステップ５０６）： ビット列複製装置３４１２を用い
て、入力を複製し、ｎビット乗算装置３４１４と、ｎビ
ット乗算装置３４０６の入力とする。
【００６９】ステップ５０７）： ビット列複製装置３
４１３を用いて、入力を複製し、ｎビット乗算装置３４
１５と、ｎビット乗算装置３４０７の入力とする。 ステップ５０８）： ｎビット乗算装置３４１４を用い
て、入力の積を計算し、ビット列複製装置３４０９の入
力とする。
４１３を用いて、入力を複製し、ｎビット乗算装置３４
１５と、ｎビット乗算装置３４０７の入力とする。 ステップ５０８）： ｎビット乗算装置３４１４を用い
て、入力の積を計算し、ビット列複製装置３４０９の入
力とする。
【００７０】ステップ５０９）： ｎビット乗算装置３
４１５を用いて、入力の積を計算し、ビット列複製装置
３４１０の入力とする。 ステップ５１０）： ビット列複製装置３４０９を用い
て、入力を複製し、ｎビット乗算装置３４０６と、ｎビ
ット排他的論理和装置３４１１の入力とする。
４１５を用いて、入力の積を計算し、ビット列複製装置
３４１０の入力とする。 ステップ５１０）： ビット列複製装置３４０９を用い
て、入力を複製し、ｎビット乗算装置３４０６と、ｎビ
ット排他的論理和装置３４１１の入力とする。
【００７１】ステップ５１１）： ビット列複製装置３
４１０を用いて、入力を複製し、ｎビット乗算装置３４
０７と、ｎビット排他的論理和装置３４１１の入力とす
る。 ステップ５１２）： ｎビット排他的論理和装置３４１
１を用いて、入力の排他的論理和値を計算し、ｎビット
乗算装置３４０８の入力とする。
４１０を用いて、入力を複製し、ｎビット乗算装置３４
０７と、ｎビット排他的論理和装置３４１１の入力とす
る。 ステップ５１２）： ｎビット排他的論理和装置３４１
１を用いて、入力の排他的論理和値を計算し、ｎビット
乗算装置３４０８の入力とする。
【００７２】ステップ５１３）： ｎビット乗算装置３
４０６を用いて、入力の積を計算し、ｎビット排他的論
理和装置３４０１の入力とする。 ステップ５１４）： ｎビット乗算装置３４０７を用い
て、入力の積を計算し、ｎビット排他的論理和装置３４
０２の入力とする。
４０６を用いて、入力の積を計算し、ｎビット排他的論
理和装置３４０１の入力とする。 ステップ５１４）： ｎビット乗算装置３４０７を用い
て、入力の積を計算し、ｎビット排他的論理和装置３４
０２の入力とする。
【００７３】ステップ５１５）： ｎビット乗算装置３
４０８を用いて、ａとｎビット排他的論理和装置３４１
１の出力の積を計算し、ビット列複製装置３４０５の入
力とする。 ステップ５１６）： ビット列複製装置３４０５を用い
て、入力を複製し、ｎビット乗算装置３４０３と、ｎビ
ット乗算装置３４０４の入力とする。
４０８を用いて、ａとｎビット排他的論理和装置３４１
１の出力の積を計算し、ビット列複製装置３４０５の入
力とする。 ステップ５１６）： ビット列複製装置３４０５を用い
て、入力を複製し、ｎビット乗算装置３４０３と、ｎビ
ット乗算装置３４０４の入力とする。
【００７４】ステップ５１７）： ｎビット乗算装置３
４０３を用いて、入力の積を計算し、ｎビット排他的論
理和装置３４０２の入力とする。 ステップ５１８）： ｎビット乗算装置３４０４を用い
て、入力の積を計算し、ｎビット排他的論理和装置３４
０１の入力とする。
４０３を用いて、入力の積を計算し、ｎビット排他的論
理和装置３４０２の入力とする。 ステップ５１８）： ｎビット乗算装置３４０４を用い
て、入力の積を計算し、ｎビット排他的論理和装置３４
０１の入力とする。
【００７５】ステップ５１９）： ｎビット排他的論理
和装置３４０１を用いて、入力の排他的論理和値を計算
し、ビット列結合装置３４２０の入力とする。 ステップ５２０）： ｎビット排他的論理和装置３４０
２を用いて、入力の排他的論理和値を計算し、ビット列
結合装置３４２０の入力とする。
和装置３４０１を用いて、入力の排他的論理和値を計算
し、ビット列結合装置３４２０の入力とする。 ステップ５２０）： ｎビット排他的論理和装置３４０
２を用いて、入力の排他的論理和値を計算し、ビット列
結合装置３４２０の入力とする。
【００７６】ステップ５２１）： ビット列結合装置３
４２０を用いて、入力を結合し、２ｎビット３乗演算装
置３４００の出力とする。具体的にはＦ’2 2n の要素ｍ
に対してｍ3 ＝（ｍ×ｍ）×ｍとみなしてＦ'2 2nで乗算
装置を２回呼び出したときは、下の体の乗算８回、加算
８回必要であったのが、上記の構成法では乗算７回、加
算３回に削減される。
４２０を用いて、入力を結合し、２ｎビット３乗演算装
置３４００の出力とする。具体的にはＦ’2 2n の要素ｍ
に対してｍ3 ＝（ｍ×ｍ）×ｍとみなしてＦ'2 2nで乗算
装置を２回呼び出したときは、下の体の乗算８回、加算
８回必要であったのが、上記の構成法では乗算７回、加
算３回に削減される。
【００７７】
【発明の効果】本発明では、従来法（ＳＩＴＡ９５−Ｃ
−２−５）に比べて以下の点が改善されている。 １．Ｆｅｉｓｔｅｌ構造を用いているので、ｒ（１≦ｒ
≦Ｎ）に対して、拡大鍵Ｋr を入力に持つＦ関数を実現
する装置と、ＫN-r+1 を入力に持つＦ関数を実現する装
置の機能が同一であるように構成すると、Ｋr をＫ
N-r+1 と入れ換えることにより、暗号化装置を用いて復
号化できる。
−２−５）に比べて以下の点が改善されている。 １．Ｆｅｉｓｔｅｌ構造を用いているので、ｒ（１≦ｒ
≦Ｎ）に対して、拡大鍵Ｋr を入力に持つＦ関数を実現
する装置と、ＫN-r+1 を入力に持つＦ関数を実現する装
置の機能が同一であるように構成すると、Ｋr をＫ
N-r+1 と入れ換えることにより、暗号化装置を用いて復
号化できる。
【００７８】２．排他的論理和演算装置２０００，５０
００を排他的論理和を実現する装置に選び、ビット置換
装置Ｌ３３００をビット置換を実現する装置に選び、排
他的論理和演算装置３２００を排他的論理和を実現する
装置に選べば、最大平均差分確率および最大平均線形確
率の上限がさらに小さいことを保証できる。例えば、Ｓ
ＩＴＡ９５−Ｃ−２−５の方法で再帰を１回行なった場
合に比べ、本発明では、最大平均差分確率がＳＩＴＡ９
５−Ｃ−２−５の装置の１／２であることを保証できる
（文献“青木和麻呂、太田和夫「最大平均差分確率及び
最大平均線形確率のより厳密な評価」１９９６年暗号と
情報セキュリティシンポジウムＳＣＩＳ‘９６講演論文
集”を参照されたい）。
００を排他的論理和を実現する装置に選び、ビット置換
装置Ｌ３３００をビット置換を実現する装置に選び、排
他的論理和演算装置３２００を排他的論理和を実現する
装置に選べば、最大平均差分確率および最大平均線形確
率の上限がさらに小さいことを保証できる。例えば、Ｓ
ＩＴＡ９５−Ｃ−２−５の方法で再帰を１回行なった場
合に比べ、本発明では、最大平均差分確率がＳＩＴＡ９
５−Ｃ−２−５の装置の１／２であることを保証できる
（文献“青木和麻呂、太田和夫「最大平均差分確率及び
最大平均線形確率のより厳密な評価」１９９６年暗号と
情報セキュリティシンポジウムＳＣＩＳ‘９６講演論文
集”を参照されたい）。
【００７９】３．暗号化装置を構成する上で用いること
ができる記憶領域の大きさに応じて、最も適切な構成法
を選べる。ここで異なる構成法を選択しても機能的に等
価な暗号化装置となることに注意。 ４．暗号化装置中の乗算が高速化されている。ＩＥＥＥ
−Ｐｉｎｃｉｎの方法ではＦ’2 2n 上の１回の乗算が
Ｆ'2 n 上５回の乗算を用いて実現されていたが、本発明
では４回で実現できるので、例えば、Ｆ’2 32 上の積は
ＩＥＥＥ−Ｐｉｎｃｉｎの方法では、Ｆ'2上の積３１２
５回であったが、本発明では１０２４回なので約３倍の
高速化を達成できる。
ができる記憶領域の大きさに応じて、最も適切な構成法
を選べる。ここで異なる構成法を選択しても機能的に等
価な暗号化装置となることに注意。 ４．暗号化装置中の乗算が高速化されている。ＩＥＥＥ
−Ｐｉｎｃｉｎの方法ではＦ’2 2n 上の１回の乗算が
Ｆ'2 n 上５回の乗算を用いて実現されていたが、本発明
では４回で実現できるので、例えば、Ｆ’2 32 上の積は
ＩＥＥＥ−Ｐｉｎｃｉｎの方法では、Ｆ'2上の積３１２
５回であったが、本発明では１０２４回なので約３倍の
高速化を達成できる。
【図１】本発明の原理を説明するための図である。
【図２】本発明の原理構成図である。
【図３】本発明の一実施例の暗号化装置Ｅの構成図であ
る。
る。
【図４】本発明の一実施例の装置Ｆの構成を示す図であ
る。
る。
【図５】本発明の一実施例の冪乗演算装置の構成を示す
図である。
図である。
【図６】本発明の一実施例の乗算装置の構成を示す図で
ある。
ある。
【図７】本発明の一実施例の２ｎビット乗算装置の構成
を示す図である。
を示す図である。
【図８】本発明の一実施例の２ｎビット３乗演算装置の
構成図である。
構成図である。
【符号の説明】
１０００ ビット列結合装置
２０００ 排他的論理和演算装置
３０００ 装置Ｆ
３１００ 冪乗演算装置
３１１０ 乗算装置
３１１１ ２g ビット乗算装置
３１１２ ２g-1 ビット乗算装置
３１１３ 記憶装置
３１２１，３１２２，３１２９，３１３１ ｎビット排
他的論理和装置 ３１２３，３１２５，３１２６，３１２７ ｎビット乗
算装置 ３１２４，３１２８，３１３０，３１３２，３１３３
ビット列複製装置 ３２００ 排他的論理和演算装置 ３３００ ビット置換装置Ｌ ３４０１，３４０２，３４１１ ｎビット排他的論理和
装置 ３４０３，３４０４，３４０６，３４０７，３４０８，
３４１４，３４１５ｎビット乗算装置 ３４０５，３４０９，３４１０，３４１２，３４１３，
３４１６，３４１７，３４１８，３４１９ ビット列複
製装置 ４０００ ビット列複製装置 ５０００ 排他的論理和演算装置 ６０００ 装置Ｆ ６１００ 冪乗演算装置 ７０００ ビット列複製装置 ８０００ ビット列分割装置 ９０００ 拡大鍵生成装置
他的論理和装置 ３１２３，３１２５，３１２６，３１２７ ｎビット乗
算装置 ３１２４，３１２８，３１３０，３１３２，３１３３
ビット列複製装置 ３２００ 排他的論理和演算装置 ３３００ ビット置換装置Ｌ ３４０１，３４０２，３４１１ ｎビット排他的論理和
装置 ３４０３，３４０４，３４０６，３４０７，３４０８，
３４１４，３４１５ｎビット乗算装置 ３４０５，３４０９，３４１０，３４１２，３４１３，
３４１６，３４１７，３４１８，３４１９ ビット列複
製装置 ４０００ ビット列複製装置 ５０００ 排他的論理和演算装置 ６０００ 装置Ｆ ６１００ 冪乗演算装置 ７０００ ビット列複製装置 ８０００ ビット列分割装置 ９０００ 拡大鍵生成装置
フロントページの続き
(56)参考文献 Ｐｒｏｖａｂｌｅ Ｓｅｃｕｒｉｔｙ
Ａｇａｉｎｓｔ ａ Ｄｉｆｆｅｒｅ
ｎｔｉａｌ Ａｔｔａｃｋ，ｏｕｒｎａ
ｌ ｏｆ ＣＲＹＰＴＯＬＯＧＹ，1995
年 ４月17日，Ｖｏｌ．８，Ｎｏ．１,
ｐ．27−37
Ａ Ｎｅｗ Ａｌｇｏｔｉｔｈｍ ｆ
ｏｒ Ｍｕｌｔｉｐｌｉｃａｔｉｏｎ
ｉｎ Ｆｉｎｉｔｅ Ｆｉｅｌｄｓ，Ｉ
ＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏ
ｎ Ｃｏｍｐｕｔｅｒｓ，Ｖｏｌ．38,
Ｎｏ．７
(58)調査した分野(Int.Cl.7，ＤＢ名)
G09C 1/00 610
G09C 1/00 650
ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (2)
- 【請求項１】 秘密鍵を用いて、秘密保持されるべき平
文から、暗号文を作成するための暗号化装置と、該暗号
化装置と同じ構造を用いて、当該秘密鍵を用いて暗号文
から平文に復号化する、復号化装置とを組み合わせた、
暗号化・復号化装置であって、 平文Ｐに対しては、拡大鍵生成装置により鍵Ｋから、拡
大鍵Ｋｒ（１≦ｒ≦Ｎ）を生成し、ビット列分割装置を
用いて該平文Ｐのビット列を上位Ｘ０，下位Ｘ１と半分
に分け、２≦ｒ≦Ｎ＋１に対して、有限体上の冪乗演算
を実現する装置を含む装置Ｆと、 入力が２つあり、出力が１つで該入力の片方の値を固定
した時に置換になるような写像を実現する装置Ｇとを有
し、 Ｘｒ＝Ｇ（Ｘｒ−２，Ｆ（Ｘｒ−１，Ｋｒ−１）） を求め、ビット列結合装置を用いて、暗号文Ｃの上位半
分をＸＮ＋１、下位半分をＸＮとし、該暗号文Ｃに対し
ては、前記拡大鍵生成装置により、鍵Ｋから、拡大鍵Ｋ
ｒ（１≦ｒ≦Ｎ）を生成し、ビット列分割装置を用いて
該暗号文Ｃのビット列を上位ＸＮ＋１，下位ＸＮと半分
に分け、２≦ｒ≦Ｎ＋１に対して、ｙを定数としたとき
にＧ（ｘ，ｙ）のｘに関する逆関数であるＧ −１ （但
し、（∀ｘ，ｙ［Ｇ −１ （Ｇ（ｘ，ｙ），ｙ）＝ｘ］）
を満たす関数）を求める装置を用いて、 Ｘｒ−２＝Ｇ−１（Ｘｒ，Ｆ（Ｘｒ−１，Ｋｒ−１）） を求め、ビット列結合装置を用い、平文Ｐの上位半分を
Ｘ０、下位半分をＸ１とするとき、 前記暗号化装置の前記装置Ｆに含まれる有限体Ｆ’２ ｆ
上の冪乗演算装置を、乗算装置が、 ｆ＝２ｇｈ（ｈは奇数） とおいた時、ｆビットの乗算を２ｇビット乗算装置を用
いて求め、２ｇビットの乗算を２ｇ−１ビット乗算装置
を用いて求め、ｉを１ずつ小さくするのに対応し、２ｉ
ビットの乗算を該２ｉ−１ビット乗算装置を用いて求
め、ｉが十分小さくなったら、記憶装置に記憶された値
を用いて直接 【数２】 の値を求めることにより、前記装置Ｆの記憶領域の大き
さに応じて適切なｉの値を選んで、冪乗演算で実現する
ことを特徴とする暗号化・復号化装置。 - 【請求項２】 前記有限体Ｆ’２ ２ｎ上の乗算を前記装
置Ｆ’２ ｎ上の乗算装置で求める乗算装置が、該装置
Ｆ’２ ｎ上の既約多項式、 Ｘ２＋Ｘ＋ａ＝０ の根αを用いて、被乗数ｍ１，ｍ２が、 ｍ１＝ｘ１α＋ｙ１（α＋１） ｍ２＝ｘ２α＋ｙ２（α＋１）（但し、ｘｉ，ｙｉ∈
Ｆ’２ ｎ，ｉ＝１，２）と表されるとき、ｍ１，ｍ２の
積が式、 ｍ０＝ｍ１ｍ２＝（ｘ１ｘ２＋ａ（ｘ１＋ｙ１）（ｘ２＋ｙ２））α ＋（ｙ１ｙ２＋ａ（ｘ１＋ｙ１）（ｘ２＋ｙ２））（α＋１） となるので、ｍ１をビット列分割装置を用いて、ｘ１と
ｙ１に分け、ｍ２をビット列分割により、ｘ２とｙ２に
分け、ビット列複製装置を用いて入力ｘ１を複製し、ｔ
１とｔ２とし、 ビット列複製装置を用いて、入力ｙ１を複製し、ｔ３と
ｔ４とし、 ビット列複製装置を用いて、入力ｙ２を複製し、ｔ５と
ｔ６とし、 ビット列複製装置を用いて、入力ｘ２を複製し、ｔ７と
ｔ８とし、 ｎビット排他的論理和装置を用いて前記ｔ５と前記ｔ７
の排他的論理和値ｔ９を計算し、 ｎビット排他的論理和装置を用いて前記ｔ２と前記ｔ３
の排他的論理和値ｔ１０を計算し、 ｎビット乗算装置を用いて、前記ｔ９と前記ｔ１０の積
ｔ１１を計算し、 ｎビット乗算装置を用いて、ａと前記ｔ１１の積ｔ１２
を計算し、 ｎビット乗算装置を用いて、前記ｔ１と前記ｔ８の積ｔ
１３を計算し、 ｎビット乗算装置を用いて、前記ｔ４と前記ｔ６の積ｔ
１４を計算し、 ビット列複製装置を用いて、前記ｔ１２をビット列複製
し、ｔ１５とｔ１６とし、 ｎビット排他的論理和装置を用いて、前記ｔ１３と前記
ｔ１５の排他的論理和値ｔ１７を計算し、 ｎビット排他的論理和装置を用いて、前記ｔ１４と前記
ｔ１６の排他的論理和値ｔ１８を計算し、 ビット列結合装置を用いて、前記ｔ１７と前記ｔ１８の
ビット列を結合して、乗算装置の出力ｍ０とし、 前記有限体Ｆ’２ ２ｎ上の１回の乗算を前記装置Ｆ’２
ｎ上の４回の乗算を用いて実現するものとし、 前記冪乗演算装置が３乗演算を実行する時に、 前記有限体Ｆ’２ ２ｎ上の演算の場合、前記装置Ｆ’２
ｎ上の既約多項式 Ｘ２＋Ｘ＋ａ＝０ の根αを用いて、式 （ｘα＋ｙ（α＋１））３＝（ｘ３＋ａｙ（ｘ２＋ｙ２））α ＋（ｙ３＋ａｘ（ｘ２＋ｙ２））（α＋１） が成立することを利用して、ビット列分割装置を用いて
入力をｘとｙに分割し、 ビット列複製装置を用いて、前記ｘを複製し、ｔ１とｔ
２とし、 ビット列複製装置を用いて、前記ｙを複製し、ｔ３とｔ
４とし、 ビット列複製装置を用いて、前記入力ｔ２を複製し、ｔ
５とｔ６とし、 ビット列複製装置を用いて、前記入力ｔ４を複製し、ｔ
７とｔ８とし、 ビット列複製装置を用いて、前記入力ｔ１を複製し、ｔ
９とｔ１０とし、 ビット列複製装置を用いて、前記入力ｔ３を複製し、ｔ
１１とｔ１２とし、 ｎビット乗算装置を用いて、前記入力ｔ５とｔ９の積ｔ
１３を計算し、 ｎビット乗算装置を用いて、前記入力ｔ７とｔ１１の積
ｔ１４を計算し、 ビット列複製装置を用いて、前記入力ｔ１３を複製し、
ｔ１５とｔ１６とし、 ビット列複製装置を用いて、前記入力ｔ１４を複製し、
ｔ１７とｔ１８とし、 ｎビット排他的論理和装置を用いて、前記入力ｔ１６と
前記入力ｔ１８の排他的論理和値ｔ１９を計算し、 ｎビット乗算装置を用いて、前記入力ｔ１０と前記入力
ｔ１５の積ｔ２０を計算し、 ｎビット乗算装置を用いて、前記入力ｔ１２と前記入力
ｔ１７の積ｔ２１を計算し、 ｎビット乗算装置を用いて、前記ａと前記入力ｔ１９の
積ｔ２２を計算し、 ｎビット複製装置を用いて、前記入力ｔ２２を複製し、
ｔ２３とｔ２４とし、 ｎビット乗算装置を用いて、前記入力ｔ６と前記入力ｔ
２３の積ｔ２５を計算し、 ｎビット乗算装置を用いて、前記入力ｔ８と入力ｔ２４
の積ｔ２６を計算し、 ｎビット排他的論理和装置を用いて、前記入力ｔ２０と
前記入力ｔ２６の排他的論理和値ｔ２７を計算し、 ｎビット排他的論理和装置を用いて、前記入力ｔ２１と
前記入力ｔ２５の排他的論理和値ｔ２８を計算し、 ビット列結合装置を用いて、前記入力ｔ２７と前記入力
ｔ２６を結合し、 前記有限体Ｆ’２ ２ｎ上の３乗演算を前記装置Ｆ’２ ｎ
上の７回の乗算を用いて実現する請求項１記載の暗号化
・復号化装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP01574197A JP3435473B2 (ja) | 1996-02-06 | 1997-01-29 | 暗号化・復号化方法及び装置 |
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017696 | 1996-02-06 | ||
| JP8-20176 | 1996-02-06 | ||
| JP01574197A JP3435473B2 (ja) | 1996-02-06 | 1997-01-29 | 暗号化・復号化方法及び装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH09274430A JPH09274430A (ja) | 1997-10-21 |
| JP3435473B2 true JP3435473B2 (ja) | 2003-08-11 |
Family
ID=26351944
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP01574197A Expired - Lifetime JP3435473B2 (ja) | 1996-02-06 | 1997-01-29 | 暗号化・復号化方法及び装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3435473B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100434558B1 (ko) * | 1997-12-09 | 2004-09-30 | 삼성전자주식회사 | 고속블록암호화방법및이를위한키스케쥴링방법 |
| JP4612501B2 (ja) * | 2005-07-29 | 2011-01-12 | 日本電信電話株式会社 | ブロック暗号装置、ブロック復号装置、それらの方法及びプログラム |
-
1997
- 1997-01-29 JP JP01574197A patent/JP3435473B2/ja not_active Expired - Lifetime
Non-Patent Citations (2)
| Title |
|---|
| Ａ Ｎｅｗ Ａｌｇｏｔｉｔｈｍ ｆｏｒ Ｍｕｌｔｉｐｌｉｃａｔｉｏｎ ｉｎ Ｆｉｎｉｔｅ Ｆｉｅｌｄｓ，ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｃｏｍｐｕｔｅｒｓ，Ｖｏｌ．３８，Ｎｏ．７ |
| Ｐｒｏｖａｂｌｅ Ｓｅｃｕｒｉｔｙ Ａｇａｉｎｓｔ ａ Ｄｉｆｆｅｒｅｎｔｉａｌ Ａｔｔａｃｋ，ｏｕｒｎａｌ ｏｆ ＣＲＹＰＴＯＬＯＧＹ，１９９５年 ４月１７日，Ｖｏｌ．８，Ｎｏ．１，ｐ．２７−３７ |
Also Published As
| Publication number | Publication date |
|---|---|
| JPH09274430A (ja) | 1997-10-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Aslett et al. | A review of homomorphic encryption and software tools for encrypted statistical machine learning | |
| JP4575283B2 (ja) | 暗号装置、復号装置、プログラム及び方法 | |
| CN109039640B (zh) | 一种基于rsa密码算法的加解密硬件系统及方法 | |
| EP1081889A2 (en) | Extended key generator, encryption / decryption unit, extended key generation method, and storage medium | |
| Bogos et al. | Cryptanalysis of a homomorphic encryption scheme | |
| KR100442218B1 (ko) | 몽고메리의 알고리즘을 이용한 멱승 잉여 연산기 | |
| Maximov et al. | Fast computation of large distributions and its cryptographic applications | |
| Khoirom et al. | Audio encryption using ameliorated ElGamal public key encryption over finite field | |
| Chung et al. | Encoding rational numbers for fhe-based applications | |
| US6772184B2 (en) | Method for efficient modular division over prime integer fields | |
| JP4177526B2 (ja) | 乗算剰余演算方法および乗算剰余回路 | |
| JP2007041461A (ja) | 楕円曲線暗号におけるスカラー倍計算方法およびスカラー倍計算装置 | |
| US11343070B2 (en) | System and method for performing a fully homomorphic encryption on a plain text | |
| WO2023074133A1 (ja) | 暗号処理装置、暗号処理方法、及び暗号処理プログラム | |
| JP3435473B2 (ja) | 暗号化・復号化方法及び装置 | |
| JP4423900B2 (ja) | 楕円曲線暗号におけるスカラー倍計算方法と、その装置およびそのプログラム | |
| Bansal et al. | Implementation of modular exponentiation using montgomery algorithms | |
| JP2017223822A (ja) | 暗号文処理システム、暗号文処理サーバ、及び暗号文処理方法 | |
| Haraty et al. | A comparitive study of elgamal based cryptographic algorithms | |
| JP5354914B2 (ja) | 暗号処理装置及び復号処理装置及びプログラム | |
| JP4692022B2 (ja) | 楕円曲線暗号におけるスカラー倍計算装置、及び、そのプログラム | |
| Abbas Fadhil Al-Husainy et al. | Image Encryption using a Binary Search Tree Structure-Based Key | |
| KR100341507B1 (ko) | 빠른 유한체 연산을 이용한 타원곡선 암호화 방법 및 전자서명 방법 | |
| JPH06282227A (ja) | 公開鍵暗号化装置及び公開鍵復号装置 | |
| Jiang et al. | Two methods of directly constructing probabilistic public-key encryption primitives based on third-order LFSR sequences |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090606 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090606 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100606 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100606 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110606 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120606 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130606 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140606 Year of fee payment: 11 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |