JP3499810B2 - 暗号化装置、暗号化方法及び暗号化装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体並びに復号装置、復号方法及び復号装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体 - Google Patents

暗号化装置、暗号化方法及び暗号化装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体並びに復号装置、復号方法及び復号装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体

Info

Publication number
JP3499810B2
JP3499810B2 JP2000210484A JP2000210484A JP3499810B2 JP 3499810 B2 JP3499810 B2 JP 3499810B2 JP 2000210484 A JP2000210484 A JP 2000210484A JP 2000210484 A JP2000210484 A JP 2000210484A JP 3499810 B2 JP3499810 B2 JP 3499810B2
Authority
JP
Japan
Prior art keywords
data
width
linear
processing
processing means
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
JP2000210484A
Other languages
English (en)
Other versions
JP2001324924A5 (ja
JP2001324924A (ja
Inventor
建司 大熊
博文 村谷
文彦 佐野
信一 川村
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toshiba Corp
Original Assignee
Toshiba Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority to JP2000210484A priority Critical patent/JP3499810B2/ja
Application filed by Toshiba Corp filed Critical Toshiba Corp
Priority to DE60119410T priority patent/DE60119410T2/de
Priority to US09/799,028 priority patent/US7227948B2/en
Priority to EP01302065A priority patent/EP1133100B1/en
Priority to CNB011109408A priority patent/CN1322697C/zh
Priority to KR10-2001-0011395A priority patent/KR100415410B1/ko
Publication of JP2001324924A publication Critical patent/JP2001324924A/ja
Application granted granted Critical
Publication of JP3499810B2 publication Critical patent/JP3499810B2/ja
Publication of JP2001324924A5 publication Critical patent/JP2001324924A5/ja
Priority to US11/261,562 priority patent/US7209556B2/en
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0625—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation with splitting of the data block into left and right halves, e.g. Feistel based algorithms, DES, FEAL, IDEA or KASUMI
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/08—Randomization, e.g. dummy operations or using noise
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/24—Key scheduling, i.e. generating round keys or sub-keys for block encryption

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、ブロック暗号方式
による暗号化装置、暗号化方法及び暗号化装置としてコ
ンピュータを機能させるためのプログラムを記録したコ
ンピュータ読取り可能な記録媒体並びにブロック暗号方
式による復号装置、復号方法及び復号装置としてコンピ
ュータを機能させるためのプログラムを記録したコンピ
ュータ読取り可能な記録媒体に関する。
【０００２】
【従来の技術】共通鍵ブロック暗号の代表的な基本構造
にＳＰＮ型とＦｅｉｓｔｅｌ型があり、各々について差
分／線形解読法に対する強度評価と耐性を高める設計法
が研究されている（文献[１]V.Rijmen, J.Daemen, B.Pr
eneel, A.Bosselaers, E.DcWin,“The Cipher SHARK,”
Fast Software Encryption, LNCS 1039,1996.、文献
[２]青木和麻呂,太田和夫,“最大平均差分確率および最
大平均線形確率のより厳密な評価,”SCIS 96-4A,1996.
文献[３]松井充,“フ゛ロック暗号MISTY,”ISEC 96-11,199
6.、）。ＳＰＮ構造では、活性Ｓ−ｂｏｘ数の保証が出
来るので、設定した強度を達成するための段数決定がし
やすい（文献[１] ）。しかし、ブロック・サイズが大
きくなりＳ−ｂｏｘの並列度が上がると、拡散層の処理
が複雑になり、速度が低下する傾向がある。
【０００３】この点を改善したのが、ＳＱＵＡＲＥ／Ｒ
ｉｊｎｄａｅｌ型の暗号である（文献[４]J.Daemen, L.
R.Knudsen, V.Rijmen,“The Block Cipher Square,” F
astSoftware Encryption, LNCS 1267,1997. 、文献[５]
J.Daemen, V.Rijmen,“AES Proposal: Rijndael,”htt
p://www.east.kuleuven.ac.be/〜rijmen/rijdael/rijnd
aeldocV2.zip ）。この型の暗号では、１６個の並列Ｓ
−ｂｏｘを４×４の行列状に並べて線形拡散を同一列内
に制限することで処理を軽減している。また、線形拡散
にバイト位置の並べ替えを組み合わせることで、ある段
の１バイトの影響は２段後に全バイトに広がり、４段で
活性Ｓ−ｂｏｘ数は２５以上を達成している。
【０００４】しかしながら、同一列内のバイトが次の段
で混合しないという性質があるため、ＳＱＵＡＲＥ攻撃
という専用の攻撃法が存在する（文献[１]、文献
[５]）。これは、拡散層が１種類という制約下で、強度
と効率の両立を目指した結果と考えることが出来る。
【０００５】
【発明が解決しようとする課題】ＳＰＮ型構造は、活性
Ｓ−ｂｏｘ数の下限の見積もりが容易で、差分／線形解
読法に対する強度を保証した設計が可能である。しかし
ながら、平文／暗号文のブロック・サイズの増加に従
い、Ｓ−ｂｏｘの並列度が高くなると、拡散層の結合部
の計算コストも高くなるという欠点があった。また、拡
散層の設計によってデータ攪拌が均一でなくなる可能性
があった。
【０００６】 本発明は、上記事情を考慮してなされた
もので、計算コストを抑えたまま高く均一な拡散を可能
とする暗号化装置、暗号化方法及び暗号化装置としてコ
ンピュータを機能させるためのプログラムを記録したコ
ンピュータ読取り可能な記録媒体並びに復号装置、復号
方法及び復号装置としてコンピュータを機能させるため
のプログラムを記録したコンピュータ読取り可能な記録
媒体を提供することを目的とする。
【０００７】
【課題を解決するための手段】本発明は、ブロック暗号
方式による暗号化装置において、初段では暗号化対象と
する平文データとして第１のデータ幅のデータを、２段
目以降の各段では前段での処理が施された第１のデータ
幅のデータを入力する複数段の第１の段関数処理手段で
あって、該第１のデータ幅のデータが複数に分割された
第２のデータ幅の各データに対してそれぞれ非線形変換
処理を施す複数の第１の処理手段と、これら複数の第１
の処理手段からの第２のデータ幅の各データからなる第
１のデータ幅のデータに対して線形拡散処理を施す第２
の処理手段とからなる複数段の第１の段関数処理手段
と、前記複数段の第１の段関数処理手段のうちの最後の
段の第１の段関数処理手段での処理が施された第１のデ
ータ幅のデータを入力する第２の段関数処理手段であっ
て、該第１のデータ幅のデータが複数に分割された第２
のデータ幅の各データに対してそれぞれ非線形変換処理
を施す複数の第３の処理手段と、これら複数の第３の処
理手段からの第２のデータ幅の各データからなる第１の
データ幅のデータに基づいて前記平文データに対する暗
号化データを出力する手段とからなる第２の段関数処理
手段とを備え、前記第１の処理手段及び前記第３の処理
手段は、それぞれ、前記第２のデータ幅のデータがさら
に複数に分割された第３のデータ幅の各データに対して
それぞれ非線形変換処理を施す複数の非線形変換処理手
段と、これら複数の非線形変換処理手段からの第３のデ
ータ幅の各データからなる第２のデータ幅のデータに対
して線形拡散処理を施す線形拡散処理手段と、この線形
拡散処理手段からの第２のデータ幅のデータがさらに複
数に分割された第３のデータ幅の各データに対してそれ
ぞれ非線形変換処理を施す複数の非線形変換処理手段と
からなるものであることを特徴とする。 好ましくは、
前記第２の処理手段は予め選択された最大距離分離行列
を用いて第１のデータ幅を持つ入力データから第１のデ
ータ幅を持つ出力データを求めるものであるようにして
もよい。 好ましくは、前記最大距離分離行列として全
行列要素について下位所定ビットのみ非零であるものを
選択するようにしてもよい。 好ましくは、前記最大距
離分離行列として同一行に属する全行列要素が相異なる
値を持つものを選択するようにしてもよい。 好ましく
は、前記第２の処理手段は、前記第１のデータ幅から所
定数個おきに１ビットを取りだして連結したデータを入
力として最大距離分離行列を用いて出力を求める処理
を、該１ビットを取り出す位置を変えたものについてそ
れぞれ行うものであるようにしてもよい。 好ましく
は、前記線形拡散処理手段は予め選択された最大距離分
離行列を用いて第２のデータ幅を持つ入力データから第
２のデータ幅を持つ出力データを求めるものであるよう
にしてもよい。 また、本発明は、複数段の第１の段関
数処理手段及び第２の段関数処理手段からなるブロック
暗号方式による暗号化装置における暗号化方法であっ
て、暗号化対象とする平文データとして第１のデータ幅
のデータを入力装置から入力するステップと、初段の前
記第１の段関数処理手段により、第１のデータ幅の平文
データが複数に分割された第２のデータ幅の各データに
対してそれぞれ非線形変換処理を施し、これら非線形変
換処理を施された第２のデータ幅の各データからなる第
１のデータ幅のデータに対して線形拡散処理を施すステ
ップと、２段目以降の各段の前記第１の段関数処理手段
のそれぞれにより、順次、前段の前記第１の段関数処理
手段での処理が施された第１のデータ幅のデータを入力
し、該第１のデータ幅のデータが複数に分割された第２
のデータ幅の各データに対してそれぞれ非線形変換処理
を施し、これら非線形変換処理を施された第２のデータ
幅の各データからなる第１のデータ幅のデータに対して
線形拡散処理を施すステップと、前記第２の段関数処理
手段により、前記複数段の第１の段関数処理手段のうち
の最後の段の第１の段関数処理手段での処理が施された
第１のデータ幅のデータを入力し、該第１のデータ幅の
データが複数に分割された第２のデータ幅の各データに
対してそれぞれ非線形変換処理を施し、これら非線形変
換処理を施された第２のデータ幅の各データからなる第
１のデータ幅のデータに基づいて前記平文データに対す
る暗号化データを出力するステップとを有し、各段の前
記第１の段関数処理手段及び前記第２の段関数処理手段
により、それぞれ、前記第２のデータ幅の各データに対
してそれぞれ非線形変換処理を施すにあたっては、前記
第２のデータ幅のデータがさらに複数に分割された第３
のデータ幅の各データに対してそれぞれ非線形変換処理
を施し、これら非線形変換処理を施された第３のデータ
幅の各データからなる第２のデータ幅のデータに対して
線形拡散処理を施し、この線形拡散処理を施された第２
のデータ幅のデータがさらに複数に分割された第３のデ
ータ幅の各データに対してそれぞれ非線形変換処理を施
すことを特徴とする。また、本発明は、複数段の第１の
段関数処理手段及び第２の段関数処理手段からなるブロ
ック暗号方式による暗号化装置としてコンピュータを機
能させるためのプログラムを記録したコンピュータ読取
り可能な記録媒体において、前記プログラムは、暗号化
対象とする平文データとして第１のデータ幅のデータを
入力装置から入力するステップと、初段の前記第１の段
関数処理手段により、第１のデータ幅の前記平文データ
が複数に分割された第２のデータ幅の各データに対して
それぞれ非線形変換処理を施し、これら非線形変換処理
を施された第２のデータ幅の各データからなる第１のデ
ータ幅のデータに対して線形拡散処理を施すステップ
と、２段目以降の各段の前記第１の段関数処理手段のそ
れぞれにより、順次、前段の前記第１の段関数処理手段
での処理が施された第１のデータ幅のデータを入力し、
該第１のデータ幅のデータが複数に分割された第２のデ
ータ幅の各データに対してそれぞれ非線形変換処理を施
し、これら非線形変換処理を施された第２のデータ幅の
各データからなる第１のデータ幅のデータに対して線形
拡散処理を施すステップと、前記第２の段関数処理手段
により、前記複数段の第１の段関数処理手段のうちの最
後の段の第１の段関数処理手段での処理が施された第１
のデータ幅のデータを入力し、該第１のデータ幅のデー
タが複数に分割された第２のデータ幅の各データに対し
てそれぞれ非線形変換処理を施し、これら非線形変換処
理を施された第２のデータ幅の各データからなる第１の
データ幅のデータに基づいて前記平文データに対する暗
号化データを出力装置から出力するステップとをコンピ
ュータに実行させるとともに、各段の前記第１の段関数
処理手段及び前記第２の段関数処理手段により、それぞ
れ、前記第２のデータ幅の各データに対してそれぞれ非
線形変換処理を施すにあたっては、前記第２のデータ幅
のデータがさらに複数に分割された第３のデータ幅の各
データに対してそれぞれ非線形変換処理を施し、これら
非線形変換処理を施された第３のデータ幅の各データか
らなる第２のデータ幅のデータに対して線形拡散処理を
施し、この線形拡散処理を施された第２のデータ幅のデ
ータがさらに複数に分割された第３のデータ幅の各デー
タに対してそれぞれ非線形変換処理を施させるものであ
ることを特徴とする。 また、本発明は、ブロック暗号
方式による復号装置において、復号対象とする暗号化デ
ータとして第１のデータ幅のデータを入力する第１の段
関数処理手段であって、該暗号化データに基づいて得ら
れる第１のデータ幅のデータが複数に分割された第２の
データ幅の各データに対してそれぞれ非線形変換処理を
施す複数の第１の処理手段からなる第１の段関数処理手
段と、初段では前記第１の段関数処理手段からの第１の
データ幅のデータを、２段目以降の各段では前段での処
理が施された第１のデータ幅のデータを入力する複数段
の第２の段関数処理手段であって、該第１のデータ幅に
対して線形拡散処理を施す第２の処理手段と、該第２の
処理手段からの第１のデータ幅のデータが複数に分割さ
れた第２のデータ幅の各データに対してそれぞれ非線形
変換処理を施し、最後の段以外の各段では、これら非線
形変換処理を施された第２のデータ幅の各データからな
る第１のデータ幅のデータを次段へ出力し、最後の段で
は、これら非線形変換処理を施された第２のデータ幅の
各データからなる第１のデータ幅のデータを前記暗号化
データに対する平文データとして出力する複数の第３の
処理手段とからなる複数段の第２の段関数処理手段とを
備え、前記第１の処理手段及び前記第３の処理手段は、
それぞれ、前記第２のデータ幅のデータがさらに複数に
分割された第３のデータ幅の各データに対してそれぞれ
非線形変換処理を施す複数の非線形変換処理手段と、こ
れら複数の非線形変換処理手段からの第３のデータ幅の
各データからなる第２のデータ幅のデータに対して線形
拡散処理を施す線形拡散処理手段と、この線形拡散処理
手段からの第２のデータ幅のデータがさらに複数に分割
された第３のデータ幅の各データに対してそれぞれ非線
形変換処理を施す複数の非線形変換処理手段とからなる
ものであることを特徴とする。 また、本発明は、第１
の段関数処理手段及び複数段の第２の段関数処理手段か
らなるブロック暗号方式による復号装置における復号方
法であって、復号対象とする暗号化データとして第１の
データ幅のデータを入力装置から入力するステップと、
前記第１の段関数処理手段により、第１のデータ幅の暗
号化データが複数に分割された第２のデータ幅の各デー
タに対してそれぞれ非線形変換処理を施すステップと、
初段の前記第２の段関数処理手段により、前記第１の段
関数処理手段からの第１のデータ幅のデータを入力し、
該第１のデータ幅に対して線形拡散処理を施し、この線
形拡散処理を施された第１のデータ幅のデータが複数に
分割された第２のデータ幅の各データに対してそれぞれ
非線形変換処理を施すステップと、初段及び最後の段以
外の各段の前記第２の段関数処理手段のそれぞれによ
り、順次、前段の前記第２の段関数処理手段での処理が
施された第１のデータ幅のデータを入力し、該第１のデ
ータ幅に対して線形拡散処理を施し、この線形拡散処理
を施された第１のデータ幅のデータが複数に分割された
第２のデータ幅の各データに対してそれぞれ非線形変換
処理を施すステップと、最後の段の前記第２の段関数処
理手段により、前段の前記第２の段関数処理手段での処
理が施された第１のデータ幅のデータを入力し、該第１
のデータ幅に対して線形拡散処理を施し、この線形拡散
処理を施された第１のデータ幅のデータが複数に分割さ
れた第２のデータ幅の各データに対してそれぞれ非線形
変換処理を施し、これら非線形変換処理を施された第２
のデータ幅の各データからなる第１のデータ幅のデータ
を前記暗号化データに対する平文データとして出力する
ステップとを有し、前記第１の段関数処理手段及び各段
の前記第２の段関数処理手段により、それぞれ、前記第
２のデータ幅の各データに対してそれぞれ非線形変換処
理を施すにあたっては、前記第２のデータ幅のデータが
さらに複数に分割された第３のデータ幅の各データに対
してそれぞれ非線形変換処理を施し、これら非線形変換
処理を施された第３のデータ幅の各データからなる第２
のデータ幅のデータに対して線形拡散処理を施し、この
線形拡散処理を施された第２のデータ幅のデータがさら
に複数に分割された第３のデータ幅の各データに対して
それぞれ非線形変換処理を施すことを特徴とする。 ま
た、本発明は、第１の段関数処理手段及び複数段の第２
の段関数処理手段からなるブロック暗号方式による復号
装置としてコンピュータを機能させるためのプログラム
を記録したコンピュータ読取り可能な記録媒体におい
て、前記プログラムは、復号対象とする暗号化データと
して第１のデータ幅のデータを入力装置から入力するス
テップと、前記第１の段関数処理手段により、第１のデ
ータ幅の前記暗号化データが複数に分割された第２のデ
ータ幅の各データに対してそれぞれ非線形変換処理を施
すステップと、初段の前記第２の段関数処理手段によ
り、前記第１の段関数処理手段からの第１のデータ幅の
データを入力し、該第１のデータ幅に対して線形拡散処
理を施し、この線形拡散処理を施された第１のデータ幅
のデータが複数に分割された第２のデータ幅の各データ
に対してそれぞれ非線形変換処理を施すステップと、初
段及び最後の段以外の各段の前記第２の段関数処理手段
のそれぞれにより、順次、前段の前記第２の段関数処理
手段での処理が施された第１のデータ幅のデータを入力
し、該第１のデータ幅に対して線形拡散処理を施し、こ
の線形拡散処理を施された第１のデータ幅のデータが複
数に分割された第２のデータ幅の各データに対してそれ
ぞれ非線形変換処理を施すステップと、最後の段の前記
第２の段関数処理手段により、前段の前記第２の段関数
処理手段での処理が施された第１のデータ幅のデータを
入力し、該第１のデータ幅に対して線形拡散処理を施
し、この線形拡散処理を施された第１のデータ幅のデー
タが複数に分割された第２のデータ幅の各データに対し
てそれぞれ非線形変換処理を施し、これら非線形変換処
理を施された第２のデータ幅の各データからなる第１の
データ幅のデータを前記暗号化データに対する平文デー
タとして出力装置から出力するステップとをコンピュー
タに実行させるとともに、前記第１の段関数処理手段及
び各段の前記第２の段関数処理手段により、それぞれ、
前記第２のデータ幅の各データに対してそれぞれ非線形
変換処理を施すにあたっては、前記第２のデータ幅のデ
ータがさらに複数に分割された第３のデータ幅の各デー
タに対してそれぞれ非線形変換処理を施し、これら非線
形変換処理を施された第３のデータ幅の各データからな
る第２のデータ幅のデータに対して線形拡散処理を施
し、この線形拡散処理を施された第２のデータ幅のデー
タがさらに複数に分割された第３のデータ幅の各データ
に対してそれぞれ非線形変換処理を施させるものである
ことを特徴とする。 また、本発明は、共通鍵ブロック
暗号方式による暗号化装置において、初段では入力され
た１２８ビットの平文ブロックデータを、２段目以降の
各段では前段での処理が施された１２８ビットのブロッ
クデータを入力とし、該ブロックデータを４分割した４
組の３２ビット・データに対してそれぞれ局所的な線形
拡散処理と非線形変換処理と局所的な線形拡散処理とを
順次施して出力する４つの第１の非線形変換処理部と、
これら４つの第１の非線形変換処理部からそれぞれ出力
された４組の３２ビット・データを連結した１２８ビッ
トのブロックデータに対して最大距離分離行列を用いて
線形拡散処理を施し次段へ出力する第１の拡散処理部と
を、１段分の段構成として、該段構成を所定段数分接続
し、最後の前記第１の拡散処理部の後段に、この第１の
拡散処理部から出力される１２８ビットのブロックデー
タを入力とする前記４つの第１の非線形変換処理部を接
続し、この４つの第１の非線形変換処理部の後段に、こ
れら４つの第１の非線形変換処理部からそれぞれ出力さ
れた４組の３２ビット・データを連結した１２８ビット
のブロックデータに対して１２８ビットの鍵データを加
算して１２８ビットの暗号化されたブロックデータとし
て出力する第１の鍵加算部を接続して構成されるととも
に、前記第１の非線形変換処理部の各々は、与えられた
１組の前記３２ビット・データをさらに４分割した４組
の８ビット・データに対してそれぞれ８ビットの鍵デー
タを加算する４つの第２の鍵加算部と、各第２の鍵加算
部の出力に対してそれぞれ８ビットの入出力変換表を用
いて非線形変換を行う４つの第２の非線形変換処理部
と、これら４つの第２の非線形変換処理部からそれぞれ
出力された４組の８ビット・データを連結した３２ビッ
ト・データに対して最大距離分離行列を用いて線形拡散
処理を施す第２の拡散処理部と、この第２の拡散処理部
の後段にさらに接続された４組の前記第２の鍵加算部お
よび第２の非線形変換処理部とからなるものであること
を特徴とする。 また、本発明は、共通鍵ブロック暗号
方式による暗号化装置において、初段では入力された６
４ビットの平文ブロックデータを、２段目以降の各段で
は前段での処理が施された６４ビットのブロックデータ
を入力とし、該ブロックデータを２分割した２組の３２
ビット・データに対してそれぞれ局所的な線形拡散処理
と非線形変換処理と局所的な線形拡散処理とを順次施し
て出力する２つの第１の非線形変換処理部と、これら２
つの第１の非線形変換処理部からそれぞれ出力された２
組の３２ビット・データを連結した６４ビットのブロッ
クデータに対して最大距離分離行列を用いて線形拡散処
理を施し次段へ出力する第１の拡散処理部とを、１段分
の段構成として、該段構成を所定段数分接続し、最後の
前記第１の拡散処理部の後段に、この第１の拡散処理部
から出力される６４ビットのブロックデータを入力とす
る前記２つの第１の非線形変換処理部を接続し、この２
つの第１の非線形変換処理部の後段に、これら２つの第
１の非線形変換処理部からそれぞれ出力された２組の３
２ビット・データを連結した６４ビットのブロックデー
タに対して６４ビットの鍵データを加算して６４ビット
の暗号化されたブロックデータとして出力する第１の鍵
加算部を接続して構成されるとともに、前記第１の非線
形変換処理部の各々は、与えられた１組の前記３２ビッ
ト・データをさらに４分割した４組の８ビット・データ
に対してそれぞれ８ビットの鍵データを加算する４つの
第２の鍵加算部と、各第２の鍵加算部の出力に対してそ
れぞれ８ビットの入出力変換表を用いて非線形変換を行
う４つの第２の非線形変換処理部と、これら４つの第２
の非線形変換処理部からそれぞれ出力された４組の８ビ
ット・データを連結した３２ビット・データに対して最
大距離分離行列を用いて線形拡散処理を施す第２の拡散
処理部と、この第２の拡散処理部の後段にさらに接続さ
れた４組の前記第２の鍵加算部および第２の非線形変換
処理部とからなるものであることを特徴とする。
【０００８】
【０００９】
【００１０】
【００１１】
【００１２】
【００１３】
【００１４】
【００１５】
【００１６】
【００１７】
【００１８】
【００１９】
【００２０】
【００２１】なお、装置に係る本発明は方法に係る発明
としても成立し、方法に係る本発明は装置に係る発明と
しても成立する。暗号化装置に係る従属項は、暗号化方
法、復号装置、復号方法に係る従属項としても成立す
る。
【００２２】また、装置または方法に係る本発明は、コ
ンピュータに当該発明に相当する手順を実行させるため
の（あるいはコンピュータを当該発明に相当する手段と
して機能させるための、あるいはコンピュータに当該発
明に相当する機能を実現させるための）プログラムを記
録したコンピュータ読取り可能な記録媒体としても成立
する。
【００２３】本発明では、局所的なデータ拡散を行う小
型の拡散層とブロック幅に及ぶ拡散を行う大型の拡散層
を交互に重ねて運用する。本発明によれば、複数種類の
異なる拡散（例えば、大小２段階の拡散）によって、計
算コストを抑えたまま高く均一な拡散を実現した。ま
た、階層的にブランチ数が保証でき（ブランチ数の階層
性）、活性Ｓ−ｂｏｘ数の下限を容易に保証できる。ま
た、強度評価がしやすいという特性がある。
【００２４】ＳＱＵＡＲＥ暗号やＲｉｊｎｄａｅｌ暗号
では、小型の拡散とバイト単位の並べ方によって同等の
効果を実現している。しかし、それらの暗号では拡散層
が１種類であるため、ＳＱＵＡＲＥ攻撃と呼ばれる解読
法が存在する。本発明では、大小２種類の拡散層の組み
合わせ方によって、ＳＱＵＡＲＥ攻撃に対する耐性の向
上が可能である。
【００２５】
【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。
【００２６】本実施形態では、局所的な拡散（小拡散）
と、ブロック幅に渡る拡散（大拡散）との組み合わせに
よる、入れ子型（再帰的）ＳＰＮ構造の暗号方式につい
て説明する。
【００２７】以下では、暗号化を中心に説明し、その後
で復号について説明する。なお、復号アルゴリズムは、
暗号アルゴリズムの逆変換であり、鍵は暗号化と復号で
共通の、秘密の鍵である。
【００２８】また、本暗号方式は、ハードウェアによっ
てもソフトウェアによっても実現可能であり、以下に示
す構成例は、暗号化装置（復号装置）の機能ブロック図
としても成立し、また暗号アルゴリズム（復号アルゴリ
ズム）の機能モジュール図としても成立する。
【００２９】図１に、入れ子型（再帰的）ＳＰＮ構造の
暗号方式（暗号化装置（もしくは復号装置）または暗号
アルゴリズム（もしくは復号アルゴリズム）、暗号処理
装置）の基本的な構成例を示す。
【００３０】図１に示されるように、入れ子型ＳＰＮ構
造では、各段において複数並列に並んだ非線形変換モジ
ュール（後述の例では拡大Ｓ−ｂｏｘ）２の各々により
局所的な小拡散を行い、次いで拡散モジュール（後述の
例では大ＭＤＳ）３によりブロック幅に渡る大拡散を行
い、また非線形変換モジュール２により局所的な小拡散
を行い、ということを所定段数繰り返す。さらに、非線
形変換モジュール２は、非線形変換モジュール（後述の
例ではＳ−ｂｏｘ）４と拡散モジュール（後述の例では
小ＭＤＳ）５とを交互に配列して構成される。
【００３１】すなわち、本実施形態の入れ子型ＳＰＮ構
造は、通常のＳＰＮ構造のＳ−ｂｏｘの部分に小型のＳ
ＰＮ構造（後述の例では２段のＳＰＮ構造）を再帰的に
埋め込んだものである。
【００３２】このような入れ子型ＳＰＮ構造によれば、
ブランチ数が階層的に保証でき（ブランチ数の階層
性）、活性Ｓ−ｂｏｘ数の下限を容易に保証できる、と
いう優れた特質が得られる。また、入れ子型ＳＰＮ構造
には、この他に、単純明快な構造のため、強度評価がし
やすいという特性がある。
【００３３】なお、図１では、局所的な小拡散を４並列
で表しているが、これに限定されるものではなく、それ
以外の並列数も可能である。また、図１では、全ブロッ
ク長を均等に分割した複数の小拡散を並列されている
が、これに限定されるものではなく、異なるビット長の
小拡散を複数組み合わせることも可能である。また、こ
の場合に、全ての小拡散のビット長を異なるようにして
もよいし、一部の小拡散のビット長は同じであってもよ
い。また、図１では、１種類の局所的な小拡散を用いて
いるが、２種類以上の局所的な小拡散を用いることも可
能である（例えば、図１において、ブロック幅に渡る拡
散モジュール３を、１つおきに、２つの非線形変換モジ
ュール２に渡る拡散モジュールに替えた構成）。また、
同一構成の繰り返し構造にする方法の他に、一部のみ構
成を替えることも可能である。また、例えば、全ての非
線形変換モジュール２の構成を同一構成にすることも、
非線形変換モジュール２について、異なる構成を混在さ
せることも可能である。この点は、拡散モジュール３、
非線形変換モジュール４、拡散モジュール５のそれぞれ
についても同様である。また、例えば、最初の入力段
と、最後の出力段だけ、他の中間段とは異なる内部構成
にしてもよい。また、図１では、２階層の入れ子構造で
あるが、３階層以上の入れ子構造も可能である（３階層
の場合、例えば、非線形変換モジュール４をさらにＳＰ
Ｎ構造にする）。また、例えば、非線形変換モジュール
２によって階層構造を異ならせることも可能である。こ
の他にも、種々のバリエーションが考えられる。
【００３４】以下では、８ビットＳ−ｂｏｘを利用した
ＡＥＳ相当の１２８ビット・ブロック暗号の具体例を用
いつつ本実施形態について説明する。
【００３５】ここで、ブロック暗号の強度評価に関して
説明する。
【００３６】与えられた関数ｆの暗号強度を見積もる重
要な指標として最大差分確率／最大線形確率がある。
【００３７】［最大差分確率、最大線形確率の定義］関
数ｆ（ｘ）に対し、最大差分確率ｄｐｆと最大線形確率
ｌｐｆはそれぞれ次式で表される。
【００３８】
【数１】
【００３９】ここで、Δｘはｘの入力差分、Γｘはｘの
マスク値を表す。
【００４０】一般には、最大差分確率ｄｐｆや最大線形
確率ｌｐｆを求めることが困難な場合が多い。ここで、
その近似値として最大差分特性確率ＤＰｆおよび最大線
形特性確率ＬＰｆで安全性を評価する。
【００４１】本実施形態では、入れ子型ＳＰＮ構造を暗
号化関数として用いる。ここでは、その基本構造である
ＳＰＳ構造の特性について述べる。ここで、ＳＰＳと
は、Ｓ−ｂｏｘ層と拡散層ＰをＳ−Ｐ−Ｓのように３層
重ねた構造を指す。
【００４２】［ブランチ数］ＳＰＳ構造において入力ｘ
に対する拡散層の出力がθ（ｘ）のとき、差分解読に対
するブランチ数Ｂは次式で定義する（文献[１]、文献
[６]清水秀夫,金子敏信,“共通鍵暗号のdiffusion層に
ついて,”SCIS 99-72,1999.）。
【００４３】
【数２】
【００４４】ここで、ｗ（）はＳ−ｂｏｘのビット幅を
符号長としたハミング距離である。非零の入出力差分に
接続するＳ−ｂｏｘを活性Ｓ−ｂｏｘと呼ぶ。
【００４５】この拡散層の入出力にＳ−ｂｏｘを接続し
た構造をＳＰＳ構造と呼ぶ。Ｓ−ｂｏｘが全単射のと
き、ＳＰＳ構造への入力ビットに非零の差分を持つもの
が１個でもあれば、ブランチ数の定義により、活性Ｓ−
ｂｏｘはブランチ数以上（すなわちＢ以上）になる。ま
た、Ｓ−ｂｏｘの最大差分確率をｐs とすると、ＳＰＳ
構造の最大差分特性確率は、上界値ｐs Ｂを越えない。
【００４６】［ＭＤＳ（Ｍａｘｉｍｕｍ Ｄｉｓｔａｎ
ｃｅ Ｓｅｐａｒａｂｌｅ）行列］ＳＰＳ構造のＳ層と
してＭ並列のＳ−ｂｏｘを用いた場合、それらを結合す
る拡散層のブランチ数は（Ｍ＋１）以下であり、ブラン
チ数が（Ｍ＋１）を満たす線形変換をＭＤＳ（Ｍａｘｉ
ｍｕｍ Ｄｉｓｔａｎｃｅ Ｓｅｐａｒａｂｌｅ；最大
距離分離）行列と呼ぶ。
【００４７】拡散層がＭＤＳ行列であるとき、ＳＰＳ構
造の最大差分特性確率は上界値ｐs M+1 を越えない
［１］。同様に、Ｓ−ｂｏｘの最大線形確率をｑs とす
ると、ＳＰＳ構造の最大線形特性確率はｑｓ M+1 を越
えない。
【００４８】［入れ子型ＳＰＳ構造のブランチ数］２段
ＳＰＮ構造をそれより大きなＳＰＮ構造のＳ−ｂｏｘと
して利用するとき、拡大Ｓ−ｂｏｘ（小構造）と呼ぶこ
とにする。ここで、Ｓ−ｂｏｘはＭ1 並列であり、拡大
Ｓ−ｂｏｘ内の拡散層のブランチ数をＢ1 とする。拡大
Ｓ−ｂｏｘに対するＭ2 並列の２段ＳＰＮ構造（大構
造）を考え、その拡散層のブランチ数をＢ2 とする。こ
のとき、大構造中の活性Ｓ−ｂｏｘ数は下界値Ｂ1 ・Ｂ
2 を下回らない。この性質がブランチ数の階層性であ
る。
【００４９】また、大小２種類の拡散層の両方がＭＤＳ
行列であるとき、活性Ｓ−ｂｏｘ数は（Ｍ1 ＋１）（Ｍ
2 ＋１）を下回らない。これにより、入れ子型ＳＰＮ構
造のＤＰｆ、ＬＰｆの上限を抑えることが可能になる。
【００５０】図２に、Ｍ1 ＝Ｍ2 ＝４の場合の例を示
す。１５が後述する大ＭＤＳ行列による拡散部を示し、
１１〜１４がその入力側の拡大Ｓ−ｂｏｘを示し、１６
〜１９がその出力側の拡大Ｓ−ｂｏｘを示し、各々の拡
大Ｓ−ｂｏｘ内において、２０が後述する小ＭＤＳによ
る拡散部を示し、図中で最も小さく示した矩形（２１，
２２）が入力側および出力側のＳ−ｂｏｘを示す。
【００５１】図２において、Ｓ−ｂｏｘのうちハッチン
グしたものは活性を表し（図中の２１参照）、白抜きで
示したものは差分零を表す（図中の２２参照）。また、
太線で示した拡大Ｓ−ｂｏｘ（１１，１３，１６，１
７，１９）は活性を表し、その他の拡大Ｓ−ｂｏｘ（１
２，１４，１８）は差分零を表す。４段で活性Ｓ−ｂｏ
ｘが２５個以上であることが分かる。
【００５２】このように、本例の暗号では、２段で５×
５＝２５個以上の活性Ｓ−ｂｏｘ数を保証できる。Ｓ−
ｂｏｘの最大差分確率は、 ｐs ＝６／２５６、 ２段での差分特性確率は、 ｐs 25＝２-135.4＜＜２-128、 となり、差分解読法が有効でないことが分かる。
【００５３】同様に、線形特性確率についても、 ｑs ＝２２／２５６、 ｑs 25＝２-88.5 ＜＜２-64 、 となり、線形解読法が有効でないことが分かる。
【００５４】なお、従来のＳＱＵＡＲＥ／Ｒｉｊｎｄａ
ｅｌ型暗号に適用されるＳＱＵＡＲＥ攻撃は、段内の１
バイトに対して、他の入力を固定したまま、２8 通りの
すべてのパターンを入力したとき、２段通過後の出力バ
イトの各々に対して２8 通りのすべてのパターンが出現
する特性を利用するものであるが、本例の暗号では、例
えば後述する大ＭＤＳの取り方によってＳ−ｂｏｘ間の
攪拌性を向上させることで、その単純な適用を困難にし
ている。
【００５５】以下では、入れ子型暗号方式の具体例を用
いながら本実施形態についてより詳しく説明する。
【００５６】本実施形態の具体例の構成について説明す
る。
【００５７】図３に、本実施形態の入れ子型暗号方式の
データ攪拌部の階層構造の例を示す。
【００５８】ブロック長は、１２８ビットを例にとる
（もちろん、他のブロック長でも本発明は実施可能であ
る）。鍵長は、２５６ビットを例にとる（もちろん、他
の鍵長でも本発明は実施可能である）。なお、本実施形
態で、ブロック長を１２８ビットとしたときに、鍵長を
１２８ビットや１９２ビットとした場合について後述す
る。
【００５９】複数並列された拡大Ｓ−ｂｏｘと大ＭＤＳ
との対（ただし、後述するように最終段は大ＭＤＳを含
まない）を１段と数えるものとした場合に、段数をＲ段
として表し、具体例を用いる場合にはＲ＝８を用いる。
なお、基本的には段数は何段でも実施可能であるが、実
際の段数は、例えば安全性や計算機資源等を想定して適
宜設定することができ、好ましくは６段以上、より好ま
しくは８段以上とすると、より効果的である。
【００６０】なお、本例の暗号では、段関数がＳ−ｂｏ
ｘ層を２層含んでいるので、１段が通常の２段に相当す
る。段構造内の大ＭＤＳについては、異なるガロア体に
基づくいくつかの実装を示す（強度優先や速度優先の例
を挙げる）。
【００６１】図４に、本実施形態に係る暗号化装置の構
成例を示す。
【００６２】１０１が各段であり、１０４は大ＭＤＳ拡
散層、１０２は拡大Ｓ−ｂｏｘ層、１０３は各々の拡大
Ｓ−ｂｏｘである。１０５は、排他的論理和部である。
１２１〜１２４は、詳しくは後述する鍵スケジュール部
の構成部分である。Ｐは入力となる１２８ビットの平文
データ、Ｃは出力となる１２８ビットの暗号文データで
ある。
【００６３】段関数は、以下に述べるように、２段ＳＰ
Ｎ構造からなる３２ビット処理サブ・ブロック（拡大Ｓ
−ｂｏｘ）１０３を４個並列に並べ、ＭＤＳ拡散層１０
４で繋いだ構造である。全体の基本構造は、この段関数
の繰り返しにする。
【００６４】なお、図４の例では、暗号化と復号の処理
を対称的にするため、最終段は拡大Ｓ−ｂｏｘ層１０２
とその後の鍵加算１０５だけで構成することにしてい
る。
【００６５】段関数１段に２段ＳＰＮ構造が埋め込ま
れ、最後に鍵加算が行われるので、拡大鍵のビット長
は、２×１２８×Ｒ＋１２８＝１２８（２Ｒ＋１）とな
る。Ｒ＝８の場合には、１２８×１７ビットとなる。
【００６６】次に、Ｓ−ｂｏｘについて説明する。
【００６７】本例の暗号では、入出力表で定義する８ビ
ットＳ−ｂｏｘを利用する。
【００６８】図５に、８ビットＳ−ｂｏｘの入出力表の
一例を示す。図５において、配列要素は１６進数で表現
してある。
【００６９】図５の表は、最左上の値（７２）がｓ
［０］に対応し、その１つ右の値（ＡＡ）がｓ［１］に
対応し、その行の右端の値（９Ｆ）がｓ［１５］に対応
し、次の行に移って、その左端の値（６９）がｓ［１
６］に対応し、その１つ右の値（６Ａ）がｓ［１７］に
対応し、以下同様の要領である。そして、最下右の値
（５７）がｓ［２５５］に対応する。
【００７０】図５に例示したＳ−ｂｏｘの特性は、次の
通りである。 ・最大差分確率：６／２５６（理論的最小値は４／２５
６） ・最大線形確率：２２／２５６（理論的最小値は１６／
２５６） ・代数次数：７次（全単射関数の最大値） なお、Ｓ−ｂｏｘには、入出力表を用いる代わりに、演
算処理を用いても良い。
【００７１】次に、各々の拡大Ｓ−ｂｏｘ（または小構
造とも呼ぶ）の部分について説明する。
【００７２】図６に、拡大Ｓ−ｂｏｘ１０３の内部構成
例を示す。この例では、４並列の８ビットＳ−ｂｏｘ１
１２（図５参照）を２組用意し、拡散層１１３を挟んだ
２段ＳＰＮ構造になっている。この構造は、ＳＰＳ構造
と呼ぶべきものでもあるが、２段目の拡散層が省略され
た特殊な２段ＳＰＮ構造とみなす。Ｓ−ｂｏｘ１１２の
入力直前では、必ず鍵加算１１１を行う。拡大Ｓ−ｂｏ
ｘ内の拡散層１１３には、ＭＤＳ行列を使用し、これを
小ＭＤＳと呼び、ＭＤＳＳと表記する。小ＭＤＳのブラ
ンチ数は５である。
【００７３】図７に、本例の暗号で利用するＭＤＳＳ行
列の一例を示す。図７において、行列要素は１６進数で
表現してある。ここで、Ｓ−ｂｏｘ入出力と行列要素
は、乗算の際、ガロア体ＧＦ（２8 ）の元とみなす。こ
の例の場合の原始多項式は、ｘ 8 ＋ｘ6 ＋ｘ5 ＋ｘ＋１
である。
【００７４】次に、本例の暗号の段関数である大構造に
ついて説明する。
【００７５】図８に、１段の部分の構成例を示す。本例
の暗号の段関数である大構造は、４並列の３２ビット拡
大Ｓ−ｂｏｘ１０３（図６参照）をＭＤＳ行列の拡散層
１０４で結合して構成する。この段関数である大構造に
おける拡散層１０４にも、ＭＤＳ行列を使用し、これを
大ＭＤＳと呼び、ＭＤＳＬと表記する。ただし、ここで
のＭＤＳ行列とは、拡大Ｓ−ｂｏｘに着目したブランチ
数が５であることを意味する。
【００７６】大ＭＤＳの最も単純な構成は、拡大Ｓ−ｂ
ｏｘの３２ビット幅の出力をＧＦ（２32）の元として実
現する方法である。この方法は高い強度が実現しやすい
が、一般的な実行は困難もしくは高速化はしにくい。そ
こで、この場合には、大ＭＤＳ行列に制約を課すのが好
ましい。
【００７７】また、４並列のＭＤＳを構成するには、４
ビット幅で十分であり、ＧＦ（２4）上の演算を利用し
て実現できる。さらに、ＭＤＳを巡回的なものにするこ
とで、効率的な計算が可能になる。
【００７８】また、実際には、これ以外のＧＦ（２8 ）
やＧＦ（２16）を利用する中間の型も可能である。
【００７９】ＧＦ（２32）を利用した大ＭＤＳについて
説明する。
【００８０】この場合、拡大Ｓ−ｂｏｘの入出力をＧＦ
（２32）の元とみなして、大構造ＭＤＳを設計する。こ
れは、ＳＰＮ構造での自然な設計法である。しかし、３
２ビット幅では乗算表による実装は現実的ではない。計
算による場合も一般のＭＤＳ行列では計算量が掛かり高
速化が困難である。計算量が増加する原因は、ガロア体
上の乗算における桁上がり時の処理が重いためである。
計算量を抑えるためには、大ＭＤＳ行列を、ビット表現
で３２ビット中の下位５ビットにのみ１が現れる（下位
５ビット以外は０のものに限定した）要素で構成する方
法がある。このような条件を満たす行列を使用すること
で、桁上がり処理を上位４ビットを入力とする表引きで
処理可能となる。
【００８１】図９に、大ＭＤＳ行列の一例を示す。この
例の場合の原始多項式は、ｘ32＋ｘ 28＋ｘ27＋ｘ＋１で
ある。
【００８２】ＧＦ（２4 ）を利用した大ＭＤＳについて
説明する。
【００８３】図１０に、この場合のＭＤＳ行列の一例を
示す。この例の場合の原始多項式は、ｘ4 ＋ｘ＋１とす
る。
【００８４】ここでは、１つの拡大Ｓ−ｂｏｘ１０３に
おいて４つのＳ−ｂｏｘの各々の出力すなわち８ビット
・データの同じ位置（例えば図１０では最上位ビットを
例にとって示している）の１ビットを集めて、これを１
組４ビットのデータとし、４つの拡大Ｓ−ｂｏｘ１０３
からの４組の４ビット・データを、ＧＦ（２4 ）の元と
みなす。
【００８５】そして、８ビット・データの同じ位置につ
いて、２段の４並列拡大Ｓ−ｂｏｘ層の間の拡散層１０
４に４行４列のＭＤＳ行列（例えば図１０では最上位ビ
ットの場合、１０４−１）を用いる。
【００８６】出力となった４組の４ビット・データは、
それぞれ対応するもとの８ビット・データの同じ位置に
結線される。
【００８７】Ｓ−ｂｏｘのビット幅に対応して、８個の
ＭＤＳ行列（１０４−１〜１０４−８）を用意して、大
ＭＤＳとする。
【００８８】これらの４行４列のＭＤＳ行列は、それぞ
れ、ブランチ数５を保証する。各ＭＤＳ行列は、Ｓ−ｂ
ｏｘ中の異なるビット位置に接続するので、全体として
もブランチ数５を保証する。
【００８９】各拡大Ｓ−ｂｏｘの同じ位置のＳ−ｂｏｘ
出力を単位とした表引きによって（なお、演算によって
もよい）、８個のＭＤＳ行列を同時に処理する効率的な
実行が可能である。
【００９０】さらに、ＭＤＳ行列が巡回的な場合、３２
ビットごとの排他的論理和と８ビット単位のビット回転
を組み合わせた効率的な処理が可能となる。
【００９１】なお、上記と同様の考え方により、８ビッ
ト・データのうちの同じ位置の２ビットごとに処理を行
うこととして、各要素が８ビットの４行４列のＭＤＳ行
列（ＧＦ（２8 ））を、４個用意して、大ＭＤＳとする
ことも可能である。また、８ビット・データのうちの同
じ位置の４ビットごとに処理を行うこととして、各要素
が１６ビットの４行４列のＭＤＳ行列（ＧＦ（２16））
を、２個用意して、大ＭＤＳとすることも可能である。
【００９２】なお、上記では、同じ位置のビットを取り
出して処理を行うものとして説明したが、異なる位置の
ビットを（排他的に）取り出して処理を行うことも可能
である。
【００９３】なお、図４では、拡大Ｓ−ｂｏｘを４並列
で表しているが、これに限定されるものではなく、それ
以外の並列数も可能である。また、拡大Ｓ−ｂｏｘの内
部構成を、全て同一とせずに、異なるものを混在させる
ことも可能である。また、全ての大ＭＤＳ行列を同一に
せずに、異なるものを混在させることも可能である。こ
の点は、小ＭＤＳ行列、Ｓ−ｂｏｘの入出力表について
も同様である。また、例えば、最初の入力段と、最後の
出力段だけ、他の中間段とは異なる内部構成にしてもよ
い。この他にも、種々のバリエーションが考えられる。
【００９４】次に、鍵スケジュール部（鍵生成部）につ
いて説明する。
【００９５】図１１に、鍵スケジュール部の構成例を示
す。１２１は、データ攪拌部の段関数の１段分に対応す
る部分であり、１３１は線形拡散層（本例では、大ＭＤ
Ｓによる拡散層とする）であり、１３２は非線形変換層
（本例では、４並列のＳＰ層（Ｓ−ｂｏｘ層・拡散層）
１３３とする）であり、１３４は排他的論理和部であ
り、１３５は剰余加算部である。図１１では省略してい
るが、１２１の部分の構成が必要に応じて繰り返される
ことになる。なお、１２８ビットの鍵を出力する構成単
位を鍵スケジュール部の１つの段とすると、鍵スケジュ
ール部の段数は（２Ｒ＋１）段となる（Ｒ＝８の場合、
１７段である）。
【００９６】図１１の例では、２５６ビットの変形Ｆｅ
ｉｓｔｅｌ型繰り返し処理の各段の出力左半分１２８ビ
ットを取り出し、段数依存定数Ｃi を剰余加算して拡大
鍵とする。
【００９７】なお、鍵長を２５６ビットとする場合に
は、例えば、上位１２８ビットを初段の線形拡散層１３
１に与え、下位１２８ビットを非線形変換層１３２に与
えればよい。また、鍵長を１２８ビットとする場合に
は、例えば、その１２８ビットを初段の線形拡散層１３
１に与えるとともに、非線形変換層１３２に与えればよ
い。また、鍵長を１９２ビットとする場合には、例え
ば、上位１２８ビットを初段の線形拡散層１３１に与
え、下位側６４ビットと上位側６４ビットとを結合した
１２８ビットを非線形変換層１３２に与えればよい。
【００９８】なお、図１２のように、段数依存定数Ｃi
を剰余加算する箇所について、種々のバリエーションが
考えられる。
【００９９】図１３に、図１１や図１２における非線形
変換層１３２の各々の非線形変換層１３３の構成例を示
す。１４１はＳ−ｂｏｘであり、１４２は４並列のＳ−
ｂｏｘを入力とする小ＭＤＳである。
【０１００】なお、このＳ−ｂｏｘは、図４の暗号処理
側のＳ−ｂｏｘと同じものでもよいし、異なるものでも
よい。小ＭＤＳについても同様である。また、鍵スケジ
ュール部の各段によってＳ−ｂｏｘや小ＭＤＳの構成を
変えることも可能である。
【０１０１】図１４に、図１１や図１２における非線形
変換層１３２の各々の非線形変換層１３３の他の構成例
を示す。この例は、図１３の構成に対して、排他的論理
和部１４３を付加したものである。
【０１０２】さらに、図１４において、Ｓ−ｂｏｘに対
する入力と排他的論理和をとる定数を、段数依存定数と
する構成も可能である。
【０１０３】次に、各段で異なる定数Ｃi を作る方法の
一例について説明する。
【０１０４】図１１や図１２の鍵スケジュール部の１２
８ビットの加算定数Ｃi は、４つのビット定数（Ｈ0 ，
Ｈ1 ，Ｈ2 ，Ｈ3 ）の組み合わせで記述することができ
る。３２ビットの定数Ｈi の一例を次に示す。 Ｈ0 ＝（５ａ８２７９９９）H＝２1/2 ／４ Ｈ1 ＝（６ｅｄ９ｅｂａ１）H＝３1/2 ／４ Ｈ2 ＝（８ｆ１ｂｂｃｄｃ）H＝５1/2 ／４ Ｈ3 ＝（ｃａ６２ｃ１ｄ６）H＝１０1/2 ／４ 加算定数Ｃi の組み合わせを、Ｃi ＝（Ｃi0，Ｃi1，Ｃ
i2，Ｃi3）と記述する。各段で異なる１２８ビットの定
数Ｃi を容易に生成するため、Ｃi を構成するＨi の組
み合わせの決定に８ビットＬＦＳＲを用いる。例えば、
ＬＦＳＲの原始多項式には（１Ｄ）H を、ＬＦＳＲの初
期状態には（８Ｂ）H を用いる。このＬＦＳＲを用いて
生成されたビット列を２ビットづつ読み出し、定数とし
て使用する３２ビット定数Ｈi を決定する。
【０１０５】図１５に、上記のような方法によりＬＦＳ
Ｒを用いて決定した加算定数表の例を示す。
【０１０６】なお、ＬＦＳＲの初期状態は、可変として
もよいし、固定としてもよい。前者の場合には、ＬＦＳ
Ｒの初期状態も鍵の一部を構成することになる。後者の
場合には、暗号側と同じＬＦＳＲの初期状態を持つ復号
側のみ、暗号文を復号することができる。
【０１０７】以上説明したような鍵スケジュール部によ
れば、非線形変換層については、入力の１ビットが変化
すると、Ｓ−ｂｏｘ（１４１）により、８ビットに変化
を波及させ、さらに、小ＭＤＳ（１４２）により、３２
ビットに変化を波及させることができる。さらにまた、
線形拡散層については、大ＭＤＳ（１３１）が前段の非
線形変換層の出力をより大きく攪拌するので、１ビット
の違いも、１２８ビットの幅に広がる利点がある。
【０１０８】従って、このような鍵スケジュール部によ
れば、各段でバラバラな鍵が出やすい、攪拌しやすい、
という効果を得ることができる。また、段ごとに異なる
定数により、段にわたる鍵の一致が少ない（鍵がほぼ一
致しない）、という効果を得ることができる。
【０１０９】なお、鍵スケジュール部として他の構成を
とることも可能である。
【０１１０】さて、以下では、大きなブロック長を持つ
ブロック暗号のデータの攪拌部に用いられる効率的な線
形拡散装置について説明する。
【０１１１】図１６に、本実施形態の線形拡散装置の基
本的な構成要素である有限体乗算装置の構成例を示す。
前述したＧＦ（２32）あるいはＧＦ（２16）を利用した
大ＭＤＳ（図９、図４の１０４、図１１や図１２の１３
１参照）における、１つの入力と大ＭＤＳ行列の１つの
要素との積の計算に、この線形拡散装置を用いることが
できる。
【０１１２】図１６に示されるように、この有限体乗算
装置は、係数格納部２０２、乗算部２０３、桁溢れ帰還
部２０１、排他的論理和分（排他和部）２０４を用いて
構成される。
【０１１３】係数格納部２０２は、係数すなわち乗算の
乗数（例えば、図９の大ＭＤＳ行列の１つの要素）を格
納する部分である。
【０１１４】乗算部２０３は、入力ワードと係数を２進
数とみなした場合の乗算を行う部分である。
【０１１５】なお、係数格納部２０２の係数が１、２、
４、…、のように２のべき乗の場合には、通常の乗算器
を用いた計算が行える。また、この乗算器がキャリーを
伝播させない特殊な乗算器である場合には、係数格納部
２０２の係数が任意の値のときに計算が行える。
【０１１６】桁溢れ帰還部２０１は、乗算の結果として
生ずる桁溢れを有限体上の乗算に戻すため排他的論理和
分２０４で足される数（帰還ワード）を検索する部分で
ある。
【０１１７】排他的論理和分２０４は、乗算部２０３の
出力と桁溢れ帰還部２０１の出力ビット的な排他和を行
う部分である。
【０１１８】有限体乗算装置２００の機能は、有限体Ｇ
Ｆ（２）の拡大体ＧＦ（２k ）の元である入力ワードａ
と同じ有限体の別の元である係数ｂの積ａ×ｂを出力ワ
ードとして計算することである。
【０１１９】まず、有限体における積について説明す
る。
【０１２０】なお、以下の記述において、Σａi ｘi に
おいて総和を取るｉの範囲やΣｂjｘj において総和を
取るｊの範囲を０〜ｋ−１とし、それらの範囲について
の記述を省略する。
【０１２１】ＧＦ（２k ）の元は、多項式表現によっ
て、ある変数ｘの（ｋ−１）次の多項式Σａi ｘi とし
て表現できる。元ａを表現するのに、その係数を並べて
ｃk-1ｃk-2 …ｃ0 として表現することもある。
【０１２２】２つの元ａ＝Σａi ｘi とｂ＝Σｂi ｘi
の積は、 ａ×ｂ＝（Σａi ｘi ）×（Σｂi ｘi ） ｍｏｄ ｐ
（ｘ） で定義される。
【０１２３】ここで、ｐ（ｘ）はＧＦ（２k ）の原始多
項式と呼ばれ、周期（２k −１）を持つｋ次の既約なモ
ニック多項式である。また、ｍｏｄの意味は、例えば、
ｋ＝３２の場合、原始多項式としてｐ（ｘ）＝ｘ32＋ｘ
28＋ｘ27＋ｘ＋１を選んだ場合、多項式の積によってｘ
32の項や因子が現れた場合には、それを（ｘ28＋ｘ27＋
ｘ＋１）と見なすということを表す。従って、積もまた
ｋ次未満の多項式となる。
【０１２４】一般に、このような操作を行う場合、高速
な処理を行うため、乗数と被乗数をタグとして積を検索
する乗算表を用いた乗算装置を用いることがある。しか
し、乗数と被乗数はともに２k 個の値を取り得るので、
乗算表は、２2k個のエントリを持ち、各エントリはｋビ
ットのサイズを持つので、ｋがある程度大きくなると、
乗算表のサイズは非常に大きなものとなる。
【０１２５】本実施形態も、基本的には、乗算表を用い
る方式に類似するが、係数がある制約条件を満足する場
合には、はるかに小さな記憶容量によって実現すること
ができる。
【０１２６】その制約条件とは、係数ｂは、定数であっ
て、非零の係数を持つのは、ある次数ｔ以下の下位の係
数のみであるということである（ｔ次を越える次数の係
数は０であり、ｔ次以下の係数は０または１である）。
ある元ａが任意の元を取る場合には、桁溢れは、最大３
２ビットであるが、この制約条件を満足する場合には、
桁溢れは、高々、ｔビットである。このｔビットの桁溢
れの値を決定するのは、被乗数ａの上位ｔビットまでの
ＭＳＢ（Ｍｏｓｔ ＳｉｇｎｉｆｉｃａｎｔＢｉｔｓ）
である。
【０１２７】有限体上の乗算と通常の多項式と見なした
場合の乗算との違いは、２進数の積の結果、３２次以上
の係数への桁溢れが起こった場合に、原始多項式によっ
て、３２次未満の係数へその寄与を還元する必要がある
が、本実施形態では、桁溢れ帰還部２０１が、還元すべ
きワードを表として持っている。
【０１２８】この帰還ワードは、高々（ｔ＋１）ビット
の係数ｂと乗数ａの上位ｔビットと原始多項式から決定
できる。つまり、（ａ［（ｋ−ｔ）...（ｋ−１）］×
ｂ）［（ｔ＋１）...２ｔ］ ｍｏｄ ｐ（ｘ）によっ
て与えられる。ここで、ａ［（ｋ−ｔ）...（ｋ−
１）］とは、ａの中から、（ｋ−１）次から（ｋ−ｔ）
次までの項を取り出したものである。
【０１２９】すなわち、桁溢れ帰還部２０１が持つ帰還
ワードの表の内容は、対応するＭＤＳ行列（図９参照）
の要素に応じて決まる。
【０１３０】桁溢れ帰還部２０１が持つ帰還ワードの表
は、２t 個のエントリからなり、各エントリはｋビット
のサイズを持つ。
【０１３１】次に、上述した有限体乗算装置を利用する
ことで実現される、ブロック暗号のデータ・ブロックに
線形変換を施す線形変換装置について説明する。
【０１３２】線形変換の１種にＭＤＳ行列による線形変
換がある。ＭＤＳ行列とは、データ・ブロックが、複数
（ｎ）のワードから構成され、各ワードがｋビットの長
さを持つ場合、各ワードを有限体ＧＦ（２k ）の元と見
なし、ｎ個の元の組をｎ個の元の組に線形写像するｎ行
ｎ列の行列であって、すべての小行列が非零のものであ
る。ＭＤＳ行列による線形変換は、非零の入出力のワー
ドの数の下限が保証されているという性質を持つ。
【０１３３】しかし、一般に、有限体ＧＦ（２k ）上の
行列演算は、ＧＦ（２k ）上の複数回の乗算と加算から
構成され、計算コストが大きい。
【０１３４】図１７に、本実施形態の線形変換装置の構
成例を示す。前述したＧＦ（２32）あるいはＧＦ
（２16）を利用した大ＭＤＳ（図９、図４の１０４、図
１１や図１２の１３１）に、この線形変換装置を用いる
ことができる。
【０１３５】図１７の構成では、まず、図１６の有限体
乗算装置をＭＤＳ行列に対応してマトリクス状に用意す
る。
【０１３６】図１７においてｍ＝ｎとすると、ｎ2 個の
有限体乗算装置２００の各々の係数は、ｎ行ｎ列のＭＤ
Ｓ行列の対応する要素と同じ値をとる。係数ａijを持つ
装置には、第ｉ入力ワードが入力される。
【０１３７】各々の出力ワードに対する排他的論理和分
２０５は、それぞれ、あるｊに対応する係数ａijを持つ
すべての有限体乗算装置２００の出力ビット的な排他的
論理和を計算し、第ｊ出力ワードとして出力する。
【０１３８】本実施形態における線形変換装置は、線形
変換を表現するＭＤＳ行列を（ａij）で表現するとき、
各要素ａijは高々ｔ次までの項しか非零の係数を持たな
いことを特徴とする。ここで、ｉ，ｊは、０からｎ−１
までの整数値を取りうるとする。また、ｔは、有限体Ｇ
Ｆ（２k ）の拡大次数ｋよりも小さな正数であるとす
る。
【０１３９】これによって、図１８のような乗算が実現
できる。
【０１４０】なお、桁溢れ帰還部２０１が持つ帰還ワー
ドの表の内容は、対応するＭＤＳ行列の要素に応じて決
まるので、例えば、図９の大ＭＤＳ行列の例では、４種
類の帰還ワード表だけ持てばよいことになる。
【０１４１】次に、本暗号方式に用いるＭＤＳ行列（特
に大ＭＤＳ）を生成するためのＭＤＳ行列生成装置（も
しくはランダム生成アルゴリズム）について説明する。
【０１４２】図１９に、ＭＤＳ行列生成装置の構成例を
示す。図１９に示されるように、このＭＤＳ行列生成装
置は、要素生成部２３１、小行列式計算部２３２、判定
部２３３を用いて構成される。
【０１４３】図２０に、この場合の手順の一例を示す。
【０１４４】要素生成部２３１は、ランダムに、ｎ行ｎ
列のＭＤＳ行列の各行列要素を生成する（ステップＳ
１）。なお、先の有限体乗算装置を適用可能とする場合
には、このときに、下位ｔビットのみ非零の要素（ｔ次
以下の要素）からなるＭＤＳ行列を生成しておく（すな
わち、この場合には、要素生成部２３１内で、下位ｔビ
ットのみ非零かどうかのチェックを行うことになる）。
【０１４５】なお、行列要素を生成するためには、乱数
を発生して用いる方法や、多重ループの制御変数の値を
用いる方法など種々の方法が考えられる。
【０１４６】次に、小行列式計算部２３２は、要素生成
部２３１の生成した行列の１次小行列を計算し（ステッ
プＳ２）、判定部２３３は、小行列式計算部２３２が計
算した小行列が非零か否かを判定する（ステップＳ
３）。１つでも零の１次小行列式があれば、ステップＳ
１からやり直す。
【０１４７】すべての１次小行列式が非零ならば、同じ
要領で、２次小行列について同様にチェックする（ステ
ップＳ４，Ｓ５）。
【０１４８】以上を、ｎ次小行列式まで、同じ要領で行
い（ステップＳ６，Ｓ７）、１次からｎ次まですべての
小行列式が非零であることが確認されたならば、そのＭ
ＤＳ行列を出力する（ステップＳ８）。
【０１４９】なお、ステップＳ８で得たＭＤＳ行列を暗
号化に用いるＭＤＳ行列とした場合、復号に用いるＭＤ
Ｓ行列は、ステップＳ８で得たＭＤＳ行列の逆行列によ
って与えられる（逆に、ステップＳ８で得たＭＤＳ行列
を復号に用いる場合には、その逆行列が、暗号化に用い
るＭＤＳ行列となる）。
【０１５０】ただし、ステップＳ８で得られたＭＤＳ行
列の全ての要素が下位ｔビットのみ非零であっても、そ
の逆行列の全ての要素が下位ｔビットのみ非零であると
は限らない。
【０１５１】なお、図２０の手順おいて、小行列式の判
定を１次からｎ次まで順番に行っているが、他の順番で
もよく、また、それらの全部または一部を並列して行っ
てもよい。
【０１５２】次に、暗号化に用いるＭＤＳ行列と、その
逆行列である、復号に用いるＭＤＳ行列との両方とも、
下位ｔビットのみ非零という条件を満たすように、ＭＤ
Ｓ行列を求める方法について説明する。
【０１５３】図２１に、この場合のＭＤＳ行列生成装置
の構成例を示す。図２１に示されるように、このＭＤＳ
行列生成装置は、要素生成部２３１、小行列式計算部２
３２、判定部２３３、逆行列生成部２３４、逆行列判定
部２３５を用いて構成される。要素生成部２３１、小行
列式計算部２３２、判定部２３３の部分は、図１９と同
様である。
【０１５４】図２２に、この場合の手順の一例を示す。
【０１５５】まず、先の例と同様にして、要素生成部２
３１、小行列式計算部２３２、判定部２３３により、下
位ｔビットのみ非零の要素からなるＭＤＳ行列を生成す
る（ステップＳ１１）。
【０１５６】次に、逆行列生成部２３４により、生成さ
れたＭＤＳ行列の逆行列を求める（ステップＳ１２）。
【０１５７】次に、逆行列判定部２３５は、求められた
逆行列の各々の要素が、下位ｔビットのみ非零かどうか
調べる。
【０１５８】全ての要素が下位ｔビットのみ非零であれ
ば（ステップＳ１３）、そのＭＤＳ行列および逆行列を
出力する（ステップＳ１４）。
【０１５９】１つでも下位ｔビットのみ非零ではない要
素があれば（ステップＳ１３）、Ｓ１１からやり直す。
【０１６０】なお、ステップＳ１１で生成されたＭＤＳ
行列を暗号化に用いる場合、ステップＳ１２で生成され
た逆行列を復号に用いることになる（逆に、ステップＳ
１１で生成されたＭＤＳ行列を復号に用いる場合、ステ
ップＳ１２で生成された逆行列を暗号化に用いることに
なる）。
【０１６１】なお、ＭＤＳ行列を生成するにあたって
は、同一行内に同じ値の要素が存在しないようなＭＤＳ
行列（ｎ行ｎ列のＭＤＳ行列において第ｉ１要素から第
ｉｎ要素までの中に同一の値を持つ２個以上の要素がな
いもの）を生成するようにしてもよい。例えば、図２０
や図２２の手順例の場合、ＭＤＳ行列の生成時に、同一
行内に同じ値の要素が存在するかどうかチェックし、同
一行内に１つでも同じ値の要素が存在すれば、ＭＤＳ行
列を生成し直すようにすればよい。なお、同一列内に同
じ値の要素が存在しても構わない。
【０１６２】ブロック暗号のデータの線形変換装置とし
て、同一行内に同じ値の要素が存在しないようなＭＤＳ
行列を選択した線形変換装置を用いることによって、入
力ワードの差分値が相殺する確率を小さくすることがで
きる。
【０１６３】また、同一行内の要素の和が１または０に
ならないようにＭＤＳ行列を生成するようにしてもよ
い。この場合も、同様の効果が得られる。
【０１６４】次に、Ｓ−ｂｏｘと小ＭＤＳの組み合わせ
を選択する（あるいは最適化する）ことによって、より
安全性を高める方法、より具体的には、最大差分特性確
率が理論的最悪例よりも良くなることを保証するＳ−ｂ
ｏｘとＭＤＳの組み合わせの設計方法について説明す
る。
【０１６５】ＭＤＳはブランチ数Ｂしか保証しないの
で、Ｓ−ｂｏｘの最大差分確率がｐとすると、最大差分
特性確率は、ｐB になる。例えば、ｍ行ｍ列のＭＤＳは
Ｂ＝ｍ＋１となる。しかし、Ｓ−ｂｏｘと小ＭＤＳの組
み合わせを選択する（あるいは最適化する）ことによ
り、ブランチ数Ｂで、最大差分特性確率がｐB 未満を保
証することができる。この結果、通常のＭＤＳよりも最
大差分確率が小さいＭＤＳとＳ−ｂｏｘを組み合わせる
ことにより、相乗効果が望め、安全性をより向上させる
ことができる。
【０１６６】さて、暗号アルゴリズムの安全性評価の一
手法として、差分解読法あるいは線形解読法があり、両
者は双対な関係にある。差分解読法に着目すると、Ｓ−
ｂｏｘの安全性は入出力の差分相関を持つ確率で規定さ
れ、この確率が小さいほど安全性が高い。暗号アルゴリ
ズムでは、差分確率の小さいＳ−ｂｏｘが多数組み合わ
せられるほど安全性が向上する。効率的なＳ−ｂｏｘの
連結方法として、線形変換装置が従来から提案されてい
る。線形変換装置は、あるブロック長のデータに対して
線形変換を施す装置で、暗号化装置（や復号装置）の構
成要素として利用されることがある。線形変換の一種に
ＭＤＳ行列による線形変換がある。
【０１６７】ＭＤＳ行列とは、データブロックがｎ個の
複数のワードから構成される場合、ｎ個のワードへの線
形変換を定義する行列であり、非零の入出力ワードはｎ
＋１個以上が保証されているという性質を持つ。しか
し、Ｓ−ｂｏｘは、差分確率として、６／２５６、４／
２５６、２／２５６など複数の値の候補を持つため、Ｍ
ＤＳであっても、ｎ＋１個の確率がそれぞれ６／２５６
のＭＤＳと、それぞれ４／２５６であるＭＤＳとでは、
後者の方が安全性が高い。
【０１６８】従来、Ｓ−ｂｏｘとＭＤＳは単体の構成要
素としてそれぞれ独立に安全性を評価されたが、ここで
は、Ｓ−ｂｏｘとＭＤＳの相乗効果を検証する装置の例
を示す。
【０１６９】図２３に、この場合の処理手順の一例を示
す。この例は、差分解読法に着目して、Ｓ−ｂｏｘとの
相乗効果が望めるＭＤＳ決定処理を示している。差分解
読法と線形解読法は双対な関係にあるため、この処理を
線形確率に着目して行うことにより、線形解読法に対し
ても同じ効果が得られる。
【０１７０】まず、複数のＳ−ｂｏｘの候補と複数の小
ＭＤＳの候補を生成する（ステップＳ２１、ステップＳ
２２）。なお、ステップＳ２１とステップＳ２２は逆の
順番で行ってもよいし、並列して行ってもよい。
【０１７１】次に、Ｓ−ｂｏｘ候補のなかからＳ−ｂｏ
ｘを１つ選択するとともに（ステップＳ２３）、小ＭＤ
Ｓ候補のなかから小ＭＤＳを１つ選択する（ステップＳ
２４）。なお、ステップＳ２３とステップＳ２４を逆の
順番で行ってもよいし、並列して行ってもよい。
【０１７２】次に、後述するように、有効な（活性にし
た）Ｓ−ｂｏｘの差分値の最大を計算し（ステップＳ２
５）、上限（例えば、６／２５６）を下回る差分値（例
えば、４／２５６）が含まれているかどうか調べる。
【０１７３】そして、含まれていれば（ステップＳ２
６）、そのときのＳ−ｂｏｘと小ＭＤＳの組み合わせを
出力する（ステップＳ２７）。
【０１７４】一方、含まれていなければ（ステップＳ２
６）、Ｓ−ｂｏｘと小ＭＤＳの一方または両方を選択し
直して、以下、同様に、処理を繰り返す。
【０１７５】なお、図２３では、最初に複数のＳ−ｂｏ
ｘの候補と複数の小ＭＤＳの候補を生成しておいたが、
その代わりに、最初の１組以外は、ステップＳ２６で条
件を満たさずに、他のＳ−ｂｏｘおよびまたはＭＤＳを
選択することになったときに、生成するようにしてもよ
い。
【０１７６】ステップＳ２５およびステップＳ２６の処
理は、実際には、次のようになる。
【０１７７】例えば、図６の例の場合、Ｓ−ｂｏｘと小
ＭＤＳの組について、次の４種類、計２０通りの検証を
行い、すべての条件を満たした場合に、ステップＳ２７
でそのときのＳ−ｂｏｘと小ＭＤＳの組が出力される。 小ＭＤＳ１１３の入力側の１つのＳ−ｂｏｘ１１２の
み活性にした場合に、小ＭＤＳ１１３の出力側の４つの
Ｓ−ｂｏｘ１１２が全て活性になり、かつ、そのうちの
１つでも上限を下回る差分値になれば、この検証を合格
とする。この検証を、入力側の４つのＳ−ｂｏｘ１１２
の各々について行う（４通りある）。 小ＭＤＳ１１３の入力側の２つのＳ−ｂｏｘ１１２の
み活性にした場合に、小ＭＤＳ１１３の出力側の４つの
Ｓ−ｂｏｘ１１２が全て活性になれば、この検証を合格
とし、小ＭＤＳ１１３の出力側の３つのＳ−ｂｏｘ１１
２が活性になり、かつ、そのうちの１つでも上限を下回
る差分値になれば、この検証を合格とする。この検証
を、入力側の２つのＳ−ｂｏｘ１１２の組み合わせの各
々について行う（６通りある）。 小ＭＤＳ１１３の出力側の２つのＳ−ｂｏｘ１１２の
み活性にした場合に、小ＭＤＳ１１３の入力側の４つの
Ｓ−ｂｏｘ１１２が全て活性になれば、この検証を合格
とし、小ＭＤＳ１１３の入力側の３つのＳ−ｂｏｘ１１
２が活性になり、かつ、そのうちの１つでも上限を下回
る差分値になれば、この検証を合格とする。この検証
を、出力側の２つのＳ−ｂｏｘ１１２の組み合わせの各
々について行う（６通りある）。 小ＭＤＳ１１３の出力側の１つのＳ−ｂｏｘ１１２の
み活性にした場合に、小ＭＤＳ１１３の入力側の４つの
Ｓ−ｂｏｘ１１２が全て活性になり、かつ、そのうちの
１つでも上限を下回る差分値になれば、この検証を合格
とする。この検証を、出力側の４つのＳ−ｂｏｘ１１２
の各々について行う（４通りある）。
【０１７８】上記の複数の検証処理は、逐次行ってもよ
いし、全部または一部を並列的に行ってもよい。上記の
複数の検証処理のうち、１つでも合格しないものがあれ
ば、そのＳ−ｂｏｘと小ＭＤＳの組み合わせについて
は、以降の全ての検証処理をうち切って、不合格として
構わない。
【０１７９】なお、図２３の手順の例では、最初に条件
を満たしたＳ−ｂｏｘと小ＭＤＳの組み合わせが得られ
た時点で、処理をうち切るものであったが、条件を満た
したＳ−ｂｏｘと小ＭＤＳの組み合わせを複数求め、そ
れらのうちで最も良いと評価されるものを選択するよう
にしてもよい。
【０１８０】以下では、復号側について説明する。
【０１８１】復号側は、基本的には、暗号側を逆にした
構造である（鍵は同一である）。
【０１８２】図２４に、図４の暗号化装置に対応する復
号装置の構成例を示す。
【０１８３】図２５に、図６の小構造に対応する構成例
を示す。
【０１８４】図２６に、図８の大構造に対応する構成例
を示す。
【０１８５】なお、図２４では、復号装置の鍵スケジュ
ール部は、図４の暗号化装置の鍵スケジュール部と同一
の構成としてある。
【０１８６】復号装置における、Ｓ−ｂｏｘ１１１２の
入出力表、小ＭＤＳ１１１３の小ＭＤＳ行列、大ＭＤＳ
１１０４の大ＭＤＳ行列は、それぞれ、暗号化装置にお
ける、Ｓ−ｂｏｘ１１２の入出力表（例えば図５）、小
ＭＤＳ１１３の小ＭＤＳ行列（例えば図７）、大ＭＤＳ
１０４の大ＭＤＳ行列（例えば、図９、図１０）と逆関
数（逆行列）の関係になっている。
【０１８７】なお、図２４では、鍵については、図４と
同様の順番で生成しているが、図４とは逆の順番で生成
するように構成することも可能である。
【０１８８】図２７に、この場合の鍵スケジュール部の
構成例を示す。
【０１８９】１１３２は、図１１の非線形変換層１３２
の逆変換を示している（例えば各々のＳＰ層１３３の逆
変換（例えば図１３あるいは図１４の入出力を逆方向に
したもの）を４並列にしたものである）。
【０１９０】図２７の鍵スケジュール部で用いる、Ｓ−
ｂｏｘの入出力表、小ＭＤＳ行列、大ＭＤＳ行列は、そ
れぞれ、図１１の鍵スケジュール部で用いる、Ｓ−ｂｏ
ｘの入出力表、小ＭＤＳ行列、大ＭＤＳ行列と逆関数
（逆行列）の関係になっている。
【０１９１】また、図２７の復号の鍵入力Ｋ’は、図４
において（暗号側で）最後の鍵加算に用いられた鍵とす
る。
【０１９２】なお、この場合においても、段数依存定数
Ｃi を剰余加算する箇所について、図１２の場合と同様
の方法をはじめとして、種々のバリエーションが考えら
れる。
【０１９３】以上では、局所的な拡散（小拡散）と、ブ
ロック幅に渡る拡散（大拡散）との組み合わせによる、
入れ子型（再帰的）ＳＰＮ構造の暗号方式を適用した例
として８ビットＳ−ｂｏｘを利用したＡＥＳ相当の１２
８ビット・ブロック暗号の具体例を用いたが、以下で
は、同６４ビット・ブロック暗号の具体例を用いつつ本
実施形態について説明する（１２８ビットを６４ビット
にしたことに応じて相違することになる部分を中心に説
明する）。
【０１９４】以下で説明する６４ビット・ブロック暗号
の暗号化装置／復号装置もしくは暗号アルゴリズム／復
号アルゴリズムの構成例は、図１に例示した基本構成に
おいて、非線形変換モジュール２すなわち具体例では拡
大Ｓ−ｂｏｘを、２並列にした場合に相当する。
【０１９５】６４ビット・ブロック暗号の場合について
も、もちろん、前述の１２８ビット・ブロック暗号の場
合と同様に、攻撃に対する耐性の向上が可能である。
【０１９６】この場合の入れ子型暗号方式のデータ攪拌
部の階層構造の例は図３と同様である。ブロック長は、
６４ビットである。鍵長は、１２８ビットを例にとる
（もちろん、他の鍵長でも本発明は実施可能である）。
なお、本実施形態で、ブロック長を６４ビットとしたと
きに、鍵長を６４ビットや９６ビットとした場合につい
て後述する。
【０１９７】段数（複数並列された拡大Ｓ−ｂｏｘと大
ＭＤＳとの対（ただし、後述するように最終段は大ＭＤ
Ｓを含まない）を１段と数えるものとしている）の具体
例を用いる場合にはＲ＝６を用いる。なお、基本的には
段数は何段でも実施可能であるが、実際の段数は、例え
ば安全性や計算機資源等を想定して適宜設定することが
でき、好ましくは６段以上とすると、より効果的であ
る。
【０１９８】本例の暗号では、段関数がＳ−ｂｏｘ層を
２層含んでいるので、１段が通常の２段に相当する。段
構造内の大ＭＤＳについては、ガロア体に基づく実装例
を示す。
【０１９９】図２８に、本実施形態に係る暗号化装置の
構成例を示す。
【０２００】２１０１が各段であり、２１０４は大ＭＤ
Ｓ拡散層、２１０２は拡大Ｓ−ｂｏｘ層、２１０３は各
々の拡大Ｓ−ｂｏｘである。２１０５は、排他的論理和
部である。２１２１〜２１２４は、詳しくは後述する鍵
スケジュール部の構成部分である。Ｐは入力となる６４
ビットの平文データ、Ｃは出力となる６４ビットの暗号
文データである。なお、拡大Ｓ−ｂｏｘ２１０３は、図
４の拡大Ｓ−ｂｏｘ１０３と同様のもので構わない。
【０２０１】段関数は、２段ＳＰＮ構造からなる３２ビ
ット処理サブ・ブロック（拡大Ｓ−ｂｏｘ）２１０３を
２個並列に並べ、ＭＤＳ拡散層２１０４で繋いだ構造で
ある。全体の基本構造は、この段関数の繰り返しにす
る。
【０２０２】なお、図２８の例では、暗号化と復号の処
理を対称的にするため、最終段は拡大Ｓ−ｂｏｘ層２１
０２とその後の鍵加算２１０５だけで構成することにし
ている。
【０２０３】段関数１段に２段ＳＰＮ構造が埋め込ま
れ、最後に鍵加算が行われるので、拡大鍵のビット長
は、２×６４×Ｒ＋６４＝６４（２Ｒ＋１）となる。Ｒ
＝６の場合には、１２８×１３ビットとなる。
【０２０４】Ｓ−ｂｏｘは、前述したように、入出力表
を用いることもできるし、演算処理を用いることもでき
る。８ビットＳ−ｂｏｘの入出力表の一例は、図５に示
したものと同様のもので構わない。
【０２０５】拡大Ｓ−ｂｏｘ１０３の内部構成例は、図
６と同様とする。拡大Ｓ−ｂｏｘ内の拡散層１１３につ
いても同様に、例えば、図７に例示したＭＤＳＳ行列を
使用し、Ｓ−ｂｏｘ入出力と行列要素をガロア体ＧＦ
（２8 ）の元とみなして乗算を行うものとする。
【０２０６】次に、本例の暗号の段関数である大構造に
ついて説明する。
【０２０７】図２９に、１段の部分の構成例を示す。本
例の暗号の段関数である大構造は、２並列の３２ビット
拡大Ｓ−ｂｏｘ２１０３（図６参照）をＭＤＳ行列の拡
散層２１０４で結合して構成する。この段関数である大
構造における拡散層２１０４にも、ＭＤＳ行列を使用す
る。
【０２０８】大ＭＤＳの構成についても、前述と同様、
ＧＦ（２32）やＧＦ（２4 ）やＧＦ（２8 ）やＧＦ（２
16）を利用する方法がある。
【０２０９】ＧＦ（２4 ）を利用した大ＭＤＳについて
説明する。
【０２１０】図３０に、この場合のＭＤＳ行列の一例を
示す。
【０２１１】ここでは、１つの拡大Ｓ−ｂｏｘ２１０３
において４つのＳ−ｂｏｘの各々の出力すなわち８ビッ
ト・データの同じ位置（例えば図３０では最上位ビット
を例にとって示している）の１ビットを集めて、これを
１組４ビットのデータとし、２つの拡大Ｓ−ｂｏｘ２１
０３からの２組の４ビット・データを、ＧＦ（２4 ）の
元とみなす。
【０２１２】そして、８ビット・データの同じ位置につ
いて、２段の２並列拡大Ｓ−ｂｏｘ層の間の拡散層２１
０４に２行２列のＭＤＳ行列（例えば図３０では最上位
ビットの場合、２１０４−１）を用いる。
【０２１３】出力となった２組の４ビット・データは、
それぞれ対応するもとの８ビット・データの同じ位置に
結線される。
【０２１４】Ｓ−ｂｏｘのビット幅に対応して、８個の
ＭＤＳ行列（２１０４−１〜２１０４−８）を用意し
て、大ＭＤＳとする。
【０２１５】各拡大Ｓ−ｂｏｘの同じ位置のＳ−ｂｏｘ
出力を単位とした表引きによって（なお、演算によって
もよい）、８個のＭＤＳ行列を同時に処理する効率的な
実行が可能である。
【０２１６】さらに、ＭＤＳ行列が巡回的な場合、３２
ビットごとの排他的論理和と８ビット単位のビット回転
を組み合わせた効率的な処理が可能となる。
【０２１７】なお、図３０では、暗号側の大ＭＤＳ行列
の一例として、 １行１列＝５、１行２列＝７ １行１列＝Ａ、１行２列＝Ｂ を示したが、これに対応する復号側での大ＭＤＳ行列
は、 １行１列＝Ｃ、１行２列＝Ａ １行１列＝５、１行２列＝Ｂ となる。なお、前者を復号側に用い、後者を暗号側に用
いるようにしてもよい。また、任意のＭＤＳ行列につい
て、行の入れ替え、列の入れ替え、転置を任意に行って
得た行列を用いることも可能である。また、この他の大
ＭＤＳ行列を用いることも可能である。
【０２１８】ところで、この大ＭＤＳ拡散層は、上記の
ように行列演算または入出力変換表による変換を実行す
るためのソフトウェアによって実現可能であるが、ハー
ドウェア（例えば半導体基板上等に形成した実回路）に
よっても実現可能である。
【０２１９】大ＭＤＳを実回路で実現する場合には、例
えば、ＭＤＳ行列と等価な結線パターンを用いればよ
い。
【０２２０】図３１に、ＧＦ（２4 ）上の乗算の結線表
現（結線パターン）を、ＧＦ（２4）の１〜Ｆの元の各
々について示す。なお、結合部分では、排他的論理和が
なされる。
【０２２１】すなわち、図３０の各々の拡散層２１０４
−１〜２１０４−８において、ＭＤＳ行列の１行１列要
素をｘ1 に作用させる部分、１行２列要素をｘ2 に作用
させる部分、２行１列要素をｘ1 に作用させる部分、２
行２列要素をｘ2 に作用させる部分の結線パターンに、
当該行列要素の図３１において該当する結線パターンを
用いればよい。
【０２２２】図３２に、図３０に例示した行列に基づい
て大ＭＤＳを実回路で構成した例を示す。図中、２１４
１が１行１列要素“５”に対応する結線パターン、２１
４２が１行２列要素“７”に対応する結線パターン、２
１４３が２行１列要素“Ａ”に対応する結線パターン、
２１４４が２行２列要素“Ｂ”に対応する結線パターン
である。ただし、複数ビットが結合される部分では、排
他的論理和がなされる。
【０２２３】なお、行列の積に相当する部分の排他的論
理和による結合の後に、行列積の和に相当する部分の排
他的論理和による結合を行ったように示しているが、そ
れらすべての排他的論理和による結合を一括して行って
もよいし、適宜複数に分けて行ってもよい。
【０２２４】また、先に図３１の結線パターン群のうち
から所望の結線パターンを選択して暗号側の大ＭＤＳの
実回路構成の候補を作り、次に、これに対応するＭＤＳ
行列の逆行列（ＭＤＳ行列）が存在することを検証す
る、という手順を取ることも可能である。もちろん、復
号側を先に決めてもよい。
【０２２５】また、ＧＦ（２4 ）上の乗算の結線表現
（結線パターン）以外のものを用いることも可能であ
る。
【０２２６】もちろん、この方法は、前述した１２８ビ
ットブロック暗号にも適用可能である。
【０２２７】次に、繰り込みについて説明する。
【０２２８】ここで、ＭＤＳ拡散層のファン・インにつ
いて説明する。図３１の結線パターンにおいて、データ
の出力側の各ビットにおいて、当該ビットに結線される
ビット数（結線数）を、ファン・インと呼ぶものとす
る。例えば、“１”に対応する結線パターンでは、いず
れのビットも、ファン・イン＝１である。また、“５”
に対応する結線パターンでは、左側のビットから右側の
ビットへ順番に、ファン・イン＝２，３，３，２であ
る。
【０２２９】次に、このＭＤＳ拡散層の結線パターンに
ついてのファン・インの総計Ｓを考える。図３２の例を
見ると、２１４１〜２１４４の点線内の１６ビットのフ
ァン・インの総計Ｓは、４５となる。このＭＤＳ拡散層
の結線パターンについてのファン・インの総計Ｓは、配
線の増加につながるので（行列計算を行う場合にも、排
他的論理和演算などの増加につながるので）、Ｓの値が
小さい方が好ましい。なお、ＧＦ（２4 ）の元を要素と
する２行２列のＭＤＳの場合には、Ｓの最小値は１８と
なる。
【０２３０】このＳを削減する方法に、繰り込み手法が
ある。これによって、回路量（行列計算を行う場合には
計算量）を削減することができる。
【０２３１】繰り込みを行う場合、図３３に示すよう
に、各々のＭＤＳ拡散層（２１０４−１〜２１０４−
８）について、当該ＭＤＳ拡散層と前段の個々のＳ−ｂ
ｏｘとの間にそれぞれ、繰り込みのための前処理回路
（２１８０−１，２１８０−２）を挿入する。
【０２３２】この前処理回路の各々には、例えば、図３
１の結線パターンのいずれかが設けられる。あるいは、
等価な計算処理が行われる。
【０２３３】図３３は、いずれのＳ−ｂｏｘについても
共通因子５による繰り込みによる実装を行った場合を示
している。また、図３４に、このときの大ＭＤＳの一例
を示す。この場合、大ＭＤＳ行列は、 １行１列＝１、１行２列＝４ １行１列＝２、１行２列＝９ となる。図中、２１４５が１行１列要素“１”に対応す
る結線パターン、２１４６が１行２列要素“４”に対応
する結線パターン、２１４７が２行１列要素“２”に対
応する結線パターン、２１４８が２行２列要素“９”に
対応する結線パターンである。複数ビットが結合される
部分が排他的論理和に対応する点は前述の通りである。
この場合、Ｓの値は、２０となっている。
【０２３４】図３２による大拡散と、図３３／図３４に
よる大拡散とは、等価である。
【０２３５】繰り込みを行う場合に、共通因子およびそ
のときの行列を求める方法としては、例えば、図３１の
ように繰り込みを行わない場合に求めた行列に対して、
共通因子をパラメータとして、等価な大拡散になるよう
な行列を求め、それらについてファン・インを評価し
て、採用するものを選択する方法がある。
【０２３６】なお、各Ｓ−ｂｏｘについての共通因子を
同一にするという制約を課してもよいし、そのような制
約を課さなくてもよい。
【０２３７】なお、 １行１列＝Ｃ、１行２列＝Ａ １行１列＝５、１行２列＝Ｂ の行列について、いずれのＳ−ｂｏｘについても共通因
子Ｂによる繰り込みによる実装を行うと、大ＭＤＳ行列
は、 １行１列＝９、１行２列＝４ １行１列＝２、１行２列＝１ となる。
【０２３８】もちろん、この方法も、前述した１２８ビ
ットブロック暗号にも適用可能である。
【０２３９】なお、以上で例示した配線やレイアウトは
論理的な関係を示すものであり、実配線や実レイアウト
にはもちろん設計の自由度がある。また、大ＭＤＳ層の
各部分１０４−１〜１０４−８の８つを実装してもよい
し、ＭＤＳ部分１０４−１〜１０４−８のうちの一部
（例えば、１つ、２つ、あるいは４つ）のみを実装し、
それを時分割的に共用するように構成してもよい。
【０２４０】暗号側と復号側で構成の仕方は同様である
（逆変換の関係になるだけである）。
【０２４１】なお、上記と同様の考え方により、８ビッ
ト・データのうちの同じ位置の２ビットごとに処理を行
うこととして、各要素が８ビットの２行２列のＭＤＳ行
列（ＧＦ（２8 ））を、４個用意して、大ＭＤＳを構成
することも可能である。また、８ビット・データのうち
の同じ位置の４ビットごとに処理を行うこととして、各
要素が１６ビットの２行２列のＭＤＳ行列（ＧＦ
（２16））を、２個用意して、大ＭＤＳを構成すること
も可能である。
【０２４２】また、上記では、同じ位置のビットを取り
出して処理を行うものとして説明したが、前述と同様、
異なる位置のビットを（排他的に）取り出して処理を行
うことも可能である。
【０２４３】また、図９の例と同様に、ＧＦ（２32）を
利用した大ＭＤＳ行列による構成も可能である。
【０２４４】以上の構成例は、前述した１２８ビットブ
ロック暗号にも適用可能である。
【０２４５】なお、前述と同様、図２８では、拡大Ｓ−
ｂｏｘの内部構成を、全て同一とせずに、異なるものを
混在させることも可能である。また、全ての大ＭＤＳ行
列を同一にせずに、異なるものを混在させることも可能
である。この点は、小ＭＤＳ行列、Ｓ−ｂｏｘの入出力
表についても同様である。また、例えば、最初の入力段
と、最後の出力段だけ、他の中間段とは異なる内部構成
にしてもよい。なお、各々の大ＭＤＳの前段及び又は後
段に、同一の拡大Ｓ−ｂｏｘに属する複数のＳ−ｂｏｘ
についてのビットの位置を入れ替える処理を行う（ある
いはそのような回路を挿入する）構成も可能である。
【０２４６】この他にも、種々のバリエーションが考え
られる。
【０２４７】もちろん、ここで説明した大ＭＤＳの構成
は、これまで説明してきた種々のバリエーションを持つ
暗号化装置や復号装置に適用可能である。
【０２４８】次に、鍵スケジュール部（鍵生成部）につ
いて説明する。
【０２４９】図３５に、鍵スケジュール部の構成例を示
す。２１２１は、データ攪拌部の段関数の１段分に対応
する部分であり、２１３１は線形拡散層（本例では、大
ＭＤＳによる拡散層とする）であり、２１３３は非線形
変換層（本例では、２並列のＳＰ層（Ｓ−ｂｏｘ層・拡
散層）とする）であり、２１３４は排他的論理和部であ
り、２１３５は剰余加算部である。図３５では省略して
いるが、２１２１の部分の構成が必要に応じて繰り返さ
れることになる。なお、６４ビットの鍵を出力する構成
単位を鍵スケジュール部の１つの段とすると、鍵スケジ
ュール部の段数は（２Ｒ＋１）段となる（Ｒ＝６の場
合、１３段である）。
【０２５０】図３５の例では、１２８ビットの変形Ｆｅ
ｉｓｔｅｌ型繰り返し処理の各段の出力左半分６４ビッ
トを取り出し、段数依存定数Ｃi を剰余加算して拡大鍵
とする。
【０２５１】なお、鍵長を１２８ビットとする場合に
は、例えば、上位６４ビットを初段の線形拡散層２１３
１に与え、下位６４ビットを非線形変換層２１３３に与
えればよい。また、鍵長を６４ビットとする場合には、
例えば、その６４ビットを初段の線形拡散層２１３１に
与えるとともに、非線形変換層２１３３に与えればよ
い。また、鍵長を９６ビットとする場合には、例えば、
上位６４ビットを初段の線形拡散層２１３１に与え、下
位側３２ビットと上位側３２ビットとを結合した６４ビ
ットを非線形変換層２１３３に与えればよい。
【０２５２】なお、図３６のように、段数依存定数Ｃi
を剰余加算する箇所について、種々のバリエーションが
考えられる。
【０２５３】図３５や図３６における各々の非線形変換
層２１３３の構成例は、図１３や図１４と同様とする
（図１４において、Ｓ−ｂｏｘに対する入力と排他的論
理和をとる定数を、段数依存定数とする構成も可能であ
る点も、同様である）。このＳ−ｂｏｘが、図２８の暗
号処理側のＳ−ｂｏｘと同じものでもよいし、異なるも
のでもよい点も、同様である。小ＭＤＳについても同様
である。また、鍵スケジュール部の各段によってＳ−ｂ
ｏｘや小ＭＤＳの構成を変えることも可能である。
【０２５４】次に、各段で異なる定数Ｃi を作る方法の
一例について説明する。
【０２５５】図３５や図３６の鍵スケジュール部の６４
ビットの加算定数Ｃi は、２つのビット定数（Ｈ0 ，Ｈ
1 ）の組み合わせで記述することができる。３２ビット
の定数Ｈi の一例を次に示す。 Ｈ0 ＝（５ａ８２７９９９）H＝２1/2 ／４ Ｈ1 ＝（６ｅｄ９ｅｂａ１）H＝３1/2 ／４ Ｈ2 ＝（８ｆ１ｂｂｃｄｃ）H＝５1/2 ／４ Ｈ3 ＝（ｃａ６２ｃ１ｄ６）H＝１０1/2 ／４ 加算定数Ｃi の組み合わせを、Ｃi ＝（Ｃi0，Ｃi1）と
記述する。各段で異なる６４ビットの定数Ｃi を容易に
生成するため、Ｃi を構成するＨi の組み合わせの決定
に８ビットＬＦＳＲを用いる。例えば、ＬＦＳＲの原始
多項式には（１Ｄ）H を、ＬＦＳＲの初期状態には（８
Ｂ）H を用いる。このＬＦＳＲを用いて生成されたビッ
ト列を２ビットづつ読み出し、定数として使用する３２
ビット定数Ｈi を決定する。
【０２５６】図３７に、上記のような方法によりＬＦＳ
Ｒを用いて決定した加算定数表の例を示す。
【０２５７】なお、ＬＦＳＲの初期状態は、可変として
もよいし、固定としてもよい。前者の場合には、ＬＦＳ
Ｒの初期状態も鍵の一部を構成することになる。後者の
場合には、暗号側と同じＬＦＳＲの初期状態を持つ復号
側のみ、暗号文を復号することができる。
【０２５８】以上説明したような鍵スケジュール部によ
れば、非線形変換層については、入力の１ビットが変化
すると、Ｓ−ｂｏｘにより、８ビットに変化を波及さ
せ、さらに、小ＭＤＳにより、３２ビットに変化を波及
させることができる。さらにまた、線形拡散層について
は、大ＭＤＳが前段の非線形変換層の出力をより大きく
攪拌するので、１ビットの違いも、６４ビットの幅に広
がる利点がある。
【０２５９】従って、このような鍵スケジュール部によ
れば、各段でバラバラな鍵が出やすい、攪拌しやすい、
という効果を得ることができる。また、段ごとに異なる
定数により、段にわたる鍵の一致が少ない（鍵がほぼ一
致しない）、という効果を得ることができる。
【０２６０】なお、鍵スケジュール部として他の構成を
とることも可能である。
【０２６１】なお、図１６〜図１８を参照しながら説明
した線形拡散装置や有限体乗算装置は、この場合につい
ても適用可能である。また、図１９〜図２２を参照しな
がら説明したＭＤＳ行列生成装置（もしくはランダム生
成アルゴリズム）は、この場合についても適用可能であ
る。もちろん、図２３を参照しながら説明したＳ−ｂｏ
ｘとＭＤＳの組み合わせの設計方法は、この場合につい
ても適用可能である。
【０２６２】以下では、復号側について説明する。
【０２６３】復号側は、基本的には、暗号側を逆にした
構造である（鍵は同一である）。
【０２６４】図３８に、図２８の暗号化装置に対応する
復号装置の構成例を示す。
【０２６５】図３９に、図２８の大構造（図２９参照）
に対応する構成例を示す。
【０２６６】図２８の小構造（図６参照）に対応する構
成例は、図２５と同様である。
【０２６７】なお、図３８では、復号装置の鍵スケジュ
ール部は、図２８の暗号化装置の鍵スケジュール部と同
一の構成としてある。
【０２６８】復号装置における、Ｓ−ｂｏｘ（図２５の
１１１２参照）の入出力表、小ＭＤＳ（図２５の１１１
３参照）の小ＭＤＳ行列、大ＭＤＳ３１０４の大ＭＤＳ
行列は、それぞれ、暗号化装置における、Ｓ−ｂｏｘ
（図６の１１１２参照）の入出力表、小ＭＤＳ（図６の
１１３参照）の小ＭＤＳ行列、大ＭＤＳ３１０４の大Ｍ
ＤＳ行列と逆関数（逆行列）の関係になっている。
【０２６９】なお、図３８では、鍵については、図２８
と同様の順番で生成しているが、図２８とは逆の順番で
生成するように構成することも可能である。
【０２７０】図４０に、この場合の鍵スケジュール部の
構成例を示す。
【０２７１】３１３２は、図３５の非線形変換層２１３
２の逆変換を示している（例えば各々のＳＰ層２１３３
の逆変換（例えば図１３あるいは図１４の入出力を逆方
向にしたもの）を４並列にしたものである）。
【０２７２】図４０の鍵スケジュール部で用いる、Ｓ−
ｂｏｘの入出力表、小ＭＤＳ行列、大ＭＤＳ行列は、そ
れぞれ、図３５の鍵スケジュール部で用いる、Ｓ−ｂｏ
ｘの入出力表、小ＭＤＳ行列、大ＭＤＳ行列と逆関数
（逆行列）の関係になっている。
【０２７３】また、図４０の復号の鍵入力Ｋ’は、図２
８において（暗号側で）最後の鍵加算に用いられた鍵と
する。
【０２７４】なお、この場合においても、段数依存定数
Ｃi を剰余加算する箇所について、図３６の場合と同様
の方法をはじめとして、種々のバリエーションが考えら
れる。
【０２７５】以上では、１２８ビット・ブロック暗号や
６４ビット・ブロック暗号を例にとって説明したが、他
のビット長のブロック暗号にももちろん本発明は適用可
能である。
【０２７６】以下では、本実施形態のハードウェア構
成、ソフトウェア構成について説明する。
【０２７７】本実施形態の暗号化装置や復号装置は、ハ
ードウェアとしても、ソフトウェアとしても、実現可能
である。
【０２７８】本実施形態は、ソフトウェアで実現する場
合に、暗号化装置や復号装置を実現するプログラムであ
って、コンピュータに所定の手段を実行させるための
（あるいはコンピュータを所定の手段として機能させる
ための、あるいはコンピュータに所定の機能を実現させ
るための）プログラムを記録したコンピュータ読取り可
能な記録媒体としても実施することもできる。
【０２７９】また、ハードウェアとして構成する場合、
半導体装置として形成することができる。
【０２８０】また、本発明を適用した暗号化装置や復号
装置を構成する場合、あるいは暗号化プログラムや復号
プログラムを作成する場合に、図４や図２４で例示した
ようなブロックもしくはモジュールをすべて個別に作成
することも可能であるが、同一構成を有するブロックも
しくはモジュールについては１または適当数のみ用意し
ておいて、それをアルゴリズムの各部分で共有する（使
い回す）ことも可能である。
【０２８１】また、ソフトウェアの場合には、マルチプ
ロセッサを利用し、並列処理を行って、処理を高速化す
ることも可能である。
【０２８２】なお、暗号化機能を持ち、復号機能を持た
ない装置として構成することも、復号機能を持ち、暗号
化機能を持たない装置として構成することも、暗号化機
能と復号機能の両方を持つ装置として構成することも、
可能である。同様に、暗号化機能を持ち、復号機能を持
たないプログラムとして構成することも、復号機能を持
ち、暗号化機能を持たないプログラムとして構成するこ
とも、暗号化機能と復号機能の両方を持つプログラムと
して構成することも、可能である。
【０２８３】次に、本実施形態のシステムへの応用につ
いて説明する。
【０２８４】本実施形態の暗号方式は、基本的にはどの
ようなシステムにも適用可能である。
【０２８５】例えば、図４１に示すように、送信側装置
３０１と、受信側装置３０３との間で、所定の方法もし
くは手続により、鍵を安全に共有しておき、送信側装置
３０１は送信データをブロック長ごとに本実施形態の暗
号方式で暗号化し、所定のプロトコルに従って、通信ネ
ットワーク３０２を介して、暗号文を受信側装置３０３
へ送信し、暗号文を受信した受信側装置３０３では、受
信した暗号文をブロック長ごとに本実施形態の暗号方式
で復号し、もとの平文を得ることができる。なお、各々
の装置が、暗号化機能と復号機能を両方持っていれば、
双方向に暗号通信を行うことができる。
【０２８６】また、例えば、図４２に示すように、計算
機３１１では、所定の方法で鍵を生成し、保存したいデ
ータをブロック長ごとに本実施形態の暗号方式で暗号化
し、所定のネットワーク（例えば、ＬＡＮ、インターネ
ット等）３１４を介して、暗号化データとして、データ
・サーバ３１３に保存しておく。計算機３１１では、こ
のデータを読みたいときは、データ・サーバ３１３から
所望の暗号化データを読み込み、これをブロック長ごと
に本実施形態の暗号方式で復号し、もとの平文を得るこ
とができる。また、他の計算機３１２が、この鍵を知っ
ていれば、同様に復号してもとの平文を得ることができ
るが、鍵の分からない他の計算機は、該暗号データを復
号することはできず、情報のセキュリティ・コントロー
ルが可能になる。
【０２８７】また、例えば、図４３に示すように、コン
テンツ提供側では、暗号化装置３２１により、あるコン
テンツを、ある鍵で、ブロック長ごとに本実施形態の暗
号方式で暗号化し、これを暗号化コンテンツとして、記
録媒体３２２に記録し、これを頒布等する。記録媒体３
２２を取得したユーザ側では、所定の方法で該ある鍵を
入手することにより、復号装置３２３により、該コンテ
ンツを、ブロック長ごとに本実施形態の暗号方式で復号
し、コンテンツの閲覧もしくは再生等を行うことができ
る。
【０２８８】もちろん、上記以外にも種々のシステムに
適用可能である。
【０２８９】なお、本実施形態で示した構成は一例であ
って、それ以外の構成を排除する趣旨のものではなく、
例示した構成の一部を他のもので置き換えたり、例示し
た構成の一部を省いたり、例示した構成に別の機能を付
加したり、それらを組み合わせたりすることなどによっ
て得られる別の構成も可能である。また、例示した構成
と論理的に等価な別の構成、例示した構成と論理的に等
価な部分を含む別の構成、例示した構成の要部と論理的
に等価な別の構成なども可能である。また、例示した構
成と同一もしくは類似の目的を達成する別の構成、例示
した構成と同一もしくは類似の効果を奏する別の構成な
ども可能である。また、各種構成部分についての各種バ
リエーションは、適宜組み合わせて実施することが可能
である。また、本実施形態は、暗号化装置としての発
明、復号化装置としての発明、システム全体としての発
明、個別装置内部の構成部分についての発明、またはそ
れらに対応する方法の発明等、種々の観点、段階、概念
またはカテゴリに係る発明を包含・内在するものであ
る。従って、この発明の実施の形態に開示した内容から
は、例示した構成に限定されることなく発明を抽出する
ことができるものである。
【０２９０】本発明は、上述した実施の形態に限定され
るものではなく、その技術的範囲において種々変形して
実施することができる。
【０２９１】
【発明の効果】本発明によれば、局所的なデータ拡散を
行う小型の拡散層とブロック幅に及ぶ拡散を行う大型の
拡散層を交互に重ねて運用することにより、計算コスト
を抑えたまま高く均一な拡散を実現することができる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係る暗号方式の基本的な
構成について説明するための図
【図２】同実施形態の暗号強度に関して説明するための
図
【図３】同実施形態の入れ子型暗号方式のデータ攪拌部
の階層構造の例を示す図
【図４】同実施形態の暗号化装置の構成例を示す図
【図５】同実施形態のＳ−ｂｏｘの一例を示す図
【図６】同実施形態の拡大Ｓ−ｂｏｘの内部構成例を示
す図
【図７】同実施形態の小ＭＤＳの一例を示す図
【図８】同実施形態の大ＭＤＳおよび拡大Ｓ−ｂｏｘの
構造例を示す図
【図９】同実施形態の大ＭＤＳの一例を示す図
【図１０】同実施形態の大ＭＤＳの他の例を示す図
【図１１】同実施形態の鍵スケジュール部の構成例を示
す図
【図１２】同実施形態の鍵スケジュール部の他の構成例
を示す図
【図１３】同実施形態の非線形変換層の内部構成の一例
を示す図
【図１４】同実施形態の非線形変換層の内部構成の他の
例を示す図
【図１５】同実施形態の加算定数表の一例を示す図
【図１６】同実施形態の有限体乗算装置の構成例を示す
図
【図１７】同実施形態の線形変換装置の構成例を示す図
【図１８】同実施形態の線形変換装置の構成例を示す図
【図１９】同実施形態のＭＤＳ行列生成装置の構成例を
示す図
【図２０】同実施形態のＭＤＳ行列生成処理手順の一例
を示すフローチャート
【図２１】同実施形態のＭＤＳ行列生成装置の他の構成
例を示す図
【図２２】同実施形態のＭＤＳ行列生成処理手順の他の
例を示すフローチャート
【図２３】同実施形態のＳ−ｂｏｘと小ＭＤＳの組み合
わせを選択するための処理手順の一例を示すフローチャ
ート
【図２４】同実施形態の復号装置の構成例を示す図
【図２５】同実施形態の拡大Ｓ−ｂｏｘの内部構成例を
示す図
【図２６】同実施形態の大ＭＤＳおよび拡大Ｓ−ｂｏｘ
の構造例を示す図
【図２７】同実施形態の鍵スケジュール部の構成例を示
す図
【図２８】同実施形態の暗号化装置の他の構成例を示す
図
【図２９】同実施形態の大ＭＤＳおよび拡大Ｓ−ｂｏｘ
の他の構造例を示す図
【図３０】同実施形態の大ＭＤＳのさらに他の例を示す
図
【図３１】ＧＦ（２4 ）上の乗算の結線表現を示す図
【図３２】同実施形態の大ＭＤＳのさらに他の例を示す
図
【図３３】同実施形態に大ＭＤＳおける繰り込みについ
て説明するための図
【図３４】同実施形態の大ＭＤＳのさらに他の例を示す
図
【図３５】同実施形態の鍵スケジュール部のさらに他の
構成例を示す図
【図３６】同実施形態の鍵スケジュール部のさらに他の
構成例を示す図
【図３７】同実施形態の加算定数表の他の例を示す図
【図３８】同実施形態の復号装置の他の構成例を示す図
【図３９】同実施形態の大ＭＤＳおよび拡大Ｓ−ｂｏｘ
の他の構造例を示す図
【図４０】同実施形態の鍵スケジュール部の他の構成例
を示す図
【図４１】同実施形態の暗号方式を利用したシステムの
一例を示す図
【図４２】同実施形態の暗号方式を利用したシステムの
他の例を示す図
【図４３】同実施形態の暗号方式を利用したシステムの
さらに他の例を示す図
【符号の説明】 １…暗号処理装置 ２…最上位の階層の非線形変換モジュール ３…データ幅に渡る拡散モジュール ４…階層構造内部の非線形変換モジュール ５…局所的な拡散モジュール １０２，２１０２，３１０２…拡大Ｓ−ｂｏｘ層 １０３，１１０３，２１０３，３１０３…拡大Ｓ−ｂｏ
ｘ １０４，１３１，１１０４，２１０４，２１３１，３１
０４…大ＭＤＳ １０５，１１０５，２１０５，３１０５…（暗号文直前
の）鍵加算部 １１１，１１１１…鍵加算部 １１２，１４１，１１１２…Ｓ−ｂｏｘ １１３，１４２，１１１３…小ＭＤＳ １２１〜１２４，２１２１〜２１２４，３１２１〜３１
２４…鍵スケジュール部 １３４，１４３，２１３４…排他的論理和部 １３５，１３６，２１３５，２１３６…剰余加算部 ２００…有限体乗算装置 ２０１…桁溢れ帰還部 ２０２…係数格納部 ２０３…乗算部 ２０４…排他的論理和分 ２３１…要素生成部 ２３２…小行列式計算部 ２３３…判定部 ２３４…逆行列生成部 ２３５…逆行列判定部
───────────────────────────────────────────────────── フロントページの続き (72)発明者 川村 信一 神奈川県川崎市幸区小向東芝町１番地 株式会社東芝研究開発センター内 (56)参考文献 特開 平１−144091（ＪＰ，Ａ) 国際公開97／009705（ＷＯ，Ａ１) ＣＲＹＰＴＡＮＡＬＹＳＩＳ ＯＦ ＴＲＥＥ−ＳＴＲＵＣＴＵＲＥＤ ＳＵ ＢＳＴＩＴＵＴＩＯＮ ＮＥＴＷＯＲＫ Ｓ，ＥＬＥＣＴＲＯＮＩＣＳ ＬＥＴＴ ＥＲＳ，1993年 １月 ７日，Ｖｏｌ. 29 Ｎｏ．１，ｐ．40−41 Ｏｎ ｔｈｅ Ｄｅｓｉｇｎ ｏｆ Ｌｉｎｅａｒ Ｔｒａｎｓｆｏｒｍａｔ ｉｏｎｓ ｆｏｒ Ｓｕｂｓｔｉｔｕｔ ｉｏｎ Ｐｅｒｍｕｔａｔｉｏｎ Ｅｎ ｃｒｙｐｔｉｏｎ Ｎｅｔｗｏｒｋｓ, ｉｎ ｔｈｅ Ｗｏｒｋｓｈｏｐ Ｒｅ ｃｏｒｄ ｏｆ ｔｈｅ ＆ Ｗｏｒｋ ｓｈｏｐ ｏｎ Ｓｅｌｅｃｔｅｄ Ａ ｒｅａｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐ ｈｙ，1997年 ８月11日，ｐ．40−48 Ｔｗｏｆｉｓｈ Ａ 128−Ｂｉｔ Ｂｌｏｃｋ Ｃｉｐｈｅｒ，1998年 ６ 月15日，ＵＲＬ，ｈｔｔｐ：／／ｗｗ ｗ．ｃｏｕｎｔｅｒｐｎａｎｅ．ｃｏｍ ／ｔｗｏｆｉｓｈ．ｈｔｍｌ Ｓｅｒｐｅｎｔ ： Ａ Ｎｅｗ Ｂ ｌｏｃｋ Ｃｉｐｈｅｒ Ｐｒｏｐｏｓ ａｌ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉ ｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃ ｅ，1998年 ４月13日，Ｖｏｌ．1372, ｐ．222−238 (58)調査した分野(Int.Cl.7，ＤＢ名) G09C 1/00 610 H04L 9/06 (54)【発明の名称】 暗号化装置、暗号化方法及び暗号化装置としてコンピュータを機能させるためのプログラムを記 録したコンピュータ読取り可能な記録媒体並びに復号装置、復号方法及び復号装置としてコンピ ュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体

Claims (13)

    (57)【特許請求の範囲】
  1. 【請求項１】ブロック暗号方式による暗号化装置におい
    て、初段では暗号化対象とする平文データとして第１のデー
    タ幅のデータを、２段目以降の各段では前段での処理が
    施された第１のデータ幅のデータを入力する複数段の第
    １の段関数処理手段であって、該 第１のデータ幅のデー
    タが複数に分割された第２のデータ幅の各データに対し
    てそれぞれ非線形変換処理を施す複数の第１の処理手段
    と、これら複数の第１の処理手段からの第２のデータ幅
    の各データからなる第１のデータ幅のデータに対して線
    形拡散処理を施す第２の処理手段とからなる複数段の第
    １の段関数処理手段と、 前記複数段の第１の段関数処理手段のうちの最後の段の
    第１の段関数処理手段での処理が施された第１のデータ
    幅のデータを入力する第２の段関数処理手段であって、
    該第１のデータ幅のデータが複数に分割された第２のデ
    ータ幅の各データに対してそれぞれ非線形変換処理を施
    す複数の第３の処理手段と、これら複数の第３の処理手
    段からの第２のデータ幅の各データからなる第１のデー
    タ幅のデータに基づいて前記平文データに対する暗号化
    データを出力する手段とからなる第２の段関数処理手段
    とを備え、 前記第１の処理手段及び第３の処理手段は、それぞれ、
    前記第２のデータ幅のデータがさらに複数に分割された
    第３のデータ幅の各データに対してそれぞれ非線形変換
    処理を施す複数の非線形変換処理手段と、これら複数の
    非線形変換処理手段からの第３のデータ幅の各データか
    らなる第２のデータ幅のデータに対して線形拡散処理を
    施す線形拡散処理手段と、この線形拡散処理手段からの
    第２のデータ幅のデータがさらに複数に分割された第３
    のデータ幅の各データに対してそれぞれ非線形変換処理
    を施す複数の非線形変換処理手段とからなるものである
    ことを特徴とする暗号化装置。
  2. 【請求項２】前記第２の処理手段は予め選択された最大
    距離分離行列を用いて第１のデータ幅を持つ入力データ
    から第１のデータ幅を持つ出力データを求めるものであ
    ることを特徴とする請求項１に記載の暗号化装置。
  3. 【請求項３】前記最大距離分離行列として全行列要素に
    ついて下位所定ビットのみ非零であるものを選択するこ
    とを特徴とする請求項２に記載の暗号化装置。
  4. 【請求項４】前記最大距離分離行列として同一行に属す
    る全行列要素が相異なる値を持つものを選択することを
    特徴とする請求項２または３に記載の暗号化装置。
  5. 【請求項５】前記第２の処理手段は、前記第１のデータ
    幅から所定数個おきに１ビットを取りだして連結したデ
    ータを入力として最大距離分離行列を用いて出力を求め
    る処理を、該１ビットを取り出す位置を変えたものにつ
    いてそれぞれ行うものであることを特徴とする請求項２
    に記載の暗号化装置。
  6. 【請求項６】前記線形拡散処理手段は予め選択された最
    大距離分離行列を用いて第２のデータ幅を持つ入力デー
    タから第２のデータ幅を持つ出力データを求めるもので
    あることを特徴とする請求項１ないし５のいずれか１項
    に記載の暗号化装置。
  7. 【請求項７】複数段の第１の段関数処理手段及び第２の
    段関数処理手段からなるブロック暗号方式による暗号化
    装置における暗号化方法であって、暗号化対象とする平文データとして第１のデータ幅のデ
    ータを入力装置から入力するステップと、 初段の前記第１の段関数処理手段により、 第１のデータ
    幅の前記暗号化データが複数に分割された第２のデータ
    幅の各データに対してそれぞれ非線形変換処理を施し、
    これら非線形変換処理を施された第２のデータ幅の各デ
    ータからなる第１のデータ幅のデータに対して線形拡散
    処理を施すステップと、 ２段目以降の各段の前記第１の段関数処理手段のそれぞ
    れにより、順次、前段の前記第１の段関数処理手段での
    処理が施された第１のデータ幅のデータを入力し、該第
    １のデータ幅のデータが複数に分割された第２のデータ
    幅の各データに対してそれぞれ非線形変換処理を施し、
    これら非線形変換処理を施された第２のデータ幅の各デ
    ータからなる第１のデータ幅のデータに対して線形拡散
    処理を施すステップと、 前記第２の段関数処理手段により、前記複数段の第１の
    段関数処理手段のうちの最後の段の第１の段関数処理手
    段での処理が施された第１のデータ幅のデータを入力
    し、該第１のデータ幅のデータが複数に分割された第２
    のデータ幅の各データに対してそれぞれ非線形変換処理
    を施し、これら非線形変換処理を施された第２のデータ
    幅の各データからなる第１のデータ幅のデータに基づい
    て前記平文データに対する暗号化データを出力装置から
    出力するステップとを有し、 各段の前記第１の段関数処理手段及び前記第２の段関数
    処理手段により 、それぞれ、前記第２のデータ幅の各デ
    ータに対してそれぞれ非線形変換処理を施すにあたって
    は、前記第２のデータ幅のデータがさらに複数に分割さ
    れた第３のデータ幅の各データに対してそれぞれ非線形
    変換処理を施し、これら非線形変換処理を施された第３
    のデータ幅の各データからなる第２のデータ幅のデータ
    に対して線形拡散処理を施し、この線形拡散処理を施さ
    れた第２のデータ幅のデータがさらに複数に分割された
    第３のデータ幅の各データに対してそれぞれ非線形変換
    処理を施すことを特徴とする暗号化方法。
  8. 【請求項８】複数段の第１の段関数処理手段及び第２の
    段関数処理手段からなるブロック暗号方式による暗号化
    装置としてコンピュータを機能させるためのプログラム
    を記録したコンピュータ読取り可能な記録媒体におい
    て、 前記プログラムは、 暗号化対象とする平文データとして第１のデータ幅のデ
    ータを入力装置から入力するステップと、 初段の前記第１の段関数処理手段により、第１のデータ
    幅の前記平文が複数に分割された第２のデータ幅の各デ
    ータに対してそれぞれ非線形変換処理を施し、これら非
    線形変換処理を施された第２のデータ幅の各データから
    なる第１のデータ幅のデータに対して線形拡散処理を施
    すステップと、 ２段目以降の各段の前記第１の段関数処理手段のそれぞ
    れにより、順次、前段の前記第１の段関数処理手段での
    処理が施された第１のデータ幅のデータを入力し、該 第
    １のデータ幅のデータが複数に分割された第２のデータ
    幅の各データに対してそれぞれ非線形変換処理を施し、
    これら非線形変換処理を施された第２のデータ幅の各デ
    ータからなる第１のデータ幅のデータに対して線形拡散
    処理を施すステップと、 前記第２の段関数処理手段により、前記複数段の第１の
    段関数処理手段のうちの最後の段の第１の段関数処理手
    段での処理が施された第１のデータ幅のデータを入力
    し、該第１のデータ幅のデータが複数に分割された第２
    のデータ幅の各データに対してそれぞれ非線形変換処理
    を施し、これら非線形変換処理を施された第２のデータ
    幅の各データからなる第１のデータ幅のデータに基づい
    て前記平文データに対する暗号化データを出力装置から
    出力するステップとをコンピュータに実行させるととも
    に、 各段の前記第１の段関数処理手段及び前記第２の段関数
    処理手段により 、それぞれ、前記第２のデータ幅の各デ
    ータに対してそれぞれ非線形変換処理を施すにあたって
    は、前記第２のデータ幅のデータがさらに複数に分割さ
    れた第３のデータ幅の各データに対してそれぞれ非線形
    変換処理を施し、これら非線形変換処理を施された第３
    のデータ幅の各データからなる第２のデータ幅のデータ
    に対して線形拡散処理を施し、この線形拡散処理を施さ
    れた第２のデータ幅のデータがさらに複数に分割された
    第３のデータ幅の各データに対してそれぞれ非線形変換
    処理を施させるものであることを特徴とするプログラム
    を記録したコンピュータ読取り可能な記録媒体。
  9. 【請求項９】ブロック暗号方式による復号装置におい
    て、復号対象とする暗号化データとして第１のデータ幅のデ
    ータを入力する第１の段関数処理手段であって、該暗号
    化データに基づいて得られる第１のデータ幅のデータが
    複数に分割された第２のデータ幅の各データに対してそ
    れぞれ非線形変換処理を施す複数の第１の処理手段から
    なる第１の段関数処理手段と、 初段では前記第１の段関数処理手段からの第１のデータ
    幅のデータを、２段目以降の各段では前段での処理が施
    された第１のデータ幅のデータを入力する複数段の第２
    の段関数処理手段であって、該第１のデータ幅に対して
    線形拡散処理を施す第２の処理手段と、該第２の処理手
    段からの 第１のデータ幅のデータが複数に分割された第
    ２のデータ幅の各データに対してそれぞれ非線形変換処
    理を施し、最後の段以外の各段では、これら非線形変換
    処理を施された第２のデータ幅の各データからなる第１
    のデータ幅のデータを次段へ出力し、最後の段では、こ
    れら非線形変換処理を施された第２のデータ幅の各デー
    タからなる第１のデータ幅のデータを前記暗号化データ
    に対する平文データとして出力する複数の第３の処理手
    段とからなる複数段の第２の段関数処理手段とを備え、 前記第１の処理手段及び前記第３の処理手段は、それぞ
    れ、前記第２のデータ幅のデータがさらに複数に分割さ
    れた第３のデータ幅の各データに対してそれぞれ非線形
    変換処理を施す複数の非線形変換処理手段と、これら複
    数の非線形変換処理手段からの第３のデータ幅の各デー
    タからなる第２のデータ幅のデータに対して線形拡散処
    理を施す線形拡散処理手段と、この線形拡散処理手段か
    らの第２のデータ幅のデータがさらに複数に分割された
    第３のデータ幅の各データに対してそれぞれ非線形変換
    処理を施す複数の非線形変換処理手段とからなるもので
    あることを特徴とする復号装置。
  10. 【請求項１０】第１の段関数処理手段及び複数段の第２
    の段関数処理手段からなるブロック暗号方式による復号
    装置における復号方法であって、復号対象とする暗号化データとして第１のデータ幅のデ
    ータを入力装置から入力するステップと、 前記第１の段関数処理手段により、第１のデータ幅の前
    記暗号化データが複数に分割された第２のデータ幅の各
    データに対してそれぞれ非線形変換処理を施すステップ
    と、 初段の前記第２の段関数処理手段により、前記第１の段
    関数処理手段からの第１のデータ幅のデータを入力し、
    該第１のデータ幅に対して線形拡散処理を施し、この線
    形拡散処理を施された 第１のデータ幅のデータが複数に
    分割された第２のデータ幅の各データに対してそれぞれ
    非線形変換処理を施すステップと、 初段及び最後の段以外の各段の前記第２の段関数処理手
    段のそれぞれにより、順次、前段の前記第２の段関数処
    理手段での処理が施された第１のデータ幅のデータを入
    力し、該第１のデータ幅に対して線形拡散処理を施し、
    この線形拡散処理を施された第１のデータ幅のデータが
    複数に分割された第２のデータ幅の各データに対してそ
    れぞれ非線形変換処理を施すステップと、 最後の段の前記第２の段関数処理手段により、前段の前
    記第２の段関数処理手段での処理が施された第１のデー
    タ幅のデータを入力し、該第１のデータ幅に対して線形
    拡散処理を施し、この線形拡散処理を施された第１のデ
    ータ幅のデータが複数に分割された第２のデータ幅の各
    データに対してそれぞれ非線形変換処理を施し、これら
    非線形変換処理を施された第２のデータ幅の各データか
    らなる第１のデータ幅のデータを前記暗号化データに対
    する平文データとして出力装置から出力するステップと
    を有し、 前記第１の段関数処理手段及び各段の前記第２の段関数
    処理手段により 、それぞれ、前記第２のデータ幅の各デ
    ータに対してそれぞれ非線形変換処理を施すにあたって
    は、前記第２のデータ幅のデータがさらに複数に分割さ
    れた第３のデータ幅の各データに対してそれぞれ非線形
    変換処理を施し、これら非線形変換処理を施された第３
    のデータ幅の各データからなる第２のデータ幅のデータ
    に対して線形拡散処理を施し、この線形拡散処理を施さ
    れた第２のデータ幅のデータがさらに複数に分割された
    第３のデータ幅の各データに対してそれぞれ非線形変換
    処理を施すことを特徴とする復号方法。
  11. 【請求項１１】第１の段関数処理手段及び複数段の第２
    の段関数処理手段からなるブロック暗号方式による復号
    装置としてコンピュータを機能させるためのプログラム
    を記録したコンピュータ読取り可能な記録媒体におい
    て、 前記プログラムは、 復号対象とする暗号化データとして第１のデータ幅のデ
    ータを入力装置から入力するステップと、 前記第１の段関数処理手段により、第１のデータ幅の前
    記暗号化データが複数に分割された第２のデータ幅の各
    データに対してそれぞれ非線形変換処理を施すステップ
    と、 初段の前記第２の段関数処理手段により、前記第１の段
    関数処理手段からの第１のデータ幅のデータを入力し、
    該第１のデータ幅に対して線形拡散処理を施し、この線
    形拡散処理を施された 第１のデータ幅のデータが複数に
    分割された第２のデータ幅の各データに対してそれぞれ
    非線形変換処理を施すステップと、 初段及び最後の段以外の各段の前記第２の段関数処理手
    段のそれぞれにより、順次、前段の前記第２の段関数処
    理手段での処理が施された第１のデータ幅のデータを入
    力し、該第１のデータ幅に対して線形拡散処理を施し、
    この線形拡散処理を施された第１のデータ幅のデータが
    複数に分割された第２のデータ幅の各データに対してそ
    れぞれ非線形変換処理を施すステップと、 最後の段の前記第２の段関数処理手段により、前段の前
    記第２の段関数処理手段での処理が施された第１のデー
    タ幅のデータを入力し、該第１のデータ幅に対して線形
    拡散処理を施し、この線形拡散処理を施された第１のデ
    ータ幅のデータが複数に分割された第２のデータ幅の各
    データに対してそれぞれ非線形変換処理を施し、これら
    非線形変換処理を施された第２のデータ幅の各データか
    らなる第１のデータ幅のデータを前記暗号化データに対
    する平文データとして出力装置から出力するステップと
    をコンピュータに実行させるとともに、 前記第１の段関数処理手段及び各段の前記第２の段関数
    処理手段により 、それぞれ、前記第２のデータ幅の各デ
    ータに対してそれぞれ非線形変換処理を施すにあたって
    は、前記第２のデータ幅のデータがさらに複数に分割さ
    れた第３のデータ幅の各データに対してそれぞれ非線形
    変換処理を施し、これら非線形変換処理を施された第３
    のデータ幅の各データからなる第２のデータ幅のデータ
    に対して線形拡散処理を施し、この線形拡散処理を施さ
    れた第２のデータ幅のデータがさらに複数に分割された
    第３のデータ幅の各データに対してそれぞれ非線形変換
    処理を施させるものであることを特徴とするプログラム
    を記録したコンピュータ読取り可能な記録媒体。
  12. 【請求項１２】共通鍵ブロック暗号方式による暗号化装
    置において、 初段では入力された１２８ビットの平文ブロックデータ
    を、２段目以降の各段では前段での処理が施された１２
    ８ビットのブロックデータを入力とし、該ブロックデー
    タを４分割した４組の３２ビット・データに対してそれ
    ぞれ局所的な線形拡散処理と非線形変換処理と局所的な
    線形拡散処理とを順次施して出力する４つの第１の非線
    形変換処理部と、これら４つの第１の非線形変換処理部
    からそれぞれ出力された４組の３２ビット・データを連
    結した１２８ビットのブロックデータに対して最大距離
    分離行列を用いて線形拡散処理を施し次段へ出力する第
    １の拡散処理部とを、１段分の段構成として、該段構成
    を所定段数分接続し、 最後の前記第１の拡散処理部の後段に、この第１の拡散
    処理部から出力される１２８ビットのブロックデータを
    入力とする前記４つの第１の非線形変換処理部を接続
    し、 この４つの第１の非線形変換処理部の後段に、これら４
    つの第１の非線形変換処理部からそれぞれ出力された４
    組の３２ビット・データを連結した１２８ビットのブロ
    ックデータに対して１２８ビットの鍵データを加算して
    １２８ビットの暗号化されたブロックデータとして出力
    する第１の鍵加算部を接続して構成されるとともに、 前記第１の非線形変換処理部の各々は、与えられた１組
    の前記３２ビット・データをさらに４分割した４組の８
    ビット・データに対してそれぞれ８ビットの鍵データを
    加算する４つの第２の鍵加算部と、各第２の鍵加算部の
    出力に対してそれぞれ８ビットの入出力変換表を用いて
    非線形変換を行う４つの第２の非線形変換処理部と、こ
    れら４つの第２の非線形変換処理部からそれぞれ出力さ
    れた４組の８ビット・データを連結した３２ビット・デ
    ータに対して最大距離分離行列を用いて線形拡散処理を
    施す第２の拡散処理部と、この第２の拡散処理部の後段
    にさらに接続された４組の前記第２の鍵加算部および第
    ２の非線形変換処理部とからなるものであることを特徴
    とする暗号化装置。
  13. 【請求項１３】共通鍵ブロック暗号方式による暗号化装
    置において、 初段では入力された６４ビットの平文ブロックデータ
    を、２段目以降の各段では前段での処理が施された６４
    ビットのブロックデータを入力とし、該ブロックデータ
    を２分割した２組の３２ビット・データに対してそれぞ
    れ局所的な線形拡散処理と非線形変換処理と局所的な線
    形拡散処理とを順次施して出力する２つの第１の非線形
    変換処理部と、これら２つの第１の非線形変換処理部か
    らそれぞれ出力された２組の３２ビット・データを連結
    した６４ビットのブロックデータに対して最大距離分離
    行列を用いて線形拡散処理を施し次段へ出力する第１の
    拡散処理部とを、１段分の段構成として、該段構成を所
    定段数分接続し、 最後の前記第１の拡散処理部の後段に、この第１の拡散
    処理部から出力される６４ビットのブロックデータを入
    力とする前記２つの第１の非線形変換処理部を接続し、 この２つの第１の非線形変換処理部の後段に、これら２
    つの第１の非線形変換処理部からそれぞれ出力された２
    組の３２ビット・データを連結した６４ビットのブロッ
    クデータに対して６４ビットの鍵データを加算して６４
    ビットの暗号化されたブロックデータとして出力する第
    １の鍵加算部を接続して構成されるとともに、 前記第１の非線形変換処理部の各々は、与えられた１組
    の前記３２ビット・データをさらに４分割した４組の８
    ビット・データに対してそれぞれ８ビットの鍵データを
    加算する４つの第２の鍵加算部と、各第２の鍵加算部の
    出力に対してそれぞれ８ビットの入出力変換表を用いて
    非線形変換を行う４つの第２の非線形変換処理部と、こ
    れら４つの第２の非線形変換処理部からそれぞれ出力さ
    れた４組の８ビット・データを連結した３２ビット・デ
    ータに対して最大距離分離行列を用いて線形拡散処理を
    施す第２の拡散処理部と、この第２の拡散処理部の後段
    にさらに接続された４組の前記第２の鍵加算部および第
    ２の非線形変換処理部とからなるものであることを特徴
    とする暗号化装置。
JP2000210484A 2000-03-06 2000-07-11 暗号化装置、暗号化方法及び暗号化装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体並びに復号装置、復号方法及び復号装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体 Expired - Lifetime JP3499810B2 (ja)

Priority Applications (7)

Application Number Priority Date Filing Date Title
JP2000210484A JP3499810B2 (ja) 2000-03-06 2000-07-11 暗号化装置、暗号化方法及び暗号化装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体並びに復号装置、復号方法及び復号装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体
US09/799,028 US7227948B2 (en) 2000-03-06 2001-03-06 Encryption apparatus and method, and decryption apparatus and method based on block encryption
EP01302065A EP1133100B1 (en) 2000-03-06 2001-03-06 Encryption apparatus and method, and decryption apparatus and method based on block encrytion
CNB011109408A CN1322697C (zh) 2000-03-06 2001-03-06 加密装置与加密方法
DE60119410T DE60119410T2 (de) 2000-03-06 2001-03-06 Vorrichtung und Verfahren zur Blockverschlüsselung und zur Entschlüsselung
KR10-2001-0011395A KR100415410B1 (ko) 2000-03-06 2001-03-06 암호화 장치 및 방법과, 연산장치 및, 복호화 장치 및 방법
US11/261,562 US7209556B2 (en) 2000-03-06 2005-10-31 Encryption apparatus and method, and decryption apparatus and method based on block encryption

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2000060482 2000-03-06
JP2000-60482 2000-03-06
JP2000210484A JP3499810B2 (ja) 2000-03-06 2000-07-11 暗号化装置、暗号化方法及び暗号化装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体並びに復号装置、復号方法及び復号装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体

Publications (3)

Publication Number Publication Date
JP2001324924A JP2001324924A (ja) 2001-11-22
JP3499810B2 true JP3499810B2 (ja) 2004-02-23
JP2001324924A5 JP2001324924A5 (ja) 2004-08-19

Family

ID=26586845

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2000210484A Expired - Lifetime JP3499810B2 (ja) 2000-03-06 2000-07-11 暗号化装置、暗号化方法及び暗号化装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体並びに復号装置、復号方法及び復号装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体

Country Status (6)

Country Link
US (2) US7227948B2 (ja)
EP (1) EP1133100B1 (ja)
JP (1) JP3499810B2 (ja)
KR (1) KR100415410B1 (ja)
CN (1) CN1322697C (ja)
DE (1) DE60119410T2 (ja)

Families Citing this family (56)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6088800A (en) 1998-02-27 2000-07-11 Mosaid Technologies, Incorporated Encryption processor with shared memory interconnect
US7382878B2 (en) * 2001-06-22 2008-06-03 Uponus Technologies, Llc System and method for data encryption
JP3851115B2 (ja) * 2001-06-28 2006-11-29 富士通株式会社 暗号回路
US7046803B2 (en) * 2001-10-06 2006-05-16 Samsung Electronics Co., Ltd. Random keystream generation apparatus and method for use in an encryption system
US7801301B2 (en) 2001-10-10 2010-09-21 Stmicroelectronics S.R.L. Method and circuit for data encryption/decryption
IL147287A0 (en) * 2001-12-25 2002-08-14 Yissum Res Dev Co Method and apparatus for controlling atmospheric conditions
JP4328487B2 (ja) * 2002-01-28 2009-09-09 インターナショナル・ビジネス・マシーンズ・コーポレーション 組合せ回路、暗号回路、その生成方法及びプログラム
EP1510028A4 (en) * 2002-05-23 2008-01-23 Atmel Corp CRYPTOGRAPHIC MOTOR OF TECHNICAL EQUIPMENT BASED ON ADVANCED ENCRYPTION STANDARD (AES)
US7401109B2 (en) * 2002-08-06 2008-07-15 The State Of Oregon Acting By And Through The State Board Of Higher Education On Behalf Of Oregon State University Multiplication of multi-precision numbers having a size of a power of two
US7447310B2 (en) * 2002-08-06 2008-11-04 The State Of Oregon Acting By And Through The State Board Of Higher Education On Behalf Of Oregon State University Lean multiplication of multi-precision numbers over GF(2m)
US7363346B2 (en) * 2002-09-07 2008-04-22 Appistry, Inc. Reliably storing information across multiple computers such as in a hive of computers
EP1480371A1 (en) * 2003-05-23 2004-11-24 Mediacrypt AG Device and method for encrypting and decrypting a block of data
US7772999B2 (en) * 2007-12-10 2010-08-10 Peter Lablans N-state ripple adder scheme coding with corresponding n-state ripple adder scheme decoding
US8577026B2 (en) 2010-12-29 2013-11-05 Ternarylogic Llc Methods and apparatus in alternate finite field based coders and decoders
US20110064214A1 (en) * 2003-09-09 2011-03-17 Ternarylogic Llc Methods and Apparatus in Alternate Finite Field Based Coders and Decoders
DE10345457A1 (de) * 2003-09-30 2005-04-28 Infineon Technologies Ag Verfahren und Vorrichtung zur Ver- und Entschlüsselung
US7415616B2 (en) * 2004-01-21 2008-08-19 National Institute Of Information And Communications Technology Cipher strength evaluation apparatus
FR2871969B1 (fr) * 2004-06-18 2006-12-01 Sagem Procede et dispositif d'execution d'un calcul cryptographique
JP4561252B2 (ja) * 2004-09-03 2010-10-13 ソニー株式会社 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
CA2922172A1 (en) 2004-10-25 2006-05-04 Security First Corp. Secure data parser method and system
JP4527571B2 (ja) * 2005-03-14 2010-08-18 富士通株式会社 再構成可能演算処理装置
WO2007008919A2 (en) * 2005-07-11 2007-01-18 University Of Virginia Patent Foundation Method and system for software protection using binary encoding
US20070043977A1 (en) * 2005-08-22 2007-02-22 Moxa Technologies Co., Ltd. [program encryption method]
KR20080065654A (ko) * 2005-10-10 2008-07-14 엔디에스 리미티드 블록 암호문 암호화를 위한 방법 및 시스템
CA2629015A1 (en) 2005-11-18 2008-05-08 Rick L. Orsini Secure data parser method and system
JP4882598B2 (ja) * 2006-07-28 2012-02-22 ソニー株式会社 暗号処理装置、暗号処理アルゴリズム構築方法、および暗号処理方法、並びにコンピュータ・プログラム
JP4905000B2 (ja) * 2006-09-01 2012-03-28 ソニー株式会社 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
JP2008058830A (ja) * 2006-09-01 2008-03-13 Sony Corp データ変換装置、およびデータ変換方法、並びにコンピュータ・プログラム
US8265177B2 (en) * 2006-12-04 2012-09-11 Samsung Electronics Co., Ltd. System and method for wireless communication of uncompressed high definition video data using beambook-constructed beamforming signals
US8259836B2 (en) * 2006-12-04 2012-09-04 Samsung Electronics Co., Ltd. Method and system for generating candidate beamforming coefficients for transmission of data over a wireless medium
JP5055993B2 (ja) * 2006-12-11 2012-10-24 ソニー株式会社 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
US20080250248A1 (en) * 2006-12-24 2008-10-09 Zeev Lieber Identity Management System with an Untrusted Identity Provider
IL182246A0 (en) * 2007-03-27 2008-01-06 Nds Ltd Method and system for block cipher encryption
US9191197B2 (en) * 2007-10-10 2015-11-17 Canon Kabushiki Kaisha AES encryption/decryption circuit
US8600050B1 (en) * 2008-02-22 2013-12-03 Sprint Communications Company L.P. Encrypting a data transmission using multiple channels
US8098816B2 (en) * 2008-10-17 2012-01-17 Qualcomm Incorporated Apparatus and method for evaluating a cipher structure's resistance to cryptanalysis
US9548758B2 (en) * 2010-01-05 2017-01-17 Alcatel-Lucent Usa Inc. Secure compressive sampling using codebook of sampling matrices
US9789247B2 (en) 2011-12-21 2017-10-17 Deka Products Limited Partnership Syringe pump, and related method and system
US9744300B2 (en) 2011-12-21 2017-08-29 Deka Products Limited Partnership Syringe pump and related method
US9295778B2 (en) 2011-12-21 2016-03-29 Deka Products Limited Partnership Syringe pump
CA2795206C (en) 2010-03-31 2014-12-23 Rick L. Orsini Systems and methods for securing data in motion
US20120323786A1 (en) * 2011-06-16 2012-12-20 OneID Inc. Method and system for delayed authorization of online transactions
US11217340B2 (en) 2011-12-21 2022-01-04 Deka Products Limited Partnership Syringe pump having a pressure sensor assembly
US10722645B2 (en) 2011-12-21 2020-07-28 Deka Products Limited Partnership Syringe pump, and related method and system
US9215223B2 (en) 2012-01-18 2015-12-15 OneID Inc. Methods and systems for secure identity management
KR101977823B1 (ko) * 2012-04-02 2019-05-13 삼성전자주식회사 랜덤 순열 생성 방법, 랜덤 순열 생성 장치 및 이를 구비하는 암복호화 장치
JP5772934B2 (ja) * 2013-12-02 2015-09-02 ソニー株式会社 データ変換装置、およびデータ変換方法、並びにコンピュータ・プログラム
CA3175252A1 (en) 2014-02-21 2015-08-27 Deka Products Limited Partnership Syringe pump having a pressure sensor assembly
US10103877B2 (en) * 2015-09-24 2018-10-16 Intel Corporation SMS4 acceleration processors having round constant generation
US10860962B2 (en) 2015-10-28 2020-12-08 Qomplx, Inc. System for fully integrated capture, and analysis of business information resulting in predictive decision making and simulation
WO2017193093A1 (en) 2016-05-05 2017-11-09 Neustar, Inc. Systems and methods for enabling trusted communications between entities
US10958725B2 (en) 2016-05-05 2021-03-23 Neustar, Inc. Systems and methods for distributing partial data to subnetworks
US11025428B2 (en) 2016-05-05 2021-06-01 Neustar, Inc. Systems and methods for enabling trusted communications between controllers
US11108562B2 (en) 2016-05-05 2021-08-31 Neustar, Inc. Systems and methods for verifying a route taken by a communication
US11277439B2 (en) 2016-05-05 2022-03-15 Neustar, Inc. Systems and methods for mitigating and/or preventing distributed denial-of-service attacks
CN114040381A (zh) * 2021-11-08 2022-02-11 百度在线网络技术（北京）有限公司 加密方法、解密方法、装置及电子设备

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3798359A (en) * 1971-06-30 1974-03-19 Ibm Block cipher cryptographic system
JPH0682259B2 (ja) 1987-11-30 1994-10-19 日本電信電話株式会社 データ拡散装置
WO1995009410A1 (fr) * 1993-09-29 1995-04-06 Pumpkin House Incorporated Dispositif et procede de chiffrement/dechiffrement et systeme de communication a chiffrement/dechiffrement
US5473693A (en) * 1993-12-21 1995-12-05 Gi Corporation Apparatus for avoiding complementarity in an encryption algorithm
KR100250803B1 (ko) 1995-09-05 2000-04-01 다니구찌 이찌로오 데이타 변환장치 및 데이타 변환방법
US5838794A (en) * 1996-01-11 1998-11-17 Teledyne Electronic Technologies Method and apparatus for inter-round mixing in iterated block substitution systems
US7305085B2 (en) 2000-06-30 2007-12-04 Kabushiki Kaisha Toshiba Encryption apparatus and method, and decryption apparatus and method based on block encryption

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
ＣＲＹＰＴＡＮＡＬＹＳＩＳ ＯＦ ＴＲＥＥ−ＳＴＲＵＣＴＵＲＥＤ ＳＵＢＳＴＩＴＵＴＩＯＮ ＮＥＴＷＯＲＫＳ，ＥＬＥＣＴＲＯＮＩＣＳ ＬＥＴＴＥＲＳ，１９９３年 １月 ７日，Ｖｏｌ．２９ Ｎｏ．１，ｐ．４０−４１
Ｏｎ ｔｈｅ Ｄｅｓｉｇｎ ｏｆ Ｌｉｎｅａｒ Ｔｒａｎｓｆｏｒｍａｔｉｏｎｓ ｆｏｒ Ｓｕｂｓｔｉｔｕｔｉｏｎ Ｐｅｒｍｕｔａｔｉｏｎ Ｅｎｃｒｙｐｔｉｏｎ Ｎｅｔｗｏｒｋｓ，ｉｎ ｔｈｅ Ｗｏｒｋｓｈｏｐ Ｒｅｃｏｒｄ ｏｆ ｔｈｅ ＆ Ｗｏｒｋｓｈｏｐ ｏｎ Ｓｅｌｅｃｔｅｄ Ａｒｅａｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ，１９９７年 ８月１１日，ｐ．４０−４８
Ｓｅｒｐｅｎｔ ： Ａ Ｎｅｗ Ｂｌｏｃｋ Ｃｉｐｈｅｒ Ｐｒｏｐｏｓａｌ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，１９９８年 ４月１３日，Ｖｏｌ．１３７２，ｐ．２２２−２３８
Ｔｗｏｆｉｓｈ Ａ １２８−Ｂｉｔ Ｂｌｏｃｋ Ｃｉｐｈｅｒ，１９９８年 ６月１５日，ＵＲＬ，ｈｔｔｐ：／／ｗｗｗ．ｃｏｕｎｔｅｒｐｎａｎｅ．ｃｏｍ／ｔｗｏｆｉｓｈ．ｈｔｍｌ

Also Published As

Publication number Publication date
US7227948B2 (en) 2007-06-05
EP1133100B1 (en) 2006-05-10
EP1133100A2 (en) 2001-09-12
DE60119410T2 (de) 2006-11-02
JP2001324924A (ja) 2001-11-22
EP1133100A3 (en) 2003-01-02
CN1322697C (zh) 2007-06-20
US20010024502A1 (en) 2001-09-27
US7209556B2 (en) 2007-04-24
US20070058805A1 (en) 2007-03-15
DE60119410D1 (de) 2006-06-14
KR100415410B1 (ko) 2004-01-16
CN1312630A (zh) 2001-09-12
KR20010087344A (ko) 2001-09-15

Similar Documents

Publication Publication Date Title
JP3499810B2 (ja) 暗号化装置、暗号化方法及び暗号化装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体並びに復号装置、復号方法及び復号装置としてコンピュータを機能させるためのプログラムを記録したコンピュータ読取り可能な記録媒体
US7305085B2 (en) Encryption apparatus and method, and decryption apparatus and method based on block encryption
US6298136B1 (en) Cryptographic method and apparatus for non-linearly merging a data block and a key
KR101770874B1 (ko) 암호 처리 장치, 암호 처리 방법, 컴퓨터로 판독가능한 기록 매체, 및 정보 처리 장치
Kazymyrov et al. Influence of addition modulo 2 n on algebraic attacks
Biham et al. Differential-linear cryptanalysis of serpent
EP3480999B1 (en) Customizable encryption/decryption algorithm
KR100800468B1 (ko) 저전력 고속 동작을 위한 하드웨어 암호화/복호화 장치 및그 방법
CN111431697A (zh) 一种新型轻量级分组密码corl的实现方法
US6111952A (en) Asymmetrical cryptographic communication method and portable object therefore
JPH0675525A (ja) 暗号通信装置
Zhao et al. Truncated differential cryptanalysis of PRINCE
Jing et al. Reconfigurable system for high-speed and diversified AES using FPGA
Buell Modern symmetric ciphers—Des and Aes
JP2001282103A (ja) 暗号化方法
Lee et al. Design and evaluation of a block encryption algorithm using dynamic-key mechanism
Somasagar et al. Clefia-a encryption algorithm using novel s-box architecture
WO2012060685A1 (en) A method for linear transformation in substitution-permutation network symmetric-key block cipher
JP3557178B2 (ja) 暗号化装置及び暗号化方法、復号装置及び復号方法並びにプログラム
McLoone et al. System-on-chip architectures and implementations for private-key data encryption
Sone A New Cross-Layer FPGA-Based Security Scheme for Wireless Networks
Banik et al. Efficient and Secure Encryption for FPGAs in the Cloud
Lambooij et al. Cryptanalysis of Simon et al.
JP3017725B2 (ja) データ変換装置
Yan et al. Secret-Key Cryptography

Legal Events

Date Code Title Description
TRDD Decision of grant or rejection written
R151 Written notification of patent or utility model registration

Ref document number: 3499810

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20071205

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20081205

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20091205

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20091205

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20101205

Year of fee payment: 7

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20111205

Year of fee payment: 8

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20121205

Year of fee payment: 9

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20121205

Year of fee payment: 9

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20131205

Year of fee payment: 10

EXPY Cancellation because of completion of term