JP3709760B2

JP3709760B2 - Hash device

Info

Publication number: JP3709760B2
Application number: JP2000089518A
Authority: JP
Inventors: 聡兵頭; 信諭門脇; 浩茂中谷; 靖一宮崎
Original assignee: Matsushita Electric Works Ltd
Current assignee: Panasonic Electric Works Co Ltd
Priority date: 2000-03-28
Filing date: 2000-03-28
Publication date: 2005-10-26
Anticipated expiration: 2020-03-28
Also published as: JP2001282106A

Description

【０００１】
【発明の属する技術分野】
本発明はネットワークセキュリティを確保する技術に関し、特に元のデータを不可逆なハッシュ値に変換するハッシュ関数ＳＨＡをハードウェアで実現するハッシュ装置に関する。
【０００２】
【従来の技術】
従来、ハッシュ関数の一つであるＳＨＡアルゴリズムに関してはソフトウェアにより実現されている。以下、ＳＨＡアルゴリズムについて説明する。３２ｂｉｔ長の変数Ａ，Ｂ，Ｃ，Ｄ，Ｅの初期値Ａｉｎｉｔ，Ｂｉｎｉｔ，Ｃｉｎｉｔ，Ｄｉｎｉｔ，Ｄｉｎｉｔ，Ｅｉｎｉｔを１６進数で次のとおり設定する。
Ａｉｎｉｔ＝０ｘ６７４５２３０１
Ｂｉｎｉｔ＝０ｘＥＦＣＤＡＢ８９
Ｃｉｎｉｔ＝０ｘ９８ＢＡＤＣＦＥ
Ｄｉｎｉｔ＝０ｘ１０３２５４７６
Ｅｉｎｉｔ＝０ｘＣ３Ｄ２Ｅ１Ｆ０
【０００３】
５１２ｂｉｔずつｎ個に分割された元データをＭ１，Ｍ２，…，Ｍｎとする。ｉ＝１〜ｎについて以下の処理を繰り返す。
（イ）元データＭｉを３２ｂｉｔずつ１６に分割し、左からＷ１，Ｗ２，…，Ｗ１６とおく。
（ロ）Ａ＝Ａｉｎｉｔ、Ｂ＝Ｂｉｎｉｔ、Ｃ＝Ｃｉｎｉｔ、Ｄ＝Ｄｉｎｉｔ、Ｅ＝Ｅｉｎｉｔとおく。
【０００４】
（ハ）ｔ＝１，２，…，７９，８０について以下の処理を繰り返す。
ＴＥＭＰ＝Ｓ（５，Ａ）＋ｆ（Ｂ，Ｃ，Ｄ）＋Ｅ＋Ｗ＋Ｋ
ここで、ＴＥＭＰは一時変数、Ｓ（ｍ，ｘ）は３２ｂｉｔ変数ｘの上位ｍｂｉｔを下位側へ巡回シフトしたものであり、ｆ（Ｂ，Ｃ，Ｄ）、Ｋは次式で与えられる。
・１≦ｔ≦２０のとき、
ｆ（Ｂ，Ｃ，Ｄ）＝（ＢＡＮＤＣ）ＯＲ（（ＮＯＴＢ）ＡＮＤＤ）
Ｋ＝０ｘ５Ａ８２７９９９
・２１≦ｔ≦４０のとき、
ｆ（Ｂ，Ｃ，Ｄ）＝ＢＸＯＲＣＸＯＲＤ
Ｋ＝０ｘ６ＥＤ９ＥＢＡ１
・４１≦ｔ≦６０のとき、
ｆ（Ｂ，Ｃ，Ｄ）＝（ＢＡＮＤＣ）ＯＲ（ＢＡＮＤＤ）ＯＲ（ＣＡＮＤＤ）
Ｋ＝０ｘ８Ｆ１ＢＢＣＤＣ
・６１≦ｔ≦８０のとき、
ｆ（Ｂ，Ｃ，Ｄ）＝ＢＸＯＲＣＸＯＲＤ
Ｋ＝０ｘＣＡ６２Ｃ１Ｄ６
【０００５】
また、元データＷは次式で与えられる。
・１≦ｔ≦１６のとき、
Ｗ＝Ｗｔ
・１７≦ｔ≦８０では、
Ｗ＝Ｓ（１，Ｗ_t-3 ＸＯＲＷ_t-8 ＸＯＲＷ_t-14 ＸＯＲＷ_t-16）とする。
上式により一時変数ＴＥＭＰを求めた後、Ｅ＝Ｄ、Ｄ＝Ｃ、Ｃ＝Ｓ（３０，Ｂ）、Ｂ＝Ａ、Ａ＝ＴＥＭＰとする。
【０００６】
（ニ）最後に、各変数Ａ，Ｂ，Ｃ，Ｄ，Ｅに初期値を加算する。すなわち、
Ａ＝Ａｉｎｉｔ＋Ａ
Ｂ＝Ｂｉｎｉｔ＋Ｂ
Ｃ＝Ｃｉｎｉｔ＋Ｃ
Ｄ＝Ｄｉｎｉｔ＋Ｄ
Ｅ＝Ｅｉｎｉｔ＋Ｅ
とする。これによりハッシュ関数の値（３２×５＝１６０ｂｉｔ）が演算される。この１６０ｂｉｔのデータは元のメッセージを要約したメッセージダイジェスト（要約関数）として利用される。
【０００７】
【発明が解決しようとする課題】
ハッシュ関数を用いるユーザは、ソフトウェアで実現されるハッシュ関数ＳＨＡよりもハードウェアで実現されるハッシュ関数ＳＨＡに、より大きな信頼を持っており、ハードウェアによる高速かつ小面積のハッシュ装置の早期実現が望まれている。
【０００８】
【課題を解決するための手段】
請求項１の発明によれば、構造的に周期性のあるＳＨＡアルゴリズムの１周期分の処理について、同時に用いる加算器の最大数を２個に制限することで、小さい回路面積で高速にハッシュ値を生成できる。すなわち、請求項１の発明は、元のデータからＳＨＡアルゴリズムを用いて１６０ｂｉｔのハッシュ値を求めるための第１ないし第５レジスタＡ〜Ｅを備えるハッシュ装置であって、図１に示すように、第１レジスタＡの上位５ビットを下位側へ巡回シフトする第１のローテーション処理部４と、第２、第３、第４レジスタＢ，Ｃ，Ｄに基づく論理演算ｆ（Ｂ，Ｃ，Ｄ）を実行する論理演算処理部５と、第１のローテーション処理部４の出力と第５レジスタＥの値を加算する第１加算器６と、ハッシュ値を求める元のデータを分割または演算処理したデータＷを設定する元データ設定処理部７と、所定の定数Ｋを設定する定数設定処理部８とを含んで構成される第１ステージと、第１ステージの論理演算処理部５と第１加算器６と元データ設定処理部７と定数設定処理部８の出力のうちいずれか２つを加算する第２加算器９と、残りの２つを加算する第３加算器１０とを含んで構成される第２ステージと、第２ステージの第２加算器９と第３加算器１０の出力を加算する第４加算器１１を含んで構成される第３ステージと、第５、第４レジスタＥ，Ｄに第４、第３レジスタＤ，Ｃの値を代入し、第２レジスタＢの上位３０ビットを下位側へ巡回シフトする第２のローテーション処理部１２の出力を第３レジスタＣに代入し、第２レジスタＢに第１レジスタＡの値を代入し、第３ステージの第４加算器１１の出力を第１レジスタＡに代入する処理を含む第４ステージとを含む回路ブロックを図２に示すように８０段縦続接続し、１段目の回路ブロックの第１ないし第５レジスタＡ〜Ｅに第１ないし第５の初期値Ａｉｎｉｔ〜Ｅｉｎｉｔを設定すると共に、最終段の回路ブロックの第１ないし第５レジスタＡ〜Ｅの出力に前記第１ないし第５の初期値Ａｉｎｉｔ〜Ｅｉｎｉｔをそれぞれ加算する加算器を接続して成ることを特徴とするものである。なお、図２の構成では、最終段の回路ブロックの第１ないし第５レジスタＡ〜Ｅの出力に第１ないし第５の初期値Ａｉｎｉｔ〜Ｅｉｎｉｔをそれぞれ加算する加算器についても、同時に用いる加算器の最大数を２個に制限しており、Ａ＝Ａｉｎｉｔ＋Ａ、Ｂ＝Ｂｉｎｉｔ＋Ｂを１ステージ、Ｃ＝Ｃｉｎｉｔ＋Ｃ、Ｄ＝Ｄｉｎｉｔ＋Ｄを次の１ステージ、Ｅ＝Ｅｉｎｉｔ＋Ｅをさらに次の１ステージで実行している。したがって、後述のように、本発明のハッシュ装置に具備すべき加算器の数は２個であり、回路面積を小さくできるものである。
【０００９】
請求項２の発明によれば、構造的に周期性のあるＳＨＡアルゴリズムのうち唯一周期性が乱れる最終段の処理についても構造的な周期性を維持するために、請求項１において、８０段目の回路を図４に示すような回路に置換することで、最小の回路面積でかつ高速にハッシュ値を生成できる。すなわち、請求項２の発明では、図４に示すように、請求項１の発明における７９段目の回路ブロックの第４ステージに第４レジスタＤの値と第５の初期値Ｅｉｎｉｔを加算する第５加算器１３を設け、８０段目の回路ブロックの第１ステージに第３レジスタＣの値と第４の初期値Ｄｉｎｉｔを加算する第６加算器１４を設け、８０段目の回路ブロックの第３ステージに第１レジスタＡの値と第２の初期値Ｂｉｎｉｔを加算する第７加算器１５を設け、８０段目の回路ブロックの第４ステージは第２レジスタＢの上位３０ビットを下位側へ巡回シフトする第２のローテーション処理部１２の出力と第３の初期値Ｃｉｎｉｔを加算する第８加算器１６と、８０段目の回路ブロックの第３ステージの第４加算器１１の出力と第１の初期値Ａｉｎｉｔを加算する第９加算器１７とを含むステージとし、８０段目の回路ブロックにさらに第５ステージを設けて、該第５ステージでは、第５加算器１３の出力を第５レジスタＥに、第６加算器１４の出力を第４レジスタＤに、第８加算器１６の出力を第３レジスタＣに、第７加算器１５の出力を第２レジスタＢに、第９加算器１７の出力を第１レジスタＡにそれぞれ代入することにより、最終段の回路ブロックの第１ないし第５レジスタＡ〜Ｅの出力に第１ないし第５の初期値Ａｉｎｉｔ〜Ｅｉｎｉｔをそれぞれ加算する処理を前記第５ないし第９加算器１３〜１７で行うことを特徴とするものである。このようにすれば、図５に示すように、最終段の回路ブロックの出力に図２に示すような５つの加算器を付加する必要がなくなる。
【００１０】
請求項３の発明によれば、請求項１または２において、１段目から８０段目の回路ブロックに対し、図６及び図７に示すように、１から８０までカウントできるカウンタ１を割り当て、１段目から７９段目の回路ブロックの各ステージに対しては１から４までカウントでき、８０段目の回路ブロックの各ステージに対しては１から５までカウントできるカウンタ２を割り当て、さらに、図８に示すように、カウンタ１の１〜２０、２１〜３９、４１〜５９、６１〜８０の値に対して１から４までカウントできるカウンタ３を割り当てたものであり、これにより、図１に示す回路ブロックの使い回しが可能となり、最小の回路面積でかつ高速にハッシュ値を生成できる。すなわち、請求項３の発明では、図２または図５に示される１段目から８０段目の回路ブロックの全部または一部は、少なくとも２個の加算器を含む１ステージ分の演算回路を複数回反復して使用することにより構成され、前記演算回路が何段目の回路ブロックの処理をしているかをカウントする第１カウンタ１と、各回路ブロックを複数のステージに分割する第２カウンタ２と、第１カウンタの値から１ないし２０段目、２１ないし４０段目、４１ないし６０段目、６１ないし８０段目を区別する第３カウンタ３を備え、各カウンタ１〜３の値により前記演算回路の処理内容を各段の回路ブロックの各ステージに応じて変更することを特徴とするものである。
【００１１】
請求項４の発明によれば、ＳＨＡアルゴリズムで用いる８０種類の代入値を１６個のレジスタで生成、供給することで、小面積でハッシュ値を生成できる回路を実現できる。すなわち、請求項４の発明では、請求項１ないし３のいずれかにおいて、ハッシュ値を求める元のデータを分割または演算処理したデータＷを設定する元データ設定処理部７は、図９に示すように、元の５１２ｂｉｔのデータを１６分割して格納して１ないし１６段目の回路ブロックの元データとして出力する第１ないし第１６の元データレジスタＷ１〜Ｗ１６と、１７ないし８０段目の回路ブロックの元データとして第１、第３、第９及び第１４の元データレジスタの値の排他的論理和を求めて出力する演算回路と、前記演算回路による演算後に第２ないし第１６の元データレジスタＷ２〜Ｗ１６の値を第１ないし第１５の元データレジスタＷ１〜Ｗ１５に順次代入すると共に、第１６の元データレジスタＷ１６には前記演算回路の出力の最上位１ｂｉｔを下位側に巡回シフトしたデータを代入する手段を含んで構成されることを特徴とするものである。
【００１２】
【発明の実施の形態】
上述のように、ＳＨＡアルゴリズムは類似した処理を８０回繰り返す。このようなアルゴリズムの構造的な周期性に着目し、最小の面積で高速処理が可能なハッシュ関数ＳＨＡを実現するために、請求項１の発明では、図３に示すような回路ブロックを１ブロックとし、その中で１つのステージ内に加算器が２個以下になるように４つのステージに分割する。上記の回路ブロックを回路ブロックＫとする。回路ブロックＫの第１ステージでは、Ａ，Ｂ，Ｃ，Ｄ，Ｅレジスタに格納されている初期値Ａ，Ｂ，Ｃ，Ｄ，Ｅ（１段目のブロックではＡｉｎｉｔ，Ｂｉｎｉｔ，Ｃｉｎｉｔ，Ｄｉｎｉｔ，Ｅｉｎｉｔ、２段目のブロック以降は前ブロックで導出された値）により演算ｆ（Ｂ，Ｃ，Ｄ）の実行およびそれにより得られた値（ａ）の保持、値Ａの上位５ｂｉｔを巡回シフトしたものと値Ｅとの加算の実行およびそれにより得られた値（ｂ）の保持、あらかじめ与えられた１６個の値（Ｗ１〜Ｗ１６）をもとに行われる演算Ｗ［ｔ］の実行およびそれにより得られた値（ｃ）の保持、そしてブロックの番号により選択、入力される値Ｋ（その値を（ｄ）とする）の保持を行う。
【００１３】
回路ブロックＫの第２ステージでは第１ステージで得られた結果から（ａ）＋（ｂ）の実行およびそれにより得られた値（ｅ）の保持、（ｃ）＋（ｄ）の実行およびそれにより得られた値（ｆ）の保持を行う。
回路ブロックＫの第３ステージでは第２ステージで得られた結果から（ｅ）＋（ｆ）の実行およびそれにより得られた値（ｇ）の保持を行う。
【００１４】
回路ブロックＫの第４ステージでは第３ステージで得られた結果（ｇ）をＡレジスタに、もとあったＡレジスタの値をＢレジスタに、もとあったＢレジスタの値の上位３０ｂｉｔを下位側に巡回シフトしてＣレジスタに、もとあったＣレジスタの値をＤレジスタに、もとあったＤレジスタの値をＥレジスタにそれぞれ格納する。これによりＡ，Ｂ，Ｃ，Ｄ，Ｅレジスタの値の更新が完了する。
【００１５】
この回路ブロックＫを８０個直列に接続し、８０段目のブロックにより出力されたＡ，Ｂ，Ｃ，Ｄ，Ｅに対して、Ａ＝Ａｉｎｉｔ＋Ａ，Ｂ＝Ｂｉｎｉｔ＋Ｂ，Ｃ＝Ｃｉｎｉｔ＋Ｃ，Ｄ＝Ｄｉｎｉｔ＋Ｄ，Ｅ＝Ｅｉｎｉｔ＋Ｅの演算を行う。以上の処理を行う回路全体の構成は図２のようになる。
【００１６】
請求項２の発明では、図４に示すような回路ブロックを１ブロックとし、その中で１つのステージ内に加算器が２個以下になるように５つのステージに分割する。上記の回路ブロックを回路ブロックＺとし、図５に示すように７９段目の回路ブロックＫの後に接続する。回路ブロックＺでは１ステージに含まれる加算器の最大数を２個にするために、回路ブロックＫの７９段目のブロックの第４ステージにＥｉｎｉｔと７９段目のブロックの第４ステージのＤレジスタを加算する加算器１３を設け、８０段目のブロックの第１ステージにＤｉｎｉｔと７９段目のブロックの第４ステージのＣレジスタを加算する加算器１４を設け、８０段目のブロックの第３ステージにＢｉｎｉｔと７９段目のブロックの第４ステージのＡレジスタを加算する加算器１５を設け、８０段目のブロックの第４ステージにＣｉｎｉｔと７９段目のブロックの第４ステージのＢレジスタの上位３０ｂｉｔを下位側に巡回シフトしたものを加算する加算器１６と、Ａｉｎｉｔと８０段目のブロックの第３ステージの加算器１１の出力を加算する加算器１７を設ける。
【００１７】
これにより回路ブロックＺは回路ブロックＫをもとに第１ステージと第３ステージにそれぞれ１個、第４ステージに２個の加算器を追加した構造となるが、その他に１ブロック内で行われる値の導出や巡回シフト等の処理は他ブロックと同一のステージで実行されるため、回路ブロックＺの構造について回路ブロックＫとの類似性が保たれる。
【００１８】
請求項３の発明によれば、図５の回路に対し、１から８０までカウントできるカウンタ１、１から５までカウントできるカウンタ２、１から４までカウントできるカウンタ３を付加する。カウンタ１の１から７９は回路ブロックＫを、カウンタ１の８０は回路ブロックＺを示す。カウンタ１により必要な回路ブロックを選択する。カウンタ２の１から４は回路ブロックＫ、回路ブロックＺのステージ１から４を示す。また、カウンタ２の５は回路ブロックＺの第５ステージを示す。回路ブロックＫ、回路ブロックＺにおいて、各ステージに現れる加算器の数は２個以下であり、カウンタ２を用いて処理中のステージを判定し、加算器の入出力端子の接続を変更することにより加算器の再利用が可能となり、これによりハッシュ装置に具備する加算器を２個にまで低減することができる。カウンタ３の１はカウンタ１の１〜２０、２はカウンタ１の２１〜４０、３はカウンタ１の４１〜６０、４はカウンタ１の６１〜８０に対応する。
【００１９】
回路ブロックＫ、回路ブロックＺについて、回路構成は類似しているが、各ステージで代入する値、式はカウンタ３の１から４で異なる。したがって、カウンタ３を用いて、代入する値、式を選択する。これら３種類のカウンタを組み合わせることにより、現時点でＳＨＡアルゴリズムのうち、どのブロックのどのステージの処理を行っているのかを判断し、代入値、代入式、加算器の入出力選択を行う。なお、回路ブロックＫについて、カウンタ１とカウンタ２の関係を図７に示す。回路ブロックＺについて、カウンタ１とカウンタ２の関係を図８に示す。また、カウンタ１とカウンタ３の関係を図９に示す。
【００２０】
請求項４の発明によれば、上記の回路において用いる代入値Ｗを、カウンタ１が示す全ての回路ブロック（１〜８０段目）のそれぞれに対応して出力する。ハッシュ関数ＳＨＡでは８０種類の元データＷが必要となるが、これら全てを生成するために、１６個のレジスタ（Ｗ１〜Ｗ１６）を具備し、カウンタ１の値が１〜１６のときはカウンタ１の値ｔに対応するＷｔをそのまま出力し、カウンタ１の値ｔが１７〜８０のときはＷ＝Ｗ_t-3 ＸＯＲＷ_t-8 ＸＯＲＷ_t-14 ＸＯＲＷ_t-16の演算を行い、その後、最上位ｂｉｔを下位側へ巡回シフトし、Ｗ１６に格納する。このときＷ２〜Ｗ１６に元々格納されていた値は、それぞれ１つ下位のレジスタＷ１〜Ｗ１５にシフト（Ｗｎ→Ｗｎ−１；ｎ＝２，３，…，１６）され、Ｗ１に格納されていた値は消去される。この様子を図１０に示す。これにより１６個のレジスタＷ１〜Ｗ１６のみでハッシュ値の生成に必要な８０種類の元データＷ［１］〜Ｗ［８０］を全て生成することができる。
【００２１】
【発明の効果】
請求項１の発明によれば、１ステージに２個以内の加算器を用いてハッシュ関数ＳＨＡを求めることができるから、小さな回路面積で高速なハッシュ装置を提供できる。
請求項２の発明によれば、最終段およびその前段の回路ブロックで加算器が余っているステージを利用して最終段で必要となる初期値の加算を行うようにしたので、ハッシュ値の演算速度をより一層向上できる。
【００２２】
請求項３の発明によれば、何段目の回路ブロックかを判定する第１カウンタ、どのステージかを判定する第２カウンタ、論理演算処理部で用いる論理式や定数設定処理部で設定すべき定数を選択する第３カウンタを設けたので、１ステージに２個以内の加算器を含む共通の回路ブロックを複数回反復して使用する動作が容易に実現できる。
請求項４の発明によれば、８０段の回路ブロックでそれぞれ必要となる８０種類の元データを１６個のレジスタで設定できるから、ハッシュ装置の回路面積を小さくできる。
【図面の簡単な説明】
【図１】本発明のハッシュ装置における基本回路ブロックを示す回路図である。
【図２】請求項１の一実施形態に係るハッシュ装置の全体構成を示す回路図である。
【図３】請求項１の一実施形態に係るハッシュ装置の各段の回路ブロックを示す回路図である。
【図４】請求項２の一実施形態に係るハッシュ装置の最終段の回路ブロックを示す回路図である。
【図５】請求項２の一実施形態に係るハッシュ装置の全体構成を示す回路図である。
【図６】請求項３の１ないし７９段目の回路ブロックと第１、第２カウンタの関係を示す説明図である。
【図７】請求項３の８０段目の回路ブロックと第１、第２カウンタの関係を示す説明図である。
【図８】請求項３の第１、第３カウンタの関係を示す説明図である。
【図９】請求項４の元データ設定処理部の構成および動作を示す説明図である。
【符号の説明】
４第１のローテーション処理部
５論理演算処理部
６第１加算器
７元データ設定処理部
８定数設定処理部
９第２加算器
１０第３加算器
１１第４加算器
１２第２のローテーション処理部[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a technique for ensuring network security, and more particularly to a hash device that implements a hash function SHA that converts original data into an irreversible hash value by hardware.
[0002]
[Prior art]
Conventionally, the SHA algorithm, which is one of hash functions, is realized by software. Hereinafter, the SHA algorithm will be described. The initial values Ainit, Binit, Cinit, Dinit, Dinit, Einit of 32-bit variables A, B, C, D, E are set in hexadecimal as follows.
Ainit = 0x67452301
Binit = 0xEFCDAB89
Cinit = 0x98BADCFE
Dinit = 0x10325476
Einit = 0xC3D2E1F0
[0003]
The original data divided into n pieces of 512 bits is assumed to be M1, M2,. The following processing is repeated for i = 1 to n.
(A) The original data Mi is divided into 16 in 32 bits, and W1, W2,.
(B) A = Ainit, B = Binit, C = Cinit, D = Dinit, E = Einit.
[0004]
(C) The following processing is repeated for t = 1, 2,.
TEMP = S (5, A) + f (B, C, D) + E + W + K
Here, TEMP is a temporary variable, S (m, x) is a cyclic shift of the upper mbit of the 32-bit variable x to the lower side, and f (B, C, D) and K are given by the following equations.
・ When 1 ≦ t ≦ 20,
f (B, C, D) = (B AND C) OR ((NOT B) AND D)
K = 0x5A828999
・ When 21 ≦ t ≦ 40,
f (B, C, D) = B XOR C XOR D
K = 0x6ED9EBA1
・ When 41 ≦ t ≦ 60,
f (B, C, D) = (B AND C) OR (B AND D) OR (C AND D)
K = 0x8F1BBCDC
・ When 61 ≦ t ≦ 80,
f (B, C, D) = B XOR C XOR D
K = 0xCA62C1D6
[0005]
The original data W is given by the following equation.
・ When 1 ≦ t ≦ 16,
W = Wt
・ If 17 ≦ t ≦ 80,
Let W = S (1, W _t−3 XOR W _t−8 XOR W _t−14 XOR W _t−16 ).
After obtaining the temporary variable TEMP by the above equation, it is assumed that E = D, D = C, C = S (30, B), B = A, A = TEMP.
[0006]
(D) Finally, initial values are added to the variables A, B, C, D, and E. That is,
A = Ainit + A
B = Binit + B
C = Cinit + C
D = Dinit + D
E = Einit + E
And Thereby, the value of the hash function (32 × 5 = 160 bits) is calculated. The 160-bit data is used as a message digest (summary function) that summarizes the original message.
[0007]
[Problems to be solved by the invention]
A user who uses a hash function has a greater trust in a hash function SHA implemented in hardware than a hash function SHA implemented in software, so that a high-speed and small-area hash device can be realized early by hardware. It is desired.
[0008]
[Means for Solving the Problems]
According to the first aspect of the present invention, by limiting the maximum number of adders to be used at the same time to two for processing of one cycle of the SHA algorithm having a periodic structure, the hash value can be obtained at high speed with a small circuit area. Can be generated. That is, the invention of claim 1 is a hash device including first to fifth registers A to E for obtaining a 160-bit hash value from original data using a SHA algorithm, as shown in FIG. A first rotation processing unit 4 that cyclically shifts the upper 5 bits of the first register A to the lower side, and a logical operation f (B, C, D) based on the second, third, and fourth registers B, C, and D Data obtained by dividing or arithmetically processing the original data for obtaining the hash value, the logical operation processing unit 5 that executes the above, the first adder 6 that adds the output of the first rotation processing unit 4 and the value of the fifth register E A first stage including an original data setting processing unit 7 for setting W and a constant setting processing unit 8 for setting a predetermined constant K; a first stage logic operation processing unit 5; and a first adder 6 and original data setting A second stage including a second adder 9 for adding any two of the outputs of the processing unit 7 and the constant setting processing unit 8 and a third adder 10 for adding the remaining two; , A third stage including a fourth adder 11 for adding the outputs of the second adder 9 and the third adder 10 of the second stage, and fourth, fifth, and fourth registers E and D, The values of the third registers D and C are substituted, and the output of the second rotation processing unit 12 that cyclically shifts the upper 30 bits of the second register B to the lower side is substituted into the third register C. A circuit block including a fourth stage including a process of substituting the value of the first register A and substituting the output of the fourth adder 11 of the third stage into the first register A as shown in FIG. Connected, first to fifth registers A to E of the first stage circuit block First to fifth initial values Ainit to Einit are set, and the first to fifth initial values Ainit to Einit are added to the outputs of the first to fifth registers A to E of the final stage circuit block, respectively. It is characterized by connecting an adder. In the configuration of FIG. 2, an adder that simultaneously adds the first to fifth initial values Ainit to Einit to the outputs of the first to fifth registers A to E of the circuit block in the final stage is also used simultaneously. The maximum number is limited to two, A = Ainit + A, B = Binit + B is executed in one stage, C = Cinit + C, D = Dinit + D is executed in the next one stage, and E = Einit + E is executed in the next one stage. . Therefore, as will be described later, the number of adders to be provided in the hash device of the present invention is two, and the circuit area can be reduced.
[0009]
According to the second aspect of the present invention, in order to maintain the structural periodicity even in the final stage processing in which the periodicity is only disordered among the structurally periodic SHA algorithms, By replacing this circuit with a circuit as shown in FIG. 4, a hash value can be generated at a high speed with a minimum circuit area. That is, in the second aspect of the present invention, as shown in FIG. 4, the value of the fourth register D and the fifth initial value Einit are added to the fourth stage of the 79th stage circuit block of the first aspect of the present invention. The fifth adder 13 is provided, the sixth adder 14 for adding the value of the third register C and the fourth initial value Dinit is provided to the first stage of the 80th stage circuit block, and the 80th stage circuit block A seventh adder 15 for adding the value of the first register A and the second initial value Binit is provided in three stages, and the upper 30 bits of the second register B are moved to the lower side in the fourth stage of the 80th stage circuit block. The output of the second adder 11 that adds the output of the second rotation processing unit 12 that performs cyclic shift and the third initial value Cinit, the output of the fourth adder 11 of the third stage of the 80th stage circuit block, and the first Initial value of Aini The fifth adder is further provided in the 80th stage circuit block, and in the fifth stage, the output of the fifth adder 13 is sent to the fifth register E. The output of the sixth adder 14 is in the fourth register D, the output of the eighth adder 16 is in the third register C, the output of the seventh adder 15 is in the second register B, and the output of the ninth adder 17 is in the The first to fifth initial values Ainit to Einit are added to the outputs of the first to fifth registers A to E of the circuit block at the final stage by substituting each into the first register A, respectively. 9 adders 13 to 17 are used. This eliminates the need to add five adders as shown in FIG. 2 to the output of the final stage circuit block as shown in FIG.
[0010]
According to the invention of claim 3, in claim 1 or 2, the counter 1 that can count from 1 to 80 is allocated to the circuit blocks of the first stage to the 80th stage as shown in FIGS. 6 and 7. A counter 2 that can count from 1 to 4 for each stage of the first to 79th circuit blocks, and can count from 1 to 5 for each stage of the 80th circuit block, As shown in FIG. 8, a counter 3 that can count from 1 to 4 is assigned to the values of 1 to 20, 21 to 39, 41 to 59, and 61 to 80 of the counter 1, so that FIG. The circuit block shown in FIG. 5 can be reused, and a hash value can be generated at a high speed with a minimum circuit area. That is, in the invention of claim 3, all or part of the first to 80th circuit blocks shown in FIG. 2 or FIG. 5 includes a plurality of arithmetic circuits for one stage including at least two adders. A first counter 1 that counts how many circuit blocks the arithmetic circuit is processing, and a second counter 2 that divides each circuit block into a plurality of stages. And a third counter 3 for distinguishing the 1st to 20th stages, the 21st to 40th stages, the 41st to 60th stages, and the 61st to 80th stages from the value of the first counter. The processing content of the arithmetic circuit is changed according to each stage of the circuit block of each stage.
[0011]
According to the fourth aspect of the present invention, a circuit capable of generating a hash value with a small area can be realized by generating and supplying 80 types of substitution values used in the SHA algorithm with 16 registers. That is, in the invention of claim 4, in any one of claims 1 to 3, the original data setting processing unit 7 for setting the data W obtained by dividing or calculating the original data for obtaining the hash value is as shown in FIG. The first to sixteenth original data registers W1 to W16 that store the original 512-bit data divided into 16 parts and output the original data as the original data of the first to sixteenth stage circuit blocks, and the 17th to 80th stage circuits. An arithmetic circuit that obtains and outputs an exclusive OR of the values of the first, third, ninth, and fourteenth original data registers as the original data of the block, and the second to sixteenth original data after the calculation by the arithmetic circuit The values of the registers W2 to W16 are sequentially substituted into the first to fifteenth original data registers W1 to W15, and the sixteenth original data register W16 receives the output of the arithmetic circuit. It is characterized in being configured to include a means for substituting the data obtained by cyclically shifting the upper 1bit the lower side.
[0012]
DETAILED DESCRIPTION OF THE INVENTION
As described above, the SHA algorithm repeats a similar process 80 times. Paying attention to the structural periodicity of such an algorithm, in order to realize a hash function SHA capable of high-speed processing with a minimum area, in the invention of claim 1, the circuit block as shown in FIG. In such a case, it is divided into four stages so that there are two or less adders in one stage. The above circuit block is referred to as a circuit block K. In the first stage of the circuit block K, the initial values A, B, C, D, and E stored in the A, B, C, D, and E registers (Ainit, Binit, Cinit, Dinit, Einit, execution of operation f (B, C, D) and retention of value (a) obtained by execution f (B, C, D) by the value derived from the previous block after the second stage block, and cyclic shift of the upper 5 bits of value A Execution of addition of the value E and the value E, retention of the value (b) obtained thereby, execution of an operation W [t] performed based on 16 values (W1 to W16) given in advance, and The value (c) obtained thereby is held, and the value K selected and inputted by the block number (the value is assumed to be (d)) is held.
[0013]
In the second stage of the circuit block K, execution of (a) + (b) and retention of the value (e) obtained from the result obtained in the first stage, execution of (c) + (d), and that The value (f) obtained by the above is held.
In the third stage of the circuit block K, (e) + (f) is executed from the result obtained in the second stage and the value (g) obtained thereby is held.
[0014]
In the fourth stage of the circuit block K, the result (g) obtained in the third stage is stored in the A register, the original A register value is stored in the B register, and the upper 30 bits of the original B register value is stored in the lower order. The original C register value is stored in the D register, and the original D register value is stored in the E register. Thereby, the update of the values of the A, B, C, D, and E registers is completed.
[0015]
80 circuit blocks K are connected in series, and A = Ainit + A, B = Binit + B, C = Cinit + C, D = Dinit + D, with respect to A, B, C, D, E output by the 80th block. E = Einit + E is calculated. The overall circuit configuration for performing the above processing is as shown in FIG.
[0016]
According to the second aspect of the present invention, the circuit block as shown in FIG. 4 is formed as one block, and is divided into five stages so that the number of adders in one stage is two or less. The above circuit block is referred to as a circuit block Z, and is connected after the 79th stage circuit block K as shown in FIG. In the circuit block Z, in order to make the maximum number of adders included in one stage two, Einit and the fourth stage D register of the 79th stage block are added to the fourth stage of the 79th stage block of the circuit block K. Is added to the first stage of the 80th block, and the adder 14 is added to add the fourth stage C register of the 79th block to the third stage of the 80th block. The stage is provided with an adder 15 for adding Binit and the A register of the fourth stage of the 79th stage block, and Cinit and the B register of the fourth stage of the 79th stage block are added to the fourth stage of the 80th stage block. Add the output of the adder 16 that adds the cyclic shift of the upper 30 bits to the lower side, and the output of the adder 11 of the third stage of the Ainit and 80th block. An adder 17 to be provided.
[0017]
Thus, the circuit block Z has a structure in which one adder is added to each of the first stage and the third stage and two adders are added to the fourth stage based on the circuit block K. In addition, the circuit block Z is performed in one block. Since processing such as value derivation and cyclic shift is executed at the same stage as other blocks, the structure of the circuit block Z is kept similar to the circuit block K.
[0018]
According to the invention of claim 3, a counter 1 capable of counting from 1 to 80, a counter 2 capable of counting from 1 to 5, and a counter 3 capable of counting from 1 to 4 are added to the circuit of FIG. 1 to 79 of the counter 1 indicate the circuit block K, and 80 of the counter 1 indicates the circuit block Z. A necessary circuit block is selected by the counter 1. The counters 1 to 4 indicate the stages 1 to 4 of the circuit block K and the circuit block Z, respectively. Further, 5 of the counter 2 indicates the fifth stage of the circuit block Z. In the circuit block K and the circuit block Z, the number of adders appearing in each stage is two or less, and by determining the stage being processed using the counter 2 and changing the connection of the input / output terminals of the adder The adder can be reused, and thus the number of adders provided in the hash device can be reduced to two. 1 of the counter 3 corresponds to 1 to 20 of the counter 1, 2 corresponds to 21 to 40 of the counter 1, 3 corresponds to 41 to 60 of the counter 1, and 4 corresponds to 61 to 80 of the counter 1.
[0019]
The circuit block K and the circuit block Z have similar circuit configurations, but the values and expressions to be substituted at each stage are different from 1 to 4 of the counter 3. Therefore, the value and expression to be substituted are selected using the counter 3. By combining these three types of counters, it is determined which stage of which block of the SHA algorithm is currently processed, and an assignment value, an assignment expression, and input / output selection of an adder are performed. For the circuit block K, the relationship between the counter 1 and the counter 2 is shown in FIG. FIG. 8 shows the relationship between the counter 1 and the counter 2 for the circuit block Z. The relationship between the counter 1 and the counter 3 is shown in FIG.
[0020]
According to the invention of claim 4, the substitution value W used in the above circuit is output corresponding to each of all circuit blocks (1st to 80th stages) indicated by the counter 1. The hash function SHA requires 80 types of original data W. In order to generate all of them, 16 registers (W1 to W16) are provided, and when the value of the counter 1 is 1 to 16, the counter 1 Wt corresponding to the value t is output as it is, and when the value t of the counter 1 is 17 to 80, W = W _t-3 XOR W _t-8 XOR W _t-14 XOR W _t-16 is calculated, Thereafter, the most significant bit is cyclically shifted to the lower side and stored in W16. At this time, the values originally stored in W2 to W16 were respectively shifted to the lower registers W1 to W15 (Wn → Wn−1; n = 2, 3,..., 16) and stored in W1. The value is erased. This is shown in FIG. As a result, all of the 80 types of original data W [1] to W [80] necessary for generating the hash value can be generated with only the 16 registers W1 to W16.
[0021]
【The invention's effect】
According to the first aspect of the present invention, since the hash function SHA can be obtained using two or less adders in one stage, a high-speed hash device can be provided with a small circuit area.
According to the second aspect of the present invention, the initial value required in the final stage is added using the stage in which the adder is left in the final stage and the preceding circuit block. The speed can be further improved.
[0022]
According to the third aspect of the present invention, the first counter for determining the number of circuit blocks, the second counter for determining which stage, and the logical expression used in the logical operation processing unit and the constant setting processing unit should be set. Since the third counter for selecting a constant is provided, an operation of repeatedly using a common circuit block including two or less adders in one stage can be easily realized.
According to the fourth aspect of the present invention, since 80 types of original data required in each of the 80-stage circuit blocks can be set by 16 registers, the circuit area of the hash device can be reduced.
[Brief description of the drawings]
FIG. 1 is a circuit diagram showing a basic circuit block in a hash device of the present invention.
FIG. 2 is a circuit diagram showing an overall configuration of a hash device according to an embodiment of claim 1;
FIG. 3 is a circuit diagram showing a circuit block of each stage of the hash device according to an embodiment of the first aspect of the present invention.
FIG. 4 is a circuit diagram showing a circuit block at the final stage of the hash device according to one embodiment of the present invention;
FIG. 5 is a circuit diagram showing an overall configuration of a hash device according to an embodiment of claim 2;
FIG. 6 is an explanatory diagram showing the relationship between the circuit blocks in the first to 79th stages and the first and second counters according to claim 3;
FIG. 7 is an explanatory diagram showing the relationship between the 80th stage circuit block of claim 3 and first and second counters;
FIG. 8 is an explanatory diagram showing a relationship between first and third counters according to claim 3;
FIG. 9 is an explanatory diagram showing a configuration and operation of an original data setting processing unit according to claim 4;
[Explanation of symbols]
4 First Rotation Processing Unit 5 Logical Operation Processing Unit 6 First Adder 7 Original Data Setting Processing Unit 8 Constant Setting Processing Unit 9 Second Adder 10 Third Adder 11 Fourth Adder 12 Second Rotation Processing Unit

Claims

A hash device including first to fifth registers for obtaining a 160-bit hash value from original data using a SHA algorithm, wherein the first rotation process for cyclically shifting the upper 5 bits of the first register to the lower side , A logical operation processing unit that performs logical operations based on the second, third, and fourth registers, a first adder that adds the output of the first rotation processing unit and the value of the fifth register, and a hash value A first stage including an original data setting processing unit for setting data obtained by dividing or calculating original data to be obtained, a constant setting processing unit for setting a predetermined constant, and a logical operation of the first stage A second adder that adds any two of the outputs of the processing unit, the first adder, the original data setting processing unit, and the constant setting processing unit, and a third adder that adds the remaining two A third stage including a second adder that adds the outputs of the second adder and the third adder of the second stage, and fifth and fourth registers. The values of the fourth and third registers are substituted into the second register, the output of the second rotation processing unit that cyclically shifts the upper 30 bits of the second register to the lower side is substituted into the third register, and the first register is assigned to the second register. And a circuit block including a fourth stage including a process of substituting the output of the fourth adder of the third stage into the first register is cascade-connected to 80 stages of the first stage circuit block. The first to fifth initial values are set in the fifth to fifth registers, and adders for adding the first to fifth initial values to the outputs of the first to fifth registers of the final stage circuit block are connected. It is characterized by Mesh devices.

5. The fifth adder for adding the value of the fourth register and the fifth initial value is provided in the fourth stage of the 79th stage circuit block according to claim 1, and the third stage is provided in the first stage of the 80th stage circuit block. A sixth adder for adding the register value and the fourth initial value is provided, and a seventh adder for adding the first register value and the second initial value is provided in the third stage of the 80th stage circuit block. , The fourth stage of the 80th stage circuit block is an eighth adder that adds the output of the second rotation processing unit that cyclically shifts the upper 30 bits of the second register to the lower side and the third initial value; A stage including the output of the fourth adder of the third stage of the circuit block of the stage and a ninth adder for adding the first initial value, and further providing a fifth stage in the circuit block of the 80th stage, In the fifth stage, the output of the fifth adder is 5 register, 6th adder output to 4th register, 8th adder output to 3rd register, 7th adder output to 2nd register, 9th adder output to 1st register And the fifth to ninth adders perform the process of adding the first to fifth initial values to the outputs of the first to fifth registers of the final stage circuit block, respectively. Hash device to perform.

3. The circuit block according to claim 1, wherein all or part of the first to 80th stage circuit blocks are configured by repeatedly using an arithmetic circuit for one stage including at least two adders. A first counter that counts which stage of the circuit block the arithmetic circuit is processing; a second counter that divides each circuit block into a plurality of stages; and 1 to 20 stages from the value of the first counter A third counter for distinguishing the first, 21st to 40th stages, the 41st to 60th stages, and the 61st to 80th stages, and depending on the value of each counter, the processing contents of the arithmetic circuit correspond to each stage of each stage circuit block Hashing device characterized by being changed.

4. The original data setting processing unit for setting data obtained by dividing or computing the original data for obtaining the hash value according to claim 1, wherein the original 512-bit data is divided into 16 parts and stored. First to sixteenth original data registers to be output as original data of the stage circuit block, and first, third, ninth and fourteenth original data registers as original data of the 17th to 80th stage circuit blocks. An arithmetic circuit that obtains and outputs an exclusive OR of the values; sequentially substitutes the values of the second to sixteenth original data registers into the first to fifteenth original data registers after the calculation by the arithmetic circuit; The original data register includes means for substituting data obtained by cyclically shifting the most significant 1 bit of the output of the arithmetic circuit to the lower side. Gerhard apparatus.