JP3736731B2

JP3736731B2 - Replacement processing apparatus and program recording medium thereof

Info

Publication number: JP3736731B2
Application number: JP2000044529A
Authority: JP
Inventors: 雅透神田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2000-02-22
Filing date: 2000-02-22
Publication date: 2006-01-18
Anticipated expiration: 2020-02-22
Also published as: JP2001236017A

Description

【０００１】
【発明の属する技術分野】
この発明は、主に暗号技術で用いられ、特に、秘密鍵の制御のもとでデータをブロック単位で暗号化または復号を行う共通鍵暗号方式に用いられ、第一の非線形変換Ｓ−線形変換Ｐ−第二の非線形変換Ｓが行われる装置または非線形変換Ｓ−線形変換Ｐが行われる装置に適する置換処理装置に関する。
【０００２】
【従来の技術】
データを秘匿するためには暗号化技術が有効である。暗号化の方式には共通鍵暗号と公開鍵暗号があり、暗号化と復号で同一の秘密鍵を用いる方式を共通鍵暗号、暗号化と復号とで異なる鍵を用いる方式を公開鍵暗号と呼ぶ。処理速度の観点からは共通鍵暗号の方が有利である。
高速かつ安全な共通鍵暗号を構成するために、暗号化対象のデータを適当な長さのブロックに分割し、そのブロック毎に暗号化する方法をブロック暗号と呼ぶ。このような暗号方式の一方式として、Ｓ−Ｐ−Ｓ構造を利用して置換処理における安全性を高めたＥ２暗号（例えば、文献「神田ら：“１２８ビットブロック暗号Ｅ２の提案”、電子情報通信学会情報セキュリティ研究会ＩＳＥＣ９８−１２」）がある。
【０００３】
図１６はＥ２暗号で利用されている置換処理を表したものである。このなかのＰ関数処理は、第１のＳ関数処理と合わせて、行列表現ｚ′＝Ｐ・ｚ＝Ｐ・ｓ（ｘ）として、
【０００４】
【数２４】

のように表され、
【０００５】
【数２５】

【０００６】
という処理が行われる。ここで、ｓ（ｘ）はｘを入力として第１のＳ関数を構成するｓ−ｂｏｘによる非線形変換された値を表している。
この第１のＳ関数処理と｛０，１｝要素からなる行列Ｐで表現される置換処理（Ｐ関数処理）との合成処理に対する高速な実現方法はいくつか考えられており、例えば文献「青木ら：“Ｅ２のソフトウェァ実装、”１９９９年暗号と情報セキュリティシンポジウムＳＣＩＳ９９−Ｆ１−２．２」にその実現方法が記載されている。
例えば、３２ビットプロセッサー上での実装例として、以下の４個の３２ビット参照テーブル
【０００７】
【数２６】

を準備した時、上記のＳ関数処理とＰ関数処理の合成処理は以下のように書き直すことができる。
【０００８】
【数２７】

【０００９】
ここで、＞＞ｙは下ｙバイトの論理シフト、＜＜ｙは上ｙバイトの論理シフトである。上記行列中の縦線、横線は左辺の行列Ｐ・Ｓ（ｘ）と右辺のＳ１（・）〜Ｓ４（・）よりなる行列との関係を分かり易くするために記入したものであって特別の意味はない。
このとき、図１７に示すように、第１のＳ関数処理とＰ関数処理との合成処理では、ｘのあらゆる値に対して参照可能なテーブルＳ１（・）〜Ｓ４（・）、つまり４ＫＢのメモリ（Ｓ１（・）〜Ｓ４（・）のテーブルは各々１ＫＢのメモリが必要）を使用し、演算処理としてはｘ₁〜ｘ₈によるテーブル参照８回、排他的論理和１１回、シフト演算４回を必要とする。また、この文献中には特に記載されていないが、実際の実装においては、これらの演算処理の他に途中データのメモリ退避が１回必要となることに注意されたい。
別の実装例では、上記のＳ１（・）〜Ｓ４（・）のテーブルの他に以下の４個の３２ビット参照テーブル
【００１０】
【数２８】

を準備することにより、上記の置換処理は以下のように書き直すことができる。
【００１１】
【数２９】

【００１２】
このとき、第１のＳ関数処理とＰ関数処理との合成処理では、８ＫＢのメモリ（Ｓ１（・）〜Ｓ８（・）のテーブルは各々１ＫＢのメモリが必要）を使用し、演算処理としては図１８に示すようにテーブル参照１２回、排他的論理和１１回を必要とする。
以上説明したように、Ｅ２暗号で利用されている第１のＳ関数処理とＰ関数処理との合成処理での高速実装方法は、メモリを４〜８ＫＢも利用しているわりにはテーブル参照、排他的論理和、シフト演算などの処理量が大きく、必ずしも高速なものであるとはいえない。そのうえ、メモリ使用量に制限があるとき、さらに処理量が急増すると予想される。
【００１３】
【発明が解決しようとする課題】
この発明の目的は、少なくともＳ−Ｐ構造を有する置換処理において、実装の多様性を持たせたＰ関数を実現することによって、置換処理での安全性を同じにしながら、様々な実装環境に応じた最適な実装、特に、Ｓ関数処理と、｛０，１｝要素からなる行列Ｐで表現される置換処理（Ｐ関数処理）との合成処理における高速実装を可能とするような置換処理装置を提供することを目的とする。
【００１４】
【課題を解決するための手段】
この発明では、上記の目的を達成するための置換処理装置において、Ｓ関数処理（非線形変換処理）と、行列Ｐで表現される置換処理（Ｐ関数処理：線形変換処理）との合成処理を以下のように書き直すことが可能となるような構造にすることによって、様々な実装環境に応じた柔軟な高速実装が可能となる。
【００１５】
【数３０】

【００１６】
ここで、＜＜＜ｙは上にｙバイトのローテーション、Ｓ１（・）〜Ｓ８（・）のテーブルは参照テーブルを表す。なお、ｙ＜０のときは下に｜ｙ｜バイトローテーションを表すものとする。
【００１７】
【作用】
この発明によれば、Ｓ関数処理と、行列Ｐで表現される置換処理（Ｐ関数処理）との合成処理における高速実装方法として少なくとも、（１）８ＫＢのメモリを使用したときにはテーブル参照８回、排他的論理和８回、ローテーション１回の演算処理、（２）４ＫＢのメモリを使用したときにはテーブル参照８回、排他的論理和１０回、ローテーション４回または５回の演算処理、（３）２５６Ｂのメモリを使用したときにはテーブル参照８回、排他的論理和２５回の演算処理、の３種類を実現することができる。なお、（２）の実装方法のときには、４ＫＢのメモリを使用したテーブル参照の代わりに、２５６Ｂのメモリを使用したテーブル参照と６回のシフト演算によっても実現可能であり、このときテーブル参照８回、シフト６回、排他的論理和１０回、ローテーション４回または５回の演算処理となる。また、特に｛Ｓ１（・），Ｓ２（・），Ｓ３（・），Ｓ４（・）｝＝｛Ｓ５（・），Ｓ６（・），Ｓ７（・），Ｓ８（・）｝を満たすのであれば、（１）の実装方法の時にはさらに４ＫＢのメモリ使用量を削減可能であり、使用メモリは４ＫＢとなる（他の演算処理量は変化しない）。
【００１８】
これによって、Ｅ２暗号で使われていた置換処理よりも高速で、かつ柔軟な実装が可能となる置換処理装置を提供できる。さらに、合成処理そのものは同じでありながら、（１）の実装方法はＰＣ向き、（２）は３２ビットＣＰＵを備えたハイエンドＩＣカード向き、（３）は８ビットＣＰＵを備えたローエンドＩＣカード向きというように多様な実装環境に応じて最適かつ柔軟な実装が可能となる。
【００１９】
【発明の実施の形態】
実施例１
以下、この発明の実施例１を、図面を用いて説明する。
図１は、この発明の実施例１を示す置換処理装置におけるＳ関数処理とＰ関数処理との合成処理を抜き出して示したものである。この合成処理は、
【００２０】
【数３１】

という処理が行なわれ、行列表現ｚ′＝Ｐ・ｚ＝Ｐ・ｓ（ｘ）として、
【００２１】
【数３２】

のように表される。これは、
【００２２】
【数３３】

とすると、
【００２３】
【数３４】

であるから、
【００２４】
【数３５】

【００２５】
と表すことができる。
まず、４ＫＢのテーブルを利用したときの実装法について述べる。ここで用意するテーブルは以下の３２ビット参照テーブルの４個であり、各テーブルが１ＫＢのメモリ量を使用する。
【００２６】
【数３６】

上記のＳ関数処理とＰ関数処理との合成処理は以下のように書き換えることができる。
【００２７】
【数３７】

【００２８】
したがって、このような処理を行う処理図は図２に示すようになる。つまりｘ₁，ｘ₂，ｘ₃，ｘ₄でそれぞれテーブルＳ１，Ｓ２，Ｓ３，Ｓ４を参照してＳ１（ｘ₁），Ｓ２（ｘ₂），Ｓ３（ｘ₃），Ｓ４（ｘ₄）を求め、これらの排他的論理和を回路１１，１２，１３で求め、またｘ₅，ｘ₆，ｘ₇，ｘ₈でそれぞれテーブルＳ２，Ｓ３，Ｓ４，Ｓ１を参照してＳ２（ｘ₅），Ｓ３（ｘ₆），Ｓ４（ｘ₇），Ｓ１（ｘ₈）を求め、これらの排他的論理和を回路１４，１５，１６により求め、この排他的論理和演算結果Ｕ₂と前記排他的論理和演算結果Ｕ₁との排他的論理和が回路１７でとられてｚ₁′，ｚ₂′，ｚ₃′，ｚ₄′として出力され、また回路１６よりの排他的論理和演算結果Ｕ₂に対し、上１バイトローテーションが回路１８で行われ、回路１７の出力と回路１９で排他的論理和演算が行われてｚ₅′，ｚ₆′，ｚ₇′，ｚ₈′が得られる。
【００２９】
この変換処理はコンピュータにより行わせることもできる。例えば、図３に示すように、ＣＰＵよりなる制御部２１はプログラムメモリ２２に格納されたプログラムを読出し、解読実行し、図４に示す処理を行う。つまり入力部２３を通じてデータｘ₁〜ｘ₈を取込んで記憶部２４に一時記憶し（ステップ１）、その各データｘ₁〜ｘ₈を順次取出して、テーブルメモリ２５内の対応するテーブルを参照し（ステップ２）、参照結果を記憶部２４に一時格納する（ステップ３）。つまりこの例では参照結果Ｓ１（ｘ₁），Ｓ２（ｘ₂），Ｓ３（ｘ₃），Ｓ４（ｘ₄），Ｓ２（ｘ₅），Ｓ３（ｘ₆），Ｓ４（ｘ₇），Ｓ１（ｘ₈）が記憶部２４に格納される。
【００３０】
記憶部２４からＳ１（ｘ₁），Ｓ２（ｘ₂），Ｓ３（ｘ₃），Ｓ４（ｘ₄）を取出し、これらの排他的論理和演算を制御部２１の演算部２６で行い（ステップ４）、その演算結果Ｕ₁を記憶部２４に一時格納し、また記憶部２４からＳ２（ｘ₅），Ｓ３（ｘ₆），Ｓ４（ｘ₇），Ｓ１（ｘ₈）を取出し、演算部２６でこれらの排他的論理和演算を行い（ステップ５）、その演算結果Ｕ₂と、前記演算結果Ｕ₁との排他的論理和演算を演算部２６で行う（ステップ６−１）と共に、制御部２１のローテーション部２７で演算結果Ｕ₂に対し、下１バイトローテーションを行い（ステップ６−２）、このローテーションの結果とステップ６の排他的論理和演算の結果との排他的論理和演算を演算部２６で行う（ステップ７）。このステップ４の演算結果Ｕ₁をｚ₁′，ｚ₂′，ｚ₃′，ｚ₄′として、またステップ８の演算結果をｚ₅′，ｚ₆′，ｚ₇′，ｚ₈′として出力部２８より出力する（ステップ８）。
【００３１】
以上の置換処理ではテーブル参照８回、排他的論理和８回、ローテーション１回で構成可能であることがわかる。なお、ローテーション回路１８への入力が別の排他的論理和回路１７への（一方の）入力となっている場合にはそのローテーションと排他的論理和は並列処理が可能である。故に、図２中の点線部の処理は並列処理を考慮すると２演算で処理が完了する。
次に、もう１つの４ＫＢメモリを利用したときの実装法について述べる。ここで用意するテーブルは以下の３２ビット参照テーブルの４個であり、各テーブルが１ＫＢのメモリ量を使用する。
【００３２】
【数３８】

このとき、第１のＳ関数処理とＰ関数処理との合成処理は以下のように書き換えることができる。
【００３３】
【数３９】

【００３４】
したがって、このような処理を行う処理は図５のようになる。つまり入力データｘ₁，ｘ₂，ｘ₃，ｘ₄でテーブルＳ６，Ｓ７，Ｓ８，Ｓ５がそれぞれ参照してＳ６（ｘ₁），Ｓ７（ｘ₂），Ｓ８（ｘ₃），Ｓ５（ｘ₄）が出力され、これらは回路３１，３２，３３により排他的論理和演算が行われ、その演算結果Ａが回路３３から出力される。また入力データｘ₅，ｘ₆，ｘ₇，ｘ₈によりテーブルＳ５，Ｓ６，Ｓ７，Ｓ８がそれぞれ参照され、Ｓ５（ｘ₅），Ｓ６（ｘ₆），Ｓ７（ｘ₇），Ｓ８（ｘ₈）が出力され、これらが回路３４，３５，３６により排他的論理和演算が行われ、その演算結果Ｂが回路３６から出力される。演算結果Ａは回路３７により下に１バイトローテーションされると共に回路３８で演算結果Ｂと排他的論理和演算される。この演算結果Ｃは回路３９により上に１バイトローテーションされると共に回路３７の出力との排他的論理和演算が回路４１で行われる。その演算結果Ｄは回路４２で上に２バイトローテーションされると共に回路３９の出力と排他的論理和演算が回路４３で行われる。その演算結果Ｅは回路４４で下に１バイトローテーションされると共に回路４２の出力と排他的論理和演算が回路４５で行われる。回路４５の出力Ｆがｚ₁′，ｚ₂′，ｚ₃′，ｚ₄′として、回路４４の出力がｚ₅′，ｚ₆′，ｚ₇′，ｚ₈′として出力される。
【００３５】
この置換処理をコンピュータにより行うには、図３中のテーブルメモリ２５にテーブルＳ１，Ｓ２，Ｓ３，Ｓ４の代りにＳ５，Ｓ６，Ｓ７，Ｓ８を設け、図６に示すようにステップ１でデータｘ₁〜ｘ₈を取込み記憶部２４に格納し、ステップ２で各データｘ_iを対応するテーブルを参照してＳ６（ｘ₁），Ｓ７（ｘ₂），Ｓ８（ｘ₃），Ｓ５（ｘ₄），Ｓ５（ｘ₅），Ｓ６（ｘ₆），Ｓ７（ｘ₇），Ｓ８（ｘ₈）を求め、ステップ３でこれらを記憶部２４に記憶する。ステップ４でＳ６（ｘ₁），Ｓ７（ｘ₂），Ｓ８（ｘ₃），Ｓ５（ｘ₄）を取出し、これらの排他的論理和演算を演算部２６で行い、その結果Ａを記憶部２４に格納する。ステップ５でＳ５（ｘ₅），Ｓ６（ｘ₆），Ｓ７（ｘ₇），Ｓ８（ｘ₈）を取出し、これらの排他的論理和演算を演算部２６で行う。ステップ６−１でその結果Ｂをローテーション部２７により下に１バイトローテーションし、ステップ６−２で演算結果Ａと演算結果Ｂとの排他的論理和演算を行い、その演算結果Ｃをステップ７−１で上に１バイトローテーションし、同時にステップ７−２で演算結果Ｃとステップ６−１のローテーションの結果との排他的論理和演算を行う。その演算結果Ｄをステップ８−１で上に２バイトローテーションすると共に、ステップ７−１のローテーションの結果と演算結果Ｄと排他的論理和演算をステップ８−２で行う。この演算結果Ｅをステップ９−１で下に１バイトローテーションすると共にステップ９−２で、ステップ８−１のローテーション結果と演算結果Ｅとの排他的論理和演算を行い、ステップ９−１，９−２の各結果をステップ１０で出力する。
【００３６】
図５、図６に示した置換処理によればテーブル参照８回、排他的論理和１０回、ローテーション４回で構成可能であることがわかる。なお、前述したようにローテーションと排他的論理和は並列処理が可能であることを考慮すると、図５中の点線部の処理は４演算で処理が完了する。
さらに、Ｓ５（ｘ）からＳ８（ｘ）はｓ（ｘ）とシフト処理によって実現可能である。つまり、ｘにより８ビットテーブルを参照してｓ（ｘ）を求め、ｓ（ｘ）を４行目の要素とする４要素の縦行列を論理シフトする。この論理シフトはＳ５（ｘ）が上３バイトシフトで実現され、またＳ６（ｘ）が上２バイトシフト、Ｓ７（ｘ）が上１バイトシフトで実現される。このことから、図５の処理においてＳ６（ｘ₁），Ｓ７（ｘ₂），Ｓ８（ｘ₃），Ｓ５（ｘ₄）はそれぞれｓ（ｘ₁）と上２バイトシフト、ｓ（ｘ₂）と上１バイトシフト、ｓ（ｘ₃），ｓ（ｘ₄）と上３バイトシフトで実現できることがわかる。同様のことがＳ５（ｘ₅），Ｓ６（ｘ₆），Ｓ７（ｘ₇），Ｓ８（ｘ₈）についてもいえるので、図５の処理のテーブル参照はｓ（ｘ）を得るテーブル参照と６回のシフトでも実現できることになる。このとき、使用するテーブルサイズは２５６Ｂとなる。
【００３７】
最後に、２５６Ｂのテーブルを利用したときの実装法について述べる。ここで利用するテーブルはもともとのｓ−ｂｏｘそのものである。この実施例の説明に示したＰ行列中の２つの行を取出し、対応する要素が一致しないものの数、いわゆるハミング重みの差が最小となるような順に演算を行う。このとき、上記のＰ関数処理は、
【００３８】
【数４０】

【００３９】
ここで、ｚ_i＝Ｓ（Ｘ_i），（ｉ＝１，…，８）であることを考慮すると、Ｓ関数処理とＰ関数処理との合成処理はテーブル参照８回、排他的論理和２５回で構成可能であることがわかる。
以上に述べた結果をまとめると、本実施例では、
（１）４ＫＢのメモリを使用したときにはテーブル参照８回、排他的論理和８回、ローテーション１回の演算処理、
（２）４ＫＢのメモリを使用したときにはテーブル参照８回、排他的論理和１０回、ローテーション４回の演算処理、
（３）２５６Ｂのメモリを使用したとき、テーブル参照８回、シフト６回、排他的論理和１０回、ローテーション４回の演算処理、
（４）２５６Ｂのメモリを使用したときにはテーブル参照８回、排他的論理和２５回の演算処理、
の４種類の高速実装方法が提供できる。ちなみに、Ｅ２暗号での青木らの文献の結果によれば、Ｅ２暗号での高速実装結果は、
Ａ）４ＫＢのメモリを使用したときにはテーブル参照８回、排他的論理和１１回、シフト演算４回の演算処理（このほかにデータのメモリ退避１回）、
Ｂ）８ＫＢのメモリを使用したときにはテーブル参照１２回、排他的論理和１１回の演算処理、
Ｃ）２５６Ｂのメモリを使用したときの実装法について記述なし
である。ここで、テーブル参照は排他的論理和やシフト、ローテーションなどと比較して極めて低速な処理であることに注意。したがって、この実施例の置換処理のほうが、Ｅ２暗号で使われていた置換処理よりも高速で、かつ様々な実装環境に応じた柔軟な実装が可能となる。
実施例２
以下、この発明の実施例２を、図面を用いて説明する。
【００４０】
図７は、この発明の実施例２を示す置換処理装置におけるＳ関数処理とＰ関数処理との合成処理を抜き出して示したものである。この合成処理は、
【００４１】
【数４１】

という処理が行なわれ、行列表現ｚ′＝Ｐ・ｚ＝Ｐ・ｓ（ｘ）として、
【００４２】
【数４２】

のように表される。これは、
【００４３】
【数４３】

とすると、
【００４４】
【数４４】

【００４５】
と表すことができる。
この式による置換処理は実施例の対応する式との比較から、図２に示した構成と同様に構成できる。つまり図８に示すように、図２に対し、入力データｘ₁〜ｘ₈中のｘ₅，ｘ₆，ｘ₇，ｘ₈によるテーブルの参照がそれぞれＳ４，Ｓ１，Ｓ２，Ｓ３である点と、ローテーション回路１８で下に１バイトローテーションを行う点が異なる。またこの場合も図４に示した処理手順と同様にしてコンピュータにより処理できることも容易に理解できよう。
同様に、下記の４ＫＢメモリを用いることもできる。
【００４６】
【数４５】

【００４７】
この場合の置換処理の構成は図９に示すように、図５に示した構成とほぼ同様である。ただ入力データｘ₁〜ｘ₈中のｘ₁，ｘ₂，ｘ₃，ｘ₄による参照がそれぞれＳ８，Ｓ５，Ｓ６，Ｓ７である点と、回路３７で上に１バイトローテーションする点と、回路３９で下に１バイトローテーションする点と、回路４４で上に１バイトローテーションする点が異なる。またこの場合も図６に示した処理手順と同様にしてコンピュータにより処理できることも容易に理解されよう。
【００４８】
従ってこの実施例においても実施例１と同様に、
（１）４ＫＢのメモリを使用したとき図８から、テーブル参照８回、排他的論理和８回、ローテーション１回で構成可能であることがわかる。なお、前述したようにローテーションと排他的論理和は並列処理が可能であることを考慮すると、図中の点線部の処理は２演算で処理が完了する。
（２）４ＫＢのメモリを使用したとき、図９から、テーブル参照８回、排他的論理和１０回、ローテーション４回で構成可能であることがわかる。なお、前述したようにローテーションと排他的論理和は並列処理が可能であることを考慮すると、図中の点線部の処理は４演算で処理が完了する。
（３）図９におけるテーブル参照は、実施例１で説明したのと同様の理由によりテーブル参照８回とシフト６回で実現できる。したがって、２５６Ｂのメモリを使用したとき、テーブル参照８回、シフト６回、排他的論理和１０回、ローテーション４回の演算処理でも実現可能である。
（４）２５６Ｂのメモリを使用したときにはテーブル参照８回、排他的論理和２５回の演算処理、
の４種類の高速実装方法が提供できる。
【００４９】
実施例３
以下、この発明の実施例３を、図面を用いて説明する。
図１０は、この発明の実施例３を示す置換処理装置におけるＳ関数処理とＰ関数処理との合成処理を抜き出して示したものである。この合成処理は、
【００５０】
【数４６】

という処理が行なわれ、行列表現ｚ′＝Ｐ・ｚ＝Ｐ・ｓ（ｘ）として、
【００５１】
【数４７】

のように表される。これは、
【００５２】
【数４８】

とすると、
【００５３】
【数４９】

【００５４】
と表すことができる。
この実施例においても、実施例１と同様の考え方により、４ＫＢメモリを使用した場合、図１１に示すように実施例１の図２に示した構成と同様に構成することができ、４ＫＢメモリのテーブルの参照で表わした式と、実施例２の対応する式との差から、図８に示した構成に対し、回路１８で上に１バイトローテーションを行うようにした点を異ならせればよい。またこの置換処理を図４に示した手順とほぼ同様にコンピュータにより処理させることもできることは容易に理解できよう。
【００５５】
４ＫＢメモリを使用した別の場合は、図１２に示すように実施例１の図５に示した構成と同様に構成することができる。ただ入力データｘ₁〜ｘ₆中のｘ₁，ｘ₂，ｘ₃，ｘ₄によりそれぞれテーブルＳ５，Ｓ６，Ｓ７，Ｓ８を参照する点、回路３７で上に１バイトローテーションを行う点、回路３９で下に１バイトローテーションを行う点、回路４２で上に１バイトローテーションを行う点、回路４４で上に１バイトローテーションを行う点、更に回路４５の演算結果Ｆを回路４６で下に２バイトローテーションを行って出力する点が図５と異なる。またこの場合も図６に示した処理手順に順じて同様にコンピュータにより置換処理を行うこともできることは容易に理解できよう。
【００５６】
以上より
（１）４ＫＢのメモリを使用したとき図１１から、テーブル参照８回、排他的論理和８回、ローテーション１回で構成可能であることがわかる。なお、前述したようにローテーションと排他的論理和は並列処理が可能であることを考慮すると、図中の点線部の処理は２演算で処理が完了する。
（２）４ＫＢのメモリを使用したとき、図１２から、テーブル参照８回、排他的論理和１０回、ローテーション５回で構成可能であることがわかる。なお、前述したようにローテーションと排他的論理和は並列処理が可能であることを考慮すると、図中の点線部の処理は５演算で処理が完了する。
（３）図１２におけるテーブル参照は、実施例１で説明したのと同様の理由によりテーブル参照８回とシフト６回で実現できる。したがって、２５６Ｂのメモリを使用したとき、テーブル参照８回、シフト６回、排他的論理和１０回、ローテーション５回の演算処理でも実現可能である。
（４）２５６Ｂのメモリを使用したときにはテーブル参照８回、排他的論理和２５回の演算処理、
の４種類の高速実装方法が提供できる。
【００５７】
実施例４
以下、この発明の実施例４を、図面を用いて説明する。
図１３は、この発明の実施例４を示す置換処理装置におけるＳ関数処理とＰ関数処理との合成処理を抜き出して示したものである。この合成処理は、
【００５８】
【数５０】

という処理が行なわれ、行列表現ｚ′＝Ｐ・ｚ＝Ｐ・ｓ（ｘ）として、
【００５９】
【数５１】

のように表される。これは、
【００６０】
【数５２】

とすると、
【００６１】
【数５３】

【００６２】
と表すことができる。
この実施例においても、実施例１と同様の考え方により、４ＫＢメモリを用いた場合、この３２ビットテーブルで表現した式を、実施例１の場合と比較すれば直ちに理解されるように、図１４に示すように、図２中の回路１８を下に１バイトローテーションに変更すればよい。またこの置換処理を図４に示した手順と同様にコンピュータにより行うこともできる。
【００６３】
４ＫＢメモリを用いた別の場合、図１５に示すように図５に示した構成と同様に構成できる。ただ入力データｘ₁〜ｘ₈中のｘ₁，ｘ₂，ｘ₃，ｘ₄によりそれぞれテーブルＳ５，Ｓ６，Ｓ７，Ｓ８を参照する点、回路４２で下に１バイトローテーションを行う点、回路４５の演算結果Ｆを回路４６で上に２バイトローテーションを行って出力する点が図２と異なる。またこの場合も、図６に示した処理手順とほぼ同様にコンピュータにより処理を行うこともできる。
【００６４】
以上より
（１）４ＫＢのメモリを使用したとき図１４から、テーブル参照８回、排他的論理和８回、ローテーション１回で構成可能であることがわかる。なお、前述したようにローテーションと排他的論理和は並列処理が可能であることを考慮すると、図中の点線部の処理は２演算で処理が完了する。
（２）４ＫＢのメモリを使用したとき、図１５から、テーブル参照８回、排他的論理和１０回、ローテーション５回で構成可能であることがわかる。なお、前述したようにローテーションと排他的論理和は並列処理が可能であることを考慮すると、図中の点線部の処理は５演算で処理が完了する。
（３）図１５におけるテーブル参照は、実施例１で説明したのと同様の理由によりテーブル参照８回とシフト６回で実現できる。したがって、２５６Ｂのメモリを使用したとき、テーブル参照８回、シフト６回、排他的論理和１０回、ローテーション５回の演算処理でも実現可能である。
（４）２５６Ｂのメモリを使用したときにはテーブル参照８回、排他的論理和２５回の演算処理、
の４種類の高速実装方法が提供できる。
【００６５】
【発明の効果】
以上、詳細に説明したように、この発明によれば、Ｓ−Ｐ構造を用いた置換処理装置において、Ｓ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理を、
【００６６】
【数５４】

【００６７】
（ただし、＜＜＜ｙは上ｙバイトのローテーション、Ｓ１（・）〜Ｓ８（・）のテーブルは３２ビット参照テーブルを表す。なお、ｙ＜０のときは下｜ｙ｜バイトのローテーションを表すものとする。）
のように書き直すことが可能となるような構造にすることによって、少なくとも（１）８ＫＢのメモリを使用したときにはテーブル参照８回、排他的論理和８回、ローテーション１回の演算処理、（２）４ＫＢのメモリを使用したときにはテーブル参照８回、排他的論理和１０回、ローテーション４回または５回の演算処理、（３）２５６Ｂのメモリを使用したときにはテーブル参照８回、排他的論理和２５回の演算処理、の３種類の高速実装方法が提供できる。なお、実施例のように、（２）の実装方法のときには、４ＫＢのメモリを使用したテーブル参照の代わりに、２５６Ｂのメモリを使用したテーブル参照と６回のシフト演算によっても実現可能であり、このときテーブル参照８回、シフト６回、排他的論理和１０回、ローテーション４回または５回の演算処理となる。また、特に｛Ｓ１（・），Ｓ２（・），Ｓ３（・），Ｓ４（・）｝＝｛Ｓ５（・），Ｓ６（・），Ｓ７（・），Ｓ８（・）｝を満たすのであれば、（１）の実装方法の時にはさらに４ＫＢのメモリ使用量を削減可能であり、使用メモリは４ＫＢとなる（他の演算処理量は変化しない）。これによって、Ｅ２暗号で使われていた置換処理よりも高速で、かつ合成処理そのものは同じでありながら、（１）の実装方法はＰＣ向き、（２）は３２ビットＣＰＵを備えたハイエンドＩＣカード向き、（３）は８ビットＣＰＵを備えたローエンドＩＣカード向きというように多様な実装環境に応じて最適かつ柔軟な実装が可能となる置換処理装置を提供できる。
【図面の簡単な説明】
【図１】この発明の実施例１における置換処理装置における処理を表す図。
【図２】実施例１における置換処理装置中のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における４ＫＢのメモリを使用したときの処理を表す図。
【図３】実施例１をコンピュータにより処理する場合の構成を示す図。
【図４】実施例１をコンピュータにより処理する場合の処理手順の例を示す流れ図。
【図５】実施例１における置換処理装置中のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における４ＫＢのメモリを使用したときのもう１つの処理を表す図。
【図６】実施例１の装置を４ＫＢメモリを用いてコンピュータにより処理をする場合の処理手順の例を示す流れ図。
【図７】この発明の実施例２における置換処理装置における処理を表す図。
【図８】実施例２における置換処理装置中のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における４ＫＢのメモリを使用したときの処理を表す図。
【図９】実施例２における置換処理装置中のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における４ＫＢのメモリを使用したときのもう１つの処理を表す図。
【図１０】この発明の実施例３における置換処理装置における処理を表す図。
【図１１】実施例３における置換処理装置中のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における４ＫＢのメモリを使用したときの処理を表す図。
【図１２】実施例３における置換処理装置中のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における４ＫＢのメモリを使用したときのもう１つの処理を表す図。
【図１３】実施例４における置換処理装置における処理を表す図。
【図１４】実施例４における置換処理装置中のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における４ＫＢのメモリを使用したときの処理を表す図。
【図１５】実施例４における置換処理装置中のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における４ＫＢのメモリを使用したときのもう１つの処理を表す図。
【図１６】Ｅ２暗号の置換処理を表す図。
【図１７】Ｅ２暗号での第１のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における高速な処理例を表す図。
【図１８】Ｅ２暗号での第１のＳ関数処理と行列Ｐで表現される置換（Ｐ関数処理）との合成処理における別の高速な処理例を表す図。[0001]
BACKGROUND OF THE INVENTION
The present invention is mainly used in encryption technology, and in particular, used in a common key cryptosystem that encrypts or decrypts data in units of blocks under the control of a secret key. The first nonlinear transformation S-linear transformation The present invention relates to a replacement processing apparatus suitable for an apparatus that performs P-second nonlinear transformation S or an apparatus that performs nonlinear transformation S-linear transformation P.
[0002]
[Prior art]
An encryption technique is effective for concealing data. Encryption methods include common key encryption and public key encryption. A method using the same secret key for encryption and decryption is called common key encryption, and a method using different keys for encryption and decryption is called public key encryption. . From the viewpoint of processing speed, the common key encryption is more advantageous.
In order to construct a high-speed and secure common key cryptosystem, a method of dividing data to be encrypted into blocks of an appropriate length and encrypting each block is called a block cipher. As one of such encryption methods, E2 encryption (for example, the document “Kanda et al .:“ Proposal of 128-bit block cipher E2 ”, electronic information) that uses the SPS structure to enhance the security in replacement processing. Communication Association Information Security Study Group ISEC 98-12 ”).
[0003]
FIG. 16 shows a replacement process used in the E2 encryption. The P function processing in this case is combined with the first S function processing as a matrix expression z ′ = P · z = P · s (x),
[0004]
[Expression 24]

It is expressed as
[0005]
[Expression 25]

[0006]
The process is performed. Here, s (x) represents a value subjected to nonlinear transformation by an s-box constituting the first S function with x as an input.
Several high-speed implementation methods for the synthesis process of the first S function process and the replacement process (P function process) represented by the matrix P composed of {0, 1} elements have been considered. Et al .: “E2 software implementation, 1999 Cryptography and Information Security Symposium SCIS99-F1-2.2” describes its implementation.
For example, as an implementation example on a 32-bit processor, the following four 32-bit lookup tables
[0007]
[Equation 26]

When the above is prepared, the above S function processing and P function processing composition processing can be rewritten as follows.
[0008]
[Expression 27]

[0009]
Here, >> y is a logical shift of lower y bytes, and << y is a logical shift of upper y bytes. The vertical and horizontal lines in the above matrix are entered for easy understanding of the relationship between the matrix P.S (x) on the left side and the matrix composed of S1 (.) To S4 (.) On the right side. There is no meaning.
At this time, as shown in FIG. 17, in the synthesis process of the first S function process and the P function process, tables S1 (.) To S4 (.) That can be referred to all values of x, that is, 4 KB. Uses memory (the tables of S1 (•) to S4 (•) each require 1 KB of memory), and x₁~ X₈Requires 8 table references, 11 exclusive ORs, and 4 shift operations. In addition, although not specifically described in this document, it should be noted that in actual implementation, in addition to these arithmetic processes, halfway data memory saving is required once.
In another implementation example, the following four 32-bit reference tables in addition to the above-described tables of S1 (.) To S4 (.)
[0010]
[Expression 28]

By preparing the above, the above replacement process can be rewritten as follows.
[0011]
[Expression 29]

[0012]
At this time, in the synthesis process of the first S function process and the P function process, an 8 KB memory (the tables of S1 (•) to S8 (•) each require a 1 KB memory) is used. As shown in FIG. 18, it requires 12 table references and 11 exclusive ORs.
As explained above, the high-speed mounting method in the synthesis process of the first S function process and the P function process used in the E2 cipher is a table reference and an exclusive process even if the memory is used in 4 to 8 KB. The amount of processing such as logical OR or shift operation is large, and it cannot be said that it is always fast. In addition, when the memory usage is limited, the processing volume is expected to increase further.
[0013]
[Problems to be solved by the invention]
An object of the present invention is to realize a P function having a variety of implementations in a replacement process having at least an SP structure, thereby making the security in the replacement process the same and adapting to various mounting environments. A replacement processing apparatus that enables high-speed mounting in the synthesis processing of the optimal implementation, in particular, the synthesis processing of the S function processing and the replacement processing (P function processing) represented by the matrix P composed of {0, 1} elements. The purpose is to provide.
[0014]
[Means for Solving the Problems]
In the present invention, in the replacement processing apparatus for achieving the above object, the synthesis processing of the S function processing (nonlinear conversion processing) and the replacement processing expressed by the matrix P (P function processing: linear conversion processing) is as follows. By adopting such a structure that can be rewritten as described above, flexible high-speed mounting according to various mounting environments becomes possible.
[0015]
[30]

[0016]
Here, << y is the y-byte rotation above, and the tables S1 (•) to S8 (•) represent reference tables. When y <0, | y | byte rotation is shown below.
[0017]
[Action]
According to the present invention, as a high-speed mounting method in the synthesis process of the S function process and the replacement process (P function process) expressed by the matrix P, at least (1) when the 8 KB memory is used, the table is referenced 8 times. Exclusive logical sum 8 times, rotation 1 time arithmetic processing, (2) When 4KB memory is used, table reference 8 times, exclusive logical sum 10 times, rotation 4 times or 5 times arithmetic processing, (3) 256B When this memory is used, it is possible to realize three types of operation processing: 8 times of table reference and 25 times of exclusive OR. In the mounting method (2), instead of table reference using 4 KB memory, it can be realized by table reference using 256 B memory and 6 shift operations. At this time, table reference 8 times , 6 shifts, 10 exclusive ORs, 4 or 5 rotations. In particular, {S1 (•), S2 (•), S3 (•), S4 (•)} = {S5 (•), S6 (•), S7 (•), S8 (•)} For example, in the mounting method of (1), the memory usage of 4 KB can be further reduced, and the used memory becomes 4 KB (the other calculation processing amount does not change).
[0018]
As a result, it is possible to provide a replacement processing apparatus that can be mounted faster and more flexibly than the replacement processing used in E2 cryptography. Furthermore, although the synthesis process is the same, (1) mounting method is for PC, (2) is for high-end IC card with 32-bit CPU, and (3) is for low-end IC card with 8-bit CPU. Thus, it is possible to implement an optimum and flexible mounting according to various mounting environments.
[0019]
DETAILED DESCRIPTION OF THE INVENTION
Example 1
Embodiment 1 of the present invention will be described below with reference to the drawings.
FIG. 1 shows extracted synthesis processing of S function processing and P function processing in the replacement processing apparatus showing Embodiment 1 of the present invention. This synthesis process
[0020]
[31]

As a matrix expression z ′ = P · z = P · s (x),
[0021]
[Expression 32]

It is expressed as this is,
[0022]
[Expression 33]

Then,
[0023]
[Expression 34]

Because
[0024]
[Expression 35]

[0025]
It can be expressed as.
First, an implementation method when a 4 KB table is used will be described. The tables prepared here are four of the following 32-bit reference tables, and each table uses a memory amount of 1 KB.
[0026]
[Expression 36]

The synthesis process of the S function process and the P function process can be rewritten as follows.
[0027]
[Expression 37]

[0028]
Therefore, a processing diagram for performing such processing is as shown in FIG. X₁, X₂, X_Three, X_FourReferring to the tables S1, S2, S3, and S4, S1 (x₁), S2 (x₂), S3 (x_Three), S4 (x_Four), And these exclusive ORs are obtained by the

circuits

11, 12, 13 and x_Five, X₆, X₇, X₈Referring to the tables S2, S3, S4 and S1, respectively, S2 (x_Five), S3 (x₆), S4 (x₇), S1 (x₈) And these exclusive ORs are obtained by the

circuits

14, 15 and 16, and the exclusive OR operation result U₂And the result of the exclusive OR operation U₁Is obtained by the circuit 17 and z₁′, Z₂′, Z_Three′, Z_Four'And the exclusive OR operation result U from the circuit 16₂On the other hand, the upper one-byte rotation is performed by the circuit 18, and the exclusive OR operation is performed by the output of the circuit 17 and the circuit 19 z._Five′, Z₆′, Z₇′, Z₈'Is obtained.
[0029]
This conversion process can also be performed by a computer. For example, as shown in FIG. 3, the control unit 21 composed of the CPU reads out the program stored in the program memory 22, executes the decoding, and performs the processing shown in FIG. In other words, the data x through the input unit 23₁~ X₈And temporarily stores it in the storage unit 24 (step 1), and each of the data x₁~ X₈Are sequentially retrieved, the corresponding table in the table memory 25 is referred to (step 2), and the reference result is temporarily stored in the storage unit 24 (step 3). That is, in this example, the reference result S1 (x₁), S2 (x₂), S3 (x_Three), S4 (x_Four), S2 (x_Five), S3 (x₆), S4 (x₇), S1 (x₈) Is stored in the storage unit 24.
[0030]
S1 (x₁), S2 (x₂), S3 (x_Three), S4 (x_Four) And these exclusive OR operations are performed by the operation unit 26 of the control unit 21 (step 4), and the operation result U₁Is temporarily stored in the storage unit 24, and S2 (x_Five), S3 (x₆), S4 (x₇), S1 (x₈), And the operation unit 26 performs these exclusive OR operations (step 5).₂And the calculation result U₁Is calculated by the calculation unit 26 (step 6-1) and the calculation result U is calculated by the rotation unit 27 of the control unit 21.₂On the other hand, the lower 1-byte rotation is performed (step 6-2), and the operation unit 26 performs an exclusive OR operation between the rotation result and the result of the exclusive OR operation in step 6 (step 7). The calculation result U of this step 4₁Z₁′, Z₂′, Z_Three′, Z_Four′ And the operation result of step 8 is z_Five′, Z₆′, Z₇′, Z₈'Is output from the output unit 28 (step 8).
[0031]
It can be seen that the above replacement process can be configured with eight table references, eight exclusive ORs, and one rotation. When the input to the rotation circuit 18 is (one) input to another exclusive OR circuit 17, the rotation and exclusive OR can be processed in parallel. Therefore, the processing of the dotted line portion in FIG. 2 is completed in two operations when parallel processing is considered.
Next, a mounting method when another 4 KB memory is used will be described. The tables prepared here are four of the following 32-bit reference tables, and each table uses a memory amount of 1 KB.
[0032]
[Formula 38]

At this time, the synthesis process of the first S function process and the P function process can be rewritten as follows.
[0033]
[39]

[0034]
Therefore, the processing for performing such processing is as shown in FIG. That is, input data x₁, X₂, X_Three, X_FourTables S6, S7, S8, and S5 are referred to and S6 (x₁), S7 (x₂), S8 (x_Three), S5 (x_FourThese are subjected to an exclusive OR operation by the

circuits

31, 32 and 33, and the operation result A is output from the circuit 33. Input data x_Five, X₆, X₇, X₈Tables S5, S6, S7, and S8 are referred to by S5 (x_Five), S6 (x₆), S7 (x₇), S8 (x₈These are subjected to exclusive OR operation by the

circuits

34, 35 and 36, and the operation result B is output from the circuit 36. The operation result A is rotated one byte downward by the circuit 37 and is exclusive ORed with the operation result B by the circuit 38. The operation result C is rotated one byte upward by the circuit 39 and an exclusive OR operation with the output of the circuit 37 is performed by the circuit 41. The operation result D is rotated by 2 bytes upward in the circuit 42 and an exclusive OR operation with the output of the circuit 39 is performed in the circuit 43. The operation result E is rotated down by 1 byte in the circuit 44, and an exclusive OR operation with the output of the circuit 42 is performed in the circuit 45. The output F of the circuit 45 is z₁′, Z₂′, Z_Three′, Z_Four′, The output of the circuit 44 is z_Five′, Z₆′, Z₇′, Z₈Is output as ′.
[0035]
In order to perform this replacement process by a computer, the table memory 25 in FIG. 3 is provided with S5, S6, S7, and S8 instead of the tables S1, S2, S3, and S4, and the data x in step 1 as shown in FIG.₁~ X₈And store it in the storage unit 24, and in step 2, each data x_iS6 (x₁), S7 (x₂), S8 (x_Three), S5 (x_Four), S5 (x_Five), S6 (x₆), S7 (x₇), S8 (x₈) And are stored in the storage unit 24 in step 3. In step 4, S6 (x₁), S7 (x₂), S8 (x_Three), S5 (x_Four), These exclusive OR operations are performed by the arithmetic unit 26, and the result A is stored in the storage unit 24. In step 5, S5 (x_Five), S6 (x₆), S7 (x₇), S8 (x₈) And these exclusive OR operations are performed by the arithmetic unit 26. In step 6-1, the result B is rotated downward by 1 byte by the rotation unit 27. In step 6-2, an exclusive OR operation is performed on the operation result A and the operation result B, and the operation result C is converted to step 7- Rotate 1 byte upward by 1, and simultaneously perform an exclusive OR operation between the operation result C and the rotation result of step 6-1 at step 7-2. The operation result D is rotated up to 2 bytes in step 8-1, and the result of rotation in step 7-1, the operation result D and exclusive OR operation are performed in step 8-2. The operation result E is rotated downward by 1 byte in step 9-1, and in step 9-2, an exclusive OR operation between the rotation result of step 8-1 and the operation result E is performed. Each result of -2 is output in step 10.
[0036]
According to the replacement process shown in FIGS. 5 and 6, it can be configured by referring to the table 8 times, exclusive OR 10 times, and rotation 4 times. As described above, considering that rotation and exclusive OR can be performed in parallel, the processing of the dotted line in FIG. 5 is completed with four operations.
Further, S5 (x) to S8 (x) can be realized by s (x) and shift processing. That is, s (x) is obtained by referring to an 8-bit table by x, and a 4-element vertical matrix having s (x) as an element in the fourth row is logically shifted. This logical shift is realized by shifting the upper 3 bytes of S5 (x), shifting the upper 2 bytes of S6 (x), and shifting the upper 1 byte of S7 (x). From this, S6 (x₁), S7 (x₂), S8 (x_Three), S5 (x_Four) Is s (x₁) And upper 2 byte shift, s (x₂) And upper 1 byte shift, s (x_Three), S (x_Four) And an upper 3 byte shift. The same is true for S5 (x_Five), S6 (x₆), S7 (x₇), S8 (x₈Therefore, the table reference in the process of FIG. 5 can be realized by a table reference for obtaining s (x) and six shifts. At this time, the table size to be used is 256B.
[0037]
Finally, an implementation method when using the 256B table will be described. The table used here is the original s-box itself. Two rows in the P matrix shown in the description of this embodiment are taken out, and operations are performed in the order that minimizes the difference in the number of corresponding elements that do not match, that is, the so-called Hamming weight difference. At this time, the above P function processing is
[0038]
[Formula 40]

[0039]
Where z_i= S (X_i), (I = 1,..., 8), it can be seen that the synthesizing process of the S function process and the P function process can be configured with 8 table references and 25 exclusive ORs.
To summarize the results described above, in this example,
(1) When a 4 KB memory is used, the table is referred to 8 times, exclusive OR 8 times, and rotation 1 time.
(2) When a 4 KB memory is used, the table is referred to 8 times, exclusive OR 10 times, and rotation 4 times.
(3) When a 256B memory is used, arithmetic processing is performed 8 times with reference to the table, 6 times with shift, 10 times with exclusive OR, and 4 times with rotation.
(4) When the 256B memory is used, the table is referred to 8 times and the exclusive OR is 25 times.
4 types of high-speed mounting methods can be provided. By the way, according to the result of Aoki et al. In E2 cipher, the result of high-speed implementation in E2 cipher is
A) When a 4 KB memory is used, the table is referenced 8 times, the exclusive OR 11 times, and the shift operation 4 times (in addition to the data memory save 1 time),
B) When using an 8 KB memory, the table is referenced 12 times, and the exclusive OR is 11 times.
C) No description of implementation method when using 256B memory
It is. Note that table referencing is extremely slow compared to exclusive OR, shift, and rotation. Therefore, the replacement process of this embodiment is faster than the replacement process used in the E2 cipher and can be implemented flexibly according to various mounting environments.
Example 2
Embodiment 2 of the present invention will be described below with reference to the drawings.
[0040]
FIG. 7 shows a synthesis process of the S function process and the P function process in the replacement processing apparatus showing Embodiment 2 of the present invention. This synthesis process
[0041]
[Expression 41]

As a matrix expression z ′ = P · z = P · s (x),
[0042]
[Expression 42]

It is expressed as this is,
[0043]
[Equation 43]

Then,
[0044]
(44)

[0045]
It can be expressed as.
The replacement process by this formula can be configured in the same manner as the configuration shown in FIG. 2 by comparison with the corresponding formula in the embodiment. In other words, as shown in FIG.₁~ X₈X inside_Five, X₆, X₇, X₈The table is referred to by S4, S1, S2, and S3, respectively, and the rotation circuit 18 performs a 1-byte rotation downward. Also in this case, it can be easily understood that the processing can be performed by a computer in the same manner as the processing procedure shown in FIG.
Similarly, the following 4 KB memory can also be used.
[0046]
[Equation 45]

[0047]
The configuration of the replacement process in this case is almost the same as the configuration shown in FIG. 5, as shown in FIG. Just input data x₁~ X₈X inside₁, X₂, X_Three, X_FourAre the reference points S8, S5, S6, and S7, the point that the circuit 37 rotates 1 byte upward, the point that the circuit 39 rotates 1 byte downward, and the point that the circuit 44 rotates 1 byte upward, respectively. Is different. In this case, it can be easily understood that the processing can be performed by a computer in the same manner as the processing procedure shown in FIG.
[0048]
Therefore, in this embodiment, as in the first embodiment,
(1) When a 4 KB memory is used, it can be seen from FIG. 8 that the table can be configured with 8 times of table reference, 8 times of exclusive OR, and 1 time of rotation. In addition, considering that rotation and exclusive OR can be performed in parallel as described above, the processing of the dotted line portion in the figure is completed with two operations.
(2) When a 4 KB memory is used, it can be seen from FIG. 9 that the table can be configured with 8 times of table reference, 10 times of exclusive OR, and 4 times of rotation. In addition, considering that rotation and exclusive OR can be performed in parallel as described above, the processing of the dotted line portion in the figure is completed with four operations.
(3) The table reference in FIG. 9 can be realized with eight table references and six shifts for the same reason as described in the first embodiment. Therefore, when a 256-B memory is used, it is possible to realize the calculation process with 8 times of table reference, 6 times of shift, 10 times of exclusive OR, and 4 times of rotation.
(4) When the 256B memory is used, the table is referred to 8 times and the exclusive OR is 25 times.
4 types of high-speed mounting methods can be provided.
[0049]
Example 3
Embodiment 3 of the present invention will be described below with reference to the drawings.
FIG. 10 shows the combined processing of the S function processing and the P function processing in the replacement processing apparatus showing Embodiment 3 of the present invention. This synthesis process
[0050]
[Equation 46]

As a matrix expression z ′ = P · z = P · s (x),
[0051]
[Equation 47]

It is expressed as this is,
[0052]
[Formula 48]

Then,
[0053]
[Formula 49]

[0054]
It can be expressed as.
Also in this embodiment, when a 4 KB memory is used in the same way as in the first embodiment, it can be configured similarly to the configuration shown in FIG. 2 of the first embodiment as shown in FIG. Based on the difference between the expression shown by reference to the table and the corresponding expression in the second embodiment, the configuration shown in FIG. It can be easily understood that this replacement processing can be performed by a computer in substantially the same manner as the procedure shown in FIG.
[0055]
In another case where a 4 KB memory is used, a configuration similar to that shown in FIG. 5 of the first embodiment can be configured as shown in FIG. Just input data x₁~ X₆X inside₁, X₂, X_Three, X_FourPoints to refer to the tables S5, S6, S7, and S8, the point that the circuit 37 performs the 1-byte rotation, the circuit 39 that performs the 1-byte rotation, and the circuit 42 that performs the 1-byte rotation. 5 differs from FIG. 5 in that the circuit 44 performs 1-byte rotation upward, and further outputs the operation result F of the circuit 45 by performing 2-byte rotation downward in the circuit 46. Also in this case, it can be easily understood that the replacement process can be similarly performed by a computer in accordance with the processing procedure shown in FIG.
[0056]
From the above
(1) When a 4 KB memory is used, it can be seen from FIG. 11 that the table can be configured with eight table references, eight exclusive ORs, and one rotation. In addition, considering that rotation and exclusive OR can be performed in parallel as described above, the processing of the dotted line portion in the figure is completed with two operations.
(2) When a 4 KB memory is used, it can be seen from FIG. 12 that the table can be configured with 8 times of table reference, 10 times of exclusive OR, and 5 times of rotation. As described above, in consideration of the fact that rotation and exclusive OR can be performed in parallel, the processing of the dotted line in the figure is completed with five operations.
(3) The table reference in FIG. 12 can be realized with eight table references and six shifts for the same reason as described in the first embodiment. Therefore, when a 256-B memory is used, it is possible to realize an arithmetic process with 8 table references, 6 shifts, 10 exclusive ORs, and 5 rotations.
(4) When the 256B memory is used, the table is referred to 8 times and the exclusive OR is 25 times.
4 types of high-speed mounting methods can be provided.
[0057]
Example 4
Embodiment 4 of the present invention will be described below with reference to the drawings.
FIG. 13 shows the combined processing of S function processing and P function processing in the replacement processing apparatus showing Embodiment 4 of the present invention. This synthesis process
[0058]
[Equation 50]

As a matrix expression z ′ = P · z = P · s (x),
[0059]
[Formula 51]

It is expressed as this is,
[0060]
[Formula 52]

Then,
[0061]
[53]

[0062]
It can be expressed as.
Also in this embodiment, when a 4 KB memory is used based on the same concept as in the first embodiment, the expression expressed by this 32-bit table is readily understood by comparing with the case of the first embodiment, as shown in FIG. As shown in FIG. 2, the circuit 18 in FIG. This replacement process can also be performed by a computer in the same manner as the procedure shown in FIG.
[0063]
In another case using a 4 KB memory, as shown in FIG. 15, it can be configured similarly to the configuration shown in FIG. Just input data x₁~ X₈X inside₁, X₂, X_Three, X_FourReferring to the tables S5, S6, S7, and S8, respectively, the point that the circuit 42 performs 1-byte rotation, and the operation result F of the circuit 45 that is output by performing 2-byte rotation upward by the circuit 46. Different from 2. Also in this case, the processing can be performed by a computer in substantially the same manner as the processing procedure shown in FIG.
[0064]
From the above
(1) When a 4 KB memory is used, it can be seen from FIG. 14 that the table can be configured with 8 times of table reference, 8 times of exclusive OR, and 1 time of rotation. In addition, considering that rotation and exclusive OR can be performed in parallel as described above, the processing of the dotted line portion in the figure is completed with two operations.
(2) When a 4 KB memory is used, it can be seen from FIG. 15 that the table can be configured with 8 times of table reference, 10 times of exclusive OR, and 5 times of rotation. As described above, in consideration of the fact that rotation and exclusive OR can be performed in parallel, the processing of the dotted line in the figure is completed with five operations.
(3) The table reference in FIG. 15 can be realized with eight table references and six shifts for the same reason as described in the first embodiment. Therefore, when a 256-B memory is used, it is possible to realize an arithmetic process with 8 table references, 6 shifts, 10 exclusive ORs, and 5 rotations.
(4) When the 256B memory is used, the table is referred to 8 times and the exclusive OR is 25 times.
4 types of high-speed mounting methods can be provided.
[0065]
【The invention's effect】
As described above in detail, according to the present invention, in the replacement processing device using the SP structure, the synthesis process of the S function processing and the replacement expressed by the matrix P (P function processing)
[0066]
[Formula 54]

[0067]
(<< y is a rotation of upper y bytes, and tables of S1 (·) to S8 (·) are 32-bit reference tables. When y << 0, lower | y | bytes are rotated. Suppose)
(1) When the 8 KB memory is used, at least (8) table reference operation, 8 exclusive OR operations, and 1 rotation operation processing. (2) When 4KB memory is used, table reference 8 times, exclusive OR 10 times, rotation 4 times or 5 times, (3) When 256B memory is used, table reference 8 times, exclusive OR 25 times 3 types of high-speed mounting methods can be provided. As in the embodiment, in the mounting method (2), instead of the table reference using the 4 KB memory, it can be realized by the table reference using the 256 B memory and six shift operations. At this time, the calculation process is 8 times with reference to the table, 6 times with the shift, 10 times with the exclusive OR, and 4 times or 5 times with the rotation. In particular, {S1 (•), S2 (•), S3 (•), S4 (•)} = {S5 (•), S6 (•), S7 (•), S8 (•)} For example, in the mounting method of (1), the memory usage of 4 KB can be further reduced, and the used memory becomes 4 KB (the other calculation processing amount does not change). As a result, it is faster than the replacement process used in E2 cryptography, and the synthesis process itself is the same, but the mounting method (1) is for PCs, and (2) is a high-end IC card equipped with a 32-bit CPU. Orientation, (3) can provide a replacement processing device that can be mounted optimally and flexibly according to various mounting environments, such as a low-end IC card equipped with an 8-bit CPU.
[Brief description of the drawings]
FIG. 1 is a diagram showing processing in a replacement processing apparatus according to Embodiment 1 of the present invention.
FIG. 2 is a diagram illustrating processing when a 4 KB memory is used in the synthesis processing of S function processing and replacement represented by a matrix P (P function processing) in the replacement processing apparatus according to the first exemplary embodiment.
FIG. 3 is a diagram showing a configuration when the first embodiment is processed by a computer.
FIG. 4 is a flowchart illustrating an example of a processing procedure when the first embodiment is processed by a computer.
FIG. 5 is a diagram illustrating another process when a 4 KB memory is used in the synthesis process of the S function process and the replacement represented by the matrix P (P function process) in the replacement processing apparatus according to the first embodiment.
FIG. 6 is a flowchart showing an example of a processing procedure when the apparatus of the first embodiment is processed by a computer using a 4 KB memory.
FIG. 7 is a diagram illustrating processing in a replacement processing apparatus according to Embodiment 2 of the present invention.
FIG. 8 is a diagram illustrating processing when a 4 KB memory is used in the synthesis processing of S function processing and replacement represented by a matrix P (P function processing) in the replacement processing apparatus according to the second embodiment.
FIG. 9 is a diagram illustrating another process when a 4 KB memory is used in the synthesis process of the S function process and the replacement represented by the matrix P (P function process) in the replacement processing apparatus according to the second embodiment.
FIG. 10 is a diagram showing processing in a replacement processing device according to Embodiment 3 of the present invention.
FIG. 11 is a diagram illustrating processing when a 4 KB memory is used in the synthesis processing of S function processing and replacement (P function processing) represented by a matrix P in the replacement processing device according to the third embodiment.
FIG. 12 is a diagram illustrating another process when a 4 KB memory is used in the synthesis process of the S function process and the replacement (P function process) represented by the matrix P in the replacement processing apparatus according to the third embodiment.
FIG. 13 is a diagram illustrating processing in a replacement processing device according to a fourth embodiment.
FIG. 14 is a diagram illustrating processing when a 4 KB memory is used in the synthesis processing of S function processing and replacement (P function processing) represented by a matrix P in the replacement processing apparatus according to the fourth embodiment.
FIG. 15 is a diagram illustrating another process when a 4 KB memory is used in the synthesis process of the S function process and the replacement (P function process) represented by the matrix P in the replacement processing apparatus according to the fourth embodiment.
FIG. 16 is a diagram illustrating an E2 encryption replacement process.
FIG. 17 is a diagram illustrating a high-speed processing example in the synthesis processing of the first S function processing in the E2 cipher and the replacement expressed by the matrix P (P function processing).
FIG. 18 is a diagram illustrating another example of high-speed processing in the synthesis processing of the first S function processing in E2 encryption and the replacement (P function processing) represented by the matrix P.

Claims

In a replacement processing device that performs nonlinear transformation and linear transformation on input data x ₁ , x ₂ ,..., X ₈ ,
The synthesis process of the nonlinear transformation and the linear transformation is

Can be expressed as
However, Sj (·) (j = 1, 2,..., 8) is to output Sj (x _i ) by referring to the 32-bit table by x _i (i = 1, 2,..., 8). << y represents upper y byte rotation when y> 0, and lower | y | byte rotation when y <0.
Each reference table of S1 (•), S2 (•),..., S8 (•),
Means for referring to the reference table by the input data;
Arithmetic means for performing an exclusive OR operation on the reference output of the reference table;
A rotation means for rotating the exclusive OR operation;
Comprising

Because
Each said table referring means by _{_{_{x 1, x 2, x 3}}} , x 4, x 5, x 6, x 7, x 8 S1 (x 1), S2 (x 2), S3 (x 3), S4 ( x ₄ ), S 4 (x ₅ ), S 1 (x ₆ ), S 2 (x ₇ ), S 3 (x ₈ )
The exclusive OR operation means performs the exclusive OR operation of the S1 (x ₁ ), S2 (x ₂ ), S3 (x ₃ ), and S4 (x ₄ ) to obtain a result U ₁ ; Means for performing an exclusive OR operation of S4 (x ₅ ), S 1 (x ₆ ), S 2 (x ₇ ), S 3 (x ₈ ) to obtain a result U _2; and exclusive of U ₁ and U ₂ A means for obtaining a result U ₃ by performing an OR operation, and a means for obtaining a result U ₄ by performing an exclusive OR operation on the output of U ₃ and the rotation means,
The rotation means is means for rotating the U ₂ downward by 1 byte,
A replacement processing device characterized in that U ₃ and U ₄ are output as replacement processing results z ₁ ′, z ₂ ′,..., Z ₈ ′.

Because
Each said table referring means by _{_{_{x 1, x 2, x 3}}} , x 4, x 5, x 6, x 7, x 8 S1 (x 1), S2 (x 2), S3 (x 3), S4 ( x ₄ ), S 4 (x ₅ ), S 1 (x ₆ ), S 2 (x ₇ ), S 3 (x ₈ )
The exclusive OR operation means performs the exclusive OR operation of the S1 (x ₁ ), S2 (x ₂ ), S3 (x ₃ ), and S4 (x ₄ ) to obtain a result U ₁ ; Means for performing an exclusive OR operation of S4 (x ₅ ), S 1 (x ₆ ), S 2 (x ₇ ), S 3 (x ₈ ) to obtain a result U _2; and exclusive of U ₁ and U ₂ A means for obtaining a result U ₃ by performing an OR operation, and a means for obtaining a result U ₄ by performing an exclusive OR operation on the output of U ₃ and the rotation means,
The rotation means is means for rotating the U ₂ upward by 1 byte,
A replacement processing device characterized in that U ₃ and U ₄ are output as replacement processing results z ₁ ′, z ₂ ′,..., Z ₈ ′.

Because
Each said table referring means by _{_{_{x 1, x 2, x 3}}} , x 4, x 5, x 6, x 7, x 8 S1 (x 1), S2 (x 2), S3 (x 3), S4 ( x ₄ ), S 2 (x ₅ ), S 3 (x ₆ ), S 4 (x ₇ ), and S 1 (x ₈ ).
The exclusive OR operation means performs the exclusive OR operation of the S1 (x ₁ ), S2 (x ₂ ), S3 (x ₃ ), and S4 (x ₄ ) to obtain a result U ₁ ; the _{S2 (x 5), S3 (} x 6), S4 (x 7), means for obtaining the exclusive OR operation to be performed results U ₂ of S1 (x _8), exclusive of said U ₁ and U ₂ A means for obtaining a result U ₃ by performing an OR operation, and a means for obtaining a result U ₄ by performing an exclusive OR operation on the output of U ₃ and the rotation means,
The rotation means is means for rotating the U ₂ downward by 1 byte,
A replacement processing device characterized in that U ₃ and U ₄ are output as replacement processing results z ₁ ′, z ₂ ′,..., Z ₈ ′.

Input data x _1, x _2, ..., with respect to x _8, the output data z ₁ performs a nonlinear transformation and linear transformation ', z _2', ..., the replacement processing unit to obtain the z ₈ ',
The composition vector is

A 32-bit table referenced by x and outputting S5 (x);
The composition vector is

A 32-bit table that is referenced by x and outputs S6 (x);
The composition vector is

A 32-bit table referenced by x and outputting S7 (x);
The composition vector is

A 32-bit table that is referenced by x and outputs S8 (x);
Referring to the above table by x ₁ , x ₂ , x ₃ , x ₄ , x ₅ , x ₆ , x ₇ , x ₈ , S 6 (x ₁ ), S 7 (x ₂ ), S 8 (x ₃ ), S 5 ( _{_{x 4), S5 (x 5}} ), S6 (x 6), S7 (x 7), a table reference means for outputting S8 (x _8),
Means for obtaining a result A by performing an exclusive OR operation of the above S6 (x ₁ ), S7 (x ₂ ), S8 (x ₃ ), S5 (x ₄ );
Means for performing the exclusive OR operation of S5 (x ₅ ), S 6 (x ₆ ), S 7 (x ₇ ), and S 8 (x ₈ ) to obtain a result B;
Means for performing an exclusive OR operation of A and B to obtain C;
Means to rotate A one byte down,
Means for performing an exclusive OR operation on the rotation result and C to obtain a result D;
Means to rotate C up by 1 byte;
Means for performing an exclusive OR operation of the rotation result and D to obtain a result E;
Means for rotating D up by 2 bytes;
Means for performing an exclusive OR operation of the rotation result and E to obtain a result F;
Means for rotating 1 byte below E to obtain the result G;
And F and G are output z ₁ ′, z ₂ ′,..., Z ₈ ′.

A 32-bit table referenced by x and outputting S5 (x);
The composition vector is

A 32-bit table referenced by x and outputting S7 (x);
The composition vector is

A 32-bit table that is referenced by x and outputs S8 (x);
Referring to the table by x ₁ , x ₂ , x ₃ , x ₄ , x ₅ , x ₆ , x ₇ , x ₈ , S 8 (x ₁ ), S 5 (x ₂ ), S 6 (x ₃ ), S 7 ( _{_{x 4), S5 (x 5}} ), S6 (x 6), S7 (x 7), a table reference means for outputting S8 (x _8),
Means for performing an exclusive OR operation of S8 (x ₁ ), S5 (x ₂ ), S6 (x ₃ ), and S7 (x ₄ ) to obtain a result A;
Means for performing the exclusive OR operation of S5 (x ₅ ), S 6 (x ₆ ), S 7 (x ₇ ), and S 8 (x ₈ ) to obtain a result B;
Means for performing an exclusive OR operation of A and B to obtain C;
Means to rotate A up by 1 byte;
Means for performing an exclusive OR operation on the rotation result and C to obtain a result D;
Means to rotate C one byte down,
Means for performing an exclusive OR operation of the rotation result and D to obtain a result E;
Means for rotating D up by 2 bytes;
Means for performing an exclusive OR operation of the rotation result and E to obtain a result F;
Means for performing a 1-byte rotation on E and obtaining a result G;
And F and G are output z ₁ ′, z ₂ ′,..., Z ₈ ′.

A 32-bit table referenced by x and outputting S5 (x);
The composition vector is

A 32-bit table referenced by x and outputting S7 (x);
The composition vector is

A 32-bit table that is referenced by x and outputs S8 (x);
Referring to the above table by x ₁ , x ₂ , x ₃ , x ₄ , x ₅ , x ₆ , x ₇ , x ₈ , S 5 (x ₁ ), S 6 (x ₂ ), S 7 (x ₃ ), S 8 ( _{_{x 4), S5 (x 5}} ), S6 (x 6), S7 (x 7), a table reference means for outputting S8 (x _8),
Means for obtaining the result A by performing an exclusive OR operation of the above S5 (x ₁ ), S6 (x ₂ ), S7 (x ₃ ), S8 (x ₄ );
Means for performing the exclusive OR operation of S5 (x ₅ ), S 6 (x ₆ ), S 7 (x ₇ ), and S 8 (x ₈ ) to obtain a result B;
Means for performing an exclusive OR operation of A and B to obtain C;
Means to rotate A up by 1 byte;
Means for performing an exclusive OR operation on the rotation result and C to obtain a result D;
Means to rotate C one byte down,
Means for performing an exclusive OR operation of the rotation result and D to obtain a result E;
Means for rotating D up by 1 byte;
Means for performing an exclusive OR operation of the rotation result and E to obtain a result F;
Means for performing a 1-byte rotation on E and obtaining a result G;
Means to rotate F down 2 bytes to get H,
A replacement processing device characterized in that H and G are output as z ₁ ′, z ₂ ′,..., Z ₈ ′.

A 32-bit table referenced by x and outputting S5 (x);
The composition vector is

A 32-bit table referenced by x and outputting S7 (x);
The composition vector is

A 32-bit table that is referenced by x and outputs S8 (x);
Referring to the above table by x ₁ , x ₂ , x ₃ , x ₄ , x ₅ , x ₆ , x ₇ , x ₈ , S 5 (x ₁ ), S 6 (x ₂ ), S 7 (x ₃ ), S 8 ( _{_{x 4), S5 (x 5}} ), S6 (x 6), S7 (x 7), a table reference means for outputting S8 (x _8),
Means for performing an exclusive OR operation of S5 (x ₁ ), S6 (x ₂ ), S7 (x ₃ ), and S8 (x ₄ ) to obtain a result A;
Means for performing the exclusive OR operation of S5 (x ₅ ), S 6 (x ₆ ), S 7 (x ₇ ), and S 8 (x ₈ ) to obtain a result B;
Means for performing an exclusive OR operation of A and B to obtain C;
Means to rotate A one byte down,
Means for performing an exclusive OR operation on the rotation result and C to obtain a result D;
Means to rotate C up by 1 byte;
Means for performing an exclusive OR operation of the rotation result and D to obtain a result E;
Means to rotate D down by 1 byte;
Means for performing an exclusive OR operation of the rotation result and E to obtain a result F;
Means for rotating 1 byte below E to obtain the result G;
Means for rotating F up to 2 bytes and obtaining the result H;
A replacement processing device characterized in that H and G are output as z ₁ ′, z ₂ ′,..., Z ₈ ′.

In the replacement processing apparatus according to any one of claims 4 to 7,
A 32-bit table represented by S5 (x) to S8 (x) is referred to by x, an 8-bit table that outputs s (x), and a 4-element vertical matrix having s (x) as one element. A replacement processing apparatus characterized by being implemented in combination with a shift means for logically shifting.

A computer-readable program recording medium recording a program for causing a computer to function as the replacement processing device according to claim 1.