JP4337328B2 - 暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラム - Google Patents
暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラム Download PDFInfo
- Publication number
- JP4337328B2 JP4337328B2 JP2002319206A JP2002319206A JP4337328B2 JP 4337328 B2 JP4337328 B2 JP 4337328B2 JP 2002319206 A JP2002319206 A JP 2002319206A JP 2002319206 A JP2002319206 A JP 2002319206A JP 4337328 B2 JP4337328 B2 JP 4337328B2
- Authority
- JP
- Japan
- Prior art keywords
- data
- truncated
- cryptographic
- processing
- equation
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラムに関する。さらに、詳細には、共通鍵ブロック暗号の安全性・強度を評価するための指標を算出する暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラムに関する。
【０００２】
【従来の技術】
暗号処理アルゴリズムには様々なものがあるが、大きく分類すると、暗号化鍵と復号化鍵を異なる鍵、例えば公開鍵と秘密鍵として設定する公開鍵暗号方式と、暗号化鍵と復号化鍵を共通の鍵として設定する共通鍵暗号方式とに分類される。
【０００３】
共通鍵暗号方式にも様々なアルゴリズムがあるが、その１つに共通鍵をベースとして複数の鍵を生成して、生成した複数の鍵を用いて暗号処理を繰り返し実行する方式がある。このような鍵生成方式を適用したアルゴリズムの代表的なものが共通鍵ブロック暗号方式である。
【０００４】
共通鍵ブロック暗号のアルゴリズムは、主として、ラウンド関数部と鍵スケジュール部とに分けることができる。従来、共通鍵ブロック暗号を設計する際には、鍵関連攻撃等に対する安全性を確保するため、暗号の設計者は、ラウンド鍵間の単純な関係式が成立しないように、注意深く鍵スケジュール部の設計を行うことが要請されてきた。
【０００５】
共通鍵ブロック暗号に対する代表的な攻撃法である差分攻撃および線形攻撃に対する安全性を示すためには、それぞれ最大差分特性確率および最大線形特性確率と呼ばれる暗号系に固有の値を導出し安全性の根拠とする手段が有効である。高い特性確率が存在すると攻撃に利用されてしまうことから、低い特性確率しかもたないようなアルゴリズムを設計することが望まれている。しかしながら一般的にブロックサイズが大きくなるにつれてそれら特性確率を求める計算量が莫大になるため、安全性の評価が困難となっている。
【０００６】
ひとつの代替案としてより取り扱いの容易なトランケイテッド(Truncated)表現されたパスを使って最大差分確率および最大線形確率の上界を求める方法が提案されている。しかしその方式は安全性の下界を示しているもののあくまでも限度を示すものであり実際の暗号系の強度を十分に表現しているものとは言えなかった。またこのような評価法では具体的な値を持つ差分パス、線形近似を用いた攻撃に対する安全性評価が不可能であるという問題がある。
【０００７】
【発明が解決しようとする課題】
本発明は、上述の問題点に鑑みてなされたものであり、トランケイテッド(Truncated)差分パスを用いて上界が導出されたＳＰＮ型のＦ関数を持つ共通鍵ブロック暗号において、その上界に近い特性確率をもつような差分パス、線形近似の導出を可能とする暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラム提供することを目的とする。
【０００８】
本発明ではトランケイテッド差分パスを活用して、具体的な値を持つ差分パス、線形近似を導出する。この手法のメリットとしては、上界に近い確率をもつ差分パス、線形近似を得ることが可能となることである。よって差分攻撃、線形攻撃に対する信頼性の高い安全性評価結果を示すことが可能となる。
【０００９】
【課題を解決するための手段】
本発明の第１の側面は、
暗号強度評価処理装置において実行する暗号処理アルゴリズムの暗号強度指標算出方法であり、
データ処理機能を有する前記暗号強度評価処理装置の解析手段が、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施す解析ステップを有し、
前記解析ステップは、
前記暗号処理部に対するトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パスステップと、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割ステップと、
前記トランケイテッド(Truncated)パスにおいて、前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定ステップと、
前記連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換えステップと、
前記行列置き換えステップによって得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２のデータに対する解の集合を求める解集合算出ステップと、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出ステップと、
を有することを特徴とする暗号強度指標算出方法にある。
【００１０】
さらに、本発明の暗号強度指標算出方法の一実施態様において、前記トランケイテッド(Truncated)パスステップは、トランケイテッド（Truncated）差分パスステップまたは、トランケイテッド（Truncated）線形パスステップの少なくとも１つを有することを特徴とする。
【００１１】
さらに、本発明の暗号強度指標算出方法の一実施態様において、前記トランケイテッド（Truncated）差分パスステップは、前記暗号処理部から抜き出したデータの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てることを特徴とする。
【００１２】
さらに、本発明の暗号強度指標算出方法の一実施態様において、前記トランケイテッド（Truncated）線形パスステップは、前記暗号処理部から抜き出したデータにマスク処理を施すことによりマスク値を生成し、各マスク値がゼロであるか非ゼロであるかに応じて０または１を割り当てることを特徴とする。
【００１３】
さらに、本発明の暗号強度指標算出方法の一実施態様において、前記最大特性確立算出ステップは、最大差分特性確率算出ステップまたは、最大線形特性確率算出ステップの少なくとも１つを有することを特徴とする。
【００１４】
さらに、本発明の第２の側面は、
暗号処理アルゴリズムの暗号強度評価処理装置であり、
共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施す解析手段であり、データ処理機能を有する解析手段を有し、
前記解析手段は、
前記暗号処理部に対してトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パス処理と、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割処理と、
前記トランケイテッド(Truncated)パスにおいて、
前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定処理と、
前記連立一次方程式設定処理において設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換え処理と、
前記行列置き換え処理において得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２データに対する解の集合を求める解集合算出処理と、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出処理と、
を有することを特徴とする暗号強度評価処理装置にある。
【００１７】
さらに、本発明の第３の側面は、
暗号強度評価処理装置において暗号処理アルゴリズムの暗号強度指標算出処理を実行させるコンピュータ・プログラムであり、
暗号強度評価処理装置のプログラム実行部である制御部において、共通鍵ブロック暗号処理アルゴリズムを実行させて、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施させる解析ステップを有し、
前記解析ステップは、
前記暗号処理部に対するトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パスステップと、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割ステップと、
前記トランケイテッド(Truncated)パスにおいて、前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定ステップと、
前記連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換えステップと、
前記行列置き換えステップによって得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２のデータに対する解の集合を求める解集合算出ステップと、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出ステップと、
を含むことを特徴とするコンピュータ・プログラムにある。
【００１９】
【作用】
本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理関数の暗号強度解析において、上界により近い確率のパスを算出することが可能となる。
【００２０】
また、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対して差分データ入力に基づく差分パス解析において、差分データの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)差分パスを入力し、暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、各チェインに含まれるデータに基づく差分解析を実行して差分特性確率：ＤＣＰを計算し、最も高い値を持つ差分特性確率：ＤＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)差分パスＴに対する最大差分特性確率ＭＤＣＰTとして算出することが可能となる。
【００２１】
さらに、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対して、マスク処理データがゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)マスク値を入力し、暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、各チェインに含まれるデータに基づく解析を実行して線形特性確率：ＬＣＰを計算し、最も高い値を持つ線形特性確率：ＬＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)線形パスＴに対する最大線形特性確率ＭＬＣＰTとして算出することが可能となる。
【００２２】
なお、本発明のコンピュータ・プログラムは、例えば、様々なプログラム・コードを実行可能な汎用コンピュータ・システムに対して、コンピュータ可読な形式で提供する記憶媒体、通信媒体、例えば、ＣＤやＦＤ、ＭＯなどの記憶媒体、あるいは、ネットワークなどの通信媒体によって提供可能なコンピュータ・プログラムである。このようなプログラムをコンピュータ可読な形式で提供することにより、コンピュータ・システム上でプログラムに応じた処理が実現される。
【００２３】
本発明のさらに他の目的、特徴や利点は、後述する本発明の実施例や添付する図面に基づくより詳細な説明によって明らかになるであろう。なお、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。
【００２４】
【発明の実施の形態】
以下、本発明の暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラムについて詳細に説明する。
【００２５】
［１．Ｆｅｉｓｔｅｌ構造］
まず、本発明における暗号強度評価処理対象となるＦｅｉｓｔｅｌ構造と呼ばれる代表的な共通鍵ブロック暗号の構造について、図１を参照して説明する。
【００２６】
Ｆｅｉｓｔｅｌ構造は、変換関数の単純な繰り返しにより、平文を暗号文に変換する構造を持つ。平文の長さを２ｍｎビットとする。初めにｍｎビットの２つのデータＰＬ（Plain-Left），ＰＲ(Plain-Right)に分割し、これを入力値とする。
【００２７】
Ｆｅｉｓｔｅｌ構造はラウンド関数とよばれる基本構造の繰り返しで表現され、各ラウンドに含まれるデータ変換関数はＦ関数と呼ばれる。図１の構成では、ラウンド関数がｒ段繰り返された構成例を示している。
【００２８】
ｉ番目のラウンド関数では、前段から入力される２つの入力データＸｉ（＝Ｗｉ），Ｚｉのうち左側のデータＸｉ（＝Ｗｉ）と、鍵生成部（図示せず）から入力されるラウンド鍵ＫｉがＦ関数に入力され、Ｆ関数におけるデータ変換処理の後にデータＹｉを出力する。Ｆ関数の出力はもう片方の入力データＺｉと排他的論理和され、Ｘｉとともに次のラウンド関数へと出力とされる。この処理、すなわちラウンド関数を定められたラウンド数（ｒ）だけ繰り返し適用して暗号化処理が完了し、暗号文の分割データＣＬ（Cipher-Left）、ＣＲ（Cipher-Right）が出力される。
【００２９】
本発明の構成において、各ラウンド関数に設定されるＦ関数は、図２に示すようなＳＰＮ型の構成をもつものとする。ＳＰＮ型のＦ関数は、鍵加算部１２１、非線形変換部１２２、線形変換部１２３により構成される。
【００３０】
例えば、ｉ番目のラウンドのＦ関数に入力されたデータＷｉはまず、ｍ個のｎビットデータＷｉ［１］，Ｗｉ［２］，．．．，Ｗｉ［ｍ］に分割され、同様に分割された鍵データＫｉ［１］，Ｋｉ［２］，．．．，Ｋｉ［ｍ］と、鍵加算部１２１において、それぞれ排他的論理和されＴｉ［１］，Ｔｉ［２］，．．．，Ｔｉ［ｍ］となり、非線形変換部１２２に入力される。
【００３１】
つづいて非線形変換部１２２において、各ｎビットデータＴｉ［１］，Ｔｉ［２］，．．．，Ｔｉ［ｍ］はＳ−ｂｏｘと呼ばれるあらかじめ定められた置換表により変換され、Ｓｉ［１］，Ｓｉ［２］，．．．，Ｓｉ［ｍ］を線形変換部１２３に出力する。
【００３２】
Ｓｉ［１］，Ｓｉ［２］，．．．，Ｓｉ［ｍ］は線形変換部１２３において、線形変換処理が実行され、その出力がＦ関数の出力Ｙｉ［１］，Ｙｉ［２］，．．．，Ｙｉ［ｍ］となる。
【００３３】
線形変換部１２３の具体的線形変換処理例を図３に示す。非線形変換部から入力されたｍ個のｎビットデータＳｉ［１］，Ｓｉ［２］，．．．，Ｓｉ［ｍ］に対してあらかじめ定められた行列の演算の適用により線形変換が施されＹｉ［１］，Ｙｉ［２］，．．．，Ｙｉ［ｍ］に変換される。ただし、このとき各データの行列の要素に対する線形演算はあらかじめ定められた体ＧＦ（２n）上で行われるものとする。
【００３４】
［２．差分パス］
次に、差分パスについて説明する。２つのデータを排他的論理和したときの値をその２つのデータの差分と呼び、本明細書においては、差分を表す場合にはΔ（デルタ）記号をつけて表す。
【００３５】
前述したように、非線形変換部１２２において、鍵加算部１２１からの出力データとしての各ｎビットデータＴｉ［１］，Ｔｉ［２］，．．．，Ｔｉ［ｍ］はＳ−ｂｏｘと呼ばれるあらかじめ定められた置換表により変換され、Ｓｉ［１］，Ｓｉ［２］，．．．，Ｓｉ［ｍ］を線形変換部１２３に出力する。
【００３６】
Ｓ−ｂｏｘには差分確率が定義される。ＤＰｓ（ΔＡ，ΔＢ）をＳ−ｂｏｘに差分ΔＡが入力されたときに差分ΔＢが出力される確率とし、それを差分確率と呼ぶ。ＤＰｓ（ΔＡ，ΔＢ）は実際のＳ−ｂｏｘの置換表を使って以下の（式１）のように計算される。なお、ここでは説明を簡単にするためＳ−ｂｏｘは一種類しか用いていないが、Ｓ−ｂｏｘが複数種類ある場合もそれぞれのＳ−ｂｏｘの置換表を用いて同様に定義される。
【００３７】
【数１３】
【００３８】
図４に、ｒ段のラウンド関数からなる暗号化関数における差分の伝播を表現した差分パスの例を示す。１段目のラウンド関数２１０にΔＸ1，ΔＺ1で表される差分をもつ平文のペアを入力すると、１段目のラウンド関数２１０内のＦ関数２１１の非線形変換部に構成されるＳ−ｂｏｘの差分確率によって計算されるある差分確率ｐ1で差分ΔＸ2，ΔＺ2が次段のラウンド関数へ出力される。
【００３９】
ここではｐiをｉラウンド目の差分確率と呼ぶ。２段目のラウンド関数２２０に、ΔＸ2，ΔＺ2が入力されると差分確率ｐ2で差分ΔＸ3，ΔＺ3へと遷移が起こる。このように暗号化関数全体に対して差分の遷移を具体的に表したものが差分パスとよばれ、各ラウンドにおける差分確率ｐi，（１≦ｉ≦ｒ）をすべて掛け合わせた値を差分特性確率：ＤＣＰと呼び差分暗号化関数に対してΔＸ1，ΔＺ1が入力されたときにΔＣＬ，ΔＣＲが出力される確率を近似的に表す確率として利用する。
【００４０】
しかし、上述の差分パスの適用構成では、暗号化ブロックのビットサイズが増大すると複数のラウンド間の接続関係を考慮して最大の差分特性確率をもつ差分パスを容易に求めることはできなくなる。
【００４１】
［３．トランケイテッド(Truncated)差分パス］
次に本発明の実施例として、上述の差分パス手法の改善手法であるトランケイテッド(Truncated)差分パスを適用した手法について説明する。
【００４２】
トランケイテッド(Truncated)差分とは差分データの表現手法の一つで、差分データをある決められたビット数で区切り、各差分データの差分値がゼロか非ゼロかによって０または１を割り当てたデータである。本明細書においては、δ（スモールデルタ）の記号をつけて表現する。
【００４３】
図５に、図４の差分パスをバイトごとに区切り、トランケイテッド(Truncated)形式で表した例を示す。ここで注意すべき点は図４の差分パスとは具体的な差分値が異なっていてもトランケイテッド(Truncated)表現したときに図５のように表現されるパスは複数存在しているということである。それらをまとめて代表的に表現したものがトランケイテッド(Truncated)差分パスであるといえる。
【００４４】
トランケイテッド(Truncated)差分パスには具体的な値が存在しないのでラウンド関数に対する差分確率のような固有の確率は定義されない。しかしながら、各ラウンド関数内のＦ関数内部でトランケイテッド(Truncated)差分として１が入力されるＳ−ｂｏｘの個数により差分確率の上界を求めることが可能となる。
【００４５】
複数段のラウンド関数によって構成される暗号化関数全体についても同様にすべてのＳ−ｂｏｘのなかでトランケイテッド(Truncated)差分１が入力されるＳ−ｂｏｘの個数をカウントすることで、このトランケイテッド(Truncated)差分パスに含まれる差分パスのもつ差分確率の上界を導出することができる。具体的にはトランケイテッド(Truncated)差分パスの中に含まれるトランケイテッド(Truncated)差分として１が入力されるＳ−ｂｏｘの数をａとし、Ｓ−ｂｏｘの最大差分確率をｐｓmaxとすると、差分特性確率の上界Ｕは、以下の（式２）によって示される。
【００４６】
【数１４】
Ｕ＝ｐｓmax a ．．．（式２）
【００４７】
このようにトランケイテッド(Truncated)差分パスから、トランケイテッド(Truncated)差分として１が入力されるＳ−ｂｏｘの数［ａ］を調べることで差分特性確率の上界がわかり安全性の評価を得ることができる。
【００４８】
トランケイテッド(Truncated)差分を用いるメリットとしては通常の差分と比べてデータ量が格段に縮約されており、現実的に処理可能な時間で探索を行うアルゴリズムが構築できるという点である。
【００４９】
なお、ＳＰＮ型のＦ関数をもつＦｅｉｓｔｅｌ暗号の場合、数多くのトランケイテッド(Truncated)差分パスの中からもっとも高い上界をもつトランケイテッド(Truncated)差分パスをもとめる効率的なアルゴリズムについては、例えば、T. Shirai, S. Kanamaru and G. Abe, "Improved Upper Bounds of Differential and Linear Characteristic Probability for Camellia", Fast Software Encryption, FSE 2002, LNCS2365（論文１）に記述されている。
【００５０】
［４．線形パス］
次に、線形パスについて説明する。あるデータに対して特定の位置のビットを抜き出してきて、抜き出されたビットすべての排他的論理和をとり１ビットの値を得る処理をマスク処理と呼び、そのとき特定の位置を表す情報をマスク値と呼ぶ。マスク値は対象データと同じ長さのビット列で表現され、取り出すビット位置に１を、取り出さない位置に０を対応させる。たとえばビット列［０１０１１０１１］に対してマスク値［１０１０１０１０］を施すと１，３，５，７番目のビットを取り出して排他的論理和するので、下式（式３）の結果が得られる。
【００５１】
【数１５】
【００５２】
なお、本明細書においては、マスク値を表現するときにはΓ（ガンマ）を用いて表すものとする。各ラウンド関数のＦ関数における非線形変換部に設定されるＳ−ｂｏｘには線形確率が定義される。Ｓ−ｂｏｘの入力値にマスクΓＡが、出力値にマスクΓＢが施されたとき、それぞれの結果の排他的論理和が０となる確率をｌ（ΓＡ，ΓＢ）とすると、確率：ｌ（ΓＡ，ΓＢ）は、以下の（式４）に従って計算される。
【００５３】
【数１６】
【００５４】
また、特にＳ−ｂｏｘの線形確率ＬＰ，（ΓＡ，ΓＢ）を以下の（式５）に示すように定義する。
【００５５】
【数１７】
【００５６】
図６を参照して、複数段のラウンド関数によって構成される暗号化関数に対してマスク処理を施した処理、すなわち線形近似処理例を説明する。１段目のラウンド関数４１０の入力値に対してΓＸ1，ΓＺ1で表されるマスク処理を施されて得られる値と、１段目のラウンド関数の出力に対してΓＸ2，ΓＺ2で表されるマスク処理を施されて得られる結果を排他的論理和した値が０となる確率をｑ1としそのマスク値に対するの線形確率と呼ぶ。ｑ1は、１段目のラウンド関数４１０のＦ関数４１１の非線形変換部に構成されるＳ−ｂｏｘの線形確率から計算することができる。
【００５７】
また、同様に２段目のラウンド関数４２０の入力値に対してΓＸ2，ΓＺ2で表されるマスク処理を施されて得られる値と、２段目のラウンド関数の出力に対してΓＸ3ΓＺ3で表されるマスク処理を施されて得られる結果を排他的論理和した値が０となる確率をｑ2とすると、マスク値に対するの線形確率ｑ2は、２段目のラウンド関数４２０のＦ関数４２１の非線形変換部に構成されるＳ−ｂｏｘの線形確率から計算することができる。以降のラウンド関数のマスク値に対しても、それぞれｑiが計算される。
【００５８】
このとき複数段のラウンド関数によって構成される暗号化関数全体に着目して、一段目のラウンド関数の入力値に対してマスク値ΓＸ1，ΓＺ1が施されて得られる値とｒ段目のラウンド関数の出力に対してマスク値ΓＣＬ，ΓＣＲが施されて得られる値を排他的論理和した値が０となる確率ｑは、各ラウンドで定義されたｑiを利用すると以下の（式６）に示すようになる。
【００５９】
【数１８】
【００６０】
また、線形特性確率ＬＣＰを、以下の（式７）に示すように定義する。
【００６１】
【数１９】
【００６２】
このように複数段のラウンド関数によって構成される暗号化関数全体に対してマスク値の対応を具体的に表したものが線形近似とよばれ、線形特性確率は安全性の評価指標として利用される。
【００６３】
しかし、前述の差分特性確率と同様、暗号化ブロックのビットサイズが増大すると複数のラウンド間の接続関係を考慮して最大の線形特性確率をもつ線形近似を容易に求めることはできなくなる。
【００６４】
［５．トランケイテッド(Truncated)線形パス］
次に本発明の実施例として、上述の線形パス手法の改善手法であるトランケイテッド(Truncated)マスクを適用した手法について説明する。
【００６５】
トランケイテッド(Truncated)マスクとはマスク値の表現手法の一つで、マスク値をある決められたビット数で区切り、各マスク値がゼロか非ゼロかによって０または１を割り当てたデータである。本明細書においては、γ（スモールガンマ）の記号をつけて示すものとする。
【００６６】
図７に、図６の線形近似をバイトごとに区切ったトランケイテッド(Truncated)形式で表した図を示す。なお、図６の線形近似とは具体的なマスク値が異なっていてもトランケイテッド(Truncated)表現したときに図７のように表現される線形近似は複数存在している。それらをまとめて代表的に表現したものがトランケイテッド(Truncated)線形パスである。
【００６７】
トランケイテッド(Truncated)線形パスには具体的な値が存在しないのでラウンド関数に対する線形確率のような固有の確率は定義されない。しかし暗号化関数全体のＳ−ｂｏｘのなかでトランケイテッド(Truncated)マスクとして１が入力されるＳ−ｂｏｘの個数をカウントすることで、このトランケイテッド(Truncated)線形パスに含まれる線形パスのもつ差分特性確率の上界をもとめることができる。
【００６８】
具体的には、トランケイテッド(Truncated)線形パスの中に含まれるトランケイテッド(Truncated)マスクとして１が入力されるＳ−ｂｏｘの数をｂとし、Ｓ−ｂｏｘの最大線形確率をｑｓmaxとすると、線形特性確率の上界Ｕは、下式（式８）によって定義される。
【００６９】
【数２０】
Ｕ＝ｑｓmax b ．．．（式８）
【００７０】
上記式に基づいて上界を知ることで安全性の評価を得ることができる。
【００７１】
トランケイテッド(Truncated)マスクを用いるメリットとしては通常のマスク値と比べてデータ量が格段に縮約されており、現実的な時間で探索を行うアルゴリズムが構築できるという点である。なお、差分パスの場合と同様にＳＰＮ型のＦ関数をもつＦｅｉｓｔｅｌ暗号の場合、数多くのトランケイテッド(Truncated)線形パスの中からもっとも高い上界をもつトランケイテッド(Truncated)線形パスをもとめる効率的なアルゴリズムが、前述の（論文１）に記載されている。
【００７２】
［６．具体的な差分パス、線形近似の導出法］
次に、本発明の実施例であるトランケイテッド(Truncated)差分パスと、トランケイテッド(Truncated)線形パスからその上界に近い特性確率を持つ具体的な差分パスや線形近似を求めるアルゴリズム、すなわち、トランケイテッド(Truncated)差分パスあるいは、トランケイテッド(Truncated)線形パスに基づいて、暗号強度指標値を算出する処理アルゴリズムについて説明する。
【００７３】
図８、図９のフローチャートを参照して、トランケイテッド(Truncated)差分パスに基づいて、暗号強度指標値を算出する処理アルゴリズムについて説明する。
【００７４】
まず、ステップＳ１０１において、複数段のラウンド関数部を持つ暗号処理関数に対して、トランケイテッド(Truncated)差分パスＴを入力する。ステップＳ１０２において、ＳＰＮ型のＦ関数を持つ共通鍵ブロック暗号を左右の２つの部分に分割する。左部分をレフトチェイン（Left Chain）、右部分をライトチェイン（Right Chain）と呼ぶ。
【００７５】
ライトチェイン（Right Chain）に含まれるデータは、右側半分の平文（ＰＲ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i-1）、同様に、各ラウンド関数のＦ関数内の線形変換部出力であるＹiの半分の出力Ｙ2i-1と、次ラウンドへの入力値としてのＸiの半分の入力値（Ｘ2i）である。同様に、レフトチェイン（Left Chain）に含まれるデータは、左側半分の平文（ＰＬ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i）、同様に、各ラウンド関数のＦ関数内の線形変換部出力であるＹiの半分の出力Ｙ2iと、次ラウンドへの入力値としてのＸiの半分の入力値（Ｘ2i-1）である。
【００７６】
すなわち、ライトチェイン（Right Chain）に含まれるデータは、
ＰＲ，Ｓ2i-1，Ｙ2i-1，Ｘ2i（１≦ｉ≦ｒ／２）、
レフトチェイン（Left Chain）に含まれるデータは、
ＰＬ，Ｓ2i，Ｙ2i，Ｘ2i-1（１≦ｉ≦ｒ／２）である。
【００７７】
ステップＳ１０３において、ＳＰＮ型のＦ関数の性質に基づいて、ライトチェイン（Right Chain）の差分ΔＹ2i-1，ΔＸ2i（１≦ｉ≦ｒ／２）の各ｎビットデータ：ΔＹ2i-1［ｊ］，ΔＸ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を、差分：ΔＰＲ［ｊ］，ΔＳ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を用いて以下の等式（式９）に示すように示す。なお、以下の等式の総数はｍｒ個である。
【００７８】
【数２１】
【００７９】
ステップＳ１０４において、上記式に含まれるすべてのｎビット差分：ΔＰＲ［ｊ］，ΔＳ2i-1［ｊ］，ΔＹ2i-1［ｊ］，ΔＸ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を変数とみなし、トランケイテッド(Truncated)差分パスにおいて、各変数に対応するトランケイテッド(Truncated)差分が０となっている変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られるｍｒ個の式を斉次連立一次方程式として設定する。
【００８０】
ステップＳ１０５において、連立一次方程式を以下の式（式１０）に示すように係数行列Ｍと変数ベクトルνで表現する。
【００８１】
【数２２】
Ｍν＝０．．．．．（式１０）
【００８２】
ステップＳ１０６において、行列Ｍに対して行変形を行い変換行列（エセロンマトリックス：reduced row-echelon matrix）を求める。
なお、変換行列（reduced row-echelon matrix）は、以下の条件を満足する行列である。
（条件１）０のみからなる行（もしあるならば）は行列の最下部にある。
（条件２）各行を左から見てはじめの非ゼロの行の要素は１である（この１をリーディング１（leading1））。
（条件３）それぞれのリーディング１（leading1）はそれより上の行にあるリーディング１（leading1）１よりも右に存在する。
（条件４）リーディング１（leading1）の含まれる列はそのリーディング１（leading1）１以外の要素はすべて０である。
なお、任意の行列は行の有限回の基本変形により変換行列（reduced row-echelon matrix）に変換することが可能である。
【００８３】
さらに、ステップＳ１０６では、得られた変換行列のランクをｒａｎｋ，行列の列数をｃとし、（ｃ−ｒａｎｋ）個の自由変数とｒａｎｋ個の従属変数を取得する。
【００８４】
次に、ステップＳ１０７において、自由変数の取りうる値によって得られる連立方程式の解の集合をＳとし、ライトチェイン（Right Chain）に対する解の集合：Ｓを求める。
【００８５】
さらに、ステップＳ１０８において、ステップＳ１０３〜Ｓ１０７の処理を、レフトチェイン（Left Chain）の差分ΔＹ2i，ΔＸ2i-1（１≦ｉ≦ｒ／２）について同様の処理を実行し、レフトチェイン（Left Chain）に対する解の集合Ｓ≡を取得する。
【００８６】
ステップＳ１０９において、ライトチェイン（Right Chain）に対する解の集合：Ｓとレフトチェイン（Left Chain）に対する解の集合：Ｓ’すべての解の候補の組み合わせに対し、以下のように差分特性確率：ＤＣＰを計算し、最も高い値を持つ差分特性確率：ＤＣＰを、そのトランケイテッド(Truncated)差分パスＴに対する最大差分特性確率ＭＤＣＰTとする。
【００８７】
なお、トランケイテッド(Truncated)差分が１であるＳ−ｂｏｘの個数をａ個とし、それぞれＳ−ｂｏｘの入出力をΔｘi，Δｙi（ｉ≦ｉ≦ａ）とする。差分特性確率ＤＣＰは、下式（式１１）によって定義される。
【００８８】
【数２３】
【００８９】
ステップＳ１１０において、最大差分特性確率ＭＤＣＰTの値を暗号強度指標値とする。最大差分特性確率ＭＤＣＰTの値が大きいほど、暗号解読が容易であり、暗号強度は弱く、最大差分特性確率ＭＤＣＰTの値が小さいほど暗号解読が困難であり、暗号強度が高いと判定することができる。
【００９０】
図８、図９を参照して説明した処理は、トランケイテッド(Truncated)差分パスに基づく解析処理である。これに対して、トランケイテッド(Truncated)線形パスからその上界に近い特性確率を持つ具体的な線形近似を求める場合は、入力されるトランケイテッド(Truncated)線形パスＴ’を用いて、そのパスにおける最大線形特性確率ＭＬＣＰTを、上記のアルゴリズムと同様の処理に従って計算することができる。
【００９１】
なお、その際、線形変換層におけるマスク値変換を行う行列を用い、マスク値ΓＰＲ［ｊ］，ΓＳ2i-1［ｊ］，ΓＴ2i［ｊ］，ΓＺ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）の間に成り立つ一次式を構成し、Ｓ−ｂｏｘの差分確率ＤＰｓ（Δｘi，Δｙi）をＳ−ｂｏｘの線形確率ＬＰｓ（Γｘi，Γｙi）に置き換えて処理を実行する。
【００９２】
共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対してマスク処理データを入力して、トランケイテッド(Truncated)線形パスからその上界に近い特性確率を持つ具体的な線形近似を求める場合の処理について説明する。
【００９３】
線形パス解析ステップは、下記の処理ステップによって構成される。
（Ｓ０１）マスク処理データがゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)マスク値を入力するトランケイテッド(Truncated)線形パス入力ステップ、
（Ｓ０２）暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割する分割ステップ、
【００９４】
（Ｓ０３）ライトチェインに含まれるデータ、すなわち、右側半分の入力平文（ＰＲ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i-1）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）入力であるＴiの半分の入力（Ｔ2i）、次ラウンドへの入力値としてのＺiの半分の入力値（Ｚ2i-1）について、入力平文を２ｍｎビットとし、ラウンド数ｒとしたとき、ライトチェイン（Right Chain）のマスク値ΓＺ2i-1，ΓＳ2i-1（１≦ｉ≦ｒ／２）の各ｎビットデータ：ΓＺ2i-1［ｊ］，ΓＳ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を、マスク値：ΓＰＲ［ｊ］，ΓＴ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を用いた等式としてｍｎ個の等式を設定する等式設定ステップ、
【００９５】
（Ｓ０４）等式設定ステップにおいて設定された等式に含まれるすべてのｎビット差分：ΓＰＲ［ｊ］，ΓＳ2i-1［ｊ］，ΓＴ2i［ｊ］，ΓＺ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を変数とみなし、トランケイテッド(Truncated)線形パスにおいて、各変数に対応するトランケイテッド(Truncated)マスク値が０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られるｍｒ個の式を斉次連立一次方程式として設定する連立一次方程式設定ステップ、
【００９６】
（Ｓ０５）連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列Ｍと変数ベクトルνで、Ｍν＝０と置きかえる行列置き換えステップ、
（Ｓ０６）行列Ｍに対して行変形を行い変換行列（エセロンマトリックス：reduced row-echelon matrix）を求める変換行列算出ステップ、
【００９７】
（Ｓ０７）変換行列算出ステップにおいて得られた変換行列のランク（ｒａｎｋ）、変換行列の列数（ｃ）としたとき、（ｃ−ｒａｎｋ）個の自由変数とｒａｎｋ個の従属変数を取得する変数取得ステップ、
（Ｓ０８）自由変数の取りうる値によって得られる連立方程式の解の集合をＳとし、ライトチェイン（Right Chain）に対する解の集合：Ｓを求める解集合算出ステップ、
（Ｓ０９）等式設定ステップ乃至解集合算出ステップをレフトチェイン（Left Chain）のマスク値ΓＺ2i，ΓＳ2i（１≦ｉ≦ｒ／２）データに対して実行し、レフトチェイン（Left Chain）に対する解の集合：Ｓ’を求める第２の解集合算出ステップ、
【００９８】
（Ｓ１０）ライトチェイン（Right Chain）に対する解の集合：Ｓとレフトチェイン（Left Chain）に対する解の集合：Ｓ’すべての解の候補の組み合わせに対して線形特性確率：ＬＣＰを計算し、最も高い値を持つ線形特性確率：ＬＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)線形パスＴに対する最大線形特性確率ＭＬＣＰTとして算出する最大線形特性確率算出ステップである。
【００９９】
なお、最大線形特性確率算出ステップにおいて、トランケイテッド(Truncated)差分＝１が入力されるＳ−ｂｏｘの個数をａ個とし、それぞれＳ−ｂｏｘの入出力をΓｘi，Γｙi（ｉ≦ｉ≦ａ）としたとき、前記差分特性確率ＬＣＰを、下式（式１２）によって定義される。
【０１００】
【数２４】
【０１０１】
ただし、ＬＰｓ（ΓＡ，ΓＢ）は、下式（式１３）によって定義される確率とする。
【０１０２】
【数２５】
【０１０３】
処理結果として取得される最大線形特性確率ＭＬＣＰTを、暗号強度指標値とする。最大差分特性確率ＭＬＣＰTの値が大きいほど、暗号解読が容易であり、暗号強度は弱く、最大差分特性確率ＭＬＣＰTの値が小さいほど暗号解読が困難であり、暗号強度が高いと判定することができる。
【０１０４】
［システム構成例］
上述の実施例で述べた暗号強度指標算出処理に伴う一連の処理は、ハードウェア、ソフトウェアの組合わせにより行うことができる。即ち、汎用のコンピュータや、マイクロコンピュータにプログラムを実行させることにより行う構成とすることが可能である。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムが、例えば汎用のコンピュータや１チップのマイクロコンピュータ等にインストールされる。図１０は、上述した一連の処理を実行するプログラムをインストール子実行可能なコンピュータの一実施形態としての構成例を示している。
【０１０５】
図１０に示すシステム構成例は１つの例であり、システムは、ここに示すべての機能を必ずしも備えることが要求されるものではない。図１０に示すＣＰＵ(Central processing Unit)５０１は、上述したアルゴリズムに従ったプログラムやその他の各種アプリケーションプログラム、ＯＳ（Operating System）を実行するプロセッサである。ＲＯＭ（Read-Only-Memory）５０２は、ＣＰＵ５０１が実行するプログラム、あるいは演算パラメータとしての固定データを格納する。ＲＡＭ（Random Access Memory）５０３は、ＣＰＵ５０１の処理において実行されるプログラム、およびプログラム処理において適宜変化するパラメータの格納エリア、ワーク領域として使用される。
【０１０６】
ＨＤＤ５０４はハードディスクの制御を実行し、ハードディスクに対する各種データ、プログラムの格納処理および読み出し処理を実行する。暗号処理手段５０５は、データの暗号処理、復号処理等を実行する。なお、ここでは、暗号処理手段を個別モジュールとした例を示したが、このような独立した暗号処理モジュールを設けず、例えば暗号処理プログラムをＲＯＭ５０２に格納し、ＣＰＵ５０１がＲＯＭ格納プログラムを読み出して実行するように構成してもよい。メモリ（セキュアモジュール）５０６は例えば耐タンパ構造を持つメモリとして構成され、暗号処理に必要な鍵データ等の格納領域として使用可能である。なお、これらのデータは、他のメモリ領域、記憶媒体に格納することも可能である。
【０１０７】
バス５２１はＰＣＩ（Peripheral Component Internet/Interface）バス等により構成され、各モジュール、入出力インタフェース１２２を介した各入手力装置とのデータ転送を可能にしている。
【０１０８】
入力部５１１は、例えばキーボード、ポインティングデバイス、あるいはその他のデータ入力手段によって構成され、ＣＰＵ５０１に各種のデータあるいはコマンドを入力する。出力部５１２は、例えばＣＲＴ、液晶ディスプレイ等であり、各種情報をテキストまたはイメージ等により表示する。
【０１０９】
通信部５１３はシステムの接続したエンティテイ、例えば暗号データの通信エンティテイとの通信処理を実行し、ＣＰＵ５０１の制御の下に、各記憶部から供給されたデータ、あるいはＣＰＵ５０１によって処理されたデータ、暗号化されたデータ等を送信したり、他エンティテイからのデータを受信する処理を実行する。
【０１１０】
ドライブ５１４は、フレキシブルディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)，ＭＯ(Magneto optical)ディスク，ＤＶＤ(Digital Versatile Disc)、磁気ディスク、半導体メモリなどのリムーバブル記録媒体５１５の記録再生を実行するドライブであり、各リムーバブル記録媒体５１５からのプログラムまたはデータ再生、リムーバブル記録媒体５１５に対するプログラムまたはデータ格納を実行する。
【０１１１】
各記憶媒体に記録されたプログラムまたはデータを読み出してＣＰＵ５０１において実行または処理を行なう場合は、読み出したプログラム、データはインタフェース５２２、バス５２１を介して例えば接続されているＲＡＭ５０３に供給される。
【０１１２】
先にフロー図を参照した処理を実行するためのプログラムは例えばＲＯＭ５０２に格納されてＣＰＵ５０１によって処理されるか、あるいはハードディスクに格納され、ハードディスクから読み出されてＣＰＵ５０１により実行される。
【０１１３】
図１０に示すシステムを暗号強度評価処理装置として適用する場合には、ＣＰＵ５０１が差分パス解析手段、あるいは線形パス解析手段として機能する。例えばＣＰＵ５０１が差分パス解析手段として、データ解析処理を実行する場合のシステムにおける処理について説明する。
【０１１４】
図１０に示すシステムにおいて、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部を暗号処理手段５０５に設定し、その暗号処理部の強度解析を行なう場合を想定する。
【０１１５】
ＣＰＵ５０１の制御の下、差分データの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)差分パスを暗号処理手段５０５に入力する。次に、差分パス解析手段としてのＣＰＵ５０１の制御の下に、暗号処理手段５０５におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割する分割し、ライトチェインに含まれるデータ、すなわち、右側半分の入力平文（ＰＲ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i-1）、各ラウンド関数のＦ関数内の線形変換部出力であるＹiの半分の出力Ｙ2i-1、次ラウンドへの入力値としてのＸiの半分の入力値（Ｘ2i）について、入力平文を２ｍｎビットとし、ラウンド数ｒとしたとき、ライトチェイン（Right Chain）の差分ΔＹ2i-1，ΔＸ2i（１≦ｉ≦ｒ／２）の各ｎビットデータ：ΔＹ2i-1［ｊ］，Ｘ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を、差分：ΔＰＲ［ｊ］，ΔＳ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を用いた等式としてｍｎ個の等式を設定し、設定等式に含まれるすべてのｎビット差分：ΔＰＲ［ｊ］，ΔＳ2i-1［ｊ］，ΔＹ2i-1［ｊ］，Ｘ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を変数とみなし、トランケイテッド(Truncated)差分パスにおいて、各変数に対応するトランケイテッド(Truncated)差分が０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られるｍｒ個の式を斉次連立一次方程式として設定し、連立一次方程式設定処理において設定した連立一次方程式を係数行列Ｍと変数ベクトルνで、Ｍν＝０と置きかえる行列置き換えを実行し、行列Ｍに対して行変形を行い変換行列（エセロンマトリックス：reduced row-echelon matrix）を求め、変換行列のランク（ｒａｎｋ）、変換行列の列数（ｃ）としたとき、（ｃ−ｒａｎｋ）個の自由変数とｒａｎｋ個の従属変数を取得し、自由変数の取りうる値によって得られる連立方程式の解の集合をＳとし、ライトチェイン（Right Chain）に対する解の集合：Ｓを求める。
【０１１６】
また、上述の等式設定乃至解集合算出処理をレフトチェイン（Left Chain）の差分ΔＹ2i，ΔＸ2i-1（１≦ｉ≦ｒ／２）データに対して実行し、レフトチェイン（Left Chain）に対する解の集合：Ｓ’を求め、ライトチェイン（Right Chain）に対する解の集合：Ｓとレフトチェイン（Left Chain）に対する解の集合：Ｓ’すべての解の候補の組み合わせに対して差分特性確率：ＤＣＰを計算し、最も高い値を持つ差分特性確率：ＤＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)差分パスＴに対する最大差分特性確率ＭＤＣＰTとして算出する処理を実行する。
【０１１７】
また、ＣＰＵ５０１が線形パス解析手段として、データ解析処理を実行する場合には、図１０に示すシステムにおいて、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部を暗号処理手段５０５に設定し、マスク処理データがゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)マスク値を入力する。
【０１１８】
次に、前記暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、ライトチェインに含まれるデータ、すなわち、右側半分の入力平文（ＰＲ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i-1）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）入力であるＴiの半分の入力（Ｔ2i）、次ラウンドへの入力値としてのＺiの半分の入力値（Ｚ2i-1）について、入力平文を２ｍｎビットとし、ラウンド数ｒとしたとき、ライトチェイン（Right Chain）のマスク値ΓＺ2i-1，ΓＳ2i-1（１≦ｉ≦ｒ／２）の各ｎビットデータ：ΓＺ2i-1［ｊ］，ΓＳ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を、マスク値：ΓＰＲ［ｊ］，ΓＴ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を用いた等式としてｍｎ個の等式を設定する。
【０１１９】
次に、等式設定処理において設定された等式に含まれるすべてのｎビット差分：ΓＰＲ［ｊ］，ΓＳ2i-1［ｊ］，ΓＴ2i［ｊ］，ΓＺ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を変数とみなし、トランケイテッド(Truncated)線形パスにおいて、各変数に対応するトランケイテッド(Truncated)マスク値が０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られるｍｒ個の式を斉次連立一次方程式として設定する。
【０１２０】
さらに、連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列Ｍと変数ベクトルνで、Ｍν＝０と置きかえ、行列Ｍに対して行変形を行い変換行列（エセロンマトリックス：reduced row-echelon matrix）を求め、得られた変換行列のランク（ｒａｎｋ）、変換行列の列数（ｃ）としたとき、（ｃ−ｒａｎｋ）個の自由変数とｒａｎｋ個の従属変数を取得する。さらに、自由変数の取りうる値によって得られる連立方程式の解の集合をＳとし、ライトチェイン（Right Chain）に対する解の集合：Ｓを求める。
【０１２１】
さらに、等式設定処理乃至解集合算出処理をレフトチェイン（Left Chain）のマスク値ΓＺ2i，ΓＳ2i（１≦ｉ≦ｒ／２）データに対して実行し、レフトチェイン（Left Chain）に対する解の集合：Ｓ’を求める。
【０１２２】
さらに、ライトチェイン（Right Chain）に対する解の集合：Ｓとレフトチェイン（Left Chain）に対する解の集合：Ｓ’すべての解の候補の組み合わせに対して線形特性確率：ＬＣＰを計算し、最も高い値を持つ線形特性確率：ＬＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)線形パスＴに対する最大線形特性確率ＭＬＣＰTとして算出する処理を実行する。
【０１２３】
以上、特定の実施例を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施例の修正や代用を成し得ることは自明である。すなわち、例示という形態で本発明を開示してきたのであり、限定的に解釈されるべきではない。本発明の要旨を判断するためには、冒頭に記載した特許請求の範囲の欄を参酌すべきである。
【０１２４】
なお、明細書中において説明した一連の処理はハードウェア、またはソフトウェア、あるいは両者の複合構成によって実行することが可能である。ソフトウェアによる処理を実行する場合は、処理シーケンスを記録したプログラムを、専用のハードウェアに組み込まれたコンピュータ内のメモリにインストールして実行させるか、あるいは、各種処理が実行可能な汎用コンピュータにプログラムをインストールして実行させることが可能である。
【０１２５】
例えば、プログラムは記憶媒体としてのハードディスクやＲＯＭ（Read Only Memory)に予め記録しておくことができる。あるいは、プログラムはフレキシブルディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)，ＭＯ(Magneto optical)ディスク，ＤＶＤ(Digital Versatile Disc)、磁気ディスク、半導体メモリなどのリムーバブル記録媒体に、一時的あるいは永続的に格納（記録）しておくことができる。このようなリムーバブル記録媒体は、いわゆるパッケージソフトウエアとして提供することができる。
【０１２６】
なお、プログラムは、上述したようなリムーバブル記録媒体からコンピュータにインストールする他、ダウンロードサイトから、コンピュータに無線転送したり、ＬＡＮ(Local Area Network)、インターネットといったネットワークを介して、コンピュータに有線で転送し、コンピュータでは、そのようにして転送されてくるプログラムを受信し、内蔵するハードディスク等の記憶媒体にインストールすることができる。
【０１２７】
なお、明細書に記載された各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。
【０１２８】
【発明の効果】
以上、説明したように、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理関数の暗号強度解析において、上界により近い確率のパスを算出することが可能となる。
【０１２９】
また、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対して差分データ入力に基づく差分パス解析において、差分データの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)差分パスを入力し、暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、各チェインに含まれるデータに基づく差分解析を実行して差分特性確率：ＤＣＰを計算し、最も高い値を持つ差分特性確率：ＤＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)差分パスＴに対する最大差分特性確率ＭＤＣＰTとして算出することが可能となる。
【０１３０】
さらに、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対して、マスク処理データがゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)マスク値を入力し、暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、各チェインに含まれるデータに基づく解析を実行して線形特性確率：ＬＣＰを計算し、最も高い値を持つ線形特性確率：ＬＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)線形パスＴに対する最大線形特性確率ＭＬＣＰTとして算出することが可能となる。
【図面の簡単な説明】
【図１】Ｆｅｉｓｔｅｌ構造と呼ばれる代表的な共通鍵ブロック暗号の構造について説明する図である。
【図２】各ラウンド関数に設定されるＦ関数としてのＳＰＮ型の構成を説明する図である。
【図３】線形変換部の具体的線形変換処理例を示す図である。
【図４】ｒ段のラウンド関数からなる暗号化関数における差分の伝播を表現した差分パスの例を示す図である。
【図５】図４の差分パスをバイトごとに区切り、トランケイテッド(Truncated)形式で表した例を示す図である。
【図６】複数段のラウンド関数によって構成される暗号化関数に対する線形近似による処理例を説明する図である。
【図７】図６の線形近似をバイトごとに区切ったトランケイテッド(Truncated)形式で表した図をである。
【図８】トランケイテッド(Truncated)差分パスに基づいて、暗号強度指標値を算出する処理アルゴリズムを示すフロー図である。
【図９】トランケイテッド(Truncated)差分パスに基づいて、暗号強度指標値を算出する処理アルゴリズムを示すフロー図である。
【図１０】暗号強度指標算出に伴う一連の処理を実行するシステム構成例を示す図である。
【符号の説明】
１２１ 鍵加算部
１２２ 非線形変換部
１２３ 線形変換部
２１０ ラウンド関数
２１１ Ｆ関数
２２０ ラウンド関数
２２１ Ｆ関数
４１０ ラウンド関数
４１１ Ｆ関数
４２０ ラウンド関数
４２１ Ｆ関数
５０１ ＣＰＵ
５０２ ＲＯＭ
５０３ ＲＡＭ
５０４ ＨＤＤ
５０５ 暗号処理手段
５０６ メモリ
５１１ 入力部
５１２ 出力部
５１３ 通信部
５１４ リムーバブル記憶媒体
５２１ バス
５２２ 入出力インタフェース
【発明の属する技術分野】
本発明は、暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラムに関する。さらに、詳細には、共通鍵ブロック暗号の安全性・強度を評価するための指標を算出する暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラムに関する。
【０００２】
【従来の技術】
暗号処理アルゴリズムには様々なものがあるが、大きく分類すると、暗号化鍵と復号化鍵を異なる鍵、例えば公開鍵と秘密鍵として設定する公開鍵暗号方式と、暗号化鍵と復号化鍵を共通の鍵として設定する共通鍵暗号方式とに分類される。
【０００３】
共通鍵暗号方式にも様々なアルゴリズムがあるが、その１つに共通鍵をベースとして複数の鍵を生成して、生成した複数の鍵を用いて暗号処理を繰り返し実行する方式がある。このような鍵生成方式を適用したアルゴリズムの代表的なものが共通鍵ブロック暗号方式である。
【０００４】
共通鍵ブロック暗号のアルゴリズムは、主として、ラウンド関数部と鍵スケジュール部とに分けることができる。従来、共通鍵ブロック暗号を設計する際には、鍵関連攻撃等に対する安全性を確保するため、暗号の設計者は、ラウンド鍵間の単純な関係式が成立しないように、注意深く鍵スケジュール部の設計を行うことが要請されてきた。
【０００５】
共通鍵ブロック暗号に対する代表的な攻撃法である差分攻撃および線形攻撃に対する安全性を示すためには、それぞれ最大差分特性確率および最大線形特性確率と呼ばれる暗号系に固有の値を導出し安全性の根拠とする手段が有効である。高い特性確率が存在すると攻撃に利用されてしまうことから、低い特性確率しかもたないようなアルゴリズムを設計することが望まれている。しかしながら一般的にブロックサイズが大きくなるにつれてそれら特性確率を求める計算量が莫大になるため、安全性の評価が困難となっている。
【０００６】
ひとつの代替案としてより取り扱いの容易なトランケイテッド(Truncated)表現されたパスを使って最大差分確率および最大線形確率の上界を求める方法が提案されている。しかしその方式は安全性の下界を示しているもののあくまでも限度を示すものであり実際の暗号系の強度を十分に表現しているものとは言えなかった。またこのような評価法では具体的な値を持つ差分パス、線形近似を用いた攻撃に対する安全性評価が不可能であるという問題がある。
【０００７】
【発明が解決しようとする課題】
本発明は、上述の問題点に鑑みてなされたものであり、トランケイテッド(Truncated)差分パスを用いて上界が導出されたＳＰＮ型のＦ関数を持つ共通鍵ブロック暗号において、その上界に近い特性確率をもつような差分パス、線形近似の導出を可能とする暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラム提供することを目的とする。
【０００８】
本発明ではトランケイテッド差分パスを活用して、具体的な値を持つ差分パス、線形近似を導出する。この手法のメリットとしては、上界に近い確率をもつ差分パス、線形近似を得ることが可能となることである。よって差分攻撃、線形攻撃に対する信頼性の高い安全性評価結果を示すことが可能となる。
【０００９】
【課題を解決するための手段】
本発明の第１の側面は、
暗号強度評価処理装置において実行する暗号処理アルゴリズムの暗号強度指標算出方法であり、
データ処理機能を有する前記暗号強度評価処理装置の解析手段が、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施す解析ステップを有し、
前記解析ステップは、
前記暗号処理部に対するトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パスステップと、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割ステップと、
前記トランケイテッド(Truncated)パスにおいて、前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定ステップと、
前記連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換えステップと、
前記行列置き換えステップによって得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２のデータに対する解の集合を求める解集合算出ステップと、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出ステップと、
を有することを特徴とする暗号強度指標算出方法にある。
【００１０】
さらに、本発明の暗号強度指標算出方法の一実施態様において、前記トランケイテッド(Truncated)パスステップは、トランケイテッド（Truncated）差分パスステップまたは、トランケイテッド（Truncated）線形パスステップの少なくとも１つを有することを特徴とする。
【００１１】
さらに、本発明の暗号強度指標算出方法の一実施態様において、前記トランケイテッド（Truncated）差分パスステップは、前記暗号処理部から抜き出したデータの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てることを特徴とする。
【００１２】
さらに、本発明の暗号強度指標算出方法の一実施態様において、前記トランケイテッド（Truncated）線形パスステップは、前記暗号処理部から抜き出したデータにマスク処理を施すことによりマスク値を生成し、各マスク値がゼロであるか非ゼロであるかに応じて０または１を割り当てることを特徴とする。
【００１３】
さらに、本発明の暗号強度指標算出方法の一実施態様において、前記最大特性確立算出ステップは、最大差分特性確率算出ステップまたは、最大線形特性確率算出ステップの少なくとも１つを有することを特徴とする。
【００１４】
さらに、本発明の第２の側面は、
暗号処理アルゴリズムの暗号強度評価処理装置であり、
共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施す解析手段であり、データ処理機能を有する解析手段を有し、
前記解析手段は、
前記暗号処理部に対してトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パス処理と、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割処理と、
前記トランケイテッド(Truncated)パスにおいて、
前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定処理と、
前記連立一次方程式設定処理において設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換え処理と、
前記行列置き換え処理において得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２データに対する解の集合を求める解集合算出処理と、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出処理と、
を有することを特徴とする暗号強度評価処理装置にある。
【００１７】
さらに、本発明の第３の側面は、
暗号強度評価処理装置において暗号処理アルゴリズムの暗号強度指標算出処理を実行させるコンピュータ・プログラムであり、
暗号強度評価処理装置のプログラム実行部である制御部において、共通鍵ブロック暗号処理アルゴリズムを実行させて、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施させる解析ステップを有し、
前記解析ステップは、
前記暗号処理部に対するトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パスステップと、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割ステップと、
前記トランケイテッド(Truncated)パスにおいて、前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定ステップと、
前記連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換えステップと、
前記行列置き換えステップによって得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２のデータに対する解の集合を求める解集合算出ステップと、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出ステップと、
を含むことを特徴とするコンピュータ・プログラムにある。
【００１９】
【作用】
本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理関数の暗号強度解析において、上界により近い確率のパスを算出することが可能となる。
【００２０】
また、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対して差分データ入力に基づく差分パス解析において、差分データの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)差分パスを入力し、暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、各チェインに含まれるデータに基づく差分解析を実行して差分特性確率：ＤＣＰを計算し、最も高い値を持つ差分特性確率：ＤＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)差分パスＴに対する最大差分特性確率ＭＤＣＰTとして算出することが可能となる。
【００２１】
さらに、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対して、マスク処理データがゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)マスク値を入力し、暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、各チェインに含まれるデータに基づく解析を実行して線形特性確率：ＬＣＰを計算し、最も高い値を持つ線形特性確率：ＬＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)線形パスＴに対する最大線形特性確率ＭＬＣＰTとして算出することが可能となる。
【００２２】
なお、本発明のコンピュータ・プログラムは、例えば、様々なプログラム・コードを実行可能な汎用コンピュータ・システムに対して、コンピュータ可読な形式で提供する記憶媒体、通信媒体、例えば、ＣＤやＦＤ、ＭＯなどの記憶媒体、あるいは、ネットワークなどの通信媒体によって提供可能なコンピュータ・プログラムである。このようなプログラムをコンピュータ可読な形式で提供することにより、コンピュータ・システム上でプログラムに応じた処理が実現される。
【００２３】
本発明のさらに他の目的、特徴や利点は、後述する本発明の実施例や添付する図面に基づくより詳細な説明によって明らかになるであろう。なお、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。
【００２４】
【発明の実施の形態】
以下、本発明の暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラムについて詳細に説明する。
【００２５】
［１．Ｆｅｉｓｔｅｌ構造］
まず、本発明における暗号強度評価処理対象となるＦｅｉｓｔｅｌ構造と呼ばれる代表的な共通鍵ブロック暗号の構造について、図１を参照して説明する。
【００２６】
Ｆｅｉｓｔｅｌ構造は、変換関数の単純な繰り返しにより、平文を暗号文に変換する構造を持つ。平文の長さを２ｍｎビットとする。初めにｍｎビットの２つのデータＰＬ（Plain-Left），ＰＲ(Plain-Right)に分割し、これを入力値とする。
【００２７】
Ｆｅｉｓｔｅｌ構造はラウンド関数とよばれる基本構造の繰り返しで表現され、各ラウンドに含まれるデータ変換関数はＦ関数と呼ばれる。図１の構成では、ラウンド関数がｒ段繰り返された構成例を示している。
【００２８】
ｉ番目のラウンド関数では、前段から入力される２つの入力データＸｉ（＝Ｗｉ），Ｚｉのうち左側のデータＸｉ（＝Ｗｉ）と、鍵生成部（図示せず）から入力されるラウンド鍵ＫｉがＦ関数に入力され、Ｆ関数におけるデータ変換処理の後にデータＹｉを出力する。Ｆ関数の出力はもう片方の入力データＺｉと排他的論理和され、Ｘｉとともに次のラウンド関数へと出力とされる。この処理、すなわちラウンド関数を定められたラウンド数（ｒ）だけ繰り返し適用して暗号化処理が完了し、暗号文の分割データＣＬ（Cipher-Left）、ＣＲ（Cipher-Right）が出力される。
【００２９】
本発明の構成において、各ラウンド関数に設定されるＦ関数は、図２に示すようなＳＰＮ型の構成をもつものとする。ＳＰＮ型のＦ関数は、鍵加算部１２１、非線形変換部１２２、線形変換部１２３により構成される。
【００３０】
例えば、ｉ番目のラウンドのＦ関数に入力されたデータＷｉはまず、ｍ個のｎビットデータＷｉ［１］，Ｗｉ［２］，．．．，Ｗｉ［ｍ］に分割され、同様に分割された鍵データＫｉ［１］，Ｋｉ［２］，．．．，Ｋｉ［ｍ］と、鍵加算部１２１において、それぞれ排他的論理和されＴｉ［１］，Ｔｉ［２］，．．．，Ｔｉ［ｍ］となり、非線形変換部１２２に入力される。
【００３１】
つづいて非線形変換部１２２において、各ｎビットデータＴｉ［１］，Ｔｉ［２］，．．．，Ｔｉ［ｍ］はＳ−ｂｏｘと呼ばれるあらかじめ定められた置換表により変換され、Ｓｉ［１］，Ｓｉ［２］，．．．，Ｓｉ［ｍ］を線形変換部１２３に出力する。
【００３２】
Ｓｉ［１］，Ｓｉ［２］，．．．，Ｓｉ［ｍ］は線形変換部１２３において、線形変換処理が実行され、その出力がＦ関数の出力Ｙｉ［１］，Ｙｉ［２］，．．．，Ｙｉ［ｍ］となる。
【００３３】
線形変換部１２３の具体的線形変換処理例を図３に示す。非線形変換部から入力されたｍ個のｎビットデータＳｉ［１］，Ｓｉ［２］，．．．，Ｓｉ［ｍ］に対してあらかじめ定められた行列の演算の適用により線形変換が施されＹｉ［１］，Ｙｉ［２］，．．．，Ｙｉ［ｍ］に変換される。ただし、このとき各データの行列の要素に対する線形演算はあらかじめ定められた体ＧＦ（２n）上で行われるものとする。
【００３４】
［２．差分パス］
次に、差分パスについて説明する。２つのデータを排他的論理和したときの値をその２つのデータの差分と呼び、本明細書においては、差分を表す場合にはΔ（デルタ）記号をつけて表す。
【００３５】
前述したように、非線形変換部１２２において、鍵加算部１２１からの出力データとしての各ｎビットデータＴｉ［１］，Ｔｉ［２］，．．．，Ｔｉ［ｍ］はＳ−ｂｏｘと呼ばれるあらかじめ定められた置換表により変換され、Ｓｉ［１］，Ｓｉ［２］，．．．，Ｓｉ［ｍ］を線形変換部１２３に出力する。
【００３６】
Ｓ−ｂｏｘには差分確率が定義される。ＤＰｓ（ΔＡ，ΔＢ）をＳ−ｂｏｘに差分ΔＡが入力されたときに差分ΔＢが出力される確率とし、それを差分確率と呼ぶ。ＤＰｓ（ΔＡ，ΔＢ）は実際のＳ−ｂｏｘの置換表を使って以下の（式１）のように計算される。なお、ここでは説明を簡単にするためＳ−ｂｏｘは一種類しか用いていないが、Ｓ−ｂｏｘが複数種類ある場合もそれぞれのＳ−ｂｏｘの置換表を用いて同様に定義される。
【００３７】
【数１３】
図４に、ｒ段のラウンド関数からなる暗号化関数における差分の伝播を表現した差分パスの例を示す。１段目のラウンド関数２１０にΔＸ1，ΔＺ1で表される差分をもつ平文のペアを入力すると、１段目のラウンド関数２１０内のＦ関数２１１の非線形変換部に構成されるＳ−ｂｏｘの差分確率によって計算されるある差分確率ｐ1で差分ΔＸ2，ΔＺ2が次段のラウンド関数へ出力される。
【００３９】
ここではｐiをｉラウンド目の差分確率と呼ぶ。２段目のラウンド関数２２０に、ΔＸ2，ΔＺ2が入力されると差分確率ｐ2で差分ΔＸ3，ΔＺ3へと遷移が起こる。このように暗号化関数全体に対して差分の遷移を具体的に表したものが差分パスとよばれ、各ラウンドにおける差分確率ｐi，（１≦ｉ≦ｒ）をすべて掛け合わせた値を差分特性確率：ＤＣＰと呼び差分暗号化関数に対してΔＸ1，ΔＺ1が入力されたときにΔＣＬ，ΔＣＲが出力される確率を近似的に表す確率として利用する。
【００４０】
しかし、上述の差分パスの適用構成では、暗号化ブロックのビットサイズが増大すると複数のラウンド間の接続関係を考慮して最大の差分特性確率をもつ差分パスを容易に求めることはできなくなる。
【００４１】
［３．トランケイテッド(Truncated)差分パス］
次に本発明の実施例として、上述の差分パス手法の改善手法であるトランケイテッド(Truncated)差分パスを適用した手法について説明する。
【００４２】
トランケイテッド(Truncated)差分とは差分データの表現手法の一つで、差分データをある決められたビット数で区切り、各差分データの差分値がゼロか非ゼロかによって０または１を割り当てたデータである。本明細書においては、δ（スモールデルタ）の記号をつけて表現する。
【００４３】
図５に、図４の差分パスをバイトごとに区切り、トランケイテッド(Truncated)形式で表した例を示す。ここで注意すべき点は図４の差分パスとは具体的な差分値が異なっていてもトランケイテッド(Truncated)表現したときに図５のように表現されるパスは複数存在しているということである。それらをまとめて代表的に表現したものがトランケイテッド(Truncated)差分パスであるといえる。
【００４４】
トランケイテッド(Truncated)差分パスには具体的な値が存在しないのでラウンド関数に対する差分確率のような固有の確率は定義されない。しかしながら、各ラウンド関数内のＦ関数内部でトランケイテッド(Truncated)差分として１が入力されるＳ−ｂｏｘの個数により差分確率の上界を求めることが可能となる。
【００４５】
複数段のラウンド関数によって構成される暗号化関数全体についても同様にすべてのＳ−ｂｏｘのなかでトランケイテッド(Truncated)差分１が入力されるＳ−ｂｏｘの個数をカウントすることで、このトランケイテッド(Truncated)差分パスに含まれる差分パスのもつ差分確率の上界を導出することができる。具体的にはトランケイテッド(Truncated)差分パスの中に含まれるトランケイテッド(Truncated)差分として１が入力されるＳ−ｂｏｘの数をａとし、Ｓ−ｂｏｘの最大差分確率をｐｓmaxとすると、差分特性確率の上界Ｕは、以下の（式２）によって示される。
【００４６】
【数１４】
Ｕ＝ｐｓmax a ．．．（式２）
【００４７】
このようにトランケイテッド(Truncated)差分パスから、トランケイテッド(Truncated)差分として１が入力されるＳ−ｂｏｘの数［ａ］を調べることで差分特性確率の上界がわかり安全性の評価を得ることができる。
【００４８】
トランケイテッド(Truncated)差分を用いるメリットとしては通常の差分と比べてデータ量が格段に縮約されており、現実的に処理可能な時間で探索を行うアルゴリズムが構築できるという点である。
【００４９】
なお、ＳＰＮ型のＦ関数をもつＦｅｉｓｔｅｌ暗号の場合、数多くのトランケイテッド(Truncated)差分パスの中からもっとも高い上界をもつトランケイテッド(Truncated)差分パスをもとめる効率的なアルゴリズムについては、例えば、T. Shirai, S. Kanamaru and G. Abe, "Improved Upper Bounds of Differential and Linear Characteristic Probability for Camellia", Fast Software Encryption, FSE 2002, LNCS2365（論文１）に記述されている。
【００５０】
［４．線形パス］
次に、線形パスについて説明する。あるデータに対して特定の位置のビットを抜き出してきて、抜き出されたビットすべての排他的論理和をとり１ビットの値を得る処理をマスク処理と呼び、そのとき特定の位置を表す情報をマスク値と呼ぶ。マスク値は対象データと同じ長さのビット列で表現され、取り出すビット位置に１を、取り出さない位置に０を対応させる。たとえばビット列［０１０１１０１１］に対してマスク値［１０１０１０１０］を施すと１，３，５，７番目のビットを取り出して排他的論理和するので、下式（式３）の結果が得られる。
【００５１】
【数１５】
なお、本明細書においては、マスク値を表現するときにはΓ（ガンマ）を用いて表すものとする。各ラウンド関数のＦ関数における非線形変換部に設定されるＳ−ｂｏｘには線形確率が定義される。Ｓ−ｂｏｘの入力値にマスクΓＡが、出力値にマスクΓＢが施されたとき、それぞれの結果の排他的論理和が０となる確率をｌ（ΓＡ，ΓＢ）とすると、確率：ｌ（ΓＡ，ΓＢ）は、以下の（式４）に従って計算される。
【００５３】
【数１６】
また、特にＳ−ｂｏｘの線形確率ＬＰ，（ΓＡ，ΓＢ）を以下の（式５）に示すように定義する。
【００５５】
【数１７】
図６を参照して、複数段のラウンド関数によって構成される暗号化関数に対してマスク処理を施した処理、すなわち線形近似処理例を説明する。１段目のラウンド関数４１０の入力値に対してΓＸ1，ΓＺ1で表されるマスク処理を施されて得られる値と、１段目のラウンド関数の出力に対してΓＸ2，ΓＺ2で表されるマスク処理を施されて得られる結果を排他的論理和した値が０となる確率をｑ1としそのマスク値に対するの線形確率と呼ぶ。ｑ1は、１段目のラウンド関数４１０のＦ関数４１１の非線形変換部に構成されるＳ−ｂｏｘの線形確率から計算することができる。
【００５７】
また、同様に２段目のラウンド関数４２０の入力値に対してΓＸ2，ΓＺ2で表されるマスク処理を施されて得られる値と、２段目のラウンド関数の出力に対してΓＸ3ΓＺ3で表されるマスク処理を施されて得られる結果を排他的論理和した値が０となる確率をｑ2とすると、マスク値に対するの線形確率ｑ2は、２段目のラウンド関数４２０のＦ関数４２１の非線形変換部に構成されるＳ−ｂｏｘの線形確率から計算することができる。以降のラウンド関数のマスク値に対しても、それぞれｑiが計算される。
【００５８】
このとき複数段のラウンド関数によって構成される暗号化関数全体に着目して、一段目のラウンド関数の入力値に対してマスク値ΓＸ1，ΓＺ1が施されて得られる値とｒ段目のラウンド関数の出力に対してマスク値ΓＣＬ，ΓＣＲが施されて得られる値を排他的論理和した値が０となる確率ｑは、各ラウンドで定義されたｑiを利用すると以下の（式６）に示すようになる。
【００５９】
【数１８】
また、線形特性確率ＬＣＰを、以下の（式７）に示すように定義する。
【００６１】
【数１９】
このように複数段のラウンド関数によって構成される暗号化関数全体に対してマスク値の対応を具体的に表したものが線形近似とよばれ、線形特性確率は安全性の評価指標として利用される。
【００６３】
しかし、前述の差分特性確率と同様、暗号化ブロックのビットサイズが増大すると複数のラウンド間の接続関係を考慮して最大の線形特性確率をもつ線形近似を容易に求めることはできなくなる。
【００６４】
［５．トランケイテッド(Truncated)線形パス］
次に本発明の実施例として、上述の線形パス手法の改善手法であるトランケイテッド(Truncated)マスクを適用した手法について説明する。
【００６５】
トランケイテッド(Truncated)マスクとはマスク値の表現手法の一つで、マスク値をある決められたビット数で区切り、各マスク値がゼロか非ゼロかによって０または１を割り当てたデータである。本明細書においては、γ（スモールガンマ）の記号をつけて示すものとする。
【００６６】
図７に、図６の線形近似をバイトごとに区切ったトランケイテッド(Truncated)形式で表した図を示す。なお、図６の線形近似とは具体的なマスク値が異なっていてもトランケイテッド(Truncated)表現したときに図７のように表現される線形近似は複数存在している。それらをまとめて代表的に表現したものがトランケイテッド(Truncated)線形パスである。
【００６７】
トランケイテッド(Truncated)線形パスには具体的な値が存在しないのでラウンド関数に対する線形確率のような固有の確率は定義されない。しかし暗号化関数全体のＳ−ｂｏｘのなかでトランケイテッド(Truncated)マスクとして１が入力されるＳ−ｂｏｘの個数をカウントすることで、このトランケイテッド(Truncated)線形パスに含まれる線形パスのもつ差分特性確率の上界をもとめることができる。
【００６８】
具体的には、トランケイテッド(Truncated)線形パスの中に含まれるトランケイテッド(Truncated)マスクとして１が入力されるＳ−ｂｏｘの数をｂとし、Ｓ−ｂｏｘの最大線形確率をｑｓmaxとすると、線形特性確率の上界Ｕは、下式（式８）によって定義される。
【００６９】
【数２０】
Ｕ＝ｑｓmax b ．．．（式８）
【００７０】
上記式に基づいて上界を知ることで安全性の評価を得ることができる。
【００７１】
トランケイテッド(Truncated)マスクを用いるメリットとしては通常のマスク値と比べてデータ量が格段に縮約されており、現実的な時間で探索を行うアルゴリズムが構築できるという点である。なお、差分パスの場合と同様にＳＰＮ型のＦ関数をもつＦｅｉｓｔｅｌ暗号の場合、数多くのトランケイテッド(Truncated)線形パスの中からもっとも高い上界をもつトランケイテッド(Truncated)線形パスをもとめる効率的なアルゴリズムが、前述の（論文１）に記載されている。
【００７２】
［６．具体的な差分パス、線形近似の導出法］
次に、本発明の実施例であるトランケイテッド(Truncated)差分パスと、トランケイテッド(Truncated)線形パスからその上界に近い特性確率を持つ具体的な差分パスや線形近似を求めるアルゴリズム、すなわち、トランケイテッド(Truncated)差分パスあるいは、トランケイテッド(Truncated)線形パスに基づいて、暗号強度指標値を算出する処理アルゴリズムについて説明する。
【００７３】
図８、図９のフローチャートを参照して、トランケイテッド(Truncated)差分パスに基づいて、暗号強度指標値を算出する処理アルゴリズムについて説明する。
【００７４】
まず、ステップＳ１０１において、複数段のラウンド関数部を持つ暗号処理関数に対して、トランケイテッド(Truncated)差分パスＴを入力する。ステップＳ１０２において、ＳＰＮ型のＦ関数を持つ共通鍵ブロック暗号を左右の２つの部分に分割する。左部分をレフトチェイン（Left Chain）、右部分をライトチェイン（Right Chain）と呼ぶ。
【００７５】
ライトチェイン（Right Chain）に含まれるデータは、右側半分の平文（ＰＲ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i-1）、同様に、各ラウンド関数のＦ関数内の線形変換部出力であるＹiの半分の出力Ｙ2i-1と、次ラウンドへの入力値としてのＸiの半分の入力値（Ｘ2i）である。同様に、レフトチェイン（Left Chain）に含まれるデータは、左側半分の平文（ＰＬ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i）、同様に、各ラウンド関数のＦ関数内の線形変換部出力であるＹiの半分の出力Ｙ2iと、次ラウンドへの入力値としてのＸiの半分の入力値（Ｘ2i-1）である。
【００７６】
すなわち、ライトチェイン（Right Chain）に含まれるデータは、
ＰＲ，Ｓ2i-1，Ｙ2i-1，Ｘ2i（１≦ｉ≦ｒ／２）、
レフトチェイン（Left Chain）に含まれるデータは、
ＰＬ，Ｓ2i，Ｙ2i，Ｘ2i-1（１≦ｉ≦ｒ／２）である。
【００７７】
ステップＳ１０３において、ＳＰＮ型のＦ関数の性質に基づいて、ライトチェイン（Right Chain）の差分ΔＹ2i-1，ΔＸ2i（１≦ｉ≦ｒ／２）の各ｎビットデータ：ΔＹ2i-1［ｊ］，ΔＸ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を、差分：ΔＰＲ［ｊ］，ΔＳ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を用いて以下の等式（式９）に示すように示す。なお、以下の等式の総数はｍｒ個である。
【００７８】
【数２１】
ステップＳ１０４において、上記式に含まれるすべてのｎビット差分：ΔＰＲ［ｊ］，ΔＳ2i-1［ｊ］，ΔＹ2i-1［ｊ］，ΔＸ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を変数とみなし、トランケイテッド(Truncated)差分パスにおいて、各変数に対応するトランケイテッド(Truncated)差分が０となっている変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られるｍｒ個の式を斉次連立一次方程式として設定する。
【００８０】
ステップＳ１０５において、連立一次方程式を以下の式（式１０）に示すように係数行列Ｍと変数ベクトルνで表現する。
【００８１】
【数２２】
Ｍν＝０．．．．．（式１０）
【００８２】
ステップＳ１０６において、行列Ｍに対して行変形を行い変換行列（エセロンマトリックス：reduced row-echelon matrix）を求める。
なお、変換行列（reduced row-echelon matrix）は、以下の条件を満足する行列である。
（条件１）０のみからなる行（もしあるならば）は行列の最下部にある。
（条件２）各行を左から見てはじめの非ゼロの行の要素は１である（この１をリーディング１（leading1））。
（条件３）それぞれのリーディング１（leading1）はそれより上の行にあるリーディング１（leading1）１よりも右に存在する。
（条件４）リーディング１（leading1）の含まれる列はそのリーディング１（leading1）１以外の要素はすべて０である。
なお、任意の行列は行の有限回の基本変形により変換行列（reduced row-echelon matrix）に変換することが可能である。
【００８３】
さらに、ステップＳ１０６では、得られた変換行列のランクをｒａｎｋ，行列の列数をｃとし、（ｃ−ｒａｎｋ）個の自由変数とｒａｎｋ個の従属変数を取得する。
【００８４】
次に、ステップＳ１０７において、自由変数の取りうる値によって得られる連立方程式の解の集合をＳとし、ライトチェイン（Right Chain）に対する解の集合：Ｓを求める。
【００８５】
さらに、ステップＳ１０８において、ステップＳ１０３〜Ｓ１０７の処理を、レフトチェイン（Left Chain）の差分ΔＹ2i，ΔＸ2i-1（１≦ｉ≦ｒ／２）について同様の処理を実行し、レフトチェイン（Left Chain）に対する解の集合Ｓ≡を取得する。
【００８６】
ステップＳ１０９において、ライトチェイン（Right Chain）に対する解の集合：Ｓとレフトチェイン（Left Chain）に対する解の集合：Ｓ’すべての解の候補の組み合わせに対し、以下のように差分特性確率：ＤＣＰを計算し、最も高い値を持つ差分特性確率：ＤＣＰを、そのトランケイテッド(Truncated)差分パスＴに対する最大差分特性確率ＭＤＣＰTとする。
【００８７】
なお、トランケイテッド(Truncated)差分が１であるＳ−ｂｏｘの個数をａ個とし、それぞれＳ−ｂｏｘの入出力をΔｘi，Δｙi（ｉ≦ｉ≦ａ）とする。差分特性確率ＤＣＰは、下式（式１１）によって定義される。
【００８８】
【数２３】
ステップＳ１１０において、最大差分特性確率ＭＤＣＰTの値を暗号強度指標値とする。最大差分特性確率ＭＤＣＰTの値が大きいほど、暗号解読が容易であり、暗号強度は弱く、最大差分特性確率ＭＤＣＰTの値が小さいほど暗号解読が困難であり、暗号強度が高いと判定することができる。
【００９０】
図８、図９を参照して説明した処理は、トランケイテッド(Truncated)差分パスに基づく解析処理である。これに対して、トランケイテッド(Truncated)線形パスからその上界に近い特性確率を持つ具体的な線形近似を求める場合は、入力されるトランケイテッド(Truncated)線形パスＴ’を用いて、そのパスにおける最大線形特性確率ＭＬＣＰTを、上記のアルゴリズムと同様の処理に従って計算することができる。
【００９１】
なお、その際、線形変換層におけるマスク値変換を行う行列を用い、マスク値ΓＰＲ［ｊ］，ΓＳ2i-1［ｊ］，ΓＴ2i［ｊ］，ΓＺ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）の間に成り立つ一次式を構成し、Ｓ−ｂｏｘの差分確率ＤＰｓ（Δｘi，Δｙi）をＳ−ｂｏｘの線形確率ＬＰｓ（Γｘi，Γｙi）に置き換えて処理を実行する。
【００９２】
共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対してマスク処理データを入力して、トランケイテッド(Truncated)線形パスからその上界に近い特性確率を持つ具体的な線形近似を求める場合の処理について説明する。
【００９３】
線形パス解析ステップは、下記の処理ステップによって構成される。
（Ｓ０１）マスク処理データがゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)マスク値を入力するトランケイテッド(Truncated)線形パス入力ステップ、
（Ｓ０２）暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割する分割ステップ、
【００９４】
（Ｓ０３）ライトチェインに含まれるデータ、すなわち、右側半分の入力平文（ＰＲ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i-1）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）入力であるＴiの半分の入力（Ｔ2i）、次ラウンドへの入力値としてのＺiの半分の入力値（Ｚ2i-1）について、入力平文を２ｍｎビットとし、ラウンド数ｒとしたとき、ライトチェイン（Right Chain）のマスク値ΓＺ2i-1，ΓＳ2i-1（１≦ｉ≦ｒ／２）の各ｎビットデータ：ΓＺ2i-1［ｊ］，ΓＳ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を、マスク値：ΓＰＲ［ｊ］，ΓＴ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を用いた等式としてｍｎ個の等式を設定する等式設定ステップ、
【００９５】
（Ｓ０４）等式設定ステップにおいて設定された等式に含まれるすべてのｎビット差分：ΓＰＲ［ｊ］，ΓＳ2i-1［ｊ］，ΓＴ2i［ｊ］，ΓＺ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を変数とみなし、トランケイテッド(Truncated)線形パスにおいて、各変数に対応するトランケイテッド(Truncated)マスク値が０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られるｍｒ個の式を斉次連立一次方程式として設定する連立一次方程式設定ステップ、
【００９６】
（Ｓ０５）連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列Ｍと変数ベクトルνで、Ｍν＝０と置きかえる行列置き換えステップ、
（Ｓ０６）行列Ｍに対して行変形を行い変換行列（エセロンマトリックス：reduced row-echelon matrix）を求める変換行列算出ステップ、
【００９７】
（Ｓ０７）変換行列算出ステップにおいて得られた変換行列のランク（ｒａｎｋ）、変換行列の列数（ｃ）としたとき、（ｃ−ｒａｎｋ）個の自由変数とｒａｎｋ個の従属変数を取得する変数取得ステップ、
（Ｓ０８）自由変数の取りうる値によって得られる連立方程式の解の集合をＳとし、ライトチェイン（Right Chain）に対する解の集合：Ｓを求める解集合算出ステップ、
（Ｓ０９）等式設定ステップ乃至解集合算出ステップをレフトチェイン（Left Chain）のマスク値ΓＺ2i，ΓＳ2i（１≦ｉ≦ｒ／２）データに対して実行し、レフトチェイン（Left Chain）に対する解の集合：Ｓ’を求める第２の解集合算出ステップ、
【００９８】
（Ｓ１０）ライトチェイン（Right Chain）に対する解の集合：Ｓとレフトチェイン（Left Chain）に対する解の集合：Ｓ’すべての解の候補の組み合わせに対して線形特性確率：ＬＣＰを計算し、最も高い値を持つ線形特性確率：ＬＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)線形パスＴに対する最大線形特性確率ＭＬＣＰTとして算出する最大線形特性確率算出ステップである。
【００９９】
なお、最大線形特性確率算出ステップにおいて、トランケイテッド(Truncated)差分＝１が入力されるＳ−ｂｏｘの個数をａ個とし、それぞれＳ−ｂｏｘの入出力をΓｘi，Γｙi（ｉ≦ｉ≦ａ）としたとき、前記差分特性確率ＬＣＰを、下式（式１２）によって定義される。
【０１００】
【数２４】
ただし、ＬＰｓ（ΓＡ，ΓＢ）は、下式（式１３）によって定義される確率とする。
【０１０２】
【数２５】
処理結果として取得される最大線形特性確率ＭＬＣＰTを、暗号強度指標値とする。最大差分特性確率ＭＬＣＰTの値が大きいほど、暗号解読が容易であり、暗号強度は弱く、最大差分特性確率ＭＬＣＰTの値が小さいほど暗号解読が困難であり、暗号強度が高いと判定することができる。
【０１０４】
［システム構成例］
上述の実施例で述べた暗号強度指標算出処理に伴う一連の処理は、ハードウェア、ソフトウェアの組合わせにより行うことができる。即ち、汎用のコンピュータや、マイクロコンピュータにプログラムを実行させることにより行う構成とすることが可能である。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムが、例えば汎用のコンピュータや１チップのマイクロコンピュータ等にインストールされる。図１０は、上述した一連の処理を実行するプログラムをインストール子実行可能なコンピュータの一実施形態としての構成例を示している。
【０１０５】
図１０に示すシステム構成例は１つの例であり、システムは、ここに示すべての機能を必ずしも備えることが要求されるものではない。図１０に示すＣＰＵ(Central processing Unit)５０１は、上述したアルゴリズムに従ったプログラムやその他の各種アプリケーションプログラム、ＯＳ（Operating System）を実行するプロセッサである。ＲＯＭ（Read-Only-Memory）５０２は、ＣＰＵ５０１が実行するプログラム、あるいは演算パラメータとしての固定データを格納する。ＲＡＭ（Random Access Memory）５０３は、ＣＰＵ５０１の処理において実行されるプログラム、およびプログラム処理において適宜変化するパラメータの格納エリア、ワーク領域として使用される。
【０１０６】
ＨＤＤ５０４はハードディスクの制御を実行し、ハードディスクに対する各種データ、プログラムの格納処理および読み出し処理を実行する。暗号処理手段５０５は、データの暗号処理、復号処理等を実行する。なお、ここでは、暗号処理手段を個別モジュールとした例を示したが、このような独立した暗号処理モジュールを設けず、例えば暗号処理プログラムをＲＯＭ５０２に格納し、ＣＰＵ５０１がＲＯＭ格納プログラムを読み出して実行するように構成してもよい。メモリ（セキュアモジュール）５０６は例えば耐タンパ構造を持つメモリとして構成され、暗号処理に必要な鍵データ等の格納領域として使用可能である。なお、これらのデータは、他のメモリ領域、記憶媒体に格納することも可能である。
【０１０７】
バス５２１はＰＣＩ（Peripheral Component Internet/Interface）バス等により構成され、各モジュール、入出力インタフェース１２２を介した各入手力装置とのデータ転送を可能にしている。
【０１０８】
入力部５１１は、例えばキーボード、ポインティングデバイス、あるいはその他のデータ入力手段によって構成され、ＣＰＵ５０１に各種のデータあるいはコマンドを入力する。出力部５１２は、例えばＣＲＴ、液晶ディスプレイ等であり、各種情報をテキストまたはイメージ等により表示する。
【０１０９】
通信部５１３はシステムの接続したエンティテイ、例えば暗号データの通信エンティテイとの通信処理を実行し、ＣＰＵ５０１の制御の下に、各記憶部から供給されたデータ、あるいはＣＰＵ５０１によって処理されたデータ、暗号化されたデータ等を送信したり、他エンティテイからのデータを受信する処理を実行する。
【０１１０】
ドライブ５１４は、フレキシブルディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)，ＭＯ(Magneto optical)ディスク，ＤＶＤ(Digital Versatile Disc)、磁気ディスク、半導体メモリなどのリムーバブル記録媒体５１５の記録再生を実行するドライブであり、各リムーバブル記録媒体５１５からのプログラムまたはデータ再生、リムーバブル記録媒体５１５に対するプログラムまたはデータ格納を実行する。
【０１１１】
各記憶媒体に記録されたプログラムまたはデータを読み出してＣＰＵ５０１において実行または処理を行なう場合は、読み出したプログラム、データはインタフェース５２２、バス５２１を介して例えば接続されているＲＡＭ５０３に供給される。
【０１１２】
先にフロー図を参照した処理を実行するためのプログラムは例えばＲＯＭ５０２に格納されてＣＰＵ５０１によって処理されるか、あるいはハードディスクに格納され、ハードディスクから読み出されてＣＰＵ５０１により実行される。
【０１１３】
図１０に示すシステムを暗号強度評価処理装置として適用する場合には、ＣＰＵ５０１が差分パス解析手段、あるいは線形パス解析手段として機能する。例えばＣＰＵ５０１が差分パス解析手段として、データ解析処理を実行する場合のシステムにおける処理について説明する。
【０１１４】
図１０に示すシステムにおいて、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部を暗号処理手段５０５に設定し、その暗号処理部の強度解析を行なう場合を想定する。
【０１１５】
ＣＰＵ５０１の制御の下、差分データの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)差分パスを暗号処理手段５０５に入力する。次に、差分パス解析手段としてのＣＰＵ５０１の制御の下に、暗号処理手段５０５におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割する分割し、ライトチェインに含まれるデータ、すなわち、右側半分の入力平文（ＰＲ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i-1）、各ラウンド関数のＦ関数内の線形変換部出力であるＹiの半分の出力Ｙ2i-1、次ラウンドへの入力値としてのＸiの半分の入力値（Ｘ2i）について、入力平文を２ｍｎビットとし、ラウンド数ｒとしたとき、ライトチェイン（Right Chain）の差分ΔＹ2i-1，ΔＸ2i（１≦ｉ≦ｒ／２）の各ｎビットデータ：ΔＹ2i-1［ｊ］，Ｘ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を、差分：ΔＰＲ［ｊ］，ΔＳ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を用いた等式としてｍｎ個の等式を設定し、設定等式に含まれるすべてのｎビット差分：ΔＰＲ［ｊ］，ΔＳ2i-1［ｊ］，ΔＹ2i-1［ｊ］，Ｘ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を変数とみなし、トランケイテッド(Truncated)差分パスにおいて、各変数に対応するトランケイテッド(Truncated)差分が０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られるｍｒ個の式を斉次連立一次方程式として設定し、連立一次方程式設定処理において設定した連立一次方程式を係数行列Ｍと変数ベクトルνで、Ｍν＝０と置きかえる行列置き換えを実行し、行列Ｍに対して行変形を行い変換行列（エセロンマトリックス：reduced row-echelon matrix）を求め、変換行列のランク（ｒａｎｋ）、変換行列の列数（ｃ）としたとき、（ｃ−ｒａｎｋ）個の自由変数とｒａｎｋ個の従属変数を取得し、自由変数の取りうる値によって得られる連立方程式の解の集合をＳとし、ライトチェイン（Right Chain）に対する解の集合：Ｓを求める。
【０１１６】
また、上述の等式設定乃至解集合算出処理をレフトチェイン（Left Chain）の差分ΔＹ2i，ΔＸ2i-1（１≦ｉ≦ｒ／２）データに対して実行し、レフトチェイン（Left Chain）に対する解の集合：Ｓ’を求め、ライトチェイン（Right Chain）に対する解の集合：Ｓとレフトチェイン（Left Chain）に対する解の集合：Ｓ’すべての解の候補の組み合わせに対して差分特性確率：ＤＣＰを計算し、最も高い値を持つ差分特性確率：ＤＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)差分パスＴに対する最大差分特性確率ＭＤＣＰTとして算出する処理を実行する。
【０１１７】
また、ＣＰＵ５０１が線形パス解析手段として、データ解析処理を実行する場合には、図１０に示すシステムにおいて、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部を暗号処理手段５０５に設定し、マスク処理データがゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)マスク値を入力する。
【０１１８】
次に、前記暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、ライトチェインに含まれるデータ、すなわち、右側半分の入力平文（ＰＲ）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）出力であるＳiの半分の出力（Ｓ2i-1）、各ラウンド関数のＦ関数内の非線形変換部（Ｓ−ｂｏｘ）入力であるＴiの半分の入力（Ｔ2i）、次ラウンドへの入力値としてのＺiの半分の入力値（Ｚ2i-1）について、入力平文を２ｍｎビットとし、ラウンド数ｒとしたとき、ライトチェイン（Right Chain）のマスク値ΓＺ2i-1，ΓＳ2i-1（１≦ｉ≦ｒ／２）の各ｎビットデータ：ΓＺ2i-1［ｊ］，ΓＳ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を、マスク値：ΓＰＲ［ｊ］，ΓＴ2i［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を用いた等式としてｍｎ個の等式を設定する。
【０１１９】
次に、等式設定処理において設定された等式に含まれるすべてのｎビット差分：ΓＰＲ［ｊ］，ΓＳ2i-1［ｊ］，ΓＴ2i［ｊ］，ΓＺ2i-1［ｊ］，（１≦ｉ≦ｒ／２，１≦ｊ≦ｍ）を変数とみなし、トランケイテッド(Truncated)線形パスにおいて、各変数に対応するトランケイテッド(Truncated)マスク値が０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られるｍｒ個の式を斉次連立一次方程式として設定する。
【０１２０】
さらに、連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列Ｍと変数ベクトルνで、Ｍν＝０と置きかえ、行列Ｍに対して行変形を行い変換行列（エセロンマトリックス：reduced row-echelon matrix）を求め、得られた変換行列のランク（ｒａｎｋ）、変換行列の列数（ｃ）としたとき、（ｃ−ｒａｎｋ）個の自由変数とｒａｎｋ個の従属変数を取得する。さらに、自由変数の取りうる値によって得られる連立方程式の解の集合をＳとし、ライトチェイン（Right Chain）に対する解の集合：Ｓを求める。
【０１２１】
さらに、等式設定処理乃至解集合算出処理をレフトチェイン（Left Chain）のマスク値ΓＺ2i，ΓＳ2i（１≦ｉ≦ｒ／２）データに対して実行し、レフトチェイン（Left Chain）に対する解の集合：Ｓ’を求める。
【０１２２】
さらに、ライトチェイン（Right Chain）に対する解の集合：Ｓとレフトチェイン（Left Chain）に対する解の集合：Ｓ’すべての解の候補の組み合わせに対して線形特性確率：ＬＣＰを計算し、最も高い値を持つ線形特性確率：ＬＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)線形パスＴに対する最大線形特性確率ＭＬＣＰTとして算出する処理を実行する。
【０１２３】
以上、特定の実施例を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施例の修正や代用を成し得ることは自明である。すなわち、例示という形態で本発明を開示してきたのであり、限定的に解釈されるべきではない。本発明の要旨を判断するためには、冒頭に記載した特許請求の範囲の欄を参酌すべきである。
【０１２４】
なお、明細書中において説明した一連の処理はハードウェア、またはソフトウェア、あるいは両者の複合構成によって実行することが可能である。ソフトウェアによる処理を実行する場合は、処理シーケンスを記録したプログラムを、専用のハードウェアに組み込まれたコンピュータ内のメモリにインストールして実行させるか、あるいは、各種処理が実行可能な汎用コンピュータにプログラムをインストールして実行させることが可能である。
【０１２５】
例えば、プログラムは記憶媒体としてのハードディスクやＲＯＭ（Read Only Memory)に予め記録しておくことができる。あるいは、プログラムはフレキシブルディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)，ＭＯ(Magneto optical)ディスク，ＤＶＤ(Digital Versatile Disc)、磁気ディスク、半導体メモリなどのリムーバブル記録媒体に、一時的あるいは永続的に格納（記録）しておくことができる。このようなリムーバブル記録媒体は、いわゆるパッケージソフトウエアとして提供することができる。
【０１２６】
なお、プログラムは、上述したようなリムーバブル記録媒体からコンピュータにインストールする他、ダウンロードサイトから、コンピュータに無線転送したり、ＬＡＮ(Local Area Network)、インターネットといったネットワークを介して、コンピュータに有線で転送し、コンピュータでは、そのようにして転送されてくるプログラムを受信し、内蔵するハードディスク等の記憶媒体にインストールすることができる。
【０１２７】
なお、明細書に記載された各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。
【０１２８】
【発明の効果】
以上、説明したように、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理関数の暗号強度解析において、上界により近い確率のパスを算出することが可能となる。
【０１２９】
また、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対して差分データ入力に基づく差分パス解析において、差分データの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)差分パスを入力し、暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、各チェインに含まれるデータに基づく差分解析を実行して差分特性確率：ＤＣＰを計算し、最も高い値を持つ差分特性確率：ＤＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)差分パスＴに対する最大差分特性確率ＭＤＣＰTとして算出することが可能となる。
【０１３０】
さらに、本発明の構成によれば、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理手段に対して、マスク処理データがゼロであるか非ゼロであるかに応じて０または１を割り当てたトランケイテッド(Truncated)マスク値を入力し、暗号処理部におけるデータを左右の２つの部分、レフトチェイン（Left Chain）と、ライトチェイン（Right Chain）に分割し、各チェインに含まれるデータに基づく解析を実行して線形特性確率：ＬＣＰを計算し、最も高い値を持つ線形特性確率：ＬＣＰを、暗号強度指標値としてのトランケイテッド(Truncated)線形パスＴに対する最大線形特性確率ＭＬＣＰTとして算出することが可能となる。
【図面の簡単な説明】
【図１】Ｆｅｉｓｔｅｌ構造と呼ばれる代表的な共通鍵ブロック暗号の構造について説明する図である。
【図２】各ラウンド関数に設定されるＦ関数としてのＳＰＮ型の構成を説明する図である。
【図３】線形変換部の具体的線形変換処理例を示す図である。
【図４】ｒ段のラウンド関数からなる暗号化関数における差分の伝播を表現した差分パスの例を示す図である。
【図５】図４の差分パスをバイトごとに区切り、トランケイテッド(Truncated)形式で表した例を示す図である。
【図６】複数段のラウンド関数によって構成される暗号化関数に対する線形近似による処理例を説明する図である。
【図７】図６の線形近似をバイトごとに区切ったトランケイテッド(Truncated)形式で表した図をである。
【図８】トランケイテッド(Truncated)差分パスに基づいて、暗号強度指標値を算出する処理アルゴリズムを示すフロー図である。
【図９】トランケイテッド(Truncated)差分パスに基づいて、暗号強度指標値を算出する処理アルゴリズムを示すフロー図である。
【図１０】暗号強度指標算出に伴う一連の処理を実行するシステム構成例を示す図である。
【符号の説明】
１２１ 鍵加算部
１２２ 非線形変換部
１２３ 線形変換部
２１０ ラウンド関数
２１１ Ｆ関数
２２０ ラウンド関数
２２１ Ｆ関数
４１０ ラウンド関数
４１１ Ｆ関数
４２０ ラウンド関数
４２１ Ｆ関数
５０１ ＣＰＵ
５０２ ＲＯＭ
５０３ ＲＡＭ
５０４ ＨＤＤ
５０５ 暗号処理手段
５０６ メモリ
５１１ 入力部
５１２ 出力部
５１３ 通信部
５１４ リムーバブル記憶媒体
５２１ バス
５２２ 入出力インタフェース
Claims (7)
- 暗号強度評価処理装置において実行する暗号処理アルゴリズムの暗号強度指標算出方法であり、
データ処理機能を有する前記暗号強度評価処理装置の解析手段が、共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施す解析ステップを有し、
前記解析ステップは、
前記暗号処理部に対するトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パスステップと、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割ステップと、
前記トランケイテッド(Truncated)パスにおいて、前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定ステップと、
前記連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換えステップと、
前記行列置き換えステップによって得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２のデータに対する解の集合を求める解集合算出ステップと、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出ステップと、
を有することを特徴とする暗号強度指標算出方法。 - 前記トランケイテッド(Truncated)パスステップは、トランケイテッド（Truncated）差分パスステップまたは、トランケイテッド（Truncated）線形パスステップの少なくとも１つを有することを特徴とする請求項１に記載の暗号強度指標算出方法。
- 前記トランケイテッド（Truncated）差分パスステップは、前記暗号処理部から抜き出したデータの差分値がゼロであるか非ゼロであるかに応じて０または１を割り当てることを特徴とする請求項２に記載の暗号強度指標算出方法。
- 前記トランケイテッド（Truncated）線形パスステップは、前記暗号処理部から抜き出したデータにマスク処理を施すことによりマスク値を生成し、各マスク値がゼロであるか非ゼロであるかに応じて０または１を割り当てることを特徴とする請求項２に記載の暗号強度指標算出方法。
- 前記最大特性確立算出ステップは、最大差分特性確率算出ステップまたは、最大線形特性確率算出ステップの少なくとも１つを有することを特徴とする請求項１に記載の暗号強度指標算出方法。
- 暗号処理アルゴリズムの暗号強度評価処理装置であり、
共通鍵ブロック暗号処理アルゴリズムを実行し、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施す解析手段であり、データ処理機能を有する解析手段を有し、
前記解析手段は、
前記暗号処理部に対してトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パス処理と、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割処理と、
前記トランケイテッド(Truncated)パスにおいて、
前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定処理と、
前記連立一次方程式設定処理において設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換え処理と、
前記行列置き換え処理において得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２データに対する解の集合を求める解集合算出処理と、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出処理と、
を有することを特徴とする暗号強度評価処理装置。 - 暗号強度評価処理装置において暗号処理アルゴリズムの暗号強度指標算出処理を実行させるコンピュータ・プログラムであり、
暗号強度評価処理装置のプログラム実行部である制御部において、共通鍵ブロック暗号処理アルゴリズムを実行させて、ＳＰＮ型のＦ関数を含む複数段のラウンド関数部を持つＦｅｉｓｔｅｌ構造からなる暗号処理部に対して暗号強度解析処理を施させる解析ステップを有し、
前記解析ステップは、
前記暗号処理部に対するトランケイテッド(Truncated)パスデータを出力するトランケイテッド(Truncated)パスステップと、
前記暗号処理部におけるトランケイテッド(Truncated)パスデータを第１のデータと、第２のデータに分割する分割ステップと、
前記トランケイテッド(Truncated)パスにおいて、前記第１のデータ及び前記第２のデータの各変数に対応するトランケイテッド(Truncated)パスデータが０となる変数を等式から削除し、変数消去後、等式の右辺をすべて左辺に移項して得られる式を斉次連立一次方程式として設定する連立一次方程式設定ステップと、
前記連立一次方程式設定ステップにおいて設定した連立一次方程式を係数行列と変数ベクトルに基づいて、置きかえる行列置き換えステップと、
前記行列置き換えステップによって得られる連立方程式を用いて、前記第１のデータに対する解の集合及び第２のデータに対する解の集合を求める解集合算出ステップと、
前記第１のデータに対する解の集合と前記第２のデータに対する解の集合のすべての解の候補の組み合わせに対して特性確率を計算し、最大値を持つ特性確率を、暗号強度指標値としての前記トランケイテッド(Truncated)パスに対する最大特性確率として算出する最大特性確率算出ステップと、
を含むことを特徴とするコンピュータ・プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002319206A JP4337328B2 (ja) | 2002-11-01 | 2002-11-01 | 暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002319206A JP4337328B2 (ja) | 2002-11-01 | 2002-11-01 | 暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラム |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2004153733A JP2004153733A (ja) | 2004-05-27 |
| JP2004153733A5 JP2004153733A5 (ja) | 2005-12-22 |
| JP4337328B2 true JP4337328B2 (ja) | 2009-09-30 |
Family
ID=32462112
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002319206A Expired - Fee Related JP4337328B2 (ja) | 2002-11-01 | 2002-11-01 | 暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4337328B2 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9597419B2 (en) | 2004-10-25 | 2017-03-21 | Boston Scientific Limited | Loadable polymeric particles for enhanced imaging in clinical applications and methods of preparing and using the same |
| US10973770B2 (en) | 2004-10-25 | 2021-04-13 | Varian Medical Systems, Inc. | Color-coded and sized loadable polymeric particles for therapeutic and/or diagnostic applications and methods of preparing and using the same |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100779076B1 (ko) | 2005-12-09 | 2007-11-27 | 한국전자통신연구원 | 아리아 암/복호화 장치, 그 방법 및 이를 위한 초기 키생성 방법 |
| JP4891669B2 (ja) * | 2006-06-28 | 2012-03-07 | 株式会社エヌ・ティ・ティ・ドコモ | 暗号強度評価装置及び暗号強度評価方法 |
| EP2808859B1 (en) * | 2012-01-23 | 2016-06-29 | NEC Solution Innovators, Ltd. | Encryption evaluation device, encryption evaluation method, and encryption evaluation program |
-
2002
- 2002-11-01 JP JP2002319206A patent/JP4337328B2/ja not_active Expired - Fee Related
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9597419B2 (en) | 2004-10-25 | 2017-03-21 | Boston Scientific Limited | Loadable polymeric particles for enhanced imaging in clinical applications and methods of preparing and using the same |
| US10973770B2 (en) | 2004-10-25 | 2021-04-13 | Varian Medical Systems, Inc. | Color-coded and sized loadable polymeric particles for therapeutic and/or diagnostic applications and methods of preparing and using the same |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004153733A (ja) | 2004-05-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP2105860B1 (en) | Method and apparatus for verifying integrity of redacted documents | |
| JP4961909B2 (ja) | 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム | |
| JP5023624B2 (ja) | 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム | |
| US7984305B2 (en) | Encryption processing apparatus and encryption processing method for setting a mixed encryption processing sequence | |
| US6157720A (en) | Method and apparatus for encrypting data | |
| RU2449482C2 (ru) | Устройство обработки шифрования, способ обработки шифрования и компьютерная программа | |
| JP5744377B2 (ja) | 対称鍵データ暗号化の方法 | |
| US20100195822A1 (en) | Program converter, encrypting device, and encrypting method | |
| KR20070058370A (ko) | 암호 처리 장치, 암호 처리 방법 및 컴퓨터 프로그램 | |
| US8600048B1 (en) | Format-translating encryption systems | |
| Naskar et al. | An efficient block-level image encryption scheme based on multi-chaotic maps with DNA encoding | |
| Norouzi et al. | Breaking a novel image encryption scheme based on an improper fractional order chaotic system | |
| EP2693681A1 (en) | Encryption processing device, encryption processing method, and programme | |
| JP2007199156A (ja) | 暗号処理装置、暗号処理装置製造装置、および方法、並びにコンピュータ・プログラム | |
| Khan et al. | A novel statistical analysis of chaotic S-box in image encryption | |
| CN108055121A (zh) | 图像的加密方法与解密方法 | |
| Rasoolzadeh et al. | Cryptanalysis of PRINCE with minimal data | |
| JP4337328B2 (ja) | 暗号強度指標算出方法、および暗号強度評価処理装置、並びにコンピュータ・プログラム | |
| CN110299988B (zh) | 轻量级分组密码算法抗攻击能力的检测方法及检测装置 | |
| KR101506499B1 (ko) | 마스킹이 적용된 ｓｅｅｄ를 이용한 암호화 방법 | |
| Rohit et al. | Cryptanalysis of reduced round SPEEDY | |
| Kraleva et al. | Cryptanalysis of strong physically unclonable functions | |
| WO2013153628A1 (ja) | 演算処理システムおよび演算結果認証方法 | |
| Fan et al. | Differential cryptanalysis of full-round ANU-II ultra-lightweight block cipher | |
| KR20030022484A (ko) | 멀티미디어 데이터의 암호화 방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20051031 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20051031 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090317 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090514 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090609 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090622 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120710 Year of fee payment: 3 |
|
| LAPS | Cancellation because of no payment of annual fees |