JP4962165B2 - 暗号処理装置，暗号処理プログラム及び暗号処理方法 - Google Patents
暗号処理装置，暗号処理プログラム及び暗号処理方法 Download PDFInfo
- Publication number
- JP4962165B2 JP4962165B2 JP2007165154A JP2007165154A JP4962165B2 JP 4962165 B2 JP4962165 B2 JP 4962165B2 JP 2007165154 A JP2007165154 A JP 2007165154A JP 2007165154 A JP2007165154 A JP 2007165154A JP 4962165 B2 JP4962165 B2 JP 4962165B2
- Authority
- JP
- Japan
- Prior art keywords
- secret information
- information
- masked
- random number
- intermediate value
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
本発明は、秘密の鍵を用いて情報を暗号化する暗号処理装置，暗号処理プログラム及び暗号処理方法に関するものである。
秘密情報（秘匿情報）を扱う暗号演算などの演算は、ＩＣカード上で行う場合、サイドチャネル攻撃に注意する必要がある。ここで、サイドチャネル攻撃とは、消費電力や実行時間など演算の副作用として出力され、秘密情報の漏洩の原因となる情報、通称「サイドチャネル情報」を計測することにより、秘密鍵などの秘密情報を取得しようとする攻撃である。
サイドチャネル攻撃の１つとしてＤＰＡ（差分電力解析攻撃）が挙げられる。ＤＰＡでは、まず多くの異なる入力で暗号演算を実行し、その際の消費電力を測定する。秘密情報の値の一部を仮定し、その仮定に基づき一定のルールで上記測定した消費電力情報を二つのグループに分類し、各々のグループごとに平均を取る。最後に二つの平均値の差分をとり、一部に大きな差分が発生すれば、仮定が正しいことが分かる。このＤＰＡによる攻撃の対策として、秘密情報にマスク（ｍａｓｋ）処理（値に乱数をＸＯＲ演算して情報を隠す処理）を施して演算を行い、秘密情報と途中の処理との依存関係を消滅させることで、暗号解析を防ぐことができるとされている（例えば、特許文献１）。
しかし、演算の途中に非線形演算が挟まる場合（存在する場合）、マスク処理をしたまま演算を行うと、正しい演算結果を得ることはできないという問題があった。
特表２００２−５１９７２２号公報
本発明の課題は、マスク処理をしたまま非線形演算を行っても正しい演算結果を得ることができる暗号処理装置，暗号処理プログラム及び暗号処理方法を提供することである。
本発明は、以下のような解決手段により、前記課題を解決する。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。
請求項１の発明は、第１の秘密情報（ａ）と第１の乱数情報（ｍ１）とを排他的論理和により加算することによって前記第１の秘密情報（ａ）をマスクし、第１のマスクされた秘密情報（Ａ）を算出する手段（１２）と、第２の秘密情報（ｂ）と第２の乱数情報（ｍ２）とを排他的論理和により加算することによって前記第２の秘密情報（ｂ）をマスクし、第２のマスクされた秘密情報（Ｂ）を算出する手段（１２）と、前記第１のマスクされた秘密情報（Ａ）と前記第２の乱数情報（ｍ２）とを用いて、前記マスクされた秘密情報（Ａ，Ｂ）のマスクを除去するための第１の中間値（Ｔｅｍｐ１）を算出する手段（１２）と、前記第２のマスクされた秘密情報（Ｂ）と前記第１の乱数情報（ｍ１）とを用いて、前記マスクされた秘密情報（Ａ，Ｂ）のマスクを除去するための第２の中間値（Ｔｅｍｐ２）を算出する手段（１２）と、前記第１の乱数情報（ｍ１）と前記第２の乱数情報（ｍ２）とを用いて、前記マスクされた秘密情報（Ａ，Ｂ）のマスクを除去するための第３の中間値（Ｔｅｍｐ３）を算出する手段（１２）と、前記第１のマスクされた秘密情報（Ａ）と、前記第２のマスクされた秘密情報（Ｂ）と、前記第１の中間値（Ｔｅｍｐ１）と、前記第２の中間値（Ｔｅｍｐ２）と、前記第３の中間値（Ｔｅｍｐ３）とを用いて、前記第１の秘密情報（ａ）と前記第２の秘密情報（ｂ）との論理積の値を算出する手段と、を備える暗号処理装置（１０）である。
請求項２の発明は、請求項１に記載の暗号処理装置（１０）において、前記第１の秘密情報をａとし、前記第２の秘密情報をｂとし、前記第１の乱数情報をｍ１とし、前記第２の乱数情報をｍ２とし、前記第１のマスクされた秘密情報をＡとし、前記第２のマスクされた秘密情報をＢとし、前記第１の中間値をＴｅｍｐ１とし、前記第２の中間値をＴｅｍｐ２とし、前記第３の中間値をＴｅｍｐ３とし、前記第１の秘密情報（ａ）と前記第２の秘密情報（ｂ）との論理積の値をｒｅｓｕｌｔとした場合に、以下の式（１．２）〜式（１．８）を用いて、式（１．１）の演算処理を行うこと、
を特徴とする暗号処理装置（１０）である。
請求項３の発明は、請求項２に記載の暗号処理装置（１０）において、第３の乱数情報をｍ３とし、前記式（１．７）を以下の式（１．１３）とし、前記式（１．８）を以下の式（１．１４）とすること、
を特徴とする暗号処理装置（１０）である。
請求項４の発明は、第１の秘密情報（ａ）と第１の乱数情報（ｍ１）とを排他的論理和により加算することによって前記第１の秘密情報（ａ）をマスクし、第１のマスクされた秘密情報（Ａ）を算出する手段（１２）と、第２の秘密情報（ｂ）と第２の乱数情報（ｍ２）とを排他的論理和により加算することによって前記第２の秘密情報（ｂ）をマスクし、第２のマスクされた秘密情報（Ｂ）を算出する手段（１２）と、前記第１のマスクされた秘密情報（Ａ）と前記第２の乱数情報（ｍ２）とを用いて、前記マスクされた秘密情報（Ａ，Ｂ）のマスクを除去するための第１の中間値（Ｔｅｍｐ１）を算出する手段（１２）と、前記第２のマスクされた秘密情報（Ｂ）と前記第１の乱数情報（ｍ１）とを用いて、前記マスクされた秘密情報（Ａ，Ｂ）のマスクを除去するための第２の中間値（Ｔｅｍｐ２）を算出する手段（１２）と、前記第１の乱数情報（ｍ１）と前記第２の乱数情報（ｍ２）とを用いて、前記マスクされた秘密情報（Ａ，Ｂ）のマスクを除去するための第３の中間値（Ｔｅｍｐ３）を算出する手段（１２）と、前記第１のマスクされた秘密情報（Ａ）と、前記第２のマスクされた秘密情報（Ｂ）と、前記第１の中間値（Ｔｅｍｐ１）と、前記第２の中間値（Ｔｅｍｐ２）と、前記第３の中間値（Ｔｅｍｐ３）とを用いて、前記第１の秘密情報（ａ）と前記第２の秘密情報（ｂ）との論理和の値を算出する手段（１２）と、を備える暗号処理装置（１０）である。
請求項５の発明は、請求項４に記載の暗号処理装置（１０）において、前記第１のマスクされた秘密情報（Ａ）及び前記第２のマスクされた秘密情報（Ｂ）には、最初に否定処理を施して、その後の演算を行うこと、を特徴とする暗号処理装置（１０）である。
請求項６の発明は、請求項５に記載の暗号処理装置（１０）において、前記第１の秘密情報をａとし、前記第２の秘密情報をｂとし、前記第１の乱数情報をｍ１とし、前記第２の乱数情報をｍ２とし、前記第１のマスクされた秘密情報をＡとし、前記第２のマスクされた秘密情報をＢとし、前記第１の中間値をＴｅｍｐ１とし、前記第２の中間値をＴｅｍｐ２とし、前記第３の中間値をＴｅｍｐ３とし、前記第１の秘密情報（ａ）と前記第２の秘密情報（ｂ）との論理和の値をｒｅｓｕｌｔとした場合に、以下の式（２．２）〜式（２．１１）を用いて、式（２．１）の演算処理を行うこと、
を特徴とする暗号処理装置（１０）である。
請求項７の発明は、請求項６に記載の暗号処理装置（１０）において、第３の乱数情報をｍ３とし、前記式（２．９）を以下の式（２．１２）とし、前記式（２．１０）を以下の式（２．１３）とすること、
を特徴とする暗号処理装置（１０）である。
請求項８の発明は、請求項１から請求項７までのいずれか１項に記載の暗号処理装置（１０）において、前記第１の秘密情報（ａ）と前記第２の秘密情報（ｂ）との論理積又は論理和の算出は、ハッシュ関数，ストリーム暗号及びブロック暗号のうち少なくとも１つの処理の一部又は全部に用いられること、を特徴とする暗号処理装置（１０）である。
請求項９の発明は、コンピュータを、第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する手段と、第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する手段と、前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する手段と、前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する手段と、前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する手段と、前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理積の値を算出する手段と、として機能させるための暗号処理プログラムである。
請求項１０の発明は、コンピュータを、第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する手段と、第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する手段と、前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する手段と、前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する手段と、前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する手段と、前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理和の値を算出する手段と、として機能させるための暗号処理プログラムである。
請求項１０の発明は、コンピュータを、第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する手段と、第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する手段と、前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する手段と、前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する手段と、前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する手段と、前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理和の値を算出する手段と、として機能させるための暗号処理プログラムである。
請求項１１の発明は、記憶部及び制御部を備える暗号処理装置が、第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する工程と、前記暗号処理装置が、第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する工程と、前記暗号処理装置が、前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する工程と、前記暗号処理装置が、前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する工程と、前記暗号処理装置が、前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する工程と、前記暗号処理装置が、前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理積の値を算出する工程と、を備える暗号処理方法である。
請求項１２の発明は、記憶部及び制御部を備える暗号処理装置が、第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する工程と、前記暗号処理装置が、第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する工程と、前記暗号処理装置が、前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する工程と、前記暗号処理装置が、前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する工程と、前記暗号処理装置が、前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する工程と、前記暗号処理装置が、前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理和の値を算出する工程と、を備える暗号処理方法である。
請求項１２の発明は、記憶部及び制御部を備える暗号処理装置が、第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する工程と、前記暗号処理装置が、第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する工程と、前記暗号処理装置が、前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する工程と、前記暗号処理装置が、前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する工程と、前記暗号処理装置が、前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する工程と、前記暗号処理装置が、前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理和の値を算出する工程と、を備える暗号処理方法である。
本発明によれば、以下のような効果がある。
（１）マスクされた秘密情報及び／又は中間値を用いて、秘密情報の論理積及び／又は論理和に関する演算を行うので、演算中に秘密情報を用いる必要がなく、秘密情報が漏洩することがない。また、最終的には、中間値によってマスクを除去することができるので、秘密情報にマスク処理をしたまま非線形演算を行っても正しい演算結果を得ることができる。
（２）中間値やマスクされた秘密情報から予測される秘密情報の出現率が等しくなるような演算式を用いて演算を行うので、秘密情報が予測されることがない。
（３）各秘密情報（ａ，ｂ）を入れ替えても、マスクされた秘密情報を持つ変数（Ａ，Ｂ）に各秘密情報（ａ，ｂ）の変化を反映させれば、演算結果が変わらないような対称な演算式を用いて演算処理を行うので、秘密情報が予測されることがない。
（１）マスクされた秘密情報及び／又は中間値を用いて、秘密情報の論理積及び／又は論理和に関する演算を行うので、演算中に秘密情報を用いる必要がなく、秘密情報が漏洩することがない。また、最終的には、中間値によってマスクを除去することができるので、秘密情報にマスク処理をしたまま非線形演算を行っても正しい演算結果を得ることができる。
（２）中間値やマスクされた秘密情報から予測される秘密情報の出現率が等しくなるような演算式を用いて演算を行うので、秘密情報が予測されることがない。
（３）各秘密情報（ａ，ｂ）を入れ替えても、マスクされた秘密情報を持つ変数（Ａ，Ｂ）に各秘密情報（ａ，ｂ）の変化を反映させれば、演算結果が変わらないような対称な演算式を用いて演算処理を行うので、秘密情報が予測されることがない。
（４）論理和の値を算出する場合、第１のマスクされた秘密情報及び第２のマスクされた秘密情報には、最初に否定処理を施して、その後の演算を行うので、最終的な演算結果を効率よく得ることができる。
（５）秘密情報の論理積及び／又は論理和に関する演算は、ハッシュ関数，ストリーム暗号及びブロック暗号のうち少なくとも１つの処理の一部又は全部に用いられるので、これらの処理をより安全に行うことができる。
（５）秘密情報の論理積及び／又は論理和に関する演算は、ハッシュ関数，ストリーム暗号及びブロック暗号のうち少なくとも１つの処理の一部又は全部に用いられるので、これらの処理をより安全に行うことができる。
以下、図面等を参照して、本発明の実施形態について、さらに詳しく説明する。
（実施形態）
図１は、本発明による暗号処理装置の実施形態を示す図である。
本実施形態のＩＣカード（暗号処理装置）１０は、通信部１１と、ＣＰＵ１２と、ＲＯＭ１３と、ＲＡＭ１４と、ＥＥＰＲＯＭ１５と、乱数生成部１６などとを備え、非線形演算処理におけるサイドチャネル攻撃に対応可能なＩＣカードである。
（実施形態）
図１は、本発明による暗号処理装置の実施形態を示す図である。
本実施形態のＩＣカード（暗号処理装置）１０は、通信部１１と、ＣＰＵ１２と、ＲＯＭ１３と、ＲＡＭ１４と、ＥＥＰＲＯＭ１５と、乱数生成部１６などとを備え、非線形演算処理におけるサイドチャネル攻撃に対応可能なＩＣカードである。
通信部１１は、外部装置としてのリーダライタ２０とコマンドやデータを送受信するための入出力インターフェースであり、例えば、接触式の接触端子や、非接触式のアンテナなどを備える。
ＣＰＵ１２は、通信部１１を介してリーダライタ２０と交信し、ＲＯＭ１３に記憶されているプログラム（制御プログラム，暗号処理プログラムなど）に基づいてＩＣカード１０を統括制御する部分である。また、ＣＰＵ１２は、後述する秘密情報、乱数情報、マスクされた秘密情報、中間値などを用いて、秘密情報の論理積や論理和を、秘密情報を漏洩せずに、安全かつ間接的に求める演算を行う。
ＣＰＵ１２は、通信部１１を介してリーダライタ２０と交信し、ＲＯＭ１３に記憶されているプログラム（制御プログラム，暗号処理プログラムなど）に基づいてＩＣカード１０を統括制御する部分である。また、ＣＰＵ１２は、後述する秘密情報、乱数情報、マスクされた秘密情報、中間値などを用いて、秘密情報の論理積や論理和を、秘密情報を漏洩せずに、安全かつ間接的に求める演算を行う。
ＲＯＭ１３は、不揮発性のメモリであり、ＣＰＵ１２によって実行されるプログラムが記憶されている。
ＲＡＭ１４は、揮発性のメモリであり、ＣＰＵ１２が制御を行う上で作業領域として使用される。
ＥＥＰＲＯＭ１５は、書き換え可能な不揮発性のメモリであり、ＩＣカード１０に記録されるデータを格納する。
乱数生成部１６は、ＣＰＵ１２の指示により、所定の乱数を発生する部分である。
ＲＡＭ１４は、揮発性のメモリであり、ＣＰＵ１２が制御を行う上で作業領域として使用される。
ＥＥＰＲＯＭ１５は、書き換え可能な不揮発性のメモリであり、ＩＣカード１０に記録されるデータを格納する。
乱数生成部１６は、ＣＰＵ１２の指示により、所定の乱数を発生する部分である。
図２は、ＲＡＭ１４に展開されるデータの様子を示す図である。
暗号処理時には、ＣＰＵ１２の指示により、演算用のデータとして、ＲＡＭ１４に秘密情報ａ，ｂ、乱数情報ｍ1，ｍ2，マスクされた秘密情報Ａ，Ｂなどが展開される。なお、図２では、秘密情報はａ〜ｚ、マスクされた秘密情報はＡ〜Ｚの例で示しているが、以下の説明では、２つの秘密情報ａ，ｂと、２つのマスクされた秘密情報Ａ，Ｂの例で説明する。
暗号処理時には、ＣＰＵ１２の指示により、演算用のデータとして、ＲＡＭ１４に秘密情報ａ，ｂ、乱数情報ｍ1，ｍ2，マスクされた秘密情報Ａ，Ｂなどが展開される。なお、図２では、秘密情報はａ〜ｚ、マスクされた秘密情報はＡ〜Ｚの例で示しているが、以下の説明では、２つの秘密情報ａ，ｂと、２つのマスクされた秘密情報Ａ，Ｂの例で説明する。
図３は、ＩＣカード１０の動作を説明する図である。図３の括弧内の番号は、以下の各式の番号と対応している。
ここでは、秘密情報ａと秘密情報ｂとのＡＮＤ演算（論理積）について説明する。なお、以下の演算処理は、ＩＣカード１０のＣＰＵ１２が処理を行わせている。
サイドチャネル攻撃の対策として、秘密情報に乱数をＸＯＲ演算（排他的論理和）し、その状態のまま演算を行う必要があるが、非線形処理であるＡＮＤ演算において、秘密情報に乱数をＸＯＲ演算した状態のまま演算を行うと、正しい演算結果を得ることができない。
そこで、マスク処理を保持した状態で、秘密情報ａと秘密情報ｂとのＡＮＤ演算を行うための方法を提案する。ここでは、以下の式（１．１）の演算結果を求める状況を想定する。なお、以下の説明中、「・」はＡＮＤ演算（論理積）を示し、「＋」はＯＲ演算（論理和）を示し、丸の中に加算の記号は、ＸＯＲ演算（排他的論理和）を示している。
ここでは、秘密情報ａと秘密情報ｂとのＡＮＤ演算（論理積）について説明する。なお、以下の演算処理は、ＩＣカード１０のＣＰＵ１２が処理を行わせている。
サイドチャネル攻撃の対策として、秘密情報に乱数をＸＯＲ演算（排他的論理和）し、その状態のまま演算を行う必要があるが、非線形処理であるＡＮＤ演算において、秘密情報に乱数をＸＯＲ演算した状態のまま演算を行うと、正しい演算結果を得ることができない。
そこで、マスク処理を保持した状態で、秘密情報ａと秘密情報ｂとのＡＮＤ演算を行うための方法を提案する。ここでは、以下の式（１．１）の演算結果を求める状況を想定する。なお、以下の説明中、「・」はＡＮＤ演算（論理積）を示し、「＋」はＯＲ演算（論理和）を示し、丸の中に加算の記号は、ＸＯＲ演算（排他的論理和）を示している。
また、ここでは、
秘密情報ａ；第１の秘密情報
秘密情報ｂ；第２の秘密情報
乱数情報ｍ1；第１の乱数情報
乱数情報ｍ2；第２の乱数情報
マスクされた秘密情報Ａ；第１のマスクされた秘密情報
マスクされた秘密情報Ｂ；第２のマスクされた秘密情報
中間値Ｔｅｍｐ１；第１の中間値
中間値Ｔｅｍｐ２；第２の中間値
中間値Ｔｅｍｐ３；第３の中間値
ｒｅｓｕｌｔ；第１の秘密情報と第２の秘密情報との論理積の値
としている。
秘密情報ａ；第１の秘密情報
秘密情報ｂ；第２の秘密情報
乱数情報ｍ1；第１の乱数情報
乱数情報ｍ2；第２の乱数情報
マスクされた秘密情報Ａ；第１のマスクされた秘密情報
マスクされた秘密情報Ｂ；第２のマスクされた秘密情報
中間値Ｔｅｍｐ１；第１の中間値
中間値Ｔｅｍｐ２；第２の中間値
中間値Ｔｅｍｐ３；第３の中間値
ｒｅｓｕｌｔ；第１の秘密情報と第２の秘密情報との論理積の値
としている。
秘密情報ａ，ｂは、秘密とすべき情報であり、乱数情報ｍ1，ｍ2は、乱数生成部１６で生成される乱数であり、マスクされた秘密情報Ａ，Ｂは、秘密情報ａ，ｂと乱数情報ｍ1
，ｍ2とを排他的論理和により加算することによって得られた値であり、中間値Ｔｅｍｐ
１〜Ｔｅｍｐ３は、マスクされた秘密情報Ａ，Ｂのマスクを除去するための値である。
，ｍ2とを排他的論理和により加算することによって得られた値であり、中間値Ｔｅｍｐ
１〜Ｔｅｍｐ３は、マスクされた秘密情報Ａ，Ｂのマスクを除去するための値である。
式（１．１）において、秘密情報ａ，ｂは、秘密にされるべき要素であるが、この演算を直接行うと、ＤＰＡなどにより、秘密情報ａ，ｂの値を推測されてしまう可能性がある。
演算結果を読み取られても問題がないようにするため、式（１．２），式（１．３）に示すように、あらかじめそれぞれの秘密情報ａ，ｂに乱数情報ｍ1，ｍ2をＸＯＲ演算してマスクしておく。これにより、すべての演算の入力値に、異なる乱数情報がＸＯＲ演算されることになる。
演算結果を読み取られても問題がないようにするため、式（１．２），式（１．３）に示すように、あらかじめそれぞれの秘密情報ａ，ｂに乱数情報ｍ1，ｍ2をＸＯＲ演算してマスクしておく。これにより、すべての演算の入力値に、異なる乱数情報がＸＯＲ演算されることになる。
ここで、乱数情報ｍ1，ｍ2は、乱数生成部１６で生成された任意の乱数である。この乱数情報ｍ1，ｍ2と秘密情報ａ，ｂとをＸＯＲ演算したマスクされた秘密情報Ａ，Ｂの値で計算を行うことにより、サイドチャネル攻撃で値を読み取られたとしても、読み取られた値から秘密情報ａ，ｂを推測することが不可能になる。
マスクされた秘密情報Ａ，Ｂを使用してＡＮＤ演算を行うと、式（１．４）のようになる。
マスクされた秘密情報Ａ，Ｂを使用してＡＮＤ演算を行うと、式（１．４）のようになる。
この演算より、秘密情報ａ，ｂ同士の論理積であるａ・ｂを求めるためには、（ａ・ｍ2），（ｂ・ｍ1），（ｍ1・ｍ2）をそれぞれ求め、式（１．４）に対してそれぞれＸＯＲ演算する必要がある。ただし、これらの値を求める際に、秘密情報ａ，ｂを直接使用してはならない。そのため、マスクされた秘密情報Ａ，Ｂ、乱数情報ｍ1，ｍ2のみを利用して、以下の３つの式（１．５）（１．６）（１．７）を用いて演算を行う。
式（１．５），式（１．６），式（１．７）より、それぞれの結果を利用して演算を行うと、以下の式（１．８）となり、秘密情報ａ，ｂを直接演算に利用せずに、目的とする式（１．１）の演算結果を得ることが可能となる。
また、式（１．４），式（１．５），式（１．６）は、マスクされた秘密情報Ａ，Ｂを含んだ中間値Ｔｅｍｐ１〜Ｔｅｍｐ３とマスクされた秘密情報Ａ，Ｂとから予測される秘密情報ａ，ｂの出現率が等しくなるような演算式である（出現率の詳細は後述）。
さらに、式（１．４），式（１．５），式（１．６），式（１．７）は、２つの秘密情報ａ，ｂのうちａとｂとを入れ替えても演算結果が変わらないような対称な演算式である。
さらに、式（１．４），式（１．５），式（１．６），式（１．７）は、２つの秘密情報ａ，ｂのうちａとｂとを入れ替えても演算結果が変わらないような対称な演算式である。
次に、上述したアルゴリズムの安全性について検討する。
上述したアルゴリズムによって、サイドチャネル攻撃の対策により秘密情報ａ，ｂを乱数情報ｍ1，ｍ2でマスク処理したまま演算を行うことが可能となり、ＤＰＡ攻撃などによる秘密情報ａ，ｂの推測を防ぐことが可能となる。
しかし、秘密情報ａ，ｂを演算に直接利用していなくとも，途中演算において、秘密情報ａ，ｂをマスク処理したデータ同士の演算結果により、秘密情報ａ，ｂの推測又は絞り込みが行える可能性もある。
２項間（複数の式）で演算を行うこととした場合、上述したアルゴリズムで実際に計算を行う必要があるのは以下の演算である。
上述したアルゴリズムによって、サイドチャネル攻撃の対策により秘密情報ａ，ｂを乱数情報ｍ1，ｍ2でマスク処理したまま演算を行うことが可能となり、ＤＰＡ攻撃などによる秘密情報ａ，ｂの推測を防ぐことが可能となる。
しかし、秘密情報ａ，ｂを演算に直接利用していなくとも，途中演算において、秘密情報ａ，ｂをマスク処理したデータ同士の演算結果により、秘密情報ａ，ｂの推測又は絞り込みが行える可能性もある。
２項間（複数の式）で演算を行うこととした場合、上述したアルゴリズムで実際に計算を行う必要があるのは以下の演算である。
上記以外の演算は、上記演算から発生したデータを用いて演算を行うため、これらの演算において秘密情報ａ，ｂが推測できなければ、それ以降の演算においても秘密情報ａ，ｂを推測することはできない。
そのため、上記演算から秘密情報ａ，ｂが推測できなければ途中演算からの推測はできないと考えられる。
式（１．９）〜式（１．１１）のそれぞれの演算について真理値表を作成すると、以下の表１〜表３のようになる。
そのため、上記演算から秘密情報ａ，ｂが推測できなければ途中演算からの推測はできないと考えられる。
式（１．９）〜式（１．１１）のそれぞれの演算について真理値表を作成すると、以下の表１〜表３のようになる。
表１は、式（１．９）の真理値表を示す表であり、表２は、式（１．１０）の真理値表を示す表であり、表３は、式（１．１１）の真理値表を示す表である。
表１より、マスクされた秘密情報同士の論理積であるＡ・Ｂでは、Ａ・Ｂ＝０の状況下において、秘密情報ａ，ｂがそれぞれ０，１になる確率（０，１の出現率）は等しくなることがわかる。
具体的には、Ａ・Ｂ＝０の場合は、ａ＝０の場合が６通り、ａ＝１の場合が６通り、ｂ＝０の場合が６通り、ｂ＝１の場合が６通りである。
表１より、マスクされた秘密情報同士の論理積であるＡ・Ｂでは、Ａ・Ｂ＝０の状況下において、秘密情報ａ，ｂがそれぞれ０，１になる確率（０，１の出現率）は等しくなることがわかる。
具体的には、Ａ・Ｂ＝０の場合は、ａ＝０の場合が６通り、ａ＝１の場合が６通り、ｂ＝０の場合が６通り、ｂ＝１の場合が６通りである。
同様に、Ａ・Ｂ＝１の状況下においても、秘密情報ａ，ｂがそれぞれ０，１になる確率は等しい。
具体的には、Ａ・Ｂ＝１の場合は、ａ＝０の場合が２通り、ａ＝１の場合が２通り、ｂ＝０の場合が２通り、ｂ＝１の場合が２通りである。
このことから、例え、Ａ・Ｂの値が外部に漏洩したとしても、そのＡ・Ｂの値より秘密情報ａ，ｂを推測することは不可能であることがわかる。
具体的には、Ａ・Ｂ＝１の場合は、ａ＝０の場合が２通り、ａ＝１の場合が２通り、ｂ＝０の場合が２通り、ｂ＝１の場合が２通りである。
このことから、例え、Ａ・Ｂの値が外部に漏洩したとしても、そのＡ・Ｂの値より秘密情報ａ，ｂを推測することは不可能であることがわかる。
また、表２より、マスクされた秘密情報と乱数情報との論理積であるＡ・ｍ2では、Ａ
・ｍ2＝０，１の状況下において、秘密情報ａ＝０，１となる確率はそれぞれ等しい。そ
のため、Ａ・ｍ2より秘密情報ａを推測することはできない。
同様に、表３より、マスクされた秘密情報と乱数情報との論理積であるＢ・ｍ1では、
Ｂ・ｍ1＝０，１の状況下において、秘密情報ｂ＝０，１となる確率はそれぞれ等しいた
め、Ｂ・ｍ1から秘密情報ｂを推測することは不可能である。
・ｍ2＝０，１の状況下において、秘密情報ａ＝０，１となる確率はそれぞれ等しい。そ
のため、Ａ・ｍ2より秘密情報ａを推測することはできない。
同様に、表３より、マスクされた秘密情報と乱数情報との論理積であるＢ・ｍ1では、
Ｂ・ｍ1＝０，１の状況下において、秘密情報ｂ＝０，１となる確率はそれぞれ等しいた
め、Ｂ・ｍ1から秘密情報ｂを推測することは不可能である。
さらに、上述した式（１．１２）では、秘密情報ａ，ｂの論理積に関する演算を行うので、秘密情報ａ，ｂは一切利用しておらず、この演算から秘密情報ａ，ｂを推測される可能性はない。
次に、ＯＲ演算について説明する。
ＯＲ演算も、基本的には、ＡＮＤ演算と同様であり、サイドチャネル攻撃の対策として、マスク処理を保持した状態で演算を行う必要がある。ここでは、以下の式（２．１）の演算結果を求める状況を想定する。
ＯＲ演算も、基本的には、ＡＮＤ演算と同様であり、サイドチャネル攻撃の対策として、マスク処理を保持した状態で演算を行う必要がある。ここでは、以下の式（２．１）の演算結果を求める状況を想定する。
式（２．１）において、秘密情報ａ，ｂは、秘密にされるべき要素であるが、この演算を直接行うと、ＤＰＡなどにより、秘密情報ａ，ｂの値を推測されてしまう可能性がある。
演算結果を読み取られても問題がないようにするため、式（２．２），式（２．３）に示すように、あらかじめそれぞれの秘密情報ａ，ｂに乱数情報ｍ1，ｍ2をＸＯＲ演算してマスクしておく。
演算結果を読み取られても問題がないようにするため、式（２．２），式（２．３）に示すように、あらかじめそれぞれの秘密情報ａ，ｂに乱数情報ｍ1，ｍ2をＸＯＲ演算してマスクしておく。
後ほどド・モルガンの定理を用いるために、マスクされた秘密情報Ａ，ＢにはあらかじめＮＯＴ演算（否定処理）を施しておく。演算としては、秘密情報ａ，ｂにＮＯＴ処理を行うことと同じ意味であるが、秘密情報ａ，ｂを用いて直接演算すると演算結果を読み取
られる危険があるため、式（２．４），式（２．５）に示すように、マスク処理後のマスクされた秘密情報Ａ，ＢについてＮＯＴ処理を施す。
られる危険があるため、式（２．４），式（２．５）に示すように、マスク処理後のマスクされた秘密情報Ａ，ＢについてＮＯＴ処理を施す。
ここで、乱数情報ｍ1，ｍ2は、乱数生成部１６で生成された任意の乱数である。マスクされた秘密情報Ａ，Ｂを使用してＡＮＤ演算を行うと、式（２．６）のようになる。
この式（２．６）の演算より、秘密情報同士の論理積であるａ＋ｂを求めるために、あらかじめ以下の式（２．７），式（２．８），式（２．９）演算結果を算出しておく。
そして、ＡＮＤ演算時と同様に、式（２．７），式（２．８），式（２．９）より，それぞれの結果を利用して演算を行うと、式（２．１０）のようになる。
式（２．１０）の結果より、ド・モルガンの定理を用いて以下の式（２．１１）ように変換を行う。
式（２．１１）の演算より、秘密情報ａ，ｂを直接演算に利用せず、目的とする式（２．１）の演算結果を得ることができる。
なお、上述したアルゴリズムの安全性に関して、途中演算からの秘密情報ａ，ｂの推測については、上述した表１〜表３と同様であり、安全性は確保されている。
なお、上述したアルゴリズムの安全性に関して、途中演算からの秘密情報ａ，ｂの推測については、上述した表１〜表３と同様であり、安全性は確保されている。
ここで、上述したアルゴリズムをより安全に実行する方法について説明する。
上述した各式の通りに、ＤＰＡ対策を行えば、基本的には問題はないが、所定の場合には、表１〜表３の真理値表が成り立たず、秘密情報ａ，ｂを推測することができる可能性がある。
具体的には、式（１．１２）〜式（１．１４）個別では、秘密情報ａ，ｂが漏洩することはないが、それらをＸＯＲ演算で加算すると、情報漏えいにつながる可能性がある。
そこで、この解決策として、第３の乱数情報ｍ3を導入し、式（１．７）を以下の式（
１．１３）とし、式（１．８）を以下の式（１．１４）として演算を行う。
なお、上述した真理値表（表１〜表３）は、必ず成り立つものである。問題は、第３の乱数情報ｍ3をＸＯＲ演算で加算しておかないと、中間値Ｔｅｍｐ１と中間値Ｔｅｍｐ２
とをＸＯＲ処理するなど中間値同士をＸＯＲ処理した更なる中間値が秘密情報の漏洩につながる偏りを見せてしまう、ということである。ただ、中間値単独で考えれば情報漏えいの問題はないので、「問題ない値（Ｔｅｍｐ１，Ｔｅｍｐ２）を２つＸＯＲ演算してなぜ問題がある値になってしまうのか」という点で疑問が生じるが、これは実際コンピュータで計算して確認した結果なので問題ない。これを細かく説明すると、漏洩につながる偏りを見せてしまう原因は、第３の乱数情報ｍ3を使わない場合、中間値Ｔｅｍｐ１，Ｔｅｍ
ｐ２，Ｔｅｍｐ３のうち２つをＸＯＲ処理したときの値は、第１の乱数情報ｍ1と第２の
乱数情報ｍ2の要素が相殺されてしまうためであり、結果として、値に偏りが生じること
になる。このような問題点に対して、第３の乱数情報ｍ3を導入することで、値に偏りが
生じなくなる。
上述した各式の通りに、ＤＰＡ対策を行えば、基本的には問題はないが、所定の場合には、表１〜表３の真理値表が成り立たず、秘密情報ａ，ｂを推測することができる可能性がある。
具体的には、式（１．１２）〜式（１．１４）個別では、秘密情報ａ，ｂが漏洩することはないが、それらをＸＯＲ演算で加算すると、情報漏えいにつながる可能性がある。
そこで、この解決策として、第３の乱数情報ｍ3を導入し、式（１．７）を以下の式（
１．１３）とし、式（１．８）を以下の式（１．１４）として演算を行う。
なお、上述した真理値表（表１〜表３）は、必ず成り立つものである。問題は、第３の乱数情報ｍ3をＸＯＲ演算で加算しておかないと、中間値Ｔｅｍｐ１と中間値Ｔｅｍｐ２
とをＸＯＲ処理するなど中間値同士をＸＯＲ処理した更なる中間値が秘密情報の漏洩につながる偏りを見せてしまう、ということである。ただ、中間値単独で考えれば情報漏えいの問題はないので、「問題ない値（Ｔｅｍｐ１，Ｔｅｍｐ２）を２つＸＯＲ演算してなぜ問題がある値になってしまうのか」という点で疑問が生じるが、これは実際コンピュータで計算して確認した結果なので問題ない。これを細かく説明すると、漏洩につながる偏りを見せてしまう原因は、第３の乱数情報ｍ3を使わない場合、中間値Ｔｅｍｐ１，Ｔｅｍ
ｐ２，Ｔｅｍｐ３のうち２つをＸＯＲ処理したときの値は、第１の乱数情報ｍ1と第２の
乱数情報ｍ2の要素が相殺されてしまうためであり、結果として、値に偏りが生じること
になる。このような問題点に対して、第３の乱数情報ｍ3を導入することで、値に偏りが
生じなくなる。
このようにすれば、秘密情報ａ，ｂを推測することが完全にできなくなり、安全性がよ
り高まる。
り高まる。
これと同様に、第３の乱数情報をｍ3とし、式（２．９）を以下の式（２．１２）とし
、式（２．１０）を以下の式（２．１３）としても、安全性を高めることができる。
、式（２．１０）を以下の式（２．１３）としても、安全性を高めることができる。
このように、本実施形態によれば、以下のような効果がある。
（１）マスクされた秘密情報Ａ，Ｂと、中間値Ｔｅｍｐ１〜Ｔｅｍｐ３を用いて、秘密情報ａ，ｂのＡＮＤ演算やＯＲ演算に関する演算を行うので、演算中に秘密情報ａ，ｂを用いる必要がなく、秘密情報ａ，ｂが漏洩することがない。また、最終的には、中間値Ｔｅｍｐ１〜Ｔｅｍｐ３によってマスクを除去することができるので、秘密情報ａ，ｂにマスク処理をしたまま非線形演算を行っても正しい演算結果を得ることができる。さらに、暗号演算内のＡＮＤ演算とＯＲ演算とを、サイドチャネル攻撃などの脅威から守ることができる。
（１）マスクされた秘密情報Ａ，Ｂと、中間値Ｔｅｍｐ１〜Ｔｅｍｐ３を用いて、秘密情報ａ，ｂのＡＮＤ演算やＯＲ演算に関する演算を行うので、演算中に秘密情報ａ，ｂを用いる必要がなく、秘密情報ａ，ｂが漏洩することがない。また、最終的には、中間値Ｔｅｍｐ１〜Ｔｅｍｐ３によってマスクを除去することができるので、秘密情報ａ，ｂにマスク処理をしたまま非線形演算を行っても正しい演算結果を得ることができる。さらに、暗号演算内のＡＮＤ演算とＯＲ演算とを、サイドチャネル攻撃などの脅威から守ることができる。
（２）マスク演算の最終出力全てを参照テーブルとしてプログラムに組み込む方法に比べ、本願発明のようにブール代数の基本演算（ＡＮＤ，ＯＲ，ＮＯＴ，ＸＯＲ）を組み合わせる手法の方が、処理速度を向上させることができる。
（３）テーブルを使用していないので、メモリ使用量も減らせ、演算のリソース（ハードウェアやソフトウェアの資源）の負担が軽減でき、また、データを保護するマスク用の乱数情報ｍ1，ｍ2を定期的に変えられるため、セキュリティが向上する。
（３）テーブルを使用していないので、メモリ使用量も減らせ、演算のリソース（ハードウェアやソフトウェアの資源）の負担が軽減でき、また、データを保護するマスク用の乱数情報ｍ1，ｍ2を定期的に変えられるため、セキュリティが向上する。
（４）中間値Ｔｅｍｐ１〜Ｔｅｍｐ３やマスクされた秘密情報Ａ，Ｂから予測される秘密情報ａ，ｂの出現率が等しくなるような演算式を用いて演算を行うので、秘密情報ａ，ｂが予測されることがない。
（５）各秘密情報ａ，ｂを入れ替えても、マスクされた秘密情報を持つ変数Ａ，Ｂに各秘密情報ａ，ｂの変化を反映させれば、演算結果が変わらないような対称な演算式を用いて演算処理を行うので、秘密情報ａ，ｂが予測されることがない。
（５）各秘密情報ａ，ｂを入れ替えても、マスクされた秘密情報を持つ変数Ａ，Ｂに各秘密情報ａ，ｂの変化を反映させれば、演算結果が変わらないような対称な演算式を用いて演算処理を行うので、秘密情報ａ，ｂが予測されることがない。
（６）論理和の値を算出する場合、秘密情報ａ，ｂには、最初にＮＯＴ演算を施して、その後の演算を行うので、最終的な演算結果を効率よく得ることができる。
（７）秘密情報ａ，ｂの論理積や論理和に関する演算は、ハッシュ関数やストリーム暗号、ブロック暗号の処理の一部として用いられるので、これらの処理をより安全に行うことができる。
（７）秘密情報ａ，ｂの論理積や論理和に関する演算は、ハッシュ関数やストリーム暗号、ブロック暗号の処理の一部として用いられるので、これらの処理をより安全に行うことができる。
（８）提案した非線形演算におけるサイドチャネル攻撃の対策アルゴリズムは、実際にＡＮＤ演算又はＯＲ演算を利用する暗号や、認証用のアルゴリズムにおいて秘密鍵を守る目的で利用することが考えられ、特に、ＨＭＡＣ−ＳＨＡ１のアルゴリズムに好適に適用することができる。
ＨＭＡＣ−ＳＨＡ１とは、認証やデジタル署名などに使用されるハッシュ関数（厳密に言えば、ハッシュ関数より上位の関数）である。ＨＭＡＣ−ＳＨＡ１は、秘密情報と公開情報を混合して認証のためのデータを生成する手法であり、演算に使用する情報を秘密にすることができる。サイドチャネル攻撃の対策を行う際、乱数をＸＯＲ演算してマスクをかけた状態で演算することが考えられるが、ＨＭＡＣ−ＳＨＡ１のアルゴリズムでは、ＡＮＤ演算を利用するため、マスクをかけた状態で演算を行うと、正しい演算結果を得ることができない。
この問題を防ぐために、ＡＮＤ演算部分に上述の手法を適用することにより、サイドチャネル攻撃を防ぐことができる。なお、ＨＭＡＣ−ＳＨＡ１の他にも、ＨＭＡＣの下位層にあたるＨＭＡＣ−ＲＩＰＥＭＤ１６０などといったハッシュ関数にも適用することができる。
この問題を防ぐために、ＡＮＤ演算部分に上述の手法を適用することにより、サイドチャネル攻撃を防ぐことができる。なお、ＨＭＡＣ−ＳＨＡ１の他にも、ＨＭＡＣの下位層にあたるＨＭＡＣ−ＲＩＰＥＭＤ１６０などといったハッシュ関数にも適用することができる。
（変形形態）
以上説明した実施形態に限定されることなく、種々の変形や変更が可能であって、それらも本発明の範囲内である。
（１）実施形態では、暗号処理装置は、ＩＣカードの例で説明したが、セキュアートークン（代用硬貨）、携帯可能演算装置、ハードウェア、セキュリティ・モジュール、携帯電話機、ＵＩＭカード、ＳＩＭカード、ＩＣカードの暗号ソフト、ＰＣ用のセキュリティチップなどであってもよい。
（２）ＩＣカード用の暗号プログラムとしては、Ｋｅｙｅｄ・Ｈａｓｈ暗号（ＨＭＡＣ−ＳＨＡ１，ＨＭＡＣ−ＲＩＰＥＭＤ１６０など）に使用することもできる。
以上説明した実施形態に限定されることなく、種々の変形や変更が可能であって、それらも本発明の範囲内である。
（１）実施形態では、暗号処理装置は、ＩＣカードの例で説明したが、セキュアートークン（代用硬貨）、携帯可能演算装置、ハードウェア、セキュリティ・モジュール、携帯電話機、ＵＩＭカード、ＳＩＭカード、ＩＣカードの暗号ソフト、ＰＣ用のセキュリティチップなどであってもよい。
（２）ＩＣカード用の暗号プログラムとしては、Ｋｅｙｅｄ・Ｈａｓｈ暗号（ＨＭＡＣ−ＳＨＡ１，ＨＭＡＣ−ＲＩＰＥＭＤ１６０など）に使用することもできる。
（３）上述したような手順によって制御を行う暗号処理プログラムを配信するようにしてもよい。なお、本発明でいうコンピュータとは、記憶手段、制御手段などを備えた情報処理装置をいい、パーソナルコンピュータも、携帯電話機も、本発明のコンピュータの概念に含まれる。
（４）上述したような工程を備える暗号化方法によって暗号処理を行ってもよい。
（４）上述したような工程を備える暗号化方法によって暗号処理を行ってもよい。
１０ ＩＣカード（暗号処理装置）
１１ 通信部
１２ ＣＰＵ
１３ ＲＯＭ
１４ ＲＡＭ
１５ ＥＥＰＲＯＭ
１６ 乱数生成部
２０ リーダライタ
ａ，ｂ 秘密情報
Ａ，Ｂ マスクされた秘密情報
ｍ1，ｍ2 乱数情報
Ｔｅｍｐ１〜Ｔｅｍｐ３ 中間値
１１ 通信部
１２ ＣＰＵ
１３ ＲＯＭ
１４ ＲＡＭ
１５ ＥＥＰＲＯＭ
１６ 乱数生成部
２０ リーダライタ
ａ，ｂ 秘密情報
Ａ，Ｂ マスクされた秘密情報
ｍ1，ｍ2 乱数情報
Ｔｅｍｐ１〜Ｔｅｍｐ３ 中間値
Claims (12)
- 第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する手段と、
第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する手段と、
前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する手段と、
前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する手段と、
前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する手段と、
前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理積の値を算出する手段と、
を備える暗号処理装置。 - 請求項１に記載の暗号処理装置において、
前記第１の秘密情報をａとし、
前記第２の秘密情報をｂとし、
前記第１の乱数情報をｍ１とし、
前記第２の乱数情報をｍ２とし、
前記第１のマスクされた秘密情報をＡとし、
前記第２のマスクされた秘密情報をＢとし、
前記第１の中間値をＴｅｍｐ１とし、
前記第２の中間値をＴｅｍｐ２とし、
前記第３の中間値をＴｅｍｐ３とし、
前記第１の秘密情報と前記第２の秘密情報との論理積の値をｒｅｓｕｌｔとした場合に、
以下の式（１．２）〜式（１．８）を用いて、式（１．１）の演算処理を行うこと、
- 請求項２に記載の暗号処理装置において、
第３の乱数情報をｍ３とし、
前記式（１．７）を以下の式（１．１３）とし、前記式（１．８）を以下の式（１．１４）とすること、
- 第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する手段と、
第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する手段と、
前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する手段と、
前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する手段と、
前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する手段と、
前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理和の値を算出する手段と、
を備える暗号処理装置。 - 請求項４に記載の暗号処理装置において、
前記第１のマスクされた秘密情報及び前記第２のマスクされた秘密情報には、最初に否定処理を施して、その後の演算を行うこと、
を特徴とする暗号処理装置。 - 請求項５に記載の暗号処理装置において、
前記第１の秘密情報をａとし、
前記第２の秘密情報をｂとし、
前記第１の乱数情報をｍ１とし、
前記第２の乱数情報をｍ２とし、
前記第１のマスクされた秘密情報をＡとし、
前記第２のマスクされた秘密情報をＢとし、
前記第１の中間値をＴｅｍｐ１とし、
前記第２の中間値をＴｅｍｐ２とし、
前記第３の中間値をＴｅｍｐ３とし、
前記第１の秘密情報と前記第２の秘密情報との論理和の値をｒｅｓｕｌｔとした場合に、
以下の式（２．２）〜式（２．１１）を用いて、式（２．１）の演算処理を行うこと、
- 請求項６に記載の暗号処理装置において、
第３の乱数情報をｍ３とし、
前記式（２．９）を以下の式（２．１２）とし、前記式（２．１０）を以下の式（２．１３）とすること、
- 請求項１から請求項７までのいずれか１項に記載の暗号処理装置において、
前記第１の秘密情報と前記第２の秘密情報との論理積又は論理和の算出は、ハッシュ関数，ストリーム暗号及びブロック暗号のうち少なくとも１つの処理の一部又は全部に用いられること、
を特徴とする暗号処理装置。 - コンピュータを、
第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する手段と、
第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する手段と、
前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する手段と、
前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する手段と、
前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する手段と、
前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理積の値を算出する手段と、
として機能させるための暗号処理プログラム。 - コンピュータを、
第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する手段と、
第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する手段と、
前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する手段と、
前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する手段と、
前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する手段と、
前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理和の値を算出する手段と、
として機能させるための暗号処理プログラム。 - 記憶部及び制御部を備える暗号処理装置が、第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する工程と、
前記暗号処理装置が、第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する工程と、
前記暗号処理装置が、前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する工程と、
前記暗号処理装置が、前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する工程と、
前記暗号処理装置が、前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する工程と、
前記暗号処理装置が、前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理積の値を算出する工程と、
を備える暗号処理方法。 - 記憶部及び制御部を備える暗号処理装置が、第１の秘密情報と第１の乱数情報とを排他的論理和により加算することによって前記第１の秘密情報をマスクし、第１のマスクされた秘密情報を算出する工程と、
前記暗号処理装置が、第２の秘密情報と第２の乱数情報とを排他的論理和により加算することによって前記第２の秘密情報をマスクし、第２のマスクされた秘密情報を算出する工程と、
前記暗号処理装置が、前記第１のマスクされた秘密情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第１の中間値を算出する工程と、
前記暗号処理装置が、前記第２のマスクされた秘密情報と前記第１の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第２の中間値を算出する工程と、
前記暗号処理装置が、前記第１の乱数情報と前記第２の乱数情報とを用いて、前記マスクされた秘密情報のマスクを除去するための第３の中間値を算出する工程と、
前記暗号処理装置が、前記第１のマスクされた秘密情報と、前記第２のマスクされた秘密情報と、前記第１の中間値と、前記第２の中間値と、前記第３の中間値とを用いて、前記第１の秘密情報と前記第２の秘密情報との論理和の値を算出する工程と、
を備える暗号処理方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007165154A JP4962165B2 (ja) | 2007-06-22 | 2007-06-22 | 暗号処理装置，暗号処理プログラム及び暗号処理方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007165154A JP4962165B2 (ja) | 2007-06-22 | 2007-06-22 | 暗号処理装置，暗号処理プログラム及び暗号処理方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2009005164A JP2009005164A (ja) | 2009-01-08 |
| JP4962165B2 true JP4962165B2 (ja) | 2012-06-27 |
Family
ID=40321053
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2007165154A Expired - Fee Related JP4962165B2 (ja) | 2007-06-22 | 2007-06-22 | 暗号処理装置，暗号処理プログラム及び暗号処理方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4962165B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11115210B2 (en) | 2017-08-07 | 2021-09-07 | Maxim Integrated Products, Inc. | Systems and methods for masking RSA operations |
Families Citing this family (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CA2767189C (en) * | 2009-09-29 | 2015-02-10 | Silverbrook Research Pty Ltd | Communication system, method and device with limited encryption key retrieval |
| JP5495825B2 (ja) * | 2010-02-01 | 2014-05-21 | Ｋｄｄｉ株式会社 | ストリーム暗号の秘匿計算暗号化装置、ストリーム暗号の秘匿計算復号化装置、暗号化方法、復号化方法およびプログラム |
| US8971526B2 (en) * | 2011-07-26 | 2015-03-03 | Crocus-Technology Sa | Method of counter-measuring against side-channel attacks |
| JP5951260B2 (ja) * | 2012-01-10 | 2016-07-13 | Kddi株式会社 | 論理演算装置、論理演算方法、およびプログラム |
| JP6035459B2 (ja) | 2012-04-02 | 2016-11-30 | 株式会社クリプト・ベーシック | 暗号化装置、復号化装置、及びプログラム |
| JP2015102639A (ja) * | 2013-11-22 | 2015-06-04 | Kddi株式会社 | 演算装置、演算方法、コンピュータプログラムおよびストリーム暗号化装置 |
| JP6212377B2 (ja) * | 2013-12-17 | 2017-10-11 | Kddi株式会社 | 演算装置、演算方法およびコンピュータプログラム |
| JP6360440B2 (ja) * | 2015-01-06 | 2018-07-18 | Kddi株式会社 | 復号装置、方法及びプログラム |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4003723B2 (ja) * | 2003-09-12 | 2007-11-07 | 株式会社日立製作所 | 情報処理装置、耐タンパ処理装置 |
| KR101061906B1 (ko) * | 2004-02-19 | 2011-09-02 | 삼성전자주식회사 | 전력분석공격에 안전한 기본 연산 장치 및 방법 |
| JP4271077B2 (ja) * | 2004-04-30 | 2009-06-03 | 株式会社東芝 | マスク論理回路及び暗号装置 |
| JP4859370B2 (ja) * | 2005-01-19 | 2012-01-25 | 三菱電機株式会社 | 電子素子 |
-
2007
- 2007-06-22 JP JP2007165154A patent/JP4962165B2/ja not_active Expired - Fee Related
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11115210B2 (en) | 2017-08-07 | 2021-09-07 | Maxim Integrated Products, Inc. | Systems and methods for masking RSA operations |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2009005164A (ja) | 2009-01-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4962165B2 (ja) | 暗号処理装置，暗号処理プログラム及び暗号処理方法 | |
| US20090097637A1 (en) | Randomized rsa-based cryptographic exponentiation resistant to side channel and fault attacks | |
| US11256478B2 (en) | Method for securing a cryptographic process with SBOX against high-order side-channel attacks | |
| JPH10154976A (ja) | タンパーフリー装置 | |
| EP3596876B1 (en) | Elliptic curve point multiplication device and method for signing a message in a white-box context | |
| US6914986B2 (en) | Countermeasure method in an electronic component using a public key cryptography algorithm on an elliptic curve | |
| EP3503459B1 (en) | Device and method for protecting execution of a cryptographic operation | |
| US9847879B2 (en) | Protection against passive sniffing | |
| JP2011072040A (ja) | 誤りに基づく攻撃から電子回路を保護する方法 | |
| JP2021144239A (ja) | 暗号アルゴリズム向けのワンタイムの中国剰余定理のべき乗のためのシステムおよび方法 | |
| US7286666B1 (en) | Countermeasure method in an electric component implementing an elliptical curve type public key cryptography algorithm | |
| US12052348B2 (en) | Computation device using shared shares | |
| TWI512610B (zh) | 利用模數的特殊形式之模組約化 | |
| WO2012090289A1 (ja) | 暗号処理装置および方法 | |
| US9780946B2 (en) | Elliptic curve encryption method comprising an error detection | |
| WO2017114739A1 (en) | System and method for hiding a cryptographic secret using expansion | |
| US10305678B2 (en) | Imbalanced montgomery ladder | |
| EP3166013B1 (en) | Modular exponentiation using randomized addition chains | |
| US11968290B2 (en) | Circuit compiling device and circuit evaluation device | |
| US20170286063A1 (en) | Non-modular multiplier, method for non-modular multiplication and computational device | |
| KR102067065B1 (ko) | 전력 분석 및 전자파 분석에 안전한 메시지 랜덤화 기반의 행렬-벡터 곱 연산 장치, 이를 이용한 암호화 장치 및 방법 | |
| US10055194B2 (en) | Operation based on two operands | |
| EP4297330A1 (en) | Method and system for protecting cryptographic operations against side-channel attacks | |
| EP4372548A1 (en) | Protecting cryptographic operations againt horizontal side-channel analysis attacks | |
| US11329796B2 (en) | Protection of an iterative calculation |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20100205 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20111208 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20111220 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20120213 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20120228 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120312 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4962165 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150406 Year of fee payment: 3 |
|
| LAPS | Cancellation because of no payment of annual fees |