JP5398353B2 - Hash value calculation device, hash value calculation method, and hash value calculation program - Google Patents
Hash value calculation device, hash value calculation method, and hash value calculation program Download PDFInfo
- Publication number
- JP5398353B2 JP5398353B2 JP2009125976A JP2009125976A JP5398353B2 JP 5398353 B2 JP5398353 B2 JP 5398353B2 JP 2009125976 A JP2009125976 A JP 2009125976A JP 2009125976 A JP2009125976 A JP 2009125976A JP 5398353 B2 JP5398353 B2 JP 5398353B2
- Authority
- JP
- Japan
- Prior art keywords
- value
- hash
- input
- bit length
- function
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
この発明は、例えば、効率的にハッシュ値を計算する技術に関する。 The present invention relates to a technique for efficiently calculating a hash value, for example.
非特許文献１には、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ（Ｗｅａｋｅｎｅｄ Ｆｉｘｅｄ Ｉｎｐｕｔ Ｌｅｎｇｔｈ Ｒａｎｄｏｍ Ｏｒａｃｌｅ））を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能なハッシュ関数であるジッパーハッシュ関数（ｚｉｐｐｅｒハッシュ関数）についての記載がある。
Non-Patent
非特許文献２には、一方向性が破られた理想的な圧縮関数を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能なハッシュ関数であるダブルパイプハッシュ関数（ｄｏｕｂｌｅ ｐｉｐｅハッシュ関数）についての記載がある。
Non-Patent
非特許文献１，２に記載されたジッパーハッシュ関数とダブルパイプハッシュ関数とは、一方向性が破られた理想的な圧縮関数を用い、ランダムオラクルと強識別不可能なハッシュ関数であるものの、計算効率が悪い。
この発明は、例えば、一方向性が破られた理想的な圧縮関数を用いて構成した場合であっても、ランダムオラクルと強識別不可能であるハッシュ関数であって、ジッパーハッシュ関数やダブルパイプハッシュ関数よりも計算効率がよいハッシュ関数を構成することを目的とする。
Although the zipper hash function and the double pipe hash function described in
The present invention is, for example, a hash function that cannot be strongly distinguished from a random oracle even if it is configured using an ideal compression function with broken unidirectionality. The object is to construct a hash function that is more computationally efficient than the hash function.
この発明に係るハッシュ値演算装置は、例えば、
ｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力する既定長値入力部と、
前記既定長値入力部が入力した値ｐ［１］，．．．，値ｐ［ｉ］のうち、ｉ−１個の値ｐ［１］，．．．，値ｐ［ｉ−１］それぞれに対して、固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ−１］を付加して、値ｘ［１］，．．．，値ｘ［ｉ−１］を生成して記憶装置に記憶する固定値付加部と、
ｊ＝１からｉ−１まで順に、値ｃ［ｊ−１］（値ｃ［０］は固定値ＩＶ１とする）と、前記固定値付加部が生成した値ｘ［ｊ］とを入力として、圧縮関数ｈを計算した結果である値ｃ［ｊ］を得ることにより、値ｃ［ｉ−１］を得て記憶装置に記憶し、
固定値ＩＶ２と、値ｐ［ｉ］に値ｃ［ｉ−１］を付加した値ｘ［ｉ］とを入力として、圧縮関数ｈを計算した結果である値ｃ［ｉ］を得て記憶装置に記憶する圧縮関数計算部と、
前記圧縮関数計算部が得た値ｃ［ｉ］を出力する出力部と
を備えることを特徴とする。
The hash value calculation device according to the present invention is, for example,
i values p [1],. . . , A predetermined length input unit for inputting the value p [i],
The values p [1],. . . , Value p [i], i−1 values p [1],. . . , Value p [i−1] for each fixed value const [1],. . . , A fixed value const [i−1], and the values x [1],. . . , A fixed value adding unit that generates a value x [i−1] and stores it in the storage device;
In order from j = 1 to i−1, a value c [j−1] (value c [0] is a fixed value IV1) and a value x [j] generated by the fixed value adding unit are input. By obtaining a value c [j] that is a result of calculating the compression function h, a value c [i−1] is obtained and stored in the storage device;
A storage device that obtains a value c [i] that is a result of calculating a compression function h by using a fixed value IV2 and a value x [i] obtained by adding a value c [i-1] to a value p [i]. A compression function calculation unit stored in
And an output unit that outputs the value c [i] obtained by the compression function calculation unit.
この発明に係るハッシュ値演算装置では、圧縮関数への入力値に固定値を付加しする。これにより、一方向性が破られた理想的な圧縮関数を用いて構成した場合であっても、ランダムオラクルと強識別不可能であるハッシュ関数を構成することができる。そして、このハッシュ関数は、ジッパーハッシュ関数やダブルパイプハッシュ関数よりも効率がよい。 In the hash value calculation device according to the present invention, a fixed value is added to the input value to the compression function. This makes it possible to configure a hash function that cannot be strongly discriminated from a random oracle even when configured using an ideal compression function with broken unidirectionality. This hash function is more efficient than the zipper hash function or the double pipe hash function.
まず、ハッシュ関数の安全性の概念について説明する。 First, the concept of security of the hash function will be described.
ハッシュ関数は、任意長の値を入力として、固定長の値を出力する関数である。
ハッシュ関数の満たすべき性質として、以下の３つの性質がある。以下、ハッシュ関数をＨとする。
１．衝突困難性（ｃｏｌｌｉｓｉｏｎ ｒｅｓｉｓｔａｎｃｅ）：Ｈ（Ｍ）＝Ｈ（Ｍ’）となる２つの値Ｍ，Ｍ’を見つけることが困難であること。
２．第２現像計算困難性（ｓｅｃｏｎｄ ｐｒｅｉｍａｇｅ ｒｅｓｉｓｔａｎｃｅ）：ランダムな値Ｍに対して、Ｈ（Ｍ）＝Ｈ（Ｍ’）となる値Ｍとは異なる値Ｍ’を見つけることが困難であること。
３．現像計算困難性（ｐｒｅｉｍａｇｅ ｒｅｓｉｓｔａｎｃｅ）：ランダムな値ｚに対して、ｚ＝Ｈ（Ｍ）となる値Ｍを見つけることが困難であること。
The hash function is a function that takes an arbitrary length value as input and outputs a fixed length value.
There are the following three properties as properties to be satisfied by the hash function. Hereinafter, the hash function is H.
1. Collision resistance: It is difficult to find two values M and M ′ such that H (M) = H (M ′).
2. Second development difficulty: Second value calculation difficulty: it is difficult to find a value M ′ different from the value M for H (M) = H (M ′) for a random value M.
3. Development calculation difficulty: For a random value z, it is difficult to find a value M such that z = H (M).
ハッシュ関数は、入力長、出力長が固定された圧縮関数と呼ばれる関数から構成される。ハッシュ関数の代表的な構成として、ＭＤ（Ｍｅｒｋｌｅ−Ｄａｍｇａｒｄ）構造がある。
ＭＤ構造は、以下のような構成である。
（Ｓｔｅｐ１）入力Ｍにｓｔｒｅｎｇｔｈｅｎ ＭＤパディングを適用し、長さがｍの倍数となる値Ｍ’を作る。
（Ｓｔｅｐ２）Ｍ’をｍビットの値ｐ［１］，．．．，ｐ［ｉ］に分割する。
（Ｓｔｅｐ３）値ｐ［１］，．．．，ｐ［ｉ］のそれぞれに対し、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｐ［ｊ］）を計算する。ここで、ｃ［０］はｎビットの固定値である。また、ｈは圧縮関数である。圧縮関数ｈは、入力として、ｎビットの値とｍビットの値との２つの値を入力として、ｎビットの値を出力する関数である。
（Ｓｔｅｐ４）Ｃ［ｉ］を出力する。
The hash function is composed of a function called a compression function with a fixed input length and output length. A typical configuration of the hash function is an MD (Mercle-Damgard) structure.
The MD structure has the following configuration.
(Step 1) Apply the strength MD padding to the input M to create a value M ′ whose length is a multiple of m.
(Step 2) M ′ is changed to an m-bit value p [1],. . . , P [i].
(Step 3) Values p [1],. . . , P [i], c [j] = h (c [j−1], p [j]) is calculated. Here, c [0] is an n-bit fixed value. H is a compression function. The compression function h is a function that receives an n-bit value and an m-bit value as inputs and outputs an n-bit value.
(Step 4) Output C [i].
ハッシュ関数を用いるＯＡＥＰ（Ｏｐｔｉｍａｌ Ａｓｙｍｍｅｔｒｉｃ Ｅｎｃｒｙｐｔｉｏｎ Ｐａｄｄｉｎｇ）やＰＳＳ（Ｐｒｏｂａｂｉｌｉｓｔｉｃ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ）等の暗号アルゴリズムは、ハッシュ関数ではなく、理想関数であるランダムオラクルを用いた場合に安全であることが証明されている。
ランダムオラクルとは、予め全ての入力値と、各入力値に対してランダムに選択された出力値とのペアをリスト（メモリ）に記録しておき、入力値に対する出力値は、予め記録したリストを引いて決定する関数である。
Encryption algorithms such as OAEP (Optical Asymmetry Encryption Padding) and PSS (Probabilistic Signature Scheme) using a hash function have been proved to be safe when using a random oracle that is an ideal function, not a hash function.
A random oracle is a list (memory) in which pairs of all input values and output values randomly selected for each input value are recorded in advance. This function is determined by subtracting.
ランダムオラクルモデルを用いた場合に安全な暗号アルゴリズムは、ランダムオラクルに代えて安全なハッシュ関数を用いても、安全であると考えられている。ここで、安全なハッシュ関数とは、上述した３つの性質を満たすハッシュ関数である。 A cryptographic algorithm that is secure when the random oracle model is used is considered to be safe even if a secure hash function is used instead of the random oracle. Here, the secure hash function is a hash function that satisfies the above three properties.
しかし、実際には、ランダムオラクルを用いた場合に安全である暗号アルゴリズムが、ランダムオラクルに代えて安全なハッシュ関数を用いた場合にも安全であるとは限らない。つまり、ランダムオラクルを用いた暗号アルゴリズムが安全であっても、安全なハッシュ関数を用いた暗号アルゴリズムが安全であるとは限らない。
実際には、ランダムオラクルを用いた場合に安全である暗号アルゴリズムに対して、ランダムオラクルに代えてハッシュ関数を用いた場合に、その暗号アルゴリズムが安全であるというためには、用いたハッシュ関数がランダムオラクルといわゆる強識別不可能（非特許文献５参照）である必要がある。
つまり、ランダムオラクルを用いた場合に安全であることが証明されている暗号アルゴリズムが、ランダムオラクルと強識別不可能であるハッシュ関数を用いた場合には安全である。すなわち、ランダムオラクルを用いた暗号アルゴリズムが安全であれば、ランダムオラクルと強識別不可能であるハッシュ関数を用いた暗号アルゴリズムは安全である。
However, in practice, a cryptographic algorithm that is secure when using a random oracle is not always secure when a secure hash function is used instead of the random oracle. That is, even if a cryptographic algorithm using a random oracle is safe, a cryptographic algorithm using a secure hash function is not always safe.
Actually, when a hash function is used instead of a random oracle for a cryptographic algorithm that is safe when using a random oracle, the hash function used is: The random oracle needs to be incapable of being strongly discriminated (see Non-Patent Document 5).
In other words, a cryptographic algorithm that has been proved to be safe when using a random oracle uses a hash function that cannot be strongly distinguished from a random oracle. That is, if a cryptographic algorithm using a random oracle is secure, a cryptographic algorithm using a hash function that cannot be strongly distinguished from a random oracle is safe.
ランダムオラクルと強識別不可能であるハッシュ関数とは、例えば、ＥＭＤ（Ｅｍｐｌｏｙｅｄ Ｍｅｒｋｌｅ−Ｄａｍｇａｒｄ），ＭＤＰ（Ｍｅｒｋｌｅ−Ｄａｍｇａｒｄ ｗｉｔｈ Ｐｅｒｍｕｔａｔｉｏｎ）等である。 The hash function that cannot be strongly discriminated from the random oracle is, for example, EMD (Exploited Markle-Damgard), MDP (Mercle-Damard with Permutation), or the like.
一般に、ＥＭＤやＭＤＰのように、ランダムオラクルといわゆる強識別不可能であるハッシュ関数は、圧縮関数として理想化された圧縮関数（ＦＩＬＲＯ（Ｆｉｘｅｄ Ｉｎｐｕｔ Ｌｅｎｇｔｈ Ｒａｎｄｏｍ Ｏｒａｃｌｅ））を用いて構成される。つまり、ＥＭＤやＭＤＰに代表されるハッシュ関数は、圧縮関数として理想化された圧縮関数（ＦＩＬＲＯ）を用いた場合に、ランダムオラクルといわゆる強識別不可能である。
理想化された圧縮関数（ＦＩＬＲＯ）とは、以下の１，２が与えられた圧縮関数である。
１．（リスト）：全ての入力値と、各入力値に対してランダムに選択した出力値とのペアを記録したリストを持つ。
２．（順方向の値を出力するオラクル）：入力値（ｘ，ｙ）に対し、リストから入力に対する出力値ｚを検索して、値ｚを出力する。つまり、ｆ１（ｘ，ｙ）＝ｚとなる値ｚを出力する。
Generally, a hash function that cannot be strongly discriminated from a random oracle like EMD or MDP is configured using a compression function (FILRO (Fixed Input Length Random Oracle)) idealized as a compression function. That is, a hash function typified by EMD or MDP cannot be so strongly discriminated from a random oracle when an idealized compression function (FILRO) is used as a compression function.
The idealized compression function (FILRO) is a compression function to which the following 1 and 2 are given.
1. (List): It has a list in which pairs of all input values and output values randomly selected for each input value are recorded.
2. (Oracle that outputs a value in the forward direction): For the input value (x, y), the output value z for the input is searched from the list, and the value z is output. That is, a value z satisfying f1 (x, y) = z is output.
また、背景技術として記載したように、理想化された圧縮関数（ＦＩＬＲＯ）ではなく、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能であるハッシュ関数がある（非特許文献１，２参照）。
一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）とは、１−５が与えられた圧縮関数である。
１．（リスト）：全ての入力値と、各入力値に対してランダムに選択した出力値とのペアを記録したリストを持つ。
２．（順方向の値を出力するオラクル）：入力値（ｘ，ｙ）に対し、リストから入力に対する出力値ｚを検索して、値ｚを出力する。つまり、ｆ１（ｘ，ｙ）＝ｚとなる値ｚを出力する。
３．（一方向性を破るオラクル１）：入力値ｚに対して、ｆ１（ｘ，ｙ）＝ｚを満たす全ての値（ｘ，ｙ）のペアからランダムに１つのペア選択して、選択したペアを出力する。
４．（一方向性を破るオラクル２）：入力値ｘ，ｚに対して、ｆ１（ｘ，ｙ）＝ｚを満たす全ての値ｙからランダムに１つの値を選択して、選択した値を出力する。入力値ｘ，ｚに対して、ｆ１（ｘ，ｙ）＝ｚを満たす値ｙが存在しない場合は、識別情報⊥を出力する。
５．（一方向性を破るオラクル３）：入力値ｙ，ｚに対して、ｆ１（ｘ，ｙ）＝ｚを満たす全ての値ｘからランダムに１つの値を選択して、選択した値を出力する。入力値ｙ，ｚに対して、ｆ１（ｘ，ｙ）＝ｚを満たす値ｘが存在しない場合は、識別情報⊥を出力する。
In addition, as described in the background art, even if the configuration is made using an ideal compression function (WFILRO) whose unidirectionality is broken instead of an ideal compression function (FILRO), a random oracle And a so-called hash function that cannot be strongly discriminated (see
The ideal compression function (WFILRO) whose unidirectionality is broken is a compression function given 1-5.
1. (List): It has a list in which pairs of all input values and output values randomly selected for each input value are recorded.
2. (Oracle that outputs a value in the forward direction): For the input value (x, y), the output value z for the input is searched from the list, and the value z is output. That is, a value z satisfying f1 (x, y) = z is output.
3. (
4). (
5. (Oracle 3 that breaks unidirectionality): For input values y and z, one value is randomly selected from all values x satisfying f1 (x, y) = z, and the selected value is output. . When there is no value x satisfying f1 (x, y) = z for the input values y and z, the identification information ⊥ is output.
一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）とは、理想化された圧縮関数（ＦＩＬＲＯ）に加え、さらに上記３−５が与えられた圧縮関数である。理想化された圧縮関数（ＦＩＬＲＯ）に比べ、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）の方が、上記３−５が与えられた分、安全性が低い圧縮関数であると言える。
例えば、攻撃者Ａがいた場合、理想化された圧縮関数（ＦＩＬＲＯ）であれば、攻撃者Ａが上記１，２のみを用いることができる状態であり、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）であれば、攻撃者Ａが上記１−５を用いることができる状態である。すなわち、理想化された圧縮関数（ＦＩＬＲＯ）に比べ、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）の方が、攻撃者Ａに与えられる機能が多い分、攻撃者Ａはより容易に攻撃することができる。そのため、理想化された圧縮関数（ＦＩＬＲＯ）に比べ、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）の方が、上記３−５が与えられた分、安全性が低い圧縮関数であると言える。
The ideal compression function (WFILRO) whose unidirectionality is broken is a compression function to which the above 3-5 is given in addition to the idealized compression function (FILRO). Compared to the idealized compression function (FILRO), the ideal compression function (WFILRO) whose unidirectionality is broken is a compression function that is less secure because of the above 3-5. I can say that.
For example, when there is an attacker A, an ideal compression function (FILRO) is a state in which the attacker A can use only the above 1 and 2, and an ideal in which unidirectionality is broken. If it is a compression function (WFILRO), the attacker A can use 1-5 above. That is, compared with the idealized compression function (FILRO), the ideal compression function (WFILRO) whose unidirectionality has been broken has more functions given to the attacker A, so that the attacker A is easier. Can attack. Therefore, compared with the idealized compression function (FILRO), the ideal compression function (WFILRO) whose unidirectionality has been broken is a compression function that is less secure because the above 3-5 is given. It can be said that there is.
安全性の低い圧縮関数を用いて構成した場合であっても、ランダムオラクルと強識別不可能であるハッシュ関数は、安全性の高い圧縮関数を用いて構成した場合にのみ、ランダムオラクルと強識別不可能であるハッシュ関数よりも、ハッシュ関数の構成として、安全性の観点から優れていると言える。
つまり、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ））を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能であるハッシュ関数の方が、理想化された圧縮関数（ＦＩＬＲＯ）を用いて構成した場合にのみ、ランダムオラクルといわゆる強識別不可能であるハッシュ関数よりも、ハッシュ関数の構成として、安全性の観点から優れていると言える。
A hash function that cannot be strongly discriminated from a random oracle even when configured using a low-security compression function is strongly discriminated from a random oracle only when configured using a high-security compression function. It can be said that the configuration of the hash function is superior to the impossible hash function from the viewpoint of security.
In other words, even when the configuration is made using an ideal compression function (WFILRO) whose unidirectionality is broken, a random oracle and a so-called hash function that cannot be strongly discriminated are more ideally compressed. Only when it is configured using a function (FILRO), it can be said that the configuration of the hash function is superior to the hash function that cannot be strongly discriminated from the random oracle from the viewpoint of security.
以下の実施の形態において、非特許文献１，２に記載されたジッパーハッシュ関数とダブルパイプハッシュ関数と同様に、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ））を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。特に、非特許文献１，２に記載されたジッパーハッシュ関数とダブルパイプハッシュ関数よりも、効率的に計算可能なハッシュ関数を構成するハッシュ値演算装置１０について説明する。
In the following embodiments, similar to the zipper hash function and the double pipe hash function described in
また、以下の実施の形態において、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）のうち、５．（一方向性を破るオラクル３）が与えられていない圧縮関数（以下、準一方向性が破られた理想的な圧縮関数と呼ぶ）を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。
準一方向性が破られた理想的な圧縮関数は、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ）よりも安全性が高い圧縮関数である。そのため、準一方向性が破られた理想的な圧縮関数を用いて構成した場合に、ランダムオラクルといわゆる強識別不可能であるハッシュ関数よりも、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ））を用いて構成した場合に、ランダムオラクルといわゆる強識別不可能であるハッシュ関数の方が、ハッシュ関数の構成として、安全性の観点から優れていると言える。しかし、準一方向性が破られた理想的な圧縮関数を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能であるハッシュ関数は、理想的な圧縮関数（ＦＩＬＲＯ））を用いて構成した場合にのみ、ランダムオラクルといわゆる強識別不可能であるハッシュ関数よりも、ハッシュ関数の構成として、安全性の観点から優れていると言える。そこで、以下の実施の形態では、準一方向性が破られた理想的な圧縮関数を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である新たなハッシュ関数を構成するハッシュ値演算装置１０についても説明する。
In the following embodiment, among the ideal compression functions (WFILRO) whose unidirectionality is broken, 5. Even if it is configured using a compression function to which (Oracle 3 that breaks unidirectionality) is not given (hereinafter referred to as an ideal compression function whose quasi-unidirectionality is broken), it is called a random oracle. The hash
The ideal compression function whose quasi-unidirectionality is broken is a compression function that is safer than the ideal compression function (WFILRO) whose unidirectionality is broken. Therefore, when configured using an ideal compression function that breaks quasi-unidirectionality, it is an ideal compression function that breaks unidirectionality rather than a random oracle and a hash function that cannot be strongly discriminated. When configured using (WFILRO)), it can be said that a hash function that cannot be strongly discriminated from a random oracle is superior as a hash function configuration from the viewpoint of security. However, even if it is configured using an ideal compression function whose quasi-unidirectionality is broken, a random oracle and a hash function that is so-called strongly discriminating is an ideal compression function (FILRO)). It can be said that it is superior from the viewpoint of security as a structure of a hash function rather than a hash function that cannot be strongly discriminated from a random oracle only when configured using it. Therefore, in the following embodiment, a new hash function that cannot be strongly discriminated from a random oracle is configured even if it is configured using an ideal compression function whose quasi-unidirectionality is broken. The hash
まず、実施の形態１−３で、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ））を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である３つの新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。
次に、実施の形態４，５で、準一方向性が破られた理想的な圧縮関数を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である２つの新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。
First, even in the case of using the ideal compression function (WFILRO) whose unidirectionality is broken in Embodiment 1-3, three new ones that cannot be discriminated strongly from a random oracle. A hash
Next, in the fourth and fifth embodiments, two new hashes that are indistinguishable from a random oracle even if they are configured using an ideal compression function whose quasi-unidirectionality is broken. The hash
なお、以下の実施の形態において、圧縮関数ｈは、ｎビットの値とｍビットの値との２つの値が入力された場合にｎビットの値を出力する圧縮関数である。ここで、ｍは所定の自然数であり、ｎはｍよりも小さい自然数である。 In the following embodiments, the compression function h is a compression function that outputs an n-bit value when two values, an n-bit value and an m-bit value, are input. Here, m is a predetermined natural number, and n is a natural number smaller than m.
また、以下の説明において、処理装置は後述するＣＰＵ９１１、演算回路等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４（メモリ，キャッシュメモリ）、磁気ディスク９２０等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。出力装置は後述するＲＡＭ９１４、磁気ディスク９２０、通信ボード９１５、ＬＣＤ９０１等である。つまり、処理装置、記憶装置、入力装置、出力装置はハードウェアである。また、記憶装置とは、上記の通り、ＲＡＭ９１４（メモリ，キャッシュメモリ）等を含むものであるから、以下の説明において記憶装置に記憶するとは、ＲＡＭ９１４（メモリ，キャッシュメモリ）に一時記憶することを意味する場合もある。
In the following description, the processing device includes a
実施の形態１．
実施の形態１では、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ））を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。
In the first embodiment, a new hash function that cannot be strongly discriminated from a random oracle is configured even if it is configured using an ideal compression function (WFILRO) whose unidirectionality is broken. The hash
図１は、実施の形態１に係るハッシュ値演算装置１０の機能を示す機能ブロック図である。
図２は、図１に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図３は、図１に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 1 is a functional block diagram illustrating functions of the hash
FIG. 2 is a flowchart showing the operation of the hash
FIG. 3 is a structural diagram of a hash function realized by the hash
図１に示すハッシュ値演算装置１０の機能と動作について説明する。
図１に示すハッシュ値演算装置１０は、既定長値入力部１１、固定値付加部１２、圧縮関数計算部１３、出力部１４を備える。
The function and operation of the hash
The hash
（Ｓ１０１：既定長値入力ステップ）
既定長値入力部１１は、ｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力装置により入力して記憶装置に記憶する。
(S101: Default length input step)
The predetermined length
（Ｓ１０２：固定値付加ステップ）
固定値付加部１２は、（Ｓ１０１）で入力されたｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］のうち、ｉ−１個の値ｐ［１］，．．．，値ｐ［ｉ−１］のそれぞれに対して、予め記憶装置に記憶したｎビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ−１］を付加して、ｍビット長の値ｘ［１］，．．．，値ｘ［ｉ−１］を処理装置により生成して記憶装置に記憶する。
つまり、固定値付加部１２は、値ｐ［１］に固定値ｃｏｎｓｔ［１］を付加して、値ｘ［１］を生成する。固定値付加部１２は、値ｐ［２］に固定値ｃｏｎｓｔ［２］を付加して、値ｘ［２］を生成する。以下同様に、ｊ＝３，．．．，ｉ−１に対して、固定値付加部１２は、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加して、値ｘ［ｊ］を生成する。
なお、ｊ＝１，．．．，ｉ−１について、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｊ］は、値ｐ［ｊ］の前や後に追加してもよいし、値ｐ［ｊ］の間に挿入してもよい。
また、固定値ｃｏｎｓｔ［１］＝固定値ｃｏｎｓｔ［２］＝．．．＝固定値ｃｏｎｓｔ［ｉ−１］でもよいし、固定値ｃｏｎｓｔ［１］≠固定値ｃｏｎｓｔ［２］≠．．．≠固定値ｃｏｎｓｔ［ｉ−１］でもよい。
(S102: fixed value addition step)
The fixed
That is, the fixed
Note that j = 1,. . . , I−1, the position where the fixed value const [j] is added to the value p [j] may be anywhere. That is, the fixed value const [j] may be added before or after the value p [j], or may be inserted between the values p [j].
Also, fixed value const [1] = fixed value const [2] =. . . = Fixed value const [i−1], or fixed value const [1] ≠ fixed value const [2] ≠. . . ≠ Fixed value const [i−1] may be used.
（Ｓ１０３：第１圧縮関数計算ステップ）
圧縮関数計算部１３は、予め記憶装置に記憶したｎビット長の固定値ＩＶ１と、（Ｓ１０２）で生成されたｍビット長の値ｘ［１］とを圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を処理装置により計算してｎビット長の値ｃ［１］を得て記憶装置に記憶する。
(S103: First compression function calculation step)
The compression
（Ｓ１０４：第２圧縮関数計算ステップ）
圧縮関数計算部１３は、ｊ＝２からｉ−１まで順に、ｎビット長の値ｃ［ｊ−１］とｍビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を処理装置により計算してｎビット長の値ｃ［ｊ］を得て記憶装置に記憶する。
つまり、まず、圧縮関数計算部１３は、（Ｓ１０３）で計算したｎビット長の値ｃ［１］と、（Ｓ１０２）で生成されたｍビット長の値ｘ［２］とを入力として、ｃ［２］＝ｈ（ｃ［１］，ｘ［２］）を処理装置により計算して値ｃ［２］を得る。
次に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［２］と、（Ｓ１０２）で生成されたｍビット長の値ｘ［３］とを入力として、ｃ［３］＝ｈ（ｃ［２］，ｘ［３］）を処理装置により計算してｎビット長の値ｃ［３］を得る。
これを繰り返して、最終的に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［ｉ−２］と、（Ｓ１０２）で生成されたｍビット長の値ｘ［ｉ−１］とを入力として、ｃ［ｉ−１］＝ｈ（ｃ［ｉ−２］，ｘ［ｉ−１］）を処理装置により計算してｎビット長の値ｃ［ｉ−１］を得る。
(S104: Second compression function calculation step)
The compression
That is, first, the compression
Next, the compression
By repeating this, finally, the compression
（Ｓ１０５：第３圧縮関数計算ステップ）
圧縮関数計算部１３は、予め記憶装置に記憶したｎビット長の固定値ＩＶ２と、ｍ−ｎビット長の値ｐ［ｉ］に（Ｓ１０４）で計算したｎビット長の値ｃ［ｉ−１］を付加したｍビット長の値ｘ［ｉ］とを圧縮関数ｈの入力として、ｃ［ｉ］＝ｈ（ＩＶ２，ｘ［ｉ］）を処理装置により計算して値ｃ［ｉ］を得て記憶装置に記憶する。
なお、値ｐ［ｉ］に値ｃ［ｉ−１］を付加する位置は、どこであってもよい。つまり、値ｃ［ｉ−１］は、値ｐ［ｉ］の前や後に追加してもよいし、値ｐ［ｉ］の間に挿入してもよい。
(S105: third compression function calculation step)
The compression
The position where the value c [i-1] is added to the value p [i] may be anywhere. That is, the value c [i-1] may be added before or after the value p [i], or may be inserted between the values p [i].
（Ｓ１０６：出力ステップ）
出力部１４は、（Ｓ１０５）で計算された値ｃ［ｉ］を出力装置により出力する。
(S106: output step)
The
なお、ｉ＝２の場合、つまり（Ｓ１０１）で２個の値ｐ［１］と値ｐ［２］とのみが入力された場合には、（Ｓ１０４）は実行されない。つまり、（Ｓ１０３）で値ｃ［１］を得た後、（Ｓ１０５）で固定値ＩＶ２と、値ｐ［２］に値ｃ［１］を付加した値ｘ［２］とを入力として、値ｃ［２］を得る。そして、（Ｓ１０６）で値ｃ［２］を出力する。 When i = 2, that is, when only two values p [1] and p [2] are input in (S101), (S104) is not executed. That is, after the value c [1] is obtained in (S103), the fixed value IV2 and the value x [2] obtained by adding the value c [1] to the value p [2] are input as values. c [2] is obtained. Then, the value c [2] is output in (S106).
また、ｉ＝１の場合、つまり（Ｓ１０１）で１個の値ｐ［１］のみが入力された場合には、（Ｓ１０２）から（Ｓ１０４）までは実行されない。つまり、（Ｓ１０１）で値ｐ［１］が入力された後、（Ｓ１０５）で固定値ＩＶ２と、値ｐ［１］に固定値ＩＶ１を付加した値ｘ［１］とを入力として、値ｃ［１］を得る。そして、（Ｓ１０６）で値ｃ［１］を出力する。 When i = 1, that is, when only one value p [1] is input in (S101), steps (S102) to (S104) are not executed. That is, after the value p [1] is input in (S101), the fixed value IV2 and the value x [1] obtained by adding the fixed value IV1 to the value p [1] are input as the value c in (S105). [1] is obtained. The value c [1] is output in (S106).
以上をまとめると、次のようになる。
まず、ハッシュ値演算装置１０は、ｊ＝１からｉ−１まで順に、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｐ［ｊ］｜｜ｃｏｎｓｔ［ｊ］）を計算する。ここで、ｃ［０］は、ＩＶ１とする。
次に、ハッシュ値演算装置１０は、ｃ［ｉ］＝ｈ（ＩＶ２，ｐ［ｉ］｜｜ｃ［ｉ−１］）を計算する。
そして、ハッシュ値演算装置１０は、値ｃ［ｉ］を出力する。
The above is summarized as follows.
First, the hash
Next, the hash
Then, the hash
上記説明では、（Ｓ１０１）で既定長値入力部１１が、ｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力するとした。しかし、通常、ハッシュ関数へ入力される値は、１個の任意ビット長の値である。つまり、上記説明では、１個の任意ビット長の値が入力された場合に、どのようにｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成するのかについては説明を省略した。
次に、任意ビット長の値が入力された場合に、ｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成する機能を追加したハッシュ値演算装置１０について説明する。
In the above description, in (S101), the predetermined
Next, when a value having an arbitrary bit length is input, i values p [1],. . . The hash
図４は、図１に示すハッシュ値演算装置１０に、任意ビット長の値が入力された場合に、ｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成する機能を追加したハッシュ値演算装置１０の機能を示す機能ブロック図である。
図５は、図４に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図６は、図４に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 4 shows the case where i values p [1],... With m−n bit length are input to the hash value
FIG. 5 is a flowchart showing the operation of the hash
FIG. 6 is a structural diagram of a hash function realized by the hash
図４に示すハッシュ値演算装置１０の機能と動作について説明する。
図４に示すハッシュ値演算装置１０は、図１に示すハッシュ値演算装置１０が備える機能に加え、任意長値入力部１５、パディング部１６、分割部１７を備える。
The function and operation of the hash
The hash
（Ｓ１１１：任意長値入力ステップ）
任意長値入力部１５は、任意ビット長の値Ｍを入力装置により入力する。
(S111: arbitrary length value input step)
The arbitrary length
（Ｓ１１２：パディングステップ）
パディング部１６は、（Ｓ１１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加してｍ−ｎビット長のｉ倍のビット長の値Ｍ’を処理装置により生成して記憶装置に記憶する。つまり、パディング部１６は、Ｍ’＝ｐａｄ（Ｍ）を処理装置により計算して値Ｍ’を得る。
(S112: Padding step)
The
（Ｓ１１３：分割ステップ）
分割部１７は、（Ｓ１１２）で生成された値Ｍ’を処理装置によりｉ個に分割して、ｍ−ｎビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成して記憶装置に記憶する。つまり、分割部１７は、Ｍ’＝ｐ［１］｜｜．．．｜｜ｐ［ｉ］を処理装置により計算して値ｐ［１］，．．．，値ｐ［ｉ］を得る。
(S113: Division step)
The dividing
（Ｓ１１４：既定長値入力ステップ）
既定長値入力部１１は、（Ｓ１１３）で生成された値ｐ［１］，．．．，値ｐ［ｉ］を入力装置により入力する。
(S114: predetermined length input step)
The predetermined length
（Ｓ１１５）から（Ｓ１１９）までの処理は、（Ｓ１０２）から（Ｓ１０６）までの処理と同一である。 The processing from (S115) to (S119) is the same as the processing from (S102) to (S106).
（Ｓ１１２）におけるパディング方法の一例を説明する。
図７は、以下に説明するパディング処理を行う場合の図４に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
（Ｓ１１２）でパディング部１６は、（Ｓ１１１）で入力された値Ｍに対して、“１｜｜０・・・０｜｜＜Ｍ＞を付加して、ｍ−ｎビット長のｉ倍のビット長の値Ｍ’を処理装置により生成する。ここで、＜Ｍ＞は、Ｍのビット長｜Ｍ｜の６４ビット表現である。
つまり、パディング部１６は、先頭が“１”で、その後が複数の“０”で、最後に＜Ｍ＞となるビット列を生成して、値Ｍに付加して、値Ｍ’を生成する。
なお、上記説明では、ｍ−ｎビット長のｉ倍のビット長になるようにパディングすると説明した。しかし、予めｉの値を決めておくのではなく、ｉの値は、入力された任意ビット長の値Ｍに応じて決定されるとしてもよい。例えば、上記パディング方法であれば、最少の０の個数で、ｍ−ｎビット長の倍数のビット長となるようにパディングし、パディングをした結果得られた値Ｍ’のビット長がｍ−ｎビット長の何倍かをｉの値としてもよい。
An example of the padding method in (S112) will be described.
FIG. 7 is a structural diagram of a hash function realized by the hash
In (S112), the
That is, the
In the above description, it has been described that padding is performed so that the bit length is i times the mn bit length. However, instead of predetermining the value of i, the value of i may be determined in accordance with the input arbitrary bit length value M. For example, in the case of the above padding method, padding is performed so that the bit length is a multiple of mn bit length with the minimum number of zeros, and the bit length of the value M ′ obtained as a result of padding is mn The value of i may be several times the bit length.
パディングの方法は、例えば、全て“０”を付加する方法や、全て“１”を付加する方法等、どのような方法であっても構わない。しかし、上記説明のように、パディングして値Ｍ’を生成することにより、衝突困難性を高くすることができる。 The padding method may be any method, for example, a method of adding all “0” s or a method of adding all “1” s. However, as described above, the difficulty of collision can be increased by generating the value M ′ by padding.
次に、図４に示すハッシュ値演算装置１０の圧縮関数としてＳＨＡ−２５６（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ−２５６）を用いた場合の例を説明する。なお、ＳＨＡ−２５６の圧縮関数をＳＨＡ２５６と呼ぶ。ＳＨＡ２５６は、２５６ビット長の値と５１２ビット長の値との２つの値が入力された場合に、２５６ビット長の値を出力する関数である。
図８は、圧縮関数としてＳＨＡ−２５６を用いる場合の図４に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
Next, an example in which SHA-256 (Secure Hash Algorithm-256) is used as the compression function of the hash
FIG. 8 is a structural diagram of a hash function realized by the hash
（Ｓ１１１）では、任意長値入力部１５は、任意ビット長の値Ｍを入力する。
（Ｓ１１２）では、パディング部１６は、（Ｓ１１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加して２５６（＝５１２−２５６）ビット長のｉ倍のビット長の値Ｍ’を生成する。
（Ｓ１１３）では、分割部１７は、（Ｓ１１２）で生成された値Ｍ’をｉ個に分割して、２５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成する。
（Ｓ１１４）では、既定長値入力部１１は、（Ｓ１１３）で生成された２５６ビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力する。
（Ｓ１１５）では、固定値付加部１２は、（Ｓ１１４）で入力された２５６ビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］のうち、ｉ−１個の値ｐ［１］，．．．，値ｐ［ｉ−１］のそれぞれに対して、２５６ビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ−１］を付加して、５１２ビット長の値ｘ［１］，．．．，値ｘ［ｉ−１］を生成する。
（Ｓ１１６）では、圧縮関数計算部１３は、２５６ビット長の固定値ＩＶ１と、（Ｓ１１５）で生成された５１２ビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を計算して２５６ビット長の値ｃ［１］を得る。
（Ｓ１１７）では、圧縮関数計算部１３は、ｊ＝２からｉ−１まで順に、２５６ビット長の値ｃ［ｊ−１］と５１２ビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を計算して２５６ビット長の値ｃ［ｊ］を得る。
（Ｓ１１８）では、圧縮関数計算部１３は、２５６ビット長の固定値ＩＶ２と、２５６ビット長の値ｐ［ｉ］に２５６ビット長の値ｃ［ｉ−１］を付加した５１２ビット長の値ｘ［ｉ］とを圧縮関数ｈの入力として、ｃ［ｉ］＝ｈ（ＩＶ２，ｘ［ｉ］）を計算して値ｃ［ｉ］を得る。
（Ｓ１１９）では、出力部１４は、（Ｓ１１８）で計算された値ｃ［ｉ］を出力する。
In (S111), the arbitrary length
In (S112), the
In (S113), the dividing
In (S114), the predetermined
In (S115), the fixed
In (S116), the compression
In (S117), the compression
In (S118), the compression
In (S119), the
実施の形態１に係るハッシュ値演算装置１０により構成されたハッシュ関数は、圧縮関数ｈが一方向性が破られた理想的な圧縮関数の場合であっても、ランダムオラクルと強識別不可能性を満たすハッシュ関数となる。
The hash function configured by the hash
なお、必ずしも上述した処理順序通りに計算する必要はなく、ストリーム処理ができる場合には、ストリーム処理で計算してもよい。なお、ストリーム処理とは、入力された先頭のビットから到着順に処理を行う方法であり、並列処理の一類型である。 Note that it is not always necessary to calculate according to the above-described processing order. If stream processing is possible, calculation may be performed by stream processing. Stream processing is a method of performing processing in the order of arrival from the input first bit, and is a type of parallel processing.
また、上記説明では、圧縮関数計算部１３は所定の入力値に対して、処理装置により圧縮関数ｈを計算して、圧縮関数ｈを計算した結果を得るとした。しかし、圧縮関数計算部１３は、ハッシュ値演算装置１０の外部に備える圧縮関数計算装置に入力値を入力して、圧縮関数計算装置に圧縮関数ｈを計算させることにより、圧縮関数ｈを計算した結果を得てもよい。
In the above description, the compression
また、圧縮関数計算部１３が値ｃ［１］，．．．，値ｃ［ｉ］を計算するのに用いる圧縮関数ｈは、同一の圧縮関数ｈであってもよいし、それぞれ異なる圧縮関数ｈであってもよい。
In addition, the compression
つまり、実施の形態１に係るハッシュ値演算装置１０をまとめると次のようになる。
ハッシュ値演算装置１０は、ｉ個のｍ−ｎビットの入力値ｐ［１］，．．．，ｐ［ｉ］に対して、圧縮関数演算装置に、ｎビット固定値ＩＶ１、第１メッセージｐ［１］、ｎビット固定値ｃｏｎｓｔ［１］を入力し、その出力ｃ［１］を得る。次に、圧縮関数演算装置に、ｎビット値ｃ［１］、第２メッセージｐ［２］、ｎビット固定値ｃｏｎｓｔ［２］を入力し、その出力ｃ［２］を得る。この処理を、第ｉ−１メッセージまで同様に行い、その出力値ｃ［ｉ−１］を得る。圧縮関数演算装置に、初期値ＩＶ２、ｉ番目のメッセージｐ［ｉ］、ｎビット値ｃ［ｉ−１］を入力し、その出力ｃ［ｉ］を得る。そして、ｃ［ｉ］を出力することを特徴とする。
That is, the hash
The hash value
また、ハッシュ値演算装置１０は、任意長の値Ｍから、任意長の値を入力とし、長さがｍ−ｎの倍数の値を出力する任意のパディング処理装置を用いて、ｍ−ｎビットの倍数となるメッセージＭ’を生成する。そして、分割処理装置を用いてＭ’をｉ個のｍ−ｎビットの値ｐ［１］，．．．，ｐ［ｉ］に分割することを特徴とする。
In addition, the hash
さらに、ハッシュ値演算装置１０は、パディング処理装置を、Ｍ｜｜１｜｜０．．．０｜｜＜Ｍ＞とすることを特徴とする。但し、＜Ｍ＞はＭのビット長を６４ビットで表したものである。
Further, the hash
また、さらに、ハッシュ値演算装置１０は、圧縮関数演算装置として、ＳＨＡ−２５６の圧縮関数演算装置を用いたことを特徴とする。
Further, the hash
実施の形態２．
実施の形態２では、実施の形態１とは異なるハッシュ関数であって、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ））を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。
In the second embodiment, even when the hash function is different from that of the first embodiment and is configured using an ideal compression function (WFILRO) whose unidirectionality is broken, it is called a random oracle. The hash
図９は、実施の形態２に係るハッシュ値演算装置１０の機能を示す機能ブロック図である。
図１０は、図９に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図１１は、図９に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 9 is a functional block diagram illustrating functions of the hash
FIG. 10 is a flowchart showing the operation of the hash
FIG. 11 is a structural diagram of a hash function realized by the hash
図９に示すハッシュ値演算装置１０の機能と動作について説明する。
図９に示すハッシュ値演算装置１０は、既定長値入力部１１、固定値付加部１２、圧縮関数計算部１３、出力部１４、排他的論理和計算部１８を備える。
The function and operation of the hash
The hash
（Ｓ２０１：既定長値入力ステップ）
既定長値入力部１１は、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力装置により入力して記憶装置に記憶する。
(S201: Default length input step)
The predetermined length
（Ｓ２０２：排他的論理和計算ステップ）
排他的論理和計算部１８は、（Ｓ２０１）で入力されたｍ−ｓビット長の値ｐ［１］，．．．，ｐ［ｉ］と、予め記憶装置に記憶したｍ−ｓビット長の固定値ｙとを排他的論理和演算の入力として、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを処理装置により計算してｍ−ｓビット長の値ｓｕｍを得て記憶装置に記憶する。
(S202: Exclusive OR calculation step)
The exclusive OR
（Ｓ２０３：固定値付加ステップ）
固定値付加部１２は、（Ｓ２０１）で入力されたｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］のそれぞれに対して、予め記憶装置に記憶したｓビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ］を付加して、ｍビット長の値ｘ［１］，．．．，値ｘ［ｉ］を処理装置により生成して記憶装置に記憶する。
つまり、固定値付加部１２は、値ｐ［１］に固定値ｃｏｎｓｔ［１］を付加して、値ｘ［１］を生成する。固定値付加部１２は、値ｐ［２］に固定値ｃｏｎｓｔ［２］を付加して、値ｘ［２］を生成する。以下同様に、ｊ＝３，．．．，ｉに対して、固定値付加部１２は、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加して、値ｘ［ｊ］を生成する。
なお、ｊ＝１，．．．，ｉ−１について、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｊ］は、値ｐ［ｊ］の前や後に追加してもよいし、値ｐ［ｊ］の間に挿入してもよい。
また、固定値ｃｏｎｓｔ［１］≠固定値ｃｏｎｓｔ［２］≠．．．≠固定値ｃｏｎｓｔ［ｉ］である。例えば、ｊ＝１，．．．，ｉについて、固定値ｃｏｎｓｔ［ｊ］は、ｊをｓビットで表現した値＜ｊ＞である。
(S203: Fixed value addition step)
The fixed
That is, the fixed
Note that j = 1,. . . , I−1, the position where the fixed value const [j] is added to the value p [j] may be anywhere. That is, the fixed value const [j] may be added before or after the value p [j], or may be inserted between the values p [j].
Further, the fixed value const [1] ≠ fixed value const [2] ≠. . . ≠ Fixed value const [i]. For example, j = 1,. . . , I, the fixed value const [j] is a value <j> in which j is expressed by s bits.
（Ｓ２０４：第１圧縮関数計算ステップ）
圧縮関数計算部１３は、予め記憶装置に記憶したｎビット長の固定値ＩＶ１と、（Ｓ２０３）で生成されたｍビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を処理装置により計算してｎビット長の値ｃ［１］を得て記憶装置に記憶する。
(S204: First compression function calculation step)
The compression
（Ｓ２０５：第２圧縮関数計算ステップ）
圧縮関数計算部１３は、ｊ＝２からｉまで順に、ｎビット長の値ｃ［ｊ−１］とｍビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を処理装置により計算してｎビット長の値ｃ［ｊ］を得て記憶装置に記憶する。
つまり、まず、圧縮関数計算部１３は、（Ｓ２０４）で計算したｎビット長の値ｃ［１］と、（Ｓ２０３）で生成されたｍビット長の値ｘ［２］とを入力として、ｃ［２］＝ｈ（ｃ［１］，ｘ［２］）を処理装置により計算してｎビット長の値ｃ［２］を得る。
次に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［２］と、（Ｓ２０３）で生成されたｍビット長の値ｘ［３］とを入力として、ｃ［３］＝ｈ（ｃ［２］，ｘ［３］）を処理装置により計算してｎビット長の値ｃ［３］を得る。
これを繰り返して、最終的に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［ｉ−１］と、（Ｓ２０３）で生成されたｍビット長の値ｘ［ｉ］とを入力として、ｃ［ｉ］＝ｈ（ｃ［ｉ−１］，ｘ［ｉ］）を処理装置により計算してｎビット長の値ｃ［ｉ］を得る。
(S205: Second compression function calculation step)
The compression
That is, first, the compression
Next, the compression
By repeating this, the compression
（Ｓ２０６：第３圧縮関数計算ステップ）
圧縮関数計算部１３は、（Ｓ２０５）で計算したｎビット長の値ｃ［ｉ］と、（Ｓ２０２）で計算されたｍ−ｓビット長の値ｓｕｍにｓビット長の固定値ｃｏｎｓｔ［ｉ＋１］を付加したｍビット長の値ｘ［ｉ＋１］とを圧縮関数ｈの入力として、ｃ［ｉ＋１］＝ｈ（ｃ［ｉ］，ｘ［ｉ＋１］）を処理装置により計算してｎビット長の値ｃ［ｉ＋１］を得て記憶装置に記憶する。
なお、固定値ｃｏｎｓｔ［ｉ＋１］≠固定値ｃｏｎｓｔ［１］≠．．．≠固定値ｃｏｎｓｔ［ｉ］である。例えば、固定値ｃｏｎｓｔ［ｉ＋１］は、ｉ＋１をｓビットで表現した値＜ｉ＋１＞である。
また、値ｓｕｍに固定値ｃｏｎｓｔ［ｉ＋１］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｉ＋１］は、値ｓｕｍの前や後に追加してもよいし、値ｓｕｍの間に挿入してもよい。
(S206: third compression function calculation step)
The compression
Note that the fixed value const [i + 1] ≠ fixed value const [1] ≠. . . ≠ Fixed value const [i]. For example, the fixed value const [i + 1] is a value <i + 1> in which i + 1 is expressed by s bits.
Further, the position where the fixed value const [i + 1] is added to the value sum may be anywhere. That is, the fixed value const [i + 1] may be added before or after the value sum, or may be inserted between the values sum.
（Ｓ２０７：第４圧縮関数計算ステップ）
圧縮関数計算部１３は、予め記憶装置に記憶したｎビット長の固定値ＩＶ２と、（Ｓ２０６）で計算したｎビット長の値ｃ［ｉ＋１］にｍ−ｎビット長の固定値ｃｏｎｓｔ［ｉ＋２］を付加した値ｘ［ｉ＋２］とを圧縮関数ｈの入力として、ｃ［ｉ＋２］＝ｈ（ＩＶ２，ｘ［ｉ＋２］）を処理装置により計算してｎビット長の値ｃ［ｉ＋２］を得て記憶装置に記憶する。
なお、値ｃ［ｉ＋１］に固定値ｃｏｎｓｔ［ｉ＋２］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｉ＋２］は、値ｃ［ｉ＋１］の前や後に追加してもよいし、値ｃ［ｉ＋１］の間に挿入してもよい。
また、例えば、固定値ｃｏｎｓｔ［ｉ＋２］は、ｍ−ｎ−ｓビット長の固定値ｃｏｎｓｔと、ｉ＋２をｓビットで表現した値＜ｉ＋２＞との２つの値であってもよい。固定値ｃｏｎｓｔ［ｉ＋２］が固定値ｃｏｎｓｔと＜ｉ＋２＞とである場合には、どのように値ｃ［ｉ＋１］に固定値ｃｏｎｓｔと＜ｉ＋２＞とを付加してもよい。例えば、ｘ［ｉ＋２］＝＜ｉ＋２＞｜｜ｃｏｎｓｔ｜｜ｃ［ｉ＋１］としてもよい。
(S207: Fourth compression function calculation step)
The compression
The position where the fixed value const [i + 2] is added to the value c [i + 1] may be anywhere. That is, the fixed value const [i + 2] may be added before or after the value c [i + 1], or may be inserted between the values c [i + 1].
Further, for example, the fixed value const [i + 2] may be two values: a fixed value const having an m−ns−bit length and a value <i + 2> in which i + 2 is expressed by s bits. When the fixed value const [i + 2] is the fixed value const and <i + 2>, the fixed value const and <i + 2> may be added to the value c [i + 1] in any way. For example, x [i + 2] = <i + 2> || const || [c [i + 1] may be set.
（Ｓ２０８：出力ステップ）
出力部１４は、（Ｓ２０７）で計算された値ｃ［ｉ＋２］を出力装置により出力する。
(S208: Output step)
The
なお、ｉ＝１の場合、つまり（Ｓ２０１）で１個の値ｐ［１］のみが入力された場合には、（Ｓ２０５）は実行されない。つまり、（Ｓ２０４）で値ｃ［１］を得た後、（Ｓ２０６）で値ｃ［１］と、値ｓｕｍに固定値ｃｏｎｓｔ［２］を付加した値ｘ［２］とを入力として、値ｃ［２］を得る。そして、（Ｓ２０７）へ進む。 When i = 1, that is, when only one value p [1] is input in (S201), (S205) is not executed. That is, after obtaining the value c [1] in (S204), the value c [1] in (S206) and the value x [2] obtained by adding the fixed value const [2] to the value sum are input. c [2] is obtained. Then, the process proceeds to (S207).
以上をまとめると、次のようになる。
まず、ハッシュ値演算装置１０は、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを処理装置により計算する。
また、ハッシュ値演算装置１０は、ｊ＝１からｉまで順に、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｐ［ｊ］｜｜＜ｊ＞）を計算する。ここで、ｃ［０］は、ＩＶ１とする。
次に、ハッシュ値演算装置１０は、ｃ［ｉ＋１］＝ｈ（ｃ［ｉ］，ｓｕｍ｜｜＜ｉ＋１＞）を計算する。
次に、ハッシュ値演算装置１０は、ｃ［ｉ＋２］＝ｈ（ＩＶ，ｃ［ｉ＋１］｜｜ｃｏｎｓｔ｜｜＜ｉ＋２＞）を計算する。
そして、ハッシュ値演算装置１０は、値ｃ［ｉ＋２］を出力する。
The above is summarized as follows.
First, the hash
Further, the hash
Next, the hash
Next, the hash
Then, the hash
上記説明では、（Ｓ２０１）で既定長値入力部１１が、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力するとした。しかし、通常、ハッシュ関数へ入力される値は、１個の任意ビット長の値である。つまり、上記説明では、１個の任意ビット長の値が入力された場合に、どのようにｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成するのかについては説明を省略した。
次に、任意ビット長の値が入力された場合に、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成する機能を追加したハッシュ値演算装置１０について説明する。
In the above description, in (S201), the predetermined length
Next, when an arbitrary bit length value is input, i values p [1],. . . The hash
図１２は、図９に示すハッシュ値演算装置１０に、任意ビット長の値が入力された場合に、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成する機能を追加したハッシュ値演算装置１０の機能を示す機能ブロック図である。
図１３は、図１２に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図１４は、図１２に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 12 shows i values p [1],... Of m−s bit length when an arbitrary bit length value is input to the hash
FIG. 13 is a flowchart showing the operation of the hash
FIG. 14 is a structural diagram of a hash function realized by the hash
図１２に示すハッシュ値演算装置１０の機能と動作について説明する。
図１２に示すハッシュ値演算装置１０は、図９に示すハッシュ値演算装置１０が備える機能に加え、任意長値入力部１５、パディング部１６、分割部１７を備える。
The function and operation of the hash
The hash
（Ｓ２１１：任意長値入力ステップ）
任意長値入力部１５は、任意ビット長の値Ｍを入力装置により入力する。
(S211: Arbitrary length value input step)
The arbitrary length
（Ｓ２１２：パディングステップ）
パディング部１６は、（Ｓ２１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加してｍ−ｓビット長のｉ倍のビット長の値Ｍ’を処理装置により生成して記憶装置に記憶する。つまり、パディング部１６は、Ｍ’＝ｐａｄ（Ｍ）を処理装置により計算して値Ｍ’を得る。
(S212: Padding step)
The
（Ｓ２１３：分割ステップ）
分割部１７は、（Ｓ２１２）で生成された値Ｍ’を処理装置によりｉ個に分割して、ｍ−ｓビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成して記憶装置に記憶する。つまり、分割部１７は、Ｍ’＝ｐ［１］｜｜．．．｜｜ｐ［ｉ］を処理装置により計算して値ｐ［１］，．．．，値ｐ［ｉ］を得る。
(S213: Division step)
The dividing
（Ｓ２１４：既定長値入力ステップ）
既定長値入力部１１は、（Ｓ２１３）で生成された値ｐ［１］，．．．，値ｐ［ｉ］を入力装置により入力する。
(S214: predetermined length value input step)
The predetermined length
（Ｓ２１５）から（Ｓ２２１）までの処理は、（Ｓ２０２）から（Ｓ２０８）までの処理と同一である。 The processing from (S215) to (S221) is the same as the processing from (S202) to (S208).
（Ｓ２１２）におけるパディング方法の一例を説明する。
図１５は、以下に説明するパディング処理を行う場合の図１２に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
（Ｓ２１２）でパディング部１６は、実施の形態１で説明した（Ｓ１１２）におけるパディング方法と同様に、（Ｓ２１１）で入力された値Ｍに対して、“１｜｜０・・・０｜｜＜Ｍ＞を付加して、ｍ−ｓビット長のｉ倍のビット長の値Ｍ’を処理装置により生成する。ここで、＜Ｍ＞は、Ｍのビット長｜Ｍ｜の６４ビット表現である。
このように、パディングして値Ｍ’を生成することにより、衝突困難性を高くすることができる。
An example of the padding method in (S212) will be described.
FIG. 15 is a structural diagram of a hash function realized by the hash
In (S212), the
Thus, the difficulty of collision can be increased by generating the value M ′ by padding.
図１６は、以下に説明するパディング処理を行う場合の図１２に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
（Ｓ２１２）でパディング部１６は、（Ｓ２１１）で入力された値Ｍに対して、“１｜｜０・・・０を付加して、ｍ−ｓビット長のｉ倍のビット長の値Ｍ’を処理装置により生成する。
このように、パディングして値Ｍ’を生成しても、衝突困難性を高くすることができる。
FIG. 16 is a structural diagram of a hash function realized by the hash
In (S212), the
Thus, even if padding generates the value M ′, the collision difficulty can be increased.
なお、実施の形態１と同様に、予めｉの値を決めておくのではなく、ｉの値は、入力された任意ビット長の値Ｍに応じて決定されるとしてもよい。 As in the first embodiment, the value of i may not be determined in advance, but the value of i may be determined according to the input arbitrary bit length value M.
次に、図１２に示すハッシュ値演算装置１０の圧縮関数としてＳＨＡ−２５６を用いた場合の例を説明する。なお、ＳＨＡ−２５６の圧縮関数をＳＨＡ２５６と呼ぶ。ＳＨＡ２５６は、２５６ビット長の値と５１２ビット長の値との２つの値が入力された場合に、２５６ビット長の値を出力する関数である。
図１７は、圧縮関数としてＳＨＡ−２５６を用いる場合の図１２に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
なお、以下の説明では、値ｓを５６として説明する。
Next, an example in which SHA-256 is used as the compression function of the hash
FIG. 17 is a structural diagram of a hash function realized by the hash
In the following description, the value s is assumed to be 56.
（Ｓ２１１）では、任意長値入力部１５は、任意ビット長の値Ｍを入力する。
（Ｓ２１２）では、パディング部１６は、（Ｓ２１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加して４５６（＝５１２−５６）ビット長のｉ倍のビット長の値Ｍ’を生成する。
（Ｓ２１３）では、分割部１７は、（Ｓ２１２）で生成された値Ｍ’をｉ個に分割して、４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成する。
（Ｓ２１４）では、既定長値入力部１１は、（Ｓ２１３）で生成された４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］を入力する。
（Ｓ２１５）では、排他的論理和計算部１８は、（Ｓ２１４）で入力された４５６ビット長の値ｐ［１］，．．．，ｐ［ｉ］と、４５６ビット長の固定値ｙとを排他的論理和演算の入力として、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを計算して４５６ビット長の値ｓｕｍを得る。
（Ｓ２１６）では、固定値付加部１２は、（Ｓ２１１）で入力された４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］のそれぞれに対して、５６ビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ］を付加して、５１２ビット長の値ｘ［１］，．．．，値ｘ［ｉ］を生成する。
（Ｓ２１７）では、圧縮関数計算部１３は、２５６ビット長の固定値ＩＶ１と、（Ｓ２１６）で生成された５１２ビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を計算して２５６ビット長の値ｃ［１］を得る。
（Ｓ２１８）では、圧縮関数計算部１３は、ｊ＝２からｉまで順に、２５６ビット長の値ｃ［ｊ−１］と５１２ビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を計算して２５６ビット長の値ｃ［ｊ］を得る。
（Ｓ２１９）では、圧縮関数計算部１３は、（Ｓ２１８）で計算した２５６ビット長の値ｃ［ｉ］と、（Ｓ２１５）で計算された４５６ビット長の値ｓｕｍに５６ビット長の固定値ｃｏｎｓｔ［ｉ＋１］を付加した５１２ビット長の値ｘ［ｉ＋１］とを圧縮関数ｈの入力として、ｃ［ｉ＋１］＝ｈ（ｃ［ｉ］，ｘ［ｉ＋１］）を計算して２５６ビット長の値ｃ［ｉ＋１］を得る。
（Ｓ２２０）では、圧縮関数計算部１３は、２５６ビット長の固定値ＩＶ２と、（Ｓ２１５）で計算した２５６ビット長の値ｃ［ｉ＋１］に２５６ビット長の固定値ｃｏｎｓｔ［ｉ＋２］を付加した値ｘ［ｉ＋２］とを圧縮関数ｈの入力として、ｃ［ｉ＋２］＝ｈ（ＩＶ２，ｘ［ｉ＋２］）を計算して２５６ビット長の値ｃ［ｉ＋２］を得る。
（Ｓ２２１）では、出力部１４は、（Ｓ２２０）で計算された値ｃ［ｉ＋２］を出力する。
In (S211), the arbitrary length
In (S212), the
In (S213), the dividing
In (S214), the predetermined length
In (S215), the exclusive OR
In (S216), the fixed
In (S217), the compression
In (S218), the compression
In (S219), the compression
In (S220), the compression
In (S221), the
実施の形態２に係るハッシュ値演算装置１０により構成されたハッシュ関数は、圧縮関数ｈが一方向性が破られた理想的な圧縮関数の場合であっても、ランダムオラクルと強識別不可能性を満たすハッシュ関数となる。
The hash function configured by the hash
なお、実施の形態１と同様に、必ずしも上述した処理順序通りに計算する必要はなく、ストリーム処理ができる場合には、ストリーム処理で計算してもよい。 Note that, as in the first embodiment, the calculation is not necessarily performed according to the above-described processing order. When the stream processing can be performed, the calculation may be performed by the stream processing.
また、実施の形態１と同様に、圧縮関数計算部１３は、ハッシュ値演算装置１０の外部に備える圧縮関数計算装置に入力値を入力して、圧縮関数計算装置に圧縮関数ｈを計算させることにより、圧縮関数ｈを計算した結果を得てもよい。
また、同様に、排他的論理和計算部１８は、ハッシュ値演算装置１０の外部に備える排他的論理和計算装置に入力値を入力して、排他的論理和計算装置に排他的論理和演算を計算させることにより、排他的論理和演算を計算した結果を得てもよい。
Similarly to the first embodiment, the compression
Similarly, the exclusive OR
また、圧縮関数計算部１３が値ｃ［１］，．．．，値ｃ［ｉ＋２］を計算するのに用いる圧縮関数ｈは、同一の圧縮関数ｈであってもよいし、それぞれ異なる圧縮関数ｈであってもよい。
In addition, the compression
つまり、実施の形態２に係るハッシュ値演算装置１０をまとめると次のようになる。
ハッシュ値演算装置１０は、ｉ個のｍ−ｓビットの入力値ｐ［１］，．．．，ｐ［ｉ］に対して、圧縮関数演算装置に、ｎビット固定値ＩＶ１、第１メッセージｐ［１］、１のｓビット表現値を入力し、その出力ｃ［１］を得る。次に、圧縮関数演算装置に、ｎビット値ｃ［１］、第２メッセージｐ［２］、２のｓビット表現値を入力し、その出力ｃ［２］を得る。この処理を、第ｉメッセージまで同様に行い、その出力値ｃ［ｉ］を得る。圧縮関数演算装置に、ｎビット値ｃ［ｉ］、ｓｕｍ＝ｐ［１］ ｘｏｒ ．．． ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙ、ｉ＋１のｓビットの表現値を入力し、その出力ｃ［ｉ＋１］を得る。圧縮関数演算装置に、初期値ＩＶ２、ｎビット値ｃ［ｉ−１］、ｍ−ｎ−ｓビット固定値ｃｏｎｓｔ、ｉ＋２のｓビット表現値を入力し、その出力ｃ［ｉ＋２］を得る。そして、ｃ［ｉ＋２］を出力することを特徴とする。ここで、ｙはｍ−ｓビット固定値である。
That is, the hash
The hash value
また、ハッシュ値演算装置１０は、任意長の値Ｍから、任意長の値を入力とし、ｍ−ｓビットの値を出力する任意のパディング処理装置を用いて、ｍ−ｓビットの倍数となるメッセージＭ’を生成する。分割処理装置を用いてＭ’をｉ個のｍ−ｓビットの値ｐ［１］，．．．，ｐ［ｉ］に分割することを特徴とする。
Further, the hash
さらに、ハッシュ値演算装置１０は、パディング処理装置を、Ｍ｜｜１｜｜０．．．０｜｜＜Ｍ＞とし、ｓ＝５６とすることを特徴とする。但し、＜Ｍ＞はＭのビット長を６４ビットで表したものである。
Further, the hash
また、さらに、ハッシュ値演算装置１０は、パディング処理装置を、Ｍ｜｜１｜｜０．．．０とし、ｓ＝５６とすることを特徴とする。
Further, the hash
また、ハッシュ値演算装置１０は、圧縮関数演算装置として、ＳＨＡ−２５６の圧縮関数演算装置を用いたことを特徴とする。
Further, the hash
実施の形態３．
実施の形態３では、実施の形態１，２とは異なるハッシュ関数であって、一方向性が破られた理想的な圧縮関数（ＷＦＩＬＲＯ））を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。
Embodiment 3 FIG.
In the third embodiment, even if the hash function is different from those in the first and second embodiments and is configured using an ideal compression function (WFILRO) whose unidirectionality is broken, the random oracle The hash
図１８は、実施の形態３に係るハッシュ値演算装置１０の機能を示す機能ブロック図である。
図１９は、図１８に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図２０は、図１８に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 18 is a functional block diagram illustrating functions of the hash
FIG. 19 is a flowchart showing the operation of the hash
FIG. 20 is a structural diagram of a hash function realized by the hash
図１８に示すハッシュ値演算装置１０の機能と動作について説明する。
図１８に示すハッシュ値演算装置１０は、既定長値入力部１１、固定値付加部１２、圧縮関数計算部１３、出力部１４、排他的論理和計算部１８を備える。
The function and operation of the hash
The hash
（Ｓ３０１：既定長値入力ステップ）
既定長値入力部１１は、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］と、ｍ−ｎビット長の１個の値ｐ［ｉ＋１］との合計ｉ＋１個の値を入力装置により入力して記憶装置に記憶する。
(S301: Default length input step)
The predetermined length
（Ｓ３０２：排他的論理和計算ステップ）
排他的論理和計算部１８は、（Ｓ３０１）で入力されたｍ−ｓビット長のｉ個の値ｐ［１］，．．．，ｐ［ｉ］と、予め記憶装置に記憶したｍ−ｓビット長の固定値ｙとを排他的論理和演算の入力として、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを処理装置により計算してｍ−ｓビット長の値ｓｕｍを得て記憶装置に記憶する。
(S302: Exclusive OR calculation step)
The exclusive OR
（Ｓ３０３：固定値付加ステップ）
固定値付加部１２は、（Ｓ３０１）で入力されたｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］のそれぞれに対して、予め記憶装置に記憶したｓビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ］を付加して、ｍビット長の値ｘ［１］，．．．，値ｘ［ｉ］を処理装置により生成して記憶装置に記憶する。
つまり、固定値付加部１２は、値ｐ［１］に固定値ｃｏｎｓｔ［１］を付加して、値ｘ［１］を生成する。固定値付加部１２は、値ｐ［２］に固定値ｃｏｎｓｔ［２］を付加して、値ｘ［２］を生成する。以下同様に、ｊ＝３，．．．，ｉに対して、固定値付加部１２は、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加して、値ｘ［ｊ］を生成する。
なお、ｊ＝１，．．．，ｉ−１について、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｊ］は、値ｐ［ｊ］の前や後に追加してもよいし、値ｐ［ｊ］の間に挿入してもよい。
また、固定値ｃｏｎｓｔ［１］≠固定値ｃｏｎｓｔ［２］≠．．．≠固定値ｃｏｎｓｔ［ｉ］である。例えば、ｊ＝１，．．．，ｉについて、固定値ｃｏｎｓｔ［ｊ］は、ｊをｓビットで表現した値＜ｊ＞である。
(S303: fixed value addition step)
The fixed
That is, the fixed
Note that j = 1,. . . , I−1, the position where the fixed value const [j] is added to the value p [j] may be anywhere. That is, the fixed value const [j] may be added before or after the value p [j], or may be inserted between the values p [j].
Further, the fixed value const [1] ≠ fixed value const [2] ≠. . . ≠ Fixed value const [i]. For example, j = 1,. . . , I, the fixed value const [j] is a value <j> in which j is expressed by s bits.
（Ｓ３０４：第１圧縮関数計算ステップ）
圧縮関数計算部１３は、予め記憶装置に記憶したｎビット長の固定値ＩＶ１と、（Ｓ３０３）で生成されたｍビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を処理装置により計算してｎビット長の値ｃ［１］を得て記憶装置に記憶する。
(S304: First compression function calculation step)
The compression
（Ｓ３０５：第２圧縮関数計算ステップ）
圧縮関数計算部１３は、ｊ＝２からｉまで順に、ｎビット長の値ｃ［ｊ−１］とｍビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を処理装置により計算してｎビット長の値ｃ［ｊ］を得て記憶装置に記憶する。
つまり、まず、圧縮関数計算部１３は、（Ｓ３０４）で計算したｎビット長の値ｃ［１］と、（Ｓ３０３）で生成されたｍビット長の値ｘ［２］とを入力として、ｃ［２］＝ｈ（ｃ［１］，ｘ［２］）を処理装置により計算してｎビット長の値ｃ［２］を得る。
次に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［２］と、（Ｓ３０３）で生成されたｍビット長の値ｘ［３］とを入力として、ｃ［３］＝ｈ（ｃ［２］，ｘ［３］）を処理装置により計算してｎビット長の値ｃ［３］を得る。
これを繰り返して、最終的に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［ｉ−１］と、（Ｓ３０３）で生成されたｍビット長の値ｘ［ｉ］とを入力として、ｃ［ｉ］＝ｈ（ｃ［ｉ−１］，ｘ［ｉ］）を処理装置により計算してｎビット長の値ｃ［ｉ］を得る。
(S305: second compression function calculation step)
The compression
That is, first, the compression
Next, the compression
By repeating this, finally, the compression
（Ｓ３０６：第３圧縮関数計算ステップ）
圧縮関数計算部１３は、（Ｓ３０５）で計算したｎビット長の値ｃ［ｉ］と、（Ｓ３０２）で計算されたｍ−ｓビット長の値ｓｕｍにｓビット長の固定値ｃｏｎｓｔ［ｉ＋１］を付加したｍビット長の値ｘ［ｉ＋１］とを圧縮関数ｈの入力として、ｃ［ｉ＋１］＝ｈ（ｃ［ｉ］，ｘ［ｉ＋１］）を処理装置により計算してｎビット長の値ｃ［ｉ＋１］を得て記憶装置に記憶する。
なお、固定値ｃｏｎｓｔ［ｉ＋１］≠固定値ｃｏｎｓｔ［１］≠．．．≠固定値ｃｏｎｓｔ［ｉ］である。例えば、固定値ｃｏｎｓｔ［ｉ＋１］は、ｉ＋１をｓビットで表現した値＜ｉ＋１＞である。
また、値ｓｕｍに固定値ｃｏｎｓｔ［ｉ＋１］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｉ＋１］は、値ｓｕｍの前や後に追加してもよいし、値ｓｕｍの間に挿入してもよい。
(S306: third compression function calculation step)
The compression
Note that the fixed value const [i + 1] ≠ fixed value const [1] ≠. . . ≠ Fixed value const [i]. For example, the fixed value const [i + 1] is a value <i + 1> in which i + 1 is expressed by s bits.
Further, the position where the fixed value const [i + 1] is added to the value sum may be anywhere. That is, the fixed value const [i + 1] may be added before or after the value sum, or may be inserted between the values sum.
（Ｓ３０７：第４圧縮関数計算ステップ）
圧縮関数計算部１３は、予め記憶装置に記憶したｎビット長の固定値ＩＶ２と、（Ｓ３０６）で計算したｎビット長の値ｃ［ｉ＋１］に（Ｓ３０１）で入力されたｍ−ｎビット長の値ｐ［ｉ＋１］を付加した値ｘ［ｉ＋２］とを圧縮関数ｈの入力として、ｃ［ｉ＋２］＝ｈ（ＩＶ２，ｘ［ｉ＋２］）を処理装置により計算してｎビット長の値ｃ［ｉ＋２］を得て記憶装置に記憶する。
なお、値ｃ［ｉ＋１］に値ｐ［ｉ＋１］を付加する位置は、どこであってもよい。つまり、値ｐ［ｉ＋１］は、値ｃ［ｉ＋１］の前や後に追加してもよいし、値ｃ［ｉ＋１］の間に挿入してもよい。
(S307: Fourth compression function calculation step)
The compression
The position where the value p [i + 1] is added to the value c [i + 1] may be anywhere. That is, the value p [i + 1] may be added before or after the value c [i + 1], or may be inserted between the values c [i + 1].
（Ｓ３０８：出力ステップ）
出力部１４は、（Ｓ３０７）で計算された値ｃ［ｉ＋２］を出力装置により出力する。
(S308: Output step)
The
なお、ｉ＝１の場合、つまり（Ｓ３０１）で２個の値ｐ［１］（値ｐ［ｉ］）と値ｐ［２］（値ｐ［ｉ＋１］）とのみが入力された場合には、（Ｓ３０５）は実行されない。つまり、（Ｓ３０４）で値ｃ［１］を得た後、（Ｓ３０６）で値ｃ［１］と、値ｓｕｍに固定値ｃｏｎｓｔ［２］を付加した値ｘ［２］とを入力として、値ｃ［２］を得る。そして、（Ｓ３０７）へ進む。 When i = 1, that is, when only two values p [1] (value p [i]) and value p [2] (value p [i + 1]) are input in (S301). , (S305) are not executed. That is, after obtaining the value c [1] in (S304), the value c [1] in (S306) and the value x [2] obtained by adding the fixed value const [2] to the value sum are input. c [2] is obtained. Then, the process proceeds to (S307).
以上をまとめると、次のようになる。
まず、ハッシュ値演算装置１０は、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを処理装置により計算する。
また、ハッシュ値演算装置１０は、ｊ＝１からｉまで順に、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｐ［ｊ］｜｜＜ｊ＞）を計算する。ここで、ｃ［０］は、ＩＶ１とする。
次に、ハッシュ値演算装置１０は、ｃ［ｉ＋１］＝ｈ（ｃ［ｉ］，ｓｕｍ｜｜＜ｉ＋１＞）を計算する。
次に、ハッシュ値演算装置１０は、ｃ［ｉ＋２］＝ｈ（ＩＶ，ｃ［ｉ＋１］｜｜ｐ［ｉ＋１］）を計算する。
そして、ハッシュ値演算装置１０は、値ｃ［ｉ＋２］を出力する。
The above is summarized as follows.
First, the hash
Further, the hash
Next, the hash
Next, the hash
Then, the hash
上記説明では、（Ｓ３０１）で既定長値入力部１１が、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］と、ｍ−ｎビット長の１個の値ｐ［ｉ＋１］とを入力するとした。しかし、通常、ハッシュ関数へ入力される値は、１個の任意ビット長の値である。つまり、上記説明では、１個の任意ビット長の値が入力された場合に、どのようにｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］と、ｍ−ｎビット長の１個の値ｐ［ｉ＋１］とを生成するのかについては説明を省略した。
次に、任意ビット長の値が入力された場合に、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］と、ｍ−ｎビット長の１個の値ｐ［ｉ＋１］とを生成する機能を追加したハッシュ値演算装置１０について説明する。
In the above description, in (S301), the predetermined length
Next, when an arbitrary bit length value is input, i values p [1],. . . , A value p [i] and a hash
図２１は、図１８に示すハッシュ値演算装置１０に、任意ビット長の値が入力された場合に、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］と、ｍ−ｎビット長の１個の値ｐ［ｉ＋１］とを生成する機能を追加したハッシュ値演算装置１０の機能を示す機能ブロック図である。
図２２は、図２１に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図２３は、図２１に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 21 shows i values p [1],... Of m-s bit length when an arbitrary bit length value is input to the hash
FIG. 22 is a flowchart showing the operation of the hash
FIG. 23 is a structural diagram of a hash function realized by the hash
図２１に示すハッシュ値演算装置１０の機能と動作について説明する。
図２１に示すハッシュ値演算装置１０は、図１８に示すハッシュ値演算装置１０が備える機能に加え、任意長値入力部１５、パディング部１６、分割部１７を備える。
The function and operation of the hash
The hash
（Ｓ３１１：任意長値入力ステップ）
任意長値入力部１５は、任意ビット長の値Ｍを入力装置により入力する。
(S311: Arbitrary length input step)
The arbitrary length
（Ｓ３１２：パディングステップ）
パディング部１６は、（Ｓ３１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加して（（ｍ−ｓ）×ｉ＋（ｍ−ｎ））ビット長の値Ｍ’を処理装置により生成して記憶装置に記憶する。つまり、パディング部１６は、Ｍ’＝ｐａｄ（Ｍ）を処理装置により計算して値Ｍ’を得る。
(S312: Padding step)
The
（Ｓ３１３：分割ステップ）
分割部１７は、（Ｓ３１２）で生成された値Ｍ’を処理装置によりｉ＋１個に分割して、ｍ−ｓビット長の値ｐ［１］，．．．，値ｐ［ｉ］と、ｍ−ｎビット長の１個の値ｐ［ｉ＋１］とを生成して記憶装置に記憶する。つまり、分割部１７は、Ｍ’＝ｐ［１］｜｜．．．｜｜ｐ［ｉ］｜｜ｐ［ｉ＋１］を処理装置により計算して値ｐ［１］，．．．，値ｐ［ｉ］と、値ｐ［ｉ＋１］とを得る。
(S313: Division step)
The dividing
（Ｓ３１４：既定長値入力ステップ）
既定長値入力部１１は、（Ｓ３１３）で生成された値ｐ［１］，．．．，値ｐ［ｉ］と、値ｐ［ｉ＋１］とを入力装置により入力する。
(S314: Default length input step)
The predetermined length
（Ｓ３１５）から（Ｓ３２１）までの処理は、（Ｓ３０２）から（Ｓ３０８）までの処理と同一である。 The processing from (S315) to (S321) is the same as the processing from (S302) to (S308).
（Ｓ３１２）におけるパディング方法の一例を説明する。
図２４は、以下に説明するパディング処理を行う場合の図２１に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
（Ｓ３１２）でパディング部１６は、実施の形態１で説明した（Ｓ１１２）におけるパディング方法と同様に、（Ｓ３１１）で入力された値Ｍに対して、“１｜｜０・・・０｜｜＜Ｍ＞を付加して、ｍ−ｓビット長のｉ倍のビット長の値Ｍ’を処理装置により生成する。ここで、＜Ｍ＞は、Ｍのビット長｜Ｍ｜の６４ビット表現である。
このように、パディングして値Ｍ’を生成することにより、衝突困難性を高くすることができる。
An example of the padding method in (S312) will be described.
FIG. 24 is a structural diagram of a hash function realized by the hash
In (S312), the
Thus, the difficulty of collision can be increased by generating the value M ′ by padding.
なお、実施の形態１と同様に、予めｉの値を決めておくのではなく、ｉの値は、入力された任意ビット長の値Ｍに応じて決定されるとしてもよい。この場合、値Ｍ’のビット長｜Ｍ’｜が「｜Ｍ’｜ ｍｏｄ ｍ−ｓ＝ｍ−ｎ」となるように、値Ｍ’を生成すればよい。 As in the first embodiment, the value of i may not be determined in advance, but the value of i may be determined according to the input arbitrary bit length value M. In this case, the value M ′ may be generated so that the bit length | M ′ | of the value M ′ is “| M ′ | mod m−s = mn”.
次に、図２１に示すハッシュ値演算装置１０の圧縮関数としてＳＨＡ−２５６を用いた場合の例を説明する。なお、ＳＨＡ−２５６の圧縮関数をＳＨＡ２５６と呼ぶ。ＳＨＡ２５６は、２５６ビット長の値と５１２ビット長の値との２つの値が入力された場合に、２５６ビット長の値を出力する関数である。
図２５は、圧縮関数としてＳＨＡ−２５６を用いる場合の図１２に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
なお、以下の説明では、値ｓを５６として説明する。
Next, an example in which SHA-256 is used as the compression function of the hash
FIG. 25 is a structural diagram of a hash function realized by the hash
In the following description, the value s is assumed to be 56.
（Ｓ３１１）では、任意長値入力部１５は、任意ビット長の値Ｍを入力する。
（Ｓ３１２）では、パディング部１６は、（Ｓ３１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加して（（５１２−５６）×ｉ＋（５１２−２５６））ビット長の値Ｍ’を生成する。
（Ｓ３１３）では、分割部１７は、（Ｓ３１２）で生成された値Ｍ’をｉ個の４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］と、１個の２５６ビット長の値ｐ［ｉ＋１］とに分割する。
（Ｓ３１４）では、既定長値入力部１１は、（Ｓ３１３）で生成されたｉ個の４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］と、１個の２５６ビット長の値ｐ［ｉ＋１］とを入力する。
（Ｓ３１５）では、排他的論理和計算部１８は、（Ｓ３１４）で入力された４５６ビット長の値ｐ［１］，．．．，ｐ［ｉ］と、４５６ビット長の固定値ｙとを排他的論理和演算の入力として、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを計算して４５６ビット長の値ｓｕｍを得る。
（Ｓ３１６）では、固定値付加部１２は、（Ｓ３１１）で入力された４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］のそれぞれに対して、５６ビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ］を付加して、５１２ビット長の値ｘ［１］，．．．，値ｘ［ｉ］を生成する。
（Ｓ３１７）では、圧縮関数計算部１３は、２５６ビット長の固定値ＩＶ１と、（Ｓ３１６）で生成された５１２ビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を計算して２５６ビット長の値ｃ［１］を得る。
（Ｓ３１８）では、圧縮関数計算部１３は、ｊ＝２からｉまで順に、２５６ビット長の値ｃ［ｊ−１］と５１２ビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を計算して２５６ビット長の値ｃ［ｊ］を得る。
（Ｓ３１９）では、圧縮関数計算部１３は、（Ｓ３１８）で計算した２５６ビット長の値ｃ［ｉ］と、（Ｓ３１５）で計算された４５６ビット長の値ｓｕｍに５６ビット長の固定値ｃｏｎｓｔ［ｉ＋１］を付加した５１２ビット長の値ｘ［ｉ＋１］とを圧縮関数ｈの入力として、ｃ［ｉ＋１］＝ｈ（ｃ［ｉ］，ｘ［ｉ＋１］）を計算して２５６ビット長の値ｃ［ｉ＋１］を得る。
（Ｓ３２０）では、圧縮関数計算部１３は、２５６ビット長の固定値ＩＶ２と、（Ｓ３１５）で計算した２５６ビット長の値ｃ［ｉ＋１］に、（Ｓ３１４）で入力された２５６ビット長の値ｐ［ｉ＋１］を付加した値ｘ［ｉ＋２］とを圧縮関数ｈの入力として、ｃ［ｉ＋２］＝ｈ（ＩＶ２，ｘ［ｉ＋２］）を計算して２５６ビット長の値ｃ［ｉ＋２］を得る。
（Ｓ３２１）では、出力部１４は、（Ｓ３２０）で計算された値ｃ［ｉ＋２］を出力する。
In (S311), the arbitrary length
In (S312), the
In (S313), the dividing
In (S314), the predetermined
In (S315), the exclusive OR
In (S316), the fixed
In (S317), the compression
In (S <b> 318), the compression
In (S319), the compression
In (S320), the compression
In (S321), the
実施の形態３に係るハッシュ値演算装置１０により構成されたハッシュ関数は、圧縮関数ｈが一方向性が破られた理想的な圧縮関数の場合であっても、ランダムオラクルと強識別不可能性を満たすハッシュ関数となる。
The hash function configured by the hash
なお、実施の形態１と同様に、必ずしも上述した処理順序通りに計算する必要はなく、ストリーム処理ができる場合には、ストリーム処理で計算してもよい。 Note that, as in the first embodiment, the calculation is not necessarily performed according to the above-described processing order. When the stream processing can be performed, the calculation may be performed by the stream processing.
また、実施の形態１と同様に、圧縮関数計算部１３は、ハッシュ値演算装置１０の外部に備える圧縮関数計算装置に入力値を入力して、圧縮関数計算装置に圧縮関数ｈを計算させることにより、圧縮関数ｈを計算した結果を得てもよい。
また、同様に、排他的論理和計算部１８は、ハッシュ値演算装置１０の外部に備える排他的論理和計算装置に入力値を入力して、排他的論理和計算装置に排他的論理和演算を計算させることにより、排他的論理和演算を計算した結果を得てもよい。
Similarly to the first embodiment, the compression
Similarly, the exclusive OR
また、圧縮関数計算部１３が値ｃ［１］，．．．，値ｃ［ｉ＋２］を計算するのに用いる圧縮関数ｈは、同一の圧縮関数ｈであってもよいし、それぞれ異なる圧縮関数ｈであってもよい。
In addition, the compression
つまり、実施の形態３に係るハッシュ値演算装置１０をまとめると次のようになる。
ハッシュ値演算装置１０は、ｉ個のｍ−ｓビットの入力値ｍ［１］，…，ｍ［ｉ］とｍ−ｎビットの入力ｍ［ｉ＋１］に対して、圧縮関数演算装置に、ｎビット固定値ＩＶ１、第一メッセージｍ［１］、１のｓビット表現値を入力し、その出力ｃ［１］を得る。次に、圧縮関数演算装置に、ｎビット値ｃ［１］、第２メッセージｍ［２］、２のｓビット表現値を入力し、その出力ｃ［２］を得る。この処理を、第ｉメッセージまで同様に行い、その出力値ｃ［ｉ］を得る。圧縮関数演算装置に、ｎビット値ｃ［ｉ］、ｓｕｍ＝ｍ［１］ ｘｏｒ … ｘｏｒ ｍ［ｉ］ ｘｏｒ ｙ、ｉ＋１のｓビットの表現値を入力し、その出力ｃ［ｉ＋１］を得る。圧縮関数演算装置に、初期値ＩＶ２、ｍ−ｎビットのメッセージｍ［ｉ＋１］、ｎビット値ｃ［ｉ−１］を入力し、その出力ｃ［ｉ＋２］を得る。そして、ｃ［ｉ＋２］を出力することを特徴とする。ここで、ｙはｍ−ｓビット固定値である。
That is, the hash
The hash value
また、ハッシュ値演算装置１０は、任意長の値Ｍから、任意長の値を入力とし、任意のパディング処理装置を用いて、メッセージＭ’を生成する。ただし、｜Ｍ’｜ ｍｏｄ ｍ−ｓ＝ ｍ−ｎとなるようにする。分割処理装置を用いてＭ’をｉ個のｍ−ｓビットの値ｍ［１］，…，ｍ［ｉ］、ｍ−ｎビットの値ｍ［ｉ］に分割することを特徴とする。
In addition, the hash
さらに、ハッシュ値演算装置１０は、パディング処理装置を、Ｍ｜｜１｜｜０…０｜｜＜Ｍ＞とし、ｓ＝５６とすることを特徴とする。但し、＜Ｍ＞はＭのビット長を６４ビットで表したものである。
Further, the hash
また、さらに、ハッシュ値演算装置１０は、圧縮関数演算装置として、ＳＨＡ−２５６の圧縮関数演算装置を用いたことを特徴とする。
Further, the hash
実施の形態４．
実施の形態４では、準一方向性が破られた理想的な圧縮関数を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。
Embodiment 4 FIG.
In the fourth embodiment, even if it is configured using an ideal compression function whose quasi-unidirectionality has been broken, a hash value calculation that constitutes a new hash function that cannot be strongly discriminated from a random oracle. The
図２６は、実施の形態４に係るハッシュ値演算装置１０の機能を示す機能ブロック図である。
図２７は、図２６に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図２８は、図２６に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 26 is a functional block diagram illustrating functions of the hash
FIG. 27 is a flowchart showing the operation of the hash
FIG. 28 is a structural diagram of a hash function realized by the hash
図２６に示すハッシュ値演算装置１０の機能と動作について説明する。
図２６に示すハッシュ値演算装置１０は、既定長値入力部１１、固定値付加部１２、圧縮関数計算部１３、出力部１４、置換関数計算部１９を備える。
The function and operation of the hash
The hash
（Ｓ４０１：既定長値入力ステップ）
既定長値入力部１１は、ｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力装置により入力して記憶装置に記憶する。
(S401: Default length input step)
The predetermined length
（Ｓ４０２：固定値付加ステップ）
固定値付加部１２は、（Ｓ４０１）で入力されたｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］のそれぞれに対して、予め記憶装置に記憶したｎビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ］を付加して、ｍビット長の値ｘ［１］，．．．，値ｘ［ｉ］を処理装置により生成して記憶装置に記憶する。
つまり、固定値付加部１２は、値ｐ［１］に固定値ｃｏｎｓｔ［１］を付加して、値ｘ［１］を生成する。固定値付加部１２は、値ｐ［２］に固定値ｃｏｎｓｔ［２］を付加して、値ｘ［２］を生成する。以下同様に、ｊ＝３，．．．，ｉに対して、固定値付加部１２は、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加して、値ｘ［ｊ］を生成する。
なお、ｊ＝１，．．．，ｉについて、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｊ］は、値ｐ［ｊ］の前や後に追加してもよいし、値ｐ［ｊ］の間に挿入してもよい。
また、固定値ｃｏｎｓｔ［１］＝固定値ｃｏｎｓｔ［２］＝．．．＝固定値ｃｏｎｓｔ［ｉ］でもよいし、固定値ｃｏｎｓｔ［１］≠固定値ｃｏｎｓｔ［２］≠．．．≠固定値ｃｏｎｓｔ［ｉ］でもよい。
(S402: Fixed value addition step)
The fixed
That is, the fixed
Note that j = 1,. . . , I, the position where the fixed value const [j] is added to the value p [j] may be anywhere. That is, the fixed value const [j] may be added before or after the value p [j], or may be inserted between the values p [j].
Also, fixed value const [1] = fixed value const [2] =. . . = Fixed value const [i], or fixed value const [1] ≠ fixed value const [2] ≠. . . ≠ Fixed value const [i] may be used.
（Ｓ４０３：第１圧縮関数計算ステップ）
圧縮関数計算部１３は、予め記憶装置に記憶したｎビット長の固定値ＩＶ１と、（Ｓ４０２）で生成されたｍビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を処理装置により計算してｎビット長の値ｃ［１］を得て記憶装置に記憶する。
(S403: First compression function calculation step)
The compression
（Ｓ４０４：第２圧縮関数計算ステップ）
圧縮関数計算部１３は、ｊ＝２からｉ−１まで順に、ｎビット長の値ｃ［ｊ−１］とｍビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を処理装置により計算してｎビット長の値ｃ［ｊ］を得て記憶装置に記憶する。
つまり、まず、圧縮関数計算部１３は、（Ｓ４０３）で計算したｎビット長の値ｃ［１］と、（Ｓ４０２）で生成されたｍビット長の値ｘ［２］とを入力として、ｃ［２］＝ｈ（ｃ［１］，ｘ［２］）を処理装置により計算してｎビット長の値ｃ［２］を得る。
次に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［２］と、（Ｓ４０２）で生成されたｍビット長の値ｘ［３］とを入力として、ｃ［３］＝ｈ（ｃ［２］，ｘ［３］）を処理装置により計算してｎビット長の値ｃ［３］を得る。
これを繰り返して、最終的に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［ｉ−２］と、（Ｓ４０２）で生成されたｍビット長の値ｘ［ｉ−１］とを入力として、ｃ［ｉ−１］＝ｈ（ｃ［ｉ−２］，ｘ［ｉ−１］）を処理装置により計算してｎビット長の値ｃ［ｉ−１］を得る。
(S404: Second compression function calculation step)
The compression
That is, first, the compression
Next, the compression
By repeating this, finally, the compression
（Ｓ４０５：置換関数計算ステップ）
置換関数計算部１９は、（Ｓ４０４）で計算されたｎビット長の値ｃ［ｉ−１］を置換関数πの入力として、ｃ’［ｉ−１］＝π（ｃ［ｉ−１］）を処理装置により計算してｎビット長の値ｃ’［ｉ−１］を得て記憶装置に記憶する。
なお、置換関数πは、任意の値ａを入力した場合に値ａとは異なる値ａ’に置換する置換関数であって、値ａを入力した場合に入力した値ａがそのまま出力されることのない置換関数である。つまり、置換関数πは、π（ａ）＝ａとなるような固定点（Ｆｉｘｅｄ Ｐｏｉｎｔ）を有さない置換関数である。
(S405: Substitution function calculation step)
The replacement
The replacement function π is a replacement function that replaces a value a ′ different from the value a when an arbitrary value a is input, and the input value a is output as it is when the value a is input. It is a replacement function without That is, the replacement function π is a replacement function that does not have a fixed point such that π (a) = a.
（Ｓ４０６：第３圧縮関数計算ステップ）
圧縮関数計算部１３は、（Ｓ４０５）で計算されたｎビット長の値ｃ’［ｉ−１］と、（Ｓ４０２）で生成されたｍビット長の値ｘ［ｉ］とを圧縮関数ｈの入力として、ｃ［ｉ］＝ｈ（ｃ’［ｉ−１］，ｘ［ｉ］）を処理装置により計算してｎビット長の値ｃ［ｉ］を得て記憶装置に記憶する。
(S406: third compression function calculation step)
The compression
（Ｓ４０７：出力ステップ）
出力部１４は、（Ｓ４０６）で計算された値ｃ［ｉ］を出力装置により出力する。
(S407: output step)
The
なお、ｉ＝２の場合、つまり（Ｓ４０１）で２個の値ｐ［１］と値ｐ［２］とのみが入力された場合には、（Ｓ４０４）は実行されない。つまり、（Ｓ４０３）で値ｃ［１］を得た後、（Ｓ４０５）で値ｃ［１］を入力として、値ｃ’［１］を得る。そして、（Ｓ４０６）で値ｃ’［１］と値ｘ［２］とを入力として、値ｃ［２］を得る。 When i = 2, that is, when only two values p [1] and p [2] are input in (S401), (S404) is not executed. That is, after obtaining the value c [1] in (S403), the value c [1] is input in (S405) to obtain the value c '[1]. In (S406), the value c '[1] and the value x [2] are input to obtain the value c [2].
また、ｉ＝１の場合、つまり（Ｓ４０１）で１個の値ｐ［１］のみが入力された場合には、（Ｓ４０３）と（Ｓ４０４）とは実行されない。つまり、（Ｓ４０２）で値ｘ［１］が生成された後、（Ｓ４０５）で固定値ＩＶ１を入力として、値ＩＶ１’を得る。そして、（Ｓ４０６）で値ＩＶ１’と値ｘ［１］とを入力として、値ｃ［１］を得る。 When i = 1, that is, when only one value p [1] is input in (S401), (S403) and (S404) are not executed. That is, after the value x [1] is generated in (S402), the fixed value IV1 is input in (S405) to obtain the value IV1 '. In step S406, the value IV1 'and the value x [1] are input to obtain the value c [1].
以上をまとめると、次のようになる。
まず、ハッシュ値演算装置１０は、ｊ＝１からｉ−１まで順に、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｐ［ｊ］｜｜ｃｏｎｓｔ［ｊ］）を計算する。ここで、ｃ［０］は、ＩＶ１とする。
次に、ハッシュ値演算装置１０は、ｃ［ｉ］＝ｈ（π（ｃ［ｉ−１］），ｐ［ｉ］｜｜ｃｏｎｓｔ［ｉ］）を計算する。
そして、ハッシュ値演算装置１０は、値ｃ［ｉ］を出力する。
The above is summarized as follows.
First, the hash
Next, the hash
Then, the hash
上記説明では、（Ｓ４０１）で既定長値入力部１１が、ｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力するとした。しかし、通常、ハッシュ関数へ入力される値は、１個の任意ビット長の値である。つまり、上記説明では、１個の任意ビット長の値が入力された場合に、どのようにｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成するのかについては説明を省略した。
次に、任意ビット長の値が入力された場合に、ｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成する機能を追加したハッシュ値演算装置１０について説明する。
In the above description, in (S401), the default length
Next, when a value having an arbitrary bit length is input, i values p [1],. . . The hash
図２９は、図２６に示すハッシュ値演算装置１０に、任意ビット長の値が入力された場合に、ｍ−ｎビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成する機能を追加したハッシュ値演算装置１０の機能を示す機能ブロック図である。
図３０は、図２９に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図３１は、図２９に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
29 shows a case where i values p [1],... With m−n bit length are inputted to the hash
FIG. 30 is a flowchart showing the operation of the hash
FIG. 31 is a structural diagram of a hash function realized by the hash
図２９に示すハッシュ値演算装置１０の機能と動作について説明する。
図２９に示すハッシュ値演算装置１０は、図１に示すハッシュ値演算装置１０が備える機能に加え、任意長値入力部１５、パディング部１６、分割部１７を備える。
The function and operation of the hash
The hash
（Ｓ４１１：任意長値入力ステップ）
任意長値入力部１５は、任意ビット長の値Ｍを入力装置により入力する。
(S411: Arbitrary length value input step)
The arbitrary length
（Ｓ４１２：パディングステップ）
パディング部１６は、（Ｓ４１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加してｍ−ｎビット長のｉ倍のビット長の値Ｍ’を処理装置により生成して記憶装置に記憶する。つまり、パディング部１６は、Ｍ’＝ｐａｄ（Ｍ）を処理装置により計算して値Ｍ’を得る。
(S412: Padding step)
The
（Ｓ４１３：分割ステップ）
分割部１７は、（Ｓ４１２）で生成された値Ｍ’を処理装置によりｉ個に分割して、ｍ−ｎビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成して記憶装置に記憶する。つまり、分割部１７は、Ｍ’＝ｐ［１］｜｜．．．｜｜ｐ［ｉ］を処理装置により計算して値ｐ［１］，．．．，値ｐ［ｉ］を得る。
(S413: division step)
The dividing
（Ｓ４１４：既定長値入力ステップ）
既定長値入力部１１は、（Ｓ４１３）で生成された値ｐ［１］，．．．，値ｐ［ｉ］を入力装置により入力する。
(S414: Default length input step)
The predetermined length
（Ｓ４１５）から（Ｓ４２０）までの処理は、（Ｓ４０２）から（Ｓ４０７）までの処理と同一である。 The processing from (S415) to (S420) is the same as the processing from (S402) to (S407).
（Ｓ４１２）におけるパディング方法の一例を説明する。
図３２は、以下に説明する所定のパディング処理を行う場合の図２９に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
（Ｓ４１２）でパディング部１６は、（Ｓ４１１）で入力された値Ｍに対して、“１｜｜０・・・０｜｜＜Ｍ＞を付加して、ｍ−ｎビット長のｉ倍のビット長の値Ｍ’を処理装置により生成する。ここで、＜Ｍ＞は、Ｍのビット長｜Ｍ｜の６４ビット表現である。
このように、パディングして値Ｍ’を生成することにより、衝突困難性を高くすることができる。
An example of the padding method in (S412) will be described.
FIG. 32 is a structural diagram of a hash function realized by the hash
In (S412), the
Thus, the difficulty of collision can be increased by generating the value M ′ by padding.
なお、実施の形態１と同様に、予めｉの値を決めておくのではなく、ｉの値は、入力された任意ビット長の値Ｍに応じて決定されるとしてもよい。 As in the first embodiment, the value of i may not be determined in advance, but the value of i may be determined according to the input arbitrary bit length value M.
次に、図３２に示すハッシュ値演算装置１０の圧縮関数としてＳＨＡ−２５６を用いた場合の例を説明する。なお、ＳＨＡ−２５６の圧縮関数をＳＨＡ２５６と呼ぶ。ＳＨＡ２５６は、２５６ビット長の値と５１２ビット長の値との２つの値が入力された場合に、２５６ビット長の値を出力する関数である。
図３３は、圧縮関数としてＳＨＡ−２５６を用いる場合の図２９に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
Next, an example in which SHA-256 is used as the compression function of the hash
FIG. 33 is a structural diagram of a hash function realized by the hash
（Ｓ４１１）では、任意長値入力部１５は、任意ビット長の値Ｍを入力する。
（Ｓ４１２）では、パディング部１６は、（Ｓ４１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加して２５６（＝５１２−２５６）ビット長のｉ倍のビット長の値Ｍ’を生成する。
（Ｓ４１３）では、分割部１７は、（Ｓ４１２）で生成された値Ｍ’をｉ個に分割して、２５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成する。
（Ｓ４１４）では、既定長値入力部１１は、（Ｓ４１３）で生成された２５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］を入力する。
（Ｓ４１５）では、固定値付加部１２は、（Ｓ４１４）で入力された２５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］のそれぞれに対して、２５６ビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ］を付加して、５１２ビット長の値ｘ［１］，．．．，値ｘ［ｉ］を生成する。
（Ｓ４１６）では、圧縮関数計算部１３は、２５６ビット長の固定値ＩＶ１と、（Ｓ４１５）で生成された５１２ビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を計算して２５６ビット長の値ｃ［１］を得る。
（Ｓ４１７）では、圧縮関数計算部１３は、ｊ＝２からｉ−１まで順に、２５６ビット長の値ｃ［ｊ−１］と５１２ビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を計算して２５６ビット長の値ｃ［ｊ］を得る。
（Ｓ４１８）では、置換関数計算部１９は、（Ｓ４１７）で計算された２５６ビット長の値ｃ［ｉ−１］を置換関数πの入力として、ｃ’［ｉ−１］＝π（ｃ［ｉ−１］）を計算して２５６ビット長の値ｃ’［ｉ−１］を得る。
（Ｓ４１９）では、圧縮関数計算部１３は、（Ｓ４１８）で計算された２５６ビット長の値ｃ’［ｉ−１］と、（Ｓ４１５）で生成された５１２ビット長の値ｘ［ｉ］とを圧縮関数ｈの入力として、ｃ［ｉ］＝ｈ（ｃ’［ｉ−１］，ｘ［ｉ］）を計算して２５６ビット長の値ｃ［ｉ］を得る。
（Ｓ４２０）では、出力部１４は、（Ｓ４１９）で計算された値ｃ［ｉ］を出力する。
In (S411), the arbitrary length
In (S412), the
In (S413), the dividing
In (S414), the predetermined length
In (S415), the fixed
In (S416), the compression
In (S417), the compression
In (S418), the permutation
In (S419), the compression
In (S420), the
実施の形態４に係るハッシュ値演算装置１０により構成されたハッシュ関数は、圧縮関数ｈが準一方向性が破られた理想的な圧縮関数の場合であっても、ランダムオラクルと強識別不可能性を満たすハッシュ関数となる。
The hash function configured by the hash
なお、実施の形態１と同様に、必ずしも上述した処理順序通りに計算する必要はなく、ストリーム処理ができる場合には、ストリーム処理で計算してもよい。 Note that, as in the first embodiment, the calculation is not necessarily performed according to the above-described processing order. When the stream processing can be performed, the calculation may be performed by the stream processing.
また、実施の形態１と同様に、圧縮関数計算部１３は、ハッシュ値演算装置１０の外部に備える圧縮関数計算装置に入力値を入力して、圧縮関数計算装置に圧縮関数ｈを計算させることにより、圧縮関数ｈを計算した結果を得てもよい。
また、同様に、置換関数計算部１９は、ハッシュ値演算装置１０の外部に備える置換関数演算装置に入力値を入力して、置換関数演算装置に置換関数πを計算させることにより、置換関数演算を計算した結果を得てもよい。
Similarly to the first embodiment, the compression
Similarly, the replacement
また、圧縮関数計算部１３が値ｃ［１］，．．．，値ｃ［ｉ］を計算するのに用いる圧縮関数ｈは、同一の圧縮関数ｈであってもよいし、それぞれ異なる圧縮関数ｈであってもよい。
In addition, the compression
つまり、実施の形態４に係るハッシュ値演算装置１０をまとめると次のようになる。
ハッシュ値演算装置１０は、ｉ個のｍ−ｓビットの入力値ｐ［１］，．．．，ｐ［ｉ］に対して、圧縮関数演算装置に、ｎビット固定値ＩＶ１、第１メッセージｐ［１］、ｎビット固定値ｃｏｎｓｔ［１］を入力し、その出力ｃ［１］を得る。次に、圧縮関数演算装置に、ｎビット値ｃ［１］、第２メッセージｐ［２］、ｎビット固定値ｃｏｎｓｔ［２］を入力し、その出力ｃ［２］を得る。この処理を、第ｉ−１メッセージまで同様に行い、その出力値ｃ［ｉ−１］を得る。ｆｉｘｅｄ ｐｏｉｎｔを持たないｎビット上の任意の置換関数πを用いて、ｃ＝π（ｃ［ｉ−１］）を計算する。圧縮関数演算装置に、ｎビット値ｃ、第ｉメッセージｐ［ｉ］、ｎビット固定値ｃｏｎｓｔ［ｉ］を入力し、その出力ｃ［ｉ］を得る。そして、ｃ［ｉ］を出力することを特徴とする。
That is, the hash
The hash value
また、ハッシュ値演算装置１０は、任意長の値Ｍから、任意長の値を入力とし、ｍ−ｎビットの値を出力する任意のパディング処理装置を用いて、ｍ−ｎビットの倍数となるメッセージＭ’を生成する。分割処理装置を用いてＭ’をｉ個のｍ−ｎビットの値ｐ［１］，．．．，ｐ［ｉ］に分割することを特徴とする。
In addition, the hash
さらに、ハッシュ値演算装置１０は、パディング処理装置を、Ｍ｜｜１｜｜０．．．０｜｜＜Ｍ＞とすることを特徴とする。但し、＜Ｍ＞はＭのビット長を６４ビットで表したものである。
Further, the hash
また、さらに、ハッシュ値演算装置１０は、圧縮関数演算装置として、ＳＨＡ−２５６の圧縮関数演算装置を用いたことを特徴とする。
Further, the hash
実施の形態５．
実施の形態５では、実施の形態４とは異なるハッシュ関数であって、準一方向性が破られた理想的な圧縮関数を用いて構成した場合であっても、ランダムオラクルといわゆる強識別不可能である新たなハッシュ関数を構成するハッシュ値演算装置１０について説明する。
Embodiment 5 FIG.
In the fifth embodiment, even when the hash function is different from that of the fourth embodiment and is configured using an ideal compression function whose quasi-unidirectionality has been broken, random oracles and so-called strong discrimination failures are not used. The hash
図３４は、実施の形態５に係るハッシュ値演算装置１０の機能を示す機能ブロック図である。
図３５は、図３４に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図３６は、図３４に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 34 is a functional block diagram illustrating functions of the hash
FIG. 35 is a flowchart showing the operation of the hash
FIG. 36 is a structural diagram of a hash function realized by the hash
図３４に示すハッシュ値演算装置１０の機能と動作について説明する。
図３４に示すハッシュ値演算装置１０は、既定長値入力部１１、固定値付加部１２、圧縮関数計算部１３、出力部１４、排他的論理和計算部１８、置換関数計算部１９を備える。
The function and operation of the hash
The hash
（Ｓ５０１：既定長値入力ステップ）
既定長値入力部１１は、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力装置により入力して記憶装置に記憶する。
(S501: Default length input step)
The predetermined length
（Ｓ５０２：排他的論理和計算ステップ）
排他的論理和計算部１８は、（Ｓ５０１）で入力されたｍ−ｓビット長の値ｐ［１］，．．．，ｐ［ｉ］と、予め記憶装置に記憶したｍ−ｓビット長の固定値ｙとを排他的論理和演算の入力として、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを処理装置により計算してｍ−ｓビット長の値ｓｕｍを得て記憶装置に記憶する。
(S502: exclusive OR calculation step)
The exclusive OR
（Ｓ５０３：固定値付加ステップ）
固定値付加部１２は、（Ｓ５０１）で入力されたｍ−ｓビット長の値ｐ［１］，．．．，値ｐ［ｉ］のそれぞれに対して、予め記憶装置に記憶したｓビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ］を付加して、ｍビット長の値ｘ［１］，．．．，値ｘ［ｉ］を処理装置により生成して記憶装置に記憶する。
つまり、固定値付加部１２は、値ｐ［１］に固定値ｃｏｎｓｔ［１］を付加して、値ｘ［１］を生成する。固定値付加部１２は、値ｐ［２］に固定値ｃｏｎｓｔ［２］を付加して、値ｘ［２］を生成する。以下同様に、ｊ＝３，．．．，ｉに対して、固定値付加部１２は、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加して、値ｘ［ｊ］を生成する。
なお、ｊ＝１，．．．，ｉ−１について、値ｐ［ｊ］に固定値ｃｏｎｓｔ［ｊ］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｊ］は、値ｐ［ｊ］の前や後に追加してもよいし、値ｐ［ｊ］の間に挿入してもよい。
また、固定値ｃｏｎｓｔ［１］≠固定値ｃｏｎｓｔ［２］≠．．．≠固定値ｃｏｎｓｔ［ｉ］である。例えば、ｊ＝１，．．．，ｉについて、固定値ｃｏｎｓｔ［ｊ］は、ｊをｓビットで表現した値＜ｊ＞である。
(S503: fixed value addition step)
The fixed
That is, the fixed
Note that j = 1,. . . , I−1, the position where the fixed value const [j] is added to the value p [j] may be anywhere. That is, the fixed value const [j] may be added before or after the value p [j], or may be inserted between the values p [j].
Further, the fixed value const [1] ≠ fixed value const [2] ≠. . . ≠ Fixed value const [i]. For example, j = 1,. . . , I, the fixed value const [j] is a value <j> in which j is expressed by s bits.
（Ｓ５０４：第１圧縮関数計算ステップ）
圧縮関数計算部１３は、予め記憶装置に記憶したｎビット長の固定値ＩＶ１と、（Ｓ５０３）で生成されたｍビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を処理装置により計算してｎビット長の値ｃ［１］を得て記憶装置に記憶する。
(S504: First compression function calculation step)
The
（Ｓ５０５：第２圧縮関数計算ステップ）
圧縮関数計算部１３は、ｊ＝２からｉまで順に、ｎビット長の値ｃ［ｊ−１］とｍビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を処理装置により計算してｎビット長の値ｃ［ｊ］を得て記憶装置に記憶する。
つまり、まず、圧縮関数計算部１３は、（Ｓ５０４）で計算したｎビット長の値ｃ［１］と、（Ｓ５０３）で生成されたｍビット長の値ｘ［２］とを入力として、ｃ［２］＝ｈ（ｃ［１］，ｘ［２］）を処理装置により計算してｎビット長の値ｃ［２］を得る。
次に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［２］と、（Ｓ５０３）で生成されたｍビット長の値ｘ［３］とを入力として、ｃ［３］＝ｈ（ｃ［２］，ｘ［３］）を処理装置により計算してｎビット長の値ｃ［３］を得る。
これを繰り返して、最終的に、圧縮関数計算部１３は、計算したｎビット長の値ｃ［ｉ−１］と、（Ｓ５０３）で生成されたｍビット長の値ｘ［ｉ］とを入力として、ｃ［ｉ］＝ｈ（ｃ［ｉ−１］，ｘ［ｉ］）を処理装置により計算してｎビット長の値ｃ［ｉ］を得る。
(S505: Second compression function calculation step)
The compression
That is, first, the compression
Next, the compression
By repeating this, finally, the compression
（Ｓ５０６：置換関数計算ステップ）
置換関数計算部１９は、（Ｓ５０５）で計算されたｎビット長の値ｃ［ｉ］を置換関数πの入力として、ｃ’［ｉ］＝π（ｃ［ｉ］）を処理装置により計算してｎビット長の値ｃ’［ｉ］を得て記憶装置に記憶する。
なお、置換関数πは、任意の値ａを入力した場合に値ａとは異なる値ａ’に置換する置換関数であって、値ａを入力した場合に入力した値ａがそのまま出力されることのない置換関数である。つまり、置換関数πは、π（ａ）＝ａとなるような固定点（Ｆｉｘｅｄ Ｐｏｉｎｔ）を有さない置換関数である。
(S506: Substitution function calculation step)
The replacement
The replacement function π is a replacement function that replaces a value a ′ different from the value a when an arbitrary value a is input, and the input value a is output as it is when the value a is input. It is a replacement function without That is, the replacement function π is a replacement function that does not have a fixed point such that π (a) = a.
（Ｓ５０７：第３圧縮関数計算ステップ）
圧縮関数計算部１３は、（Ｓ５０６）で計算されたｎビット長の値ｃ’［ｉ］と、（Ｓ５０２）で計算されたｍ−ｓビット長の値ｓｕｍにｓビット長の固定値ｃｏｎｓｔ［ｉ＋１］を付加したｍビット長のｘ［ｉ＋１］を圧縮関数ｈの入力として、ｃ［ｉ＋１］＝ｈ（ｃ’［ｉ］，ｘ［ｉ＋１］）を処理装置により計算してｎビット長の値ｃ［ｉ＋１］を得て記憶装置に記憶する。
なお、固定値ｃｏｎｓｔ［ｉ＋１］≠固定値ｃｏｎｓｔ［１］≠．．．≠固定値ｃｏｎｓｔ［ｉ］である。例えば、固定値ｃｏｎｓｔ［ｉ＋１］は、ｉ＋１をｓビットで表現した値＜ｉ＋１＞である。
また、値ｓｕｍに固定値ｃｏｎｓｔ［ｉ＋１］を付加する位置は、どこであってもよい。つまり、固定値ｃｏｎｓｔ［ｉ＋１］は、値ｓｕｍの前や後に追加してもよいし、値ｓｕｍの間に挿入してもよい。
(S507: third compression function calculation step)
The compression
Note that the fixed value const [i + 1] ≠ fixed value const [1] ≠. . . ≠ Fixed value const [i]. For example, the fixed value const [i + 1] is a value <i + 1> in which i + 1 is expressed by s bits.
Further, the position where the fixed value const [i + 1] is added to the value sum may be anywhere. That is, the fixed value const [i + 1] may be added before or after the value sum, or may be inserted between the values sum.
（Ｓ５０８：出力ステップ）
出力部１４は、（Ｓ５０７）で計算された値ｃ［ｉ＋１］を出力装置により出力する。
(S508: Output step)
The
なお、ｉ＝１の場合、つまり（Ｓ５０１）で１個の値ｐ［１］のみが入力された場合には、（Ｓ５０５）は実行されない。つまり、（Ｓ５０４）で値ｃ［１］を得た後、（Ｓ５０６）で値ｃ［１］を入力として、値ｃ’［１］を得る。そして、（Ｓ５０７）で値ｃ’［１］と値ｓｕｍに固定値ｃｏｎｓｔ［ｉ＋１］を付加した値ｘ［２］とを入力として、値ｃ［２］を得る。 When i = 1, that is, when only one value p [1] is input in (S501), (S505) is not executed. That is, after obtaining the value c [1] in (S504), the value c [1] is input in (S506) to obtain the value c '[1]. In step S507, the value c '[1] and the value x [2] obtained by adding the fixed value const [i + 1] to the value sum are input to obtain the value c [2].
以上をまとめると、次のようになる。
まず、ハッシュ値演算装置１０は、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを処理装置により計算する。
また、ハッシュ値演算装置１０は、ｊ＝１からｉまで順に、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｐ［ｊ］｜｜＜ｊ＞）を計算する。ここで、ｃ［０］は、ＩＶ１とする。
次に、ハッシュ値演算装置１０は、ｃ［ｉ＋１］＝ｈ（π（ｃ［ｉ］），ｓｕｍ｜｜＜ｉ＋１＞）を計算する。
そして、ハッシュ値演算装置１０は、値ｃ［ｉ＋１］を出力する。
The above is summarized as follows.
First, the hash
Further, the hash
Next, the hash
Then, the hash
上記説明では、（Ｓ５０１）で既定長値入力部１１が、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を入力するとした。しかし、通常、ハッシュ関数へ入力される値は、１個の任意ビット長の値である。つまり、上記説明では、１個の任意ビット長の値が入力された場合に、どのようにｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成するのかについては説明を省略した。
次に、任意ビット長の値が入力された場合に、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成する機能を追加したハッシュ値演算装置１０について説明する。
In the above description, in (S501), the predetermined length
Next, when an arbitrary bit length value is input, i values p [1],. . . The hash
図３７は、図３４に示すハッシュ値演算装置１０に、任意ビット長の値が入力された場合に、ｍ−ｓビット長のｉ個の値ｐ［１］，．．．，値ｐ［ｉ］を生成する機能を追加したハッシュ値演算装置１０の機能を示す機能ブロック図である。
図３８は、図３７に示すハッシュ値演算装置１０の動作を示すフローチャートである。
図３９は、図３７に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
FIG. 37 illustrates the case where i values p [1],... With m−s bit length are input to the hash
FIG. 38 is a flowchart showing the operation of the hash
FIG. 39 is a structural diagram of a hash function realized by the hash
図３７に示すハッシュ値演算装置１０の機能と動作について説明する。
図３７に示すハッシュ値演算装置１０は、図３４に示すハッシュ値演算装置１０が備える機能に加え、任意長値入力部１５、パディング部１６、分割部１７を備える。
The function and operation of the hash
The hash
（Ｓ５１１：任意長値入力ステップ）
任意長値入力部１５は、任意ビット長の値Ｍを入力装置により入力する。
(S511: Arbitrary length value input step)
The arbitrary length
（Ｓ５１２：パディングステップ）
パディング部１６は、（Ｓ５１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加してｍ−ｓビット長のｉ倍のビット長の値Ｍ’を処理装置により生成して記憶装置に記憶する。つまり、パディング部１６は、Ｍ’＝ｐａｄ（Ｍ）を処理装置により計算して値Ｍ’を得る。
(S512: Padding step)
The
（Ｓ５１３：分割ステップ）
分割部１７は、（Ｓ５１２）で生成された値Ｍ’を処理装置によりｉ個に分割して、ｍ−ｓビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成して記憶装置に記憶する。つまり、分割部１７は、Ｍ’＝ｐ［１］｜｜．．．｜｜ｐ［ｉ］を処理装置により計算して値ｐ［１］，．．．，値ｐ［ｉ］を得る。
(S513: Division step)
The dividing
（Ｓ５１４：既定長値入力ステップ）
既定長値入力部１１は、（Ｓ５１３）で生成された値ｐ［１］，．．．，値ｐ［ｉ］を入力装置により入力する。
(S514: Default length input step)
The predetermined length
（Ｓ５１５）から（Ｓ５２１）までの処理は、（Ｓ５０２）から（Ｓ５０８）までの処理と同一である。 The processing from (S515) to (S521) is the same as the processing from (S502) to (S508).
（Ｓ５１２）におけるパディング方法の一例を説明する。
図４０は、以下に説明するパディング処理を行う場合の図３７に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
（Ｓ５１２）でパディング部１６は、実施の形態１で説明した（Ｓ１１２）におけるパディング方法と同様に、（Ｓ５１１）で入力された値Ｍに対して、“１｜｜０・・・０｜｜＜Ｍ＞を付加して、ｍ−ｓビット長のｉ倍のビット長の値Ｍ’を処理装置により生成する。ここで、＜Ｍ＞は、Ｍのビット長｜Ｍ｜の６４ビット表現である。
このように、パディングして値Ｍ’を生成することにより、衝突困難性を高くすることができる。
An example of the padding method in (S512) will be described.
FIG. 40 is a structural diagram of a hash function realized by the hash
In (S512), the
Thus, the difficulty of collision can be increased by generating the value M ′ by padding.
図４１は、以下に説明するパディング処理を行う場合の図３７に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
（Ｓ５１２）でパディング部１６は、（Ｓ５１１）で入力された値Ｍに対して、“１｜｜０・・・０を付加して、ｍ−ｓビット長のｉ倍のビット長の値Ｍ’を処理装置により生成する。
このように、パディングして値Ｍ’を生成しても、衝突困難性を高くすることができる。
FIG. 41 is a structural diagram of a hash function realized by the hash
In (S512), the
Thus, even if padding generates the value M ′, the collision difficulty can be increased.
なお、実施の形態１と同様に、予めｉの値を決めておくのではなく、ｉの値は、入力された任意ビット長の値Ｍに応じて決定されるとしてもよい。 As in the first embodiment, the value of i may not be determined in advance, but the value of i may be determined according to the input arbitrary bit length value M.
次に、図３７に示すハッシュ値演算装置１０の圧縮関数としてＳＨＡ−２５６を用いた場合の例を説明する。なお、ＳＨＡ−２５６の圧縮関数をＳＨＡ２５６と呼ぶ。ＳＨＡ２５６は、２５６ビット長の値と５１２ビット長の値との２つの値が入力された場合に、２５６ビット長の値を出力する関数である。
図４２は、圧縮関数としてＳＨＡ−２５６を用いる場合の図３７に示すハッシュ値演算装置１０により実現されるハッシュ関数の構造図である。
なお、以下の説明では、値ｓを５６として説明する。
Next, an example in which SHA-256 is used as the compression function of the hash
FIG. 42 is a structural diagram of a hash function realized by the hash
In the following description, the value s is assumed to be 56.
（Ｓ５１１）では、任意長値入力部１５は、任意ビット長の値Ｍを入力する。
（Ｓ５１２）では、パディング部１６は、（Ｓ５１１）で入力された値Ｍに対して、パディング関数ｐａｄを用いて、所定の値を付加して４５６（＝５１２−５６）ビット長のｉ倍のビット長の値Ｍ’を生成する。
（Ｓ５１３）では、分割部１７は、（Ｓ５１２）で生成された値Ｍ’をｉ個に分割して、４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成する。
（Ｓ５１４）では、既定長値入力部１１は、（Ｓ５１３）で生成された４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］を入力する。
（Ｓ５１５）では、排他的論理和計算部１８は、（Ｓ５１４）で入力された４５６ビット長の値ｐ［１］，．．．，ｐ［ｉ］と、４５６ビット長の固定値ｙとを排他的論理和演算の入力として、ｓｕｍ＝ｐ［１］ ｘｏｒ，．．．，ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙを計算して４５６ビット長の値ｓｕｍを得る。
（Ｓ５１６）では、固定値付加部１２は、（Ｓ５１１）で入力された４５６ビット長の値ｐ［１］，．．．，値ｐ［ｉ］のそれぞれに対して、５６ビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ］を付加して、５１２ビット長の値ｘ［１］，．．．，値ｘ［ｉ］を生成する。
（Ｓ５１７）では、圧縮関数計算部１３は、２５６ビット長の固定値ＩＶ１と、（Ｓ５１６）で生成された５１２ビット長の値ｘ［１］を圧縮関数ｈの入力として、ｃ［１］＝ｈ（ＩＶ１，ｘ［１］）を計算して２５６ビット長の値ｃ［１］を得る。
（Ｓ５１８）では、圧縮関数計算部１３は、ｊ＝２からｉまで順に、２５６ビット長の値ｃ［ｊ−１］と５１２ビット長の値ｘ［ｊ］とを圧縮関数ｈの入力として、ｃ［ｊ］＝ｈ（ｃ［ｊ−１］，ｘ［ｊ］）を計算して２５６ビット長の値ｃ［ｊ］を得る。
（Ｓ５１９）では、置換関数計算部１９は、（Ｓ５１８）で計算された２５６ビット長の値ｃ［ｉ］を置換関数πの入力として、ｃ’［ｉ］＝π（ｃ［ｉ］）を計算して２５６ビット長の値ｃ’［ｉ］を得る。
（Ｓ５２０）では、圧縮関数計算部１３は、（Ｓ５１９）で計算された２５６ビット長の値ｃ’［ｉ］と、（Ｓ５１５）で計算された４５６ビット長の値ｓｕｍに５６ビット長の固定値ｃｏｎｓｔ［ｉ＋１］を付加した５１２ビット長のｘ［ｉ＋１］を圧縮関数ｈの入力として、ｃ［ｉ＋１］＝ｈ（ｃ’［ｉ］，ｘ［ｉ＋１］）を計算して２５６ビット長の値ｃ［ｉ＋１］を得る。
（Ｓ５２１）では、出力部１４は、（Ｓ５２０）で計算された値ｃ［ｉ＋１］を出力する。
In (S511), the arbitrary length
In (S512), the
In (S513), the dividing
In (S514), the predetermined length
In (S515), the exclusive OR
In (S516), the fixed
In (S517), the compression
In (S518), the compression
In (S519), the permutation
In (S520), the compression
In (S521), the
実施の形態５に係るハッシュ値演算装置１０により構成されたハッシュ関数は、圧縮関数ｈが準一方向性が破られた理想的な圧縮関数の場合であっても、ランダムオラクルと強識別不可能性を満たすハッシュ関数となる。
The hash function configured by the hash
なお、実施の形態１と同様に、必ずしも上述した処理順序通りに計算する必要はなく、ストリーム処理ができる場合には、ストリーム処理で計算してもよい。 Note that, as in the first embodiment, the calculation is not necessarily performed according to the above-described processing order. When the stream processing can be performed, the calculation may be performed by the stream processing.
また、実施の形態１と同様に、圧縮関数計算部１３は、ハッシュ値演算装置１０の外部に備える圧縮関数計算装置に入力値を入力して、圧縮関数計算装置に圧縮関数ｈを計算させることにより、圧縮関数ｈを計算した結果を得てもよい。
また、同様に、排他的論理和計算部１８は、ハッシュ値演算装置１０の外部に備える排他的論理和計算装置に入力値を入力して、排他的論理和計算装置に排他的論理和演算を計算させることにより、排他的論理和演算を計算した結果を得てもよい。同様に、置換関数計算部１９は、ハッシュ値演算装置１０の外部に備える置換関数演算装置に入力値を入力して、置換関数演算装置に置換関数πを計算させることにより、置換関数演算を計算した結果を得てもよい。
Similarly to the first embodiment, the compression
Similarly, the exclusive OR
また、圧縮関数計算部１３が値ｃ［１］，．．．，値ｃ［ｉ＋１］を計算するのに用いる圧縮関数ｈは、同一の圧縮関数ｈであってもよいし、それぞれ異なる圧縮関数ｈであってもよい。
In addition, the compression
つまり、実施の形態５に係るハッシュ値演算装置１０をまとめると次のようになる。
ハッシュ値演算装置１０は、ｉ個のｍ−ｓビットの入力値ｐ［１］，．．．，ｐ［ｉ］に対して、圧縮関数演算装置に、ｎビット固定値ＩＶ１、第１メッセージｐ［１］、１のｓビット表現値を入力し、その出力ｃ［１］を得る。次に、圧縮関数演算装置に、ｎビット値ｃ［１］、第２メッセージｐ［２］、２のｓビット表現値を入力し、その出力ｃ［２］を得る。この処理を、第ｉメッセージまで同様に行い、その出力値ｃ［ｉ］を得る。ｆｉｘｅｄ ｐｏｉｎｔを持たないｎビット上の任意の置換関数πを用いて、ｃ＝π（ｃ［ｉ］）を計算する。圧縮関数演算装置に、ｎビット値ｃ、ｓｕｍ＝ｐ［１］ ｘｏｒ ．．． ｘｏｒ ｐ［ｉ］ ｘｏｒ ｙ、ｉ＋１のｓビットの表現値を入力し、その出力ｃ［ｉ＋１］を得る。ｃ［ｉ＋１］を出力することを特徴とする。ここで、ｙはｍ−ｓビット固定値である。
That is, the hash
The hash value
また、ハッシュ値演算装置１０は、任意長の値Ｍから、任意長の値を入力とし、ｍ−ｓビットの値を出力する任意のパディング処理装置を用いて、ｍ−ｓビットの倍数となるメッセージＭ’を生成する。分割処理装置を用いてＭ’をｉ個のｍ−ｓビットの値ｐ［１］，．．．，ｐ［ｉ］に分割することを特徴とする。
Further, the hash
さらに、ハッシュ値演算装置１０は、パディング処理装置を、Ｍ｜｜１｜｜０．．．０｜｜＜Ｍ＞とし、ｓ＝５６とすることを特徴とする。但し、＜Ｍ＞はＭのビット長を６４ビットで表したものである。
Further, the hash
また、さらに、ハッシュ値演算装置１０は、パディング処理装置を、Ｍ｜｜１｜｜０．．．０とし、ｓ＝５６とすることを特徴とする。
Further, the hash
また、ハッシュ値演算装置１０は、圧縮関数演算装置として、ＳＨＡ−２５６の圧縮関数演算装置を用いたことを特徴とする。
Further, the hash
すなわち、以上の実施の形態に係るハッシュ値演算装置１０は、ＥＭＤ構造、ＭＤＰ構造、圧縮関数に固定値を入力する操作、圧縮関数に圧縮関数番号を入力する操作、メッセージの排他的論理輪値を圧縮関数の入力とする操作を利用してハッシュ関数を構成する。これにより、一方向性が破られた圧縮関数または準一方向性が破られた圧縮関数から、ランダムオラクルと強識別不可能性を満たす、効率的なハッシュ関数を構成する。
In other words, the hash
なお、以上の実施の形態に係るハッシュ値演算装置１０は、暗号処理（署名処理を含む）を行う暗号処理装置等において用いられるハッシュ値を計算するための装置である。
The hash
次に、実施の形態におけるハッシュ値演算装置１０のハードウェア構成について説明する。
図４３は、ハッシュ値演算装置１０のハードウェア構成の一例を示す図である。
図４３に示すように、ハッシュ値演算装置１０は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、演算回路、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。
Next, the hardware configuration of the hash
FIG. 43 is a diagram illustrating an example of a hardware configuration of the hash
As shown in FIG. 43, the hash
ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置（ネットワークインタフェース）の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。
The
磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
An operating system 921 (OS), a
プログラム群９２３には、上記の説明において「既定長値入力部１１」、「固定値付加部１２」、「圧縮関数計算部１３」、「出力部１４」、「任意長値入力部１５」、「パディング部１６」、「分割部１７」、「排他的論理和計算部１８」、「置換関数計算部１９」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において固定値や途中計算結果等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
In the
In the
また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。
In the above description, the arrows in the flowchart mainly indicate input / output of data and signals, and the data and signal values are recorded in a memory of the
In addition, what is described as “to part” in the above description may be “to circuit”, “to device”, “to device”, “to means”, and “to function”. It may be “step”, “˜procedure”, “˜processing”. In addition, what is described as “˜device” may be “˜circuit”, “˜device”, “˜device”, “˜means”, “˜function”, and “˜step”, “ ~ Procedure "," ~ process ". Furthermore, what is described as “to process” may be “to step”. That is, what is described as “˜unit” may be realized by firmware stored in the
１０ ハッシュ値演算装置、１１ 既定長値入力部、１２ 固定値付加部、１３ 圧縮関数計算部、１４ 出力部、１５ 任意長値入力部、１６ パディング部、１７ 分割部、１８ 排他的論理和計算部、１９ 置換関数計算部。
DESCRIPTION OF
Claims (2)
前記既定長値入力部が入力したｍ−ｎビット長の値ｐ［１］，．．．，値ｐ［ｉ］のうち、ｉ−１個の値ｐ［１］，．．．，値ｐ［ｉ−１］それぞれに対して、ｎビット長の固定値ｃｏｎｓｔ［１］，．．．，固定値ｃｏｎｓｔ［ｉ−１］を付加して、ｍビット長の値ｘ［１］，．．．，値ｘ［ｉ−１］を生成して記憶装置に記憶する固定値付加部と、
ｊ＝１からｉ−１まで順に、ｎビット長の値ｃ［ｊ−１］（値ｃ［０］はｎビット長の固定値ＩＶ１とする）と、前記固定値付加部が生成したｍビット長の値ｘ［ｊ］とを入力として、圧縮関数ｈを計算した結果であるｎビット長の値ｃ［ｊ］を得ることにより、ｎビット長の値ｃ［ｉ−１］を得て記憶装置に記憶し、
ｎビット長の固定値ＩＶ２と、ｍ−ｎビット長の値ｐ［ｉ］にｎビット長の値ｃ［ｉ−１］を付加したｍビット長の値ｘ［ｉ］とを入力として、圧縮関数ｈを計算した結果であるｎビット長の値ｃ［ｉ］を得て記憶装置に記憶する圧縮関数計算部と、
前記圧縮関数計算部が得た値ｃ［ｉ］を出力する出力部と
を備えることを特徴とするハッシュ値演算装置。 I values p [1],. . . , Value p [i], for a predetermined natural number m and a natural number n smaller than the natural number m, the value p [1],. . . , A predetermined length input unit for inputting the value p [i],
The mn bit length values p [1],. . . , Value p [i], i−1 values p [1],. . . , Values p [i−1], n-bit fixed values const [1],. . . , A fixed value const [i−1], and an m-bit length value x [1],. . . , A fixed value adding unit that generates a value x [i−1] and stores it in the storage device;
In order from j = 1 to i−1, an n-bit value c [j−1] (value c [0] is an n-bit fixed value IV1) and m bits generated by the fixed value adding unit By inputting the length value x [j] and obtaining the n-bit length value c [j] which is the result of calculating the compression function h, the n-bit length value c [i-1] is obtained and stored. Memorize in the device,
a fixed value IV2 of n bit length, m-n to the value p [i] of the bit length of an n-bit length value c [i-1] by adding the m-bit length of the value x [i] as input, compression A compression function calculation unit that obtains an n-bit length value c [i], which is a result of calculating the function h, and stores it in a storage device;
A hash value calculation device comprising: an output unit that outputs a value c [i] obtained by the compression function calculation unit.
任意ビット長の値Ｍを入力する任意長値入力部と、
前記任意長値入力部が入力した値Ｍに対して、所定の値を付加してｍ−ｎビット長のｉ倍のビット長の値Ｍ’を生成して記憶装置に記憶するパディング部と、
前記パディング部が生成した値Ｍ’を分割して、ｍ−ｎビット長の値ｐ［１］，．．．，値ｐ［ｉ］を生成して記憶装置に記憶する分割部とを備え、
前記既定長値入力部は、前記分割部が生成した値ｐ［１］，．．．，値ｐ［ｉ］を入力する
ことを特徴とする請求項１に記載のハッシュ値演算装置。 The hash value calculation device further includes:
An arbitrary length value input unit for inputting an arbitrary bit length value M;
A padding unit for adding a predetermined value to the value M input by the arbitrary length value input unit to generate a value M ′ having a bit length i times mn bit length and storing the value M ′ in a storage device;
The value M ′ generated by the padding unit is divided into values p [1],. . . , A dividing unit that generates a value p [i] and stores it in a storage device,
The predetermined length value input unit includes the values p [1],. . . , The hash value calculation device according to claim 1, characterized in that the input values p [i].
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009125976A JP5398353B2 (en) | 2009-05-26 | 2009-05-26 | Hash value calculation device, hash value calculation method, and hash value calculation program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009125976A JP5398353B2 (en) | 2009-05-26 | 2009-05-26 | Hash value calculation device, hash value calculation method, and hash value calculation program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2010276629A JP2010276629A (en) | 2010-12-09 |
| JP5398353B2 true JP5398353B2 (en) | 2014-01-29 |
Family
ID=43423691
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2009125976A Expired - Fee Related JP5398353B2 (en) | 2009-05-26 | 2009-05-26 | Hash value calculation device, hash value calculation method, and hash value calculation program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5398353B2 (en) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP5621569B2 (en) | 2010-12-13 | 2014-11-12 | ソニー株式会社 | Imaging apparatus and shutter operation correction method |
-
2009
- 2009-05-26 JP JP2009125976A patent/JP5398353B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2010276629A (en) | 2010-12-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10284368B2 (en) | Secure key storage | |
| JP6058245B2 (en) | Random number expansion apparatus, random number expansion method and random number expansion program | |
| EP3096245B1 (en) | Retrievable cryptograph processing system and retrievable cryptograph processing method | |
| JP6144992B2 (en) | Searchable cryptographic processing system and method | |
| JP5710460B2 (en) | Encryption key generation apparatus and program | |
| CN109993008A (en) | Method and arrangement for implicit integrality | |
| US10326589B2 (en) | Message authenticator generating apparatus, message authenticator generating method, and computer readable recording medium | |
| US20200089921A1 (en) | Tamper-resistant component networks | |
| US10536264B2 (en) | Efficient cryptographically secure control flow integrity protection | |
| CN105095097B (en) | The memory access of randomization | |
| JP6735926B2 (en) | Encryption device, decryption device, encryption method, decryption method, encryption program, and decryption program | |
| CN106792686B (en) | RFID bidirectional authentication method | |
| CN107534549B (en) | Readable storage medium, method and system for encrypting data stream block | |
| EP3959618A1 (en) | Efficient side-channel-attack-resistant memory encryptor based on key update | |
| CN111008407A (en) | Encryption circuit for performing virtual encryption operations | |
| WO2016063512A1 (en) | Mac tag list generating apparatus, mac tag list verifying apparatus, mac tag list generating method, mac tag list verifying method and program recording medium | |
| WO2019114084A1 (en) | Encrypting/decrypting method for multi-digit number and encrypting/decrypting server | |
| JP5398353B2 (en) | Hash value calculation device, hash value calculation method, and hash value calculation program | |
| JP6040780B2 (en) | Cryptographic processing apparatus, method and program | |
| US11177936B2 (en) | Message authenticator generation apparatus | |
| TWI565285B (en) | A cryptographic device, a memory system, a decoding device, a cryptographic method, a decoding method, a cryptographic program product and a decoding program product | |
| JP2013126078A (en) | Encryption processing apparatus, encryption processing method, and program | |
| JP6830867B2 (en) | Authenticated encryption system with additional data, decryption device, authenticated encryption method with additional data, and program | |
| CN111092721A (en) | Method and device for setting access password | |
| JP6033504B1 (en) | Message authenticator generator |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20120305 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20120305 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130702 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20130827 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20130924 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20131022 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |