JP6033504B1 - メッセージ認証子生成装置 - Google Patents

メッセージ認証子生成装置 Download PDF

Info

Publication number
JP6033504B1
JP6033504B1 JP2016525623A JP2016525623A JP6033504B1 JP 6033504 B1 JP6033504 B1 JP 6033504B1 JP 2016525623 A JP2016525623 A JP 2016525623A JP 2016525623 A JP2016525623 A JP 2016525623A JP 6033504 B1 JP6033504 B1 JP 6033504B1
Authority
JP
Japan
Prior art keywords
value
function
message
bits
authenticator
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2016525623A
Other languages
English (en)
Other versions
JPWO2017009981A1 (ja
Inventor
祐介 内藤
祐介 内藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Application granted granted Critical
Publication of JP6033504B1 publication Critical patent/JP6033504B1/ja
Publication of JPWO2017009981A1 publication Critical patent/JPWO2017009981A1/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0637—Modes of operation, e.g. cipher block chaining [CBC], electronic codebook [ECB] or Galois/counter mode [GCM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/20—Manipulating the length of blocks of bits, e.g. padding or block truncation

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

メッセージ認証子生成装置は、鍵ＫとメッセージＭとを入力としてｅビットのｉ倍のビット数の値Ｅを生成し、値Ｅをｅビット毎に分割して、値Ｍ［１］，．．．，Ｍ［ｉ］を生成する。この際、メッセージ認証子生成装置は、値Ｍ［１］，．．．，Ｍ［ｉ］のうちの値Ｍ［１］と値Ｍ［ｉ］とに鍵Ｋの少なくとも一部のビットが含まれるように値Ｅを生成する。メッセージ認証子生成装置は、任意の値を値Ｓ［０］として、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、値Ｓ［ｊ−１］と値Ｍ［ｊ］とを入力として関数ｇ［ｊ］によって値Ｒ［ｊ］を計算し、計算された値Ｒ［ｊ］を置換関数Ｐ［ｊ］で置換して値Ｓ［ｊ］を計算する。メッセージ認証子生成装置は、値Ｓ［ｉ］を用いてメッセージＭの認証子Ｔを生成する。

Description

この発明は、置換を用いて安全かつ効率的にメッセージの認証子を生成する技術に関する。
メッセージ認証アルゴリズムを用いると、２者間でメッセージをやり取りする場合に、送信したメッセージが改ざんされているか否かを受信者が確認できる。
メッセージ認証アルゴリズムを用いて改ざん検出をチェックする場合、２者間で予め鍵Ｋを共有しておく。メッセージの送信者は、メッセージＭと鍵ＫとからメッセージＭの認証子Ｔを生成し、メッセージＭと認証子Ｔとを受信者に送信する。メッセージの受信者は受け取ったメッセージＭと鍵Ｋとから認証子Ｔ’を生成する。受信者は、認証子Ｔと認証子Ｔ’とが一致すれば改ざんされていないと判断し、一致しなければ改ざんされていると判断する。
メッセージ認証アルゴリズムの安全性は、ランダム関数との識別不可能性で示される。
メッセージ認証アルゴリズムＦが識別不可能性を満たすとは、現実世界または理想世界のどちらか一方と対話する識別者Ｄを考え、識別者Ｄがどちらと対話しているかを当てることができないことを意味する。
現実世界では、鍵Ｋがランダムに選ばれ、識別者ＤはメッセージＭを選んで、Ｆ（Ｋ，Ｍ）のメッセージ認証子を得ることができる。理想世界では、ランダム関数Ｒに対して、識別者ＤはメッセージＭを選んで、Ｒ（Ｍ）の出力値を得ることができる。ここで、識別者ＤはメッセージＭを何度も選択することができ、選択したメッセージＭに対応するＦ（Ｋ，Ｍ）又はＲ（Ｍ）の出力値を得ることができる。
より厳密には、１ビットの値を出力する識別者Ｄを考える。識別者Ｄが現実世界で１を出力する確率と、識別者Ｄが理想世界で１を出力する確率との差によってメッセージ認証アルゴリズムＦの識別不可能性が評価される。
識別者Ｄは、現実世界ではメッセージ認証アルゴリズムＦの出力を複数得ることができ、理想世界ではランダム関数Ｒの出力を複数得ることができる。この時のメッセージＭの総ビット数をσとすると、上記確率の差は、σを用いた確率ｐ（σ）によって評価される。そして、確率ｐ（σ）＝１となるビット数σの値を識別計算量と呼ぶ。このビット数σの値は識別に必要な計算量となり、この値が大きいほど安全性は高くなる。
ｌｏｇ２σは、識別不可能性の安全性ビットと呼ばれる。例えば、σ＝２１２８の場合、安全性ビットはｌｏｇ２２１２８＝１２８ビットとなる。
関数Ｆが識別不可能性の安全性を満たす場合、関数Ｆはメッセージ認証アルゴリズムとして使うことができるとともに、疑似乱数生成アルゴリズムとしても使うことができる。したがって、Ｋｅｙ Ｄｅｒｉｖａｔｉｏｎ Ｆｕｎｃｔｉｏｎやストリーム暗号などで用いる関数として関数Ｆを使うことができる。
非特許文献５には、非特許文献７に記載されたハッシュ関数であって、置換関数を用いたスポンジ構造のハッシュ関数を用いたメッセージ認証アルゴリズムが記載されている。
非特許文献８には、非特許文献５に記載されたメッセージ認証アルゴリズムを高速化したメッセージ認証アルゴリズムが記載されている。
非特許文献９のハッシュ関数Ｈとして、非特許文献７に記載されたハッシュ関数であって、置換関数を用いたスポンジ構造のハッシュ関数を用いることで、メッセージ認証アルゴリズムが構成される。
特開２００９−１２９３９１号公報 特開２００９−５１６３号公報
Ｍｉｈｉｒ Ｂｅｌｌａｒｅ， Ｒａｎ Ｃａｎｅｔｔｉ， ａｎｄ Ｈｕｇｏ Ｋｒａｗｃｚｙｋ． Ｋｅｙｉｎｇ Ｈａｓｈ Ｆｕｎｃｔｉｏｎｓ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ． ＣＲＹＰＴＯ １９９６． ｐ１−１５． Ｍｉｈｉｒ Ｂｅｌｌａｒｅ． Ｎｅｗ Ｐｒｏｏｆｓ ｆｏｒ ＮＭＡＣ ａｎｄ ＨＭＡＣ： Ｓｅｃｕｒｉｔｙ ｗｉｔｈｏｕｔ Ｃｏｌｌｉｓｉｏｎ−Ｒｅｓｉｓｔａｎｃｅ． ＣＲＹＰＴＯ ２００６． ｐ６０２−６１９ Ｒａｌｐｈ Ｃ． Ｍｅｒｋｌｅ． Ｏｎｅ Ｗａｙ Ｈａｓｈ Ｆｕｎｃｔｉｏｎｓ ａｎｄ ＤＥＳ． ＣＲＹＰＴＯ １９８９． ｐ４２８−４４６ Ｉｖａｎ Ｄａｍｇａｒｄ． Ａ Ｄｅｓｉｇｎ Ｐｒｉｎｃｉｐｌｅ ｆｏｒ Ｈａｓｈ Ｆｕｎｃｔｉｏｎｓ． ＣＲＹＰＴＯ １９８９． ｐ４１６−４２７ Ｇ． Ｂｅｒｔｏｎｉ， Ｊ． Ｄａｅｍｅｎ， Ｍ． Ｐｅｅｔｅｒｓ， ａｎｄ Ｇ． Ｖ． Ａｓｓｃｈｅ． Ｏｎ ｔｈｅ ｓｅｃｕｒｉｔｙ ｏｆ ｔｈｅ ｋｅｙｅｄ ｓｐｏｎｇｅ ｃｏｎｓｔｒｕｃｔｉｏｎ． Ｓｙｍｍｅｔｒｉｃ Ｋｅｙ Ｅｎｃｒｙｐｔｉｏｎ Ｗｏｒｋｓｈｏｐ （ＳＫＥＷ） Ｓｅｃｕｒｉｔｙ ｏｆ Ｋｅｙｅｄ Ｓｐｏｎｇｅ Ｃｏｎｓｔｒｕｃｔｉｏｎｓ Ｕｓｉｎｇ ａ Ｍｏｄｕｌａｒ Ｐｒｏｏｆ Ａｐｐｒｏａｃｈ． Ｅｌｅｎａ Ａｎｄｒｅｅｖａ， Ｊｏａｎ Ｄａｅｍｅｎ， Ｂａｒｔ Ｍｅｎｎｉｎｋ， ａｎｄ Ｇｉｌｌｅｓ Ｖａｎ Ａｓｓｃｈｅ． Ｆａｓｔ Ｓｏｆｔｗａｒｅ Ｅｎｃｒｙｐｔｉｏｎ ２０１５ （ＦＳＥ ２０１５）． Ｇ． Ｂｅｒｔｏｎｉ， Ｊ． Ｄａｅｍｅｎ， ａｎｄ Ｍ． Ｐｅｅｔｅｒｓ． Ｓｐｏｎｇｅ ｆｕｎｃｔｉｏｎｓ． Ｅｃｒｙｐｔ Ｈａｓｈ Ｗｏｒｋｓｈｏｐ ２００７ Ｇ． Ｂｅｒｔｏｎｉ， Ｊ． Ｄａｅｍｅｎ， ａｎｄ Ｍ． Ｐｅｅｔｅｒｓ． Ｐｅｒｍｕｔａｔｉｏｎ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ， ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ａｕｔｈｅｎｔｉｃａｔｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｄｉｒｅｃｔｉｏｎｓ ｉｎ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｃｉｐｈｅｒｓ ２０１２ ＦＩＰＳ ＰＵＢ １９８−１． Ｔｈｅ Ｋｅｙｅｄ−Ｈａｓｈ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ （ＨＭＡＣ）． Ｇｕｉｄｏ Ｂｅｒｔｏｎｉ， Ｊｏａｎ Ｄａｅｍｅｎ， Ｍｉｃｈａｅｌ Ｐｅｅｔｅｒｓ， ａｎｄ Ｇｉｌｌｅｓ Ｖａｎ Ａｓｓｃｈｅ． Ｏｎ ｔｈｅ Ｉｎｄｉｆｆｅｒｅｎｔｉａｂｉｌｉｔｙ ｏｆ ｔｈｅ Ｓｐｏｎｇｅ Ｃｏｎｓｔｒｕｃｔｉｏｎ． ＥＵＲＯＣＲＹＰＴ ２００８． ｐ１８１−１９７．
非特許文献６には、非特許文献５，８に記載されたメッセージ認証アルゴリズムは、置換関数がランダム置換である場合、安全性ビットがｍｉｎ｛ｋ，ｃ／２，ｂ／２｝であることが示されている。非特許文献１０には、非特許文献９のハッシュ関数Ｈとして非特許文献７に記載されたハッシュ関数を用いたメッセージ認証アルゴリズムは、置換関数がランダム置換である場合、安全性ビットがｍｉｎ｛ｃ／２，ｂ／２，ｎ／２，ｋ｝であることが示されている。
ここで、ｋは鍵Ｋのビット数である。ｂは置換関数の入出力のビット数である。ｃはキャパシティのビット数であり、ｂ＝ｃ＋ｒである。ｒはレートのビット数である。ｎは認証子のビット数である。
この発明は、置換関数を用いたメッセージ認証アルゴリズムについての安全性を改善することと、計算量を少なくすることとの少なくともいずれかを目的とする。
この発明に係るメッセージ認証子生成装置は、
鍵ＫとメッセージＭとを入力としてｅビットのｉ倍のビット数の値Ｅを生成し、前記値Ｅをｅビット毎に分割して、値Ｍ［１］，．．．，Ｍ［ｉ］を生成する入力値生成部であって、前記値Ｍ［１］，．．．，Ｍ［ｉ］のうちの値Ｍ［１］と値Ｍ［ｉ］とに前記鍵Ｋの少なくとも一部のビットが含まれるように前記値Ｅを生成する入力値生成部と、
任意の値を値Ｓ［０］として、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、値Ｓ［ｊ−１］と値Ｍ［ｊ］とを入力として関数ｇ［ｊ］によって値Ｒ［ｊ］を計算し、計算された値Ｒ［ｊ］を置換関数Ｐ［ｊ］で置換して値Ｓ［ｊ］を計算する関数計算部と、
前記関数計算部によって計算された値Ｓ［ｉ］を用いて前記メッセージＭの認証子Ｔを生成する認証子生成部と
を備える。
この発明では、置換関数Ｐ［ｊ］がランダム置換である場合、安全性ビットがｍｉｎ｛ｃ，ｂ／２，ｋ｝であるメッセージ認証アルゴリズムを実現できる。
実施の形態１に係るメッセージ認証子生成装置１００の構成図。 実施の形態１に係るメッセージ認証子生成装置１００の動作を示すフローチャート。 実施の形態１に係るメッセージ認証アルゴリズムの説明図。 実施の形態１に係るメッセージ認証アルゴリズムの説明図。 実施の形態２に係るメッセージ認証子生成装置１００の構成図。 実施の形態２に係るメッセージ認証子生成装置１００の動作を示すフローチャート。 実施の形態２に係るメッセージ認証アルゴリズムの説明図。 実施の形態２に係るメッセージ認証アルゴリズムの説明図。 実施の形態２に係るメッセージ認証アルゴリズムの説明図。 実施の形態２に係るメッセージ認証アルゴリズムの説明図。 メッセージ認証子生成装置１００の機能がソフトウェアで実現される場合のハードウェア構成例を示す図。 メッセージ認証子生成装置１００の機能がハードウェアで実現される場合のハードウェア構成例を示す図。
実施の形態１．
＊＊＊構成の説明＊＊＊
図１に基づき、実施の形態１に係るメッセージ認証子生成装置１００の構成を説明する。
メッセージ認証子生成装置１００は、ｋビットの鍵Ｋと、メッセージＭに対して、ｎビットの認証子Ｔを生成する。メッセージＭは、送信対象のデータである。鍵Ｋは、メッセージＭの送信先と予め共有されている秘密鍵である。ｋ，ｎは１以上の整数である。
メッセージ認証子生成装置１００は、入力値生成部１１０と、関数計算部１２０と、認証子生成部１３０とを備える。
入力値生成部１１０は、鍵ＫとメッセージＭとを入力として、ｉ個のｅビットの値Ｍ［１］，．．．，Ｍ［ｉ］を生成する。ｉ，ｅは１以上の整数である。
関数計算部１２０は、入力値生成部１１０によって生成された値Ｍ［１］，．．．，Ｍ［ｉ］を入力として、置換関数を用いたスポンジ構造のハッシュ関数Ｈにより、ハッシュ値である値Ｓ［ｉ］を計算する。
認証子生成部１３０は、関数計算部１２０によって計算された値Ｓ［ｉ］を用いてメッセージＭの認証子Ｔを生成する。
＊＊＊動作の説明＊＊＊
図２及び図３に基づき、実施の形態１に係るメッセージ認証子生成装置１００の動作を説明する。
実施の形態１に係るメッセージ認証子生成装置１００の動作は、実施の形態１に係るメッセージ認証子生成方法に相当する。また、実施の形態１に係るメッセージ認証子生成装置１００の動作は、実施の形態１に係るメッセージ認証子生成プログラムの処理に相当する。
ここでは、０≦ｄ＜ｂであり、ｅ＝ｂ−ｄである。
Ｓ１１のパディング処理では、入力値生成部１１０は、鍵ＫとメッセージＭとをパディング関数の入力としてｅビットのｉ倍のビット数の値Ｅを生成する。特に、入力値生成部１１０は、後述する値Ｍ［１］，．．．，Ｍ［ｉ］のうちの値Ｍ［１］と値Ｍ［ｉ］とに鍵Ｋの少なくとも一部のビットが含まれるように値Ｅを生成する。
パディング関数とは、入力値にビット列を付加する関数である。
Ｓ１２の分割処理では、入力値生成部１１０は、値Ｅを先頭からｅビット毎に分割して、値Ｍ［１］，．．．，Ｍ［ｉ］を生成する。
Ｓ１３の値Ｓ［０］設定処理では、関数計算部１２０は、ｂビットの固定値ＩＶを値Ｓ［０］に設定する。
Ｓ１４のハッシュ値計算処理では、関数計算部１２０は、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、Ｒ［ｊ］＝ｇ［ｊ］（Ｓ［ｊ−１］，Ｍ［ｊ］）、Ｓ［ｊ］＝Ｐ［ｊ］（Ｒ［ｊ］）を計算する。つまり、関数計算部１２０は、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、値Ｓ［ｊ−１］と入力値生成部１１０によって生成された値Ｍ［ｊ］とを入力として関数ｇ［ｊ］によって値Ｒ［ｊ］を計算し、計算された値Ｒ［ｊ］を置換関数Ｐ［ｊ］で置換して値Ｓ［ｊ］を計算する。
ここで、各関数ｇ［ｊ］は、ｂビットとｅビットとの２つの値を入力として、ｂビットの値を出力する関数であって、ｅビットの値を固定するとｂビットの置換関数となる関数である。各関数ｇ［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。各置換関数Ｐ［ｊ］は、ｂビットの置換関数である。各置換関数Ｐ［ｊ］は、同じ置換関数であってもよいし、異なる関数であってもよい。
Ｓ１５の値Ｚ計算処理では、認証子生成部１３０は、値Ｓ［ｉ］を入力として圧縮関数ｆ［１］によって計算された値ｓ［１］を値Ｚとする。そして、認証子生成部１３０は、値Ｓ［ｉ］を値Ｑ［１］として、値Ｚがｎビット以上になるまでｊ＝１から昇順に、値Ｑ［ｊ］を置換関数Ｐ’［ｊ］で置換した値Ｑ［ｊ＋１］を入力として圧縮関数ｆ［ｊ＋１］によって計算された値ｓ［ｊ＋１］を値Ｚに付加する。
ここで、各圧縮関数ｆ［ｊ］は、ｂビットの値をｒビットの値に圧縮する関数である。各圧縮関数ｆ［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。各置換関数Ｐ’［ｊ］は、ｂビットの置換関数である。各置換関数Ｐ’［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。
Ｓ１６の認証子抽出処理では、認証子生成部１３０は、値Ｚがｎビット以上になった場合に、値Ｚのうちのｎビットを認証子Ｔとする。
なお、Ｓ１１からＳ１２の処理が入力値生成処理であり、Ｓ１３からＳ１４の処理が関数計算処理であり、Ｓ１５からＳ１６の処理が認証子生成処理である。
＊＊＊実施の形態１の効果＊＊＊
実施の形態１に係るメッセージ認証子生成装置１００は、置換関数を用いたメッセージ認証アルゴリズムを実現できる。そして、実現されたメッセージ認証アルゴリズムは、置換関数Ｐ［ｊ］がランダム置換である場合、安全性ビットがｍｉｎ｛ｃ，ｂ／２，ｋ｝である。
非特許文献５，８に記載されたメッセージ認証アルゴリズムは、安全性ビットがｍｉｎ｛ｋ，ｃ／２，ｂ／２｝である。ここで、ｃ／２＜ｂ／２である。また、ｋの値は鍵の長さであるため、鍵を長くすれば大きな値になる。そのため、安全性ビットを長くするには、ｃ／２の値を大きくする必要がある。
実施の形態１に係るメッセージ認証子生成装置１００によって実現されたメッセージ認証アルゴリズムは、安全性ビットがｍｉｎ｛ｃ，ｂ／２，ｋ｝である。そのため、非特許文献５，８に記載されたメッセージ認証アルゴリズムに比べて安全性ビットを容易に長くすることができる。
＊＊＊他の構成＊＊＊
Ｓ１１では、入力値生成部１１０は、次のように値Ｅを生成してもよい。
入力値生成部１１０は、鍵Ｋの後に、メッセージＭを付加して値Ａを生成する。入力値生成部１１０は、値Ａの後に値Ｘを付加してｅビットの倍数のビット数の値Ｃを生成する。入力値生成部１１０は、値Ｃの後に鍵Ｋを付加して値Ｄを生成する。入力値生成部１１０は、値Ｄの後に値Ｙを付加してｅビットのｉ倍のビット数の値Ｅを生成する。つまり、Ｅ＝Ｋ｜｜Ｍ｜｜Ｘ｜｜Ｋ｜｜Ｙである。“｜｜”は、連結を意味する記号である。
ここで、値Ｘ及び値Ｙの具体例としては、先頭ビットと最終ビットとが１でその他のビットが０であるビット列である。つまり、Ｘ＝１｜｜０・・・０｜｜１、Ｙ＝１｜｜０・・・０｜｜１である。また、値Ｙは、値Ｅがｅビットの倍数のビット数となるような最も短いビット列であり、値Ｄがｅビットの倍数のビット数である場合にはビット数０のビット列である。
各関数ｇ［ｊ］は、排他的論理和を計算する関数であってもよい。つまり、Ｓ１４では、関数計算部１２０は、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、Ｒ［ｊ］＝Ｓ［ｊ−１］ ｘｏｒ （Ｍ［ｊ］｜｜０ｄ）、Ｓ［ｊ］＝Ｐ［ｊ］（Ｒ［ｊ］）を計算してもよい。
なお、入力値と０との排他的論理和を計算すると、入力値がそのまま得られる。そのため、図４に示すように、Ｓ［ｊ−１］のうちのｅビットと、Ｍ［ｊ］との排他的論理和と、Ｓ［ｊ−１］のうちの残りのｄビットとを合わせた値が値Ｒ［ｊ］としてもよい。つまり、Ｓ［ｊ−１］のうちのｄビットと０ｄとの排他的論理和の計算を省略してもよい。
また、ここでは、Ｍ［ｊ］｜｜０ｄとした。つまり、値Ｍ［ｊ］の後に、ｄビットの０が付加されるとした。しかし、０が付加される位置は値Ｍ［ｊ］の後でなくてもよい。具体的には、値Ｍ［ｊ］の前にｄビットの０が付加されてもよい。つまり、０ｄ｜｜Ｍ［ｊ］であってもよい。
圧縮関数ｆ［ｊ］は、入力値からｒビットを抽出する関数であってもよい。つまり、Ｓ１５では、認証子生成部１３０は、値Ｓ［ｉ］のうちのｒビットを値Ｚとし、値Ｓ［ｉ］を値Ｑ［１］として、値Ｚがｎビット以上になるまでｊ＝１から昇順に、値Ｑ［ｊ］を置換関数Ｐ’［ｊ］で置換した値Ｑ［ｊ＋１］のうちのｒビットを値Ｚに付加してもよい。
つまり、図３に示したメッセージ認証アルゴリズムを、図４に示すように構成してもよい。図４では、値Ｅの計算を、Ｅ＝Ｋ｜｜Ｍ｜｜Ｘ｜｜Ｋ｜｜Ｙとしている。また、値Ｒ［ｊ］の計算を、Ｒ［ｊ］＝Ｓ［ｊ−１］ ｘｏｒ （Ｍ［ｊ］｜｜０ｄ）としている。また、圧縮関数ｆ［ｊ］を入力値からｒビットを抽出する関数としている。
実施の形態２．
＊＊＊構成の説明＊＊＊
図５に基づき、実施の形態２に係るメッセージ認証子生成装置１００の構成を説明する。
メッセージ認証子生成装置１００は、ｋビットの鍵Ｋと、メッセージＭに対して、ｎビットの認証子Ｔを生成する。メッセージＭは、送信対象のデータである。鍵Ｋは、メッセージＭの送信先と予め共有されている秘密鍵である。ｋ，ｎは１以上の整数である。
メッセージ認証子生成装置１００は、第１入力値生成部１１１と、第２入力値生成部１１２と、第１関数計算部１２１と、第２関数計算部１２２と、計算値生成部１３１と、認証子生成部１３２とを備える。
第１入力値生成部１１１は、鍵ＫとメッセージＭとを入力として、ｅ１ビットの値Ｍ［１］，．．．，Ｍ［ｉ］を生成する。ｅ１は１以上の整数である。
第２入力値生成部１１２は、鍵Ｋと、後述する計算値生成部１３１によって計算された値Ｎとを入力として、ｅ３ビットの値Ｎ［１］，．．．，Ｎ［ｉ’］を生成する。ｉ’は１以上の整数である。ｅ３は１以上の整数である。
第１関数計算部１２１は、第１入力値生成部１１１によって生成された値Ｍ［１］，．．．，Ｍ［ｉ］を入力として、置換関数を用いたスポンジ構造のハッシュ関数Ｈにより、ハッシュ値である値Ｓ１［ｉ］を計算する。
第２関数計算部１２２は、第２入力値生成部１１２によって生成された値Ｎ［１］，．．．，Ｎ［ｉ’］を入力として、置換関数を用いたスポンジ構造のハッシュ関数Ｈ’により、ハッシュ値である値Ｓ２［ｉ’］を計算する。
計算値生成部１３１は、第１関数計算部１２１によって計算された値Ｓ１［ｉ］を用いて値Ｎを生成する。
認証子生成部１３２は、第２関数計算部１２２によって計算された値Ｓ２［ｉ’］を用いてメッセージＭの認証子Ｔを生成する。
＊＊＊動作の説明＊＊＊
図６から図８に基づき、実施の形態２に係るメッセージ認証子生成装置１００の動作を説明する。
実施の形態２に係るメッセージ認証子生成装置１００の動作は、実施の形態２に係るメッセージ認証子生成方法に相当する。また、実施の形態２に係るメッセージ認証子生成装置１００の動作は、実施の形態２に係るメッセージ認証子生成プログラムの処理に相当する。
ここでは、０≦ｄ１，ｄ２，ｄ３＜ｂであり、ｅ１＝ｂ−ｄ１，ｅ２＝ｂ−ｄ２，ｅ３＝ｂ−ｄ３である。ｅ２は１以上の整数である。また、ｖは、１以上の整数である。
Ｓ２１の第１パディング処理では、第１入力値生成部１１１は、鍵ＫとメッセージＭとをパディング関数の入力としてｅ１ビットのｉ倍のビット数の値Ｃを生成する。特に、第１入力値生成部１１１は、後述する値Ｍ［１］，．．．，Ｍ［ｉ］のうちの値Ｍ［１］に鍵Ｋの少なくとも一部のビットが含まれるように値Ｃを生成する。
パディング関数とは、入力値にビット列を付加する関数である。
Ｓ２２の第１分割処理では、第１入力値生成部１１１は、値Ｃを先頭からｅ１ビット毎に分割して、値Ｍ［１］，．．．，Ｍ［ｉ］を生成する。
Ｓ２３の値Ｓ１［０］設定処理では、第１関数計算部１２１は、ｂビットの固定値ＩＶ１を値Ｓ１［０］に設定する。
Ｓ２４の第１ハッシュ値計算処理では、第１関数計算部１２１は、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、Ｒ１［ｊ］＝ｇ１［ｊ］（Ｓ１［ｊ−１］，Ｍ［ｊ］）、Ｓ１［ｊ］＝Ｐ１［ｊ］（Ｒ１［ｊ］）を計算する。つまり、第１関数計算部１２１は、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、値Ｓ１［ｊ−１］と第１入力値生成部１１１によって生成された値Ｍ［ｊ］とを入力として関数ｇ１［ｊ］によって値Ｒ１［ｊ］を計算し、計算された値Ｒ１［ｊ］を置換関数Ｐ１［ｊ］で置換して値Ｓ１［ｊ］を計算する。
ここで、各関数ｇ１［ｊ］は、ｂビットとｅ１ビットとの２つの値を入力として、ｂビットの値を出力する関数であって、ｅ１ビットの値を固定するとｂビットの置換関数となる関数である。各関数ｇ１［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。各置換関数Ｐ１［ｊ］は、ｂビットの置換関数である。各置換関数Ｐ１［ｊ］は、同じ置換関数であってもよいし、異なる関数であってもよい。
Ｓ２５の値Ｚ計算処理では、計算値生成部１３１は、値Ｓ１［ｉ］を入力として圧縮関数ｆ１［１］によって計算された値ｓ１［１］を値Ｚとする。そして、計算値生成部１３１は、値Ｓ１［ｉ］を値Ｑ１［１］として、値Ｚがｖビット以上になるまでｊ＝１から昇順に、値Ｑ１［ｊ］を置換関数Ｐ１’［ｊ］で置換した値Ｑ１［ｊ＋１］を入力として圧縮関数ｆ１［ｊ＋１］によって計算された値ｓ１［ｊ＋１］を値Ｚに付加する。
ここで、各圧縮関数ｆ１［ｊ］は、ｂビットの値をｅ２ビットの値に圧縮する関数である。各圧縮関数ｆ１［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。各置換関数Ｐ１’［ｊ］は、ｂビットの置換関数である。各置換関数Ｐ１’［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。
Ｓ２６の計算値抽出処理では、計算値生成部１３１は、値Ｚがｖビット以上になった場合に、値Ｚのうちのｖビットを値Ｎとする。
Ｓ２７の第２パディング処理では、第２入力値生成部１１２は、鍵Ｋと値Ｎとをパディング関数の入力としてｅ３ビットのｉ’倍のビット数の値Ｅを生成する。特に、第２入力値生成部１１２は、値Ｎ［１］，．．．，Ｎ［ｉ’］のうちの値Ｎ［１］に鍵Ｋの少なくとも一部のビットが含まれるように値Ｅを生成する。
Ｓ２８の第２分割処理では、第２入力値生成部１１２は、値Ｅを先頭からｅ３ビット毎に分割して、値Ｎ［１］，．．．，Ｎ［ｉ’］を生成する。
Ｓ２９の値Ｓ２［０］設定処理では、第２関数計算部１２２は、ｂビットの固定値ＩＶ２を値Ｓ２［０］に設定する。
Ｓ３０の第２ハッシュ値計算処理では、第２関数計算部１２２は、ｊ＝１，．．．，ｉ’の各整数ｊについて昇順に、Ｒ２［ｊ］＝ｇ２［ｊ］（Ｓ２［ｊ−１］，Ｎ［ｊ］）、Ｓ２［ｊ］＝Ｐ２［ｊ］（Ｒ２［ｊ］）を計算する。つまり、第２関数計算部１２２は、ｊ＝１，．．．，ｉ’の各整数ｊについて昇順に、値Ｓ２［ｊ−１］と第２入力値生成部１１２によって生成された値Ｎ［ｊ］とを入力として関数ｇ２［ｊ］によって値Ｒ２［ｊ］を計算し、計算された値Ｒ２［ｊ］を置換関数Ｐ２［ｊ］で置換して値Ｓ２［ｊ］を計算する。
ここで、各関数ｇ２［ｊ］は、ｂビットとｅ３ビットとの２つの値を入力として、ｂビットの値を出力する関数であって、ｅ３ビットの値を固定するとｂビットの置換関数となる関数である。各関数ｇ２［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。各置換関数Ｐ２［ｊ］は、ｂビットの置換関数である。各置換関数Ｐ２［ｊ］は、同じ置換関数であってもよいし、異なる関数であってもよい。
Ｓ３１の値Ｗ計算処理では、認証子生成部１３２は、値Ｓ２［ｉ’］を入力として圧縮関数ｆ２［１］によって計算された値ｓ２［１］を値Ｗとする。そして、認証子生成部１３２は、値Ｓ２［ｉ’］を値Ｑ２［１］として、値Ｗがｎビット以上になるまでｊ＝１から昇順に、値Ｑ２［ｊ］を置換関数Ｐ２’［ｊ］で置換した値Ｑ２［ｊ＋１］を入力として圧縮関数ｆ２［ｊ＋１］によって計算された値ｓ２［ｊ＋１］を値Ｗに付加する。
ここで、各圧縮関数ｆ２［ｊ］は、ｂビットの値をｒビットの値に圧縮する関数である。各圧縮関数ｆ２［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。各置換関数Ｐ２’［ｊ］は、ｂビットの置換関数である。各置換関数Ｐ２’［ｊ］は、同じ関数であってもよいし、異なる関数であってもよい。
Ｓ３２の認証子抽出処理では、認証子生成部１３２は、値Ｗがｎビット以上になった場合に、値Ｗのうちのｎビットを認証子Ｔとする。
なお、Ｓ２１からＳ２２の処理が第１入力値生成処理であり、Ｓ２３からＳ２４の処理が第１関数計算処理であり、Ｓ２５からＳ２６の処理が計算値生成処理である。また、Ｓ２７からＳ２８の処理が第２入力値生成処理であり、Ｓ２９からＳ３０の処理が第２関数計算処理であり、Ｓ３１からＳ３２の処理が認証子生成処理である。
＊＊＊実施の形態２の効果＊＊＊
実施の形態２に係るメッセージ認証子生成装置１００は、置換関数を用いたメッセージ認証アルゴリズムを実現できる。そして、実現されたメッセージ認証アルゴリズムは、置換関数Ｐ１［ｊ］及び置換関数Ｐ２［ｊ］がランダム置換である場合、安全性ビットがｍｉｎ｛ｃ，ｂ／２，ｖ／２，ｋ｝である。
＊＊＊他の構成＊＊＊
Ｓ２１では、第１入力値生成部１１１は、次のように値Ｃを生成してもよい。
第１入力値生成部１１１は、鍵Ｋとｋビットの固定値ｉｐａｄとの排他的論理和を計算して、値Ｋ１とする。第１入力値生成部１１１は、値Ｋ１の後に、メッセージＭを付加して値Ａを生成する。第１入力値生成部１１１は、値Ａの後に値Ｘを付加してｅ１ビットのｉ倍のビット数の値Ｃを生成する。つまり、Ｃ＝Ｋ１｜｜Ｍ｜｜Ｘである。
ここで、値Ｘの具体例としては、先頭ビットと最終ビットとが１でその他のビットが０であるビット列である。つまり、Ｘ＝１｜｜０・・・０｜｜１である。また、値Ｘは、値Ｃがｅ１ビットの倍数のビット数となるような最も短いビット列であり、値Ａがｅ１ビットの倍数のビット数である場合にはビット数０のビット列である。
各関数ｇ１［ｊ］は、排他的論理和を計算する関数であってもよい。つまり、Ｓ２４では、第１関数計算部１２１は、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、Ｒ１［ｊ］＝Ｓ１［ｊ−１］ ｘｏｒ （Ｍ［ｊ］｜｜０ｄ１）、Ｓ１［ｊ］＝Ｐ１［ｊ］（Ｒ１［ｊ］）を計算してもよい。
なお、入力値と０との排他的論理和を計算すると、入力値がそのまま得られる。そのため、図９に示すように、Ｓ１［ｊ−１］のうちのｅ１ビットと、Ｍ［ｊ］との排他的論理和と、Ｓ１［ｊ−１］のうちの残りのｄ１ビットとを合わせた値が値Ｒ［ｊ］としてもよい。つまり、Ｓ１［ｊ−１］のうちのｄ１ビットと０ｄ１との排他的論理和の計算を省略してもよい。
また、ここでは、Ｍ［ｊ］｜｜０ｄ１とした。つまり、値Ｍ［ｊ］の後に、ｄ１ビットの０が付加されるとした。しかし、０が付加される位置は値Ｍ［ｊ］の後でなくてもよい。具体的には、値Ｍ［ｊ］の前にｄ１ビットの０が付加されてもよい。つまり、０ｄ１｜｜Ｍ［ｊ］であってもよい。
圧縮関数ｆ１［ｊ］は、入力値からｅ２ビットを抽出する関数であってもよい。つまり、Ｓ２５では、計算値生成部１３１は、値Ｓ１［ｉ］のうちのｅ２ビットを値Ｚとし、値Ｓ１［ｉ］を値Ｑ１［１］として、値Ｚがｖビット以上になるまでｊ＝１から昇順に、値Ｑ１［ｊ］を置換関数Ｐ１’［ｊ］で置換した値Ｑ１［ｊ＋１］のうちのｅ２ビットを値Ｚに付加してもよい。
Ｓ２７では、第２入力値生成部１１２は、次のように値Ｅを生成してもよい。
第２入力値生成部１１２は、鍵Ｋとｋビットの固定値ｏｐａｄとの排他的論理和を計算して、値Ｋ２とする。第２入力値生成部１１２は、値Ｋ２の後に、値Ｎを付加して値Ｄを生成する。第２入力値生成部１１２は、値Ｄの後に値Ｙを付加してｅ３ビットのｉ’倍のビット数の値Ｅを生成する。つまり、Ｅ＝Ｋ２｜｜Ｎ｜｜Ｙである。
ここで、値Ｙの具体例としては、先頭ビットと最終ビットとが１でその他のビットが０であるビット列である。つまり、Ｙ＝１｜｜０・・・０｜｜１である。また、値Ｙは、値Ｅがｅ３ビットの倍数のビット数となるような最も短いビット列であり、値Ｄがｅ３ビットの倍数のビット数である場合にはビット数０のビット列である。また、固定値ｏｐａｄは、固定値ｉｐａｄとは異なる値である。
各関数ｇ２［ｊ］は、排他的論理和を計算する関数であってもよい。つまり、Ｓ３０では、第２関数計算部１２２は、ｊ＝１，．．．，ｉ’の各整数ｊについて昇順に、Ｒ２［ｊ］＝Ｓ２［ｊ−１］ ｘｏｒ （Ｎ［ｊ］｜｜０ｄ３）、Ｓ２［ｊ］＝Ｐ２［ｊ］（Ｒ２［ｊ］）を計算してもよい。
なお、入力値と０との排他的論理和を計算すると、入力値がそのまま得られる。そのため、図１０に示すように、Ｓ２［ｊ−１］のうちのｅ３ビットと、Ｎ［ｊ］との排他的論理和と、Ｓ２［ｊ−１］のうちの残りのｄ３ビットとが値Ｒ［ｊ］としてもよい。つまり、Ｓ２［ｊ−１］のうちのｄ３ビットと０ｄ３との排他的論理和の計算を省略してもよい。
また、ここでは、Ｎ［ｊ］｜｜０ｄ３とした。つまり、値Ｎ［ｊ］の後に、ｄ３ビットの０が付加されるとした。しかし、０が付加される位置は値Ｎ［ｊ］の後でなくてもよい。具体的には、値Ｎ［ｊ］の前にｄ３ビットの０が付加されてもよい。つまり、０ｄ３｜｜Ｎ［ｊ］であってもよい。
圧縮関数ｆ２［ｊ］は、入力値からｒビットを抽出する関数であってもよい。つまり、Ｓ３１では、認証子生成部１３２は、値Ｓ２［ｉ］のうちのｒビットを値Ｗとし、値Ｓ２［ｉ］を値Ｑ２［１］として、値Ｗがｎビット以上になるまでｊ＝１から昇順に、値Ｑ２［ｊ］を置換関数Ｐ２’［ｊ］で置換した値Ｑ２［ｊ＋１］のうちのｒビットを値Ｗに付加してもよい。
つまり、図７及び図８に示したメッセージ認証アルゴリズムを、図９及び図１０に示すように構成してもよい。図９及び図１０では、値Ｃの計算を、Ｃ＝Ｋ１｜｜Ｍ｜｜Ｘとしている。また、値Ｒ１［ｊ］の計算を、Ｒ１［ｊ］＝Ｓ１［ｊ−１］ ｘｏｒ （Ｍ［ｊ］｜｜０ｄ１）としている。また、圧縮関数ｆ１［ｊ］を入力値からｅ２ビットを抽出する関数としている。また、値Ｅの計算を、Ｅ＝Ｋ２｜｜Ｎ｜｜Ｙとしている。また、値Ｒ２［ｊ］の計算を、Ｒ２［ｊ］＝Ｓ２［ｊ−１］ ｘｏｒ （Ｎ［ｊ］｜｜０ｄ３）としている。また、圧縮関数ｆ２［ｊ］を入力値からｒビットを抽出する関数としている。
＊＊＊ハードウェア構成例の説明＊＊＊
最後に、メッセージ認証子生成装置１００のハードウェア構成例を説明する。
メッセージ認証子生成装置１００はコンピュータである。
メッセージ認証子生成装置１００の機能は、ソフトウェアで実現することもできるし、ハードウェアで実現することもできる。
図１１は、メッセージ認証子生成装置１００の機能がソフトウェアで実現される場合のハードウェア構成例を示す。
図１２は、メッセージ認証子生成装置１００の機能がハードウェアで実現される場合のハードウェア構成例を示す。
以下、図１１及び図１２を参照して、メッセージ認証子生成装置１００のハードウェア構成例を説明する。
＊＊メッセージ認証子生成装置１００の機能がソフトウェアで実現される場合＊＊
メッセージ認証子生成装置１００の機能がソフトウェアで実現される場合は、図１１に示すように、メッセージ認証子生成装置１００は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力装置９０７、ディスプレイ９０８といったハードウェアを備える。
プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ９０１は、具体的には、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
補助記憶装置９０２は、具体的には、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。
メモリ９０３は、具体的には、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
通信装置９０４は、データを受信するレシーバー９０４１及びデータを送信するトランスミッター９０４２を含む。通信装置９０４は、具体的には、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
プロセッサ９０１は、入力インタフェースを介して、入力装置９０７に接続されている。入力インタフェースは、入力装置９０７のケーブルが接続されるポートである。また、プロセッサ９０１は、ディスプレイインタフェースを介して、ディスプレイ９０８に接続されている。ディスプレイインタフェースは、ディスプレイ９０８のケーブルが接続されるポートである。
入力装置９０７は、具体的には、マウス、キーボード又はタッチパネルである。
ディスプレイ９０８は、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。
補助記憶装置９０２には、入力値生成部１１０と、関数計算部１２０と、認証子生成部１３０と、第１入力値生成部１１１と、第２入力値生成部１１２と、第１関数計算部１２１と、第２関数計算部１２２と、計算値生成部１３１と、認証子生成部１３２との機能を実現するプログラムが記憶されている。以下、入力値生成部１１０と、関数計算部１２０と、認証子生成部１３０と、第１入力値生成部１１１と、第２入力値生成部１１２と、第１関数計算部１２１と、第２関数計算部１２２と、計算値生成部１３１と、認証子生成部１３２とをまとめて「部」と表記する。
このプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。
更に、補助記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。そして、ＯＳの少なくとも一部がメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。
図１１では、１つのプロセッサ９０１が図示されているが、メッセージ認証子生成装置１００が複数のプロセッサ９０１を備えていてもよい。そして、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。
また、「部」の処理の結果を示す情報やデータや信号値や変数値が、メモリ９０３、補助記憶装置９０２、又は、プロセッサ９０１内のレジスタ又はキャッシュメモリに記憶される。また、「部」の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
＊＊メッセージ認証子生成装置１００の機能がハードウェアで実現される場合＊＊
メッセージ認証子生成装置１００の機能がハードウェアで実現される場合は、図１２に示すように、メッセージ認証子生成装置１００は、処理回路９９０、通信装置９０４、入力装置９０７、ディスプレイ９０８といったハードウェアを備える。
通信装置９０４、入力装置９０７、ディスプレイ９０８及び信号線９１０は、図１１で説明したものと同じであるため、説明を省略する。
処理回路９９０は、「部」の機能を実現する専用の電子回路である。処理回路９９０は、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
「部」の機能を１つの処理回路９９０で実現してもよいし、「部」の機能を複数の処理回路９９０に分散させて実現してもよい。
＊＊メッセージ認証子生成装置１００の機能がソフトウェアとハードウェアの組み合わせで実現される場合＊＊
メッセージ認証子生成装置１００の一部の機能を専用のハードウェアで実現し、他の機能をソフトウェア（プログラム）で実現するようにしてもよい。
＊＊付記＊＊
プロセッサ９０１、補助記憶装置９０２及びメモリ９０３と、処理回路９９０を、総称して「プロセッシングサーキットリー」という。
つまり、メッセージ認証子生成装置１００のハードウェア構成が図１１のハードウェア構成、図１２のハードウェア構成のいずれであっても、「部」の機能は、プロセッシングサーキットリーにより実現される。
また、「部」を「工程」又は「手順」又は「処理」に読み替えてもよい。
また、「部」の機能をファームウェアで実現してもよい。
１００ メッセージ認証子生成装置、１１０ 入力値生成部、１１１ 第１入力値生成部、１１２ 第２入力値生成部、１２０ 関数計算部、１２１ 第１関数計算部、１２２ 第２関数計算部、１３０ 認証子生成部、１３１ 計算値生成部、１３２ 認証子生成部。

Claims (4)

  1. 鍵ＫとメッセージＭとを入力としてｅビットのｉ倍のビット数の値Ｅを生成し、前記値Ｅをｅビット毎に分割して、値Ｍ［１］，．．．，Ｍ［ｉ］を生成する入力値生成部であって、前記値Ｍ［１］，．．．，Ｍ［ｉ］のうちの値Ｍ［１］と値Ｍ［ｉ］とに前記鍵Ｋの少なくとも一部のビットが含まれるように前記値Ｅを生成する入力値生成部と、
    固定値を値Ｓ［０］として、ｊ＝１，．．．，ｉの各整数ｊについて昇順に、値Ｓ［ｊ−１］と前記入力値生成部によって生成された値Ｍ［ｊ］とを入力として関数ｇ［ｊ］によって値Ｒ［ｊ］を計算し、計算された値Ｒ［ｊ］を置換関数Ｐ［ｊ］で置換して値Ｓ［ｊ］を計算する関数計算部と、
    前記関数計算部によって計算された値Ｓ［ｉ］を用いて前記メッセージＭの認証子Ｔを生成する認証子生成部と
    を備えるメッセージ認証子生成装置。
  2. 前記認証子生成部は、前記値Ｓ［ｉ］を入力として圧縮関数ｆ［１］によって計算された値ｓ［１］を値Ｚとし、前記値Ｓ［ｉ］を値Ｑ［１］として、前記値Ｚがｎビット以上になるまでｊ＝１から昇順に、前記値Ｑ［ｊ］を置換関数Ｐ’［ｊ］で置換した値Ｑ［ｊ＋１］を入力として圧縮関数ｆ［ｊ＋１］によって計算された値ｓ［ｊ＋１］を前記値Ｚに付加し、前記値Ｚがｎビット以上になった場合に、前記値Ｚのうちのｎビットを前記認証子Ｔとする
    請求項１に記載のメッセージ認証子生成装置。
  3. 前記入力値生成部は、前記鍵Ｋの後に、前記メッセージＭを付加して値Ａを生成し、前記値Ａの後に値Ｘを付加してｅビットの倍数のビット数の値Ｃを生成し、前記値Ｃの後に前記鍵Ｋを付加して値Ｄを生成し、前記値Ｄの後に値Ｙを付加して前記値Ｅを生成する
    請求項１又は２に記載のメッセージ認証子生成装置。
  4. ｊ＝１，．．．，ｉの各整数ｊについての前記関数ｇ［ｊ］は、排他的論理和を計算する関数である
    請求項１から３までのいずれか１項に記載のメッセージ認証子生成装置。
JP2016525623A 2015-07-15 2015-07-15 メッセージ認証子生成装置 Active JP6033504B1 (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/070287 WO2017009981A1 (ja) 2015-07-15 2015-07-15 メッセージ認証子生成装置

Publications (2)

Publication Number Publication Date
JP6033504B1 true JP6033504B1 (ja) 2016-11-30
JPWO2017009981A1 JPWO2017009981A1 (ja) 2017-07-13

Family

ID=57419902

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016525623A Active JP6033504B1 (ja) 2015-07-15 2015-07-15 メッセージ認証子生成装置

Country Status (5)

Country Link
US (1) US20180139048A1 (ja)
JP (1) JP6033504B1 (ja)
CN (1) CN107852331A (ja)
DE (1) DE112015006703T5 (ja)
WO (1) WO2017009981A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111953497B (zh) * 2020-08-06 2023-07-14 山东云海国创云计算装备产业创新中心有限公司 一种基于hmac算法的消息认证码生成装置及方法
CN114513311B (zh) * 2022-02-25 2024-09-03 上海芯钛信息科技有限公司 一种改进消息认证码算法的方法、装置、设备和介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009005163A (ja) * 2007-06-22 2009-01-08 Nippon Telegr & Teleph Corp <Ntt> メッセージ認証子生成装置、メッセージ認証子検証装置、メッセージ認証子生成方法、メッセージ認証子検証方法、プログラム、および記録媒体

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4810289B2 (ja) * 2006-04-17 2011-11-09 ルネサスエレクトロニクス株式会社 メッセージ認証子生成装置、メッセージ認証子検証装置、及びメッセージ認証システム
WO2013032869A1 (en) * 2011-08-26 2013-03-07 Life Technologies Corporation Systems and methods for identifying an individual

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009005163A (ja) * 2007-06-22 2009-01-08 Nippon Telegr & Teleph Corp <Ntt> メッセージ認証子生成装置、メッセージ認証子検証装置、メッセージ認証子生成方法、メッセージ認証子検証方法、プログラム、および記録媒体

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
JPN7015002618; ＢＥＲＴＯＮＩ， Ｇｕｉｄｏ ｅｔ ａｌ．: 'Ｏｎ ｔｈｅ ｓｅｃｕｒｉｔｙ ｏｆ ｔｈｅ ｋｅｙｅｄ ｓｐｏｎｇｅ ｃｏｎｓｔｒｕｃｔｉｏｎ' Ｉｎ： Ｓｙｍｍｅｔｒｉｃ Ｋｅｙ Ｅｎｃｒｙｐｔｉｏｎ Ｗｏｒｋｓｈｏｐ ２０１１ , 2011, ｐｐ． １-１５ *

Also Published As

Publication number Publication date
JPWO2017009981A1 (ja) 2017-07-13
US20180139048A1 (en) 2018-05-17
WO2017009981A1 (ja) 2017-01-19
DE112015006703T5 (de) 2018-04-05
CN107852331A (zh) 2018-03-27

Similar Documents

Publication Publication Date Title
US20130195266A1 (en) Apparatus and Method for Producing a Message Authentication Code
JP6305642B2 (ja) メッセージ認証子生成装置、メッセージ認証子生成方法及びメッセージ認証子生成プログラム
JP6575532B2 (ja) 暗号化装置、復号装置、暗号処理システム、暗号化方法、復号方法、暗号化プログラム、及び復号プログラム
US11349668B2 (en) Encryption device and decryption device
US11436946B2 (en) Encryption device, encryption method, decryption device, and decryption method
CN111052670B (zh) 加密装置、解密装置、加密方法、解密方法和计算机能读取的存储介质
JP6033504B1 (ja) メッセージ認証子生成装置
JP6194136B2 (ja) 疑似乱数生成装置及び疑似乱数生成プログラム
US11876888B2 (en) Encryption device, decryption device, encryption method, decryption method, and computer readable medium
JP2011002810A (ja) 暗号化装置、プログラム、暗号システム及び暗号化方法
CN112640359B (zh) 消息认证装置、消息认证方法及计算机可读取的存储介质
US11177936B2 (en) Message authenticator generation apparatus
JP6305643B2 (ja) メッセージ認証子生成装置、メッセージ認証子生成方法及びメッセージ認証子生成プログラム
JP4914329B2 (ja) メッセージ認証子生成装置、メッセージ認証子検証装置、メッセージ認証子生成方法、メッセージ認証子検証方法、プログラム、および記録媒体
JP2010256749A (ja) ハッシュ値生成装置、ハッシュ値生成方法およびプログラム
WO2022239163A1 (ja) 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
JP6732698B2 (ja) 追加データ付き認証暗号システム、暗号化装置、復号装置、追加データ付き認証暗号方法、およびプログラム
JP2012014077A (ja) ハッシュ値演算装置、ハッシュ値演算方法及びハッシュ値演算プログラム
JP2020134730A (ja) ブロック暗号装置、ブロック暗号方法およびプログラム

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20160830

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20160927

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20161025

R150 Certificate of patent or registration of utility model

Ref document number: 6033504

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250