JP7310938B2

JP7310938B2 - 暗号システム、暗号化方法、復号方法及びプログラム

Info

Publication number: JP7310938B2
Application number: JP2021573673A
Authority: JP
Inventors: 光倫細山田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2020-01-28
Filing date: 2020-01-28
Publication date: 2023-07-19
Anticipated expiration: 2040-01-28
Also published as: JPWO2021152707A1; WO2021152707A1; US20230044822A1

Description

本発明は、暗号システム、暗号化方法、復号方法及びプログラムに関する。

データの秘匿や改竄検知のためには暗号技術が有効であることが広く知られている。暗号技術には、例えば、ＲＳＡ（Rivest-Shamir-Adleman）暗号等の公開鍵暗号技術やＡＥＳ（Advanced Encryption Standard）暗号等の共通鍵暗号技術等がある。公開鍵暗号技術は鍵の取り扱いが容易であるという利点がある一方で、一般に処理速度の面では共通鍵暗号技術が有利である。このため、共通鍵暗号技術は、大量のデータの秘匿や改竄検知等に多く利用されている。

共通鍵暗号の１つに共通鍵ブロック暗号（又は、単に「ブロック暗号」とも呼ばれる。）が知られている。また、共通鍵ブロック暗号でブロック長よりも長いメッセージを暗号化するメカニズムとして暗号利用モードが知られている。暗号利用モードを用いることで、多ブロックの暗号化処理や改竄検知等の機能を追加することが可能となる。

また、共通鍵ブロック暗号に機能を追加する方向の１つとして、tweakableブロック暗号を構成するというものがある。安全なtweakableブロック暗号は通常の鍵及び平文（又は暗号文）に加えて、「tweak」（又は、「調整値」）と呼ばれる入力を取るブロック暗号のことである。tweakableブロック暗号はtweakを１つ固定すると通常のブロック暗号になり、tweakを少しでも変化させると鍵を変更せずとも全く独立でランダムなブロック暗号になるという性質がある。効率的なtweakableブロック暗号を構成することは、効率的な守秘機能や認証機能を実現することに繋がる。

ここで、安全なブロック暗号から安全なtweakableブロック暗号を実現するための１つの構成としてLRW構成が知られている。LRW構成の１つは、元になるブロック暗号の暗号化関数がＥ（Ｋ，Ｍ）と表されるとき、暗号化関数が

で定義されるものである。ここで、Ｋはｋビットの秘密鍵、Ｍはｎビットの平文である。Ｔはtweakを表し、ｎビットのビット列である。また、

はビット毎の排他的論理和である。なお、復号関数は、

と定義される。ここで、Ｃは暗号文である。

また、上記のLRW構成は周期的性質を有することが知られている。すなわち、２つの異なる平文Ｍ，Ｍ'を固定して、関数Ｆを

と定義すると、Ｆは周期

を持つ。つまり、

が全てのＴに対して成り立つ。

ところで、ＲＳＡ暗号等の現在広く利用されている公開鍵暗号が量子計算機で解読されてしまうという研究結果が発表されて以来、実用的な量子計算機が実現してからも安全性が担保される「耐量子公開鍵暗号」の研究が盛んに行われている。他方で、共通鍵暗号技術においても、特殊な状況（例えば、量子計算機上に暗号化回路が実装されている等の状況）では多項式時間で解読される場合があるという研究結果が複数報告されている。このため、共通鍵暗号技術についても、公開鍵暗号技術と同様に、耐量子安全性が保障されていることが求められる。

しかしながら、上記のLRW構成は周期的性質を有するため、Simonの周期探索アルゴリズムを用いれば、秘密鍵Ｋを知らずとも量子計算機により多項式時間で周期ｓを計算できることが知られている（非特許文献１）。

Marc Kaplan, Gaetan Leurent, Anthony Leverrier, and Maria Naya-Plasencia. Breaking symmetric cryptosystems using quantum period finding. In Advances in Cryptology - CRYPTO 2016 - 36th Annual In-ternational Cryptology Conference, Santa Barbara, CA, USA, August 14-18, 2016, Proceedings, Part II, pages 207-237, 2016.

周期ｓの値が計算できると、上記のLRW構成に対する種々の攻撃に利用することが可能となる。したがって、上記のLRW構成は、量子計算機を使用した選択平文攻撃に対して安全性が保障されていない（つまり、耐量子安全性が保障されていない）ということがいえる。

本発明の一実施形態は、上記の点に鑑みてなされたもので、耐量子安全性が保障されたtweakableブロック暗号を実現することを目的とする。

上記目的を達成するため、一実施形態に係る暗号システムは、平文を暗号文に暗号化する暗号化装置が含まれる暗号システムであって、前記暗号化装置は、第１の秘密鍵を用いて、所定のブロック暗号の暗号化関数により前記平文を暗号化した第１の情報を生成する第１の暗号化手段と、第２の秘密鍵を用いて、前記暗号化関数により予め設定された調整値を暗号化した第２の情報を生成する第２の暗号化手段と、前記第１の秘密鍵を用いて、前記第１の情報と前記第２の情報とのビット毎の排他的論理和の演算結果を前記暗号化関数により暗号化して前記暗号文を生成する第３の暗号化手段と、を有することを特徴とする。

耐量子安全性が保障されたtweakableブロック暗号を実現することができる。

本実施形態に係る暗号システムの全体構成の一例を示す図である。実施例１における暗号化処理の一例を示すフローチャートである。実施例１における復号処理の一例を示すフローチャートである。実施例２における暗号化処理の一例を示すフローチャートである。実施例２における復号処理の一例を示すフローチャートである。コンピュータのハードウェア構成の一例を示す図である。

以下、本発明の一実施形態について説明する。本実施形態では、耐量子安全性が保障されたtweakableブロック暗号により暗号化及び復号を行う暗号システム１について説明する。

＜全体構成＞
まず、本実施形態に係る暗号システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係る暗号システム１の全体構成の一例を示す図である。

図１に示すように、本実施形態に係る暗号システム１には、１以上の暗号化装置１０と、１以上の復号装置２０とが含まれる。また、暗号化装置１０と復号装置２０は、例えばインターネット等の任意の通信ネットワークＮを介して通信可能に接続される。

暗号化装置１０は、後述する実施例１又は２のtweakableブロック暗号により平文を暗号化するコンピュータ又はコンピュータシステムである。ここで、暗号化装置１０は、暗号化処理部１０１と、記憶部１０２とを有する。

暗号化処理部１０１は、後述する実施例１又は２のtweakableブロック暗号により平文を暗号化するための暗号化処理を実行する。記憶部１０２は、当該tweakableブロック暗号により平文を暗号化する際に必要な情報（例えば、平文や秘密鍵、tweak等）を記憶する。

復号装置２０は、後述する実施例１又は２のtweakableブロック暗号により暗号文を復号するコンピュータ又はコンピュータシステムである。ここで、復号装置２０は、復号処理部２０１と、記憶部２０２とを有する。

復号処理部２０１は、後述する実施例１又は２のtweakableブロック暗号により暗号文を復号するための復号処理を実行する。記憶部２０２は、当該tweakableブロック暗号により暗号文を復号する際に必要な情報（例えば、暗号文や秘密鍵、tweak等）を記憶する。

［実施例１］
以降では、本実施形態の実施例１について説明する。

上記のLRW構成では、暗号文Ｃを生成するまでに平文Ｍは暗号化関数Ｅにより２回暗号化されているが、tweak Ｔは暗号化関数Ｅにより１回しか暗号化されていない。一般に暗号化の回数が多いほど安全性が高まるため、tweak Ｔについても暗号化が２回行われるようにtweakableブロック暗号を構成する。

具体的には、実施例１におけるtweakableブロック暗号の暗号化関数を以下の式（１）により定義する。

ここで、Ｋ及びＫ'はそれぞれｋビットの秘密鍵（つまり、実施例１におけるtweakableブロック暗号の鍵長は２ｋビットとなる。）、Ｍはｎビットの平文である、また、Ｔはtweakを表し、ｎビットのビット列である。なお、Ｅ_Ｋ（・）：＝Ｅ（Ｋ，・）であり、Ｅは元となるブロック暗号の暗号化関数である。

上記の式（１）に示す暗号化関数は、上記のLRW構成の暗号化関数と異なり、周期的性質を有しない。このため、量子計算機を使用した選択平文攻撃に対して安全性が保障されている（つまり、耐量子安全性が保障されている）tweakableブロック暗号である。

また、上記の式（１）に示す暗号化関数に対する復号関数は、以下の式（２）で定義される。

ここで、Ｃは暗号文である。なお、Ｅ^－１は元となるブロック暗号の暗号化関数に対する復号関数（つまり、元となるブロック暗号の暗号化関数の逆関数）である。

なお、一般に、多ブロックの暗号化や改竄検知（メッセージ認証）等を行う際、ブロック暗号を利用するよりもtweakableブロック暗号を利用した方がより効率的な機能を実現することができる。このため、上記の式（１）に示す暗号化関数と上記の式（２）に示す復号関数とで実現されるtweakableブロック暗号を利用することで、耐量子安全性を担保しつつ、より効率的な多ブロックの暗号化や改竄検知（メッセージ認証）等を実現することが可能となる。

＜暗号化処理（実施例１）＞
次に、実施例１における暗号化処理について、図２を参照しながら説明する。図２は、実施例１における暗号化処理の一例を示すフローチャートである。

まず、暗号化処理部１０１は、記憶部１０２に記憶されているtweak Ｔと秘密鍵（Ｋ，Ｋ'）と平文Ｍとを入力する（ステップＳ１０１）。

次に、暗号化処理部１０１は、Ｖ←Ｅ_Ｋ（Ｍ）とする（ステップＳ１０２）。すなわち、暗号化処理部１０１は、平文Ｍを暗号化関数Ｅ_Ｋにより暗号化して、その結果をＶとする。

次に、暗号化処理部１０１は、Ｗ→Ｅ_Ｋ'（Ｔ）とする（ステップＳ１０３）。すなわち、暗号化処理部１０１は、tweak Ｔを暗号化関数Ｅ_Ｋ'により暗号化して、その結果をＷとする。

次に、暗号化処理部１０１は、

とする（ステップＳ１０４）。すなわち、暗号化処理部１０１は、ＶとＷとのビット毎の排他的論理和を暗号化関数Ｅ_Ｋにより暗号化して、その結果を暗号文Ｃとする。

そして、暗号化処理部１０１は、暗号文Ｃを任意の出力先に出力（例えば、復号装置２０に送信）する（ステップＳ１０５）。これにより、実施例１におけるtweakableブロック暗号で暗号化された暗号文Ｃが得られる。

＜復号処理（実施例１）＞
次に、実施例１における復号処理について、図３を参照しながら説明する。図３は、実施例１における復号処理の一例を示すフローチャートである。

まず、復号処理部２０１は、記憶部２０２に記憶されているtweak Ｔと秘密鍵（Ｋ，Ｋ'）と暗号文Ｃとを入力する（ステップＳ２０１）。

次に、復号処理部２０１は、Ｕ←Ｅ_Ｋ ^－１（Ｃ）とする（ステップＳ２０２）。すなわち、復号処理部２０１は、暗号文Ｃを復号関数Ｅ_Ｋ ^－１により復号して、その結果をＵとする。

次に、復号処理部２０１は、Ｗ→Ｅ_Ｋ'（Ｔ）とする（ステップＳ２０３）。すなわち、暗号化処理部１０１は、tweak Ｔを暗号化関数Ｅ_Ｋ'により暗号化して、その結果をＷとする。

次に、復号処理部２０１は、

とする（ステップＳ２０４）。すなわち、復号処理部２０１は、ＵとＷとのビット毎の排他的論理和を復号関数Ｅ_Ｋ ^－１により復号して、その結果を平文Ｍとする。

そして、復号処理部２０１は、平文Ｍを任意の出力先に出力（例えば、記憶部２０２に保存）する（ステップＳ２０５）。これにより、実施例１におけるtweakableブロック暗号で暗号化された暗号文Ｃが、平文Ｍに復号される。

［実施例２］
以降では、本実施形態の実施例２について説明する。

上記の実施例１におけるtweakableブロック暗号では秘密鍵（Ｋ，Ｋ'）を使用したが、一般に秘密鍵が多ければ（秘密鍵のビット長が長ければ）安全性が増すため、実施例２では、秘密鍵（Ｋ，Ｋ'，Ｋ''）を使用したtweakableブロック暗号を構成する。これにより、実施例１におけるtweakableブロック暗号よりも高い安全性を実現することができる。

具体的には、実施例２におけるtweakableブロック暗号の暗号化関数を以下の式（３）により定義する。

また、上記の式（３）に示す暗号化関数に対する復号関数は、以下の式（４）で定義される。

実施例１と同様に、上記の式（３）に示す暗号化関数と上記の式（４）に示す復号関数とで実現されるtweakableブロック暗号を利用することで、耐量子安全性を担保しつつ、より効率的な多ブロックの暗号化や改竄検知（メッセージ認証）等を実現することが可能となる。

＜暗号化処理（実施例２）＞
次に、実施例２における暗号化処理について、図４を参照しながら説明する。図４は、実施例２における暗号化処理の一例を示すフローチャートである。

まず、暗号化処理部１０１は、記憶部１０２に記憶されているtweak Ｔと秘密鍵（Ｋ，Ｋ'，Ｋ''）と平文Ｍとを入力する（ステップＳ３０１）。

次に、暗号化処理部１０１は、Ｖ←Ｅ_Ｋ（Ｍ）とする（ステップＳ３０２）。すなわち、暗号化処理部１０１は、平文Ｍを暗号化関数Ｅ_Ｋにより暗号化して、その結果をＶとする。

次に、暗号化処理部１０１は、Ｗ→Ｅ_Ｋ'（Ｔ）とする（ステップＳ３０３）。すなわち、暗号化処理部１０１は、tweak Ｔを暗号化関数Ｅ_Ｋ'により暗号化して、その結果をＷとする。

次に、暗号化処理部１０１は、

とする（ステップＳ３０４）。すなわち、暗号化処理部１０１は、ＶとＷとのビット毎の排他的論理和を暗号化関数Ｅ_Ｋにより暗号化して、その結果を暗号文Ｃとする。

そして、暗号化処理部１０１は、暗号文Ｃを任意の出力先に出力（例えば、復号装置２０に送信）する（ステップＳ３０５）。これにより、実施例２におけるtweakableブロック暗号で暗号化された暗号文Ｃが得られる。

＜復号処理（実施例２）＞
次に、実施例２における復号処理について、図５を参照しながら説明する。図５は、実施例２における復号処理の一例を示すフローチャートである。

まず、復号処理部２０１は、記憶部２０２に記憶されているtweak Ｔと秘密鍵（Ｋ，Ｋ'，Ｋ''）と暗号文Ｃとを入力する（ステップＳ４０１）。

次に、復号処理部２０１は、Ｕ←Ｅ_Ｋ'' ^－１（Ｃ）とする（ステップＳ４０２）。すなわち、復号処理部２０１は、暗号文Ｃを復号関数Ｅ_Ｋ'' ^－１により復号して、その結果をＵとする。

次に、復号処理部２０１は、Ｗ→Ｅ_Ｋ'（Ｔ）とする（ステップＳ４０３）。すなわち、暗号化処理部１０１は、tweak Ｔを暗号化関数Ｅ_Ｋ'により暗号化して、その結果をＷとする。

次に、復号処理部２０１は、

とする（ステップＳ４０４）。すなわち、復号処理部２０１は、ＵとＷとのビット毎の排他的論理和を復号関数Ｅ_Ｋ ^－１により復号して、その結果を平文Ｍとする。

そして、復号処理部２０１は、平文Ｍを任意の出力先に出力（例えば、記憶部２０２に保存）する（ステップＳ４０５）。これにより、実施例２におけるtweakableブロック暗号で暗号化された暗号文Ｃが、平文Ｍに復号される。

＜ハードウェア構成＞
最後に、本実施形態に係る暗号システム１に含まれる暗号化装置１０及び復号装置２０のハードウェア構成について説明する。暗号化装置１０及び復号装置２０は、例えば、図６に示すコンピュータ５００のハードウェア構成により実現することができる。図６は、コンピュータ５００のハードウェア構成の一例を示す図である。

図６に示すコンピュータ５００は、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、プロセッサ５０５と、メモリ装置５０６とを有する。これら各ハードウェアは、それぞれがバス５０７を介して通信可能に接続されている。

入力装置５０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置５０２は、例えば、ディスプレイ等である。なお、コンピュータ５００は、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくてもよい。

外部Ｉ／Ｆ５０３は、外部装置とのインタフェースである。外部装置には、記録媒体５０３ａ等がある。コンピュータ５００は、外部Ｉ／Ｆ５０３を介して、記録媒体５０３ａの読み取りや書き込み等を行うことができる。記録媒体５０３ａには、暗号化処理部１０１を実現する１以上のプログラムが格納されていてもよいし、復号処理部２０１を実現する１以上のプログラムが格納されていてもよい。

なお、記録媒体５０３ａには、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等がある。

通信Ｉ／Ｆ５０４は、コンピュータ５００を通信ネットワークに接続するためのインタフェースである。なお、暗号化処理部１０１を実現する１以上のプログラムや復号処理部２０１を実現する１以上のプログラムは、通信Ｉ／Ｆ５０４を介して、所定のサーバ装置等から取得（ダウンロード）されてもよい。

プロセッサ５０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の各種演算装置である。暗号化処理部１０１は、例えば、メモリ装置５０６に格納されている１以上のプログラムがプロセッサ５０５に実行させる処理により実現される。同様に、復号処理部２０１は、例えば、メモリ装置５０６に格納されている１以上のプログラムがプロセッサ５０５に実行させる処理により実現される。

メモリ装置５０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。記憶部１０２や記憶部２０２は、例えば、メモリ装置５０６を用いて実現可能である。

本実施形態に係る暗号システム１に含まれる暗号化装置１０は、図６に示すコンピュータ５００のハードウェア構成を有することにより、上述した暗号化処理を実現することができる。同様に、本実施形態に係る暗号システム１に含まれる復号装置２０は、図６に示すコンピュータ５００のハードウェア構成を有することにより、上述した復号処理を実現することができる。なお、図６に示すコンピュータ５００のハードウェア構成は一例であって、コンピュータ５００は、他のハードウェア構成を有していてもよい。例えば、コンピュータ５００は、複数のプロセッサ５０５を有していてもよいし、複数のメモリ装置５０６を有していてもよい。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１暗号システム
１０暗号化装置
２０復号装置
１０１暗号化処理部
１０２記憶部
２０１復号処理部
２０２記憶部

Claims

平文を暗号文に暗号化する暗号化装置が含まれる暗号システムであって、
前記暗号化装置は、
第１の秘密鍵を用いて、所定のブロック暗号の暗号化関数により前記平文を暗号化した第１の情報を生成する第１の暗号化手段と、
第２の秘密鍵を用いて、前記暗号化関数により予め設定された調整値を暗号化した第２の情報を生成する第２の暗号化手段と、
前記第１の秘密鍵を用いて、前記第１の情報と前記第２の情報とのビット毎の排他的論理和の演算結果を前記暗号化関数により暗号化して前記暗号文を生成する第３の暗号化手段と、
を有することを特徴とする暗号システム。
前記暗号システムには、前記暗号文を復号する復号装置が含まれ、
前記復号装置は、
前記第１の秘密鍵を用いて、前記暗号化関数に対応する復号関数により前記暗号文を復号した第３の情報を生成する第１の復号手段と、
前記第２の秘密鍵を用いて、前記暗号化関数により前記調整値を暗号化した前記第２の情報を生成する第４の暗号化手段と、
前記第１の秘密鍵を用いて、前記第３の情報と前記第２の情報とのビット毎の排他的論理和の演算結果を前記復号関数により復号して前記平文を生成する第２の復号手段と、を有することを特徴とする請求項１に記載の暗号システム。
前記第３の暗号化手段は、
前記第１の秘密鍵の代わりに第３の秘密鍵を用いて、前記第１の情報と前記第２の情報とのビット毎の排他的論理和の演算結果を前記暗号化関数により暗号化して前記暗号文を生成し、
前記第１の復号手段は、
前記第１の秘密鍵の代わりに前記第３の秘密鍵を用いて、前記復号関数により前記暗号文を復号した第３の情報を生成する、ことを特徴とする請求項２に記載の暗号システム。
平文を暗号文に暗号化する暗号化装置が、
第１の秘密鍵を用いて、所定のブロック暗号の暗号化関数により前記平文を暗号化した第１の情報を生成する第１の暗号化手順と、
第２の秘密鍵を用いて、前記暗号化関数により予め設定された調整値を暗号化した第２の情報を生成する第２の暗号化手順と、
前記第１の秘密鍵を用いて、前記第１の情報と前記第２の情報とのビット毎の排他的論理和の演算結果を前記暗号化関数により暗号化して前記暗号文を生成する第３の暗号化手順と、
を実行することを特徴とする暗号化方法。
暗号化装置で平文が暗号化された暗号文を復号する復号装置が、
第１の秘密鍵を用いて、所定のブロック暗号の暗号化関数に対応する復号関数により前記暗号文を復号した第３の情報を生成する第１の復号手順と、
第２の秘密鍵を用いて、前記暗号化関数により予め設定された調整値を暗号化した第２の情報を生成する第４の暗号化手順と、
前記第１の秘密鍵を用いて、前記第３の情報と前記第２の情報とのビット毎の排他的論理和の演算結果を前記復号関数により復号して前記平文を生成する第２の復号手順と、
を実行することを特徴とする復号方法。
コンピュータを、
平文を暗号文に暗号化する暗号化装置であって、
第１の秘密鍵を用いて、所定のブロック暗号の暗号化関数により前記平文を暗号化した第１の情報を生成する第１の暗号化部と、
第２の秘密鍵を用いて、前記暗号化関数により予め設定された調整値を暗号化した第２の情報を生成する第２の暗号化部と、
前記第１の秘密鍵を用いて、前記第１の情報と前記第２の情報とのビット毎の排他的論理和の演算結果を前記暗号化関数により暗号化して前記暗号文を生成する第３の暗号化部と、
を有する暗号化装置、
として機能させるためのプログラム。
暗号化装置で平文が暗号化された暗号文を復号する復号装置であって、
第１の秘密鍵を用いて、所定のブロック暗号の暗号化関数に対応する復号関数により前記暗号文を復号した第３の情報を生成する第１の復号部と、
第２の秘密鍵を用いて、前記暗号化関数により予め設定された調整値を暗号化した第２の情報を生成する第４の暗号化部と、
前記第１の秘密鍵を用いて、前記第３の情報と前記第２の情報とのビット毎の排他的論理和の演算結果を前記復号関数により復号して前記平文を生成する第２の復号部と、
を有する復号装置、
として機能させるためのプログラム。