JP7347501B2

JP7347501B2 - Ｍａｃタグリスト生成装置、ｍａｃタグリスト検証装置、方法及びプログラム

Info

Publication number: JP7347501B2
Application number: JP2021514734A
Authority: JP
Inventors: 一彦峯松; 典史神谷
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2019-04-18
Filing date: 2019-04-18
Publication date: 2023-09-20
Anticipated expiration: 2039-04-18
Also published as: WO2020213114A1; US20220173909A1; JPWO2020213114A1; US11824993B2

Description

本発明は、ＭＡＣタグリスト生成装置、ＭＡＣタグリスト検証装置、ＭＡＣタグリスト生成方法、ＭＡＣタグリスト検証方法及びプログラムに関する。

メッセージ認証コード（以下、単に、「メッセージ認証」あるいは“ＭＡＣ”と記す。）とは、メッセージに対して秘密鍵を知るものだけが計算できるタグを付与することで、メッセージが正当であることを保証する技術である。例えばメッセージ認証を用いれば、秘密鍵を共有した２者の通信において、通信の間に行われた、第三者による改ざんを検知することが可能となる。具体的には、送信者がメッセージとタグを受信者に送ったとき、受信者側では受け取ったメッセージからタグを計算し、受信したタグとの一致を確認することで、メッセージが正当な送信者から送られたものかどうかを判断できる。このタグを「認証タグ」又は「ＭＡＣタグ」と呼ぶ。

ＭＡＣの基本的な入出力について説明する。秘密鍵Ｋを共有する２者ＡｌｉｃｅとＢｏｂを考え、ＡｌｉｃｅからＢｏｂへメッセージＭを送ることを考える。この場合、ＡｌｉｃｅはＭに対してＫを用いたＭＡＣ関数ＭＡＣ＿Ｋを適用し、認証タグＴ＝ＭＡＣ＿Ｋ（Ｍ）を求め、Ｂｏｂに対し、（Ｍ，Ｔ）を送信する。

Ｂｏｂが受信した情報を（Ｍ’，Ｔ’）とすると、Ｂｏｂは、Ｔ’とＭＡＣ＿Ｋ（Ｍ’）との一致を確認することで、メッセージがＡｌｉｃｅから送られたものかどうかを判断する。Ｔ’とＭＡＣ＿Ｋ（Ｍ’）との一致を確認することで、受け取ったメッセージ（Ｍ’，Ｔ’）がＡｌｉｃｅのそもそも送った（メッセージ、認証タグ）の対であるかがわかり、改ざんの有無をチェック可能である。

このようなメッセージ認証方式の一例として、非特許文献１［ＣＭＡＣ］や非特許文献２の［ＨＭＡＣ］がある。

一般的なメッセージ認証を用いる場合、メッセージ中の改ざんされた位置に関して情報を得ることは不可能である。これは、改ざんが行われた場合、認証タグの値は正しい値とは異なるランダムな値となるからである。

これに対して、メッセージの全体に一度ＭＡＣ関数を適用するのではなく、メッセージを任意の部分に分割し、それらの部分ごとにＭＡＣ関数を適用することで、部分ごとのチェックが可能となり、メッセージに対する改ざん位置を完全に特定することが可能となる。例えばメッセージＭがｍ個のアイテムＭ［１］，．．．，Ｍ［ｍ］からなる場合、Ｔ［１］＝ＭＡＣ＿Ｋ（Ｍ［１］），Ｔ［２］＝ＭＡＣ＿Ｋ（Ｍ［２］），．．．，Ｔ［ｍ］＝ＭＡＣ＿Ｋ（Ｍ［ｍ］）をそれぞれ計算する。その上で、メッセージと認証タグのセット（Ｍ，Ｔ［１］，．．．，Ｔ［ｍ］）を送信すればよい。

ハードディスク上のデータに対し、ファイルごとや、ディスクセクターごとにＭＡＣをとることがこの方法の例として挙げられる。しかしながら、この方法はｍ個のアイテムに対してｍ個のタグが生成されるため、保存すべきデータ量の増加が大きいという問題がある。

一方、非特許文献３［ＧＡＴ０５］に記載されているように、メッセージを、互いに重なりを許し、長さも異なる複数の部分系列に分解し、この部分系列ごとにＭＡＣを適用するというアプローチがある。

［例１］
例えば、メッセージＭが７個のアイテムからなるとき、（Ｍ［１］，Ｍ［２］，．．．，Ｍ［７］）を
Ｓ［１］＝（Ｍ［１］，Ｍ［２］，Ｍ［３］，Ｍ［４］）
Ｓ［２］＝（Ｍ［１］，Ｍ［２］，Ｍ［５］，Ｍ［６］）
Ｓ［３］＝（Ｍ［１］，Ｍ［３］，Ｍ［５］，Ｍ［７］）
という３つの部分系列に分解し、それぞれに対してＭＡＣを適用し３つのタグ
Ｔ［１］＝ＭＡＣ（Ｓ［１］），．．．，Ｔ［３］＝ＭＡＣ（Ｓ［３］）
を計算したとする。
この場合、アイテムごとにＭＡＣを適用する場合に７個必要であったタグの数を、３つに減らすことが可能となる。さらに、検証時における各（Ｔ［ｉ］，Ｓ［ｉ］）に対する検証結果を２値（０ならＭＡＣが正しい、１なら改ざん）のＢ［ｉ］で表現すると、ある時点でメッセージＭに対してＭＡＣタグのチェックを行った結果が
Ｂ［１］＝０，
Ｂ［２］＝１，
Ｂ［３］＝０，
の場合、Ｍ［６］が改ざんされたと特定できる。より正確には、この例では任意の１アイテムの改ざんであれば改ざんされたアイテムの特定が可能である。

この性質をより一般に言えば、部分系列の取り方を工夫することにより、改ざんされたアイテム数が所与のしきい値以下のときには、改ざんされたアイテムまで特定することが可能であるということを示している。

どのような部分系列にメッセージＭを分解し、またそのテストの結果、どのような改ざんアイテム特定が可能になるかは、組み合わせグループテスト（ＣＧＴ）と呼ばれる組み合わせ問題、特に非適応的組み合わせグループテスト（ＮＣＧＴ）と密接に関連がある。ここで、ＣＧＴ、ＮＣＧＴはそれぞれＣｏｍｂｉｎａｔｏｒｉａｌＧｒｏｕｐＴｅｓｔｉｎｇ、Ｎｏｎ－ａｄａｐｔｉｖｅＣＧＴの略である。非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］では、これらのテストについての検討がなされている。ｍ個のアイテム、ｔ個のテストからなるＣＧＴでは、ｔ行ｍ列の２値行列Ｈ（ここではテスト行列と呼ぶ）を構成し、Ｈに従ってテストを行う。Ｈのｉ行ｊ列目の要素が１であれば、ｊ番目のテストでｉ番目のアイテムをテストに含める、ということを指している。

例えば、データベースシステムへの適用といった実用面を考えた場合、現実的なシステムの制約などから、不正を行う者が一度に大量のアイテムを改ざんすることは考えにくい。従って、上述したＣＧＴとＭＡＣを組み合わせることにより、タグの総数を抑えつつ、現実的に起こりうる改ざんに対し、その場所を特定可能なデータベースシステムを構築することが可能となる。なお、通常のＭＡＣと同様に、ＣＧＴとＭＡＣを組み合わせた場合、任意の改ざんに対して、改ざんがあったという事実を検出可能という性質は変わらない。

なお、非特許文献５［ＣＪＳ０９］に記載のＣｏｒｒｕｐｔｉｏｎ－ｌｏｃａｌｉｚｉｎｇｈａｓｈのように、鍵のないハッシュ関数をＭＡＣの代わりに用いた場合でも、ハッシュ値をメッセージと別の安全な場所に保存するという前提のもとでは同様の効果が望める。また改ざんされたアイテムの特定にいたらなくとも、改ざんされた範囲を絞ることは一般に可能である。

次にテスト行列の構成方法について述べる。ｍアイテムに対して高々ｄ個の改ざんを効率よく特定したい場合、テスト行列がｄ－ｄｉｓｊｕｎｃｔという性質を満たせばよいということが知られている。

具体的には、ｔ行ｍ列２値行列Ｈがｄ－ｄｉｓｊｕｎｃｔであるとは、Ｈの任意のｄ列のブール和（ビットごとの論理和）をＸとしたときに、残りのｍ－ｄ列のどの１列もＸに含まれないことを指す。

これはすなわちＸで１が立つ行インデックス集合をＩ（Ｓ）とすれば、残りのｍ－ｄ列から選んだ任意の１列Ｙについて、Ｉ（Ｙ）がＩ（Ｘ）の部分集合でないことを指す。

所与のｄ，ｍについてｄ－ｄｉｓｊｕｎｃｔ行列の最小の行数（すなわち高々ｄアイテムの改ざんを特定可能な最小のテスト数）ｔ＿ｍｉｎ（ｄ，ｍ）については、
（式１）ｔ＿ｍｉｎ（ｄ，ｍ）＝Ｏ（ｄ^２ｌｏｇｍ）
であることが知られている。これを達成する方法はｄ＝１ではよく知られており、ハミング符号のパリティ検査行列などから構成可能である。

例えば、上述の［例１］はｍ＝７でのそのような例であり、対応する１－ｄｉｓｊｕｎｃｔ行列は、
（式２）
［１１１１０００］
［１１００１１０］
［１０１０１０１］
となる。

一方ｄ＞１での構成方法は、いくつか知られているが、一般に最適な方式は構築が難しいことが知られている。例えばＯ（ｄ^２ｌｏｇｍ）を一般に達成する方式として非特許文献６［ＰＲ０８］が知られているが、オーダでなく定数まで含めた実際の効率は不明である。また、ｍに対してある程度大きいｄについては非自明な（すなわち単位行列でない）ｄ－ｄｉｓｊｕｎｃｔ行列の構築は理論上不可能であることが知られている。

その他、特許文献１に、改ざんの有無だけではなく改ざんされた位置に関する情報を得ることができるというメッセージ認証コード（ＭＡＣ）のタグリスト生成装置が開示されている。同文献によると、このタグリスト生成装置は、ｍ個（ｍは正の整数）のアイテムＭ［１］・・・［ｍ］から構成されるメッセージを入力するメッセージ入力部と、グループテスト行列生成部と、タグリスト生成部を備える。そして、グループテスト行列生成部は、生成するメッセージ認証コードのタグ数ｓ（ｓは正の整数）について、組み合わせグループテストを定めるｓ行ｍ列のグループテスト行列を生成する。また、タグリスト生成部は、前記グループテスト行列と、可変長入力固定長出力の擬似ランダム関数と、固定長入出力のＴｗｅａｋ付き擬似ランダム関数と、を用いて、前記メッセージに関するｓ個のタグからなるタグリストを生成する。そして、前記タグリスト生成部は、前記メッセージをなすｍ個のアイテムＭ［１］・・・Ｍ［ｍ］それぞれに関するタグの計算を、途中の計算結果を共有しつつ並行に行う、と記載されている。

特許文献２には、効率的に帯域増加を防止することができるという認証付暗号化装置の一例が開示されている。また、同文献には、過去に生成した値とは異なるｎビットの初期ベクトルＮ（固定長値、ｎｏｎｃｅ）を生成する初期ベクトル生成手段（固定長値生成部）を備える構成が開示されている（特許文献２の図１参照）。

特許文献３には、認証タグ生成の計算量の増大を抑えることのできるという認証タグ生成装置が開示されている。同文献によると、この認証タグ生成装置は、入力したメッセージを該メッセージに関する組み合わせグループテストを表すグループテスト行列にしたがって分割した部分系列の各アイテムに対して、ハッシュ関数を演算する。そして、認証タグ生成装置は、各ハッシュ値をコンバイナで結合演算した値から、前記部分系列の認証タグを生成する。そして、前記認証タグ生成装置のコンバイナでは、空系列のアイテムのハッシュ値を演算の単位元として前記各ハッシュ値を結合演算する。

また、非特許文献７［ＨＳ１８］は、集約ノードＡがｄ－ｄｉｓｊｕｎｃｔ行列に従ってタグの部分和を複数求めて送信することを提案する文献である。また、非特許文献８［ＢＧＲ９５］は、タグ生成に用いるＭＡＣ関数を提案する文献である。また、非特許文献９［Ｍ９６］は、ｄ－ｄｉｓｊｕｎｃｔ行列を構築する方法を紹介している文献である。

また、非特許文献１０～１２は、ＡＥＳ（ＡｄｖａｎｃｅｄＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）などのブロック暗号を用いたブロック暗号利用モードを持つＴｗｅａｋａｂｌｅブロック暗号の例である。

特開２０１７－７３７１６号公報国際公開第２０１６／０６７５２４号国際公開第２０１８／１９３５０７号

［ＣＭＡＣ］，ＳＰ８００－３８Ｂ， "ＲｅｃｏｍｍｅｎｄａｔｉｏｎｆｏｒＢｌｏｃｋＣｉｐｈｅｒＭｏｄｅｓｏｆＯｐｅｒａｔｉｏｎ：ＴｈｅＣＭＡＣＭｏｄｅｆｏｒＡｕｔｈｅｎｔｉｃａｔｉｏｎ"，（Ｍａｙ２００５）．［ＨＭＡＣ］，Ｍ．Ｂｅｌｌａｒｅ，Ｒ．Ｃａｎｅｔｔｉ，Ｈ．Ｋｒａｗｃｚｙｋ， "Ｋｅｙｉｎｇｈａｓｈｆｕｎｃｔｉｏｎｓｆｏｒｍｅｓｓａｇｅａｕｔｈｅｎｔｉｃａｔｉｏｎ"，ＣＲＹＰＴＯ１９９６，ｐｐ．１－１５，Ｓｐｒｉｎｇｅｒ，Ｈｅｉｄｅｌｂｅｒｇ（１９９６）．［ＧＡＴ０５］，ＭｉｃｈａｅｌＴ．Ｇｏｏｄｒｉｃｈ，ＭｉｋｈａｉｌＪ．Ａｔａｌｌａｈ，ＲｏｂｅｒｔｏＴａｍａｓｓｉａ， "ＩｎｄｅｘｉｎｇＩｎｆｏｒｍａｔｉｏｎｆｏｒＤａｔａＦｏｒｅｎｓｉｃｓ"，ＡｐｐｌｉｅｄＣｒｙｐｔｏｇｒａｐｈｙａｎｄＮｅｔｗｏｒｋＳｅｃｕｒｉｔｙ，ＴｈｉｒｄＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅ，ＡＣＮＳ２００５，ＮｅｗＹｏｒｋ，ＮＹ，ＵＳＡ，Ｊｕｎｅ７－１０，２００５，Ｐｒｏｃｅｅｄｉｎｇｓ．２００５ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅＩＳＢＮ３－５４０－２６２２３－７，ｐｐ．２０６－２２１．［Ｍｉｎ１５］，ＫａｚｕｈｉｋｏＭｉｎｅｍａｔｓｕ， "ＥｆｆｉｃｉｅｎｔＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅｓｗｉｔｈＣｏｍｂｉｎａｔｏｒｉａｌＧｒｏｕｐＴｅｓｔｉｎｇ"，ＥＳＯＲＩＣＳ２０１５．ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ｖｏｌ９３２６．ＩＳＢＮ９７８－３－３１９－２４１７４－６．［ＣＪＳ０９］，ＧｉｏｖａｎｎｉＤｉＣｒｅｓｃｅｎｚｏ，ＳｈａｏｑｕａｎＪｉａｎｇ，ＲｅｉｈａｎｅｈＳａｆａｖｉ－Ｎａｉｎｉ， "Ｃｏｒｒｕｐｔｉｏｎ－ＬｏｃａｌｉｚｉｎｇＨａｓｈｉｎｇ"，ＣｏｍｐｕｔｅｒＳｅｃｕｒｉｔｙ－ＥＳＯＲＩＣＳ２００９，１４ｔｈＥｕｒｏｐｅａｎＳｙｍｐｏｓｉｕｍｏｎＲｅｓｅａｒｃｈｉｎＣｏｍｐｕｔｅｒＳｅｃｕｒｉｔｙ，Ｓａｉｎｔ－Ｍａｌｏ，Ｆｒａｎｃｅ，Ｓｅｐｔｅｍｂｅｒ２１－２３，２００９．Ｐｒｏｃｅｅｄｉｎｇｓ．Ｓｐｒｉｎｇｅｒ２００９ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅＩＳＢＮ９７８－３－６４２－０４４４３－４，ｐｐ．４８９－５０４．［ＰＲ０８］，ＥｌｙＰｏｒａｔ，ＡｍｉｒＲｏｔｈｓｃｈｉｌｄ、 "ＥｘｐｌｉｃｉｔＮｏｎ－ａｄａｐｔｉｖｅＣｏｍｂｉｎａｔｏｒｉａｌＧｒｏｕｐＴｅｓｔｉｎｇＳｃｈｅｍｅｓ" ＩＣＡＬＰ（１）２００８：７４８－７５９．［ＨＳ１８］，ＳｈｏｉｃｈｉＨｉｒｏｓｅａｎｄＪｕｎｊｉＳｈｉｋａｔａ， "Ｎｏｎ－ａｄａｐｔｉｖｅＧｒｏｕｐ－ＴｅｓｔｉｎｇＡｇｇｒｅｇａｔｅＭＡＣＳｃｈｅｍｅ"，ＩＳＰＥＣ２０１８，ＩＡＣＲｅＰｒｉｎｔ２０１８／４４８．，インターネット〈URL：https://eprint.iacr.org/2018/448〉［ＢＧＲ９５］，ＭｉｈｉｒＢｅｌｌａｒｅ，ＲｏｃｈＧｕｅｒｉｎａｎｄＰｈｉｌｌｉｐＲｏｇａｗａｙ， "ＸＯＲＭＡＣｓ：ＮｅｗＭｅｔｈｏｄｓｆｏｒＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＵｓｉｎｇＦｉｎｉｔｅＰｓｅｕｄｏｒａｎｄｏｍＦｕｎｃｔｉｏｎｓ"，ＣＲＹＰＴＯ ’９５．［Ｍ９６］，ＡｎｔｈｏｎｙＭａｃｕｌａ， "Ａｓｉｍｐｌｅｃｏｎｓｔｒｕｃｔｉｏｎｏｆｄ－ｄｉｓｊｕｎｃｔｍａｔｒｉｃｅｓｗｉｔｈｃｅｒｔａｉｎｃｏｎｓｔａｎｔｗｅｉｇｈｔｓ"，ＤｉｓｃｒｅｔｅＭａｔｈｅｍａｔｉｃｓ１６２（１９９６）ｐａｇｅ３１１－３１２．［ＬＲＷ］，ＭｏｓｅｓＬｉｓｋｏｖａｎｄＲｏｎａｌｄＬ．ＲｉｖｅｓｔａｎｄＤａｖｉｄＡ．Ｗａｇｎｅｒ， "ＴｗｅａｋａｂｌｅＢｌｏｃｋＣｉｐｈｅｒｓ"，ＣＲＹＰＴＯ２００２，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ２４４２，Ｓｐｒｉｎｇｅｒ２００２．［ＸＥＸ］，ＰｈｉｌｌｉｐＲｏｇａｗａｙ， "ＥｆｆｉｃｉｅｎｔＩｎｓｔａｎｔｉａｔｉｏｎｓｏｆＴｗｅａｋａｂｌｅＢｌｏｃｋｃｉｐｈｅｒｓａｎｄＲｅｆｉｎｅｍｅｎｔｓｔｏＭｏｄｅｓＯＣＢａｎｄＰＭＡＣ"，ＡＳＩＡＣＲＹＰＴ２００４，ＬＮＣＳ３３２９，Ｓｐｒｉｎｇｅｒ２００４．［ＳＫＩＮＮＹ］，ＣｈｒｉｓｔｏｆＢｅｉｅｒｌｅａｎｄＪｅｒｅｍｙＪｅａｎａｎｄＳｔｅｆａｎＫｏｌｂｌａｎｄＧｒｅｇｏｒＬｅａｎｄｅｒａｎｄＡｍｉｒＭｏｒａｄｉａｎｄＴｈｏｍａｓＰｅｙｒｉｎａｎｄＹｕＳａｓａｋｉａｎｄＰａｓｃａｌＳａｓｄｒｉｃｈａｎｄＳｉａｎｇＭｅｎｇＳｉｍ， "ＴｈｅＳＫＩＮＮＹＦａｍｉｌｙｏｆＢｌｏｃｋＣｉｐｈｅｒｓａｎｄＩｔｓＬｏｗ－ＬａｔｅｎｃｙＶａｒｉａｎｔＭＡＮＴＩＳ"，ＣＲＹＰＴＯ２０１６，ＬＮＣＳ９８１５，Ｓｐｒｉｎｇｅｒ２０１６．

以下の分析は、本発明によって与えられたものである。本発明の第１の課題は、改ざんの有無だけでなく改ざんされた位置に関して情報を得られるようなメッセージ認証を、非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］等の手法よりもさらに効率よく構築することである。

具体的には、非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］等の手法では、非適応組み合わせグループテスト（ＮＣＧＴ）の理論から、タグ生成に用いるテスト行列を直接構成している。典型的には、非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］等の手法では、ｄ－ｄｉｓｊｕｎｃｔ行列によりテスト行列を構成するため、ｄ－ｄｉｓｊｕｎｃｔ行列を構成困難なパラメータ（ｄ，およびアイテム数ｍ，テスト数ｔ）については効果的な手法を実現できない、という問題点がある。

一方、背景技術で述べたように、ｄ＝１の場合の最適な行列構成方法はよく知られているが、ｄ＞１の場合の最適な構成方法は知られておらず、また、ｄがある程度大きくなると、そもそも非自明な、すなわちｔ＜ｍであるようなｄ－ｄｉｓｊｕｃｔ行列が存在しないことも知られている。

本発明の目的は、改ざんの有無だけでなく改ざんされた位置に関して情報を得られるようなメッセージ認証のさらなる効率化に貢献できるＭＡＣタグリスト生成装置、ＭＡＣタグリスト検証装置、ＭＡＣタグリスト生成方法、ＭＡＣタグリスト検証方法及びプログラムを提供することを目的とする。

第１の視点によれば、メッセージ認証コード（ＭＡＣ）の対象となるｍ個のアイテムＭ［１］，．．．，Ｍ［ｍ］から構成されるメッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）を入力するメッセージ入力部と、生成する前記ＭＡＣの数ｓ（ｓは正の整数）について、組み合わせグループテストのパラメータであるｔ行ｍ列のグループテスト行列Ｈを生成するためのグループテスト行列生成部と、復号可能な線形グループテストＭＡＣ適用部と、前記復号可能な線形グループテストＭＡＣ適用部により生成されたＭＡＣタグリストを出力するＭＡＣタグリスト出力部と、を備えるＭＡＣタグリスト生成装置が提供される。そして、復号可能な線形グループテストＭＡＣ適用部は、前記メッセージＭについて、前記グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆと、前記グループテスト行列Ｈの行インデックスをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号Ｇを用いて、前記グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、前記擬似ランダム関数Ｆに前記Ｍ［ｊ］と前記インデックスｊとを入力し、得られた前記擬似ランダム関数Ｆの出力のすべての和をとり、ｉ番目の中間タグＳ［ｉ］とし、前記ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号ＧのＴｗｅａｋａｂｌｅ暗号化関数で前記中間タグＳ［ｉ］を暗号化して得られた出力を、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応するタグＴ［ｉ］とする処理を、すべてのｊ＝１，．．．，ｔについて行い、ＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）を生成する。

第２の視点によれば、メッセージ認証コード（ＭＡＣ）を用いたＭＡＣタグリスト検証の対象となるｍ個のアイテムからなるメッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）と、ｔ個のＭＡＣのリストであるＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）とを入力するメッセージ入力部と、ｔ行ｍ列のグループテスト行列Ｈを生成するとともに、複数の２値グループテスト行列Ｈの行インデックスの部分集合であるテスト行列拡大ルールＲを出力するグループテスト行列生成および拡大部と、ＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）の要素Ｔ［ｉ］を、ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号Ｇの復号関数で復号した結果を中間タグＳ［ｉ］とする処理をすべてのｉ＝１，．．．，ｔについて行い中間タグリストＳ＝（Ｓ［１］，．．．，Ｓ［ｔ］）を得るタグ復号部と、復号可能な線形グループテスト中間タグ生成部と、中間タグリスト拡大部と、中間タグリスト検証部と、前記中間タグリスト検証部が出力する検証結果を出力する検証結果出力部とを備えるＭＡＣタグリスト検証装置が提供される。そして、前記復号可能な線形グループテスト中間タグ生成部は、前記グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆとを用いて、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応する検証用中間タグＳ^＊［ｉ］の生成を、前記グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、前記擬似ランダム関数Ｆに、Ｍ［ｊ］とインデックスｊとを入力し、得られたＦの出力のすべての和をとり、ｉ番目の検証用中間タグＳ^＊［ｉ］とする処理を、すべてのｊ＝１，．．．，ｔについて行い、検証用中間タグリストＳ^＊＝（Ｓ^＊［１］，．．．，Ｓ^＊［ｔ］）を生成する。前記中間タグリスト拡大部は、前記中間タグリストＳと、前記検証用中間タグリストＳ^＊と、テスト行列拡大ルールＲと、を用いて、前記テスト行列拡大ルールＲが指定する行インデックスの部分集合に対応してＳとＳ^＊をそれぞれで線形結合を行い、拡大中間タグリストｅｘＳ、検証用拡大中間タグリストｅｘＳ^＊を出力する。そして、前記中間タグリスト検証部は、前記拡大中間タグリストｅｘＳと前記検証用拡大中間タグリストｅｘＳ^＊とを比較してメッセージＭの中の各アイテムの検証および改ざん位置の特定を行い、検証結果として出力する。

第３の視点によれば、メッセージ認証コード（ＭＡＣ）の対象となるｍ個のアイテムＭ［１］，．．．，Ｍ［ｍ］から構成されるメッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）を入力するステップと、生成する前記ＭＡＣの数ｓ（ｓは正の整数）について、組み合わせグループテストのパラメータであるｔ行ｍ列のグループテスト行列Ｈを生成するステップと、前記メッセージＭについて、前記グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆと、前記グループテスト行列Ｈの行インデックスをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号Ｇを用いて、前記２値グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、前記擬似ランダム関数Ｆに前記Ｍ［ｊ］と前記インデックスｊとを入力し、得られた前記擬似ランダム関数Ｆの出力のすべての和をとり、ｉ番目の中間タグＳ［ｉ］とし、前記ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号ＧのＴｗｅａｋａｂｌｅ暗号化関数で前記中間タグＳ［ｉ］を暗号化して得られた出力を、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応するタグＴ［ｉ］とする処理を、すべてのｊ＝１，．．．，ｔについて行いＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）を生成するステップと、前記復号可能な線形グループテストＭＡＣ適用手段が求めたＭＡＣタグリストを出力するステップと、を含むＭＡＣタグリスト生成方法が提供される。本方法は、上記したメッセージＭを入力として、ＭＡＣタグリストを出力するコンピュータという、特定の機械に結びつけられている。

第４の視点によれば、メッセージ認証コード（ＭＡＣ）を用いたＭＡＣタグリスト検証の対象となるｍ個のアイテムからなるメッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）と、ｔ個のＭＡＣのリストであるＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）とを入力するステップと、ｔ行ｍ列のグループテスト行列Ｈを生成するとともに、複数の２値グループテスト行列Ｈの行インデックスの部分集合であるテスト行列拡大ルールＲを出力するステップと、ＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）の要素Ｔ［ｉ］を、ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号Ｇの復号関数で復号した結果を中間タグＳ［ｉ］とする処理をすべてのｉ＝１，．．．，ｔについて行い中間タグリストＳ＝（Ｓ［１］，．．．，Ｓ［ｔ］）を得るステップと、前記メッセージＭについて、前記グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆとを用いて、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応する検証用中間タグＳ^＊［ｉ］の生成を、前記グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、前記擬似ランダム関数Ｆに、Ｍ［ｊ］とインデックスｊとを入力し、得られたＦの出力のすべての和をとり、ｉ番目の検証用中間タグＳ^＊［ｉ］とする処理を、すべてのｊ＝１，．．．，ｔについて行い、検証用中間タグリストＳ^＊＝（Ｓ^＊［１］，．．．，Ｓ^＊［ｔ］）を生成するステップと、前記中間タグリストＳと、前記検証用中間タグリストＳ^＊と、テスト行列拡大ルールＲと、を用いて、前記テスト行列拡大ルールＲが指定する行インデックスの部分集合に対応してＳとＳ^＊をそれぞれで線形結合を行い、拡大中間タグリストｅｘＳ、検証用拡大中間タグリストｅｘＳ^＊を出力するステップと、前記拡大中間タグリストｅｘＳと前記検証用拡大中間タグリストｅｘＳ^＊とを比較してメッセージＭの中の各アイテムの検証および改ざん位置の特定を行い、検証結果として出力するステップと、前記中間タグリスト検証手段が出力する検証結果を出力するステップと、を含むＭＡＣタグリスト検証方法が提供される。本方法は、上記したメッセージＭ及びＭＡＣタグリストＴを入力として、検証結果を出力するコンピュータという、特定の機械に結びつけられている。

第５の視点によれば、上記したＭＡＣタグリスト生成装置及びＭＡＣタグリスト検証装置の機能を実現するためのコンピュータプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な（非トランジトリーな）記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、改ざんの有無だけでなく改ざんされた位置に関して情報を得られるようなメッセージ認証のさらなる効率化を達成することが可能となる。

本発明の第１の実施形態のＭＡＣタグリスト生成装置の構成を示す図である。本発明の第１の実施形態のＭＡＣタグリスト生成装置の動作を表したフローチャートである。本発明の第１の実施形態のＭＡＣタグリスト生成装置の各部のデータの流れを示す図である。本発明の第２の実施形態のＭＡＣタグリスト検証装置の構成を示す図である。本発明の第２の実施形態のＭＡＣタグリスト検証装置の動作を表したフローチャートである。本発明の第２の実施形態のＭＡＣタグリスト検証装置の各部のデータの流れを示す図である。本発明の第１、第２の実施形態の構成をストレージシステムに適用した例を示す図である。可変長入力の擬似ランダム関数ＦとＴｗｅａｋａｂｌｅブロック暗号Ｇを用いたＭＡＣ関数の一例を示した図である。ｍ＝４アイテム、ｔ＝３テストのＭＡＣタグリストを生成する構成の一例を示す図である。ｍ＝４アイテム、ｔ＝３テストのＭＡＣタグリストを検証する構成の一例を示す図である。本発明を実施可能なコンピュータの構成を示す図である。

［第１の実施形態］
続いて、本発明の第１の実施形態のＭＡＣタグリスト生成装置について図面を参照して詳細に説明する。以下、特に断りのない限り、１ブロックの長さをｎビットとする。

図１は、本発明の第１の実施形態のＭＡＣタグリスト生成装置の構成を示す図である。図１を参照すると、メッセージ入力部１０１と、グループテスト行列生成部１０２と、復号可能な線形グループテストＭＡＣ適用部１０３と、ＭＡＣタグリスト出力部１０４と、を備えたＭＡＣタグリスト生成装置１０が示されている。

メッセージ入力部１０１は、対象となるメッセージＭを入力する手段である。このようなメッセージ入力部１０１は、例えばキーボードなどの文字入力装置や他の装置からデータを受信する通信インタフェースにより実現できる。

以下の説明では、メッセージＭがｍ個の個別のアイテムＭ［１］，．．．，Ｍ［ｍ］より構成されているものとする。それぞれのアイテムは長さが異なってよいし、値が同じものがあってもよい。例えば、それぞれのアイテムは、ハードディスクの１セクタの内容であったり、データベースの１エントリであったり、あるいは文章情報の１キャラクタであってもよい。

グループテスト行列生成部１０２は、改ざん位置特定のための組み合わせグループテストを生成する。具体的には、グループテスト行列生成部１０２は、テストの数（すなわちＭＡＣの数）ｔと、特定可能な改ざんアイテムの数の最大値ｄに応じて、ｔ行ｍ列の２値行列Ｈを生成する。この行列Ｈの構成は任意であるが、例えば既存のｄ－ｄｉｓｊｕｎｃｔ行列ＤのＧＦ（２）基底とすることが可能である。すなわち、行列Ｈは、ｄ－ｄｉｓｊｕｎｃｔ行列Ｄの線形独立な行ベクトル全体からなる行列、あるいは、線形独立な行ベクトル全体へ行基本操作（行同士の和）を行って得られる行列ということができる。

［例２］
一例として、以下の行列を考える。
［１１００］
［１０１０］
［０１１０］
［１００１］
［０１０１］
［００１１］

上記［例２］は、６行４列の行列であり、２－ｄｉｓｊｕｎｃｔである。６＞４であるためテスト行列としては不適格、すなわち自明な、アイテムごとにタグをとる方式のほうが４つのタグで済むため優れている。しかしながら、上記行列のＧＦ（２）基底は、
［１００１］
［０１０１］
［００１１］
となるため、３つのタグで２アイテムの特定が可能となる。

なお、ｍ＝４，ｄ＝２のときは非自明（行数＜列数となる）な２－ｄｉｓｊｕｎｃｔ行列は存在しないことが知られているため、非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］、非特許文献７［ＨＳ１８］では意味のある方式構築は不可能である。

復号可能な線形グループテストＭＡＣ適用部１０３は、メッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）について、ｔ行ｍ列グループテスト行列Ｈが指定する方法でｔ個のＭＡＣタグを生成する。

ＭＡＣタグの生成には可変長入力固定長出力の擬似ランダム関数（ｐｓｅｕｄｏｒａｎｄｏｍｆｕｎｃｔｉｏｎ，ＰＲＦ）Ｆと、Ｔｗｅａｋａｂｌｅブロック暗号（Ｔｗｅａｋａｂｌｅｂｌｏｃｋｃｉｐｈｅｒ，ＴＢＣ）Ｇを用いる。このＴｗｅａｋａｂｌｅブロック暗号Ｇは、行列Ｈの行インデックスをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号である。

上記擬似ランダム関数Ｆは、ＡＥＳなどの標準的なブロック暗号やＳＨＡ－２などのハッシュ関数を用いて構成される疑似ランダム関数、例えば、ＣＭＡＣやＨＭＡＣとすることも可能である（非特許文献１、２参照）。

また、Ｔｗｅａｋａｂｌｅブロック暗号ＧもＡＥＳなどのブロック暗号を用いたブロック暗号利用モード（例えば、非特許文献１０［ＬＲＷ］のＬＲＷモードや、非特許文献１１［ＸＥＸ］のＸＥＸモード）を用いることが可能である。また、Ｔｗｅａｋａｂｌｅブロック暗号Ｇとして、専用設計のＴｗｅａｋａｂｌｅブロック暗号（例えば、非特許文献１２［ＳＫＩＮＮＹ］）のＳＫＩＮＮＹなどを用いることも可能である。

以下の説明では、簡単のため、擬似ランダム関数Ｆの出力長及びＴｗｅａｋａｂｌｅブロック暗号Ｇのブロック長は等しいものとする。但し、擬似ランダム関数Ｆの出力長及びＴｗｅａｋａｂｌｅブロック暗号Ｇのブロック長が異なる場合は、擬似ランダム関数Ｆ、Ｔｗｅａｋａｂｌｅブロック暗号Ｇの出力へ適宜パディングや短縮を用いて長さを合わせることができる。また、擬似ランダム関数ＦとＴｗｅａｋａｂｌｅブロック暗号Ｇとは異なる鍵を用いた異なる暗号プリミティブであってもよいし、適当な鍵生成関数やブロック暗号利用モードを用いて、同一のブロック暗号で同一の鍵を用いて生成してもよい。

図８は、行列Ｈのｉ番目の行ベクトルＨ［ｉ］がｉ番目のテストでどのアイテムをＭＡＣタグ計算に含めるかを示す。具体的には、Ｈ［ｉ］で１が立つすべての行のインデックスｊについて、Ｍ［ｊ］とｊを連結してＦに入力し、Ｆ（Ｍ［ｊ］，ｊ）を得る。各ｊについてすべてのＦ（Ｍ［ｊ］，ｊ）の和（例えば排他的論理和）をとる。さらにこのすべてのＦ（Ｍ［ｊ］，ｊ）の和と、ｉとをＧへ入力して得られた値をｉ番目のテストに対応するＭＡＣ値Ｔ［ｉ］とする。

復号可能な線形グループテストＭＡＣ適用部１０３は、上記の計算をすべてのｉ＝１，．．．，ｔについて行い、ＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）を生成する。

ここで、各ＭＡＣタグの計算は、テストごとに個別に行うのではなく、非特許文献４［Ｍｉｎ１５］と同様に、途中の計算結果を共有しつつ並列に行うことで、大幅に効率よく計算することも可能である（図８、９参照）。図９は、ｍ＝４アイテム、ｔ＝３テストでのＭＡＣタグリストの生成の例を示している。図９の例では、破線で囲った部分を計算することで、３つのタグからなるタグリストを計算することが可能となっている。

上記した復号可能な線形グループテストＭＡＣは、Ｆが擬似ランダム関数であり、Ｇが安全なＴｗｅａｋａｂｌｅブロック暗号（Ｔｗｅａｋａｂｌｅ疑似ランダム置換）であれば、任意のメッセージについてＭＡＣタグを攻撃者が予測することは困難である。したがってＭＡＣタグの改ざんも困難とある。

ＭＡＣタグリスト出力部１０４は、復号可能な線形グループテストＭＡＣ適用部１０３が出力するＭＡＣタグリストを、コンピュータディスプレイやプリンターなどへ出力する。

以上のようなＭＡＣタグリスト生成装置１０はＣＰＵとメモリとディスクにより実現可能である。ＭＡＣタグリスト生成装置の各処理ユニットは、プログラムをディスクに格納しておき、このプログラムをＣＰＵ上で動作させることにより実現することができる（図１１参照）。

続いて、図２のフローチャートを参照して、第１の実施形態の全体の動作について詳細に説明する。まず、メッセージ入力部１０１が、対象となるｍ個のアイテムからなるメッセージＭを入力する（図２のステップ１）。

次に、グループテスト行列生成部１０２が、ｔ行ｍ列の２値行列であるグループテスト行列Ｈを生成する（図２のステップ２）。

次に、復号可能な線形グループテストＭＡＣ適用部１０３が、グループテスト行列Ｈを参照して、ｔ個のＭＡＣタグからなるＭＡＣタグリストＴを生成する（図２のステップ３）。具体的には、前記ｔ個のＭＡＣタグは、擬似ランダム関数ＦとＴｗｅａｋａｂｌｅブロック暗号Ｇとを用いた復号可能な線形グループテストＭＡＣをＭへ適用して生成される。

最後に、ＭＡＣタグリスト出力部１０４が得られたＭＡＣタグリストＴを出力する（図２のステップ４）。

上記のように動作するＭＡＣタグリスト生成装置１０は、以下のように要約することができる。以下、図３を参照して説明する。

メッセージ入力部１０１は、ＭＡＣの対象となるｍ個のアイテムＭ［１］，．．．，Ｍ［ｍ］から構成されるメッセージを入力する。

グループテスト行列生成部１０２は、生成するＭＡＣの数ｓについて、組み合わせグループテストのパラメータであるｔ行ｍ列の２値グループテスト行列Ｈを生成する。

前記メッセージＭ及び２値グループテスト行列Ｈは、復号可能な線形グループテストＭＡＣ適用部１０３に入力される。

復号可能な線形グループテストＭＡＣ適用部１０３は、メッセージＭについて、グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆと、Ｔｗｅａｋａｂｌｅブロック暗号Ｇと、を用いて、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応するタグＴ［ｉ］を生成する。具体的には、復号可能な線形グループテストＭＡＣ適用部１０３は、グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、Ｍ［ｊ］とインデックスｊを擬似ランダム関数Ｆに入力する。そして、復号可能な線形グループテストＭＡＣ適用部１０３は、擬似ランダム関数Ｆに入力して得られた出力すべての和をとり、ｉ番目の中間タグＳ［ｉ］とする。さらに、復号可能な線形グループテストＭＡＣ適用部１０３は、ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅ暗号化関数Ｇで中間タグＳ［ｉ］を暗号化し、得られた出力をタグＴ［ｉ］とする。復号可能な線形グループテストＭＡＣ適用部１０３は、すべてのｊ＝１，．．．，ｔについて、上記ＭＡＣタグＴ［ｉ］の計算を行うことで、ＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）を生成する（図８、９参照）。

そして、ＭＡＣタグリスト出力部１０４は、復号可能な線形グループテストＭＡＣ適用部が求めたＭＡＣタグリストＴを出力する。

以上のような、第１の実施形態の効果は、第２の実施形態のＭＡＣタグリスト検証装置と合わせて説明する。

［第２の実施形態］
続いて、本発明の第２の実施形態として、本発明の第１の実施形態と対をなすＭＡＣタグリスト検証装置について図面を参照して詳細に説明する。図４は、第２の実施形態のＭＡＣタグリスト検証装置の構成を示すブロック図である。図４を参照すると、メッセージ入力部２０１と、グループテスト行列生成および拡大部２０２と、タグ復号部２０３と、復号可能な線形グループテスト中間タグ生成部２０４と、中間タグリスト拡大部２０５と、中間タグリスト検証部２０６と、検証結果出力部２０７と、を備えた構成が示されている。

メッセージ入力部２０１は、対象となるメッセージＭと、第１の実施形態のＭＡＣタグリスト生成装置１０の出力するＭＡＣタグリストＴとを入力する手段である。このようなメッセージ入力部２０１は、例えばキーボードなどの文字入力装置や他の装置からデータを受信する通信インタフェースにより実現できる。

第１の実施形態と同じく、ここでは、メッセージＭがｍ個の個別のアイテムＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）より構成されているものとする。

グループテスト行列生成および拡大部２０２は、第１の実施形態のＭＡＣタグリスト生成装置１０のグループテスト行列生成部１０２が生成するものと同じ行列Ｈと、テスト行列拡大ルールＲを生成する。テスト行列拡大ルールＲは、行列Ｈを基底とした、より行数の多い行列を生成するために必要となるルールである。具体的には、テスト行列拡大ルールＲは、行列Ｈの行インデックスの部分集合である、ｖ個（但し、ｖ＞ｔ）の要素で構成されている。

タグ復号部２０３は、ＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）をそれぞれＴｗｅａｋａｂｌｅブロック暗号Ｇの復号関数で復号し、中間タグＳ［ｉ］＝Ｇ^－１（ｉ，Ｔ［１］）を得て、中間タグリストＳ＝（Ｓ［１］，．．．，Ｓ［ｔ］）を出力する。なお、以下、Ｔｗｅａｋａｂｌｅブロック暗号Ｇによる、Ｔｗｅａｋをｉ、平文をＭとした暗号化処理をＧ（ｉ，Ｍ）と表記し、Ｔｗｅａｋをｉ、暗号文をＣとした復号処理をＧ^－１（ｉ，Ｍ）と表記する。

復号可能な線形グループテスト中間タグ生成手段２０４は、第１の実施形態における復号可能な線形グループテストＭＡＣ適用手段１０３からＧによる暗号化の処理を省いた処理をメッセージＭ、テスト行列Ｈについて行い、検証用中間タグリストＳ^＊＝（Ｓ^＊［１］，．．．，Ｓ^＊［ｔ］）として出力する。

中間タグリスト拡大部２０５は、テスト行列拡大ルールＲに従って、検証用ＭＡＣタグリストＳ^＊の要素を線形結合し、拡大することで検証用拡大ＭＡＣタグリストｅｘＳ^＊を生成する。

ここで、テスト行列拡大ルールＲは、ｖ（但し、ｖ＞ｔ）個の要素Ｒ［１］，．．．，Ｒ［ｖ］からなり、各Ｒ［ｉ］は｛１，．．．，ｔ｝の部分集合である。

このとき、検証用拡大ＭＡＣタグリストはｅｘＳ^＊＝（ｅｘＳ^＊［１］，．．．，ｅｘＳ^＊［ｖ］）と表され、例えばＲ［１］＝｛１，２，４｝であれば、ｅｘＳ^＊［１］＝Ｓ^＊［１］＋Ｓ^＊［２］＋Ｓ^＊［４］となる。

中間タグリスト拡大部２０５は、メッセージ入力部２０１から入力されたＭＡＣタグリストＴの要素も同様にテスト行列拡大ルールＲに従って線形結合し、拡大することで拡大ＭＡＣタグリストｅｘＳ＝（ｅｘＳ［１］，．．．，ｅｘＳ［ｖ］）を生成する。そして、中間タグリスト拡大部２０５は、中間タグリスト検証部２０６に、拡大ＭＡＣタグリストｅｘＳと検証用拡大ＭＡＣタグリストｅｘＳ^＊とを出力する。

中間タグリスト検証部２０６は、検証用拡大ＭＡＣタグリストｅｘＳ^＊と、拡大ＭＡＣタグリストｅｘＳとを、グループテスト行列Ｈおよびテスト行列拡大ルールＲを用いて比較することで、メッセージＭを検証する。具体的には、中間タグリスト検証部２０６は、検証用拡大ＭＡＣタグリストｅｘＳ^＊と、拡大ＭＡＣタグリストｅｘＳとの比較により、メッセージＭに対する改ざんの有無を判定する。さらに、中間タグリスト検証部２０６は、改ざんがあったと判定した場合、改ざんされたアイテムを特定し、検証結果出力部２０７に、そのインデックスを出力する。

ここで、中間タグリスト検証部２０６によるメッセージ検証動作の仕組みについて説明する。

まず、グループテスト行列Ｈをテスト行列拡大ルールＲにより拡大した行列、すなわちＲ＝（Ｒ［１］，．．．，Ｒ［ｖ］）について、Ｒ［ｉ］が指定する行列Ｈの行の線形結合をｉ行目とするｖ（ｖ＞ｔ）行ｍ列行列を拡大テスト行列ｅｘＨとする。

ここで、拡大テスト行列ｅｘＨのｉ行目をｅｘＨ［ｉ］とすると、
（式３）
ｅｘＨ［ｉ］＝ＸＯＲ＿｛ｉ：ｉ∈Ｒ［ｉ］｝Ｈ［ｉ］
となる（ＸＯＲ＿Ｓは集合Ｓに含まれるものすべてについての排他的論理和）。なお、グループテスト行列Ｈそのものもテストとして用いることが自然であり、その場合、ｅｘＨはＨを含む。

これは例えば、Ｒ［ｉ］＝｛ｉ｝ｆｏｒｔ＝１，…，ｔとして実現することが可能である。

このとき、ｅｘＳ^＊＝（ｅｘＳ^＊［１］，．．．，ｅｘＳ^＊［ｖ］）とｅｘＳ＝（ｅｘＳ［１］，．．．，ｅｘＳ［ｖ］）について、両者のエントリごとの差をとる。そして、差がゼロのケースを０、非ゼロとなるケースを１とした２値ベクトルＢ＝（Ｂ［１］，．．．，Ｂ［ｖ］）を作り、Ｂに対し、拡大テスト行列ｅｘＨを用いた所定の手続きに基づき結果を出力する。

具体的には、Ｂのエントリがすべて０であった場合、中間タグリスト検証部２０６は改ざんがないと判定し、それ以外の場合は全体において、少なくとも一つのアイテムに改ざんがあると判定し、改ざんされたアイテムの特定を行う。より具体的には、中間タグリスト検証部２０６は、Ｂ［ｉ］＝０となるすべてのｉ＝１，．．．，ｖについて、ｅｘＨのｉ行目ベクトルＶ＝（Ｖ［１］，．．．，Ｖ［ｍ］）をとりだし、Ｖ［ｊ］＝１となるすべてのｊ＝１，．．．，ｍについてＭ［ｊ］を改ざんなしと判定する。

中間タグリスト検証部２０６は、以上の処理を行い、改ざんなしと判定されなかったアイテムすべてを改ざんありと判定し、そのインデックスすべてを出力する。改ざんがない場合にはどのインデックスも出力されない。

グループテストにおいて、この手続きは拡大テスト行列ｅｘＨをテスト行列とした場合のナイーブデコーダ（ｎａｉｖｅｄｅｃｏｄｅｒ）と呼ばれる処理に相当する。

拡大テスト行列ｅｘＨがｄ－ｄｉｓｊｕｎｃｔであれば、上記の手続きにより、改ざんされたアイテムの数がｄ以下の場合、すべての改ざんされたアイテムを特定することが可能である。

また、非特許文献５［ＣＪＳ０９］に記載のように、改ざんなしと判定されたアイテムが実際は改ざんされていたということは起きないため、所望のｄについてｄ－ｄｉｓｊｕｎｃｔでない場合であっても、一般に、改ざんの可能性がある範囲を狭めることができるという効果がある。

検証結果出力部２０７は、中間タグリスト検証部２０６の出力する、改ざんされたアイテムのインデックスの情報をコンピュータディスプレイやプリンターなどへ出力する。

以上のようなＭＡＣタグリスト検証装置２０はＣＰＵとメモリとディスクにより実現可能である。ＭＡＣタグリスト生成装置の各処理ユニットは、プログラムをディスクに格納しておき、このプログラムをＣＰＵ上で動作させることにより実現することができる（図１１参照）。

続いて、図５のフローチャートを参照して、第２の実施形態の全体の動作について詳細に説明する。まず、メッセージ入力部２０１が、対象となるｍ個のアイテムからなるメッセージＭと、ＭＡＣタグリストＴとを入力する（図５のステップ１０１）。

次に、グループテスト行列生成および拡大部２０２が、ｔ行ｍ列の２値行列であるグループテスト行列Ｈとテスト行列拡大ルールＲを生成する（図５のステップ１０２）。

次に、タグ復号部２０３が、ＭＡＣタグリストＴの各タグＴ［１］，．．．，Ｔ［ｔ］をＴｗｅａｋａｂｌｅブロック暗号Ｇの復号関数で復号し、中間タグＳ［１］，．．．，Ｓ［ｔ］を得て、中間タグリストＳ＝（Ｓ［１］，．．．，Ｓ［ｔ］）を作成する（図５のステップ１０３）。

次に、復号可能な線形グループテスト中間タグ生成部２０４が、グループテスト行列Ｈを参照して、メッセージＭに対して、擬似ランダム関数Ｆを用いた線形グループテストＭＡＣの中間タグ生成を行い、検証用中間タグリストＳ^＊＝（Ｓ^＊［１］，．．．，Ｓ^＊［ｔ］）を生成する（図５のステップ１０４）。

次に、中間タグリスト拡大部２０５が、ＭＡＣタグリストＳと検証用ＭＡＣタグリストＳ^＊との双方をテスト行列拡大ルールＲに従って線形結合をとることで拡大し、それぞれ拡大ＭＡＣタグリストｅｘＳと検証用拡大ＭＡＣタグリストｅｘＳ^＊を生成する（図５のステップ１０５）。

次に、中間タグリスト検証部２０６が、拡大中間タグリストｅｘＳと検証用拡大中間タグリストｅｘＳ^＊の要素ごとの比較結果と、テスト行列Ｈの行を拡大ルールＲに従って拡大した拡大テスト行列ｅｘＨとを用いて、メッセージＭ中の改ざんされたアイテムのインデックス集合を出力する（図５のステップ１０６）。

最後に、検証結果出力部２０７は、検証結果として、中間タグリスト検証部２０６にて検出された改ざんされたアイテムのインデックス集合を出力する（図５のステップ１０７）。

上記のように動作するＭＡＣタグリスト検証装置２０は、以下のように要約することができる。以下、図６を参照して説明する。

メッセージ入力部２０１は、ＭＡＣタグリスト検証の対象となる、ｍ個のアイテムからなるメッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）とｔ個のＭＡＣのリストであるＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）を入力する。

グループテスト行列生成および拡大部２０２は、ｔ行ｍ列の２値グループテスト行列Ｈを生成する。さらに、グループテスト行列生成および拡大部２０２は、グループテスト行列Ｈの行インデックスの部分集合である、ｖ個（但し、ｖ＞ｔ）の要素Ｒ［ｉ］で構成されたテスト行列拡大ルールＲを出力する。

タグ復号部２０３は、ＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）の要素Ｔ［ｉ］を、ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号Ｇの復号関数で復号した結果を中間タグＳ［ｉ］とする。タグ復号部２０３は、すべてのｉ＝１，．．．，ｔについて中間タグＳ［ｉ］の計算を行い、中間タグリストＳ＝（Ｓ［１］，．．．，Ｓ［ｔ］）を得る。

復号可能な線形グループテスト中間タグ生成部２０４は、メッセージＭについて、グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆを用いて、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応する検証用中間タグＳ^＊［ｉ］を生成する。具体的には、復号可能な線形グループテスト中間タグ生成部２０４は、グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、Ｍ［ｊ］とインデックスｊを擬似ランダム関数Ｆに入力し、得られたＦの出力のすべての和をとり、ｉ番目の検証用中間タグＳ^＊［ｉ］とする。復号可能な線形グループテスト中間タグ生成部２０４は、すべてのｊ＝１，．．．，ｔについて、検証用中間タグＳ^＊［ｉ］の計算を行い、検証用中間タグリストＳ^＊＝（Ｓ^＊［１］，．．．，Ｓ^＊［ｔ］）を生成する。

中間タグリスト拡大部２０５は、中間タグリストＳと検証用中間タグリストＳ^＊とテスト行列拡大ルールＲとを用いて、Ｒが指定する行インデックスの部分集合に対応してＳとＳ^＊をそれぞれで線形結合を行い、拡大中間タグリストｅｘＳ、検証用拡大中間タグリストｅｘＳ^＊を出力する。

中間タグリスト検証部２０６は、拡大中間タグリストｅｘＳと検証用拡大中間タグリストｅｘＳ^＊とを比較して、メッセージＭの中の各アイテムの検証および改ざん位置の特定を行い、検証結果として出力する。

そして、検証結果出力部２０７は、中間タグリスト検証部２０６から出力された検証結果を出力する。

以上のような、第１、第２の実施形態によれば、組み合わせグループテストを用いて改ざん位置を特定するメッセージ認証において、非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］などの手法よりもタグの数を削減できるという効果が奏出される。その理由は、非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］ではｔ行ｍ列テスト行列に従って生成したｔ個のタグのみを改ざん特定に用いていたのに対して、第１、第２の実施形態では、タグの線形結合も改ざん特定に用いるように構成したことにある。従来技術ではタグが入力メッセージについて疑似ランダム関数を適用した出力となっているために、タグの線形結合は何の有用な情報ももたらさない。

また、非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］では、タグが入力メッセージについて疑似ランダム関数を適用した出力となっているために、タグの線形結合は何の有用な情報ももたらさない。一方、第１、第２の実施形態では、復号可能なＴｗｅａｋａｂｌｅブロック暗号によって中間タグの値を暗号化してタグを生成することにより、タグを復号して得られる中間タグがある種の線形性を持っており、これにより中間タグどうしの和を新たなテストとして用いることが可能である。

例えば第１の実施形態において、Ｔｗｅａｋａｂｌｅブロック暗号Ｇによる、Ｔｗｅａｋをｉ、平文をＭとした暗号化処理をＧ（ｉ，Ｍ）と表記し、Ｔｗｅａｋをｉ、暗号文をＣとした復号処理をＧ^－１（ｉ，Ｍ）と表記する。このときＧ^－１（ｉ，Ｇ（ｉ，Ｍ））＝Ｍが任意のｉとＭで成立する。

Ｔｗｅａｋａｂｌｅブロック暗号は非特許文献１０［ＬＲＷ］で定義されている。Ｔｗｅａｋａｂｌｅブロック暗号は通常のブロック暗号の入出力（平文Ｍ，鍵Ｋ，暗号文Ｃ）に加えて、Ｔｗｅａｋと呼ばれる付加的情報ｔを持つ。鍵とｔｗｅａｋの対を指定することで暗号化と復号が可能となる。ｔｗｅａｋは鍵とは異なり公開可能な値である。

次に、第１の実施形態において、Ｈの１行目が（１１００．．．０）と２行目が（０１１００．．．０）であったとすると、対応するタグは、
Ｔ［１］＝Ｇ（１，Ｓ［１］），Ｓ［１］＝Ｆ（Ｍ［１］，１）＋Ｆ（Ｍ［２］，２）
Ｔ［２］＝Ｇ（２，Ｓ［２］），Ｓ［２］＝Ｆ（Ｍ［２］，２）＋Ｆ（Ｍ［３］，３）
となる（＋はビットごとの排他的論理和を表す）。
ここで排他的論理和の性質により
Ｓ［１］＋Ｓ［２］＝Ｆ（Ｍ［１］，１）＋Ｆ（Ｍ［３］，３）
となるため、中間タグの和Ｓ［１］＋Ｓ［２］は（Ｍ［１］，Ｍ［３］）に改ざんがあるかどうかを検証する（実質的な）タグとして機能する。

これはＴ［１］，Ｔ［２］のみを用いた改ざん同定では得られない情報である。例えばＴ［１］とＴ［２］のみを用いた通常の検証では、Ｔ［１］，Ｔ［２］ともに検証ＮＧとなり、Ｍ［２］が改ざんされたのか、あるいはＭ［１］とＭ［３］が改ざんされたのかの二つの可能性が残されている場合、これ以上の切り分けは不可能である。一方、本実施形態では、Ｓ［３］＝Ｓ［１］＋Ｓ［２］を求め、もしＳ［３］の検証がＯＫであった場合にはＭ［２］が改ざんされたと特定できることになる。

具体的な手続きとしては、検証者は（Ｍ，Ｔ）を受信したのち、タグリストＴ＝（Ｔ［１］，Ｔ［２］）の各要素をそれぞれＧ^－１で以下のように復号し、中間タグリストＳ＝（Ｓ［１］，Ｓ［２］）を得る：
Ｓ［１］＝Ｇ^－１（１，Ｔ［１］）
Ｓ［２］＝Ｇ^－１（２，Ｔ［２］）

併せて、受信したメッセージＭ＝（Ｍ［１］，Ｍ［２］，Ｍ［３］）から検証用中間タグリストＳ^＊＝（Ｓ^＊［１］，Ｓ^＊［２］）を得る：
Ｓ^＊［１］＝Ｆ（Ｍ［１］，１）＋Ｆ（Ｍ［２］，２）
Ｓ^＊［２］＝Ｆ（Ｍ［２］，２）＋Ｆ（Ｍ［３］，３）

そして、新たな中間タグＳ［３］、検証用中間タグＳ^＊［３］の値を求める：
Ｓ［３］＝Ｓ［１］＋Ｓ［２］
Ｓ^＊［３］＝Ｓ^＊［１］＋Ｓ^＊［２］

これによりＳ［１］とＳ^＊［１］，Ｓ［２］とＳ^＊［２］、そしてＳ［３］とＳ^＊［３］のそれぞれの比較が可能となる。

また、テスト行列拡大ルールＲは、どのタグの和をとるかを指示するものであり、グループテスト行列Ｈの行インデックスの部分集合を要素とした集合である。上の例ではテスト行列拡大ルールＲの要素として集合｛１，２｝があることに相当する。

より一般的には、非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］に記載のグループテスト行列Ｈを用いるならば、第１、第２の実施形態ではグループテスト行列ＨのＧＦ（２）基底Ｈ＿ｂ（ｂａｓｉｓｏｖｅｒＧＦ（２））を用いることができる。

Ｈ＿ｂの行数はもとのグループテスト行列Ｈの線形独立な行の数（すなわち行列のランク）であり、最悪でも元の行数と一致するため、行数の削減（すなわち送信するタグリストの要素数の削減）が期待できる。

また、実質的に、グループテスト行列ＨのＧＦ（２）基底Ｈ＿ｂからグループテスト行列Ｈと同じテストが実行可能であるため、改ざんアイテムの特定能力は、グループテスト行列Ｈを用いる非特許文献３［ＧＡＴ０５］、非特許文献４［Ｍｉｎ１５］等の方式と同等である。

なお、第１、第２の実施形態で用いるタグ生成の関数は、非特許文献８［ＢＧＲ９５］に記載のＸＯＲ－ＭＡＣの変種と捉えることができる。ただし、非特許文献８［ＢＧＲ９５］は単体のＭＡＣ関数の提案であり、グループテストの利用や改ざんアイテムの特定に関する記載はない。

以上のような第１、第２の実施形態の構成は、図７に示すようなストレージシステムに好適に適用することができる。即ち、大規模ストレージ（ＬａｒｇｅＳｔｏｒａｇｅ（ＤＢ））に格納されたメッセージＭについて、復号可能な線形グループテストＭＡＣ適用部（ＬｉｎｅａｒＤｅｔｅｒｍｉｎｉｓｔｉｃＣＧＴＭＡＣｔａｇｇｉｎｇ）にて、ＭＡＣタグリストの生成を行う構成が、第１の実施形態のＭＡＣタグリスト生成装置１０に相当する。そして、これらについて、復号可能な線形グループテスト中間タグ生成部（ＬｉｎｅａｒＤｅｔｅｒｍｉｎｉｓｔｉｃＣＧＴＭＡＣｉｎｔｅｒｍｅｄｉａｔｅｔａｇｇｉｎｇ）にて検証用中間タグリストＳ^＊を作成し、中間タグリストＳ及び検証用ＭＡＣタグリストＳ^＊についてそれぞれテスト行列拡大ルールＲを用いて、拡大ＭＡＣタグリストｅｘＳ、検証用拡大ＭＡＣタグリストｅｘＳ^＊を作成し、改ざんの有無や場所を特定する構成が、第２の実施形態のＭＡＣタグリスト検証装置２０に相当する。

［第３の実施形態］
続いて、上記した第１、第２の実施形態におけるグループテスト行列Ｈに変更を加えた第３の実施形態について説明する。

［例２］で示したＭａｃｕｌａの行列を一般的にすると、以下のように生成される。
正の整数ａ，ｂについて（ａ，ｂ）＝ａ！／（ａ－ｂ）！ｂ！をａ個からｂ個選択する場合の数とし、（（ａ，ｂ））を集合｛１，２，．．．，ａ｝の大きさｂの部分集合の全体とする。

このとき、Ｍａｃｕｌａ行列はパラメータ（ｎ，ｋ，ｄ）に対して、（ｎ，ｄ）ｘ（ｎ，ｋ）行列であり、適当な順序で列と行のインデックスを（（ｎ，ｄ））の要素と（（ｎ，ｋ））の要素に対応させたうえで、ある（（ｎ，ｄ））の要素Ｄが（（ｎ，ｋ））の要素ＫについてＤがＫに含まれるときに、行列の（Ｄ，Ｋ）エントリを１とし、それ以外を０とするものである。

非特許文献９［Ｍ９６］に示されているように、Ｍａｃｕｌａ行列はｄ－ｄｉｓｊｕｎｃｔである。

［例２］で示した行列の行インデックスを入れ替えて得られる
［１１００］
［１０１０］
［０１１０］
［１００１］
［０１０１］
［００１１］
は、このＭａｃｕｌａ行列のパラメータ（ｎ＝４，ｋ＝３，ｄ＝２）に相当し、従って２－ｄｉｓｊｕｎｃｔである。

このＧＦ（２）基底がテスト行列Ｈとなる。ＧＦ（２）基底は一般に一意ではない。なお、［例２］に従った行インデックスのもとで、拡大テスト行列ｅｘＨ、テスト行列Ｈ、拡大ルールＲを記述すると以下のようになる。
・拡大テスト行列ｅｘＨ
［１００１］
［０１０１］
［００１１］
［１１００］
［１０１０］
［０１１０］
・テスト行列Ｈ
［１００１］
［０１０１］
［００１１］
・拡大ルールＲ
拡大ルールＲはテスト行列Ｈの行の和でｅｘＨの行列の各行を表現するので、以下のようになる。
Ｒ＝（Ｒ［１］，．．．，Ｒ［６］），
Ｒ［１］＝｛１｝
Ｒ［２］＝｛２｝
Ｒ［３］＝｛３｝
Ｒ［４］＝｛１，２｝
Ｒ［５］＝｛１，３｝
Ｒ［６］＝｛２，３｝

したがって、アイテム数ｍ＝４，テスト数ｔ＝３で２アイテムの改ざん特定が可能となっている。

このようにパラメータによってＭａｃｕｌａ行列の行数が列数より大きい、すなわちそのままではｄ－ｄｉｓｊｕｎｃｔ行列として無意味なものであっても、［例２］のように、そのＧＦ（２）基底を用いることで、列数より小さいテスト行列を構成することが可能である。

第３の実施形態は、以下のように要約される。上記したＭＡＣタグリスト生成装置１０のグループテスト行列生成部１０２及びＭＡＣタグリスト検証装置２０のグループテスト行列生成および拡大部２０２は、以下にて規定されるグループテスト行列Ｈを生成する。

具体的には、ｔ行ｍ列のグループテスト行列Ｈは、正の整数のパラメータ（ｎ，ｋ，ｄ）を持つＭａｃｕｌａ行列で構成される。即ち、正の整数ａ，ｂについて（ａ，ｂ）＝ａ！／（ａ－ｂ）！ｂ！をａ個からｂ個選択する場合の数とし、（（ａ，ｂ））を集合｛１，２，．．．，ａ｝の大きさｂの部分集合の全体とする。そして、このグループテスト行列Ｈは、（ｎ，ｄ）行（ｎ，ｋ）列２値行列であり、適当な順序で列と行のインデックスを（（ｎ，ｄ））の要素と（（ｎ，ｋ））の要素に対応させたうえで、ある（（ｎ，ｄ））の要素Ｄが（（ｎ，ｋ））の要素Ｋについて、要素Ｄが要素Ｋに含まれるときに、行列の（Ｄ，Ｋ）エントリを１とし、それ以外を０とする、という行列の有限体ＧＦ（２）上の基底からなる。

［第４の実施形態］
続いて、上記した第１、第２の実施形態におけるグループテスト行列Ｈに変更を加えた第４の実施形態について図面を参照して説明する。

第４の実施形態におけるｔ行ｍ列のグループテスト行列Ｈは、ある整数ｒについてｍ＝２^ｒ－１とし、グループテスト行列Ｈをテスト行列拡大ルールＲで拡大した行列ｅｘＨが、ｍ＋１行ｍ＋１列のアダマール行列Ｈａｄ（ｒ）から１行目と１列目を削除し、１と－１からなるエントリのうち、－１を０で置き換えた行列（これをｍｏｄＨａｄ（ｒ）と表記する）となるものである。

グループテスト行列Ｈは、ｍｏｄＨａｄ（ｒ）の基底となる部分行列（一般に複数存在する）を選べばよく、テスト行列拡大ルールＲは、この部分行列の行和でｍｏｄＨａｄ（ｒ）をなすように選ばれる。このときｔはｒ＋１となる。

［例３］例えばｒ＝３であれば、Ｈａｄ（ｒ）は
［１１１１１１１１］
［１－１１－１１－１１－１］
［１１－１－１１１－１－１］
［１－１－１１１－１－１１］
［１１１１－１－１－１－１］
［１－１１－１－１１－１１］
［１１－１－１－１－１１１］
［１－１－１１－１１１－１］
となり、
ｍｏｄＨａｄ（ｒ）、すなわちｅｘＨは
［０１０１０１０］
［１００１１００］
［００１１００１］
［１１１００００］
［０１００１０１］
［１００００１１］
［００１０１１０］
となる。

グループテスト行列Ｈは、この基底の一つである
［０１０１０１０］
［１００１１００］
［００１１００１］
［１１１００００］
となり、対応するテスト行列拡大ルールＲは（｛１｝，｛２｝，｛３｝，｛４｝，｛２，３，４｝，｛１，３，４｝，｛１，２，４｝）となる。

この拡大したテスト行列ｅｘＨは任意のｒ＞１について２－ｄｉｓｊｕｎｃｔであり、従って２アイテム改ざんをｒ＋１＝ｌｏｇｍ＋１タグで同定することが可能である。

本実施形態によれば、このようにほぼｌｏｇｍのテスト数を用いて２アイテムまでの改ざんを同定でき、２－ｄｉｓｊｕｎｃｔ行列そのものをグループテスト行列Ｈとして用いる方式よりも大幅に効率が向上されることになる。

第４の実施形態は、以下のように要約される。上記したＭＡＣタグリスト生成装置１０のグループテスト行列生成部１０２及びＭＡＣタグリスト検証装置２０のグループテスト行列生成および拡大部２０２は、以下にて規定されるグループテスト行列Ｈを生成する。

ある整数ｒ＞１についてｍ＝２^ｒ－１，ｔ＝ｒを満たし、ｍ＋１行ｍ＋１列のアダマール行列Ｈａｄ（ｒ）から第１行目と第１列目を削除し、さらにアダマール行列の要素である－１と１のうち、－１を０とすることで得られるｍ行ｍ列バイナリ行列ｍｏｄＨａｄ（ｒ）をとり、グループテスト行列Ｈはこの行列の有限体ＧＦ（２）上の基底からなり、テスト行列拡大ルールＲは、グループテスト行列Ｈをテスト行列拡大ルールＲに従って行の拡大を行った場合にｍｏｄＨａｄ（ｒ）となる。

［第５の実施形態］
続いて、上記した第１、第２の実施形態におけるグループテスト行列Ｈに変更を加えた第５の実施形態について説明する。

第５の実施形態におけるグループテスト行列Ｈは、正整数ｓについて行数と列数が共に２^（２ｓ）＋２^ｓ＋１の正方行列Ｐの一次独立なｔ個の行ベクトルからなる部分行列であって、前記正方行列Ｐは、有限体ＧＦ（２^ｓ）を座標成分とする２次元射影空間上のすべての点と直線から定まる接続行列であり、テスト行列拡大ルールＲによって生成されるテストベクトルを前記正方行列Ｐの全ての行ベクトルとする。

前記正方行列Ｐの各行は、前記有限体ＧＦ（２^ｓ）を座標成分とする２次元射影空間における２^（２ｓ）＋２^ｓ＋１個の点に対応し、Ｐの各列は２次元射影空間内の２^（２ｓ）＋２^ｓ＋１個の直線に対応する。Ｐの第（ｉ，ｊ）成分は、２次元射影空間の第ｉ番目の点を第ｊ番目の直線が通過する場合に限って１とし、そうでない場合は０とする。Ｐの一次独立な行ベクトル数ｔはｔ＝３^ｓ＋１であって、これらＰの一次独立な行ベクトルからなる（３^ｓ＋１）×（２^（２ｓ）＋２^ｓ＋１）行列がグループテスト行列Ｈとなる。正方行列Ｐは（２^ｓ）－ｄｉｓｊｕｎｃｔであり、テスト行列拡大ルールＲによって生成されるテストベクトル全体を前記正方行列Ｐの全ての行ベクトルとすることにより、２^ｓ個以下の改ざん位置を特定することができる。

［例４］
例えばｓ＝１の時、有限体ＧＦ（２）を座標成分とする２次元射影空間の点の数と直線の数は共に７であり、７個の点の各々に対して７個の直線の各々が通過するか否かによって定められる接続行列は次の［数１］のように計算される。
［数１］

Ｐの第１行から第４行の４つの行ベクトルは一次独立であって、この４つの行ベクトルからなる４×７行列をグループテスト行列Ｈとし、テスト行列拡大ルールＲによって生成されるテスト行列をＰとすれば、行列Ｐは２－ｄｉｓｊｕｎｃｔであるため、２個以下の改ざん位置を特定可能となる。

表１は、本実施形態により生成されるテスト行列のサイズをｓ＝１から１３まで示したものである。第２カラムは正方行列Ｐの行数（列数）であり、ランク、閾値はそれぞれＰのランクとｄｉｓｊｕｎｃｔパラメータを表す。すなわちランクｘ、閾値ｙであれば、グループテスト行列Ｈは行数ｘで、テスト行列拡大ルールＲにより拡大されたグループテスト行列Ｈ（すなわちＨ^Ｒ）は、ｙ－ｄｉｓｊｕｎｃｔとなっている。
［表１］

第５の実施形態は、以下のように要約される。上記したＭＡＣタグリスト生成装置１０のグループテスト行列生成部１０２及びＭＡＣタグリスト検証装置２０のグループテスト行列生成および拡大部２０２は、以下にて規定されるグループテスト行列Ｈを生成する。

グループテスト行列Ｈが、正整数ｓについて行数と列数が共に２^（２ｓ）＋２^ｓ＋１の正方行列Ｐの一次独立なｔ個の行ベクトルからなる部分行列であって、前記正方行列Ｐは、有限体ＧＦ（２^ｓ）を座標成分とする２次元射影空間上の点と直線によって定まる接続行列であり、テスト行列拡大ルールＲによって生成されるテストベクトルが前記正方行列Ｐの全ての行ベクトルである。

［第６の実施形態］
続いて、上記した第１、第２の実施形態におけるグループテスト行列Ｈに変更を加えた第６の実施形態について説明する。

第６の実施形態におけるグループテスト行列Ｈは、正整数ｓと３以上２^ｓ＋１以下の整数ｒについて、行数がｒ×（２^ｓ－１）＋１、列数が２^（２ｓ）－１＋ｒの行列Ａ＿ｒにおける一次独立なｔ個の行ベクトルからなる部分行列であって、前記行列Ａ＿ｒは、有限体ＧＦ（２^ｓ）を座標成分とする２次元アフィン空間の原点を通過する予め指定したｒ本の直線上にあるｒ×（２^ｓ－１）＋１個の点と、それらの点のいずれかを通過する２^（２ｓ）－１＋ｒ本の直線によって定まる接続行列であり、テスト行列拡大ルールＲによって生成されるテストベクトルを前記行列Ａ＿ｒの全ての行ベクトルとする。

Ａ＿ｒの第（ｉ，ｊ）成分は、２次元アフィン空間の前記ｒ×（２^ｓ－１）＋１個の点からなる集合の第ｉ番目の点を、前記２^（２ｓ）－１＋ｒ本の直線の集合における第ｊ番目の直線が通過する場合に限って１とし、そうでない場合は０とする。行列Ａ＿ｒの一次独立な行ベクトル数ｔは次式［数２］で与えられる。
［数２］

行列Ａ＿ｒのｔ個の一次独立な行ベクトルからなるｔ×（２＾（２ｓ）－１＋ｒ）行列がグループテスト行列Ｈとなる。行列Ａ＿ｒは（ｒ－２）－ｄｉｓｊｕｎｃｔであり、テスト行列拡大ルールＲによって生成されるテストベクトル全体を前記行列Ａ＿ｒの全ての行ベクトルとすることにより、ｒ－２個以下の改ざん位置を特定することができる。

［例５］
例えばｓ＝２の時、有限体ＧＦ（４）を座標成分とする２次元アフィン平面において、原点を通過する３本の直線上にある合計１０個の点について、それらのいずれかを通過する直線は１８本あり、これの直線が前記１０個の点を通過するか否かによって定められる接続行列は次の［数３］のように計算される。

［数３］

Ａ＿３の第１行から第８行の８つの行ベクトルは一次独立であって、この８つの行ベクトルからなる８×１８行列をグループテスト行列Ｈとし、テスト行列拡大ルールＲによって生成されるテスト行列をＡ＿３とすれば、Ａ＿３は１－ｄｉｓｊｕｎｃｔであるため、本実施形態により１個の改ざん位置を特定可能となる。

下記［表２］は本発明により生成される行列Ａ＿ｒのサイズをｒ＝２^ｓ＋１に固定し、ｓ＝１から１３まで示したものである。［表１］と同様に第２カラム、第３カラムはＡ＿ｒの行数と列数であり、ランク、閾値はそれぞれＡ＿ｒのランクとｄｉｓｊｕｎｃｔパラメータを表す。すなわちランクｘ，閾値ｙであれば、グループテスト行列Ｈは行数ｘで、テスト行列拡大ルールＲにより拡大されたテスト行列Ａ＿ｒ（すなわちＨ^Ｒ）はｙ－ｄｉｓｊｕｎｃｔとなっている。

［表２］

第６の実施形態は、以下のように要約される。上記したＭＡＣタグリスト生成装置１０のグループテスト行列生成部１０２及びＭＡＣタグリスト検証装置２０のグループテスト行列生成および拡大部２０２は、以下にて規定されるグループテスト行列Ｈを生成する。

グループテスト行列Ｈが、正整数ｓと３以上２^ｓ＋１以下の整数ｒについて、行数がｒ×（２^ｓ－１）＋１、列数が２^（２ｓ）－１＋ｒの行列Ａ＿ｒにおける一次独立なｔ個の行ベクトルからなる部分行列であって、前記行列Ａ＿ｒは、有限体ＧＦ（２^ｓ）を座標成分とする２次元アフィン空間の原点を通過する予め指定したｒ本の直線上にあるｒ×（２^ｓ－１）＋１個の点と、それらの点のいずれかを通過する２^（２ｓ）－１＋ｒ本の直線によって定まる接続行列であり、前記テスト行列拡大ルールＲによって生成されるテストベクトルが前記行列Ａ＿ｒの全ての行ベクトルである。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示した装置構成、各要素の構成、回路の表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ及びＢの少なくともいずれかという意味で用いる。また、図中の各ブロックの入出力の接続点には、ポート乃至インタフェースがあるが図示省略する。

また、上記した第１～第６の実施形態に示した手順は、ＭＡＣタグリスト生成装置１０及びＭＡＣタグリスト検証装置２０の構成装置として機能するコンピュータ（図１１の９０００）に、これらの装置としての機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図１１のＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）９０１０、通信インタフェース９０２０、メモリ９０３０、補助記憶装置９０４０を備える構成に例示される。すなわち、図１１のＣＰＵ９０１０にて、タグリスト計算プログラムやタグリスト検証プログラムを実行し、その補助記憶装置９０４０等に保持された各計算パラメータの更新処理を実施させればよい。

また、上記した実施形態において、グループテスト行列Ｈが、すべての要素が１である行を含んでいることが好ましい。全ての要素が１である行を含んでいるグループテスト行列Ｈを用いることで、改ざん個所特定の目的だけでなく、選択平文攻撃を行う攻撃者に対するＭＡＣとしての安全性も保証される。上記した実施形態の変形実施形態として、グループテスト行列生成部１０２又はグループテスト行列生成および拡大部２０２がそのような行を持つグループテスト行列Ｈを生成する構成も採用可能である。

即ち、上記した第１～第６の実施形態に示した各装置の各部（処理手段、機能）は、これらの装置に搭載されたプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。

最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点によるＭＡＣタグリスト生成装置参照）
［第２の形態］
上記したＭＡＣタグリスト生成装置において、前記グループテスト行列Ｈとして、
正の整数ａ，ｂについて（ａ，ｂ）＝ａ！／（ａ－ｂ）！ｂ！をａ個からｂ個選択する場合の数とし、
（（ａ，ｂ））を集合｛１，２，．．．，ａ｝の大きさｂの部分集合の全体としたうえで、
（ｎ，ｄ）×（ｎ，ｋ）２値行列であり、適当な順序で列と行のインデックスを（（ｎ，ｄ））の要素と（（ｎ，ｋ））の要素に対応させたうえで、ある（（ｎ，ｄ））の要素Ｄが（（ｎ，ｋ））の要素Ｋについて、
前記要素Ｄが前記要素Ｋに含まれるときに、
前記グループテスト行列Ｈの（Ｄ，Ｋ）エントリを１とし、それ以外を０とする行列の有限体ＧＦ（２）上の基底からなる、正の整数のパラメータ（ｎ，ｋ，ｄ）を持つＭａｃｕｌａ行列を用いることができる。
［第３の形態］
上記したＭＡＣタグリスト生成装置において、
ある整数ｒ＞１についてｍ＝２^ｒ－１，ｔ＝ｒを満たし、
ｍ＋１行ｍ＋１列のアダマール行列Ｈａｄ（ｒ）から第１行目と第１列目を削除し、さらに行列要素である－１と１のうち、－１を０とすることで得られるｍ行ｍ列バイナリ行列ｍｏｄＨａｄ（ｒ）をとり、前記グループテスト行列Ｈはこの行列の有限体ＧＦ（２）上の基底からなり、
前記テスト行列拡大ルールＲは、前記グループテスト行列Ｈを前記テスト行列拡大ルールＲに従って行の拡大を行った場合にｍｏｄＨａｄ（ｒ）とすることができる。
［第４の形態］
上記したＭＡＣタグリスト生成装置において、
グループテスト行列Ｈが、正整数ｓについて行数と列数が共に２^（２ｓ）＋２^ｓ＋１の正方行列Ｐの一次独立なｔ個の行ベクトルからなる部分行列であって、
前記正方行列Ｐは、有限体ＧＦ（２^ｓ）を座標成分とする２次元射影空間上の点と直線によって定まる接続行列であり、
前記テスト行列拡大ルールＲによって生成されるテストベクトルが前記正方行列Ｐの全ての行ベクトルであってもよい。
［第５の形態］
上記したＭＡＣタグリスト生成装置において、
前記グループテスト行列Ｈが、正整数ｓと３以上２^ｓ＋１以下の整数ｒについて、行数がｒ×（２^ｓ－１）＋１、列数が２^（２ｓ）－１＋ｒの行列Ａ＿ｒにおける一次独立なｔ個の行ベクトルからなる部分行列であって、
前記行列Ａ＿ｒは、有限体ＧＦ（２^ｓ）を座標成分とする２次元アフィン空間の原点を通過する予め指定したｒ本の直線上にあるｒ×（２^ｓ－１）＋１個の点と、それらの点のいずれかを通過する２^（２ｓ）－１＋ｒ本の直線によって定まる接続行列であり、
前記テスト行列拡大ルールＲによって生成されるテストベクトルが前記行列Ａ＿ｒの全ての行ベクトルであってもよい。
［第６の形態］
（上記第２の視点によるＭＡＣタグリスト検証装置参照）
［第７の形態］
（上記第３の視点によるＭＡＣタグリスト生成方法参照）
［第８の形態］
（上記第４の視点によるＭＡＣタグリスト検証方法参照）
［第９の形態］
（上記第５の視点によるコンピュータプログラム参照）
なお、上記第６～第９の形態は、第１の形態と同様に、第２～第５の形態に展開することが可能である。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

本発明は、無線もしくは有線のデータ通信、あるいは、データベース、ファイルシステム、ウィルススキャン、バージョン管理システムにおける改ざんの検知と改ざん位置特定といった用途に適用できる。

１０ＭＡＣタグリスト生成装置
２０ＭＡＣタグリスト検証装置
１０１メッセージ入力部
１０２グループテスト行列生成部
１０３復号可能な線形グループテストＭＡＣ適用部
１０４ＭＡＣタグリスト出力部
２０１メッセージ入力部
２０２グループテスト行列生成および拡大部
２０３タグ復号部
２０４復号可能な線形グループテスト中間タグ生成部
２０５中間タグリスト拡大部
２０６中間タグリスト検証部
２０７検証結果出力部
９０００コンピュータ
９０１０ＣＰＵ
９０２０通信インタフェース
９０３０メモリ
９０４０補助記憶装置

Claims

メッセージ認証コード（ＭＡＣ）の対象となるｍ個のアイテムＭ［１］，．．．，Ｍ［ｍ］から構成されるメッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）を入力するメッセージ入力部と、
生成する前記ＭＡＣの数ｓ（ｓは正の整数）について、組み合わせグループテストのパラメータであるｔ行ｍ列のグループテスト行列Ｈを生成するためのグループテスト行列生成部と、
前記メッセージＭについて、前記グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆと、前記グループテスト行列Ｈの行インデックスをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号Ｇを用いて、
前記グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、前記擬似ランダム関数Ｆに前記Ｍ［ｊ］と前記インデックスｊとを入力し、得られた前記擬似ランダム関数Ｆの出力のすべての和をとり、ｉ番目の中間タグＳ［ｉ］とし、
前記ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号ＧのＴｗｅａｋａｂｌｅ暗号化関数で前記中間タグＳ［ｉ］を暗号化して得られた出力を、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応するタグＴ［ｉ］とする処理を、すべてのｉ＝１，．．．，ｔについて行い、ＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）を生成する復号可能な線形グループテストＭＡＣ適用部と、
前記復号可能な線形グループテストＭＡＣ適用部により生成されたＭＡＣタグリストを出力するＭＡＣタグリスト出力部と、を備える
ことを特徴とするＭＡＣタグリスト生成装置。
前記グループテスト行列Ｈは、
正の整数ａ，ｂについて（ａ，ｂ）＝ａ！／（ａ－ｂ）！ｂ！をａ個からｂ個選択する場合の数とし、
（（ａ，ｂ））を集合｛１，２，．．．，ａ｝の大きさｂの部分集合の全体としたうえで、
（ｎ，ｄ）×（ｎ，ｋ）２値行列であり、適当な順序で列と行のインデックスを（（ｎ，ｄ））の要素と（（ｎ，ｋ））の要素に対応させたうえで、ある（（ｎ，ｄ））の要素Ｄが（（ｎ，ｋ））の要素Ｋについて、
前記要素Ｄが前記要素Ｋに含まれるときに、
前記グループテスト行列Ｈの（Ｄ，Ｋ）エントリを１とし、それ以外を０とする行列の有限体ＧＦ（２）上の基底からなる、正の整数のパラメータ（ｎ，ｋ，ｄ）を持つＭａｃｕｌａ行列である請求項１のＭＡＣタグリスト生成装置。
ある整数ｒ＞１についてｍ＝２^ｒ－１，ｔ＝ｒ＋１を満たし、
ｍ＋１行ｍ＋１列のアダマール行列Ｈａｄ（ｒ）から第１行目と第１列目を削除し、さらに行列要素である－１と１のうち、－１を０とすることで得られるｍ行ｍ列バイナリ行列ｍｏｄＨａｄ（ｒ）をとり、前記グループテスト行列Ｈは、前記ｍ行ｍ列バイナリ行列の有限体ＧＦ（２）上の基底からなり、
テスト行列拡大ルールＲは、前記グループテスト行列Ｈを前記テスト行列拡大ルールＲに従って行の拡大を行った場合にｍｏｄＨａｄ（ｒ）となる請求項１のＭＡＣタグリスト生成装置。
グループテスト行列Ｈが、正整数ｓについて行数と列数が共に２^（２ｓ）＋２^ｓ＋１の正方行列Ｐの一次独立なｔ個の行ベクトルからなる部分行列であって、
前記正方行列Ｐは、有限体ＧＦ（２^ｓ）を座標成分とする２次元射影空間上の点と直線によって定まる接続行列であり、
テスト行列拡大ルールＲによって生成されるテストベクトルが前記正方行列Ｐの全ての行ベクトルである請求項１のＭＡＣタグリスト生成装置。
前記グループテスト行列Ｈが、正整数ｓと３以上２^ｓ＋１以下の整数ｒについて、行数がｒ×（２^ｓ－１）＋１、列数が２^（２ｓ）－１＋ｒの行列Ａ＿ｒにおける一次独立なｔ個の行ベクトルからなる部分行列であって、
前記行列Ａ＿ｒは、有限体ＧＦ（２^ｓ）を座標成分とする２次元アフィン空間の原点を通過する予め指定したｒ本の直線上にあるｒ×（２^ｓ－１）＋１個の点と、それらの点のいずれかを通過する２^（２ｓ）－１＋ｒ本の直線によって定まる接続行列であり、
テスト行列拡大ルールＲによって生成されるテストベクトルが前記行列Ａ＿ｒの全ての行ベクトルである請求項１のＭＡＣタグリスト生成装置。
前記グループテスト行列生成部は、すべての要素が１である行を含んだグループテスト行列Ｈを生成する請求項１から５いずれか一のＭＡＣタグリスト生成装置。
メッセージ認証コード（ＭＡＣ）の対象となるｍ個のアイテムＭ［１］，．．．，Ｍ［ｍ］から構成されるメッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）を入力するステップと、
生成する前記ＭＡＣの数ｓ（ｓは正の整数）について、組み合わせグループテストのパラメータであるｔ行ｍ列のグループテスト行列Ｈを生成するステップと、
前記メッセージＭについて、前記グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆと、前記グループテスト行列Ｈの行インデックスをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号Ｇを用いて、
前記グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、前記擬似ランダム関数Ｆに前記Ｍ［ｊ］と前記インデックスｊとを入力し、得られた前記擬似ランダム関数Ｆの出力のすべての和をとり、ｉ番目の中間タグＳ［ｉ］とし、
前記ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号ＧのＴｗｅａｋａｂｌｅ暗号化関数で前記中間タグＳ［ｉ］を暗号化して得られた出力を、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応するタグＴ［ｉ］とする処理を、すべてのｉ＝１，．．．，ｔについて行いＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）を生成するステップと、
前記ＭＡＣタグリストを出力するステップと、を含むＭＡＣタグリスト生成方法。
メッセージ認証コード（ＭＡＣ）の対象となるｍ個のアイテムＭ［１］，．．．，Ｍ［ｍ］から構成されるメッセージＭ＝（Ｍ［１］，．．．，Ｍ［ｍ］）を入力する処理と、
生成する前記ＭＡＣの数ｓ（ｓは正の整数）について、組み合わせグループテストのパラメータであるｔ行ｍ列のグループテスト行列Ｈを生成する処理と、
前記メッセージＭについて、前記グループテスト行列Ｈと、可変長入力固定長出力の擬似ランダム関数Ｆと、前記グループテスト行列Ｈの行インデックスをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号Ｇを用いて、
前記グループテスト行列Ｈのｉ行目で１が立つすべての列のインデックスｊ（ｊ＝１，．．．，ｍ）について、前記擬似ランダム関数Ｆに前記Ｍ［ｊ］と前記インデックスｊとを入力し、得られた前記擬似ランダム関数Ｆの出力のすべての和をとり、ｉ番目の中間タグＳ［ｉ］とし、
前記ｉをＴｗｅａｋとしたＴｗｅａｋａｂｌｅブロック暗号ＧのＴｗｅａｋａｂｌｅ暗号化関数で前記中間タグＳ［ｉ］を暗号化して得られた出力を、ｉ（ｉ＝１，．．．，ｔ）番目のテストに対応するタグＴ［ｉ］とする処理を、すべてのｉ＝１，．．．，ｔについて行いＭＡＣタグリストＴ＝（Ｔ［１］，．．．，Ｔ［ｔ］）を生成するステップと、
前記ＭＡＣタグリストを出力する処理と、をコンピュータに実行させるプログラム。