JP7459569B2

JP7459569B2 - 情報処理装置、情報処理方法及びプログラム

Info

Publication number: JP7459569B2
Application number: JP2020038109A
Authority: JP
Inventors: 健二高務
Original assignee: Fuji Electric Co Ltd
Current assignee: Fuji Electric Co Ltd
Priority date: 2020-03-05
Filing date: 2020-03-05
Publication date: 2024-04-02
Anticipated expiration: 2040-03-05
Also published as: JP2021141458A

Description

本発明は、情報処理装置、情報処理方法及びプログラムに関する。

暗号化や暗号アルゴリズムを使った認証等の暗号処理を行う際は、その暗号処理に使用されている鍵が第三者に知られていないことが前提となる。しかしながら、暗号化や認証等を行う機器が第三者の手の内にあることも多く、攻撃者は、機器を分解／解析等し、機器のファームウェア等にハードコーディングされている鍵を入手しようとする。

ハードコーディングされている鍵を難読化する方法として、ホワイトボックス実装（White-Box Cryptography）が知られている。ＡＥＳ（Advanced Encryption Standard）に関するホワイトボックス実装として、例えば、非特許文献１及び２に記載されているホワイトボックス実装が知られている。

"White-Box Cryptography and an AES Implementation." S. Chow, P. Eisen, H. Johnson, P.C. van Oorschot. In 9th Annual Workshop on Selected Areas in Cryptography (SAC 2002), Aug.15-16 2002. "A Tutorial on White-box AES." James A. Muir. Advances in Network Analysis and its Applications, Mathematics in Industry 18 (2013), 209-229.

上記の非特許文献１及び２によれば、ＡＥＳの鍵の長さが１２８ビットの場合に必要なルックアップテーブルの合計サイズは５０８ＫＢ、鍵の長さが２５６ビットの場合に必要なルックアップテーブルの合計サイズは７３２ＫＢとなる。

しかしながら、近年は組み込みシステムのネットワーク接続が進められており、メモリ容量の少ない組み込みシステムでも鍵の難読化を行えるように、ＡＥＳのホワイトボックス実装をより少ないメモリ容量で実現することが望まれている。

開示の技術は、上記の点に鑑みてなされたもので、ＡＥＳのホワイトボックス実装を省メモリで実現することを目的とする。

上記目的を達成するため、一実施形態に係る情報処理装置は、White-Box AESの先頭ラウンドにおいて、SubBytes処理とMixColumns処理の乗算とが含まれる演算の演算結果が含まれ、かつ、中間ラウンドで共通に利用される第１のルックアップテーブルを参照して、平文を第２のルックアップテーブルにより変換した変換結果と前記先頭ラウンドで難読化された拡大鍵との排他的論理和に対応する演算結果を取得する取得手段、を有することを特徴とする。

ＡＥＳのホワイトボックス実装を省メモリで実現することを目的とする。

暗号化の１ラウンド目における１サブラウンド目の処理の一例を示す図である。暗号化のｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンド目の処理の一例を示す図である。暗号化のＥ＋１ラウンド目における１サブラウンド目の処理の一例を示す図である。本実施形態に係る暗号システムの機能構成の一例を示す図である。本実施形態に係る暗号システムのハードウェア構成の一例を示す図である。本実施形態に係る暗号化の１ラウンド目における１サブラウンドあたりの処理の流れを示す図である。本実施形態に係る暗号化のｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンドあたりの処理の流れを示す図である。本実施形態に係る暗号化のＥ＋１ラウンド目における１サブラウンドあたりの処理の流れを示す図である。

以下、本発明の一実施形態について説明する。本実施形態では、ＡＥＳのホワイトボックス実装（White-Box AES）を省メモリで実現する暗号システム１０について説明する。ここで、本実施形態に係る暗号システム１０は、一般的なマイクロプロセッサ等が搭載された組み込みシステム（Embedded System）であるものとする。組み込みシステムは、例えば、産業用機器や家電製品等に内蔵され、特定の機能を実現するシステムである。具体的には、例えば、ＨＥＭＳ（Home Energy Management System）に利用されるスマートメーター等に対して、本実施形態に係る暗号システム１０を組み込むことが可能である。

ただし、本実施形態に係る暗号システム１０は、組み込みシステムに限られず、例えば、ＰＣ（Personal Computer）やスマートフォン、タブレット端末等の各種端末又は装置であってもよい。

＜理論的構成＞
まず、本実施形態に係るWhite-Box AESによる暗号化の理論的構成について説明する。なお、ＡＥＳでは、１６バイトのデータに対する処理を１つのラウンドとして、鍵（暗号鍵）のビット長に応じた回数のラウンドを繰り返し実行することで、データを暗号化する。また、１つのラウンドでは、４バイトに対する処理を１つのサブラウンドとして、４回のサブラウンドを実行する。

以降では、各ラウンドの入力データをｖ、出力データをｗ、ラウンドを示すインデックスをｒ（ただし、１≦ｒ≦Ｅ＋１）、サブラウンドを示すインデックスをｓ（ただし、１≦ｓ≦４）で表す。また、１６バイトの入力データｖの１バイト目～１６バイト目のデータをそれぞれｖ０～ｖ１５で表す。同様に、１６バイトの出力データｗの１バイト目～１６バイト目のデータをそれぞれｗ０～ｗ１５で表す。なお、Ｅは鍵長に対応するラウンド数であり、例えば、鍵長が１２８ビットの場合はＥ＝１０、１９２ビットの場合はＥ＝１２、２５６ビットの場合はＥ＝１４である。

≪１ラウンド目≫
本実施形態に係るWhite-Box AESの１ラウンド目（つまり、ｒ＝１である場合）の処理について説明する。暗号化の１ラウンド目では、入力データｖは平文であり、出力データｗは中間値である。

以降では、一例として、暗号化の１ラウンド目における１サブラウンド目（つまり、ｓ＝１である場合）の処理について、図１を参照しながら説明する。図１は、暗号化の１ラウンド目における１サブラウンド目の処理の一例を示す図である。

図１に示すように、１ラウンド目における１サブラウンド目では、例えば、１６バイトの入力データｖのうち、ｖ０、ｖ５、ｖ１０及びｖ１５が選択され、これらの選択されたデータ（つまり、４バイトのデータ）に対して処理が行われる。この４バイトのデータを選択する処理は、ShiftRows処理と呼ばれる。なお、ShiftRows処理では、２サブラウンド目で１サブラウンド目とは異なる４バイトのデータが選択され、３サブラウンド目で１～２サブラウンド目とは異なる４バイトのデータが選択され、４サブラウンド目で１～３サブラウンド目とは異なる４バイトのデータが選択される。具体的には、例えば、２サブラウンド目ではｖ４、ｖ９、ｖ１４及びｖ３が選択され、３サブラウンド目ではｖ８、ｖ１３、ｖ２及びｖ７が選択され、４サブラウンド目ではｖ１２、ｖ１、ｖ６及びｖ１１が選択される。以降では、ShiftRows処理で選択された４バイトのデータのうちの１バイトのデータを「選択データ」とも表す。

このとき、本実施形態に係るWhite-Box AESの１ラウンド目における１サブラウンド目では、選択データをルックアップテーブルＴｂで変換した後、難読化した拡大鍵ｋ'１ｘ（ただし、ｘ＝０，５，１０，１５）との排他的論理和演算を行った上で、ルックアップテーブルＴ０～Ｔ３でそれぞれ変換し、MixColumns処理の排他的論理和演算を行うことで、出力データｗのうちの１バイトデータｗ０～ｗ３を得る。

ここで、図１における各記号は以下を意味する。

ＲＩｘ（ただし、ｘはｂ又は０～４のいずれか）：８ビットの乱数
ＲＪ：並べ替え番号を表す１６ビットの乱数
ＲＬ：ガロア体上の乗算に使用する８ビットの乱数（既約多項式は３０通り）。なお、図中では、ガロア体上の乗算を「・」で表記している。また、ガロア体上のＲＬの逆元を「ＲＬ^－１」で表記している。

ｋ１ｘ（ただし、ｘ＝０～１５）：１ラウンド目における８ビットの拡大鍵
Ｓ（）：SubBytes処理を実行する関数。なお、図中では、「Ｓ」と表記している。

Ｓｏｒｔ（ＲＪ，ｄ）：パラメータＲＪと８ビットのデータｄとを入力として、このデータｄの各ビット値を並べ替えて８ビットのデータを出力する関数。なお、図中では、「Ｓｏｒｔ（ＲＪ）」と表記している。

Ｒｖｒｓ（ＲＪ，ｄ）：パラメータＲＪと８ビットのデータｄとを入力としたＳｏｒｔ（ＲＪ，ｄ）の逆変換。なお、図中では、「Ｒｖｒｓ（ＲＪ）」と表記している。

また、ＲＩ４及びｋ'１ｘを以下で定義する。

なお、ｋ'１ｘは難読化した拡大鍵である。

そして、任意の８ビットデータｄに対して、平文を変換するルックアップテーブルＴｂを以下で構成する。

また、任意の８ビットデータｄに対して、SubBytes処理とMixColumns処理の乗算とを合成したルックアップテーブルＴ０～Ｔ３を以下で構成する。

以上のルックアップテーブルＴｂ、Ｔ０～Ｔ３及び難読化した拡大鍵ｋ'１ｘ（ただし、ｘ＝０，５，１０，１５）により、本実施形態に係るWhite-Box AESの１ラウンド目における１サブラウンド目の処理が実現される。すなわち、以下により出力データｗのうちの１バイトデータｗ０～ｗ３が得られる。

なお、出力データｗのうちの１バイトデータｗ４～ｗ７は２サブラウンド目、ｗ８～ｗ１１は３サブラウンド目、ｗ１２～ｗ１５は４サブラウンド目で同様に得られる。ただし、２サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ４、ｖ９、ｖ１４、ｖ３をそれぞれ用いると共に、難読化した拡大鍵ｋ'１０、ｋ'１５、ｋ'１１０、ｋ'１１５の代わりにｋ'１４、ｋ'１９、ｋ'１１４、ｋ'１３をそれぞれ用いる。同様に、３サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ８、ｖ１３、ｖ２、ｖ７をそれぞれ用いると共に、難読化した拡大鍵ｋ'１０、ｋ'１５、ｋ'１１０、ｋ'１１５の代わりにｋ'１８、ｋ'１１３、ｋ'１２、ｋ'１７をそれぞれ用いる。同様に、４サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ１２、ｖ１、ｖ６、ｖ１１をそれぞれ用いると共に、難読化した拡大鍵ｋ'１０、ｋ'１５、ｋ'１１０、ｋ'１１５の代わりにｋ'１１２、ｋ'１１、ｋ'１６、ｋ'１１１をそれぞれ用いる。

≪ｒ（１≦ｒ≦Ｅ）ラウンド目≫
次に、本実施形態に係るWhite-Box AESのｒ（２≦ｒ≦Ｅ）ラウンド目（すなわち、中間ラウンド）の処理について説明する。暗号化のｒ（２≦ｒ≦Ｅ）ラウンド目では、入力データｖは１つ前のラウンドで出力された中間値であり、出力データｗは次のラウンドに入力される中間値である。

以降では、一例として、暗号化のｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンド目（つまり、ｓ＝１である場合）の処理について、図２を参照しながら説明する。図２は、暗号化のｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンド目の処理の一例を示す図である。

図２に示すように、ｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンド目では、例えば、１６バイトの入力データｖのうち、ｖ０、ｖ５、ｖ１０及びｖ１５が選択データとなる。

このとき、本実施形態に係るWhite-Box AESのｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンド目では、選択データと難読化した拡大鍵ｋ'ｒｘ（ただし、ｘ＝０，５，１０，１５）との排他的論理和演算を行った上で、ルックアップテーブルＴ０～Ｔ３でそれぞれ変換し、MixColumns処理の排他的論理和演算を行うことで、出力データｗのうちの１バイトデータｗ０～ｗ３を得る。

ここで、ｋｒｘ（ただし、ｘ＝０～１５）はｒラウンド目における８ビットの拡大鍵であり、ｋ'ｒｘは拡大鍵ｋｒｘを以下により難読化したものである。

以上のルックアップテーブルＴ０～Ｔ３及び難読化した拡大鍵ｋ'ｒｘ（ただし、ｘ＝０，５，１０，１５）により、本実施形態に係るWhite-Box AESのｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンド目の処理が実現される。すなわち、以下により出力データｗのうちの１バイトデータｗ０～ｗ３が得られる。

なお、出力データｗのうちの１バイトデータｗ４～ｗ７は２サブラウンド目、ｗ８～ｗ１１は３サブラウンド目、ｗ１２～ｗ１５は４サブラウンド目で同様に得られる。ただし、２サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ４、ｖ９、ｖ１４、ｖ３をそれぞれ用いると共に、難読化した拡大鍵ｋ'ｒ０、ｋ'ｒ５、ｋ'ｒ１０、ｋ'ｒ１５の代わりにｋ'ｒ４、ｋ'ｒ９、ｋ'ｒ１４、ｋ'ｒ３をそれぞれ用いる。同様に、３サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ８、ｖ１３、ｖ２、ｖ７をそれぞれ用いると共に、難読化した拡大鍵ｋ'ｒ０、ｋ'ｒ５、ｋ'ｒ１０、ｋ'ｒ１５の代わりにｋ'ｒ８、ｋ'ｒ１３、ｋ'ｒ２、ｋ'ｒ７をそれぞれ用いる。同様に、４サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ１２、ｖ１、ｖ６、ｖ１１をそれぞれ用いると共に、難読化した拡大鍵ｋ'ｒ０、ｋ'ｒ５、ｋ'ｒ１０、ｋ'ｒ１５の代わりにｋ'ｒ１２、ｋ'ｒ１、ｋ'ｒ６、ｋ'ｒ１１をそれぞれ用いる。

≪Ｅ＋１ラウンド目≫
次に、本実施形態に係るWhite-Box AESのＥ＋１ラウンド目（すなわち、最終ラウンド）の処理について説明する。暗号化のＥ＋１ラウンド目では、入力データｖは１つ前のラウンドで出力された中間値であり、出力データｗは暗号文である。

以降では、一例として、暗号化のＥ＋１ラウンド目における１サブラウンド目（つまり、ｓ＝１である場合）の処理について、図３を参照しながら説明する。図３は、暗号化のＥ＋１ラウンド目における１サブラウンド目の処理の一例を示す図である。

図３に示すように、Ｅ＋１ラウンド目における１サブラウンド目では、例えば、１６バイトの入力データｖのうち、ｖ０、ｖ５、ｖ１０及びｖ１５が選択データとなる。

このとき、本実施形態に係るWhite-Box AESのＥ＋１ラウンド目における１サブラウンド目では、選択データと難読化した拡大鍵ｋ'Ｅｘ（ただし、ｘ＝０，５，１０，１５）との排他的論理和演算を行い、ルックアップテーブルＴ０で変換した後、難読化した拡大鍵ｋ'（Ｅ＋１）ｘ（ただし、ｘ＝０，１，２，３）との排他的論理和演算を行った上で、ルックアップテーブルＴｅで変換することで、出力データｗのうちの１バイトデータｗ０～ｗ３を得る。

ここで、ｋ（Ｅ＋１）ｘ（ただし、ｘ＝０～１５）はＥ＋１ラウンド目における８ビットの拡大鍵であり、ｋ'（Ｅ＋１）ｘは拡大鍵ｋ（Ｅ＋１）ｘを以下により難読化したものである。

ＲＩｅは８ビットの乱数である。

また、任意の８ビットデータｄに対して、暗号文に変換するルックアップテーブルＴｅを以下で構成する。

以上のルックアップテーブルＴ０、Ｔｅ並びに難読化した拡大鍵ｋ'Ｅｘ（ただし、ｘ＝０，５，１０，１５）及びｋ'（Ｅ＋１）ｘ（ただし、ｘ＝０，１，２，３）により、本実施形態に係るWhite-Box AESのＥ＋１ラウンド目における１サブラウンド目の処理が実現される。すなわち、以下により出力データｗのうちの１バイトデータｗ０～ｗ３が得られる。

なお、出力データｗのうちの１バイトデータｗ４～ｗ７は２サブラウンド目、ｗ８～ｗ１１は３サブラウンド目、ｗ１２～ｗ１５は４サブラウンド目で同様に得られる。ただし、２サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ４、ｖ９、ｖ１４、ｖ３をそれぞれ用いると共に、難読化した拡大鍵ｋ'Ｅ０、ｋ'Ｅ５、ｋ'Ｅ１０、ｋ'Ｅ１５、ｋ'（Ｅ＋１）０、ｋ'（Ｅ＋１）１、ｋ'（Ｅ＋１）２、ｋ'（Ｅ＋１）３の代わりにｋ'Ｅ４、ｋ'Ｅ９、ｋ'Ｅ１４、ｋ'Ｅ３、ｋ'（Ｅ＋１）４、ｋ'（Ｅ＋１）５、ｋ'（Ｅ＋１）６、ｋ'（Ｅ＋１）７をそれぞれ用いる。同様に、３サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ８、ｖ１３、ｖ２、ｖ７をそれぞれ用いると共に、難読化した拡大鍵ｋ'Ｅ０、ｋ'Ｅ５、ｋ'Ｅ１０、ｋ'Ｅ１５、ｋ'（Ｅ＋１）０、ｋ'（Ｅ＋１）１、ｋ'（Ｅ＋１）２、ｋ'（Ｅ＋１）３の代わりにｋ'Ｅ８、ｋ'Ｅ１３、ｋ'Ｅ２、ｋ'Ｅ７、ｋ'（Ｅ＋１）８、ｋ'（Ｅ＋１）９、ｋ'（Ｅ＋１）１０、ｋ'（Ｅ＋１）１１をそれぞれ用いる。同様に、４サブラウンド目ではｖ０、ｖ５、ｖ１０、ｖ１５の代わりにｖ１２、ｖ１、ｖ６、ｖ１１をそれぞれ用いると共に、難読化した拡大鍵ｋ'Ｅ０、ｋ'Ｅ５、ｋ'Ｅ１０、ｋ'Ｅ１５、ｋ'（Ｅ＋１）０、ｋ'（Ｅ＋１）１、ｋ'（Ｅ＋１）２、ｋ'（Ｅ＋１）３の代わりにｋ'Ｅ１２、ｋ'Ｅ１、ｋ'Ｅ６、ｋ'Ｅ１１、ｋ'（Ｅ＋１）１２、ｋ'（Ｅ＋１）１３、ｋ'（Ｅ＋１）１４、ｋ'（Ｅ＋１）１５をそれぞれ用いる。

また、図３に示す例では、ルックアップテーブルＴ０を用いたが、ルックアップテーブルＴ０の代わりに、ルックアップテーブルＴ１が用いられてもよい。このように、ルックアップテーブルＴ０又はＴ１を利用することで、必要なルックアップテーブル数が削減され、省メモリ化に寄与することができる。

≪応用例≫
図１～図３で説明したルックアップテーブルＴｂ、Ｔ０～Ｔ３及びＴｅは、その変換成分及び逆変換成分を多段に構成することで、よりセキュリティ強度を高めることが可能になる。具体的には、Ｎを２以上の整数として、図１の（１）に示す変換成分をＮ個用いてルックアップテーブルＴｂを構成し、図１の（２）に示す逆変換成分及び（３）に示す変換成分をそれぞれＮ個用いてルックアップテーブルＴ０～Ｔ３を構成し、図３の（４）に示す逆変換成分をＮ個用いてルックアップテーブルＴｅを構成すればよい。

＜機能構成＞
次に、本実施形態に係る暗号システム１０の機能構成について、図４を参照しながら説明する。図４は、本実施形態に係る暗号システム１０の機能構成の一例を示す図である。

図４に示すように、本実施形態に係る暗号システム１０は、選択部１０１と、テーブル参照部１０２と、演算部１０３と、記憶部１０４とを有する。

記憶部１０４には、ルックアップテーブルＴｂ、Ｔ０～Ｔ３及びＴｅが記憶されている。なお、記憶部１０４には、暗号化に用いる種々のデータ（例えば、平文、中間値、暗号文等）が記憶されてもよい。

選択部１０１は、サブラウンド毎に入力データｖから４つの選択データを選択する。テーブル参照部１０２は、記憶部１０４に記憶されているルックアップテーブルＴｂ、Ｔ０～Ｔ３及びＴｅを参照して、８ビットのデータに対応する演算値を取得（言い換えれば、８ビットのデータを、当該データに対応する演算値に変換）する。演算部１０３は、拡大鍵を難読化するための演算や排他的論理和演算等を行う。

＜ハードウェア構成＞
次に、本実施形態に係る暗号システム１０のハードウェア構成について、図５を参照しながら説明する。図５は、本実施形態に係る暗号システム１０のハードウェア構成の一例を示す図である。

図５に示すように、本実施形態に係る暗号システム１０は、プロセッサ２０１と、メモリ装置２０２と、Ｉ／Ｆ２０３とを有する。これら各ハードウェアは、それぞれがバス２０４を介して通信可能に接続されている。

プロセッサ２０１は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の各種演算装置である。本実施形態に係る暗号システム１０が有する各機能部（選択部１０１、テーブル参照部１０２及び演算部１０３）は、メモリ装置２０２に格納された１以上のプログラムがプロセッサ２０１に実行させる処理により実現される。

メモリ装置２０２は、例えば、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。本実施形態に係る暗号システム１０が有する記憶部１０４は、例えば、メモリ装置２０２を用いて実現可能である。

Ｉ／Ｆ２０３は、暗号システム１０にデータを入力したり、暗号システム１０からデータを出力したりするためのインタフェースである。

本実施形態に係る暗号システム１０は、図５に示すハードウェア構成を有することにより、各種処理を実現することができる。なお、図５に示すハードウェア構成は一例であって、本実施形態に係る暗号システム１０は、例えば、複数のプロセッサ２０１を有していてもよいし、複数のメモリ装置２０２を有していてもよい。

＜処理の流れ＞
以降では、本実施形態に係る暗号システム１０により平文を暗号化する処理について説明する。

≪暗号化の１ラウンド目における１サブラウンドあたりの処理≫
まず、暗号化の１ラウンド目における１サブラウンドあたりの処理の流れについて、図６を参照しながら説明する。図６は、本実施形態に係る暗号化の１ラウンド目における１サブラウンドあたりの処理の流れを示す図である。

選択部１０１は、入力データｖ（つまり、平文）から４つの選択データを選択する（ステップＳ１０１）。なお、上述したように、各選択データは１バイトのデータである。

次に、テーブル参照部１０２は、上記のステップＳ１０１で選択された選択データ毎に、記憶部１０４に記憶されているルックアップテーブルＴｂを参照して、当該選択データに対応する演算値を取得する（ステップＳ１０２）。

次に、演算部１０３は、上記のステップＳ１０１で選択された選択データ毎に、当該選択データに対応する拡大鍵（１ラウンド目の拡大鍵）を難読化した上で、難読化された拡大鍵と、当該選択データに対応する演算値との排他的論理和を演算する（ステップＳ１０３）。

次に、テーブル参照部１０２は、上記のステップＳ１０１で選択された選択データ毎に、ルックアップテーブルＴ０～Ｔ３をそれぞれ参照して、上記のステップＳ１０３で得られた演算結果に対応する演算値をそれぞれ取得する（ステップＳ１０４）。

そして、演算部１０３は、上記のステップＳ１０４で得られた演算値のそれぞれに対して、MixColumns処理の排他的論理和演算を行う（ステップＳ１０５）。これにより、１ラウンド目の出力データｗのうちの４バイトのデータが得られる。

≪暗号化のｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンドあたりの処理≫
次に、暗号化の中間ラウンドにおける１サブラウンドあたりの処理の流れについて、図７を参照しながら説明する。図７は、本実施形態に係る暗号化のｒ（２≦ｒ≦Ｅ）ラウンド目における１サブラウンドあたりの処理の流れを示す図である。

選択部１０１は、入力データｖ（つまり、１つ前のラウンドで出力された出力データｗ）から４つの選択データを選択する（ステップＳ２０１）。

次に、演算部１０３は、上記のステップＳ２０１で選択された選択データ毎に、当該選択データに対応する拡大鍵（ｒラウンド目の拡大鍵）を難読化した上で、難読化された拡大鍵と、当該選択データに対応する演算値との排他的論理和を演算する（ステップＳ２０２）。

次に、テーブル参照部１０２は、上記のステップＳ２０１で選択された選択データ毎に、ルックアップテーブルＴ０～Ｔ３をそれぞれ参照して、上記のステップＳ２０２で得られた演算結果に対応する演算値をそれぞれ取得する（ステップＳ２０３）。

そして、演算部１０３は、上記のステップＳ２０３で得られた演算値のそれぞれに対して、MixColumns処理の排他的論理和演算を行う（ステップＳ２０４）。これにより、ｒラウンド目の出力データｗのうちの４バイトのデータが得られる。

≪暗号化のＥ＋１ラウンド目における１サブラウンドあたりの処理≫
次に、最終ラウンドにおける１サブラウンドあたりの処理の流れについて、図８を参照しながら説明する。図８は、本実施形態に係る暗号化のＥ＋１ラウンド目における１サブラウンドあたりの処理の流れを示す図である。

選択部１０１は、入力データｖ（つまり、Ｅラウンド目で出力された出力データｗ）から４つの選択データを選択する（ステップＳ３０１）。

次に、演算部１０３は、上記のステップＳ３０１で選択された選択データ毎に、当該選択データに対応する拡大鍵（Ｅラウンド目の拡大鍵）と、当該選択データに対応する演算値との排他的論理和を演算する（ステップＳ３０２）。なお、Ｅラウンド目の拡大鍵は、Ｅラウンド目で既に難読化されているものを使用すればよい。

次に、テーブル参照部１０２は、上記のステップＳ３０１で選択された選択データ毎に、ルックアップテーブルＴ０をそれぞれ参照して、上記のステップＳ３０２で得られた演算結果に対応する演算値をそれぞれ取得する（ステップＳ３０３）。なお、上述したように、ルックアップテーブルＴ０の代わりにルックアップテーブルＴ１が用いられてもよい。

次に、演算部１０３は、上記のステップＳ３０１で選択された選択データ毎に、当該選択データに対応する拡大鍵（Ｅ＋１ラウンド目の拡大鍵）を難読化した上で、難読化された拡大鍵と、上記のステップＳ３０３で得られた演算値のうち、当該選択データに対応する演算値との排他的論理和を演算する（ステップＳ３０４）。

そして、テーブル参照部１０２は、上記のステップＳ３０１で選択された選択データ毎に、ルックアップテーブルＴｅを参照して、上記のステップＳ３０４で得られた演算結果に対応する演算値を取得する（ステップＳ３０５）。これにより、最終ラウンドの出力データｗ（つまり、暗号文）のうちの４バイトのデータが得られる。

＜まとめ＞
以上のように、本実施形態に係る暗号システム１０は、ルックアップテーブルＴｂ、Ｔ０～Ｔ３及びＴｅを用いてWhite-Box AESによる暗号化を実現することができる。ルックアップテーブルＴｂ、Ｔ０～Ｔ３及びＴｅはいずれも２５６バイトであるため、合計テーブルサイズ１．５キロバイトと拡大鍵のデータ長（つまり、鍵長が１２８ビットの場合は１７６バイト、１９２ビットの場合は２０８バイト、２５６ビットの場合は２４０バイト）との合計でWhite-Box AESを実現することができる。また、拡大鍵ｋ１ｘを解読するためにはルックアップテーブルＴｂ、Ｔ０～Ｔ３及びＴｅに含まれる乱数成分の解読が必要なため、十分なセキュリティ強度が実現されている。

このように、本実施形態に係る暗号システム１０では、十分なセキュリティ強度を実現しつつ、従来よりも省メモリでWhite-Box AESを実現することができる。特に、複数の鍵を保有する場合では、１．５キロバイトのルックアップテーブルを共通で利用できるためメモリ節約効果が大きくなる。

なお、本実施形態では、平文を暗号化する場合について説明したが、暗号文を復号する場合については、暗号化の逆変換となるように各ラウンドを構成することで実現することができる。具体的には、ShiftRows処理の代わりにInvShiftRows処理、SubBytes処理の代わりにInvSubBytes処理、MixColumns処理の代わりにInvMixColumns処理を用いればよい。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１０暗号システム
１０１選択部
１０２テーブル参照部
１０３演算部
１０４記憶部
２０１プロセッサ
２０２メモリ装置
２０３Ｉ／Ｆ
２０４バス

Claims

White-Box AESの先頭ラウンドにおいて、SubBytes処理とMixColumns処理の乗算とが含まれる演算の演算結果が含まれ、かつ、中間ラウンドで共通に利用される第１のルックアップテーブルを参照して、前記先頭ラウンドの入力データである１６バイトの平文データの中からShiftRows処理によって選択された１バイトの選択データを第２のルックアップテーブルにより変換した変換結果と前記先頭ラウンドの難読化された拡大鍵のうちの前記選択データに対応する難読化された拡大鍵との排他的論理和に対応する演算結果を取得する、を有することを特徴とする情報処理装置。
前記White-Box AESの中間ラウンドにおいて、前記第１のルックアップテーブルを参照して、前記中間ラウンドの入力データである１６バイトの中間データの中からShiftRows処理によって選択された１バイトの選択データと前記中間ラウンドの難読化された拡大鍵のうちの前記選択データに対応する難読化された拡大鍵との排他的論理和に対応する演算結果を取得する、ことを特徴とする請求項１に記載の情報処理装置。
前記第１のルックアップテーブルは、前記MixColumns処理の乗算の被演算子が１である第３のルックアップテーブル及び第４のルックアップテーブルと、前記乗算の被演算子が２である第５のルックアップテーブルと、前記乗算の被演算子が３である第６のルックアップテーブルとで構成されており、
前記White-Box AESの最終ラウンドにおいて、前記第３のルックアップテーブル又は前記第４のルックアップテーブルを参照して、前記最終ラウンドの入力データである１６バイトの中間データの中からShiftRows処理によって選択された１バイトの選択データと前記最終ラウンドの１つ前のラウンドで難読化された拡大鍵のうちの前記選択データに対応する難読化された拡大鍵との排他的論理和に対応する演算結果を取得する、ことを特徴とする請求項１又は２に記載の情報処理装置。
さらに、暗号文を得るための第７のルックアップテーブルを参照して、前記取得した演算結果と前記最終ラウンドの難読化された拡大鍵のうちの前記選択データに対応する難読化された拡大鍵との排他的論理和に対応する演算結果を暗号文として取得する、ことを特徴とする請求項３に記載の情報処理装置。
前記第２のルックアップテーブルに含まれる演算結果は、所定の変換処理とSubBytes処理とMixColumns処理の乗算と前記変換処理に対応する逆変換処理との演算結果であり、
前記先頭ラウンドの難読化された拡大鍵は、前記先頭ラウンドの拡大鍵に対して前記逆変換処理を施した鍵である、ことを特徴とする請求項１乃至４の何れか一項に記載の情報処理装置。
White-Box AESの先頭ラウンドにおいて、SubBytes処理とMixColumns処理の乗算とが含まれる演算の演算結果が含まれ、かつ、中間ラウンドで共通に利用される第１のルックアップテーブルを参照して、前記先頭ラウンドの入力データである１６バイトの平文データの中からShiftRows処理によって選択された１バイトの選択データを第２のルックアップテーブルにより変換した変換結果と前記先頭ラウンドの難読化された拡大鍵のうちの前記選択データに対応する難読化された拡大鍵との排他的論理和に対応する演算結果を取得する手順、をコンピュータが実行することを特徴とする情報処理方法。
White-Box AESの先頭ラウンドにおいて、SubBytes処理とMixColumns処理の乗算とが含まれる演算の演算結果が含まれ、かつ、中間ラウンドで共通に利用される第１のルックアップテーブルを参照して、前記先頭ラウンドの入力データである１６バイトの平文データの中からShiftRows処理によって選択された１バイトの選択データを第２のルックアップテーブルにより変換した変換結果と前記先頭ラウンドの難読化された拡大鍵のうちの前記選択データに対応する難読化された拡大鍵との排他的論理和に対応する演算結果を取得する手順、をコンピュータに実行させることを特徴とするプログラム。