JPH05344118A - データ攪乱装置 - Google Patents

Abstract

(57)【要約】 【目的】 小規模なハードウェアで、攪乱効果が高くか
つ従来の最強力の差分攻撃に強いデータ攪乱装置を提供
する。 【構成】 入力データを複数のブロックに分割する。第
１の選択部にて、秘密のブロック選択鍵を用いて、分割
したブロックから１つ以上を選択する。その出力データ
を第１の融合部にて１ブロックに融合圧縮する。その出
力データを１ブロックのデータ攪乱装置Ｆに入力し、１
ブロックの出力値を得る。第２の選択部７〜１０にて、
前記データ攪乱装置Ｆの出力を入力ブロック分用意し、
前記秘密のブロック選択鍵の否定を用いてそのうちから
１つ以上のブロックを選択する。第２の融合部１１〜１
４にて、入力データと前記第２の選択部の出力とをブロ
ックごとに融合し、これを出力データとする。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、有料放送、秘密通信等
における暗号化に関し、特にデータ攪乱装置に関する。

【０００２】

【従来の技術】秘密通信、署名通信手段として送信すべ
きデータを受信側での復号可能性を保持しつつ攪乱する
方法の１つに、インボリューションと言われる方法があ
る。その構成を図７に示す。この方法は攪乱すべきデー
タを０と１のみからなるビットデータ化した上で例えば
６４ビットずつに区切って取り出し、この取り出した各
６４ビットの入力データを左右３２ビットずつに分割し
て、右の３２ビットのデータをあるデータ攪乱器たる関
数Ｆ部（単に、「データ攪乱関数」とも言われる）に入
力し、その結果を左のデータに排他的論理和で融合し、
更にこのあと左右データをいれかえるといった操作を多
段に、すなわち繰り返し行う。なお、ここに融合とは、
複数ブロックのデータを１ブロックに圧縮することをい
う。従って、融合結果の１ブロックには融合部の入力と
なる複数ブロックの影響が入っていることとなる。デー
タ攪乱関数Ｆには、攪乱の対象となる入力データのほか
に、通常鍵あるいは場合によっては秘密鍵、共有鍵等と
呼ばれる数値情報たるもう１つの入力がある。そして、
この鍵を使用して入力データに対し一定の処理、演算を
なすことにより攪乱を行うのであるが、この鍵の値を変
えることによって、データ攪乱関数Ｆの攪乱の仕方は全
く異なったものとなる。なお、図７においては、第ｉ回
目（i=0,1,…）の繰り返しにおけるデータ攪乱関数Ｆ部
の鍵入力をKeyiと表している。また、本図で信号の流れ
を示す線に施した斜線「／」と「３２」という数字は、
信号線が実際には３２ビット幅であることを示し、この
意味は他図においても同様である。

【０００３】さて、このインボリューション構成におい
ては、攪乱したデータをもとに戻す逆変換、すなわち復
号は、データを攪乱したときと同じ鍵を用いることによ
ってのみ可能である。従って、通常はこの鍵をデータ攪
乱する側とそれをもとに戻す側で秘密に共有あるいは同
じ物を別個に所有した上でデータの暗号化、復号に使用
する。そしてこれにより、第三者の盗聴詐称を完全に防
止することが困難な公開通信網を使用しての秘密通信や
署名通信を行うだけでなく、その他あらかじめ料金を納
付した者にのみこれらの鍵を組み込んだ復号装置を貸与
した上で同じ鍵を使用して秘密化した情報を放送する、
あるいは国際線の大型旅客機の座席に鍵を組み込んだテ
レビ受像機を固定して設けた上で旅客に有料で同じ鍵を
使用して暗号化した映像情報を組み込んだレーザーディ
スクの貸し出しを行う等の用途に使用される。

【０００４】ところで、インボリューションでは、デー
タ攪乱関数Ｆおよび排他的論理和を備えた演算部を１つ
用意した上で、それを繰り返して用いるため、攪乱の実
現に必要なハードウェア量が少なくてすむ。（勿論、多
段に用いればハードウェアはその分多く必要であるが、
逆に処理速度は増加する。）さらに逆変換も、データ攪
乱の際に使用するのと同じハードウェアでなすことがで
きる。このことは、図７におけるデータ攪乱の結果ＯＵ
ＴＬ、ＯＵＴＲをそれぞれＩＮＬ、ＩＮＲに入力して、
各段で入力する秘密の鍵を、Key(L-1)、…、Key1、Key0
と逆に入力しながら、データ攪乱と同じ関数Ｆを用いて
同じ操作を繰り返すことにより、ＯＵＴＬ、ＯＵＴＲに
もとの入力値が復元して格納されることより示される。

【０００５】さて、このインボリューション構成は、現
在米国で最も普及している暗号化方式であるＤＥＳ（Da
ta Encryption Standard）にも、その後日本で開発され
たFEAL（Fast data Encipherment ALgorithm）にも採用
されている。そして、両者の違いはデータ攪乱関数Ｆの
中身である。なお、ＤＥＳについては、FIPS PUB 46,NB
S Jan,1977に、FEALについては、A.Shimizu & S.Ｍiyag
uchi:"Fast DataEncipherment algorithm FEAL",Advanc
es in Cryptology-EUROCRYPT '87 ,Springer-Verlag に
それぞれ詳細に述べられている。また、我国において
は、池野信一、小山謙二共著 電子通信学会発行 「現
代暗号理論」の第３章にＤＥＳ及びこのインボリューシ
ョン構成が詳しい。

【０００６】

【発明が解決しようとする課題】しかしながら、従来の
インボリューション構成のデータ攪乱方式一般に、すな
わちデータ攪乱関数Ｆの中身に拘わらずに一般的に適用
可能な攻撃が近年提案されている。ここで攻撃とは、攪
乱に用いられた鍵を知らない第３者（解読者）が鍵を求
め、これにより攪乱されたデータをもとに戻すことを意
味する。通常この新しい攻撃は「差分攻撃」と呼ばれて
いる。この攻撃は、解読者が指定する特定の差分（排他
的論理和）をもつ入力対、例えばInput TiとInput Ti＋
δ、（ここにｉ＝１、２、３…、δは差分。“＋”は排
他的論理和演算を表すものとする。）をそれぞれデータ
攪乱方式＋を用いて攪乱して、その出力対の差分すなわ
ち、f(Input Ti) ＋f(Input Ti＋δ) を入手できるとき
に可能となる。原理的には、アルゴリズムの特性から入
力対の差分が出力対の差分に与える影響を統計的に解析
して鍵を発見するものである。このため、第三者が何等
かの手段でこのデータ攪乱装置を入手した場合には、特
に第三者の盗聴や詐称の完全防止が困難な公開通信回線
を使用しての秘密通信や署名通信が危険に曝される。こ
のため、この対策が研究され、その結果、現在では、Ｄ
ＥＳは１６段、FEALは３２段以上繰り返す必要があると
されている。なお、この攻撃法のより具体的内容につい
ては、Eli Biham and Adi Shamir: "Differential Cryp
tanalysis of DES-LikeCryptosystems", Advances in C
ryptology-CRYPTO'90, Springer-Verlag に詳しく述べ
られているため、その説明は省略する。

【０００７】さて、この差分攻撃を可能としている原因
の一部は、次にあげるインボリューションの構成自身に
ある。 （１）インボリューションの構成では、入力および出力
データと、各段のＦ関数に入力されるデータ間の関係が
容易に解析できる。例えば図７におけるインボリューシ
ョン構成では、まず１段目のＦ関数部の入力は入力デー
タＩＮＲ、２段目の入力は入力データＩＮＬと１段目の
Ｆ関数部の出力の排他的論理和、３段目の入力はＩＮＲ
に２段目のＦ関数の出力の排他的論理和となる。このイ
ンボリューションの性質は、解読者が入力データを自由
に選べ、かつその出力データを知りうる場合には、解読
に際しての大きな手掛かりとなる。

【０００８】（２）インボリューションの構成では、Ｆ
関数部の出力をその他の入力データと排他的論理和で融
合している。しかし、排他的論理和は桁上げがないため
下のビットの変化が上のビットに影響を与えない。この
ため、差分の与える影響が拡大せず、ひいては差分攻撃
の解析が容易になる。 次に、インボリューション構成は、入力データの分割数
を前記の２からそれ以上に増加することによって拡張す
ることが可能である。入力データのビット数が同じ場
合、分割数を大きくすることによりデータ攪乱関数Ｆの
処理幅すなわち入出力するデータの幅が小さくなり、ハ
ードウェア量を削減する、すなわち小さなＦ関数のハー
ドウェアでの処理が可能となる。こういった試みは、例
えばY.Zheng and T.Ｍatsumoto and H.Imai:"On the co
nstruction of block ciphersprovably secure and not
relying on any unproved hypotheses",Advances inCr
yptology-CRYPTO'89, Springer-Verlag でも述べられて
いる。以下これを図８を用いて説明する。

【０００９】本図においては、入力データを６４ビット
とし、これを１６ビットずつの４つに分ける場合の拡張
インボリューション構成を示している。まず、一番右の
１６ビットをデータ攪乱関数Ｆに入力して、この結果を
他の３ブロックに排他的論理和で融合する。そして、同
様に２番目、３番目、４番目のブロックをＦに入力し、
その他の３ブロックと融合する操作を繰り返す。この場
合１６ビット幅のデータ攪乱関数Ｆを備え、各ブロック
のデータを順次シフトしてＦ関数に入力する。この拡張
インボリューション構成は分割数が２の通常のインボリ
ューション構成と同様に、データ攪乱の逆変換を同じハ
ードウェアを用いて行なうことができる。ただし、この
場合も上記と同様に鍵の入力する順番を逆にする。

【００１０】しかしながら、この構成では、データ攪乱
装置Ｆに６４ビットの入力データすべてが入って全体が
攪乱できるのには、少なくとも４段繰り返すことが必要
である。従って、図７に示した分割数２の通常のインボ
リューションに比較した場合には、１段あたりの攪乱の
効果が低下することとなる。更に差分攻撃を可能とさせ
る前述の(1)、(2)の構成は基本的には何等改善されてい
ない。また、このため前記Eli Biham and Adi Shamirの
文献には、この拡張インボリューションの構成に対して
も前述の原理に基づく差分攻撃が可能であることが示さ
れている。

【００１１】以上を要約すると従来のインボリューショ
ン構成には、いずれの形式であろうとも次のような課題
がある。 （１）入力および出力データが得られる場合には、各段
のＦ関数部に入力されるデータ間の関係が容易に解析で
きる。 （２）Ｆ関数部の出力を他のブロックと排他的論理和で
融合しているため、差分攻撃に対して弱い。

【００１２】（３）従来のインボリューション構成にお
いてハードウェアの削減のため、分割数を増やす（拡張
インボリューションにする）と、同じ攪乱効果を生むた
めには逆に段数を増加させねばならない。 本発明は、上述の課題に鑑み、小さなハードウェア量で
攪乱効果が高く、かつ差分攻撃に強いデータ攪乱装置を
提供することを目的としてなされたものである。

【００１３】

【課題を解決するための手段】上記目的を達成するため
に、請求項１の発明においては、Ｍ, Ｎをそれぞれ２以
上の正整数とするとき、入力データをＭ×Ｎビット毎に
取り出してこれをブロック選択鍵情報とデータ攪乱鍵情
報を用いて攪乱する装置を繰り返し若しくは多段にして
用いるデータ攪乱装置であって各段が、取り出した入力
データをＭビットずつのＮブロックに分割するデータ分
割部と、前記ブロック選択鍵情報に依存して前記Ｎ個の
ブロックから１個以上、Ｎ−１個以下のブロックを選択
する第１の選択部と、残りブロックを選択する第２の選
択部と、前記第１の選択部の出力を入力としてこれらを
融合し、Ｍビットの結果を出力する第１の融合部と、前
記第１の融合部のＭビットの出力を前記データ攪乱鍵情
報を用いて攪乱した上で同じくＭビットの出力を行なう
Ｆ関数部と、前記Ｆ関数部の出力を前記第２の選択部の
出力の各ブロックに排他的論理和で融合した上で出力す
る第２の融合部と、前記第１の選択部で選択された入力
データに対応する後段への出力を前記入力データそのま
まとして出力し、前記第２の選択部で選択された入力デ
ータに対応する後段への出力を前記第２の融合部の出力
データとして出力する出力部を有するデータ攪乱装置と
していることを特徴としている。

【００１４】請求項２の発明においては請求項１の発明
を限定の上具体化したものであり、Ｍ, Ｎをそれぞれ２
以上の正整数とするとき、入力データをＭ×Ｎビット毎
に取り出してこれをＮビットの数値からなり全てのビッ
ト値が０若しくは全てのビット値が１ではないブロック
選択鍵情報とデータ攪乱鍵情報を用いて攪乱する装置を
繰り返し若しくは多段にして用いるデータ攪乱装置であ
って各段が、入力データをＭビットずつのＮブロックに
分割するデータ分割部と、前記Ｎ個のブロックよりそれ
ぞれのブロックに対応する前記ブロック選択鍵情報のビ
ット値が１であるブロックを選択する第１の選択部と、
前記第１の選択部の出力を入力としてこれらを融合した
上で、Ｍビットの結果を出力する第１の融合部と、前記
Ｍビットの第１の融合部の出力を前記データ攪乱鍵情報
を用いて攪乱しＭビットの出力を行なうＦ関数部と、前
記Ｆ関数部の出力をＮブロック分用意しそれぞれのブロ
ックに対応する前記ブロック選択鍵情報のビット値が０
であるブロックを選択する前記第２の選択部と、前記第
２の選択部と前記入力データを排他的論理和で融合した
上で出力する第２の融合部と、前記入力データに対する
後段への出力を前記第２の融合部の出力として出力する
出力部を有するデータ攪乱装置としている。

【００１５】請求項３の発明は請求項１又は請求項２の
発明における第１の選択部をＮブロックの入力データの
各ビットとそのブロックに対応するブロック選択鍵情報
のビットとの論理積器とし、第２の選択部をＦ関数部の
出力をＮブロック分用意すると共にこの各ビット値とそ
のブロックに対応するブロック選択鍵情報のビット値の
否定との論理積器としたことを特徴としている。

【００１６】請求項４の発明は請求項１又は請求項２の
発明における第１の融合部を第１の選択部の各出力ブロ
ックの対応するビット値間の排他的論理和器としたこと
を特徴としている。請求項５の発明は請求項１又は請求
項２の発明における第１の融合部を、第１の選択部の各
出力を入力とした一方向性ランダム関数器としたことを
特徴としている。

【００１７】請求項６の発明は請求項１又は請求項２の
発明における第２の融合部を加減算器としたことを特徴
としている。請求項７の発明は請求項６の発明における
加減算器を独立の複数の加減算器としたことを特徴とし
ている。請求項８の発明は請求項１又は請求項２の発明
における加減算器を一方の入力データたるビット値と減
算制御信号との排他的論理和をとり、減算制御信号を桁
上がり入力とし、前記排他的論理和の結果ともう片方の
入力データとの加算を行なう加算器としたことを特徴と
している。

【００１８】請求項９の発明は請求項１又は請求項２又
は請求項６の発明におけるデータ攪乱装置において、あ
る段のデータを攪乱する装置のブロック選択鍵情報にそ
の１回前の段におけるブロック選択情報の否定の情報を
用いるようにしていることを特徴としている。

【００１９】

【作用】上記構成により請求項１の発明においては、デ
ータ分割部が入力データをＭビットずつのＮブロック毎
に分割の上取り出す。第１の選択部がその分割結果から
ブロック選択鍵情報に依存して１個以上Ｎ−１個以下の
ブロックを選択する。第２の選択部は残りのブロックを
選択する。

【００２０】第１の融合部は、第１の選択部の選択した
ブロックのデータを入力として融合（複数ブロックのデ
ータを１ブロックに圧縮すること。従って、１ブロック
のみ選択されたなら融合は、実質的にはなされない。）
してＭビットのデータとして出力する。Ｆ関数部は、第
１の融合部の出力のＭビットのデータをデータ攪乱鍵情
報を用いて攪乱（元のデータの復元が可能という条件を
維持しつつかき混ぜる）した上でＭビットの出力を行
う。

【００２１】第２の融合部はＦ関数部の出力を第２の選
択部の出力の各ブロックに排他的論理和で融合した上出
力する。出力部は次に続く後段への入力として、第１の
選択部で選択されたブロックの入力データに相応するデ
ータとにこの入力データをそのまま出力し、第２の選択
部で選択されたブロックの入力データに相応するデータ
として第２の融合部の出力データを出力する。

【００２２】請求項２の発明においては、データ分割部
が入力データをＭビットずつのＮブロックに分割する。
第１の選択部がその分割結果からＮビットの数値からな
り全てのビット値が０若しくは全てのビット値が１では
ないブロック選択鍵の対応するブロック選択鍵情報の桁
の値（ビット値）が１であるブロックを選択する。

【００２３】第１の融合部は、第１の選択部の選択した
ブロックのデータを入力として融合（複数ブロックのデ
ータを１ブロックに圧縮すること。従って、１ブロック
のみ選択されたなら融合は実質的にはなされない）して
Ｍビットのデータとして出力する。Ｆ関数部は、第１の
融合部の出力のＭビットのデータをデータ攪乱鍵情報を
用いて攪乱（元のデータの復元が可能という条件を維持
しつつかき流せる）した上でＭビットの出力を行う。

【００２４】第２の選択部はＦ関数部の出力をＮブロッ
ク分用意し、それぞれのブロックに対応するブロック選
択鍵情報の桁の値（ビット値）が０であるブロックを選
択する。第２の融合部は、第２の選択部と入力データを
排他的論理和で融合した上出力する。

【００２５】出力部は次に続く後段への入力データとし
て第２の融合部の出力データを出力する。請求項３の発
明においては、請求項２の発明において第１の選択部を
Ｎブロックの入力データの各ビットとそのブロックに対
応するブロック選択鍵情報のビットとの論理積器（従っ
て、ブロック選択鍵情報の対応する桁が０なら選択され
ないこととなる）とし、第２の選択部をＦ関数部の出力
をＮブロック分用意した上でこの各ビット値とそのブロ
ックに対応するブロック選択鍵情報のビットの否定の論
理積器としている。

【００２６】請求項４の発明においては、請求項１又は
請求項２のデータ攪乱装置において、第１の融合部を第
１の選択部の各出力ブロックの対応するビット値間の排
他的論理和器としている。請求項５の発明においては、
請求項１又は請求項２のデータ攪乱装置において、第１
の融合部を第１の選択部の各出力を入力とする一方向性
ランダム関数器としている。

【００２７】請求項６の発明においては、請求項１又は
請求項２のデータ攪乱装置において、第２の融合部を加
減算器としている。請求項７の発明においては、請求項
６のデータ攪乱装置において、加減算器を独立複数の加
減算器で構成している。請求項８の発明においては、請
求項６又は請求項７のデータ攪乱装置において、加減算
器を一方の入力データたるビット値と減算制御信号との
排他的論理和をとり、減算制御信号を桁上がり入力と
し、前記排他的論理和の結果ともう片方の入力データと
の加算を行う加算器としている。

【００２８】請求項９の発明においては、請求項１又は
請求項２又は請求項６のデータ攪乱装置において、各段
におけるブロック選択鍵情報として、その１回前の段の
ブロック選択鍵情報の否定を用いている。

【００２９】

【実施例】以下、本発明を実施例に基づいて説明する。 （第１実施例）本実施例は請求項１及び２の発明に係る
ものである。そして、第１の選択部は請求項３の発明に
係るものを、第１の融合部は請求項４の発明に係るもの
を採用している。

【００３０】図１は、本第１実施例の構成図である。本
実施例ではＭ＝１６、Ｎ＝４であり、入力データを６４
ビットずつ取り出すと共に、この取り出した各６４ビッ
トの入力データａを１６ビットずつの４つのブロックA
0,A1,A2,A3に分割している。本図においてK0,K1,K2,K3
はそれぞれ上記ブロックA0,A1,A2,A3 に対応する各１ビ
ットの、すなわち、全体としては、各桁の値（ビット
値）が１若しくは０の４ビットからなるブロック選択鍵
情報、Ｋはデータ攪乱鍵情報である。なお、ここでブロ
ック選択鍵情報K0,K1,K2,K3 はすべてのビット値が０ま
たはすべてが１とはならないようにとっている。１〜４
はそれぞれブロック選択鍵情報Ki（i=0,1,2,3 ）が１の
時にはそれに対応するブロックAiを出力し、０の時には
０を出力する第１の選択部である。５は第１の選択部の
出力を融合して１６ビットのデータを出力する第１の融
合部である。この例では融合はブロックの各ビットごと
の排他的論理和で構成している。６は１６ビットの入力
データを同じく１６ビットからなる数値情報たるデータ
攪乱鍵情報Ｋを用いて攪乱するデータ攪乱装置である。
なお、このデータ攪乱装置自身の構成や鍵の採用手法に
ついては本発明の範囲外なので説明は省略する。このデ
ータ攪乱装置の出力ｄは前記ブロック選択鍵それぞれに
対応した第２の選択部７〜１０に接続している。第２の
選択部では、対応するブロック選択鍵情報Ki（i=0,1,2,
3 ）が０の時に前記データ攪乱装置の出力ｄを出力し、
１の時には０を出力する。また、１１〜１４は前記第２
の選択部の出力と最初の入力データａを排他的論理和で
融合する第２の融合部を示している。この第２の融合部
の出力ｆが入力データａのブロック選択鍵K0,K1,K2,K3
およびデータ攪乱鍵Ｋによる攪乱結果である。更に、こ
のｆが図示しない出力部を経て後の段の装置又は同じデ
ータ攪乱装置に繰り返して入力されることとなる。

【００３１】次に、この図１を用いて、本データ攪乱装
置の動作について説明する。今、ブロック選択鍵情報が
K0＝１、K1＝０、K2＝１、K3＝０とする。 （１）第１の選択部では、入力された６４ビットのデー
タａを１６ビットずつ４つのブロックA0,A1,A2,A3 に分
割する。そして各ブロックAi（i=0,1,2,3 ）の各ビット
値と、そのブロックに対応する各ブロック選択鍵情報Ki
のビット値との論理積を求める。このことによって、第
１の選択部の出力ｂは、ブロック選択鍵情報の対応する
桁の値が０である、つまりB1とB3のブロックについて
は、その各ビット値はすべて０になる。また、対応する
ブロック選択鍵情報の桁のビット値が１であるブロッ
ク、つまりB0,B2 のブロックについては、対応する入力
値A0,A2 がそれぞれそのまま出力されることとなる。従
って、第１の融合部５ではA0とA2の各ビット値ごとの排
他的論理和が求められる。

【００３２】（２）データ攪乱装置Ｆ関数６では、第１
の融合部５の出力である１６ビットのデータｃをデータ
攪乱鍵情報Ｋを用いて攪乱する。 （３）第２の選択部では、前記各ブロック選択鍵情報Ki
（i=0,1,2,3 ) に対応して、前記Ｆ関数の出力データｄ
とブロック選択鍵情報Kiの否定の情報Ki（印字の都合で
￣を下線とする。他も同じ）との論理積を求める。この
ことによって、第２の選択部の各出力は対応するブロッ
ク選択鍵情報の値が１であるデータ、つまりE0とE2のデ
ータは、各ビット値がすべて０になる。また、対応する
ブロック選択鍵情報の桁の値が０である第２の選択部の
出力E1,E3 のデータとしては、前記データ攪乱装置Ｆ関
数の出力データｄが出力される。

【００３３】（４）第２の融合部では、入力データａと
第２の選択部の出力データｅの各ビット値ごとの排他的
論理和を求める。このことによって本実施例におけるデ
ータ攪乱装置の出力データF0とF2は、それぞれ対応する
入力データA0,A2 と同じになり、F1とF3は対応する入力
データA1,A3と前記Ｆ関数の出力ｄの排他的論理和とな
る。

【００３４】（１）から（４）までの動作を図示する
と、図２に示すとおりになる。つまり入力ａを、AL=(A
1,A3)とAR=(A0,A2)の２つに分けて、ARを１ブロック幅
に融合した後データ攪乱装置Ｆに入力し、その結果dをA
L=(A1,A3)それぞれに排他的論理和で融合している。従
って、出力ｆ＝（F0,F1,F2,F3)=(A0,A1 + d,A2,A3 + d)
となる。ここで「＋」は排他的論理和を示す演算子とす
る。

【００３５】以上の説明より、この秘密のブロック選択
鍵情報K0,K1,K2,K3 を各繰り返し（段）毎に変化させて
データ攪乱を行うことにより、このデータ攪乱装置は図
３で示すように、左右のビット位とビット数が可変であ
るインボリューションに近似した構成となる。つまり、
１段目はK0,K1,K2,K3 を用いて入力データをＬとＲに分
け、ＲをＦ関数に入力しその結果をＬと融合する。２段
目は１段目の結果を別のブロック選択鍵情報K0',K1',K
2',K3'を用いてＬ’とＲ’に分け、Ｒ’をＦ関数に入力
して、Ｌ’に融合する。以下この操作を繰り返す。ま
た、攪乱されたデータをもとに戻すには、同じアルゴリ
ズムを用いて、鍵の順序をデータ攪乱の際と逆に入力す
る。

【００３６】なお、ブロック選択鍵情報をすべて０とす
ると、Ｆ関数には０が入力され、入力相互の攪乱が行な
われない。また、ブロック選択鍵情報をすべて１とする
と、前記第２の選択部の出力がすべて０になるため、出
力が入力そのものになって攪乱効果がない。従って、ブ
ロック選択鍵の選定にあたっては、各桁の値がすべて０
またはすべて１にならないように注意する必要がある。

【００３７】さて、このデータ攪乱装置においては、従
来のものとは異なり、入力データの左右への振分が入力
される秘密のブロック選択鍵情報により決定される。従
って、この秘密のブロック選択鍵を知らない解読者にと
っては、仮に入力データを自由に選べたとしても各段の
Ｆ関数の入力が不明であり、また各段のデータの関係が
不明となるため、差分攻撃を代表とする解読が非常に困
難となる。

【００３８】次に、本実施例を実現するハードウェア量
について説明する。図１において、データ攪乱装置６を
除く部分は、６４ビットの入力データの各ビットに対応
したハードウェアが必要であるが、それぞれが論理積や
排他的論理和などのゲート数の小さな素子で実現され、
全体として大きなハードウェア量にはならない。これに
対しデータ攪乱装置６は、一般的には、シフタや全加算
器、またはメモリなどで構成され、そのハードウェア規
模は入出力のデータのビット数に大きく依存する。しか
るに、本実施例の場合には、データ攪乱装置６への入出
力のデータは１６ビットですむため、小さなハードウェ
アで実現可能である。

【００３９】なお、本実施例においては、最大３ブロッ
ク（４８ビット）がこの１６ビット幅のＦ関数で攪乱さ
れることとなる。そのため、１ブロックだけが同じ１６
ビット幅のＦ関数によって攪乱されていた従来技術に係
る拡張インボリューション構成（図８）に比較して、攪
乱効果が大きくなる。 （第２実施例）本実施例は請求項６の発明に係るもので
ある。

【００４０】図４は、本第２実施例たるデータ攪乱装置
の構成図である。先の第１実施例との相違は、第２の融
合部１５〜１８を加減算で実現していることにあり、他
は同じである。このため、第１実施例と同じ構成の他の
要素については、同じ番号を付してある。次に本図を用
いて、この第２実施例の動作を説明する。なお、この場
合も第１実施例と同様にK0＝１、K1＝０、K2＝１、K3＝
０とする。

【００４１】（１）（２）（３）はそれぞれ第１実施例
の動作と同じであるため、その説明は省略する。 （４）第２の融合部では、データ攪乱の手段として、そ
れぞれの入力ブロックデータAi（i=0,1,2,3 ）と対応す
る第２の選択部の出力ブロックEiを算術加算する。これ
により、本実施例におけるデータ攪乱装置の出力ブロッ
クF0とF2は、それぞれ対応する入力ブロックA0,A2 と同
じになり、F1とF3は対応する入力ブロックA1,A3 それぞ
れと前記Ｆ関数の出力ｄの和となる。

【００４２】また、攪乱したデータをもとに戻す際に
は、第２の融合部においてそれぞれの入力ブロックデー
タAiから対応する第２の選択部の出力ブロックEiを減算
する。以上説明したことから、この第２実施例のデータ
攪乱用の装置を繰り返し若しくは多段にして用いること
により、図５に示す左右のビット位とビット数が可変と
なる繰り返し構成が実現可能であるのがわかる。そし
て、この構成は、Ｆ関数の出力との融合を排他的論理和
ではなく加算で行なっているため、データ攪乱の逆変換
は鍵の入力順序を逆にし加算部を減算にすることにより
なされる。なお、ここで加算と減算は２¹⁶を法として行
なう。つまり、各ブロック間の桁上げは無視する。

【００４３】ここで、請求項８の発明について説明す
る。図６に、第２実施例における加減算器、すなわち図
４における加減算器１５の構成を示す。本図において、
１９は減算制御信号が１のときに入力E0を反転するため
の排他的論理和、２０は１６ビット幅の桁上がり入力付
きの全加算器である。この図を用いて動作を説明する。
まず、加算のとき（第２実施例においてはデータ攪乱の
際）は、減算制御信号が０である。従って、g15 〜g0は
E0と同一の値となり、１６ビット全加算器１９にはA0と
E0、そしてCin ＝０が入力される。また、減算のとき
（第２実施例においてはデータ攪乱の逆変換の際）は、
減算制御信号が１である。従って、g15 〜g0はE0の否定
E0になり、１６ビット全加算器１９にはE0とA0、そして
Cin ＝１が入力される。

【００４４】ここで、請求項７の発明について説明す
る。上記実施例では１６ビットの全加算器を用いている
が、これを例えば４ビットの全加算器４つで実現しても
よい。ただし、各全加算器ごとに減算制御信号をCin に
入力する。その際、減算制御信号をCin に入力するた
め、下のブロックからの桁上がり信号は無視する。

【００４５】例えば４ビットの全加算器を用いたときの
上記加減算器の動作を具体的な数値で説明する。ａ＝11
01、ｅ＝0111とする。加算の際の結果はｆ＝ａ＋ｅ＝01
00となる。加算の際の最上位ビットからの桁上げ信号は
無視する。また、このｆをａに代入してｅを減算制御を
行なうと、ｅの否定ｅとａ、そしてCin ＝１が全加算器
に入力されるので、結果はｆ＋ｅ＋１＝0100＋1000＋１
＝1101となり、もとのａを復元できる。

【００４６】この第２の実施例におけるデータ攪乱装
置、すなわち請求項６の発明の特別な場合として、入力
データを２ブロックに分割し、この分割に用いるブロッ
ク選択鍵をK0=1、K1=0の固定にしたものが考えられる。
この構成は図７で示すインボリューションの各Ｆ関数の
出力値との融合を、従来の排他的論理和の代わりに加算
で行なう場合に相当する。

【００４７】本実施例における融合部の加算における桁
上げ信号は、差分攻撃における入力差分を拡散する働き
をもつため、攻撃は困難となる。次に、請求項５の発明
について説明する。前記第１、第２の実施例における第
１の融合部は、第１の選択部の出力ブロックの排他的論
理和で実現した。これにより入力が０および１の偏りの
ないランダムなデータの場合、それに対する出力がラン
ダムになる。しかし、この部分はこのランダム性さえ保
持されれば、何も排他的論理和である必然性はない。む
しろ、この部分を出力が同じになる入力対を求めること
が困難である関数、すなわち一方向性ランダム関数とす
ることにより、安全性は一層強化される。

【００４８】これは、もし逆に、入力対の差分が出力対
の差分に影響を与えない場合が容易に見つかったとする
と、このことが前記差分攻撃を行なう際の解読の手がか
りになりうるからである。なお、一方向性ランダム関数
としては例えば、次の２の条件を充たすハッシュ関数が
ある。

【００４９】(1)「ｈは通信文の分割単位であるブロッ
クごとに独立に計算するのではなく、通信文のすべての
ビットに依存した方法で計算する。」 (2)「任意の与えられた通信文Ｍとｈ（Ｍ）に対し、ｈ
（Ｍ）＝ｈ（Ｘ）となるような他の通信文Ｘを見つける
ことが非常に困難である。」 実際の秘密通信、署名通信等においては、秘密鍵暗号の
ＤＥＳをＣＢＣモードで繰り返し用いる方法等が採用さ
れている。ただし、これらは前述の「現代暗号理論」６
９〜７３頁、２２４頁等に記載されているいわば周知の
ものであるため、これ以上の説明は省略する。

【００５０】次に、請求項９の発明について説明する。
また、上記第１、及び第２の実施例におけるデータ攪乱
装置を繰り返し用いる際に、２回目の繰り返しに１回目
に用いたブロック選択鍵情報の否定を用い、３回目の繰
り返しに１回目のブロック選択鍵情報を用いることによ
って、３段の最小の繰り返し段数で、入力の全ブロック
が出力の全ブロックに影響する。例えば、入力を４つに
わけそれぞれを、 A0,A1,A2,A3とする。そして、ブロッ
ク選択鍵情報がK0＝１、K1＝０、K2＝１、K3＝０の場合
について説明する。まず、１段目のデータ攪乱関数Ｆの
出力は対応するブロック選択鍵情報が１である入力A0,A
2 の影響を受ける。従って、１段目の出力ブロックをB
0,B1,B2,B3 とすると、B0はA0、B1はA0,A1,A2、B2はA
2、B3はA0,A2,A3の影響を受ける。次に２段目には上記
ブロック選択鍵情報の否定が用いられるので、データ攪
乱関数Ｆの出力はB1,B3の影響を受ける。従って、２段
目の出力ブロックをC0,C1,C2,C3 とすると、C0はB1,B3
の影響つまり、A0,A1,A2,A3 の影響を受ける。同様にC1
はA0,A1,A2、C2はA0,A1,A2,A3 、C3はA0,A2,A3の影響を
受ける。次に３段目には上記１段目と同じブロック選択
鍵情報が用いられる。従って、Ｆ関数の出力はC0,C2 の
影響つまり入力のA0,A1,A2,A3 全ブロックの影響を受け
る。このことによって、３段目の各出力ブロックは入力
の全ブロックの影響を受けることになる。なお、上記で
は分割数が４である場合について説明したが、分割数が
増加しても最小の３段の繰り返しで、各出力ブロックは
全入力ブロックの影響を受ける。

【００５１】以上本発明を実施例に基づき説明したが、
本発明は何も上記実施例に限定されないのは勿論であ
る。すなわち例えば、 (1)実施例における６４ビット、４分割等はあくまでも
請求項１等に記載したＭ、Ｎの具体例の一であり、処理
すべき信号の性質や他の設備との接続に応じて、適宜最
適な他の値が採用される。

【００５２】ことに、１ブロックの桁が多いと、桁上げ
による差分分散の効果が増大するため、内容が重要な通
信において、Ｍとしては大きな数が採用される。 (2)送信されるべき本来の情報はアナログ情報であって
もよい。その場合は、単位時間毎の波高をとる等の処理
により送信情報をディジタル化した上で本発明に係る処
理を行う。

【００５３】(3)ハード的でなく、大型計算機にプログ
ラムとして組み込まれ、ソフト的に本発明に係る処理を
なすようにしてもよい。 (4)用途は秘密通信、署名通信だけでなく、あらかじめ
料金を納付することにより復号装置を貸与されている者
に対する有料放送、磁気ディスクの有料貸し出し等であ
ってもよい。

【００５４】(5)データ攪乱の繰り返しは、鍵は各繰り
返しに応じて変化させるが、ハードは同じであり、この
同じハードに繰り返しデータを流す、ハードを多段に装
備する等その手法を問わない。

【００５５】

【発明の効果】以上の説明から明らかなように、請求項
１及び請求項２の発明においては、入力データを複数の
ブロックに分割し、ブロック単位で第１の選択部で選択
されるものとそうでないものに分けることにより、イン
ボリューション類似の構成としているが、この際、各段
での分割には異なったブロック選択用秘密鍵を用いてい
る。このため、このブロック選択用秘密鍵を知らない解
読者にとっては、インボリューションの左または右の部
分に入力データのどの部分が相当するか、またそれぞれ
何ビットずつあるのか不明となり、データ攪乱関数Ｆの
入力値の解析が一層困難となる。

【００５６】また、本発明ではデータ攪乱関数Ｆの入力
の前に、第１の選択部で選択されるデータを１ブロック
幅に融合圧縮する第１の融合部を付加している。そのた
め、実現するハードウェアの大きな部分を占めるデータ
攪乱装置Ｆとしては１ブロック幅のものだけを用意すれ
ばよい。また、第１の選択部で選択されるデータが２ブ
ロック以上あれば、それら全体が１ブロック幅のＦ関数
で攪乱されたことになり、少ないハードウェアで高い効
果の攪乱を行える。

【００５７】請求項３の発明においては、請求項１及び
請求項２の発明が簡易かつ効果的に実施可能となる。請
求項４の発明においては、請求項１及び請求項２の発明
が簡易かつ、効果的に実現可能となる。請求項５の発明
においては、請求項１及び請求項２の発明の安全性が向
上する。

【００５８】また、請求項６の発明においては、第２の
融合部において排他的論理和に替えて加算若しくは減算
によってＦ関数の出力とその他のデータの融合を行い、
逆変換の場合には制御によって加算と減算の切り替えが
可能としているため同じハードウェアの使用が可能であ
る。また加算の桁上げ信号は差分を拡散する作用を有す
るため、差分攻撃が一層困難である。

【００５９】請求項７の発明においては、独立の複数の
加減算器で各加減算器間の桁上げを無視して演算をなす
ため請求項６の発明に加えて更に、並行演算による処理
の高速化が図れる。請求項８の発明においては、桁上げ
信号が差分を拡散するため請求項６及び請求項７の発明
の効果に加えて安全性が向上する。

【００６０】請求項９の発明においては、各段のブロッ
ク選択用秘密鍵を２段目は１段目の否定とし、３段目は
１段目と同じとすることにより、分割数を増加しても、
最小の３段で全出力ブロックが全入力ブロックに関与す
ることとなるため、ハードウェアの削減が図れる。

【図面の簡単な説明】

【図１】本発明に係るデータ攪乱装置の第１実施例の構
成図である。

【図２】上記第１実施例の作動の概念図である。

【図３】上記第１実施例の作動の説明図である。

【図４】本発明に係るデータ攪乱装置の第２実施例の構
成図である。

【図５】上記第２実施例の作動の説明図である。

【図６】上記第２実施例の加減算器の構成図である。

【図７】従来技術に係るデータ攪乱のインボリューショ
ン構成を示している。

【図８】データ攪乱を入力データを４つに分けて行う従
来技術に係る拡張インボリューション構成図である。

【符号の説明】

１〜４ 第１の選択部 ５ 第１の融合部 ６ データ攪乱部Ｆ ７〜１０ 第２の選択部 １１〜１４ 第１実施例における第２の融合部（排他的
論理和器） １５〜１８ 第２実施例における第２の融合部（加減算
器） １９ 排他的論理和 ２０ １６ビット全加算器

Claims (9)

【特許請求の範囲】
1. 【請求項１】 Ｍ, Ｎをそれぞれ２以上の正整数とする
   とき、入力データをＭ×Ｎビット毎に取り出してこれを
   ブロック選択鍵情報とデータ攪乱鍵情報を用いて攪乱す
   る装置を繰り返し若しくは多段にして用いるデータ攪乱
   装置であって各段が、 取り出した入力データをＭビットずつのＮブロックに分
   割するデータ分割部と、 前記ブロック選択鍵情報に依存して前記Ｎ個のブロック
   から１個以上、Ｎ−１個以下のブロックを選択する第１
   の選択部と、 残りブロックを選択する第２の選択部と、 前記第１の選択部の出力を入力としてこれらを融合し、
   Ｍビットの結果を出力する第１の融合部と、 前記第１の融合部のＭビットの出力を前記データ攪乱鍵
   情報を用いて攪乱した上で同じくＭビットの出力を行な
   うＦ関数部と、 前記Ｆ関数部の出力を前記第２の選択部の出力の各ブロ
   ックに排他的論理和で融合した上で出力する第２の融合
   部と、 前記第１の選択部で選択された入力データに対応する後
   段への出力を前記入力データそのままとして出力し、前
   記第２の選択部で選択された入力データに対応する後段
   への出力を前記第２の融合部の出力データとして出力す
   る出力部を有していることを特徴とするデータ攪乱装
   置。
2. 【請求項２】 Ｍ, Ｎをそれぞれ２以上の正整数とする
   とき、入力データをＭ×Ｎビット毎に取り出してこれを
   Ｎビットの数値からなり全てのビット値が０若しくは全
   てのビット値が１ではないブロック選択鍵情報とデータ
   攪乱鍵情報を用いて攪乱する装置を繰り返し若しくは多
   段にして用いるデータ攪乱装置であって各段が、 入力データをＭビットずつのＮブロックに分割するデー
   タ分割部と、 前記Ｎ個のブロックよりそれぞれのブロックに対応する
   前記ブロック選択鍵情報のビット値が１であるブロック
   を選択する第１の選択部と、 前記第１の選択部の出力を入力としてこれらを融合した
   上で、Ｍビットの結果を出力する第１の融合部と、 前記Ｍビットの第１の融合部の出力を前記データ攪乱鍵
   情報を用いて攪乱した上で同じくＭビットの出力を行う
   Ｆ関数部と、 前記Ｆ関数部の出力をＮブロック分用意しそれぞれのブ
   ロックに対応する前記ブロック選択鍵情報のビット値が
   ０であるブロックを選択する前記第２の選択部と、 前記第２の選択部と前記入力データを排他的論理和で融
   合した上で出力する第２の融合部と、 前記入力データに対する後段への出力を前記第２の融合
   部の出力として出力する出力部を有することを特徴とす
   るデータ攪乱装置。
3. 【請求項３】 前記第１の選択部をＮブロックの入力デ
   ータの各ビットとそのブロックに対応するブロック選択
   鍵情報のビットとの論理積器とし、 第２の選択部をＦ関数部の出力をＮブロック分用意する
   と共にこの各ビット値とそのブロックに対応するブロッ
   ク選択鍵情報のビット値の否定との論理積器としたこと
   を特徴とする請求項２記載のデータ攪乱装置。
4. 【請求項４】 前記第１の融合部を第１の選択部の各出
   力ブロックの対応するビット値間の排他的論理和器とし
   たことを特徴とする請求項１又は請求項２記載のデータ
   攪乱装置。
5. 【請求項５】 前記第１の融合部を第１の選択部の各出
   力を入力とした一方向性ランダム関数器としたことを特
   徴とする請求項１又は請求項２記載のデータ攪乱装置。
6. 【請求項６】 前記第２の融合部を加減算器としたこと
   を特徴とする請求項１又は請求項２記載のデータ攪乱装
   置。
7. 【請求項７】 前記加減算器を独立の複数の加減算器と
   したことを特徴とする請求項６記載のデータ攪乱装置。
8. 【請求項８】 前記加減算器を一方の入力データたるビ
   ット値と減算制御信号との排他的論理和をとり、減算制
   御信号を桁上がり入力とし、前記排他的論理和の結果と
   もう片方の入力データとの加算を行なう加算器としたこ
   とを特徴とする請求項６又は請求項７記載のデータ攪乱
   装置。
9. 【請求項９】 請求項１、請求項２又は請求項６のデー
   タ攪乱装置において、ある段のブロック選択鍵情報にそ
   の１回前の段におけるブロック選択情報の否定の情報を
   用いるようにしていることを特徴とするデータ攪乱装
   置。