JPH06118872A

JPH06118872A - データ撹乱装置

Info

Publication number: JPH06118872A
Application number: JP4271273A
Authority: JP
Inventors: Natsume Matsuzaki; なつめ松崎
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1992-10-09
Filing date: 1992-10-09
Publication date: 1994-04-28

Abstract

(57)【要約】【目的】小規模なハードウェアで、撹乱効果が高くか
つ現在最も強力である差分攻撃に強いデータ撹乱装置を
提供する。【構成】入力データを複数のブロックに分割する。第
１の選択部（図中に示していない）で１個以上のブロッ
クを選択する。ブロック選択信号生成器１で第１の選択
部の出力とブロック選択鍵を用いて、ブロック選択信号
を生成する。第２の選択部２〜４でブロック選択信号を
用いて、第１の選択部以外の入力ブロックから１個以上
のブロックを選択する。第１の融合部５で第１、第２の
選択部の出力を１ブロックに融合圧縮する。その出力デ
ータを１ブロックのデータ撹乱装置Ｆ６に入力し、１ブ
ロックの出力を得る。第３の選択部７〜９で前記Ｆの出
力を入力ブロック分用意し、前記ブロック選択信号の否
定を用いて、１個以上のブロックを選択する。第２の融
合部１０〜１２で入力データと前記第３の選択部の出力
を排他的論理和で融合し、これを置換部１３で置換して
出力データとする。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、有料放送、秘密通信等
における暗号化に関し、特にハードウェア量を削減して
効果の高い撹乱を実現するデータ撹乱装置に関する。

【０００２】

【従来の技術】

（第１の従来例）秘密通信、署名通信において、受信側
での復号可能性を保持しつつ、データを撹乱する方法の
１つに、インボリューションと言われる方法がある。こ
の方法では、撹乱したデータをもとに戻す逆変換、すな
わち復号はデータを撹乱したときと同じ鍵を用いること
によってのみ可能である。従って、通常はこの鍵をデー
タ撹乱する側とそれをもとに戻す側で秘密に共有した上
でデータの暗号化、復号に使用する。そして、このこと
によって第３者の盗聴を防止することができる。構成を
図４に示す。この方法は例えば６４ビットの入力データ
を左右３２ビットづつの２ブロックに分割して、右のブ
ロックをあるデータ撹乱関数Ｆに入力し、その結果を左
のブロックに排他的論理和で融合し、さらにこの後左右
データを入れ替えるといった操作を繰り返し用いる。な
お、ここで融合とは、Ｆ関数の結果である１ブロックと
左の１ブロックのビットごとの排他的論理和を求めて、
この出力１ブロックを入力の左ブロックに対応させるこ
とを示す。以降では一般的に融合とは、複数のブロック
を１ブロックに圧縮することを指すものとする。そして
この場合には、融合結果には入力となる複数ブロックの
影響が含まれていることになる。

【０００３】データ撹乱関数Ｆには、撹乱の対象となる
入力データのほかに「鍵」または「秘密鍵」または「共
有鍵」と呼ばれる数値情報であるもう１つの入力があ
る。図３においては、第ｉ回目の繰り返しにおけるデー
タ撹乱関数Ｆの鍵を、Keyiと表している。また、本図で
信号の流れを示す線に施した斜線「／」と「３２」とい
う数字は、信号線が３２ビット幅であることを示してい
る。

【０００４】通常、インボリューションを実現する際に
は、データ撹乱関数Ｆおよび排他的論理和を備えた１段
分の演算部を用意しておいて、これを繰り返して用い
る。そのため、撹乱に必要となるハードウェア量が少な
くてすむ。さらに、データ撹乱の逆変換も同じハードウ
ェアを用いて行なうことができる。つまり、図４におけ
るデータ撹乱の結果OUTL、OUTRをそれぞれINL、INRに入
力して、各段で入力する秘密の鍵を、Key(L-1)、…、Ke
y1、Key0と逆に入力しながら、データ撹乱と同じ関数Ｆ
を用いて同じ操作を繰り返すことにより、OUTL、OUTRに
もとの入力値が復元して格納される。

【０００５】このインボリューション構成は、現在米国
で最も普及している暗号化方式であるDES（Data Encryp
tion Standard）にも、その後日本で開発されたFEAL（F
astdata Encipherment ALgorithm）にも採用されてい
る。両者の違いはデータ撹乱関数Ｆの中身である。な
お、DESについては、FIPS PUB 46,NBS Jan,1977に、FEA
Lについては、A.Shimizu & S.Miyaguchi:"Fast Data En
cipherment algorithm FEAL",Advances in Cryptology-
EUROCRYPT '87 , Springer-Verlag(シミス゛トミヤク゛チ:"ファース
トテ゛ータエンシフェルメントアルコ゛リス゛ムエフイーエーエル”，アト゛ハ゛ンスインク
リフ゜トロシ゛ーヨーロクリフ゜ト'87スフ゜リンカ゛ーフェルラク゛）にそれぞれ詳
細に述べられている。また、池野信一、小山謙二共著
電子通信学会発行「現代暗号理論」の第３章にもDESお
よびインボリューション構成について述べられている。

【０００６】ところで、最近インボリューション構成の
データ撹乱方式一般、つまりデータ撹乱関数Ｆの中身に
関わらずに適応できる攻撃が提案されている。通常この
攻撃は「差分攻撃」と呼ばれ、解読者が指定する特定の
差分（排他的論理和、'+'で表す）をもつ入力対をそれ
ぞれ撹乱して、その出力対の差分を入手できるときに可
能となる。つまり、例えば入力TiとTi+δそれぞれを、
ある秘密の固定の鍵ｋ（この場合インボリューションの
各段の鍵をあわせて考える）を入力とするデータ撹乱器
（ｆkとする）に入力して、その出力の差分、つまりｆk
（Ti）+ｆk（Ti+δ）を入手する。そしてこのTiの数値
を変えて複数個のデータをとり、入力対の差分δが出力
対の差分に与える影響を解析して統計的に秘密の鍵ｋを
発見する。なお、このときのδも変更してデータをと
る。

【０００７】この差分攻撃を無効にするためには、イン
ボリューション構成の繰り返しを増加する必要がある。
現在、DESは１６段、FEALは３２段以上繰り返す必要が
あるとされている。なお、この攻撃法のより具体的な内
容については、Eli Biham and Adi Shamir:"Differenti
al Cryptanalysis of DES-Like Cryptosystems", Advan
ces in Cryptology-CRYPT O'90, Springer-Verlag(エリヒ゛
ハムアント゛アチ゛シャミル"テ゛ィファレンシャルクリフ゜タナリシスオフ゛テ゛ィエイーエス
ライククリフ゜トシステムス゛"アト゛ハ゛ンスインクリフ゜トロシ゛ークリフ゜ト'90スフ゜リン
カ゛ーフェルラク゛）に詳しく述べられているため、その説明
は省略する。

【０００８】差分攻撃を無効にするために繰り返し回数
を増加すると、それに比例して処理時間がかかる。そこ
で、いかに繰り返し回数が少ない構成を考えるかが課題
となる。さて、この差分攻撃を可能としている１つの原
因は、インボリューションの構成自身にある。つまり、
インボリューションの構成では、入力及び出力データ
と、各段のＦ関数に入力されるデータの関係が容易に解
析されうる。例えば図４におけるインボリューション構
成ではまず、１段目のＦ関数の入力は入力データINR、
２段目の入力は入力データINLと１段目のＦ関数の出力
の排他的論理和、３段目の入力はINRと２段目のＦ関数
の出力の排他的論理和という簡単な構造になっている。
このインボリューションの性質は、今仮定している状況
のように、解読者が入力データを自由に選び、かつその
出力データを知りうる場合には、解読に関して大きな手
掛かりとなる。

【０００９】（第２の従来例）インボリューション構成
は、入力データの分割数を前記の２からそれ以上に増加
することによって拡張することが可能である。入力デー
タのビット数が同じ場合、分割数を大きくすることによ
りデータ撹乱関数Ｆの処理幅が小さくなり、ハードウェ
ア量を削減することができる。こういった試みは、例え
ばY. Zheng andT.Matsumoto and H.Imai:"On the const
ruction of block ciphers provably secure and not r
elying on any unproved hypotheses",Advances in Cry
ptology-CRYPT O'89, Springer-Verlag (ワイツェンク゛アント゛
ティーマツモトアント゛エッチイマイ "オンサ゛コンストラクションオフ゛フ゛ロックシファー
ス゛フ゜ロハ゛フ゛リーセクアアント゛ノットリラインク゛オンエニーアンフ
゜ルーフ゛ト゛ハイホ゜セ゛シス "アト゛ハ゛ンスインクリフ゜トロシ゛ークリフ゜ト'89スフ
゜リンカ゛ーフェルラク゛）でも述べられている。

【００１０】図５は、入力データを６４ビットとし、こ
れを１６ビットづつの４つに分ける場合の拡張されたイ
ンボリューション構成を示している。まず、一番右の１
６ビットをデータ撹乱関数Ｆに入力して、この結果を他
の３ブロックに排他的論理和で融合する。そして、同様
に２番目、３番目、４番目のブロックをＦに入力し、そ
の他の３ブロックと融合する操作を繰り返す。この構成
では通常、１つのデータ撹乱関数Ｆを備え、各ブロック
のデータを順次シフトしてＦ関数に入力することによっ
て実現する。また、この方法も分割数が２である通常の
インボリューション構成と同様に、復号を同じハードウ
ェアを用いて行なうことができる。ただし、復号の場合
は鍵の入力する順番を暗号の場合とは逆の順番に入力す
る。

【００１１】しかしながら、この構成では、データ撹乱
装置Ｆにすべての入力データが入力されて全体が撹乱で
きるのに、少なくとも４段繰り返すことが必要である。
従って、図４に示した分割数２の通常のインボリューシ
ョンに比べて１段あたりの撹乱の効果が低下する。ま
た、上記Eli Bihamらの文献に、この拡張インボリュー
ションの構成にも上記の差分攻撃が適用できることが示
されている。

【００１２】（第３の従来例）そこで、発明者は出願番
号４ー１４５９６４において、図６に示すデータ撹乱装
置を発明した。この方法は入力データを２以上に分割し
て撹乱する方法であり、１段の撹乱の効果が低下せず
に、かつ差分攻撃を困難にする構成になっている。

【００１３】以下図４に基づいてこの方法の説明を行な
う。この例では６４ビットの入力データＡを１６ビット
づつの４つのブロックA0,A1,A2,A3に分割する場合につ
いて示している。なお、同図においてa63はデータＡの6
3ビット目を表すものとする。他の記号も同様である。

【００１４】同図において１０１〜１０４はブロック選
択鍵情報K0〜K3（各１ビット）それぞれに対応するブロ
ックのうち鍵の値が１であるものを選択する第１の選択
部である。１０５は第１の選択部の出力を融合して１ブ
ロック１６ビットのデータを出力する第１の融合部であ
る。この例では融合はブロックの各ビットごとの排他的
論理和で構成している。１０６は１６ビットの入力デー
タをデータ撹乱鍵情報Ｋを用いて撹乱し、１６ビットの
データを出力する任意のデータ撹乱装置Ｆである。この
Ｆ自身の構成については本発明の範囲外なので省略す
る。１０７〜１１０は前記データ撹乱装置Ｆの出力を４
ブロック分用意して、それぞれに対応するブロック選択
鍵情報K0〜K3の値が０であるものを選択する第２の選択
部である。また、１１１〜１１４は前記第２の選択部の
出力と最初の入力データＡを排他的論理和で融合する第
２の融合部を示している。

【００１５】次にブロック選択鍵情報が例えばK0＝１、
K1＝０、K2＝１、K3＝０の場合における、このデータ撹
乱装置の動作について説明する。

【００１６】（１）第１の選択部では、４つの入力ブロ
ックA0〜A3と対応するブロック選択鍵情報K0〜K3との論
理積を求める。このことによって、第１の選択部の出力
は対応する鍵情報が０であるデータ、つまりC1とC3の各
ビットはすべて０になる。また、C0,C2はそれぞれA0,A2
と同じになる。

【００１７】（２）第１の融合部１０５では、上記C0,C
1,C2,C3のビットごとの排他的論理和を求める。従っ
て、上記のことより第１の融合部１０５の出力Ｄは、A2
とA0のビットごとの排他的論理和となる。

【００１８】（３）データ撹乱装置Ｆ関数１０６では、
第１の融合部１０５の出力Ｄを入力のデータ撹乱鍵情報
Ｋを用いて撹乱し、１ブロック１６ビットの出力値Ｅを
出力する。

【００１９】（４）第２の選択部では、前記Ｆ関数の出
力データを４ブロック分用意し、このデータＥと各ブロ
ックに対応するブロック選択鍵情報の否定との論理積を
求める。このことによって、第２の選択部の出力は対応
する鍵情報が１であるデータ、つまりG0,G2の各ビット
はすべて０になる。また、対応する鍵情報が０である１
番目と３番目のブロックには前記Ｆ関数の出力データＥ
が出力される。

【００２０】（５）第２の融合部では、入力データＡと
それに対応する第２の選択部の出力データのビットごと
の排他的論理和を求める。このことによって本実施例に
おけるデータ撹乱装置の出力データB0,B2は、それぞれ
対応する入力データA0,A2と同じになり、B1,B3は対応す
る入力データA1,A3と前記Ｆ関数の出力Ｅの排他的論理
和となる。

【００２１】以上の（１）〜（５）をまとめると、この
データ撹乱装置では、入力Ａを、AL=(A1,A3)とAR=(A0,A
2)の２つに分けて、ARを１ブロック幅に圧縮融合した後
データ撹乱装置Ｆに入力し、その結果ＥをAL=(A1,A3)の
各ブロックに排他的論理和で融合している。従って、出
力Ｂは（B0,B1,B2,B3)=(A0,A1+Ｅ,A2,A3+Ｅ)となる。な
お、ここで'+'は排他的論理和を示す演算子とする。

【００２２】従って、入力ｔのブロック選択鍵情報を各
繰り返しごとに変化させて、データ撹乱を行なうことに
より、このデータ撹乱装置は左右のビット数とビット位
置が可変であるインボリューションに近似した構成とな
る。また、撹乱されたデータをもとに戻す復号において
も従来のインボリューション構成と同様に、同じハード
ウェアを用いて鍵の順序をデータ撹乱の際と逆に入力す
ればよい。

【００２３】そして、この方法は、従来例１、従来例２
の問題点を以下のとおり解決している。

【００２４】（１）データを複数のブロックに分割し
て、このブロック単位で入力データを２つに分けてい
る。この分割には秘密のブロック選択鍵を用いる。秘密
の鍵を知らない解読者には、入力及び出力と各段のＦ関
数に入力されるデータの関係を解析することさえ困難で
ある。

【００２５】（２）Ｆ関数入力の前に、データＡを１ブ
ロック幅に融合圧縮する第１の融合部を付加している。
そのため、ハードウェアとしては１ブロック幅のデータ
撹乱装置Ｆだけを用意すればよい。加えてこのＦ関数に
は圧縮はされているがデータＡ全体が入力されているた
め、特にＡとして２ブロック以上ある場合、従来例２に
比べて撹乱効果が高い。

【００２６】

【発明が解決しようとする課題】以上説明したように、
従来例３は、従来例１、従来例２の問題点を解決してい
る。ところが従来例３における次の点は、場合によって
は問題になる。

【００２７】（１）ブロック選択鍵だけに依存して入力
データの分割を行なっている。差分攻撃では、鍵を固定
にして解析を行なっている。従来例３の方法ではブロッ
ク選択鍵を固定にすると、ある一定の流れにしたがって
分割、撹乱される。データの流れ自身は第３者に分から
ないため、従来例１に比べると解析は困難である。しか
しながら、ある特定の差分に対して大きな確率で特徴が
現われてくるようなＦ関数を選んだ場合には、従来例
１、２と同様に解析される可能性が高い。

【００２８】（２）Ｆ関数の前に第１の融合部を備え、
入力を一定のビット数に圧縮している。

【００２９】第１の融合部とＦ関数をまとめて１つのデ
ータ撹乱関数と考えると、一般にこの関数は２ブロック
以上のデータを入力とするため、Ｆ関数をどんなに選ん
でも単射になりえない。そのため、出力ビットの０／１
のバランスのとれた撹乱関数の設計が困難である。出力
ビットに０または１が偏って出現すると、鍵を総当たり
で１つ１つ代入する攻撃（総当たり法という）に対して
弱くなってしまう。

【００３０】また、従来例３では１ブロックの幅（上記
の例では１６ビット）とＦ関数の入出力の幅が一致して
いることが必要である。そのため、例えば安全性を向上
するためにＦ関数だけの入力幅を倍にしたい場合には対
応できない。

【００３１】本発明は、従来例における上述の課題に鑑
みて試されたもので、ハードウェアで実現することを前
提に、撹乱効果が高く、差分攻撃に強く、そして撹乱に
おいて出力ビットの０／１の偏りを生じないデータ撹乱
装置を提供することを目的とする。

【００３２】

【課題を解決するための手段】上記目的を達成するため
に、請求項１の発明においては、M,Nをそれぞれ２以上
の正整数とするとき、M×Nビットの入力データをブロッ
ク選択鍵情報とデータ撹乱鍵情報を用いて撹乱する装置
を繰り返し用いるデータ撹乱装置、もしくは、多段に備
えて用いるデータ撹乱装置であって、各段が、入力デー
タをMビットずつのNブロックに分割するデータ分割部
と、ここから１個以上のLブロックの入力データを選択
する第１の選択部と、前記第１の選択部の出力と前記ブ
ロック選択鍵情報に依存して、残りのN-Lブロックから
１個以上、N-L-1個以下のブロックを選択する第２の選
択部と、前記第１、第２の選択部で選択されなかった残
りブロックを選択する第３の選択部と、前記第１、第２
の選択部の出力を入力としてこれらを融合し、１ブロッ
クMビットの結果を出力する第１の融合部と、前記第１
の融合部の出力を前記データ撹乱鍵情報を用いて撹乱
し、Mビットの出力を行なうＦ関数部と、前記Ｆ関数部
の出力を前記第３の選択部の出力の各ブロックに排他的
論理和で融合した上で出力する第２の融合部と、前記第
１、第２の選択部で選択された入力データ、および前記
第３の選択部の出力を置換して後段への出力とする出力
部を有していることを特徴としたデータ撹乱装置として
いる。

【００３３】請求項２の発明は、請求項１の発明におけ
る第１の選択部で、前記ブロック選択鍵情報とは独立な
第２のブロック選択鍵情報を用いて、入力データを選択
することを特徴としたデータ撹乱装置としている。

【００３４】請求項３の発明は、請求項１の発明におけ
る第１の選択部の出力の、全ビットもしくは一部のビッ
トとブロック選択鍵情報を入力として、N-Lビットのブ
ロック選択信号を生成するブロック選択信号生成器を設
け、前記ブロック選択信号生成器の出力は、そのうち１
ビット以上N-L-1ビット以下が１であり、前記第２の選
択部を、前記第１の選択部以外のN-L個の入力ブロック
に前記ブロック選択信号の各１ビットをそれぞれ対応さ
せて、ブロック内のデータと対応するブロック選択信号
との論理積器で構成し、前記第３の選択部を、前記Ｆ関
数部の出力をN-Lブロック分用意し、これらに前記ブロ
ック選択信号の各１ビットをそれぞれ対応させて、ブロ
ックのデータ内と対応するブロック選択信号の否定との
論理積器で構成したデータ撹乱装置としている。

【００３５】請求項４の発明は、請求項１の発明におけ
る第１の融合部を、第１の選択部の出力および、第２の
選択部の出力の対応するビット間の排他的論理和で実現
したデータ撹乱装置としている。

【００３６】請求項５の発明は、請求項１の発明におけ
る出力部を、第１、第２の選択部で選択された入力デー
タに対応する出力を前記入力データそのままとし、前記
第３の選択部で選択された入力データに対応する出力を
前記第２の融合部の出力データとする出力整頓部と、こ
れをブロック単位でローテート置換する置換器で実現し
たデータ撹乱装置としている。

【００３７】請求項６の発明は、M,Nをそれぞれ２以上
の正整数とするとき、M×Nビットの入力データをブロッ
ク選択鍵情報とデータ撹乱鍵情報を用いて撹乱する装置
を繰り返し用いるデータ撹乱装置、もしくは、多段に備
えて用いるデータ撹乱装置であって、各段が、入力デー
タをMビットずつのNブロックに分割する第１のデータ分
割部と、このブロックをL個の大ブロックに分割する第
２のデータ分割部と、前記ブロック選択鍵情報に依存し
て、各大ブロックからそれぞれ１個づつのブロックを選
択する第１の選択部と、残りのブロックを選択する第２
の選択部と、前記第１の選択部の出力Lブロックを前記
データ撹乱鍵情報を用いて撹乱し、Lブロックの出力を
行なうＦ関数部と、前記Ｆ関数部の出力を前記L個の大
ブロックに対応してL個に分配する分配部と、前記各大
ブロックにおいて、前記分配部によって分配されたＦ関
数部の１ブロックの出力データを、前記第２の選択部の
出力に排他的論理和で融合した上で出力する融合部と、
第１の選択部で選択された入力データに対応する出力を
前記入力データそのままとし、前記第２の選択部で選択
された入力データに対応する出力を前記融合部の出力デ
ータとする出力部を有することを特徴としたデータ撹乱
装置としている。

【００３８】請求項７の発明は、請求項６の発明におけ
るブロック選択鍵情報を、入力データの一部と前記ブロ
ック選択鍵情報に依存して生成するデータ撹乱装置とし
ている。

【００３９】請求項８の発明は、請求項６の発明におけ
る融合部を、各大ブロックにおいて、前記Ｆ関数部の１
ブロック分の出力をその大ブロックに含まれるブロック
分用意し、前記ブロック選択鍵情報を用いて、これらか
ら前記第２の選択部に対応したブロックを論理積で選
び、これと入力データとの排他的論理和で実現したデー
タ撹乱装置としている。

【００４０】

【作用】上記構成による請求項１の発明においては、デ
ータ分割部が入力データをMビットづつのNブロックに分
割する。第１の選択部がその中からLブロックを選択す
る。そして第２の選択部が、第１の選択部の出力とブロ
ック選択鍵情報に依存して、残りのN-Lブロックから１
個以上N-L-1ブロック以下のブロックを選択する。第１
の融合部では第１、第２の選択部の出力を１ブロックに
融合する。Ｆ関数部はデータ撹乱鍵情報を用いて前記融
合結果を撹乱して、Mビットの出力を行なう。この撹乱
はもとのデータへの復元を保証しなくてもよい。第２の
融合部では、このＦ関数部の出力を前記第１、第２で選
ばれなかった入力データに排他的論理和で融合したうえ
で出力する。出力部は次に続く後段の入力として第１、
第２の選択部の出力はそのまま、残りの部分は第２の融
合部の出力を配し、あるいはこれを置換して出力する。

【００４１】請求項２の発明においては、第１の選択部
でのデータの選択を、第２のブロック選択鍵情報を用い
て行なう。

【００４２】請求項３の発明においては、第２の選択部
を、第１の選択部の出力とブロック選択鍵で定まるN-L
ビットのブロック選択信号を用いて、この信号と入力デ
ータの論理積器で構成する。従って、対応するブロック
選択信号が１であるブロックが選ばれる。

【００４３】また、第３の選択部は、前記ブロック選択
信号の否定とＦ関数の出力の論理積器で構成する。従っ
て、対応するブロック選択信号が０であるブロックに、
Ｆ関数の出力値が配される。

【００４４】請求項４の発明においては、第１の融合部
をブロックの対応するビット間の排他的論理和で実現し
ている。

【００４５】請求項５の発明においては、出力部の置換
をブロック単位でのローテート置換としている。

【００４６】請求項６の発明においては、第１のデータ
分割部が入力データをMビットづつのNブロックに分割す
る。第２のデータ分割部がこれをさらにL個の大ブロッ
クに分割する。そして第１の選択部が、ブロック選択鍵
情報に依存して、それぞれの大ブロックからそれぞれ１
ブロックづつ、計Lブロックを選択する。そしてＦ関数
部はこのデータ撹乱鍵情報を用いて前記Lブロックを撹
乱して、Lブロックの出力を行なう。この撹乱はもとの
データへの復元を保証しなくてもよい。分配部ではＦ関
数の出力Lブロックを、前記大ブロックに対応してL個に
分割する。融合部では、各大ブロックごとにこのＦ関数
部の出力１ブロックを前記第１の選択部で選ばれなかっ
た入力ブロックに排他的論理和で融合したうえで出力す
る。出力部は次に続く後段の入力として第１の選択部の
出力はそのまま、残りの部分は融合部の出力を配して出
力する。

【００４７】請求項７の発明においては、第６の発明に
おける第１の選択での選択信号に入力データの一部を用
いる。

【００４８】請求項８の発明においては、融合部が、各
大ブロックごとに前記第１の選択部で選ばれたブロック
位は０、それ以外はＦ関数の出力をもとの入力に排他的
論理和で融合する。

【００４９】

【実施例】図１は、第１の実施例におけるデータ撹乱装
置の構成図である。この例では６４ビットの入力データ
を１６ビットづつのA0,A1,A2,A3の４つに分割する場合
について示している。

【００５０】同図において１は、入力データA3とブロッ
ク選択鍵を入力としてブロック選択信号K0〜K2（各１ビ
ット）を出力するブロック選択信号生成部である。この
例では入力データからブロック選択信号生成部に入力す
るブロックを選択する、請求項１の発明における第１の
選択部（図示していない）は、入力ブロックA3を選択し
ているものとする。また、２〜４はブロック選択信号そ
れぞれに対応するブロックのうち、ブロック選択信号の
値が１であるものを選択する第２の選択部である。５は
第１の選択部の出力A3と第２の選択部の出力を融合し
て、１ブロック１６ビットのデータを出力する第１の融
合部である。この例では融合はブロック間のビットごと
の排他的論理和で構成している。６は１６ビットの入力
データをデータ撹乱鍵Ｋを用いて撹乱する任意のデータ
撹乱装置Ｆ（以降Ｆ関数と表す）である。このＦ関数自
身の構成については本発明の範囲外なので省略する。７
〜９は前記Ｆ関数の出力を入力A0〜A2に対応して３ブロ
ック分用意し、対応する前記ブロック選択信号鍵K0〜K2
の値が０であるものを選択する第３の選択部である。ま
た、１０〜１２は前記第３の選択部の出力と最初の入力
データA0〜A2を排他的論理和で融合する第２の融合部を
示している。１３は、前記A3を次の段のA0の位置である
B0に、そして第２の融合部１０の出力を次の段のA1の位
置B1に、以下同様に、融合部１１の出力をB2に、融合部
１２の出力をB3というように、ブロック単位で右にロー
テートする置換部である。

【００５１】次に図１を用いて、このデータ撹乱装置の
動作について説明する。（１）ブロック選択信号生成器１では、入力ブロックA3
の全ビットまたは一部ビットとブロック選択鍵情報を用
いて、ブロック選択信号K0〜K2を生成する。ここではK0
=1,K1=0,K2=0であるとする。

【００５２】（２）第２の選択部２〜４では、入力ブロ
ックA0〜A2とそれに対応するブロック選択信号K0〜K2と
の論理積を求める。このことによって、第２の選択部の
出力はブロック選択信号が０であるデータ、つまりC1,C
2の各ビットはすべて０になる。また、ブロック選択信
号が１であるC0はデータA0と同じになる。

【００５３】（３）第１の融合部では、入力ブロックA3
と第２の選択部の出力の排他的論理和を求める。従っ
て、出力Ｄは、A0とA3のビットごとの排他的論理和とな
る。

【００５４】（４）Ｆ関数６では、前記１６ビットのデ
ータＤをデータ撹乱鍵情報Ｋを用いて撹乱し、１６ビッ
トの値Ｅを出力する。

【００５５】（５）第３の選択部７〜９では、前記Ｆ関
数の出力データＥを３ブロック分用意し、このデータと
各ブロックに対応する前記ブロック選択信号K0〜K2の否
定との論理積を求める。このことによって、第３の選択
部の出力Ｇは対応するブロック選択鍵信号が１であるG0
が０になる。また、対応するブロック選択鍵信号が０で
あるG2,G3は前記Ｆ関数の出力データＥとなる。

【００５６】（６）第２の融合部１０〜１２では、入力
データＡと第３の選択部の出力データＧの対応するブロ
ック間の排他的論理和を求める。このことによって出力
データH0は、対応する入力データA0と同じになり、H1,H
2は対応する入力データA1,A2と前記Ｆ関数の出力Ｅの排
他的論理和となる。

【００５７】（７）ブロック置換部１３では、第２の融
合部の出力と入力A3をあわせて、ブロック単位で右にロ
ーテート置換している。その結果、このデータ撹乱装置
１段の出力Ｂは(B0,B1,B2,B3)=(A3,H0,H1,H2)となる。

【００５８】以上をまとめると、（１）から（７）の動
作は図２で示すとおりになる。A3とブロック選択鍵情報
によって決定したブロック選択信号によって、入力Ａ
を、AL=(A1,A2)とAR=(A0,A3)の２つに分ける。そして、
ARを１ブロック幅に融合した後Ｆ関数に入力し、その結
果をALに排他的論理和で融合している。その後１ブロッ
ク右にローテートしている。このことによって、出力Ｂ
は（B0,B1,B2,B3)=(A3,A0,A1+Ｅ,A2+Ｅ)となる。ここ
で'+'は排他的論理和を示す演算子とする。

【００５９】以上の説明より、このデータ撹乱装置を出
力Ｂを再びＡに代入して繰り返し用いることにより、左
右のビット位とビット数が可変であるインボリューショ
ン構成が実現されている。そして、その左右への分割は
入力A3とブロック選択鍵情報によって決定される。な
お、置換部１３におけるローテートは、繰り返しにおい
てブロック選択信号生成部に入力するブロックを変化す
るために行なう。これは、次に述べるように復号も同じ
ハードウェアで実現するために、ブロック選択信号生成
器に入力するデータを、そのままの形で後段に入力する
からである。前記したとおり、データ撹乱の際ブロック
選択信号生成器に入力するデータは、必ずB0の位置にそ
のままの形で残る。そのため、復号においても、同じハ
ードウェアを用いることができる。つまり、対応する段
のデータ撹乱の際と同じ入力データをブロック選択信号
生成器に代入して、同じ左右へのデータの分割を行なう
ことができるため、うまくこの構成を逆にたどることが
できる。ただし復号の際には、各段のブロック選択鍵情
報及びデータ撹乱鍵情報の入力順序をデータ撹乱の際と
逆にする。また、復号の際に置換等の処理なしで同じハ
ードウェアを用いるためには、段数すなわち繰り返し回
数を４の倍数にしておく。

【００６０】このデータ撹乱装置を用いると、従来例３
とは異なり、入力データがどのように左右に分けられて
いるかが入力される秘密のブロック選択鍵情報のみなら
ず、入力データによっても決定する。従って、鍵を固定
にして行なう差分攻撃においても、攻撃に用いるための
データを集めるために、データを変化させるとデータの
流れも変化する。従って、秘密の鍵を知らない解読者に
とっては、攻撃が非常に困難になる。

【００６１】図３は第２の実施例におけるデータ撹乱装
置の構成図である。この例では第１の実施例と同様に６
４ビットの入力データを１６ビットづつのA0,A1,A2,A3
の４つに分割し、さらにこれらをA0,A1の第１の大ブロ
ック、およびA2,A3の第２の大ブロックに分割する場合
について示している。

【００６２】同図において２１、２２はそれぞれ、ブロ
ック選択鍵K0によって第１の大ブロックから、A0または
A1を選択する第１の選択部（上位）、ブロック選択鍵K1
によって第２の大ブロックから、A2またはA3を選択する
第１の選択部（下位）を示している。２３は、前記２
１、２２の出力をあわせた３２ビット入力データを、デ
ータ撹乱鍵を用いて撹乱し、３２ビットのデータを出力
するデータ撹乱装置（Ｆ関数）である。２４、２５は各
大ブロック内のブロックに対応してＦ関数の出力を２ブ
ロック分用意し、対応する前記ブロック選択鍵が０のブ
ロックを選択する第２の選択部である。また、２６〜２
９は前記第２の選択部の出力と最初の入力データA0〜A3
を排他的論理和で融合する融合部を示している。

【００６３】次に図３を用いて、第２の実施例における
データ撹乱装置の動作について説明する。なお、この例
においてブロック選択鍵情報K0,K1はそれぞれK0=0,K1=1
とする。

【００６４】（１）第１の選択部（上位）２１では、対
応するブロック選択鍵情報K0によって、第１の大ブロッ
クA0,A1のうちからA1が選択される。また第１の選択部
（下位）２２では、対応するブロック選択鍵情報K1によ
って、第２の大入力ブロックA2,A3のうちからA2が選択
される。

【００６５】（２）第１の選択部で選択されたデータを
結合してＦ関数に入力する。今の場合A1を上位１６ビッ
ト、A2を下位１６ビットに配して３２ビットのデータと
してＦ関数に入力する。

【００６６】（３）Ｆ関数２３では、前記３２ビットの
データＣをデータ撹乱鍵情報Ｋを用いて撹乱し、３２ビ
ットの値Ｄを出力する。

【００６７】（４）第２の選択部（上位）２４では、前
記Ｆ関数２３の出力データＤの上位１６ビットDHを２ブ
ロック分用意し、前記ブロック選択信号K0の否定を入力
する。このことによって、第２の選択部の出力E0はDH、
E1は０となる。

【００６８】また、第２の選択部（下位）２５では、前
記Ｆ関数の出力データＤの下位１６ビットDLを２ブロッ
ク分用意し、前記ブロック選択信号K1の否定を入力す
る。このことによって、E2は０、E3はDLとなる。

【００６９】（５）融合部２６〜２９では、入力データ
Ａと第２の選択部の出力データＥのブロックごとの排他
的論理和を求める。このことによって本実施例における
データ撹乱装置の出力データＢは、(B0,B1,B2,B3)=(A0+
DH,A1,A2,A3+DL)となる。

【００７０】以上をまとめると、（１）から（５）の動
作は次のようになる。ブロック選択鍵情報によって入力
Ａを、AR=A1 || A2とAL=A0 || A3 の２つに分ける。こ
こで、' || 'は２データを横に並べて１つのデータとす
る結合を示している。そして、ARをデータ撹乱装置Ｆに
入力し、その撹乱結果をALに排他的論理和で融合してい
る。

【００７１】以上の説明より、このデータ撹乱装置を繰
り返して用いることにより、左右のビット位が可変であ
るインボリューション構成を実現している。そして、そ
の左右への分割はブロック選択鍵情報によって決定され
る。また、従来のインボリューション、従来例３、実施
例１と同様に復号においても、同じハードウェアを用い
ることができる。

【００７２】そして、このデータ撹乱装置は従来例３や
実施例１とは異なり、第１の融合部を取り除き、Ｆ関数
の出力に影響を及ぼす入力ブロックサイズを一定にして
いる。そのため、Ｆ関数を単射の関数に選ぶと、その出
力ビットの０／１の偏りがなく良好な撹乱特性を示す。
なお、この方法では大ブロックの分割数Lが、Ｆ関数へ
入力されるブロック数を示している。

【００７３】以上本発明を実施例に基づき説明したが、
本発明はなにも上記実施例に限定されないのは勿論であ
る。すなわち、（１）実施例１、２における６４ビット、４分割等はあ
くまでも、請求項１に記載したM,Nの具体例の１つであ
り、処理すべき信号の性質や他の設備との接続に応じ
て、適宜最良の値が採用される。

【００７４】（２）ハードウェアとしてではなく、ソフ
ト的にこのアルゴリズムを実現してもよい。

【００７５】（３）第１の実施例において、ブロック選
択信号生成器への入力はA3としていたが、これも請求項
１に記載したLの具体例の１つであり、A3以外のブロッ
クであってもよいし複数ブロックであってもよい。また
請求項２にしめすとおり、どのブロックを入力とするか
を秘密のブロック選択鍵情報を用いて決定してもよい。

【００７６】（４）実施例１では請求項３に示すとおり
ブロック選択信号を各ブロックごとに１ビット割り当て
ていたが、これは１ビットに限定されるものではない。

【００７７】（５）実施例１では請求項４に示すとおり
第１の融合部を排他的論理和で構成したが、この部分は
入力ブロックを１ブロックに圧縮する一般的な圧縮関数
であってもよい。

【００７８】（６）実施例１では請求項５に示すとおり
置換器をローテート置換で実現したが、この部分は任意
の置換であってもよい。

【００７９】（７）実施例２ではブロック選択鍵を用い
て第１の選択部の選択を行なったが、この部分は実施例
１のように入力データも用いて選択してよい。

【００８０】（８）実施例２では大ブロックを２ブロッ
クづつの２つとしていたが、これは請求項６に記載した
Lの具体例の１つであり、また各大ブロック内のブロッ
ク数が同じである必要もない。

【００８１】

【発明の効果】以上の説明から明らかなように、第１の
本発明は、入力データを複数のブロックに分割して、秘
密のブロック選択信号によって入力データを、ブロック
単位で左右２つに分けている。そして左右のビット位と
ビット数が可変であるインボリューション構成を実現し
ている。勿論、従来のインボリューションの持ってい
る、繰り返し処理または復号を同じハードウェア用いて
できる等の特性は保っている。ブロック選択信号は秘密
であるため、それぞれの選択部で選ばれるデータがそれ
ぞれが入力データのどの部分であるか、またそれぞれ何
ビットづつあるのか、秘密の鍵を知らない解読者にはデ
ータ撹乱関数Ｆの入力値を解析することさえ困難であ
る。そのうえ、本発明では、従来例３とは異なり、入力
データがどのように左右に分けられているかが入力され
る秘密のブロック選択鍵情報のみならず、入力データに
よっても決定する。従って、鍵を固定にして行なう差分
攻撃においても、攻撃に用いるためのデータを集めるた
めに、データを変化させるとデータの流れも変化する。
従って、秘密の鍵を知らない解読者にとっては、攻撃が
なお一層困難になる。

【００８２】また、第２の本発明は、第１の本発明にあ
った第１の融合部を取り除き、Ｆ関数の出力に影響を及
ぼす入力ブロックサイズを一定にしている。そのため、
Ｆ関数を単射の関数に選ぶと、その出力ビットの０／１
の偏りがなく良好な撹乱特性を示す。また大ブロックの
分割Lを変化させることによってＦ関数の入力幅を変更
することができる。

【００８３】なお、第１、第２の本発明において、従来
例３と比べてのハードウェア増加量はほとんどない。

【図面の簡単な説明】

【図１】本発明の第１の実施例におけるデータ撹乱装置
の構成図

【図２】本発明の第１の実施例におけるデータ撹乱装置
の動作例を示した図

【図３】本発明の第２の実施例におけるデータ撹乱装置
の構成図

【図４】従来のインボリューション構成図

【図５】従来の別の、入力データを４つに分けて行なう
拡張インボリューション構成図

【図６】従来のさらに他のデータ撹乱装置の構成図

【符号の説明】

１ブロック選択信号生成器２〜４第２の選択部５第１の融合部６、２３、１０６データ撹乱装置Ｆ関数７〜９第３の選択部１０〜１２第２の融合部１３置換部２１、２２第１の選択部２４、２５第２の選択部２６〜２９融合部１０１〜１０４第１の選択部１０５第１の融合部１０７〜１１０第２の選択部１１１〜１１４第２の融合部

Claims

【特許請求の範囲】

【請求項１】M,Nをそれぞれ２以上の正整数とすると
き、M×Nビットの入力データをブロック選択鍵情報とデ
ータ撹乱鍵情報を用いて撹乱する装置を繰り返し用いる
データ撹乱装置、もしくは、多段に備えて用いるデータ
撹乱装置であって、各段が、入力データをMビットずつのNブロックに分割するデータ
分割部と、ここから１個以上のLブロックの入力データ
を選択する第１の選択部と、前記第１の選択部の出力と
前記ブロック選択鍵情報に依存して、残りのN-Lブロッ
クから１個以上、N-L-1個以下のブロックを選択する第
２の選択部と、前記第１、第２の選択部で選択されなか
った残りブロックを選択する第３の選択部と、前記第
１、第２の選択部の出力を入力としてこれらを融合し、
１ブロックすなわちMビットの結果を出力する第１の融
合部と、前記第１の融合部の出力を前記データ撹乱鍵情
報を用いて撹乱し、Mビットの出力を行なうＦ関数部
と、前記Ｆ関数部の出力を前記第３の選択部の出力の各
ブロックに排他的論理和で融合した上で出力する第２の
融合部と、前記第１、第２の選択部で選択された入力デ
ータ、および前記第３の選択部の出力を置換して後段へ
の出力とする出力部を有していることを特徴としたデー
タ撹乱装置。
【請求項２】前記第１の選択部で、前記ブロック選択鍵
情報とは独立な第２のブロック選択鍵情報を用いて、入
力データを選択することを特徴とした請求項１記載のデ
ータ撹乱装置。
【請求項３】前記第１の選択部の出力の全ビットもしく
は一部のビットとブロック選択鍵情報を入力として、N-
Lビットのブロック選択信号を生成するブロック選択信
号生成器を設け、前記ブロック選択信号生成器の出力
は、そのうち１ビット以上N-L-1ビット以下が１であ
り、前記第２の選択部を、前記第１の選択部以外のN-L
個の入力ブロックに前記ブロック選択信号の各１ビット
をそれぞれ対応させて、ブロック内のデータと対応する
ブロック選択信号との論理積器で構成し、前記第３の選
択部を、前記Ｆ関数部の出力をN-Lブロック分用意し、
これらに前記ブロック選択信号の各１ビットをそれぞれ
対応させて、ブロックのデータ内と対応するブロック選
択信号の否定との論理積器で構成した請求項１項記載の
データ撹乱装置。
【請求項４】前記第１の融合部を、第１の選択部の出力
および、第２の選択部の出力の対応するビット間の排他
的論理和で実現した請求項１記載のデータ撹乱装置。
【請求項５】前記出力部を、第１、第２の選択部で選択
された入力データに対応する出力を前記入力データその
ままとし、前記第３の選択部で選択された入力データに
対応する出力を前記第２の融合部の出力データとする出
力整頓部と、これをブロック単位でローテート置換する
置換器で実現した請求項１記載のデータ撹乱装置。
【請求項６】M,Nをそれぞれ２以上の正整数とすると
き、M×Nビットの入力データをブロック選択鍵情報とデ
ータ撹乱鍵情報を用いて撹乱する装置を繰り返し用いる
データ撹乱装置、もしくは、多段に備えて用いるデータ
撹乱装置であって、各段が、入力データをMビットずつのNブロックに分割する第１の
データ分割部と、このブロックをL個の大ブロックに分
割する第２のデータ分割部と、前記ブロック選択鍵情報
に依存して、各大ブロックからそれぞれ１個づつのブロ
ックを選択する第１の選択部と、残りのブロックを選択
する第２の選択部と、前記第１の選択部の出力Lブロッ
クを前記データ撹乱鍵情報を用いて撹乱し、Lブロック
の出力を行なうＦ関数部と、前記Ｆ関数部の出力を前記
L個の大ブロックに対応してL個に分配する分配部と、前
記各大ブロックにおいて、前記分配部によって分配され
たＦ関数部の１ブロックの出力データを、前記第２の選
択部の出力に排他的論理和で融合した上で出力する融合
部と、第１の選択部で選択された入力データに対応する
出力を前記入力データそのままとし、前記第２の選択部
で選択された入力データに対応する出力を前記融合部の
出力データとする出力部を有することを特徴としたデー
タ撹乱装置。
【請求項７】前記ブロック選択鍵情報を、入力データの
一部と前記ブロック選択鍵情報に依存して生成する請求
項６記載のデータ撹乱装置。
【請求項８】前記融合部を、各大ブロックにおいて、前
記Ｆ関数部の１ブロック分の出力をその大ブロックに含
まれるブロック分用意し、前記ブロック選択鍵情報を用
いて、これらから前記第２の選択部に対応したブロック
を論理積で選び、これと入力データとの排他的論理和で
実現した請求項６項記載のデータ撹乱装置。