JPH0651698A - データ攪拌装置およびデータ攪拌方法 - Google Patents

Abstract

(57)【要約】 【目的】 ＤＥＳ型暗号において差分攻撃を排除する。 【構成】 ４８ビットのサブ鍵は３２ビットと１６ビッ
トに分割され、その１６ビットは４ビットづつに分割さ
れてデータ回転関数手段２−１〜２−４にパラメータと
して与えられる。その４ビットはパラメータとして、３
２ビットデータＲ _i-1 をデータ回転関数手段２−１〜２
−４でそれぞれ一斉にその各パラメータだけ左回転され
る。回転関数手段２−１，２−３の各出力はＧ関数手段
３−１，３−２で前記３６ビットデータで混ぜ合わされ
て攪拌され、データ回転関数手段２−３，２−４の出力
はＧ関数手段３−３，３−４でそれぞれデータ攪拌さ
れ、Ｇ関数手段３−１〜３−４の各出力は排他的論理和
手段４でビット対応ごとに排他的論理和演算されて、拡
散データとして出力される。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、暗号化、復号化に用
いられ、入力データを鍵データで攪拌するデータ攪拌装
置及びデータ攪拌方法に関する。

【０００２】

【従来の技術】

（ＤＥＳ型暗号）最初にこの発明と関係するＤＥＳ型暗
号について説明する。ＤＥＳ型暗号装置は図１４に示す
ように鍵処理部５０と、暗号化処理部５１とよりなり、
暗号化処理部５１は左レジスタ５２，５４，５６，５
８，６０、右レジスタは５３，５５，５７，５９，６
１、ＤＥＳ型暗号のデータ攪拌装置６３−１，６３−
２，６３−３、ビット対応の排他的論理和回路６４−
１，６４−２，６４−３を備える。Ｌ，Ｒはそれぞれレ
ジスタ内の処理されるデータブロックの左３２ビット，
右３２ビットをそれぞれ示し、Ｌ，Ｒの右下の添字は処
理の段階を表す。最初に、鍵処理部５０の動作について
説明する。

【０００３】鍵処理部５０が暗号化を行うときには６４
ビットの鍵データブロックＫを入力し、鍵処理部５０の
中で鍵Ｋを攪拌し、端子６６−１〜６６−３にそれぞ
れ、サブ鍵Ｋ₁ 〜Ｋ₁₆をこの順序に出力し、復号化を行
うときには端子６６−１〜６６−３からそれぞれ、サブ
鍵の順序を暗号化の場合と逆に、すなわち、Ｋ₁₆〜Ｋ₁
をこの順序に出力する。

【０００４】次に、暗号化処理部５１の動作について説
明する。先ず、６４ビットの平文データブロックＰを左
右３２ビットずつのＬ₀ ，Ｒ₀に分け、それぞれ左レジ
スタ５２と右レジスタ５３に格納する。そして、右半分
のデータブロックＲ₀ にサブ鍵Ｋ₁ を用いてデータ攪拌
装置６３−１でデータ攪拌を施こし、このデータブロッ
クと左半分Ｌ₀ のデータブロックとを、排他的論理和回
路６４−１で排他的論理和をとり、その結果を新しく右
半分のデータブロックＲ₁ とし、右レジスタ５５に格納
する。また、最初の右半分のデータブロックＲ₀ を新し
く左半分のデータブロックＬ₁ として左レジスタ５４に
格納する。このような処理を１６回繰り返し行い、左デ
ータブロックＬ₁₆を左レジスタ５８に格納し、右データ
ブロックＲ₁₆を右レジスタ５９に格納する。最後に、左
半分と右半分のデータブロックを入れ換えて、すなわ
ち、左レジスタ６０に右データブロックＲ₁₆を格納し、
右レジスタ６１に左データブロックＬ₁₆を格納し、両デ
ータブロックＲ₁₆とＬ₁₆を並べて得られる６４ビットの
データブロックを暗号文データブロックＣとして出力す
る。

【０００５】以上は、暗号化処理部５１を用いて、平文
Ｐを暗号化し、暗号文Ｃを得る処理の説明であった。こ
の暗号化処理において、入力を暗号文Ｃとし、サブ鍵の
順序を逆に、すなわち、端子６６−１からサブ鍵Ｋ₁₆を
出力し、端子６６−２からサブ鍵Ｋ₁₅を出力し、以下同
じようにして端子６６−３からサブ鍵Ｋ₁ を出力する
と、レジスタ５２〜６１、データ攪拌装置の６３−１〜
６３−３と、排他的論理和回路６４−１〜６４−３等、
これら全てを処理する方法は、暗号化処理と同じにした
まま復号化処理が行える。すなわち、暗号文Ｃを入力し
て、平文Ｐが復元して出力する。

【０００６】以上に述べた暗号化処理と復号化処理を数
式を用いて補足説明する。最初に、暗号化処理を説明す
る。入力した６４ビット長の平文Ｐは３２ビットずつ２
等分して左データブロックをＬ₀ ，右データブロックを
Ｒ₀ とする。Ｌ₀ はレジスタ５２に、またＲ₀ はレジス
タ５３にそれぞれ記憶する。次に、データ攪拌装置６３
−１と排他的論理和回路６４−１を経て、レジスタ５５
に右データブロックＲ₁ が記憶され、レジスタ５４に左
データブロックＬ₁ が記憶される。Ｌ₁ とＲ₁ は、次式
で与えられる。 Ｌ₁ ＝Ｒ₀ Ｒ₁ ＝Ｌ₀ (+) Ｆ（Ｒ₀ ，Ｋ₁ ） ここで、(+) は排他的論理和を示し、Ｆはデータ攪拌装
置の機能を関数として表したものである。

【０００７】以下、同じようにして、Ｌ_i とＲ_i が次の
通り求められる。 Ｌ_i ＝Ｒ_i-1 Ｒ_i ＝Ｌ_i-1 (+) Ｆ（Ｒ_i-1 ，Ｋ_i ） ただし、ｉ＝１，２，…１６である。レジスタ５８に左
データブロックＬ₁₆が、レジスタ５９に右データブロッ
クＲ ₁₆が、それぞれ記憶される。

【０００８】次に、Ｌ₁₆とＲ₁₆を交換し、レジスタ６０
に左データブロックＲ₁₆が、レジスタ６１に右データブ
ロックＬ₁₆がそれぞれ記憶される。Ｒ₁₆とＬ₁₆を結合し
て得られる６４ビットデータブロックを、暗号文Ｃとす
る。すなわち、 Ｃ＝Ｒ₁₆‖Ｌ₁₆ 次に、復号化処理を説明する。

【０００９】入力した６４ビット長の暗号文Ｃ＝Ｒ₁₆‖
Ｌ₁₆は，３２ビットずつ２等分し、左データブロックを
Ｒ₁₆、右データブロックをＬ₁₆とする。Ｒ₁₆はレジスタ
５２に、またＬ₁₆はレジスタ５３にそれぞれ記憶する。
次に、データ攪拌装置６３−１と排他的論理和回路６４
−１を経て、レジスタ５５に右データブロックＬ₁₅が記
憶され、レジスタ５４に左データブロックＲ₁₅が記憶さ
れる。Ｒ₁₅とＬ₁₅は、次式で与えられる。 Ｒ₁₅＝Ｌ₁₆ Ｌ₁₅＝Ｒ₁₆(+) Ｆ（Ｌ₁₆，Ｋ₁₆） 以下、同じようにして、Ｒ_i とＬ_i が次の通り求められ
る。 Ｒ_i-1 ＝Ｌ_i Ｌ_i-1 ＝Ｒ_i (+) Ｆ（Ｌ_i ，Ｋ_i ） ただし，ｉ＝１６，１５，…１である。

【００１０】レジスタ５８に左データブロックＲ₀ が、
レジスタ５９に右データブロックＬ ₀ が、それぞれ記憶
される。次に、Ｒ₀ とＬ₀ を交換し、レジスタ６０に左
データブロックＬ₀ が、レジスタ６１に右データブロッ
クＲ₀ がそれぞれ記憶される。Ｌ₀ とＲ₀ を結合して得
られる６４ビットデータブロックを、平文Ｐとする。す
なわち、 Ｐ＝Ｌ₀ ‖Ｒ₀ （転置と換字）ＤＥＳ型暗号において、暗号化や復号化
の処理の為に使われる転置（パーミュテーション）と換
字（サブステチューション）について、説明しておく。
転置と換字とも、データブロックＡを入力し、データブ
ロックＢを出力する。なお、データブロックＡ，Ｂ，の
内部のビットは、Ａｉ，Ｂｉ，とビット番号を付与して
表す。ただし、ビット番号はブロックの左から右側へ
１，２，…，と昇順に付与する。

【００１１】転置は、入力ブロックＡの個々の１ビット
が、出力ブロックＢの個々の１ビットとして出力され
る。すなわち、Ｂｊ＝Ａｉである。転置は、結線論理と
も言う。転置は、入力ブロックＡのビット長と、出力ブ
ロックＢのビット長とが同じものと、異なるものとがあ
る。出力ブロックＢのビット長が長いものは、入力のい
くつかのビットが分岐して、複数の出力ビットとして出
力される。このような転置は拡大転置という。拡大転置
は、暗号ＤＥＳのデータ攪拌装置の要素として使われ
る。

【００１２】換字は入力ブロックＡを、他のブロックＢ
に置き換える機能を持つ。換字は、例えば読みとり専用
メモリ（ＲＯＭ）により、次のように実現される。すな
わち、入力ブロック内部のビット系列を２進の非負値整
数で表し、これをメモリに付与された番地とみなし、こ
の番地に、出力ブロックＢの値とするビットデータを書
き込んでおく。換字の出力の各１ビットは、入力の複数
のビットの影響を受けてその値が定まる。 （データ攪拌装置）ＤＥＳ暗号で使われているデータ攪
拌装置のブロック図を図１５に示す。データ攪拌装置６
３は拡大転置部７０，排他的論理和回路７１，換字処理
部７２，転置処理部７３が縦続的に設けられ、右データ
Ｒ_i-1 が入力データ線７４に、サブ鍵Ｋ_i が入力データ
線７５にそれぞれ入力されて拡大転置部７０，排他的論
理和回路７５に供給される。データ攪拌装置６３の出力
は出力データ線７６に出力され、４８ビットデータを伝
えるデータ線７７と７８で拡大転置部７０，排他的論理
和回路７１、換字処理部７２が順次接続され、３２ビッ
トデータを伝えるデータ線７９で換字処理部７２が転置
処理部７３に接続される。

【００１３】データ攪拌装置６３はデータ線７４から３
２ビットの右データＲ_i-1 を入力し、データ線７５から
４８ビットのサブ鍵Ｋ_i を入力し，右データＲ_i-1 は拡
大転置部７０で４８ビットに拡大されてデータ線７７に
出力され、データ線７５と７７上の４８ビットデータ
は、排他的論理和回路７１でビット対応の排他的論理和
演算が施され、その４８ビットの出力はデータ線７８を
経由して、換字処理部７２に入力され、その換字の処理
結果の３２ビットデータがデータ線７９に出力され、次
に転置処理７３で転置が施こされ、その処理結果の３２
ビットデータがデータ線７６上にデータ攪拌装置６３の
出力データとして出力される。

【００１４】以上述べたデータ攪拌装置６３の動作を要
約すると、データ攪拌装置６３は右データＲ_i-1 とサブ
鍵Ｋｉとを入力し、データ攪拌装置６３の内部で、右デ
ータＲ_i-1 とサブ鍵Ｋｉとは排他的論理和で結合し、ま
た、転置と換字を用いてデータ攪拌し、その処理結果を
出力する。 （ブロックの差分）次に、この発明の対象とする課題で
ある差分暗号攻撃について説明する。まず差分の意味を
説明する。

【００１５】２つのデータブロックｘとｘ^* があり、こ
れら２つのブロックの１ビット毎の排他的論理和演算の
結果、得られるブロック、即ちｘ′＝ｘ(+) ｘ^* をブロ
ックｘとｘ^* の差分、または差分ブロックという。(+)
は排他的論理和を表す。 （差分の通過）ある関数ｙ＝ｇ（ｘ）において、適当に
選んだ２対の入力ブロック、ｘ₁ とｘ₁ ^* ，ｘ₂ とｘ₂
^* に対して、それぞれの出力ブロックｙ₁ とｙ₁ ^* ，ｙ
₂ とｙ₂ ^* が得られ、但しｙ_j ＝ｇ（ｘ_j ），ｙ^* _j ＝
ｇ（ｘ^* _j ），ｊ＝１，２、これらの差分の間に、ｘ′
＝ｘ₁ (+) ｘ₁ ^* ＝ｘ₂ (+) ｘ₂ ^* 、かつ，ｙ₁ (+)ｙ
₁ ^* ＝ｙ₂ (+) ｙ₂ ^* が成立するとき、差分ｘ′は関数
ｇを通過するという。

【００１６】更に、多数のデータブロックｘ₁ ，
ｘ₁ ^* ，ｘ₂ ，ｘ₂ ^* について、確率ｐでこの関係が成
り立つとき、すなわち、ｘ′＝ｘ₁ (+) ｘ₁ ^* ＝ｘ
₂ (+) ｘ₂ ^* かつ、ｙ₁ (+) ｙ₁ ^* ＝ｙ₂ (+) ｙ₂ ^* が
確率ｐで成り立つとき、差分ｘ′は確率ｐで関数ｇを通
過するという。この確率ｐを差分ｘ′が関数ｇを通過す
る確率という。 （データ攪拌装置への差分の通過の例）ＤＥＳ型暗号の
データ攪拌装置への差分ｘ′の通過する例は無数あり、
例を次に示す。ここで、ｘ′＝ｘ(+) ｘ^* はデータ攪拌
装置への３２ビットの入力の差分を、ｙ′＝ｙ(+) ｙ^*
はデータ攪拌装置から出力される３２ビットの差分を、
確率ｐは差分ｘ′がデータ攪拌装置を通過する確率をそ
れぞれ表す。ｘ′とｙ′は１６進数で表す。 ｘ′＝ｘ(+) ｘ^* ＝04000000，ｙ′＝ｙ(+) ｙ^* ＝4080
0000，確率ｐ＝1/4 ｘ′＝ｘ(+) ｘ^* ＝00000400，ｙ′＝ｙ(+) ｙ^* ＝0020
0008，確率ｐ＝1/4 ｘ′＝ｘ(+) ｘ^* ＝00540000，ｙ′＝ｙ(+) ｙ^* ＝0400
0000，確率ｐ＝160/4096 （ＤＥＳ型暗号への差分暗号攻撃法）差分暗号攻撃法
は、暗号に多数の平文ＰとＰ^* を入力し、暗号化の結果
得られる多数の暗号文ＣとＣ^* を用いて、暗号化に用い
た鍵を算出する暗号攻撃方法である。ここで、平文の差
分は、Ｘ′＝Ｐ(+) Ｐ^* 、暗号文の差分は、Ｃ′＝Ｃ
(+) Ｃ^* とする。次に、この発明の説明のために必要と
なる、差分暗号攻撃法の主要部分を数値例を含めて説明
する。 （差分攻撃のステップ１） データ攪拌装置６３の内部
のデータの流れを詳細に解析し、差分通過確率ｐ_i が大
きな差分入力Ｘ′_i-1 ＝（Ｌ_i-1 ‖Ｒ_i-1 ）′を見出
す。特に、差分出力Ｘ′_i ＝（Ｌ_i ‖Ｒ_i ）′が、次段
の差分入力となる差分系列Ｘ′_i （ｉ=0,1,2, ……,16
）を見出す。

【００１７】差分の例を次に示す。ここで、差分は６４
ビットとし、１６進数により表示した。第１段の処理で
は、（Ｌ₀ ‖Ｒ₀ ）′＝ 4080 0400 0400 0010，ｐ₁ ＝
２^-2となり、第２段の処理では、（Ｌ₁ ‖Ｒ₁ ）′＝ 0
200 0008 0000 0100，ｐ₂ ＝２^-2となり、第３段の処理
では（Ｌ₂ ‖Ｒ₂ ）′＝0000 0400 0600 0008,ｐ₃ ＝２
^-2となり、以下同様に繰り返して、第１６段の処理で
は、（Ｌ₁₆‖Ｒ₁₆）′＝0002 0010 0000 0000，ｐ₁₆＝
２^-2となる。ただし、この例では、ｐ_i ＝２^-2である。 （差分攻撃のステップ２） 暗号化のための処理が第１
段から第１６段まで１６回連続して繰り返されるとき、
最終差分出力Ｘ₁₆′が出力される確率は、全ての差分の
通過確率ｐ_i の積ｐ，ｐ＝ｐ₁ ・ｐ₂ ・…ｐ₁₆＝
（２^-2）¹⁶＝２^-32 により求められる。 （差分攻撃のステップ３） 多数の平文の対ＸとＸ^* 、
ただし、Ｘ₀ ′＝Ｘ(+)Ｘ^* 、を平文として入力し、予
定の最終差分出力Ｘ₁₆′を探す。平均して１／ｐ＝２³²
の平文の対ＸとＸ^* を入力すると、差分出力Ｘ₁₆′が求
められる。このとき全ての差分Ｘ_i ′も同時に求められ
る。 （差分攻撃のステップ４） 差分系列Ｘ_i ′を用いて、
各段階に入力している個別のサブ鍵（Ｋ_i ）を算出す
る。なお、サブ鍵の求め方は個々の暗号によって異なる
ものであり、またこの発明の説明に直接関係しないので
説明しない。 （差分攻撃の対策）ＤＥＳやＦＥＡＬなどの暗号は、暗
号文の生成手順を秘密にしない手順公開暗号である。従
って、暗号を攻撃しようとする者は、手順公開暗号の内
容、特にデータ攪拌装置について、その内部の構造を詳
細に解析し、差分通過確率ｐ_i が大きな差分入力
Ｘ_i-1 ′を見出せる機会を持つ。この理由から、差分攻
撃が完全に避けられる暗号、特に暗号のデータ攪拌装置
の開発が必要である。 （ある論文との関係）次の論文速報誌に、差分攻撃の対
策に関する論文が掲載されており、この発明との関係を
説明する。 Information Processing Letters 41 (1992), Vol 41,
No.2, pp.77-80, 14 Febuary 1992,On immunity agains
t Biham and Shamir's“differential cryptanalysis” （Biham-Shamirの差分暗号攻撃に対する免疫）この論文
は、手順公開型の秘密鍵暗号の要素として換字に注目
し、この換字をＳボックスとよび（s-boxes:上記論文の
第１章の末尾から２行目）、差分攻撃を避けるために、
Ｓボックスをどのよう作ればよいかを論じている。すな
わち、Ｓボックスは、屈曲関数（bent function ）とよ
ぶ特別な関数を用いて作るべきと結論づけている（この
論文の定理３と定理４に記載される）。この論文は、こ
の発明の対象とするデータ攪拌装置およびデータ攪拌方
法について開示していない。

【００１８】以上を要約すると、この論文はそのタイト
ルからみるとこの発明と関係があるようにみえるが、実
際はなんの関係もない。この発明は差分攻撃を排除する
ことができるデータ攪拌装置および、データ攪拌方法を
提供することを目的とする。

【００１９】

【課題を解決するための手段】

（１）この発明のデータ攪拌装置は、データ回転関数手
段と、データ回転関数手段に直列に接続されたデータ攪
拌手段とを具備し、データ攪拌手段は、複数のビットか
らなるデータと、複数のビットからなる鍵とを入力し、
データ回転関数手段は、鍵の一部をパラメータとして、
これに入力されたデータを一方向に回転して出力し、デ
ータ攪拌手段は、これに入力されたデータと鍵とを混ぜ
合わせてデータ攪拌して出力し、この直列接続の出力を
データ攪拌装置の出力とする。

【００２０】（２）並列に並べたデータ回転関数手段
と、データ攪拌手段と、排他的論理和手段とを具備し、
データ回転関数手段とデータ攪拌手段は共にデータＵを
入力し、データ回転関数手段は、鍵の一部をパラメータ
として、データＵを一方向に回転してデータＶを出力
し、データ攪拌手段はデータＵと鍵とを混ぜ合わせてデ
ータ攪拌して出力データＷを出力し、排他的論理和手段
はデータＶとデータＷとを結合して得られたデータをデ
ータ攪拌装置の出力とする。

【００２１】（３）前記（２）においてデータ回転関数
手段と直列に第２データ攪拌手段が挿入され、その第２
データ攪拌手段はこれに入力されたデータと鍵の一部と
を混ぜ合わせてデータを攪拌する。 （４）この発明のデータ攪拌装置は、並列に並べた複数
のデータ回転関数手段と、それぞれのデータ回転関数手
段の出力側に接続された複数のデータ攪拌手段と、排他
的論理和手段とを具備し、データ攪拌装置に、複数のビ
ットからなるデータＵと、複数のビットからなるサブ鍵
とが入力され、各データ回転関数手段は、それぞれサブ
鍵の互いに異なる一部をパラメータとして、データＵを
一方向に回転してそれぞれデータＶ₁ ，Ｖ₂ ，…を出力
する。各データ攪拌手段はデータＶ₁ ，Ｖ₂ ，…と、サ
ブ鍵の一部とを混ぜ合わせてデータ攪拌し、それぞれデ
ータＷ₁ ，Ｗ₂ ，…を出力し、排他的論理和手段はこれ
らデータＷ₁ ，Ｗ₂ ，…を排他的論理和演算で結合し、
結合して得られるデータをデータ攪拌装置の出力とす
る。データ攪拌手段はサブ鍵と混ぜ合せることなくデー
タ攪拌してもよく、データＶ₁ ，Ｖ₂ ，…の少なくとも
１つだけをサブ鍵の一部と混ぜ合せてもよい。

【００２２】（５）前記データ攪拌装置は更にＡＮＤま
たはＯＲ論理演算素子を具備し、これにより、入力デー
タＵとサブ鍵の他の一部とをＡＮＤまたはＯＲ演算し、
その結果のデータを上記排他的論理和演算手段でその他
の入力との排他的論理和演算をする。 （６）前記（４）のデータ攪拌装置は更に転置処理手段
とＡＮＤまたはＯＲ論理演算素子とを具備し、入力デー
タＵはまず転置処理手段で転置処理が施され、その結果
のデータＵＸが各データ回転関数手段に供給され、また
ＡＮＤまたはＯＲ論理演算素子で入力データＵとサブ鍵
の他の一部とのＡＮＤまたはＯＲ演算がされ、その結果
のデータと、各データ攪拌手段からの出力データＷ₁ ，
Ｗ₂ ，…と共に排他的論理和演算され、得られるデータ
が、データ攪拌装置の出力とされる。

【００２３】（７）前記（６）のデータ攪拌装置におい
て、転置処理手段の代りに換字処理手段が置き換えられ
てデータ攪拌される。 （８）前記（４）のデータ攪拌装置で、データ回転関数
手段と、データ攪拌手段との接続順序が交換される。 （９）以上のいずれでも排他的論理和演算手段の代りに
モジューロ加算手段が用いられる。

【００２４】以上の処理において、データ回転関数手段
を通過する差分が通過する確率は、パラメータを必要と
する値に設定することにより希望する値以下に制御で
き、更に、複数のデータ攪拌手段によりデータ攪拌を行
うことができる。 （データ回転関数手段）次に、この発明で最も重要な要
素であるデータ回転関数手段について、更に詳しく説明
する。

【００２５】データ回転関数手段は複数ビットからなる
データブロックを、パラメータλの指定するビット数だ
け一方向、例えば左回転する‘左回転レジスタ’として
実現出来る。データ回転関数手段の機能を関数として表
し、データ回転関数と呼ぶ。データ回転関数はパラメー
タλを持ち、入力ブロックｘを出力ブロックｙに変換す
る。数式的には、ｙ＝ＲＴ（ｘ，λ）として表す。ここ
で、ｘ，ｙは３２ビットブロック、パラメータλはｍビ
ット長ブロック、０≦λ＜２^m なる整数でｘの左回転数
を表す。例えば、λ＝５のとき、ブロックｘは左に５ビ
ット回転する。パラメータλの取り得る数２^m をデータ
回転関数の複雑度という。ｍ＝５の場合、複雑度は２⁵
である。

【００２６】データ回転関数ｙ＝ＲＴ（ｘ，λ）を通過
できる差分ｘ′、ただしｘ′＝ｘ₁(+) ｘ₁ ^* ＝ｘ₂ (+)
ｘ₂ ^* は、パラメータλを変えれば、このデータ回転
関数を通過出来なくなる。すなわち、パラメータλを変
えると、ｘ′とは異なる他の差分が出力される。このデ
ータ回転関数の機能を数式を用いて説明する。データ回
転関数ＲＴについて、次の関係が成り立つことは明らか
である。

【００２７】ＲＴ（ｘ，λ）(+) ＲＴ（ｘ^* ，λ）＝Ｒ
Ｔ（ｘ(+) ｘ^* ，λ） ｘをｘ₁ ，ｘ₂ とし、λ＝ａ，ｂとすれば、次の関係が
成り立つ。 ＲＴ（ｘ₁ ，ａ）(+) ＲＴ（ｘ₁ ^* ，ａ）＝ＲＴ（ｘ₁
(+) ｘ₁ ^* ，ａ）＝ｙ₁ (+) ｙ₁ ^* ＲＴ（ｘ₂ ，ｂ）(+) ＲＴ（ｘ₂ ^* ，ｂ）＝ＲＴ（ｘ₂
(+) ｘ₂ ^* ，ｂ）＝ｙ₂ (+) ｙ₂ ^* 従って、ｘ₁ (+) ｘ₁ ^* ＝ｘ₂ (+) ｘ₂ ^* のとき次の関
係が成り立つ。 ａ＝ｂであれば、ｙ₁ (+) ｙ₁ ^* ＝ｙ₂ (+) ｙ₂ ^* ａ≠ｂであれば、ｙ₁ (+) ｙ₁ ^* ≠ｙ₂ (+) ｙ₂ ^* 上の関係式は、データ回転関数ｙ＝ＲＴ（ｘ，λ）を通
過できる差分ｘ′、ただしｘ′＝ｘ₁ (+) ｘ₁ ^* ＝ｘ₂
(+) ｘ₂ ^* 、は、パラメータλを変えれば、通過出来な
いことを意味している。

【００２８】パラメータλの取り得る数は２^m 通りある
ので、別の表現をすれば、差分ｘ′＝ｘ₁ (+) ｘ₁ ^* ＝
ｘ₂ (+) ｘ₂ ^* は、データ回転関数ｙ＝ＲＴ（ｘ，λ）
を、確率２^-mで通過すると言い換えることができる。 （データ攪拌関数手段内部の並列処理）次に、差分の通
過確率が２^-mであるデータ回転関数ｙ＝ＲＴ（ｘ，λ）
を用いて、任意の関数ｙ＝ｇ（ｘ）を次のように変え
る。

【００２９】ｙ＝ｇ（ＲＴ（ｘ，λ）） 差分ｘ′はデータ回転関数を確率２^-mで通過する。デー
タ回転関数の出力の差分ｘ₂ ′は任意の関数ｇ（ｘ）
を、確率をｐで通過する。ただし、０≦ｐ≦１（通過で
きないときは、ｐ＝０）。すると、最初にデータ回転関
数に入力した差分ｘ′が、関数ｙ＝ｇ（ｘ）を通過でき
る確率は、２つの確率の積で与えられるから、２^-m・ｐ
となる。ここで、２^-m・ｐ≦２^-mなる関係から次の結
論、すなわち、「関数ｙ＝ｇ（ＲＴ（ｘ，λ））が、任
意の差分ｘ′の通過を許す確率は、高々２^-mである」。

【００３０】次にデータ回転関数をＳ個並べた次の関数
を考える。 ｙ＝ｇ₁ （ＲＴ（ｘ，λ₁ ））(+) ｇ₂ （ＲＴ（ｘ，λ
₂ ））(+) …(+) ｇ_S （ＲＴ（ｘ，λ_S ）） ただし、λ＝λ₁ ‖λ₂ ‖…‖λ_S ，Ｓ：並列数 λ_j はｍビット長であり、λは、ｍ×Ｓビット長であ
る。

【００３１】個々の関数、ｇ_i （ＲＴ（ｘ，λ_i ））
が、任意の差分ｘ′の通過を許す確率は、上述した理由
から高々２^-mである。任意の差分ｘ′が上記の関数を通
過する確率は、個々の関数の差分通過確率の積で与えら
れるから、（２^-m）^S ＝２^-mSで与えられる。以上をま
とめると、データ回転関数をＳ個並らべた上記の関数
は、次の性質を持つ。「上記の関数が、任意の差分ｘ′
の通過を許す確率は高々２^-mS である」。

【００３２】

【作用】上記のように請求項１〜８の発明によれば、デ
ータ回転関数手段と接続されたデータ攪拌手段とを具備
し、データ回転関数手段を通過する差分が通過する確率
は、２^-mと極めて小さくすることができる。ただし、ｍ
はデータ回転関数手段の個々のパラメータのビット長で
ある。例えば、ｍ＝４で差分通過確率ｐ＝２^-m＝１／１
６であり、従来の技術において説明した差分通過確率ｐ
＝１／４と較べて、はるかに小さい。すなわち、ｍを必
要とする値に設定して、差分が通過する確率を希望する
値以下に制御できる。データ攪拌手段は、データ回転関
数手段から出力されるデータと鍵の一部とを混ぜ合わせ
てデータ攪拌するので、暗号文の生成過程におけるデー
タの不規則化のため役立つ。また請求項９以下の発明の
データ攪拌装置は、Ｓ個を並べた複数のデータ回転関数
手段と、データ回転関数手段と縦続接続された複数のＧ
関数手段とを具備し、データ回転関数手段を通過する差
分が通過する確率は、２^-mS と極めて小さくできる。た
だし、ｍはデータ回転関数手段の個々のパラメータのビ
ット長Ｓは、データ回転関数手段の並列接続数である。
例えば、ｍ＝５、Ｓ＝２で、差分通過確率ｐ＝２^-mS ＝
２^-8＝１／256であり、従来の技術において説明した差
分通過確率ｐ＝１／４と較べて、はるかに小さい。ま
た、差分通過確率ｐを一層小さくしたい場合、例えば、
ｍ＝５、Ｓ＝３とすれば、差分通過確率ｐ＝２^-mS ＝２
^-15 ＝１／32768 と出来る。すなわち、ｍとＳの値を必
要とする値に設定して、差分が通過する確率を希望する
値以下に設定できる。複数のデータ攪拌手段は、データ
回転関数手段から出力されるデータとサブ鍵の一部とを
混ぜ合わせてデータ攪拌するので、暗号文の生成過程に
おけるデータの不規則化のため役立つ。

【００３３】

【実施例】

実施例１ 図は、この発明に基づく実施例１を説明するためのブロ
ック図である。この発明に基づくデータ攪拌装置１はデ
ータ回転関数手段２の出力側は３２ビットのデータ線９
Ａを通じてデータ攪拌手段としてのＧ関数手段３Ａに接
続される。鍵入力データ線５から１６ビットの鍵が入力
され、以降この鍵はデータ攪拌装置１の内部ではパラメ
ータとして使われる。右データ入力データ線６から３２
ビットのデータが入力される。データ線５上の１６ビッ
トの鍵は、抽出手段１１で、５ビットのデータ線１３Ａ
に分岐抽出され、またデータ線５Ａの１６ビットのデー
タとされる。データ線５Ａはデータ攪拌手段３Ａに１６
ビットのデータ（鍵）を供給し、データ線１３Ａは、そ
の５ビットデータ（鍵の一部）を、データ回転関数手段
２に供給する。データ回転関数手段２は、３２ビットの
データと５ビットのパラメータ（鍵の一部）とを入力
し、そのパラメータの指定した０から３１のいずれかの
ビット数だけ、３２ビットの入力データを左回転し、そ
の結果の３２ビット値を出力する。前記パラメータは、
５ビット値を２進数表示したもので、０から３１までを
表現できる。データ回転関数手段２の機能を数式で表す
と、ｙ＝ＲＴ（ｘ，λ）であり、ｘは３２ビット入力デ
ータ、λは５ビットのパラメータで、０≦λ≦３１，ｙ
は３２ビットの出力データであり、ｘはλビットだけ左
回転し、その結果がｙとして出力される。このデータ攪
拌装置１は、１つのデータ回転関数により、任意の差分
ｘ′が通過する確率は２^-5である。

【００３４】データ攪拌手段としてのＧ関数手段３Ａは
データ線９Ａから３２ビットのデータを入力し、更に、
データ線５Ａから１６ビットのデータ（鍵）を入力し、
入力した両データを混ぜ合わせてデータ攪拌し、その結
果の３２ビットデータを、データ線７からデータ攪拌装
置１の出力として出力する。次に、Ｇ関数手段３Ａの例
を図２に示す。このＧ関数手段３Ａは動的換子手段であ
って、図２で、データ攪拌手段３Ａの入力データ線９Ａ
から入力した３２ビットの入力データは、分割手段３３
で４分割され、８ビットのブロックデータＲ０，Ｒ１，
Ｒ２，Ｒ３に分けられる。データ線５Ａから入力した１
６ビットのデータ（鍵）は、８ビットのブロックデータ
Ｐ０とＰ１とに分けられる。ブロックデータＲ０，Ｒ
１，Ｒ２，Ｒ３とＰ０，Ｐ１は、それぞれ分割手段３３
と結合手段３４との間で次に示す一連の処理を受ける。
以下の記法で、矢印の記号←は、その右の演算結果を左
のデータとすることを示す。また、ＥＯＲ回路３５，３
６，３７，３８は、それぞれ２つの８ビットブロックを
入力し、ビット対応の排他的論理和演算し、その結果得
られる８ビットブロックを出力する。８ビットのデータ
Ｒ０，Ｒ１，Ｒ２，Ｒ３，Ｐ０，Ｐ１は、共に２進整数
で表現でき、０から２５５の正整数値を表す。演算（ｘ
＋ｙ）mod 256 や（ｘ＋ｙ＋１）mod 256 は法２５６の
加算を表す。また、cir(ｘ）は、８ビットデータｘを左
に２ビット回転して得られる８ビットデータを表す。

【００３５】 第１ステップ ＥＯＲ回路３５で Ｒ１←Ｒ１(+) Ｐ
０，ＥＯＲ回路３６で Ｒ２←Ｒ２(+) Ｐ１， 第２ステップ ＸＯＲ回路３７で Ｒ１←Ｒ１(+) Ｒ
０，ＸＯＲ回路３８で Ｒ２←Ｒ２(+) Ｒ３， 第３ステップ 回路３９で Ｒ１←（Ｒ１＋Ｒ２＋１）
mod 256 Ｒ１← cir（Ｒ１） 第４ステップ 回路４０で Ｒ２←（Ｒ２＋Ｒ１）mod
256 Ｒ２← cir（Ｒ２） 第５ステップ 回路４１で Ｒ０←（Ｒ０＋Ｒ１）mod
256 Ｒ０← cir（Ｒ０） 第６ステップ 回路４２で Ｒ３←（Ｒ３＋Ｒ２＋１）
mod 256 Ｒ３← cir（Ｒ３） 以上述べた一連のステップにより得られた、８ビットブ
ロックのＲ０，Ｒ１，Ｒ２，Ｒ３は、結合手段３４で、
それらを連結して得られる３２ビットデータＲ０‖Ｒ１
‖Ｒ２‖Ｒ３となり（‖は連結を表す），３２ビットの
出力データ線７から出力される。以上述べた一連のステ
ップにより、入力データ線９Ａから入力した３２ビット
のデータは、４つのブロックＲ０，Ｒ１，Ｒ２，Ｒ３に
分割された後、データ線５Ａから入力するブロックＰ
０，Ｐ１をパラメータとして、データ攪拌され、データ
線３２から出力する。

【００３６】要約するとデータ攪拌装置１は、鍵入力デ
ータ線５から１６ビットのデータ（鍵）を入力し、右デ
ータ入力データ線９Ａから３２ビットのデータを入力
し、データ攪拌装置１の中でデータ拡散の処理を行い、
その結果得られる３２ビットデータを出力データ線７か
ら出力する。このデータ攪拌装置１はデータ回転関数手
段２により、任意の差分ｘ′が通過する確率は２^-6であ
る。以上述べた一連の処理により、実施例１で述べたデ
ータ攪拌装置１は小さな差分通過確率でデータ攪拌を行
える。 実施例２ 図３は、この発明に基づく実施例２を説明するためのブ
ロック図であり、この実施例２は実施例１において、デ
ータ回転関数手段２とデータ攪拌手段としてのＧ関数手
段３Ａとの結合順序が逆になっている点が異なり、実施
例１と対応する部分は同一符号を付けてある。

【００３７】鍵入力データ線５から１６ビットのデータ
（鍵）が入力され、以降、鍵はデータ攪拌装置内部では
パラメータとして使われ、右データ入力データ線６から
３２ビットのデータが入力される。データ線５上の１６
ビットのデータは抽出手段１１で、５ビットがデータ線
１３Ａに分岐抽出され、また１６ビットがデータ線５Ａ
へ出される。

【００３８】データ線５Ａはデータ攪拌手段３Ａに１６
ビットのデータを供給し、データ線１３Ａはその５ビッ
トデータをデータ回転関数手段２に供給する。データ攪
拌手段３Ａは、データ線６から３２ビットのデータを入
力し、更に、データ線５Ａから１６ビットのデータを入
力し、入力した両データを混ぜ合わせてデータ攪拌し、
その結果の３２ビットデータをデータ線１０Ｂへ出力す
る。

【００３９】データ回転関数手段２は、データ線１０Ｂ
からの３２ビットのデータとデータ線１３Ａからの５ビ
ットのパラメータとを入力し、パラメータの指定した０
から３１のいずれかのビット数だけ、３２ビットの入力
データを左回転し、その結果の３２ビットを出力する。
このように動作するので、実施例１の説明における同様
の原理により、このデータ攪拌装置は１つのデータ回転
関数により、任意の差分ｘ′が通過する確率は２^-5であ
る。

【００４０】要約するとこのデータ攪拌装置１は、鍵入
力データ線５から１６ビットのデータを入力し、右デー
タ入力データ線６から３２ビットのデータを入力し、デ
ータ攪拌装置１の中でデータ拡散の処理を行い、その結
果得られる３２ビットデータを出力データ線７から出力
する。このデータ攪拌装置１は、データ回転関数手段２
により、任意の差分ｘ′が通過する確率は２^-5である。
以上述べた一連の処理により、実施例２で述べたデータ
攪拌装置１は小さな差分通過確率でデータ攪拌を行え
る。

【００４１】実施例３ 図４はこの発明に基づく実施例３を説明するためのブロ
ック図であり、実施例３は実施例１とは、データ回転関
数手段２とデータ攪拌手段としてのＧ関数手段３Ａとが
その入力側が並列に接続されている点が異なり、３２ビ
ットのデータ線６はデータ回転関数手段２とデータ攪拌
手段３Ａとの各入力側に接続され、それぞれに３２ビッ
トデータを供給しており、データ回転関数手段２から出
力される３２ビットのデータ線４１およびデータ攪拌手
段３Ａから出力される３２ビットのデータ線４２は排他
的論理和回路４３に接続される。

【００４２】鍵入力データ線５から１６ビットのデータ
が入力され、以降、鍵はデータ攪拌装置内部ではパラメ
ータとして使われ、右データ入力データ線６から３２ビ
ットのデータが入力され、データ線５上の１６ビットの
データは抽出手段１１で、５ビットのデータ線１３Ａに
分岐抽出され、また、データ線５Ａにそのまゝ出力さ
れ、データ線５Ａはデータ攪拌手段３Ａに１６ビットの
データを供給し、データ線１３Ａはその５ビットデータ
を、データ回転関数手段２に供給する。

【００４３】データ攪拌手段３Ａはデータ線６から３２
ビットのデータを入力し、更に、データ線５Ａから１６
ビットのデータを入力し、入力した両データを混ぜ合わ
せてデータ攪拌し、その結果の３２ビットデータをデー
タ線４２から出力する。データ回転関数手段２は３２ビ
ットのデータと５ビットのパラメータとを入力し、その
パラメータの指定した０から３１のいずれかのビット数
だけ、３２ビットの入力データを左回転し、その結果の
３２ビット値を、データ線４１に出力する。このように
動作するので、実施例１の説明におけると同様の原理に
より、このデータ攪拌装置１は１つのデータ回転関数に
より、任意の差分ｘ′が通過する確率は２^-5である。

【００４４】排他的論理和手段４３はデータ線４１とデ
ータ線４２とから各３２ビットデータブロックを入力
し、１ビットごとの排他的論理和演算し、その結果の３
２ビットデータを出力データ線７から出力する。要約す
るとこのデータ攪拌装置１は、鍵入力データ線５から１
６ビットのデータを入力し、右データ入力データ線６か
ら３２ビットのデータを入力し、データ攪拌装置１の中
でデータ拡散の処理を行い、その結果得られる３２ビッ
トデータを、出力データ線７から出力する。このデータ
攪拌装置１はデータ回転関数手段２により、任意の差分
ｘ′が通過する確率は２^-5である。以上述べた一連の処
理により、実施例３で述べたデータ攪拌装置１は小さな
差分通過確率で、データ攪拌を行える。

【００４５】実施例４ 図５は、この発明に基づく実施例４を説明するためのブ
ロック図であり、実施例４は実施例３とは、データ攪拌
手段として動的転置手段５０がデータ回転関数手段２
に、直列に挿入接続されている点が異なり、３２ビット
のデータ線６はデータ回転関数手段２とデータ攪拌手段
としてのＧ関数手段３Ａとの各入力側に接続され、それ
ぞれに３２ビットデータを供給しており、データ回転関
数手段２からデータ攪拌手段５０へ３２ビットデータ線
４０により接続され、データ回転関数手段２から３２ビ
ットのデータ線４１に出力され、Ｇ関数手段３Ａから出
力される３２ビットのデータ線である。

【００４６】図６にデータ攪拌手段５０の一例を示し、
データ攪拌手段５０は、動的転置手段で構成した場合で
ある。入力データ線５１から入力された３２ビットの入
力データは、分割手段５４で２分割され、１６ビットの
ブロックデータＵ０，Ｕ１とに分けられる。１６ビット
のブロックデータＵ０，Ｕ１および、入力データ線５２
から入力された１６ビットデータ（鍵の一部、Ｖで表
す）は、分割手段５４と結合手段５５との間で、次に示
す一連の処理を受ける。以下の記法で矢印の記号←は、
その右の演算結果を左のデータとすることを示す。

【００４７】回路５６は左７ビットの回転回路であり、
１６ビットデータｘを入力して左に７ビット回転して得
られる１６ビットデータＲ７（ｘ）を出力する。ＥＯＲ
回路５７，５８は、それぞれ２つの１６ビットブロック
を入力し、ビット対応の排他的論理和演算し、その結果
得られる１６ビットブロックを出力する。ＡＮＤ回路５
９，６０は、それぞれ２つの１６ビットブロックを入力
してビット対応に論理積をとってその結果得られる１６
ビットブロックを出力する。１６ビットのデータＵ０，
Ｕ１，Ｖは、共に２進整数で表現でき、０から65535 の
正整数値を表す。回路６１は、入力した１６ビット（ｘ
で表す）の全ビットの否定論理の演算結果（〜ｘで表
す）を出力する。Ｗは説明のための暫定的な１６ビット
データを表す。

【００４８】 第１ステップ 回路５６で Ｕ０←Ｒ７（Ｕ０）， 第２ステップ 回路５９で Ｗ←Ｕ０＆Ｖ，ただし、＆
はＡＮＤ論理、 第３ステップ 回路５７で Ｕ１←Ｕ１(+) Ｗ， 第４ステップ 回路６０と６１で Ｗ←Ｕ１＆（〜Ｖ） 第５ステップ 回路５８で Ｕ０←Ｕ０(+) Ｗ， 以上述べた一連のステップにより得られた、１６ビット
ブロックのＵ０とＵ１は、結合手段５５で、それらが連
結され３２ビットデータＵ０‖Ｕ１となり（‖は連結を
表す），３２ビットの出力データ線５３から出力され
る。以上述べた一連のステップにより、入力データ線５
１から入力されたデータは出力データ線５３から出力す
るまでにデータ攪拌される。このデータ攪拌は鍵Ｖのビ
ットの状態により、データＵ０の対応ビットが回路５９
を通じてデータＵ１となって結合手段５５へ供給され、
また同様にデータＵ１の対応ビットが回路６０を通じて
データＵ０となって結合手段５５へ供給され、動的な転
置が行われる。

【００４９】図５においてＥＯＲ回路４３はデータ線４
１と４２とから、２つの３２ビットデータを入力し、１
ビットごとの排他的論理和演算をし、その結果の３２ビ
ットブロックデータを、データ線７へ出力する。鍵入力
データ線５から１６ビットのデータが入力され、以降、
この鍵はデータ攪拌装置内部ではパラメータとして使わ
れ、右データ入力データ線６から３２ビットのデータが
入力される。

【００５０】データ線５上の１６ビットのデータは抽出
手段１１で、５ビットがデータ線１３Ａに分岐抽出さ
れ、また１６ビットのそのまゝがデータ線５Ａへ供給さ
れる。データ線５Ａはデータ攪拌手段３Ａに１６ビット
のデータを供給し、データ線１３Ａはその５ビットデー
タをデータ回転関数手段２に供給する。データ攪拌手段
３Ａはデータ線６から３２ビットのデータを入力し、更
に、データ線５Ａから１６ビットのデータを入力し、入
力した両データを混ぜ合わせてデータ攪拌し、その結果
の３２ビットデータをデータ線４２から出力する。

【００５１】データ回転関数手段２は３２ビットのデー
タと５ビットのパラメータとを入力し、パラメータの指
定した０から３１のいずれかのビット数だけ、３２ビッ
トの入力データを左回転し、その結果の３２ビットを、
データ線４０に出力する。データ攪拌手段５０は５ビッ
トのデータと３２ビットのデータとを入力し、その内部
をデータを攪拌しデータ線４１へ出力する。

【００５２】このように動作するので、実施例１の説明
におけると同様の原理により、このデータ攪拌装置１
は、１つのデータ回転関数により、任意の差分ｘ′が通
過する確率は２^-5である。排他的論理和手段４３はデー
タ線４１とデータ線４２とからの各３２ビットデータブ
ロックを入力し、１ビットごとの排他的論理和演算し、
その結果の３２ビットデータを出力データ線７から出力
する。

【００５３】要約するとこのデータ攪拌装置１は、鍵入
力テータ線５から１６ビットのデータを入力し、右デー
タ入力データ線６から、３２ビットのデータを入力し、
データ攪拌装置１の中でデータ拡散の処理を行い、その
結果得られる３２ビットデータを出力データ線７から出
力する。このデータ攪拌装置１はデータ回転関数手段２
により、任意の差分ｘ′が通過する確率は２^-5である。
以上述べた一連の処理により、実施例４で述べたデータ
攪拌装置１は、小さな差分通過確率でデータ攪拌を行え
る。 実施例５ 図７は、この発明に基づく実施例５を説明するためのブ
ロック図であり、実施例５は、実施例４において、デー
タ回転関数手段２とデータ攪拌手段５０との接続される
順序が逆に接続されている点が異なる。データ攪拌手段
３Ａの動作は実施例３と同様である。データ回転関数手
段２は３２ビットのデータと５ビットのパラメータとを
入力し、パラメータの指定した０から３１のいずれかの
ビット数だけ、３２ビットの入力データを左回転し、そ
の結果の３２ビット値をデータ線４１に出力する。

【００５４】このように動作するので、実施例１の説明
におけると同様の原理により、このデータ攪拌装置１
は、１つのデータ回転関数により、任意の差分ｘ′が通
過する確率は２^-5である。排他的論理和手段４３はデー
タ線４１とデータ線４２とから３２ビットデータブロッ
クを入力し、１ビットごとの排他的論理和演算し、その
結果の３２ビットデータを出力データ線７から出力す
る。

【００５５】要約するとデータ攪拌装置１は、鍵入力デ
ータ線５から１６ビットのデータを入力し、右データ入
力データ線６から３２ビットのデータを入力し、データ
攪拌装置１の中でデータ拡散の処理を行い、その結果得
られる３２ビットデータを、出力データ線７から出力す
る。このデータ攪拌装置１は、データ回転関数手段２に
より、任意の差分ｘ′が通過する確率は２^-5である。以
上述べた一連の処理により、実施例５で述べたデータ攪
拌装置は小さな差分通過確率でデータ攪拌を行える。 実施例６ 図８は、この発明に基づく実施例６を説明するためのブ
ロック図である。この発明に基づくデータ攪拌装置１は
データ回転関数手段２−１〜２−４の出力側にそれぞれ
データ攪拌手段としてのＧ関数手段３−１〜３−４が接
続され、Ｇ関数手段３−１〜３−４の各出力が排他的論
理和手段４に供給される。鍵入力データ線５から４８ビ
ットの鍵を表すデータが入力し、以降、鍵はデータ攪拌
装置内部ではパラメータとして使われ、右データ入力デ
ータ線６から３２ビットのデータが入力する。

【００５６】鍵入力データ線５上の４８ビットのデータ
は、分岐手段１１で３２ビットのデータ線１２と、１６
ビットのデータ線１３とに分岐され、データ線１２はＧ
関数手段３−１と、３−２とに同一の３２ビットのデー
タを供給し、データ線１３は更に４ビットずつ４つに分
かれ、それぞれの４ビット線がデータ回転関数手段の２
−１，２−２，２−３，２ー４にそれぞれ４ビットずつ
供給する。

【００５７】データ回転関数手段２−１，２−２，２−
３，２−４は、３２ビットのデータと４ビットのパラメ
ータとを入力し、パラメータの指定した０から１５のい
ずれかのビット数だけ、３２ビットの入力データを左回
転し、その結果の３２ビット値をそれぞれデータ線９−
１，９−２，９−３，９−４に出力する。パラメータ値
は、４ビット値を２進数表示したもので，０から１５ま
でを表現できる。データ回転関数手段の機能を数式で表
すと、ｙ＝ＲＴ（ｘ，λ）であり、ｘは３２ビット入力
データ、λは４ビットのパラメータで、０≦λ≦１５、
ｙは３２ビットの出力データであり、ｘはλビットだけ
左回転し、その結果がｙとして出力される。このデータ
攪拌装置は、４つのデータ回転関数を用いた４並列接続
により差分ｘ′が通過する確率は、（２^-4）⁴ ＝２^-16
である。

【００５８】Ｇ関数手段３−１，３−２は、それぞれデ
ータ線９−１，９−２から３２ビットのデータを入力
し、更に、データ線１２から３２ビットのデータを入力
し、入力したデータを混ぜ合わせてデータ攪拌し、その
結果の３２ビットデータを、それぞれデータ線１０−
１，１０−２から出力する。次に、Ｇ関数手段３−１と
３−２を図９を用いて詳細に説明する。図９は、Ｇ関数
手段３−１と３−２のブロック図であり、３２ビットの
入力データ線９Ａのデータと、３２ビットのパラメータ
入力データ線１２Ａのパラメータとが３２ビット長の排
他的論理和手段２０で排他的論理和演算され、その排他
的論理和演算の結果の３２ビット長のデータは分割手段
２１で１６ビットずつ２分割され、その一方の１６ビッ
トはデータ線２５へ供給され、他方の１６ビットはデー
タ線２６へ供給される。１６ビット加算器２２は１６ビ
ットの２つのデータを、データ線の２５と２６とから入
力し、法２¹⁶の加算を行い、１６ビットデータ線２７へ
出力する。次に、１６ビット加算器２３は１６ビットの
２つのデータを、データ線の２７と２６とから入力し、
法２¹⁶の加算を行い、１６ビットデータ線２８へ出力す
る。結合手段２４は、１６ビット長データ線２７と２８
上の各１６ビットデータをこの順序に結合して３２ビッ
トデータを得、３２ビットデータ線１０Ａから出力す
る。Ｇ関数手段３−１と３−２は、以上説明したように
作られているから、入力した３２ビットデータとパラメ
ータとを混ぜ合わせてデータ攪拌し、その結果の３２ビ
ットデータをデータ線１０Ａから出力する。

【００５９】Ｇ関数手段３−３は、データ線９−３から
３２ビットのデータを入力し、入力したデータを８ビッ
ト左回転し、その結果の３２ビットデータを、データ線
１０−３から出力する。Ｇ関数手段３−４は、データ線
９−４から３２ビットのデータを入力し、入力したデー
タを１６ビット左回転し、その結果の３２ビットデータ
を、データ線１０−４から出力する。

【００６０】排他的論理和手段４は、４つのデータ線１
０ー１，１０ー２，１０ー３，１０ー４の各データを入
力し、これらを排他的論理和演算し、その結果をデータ
線７に出力する。要約するとデータ攪拌装置１は、鍵入
力データ線５から４８ビットのデータを入力し、右デー
タ入力データ線６から３２ビットのデータを入力し、デ
ータ攪拌装置１の中でデータ攪拌の処理を行い、その結
果得られる３２ビットデータを出力データ線７から出力
する。

【００６１】このデータ攪拌関数装置１は、４つのデー
タ回転関数を用いた４並列接続により、差分ｘ′が通過
する確率は高々（２^-4）⁴ ＝２^-16 である。以上述べた
一連の処理により、実施例６で述べたデータ攪拌装置１
は、小さな差分通過確率で、データ攪拌を行える。 実施例７ 図１０は、この発明に基づく実施例７を説明するための
ブロック図であり、図８と対応する部分に同一符号を付
けてある。この実施例７のデータ攪拌装置１Ａは、デー
タ線５Ａから７２ビットの鍵を入力し、以降、鍵はデー
タ攪拌装置内部ではパラメータとして使われ、右データ
入力データ線６から３２ビットのデータを入力する。

【００６２】データ線５Ａ上の７２ビットのデータは、
分岐手段１１Ａで３２ビットのデータ線１２Ａと、８ビ
ットのデータ線１３Ａと、３２ビットのデータ線１４と
に分岐し、データ線１２ＡはＧ関数手段３−１と３−２
に、同一の３２ビットのデータを供給し、データ線１３
Ａは、更に４ビットずつ２つに分かれ、それぞれの４ビ
ットが、データ回転関数手段２−１，２−２に４ビット
ずつデータを供給し、データ線１４上の３２ビットデー
タは、ＡＮＤ論理演算素子１５に供給する。

【００６３】データ回転関数手段２−１，２−２は、３
２ビットのデータと４ビットのパラメータとを入力し、
パラメータの指定した０から１５のいずれかのビット数
だけ３２ビットの入力データを左回転し、その結果をデ
ータ線９−１，９−２にそれぞれ出力する。Ｇ関数手段
３−１と３−２は、データ線１２Ａと、データ線９−
１，９−２とから各３２ビットのデータをそれぞれ入力
し、それらを混ぜ合わせてデータ攪拌し、その結果の３
２ビットデータを、データ線１０−１，１０−２とにそ
れぞれ出力し、ＡＮＤ論理演算素子１５は、データ線１
２Ａとデータ線１６とからそれぞれ３２ビット長のデー
タを入力し、ビット対応のＡＮＤ演算し、その結果をデ
ータ線１７から出力する。

【００６４】排他的論理和手段４Ａは、３つのデータ線
１０ー１，１０ー２，１７の各データを入力し、これら
を排他的論理和演算し、その結果をデータ線７に出力す
る。実施例７は、実施例１において、更に、ＡＮＤ論理
演算素子１５を追加しても、データ攪拌関数装置が実現
できることを表す。ＡＮＤ論理演算素子１５を追加する
ことにより、このデータ攪拌関数装置におけるデータ攪
拌が一層複雑になる。この複雑性のため、このデータ攪
拌関数装置を組み込む暗号が、予期できない暗号攻撃に
一層強くなると期待できる。

【００６５】要約すると、データ攪拌装置１Ａは、鍵入
力データ線５Ａから、７２ビットのデータを入力し、右
データ入力データ線６から３２ビットのデータを入力
し、データ攪拌装置の中でデータ攪拌の処理を行い、そ
の結果得られる３２ビットデータを出力データ線７から
出力する。このデータ攪拌関数装置は、２つのデータ回
転関数を用いた２並列接続により、差分ｘ′が通過する
確率は高々（２^-4）² ＝２^-8である。

【００６６】以上述べた一連の処理により、実施例７で
述べたデータ攪拌装置は、小さな差分通過確率でデータ
攪拌を行う。 実施例８ 図１１にこの発明に基づく実施例８を示し、図８，図１
０と対応する部分に同一符号を付けてある。この実施例
８のデータ攪拌装置１Ｂは、データ線５Ａから７２ビッ
トの鍵を入力し、以降、鍵はデータ攪拌装置内部ではパ
ラメータとして使われ、右データ入力データ線６から３
２ビットのデータを入力する。

【００６７】データ線５Ａ上の７２ビットのデータは、
分岐手段１１Ａで、３２ビットのデータ線１２Ａと、８
ビットのデータ線１３Ａと、３２ビットのデータ線１４
とに分岐し、データ線１２Ａは、Ｇ関数手段３−１と３
−２に、同一の３２ビットのデータを供給し、データ線
１３Ａは、更に４ビットずつ２つに分かれ、それぞれの
４ビットが、データ回転関数手段の２−１，２−２とに
４ビットずつデータを供給し、データ線１４上の３２ビ
ットデータは、ＯＲ論理演算素子２０に供給する。

【００６８】転置処理手段１９は、入力データ線６から
３２ビットデータを入力し、３２ビットデータを出力す
る。入力ブロックをＡ、出力ブロックをＢで表し、それ
らのビット番号を、Ａｉ，Ｂｊで表したとき、１≦ｉ≦
１６のときＢ_i ＝Ａ_i 、１７≦ｉ≦２４のときＢ_i+8 ＝
Ａ_i 、２５≦ｉ≦３２のときＢ_i ＝Ａ_i-8 である。デー
タ回転関数手段２−１，２−２は、３２ビットのデータ
と４ビットのパラメータとを入力し、パラメータの指定
した０から１５のいずれかのビット数だけ３２ビットの
入力データを左回転し、その結果をデータ線９−１，９
−２にそれぞれ出力する。

【００６９】Ｇ関数手段３−１と３−２は、データ線１
２Ａと９−１，９−２とから各３２ビットのデータを入
力し、それらを混ぜ合わせてデータ攪拌し、その結果の
３２ビットデータをデータ線１０−１，１０−２とにそ
れぞれ出力し、ＯＲ論理演算素子２０は、データ線１２
Ａとデータ線１６とからそれぞれ３２ビット長のデータ
を入力し、ビット対応でＯＲ演算し、その結果をデータ
線１７から出力する。

【００７０】モジューロ加算器１８は、３つのデータ線
１０ー１，１０ー２，１７を入力し、これらを法２³²で
加算し、その結果をデータ線７に出力する。実施例８
は、実施例７の排他的論理和手段４Ａを、モジューロ加
算器１８で置き換え可能であり、また、ＡＮＤ論理演算
素子１５を、ＯＲ論理演算素子２０と置き換え可能であ
り、また、データ回転関数手段２−１と２−２との入力
部分に転置処理手段１９を挿入しても、データ攪拌装置
が実現できることを表す。

【００７１】要約すると、データ攪拌装置１Ｂは鍵入力
データ線５Ａから７２ビットのデータを入力し、右デー
タ入力データ線６から、３２ビットのデータを入力し、
データ攪拌装置の中でデータ攪拌の処理を行い、その結
果得られる３２ビットデータを出力データ線７から出力
する。このデータ攪拌関数装置は、２つのデータ回転関
数を用いた２並列接続により、差分ｘ′が通過する確率
は高々（２^-4）² ＝２^-8である。

【００７２】以上述べた一連の処理により、実施例３で
述べたデータ攪拌装置は、小さな差分通過確率でデータ
攪拌を行える。 実施例９ 図１２にこの発明に基づく実施例４を示す。この実施例
９は、前記実施例８において転置処理手段１９に代わっ
て、換字処理手段３０を用いるものである。換字処理手
段３０は、図９のＧ関数手段を一定の条件をつけて用い
るものである。ここで一定の条件とは、図９に示すＧ関
数手段において、３２ビットの信号線１２Ａからは３２
ビットのゼロを入力したものを用いる。この場合、信号
線１２Ａは無視できるので図９で示したＧ関数手段は、
信号線９Ａから３２ビットのデータを入力し、信号線１
０Ａから３２ビットのデータを出力する換字処理を行
う。この条件で用いるＧ関数手段を換字処理手段と呼
ぶ。換字処理手段は３２ビットの入力データを一定の規
則で変換し、３２ビットデータを出力する。

【００７３】換字処理手段３０を除き、他の番号で示す
ものは全て実施例８と同じである。実施例９のデータ攪
拌装置は、実施例８で述べた一連の処理と類似した様態
であり、実施例９で述べたデータ攪拌装置は、小さな差
分通過確率で、データ攪拌を行える。 実施例１０ 図１３にこの発明に基づく実施例１０を示す。実施例１
０は、前記実施例６において、データ回転関数手段２ー
１と、Ｇ関数手段３−１との接続順序を交換し、以下同
様に、データ回転関数手段２ー２と、Ｇ関数手段３−２
との接続順序を交換し、データ回転関数手段２ー３と、
Ｇ関数手段３−３との接続順序を交換し、データ回転関
数手段２ー４と、Ｇ関数手段３−４との接続順序を交換
したものである。すなわち、図１３に示すように右デー
タ入力データ線６は４つのＧ関数手段３ー１，３ー２，
３ー３，３ー４にそれぞれ接続し、これらＧ関数手段の
出力データ線はデータ回転関数手段２−１，２−２，２
ー３，２ー４にそれぞれ接続し、これらデータ回転関数
手段の出力データ線は、排他的論理和手段４に接続され
る。ただし、データ線１２はＧ関数手段３−１と３ー２
とに接続し、データ線１３は更に４ビットずつ分かれて
４つのデータ回転手段に接続することは実施例６と同じ
である。実施例１０は、データ回転関数手段とＧ関数手
段の動作する順序は実施例６と逆であるが、他の様態は
実施例６と同様である。

【００７４】実施例１０のデータ攪拌装置は、データ回
転関数手段とＧ関数手段の接続の順序を実施例６と交換
しても小さな差分通過確率でデータ攪拌を行う。図８，
図１０，図１１，図１２，図１３の実施例において、デ
ータ攪拌手段（Ｇ関数手段）はそのすべてについて鍵と
の混ぜ合わせをやってもよいし、また鍵との混ぜ合わせ
をすることなくデータ攪拌を行ってもよく、少なくとも
１つだけ鍵との混ぜ合わせをやってもよい。更に鍵との
混ぜ合わせを行う場合に、その鍵データ、つまりデータ
線１２，１２Ａのデータとデータ線１３，１３Ａのデー
タとはその一部が同一でもよい。図４，図５，図７，図
８，図１０，図１３の排他的論理和手段４３，４，４Ａ
の代りにモジューロ加算器を用いてもよい。図１０にお
いてＡＮＤ論理演算素子の代りにＯＲ論理演算素子を用
いてもよい。図１１，図１２においてＯＲ論理演算素子
の代りにＡＮＤ論理演算素子を用いてもよい。上述にお
いてデータ長、鍵長の各値は上記例に限られず、その値
を増加または減少してもよい。上述において、データ攪
拌手段３Ａ，５０，３−１，３−２，３−３，３−４と
してはそれぞれ図２，図６，図９に示したいずれのも
の、その他のものを使用してもよい。ただし図４，図
５，図７においてはデータ攪拌手段３Ａ，５０として共
にＧ関数手段、または一方がＧ関数手段、他方が動的転
置手段が好ましく、特にデータ攪拌手段３ＡがＧ関数手
段、データ攪拌手段５０が動的転置手段であるとよい。
この発明のデータ攪拌装置は図１４中のデータ攪拌装置
６３−１〜６３−３に適用できる他に、一般にデータの
攪拌に適用できる。

【００７５】

【発明の効果】以上述べたように請求項１乃至８の発明
によれば、データ回転関数手段と、データ回転関数手段
に、直列または並列に接続する、データ攪拌手段とを具
備し、パラメータのｍの値を必要とする値に設定して、
差分が通過する確率を希望する値以下、例えば確率ｐ＝
１／１６に設定できる。更に、データ攪拌手段は、デー
タ回転関数手段から出力されるデータまたはこれに入力
されるデータと鍵の一部とを混ぜ合わせてデータ攪拌で
きる。暗号文の生成のためのデータ不規則化のため、デ
ータ攪拌が使える。

【００７６】また請求項９以下の発明によれば、並列に
並べた複数のデータ回転関数手段と、データ回転関数手
段に縦続接続する複数のデータ攪拌手段とを具備し、パ
ラメータのｍと並列数Ｓの値を必要とする値に設定し
て、差分が通過する確率を希望する値以下、例えば、確
率ｐ＝１／32768 に設定できる。更に、複数のＧ関数手
段（データ攪拌手段）は、データ回転関数手段から出力
されるデータまたはこれに入力されるデータと鍵の一部
とを混ぜ合わせてデータ攪拌できる。暗号文の生成のた
めのデータ不規則化のため、データ攪拌が使える。

【００７７】更に、この発明のデータ攪拌装置は、デー
タ回転関数手段とＧ関数手段とを並列に並べるため、Ｌ
ＳＩ（高集積回路）で実装したときに、直列に並べるの
と比較して高速に実現できる。すなわち、並列数をＳ、
データ回転関数手段とＧ関数手段との処理時間をＴとし
たとき、並列処理では全体の処理時間は概略値Ｔであ
り、直列処理では、Ｓ×Ｔの時間を要す。

【００７８】以上を要約すると、この発明で説明したデ
ータ攪拌関数装置は、差分攻撃を排除する暗号用のデー
タ攪拌装置として極めて有効に機能する。

【図面の簡単な説明】

【図１】この発明の実施例１を示すブロック図。

【図２】実施例１で用いるデータ攪拌手段としてのＧ関
数手段３Ａの一例を示すブロック図。

【図３】この発明の実施例２を示すブロック図。

【図４】この発明の実施例３を示すブロック図。

【図５】この発明の実施例４を示すブロック図。

【図６】図５中のデータ攪拌手段としての動的転置手段
５０の一例を示すブロック図。

【図７】この発明の実施例５を示すブロック図。

【図８】この発明の実施例６を示すブロック図。

【図９】図８中のデータ攪拌手段としてのＧ関数手段３
−１，３−２の例を示すブロック図。

【図１０】この発明の実施例７を示すブロック図。

【図１１】この発明の実施例８を示すブロック図。

【図１２】この発明の実施例９を示すブロック図。

【図１３】この発明の実施例１０を示すブロック図。

【図１４】ＤＥＳ型暗号装置を示すブロック図。

【図１５】ＤＥＳ型暗号のデータ攪拌装置を示すブロッ
ク図。

Claims (22)

【特許請求の範囲】
1. 【請求項１】 データ回転関数手段と、そのデータ回転
   関数手段に縦続的に接続されたデータ攪拌手段とを具備
   し、 上記データ回転関数手段は、入力された複数ビットから
   なる鍵の一部をパラメータとして、これに入力されたデ
   ータを一方向に回転して出力し、 上記データ攪拌手段は、これに入力された複数ビットの
   データと、上記鍵とを混ぜ合わせてデータ攪拌して出力
   することを特徴とするデータ攪拌装置。
2. 【請求項２】 入力された複数ビットのデータと、入力
   された複数ビットの鍵とを混ぜ合わせてデータ攪拌して
   出力するデータ攪拌手段と、 上記鍵の一部をパラメータとして上記データを一方向に
   回転して出力するデータ回転関数手段と、 上記データ回転関数手段の出力を上記データ攪拌手段の
   出力との排他的論理和をとって出力する排他的論理和手
   段とを具備するデータ攪拌装置。
3. 【請求項３】 上記データ回転関数手段と直列に挿入さ
   れ、上記鍵の一部とこれに入力されたデータとを混ぜ合
   わせてデータ攪拌して出力する第２データ攪拌手段を含
   むことを特徴とする請求項２記載のデータ攪拌装置。
4. 【請求項４】 複数ビットの入力データを、複数ビット
   の鍵の一部をパラメータとして一方向に回転する第１ス
   テップと、 その第１ステップにより回転されたデータと、上記入力
   データとを混ぜ合わせてデータ攪拌して出力する第２ス
   テップと、 を有するデータ攪拌方法。
5. 【請求項５】 複数ビットの入力データと複数ビットの
   鍵とを混ぜ合わせてデータ攪拌する第１ステップと、 その第１ステップでデータ攪拌されたデータを、上記鍵
   の一部をパラメータとして一方向に回転する第２ステッ
   プと、 を有するデータ攪拌方法。
6. 【請求項６】 複数ビットの入力データと複数ビットの
   鍵とを混ぜ合わせてデータ攪拌する第１ステップと、 上記入力データを、上記鍵の一部をパラメータとして一
   方向に回転する第２ステップと、 上記第１ステップよりの攪拌されたデータと、上記第２
   ステップよりの回転されたデータとの排他的論理和をと
   る第３ステップと、 を有するデータ攪拌方法。
7. 【請求項７】 上記第２ステップで回転されたデータを
   上記鍵の一部と混ぜ合わせてデータ攪拌させた後、上記
   第１ステップにより攪拌されたデータとの排他的論理和
   をとることを特徴とする請求項６記載のデータ攪拌方
   法。
8. 【請求項８】 上記入力データと上記鍵の一部とを混ぜ
   合わせてデータ攪拌した後、上記第２ステップに移るこ
   とを特徴とする請求項６記載のデータ攪拌方法。
9. 【請求項９】 複数ビットの同一データが入力され、複
   数ビットの鍵が複数に分岐された各１つがそれぞれ供給
   され、それぞれ分岐供給された鍵をパラメータとして上
   記入力データを一方向に回転する複数のデータ回転関数
   手段と、 これらデータ回転関数手段のそれぞれと縦続的に接続さ
   れ、入力されたデータをそれぞれ攪拌する複数のデータ
   攪拌手段と、 上記各データ回転関数手段及びデータ攪拌手段の縦続接
   続の各出力が入力されて排他的論理和演算を行って攪拌
   出力をする排他的論理和演算手段と、 を具備するデータ攪拌装置。
10. 【請求項１０】 上記鍵の他の部分と、上記入力データ
    との論理積をとるＡＮＤ演算手段を含み、そのＡＮＤ演
    算手段の演算結果は上記排他的論理和演算手段に入力さ
    れてその入力と排他的論理和演算されることを特徴とす
    る請求項９記載のデータ攪拌装置。
11. 【請求項１１】 上記鍵の他の部分と上記入力データと
    の論理和をとるＯＲ演算手段を含み、そのＯＲ演算手段
    の演算結果は上記排他的論理和演算手段に入力されてそ
    の入力と排他的論理和演算されることを特徴とする請求
    項９記載のデータ攪拌装置。
12. 【請求項１２】 上記複数のデータ攪拌手段の少なくと
    も１つはその入力データと上記鍵の一部とを混ぜ合せて
    データ攪拌をする手段であることを特徴とする請求項
    ９，１０，１１のいずれかに記載のデータ攪拌装置。
13. 【請求項１３】 上記各データ回転関数手段とデータ攪
    拌手段の縦続接続の入力側に共通に設けられ、その入力
    データを転置処理する転置処理手段を含むことを特徴と
    する請求項１０または１１記載のデータ攪拌装置。
14. 【請求項１４】 上記複数のデータ攪拌手段の少なくと
    も１つはその入力データと上記鍵の一部とを混ぜ合せて
    データ攪拌をする手段であることを特徴とする請求項１
    ３記載のデータ攪拌装置。
15. 【請求項１５】 上記各データ回転関数手段とデータ攪
    拌手段の縦続接続の入力側に共通に設けられ、その入力
    データを他のデータに置き換える換字処理手段を含むこ
    とを特徴とする請求項１０または１１記載のデータ攪拌
    装置。
16. 【請求項１６】 上記複数のデータ攪拌手段の少なくと
    も１つはその入力データと上記鍵の一部とを混ぜ合せて
    データ攪拌をする手段であることを特徴とする請求項１
    １記載のデータ攪拌装置。
17. 【請求項１７】 上記排他的論理和手段に代え、その入
    力モジューロ加算すモジューロ加算手段が設けられるこ
    とを特徴とする請求項２，３，９乃至１６のいずれかに
    記載のデータ攪拌装置。
18. 【請求項１８】 複数ビットの入力データＵをそれぞれ
    複数ビットの鍵の互いに異なる一部をパラメータとして
    一方向に回転してそれぞれデータＶ₁ ，Ｖ₂，…とする
    第１ステップと、 これらデータＶ₁ ，Ｖ₂ ，…をそれぞれデータ攪拌して
    データＷ₁ ，Ｗ₂ ，…とする第２ステップと、 上記データＷ₁ ，Ｗ₂ ，…を排他的論理和演算またはモ
    ジューロ演算して出力する第３ステップと、 を有するデータ攪拌方法。
19. 【請求項１９】 上記入力データＵと上記鍵の一部とを
    ＡＮＤまたはＯＲ演算する第４ステップを含み、 その演算結果を上記第３ステップで上記データＷ₁ ，Ｗ
    ₂ ，…とを排他的論理和演算またはモジューロ演算する
    ことを特徴とする請求項１８に記載のデータ攪拌方法。
20. 【請求項２０】 複数ビットの入力データＵを転置処理
    または換字処理して上記第１ステップの入力データとす
    る第５ステップを含むことを特徴とする請求項１９記載
    のデータ攪拌方法。
21. 【請求項２１】 上記第２ステップにおいてデータ
    Ｖ₁ ，Ｖ₂ ，…の少なくとも１つは上記鍵の一部と混ぜ
    合せてデータ攪拌することを特徴とする請求項１８乃至
    ２０のいずれかに記載のデータ攪拌方法。
22. 【請求項２２】 上記第１ステップと上記第２ステップ
    との順番を入れかえたことを特徴とする請求項１８乃至
    ２１のいずれかに記載のデータ攪拌方法。