JPH07107085A - メッセージ確認方法及び通信システム - Google Patents
メッセージ確認方法及び通信システムInfo
- Publication number
- JPH07107085A JPH07107085A JP6177838A JP17783894A JPH07107085A JP H07107085 A JPH07107085 A JP H07107085A JP 6177838 A JP6177838 A JP 6177838A JP 17783894 A JP17783894 A JP 17783894A JP H07107085 A JPH07107085 A JP H07107085A
- Authority
- JP
- Japan
- Prior art keywords
- message
- polynomial
- remainder
- bits
- sender
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims description 47
- 238000004891 communication Methods 0.000 title claims description 21
- 238000012790 confirmation Methods 0.000 title claims description 16
- 235000002020 sage Nutrition 0.000 claims 1
- 230000006870 function Effects 0.000 description 28
- 230000008569 process Effects 0.000 description 8
- 239000000654 additive Substances 0.000 description 7
- 230000000996 additive effect Effects 0.000 description 7
- 230000006837 decompression Effects 0.000 description 6
- 230000005540 biological transmission Effects 0.000 description 5
- 230000007246 mechanism Effects 0.000 description 5
- 230000008859 change Effects 0.000 description 4
- 238000010586 diagram Methods 0.000 description 3
- 230000000694 effects Effects 0.000 description 3
- 238000004364 calculation method Methods 0.000 description 2
- 238000012360 testing method Methods 0.000 description 2
- 206010009944 Colon cancer Diseases 0.000 description 1
- AZFKQCNGMSSWDS-UHFFFAOYSA-N MCPA-thioethyl Chemical compound CCSC(=O)COC1=CC=C(Cl)C=C1C AZFKQCNGMSSWDS-UHFFFAOYSA-N 0.000 description 1
- 239000006227 byproduct Substances 0.000 description 1
- 238000007796 conventional method Methods 0.000 description 1
- 125000004122 cyclic group Chemical group 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000007689 inspection Methods 0.000 description 1
- 230000007774 longterm Effects 0.000 description 1
- 238000011160 research Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
- H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
- H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
- H04L9/065—Encryption by serially and continuously modifying data stream elements, e.g. stream cipher systems, RC4, SEAL or A5/3
- H04L9/0656—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher
- H04L9/0662—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher with particular pseudorandom sequence generator
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
- H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
- H04L9/3026—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters details relating to polynomials generation, e.g. generation of irreducible polynomials
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
- H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/12—Details relating to cryptographic hardware or logic circuitry
- H04L2209/125—Parallelization or pipelining, e.g. for accelerating processing of cryptographic operations
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/20—Manipulating the length of blocks of bits, e.g. padding or block truncation
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Algebra (AREA)
- General Physics & Mathematics (AREA)
- Mathematical Analysis (AREA)
- Mathematical Optimization (AREA)
- Mathematical Physics (AREA)
- Pure & Applied Mathematics (AREA)
- Physics & Mathematics (AREA)
- Power Engineering (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
【目的】 侵害者によるメッセージの改ざんに対して２
進加法的ストリーム暗号システムのための高速で安全な
メッセージ認証を提供する。 【構成】 第１段階では、送受信者間でキーが安全に交
換される。このキーは次数ｎの２進既約多項式ｐ（ｘ）
である。又、送信者及び受信者は秘密のランダム・ビッ
トのストリームから成る暗号化キーを共有する。第２段
階では、伸長メッセージを生成するために、送信者が単
一の「１」のビットを先頭に、ｎ個のビット「０」を末
尾にメッセージＭに付加する。送信者はキー多項式ｐ
（ｘ）による伸長メッセージ多項式の除算をし、その多
項式剰余を暗号化する。送信者はメッセージＭと暗号化
剰余を送信する。第３段階では、受信者は、受信暗号化
剰余を復号し、先頭「１」とその剰余と受信メッセージ
Ｍからなるビット・ストリームＭ'の２進多項式表現と
キー多項式ｐ（ｘ）の間の除算の剰余を計算する。その
剰余がゼロであるときのみ受信者は受信メッセージＭを
真正として受け入れる。
進加法的ストリーム暗号システムのための高速で安全な
メッセージ認証を提供する。 【構成】 第１段階では、送受信者間でキーが安全に交
換される。このキーは次数ｎの２進既約多項式ｐ（ｘ）
である。又、送信者及び受信者は秘密のランダム・ビッ
トのストリームから成る暗号化キーを共有する。第２段
階では、伸長メッセージを生成するために、送信者が単
一の「１」のビットを先頭に、ｎ個のビット「０」を末
尾にメッセージＭに付加する。送信者はキー多項式ｐ
（ｘ）による伸長メッセージ多項式の除算をし、その多
項式剰余を暗号化する。送信者はメッセージＭと暗号化
剰余を送信する。第３段階では、受信者は、受信暗号化
剰余を復号し、先頭「１」とその剰余と受信メッセージ
Ｍからなるビット・ストリームＭ'の２進多項式表現と
キー多項式ｐ（ｘ）の間の除算の剰余を計算する。その
剰余がゼロであるときのみ受信者は受信メッセージＭを
真正として受け入れる。
Description
【０００１】
【産業上の利用分野】本発明は、メッセージの受信者に
メッセージの保全性（すなわち、受信メッセージが高い
確率で送信メッセージと同一であること）を確認できる
ようにするための方法に関し、特にストリーム暗号によ
って暗号化されたメッセージの保全性を保護し、かつ悪
意ある侵害者による改ざんに対し当該メッセージを保護
する方法に関するものである。また、本発明は、送信者
と受信者との間の同期が失われたときこれを検出する機
能を有し、それにより再同期を可能にする。
メッセージの保全性（すなわち、受信メッセージが高い
確率で送信メッセージと同一であること）を確認できる
ようにするための方法に関し、特にストリーム暗号によ
って暗号化されたメッセージの保全性を保護し、かつ悪
意ある侵害者による改ざんに対し当該メッセージを保護
する方法に関するものである。また、本発明は、送信者
と受信者との間の同期が失われたときこれを検出する機
能を有し、それにより再同期を可能にする。
【０００２】
【従来の技術】認証は、任意の人または物が有効である
または真正であるということを証明するプロセスであ
る。コンピュータ・システムや通信ネットワークにおい
て、認証はデータ・セキュリティの重要な部分である。
認証方式は全て、１または複数のパラメタの有効性を検
査するものである。例えば、人物の身元の認証では、申
し立てた身元（ＩＤ）を有する当該人物によって秘密の
または忘れにくいパラメタが与えられるような検査が必
要である。その与えられたパラメタの有効性を検査する
ことによってシステムはその人物が申し立て通りの人物
であるか否かを決定することができる。
または真正であるということを証明するプロセスであ
る。コンピュータ・システムや通信ネットワークにおい
て、認証はデータ・セキュリティの重要な部分である。
認証方式は全て、１または複数のパラメタの有効性を検
査するものである。例えば、人物の身元の認証では、申
し立てた身元（ＩＤ）を有する当該人物によって秘密の
または忘れにくいパラメタが与えられるような検査が必
要である。その与えられたパラメタの有効性を検査する
ことによってシステムはその人物が申し立て通りの人物
であるか否かを決定することができる。
【０００３】メッセージ認証は、メッセージの受信者が
メッセージの保全性を確認できるプロセスである。すな
わち、受信メッセージが送信した時点でのメッセージと
（高い確率で）同一であることを確認することである。
巡回冗長符号（cyclic redundancy codes：ＣＲＣ）は
通信ネットワークでの誤り検出に広く用いられている。
そのような符号は多項式の除算によって生成される。し
かしながら、ＣＲＣを用いたメッセージ認証は、通常セ
キュリティとは無関係の送信データに対して行われてい
るが、故意でない変更を検出する手段でしかない。セキ
ュリティのためには、改ざんされたことが検出されるこ
となく送信元と宛先のアドレスとを含むメッセージ内容
を悪意のある侵入者が改ざんするのを防ぐような機構が
必要である。ＣＲＣのような標準的な機構は、固定的で
ありかつ周知の手順であるため、悪意のある介入に対処
することはできない。したがって、いずれの侵入者も任
意のメッセージを選んで認証してしまうことができる。
メッセージの保全性を確認できるプロセスである。すな
わち、受信メッセージが送信した時点でのメッセージと
（高い確率で）同一であることを確認することである。
巡回冗長符号（cyclic redundancy codes：ＣＲＣ）は
通信ネットワークでの誤り検出に広く用いられている。
そのような符号は多項式の除算によって生成される。し
かしながら、ＣＲＣを用いたメッセージ認証は、通常セ
キュリティとは無関係の送信データに対して行われてい
るが、故意でない変更を検出する手段でしかない。セキ
ュリティのためには、改ざんされたことが検出されるこ
となく送信元と宛先のアドレスとを含むメッセージ内容
を悪意のある侵入者が改ざんするのを防ぐような機構が
必要である。ＣＲＣのような標準的な機構は、固定的で
ありかつ周知の手順であるため、悪意のある介入に対処
することはできない。したがって、いずれの侵入者も任
意のメッセージを選んで認証してしまうことができる。
【０００４】M. O. Rabinは、「Fingerprinting by Ran
dom Polynomials」, Tech. Rep. TR-15-81, Center for
Research in Computing Technology, Harvard Univ.,
Cambridge, Mass.（1981）の中で、ＣＲＣのように、基
本的な認証演算として多項式除算を用いた指紋関数を提
案した。Rabin法では、検査合計（check-sum）は送信さ
れず、それゆえ当該検査合計は上記メッセージを認証す
るのに利用できない。
dom Polynomials」, Tech. Rep. TR-15-81, Center for
Research in Computing Technology, Harvard Univ.,
Cambridge, Mass.（1981）の中で、ＣＲＣのように、基
本的な認証演算として多項式除算を用いた指紋関数を提
案した。Rabin法では、検査合計（check-sum）は送信さ
れず、それゆえ当該検査合計は上記メッセージを認証す
るのに利用できない。
【０００５】暗号は、送信メッセージを認証するための
高いレベルの安全な手段を与える。しかしながら、ある
メッセージ暗号化法が副産物としてある保全性検査を可
能とするが、一方、加法的ストリーム暗号システムとい
う共通キー暗号化法はメッセージ認証に全く有効ではな
い。したがって、他の暗号化法を用いるときより、メッ
セージ認証機構の必要性は大きい。実は、これらの暗号
化法を用いるとき、暗号化後でさえメッセージを改ざん
するのは非常に容易である。実際、Ｃが上記メッセージ
Ｍに対応する暗号文であるならば（すなわち、Ｃ＝Ｅ
（Ｍ）。ただし、Ｅは暗号化関数。）、Ｃ ｅｘｏｒ
Ｍ’＝Ｅ（Ｍ ｅｘｏｒ Ｍ’）であるから、Ｃ ｅｘ
ｏｒ Ｍ’がＭ ｅｘｏｒ Ｍ’に対応する暗号文とな
る。ここで、記号「exor」はビット毎の排他的論理和演
算を表す。したがって、暗号化メッセージＭに途中で割
り込むことによって、復号化アルゴリズムによって気付
かれることなしに容易に当該メッセージの内容をＭ ｅ
ｘｏｒ Ｍ’に変更することができる。安全なメッセー
ジ認証法は暗号化データの改ざんを高い確率で検出でき
なければならない。
高いレベルの安全な手段を与える。しかしながら、ある
メッセージ暗号化法が副産物としてある保全性検査を可
能とするが、一方、加法的ストリーム暗号システムとい
う共通キー暗号化法はメッセージ認証に全く有効ではな
い。したがって、他の暗号化法を用いるときより、メッ
セージ認証機構の必要性は大きい。実は、これらの暗号
化法を用いるとき、暗号化後でさえメッセージを改ざん
するのは非常に容易である。実際、Ｃが上記メッセージ
Ｍに対応する暗号文であるならば（すなわち、Ｃ＝Ｅ
（Ｍ）。ただし、Ｅは暗号化関数。）、Ｃ ｅｘｏｒ
Ｍ’＝Ｅ（Ｍ ｅｘｏｒ Ｍ’）であるから、Ｃ ｅｘ
ｏｒ Ｍ’がＭ ｅｘｏｒ Ｍ’に対応する暗号文とな
る。ここで、記号「exor」はビット毎の排他的論理和演
算を表す。したがって、暗号化メッセージＭに途中で割
り込むことによって、復号化アルゴリズムによって気付
かれることなしに容易に当該メッセージの内容をＭ ｅ
ｘｏｒ Ｍ’に変更することができる。安全なメッセー
ジ認証法は暗号化データの改ざんを高い確率で検出でき
なければならない。
【０００６】さらに、上記認証プロセス（平文に対して
行われるプロセス、すなわち暗号化前と復号化後とに行
われるプロセス）は、復号化が正しいことの証明とし
て、ストリーム暗号システムの中で送信者と受信者との
間の暗号化・復号化の同期を確認するのに不可欠な機能
を果たす。そのようなシステムでは、当該送信者及び当
該受信者は自分達の状態の変化の同期をとる必要があ
る。そうでなければ、正しい復号化は不可能である．さ
らに、高いデータ伝送速度を維持するために上記認証法
は非常に高速でなければならない。
行われるプロセス、すなわち暗号化前と復号化後とに行
われるプロセス）は、復号化が正しいことの証明とし
て、ストリーム暗号システムの中で送信者と受信者との
間の暗号化・復号化の同期を確認するのに不可欠な機能
を果たす。そのようなシステムでは、当該送信者及び当
該受信者は自分達の状態の変化の同期をとる必要があ
る。そうでなければ、正しい復号化は不可能である．さ
らに、高いデータ伝送速度を維持するために上記認証法
は非常に高速でなければならない。
【０００７】
【発明が解決しようとする課題】本発明の目的は、悪意
のある侵害者による、上記送信元と宛先アドレスとを含
む上記メッセージへの改ざんに対して保護する２進加法
的ストリーム暗号システムのための高速で安全なメッセ
ージ認証を提供することである。
のある侵害者による、上記送信元と宛先アドレスとを含
む上記メッセージへの改ざんに対して保護する２進加法
的ストリーム暗号システムのための高速で安全なメッセ
ージ認証を提供することである。
【０００８】本発明のもう一つの目的は、上記送信者と
上記受信者との間の同期が失われたことを検出し、再同
期を可能とする安全なメッセージ認証システムを提供す
ることである。
上記受信者との間の同期が失われたことを検出し、再同
期を可能とする安全なメッセージ認証システムを提供す
ることである。
【０００９】
【課題を解決するための手段】本発明によると、通信シ
ステムの中で送信者から受信者へ送信されるメッセージ
の信憑性を確認する上記方法は３つのステージに分けら
れる。当該送信者と当該受信者との間で通信前にとられ
る行為と、メッセージを送信するプロセスの中での当該
送信者によってとられる行為、及びメッセージを認証す
るために当該メッセージ受信時に当該受信者によってと
られる行為である。第１ステージでは、当該送信者と当
該受信者との間でキーが秘密に交換される。このキーは
次数ｎの２進（binary）既約多項式ｐ（ｘ）である。さ
らに、当該送信者及び当該受信者は秘密でランダムまた
は疑似ランダムなビットのストリームから成る暗号化キ
ーを共有する。第２ステージでは、当該送信者は伸長メ
ッセージＭ’を生成するために、先頭の非ゼロ・ストリ
ング（これは最も簡単な場合単一の「１」でよい）と末
尾のｎビットとをＭへ付加する。本発明の実施にあたっ
てはこの伸長メッセージは当該メッセージ・ビットに対
応する係数を有する多項式として観測される。好適例で
は、当該末尾ｎビットが全てゼロであるが、その代わり
にｎビットの任意のストリングＳを使用することも可能
である。もし当該メッセージの長さが既知でかつ暗号的
に確認されるならば、先頭の非ゼロ・ストリング，言い
換えるなら先頭の「１」のビットは必要ない。当該送信
者はそれから当該送信者と当該受信者とで交換した当該
キー多項式ｐ（ｘ）で上記伸長メッセージＭ’を除算す
ることによって多項式剰余を計算する。当該送信者は計
算された剰余を暗号化する。本発明の好適例では、当該
剰余のビット並びに送信者と受信者とによって共有され
ている秘密のビット・ストリームの間でビット毎の排他
的論理和演算を行うことによってその暗号化がなされ
る。当該送信者はそれから上記メッセージＭと当該暗号
化剰余とを送信する。当該メッセージＭをも暗号化する
か否かは任意であるが、本発明による認証プロセスには
これは必要ない。
ステムの中で送信者から受信者へ送信されるメッセージ
の信憑性を確認する上記方法は３つのステージに分けら
れる。当該送信者と当該受信者との間で通信前にとられ
る行為と、メッセージを送信するプロセスの中での当該
送信者によってとられる行為、及びメッセージを認証す
るために当該メッセージ受信時に当該受信者によってと
られる行為である。第１ステージでは、当該送信者と当
該受信者との間でキーが秘密に交換される。このキーは
次数ｎの２進（binary）既約多項式ｐ（ｘ）である。さ
らに、当該送信者及び当該受信者は秘密でランダムまた
は疑似ランダムなビットのストリームから成る暗号化キ
ーを共有する。第２ステージでは、当該送信者は伸長メ
ッセージＭ’を生成するために、先頭の非ゼロ・ストリ
ング（これは最も簡単な場合単一の「１」でよい）と末
尾のｎビットとをＭへ付加する。本発明の実施にあたっ
てはこの伸長メッセージは当該メッセージ・ビットに対
応する係数を有する多項式として観測される。好適例で
は、当該末尾ｎビットが全てゼロであるが、その代わり
にｎビットの任意のストリングＳを使用することも可能
である。もし当該メッセージの長さが既知でかつ暗号的
に確認されるならば、先頭の非ゼロ・ストリング，言い
換えるなら先頭の「１」のビットは必要ない。当該送信
者はそれから当該送信者と当該受信者とで交換した当該
キー多項式ｐ（ｘ）で上記伸長メッセージＭ’を除算す
ることによって多項式剰余を計算する。当該送信者は計
算された剰余を暗号化する。本発明の好適例では、当該
剰余のビット並びに送信者と受信者とによって共有され
ている秘密のビット・ストリームの間でビット毎の排他
的論理和演算を行うことによってその暗号化がなされ
る。当該送信者はそれから上記メッセージＭと当該暗号
化剰余とを送信する。当該メッセージＭをも暗号化する
か否かは任意であるが、本発明による認証プロセスには
これは必要ない。
【００１０】第３ステージでは、上記受信者によって受
信時に送信された暗号化剰余が復号化される。再び、本
発明の好適例では、この復号化は、上記剰余のビット並
びに上記通信者間で共有された秘密のビット・ストリー
ムの間のビット毎の排他的論理和演算を用いて行われ
る。当該受信者はそれから組み合わされたビット・スト
リームＭ’を得るために上記受信メッセージＭの末尾に
上記復号化剰余を付加する。当該受信者は、当該ビット
・ストリームＭ’の２進多項式表現並びに当該送信者と
当該受信者とで交換された上記キー多項式ｐ（ｘ）の間
の除算の剰余を計算する。当該受信者は計算された剰余
がゼロのときにのみ真正であるとして受信メッセージＭ
を受け入れる。
信時に送信された暗号化剰余が復号化される。再び、本
発明の好適例では、この復号化は、上記剰余のビット並
びに上記通信者間で共有された秘密のビット・ストリー
ムの間のビット毎の排他的論理和演算を用いて行われ
る。当該受信者はそれから組み合わされたビット・スト
リームＭ’を得るために上記受信メッセージＭの末尾に
上記復号化剰余を付加する。当該受信者は、当該ビット
・ストリームＭ’の２進多項式表現並びに当該送信者と
当該受信者とで交換された上記キー多項式ｐ（ｘ）の間
の除算の剰余を計算する。当該受信者は計算された剰余
がゼロのときにのみ真正であるとして受信メッセージＭ
を受け入れる。
【００１１】本発明の好適例では上記剰余を暗号化（及
び復号化）するのにランダムまたは疑似ランダム・ビッ
ト・ストリームと共にビット毎の排他的論理和関数を用
いるが、他の暗号化法を用いることもできる。しかしな
がら、本発明の重要な特徴はこの２進加法的ストリーム
暗号システムを用いることにより上記システムが安全性
を確認できることである。
び復号化）するのにランダムまたは疑似ランダム・ビッ
ト・ストリームと共にビット毎の排他的論理和関数を用
いるが、他の暗号化法を用いることもできる。しかしな
がら、本発明の重要な特徴はこの２進加法的ストリーム
暗号システムを用いることにより上記システムが安全性
を確認できることである。
【００１２】
【実施例】本発明の実施にあたっては、上記通信者間で
まず初めに暗号化関数Ｅ（・）で使用いられる暗号化キ
ーを交換する。本発明の特に有益な点は、当該関数Ｅ
（・）がストリーム暗号の暗号化法にもなり得ることで
ある。しかしながら、他の種類の暗号化法も用いられ得
る。当該通信者間はまた体（フィールド：field）ＧＦ
（２）（０と１という２つの要素からなる体）上の次数
ｎの多項式ｐ（ｘ）をも交換する。当該多項式ｐ（ｘ）
はランダムに（すなわち一様の確率で）体ＧＦ（２）上
の次数ｎの全ての既約多項式の中から選ばれる。ｎの値
は通信者間で既知のセキュリティ・パラメタである。そ
れは望ましいセキュリティレベルによる実施によって選
ばれる。暗号化キーと多項式ｐ（ｘ）とは両方とも秘密
に交換される。
まず初めに暗号化関数Ｅ（・）で使用いられる暗号化キ
ーを交換する。本発明の特に有益な点は、当該関数Ｅ
（・）がストリーム暗号の暗号化法にもなり得ることで
ある。しかしながら、他の種類の暗号化法も用いられ得
る。当該通信者間はまた体（フィールド：field）ＧＦ
（２）（０と１という２つの要素からなる体）上の次数
ｎの多項式ｐ（ｘ）をも交換する。当該多項式ｐ（ｘ）
はランダムに（すなわち一様の確率で）体ＧＦ（２）上
の次数ｎの全ての既約多項式の中から選ばれる。ｎの値
は通信者間で既知のセキュリティ・パラメタである。そ
れは望ましいセキュリティレベルによる実施によって選
ばれる。暗号化キーと多項式ｐ（ｘ）とは両方とも秘密
に交換される。
【００１３】Ｍは２進表現Ｍ＝ＭL-1，．．．Ｍ1，Ｍ0
を有する長さＬのメッセージとして定義される。Ｍ
（ｘ）＝ｘL＋ＭL-1ｘL-1＋．．．＋Ｍ1ｘ＋Ｍ0はＧＦ
（２）上の次数Ｌの多項式であって，先頭の係数が１で
あり他の係数はメッセージＭに対応するものとする。例
えば、Ｍ＝００１１０１ならば、Ｍ（ｘ）＝ｘ6＋ｘ3＋
ｘ2＋１となる。ここでｘ6は先頭の「１」の係数を示し
ている。
を有する長さＬのメッセージとして定義される。Ｍ
（ｘ）＝ｘL＋ＭL-1ｘL-1＋．．．＋Ｍ1ｘ＋Ｍ0はＧＦ
（２）上の次数Ｌの多項式であって，先頭の係数が１で
あり他の係数はメッセージＭに対応するものとする。例
えば、Ｍ＝００１１０１ならば、Ｍ（ｘ）＝ｘ6＋ｘ3＋
ｘ2＋１となる。ここでｘ6は先頭の「１」の係数を示し
ている。
【００１４】図、特に図１を参照しながら、通信システ
ムの中での上記送信者の基本構成を示していく。上記送
信メッセージＭをボックス１１に概念的に図示する。当
該メッセージのコピーがシリアルまたはパラレルに、メ
ッセージＭのビット数より大きいビット位置数を有する
仮想バッファ１２（ハードウェア・レジスタでない方が
望ましい）にロードされる。本好適例では、仮想バッフ
ァ１２は，Ｌをメッセージの長さとすると、Ｌ＋ｎ＋１
ステージを有しており、予め「１」にセットされた先頭
のビット位置と予め「０」にセットされたｎ個の下位ビ
ット位置を含む。多項式ｘnによってメッセージＭ
（ｘ）を（２進で）乗算する効果をもたらす、Ｌ＋ｎク
ロック・パルスによるメッセージＭの仮想バッファ１２
へのシフトは当業者には自明であろう．仮想バッファ１
２の中のこの伸長メッセージＭ’に対してはそれから乱
数多項式ｐ（ｘ）を用いた演算ユニット１３で剰余演算
が行われる。望ましい剰余演算ユニット１３は以下で図
５を参照してより詳しく記述される。その後、計算され
た剰余は送信者と受信者との間で交換された暗号キーを
用いた安全な暗号装置１４において暗号化される。当該
暗号化剰余はそれから別の仮想バッファ１５の中の上記
メッセージと連結され、仮想バッファ１５の内容はそれ
から受信者に送信される。
ムの中での上記送信者の基本構成を示していく。上記送
信メッセージＭをボックス１１に概念的に図示する。当
該メッセージのコピーがシリアルまたはパラレルに、メ
ッセージＭのビット数より大きいビット位置数を有する
仮想バッファ１２（ハードウェア・レジスタでない方が
望ましい）にロードされる。本好適例では、仮想バッフ
ァ１２は，Ｌをメッセージの長さとすると、Ｌ＋ｎ＋１
ステージを有しており、予め「１」にセットされた先頭
のビット位置と予め「０」にセットされたｎ個の下位ビ
ット位置を含む。多項式ｘnによってメッセージＭ
（ｘ）を（２進で）乗算する効果をもたらす、Ｌ＋ｎク
ロック・パルスによるメッセージＭの仮想バッファ１２
へのシフトは当業者には自明であろう．仮想バッファ１
２の中のこの伸長メッセージＭ’に対してはそれから乱
数多項式ｐ（ｘ）を用いた演算ユニット１３で剰余演算
が行われる。望ましい剰余演算ユニット１３は以下で図
５を参照してより詳しく記述される。その後、計算され
た剰余は送信者と受信者との間で交換された暗号キーを
用いた安全な暗号装置１４において暗号化される。当該
暗号化剰余はそれから別の仮想バッファ１５の中の上記
メッセージと連結され、仮想バッファ１５の内容はそれ
から受信者に送信される。
【００１５】上記暗号化が加法的ストリーム暗号として
実施される場合には、上記暗号化キーは、データと排他
的論理和演算するためのランダム・ビット・ストリン
グ、またはデータと排他的論理和演算される疑似ランダ
ム・ビットの生成のための疑似乱数生成器の種（seed）
である。暗号疑似乱数生成器は文献により周知のもので
ある。例えば、Henry Baker and Fred Piper, 「Cipher
Systems」, John Wileyand Sons（1982）を参照された
い。また、安全なキー交換法も技術的によく知られたも
のである。例えば、J. G. Steiner et al., 「Kerbero
s: An Authentication Service for Open Network Syst
ems」, Usenix Conference Proceedings,Winter 1988を
参照されたい。
実施される場合には、上記暗号化キーは、データと排他
的論理和演算するためのランダム・ビット・ストリン
グ、またはデータと排他的論理和演算される疑似ランダ
ム・ビットの生成のための疑似乱数生成器の種（seed）
である。暗号疑似乱数生成器は文献により周知のもので
ある。例えば、Henry Baker and Fred Piper, 「Cipher
Systems」, John Wileyand Sons（1982）を参照された
い。また、安全なキー交換法も技術的によく知られたも
のである。例えば、J. G. Steiner et al., 「Kerbero
s: An Authentication Service for Open Network Syst
ems」, Usenix Conference Proceedings,Winter 1988を
参照されたい。
【００１６】図２は、上記通信システムの中の受信者の
基本構成を示している。ここではｍと表している受信メ
ッセージと、ｅと表している暗号化剰余とが仮想バッフ
ァ２１に入力される。この受信暗号化剰余ｅは交換され
た暗号化キーを用いて安全な暗号装置２２で復号化され
る。ここではｒと表される復号化剰余は当該受信メッセ
ージｍと連結され、先頭の「１」のビットが別の仮想バ
ッファ２３で予めセットされる。ここでも、これが最も
簡単な場合であってその先頭の「１」のビットが非ゼロ
・ストリングであることは自明であろう。したがって、
伸長受信メッセージｍ’が伸長メッセージＭ’に対応し
て仮想バッファ２３に形成され、この多項式ｍ’に対し
ては上記ランダム多項式ｐ（ｘ）を用いた演算ユニット
２４で剰余演算が行われる。再び、望ましい剰余演算ユ
ニット２４は、剰余演算ユニット１３と同様に、以下で
図５により詳しく記述される。プロセッサ２５は上記剰
余演算の結果を検査し、結果がゼロなら認証されたとし
て当該メッセージを受け入れる。そうでなければ無効と
してメッセージを拒絶する。
基本構成を示している。ここではｍと表している受信メ
ッセージと、ｅと表している暗号化剰余とが仮想バッフ
ァ２１に入力される。この受信暗号化剰余ｅは交換され
た暗号化キーを用いて安全な暗号装置２２で復号化され
る。ここではｒと表される復号化剰余は当該受信メッセ
ージｍと連結され、先頭の「１」のビットが別の仮想バ
ッファ２３で予めセットされる。ここでも、これが最も
簡単な場合であってその先頭の「１」のビットが非ゼロ
・ストリングであることは自明であろう。したがって、
伸長受信メッセージｍ’が伸長メッセージＭ’に対応し
て仮想バッファ２３に形成され、この多項式ｍ’に対し
ては上記ランダム多項式ｐ（ｘ）を用いた演算ユニット
２４で剰余演算が行われる。再び、望ましい剰余演算ユ
ニット２４は、剰余演算ユニット１３と同様に、以下で
図５により詳しく記述される。プロセッサ２５は上記剰
余演算の結果を検査し、結果がゼロなら認証されたとし
て当該メッセージを受け入れる。そうでなければ無効と
してメッセージを拒絶する。
【００１７】ここで図３を参照しながら、メッセージＭ
に対し上記送信者によって行われるステップが記述され
る。送信のために関数ブロック３１に入力される個々の
メッセージＭに対し、当該メッセージは、一般にＭ
（ｘ）×ｘnと定義される伸長多項式Ｍ’を生成するた
めに関数ブロック３２で伸長される。好適例では、この
伸長ステップは３３で当該伸長多項式Ｍ’を作るために
先頭の「１」のビットと末尾のｎ個の「０」のビットを
付加する。第１ステップは上記多項式ｐ（ｘ）による当
該多項式Ｍ（ｘ）×ｘnの除算の剰余を関数ブロック３
４で計算するためのものである。ｒ（ｘ）は結果として
得られる剰余多項式であり、ｒ（Ｍ）はｒ（ｘ）の係数
に対応するｎビットのストリングである。当該ストリン
グｒ（Ｍ）は先頭に複数のゼロを有してもよい。ｒ
（Ｍ）は検査合計と呼ばれる。上記送信者によって行わ
れる第２ステップはＥ（ｒ（Ｍ））を得るために上記暗
号化関数Ｅ（・）を用いた関数ブロック３５で検査合計
ストリングｒ（Ｍ）を暗号化するためのものである。そ
の目的はストリーム暗号のための認証を提供するためで
あるから、この暗号化は検査合計と「キー伸長」ビット
・ストリームとの排他的論理和によって行われる。他の
暗号化法もまた使用し得る。次に、送信者はストリング
３６を形成するメッセージの保全性を確認するためにメ
ッセージＭにストリングＥ（ｒ（Ｍ））を付加し、関数
ブロック３７で両者を送信する。当該メッセージは暗号
化されていてもよいし平文でもよい。
に対し上記送信者によって行われるステップが記述され
る。送信のために関数ブロック３１に入力される個々の
メッセージＭに対し、当該メッセージは、一般にＭ
（ｘ）×ｘnと定義される伸長多項式Ｍ’を生成するた
めに関数ブロック３２で伸長される。好適例では、この
伸長ステップは３３で当該伸長多項式Ｍ’を作るために
先頭の「１」のビットと末尾のｎ個の「０」のビットを
付加する。第１ステップは上記多項式ｐ（ｘ）による当
該多項式Ｍ（ｘ）×ｘnの除算の剰余を関数ブロック３
４で計算するためのものである。ｒ（ｘ）は結果として
得られる剰余多項式であり、ｒ（Ｍ）はｒ（ｘ）の係数
に対応するｎビットのストリングである。当該ストリン
グｒ（Ｍ）は先頭に複数のゼロを有してもよい。ｒ
（Ｍ）は検査合計と呼ばれる。上記送信者によって行わ
れる第２ステップはＥ（ｒ（Ｍ））を得るために上記暗
号化関数Ｅ（・）を用いた関数ブロック３５で検査合計
ストリングｒ（Ｍ）を暗号化するためのものである。そ
の目的はストリーム暗号のための認証を提供するためで
あるから、この暗号化は検査合計と「キー伸長」ビット
・ストリームとの排他的論理和によって行われる。他の
暗号化法もまた使用し得る。次に、送信者はストリング
３６を形成するメッセージの保全性を確認するためにメ
ッセージＭにストリングＥ（ｒ（Ｍ））を付加し、関数
ブロック３７で両者を送信する。当該メッセージは暗号
化されていてもよいし平文でもよい。
【００１８】次に図４を参照し、受信された個々のメッ
セージｍに対する上記受信者による受信４１で行われる
ステップを記述する。上述のように、送信されたストリ
ングはメッセージＭと送信者によって生成された暗号化
剰余であるストリングＥ（ｒ（Ｍ））を含む。受信スト
リングは４２で表されるが、暗号化剰余を表すストリン
グはここではｅと表される。まず初めに、受信者はｒを
得るために関数ブロック４３でｅを復号化する。ここ
で、受信された対ｍ、ｅは送信者によって送信されたＭ
とＥ（ｒ（Ｍ））とに対応する。Ｍが暗号化形式で送信
されれば、ｍも復号化される。次に、受信者は当該スト
リングｒを４４でｍの末尾に連結し、伸長メッセージ
ｍ’を生成するために先頭の「１」のビットを付加す
る。連結されたストリング４４はｍ’で表され、ｍ’
（ｘ）はｍ’に対応する体ＧＦ（２）上の多項式を表
す。すなわち、その先頭の係数は「１」で他の係数は
ｍ’のビットに対応する。受信者はそれからキー多項式
ｐ（ｘ）によるｍ’（ｘ）の除算の剰余を関数ブロック
４５で計算する。その結果がゼロか否かを決定するため
に決定ブロック４６で検査が行われる。この剰余がゼロ
（ゼロ多項式）であれば、認証は成功である。すなわ
ち、メッセージｍは正しい送信メッセージＭとして関数
ブロック４８で受け入れられる。そうでなければ、メッ
セージｍの有効性は関数ブロック４７で拒絶される。
セージｍに対する上記受信者による受信４１で行われる
ステップを記述する。上述のように、送信されたストリ
ングはメッセージＭと送信者によって生成された暗号化
剰余であるストリングＥ（ｒ（Ｍ））を含む。受信スト
リングは４２で表されるが、暗号化剰余を表すストリン
グはここではｅと表される。まず初めに、受信者はｒを
得るために関数ブロック４３でｅを復号化する。ここ
で、受信された対ｍ、ｅは送信者によって送信されたＭ
とＥ（ｒ（Ｍ））とに対応する。Ｍが暗号化形式で送信
されれば、ｍも復号化される。次に、受信者は当該スト
リングｒを４４でｍの末尾に連結し、伸長メッセージ
ｍ’を生成するために先頭の「１」のビットを付加す
る。連結されたストリング４４はｍ’で表され、ｍ’
（ｘ）はｍ’に対応する体ＧＦ（２）上の多項式を表
す。すなわち、その先頭の係数は「１」で他の係数は
ｍ’のビットに対応する。受信者はそれからキー多項式
ｐ（ｘ）によるｍ’（ｘ）の除算の剰余を関数ブロック
４５で計算する。その結果がゼロか否かを決定するため
に決定ブロック４６で検査が行われる。この剰余がゼロ
（ゼロ多項式）であれば、認証は成功である。すなわ
ち、メッセージｍは正しい送信メッセージＭとして関数
ブロック４８で受け入れられる。そうでなければ、メッ
セージｍの有効性は関数ブロック４７で拒絶される。
【００１９】送信前にメッセージが暗号化される場合、
上記平文メッセージに基づき上記検査合計ストリングが
計算され、当該メッセージに連結されて、その結果のデ
ータ（メッセージ及び検査合計）が一単位として暗号化
される。同様に、受信時に、復号化が連結されたデータ
に対し一単位として行われ、保全性が検査される。
上記平文メッセージに基づき上記検査合計ストリングが
計算され、当該メッセージに連結されて、その結果のデ
ータ（メッセージ及び検査合計）が一単位として暗号化
される。同様に、受信時に、復号化が連結されたデータ
に対し一単位として行われ、保全性が検査される。
【００２０】メッセージと対応する（暗号化された）検
査合計が変更なしに受信されれば、認証は成功する。暗
号化関数が２進加法的ストリーム暗号であれば、（ａ）
当該暗号化を破ることができなくて、かつ（ｂ）上記キ
ー多項式ｐ（ｘ）を知らない侵害者によってなされる、
メッセージ及び検査合計の変更あるいはメッセージまた
は検査合計の変更が、Ｌを当該メッセージの長さとし、
ｎをセキュリティ・パラメタとすると、Ｌ／（２n）の
確率で検出される。例えば、Ｌ＝３０，０００及びｎ＝
３７に対し、この確率は１／（４×１０6）より小さ
い。上述のことは、上記侵害者がメッセージと対応する
暗号化検査合計の対をいくつか見ていたとしても成立す
る。言い換えれば、上記暗号システムが安全であるかぎ
りは、上記メッセージ認証もまた安全である。上記方法
はいずれの暗号化関数にも応用可能であるが、本発明は
２進加法的ストリーム暗号を用いて実施されるのが望ま
しい。
査合計が変更なしに受信されれば、認証は成功する。暗
号化関数が２進加法的ストリーム暗号であれば、（ａ）
当該暗号化を破ることができなくて、かつ（ｂ）上記キ
ー多項式ｐ（ｘ）を知らない侵害者によってなされる、
メッセージ及び検査合計の変更あるいはメッセージまた
は検査合計の変更が、Ｌを当該メッセージの長さとし、
ｎをセキュリティ・パラメタとすると、Ｌ／（２n）の
確率で検出される。例えば、Ｌ＝３０，０００及びｎ＝
３７に対し、この確率は１／（４×１０6）より小さ
い。上述のことは、上記侵害者がメッセージと対応する
暗号化検査合計の対をいくつか見ていたとしても成立す
る。言い換えれば、上記暗号システムが安全であるかぎ
りは、上記メッセージ認証もまた安全である。上記方法
はいずれの暗号化関数にも応用可能であるが、本発明は
２進加法的ストリーム暗号を用いて実施されるのが望ま
しい。
【００２１】送信者及び受信者の双方で実行される基本
演算は多項式除算剰余の演算である。これについて、次
に説明する、図５に示された主要構成をもつ簡単なハー
ドウェア回路により実現される。アキュムレータと呼ば
れるシフト・レジスタ５１及び制御レジスタ５２は、両
方ともｎステージを有しており、剰余を生成するのに用
いられる。アキュムレータ５１のステージは、ｎ個の排
他的論理和ゲート５３によって互いに接続される。制御
レジスタ５２はプログラム可能（すなわちメモリからロ
ード可能）で、上記多項式ｐ（ｘ）の省略される先頭の
係数を除いた他の係数を含む。データ・ビットはアキュ
ムレータ５１を通して流され、シフト・レジスタの最終
ステージで帰還ビットが生成される。この帰還ビット
は、ｎ個のＡＮＤゲート５４のイネーブル入力に接続さ
れており、それらのゲートは「１」の帰還ビットによっ
てイネーブル状態とされるとき、排他的論理和ゲート５
３の対応するものに制御レジスタの内容を供給する。し
たがって、帰還ビットに依存して、制御レジスタ５２に
蓄えられたｐ（ｘ）のビットとアキュムレータ５１の現
在の内容との間で排他的論理和演算が実行される。
演算は多項式除算剰余の演算である。これについて、次
に説明する、図５に示された主要構成をもつ簡単なハー
ドウェア回路により実現される。アキュムレータと呼ば
れるシフト・レジスタ５１及び制御レジスタ５２は、両
方ともｎステージを有しており、剰余を生成するのに用
いられる。アキュムレータ５１のステージは、ｎ個の排
他的論理和ゲート５３によって互いに接続される。制御
レジスタ５２はプログラム可能（すなわちメモリからロ
ード可能）で、上記多項式ｐ（ｘ）の省略される先頭の
係数を除いた他の係数を含む。データ・ビットはアキュ
ムレータ５１を通して流され、シフト・レジスタの最終
ステージで帰還ビットが生成される。この帰還ビット
は、ｎ個のＡＮＤゲート５４のイネーブル入力に接続さ
れており、それらのゲートは「１」の帰還ビットによっ
てイネーブル状態とされるとき、排他的論理和ゲート５
３の対応するものに制御レジスタの内容を供給する。し
たがって、帰還ビットに依存して、制御レジスタ５２に
蓄えられたｐ（ｘ）のビットとアキュムレータ５１の現
在の内容との間で排他的論理和演算が実行される。
【００２２】検査合計（すなわち認証ストリング）を計
算するために、アキュムレータ５１は、「１」に初期化
される最初の（左端の）ステージを除いて、全てゼロを
含むように初期化される。それから、データ・ビット
は、Ｌをデータ・ビットの数とし、ｎをアキュムレータ
の長さとすると、アキュムレータ５１を通してＬ＋ｎク
ロック・パルスだけシフトされる。アキュムレータ５１
の（Ｌ＋ｎシフトのあとの）最終的な内容が、検査合計
の値である。第１アキュムレータ・ステージを「１」へ
初期化することは先頭の「１」と共に認証されるメッセ
ージＭを伸長する効果を有しており、それ故メッセージ
Ｍへのこのビットの明示的な加算を避けているというこ
とを注記しておく。同様に、（Ｌ個のデータ・ビットが
当該アキュムレータを通してシフトされた後）ｎ個の特
別なパルスによってシフトすることはメッセージＭをｎ
個の末尾の「０」で伸長する効果を有する。
算するために、アキュムレータ５１は、「１」に初期化
される最初の（左端の）ステージを除いて、全てゼロを
含むように初期化される。それから、データ・ビット
は、Ｌをデータ・ビットの数とし、ｎをアキュムレータ
の長さとすると、アキュムレータ５１を通してＬ＋ｎク
ロック・パルスだけシフトされる。アキュムレータ５１
の（Ｌ＋ｎシフトのあとの）最終的な内容が、検査合計
の値である。第１アキュムレータ・ステージを「１」へ
初期化することは先頭の「１」と共に認証されるメッセ
ージＭを伸長する効果を有しており、それ故メッセージ
Ｍへのこのビットの明示的な加算を避けているというこ
とを注記しておく。同様に、（Ｌ個のデータ・ビットが
当該アキュムレータを通してシフトされた後）ｎ個の特
別なパルスによってシフトすることはメッセージＭをｎ
個の末尾の「０」で伸長する効果を有する。
【００２３】受信者側の認証を確認するプロセスも同様
に、同じハードウェア装置を用いる。検査する目的のた
めに、メッセージと検査合計の連結は（長さＬ＋ｎの）
唯一のストリングである。アキュムレータは予め初期化
され（すなわち最初のセルに「１」、それ以外にゼ
ロ）、連結ストリングがアキュムレータ５１を通して当
該アキュムレータの内容が検査された後、Ｌ＋ｎシフト
だけ流れる。それが全てゼロを含むなら、上記認証は成
功である。そうでなければ，誤りが検出される。
に、同じハードウェア装置を用いる。検査する目的のた
めに、メッセージと検査合計の連結は（長さＬ＋ｎの）
唯一のストリングである。アキュムレータは予め初期化
され（すなわち最初のセルに「１」、それ以外にゼ
ロ）、連結ストリングがアキュムレータ５１を通して当
該アキュムレータの内容が検査された後、Ｌ＋ｎシフト
だけ流れる。それが全てゼロを含むなら、上記認証は成
功である。そうでなければ，誤りが検出される。
【００２４】言い換えれば、上記アキュムレータは、最
初のｎ−１ステージのデータの最初のｎ−１ビットと最
後のステージの「１」とを含むように（例えば並列的
に）初期化され得る。この場合、Ｌ＋１シフトは検査合
計を計算するのに十分である。上記ランダム既約多項式
ｐ（ｘ）を選択するのは通常、既約性検査（irreducibi
lity testing）の従来技術を用いてソフトウェアにより
行われる。ハードウェアによる高速実施もまた可能であ
る。長さｎは、上記システムのメッセージの長さに依存
して固定されるべきであり、既約性検査を容易にするた
めにそれを素数に選んだ方がよい。そのような検査は文
献では既知となっている。
初のｎ−１ステージのデータの最初のｎ−１ビットと最
後のステージの「１」とを含むように（例えば並列的
に）初期化され得る。この場合、Ｌ＋１シフトは検査合
計を計算するのに十分である。上記ランダム既約多項式
ｐ（ｘ）を選択するのは通常、既約性検査（irreducibi
lity testing）の従来技術を用いてソフトウェアにより
行われる。ハードウェアによる高速実施もまた可能であ
る。長さｎは、上記システムのメッセージの長さに依存
して固定されるべきであり、既約性検査を容易にするた
めにそれを素数に選んだ方がよい。そのような検査は文
献では既知となっている。
【００２５】上記メッセージの末尾にｎ個の「０」を付
加する代わりとして、ｎビットの任意のストリングＳを
付加することがある。そのような場合、メッセージの確
認は上述のように行われるが、上記アキュムレータの最
終ステージとゼロとを比較する代わりに同じストリング
Ｓと比較する。
加する代わりとして、ｎビットの任意のストリングＳを
付加することがある。そのような場合、メッセージの確
認は上述のように行われるが、上記アキュムレータの最
終ステージとゼロとを比較する代わりに同じストリング
Ｓと比較する。
【００２６】キー多項式ｐ（ｘ）を変更するか否か、及
びそれをどのくらいの頻度で行うかは、暗号化関数の信
頼性とキーを秘密にしておける可能性とに依存する。固
定であるがランダムに選択される多項式もまた使用でき
る。この場合、より効率的にできるあるいはより低価格
で実施できる特定の多項式に対し、ハードウェアを構築
することが可能である。しかしながら、これには、侵害
者がハードウェア自体からその多項式を導くことが不可
能であることが必要である。それにはまた、質の高い暗
号化関数が必要である。そうでなければ長期間の使用の
後、情報の部分的漏れがｐ（ｘ）の値に関して多すぎる
ほどの情報を与えることになる。いったん多項式が侵害
者に知られると、上記認証法は役に立たないものにな
る。
びそれをどのくらいの頻度で行うかは、暗号化関数の信
頼性とキーを秘密にしておける可能性とに依存する。固
定であるがランダムに選択される多項式もまた使用でき
る。この場合、より効率的にできるあるいはより低価格
で実施できる特定の多項式に対し、ハードウェアを構築
することが可能である。しかしながら、これには、侵害
者がハードウェア自体からその多項式を導くことが不可
能であることが必要である。それにはまた、質の高い暗
号化関数が必要である。そうでなければ長期間の使用の
後、情報の部分的漏れがｐ（ｘ）の値に関して多すぎる
ほどの情報を与えることになる。いったん多項式が侵害
者に知られると、上記認証法は役に立たないものにな
る。
【００２７】上記メッセージ認証機構はシフト・レジス
タを用いて実施されるから、これらと同一のまたはその
他のシフト・レジスタがストリーム暗号システム自体を
実施するために用いることができる。この構造は簡単で
あるので、高速アプリケーションの利用を可能とし、ハ
ードウェアのコストを低くするという付随的な利点をも
つ。本発明の好適例は、ＣＲＣの高速実施例に関する既
存の知識を利用するが、ＣＲＣが通常標準として定義さ
れるという制限はない。とりわけ、本発明は、データ・
ストリームのビット順序を入れ替える必要がある剰余演
算の高速化のために並列化技術を用い得る。そのような
入れ替えはＣＲＣ標準仕様に従わない。
タを用いて実施されるから、これらと同一のまたはその
他のシフト・レジスタがストリーム暗号システム自体を
実施するために用いることができる。この構造は簡単で
あるので、高速アプリケーションの利用を可能とし、ハ
ードウェアのコストを低くするという付随的な利点をも
つ。本発明の好適例は、ＣＲＣの高速実施例に関する既
存の知識を利用するが、ＣＲＣが通常標準として定義さ
れるという制限はない。とりわけ、本発明は、データ・
ストリームのビット順序を入れ替える必要がある剰余演
算の高速化のために並列化技術を用い得る。そのような
入れ替えはＣＲＣ標準仕様に従わない。
【００２８】本発明は、ストリーム暗号システムと共に
用いられるとき、通信者間に彼らの暗号化ストリーム中
の同期の欠如を発見する方法を提供する。実際、この同
期が失われると、（たとえこの同期の欠如が悪意のある
介入によって引き起こされたとしても）暗号化メッセー
ジは非常に高い確率で認証機構において失敗する。その
ような場合、当該通信者間は使用される特定の通信プロ
トコルに従ってメッセージの再送及び（または）再同期
の状態に入ることを試みることができる。例えば、新し
い秘密暗号化キーを交換することによって再同期が行わ
れる。
用いられるとき、通信者間に彼らの暗号化ストリーム中
の同期の欠如を発見する方法を提供する。実際、この同
期が失われると、（たとえこの同期の欠如が悪意のある
介入によって引き起こされたとしても）暗号化メッセー
ジは非常に高い確率で認証機構において失敗する。その
ような場合、当該通信者間は使用される特定の通信プロ
トコルに従ってメッセージの再送及び（または）再同期
の状態に入ることを試みることができる。例えば、新し
い秘密暗号化キーを交換することによって再同期が行わ
れる。
【００２９】本発明は２進多項式（すなわち体ＧＦ
（２）上の多項式）の点から記述されてきたが、より一
般の場合、本発明は、異なる有限体Ｆからの記号を成分
とするメッセージを考慮することによって用いることが
できる。この場合、上記既約多項式ｐ（ｘ）と上記剰余
演算との両方がその体Ｆ上で実行される。また、伸長す
る１と０は体Ｆ上の１と０として考えられるべきであ
る。
（２）上の多項式）の点から記述されてきたが、より一
般の場合、本発明は、異なる有限体Ｆからの記号を成分
とするメッセージを考慮することによって用いることが
できる。この場合、上記既約多項式ｐ（ｘ）と上記剰余
演算との両方がその体Ｆ上で実行される。また、伸長す
る１と０は体Ｆ上の１と０として考えられるべきであ
る。
【００３０】まとめとして、本発明の構成に関して以下
の事項を開示する。
の事項を開示する。
【００３１】（１）通信システムにおいて、送信者から
受信者へ送信されるメッセージの信憑性を確認する方法
であって、（ａ）上記送信者と上記受信者との間で、暗
号化キーと次数ｎの既約多項式ｐ（ｘ）とを秘密に交換
するステップと、（ｂ）上記送信者によって送信される
個々のメッセージＭに対し、先頭に非ゼロ・ストリング
と末尾にｎビットを上記メッセージＭに付加し、上記メ
ッセージＭのビットに対応する係数を有する多項式に対
応する伸長メッセージＭ’を生成するステップと、
（ｃ）上記ステップ（ａ）で交換された上記多項式ｐ
（ｘ）による、上記ステップ（ｂ）で生成された上記伸
長メッセージＭ’に対応する上記多項式の除算から、結
果として生じる多項式剰余ｒを計算するステップと、
（ｄ）上記ステップ（ａ）で交換された上記暗号化キー
を用いて、上記ステップ（ｃ）で計算された上記剰余を
暗号化するステップと、（ｅ）上記メッセージと上記ス
テップ（ｄ）で暗号化された上記剰余を送信するステッ
プと、（ｆ）上記ステップ（ａ）で交換された上記暗号
化キーを用いて、送信された上記暗号化された剰余を、
受信時に上記受信者により復号するステップと、（ｇ）
上記ステップ（ｆ）で復号された剰余と受信メッセージ
ｍとを連結し、先頭に非ゼロ・ストリングを付加し、伸
長受信メッセージｍ’を生成するステップと、（ｈ）上
記伸長受信メッセージｍ’の多項式表現と上記ステップ
（ａ）で交換された上記多項式ｐ（ｘ）との間の除算の
剰余ｒを計算するステップと、（ｉ）上記ステップ
（ｈ）で計算された上記剰余が予め決められた値である
場合のみ、上記受信メッセージｍを真正であるとして受
け入れるステップとを含むメッセージ確認方法。 （２）ステップ（ｂ）が、上記非ゼロ・ストリングとし
て先頭にビット「１」を付加することにより実行され
る、（１）記載のメッセージ確認方法。 （３）ステップ（ｂ）が、上記ｎビットとしてｎ個の
「０」を末尾に付加することにより実行され、ステップ
（ｉ）の上記予め決められた値がゼロである（１）記載
のメッセージ確認方法。 （４）ステップ（ｂ）が、上記ｎビットとして任意のス
トリングＳを末尾に付加することにより実行され、ステ
ップ（ｉ）の上記予め決められた値が上記ストリングＳ
である（１）記載のメッセージ確認方法。 （５）上記メッセージＭ及び多項式の係数が、非２進有
限体Ｆ上の要素として考えられ、上記ステップ（ｃ）及
びステップ（ｈ）とにおける上記多項式剰余演算が体Ｆ
上の要素として考えられ、上記ステップ（ｃ）と上記ス
テップ（ｈ）とにおける上記多項式剰余演算が上記体Ｆ
で実行される、（１）記載のメッセージ確認方法。 （６）上記ステップ（ｄ）と上記ステップ（ｆ）が、上
記剰余のビットと上記送信者及び上記受信者によって共
有された秘密のビットのストリームとの間のビット毎の
排他的論理和演算により実行される、（１）記載のメッ
セージ確認方法。 （７）上記秘密のビットのストリームが、ランダム又は
疑似ランダムである、（６）記載のメッセージ確認方
法。 （８）上記ステップ（ｅ）の前に上記メッセージＭを上
記送信者により暗号化するステップと、上記受信したメ
ッセージｍの末尾に上記ステップ（ｆ）で復号した剰余
を付加する前に、メッセージｍを上記受信者により復号
するステップとをさらに含む（１）記載のメッセージ確
認方法。 （９）送信者と受信者との間で暗号化キーと次数ｎの既
約多項式ｐ（ｘ）とが秘密に交換されている通信システ
ムであって、上記送信者によって送信されるメッセージ
Ｍを含む第１バッファであって、先頭に非ゼロ・ストリ
ングと末尾にｎビットを付加し、上記メッセージのビッ
トに対応する係数を有する多項式に対応する伸長メッセ
ージＭ’を生成する上記第１バッファと、上記多項式ｐ
（ｘ）により上記伸長メッセージＭ’に対応する上記多
項式の除算から、結果として生じる多項式剰余ｒを計算
する第１除算器と、上記剰余ｒを上記暗号化キーで暗号
化する第１暗号装置と、上記メッセージＭと上記第１暗
号装置からの暗号化された上記剰余を送信する送信器
と、送信されたメッセージｍと暗号化された剰余を受信
する受信器と、上記暗号化キーを用いて、送信された暗
号化剰余を復号する第２暗号装置と、上記復号された剰
余を受信されたメッセージｍとを連結し、先頭に非ゼロ
・ストリングを付加し、伸長された受信メッセージｍ’
を生成する第２バッファと、上記伸長された受信メッセ
ージｍ’による多項式表現と上記多項式ｐ（ｘ）との除
算の剰余ｒを計算する第２除算器と、上記第２除算器に
より計算された剰余が所定の値である場合にのみ、上記
受信メッセージを真正として受け入れるプロセッサとを
有する通信システム。 （１０）非ゼロ・ストリングとして先頭に「１」のビッ
トが付加されることを特徴とする（９）記載の通信シス
テム。 （１１）ｎ個の「０」を上記末尾のｎビットとして付加
し、上記プロセッサは上記所定の値がゼロである場合に
上記受信メッセージを真正として受け入れることを特徴
とする（９）記載の通信システム。 （１２）任意のストリングＳを上記末尾のｎビットとし
て付加し、上記プロセッサは上記所定の値が上記ストリ
ングＳである場合に上記受信メッセージを真正として受
け入れることを特徴とする（９）記載の通信システム。 （１３）上記第１及び第２除算器が、ｎステージを有す
るアキュムレータ・レジスタであって、上記アキュムレ
ータは、「１」に初期化された第１ステージを除きすべ
てゼロを含むように初期化され、データ・ビットは、Ｌ
＋ｎクロック・パルスで上記アキュムレータ・レジスタ
を通してシフトされ、Ｌがデータ・ビット数である上記
アキュムレータと、各々が上記アキュムレータ・レジス
タの隣接するステージ間に配置された複数の排他的論理
和ゲートと、ｎステージを有し、上記多項式キーｐ
（ｘ）をロード可能な制御レジスタと、複数のＡＮＤゲ
ートであって、上記アキュムレータ・レジスタの最終ス
テージの出力により使用可能になるように接続され、上
記制御レジスタのステージの対応する１つから入力を受
信し、上記ＡＮＤゲートの各々の出力は、上記排他的論
理和ゲートの対応する１つに供給される上記ＡＮＤゲー
トとを有する（９）記載の通信システム。
受信者へ送信されるメッセージの信憑性を確認する方法
であって、（ａ）上記送信者と上記受信者との間で、暗
号化キーと次数ｎの既約多項式ｐ（ｘ）とを秘密に交換
するステップと、（ｂ）上記送信者によって送信される
個々のメッセージＭに対し、先頭に非ゼロ・ストリング
と末尾にｎビットを上記メッセージＭに付加し、上記メ
ッセージＭのビットに対応する係数を有する多項式に対
応する伸長メッセージＭ’を生成するステップと、
（ｃ）上記ステップ（ａ）で交換された上記多項式ｐ
（ｘ）による、上記ステップ（ｂ）で生成された上記伸
長メッセージＭ’に対応する上記多項式の除算から、結
果として生じる多項式剰余ｒを計算するステップと、
（ｄ）上記ステップ（ａ）で交換された上記暗号化キー
を用いて、上記ステップ（ｃ）で計算された上記剰余を
暗号化するステップと、（ｅ）上記メッセージと上記ス
テップ（ｄ）で暗号化された上記剰余を送信するステッ
プと、（ｆ）上記ステップ（ａ）で交換された上記暗号
化キーを用いて、送信された上記暗号化された剰余を、
受信時に上記受信者により復号するステップと、（ｇ）
上記ステップ（ｆ）で復号された剰余と受信メッセージ
ｍとを連結し、先頭に非ゼロ・ストリングを付加し、伸
長受信メッセージｍ’を生成するステップと、（ｈ）上
記伸長受信メッセージｍ’の多項式表現と上記ステップ
（ａ）で交換された上記多項式ｐ（ｘ）との間の除算の
剰余ｒを計算するステップと、（ｉ）上記ステップ
（ｈ）で計算された上記剰余が予め決められた値である
場合のみ、上記受信メッセージｍを真正であるとして受
け入れるステップとを含むメッセージ確認方法。 （２）ステップ（ｂ）が、上記非ゼロ・ストリングとし
て先頭にビット「１」を付加することにより実行され
る、（１）記載のメッセージ確認方法。 （３）ステップ（ｂ）が、上記ｎビットとしてｎ個の
「０」を末尾に付加することにより実行され、ステップ
（ｉ）の上記予め決められた値がゼロである（１）記載
のメッセージ確認方法。 （４）ステップ（ｂ）が、上記ｎビットとして任意のス
トリングＳを末尾に付加することにより実行され、ステ
ップ（ｉ）の上記予め決められた値が上記ストリングＳ
である（１）記載のメッセージ確認方法。 （５）上記メッセージＭ及び多項式の係数が、非２進有
限体Ｆ上の要素として考えられ、上記ステップ（ｃ）及
びステップ（ｈ）とにおける上記多項式剰余演算が体Ｆ
上の要素として考えられ、上記ステップ（ｃ）と上記ス
テップ（ｈ）とにおける上記多項式剰余演算が上記体Ｆ
で実行される、（１）記載のメッセージ確認方法。 （６）上記ステップ（ｄ）と上記ステップ（ｆ）が、上
記剰余のビットと上記送信者及び上記受信者によって共
有された秘密のビットのストリームとの間のビット毎の
排他的論理和演算により実行される、（１）記載のメッ
セージ確認方法。 （７）上記秘密のビットのストリームが、ランダム又は
疑似ランダムである、（６）記載のメッセージ確認方
法。 （８）上記ステップ（ｅ）の前に上記メッセージＭを上
記送信者により暗号化するステップと、上記受信したメ
ッセージｍの末尾に上記ステップ（ｆ）で復号した剰余
を付加する前に、メッセージｍを上記受信者により復号
するステップとをさらに含む（１）記載のメッセージ確
認方法。 （９）送信者と受信者との間で暗号化キーと次数ｎの既
約多項式ｐ（ｘ）とが秘密に交換されている通信システ
ムであって、上記送信者によって送信されるメッセージ
Ｍを含む第１バッファであって、先頭に非ゼロ・ストリ
ングと末尾にｎビットを付加し、上記メッセージのビッ
トに対応する係数を有する多項式に対応する伸長メッセ
ージＭ’を生成する上記第１バッファと、上記多項式ｐ
（ｘ）により上記伸長メッセージＭ’に対応する上記多
項式の除算から、結果として生じる多項式剰余ｒを計算
する第１除算器と、上記剰余ｒを上記暗号化キーで暗号
化する第１暗号装置と、上記メッセージＭと上記第１暗
号装置からの暗号化された上記剰余を送信する送信器
と、送信されたメッセージｍと暗号化された剰余を受信
する受信器と、上記暗号化キーを用いて、送信された暗
号化剰余を復号する第２暗号装置と、上記復号された剰
余を受信されたメッセージｍとを連結し、先頭に非ゼロ
・ストリングを付加し、伸長された受信メッセージｍ’
を生成する第２バッファと、上記伸長された受信メッセ
ージｍ’による多項式表現と上記多項式ｐ（ｘ）との除
算の剰余ｒを計算する第２除算器と、上記第２除算器に
より計算された剰余が所定の値である場合にのみ、上記
受信メッセージを真正として受け入れるプロセッサとを
有する通信システム。 （１０）非ゼロ・ストリングとして先頭に「１」のビッ
トが付加されることを特徴とする（９）記載の通信シス
テム。 （１１）ｎ個の「０」を上記末尾のｎビットとして付加
し、上記プロセッサは上記所定の値がゼロである場合に
上記受信メッセージを真正として受け入れることを特徴
とする（９）記載の通信システム。 （１２）任意のストリングＳを上記末尾のｎビットとし
て付加し、上記プロセッサは上記所定の値が上記ストリ
ングＳである場合に上記受信メッセージを真正として受
け入れることを特徴とする（９）記載の通信システム。 （１３）上記第１及び第２除算器が、ｎステージを有す
るアキュムレータ・レジスタであって、上記アキュムレ
ータは、「１」に初期化された第１ステージを除きすべ
てゼロを含むように初期化され、データ・ビットは、Ｌ
＋ｎクロック・パルスで上記アキュムレータ・レジスタ
を通してシフトされ、Ｌがデータ・ビット数である上記
アキュムレータと、各々が上記アキュムレータ・レジス
タの隣接するステージ間に配置された複数の排他的論理
和ゲートと、ｎステージを有し、上記多項式キーｐ
（ｘ）をロード可能な制御レジスタと、複数のＡＮＤゲ
ートであって、上記アキュムレータ・レジスタの最終ス
テージの出力により使用可能になるように接続され、上
記制御レジスタのステージの対応する１つから入力を受
信し、上記ＡＮＤゲートの各々の出力は、上記排他的論
理和ゲートの対応する１つに供給される上記ＡＮＤゲー
トとを有する（９）記載の通信システム。
【００３２】
【発明の効果】本発明によって、悪意のある侵害者によ
るメッセージの改ざんに対抗して保護する２進加法的ス
トリーム暗号システムのための高速で安全なメッセージ
認証が可能となる。さらに、再同期を可能にするために
送信者と受信者との間の同期が失われたことを検出する
安全なメッセージ認証システムが実現される。
るメッセージの改ざんに対抗して保護する２進加法的ス
トリーム暗号システムのための高速で安全なメッセージ
認証が可能となる。さらに、再同期を可能にするために
送信者と受信者との間の同期が失われたことを検出する
安全なメッセージ認証システムが実現される。
【図１】送信者の構成を示したブロック図である。
【図２】受信者の構成を示したブロック図である。
【図３】個々のメッセージに対し、送信者が行う作業の
流れ図である。
流れ図である。
【図４】個々のメッセージに対し、受信者が行う作業の
流れ図である。
流れ図である。
【図５】多項式除算剰余の計算に用いるハードウェアの
論理回路のブロック図である。
論理回路のブロック図である。
１１ メッセージＭ １２ 仮想バッファ １３ 剰余演算ユニット １４ 暗号装置 １５ 仮想バッファ ２１ 仮想バッファ ２２ 暗号装置 ２３ 仮想バッファ ２４ 剰余演算ユニット ２５ プロセッサ ３１ 仮想バッファ ３２ 関数ブロック・伸長 ３３ 仮想バッファ ３４ 関数ブロック・剰余演算 ３５ 関数ブロック・暗号化 ３６ 仮想バッファ ３７ 関数ブロック・送信 ４１ 関数ブロック・受信 ４２ 仮想バッファ ４３ 関数ブロック・復号化 ４４ 仮想バッファ ４５ 剰余演算ユニット ４６ 決定ブロック・結果がゼロか ４７ 関数ブロック・無効メッセージとして拒絶 ４８ 関数ブロック・有効メッセージとして受入れ ５１ アキュムレータ ５２ 制御レジスタ ５３ 排他的論理和ゲート ５４ ＡＮＤゲート
───────────────────────────────────────────────────── フロントページの続き (72)発明者 ヒューゴ・マリオ・クロージック アメリカ合衆国10463 ニューヨーク州、 リバーデイル、ネザーランド・アベニュ ー、アパートメント・ファイブゼロワン 2600 (72)発明者 シェイ・クッテン アメリカ合衆国07866 ニュー・ジャージ ー州、ロックアウェイ、レノックス・スト リート 41 (72)発明者 イーシェイ・マンソーア イスラエル、テルアビブ、アリストボル・ ストリート ６
Claims (13)
- 【請求項１】通信システムにおいて、送信者から受信者
へ送信されるメッセージの信憑性を確認する方法であっ
て、 （ａ）上記送信者と上記受信者との間で、暗号化キーと
次数ｎの既約多項式ｐ（ｘ）とを秘密に交換するステッ
プと、 （ｂ）上記送信者によって送信される個々のメッセージ
Ｍに対し、先頭に非ゼロ・ストリングと末尾にｎビット
を上記メッセージＭに付加し、上記メッセージＭのビッ
トに対応する係数を有する多項式に対応する伸長メッセ
ージＭ’を生成するステップと、 （ｃ）上記ステップ（ａ）で交換された上記多項式ｐ
（ｘ）による、上記ステップ（ｂ）で生成された上記伸
長メッセージＭ’に対応する上記多項式の除算から、結
果として生じる多項式剰余ｒを計算するステップと、 （ｄ）上記ステップ（ａ）で交換された上記暗号化キー
を用いて、上記ステップ（ｃ）で計算された上記剰余を
暗号化するステップと、 （ｅ）上記メッセージと上記ステップ（ｄ）で暗号化さ
れた上記剰余を送信するステップと、 （ｆ）上記ステップ（ａ）で交換された上記暗号化キー
を用いて、送信された上記暗号化された剰余を、受信時
に上記受信者により復号するステップと、 （ｇ）上記ステップ（ｆ）で復号された剰余と受信メッ
セージｍとを連結し、先頭に非ゼロ・ストリングを付加
し、伸長受信メッセージｍ’を生成するステップと、 （ｈ）上記伸長受信メッセージｍ’の多項式表現と上記
ステップ（ａ）で交換された上記多項式ｐ（ｘ）との間
の除算の剰余ｒを計算するステップと、 （ｉ）上記ステップ（ｈ）で計算された上記剰余が予め
決められた値である場合のみ、上記受信メッセージｍを
真正であるとして受け入れるステップとを含むメッセー
ジ確認方法。 - 【請求項２】ステップ（ｂ）が、上記非ゼロ・ストリン
グとして先頭にビット「１」を付加することにより実行
される、請求項１記載のメッセージ確認方法。 - 【請求項３】ステップ（ｂ）が、上記ｎビットとしてｎ
個の「０」を末尾に付加することにより実行され、 ステップ（ｉ）の上記予め決められた値がゼロである請
求項１記載のメッセージ確認方法。 - 【請求項４】ステップ（ｂ）が、上記ｎビットとして任
意のストリングＳを末尾に付加することにより実行さ
れ、 ステップ（ｉ）の上記予め決められた値が上記ストリン
グＳである請求項１記載のメッセージ確認方法。 - 【請求項５】上記メッセージＭ及び多項式の係数が、非
２進有限体Ｆ上の要素として考えられ、上記ステップ
（ｃ）及びステップ（ｈ）とにおける上記多項式剰余演
算が体Ｆ上の要素として考えられ、上記ステップ（ｃ）
と上記ステップ（ｈ）とにおける上記多項式剰余演算が
上記体Ｆで実行される、請求項１記載のメッセージ確認
方法。 - 【請求項６】上記ステップ（ｄ）と上記ステップ（ｆ）
が、上記剰余のビットと上記送信者及び上記受信者によ
って共有された秘密のビットのストリームとの間のビッ
ト毎の排他的論理和演算により実行される、請求項１記
載のメッセージ確認方法。 - 【請求項７】上記秘密のビットのストリームが、ランダ
ム又は疑似ランダムである、請求項６記載のメッセージ
確認方法。 - 【請求項８】上記ステップ（ｅ）の前に上記メッセージ
Ｍを上記送信者により暗号化するステップと、 上記受信したメッセージｍの末尾に上記ステップ（ｆ）
で復号した剰余を付加する前に、メッセージｍを上記受
信者により復号するステップとをさらに含む請求項１記
載のメッセージ確認方法。 - 【請求項９】送信者と受信者との間で暗号化キーと次数
ｎの既約多項式ｐ（ｘ）とが秘密に交換されている通信
システムであって、 上記送信者によって送信されるメッセージＭを含む第１
バッファであって、 先頭に非ゼロ・ストリングと末尾にｎビットを付加し、
上記メッセージのビットに対応する係数を有する多項式
に対応する伸長メッセージＭ’を生成する上記第１バッ
ファと、 上記多項式ｐ（ｘ）により上記伸長メッセージＭ’に対
応する上記多項式の除算から、結果として生じる多項式
剰余ｒを計算する第１除算器と、 上記剰余ｒを上記暗号化キーで暗号化する第１暗号装置
と、 上記メッセージＭと上記第１暗号装置からの暗号化され
た上記剰余を送信する送信器と、 送信されたメッセージｍと暗号化された剰余を受信する
受信器と、 上記暗号化キーを用いて、送信された暗号化剰余を復号
する第２暗号装置と、 上記復号された剰余を受信されたメッセージｍとを連結
し、先頭に非ゼロ・ストリングを付加し、伸長された受
信メッセージｍ’を生成する第２バッファと、 上記伸長された受信メッセージｍ’による多項式表現と
上記多項式ｐ（ｘ）との除算の剰余ｒを計算する第２除
算器と、 上記第２除算器により計算された剰余が所定の値である
場合にのみ、上記受信メッセージを真正として受け入れ
るプロセッサとを有する通信システム。 - 【請求項１０】非ゼロ・ストリングとして先頭に「１」
のビットが付加されることを特徴とする請求項９記載の
通信システム。 - 【請求項１１】ｎ個の「０」を上記末尾のｎビットとし
て付加し、上記プロセッサは上記所定の値がゼロである
場合に上記受信メッセージを真正として受け入れること
を特徴とする請求項９記載の通信システム。 - 【請求項１２】任意のストリングＳを上記末尾のｎビッ
トとして付加し、上記プロセッサは上記所定の値が上記
ストリングＳである場合に上記受信メッセージを真正と
して受け入れることを特徴とする請求項９記載の通信シ
ステム。 - 【請求項１３】上記第１及び第２除算器が、 ｎステージを有するアキュムレータ・レジスタであっ
て、 上記アキュムレータは、「１」に初期化された第１ステ
ージを除きすべてゼロを含むように初期化され、 データ・ビットは、Ｌ＋ｎクロック・パルスで上記アキ
ュムレータ・レジスタを通してシフトされ、 Ｌがデータ・ビット数である上記アキュムレータと、 各々が上記アキュムレータ・レジスタの隣接するステー
ジ間に配置された複数の排他的論理和ゲートと、 ｎステージを有し、上記多項式キーｐ（ｘ）をロード可
能な制御レジスタと、 複数のＡＮＤゲートであって、 上記アキュムレータ・レジスタの最終ステージの出力に
より使用可能になるように接続され、上記制御レジスタ
のステージの対応する１つから入力を受信し、 上記ＡＮＤゲートの各々の出力は、上記排他的論理和ゲ
ートの対応する１つに供給される上記ＡＮＤゲートとを
有する請求項９記載の通信システム。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US08/118,080 US5345507A (en) | 1993-09-08 | 1993-09-08 | Secure message authentication for binary additive stream cipher systems |
| US118080 | 1993-09-08 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH07107085A true JPH07107085A (ja) | 1995-04-21 |
| JP2579440B2 JP2579440B2 (ja) | 1997-02-05 |
Family
ID=22376412
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP6177838A Expired - Lifetime JP2579440B2 (ja) | 1993-09-08 | 1994-07-29 | メッセージ確認方法及び通信システム |
Country Status (3)
| Country | Link |
|---|---|
| US (1) | US5345507A (ja) |
| EP (1) | EP0644676A3 (ja) |
| JP (1) | JP2579440B2 (ja) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002543667A (ja) * | 1999-04-26 | 2002-12-17 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 効果的なキー長制御方法及び装置 |
| JP2005512247A (ja) * | 2001-12-10 | 2005-04-28 | イレクトラニク、デイタ、システィムズ、コーパレイシャン | ネットワークユーザ認証システムおよび方法 |
| JP2011160228A (ja) * | 2010-02-01 | 2011-08-18 | Kddi Corp | 認証付きストリーム暗号の暗号化装置、認証付きストリーム暗号の復号化装置、暗号化方法、復号化方法およびプログラム |
| JP2011160229A (ja) * | 2010-02-01 | 2011-08-18 | Kddi Corp | 認証付きストリーム暗号の暗号化装置、認証付きストリーム暗号の復号化装置、暗号化方法、復号化方法およびプログラム |
Families Citing this family (22)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH0823331A (ja) * | 1994-07-07 | 1996-01-23 | Murata Mach Ltd | 暗号化通信方法及び装置 |
| FR2755558B1 (fr) * | 1996-11-04 | 1999-01-22 | Centre Nat Rech Scient | Procede de decorrelation de donnees |
| CA2210199A1 (en) * | 1997-07-11 | 1999-01-11 | Mitel Corporation | Method and apparatus for the generation of non-linear confusion data |
| US6076163A (en) * | 1997-10-20 | 2000-06-13 | Rsa Security Inc. | Secure user identification based on constrained polynomials |
| US6918034B1 (en) * | 1999-09-29 | 2005-07-12 | Nokia, Corporation | Method and apparatus to provide encryption and authentication of a mini-packet in a multiplexed RTP payload |
| DE10001855A1 (de) * | 2000-01-18 | 2001-07-19 | Siemens Ag | Verfahren, System zur Übermittlung von Daten von einem Sender zu einem Empfänger und Sender bzw. Empfänger hierzu |
| EP1556749A1 (en) * | 2002-06-18 | 2005-07-27 | Honeywell International, Inc. | Master dongle for a secured data communications network |
| AU2005230066A1 (en) * | 2004-03-31 | 2005-10-20 | Nec Corporation | Padding application method guaranteeing safety of encryption method |
| KR100601706B1 (ko) * | 2004-10-15 | 2006-07-18 | 삼성전자주식회사 | Ｄｒｍ 시스템에 있어서 시스템 키를 공유하고 생성하는방법 및 장치 |
| WO2006130615A2 (en) * | 2005-05-31 | 2006-12-07 | Tricipher, Inc. | Secure login using single factor split key asymmetric cryptography and an augmenting factor |
| KR100736047B1 (ko) | 2005-07-28 | 2007-07-06 | 삼성전자주식회사 | 무선 네트워크 장치 및 이를 이용한 인증 방법 |
| US8572382B2 (en) * | 2006-05-15 | 2013-10-29 | Telecom Italia S.P.A. | Out-of band authentication method and system for communication over a data network |
| US8036380B2 (en) * | 2006-12-14 | 2011-10-11 | Telefonaktiebolaget L M Ericsson (Publ) | Efficient data integrity protection |
| JP5251520B2 (ja) * | 2007-02-02 | 2013-07-31 | 日本電気株式会社 | 分散情報生成装置、復元装置、復元結果検証装置、秘密情報分散システム、方法およびプログラム |
| DE102009000322A1 (de) * | 2009-01-20 | 2010-07-22 | Robert Bosch Gmbh | Nichtlinear rückgekoppeltes Schieberegister sowie Verfahren zur nichtlinearen Signaturbildung |
| DE102009027086A1 (de) * | 2009-06-23 | 2010-12-30 | Robert Bosch Gmbh | Vorrichtung und Verfahren zur Bildung einer Signatur |
| US8462939B2 (en) * | 2010-12-07 | 2013-06-11 | King Fahd University Of Petroleum And Minerals | RNS-based cryptographic system and method |
| US8345876B1 (en) | 2012-03-06 | 2013-01-01 | Robert Samuel Sinn | Encryption/decryption system and method |
| WO2015197128A1 (en) * | 2014-06-27 | 2015-12-30 | Telefonaktiebolaget L M Ericsson (Publ) | Generating cryptographic checksums |
| CN106688204B (zh) * | 2014-08-19 | 2020-04-24 | 瑞典爱立信有限公司 | 生成加密校验和的方法、认证消息的方法及其设备 |
| CN107592968B (zh) * | 2015-05-04 | 2021-05-11 | 瑞典爱立信有限公司 | 生成密码校验和 |
| DE102016219926A1 (de) * | 2016-10-13 | 2018-04-19 | Siemens Aktiengesellschaft | Verfahren, Sender und Empfänger zum Authentisieren und zum Integritätsschutz von Nachrichteninhalten |
Family Cites Families (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4351982A (en) * | 1980-12-15 | 1982-09-28 | Racal-Milgo, Inc. | RSA Public-key data encryption system having large random prime number generating microprocessor or the like |
| US4797921A (en) * | 1984-11-13 | 1989-01-10 | Hitachi, Ltd. | System for enciphering or deciphering data |
| US4685132A (en) * | 1985-07-30 | 1987-08-04 | Sperry Corporation | Bent sequence code generator |
| US4771463A (en) * | 1986-12-05 | 1988-09-13 | Siemens Transmission Systems, Inc. | Digital scrambling without error multiplication |
| US4860353A (en) * | 1988-05-17 | 1989-08-22 | General Instrument Corporation | Dynamic feedback arrangement scrambling technique keystream generator |
| US5054066A (en) * | 1988-11-16 | 1991-10-01 | Grumman Corporation | Error correcting public key cryptographic method and program |
| US5220606A (en) * | 1992-02-10 | 1993-06-15 | Harold Greenberg | Cryptographic system and method |
-
1993
- 1993-09-08 US US08/118,080 patent/US5345507A/en not_active Expired - Fee Related
-
1994
- 1994-07-29 JP JP6177838A patent/JP2579440B2/ja not_active Expired - Lifetime
- 1994-09-05 EP EP94113889A patent/EP0644676A3/en not_active Withdrawn
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002543667A (ja) * | 1999-04-26 | 2002-12-17 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 効果的なキー長制御方法及び装置 |
| JP4668428B2 (ja) * | 1999-04-26 | 2011-04-13 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 効果的なキー長制御方法及び装置 |
| JP2005512247A (ja) * | 2001-12-10 | 2005-04-28 | イレクトラニク、デイタ、システィムズ、コーパレイシャン | ネットワークユーザ認証システムおよび方法 |
| JP4864289B2 (ja) * | 2001-12-10 | 2012-02-01 | ヒューレット−パッカード デベロップメント カンパニー エル．ピー． | ネットワークユーザ認証システムおよび方法 |
| JP2011160228A (ja) * | 2010-02-01 | 2011-08-18 | Kddi Corp | 認証付きストリーム暗号の暗号化装置、認証付きストリーム暗号の復号化装置、暗号化方法、復号化方法およびプログラム |
| JP2011160229A (ja) * | 2010-02-01 | 2011-08-18 | Kddi Corp | 認証付きストリーム暗号の暗号化装置、認証付きストリーム暗号の復号化装置、暗号化方法、復号化方法およびプログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| US5345507A (en) | 1994-09-06 |
| JP2579440B2 (ja) | 1997-02-05 |
| EP0644676A2 (en) | 1995-03-22 |
| EP0644676A3 (en) | 1995-08-23 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2579440B2 (ja) | メッセージ確認方法及び通信システム | |
| RU2340108C2 (ru) | Эффективное шифрование и аутентификация для систем обработки данных | |
| US7277548B2 (en) | Cryptographic method and computer program product for use in wireless local area networks | |
| US20020159598A1 (en) | System and method of dynamic key generation for digital communications | |
| US8744078B2 (en) | System and method for securing multiple data segments having different lengths using pattern keys having multiple different strengths | |
| JPH09312643A (ja) | 鍵共有方法及び暗号通信方法 | |
| Paar et al. | Message authentication codes (MACs) | |
| MAQABLEH | Analysis and design security primitives based on chaotic systems for ecommerce | |
| Dubrova et al. | Cryptographically secure CRC for lightweight message authentication | |
| Banoth et al. | Classical and Modern Cryptography for Beginners | |
| KR100551992B1 (ko) | 어플리케이션 데이터의 암호화 및 복호화 방법 | |
| US20040039918A1 (en) | Secure approach to send data from one system to another | |
| Rajasekar et al. | Introduction to classical cryptography | |
| Benaloh et al. | The private communication technology (pct) protocol | |
| Klima et al. | Side channel attacks on CBC encrypted messages in the PKCS# 7 format | |
| Mitchell | Error oracle attacks on cbc mode: Is there a future for cbc mode encryption? | |
| US20040139321A1 (en) | Method for authenticating a message | |
| Rogobete et al. | Hashing and Message Authentication Code Implementation. An Embedded Approach. | |
| US11838424B2 (en) | Authenticated encryption apparatus with initialization-vector misuse resistance and method therefor | |
| JP2000004223A (ja) | 暗号・認証システム | |
| CN114039720B (zh) | 一种基于lfsr哈希的无条件安全的认证加密方法 | |
| Birrane, III et al. | RFC 9173: Default Security Contexts for Bundle Protocol Security (BPSec) | |
| Rath et al. | Cryptography and network security lecture notes | |
| Barlow | Symmetric encryption with multiple keys: techniques and applications | |
| Oszywa et al. | Combining message encryption and authentication |