JPH09251376A - 暗号／認証用疑似乱数生成器の安全性評価装置 - Google Patents
暗号／認証用疑似乱数生成器の安全性評価装置Info
- Publication number
- JPH09251376A JPH09251376A JP8085820A JP8582096A JPH09251376A JP H09251376 A JPH09251376 A JP H09251376A JP 8085820 A JP8085820 A JP 8085820A JP 8582096 A JP8582096 A JP 8582096A JP H09251376 A JPH09251376 A JP H09251376A
- Authority
- JP
- Japan
- Prior art keywords
- value
- random number
- register
- time
- number generator
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Landscapes
- Testing Electric Properties And Detecting Electric Faults (AREA)
Abstract
(57)【要約】
【課題】 疑似乱数生成器について、より正確な安全性
評価装置を提供することを目的とするものである。 【解決手段】 時刻ｔ〜ｔ＋ｍ−１のｍ個の連続する系
列をｍビットの値とみなし、このみなされた値と、所定
の時刻ｔにおけるＬＦＳＲのレジスタの値との線形相関
を利用してレジスタの初期値を推定するものである。
評価装置を提供することを目的とするものである。 【解決手段】 時刻ｔ〜ｔ＋ｍ−１のｍ個の連続する系
列をｍビットの値とみなし、このみなされた値と、所定
の時刻ｔにおけるＬＦＳＲのレジスタの値との線形相関
を利用してレジスタの初期値を推定するものである。
Description
【０００１】
【発明の属する技術分野】本発明は、主に暗号／認証装
置に係り、特に、暗号化復号化装置における疑似乱数生
成器の性能評価に関するものである。
置に係り、特に、暗号化復号化装置における疑似乱数生
成器の性能評価に関するものである。
【０００２】
【従来の技術】従来、疑似乱数生成器として、フィルタ
リング型疑似乱数生成器が知られている。このフィルタ
リング型疑似乱数生成器は、時刻ｔにおけるＬＦＳＲ
（LinearFeedback Shift Register）のレジスタの値を
非線形関数部に入力し、この非線形関数部の出力値を、
時刻ｔにおける疑似乱数系列の値とする疑似乱数生成器
である。
リング型疑似乱数生成器が知られている。このフィルタ
リング型疑似乱数生成器は、時刻ｔにおけるＬＦＳＲ
（LinearFeedback Shift Register）のレジスタの値を
非線形関数部に入力し、この非線形関数部の出力値を、
時刻ｔにおける疑似乱数系列の値とする疑似乱数生成器
である。
【０００３】このフィルタリング型疑似乱数生成器を暗
号に用いる場合、疑似乱数系列の値に基づいて求められ
た上記レジスタの初期値を推定するために必要な時間
や、上記疑似乱数系列の系列長に応じて、上記フィルタ
リング型疑似乱数生成器の安全性が評価される。
号に用いる場合、疑似乱数系列の値に基づいて求められ
た上記レジスタの初期値を推定するために必要な時間
や、上記疑似乱数系列の系列長に応じて、上記フィルタ
リング型疑似乱数生成器の安全性が評価される。
【０００４】そして、上記初期値を推定するために必要
な時間と、上記疑似乱数系列の系列長とのうちの少なく
とも一方が充分に大きいときに、当該フィルタリング型
疑似乱数生成器の安全性が高いと定義されている。
な時間と、上記疑似乱数系列の系列長とのうちの少なく
とも一方が充分に大きいときに、当該フィルタリング型
疑似乱数生成器の安全性が高いと定義されている。
【０００５】さらに、これらの値を推定する場合、主
に、線形複雑度の大きさや、用いられる非線形関数にお
ける入力値と出力値との間の統計的線形相関の大きさが
用いられている。
に、線形複雑度の大きさや、用いられる非線形関数にお
ける入力値と出力値との間の統計的線形相関の大きさが
用いられている。
【０００６】図４は、従来の疑似乱数生成器における線
形相関検出装置９０を示すブロック図である。
形相関検出装置９０を示すブロック図である。
【０００７】従来の疑似乱数生成器における線形相関検
出装置９０において、線形相関の大きさを計測する場
合、乱数生成部９７において乱数を生成し、この生成さ
れた乱数をビットマスク値Γとして固定し、乱数生成部
９１によってｎビットの乱数を生成し、この生成された
乱数を初期値とし、フィルタリング疑似乱数生成器９４
の非線形関数部に入力し、最初の疑似乱数の値を得る。
出装置９０において、線形相関の大きさを計測する場
合、乱数生成部９７において乱数を生成し、この生成さ
れた乱数をビットマスク値Γとして固定し、乱数生成部
９１によってｎビットの乱数を生成し、この生成された
乱数を初期値とし、フィルタリング疑似乱数生成器９４
の非線形関数部に入力し、最初の疑似乱数の値を得る。
【０００８】そして、乱数生成部９１で得られた乱数の
値と、乱数生成部９７で得られたビットマスク値Γと
を、ドットプロダクト部９８が、ベクトル同士の内積を
とり、相関検出部９９において、疑似乱数の値を乱数生
成部９１で多数生成することによって、ドットプロダク
ト部９８で得られたベクトル同士の内積の値と、非線形
関数部９４の最初の出力との値が一致する確率を計算
し、得られた相関値と、ビットマスク値Γとを蓄積メモ
リ８０に蓄積し、乱数生成部９７で多数生成されたビッ
トマスク値Γについて、上記手順を実行することによっ
て、所定の時刻における非線形関数部９４のレジスタの
値とその出力との間の線形相関を計算し、この計算結果
を蓄積メモリ８０に記憶する。
値と、乱数生成部９７で得られたビットマスク値Γと
を、ドットプロダクト部９８が、ベクトル同士の内積を
とり、相関検出部９９において、疑似乱数の値を乱数生
成部９１で多数生成することによって、ドットプロダク
ト部９８で得られたベクトル同士の内積の値と、非線形
関数部９４の最初の出力との値が一致する確率を計算
し、得られた相関値と、ビットマスク値Γとを蓄積メモ
リ８０に蓄積し、乱数生成部９７で多数生成されたビッ
トマスク値Γについて、上記手順を実行することによっ
て、所定の時刻における非線形関数部９４のレジスタの
値とその出力との間の線形相関を計算し、この計算結果
を蓄積メモリ８０に記憶する。
【０００９】この結果、蓄積メモリ８０に蓄積された線
形相関の値の絶対値の最大値が小さいときに、そのフィ
ルタリング型疑似乱数生成器が安全であると、従来は、
評価されている。
形相関の値の絶対値の最大値が小さいときに、そのフィ
ルタリング型疑似乱数生成器が安全であると、従来は、
評価されている。
【００１０】図５は、従来方式を用いた場合に得られる
相関の値を示す図である。
相関の値を示す図である。
【００１１】フィルタリング型疑似乱数生成器を従来の
ように評価する場合、具体的には、非線形関数部９４に
含まれるＬＦＳＲの段数を１６にし、非線形関数として
Ｂｅｎｔ関数を選んだ場合の安全性を評価すると、図５
に示すような非線形関数の入出力の相関値ｐが得られ、
この相関値ｐの絶対値の最大値０．００３９は、理論的
最小値であり、従来の評価方法によれば、このようなフ
ィルタリング型疑似乱数生成器は、理論的に最良の安全
性を有することになる。
ように評価する場合、具体的には、非線形関数部９４に
含まれるＬＦＳＲの段数を１６にし、非線形関数として
Ｂｅｎｔ関数を選んだ場合の安全性を評価すると、図５
に示すような非線形関数の入出力の相関値ｐが得られ、
この相関値ｐの絶対値の最大値０．００３９は、理論的
最小値であり、従来の評価方法によれば、このようなフ
ィルタリング型疑似乱数生成器は、理論的に最良の安全
性を有することになる。
【００１２】
【発明が解決しようとする課題】上記従来例では、非線
形関数の線形相関を用いて、疑似乱数系列から初期値Ｉ
Ｖを解読する場合、１ビット出力値とレジスタの値との
間の線形相関のみに基づいて疑似乱数生成器の性能を評
価しており、したがって、乱数系列の長さが従来例より
も長い場合には、フィルタリング型疑似乱数生成器の安
全性が低くなり、上記従来の方法による評価が誤りであ
るという可能性がある。
形関数の線形相関を用いて、疑似乱数系列から初期値Ｉ
Ｖを解読する場合、１ビット出力値とレジスタの値との
間の線形相関のみに基づいて疑似乱数生成器の性能を評
価しており、したがって、乱数系列の長さが従来例より
も長い場合には、フィルタリング型疑似乱数生成器の安
全性が低くなり、上記従来の方法による評価が誤りであ
るという可能性がある。
【００１３】本発明は、疑似乱数生成器について、より
正確な安全性評価装置を提供することを目的とするもの
である。
正確な安全性評価装置を提供することを目的とするもの
である。
【００１４】
【課題を解決するための手段】本発明は、時刻ｔ〜ｔ＋
ｍ−１のｍ個の連続する系列をｍビットの値とみなし、
このみなされた値と、所定の時刻ｔにおけるＬＦＳＲの
レジスタの値との線形相関を利用してレジスタの初期値
を推定するものである。
ｍ−１のｍ個の連続する系列をｍビットの値とみなし、
このみなされた値と、所定の時刻ｔにおけるＬＦＳＲの
レジスタの値との線形相関を利用してレジスタの初期値
を推定するものである。
【００１５】
【発明の実施の形態および実施例】図１は、本発明の一
実施例であるフィルタリング型疑似乱数生成器の安全性
評価装置ＳＥ１を示すブロック図である。
実施例であるフィルタリング型疑似乱数生成器の安全性
評価装置ＳＥ１を示すブロック図である。
【００１６】フィルタリング型疑似乱数生成器の安全性
評価装置ＳＥ１は、フィルタリング型疑似乱数生成器Ｇ
１と、出力蓄積レジスタ１０と、拡張型線形相関検出部
２０と、線形相関値の蓄積メモリ３０と、ドットプロダ
クト部３１と、疑似乱数生成器のレジスタ状態遷移行列
Ａ（ｔ）計算部４０と、乗算部４１と、蓄積部５０と、
初期値ＩＶの推定部６０と、疑似乱数生成器の安全性評
価部７０とで構成されている。
評価装置ＳＥ１は、フィルタリング型疑似乱数生成器Ｇ
１と、出力蓄積レジスタ１０と、拡張型線形相関検出部
２０と、線形相関値の蓄積メモリ３０と、ドットプロダ
クト部３１と、疑似乱数生成器のレジスタ状態遷移行列
Ａ（ｔ）計算部４０と、乗算部４１と、蓄積部５０と、
初期値ＩＶの推定部６０と、疑似乱数生成器の安全性評
価部７０とで構成されている。
【００１７】フィルタリング型疑似乱数生成器Ｇ１は、
ｎビットの初期値ＩＶを入力し、疑似乱数系列ｘ0 ，ｘ
1 ，2 ，……を出力するものである。出力蓄積レジスタ
１０は、疑似乱数系列ｘ0 ，ｘ1 ，2 ，……のうちのｍ
ビットを格納するレジスタである。拡張型線形相関検出
部２０は、初期値ビットマスク値Γ1 と出力レジスタビ
ットマスク値Γ2 と線形相関値ｐとを出力するものであ
る。
ｎビットの初期値ＩＶを入力し、疑似乱数系列ｘ0 ，ｘ
1 ，2 ，……を出力するものである。出力蓄積レジスタ
１０は、疑似乱数系列ｘ0 ，ｘ1 ，2 ，……のうちのｍ
ビットを格納するレジスタである。拡張型線形相関検出
部２０は、初期値ビットマスク値Γ1 と出力レジスタビ
ットマスク値Γ2 と線形相関値ｐとを出力するものであ
る。
【００１８】線形相関値の蓄積メモリ３０は、拡張型線
形相関検出部２０が出力する初期値ビットマスク値Γ1
と出力レジスタビットマスク値Γ2 と線形相関値ｐとを
蓄積するメモリである。ドットプロダクト部３１は、ｍ
段シフトレジスタ１０が出力するｚ（ｔ）と、蓄積メモ
リ３０が出力するビットマスク値Γ2 とのベクトル同士
の内積をとるものである。
形相関検出部２０が出力する初期値ビットマスク値Γ1
と出力レジスタビットマスク値Γ2 と線形相関値ｐとを
蓄積するメモリである。ドットプロダクト部３１は、ｍ
段シフトレジスタ１０が出力するｚ（ｔ）と、蓄積メモ
リ３０が出力するビットマスク値Γ2 とのベクトル同士
の内積をとるものである。
【００１９】疑似乱数生成器のレジスタ状態遷移行列Ａ
（ｔ）計算部４０は、出力蓄積レジスタ１０が出力する
ｚ（ｔ）と疑似乱数生成器Ｇ１のレジスタ状態遷移行列
Ａ（ｔ）を計算するものである。乗算部４１は、蓄積メ
モリ３０が出力する初期値ビットマスク値Γ1 と計算部
４０が出力する遷移行列Ａ（ｔ）とを乗算するものであ
る。
（ｔ）計算部４０は、出力蓄積レジスタ１０が出力する
ｚ（ｔ）と疑似乱数生成器Ｇ１のレジスタ状態遷移行列
Ａ（ｔ）を計算するものである。乗算部４１は、蓄積メ
モリ３０が出力する初期値ビットマスク値Γ1 と計算部
４０が出力する遷移行列Ａ（ｔ）とを乗算するものであ
る。
【００２０】蓄積部５０は、Γ1 Ａ（ｔ），Γ1 Ａ
（ｔ）・ＩＶの推定値を蓄積するものである。つまり、
蓄積部５０は、ＬＦＳＲ２３のレジスタの初期値である
上記線形和のビットマスク値Г1 Ａ（ｔ）と、そのビッ
トマスク値Г1 Ａ（ｔ）と初期値ＩＶの推定値とのベク
トル同士の内積Г1 Ａ（ｔ）・ＩＶの推定値との組（Г
1Ａ（ｔ），Г1 Ａ（ｔ）・ＩＶの推定値））とが、時
刻ｔ１から、推定に必要な出力の数分、蓄積される部分
である。なお、蓄積部５０において、「・」は、ベクト
ル同士の内積を示す記号であり、つまり、成分ごとの積
をＥＸＯＲしたものである（dot product したものであ
る）。
（ｔ）・ＩＶの推定値を蓄積するものである。つまり、
蓄積部５０は、ＬＦＳＲ２３のレジスタの初期値である
上記線形和のビットマスク値Г1 Ａ（ｔ）と、そのビッ
トマスク値Г1 Ａ（ｔ）と初期値ＩＶの推定値とのベク
トル同士の内積Г1 Ａ（ｔ）・ＩＶの推定値との組（Г
1Ａ（ｔ），Г1 Ａ（ｔ）・ＩＶの推定値））とが、時
刻ｔ１から、推定に必要な出力の数分、蓄積される部分
である。なお、蓄積部５０において、「・」は、ベクト
ル同士の内積を示す記号であり、つまり、成分ごとの積
をＥＸＯＲしたものである（dot product したものであ
る）。
【００２１】初期値ＩＶの推定部６０は、初期値ＩＶを
推定するものである。疑似乱数生成器の安全性評価部７
０は、フィルタリング型疑似乱数生成器Ｇ１の安全性を
評価するものである。
推定するものである。疑似乱数生成器の安全性評価部７
０は、フィルタリング型疑似乱数生成器Ｇ１の安全性を
評価するものである。
【００２２】図２は、上記実施例における拡張型線形相
関検出部２０を具体的に示すブロック図である。
関検出部２０を具体的に示すブロック図である。
【００２３】拡張型線形相関検出部２０は、乱数生成部
２１と、レジスタ２２と、ＬＦＳＲ（Linear Feedback
Shift Register）２３と、非線形関数部２４と、出力蓄
積レジスタ２５と、ドットプロダクト部２６、２８と、
乱数生成部２７、２７ａと、相関検出部２９とを有す
る。
２１と、レジスタ２２と、ＬＦＳＲ（Linear Feedback
Shift Register）２３と、非線形関数部２４と、出力蓄
積レジスタ２５と、ドットプロダクト部２６、２８と、
乱数生成部２７、２７ａと、相関検出部２９とを有す
る。
【００２４】次に、上記実施例の動作について説明す
る。
る。
【００２５】まず、乱数生成部２１で生成された初期値
ＩＶ（ｎビット）がレジスタ２２に格納され、この格納
された初期値ＩＶに基づいて、ＬＦＳＲ２３、非線形関
数部２４が疑似乱数列ｘ0 ，ｘ1 ，ｘ2 ，…を生成し
（疑似乱数ｘ0 ，ｘ1 ，ｘ2 ，…はそれぞれ時刻ｔ0 ，
ｔ1 ，ｔ2 ，…に生成される）、時刻ｔにおいて、出力
蓄積レジスタ２５が１ビット分を左へシフトし、このと
きに空いたビットに、疑似乱数系列ｘt を入れるという
手順を、ｔ0 ，ｔ1 ，ｔ2 ，…のそれぞれにおいて繰り
返す。
ＩＶ（ｎビット）がレジスタ２２に格納され、この格納
された初期値ＩＶに基づいて、ＬＦＳＲ２３、非線形関
数部２４が疑似乱数列ｘ0 ，ｘ1 ，ｘ2 ，…を生成し
（疑似乱数ｘ0 ，ｘ1 ，ｘ2 ，…はそれぞれ時刻ｔ0 ，
ｔ1 ，ｔ2 ，…に生成される）、時刻ｔにおいて、出力
蓄積レジスタ２５が１ビット分を左へシフトし、このと
きに空いたビットに、疑似乱数系列ｘt を入れるという
手順を、ｔ0 ，ｔ1 ，ｔ2 ，…のそれぞれにおいて繰り
返す。
【００２６】次に、ＬＦＳＲ２３と非線形関数部２４と
で構成されるｎビットのフィルタリング型疑似乱数生成
器に初期値を入力し、生成された疑似乱数系列ｘ0 ，ｘ
1 ，ｘ2 ，…，ｘm-1 を出力蓄積レジスタ２５に順次、
入力し、ｍビットとしたものを出力するようなｎビット
入力ｍビット出力の関数を想定し、乱数生成部２７でビ
ットマスク値を生成し（固定）、レジスタ２２の初期値
と乱数生成部２７のビットマスク値（乱数生成部２７で
生成された乱数）とのベクトルの内積を、ドットプロダ
クト部２８がとる。なお、「固定」は、乱数生成部２
７、２７ａで生成された値に対して、乱数生成部２１で
乱数を多数生成するという意味である。
で構成されるｎビットのフィルタリング型疑似乱数生成
器に初期値を入力し、生成された疑似乱数系列ｘ0 ，ｘ
1 ，ｘ2 ，…，ｘm-1 を出力蓄積レジスタ２５に順次、
入力し、ｍビットとしたものを出力するようなｎビット
入力ｍビット出力の関数を想定し、乱数生成部２７でビ
ットマスク値を生成し（固定）、レジスタ２２の初期値
と乱数生成部２７のビットマスク値（乱数生成部２７で
生成された乱数）とのベクトルの内積を、ドットプロダ
クト部２８がとる。なお、「固定」は、乱数生成部２
７、２７ａで生成された値に対して、乱数生成部２１で
乱数を多数生成するという意味である。
【００２７】そして、乱数生成部２７ａでビットマスク
値（乱数生成部２７ａで生成された乱数）を生成し（固
定）、レジスタ２５の値と、乱数生成部２７ａで生成さ
れたビットマスク値との間のドットプロダクトをドット
プロダクト部２６でとり、ドットプロダクト部２８、２
６で得られた値の相関を、乱数生成部２１の乱数を多数
生成することによって、計測し、乱数生成部２７と相関
検出部２９とによって得られた相関値ｐと，その相関値
を与える入力と出力とのビットマスク値Γ1 、Γ2 を蓄
積メモリ３０に出力する。
値（乱数生成部２７ａで生成された乱数）を生成し（固
定）、レジスタ２５の値と、乱数生成部２７ａで生成さ
れたビットマスク値との間のドットプロダクトをドット
プロダクト部２６でとり、ドットプロダクト部２８、２
６で得られた値の相関を、乱数生成部２１の乱数を多数
生成することによって、計測し、乱数生成部２７と相関
検出部２９とによって得られた相関値ｐと，その相関値
を与える入力と出力とのビットマスク値Γ1 、Γ2 を蓄
積メモリ３０に出力する。
【００２８】線形相関値の蓄積メモリ３０は、拡張型線
形相関検出部２０が出力する入力と出力のビットマスク
値Γ1 、Γ2 と、これに対応する相関値ｐとを蓄積す
る。
形相関検出部２０が出力する入力と出力のビットマスク
値Γ1 、Γ2 と、これに対応する相関値ｐとを蓄積す
る。
【００２９】上記実施例においては、予め拡張型線形相
関検出部２０によって、入力と出力とのビットマスク値
Γ2 、Γ1 と相関値の値ｐとを線形相関値の蓄積メモリ
３０に蓄積し、この蓄積メモリ３０の中から大きな相関
値ｐを与える（Γ2 ，Γ1 ）を選択する。
関検出部２０によって、入力と出力とのビットマスク値
Γ2 、Γ1 と相関値の値ｐとを線形相関値の蓄積メモリ
３０に蓄積し、この蓄積メモリ３０の中から大きな相関
値ｐを与える（Γ2 ，Γ1 ）を選択する。
【００３０】次に、時刻ｔにおいて出力蓄積レジスタ１
０を１ビット左へシフトし、これによって空いたビット
に、疑似乱数生成器Ｇ１によって生成された疑似乱数列
ｘ0，ｘ1 ，ｘ2 ，…の疑似乱数系列ｘt を入れるとい
う手順を、時刻ｔ0 ，ｔ1 ，ｔ2 ，……のそれぞれにお
いて繰り返すことによって、出力蓄積レジスタ１０の値
を更新する。
０を１ビット左へシフトし、これによって空いたビット
に、疑似乱数生成器Ｇ１によって生成された疑似乱数列
ｘ0，ｘ1 ，ｘ2 ，…の疑似乱数系列ｘt を入れるとい
う手順を、時刻ｔ0 ，ｔ1 ，ｔ2 ，……のそれぞれにお
いて繰り返すことによって、出力蓄積レジスタ１０の値
を更新する。
【００３１】続いて、出力蓄積レジスタ１０の時刻ｔに
おける値をｚ（ｔ）とし、蓄積メモリ３０から選択され
たΓ2 とｚ（ｔ）との間で、ドットプロダクト部３１が
ドットプロダクトをとり、蓄積メモリ３０から選択され
たΓ1 の値と、疑似乱数生成器Ｇ１のレジスタ状態遷移
行列Ａ（ｔ）計算部４０による状態遷移行列Ａ（ｔ）と
の行列積を、乗算部４１がとる。
おける値をｚ（ｔ）とし、蓄積メモリ３０から選択され
たΓ2 とｚ（ｔ）との間で、ドットプロダクト部３１が
ドットプロダクトをとり、蓄積メモリ３０から選択され
たΓ1 の値と、疑似乱数生成器Ｇ１のレジスタ状態遷移
行列Ａ（ｔ）計算部４０による状態遷移行列Ａ（ｔ）と
の行列積を、乗算部４１がとる。
【００３２】なお、Γ2 ・ｚ（ｔ）＝（Γ1 ・ｙ（ｔ）
の推定値）＝（Γ1 Ａ（ｔ）・ＩＶの推定値）が成立
し、ドットプロダクト部３１と乗算部４１とによって得
られる組（Γ1 Ａ（ｔ），Γ1 Ａ（ｔ）・ＩＶの推定
値）を、（Γ1 Ａ（ｔ），Γ1 Ａ（ｔ）・ＩＶの推定
値）の蓄積部５０に蓄積する。なお、Γ1 は横ベクトル
と考え、Γ1 Ａ（ｔ）は通常の行列の積である。
の推定値）＝（Γ1 Ａ（ｔ）・ＩＶの推定値）が成立
し、ドットプロダクト部３１と乗算部４１とによって得
られる組（Γ1 Ａ（ｔ），Γ1 Ａ（ｔ）・ＩＶの推定
値）を、（Γ1 Ａ（ｔ），Γ1 Ａ（ｔ）・ＩＶの推定
値）の蓄積部５０に蓄積する。なお、Γ1 は横ベクトル
と考え、Γ1 Ａ（ｔ）は通常の行列の積である。
【００３３】なお、レジスタ遷移行列Ａ（ｔ）の計算部
４０は、時刻が１つ分、経過した後のフィルタリング型
疑似乱数生成器Ｇ１のレジスタの状態遷移行列をＡとし
たときに、Ａ（ｔ）＝Ａt （ｔ0 ，ｔ1 ，ｔ2 ，…）
を、時刻ｔにおけるレジスタの状態遷移行列Ａ（ｔ）と
して出力する部分である。
４０は、時刻が１つ分、経過した後のフィルタリング型
疑似乱数生成器Ｇ１のレジスタの状態遷移行列をＡとし
たときに、Ａ（ｔ）＝Ａt （ｔ0 ，ｔ1 ，ｔ2 ，…）
を、時刻ｔにおけるレジスタの状態遷移行列Ａ（ｔ）と
して出力する部分である。
【００３４】次に、初期値ＩＶの推定部６０では、（Γ
1 Ａ（ｔ），Γ1 Ａ（ｔ）・ＩＶの推定値）の蓄積部５
０に蓄積された（Γ1 ’，Γ1 ’・ＩＶの推定値）の多
数の組（ただしΓ1 ’＝Γ1 Ａ（ｔ）を利用して、Γ
1 ’・ＩＶ’＝（Γ1 ’・ＩＶの推定値）になる回数の
最も多いＩＶ’を選ぶことによって、初期値ＩＶの値を
推定し、このようにして得られた初期値ＩＶの推定値を
出力する。
1 Ａ（ｔ），Γ1 Ａ（ｔ）・ＩＶの推定値）の蓄積部５
０に蓄積された（Γ1 ’，Γ1 ’・ＩＶの推定値）の多
数の組（ただしΓ1 ’＝Γ1 Ａ（ｔ）を利用して、Γ
1 ’・ＩＶ’＝（Γ1 ’・ＩＶの推定値）になる回数の
最も多いＩＶ’を選ぶことによって、初期値ＩＶの値を
推定し、このようにして得られた初期値ＩＶの推定値を
出力する。
【００３５】最後に、疑似乱数の安全性評価部７０で
は、初期値ＩＶの推定成功確率と、初期値ＩＶの推定に
要した時間とを計算し、これら初期値ＩＶの推定成功確
率と初期値ＩＶの推定に要した時間との値に応じて、フ
ィルタリング型の疑似乱数生成器の安全性を評価する。
は、初期値ＩＶの推定成功確率と、初期値ＩＶの推定に
要した時間とを計算し、これら初期値ＩＶの推定成功確
率と初期値ＩＶの推定に要した時間との値に応じて、フ
ィルタリング型の疑似乱数生成器の安全性を評価する。
【００３６】図３は、上記実施例によって安全性を評価
した場合における特性を示す図である。
した場合における特性を示す図である。
【００３７】この特性は、上記実施例において、フィル
タリング型疑似乱数生成部としてレジスタの段数が１
６、上記非線形関数としてはＢｅｎｔ関数と呼ばれる非
線形性が最小となるものを選んだ場合における安全性を
評価したものである。
タリング型疑似乱数生成部としてレジスタの段数が１
６、上記非線形関数としてはＢｅｎｔ関数と呼ばれる非
線形性が最小となるものを選んだ場合における安全性を
評価したものである。
【００３８】この図３に示すように、上記実施例によっ
て０．５という非常に高い相関値が得られることがわか
る。上記実施例における評価によっては、このＢｅｎｔ
関数を用いた疑似乱数生成器生成列から初期値の推定が
容易であることが示され、また、Ｂｅｎｔ関数を用いた
疑似乱数生成器は安全ではないという評価を得ることが
できる。
て０．５という非常に高い相関値が得られることがわか
る。上記実施例における評価によっては、このＢｅｎｔ
関数を用いた疑似乱数生成器生成列から初期値の推定が
容易であることが示され、また、Ｂｅｎｔ関数を用いた
疑似乱数生成器は安全ではないという評価を得ることが
できる。
【００３９】つまり、従来技術によって疑似乱数生成器
の安全性の評価を行った場合に得られる相関値は０．０
０３９であり、この相関値０．００３９は安全であると
いう評価が従来はなされるが、上記実施例では、従来例
よりも１２８倍強い相関値が得られ、疑似乱数系列から
初期値を容易に推定できることがわかり、したがって、
上記実施例によって、従来よりも正確な疑似乱数生成器
の安全性評価が得られる。
の安全性の評価を行った場合に得られる相関値は０．０
０３９であり、この相関値０．００３９は安全であると
いう評価が従来はなされるが、上記実施例では、従来例
よりも１２８倍強い相関値が得られ、疑似乱数系列から
初期値を容易に推定できることがわかり、したがって、
上記実施例によって、従来よりも正確な疑似乱数生成器
の安全性評価が得られる。
【００４０】
【発明の効果】本発明によれば、疑似乱数生成器の安全
性評価装置がより正確であるという効果を奏する。
性評価装置がより正確であるという効果を奏する。
【図１】本発明の一実施例であるフィルタリング型疑似
乱数生成器の安全性評価装置ＳＥ１を示すブロック図で
ある。
乱数生成器の安全性評価装置ＳＥ１を示すブロック図で
ある。
【図２】上記実施例における拡張型線形相関検出部２０
を具体的に示すブロック図である。
を具体的に示すブロック図である。
【図３】上記実施例によって安全性を評価した場合にお
ける特性を示す図である。
ける特性を示す図である。
【図４】従来の疑似乱数生成器における線形相関検出装
置９０を示す図である。
置９０を示す図である。
【図５】従来方式を用いた場合に得られる相関の値を示
す図である。
す図である。
ＳＥ１…疑似乱数生成器の安全性評価装置、 Ｇ１…フィルタリング型疑似乱数生成器、 １０…出力蓄積レジスタ、 ２０…拡張型線形相関検出部、 ２１…乱数生成部、 ２２…レジスタ、 ２３…ＬＦＳＲ、 ２４…非線形関数部、 ２５…出力蓄積レジスタ、 ２６、２８…ドットプロダクト部、 ２７、２７ａ…乱数生成部、 ２９…相関検出部、 ３０…線形相関値の蓄積メモリ、 ３１…ドットプロダクト部、 ４０…疑似乱数生成器のレジスタ状態遷移行列Ａ（ｔ）
計算部、 ４１…乗算部、 ５０…蓄積部、 ６０…初期値ＩＶの推定部、 ７０…疑似乱数生成器の安全性評価部。
計算部、 ４１…乗算部、 ５０…蓄積部、 ６０…初期値ＩＶの推定部、 ７０…疑似乱数生成器の安全性評価部。
Claims (1)
- 【請求項１】 ｎ段ＬＦＳＲのレジスタに時刻０に初期
値（ｎビット）を入力し、時刻ｔにおける上記ＬＦＳＲ
のレジスタの値を非線形関数部に入力して得られた出力
値（１ビット）を、時刻ｔにおける疑似乱数系列とする
フィルタリング型疑似乱数生成器の安全性を評価する安
全性評価装置において、 レジスタを具備する疑似乱数生成器Ｇ１と；時刻ｔにお
いて１つシフトして空いたビットに、時刻ｔにおける疑
似乱数系列の値が入力されるｍ段シフトレジスタ１０
と；時刻ｔにおける上記疑似乱数生成器Ｇ１内のレジス
タの値と、上記時刻ｔからｔ＋ｍ−１までに生成された
出力を蓄積した出力蓄積レジスタ１０に蓄積されている
ｍビットの値の線形相関値とを計算する拡張型線形相関
検出部２０と；この拡張型線形相関検出部２０によって
計算された相関値と、この相関値を与える乱数生成部２
７と２７ａとで生成された定数（ビットマスク）と、推
定に必要な疑似乱数系列の数とを格納する蓄積メモリ３
０と；上記シフトレジスタへの疑似乱数系列の値の入力
と並行して、時刻が１つ分、経過した後のフィルタリン
グ型疑似乱数生成器Ｇ１のレジスタの状態遷移行列をＡ
としたときに、Ａ（ｔ）＝Ａt （ｔ0 ，ｔ1 ，ｔ2 ，
…）を、時刻ｔにおけるレジスタの状態遷移行列Ａ
（ｔ）として出力する遷移行列計算部４０と；この遷移
行列計算部４０によって遷移行列を求める動作と並行し
て、予め格納してある強い相関を示す出力のビットマス
クの値と入力値とのベクトル同士の内積を求めることに
よって、ｍ段シフトレジスタ１０の値から、時刻ｔにお
ける上記ＬＦＳＲのシフトレジスタの値の線形和の推定
値を計算するドットプロダクト部３１と；時刻０におけ
る上記ＬＦＳＲのシフトレジスタの値から、時刻ｔにお
ける上記ＬＦＳＲ２３のレジスタの値の遷移を計算する
遷移行列と、上記線形和のビットマスク値とを掛け合わ
せる乗算部４１と；上記ＬＦＳＲ２３のレジスタの初期
値である上記線形和のビットマスク値Г1Ａ（ｔ）と、
そのビットマスク値Г1 Ａ（ｔ）と初期値ＩＶの推定値
とのベクトル同士の内積Г1 Ａ（ｔ）・ＩＶの推定値と
の組（Г1 Ａ（ｔ），Г1 Ａ（ｔ）・ＩＶの推定値））
とが、時刻ｔ１から、推定に必要な出力の数分、蓄積さ
れる蓄積部５０と；この蓄積部５０に蓄積されている上
記線形和のビットマスク値Г1 Ａ（ｔ）と、上記初期値
ＩＶのドットプロダクトГ1 Ａ（ｔ）・ＩＶの推定値と
が一致する確率の最も高い値を、初期値と推定する初期
値ＩＶの推定部６０と；この初期値ＩＶの推定部６０の
結果に応じて、推定に必要な時間と成功確率とを測定
し、その時間と成功確率とに応じて、疑似乱数生成器の
性能評価を行う安全性評価部と；を有することを特徴と
する暗号／認証用疑似乱数生成器の安全性評価装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP8085820A JPH09251376A (ja) | 1996-03-14 | 1996-03-14 | 暗号／認証用疑似乱数生成器の安全性評価装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP8085820A JPH09251376A (ja) | 1996-03-14 | 1996-03-14 | 暗号／認証用疑似乱数生成器の安全性評価装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPH09251376A true JPH09251376A (ja) | 1997-09-22 |
Family
ID=13869503
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP8085820A Pending JPH09251376A (ja) | 1996-03-14 | 1996-03-14 | 暗号／認証用疑似乱数生成器の安全性評価装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JPH09251376A (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPWO2013121710A1 (ja) * | 2012-02-15 | 2015-05-11 | Ｎｅｃソリューションイノベータ株式会社 | 評価装置、評価方法、及び、評価プログラム |
-
1996
- 1996-03-14 JP JP8085820A patent/JPH09251376A/ja active Pending
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPWO2013121710A1 (ja) * | 2012-02-15 | 2015-05-11 | Ｎｅｃソリューションイノベータ株式会社 | 評価装置、評価方法、及び、評価プログラム |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Arnault et al. | F-FCSR: design of a new class of stream ciphers | |
| US8180055B2 (en) | Cryptographic system incorporating a digitally generated chaotic numerical sequence | |
| Courtois | Fast algebraic attacks on stream ciphers with linear feedback | |
| KR100499433B1 (ko) | 의사 난수 발생 방법 | |
| CN109791517B (zh) | 保护并行乘法运算免受外部监测攻击 | |
| Berbain et al. | Cryptanalysis of grain | |
| US7853013B2 (en) | Cryptographic method and system for encrypting input data | |
| KR20100098520A (ko) | 비밀 데이터를 획득하려는 공격으로부터 마이크로회로를 보호하는 방법 및 장치 | |
| KR20100113130A (ko) | 비대칭 암호화를 위한 대응조치 방법 및 디바이스 | |
| US20110170685A1 (en) | Countermeasure method and devices for asymmetric encryption with signature scheme | |
| JP5312318B2 (ja) | 擬似ランダムストリングを生成するための方法及びデバイス | |
| JP2002268875A (ja) | 乱数生成装置 | |
| US7124158B2 (en) | Technique for high speed PRBS generation | |
| US6463448B1 (en) | Linear intrasummed multiple-bit feedback shift register | |
| JPH09251376A (ja) | 暗号／認証用疑似乱数生成器の安全性評価装置 | |
| US20140289295A1 (en) | Method for generating a random output bit sequence | |
| Steinwandt et al. | A theoretical DPA-based cryptanalysis of the NESSIE candidates FLASH and SFLASH | |
| Lin et al. | Related key chosen IV attacks on Decim v2 and Decim-128 | |
| Mishra et al. | Generalized avalanche test for stream cipher analysis | |
| KR100564764B1 (ko) | 유한체 다항식 곱셈 장치 및 그 방법 | |
| Hell et al. | Some attacks on the bit-search generator | |
| JPH08202535A (ja) | 擬似乱数の生成方法および生成装置 | |
| JP2006081059A (ja) | 暗号回路および集積回路 | |
| JP5214317B2 (ja) | 暗号処理装置、暗号処理方法及びコンピュータプログラム | |
| US20140286487A1 (en) | Method for generating a one-way function |