JPH09501811A - 擬似ランダム・ジェネレータ - Google Patents

Abstract

(57)【要約】 暗号に強い擬似ランダム・ビット・ストリームを生成する方法とそれに付随する回路は、安全なブロック暗号エンコーダを利用する。典型的には、各ブロック暗号エンコーダは第１のシードとランダム・キーを入力として有している。最も基本的な方法と回路の実現においては、各エンコーダの出力は、フィード・バックして自分の入力に結合している。第１のシードは初期の入力として用いられる。各引き続く入力は直前の出力である。暗号に強い擬似ランダム・ビット・ストリーム中の各ビットは、エンコーダへの各入力と第２のシードとの内積に関連している。

Description

【発明の詳細な説明】 擬似ランダム・ジェネレータ 発明の分野 本発明は、一般的には擬似ランダム・ビット・ジェネレータ(pseudo-random b it generator)に関し、特に、暗号的に強い擬似ランダム・ビット(cryptographi cally strong pseudo-random bits) 生成するための回路と付随する方法に関す る。 発明の背景 相当多数の重要なプロセスおよび方法が、真のランダム（乱数：random）であ るとされている補助入力を使用している。そのようなプロセスや方法の例は、ソ ート、シミュレーションと複雑なシステムのテスト、暗号化、および多数の他の 暗号のプリミティブが含まれている。十分な長さの真のランダムの補助入力を生 成することは難しい。典型的には、補助入力は、擬似ランダム・ビット・ジェネ レータにより作成されている。正式な言い方ではないが、擬似ランダム・ビット ・ジェネレータは、短い真のランダム列(string)を取り入れ、長い「擬似ランダ ム(pseudo-random) 」列を作成するプロセスまたは方法である。 多数の擬似ランダム・ビット・ジェネレータ、たとえば、よく用いられている 線形合同(linear congruential) ビット・ジェネレータ等が、従来技術の文献で 提案され、議論されている。これらのビット・ジェネレータの利用性を評価する とき、通常のアプローチは、各ビット・ジェネレータを標準の経験的および分析 的な統計によるテストのもとに置き、ジェネレータが許容できるランダム・ビッ トを作成しているかを決定する。標準のテストに合格したこれらのジェネレータ は、しばしば、使用されるさまざまな目的に対して十分によい擬似ランダム・ビ ット・ストリームを作成するとみなされる。 しかしながら、この仮定は誤りであることがある。たとえば、線形合同ビット ・ジェネレータは、汎用であるとは言えないことが示されている。それは、この 出力を短い期間観察すると、将来の出力を正確に計算することができるからであ る。次のジェネレータのビットを予測する方法が示されている：所定の多項式、 その多項式で定義される代数的な数の連続する出力桁。他の例では、よく知られ た物理系のモンテカルロ・シミュレーションにおいて、シミュレーションの入力 にいくつかのよく知られたジェネレータを使用したとき、既知の値とかけ離れた 結果が得られることが、最近示されている。 一方、ある伝統的なジェネレータは、汎用ではないかもしれないが、ある目的 に対しては十分であることがある。たとえば、いくつかのサンプル・ビット・ジ ェネレータ（線形合同を含む）、厳密な意味で、いくつかの特定の応用に対して 十分である。簡単にいうと、伝統的なジェネレータで十分であると知られている 例があり、これらでは不十分であると知られている例があるということである。 他のすべての場合は、保証はない。その上、複雑な方法やプロセスに対して、伝 統的なジェネレータは、十分なランダム出力を作成すると証明されているとは限 らない。 最近になって、擬似ランダム・ビットの生成に対する異なるアプローチが、「 一方向性(one-way)」関数(function)の理論を基礎として、開発された。ここに おける議論としては、一方向性関数は、簡単に計算できるが、その範囲の圧倒的 なフラクション(fraction)のため、逆算することが難しい関数のことである。こ の概念に留意して、「暗号に強い擬似ランダム（cryptographically strong pse udo-randam：ＣＳＰＲ）・ビット・ジェネレータ」は、短い、真にランダムなシ ード（seed：種）を入力として取り、そして、一方向性関数を繰り返し使用して 、長い擬似ランダム・ビット列を作成する。その結果、ＣＳＰＲビット・ジェネ レータの出力と真にランダムなビット列との間で、区別することのできる実行可 能な技術やプロシジャ(procedure)はない。また、ＣＳＰＲビット・ジェネレー タは、一方向性関数を逆算するに必要な時間に比べて短い時間の実行時間におけ る、すべての統計学的なテストをパスすることが知られている。特に、真にラン ダムなビットではなくＣＳＰＲビットをテストや他の応用に使用しても、 その実行時間が一方向性関数を逆算する時間に関して小さい環境においては、結 果において、はっきり示せる違いは生じない。 上記のＣＳＰＲビット・ジェネレータの直接的な多数の応用に加えて、これら のビット・ジェネレータは、暗号に強い擬似ランダム関数（ＣＳＰＲ関数）を計 算するのに使用される。これらの関数は、２つのパラメータ、すなわち、関数イ ンデックスおよび関数入力をとる。ランダムに選ばれた固定インデックスに対し て、インデックスの知識がない相手方は、関数入力を選ぶことができず、そのた め、実現可能な時間内に結果をもたらした関数値の１ビットも予測できない。相 手方が、自分の選んだ多数の関数入力に対応した関数値をすでに見ていたとして も、このことは真である。 ＣＳＰＲ関数はいくつかの応用を有している。２つの重要な応用を次に示す。 第１は、それらは、ＡとＢとが秘密キーを共有している場合に、機密保持されて いないチャネルを介して、Ａ側をＢ側に識別する単純なプロトコルに使用されて いる。共有キーはＣＳＰＲ関数インデックスとして使用する。Ｂは、Ａであると 主張しているチャネルの相手側に、ランダム関数入力で質問する。Ａのみが正し い関数値で応答する。 第２に、ＣＳＰＲ関数は、並列または分散して計算する場合に、独立したラン ダム・ビットを各プロセスに分配するのに使用される。単一のシードが各プロセ スに同報(broadcast)される。この共有シードはＣＳＰＲ関数インデックスとし て使用される。自分のプロセス識別番号を関数入力として使用し、各プロセスは 、そのランダム・シードとしてＣＳＰＲ関数値を計算する。各プロセスは、この シードとＣＳＰＲビット・ジェネレータを使用して、ＣＳＰＲビットを自分自身 で使用するために計算する。 発明の概要 暗号に強い擬似ランダム・ビット・ジェネレータと関数が、回路と付随する方 法で実現されており、それは、安全なブロック暗号エンコーダ(block cypher en coder)を利用して、暗号に強い擬似ランダム・ビット・ジェネレータを実現し ている。 広くは、本発明の直列演算の様態の一つによれば、暗号に強い擬似ランダム・ ビットのストリームは、同じ長さの第１と第２のシード、および、固定のランダ ム・エンコーダ・キーを有するブロック暗号エンコーダから生成される。第１の シードは、ブロック暗号エンコーダへの最初の入力として使用される。ブロック 暗号エンコーダへの引き続く各入力は、ブロック暗号エンコーダの最新の出力と して供給される。暗号に強い擬似ランダム・ビットのストリーム中の各ビットは 、ブロック暗号エンコーダへの入力と第２のシードとの間の内積(inner product )に対応して決定される。 本発明の直列演算の他の様態によれば、暗号に強い擬似ランダム・ビットのス トリームは、すべて同じ長さの第１のシードとＳ個の複数の第２のシード、およ び、固定のランダム・エンコーダ・キーを有するブロック暗号エンコーダから生 成される。第１のシードは、ブロック暗号エンコーダの最初の入力として使用さ れる。ブロック暗号エンコーダへの引き続く各入力は、ブロック暗号エンコーダ の最新の出力として供給される。暗号に強い擬似ランダム・ビットのストリーム 中のＳ個の連続するビットは、ブロック暗号エンコーダへの入力とＳ個の第２の シードとの間のＳ個の別個の内積に対応して決定される。 本発明の並列演算の様態によれば、Ｎずつのグループの暗号に強い擬似ランダ ム・ビットのストリームは、各々が異なる固定のランダム・キーを有するＮ個の ブロック暗号・エンコーダ、および、すべて同じ長さである、Ｎ個の第１のシー ドとＮ個の第２のシードから生成される。各第１のシードは、対応するブロック 暗号エンコーダの一つの入力として使用される。各ブロック暗号エンコーダへの 引き続く各入力は、ブロック暗号エンコーダの最新の出力として供給される。暗 号に強い擬似ランダム・ビットのストリーム中の各グループの出力ビットは、各 エンコーダへの入力と対応する第２のシードとの間の内積に対応して決定される 。 本発明の並列演算の他の様態によれば、ＮＳずつのグループの暗号に強い擬似 ランダム・ビットのストリームは、各々が異なる固定のランダム・キーを有する Ｎ個のブロック暗号・エンコーダ、および、すべて同じ長さである、Ｎ個の第１ のシードとＮＳ個の第２のシードから生成される。各第１のシードは、ブロック 暗号エンコーダの一つの入力として使用される。ブロック暗号エンコーダへの引 き続く各入力は、ブロック暗号エンコーダの最新の出力として供給される。暗号 に強い擬似ランダム・ビットのストリーム中の各グループの出力ビットは、各エ ンコーダへの入力とＳ個の第２のシードとの間のＳ個の内積に対応して決定され る。 本発明の直列演算のまた別の様態によれば、暗号に強い擬似ランダム・ビット のストリームは、各々が異なる固定のランダム・エンコーダ・キーを有する２つ のブロック暗号エンコーダ、および、同じ長さの第１と第２のシードから生成さ れる。２つのブロック暗号エンコーダは、第１のエンコーダの出力が第２のエン コーダの入力として利用できるように接続されている。その上、一旦第１のシー ドが第１のエンコーダで処理されると、第２のエンコーダの出力が第１のエンコ ーダの次の入力となる。暗号に強い擬似ランダム・ビットのストリームは、第１ のエンコーダへの連続する入力と第２のシードとの間の内積に対応して決定され る。 本発明の直列演算のなおまた別の様態によれば、暗号に強い擬似ランダム・ビ ットのストリームは、各々が異なる固定のランダム・エンコーダ・キーを有する ２つのブロック暗号エンコーダ、および、すべて同じ長さである第１のシードと Ｓ個の第２のシードから決定される。２つのブロック暗号エンコーダは、第１の エンコーダの出力が第２のエンコーダの入力として利用できるように接続されて いる。その上、一旦第１のシードが第１のエンコーダで処理されると、第２のエ ンコーダの出力が第１のエンコーダの次の入力となる。暗号に強い擬似ランダム ・ビットのストリームは、第１のエンコーダへの連続する入力とＳ個の第２のシ ードとの間のＳ個の内積に対応して決定される。 本発明の結合した直列並列演算の様態によれば、Ｎずつの集合（セット）の暗 号に強い擬似ランダム・ビットのストリームは、各々が異なる固定のランダム・ エンコーダ・キーを有するＮずつのグループの２ブロック暗号エンコーダ、およ び、すべて同じ長さである、Ｎ個の第１のシードとＮ個の第２のシードから生成 される。各２ブロック暗号エンコーダは、第１のエンコーダの出力が第２のエン コーダの入力として利用できるように接続されている。その上、一旦Ｎ個の第１ シードからの対応する第１のシードが第１のエンコーダで処理されると、第２の エンコーダの出力が第１のエンコーダの次の入力となる。暗号に強い擬似ランダ ム・ビットのストリームの各集合中の出力ビットは、各２ブロック暗号エンコー ダの第１エンコーダへの連続する入力とＮ個の第２のシードからの対応する第２ のシードとの間のＮ個の内積に対応して決定される。 本発明の結合した直列並列演算の他の様態によれば、ＮＳずつの集合の暗号に 強い擬似ランダム・ビットのストリームは、各々が異なる固定のランダム・エン コーダ・キーを有するＮずつのグループの２ブロック暗号エンコーダ、および、 すべて同じ長さであるＮ個の第１のシードとＮＳ個の第２のシードから生成され る。各２ブロック暗号エンコーダは、第１のエンコーダの出力が第２のエンコー ダの入力として利用できるように接続されている。その上、一旦Ｎ個の第１のシ ードからの対応する第１のシードが第１のエンコーダで処理されると、第２のエ ンコーダの出力が第１のエンコーダの次の入力となる。暗号に強い擬似ランダム ・ビットのストリームの各集合中の出力ビットは、第１のエンコーダへの連続す る入力とＮグループの２ブロック・エンコーダの各々に対応するＳ個の第２のシ ードとの間のＮＳ個の内積に対応して決定される。 本発明の擬似ランダム関数の様態によれば、暗号に強い擬似ランダム関数値は 関数インデックスおよび関数入力により計算される。関数インデックスは長さｎ の第１と第２のシードおよびブロック暗号エンコーダ(blcok cypher encoder)に 対するキーを含んでいる。関数入力は、長さｍの列（ストリング）である。ビッ ト・ポインタは、関数入力の最下位ビットを指すように初期化される。各ブロッ ク暗号化器(block cypher)は、その出力を入力にフィードバックするように構成 されている。現在のブロック暗号化器の入力は、初期には第１のシードの値とな るように割り当てられている。長さ２ｎの出力ストリームは、ブロック暗号エン コーダの２ｎの連続する入力と第２のシードとの２ｎの内積に対応して生成され る。ビット・ポインタが最上位ビットを指していない場合、２つのステップの１ つが完了される。すなわち、（１）ビット・ポインタで指されている関数入力中 の入力ビットが第１のビット値である場合、出力ストリームの最初のｎビットが 現在の暗号入力となる； または、（２）ビット・ポインタで指されている関数 入力中のビットが第２のビット値である場合、出力ストリームの最後のｎビット が現在の暗号入力となる。どちらの場合も、ビット・ポインタはインクレメント され、長さ２ｎの別の出力ストリームが現在のブロック暗号入力を使用して計算 される。ビット・ポインタが最上位ビットを指している場合、関数値は、関数入 力の最上位ビットが第１のビット値であるときは前の出力ストリームの最初のｎ ビットとなるように決定され、または、関数入力の最上位ビットが第２のビット 値であるときは最後のｎビットとなるように決定される。 本発明の工夫した様態の特徴は、ＣＳＰＲ関数は、前述した概要に示したＣＳ ＰＲビット・ジェネレータのどれにでも基づくことができる。 本発明の構造と動作は、添付した図面とともに、例示した実施例の詳細な説明 の考察から理解される。 図面の簡単な説明 図１は、本発明による直列の暗号に強いランダム・ビット・ジェネレータの例 を示すブロック図である。 図２は、本発明による直列の暗号に強いランダム・ビット・ジェネレータの他 の例を示すブロック図である。 図３は、本発明による並列の暗号に強いランダム・ビット・ジェネレータの例 を示すブロック図である。 図４は、本発明による直列の安全な暗号に強いランダム・ビット・ジェネレー タの他の例を示すブロック図である。 詳細な説明 本発明を説明するために役に立つターム（単語）と表現を紹介するために、概 観の議論からまず提示する。この概観に続き、本発明の例示的な実施例を説明す る。 概観 長さＭの入力に対する「実行可能な(feasible)」計算は、Ｃがある固定した定 数であるとき、Ｍ、Ｍ²、またはＭ^Cに比例した時間がかかる。「実行不可能な(i nfeasible)」計算は、実行できない計算である。関数Ｆは、計算するのに実行可 能であるが、その範囲内のランダムな要素に対して逆に計算することは実行不可 能である場合に、「一方向性(one-way) 」である。ある関数は、一方向性であり 、しかも長さが保存され１対１対応である、すなわち、Ｆ（ｘ）＝ｙとすると、 ｘとｙの長さが等しいとともに、すべてのｙに対して厳密に１つのｘが存在する 場合に、一方向性「置換(permutation) 」である。今後、Ｆは一方向性置換を示 している。 バイナリ列(binary string) の２つの分布μ₁、μ₂は、どんな実行可能な計算 によっても、μ₁またはμ₂のもとで生成された所与の列が確率１／２＋ε（ｎ） （ε（ｎ）は無視できる、すなわち、ε（ｎ）＝１／Ｔ（ｎ）：Ｔ（ｎ）実行で きない計算の実行時間）で推測される場合、「区別することができない(indisti nguishable) 」とする。「暗号に強い擬似ランダム分布(cryptographically str ong pseudo-randam distribution) 」は一様な分布と区別することができない。 暗号に強い擬似ランダムビット・ジェネレータＧは、長さＸのランダム・シー ドｘを受入れ、および長さＹ＝Ｘ^O(1)のより長いビット列ｙを出力し、しかも、 出力の分布は擬似ランダムである。これは、ｙの一つのビットも、ｙの他のビッ トを見ることにより、予測することができないことを意味する。 従来の技術で開示されている最新の実現方法は、暗号に強い擬似ランダム・ビ ット・ジェネレータを一方向性関数を利用して構成しているが、本発明の主題は 、ブロック暗号エンコーダを基礎としている。このようなエンコーダは、データ 暗号化規格（Data Encryption Standard：ＤＥＳ）により実現している。ＤＥＳ は、ＦＩＰＳ ｐｕｂ４６、１９７７年１月にthe National Bureau of Standar ds，Department of Commerceから出版された。ＤＥＳは、十分に早いインプリメ ンテーションを有しており、商業的に入手可能である。たとえば、装置 タイプのＶＭ００９は、アリゾナ州TempleのVLI Technology Inc．から入手可能 であり、ＤＥＳをインプリメントしている。ブロック暗号エンコーダは、入力と してランダム・キーｋおよびサイズＸの入力列ｘをとり、サイズＸの出力列を作 成する。固定キーｋに対するブロック暗号エンコーダの出力ｙは、Ｆ（ｋ，ｘ） と表現され、置換(permutation) である。さらに、本発明は、従来技術の実現方 法と比較して、入力シードのより効果的な使用を可能にしている。 例示的な実施例 概観で言及したように、本発明のジェネレータは、「ブロック暗号」エンコー ダを基礎とすることにより実施されている。ブロック暗号エンコーダが、暗号に 強い擬似ランダム・ビット・ジェネレータを構成する基礎的構成要素として用い られている一つの様態は、図１を参照して説明される。図１では、直列のブロッ ク暗号エンコーダは、エレメント１５０で示されている。ブロック暗号化器１５ ０により行われる置換は、Ｆと示されている。ランダム・キー・ジェネレータ１ ４０から供給される、固定されたランダム・キーｋは、バス１４１を介してブロ ック暗号エンコーダ１５０の１つの入力とし使用される。ブロック暗号エンコー ダの他の入力は、入力レジスタ１３０からバス１３１を介して供給され、この入 力は、出力バス１３１上にｘ_iと表されているビットの集合（セット）として供 給されているのが示されている。入力レジスタ１３０は２つの入力、すなわち、 バス１１１上から第１シード・ジェネレータ１１０が供給している第１のシード ｘ_oと、フィードバック・バス１５１により供給される、ｘ_i+1と表されているブ ロック・エンコーダ1５０の出力とを有している。入力レジスタ１３０は、ｘ_iが 最初に値ｘ_oと割り当てられ、その一方、引き続くすべてのｘ_iの値は、最新のｘ_i の値を更新された値ｘ_i+1で上書きすることで供給されるように動作する。エン コーダ１５０への入力ｘ_iは、内積デバイス１６０への１つの入力としても、こ れもバス１３１を介して使用される。その上、内積デバイス１６０は、バス１２ １を介して、第２シード・ジェネレータ１２０により供給される第２のシードｈ を、一つの入力として有している。一般的に、第１と第２の シードの長さは等しい。ランダム・キーの長さは、第１と第２のシードと同じ長 さである必要はない。ランダム・キーの長さは、通常、ブロック暗号化器がどの ように作動するかによる。内積デバイス１６０は、＜ｘ_i，ｈ＞＝ｂ_iと表される 内積を、次のように決定する： （ａ）ｘ_iとｈとのビット同士のアンドを計算 する； および、（ｂ）上記のビット同士のアンドからすべてのビットのパリテ ィを内積の結果として出力する。すなわち、１のビットの数が偶数ある場合は０ を出力し、１のビットの数が奇数ある場合は１を出力する。各ｂ_iビットは連続 して出力リード線１６１に供給される。 ブロック暗号エンコーダが、暗号に強い擬似ランダム・ビット・ジェネレータ を構成する基礎的構成要素として用いられている他の実施例は、図２を参照して 説明される。図２では、直列のブロック暗号エンコーダは、エレメント２５０で 示されている。ブロック暗号化器２５０により行われる置換は、Ｆと示されてい る。ランダム・キー・ジェネレータ２４０から供給される、固定されたランダム ・キーｋは、バス２４１を介してブロック暗号エンコーダ２５０の１つの入力と し使用される。ブロック暗号エンコーダの他の入力は、入力レジスタ２３０から バス２３１を介して供給され、この入力は、出力バス２３１上にｘ_iと表されて いるビットの集合として供給されているのが示されている。入力レジスタ２３０ は２つの入力、すなわち、バス２１１上から第１シード・ジェネレータ２１０が 供給している第１のシードｘ_oと、フィードバック・バス２５１により供給され る、ｘ_i+1と表されているブロック・エンコーダ２５０の出力とを有している。 入力レジスタ２３０は、ｘ_iが最初に値ｘ_oと割り当てられ、その一方、引き続く すべてのｘ_iの値は、最新のｘ_iの値を更新された値ｘ_i+1で上書きすることで供 給されるように、動作する。エンコーダ２５０への入力ｘ_iは、内積デバイス２ ６０への１つの入力としても、これもバス２３１を介して使用される。その上、 内積デバイス２６０は、バス２２１を介して、第２シード・ジェネレータ２２０ により供給されるＳ個の第２のシードｈ₁，ｈ₂，・・・，ｈ_sを、入力として有して いる。一般的に、第１のシード、Ｓ個のシード、およびランダム・キーの長さは すべて等しい。内積デバイス２６０は、ｉ番目のサイクルの間、｛＜ｘ_i，ｈ₁＞ ，＜ｘ_i，ｈ₂＞，・・・，＜ｘ_i，ｈ_s＞｝（または、 うに決定する： （ａ）ｘ_iとｈ_j（ｊ＝１，２，・・・，Ｓ）とのビット同士のア ンドを計算する； および、（ｂ）上記のビット同士のアンドからのすべてのビ ットのパリティをｊ番目の内積の結果として出力する。すなわち、１のビットの 数が偶数ある場合は０を出力し、１のビットの数が奇数ある場合は１を出力する 。ｊ番目の内積の結果はビットであり、ｂ_jと表わされ、内積デバイス２６０の 出力バス２６１上に現れる暗号に強い擬似ランダム・ビットのストリームを構成 する連続的なＳビットの集合のｊ番目のビットである。ｉ番目のサイクルに対す るバス２６１上の出力を表す他の方法は、図２に示すｂ_ij（ｊ＝１，２，・・・， Ｓ）である。 ブロック暗号エンコーダが、暗号に強い擬似ランダム・ビット・ジェネレータ を構成する基礎的構成要素として用いられているもう一つの実施例は、図３を参 照して説明される。図３では、並列のブロック暗号エンコーダ構成３５０，３５ ５，・・・中の一つのブロック暗号エンコーダは、エレメント３５０で示されてい る。ブロック暗号エンコーダ３５０により行われる置換は、Ｆと示されている。 図３中のエレメント３１０，３２０，３３０，３４０，３５０，および３６０は 、図１中のエレメント１１０，１２０，１３０，１４０，１５０，および１６０ に関して説明したのと同様に作動する。同様に、図３中のエレメント３１５，３ ２５，３３５，３４５，３５５，および３６５は、図１中のエレメント１１０， １２０，１３０，１４０，１５０，および１６０に関して説明したのと同様に作 動する。残りのエンコーダ（図示せず）に対しても同様である。 特に、ランダム・キー・ジェネレータ３４０から供給される、固定されたラン ダム・キーｋ₁は、バス３４１を介してブロック暗号エンコーダ３５０の１つの 入力とし使用される。ブロック暗号エンコーダの他の入力は、入力レジスタ３３ ０からバス３３１を介して供給され、この入力は、出力バス３３１上にｘ_i ¹と表 されているビットの集合として供給されているのが示されている。入力レジスタ ３３０は２つの入力、すなわち、バス３１１上から第１シード・ジェネレータ３ １０が供給している第１のシードｘ_o ¹と、フィードバック・バス３５１によ している。入力レジスタ３３０は、ｘ_i ¹が最初に値ｘ_o ¹と割り当てられ、その一 きすることで供給されるように、動作する。エンコーダ３５０への入力ｘ_i ¹は、 内積デバイス３６０への１つの入力としても、これもバス３３１を介して使用さ れる。その上、内積デバイス３６０は、バス３２１を介して、第２シード・ジェ ネレータ３２０により作成される第２のシードｈ¹を、一つの入力として有して いる。一般的に、第１のシードｘ_o ¹、第２のシードｈ¹、およびランダム・キー ｋ¹の長さは等しい。内積デバイス３６０は、＜ｘ_i ¹，ｈ＞＝ｂ_i ¹と表される内 積を、次のように決定する： （ａ）ｓ_i ¹とｈ_iとのビット同士のアンドを計算 する； および、（ｂ）上記のビット同士のアンドからすべてのビットのパリテ ィを内積の結果として出力する。すなわち、１のビットの数が偶数ある場合は０ を出力し、１のビットの数が奇数ある場合は１を出力する。各ｂ_i ¹ビットは出力 リード線３６１に供給される。 その上、ランダム・キー・ジェネレータ３４５から供給される、固定されたラ ンダム・キーｋ₂は、バス３４６を介してブロック暗号エンコーダ３５５の１つ の入力とし使用される。ブロック暗号エンコーダの他の入力は、入力レジスタ３ ３５からバス３３６を介して供給され、この入力は、出力バス３３６上にｘ_i ²と 表されているビットの集合として供給されているのが示されている。入力レジス タ３３５は２つの入力、すなわち、バス３１６上から第１シード・ジェネレータ ３１５が供給している第１のシードｘ_o ²と、フィードバック・バス３５６によ している。入力レジスタ３３５は、ｘ_i ²が最初に値ｘ_o ²と割り当てられ、その一 きすることで供給されるように、動作する。エンコーダ３５５への入力ｘ_i ²は、 内積デバイス３６０への１つの入力としても、これもバス３３６を介して使用さ れる。その上、内積デバイス３６５は、バス３２６を介して、第２シード・ジェ ネレータ３２５により作成される第２のシードｈ²を、一つの入力として有して いる。一般的に、第１のシードｘ_o ¹、第２のシードｈ²、およびランダム・キー ｋ²の長さは等しい。内積デバイス３６５は、＜ｘ_i ²，ｈ＞≡ｂ_i ²と表される内 集合を、次のように決定する： （ａ）ｓ_i ²とｈ¹とのビット同士のアンドを計 算する；および、（ｂ）上記のビット同士のアンドからすべてのビットのパリテ ィを内積の結果として出力する。すなわち、１のビットの数が偶数ある場合は０ を出力し、１のビットの数が奇数ある場合は１を出力する。各ｂ_i ²ビットは出力 リード線３６１に供給される。 最後に、ｉ番目のサイクル間の並列ビットｂ_i ¹，ｂ_i ²，・・・の作成を制御する ため、タイミング・デバイス３７０が、各ブロック暗号エンコーダ３３０，３３ ５，・・・，および各内積デバイス３６０，３６５，・・・に結合され、所望のサイク ル時間間隔の間、並列ビットを出力する。 上記のすべてのインプリメンテーションは、所定のブロック暗号エンコーダの 出力を自分の入力にフィードバックして、実際は、処理のためのランダム・シー ドの連続としていると考えられる。追加的な安全な手段を供給するために、図４ のインプリメンテーションが用いられる。特に、図４を参照して、２つのブロッ ク暗号エンコーダ４５０および４５５が、暗号に強い擬似ランダム・ビット・ジ ェネレータを構成する基礎的構成要素として用いられている。図４では、第１の ブロック暗号エンコーダがエレメント４５０で示され、第２のブロック暗号エン コーダがエレメント４５５で示されている。各ブロック暗号エンコーダにより行 われる置換は、Ｆと示されている。ブロック暗号エンコーダ４５０の出力は、バ ス４５１を介してブロック暗号エンコーダの入力に接続されている。ランダム・ キー・ジェネレータ４４０から供給される、第１の固定されたランダム・キーｋ₁ は、バス４４１を介してブロック暗号エンコーダ４５０の１つの入力とし使用 される。ランダム・キー・ジェネレータ４４５から供給される、第２の固定され たランダム・キーｋ₂は、バス４４６を介してブロック暗号エンコーダ４５５の １つの入力とし使用される。ブロック暗号エンコーダの他の入力は、入力レジス タ４３０からバス４３１を介して供給され、この入力は、出力バス４３１上にｘ_i と表されているビットの集合として供給されているのが示されている。入力レ ジスタ４３０は２つの入力、すなわち、バス４１１上から第１シード・ジェネレ ータ４１０が供給している第１のシードｘ_oと、フィードバック・バス４５６に より供給される、ｘ_i+1と表されているブロック・エンコーダ ４５５の出力とを有している。入力レジスタ４３０は、ｘ_iが最初に値ｘ_oと割り 当てられ、その一方、引き続くすべてのｘ_iの値は、最新のｘ_iの値を更新された 値ｘ_i+1で上書きすることで供給されるように、動作する。エンコーダ４５０へ の入力ｘ_iは、内積デバイス４６０への１つの入力としても、これもバス４３１ を介して使用される。その上、内積デバイス４６０は、バス４２１を介して、第 ２シード・ジェネレータ４２０により作成される第２のシードｈを、一つの入力 として有している。一般的に、第１と第２のシードおよびランダム・キーｋ_iと ｋ₂の長さは等しい。内積デバイス４６０は、＜ｘ_i，ｈ＞≡ｂ_iと表される内積 を、次のように決定する： （ａ）ｘ_iとｈとのビット同士のアンドを計算する ； および、（ｂ）上記のビット同士のアンドからすべてのビットのパリティを 内積の結果として出力する。すなわち、１のビットの数が偶数ある場合は０を出 力し、１のビットの数が奇数ある場合は１を出力する。各ｂ_iビットは連続して 出力リード線４６１に供給される。 この分野の当業者には、図２の実施例に関する教示により、図３のシードｈ¹ ，ｈ²，・・・または図４のシードｈが複数のシード（すなわちｈ²→ｈ_i ¹，ｈ₂ ¹，・・・ ）に置き換えることができ、それにより、サイクルごとの内積に対する複数ビ ットが生成されることは、明確である。また、図４の２ブロック・エンコーダが 、単一ブロック・エンコーダを教示する実施例と結合して、暗号に強い擬似ラン ダム出力ビットのストリームを生成する、結合した直列並列の変形を生じること もまた明確である。 擬似ランダム関数の実施例 Ｇ（）が、前の節で述べたように、入力列(input string)ｘ，ｋ，およびｈ（ ｘおよびｈはｎビット列）としてとるＣＳＰＲビット・ジェネレータを表すとす る。Ｈ（）がＣＳＰＲ関数を表すとする。Ｇ（）は、Ｈ（）を計算するために使 用される。実は、Ｇ（）の入力である列ｘ，ｋ，およびｈは、ともにＨ（）の関 数インデックスである。Ｈ（）の関数入力が、ｍビット列であるｄと表示される とする。Ｈ（）のこの表示のため、Ｇ（）は長さ２ｎの列を出力する。最 初のｎビットはｙ ０と表示され、２番目のｎビットはｙ １と表示される。ｂ ｉｔ（ｄ，ｉ）（これはビット・ポインタの短い表現である）をｉ番目の関数入 力とする。Ｈ（ｘ，ｋ，ｈ，ｄ）は次のように計算される。 １．ｘ ０＝ｘ． ２．ｆｏｒ ｉ＝１ ｔｏ ｍ， ａ．Ｇ（ｘ （ｉ−１），ｋ，ｈ）＝ｙ ０ｙ １を計算 ｂ．ｉｆ ｂｉｔ（ｄ，ｉ）＝０，ｔｈｅｎ ｘ ｉ＝ｙ ０，ｅｌｓｅ ｉｆ ｂｉｔ（ｄ，ｉ）＝１，ｔｈｅｎ ｘ ｉ＝ｙ １ ｃ．ｘ ｍを出力 上記のＨ（ｘ，ｋ，ｈ，ｄ）を決定するテクニックは、図１に関して述べた最 も基本的なジェネレータＧ（）を参照して記述している。図２，図３および図４ で、または、それらの組み合わせで示されているように、ここに開示されている 他のＣＳＰＲビット・ジェネレータが、上記のやりかたに対してわずかな修正を 加えるだけで、ＣＳＰＲ関数を計算できることは明確である。 上記に述べた実施例は、本発明に関する原理を簡単に例示するものであること を理解すべきである。この原理の思想と範囲を具現する他の実施例は、この分野 の当業者が容易に考えることができる。このように、ここで述べた回路構成は、 例示のために示した特定の形態に限定されることはなく、他の実施例は、添付さ れている請求の範囲の範囲にのみ限定されることを理解すべきである。

Claims (1)

1. 【特許請求の範囲】 １．固定のランダム・エンコーダ・キーを有するブロック暗号エンコーダ、およ び、同じ長さの第１と第２のシードを備える暗号に強い擬似ランダム・ビットの ストリームを生成する方法において、 （ａ）前記第１のシードを前記ブロック暗号エンコーダへの最初の入力として 入力するステップと、 （ｂ）前記ブロック暗号エンコーダの前記入力と、前記第２のシードとの間の 内積に対応するストリーム中の出力ビットを生成するステップと、 （ｃ）前記ブロック暗号エンコーダの前記出力を前記ブロック暗号エンコーダ への次の入力としてフィート・バックし、ステップ（ｂ）に戻るステップと を備えたことを特徴とする方法。 ２．請求項１記載の方法において、前記出力ビットを生成する前記ステップは、 前記ブロック暗号エンコーダの前記入力と前記第２のシードとのビットごとの アンドをとるステップと、 ビットごとのアンドをとる前記ステップのパリティを前記出力ビットとして出 力するステップと を含むことを特徴とする方法。 ３．固定のランダム・エンコーダ・キーを有するブロック暗号エンコーダ、およ び、同じ長さの第１のシードとＳ個の第２のシードを備える暗号に強い擬似ラン ダム・ビットのストリームを生成する方法において、 （ａ）前記第１のシードを前記ブロック暗号エンコーダへの最初の入力として 入力するステップと、 （ｂ）前記ブロック暗号エンコーダの前記入力と、前記Ｓ個の第２のシードと の間のＳ個の内積に対応するストリーム中のＳ個の出力ビットを生成するステッ プと、 （ｃ）前記ブロック暗号エンコーダの前記出力を前記ブロック暗号エンコーダ への次の入力としてフィード・バックし、ステップ（ｂ）に戻るステップと を備えたことを特徴とする方法。 ４．請求項３記載の方法において、前記Ｓ個の出力ビットを生成する前記ステッ プは、 前記ブロック暗号エンコーダの前記入力と前記Ｓ個の第２のシードの対応する １つとのビットごとのアンドをとるステップと、 ビットごとのアンドをとる前記ステップのパリティを、前記Ｓ個の出力ビット の対応する１つとして出力するステップと を含むことを特徴とする方法。 ５．各々が異なる固定のランダム・エンコーダ・キーを有するＮ個のブロック暗 号エンコーダ、および、すべて同じ長さのＮ個の第１とＮ個の第２のシードを備 えるＮずつのグループの暗号に強い擬似ランダム・ビットのストリームを生成す る方法において、 （ａ）前記第１のシードＩ（Ｉ＝１，２，…，Ｎ）を前記対応するエンコーダ Ｉへの最初の入力として入力するステップと、 （ｂ）前記エンコーダＩの前記入力と、前記対応する前記第２のシードＩとの 間の内積に対応する各グループ中の出力ビットＩをコンカレントに生成するステ ップと、 （ｃ）各エンコーダＩの前記出力を次の入力としてフィード・バックし、ステ ップ（ｂ）に戻るステップと を備えたことを特徴とする方法。 ６．請求項５記載の方法において、前記出力ビットＩを生成する前記ステップは 、 前記エンコーダＩの入力と前記第２のシードＩとのビットごとのアンドをとる ステップと、 ビットごとのアンドをとる前記ステップのパリティを、前記出力ビットＩとし て出力するステップと を含むことを特徴とする方法。 ７．各々が異なる固定のランダム・キーを有するＮ個のブロック暗号エンコーダ 、および、すべて同じ長さのＮ個の第１のシードとＮＳ個の第２のシードを備え るＮＳずつのグループの暗号に強い擬似ランダム・ビットのストリームを生成す る方法において、 （ａ）前記第１のシードＩ（Ｉ＝１，２，…，Ｎ）を前記対応するエンコーダ Ｉへの最初の入力として入力するステップと、 （ｂ）前記エンコーダＩの前記入力と、前記対応する第２のシードＩ，Ｊとの 間の内積に対応するＮＳ個のビットの各グループ中の出力ビットＩ，Ｊ（Ｊ＝１ ，２，…，Ｓ）をコンカレントに生成するステップと、 （ｃ）各エンコーダＩの前記出力を次の入力としてフィード・バックし、ステ ップ（ｂ）に戻るステップと を備えたことを特徴とする方法。 ８．請求項７記載の方法において、前記出力ビットＩ，Ｊ（Ｊ＝１，２，…，Ｓ ）を生成する前記ステップは、 前記エンコーダＩの入力と前記第２のシードＩ，Ｊ（Ｊ＝１，２，…，Ｓ）と のビットごとのアンドをとるステップと、 ビットごとのアンドをとる前記ステップのパリティを、前記出力ビットＩ，Ｊ （Ｊ＝１，２，…，Ｓ）として出力するステップと を含むことを特徴とする方法。 ９．固定のランダム・エンコーダ・キーが前記エンコーダの各々について異なる ２つのブロック暗号エンコーダ、および、同じ長さの第１と第２のシードを備え る暗号に強い擬似ランダム・ビットのストリームを生成する方法において、 （ａ）前記２つのブロック暗号エンコーダを、前記第１のエンコーダの出力が 前記第２のエンコーダの入力として使用するように相互結合するステップと、 （ｂ）前記第１のシードを、前記第１のエンコーダへの最初の入力として入力 するステップと、 （ｃ）前記第１のエンコーダの前記入力と、前記第２のシードとの間の内積に 対応するストリーム中の出力ビットを生成するステップと、 （ｄ）前記第２のエンコーダの前記出力を、前記第１のエンコーダへの次の入 力としてフィード・バックし、ステップ（ｃ）に戻るステップと を備えたことを特徴とする方法。 １０．請求項９記載の方法において、前記出力ビットを生成する前記ステップは 、 前記第１のエンコーダの前記入力と前記第２のシードとのビットごとのアンド をとるステップと、 ビットごとのアンドをとる前記ステップのパリティを、前記出力ビットとして 出力するステップと を含むことを特徴とする方法。 １１．固定のランダム・エンコーダ・キーが前記エンコーダの各々について異な る２つのブロック暗号エンコーダ、および、すべて同じ長さの第１のシードとＳ 個の第２のシードを備える暗号に強い擬似ランダム・ビットのストリームを生成 する方法において、 （ａ）前記２つのブロック暗号エンコーダを、前記第１のエンコーダの出力が 前記第２のエンコーダの入力として使用するように相互接続するステップと、 （ｂ）前記第１のシードを、前記第１のエンコーダへの最初の入力として入力 するステップと、 （ｃ）前記第１のエンコーダの前記入力と、前記Ｓ個の第２のシードとの間の Ｓ個の内積に対応するストリーム中のＳ個の出力ビットを生成するステップと、 （ｄ）前記第２のエンコーダの前記出力を、前記第１のエンコーダへの次の入 力としてフィート・バックし、ステップ（ｃ）に戻るステップと を備えたことを特徴とする方法。 １２．請求項１１記載の方法において、前記Ｓ個の出力ビットを生成する前記ス テップは、 前記第１のエンコーダの前記入力と前記Ｓ個の第２のシードの対応する１つと のビットごとのアンドをとるステップと、 ビットごとのアンドをとる前記ステップのパリティを、前記Ｓ個の出力ビット の対応する１つとして出力するステップと を含むことを特徴とする方法。 １３．２ブロック・エンコーダの各エンコーダについて固定のランダム・エンコ ーダ・キーが異なる複数のＮ個の２ブロック暗号・エンコーダ、および、すべて 同じ長さのＮ個の第１のシードとＮ個の第２のシードを備えるＮずつの集合の暗 号に強い擬似ランダム・ビットのストリームを生成する方法において、 （ａ）前記２ブロック・エンコーダを、前記第１のエンコーダの出力が前記第 ２のエンコーダの入力として使用するように相互結合するステップと、 （ｂ）前記第１のシードＩ（Ｉ＝１，２，…，Ｎ）を、２ブロック・エンコー ダＩに対応する前記第１のエンコーダへの最初の入力として入力するステップと 、 （ｃ）前記２ブロック・エンコーダＩの前記入力と、前記対応する第２のシー ドＩとの間の内積に対応する集合中の対応する１つにおける出力ビットＩをコン カレントに生成するステップと、 （ｄ）前記２ブロック・エンコーダＩの各第２のエンコーダの前記出力を、前 記２ブロック・エンコーダＩの前記第１のエンコーダへの次の入力としてフィー ト・バックし、ステップ（ｃ）に戻るステップと を備えたことを特徴とする方法。 １４．請求項１３記載の方法において、前記出力ビットＩを生成する前記ステッ プは、 前記２ブロック・エンコーダＩの前記第１のエンコーダの前記入力と前記対応 する第２のシードＩとのビットごとのアンドをとるステップと、 ビットごとのアンドをとる前記ステップのパリティを、前記出力ビットＩとし て出力するステップと を含むことを特徴とする方法。 １５．２ブロック・エンコーダの各エンコーダについて固定のランダム・エンコ ーダ・キーが異なる複数のＮ個の２ブロック暗号・エンコーダ、およびすべて同 じ長さのＮ個の第１のシードとＮＳ個の第２のシードを備えるＮＳずつの集合の 暗号に強い擬似ランダム・ビットのストリームを生成する方法において、 （ａ）前記２ブロック・エンコーダの各々を、前記第１のエンコーダの出力が 前記第２のエンコーダの入力として使用するように相互接続するステップと、 （ｂ）前記第１のシードＩ（Ｉ＝１，２，…，Ｎ）を、２ブロック・エンコー ダＩに対応する前記第１のエンコーダへの最初の入力として入力するステップと 、 （ｃ）前記２ブロック・エンコーダＩの前記第１のエンコーダへの前記入力と 、前記対応する第２のシードＩ，Ｊとの間の内積に対応するＮＳビットの集合中 の対応する１つにおける出力ビットＩ，Ｊ（Ｊ＝１，２，…，Ｓ）をコンカレン トに生成するステップと、 （ｄ）各２ブロック・エンコーダＩの各第２のエンコーダの前記出力を、各２ ブロック・エンコーダＩの前記第１のエンコーダへの次の入力としてフィート・ バックし、ステップ（ｃ）に戻るステップと を備えたことを特徴とする方法。 １６．請求項１５記載の方法において、前記出力ビットＩ，Ｊ（Ｊ＝１，２，… ，Ｓ）を生成する前記ステップは、 前記２ブロック・エンコーダＩの前記入力と前記第２のシードＩ，Ｊ（Ｊ＝１ ，２，…，Ｓ）とのビットごとのアンドをとるステップと、 ビットごとのアンドをとる前記ステップのパリティを、前記出力ビットＩ，Ｊ （Ｊ＝１，２，…，Ｓ）として出力するステップと を含むことを特徴とする方法。 １７．関数インデックスが、各長さｎの第１と第２のシードおよびブロック暗号 エンコーダに対するキーにより構成されており、関数への入力がｍビット列で構 成されている暗号に強い擬似ランダム関数を生成する方法において、 （ａ）前記ブロック暗号エンコーダの出力を、前記ブロック暗号エンコーダの 入力にフィード・バックするステップと、 （ｂ）前記ブロック暗号エンコーダに前記キーを入力し、現在のシードを初期 の第１のシードとして識別するステップと、 （ｃ）ビット・ポインタを関数入力の最下位ビットを指すように初期設定する ステップと、 （ｄ）前記現在のシードを前記ブロック暗号エンコーダに入力し、ブロック暗 号エンコーダの２ｎの連続する入力と前記第２のシードとの間の２ｎの内積に対 応する長さ２ｎの出力ストリームを生成するステップと、 （ｅ）前記ビット・ポインタが最上位ビットを指していない場合は、ステップ （ｆ）を続け、その他の場合は、ステップ（ｈ）に進むステップと、 （ｆ）前記ビット・ポインタが指している前記関数入力中のビットが第１のビ ット値である場合、前記出力ストリームの最初のｎビットを前記ブロック暗号エ ンコーダへの現在のシードとして選択し、前記ビット・ポインタをインクリメン トし、かつ、ステップ（ｄ）に戻るステップと、 （ｇ）前記ビット・ポインタが指している前記関数入力中のビットが第２のビ ット値である場合、前記出力ストリームの最後のｎビットを前記ブロック暗号エ ンコーダへの現在のシードとして選択し、前記ビット・ポインタをインクリメン トし、かつ、ステップ（ｄ）に戻るステップと、 （ｈ）前記関数入力の最上位ビットが第１のビット値である場合、前記出力ス トリームの最初のｎビットを関数値とするステップ、または、 （ｉ）前記関数入力の最上位ビットが第２のビット値である場合、前記出力ス トリームの最後のｎビットを関数値とするステップと を備えたことを特徴とする方法。 １８．同じ長さの第１と第２のシードを利用する暗号に強い擬似ランダム・ビッ トのストリームを生成する回路において、 固定のランダム・エンコーダ・キーを有するブロック暗号エンコーダと、 前記ブロック暗号エンコーダの入力に結合され、前記第１のシードを前記ブロ ック暗号エンコーダへの最初の入力として入力する手段と、 該前記ブロック暗号エンコーダの前記入力に結合され、前記ブロック暗号エン コーダへの前記入力と前記第２のシードとの間の内積に対応するストリーム中の 出力ビットを生成する手段と、 前記ブロック暗号エンコーダの前記入力および出力に結合され、前記ブロック 暗号エンコーダの前記出力を、前記ブロック暗号エンコーダへの入力としてフィ ート・バックする手段と を備えたことを特徴とする回路。 １９．請求項１８記載の回路において、前記出力ビットを生成する手段は、 前記ブロック暗号エンコーダの前記入力に結合され、前記ブロック暗号エンコ ーダの前記入力と前記第２のシードとのビットごとのアンドをとる手段と、 ビットごとのアンドをとる前記手段に結合され、ビットごとのアンドをとる前 記手段の前記出力のパリティを決定し、かつ、前記パリティを前記出力ビットと して出力する手段と を含むことを特徴とする回路。 ２０．すべて同じ長さの第１のシードとＳ個の第２のシードを利用する暗号に強 い擬似ランダム・ビットのストリームを生成する回路において、 固定のランダム・エンコーダ・キーを有するブロック暗号エンコーダと、 前記ブロック暗号エンコーダの前記入力に結合され、前記第１のシードを前記 ブロック暗号エンコーダへの最初の入力として入力する手段と、 前記ブロック暗号エンコーダの前記入力に結合され、前記ブロック暗号エンコ ーダへの前記入力と前記Ｓ個の第２のシードとの間のＳ個の内積に対応するスト リーム中のＳ個の出力ビットを生成する手段と、 前記ブロック暗号エンコーダの前記入力および出力に結合され、前記ブロック 暗号エンコーダの前記出力を、前記ブロック暗号エンコーダへの入力としてフィ ート・バックする手段と を備えたことを特徴とする回路。 ２１．請求項２０記載の回路において、前記Ｓ個の出力ビットを生成する前記手 段は、 前記ブロック暗号エンコーダの前記入力に結合され、前記ブロック暗号エンコ ーダの前記入力と前記Ｓ個の第２のシードの対応する１つとのビットごとのアン ドをとる手段と、 ビットごとのアンドをとる前記手段に結合され、ビットごとのアンドをとる前 記手段の前記出力のパリティを決定し、かつ、前記パリティを前記Ｓ個の出力ビ ットの対応する１つとして出力する手段と を含むことを特徴とする回路。 ２２．すべて同じ長さのＮ個の第１とＮＳ個の第２のシードを利用するＮＳずつ のグループの暗号に強い擬似ランダム・ビットのストリームを生成する回路にお いて、 各エンコーダが異なる固定のランダム・キーを有するＮ個のブロック暗号エン コーダと、 前記Ｎ個のブロック暗号エンコーダの入力に結合され、前記第１のシードＩ（ Ｉ＝１，２，…，Ｎ）を前記対応するエンコーダＩへの最初の入力として入力す る手段と、 前記Ｎ個のブロック暗号エンコーダの各々の前記入力に結合され、各エンコー ダＩへの前記入力と前記対応する第２のシードＩ，Ｊとの間の内積に対応する各 ＮＳビットずつのグループ中の出力ビットＩ，Ｊ（Ｊ＝１，２，…，Ｓ）をコン カレントに生成する手段と、 前記エンコーダの各々の前記入力および出力に結合され、前記エンコーダＩの 前記出力を、前記自分への次の入力としてフィート・バックする手段と を備えたことを特徴とする回路。 ２３．請求項２２記載の回路において、前記出力ビットＩ，Ｊ（Ｊ＝１，２，… ，Ｓ）を生成する前記手段は、 前記エンコーダの前記入力に結合され、前記エンコーダＩの前記入力と前記第 ２のシードＩ，Ｊ（Ｊ＝１，２，…，Ｓ）とのビットごとのアンドをとる手段と 、 ビットごとのアンドをとる前記手段に結合され、前記ビットごとのアンドをと る手段の前記パリティを前記出力ビットＩ，Ｊ（Ｊ＝１，２，…，Ｓ）として出 力する手段と を含むことを特徴とする回路。 ２４．同じ長さの第１と第２のシードを利用する暗号に強い擬似ランダム・ビッ トのストリームを生成する回路において、 固定のランダム・エンコーダ・キーが各エンコーダに対して異なる、２つのブ ロック暗号エンコーダと、 前記２つのエンコーダに結合され、前記第１のエンコーダの出力が前記第２の エンコーダの入力となるように前記２つのエンコーダを相互接続する手段と、 前記第１のエンコーダに結合され、前記第１のシードを前記第１のエンコーダ への最初の入力として入力する手段と、 前記第１のエンコーダに結合され、前記第１のエンコーダへの前記入力と前記 第２のシードとの間の内積に対応するストリーム中の出力ビットを生成する手段 と、 前記エンコーダに結合され、前記第２のエンコーダの前記出力を、前記第１の エンコーダへの引き続く入力としてフィード・バックする手段と を備えたことを特徴とする回路。 ２５．請求項２４記載の回路において、前記出力ビットを生成する前記手段は、 前記第１のエンコーダの前記入力に結合され、前記第１のエンコーダの前記入 力と前記第２のシードとのビットごとのアンドをとる手段と、 ビットごとのアンドをとる前記手段に結合され、ビットごとのアンドをとる前 記手段の前記出力のパリティを決定し、かつ、前記パリティを前記出力ビットと して出力する手段と を含むことを特徴とする回路。 ２６．すべて同じ長さの第１のシードとＳ個の第２のシードを利用する暗号に強 い擬似ランダム・ビットのストリームを生成する回路において、 固定のランダム・エンコーダ・キーが各エンコーダに対して異なる、２つのブ ロック暗号エンコーダと、 前記２つのエンコーダに結合され、前記第１のエンコーダの出力が前記第２の エンコーダの入力となるように前記２つのエンコーダを相互接続する手段と、 前記第１のエンコーダに結合され、前記第１のシードを前記第１のエンコーダ への最初の入力として入力する手段と、 前記第１のエンコーダに結合され、前記第１のエンコーダへの前記入力と前記 Ｓ個の第２のシードとの間のＳ個の内積に対応するストリーム中のＳ個の出力ビ ットを生成する手段と、 前記エンコーダに結合され、前記第２のエンコーダの前記出力を、前記第１の エンコーダへの引き続く入力としてフィード・バックする手段と を備えたことを特徴とする回路。 ２７．請求項２６記載の回路において、前記Ｓ個の出力ビットを生成する前記手 段は、 前記第１のエンコーダに結合され、前記第１のエンコーダの前記入力と前記Ｓ 個の第２のシードの対応する１つとのビットごとのアンドをとる手段と、 ビットごとのアンドをとる前記手段に結合され、各対応するビットごとのアン ドをとることからもたらされるパリティを決定し、かつ、各ビットごとのアンド をとることの前記パリティを前記Ｓ個の出力ビットの対応する１つとして出力す る手段と を含むことを特徴とする回路。 ２８．すべて同じ長さのＮ個の第１のシードとＮ個の第２のシードを利用するＮ ずつの集合の暗号に強い擬似ランダム・ビットのストリームを生成する回路にお いて、 各２ブロック・エンコーダについて、固定のランダム・エンコーダ・キーが前 記２ブロック・エンコーダの各エンコーダに対して異なる、複数のＮ個の２ブロ ック暗号エンコーダと、 前記Ｎ個の２ブロック・エンコーダに結合され、前記第１のエンコーダの出力 が前記第２のエンコーダの入力として使用されるように前記各２ブロック・エン コーダを相互接続する手段と、 前記Ｎ個の２ブロック・エンコーダに結合され、前記第１のシードＩ（Ｉ＝１ ，２，…，Ｎ）を前記２ブロック・エンコーダＩの前記対応する第１のエンコー ダへの最初の入力として入力する手段と、 各エンコーダＩの前記第１のエンコーダの入力に結合され、前記２ブロック・ エンコーダＩへの前記入力と対応する前記第２のシードＩとの間の内積に対応す る各集合中の出力ビットＩをコンカレントに生成する手段と、 各２ブロック・エンコーダＩに結合され、各２ブロック・エンコーダＩの前記 第２のエンコーダの前記出力を、各２ブロック・エンコーダＩの前記第１のエン コーダへの次の入力としてフィード・バックする手段と を備えたことを特徴とする回路。 ２９．請求項２８記載の回路において、前記出力ビットＩを生成する手段は、 各２ブロック・エンコーダＩの前記第１のエンコーダに結合され、前記２ブロ ック・エンコーダＩの前記第１のエンコーダへの前記入力と前記対応する第２の シードＩとのビットごとのアンドをとる手段と、 ビットごとのアンドをとる前記手段に結合され、ビットごとのアンドをとる前 記手段のパリティを前記出力ビットＩとして出力する手段と を含むことを特徴とする回路。 ３０．すべて同じ長さのＮ個の第１のシードとＮＳ個の第２のシードを利用する ＮＳずつの集合の暗号に強い擬似ランダム・ビットのストリームを生成する回路 において、 前記２ブロック・エンコーダの各々について、固定のランダム・エンコーダ・ キーが前記２ブロック・エンコーダの各エンコーダに対して異なる、複数のＮ個 の２ブロック暗号エンコーダと、 前記Ｎ個の２ブロック・エンコーダに結合され、前記第１のエンコーダの出力 が前記第２のエンコーダの入力となるように各２ブロック・エンコーダを相互接 続する手段と、 前記Ｎ個の２ブロック・エンコーダに結合され、前記第１のシードＩ（Ｉ＝１ ，２，…，Ｎ）を２ブロック・エンコーダＩの前記対応する第１のエンコーダへ の最初の入力として入力する手段と、 各エンコーダＩの前記第１のエンコーダの入力に結合され、前記２ブロック・ エンコーダＩの前記第１のエンコーダへの前記入力と前記対応する第２のシード Ｉ，Ｊとの間の内積に対応するＮＳビットごとの各集合中の出力ビットＩ，Ｊ（ Ｊ＝１，２，…，Ｓ）をコンカレントに生成する手段と、 各２ブロック・エンコーダＩに結合され、各２ブロック・エンコーダＩの各第 ２のエンコーダの前記出力を、各２ブロック・エンコーダＩの前記第１のエンコ ーダへの次の入力としてフィード・バックする手段と を備えたことを特徴とする回路。 ３１．請求項３０記載の回路において、前記出力ビットＩ，Ｊ（Ｊ＝１，２，… ，Ｓ）を生成する前記手段は、 各２ブロック・エンコーダＩの前記第１のエンコーダに結合され、各２ブロッ ク・エンコーダＩの前記第１のエンコーダへの前記入力と前記第２のシードＩ， Ｊ（Ｊ＝１，２，…，Ｓ）とのビットごとのアンドをとる手段と、 ビットごとのアンドをとる前記手段に結合され、ビットごとのアンドをとる前 記手段のパリティを前記出力ビットＩ，Ｊ（Ｊ＝１，２，…，Ｓ）として出力す る手段と を含むことを特徴とする回路。