JPH0990870A

JPH0990870A - 基本変換方法、暗号化方法、基本変換回路および暗号装置

Info

Publication number: JPH0990870A
Application number: JP7249054A
Authority: JP
Inventors: Michio Shimada; 道雄島田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 1995-09-27
Filing date: 1995-09-27
Publication date: 1997-04-04

Abstract

(57)【要約】【課題】多重剰余暗号において、線形変換以外の演算
を不要にすることで、回路規模を小さくするとともに、
データ速度を高速化する。【解決手段】レジスタ１０１は（ｎ＋１）ビット整数
を保持して、保持している整数をセレクタ１０２に供給
する。セレクタ１０２は、入力されたｎビットの平文に
最上位ビットとして論理“０”を付加して得られる（ｎ
＋１）ビット整数と、レジスタ１０１に保持されている
（ｎ＋１）ビット整数のいずれか一方を選択して出力す
る。線形変換回路１０３は、セレクタの出力する整数に
対して線形変換を施して変換結果をレジスタ１０１に供
給する。線形変換回路１０３の出力の最上位ビットは制
御回路１０４にも供給され、線形変換回路１０３の出力
の下位ｎビットは出力端子１０７にも供給されている。
制御回路１０４は、線形変換回路１０３の出力の最上位
ビットに依存して制御フローを選択する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号装置に関し、
特に平文に予め決められた演算を施して暗号文に変換し
たり、暗号文を元の平文に復元する、暗号装置に関す
る。

【０００２】

【従来の技術】一般に通信システムや計算機システムに
おいては、許可されていない者が不正に情報を取得する
ことなどを防止するために、平文に予め決められた演算
を施して暗号文に変換したり、暗号文を元の平文に復元
することが行われている。ここで、平文を暗号文に変換
する操作のことを暗号化と呼び、暗号文を元の平文に復
元することを復号化と呼ぶ。

【０００３】従来から広く知られている秘密鍵暗号に、
多重剰余暗号と呼ばれるものがある。この秘密鍵暗号で
は、下記の数１式で定義される基本変換ＥＬＴ［ａ，
ｂ，ｐ］（ｘ）の組み合わせによって構成される関数に
よって、平文を暗号文に変換する。なお、ここで、平文
とは暗号対象のデータのことであり、暗号文とは暗号化
されたデータのことである。

【０００４】

【数１】ここで、ｐは２ⁿよりも小さな素数で、ａは素数ｐと素
であるような整数で、ｂは予め定められた整数であり、
ｘｏｒはビットごとの排他的論理和を意味する。なお、
数学などで用いられる通常の記法に従えば、ＥＬＴ
［ａ，ｂ，ｐ］ではなく、ＥＬＴ_a,b,pと書くべきだ
が、ここでは便宜的にＥＬＴ［ａ，ｂ，ｐ］という記法
を用いる。また、ｐは法（モジュロ）と呼ばれる。

【０００５】図６に従来の基本変換回路の例を示す。図
示の基本変換回路は、第１の線形変換回路６０１と、第
１のセレクタ６０２と、第１の比較器６０３と、否定回
路６０４と、第２の線形変換回路６０５と、第２のセレ
クタ６０６と、第２の比較器６０７とを有する。また、
基本変換回路は第１乃至第４の入力端子６０８，６０
９，６１０，および６１１と、出力端子６１２とを持
つ。

【０００６】第１の線形変換回路６０１は、データ入力
端６０１_iと、第１乃至第３のパラメータ入力端６０１
_p1，６０１_p2，６０１_p3と、データ出力端６０１_oとを
もつ。第１のセレクタ６０２は第１および第２のデータ
入力端６０２_i1および６０２_i2と、選択入力端６０２_s
と、データ出力端６０２_oとをもつ。第１の比較器６０
３は第１および第２のデータ入力端６０３_i1および６０
３_i2と、比較出力端６０３_cとをもつ。

【０００７】同様に、第２の線形変換回路６０５は、デ
ータ入力端６０５_iと、第１乃至第３のパラメータ入力
端６０５_p1，６０５_p2，６０５_p3と、データ出力端６０
５_oとをもつ。第２のセレクタ６０６は第１および第２
のデータ入力端６０６_i1および６０６_i2と、選択入力端
６０６_sと、データ出力端６０６_oとをもつ。第２の比
較器６０７は第１および第２のデータ入力端６０７_i1お
よび６０７_i2と、比較出力端６０７_cとをもつ。

【０００８】第１の入力端子６０８は、第１および第２
の線形変換回路６０１および６０５の第１のパラメータ
入力端６０１_p1および６０５_p1と、第１および第２の比
較器６０３および６０７の第１のデータ入力端６０３_i1
および６０７_i1に接続されている。第２の入力端子６０
９は、第１の線形変換回路６０１のデータ入力端６０１
_i、第１のセレクタ６０２の第１のデータ入力端６０２
_i、および第１の比較器６０３の第２のデータ入力端６
０３_i2に接続されている。第３の入力端子６１０は、第
１および第２の線形変換回路６０１および６０５の第２
のパラメータ入力端６０１_p2および６０５_p2に接続され
ている。第４の入力端子６１１は、第１および第２の線
形変換回路６０１および６０５の第３のパラメータ入力
端６０１_p3および６０５_p3に接続されている。第１の線
形変換回路６０１のデータ出力端６０１_oは第１のセレ
クタ６０２の第２のデータ入力端６０２_i2に接続されて
いる。第１の比較器６０３の比較出力端６０３_cは第１
のセレクタ６０２の選択入力端６０２_sに接続されてい
る。

【０００９】第１のセレクタ６０２のｎビットの出力信
号のうち、最上位ビットは否定回路６０４で反転され、
その反転されたビットと下位（ｎ−１）ビットは、第２
の線形変換回路６０５のデータ入力端６０５_i、第２の
比較器６０７の第２のデータ入力端６０７_i2、および第
２のセレクタ６０６の第１のデータ入力端６０６_i1に供
給される。第２の線形変換回路６０５のデータ出力端６
０５_oは第２のセレクタ６０６の第２のデータ入力端６
０６_i2に接続されている。第２の比較器６０７の比較出
力端６０７_cは第２のセレクタ６０６の選択入力端６０
６_sに接続されている。第２のセレクタ６０６のデータ
出力端６０６_oは出力端子６１２に接続されている。

【００１０】図６において、第１の入力端子６０８には
第１の変換パラメータとして素数ｐが、第３の入力端子
６１０と第４の入力端子６１１にはそれぞれ第２および
第３の変換パラメータとして整数ａとｂが供給されてい
る。第１の線形変換回路６０１は、第２の入力端子６０
９から入力されるｎビットの整数ｘに対して、線形変換
（ａｘ＋ｂ）（ｍｏｄｐ）を施して、その第１の線形
変換結果を出力する。第１の比較器６０３は素数ｐと整
数ｘの大小を比較して、その第１の比較結果を第１のセ
レクタ６０２に供給する。第１のセレクタ６０２は、ｘ
＜ｐならば、第１の線形変換回路６０１の出力である第
１の線形変換結果を選択して出力し、ｘ≧ｐならば、整
数ｘを選択して出力する。第１のセレクタ６０２の出力
信号は、その最上位ビットが否定回路６０４によって反
転される。

【００１１】最上位ビットが反転された第１のセレクタ
６０２の出力信号を整数ｘ´とすると、整数ｘ´は第２
の線形変換回路６０５、第２のセレクタ６０６、および
第２の比較器６０７に供給される。第２の線形変換回路
６０５は、整数ｘ´に対して、線形変換（ａｘ´＋ｂ）
（ｍｏｄｐ）を施して、その第２の線形変換結果を出
力する。第２の比較器６０７は素数ｐと整数ｘ´の大小
を比較して、その第２の比較結果を第２のセレクタ６０
６に供給する。第２のセレクタ６０６は、ｘ´＜ｐなら
ば、第２の線形変換回路６０５の出力である第２の線形
変換結果を選択して出力し、ｘ´≧ｐならば、整数ｘ´
を選択して出力する。そして、第２のセレクタ６０６の
出力信号が基本変換の変換結果として、出力端子６１２
から出力される。

【００１２】多重剰余暗号は、そのような基本変換の組
み合わせによって構成される関数によって、平文を暗号
文に変換するものである。基本変換の組合せ方法として
は様々なものがあるが、例えば、下記の数２式のように
して平文Ｍを暗号文Ｃに暗号化するようなものがある。

【００１３】

【数２】ここで、ｐ₀，ｐ₁は相異なるｎビットの素数である。
多重剰余暗号では、以上のように、異なる法を用いた基
本変換を組合せることによって、非線形な変換を実現し
ている。

【００１４】なお、多重剰余暗号にもとづく暗号装置に
ついては、特開平６−７５５２５号公報や米国特許第
５，３０１，２３５号明細書に詳しい解説がある。ま
た、暗号文Ｃから平文Ｍを復元するためには、基本変換
の逆変換が必要になるが、これについても、上記公開公
報および上記米国特許明細書に解説がある。多重剰余暗
号の基本変換の場合には、次の数３式を満たすようなａ
´，ｂ´を用いた基本変換ＥＬＴ［ａ´，ｂ´，ｐ］
が、ＥＬＴ［ａ，ｂ，ｐ］の逆変換になることが知られ
ている。

【００１５】

【数３】また、従来から広く知られている秘密鍵暗号に、Data E
ncryption Standard（ＤＥＳ）と呼ばれるものがある。
図７にＤＥＳにもとづく暗号装置の例を示す。図示のＤ
ＥＳ暗号装置は、第１の転置回路４０１と、第１および
第２のレジスタ４０２および４０３と、第１および第２
のセレクタ４０４および４０５と、排他的論理和回路４
０６と、第２の転置回路４１１と、関数ｆ回路７０１
と、制御回路７０２とを有する。ＤＥＳ暗号装置は第１
および第２の入力端子４０９および４１０と、出力端子
４１１をもつ。

【００１６】第１の転置回路４０１は、データ入力端４
０１_iと、第１および第２のデータ出力端４０１₀₁およ
び４０１₀₂とをもつ。第１のレジスタ４０２は、データ
入力端４０２_iと、ラッチ入力端４０２_lと、データ出
力端４０２_oとをもつ。第２のレジスタ４０３は、デー
タ入力端４０３_iと、ラッチ入力端４０３_lと、データ
出力端４０３_oとをもつ。第１のセレクタ４０４は、第
１および第２のデータ入力端４０４_i1および４０４
_i2と、選択入力端４０４_sと、データ出力端４０４_oと
をもつ。第２のセレクタ４０５は、第１および第２のデ
ータ入力端４０５_i1および４０５_i2と、選択入力端４０
５_sと、データ出力端４０５_oとをもつ。排他的論理和
回路４０６は、第１および第２のデータ入力端４０６_i1
および４０６_i2と、データ出力端４０６_oとをもつ。第
２の転置回路４０７は、第１および第２のデータ入力端
４０７_i1および４０７_i2と、データ出力端４０７_oとを
もつ。関数ｆ回路７０１は、データ入力端７０１_iと、
パラメータ入力端７０１_pと、データ出力端７０１_oと
をもつ。制御回路７０２は、制御入力端７０２_iと、第
１乃至第３の制御出力端７０２_o1，７０２₀₂，７０２_o3
とをもつ。

【００１７】第１の入力端子４０９は制御回路７０２の
制御入力端７０２_iに接続されている。第２の入力端子
４１０は第１の転置回路４０１のデータ入力端４０１_i
に接続されている。第１の転置回路４０１の第１および
第２のデータ出力端４０１_o1および４０１_o2はそれぞれ
第１および第２のセレクタ４０４および４０５の第１の
データ入力端４０４_i1および４０５_i2に接続されてい
る。第１および第２のセレクタ４０４および４０５の第
２のデータ入力端４０４_i2および４０５_i2はそれぞれ第
１および第２のレジスタ４０２および４０３のデータ出
力端４０２_oおよび４０３_oに接続されている。

【００１８】第１のセレクタ４０４のデータ出力端４０
４_oは排他的論理和回路４０６の第１のデータ入力端４
０６_i1に接続されている。第２のセレクタ４０５のデー
タ出力端４０５_oは関数ｆ回路７０１のデータ入力端７
０１_iに接続されている。関数ｆ回路７０１のデータ出
力端７０１_oは排他的論理和回路４０６の第２のデータ
入力端４０６_i2に接続されている。

【００１９】排他的論理和回路４０６のデータ出力端４
０６_oは第２のレジスタ４０３のデータ入力端４０３_i
および第２の転置回路４０７の第１のデータ入力端４０
７_i1に接続されている。第２のセレクタ４０５のデータ
出力端４０５_oは、また、第１のレジスタ４０２のデー
タ入力端４０２_iおよび第２の転置回路４０７の第２の
データ入力端４０７_i2に接続されている。第２の転置回
路４０７のデータ出力端４０７_oは出力端子４１１に接
続されている。

【００２０】制御回路７０２の第１乃至第３の制御出力
端７０２_o1〜７０２_o3は、それぞれ、第１および第２の
レジスタ４０２および４０３のラッチ入力端４０２_lお
よび４０３_l、第１および第２のセレクタ４０４および
４０５の選択入力端４０４_sおよび４０５_s、および関
数ｆ回路７０１のパラメータ入力端７０１_pに接続され
ている。

【００２１】図７において、第１の入力端子４０９には
暗号鍵が供給されている。そして、制御回路７０２は、
予め決められたアルゴリズムにもとづいて、この暗号鍵
から関数ｆ回路７０１に供給すべきローカル鍵Ｋ₀，Ｋ
₁，…，Ｋ_r-1を生成する。ここで、定数ｒは一般には
１６である。なお、暗号装置によっては、第１の入力端
子４０９から、直接に、ローカル鍵Ｋ₀，Ｋ₁，…，Ｋ
_r-1が入力されることもある。暗号化を施す２ｎビット
の平文は、第２の入力端子４１０を介して第１の転置回
路４０１に入力される。ここで、ｎは一般には３２であ
る。第１の転置回路４０１は、予め決められた配線によ
って構成され、入力された整数（平文）のビットの位置
を入れ換えたものを出力する。そして、第１の転置回路
４０１の出力信号の上位ｎビットと下位ｎビットは、そ
れぞれ第１および第２のセレクタ４０４および４０５に
供給される。

【００２２】第１のセレクタ４０４は、制御回路７０２
から供給される選択制御信号に依存して、第１の転置回
路４０１の出力信号の上位ｎビットあるいは第１のレジ
スタ４０２の出力信号のいずれかを選択して出力する。
第２のセレクタ４０５は、制御回路７０２から供給され
る選択制御信号に依存して、第１の転置回路４０１の出
力信号の下位ｎビットあるいは第２のレジスタ４０３の
出力信号のいずれかを選択して出力する。第１のセレク
タ４０４の出力信号は、排他的論理和回路４０６に供給
される。第２のセレクタ４０５の出力信号は、関数ｆ回
路７０１と第２の転置回路４０７と第１のレジスタ４０
２に供給される。

【００２３】関数ｆ回路７０１は、制御回路４０９から
供給されるローカル鍵Ｋ_j（ｊ＝０，１，…，ｒ−１）
に基づいて、第２のセレクタ４０５の出力に対して関数
ｆを施して、その関数処理結果を出力する。排他的論理
和回路４０６は、第１のセレクタ４０４の出力信号と関
数ｆ回路７０１の出力信号とのビットごとの排他的論理
和を計算し、計算結果を出力する。排他的論理和回路４
０６の出力信号は第２のレジスタ４０３と第２の転置回
路４０７に供給される。

【００２４】第１のレジスタ４０２は、制御回路７０２
からラッチ制御信号が供給されると、第２のセレクタ４
０５の出力信号を保持して、保持している値を第１のセ
レクタ４０４に供給する。第２のレジスタ４０３は、制
御回路７０２からラッチ制御信号が供給されると、排他
的論理和回路４０６の出力信号を保持して、保持してい
る値を第２のセレクタ４０５に供給する。第２の転置回
路４０７は、予め決められた配線によって構成され、入
力された整数のビットの位置を入れ換えたものを出力す
る。第２の転置回路４０７の出力信号は、出力端子４１
１から出力される。

【００２５】図７に加えて図８を参照して、制御回路７
０２の制御動作について説明する。まず、変数ｊを０と
し（ステップ８０１）、第１の入力端子４０９から暗号
鍵を入力し、予め決められたアルゴリズムにもとづい
て、この暗号鍵からローカル鍵Ｋ₀，Ｋ₁，…，Ｋ_r-1
を生成する（ステップ８０２）。そして、制御回路７０
２は、第１および第２のセレクタ４０４および４０５が
左側（第１のデータ入力端４０４_i1および４０５_i1）の
入力信号を選択して出力するように、第１および第２の
セレクタ４０４および４０５に選択制御信号を送る（ス
テップ８０３）。次に、制御回路７０２はローカル鍵Ｋ
_jを関数ｆ回路７０１に出力する（ステップ８０４）。
次に、制御回路７０２は変数ｊの値を１だけ増やす（ス
テップ８０７）。次に、制御回路７０２は変数ｊが定数
ｒに等しいかどうかを調べる（ステップ８０８）。もし
変数ｊが定数ｒに等しければ（ステップ８０８のＹＥ
Ｓ）、処理を終了し、一方、等しくなければ（ステップ
８０８のＮＯ）、ステップ８０５に制御を移す。ステッ
プ８０５においては、第１および第２のレジスタ４０２
および４０３がそれに入力する入力信号を保持するよう
に、制御回路７０２は第１および第２のレジスタ４０２
および４０３にラッチ制御信号を送る。次に、第１およ
び第２のセレクタ４０４および４０５が右側（第２のデ
ータ入力端４０４_i2および４０５_i2）の入力信号を選択
して出力するように、制御回路７０２は第１および第２
のセレクタ４０４および４０５に選択制御信号を送り
（ステップ８０６）、再び、ステップ８０４に戻って処
理を進める。

【００２６】以上のように制御すれば、処理を終了した
時点で、第２の入力端子４１０に供給されている平文に
対応する暗号文が、出力端子４１１から出力される。

【００２７】図９は、従来のＤＥＳ暗号装置中の関数ｆ
回路７０１を示すブロック図である。図示の関数ｆ回路
７０１は、拡大転置回路９０１と、排他的論理和回路９
０２と、８個のリード・オンリ・メモリ（ＲＯＭ）９０
３と、転置回路９０４とを有する。関数ｆ回路７０１
は、第１および第２の入力端子９０５および９０６と、
出力端子９０７とを持つ。

【００２８】拡大転置回路９０１は、データ入力端９０
１_iと、データ出力端９０１_oとを持つ。排他的論理和
回路９０２は、第１および第２のデータ入力端９０２_i1
および９０２_i2と、データ出力端９０２_oとを持つ。Ｒ
ＯＭ９０３の各々は、データ入力端９０３_iと、データ
出力端９０３_oとを持つ。転置回路９０４は、データ入
力端９０４_iと、データ出力端９０４_oとを持つ。

【００２９】第１の入力端子９０５は排他的論理和回路
９０２の第１のデータ入力端９０２_i1に接続され、第２
の入力端子９０６は拡大転置回路９０１のデータ入力端
９０１_iに接続されている。拡大転置回路９０１のデー
タ出力端９０１_oは排他的論理和回路９０２の第２のデ
ータ入力端９０２_i2に接続されている。排他的論理和回
路９０２のデータ出力端９０２_oは８個のＲＯＭ９０３
のデータ入力端９０３_iに接続されている。８個のＲＯ
Ｍ９０３のデータ出力端９０３_oは転置回路９０４のデ
ータ入力端９０４_iに接続されている。転置回路９０４
のデータ出力端９０４_oは出力端子９０７に接続されて
いる。

【００３０】図９に加えて図７をも参照して、第１の入
力端子９０５はパラメータ入力端７０１_pに相当し、第
２の入力端子９０６はデータ入力端７０１_iに相当し、
出力端子９０７はデータ出力端７０１_oに相当する。第
１の入力端子９０５には制御回路７０２の第３の制御出
力端７０２_o3から変換パラメータＫ_jが供給されてお
り、第２の入力端子９０６には第２のセレクタ４０３の
出力信号が供給されている。また、出力端子９０７の出
力信号が排他的論理和回路４０６の第２のデータ入力端
４０６_i2に供給されている。

【００３１】拡大転置回路９０１は、第２の入力端子９
０６から入力された３２ビットの整数に対して、予め決
められた拡大転置を施し、得られた４８ビットの整数を
排他的論理和回路９０２の第２のデータ入力端９０２に
供給する。ここで、拡大転置とは、ビットの位置を変え
てしかも一部の入力ビットを重複して出力する変換のこ
とであり（ＤＥＳの場合には入力のうち１６ビットが重
複して出力される）、拡大転置回路９０１は予め決めら
れた配線によって構成される。排他的論理和回路９０２
は、第１の入力端子９０５から供給される４８ビットの
変換パラメータ（ローカル鍵）Ｋ_jと、拡大転置回路９
０１から出力される４８ビットの整数との、ビットごと
の排他的論理和を計算し、得られた４８ビットの出力信
号を、６ビットずつ８個のＲＯＭ９０３に供給する。そ
れぞれのＲＯＭ９０３には予めデータが書き込まれてお
り、それぞれのＲＯＭ９０３は、排他的論理和回路９０
２から供給される６ビットの信号をアドレスとして取り
込み、そのアドレスに書き込まれている４ビットのデー
タを出力する。転置回路９０４は８個のＲＯＭ９０８か
ら出力される計３２ビットの信号に対して予め決められ
た転置を施し、その転置結果を出力端子９０７に供給す
る。ここで、転置とは、ビットの位置を変えて出力する
変換のことであり、転置回路９０４は予め決められた配
線によって構成される。

【００３２】また、従来から広く知られている秘密鍵暗
号に、ＤＥＳライク暗号と呼ばれるものがある。ＤＥＳ
ライク暗号とは、装置の基本構成がＤＥＳと同様であ
り、すなわち装置の基本構成が図７と同様であり、関数
ｆ回路７０１だけがＤＥＳと異なるものである。従来の
ＤＥＳライク暗号の関数ｆ回路７０１においては、一般
には、ＤＥＳで使われているものよりも入出力ビット数
の大きなＲＯＭがＲＯＭ９０３として使われていた。例
えば、ＤＥＳにおいては、ＲＯＭ９０３として６ビット
入力４ビット出力のＲＯＭが８個使われるのに対して、
ＤＥＳライク暗号においては、例えば、ＲＯＭ９０３と
して１２ビット入力８ビット出力のＲＯＭが４個使われ
る。入出力の大きなＲＯＭほど複雑な変換が実現できる
ので、ＤＥＳよりも安全な暗号が必要な用途では、しば
しば、そのようなＤＥＳライク暗号が使われていた。

【００３３】なお、ＤＥＳに関しては、例えば、１９８
２年にアジソン・ウェスレイ出版社から刊行されたデニ
ング著「クリプトグラフィー・アンド・データ・セキュ
リティ」（D.E.R. Denning著“Cryptography and Data
Security”，Addison-WesleyPublishing Company, 1982
）の第９０頁から第１０１頁にかけて解説がある。

【００３４】なお、本発明に関連する先行技術として、
特開平４−２７６７８７号公報（以下、先行技術１と呼
ぶ）には、小さな回路規模で、大きな桁の整数の剰余乗
算を、高速に計算可能とする「演算装置」、およびこれ
を利用して、暗号化通信のための暗号化・復号を行なう
「暗号化通信方法」が開示されている。この先行技術１
では、与えられた第１，第２の整数の積を第３の整数で
除算した剰余を演算する演算装置に、値を保持する記憶
手段と、前記第１の整数の各ビットを順次入力して前記
第２の整数に乗じる乗算手段と、前記記憶手段からの入
力と、前記乗算手段からの入力とを加算し、前記記憶手
段の値において前記第３の整数の最大桁を越える部分に
つき、前記第３の整数に対する剰余を求める演算を施
し、その結果を前記記憶手段に出力する演算手段とを具
える。

【００３５】また、特開平２−１５１８９２号公報（以
下、先行技術２と呼ぶ）には、第１の計算装置の最終的
に求めたいべき乗剰余演算の「べき乗」の部分を第２の
計算装置によって行うことにより、高速化を達成し、秘
密データの安全性を保証する「べき乗剰余演算装置」が
開示されている。この先行技術２は、素数ｐと素数ｑの
積ｎを法とし、正整数ｄをべき数として入力ｘのべき乗
剰余演算を行う装置で、第１の計算装置は最終的に求め
たい法ｎ上のべき乗剰余演算を法ｐと法ｑ上の演算に分
割して、それぞれを第２の計算装置に計算してもらう。
第２の計算装置はｎの素因数ｐ，ｑを知らないので第１
の計算装置から与えらたデータより第１の計算装置のＩ
Ｃカードの秘密の情報を得ることは困難である。第１の
計算装置は第２の計算装置に計算してもらった２つのデ
ータを中国人の剰余定理を用いて結合して所望の結果を
得る。これによりＩＣカード側の演算が高速化され、ト
ータルの暗号化時間が短縮される。

【００３６】さらに、特開昭６３−１２９３８８号公報
（以下、先行技術３と呼ぶ）には、指数がある一定の桁
数より大きく設定されている場合に特定の大きな指数に
対する既知のべき乗剰余値の補正値を計算することによ
り、べき乗剰余演算を高速に行なうことができるように
した「ＲＡＳ暗号の復号化装置」が開示されている。こ
の先行技術３では、第１のレジスタは素数ｐ，ｑの積を
法ｎとしてセットし、第２のレジスタは被べき乗数ａを
セットし、フラグレジスタは法ｎと被べき乗数Ａとを互
いに素である時フラグ１を立てておく。第３のレジスタ
は指数ｄをセットし、第４のレジスタは｛（ｐ−１）
（ｑ−１）−ｄ｝に法ｎで合同な指数ｄ´をセットす
る。まず、入力データａ、法ｎ、指数ｄ、入力データａ
と法ｎとの最小公約数が１のときの指数ｄ´、最大公約
数が１かどうかを示すフラグＦＬＧを初期設定する。次
にフラグＦＬＧが１の場合には、指数ｄ´を用いたべき
乗剰余の計算を行なった後、その出力値ｘ´の乗法的逆
元−ｘ´の計算を実行して、この−ｘ´を入力データａ
の復号化出力とする。これにより、べき乗剰余計算の乗
除算回数が減少し、高速にＲＳＡ暗号の復号化処理を行
なうことができる。

【００３７】

【発明が解決しようとする課題】従来の多重剰余暗号に
おいては、次に述べるような問題点がある。第１の問題
点は、基本変換ＥＬＴを小規模な回路で高速に処理でき
ないということである。その理由は、１回の基本変換Ｅ
ＬＴにつき、平均で１〜２回の線形変換に加え、２回の
比較を行わなければならないからである。

【００３８】第２の問題点は、従来の多重剰余暗号にお
いては、基本変換ＥＬＴの攪拌効果が十分でないという
ことである。すなわち、ＥＬＴ［ａ，ｂ，ｐ］の入力と
素数ｐとの大小関係と、ＥＬＴ［ａ，ｂ，ｐ］の出力と
素数ｐとの大小関係との間に相関が出てしまうというこ
とである。その理由は、入力と素数ｐとの大小関係や中
間結果と素数ｐとの大小関係に依存して、ＥＬＴ［ａ，
ｂ，ｐ］において行なわれる処理の仕方が変わるからで
ある。

【００３９】第３の問題点は、従来のＤＥＳライク暗号
の安全性を高めようとすると、装置規模が大きくなると
いうことである。というのも、ＤＥＳライク暗号の安全
性を高めるには、入出力ビット数の大きなリード・オン
リ・メモリ（ＲＯＭ）が必要だからである。

【００４０】尚、先行技術１は、剰余演算の繰り返しに
よって、べき乗剰余演算を実現する技術を開示するだけ
であり、本発明が対象とする多重剰余暗号とは変換の仕
方が異なる。先行技術２も先行技術１と同様に、べき乗
剰余演算装置を開示するだけであり、本発明のものとは
変換の仕方が異なる。先行技術３は、べき乗剰余計算を
行って暗号文から復号文を復号する復号化装置に関する
技術を開示するだけで、本発明のものとは変換の仕方が
異なる。すなわち、先行技術１〜３のいずれも、べき乗
剰余演算に基づく暗号化および復号化に関する技術を開
示するだけである。

【００４１】本発明は、線形変換だけにもとづく攪拌効
果の大きな基本変換を実現することで、以上の問題点を
解決して、構成が簡単で、高速で動作し、安全な暗号化
方法および暗号装置を提供することを目的とする。

【００４２】

【課題を解決するための手段】本発明による暗号装置
は、（ｎ＋１）ビットの整数を保持するレジスタと、入
力されたｎビットの平文に最上位ビットとして論理
“０”を付加して得られる（ｎ＋１）ビットの整数と前
記レジスタに保持されている（ｎ＋１）ビットの整数の
いずれか一方を出力するセレクタと、このセレクタの出
力する（ｎ＋１）ビトの整数に対して所定の線形変換を
施して変換結果を前記レジスタに供給する線形変換回路
とから成る変換部と、前記線形変換回路の出力信号の最
上位ビットに依存して制御フローを選択し、選択した制
御フローに従って前記レジスタと前記セレクタと前記線
形変換回路に制御信号を供給する制御回路とを具備し、
線形変換回路の出力信号が２_nよりも小さくなるまで同
じ法について線形変換を繰り返すことを特徴とする。

【００４３】ただし、ＤＥＳライク暗号装置の関数ｆ回
路として、上記暗号装置の変換部を用いる場合には、線
形変換の繰り返しを予め決められた回数で打ち切っても
良い。

【００４４】

【作用】ブロック暗号においては、整数の集合｛０，
…，２ⁿ−１｝から整数の集合｛０，…，２ⁿ−１｝の
上への１対１変換が基本変換として使われる。ここで、
ｎは整数である。このため、ｐを素数とするような線形
変換（ａｘ＋ｂ）（ｍｏｄｐ）は、ブロック暗号の基本
変換としては使えない。なぜなら、線形変換（ａｘ＋
ｂ）（ｍｏｄｐ）は、ａとｐが互いに素ならば、整数
の集合｛０，…，ｐ−１｝から整数の集合｛０，…，ｐ
−１｝の上への１対１変換であるが、ｐは２ⁿと等しく
ないからである。もっとも、ブロック暗号の基本変換と
して使えるような変換を線形変換（ａｘ＋ｂ）（ｍｏｄ
ｐ）から導くことは可能である。その方法としては、
例えば、前述の多重剰余暗号で使われているような手法
である。

【００４５】さて、従来の多重剰余暗号では、線形変換
の定義域と値域を拡大することで、ブロック暗号の基本
変換を導いていた。従って、逆に、２ⁿよりも大きな整
数を法ｐとして用い（注：通常はｐとして素数が選ばれ
るが、素数でなくとも構わない）、線形変換の定義域と
値域の一部分だけを使うことで、ブロック暗号の基本変
換を導くことも考えられる。すなわち、線形変換ｙ＝
（ａｘ＋ｂ）（ｍｏｄｐ）によってｘが２ⁿ以上の値ｙ
に変換されたならば、そのｙを何らかの方法で２ⁿより
小さな値に置き換えることで、整数の集合｛０，…，２
ⁿ−１｝から整数の集合｛０，…，２ⁿ−１｝の上への
１対１変換を実現することも考えられる。

【００４６】問題は、そういった置き換えを行う方法で
ある。リード・オンリ・メモリ（ＲＯＭ）を使って置き
換えを行うのでは、ｎが大きくなるとメモリ容量が大き
くなり過ぎて実用的でない。そこで本発明では、線形変
換ｙ＝（ａｘ＋ｂ）（ｍｏｄｐ）の変換結果ｙが２ⁿ以
上であったら、ｙが２ⁿよりも小さくなるまで線形変換
ｙ＝（ａｙ＋ｂ）（ｍｏｄｐ）を繰り返して、最終的
に得られたｙの値で元のｙの値を置き換えることにし
た。もし、線形変換（ａｘ＋ｂ）（ｍｏｄｐ）が１対
１の変換で、漸化式ｘ_j+1＝（ａｘ_j＋ｂ）（ｍｏｄ
ｐ）によって生成される擬似乱数系列ｘ₁，ｘ₂，…の
最大周期がＬが、最大周期を与える擬似乱数系列中に出
現しない（２ⁿ−Ｌ）個の整数ｘのすべてが、線形変換
（ａｘ＋ｂ）（ｍｏｄｐ）によって２ⁿよりも小さな
整数に変換されるように、変換パラメータａ，ｂ，ｐを
選んでおけば、以上で述べた操作によって、整数の集合
｛０，…，２ⁿ−１｝から整数の集合｛０，…，２ⁿ−
１｝の上への１対１変換が得られる。このことは具体例
で考えてみると良く分かる。例えば、線形変換ｙ＝５ｘ
（ｍｏｄ７）において以上で述べた操作を行うと、整
数の集合｛０，１，２，３（＝２²−１）｝から整数の
集合｛０，１，２，３｝の上への１対１変換が得られる
が、線形変換ｙ＝５ｘ（ｍｏｄ７）は１対１であり、
漸化式ｘ_j+1＝５ｘ_j（ｍｏｄ７）によって生成され
る擬似乱数系列の最大周期は６で、最大周期を与える擬
似乱数系列１，５，４，６，２，３，…には０が出現し
ていないが、０は線形変換ｙ＝５ｘ（ｍｏｄ７）によ
って０に写されている。

【００４７】

【発明の実施の形態】以下、本発明の実施形態について
図面を参照して詳細に説明する。

【００４８】図１に本発明の第１の実施形態による暗号
装置を示す。図示の暗号装置は、基本変換回路として
も、暗号装置としても機能する。図示の暗号装置は、レ
ジスタ１０１、セレクタ１０２および線形変換回路１０
３から成る変換部１００と、制御回路１０４とを有す
る。暗号装置は、第１および第２の入力端子１０５およ
び１０６と、出力端子１０７とを持つ。

【００４９】レジスタ１０１は、（ｎ＋１）本のデータ
入力端１０１_iと、ラッチ入力端１０１_lと、（ｎ＋
１）本のデータ出力端１０１_oとをもつ。セレクタ１０
２は、各々が（ｎ＋１）本の第１および第２のデータ入
力端１０２_i1および１０２_i2と、選択入力端１０２
_sと、（ｎ＋１）本のデータ出力端１０２_oとをもつ。
線形変換回路１０３は、（ｎ＋１）本のデータ入力端１
０３_iと、パラメータ入力端１０３_pと、（ｎ＋１）本
のデータ入力端１０３_oとをもつ。制御回路１０４は、
第１および第２の制御入力端１０４_i1および１０４
_i2と、第１乃至第３の制御出力端１０４_o1，１０４₀₂，
および１０４_o3とをもつ。

【００５０】第１の入力端子１０５は制御回路１０４の
第１の制御入力端１０４_i1に接続されている。第２の入
力端子１０６はセレクタ１０２の第１のデータ入力端１
０２_i1の下位ｎ本に接続されている。セレクタ１０２の
第１のデータ入力端１０２_i1の最上位の１本には論理
“０”の信号が供給されている。セレクタ１０２の第２
のデータ入力端１０２_i2はレジスタ１０１のデータ出力
端１０１_oに接続されている。セレクタ１０２のデータ
出力端１０２_oは線形変換回路１０３のデータ入力端１
０３_iに接続されている。線形変換回路１０３のデータ
出力端１０３_oはレジスタ１０１のデータ入力端１０１
_iに接続されると共に、そのデータ出力端１０３_oの下
位ｎ本は出力端子１０７に接続され、最上位の１本は制
御回路１０４の第２の制御入力端１０４_i2に接続されて
いる。制御回路１０４の第１乃至第３の制御出力端１０
４_o1〜１０４_o3は、それぞれレジスタ１０１のラッチ入
力端１０１_l、セレクタ１０２の選択入力端１０２_s、
および線形変換回路１０３のパラメータ入力端１０３_p
に接続されている。

【００５１】次に、図１に示した暗号装置の動作につい
て説明する。第１の入力端子１０５には変換パラメータ
が供給されている。変換を施すｎビットの入力整数（平
文）は、第２の入力端子１０６を介してセレクタ１０２
の第１のデータ入力端１０２_i1に入力される。ただし、
入力整数（平文）がセレクタ１０２に入力される際に
は、入力整数（平文）に最上位ビットとして論理“０”
が付け加えられて、（ｎ＋１）ビットの整数に変換され
てセレクタ１０２の第１のデータ入力端１０２_i1 に入力
される。セレクタ１０２の第２のデータ入力端１０２_i2
にはレジスタ１０１の出力信号が供給されている。セレ
クタ１０２は、制御回路１０４の第２の制御出力端１０
４_o2から選択入力端１０４_sに供給される選択制御信号
に依存して、上記（ｎ＋１）ビットの整数あるいはレジ
スタ１０１の出力信号のいずれかを選択して出力する。
セレクタ１０２の出力信号は線形変換回路１０３のデー
タ入力端１０３_iに供給される。線形変換回路１０３
は、制御回路１０４の第３の制御出力端１０４_o3からパ
ラメータ入力端１０３_pに供給される線形変換のパラメ
ータに基づいて、セレクタ１０３の出力信号に対して線
形変換を施して、その変換結果を出力する。レジスタ１
０１は、制御回路１０４の第１の制御出力端１０４_o1か
らラッチ入力端１０１_lにラッチ制御信号が供給される
と、線形変換回路１０３の出力信号を保持して、保持し
ている値をセレクタ１０２の第２のデータ入力端１０２
_i2に供給する。なお、線形変換回路１０３の出力信号の
うち、最上位ビット（ＭＳＢ）は制御回路１０４の第２
の制御入力端１０４_i2にも供給されており、下位ｎビッ
トは出力端子１０７にも供給されている。

【００５２】図１に示した暗号装置を基本変換回路とし
て機能させる場合には、制御回路１０４は、図２に示す
フローチャートに従って制御を行う。まず、制御回路１
０４は第１の入力端子１０５から変換パラメータａ，
ｂ，ｐを入力する（ステップ２０１）。セレクタ１０２
が左側（第１のデータ入力端１０２_i1）の入力信号を選
択して出力するように、制御回路１０４はセレクタ１０
２に選択制御信号を送る（ステップ２０２）。制御回路
１０４は変換パラメータａ，ｂ，ｐを線形変換回路１０
３に出力する（ステップ２０３）。

【００５３】次に、制御回路１０４は線形変換回路１０
３の出力信号の最上位ビット（ＭＳＢ）を調べる（ステ
ップ２０４）。この最上位ビット（ＭＳＢ）が“０”で
あれば（ステップ２０４のＮＯ）、処理を終了する。一
方、この最上位ビット（ＭＳＢ）が“１”であれば（ス
テップ２０４のＹＥＳ）、ステップ２０５に処理を進め
る。ステップ２０５においては、レジスタ１０１が線形
変換回路１０３の出力信号を保持するように、制御回路
１０４はレジスタ１０１にラッチ制御信号を送る（ステ
ップ２０５）。次に、セレクタ１０２が右側（第２のデ
ータ入力端１０２_i2）の入力信号を選択して出力するよ
うに、制御回路１０４はセレクタ１０２に選択制御信号
を送り（ステップ２０６）、ステップ２０４の処理に戻
る。

【００５４】以上のように制御すれば、処理を終了した
時点で、第２の入力端子１０６に供給されている入力整
数に対応する基本変換の変換結果（出力整数）が、出力
端子１０７から出力される。

【００５５】また、図１に示した暗号装置を暗号装置と
して機能させる場合には、制御回路１０４は、図３に示
すフローチャートに従って制御を行う。まず、制御回路
１０４は変数ｊを０とする（ステップ３０１）。制御回
路１０４は第１の入力端子１０５から変換パラメータ
ａ，ｂ，ｍ（≧２），ｐ₀，…，ｐ_m-1を入力する（ス
テップ３０２）。セレクタ１０２が左側（第１のデータ
入力端１０２_i1）の入力信号を選択して出力するよう
に、制御回路１０４はセレクタ１０２に選択制御信号を
送る（ステップ３０３）。次に、制御回路１０４は変換
パラメータａ，ｂ，ｐ_jを線形変換回路１０３に出力す
る（ステップ３０４）。

【００５６】次に、制御回路１０４は線形変換回路１０
３の出力信号の最上位ビット（ＭＳＢ）を調べる（ステ
ップ３０５）。この最上位ビット（ＭＳＢ）が“０”で
あれば（ステップ３０５のＮＯ）、ステップ３０８に処
理を進める。一方、この最上位ビット（ＭＳＢ）が
“１”であれば（ステップ３０５のＹＥＳ）、ステップ
３０６に処理を進める。ステップ３０６においては、レ
ジスタ１０１が線形変換回路１０３の出力信号を保持す
るように、制御回路１０４はレジスタ１０１にラッチ制
御信号を送る。次に、セレクタ１０２が右側（第２のデ
ータ入力端１０２_i2）の入力信号を選択して出力するよ
うに、制御回路１０４はセレクタ１０２に選択制御信号
を送り（ステップ３０７）、再び、ステップ３０５の処
理に戻る。

【００５７】ステップ３０８においては、制御回路１０
４は変数ｊの値を１だけ増やす。次に、制御回路１０４
は変数ｊがｍに等しいかどうかを調べる（ステップ３０
９）。もし変数ｊがｍに等しければ（ステップ３０９の
ＹＥＳ）、制御回路１０４は処理を終了する。一方、変
数ｊがｍに等しくなければ（ステップ３０９のＮＯ）、
制御回路１０４はステップ３０４に制御を移す。

【００５８】以上のように制御すれば、処理を終了した
時点で、第２の入力端子１０６に供給されている平文に
対応する暗号文が、出力端子１０７から出力される。

【００５９】図４に本発明の第２の実施形態による暗号
装置を示す。図示の暗号装置は、ＤＥＳライク暗号装置
であり、関数ｆ回路７０１として図１に示す暗号装置の
変換部１００を用いている。以下では、図７のものと相
違する点についてのみ説明する。ここでは、変換部１０
０中のレジスタ１０１およびセレクタ１０２をそれぞれ
第３のレジスタおよび第３のセレクタと呼ぶことにす
る。

【００６０】制御回路４０８は、第１および第２の制御
入力端４０８_i1および４０８_i2と、第１乃至第５の制御
出力端４０８_o1，４０８_o2，４０８_o3，４０８_o4，４０
８_o5とを持つ。第１の制御入力端４０８_i1は第１の入力
端子４０９に接続されている。第２の制御入力端４０８
_i2は線形変換回路１０３のデータ出力端１０３_o中の最
上位の１本が接続されている。第１の制御出力端４０８
_o1は第１および第２のレジスタ４０２および４０３のラ
ッチ入力端４０２_lおよび４０３_lに接続されている。
第２の制御出力端４０８_o2は第１および第２のセレクタ
４０４および４０５の選択入力端４０４_sおよび４０５
_sに接続されている。第３の制御出力端４０８_o3は第３
のレジスタ１０１のラッチ入力端１０１_lに接続されて
いる。第４の制御出力端４０８_o4は第３のセレクタ１０
２の選択入力端１０２_sに接続されている。第５の制御
出力端４０８_o5は線形変換回路１０３のパラメータ入力
端１０３_pに接続されている。

【００６１】また、第２のセレクタ４０５のデータ出力
端４０５は第３のセレクタ１０２の第１のデータ入力端
１０２_i1の下位ｎ本に接続されている。線形変換回路１
０３のデータ出力端１０３_oの下位ｎ本は排他的論理和
回路４０６の第２のデータ入力端４０６_i2に接続されて
いる。

【００６２】次に、図４に示したＤＥＳライク暗号装置
の動作について説明する。第１の入力端子４０９には変
換パラメータａ，ｂ，ｍ，ｒ，ｐ₀，…，ｐ_mr-1が供給
されている。暗号化を施す２ｎビットの平文（入力整
数）ゆうは第２の入力端子４１０を介して第１の転置回
路４０１のデータ入力端４０１_iに入力される。第１の
転置回路４０１は予め決められた配線によって構成さ
れ、入力された平文のビットの位置を入れ換えたものを
出力する。そして、第１の転置回路４０１の出力信号の
上位ｎビットと下位ｎビットは、それぞれ第１および第
２のデータ出力端４０１_o1および４０１_o2から第１およ
び第２のセレクタ４０４および４０５の第１のデータ入
力端４０４_i1および４０５_i2に供給される。第１のセレ
クタ４０４は、制御回路４０８の第２の制御出力端４０
８_o2から選択入力端４０４_sに供給される選択制御信号
に依存して、第１の転置回路４０１の出力信号の上位ｎ
ビットあるいは第１のレジスタ４０２の出力信号のいず
れかを選択して出力する。第２のセレクタ４０５は、制
御回路４０８の第２の制御出力端４０８_o2から選択入力
端４０５_sに供給される第１の選択制御信号に依存し
て、第１の転置回路４０１の出力信号の下位ｎビットあ
るいは第２のレジスタ４０３の出力信号のいずれかを選
択して出力する。第１のセレクタ４０４の出力信号は、
データ出力端４０４_oから排他的論理和回路４０６の第
１のデータ入力端４０６_i1に供給される。第２のセレク
タ４０５の出力信号は、データ出力端４０５_oから第３
のセレクタ１０２の第１のデータ入力端１０２_i2の下位
ｎ本と、第２の転置回路４０７の第２のデータ入力端４
０７_i2と第１のレジスタ４０２のデータ入力端４０２_i
とに供給される。ただし、第２のセレクタ４０５の出力
信号が第３のセレクタ１０２に入力される際には、第２
のセレクタ４０５の出力信号（整数）に最上位ビットと
して論理“０”が付け加えられて、（ｎ＋１）ビットの
整数に変換される。

【００６３】第３のセレクタ１０２は、制御回路４０８
の第４の制御出力端４０８_o4から供給される第２の選択
制御信号に依存して、第２のセレクタ４０５の出力信号
に対応する（ｎ＋１）ビットの整数あるいはレジスタ１
０１の出力信号のいずれかを選択して出力する。第３の
セレクタ１０２の出力信号は、データ出力端１０２_oか
ら線形変換回路１０３のデータ入力端１０３_iに供給さ
れる。線形変換回路１０３は、制御回路４０８の第５の
制御出力端４０８_o5からパラメータ入力端１０３_pに供
給される線形変換のパラメータにもとづいて、第３のセ
レクタ１０２の出力信号に対して線形変換を施して、そ
の変換結果を出力する。第３のレジスタ１０１は、制御
回路４０８の第３の制御出力端４０８_o3からラッチ入力
端１０１_lに第２のラッチ制御信号が供給されると、線
形変換回路１０３の出力信号を保持して、保持している
値を第３のセレクタ１０２の第２のデータ入力端１０２
_i2に供給する。なお、線形変換回路１０３の出力信号の
うち、最上位ビット（ＭＳＢＶ）は制御回路４０８の第
２の制御入力端４０８_i2にも供給されており、下位ｎビ
ットは排他的論理和回路４０６の第２のデータ入力端４
０６_i2にも供給されている。

【００６４】排他的論理和回路４０６は、第１のセレク
タ４０４の出力信号と線形変換回路１０３の出力信号の
下位ｎビットとのビットごとの排他的論理和を計算し、
計算結果を出力する。排他的論理和回路４０６の出力信
号は、第２のレジスタ４０３のデータ入力端４０３_iと
第２の転置回路４０７の第１のデータ入力端４０７_i1に
供給される。第１のレジスタ４０２は、制御回路４０８
の第１の制御出力端４０８_o1からラッチ入力端４０２_l
に第１のラッチ制御信号が供給されると、第２のセレク
タ４０５の出力信号を保持して、保持している値を第１
のセレクタ４０４のデータ入力端４０４_ｉに供給する。
第２のレジスタ４０３は、制御回路４０８の第１の制御
出力端４０８_o1からラッチ入力端４０３_lに第１のラッ
チ制御信号が供給されると、排他的論理和回路４０６の
出力信号を保持して、保持している値を第２のセレクタ
４０５のデータ入力端４０５_iに供給する。第２の転置
回路４０７は、予め決められた配線によって構成され、
入力された整数のビットの位置を入れ換えたものを出力
する。転置回路４０７の出力信号は、出力端子４１１か
ら暗号文（出力整数）として出力される。

【００６５】制御回路４０８は、図５に示すフローチャ
ートに従って制御を行う。まず、制御回路４０８は変数
ｊを０とする（ステップ５０１）。制御回路４０８は第
１の入力端子４０９から変換パラメータａ，ｂ，ｍ（≧
２），ｒ（≧２），ｐ₀，…，ｐ_mr-1を入力する（ステ
ップ５０２）。第１および第２のセレクタ４０４および
４０５が左側（第１のデータ入力端４０４_i1および４０
５_i1）の入力信号を選択して入力して出力するように、
制御回路４０８は第２の制御出力端４０８_o2から第１お
よび第２のセレクタ４０４および４０５の選択入力端４
０４_sおよび４０５_sに第１の選択制御信号を送る（ス
テップ５０３）。次に、第３のセレクタ１０２が左側
（第１のデータ入力端１０２_i1）の入力信号を選択して
出力するように、制御回路４０８は第４の制御出力端４
０８_o4からセレクタ１０２の選択入力端１０２_sに第２
の選択制御信号を送る（ステップ５０４）。次に、制御
回路４０８は第５の制御出力端４０８_o5から変換パラメ
ータａ，ｂ，ｐ_jを線形変換回路１０３のパラメータ入
力端１０３_pに出力する（ステップ５０５）。次に、制
御回路４０８は線形変換回路１０３の出力信号の最上位
ビット（ＭＳＢ）を調べる（ステップ５０６）。この最
上位ビット（ＭＳＢ）が論理“０”であれば（ステップ
５０６のＮＯ）、ステップ５１２に処理を進め、この最
上位ビット（ＭＳＢ）が論理“１”であれば（ステップ
５０６のＹＥＳ）、ステップ５０７に処理を進める。

【００６６】ステップ５０７において、第３のレジスタ
１０１が線形変換回路１０３の出力信号を保持するよう
に、制御回路４０８は第３の制御出力端４０８_o3から第
３のレジスタ１０１のラッチ入力端１０１_lに第２のラ
ッチ制御信号を送る。次に、第３のセレクタ１０２が右
側（第２のデータ入力端１０２_i2）の入力信号を選択し
て出力するように、制御回路４０８は第４の制御出力端
４０８_o4から第３のセレクタ１０２の選択入力端１０２
_sに第２の選択制御信号を送り（ステップ５０８）、再
びステップ５０６に処理を戻す。

【００６７】一方、ステップ５１２においては、制御回
路４０８は変数ｊの値を１だけ増やす。次に、制御回路
４０８は変数ｊがｍ×ｒに等しいかどうかを調べる（ス
テップ５１３）。もし、変数ｊがｍ×ｒに等しければ
（ステップ５１３のＹＥＳ）、制御回路４０８は処理を
終了する。一方、変数ｊがｍ×ｒに等しくなければ（ス
テップ５１３のＮＯ）、制御回路４０８はステップ５０
９に制御を移す。ステップ５０９においては、制御回路
４０８はｊ（ｍｏｄｍ）が０かどうかを調べる。も
し、ｊ（ｍｏｄｍ）が０であれば（ステップ５０９の
ＹＥＳ）、制御回路４０８はステップ５１０に処理を進
める。一方、ｊ（ｍｏｄｍ）が０でなければ（ステッ
プ５０９のＮＯ）、制御回路４０８はステップ５０５に
処理を戻す。ステップ５１０において、第１および第２
のレジスタ４０２および４０３がそれに入力する入力信
号を保持するように、制御回路４０８は第１の制御出力
端４０８_o1から第１および第２のレジスタ４０２および
４０３のラッチ入力端４０２_lおよび４０３_lにラッチ
制御信号を送る。次に、第１および第２のセレクタ４０
４および４０５が右側（第２のデータ入力端４０４_i2お
よび４０５_i2）の入力信号を選択して出力するように、
制御回路４０８は第２の制御出力端４０８_o2から第１お
よび第２のセレクタ４０４および４０５の選択入力端４
０４_sおよび４０５_sに第１の選択制御信号を送り（ス
テップ５１１）、再び、ステップ５０４に処理を戻す。

【００６８】以上のように制御すれば、処理を終了した
時点で、第２の入力端子４１０に供給されている平文に
対応する暗号文が出力端子４１１から出力される。

【００６９】なお、図５に示す制御手順においては、線
形変換回路１０３の出力信号の最上位ビットが論理
“０”になるまで、ステップ５０８からステップ５０６
に制御を移しているが、制御が移される回数が予め決め
られた一定値以上になったら、強制的にステップ５０８
からステップ５１２に制御を移しても良い。何故なら、
ＤＥＳライク暗号装置においては、関数ｆが１対１でな
くとも、平文と暗号文とが１対１に対応するからであ
る。

【００７０】

【発明の効果】このような構成により、本発明は次の効
果を奏する。

【００７１】第１の効果は、回路規模が小さくて済むと
いうことである。これにより、暗号装置を低コストで実
現できるようになる。その理由は、線形変換回路以外の
演算回路が不要だからである。

【００７２】第２の効果は、基本変換１回につき実行さ
れる線形変換の回数の平均値が小さくて済むということ
である。こにより、高速で動作する暗号装置が実現でき
る。というのも、法ｐの値に２ⁿに近付けることで、基
本変換１回につき実行される線形変換の回数の平均値を
１に近づけられるからである。

【００７３】第３の効果は、本発明の暗号装置の変換部
をＤＥＳライク暗号装置の関数ｆ回路として使用するこ
とで、入出力ビット数の大きなリード・オンリ・メモリ
（ＲＯＭ）が不要になるのはもちろん、装置規模を大き
くしなくとも安全性が高められるということである。な
ぜならば、本装置の暗号装置においては、装置に変更を
加えなくとも、基本変換を繰り返す回数を増やすだけ
で、より複雑な暗号化が行われるからである。

【００７４】第４の効果は、本発明の暗号装置の変換部
をＤＥＳライク暗号装置の関数ｆ回路として使用する場
合には、基本変換１回につき実行される線形変換の回数
を一定値以下に制限することで、基本変換１回につき実
行される線形変換の回数の平均値をさらに小さくできる
ということである。これにより、さらに高速で動作する
ＤＥＳライク暗号装置が実現できる。というのも、ＤＥ
Ｓライク暗号においては、関数ｆ回路が１対１の変換を
行うものでなくとも、平文と暗号文とが１対１に対応す
るからである。

【図面の簡単な説明】

【図１】本発明の第１の実施形態による暗号装置を示す
機能ブロック図である。

【図２】図１に示した暗号装置を基本変換回路として使
用した場合の動作を説明するフローチャートである。

【図３】図１に示した暗号装置を暗号装置として使用し
た場合の動作を説明するフローチャートである。

【図４】本発明の第２の実施形態による暗号装置（ＤＥ
Ｓライク暗号装置）を示す機能ブロック図である。

【図５】図４に示した暗号装置の動作を説明するフロー
チャートである。

【図６】従来の基本変換回路を示す機能ブロック図であ
る。

【図７】従来のＤＥＳにもとづく暗号装置を示す機能ブ
ロック図である。

【図８】図７に示したＤＥＳ暗号装置の動作を説明する
フローチャートである。

【図９】従来のＤＥＳ暗号装置中の関数ｆ回路を示す機
能ブロック図である。

【符号の説明】

１０１，４０２，４０３レジスタ１０２，４０４，４０５，６０２，６０６セレクタ１０３，６０１，６０５線形変換回路１０４，４０８制御回路４０１，４０７転置回路４０６排他的論理和回路６０３，６０７比較器６０４否定回路７０１関数ｆ回路

Claims

【特許請求の範囲】

【請求項１】ビット長ｎの入力信号を、２ⁿより大き
な法をｐとして出力信号に変換する方法であって、前記
入力信号に対して変換結果が２ⁿより小さくなるまで、
所定の線形変換を繰り返し、最後に得られた変換結果を
前記出力信号として出力する基本変換方法。
【請求項２】ｘを前記入力信号または変換結果、ａを
ｐと素である整数、ｂを予め決められた整数としたと
き、前記所定の線形変換は（ａｘ＋ｂ）（ｍｏｄｐ）
で表される、請求項１記載の基本変換方法。
【請求項３】請求項１または２記載の基本変換方法を
組み合わせてなる暗号化方法。
【請求項４】ｎビットの入力整数をｎビットの出力整
数に変換する基本変換回路において、（ｎ＋１）ビットの整数を保持するレジスタと、前記入力整数に最上位ビットとして論理“０”を付加し
て得られる（ｎ＋１）ビットの整数と、前記レジスタに
保持された（ｎ＋１）ビットの整数のいずれか一方を選
択して出力するセレクタと、該セレクタの出力する整数に対して所定の線形変換を施
して変換結果を前記レジスタに供給する線形変換回路
と、該線形変換回路の出力する変換結果の最上位ビットに依
存して制御フローを選択し、選択された制御フローに従
って前記レジスタと前記セレクタと前記線形変換回路と
に制御信号を供給する制御回路とを具備し、前記制御回路が制御を終了した時点の前記線形変換回路
の変換結果の下位ｎビットを前記出力整数として出力す
る基本変換回路。
【請求項５】ｘを前記セレクタの出力する整数、ｐを
２ⁿより大きな法、ａをｐと素である整数、ｂを予め決
められた整数としたとき、前記所定の線形変換は（ａｘ
＋ｂ）（ｍｏｄｐ）で表される、請求項４記載の基本
変換回路。
【請求項６】前記制御回路は、ａ、ｂおよびｐを変換
パラメータとして入力し、前記入力整数に最上位ビット
として論理“０”を付加した（ｎ＋１）ビットの整数を
前記セレクタに選択させ、前記変換パラメータを前記線
形変換回路に出力し、前記変換結果の最上位ビットが論
理“１”の間は、前記レジスタに前記変換結果を保持さ
せると共に前記レジスタに保持された整数を前記セレク
タに選択させ、前記変換結果の最上位ビットが論理
“０”のときに前記制御を終了する、請求項５記載の基
本変換回路。
【請求項７】ｎビットの平文をｎビットの暗号文に変
換する暗号装置において、（ｎ＋１）ビットの整数を保持するレジスタと、前記平文に最上位ビットとして論理“０”を付加して得
られる（ｎ＋１）ビットの整数と、前記レジスタに保持
されている（ｎ＋１）ビットの整数のいずれか一方を選
択して出力するセレクタと、該セレクタの出力する整数に対して所定の線形変換を施
して変換結果を前記レジスタに供給する線形変換回路
と、該線形変換回路の出力する変換結果の最上位ビットに依
存して制御フローを選択し、選択された制御フローに従
って前記レジスタと前記セレクタと前記線形変換回路に
制御信号を供給する制御回路とを具備し、前記制御回路が制御を終了した時点の前記線形変換回路
の変換結果の下位ｎビットを前記暗号文として出力する
暗号装置。
【請求項８】ｘを前記セレクタの出力する整数、ｍを
２以上の整数、ｐ₀，…，ｐ_m-1を２ⁿより大きな法、
ａをｐ_j（０≦ｊ≦ｍ−１）と素である整数、ｂを予め
決められた整数としたとき、前記所定の線形変換は（ａ
ｘ＋ｂ）（ｍｏｄｐ_j）で表される、請求項７記載の
暗号装置。
【請求項９】前記制御回路は、変数ｊを０に初期設定
し、ａ、ｂ、ｍおよびｐ₀，…，ｐ_m-1を変換パラメー
タとして入力し、前記平文に最上位ビットとして論理
“０”を付加して得られた（ｎ＋１）ビットの整数を前
記セレクタに選択させ、ａ，ｂ，ｐ_jを前記線形変換回
路に出力し、前記変換結果の最上位ビットが論理“１”
の間は、前記レジスタに前記変換結果を保持させると共
に前記レジスタに保持された整数を前記セレクタにを選
択させ、前記変換結果の最上位ビットが論理“０”のと
きは、変数ｊの値を１だけ増やし、変数ｊがｍより小さ
い間はａ，ｂ，ｐ_jを前記線形変換回路に出力し、変数
ｊがｍに等しいときに前記制御を終了する、請求項８記
載の暗号装置。
【請求項１０】２ｎビットの平文を２ｎビットの暗号
文に変換するＤＥＳライク暗号装置において、ｎビットの整数を保持する第１のレジスタと、ｎビットの整数を保持する第２のレジスタと、前記平文のビット位置を入れ換える第１の転置回路と、該第１の転置回路の出力の上位ｎビットの整数と、前記
第１のレジスタに保持さたｎビットの整数のいずれか一
方を選択して出力する第１のセレクタと、前記第１の転置回路の出力の下位ｎビットの整数と、前
記第２のレジスタに保持さたｎビットの整数のいずれか
一方を選択して出力して、選択結果を前記第１のレジス
タに供給する第２のセレクタと、（ｎ＋１）ビットの整数を保持する第３のレジスタと、前記第２のセレクタの出力に最上位ビットとして論理
“０”を付加して得られる（ｎ＋１）ビットの整数と、
前記第３のレジスタに保持されている（ｎ＋１）ビット
の整数のいずれか一方を選択して出力する第３のセレク
タと、該第３のセレクタの出力する整数に対して所定の線形変
換を施して変換結果を前記第３のレジスタに供給する線
形変換回路と、前記第１のセレクタの出力と前記線形変換回路の出力の
下位ｎビットとのビットごとの排他的論理和を計算し
て、計算結果を前記第２のセレクタに供給する排他的論
理和回路と、前記排他的論理和回路の出力と前記第２のセレクタの出
力のビット位置を入れ換える第２の転置回路と、制御フローに従って前記第１乃至第３レジスタと前記第
１乃至第３のセレクタと前記線形変換回路に制御信号を
供給する制御回路とを具備し、前記制御回路が制御を終了した時点の前記第２の転置回
路の出力を前記暗号文として出力するＤＥＳライク暗号
装置。
【請求項１１】ｘを前記第３のセレクタの出力する整
数、ｍおよびｒを２以上の整数、ｐ₀，…，ｐ_mr-1を２
ⁿより大きな法、ａをｐ_j（０≦ｊ≦ｍｒ−１）と素で
ある整数、ｂを予め決められた整数としたとき、前記所
定の線形変換は（ａｘ＋ｂ）（ｍｏｄｐ_j）で表され
る、請求項１０記載のＤＥＳライク暗号装置。
【請求項１２】前記制御回路は、変数ｊを０に初期設
定し、ａ、ｂ、ｍ、ｒおよびｐ₀，…，ｐ_mr-1を変換パ
ラメータとして入力し、前記第１および第２のセレクタ
にそれぞれ前記第１の転置回路の出力の上位ｎビットお
よび下位ｎビットを選択させ、前記第２のセレクタの出
力に最上位ビットとして論理“０”を付加して得られる
（ｎ＋１）ビットの整数を前記第３のセレクタに選択さ
せ、ａ，ｂ，ｐ_jを前記線形変換回路に出力し、前記変換結果の最上位ビットが論理“１”の間は、前記
第３のレジスタに前記変換結果を保持させると共に前記
第３のレジスタに保持された整数を前記第３のセレクタ
に選択させ、前記変換結果の最上位ビットが論理“０”のときは、変
数ｊの値を１だけ増やし、変数ｊがｍ×ｒより小さくか
つｊ（ｍｏｄｍ）が０でない間はａ，ｂ，ｐ_jを前記
線形変換回路に出力し、変数ｊがｍ×ｒより小さくかつｊ（ｍｏｄｍ）が０で
あれば、前記第１および第２のレジスタにそれぞれ前記
第２のセレクタの出力および前記排他的論理和回路の出
力を保持させ、前記第１および第２のセレクタにそれぞ
れ前記第１および第２のレジスタを出力を選択させ、前
記第２のセレクタの出力に最上位ビットとして論理
“０”を付加して得られる（ｎ＋１）ビットの整数を前
記第３のセレクタに選択させて、ａ，ｂ，ｐ_jを前記線
形変換回路に出力し、変数ｊがｍ×ｒに等しいときに前記制御を終了する、請
求項１１記載のＤＥＳライク暗号装置。
【請求項１３】「前記変換結果の最上位ビットが論理
“１”の間は」の代わりに「前記線形変換回路における
線形変換の繰り返しが予め決められた回数より少ない間
は」とし、「前記変換結果の最上位ビットが論理“０”
のときは」の代わりに「前記線形変換回路における線形
変換の繰り返しが予め決められた回数に達したときは」
としたことを特徴とする、請求項１２記載のＤＥＳライ
ク暗号装置。