JPH10232606A - 暗号化方法及び復号化方法並びに暗号化装置及び復号化装置 - Google Patents

Abstract

(57)【要約】 【課題】 暗号化処理と復号化処理で同一構造のラウン
ド関数を用いかつ両処理の構造を容易かつ簡易な構成で
可変できる暗号化方法を提供すること。 【解決手段】 所定のラウンド関数を用いたデータ変換
を所定回数繰り返して暗号化データを生成する暗号化方
法において、ｎ回（ｎは３以上）適用が単位変換となる
関数ｆ（ｘ）、すなわちｆ（ｆ（…ｆ（ｘ）…））＝ｘ
（ただしｆ（ｆ（ｘ））＝ｘは除く）を満足する関数ｆ
（ｘ）を前記ラウンド関数として用いることを特徴とす
る。また、当該暗号化アルゴリズムは所定数のラウンド
を有するもので、各ラウンドごとに前記関数ｆ（ｘ）の
適用回数ｍを１≦ｍ≦ｎ−１の範囲で可変にする。さら
に、前記各ラウンドにおける適用回数ｍは鍵情報として
与える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、特殊な条件を満足
するラウンド関数を用いることで、安全性を保ったまま
装置規模を小さくすることが可能な可変構造アルゴリズ
ムを持つ暗号化方法及び復号化方法並びに暗号化装置及
び復号化装置に関する。

【０００２】

【従来の技術】現在、コンピュータや記憶装置あるいは
通信網など、情報を電子化して処理、保存、通信などす
る技術がかなり高度化されるとともに、ますます研究開
発が盛んになってきている。また、このような技術は、
実際に、様々な分野において様々な形で利用されてい
る。中でも、情報を第３者から秘匿した状態で蓄積や転
送などするための基盤技術である暗号技術の重要性は非
常に高まっており、盛んに研究・開発が行われていると
ともに、電子課金の情報、機密情報、著作権に係る情報
あるいはプライバシーに関する情報などを扱うシステム
に実際に利用されている。特に、種々の暗号アルゴリズ
ムのうち秘密鍵ブロック暗号アルゴリズムは、適用のし
やすさ、比較的安全性に対する評価技術が進歩している
ことから、様々な局面で実用に供されている。

【０００３】この秘密鍵ブロック暗号には、同じ構造を
有する変換（ラウンド関数）を入力データに対して繰り
返し適用する積暗号という形で構成されるものがある。
これは、ラウンド関数を繰り返し適用することで解読を
より困難にするもので、ラウンド関数の使用により装置
規模が小さくなる利点もある。

【０００４】また、この場合、暗号化変換と復号化変換
で同一の構造のラウンド関数を用いることができれば、
暗号化／復号化の両機能を搭載する装置ではその両機能
に要する装置規模を半分にすることができる。

【０００５】暗号化変換と復号化変換でラウンド関数の
構造を同一にするためには、 Ｆ（Ｆ（ｘ））＝ｘ （１） を満足する関数Ｆが用いられる。式（１）を満足するよ
うな関数は、インボリューション関数と呼ばれ、関数と
逆関数は同一の式で表すことができるという性質を持っ
ている。インボリューション関数をラウンド関数として
持つ秘密鍵ブロック暗号はインボリューション型暗号と
呼ばれることがある。

【０００６】このような構成を持つ秘密鍵ブロック暗号
アルゴリズムとしてＤＥＳ（特公昭５９−３６４６３号
公報、特公昭５９−４５２６９号公報）がよく知られて
いる。

【０００７】一方、１９９０年になり、差分攻撃（Ｅ．
Ｂｉｈａｍ、 Ａ．Ｓｈａｍｉｒ、Ｄｉｆｆｅｎｔｉａ
ｌ ｃｒｙｐｔａｎｌｙｓｉｓ ｏｆ ＤＥＳ−ｌｉｋ
ｅｓｒｙｐｔｏｓｙｓｔｅｍｓ、 ａｄｖａｎｃｅｓ
ｉｎ ｃｒｙｐｔｏｇｒａｐｈｙ、ｐｒｏｃｅｅｄｉｎ
ｇｓ ｏｆ ＣＲＹＰＴＯ´９０、 ｐｐ．２−２１、
ＬＮＣＳ ５３７、 Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａ
ｇ．）や線形攻撃（Ｍ．Ｍａｔｕｉ、 Ｌｉｎｅａｒ
ｃｒｙｐｔａｎａｌｙｓｉｓ ｍｅｔｈｏｄ ｆｏｒ
ＤＥＳ ｃｉｐｈｅｒ、 ａｄｖａｎｃｅｓ ｉｎ ｃ
ｒｙｐｔｏｇｒａｐｈｙ、ｐｒｏｃｅｅｄｉｎｇｓ ｏ
ｆ ＥＵＲＯＣＲＹＰＴ´９３、ｐｐ．３８６−３９
７、 ＬＮＣＳ ７６５、 Ｓｐｒｉｎｇｅｒ−Ｖｅｒ
ｌａｇ．）などの秘密鍵ブロック暗号に対する新しい解
読法が提示され、秘密鍵ブロック暗号の安全性に関する
評価技術が格段の進歩を遂げた。

【０００８】そこで、それらの新しい解読法が通用しな
い秘密鍵ブロック暗号が研究され、可変構造暗号（特開
平４−１７０５７６）などのいくつかの提案がされてい
る。これら可変構造暗号などの秘密鍵ブロック暗号で
は、本質的に鍵のような外部パラメータに依存して暗号
化アルゴリズムの構造を可変にすれば解析が困難になる
という原理に基づいている。

【０００９】しかしながら、このような構造可変型の暗
号化アルゴリズムを用いて装置を構成した場合、装置規
模が大きくなるという問題点があった。また、従来の秘
密鍵ブロック暗号では、暗号化に要する手間と復号に要
する手間を制御することができなかった。これはインボ
リューション暗号では、暗号化と復号が同一の構成なの
で、暗号化と復号の手間は同一だからである。装置規模
に関するインボリューション型暗号の長所は一方ではこ
のような短所を生み出している。暗号化に要する時間と
復号に要する時間を制御可能であれば、速度の面で制約
のある端末を使う場合等、様々な局面で、データを暗号
化したことによる負荷を分散することが可能になる。従
来、このような技術は、公開鍵暗号では知られていた
が、秘密鍵ブロック暗号では、このようなことを実現で
きる技術は存在しなかった。

【００１０】

【発明が解決しようとする課題】上述したように従来の
秘密鍵ブロック暗号は、インボリューション関数を用い
た構成では、装置規模の小さな秘密鍵ブロック暗号を構
成できるという特徴があるが、新しい解読法に対抗する
ために構造やパラメータを可変にすると装置規模が大き
くなってしまうという問題があった。また、従来の秘密
鍵ブロック暗号では、暗号化に要する時間と復号に要す
る時間を制御することはできなかった。

【００１１】本発明は、上記事情を考慮してなされたも
ので、暗号化処理と復号化処理で同一構造のラウンド関
数を用いかつ両処理の構造を容易かつ簡易な構成で可変
できる暗号化方法及び復号化方法並びに暗号化装置及び
復号化装置を提供することを目的とする。

【００１２】

【課題を解決するための手段】本発明は、所定のラウン
ド関数を用いたデータ変換を所定回数繰り返して暗号化
データを生成する暗号化方法において、任意の関数ｆ
（ｘ）について、ｙi+1＝ｆ（ｙi ）とし、ｙ1 ＝ｆ
（ｐ）とした場合に、ｙn ＝ｐ（ｎは３以上のいずれか
の整数）を満足する関数ｆ（ｘ）を前記ラウンド関数と
して用いることを特徴とする。

【００１３】好ましくは、所定数のラウンドを有し、各
ラウンドごとに前記関数ｆ（ｘ）の適用回数ｍを１≦ｍ
≦ｎ−１の範囲で可変にしたことを特徴とする。さらに
好ましくは、前記各ラウンドにおける適用回数ｍは、鍵
情報として与えられたものであることを特徴とする。

【００１４】また、本発明は、所定のラウンド関数を用
いたデータ変換を所定回数繰り返して暗号化データのも
ととなったデータを生成する復号化方法において、任意
の関数ｆ（ｘ）について、ｙi+1 ＝ｆ（ｙi ）とし、ｙ
1 ＝ｆ（ｐ）とした場合に、ｙn ＝ｐ（ｎは３以上のい
ずれかの整数）を満足する関数ｆ（ｘ）を前記ラウンド
関数として用いることを特徴とする。

【００１５】好ましくは、所定数のラウンドを有し、各
ラウンドごとに前記関数ｆ（ｘ）の適用回数ｓを１≦ｓ
≦ｎ−１の範囲で可変にしたことを特徴とする。さらに
好ましくは、前記各ラウンドにおける適用回数ｓは、鍵
情報として与えられたものであることを特徴とする。

【００１６】また、本発明は、所定のラウンド関数を用
いたデータ変換を所定回数繰り返して暗号化データを生
成する暗号化装置において、任意の関数ｆ（ｘ）につい
て、ｙi+1 ＝ｆ（ｙi ）とし、ｙ1 ＝ｆ（ｐ）とした場
合に、ｙn ＝ｐ（ｎは３以上のいずれかの整数）を満足
する所定の関数ｆ（ｘ）を前記ラウンド関数としてデー
タ変換する手段と、各ラウンドにおける前記関数ｆ
（ｘ）の適用回数ｍ（１≦ｍ≦ｎ−１）を示す情報を記
憶する手段と、記憶された前記各ラウンドにおける適用
回数ｍを示す情報に基づいて前記データ変換を繰り返し
実行させる手段とを備えたことを特徴とする。

【００１７】また、本発明は、所定のラウンド関数を用
いたデータ変換を所定回数繰り返して暗号化データのも
ととなったデータを生成する復号化装置において、任意
の関数ｆ（ｘ）について、ｙi+1 ＝ｆ（ｙi ）とし、ｙ
1 ＝ｆ（ｐ）とした場合に、ｙn ＝ｐ（ｎは３以上のい
ずれかの整数）を満足する所定の関数ｆ（ｘ）を前記ラ
ウンド関数としてデータ変換する手段と、各ラウンドに
おける前記関数ｆ（ｘ）の適用回数ｓ（１≦ｓ≦ｎ−
１）を示す情報を記憶する手段と、記憶された前記各ラ
ウンドにおける適用回数ｓを示す情報に基づいて前記デ
ータ変換を繰り返し実行させる手段とを備えたことを特
徴とする。

【００１８】また、本発明は、コンピュータに、処理対
象のデータに対して、ｙi+1 ＝ｆ（ｙi ）としｙ1 ＝ｆ
（ｐ）とした場合にｙn ＝ｐ（ｎは３以上のいずれかの
整数）を満足する所定のラウンド関数ｆ（ｘ）を用いた
データ変換をｎより小さい所定の回数繰り返させるため
の手順を含むプログラムを記録したコンピュータ読取り
可能な記録媒体である。

【００１９】また、本発明は、コンピュータに、暗号化
対象のデータに対して、ｙi+1 ＝ｆ（ｙi ）としｙ1 ＝
ｆ（ｐ）とした場合にｙn ＝ｐ（ｎは３以上のいずれか
の整数）を満足する所定のラウンド関数ｆ（ｘ）を用い
たデータ変換をｎより小さい所定の回数繰り返させて、
暗号化データを生成させるための手順を含むプログラム
を記録したコンピュータ読取り可能な記録媒体である。

【００２０】また、本発明は、コンピュータに、復号化
対象のデータに対して、ｙi+1 ＝ｆ（ｙi ）としｙ1 ＝
ｆ（ｐ）とした場合にｙn ＝ｐ（ｎは３以上のいずれか
の整数）を満足する所定のラウンド関数ｆ（ｘ）を用い
たデータ変換をｎより小さい所定の回数繰り返させて、
復号化データを生成させるための手順を含むプログラム
を記録したコンピュータ読取り可能な記録媒体である。

【００２１】好ましくは、前記プログラムはコンピュー
タに前記所定の回数を定めさせる手順を含むものである
ようにしてもよい。また、本発明は、コンピュータに所
定のラウンド関数を用いたデータ変換処理を実行させる
ためのプログラムであって、コンピュータを、任意の関
数ｆ（ｘ）についてｙi+1 ＝ｆ（ｙi ）としｙ1 ＝ｆ
（ｐ）とした場合にｙn ＝ｐ（ｎは３以上のいずれかの
整数）を満足する所定の関数ｆ（ｘ）をラウンド関数と
してデータ変換する手段、各ラウンドにおける前記関数
ｆ（ｘ）の適用回数ｍ（１≦ｍ≦ｎ−１）を示す情報を
記憶する手段、および記憶された前記各ラウンドにおけ
る適用回数ｍを示す情報に基づいて前記データ変換を繰
り返し実行させる手段として機能させるためのプログラ
ムを記録したコンピュータ読取り可能な記録媒体であ
る。

【００２２】また、本発明は、コンピュータに所定のラ
ウンド関数を用いたデータ変換を所定回数繰り返して暗
号化データを生成させるためのプログラムであって、コ
ンピュータを、任意の関数ｆ（ｘ）についてｙi+1 ＝ｆ
（ｙi ）としｙ1 ＝ｆ（ｐ）とした場合にｙn ＝ｐ（ｎ
は３以上のいずれかの整数）を満足する所定の関数ｆ
（ｘ）を前記ラウンド関数としてデータ変換する手段、
各ラウンドにおける前記関数ｆ（ｘ）の適用回数ｍ（１
≦ｍ≦ｎ−１）を示す情報を記憶する手段と、および記
憶された前記各ラウンドにおける適用回数ｍを示す情報
に基づいて前記データ変換を繰り返し実行させる手段と
して機能させるためのプログラムを記録したコンピュー
タ読取り可能な記録媒体である。

【００２３】また、本発明は、コンピュータに所定のラ
ウンド関数を用いたデータ変換を所定回数繰り返して暗
号化データのもととなったデータを生成させるための暗
号化プログラムであって、コンピュータを、任意の関数
ｆ（ｘ）についてｙi+1 ＝ｆ（ｙi ）としｙ1 ＝ｆ
（ｐ）とした場合にｙn ＝ｐ（ｎは３以上のいずれかの
整数）を満足する所定の関数ｆ（ｘ）を前記ラウンド関
数としてデータ変換する手段、各ラウンドにおける前記
関数ｆ（ｘ）の適用回数ｓ（１≦ｓ≦ｎ−１）を示す情
報を記憶する手段、および記憶された前記各ラウンドに
おける適用回数ｐを示す情報に基づいて前記データ変換
を繰り返し実行させる手段として機能させるためのプロ
グラムを記録したコンピュータ読取り可能な記録媒体で
ある。

【００２４】なお、以上の装置に係る発明は方法に係る
発明としても成立し、方法に係る発明は装置に係る発明
としても成立する。また、装置または方法に係る本発明
は、コンピュータに当該発明に相当する手順を実行させ
るための（あるいはコンピュータを当該発明に相当する
手段として機能させるための、あるいはコンピュータに
当該発明に相当する機能を実現させるための）プログラ
ムを記録したコンピュータ読取り可能な記録媒体として
も成立する。

【００２５】本発明によれば、任意の関数ｆ（ｘ）につ
いて、ｙi+1 ＝ｆ（ｙi ）とし、ｙ1 ＝ｆ（ｐ）とした
場合に、ｙn ＝ｐ（ｎは３以上のいずれかの整数）を満
足する関数ｆ（ｘ）、すなわちｆ（ｆ（ｆ（ｘ）））＝
ｘあるいはｆ（ｆ（ｆ（ｆ（ｘ））））＝ｘのように３
回以上同じ変換を施すと元の値に戻る関数ｆ（ｘ）を、
積暗号のラウンド関数として用いることにより、この関
数の繰り返し適用回数を変えるだけで、暗号化および復
号化の構造を変化させることができる。

【００２６】また、本発明によれば、３回以上同じ変換
を施すと元の値に戻る関数ｆ（ｘ）を積暗号のラウンド
関数として用いることにより、暗号化および復号化に同
じ構成の装置を用いることができるので、装置規模を小
さくすることができ、なおかつ鍵を与える順番を制御す
るだけで大規模な制御回路を付加することなく、可変構
造の暗号化装置、復号化装置を実現できる。

【００２７】また、本発明によれば、構造自体を鍵とし
て実現することができるので、より安全であり、さら
に、暗号化と復号化の処理の負担を制御できるので、例
えば暗号化には処理能力の高い装置を復号化は処理能力
の乏しい装置を使うことができる。また、本発明によれ
ば、全体のラウンド関数の実行回数に比べて鍵の数を減
らせるので、中間鍵生成にかかる手間を軽減することが
できる。

【００２８】

【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。本実施形態では、暗号化や復号
化で用いるラウンド関数として、任意の入力ｘ（所定の
要素数のベクトル；例えば６４ビットデータ）に対して
ｎ回（ｎは３以上）適用することにより元の入力ｘを与
える関数（ｎ回の適用が単位変換になる関数）を用い
る。例えば、３回の適用により元の入力に戻る関数ｆは
入力ｘに対してｆ（ｆ（ｆ（ｘ）））＝ｘを満足し、４
回の適用により元の入力に戻る関数ｆは入力ｘに対して
ｆ（ｆ（ｆ（ｆ（ｘ））））＝ｘを満足する。

【００２９】３回の適用が単位変換に等しい関数ｆの一
例として、例えば、 ｆ（ｘ）＝（ｘ−３）／（ｘ−２） が挙げられる。この関数ｆは、ｆ（ｆ（ｆ（ｘ）））＝
ｘを満足する。

【００３０】また、３回の適用が単位変換に等しい関数
ｆの他の例として、次に示す８×８の行列Ｃは、８ビッ
トからなるブロックＢに転置処理を施すもので、Ｃ³ ＝
Ｉ（単位変換）を満たすものである。つまり、Ｃ³ Ｂ＝
Ｂとなる。

【００３１】

【数１】

【００３２】また、４回の適用が単位変換に等しい関数
ｆの他の例として、次に示す８×８の行列Ｄは、８ビッ
トからなるブロックＢに転置処理を施すもので、Ｄ⁴ ＝
Ｉ（単位変換）を満たすものである。つまり、Ｄ⁴ Ｂ＝
Ｂとなる。

【００３３】

【数２】

【００３４】さらに、パラメトリックな関数ではなく、
変換テーブルを用いるなどノンパラメトリックな関数に
よるデータ変換も可能である。その他、ｎ回（ｎは３以
上）の適用により元の入力を与える関数（ｎ回の適用が
単位変換になる関数）には、種々のものが考えられる。

【００３５】さて、ラウンド関数としてｎ回（ｎは３以
上）適用により元の入力を与える関数を使用する場合、
暗号化において入力データに対してｍ（１≦ｍ≦ｎ−
１）回の関数ｆを適用し、この結果を暗号化データと
し、復号化において、この暗号化データに対してさらに
ｓ＝ｎ−ｍ回の関数ｆを適用すると、もとの入力データ
を得ることができる。

【００３６】ここで、暗号化アルゴリズムにおいて入力
データに対して関数ｆを適用する回数ｍ（および復号化
アルゴリズムにおいて暗号データに対して関数ｆを適用
する回数ｎ−ｍ）を変化させることにより、１対の暗号
化アルゴリズムおよび復号化アルゴリズムの構造を変化
させることができる。この場合、ｍ（あるいはｎ−ｍ）
を示す情報は、暗号側と復号側の間で受け渡しする鍵情
報となり得る。

【００３７】なお、変化可能な構造の種類は、アルゴリ
ズムを構成させるラウンド数の増加、上記のｎの増加に
より、増加させることができる。例えばラウンド関数と
して３回の適用により元の入力を与える関数を用いる場
合に次のケースが考えられる。

【００３８】図１（ａ）のように、暗号側で、入力ｘに
対し関数ｆを２回適用した場合、ｆ（ｆ（ｘ））と、実
行した繰り返し数２（あるいは残りの繰り返し数１）と
を、復号側に渡す。復号側では、このｆ（ｆ（ｘ））に
ｆを１回適用することにより、ｆ（ｆ（ｆ（ｘ）））＝
ｘを得ることができる。

【００３９】一方、図１（ｂ）のように、暗号側で、ｆ
を１回適用した場合、ｆ（ｘ）と、実行した繰り返し数
１（あるいは残りの繰り返し数２）とを、復号側に渡
す。復号側では、このｆ（ｘ）にｆを２回適用すること
により、ｆ（ｆ（ｆ（ｘ）））＝ｘを得ることができ
る。

【００４０】このように、上記の関数ｆを適用する回数
ｍ（あるいはｎ−ｍ）を変えるだけで、暗号化アルゴリ
ズムと復号化アルゴリズムの構造を容易に制御すること
ができる。

【００４１】しかも、アルゴリズムの構造を制御するた
めに、同じ関数の繰り返し数を可変とするだけであるの
で、特に回路量を増大させるようなこともない。また、
ラウンド関数としてｎ回適用で単位変換になる関数（た
だし、ｎ≧３）を使用する場合、暗号化アルゴリズムと
復号化アルゴリズムにｎ回の演算を任意に振り分けるこ
とができるので、暗号側の処理量と復号側の処理量を制
御することができる。例えば、復号側の処理量を軽減す
るなどが可能となる。

【００４２】なお、上記した関数ｆには、それ自体がラ
ウンドに依存する鍵となるパラメータを持つものと、そ
れ自体はパラメータを持たない固定されたものとがあ
る。前者の場合、関数ｆ自体の持つパラメータと、上記
の暗号側での繰り返し数ｍあるいは復号側での繰り返し
数ｎ−ｍとを、鍵情報として扱うことができる。また、
後者の場合でも、上記のｍあるいはｎ−ｍを鍵情報とし
て扱うことができる。

【００４３】さらに、後者の場合、例えば、パラメータ
を持たない関数ｆｃと、鍵を用いたｇ（ｇ（ｘ））＝ｘ
を満たす関数ｇとを組にして、ラウンドを構成すること
も可能である。なお、この場合、暗号側と復号側とで、
関数ｆｃと関数ｇの実行順序が逆になる。

【００４４】また、上記のｍ（あるいはｎ−ｍ）の扱い
については、次のように種々の方法が考えられる。 （１）ｍ（あるいはｎ−ｍ）の値は、外部から指示する
方法と、乱数により決定する方法等がある。 （２）ｍ（あるいはｎ−ｍ）の値は、一纏まりのデータ
（例えば１つのファイル）ごとに変更する方法、処理単
位であるブロック（例えば６４ビットのデータ）ごとに
変更する方法、暗号通信するノード対ごとに取り決める
方法、暗号化されたデータを格納するリムーバブル記憶
媒体ごとに変更する方法など、種々の方法がある。 （３）ｍ（あるいはｎ−ｍ）を示す情報は、暗号側で決
定し復号側に指示する方法、復号側で決定し暗号側に指
示する方法、それ以外の主体が決定し暗号側と復号側に
指示する方法等がある。

【００４５】さて、本実施形態では、上記のようなｎ回
（ｎは３以上）適用が単位変換になる関数ｆを用いて様
々な暗号化アルゴリズムと復号化アルゴリズムを構成す
ることができる。その際、アルゴリズムに、上記のよう
な関数ｆを少なくとも１つ含んでいれば、その構造を可
変にすることができる。例えば、アルゴリズムには以下
のような場合が考えられる。 （１）１種類の関数ｆのみからなるもの （２）複数の種類の関数ｆを混在させたもの（この場
合、種類の異なる関数として、元の入力ｘに戻るまでの
適用回数ｎが同一のものと異なるものとが存在し得る） （３）上記の（１）または（２）において、２回適用で
単位変換になる関数ｇ、すなわちｇ（ｇ（ｘ））＝ｘを
満たす関数ｇをも少なくとも１種類１ラウンド用いるも
の（なお、ｇ（ｇ（ｘ））＝ｘを満たす関数ｇは、変換
テーブルや排他的論理和を用いたものなど、種々のもの
が知られている。特に、ＤＥＳで用いられているインボ
リューション関数は良く知られている。） （４）なお、暗号側で上記関数ｆの他に任意の関数Ｈ１
（ｘ）と関数Ｈ２（ｘ）を用い、復号側で上記関数ｆの
他に関数Ｈ1 （ｘ）と関数Ｈ2 （ｘ）の逆関数関数Ｈ1
^-1（ｘ）と関数Ｈ2 ^-1（ｘ）を用いても構わない（Ｈ1
（ｘ）＝１または関数Ｈ2 ＝１の場合も含む）。この場
合の一例を図２（ａ）、（ｂ）に示す。（ａ）が暗号
側、（ｂ）が復号側である。

【００４６】いずれの場合においても、同じ関数につい
て鍵などのパラメータのみ相違させた変換処理を何ラウ
ンド実行するかは任意に設定可能である。なお、１対の
暗号化アルゴリズムと復号化アルゴリズムの全ラウンド
数は、固定的に設定することも、可変にすることもでき
る。

【００４７】ここで、図３と図４に、１種類の関数ｆの
みからなり、４ラウンドを有する暗号化アルゴリズムと
復号化アルゴリズムの例を示す。図３と図４は、各ラウ
ンドにおける関数ｆの適用回数を変化させたものであ
る。ここで、関数ｆは３回適用で単位変換になる関数で
あるものとする。

【００４８】図３（ａ）においては、暗号側で、入力デ
ータに対し、まず鍵ｋ1 を用いて関数ｆを２回、次に鍵
ｋ2 を用いて関数ｆを１回、次に鍵ｋ3 を用いて関数ｆ
を２回、次に鍵ｋ4 を用いて関数ｆを１回実行して、暗
号化データを生成する。そして、図３（ｂ）のように復
号側では、この暗号化データに対し、まず鍵ｋ4 を用い
て関数ｆを２回、次に鍵ｋ3 を用いて関数ｆを１回、次
に鍵ｋ2 を用いて関数ｆを２回、次に鍵ｋ1 を用いて関
数ｆを１回実行して、もとのデータを得る。

【００４９】このように、復号化アルゴリズムは、暗号
化アルゴリズムと同様の構成であるが、鍵を与える順番
が逆になっており、また各ラウンド内でのｆ関数の適用
回数が異なっているのが分かる。

【００５０】また、図４（ａ）においては、暗号側で、
入力データに対し、鍵ｋ1 を用いて関数ｆを２回、次に
鍵ｋ2 を用いて関数ｆを２回、次に鍵ｋ3 を用いて関数
ｆを２回、次に鍵ｋ4 を用いて関数ｆを２回実行して、
暗号化データを生成する。そして、図４（ｂ）のように
復号側では、この暗号化データに対し、鍵ｋ4 を用いて
関数ｆを１回、次に鍵ｋ3 を用いて関数ｆを１回、次に
鍵ｋ2 を用いて関数ｆを１回、次に鍵ｋ1 を用いて関数
ｆを１回実行して、もとのデータを得る。

【００５１】このように、各ラウンドにおける関数ｆの
適用回数を制御することで、アルゴリズムの構造を変化
させることができる。なお、この場合、８種類の構造に
変化させることができる。

【００５２】また、図３では、暗号側と復号側の処理が
同量であったが、図４では暗号側に比較して復号側の処
理が軽減されている。また、図５と図６には、２種類の
関数ｆａとｆｂを使用し、各関数について２ラウンドを
有する暗号化アルゴリズムと復号化アルゴリズムの例を
示す。図５と図６は、各ラウンドにおける関数ｆの適用
回数を変化させたものである。ここで、関数ｆａは３回
適用で単位変換になる関数であり、ｆｂは４回適用で単
位変換になる関数であるとする。

【００５３】図５（ａ）においては、暗号側で、入力デ
ータに対し、まず鍵ｋa1を用いて関数ｆａを２回、次に
鍵ｋb1を用いて関数ｆｂを２回実行し、さらに鍵ｋa2を
用いて関数ｆａを１回、次に鍵ｋb2を用いて関数ｆｂを
２回実行して、暗号化データを生成する。そして、図５
（ｂ）のように復号側では、この暗号化データに対し、
まず鍵ｋb2を用いて関数ｆｂを２回、次に鍵ｋa2を用い
て関数ｆａを２回実行し、さらに鍵ｋb1を用いて関数ｆ
ｂを２回、次に鍵ｋa1を用いて関数ｆｂを１回実行し
て、暗号化データを生成する。

【００５４】また、図６（ａ）においては、暗号側で、
入力データに対し、まず鍵ｋa1を用いて関数ｆａを２
回、次に鍵ｋb1を用いて関数ｆｂを３回実行し、さらに
鍵ｋa2を用いて関数ｆａを２回、次に鍵ｋb2を用いて関
数ｆｂを３回実行して、暗号化データを生成する。そし
て、図６（ｂ）のように復号側で、この暗号化データに
対し、まず鍵ｋb2を用いて関数ｆｂを１回、次に鍵ｋa2
を用いて関数ｆａを１回実行し、さらに鍵ｋb1を用いて
関数ｆｂを１回、次に鍵ｋa1を用いて関数ｆｂを１回実
行して、暗号化データを生成する。

【００５５】図５では、暗号側と復号側の処理が同量で
あったが、図６では暗号側に比較して復号側の処理が軽
減されている。次に、図７に、それ自体はパラメータを
持たない関数ｆｃと、鍵を用いたｇ（ｇ（ｘ））＝ｘを
満たす関数とを組にして、１ラウンドを構成するように
した例を示す。（ａ）は暗号側であり、（ｂ）は復号側
である。

【００５６】ここでは、ｆｃ（ｆｃ（ｆｃ（ｘ）））＝
ｘを満たすものとし、３ラウンドの変換を行うものとす
る。なお、関数ｆｃの最も簡単な例としては、前述の行
列Ｃのような変換を行うものである。また、関数ｇの最
も簡単な例としては、処理対象のブロックデータと、鍵
データとの排他的論理和をとるものである。

【００５７】なお、この場合、暗号側の１ラウンド内に
おけるｆｃとｇの実行順序と、復号側の１ラウンド内に
おけるｆｃとｇの実行順序とは逆になる。図７では、各
ラウンドにおける関数ｆｃの適用回数を変化させた一例
として、暗号側のラウンド＃１で２回、ラウンド＃２で
１回、ラウンド＃３で２回、ラウンド＃４で１回の場合
を示している。

【００５８】さて、以上説明してきた暗号化アルゴリズ
ムや復号化アルゴリズムを実行する装置は、全てソフト
ウェアで実現することも、ハードウェアを用いて実現す
ることも可能である。

【００５９】以下では、上記の暗号化アルゴリズムや復
号化アルゴリズムを実行する情報処理装置をハードウェ
アを用いて実現する例について説明する。図８に、本実
施形態に係る情報処理装置の構成例を示す。（ａ）が暗
号側の構成であり、（ｂ）が復号側の構成である。この
例では、図８に示されるように、暗号側の構成と復号側
の構成は同様である。

【００６０】本構成例において、ラウンド数Ｒ、各ラウ
ンドｒにおけるラウンド関数の繰り返し数ｍ（ｒ）、各
ラウンドｒにおける鍵ｋ（ｒ）がパラメータとなり得る
（ここでｒ＝１〜Ｒ）。

【００６１】図８（ａ）の暗号側において、ラウンド関
数処理部２は、ｎ回（ｎは３以上）適用が単位変換にな
る関数ｆ（ｘ）について、その１回分の処理を、与えら
れた鍵を用いて行う。

【００６２】鍵保管部４は、各ラウンドにおける関数ｆ
の繰り返し適用回数ｍ（ｒ）を示す情報Ｍ（ｒ）と、各
ラウンドｒにおける鍵ｋ（ｒ）とを記憶する。適用回数
を示す情報Ｍ（ｒ）と鍵ｋ（ｒ）とは、前述したような
所定の方法で設定されたものが記憶されているものとす
る。

【００６３】ここで、暗号側ではＭ（ｒ）＝ｍ（ｒ）と
し、復号側ではＭ（ｒ）＝ｎ−ｍ（ｒ）としても良い。
また、復号側については既に実行した回数ｍ（ｒ）を使
用しも良い（この値から残りの実行回数が一意に決定さ
れる）。後者の場合、暗号側と復号側の情報の内容を同
じにすることができる。

【００６４】あるいは、暗号側ではＭ（ｒ）＝ｍ（ｒ）
−１とし、復号側ではＭ（ｒ）＝ｎ−ｍ（ｒ）−１とし
ても良い。また、復号側については既に実行した回数ｍ
（ｒ）−１を使用しても良い。この場合、ｎ＝３なら
ば、１ビットで表現可能である。また、後者の場合、暗
号側と復号側の適用回数を示す情報を同じ内容にするこ
とができる。

【００６５】選択回路６は、処理対象となるデータの入
力時にのみ、この入力データをラウンド関数処理部２側
に伝え、その他ではラウンド関数を繰り返し実行するた
めに、選択回路６の出力をラウンド関数処理部２側に伝
える。

【００６６】選択回路８は、最終段のラウンド関数の実
行までは、ラウンド関数処理部２の出力を選択回路４に
伝え、最終段のラウンド関数の実行結果を暗号化データ
として出力させる。

【００６７】図示しない制御部は、繰り返し行われるデ
ータ変換の進行を制御するものであり、鍵保管部４に記
憶された適用回数ｍ（ｒ）を示す情報Ｍ（ｒ）に基づい
て、鍵ｋ（ｒ）のうち当該ラウンドにおいてラウンド関
数処理部２で使用するものを指示するとともに、選択回
路６と選択回路８の切り替えを制御する。

【００６８】また、図８（ｂ）の復号側は、上記の暗号
側と同様であり、鍵保管部４に格納される情報の内容が
相違するだけであり、入力が暗号化データ、出力がもと
のデータとなる。

【００６９】例えば、図８（ａ）において、ラウンド数
Ｒ＝４とし、関数ｆがｆ（ｆ（ｆ（ｘ）））＝ｘを満た
すものとし、暗号側でＭ（ｒ）＝０の場合には１回の繰
り返しを示し、Ｍ（ｒ）＝１の場合には２回の繰り返し
を示すものとして、図９（ａ）のように、Ｍ（１）＝
１、Ｍ（２）＝０、Ｍ（３）＝１、Ｍ（４）＝０とし、
鍵ｋ（１）＝ｋ1 、鍵ｋ（２）＝ｋ2 、鍵ｋ（３）＝ｋ
3 、鍵ｋ（４）＝ｋ4 とする。各ラウンドにおけるＭと
ｋの各ビットは１対１に対応しており、ラウンド毎の変
換を２回行うか１回行うかは、対応する制御鍵Ｍのビッ
ト位置の内容が１であるか０であるかによって決まる。
この場合、図３（ａ）に示した暗号化アルゴリズムを実
現することができる。

【００７０】この暗号化アルゴリズムと対になる復号化
アルゴリズムについては、図９（ｂ）のように、Ｍ
（１）＝０、Ｍ（１）＝１、Ｍ（１）＝０、Ｍ（１）＝
１とし、鍵ｋ（１）＝ｋ4 、ｋ（２）＝ｋ3 、ｋ（３）
＝ｋ2 、ｋ（４）＝ｋ1 とすると、図３（ｂ）に示した
復号化アルゴリズムを実現することができる。

【００７１】また、例えば、ラウンド数Ｒ＝４とし、図
９（ｃ）のようにパラメータを設定すると図４（ａ）に
示した暗号化アルゴリズムを実現することができ、図９
（ｄ）のようにパラメータを設定すると図４（ｂ）に示
した復号化アルゴリズムを実現することができる。

【００７２】なお、復号側では、Ｍ（ｒ）＝１の場合に
は１回の繰り返しを示し、Ｍ（ｒ）＝０の場合には２回
の繰り返しを示すものとすると、例えば図９（ｂ）のパ
ラメータは、Ｍ（１）＝１、Ｍ（２）＝０、Ｍ（３）＝
１、Ｍ（４）＝０となり、暗号側と同じ情報で表現する
ことができる。

【００７３】このように、制御鍵となるのＭ（ｒ）のビ
ット重み（１の数）を制御することで、暗号化アルゴリ
ズムおよび復号化アルゴリズムの構造を制御することが
できる。

【００７４】また、制御鍵となるＭ（ｒ）のビット重み
（１の数）を制御することで、暗号化アルゴリズムおよ
び復号化アルゴリズムの処理量を制御することができ
る。これは、例えば計算能力の乏しい環境で復号すると
きに復号側の負荷を減らす等に応用できる。

【００７５】なお、図１０に示すように、例えば図８の
構成を有するラウンド処理部２０を、各ラウンド毎に設
け、各ラウンドの処理をパイプライン的に実行するよう
にしても良い。

【００７６】次に、図１１に、それ自体はパラメータを
持たない関数ｆｃと、鍵を用いたｇ（ｇ（ｘ））＝ｘを
満たす関数とを組にして、１ラウンドを構成するように
した例を示す。暗号側と復号側で構成は同様であるが、
暗号側の１ラウンド内におけるｆｃとｇの実行順序と、
復号側の１ラウンド内におけるｆｃとｇの実行順序とは
逆になる。

【００７７】ラウンド関数処理部２は、ｎ回（ｎは３以
上）適用が単位変換になる関数ｆ（ｘ）について、その
１回分の処理を、与えられた鍵を用いて行う。ラウンド
関数処理部３０は、鍵を用いたｇ（ｇ（ｘ））＝ｘを満
たす関数について、その１回分の処理を、与えられた鍵
を用いて行うもにである。

【００７８】鍵保管部４は、各ラウンドにおける関数ｆ
の繰り返し適用回数を示す情報Ｍ（ｒ）と、各ラウンド
ｒにおける鍵ｋ（ｒ）とを記憶する。選択回路１６は、
処理対象となるデータの入力時にのみ、この入力データ
をラウンド関数処理部２またはラウンド関数処理部３０
側に伝え、その他ではラウンド関数を繰り返し実行する
ために、選択回路１６の出力をラウンド関数処理部２側
に伝える。

【００７９】選択回路１８は、最終段のラウンド関数の
実行までは、ラウンド関数処理部２またはラウンド関数
処理部３０の出力を選択回路１４に伝え、最終段のラウ
ンド関数の実行結果を暗号化データとして出力させる。

【００８０】なお、図示しない制御部は、繰り返し行わ
れるデータ変換の進行を制御するものであり、鍵保管部
４に記憶された適用回数を示す情報Ｍ（ｒ）に基づい
て、鍵ｋ（ｒ）のうち当該ラウンドにおいてラウンド関
数処理部３０で使用するものを指示するとともに、選択
回路１６と選択回路１８の切り替えを制御する。

【００８１】例えば、暗号側においてｇ、ｆｃの順に実
行するものとし、ラウンド数Ｒ＝４とし、図９（ａ）の
ようにパラメータを設定すると図７（ａ）に示した暗号
化アルゴリズムを実現することができ、図９（ｂ）のよ
うにパラメータを設定すると図７（ｂ）に示した復号化
アルゴリズムを実現することができる。

【００８２】以上の暗号化機能を搭載する情報処理装置
と復号化機能を搭載する情報処理装置は、ネットワーク
を介した通信を可能とする通信装置を備えても良いし、
リムーバブル記憶媒体を介したデータの受け渡しを可能
とするリムーバブル記憶媒体のドライブ装置を備えても
良い。

【００８３】また、１台の情報処理装置に暗号化機能と
復号化機能の両方を搭載しても良いし、いずれか一方の
み搭載しても良い。１台の情報処理装置に暗号化機能と
復号化機能の両方を搭載する場合、暗号化回路と復号化
回路を独立に設けても良いし、回路を共通化して構成し
ても良い。

【００８４】暗号対象のデータは、文書、音声、画像、
プログラムなど、どのようなものでも適用可能である。
本実施形態によれば、３回以上、同じ変換を施すと元の
値に戻る関数を、積暗号のラウンド関数として用いるこ
とにより、暗号化および復号化に同じ構成の装置を用い
ることができるので、装置規模を小さくすることがで
き、なおかつ鍵を与える順番を制御するだけで大規模な
制御回路を付加することなく、可変構造の暗号化装置、
復号化装置を実現できる。

【００８５】また、構造自体を鍵として実現することが
できるので、より安全であり、さらに、暗号化と復号化
の処理の負担を制御できるので、例えば暗号化には処理
能力の高い装置を復号化は処理能力の乏しい装置を使う
ことができる。

【００８６】また、全体のラウンド関数の実行回数に比
べて鍵の数を減らせるので、中間鍵生成にかかる手間を
軽減することができる。なお、ラウンド関数としてｎ回
適用が単位変換になる関数ｆ（ｘ）を用いた暗号方法や
復号方法は、本実施形態で示したもの以外にも種々のも
のが考えられ、またその場合における暗号装置や復号装
置の構成も種々のものが実現可能である。

【００８７】なお、本発明は、コンピュータに所定の手
順を実行させるための（あるいはコンピュータを所定の
手段として機能させるための、あるいはコンピュータに
所定の機能を実現させるための）プログラムを記録した
コンピュータ読取り可能な記録媒体として実施すること
もできる。

【００８８】以下では、コンピュータに上記の暗号化ア
ルゴリズムおよび／または復号化アルゴリズムを実行さ
せるためのプログラムあるいはそれらを含むアルゴリズ
ムを実行させるためのプログラムを記録したコンピュー
タ読取り可能な記録媒体から該プログラムを読み込んで
これをコンピュータのＣＰＵ上で実行させる場合につい
て簡単に説明する。

【００８９】図１２に、フレキシブルディスクやＤＶＤ
などの記録媒体に記録された暗号化機能および／または
復号化機能を含むプログラムをコンピュータにインスト
ールして実行する例を示す。図中、１００はＣＰＵ、１
０２は実行するプログラム、暗号化あるいは復号化の対
象などのデータ、鍵情報、暗号化あるいは復号化の処理
結果の暗号化されたあるいは復号化されたデータなどを
記憶するためのＲＡＭ、１０４は記録媒体に対して少な
くともプログラムなどの情報の読み出しを行うディスク
ドライブ装置、１０６はユーザインタフェースとしての
入出力装置、１２０はバスである。

【００９０】まず、本発明を適用したプログラムの記録
されたディスクをディスクドライブ装置１０４にセット
し、ディスクドライブ装置１０４からディスクに記憶さ
れている所定のプログラムをコンピュータ内に読み込
む。なお、直接、ＲＡＭ１０２に読み込んでもよいし、
一旦、ハードディスク装置（図示せず）に保存してから
実行時にＲＡＭ１０２に読み込んでもよい。

【００９１】そして、ＲＡＭ１０２に書き込まれた暗号
化プログラムあるいは復号化プログラムをＣＰＵ１００
により実行することにより、前述したような暗号化機能
や復号化機能が実現できる。また、このプログラムの実
行により、暗号化されたデータあるいは復号化されたデ
ータが得られる。

【００９２】なお、計算に用いるデータは例えば必要に
応じてその格納場所から（あるいは入出力装置１０６）
からＲＡＭ１０２に読み込まれる。このような機能は、
上記のプログラム中に記述されていてもよいし（その代
わりに、オペレーティングシステムに処理を依頼する命
令を記述しておいてもよいし）、別のプログラムによっ
て予めＲＡＭ１０２に格納しておいてもよい。

【００９３】また、処理の結果得られた暗号化されたデ
ータあるいは復号化されたデータは、必要に応じて、例
えばハードディスク装置（図示せず）に書き込まれ、あ
るいは入出力装置１０６の表示画面に表示され、あるい
はネットワークへのインタフェース装置（図示せず）を
介して所定の通信相手に向けて送出される。このような
機能は、上記のプログラム中に記述されていてもよいし
（その代わりに、オペレーティングシステムに処理を依
頼する命令を記述しておいてもよいし）、別のプログラ
ムで実現されてもよい。

【００９４】図１２の構成は通常のコンピュータを想定
したものであるが、ＣＰＵ１００とＲＡＭ１０２を搭載
したＩＣカードをコンピュータなどに接続しても図１２
のような構成は実現可能である。

【００９５】また、上記では記録媒体としてフレキシブ
ルディスクやＤＶＤなどのディスクを例に上げたが、記
録媒体として他の形態のものを用いることも可能であ
る。例えば、記録媒体としてＲＯＭを用い、これをバス
１２０あるいは他のバスに接続するか、もしくはＲＯＭ
から読み出したプログラムを、ＲＡＭ１０２に書き込む
ようにすることも可能である。あるいは、記録媒体とし
てＩＣカードを用い、図１２のディスクドライブ１０４
の代わりにＩＣカードリーダを用いてインストールする
ようにしてもよい。

【００９６】なお、鍵情報は、例えば、プログラム中に
作り込まれている他、図示しないネットワークを通じて
取得したり、あるいはＩＣカードに保存されているもの
を読み込んだり、あるいは入出力装置１０６から入力し
たり、様々な形態が利用可能である。

【００９７】また、上記プログラムは、その一部の機能
として暗号化機能および／復号化機能を含むものであっ
てもよいし、特定のオペレーティングシステムを前提と
するものであってもよい。本発明は、上述した実施の形
態に限定されるものではなく、その技術的範囲において
種々変形して実施することができる。

【００９８】

【発明の効果】本発明によれば、３回以上、同じ変換を
施すと元の値に戻る関数を、積暗号のラウンド関数とし
て用いることにより、この関数の繰り返し適用回数を変
えるだけで、暗号化および復号化の構造を変化させるこ
とができる。

【００９９】また、本発明によれば、暗号化および復号
化に同じ構成の装置を用いることができるので、装置規
模を小さくすることができ、なおかつ鍵を与える順番を
制御するだけで大規模な制御回路を付加することなく、
可変構造の暗号化装置、復号化装置を実現できる。

【０１００】また、本発明によれば、構造自体を鍵とし
て実現することができるので、より安全であり、さら
に、暗号化と復号化の処理の負担を制御できるので、例
えば暗号化には処理能力の高い装置を復号化は処理能力
の乏しい装置を使うことができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る暗号化と復号化の基
本構成を説明するための図

【図２】本発明の一実施形態に係る暗号化と復号化の他
の構成を説明するための図

【図３】同実施形態に係る暗号化と復号化の一例を示す
図

【図４】同実施形態に係る暗号化と復号化の一例を示す
図

【図５】同実施形態に係る暗号化と復号化の一例を示す
図

【図６】同実施形態に係る暗号化と復号化の一例を示す
図

【図７】同実施形態に係る暗号化と復号化の一例を示す
図

【図８】同実施形態に係る情報処理装置の一例を示す図

【図９】鍵情報の例を示す図

【図１０】同実施形態に係る情報処理装置の一例を示す
図

【図１１】同実施形態に係る情報処理装置の一例を示す
図

【図１２】同実施形態をプログラムを用いて実現する場
合について説明するための図

【符号の説明】

２，３０…ラウンド関数処理部 ４…鍵保管部 ６，８…選択回路 ２０…ラウンド処理部

Claims (11)

【特許請求の範囲】
1. 【請求項１】所定のラウンド関数を用いたデータ変換を
   所定回数繰り返して暗号化データを生成する暗号化方法
   において、 任意の関数ｆ（ｘ）について、ｙi+1 ＝ｆ（ｙi ）と
   し、ｙ1 ＝ｆ（ｐ）とした場合に、ｙn ＝ｐ（ｎは３以
   上のいずれかの整数）を満足する関数ｆ（ｘ）を前記ラ
   ウンド関数として用いることを特徴とする暗号化方法。
2. 【請求項２】所定数のラウンドを有し、各ラウンドごと
   に前記関数ｆ（ｘ）の適用回数ｍを１≦ｍ≦ｎ−１の範
   囲で可変にしたことを特徴とする請求項１に記載の暗号
   化方法。
3. 【請求項３】前記各ラウンドにおける適用回数ｍは、鍵
   情報として与えられたものであることを特徴とする請求
   項２に記載の暗号化方法。
4. 【請求項４】所定のラウンド関数を用いたデータ変換を
   所定回数繰り返して暗号化データのもととなったデータ
   を生成する復号化方法において、 任意の関数ｆ（ｘ）について、ｙi+1 ＝ｆ（ｙi ）と
   し、ｙ1 ＝ｆ（ｐ）とした場合に、ｙn ＝ｐ（ｎは３以
   上のいずれかの整数）を満足する関数ｆ（ｘ）を前記ラ
   ウンド関数として用いることを特徴とする復号化方法。
5. 【請求項５】所定数のラウンドを有し、各ラウンドごと
   に前記関数ｆ（ｘ）の適用回数ｓを１≦ｓ≦ｎ−１の範
   囲で可変にしたことを特徴とする請求項４に記載の復号
   化方法。
6. 【請求項６】前記各ラウンドにおける適用回数ｓは、鍵
   情報として与えられたものであることを特徴とする請求
   項５に記載の復号化方法。
7. 【請求項７】所定のラウンド関数を用いたデータ変換を
   所定回数繰り返して暗号化データを生成する暗号化装置
   において、 任意の関数ｆ（ｘ）について、ｙi+1 ＝ｆ（ｙi ）と
   し、ｙ1 ＝ｆ（ｐ）とした場合に、ｙn ＝ｐ（ｎは３以
   上のいずれかの整数）を満足する所定の関数ｆ（ｘ）を
   前記ラウンド関数としてデータ変換する手段と、 各ラウンドにおける前記関数ｆ（ｘ）の適用回数ｍ（１
   ≦ｍ≦ｎ−１）を示す情報を記憶する手段と、 記憶された前記各ラウンドにおける適用回数ｍを示す情
   報に基づいて前記データ変換を繰り返し実行させる手段
   とを備えたことを特徴とする暗号化装置。
8. 【請求項８】所定のラウンド関数を用いたデータ変換を
   所定回数繰り返して暗号化データのもととなったデータ
   を生成する復号化装置において、 任意の関数ｆ（ｘ）について、ｙi+1 ＝ｆ（ｙi ）と
   し、ｙ1 ＝ｆ（ｐ）とした場合に、ｙn ＝ｐ（ｎは３以
   上のいずれかの整数）を満足する所定の関数ｆ（ｘ）を
   前記ラウンド関数としてデータ変換する手段と、 各ラウンドにおける前記関数ｆ（ｘ）の適用回数ｓ（１
   ≦ｓ≦ｎ−１）を示す情報を記憶する手段と、 記憶された前記各ラウンドにおける適用回数ｐを示す情
   報に基づいて前記データ変換を繰り返し実行させる手段
   とを備えたことを特徴とする復号化装置。
9. 【請求項９】コンピュータに、処理対象のデータに対し
   て、ｙi+1 ＝ｆ（ｙi ）としｙ1 ＝ｆ（ｐ）とした場合
   にｙn ＝ｐ（ｎは３以上のいずれかの整数）を満足する
   所定のラウンド関数ｆ（ｘ）を用いたデータ変換をｎよ
   り小さい所定の回数繰り返させるための手順を含むプロ
   グラムを記録したコンピュータ読取り可能な記録媒体。
10. 【請求項１０】前記プログラムはコンピュータに前記所
    定の回数を定めさせる手順を含むものであることを特長
    とする請求項９に記載のコンピュータ読取り可能な記録
    媒体。
11. 【請求項１１】コンピュータに所定のラウンド関数を用
    いたデータ変換処理を実行させるためのプログラムであ
    って、コンピュータを、任意の関数ｆ（ｘ）についてｙ
    i+1 ＝ｆ（ｙi ）としｙ1 ＝ｆ（ｐ）とした場合にｙn
    ＝ｐ（ｎは３以上のいずれかの整数）を満足する所定の
    関数ｆ（ｘ）をラウンド関数としてデータ変換する手
    段、各ラウンドにおける前記関数ｆ（ｘ）の適用回数ｍ
    （１≦ｍ≦ｎ−１）を示す情報を記憶する手段、および
    記憶された前記各ラウンドにおける適用回数ｍを示す情
    報に基づいて前記データ変換を繰り返し実行させる手段
    として機能させるためのプログラムを記録したコンピュ
    ータ読取り可能な記録媒体。