JPH1051439A

JPH1051439A - 暗号化装置

Info

Publication number: JPH1051439A
Application number: JP9129972A
Authority: JP
Inventors: Natsume Matsuzaki; なつめ松崎; Toshiharu Harada; 俊治原田; Makoto Tatebayashi; 誠館林
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1996-05-22
Filing date: 1997-05-20
Publication date: 1998-02-20
Anticipated expiration: 2017-05-20
Also published as: JP3898796B2

Abstract

(57)【要約】【課題】規模の小さな暗号化ＩＣを備え、機器間通信
の安全性を確保するための必要最小限の機能を有する暗
号化装置を提供する。【解決手段】第１の機器５１において、第１の暗号化
ＩＣ５４は、第２の機器を認証する過程（ステップ
(1)、(3)、(6),(7)）で生成した乱数Ｒ３と、自らの正
当性を第２の機器５２に対して証明する過程（ステップ
(2)、(4)、(5),(8)）で獲得した乱数ＲＲ４とを結合す
ることで時変のデータ転送鍵を生成し（ステップ
(9)）、そのデータ転送鍵を用いてデジタル著作物を暗
号化し、第２の機器５２に転送する（ステップ(11)）。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、秘密鍵を共有して
暗号通信を行なう通信機器に備えられる暗号化装置に関
し、特に、小さい回路規模で実現することができる暗号
化装置に関する。

【０００２】

【従来の技術】通信路を介して通信されているデータが
通信路上で不正にコピーされたり改変されることを防ぐ
ことが必要となる場合が数多くある。例えば、映画など
の著作物がディジタル化されさらに情報圧縮され、さら
に光ディスク上にディジタル記録されており、これが光
ディスク再生装置により電気情報として取り出され、取
り出されたデジタル情報が情報伸長装置により伸長さ
れ、映像音響再生装置により再生されるような場合であ
る。

【０００３】ここで光ディスク再生装置と情報伸長装置
は別々の機器として分離しており、その間がディジタル
通信路によりデータ通信される場合、この通信データが
著作者の許可なくディジタル情報記録装置により記録さ
れ、さらにディジタル情報複製装置により複製されるも
のであれば、その映画の著作物が不正に複製されること
になり、著作権の侵害が起こる。従って通信路を介して
通信されているデータが通信路上で不正にコピーされる
ことを防がなければならない。機器内の回路や部品の仕
様が一般には公開されないのに対し、データ通信のため
の電気的特性や信号形式は一般に公開される場合が多い
ので通信路におけるデータの不正コピーやそれに引き続
くデータの改変が大きな問題になる。

【０００４】このような不正行為を排除して安全な通信
を確保するための技術については従来より様々なものが
知られている。最も代表的なものは相手認証技術を用い
るものである。これは基本的にはデータを送出する側が
受信する側の正当性を認証し、正当な受信者であること
が確認できたときのみにデータを送信することで、デジ
タル著作物が不正な機器に受信されることを防止するも
のである。

【０００５】なお、この場合の受信者のように自らの正
当性を証明する側を証明者と呼び、またこの場合の送信
者のように相手の正当性を確認する側を認証者と呼ぶ。
また、前述の光ディスク記録再生に関わる機器のような
場合では、特定の機器の間で認証が成功するか否かとい
うことよりも、それら機器が光ディスク関連機器の業界
によって定められた規格に準拠したものであるか否かが
問題となる。従ってこのような場合では、「正当性」と
は「所定の規格に準拠すること」を意味する。（第１の従来技術）第１の具体的な従来技術として、国
際標準規格ISO/IEC9798-2に記載される暗号技術を用い
た一方向認証方法がある。

【０００６】この認証方法は証明者が認証鍵と呼ばれる
秘密のデータを持つことを、その鍵自身を知らせること
なく認証者に対して証明することを基本としている。そ
のためにまず認証者があるデータを選びこれを証明者に
対して投げかける。この行為をチャレンジ、投げかけた
データをチャレンジデータと呼ぶ。これに対して証明者
は、予め所有していた暗号変換と認証鍵を用いて前記チ
ャレンジデータを暗号化する。そして、暗号化したデー
タを認証者に返す。この行為をレスポンス、そのデータ
をレスポンスデータを呼ぶ。

【０００７】このレスポンスデータを受信した認証者
は、証明者が所有している暗号変換の逆変換である復号
変換と認証鍵を共有しており、証明者から返信されてき
たレスポンスデータをその認証鍵と復号変換を用いて復
号化する。この結果が前記チャレンジデータと一致すれ
ば受信者は正規の認証鍵を持つものと判断し、証明者の
正当性を認証する。一方向認証とは一方の側がその正当
性を他方に証明することを意味する。

【０００８】ここで、暗号変換Ｔとは、鍵データＳによ
り定まる平文集合から暗号文集合への写像である。平文
をＸとしたとき暗号文をＴ（Ｓ，Ｘ）と書く。同じ鍵
データＳにより定まる暗号文集合から平文集合への写像
である逆変換ＴＩＮＶとの間には、ＴＩＮＶ（Ｓ，Ｔ（Ｓ，Ｘ）） = Ｘの関係がある。これは平文Ｘを暗号変換し、これを逆変
換すると元に戻ることを意味している。暗号変換の逆変
換を復号変換と呼ぶ。暗号変換であるためには鍵Ｓの知
識がないときに暗号文Ｔ（Ｓ，Ｘ）から平文Ｘを求める
のが困難であることが必要である。なお、慣例により暗
号変換をＥ（Ｓ，）、復号変換をＤ（Ｓ，）と記
す。

【０００９】図１１は、前記規格に記載されている認証
方法の一例を示す図である。図１１では、第１の機器１
１から第２の機器１２にデジタル著作物ｍｊを転送する
場合が示されている。ここでは、第１の機器１１が第２
の機器１２の正当性を確認する。以下この従来の一方向
認証方法の動作を同図に示されたステップ番号に従って
説明する。

【００１０】(1) 第１の機器１１は、乱数Ｒ１を生成す
る。そしてこれをチャレンジデータとして通信路を介し
て第２の機器１２に送信する。 (2) 第２の機器１２はこの乱数を受けとると、第２の機
器１２に格納されている秘密の認証鍵Ｓを暗号鍵として
この乱数を暗号化する。そしてその結果Ｃ１をレスポン
スデータとして通信路を介して第１の機器１１に送信す
る。

【００１１】(3) 第１の機器１１はこのレスポンスデー
タを受け取ると、第１の機器１１に格納されている認証
鍵Ｓを復号鍵としてこのレスポンスデータＣ１を復号化
する。 (4) 第１の機器１１は、復号の結果ＲＲ１を第１の機器
１１内に一時保管されている乱数Ｒ１と比較する。これ
が一致すれば第１の機器１１は第２の機器１２機器が同
じ認証鍵Ｓを保有するものと考え、通信相手が正当なも
のであると認証する。一方、一致しなければ通信相手が
正当なものではないものと判断して処理を中断する。

【００１２】(5) 第１の機器１１は第２の機器１２を正
当なものと認証した後、デジタル著作物を通信路を介し
て第２の機器１２に送信する。もしも、第２の機器１２
の代わりに認証鍵Ｓを有さない第３の機器が通信路に接
続されている場合には、その第３の機器は上記ステップ
(2)で正しい値のデータＣ１を作成することができず、
結果としてステップ(3)で復号の結果ＲＲ１が前記Ｒ１
と一致しないため、ステップ(4)において第１の機器１
１はデジタル著作物をその第３の機器に伝送しない。

【００１３】なお、第１の機器１１と第２の機器１２の
間でいつも同じチャレンジデータとレスポンスデータが
用いられるならば、そのことを知った不正な第３の機器
が第２の機器１２になりすますことが考えられる。これ
を避けるために第１の機器１１からは毎回異なるチャレ
ンジデータ（乱数）を送っている。（第２の従来技術）ところで、上記第１の従来技術で
は、例えば認証の後、ハードディスク装置に記憶されて
いる偽りのデータを正規の認証鍵を有する第２の機器１
２に対して不正に送出することも可能である。この問題
を解決するため、第１の機器１１が第２の機器１２の正
当性を確認すると同時に、第２の機器１２も第１の機器
１１の正当性を確認することが必要となる。

【００１４】また、双方の機器が認証した後にデジタル
著作物を通信路を介して第２の機器１２に伝送している
最中に、この通信路上のデータを抜きとり、これを例え
ばハードディスク装置に記憶することが考えられる。も
ちろんこのためには通信路上の信号の電気的特性やデー
タ形式などの知識が必要であるが、それらの知識は一般
に特に秘密にされている情報ではないので、そのディジ
タル著作物の抜きとりは技術的に十分に可能である。そ
のため、認証だけでは不十分であり、認証が成功した後
に、各機器間でランダムに生成した新たな鍵を共有し、
その鍵を用いてデジタル著作物を暗号化して転送する暗
号通信をすることが必要になる。なお、デジタル著作物
等の転送すべきデータを暗号化するための秘密鍵を、以
下、「データ転送鍵」と呼ぶ。

【００１５】以下、上記第１の従来技術である一方向認
証を拡張し、双方向認証とデータ転送鍵の共有化と暗号
通信とを行なう第２の従来技術を説明する。図１２は、
この双方向認証を実現する装置の一例を示す。図１２に
は、第１の機器２１から第２の機器２２にデジタル著作
物ｍｊを暗号化した後に転送する場合が示されている。

【００１６】以下この従来の双方向認証とデータ転送鍵
の共有化の動作を同図に示されたステップ番号に従って
説明する。 (1) 第１の機器２１は乱数Ｒ１を生成する。これは第１
のチャレンジデータとしての意味を持つ。そしてこれを
通信路を介して第２の機器２２に送信する。ここで乱数
Ｒ２は第２の機器２２から第１の機器２１への第２のチ
ャレンジデータとしての意味を持つ。つまり、暗号文Ｃ
１は第１のチャレンジデータに対するレスポンスデータ
と第２のチャレンジデータの両方の意味を持つ。

【００１７】(2) 第２の機器２２は乱数Ｒ２を生成し、
それと第１の機器２１から受けとった乱数Ｒ１とを結合
することで結合データＲ１||Ｒ２を作成する。ここで記
号" || "は双方のデータを桁方向に並べて結合すること
を示す。そして第２の機器２２の認証鍵Ｓを暗号鍵とし
て、この結合データＲ１||Ｒ２を暗号化し、その暗号文
Ｃ１を第１の機器２１に送信する。

【００１８】(3) 第１の機器２１は、第２の機器２２か
ら受信した暗号文Ｃ１を認証鍵Ｓを復号鍵として復号化
し、その結果の上位を分離データＲＲ１、下位を分離デ
ータＲＲ２とする。 (4) 第１の機器２１では、この分離データＲＲ１を第１
の機器２１に一時記憶されている乱数Ｒ１と比較する。
これが一致すれば通信相手が認証鍵Ｓを持っている正当
な機器であると認証する。もしも一致しなければここで
認証処理を中断する。

【００１９】(5) 第１の機器２１は、乱数Ｋを発生しこ
れをデータ転送鍵Ｋとして設定する。そして前記獲得し
た分離データＲＲ２とこのデータ転送鍵Ｋを結合した結
合データＲＲ２||Ｋを第１の機器２１の認証鍵Ｓで暗号
化して、その暗号文Ｃ２を第２の機器２２に送信する。 (6) 第２の機器２２は、第１の機器２１から受信した暗
号文Ｃ２を認証鍵Ｓを用いて復号化し、その上位を分離
データＲＲＲ２、下位を分離データＫＫとする。

【００２０】(7) 第２の機器２２は、この分離データＲ
ＲＲ２を第２の機器２２に一時記憶されている乱数Ｒ２
と比較する。これが一致すれば通信相手が認証鍵Ｓを持
っている正当な機器であると認証する。もしも一致しな
ければ、ここで認証処理を中断する。一方、復号化した
分離データＫＫをデータ転送鍵ＫＫとして設定する。

【００２１】(8) 第１の機器２１は、前記データ転送鍵
Ｋを用いてデジタル著作物を暗号化し、通信路を介して
第２の機器２２に送信する。 (9)第２の機器２２ではこれを前記データ転送鍵ＫＫを
用いて復号化し、もとのデジタル著作物を獲得する。こ
こで、もしも第１の機器２１が正規の認証鍵Ｓを有し、
第２の機器２２が正規の認証鍵を有していない場合に
は、ステップ(4)で第１の機器２１は通信相手が正規の
認証鍵を有していないものと判断し、認証処理を中断で
きる。また第１の機器２１が正規の認証鍵を有しておら
ず、第２の機器２２は正規の認証鍵を有している場合に
は、ステップ(7)において第２の機器２２は通信相手が
正規の認証鍵を有していないものと判断し、認証処理を
中断できる。このようにしてデジタル著作物が不正な機
器に流出することを防止すると同時に不正な機器から正
当な機器に流入することも防止することができる。

【００２２】さらに、第１の機器２１も第２の機器２２
も正当な認証鍵を有している場合において前記認証処理
が完了しステップ(8)においてデジタル著作物が通信路
上を伝送されている際に、もし、そのデジタル著作物が
電気的にコピーされ、ディジタル蓄積装置に蓄積された
場合であっても、そのディジタル著作物は暗号化されて
いるので、無意味なデジタルデータとなっており、元の
デジタル著作物は有効に保護される。

【００２３】以上のように、暗号技術を用いた双方向認
証が首尾よく行われるには、第１の機器２１及び第２の
機器２２の内部に格納されている認証鍵が不正を行おう
とするものに容易に分からないことが必須の条件とな
る。また、チャレンジデータのための乱数の生成部やデ
ータ転送鍵Ｋの生成部が外部からアクセス不可なこと、
変更できないことが必要である。

【００２４】それら構成要素の秘匿性を確保する最も効
果的な方法は、上記の認証やデータ転送鍵の共有化及び
暗号通信を行う部分をＩＣとして実現する方法である。
ＩＣを解析するには一般に多大な労力がかかるので、認
証鍵などが容易には解読されないからである。

【００２５】

【発明が解決しようとする課題】ところが、上記の第２
従来技術における第１の機器２１をＩＣで実現するため
には、そのようなＩＣ（以下、「暗号化ＩＣ」とい
う。）は次の部分を備えることが必要である。・乱数Ｒ１を生成する乱数生成部・暗号文Ｃ１を復号化するための復号部・認証鍵Ｓを格納する部分・乱数Ｒ１と分離データＲＲ１を比較するための比較部・データ転送鍵Ｋを生成するための乱数生成部・分離データＲＲ２とデータ転送鍵Ｋを結合して暗号化
するための暗号部・データ転送鍵Ｋを格納する部分・データ転送鍵Ｋを用いてデジタル著作物を暗号化する
暗号部第２の機器２２についてもこれと同程度の規模のハード
ウェアが必要である。

【００２６】このように、上記従来の認証方式をＩＣで
実現したのでは、２つの乱数生成部、２つの変換部（復
号部と暗号部）非常に多くの機能を持たなければならな
いために、回路規模が大きくなり結局機器のコストアッ
プにつながるという問題点を有する。また、上記第２従
来技術ではデータを暗号化するためのデータ転送鍵Ｋは
第１の機器２１が生成しているが、相互認証が必要とさ
れるのと同じ理由により、この鍵は双方の機器が生成し
た値を反映するほうが望ましい。

【００２７】以上説明したように、機器間の回線を保護
するためには、認証等の機能やそのための秘密の情報を
ＩＣに封じ込めて実現する方法が効果的である。しか
し、従来の方法において、相互認証の部分、データ転送
鍵の共有化の部分及びデータ暗号化の部分をすべて１つ
のＩＣで実現するのでは、そのＩＣの規模は非常に大き
くなってしまい、コストアップにつながる。

【００２８】そこで、本発明は、規模の小さな暗号化Ｉ
Ｃを備え、機器間通信の安全性を確保するための必要最
小限の機能を有する暗号化装置を提供することを第１の
目的とする。ここで暗号化ＩＣは次の機能を有する。 (1) 認証鍵を安全に格納する。その鍵は外部からのアク
セスにより書き換え及び読み出しがなされない。

【００２９】(2) データ転送鍵を安全に共有する。その
鍵は外部からのアクセスにより書き換え及び読み出しが
なされない。 (3) 但し、通信システムの安全性に関連しない部分を暗
号化ＩＣに備えないことにより、暗号化ＩＣの規模を最
小とする。また、本発明の第２の目的は、規模の小さな
暗号化ＩＣを用いて実現するのに好適であり、かつ、安
全性の高い暗号通信システムを提供することである。

【００３０】

【課題を解決するための手段】上記第１の目的を達成す
るために本発明は、データ転送鍵の共有化とそのデータ
転送鍵を用いた暗号通信を行なう機器に備えられる暗号
化装置であって、前記データ転送鍵の共有化のための第
１乱数を生成する第１乱数生成手段と、前記第１乱数生
成手段により生成された第１乱数を保持する第１乱数保
持手段と、前記第１乱数生成手段により生成された第１
乱数を前記暗号通信の相手機器に送信する第１送信手段
と、前記第１乱数保持手段に保持された第１乱数を用い
て時変の前記データ転送鍵を生成するデータ転送鍵生成
手段と、暗号通信の対象となる転送データに対して前記
データ転送鍵を用いて暗号化する転送データ暗号化手段
とを備え、前記第１乱数生成手段、前記第１乱数保持手
段、前記データ転送鍵生成手段及び前記転送データ暗号
化手段は、１個のＩＣ内の回路で実現され、前記第１乱
数保持手段は、前記ＩＣの外部からアクセスできない領
域に前記第１乱数を保持することを特徴とする。

【００３１】これにより、データ転送鍵の生成に直接関
連する第１乱数は外部からアクセスできない暗号化ＩＣ
の内部に保持されるので、時変のデータ転送鍵は各機器
に安全に共有され、暗号通信が行われる。また、暗号化
ＩＣは、機器間通信の安全性を確保するための必要最小
限の機能を持つので、小さな回路で実現することができ
る。

【００３２】また、上記第２の目的を達成するために本
発明は、データ転送鍵の共有化とそのデータ転送鍵を用
いた暗号通信を行なう送信機及び受信機から構成される
通信システムであって、それら送信機及び受信機は、チ
ャレンジレスポンス型の認証プロトコルに基づく通信に
より相互に相手機器が正当な機器であることを認証し合
うものであり、それぞれ、チャレンジデータ用の第１乱
数を生成する第１乱数生成手段と、前記データ転送鍵用
の第２乱数を生成する第２乱数生成手段と、前記第１乱
数と前記第２乱数を結合する結合手段と、前記結合デー
タを暗号化する暗号化手段と、暗号化された前記結合デ
ータを前記相手機器に送信する第１送信手段と、前記相
手機器の第１送信手段から送信された暗号化された結合
データを受信する第１受信手段と、受信した前記結合デ
ータを復号化する復号化手段と、復号化された前記結合
データをレスポンスデータに相当する第１分離データと
前記データ転送鍵用の第２分離データに分離する分離手
段と、前記第１分離データをレスポンスデータとして前
記相手機器に返信する第２送信手段と、前記相手機器の
第２送信手段から返信された第１分離データを受信する
第２受信手段と、受信した前記第１分離データと前記第
１乱数とを比較し、一致している場合に前記相手機器を
正当な機器と認証する比較手段と、前記第２乱数と前記
第２分離データとを結合することで、前記データ転送鍵
を生成するデータ転送鍵生成手段と、前記認証がなされ
た場合に、生成された前記データ転送鍵を用いて前記相
手機器と暗号通信を行なう暗号通信手段とを備えること
を特徴とする。

【００３３】これにより、送信機及び受信機間で相互認
証が行われると共にデータ転送鍵が生成されること、デ
ータ転送鍵の生成に直接関連する乱数はそのままでは送
受信されないこと、及び、データ転送鍵の生成に直接関
連する２つの乱数はそれぞれ送信機及び受信機から提供
されたものであることから、規模の小さな暗号化ＩＣを
用いて実現するのに好適であり、かつ、安全性の高い暗
号通信システムが実現される。

【００３４】

【発明の実施の形態】

（実施の形態１）図１は、本発明に係る暗号化装置を備
えた第１の機器と第２の機器間で相互認証とデータ転送
鍵の共有化とデータの暗号通信とを行う実施の形態１に
おける処理シーケンスを示す図である。

【００３５】図１では、第１の機器５１から第２の機器
５２にデジタル著作物ｍｊを転送する場合が示されてい
る。なお、図１には、各機器５１、５２が備える暗号化
装置だけが示されており、暗号化装置と直接に関連しな
い他の構成要素（送受信部やデジタル著作物の処理系
等）は省略されている。第１の機器５１に備えられた本
発明に係る暗号化装置は、大きく分けてＭＰＵ５３と第
１の暗号化ＩＣ５４とから構成される。

【００３６】ＭＰＵ５３は、この暗号化装置に固有の制
御プログラムを保持するＲＯＭとその制御プログラムを
実行する汎用マイクロプロセッサとＲＡＭ等からなり、
データ転送鍵の共有化に直接的には関与しない処理（図
中のステップ(1)、(7)）を行なう。第１の暗号化ＩＣ５
４は、１チップの半導体ＩＣであり、データ転送鍵の共
有化に直接的に関与する処理（図中のステップ(3),(5),
(9),(11)）を行なう。

【００３７】同様に、第２の機器５２に備えられた本発
明に係る暗号化装置も、大きく分けてＭＰＵ５５と第２
の暗号化ＩＣ５６とから構成される。ＭＰＵ５５は、こ
の暗号化装置に固有の制御プログラムを保持するＲＯＭ
とその制御プログラムを実行する汎用マイクロプロセッ
サとＲＡＭ等からなり、データ転送鍵の共有化に直接的
には関与しない処理（図中のステップ(2)、(8)）を行な
う。

【００３８】第２の暗号化ＩＣ５６は、１チップの半導
体ＩＣであり、データ転送鍵の共有化に直接的に関与す
る処理（図中のステップ(4),(6),(10),(12)）を行な
う。なお、この実施の形態においては、データ暗号化規
格（DES:Data EncryptionStandard）に準拠した６４ビ
ットブロック暗号アルゴリズムＥとその逆変換アルゴリ
ズムＤを用いている。以降では暗号アルゴリズムＥを用
いる変換を「暗号化」、逆変換アルゴリズムＤを用いる
変換を「復号化」と称する。

【００３９】また、第１の暗号化ＩＣ５４は暗号アルゴ
リズムＥだけを、第２の暗号化ＩＣ５６は逆変換アルゴ
リズムＤだけを備える。これは、各暗号化ＩＣ５４、５
６の規模を削減することと、安全性のためである。以
下、図１に示されたステップ番号に従って、実施の形態
１における暗号化装置の動作を説明する。

【００４０】(1) 第１の機器５１のＭＰＵ５３において
乱数Ｒ１（３２ビット）を生成して、記憶するとともに
第１の暗号化ＩＣ５４に渡す。 (2) ステップ(1)と同様に、第２の機器５２のＭＰＵ５
５において乱数Ｒ２（３２ビット）を生成して、記憶す
るとともに第２の暗号化ＩＣ５６に送信する。

【００４１】(3) 第１の暗号化ＩＣ５４において、乱数
Ｒ３（３２ビット）を生成、外部よりアクセスできない
領域に格納する。そして、前記ＭＰＵで生成した乱数Ｒ
１と前記乱数Ｒ３を結合してＥ関数で暗号化する。ここ
で、記号" || "は２つの乱数を桁方向に結合して６４ビ
ット（乱数Ｒ１を上位３２ビット、乱数Ｒ３を下位３２
ビット）とすることを示している。また、暗号化には第
１の暗号化ＩＣ５４及び第２の暗号化ＩＣ５６で予め共
通に保持している秘密の認証鍵Ｓを用いる。第１の暗号
化ＩＣ５４は、第１の機器５１の送信部（図では示して
いない）を介して上記暗号結果Ｃ１を第２の機器５２に
送信する。

【００４２】(4) ステップ(3)と同様に、第２の暗号化
ＩＣ５６において、乱数Ｒ４（３２ビット）を生成し
て、外部よりアクセスできない領域に格納する。前記Ｍ
ＰＵで生成した乱数Ｒ２と前記乱数Ｒ４を結合して逆変
換アルゴリズムＤで復号化する。復号には前記認証鍵Ｓ
を用いる。第２の暗号化ＩＣ５６は、第２の機器５２の
送信部（図では示していない）を介して復号結果Ｃ２
（６４ビット）を第１の機器５１に送信する。

【００４３】(5) 第１の暗号化ＩＣ５４において、前記
第２の機器５２から受信した復号文Ｃ２を前記Ｅ関数を
用いて前記認証鍵Ｓで暗号化する。そして、得られた６
４ビットをその上位３２ビットである分離データＲＲ２
と下位３２ビットである分離データＲＲ４に分離する。
さらに、分離データＲＲ２は第１の機器５１の送信部を
介して第２の機器５２に送信し、一方、分離データＲＲ
４は外に出さずに第１の暗号化ＩＣ５４内の外部からア
クセスできない領域に格納する。

【００４４】なお、第１の暗号化ＩＣ５４及び第２の暗
号化ＩＣ５６が互いに正規なものであり同じ認証鍵Ｓを
保持している場合には、前記分離データＲＲ２は前記第
２の機器５２のＭＰＵ５５が生成した乱数Ｒ２と一致
し、前記分離データＲＲ４は前記第２の暗号化ＩＣ５６
が内部に格納している乱数Ｒ４と一致する。 (6) ステップ(5)と同様に、第２の暗号化ＩＣ５６にお
いて、前記第１の暗号化ＩＣ５４から受信した暗号文Ｃ
１を前記逆変換アルゴリズムＤを用いて前記認証鍵Ｓで
復号化する。そして、得られた６４ビットをその上位３
２ビットである分離データＲＲ１と下位３２ビットであ
る分離データＲＲ３に分離する。さらに、分離データＲ
Ｒ１は第２の機器５２の送信部を介して第１の機器５１
に送信し、一方、分離データＲＲ３は外に出さずに第２
の暗号化ＩＣ５６内の外部からアクセスできない領域に
格納する。

【００４５】なお、第１の暗号化ＩＣ５４及び第２の暗
号化ＩＣ５６が互いに正規なものであり同じ認証鍵Ｓを
保持している場合には、前記分離データＲＲ１は前記乱
数Ｒ１と一致し、前記分離データＲＲ３は前記乱数Ｒ３
と一致する。 (7) 第１の機器５１のＭＰＵ５３において前記ステップ
(1)で記憶していた乱数Ｒ１と前記第２の機器５２から
受信した分離データＲＲ１とを比較し、一致している場
合には、第２の暗号化ＩＣ５６及びそれを備えた第２の
機器５２を正当な機器と認証する。

【００４６】(8) ステップ(7)と同様に、第２の機器５
２のＭＰＵ５５において前記ステップ(2)で記憶してい
た乱数Ｒ２と前記第２の機器５２から受信した分離デー
タＲＲ２とを比較し、一致している場合には、第１の暗
号化ＩＣ５４及びそれを備えた第１の機器５１を正当な
機器と認証する。 (9) 第１の暗号化ＩＣ５４において、前記ステップ(3)
で記憶しておいた乱数Ｒ３と前記分離データＲＲ４を結
合することでデータ転送鍵Ｋを作成する。ここでは、乱
数Ｒ３を上位の３２ビット、分離データＲＲ４を下位の
３２ビットとするデータ転送鍵Ｋ（６４ビット）を生成
する。なお、このデータ転送鍵Ｋは、２つの乱数の結合
であるので、時変、即ち、新たにランダムに生成された
鍵と言える。

【００４７】(10) ステップ(9)と同様に、第２の暗号化
ＩＣ５６において、前記分離データＲＲ３と前記ステッ
プ(4)で記憶しておいた乱数Ｒ４を結合することでデー
タ転送鍵Ｋを生成する。ここでは、上記分離データＲＲ
３を上位の３２ビット、上記ステップ(4)で記憶してお
いた乱数Ｒ４を下位の３２ビットとするデータ転送鍵Ｋ
（６４ビット）を生成する。このデータ転送鍵も時変の
鍵である。

【００４８】なお、ステップ(7)及びステップ(8)での相
互の認証が成功した場合には、ステップ(3)で生成され
た乱数Ｒ３とステップ(6)で得られた分離データＲＲ３
とは一致し、ステップ(4)で生成された乱数Ｒ４とステ
ップ(5)で得られた分離データＲＲＲ４とは一致するこ
とになるので、結果的に、ステップ(9)及びステップ(1
0)それぞれで生成されるデータ転送鍵Ｋは一致すること
になる。

【００４９】(11) 第１の機器５１の第１の暗号化ＩＣ
５４において、ＭＰＵ５３から送られてくるブロック化
されたデジタル著作物ｍｊ（６４ビット）を上記ステッ
プ(9)で得られたデータ転送鍵Ｋを用いて暗号化し、得
られた暗号文Ｃｊを第２の機器５２に送信する処理を、
転送すべき全てのデジタル著作物を送信し終えるまで繰
り返す。

【００５０】(12) ステップ(11)に対応して、第２の機
器５２の第２の暗号化ＩＣ５６において、第１の機器５
１が送信した暗号化された上記デジタル著作物Ｃｊ（６
４ビット）を受信し、上記ステップ(10)で得られたデー
タ転送鍵Ｋを用いて復号化し、得られたデジタル著作物
ｍｍｊをＭＰＵ５５に送る。この復号化は上記デジタル
著作物Ｃｊが第１の機器５１から送信されてくる限り繰
り返す。

【００５１】このようにして、実施の形態１の暗号化装
置により、第１の機器５１と第２の機器５２間で相互認
証とデータ転送鍵Ｋの共有化とデータの暗号通信とが行
われる。以上の説明から明らかなように、上記実施の形
態１の暗号化装置は、以下の特徴を有する。

【００５２】第１の特徴は、データ転送鍵Ｋは暗号化Ｉ
Ｃの内部に安全に保護されていることである。具体的に
は、第１の機器５１が備える暗号化装置であれば、デー
タ転送鍵Ｋを生成するために直接的に用いられた２つの
データ、即ち、乱数Ｒ３と分離データＲＲ４は以下の条
件を満たす。・乱数Ｒ３は、第１の暗号化ＩＣ５４の内部で生成さ
れ、外部に出力されておらず、かつ、外部から読めない
領域に保持されている。

【００５３】・分離データＲＲ４は、第１の暗号化ＩＣ
５４の内部で生成（分離生成）され、外部に出力されて
おらず、かつ、外部から読めない領域に保持されてい
る。これらのことにより、データ転送鍵Ｋは暗号化ＩＣ
内に保護されるので、暗号アルゴリズムＥ及び逆変換ア
ルゴリズムＤとして公開されているものを採用したとし
ても、第１の機器５１及び第２の機器５２間における暗
号通信の安全性は保証される。

【００５４】第２の特徴は、暗号化ＩＣ内に納められる
回路は、必要最低限のものに留められていることであ
る。具体的には、第１の機器５１が備える暗号化装置で
あれば、以下の処理は、第１の暗号化ＩＣ５４の外の回
路、即ち、ＭＰＵ５３によって実現されている。・乱数Ｒ１の生成・乱数Ｒ１と分離データＲＲ１との比較つまり、第１の暗号化ＩＣ５４の回路規模が不必要に大
きくならないように配慮されている。これら２つの処理
は、相手機器の認証に関するものであり、データ転送鍵
Ｋの生成に直接的には関与していない。従って、たと
え、これら処理がＩＣ外で実現されていることを利用し
て不正をしようとしても、第１の機器５１に利益をもた
らすような不正をはたらくことは不可能である。なお、
第２の機器５２からのチャレンジデータＣ２に対するレ
スポンスデータＲＲ２の作成は暗号化ＩＣ内で行ってい
る。

【００５５】図２は、第１の暗号化ＩＣ５４のハードウ
ェア構成を示すブロック図である。第２の暗号化ＩＣ５
６も同程度のハードウェア規模で実現できる。外部Ｉ／
Ｆ部６１は、この第１の暗号化ＩＣ５４の内部回路に外
部からアクセスするための唯一の入出力ポートである。
乱数生成部６０は、３２ビットの乱数Ｒ３を生成する。

【００５６】乱数格納部６２は、乱数生成部６０で生成
された乱数Ｒ３を保持する記憶回路である。結合部６３
は、乱数格納部６２に格納された乱数Ｒ３を下位３２ビ
ットとし、外部Ｉ／Ｆ部６１を介して入力された３２ビ
ットのデータＲ１を上位３２ビットとして結合する。

【００５７】認証鍵Ｓ格納部６４は、予め与えられた認
証鍵Ｓを保持する記憶回路である。スイッチ６５、６６
は、それぞれ６４ビット幅の３入力１出力マルチプレク
サ、６４ビット幅の２入力１出力マルチプレクサであ
る。Ｅ関数６７は、暗号アルゴリズムＥに基づく暗号化
回路である。スイッチ６８は、６４ビット幅の１入力３
出力デマルチプレクサである。

【００５８】分離部６９は、スイッチ６８から出力され
た６４ビットデータを上位３２ビットＲＲ２と下位３２
ビットＲＲ４に分離する。データ転送鍵Ｋ生成部５９
は、乱数格納部６２に格納された乱数Ｒ３を上位３２ビ
ットとし、分離部６９で分離された分離データＲＲ４を
下位３２ビットとして結合することで、データ転送鍵Ｋ
を生成する。

【００５９】データ転送鍵Ｋ格納部７０は、データ転送
鍵Ｋ生成部５９で生成されたデータ転送鍵Ｋを保持する
記憶回路である。次に、この図２に示された各構成要素
が図１に示された各ステップにおいていかに動作するの
かを示す。図１のステップ(3)においては、乱数生成部
６０は乱数Ｒ３を生成して乱数格納部６２に格納し、結
合部６３はその乱数Ｒ３と外部Ｉ／Ｆ部６１を介して入
力される乱数Ｒ１とを結合し、スイッチ６５を介してＥ
関数６７に送る。Ｅ関数６７は、認証鍵Ｓ格納部６４か
らスイッチ６６を介して認証鍵Ｓを受け取り、それを用
いて結合部６３から出力された結合データＲ１||Ｒ３を
暗号化し、その結果Ｃ１をスイッチ６８及び外部Ｉ／Ｆ
部６１を介して第２の機器５２に出力する。

【００６０】図１のステップ(5)及び(9)においては、外
部Ｉ／Ｆ部６１を介して入力される復号文Ｃ２はスイッ
チ６５を経てＥ関数に入力される。Ｅ関数６７は、認証
鍵Ｓ格納部６４から認証鍵Ｓを受け取り、それを用いて
復号文Ｃ２を暗号化し、スイッチ６８を介して分離部６
９に送る。分離部６９は、それを分離データＲＲ２と分
離データＲＲ４に分離し、分離データＲＲ２は外部Ｉ／
Ｆ部６１を介して外部に出力し、分離データＲＲ４はデ
ータ転送鍵Ｋ生成部５９に送る。データ転送鍵Ｋ生成部
５９は、乱数格納部６２に格納されていた乱数Ｒ３と分
離部６９から送られてきた分離データＲＲ４とを結合す
ることでデータ転送鍵Ｋを生成した後に、データ転送鍵
Ｋ格納部７０に格納する。

【００６１】図１のステップ(11)においては、Ｅ関数６
７は、外部Ｉ／Ｆ部６１及びスイッチ６５を介して入力
されるデジタル著作物ｍｊをデータ転送鍵Ｋ格納部７０
に格納されたデータ転送鍵Ｋを用いて暗号化し、その結
果Ｃｊをスイッチ６８及び外部Ｉ／Ｆ部６１を介して第
２の機器５２に出力する。なお、実施の形態１では、乱
数や暗号文等の具体的なビット長やデータ構成を示した
が、本発明はそれらに限定されるものではない。例え
ば、上記ステップ(5)において３２ビットの乱数Ｒ１と
Ｒ２を結合して６４ビットとし、これを６４ビット暗号
関数Ｅに入力して６４ビットの暗号文Ｃ１を求めてい
る。この部分は、例えば、各乱数を６４ビットとし、暗
号関数Ｅによる暗号化を２回繰り返すことで１２８ビッ
トの暗号文Ｃ１を生成する方式としてもよい。ただしこ
の場合には暗号文Ｃ１から乱数Ｒ１に関する部分とＲ２
に関する部分が容易に切り離せないことが必要である。
その方法の１つとしてはＣＢＣモードのように連鎖を伴
う暗号の方法がある。ＣＢＣモードについては、池野信
一、小山謙二共著「現代暗号理論」電子通信学会１９８
６年のｐ７０に詳しい。

【００６２】また、実施の形態１では第１の暗号化ＩＣ
５４は暗号関数Ｅだけを、第２の暗号化ＩＣ５６はその
逆関数Ｄだけを備えることにより、ハードウェア規模を
削減しているが、そのこと自体は、上述したように本発
明の本質ではない。つまり、それら暗号化ＩＣ５４、５
６に許容される回路規模や暗号化アルゴリズムの種類等
との関連において決定すればよい事項であり、例えば、
それぞれが暗号アルゴリズムＥと逆変換アルゴリズムＤ
の両方を所有し、乱数の暗号化に暗号アルゴリズムＥ
を、相手機器から送付された情報の復号に逆変換アルゴ
リズムＤを用いてもよい。本発明は、少なくともデータ
転送鍵Ｋの生成に直接関わる構成要素をＩＣ化すること
で秘密通信の安全性を確保している点に特徴があるから
である。

【００６３】また、実施の形態１において、例えば、ス
テップ(1)での乱数Ｒ１の生成を第１の暗号化ＩＣ５４
内で行ってもよい。このことにより、第１の暗号化ＩＣ
５４を暗号解読器として用いる可能性をなくし、より安
全な暗号化装置とすることができる。つまり、実施の形
態１では、乱数Ｒ１は第１の暗号化ＩＣ５４の外部で生
成され、この乱数Ｒ１に基づいて第１の暗号化ＩＣ５４
は暗号文Ｃ１を出力する。この暗号文Ｃ１は、第１の暗
号化ＩＣ５４の内部で生成された乱数Ｒ３の影響を受け
ているが、もし乱数Ｒ３が十分にランダムな値でない場
合には、第１の暗号化ＩＣ５４を暗号解読器として悪用
することが可能になってしまう。従って、乱数Ｒ１の生
成を第１の暗号化ＩＣ５４内で行うことで、以上述べた
攻撃の可能性がなくなり、この暗号化装置はより安全な
ものになる。（実施の形態２）次に、図１に示された実施の形態１で
のステップの変形例として、実施の形態２を示す。その
目的や効果は実施の形態１と同じである。またハードウ
ェア規模としても図２に示された実施の形態１と同程度
である。実施の形態１ではチャレンジデータを暗号化し
ないでレスポンスデータを暗号化して通信したが、実施
の形態２ではチャレンジデータを暗号化しレスポンスデ
ータを暗号化しないで通信する。実施の形態１と相違す
る点を中心に説明する。

【００６４】図３は、本発明に係る暗号化装置を備えた
第１の機器７１と第２の機器７２間で相互認証とデータ
転送鍵の共有化とデータの暗号通信とを行う実施の形態
２における処理シーケンスを示す図である。図３では、
第１の機器７１から第２の機器７２にデジタル著作物ｍ
ｊを転送する場合が示されている。

【００６５】ＭＰＵ７３、第１の暗号化ＩＣ７４、ＭＰ
Ｕ７５及び第２の暗号化ＩＣ７６は、実施の形態１にお
けるＭＰＵ５３、第１の暗号化ＩＣ５４、ＭＰＵ５５及
び第２の暗号化ＩＣ５６に対応し、処理手順の相違を除
いて、ハードウェア構成等については実施の形態１の場
合と同様である。以下、図３に示されたステップ番号に
従って、実施の形態２における暗号化装置の動作を説明
する。

【００６６】(1) 第１の機器７１のＭＰＵ７３において
乱数Ｒ１（３２ビット）を生成して、記憶するとともに
第１の機器７１の送信部（図では示してない）を介し
て、第２の機器７２に送信する。第２の機器７２ではこ
れを第２の暗号化ＩＣ７６に渡す。 (2) ステップ(1)と同様に、第２の機器７２のＭＰＵ７
５において乱数Ｒ２（３２ビット）を生成して、記憶す
るとともに第２の機器７２の送信部（図では示してな
い）を介して、第１の機器７１に送信する。第１の機器
７１ではこれを第１の暗号化ＩＣ７４に渡す。

【００６７】(3) 第１の暗号化ＩＣ７４において、乱数
Ｒ３（３２ビット）を生成して、外部よりアクセスでき
ない領域に格納する。前記第２の機器７２から受信した
乱数Ｒ２と前記乱数Ｒ３とを結合してＥ関数で暗号化す
る。暗号化には第１の暗号化ＩＣ７４及び第２の暗号化
ＩＣ７６で予め共通に保持している秘密の認証鍵Ｓを用
いる。第１の暗号化ＩＣ７４は、暗号化結果Ｃ１（６４
ビット）を第２の機器７２に送信する。

【００６８】(4) ステップ(3)と同様に、第２の暗号化
ＩＣ７６において、乱数Ｒ４（３２ビット）を生成し
て、外部よりアクセスできない領域に格納する。前記第
１の機器７１から受信した乱数Ｒ１と前記乱数Ｒ４を結
合して逆変換アルゴリズムＤで復号化する。復号には前
記認証鍵Ｓを用いる。第２の暗号化ＩＣ７６は、復号結
果Ｃ２（６４ビット）を第１の機器７１に送信する。

【００６９】(5) 第１の暗号化ＩＣ７４において、前記
第２の暗号化ＩＣ７６から受信した復号文Ｃ２を前記Ｅ
関数を用いて前記認証鍵Ｓで暗号化する。その結果の６
４ビットデータのうち上位３２ビットを分離データＲＲ
１,下位３２ビットを分離データＲＲ４とする。そして
分離データＲＲ１は第１の機器７１のＭＰＵ７３に渡
し、一方分離データＲＲ４は外に出さずに第１の暗号化
ＩＣ７４内の外部からアクセスできない領域に格納す
る。

【００７０】なお、第１、第２の暗号化ＩＣ７６が互い
に正規なものであり同じ認証鍵Ｓを保持している場合に
は、前記分離データＲＲ１は前記第１の機器７１のＭＰ
Ｕ７３が生成した乱数Ｒ１と同じになり、前記分離デー
タＲＲ４は第２の暗号化ＩＣ７６が生成した乱数Ｒ４と
同じになる。 (6) ステップ(6)と同様に、第２の暗号化ＩＣ７６にお
いて、前記第１の暗号化ＩＣ７４から受信した暗号文Ｃ
１を前記逆変換アルゴリズムＤを用いて前記認証鍵Ｓで
復号化する。その結果の６４ビットデータの上位３２ビ
ットを分離データＲＲ２、下位３２ビットを分離データ
ＲＲ３とする。そして分離データＲＲ２は第２の機器７
２のＭＰＵ７５に渡し、一方分離データＲＲ３は外に出
さずに第２の暗号化ＩＣ７６内の外部からアクセスでき
ない領域に格納する。

【００７１】なお、第１、第２の暗号化ＩＣ７６が互い
に正規なものであり同じ認証鍵Ｓを保持している場合に
は、前記分離データＲＲ２は前記第２の機器７２のＭＰ
Ｕ７５が生成した乱数Ｒ２と同じになり、前記分離デー
タＲＲ３は第１の暗号化ＩＣ７４が生成した乱数Ｒ３と
同じになる。 (7) 第１の機器７１のＭＰＵ７３において前記記憶して
いたＲ１と前記第１の暗号化ＩＣ７４から受け取った分
離データＲＲ１を比較して一致している場合には、第２
の暗号化ＩＣ７６及び第２の暗号化ＩＣ７６が含まれた
第２の機器７２を正当な機器と認証する。

【００７２】(8) ステップ(8)と同様に、第２の機器７
２のＭＰＵ７５において前記記憶していたＲ２と前記第
２の暗号化ＩＣ７６から受け取った分離データＲＲ２を
比較して一致している場合には、第１の暗号化ＩＣ７４
及び第１の暗号化ＩＣ７４が含まれた第１の機器７１を
正当な機器と認証する。 (9) 第１の暗号化ＩＣ７４内で前記乱数Ｒ３と前記分離
データＲＲ４を用いてデータ転送鍵Ｋを作成する。図で
は双方の結合をデータ転送鍵Ｋ（６４ビット）としてい
る。

【００７３】(10) ステップ(10)と同様に、第２の暗号
化ＩＣ７６内で前記分離データＲＲ３と前記乱数Ｒ４を
用いて第１の暗号化ＩＣ７４と同様にデータ転送鍵Ｋを
作成する。図では双方の結合をデータ転送鍵Ｋ（６４ビ
ット）としている。 (11) 第１の機器７１の第１の暗号化ＩＣ７４におい
て、ＭＰＵ７３から送られてくるブロック化されたデジ
タル著作物ｍｊ（６４ビット）を上記ステップ(9)で得
られたデータ転送鍵Ｋを用いて暗号化し、得られた暗号
文Ｃｊを第２の機器７２に送信する処理を、転送すべき
全てのデジタル著作物を送信し終えるまで繰り返す。

【００７４】(12) ステップ(11)に対応して、第２の機
器７２の第２の暗号化ＩＣ７６において、第１の機器７
１が送信した暗号化された上記デジタル著作物Ｃｊ（６
４ビット）を受信し、上記ステップ(10)で得られたデー
タ転送鍵Ｋを用いて復号化し、得られたデジタル著作物
ｍｍｊをＭＰＵ７５に送る。この復号化は上記デジタル
著作物Ｃｊが第１の機器７１から送信されてくる限り繰
り返す。

【００７５】このようにして、実施の形態２の暗号化装
置により、実施の形態１の場合と同様に、第１の機器７
１と第２の機器７２間で相互認証とデータ転送鍵Ｋの共
有化とデータの暗号通信とが行われる。なお、上述した
ように、本実施の形態の暗号化装置と実施の形態１のも
のとはハードウェア構成において一致し、処理手順、即
ち、各ハードウェア構成要素の接続と実行順序が異なる
だけである。従って、本実施形態の暗号化装置の特徴や
その変形例については、実施の形態１の場合と同様のこ
とが言える。（実施の形態３）以上の実施の形態１及び２の暗号化装
置には以下の共通点がある。 (1)双方の機器においてそれぞれ２つの乱数が生成さ
れ、その一方は認証用にのみ使用され、他の一方はデー
タ転送鍵Ｋの生成用にのみ使用される。 (2)データ転送鍵Ｋの生成に使用される乱数はそのまま
の形では暗号化ＩＣの外部に出力されることはなく、一
方、認証用に使用される乱数は暗号化ＩＣの外部に出力
されて公開される。

【００７６】これに対して、次に説明する実施の形態３
の暗号化装置は、乱数を一つだけ生成し、それを認証用
とデータ転送鍵の生成用の両方の目的に使用する。これ
は、実施の形態１及び２に比べて、暗号化ＩＣ内での乱
数生成の負担を軽減するためである。また、暗号化ＩＣ
の内部において認証のための乱数生成と比較処理を行
う。即ち、実施の形態１及び２と相違し、データ転送鍵
の生成のみならず認証処理も含めて暗号化ＩＣの内部回
路で行う。これは、上述したように、暗号化ＩＣを暗号
解読のために用いるという悪用に対処するためであり、
暗号通信の安全性を高めることができる。

【００７７】図４は、本発明に係る暗号化装置を備えた
第１の機器７１と第２の機器７２間で相互認証とデータ
転送鍵の共有化とデータの暗号通信とを行う実施の形態
３における処理シーケンスを示す図である。図４では、
第１の機器８１から第２の機器８２にデジタル著作物ｍ
ｊを転送する場合が示されている。

【００７８】なお、本実施の形態においても、実施の形
態１及び２と同様に、各機器８１、８２に備えられた本
発明に係る暗号化装置は、大きく分けてＭＰＵ８３、８
５と暗号化ＩＣ８４、８６とから構成される。しかし、
ＭＰＵ８３、８５はデジタル著作物ｍｊを暗号化ＩＣ８
４、８６に渡すだけの機能を果たすので、実質的には、
本発明に係る暗号化装置は暗号化ＩＣ８４、８６のみか
ら構成されると言える。

【００７９】第１の暗号化ＩＣ８４及び第２の暗号化Ｉ
Ｃ８６は、実の形態１及び２と同様、１チップの半導体
ＩＣである。以下、図４に示されたステップ番号に従っ
て、実施の形態３における暗号化装置の動作を説明す
る。 (1) 第１の暗号化ＩＣ８４において乱数Ｒ１を生成して
記憶するとともに、これをＥ関数で暗号化して第１の機
器８１の送信部（図では示してない）を介して、暗号文
Ｃ１を第２の機器８２に送信する。暗号化には第２の暗
号化ＩＣ８６と予め共通に保持している秘密の認証鍵Ｓ
を用いる。第２の機器８２では受信した暗号文Ｃ１を第
２の暗号化ＩＣ８６に渡す。

【００８０】(2) 第２の暗号化ＩＣ８６では受信した暗
号文Ｃ１を逆変換アルゴリズムＤで復号化し復号文ＲＲ
１を得る。第１の暗号化ＩＣ８４及び第２の暗号化ＩＣ
８６が正規のものである場合にはこの復号文ＲＲ１は前
記乱数Ｒ１と一致する。 (3) 第２の暗号化ＩＣ８６において乱数Ｒ２を生成して
記憶すると共に、これを前記復号文ＲＲ１と結合して前
記逆変換アルゴリズムＤで復号化する。復号には前記認
証鍵Ｓを用いる。第２の暗号化ＩＣ８６は復号文Ｃ２を
第２の機器８２の送信部（図では示してない）を介し
て、第１の機器８１に送信する。第１の機器８１ではこ
れを第１の暗号化ＩＣ８４に渡す。

【００８１】(4) 第１の暗号化ＩＣ８４においては、前
記復号文Ｃ２を前記Ｅ関数で暗号化し、その結果を分離
データＲＲＲ１と分離データＲＲ２に分離する。なお分
離データＲＲＲ１は正当な機器でのやり取りの場合であ
れば、前記復号文ＲＲ１及び乱数Ｒ１と一致する。また
分離データＲＲ２は前記乱数Ｒ２と一致する。 (5) 第１の暗号化ＩＣ８４内において、前記ステップ
(1)で記憶していた乱数Ｒ１と前記分離データＲＲＲ１
とを比較し、一致する場合には第２の暗号化ＩＣ８６及
び第２の暗号化ＩＣ８６を含んだ第２の機器８２の正当
性を認証する。

【００８２】(6) 第１の暗号化ＩＣ８４において、前記
分離データＲＲ２を前記Ｅ関数で暗号化し、第２の機器
８２に送信する。第２の機器８２はこの暗号文Ｃ３を第
２の暗号化ＩＣ８６に渡す。 (7) 第２の暗号化ＩＣ８６において、前記暗号文Ｃ３を
前記逆変換アルゴリズムＤで復号化し、復号文ＲＲＲ２
を得る。

【００８３】(8) 第２の暗号化ＩＣ８６において、前記
ステップ(3)で記憶していた乱数Ｒ２と前記復号文ＲＲ
Ｒ２を比較し、一致している場合には第１の暗号化ＩＣ
８４及び第１の暗号化ＩＣ８４を含んだ第１の機器８１
の正当性を認証する。 (9) 第１の暗号化ＩＣ８４において、前記乱数Ｒ１と前
記分離データＲＲ２を結合することでデータ転送鍵Ｋを
生成する。

【００８４】(10) 第２の暗号化ＩＣ８６において、前
記復号文ＲＲ１と前記乱数Ｒ２を用いてデータ転送鍵Ｋ
を生成する。 (11) 第１の機器８１の第１の暗号化ＩＣ８４におい
て、ＭＰＵ８３から送られてくるブロック化されたデジ
タル著作物ｍｊ（６４ビット）を上記ステップ(9)で得
られたデータ転送鍵Ｋを用いて暗号化し、得られた暗号
文Ｃｊを第２の機器８２に送信する処理を、転送すべき
全てのデジタル著作物を送信し終えるまで繰り返す。

【００８５】(12) ステップ(11)に対応して、第２の機
器８２の第２の暗号化ＩＣ８６において、第１の機器８
１が送信した暗号化された上記デジタル著作物Ｃｊ（６
４ビット）を受信し、上記ステップ(10)で得られたデー
タ転送鍵Ｋを用いて復号化し、得られたデジタル著作物
ｍｍｊをＭＰＵ８５に送る。この復号化は上記デジタル
著作物Ｃｊが第１の機器８１から送信されてくる限り繰
り返す。

【００８６】このようにして、実施の形態３の暗号化装
置により、実施の形態１及び２の場合と同様に、第１の
機器７１と第２の機器７２間で相互認証とデータ転送鍵
Ｋの共有化とデータの暗号通信とが行われる。なお、上
記ステップ(1)(2)(6)(7)においては１つの乱数の暗号
化、ステップ(3)(4)においては２つの乱数の結合の暗号
化を行っている。６４ビット幅のＥ関数と逆変換アルゴ
リズムＤを用いる場合には、各乱数を３２ビットとし
て、前者については残りの３２ビットの入力に固定の３
２ビットの値をパディングするとよい。例えば、乱数を
下位３２ビッとし、上位３２ビットを固定的に全てゼロ
とする等である。また後者については結合した６４ビッ
トをそのまま各関数に入力するとよい。

【００８７】また、各乱数のビット長を倍の６４ビット
にする場合には、前者はそのまま関数に入力し、後者に
ついては各関数を２回繰り返して用い、例えばＣＢＣモ
ードのように連鎖のある暗号を行えばよい。以上述べた
実施の形態３においては、実施の形態１及び２とは異な
り、認証のための乱数とデータ転送鍵の共有化のための
乱数は兼用されている。そして、認証のための乱数生成
や認証のための比較処理は暗号化ＩＣ内で行われてい
る。従って、乱数はそのままでは暗号化ＩＣの外に現れ
ないため、暗号化ＩＣを解読器として用いる攻撃に対し
て、より安全である。また、このことにより、各乱数の
ビット数が少なくても十分な安全性を確保することがで
きる。（実施の形態４）次に、実施の形態４に係る暗号化装置
について説明する。

【００８８】本装置は、暗号化ＩＣのコンパクト化を追
求した実施形態であり、一方向認証を採用している点、
及び、データ転送鍵が公開される点において、上記実施
の形態１〜３と相違する。但し、暗号アルゴリズムＥ及
びその逆変換アルゴリズムＤは秘密にされていることを
前提とする。図５は、第１の機器９１から第２の機器９
２にデジタル著作物ｍｊを転送する場合の処理シーケン
スを示す図である。

【００８９】図６は、第１の暗号化ＩＣ９４のハードウ
ェア構成を示すブロック図である。 (1) まず、第１の暗号化ＩＣ９４の乱数生成部１０１は
チャレンジデータとデータ転送鍵を兼用する乱数Ｒ１を
生成し、乱数格納部１０２に格納すると共に、外部Ｉ／
Ｆ部１００を介して第２の機器９２に送信する。 (2) 第２の暗号化ＩＣ９６は、受信した乱数Ｒ１に対し
て、予め第１の暗号化ＩＣ９４と共通に所有している認
証鍵Ｓを用いて復号化し、得られた復号文Ｃ１を第１の
機器９１に送信する。

【００９０】(3) 第１の暗号化ＩＣ９４では、Ｅ関数１
０６は、外部Ｉ／Ｆ部１００及びスイッチ１０５を介し
て受信した復号文Ｃ１に対して、認証鍵Ｓ格納部１０３
に予め格納された上記認証鍵Ｓと同じものを用いて暗号
化する。その結果得られたデータＲＲ１は、スイッチ１
０７を経て比較部１０８に送られ、ここで、乱数格納部
１０２に保持されていた乱数Ｒ１と比較される。

【００９１】(4) その結果一致している場合には、第２
の機器９２は正当な機器であると認証できるので、比較
部１０８は、乱数格納部１０２に保持されていた乱数Ｒ
１がデータ転送鍵として用いられるように、スイッチ１
０４を制御する。 (5) Ｅ関数１０６は、ＭＰＵ９３から外部Ｉ／Ｆ部１０
０及びスイッチ１０５を経て送られてくるデジタル著作
物ｍｊに対して、スイッチ１０４を経て送られてくる乱
数Ｒ１を用いて暗号化し、スイッチ１０７及び外部Ｉ／
Ｆ部１００を介して第２の機器９２に送信する。

【００９２】(6) 第２の機器９２の第２の暗号化ＩＣ９
６においては、第１の機器９１から送られてきたデジタ
ル著作物Ｃｊに対して、上記ステップ(2)で受信した乱
数Ｒ１をデータ転送鍵として用いて復号化し、得られた
デジタル著作物ｍｍｊをＭＰＵ９５に送る。このように
して、本実施の形態では、実施の形態１〜３の場合より
も少ないステップと構成要素により、認証とデータ転送
鍵の共有化と暗号通信とが実現される。

【００９３】なお、本実施の形態では、第１の機器９１
から第２の機器９２に送信された乱数Ｒ１がそのままデ
ータ転送鍵として用いられているために、データ転送鍵
は容易に第３者に知られ得る。ところが、そのデータ転
送鍵を知った第３者がデジタル著作物Ｃｊを盗聴し復号
化しようとしても、上述したように暗号アルゴリズムＥ
及びその逆変換アルゴリズムＤは秘密にされているの
で、その試みは成功しない。

【００９４】また、その第３者が都合のよい乱数Ｒ１を
偽造することで暗号アルゴリズムを解読しようとして
も、新たな乱数Ｒ１を乱数格納部１０２に格納できるの
は乱数生成部１０１だけであり、この第１の暗号化ＩＣ
９４の外部から新たな乱数Ｒ１を乱数生成部１０１に格
納する手段は存在しないので、その試みも成功しない。
このように、暗号アルゴリズム及びその逆変換アルゴリ
ズムが秘密にされるならば、本実施の形態のようなコン
パクトな暗号化ＩＣによっても認証とデータ転送鍵の生
成と暗号通信を実現することができる。

【００９５】なお、上記実施の形態１〜４において、認
証鍵Ｓを暗号化ＩＣに設定する（記憶させる）方法とし
ては以下が好ましい。つまり、認証鍵Ｓの一部は暗号化
ＩＣの製造時に予め設定しておき、残る部分はその暗号
化ＩＣの製造後に書き込む方法である。具体的には、認
証鍵Ｓ格納部６４の一部は、認証鍵Ｓの一部を予め書き
込んだマスクＲＯＭで構成し、残る部分は、プログラマ
ブルに書き込み可能な追記ＲＯＭで構成する。

【００９６】これは、マスクＲＯＭのみで構成した場合
には、最終的な暗号化ＩＣの作成のために人手を介さな
いために安全である反面、リバースエンジニアリングに
よるチップ解析で設定値の解析が容易であるという欠点
があり、一方、追記ＲＯＭのみで構成した場合には、設
定値のリバースエンジニアリングによる解析が困難であ
る反面、設定に人手を介するためミスが混入したり不正
が可能となるという欠点があるので、それら両方の欠点
を補うためである。

【００９７】また、上記実施の形態１〜４の暗号通信に
おける暗号アルゴリズムの具体例として、次のようなも
のであってもよい。送信側でデジタル著作物を６４ビッ
トのブロックに分割し、前記データ転送鍵Ｋ（６４ビッ
ト）とビットごとの排他的論理和をとる。その結果を暗
号文とする。受信側でも同様に、受信した６４ビットの
暗号文とデータ転送鍵Ｋとの排他的論理和をとればよ
い。これによって、もとのブロックに復号される。

【００９８】また、データ転送鍵Ｋを固定とするのでは
なく、それらブロックごとに、用いられるデータ転送鍵
Ｋを送信側と受信側で同期をとりながら更新していく方
法もある。その更新のために、前記Ｅ関数や逆変換アル
ゴリズムＤを用いてもよい。ブロック内の暗号／復号は
先に述べた排他的論理和であってもよい。また、上記実
施の形態１〜４において、認証方法としてチャレンジレ
スポンス型のいくつかの例が示されているが、本発明は
これらの例に限られない。例えば、認証側の暗号化ＩＣ
で乱数を生成し、これをチャレンジデータとして送付
し、証明側から返送されたレスポンスデータと認証側で
生成した参照用のレスポンスデータとを比較する、とい
うチャレンジレスポンス型の別の例であってもよい。

【００９９】なお、上記実施の形態１〜４において、小
さな回路規模で認証と暗号通信を安全に行なう技術を開
示したが、安全性の強度とそのために必要な回路規模と
はトレードオフの関係にあることは言うまでもない。従
って、もしＭＰＵや暗号化ＩＣ内に実装できる回路規模
に余裕がある場合には、以下の目的のために、データ変
換Ｆ（）を実行する新たな変換手段を追加導入すること
で、暗号通信の安全性を強化することができる。（１）その一つは、平文のチャレンジデータや平文のレ
スポンスデータが伝送路を流れないようにすることであ
る。

【０１００】例えば、図１に示された第１の機器５１が
第２の機器５２を認証する処理シーケンス（ステップ
(1)(3)(6)(7)）において、以下のように変更する。ステ
ップ(6)において、第２の暗号化ＩＣ５６は、分離デー
タＲＲ１をＭＰＵ５３に送るのではなく、その分離デー
タＲＲ１に所定の変換Ｆ（）を施し、その結果得られた
データＦ（ＲＲ１）をＭＰＵ５３に送る。

【０１０１】ステップ(7)において、ＭＰＵ５３は、乱
数Ｒ１と分離データＲＲ１とを比較するのではなく、乱
数Ｒ１に上記ステップ(6)で用いたものと同じ変換
Ｆ（）を施し、その結果得られたデータＦ（Ｒ１）と第
２の暗号化ＩＣ５６から送られてきたデータＦ（ＲＲ
１）とを比較する。このようにすることで、暗号文Ｃ１
とその平文の一部ＲＲ１とが伝送路を流れることが回避
されるので、既知平文攻撃に対する安全性が強化され
る。（２）もう一つは、チャレンジデータをそのままデータ
転送鍵として用いないようにすることである。

【０１０２】例えば、図５に示されたステップ(5)にお
いて、第１の暗号化ＩＣ９４は、乱数Ｒ１をそのままデ
ータ転送鍵として用いるのではなく、乱数Ｒ１に所定の
変換Ｆ（）を施し、その結果得られたデータＦ（Ｒ１）
をデータ転送鍵として用いる。同様に、ステップ(6)に
おいて、第２の暗号化ＩＣ９６は、乱数Ｒ１をそのまま
データ転送鍵として用いるのではなく、乱数Ｒ１に上記
ステップ(5)で用いたものと同じ変換Ｆ（）を施し、そ
の結果得られたデータＦ（Ｒ１）をデータ転送鍵として
用いる。

【０１０３】このようにすることで、データ転送鍵Ｆ
（Ｒ１）を秘匿することができ、暗号通信の安全性が強
化される。（３）さらにもう一つは、結合処理を複雑にすることで
ある。例えば、図１に示されたステップ(9)において、
第１の暗号化ＩＣ５４は、乱数Ｒ３と分離データＲＲ４
とを単に桁方向に結合するのではなく、これらＲ３、Ｒ
Ｒ４に所定の変換Ｆ（）を施し、その結果得られたデー
タＦ（Ｒ３，ＲＲ４）をデータ転送鍵Ｋとする。

【０１０４】同様に、ステップ(10)において、第２の暗
号化ＩＣ５６は、乱数Ｒ４と分離データＲＲ３とを単に
桁方向に結合するのではなく、これらＲ４、ＲＲ３に上
記ステップ(9)で用いたものと同じ変換Ｆ（）を施し、
その結果得られたデータＦ（Ｒ３，ＲＲ４）をデータ転
送鍵Ｋとする。このようにすることで、データ転送鍵Ｋ
の生成手順が複雑化され、暗号通信の安全性が強化され
る。（具体的な通信システムへの適応例）以上のように、本
発明に係る暗号化装置は、規模の小さな暗号化ＩＣを備
え、機器間通信の安全性を確保するための必要最小限の
機能を持っている。従って、本暗号化装置は、秘密通信
が必要とされ、かつ、小型であることが要求される通信
機器、例えば、携帯電話機やデジタル著作物を扱うマル
チメディア関連機器等に好適な装置である。

【０１０５】図７は、本発明に係る暗号化装置の具体的
な通信システムへの適用例を示す図であり、映画等のデ
ジタル著作物の再生システムの概観を示す。このシステ
ムは、上記実施形態における第１の機器に対応する光デ
ィスクドライブ装置１１０と第２の機器に対応する映像
再生装置１１１とそれらを接続するＳＣＳＩケーブル１
１６等からなる。光ディスクドライブ装置１１０で読み
出した圧縮映像データを暗号化して映像再生装置１１１
に転送し、そこで映像再生するシステムである。

【０１０６】図８は、光ディスクドライブ装置１１０の
構成を示すブロック図である。光ディスクドライブ装置
１１０は、装置全体の制御を行うＭＰＵ１２４と、映像
再生装置１１１との通信インタフェースであるＳＣＳＩ
コントローラ１２１と、光ヘッド１２５を制御して光デ
ィスク１１５から映像データを読み出し制御する読み出
し制御部１２２と、上述の実施形態１〜４における第１
の機器の暗号化ＩＣに相当する暗号化ＩＣ１２３とから
なり、映像再生装置１１１が正当な機器であることを認
証した後に、光ディスク１１５に記録された映像データ
を読み出して暗号化ＩＣ１２３において暗号化し、ＳＣ
ＳＩケーブル１１６を介して映像再生装置１１１に転送
する。

【０１０７】図９は、光ディスクドライブ装置１１０の
内部に実装される回路基板の概観を示す図である。暗号
化ＩＣ１２３は、１個のシリコン基板に形成されたＬＳ
Ｉであり、プラスチックでモールドされたフラットパッ
ケージの形状をしている。図１０は、映像再生装置１１
１の構成を示すブロック図である。映像再生装置１１１
は、装置全体の制御を行うＭＰＵ１３１と、光ディスク
ドライブ装置１１０との通信インタフェースであるＳＣ
ＳＩコントローラ１３０と、上述の実施形態１〜４の第
２の機器の暗号化ＩＣに相当する暗号化ＩＣ１３２と、
暗号化ＩＣ１３２で復号された圧縮映像データの伸長を
行うＭＰＥＧデコーダ１３３と、伸長された映像データ
をアナログ映像信号に変換してＣＲＴ１１２及びスピー
カ１１４に映像出力するＡＶ信号処理部１３４とから構
成される。

【０１０８】本発明に係る暗号化装置をこのような映像
再生システムに適用することで、光ディスク１１５に記
録されたデジタル著作物は不正コピー等から保護され、
マルチメディア関連製品の流通市場における健全な発展
が期待できる。

【０１０９】

【発明の効果】以上の説明から明らかなように、本発明
に係る暗号化装置は、データ転送鍵の共有化とそのデー
タ転送鍵を用いた暗号通信を行なう機器に備えられる暗
号化装置であって、前記データ転送鍵の共有化のための
第１乱数を生成する第１乱数生成手段と、前記第１乱数
生成手段により生成された第１乱数を保持する第１乱数
保持手段と、前記第１乱数生成手段により生成された第
１乱数を前記暗号通信の相手機器に送信する第１送信手
段と、前記第１乱数保持手段に保持された第１乱数を用
いて時変の前記データ転送鍵を生成するデータ転送鍵生
成手段と、暗号通信の対象となる転送データに対して前
記データ転送鍵を用いて暗号化する転送データ暗号化手
段とを備え、前記第１乱数生成手段、前記第１乱数保持
手段、前記データ転送鍵生成手段及び前記転送データ暗
号化手段は、１個のＩＣ内の回路で実現され、前記第１
乱数保持手段は、前記ＩＣの外部からアクセスできない
領域に前記第１乱数を保持することを特徴とする。

【０１１０】これにより、データ転送鍵の生成に直接関
連する第１乱数は外部からアクセスできない暗号化ＩＣ
の内部に保持されるので、時変のデータ転送鍵は各機器
に安全に共有され、暗号通信が行われる。また、暗号化
ＩＣは、機器間通信の安全性を確保するための必要最小
限の機能を持つので、小さな回路で実現することができ
る。

【０１１１】ここで、前記暗号化装置はさらに、前記第
１乱数生成手段により生成された第１乱数を暗号化する
第１暗号化手段を備え、前記第１暗号化手段は、前記Ｉ
Ｃ内の回路で実現され、前記第１送信手段は、前記第１
暗号化手段で暗号化された第１乱数を前記相手機器に送
信するとすることもできる。これにより、第３者はデー
タ転送鍵の生成に直接関連する第１乱数を知ることがで
きなくなるので、データ転送鍵の秘密性が維持され、た
とえ暗号アルゴリズム及びその逆変換アルゴリズムが知
られたとしても暗号通信は維持される。

【０１１２】ここで、前記機器は、チャレンジレスポン
ス型の認証プロトコルに基づく通信により相互に前記相
手機器が正当な機器であることを認証し合うものであ
り、前記暗号化装置はさらに、前記相手機器に送信する
チャレンジデータ用の第２乱数を生成する第２乱数生成
手段と、前記チャレンジデータに対して前記相手機器か
ら返信されてきたレスポンスデータと前記第２乱数とが
一致するか否かを判断し、一致した場合に前記相手機器
は正当な機器であると認証する認証手段とを備え、前記
データ転送鍵生成手段は、前記認証がなされた場合に前
記データ転送鍵を生成するとすることもできる。

【０１１３】これにより、機器間の相互認証が成功した
ときに同時に正規のデータ転送鍵が生成されることにな
り、秘密通信の安全性が向上される。ここで、前記第２
乱数生成手段及び前記認証手段は、前記ＩＣ外の回路で
実現されているとすることもできる。これにより、通信
システムの安全性に関連しない部分、即ち、データ転送
鍵の生成に直接関連しない処理部は暗号化ＩＣの外に設
けられるので、暗号化ＩＣの規模が不要に大きくなるこ
とが抑制される。

【０１１４】ここで、前記暗号化装置はさらに、前記相
手機器から送られてきた暗号化された結合データを復号
化する復号化手段と、復号化された結合データをレスポ
ンスデータに相当する第１分離データと残る第２分離デ
ータとに分離する分離手段と、前記第１分離データを前
記相手機器に返信する第２送信手段とを備え、前記第１
暗号化手段は、前記第１乱数と前記第２乱数とを結合
し、その結果得られた結合データを暗号化し、前記デー
タ転送鍵生成手段は、前記第１乱数と前記第２分離デー
タとを結合することにより、前記データ転送鍵を生成
し、前記復号化手段及び前記分離手段は、前記ＩＣ内の
回路で実現されているとすることもできる。

【０１１５】また、前記暗号化装置はさらに、前記第２
乱数をチャレンジデータとして前記相手機器に送信する
第２送信手段と、前記相手機器から送られてきた暗号化
された結合データを復号化する復号化手段と、復号化さ
れた結合データをレスポンスデータに相当する第１分離
データと残る第２分離データとに分離する分離手段とを
備え、前記認証手段は、前記第１分離データを前記相手
機器から返信されてきたレスポンスデータとして前記判
断及び認証をし、前記第１暗号化手段は、前記相手機器
から送信されてきたチャレンジデータと前記第１乱数と
を結合し、その結果得られた結合データを暗号化し、前
記データ転送鍵生成手段は、前記第１乱数と前記第２分
離データとを結合することにより、前記データ転送鍵を
生成し、前記復号化手段及び前記分離手段は、前記ＩＣ
内の回路で実現されているとすることもできる。

【０１１６】これにより、機器間通信の安全性を確保す
るための必要最小限の機能を持ち、規模の小さな暗号化
ＩＣを備えた暗号化装置が実現される。ここで、前記転
送データ暗号化手段による暗号化のアルゴリズムは、前
記第１暗号化手段及び前記復号化手段の少なくとも１つ
のものと同一であることを特徴とするとすることもでき
る。

【０１１７】これにより、転送データ暗号化手段と第１
暗号化手段や復号化手段を１個の変換器で兼用して実装
することが可能となるので、暗号化ＩＣの回路規模が削
減される。ここで、前記転送データ暗号化手段による暗
号化のアルゴリズムは、前記第１暗号化手段及び前記復
号化手段のいずれのものとも異なり、かつ、いずれのも
のよりも簡易であるとすることもできる。

【０１１８】これにより、転送データのサイズが大きい
ために何度もその暗号化を繰り返すような場合であって
も、暗号化のためにデータ転送時間が大幅に長くなって
しまうという不具合が回避される。ここで、前記転送デ
ータ暗号化手段は、前記転送データを一定長のブロック
に区切り、各ブロックに対して前記データ転送鍵の対応
する部分を用いて暗号化するとすることもできる。

【０１１９】これにより、データサイズの大きい転送デ
ータの暗号通信に対しても、本暗号化装置を適用するこ
とが可能となる。ここで、前記転送データ暗号化手段
は、前記ブロックと前記データ転送鍵の対応する部分と
の排他的論理和をとることにより、前記暗号化を行なう
とすることもできる。

【０１２０】これにより、簡易な論理回路で転送データ
暗号化手段を実現することが可能となる。ここで、前記
第１暗号化手段での暗号と前記復号化手段での復号化と
は、同一の変換アルゴリズムであるとすることもでき
る。これにより、第１暗号化手段と復号化手段を１個の
変換器で兼用して実装することが可能となり、暗号化Ｉ
Ｃの回路規模が削減される。

【０１２１】ここで、前記第１暗号化手段及び前記復号
化手段は、予め前記ＩＣ内に保持された鍵データを用い
て前記暗号化及び復号化を行い、その鍵データの一部
は、前記ＩＣ内のマスクＲＯＭ領域に格納され、残る一
部は、前記ＩＣ内の追記ＲＯＭ領域に格納されていると
することもできる。これにより、認証鍵をマスクＲＯＭ
のみで構成した場合における欠点と、追記ＲＯＭのみで
構成した場合における欠点と補うことが可能となる。

【０１２２】ここで、前記機器は、チャレンジレスポン
ス型の認証プロトコルに基づく通信により相互に前記相
手機器が正当な機器であることを認証し合うものであ
り、前記暗号化装置はさらに、前記チャレンジデータに
対して前記相手機器から送られてきた暗号化された結合
データを復号化する復号化手段と、復号化された結合デ
ータをレスポンスデータに相当する第１分離データと残
る第２分離データとに分離する分離手段と、前記第１乱
数と前記第１分離データとが一致するか否かを判断し、
一致した場合に前記相手機器は正当な機器であると認証
する認証手段と、前記認証がなされた場合に前記第２分
離データを暗号化する第２暗号化手段と、暗号化された
前記第２分離データをレスポンスデータとして前記相手
機器に返信する第２送信手段とを備え、前記データ転送
鍵生成手段は、前記第１乱数と前記第２分離データとを
結合することにより、前記データ転送鍵を生成し、前記
復号化手段、前記分離手段及び前記第２暗号化手段は、
前記ＩＣ内の回路で実現されているとすることもでき
る。

【０１２３】これにより、乱数を一つだけ生成し、それ
を認証用とデータ転送鍵の生成用の両方の目的に使用し
ているので、暗号化装置での乱数生成のための回路規模
が軽減される。また、暗号化ＩＣの内部において認証の
ための乱数生成と比較処理を行っているので、暗号通信
の安全性が高められる。

【０１２４】また、本発明は、データ転送鍵の共有化と
そのデータ転送鍵を用いた暗号通信を行なう送信機及び
受信機から構成される通信システムであって、それら送
信機及び受信機が、それぞれ上記構成を備えるとするこ
ともできる。これにより、送信機及び受信機間で相互認
証が行われると共にデータ転送鍵が生成されること、デ
ータ転送鍵の生成に直接関連する乱数はそのままでは送
受信されないこと、及び、データ転送鍵の生成に直接関
連する２つの乱数はそれぞれ送信機及び受信機から提供
されたものであることから、規模の小さな暗号化ＩＣを
用いて実現するのに好適であり、かつ、安全性の高い暗
号通信システムが実現される。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態に係る暗号化装置の
処理シーケンスを示す図である。

【図２】図１に示された第１の暗号化ＩＣ５４のハード
ウェア構成を示すブロック図である。

【図３】本発明の第２の実施の形態に係る暗号化装置の
処理シーケンスを示す図である。

【図４】本発明の第３の実施の形態に係る暗号化装置の
処理シーケンスを示す図である。

【図５】本発明の第４の実施の形態に係る暗号化装置の
処理シーケンスを示す図である。

【図６】図５に示された第１の暗号化ＩＣ９４のハード
ウェア構成を示すブロック図である。

【図７】本発明に係る暗号化装置の具体的な通信システ
ムへの適用例を示す図である。

【図８】図７に示された光ディスクドライブ装置１１０
の構成を示すブロック図である。

【図９】同光ディスクドライブ装置１１０の内部に実装
される回路基板の概観を示す図である。

【図１０】図７に示された映像再生装置１１１の構成を
示すブロック図である。

【図１１】第１の従来技術に係る一方向認証の処理シー
ケンスを示す図である。

【図１２】第２の従来技術に係る双方向認証の処理シー
ケンスを示す図である。

【符号の説明】

５１、７１、８１、９１第１の機器５２、７２、８２、９２第２の機器５３、７３、８３、９３第１の機器のＭＰＵ５４、７４、８４、９４第１の暗号化ＩＣ５５、７５、８５、９５第２の機器のＭＰＵ５６、７６、８６、９６第２の暗号化ＩＣ５９データ転送鍵Ｋ生成部６０、１０１乱数生成部６１、１００外部Ｉ／Ｆ部６２、１０２乱数格納部６３結合部６４、１０３認証鍵Ｓ格納部６５、６６、６８、１０４、１０５、１０７スイッ
チ６７、１０６Ｅ関数６９分離部７０データ転送鍵Ｋ格納部１０８比較部１１０光ディスクドライブ装置１１１映像再生装置１２１ＳＣＳＩコントローラ１２２制御部１２３暗号化ＩＣ１２４ＭＰＵ１２５光ヘッド１３０ＳＣＳＩコントローラ１３１ＭＰＵ１３２暗号化ＩＣ１３３ＭＰＥＧデコーダ１３４ＡＶ信号処理部

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号庁内整理番号ＦＩ技術表示箇所Ｈ０４Ｌ 9/00 ６７５Ａ

Claims

【特許請求の範囲】

【請求項１】データ転送鍵の共有化とそのデータ転送
鍵を用いた暗号通信を行なう機器に備えられる暗号化装
置であって、前記データ転送鍵の共有化のための第１乱数を生成する
第１乱数生成手段と、前記第１乱数生成手段により生成された第１乱数を保持
する第１乱数保持手段と、前記第１乱数生成手段により生成された第１乱数を前記
暗号通信の相手機器に送信する第１送信手段と、前記第１乱数保持手段に保持された第１乱数を用いて時
変の前記データ転送鍵を生成するデータ転送鍵生成手段
と、暗号通信の対象となる転送データに対して前記データ転
送鍵を用いて暗号化する転送データ暗号化手段とを備
え、前記第１乱数生成手段、前記第１乱数保持手段、前記デ
ータ転送鍵生成手段及び前記転送データ暗号化手段は、
１個のＩＣ内の回路で実現され、前記第１乱数保持手段は、前記ＩＣの外部からアクセス
できない領域に前記第１乱数を保持することを特徴とす
る暗号化装置。
【請求項２】前記暗号化装置はさらに、前記第１乱数
生成手段により生成された第１乱数を暗号化する第１暗
号化手段を備え、前記第１暗号化手段は、前記ＩＣ内の回路で実現され、前記第１送信手段は、前記第１暗号化手段で暗号化され
た第１乱数を前記相手機器に送信することを特徴とする
請求項１記載の暗号化装置。
【請求項３】前記機器は、チャレンジレスポンス型の
認証プロトコルに基づく通信により相互に前記相手機器
が正当な機器であることを認証し合うものであり、前記暗号化装置はさらに、前記相手機器に送信するチャレンジデータ用の第２乱数
を生成する第２乱数生成手段と、前記チャレンジデータに対して前記相手機器から返信さ
れてきたレスポンスデータと前記第２乱数とが一致する
か否かを判断し、一致した場合に前記相手機器は正当な
機器であると認証する認証手段とを備え、前記データ転送鍵生成手段は、前記認証がなされた場合
に前記データ転送鍵を生成することを特徴とする請求項
２記載の暗号化装置。
【請求項４】前記第２乱数生成手段及び前記認証手段
は、前記ＩＣ外の回路で実現されていることを特徴とす
る請求項３記載の暗号化装置。
【請求項５】前記暗号化装置はさらに、前記相手機器から送られてきた暗号化された結合データ
を復号化する復号化手段と、復号化された結合データをレスポンスデータに相当する
第１分離データと残る第２分離データとに分離する分離
手段と、前記第１分離データを前記相手機器に返信する第２送信
手段とを備え、前記第１暗号化手段は、前記第１乱数と前記第２乱数と
を結合し、その結果得られた結合データを暗号化し、前記データ転送鍵生成手段は、前記第１乱数と前記第２
分離データとを結合することにより、前記データ転送鍵
を生成し、前記復号化手段及び前記分離手段は、前記ＩＣ内の回路
で実現されていることを特徴とする請求項４記載の暗号
化装置。
【請求項６】前記暗号化装置はさらに、前記第２乱数をチャレンジデータとして前記相手機器に
送信する第２送信手段と、前記相手機器から送られてきた暗号化された結合データ
を復号化する復号化手段と、復号化された結合データをレスポンスデータに相当する
第１分離データと残る第２分離データとに分離する分離
手段とを備え、前記認証手段は、前記第１分離データを前記相手機器か
ら返信されてきたレスポンスデータとして前記判断及び
認証をし、前記第１暗号化手段は、前記相手機器から送信されてき
たチャレンジデータと前記第１乱数とを結合し、その結
果得られた結合データを暗号化し、前記データ転送鍵生成手段は、前記第１乱数と前記第２
分離データとを結合することにより、前記データ転送鍵
を生成し、前記復号化手段及び前記分離手段は、前記ＩＣ内の回路
で実現されていることを特徴とする請求項４記載の暗号
化装置。
【請求項７】前記転送データ暗号化手段による暗号化
のアルゴリズムは、前記第１暗号化手段及び前記復号化
手段の少なくとも１つのものと同一であることを特徴と
する請求項５又は６記載の暗号化装置。
【請求項８】前記転送データ暗号化手段による暗号化
のアルゴリズムは、前記第１暗号化手段及び前記復号化
手段のいずれのものとも異なり、かつ、いずれのものよ
りも簡易であることを特徴とする請求項５又は６記載の
暗号化装置。
【請求項９】前記転送データ暗号化手段は、前記転送
データを一定長のブロックに区切り、各ブロックに対し
て前記データ転送鍵の対応する部分を用いて暗号化する
ことを特徴とする請求項８記載の暗号化装置。
【請求項１０】前記転送データ暗号化手段は、前記ブ
ロックと前記データ転送鍵の対応する部分との排他的論
理和をとることにより、前記暗号化を行なうことを特徴
とする請求項９記載の暗号化装置。
【請求項１１】前記第１暗号化手段での暗号と前記復
号化手段での復号化とは、同一の変換アルゴリズムであ
ることを特徴とする請求項１０記載の暗号化装置。
【請求項１２】前記第１暗号化手段及び前記復号化手
段は、予め前記ＩＣ内に保持された鍵データを用いて前
記暗号化及び復号化を行い、その鍵データの一部は、前記ＩＣ内のマスクＲＯＭ領域
に格納され、残る一部は、前記ＩＣ内の追記ＲＯＭ領域
に格納されていることを特徴とする請求項１１記載の暗
号化装置。
【請求項１３】前記機器は、チャレンジレスポンス型
の認証プロトコルに基づく通信により相互に前記相手機
器が正当な機器であることを認証し合うものであり、前記暗号化装置はさらに、前記チャレンジデータに対して前記相手機器から送られ
てきた暗号化された結合データを復号化する復号化手段
と、復号化された結合データをレスポンスデータに相当する
第１分離データと残る第２分離データとに分離する分離
手段と、前記第１乱数と前記第１分離データとが一致するか否か
を判断し、一致した場合に前記相手機器は正当な機器で
あると認証する認証手段と、前記認証がなされた場合に前記第２分離データを暗号化
する第２暗号化手段と、暗号化された前記第２分離データをレスポンスデータと
して前記相手機器に返信する第２送信手段とを備え、前記データ転送鍵生成手段は、前記第１乱数と前記第２
分離データとを結合することにより、前記データ転送鍵
を生成し、前記復号化手段、前記分離手段及び前記第２暗号化手段
は、前記ＩＣ内の回路で実現されていることを特徴とす
る請求項２記載の暗号化装置。
【請求項１４】前記転送データ暗号化手段による暗号
化のアルゴリズムは、前記第１暗号化手段、前記第２暗
号化手段及び前記復号化手段の少なくとも１つのものと
同一であることを特徴とする請求項１３記載の暗号化装
置。
【請求項１５】前記転送データ暗号化手段による暗号
化のアルゴリズムは、前記第１暗号化手段、前記第２暗
号化手段及び前記復号化手段のいずれのものとも異な
り、かつ、いずれのものよりも簡易であることを特徴と
する請求項１３記載の暗号化装置。
【請求項１６】前記転送データ暗号化手段は、前記転
送データを一定長のブロックに区切り、各ブロックに対
して前記データ転送鍵の対応する部分を用いて暗号化す
ることを特徴とする請求項１５記載の暗号化装置。
【請求項１７】前記転送データ暗号化手段は、前記ブ
ロックと前記データ転送鍵の対応する部分との排他的論
理和をとることにより、前記暗号化を行なうことを特徴
とする請求項１６記載の暗号化装置。
【請求項１８】前記第１暗号化手段及び前記第２暗号
化手段での暗号化と前記復号化手段での復号化とは、い
ずれも同一の変換アルゴリズムであることを特徴とする
請求項１７記載の暗号化装置。
【請求項１９】前記第１暗号化手段、前記第２暗号化
手段及び前記復号化手段は、予め前記ＩＣ内に保持され
た鍵データを用いて前記暗号化及び復号化を行い、その鍵データの一部は、前記ＩＣ内のマスクＲＯＭ領域
に格納され、残る一部は、前記ＩＣ内の追記ＲＯＭ領域
に格納されていることを特徴とする請求項１８記載の暗
号化装置。
【請求項２０】データ転送鍵の共有化とそのデータ転
送鍵を用いた暗号通信を行なう送信機及び受信機から構
成される通信システムであって、それら送信機及び受信機は、チャレンジレスポンス型の
認証プロトコルに基づく通信により相互に相手機器が正
当な機器であることを認証し合うものであり、それぞ
れ、チャレンジデータ用の第１乱数を生成する第１乱数生成
手段と、前記データ転送鍵用の第２乱数を生成する第２乱数生成
手段と、前記第１乱数と前記第２乱数を結合する結合手段と、前記結合データを暗号化する暗号化手段と、暗号化された前記結合データを前記相手機器に送信する
第１送信手段と、前記相手機器の第１送信手段から送信された暗号化され
た結合データを受信する第１受信手段と、受信した前記結合データを復号化する復号化手段と、復号化された前記結合データをレスポンスデータに相当
する第１分離データと前記データ転送鍵用の第２分離デ
ータに分離する分離手段と、前記第１分離データをレスポンスデータとして前記相手
機器に返信する第２送信手段と、前記相手機器の第２送信手段から返信された第１分離デ
ータを受信する第２受信手段と、受信した前記第１分離データと前記第１乱数とを比較
し、一致している場合に前記相手機器を正当な機器と認
証する比較手段と、前記第２乱数と前記第２分離データとを結合すること
で、前記データ転送鍵を生成するデータ転送鍵生成手段
と、前記認証がなされた場合に、生成された前記データ転送
鍵を用いて前記相手機器と暗号通信を行なう暗号通信手
段とを備えることを特徴とする暗号化装置。
【請求項２１】データ転送鍵の共有化とそのデータ転
送鍵を用いた暗号通信を行なう送信機及び受信機から構
成される通信システムであって、それら送信機及び受信機は、チャレンジレスポンス型の
認証プロトコルに基づく通信により相互に相手機器が正
当な機器であることを認証し合うものであり、それぞ
れ、チャレンジデータ用の第１乱数を生成する第１乱数生成
手段と、前記第１乱数を前記相手機器に送信する第１送信手段
と、前記相手機器の第１送信手段から送信された第１乱数を
受信する第１受信手段と、前記データ転送鍵用の第２乱数を生成する第２乱数生成
手段と、受信した前記第１乱数と前記第２乱数を結合する結合手
段と、前記結合データを暗号化する暗号化手段と、暗号化された前記結合データを前記相手機器に返信する
第２送信手段と、前記相手機器の第２送信手段から送信された暗号化結合
データを受信する第２受信手段と、受信した前記結合データを復号化する復号化手段と、復号化された前記結合データをレスポンスデータに相当
する第１分離データと前記データ転送鍵用の第２分離デ
ータに分離する分離手段と、前記第１分離データと前記第１乱数生成手段で生成され
た前記第１乱数とを比較し、一致している場合に前記相
手機器を正当な機器と認証する比較手段と、前記第２乱数と前記第２分離データとを結合すること
で、前記データ転送鍵を生成するデータ転送鍵生成手段
と、前記認証がなされた場合に、生成された前記データ転送
鍵を用いて前記相手機器と暗号通信を行なう暗号通信手
段とを備えることを特徴とする暗号化装置。
【請求項２２】データ転送鍵の共有化とそのデータ転
送鍵を用いた暗号通信を行なう送信機及び受信機から構
成される通信システムであって、それら送信機及び受信機は、チャレンジレスポンス型の
認証プロトコルに基づく通信により相互に相手機器が正
当な機器であることを認証し合うものであり、前記送信機は、第１乱数を生成する第１乱数生成手段と、前記第１乱数を暗号化する第１暗号化手段と、暗号化された前記第１乱数を受信機に送信する第１送信
手段とを備え、前記受信機は、暗号化された前記第１乱数を受信する第１受信手段と、受信した前記第１乱数を復号化する第１復号化手段と、第２乱数を生成する第２乱数生成手段と、前記第１乱数と前記第２乱数を結合することで、結合デ
ータを生成する第１結合手段と、前記結合データを暗号化する第２暗号化手段と、暗号化された前記結合データを送信機に送信する第２送
信手段とを備え、前記送信機はさらに、暗号化された前記結合データを受信する第２受信手段
と、受信した前記結合データを復号化する第２復号化手段
と、復号化された前記結合データを前記第１乱数に相当する
第１分離データと前記第２乱数に相当する第２分離デー
タとに分離する分離手段と、前記第１乱数と前記第１分離データとを比較し、一致し
ている場合に前記受信機を正当な機器と認証する第１比
較手段と、前記認証がなされた場合に前記第２分離データを暗号化
する第３暗号化手段と、暗号化された前記第２分離データを前記受信機に送信す
る第３送信手段と前記第１乱数生成手段で生成された記
第１乱数と前記分離手段で得られた第２分離データとを
結合することで、前記データ転送鍵を生成する第１デー
タ転送鍵生成手段とを備え、前記受信機はさらに、暗号化された前記第２分離データを受信する第３受信手
段と、受信した前記第２分離データを復号化する第３復号化手
段と、復号化された前記第２分離データと前記第２乱数とを比
較し、一致している場合に前記送信機を正当な機器と認
証する第２比較手段と、前記認証がなされた場合に前記第１復号化手段で得られ
た前記第１乱数と前記第２乱数生成手段で生成された第
２乱数とを結合することで、前記データ転送鍵を生成す
る第２データ転送鍵生成手段とを備え、前記送信機はさらに、前記第１データ転送鍵生成手段で生成されたデータ転送
鍵を用いて転送データを暗号化する第４暗号化手段と、暗号化された転送データを前記受信機に送信する第４送
信手段とを備え、前記受信機はさらに、暗号化された前記転送データを前記送信機から受信する
第４受信手段と、前記第２データ転送鍵生成手段で生成されたデータ転送
鍵を用いて転送データを復号化する第４復号化手段とを
備えることを特徴とする暗号化装置。