JPH1124559A - 暗号装置 - Google Patents
暗号装置Info
- Publication number
- JPH1124559A JPH1124559A JP9173672A JP17367297A JPH1124559A JP H1124559 A JPH1124559 A JP H1124559A JP 9173672 A JP9173672 A JP 9173672A JP 17367297 A JP17367297 A JP 17367297A JP H1124559 A JPH1124559 A JP H1124559A
- Authority
- JP
- Japan
- Prior art keywords
- data
- linear
- key
- linear conversion
- unit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
- H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
- H04L9/0625—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation with splitting of the data block into left and right halves, e.g. Feistel based algorithms, DES, FEAL, IDEA or KASUMI
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/12—Details relating to cryptographic hardware or logic circuitry
- H04L2209/125—Parallelization or pipelining, e.g. for accelerating processing of cryptographic operations
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
- Facsimile Transmission Control (AREA)
- Complex Calculations (AREA)
Abstract
(57)【要約】
【課題】 差分解読法、線形解読法に対して安全性が高
く、かつ高速処理が可能。 【解決手段】 入力データをＬ0 ，Ｒ0 に分割し、Ｒを
非線形関数手段３０４で鍵に応じて交換し、その出力
と、もとの排他的論理和をとった出力をＲ1 とし、Ｒ0
をＬ1 とすることを複数回行い、手段３０４として、入
力Ｒi を鍵依存線形変換し（３４１）、その出力をｉｎ
0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ3 に４分割し、これらをそれ
ぞれ非線形変換し（３４３〜３４６）、これら変換出力
を鍵依存線形変換手段３４７で相互に関連づけると共に
鍵ｋi0〜ｋi03 を排他的論理和をとり、その各出力をそ
れぞれ非線形変換し（３４８〜３５１）、その変換出力
をビット結合し、更にｋ2iで鍵依存線形変換して出力と
する。
く、かつ高速処理が可能。 【解決手段】 入力データをＬ0 ，Ｒ0 に分割し、Ｒを
非線形関数手段３０４で鍵に応じて交換し、その出力
と、もとの排他的論理和をとった出力をＲ1 とし、Ｒ0
をＬ1 とすることを複数回行い、手段３０４として、入
力Ｒi を鍵依存線形変換し（３４１）、その出力をｉｎ
0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ3 に４分割し、これらをそれ
ぞれ非線形変換し（３４３〜３４６）、これら変換出力
を鍵依存線形変換手段３４７で相互に関連づけると共に
鍵ｋi0〜ｋi03 を排他的論理和をとり、その各出力をそ
れぞれ非線形変換し（３４８〜３５１）、その変換出力
をビット結合し、更にｋ2iで鍵依存線形変換して出力と
する。
Description
【０００１】
【発明の属する技術分野】この発明は、データの通信ま
たは蓄積において、データを秘匿するための暗号化装
置、特に、秘密鍵の制御のもとでデータをブロック単位
で暗号化または復号を行う共通鍵暗号方式による暗号化
装置に関するものである。
たは蓄積において、データを秘匿するための暗号化装
置、特に、秘密鍵の制御のもとでデータをブロック単位
で暗号化または復号を行う共通鍵暗号方式による暗号化
装置に関するものである。
【０００２】
【従来の技術】データを秘匿するための暗号化装置に含
まれる代表的な共通鍵暗号方式には、米国連邦標準暗号
であるＤＥＳ（Data Encryption Standard）暗号があ
る。図８は、ＤＥＳ暗号の機能構成を示す。ＤＥＳ暗号
では、５６ビットの秘密鍵を用い、６４ビットのデータ
ブロック単位に暗号化または復号を行う。図８におい
て、暗号化処理は、平文Ｐの６４ビットを初期変転部１
１において初期転値で変換した後、３２ビットごとのブ
ロックデータＬ0 ，Ｒ0 に分割される。次に、Ｒ0 は図
９に示す関数演算部１２への入力として用いられ、関数
演算部１２において４８ビットの拡大鍵ｋ0 の制御のも
とにｆ（Ｒ0 ，ｋ0 ）に変換される。この変換データｆ
（Ｒ0 ，ｋ0 ）とＬ0 との排他的論理和を回路１３でと
り、さらにその値とＲ0 とを入れ替えて、次のブロック
データＬ1 ，Ｒ1 を生成する。すなわち、Ｒ1 ＝Ｌ
0 （＋）ｆ（Ｒ0 ，ｋ0 ），Ｌ1 ＝Ｒ0 である。このよ
うに二つのブロックデータＬ0 ，Ｒ0 を入力として演算
部１２と排他的論理和回路１３とデータの入れ替えとに
よりＬ1 ，Ｒ1 を出力する処理段１４0 が構成され、同
じような処理段１４1 〜１４15が縦続的に設けられる。
つまり各処理段１４i （０＜ｉ＜１６）では、Ｒi+1 ＝
Ｌi （＋）ｆ（Ｒi ，ｋi ），Ｌi+1 ＝Ｒi の処理が行
われ、最後にＲ16，Ｌ16を統合して６４ビットにした
後、最終転値部１５において最終転値で変換して暗号文
６４ビットを出力する。復号処理においては、関数ｆに
入力する拡大鍵ｋ0 ，ｋ1 ，…，ｋ14，ｋ15の順序だけ
を逆転させて、ｋ15，ｋ14，…，ｋ1 ，ｋ0 の順に入力
するようにする点を除けば、暗号化処理と同じ手順で実
行できる。なお、拡大鍵ｋ0 ，ｋ1 ，…，ｋ14，ｋ
15は、暗号化処理とは別の拡大鍵生成ルーチン１６で５
６ビットの秘密鍵が４８ビットの拡大鍵１６個の計７６
８ビットに拡大されることによって生成される。
まれる代表的な共通鍵暗号方式には、米国連邦標準暗号
であるＤＥＳ（Data Encryption Standard）暗号があ
る。図８は、ＤＥＳ暗号の機能構成を示す。ＤＥＳ暗号
では、５６ビットの秘密鍵を用い、６４ビットのデータ
ブロック単位に暗号化または復号を行う。図８におい
て、暗号化処理は、平文Ｐの６４ビットを初期変転部１
１において初期転値で変換した後、３２ビットごとのブ
ロックデータＬ0 ，Ｒ0 に分割される。次に、Ｒ0 は図
９に示す関数演算部１２への入力として用いられ、関数
演算部１２において４８ビットの拡大鍵ｋ0 の制御のも
とにｆ（Ｒ0 ，ｋ0 ）に変換される。この変換データｆ
（Ｒ0 ，ｋ0 ）とＬ0 との排他的論理和を回路１３でと
り、さらにその値とＲ0 とを入れ替えて、次のブロック
データＬ1 ，Ｒ1 を生成する。すなわち、Ｒ1 ＝Ｌ
0 （＋）ｆ（Ｒ0 ，ｋ0 ），Ｌ1 ＝Ｒ0 である。このよ
うに二つのブロックデータＬ0 ，Ｒ0 を入力として演算
部１２と排他的論理和回路１３とデータの入れ替えとに
よりＬ1 ，Ｒ1 を出力する処理段１４0 が構成され、同
じような処理段１４1 〜１４15が縦続的に設けられる。
つまり各処理段１４i （０＜ｉ＜１６）では、Ｒi+1 ＝
Ｌi （＋）ｆ（Ｒi ，ｋi ），Ｌi+1 ＝Ｒi の処理が行
われ、最後にＲ16，Ｌ16を統合して６４ビットにした
後、最終転値部１５において最終転値で変換して暗号文
６４ビットを出力する。復号処理においては、関数ｆに
入力する拡大鍵ｋ0 ，ｋ1 ，…，ｋ14，ｋ15の順序だけ
を逆転させて、ｋ15，ｋ14，…，ｋ1 ，ｋ0 の順に入力
するようにする点を除けば、暗号化処理と同じ手順で実
行できる。なお、拡大鍵ｋ0 ，ｋ1 ，…，ｋ14，ｋ
15は、暗号化処理とは別の拡大鍵生成ルーチン１６で５
６ビットの秘密鍵が４８ビットの拡大鍵１６個の計７６
８ビットに拡大されることによって生成される。
【０００３】さて、関数演算内部１２の処理は、図９に
示すように行われる。まず、３２ビットのブロックデー
タＲi は拡大転値部１７で４８ビットデータＥ（Ｒi ）
に変換される。これに拡大鍵ｋi とで排他的論理和を回
路１８で取り、４８ビットデータＥ（Ｒi ）（＋）ｋi
に変換した後、８個の６ビットごとのサブブロックデー
タに分割する。この８個のサブブロックデータはそれぞ
れ異なるＳ−ｂｏｘＳ 0 〜Ｓ7 に入力され、各々が４ビ
ットの出力を得る。なお、このＳ−ｂｏｘＳj（ｊ＝
０，１，…，７）は６ビットの入力データから４ビット
の出力データに変換する非線形変換テーブルであり、Ｄ
ＥＳ暗号の本質的な安全性を担っている部分である。Ｓ
−ｂｏｘＳ0 〜Ｓ7 の８つの出力データは、再び連結さ
れて３２ビットデータになった後、転置変換部１９を経
て、図８に示されるように、Ｌi と排他的論理和される
関数ｆの出力ｆ（Ｒi ，ｋi ）となる。
示すように行われる。まず、３２ビットのブロックデー
タＲi は拡大転値部１７で４８ビットデータＥ（Ｒi ）
に変換される。これに拡大鍵ｋi とで排他的論理和を回
路１８で取り、４８ビットデータＥ（Ｒi ）（＋）ｋi
に変換した後、８個の６ビットごとのサブブロックデー
タに分割する。この８個のサブブロックデータはそれぞ
れ異なるＳ−ｂｏｘＳ 0 〜Ｓ7 に入力され、各々が４ビ
ットの出力を得る。なお、このＳ−ｂｏｘＳj（ｊ＝
０，１，…，７）は６ビットの入力データから４ビット
の出力データに変換する非線形変換テーブルであり、Ｄ
ＥＳ暗号の本質的な安全性を担っている部分である。Ｓ
−ｂｏｘＳ0 〜Ｓ7 の８つの出力データは、再び連結さ
れて３２ビットデータになった後、転置変換部１９を経
て、図８に示されるように、Ｌi と排他的論理和される
関数ｆの出力ｆ（Ｒi ，ｋi ）となる。
【０００４】次に、暗号解読法について述べる。ＤＥＳ
暗号を始めとする従来の共通鍵暗号方式についてはさま
ざまな方面から暗号解読が試みられており、そのなかで
も、極めて効果的な解読法であるのがＥ．Biham および
Ａ．Shamirによって提案された差分解読法（“Differen
tial Cryptanalysis of DES-like Cryptosystems. ”Pr
oceedings of CRYPTO'90）と松井によって提案された線
形解読法（“ＤＥＳ暗号の線形解読法（Ｉ），”１９９
３年暗号と情報セキュリティシンポジウムＳＣＩＳ９３
−３Ｃ）である。
暗号を始めとする従来の共通鍵暗号方式についてはさま
ざまな方面から暗号解読が試みられており、そのなかで
も、極めて効果的な解読法であるのがＥ．Biham および
Ａ．Shamirによって提案された差分解読法（“Differen
tial Cryptanalysis of DES-like Cryptosystems. ”Pr
oceedings of CRYPTO'90）と松井によって提案された線
形解読法（“ＤＥＳ暗号の線形解読法（Ｉ），”１９９
３年暗号と情報セキュリティシンポジウムＳＣＩＳ９３
−３Ｃ）である。
【０００５】差分解読法は、２つのデータＸ，Ｘ* の差
分をΔＸ＝Ｘ（＋）Ｘ* としたとき、解読者が入手して
いる平文・暗号文の２組を以下の式に適用して、最終ラ
ウンドにおける拡大鍵ｋ15を求めることを目的としてい
る。 ｆ（Ｌ16，ｋ15)(+)ｆ((Ｌ16(+) ΔＬ16),ｋ15）＝ΔＲ
16(+) ΔＲ14 このとき、Ｌ16，ΔＬ16，ΔＲ16は暗号文から得られる
データであるので既知の情報である。このため、解読者
がΔＲ14を正しく求めることができるならば、上式はｋ
15のみが未知定数となり、既知の平文・暗号文の組を用
いてｋ15に関する全数探索を行うことで、解読者は必ず
正しいｋ15を見つけだすことができる。一方、ΔＲ14に
ついてみてみると、この値は中間差分値であるため、一
般には求めることが困難である。そこで、１ラウンド目
から最終ラウンドの一つ前までのラウンド目までにおい
て、各ラウンドが確率ｐi でΔＲi+1 ＝ΔＬi （+)Δ
｛ｆ（ΔＲi ）｝，ΔＬi+1 ＝ΔＲi+1 のように近似さ
れるとおく。ここでのポイントは、あるΔＲi が入力さ
れたとき、拡大鍵ｋi の値に関わらず、確率ｐi でΔ
｛ｆ（ΔＲi ）｝を予測できるということにある。この
ように近似できるのは、Δ｛ｆ（ΔＲi ）｝に影響を与
えるのが非線形な変換であるＳ−ｂｏｘの部分だけであ
り、しかもＳ−ｂｏｘにおいて、入力差分によっては差
分出力の分布に極めて大きな偏りが生じるためである。
例えば、Ｓ１−ｂｏｘでは、入力差分「１１０１００」
のとき、１／４の確率で出力差分「００１０」に変換さ
れるためである。そこで、各々のＳ−ｂｏｘが確率ｐsi
で入力差分と出力差分との関係が予測できるとおき、こ
れらを組み合わせることで各ラウンドの近似を求める。
さらに、各ラウンドでの近似を連結していくことで、Δ
Ｒ14は確率Ｐ＝Πｐi でΔＬ 0 ，ΔＲ0 （ΔＬ0 ，ΔＲ
0 は平文から得られるデータであるので既知の情報であ
る）から求められることになる。なお、この確率Ｐが大
きいほど、暗号解読が容易である。このようにして、拡
大鍵ｋ15が求められると、今度は１段少ない１５段ＤＥ
Ｓ暗号とみなして、同様の手法で、拡大鍵ｋ14を求めて
いくということを繰り返して、最終的に拡大鍵ｋ0 まで
求めていく。
分をΔＸ＝Ｘ（＋）Ｘ* としたとき、解読者が入手して
いる平文・暗号文の２組を以下の式に適用して、最終ラ
ウンドにおける拡大鍵ｋ15を求めることを目的としてい
る。 ｆ（Ｌ16，ｋ15)(+)ｆ((Ｌ16(+) ΔＬ16),ｋ15）＝ΔＲ
16(+) ΔＲ14 このとき、Ｌ16，ΔＬ16，ΔＲ16は暗号文から得られる
データであるので既知の情報である。このため、解読者
がΔＲ14を正しく求めることができるならば、上式はｋ
15のみが未知定数となり、既知の平文・暗号文の組を用
いてｋ15に関する全数探索を行うことで、解読者は必ず
正しいｋ15を見つけだすことができる。一方、ΔＲ14に
ついてみてみると、この値は中間差分値であるため、一
般には求めることが困難である。そこで、１ラウンド目
から最終ラウンドの一つ前までのラウンド目までにおい
て、各ラウンドが確率ｐi でΔＲi+1 ＝ΔＬi （+)Δ
｛ｆ（ΔＲi ）｝，ΔＬi+1 ＝ΔＲi+1 のように近似さ
れるとおく。ここでのポイントは、あるΔＲi が入力さ
れたとき、拡大鍵ｋi の値に関わらず、確率ｐi でΔ
｛ｆ（ΔＲi ）｝を予測できるということにある。この
ように近似できるのは、Δ｛ｆ（ΔＲi ）｝に影響を与
えるのが非線形な変換であるＳ−ｂｏｘの部分だけであ
り、しかもＳ−ｂｏｘにおいて、入力差分によっては差
分出力の分布に極めて大きな偏りが生じるためである。
例えば、Ｓ１−ｂｏｘでは、入力差分「１１０１００」
のとき、１／４の確率で出力差分「００１０」に変換さ
れるためである。そこで、各々のＳ−ｂｏｘが確率ｐsi
で入力差分と出力差分との関係が予測できるとおき、こ
れらを組み合わせることで各ラウンドの近似を求める。
さらに、各ラウンドでの近似を連結していくことで、Δ
Ｒ14は確率Ｐ＝Πｐi でΔＬ 0 ，ΔＲ0 （ΔＬ0 ，ΔＲ
0 は平文から得られるデータであるので既知の情報であ
る）から求められることになる。なお、この確率Ｐが大
きいほど、暗号解読が容易である。このようにして、拡
大鍵ｋ15が求められると、今度は１段少ない１５段ＤＥ
Ｓ暗号とみなして、同様の手法で、拡大鍵ｋ14を求めて
いくということを繰り返して、最終的に拡大鍵ｋ0 まで
求めていく。
【０００６】Biham らによると、この解読法では、２47
組の選択された既知平文・暗号文の組があればＤＥＳ暗
号を解読できるとしている。また、線形解読法は、以下
の線形近似式を構成し、解読者が入手している平文・暗
号文の組による最尤法を用いて拡大鍵を求めることを目
的としている。 （Ｌ0 ，Ｒ0)・Γ（Ｌ0 ，Ｒ0)(+)(Ｌ16, Ｒ16）・Γ(
Ｌ16, Ｒ16）＝（ｋ0，ｋ1 ，…，ｋ15）・Γ（ｋ0 ，
ｋ1 ，…，ｋ15） ただし、Γ（Ｘ）はＸの特定のビット位置を選択するベ
クトルを表し、マスク値という 線形近似式の役割は、暗号アルゴリズム内部を線形表現
で近似的に置き換え、平文・暗号文の組に関する部分と
拡大鍵に関する部分とに分離することにある。つまり、
平文・暗号文の組に関して、平文の特定のビット位置の
値と暗号文の特定のビット位置の値との全ての排他的論
理和が一定値となり、その値は拡大鍵の特定のビット位
置の値の排他的論理和に等しくなることを表している。
したがって、解読者は（Ｌ0 ，Ｒ0)・Γ（Ｌ0 ，Ｒ0)
(+)(Ｌ16, Ｒ16）・Γ( Ｌ16, Ｒ16）の情報から
（ｋ0 ，ｋ1 ，…，ｋ15）・Γ（ｋ0 ，ｋ1 ，…，
ｋ15）（１ビット）の情報が得られるということにな
る。このとき、（Ｌ0 ，Ｒ0)，（Ｌ16，Ｒ 16）はそれぞ
れ平文・暗号文のデータであるので既知の情報である。
このため、解読者がΓ（Ｌ0 ，Ｒ0)，Γ（Ｌ16，
Ｒ16），Γ（ｋ0 ，ｋ1 ，…，ｋ15）を正しく求めるこ
とができるならば、（ｋ0 ，ｋ1 ，…，ｋ15）・Γ（ｋ
0 ，ｋ1 ，…，ｋ15） （１ビット）を求めることがで
きる。
組の選択された既知平文・暗号文の組があればＤＥＳ暗
号を解読できるとしている。また、線形解読法は、以下
の線形近似式を構成し、解読者が入手している平文・暗
号文の組による最尤法を用いて拡大鍵を求めることを目
的としている。 （Ｌ0 ，Ｒ0)・Γ（Ｌ0 ，Ｒ0)(+)(Ｌ16, Ｒ16）・Γ(
Ｌ16, Ｒ16）＝（ｋ0，ｋ1 ，…，ｋ15）・Γ（ｋ0 ，
ｋ1 ，…，ｋ15） ただし、Γ（Ｘ）はＸの特定のビット位置を選択するベ
クトルを表し、マスク値という 線形近似式の役割は、暗号アルゴリズム内部を線形表現
で近似的に置き換え、平文・暗号文の組に関する部分と
拡大鍵に関する部分とに分離することにある。つまり、
平文・暗号文の組に関して、平文の特定のビット位置の
値と暗号文の特定のビット位置の値との全ての排他的論
理和が一定値となり、その値は拡大鍵の特定のビット位
置の値の排他的論理和に等しくなることを表している。
したがって、解読者は（Ｌ0 ，Ｒ0)・Γ（Ｌ0 ，Ｒ0)
(+)(Ｌ16, Ｒ16）・Γ( Ｌ16, Ｒ16）の情報から
（ｋ0 ，ｋ1 ，…，ｋ15）・Γ（ｋ0 ，ｋ1 ，…，
ｋ15）（１ビット）の情報が得られるということにな
る。このとき、（Ｌ0 ，Ｒ0)，（Ｌ16，Ｒ 16）はそれぞ
れ平文・暗号文のデータであるので既知の情報である。
このため、解読者がΓ（Ｌ0 ，Ｒ0)，Γ（Ｌ16，
Ｒ16），Γ（ｋ0 ，ｋ1 ，…，ｋ15）を正しく求めるこ
とができるならば、（ｋ0 ，ｋ1 ，…，ｋ15）・Γ（ｋ
0 ，ｋ1 ，…，ｋ15） （１ビット）を求めることがで
きる。
【０００７】ＤＥＳ暗号では、非線形な変換が起きる部
分はＳ−ｂｏｘしかないため、Ｓ−ｂｏｘについてのみ
線形表現ができれば、容易に線形近似式が構成できる。
そこで、各々のＳ−ｂｏｘが確率ｐsiで線形表現できる
とおく。ここでのポイントは、Ｓ−ｂｏｘに対する入力
マスク値が与えられたとき、確率ｐsiでその出力マスク
値を予測できるということにある。これは、非線形変換
テーブルであるＳ−ｂｏｘにおいて、入力マスク値によ
っては差分マスク値の分布に極めて大きな偏りが生じる
ためにおこる。例えば、Ｓ５−ｂｏｘでは、入力マスク
値「０１００００」のとき、３／１６の確率で出力マス
ク値「１１１１」が予測されるためである。これらＳ−
ｂｏｘにおけるマスク値を組み合わせることによって、
各ラウンドが確率ｐi で入力マスク値と出力マスク値の
あいだに線形近似することができ、各ラウンドでの線形
近似を連結していくことで、Γ（Ｌ0 ，Ｒ0)，Γ
（Ｌ16，Ｒ16），Γ（ｋ0 ，ｋ1 ，…，ｋ15）は確率Ｐ
＝２n-1 ・Π｜ｐi −1/2 ｜で求められることになる。
なお、この確率Ｐが大きいほど、暗号解読が容易であ
る。
分はＳ−ｂｏｘしかないため、Ｓ−ｂｏｘについてのみ
線形表現ができれば、容易に線形近似式が構成できる。
そこで、各々のＳ−ｂｏｘが確率ｐsiで線形表現できる
とおく。ここでのポイントは、Ｓ−ｂｏｘに対する入力
マスク値が与えられたとき、確率ｐsiでその出力マスク
値を予測できるということにある。これは、非線形変換
テーブルであるＳ−ｂｏｘにおいて、入力マスク値によ
っては差分マスク値の分布に極めて大きな偏りが生じる
ためにおこる。例えば、Ｓ５−ｂｏｘでは、入力マスク
値「０１００００」のとき、３／１６の確率で出力マス
ク値「１１１１」が予測されるためである。これらＳ−
ｂｏｘにおけるマスク値を組み合わせることによって、
各ラウンドが確率ｐi で入力マスク値と出力マスク値の
あいだに線形近似することができ、各ラウンドでの線形
近似を連結していくことで、Γ（Ｌ0 ，Ｒ0)，Γ
（Ｌ16，Ｒ16），Γ（ｋ0 ，ｋ1 ，…，ｋ15）は確率Ｐ
＝２n-1 ・Π｜ｐi −1/2 ｜で求められることになる。
なお、この確率Ｐが大きいほど、暗号解読が容易であ
る。
【０００８】松井によると、この解読法で、２43組の既
知平文・暗号文の組を用いて、ＤＥＳ暗号の解読に成功
している。さて、上記の解読法に対抗するためには、確
率Ｐが十分に小さくなればよい。このため、確率Ｐを小
さくするための提案がさまざま行われており、なかでも
従来の暗号方式において、もっとも簡単に安全性を高め
るための方法がラウンド数を増やすことであった。例え
ば、ＤＥＳ暗号を３つつなげたTriple-DES暗号は、実質
的にＤＥＳのラウンド数を１６段から４８段に増やした
暗号方式であり、確率Ｐは、ＤＥＳ暗号よりもはるかに
小さい。
知平文・暗号文の組を用いて、ＤＥＳ暗号の解読に成功
している。さて、上記の解読法に対抗するためには、確
率Ｐが十分に小さくなればよい。このため、確率Ｐを小
さくするための提案がさまざま行われており、なかでも
従来の暗号方式において、もっとも簡単に安全性を高め
るための方法がラウンド数を増やすことであった。例え
ば、ＤＥＳ暗号を３つつなげたTriple-DES暗号は、実質
的にＤＥＳのラウンド数を１６段から４８段に増やした
暗号方式であり、確率Ｐは、ＤＥＳ暗号よりもはるかに
小さい。
【０００９】
【発明が解決しようとする課題】しかし、上記の解読法
に対抗するための対策として、ラウンド数を増加させる
ことは、暗号化速度を犠牲にすることになる。例えば、
ラウンド数を３倍に増やせば、暗号化速度は１／３にな
る。つまり、現在のＤＥＳ暗号の暗号化速度はPentium
ＰＣクラスで約１０Ｍｂｐｓであるため、Triple−ＤＥ
Ｓ暗号ともなると約３．５Ｍｂｐｓまで暗号化速度が低
下する。一方で、ネットワークやコンピュータなどは年
々高速化しており、暗号化装置もそれらの高速化に対応
したものが望まれている。
に対抗するための対策として、ラウンド数を増加させる
ことは、暗号化速度を犠牲にすることになる。例えば、
ラウンド数を３倍に増やせば、暗号化速度は１／３にな
る。つまり、現在のＤＥＳ暗号の暗号化速度はPentium
ＰＣクラスで約１０Ｍｂｐｓであるため、Triple−ＤＥ
Ｓ暗号ともなると約３．５Ｍｂｐｓまで暗号化速度が低
下する。一方で、ネットワークやコンピュータなどは年
々高速化しており、暗号化装置もそれらの高速化に対応
したものが望まれている。
【００１０】このため、従来の暗号装置では、それらの
高速化の要求に対して、安全性と高速性を同時に満たす
ことはきわめて困難な状況になっている。この発明の目
的は、上記の点を鑑みなされたもので、関数ｆを安全性
と高速性を同時に満たすような構造にすることによっ
て、ラウンド数を増加させることなく安全性を確保し、
かつ高速な暗号化処理が可能となるような暗号装置を提
供することにある。
高速化の要求に対して、安全性と高速性を同時に満たす
ことはきわめて困難な状況になっている。この発明の目
的は、上記の点を鑑みなされたもので、関数ｆを安全性
と高速性を同時に満たすような構造にすることによっ
て、ラウンド数を増加させることなく安全性を確保し、
かつ高速な暗号化処理が可能となるような暗号装置を提
供することにある。
【００１１】
【課題を解決するための手段】この発明では、特に非線
形関数手段において、非線形関数手段の入力データに鍵
記憶手段に蓄積された鍵データに基づいて線形変換を行
う鍵依存線形変換手段と、この鍵依存線形変換手段の出
力データを複数個のビット列に分割する分割手段と、こ
れら分割された各ビット列に非線形変換をそれぞれ行う
第一の非線形変換手段と、その第一の非線形変換手段の
各々の出力ビット列間で線形変換を行う第一の線形変換
手段と、その第一の線形変換手段の出力ビット列の一部
またはすべてに非線形変換を行う第二の非線形変換手段
と、その第二の非線形変換手段の出力ビット列をその非
線形関数手段の出力データに結合する結合手段とを備え
ることを特徴とする。
形関数手段において、非線形関数手段の入力データに鍵
記憶手段に蓄積された鍵データに基づいて線形変換を行
う鍵依存線形変換手段と、この鍵依存線形変換手段の出
力データを複数個のビット列に分割する分割手段と、こ
れら分割された各ビット列に非線形変換をそれぞれ行う
第一の非線形変換手段と、その第一の非線形変換手段の
各々の出力ビット列間で線形変換を行う第一の線形変換
手段と、その第一の線形変換手段の出力ビット列の一部
またはすべてに非線形変換を行う第二の非線形変換手段
と、その第二の非線形変換手段の出力ビット列をその非
線形関数手段の出力データに結合する結合手段とを備え
ることを特徴とする。
【００１２】さらに安全性を向上させるには、前記結合
手段の出力データを前記非線形関数手段の出力データに
線形変換を行う第二の線形変換手段を備えることを特徴
とする。また、前記第一の線形変換手段または前記第二
の線形変換手段、もしくはその両方の手段が、データの
線形変換を行うときに、前記鍵記憶手段に蓄積された鍵
データに基づいて線形変換を行う鍵依存線形変換手段で
あることを特徴とする。作用 この発明によれば、Ｓ−ｂｏｘにおける確率がｐ si＜ｐ
b ＜１であるとき（ｐ b はＳ−ｂｏｘの最大確率）、各
ラウンドを近似するときの確率はｐ i ＜ｐb 2（ただ
し、差分解読法の場合は関数ｆへの入力差分が０でない
とき、線形解読法の場合は関数ｆでの出力マスク値が０
でないとき）となることが保証される。また、関数ｆが
全単射（入力が異なれば出力が必ず異なる）であると
き、暗号方式のラウンド数を３ｍとすると、暗号方式と
しての確率はＰ＜ｐi 2m＜ｐb 4mとなる。一般に、暗号
方式ではＰ＜２-64 であれば差分解読法や線形解読法に
対して安全とされるため、ｍ＞−１６／（log
2（ｐb ））を満たせばよく、ｐ b ＜２-4であればＤＥ
Ｓ暗号の１６ラウンドよりも少ないラウンド数で安全性
を確保できる。なお安全性の確率はｍラウンドの倍数ご
とに変化する。
手段の出力データを前記非線形関数手段の出力データに
線形変換を行う第二の線形変換手段を備えることを特徴
とする。また、前記第一の線形変換手段または前記第二
の線形変換手段、もしくはその両方の手段が、データの
線形変換を行うときに、前記鍵記憶手段に蓄積された鍵
データに基づいて線形変換を行う鍵依存線形変換手段で
あることを特徴とする。作用 この発明によれば、Ｓ−ｂｏｘにおける確率がｐ si＜ｐ
b ＜１であるとき（ｐ b はＳ−ｂｏｘの最大確率）、各
ラウンドを近似するときの確率はｐ i ＜ｐb 2（ただ
し、差分解読法の場合は関数ｆへの入力差分が０でない
とき、線形解読法の場合は関数ｆでの出力マスク値が０
でないとき）となることが保証される。また、関数ｆが
全単射（入力が異なれば出力が必ず異なる）であると
き、暗号方式のラウンド数を３ｍとすると、暗号方式と
しての確率はＰ＜ｐi 2m＜ｐb 4mとなる。一般に、暗号
方式ではＰ＜２-64 であれば差分解読法や線形解読法に
対して安全とされるため、ｍ＞−１６／（log
2（ｐb ））を満たせばよく、ｐ b ＜２-4であればＤＥ
Ｓ暗号の１６ラウンドよりも少ないラウンド数で安全性
を確保できる。なお安全性の確率はｍラウンドの倍数ご
とに変化する。
【００１３】また、少なくとも２つのＳ−ｂｏｘが並列
に処理できるような配置となっているため、並列処理が
できないものと比較して２倍以上の処理速度を出すこと
が可能である。ゆえに、差分解読法や線形解読法に対す
る安全性を、高速な関数で、かつ比較的少ないラウンド
数で確保できるため、安全性と高速性を両立させた暗号
装置を提供することが可能になる。
に処理できるような配置となっているため、並列処理が
できないものと比較して２倍以上の処理速度を出すこと
が可能である。ゆえに、差分解読法や線形解読法に対す
る安全性を、高速な関数で、かつ比較的少ないラウンド
数で確保できるため、安全性と高速性を両立させた暗号
装置を提供することが可能になる。
【００１４】
【発明の実施の形態】実施例１ 以下、この発明の一実施例を図面を用いて説明する。図
１は、この発明の一実施例を示す暗号装置における、暗
号化処理手順の機能構成を示したものである。
１は、この発明の一実施例を示す暗号装置における、暗
号化処理手順の機能構成を示したものである。
【００１５】平文に相当する入力データＰを入力手段３
０１から暗号装置内に入力する。入力データＰは鍵記憶
手段３２２に蓄積されている鍵データｆｋによる鍵依存
初期線形変換手段３０２で変換された後、初期分割手段
３０３で二つのデータＬ0 ，Ｒ0 に分割される。例えば
６４ビットのデータが３２ビットづつのデータＬ0 ，Ｒ
0 にビット分割される。データＲ0 は、鍵記憶手段３２
２に蓄積されている鍵データｋ00，ｋ10，ｋ20とともに
非線形関数手段３０４に入力され、非線形関数手段３０
４で変換処理を行われてデータＹ0 に変換される。デー
タＹ0 とデータＬ0 は線形演算手段３０５で演算されて
データＬ0 * に変換される。データＬ0 * とデータＲ0
は交換手段３０６でデータ位置の交換が行われ、Ｌ1 ＝
Ｒ0 ，Ｒ 1 ＝Ｌ0 * のように交換される。以下、二つの
データＬ1 ，Ｒ1 について上記と同様の処理を繰り返し
行う。すなわち、二つのデータＬi ，Ｒi について、デ
ータＲi は、鍵記憶手段３２２に蓄積されている鍵デー
タｋ0i，ｋ1i，ｋ2iとともに非線形関数手段３０４に入
力され、非線形関数手段３０４で変換処理を行われて、
データＹi に変換される。データＹi とデータＬi は線
形演算手段３０５で演算されてデータＬi * に変換され
る。データＬi * とデータＲi は交換手段３０６でデー
タ位置の交換が行われ、Ｌi+1 ＝Ｒi ，Ｒi+1 ＝Ｌi *
のように交換される。線形演算手段３０５は例えば排他
的論理和演算を行うものである。
０１から暗号装置内に入力する。入力データＰは鍵記憶
手段３２２に蓄積されている鍵データｆｋによる鍵依存
初期線形変換手段３０２で変換された後、初期分割手段
３０３で二つのデータＬ0 ，Ｒ0 に分割される。例えば
６４ビットのデータが３２ビットづつのデータＬ0 ，Ｒ
0 にビット分割される。データＲ0 は、鍵記憶手段３２
２に蓄積されている鍵データｋ00，ｋ10，ｋ20とともに
非線形関数手段３０４に入力され、非線形関数手段３０
４で変換処理を行われてデータＹ0 に変換される。デー
タＹ0 とデータＬ0 は線形演算手段３０５で演算されて
データＬ0 * に変換される。データＬ0 * とデータＲ0
は交換手段３０６でデータ位置の交換が行われ、Ｌ1 ＝
Ｒ0 ，Ｒ 1 ＝Ｌ0 * のように交換される。以下、二つの
データＬ1 ，Ｒ1 について上記と同様の処理を繰り返し
行う。すなわち、二つのデータＬi ，Ｒi について、デ
ータＲi は、鍵記憶手段３２２に蓄積されている鍵デー
タｋ0i，ｋ1i，ｋ2iとともに非線形関数手段３０４に入
力され、非線形関数手段３０４で変換処理を行われて、
データＹi に変換される。データＹi とデータＬi は線
形演算手段３０５で演算されてデータＬi * に変換され
る。データＬi * とデータＲi は交換手段３０６でデー
タ位置の交換が行われ、Ｌi+1 ＝Ｒi ，Ｒi+1 ＝Ｌi *
のように交換される。線形演算手段３０５は例えば排他
的論理和演算を行うものである。
【００１６】暗号方式としての安全性を確保するための
適切な繰り返し回数をｎとすると、繰り返し処理の結
果、データＬn ，Ｒn が得られる。このデータＬn ，Ｒ
n を最終結合手段３０７で結合しつまり例えば３２ビッ
トの各Ｌn ，Ｒn をビット結合して６４ビットのデータ
とし、その後鍵記憶手段３２２に蓄積されている鍵デー
タｅｋによる鍵依存最終線形変換手段３０８で変換し、
出力手段３０９から暗号文として出力データＣを出力す
る。
適切な繰り返し回数をｎとすると、繰り返し処理の結
果、データＬn ，Ｒn が得られる。このデータＬn ，Ｒ
n を最終結合手段３０７で結合しつまり例えば３２ビッ
トの各Ｌn ，Ｒn をビット結合して６４ビットのデータ
とし、その後鍵記憶手段３２２に蓄積されている鍵デー
タｅｋによる鍵依存最終線形変換手段３０８で変換し、
出力手段３０９から暗号文として出力データＣを出力す
る。
【００１７】復号については、暗号化処理手順と逆の手
順をたどることによって、暗号文Ｃから平文Ｐが得られ
る。例えば図１において入力データの代りに暗号文デー
タを入力し、鍵データを図１とは逆に、ｅｋ，
ｋ0(n-1)，ｋ1(n-1)，ｋ2(n-1)，…，ｋ01，ｋ11，
ｋ21，ｋ00，ｋ10，ｋ20，ｆｋを順次与えればよい。次
に、非線形関数手段３０４の内部を詳細に説明する。図
２は、非線形関数手段３０４の内部の機能構成を抜き出
して示したものである。
順をたどることによって、暗号文Ｃから平文Ｐが得られ
る。例えば図１において入力データの代りに暗号文デー
タを入力し、鍵データを図１とは逆に、ｅｋ，
ｋ0(n-1)，ｋ1(n-1)，ｋ2(n-1)，…，ｋ01，ｋ11，
ｋ21，ｋ00，ｋ10，ｋ20，ｆｋを順次与えればよい。次
に、非線形関数手段３０４の内部を詳細に説明する。図
２は、非線形関数手段３０４の内部の機能構成を抜き出
して示したものである。
【００１８】データＲi は、鍵記憶手段３２２に蓄積さ
れている鍵データｋ0i，ｋ1i，ｋ2iとともに非線形関数
手段３０４への入力データとなる。データＲi は、鍵デ
ータｋ0iによる鍵依存線形変換手段３４１によりデータ
Ｒi * に線形変換される。次に、データＲi * は分割手
段３４２において例えば８ビットづつの４つのデータｉ
ｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ3 にビット分割される。４
つのデータｉｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ3 は、それぞ
れ非線形変換手段３４３，３４４，３４５，３４６にお
いて、データｍｉｄ00，ｍｉｄ01，ｍｉｄ02ｍｉｄ03に
非線形変換された後、鍵依存線形変換手段３４７に入力
される。鍵依存線形変換手段３４７では、鍵データｋ1i
により例えば図３に示すように、線形処理される。即ち
データｍｉｄ00，ｍｉｄ01，ｍｉｄ02，ｍｉｄ03はそれ
ぞれ処理系３０0 〜３０3 に入力され、処理系３０1 で
ｍｉｄ00とｍｉｄ01との排他的論理和が回路３１1 でと
られ、また処理系３０2 でｍｉｄ02とｍｉｄ03の排他的
論理和が回路３１2 でとられ、更に回路３１1 の出力と
回路３１2 の出力の排他的論理和が回路３２2 でとられ
る。回路３１1 の出力と回路３２2 の出力との排他的論
理和が回路３１1 でとられ、回路３３1 の出力とｍｉｄ
00の排他的論理和が回路３４0 でとられ、回路３２2 の
出力とｍｉｄ03との排他的論理和が回路３４3 でとら
れ、回路３４0，３３1 ，３２2 ，３４3 の各出力と鍵
データｋ1i0,ｋ1i1,ｋ1i2,ｋ1i3 との各排他的論理和が
回路３５0 〜３５3 でそれぞれとられて、それぞれｍｉ
ｄ10，ｍｉｄ11，ｍｉｄ12，ｍｉｄ13を出力する。つま
りデータｍｉｄ00，ｍｉｄ01，ｍｉｄ02，ｍｉｄ03は相
互に関連づけられた後、それぞれ鍵データｋ1i0,ｋ1i1,
ｋ 1i2,ｋ1i3 に依存した線形変換が行われる。論理式で
示すと下記の論理演算がなされる。
れている鍵データｋ0i，ｋ1i，ｋ2iとともに非線形関数
手段３０４への入力データとなる。データＲi は、鍵デ
ータｋ0iによる鍵依存線形変換手段３４１によりデータ
Ｒi * に線形変換される。次に、データＲi * は分割手
段３４２において例えば８ビットづつの４つのデータｉ
ｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ3 にビット分割される。４
つのデータｉｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ3 は、それぞ
れ非線形変換手段３４３，３４４，３４５，３４６にお
いて、データｍｉｄ00，ｍｉｄ01，ｍｉｄ02ｍｉｄ03に
非線形変換された後、鍵依存線形変換手段３４７に入力
される。鍵依存線形変換手段３４７では、鍵データｋ1i
により例えば図３に示すように、線形処理される。即ち
データｍｉｄ00，ｍｉｄ01，ｍｉｄ02，ｍｉｄ03はそれ
ぞれ処理系３０0 〜３０3 に入力され、処理系３０1 で
ｍｉｄ00とｍｉｄ01との排他的論理和が回路３１1 でと
られ、また処理系３０2 でｍｉｄ02とｍｉｄ03の排他的
論理和が回路３１2 でとられ、更に回路３１1 の出力と
回路３１2 の出力の排他的論理和が回路３２2 でとられ
る。回路３１1 の出力と回路３２2 の出力との排他的論
理和が回路３１1 でとられ、回路３３1 の出力とｍｉｄ
00の排他的論理和が回路３４0 でとられ、回路３２2 の
出力とｍｉｄ03との排他的論理和が回路３４3 でとら
れ、回路３４0，３３1 ，３２2 ，３４3 の各出力と鍵
データｋ1i0,ｋ1i1,ｋ1i2,ｋ1i3 との各排他的論理和が
回路３５0 〜３５3 でそれぞれとられて、それぞれｍｉ
ｄ10，ｍｉｄ11，ｍｉｄ12，ｍｉｄ13を出力する。つま
りデータｍｉｄ00，ｍｉｄ01，ｍｉｄ02，ｍｉｄ03は相
互に関連づけられた後、それぞれ鍵データｋ1i0,ｋ1i1,
ｋ 1i2,ｋ1i3 に依存した線形変換が行われる。論理式で
示すと下記の論理演算がなされる。
【００１９】mid10＝ mid00(+)mid02(+)mid03(+)k1i0,m
id11 ＝mid02(+)mid03(+)k1i1，mid12＝ mid00(+)mid01
(+)mid02(+)mid03(+)k1i2,mid13 ＝mid00(+)mid01(+)mi
d02(+)k1i3 次にこれらデータｍｉｄ10，ｍｉｄ11，ｍｉｄ12，ｍｉ
ｄ13は、それぞれ非線形変換手段３４８，３４９，３５
０，３５１において、データｏｕｔ0 ，ｏｕｔ 1 ，ｏｕ
ｔ2 ，ｏｕｔ3 に非線形変換された後、結合手段３５２
において、一つのデータＹi * に結合される。つまり例
えば４つの８ビットのデータが１つの３２ビットデータ
にビット結合される。最後に、データＹi * は、鍵デー
タｋ2iによる鍵依存線形変換手段３５３において、デー
タＹi に線形変換され、非線形関数手段３０４からの出
力データＹi が生成される。非線形変換手段３４３〜３
４６，３４８〜３５１の各１つの手段それぞれ、例えば
ＤＥＳ暗号のＳ−ｂｏｘの１つの要素のようなもので、
それぞれ入力データに応じた異った出力データを出力す
るものである。
id11 ＝mid02(+)mid03(+)k1i1，mid12＝ mid00(+)mid01
(+)mid02(+)mid03(+)k1i2,mid13 ＝mid00(+)mid01(+)mi
d02(+)k1i3 次にこれらデータｍｉｄ10，ｍｉｄ11，ｍｉｄ12，ｍｉ
ｄ13は、それぞれ非線形変換手段３４８，３４９，３５
０，３５１において、データｏｕｔ0 ，ｏｕｔ 1 ，ｏｕ
ｔ2 ，ｏｕｔ3 に非線形変換された後、結合手段３５２
において、一つのデータＹi * に結合される。つまり例
えば４つの８ビットのデータが１つの３２ビットデータ
にビット結合される。最後に、データＹi * は、鍵デー
タｋ2iによる鍵依存線形変換手段３５３において、デー
タＹi に線形変換され、非線形関数手段３０４からの出
力データＹi が生成される。非線形変換手段３４３〜３
４６，３４８〜３５１の各１つの手段それぞれ、例えば
ＤＥＳ暗号のＳ−ｂｏｘの１つの要素のようなもので、
それぞれ入力データに応じた異った出力データを出力す
るものである。
【００２０】ここで、非線形変換手段３４３〜３４６は
４つ並列に配置されており、その変換処理は相互に関連
していないため、これらは並列実行が可能である。ま
た、非線形変換手段３４８〜３５１についても同様のこ
とがいえる。さらに、非線形変換手段３４８〜３５１に
ついては、鍵依存線形変換手段３４７が任意の鍵依存線
形変換方法をとることを可能にするために配置されてい
る。このため、鍵依存線形変換手段３４７が、例えば図
３のように特定の線形変換であることがあらかじめわか
っている場合には、非線形変換手段３４８〜３５１の一
部を削除しても、差分解読法および線形解読法に対する
安全性が低下しないようにすることができ、削除した分
だけ暗号化処理速度の向上が望める。例えば、鍵依存線
形変換手段３４７が図３で表されているとき、非線形変
換手段３４９，３５０を削除しても差分解読法および線
形解読法に対する安全性は低下しない一方で、暗号化速
度が約３３％向上する。つまり鍵依存線形変換手段３４
７が予め決っている場合は差分解読法、線形解読法に対
しては非線形変換手段３４８〜３５１の一部はその存在
が安全性に関係ない場合があり、その部分は省略でき
る。なお、鍵データｆｋ，ｋ00，ｋ10，ｋ20，ｋ01，ｋ
11，ｋ21，…，ｋ0(n-1)，ｋ1(n-1)，ｋ2(n-1)，ｅｋは
図１において鍵入力手段３２０から暗号装置内に入力さ
れた鍵情報Ｋｅｙから鍵データ生成手段３２１によって
変換され、鍵記憶手段３２２に蓄積されたデータであ
る。鍵データ生成手段３２１による鍵データの生成はＤ
ＥＳ暗号の拡大鍵生成アルゴリズム１６と同様に行うこ
とができる。
４つ並列に配置されており、その変換処理は相互に関連
していないため、これらは並列実行が可能である。ま
た、非線形変換手段３４８〜３５１についても同様のこ
とがいえる。さらに、非線形変換手段３４８〜３５１に
ついては、鍵依存線形変換手段３４７が任意の鍵依存線
形変換方法をとることを可能にするために配置されてい
る。このため、鍵依存線形変換手段３４７が、例えば図
３のように特定の線形変換であることがあらかじめわか
っている場合には、非線形変換手段３４８〜３５１の一
部を削除しても、差分解読法および線形解読法に対する
安全性が低下しないようにすることができ、削除した分
だけ暗号化処理速度の向上が望める。例えば、鍵依存線
形変換手段３４７が図３で表されているとき、非線形変
換手段３４９，３５０を削除しても差分解読法および線
形解読法に対する安全性は低下しない一方で、暗号化速
度が約３３％向上する。つまり鍵依存線形変換手段３４
７が予め決っている場合は差分解読法、線形解読法に対
しては非線形変換手段３４８〜３５１の一部はその存在
が安全性に関係ない場合があり、その部分は省略でき
る。なお、鍵データｆｋ，ｋ00，ｋ10，ｋ20，ｋ01，ｋ
11，ｋ21，…，ｋ0(n-1)，ｋ1(n-1)，ｋ2(n-1)，ｅｋは
図１において鍵入力手段３２０から暗号装置内に入力さ
れた鍵情報Ｋｅｙから鍵データ生成手段３２１によって
変換され、鍵記憶手段３２２に蓄積されたデータであ
る。鍵データ生成手段３２１による鍵データの生成はＤ
ＥＳ暗号の拡大鍵生成アルゴリズム１６と同様に行うこ
とができる。
【００２１】上記のように構成された暗号装置の場合、
例えば、非線形変換手段３４３〜３４６，３４８〜３５
１の各１つづつが差分解読法および線形解読法に対して
確率ｐb ＝２-6で近似表現できるように設計されている
ならば、各ラウンドは非線形変換を必ず２回行うため、
確率ｐ i ＜２-12 で近似表現することができ、暗号装置
全体としてはラウンド数を３ｍとして、確率Ｐ＜２-24m
で近似表現できることになる。ここで、例えばｍ＝４
（ラウンド数１２段）とすると、Ｐ＜２-96 となり、差
分解読法および線形解読法に対して十分安全な暗号装置
となる。
例えば、非線形変換手段３４３〜３４６，３４８〜３５
１の各１つづつが差分解読法および線形解読法に対して
確率ｐb ＝２-6で近似表現できるように設計されている
ならば、各ラウンドは非線形変換を必ず２回行うため、
確率ｐ i ＜２-12 で近似表現することができ、暗号装置
全体としてはラウンド数を３ｍとして、確率Ｐ＜２-24m
で近似表現できることになる。ここで、例えばｍ＝４
（ラウンド数１２段）とすると、Ｐ＜２-96 となり、差
分解読法および線形解読法に対して十分安全な暗号装置
となる。
【００２２】また、鍵依存初期線形変換手段３０２、鍵
依存最終線形変換手段３０８、鍵依存線形変換手段３４
７，３５３は鍵に依存する線形変換手段であるため、差
分解読法および線形解読法以外の解読法に対しても十分
な安全性を兼ね備え、もっとも安全性を重視した暗号装
置である。なお、この発明はこの例に特定されるだけで
なく、例えば高速性を望むのであれば、これら鍵依存初
期線形変換手段３０２、鍵依存最終線形変換手段３０
８、鍵依存線形変換手段３５３については、そのいずれ
か、もしくはすべてを削除することが可能である。この
場合、差分解読法および線形解読法に対する安全性は低
下しない一方で、削除した分だけ暗号化処理速度の向上
が望める。ただし他の解読法に対しては弱くなるおそれ
はある。また、鍵依存初期線形変換手段３０２、鍵依存
最終線形変換手段３０８、鍵依存線形変換手段３４７，
３５３のいずれか、もしくはすべてを鍵に依存しない線
形変換手段に変更することも可能である。この場合、差
分解読法および線形解読法以外の解読法に対しても安全
性が低下しない一方で、インプリメントを最適化するこ
とにより、暗号化処理速度の向上が望める。なお、線形
変換手段としては、ビット位置を予め決めた関係で入れ
かえる転置、予め決めたビット数だけ回転シフトするな
どを行う。鍵依存線形変換手段は、鍵データに応じたビ
ット数だけ回転シフトする、あるいは、鍵データとの排
他的論理和演算を行うものなどである。実施例２ 図４は、この発明の他の実施例を示す。
依存最終線形変換手段３０８、鍵依存線形変換手段３４
７，３５３は鍵に依存する線形変換手段であるため、差
分解読法および線形解読法以外の解読法に対しても十分
な安全性を兼ね備え、もっとも安全性を重視した暗号装
置である。なお、この発明はこの例に特定されるだけで
なく、例えば高速性を望むのであれば、これら鍵依存初
期線形変換手段３０２、鍵依存最終線形変換手段３０
８、鍵依存線形変換手段３５３については、そのいずれ
か、もしくはすべてを削除することが可能である。この
場合、差分解読法および線形解読法に対する安全性は低
下しない一方で、削除した分だけ暗号化処理速度の向上
が望める。ただし他の解読法に対しては弱くなるおそれ
はある。また、鍵依存初期線形変換手段３０２、鍵依存
最終線形変換手段３０８、鍵依存線形変換手段３４７，
３５３のいずれか、もしくはすべてを鍵に依存しない線
形変換手段に変更することも可能である。この場合、差
分解読法および線形解読法以外の解読法に対しても安全
性が低下しない一方で、インプリメントを最適化するこ
とにより、暗号化処理速度の向上が望める。なお、線形
変換手段としては、ビット位置を予め決めた関係で入れ
かえる転置、予め決めたビット数だけ回転シフトするな
どを行う。鍵依存線形変換手段は、鍵データに応じたビ
ット数だけ回転シフトする、あるいは、鍵データとの排
他的論理和演算を行うものなどである。実施例２ 図４は、この発明の他の実施例を示す。
【００２３】平文に相当する入力データＰを入力手段３
０１から暗号装置内に入力する。入力データＰは初期分
割手段３０３で二つのデータＬ0 ，Ｒ0 に分割される。
データＲ0 は、鍵記憶手段３２２に蓄積されている鍵デ
ータｋ00，ｋ20とともに非線形関数手段３０４に入力さ
れ、非線形関数手段３０４で変換処理を行われて、デー
タＹ0 に変換される。データＹ0 とデータＬ0 は線形演
算手段３０５で演算され、データＬ0 * に変換される。
データＬ0 * とデータＲ0 は交換手段３０６でデータ位
置の交換が行われ、Ｌ1 ＝Ｒ0 ，Ｒ1 ＝Ｌ0 * のように
交換される。以下、二つのデータＬ1 ，Ｒ1 について上
記と同様の処理を繰り返し行う。すなわち、二つのデー
タＬi ，Ｒi について、データＲi は、鍵記憶手段３２
２に蓄積されている鍵データｋ0i，ｋ2iとともに非線形
関数手段３０４に入力され、非線形関数手段３０４で変
換処理を行われて、データＹi に変換される。データＹ
iとデータＬi は線形演算手段３０５で演算され、デー
タＬi * に変換される。データＬi * とデータＲi は交
換手段３０６でデータ位置の交換が行われ、Ｌi+1＝Ｒ
i ，Ｒi+1 ＝Ｌi * のように変換される。
０１から暗号装置内に入力する。入力データＰは初期分
割手段３０３で二つのデータＬ0 ，Ｒ0 に分割される。
データＲ0 は、鍵記憶手段３２２に蓄積されている鍵デ
ータｋ00，ｋ20とともに非線形関数手段３０４に入力さ
れ、非線形関数手段３０４で変換処理を行われて、デー
タＹ0 に変換される。データＹ0 とデータＬ0 は線形演
算手段３０５で演算され、データＬ0 * に変換される。
データＬ0 * とデータＲ0 は交換手段３０６でデータ位
置の交換が行われ、Ｌ1 ＝Ｒ0 ，Ｒ1 ＝Ｌ0 * のように
交換される。以下、二つのデータＬ1 ，Ｒ1 について上
記と同様の処理を繰り返し行う。すなわち、二つのデー
タＬi ，Ｒi について、データＲi は、鍵記憶手段３２
２に蓄積されている鍵データｋ0i，ｋ2iとともに非線形
関数手段３０４に入力され、非線形関数手段３０４で変
換処理を行われて、データＹi に変換される。データＹ
iとデータＬi は線形演算手段３０５で演算され、デー
タＬi * に変換される。データＬi * とデータＲi は交
換手段３０６でデータ位置の交換が行われ、Ｌi+1＝Ｒ
i ，Ｒi+1 ＝Ｌi * のように変換される。
【００２４】暗号方式としての安全性を確保するための
適切な繰り返し回数をｎとすると、繰り返し処理の結
果、データＬn ，Ｒn が得られる。このデータＬn ，Ｒ
n を最終結合手段３０７で結合した後、出力手段３０９
から暗号文として出力データＣを出力する。復号につい
ては、暗号化処理手順と逆の手順をたどることによっ
て、暗号文Ｃから平文Ｐが得られる。
適切な繰り返し回数をｎとすると、繰り返し処理の結
果、データＬn ，Ｒn が得られる。このデータＬn ，Ｒ
n を最終結合手段３０７で結合した後、出力手段３０９
から暗号文として出力データＣを出力する。復号につい
ては、暗号化処理手順と逆の手順をたどることによっ
て、暗号文Ｃから平文Ｐが得られる。
【００２５】次に、非線形関数手段３０４の内部を詳細
に説明する。図５Ａは、非線形関数手段３０４の内部の
機能構成を抜き出して示したものである。データＲ
i は、鍵記憶手段３２２に蓄積されている鍵データ
ｋ0i，ｋ2iとともに非線形関数手段３０４への入力デー
タとなる。データＲi は、データｋ0iによる鍵依存線形
変換３４１において、データＲi * に線形変換される。
次に、データＲi * は分割手段３４２において４つのデ
ータｉｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ 3 に分割される。４
つのデータｉｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ3 は、それぞ
れ非線形変換手段３４３，３４４，３４５，３４６にお
いて、データｍｉｄ00，ｍｉｄ01，ｍｉｄ02，ｍｉｄ03
に非線形変換された後、線形変換手段３５４に入力され
る。線形変換手段３５４では、例えば図５Ｂに示すよう
に相互に関連づけるように変換される。これは図３中の
鍵データとの論理演算を省略した場合と同一の例であ
り、下記の式で表わせる。
に説明する。図５Ａは、非線形関数手段３０４の内部の
機能構成を抜き出して示したものである。データＲ
i は、鍵記憶手段３２２に蓄積されている鍵データ
ｋ0i，ｋ2iとともに非線形関数手段３０４への入力デー
タとなる。データＲi は、データｋ0iによる鍵依存線形
変換３４１において、データＲi * に線形変換される。
次に、データＲi * は分割手段３４２において４つのデ
ータｉｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ 3 に分割される。４
つのデータｉｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ3 は、それぞ
れ非線形変換手段３４３，３４４，３４５，３４６にお
いて、データｍｉｄ00，ｍｉｄ01，ｍｉｄ02，ｍｉｄ03
に非線形変換された後、線形変換手段３５４に入力され
る。線形変換手段３５４では、例えば図５Ｂに示すよう
に相互に関連づけるように変換される。これは図３中の
鍵データとの論理演算を省略した場合と同一の例であ
り、下記の式で表わせる。
【００２６】mid10＝ mid00(+)mid02(+)mid03,mid11＝m
id02(+)mid03,mid12＝ mid00(+)mid01(+)mid02(+)mi
d03,mid13＝mid00(+)mid01(+)mid02 この線形変換で、データｍｉｄ10，ｍｉｄ11，ｍｉ
ｄ12，ｍｉｄ13が生成され、そのうちのデータｍｉ
ｄ10，ｍｉｄ13は、それぞれ非線形変換手段３４８，３
５１において、データｏｕｔ0 ，ｏｕｔ3 に非線形変換
された後、結合手段３５２において、４つのデータｏｕ
ｔ0 ，ｍｉｄ11，ｍｉｄ12，ｏｕｔ3 を一つのデータＹ
i * に結合される。最後に、データＹi * は、データｋ
2iによる鍵依存線形変換手段３５３において、データＹ
i に線形変換され、非線形関数手段３０４からの出力デ
ータＹi が生成される。
id02(+)mid03,mid12＝ mid00(+)mid01(+)mid02(+)mi
d03,mid13＝mid00(+)mid01(+)mid02 この線形変換で、データｍｉｄ10，ｍｉｄ11，ｍｉ
ｄ12，ｍｉｄ13が生成され、そのうちのデータｍｉ
ｄ10，ｍｉｄ13は、それぞれ非線形変換手段３４８，３
５１において、データｏｕｔ0 ，ｏｕｔ3 に非線形変換
された後、結合手段３５２において、４つのデータｏｕ
ｔ0 ，ｍｉｄ11，ｍｉｄ12，ｏｕｔ3 を一つのデータＹ
i * に結合される。最後に、データＹi * は、データｋ
2iによる鍵依存線形変換手段３５３において、データＹ
i に線形変換され、非線形関数手段３０４からの出力デ
ータＹi が生成される。
【００２７】ここで、非線形変換手段３４３〜３４６は
４つ並列に配置されており、その変換処理は相互に関連
していないため、これらは並列実行が可能である。ま
た、非線形変換手段３４８，３５１についても同様のこ
とがいえる。なお、鍵データｋi は、鍵入力手段３２０
から暗号装置内に入力された鍵情報Ｋｅｙから鍵データ
生成手段３２１によって変換され、鍵記憶手段３２２に
蓄積されたデータである。
４つ並列に配置されており、その変換処理は相互に関連
していないため、これらは並列実行が可能である。ま
た、非線形変換手段３４８，３５１についても同様のこ
とがいえる。なお、鍵データｋi は、鍵入力手段３２０
から暗号装置内に入力された鍵情報Ｋｅｙから鍵データ
生成手段３２１によって変換され、鍵記憶手段３２２に
蓄積されたデータである。
【００２８】上記のように構成された暗号装置の場合、
例えば、非線形変換手段３４３〜３４６，３４８，３５
１が差分解読法および線形解読法に対して確率ｐb ＝２
-6で近似表現できるように設計されているならば、実施
例１と同様に各ラウンドは確率ｐ i ＜２-12 で近似表現
することができ、暗号装置全体としてはラウンド数を３
ｍとして、確率ｐ＜２-24mで近似表現できることにな
る。ここで、例えばｍ＝４（ラウンド数１２段）とする
と、Ｐ＜２-96 となり、差分解読法および線形解読法に
対して十分安全な暗号装置となる。
例えば、非線形変換手段３４３〜３４６，３４８，３５
１が差分解読法および線形解読法に対して確率ｐb ＝２
-6で近似表現できるように設計されているならば、実施
例１と同様に各ラウンドは確率ｐ i ＜２-12 で近似表現
することができ、暗号装置全体としてはラウンド数を３
ｍとして、確率ｐ＜２-24mで近似表現できることにな
る。ここで、例えばｍ＝４（ラウンド数１２段）とする
と、Ｐ＜２-96 となり、差分解読法および線形解読法に
対して十分安全な暗号装置となる。
【００２９】また、鍵依存線形変換手段３５３があるた
め、差分解読法と線形解読法以外の解読法に対しても安
全性にマージンがある構造であり、かつ実施例１よりも
構造が簡素化されているため、高速である。つまり、安
全性と高速性のバランスを重視した暗号装置である。実施例３ 図６は、この発明の更に他の実施例を示す。
め、差分解読法と線形解読法以外の解読法に対しても安
全性にマージンがある構造であり、かつ実施例１よりも
構造が簡素化されているため、高速である。つまり、安
全性と高速性のバランスを重視した暗号装置である。実施例３ 図６は、この発明の更に他の実施例を示す。
【００３０】平文に相当する入力データＰを入力手段３
０１から暗号装置内に入力する。入力データＰは初期分
割手段３０３で二つのデータＬ0 ，Ｒ0 に分割される。
データＲ0 は、鍵記憶手段３２２に蓄積されている鍵デ
ータｋ0 とともに非線形関数手段３０４に入力され、非
線形関数手段３０４で変換処理を行われて、データＹ 0
に変換される。データＹ0 とデータＬ0 は線形演算手段
３０５で演算され、データＬ0 * に変換される。データ
Ｌ0 * とデータＲ0 は交換手段３０６でデータ位置の交
換が行われ、Ｌ1 ＝Ｒ0 ，Ｒ1 ＝Ｌ0 * のように変換さ
れる。以下、二つのデータＬ1 ，Ｒ1 について上記と同
様の処理を繰り返し行う。すなわち、二つのデータ
Ｌi ，Ｒi について、データＲi は、鍵記憶手段３２２
に蓄積されている鍵データｋi とともに非線形関数手段
３０４に入力され、非線形関数手段３０４で変換処理を
行われて、データＹi に変換される。データＹi とデー
タＬiは線形演算手段３０５で演算され、データＬi *
に変換される。データＬi * とデータＲi は交換手段３
０６でデータ位置の交換が行われ、Ｌi+1 ＝Ｒi ，Ｒi+
1 ＝Ｌi * のように変換される。
０１から暗号装置内に入力する。入力データＰは初期分
割手段３０３で二つのデータＬ0 ，Ｒ0 に分割される。
データＲ0 は、鍵記憶手段３２２に蓄積されている鍵デ
ータｋ0 とともに非線形関数手段３０４に入力され、非
線形関数手段３０４で変換処理を行われて、データＹ 0
に変換される。データＹ0 とデータＬ0 は線形演算手段
３０５で演算され、データＬ0 * に変換される。データ
Ｌ0 * とデータＲ0 は交換手段３０６でデータ位置の交
換が行われ、Ｌ1 ＝Ｒ0 ，Ｒ1 ＝Ｌ0 * のように変換さ
れる。以下、二つのデータＬ1 ，Ｒ1 について上記と同
様の処理を繰り返し行う。すなわち、二つのデータ
Ｌi ，Ｒi について、データＲi は、鍵記憶手段３２２
に蓄積されている鍵データｋi とともに非線形関数手段
３０４に入力され、非線形関数手段３０４で変換処理を
行われて、データＹi に変換される。データＹi とデー
タＬiは線形演算手段３０５で演算され、データＬi *
に変換される。データＬi * とデータＲi は交換手段３
０６でデータ位置の交換が行われ、Ｌi+1 ＝Ｒi ，Ｒi+
1 ＝Ｌi * のように変換される。
【００３１】暗号方式としての安全性を確保するための
適切な繰り返し回数をｎとすると、繰り返し処理の結
果、データＬn ，Ｒn が得られる。このデータＬn ，Ｒ
n を最終結合手段３０７で結合した後、出力手段３０９
から暗号文として出力データＣを出力する。復号につい
ては、暗号化処理手順と逆の手順をたどることによっ
て、暗号文Ｃから平文Ｐが得られる。
適切な繰り返し回数をｎとすると、繰り返し処理の結
果、データＬn ，Ｒn が得られる。このデータＬn ，Ｒ
n を最終結合手段３０７で結合した後、出力手段３０９
から暗号文として出力データＣを出力する。復号につい
ては、暗号化処理手順と逆の手順をたどることによっ
て、暗号文Ｃから平文Ｐが得られる。
【００３２】次に、非線形関数手段３０４の内部を詳細
に説明する。図７は、非線形関数手段３０４の機能構成
を抜き出して示したものである。非線形関数手段３０４
への入力データＲi は、鍵記憶手段３２２に蓄積されて
いる鍵データｋi とともに鍵依存線形変換３４１への入
力となる。データＲi は、データｋi による鍵依存線形
変換３４１において、データＲi * に線形変換される。
次に、データＲi * は分割手段３４２において４つのデ
ータｉｎ0 ，ｉｎ 1 ，ｉｎ2 ，ｉｎ3 に分割される。４
つのデータｉｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ 3 は、それぞ
れ非線形変換手段３４３，３４４，３４５，３４６にお
いて、データｍｉｄ00，ｍｉｄ01，ｍｉｄ02，ｍｉｄ03
に非線形変換された後、線形変換手段３５４に入力され
る。線形変換手段３５４では、例えば実施例２の図５Ｂ
と同じように、 mid10＝ mid00(+)mid02(+)mid03,mid11＝mid02(+)mi
d03,mid12＝ mid00(+)mid01(+)mid02(+)mid03,mid13＝m
id00(+)mid01(+)mid02 に線形変換し、データｍｉｄ10，ｍｉｄ11，ｍｉｄ12，
ｍｉｄ13を生成する。ついで、データｍｉｄ10，ｍｉｄ
13は、それぞれ非線形変換手段３４８，３５１におい
て、データｏｕｔ0 ，ｏｕｔ3 に非線形変換された後、
結合手段３５２において、４つのデータｏｕｔ0 ，ｍｉ
ｄ11，ｍｉｄ12，ｏｕｔ3 を一つのデータに結合され、
非線形関数手段３０４からの出力データＹi が生成され
る。
に説明する。図７は、非線形関数手段３０４の機能構成
を抜き出して示したものである。非線形関数手段３０４
への入力データＲi は、鍵記憶手段３２２に蓄積されて
いる鍵データｋi とともに鍵依存線形変換３４１への入
力となる。データＲi は、データｋi による鍵依存線形
変換３４１において、データＲi * に線形変換される。
次に、データＲi * は分割手段３４２において４つのデ
ータｉｎ0 ，ｉｎ 1 ，ｉｎ2 ，ｉｎ3 に分割される。４
つのデータｉｎ0 ，ｉｎ1 ，ｉｎ2 ，ｉｎ 3 は、それぞ
れ非線形変換手段３４３，３４４，３４５，３４６にお
いて、データｍｉｄ00，ｍｉｄ01，ｍｉｄ02，ｍｉｄ03
に非線形変換された後、線形変換手段３５４に入力され
る。線形変換手段３５４では、例えば実施例２の図５Ｂ
と同じように、 mid10＝ mid00(+)mid02(+)mid03,mid11＝mid02(+)mi
d03,mid12＝ mid00(+)mid01(+)mid02(+)mid03,mid13＝m
id00(+)mid01(+)mid02 に線形変換し、データｍｉｄ10，ｍｉｄ11，ｍｉｄ12，
ｍｉｄ13を生成する。ついで、データｍｉｄ10，ｍｉｄ
13は、それぞれ非線形変換手段３４８，３５１におい
て、データｏｕｔ0 ，ｏｕｔ3 に非線形変換された後、
結合手段３５２において、４つのデータｏｕｔ0 ，ｍｉ
ｄ11，ｍｉｄ12，ｏｕｔ3 を一つのデータに結合され、
非線形関数手段３０４からの出力データＹi が生成され
る。
【００３３】ここで、非線形変換手段３４３〜３４６は
４つ並列に配置されており、その変換処理は相互に関連
していないため、これらは並列実行が可能である。ま
た、非線形変換手段３４８，３５１についても同様のこ
とがいえる。なお、鍵データｋi は、鍵入力手段３２０
から暗号装置内に入力された鍵情報Ｋｅｙから鍵データ
生成手段３２１によって変換され、鍵記憶手段３２２に
蓄積されたデータである。
４つ並列に配置されており、その変換処理は相互に関連
していないため、これらは並列実行が可能である。ま
た、非線形変換手段３４８，３５１についても同様のこ
とがいえる。なお、鍵データｋi は、鍵入力手段３２０
から暗号装置内に入力された鍵情報Ｋｅｙから鍵データ
生成手段３２１によって変換され、鍵記憶手段３２２に
蓄積されたデータである。
【００３４】上記のように構成された暗号装置の場合、
例えば、非線形変換手段３４３〜３４６，３４８，３５
１が差分解読法および線形解読法に対して確率ｐb ＝２
-6で近似表現できるように設計されているならば、各ラ
ウンドは確率ｐ i ＜２-12 で近似表現することができ、
暗号装置全体としてはラウンド数を３ｍとして、確率Ｐ
＜２-24mで近似表現できることになる。ここで、例えば
ｍ＝４（ラウンド数１２段）とすると、Ｐ＜２-96 とな
り、差分解読法および線形解読法に対して十分安全な暗
号装置となる。
例えば、非線形変換手段３４３〜３４６，３４８，３５
１が差分解読法および線形解読法に対して確率ｐb ＝２
-6で近似表現できるように設計されているならば、各ラ
ウンドは確率ｐ i ＜２-12 で近似表現することができ、
暗号装置全体としてはラウンド数を３ｍとして、確率Ｐ
＜２-24mで近似表現できることになる。ここで、例えば
ｍ＝４（ラウンド数１２段）とすると、Ｐ＜２-96 とな
り、差分解読法および線形解読法に対して十分安全な暗
号装置となる。
【００３５】また、差分解読法および線形解読法に対し
て十分な安全性を確保するために最低限必要な手段しか
実行しない構造であるため、もっとも高速性を重視した
暗号装置である。上述において、非線形関数手段３０４
中の各分割手段３４２は４分割に限らず、複数に分割す
ればよい。なお、４分割の場合においては、第二の非線
形変換手段は図５Ａ、図７に示したように二つのみとす
ることができる。
て十分な安全性を確保するために最低限必要な手段しか
実行しない構造であるため、もっとも高速性を重視した
暗号装置である。上述において、非線形関数手段３０４
中の各分割手段３４２は４分割に限らず、複数に分割す
ればよい。なお、４分割の場合においては、第二の非線
形変換手段は図５Ａ、図７に示したように二つのみとす
ることができる。
【００３６】
【発明の効果】以上、詳細に説明したように、この発明
によれば、非線形関数手段で入力データを複数に分割
し、かつそれぞれ非線形変換を行い、その後、相互に線
形交換を行い、更に少くとも一部を非線形交換すること
によりデータの通信または蓄積においてデータを秘匿す
るための暗号装置について、安全性が高く、かつ高速性
を兼ね備えた暗号装置を提供することができる。
によれば、非線形関数手段で入力データを複数に分割
し、かつそれぞれ非線形変換を行い、その後、相互に線
形交換を行い、更に少くとも一部を非線形交換すること
によりデータの通信または蓄積においてデータを秘匿す
るための暗号装置について、安全性が高く、かつ高速性
を兼ね備えた暗号装置を提供することができる。
【図１】この発明の実施例１の機能構成を示す図。
【図２】実施例１における非線形関数手段３０４の詳細
な機能構成例を示す図。
な機能構成例を示す図。
【図３】図２中の鍵依存線形変換手段３４７の具体例を
示す図。
示す図。
【図４】この発明の実施例２の機能構成を示す図。
【図５】Ａは実施例２における非線形関数手段３０４の
詳細な機能構成を示す図、Ｂはこの手段３０４中の具体
例を示す図である。
詳細な機能構成を示す図、Ｂはこの手段３０４中の具体
例を示す図である。
【図６】この発明の実施例３の機能構成を示す図。
【図７】実施例３における非線形関数手段３０４の詳細
な機能構成を示す図。
な機能構成を示す図。
【図８】従来のＤＥＳ暗号装置の機能構成を示す図。
【図９】図８中のｆ関数演算部１２の具体的機能構成を
示す図。
示す図。
───────────────────────────────────────────────────── フロントページの続き (72)発明者 青木 克彦 東京都武蔵野市吉祥寺本町一丁目14番５号 エヌ・ティ・ティ・エレクトロニクステ クノロジー株式会社内 (72)発明者 松本 勉 神奈川県相模原市上鶴間2603−１−210
Claims (8)
- 【請求項１】 入力データを初期分割手段で二つの部分
データに分割し、これら部分データの一つに対し、非線
形関数手段で鍵記憶手段に蓄積された鍵データに依存し
たデータ変換処理を行い、その非線形関数手段の出力デ
ータを前記部分データの他方の一つに線形演算手段で作
用させ、その線形演算手段の出力データと前記非線形関
数手段の入力部分データとの配列順番を交換手段で交換
し、前記交換手段よりこの交換されたデータを二つの部
分データとして前記非線形関数手段と、前記線形演算手
段と前記交換手段とを繰返し手段で複数回繰返し、前記
繰返し手段の最終回の繰返しにおける前記交換手段より
の二つのデータを一つの出力データに最終結合手段で結
合して、その出力データを出力する暗号装置において、 前記非線形関数手段は、入力されたデータに前記鍵記憶
手段に蓄積された鍵データに基づいて線形変換を行う鍵
依存線形変換手段と、 その鍵依存線形手段の出力データを複数個のビット列に
分割する分割手段と、 これらビット列にそれぞれ非線形変換を行う第一の非線
形変換手段と、 前記第一の非線形変換手段のそれぞれの出力ビット列間
で線形変換を行う第一の線形変換手段と、 その第一の線形変換手段の出力ビット列の少くとも一部
に非線形変換を行う第二の非線形変換手段と、 その第二の非線形変換手段の出力ビット列を結合して前
記非線形関数手段の出力データとする結合手段とを備え
ることを特徴とする暗号装置。 - 【請求項２】 請求項１に記載の暗号装置において、 前記結合手段の出力データを線形変換して前記非線形関
数手段の出力データとする第二の線形変換手段を備える
ことを特徴とする暗号装置。 - 【請求項３】 請求項１または請求項２に記載の暗号装
置において、 前記第一の線形変換手段は、前記鍵記憶手段に蓄積され
た鍵データに基づいて線形変換を行う手段であることを
特徴とする暗号装置。 - 【請求項４】 請求項２に記載の暗号装置において、 前記第二の線形変換手段は、前記鍵記憶手段に蓄積され
た鍵データに基づいて線形変換を行う手段であることを
特徴とする暗号装置。 - 【請求項５】 請求項１から請求項４までのいずれかに
記載の暗号装置において、 前記入力データに線形変換を行って前記初期分割手段へ
供給する初期線形変換手段を備えることを特徴とする暗
号装置。 - 【請求項６】 請求項１から請求項５までのいずれかに
記載の暗号装置において、 前記最終結合手段の出力データに線形変換を行って暗号
装置の出力とする最終線形変換手段を備えることを特徴
とする暗号装置。 - 【請求項７】 請求項５または請求項６に記載の暗号装
置において、 前記初期線形変換手段は前記鍵記憶手段に蓄積された鍵
データに基づいて線形変換を行う手段であることを特徴
とする暗号装置。 - 【請求項８】 請求項６に記載の暗号装置において、 前記最終線形変換手段は前記鍵記憶手段に蓄積された鍵
データに基づいて線形変換を行う手段であることを特徴
とする暗号装置。
Priority Applications (5)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP17367297A JP3782210B2 (ja) | 1997-06-30 | 1997-06-30 | 暗号装置 |
| PCT/JP1998/002915 WO1999000783A1 (fr) | 1997-06-30 | 1998-06-30 | Dispositif de chiffrement |
| EP98929747A EP1001398B1 (en) | 1997-06-30 | 1998-06-30 | Ciphering apparatus |
| DE69829566T DE69829566T2 (de) | 1997-06-30 | 1998-06-30 | Verschlüsselungsgerät |
| CA002295167A CA2295167C (en) | 1997-06-30 | 1998-06-30 | Cryptographic device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP17367297A JP3782210B2 (ja) | 1997-06-30 | 1997-06-30 | 暗号装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH1124559A true JPH1124559A (ja) | 1999-01-29 |
| JP3782210B2 JP3782210B2 (ja) | 2006-06-07 |
Family
ID=15964969
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP17367297A Expired - Lifetime JP3782210B2 (ja) | 1997-06-30 | 1997-06-30 | 暗号装置 |
Country Status (5)
| Country | Link |
|---|---|
| EP (1) | EP1001398B1 (ja) |
| JP (1) | JP3782210B2 (ja) |
| CA (1) | CA2295167C (ja) |
| DE (1) | DE69829566T2 (ja) |
| WO (1) | WO1999000783A1 (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100365308B1 (ko) * | 1999-12-10 | 2002-12-26 | 강소대 | 마그네틱 페이퍼 제작방법 |
| JP2004004603A (ja) * | 2002-04-03 | 2004-01-08 | Matsushita Electric Ind Co Ltd | 拡大鍵生成装置、暗号化装置および暗号化システム |
| JP2010072664A (ja) * | 1999-02-04 | 2010-04-02 | Cp8 Technologies | 物理的解析によってコンピュータシステムを攻撃から保護する秘密鍵暗号化方法 |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3505482B2 (ja) * | 2000-07-12 | 2004-03-08 | 株式会社東芝 | 暗号化装置、復号装置及び拡大鍵生成装置、拡大鍵生成方法並びに記録媒体 |
| US6956951B2 (en) * | 2000-07-13 | 2005-10-18 | Fujitsu Limited | Extended key preparing apparatus, extended key preparing method, recording medium and computer program |
| JP2008058830A (ja) * | 2006-09-01 | 2008-03-13 | Sony Corp | データ変換装置、およびデータ変換方法、並びにコンピュータ・プログラム |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3039334B2 (ja) * | 1995-08-14 | 2000-05-08 | 日本電気株式会社 | 暗号装置 |
| CA2203380C (en) * | 1995-09-05 | 2000-05-30 | Mitsuru Matsui | Data transformation apparatus and data transformation method |
| IL119182A (en) * | 1996-09-02 | 2000-06-29 | Goodman Geoffrey | Filter |
-
1997
- 1997-06-30 JP JP17367297A patent/JP3782210B2/ja not_active Expired - Lifetime
-
1998
- 1998-06-30 WO PCT/JP1998/002915 patent/WO1999000783A1/ja active IP Right Grant
- 1998-06-30 EP EP98929747A patent/EP1001398B1/en not_active Expired - Lifetime
- 1998-06-30 DE DE69829566T patent/DE69829566T2/de not_active Expired - Fee Related
- 1998-06-30 CA CA002295167A patent/CA2295167C/en not_active Expired - Fee Related
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2010072664A (ja) * | 1999-02-04 | 2010-04-02 | Cp8 Technologies | 物理的解析によってコンピュータシステムを攻撃から保護する秘密鍵暗号化方法 |
| KR100365308B1 (ko) * | 1999-12-10 | 2002-12-26 | 강소대 | 마그네틱 페이퍼 제작방법 |
| JP2004004603A (ja) * | 2002-04-03 | 2004-01-08 | Matsushita Electric Ind Co Ltd | 拡大鍵生成装置、暗号化装置および暗号化システム |
Also Published As
| Publication number | Publication date |
|---|---|
| CA2295167A1 (en) | 1999-01-07 |
| JP3782210B2 (ja) | 2006-06-07 |
| EP1001398A4 (en) | 2002-01-30 |
| EP1001398B1 (en) | 2005-03-30 |
| DE69829566D1 (de) | 2005-05-04 |
| WO1999000783A1 (fr) | 1999-01-07 |
| CA2295167C (en) | 2003-02-04 |
| DE69829566T2 (de) | 2006-02-16 |
| EP1001398A1 (en) | 2000-05-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP1052611B9 (en) | Data converter and recording medium on which program for executing data conversion is recorded | |
| Rijmen et al. | The cipher SHARK | |
| JP4828082B2 (ja) | 対称キー暗号用の置換ボックス | |
| Isobe | A single-key attack on the full GOST block cipher | |
| US5745577A (en) | Symmetric cryptographic system for data encryption | |
| Özen et al. | Lightweight block ciphers revisited: Cryptanalysis of reduced round PRESENT and HIGHT | |
| JP3679936B2 (ja) | 暗復号装置及び記憶媒体 | |
| Bouillaguet et al. | Low-data complexity attacks on AES | |
| JP2002366029A (ja) | Ｄｐａに対して安全な暗号化 | |
| JPH11509940A (ja) | データブロックおよび鍵を非線形的に結合する暗号方法および装置 | |
| US20030190041A1 (en) | Expansion key generating device, encryption device and encryption system | |
| Shorin et al. | Linear and differential cryptanalysis of Russian GOST | |
| Liu et al. | Improved results on impossible differential cryptanalysis of reduced-round Camellia-192/256 | |
| JP3782210B2 (ja) | 暗号装置 | |
| EP1087425B1 (en) | Method for the cryptographic conversion of binary data blocks | |
| KR100456599B1 (ko) | 병렬 디이에스 구조를 갖는 암호 장치 | |
| Khurana et al. | Variants of Differential and Linear Cryptanalysis | |
| JPH1124558A (ja) | 暗号装置 | |
| JP4515716B2 (ja) | 拡大鍵生成装置、暗号化装置および暗号化システム | |
| CN114826558A (zh) | 一种海量数据快速加密方法及系统 | |
| Al-Sabaawi | Cryptanalysis of Block Cipher: Method Implementation | |
| Kwan et al. | A general purpose technique for locating key scheduling weaknesses in DES-like cryptosystems | |
| JP3017726B2 (ja) | データ変換装置 | |
| JP3017725B2 (ja) | データ変換装置 | |
| JPH09269727A (ja) | 暗号化方法および暗号化装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20060221 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20060309 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| R360 | Written notification for declining of transfer of rights |
Free format text: JAPANESE INTERMEDIATE CODE: R360 |
|
| R370 | Written measure of declining of transfer procedure |
Free format text: JAPANESE INTERMEDIATE CODE: R370 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090317 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100317 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100317 Year of fee payment: 4 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100317 Year of fee payment: 4 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110317 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110317 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120317 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130317 Year of fee payment: 7 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |