JPWO2006118086A1 - プログラム変換装置、暗号処理装置、暗号処理方法 - Google Patents

プログラム変換装置、暗号処理装置、暗号処理方法 Download PDF

Info

Publication number
JPWO2006118086A1
JPWO2006118086A1 JP2006523469A JP2006523469A JPWO2006118086A1 JP WO2006118086 A1 JPWO2006118086 A1 JP WO2006118086A1 JP 2006523469 A JP2006523469 A JP 2006523469A JP 2006523469 A JP2006523469 A JP 2006523469A JP WO2006118086 A1 JPWO2006118086 A1 JP WO2006118086A1
Authority
JP
Japan
Prior art keywords
data
addition
partial
bits
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2006523469A
Other languages
English (en)
Other versions
JP4180094B2 (ja
Inventor
横田　薫
薫 横田
大森　基司
基司 大森
布田　裕一
裕一 布田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Corp
Panasonic Holdings Corp
Original Assignee
Panasonic Corp
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Corp, Matsushita Electric Industrial Co Ltd filed Critical Panasonic Corp
Application granted granted Critical
Publication of JP4180094B2 publication Critical patent/JP4180094B2/ja
Publication of JPWO2006118086A1 publication Critical patent/JPWO2006118086A1/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/065—Encryption by serially and continuously modifying data stream elements, e.g. stream cipher systems, RC4, SEAL or A5/3
    • H04L9/0656—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher
    • H04L9/0662—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher with particular pseudorandom sequence generator
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

算術加算処理を実行して暗号処理を行うプログラム（Ｐ）を変換して、プログラム（Ｐ）と等価な処理を行う変換プログラム（ｔＰ）を生成するプログラム変換装置（１）であって、プログラム（Ｐ）から鍵データを抽出する鍵データ抽出部（１０）と、抽出された鍵データから加算テーブルを生成する加算テーブル生成部（１１）と、プログラム（Ｐ）から変換テーブルを抽出する変換テーブルデータ抽出部（１２）と、生成された加算テーブルと抽出された変換テーブルとを融合して融合テーブルを生成するテーブル融合部（１３）と、乱数を生成する乱数生成部（１４）と、生成された乱数を元に、融合テーブルをランダム化することにより、ランダム化融合テーブルを作成するテーブルランダム化部（１５）と、作成されたランダム化融合テーブルを元に、変換プログラム（ｔＰ）を生成する変換プログラム生成部（１６）とを備える。

Description

本発明は、プログラム変換装置に関し、特に、暗号処理を行うプログラムを変換するプログラム変換装置に関する。
近年、ソフトウェアまたはハードウェアで実装された暗号モジュールに対して、暗号処理を行う際の中間データを何らかの手法を用いて解析し、その中間データをもとにして、暗号鍵データを解読する解読法が各種考案されている。例えば、ソフトウェアで実装された暗号モジュールの場合には、デバッガなどの開発用ツールを使用することにより、レジスタに一時記憶される暗号処理の中間データを直接入手することが可能となる。このため、この中間データをもとにした暗号鍵データの解析が可能である。また、暗号処理中に消費される電力量を測定することによって、暗号処理の中間データを推定して、暗号鍵データの解析を行うＳｉｍｐｌｅ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ、やＤｉｆｆｅｒｅｎｔｉａｌ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓといった解読法が提案されている。この解読法は、ソフトウェアおよびハードウェアの両方の暗号モジュールに対して適用可能である。
上記のような解読法に対して安全な暗号実装技術として、非特許文献１にＷｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術が開示されている。図１は、Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術の一例を示す図である。本技術では、最初に、鍵データを固定としたときの暗号処理をテーブル化する。「処理のテーブル化」というのは、暗号処理時の各変換処理の入力および出力の対応関係を変換テーブルの形式で表すことである。すなわち、入力をインデックスとし、出力を要素とする変換テーブルを作成する。以下、本明細書中では、テーブルを作成する際には、入力をインデックスとし、出力を要素とする。例えば、８ビットの入力データＸに対して、８ビットの鍵データＫとの排他的論理和演算を行い、８ビットの演算結果を出力データＹとするような暗号処理の場合（Ｓ２）、鍵データが固定値であれば、８ビット入力８ビット出力の固定的な変換と見ることができる。このようにして、暗号処理の各変換処理を全てテーブル化する（Ｓ４）。次に、得られた変換テーブルをそれぞれランダムに発生させた乱数によってランダム化する。具体的には、例えば、Ｙ＝Ｔａｂ［Ｘ］で表されるテーブル変換（Ｘは入力、Ｙは出力、Ｔａｂ［ ］は変換テーブルの配列）に対しては、乱数ｒ１、ｒ２を用いて、ｒＹ＝Ｔａｂ［Ｘ（＋）ｒ１］（＋）ｒ２として与えられる変換にランダム化する（ここで（＋）は、ビット毎の排他的論理和演算を表す）（Ｓ６）。こうして得られた、ランダム化変換を改めてテーブル化して、ランダム化テーブルｒＴａｂ［ ］を得る（Ｓ８）。このランダム化処理を全てのテーブル変換に対して行い、得られるランダム化テーブルによるテーブル変換処理からなるランダム化暗号処理を、暗号モジュールとして実装する。
上記のように、乱数によって、各テーブル変換の入出力データは、ランダム化されて実際の暗号処理の中間値とは異なる値となる。これにより、暗号処理実行途中のレジスタの値を観測しても、上記ランダム化された中間値しか得ることができず、解読者は、暗号鍵データの解析が困難になる。非特許文献１では、米国次世代標準暗号ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）に対して、上記Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術を適用した場合の具体的な方法について詳細に開示されている。Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術では、暗号処理の各処理をいかにテーブル化するかが、重要なポイントである。特に、いかに容量の小さな変換テーブルにするかが重要である。
Ｓｔａｎｌｅｙ Ｃｈｏｗ，Ｐｈｉｌｉｐ Ｅｉｓｅｎ，Ｈａｒｏｌｄ Ｊｏｈｎｓｏｎ，Ｐａｕｌ Ｃ．Ｖａｎ Ｏｏｒｓｃｈｏｔ「Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ ａｎ ＡＥＳ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ」、Ｓｅｌｅｃｔｅｄ Ａｒｅａｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ（ＬＮＣＳ２５９５）所収、２００３年 Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ刊
しかしながら、上記従来技術は、算術加算のような容量の小さな変換テーブルにテーブル化することが難しい演算を使用している暗号処理には適用が困難であるという課題がある。例えば、３２ビットの鍵データＫと３２ビットの入力データＸとの算術加算演算を行ってその結果Ｙを出力とするような処理Ｙ＝Ｘ＋Ｋを、テーブル化する場合、上位桁への繰り上がりが存在するために、単純には、３２ビット入出力のテーブル変換Ｙ＝Ｔａｂ［Ｘ］とするしかない。このとき、変換テーブルＴａｂ［ ］の容量は、３２ビット×２＾（３２）＝１６ギガバイトにもなり、現実的に実装可能なテーブル容量とならない（ここでα＾βは、αのβ乗を表す）。
一方、上記の算術加算の代わりに排他的論理和演算Ｙ＝Ｘ（＋）Ｋを使用している場合のテーブル化について説明する。図２は、排他的論理和演算のテーブル化について説明するための図である。
排他的論理和演算Ｙ＝Ｘ（＋）Ｋは（Ｓ１２）、各々３２ビットの入力データＸおよび鍵データＫを、４つの８ビットのデータｘ０、ｘ１、ｘ２、ｘ３およびｋ０、ｋ１、ｋ２、ｋ３に分割することにより、
ｙ０＝ｘ０（＋）ｋ０、
ｙ１＝ｘ１（＋）ｋ１、
ｙ２＝ｘ２（＋）ｋ２、
ｙ３＝ｘ３（＋）ｋ３
という４つの排他的論理和演算に分割することができる（Ｓ１４）。各排他的論理和演算をテーブル化することにより、４つの排他的論理和演算は、変換テーブルＴａｂ０［ ］、Ｔａｂ１［ ］、Ｔａｂ２［ ］、Ｔａｂ３［ ］を用いて、以下のように表すことができる（Ｓ１６）。
ｙ０＝Ｔａｂ０［ｘ０］
ｙ１＝Ｔａｂ１［ｘ１］
ｙ２＝Ｔａｂ２［ｘ２］
ｙ３＝Ｔａｂ３［ｘ３］
ｙ０、ｙ１、ｙ２、ｙ３を結合することにより出力データＹが得られる（Ｓ１８）。このように、上記４つの排他的論理和演算をそれぞれテーブル化して変換テーブルＴａｂ０［ ］〜Ｔａｂ３［ ］を作成することにより、１つの変換テーブルのみで算術加算または排他的論理和演算を表す場合に比べ、小さなテーブル容量（８ビット×２＾８×４＝１キロバイト）の変換テーブルで排他的論理和演算を表すことができる。
上記ＡＥＳ暗号や、ＤＥＳ（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）暗号の場合には、鍵データとの排他的論理和演算が暗号処理に使用されているため、上記のようにして小さな容量の変換テーブルによるテーブル化が可能である。しかし、算術加算演算を用いた暗号については、上述のように、演算時に上位桁への繰り上がりが存在するため、現実的に実装可能な容量の変換テーブルでのテーブル化が困難であるという問題がある。
本発明は、上述の課題を解決するためのものであり、算術加算演算を用いた暗号処理に対しても、暗号処理の中間値を解析することによって暗号鍵データを特定するような解読方法に対して安全に暗号化を行なうことができ、かつ、現実的なコストでの実装が可能なプログラム変換装置および暗号処理装置を提供することを目的とする。
上記目的を達成するために、本発明のある局面に係るプログラム変換装置は、暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成するプログラム変換装置であって、前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割する鍵データ分割手段と、前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成する算術加算テーブル作成手段と、ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成するランダム化変換テーブル生成手段とを備える。
この構成によると、下位桁からの上位桁への繰り上がりを考慮して、Ｎビットのデータ同士の算術加算演算をｎ個の算術加算テーブルで表現した変換暗号処理プログラムを生成している。このため、１つの算術加算テーブルで算術加算演算を実装する場合に比べ、算術加算テーブルの容量を小さくすることができる。このため、算術加算演算を含む変換暗号処理プログラムを現実的なコストで実装することができる。しかも、算術加算テーブルをランダム化することにより、ランダム化変換テーブルを生成している。このため、各種の解読方法により暗号化処理を行う際の中間値を取得することができたとしても、当該中間値から鍵データＫを解読することが困難となり、安全に暗号化処理を行うことができる変換暗号処理プログラムを提供することができる。
好ましくは、前記暗号処理プログラムは、さらに、前記鍵加算データＥを、最上位ビットよりＮｉビットごとにｎ個に分割した部分鍵加算データＺｉに対して所定の変換処理Ｓｉを施す加算データ変換処理を含み（ｉ＝０〜ｎ−１）、前記ランダム化変換テーブル作成手段は、ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄｉと前記所定の変換処理Ｓｉとを融合して、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする融合テーブルＵｉを作成する融合テーブル作成手段と、ｉ＝０〜ｎ−１の各々について、前記融合テーブル作成手段で作成された融合テーブルＵｉを前記乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成する生成手段とを有する。
算術加算テーブルと所定の変換処理とを融合して、融合テーブルを作成している。このため、テーブルの容量を小さくすることができ、現実的なコストで実装することができる変換暗号処理プログラムを生成することができる。
本発明の他の局面に係る暗号処理装置は、平文を暗号化し、暗号文を生成する暗号処理装置であって、暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成するプログラム変換手段と、前記プログラム変換手段で生成された前記変換暗号処理プログラムに従って、平文を暗号化し、暗号文を生成する暗号文生成手段とを備え、前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、前記プログラム変換手段は、前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割する鍵データ分割手段と、前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成する算術加算テーブル作成手段と、ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成するランダム化変換テーブル生成手段とを備える。
この構成によると、暗号処理を行うたびに、上述したランダム化変換テーブルを作成することができる。このため、平文を暗号化するごとにランダム化変換テーブルが異なることになる。よって、中間値から鍵データを解読することがより困難となり、安全に暗号化処理を行うことができる。
本発明のさらに他の局面に係る暗号処理装置は、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を実行する暗号処理装置であって、前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、ｉ＝０〜ｎ−１の各々について、前記部分被加算データｘｉに乱数ｒａｉを作用させることにより得られるランダム化部分被加算データｒｘｉを少なくともインデックスの一部としたときの、ランダム化変換テーブルＲＴａｂｉの要素であるランダム化鍵加算データｒｅｉを取得するランダム化鍵加算データ取得手段とを備え、前記ランダム化変換テーブルＲＴａｂｉは、前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割し、ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成し、ｉ＝０〜ｎ−１の各々について、前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化することにより得られるテーブルである。
この構成によると、下位桁からの上位桁への繰り上がりを考慮して、Ｎビットのデータ同士の算術加算演算をｎ個のランダム化変換テーブルで表現している。このため、算術加算演算を含む暗号処理装置を現実的なコストで実装できる。しかも、ランダム化変換テーブルを用いているため、各種の解読方法により暗号化処理を行う際の中間値を取得することができたとしても、当該中間値から鍵データＫを解読することが困難となり、安全に暗号化処理を行うことができる。
なお、本発明は、このような特徴的な手段を備えるプログラム変換装置や暗号処理装置として実現することができるだけでなく、プログラム変換装置や暗号処理装置に含まれる特徴的な手段をステップとするプログラム変換方法や暗号処理方法として実現したり、プログラム変換方法や暗号処理方法に含まれる特徴的なステップをコンピュータに実行させるためのプログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ−Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体やインターネット等の通信ネットワークを介して流通させることができるのは言うまでもない。
本発明のプログラム変換装置によれば、算術加算を、データ幅の小さな複数のキャリー付き算術加算に分割した上で、それらを算術加算テーブルにテーブル化する。さらに、算術加算テーブルの各々を乱数を元にランダム化して、ランダム化変換テーブルを作成する。これにより、実装する変換テーブルのテーブル容量を従来よりも削減しつつ、暗号処理実行中のレジスタデータを観測することによって暗号鍵データを解析する解読法や、暗号処理中の消費電力量から暗号鍵データを解析するような解読法に対しても、安全に暗号処理を実行することができる。
図１は、Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術の一例を示す図である。 図２は、排他的論理和演算のテーブル化について説明するための図である。 図３は、本発明の実施の形態に係るプログラム変換装置を用いてプログラムＰを変換する場合の構成を示すブロック図である。 図４は、本発明の実施の形態に係るプログラムＰが行う暗号処理の構成を示すブロック図である。 図５は、本発明の実施の形態に係るプログラムＰが行う暗号処理手順を示すフローチャートである。 図６は、本発明の実施の形態に係るプログラム変換装置の構成を示すブロック図である。 図７は、本発明の実施の形態に係るプログラム変換装置が実行する処理のフローチャートである。 図８は、本発明の実施の形態に係る鍵データ加算部の他の構成を示すブロック図である。 図９は、本発明の実施の形態に係る鍵データ加算部の変換テーブルを用いた他の構成を示すブロック図である。 図１０は、本発明の実施の形態に係る鍵データ加算部の変換テーブルと、テーブル変換部とからなる構成を示すブロック図である。 図１１は、図１０に示す構成と等価な別構成を示すブロック図である。 図１２は、図１１に示す融合テーブル変換部をランダム化した場合の構成を示すブロック図である。 図１３は、本発明の実施の形態に係る融合変換テーブルをランダム化した場合の構成を示すブロック図である。 図１４は、本発明の実施の形態に係る変換プログラムｔＰの各処理をブロックとして表現したブロック図である。 図１５は、本発明の実施の形態に係る変換プログラムｔＰの各処理を示すフローチャートである。 図１６は、本発明の実施の形態に係る暗号処理装置の構成を示すブロック図である。
符号の説明
１ プログラム変換装置
１０ 鍵データ抽出部
１１ 加算テーブル生成部
１２ 変換テーブル抽出部
１３ テーブル融合部
１４ 乱数生成部
１５ テーブルランダム化部
１６ 変換プログラム生成部
２０、２２、３０ａ〜３０ｄ 鍵データ加算部
２１ａ〜２１ｄ、２３ａ〜２３ｄ テーブル変換部
以下、本発明の実施の形態について、図面を参照しながら説明する。
＜全体構成＞
図３は、本発明の実施の形態に係るプログラム変換装置を用いて、暗号処理プログラムを変換する際の一構成例を示したブロック図である。プログラム変換装置１は、暗号処理のプログラムＰに対して変換を行い、変換プログラムｔＰを出力する。ここで、プログラムＰは、上述したような観測した暗号処理の中間値から暗号鍵データを解析する解読法に対する対策を、何ら行っていないプログラムである。変換プログラムｔＰは、上記解読法に対して対策を行ったプログラムである。実際に暗号化処理を行なう機器には、変換プログラムｔＰが実装される。
＜プログラムＰの処理＞
以下、前記プログラムＰの一具体例を説明する。図４は、プログラムＰの処理内容について、１つの処理を１つのブロックで表したブロック図である。また、図５は、プログラムＰの処理内容を示したフローチャートである。図４および図５を用いて、プログラムＰの処理について詳細に説明する。
プログラムＰは、入力データＡ（３２ビット）に対して、鍵データＫ１およびＫ２（各３２ビット）を用いて暗号処理を行い、出力データＥ（３２ビット）を出力する。ここで、Ｋ１およびＫ２は、プログラムＰ内に設定された秘密の固定値である。また、プログラムＰは、予め８ビット×２５６個の固定値要素からなる配列Ｓ［ ］を内部に保持している。以下、プログラムＰの処理手順について順を追って説明する。
まず、入力データＡが鍵データ加算部２０に入力される（Ｓ１００）。
鍵データ加算部２０は、入力データＡと鍵データＫ１との算術加算を次式（１）に従って行い、中間データＢを求める（Ｓ１０１）。ただし、（Ｘ ｍｏｄ α）は、Ｘをαで割り算したときの余りを表す。そして、中間データＢを、上位から８ビットずつのデータに分割し、それぞれｂ０、ｂ１、ｂ２、ｂ３とする（Ｓ１０２）。
Ｂ＝（Ａ＋Ｋ１）ｍｏｄ（２＾（３２）） …（１）
テーブル変換部２１ａ、２１ｂ、２１ｃ、２１ｄは、それぞれ、ｂ０、ｂ１、ｂ２、ｂ３に対して、次式（２ａ）〜（２ｄ）で示されるテーブル変換処理を行い、ｃ０、ｃ１、ｃ２、ｃ３を求める（Ｓ１０３）。ただし、ｃ＝Ｓ［ｂ］は、配列Ｓ［ ］のｂ番目の要素（８ビット）を取り出してｃとすることを表す。プログラムＰは、これらを上位からｃ０、ｃ１、ｃ２、ｃ３の順に連結して、３２ビットの中間データＣとする（Ｓ１０４）。
ｃ０＝Ｓ［ｂ０］ …（２ａ）
ｃ１＝Ｓ［ｂ１］ …（２ｂ）
ｃ２＝Ｓ［ｂ２］ …（２ｃ）
ｃ３＝Ｓ［ｂ３］ …（２ｄ）
鍵データ加算部２２は、中間データＣと鍵データＫ２との算術加算を次式（３）に従って行い、中間データＤを求める（Ｓ１０５）。プログラムＰは、中間データＤを、上位から８ビットずつのデータに分割し、それぞれｄ０、ｄ１、ｄ２、ｄ３とする（Ｓ１０６）。
Ｄ＝（Ｃ＋Ｋ２）ｍｏｄ（２＾（３２）） …（３）
テーブル変換部２３ａ、２３ｂ、２３ｃ、２３ｄは、それぞれ、ｄ０、ｄ１、ｄ２、ｄ３に対して、次式（４ａ）〜（４ｄ）で示されるテーブル変換処理を行い、ｅ０、ｅ１、ｅ２、ｅ３を求める（Ｓ１０７）。プログラムＰは、これらを上位からｅ０、ｅ１、ｅ２、ｅ３の順に連結して、３２ビットのデータＥとする（Ｓ１０８）。
ｅ０＝Ｓ［ｄ０］ …（４ａ）
ｅ１＝Ｓ［ｄ１］ …（４ｂ）
ｅ２＝Ｓ［ｄ２］ …（４ｃ）
ｅ３＝Ｓ［ｄ３］ …（４ｄ）
プログラムＰは、３２ビットのデータＥを、出力データＥとして出力する（Ｓ１０９）。
＜プログラム変換装置１の構成＞
次に、プログラム変換装置１の構成について説明する。図６は、プログラム変換装置１の内部構成の一例を示したブロック図である。
プログラム変換装置１は、暗号処理のプログラムＰを、耐タンパ性を有し、かつ処理のテーブル化を現実的に実装可能な容量のテーブルで実現する変換プログラムｔＰに変換する装置であり、鍵データ抽出部１０と、加算テーブル生成部１１と、変換テーブル抽出部１２と、テーブル融合部１３と、乱数生成部１４と、テーブルランダム化部１５と、変換プログラム生成部１６とを備えている。
鍵データ抽出部１０は、入力されたプログラムＰから鍵データを抽出する処理部である。
加算テーブル生成部１１は、鍵データ抽出部１０で抽出された鍵データから加算テーブルを生成する処理部である。
変換テーブル抽出部１２は、プログラムＰから変換テーブルを抽出する処理部である。
テーブル融合部１３は、加算テーブル生成部１１で生成された加算テーブルと変換テーブル抽出部１２で抽出された変換テーブルとを融合して融合テーブルを生成する処理部である。
乱数生成部１４は、乱数を生成する処理部である。
テーブルランダム化部１５は、乱数生成部１４で生成された乱数を元に、テーブル融合部１３で生成された融合テーブルをランダム化することにより、ランダム化融合テーブルを作成する処理部である。
変換プログラム生成部１６は、テーブルランダム化部１５で作成されたランダム化融合テーブルを元に、変換プログラムｔＰを生成する処理部である。
以下、プログラム変換装置１の実行する処理について説明する。図７は、プログラム変換装置が実行する処理のフローチャートである。
まず、鍵データ抽出部１０は、入力されたプログラムＰから、鍵データＫ１およびＫ２を抽出し、加算テーブル生成部１１に転送する（Ｓ２２）。
加算テーブル生成部１１は、鍵データＫ１を元に加算テーブルＴ０〜Ｔ３を、鍵データＫ２を元に加算テーブルＶ０〜Ｖ３を、それぞれ生成する（Ｓ２４）。以下、加算テーブルの生成方法について詳細に説明する。ここでは、鍵データＫ１を元に加算テーブルＴ０〜Ｔ３を生成する場合について説明するが、鍵データＫ２を元に加算テーブルＶ０〜Ｖ３を生成する場合についても、これと同様である。
＜加算テーブル生成部１１の処理（図７のＳ２４）＞
図４に示すプログラムＰの鍵データ加算部２０は、入力データＡ（３２ビット）と固定値である鍵データＫ１（３２ビット）との算術加算（Ａ＋Ｋ１）ｍｏｄ（２＾（３２））を行い、演算結果である中間データＢ（３２ビット）を生成する処理を行う。この鍵データ加算部２０の処理を、単純にテーブル変換に置き換えるとすると、入力データＡを入力、中間データＢを出力とする変換テーブルとなる。このとき、入力データＡおよび中間データＢは、ともに３２ビットデータである。このため、生成される変換テーブルの容量は、３２ビット×２＾（３２）＝１６ギガバイトにもなってしまう。そこで、以下のような原理に従い、比較的コンパクトなテーブルでの実現を行う。
まず、加算テーブル生成部１１は、鍵データ加算部２０を、等価的に図８に示すような構成に変換する。図８に示す構成は、３２ビット算術加算である鍵データ加算部２０を、上位桁への繰り上がりを考慮した上で、４個の８ビット算術加算に分割したものである。加算テーブル生成部１１は、図８において、入力データＡ（３２ビット）を上位から８ビットずつに分割したものを、ａ０、ａ１、ａ２、ａ３（各８ビット）とする。同様に、加算テーブル生成部１１は、鍵データＫ１（３２ビット）を上位から８ビットずつに分割したものを、ｋ０、ｋ１、ｋ２、ｋ３とする。鍵データ加算部３０ｄは、ａ３とｋ３との算術加算を行い、その結果の下位８ビットをｂ３、上位１ビットをｃａ３とする処理部である。鍵データ加算部３０ｃは、ａ２とｋ２とｃａ３の算術加算を行い、その結果の下位８ビットをｂ２、上位１ビットをｃａ２とする処理部である。鍵データ加算部３０ｂは、ａ１とｋ１とｃａ２との算術加算を行ない、その結果の下位８ビットをｂ１、上位１ビットをｃａ１とする処理部である。鍵データ加算部３０ａは、ａ０とｋ０とｃａ１の算術加算を行い、下位８ビットをｂ０とする処理である。
次に、加算テーブル生成部１１は、図８の鍵データ加算部３０ａ、３０ｂ、３０ｃ、３０ｄをテーブル化し、図９に示すような、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３にそれぞれ置き換える。ここで、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３は、それぞれ８ビット×５１２個、９ビット×５１２個、９ビット×５１２個、９ビット×２５６個の配列要素からなるテーブルであり、各配列要素は、次式（５ａ）、（５ｂ）、（５ｃ）、（５ｄ）のようにして決定される。これにより、鍵データ加算部２０は、総容量が８ビット×２＾９＋９ビット×２＾９＋９ビット×２＾９＋９ビット×２＾８＝約１．９キロバイトのコンパクトな４個の加算テーブル（変換テーブル）で表すことが可能となる。
Ｔ０［ｘ］＝（（ｘの上位８ビット）＋（ｘの下位１ビット）＋ｋ０）ｍｏｄ（２＾８）（ｘ＝０、１、…、５１１） …（５ａ）
Ｔ１［ｘ］＝（（ｘの上位８ビット）＋（ｘの下位１ビット）＋ｋ１）ｍｏｄ（２＾９）（ｘ＝０、１、…、５１１） …（５ｂ）
Ｔ２［ｘ］＝（（ｘの上位８ビット）＋（ｘの下位１ビット）＋ｋ２）ｍｏｄ（２＾９）（ｘ＝０、１、…、５１１） …（５ｃ）
Ｔ３［ｘ］＝（ｘ＋ｋ３）ｍｏｄ（２＾９）（ｘ＝０、１、…、２５５）
…（５ｄ）
以上をまとめると、加算テーブル生成部１１は、鍵データＫ１を元に上記４つの式に従って、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３を生成する。また、上記と同様に、鍵データ加算部２２についても、加算テーブルＶ０、Ｖ１、Ｖ２、Ｖ３を生成する。そして、生成した加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３、Ｖ０、Ｖ１、Ｖ２、Ｖ３をテーブル融合部１３に転送する。
＜変換テーブル抽出部１２の処理＞
変換テーブル抽出部１２は、プログラムＰから、変換テーブルＳの配列データ（８ビット×２５６個）を抽出して、テーブル融合部１３に転送する（図７のＳ２６）。
＜テーブル融合部１３の処理＞
テーブル融合部１３は、加算テーブルＴ０と変換テーブルＳ、加算テーブルＴ１と変換テーブルＳ、加算テーブルＴ２と変換テーブルＳ、加算テーブルＴ３と変換テーブルＳを、それぞれ融合して融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３を生成する。同様に、テーブル融合部１３は、加算テーブルＶ０と変換テーブルＳ、加算テーブルＶ１と変換テーブルＳ、加算テーブルＶ２と変換テーブルＳ、加算テーブルＶ３と変換テーブルＳを、それぞれ融合して融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３を生成する（図７のＳ２８）。以下では、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３を生成する処理（図７のＳ２８）について説明するが、融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３を生成する処理についても全く同様である。
図１０は、図４に示したプログラムＰが行う暗号処理の構成のうち、鍵データ加算部２０とテーブル変換部２１ａ、２１ｂ、２１ｃ、２１ｄとを抜き出して、鍵データ加算部２０については、上述したテーブル化処理（図７のＳ２４）によって、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３に置き換えた時のブロック図である。ここで、テーブル変換部３３ａ、３３ｂ、３３ｃ、３３ｄは、図４のテーブル変換部２１ａ、２１ｂ、２１ｃ、２１ｄと同一である。このとき、テーブル融合部１３は、テーブル変換部３２ａ（Ｔ０）とテーブル変換部３３ａ（Ｓ）、テーブル変換部３２ｂ（Ｔ１）とテーブル変換部３３ｂ（Ｓ）、テーブル変換部３２ｃ（Ｔ２）とテーブル変換部３３ｃ（Ｓ）、テーブル変換部３２ｄ（Ｔ３）とテーブル変換部３３ｄ（Ｓ）をそれぞれ融合して、融合テーブル変換部３４ａ（Ｕ０）、３４ｂ（Ｕ１）、３４ｃ（Ｕ２）、３４ｄ（Ｕ３）に置き換える。
図１１は、置き換え後の構成を示すブロック図である。ここで、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３の各々の配列要素は、次式（６ａ）、（６ｂ）、（６ｃ）、（６ｄ）のようにして定められる。ただし、（Ｘ‖Ｙ）は、データＸとデータＹを、データＸを上位、データＹを下位として連結したデータを表す。
Ｕ０［ｘ］＝Ｓ［ＴＯ［ｘ］］（ｘ＝０、１、…、５１１） …（６ａ）
Ｕ１［ｘ］＝（Ｔ１［ｘ］の上位１ビット）‖Ｓ［Ｔ１［ｘ］の下位８ビット］（ｘ＝０、１、…、５１１） …（６ｂ）
Ｕ２［ｘ］＝（Ｔ２［ｘ］の上位１ビット）‖Ｓ［Ｔ２［ｘ］の下位８ビット］（ｘ＝０、１、…、５１１） …（６ｃ）
Ｕ３［ｘ］＝（Ｔ３［ｘ］の上位１ビット）‖Ｓ［Ｔ３［ｘ］の下位８ビット］（ｘ＝０、１、…、２５５） …（６ｄ）
以上をまとめると、テーブル融合部１３は、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３、変換テーブルＳを元に、上記４つの式に従って、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３を生成する。また、テーブル融合部１３は、上記と同様に、加算テーブルＶ０、Ｖ１、Ｖ２、Ｖ３、変換テーブルＳから、融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３を生成する。そして、テーブル融合部１３は、生成した融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３、Ｗ０、Ｗ１、Ｗ２、Ｗ３をテーブルランダム化部１５に転送する（図７のＳ２８）。
＜乱数生成部１４の処理＞
乱数生成部１４は、１２個の乱数ｒ１ａ（９ビット）、ｒ１ｂ（９ビット）、ｒ１ｃ（９ビット）、ｒ１ｄ（８ビット）、ｒ２ａ（８ビット）、ｒ２ｂ（８ビット）、ｒ２ｃ（８ビット）、ｒ２ｄ（８ビット）、ｒ３ａ（８ビット）、ｒ３ｂ（９ビット）、ｒ３ｃ（９ビット）、ｒ３ｄ（９ビット）をそれぞれ生成し、テーブルランダム化部１５に転送する（図７のＳ３０）。
＜テーブルランダム化部１５の処理＞
テーブルランダム化部１５は、乱数生成部１４で生成した１２個の乱数を元に、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３、Ｗ０、Ｗ１、Ｗ２、Ｗ３をそれぞれランダム化し、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３を生成する（図７のＳ３２）。以下では、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３を生成する処理（図７のＳ３２）について説明するが、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３についても全く同様である。
図１２は、図１１に示す融合テーブル変換部３４ａ、３４ｂ、３４ｃ、３４ｄの融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３を、乱数ｒ１ａ（９ビット）、ｒ１ｂ（９ビット）、ｒ１ｃ（９ビット）、ｒ１ｄ（８ビット）、ｒ２ａ（８ビット）、ｒ２ｂ（８ビット）、ｒ２ｃ（８ビット）、ｒ２ｄ（８ビット）を用いてランダム化することによりランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３に置き換えた場合の構成を示すブロック図である。図１２において、ランダム化融合テーブル変換部３５ａ、３５ｂ、３５ｃ、３５ｄは、それぞれランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３を用いたテーブル変換処理である。このとき、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３の配列要素は、次式（７ａ）、（７ｂ）、（７ｃ）、（７ｄ）に従って、それぞれ算出される。
ＲＵ０［ｘ］＝Ｕ０［ｘ（＋）ｒ１ａ］（＋）ｒ２ａ（ｘ＝０、１、…、５１１）
…（７ａ）
ＲＵ１［ｘ］＝Ｕ１［ｘ（＋）ｒ１ｂ］（＋）｛（ｒ１ａの下位１ビット）‖ｒ２ｂ｝（ｘ＝０、１、…、５１１） …（７ｂ）
ＲＵ２［ｘ］＝Ｕ２［ｘ（＋）ｒ１ｃ］（＋）｛（ｒ１ｂの下位１ビット）‖ｒ２ｃ｝（ｘ＝０、１、…、５１１） …（７ｃ）
ＲＵ３［ｘ］＝Ｕ３［ｘ（＋）ｒ１ｄ］（＋）｛（ｒ１ｃの下位１ビット）‖ｒ２ｄ｝（ｘ＝０、１、…、２５５） …（７ｄ）
図１３は、融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３を、乱数ｒ２ａ（８ビット）、ｒ２ｂ（８ビット）、ｒ２ｃ（８ビット）、ｒ２ｄ（８ビット）、ｒ３ａ（８ビット）、ｒ３ｂ（９ビット）、ｒ３ｃ（９ビット）、ｒ３ｄ（９ビット）を用いてランダム化することによりランダム化融合変換テーブルＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３に置き換えた場合の構成を示すブロック図である。図１３において、ランダム化融合テーブル変換部３６ａ、３６ｂ、３６ｃ、３６ｄは、それぞれランダム化融合変換テーブルＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３を用いたテーブル変換処理である。このとき、ランダム化融合変換テーブルＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３の配列要素は、次式（８ａ）、（８ｂ）、（８ｃ）、（８ｄ）に従って、それぞれ算出される。
ＲＷ０［ｘ］＝Ｖ０［ｘ（＋）｛ｒ２ａ‖（ｒ３ｂの上位１ビット）｝（＋）ｒ３ａ（ｘ＝０、１、…、５１１） …（８ａ）
ＲＷ１［ｘ］＝Ｖ１［ｘ（＋）｛ｒ２ｂ‖（ｒ３ｃの上位１ビット）｝（＋）ｒ３ｂ（ｘ＝０、１、…、５１１） …（８ｂ）
ＲＷ２［ｘ］＝Ｖ２［ｘ（＋）｛ｒ２ｃ‖（ｒ３ｄの上位１ビット）｝］（＋）ｒ３ｃ（ｘ＝０、１、…、５１１） …（８ｃ）
ＲＷ３［ｘ］＝Ｖ３［ｘ（＋）ｒ２ｄ］（＋）ｒ３ｄ（ｘ＝０、１、…、２５５）
…（８ｄ）
以上をまとめると、テーブルランダム化部１５は、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３と乱数ｒ１ａ、ｒ１ｂ、ｒ１ｃ、ｒ１ｄ、ｒ２ａ、ｒ２ｂ、ｒ２ｃ、ｒ２ｄを元に、式（７ａ）〜（７ｄ）に従って、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３を生成する。また、テーブルランダム化部１５は、同様に、融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３と乱数ｒ２ａ、ｒ２ｂ、ｒ２ｃ、ｒ２ｄ、ｒ３ａ、ｒ３ｂ、ｒ３ｃ、ｒ３ｄを元に、式（８ａ）〜（８ｄ）に従って、ランダム化融合変換テーブルＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３を生成する。そして、生成したランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３を変換プログラム生成部１６に転送する（図７のＳ３２）。
＜変換プログラム生成部１６の処理＞
変換プログラム生成部１６は、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３から、変換プログラムｔＰを生成する（図７のＳ３４）。図１４は、変換プログラムｔＰの各処理をブロックとして表現したブロック図であり、図１５は、変換プログラムｔＰの処理の流れを説明するフローチャートである。変換プログラムｔＰには、上述した手順を経て生成されたランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３が内部に設定されている。また、次式（９ａ）および（９ｂ）のように設定された乱数Ｒ１（３２ビット）およびＲ３（３２ビット）も内部に設定されている。
Ｒ１＝（ｒ１ａの上位８ビット）‖（ｒ１ｂの上位８ビット）‖（ｒ１ｃの上位８ビット）‖（ｒ１ｄ）
…（９ａ）
Ｒ３＝（ｒ３ａ）‖（ｒ３ｂの下位８ビット）‖（ｒ３ｃの下位８ビット）‖（ｒ３ｄの下位８ビット）
…（９ｂ）
以下、図１４と図１５を用いて、ｔＰの処理内容について説明する。
まず、プログラムｔＰに対して入力データＡ（３２ビット）が入力される（Ｓ２００）。
入力データランダム化部４０は、入力データＡと乱数Ｒ１との排他的論理和演算を行い、ランダム化入力データＲＡを求める（Ｓ２０１）。即ち、次式（１０）に従った計算を行う。
ＲＡ＝Ａ（＋）Ｒ１ …（１０）
変換プログラムｔＰは、ランダム化入力データＲＡを、上位から８ビットずつ分割して、ｒａ０、ｒａ１、ｒａ２、ｒａ３とする（Ｓ２０２）。
ランダム化融合テーブル変換部３５ａ、３５ｂ、３５ｃ、３５ｄは、それぞれ、ｒａ０、ｒａ１、ｒａ２、ｒａ３に対して、次式（１１ａ）〜（１１ｊ）に従った計算を順に行い、ランダム化中間データｒｃ０、ｒｃ１、ｒｃ２、ｒｃ３を求める。求められたランダム化中間データｒｃ０、ｒｃ１、ｒｃ２、ｒｃ３は、ランダム化融合テーブル変換部３６ａ、３６ｂ、３６ｃ、３６ｄにそれぞれ転送される（Ｓ２０３）。
ｔ３＝ＲＵ３［ｒａ３］ …（１１ａ）
ｒｃ３＝（ｔ３の下位８ビット） …（１１ｂ）
ｒｃａ３＝（ｔ３の上位１ビット） …（１１ｃ）
ｔ２＝ＲＵ２［ｒａ２‖ｒｃａ３］ …（１１ｄ）
ｒｃ２＝（ｔ２の下位８ビット） …（１１ｅ）
ｒｃａ２＝（ｔ２の上位１ビット） …（１１ｆ）
ｔ１＝ＲＵ１［ｒａ１‖ｒｃａ２］ …（１１ｇ）
ｒｃ１＝（ｔ１の下位８ビット） …（１１ｈ）
ｒｃａ１＝（ｔ１の上位１ビット） …（１１ｉ）
ｒｃ０＝ＲＵ０［ｒａ１‖ｒｃａ１］ …（１１ｊ）
ランダム化融合テーブル変換部３６ａ、３６ｂ、３６ｃ、３６ｄは、ランダム化中間データｒｃ０、ｒｃ１、ｒｃ２、ｒｃ３に対して、次式（１２ａ）〜（１２ｊ）に従った計算を順に行い、ランダム化出力データｒｅ０、ｒｅ１、ｒｅ２、ｒｅ３を求める（Ｓ２０４）。
ｔ３＝ＲＷ３［ｒｃ３］ …（１２ａ）
ｒｅ３＝（ｔ３の下位８ビット） …（１２ｂ）
ｒｃｂ３＝（ｔ３の上位１ビット） …（１２ｃ）
ｔ２＝ＲＷ２［ｒｃ２‖ｒｃｂ３］ …（１２ｄ）
ｒｅ２＝（ｔ２の下位８ビット） …（１２ｅ）
ｒｃｂ２＝（ｔ２の上位１ビット） …（１２ｆ）
ｔ１＝ＲＷ１［ｒｃ１‖ｒｃｂ２］ …（１２ｇ）
ｒｅ１＝（ｔ１の下位８ビット） …（１２ｈ）
ｒｃｂ１＝（ｔ１の上位１ビット） …（１２ｉ）
ｒｅ０＝ＲＷ０［ｒｃ１‖ｒｃｂ１］ …（１２ｊ）
変換プログラムｔＰは、ランダム化出力データｒｅ０、ｒｅ１、ｒｅ２、ｒｅ３を上位からこの順序で連結して３２ビットのランダム化出力データＲＥとする（Ｓ２０５）。
排他的論理和部４２は、次式（１３）に従い、ランダム化出力データＲＥと、乱数Ｒ３との排他的論理和演算を行い、出力データＥを求める（Ｓ２０６）。
Ｅ＝ＲＥ（＋）Ｒ３ …（１３）
変換プログラムｔＰは、出力データＥを出力する（Ｓ２０７）。
＜プログラムｔＰの処理とプログラムＰの処理の関係＞
ここで、変換プログラムｔＰによって実行される暗号処理が、プログラムＰによって実行される暗号処理と等価であることを説明する。即ち、任意の入力データＡに対して、プログラムＰの処理によって得られる出力データＥと、変換プログラムｔＰによって得られる出力データＥとが同じであることを説明する。
まず、式（１０）より、
ＲＡ＝Ａ（＋）Ｒ１
である。ここで、Ａを上位から８ビットずつ分割して、ａ０、ａ１、ａ２、ａ３とすると、式（９ａ）より、次式（１４ａ）〜（１４ｄ）に示す関係が成立する。
ｒａ０＝ａ０（＋）（ｒ１ａの上位８ビット） …（１４ａ）
ｒａ１＝ａ１（＋）（ｒ１ｂの上位８ビット） …（１４ｂ）
ｒａ２＝ａ２（＋）（ｒ１ｃの上位８ビット） …（１４ｃ）
ｒａ３＝ａ３（＋）ｒ１ｄ …（１４ｄ）
次に、式（１１ａ）、式（７ｄ）、式（１４ｄ）、式（６ｄ）より、次式（１５）が導かれる。
ｔ３＝ＲＵ３［ｒａ３］
＝Ｕ３［ｒａ３（＋）ｒ１ｄ］（＋）｛（ｒ１ｃの下位１ビット‖ｒ２ｄ）
＝Ｕ３［ａ３］（＋）｛（ｒ１ｃの下位１ビット）‖ｒ２ｄ｝
＝｛（Ｔ３［ａ３］の上位１ビット）‖Ｓ［Ｔ３［ａ３］の下位８ビット］｝（＋）｛（ｒ１ｃの下位１ビット）‖ｒ２ｄ｝ …（１５）
よって、式（１５）、式（１１ｂ）、式（５ｄ）より、次式（１６）が導かれる。
ｒｃ３＝Ｓ［Ｔ３［ａ３］の下位８ビット］（＋）ｒ２ｄ
＝Ｓ［（ａ３＋ｋ３）ｍｏｄ（２＾８）］（＋）ｒ２ｄ …（１６）
また、式（１５）、式（１１ｃ）、式（５ｄ）より、次式（１７）が導かれる。
ｒｃａ３＝（Ｔ３［ａ３］の上位１ビット）（＋）（ｒ１ｃの下位１ビット）
＝｛（（ａ３＋ｋ３）ｍｏｄ（２＾９））の上位１ビット｝（＋）（ｒ１ｃの下位１ビット） …（１７）
ここで、｛（（ａ３＋ｋ３）ｍｏｄ（２＾９））の上位１ビット｝は、バイトデータの加算（ａ３＋ｋ３）における上位バイトへの繰り上がり（０または１）であるので、以降は、これを「ｃａｒｒｙ３」とすると、式（１７）は次式（１８）のように表すことができる。
ｒｃａ３＝ｃａｒｒｙ３（＋）（ｒ１ｃの下位１ビット） …（１８）
次に、式（１１ｄ）、式（１４ｃ）、式（１８）、式（７ｃ）、式（６ｃ）より、次式（１９）が導かれる。
ｔ２＝ＲＵ２［ｒａ２‖ｒｃａ３］
＝ＲＵ２［｛ａ２（＋）（ｒ１ｃの上位８ビット）｝‖ｃａｒｒｙ３（＋）（ｒ１ｃの下位１ビット）｝］
＝ＲＵ２［（ａ２‖ｃａｒｒｙ３）（＋）ｒ１ｃ］
＝Ｕ２［ａ２‖ｃａｒｒｙ３］（＋）｛（ｒ１ｂの下位１ビット）‖ｒ２ｃ｝
＝（Ｔ２［ａ２‖ｃａｒｒｙ３］の上位１ビット）‖Ｓ［（Ｔ２［ａ２‖ｃａｒｒｙ３］の下位８ビット）］（＋）｛（ｒ１ｂの下位１ビット）‖ｒ２ｃ｝…（１９）
ここで、式（５ｃ）より、次式（２０）が導かれる。
Ｔ２［ａ２‖ｃａｒｒｙ３］＝（ａ２＋ｃａｒｒｙ３＋ｋ２）ｍｏｄ（２＾９）
…（２０）
式（２０）、式（１９）、式（１１ｅ）より、次式（２１）が導かれる。
ｒｃ２＝Ｓ［（Ｔ２［ａ２‖ｃａｒｒｙ３］の下位８ビット）］（＋）ｒ２ｃ
＝Ｓ［（ａ２＋ｃａｒｒｙ３＋ｋ２）ｍｏｄ（２＾８）］（＋）ｒ２ｃ
…（２１）
また、式（２０）、式（１９）、式（１１ｆ）より、次式（２２）が導かれる。
ｒｃａ２＝（Ｔ２［ａ２‖ｃａｒｒｙ３］の上位１ビット）（＋）（ｒ１ｂの下位１ビット）
＝｛（（ａ２＋ｃａｒｒｙ３＋ｋ２）ｍｏｄ（２＾９））の上位１ビット｝（＋）（ｒ１ｂの下位１ビット） …（２２）
ここで、｛（（ａ３＋ｋ３）ｍｏｄ（２＾９））の上位１ビット｝は、バイトデータの加算（ａ３＋ｋ３）における上位バイトへの繰り上がり（０または１）であるので、以降は、これを「ｃａｒｒｙ２」とすると、式（２２）は次式（２３）のように表すことができる。
ｒｃａ２＝ｃａｒｒｙ２（＋）（ｒ１ｂの下位１ビット） …（２３）
以上から、次式（２４）および（２５）が得られる。
ｒｃ３＝Ｓ［（ａ３＋ｋ３）ｍｏｄ（２＾８）］（＋）ｒ２ｄ …（２４）
ｒｃ２＝Ｓ［（ａ２＋ｃａｒｒｙ３＋ｋ２）ｍｏｄ（２＾８）］（＋）ｒ２ｃ
…（２５）
上記と同様の式変形を繰り返すことにより、次式（２６）および（２７）が得られる。
ｒｃ１＝Ｓ［（ａ１＋ｃａｒｒｙ２＋ｋ１）ｍｏｄ（２＾８）］（＋）ｒ２ｂ
…（２６）
ｒｃ０＝Ｓ［（ａ０＋ｃａｒｒｙ１＋ｋ０）ｍｏｄ（２＾８）］（＋）ｒ２ａ
…（２７）
ここで、ｃａｒｒｙ２およびｃａｒｒｙ１は、それぞれ、バイトデータの加算（ａ２＋ｋ２）および（ａ１＋ｋ１）における上位バイトへの繰り上がり（０または１）を表す。
式（２４）、式（２５）、式（２６）、式（２７）から、以下のことがわかる。即ち、
ＲＣ＝ｒｃ０‖ｒｃ１‖ｒｃ２‖ｒｃ３、
および
Ｒ２＝ｒ２ａ‖ｒ２ｂ‖ｒ２ｃ‖ｒ２ｄ
としたとき、図４の中間データＣとの関係は、
ＲＣ＝Ｃ（＋）Ｒ２
となる。また、上記と同様の式変形を行うことによって、
ＲＥ＝Ｅ（＋）Ｒ３
であることが示される。ここで、
ＲＥ＝ｒｅ０‖ｒｅ１‖ｒｅ２‖ｒｅ３
Ｒ３＝ｒ３ａ‖ｒ３ｂ‖ｒ３ｃ‖ｒ３ｄ
である。変換プログラムｔＰは、ランダム化出力データＲＥに対して、図１５のＳ２０６に示すように、ＲＥ（＋）Ｒ３の演算を行うことにより、出力データＥを導き出すことができる。即ち、プログラムｔＰの処理によって得られる出力データＥは、プログラムＰの処理によって得られる出力データＥと等しくなることが示される。
以上説明したように、本実施の形態によると、プログラム変換装置は、算術加算を含むプログラムＰを、プログラムＰと等価な変換プログラムｔＰに変換することができる。また、その変換プログラムｔＰは、９ビット入力８ビット出力の変換テーブル２個と、９ビット入出力の変換テーブル４個と、８ビット入力９ビット出力の変換テーブル２個を使用し、そのテーブル容量の合計は、３９０４バイトである。よって、変換プログラムｔＰは、十分にコンパクトなサイズのテーブルを用いて、現実的なコストでの実装が可能である。
また、変換プログラムｔＰで使用される変換テーブルは乱数を元にランダム化されている。このため、暗号処理の中間値を解析することによって暗号鍵データを特定するような解読方法に対して安全に暗号化を行なうことができる。
＜変形例＞
なお、本実施の形態では、予めプログラム変換装置１によって生成した変換プログラムＰを、暗号モジュール内のＲＯＭなどに予め記憶することを想定とした構成になっているが、この構成に限定されるものではない。例えば、図１６に示すように、プログラム変換装置１と同じ処理を行うプログラム変換部４１を暗号装置４の内部に具備し、暗号処理を行うたびに、暗号処理のプログラムＰから変換プログラムｔＰを生成するような構成であってもよい。
図１６において、暗号装置４は、プログラム記憶部４５と、プログラム変換部４１と、変換プログラム一時記憶部４７と、プログラム実行部４３とからなる。
プログラム記憶部４５は、暗号処理を行うプログラムＰを記憶する記憶部である。
プログラム変換部４１は、プログラム記憶部４５に記憶されているプログラムＰを変換プログラムｔＰに変換する処理部である。
変換プログラム一時記憶部４７は、プログラム変換部４１で生成された変換プログラムｔＰを一時記憶する記憶部である。
プログラム実行部４３は、変換プログラム一時記憶部４７に記憶されている変換プログラムｔＰを実行する処理部である。
暗号装置４が、暗号処理を行うときの動作は以下の通りである。まず、プログラム記憶部４５は、例えば上述の実施の形態で説明したプログラムＰを記憶しているものとする。プログラム変換部４１は、プログラム記憶部４５に記憶されているプログラムＰを読み出して、上述の実施の形態と同様の処理を行い、変換プログラムｔＰを生成し、ｔＰを変換プログラム一時記憶部４７に記憶する。そして、プログラム実行部４３は、変換プログラム一時記憶部４７に記憶されている変換プログラムｔＰに従って、入力される平文に対して暗号化処理を行い、その結果を暗号文として出力する。この構成の場合、変換プログラムｔＰの生成処理は、暗号処理を行うたびに行われる。即ち、毎回異なる乱数を用いて変換プログラムｔＰが生成されるので、暗号処理の中間データは、毎回異なる乱数によってランダム化されることになり、暗号鍵データの解析はより困難になる。
また、変換対象のプログラムとしては、本実施の形態に示した例に限定されるものではなく、算術加算を用いる暗号処理であれば何でもよい。
さらに、変換対象のプログラムとしては、算術減算を用いる暗号処理であってもよい。このような暗号処理であっても、算術減算を、算術加算の場合と同様にテーブル化し、作成されたテーブルをランダム化することにより、暗号鍵データの解析を困難にすることができる。具体的には、被減算データと上位桁からの繰り下がりデータとをインデックスとし、その桁についての減算結果（被減算データと部分鍵データと上位桁からの繰り下がりデータとの演算結果）と下位桁への繰り下がりデータとを要素とする算術減算テーブルを作成し、作成された算術減算テーブルをランダム化すればよい。
なお、本発明を上記実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
（１）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。上記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。上記マイクロプロセッサが、上記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
（２）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。上記ＲＡＭには、コンピュータプログラムが記憶されている。上記マイクロプロセッサが、上記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていてもよいし、一部またはすべてを含むように１チップ化されていてもよい。
また、ここでは、システムＬＳＩと呼称したが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限られるものではなく、専用回路または汎用プロセッサで実現してもよい。また、ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて構成要素の集積化を行ってもよい。バイオ技術の適応等が可能性としてありえる。
（３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。上記ＩＣカードまたは上記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。上記ＩＣカードまたは上記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記ＩＣカードまたは上記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
（４）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、上記コンピュータプログラムからなるデジタル信号であるとしてもよい。
また、本発明は、上記コンピュータプログラムまたは上記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている上記デジタル信号であるとしてもよい。
また、本発明は、上記コンピュータプログラムまたは上記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、上記メモリは、上記コンピュータプログラムを記憶しており、上記マイクロプロセッサは、上記コンピュータプログラムにしたがって動作するとしてもよい。
また、上記プログラムまたは上記デジタル信号を上記記録媒体に記録して移送することにより、または上記プログラムまたは上記デジタル信号を上記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（５）上記実施の形態および上記変形例をそれぞれ組み合わせるとしてもよい。
本発明に係るプログラム変換装置は、実装する変換テーブルのテーブル容量を従来よりも削減しつつ、暗号処理実行中のレジスタデータを観測することによって暗号鍵データを解析する解読法や、暗号処理中の消費電力量から暗号鍵データを解析するような解読法に対して安全に暗号化を行うことができるという特徴を有するので、低コストでの実現が求められる暗号モジュール等の実現に有用である。
本発明は、プログラム変換装置に関し、特に、暗号処理を行うプログラムを変換するプログラム変換装置に関する。
近年、ソフトウェアまたはハードウェアで実装された暗号モジュールに対して、暗号処理を行う際の中間データを何らかの手法を用いて解析し、その中間データをもとにして、暗号鍵データを解読する解読法が各種考案されている。例えば、ソフトウェアで実装された暗号モジュールの場合には、デバッガなどの開発用ツールを使用することにより、レジスタに一時記憶される暗号処理の中間データを直接入手することが可能となる。このため、この中間データをもとにした暗号鍵データの解析が可能である。また、暗号処理中に消費される電力量を測定することによって、暗号処理の中間データを推定して、暗号鍵データの解析を行うＳｉｍｐｌｅ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ、やＤｉｆｆｅｒｅｎｔｉａｌ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓといった解読法が提案されている。この解読法は、ソフトウェアおよびハードウェアの両方の暗号モジュールに対して適用可能である。
上記のような解読法に対して安全な暗号実装技術として、非特許文献１にＷｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術が開示されている。図１は、Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術の一例を示す図である。本技術では、最初に、鍵データを固定としたときの暗号処理をテーブル化する。「処理のテーブル化」というのは、暗号処理時の各変換処理の入力および出力の対応関係を変換テーブルの形式で表すことである。すなわち、入力をインデックスとし、出力を要素とする変換テーブルを作成する。以下、本明細書中では、テーブルを作成する際には、入力をインデックスとし、出力を要素とする。例えば、８ビットの入力データＸに対して、８ビットの鍵データＫとの排他的論理和演算を行い、８ビットの演算結果を出力データＹとするような暗号処理の場合（Ｓ２）、鍵データが固定値であれば、８ビット入力８ビット出力の固定的な変換と見ることができる。このようにして、暗号処理の各変換処理を全てテーブル化する（Ｓ４）。次に、得られた変換テーブルをそれぞれランダムに発生させた乱数によってランダム化する。具体的には、例えば、Ｙ＝Ｔａｂ［Ｘ］で表されるテーブル変換（Ｘは入力、Ｙは出力、Ｔａｂ［ ］は変換テーブルの配列）に対しては、乱数ｒ１、ｒ２を用いて、ｒＹ＝Ｔａｂ［Ｘ（＋）ｒ１］（＋）ｒ２として与えられる変換にランダム化する（ここで（＋）は、ビット毎の排他的論理和演算を表す）（Ｓ６）。こうして得られた、ランダム化変換を改めてテーブル化して、ランダム化テーブルｒＴａｂ［ ］を得る（Ｓ８）。このランダム化処理を全てのテーブル変換に対して行い、得られるランダム化テーブルによるテーブル変換処理からなるランダム化暗号処理を、暗号モジュールとして実装する。
上記のように、乱数によって、各テーブル変換の入出力データは、ランダム化されて実際の暗号処理の中間値とは異なる値となる。これにより、暗号処理実行途中のレジスタの値を観測しても、上記ランダム化された中間値しか得ることができず、解読者は、暗号鍵データの解析が困難になる。非特許文献１では、米国次世代標準暗号ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）に対して、上記Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術を適用した場合の具体的な方法について詳細に開示されている。Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術では、暗号処理の各処理をいかにテーブル化するかが、重要なポイントである。特に、いかに容量の小さな変換テーブルにするかが重要である。
Ｓｔａｎｌｅｙ Ｃｈｏｗ，Ｐｈｉｌｉｐ Ｅｉｓｅｎ，Ｈａｒｏｌｄ Ｊｏｈｎｓｏｎ，Ｐａｕｌ Ｃ． Ｖａｎ Ｏｏｒｓｃｈｏｔ「Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ ａｎ ＡＥＳ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ」、Ｓｅｌｅｃｔｅｄ Ａｒｅａｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ（ＬＮＣＳ２５９５）所収、２００３年 Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ刊
しかしながら、上記従来技術は、算術加算のような容量の小さな変換テーブルにテーブル化することが難しい演算を使用している暗号処理には適用が困難であるという課題がある。例えば、３２ビットの鍵データＫと３２ビットの入力データＸとの算術加算演算を行ってその結果Ｙを出力とするような処理Ｙ＝Ｘ＋Ｋを、テーブル化する場合、上位桁への繰り上がりが存在するために、単純には、３２ビット入出力のテーブル変換Ｙ＝Ｔａｂ［Ｘ］とするしかない。このとき、変換テーブルＴａｂ［ ］の容量は、３２ビット×２＾（３２）＝１６ギガバイトにもなり、現実的に実装可能なテーブル容量とならない（ここでα＾βは、αのβ乗を表す）。
一方、上記の算術加算の代わりに排他的論理和演算Ｙ＝Ｘ（＋）Ｋを使用している場合のテーブル化について説明する。図２は、排他的論理和演算のテーブル化について説明するための図である。
排他的論理和演算Ｙ＝Ｘ（＋）Ｋは（Ｓ１２）、各々３２ビットの入力データＸおよび鍵データＫを、４つの８ビットのデータｘ０、ｘ１、ｘ２、ｘ３およびｋ０、ｋ１、ｋ２、ｋ３に分割することにより、
ｙ０＝ｘ０（＋）ｋ０、
ｙ１＝ｘ１（＋）ｋ１、
ｙ２＝ｘ２（＋）ｋ２、
ｙ３＝ｘ３（＋）ｋ３
という４つの排他的論理和演算に分割することができる（Ｓ１４）。各排他的論理和演算をテーブル化することにより、４つの排他的論理和演算は、変換テーブルＴａｂ０［ ］、Ｔａｂ１［ ］、Ｔａｂ２［ ］、Ｔａｂ３［ ］を用いて、以下のように表すことができる（Ｓ１６）。
ｙ０＝Ｔａｂ０［ｘ０］
ｙ１＝Ｔａｂ１［ｘ１］
ｙ２＝Ｔａｂ２［ｘ２］
ｙ３＝Ｔａｂ３［ｘ３］
ｙ０、ｙ１、ｙ２、ｙ３を結合することにより出力データＹが得られる（Ｓ１８）。このように、上記４つの排他的論理和演算をそれぞれテーブル化して変換テーブルＴａｂ０［ ］〜Ｔａｂ３［ ］を作成することにより、１つの変換テーブルのみで算術加算または排他的論理和演算を表す場合に比べ、小さなテーブル容量（８ビット×２＾８×４＝１キロバイト）の変換テーブルで排他的論理和演算を表すことができる。
上記ＡＥＳ暗号や、ＤＥＳ（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）暗号の場合には、鍵データとの排他的論理和演算が暗号処理に使用されているため、上記のようにして小さな容量の変換テーブルによるテーブル化が可能である。しかし、算術加算演算を用いた暗号については、上述のように、演算時に上位桁への繰り上がりが存在するため、現実的に実装可能な容量の変換テーブルでのテーブル化が困難であるという問題がある。
本発明は、上述の課題を解決するためのものであり、算術加算演算を用いた暗号処理に対しても、暗号処理の中間値を解析することによって暗号鍵データを特定するような解読方法に対して安全に暗号化を行なうことができ、かつ、現実的なコストでの実装が可能なプログラム変換装置および暗号処理装置を提供することを目的とする。
上記目的を達成するために、本発明のある局面に係るプログラム変換装置は、暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成するプログラム変換装置であって、前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、前記鍵データＫを、最上位ビットよりＮiビットのｎ個の部分鍵データｋi（ｉ＝０〜ｎ−１）に分割する鍵データ分割手段と、前記被加算データＸを、最上位ビットよりＮiビットのｎ個の部分被加算データｘi（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋiと、前記部分被加算データｘiと、前記部分鍵データｋi+1および前記部分被加算データｘi+1の算術加算時の繰り上がりデータｃi+1との算術加算の結果である、加算データｙiおよび繰り上がりデータｃiのうちの少なくとも前記加算データｙiを含むデータを要素とし、前記部分被加算データｘiおよび繰り上がりデータｃi+1のうちの少なくとも前記部分被加算データｘiを含むデータをインデックスとする算術加算テーブルａｄｄiを作成する算術加算テーブル作成手段と、ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄiを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂiを生成するランダム化変換テーブル生成手段とを備える。
この構成によると、下位桁からの上位桁への繰り上がりを考慮して、Ｎビットのデータ同士の算術加算演算をｎ個の算術加算テーブルで表現した変換暗号処理プログラムを生成している。このため、１つの算術加算テーブルで算術加算演算を実装する場合に比べ、算術加算テーブルの容量を小さくすることができる。このため、算術加算演算を含む変換暗号処理プログラムを現実的なコストで実装することができる。しかも、算術加算テーブルをランダム化することにより、ランダム化変換テーブルを生成している。このため、各種の解読方法により暗号化処理を行う際の中間値を取得することができたとしても、当該中間値から鍵データＫを解読することが困難となり、安全に暗号化処理を行うことができる変換暗号処理プログラムを提供することができる。
好ましくは、前記暗号処理プログラムは、さらに、前記鍵加算データＥを、最上位ビットよりＮiビットごとにｎ個に分割した部分鍵加算データＺiに対して所定の変換処理Ｓiを施す加算データ変換処理を含み（ｉ＝０〜ｎ−１）、前記ランダム化変換テーブル作成手段は、ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄiと前記所定の変換処理Ｓiとを融合して、前記部分被加算データｘiおよび繰り上がりデータｃi+1のうちの少なくとも前記部分被加算データｘiを含むデータをインデックスとする融合テーブルＵiを作成する融合テーブル作成手段と、ｉ＝０〜ｎ−１の各々について、前記融合テーブル作成手段で作成された融合テーブルＵiを前記乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂiを生成する生成手段とを有する。
算術加算テーブルと所定の変換処理とを融合して、融合テーブルを作成している。このため、テーブルの容量を小さくすることができ、現実的なコストで実装することができる変換暗号処理プログラムを生成することができる。
本発明の他の局面に係る暗号処理装置は、平文を暗号化し、暗号文を生成する暗号処理装置であって、暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成するプログラム変換手段と、前記プログラム変換手段で生成された前記変換暗号処理プログラムに従って、平文を暗号化し、暗号文を生成する暗号文生成手段とを備え、前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、前記プログラム変換手段は、前記鍵データＫを、最上位ビットよりＮiビットのｎ個の部分鍵データｋi（ｉ＝０〜ｎ−１）に分割する鍵データ分割手段と、前記被加算データＸを、最上位ビットよりＮiビットのｎ個の部分被加算データｘi（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋiと、前記部分被加算データｘiと、前記部分鍵データｋi+1および前記部分被加算データｘi+1の算術加算時の繰り上がりデータｃi+1との算術加算の結果である、加算データｙiおよび繰り上がりデータｃiのうちの少なくとも前記加算データｙiを含むデータを要素とし、前記部分被加算データｘiおよび繰り上がりデータｃi+1のうちの少なくとも前記部分被加算データｘiを含むデータをインデックスとする算術加算テーブルａｄｄiを作成する算術加算テーブル作成手段と、ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄiを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂiを生成するランダム化変換テーブル生成手段とを備える。
この構成によると、暗号処理を行うたびに、上述したランダム化変換テーブルを作成することができる。このため、平文を暗号化するごとにランダム化変換テーブルが異なることになる。よって、中間値から鍵データを解読することがより困難となり、安全に暗号化処理を行うことができる。
本発明のさらに他の局面に係る暗号処理装置は、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を実行する暗号処理装置であって、前記被加算データＸを、最上位ビットよりＮiビットのｎ個の部分被加算データｘi（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、ｉ＝０〜ｎ−１の各々について、前記部分被加算データｘiに乱数ｒａiを作用させることにより得られるランダム化部分被加算データｒｘiを少なくともインデックスの一部としたときの、ランダム化変換テーブルＲＴａｂiの要素であるランダム化鍵加算データｒｅiを取得するランダム化鍵加算データ取得手段とを備え、前記ランダム化変換テーブルＲＴａｂiは、前記鍵データＫを、最上位ビットよりＮiビットのｎ個の部分鍵データｋi（ｉ＝０〜ｎ−１）に分割し、ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋiと、前記部分被加算データｘiと、前記部分鍵データｋi+1および前記部分被加算データｘi+1の算術加算時の繰り上がりデータｃi+1との算術加算の結果である、加算データｙiおよび繰り上がりデータｃiのうちの少なくとも前記加算データｙiを含むデータを要素とし、前記部分被加算データｘiおよび繰り上がりデータｃi+1のうちの少なくとも前記部分被加算データｘiを含むデータをインデックスとする算術加算テーブルａｄｄiを作成し、ｉ＝０〜ｎ−１の各々について、前記算術加算テーブルａｄｄiを乱数に基づいてランダム化することにより得られるテーブルである。
この構成によると、下位桁からの上位桁への繰り上がりを考慮して、Ｎビットのデータ同士の算術加算演算をｎ個のランダム化変換テーブルで表現している。このため、算術加算演算を含む暗号処理装置を現実的なコストで実装できる。しかも、ランダム化変換テーブルを用いているため、各種の解読方法により暗号化処理を行う際の中間値を取得することができたとしても、当該中間値から鍵データＫを解読することが困難となり、安全に暗号化処理を行うことができる。
なお、本発明は、このような特徴的な手段を備えるプログラム変換装置や暗号処理装置として実現することができるだけでなく、プログラム変換装置や暗号処理装置に含まれる特徴的な手段をステップとするプログラム変換方法や暗号処理方法として実現したり、プログラム変換方法や暗号処理方法に含まれる特徴的なステップをコンピュータに実行させるためのプログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ（Compact Disc-Read Only Memory）等の記録媒体やインターネット等の通信ネットワークを介して流通させることができるのは言うまでもない。
本発明のプログラム変換装置によれば、算術加算を、データ幅の小さな複数のキャリー付き算術加算に分割した上で、それらを算術加算テーブルにテーブル化する。さらに、算術加算テーブルの各々を乱数を元にランダム化して、ランダム化変換テーブルを作成する。これにより、実装する変換テーブルのテーブル容量を従来よりも削減しつつ、暗号処理実行中のレジスタデータを観測することによって暗号鍵データを解析する解読法や、暗号処理中の消費電力量から暗号鍵データを解析するような解読法に対しても、安全に暗号処理を実行することができる。
以下、本発明の実施の形態について、図面を参照しながら説明する。
＜全体構成＞
図３は、本発明の実施の形態に係るプログラム変換装置を用いて、暗号処理プログラムを変換する際の一構成例を示したブロック図である。プログラム変換装置１は、暗号処理のプログラムＰに対して変換を行い、変換プログラムｔＰを出力する。ここで、プログラムＰは、上述したような観測した暗号処理の中間値から暗号鍵データを解析する解読法に対する対策を、何ら行っていないプログラムである。変換プログラムｔＰは、上記解読法に対して対策を行ったプログラムである。実際に暗号化処理を行なう機器には、変換プログラムｔＰが実装される。
＜プログラムＰの処理＞
以下、前記プログラムＰの一具体例を説明する。図４は、プログラムＰの処理内容について、１つの処理を１つのブロックで表したブロック図である。また、図５は、プログラムＰの処理内容を示したフローチャートである。図４および図５を用いて、プログラムＰの処理について詳細に説明する。
プログラムＰは、入力データＡ（３２ビット）に対して、鍵データＫ１およびＫ２（各３２ビット）を用いて暗号処理を行い、出力データＥ（３２ビット）を出力する。ここで、Ｋ１およびＫ２は、プログラムＰ内に設定された秘密の固定値である。また、プログラムＰは、予め８ビット×２５６個の固定値要素からなる配列Ｓ［ ］を内部に保持している。以下、プログラムＰの処理手順について順を追って説明する。
まず、入力データＡが鍵データ加算部２０に入力される（Ｓ１００）。
鍵データ加算部２０は、入力データＡと鍵データＫ１との算術加算を次式（１）に従って行い、中間データＢを求める（Ｓ１０１）。ただし、（Ｘ ｍｏｄ α）は、Ｘをαで割り算したときの余りを表す。そして、中間データＢを、上位から８ビットずつのデータに分割し、それぞれｂ０、ｂ１、ｂ２、ｂ３とする（Ｓ１０２）。
Ｂ＝（Ａ＋Ｋ１）ｍｏｄ（２＾（３２）） …（１）
テーブル変換部２１ａ、２１ｂ、２１ｃ、２１ｄは、それぞれ、ｂ０、ｂ１、ｂ２、ｂ３に対して、次式（２ａ）〜（２ｄ）で示されるテーブル変換処理を行い、ｃ０、ｃ１、ｃ２、ｃ３を求める（Ｓ１０３）。ただし、ｃ＝Ｓ［ｂ］は、配列Ｓ［ ］のｂ番目の要素（８ビット）を取り出してｃとすることを表す。プログラムＰは、これらを上位からｃ０、ｃ１、ｃ２、ｃ３の順に連結して、３２ビットの中間データＣとする（Ｓ１０４）。
ｃ０＝Ｓ［ｂ０］ …（２ａ）
ｃ１＝Ｓ［ｂ１］ …（２ｂ）
ｃ２＝Ｓ［ｂ２］ …（２ｃ）
ｃ３＝Ｓ［ｂ３］ …（２ｄ）
鍵データ加算部２２は、中間データＣと鍵データＫ２との算術加算を次式（３）に従って行い、中間データＤを求める（Ｓ１０５）。プログラムＰは、中間データＤを、上位から８ビットずつのデータに分割し、それぞれｄ０、ｄ１、ｄ２、ｄ３とする（Ｓ１０６）。
Ｄ＝（Ｃ＋Ｋ２）ｍｏｄ（２＾（３２）） …（３）
テーブル変換部２３ａ、２３ｂ、２３ｃ、２３ｄは、それぞれ、ｄ０、ｄ１、ｄ２、ｄ３に対して、次式（４ａ）〜（４ｄ）で示されるテーブル変換処理を行い、ｅ０、ｅ１、ｅ２、ｅ３を求める（Ｓ１０７）。プログラムＰは、これらを上位からｅ０、ｅ１、ｅ２、ｅ３の順に連結して、３２ビットのデータＥとする（Ｓ１０８）。
ｅ０＝Ｓ［ｄ０］ …（４ａ）
ｅ１＝Ｓ［ｄ１］ …（４ｂ）
ｅ２＝Ｓ［ｄ２］ …（４ｃ）
ｅ３＝Ｓ［ｄ３］ …（４ｄ）
プログラムＰは、３２ビットのデータＥを、出力データＥとして出力する（Ｓ１０９）。
＜プログラム変換装置１の構成＞
次に、プログラム変換装置１の構成について説明する。図６は、プログラム変換装置１の内部構成の一例を示したブロック図である。
プログラム変換装置１は、暗号処理のプログラムＰを、耐タンパ性を有し、かつ処理のテーブル化を現実的に実装可能な容量のテーブルで実現する変換プログラムｔＰに変換する装置であり、鍵データ抽出部１０と、加算テーブル生成部１１と、変換テーブル抽出部１２と、テーブル融合部１３と、乱数生成部１４と、テーブルランダム化部１５と、変換プログラム生成部１６とを備えている。
鍵データ抽出部１０は、入力されたプログラムＰから鍵データを抽出する処理部である。
加算テーブル生成部１１は、鍵データ抽出部１０で抽出された鍵データから加算テーブルを生成する処理部である。
変換テーブル抽出部１２は、プログラムＰから変換テーブルを抽出する処理部である。
テーブル融合部１３は、加算テーブル生成部１１で生成された加算テーブルと変換テーブル抽出部１２で抽出された変換テーブルとを融合して融合テーブルを生成する処理部である。
乱数生成部１４は、乱数を生成する処理部である。
テーブルランダム化部１５は、乱数生成部１４で生成された乱数を元に、テーブル融合部１３で生成された融合テーブルをランダム化することにより、ランダム化融合テーブルを作成する処理部である。
変換プログラム生成部１６は、テーブルランダム化部１５で作成されたランダム化融合テーブルを元に、変換プログラムｔＰを生成する処理部である。
以下、プログラム変換装置１の実行する処理について説明する。図７は、プログラム変換装置が実行する処理のフローチャートである。
まず、鍵データ抽出部１０は、入力されたプログラムＰから、鍵データＫ１およびＫ２を抽出し、加算テーブル生成部１１に転送する（Ｓ２２）。
加算テーブル生成部１１は、鍵データＫ１を元に加算テーブルＴ０〜Ｔ３を、鍵データＫ２を元に加算テーブルＶ０〜Ｖ３を、それぞれ生成する（Ｓ２４）。以下、加算テーブルの生成方法について詳細に説明する。ここでは、鍵データＫ１を元に加算テーブルＴ０〜Ｔ３を生成する場合について説明するが、鍵データＫ２を元に加算テーブルＶ０〜Ｖ３を生成する場合についても、これと同様である。
＜加算テーブル生成部１１の処理（図７のＳ２４）＞
図４に示すプログラムＰの鍵データ加算部２０は、入力データＡ（３２ビット）と固定値である鍵データＫ１（３２ビット）との算術加算（Ａ＋Ｋ１）ｍｏｄ（２＾（３２））を行い、演算結果である中間データＢ（３２ビット）を生成する処理を行う。この鍵データ加算部２０の処理を、単純にテーブル変換に置き換えるとすると、入力データＡを入力、中間データＢを出力とする変換テーブルとなる。このとき、入力データＡおよび中間データＢは、ともに３２ビットデータである。このため、生成される変換テーブルの容量は、３２ビット×２＾（３２）＝１６ギガバイトにもなってしまう。そこで、以下のような原理に従い、比較的コンパクトなテーブルでの実現を行う。
まず、加算テーブル生成部１１は、鍵データ加算部２０を、等価的に図８に示すような構成に変換する。図８に示す構成は、３２ビット算術加算である鍵データ加算部２０を、上位桁への繰り上がりを考慮した上で、４個の８ビット算術加算に分割したものである。加算テーブル生成部１１は、図８において、入力データＡ（３２ビット）を上位から８ビットずつに分割したものを、ａ０、ａ１、ａ２、ａ３（各８ビット）とする。同様に、加算テーブル生成部１１は、鍵データＫ１（３２ビット）を上位から８ビットずつに分割したものを、ｋ０、ｋ１、ｋ２、ｋ３とする。鍵データ加算部３０ｄは、ａ３とｋ３との算術加算を行い、その結果の下位８ビットをｂ３、上位１ビットをｃａ３とする処理部である。鍵データ加算部３０ｃは、ａ２とｋ２とｃａ３の算術加算を行い、その結果の下位８ビットをｂ２、上位１ビットをｃａ２とする処理部である。鍵データ加算部３０ｂは、ａ１とｋ１とｃａ２との算術加算を行ない、その結果の下位８ビットをｂ１、上位１ビットをｃａ１とする処理部である。鍵データ加算部３０ａは、ａ０とｋ０とｃａ１の算術加算を行い、下位８ビットをｂ０とする処理である。
次に、加算テーブル生成部１１は、図８の鍵データ加算部３０ａ、３０ｂ、３０ｃ、３０ｄをテーブル化し、図９に示すような、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３にそれぞれ置き換える。ここで、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３は、それぞれ８ビット×５１２個、９ビット×５１２個、９ビット×５１２個、９ビット×２５６個の配列要素からなるテーブルであり、各配列要素は、次式（５ａ）、（５ｂ）、（５ｃ）、（５ｄ）のようにして決定される。これにより、鍵データ加算部２０は、総容量が８ビット×２＾９＋９ビット×２＾９＋９ビット×２＾９＋９ビット×２＾８＝約１．９キロバイトのコンパクトな４個の加算テーブル（変換テーブル）で表すことが可能となる。
Ｔ０［ｘ］＝（（ｘの上位８ビット）＋（ｘの下位１ビット）＋ｋ０）ｍｏｄ（２＾８） （ｘ＝０、１、…、５１１） …（５ａ）
Ｔ１［ｘ］＝（（ｘの上位８ビット）＋（ｘの下位１ビット）＋ｋ１）ｍｏｄ（２＾９） （ｘ＝０、１、…、５１１） …（５ｂ）
Ｔ２［ｘ］＝（（ｘの上位８ビット）＋（ｘの下位１ビット）＋ｋ２）ｍｏｄ（２＾９） （ｘ＝０、１、…、５１１） …（５ｃ）
Ｔ３［ｘ］＝（ｘ＋ｋ３）ｍｏｄ（２＾９） （ｘ＝０、１、…、２５５）
…（５ｄ）
以上をまとめると、加算テーブル生成部１１は、鍵データＫ１を元に上記４つの式に従って、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３を生成する。また、上記と同様に、鍵データ加算部２２についても、加算テーブルＶ０、Ｖ１、Ｖ２、Ｖ３を生成する。そして、生成した加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３、Ｖ０、Ｖ１、Ｖ２、Ｖ３をテーブル融合部１３に転送する。
＜変換テーブル抽出部１２の処理＞
変換テーブル抽出部１２は、プログラムＰから、変換テーブルＳの配列データ（８ビット×２５６個）を抽出して、テーブル融合部１３に転送する（図７のＳ２６）。
＜テーブル融合部１３の処理＞
テーブル融合部１３は、加算テーブルＴ０と変換テーブルＳ、加算テーブルＴ１と変換テーブルＳ、加算テーブルＴ２と変換テーブルＳ、加算テーブルＴ３と変換テーブルＳを、それぞれ融合して融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３を生成する。同様に、テーブル融合部１３は、加算テーブルＶ０と変換テーブルＳ、加算テーブルＶ１と変換テーブルＳ、加算テーブルＶ２と変換テーブルＳ、加算テーブルＶ３と変換テーブルＳを、それぞれ融合して融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３を生成する（図７のＳ２８）。以下では、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３を生成する処理（図７のＳ２８）について説明するが、融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３を生成する処理についても全く同様である。
図１０は、図４に示したプログラムＰが行う暗号処理の構成のうち、鍵データ加算部２０とテーブル変換部２１ａ、２１ｂ、２１ｃ、２１ｄとを抜き出して、鍵データ加算部２０については、上述したテーブル化処理（図７のＳ２４）によって、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３に置き換えた時のブロック図である。ここで、テーブル変換部３３ａ、３３ｂ、３３ｃ、３３ｄは、図４のテーブル変換部２１ａ、２１ｂ、２１ｃ、２１ｄと同一である。このとき、テーブル融合部１３は、テーブル変換部３２ａ（Ｔ０）とテーブル変換部３３ａ（Ｓ）、テーブル変換部３２ｂ（Ｔ１）とテーブル変換部３３ｂ（Ｓ）、テーブル変換部３２ｃ（Ｔ２）とテーブル変換部３３ｃ（Ｓ）、テーブル変換部３２ｄ（Ｔ３）とテーブル変換部３３ｄ（Ｓ）をそれぞれ融合して、融合テーブル変換部３４ａ（Ｕ０）、３４ｂ（Ｕ１）、３４ｃ（Ｕ２）、３４ｄ（Ｕ３）に置き換える。
図１１は、置き換え後の構成を示すブロック図である。ここで、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３の各々の配列要素は、次式（６ａ）、（６ｂ）、（６ｃ）、（６ｄ）のようにして定められる。ただし、（Ｘ‖Ｙ）は、データＸとデータＹを、データＸを上位、データＹを下位として連結したデータを表す。
Ｕ０［ｘ］＝Ｓ［Ｔ０［ｘ］］ （ｘ＝０、１、…、５１１） …（６ａ）
Ｕ１［ｘ］＝（Ｔ１［ｘ］の上位１ビット）‖Ｓ［Ｔ１［ｘ］の下位８ビット］ （ｘ＝０、１、…、５１１） …（６ｂ）
Ｕ２［ｘ］＝（Ｔ２［ｘ］の上位１ビット）‖Ｓ［Ｔ２［ｘ］の下位８ビット］ （ｘ＝０、１、…、５１１） …（６ｃ）
Ｕ３［ｘ］＝（Ｔ３［ｘ］の上位１ビット）‖Ｓ［Ｔ３［ｘ］の下位８ビット］ （ｘ＝０、１、…、２５５） …（６ｄ）
以上をまとめると、テーブル融合部１３は、加算テーブルＴ０、Ｔ１、Ｔ２、Ｔ３、変換テーブルＳを元に、上記４つの式に従って、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３を生成する。また、テーブル融合部１３は、上記と同様に、加算テーブルＶ０、Ｖ１、Ｖ２、Ｖ３、変換テーブルＳから、融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３を生成する。そして、テーブル融合部１３は、生成した融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３、Ｗ０、Ｗ１、Ｗ２、Ｗ３をテーブルランダム化部１５に転送する（図７のＳ２８）。
＜乱数生成部１４の処理＞
乱数生成部１４は、１２個の乱数ｒ１ａ（９ビット）、ｒ１ｂ（９ビット）、ｒ１ｃ（９ビット）、ｒ１ｄ（８ビット）、ｒ２ａ（８ビット）、ｒ２ｂ（８ビット）、ｒ２ｃ（８ビット）、ｒ２ｄ（８ビット）、ｒ３ａ（８ビット）、ｒ３ｂ（９ビット）、ｒ３ｃ（９ビット）、ｒ３ｄ（９ビット）をそれぞれ生成し、テーブルランダム化部１５に転送する（図７のＳ３０）。
＜テーブルランダム化部１５の処理＞
テーブルランダム化部１５は、乱数生成部１４で生成した１２個の乱数を元に、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３、Ｗ０、Ｗ１、Ｗ２、Ｗ３をそれぞれランダム化し、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３を生成する（図７のＳ３２）。以下では、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３を生成する処理（図７のＳ３２）について説明するが、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３についても全く同様である。
図１２は、図１１に示す融合テーブル変換部３４ａ、３４ｂ、３４ｃ、３４ｄの融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３を、乱数ｒ１ａ（９ビット）、ｒ１ｂ（９ビット）、ｒ１ｃ（９ビット）、ｒ１ｄ（８ビット）、ｒ２ａ（８ビット）、ｒ２ｂ（８ビット）、ｒ２ｃ（８ビット）、ｒ２ｄ（８ビット）を用いてランダム化することによりランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３に置き換えた場合の構成を示すブロック図である。図１２において、ランダム化融合テーブル変換部３５ａ、３５ｂ、３５ｃ、３５ｄは、それぞれランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３を用いたテーブル変換処理である。このとき、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３の配列要素は、次式（７ａ）、（７ｂ）、（７ｃ）、（７ｄ）に従って、それぞれ算出される。
ＲＵ０［ｘ］＝Ｕ０［ｘ（＋）ｒ１ａ］（＋）ｒ２ａ （ｘ＝０、１、…、５１１） …（７ａ）
ＲＵ１［ｘ］＝Ｕ１［ｘ（＋）ｒ１ｂ］（＋）｛（ｒ１ａの下位１ビット）‖ｒ２ｂ｝ （ｘ＝０、１、…、５１１） …（７ｂ）
ＲＵ２［ｘ］＝Ｕ２［ｘ（＋）ｒ１ｃ］（＋）｛（ｒ１ｂの下位１ビット）‖ｒ２ｃ｝ （ｘ＝０、１、…、５１１） …（７ｃ）
ＲＵ３［ｘ］＝Ｕ３［ｘ（＋）ｒ１ｄ］（＋）｛（ｒ１ｃの下位１ビット）‖ｒ２ｄ｝ （ｘ＝０、１、…、２５５） …（７ｄ）
図１３は、融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３を、乱数ｒ２ａ（８ビット）、ｒ２ｂ（８ビット）、ｒ２ｃ（８ビット）、ｒ２ｄ（８ビット）、ｒ３ａ（８ビット）、ｒ３ｂ（９ビット）、ｒ３ｃ（９ビット）、ｒ３ｄ（９ビット）を用いてランダム化することによりランダム化融合変換テーブルＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３に置き換えた場合の構成を示すブロック図である。図１３において、ランダム化融合テーブル変換部３６ａ、３６ｂ、３６ｃ、３６ｄは、それぞれランダム化融合変換テーブルＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３を用いたテーブル変換処理である。このとき、ランダム化融合変換テーブルＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３の配列要素は、次式（８ａ）、（８ｂ）、（８ｃ）、（８ｄ）に従って、それぞれ算出される。
ＲＷ０［ｘ］＝Ｖ０［ｘ（＋）｛ｒ２ａ‖（ｒ３ｂの上位１ビット）｝（＋）ｒ３ａ （ｘ＝０、１、…、５１１） …（８ａ）
ＲＷ１［ｘ］＝Ｖ１［ｘ（＋）｛ｒ２ｂ‖（ｒ３ｃの上位１ビット）｝（＋）ｒ３ｂ （ｘ＝０、１、…、５１１） …（８ｂ）
ＲＷ２［ｘ］＝Ｖ２［ｘ（＋）｛ｒ２ｃ‖（ｒ３ｄの上位１ビット）｝］（＋）ｒ３ｃ （ｘ＝０、１、…、５１１） …（８ｃ）
ＲＷ３［ｘ］＝Ｖ３［ｘ（＋）ｒ２ｄ］（＋）ｒ３ｄ （ｘ＝０、１、…、２５５） …（８ｄ）
以上をまとめると、テーブルランダム化部１５は、融合テーブルＵ０、Ｕ１、Ｕ２、Ｕ３と乱数ｒ１ａ、ｒ１ｂ、ｒ１ｃ、ｒ１ｄ、ｒ２ａ、ｒ２ｂ、ｒ２ｃ、ｒ２ｄを元に、式（７ａ）〜（７ｄ）に従って、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３を生成する。また、テーブルランダム化部１５は、同様に、融合テーブルＷ０、Ｗ１、Ｗ２、Ｗ３と乱数ｒ２ａ、ｒ２ｂ、ｒ２ｃ、ｒ２ｄ、ｒ３ａ、ｒ３ｂ、ｒ３ｃ、ｒ３ｄを元に、式（８ａ）〜（８ｄ）に従って、ランダム化融合変換テーブルＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３を生成する。そして、生成したランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３を変換プログラム生成部１６に転送する（図７のＳ３２）。
＜変換プログラム生成部１６の処理＞
変換プログラム生成部１６は、ランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３から、変換プログラムｔＰを生成する（図７のＳ３４）。図１４は、変換プログラムｔＰの各処理をブロックとして表現したブロック図であり、図１５は、変換プログラムｔＰの処理の流れを説明するフローチャートである。変換プログラムｔＰには、上述した手順を経て生成されたランダム化融合変換テーブルＲＵ０、ＲＵ１、ＲＵ２、ＲＵ３、ＲＷ０、ＲＷ１、ＲＷ２、ＲＷ３が内部に設定されている。また、次式（９ａ）および（９ｂ）のように設定された乱数Ｒ１（３２ビット）およびＲ３（３２ビット）も内部に設定されている。
Ｒ１＝（ｒ１ａの上位８ビット）‖（ｒ１ｂの上位８ビット）‖（ｒ１ｃの上位８ビット）‖（ｒ１ｄ） …（９ａ）
Ｒ３＝（ｒ３ａ）‖（ｒ３ｂの下位８ビット）‖（ｒ３ｃの下位８ビット）‖（ｒ３ｄの下位８ビット） …（９ｂ）
以下、図１４と図１５を用いて、ｔＰの処理内容について説明する。
まず、プログラムｔＰに対して入力データＡ（３２ビット）が入力される（Ｓ２００）。
入力データランダム化部４０は、入力データＡと乱数Ｒ１との排他的論理和演算を行い、ランダム化入力データＲＡを求める（Ｓ２０１）。即ち、次式（１０）に従った計算を行う。
ＲＡ＝Ａ（＋）Ｒ１ …（１０）
変換プログラムｔＰは、ランダム化入力データＲＡを、上位から８ビットずつ分割して、ｒａ０、ｒａ１、ｒａ２、ｒａ３とする（Ｓ２０２）。
ランダム化融合テーブル変換部３５ａ、３５ｂ、３５ｃ、３５ｄは、それぞれ、ｒａ０、ｒａ１、ｒａ２、ｒａ３に対して、次式（１１ａ）〜（１１ｊ）に従った計算を順に行い、ランダム化中間データｒｃ０、ｒｃ１、ｒｃ２、ｒｃ３を求める。求められたランダム化中間データｒｃ０、ｒｃ１、ｒｃ２、ｒｃ３は、ランダム化融合テーブル変換部３６ａ、３６ｂ、３６ｃ、３６ｄにそれぞれ転送される（Ｓ２０３）。
ｔ３＝ＲＵ３［ｒａ３］ …（１１ａ）
ｒｃ３＝（ｔ３の下位８ビット） …（１１ｂ）
ｒｃａ３＝（ｔ３の上位１ビット） …（１１ｃ）
ｔ２＝ＲＵ２［ｒａ２‖ｒｃａ３］ …（１１ｄ）
ｒｃ２＝（ｔ２の下位８ビット） …（１１ｅ）
ｒｃａ２＝（ｔ２の上位１ビット） …（１１ｆ）
ｔ１＝ＲＵ１［ｒａ１‖ｒｃａ２］ …（１１ｇ）
ｒｃ１＝（ｔ１の下位８ビット） …（１１ｈ）
ｒｃａ１＝（ｔ１の上位１ビット） …（１１ｉ）
ｒｃ０＝ＲＵ０［ｒａ１‖ｒｃａ１］ …（１１ｊ）
ランダム化融合テーブル変換部３６ａ、３６ｂ、３６ｃ、３６ｄは、ランダム化中間データｒｃ０、ｒｃ１、ｒｃ２、ｒｃ３に対して、次式（１２ａ）〜（１２ｊ）に従った計算を順に行い、ランダム化出力データｒｅ０、ｒｅ１、ｒｅ２、ｒｅ３を求める（Ｓ２０４）。
ｔ３＝ＲＷ３［ｒｃ３］ …（１２ａ）
ｒｅ３＝（ｔ３の下位８ビット） …（１２ｂ）
ｒｃｂ３＝（ｔ３の上位１ビット） …（１２ｃ）
ｔ２＝ＲＷ２［ｒｃ２‖ｒｃｂ３］ …（１２ｄ）
ｒｅ２＝（ｔ２の下位８ビット） …（１２ｅ）
ｒｃｂ２＝（ｔ２の上位１ビット） …（１２ｆ）
ｔ１＝ＲＷ１［ｒｃ１‖ｒｃｂ２］ …（１２ｇ）
ｒｅ１＝（ｔ１の下位８ビット） …（１２ｈ）
ｒｃｂ１＝（ｔ１の上位１ビット） …（１２ｉ）
ｒｅ０＝ＲＷ０［ｒｃ１‖ｒｃｂ１］ …（１２ｊ）
変換プログラムｔＰは、ランダム化出力データｒｅ０、ｒｅ１、ｒｅ２、ｒｅ３を上位からこの順序で連結して３２ビットのランダム化出力データＲＥとする（Ｓ２０５）。
排他的論理和部４２は、次式（１３）に従い、ランダム化出力データＲＥと、乱数Ｒ３との排他的論理和演算を行い、出力データＥを求める（Ｓ２０６）。
Ｅ＝ＲＥ（＋）Ｒ３ …（１３）
変換プログラムｔＰは、出力データＥを出力する（Ｓ２０７）。
＜プログラムｔＰの処理とプログラムＰの処理の関係＞
ここで、変換プログラムｔＰによって実行される暗号処理が、プログラムＰによって実行される暗号処理と等価であることを説明する。即ち、任意の入力データＡに対して、プログラムＰの処理によって得られる出力データＥと、変換プログラムｔＰによって得られる出力データＥとが同じであることを説明する。
まず、式（１０）より、
ＲＡ＝Ａ（＋）Ｒ１
である。ここで、Ａを上位から８ビットずつ分割して、ａ０、ａ１、ａ２、ａ３とすると、式（９ａ）より、次式（１４ａ）〜（１４ｄ）に示す関係が成立する。
ｒａ０＝ａ０（＋）（ｒ１ａの上位８ビット） …（１４ａ）
ｒａ１＝ａ１（＋）（ｒ１ｂの上位８ビット） …（１４ｂ）
ｒａ２＝ａ２（＋）（ｒ１ｃの上位８ビット） …（１４ｃ）
ｒａ３＝ａ３（＋）ｒ１ｄ …（１４ｄ）
次に、式（１１ａ）、式（７ｄ）、式（１４ｄ）、式（６ｄ）より、次式（１５）が導かれる。
ｔ３＝ＲＵ３［ｒａ３］
＝Ｕ３［ｒａ３（＋）ｒ１ｄ］（＋）｛（ｒ１ｃの下位１ビット‖ｒ２ｄ）
＝Ｕ３［ａ３］（＋）｛（ｒ１ｃの下位１ビット）‖ｒ２ｄ｝
＝｛（Ｔ３［ａ３］の上位１ビット）‖Ｓ［Ｔ３［ａ３］の下位８ビット］｝（＋）｛（ｒ１ｃの下位１ビット）‖ｒ２ｄ｝ …（１５）
よって、式（１５）、式（１１ｂ）、式（５ｄ）より、次式（１６）が導かれる。
ｒｃ３＝Ｓ［Ｔ３［ａ３］の下位８ビット］（＋）ｒ２ｄ
＝Ｓ［（ａ３＋ｋ３）ｍｏｄ（２＾８）］（＋）ｒ２ｄ …（１６）
また、式（１５）、式（１１ｃ）、式（５ｄ）より、次式（１７）が導かれる。
ｒｃａ３＝（Ｔ３［ａ３］の上位１ビット）（＋）（ｒ１ｃの下位１ビット）
＝｛（（ａ３＋ｋ３）ｍｏｄ（２＾９））の上位１ビット｝（＋）（ｒ１ｃの下位１ビット） …（１７）
ここで、｛（（ａ３＋ｋ３）ｍｏｄ（２＾９））の上位１ビット｝は、バイトデータの加算（ａ３＋ｋ３）における上位バイトへの繰り上がり（０または１）であるので、以降は、これを「ｃａｒｒｙ３」とすると、式（１７）は次式（１８）のように表すことができる。
ｒｃａ３＝ｃａｒｒｙ３（＋）（ｒ１ｃの下位１ビット） …（１８）
次に、式（１１ｄ）、式（１４ｃ）、式（１８）、式（７ｃ）、式（６ｃ）より、次式（１９）が導かれる。
ｔ２＝ＲＵ２［ｒａ２‖ｒｃａ３］
＝ＲＵ２［｛ａ２（＋）（ｒ１ｃの上位８ビット）｝‖｛ｃａｒｒｙ３（＋）（ｒ１ｃの下位１ビット）｝］
＝ＲＵ２［（ａ２‖ｃａｒｒｙ３）（＋）ｒ１ｃ］
＝Ｕ２［ａ２‖ｃａｒｒｙ３］（＋）｛（ｒ１ｂの下位１ビット）‖ｒ２ｃ｝
＝（Ｔ２［ａ２‖ｃａｒｒｙ３］の上位１ビット）‖Ｓ［（Ｔ２［ａ２‖ｃａｒｒｙ３］の下位８ビット）］（＋）｛（ｒ１ｂの下位１ビット）‖ｒ２ｃ｝…（１９）
ここで、式（５ｃ）より、次式（２０）が導かれる。
Ｔ２［ａ２‖ｃａｒｒｙ３］＝（ａ２＋ｃａｒｒｙ３＋ｋ２）ｍｏｄ（２＾９）
…（２０）
式（２０）、式（１９）、式（１１ｅ）より、次式（２１）が導かれる。
ｒｃ２＝Ｓ［（Ｔ２［ａ２‖ｃａｒｒｙ３］の下位８ビット）］（＋）ｒ２ｃ
＝Ｓ［（ａ２＋ｃａｒｒｙ３＋ｋ２）ｍｏｄ（２＾８）］（＋）ｒ２ｃ
…（２１）
また、式（２０）、式（１９）、式（１１ｆ）より、次式（２２）が導かれる。
ｒｃａ２＝（Ｔ２［ａ２‖ｃａｒｒｙ３］の上位１ビット）（＋）（ｒ１ｂの下位１ビット）
＝｛（（ａ２＋ｃａｒｒｙ３＋ｋ２）ｍｏｄ（２＾９））の上位１ビット｝（＋）（ｒ１ｂの下位１ビット） …（２２）
ここで、｛（（ａ３＋ｋ３）ｍｏｄ（２＾９））の上位１ビット｝は、バイトデータの加算（ａ３＋ｋ３）における上位バイトへの繰り上がり（０または１）であるので、以降は、これを「ｃａｒｒｙ２」とすると、式（２２）は次式（２３）のように表すことができる。
ｒｃａ２＝ｃａｒｒｙ２（＋）（ｒ１ｂの下位１ビット） …（２３）
以上から、次式（２４）および（２５）が得られる。
ｒｃ３＝Ｓ［（ａ３＋ｋ３）ｍｏｄ（２＾８）］（＋）ｒ２ｄ …（２４）
ｒｃ２＝Ｓ［（ａ２＋ｃａｒｒｙ３＋ｋ２）ｍｏｄ（２＾８）］（＋）ｒ２ｃ
…（２５）
上記と同様の式変形を繰り返すことにより、次式（２６）および（２７）が得られる。
ｒｃ１＝Ｓ［（ａ１＋ｃａｒｒｙ２＋ｋ１）ｍｏｄ（２＾８）］（＋）ｒ２ｂ
…（２６）
ｒｃ０＝Ｓ［（ａ０＋ｃａｒｒｙ１＋ｋ０）ｍｏｄ（２＾８）］（＋）ｒ２ａ
…（２７）
ここで、ｃａｒｒｙ２およびｃａｒｒｙ１は、それぞれ、バイトデータの加算（ａ２＋ｋ２）および（ａ１＋ｋ１）における上位バイトへの繰り上がり（０または１）を表す。
式（２４）、式（２５）、式（２６）、式（２７）から、以下のことがわかる。即ち、
ＲＣ＝ｒｃ０‖ｒｃ１‖ｒｃ２‖ｒｃ３、
および
Ｒ２＝ｒ２ａ‖ｒ２ｂ‖ｒ２ｃ‖ｒ２ｄ
としたとき、図４の中間データＣとの関係は、
ＲＣ＝Ｃ（＋）Ｒ２
となる。また、上記と同様の式変形を行うことによって、
ＲＥ＝Ｅ（＋）Ｒ３
であることが示される。ここで、
ＲＥ＝ｒｅ０‖ｒｅ１‖ｒｅ２‖ｒｅ３
Ｒ３＝ｒ３ａ‖ｒ３ｂ‖ｒ３ｃ‖ｒ３ｄ
である。変換プログラムｔＰは、ランダム化出力データＲＥに対して、図１５のＳ２０６に示すように、ＲＥ（＋）Ｒ３の演算を行うことにより、出力データＥを導き出すことができる。即ち、プログラムｔＰの処理によって得られる出力データＥは、プログラムＰの処理によって得られる出力データＥと等しくなることが示される。
以上説明したように、本実施の形態によると、プログラム変換装置は、算術加算を含むプログラムＰを、プログラムＰと等価な変換プログラムｔＰに変換することができる。また、その変換プログラムｔＰは、９ビット入力８ビット出力の変換テーブル２個と、９ビット入出力の変換テーブル４個と、８ビット入力９ビット出力の変換テーブル２個を使用し、そのテーブル容量の合計は、３９０４バイトである。よって、変換プログラムｔＰは、十分にコンパクトなサイズのテーブルを用いて、現実的なコストでの実装が可能である。
また、変換プログラムｔＰで使用される変換テーブルは乱数を元にランダム化されている。このため、暗号処理の中間値を解析することによって暗号鍵データを特定するような解読方法に対して安全に暗号化を行なうことができる。
＜変形例＞
なお、本実施の形態では、予めプログラム変換装置１によって生成した変換プログラムＰを、暗号モジュール内のＲＯＭなどに予め記憶することを想定とした構成になっているが、この構成に限定されるものではない。例えば、図１６に示すように、プログラム変換装置１と同じ処理を行うプログラム変換部４１を暗号装置４の内部に具備し、暗号処理を行うたびに、暗号処理のプログラムＰから変換プログラムｔＰを生成するような構成であってもよい。
図１６において、暗号装置４は、プログラム記憶部４５と、プログラム変換部４１と、変換プログラム一時記憶部４７と、プログラム実行部４３とからなる。
プログラム記憶部４５は、暗号処理を行うプログラムＰを記憶する記憶部である。
プログラム変換部４１は、プログラム記憶部４５に記憶されているプログラムＰを変換プログラムｔＰに変換する処理部である。
変換プログラム一時記憶部４７は、プログラム変換部４１で生成された変換プログラムｔＰを一時記憶する記憶部である。
プログラム実行部４３は、変換プログラム一時記憶部４７に記憶されている変換プログラムｔＰを実行する処理部である。
暗号装置４が、暗号処理を行うときの動作は以下の通りである。まず、プログラム記憶部４５は、例えば上述の実施の形態で説明したプログラムＰを記憶しているものとする。プログラム変換部４１は、プログラム記憶部４５に記憶されているプログラムＰを読み出して、上述の実施の形態と同様の処理を行い、変換プログラムｔＰを生成し、ｔＰを変換プログラム一時記憶部４７に記憶する。そして、プログラム実行部４３は、変換プログラム一時記憶部４７に記憶されている変換プログラムｔＰに従って、入力される平文に対して暗号化処理を行い、その結果を暗号文として出力する。この構成の場合、変換プログラムｔＰの生成処理は、暗号処理を行うたびに行われる。即ち、毎回異なる乱数を用いて変換プログラムｔＰが生成されるので、暗号処理の中間データは、毎回異なる乱数によってランダム化されることになり、暗号鍵データの解析はより困難になる。
また、変換対象のプログラムとしては、本実施の形態に示した例に限定されるものではなく、算術加算を用いる暗号処理であれば何でもよい。
さらに、変換対象のプログラムとしては、算術減算を用いる暗号処理であってもよい。このような暗号処理であっても、算術減算を、算術加算の場合と同様にテーブル化し、作成されたテーブルをランダム化することにより、暗号鍵データの解析を困難にすることができる。具体的には、被減算データと上位桁からの繰り下がりデータとをインデックスとし、その桁についての減算結果（被減算データと部分鍵データと上位桁からの繰り下がりデータとの演算結果）と下位桁への繰り下がりデータとを要素とする算術減算テーブルを作成し、作成された算術減算テーブルをランダム化すればよい。
なお、本発明を上記実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
（１）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。上記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。上記マイクロプロセッサが、上記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
（２）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。上記ＲＡＭには、コンピュータプログラムが記憶されている。上記マイクロプロセッサが、上記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていてもよいし、一部またはすべてを含むように１チップ化されていてもよい。
また、ここでは、システムＬＳＩと呼称したが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限られるものではなく、専用回路または汎用プロセッサで実現してもよい。また、ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて構成要素の集積化を行ってもよい。バイオ技術の適応等が可能性としてありえる。
（３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。上記ＩＣカードまたは上記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。上記ＩＣカードまたは上記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記ＩＣカードまたは上記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
（４）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、上記コンピュータプログラムからなるデジタル信号であるとしてもよい。
また、本発明は、上記コンピュータプログラムまたは上記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている上記デジタル信号であるとしてもよい。
また、本発明は、上記コンピュータプログラムまたは上記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、上記メモリは、上記コンピュータプログラムを記憶しており、上記マイクロプロセッサは、上記コンピュータプログラムにしたがって動作するとしてもよい。
また、上記プログラムまたは上記デジタル信号を上記記録媒体に記録して移送することにより、または上記プログラムまたは上記デジタル信号を上記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（５）上記実施の形態および上記変形例をそれぞれ組み合わせるとしてもよい。
本発明に係るプログラム変換装置は、実装する変換テーブルのテーブル容量を従来よりも削減しつつ、暗号処理実行中のレジスタデータを観測することによって暗号鍵データを解析する解読法や、暗号処理中の消費電力量から暗号鍵データを解析するような解読法に対して安全に暗号化を行うことができるという特徴を有するので、低コストでの実現が求められる暗号モジュール等の実現に有用である。
図１は、Ｗｈｉｔｅ−Ｂｏｘ Ｃｒｙｐｔｏｇｒａｐｈｙ技術の一例を示す図である。 図２は、排他的論理和演算のテーブル化について説明するための図である。 図３は、本発明の実施の形態に係るプログラム変換装置を用いてプログラムＰを変換する場合の構成を示すブロック図である。 図４は、本発明の実施の形態に係るプログラムＰが行う暗号処理の構成を示すブロック図である。 図５は、本発明の実施の形態に係るプログラムＰが行う暗号処理手順を示すフローチャートである。 図６は、本発明の実施の形態に係るプログラム変換装置の構成を示すブロック図である。 図７は、本発明の実施の形態に係るプログラム変換装置が実行する処理のフローチャートである。 図８は、本発明の実施の形態に係る鍵データ加算部の他の構成を示すブロック図である。 図９は、本発明の実施の形態に係る鍵データ加算部の変換テーブルを用いた他の構成を示すブロック図である。 図１０は、本発明の実施の形態に係る鍵データ加算部の変換テーブルと、テーブル変換部とからなる構成を示すブロック図である。 図１１は、図１０に示す構成と等価な別構成を示すブロック図である。 図１２は、図１１に示す融合テーブル変換部をランダム化した場合の構成を示すブロック図である。 図１３は、本発明の実施の形態に係る融合変換テーブルをランダム化した場合の構成を示すブロック図である。 図１４は、本発明の実施の形態に係る変換プログラムｔＰの各処理をブロックとして表現したブロック図である。 図１５は、本発明の実施の形態に係る変換プログラムｔＰの各処理を示すフローチャートである。 図１６は、本発明の実施の形態に係る暗号処理装置の構成を示すブロック図である。
符号の説明
１ プログラム変換装置
１０ 鍵データ抽出部
１１ 加算テーブル生成部
１２ 変換テーブル抽出部
１３ テーブル融合部
１４ 乱数生成部
１５ テーブルランダム化部
１６ 変換プログラム生成部
２０、２２、３０ａ〜３０ｄ 鍵データ加算部
２１ａ〜２１ｄ、２３ａ〜２３ｄ テーブル変換部

Claims (11)

  1. 暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成するプログラム変換装置であって、
    前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割する鍵データ分割手段と、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成する算術加算テーブル作成手段と、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成するランダム化変換テーブル生成手段とを備える
    ことを特徴とするプログラム変換装置。
  2. 前記算術加算テーブル作成手段は、
    ｉ＝０〜ｎ−１の各々について、
    ｉ＝ｎ−１の場合には、前記部分鍵データｋｎ−１と前記部分被加算データｘｎ−１との算術加算結果の下位Ｎｎ−１ビットのデータを加算データｙｎ−１とし、前記算術加算結果のＮｎ−１＋１ビット目のデータを繰り上がりデータｃｎ−１とした場合に、前記加算データｙｎ−１および前記繰り上がりデータｃｎ−１を要素とし、前記部分被加算データｘｎ−１をインデックスとする算術加算テーブルａｄｄｎ−１を作成し、
    ｉ≧１かつｉ＜ｎ−１の場合には、前記部分鍵データｋｉと前記部分被加算データｘｉと前記繰り上がりデータｃｉ＋１との算術加算結果の下位Ｎｉビットのデータを加算データｙｉとし、前記算術加算結果のＮｉ＋１ビット目のデータを繰り上がりデータｃｉとした場合に、前記加算データｙｉおよび前記繰り上がりデータｃｉを要素とし、前記部分被加算データｘｉと前記繰り上がりデータｃｉ＋１とをインデックスとする算術加算テーブルａｄｄｉを作成し、
    ｉ＝０の場合には、前記部分鍵データｋ０と前記部分被加算データｘ０と前記繰り上がりデータｃ１との算術加算結果の下位Ｎ０ビットのデータを加算データｙ０とした場合に、前記加算データｙ０を要素とし、前記部分被加算データｘ０と前記繰り上がりデータｃ１とをインデックスとする算術加算テーブルａｄｄ０を作成する
    ことを特徴とする請求項１に記載のプログラム変換装置。
  3. 前記暗号処理プログラムは、さらに、前記鍵加算データＥを、最上位ビットよりＮｉビットごとにｎ個に分割した部分鍵加算データＺｉに対して所定の変換処理Ｓｉを施す加算データ変換処理を含み（ｉ＝０〜ｎ−１）、
    前記ランダム化変換テーブル作成手段は、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄｉと前記所定の変換処理Ｓｉとを融合して、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする融合テーブルＵｉを作成する融合テーブル作成手段と、
    ｉ＝０〜ｎ−１の各々について、前記融合テーブル作成手段で作成された融合テーブルＵｉを前記乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成する生成手段とを有する
    ことを特徴とする請求項１に記載のプログラム変換装置。
  4. 平文を暗号化し、暗号文を生成する暗号処理装置であって、
    暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成するプログラム変換手段と、
    前記プログラム変換手段で生成された前記変換暗号処理プログラムに従って、平文を暗号化し、暗号文を生成する暗号文生成手段とを備え、
    前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、
    前記プログラム変換手段は、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割する鍵データ分割手段と、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成する算術加算テーブル作成手段と、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記加算テーブルａｄｄｉを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成するランダム化変換テーブル生成手段とを備える
    ことを特徴とする暗号処理装置。
  5. Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を実行する暗号処理装置であって、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、
    ｉ＝０〜ｎ−１の各々について、前記部分被加算データｘｉに乱数ｒａｉを作用させることにより得られるランダム化部分被加算データｒｘｉを少なくともインデックスの一部としたときの、ランダム化変換テーブルＲＴａｂｉの要素であるランダム化鍵加算データｒｅｉを取得するランダム化鍵加算データ取得手段とを備え、
    前記ランダム化変換テーブルＲＴａｂｉは、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割し、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成し、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化することにより得られるテーブルである
    ことを特徴とする暗号処理装置。
  6. 暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成するプログラム変換方法であって、
    前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割する鍵データ分割ステップと、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割ステップと、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成する算術加算テーブル作成ステップと、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成ステップで作成された前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成するランダム化変換テーブル生成ステップとを含む
    ことを特徴とするプログラム変換方法。
  7. 暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成するプログラムであって、
    前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割する鍵データ分割ステップと、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割ステップと、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成する算術加算テーブル作成ステップと、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成ステップで作成された前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成するランダム化変換テーブル生成ステップとをコンピュータに実行させる
    ことを特徴とするプログラム。
  8. 暗号処理を行う暗号処理プログラムを変換して、前記暗号処理プログラムと等価な処理を行う変換暗号処理プログラムを生成する集積回路であって、
    前記暗号処理プログラムは、Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を含み、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割する鍵データ分割手段と、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成する算術加算テーブル作成手段と、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブル作成手段で作成された前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化し、ランダム化変換テーブルＲＴａｂｉを生成するランダム化変換テーブル生成手段とを備える
    ことを特徴とする集積回路。
  9. Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を実行する暗号処理方法であって、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割ステップと、
    ｉ＝０〜ｎ−１の各々について、前記部分被加算データｘｉに乱数ｒａｉを作用させることにより得られるランダム化部分被加算データｒｘｉを少なくともインデックスの一部としたときの、ランダム化変換テーブルＲＴａｂｉの要素であるランダム化鍵加算データｒｅｉを取得するランダム化鍵加算データ取得ステップとを含み、
    前記ランダム化変換テーブルＲＴａｂｉは、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割し、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成し、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化することにより得られるテーブルである
    ことを特徴とする暗号処理方法。
  10. Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を実行するプログラムであって、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割ステップと、
    ｉ＝０〜ｎ−１の各々について、前記部分被加算データｘｉに乱数ｒａｉを作用させることにより得られるランダム化部分被加算データｒｘｉを少なくともインデックスの一部としたときの、ランダム化変換テーブルＲＴａｂｉの要素であるランダム化鍵加算データｒｅｉを取得するランダム化鍵加算データ取得ステップとをコンピュータに実行させ、
    前記ランダム化変換テーブルＲＴａｂｉは、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割し、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成し、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化することにより得られるテーブルである
    ことを特徴とするプログラム。
  11. Ｎ（Ｎは２以上の整数）ビットの被加算データＸとＮビットの鍵データＫとの算術加算を行うことにより、算術加算結果である鍵加算データＥを算出する算術加算処理を実行する集積回路であって、
    前記被加算データＸを、最上位ビットよりＮｉビットのｎ個の部分被加算データｘｉ（ｉ＝０〜ｎ−１）に分割する被加算データ分割手段と、
    ｉ＝０〜ｎ−１の各々について、前記部分被加算データｘｉに乱数ｒａｉを作用させることにより得られるランダム化部分被加算データｒｘｉを少なくともインデックスの一部としたときの、ランダム化変換テーブルＲＴａｂｉの要素であるランダム化鍵加算データｒｅｉを取得するランダム化鍵加算データ取得手段とを備え、
    前記ランダム化変換テーブルＲＴａｂｉは、
    前記鍵データＫを、最上位ビットよりＮｉビットのｎ個の部分鍵データｋｉ（ｉ＝０〜ｎ−１）に分割し、
    ｉ＝０〜ｎ−１の各々について、前記部分鍵データｋｉと、前記部分被加算データｘｉと、前記部分鍵データｋｉ＋１および前記部分被加算データｘｉ＋１の算術加算時の繰り上がりデータｃｉ＋１との算術加算の結果である、加算データｙｉおよび繰り上がりデータｃｉのうちの少なくとも前記加算データｙｉを含むデータを要素とし、前記部分被加算データｘｉおよび繰り上がりデータｃｉ＋１のうちの少なくとも前記部分被加算データｘｉを含むデータをインデックスとする算術加算テーブルａｄｄｉを作成し、
    ｉ＝０〜ｎ−１の各々について、前記算術加算テーブルａｄｄｉを乱数に基づいてランダム化することにより得られるテーブルである
    ことを特徴とする集積回路。
JP2006523469A 2005-04-28 2006-04-24 プログラム変換装置、暗号処理装置、暗号処理方法 Expired - Fee Related JP4180094B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2005131960 2005-04-28
JP2005131960 2005-04-28
PCT/JP2006/308582 WO2006118086A1 (ja) 2005-04-28 2006-04-24 プログラム変換装置、暗号処理装置、暗号処理方法

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2008175081A Division JP4801699B2 (ja) 2005-04-28 2008-07-03 暗号処理装置および暗号処理方法

Publications (2)

Publication Number Publication Date
JP4180094B2 JP4180094B2 (ja) 2008-11-12
JPWO2006118086A1 true JPWO2006118086A1 (ja) 2008-12-18

Family

ID=37307886

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2006523469A Expired - Fee Related JP4180094B2 (ja) 2005-04-28 2006-04-24 プログラム変換装置、暗号処理装置、暗号処理方法
JP2008175081A Expired - Fee Related JP4801699B2 (ja) 2005-04-28 2008-07-03 暗号処理装置および暗号処理方法

Family Applications After (1)

Application Number Title Priority Date Filing Date
JP2008175081A Expired - Fee Related JP4801699B2 (ja) 2005-04-28 2008-07-03 暗号処理装置および暗号処理方法

Country Status (5)

Country Link
US (2) US7724897B2 (ja)
EP (1) EP1876577A1 (ja)
JP (2) JP4180094B2 (ja)
CN (1) CN101167114A (ja)
WO (1) WO2006118086A1 (ja)

Families Citing this family (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8175265B2 (en) 2008-09-02 2012-05-08 Apple Inc. Systems and methods for implementing block cipher algorithms on attacker-controlled systems
KR101504338B1 (ko) * 2009-03-04 2015-03-23 삼성전자주식회사 불휘발성 메모리 장치의 동작 방법
CN102447556A (zh) * 2010-10-14 2012-05-09 上海华虹集成电路有限责任公司 一种基于随机偏移的抗差分功耗分析des加密方法
JP5755970B2 (ja) * 2011-08-26 2015-07-29 株式会社東芝 演算装置
RU2620712C2 (ru) * 2012-01-09 2017-05-29 Конинклейке Филипс Н.В. Устройство виртуальной машины, имеющее управляемую ключом обфускацию, и способ
US10032219B2 (en) 2013-09-24 2018-07-24 Chicago Mercantile Exchange Inc. Secure exchange feed market data embargo
US9697569B2 (en) 2013-12-09 2017-07-04 Chicago Mercantile Exchange Inc. Exchange feed for trade reporting having reduced redundancy
WO2015088894A1 (en) * 2013-12-09 2015-06-18 Chicago Mercantile Exchange Inc. Secure exchange feed market data embargo
CN103825723B (zh) * 2014-01-24 2019-05-03 深圳市太和物联信息技术有限公司 一种加密方法和装置
US10496372B2 (en) 2014-09-30 2019-12-03 Koninklijke Philips N.V. Electronic calculating device for performing obfuscated arithmetic
DE102014016548A1 (de) * 2014-11-10 2016-05-12 Giesecke & Devrient Gmbh Verfahren zum Testen und zum Härten von Softwareapplikationen
JP6368051B2 (ja) 2014-12-12 2018-08-01 コーニンクレッカ フィリップス エヌ ヴェＫｏｎｉｎｋｌｉｊｋｅ Ｐｈｉｌｉｐｓ Ｎ．Ｖ． 電子生成装置
KR101623503B1 (ko) 2015-02-04 2016-05-23 국민대학교산학협력단 Ｌｅａ 블록암호의 화이트박스 암호 구현 장치 및 방법
US11257153B2 (en) 2015-05-06 2022-02-22 Chicago Mercantile Exchange Inc. Tokens, and the use thereof, for public distribution of messages having a private association with a subset of the message recipients
US11411907B2 (en) 2016-05-16 2022-08-09 Chicago Mercantile Exchange Inc. Systems and methods for consolidating multiple feed data
US10268601B2 (en) 2016-06-17 2019-04-23 Massachusetts Institute Of Technology Timely randomized memory protection
US10310991B2 (en) * 2016-08-11 2019-06-04 Massachusetts Institute Of Technology Timely address space randomization
US10127160B2 (en) * 2016-09-20 2018-11-13 Alexander Gounares Methods and systems for binary scrambling
JP6834771B2 (ja) * 2017-05-19 2021-02-24 富士通株式会社 通信装置および通信方法
CN107832076A (zh) * 2017-10-24 2018-03-23 北京天地玛珂电液控制系统有限公司 一种工业控制器程序升级管理系统
WO2021025631A1 (en) * 2019-08-05 2021-02-11 Securify Bilisim Teknolojileri Ve Guvenligi Egt. Dan. San. Ve Tic. Ltd. Sti. A method for generating digital signatures

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1050133B2 (en) 1998-01-02 2009-05-27 Cryptography Research Inc. Leak-resistant cryptographic method and apparatus
JP2002519722A (ja) * 1998-06-03 2002-07-02 クリプターグラフィー リサーチ インコーポレイテッド スマートカードおよび他の暗号システム用の、漏洩を最小に抑える、改良ｄｅｓおよび他の暗号プロセス
FR2789535B1 (fr) * 1999-02-04 2001-09-28 Bull Cp8 Procede de securisation d'un ensemble electronique de cryptographie a cle secrete contre les attaques par analyse physique
AU762650B2 (en) 1999-09-29 2003-07-03 Hitachi Limited Device, program or system for processing secret information
JP4596686B2 (ja) 2001-06-13 2010-12-08 富士通株式会社 Ｄｐａに対して安全な暗号化
JP4034585B2 (ja) 2002-01-28 2008-01-16 松下電器産業株式会社 楕円曲線演算装置及び楕円曲線演算方法
JP4203944B2 (ja) 2002-01-28 2009-01-07 パナソニック株式会社 楕円曲線演算装置及び楕円曲線演算方法
JP3998616B2 (ja) * 2003-09-10 2007-10-31 株式会社東芝 暗号化／復号モジュール
US7899190B2 (en) * 2004-04-16 2011-03-01 Research In Motion Limited Security countermeasures for power analysis attacks

Also Published As

Publication number Publication date
JP4801699B2 (ja) 2011-10-26
US8184805B2 (en) 2012-05-22
US20100195822A1 (en) 2010-08-05
WO2006118086A1 (ja) 2006-11-09
JP4180094B2 (ja) 2008-11-12
EP1876577A1 (en) 2008-01-09
US7724897B2 (en) 2010-05-25
CN101167114A (zh) 2008-04-23
US20090060176A1 (en) 2009-03-05
JP2008233941A (ja) 2008-10-02

Similar Documents

Publication Publication Date Title
JP4180094B2 (ja) プログラム変換装置、暗号処理装置、暗号処理方法
JP5242560B2 (ja) 暗号化装置、復号化装置、暗号化方法及び集積回路
Mohd et al. Modeling and optimization of the lightweight HIGHT block cipher design with FPGA implementation
US7720225B2 (en) Table splitting for cryptographic processes
JP4840782B2 (ja) プログラム変換装置、セキュア処理装置、コンピュータプログラム及び記録媒体
JP2005215688A (ja) Ｓ−ｂｏｘ演算を用いるハードウェア暗号化／復号化装置及び、その方法
EP1833190A1 (en) Table splitting for cryptographic processes
JP2003152702A (ja) 情報処理装置
JP2007195132A (ja) 暗号処理装置
Priyanka et al. FPGA implementation of image encryption and decryption using AES 128-bit core
Shahmirzadi et al. New first-order secure AES performance records
JP2004212828A (ja) 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
Dakate et al. Performance comparison of symmetric data encryption techniques
JPWO2015156020A1 (ja) 情報処理装置、プログラム及び記憶媒体
WO2003090185A1 (en) Key generation device, encoding/decoding device, and key generation method
Sohel Rana et al. A survey paper of lightweight block ciphers based on their different design architectures and performance metrics
Rashidi Efficient and high‐throughput application‐specific integrated circuit implementations of HIGHT and PRESENT block ciphers
CN106656500A (zh) 加密装置及方法
JP2005134478A (ja) 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
Pandey et al. A unified architecture for AES/PRESENT ciphers and its usage in an SoC environment
JP2005031471A (ja) 暗号処理装置、および暗号処理方法
Andrzejczak et al. SAT attacks on ARX ciphers with automated equations generation
JP2006054568A (ja) 暗号化装置、復号化装置、および方法、並びにコンピュータ・プログラム
Aljazeera et al. Design and characterization of LBlock cryptocore
Kotel et al. Lightweight encryption algorithm based on modified XTEA for low-resource embedded devices

Legal Events

Date Code Title Description
TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20080729

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20080826

R150 Certificate of patent or registration of utility model

Ref document number: 4180094

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110905

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110905

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120905

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130905

Year of fee payment: 5

LAPS Cancellation because of no payment of annual fees